DE102012023079B4

DE102012023079B4 - Method for managing applications on one or more security modules in a communication device

Info

Publication number: DE102012023079B4
Application number: DE102012023079.6A
Authority: DE
Inventors: Karl Eglof Hartel; Jan Eichholz; Gisela Meister
Original assignee: Giesecke and Devrient Mobile Security GmbH
Current assignee: GIESECKE+DEVRIENT MOBILE SECURITY GERMANY GMBH, DE
Priority date: 2012-11-26
Filing date: 2012-11-26
Publication date: 2020-11-12
Anticipated expiration: 2032-11-27
Also published as: DE102012023079A1

Abstract

Verfahren zum Verwalten von Applikationen (A1, A2, ..., AM) auf einem oder mehreren Sicherheitsmodulen (3) in einem Kommunikationsgerät (1), wobei das oder die Sicherheitsmodule (3) über das Kommunikationsgerät (1) mit einer externen Kommunikationseinrichtung (4) kommunizieren können, wobei- die Applikationen (A1, A2, ..., AM) jeweiligen Kategorien (C1, C2, C3) aus einer Mehrzahl von Kategorien (C1, C2, C3) zugeordnet sind;- eine laufende Kommunikation zwischen einem Sicherheitsmodul (3) und der externen Kommunikationseinrichtung (4) in eine Kategorie (C1, C2, C3) aus der Mehrzahl von Kategorien (C1, C2, C3) eingestuft wird und der externen Kommunikationseinrichtung (4) ausschließlich ein Zugriff auf Applikationen (A1, A2, ..., AM) der gleichen Kategorie (C1, C2, C3) wie die laufende Kommunikation (A1, A2, ..., AM) ermöglicht wird, dadurch gekennzeichnet, dassnach der Beendigung der laufenden Kommunikation (A1, A2, ..., AM) eine neue Kommunikation (A1, A2, ..., AM), welche zu einer anderen Kategorie (C1, C2, C3) als die beendete Kommunikation (A1, A2, ..., AM) gehört, erst nach Ablauf einer vorbestimmten Zeitspanne gestartet werden kann.Method for managing applications (A1, A2, ..., AM) on one or more security modules (3) in a communication device (1), wherein the security module (s) (3) via the communication device (1) with an external communication device ( 4) can communicate, the applications (A1, A2, ..., AM) being assigned to respective categories (C1, C2, C3) from a plurality of categories (C1, C2, C3); - ongoing communication between one Security module (3) and the external communication device (4) is classified into a category (C1, C2, C3) from the plurality of categories (C1, C2, C3) and the external communication device (4) only has access to applications (A1, A2, ..., AM) of the same category (C1, C2, C3) as the ongoing communication (A1, A2, ..., AM) is made possible, characterized in that after the ongoing communication (A1, A2, ..., AM) a new communication (A1, A2, ..., AM), which leads to another belongs to a category (C1, C2, C3) than the terminated communication (A1, A2, ..., AM), can only be started after a predetermined period of time has elapsed.

Description

Die Erfindung betrifft ein Verfahren zum Verwalten von Applikationen auf einem oder mehreren Sicherheitsmodulen in einem Kommunikationsgerät sowie ein entsprechendes Kommunikationsgerät.The invention relates to a method for managing applications on one or more security modules in a communication device and a corresponding communication device.

Sicherheitsmodule bzw. Sicherheitselemente werden in Kommunikationsgeräten dazu genutzt, um bestimmte Applikationen im Rahmen einer Kommunikation zwischen dem Sicherheitsmodul und einer externen Kommunikationseinrichtung durchzuführen. Dabei können auf einem Sicherheitsmodul mehrere Applikationen hinterlegt sein, welche unter Umständen unterschiedliche Sicherheitsanforderungen in Bezug auf die verarbeiteten Daten haben. Demzufolge besteht die Gefahr, dass über einen bösartigen Angriff eine Applikation mit niedrigen Sicherheitsanforderungen eine andere Applikation mit hohen Sicherheitsanforderungen ausforschen kann bzw. Daten aus Applikationen mit unterschiedlichen Sicherheitsanforderungen miteinander korreliert werden.Security modules or security elements are used in communication devices to carry out certain applications in the context of communication between the security module and an external communication device. Several applications can be stored on a security module, which may have different security requirements with regard to the processed data. As a result, there is a risk that an application with low security requirements can investigate another application with high security requirements via a malicious attack or that data from applications with different security requirements are correlated with one another.

In der Druckschrift EP 1 801 696 B1 wird ein Verfahren zum Ausführen von Applikationen über virtuelle Maschinen beschrieben, wobei jeder virtuellen Maschine ein bestimmtes Kontingent von Betriebsmitteln zugeordnet ist, auf das die von der virtuellen Maschine ausgeführten Applikationen zugreifen können.In the pamphlet EP 1 801 696 B1 describes a method for executing applications via virtual machines, each virtual machine being assigned a specific contingent of resources that the applications executed by the virtual machine can access.

Die Druckschrift US 2005/0060722 A1 offenbart ein Computersystem mit einer Vielzahl von Servern. Die auf den Servern ausgeführten Applikationen sind dabei in sicheren Containern gespeichert und können in einer sicheren Umgebung ausgeführt werden.The pamphlet US 2005/0060722 A1 discloses a computer system having a plurality of servers. The applications executed on the servers are stored in secure containers and can be executed in a secure environment.

In dem Dokument US 2010/0313196 A1 wird die Ausführung von Applikationen auf einem Gerät beschrieben, wobei die Applikationen in Containern mit zufällig zugewiesenen Identifikationen hinterlegt sind.In the document US 2010/0313196 A1 describes the execution of applications on a device, whereby the applications are stored in containers with randomly assigned identifications.

Die US 2012/0216276 A1 offenbart ein Mobilfunkgerät mit mehreren Sicherheitsmodulen, die in Abhängigkeit von deren Relevanz mehr oder weniger Prozessorressourcen zugeteilt bekommen.The US 2012/0216276 A1 discloses a mobile radio device with several security modules, which are allocated more or fewer processor resources depending on their relevance.

Die US 2009/0075592 A1 offenbart ein Verfahren zum Handhaben von Kommunikationsereignissen, bei dem bestimmte Applikationen in Abhängigkeit von ihren Eigenschaften in einem sicheren Smartcard Modul abgelegt sind. Die Sichtbarkeit bestimmter Applikationen kann eingeschränkt werden, wenn eine Anfrage nach einer Applikation mit einem bestimmten Sicherheitsgrad festgestellt wird.The US 2009/0075592 A1 discloses a method for handling communication events in which certain applications are stored in a secure smart card module depending on their properties. The visibility of certain applications can be restricted if a request for an application is detected with a certain level of security.

Aufgabe der Erfindung ist es, Applikationen auf einem oder mehreren Sicherheitsmodulen in einem Kommunikationsgerät einfach und effizient gegen ein Ausspähen bzw. ein Ausforschen zu schützen.The object of the invention is to protect applications on one or more security modules in a communication device simply and efficiently against being spied on or exploring.

Diese Aufgabe wird durch das Verfahren gemäß Patentanspruch 1 bzw. das Kommunikationsgerät gemäß Patentanspruch 8 gelöst. Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen definiert.This object is achieved by the method according to claim 1 or the communication device according to claim 8. Further developments of the invention are defined in the dependent claims.

Das erfindungsgemäße Verfahren dient zum Verwalten von Applikationen auf einem oder mehreren Sicherheitsmodulen in einem Kommunikationsgerät, wobei das oder die Sicherheitsmodule über das Kommunikationsgerät mit einer externen Kommunikationseinrichtung kommunizieren können. Die Applikationen sind dabei jeweiligen Kategorien aus einer Mehrzahl von Kategorien zugeordnet, d.h. jede Applikation ist einer Kategorie aus mehreren Kategorien zugewiesen.The method according to the invention is used to manage applications on one or more security modules in a communication device, wherein the security module (s) can communicate with an external communication device via the communication device. The applications are assigned to respective categories from a plurality of categories, i.e. each application is assigned to a category out of several categories.

Erfindungsgemäß wird eine laufende Kommunikation zwischen dem bzw. einem der Sicherheitsmodule und der externen Kommunikationseinrichtung in eine Kategorie aus der Mehrzahl von Kategorien eingestuft. Dabei wird der externen Kommunikationseinrichtung ausschließlich ein Zugriff auf Applikationen der gleichen Kategorie wie die laufende Kommunikation ermöglicht. D.h. der Zugriff der externen Kommunikationseinrichtung auf Applikationen in anderen Kategorien als die Kategorie der laufenden Kommunikation wird verweigert.According to the invention, ongoing communication between the or one of the security modules and the external communication device is classified in one of the plurality of categories. The external communication device is only allowed access to applications in the same category as the ongoing communication. I.e. the access of the external communication device to applications in categories other than the category of ongoing communication is denied.

Das erfindungsgemäße Verfahren zeichnet sich dadurch aus, dass im Rahmen einer Kommunikation zwischen einem jeweiligen Sicherheitsmodul und der externen Kommunikationseinrichtung immer nur Applikationen einer Kategorie durchgeführt werden können. Auf diese Weise wird eine Gruppierung der Applikationen nach vorbestimmten Kriterien ermöglicht. Die Erfindung weist den Vorteil auf, dass ein Ausspähen von Applikationen einer Kategorie über Applikationen einer anderen Kategorie und die Zuordnung von Daten zwischen Applikationen unterschiedlicher Kategorien verhindert wird.The method according to the invention is characterized in that only applications of one category can be carried out in the context of communication between a respective security module and the external communication device. This enables the applications to be grouped according to predetermined criteria. The invention has the advantage that spying on applications of one category via applications of another category and the assignment of data between applications of different categories is prevented.

Die Einstufung der laufenden Kommunikation in unterschiedliche Kategorien kann auf verschiedene Weise vorgenommen werden. In einer vorteilhaften Ausgestaltung wird im Falle, dass die laufende Kommunikation die Selektion einer Applikation umfasst oder eine Kommunikationsart in einer vorbestimmten (vorher festgelegten) Kategorie betrifft, die laufende Kommunikation in die Kategorie der selektierten Applikation oder in die vorbestimmte Kategorie der Kommunikationsart eingestuft.The classification of the ongoing communication into different categories can be done in different ways. In an advantageous embodiment, if the ongoing communication includes the selection of an application or relates to a type of communication in a predetermined (previously defined) category, the ongoing communication is classified in the category of the selected application or in the predetermined category of the communication type.

In einer besonders bevorzugten Ausführungsform repräsentieren die Mehrzahl von Kategorien verschiedene Sicherheitsstufen, wobei eine jeweilige Sicherheitsstufe eine Anforderungsstufe an die Privatheit der Applikationen in der entsprechenden Kategorie festlegt. Auf diese Weise werden Applikationen mit gleichen Sicherheitsanforderungen geeignet zusammengefasst. Insbesondere wird hierbei verhindert, dass Daten aus Applikationen mit niedrigen Sicherheitsanforderungen Daten aus Applikationen mit höheren Sicherheitsanforderungen zugeordnet werden. Zum Beispiel kann verhindert werden, dass eine öffentliche Identifikationsnummer aus einer nicht-privaten Applikation (z.B. die Nummer eines Teilnehmers eines Bonusprogramms zum Sammeln von Bonuspunkten) mit der Identifikation einer ID-Karte aus einer Applikation mit hohen Sicherheitsanforderungen korreliert wird.In a particularly preferred embodiment, the plurality of categories represent different security levels, with each security level defining a requirement level for the privacy of the applications in the corresponding category. In this way, applications with the same security requirements are suitably combined. In particular, this prevents data from applications with low security requirements from being assigned to data from applications with higher security requirements. For example, it can be prevented that a public identification number from a non-private application (e.g. the number of a participant in a bonus program for collecting bonus points) is correlated with the identification of an ID card from an application with high security requirements.

Die verschiedenen Sicherheitsstufen können je nach Ausgestaltung unterschiedlich festgelegt werden. In einer bevorzugten Ausführungsform umfasst zumindest eine Sicherheitsstufe Applikationen ohne eine Anforderung an die Privatheit der Applikationen und zumindest eine andere Sicherheitsstufe Applikationen mit einer Anforderung an die Privatheit der Applikationen. Eine Sicherheitsstufe ohne eine Anforderung an die Privatheit der Applikationen betrifft somit Applikationen, bei denen die ausgetauschten Daten öffentlich sind und nicht auf die laufende Kommunikation zwischen Sicherheitsmodul und externer Kommunikationseinrichtung beschränkt sind. Demgegenüber genügen Sicherheitsstufen mit einer Anforderung an die Privatheit der Applikationen bestimmten Sicherheitskriterien. Beispielsweise kann eine Applikation in einer Sicherheitsstufe mit einer hohen Anforderung an die Privatheit den Austausch von (verschlüsselten) Daten umfassen, welche nur dem Sicherheitsmodul und der externen Kommunikationseinrichtung bekannt sind.The various security levels can be defined differently depending on the design. In a preferred embodiment, at least one security level comprises applications without a requirement for the privacy of the applications and at least one other security level comprises applications with a requirement for the privacy of the applications. A security level without a requirement for the privacy of the applications thus relates to applications in which the exchanged data are public and are not limited to the ongoing communication between the security module and the external communication device. In contrast, security levels with a requirement for the privacy of the applications meet certain security criteria. For example, an application in a security level with a high requirement for privacy can include the exchange of (encrypted) data that are only known to the security module and the external communication device.

Nach der Beendigung der laufenden Kommunikation kann eine neue Kommunikation, welche zu einer anderen Kategorie als die beendete Kommunikation gehört, erst nach Ablauf einer vorbestimmten Zeitspanne gestartet werden. Eine neue Kommunikationsbeziehung zwischen einer externen Kommunikationseinrichtung und dem Kommunikationsgerät kann z.B. basierend auf neuen Adressen und insbesondere IP-Adressen gestartet werden. Auf diese Weise wird die Sicherheit gegen Angriffe weiter verbessert. In der weiter unten beschriebenen Ausführungsform, bei der die Kommunikation über eine NFC-Schnittstelle stattfindet, wird die vorbestimmte Zeitspanne vorzugsweise derart lange gewählt, dass innerhalb der Zeitspanne ein anderes Kommunikationsgerät in das NFC-Lesefeld der externen Kommunikationseinrichtung gebracht werden kann. Für die externe Kommunikationseinrichtung ist dann nicht mehr unterscheidbar, ob sie das gleiche oder ein anderes Kommunikationsgerät sieht, so dass eine Korrelation von unterschiedlichen Applikationen nicht mehr möglich ist. Im Falle einer NFC-Kommunikation entspricht die Beendigung einer Kommunikation typischerweise dem Zeitpunkt, zu dem kein NFC-Lesefeld von der externen Kommunikationseinrichtung mehr anliegt.After the end of the ongoing communication, a new communication, which belongs to a different category than the ended communication, can only be started after a predetermined period of time has elapsed. A new communication relationship between an external communication device and the communication device can e.g. based on new addresses and especially IP addresses. In this way, security against attacks is further improved. In the embodiment described below, in which communication takes place via an NFC interface, the predetermined time period is preferably selected to be long enough that another communication device can be brought into the NFC reading field of the external communication device within the time period. The external communication device can then no longer distinguish whether it is seeing the same or a different communication device, so that a correlation of different applications is no longer possible. In the case of NFC communication, the termination of a communication typically corresponds to the point in time at which there is no longer an NFC reading field from the external communication device.

Die oben erläuterte vorbestimmte Zeitspanne bis zur Wiederaufnahme einer neuen Kommunikation kann im Kommunikationsgerät durch einen Timer bzw. Zeitgeber festgestellt werden. Gegebenenfalls besteht auch die Möglichkeit, dass die Zeitspanne über die Entladung eines RC-Glieds mit vorgegebener Zeitkonstante erfasst wird. Der Einsatz eines RC-Glieds kommt insbesondere dann in Betracht, wenn das Kommunikationsgerät über keine eigene Stromversorgung verfügt, sondern beispielsweise über ein NFC-Lesefeld einer externen Kommunikationseinrichtung Energie bezieht.The predetermined period of time explained above until a new communication is resumed can be determined in the communication device by means of a timer. If necessary, there is also the possibility that the time span is recorded via the discharge of an RC element with a specified time constant. The use of an RC element comes into consideration in particular when the communication device does not have its own power supply, but draws energy, for example, via an NFC reading field of an external communication device.

In einer weiteren Variante des erfindungsgemäßen Verfahrens kann die Kategorie einer laufenden Applikation bei Vorliegen einer oder mehrerer Bedingungen verändert werden. Vorzugsweise wird eine laufende Applikation in eine Kategorie einer Sicherheitsstufe mit einer höheren Anforderung an die Privatheit als die aktuelle Kategorie der laufenden Applikation eingestuft, falls vorbestimmte Daten durch die laufende Applikation der externen Kommunikationseinrichtung bereitgestellt werden, wobei die vorbestimmten Daten vorzugsweise private Daten und insbesondere Identitätsdaten einer Person umfassen. Auf diese Weise können die Kategorien der laufenden Applikationen dynamisch angepasst werden. Zum verbesserten Schutz gegen Angriffe kann in einer bevorzugten Variante eine laufende Applikation nur in eine Kategorie einer höheren Sicherheitsstufe eingestuft werden.In a further variant of the method according to the invention, the category of a running application can be changed when one or more conditions are present. A running application is preferably classified in a category of a security level with a higher requirement for privacy than the current category of the running application, if predetermined data are provided by the running application of the external communication device, the predetermined data preferably being private data and in particular identity data of a Person embrace. In this way, the categories of running applications can be adapted dynamically. For improved protection against attacks, in a preferred variant, a running application can only be classified in a category with a higher security level.

Die im erfindungsgemäßen Verfahren verwendeten Sicherheitsmodule können unterschiedlich ausgestaltet sein. Insbesondere können die Sicherheitsmodule einen oder mehrere austauschbare Datenträger im Kommunikationsgerät, z.B. eine oder mehrere SIM/USIM-Karten und/oder microSD-Karten, umfassen. Ebenso können die Sicherheitsmodule gegebenenfalls eine oder mehrere fest im Kommunikationsgerät integrierte Datenträger sein, vorzugsweise eine oder mehrere sog. Embedded SIM/USIM-Karten.The security modules used in the method according to the invention can be designed differently. In particular, the security modules can have one or more exchangeable data carriers in the communication device, e.g. one or more SIM / USIM cards and / or microSD cards. Likewise, the security modules can optionally be one or more data carriers permanently integrated in the communication device, preferably one or more so-called embedded SIM / USIM cards.

Das im erfindungsgemäßen Verfahren verwendete Kommunikationsgerät kann z.B. als ein mobiles Endgerät, vorzugsweise in der Form eines Mobilfunkgeräts, ausgestaltet sein. Ebenso kann das Kommunikationsgerät als tragbarer Datenträger, insbesondere als Chipkarte und vorzugsweise als Chipkarte mit kontaktloser Kommunikationsschnittstelle (z.B. NFC-Schnittstelle), ausgestaltet sein.The communication device used in the method according to the invention can e.g. be designed as a mobile terminal, preferably in the form of a mobile radio device. The communication device can also be designed as a portable data carrier, in particular as a chip card and preferably as a chip card with a contactless communication interface (e.g. NFC interface).

Je nach Ausführungsform kann die Kommunikation zwischen dem oder den Sicherheitsmodulen und dem externen Kommunikationsgerät auf unterschiedliche Weise erfolgen. In einer besonders bevorzugten Ausführungsform wird hierzu eine NFC-Schnittstelle (NFC = Near Field Communication) genutzt, bei der über kurze Reichweiten von bis zu einigen Metern Informationen ausgetauscht werden können. In diesem Fall stellen die Sicherheitsmodule sog. Secure Elements dar und die externe Kommunikationseinrichtung ist ein NFC-Leser. Alternativ oder zusätzlich kann die Kommunikation zwischen dem oder den Sicherheitsmodulen und der externen Kommunikationseinrichtung auch über eine Mobilfunkschnittstelle stattfinden. In diesem Fall ist die externe Kommunikationseinrichtung z.B. ein Server, der unter Zwischenschaltung der Mobilfunkschnittstelle mit dem Kommunikationsgerät bzw. den darin enthaltenen Sicherheitsmodulen kommuniziert.Depending on the embodiment, the communication between the security module or modules and the external communication device can take place in different ways. In a particularly preferred embodiment, an NFC interface (NFC = Near Field Communication) is used for this purpose, in which information can be exchanged over short ranges of up to a few meters. In this case, the security modules represent so-called secure elements and the external communication device is an NFC reader. Alternatively or additionally, the communication between the security module or modules and the external communication device can also take place via a mobile radio interface. In this case, the external communication device is, for example, a server which communicates with the communication device or the security modules contained therein with the interposition of the mobile radio interface.

Neben dem oben beschriebenen Verfahren betrifft die Erfindung ferner ein Kommunikationsgerät mit einem oder mehreren Sicherheitsmodulen, auf denen Applikationen gespeichert sind, wobei das oder die Sicherheitsmodule über das Kommunikationsgerät mit einer externen Kommunikationseinrichtung kommunizieren können. Das Kommunikationsgerät ist dabei für eine Verwaltung der Applikationen basierend auf dem erfindungsgemäßen Verfahren bzw. einer oder mehrerer bevorzugter Varianten des erfindungsgemäßen Verfahrens eingerichtet.In addition to the method described above, the invention also relates to a communication device with one or more security modules on which applications are stored, wherein the security module or modules can communicate with an external communication device via the communication device. The communication device is set up to manage the applications based on the method according to the invention or one or more preferred variants of the method according to the invention.

Ausführungsbeispiele der Erfindung werden nachfolgend anhand der beigefügten 1 detailliert erläutert. Diese Figur ist eine schematische Darstellung, welche die Verwaltung von Applikationen gemäß einer Ausführungsform der Erfindung verdeutlicht.Embodiments of the invention are described below with reference to the attached 1 explained in detail. This figure is a schematic illustration which illustrates the administration of applications according to an embodiment of the invention.

Im Folgenden wird die Erfindung basierend auf einem Kommunikationsgerät 1 in der Form eines Mobilfunkgeräts bzw. Mobiltelefons beschrieben, welches in 1 lediglich schematisch angedeutet ist. In dem Kommunikationsgerät ist ein Sicherheitsmodul bzw. Secure Element 3 enthalten. Für das Sicherheitsmodul bzw. das Secure Element 3 ist in dem Ausführungsbeispiel der 1 in der Form einer SIM-Karte ausgebildet, welche über eine NFC-Schnittstelle 2, die in dem Mobiltelefon vorgesehen ist, mit einer externen Kommunikationseinrichtung in der Form eines NFC-Lesegeräts 4 kommunizieren kann. In alternativen Ausführungen ist das Sicherheitsmodul als sog. Embedded Secure Element ausgestaltet, das fest in dem Kommunikationsgerät integriert ist. Ebenso kann das Sicherheitsmodul auch als microSD-Karte ausgebildet sein oder in Gestalt eines anderen kleinformatigen tragbaren Datenträgers ohne eigene Energieversorgung.In the following, the invention is based on a communication device 1 in the form of a mobile device or mobile phone described in 1 is only indicated schematically. A security module or secure element is located in the communication device 3 contain. For the security module or the secure element 3 is in the embodiment of 1 in the form of a SIM card, which has an NFC interface 2 provided in the mobile phone with an external communication device in the form of an NFC reader 4th can communicate. In alternative embodiments, the security module is designed as a so-called embedded secure element that is permanently integrated in the communication device. The security module can also be designed as a microSD card or in the form of another small-format portable data carrier without its own power supply.

Auf dem Sicherheitsmodul 3 ist eine Vielzahl von Applikationen A1, A2, usw. bis AM hinterlegt, mit denen unterschiedlichste Anwendungen durchgeführt werden können. Beispielsweise kann eine Applikation im Rahmen der NFC-Kommunikation dem Lesegerät 4 die Nummer eines Bonusprogramms zum Sammeln von Bonuspunkten liefern. Im Rahmen einer anderen Applikation können z.B. Identitätsdaten einer Person dem Lesegerät bereitgestellt werden. Bei der ersteren Applikation handelt es sich um eine Anwendung ohne besondere Anforderungen an die Privatheit, wohingegen bei der letzteren Applikation aufgrund des Austauschs von Identitätsdaten eine hohe Anforderung an die Privatheit besteht.On the security module 3 is a variety of applications A1 , A2 , etc. to AM, with which a wide variety of applications can be carried out. For example, an application in the context of NFC communication can send the reader 4th provide the number of a bonus program for collecting bonus points. In the context of another application, for example, a person's identity data can be made available to the reader. The former application is an application without special privacy requirements, whereas the latter application has high privacy requirements due to the exchange of identity data.

Um eine Korrelation von Informationen zwischen Applikationen mit niedrigen bzw. keinen Privatheits-Anforderungen und Applikationen mit hohen Privatheits-Anforderungen zu vermeiden, werden in dem Sicherheitsmodul 3 der 1 die Applikationen gemäß ihren Anforderungen an die Privatheit in unterschiedliche Kategorien eingeteilt. In 1 sind für das Sicherheitsmodul 3 beispielhaft drei unterschiedliche Kategorien C1, C2 und C3 gezeigt. Die Kategorien C1 bis C3 entsprechen verschiedenen Sicherheitsstufen in Bezug auf die Anforderungen an die Privatheit der entsprechenden Applikationen in der jeweiligen Kategorie. Die Kategorie C1 betrifft dabei Applikationen einer geringen Sicherheitsstufe bzw. ohne Anforderungen an die Privatheit, wohingegen die Anforderungen an die Privatheit bei der Kategorie C2 höher und bei der Kategorie C3 am höchsten sind. Die Kategorie C1 umfasst gemäß 1 die Applikationen A1 und A2, die Kategorie C2 die Applikationen A3, A4 und A5, und in der Kategorie C3 sind alle restlichen Applikationen bis zur Applikation AM enthalten.In order to avoid a correlation of information between applications with low or no privacy requirements and applications with high privacy requirements, the security module 3 the 1 the applications are divided into different categories according to their privacy requirements. In 1 are for the security module 3 three different categories, for example C1 , C2 and C3 shown. The categories C1 to C3 correspond to different security levels with regard to the privacy requirements of the corresponding applications in the respective category. The category C1 relates to applications with a low security level or without requirements for privacy, whereas the requirements for privacy for the category C2 higher and at the category C3 are highest. The category C1 includes according to 1 the applications A1 and A2 , the category C2 the applications A3 , A4 and A5 , and in the category C3 all other applications up to application AM are included.

Die Anzahl der in 1 dargestellten Kategorien ist lediglich beispielhaft und es können auch mehr oder weniger Kategorien vorgesehen sein. Insbesondere können gegebenenfalls auch nur zwei Kategorien vorgesehen sein, wobei in der einen Kategorie nur Applikationen ohne Privatheits-Anforderungen und in der anderen Kategorie nur Applikationen mit Privatheits-Anforderungen enthalten sind. Jedoch können die Applikationen mit Privatheits-Anforderungen auch noch in weitere Kategorien aufgeteilt werden, falls sich die Privatheits-Anforderungen unterscheiden.The number of in 1 The categories shown are only exemplary and more or fewer categories can also be provided. In particular, only two categories can optionally also be provided, one category only containing applications without privacy requirements and the other category only containing applications with privacy requirements. However, the applications with privacy requirements can also be divided into further categories if the privacy requirements differ.

In der hier beschriebenen Ausführungsform wird im Kommunikationsgerät 1 erkannt, zu welcher Kategorie aus den Kategorien der Applikationen eine laufende Kommunikation zwischen dem Sicherheitsmodul 3 und dem Lesegerät 4 gehört. Wird im Rahmen der laufenden Kommunikation beispielsweise eine Applikation auf dem Sicherheitsmodul selektiert, wird die Kommunikation der Kategorie der selektierten Applikation zugeordnet. Ebenso können für ein oder mehrere Protokolle (z.B. für ein Privacy-Protokoll), welche im Rahmen der Kommunikation zwischen dem Sicherheitsmodul und dem Lesegerät ablaufen, entsprechende Kategorien festgelegt sein, wobei die Kategorie der Kommunikation in diesem Fall entsprechend der Kategorie des gerade ablaufenden Protokolls festgelegt wird.In the embodiment described here, in the communication device 1 recognized which category from the application categories is an ongoing communication between the security module 3 and the reader 4th heard. If, for example, an application is selected on the security module during ongoing communication, the communication is assigned to the category of the selected application. Likewise can For one or more protocols (e.g. for a privacy protocol) which run within the framework of the communication between the security module and the reader, corresponding categories can be defined, the category of the communication in this case being defined according to the category of the protocol currently running.

Nach der Ermittlung der Kategorie der laufenden Kommunikation werden dann für das externe Lesegerät 4 die Applikationen aller anderen Kategorien als der Kategorie der laufenden Kommunikation ausgeblendet, d.h. das externe Lesegerät hat nur noch Zugriff auf Applikationen der Kategorie der laufenden Kommunikation. Somit können im Rahmen der laufenden Kommunikation nur Applikationen dieser Kategorie ausgeführt werden. Auf diese Weise wird eine Wechselwirkung von Applikationen unterschiedlicher Sicherheitsstufen vermieden und hierdurch Angriffen entgegengewirkt, bei denen Daten aus Applikationen unterschiedlicher Sicherheitsstufen miteinander korreliert werden bzw. bösartige Applikationen mit einer geringen Sicherheitsstufe andere Applikationen mit höheren Sicherheitsstufen ausforschen. Das Sicherheitsmodul verhält sich somit logisch wie mehrere Sicherheitsmodule mit unterschiedlichen Sicherheitsstufen, von denen immer nur genau eines im Rahmen der NFC-Kommunikation für das Lesegerät sichtbar ist.After determining the category of ongoing communication are then used for the external reader 4th the applications of all categories other than the category of ongoing communication are hidden, ie the external reader only has access to applications of the category of ongoing communication. This means that only applications of this category can be executed within the framework of ongoing communication. In this way, an interaction between applications of different security levels is avoided and attacks are counteracted in which data from applications of different security levels are correlated with one another or malicious applications with a low security level investigate other applications with higher security levels. The security module thus behaves logically like several security modules with different security levels, of which only exactly one is visible to the reader in the context of NFC communication.

Die Festlegung, welche Applikationen für das Lesegerät sichtbar sind, gilt für den Zeitraum der laufenden Kommunikation, was bei der NFC-Kommunikation typischerweise mit der Zeitspanne korreliert, in der das Lesefeld des Lesegeräts 4 am Kommunikationsgerät 1 anliegt. Über einen bösartigen Angriff könnte ein manipuliertes Lesegerät in der Zeit, in der ein Nutzer das Kommunikationsgerät vor das Lesegerät hält, durch Ein- und Ausschalten des Lesefeldes Kommunikationen in unterschiedlichen Kategorien (z.B. unterschiedliche Privacy-Sessions) zwischen Sicherheitsmodul und Lesegerät starten, um hierdurch private Informationen aus den Applikationen auszuspähen. Zur Vermeidung von solchen Angriffen wird in einer besonders bevorzugten Ausführungsform der Start einer neuen Kommunikation in einer anderen Kategorie als die vorhergehende, gerade beendete Kommunikation erst dann erlaubt, wenn die vorhergehende Kommunikation länger als eine vorbestimmte Zeitdauer beendet wurde, d.h. wenn über eine vorbestimmte Totzeit kein Lesefeld registriert wurde. Die Zeitdauer wird dabei derart eingestellt, dass sie in etwa der Zeit entspricht, die benötigt wird, um ein anderes Kommunikationsgerät vor das Lesegerät 4 zu bringen. Diese Zeit beträgt etwa 2 bis 3 Sekunden. Für das Lesegerät ist dann nicht unterscheidbar, ob es das gleiche oder ein anderes Kommunikationsgerät sieht und eine Korrelation von unterschiedlichen Applikationen ist damit nicht mehr möglich. Die Totzeit wird dabei über einen Timer bzw. Zeitgeber im Kommunikationsgerät gemessen.The definition of which applications are visible to the reader applies to the period of ongoing communication, which in NFC communication typically correlates with the period of time in which the reader's reading field 4th on the communication device 1 is applied. Via a malicious attack, a manipulated reading device could start communications in different categories (e.g. different privacy sessions) between the security module and reading device during the time that a user is holding the communication device in front of the reading device by switching the reading field on and off Spy on information from the applications. To avoid such attacks, in a particularly preferred embodiment, the start of a new communication in a different category than the previous, just ended communication is only allowed if the previous communication was ended longer than a predetermined period of time, that is, if no over a predetermined dead time Reading field was registered. The duration is set in such a way that it roughly corresponds to the time that is required to move another communication device in front of the reader 4th bring to. This time is around 2 to 3 seconds. The reader cannot then distinguish whether it is seeing the same or a different communication device and a correlation between different applications is no longer possible. The dead time is measured by a timer in the communication device.

In einer Abwandlung der soeben beschriebenen Ausführungsform kann das Kommunikationsgerät auch mehrere Sicherheitsmodule enthalten. Die Sicherheitsmodule können dabei von gleicher Bauform sein, z.B. in Form von SIM-Karten, oder unterschiedliche Bauformen aufweisen, indem etwa ein erstes Sicherheitsmodul als fest in dem Kommunikationsgerät integriertes Embedded Secure Element ausgestaltet ist und ein anderes als microSD-Karte.In a modification of the embodiment just described, the communication device can also contain several security modules. The security modules can be of the same design, e.g. in the form of SIM cards, or have different designs in that, for example, a first security module is configured as an embedded secure element permanently integrated in the communication device and another is configured as a microSD card.

In dem Fall mehrere Sicherheitsmodule wird eine Koordination der Sicherheitsmodule untereinander bzw. ein entsprechendes Verhalten des NFC-Controllers zur Steuerung der NFC-Schnittstelle implementiert. Wenn auf einem Sicherheitsmodul Applikationen einer vorbestimmten Sicherheitsstufe installiert sind, ist sicherzustellen, dass die NFC-Schnittstelle für die laufende Kommunikation in der Kategorie der vorbestimmten Sicherheitsstufe einschließlich der anschließenden Totzeit dem Sicherheitsmodul exklusiv zur Verfügung steht und anschließend die Parameter, mit denen sich der NFC-Controller als Kommunikationsgerät zu erkennen gibt (z.B. random UID), gewechselt werden.In the case of several security modules, a coordination of the security modules with one another or a corresponding behavior of the NFC controller for controlling the NFC interface is implemented. If applications with a predetermined security level are installed on a security module, it must be ensured that the NFC interface for ongoing communication in the category of the predetermined security level including the subsequent dead time is exclusively available to the security module and then the parameters with which the NFC The controller can be recognized as a communication device (e.g. random UID).

In einer weiteren Ausführungsform ist das oben beschriebene Kommunikationsgerät nicht als Mobilfunkgerät, sondern als eine kontaktlose Chipkarte ausgebildet. Dabei besteht das Problem, dass eine Chipkarte in der Regel über keine eigene Stromversorgung verfügt, sondern über das Lesefeld des Lesegeräts gespeist wird, so dass zur Messung der Totzeit kein Timer bzw. Zeitgeber zur Verfügung steht. Jedoch kann in einer solchen Kontaktloskarte über ein RC-Glied mit einer entsprechenden Zeitkonstante, das sich beim Ausfall des Lesefelds entlädt, die entsprechende Totzeit bis zum Start einer neuen Kommunikation erzeugt werden. Allgemein kann das erfindungsgemäße Verfahren dadurch ergänzt werden, dass eine vorbestimmte Zeitspanne im Kommunikationsgerät durch einen Timer und/ oder über die Entladung eines RC-Glieds mit vorgegebener Zeitkonstante erfasst wird.In a further embodiment, the communication device described above is not designed as a mobile radio device, but rather as a contactless chip card. The problem here is that a chip card usually does not have its own power supply, but is fed via the reading field of the reader, so that no timer or timer is available for measuring the dead time. However, in such a contactless card, the corresponding dead time until the start of a new communication can be generated via an RC element with a corresponding time constant, which is discharged when the reading field fails. In general, the method according to the invention can be supplemented in that a predetermined period of time is recorded in the communication device by a timer and / or via the discharge of an RC element with a predetermined time constant.

Das erfindungsgemäße Verfahren kann ferner auch in Kommunikationsgeräten in der Form von allgemeinen Multi-Applikationskarten implementiert werden. Insbesondere kann das Verfahren in Karten nach dem Standard ISO/IEC 7816, wie z.B. dem deutschen Personalausweis oder der Gesundheitskarte, angewendet werden.The method according to the invention can furthermore also be implemented in communication devices in the form of general multi-application maps. In particular, the method can be used in cards according to the ISO / IEC standard 7816 , such as the German identity card or the health card, can be used.

Das Verfahren ist ferner nicht auf eine Kommunikation über eine NFC-Schnittstelle beschränkt. Vielmehr kann die Kommunikation zwischen dem Kommunikationsgerät und einer externen Kommunikationseinrichtung gegebenenfalls auch über ein Mobilfunknetz erfolgen, z.B. basierend auf einem sog. OTA-Zugang (OTA = Over The Air) der Applikationen in einem Mobilfunknetz. In diesem Fall ist die Kommunikationseinrichtung kein NFC-Leser, sondern ein entsprechender OTA-Server. Auch bei einer derartigen Realisierung des erfindungsgemäßen Verfahrens können zu einem Zeitpunkt immer nur Applikationen einer Kategorie aktiv sein. Um auf eine andere Kategorie umzuschalten, müssen dann entsprechende Netzwerkverbindungen (PDP-Kontext der BIP-Sessions) abgebaut und mit einer anderen IP-Adresse neu aufgebaut werden. Auf diese Weise wird eine Korrelation über IP-Adressen verhindert.The method is also not restricted to communication via an NFC interface. Rather, the communication between the communication device and an external communication device can optionally also take place via a cellular network, e.g. based on what is known as OTA access (OTA = Over The Air) of the applications in a cellular network. In this case, the communication device is not an NFC reader, but a corresponding OTA server. Even with such an implementation of the method according to the invention, only applications of one category can be active at any one time. In order to switch to another category, the corresponding network connections (PDP context of the BIP sessions) must then be cleared down and re-established with a different IP address. This prevents any correlation via IP addresses.

In einer weiteren Ausgestaltung des erfindungsgemäßen Verfahrens lässt sich die Kategorisierung der Applikationen auch dynamisch zur Laufzeit ändern. Beispielsweise kann eine Applikation solange in einer Kategorie mit geringen Privacy-Anforderungen bzw. keinen Privacy-Anforderungen verbleiben, bis die Applikation entsprechende Identitäts-Daten eines Nutzers preisgibt. Bei einem Wechsel der Kategorie einer laufenden Applikation wird dann dem Lesegerät nur noch der Zugriff auf die Applikationen der geänderten Kategorie erlaubt. Aus Sicherheitsgründen ist dabei bei einer laufenden Applikation immer nur eine Einstufung in eine höhere Sicherheitsstufe möglich.In a further embodiment of the method according to the invention, the categorization of the applications can also be changed dynamically at runtime. For example, an application can remain in a category with low privacy requirements or no privacy requirements until the application reveals corresponding identity data of a user. If the category of a running application is changed, the reader is only allowed access to the applications of the changed category. For security reasons, a running application can only be assigned to a higher security level.

Die im Vorangegangenen beschriebenen Ausführungsformen des erfindungsgemäßen Verfahrens weisen eine Reihe von Vorteilen auf. Insbesondere lassen sich auf einem Sicherheitsmodul bzw. Secure Element Applikationen mit unterschiedlichen Sicherheitsstufen und damit unterschiedlichen Privatheits-Anforderungen installieren. Dabei wird sichergestellt, dass Applikationen mit keinen oder niedrigen Sicherheitsstufen Applikationen mit höheren Sicherheitsstufen nicht beeinträchtigen können. Dies wird dadurch erreicht, dass eine externe Kommunikationseinrichtung nur gleichzeitig Zugriff auf die Applikationen einer Kategorie hat.The above-described embodiments of the method according to the invention have a number of advantages. In particular, applications with different security levels and thus different privacy requirements can be installed on a security module or secure element. This ensures that applications with no or low security levels cannot impair applications with higher security levels. This is achieved in that an external communication device only has simultaneous access to the applications of a category.

Claims

Method for managing applications (A1, A2, ..., AM) on one or more security modules (3) in a communication device (1), wherein the security module (s) (3) via the communication device (1) with an external communication device ( 4) can communicate, with the applications (A1, A2, ..., AM) being assigned to respective categories (C1, C2, C3) from a plurality of categories (C1, C2, C3); - an ongoing communication between a security module (3) and the external communication device (4) is classified in a category (C1, C2, C3) from the plurality of categories (C1, C2, C3) and the external communication device (4) is only one Access to applications (A1, A2, ..., AM) of the same category (C1, C2, C3) as the ongoing communication (A1, A2, ..., AM) is made possible, characterized in that after the termination of the ongoing communication (A1, A2, ..., AM) a new communication (A1, A2, ..., AM) which belongs to a different category (C1, C2, C3) than the terminated communication (A1, A2,. .., AM) can only be started after a predetermined period of time has elapsed.

Procedure according to Claim 1 , characterized in that if the ongoing communication includes the selection of an application (A1, A2, ..., AM) or relates to a type of communication in a predetermined category, the ongoing communication in the category of the selected application or in the predetermined category of Communication type is classified.

Procedure according to Claim 1 or 2 , characterized in that the plurality of categories (C1, C2, C3) represent different security levels, each security level being a requirement level for the privacy of the applications (A1, A2, ..., AM) in the corresponding category (C1, C2 , C3).

Procedure according to Claim 3 , characterized in that at least one security level summarizes applications (A1, A2, ..., AM) without a requirement for the privacy of the applications (A1, A2, ..., AM) and at least one other security level combines applications (A1, A2 , ..., AM) with a requirement for the privacy of the applications (A1, A2, ..., AM).

Method according to one of the preceding claims, characterized in that the applications (A1, A2, ..., AM) are managed on one or more security modules (3) which contain one or more exchangeable data carriers in the communication device (1), in particular one or multiple SIM / USIM cards and / or microSD cards, and / or one or more fixedly integrated data carriers in the communication device, in particular one or more embedded SIM / USIM cards.

Method according to one of the preceding claims, characterized in that the communication of the security module or modules (3) with the external communication device (4) takes place via a communication device in the form of a mobile terminal device, in particular a mobile radio device.

The method according to one of the preceding claims, characterized in that the communication of the security module or modules (3) with the external communication device (4) via a Communication device (1) in the form of a portable data carrier, in particular a chip card and preferably a chip card with a contactless interface.

Communication device with one or more security modules (3) on which applications (A1, A2, ..., AM) are stored, the security module or modules (3) being able to communicate with an external communication device (4) via the communication device (1) , the communication device (1) being set up to manage the applications (A1, A2, ..., AM), in which - the applications (A1, A2, ..., AM) of the respective categories (C1, C2, C3 ) are assigned from a plurality of categories (C1, C2, C3); - an ongoing communication between a security module (3) and the external communication device (4) is classified in a category (C1, C2, C3) from the plurality of categories (C1, C2, C3) and the external communication device (4) is only one Access to applications (A1, A2, ..., AM) of the same category as the ongoing communication is made possible, characterized in that the communication device (1) is set up in such a way that after the ongoing communication (A1, A2,. .., AM) a new communication (A1, A2, ..., AM), which belongs to a different category (C1, C2, C3) than the terminated communication (A1, A2, ..., AM), first can be started after a predetermined period of time.

Communication device Claim 8 , characterized in that the communication device for performing a method according to one of the Claims 1 to 7th is set up.