DE102013021621A1

DE102013021621A1 - Verfahren zur Konfiguration eines virtuellen Sicherheitselements

Info

Publication number: DE102013021621A1
Application number: DE102013021621.4A
Authority: DE
Inventors: Werner Mathé
Original assignee: Giesecke and Devrient GmbH
Current assignee: GIESECKE+DEVRIENT MOBILE SECURITY GERMANY GMBH, DE
Priority date: 2013-12-18
Filing date: 2013-12-18
Publication date: 2015-06-18

Abstract

Die vorliegende Erfindung offenbart ein Verfahren zur Konfiguration eines virtuellen Sicherheitselements eines mobilen Kommunikationsgeräts, wobei zwischen dem Kommunikationsgerät und einem Terminal eine Kommunikationsverbindung besteht, wobei das virtuelle Sicherheitselement in einem physischen Sicherheitselement des Kommunikationsgeräts gespeichert ist, wobei das physische Sicherheitselement mindestens einen Prozessor, mindestens einen Speicher und mindestens eine Schnittstelle zur Datenverarbeitung aufweist, wobei alle Anwendungen, die zu einem Anwendungsgebiet gehören, in einer Gruppe für das Anwendungsgebiet zusammengefasst werden, wobei eine erste Einheit (4), die sich auf dem Kommunikationsgerät befindet, bei Empfang eines Kommandos (2) des Terminals zur Auswahl einer Anwendung zuerst das Kommando (2) prüft und eine Gruppe eines zugehörigen Anwendungsgebiets für das Kommando (2) bestimmt und anschließend bei erfolgreicher Prüfung und Bestimmung das Kommando weiterleitet an eine zweite Einheit (10), die sich auf dem Kommunikationsgerät befindet, die das Kommando an das virtuelle Sicherheitselement innerhalb der bestimmten Gruppe eines zugehörigen Anwendungsgebiets für das Kommando weiterleitet um eine in dem virtuellen Sicherheitselement gespeicherte Anwendung (16) auszuführen, welches sich dadurch auszeichnet, dass ein Benutzer des Kommunikationsgeräts eine neue Gruppe eines zugehörigen Anwendungsgebiets für ein Kommando selbst anlegt und eine Zuordnung zwischen der neuen Gruppe und mindestens einem Kommando selbst bestimmt, wenn ein Kommando vom Terminal empfangen wird, für das keine Gruppe bestimmt werden kann.

Description

Die Erfindung beschreibt ein Verfahren zur Konfiguration eines virtuellen Sicherheitselements eines mobilen Kommunikationsgeräts.
Aus dem Stand der Technik sind mobile Kommunikationsgeräte, z. B. ein Smartphone, bekannt, die mindestens ein physisches Sicherheitselement, z. B. eine SIM-Karte enthalten. Des Weiteren bekannt sind physische Sicherheitselemente, in denen mindestens ein virtuelles Sicherheitselement gespeichert ist. In jedem virtuellen Sicherheitselement ist in der Regel mindestens eine Anwendung gespeichert. Vor einem Zugriff auf die Anwendung eines virtuellen Sicherheitselements durch einen Benutzer oder ein Terminal, z. B. ein Bank-Terminal, muss explizit ein geeignetes virtuelles Sicherheitselement ausgewählt werden. Dies hat den Nachteil, dass wenn unterschiedliche Anwendungen mit unterschiedlichen Funktionen in unterschiedlichen virtuellen Sicherheitselementen abgespeichert sind, dann muss z. B. der Benutzer oder das Terminal bei jeder Benutzung eine Auswahl treffen, welche Anwendung ausgewählt und verwendet werden soll. Dies ist zeitaufwändig und umständlich. Ferner bereitet der Aufruf von unbekannten oder relativ selten verwendeten Anwendungen Probleme.
Ausgehend vom Stand der Technik ist es Aufgabe der Erfindung eine Lösung zu finden, welche den beschriebenen Nachteil vermeidet.
Die Aufgabe der Erfindung wird durch den unabhängigen Anspruch gelöst. Vorteilhafte Ausführungen sind in den abhängigen Ansprüchen beschrieben.
Zur Lösung der Aufgabe offenbart die Erfindung ein Verfahren zur Konfiguration eines virtuellen Sicherheitselements eines mobilen Kommunikationsgeräts,
wobei zwischen dem Kommunikationsgerät und einem Terminal eine Kommunikationsverbindung besteht,
wobei das virtuelle Sicherheitselement in einem physischen Sicherheitselement des Kommunikationsgeräts gespeichert ist,
wobei das physische Sicherheitselement mindestens einen Prozessor, mindestens einen Speicher und mindestens eine Schnittstelle zur Datenverarbeitung aufweist,
wobei alle Anwendungen, die zu einem Anwendungsgebiet gehören, in einer Gruppe für das Anwendungsgebiet zusammengefasst werden,
wobei eine erste Einheit, die sich auf dem Kommunikationsgerät befindet, bei Empfang eines Kommandos des Terminals zur Auswahl einer Anwendung zuerst das Kommando prüft und eine Gruppe eines zugehörigen Anwendungsgebiets für das Kommando bestimmt und anschließend bei erfolgreicher Prüfung und Bestimmung das Kommando weiterleitet an
eine zweite Einheit, die sich auf dem Kommunikationsgerät befindet, die das Kommando an das virtuelle Sicherheitselement innerhalb der bestimmten Gruppe eines zugehörigen Anwendungsgebiets für das Kommando weiterleitet um eine in dem virtuellen Sicherheitselement gespeicherte Anwendung auszuführen,
welches sich dadurch auszeichnet, dass
ein Benutzer des Kommunikationsgeräts eine neue Gruppe eines zugehörigen Anwendungsgebiets für ein Kommando selbst anlegt und
eine Zuordnung zwischen der neuen Gruppe und mindestens einem Kommando selbst bestimmt,
wenn ein Kommando vom Terminal empfangen wird, für das keine Gruppe bestimmt werden kann.
Ein vorteilhaftes Ausführungsbeispiel ist, dass der Benutzer in einer Zuordnungsstruktur die neue Gruppe anlegt.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass der Benutzer in einer Zuordnungsstruktur mindestens eine Anwendung der neuen Gruppe zuordnet.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass der Benutzer mindestens ein virtuelles Sicherheitselement der neuen Gruppe als bevorzugtes virtuelles Sicherheitselement auswählt.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass die erste Einheit zuerst das Kommando um die bestimmte Gruppe eines zugehörigen Anwendungsgebiets für das Kommando ergänzt und anschließend das ergänzte Kommando an die zweite Einheit weiterleitet.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass die erste Einheit nach Initialisierung des physischen Sicherheitselements des Kommunikationsgeräts alle vom Terminal empfangenen Daten hinsichtlich eines Kommandos des Terminals prüft.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass nach erfolgreicher Prüfung und Bestimmung durch die erste Einheit des vom Terminal empfangenen Kommandos hinsichtlich einer Gruppe eines zugehörigen Anwendungsgebiets alle folgenden vom Terminal empfangenen Kommandos bis zur nächsten Deinitialisierung des physischen Sicherheitselements mit der Gruppe eines zugehörigen Anwendungsgebiets erweitert werden und an die zweite Einheit weitergeleitet werden.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass das Anwendungsgebiet bestimmt wird, indem ein Kennzeichen des Kommandos bestimmt wird.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass als Kennzeichen des Kommandos ein Application Identifier verwendet wird.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass mindestens eine Anwendung in einem virtuellen Sicherheitselement gespeichert wird.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass ein Benutzer innerhalb einer Gruppe bestimmt, welches virtuelle Sicherheitselement bevorzugt verwendet wird.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass falls die erste Einheit keine Gruppe eines zugehörigen Anwendungsgebiets für das Kommando bestimmen kann, eine eigene Gruppe verwendet wird, der alle Kommandos zugewiesen werden, für die keine Gruppe eines zugehörigen Anwendungsgebiets bestimmt werden kann.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass die erste Einheit und/oder die zweite Einheit zumindest teilweise im physischen Sicherheitselement des Kommunikationsgeräts ausgeführt werden. Beispielsweise kann die erste Einheit im Kommunikationsgerät und die zweite Einheit im sicheren Element ausgeführt werden.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass als Kommunikationsverbindung eine kontaktlose und/oder eine kontaktgebundene Kommunikationsverbindung verwendet werden.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass als physisches Sicherheitselement eine SIM-Karte verwendet wird.
Ein weiteres vorteilhaftes Ausführungsbeispiel ist, dass als mobiles Kommunikationsgerät ein Smartphone verwendet wird.
Im Folgenden wird ein prinzipielles Ausführungsbeispiel der Erfindung anhand der beigefügten Figur beschrieben.
1 zeigt die funktionale Umgebung, in der die Erfindung eingesetzt wird.
Ein Terminal, z. B. ein Bankterminal, welches hier aus Gründen der Übersichtlichkeit nicht dargestellt ist, sendet ein Kommando 2 an ein nicht dargestelltes mobiles Kommunikationsgerät, z. B. ein Smart Phone. Im Kommunikationsgerät wird das Kommando 2 an ein hier nicht dargestelltes physikalisches Sicherheitselement, z. B. eine SIM-Karte, weitergeleitet. In der SIM-Karte befindet sich eine erste Einheit 4. Die erste Einheit 4 prüft das Kommando 2 z. B. mittels einer Tabelle oder einer Zuordnungsstruktur 6, in der eine Zuordnung von möglichen Kommandos zu einer Gruppe eines zugehörigen Anwendungsgebiets enthalten ist. Eine Prüfung des Kommandos 2 kann auch durch einen Vergleich mit einem in der Tabelle 6 gespeicherten Application Identifier (AID) erfolgen. Als mögliches Anwendungsgebiet kommen z. B. die Verwendung als Kreditkarte, Nahverkehrskarte, Ausweis, Kundenbindungskarte in Frage. Pro Gruppe kann mindestens eine Anwendung vorhanden sein. Die Anwendung ist jeweils vorzugsweise in einem virtuellen Sicherheitselement gespeichert. Findet die erste Einheit 4 eine Zuordnung zwischen dem Kommando 2 und einer Gruppe aus z. B. der Tabelle oder der Zuordnungsstruktur 6, so ergänzt sie das Kommando 2 um die gefundene Gruppe zu einem ergänzten Kommando 8. Die erste Einheit 4 sendet das Kommando 8 an eine zweite Einheit 10. Die zweite Einheit 10 prüft mittels einer Tabelle 12, welches bevorzugte virtuelle Sicherheitselement für die Gruppe von Kommando 8 verwendet werden soll. In der Regel trifft ein Benutzer die Auswahl, welches virtuelle Sicherheitselement für ein Anwendungsgebiet bevorzugt verwendet werden soll. Die zweite Einheit 10 wertet das Kommando 8, insbesondere eine Zugehörigkeit zu einer Gruppeaus, entfernt Ergänzungen, z. B. die Gruppe, der ersten Einheit 4, so dass ein von der zweiten Einheit 10 erzeugtes Kommando 14 dem Kommando 2 gleicht und leitet das Kommando 14 an das bevorzugte virtuelle Sicherheitselement 16, damit eine Anwendung, die im bevorzugten virtuellen Sicherheitselement 16 abgespeichert ist, das Kommando 14 ausführt. Damit werden automatisch das von einem Terminal angefragte Anwendungsgebiet und das dazugehörige bevorzugte virtuelle Sicherheitselement 16 aufgerufen und die Anwendung im bevorzugten virtuellen Sicherheitselement 16 ausgeführt, ohne dass sich ein Benutzer um die Auswahl kümmern muss. Ferner muss sich der Benutzer nicht um eine Auswahl oder einen Wechsel des virtuellen Sicherheitselements kümmern.
In der Regel findet eine Zuordnung von Kommandos zu einer Gruppe zentralisiert statt, z. B. bei einem Hersteller des physikalischen Sicherheitselements, z. B. einer SIM-Karte. Empfängt die erste Einheit 4 ein Kommando 2 eines Terminals, dem keine Gruppe in der Tabelle oder Zuordnungsstruktur 6 zugeordnet werden kann, dann bleibt nur die Möglichkeit, dem Kommando 2 eine Gruppe zuzuordnen, die für unbekannte Kommandos gedacht ist.
Um dieser Situation abzuhelfen, schlägt die Erfindung vor, dass ein Benutzer des Kommunikationsgeräts eine neue Gruppe eines zugehörigen Anwendungsgebiets für das Kommando 2 selbst anlegt und eine Zuordnung zwischen der neuen Gruppe und dem Kommando selbst bestimmt. Dazu legt der Benutzer in der Tabelle oder Zuordnungsstruktur 6 die neue Gruppe an. Ferner ordnet der Benutzer in der Tabelle oder Zuordnungsstruktur 6 oder 12 mindestens eine Anwendung der neuen Gruppe zu. Außerdem wählt der Benutzer ein virtuelles Sicherheitselement für die neue Gruppe als bevorzugtes virtuelles Sicherheitselement 16 aus. Das erfindungsgemäße Verfahren wird vorzugsweise gestartet, sobald ein Kommando 2 vom Terminal empfangen wird, dem keine Gruppe zugeordnet werden kann.
Ferner besteht die Möglichkeit, dass durch den Benutzer angelegte Gruppen zunächst als privat klassifiziert werden. Wenn bestimmte Anwendungen später durch öffentliche Zuordnungen erreichbar werden, kann der Benutzer darüber informiert werden und selbst entscheiden, ob die private Gruppe verändert werden soll.
Vorteilhaft an der Erfindung ist, dass wenn ein Terminal verwendet wird, dessen Kommandos bisher keine Gruppe zugeordnet worden ist, so bleibt eine einfache Benutzung des Kommunikationsgeräts erhalten, welche die oben beschriebenen Probleme vermeidet.

Claims

Verfahren zur Konfiguration eines virtuellen Sicherheitselements eines mobilen Kommunikationsgeräts, wobei zwischen dem Kommunikationsgerät und einem Terminal eine Kommunikationsverbindung besteht, wobei das virtuelle Sicherheitselement in einem physischen Sicherheitselement des Kommunikationsgeräts gespeichert ist, wobei das physische Sicherheitselement mindestens einen Prozessor, mindestens einen Speicher und mindestens eine Schnittstelle zur Datenverarbeitung aufweist, wobei alle Anwendungen, die zu einem Anwendungsgebiet gehören, in einer Gruppe für das Anwendungsgebiet zusammengefasst werden, wobei eine erste Einheit (4), die sich auf dem Kommunikationsgerät befindet, bei Empfang eines Kommandos (2) des Terminals zur Auswahl einer Anwendung zuerst das Kommando (2) prüft und eine Gruppe eines zugehörigen Anwendungsgebiets für das Kommando (2) bestimmt und anschließend bei erfolgreicher Prüfung und Bestimmung das Kommando weiterleitet an eine zweite Einheit (10), die sich auf dem Kommunikationsgerät befindet, die das Kommando an das virtuelle Sicherheitselement innerhalb der bestimmten Gruppe eines zugehörigen Anwendungsgebiets für das Kommando weiterleitet um eine in dem virtuellen Sicherheitselement gespeicherte Anwendung (16) auszuführen, dadurch gekennzeichnet, dass ein Benutzer des Kommunikationsgeräts eine neue Gruppe eines zugehörigen Anwendungsgebiets für ein Kommando selbst anlegt und eine Zuordnung zwischen der neuen Gruppe und mindestens einem Kommando selbst bestimmt, wenn ein Kommando vom Terminal empfangen wird, für das keine Gruppe bestimmt werden kann.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Benutzer in einer Zuordnungsstruktur (6) die neue Gruppe anlegt.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Benutzer in einer Zuordnungsstruktur (6, 12) mindestens eine Anwendung der neuen Gruppe zuordnet.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass der Benutzer mindestens ein virtuelles Sicherheitselement der neuen Gruppe als bevorzugtes virtuelles Sicherheitselement auswählt.