-
Verschiedene Aspekte der Offenbarung betreffen allgemein eine Funkfrequenz-Identifikations- (radio frequency identification, RFID) Chipkarten-Technologie und Datensicherheit unter Verwendung mehrerer RFID Chips.
-
Funkfrequenz-Identifikation (radio frequency identification, RFID) ist die Verwendung eines drahtlosen, berührungslosen (kontaktfreien) Systems, welches elektromagnetische Felder im Funkfrequenzbereich (radio frequency, RF) (auch bezeichnet als Radiofrequenzbereich) verwendet um Daten von einem Etikett (tag), welches an einem Objekt befestigt ist, zum Zweck der automatischen Identifikation und Verfolgung, zu übertragen. Einige Etiketten benötigen keine Batterie und werden mit Energie versorgt mit Hilfe der elektromagnetischen Felder, welche verwendet werden um sie auszulesen. Andere verwenden eine lokale Energiequelle und emittieren Radiowellen (elektromagnetische Strahlung im Funkfrequenzbereich). Das Etikett weist auf (beinhaltet) elektronisch gespeicherte Informationen, welche bis zu mehreren Metern (Yards) entfernt gelesen werden können. Im Gegensatz zu einem Strichcode (auch bezeichnet als Barcode) muss das Etikett nicht in der Sichtlinie des Lesegerätes sein und kann eingebettet werden in das nachverfolgte Objekt.
-
RFID-Etiketten werden in verschiedenen Industrien verwendet. Ein RFID-Etikett befestigt an einem Kraftfahrzeug während der Produktion, kann verwendet werden um seinen Fortschritt (seine Entwicklung) durch die Montagelinie zu verfolgen. Arzneimittel können durch die Lager verfolgt werden. Nutztiere und Haustiere können injizierte Etiketten aufweisen, welche eine eindeutige Identifizierung des Tieres erlauben. RFID-Identifikations-Karten können Mitarbeitern Zugang zu verschlossenen Bereichen eines Gebäudes geben, und RF-Transponder, befestigt in Kraftfahrzeugen, können verwendet werden um den Zugang von Kraftfahrzeugführern zu gebührenpflichtigen Straßen und Parkmöglichkeiten abzurechnen.
-
US 2009 / 0 224 058 A1 beschreibt eine kontaktlose Karte mit einem Master-Chip und einem Slave-Chip, wobei dem Master-Chip eine Kartenantenne und eine erste Chipantenne zugeordnet ist, wobei dem Slave-Chip eine zweite Chipantenne zugeordnet ist, und wobei die erste Chipantenne und die zweite Chipantenne mittels einer Busantenne kommunizieren können.
DE 10 2010 014 934 A1 beschreibt ein Authentifikationsverfahren bei dem eine Identität einer Person in mehrere Sub-Identitäten aufgeteilt wird. US 2008 / 0 128 514 A1 beschreibt ein Heft mit einem vorderen Einband und einem hinteren Einband, wobei der hintere Einband eine Hauptantenne und einen mit der Hauptantenne gekoppelten ersten Chip aufweist und wobei der vordere Einband eine zweite Antenne und einen mit der zweiten Antenne gekoppelten zweiten Chip aufweist.
-
In einem Bestreben Reisepässe sicherer zu gestalten, haben einige Staaten RFID in Reisepässe implementiert. Mittels der Realisierung von Reisepässen, welche RFID für das Speichern persönlicher Daten (z.B. Vor- und Familienname, Geburtsdatum, Fingerabdrücke und/oder Lichtbilder) verwenden, können nunmehr Informationen über einen Reisepassbesitzer derart abgetastet (gescannt) und gelesen werden, dass, wie z.B. bei einer Zollkontrolle, der RFID-Teil zu den Sicherheitsmerkmalen des Reisepasses wird.
-
Verschiedene Ausführungsformen stellen ein Berechtigungsnachweis-Verifikationssystem bereit, aufweisend ein erstes Funkfrequenz-Identifikations-Gehäuse (RFID), eingebettet in einen ersten Teil des Berechtigungsnachweises, das erste RFID-Gehäuse, aufweisend einen ersten Chip, eine erste Antenne, antwortend auf ein erstes Abfragesignal, die erste Antenne funktionsfähig verbunden mit dem ersten Chip, und eine nachrangige Antenne für die Erzeugung eines zweiten Abfragesignals, die nachrangige Antenne funktionsfähig verbunden mit dem ersten Chip; und ein zweites RFID-Gehäuse, eingebettet in einen zweiten Teil des Berechtigungsnachweises variabel nah dem ersten Teil des Berechtigungsnachweises, das zweite RFID-Gehäuse aufweisend einen zweiten Chip, und
eine zweite Antenne antwortend auf das zweite Abfragesignal, die zweite Antenne funktionsfähig verbunden mit dem zweiten Chip und selektiv verbunden mit der nachrangigen Antenne, wobei Daten nur von dem ersten Chip gelesen werden können, wenn die zweite Antenne und die nachrangige Antenne nicht verbunden sind.
-
Gemäß einer Ausgestaltung weist der Berechtigungsnachweis ferner einen Datenbereich auf, der Datenbereich aufweisend einen von mindestens einem visuell-lesbaren Eintrag und/oder maschinen-lesbaren Eintrag in Bezug auf den Besitzer des Berechtigungsnachweises.
-
In einer anderen Ausgestaltung antwortet die erste Antenne auf ein Signal einer ersten Frequenz, und die zweite Antenne auf ein Signal einer zweiten Frequenz, verschieden von der ersten Frequenz, antwortet.
-
In noch einer Ausgestaltung wird die selektive Verbindung der zweiten Antenne gebildet mit Hilfe mindestens einer kapazitiven oder einer induktiven Verbindung.
-
In noch einer Ausgestaltung ist die selektive Verbindung abhängig von der Nähe des zweiten Teiles des Berechtigungsnachweises zu dem ersten Teil des Berechtigungsnachweises.
-
In noch einer Ausgestaltung wird mindestens ein Teil des Eintrages gespeichert in dem zweiten Chip.
-
In noch einer Ausgestaltung weist das Berechtigungsnachweis-Verifikationssystem ferner ein Sicherheitsmerkmal, geteilt zwischen dem ersten Chip und dem zweiten Chip auf, wobei erste Chip und zweiter Chip Überkreuz-identifizierbar sind basierend auf dem Sicherheitsmerkmal.
-
In noch einer Ausgestaltung tritt die Verbindung nur auf, wenn der zweite Teil des Berechtigungsnachweises im Wesentlichen angrenzend ist an den ersten Teil des Berechtigungsnachweises.
-
In noch einer Ausgestaltung können Daten nur gelesen werden von dem zweiten Chip, wenn die zweite Antenne und die nachrangige Antenne verbunden sind.
-
Die Daten können nur von dem ersten Chip gelesen werden, wenn die zweite Antenne und die nachrangige Antenne nicht verbunden sind.
-
Verschiedene Ausführungsformen stellen einen manipulations-ersichtlichen Berechtigungsnachweis bereit, aufweisend ein erstes Funkfrequenz-Identifikations-Gehäuse (RFID), aufweisend einen ersten Chip, eine erste Antenne und eine nachrangige Antenne, das erste RFID-Gehäuse definierend einen ersten Teil des Berechtigungsnachweises, ein nachrangiges RFID-Gehäuse definierend einen zweiten Teil des Berechtigungsnachweises, das nachrangige RFID-Gehäuse selektiv verbunden mit der nachrangigen Antenne, wobei ein Abfragesignal, bezogen auf die erste Antenne, übertragen wird zu dem nachrangigen RFID-Gehäuse über die nachrangige Antenne, wobei Daten nur von dem ersten Chip gelesen werden können, wenn das nachrangige RFID-Gehäuse und die nachrangige Antenne nicht verbunden sind.
-
Gemäß einer Ausgestaltung weist der manipulationsersichtliche Berechtigungsnachweis ferner auf eine zweite Antenne, direkt verbunden mit dem nachrangigen RFID-Gehäuse, wobei das nachrangige RFID-Gehäuse selektiv drahtlos verbunden wird mit der nachrangigen Antenne mit Hilfe der zweiten Antenne.
-
In einer Ausgestaltung sind der erste und der zweite Teil des genannten Berechtigungsnachweises) variabel nah relativ zueinander, und wobei die Verbindung selektiv aufgebaut wird, wenn der erste und der zweite Teil im Wesentlichen angrenzend zueinander sind.
-
Verschiedene Ausführungsformen stellen ein Verfahren zur drahtlosen elektronischen Verifikation eines Berechtigungsnachweises bereit, aufweisend: Anwenden eines ersten Abfragesignals auf ein erstes Funkfrequenz-Identifikations-Gehäuse (RFID), aufweisend eine nachrangige Antenne funktionsfähig verbunden mit einem ersten Chip, das erste RFID-Gehäuse eingebettet in einen ersten Teil des Berechtigungsnachweises, Platzieren eines zweiten RFID-Gehäuses, eingebettet in einen zweiten Teil des Berechtigungsnachweises und eine zweite Antenne
aufweisend nah zu dem ersten RFID-Gehäuse, selektives Übertragen, antwortend auf das erstes Abfragesignal, eines zweiten Abfragesignals an die zweite Antenne unter Verwendung der nachrangigen Antenne, Analysieren der Antwort des zweiten Abfragesignals, und Erzeugen einer ersten Ergebnisnachricht, anzeigend die Echtheit des zweiten RFID-Gehäuses, und Verhindern einer Übertragung von Daten von dem ersten Chip bis eine Verbindung zwischen der zweiten Antenne und der nachrangigen Antenne unterbrochen wird.
-
Gemäß einer Ausgestaltung weist das das erste RFID-Gehäuse eine erste Antenne auf, funktionsfähig verbunden mit dem ersten Chip, das Verfahren weist ferner das Übertragen der ersten Ergebnisnachricht unter Verwendung der ersten Antenne auf.
-
In einer Ausgestaltung weist das zweite RFID-Gehäuse einen zweiten Chip und die zweite Antenne, funktionsfähig verbunden mit dem zweiten Chip, auf, wobei das Verfahren ferner das Übertragen von Daten, gespeichert in dem zweiten Chip, zu dem ersten Chip aufweist.
-
In noch einer Ausgestaltung weist das Verfahren ferner ein Analysieren einer Antwort auf das genannte erste Abfragesignal mit Hilfe des ersten RFID-Gehäuses vor der Übertragung des zweiten Abfragesignals, und ein Erzeugen einer Zwischenergebnisnachricht, anzeigend die Echtheit des ersten RFID-Gehäuses, auf.
-
In noch einer Ausgestaltung weist das Verfahren ferner eine Kreuz-Echtheitsprüfung des ersten RFID-Gehäuses mit Hilfe eines dritten Abfragesignals, übertragen von der zweiten Antenne, und ein Erzeugen einer zweiten Ergebnisnachricht, anzeigend die Echtheit des ersten RFID-Gehäuses, auf.
-
Verschiedene Ausführungsformen stellen ein Verfahren zur drahtlosen elektronischen Verifikation eines Berechtigungsnachweises bereit, aufweisend ein Aufbauen einer kapazitiven oder induktiven Verbindung zwischen einem ersten Funkfrequenz-Identifikations-Gehäuse (RFID), definierend einen ersten Teil des Berechtigungsnachweises und einen ersten Chip aufweisend, und ein zweites RFID-Gehäuse, definierend einen zweiten Teil des Berechtigungsnachweises; ein Anwenden eines ersten Abfragesignals auf den Berechtigungsnachweis, ausreichend um eine erste Antwort in dem ersten RFID-Gehäuse zu erzeugen; ein Auslösen einer zweiten Übertragung, nach der Detektion der ersten Antwort, eines zweiten Abfragesignals, ausreichend um eine zweite Antwort in dem zweiten RFID-Gehäuse über die Verbindung zu erzeugen; ein Analysieren der zweiten Antwort; und ein Erzeugen einer Antwortnachricht basierend auf der Analyse, anzeigend die Echtheit des zweiten RFID-Gehäuses; und Verhindern einer Übertragung von Daten von dem ersten Chip bis die kapazitive bzw. induktive Verbindung zwischen dem ersten Funkfrequenz-Identifikations-Gehäuse (RFID) und dem zweiten RFID-Gehäuse unterbrochen wird.
-
Gemäß einer Ausgestaltung weist das Verfahren ferner auf ein Analysieren der ersten Antwort, und ein Erzeugen einer Antwortnachricht basierend auf der Analyse, anzeigend die Echtheit des ersten RFID-Gehäuses.
-
In den Zeichnungen verweisen gleiche Bezugszeichen auf die gleichen Teile in den verschiedenen Ansichten. Die Zeichnungen sind nicht zwangsläufig maßstabsgerecht, der Schwerpunkt wird stattdessen allgemein auf die Darstellung der Prinzipien der Erfindung gelegt. In der nachfolgenden Beschreibung sind verschiedene Aspekte der Offenbarung der Erfindung in Bezug auf die folgenden Zeichnungen beschrieben, in welchen:
- 1 eine vereinfachte schematische Darstellung eines RFID-ausgestatteten Berechtigungsnachweises wie zum Beispiel eines Reisepasses zeigt:
- 2 eine Umsetzung eines RFID-ausgestatteten Berechtigungsnachweises gemäß einem Aspekt der Offenbarung zeigt; und
- 3 ein Ablaufdiagramm eines Verfahrens zum Prüfen eines RFID-ausgestatteten Berechtigungsnachweises gemäß einem Aspekt der Offenbarung ist.
-
Die folgende detaillierte Beschreibung bezieht sich auf die beigefügten Zeichnungen, die, im Wege der Veranschaulichung, spezifische Details und Aspekte der Offenbarung zeigen, in welchen die Erfindung ausgeführt werden kann. Diese Aspekte der Offenbarung sind beschrieben in ausreichender Ausführlichkeit um es dem Durchschnittsfachmann zu ermöglichen die Erfindung auszuführen. Andere Aspekte der Offenbarung können verwendet werden und strukturelle, logische und elektrische Änderungen können durchgeführt werden ohne vom Umfang der Erfindung abzuweichen. Die verschiedenen Aspekte der Offenbarung sind nicht zwangsläufig wechselseitig ausschließend, da einige Aspekte der Offenbarung kombiniert werden können mit einem oder mehr anderen Aspekten der Offenbarung zum Bilden neuer Aspekte der Offenbarung. Die nachfolgende detaillierte Beschreibung ist daher nicht in einem beschränkenden Sinn zu verstehen, und der Umfang der vorliegenden Erfindung ist definiert mittels der beigefügten Ansprüche.
-
Verschiedene Aspekte der Offenbarung sind bereitgestellt für Bauelemente, und verschiedene Aspekte der Offenbarung sind bereitgestellt für Verfahren. Es ist zu verstehen, dass Basiseigenschaften der Bauelemente ebenso für Verfahren und umgekehrt gelten. Somit wird eine duplizierte Beschreibung solcher Eigenschaften aus Gründen der Kürze unterlassen.
-
Der Ausdruck „mindestens ein“ („mindestens eine“, „mindestens eines“, „mindestens einem“, mindestens einen"), wie hierin verwendet, kann verstanden werden als aufweisend jede ganzzahlige Anzahl größer als oder gleich eins.
-
Der Ausdruck „eine Mehrzahl von“, wie hierin verwendet, kann verstanden werden als aufweisend jede ganzzahlige Anzahl größer als oder gleich zwei.
-
Die Ausdrücke „Kopplung“ oder „Verbindung“, wie hierin verwendet, können verstanden werden als aufweisend eine direkte „Kopplung“ oder eine direkte „Verbindung“ sowie eine indirekte „Kopplung“ bzw. indirekte „Verbindung“.
-
Die Bezeichnung „Berechtigungsnachweis“, wie hierin verwendet, kann verstanden werden als aufweisend jedes Dokument oder Mehrzahl von Dokumenten in körperlicher (materieller, physikalischer) Form (Gestalt), welche, einzeln oder zusammengenommen als eine Bescheinigung der Identität, der Qualifizierung, der Genehmigung, Lizenz, der Legitimation, der Befugnis oder Beziehung (Verwandtschaft) einer Einzelperson oder einer Gruppe von Einzelpersonen, einer Gesellschaft (Verband, Verein, Vereinigung) oder Organisation dienen. In einem breiteren Sinn, wie hierin verwendet, kann die Bezeichnung Berechtigungsnachweis verwendet werden für jedes sichere Dokument (z.B. ein Dokument mit besonderen Sicherheitsmerkmalen), einschließlich Zahlungsmittel oder andere Inhaberpapiere, Gegenstände des persönlichen Eigentums, oder wie Nachweise für Marken.
-
Der Ausdruck „eingebettet“, wie hierin verwendet, kann verstanden werden als aufweisend jede Form einer physikalischen (körperlichen) Befestigung, aufweisend Verkapselung oder Platzierung auf, innerhalb oder außerhalb eines Objektes.
-
Die Bezeichnungen „Wicklung“ und „Antenne“ werden in Verbindung mit einer Beschreibung der Struktur von RFID-Bauelementen austauschbar verwendet, reflektierend nicht nur die typische spiralförmige Gestalt einer RFID-Antenne, sondern auch ihre Doppelfunktion (doppelte Funktion) als eine Energiequelle für das RFID-Bauelement bzw. für eine Datenkommunikation (Datenübertragung).
-
Der Ausdruck „Chip“ oder „Gehäuse“ ist im Kontext eines RFID-Bauelementes bestimmt eine Mehrzahl von Komponenten zu umfassen, welche verbunden werden können mit einer Wicklung/Antenne um die RFID-Funktion auszuführen, ungeachtet ob solche Komponenten zwangsläufig auf einem Halbleiter-„Chip“ gefunden werden wie dieser Ausdruck allgemein verstanden wird.
-
1 zeigt einen mit RFID ausgestatteten Berechtigungsnachweis 100, wie z.B. einen Reisepass. Abhängig von der Konfiguration des Berechtigungsnachweises 100 kann er die Form einer Mehrzahl von Dokumentenseiten 112 annehmen, welche ein Heft (Booklet) 110 eines Berechtigungsnachweises 100 bilden können. Mindestens eine Seite des Berechtigungsnachweises 100 weist typischerweise eine Datenseite 114 auf, auf welcher Informationen bezüglich des Berechtigungsnachweises gedruckt werden können. Zum Beispiel, sind in einem typischen Reisepass der Vereinigten Staaten personenbezogene Informationen und ein Lichtbild in visuell-lesbarer und/oder maschinen-lesbarer Art auf die Datenseite gedruckt.
-
Der Berechtigungsnachweis 100 weist zusätzlich ein Datenfach 120 auf, welches einen Chip (oder ein Gehäuse aufweisend einen Chip) 130 und einen verbundenen Schaltkreis aufnimmt. Insbesondere ist der Chip 130 verbunden mit einer Antenne/Wicklung 132 typischerweise mit Hilfe einer direkten Verbindung, kapazitiv oder mit Hilfe von Induktion. Ebenso folgen der Chip 130 und die Wicklung 132 typischerweise im Allgemeinen der räumlichen Struktur des Berechtigungsnachweises 100 in welchen sie eingebettet sind. Zum Beispiel ist das Datenfach 120 flach und ausgerichtet in einer einzelnen Ebene mit dem Chip 130 und der Wicklung 132 gebildet, ebenfalls geeignet für die Verkapselung innerhalb einer Heftabdeckung 122. Alternativ kann das Datenfach 120 gebildet werden zwischen der Datenseite 114 und der Heftabdeckung 122, oder andernorts in dem Berechtigungsnachweis 100. Die spezifische Position eines RFID-Gehäuses ist an sich nicht kritisch (entscheidend).
-
Der Chip 130 weist typischerweise einen nicht-flüchtigen Speicher auf, aufweisend auf der Datenseite 114 gefundene Informationen und/oder andere Informationen bezogen auf den Berechtigungsnachweis 100 und/oder seinem Besitzer. Im Betrieb ist der Berechtigungsnachweis 100, und insbesondere das Datenfach 120, platziert innerhalb eines elektrischen Feldes 150, welches erzeugt wird, zum Beispiel, mittels eines RFID-Lesegerät (nicht gezeigt), das elektrische Feld 150 aufweisend einen elektrischen Strom in der Antenne/Wicklung 132 ausreichend um den Chip 130 mit Energie zu versorgen. Das elektrische Feld 150 kann die Form eines RF-Signales (auch bezeichnet als Radiofrequenz-Signal) annehmen und kann ein Datensignal übertragen für den Empfang durch den Chip 130.
-
Indes ist der, mit Energie versorgte, Chip 130 fähig zu einer wechselseitigen Datenübertragung mittels der Antenne/Wicklung 132 mit einer Empfangseinheit, wie z.B. einer Antenne eines RFID-Lesegerätes (nicht gezeigt). Die übertragenen Signale 150/160 sind typischerweise Funkfrequenzsignale, empfangen bzw. übertragen mittels der Wicklung 132 zwischen einem Empfangsbauelement (auch bezeichnet als Empfangseinrichtung, Empfangsvorrichtung), wie z.B. einem RFID-Lesegerät, und dem Chip 130. In diesem Sinn wirkt die Wicklung 132 als Antenne zusätzlich zu ihrer Funktion als eine Energiequelle. Gemäß einem Aspekt der Offenbarung stellt die bidirektionale Kommunikation (Datenübertragung) zwischen einem RFID-Lesegerät und dem Chip vorteilhafterweise einen Anfrage-Antwort-Mechanismus bereit, welcher die Sicherheit der Daten auf dem Chip 130 erhöhen kann, reduzierend die Wahrscheinlichkeit, dass die Daten entnommen werden können mit Hilfe nicht-autorisierten (nichtberechtigten) Auslesens.
-
In dem Falle, dass der Chip 130 oder andere Komponenten im Datenfach 120 beschädigt oder funktionsunfähig werden, wie z.B. durch physikalische Beschädigung oder Verstümmelung, Verbiegung oder dem Aussetzen des Berechtigungsnachweises 100 gegenüber Umgebungen außerhalb der Konstruktionsgrenzwerte der Datenkomponenten, wie z.B. des Chips 130 oder der Wicklung 132, würde ein Empfangsbauelement, wie z.B. ein RFID-Lesegerät, außerstande sein die, in dem Chip 130, gespeicherten Daten zuverlässig zu erhalten. In solch einem Fall ist das manuelle Auslesen, mit Hilfe einer Maschine oder einer Person, von redundanten Informationen, gedruckt auf der Datenseite 114, idealerweise ausreichend, so dass die Funktion des Berechtigungsnachweises unterstützt wird. Zum Beispiel verliert ein U.S. Reisepass (ein Reisepass der Vereinigten Staaten) nicht seine Gültigkeit wenn es nicht mehr möglich ist den RFID-Chip auszulesen.
-
Jedoch führt eine offenkundige Zerstörung des Chips 130 und seiner Unterstützungskomponenten (Unterstützungsbauelemente) zu einem Mangel an Funktionalität der Lesbarkeit des Berechtigungsnachweises 100 mit den Mitteln der RFID-Technologie. Dies ist nicht die einzige Gefahr verbunden mit der Verwendung der RFID-Technologie in Verbindung mit einem Reisepass oder einem ähnlichen identifizierenden Berechtigungsnachweis. Tatsächlich stellt die bewusste Zerstörung oder Entfernung des Chips 130 zu Zwecken der Ersetzung oder der Umprogrammierung des Chips 130 ein größeres Risiko dar.
-
Ein RFID-aktivierter Berechtigungsnachweis mit einer offensichtlich nicht richtig funktionieren RFID-Fähigkeit macht grundsätzlich auf den Berechtigungsnachweis aufmerksam, eine „rote Flagge“ erhebend, was zu einer detaillierteren Prüfung des Berechtigungsnachweises oder einer zusätzlichen Verifizierung führen kann bevor der Berechtigungsnachweis als echt akzeptiert wird. Im Gegensatz dazu würde ein scheinbar funktionsfähiger RFID, welcher Daten übereinstimmend mit einem gefälschten Berechtigungsnachweis beinhaltet (aufweist), keinen Verdacht erweckt und würde somit wahrscheinlicher als echt akzeptiert werden. Auf diese Weise kann die RFID-Technologie unbeabsichtigterweise eine menschliche Nachlässigkeit gegenüber dem Berechtigungsnachweis-Authentifizierungsprozess aufbauen, welche vorhersehbar sein kann und somit ausgenutzt werden kann. Zum Beispiel kann das Ersetzen von Fingerabdruck-Daten auf dem Chip 130, mit Fingerabdrücken inkonsistent sein zu auf der Datenseite 114 gedruckten Namen oder Lichtbild, die Grenzkontrolle fälschlicherweise überzeugen einen Betrüger ohne weitere Befragung zuzulassen.
-
Ohne systemeigene Manipulation-Erkennungsfähigkeit gibt es keine konsequente und direkte Möglichkeit zu ermitteln, ob ein bestimmtes RFID-Bauelement, welches vordergründig funktionstüchtig ist, manipuliert wurde, oder selbst nur ein Double (Vertreter) für den Chip 130 sein kann. Es gibt ebenfalls keine Möglichkeit zu ermitteln, ob ein nicht funktionierender RFID vorsätzlich funktionsunfähig gemacht wurde, oder ob Daten, erhalten mittels RFID, von dem originalen RFID-Chip oder von einem gefälschten Chip, vorsätzlich verborgen in dem Berechtigungsnachweis noch außerhalb seines Datenfaches, stammen. Gemäß einem Aspekt der 1, wie oberhalb beschrieben, gibt es keine angezeigte Möglichkeit für einen scheinbar funktionsfähigen RFIDaktivierten Berechtigungsnachweis dem Bediener eines RFID-Lesegerätes anzuzeigen, dass die erhaltenen Daten fragwürdig oder verdächtig sind und unabhängig verifiziert werden sollten.
-
2 offenbart ein Manipulation-ersichtliches RFID-System realisiert in einem Berechtigungsnachweis 200. In einer Weise ähnlich dem Berechtigungsnachweis 100 der 1 wird der Berechtigungsnachweis 200 gezeigt, aufweisend eine Mehrzahl an Seiten 212, welche ein Heft 210 bilden. Ebenfalls weist ein Datenfach 220, welches gezeigt wird, eingebettet in eine Heftabdeckung 222, einen Chip 230 und eine Antenne/Wicklung 232 auf. Der Chip/das Gehäuse 230 kann ähnlich sein dem Chip 130 insoweit, dass er/es vorteilhaft mindestens einen nicht-flüchtigen Speicher für die Speicherung von Daten aufweist. Zusätzlich wird der Berechtigungsnachweis 200 bereitgestellt mit einer zweiten, nachrangigen Wicklung/Antenne 234 verbunden mit dem Chip 230.
-
Gemäß einem Aspekt der Offenbarung ist die Antenne/Wicklung 234 parasitär, insofern, dass sie Leistung (Strom, Energie) von dem Chip 230 bezieht.
-
Die Seiten 212 des Berechtigungsnachweises 200 weisen ebenfalls eine Datenseite 214 auf, typischerweise aufweisend darauf gedruckte maschinen-lesbare und/oder visuell-lesbare Dateneinträge. Zusätzlich wird die Datenseite 214 bereitgestellt mit einem Chip oder Gehäuse 216, welches einen RFID-Chip aufweisen kann, aufweisend, zum Beispiel, mindestens einen nicht-flüchtigen Speicher für die Speicherung von Daten und eine Antenne/Wicklung 218, welche integriert werden kann in den Chip/das Gehäuse 216 in der Form einer darauf gebildeten und daran befestigten Wicklung. Entweder einer oder beide der Chips 230 und 216 speichern typischerweise mindestens einen der Dateneinträge, welche gedruckt sind auf der Datenseite 214.
-
Vorteilhaft wird der Chip 216 derart eingebettet in die Datenseite 214, dass mindestens die Wicklung 218 variabel in ausreichender unmittelbarer Nähe zu der nachrangigen Wicklung 234, zum Zweck der Herstellung einer Verbindung, wie z.B. einer kapazitiven oder einer induktiven Kopplung zwischen den Wicklungen 218 und 234, positioniert werden kann. Zum Beispiel, wie gezeigt mittels des Bogens „a‟, wird die Wicklung 218 gezeigt in einer Position (Lage) variabel entlang eines Pfades (Weges) entsprechend der nachrangigen Antenne/Wicklung 234. Insbesondere, wenn das Heft 210 geschlossen ist, ist die Datenseite 214 im Wesentlichen angrenzend an die Heftabdeckung 222, welche das Datenfach 220 aufweist. Aufgrund seiner Verbindung zu der nachrangigen Antenne/Wicklung 234, kann der Chip 216 als „nachrangig“ zu dem Chip 230 betrachtet werden.
-
Für Zwecke dieser Offenbarung ist der Ausdruck „im Wesentlichen angrenzend“ dazu bestimmt Nähen unter Berücksichtigung der Dicken der Datenseite 114, und der der Abdeckung 222 sowie einer oder mehr dazwischen positionierten Seiten 212 aufzuweisen. In jedem Fall wird, gemäß einem Aspekt der Offenbarung, die Datenseite 214 als im Wesentlichen angrenzend zu der Abdeckung 222 erachtet, wenn diese Teile des Berechtigungsnachweises 200 angeordnet sind als wenn das Heft 210 geschlossen ist.
-
Während des Betriebes, in ähnlicher Weise zu 1, vorstehend beschrieben, wird der Berechtigungsnachweis 200, und insbesondere das Datenfach 220, innerhalb eines elektrischen Feldes 250, wie z.B. erzeugt mittels eines RFID-Lesegerätes, platziert. Auf diese Weise induziert das elektrische Feld 250 einen elektrischen Strom in der Wicklung 232 ausreichend um den Chip 230 mit Energie zu versorgen. Indes ist der, mit Energie versorgte, Chip 230 fähig zu einer bidirektionale Kommunikation (Datenübertragung) mit einem RFID-Lesegerät mittels Radiofrequenzsignalen 260, welche übertragen werden zwischen dem RFID-Lesegerät und dem Chip mittels der Wicklung 232, welche als Antenne wirkt. Darüberhinaus kann der Chip 230 selektiv (gezielt) Energie liefern an die nachrangige Wicklung 234 (selektiv die nachrangige Wicklung 234 erregen) um ein zweites elektromagnetisches Feld 252 von der Wicklung 234 zu erzeugen. Die parasitäre Wicklung 234 ist in dieser Hinsicht „nachrangig“ zu dem Chip 230 und der Wicklung 232, welche beide, den Chip 230 und die Wicklung 234, mit Energie versorgt.
-
Wenn sich die Wicklung 218 derart innerhalb der Reichweite der Antenne/Wicklung 234 befindet, dass die Wicklung 218 und die Wicklung 234 ausreichend verbunden sind um eine Signalübertragung über die Verbindung zu ermöglichen, kann eine wechselseitige Datenübertragung zwischen dem Chip 216 und dem Chip 230 stattfinden, wie z.B. mittels der Signale 252/262. Obwohl dies bei größeren Abständen auftreten kann, tritt eine solche Verbindung tritt, gemäß einem Aspekt der Offenbarung, zumindest wenn die Datenseite 214 und die Heftabdeckung 222 im Wesentlichen angrenzend zueinander sind. In gleicher Weise kann eine Bewegung der Datenseite 214 entlang dem Bogen (a), während der Berechtigungsnachweis 200 geöffnet ist, eine ausreichende Variabilität in der Nähe gestatten um eine etwaige Verbindung zwischen den Wicklungen 218 und 234 gezielt zu bilden oder zu unterbrechen. Zum Beispiel ist eine Bewegung der Datenseite 214 entlang dem Bogen (a) bei einem Winkel von der Haftabdeckung größer als 45 Grad vorteilhaft ausreichend um eine Verbindung zwischen den Wicklungen 234 und 218 zu unterbrechen, welche bestanden haben können bei einem Winkel geringer als 45 Grad zwischen der Datenseite 214 und der Abdeckung 222.
-
Insbesondere kann die Wicklung 218, gemäß einem Aspekt der Offenbarung, ausreichend mit Energie beliefert werden (erregt werden) mit Hilfe des Signales 252 um den Chip 216 mit Energie zu versorgen. Zusätzlich kann das Signal 252 ein Datensignal, lesbar mit Hilfe des Chips 216, aufweisen. Alternativ, oder zusätzlich, kann der Chip 216 mit Hilfe des Signals 250, welches zusätzlich ein Datensignal beinhalten kann, lesbar mit Hilfe des Chips 216, mit Energie versorgt werden.
-
Gemäß einem Aspekt der Offenbarung kann Versorgen des Chips 216 mit Energie im Ganzen oder zum Teil mit Hilfe des Signals 250 den Vorteil der Begrenzung der Energie, benötigt durch die nachrangige Wicklung 234 um Daten über die Signale 252/262 zu übertragen/zu empfangen, bereitstellen. In einer solchen Konfiguration kann es vorteilhaft sein den Einfluss des Signales 250 zu dem Signal, welches Energie für den Chip 216 bereitstellt, zu begrenzen mit dem Ergebnis, dass einige oder alle der mit der Authentifizierung verbundenen Kommunikationen zwischen dem Chip 216 und 230 intern in dem RFID-System des Berechtigungsnachweises 200 verbleiben. Insbesondere kann der Chip 216 eingerichtet werden um zumindest einen Teil seines Energie-erzeugenden Signals von dem Signal 250 zu empfangen und um zumindest einen Teil seiner Datenkommunikation mit der Wicklung 234 zu begrenzen.
-
Wie oben festgestellt, ermöglicht die nahe Verbindung, wie. z.B. mit Hilfe eines kapazitiven oder eines induktiven Kontaktes, zwischen den Wicklungen 218 und 234 eine bidirektionale Kommunikation (Datenübertragung) zwischen den Chips 216 und 230. Zum Beispiel können Daten mittels der selektiven Erregung der Wicklung 218 ausgetauscht werden zwischen den Chips 216 und 230. Insbesondere kann die Art des Austauschs Dateneinträge involvieren (umfassen, aufweisen) redundant zu diesen, welche gedruckt sind auf der Datenseite 214 und gespeichert in einem der Chips 216 oder 230. Indessen kann die Wechselwirkung des Chips 216 mit dem Chip 230 auch, oder stattdessen, vorteilhaft arbeiten in der einseitigen oder bidirektionalen Authentifizierung der Integrität des Chips 216 bzw. des Chips 230.
-
Gemäß einem Aspekt dieser Offenbarung kann der Chip 230 den Chip 216 abfragen. Die Abfrage kann, zum Beispiel, dienen um den Chip 216 zu authentifizieren und/oder seine Integrität zu bestätigen. In einem solchen Fall kann, zum Beispiel, nach dem Empfang einer Abfrage von, oder dem mit Energie versorgt werden, mit Hilfe des Signals 250, wie z.B. in der Art oben beschrieben in Bezug auf die 1 und 2, der Chip 230 selektiv die Wicklung 234 erregen (mit Strom beliefern), resultierend in einer Übertragung des Signals 252 davon. Abhängig von der Lage (der Nähe) der Wicklung 218 zu der Wicklung 234 kann ausreichend Energie von dem Signal 252 durch die Wicklung 234 absorbiert werden, resultierend in einer Aktivierung des Chips 216. Anschließend kann der Chip 216, abhängig von seiner Konfiguration, eindeutige Informationen in der Form von Daten, welche die Echtheit (Authentizität) des Chips 216 nachweisen, übertragen. Insbesondere kann der Chip 216 einen digitalen Schlüssel, welcher ihn als echt identifiziert, übertragen. Alternativ oder zusätzlich kann der Chip 216 selektiv einen oder mehr Teile an Daten übertragen, wie z.B. Daten gespeichert in der Datenseite 214.
-
Die Übertragung korrekter oder erwarteter Daten würde anschließend dazu neigen zu zeigen, dass der Chip 216 aktuell, betriebsbereit und nachweisbar echt ist. Im Gegenzug dient ein Fehler des Chips 230 um den Schlüssel oder die Daten als Antwort auf die Erregung der Wicklung 234 zu empfangen als Nachweis, dass der Chip 216 fehlt ist, defekt ist oder seine Integrität gefährdet hat. Ebenfalls würde die Übertragung von nicht-korrekten Daten mit Hilfe des Chips 216 dazu neigen zu zeigen, dass der Chip 216 entweder defekt oder unecht ist.
-
Die Echtheit des Chips 216 kann vorteilhaft ermittelt werden mit Hilfe von progressiver (fortschreitender) Abfragen, die jeweils kalkuliert werden um den Status des Chips 216 mit einem fortschreitenden (progressive verlaufenden) größeren Grad an Sicherheit nachzuweisen. Zum Beispiel dient ein erster Test, nachweisend die Zuverlässigkeit der bidirektionale Kommunikation (Datenübertragung) zwischen den Chips 230 und 216 mittels der Wicklungen 234 bzw. 218, nicht nur dazu die geeignete Platzierung der Wicklung 218 nahe der Wicklung 234 zu bestätigen, sondern auch indirekt dazu, ob das Signal 250 in ausreichender Stärke vorhanden ist um die beiden Chips 230 und, mit Hilfe des Chips 230, den Chip 216 mit Energie zu versorgen.
-
Weitere Abfragen (Anfragen) können gestellt werden, welche dazu bestimmt sind die Herkunft des Chips 216 sowie die Integrität der, in dem Speicher davon (des Chips 216) gespeicherten, Daten nachzuweisen, die Antworten können, wenn vorhanden, anschließend vorteilhaft verglichen werden mit redundanten Daten um eine mögliche Manipulation des Berechtigungsnachweises 200 festzustellen. 3 ist ein Ablaufdiagramm, veranschaulichend einen exemplarischen (beispielhaften) Abfrageprozess 300 übereinstimmend mit einem Aspekt der vorliegenden Offenbarung für den Nachweis der Echtheit des Berechtigungsnachweises 200.
-
In 310 wird der Berechtigungsnachweis 200, und insbesondere das Datenfach 220, innerhalb des elektromagnetischen Feldes des RFID-Signals 250 platziert. Das RFID-Signal 250 soll die Wicklung 232 anregen, resultierend in einem Anlegen oder Zuführen eines Stromes zu dem Chip 230. Wenn keine Antwort mittels des Signals 260 detektiert wird in 312, befindet sich der Berechtigungsnachweis 200 höchstwahrscheinlich außer Reichweite, oder wenn innerhalb der Reichweite, ist der Berechtigungsnachweis 200 höchstwahrscheinlich nichtfunktionierend, defekt, wobei eine entsprechende Nachricht 314 ausgelöst wird. In solch einem Fall kann das des Signals 250 zu dem Berechtigungsnachweis 200 wiederholt angelegt werden wie es als angemessen erachtet werden kann.
-
Im Allgemeinen kann die Antwort die Form eines Bestätigungssignales annehmen, erzeugt mittels der Wicklung 232 und empfangen als das Signal 260. Die Antwort selbst auch kann Daten beinhalten (aufweisen), wie z.B. Daten gespeichert in dem Chip 230. Wenn eine Antwort empfangen wird, aber die Antwort in 316 als ungewöhnlich ermittelt wird, oder ermittelt wird zu resultieren in einer Übertragung einer Antwort anders als eine erwartete Bestätigung oder in einer Übertragung von Daten, würde das Ergebnis dazu neigen zu zeigen, dass der Berechtigungsnachweis 200, obwohl in der Reichweite des Signals 250, nicht normal funktioniert, wobei entsprechende Nachricht 318 ausgelöst wird, wobei danach optional zu 310 zurückgekehrt werden kann.
-
Im Gegensatz dazu würde eine normale Antwort auf das Signal 250 dazu neigen zu zeigen, dass die Basis-Komponenten (Basis-Bauelemente) des Gehäuses, aufweisend den Chip 230 und die Antenne 232, wie erwartet funktionieren. Gemäß einem Aspekt dieser Offenbarung würde dies 320 auslösen, die Echtheitsprüfung des Chips 216.
-
In 322 erregt der Chip 230 die Wicklung 234 (versorgt der Chip 230 die Wicklung 234 mit Energie). Wenn der Chip 216 nicht antwortet, würde dies dazu neigen zu zeigen, dass der Chip 216 außer Reichweite ist, defekt ist oder manipuliert wurde, wobei eine entsprechende Nachricht 326 ausgelöst wird, und wobei danach optional zu 322 zurückgekehrt werden kann. Die Nachricht 326 kann erzeugt werden mit Hilfe des Chips 230 und übertragen werden, wie beispielsweise mit Hilfe des Signals 260 zu einem RFID-Empfänger.
-
Im Gegensatz dazu würde die Detektion einer Antwort von dem Chip 216 aufzeigen, dass sich zumindest die Wicklung 218 des Chips 216 innerhalb der Reichweite der Wicklung 234 befindet, und dass der Schalkreis, verbindend die Chips 216 und 230, normal funktioniert. Insbesondere kann die Antwort von dem Chip 216 die Form jedes Signals annehmen, aufweisend den Austausch von Daten, welche die Qualität und/oder die Zuverlässigkeit der Kommunikationsverbindung zwischen den Chips 216 und 230 bestätigen kann.
-
Die Authentifizierung des Chips 216 wird im Allgemeinen ermittelt wie in 330 der 3. Im Allgemeinen kann 330 eine Serie von Anfrage-Antwort-Zyklen aufweisen, ausgelöst, zum Beispiel, mit Hilfe des Chips 230, welcher ausgerichtet ist die Herkunft des Chips 216 sowie die Integrität und den Inhalt der in ihm gespeicherten Daten nachzuweisen. Dementsprechend kann 330 eine große Auswahl an Prozeduren (Verfahren; Abläufe) umfassen (aufweisen), welche für den Chip 216 spezifische Informationen bereitstellen. Zum Beispiel, kann eine Abfrage, wie z.B. von dem Chip 230, aufweisen eine Anforderung eines digitalen Schlüssels, einer kryptologischen Hash-Funktion, oder anderer verschlüsselter Nachrichten, welche, wenn nicht richtig bereitgestellt, dazu neigen würden zu zeigen, dass der Chip 216 manipuliert, ersetzt oder beschädigt wurde.
-
Ferner kann der Umfang, in dem eine geeignet formatierte Abfrage vollständig ausgeführt wird mit Hilfe des Chips 216 dazu neigen zu zeigen, ob der Chip Gegenstand von Manipulationen wurde oder defekt sein kann. Ein Ausfall des Chips 216 um auf eine bestimmte Abfrage vollständig zu antworten sowie zu viel einschließende Antworten, wie z.B. eine Antwort, aufweisend mehr Daten als angefragt oder freigegebene Daten ohne die erforderliche Sicherheit würde dazu neigen zu zeigen, dass der Chip 216 manipuliert, ersetzt oder beschädigt wurde.
-
Mehrere Abfrage-Ebenen können verschiedene Aspekte des Chips 216 in Verbindung mit seiner Echtheit testen, und können wichtige Details bereitstellen hinsichtlich spezieller Sicherheitsmängel, die in dem Chip 216 vorhanden sind. Zum Beispiel, können Abfragen, welche spezielle Informationen von dem Chip 216 anfragen, analysiert werden auf Konsistenz (Übereinstimmung) des Inhalts, während dem gleichzeitigen Testen auf artefaktische oder „Meta“-Eigenschaften, wie z.B. die Antwortzeit (response time), die Signalqualität (signal quality) oder anderen Artefakte des Chips 216, welche zusammengefasst werden können um ein Profil oder einen „Fingerabdruck“, einzigartig für den Chip 216, zu bilden, unabhängig von den Chip übertragenen Daten. Zusätzlich kann es detektierbare Schwankungen in der Signalstärke des Signals 260, entsprechend dem Stromverbrauch verursacht durch periodische Aktivierung der Wicklung 232 während der Kommunikation mit dem Chip 216, geben, welche Informationen, das Verhalten des Chips 216 betreffend, bereitstellen können. Dementsprechend kann, wenn sich diese Meta-Eigenschaften des Chips 216 in bekannten und nachweisbaren Artefakten zeigen, jede Abweichung, welche beobachtet wird während der Wechselwirkung mit dem Chip 216, als Hinweise und Nachweis einer Manipulation dienen, sogar wenn das Abfrageergebnis selbst nicht einen Zweifel an der Echtheit verursachen würde.
-
Ebenfalls ist das Verhalten des Chips 230 wahrscheinlich einzigartig gegenüber ihn betreffende Eigenschaftsartefakte, aufweisend Eigenschaften, welche direkt beobachtet werden können, zum Beispiel von der Ausgabe (Ausgangsleistung, Output) des Signals 260. Nachweisbare Artefakte, betreffend das umfangreiche Gehäuse, angegeben mit Hilfe des Chips 230, insbesondere Bauelemente, welche an ihm befestigt sind, aufweisend die Wicklung 234 können indirekt nachweisbar sein als, zum Beispiel, Interferenzmuster, betreffend nur die Wechselwirkung zwischen der Wicklung 234 und der Wicklung 218, können nachgewiesen und quantifiziert werden. Solche Daten können eine Gesamtheit bereitstellen, geeignet für eine Art zweiseitige Authentifizierung der Chips 216 und 230.
-
Wie gezeigt, weist 330 eine erste Echtheitsprüfungsabfrage 332 auf, gefolgt von einer Analyse 334 der Ausgabe des Chips 216. Wie oben erwähnt, kann die Analyse ebenso einfach sein wie beurteilend, ob die bereitgestellte Antwort zusammenpasst mit einer erwarteten korrekten Antwort 334a, ob die bereitgestellte Antwort richtig interpretiert wurde mit Hilfe des Chips 216 (334b) oder die Analyse kann einschließen eine große Auswahl an Signalanalysen 334c, mit dem gemeinsamen Ziel der Ermittlung, ob die Entstehung des Signales echt ist, d.h. ob es der ursprünglich installierte Chip 216 ist. Es ist zu verstehen, dass die Elemente 334a-c der Analyse 334 lediglich exemplarisch gezeigt und beschrieben werden, und, dass jede Analyse des Verhaltens der RFID-Komponenten (RFID-Bauelemente) in dem Berechtigungsnachweis 200, welche dazu neigen Informationen bereitzustellen bezüglich der Echtheit des Chips 216, in der Analyse 334 verwendet werden können. Ferner können mehrere Ebenen an Sub-Analysen realisiert werden abhängig von den Ergebnissen 334a-c.
-
Schließlich werden die Ergebnisse der Mehrzahl an Analyseelementen 334a-c und etwaiger Sub-Analysen verarbeitet mit Hilfe einer Fehlermatrix 336, welche die Analysenergebnisse in eine Ergebnisnachricht 340 auflöst. Die Fehlernachricht 340 wird formatiert, um Information bezüglich der Echtheit (Authentizität) des Chips 216 zu kommunizieren, und kann übermittelt werden, zum Beispiel, mittels des Chips 230/der Wicklung 232 an einen RFID-Empfänger.
-
Der Prozess, gezeigt in 3 und oben beschrieben, kann erweitert werden mit Hilfe von Maßnahmen, welche die Komplexität und/oder Sichtbarkeit der Bestrebungen den Chip 216 zu manipulieren, erhöhen. Der Chip 216 könnte bereitgestellt werden, zum Beispiel, in einem ultradünnen (extrem dünnen) Format, geeignet für das Einbetten in ein Blatt Papier, zum Beispiel 24 lb., zum Beispiel Hartpostpapier verwendet für die Datenseite. Solch eine Bauweise, zum Beispiel, in welcher der Chip 216 integriert werden kann mit seiner Wicklung 218 (coil on CIS) würde eine Manipulation schwierig machen. Eine offenkundige Zerstörung der Fähigkeit des Chips 216 zu kommunizieren könnte ebenso sichtbar gemacht werden unter Verwendung einer Indikatorsubstanz innerhalb oder auf dem Papier der Datenseite, welche, zum Beispiel, die Farbe ändert nach dem Aussetzen gegenüber Mikrowellen, extremer Wärme oder anderen angewendeten Umweltbelastungen.
-
Auf diese Weise würden die Fähigkeiten des Chips 216 ein elektronisches Gegenstück zu sichtbaren oder verdeckten graphischen Wasserzeichen, wie gefunden auf den Seiten eines Berechtigungsnachweises, wie z.B. eines Reisepasses, sein. Unter den richtigen Bedingungen neigen das Vorhandensein des Chips und die nachweisliche Bestätigung seiner Funktionsfähigkeit sowie die auf ihn gespeicherten Daten dazu die Echtheit, nicht nur der Daten, sondern des Berechtigungsnachweises selbst, nachzuweisen.
-
Der Prozess, gezeigt in 3, wird oben beschrieben mit einem Fokus auf die Funktion und die Echtheit des Chips 216. Tatsächlich, wie gezeigt oben, entsteht dieser Fokus gegenüber der Sicherheit des Berechtigungsnachweises als Ganzes, mit ansteigender Wahrscheinlichkeit, dass eine Manipulation des Chips 230 oder des Chips 216 offensichtlich wird nach einer elektronischen Verifikation (Überprüfung) des Berechtigungsnachweises. Sofern die Inhalte des Datenfaches 220, z.B. des Gehäuses/des Chips 230, auch anfällig sind gegenüber einer vorsätzlichen Zerstörung wie z.B. mittels Aussetzen gegenüber einer starken Strahlung (z.B. Mikrowellen), extremer Wärme/Kälte oder mechanischen Belastungen, wird die betrügerische Platzierung eines gefälschten Chips/Wicklungs-Gehäuses innerhalb des Berechtigungsnachweises komplexer und somit schwieriger gemacht mit Hilfe der Design-Anforderungen der Wicklung 232 der Offenbarung.
-
Ein gefälschtes RFID-Gehäuse, verborgen, zum Beispiel, innerhalb eines Reisepasses, kann dem Signal 250 antworten, aber würde weniger wahrscheinlich eine richtige Kommunikation mit dem Chip 216 aufbauen ohne die Einrichtung eines arbeitenden und richtig platzierten Ersatzes für die Wicklung 234. Ohne Beachtung dieses Details würde die Verwendung des RFID-Abfrageprozesses 300 niemals fortschreiten über 320 mit dem Ergebnis, dass das RFID-System anzeigen würde, mit Hilfe der Nachricht 326, dass der Chip 216 nicht antwortet. Obwohl Daten von dem gefälschten Chip gelesen werden können, würde der RFID-Anwender alarmiert werden über die Möglichkeit, dass der in 320 identifizierte Fehler in dem Chip 230 liegt, statt eines etwaigen Defektes in dem Chip 216, und, dass die Daten, erhalten mit Hilfe der RFID-Technologie, in solch einem Fall als verdächtig behandelt werden können.
-
Auf diese Weise dient der Abfrageprozess 300 indirekt dazu Informationen betreffend den Status des Chips 230, oder präziser, betreffend die Echtheit der Daten, erhalten während der RFID-Abtastung des Berechtigungsnachweises 200, bereitzustellen. Nochmals unter Bezugnahme auf die Wasserzeichen-Funktion der Chips 230 und 216 kann dem Fehlen eines lesbaren Chips 216 in jedem als echt übermittelten Berechtigungsnachweise 200 eine analoge Bedeutung gegeben werden zu der eines fehlenden oder entstellten physikalischen Wasserzeichens (z.B. Symbolen, bereitgestellt, zum Beispiel, in ultravioletter Tinte auf Reisepass-Seiten), gedruckt auf der Datenseite, d.h. der Berechtigungsnachweis sollte mit angemessener Vorsicht behandelt werden.
-
Sofern der Chip 230 ersetzt werden kann durch einen gefälschten Chip, weist der gefälschte Chip auch die Fähigkeit auf eine zuverlässige Kommunikation mit dem Chip 216 aufzubauen, kann ein stabiles Kreuz-Authentifizierungsschema (Kreuz-Authentifizierungssystem) implementiert werden in den Abfrageprozess 300, um zu verhindern, dass der gefälschte Chip irrtümlicherweise als echt verwechselt wird. Zum Beispiel kann der Chip 230 bereitgestellt werden mit der Hälfte eines geteilten kryptographischen Schlüssels. Mit Hilfe des Einbettens des entsprechenden Schlüssels, zum Beispiel, in den Chip 216, werden die Chips 230 und 216 als zusammenpassendes Paar gebildet, gesicherte Aufforderungen könnten eingeführt werden, was ferner das Lesen der Daten des Chips 216 mit Hilfe eines gefälschten Chips anstelle des Chips 230 weiter komplizieren würde.
-
Wie gezeigt in 3 kann nachfolgend, oder zusätzlich, zu der Analyse der Ergebnisse in 334 und/oder während der Anwendung der Fehlermatrix 336 die Kreuz-Authentifizierung des Chips 230 mit Hilfe des Chips 216 implementiert werden. Wenn die Kreuz-Authentifizierung 338 durchgeführt wird, können die Ergebnisse als Nachricht 318 kommuniziert und/oder rückgekoppelt werden zu der Fehlermatrix 336 zur Auswertung und Aufnahme in die Erzeugung der Ergebnisnachricht 340. Ein Signal 262, ausgegeben von dem Chip 216, kann die Kreuz-Authentifizierung 338 einleiten, wobei in diesem Fall, solch ein Signal betrachtet werden kann als ein drittes Abfragesignal, unabhängig von dem ersten und zweiten, wie z.B. den Teilen von 250 bzw. 252.
-
Das Konzept eines zusammenpassenden Chip-Paares ist insbesondere vorteilhaft, wenn eine erste Sicherheitseinrichtung die Heftabdeckung 222 herstellt und eine zweite abgeschottete Sicherheitseinrichtung die Seiten 212, aufweisend die Datenseite 214, herstellt. Auf diese Weise würde eine Verletzung der Sicherheit in einer Einrichtung, charakterisiert durch die Offenlegung der Informationen des Sicherheitsschlüssels, den Berechtigungsnachweis 200 als Ganze nicht notwendigerweise gefährden. Ferner würde solch eine Bauweise gegen eine einfache Deaktivierung des Chips 230 und Ersetzung durch einen gefälschten Chip schützen, da der in dem Chip 230 gespeicherte Schlüssel bekannt sein müsste oder entnommen werden müsste vor dem Austausch mit der Fälschung. Banknoten können ebenfalls verschiedene Einrichtungen für die Papierherstellung, getrennt von Einrichtungen, welche den Druck durchführen, aufweisen. Das Einbetten eines ersten Chips in das Papier und eines zweiten Chips, angebracht, wie z.B. während des Druckes, welche als ein zusammenpassendes Paar arbeiten, könnten übereinander platziert werden und getestet werden mit Hilfe der RFID-Technologie. Zusätzliche Strukturen oder Maßnahmen können implementiert werden um die Komplexität, welche die Herstellung eines gefälschten Chips 230 erfordert, zu erhöhen ohne von dem Umfang dieser Offenbarung abzuweichen.
-
Wie weiter in den 2 und 3 gezeigt, ist der Doppel-Chip Berechtigungsnachweis 200 angewiesen auf den Chip 230 um Daten aus seinem eigenen Speicher sowie als auch die Ergebnisse der Wechselwirkungen der Wicklung 232 mit dem Chip 216 zu übertragen. Sofern der Chip 230 durch einen gefälschten Chip ersetzt werden kann, besagter Chip dazu bestimmt Wechselwirkungen mit dem Chip 216 nachzuahmen, können verschiedene Technologien verwendet werden anstelle der gegenwärtigen Abfrage und Kreuz-Authentifizierung um den Berechtigungsnachweis 200 zusätzlich zu erhärten. Zum Beispiel, die Erfassung der Signale 252 und/oder 262 mit Hilfe eines externen RFID-Empfängers während der Verwendung des Signals 250 um zu bestätigen, dass eine Verbindung zwischen den Chips 216 und 230 aufgebaut wurde. Alternativ kann das Signal 250 kalibriert um die Wicklung 218 direkt anzuregen (mit Energie zu beliefern), zum Beispiel, um direkt zu bestätigen, dass ein funktionierender Chip 216 in dem Berechtigungsnachweis 200 vorhanden ist. In solch einem Fall würde der Chip 216 außerhalb der Definition eines nachrangigen Chips arbeiten, der Chip 216 ist in der Lage, wenn auch nur in begrenztem Umfang, direkt mit dem RFID-Empfänger zu kommunizieren ohne Kommunikation mit Hilfe der nachrangigen Antenne/Wicklung 234 des Chips 230.
-
Ferner kann die Verbindung zusätzlicher Chips, wie z.B. mittels kapazitiver oder induktiver Verbindung, zu entweder dem Chip 230 oder dem Chip 216 Redundanz und/oder zusätzliche Sicherheit für den Berechtigungsnachweis 200 bereitstellen. Die Verkettung mehrerer Chips kann möglich sein, wenn ein zweiter Berechtigungsnachweis 200 für seine Gültigkeit abhängig ist von einem separaten Berechtigungsnachweis. Zum Beispiel kann der Reisepass eines Kindes eingerichtet sein um mit Hilfe einer nachrangigen Antenne/Wicklung mit dem Reisepass eines Elternteils verbunden zu werden. Gemäß einem Aspekt der Offenbarung kann der Chip 216 des Reisepasses des Kindes, zum Beispiel, ausgerichtet sein mit der Antenne 234 des Reisepasses des Elternteils. Somit können Behörden nicht nur bestätigen, ob beide Berechtigungsnachweise 200 echt sind, sondern auch, ob eine Beziehung zwischen einem Erwachsenen, und zum Beispiel, einem minderjährigen Besitzer eines Berechtigungsnachweises besteht ausreichend um eine internationale Reise zusammen zu genehmigen.
-
Gemäß einem zusätzlichen Aspekt der vorliegenden Offenbarung können die RFID-Komponenten (RFID-Bauelemente) des Berechtigungsnachweises 200 derart eingerichtet sein, dass eine Verbindung zwischen dem Chip 230 und dem Chip 216 nur aufgebaut werden kann, wenn die Wicklung 234 sich in unmittelbarer Nähe zu der Wicklung 218 befindet. In der exemplarischen (beispielhaften) Offenbarung, gezeigt in 2, ist die Wicklung 218 derart ausgerichtet, dass die Verlegung der Datenseite 214 auf die Heftabdeckung 222 die Wicklung 218 direkt platzieren wird über und im Wesentlichen angrenzend an die Wicklung 234. Dementsprechend kann ein Signal relativ niedriger Leistung ausreichend sein um eine zuverlässige Datenkommunikation zwischen dem Chip 230 und dem Chip 216 aufzubauen.
-
Das Bereitstellen eines Signales relativ niedriger Leistung kann die Wahrscheinlichkeit reduzieren, dass Daten von dem Chip 216 extern gelesen werden können, oder, dass ein externes Signal mit der Datenkommunikation zwischen dem Chip 230 und dem Chip 216 interferieren kann. Ferner kann die Verwendung eines Signales relativ niedriger Leistung die Genauigkeit der Wicklungsausrichtung erhöhen, benötigt um eine Datenkommunikation zwischen dem Chip 230 und dem Chip 216 aufzubauen, welche dazu neigt die Komplexität und Schwierigkeit der Bemühungen die Sicherheit des Berechtigungsnachweises 200 zu umgehen, zu erhöhen. Zusätzlich ist ein Signal relativ niedriger Leistung übereinstimmend mit der parasitären Beziehung der nachrangigen Antenne/Wicklung 234.
-
Zusätzlich, gemäß einem Aspekt der Offenbarung können die Signale 252 und 262, erzeugt zwischen dem Chip 216 und 230 mittels der Grenzfläche zwischen der Wicklung 218 und der nachrangigen Wicklung 234, vorteilhaft stattfinden unter Verwendung eines unterschiedlichen Kommunikationsprotokolls, oder, zum Beispiel, einer, von der in den Signalen 250 und 260 verwendeten, unterschiedlichen Frequenz. Insbesondere, sofern die Wicklungen 218 und 234 abgestimmt sind auf eine unterschiedliche Frequenz, oder, wenn der Chip 216 eingerichtet ist um einem nicht-kompatiblen Protokoll zu dem der Wicklung 232, den Signalen 250 und 260 zu antworten und weniger wahrscheinlich eine Interferenz zu verursachen, welche die Kommunikation mittels der nachrangigen Wicklung 234 beeinflussen kann.
-
Gemäß einem Aspekt der Offenbarung kann eine zusätzliche Eigenschaft des Berechtigungsnachweises 200 sein, dass, obwohl Daten zwischen den Chips 216 und 230 ausgetauscht werden können während das Haft 210 geschlossen ist (aufgrund der Nähe der Datenseite 214 zu der Heftabdeckung 222 in der geschlossenen Position), der Chip 230 eingerichtet sein kann keine persönlichen Daten des Besitzers des Berechtigungsnachweises 200 zu übertragen bis die Verbindung zwischen dem Chip 216 und 230 unterbrochen wurde. In solch einer Bauweise kann das Verfahren der 3 durchgeführt werden während die Datenseite 214 angrenzend ist an die Heftabdeckung 222 und einmal die nachgewiesenen Ergebnisse 340 aufweist, anschließend empfangend die Daten mittels Unterbrechung der Verbindung (d.h. Bewegung der Datenseite weg von der Heftabdeckung). Obwohl diese Bauweise einen zusätzlichen Schritt zu dem Abtastprozess des Berechtigungsnachweises hinzufügt, würde es effektiv das, wie z.B. betrügerische, Lesen von persönlichen Daten von dem Berechtigungsnachweis 200 verhindern, während der Berechtigungsnachweis geschlossen ist.
-
Während die Erfindung gezeigt und beschrieben wurde in Bezug auf spezifische Aspekte der Offenbarung, ist es zu verstehen, dass der Durchschnittsfachmann eine Vielzahl von Änderungen in Form und Details dabei vornehmen kann, ohne vom Umfang und Geist der vorliegenden Erfindung, wie definiert mittels der beigefügten Ansprüche, abzuweichen. Der Umfang der Erfindung wird daher durch die beigefügten Ansprüche angegeben, und alle Änderungen, welche innerhalb der Bedeutung und des Bereichs der Äquivalenz der Ansprüche fallen, sind intendiert abgedeckt zu sein.
