DE19810817A1 - System zur Prüfung der Zugangsbrechtigung - Google Patents

Description

Die Erfindung betrifft ein System zur Prüfung der Zugangsberechtigung mit zumindest einer ersten Einrichtung, in welcher die Daten eines Datenträgers gelesen werden, und mit zumindest einer zweiten Einrichtung, die mit der ersten Einrichtung kommuniziert und in welcher dem Datenträger zugeord­ nete Berechtigungsdaten geprüft werden. Die Erfindung betrifft ferner ein Verfahren zur Personalisierung der in diesem System anwendbaren Daten­ träger.

Zugangskontrollsysteme, die maschinenlesbare Datenträger benutzen, sind bereits seit einiger Zeit bekannt. Sie bestehen meist aus einer zentralen Da­ tenverarbeitungseinheit, die mit einer oder mehreren dezentralen Leseein­ richtungen verbunden ist, die "vor Ort" an den Stellen angeordnet sind, an welchen der Zugang gewährt werden soll. Beim Kontrollvorgang detektie­ ren und lesen diese Leseeinheiten auf einem Datenträger maschinenlesbar gespeicherte Berechtigungsdaten und leiten diese an die zentrale Verarbei­ tungseinheit weiter. Dort werden die Berechtigungsdaten geprüft und bei Vorliegen eines positiven Prüfergebnisses sorgt die zentrale Verarbeitungs­ einheit über ein Freischaltungssignal dafür, daß Zugang gewährt wird, bei­ spielsweise indem ein Drehkreuz im Eingangsbereich einer Veranstaltung freigeschaltet wird.

Die maschinenlesbaren Berechtigungsdaten liegen üblicherweise als Barcode auf einem ausweiskartenähnlichen Datenträger vor und enthalten Informa­ tionen bezüglich des Verwendungszwecks, wie beispielsweise Eintrittskarte für eine bestimmte Veranstaltung, und/oder die Gültigkeit, d. h. Datum, Uhrzeit etc. Die zentrale Speicherung der Berechtigungsdaten erlaubt eine flexible und schnelle Anpassung des Systems an verschiedene Anwendun­ gen bzw. eine flexible Anpassung der benutzerindividuellen Berechtigungs­ daten innerhalb einer Anwendung.

Die im Rahmen der bekannten Zugangskontrollsysteme eingesetzten Daten­ träger können jedoch relativ einfach dupliziert oder im Bereich der zu prü­ fenden Berechtigungsdaten manipuliert werden, ohne daß das Kontrollsy­ stem diese als Fälschungen erkennt.

Der Erfindung liegt daher die Aufgabe zugrunde, ein System zur Prüfung der Zugangsberechtigung vorzuschlagen, das es erlaubt, unberechtigte Da­ tenträger mit höherer Sicherheit zu erkennen.

Die Lösung dieser Aufgabe ergibt sich aus den unabhängigen Ansprüchen. Weiterbildungen sind Gegenstand der Unteransprüche.

Gemäß der Erfindung wird die Zugangsberechtigung nur gewährt, wenn sichergestellt ist, daß es sich um einen echten und gültigen Datenträger handelt. Die Überprüfung der Echtheit der Datenträger erfolgt hierbei vor­ zugsweise dezentral in vor Ort angeordneten Lese- und Prüfeinrichtungen, während die Überprüfung der Berechtigungsdaten, d. h. der Gültigkeit des Datenträgers, in einer zentralen Verarbeitungseinheit stattfindet. Alternativ kann die Überprüfung der Echtheits- und Berechtigungsdaten auch in einer Vorrichtung, entweder dezentral vor Ort oder zentral in einer Verarbei­ tungseinheit, erfolgen.

Durch die zusätzliche Echtheitsprüfung des Datenträgers bzw. des Daten­ trägermaterials wird gewährleistet, daß Eindrucksfälschungen, wie z. B. Farbkopien echter Datenträger, nicht fälschlicherweise eine Zugangsberech­ tigung auslösen können.

Gemäß einer bevorzugten Ausführungsform weist das System eine zentrale Datenverarbeitungsanlage auf, die mit mehreren dezentral angeordneten Lese- und Prüfeinrichtungen verbunden ist, und mit diesen kommunizieren kann. Für die Echtheitsüberprüfung sind die dezentralen Einrichtungen mit einem ersten Leser für auf dem Datenträger aufgebrachte Berechtigungsda­ ten, einem zweiten Leser für das Detektieren und Lesen der auf dem Daten­ träger befindlichen Echtheitsinformation sowie einem Sicherheitsmodul aus­ gerüstet. Im Sicherheitsmodul wird anhand der Echtheitsinformation die Echtheit des Datenträgers überprüft. Liefert die Überprüfung der Echtheit ein positives Ergebnis, wird in der zentralen Verarbeitungseinheit die Prü­ fung der Berechtigungsdaten, die Angaben über den Verwendungszweck und/oder die Gültigkeit des Datenträgers enthalten, initialisiert. Die von dem ersten Leser gelesenen Berechtigungsdaten werden hierfür an die zen­ trale Einrichtung übermittelt, welche einen Speicher mit den während des noch zu beschreibenden Personalisierungsvorgangs zugeordneten Berechti­ gungsdaten aufweist. Bei der Prüfung werden die vom Datenträger gelese­ nen mit den gespeicherten Berechtigungsdaten verglichen. Verläuft auch diese Prüfung positiv, so wird die Zugangsberechtigung gewährt.

Um die Fälschungssicherheit des Datenträgers weiter zu erhöhen, ist der Da­ tenträger vorzugsweise mit einem Echtheitscode versehen, der unter Ver­ wendung bestimmter Verschlüsselungs-Algorithmen aus der Echtheitsin­ formation errechnet wird. Im Sicherheitsmodul wird in diesem Fall für die Echtheitsprüfung die Echtheitsinformation gelesen, hieraus der Echtheits­ code berechnet und mit dem auf dem Datenträger gespeicherten Echtheits­ code verglichen.

Bei der Echtheitsinformation kann es sich beispielsweise um eine inhärente Materialeigenschaft des Datenträgers, wie z. B. eine besondere Oberflächen­ rauhigkeit oder bestimmte optische Eigenschaften des Materials, oder auch ein spezifisches Druckmuster handeln. Vorzugsweise wird die Echtheitsin­ formation mittels wenigstens eines Merkmalstoffs dargestellt, der zumindest eine maschinell nachweisbare, physikalische Eigenschaft, wie Magnetismus, elektrische Leitfähigkeit, Lumineszenz, Reflexions- und/oder Absorptions­ vermögen etc., aufweist. Die Echtheitsinformation variiert vorzugsweise von Datenträger zu Datenträger oder weist zumindest eine so groß Wiederho­ lungsrate auf, daß eine ausreichende Individualisierung der einzelnen Da­ tenträger vorliegt. Auf diese Weise wird sichergestellt, daß auch Fäl­ schungsversuche, für die ausnahmsweise echtes Datenträgermaterial zur Verfügung stand, bei der Überprüfung der Echtheit entlarvt werden. Denn wird beispielsweise der Echtheitscode eines echten Datenträgers auf das dem Fälscher zur Verfügung stehende Datenträgermaterial kopiert bzw. übertra­ gen, stimmt dennoch der vom Datenträger abgelesene Echtheitscode nicht mit dem im Sicherheitsmodul berechneten Echtheitscode überein, da sie von unterschiedlichen Echtheitsinformationen abgeleitet werden.

Die Personalisierung der im erfindungsgemäßen Zugangskontrollsystem anwendbaren Datenträger erfolgt ausgehend von Datenträgerrohlingen, die lediglich die Echtheitsinformation sowie allen Datenträgern gemeinsame Informationen aufweisen, wie z. B. ein Druckbild, Angaben bezüglich der ausgebenden Institution. In einem ersten Schritt wird die Echtheitsinforma­ tion gelesen und hieraus in einem Sicherheitsmodul der Echtheitscode be­ rechnet. Diesem Echtheitscode werden die Berechtigungsdaten zugeordnet und beide zu einem Datensatz verknüpft. Zur Erhöhung der Fälschungssi­ cherheit kann der Echtheitscode zusammen mit den Berechtigungsdaten er­ neut verschlüsselt werden. Der Datensatz wird an die zentrale Einrichtung übermittelt und dort gespeichert. Schließlich wird der Echtheitscode bzw. der nochmals mit den Berechtigungsdaten verschlüsselte Echtheitscode auf dem Datenträger abgelegt. Vorzugsweise werden die Berechtigungsdaten ebenfalls, eventuell in maschinenlesbarer oder verschlüsselter Form, auf den Datenträger aufgebracht.

Die Personalisierung findet gemäß einer bevorzugten Ausführungsform zen­ tral in gesicherter Umgebung, z. B. beim Datenträgerhersteller oder der den Zugang gewährenden Institution, statt. Sofern besondere Sicherheitsvorkeh­ rungen bezüglich des Sicherheitsmoduls und auch der Lagerung der Daten­ trägerrohlinge getroffen werden, ist es auch möglich, mehrere dezentrale Personalisierungsstellen vorzusehen, was beispielsweise beim Verkauf von Eintrittskarten für Veranstaltungen, wie Messen, Konzerte etc., von Vorteil sein kann. Denn auf diese Weise können Datenträgerrohlinge mit einem ein­ heitlichen visuellen Aussehen an die Verkaufsstellen geliefert werden. Die Zuordnung der Berechtigungsdaten, wie z. B. ein bestimmter Besuchstag für eine Messe-oder ein bestimmter Sitzplatz in einem Konzert, an einem be­ stimmten Tag, erfolgt erst vor Ort in der Verkaufsstelle. Gleichzeitig wird der Echtheitscode in dem in der Verkaufsstelle befindlichen Sicherheitsmo­ dul errechnet und auf dem Datenträger abgespeichert. Der Datensatz aus Echtheitscode und Berechtigungsdaten wird über eine Datenverbindung an eine zentrale Einrichtung weitergeleitet und dort gespeichert. Kann nur eine begrenzte Zahl an Zugangsberechtigungen vergeben werden, so wird sinn­ vollerweise vor der Personalisierung des Datenträgers über eine Datenver­ bindung zur zentralen Einrichtung überprüft, ob ein Datenträger mit den gewünschten Berechtigungsdaten hergestellt werden kann.

Weitere Ausführungsformen sowie Vorteile der Erfindung werden anhand der Figuren erläutert.

Es zeigen:

Fig. 1 erfindungsgemäßes System zur Prüfung der Zugangsberech­ tigung,

Fig. 2 Personalisierung eines zum erfindungsgemäßen System ge­ hörenden Datenträgers.

Fig. 1 zeigt schematisch das erfindungsgemäße System 10 zur Prüfung der Zugangsberechtigung. Es besteht aus drei wesentlichen Komponenten, ei­ nem Datenträger 1, einer ersten dezentralen Einrichtung 2 sowie einer zen­ tralen Einrichtung 3.

Der Datenträger 1 weist zumindest eine maschinell prüfbare Echtheitsinfor­ mation 4 auf. Vorzugsweise sind auf dem Datenträger 1 darüber hinaus ein aus dieser Echtheitsinformation 4 abgeleiteter Echtheitscode 5 sowie Berech­ tigungsdaten 6 gespeichert.

Die Einrichtung 2 dient zur Überprüfung der Echtheit des Datenträgers 1 und ist dezentral an der Stelle angeordnet, an welcher die Zugangsberechti­ gung erteilt wird. Soll beispielsweise mit Hilfe des Zugangskontrollsystems 10 der berechtigte Eintritt zu einer Veranstaltung geprüft werden, kann die Einrichtung 2 im Bereich einer automatisch betätigbaren Tür oder eines Drehkreuzes angeordnet werden. Sofern mehrere Zugangskontrollstationen vorhanden sind, ist selbstverständlich jede dieser Stationen mit einer Einrich­ tung 2 zu versehen.

Bei der Einrichtung 3, in welcher die Überprüfung der Berechtigungsdaten 6 des Datenträgers 1 stattfindet, handelt es sich um eine Zentrale, die mit der Einrichtung 2, bei Vorliegen mehrerer paralleler Einrichtungen 2 mit all die­ sen Einrichtungen kommuniziert. Sie weist zumindest einen Speicher 7 auf, in welchem zumindest die Berechtigungsdaten 6 aller echten und gültigen Datenträger 1 gespeichert sind. Die Kommunikation zwischen der Einrich­ tung 2 und der Zentrale 3 kann über eine Datenleitung oder aber kontaktlos, beispielsweise über Funk, erfolgen.

Die Zugangsberechtigung wird lediglich erteilt, wenn die Echtheitsprüfung in der Einrichtung 2 sowie die Berechtigungsprüfung des Datenträgers 1 in der Einrichtung 3 ein positives Ergebnis liefert.

Die Echtheitsprüfung des Datenträgers 1 in der Einrichtung 2 läuft hierbei im Einzelnen wie folgt ab. Ein Leser 8 der Einrichtung 2 liest die auf dem Datenträger 1 befindliche Echtheitsinformation 4. Die gelesene Echtheitsin­ formation 4 wird an ein Sicherheitsmodul 9 weitergeleitet, welches die Echt­ heit der gelesenen Information 4 überprüft. Vorzugsweise erfolgt die Echt­ heitsprüfung anhand des Echtheitscodes 5. Hierfür wird der Echtheitscode von einem zweiten Leser 11 gelesen und an das Sicherheitsmodul 9 weiterge­ leitet. Dort wird aus der gelesenen Echtheitsinformation 4 der Echtheitscode erneut berechnet und mit dem ebenfalls gelesenen, auf dem Datenträger 1 gespeicherten Echtheitscode 5 verglichen. Bei Übereinstimmung der beiden Codes liegt ein positives Prüfergebnis vor.

Für die Überprüfung der Berechtigungsdaten 6 des Datenträgers 1 in der zentralen Einrichtung 3 werden die auf dem Datenträger 1 abgelegten Be­ rechtigungsdaten 6 ebenfalls mit dem Leser 11 oder einem weiteren Leser gelesen und an die Einrichtung 3 weitergeleitet. Dort findet ein Vergleich der gelesenen Daten 6 mit im Speicher 7 enthaltenen Daten statt. Auch hier liegt ein positives Prüfergebnis vor, wenn die Daten übereinstimmen.

Liefern beide Prüfungen - Echtheitsprüfung und Berechtigungsprüfung - po­ sitive Ergebnisse, so erhält die Steuerung 12 ein Signal, daß die Zugangs­ berechtigung gewährt wird. Durch dieses Steuersignal wird die Freigabe einer Zugangssperre 13 initialisiert, beispielsweise eine automatische Tür geöffnet oder ein Drehkreuz kurzzeitig entriegelt. Verläuft zumindest eine der Prüfungen negativ, wird die Zugangsberechtigung nicht gewährt und keine Freigabe dem Zugangssperre 13 initialisiert.

Die Prüfung der Berechtigungsdaten 6 kann parallel zur Echtheitsprüfung des Datenträgers 1 vorgenommen werden. Alternativ ist es jedoch auch denkbar, die Prüfung der Berechtigungsdaten 6 nur durchzuführen, wenn ein positives Ergebnis der Echtheitsprüfung vorliegt. Diese Vorgehensweise bietet sich insbesondere an, wenn die Berechtigungsdaten 6 nicht auf dem Datenträger 1 gespeichert werden, sondern lediglich über die zentrale Ein­ richtung 3 zugänglich sind. In diesem Fall kann der geprüfte Echtheitscode 5 als Adresse für das Auffinden der Berechtigungsdaten 6 im Speicher 7 die­ nen.

Die Art der eingesetzten Leser 8, 11 richtet sich selbstverständlich nach den zu lesenden Daten. Je nach Ausführung der Echtheitsinformation 4, des Echtheitscodes 5 und der Berechtigungsdaten 6 kann eine kontaktbehaftete oder kontaktlose Leseeinheit 8, 11 vorteilhafter sein.

Anhand von Fig. 2 wird im folgenden die Personalisierung des Datenträgers 1 näher erläutert. Das Personalisierungssystem weist im Wesentlichen eine Einrichtung 14 auf, in welcher die Personalisierung letztlich stattfindet sowie eine zentrale Einrichtung 3, die mit der Einrichtung 14 kommunizieren kann. Der Datenträger 1 besteht üblicherweise aus Kunststoffmaterial, Papier oder einer Mischung aus synthetischen und natürlichen Fasern und hat vorzugs­ weise eine ausweiskartenähnliche Form. Vor dem Personalisierungsvorgang weist der Datenträger 1 neben den bereits genannten Sicherheitsmerkmalen die Echtheitsinformation 4 auf sowie eventuell ein Druckbild. Die Echt­ heitsinformation 4 kann eine dem Kartenmaterial eigene Eigenschaft, wie z. B. die Oberflächenrauhigkeit oder ein bestimmtes optisches Verhalten des Kartenmaterials, sein. Vorzugsweise wird die Echtheitsinformation jedoch mittels eines maschinell lesbaren Merkmalstoffs, der eine bestimmte physi­ kalische Eigenschaft aufweist, auf der Oberfläche des Datenträgers 1 oder im Datenträgermaterial selbst erzeugt.

Die Berechtigungsdaten 6 können Informationen bezüglich des Verwen­ dungszwecks und/oder der Gültigkeit des Datenträgers enthalten. Es kann sich hierbei um beliebige Auswahlkriterien innerhalb einer bestimmten An­ wendung handeln. Werden die Datenträger beispielsweise als Eintrittskarten für eine Messe verwendet, können die Berechtigungsdaten 6 Informationen über den Tag der Gültigkeit des Datenträgers 1 enthalten, an welchem der Besitzer des Datenträgers Zutritt zur Messe erhält.

Die Personalisierungsvorrichtung 14 weist einen Leser 8 für die Echtheitsin­ formation 4 sowie ein Sicherheitsmodul 9 auf. Aus der vom Leser 8 erfaßten Echtheitsinformation 4 wird im Sicherheitsmodul 9 der Echtheitscode 5 be­ rechnet. Diesem Echtheitscode 5 werden anschließend die gewünschten Be­ rechtigungsdaten 6 zugeordnet. Die Berechtigungsdaten können hierbei von einem elektronischen Speichermedium oder einem Magnetband abgerufen werden, auf welchen die Berechtigungsdaten aller Datenträger innerhalb einer bestimmten Anwendung gespeichert sind. Diese Vorgehensweise eig­ net sich insbesondere für eine zentrale Herstellung aller Datenträger 1. Wer­ den die Datenträger 1 in unterschiedlichen dezentralen Ausgabestellen her­ gestellt, ist es häufig sinnvoller, die Berechtigungsdaten von Hand über eine Tastatur in das Personalisierungssystem 20 einzubringen oder sie von der zentralen Einrichtung abzufordern.

Die Berechtigungsdaten 6 und der Echtheitscode 5 werden zu einem Daten­ satz 16 verknüpft. Um eine weitere Absicherung der Daten zu erreichen, können die Berechtigungsdaten 6 und der Echtheitscode 5 erneut verschlüs­ selt werden. Der Datensatz 16 wird schließlich an die Zentrale 3 weitergege­ ben und dort im Speicher 7 gespeichert. Parallel wird der Datensatz auch auf dem Datenträger 1 abgelegt. Er kann hierbei entweder visuell sichtbar oder unsichtbar als maschinenlesbarer Code aufgedruckt oder mittels eines Lasers in das Datenträgermaterial eingeschrieben werden. Ebenso ist es denkbar, die Daten in einem Magnetstreifen oder einem im Datenträger 1 vorhande­ nen IC-Baustein einzuschreiben.

Der Datenträger 1 muß nicht notwendigerweise die Form einer Ausweiskar­ te aufweisen. Er kann auch aus einer Trägerkarte und einer personalisierten Berechtigungskarte bestehen, die lösbar mit der Trägerkarte verbunden ist. Trägerkarte und Datenträger können z. B. durch einen vorperforierten Rand miteinander verbunden und daher leicht voneinander zu trennen sein.

Die bei der Personalisierung verwendete zentrale Einrichtung muß nicht notwendigerweise der bei der Zugangskontrolle verwendeten zentralen Einheit entsprechen, auch wenn dies durch die Verwendung gleicher Be­ zugszeichen in den Fig. 1 und 2 angedeutet wird. Analoges gilt selbstver­ ständlich für die Leser der Echtheitsinformation sowie das Sicherheitsmodul.

Claims (14)

1. System zur Prüfung der Zugangsberechtigung mit wenigstens einer er­ sten Einrichtung, in welcher die Daten eines Datenträgers gelesen werden, und mit wenigstens einer zweiten Einrichtung, die mit der ersten Einrich­ tung kommuniziert, und in welcher dem Datenträger zugeordnete Berechti­ gungsdaten geprüft werden, dadurch gekennzeichnet, daß in der ersten Einrichtung die Echtheit des Datenträgers geprüft wird, und daß die Zu­ gangsberechtigung gewährt wird, wenn sowohl die Echtheits- als auch die Berechtigungsprüfung ein positives Ergebnis liefert.

2. System nach Anspruch 1, dadurch gekennzeichnet, daß die erste Einrich­ tung eine dezentrale Einrichtung und die zweite eine zentrale Einrichtung ist.

3. System nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Über­ prüfung der Berechtigung nur erfolgt, wenn die Echtheitsüberprüfung er­ gibt, daß es sich um einen echten Datenträger handelt.

4. System nach wenigstens einem der Ansprüche 1 bis 3, dadurch gekenn­ zeichnet, daß der Datenträger eine Echtheitsinformation aufweist, die mit­ tels wenigstens eines Merkmalstoffs dargestellt ist, der zumindest eine ma­ schinell nachweisbare, physikalische Eigenschaft aufweist.

5. System nach wenigstens einem der Ansprüche 1 bis 4, dadurch gekenn­ zeichnet, daß der Datenträger einen Echtheitscode aufweist, der von der auf dem Datenträger befindlichen Echtheitsinformation abgeleitet ist.

6. System nach Anspruch 5, dadurch gekennzeichnet, daß die Echt­ heitsüberprüfung des Datenträgers anhand des Echtheitscodes durchgeführt wird.

7. System nach wenigstens einem der Ansprüche 1 bis 6, dadurch gekenn­ zeichnet, daß die Berechtigungsdaten auf dem Datenträger gespeichert sind.

8. System nach Anspruch 7, dadurch gekennzeichnet, daß die Berechti­ gungsdaten in verschlüsselter Form auf dem Datenträger gespeichert sind.

9. System nach wenigstens einem der Ansprüche 1 bis 8, dadurch gekenn­ zeichnet, daß die erste Einrichtung eine Leseeinrichtung zum Detektieren und Lesen der für die Echtheitsprüfung notwendigen Echtheitsinformatio­ nen auf dem Datenträger aufweist sowie ein Sicherheitsmodul zur Überprü­ fung der Echtheit des Datenträgers.

10. System nach wenigstens einem der Ansprüche 1 bis 9, dadurch gekenn­ zeichnet, daß die zweite Einrichtung einen Speicher aufweist, in welchem ein dem Datenträger zugeordneter Datensatz gespeichert ist.

11. System nach Anspruch 10, dadurch gekennzeichnet, daß der Datensatz aus dem Echtheitscode und den Berechtigungsdaten besteht.

12. System nach Anspruch 5, dadurch gekennzeichnet, daß mit Hilfe des überprüften Echtheitscodes die zu dem Datenträger gehörenden Berechti­ gungsdaten in der zweiten Einrichtung festgestellt und überprüft werden.

13. Verfahren zur Personalisierung von Datenträgem, die wenigstens eine Echtheitsinformation und einen hieraus abgeleiteten Echtheitscode zur Überprüfung der Echtheit des Datenträgers aufweisen sowie Berechtigungs­ daten enthalten, gekennzeichnet durch folgende Schritte:

• - Detektion und Lesen der Echtheitsinformation,
• - Bestimmung des Echtheitscodes aus der gelesenen Echtheitsinforma­ tion unter Verwendung bestimmter Schlüsselinformationen,
• - Zuordnen von Berechtigungsdaten,
• - Bilden eines Datensatzes aus Echtheitscode und Berechtigungsdaten,
• - Speichern des Datensatzes in einer Datenverarbeitungseinheit,
• - Aufbringen des Echtheitscodes sowie gegebenenfalls der Berechti­ gungsdaten auf den Datenträger.

14. Verfahren nach Anspruch 13, dadurch gekennzeichnet, daß die Berech­ tigungsdaten in verschlüsselter Form auf dem Datenträger aufgebracht wer­ den.