DE19839041A1

DE19839041A1 - Verfahren zum Identifizieren von benutzerrelevanten Zuständen des Fehlbedienungszählers

Info

Publication number: DE19839041A1
Application number: DE19839041A
Authority: DE
Inventors: Ernst-Michael Hamann; Michael Kaisser
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 1998-08-28
Filing date: 1998-08-28
Publication date: 2000-03-02
Anticipated expiration: 2018-08-29
Also published as: JP2000076134A; EP0982693A3; EP0982693A2; DE19839041C2

Abstract

Die vorliegende Erfindung beschreibt ein Verfahren zum Identifizieren und Anzeigen von Zuständen des Fehlbedienungszählers vor der Eingabe eines Paßwortes. Das Verfahren überprüft vor jeder neuen Paßworteingabe den Zustand des Fehlbedienungszählers. Jedem abgefragten Zustand wird ein definierter Zustand zugeordnet, der über die Chipkartenanwendung visuell oder akustisch dem Benutzer vor der Eingabe des Paßwortes mitgeteilt wird. Die visuelle Anzeige erfolgt vorzugsweise in Form einer Ampel, wobei die Farben grün, gelb und rot einem definierten Zustand des Fehlbedienungszählers zugeordnet sind. Der Benutzer von durch Paßwörter geschützter Objekte bzw. Anwendungen wird über den Zustand der Schutzvorrichtung für Paßwörter durch übersichtliche Darstellung eindeutig informiert. Besonders nach dem Wiederauffinden der Karte wird dem Benutzer verdeutlicht, ob ein Fremder die Paßworteingabe versucht hat. Vor der letzten Möglichkeit das Paßwort einzugeben, wird der Benutzer eindeutig gewarnt und kann vor der Eingabe nochmals sorgfältig das Eingabegerät überprüfen.

Description

Die vorliegende Erfindung beschreibt ein System und Verfahren zur eindeutigen Identifikation des Zustandes des Fehlerbedienungszählers von Chipkarten bei der Eingabe von Identifikationsmerkmalen, insbesondere Paßwörter.

Bei gesicherten Datenspeichern, z. B. Chipkarten, werden Anwendungen und Daten durch Paßwörter (PIN = Personal Identication Number) geschützt. Die Verwendung eines Paßwortes dient zur Identifizierung der berechtigten Person eine bestimmte Anwendung zu benutzen oder auf geschützte Daten zuzugreifen. Der Benutzer gibt in einem Kartenterminal die PIN ein und bekommt kurz darauf auf einem Display eine Anzeige, ob der PIN korrekt war. Dabei erhält die Chipkarte vom Terminal in dem Befehl VERIFY PIN eine üblicherweise 4- stellige PIN und vergleicht diese mit der im EPROM abgespeicherten. Ist die von außen übergebene und die abgespeicherte PIN gleich, so beeinflußt dies den Zustandsautomaten in der Chipkarte und das Terminal erhält eine Meldung über den positiven Vergleich. Der Fehlbedienungszähler der PIN erhält daraufhin ebenfalls seinen Ursprungswert (z. B. 3 oder 0). Stimmt der übergebene PIN mit der in der Chipkarte gespeicherten PIN nicht überein, so führt dies zu einem Herabsetzen des Fehlbedienungszählers. Ist dieser bei dem Wert null angelangt, so ist die Karte für jede weitere PIN Überprüfung gesperrt.

Der Chipkarteninhaber kann beim Wiederauffindender Chipkarte nach deren Verlust nicht kontrollieren, ob jemand seine Chipkarte mit falschem PIN versucht hat zu benutzen.

Der Status der Chipkarte wird erst nach der Eingabe des PINs als Fehlermeldung mitgeteilt. Der Chipkarteninhaber wird nicht vor dem allerletzten Eingabeversuch gewarnt. Unbeabsichtigte Fehlereingaben können durch unbeabsichtigte Einschaltung des "Großbuchstabenmodus" auf der Tastatur bei Klein-Großbuchstaben Paßwörtern leicht auftreten.

Es ist daher Aufgabe der vorliegenden Erfindung ein System und Verfahren bereitzustellen, das die oben genannten Nachteile im Stand der Technik vermeidet.

Diese Aufgabe wird durch die Merkmale im Anspruch 1 gelöst. Weitere vorteilhafte Ausführungsbeispiele sind in den Unteransprüchen niedergelegt.

Der Benutzer von durch Paßwörter geschützter Objekte bzw. Anwendungen wird über den Zustand der Schutzvorrichtung für Paßwörter durch übersichtliche Darstellung eindeutig informiert. Besonders nach dem Wiederauffinden der Karte wird dem Benutzer verdeutlicht, ob ein Fremder die Paßworteingabe versucht hat. Vor der letzten Möglichkeit das Paßwort einzugeben, wird der Benutzer eindeutig gewarnt und kann vor der Eingabe nochmals sorgfältig das Eingabegerät überprüfen (z. B. Großstellung der Tastatur, richtiger Anschluss der biometrischen Eingabeeinheit). Bei der Ausgabe der Chipkarte wird der Benutzer gezwungen, das bei der Herstellung der Karte vorgegebene Paßwort zu ändern. Ist diese Anzeige bei der erstmaligen Benutzung nicht vorhanden, erkennt der Benutzer, dass jemand vor ihm das Paßwort verändert hat und eventuell das geschützte Objekt verwendet hat.

Die vorliegende Erfindung zeigt dem Benutzer der Chipkarte bereits vor Eingabe des Paßwortes den Status des Fehlbedienungszählers an. Dies erfolgt vorzugsweise über eine graphische Benutzeroberfläche der Anwendung. Die graphische Benutzoberfläche kann dem Benutzer zum Beispiel folgende Zustände mittels graphischer Darstellungen anzeigen:
Zustand 1: Die Karte ist neu und wird mit einem vorbestimmten Paßwort ausgegeben oder das Paßwort wurde durch den Sicherheitsbeauftragten zurückgesetzt und das Paßwort sollte durch einen persönlichen Wert vom Benutzer ersetzt werden.
Zustand 2: Das Paßwort ist bei der letzten Abfrage richtig eingegeben worden.
Zustand 3: Das Paßwort wurde bei der letzten Abfrage falsch eingegeben und es sind noch mindestens zwei Versuche möglich.
Zustand 4: Das Paßwort wurde bei der letzten Abfrage falsch eingegeben und es ist nur noch ein Versuch möglich.
Zustand 5: Die Karte ist gesperrt und kann nur noch durch ein spezielles Rücksetzpaßwort vom Benutzer oder Sicherheitsbeauftragten zurückgesetzt werden.
Diese Zustände können durch verschiedene graphische Darstellungen implementiert werden.

Ein bevorzugtes Implementierungsbeispiel ist die graphische Darstellung einer Verkehrsampel. Hierbei werden den oben definierten fünf Zuständen folgende graphische Darstellungen zugeordnet:

1. blinkendes grünes Licht (Zustand 1) - spezieller Paßwortmodus; z. B. Karte ist neu oder das Paßwort wurde durch den Sicherheitsbeauftragten zurückgesetzt. Der Benutzer wird aufgefordert, ein Paßwort einzugeben oder ein vorgegebenes Paßwort abzuändern. Bei falscher Eingabe eines Paßwortes wird die graphische Darstellung für den Zustand 3 oder 4 gesetzt, d. h. es sind noch mindestens zwei Versuche bzw. nur noch ein Versuch möglich;
2. grünes Licht (Zustand 2) - Fehlbedienungszähler ist auf null. Der Benutzer hat noch die volle Anzahl der vorgegebenen Fehlversuche. Der Fehlbedienungszähler kann je nach Sicherheitsanforderungen eingestellt werden. Die Anzahl der erlaubten Fehlversuche ist üblicherweise drei. Dies gilt für EC-Karten und elektronische Geldbörse. Andere Karten, die weniger zugriffsgefährdet sind, erlauben fünf oder sogar zehn Fehlversuche;
3. gelbes Licht (Zustand 3) - Fehlbedienungszähler hat zumindest einen Fehlversuch registriert. Der Benutzer hat jedoch noch mindestens zwei Fehlversuche offen;
4. blinkendes gelbes Licht (Zustand 4) - Fehlbedienungszähler hat mehrere Fehlversuche registriert und nur noch ein Fehlversuch ist möglich. Das blinkende gelbe Licht signalisiert, dass der Benutzer bei der Eingabe des Paßwortes mit erhöhter Aufmerksamkeit vorgehen muß. Dies gilt insbesondere bei Paßwörtern mit Groß- und Kleinschreibemodus;
5. rotes Licht (Zustand 5) - Fehlbedienungszähler ist auf dem Maximalwert der Fehlbedienungsversuche. Die Karte ist gesperrt und der Fehlbedienungszähler kann nur durch ein Rücksetzpaßwort wieder zurückgesetzt werden.

Anstelle der Eingabe des Paßwortes kann auch eine biometrische Eingabe mittels des Fingerabdrucks erfolgen. Aus dem Fingerabdruck wird ein eindeutiger Schlüssel generiert, der mit einem in der Chipkarte abgelegten Schlüssel verglichen wird. Kann kein oder kein eindeutiger Schlüssel erzeugt werden, wird der Fehlbedienungszähler erhöht. Dies gilt auch, wenn ein falscher Schlüssel erzeugt wird.

Eine weitere Ausführungsform der graphischen Darstellung der Zustände 1 bis 5 kann darin bestehen, dass unterschiedliche Hintergrundfarben in der graphischen Benutzeroberfläche der Paßworteingabe entsprechend des Zustandes des Fehlbedienungszählers angezeigt werden. Dies könnte entsprechend der Farbendarstellung in der Ampelausführung folgen. Die graphische Darstellung der einzelnen definierten Zustände des Fehlbedienungszählers kann durch beliebige graphische Symbole erfolgen. Der wesentliche Aspekt hierbei ist die leichte Merkbarkeit durch den Benutzer. Die vorgenannten Ausführungsformen sollten daher nur als bevorzugte Ausführungsformen erwähnt werden.

Eine weitere Ausführungsform der vorliegenden Erfindung besteht in der akustischen Realisierung der definierten Zustände 1 bis 5. Hierbei wird jedem Zustand des Fehlbedienungszählers ein bestimmter Ton oder Tonfolge/Tonseguenz (Summton oder Piepston) oder kurze Melodie zugeordnet. Kein Ton könnte Zustand 2 zugeordnet werden. Summton bedeutet Sperrung der Karte. Piepston deutet Zustand 3 und Warnton bedeutet Zustand 4. Diese Ausführungsform ist insbesondere für farbenblinde Benutzer geeignet. Die Kombination von visueller mit akustischer Zuordnung mit Zuständen des Fehlbedienungszählers dürfte eine weitere Ausführungsform darstellen.

Allen Ausführungsformen der vorliegenden Erfindung sollte gemeinsam sein, dass nur der berechtigte Benutzer die visuellen und/oder akustischen Zustandsinformationen des Fehlbedienungszähler eindeutig interpretieren kann. Der Hersteller bzw. der Chipkartenherausgeber müßte jeder Chipkarte eine kurze Beschreibung beilegen, welche graphische und/oder akustische Darstellung welchem Zustand des Fehlbedienungszählers zugeordnet ist. Der unberechtigte Benutzer kann aus den Zustandsinformationen keinen Vorteil ziehen. Eine weitere Ausführungsvariante könnte auch darin bestehen, dass graphische und akustische Zustandsinformationen vom Benutzer selbst definiert werden. Jedes Anwendungsprogramm müßte dann über Funktionen verfügen, die die Auswahl und Darstellung von Zustandsinformationen ermöglichen. Dies könnte beispielsweise über menugesteuerte Benutzeroberflächen durchgeführt werden.

Allen Ausführungsformen sollte jedoch gemeinsam sein, dass beim ersten Zustand immer gleich die Paßwortänderungsfunktion aufgerufen wird, um das vorgegebene Paßwort auf nur einen, nur dem Benutzer bekannten Wert zu ändern. Nach der Eingabe des neuen Paßwortes wird der Fehlbedienungszähler zum Beispiel auf Zustand 2 zurückgesetzt. Solange kein Paßwort eingegeben wird, bleibt der Zustand, z. B. Zustand 3 oder Zustand 4, erhalten. Die definierten Zustände des Fehlbedienungszählers werden vorzugsweise über eine Programmierschnittstelle der Anwendung mitgeteilt.

Die vorliegende Erfindung ist nicht nur auf Chipkartensysteme beschränkt. Sie kann in jedem System eingesetzt werden, wo der Zugriff auf Daten oder Anwendungen über einen Fehlbedienungszähler kontrolliert wird.

Claims

1. Verfahren zum Identifizieren von Zuständen eines Fehlbedienungszählers, wobei der Fehlbedienungszähler auf einem intelligenten Datenträger installiert ist und bei Überschreitung einer definierten Anzahl von Fehlversuchen bei der Eingabe eines Identifikationsmerkmales den Zugriff auf den intelligenten Datenträger sperrt, gekennzeichnet durch folgende Schritte:

a) Abfragen des aktuellen Zustandes des Fehlbedienungszählers,
b) Zuordnen dem abgefragten Zustand nach Schritt a) einen definierten Zustand im Hinblick auf die noch verbleibenden Fehlversuche zur Eingabe eines Identifikationsmerkmals,
c) Zuordnen von visuellen und/oder akustischen Informationen zu dem nach Schritt b) definierten Zustand des Fehlbedienungszählers,
d) Anzeigen der visuellen und/oder akustischen Informationen vor der Eingabe des Identifikationsmerkmals.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der intelligente Datenträger eine Chipkarte ist.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Zustand des Fehlbedienungszählers nach Schritt a) Informationen über die bereits erfolgten Fehlversuche und die noch verbleibenden Fehlversuche enthält.

4. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass jedem abgefragten Zustand des Fehlbedienungszählers ein definierter Zustand zugeordnet wird, wobei jedem abgefragten Zustand ein neuer definierter Zustand oder mehrere abgefragten Zuständen der gleiche definierte Zustand zugeordnet wird.

5. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der definierte Zustand benutzerrelevante Zustände des Fehlbedienungszählers definiert.

6. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Identifikationsmerkmal ein Paßwort oder eine biometrische Eingabe ist.

7. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass jedem definierten Zustand eine eindeutige visuelle und/oder akustische Information zugeordnet ist.

8. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der abgefragte Zustand des Fehlbedienungszählers folgende definierte Zustände annehmen kann:
Zustand 1: Die Karte ist neu und wird mit einem vorbestimmten Paßwort ausgegeben und soll vom Benutzer durch ein neues Paßwort ersetzt werden oder das Paßwort wurde durch den Sicherheitsbeauftragten zurückgesetzt und das Paßwort sollte durch einen persönlichen Wert vom Benutzer ersetzt werden;
Zustand 2: das Paßwort ist bei der letzten Abfrage richtig eingegeben worden;
Zustand 3: das Paßwort wurde bei der letzten Abfrage falsch eingegeben und es sind noch mindestens zwei Versuche möglich;
Zustand 4: das Paßwort wurde bei der letzten Abfrage falsch eingegeben und es ist nur noch ein Versuch möglich;
Zustand 5: die Karte ist gesperrt und kann nur noch durch ein spezielles Rücksetzpaßwort vom Benutzer oder Sicherheitsbeauftragten zurückgesetzt werden.

9. Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass beim Zustand 1 automatisch eine Paßwortänderungsfunktion aufgerufen wird und bei Eingabe eines neuen Paßwortes der Zustand 2 zugeordnet wird.

10. Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass jedem Zustand 1 bis 5 eine eindeutige graphische Darstellung oder akustische Information zugeordnet wird.

11. Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass jedem Zustand 1 bis 5 eine eindeutige schriftliche oder textliche Darstellung zugeordnet ist.

12. Verfahren nach den Ansprüchen 1 bis 11, dadurch gekennzeichnet, dass die Darstellung der visuellen Informationen in die graphische Benutzeroberfläche für die Eingabe des Identifikationsmerkmals integriert wird.

13. Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass die Zustände 1 bis 5 in der graphischen Darstellung einer Ampel durch die Farben blinkend grün, grün, blinkend gelb, gelb und rot realisiert werden.

14. Verfahren nach Anspruch 13, dadurch gekennzeichnet, dass Zustand 1 ein blinkendes grünes Licht, dass Zustand 2 ein grünes Licht, dass Zustand 3 ein blinkendes gelbes Licht, dass Zustand 4 ein gelbes Licht und dass Zustand 5 ein rotes Licht in der graphischen Ampel zugeordnet wird.

15. Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass Zustand 1 ein blinkendes grünes Licht, dass Zustand 2 ein grünes Licht, dass Zustand 3 ein gelbes Licht, dass Zustand 4 ein blinkendes gelbes Licht und dass Zustand 5 ein rotes Licht zugeordnet wird und als Hintergrundfarbe in der graphischen Benutzeroberfläche zur Eingabe des Identifikationsmerkmal dargestellt wird.

16. Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass die Zustände 1 bis 5 der jeweiligen Chipkartenanwendung über die Programmierschnittstelle mitgeteilt werden und die Anzeige der visuellen Information nach Schritt d) durch die Chipkartenanwendung erfolgt.

17. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Benutzer über eine menugesteuerte Benutzeroberfläche definierte Zustände selbst auswählen kann.

18. Chipkarte zum Einführen in ein Chipkartenlesegerät, enthaltend einen Speicher zum Einspeichern eines Datenverarbeitungsprogramms enthaltend Datenverarbeitungsprogrammteile zur Durchführung der Verfahrensschritte nach den Ansprüchen 1 bis 17, wenn das Datenverarbeitungsprodukt auf der Chipkarte ausgeführt wird.

19. Datenverarbeitungsprogramm zum Einspeichern in einen Speicher von einem Datenverarbeitungssystem enthaltend Datenverarbeitungsprogrammteile zur Durchführung der Verfahrensschritte 1 bis 17, wenn das Datenverarbeitungsprogramm auf dem Datenverarbeitungsgerät ausgeführt wird.

20. Datenverarbeitungsprogrammprodukt nach Anspruch 19, dadurch gekennzeichnet, dass das Datenverarbeitungsprogramm eine Chipkartenanwendung ist.