DE2245027A1

DE2245027A1 - Geldausgabe-vorrichtung

Info

Publication number: DE2245027A1
Application number: DE2245027A
Authority: DE
Inventors: Robert Black; Christopher Hall
Original assignee: Burroughs Corp
Current assignee: Unisys Corp
Priority date: 1971-10-13
Filing date: 1972-09-14
Publication date: 1973-04-19
Also published as: BE789502A; FR2155959A1; FR2155959B1; GB1383915A; DE2245027C2; BR7207111D0; NL7212703A

Description

EISENFÜHR & SPEISER Patentanwälte

DtPL-ING. GÜNTHER EISENFÜHR

DiPL-lNQ DIETER K. SPEISER

BREMEN' Dn RJ« NAT HÖRST ZlNNQRECE

UNS ZEICHEN; B 225

Anmelder/INH BURROUGHS CORPORATION
Aktenzeichen: Neuanmeldung

datum 11. September 1972

BURROUGHS CORPORATION, eine Gesellschaft nach den Gesetzen des Staates von Michigan, Second Avenue at Burroughs, Detroit, Michigan 48232, Vereinigte Staaten von Amerika.

Geldausgabe-Vorrichtung

Die Erfindung befaßt sich mit einer Geldausgabe-Vorrichtung, die als Verbesserung gegenüber bekannten derartigen Vorrichtungen mit variierbaren, geheimen Erkennungszeichen arbeitet.

Bekanntlich werden die meisten Bankgeschäfte während der normalen Öffnungszeiten der Bank über einen Kassierer abgewickelt. Das bedeutet für den Bänkkunden, daß er sein Bankgeschäft innerhalb bestimmter Öffnungszeiten der Bank tätigen muß. Während dieser Zeiten herrscht bei den Banken Hochbetrieb, insbesondere an Zahltagen, wobei die Kunden häufig an der Kasse Schlange stehen müssen. j¥ - , ' . . '

Zur Verbesserung der Bank-Dienstleistung für ihre Kunden

iNspEcreo

309816/1029

sind kürzlich Kreditkarten eingeführt worden, mit denen automatische Geldausgabe-Vorrichtungen bedient werden können. Diese Vorrichtungen sind beispielsweise Einrichtungen, die ein automatisches Geldabheben durch eine Person gestatten, an die von der Bank eine Bankkreditkarte ausgegeben wurde. Die an einen Bankkunden ausgegebene ·« Kreditkarte ermöglicht es ihm, von seinem Konto Geld jederzeit abheben zu können, indem er die Kreditkarte in eine automatische Geldausgabe-Vorrichtung gibt und außerdem eine geeignete Information in die Vorrichtung eingibt.

Für den Betrieb einer derartigen automatischen Geldausgabe. Vorrichtung trägt die Kreditkarte die Konto-Information derjenicen Person, an die die Karte ausgegeben wurde· Bei der Benutzunn der Kreditkarte wird sie in die Geldausgabe» Vorrichtung eingesteckt und die Konto-Information sowie eine Sicherheitsinformation wird von der Karte.abp«l«9en und z.B.nach Art einer Sicherheitsinformation mit dem Kennwort« verglichen, das von dem Kartenbesitzer über eine Schalttafel oder eine andere Informationseingabe—Vorrichtung in die Geldausgabe-Vorrichtung eingegeben worden ist. Wenn eine Übereinstimmung zwischen der Konto- und Sicherheits-Information festgestellt wird, kann ein bestimmter Geldbetrag abgehoben werden. Dabei kann die Information auf der Kontokarte optisch oder magnetisch gespeichert sein, so daß sie von der in die Vorrichtung eingeschobenem oder ihr dargebotenen Karte abgelesen werden kann. Die Sicherheit s—Information gelangt über die Infortnations-Eingabevorrichtung durch den Kartenbesitzer in die Maschine. Mit dieser Abhebung wird dann das Konto des Kartenbesitzers belastet, was in allen praktisch vorkommenden Fällen eine einfache Abhebung von Kapital bedeutet, das auf dem Bankkonto der betreffenden Person vorhanden ist·

Derartige automatische Geldausgabe-Vorrichtungen sind einer-

309816/1029

seits sehr nützlich für die Ausweitung des Bank-Service für ihre Kunden und eröffnen die Möglichkeit, Kapitel außerhalb der normalen Öffnungszeiten der Bank abzuheben. Andererseits entstehen dadurch schwerwiegende Probleme für die Bank. So sind beispielsweise viele der Geldausqabe-Vorrichtungen an entfernten Stellen aufgestellt und bleiben im wesentlichen unbeaufsichtigt während der üblichen ■ Betriebsstunden. Das eröffnet die Möglichkeit des Mißbrauchs der Geldausgabe-Vorrichtungen, wobei die Bank" durch unerlaubte Abhebungen um Geld betrogen werden kann. Eines der Hauptprobleme der augenblicklich verfügbaren automatischen Geldausgabe-Vorrichtungen besteht darin, daß das System vor allem für den Fall einen Mißbrauch nicht ausschließen kann, daß eine Kreditkarte verloren oder gestohlen wurde. Das liegt daran, daß die Information auf der Karte und das Kennwort ihrer Form nach identisch sind, wenn der im Besitz der Karte befindliche Nichtbevollmächtigte die Information auf der Karte entziffern kann, sie dann verwenden kann, um in Täuschungsabsicht von der die Geldausgabe—Vorrichtung unterhaltenden Bank Geld zu,erlangen. Wenn weiterhin eine Kreditkarte gefälscht oder verändert wird, kann sie in ähnlicher Weise dann mit Erfolg benutzt werden, wenn die Maschine die Abweichung zwischen Kennwort und auf der Kreditkarte gespeicherte Information nicht erkennt,· so daß dann wiederum eine beträchtliche Mißbrauchmoglichkeit vorliegt.

Demnach ist es eine der Erfindung zugrundeliegende Aufgabe, die Sicherheit von entfernten, unbeaufsichtigten Geldausgabe- Vorrichtungen zu verbessern. Weiterhin soll mit der Erfindung die Möglichkeit des Mißbrauchs von Kreditkarten in einer Geldausgabe-Vorrichtung reduziert werden. Schließlich sollen Maßnahmen dahingehend getroffen werden, daß die oeheimen Sicherheitskennungen einer Geldausgabe-Vorrichtung periodisch geändert werden können. Endlich soll

3098 16/1029

die Erfindung die Möglichkeit schaffen, eine Kreditkarte in mehreren einzelnen, unabhäbgig voneinander betriebenen Geldausgäbe-Vorrichtungen zu verwenden.

Diese Aufgaben löst die Erfindung dadurch, daß die etwa das Konto und die Sicherheit betreffende Information, die von einer Karte bei ihrer Benutzung abgelesen wird, vor dem Vergleich diese Information mit einer direkt in die Geldausgabe-Vorrichtung über die Dateneingabe, etwa die Schalttafel eingegebenen Information nach einem geheimen Schlüssel modifiziert wird. Auf diese Weise werden die vorher auf der Karte gespeicherten Daten nach einem vorbestimmten Algorithmus modifiziert und zwar vor dem Vergleich mit der Information, die in die Geldausgäbe-Vorrichtung durch den Kartenbenutzer eingegeben wird. Dadurch ist die persönliche Identifizierungsinformation von der Art des Kennwortes, die im Zeitpunkt der Benutzung der Karte in die Maschine eingegeben wird, nicht identisch mit derjenigen von der Karte gelesenen Information, die früher auf der Karte gespeichert war, ist jedoch eine in gewisser Weise variable Funktion davon. Diese Maßnahme, dieses Verfahren und diese Vorrichtung erhöhen die Sicherheit des Systems in einer Weise, wie sie weiter unten genauer beschrieben wird, indem das direkte Ablesen der auf der Karte gespeicherten Information oder Zeichen verhindert wird, um die notwendige Kennwortinformation zu erhalten.

Wie bereits erwähnt, wird die Kreditkarte, ein Symbol oder andere Zeichen eines Sparers oder Kontenbesitzers der Bank ausgegeben, wenn die betreffende Person ein Bankkonto eröffnet. Die als Zeichen des bei der Bank unterhaltenen Kontos an die Person ausgegebene Karte oder Symbol trägt gespeichert, vorzugsweise in magnetischer Form, eine Kontonummer, Kondendaten und andere Sicherheitsinformation.

309816/1029

Wenn das Symbol oder die Karte benutzt wird, wird die vorher auf der Karte gespeicherte Information gelesen und in die Geldausgabe-Vorrichtung eingegeben. Der abzuhebende Betrag wird in die Maschine, beispielsweise über eine Schalttafel eingegeben und das Kennwort oder eine andere Sicherheitsinformation, beispielsweise eine vier-, fünf- oder sechsziffrige Zahl, wird gleichzeitig über eine Schalttafel in die Maschine eingegeben. Zweckmäßig wird die Kreditkarte von der Maschine aufgenommen und die früher gespeicherte Information betreffend die Si cherheit und das Konto wird gelesen. Gemäß der Erfindung wird die früher auf der Karte gespeicherte Sicherheitsinformation gelesen und gleichzeitig in die Maschine eingegeben und auf diese Weise wird diese Information entsprechend einem ^Sicherheits- oder Geheim-Algorithmus logisch verarbeitet,¹ um eine persönliche Identifxzierungszahl, beispielsweise von vorbestimmter Ziffernlänge zu bilden.

Diese persönliche Identifikationszahl, die jetzt eine cryptographische oder logische Funktion der früher auf der Karte gespeicherten und bei Eingabe in die Geldausgabe-Vorrichtung gelesenen Information ist, ist jetzt zum Vergleich mit der persönlichen Kontensicherheits-Information bereit, die von derjenigen Person eingegeben wird, die die Karte vorgelegt hat. Die persönliche Identifikationszahl kann eine mehrziffrige Zahl beliebiger Länge sein, beispielsweise aus fünf, sechs oder sieben Ziffern bestehen. Diese Ziffern oder Kennwörter werden beispielsweise über eine Schalttafel eingegeben und die Sicherheitsdaten oder die persönliche Identifikationszahl, die über die Schalttafel eingegeben wurde, werden mit der persönlichen Identi- · fikationszahl verglichen, die in der Maschine aus der von der Karte abgelesenen Information gebildet wurde. Wenn der Vergleich positiv ausfällt, d.h. wenn beide Informationen übereinstimmen, dann wird der normale Geldausgabezyklus

309816/1029

eingeleitet. Wenn der Vergleich dagegen negativ ausfällt, wird zweckmäßigerweise eine Lampe aufleuchten und dem Benutzer anzeigen, daß er die Zahl unrichtig eingegeben hat. Der Benutzer kann eine vorbestimmte Anzahl von Malen, beispielsweise zweimaI^ versuchen, seine Zahl richtig einzugeben. Wenn er innerhalb einer vorbestimmten Anzahl von Versuchen es ist nicht zuwege bringt, die Zahl richtig einzugeben, wird die Karte zweckmäßig in der Maschine festgehalten und der Maschinenzyklus wird abgeschaltet, wodurch jede weitere Benutzung durch eine Person verhindert wird, die die Karte in falscher Weise vorgelegt hat.

Die Erfindung wird nachstehend an einem bevorzugten Ausführungsbeispiel der Vorrichtung sowie des Verfahrens beschrieben, wobei auf die beigefügte Zeichnung Bezug genommen wird. Im einzelnen zeigen:

Fig. 1 eine nach den Grundzügen der Erfindung verwendbare Kreditkarte;

Fig. 2 eine Teilansicht der automatischen Geldausgabevorrichtung, die mit den Merkmalen der Erfindun« ausgestattet ist;

Fig. 3 ein vereinfachtes funktionelles Blockdiagramm nach der Erfindung;

Fig. 4 den cryptographischen Algorithmus gemäß der Erfindung; und

Fig. 5 ein Blockdiagramm der logischen Einheit.

Fig. 1 zeigt eine Kreditkarte 9, die in der mit den Merkmale] der Erfindung ausgestatteten automatischen Geldausgabe-Vorrichtung verwendbar ist.

Jeder Bankkunde, der berechtigt ist, die automatische Geldausgabe-Vorrichtung zu benutzen, erhält eine Kreditkarte der in Fig. 1 dargestellten Art. Diese Karte enthält vorqespeicherte Information oder Daten, die normalerweise für

309816/1029

Bankgeschäfte benötigt werden. Diese, Daten sind auf verschiedenen Flächen der Karte gespeichert oder aufgeschrieben· Beispielsweise der Name der ausgebenden Bank, das Ablaufdatum, oder dergleichen können beispielsweise auf der Magnetspur 10 aufgezeichnet sein. Weiterhin können Daten betreffend die Kontennummer des' Kunden sowie Sicherheitsinformationen, beispielsweise ein Kennwort, in Ziffernform verschlüsselt auf der Magnetspür 10 aufgezeichnet sein. Weitere Daten, beispielsweise zur Begrenzung der Benutzungshäufigkeit der Karte innerhalb eines bestimmten Zeitraumes, können in ähnlicher Weise in vorbestimmten Feldern auf den Magnetstreifen oder auf andere Weise entweder sichtbar oder unsichtbar auf der Kartenfläche aufgezeichnet sein. Die Information oder Daten können in verschiedenen Feldern auf der Karte .in einer Weise verteilt sein, die ein leichtes Auslöschen oder Ausstreichen verhindert.

Ein wichtiges Merkmal der Kreditkarte besteht darin, daß sie Sicherheitsinformation trägt. Wenn dem Bankkunden eine Karte ausgehändigt worden ist, wird ihm seine geheime Sicherheits-oder persönliche Identifikationszahl mitgeteilt. Diese Zahl muß in die Maschine eingegeben werden, wenn der Kunde seine Kreditkarte einer Geldausgabe-Vorrichtung anbietet. Wie weiter unten noch genauer beschrieben werden wird, wird der Kartenbenutzer als der rechtmäßige Eigentümer erkannt, wenn bei Benutzung der Karte eine vorbestimmte Beziehung zwischen der Geheimzahl, die bei Eingabe der Karte in die Maschine eingegeben wird, und der persönlichen Identifikationszahl oder Geheim-Zahl besteht, die die Person in die Maschine eingibt¹. Auf diese Weise ist die Benutzung der Karte autorisiert und Mißbrauch wird verhindert..

Fig.. 2. .2jeiot in Vorderansicht eine automatische Geldausgabe-11. Die.Geldausgabe-Vorrichtung selbst könnte

309 816/1029

beispielsweise in der Außenwand der Bank oder eines anderen Gebäudes befestigt sein, wobei die Vorderplatte öffentlich zugänglich ist. In die Wand oder Halterung kann ein geeigneter Tresor eingebaut sein oder «ft kÜnnen andere Vorkehrungen getroffen sein, die die GeldiÜSyabe-» Vorrichtung vor unsachgemäßer Bedienung schützen* Die Frent*·, platte 12 trägt ein Anzeigefenster 13, einen Eingabeechlitis 14 sowie eine Informationseingabe-Vorrichtung 15 und einen Ausgabeschlitz 16. Diese erwähnten Vorrichtungen sind funktionsmäßig bekannt.

Das Anzeigefenster 13 ist in sechszehn Abschnitte gegliedert, von denen jeder eine programmierte Befehl«folge dem Benutzer der Vorrichtung anzeigen kann. Auf dem Anzeigefenster leuchten diejenigen Befehle auf, die in der nachstehenden Tabelle aufgeführt sindi

Fiq. 2 Bezuqszeichen	Befehl fur B^nytsspr
A	öffne Tür
B	leer
C	nehme Karte
D	gebe persönliche Identifi
	kationszahl ein
E	warte
F	wieder
G	wähle Kontonuinifier
H	Karte wird behalten
I	( 1-laufendes Konto
	( 2-Kreditkartenkonto
	( 3-Sparkonto
L	( 4-Spezialkonto (gib Code an)
M	Ungültige Eingabe
N	Wähle Betrag
O	Gebe Geldklammer zurück
P	Karte,zurückbehalten

Zur Einleitung der Geldausgabe führt der Kunde seine Karte in den Schlitz ^ΛΛ ein. Wenn die Maschine nicht betriebsbereit ist, wird LEER und NEHME KARTE angezeigt. Wenn die Karte nicht angenommen werden kann, wird die Tür 17 sich' nicht

309816/1029

224502?

öffnen und die Karte kann in das System nicht eingeführt werden. Unannehmbare Karten können jedoch auch in einem Behälter in der Maschine zurückgehalten werden.

Wenn eine annehmbare Karte eingeführt worden und in -lie Vorrichtung hineingezogen worden ist, wird die Tür 17, die nur auf Wunsch vorgesehen zu werden braucht, ausgeklinkt und die Abfolge der einzelnen Stufen zur Ausgabe des Geldes kann eingeleitet werden, indem entsprechend dem ÖFFNE TÜR Befehl gehandelt wird. '

Nach öffnen der Tür wird GEBE PERSÖNLICHE IDENTIFIKATIONSZAHL angezeigt und der Kunde wird sein persönliches Kennwort, beispielsweise eine Zahl, in die Schalttafel-Inforrr.ationseingabe-Vorrichtung 15 eindrucken, wie'er das von einem Druck tasten telefon her gewöhnt is't. Wenn der Kunde während der Eingabe einen Fehler macht, kann er das Kennwort durch Drücken der Taste CLEAR (CL) das Kennwort löschen.

Er kann danach erneut sein Kennwort drucken.

Wenn das letzte Zeichen oder die letzte Ziffer des Kennwortes eingegeben worden ist, erlöscht die Anzeige GEBE, PERSÖNLICHE IDENTIFIKATIONSZAHL EIN und es wird die Anzeige WARTEN aufleuchten. Wenn die Zahl geprüft worden ist, leuchtet entweder erneut GEBE PERSÖNLICHE IDENTIFIKATIONSZAHL EIN auf (wenn die Zahl falsch war), oder die Karte wird zurückge-. halten (wenn die Karte nicht gültig war) oder, für den Fall, daß die persönliche Identifikationszahl richtig eingegeben worden ist, es wird eine geeignete Ausgabe s^-equenz für den Kunden eingeleitet oder die Anzeige WÄHLE KONTONUMMER wird erscheinen. Die gültige Karte kann außerdem zum Aufleuchten der verbleibenden Zahl der Benutzeranzeige 18 (8 ist dargestellt) führen.

Eine nach Wunsch eingestellte Anzahl von Fehlstarts kann

3098 16/1029

dm Kunden im bisherigen Ablauf zugestanden iieJTU«* ~ Ί

Die Anzeige WÄHLE KONTONUMMER kann nach Wahl des Benutzers und in Abhängigkeit von einem für die Karte registrierten annehmbaren Coda die Art der Konten, die belastet werden sollen, anzeigen, und zwar H bis K gemäß der oben angegebenen Tabelle. Die Anzeigen WIEDER und UNGÜLTIGE EINGABE können für den Fall einer falschen Eingabe durch den Kunden erscheinen, und zwar eine zulässige Anzahl von Malen, oder über eine vorgegebene Zeitspanne hin, nach derem Ablauf die Maschine mit einem Fehlerprogramm fortfährt·

Wenn es dem Kunden gestattet ist, Beträge zu bestimmen, wird die Anzeige WÄHLE BETRAG aufleuchten und der Kunde wird den gewünschten Betrag eingeben. Wenn von dem Kunden ein Fehler gemacht wird, oder ein unrichtiger Betrag über die Schalttafel 15 eingegeben worden ist, können WIEDER und UNGÜLTIGE EINGABE aufleuchten, um eine neue Wahl zu ermöglichen. Das Ausbleiben der Eingabe des richtigen Betrages kann das Fehlerprogramm auslösen.

■ ' i

Nach Eingeben des gültigen Betrages wird die gewünschte Währung (oder der auszugebende Betrag) von der Vorrichtung durch den Schlitz 16 ausgegeben. Jetzt wird die Anzeige GEBE GSLD KLAMMER ZURÜCK aufleuchten* Jjftzt wird von dem Kunden erwartet, daß er die Geldklammer 'oder Quittung-in den Schiit* 18, den KlarawerrückgabeSchilitz, zurückgibt.

Das System bringt dann die Daten auf der Karte auf den neuen Stand oder zeichnet sie erneut auf und die Karte wird für den Fall, daß sie wieder benutzt werden soll, dem Kunden zurückgegeben. Wenn nicht, wird sie zurückgehalten. Wenn die Karte nicht innerhalb einer bestimmten Zeitspanne nach Anbieten an den Kunden nicht herausgezogen wird, kann ein Alarm ausgelöst werden.

309816/ 1029

Innerhalb der Bank oder an anderen "Stellen kann weiterhin ein Warnzeichen erscheinen, wenn ein Fehler auftreten sollte der Beachtung verlangt. Wenn ein aufgetretener Fehler das Zurückhalten der Karte erfordert, dann leuchtet die Anzeige KARTE ZURÜCKGEHALTEN auf. ' -

Für den Vorstehend beschriebenen Arbeitsablauf eignet sich besonders eine automatische Geldausgabevorrichtung, in der zwei getrennte Einheiten, die in Fig. 3 gestrichelt umrandet sind, vorgesehen sind, die jedoch auch zu einer einzigen Einheit zusammengefaßt sein können. Eine der Einheiten enthält einen Sicherheitskartenleser SCP. Der Sicherheitskartenleser weist einen Lese/Schreibkopf auf. Weiterhin ist ein Kontokartenleser CR, ebenfalls mit einem Lese/Schreibköpf vorgesehen. Sowohl der CR wie auch der SCP stehen in Informationsaustausch mit einer elektronischen Logik ELU* Die ELU wirkt als Steuereinheit für die Geldausgabe-Vorrichtung und kann durch Karten oder gelochtes Magnetband programmiert werden und kann an eine zentrale Datenverarbeitungsanlage zur Realzeitsteuerung angeschlossen sein» Ein Drucker 19 ist mit der ELU verbunden, der die Geschäftstätigkeit ausdruckt.

Mit der elektronischen Logik ist ein persönlicher Identifi— kationszahl-Generator.PNG verbunden, der eine persönliche Identifikationszahl erzeugt. Die erzeugte persönliche Identifikationszahl entspricht dem Kennwort , das in eine Vergleichsschaltung von dem Kunden über die Schalttafel 15 eingegeben wird. Wenn der Vergleich positiv ausfällt, wird ein Signal an eine Geldausgabe-Einheit CDU gegeben und es werden Bargeld oder andere Posten an den Kunden entsprechend dem auf der Schalttafel 15 angefoBderten Betrag ausgegeben· Der ausgegebene Betrag wird in der elektronischen Logik registriert und freigegeben, und das ausgegebene Geld wird

309816/1029

auf dem Drucker 19 ausgedruckt·

Demzufolge kann die Kontonummer, die von der Karte abgelesen wurde, auf dem Drucker 19 ausgedruckt werden, ebenso

wie jeglicher Geldverkehr, der stattgefunden h

Um einen hohen Sicherheitsfaktor in dem Syatei» <lcher»u* stellen, sind in der automatischen Geldausgebe-Vorrichtung mehrere Prüfungen vorgesehen, die MiiJbrawch verhindern* Die Karte ist mit einer Pe»tstel!(Möglichkeit für das Karteneigentum ausgerüstet, worauf der Sicherheitefctrtenleöiif FCP anspricht. Es kann somit eine 5icherhelt*fiaehpfÜfurtg anhand dereingegebenen Karte ausgeführt werden* Die Sicherheitsidentifikation enthält eine Sicherheltf-^Zani", die innerhalb des Systems nachgeprüft werden kann.

Ferner hat die Bank oder der Besitzer des Systems die MÖg« lichkeit, die Kontennuittniern, die der Karte zugeordnet sind, zu überwachen, und das System kann die Häufigkeit,feit der die Karte benutzt wird» dadurch prüfen, daß eine Benu¹ tastings* begrenzerzahl UD geprüft wird. Die Benut&ungefeegfeasertähl UD wird bei jeder Benutzung der Karte abgeändert«

Weiterhin kann die Sicherheitstabelle LU 1 und/öder dl« Sicherheitstabelle LU 2 in der cryptograph!Sehttti Einheit CU von Öer Bank durch Eingäbe, beispielsweise «ines· Papierlochstreifens, modifiziert werden, wis auch dtireh Vteqrätm» modifikation, etwa durch den Banksichertielteeingang BSI, geschehen kann· Weiterhin sind die Auffteicfinungen sicher, weil ein eigener funfctionsmäßiger ZusaiüftenilÄng besteht, der geheim und getrennt vom Zugriff ä\xf ttlddr« Einheiten als Teil des persönlicher* idenfcifikitidnsiafil-denerators PNG bleibt. Dieser funktionsm&ßige Zufliiüenhiittg wird durch Abändern der Steuerschaltungskarten de« PMQ verSndert«

3098 16/1029

Man sieht, daß sämtliche Prüfungen und Kontenstände innerhalb des Systems vor Mißbrauch sicher sind. Das Verfahren, nach dem das System betrieben wird, kann durch den in Fig. 4 dargestellten Algorithmus erläutert werden. Die in Fig.4 dargestellte Ausführungsform des Algorithmus liefert die Kontenzahlen AC 1 und AC 2 sowie eine Benutzungsbeschränkungs zahl UD auf der Magnetspur 10. Diese werden von den Kartenlesern in der elektronischen Steuereinheit gelesen. Diese Zahlen werden in dem System auf Zufallszahlen, dadurch umgerechnet, daß eine Zufallszahl zur ^lrweichen^M Kontozahl AC \_} AC 2, wie sie auf der Karte enthalten ist, addiert wird. Die auf diese Weise modifizierten Kontozahlen, jetzt MACl, MAC2 genannt, können dazu verwendet werden, daß nach einem verschlüsselten Kennwort gesucht wird, das zu dem Kennwort des Kunden in Beziehung steht, und zwar in Übereinstimmung mit dem funktioneilen Zusammenhang, der von der Schaltungssteuerkarte des PNG bestimmt wird. Diese Beziehung zwischen dem' verschlüsselten Kennwort und dem entschlüsselten Kennwort, die dem Kunden bekannt und die geheim ist, schafft einen Dateischutz, selbst dann, wenn auf minderwertige Kennwörter zugegriffen wird. Wenn das Kennwort von dem PNG verschlüsselt wurde,- kann es mit dem verschlüsselten, dem Kunden bekannten Kennwort verglichen werden, das über die Schalttafel in die Vergleichsschaltung CNC eingegeben wurde. Die Vorrichtung kann in ein Ausgabeverweigerungsverfahren je nach wahrem oder falschem Ausgang der Vergleichsschaltung CNC übergehen.

Um den Betrieb dieses Sicherheitssystems durch ein Beispiel weiter z,u erläutern, nehme man an, daß die Kreditkarte in die Maschine eingegeben und gelesen wurde. Das SCP-Sicherheitsmerkmal der Karte enthält eine spezielle Zahl· Diese Zahl wird durch die Logik der cryptographischen Einheit zugeführt, in der die LU 1, die von dem Banksicherheitseingang BSI gesteuert Wird, die spezielle Zahl von ihrem

309816/1029

Zufallsmerkroal dadurch befreit, daß eine vorbestimntte, geeignete Zufallszahl subtrahiert oder addiert wird· ¹ Diese Zufallszahl steht unter Bankaufsicht und kann zu beliebiger Zeit durch die BSI verändert werden. Wenn.somit" beispielsweise die erste Ziffer eine 1 ist, dann wird nach dieser Zahl in der ersten Spalte der Nachschautabelle gesucht. Eine 1 in der ersten Ziffer erzeugt eine 1 in einer neuen Zahl, die die von ihrer Zufallsidentifikation befreite Zufallszahl ist. Dieser Schritt wird für jede Zahl der SCP durchlaufen. Die so erzeugte, bereinigte Zahl wird dann in ein Register eingeschrieben, und mit der Nachschautabelle verglichen um zu bestimmen, ob die Karte ein gültiger Teil des Systems ist. Wenn die so erzeugte neue Zahl kein gültige · Teil des Systems ist, wird die SCP-Prüfung die Karte zurückweisen und die Maschine mit dem Fehlerverfahren weiter laufen lassen.

Wenn sie Teil des Systems ist, nimmt das Programm für die Geldausgabe seinen Fortgang, während eine neue Zahl, die durch das vorstehend erwähnte einmal-Zufallsverfahren verschlüsselt wurde, in den SCP-Abschnitt der Karte eingefügt wird. Diese neue Zahl kann das Inverse der neuen, bereinigten, in der SCP-Prüfung erzeugte Zahl sein und somit zu der ursprünglichen SCP-Zahl zurückkehren. Oder es kann eine abgeänderte Zahl sein, mit der Veränderung, wie sie durch eine Benutzungs-Subtraktion entsteht. In diesem Fall wird die abgeänderte Benutzungszahl MUD an der richtigen Stelle in die Nachschlagtabelle eingefügt, ehe sie durch die LUl zurückgegeben und danach auf die Karte geschrieben wird. Diese Modifikation verändert weiterhin die damit in Zusammenhang stehende tfachschlagtabelle für die Karten, so daß bei der nächsten Benutzung der Karte keine Pehlerroutine durchlaufen wird. Die Abänderung der Dateizahlen durch eine Zufalls- Geheimschrifttechnlk mit einmaligem Nachschlagen garantiert, daß jede direkt von der Karte gelesene Zahl

309816/1029

224SÖ27

vor der Geheim -Dechiffrierung sicher ist* .

Im Fortgang des Geldausgabe-Prögramms werden die Kontennummern, die von dem Cä-Leser von der Karte abgelesen wurden, durch das oben beschriebene Zufallszahl-Eihmalsystem umgestellt, mit Ausnahme der Nächschlagtabelle LÜ2, die eine andere Zufallszahlen~Additionsseguenz enthält. Diese Kontennummern erscheinen daher als eine modifizierte Konten·*,' nummer, beispielsweise als MAC 1 und MAG 2* Diese modifizierten Kontennummern, die die Kennwort-Dateizahlen sind, besitzen.daher keine Beziehung mit der Kontennummer, die von der Karte gelesen sein konnte* Die Modifikation eines Geheimschlüssels wird von der Bank über die BSI bestimmt. Diese Modifikation kann jederzeit ausgeführt werden und die gesamte Datei von Kennwortzahlen kann so verändert werden, daß sie an die neuen Zufallszahlen von LXJ 1 und LÜ angepaßt sind* ' -

Die Kennzahl, die in der Datei in dem Sicherheitsmodul SM vorhanden ist, enthält die vorbestimmte funktionelle Beziehung zu dem dem Kunden bekannten Kennwort, ist jedoch nicht die gleiche Zahl« Wie beispielsweise in Fig. 4 dargestellt, enthält die SM-Datei-Kennwörterj die ein Vielfaches von zwei der Warenfcennwortzahl sind. Diese funktionelle Beziehung ist jedoch niemand außer der Bank bekannt, die sie durch Einsetzen neuer funktioneller Schaltungskarten in die ELU und PNG jederzeit ändern kann. Eine Wiederholung des SM oder ein minderwertiges SM wird das Kennwort nicht beeinflussen. Wenn der Kunde den Betrag eingibt, den er bei einer Auszahlung abzurufen wünscht, dann wird die durch das MAC repräsentierte Zahl von den SM an den persönlichen * Identifikationszahl-Generator PNG weitergegeben, wo das" vorerwä-hnte Datei-Kennwort durch 2 dividiert und an die Vergleichsschaltung. CNc weitergegeben wird* Wenn der Kunde die richtige Kennwortzähl CB über die Schalttafel 15 ein-

3 0 9 8 16/1029

gibt, dann veranlaßt die Identität dieser Zahl mit der von dem PNG erzeugten persönlichen Zahl die Fortführung des automatischen Geldausggbe-Programms mit der Ausgabe-Routine. Wenn die Identität jedoch nicht besteht, wird, wie bereits erwähnt, eine Fehlerroutine eingeschlagen. Wenn das richtige Kennwort nicht innerhalb einer vorbestimmten Zeitspanne für erneute Versuche eingegeben wird, wird die Kartenausgabe sowie die Ausgaberoutine gesperrt und die Karte wird in einem nicht dargestellten Ablagekasten gebracht und die Anzeige KARTE ZURÜCKGEHALTEN tritt auf.

In einer bevorzugten Ausführungsform mißt der SCP-Leser einen Wert, beispielsweise einen Ziffernwert, der auf dem Magnetstreifen 10 auf der Karte geheim aufgeschrieben und verschlüsselt ist. Der geheime und verschlüsselte Wert wird mit dem denjenigen Wert verglichen, der durch das magnetische Ablesen eines Wertes von einem verborgenen Streifen auf der Karte erzeugt wird. Dieser Streifen befindet sich in einer speziellen Position, so daß der Lesekopf des Systems nur Karten liest, '"' die einen Aufdruck auf der richtigen Stelle haben. Eine Messung des geheimschriftlichen und verschlüsselten Zahlenwertes auf dem Magnetstreifen wird ausgeführt·. Dies wird mit der Nachschautabelle für die spezielle Karte oder direkt mit dem von dem verborgenen Streifen abgelesenen Wert verglichen. Wenn eine Nachschlagtabelle vorgesehen ist, wird der Nachschlagtabeller wert mit dem Wert verglichen, der verschlüsselt auf dem Magnetstreifen geheim aufgeschrieben ist,und wenn die Werte übereinstimmen, innerhalb sehr enger Toleranzen, -dann wird das Geschäft weiter abgewickelt. Es erweist sich als zweckmäßig, wenn das Bestimmungssystem für die Werte die Genauigkeit des Strichabstandes von magnetischen Tiηtenetriehen in dem verborgenen Magnetstreifen einer Plastikkarte bestimmt. Diese Karte ist mit zwei magnetischen Materialien bedruckt, die zwei verschiedene Tinten aufweiten, wobei

309816/1029

Jede Tinte eine andere Koerzitivkraft hat. Da bei den . Druckdurchgängen aufgrund von Toleranzen ein Ausrichten in der Größenordnung von nicht mehr als 0,05 mm (0,002 Zoll) möglich ist, muß das System Genauigkeiten von etwa 0,0125 mm (0,0005 Zoll) messen können. Somit kann -ier Betrag der Ausrichtung und der jeder· bedruckten Karte zugeordnete Wert bestimmt werden. Dieser Wert kann in der Nachschlagtabelle oder direkt auf der Magnetspur 10 gespeichert werden.

Auf der Magnetspur 10 sind Daten»verschlüsselt, die für die gesamte Lebensdauer der Karte feststehen. Diese enthalten die Kontennummern, das Ablaufdatum der Karte, den Bankschlüssel, oder dergleichen» Durch Verwendung komplizierter mathematischer Formeln können diese Zahlen mit Hilfe eines Algorithmus und Nachschlagtafeln in Daten, nämlich eine spezielle in Geheimschrift geschriebene und verschlüsselte Zahl, umgewandelt.werden, die in dem System aufbewahrt werden. Die Zahl kann für die Karte spezifisch sein, oder sie kann einem speziellen Konto einer Karte zugeordnet sein, die mehr als ein bevollmächtigtes Konto betrifft. Diese Zahl wird dann zur Berechnung der oben erwähnten persönlichen Identifikationszahl benutzt 'und die persönliche Zahl wird erzeugt. Diese persönliche Zahl wird in keiner Form auf der Karte verschlüsselt, sondern wird durch Berechnung unter Verwendung anderer verschlüsselter Daten gewonnen. Wenn die persönliche Identifikationszahl der Vergleichsschaltung CNC zugeführt wird, dann wird der Kunde aufgefordert, über die Schalttafel seine persönliche Identifikationszahl einzugeben. Dann wird eine Prüfung mit den verschlüsselten Daten ausgeführt, die sich bei der Er- ■ zeugung der persönlichen Identifikationszahl des Kunden innerhalb des Systems ergaben, und das Geschäft wird weiter abgewickelt, wenn sich eine Identität ergibt. Der Algorithmus und die einschlägigen mathematischen Formeln dienen zur Ge-

3098 16/1029

winnung der Nachschlagtabellen LU 1 und LU 2, die in der cryptographischen Einheit unter Überwachung der Bank gespeichert werden. Die Nachschlagtabellen werden von der Bank aufgestellt und sind nur dieser bekannt. Sie werden in einem Speicherfeld gespeichert, das gegen unerlaubten Zugriff gesichert ist. Jeder Schlüssel ist nur einmal vorhanden und kann an eine dafür bestimmte Person, beispielsweise den Bankdirektor, ausgegeben und aufbewahrt werden. Die Bank kann neue Nachschlagtabellen aufstellen und zu jeder Zeit eine Veränderung in den Nachschlagtabelien bewirken. Diese Nachschlagtabellen sind beispielsweise die oben erwähnten Reihen von Zufallsziffern· Es sind zwar wenige Zufallszahlen in der Nachschlagtabelle als "Schlüsselwörter" dargestellt, jedoch kann die Zahl außerordentlich vergrößert werden, um die Sicherheit des Systems gegenüber Entschlüsselung zu verbessern. Das Verfahren zur Berechnung der Nachschlagtabellen kann ebenfalls in der Sicherheitsverwahrung der Bank sein oder kann an die Bank in Form von Karten geliefert werden, die unter Schloß und Riegel aufbewahrt Werden können.

Jede ELU druckt eine Buchungsliste, beispielsweise als "schwarze Liste", nach Maßgabe der während eines Tages abgewickelten Geschäftstätigkeit. Diese Listen können von den Bankangestellten eingesehen oder mit Daten aus einer zentralen Datenverarbeitungsanlage verglichen werden, um zu bestimmen, ob die Liste ein Fehlverhalten der Maschine oder nicht erlaubte Abhebungen enthält, die aufgrund eines Ausfall der Sicherheitseinrichtung möglich wurden, oder die auch nur aufgrund unehrlichen Bankpersonals, dem die Sicherheit des Systems anvertraut wurde, ermöglicht wurden. Wenn ein Mif brauch festgestellt wurde, kann die Bank den Kennwortalgorithmus und die Nachschalgtabellen vollständig umstellen und damit die Geheimhaltung sämtlicher Kennwörter wieder herstellen.

309816/1029

DaS System wird weiter durch die Möglichkeit eines ^Mon-line" Abrufens von einer zentralen Datenverarbeitungsanlage verbessert, so daß die Versuche zum Kopieren von Karten wesentlich besser festgestellt werden können, wobei das qesamte System nicht mehr unter der Überwachung und Steuerung einer einzelnen Person steht.

Die erfindungsgeraäße automatische Geldausgabe-Vorrichtung besitzt also eine Sicherheitseinheit für den Schutz einer Karte, eine cryptographische Einheit zur Modifizierung einer von der Karte abgelesenen Zahl, einen Generator für eine persönliche Zahl zur Bestimmung eines Kennwortes auf der Grundlage einer aus der cryptograph!sehen Einheit abgeleiteten Zahl, ferner eine Vergleichsschaltung, eine Kennworteingabe-Schalttafel, die mit der. Vergleichschaltung verbunden ist, und eine Ausgabeeinheit, die auf den fähren oder falschen Ausgang der Vergleichsschaltung anspricht und deren Tätigkeit weiterhin von der richtigen Eingabe eines Kennwortes in die automatische Geldausgabe-Vorrichtung durch einen Kunden sowie von einem Kennwort abhängt, das von der automatischen Geldausgabe-Vorrichtung als richtiges Kennwort für ein gültiges Konto, repräsentiert durch eine Kreditkarte, bestimmt wird.

Vorzugsweise sind die logische Einheit und die cryptographische Einheit Teile eines mikroprogrammierbaren Terminalrechners, wie er beispielsweise in Fig. 5 erläutert ist. Die von der Karte abgenommene Information wird von den Kartenlesern CR und SCP von der Karte abgelesen. Der an entfernter Stelle stehende Terminalrechner kann an diese Leser über einen Signalumsetzer 25 oder andere Eingangsgeräte an die Leitungen 21 angeschlossen werden. Die einzelnen Funktionen der ELU können durch den entfernt stehenden Processor 33 ausgeführt werden, der nachfolgend anhand der Fig. 5 beschrieben wird.

309816/102 9

Fig. 5 zeigt ein logisches Blockdlagramm eines Terminal-Rechners, der gemäß den Erfindungegedanken verwendet werden kann. Soweit es für das genauere Verständnis hler notwendig erscheint, wird insbesondere auf den Offenbarungsgehalt der US-Patentschrift 3 564 509 sowie der britischen Patentschrift 1 250 181 Bezug genommen.

Der Terminalrechner weist einen entfernt aufgestellten Processor 33, einen Datenkommunications-Processor 41 sowie einen Datenkommunikationspuffer 47 auf· Der Datenkoewaunikations-Processor 41 und der Oatenkommunikationspuffer 47 ermöglichen den Austausch von on-line-Mitteilungen über einen Signalumsetzer 25 und eine Kommunikationsleitung 21, beispielsweise mit einer entfernt aufgestellten zentralen Datenverarbeitungsanlage. Diese Kommunikationsmöglichkeit gestattet es dem entfernt aufgestellten Processor 33, Nachrichten von der zentralen Datenverarbeitungsanlage zu empfangen und Nachrichten an die zentrale Datenverarbeitungsanlage zu schicken, so daß auf diese Weise die laufenden Aufzeichnungen und Geschäftstätigkeiten an dem entfernten Processor auf den neuesten Stand gebracht werden können.

In der hier beschriebenen Ausführungsform der Erfindung werden die Funktionen der Nachschlagtabellen LU 1 und LU 2, der elektronischen Einheit ELU, des Generators PNG und das Vergleichs der persönlichen Kenntowrtzahl CNC von der Logik des entfernten Processors 33 ausgeführt. Der Hauptspeicher 34, in dem Information speicherbar ist, kann eine rotierbare Magnetplatte mit mehreren Lese/Schreibköpfen für den Zugriff auf allgemeine Daten und einen gespeicherten Programmabschnitt in dem Speicher aufweisen. Die in dem Hauptspeicher 34 gespeicherten Informationen und Daten werden in der arithmetischen Einheit verarbeitet, die einen Addierer 61, eine Übertragschaltung 67 und eine Eingangeauswahlschaltung 60 umfaßt und zwar entsprechend den Programmbefehlen, die

309816/ 1029

tfus dem Hauptspeicher entnommen werden. Der Hauptspeicher wird von dem Lese/Schreib-Kopf-Adressenwähler 51 adressiert, der ein Adressenregister und eine zugehörige Auswahlmatrix umfaßt, so daß Zugriff auf bezeichnete Teile des Hauptspeichers je nach der in das Adressenauswahlregister geladenen Adresse möglich ist·

Für den Betrieb wird ein Mikrobefehlszähler, beispielsweise ein Wort in dem Umlaufregister 53, normalerweise voreingestellt auf einen bestimmten Zählstand, der der auszuführenden Sequenz der Programmstufen entspricht und entnimmt nacheinander die seriellen Stufen des in dem Speicher gespeicherten Programms entsprechend den Zählstufen des nicht dargestellten Programmzählers· Die aus dem Hauptspeicher geholten Mikrobefehle werden nacheinander in das Mikrobefehlsregister 55 geladen. Der Ausgang des,Mikrobefehlsregisters öffnet eine Steuermatrix 57, die über ein Feld von logischen Toren geeignete Steuersignale zur Steuerung der verschiedenen logischen Funktionen erzeugt und dem Addierer 61 und die Schleifenübertragung zwischen den Registern 53,63 und 65 steuert.

Die Programmbefehle und anderen Daten können in den Hauptspeicher 34 über die Schalttafel 37 oder andere Speichereingabevorrichtungen, beispielsweise periphere Geräte in Form eines Band- oder Kartenlesers 38 eingegeben werden. Die in den Processor eingeführte Information wird normalerweise über ein Eingangs/Ausgangsregister 65 gelesen und dann unter Mikroprogrammsteuerung in den Hauptspeicher übertragen. Wie dem Fachmann unmittelbar geläufig ist, muß die zeitliche und sequenzielle Steuerung der verschiedenen Operationen des Rechners genau eingehalten werden. Die zeitliche Steuerui wird vorzugsweise durch ein Steuerwerk. 59 ausgeführt, das geeignete logische Pegel oder Signale zum Öffnen oder Vorbereiten von Toren zu Zeitpunkten erzeugt, die von eine»

3098 16/1029

22450??

Maschinentakt bestimmt werden, wobei der Maschinentakt beispielsweise durch eine Taktspur auf dem Hauptspeicher vorgegeben sein kann. In Verbindung mit anderen logischen Signalen, die über verschiedene Eingangssteuergerat« «Ingegeben werden können, erzeugen die taktbestimmten Signale cyklisch geeignete Steuersignale für die logischen Elemente·

Wie bereits erwähnt, besteht eine wesentliche Sicherheitsvorkehrung nach der Erfindung darin, daß die Bank den mir Behandlung und Modifizierung der von einer Kreditkarte gelesenen Sicherheitsdaten verwendeten Sicherheitsalgorithmus periodisch modifizieren kann. In der praktischen, erfindungsgemäßen Ausführung wird der Sicherheitsalgorithmus in den Processor 33 eingelesen und in den Nachschlagtabellen LU 1 und LU 2 in einem vorbestimmten Speicherbereich gespeichert. In ähnlicher Weise wird das Kennwort, das von einem die Kreditkarte an der Geldausgäbe-Vorrichtung benutzenden Person eingegeben wird, in den Speicher oder das Register 53 über die Schalttafel 37 eingeteen. Unter der oben kurz erwähnten Mikroprogrammsteuerung, die i« einzelnen in den genannten Patentschriften beschrieben ist, behandelt der Processor 33 programmatisch die von dein Sicherheitsfeld der Kreditkarte abgelesene Daten entsprechend dem cryptograph!sehen Algorithmus, der in den Nachschlagtabellen ELU 1 und ELU 2 gespeichert 1st· Dies kann beispielsweise durch wahlweises adressieren der Tabellen in dem Speicher 34 geschehen, um eine neue Zahl zu erzeugen, die beispielsweise in einem Abschnitt des Registers 63 gespeichert werden kann. Auf diese Weise können monoalphabetische oder polyalphabetische Substitutionen für jede Ziffer der Sicherheitsdaten ausgeführt werden, Uli ein· neue persönliche Identifikationszahl aus den von der Kreditkarte abgelesenen Sicherheitsdaten zu erzeugen·

309816/1029

224502?

Das von dem Kunden über die Schalttafel 37 eingegeben© Kennwort kann dann logisch beispielsweise dadurch ver~ glichen werden, daß der Inhalt der Register S3 und 63 in dem Addierer 61 addiert und die Summe mit einer in dem Speicher gespeicherten Konstanten verglichen wird. Alternativ kann ein direkter logischer Vergleich des über die Schalttafel 37 eingegebenen Kennwortes und der persönlichen Zahl vorgenommen werden, die als Punktion des Inhalts der In dem Hauptspeicher gespeicherten Nachschlagtabellen gewonnen wurde· In jedem Fall bestimmt der Vergleich des Kennwortes und der aus den Sicherheitsdaten der Kreditkarte gewonnenen Zahl, ob der Kunde, der die Vor-, richtung zu bedienen versucht, die richtige Zahl eingegeben hat, wie sie von dem cryptographischen Algorithmus und den auf der Karte befindlichen Sicherheitsdäfcen bestimmt ist, und ob somit die Person rechtmäßigerweise die angebotene Kreditkarte benutzt. Dieses Verfahren gibt der Bank die Möglichkeit, diejenigen Kartenbenutzer, die beispielsweise aus der Geldausgabevorrichtung Geld entnehmen wollen, zu überwachen.

Man bemerke, daß der SCP-Leser bestiiamt, ob. die in den Schlitz 14 eingesetzte Karte !annehmbar ist-oder nicht. Man entnimmt aus der vorstehenden Beschreibung ferner, daß das verborgene magnetische Material magnetisiert ist, wenn es in die Vorrichtung eingesetzt wird. An dieser Stelle wird die Karte, die nach Einsetzen in die Maschine magnetisiert wurde, mit der vorher gewonnenen persönlichen Identifikationsdarstellung verglichen, die in der beschriebenen Weise eine Funktion des Kennwortes ist. Das Kennwort ist als ein Faktor, eine Zahl, ein Größensymbol oder als eine alphanumerische oder rein numerische Darstellung oder Kombinationen davon zu verstehen. Besonders_;zweckmäßig ist ein Kennwort in Form eines numerischen Faktors, der aus einer polyalphabetischen Tabelle bestimmt wird. Die persönliche Identifikationsdarstellung oder das Kennwort ist

309818/1029

mit dem Schlüsselwort vergleichfähig und kann ebenfalls eine Faktorzahl, ein Größensymbol, eine alphanumerische oder rein numerische Darstellung oder eine Kombination davon sein. Wenn nach dem Schreiben des magnetischen Sicherheitsabschnittes auf der Karte festgestellt wird, daß die Karte unannehmbar ist, wird die Karte zurückgewiesen· Die Sicherheitszahl, die auf der Karte verschlüsselt enthalten ist, kann auf der Karte verbleiben, nachdem sie von der Vorrichtung zurückgewiesen wurde. Jedoch ist die bloße Duplizierung der gewonnenen Zahl eine Funktion der Sicherheitseinrichtung, die nicht feststellbar ist, wenn die Karte aus dem Schreibsystem entfernt wird, und schBiIlert die Sicherheit des Systems nicht, weil der Wert aus dem magnetischen Material in der Karte jedesmal dann gewonnen wird, wenn die Karte gelesen wird.

Dies kann von der Bank über die elektronische Logik wie oben erwähnt, nachgeprüft werden. Indem der cryptographische Algorithmus, der in dem Hauptspeicher gespeichert ist, periodisch geändert wird, kann ein Mißbrauch von Karten verhindert werden, so daß unbeaufsichtigte Vorrichtungen mit einer größeren Sicherheit gegenüber Mißbrauch verwendet werden können.

Wie dem Rechner-Fachmann ohne weiteres geläufig ist, können auch andere logische Schaltungen dazu dienen, die oben beschriebenen logischen Funktionen im Zusammenhang mit der Gewinnung der persönlichen Identifikationszahl ale cryptographische Funktion der auf der Kreditkarte gespeicherten Sicherheitsdaten zu verwirklichen. In ähnlicher Weise können andere logische Einrichtungen zum Speichern des crypto— graphischen Algorithmus und zur Ausführung dee Vergleiche zwischen der im Inneren der Vorrichtung als Funktion des Nachschlagtabelleninhalts erzeugten Zahl und dem von dem Kunden eingegebenen Kennwort verwendet werden. Bei der

309816/1029

praktisehen Ausführung der Erfindung 1st es besonder· zweckmäßig, eine mikroprogrammierte Maschine zu benutzen, die eine größere Flexibilität bei der periodischen Abänderung des cryptographischen Algorithmus ermöglicht und damit eine größere Sicherheit für das Geldausgabe-System schafft«

In der vorstehenden Beschreibung ist als spezielle Aus führungsform der verschiedenen hardware-Elemente ein mikro·* programmierter Rechner erläutert worden; jedoch können auch Rechner mit anderen Eigenschaften zur Ausführung der- Erfindung benutzt werden.

Zusammengefaßt wurde also eine automatische Geldausgabe-? Vorrichtung beschrieben, wobei die Sicherheitsmerkmale des Geldausgabe-Systems dadurch verbessert sind, daß die Bank oder eine andere mit der Betriebsüberwachung der Vorrichtung betraute Institution die Sicherheitsmerkmale der Vorrichtung periodisch modifizieren kann. Diese Flexibilität des Sicherheitssystems für eine Geldausgabe-Vorrichtung weist einen cryptographischen Eingang für das Geldausgabe-System auf, der von der Bank periodisch oder nach Wahl verändert werden kann.

309818/1029

Claims

AnsprUche

Automatische Ausgabe-*Vorrichtung, inabesondere für Geld, mit einer Ausgabe-Einrichtung,, gekennzeichnet durch eine Eingabe-Vorrichtung (14) für eine Kreditfcarteninf oma tion, durch eine Steuereinrichtung (EIiU) für die Ausgabe-Einrichtung (16), die auf die Eingabe-Vorrichtung für die Kreditkarteninformation sowie auf die von einer Kreditkarte abgenommene Information für die Vorrichtung anspricht, durch eine Abänderungseinrichtung (PMG) zur Modifizierung der von der Kreditkarte abgenommenen Information und Gewinnung einer persönlichen Identifikationsdarstellung, die eine Funktion eines Schlüsselwortes ist.
2. Vorrichtung nach Anspruch l_f dadprch gekennzeichnet, daß die gewonnene persönliche Indentifikations-Oaretellung verschlüsselt ist.
3. Vorrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß das Schlüsselwort eine Zufallszahl ist.
4. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß das Schlüsselwort eine Einmal-Zufallszahl ist.
5. Vorrichtung nach eine« der vorstehenden Ansprüche, dadurch gekennzeichnet, daß das Schlüsselwort einen variierbaren Wert besitzt, wenn die Kreditkarten in die automatische Ausgabe-Vorrichtung von Zeit zu Zeit eingefügt werden»
6. Vorrichtung nach einem der vorstehenden An»pjr|lche, dadurch gekennzeichnet, daß sie eine Geldausgabe-Vorrichtung ist.

309816/1029
7. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die persönliche Ideritiflketions-Darstellung ein Kennwort ist»
8. Vorrichtung nach einem der. vorstehenden Ansprüche_f dadurch gekennzeichnet, daß die persönliche Identifikationsdarstellung verschlüsselt ist.
9. Vorrichtung zur Feststellung einer vorbestimmten Beziehung zwischen Sicherheitsdaten, die auf einer in die Vorrichtung eingebbaren Kreditkarte gespeichert sind, und persönlichen Identifikationsdaten, die von einer die Kreditkarte benutzenden Person in die Vorrichtung eingegeben werder gekennzeichnet durch eine Datenfeststellungs-Einrichtung, die die auf der eingegebenen Kreditkarte gespeicherten Sircherheitsdaten liest; durch eine cryptographische Logikeinrichtung, die auf die Datenfeststellungseinrichtung anspricht und entsprechend einem vorbestimmten cryptograph!sehen Algorithmus die von der Kreditkarte gelesenen Sicherheitsdaten modifiziert; durch eine von der Person bedienbare Dateneingabe-Vorrichtung für die persönlichen Identifikationsdaten; und durch eine Vergleichsschaltung für die Peststellung, ob eine vorbestimmte'Beziehung zwischen dem Ausgang der cryptographischen Logikeinrichtung und dem über die Daten-, eingabevorrichtung eingegebenen Daten besteht«
10. Vorrichtung nach Anspruch 9, dadurch gekennzeichnet, daß die cryptographische Logikeinrichtung einen Speicher zum Speichern polyalphabetischer, cryptographischer Datentabellen sowie einen Generator (PNG) aufweist, der eine persönliche Zahl erzeugt_s die eine Funktion der auf der Kreditkarte gespeicherten und entsprechend den cryptographischen Datentabellen modifizierten Sicherheitsdaten ist.
11. Vorrichtung nach einem der vorstehenden Ansprüche, da-

309816/1029

durch gekennzeichnet, deO die Funktion eine variable Punktion ist.
12· Vorrichtung nach einen der vorstehenden Ansprüche, dadurch gekennzeichnet, daß das Schlüsselwort auf der Karte nicht vorhanden ist·
13« Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß das Schlüsselwort von den auf der Kreditkarte gespeicherten Daten abgeleitet wird· !
14. Vorrichtung nach einem der vorstehenden Ansprüche, dedurch gekennzeichnet, daß das Schlüsselwort von den auf der Kreditkarte gespeicherten Daten sowie von den polyaphabetischen Datentabellen abgeleitet wird.
15. Vorrichtung nach einem der vorstehenden Ansprüche, gekennzeichnet durch eine Nachprüfeinrichtung für die Sicher» heitsmerkmale einer eingegebenen Kreditkarte, wobei die Sicherheitsmerkmale in einer bekannten Beziehung mit einem bestimmten Konto steht.
16. Vorrichtung nach einem der vorstehenden Ansprüche, gekennzeichnet durch eine Zufallszahl-Nachschlagtabelle (MJ 1, LU 2) zur Erzeugung einer persönlichen Xdentif!!cation»darstellung, die eine Punktion der auf der Kreditkarte vorhandenen Information ist.

¹ ν
17. Vorrichtung nach Anspruch 16, dadurch gekennzeichnet, j. daß die persönliche Identifikations-Darstellung eine Funk*· tion eines Zufallszahl-Schlüsselwortes ist,
18. Vorrichtung nach Anspruch 17, dadurch gekennzeichnet, daß die erzeugte persönliche Identifikations-Dürstellung verschlüsselt ist.

309816/1029
19. Vorrichtung nach Anspruch 17, dadurch gekennzeichnet, daß das Schlüsselwort eine Zufallszahl ist.
20. Vorrichtung nach Anspruch 17, dadurch gekennzeichnet, daß das Schlüsselwort eine Elnmal-Zufallszahl ist.
21. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß bei der Bestimmung eines Wertes aus einer in die. Vorrichtung eingesetzten Kreditkarte der Wert auf die Karte aufgeschrieben wird und mit den auf der Kreditkarte aufgezeichneten Sicherheitsdaten in Beziehung steht.
22. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die cryptographische Logikeinrichtung eine Zufallsdaten-Tabelle aufweist, die derasrt;" modifizierbar ist, daß die von der Datengewinnungseinrichtung festgestellten Daten unannehmbar sein können, obgleich, ALe über die Dateneingabe-Vorrichtung eingegebenen Daten zu einem anderen Zeitpunkt, als eine andere Tabelle benutzt wurde, annehmbar waren.
23. Kreditkartensystem, dadurch gekennzeichnet, daß die Gültigkeit einer Kontonummern-Information, die auf einer Kreditkarte vorhanden ist, verifiziert wird; -.daß ein Wert, der mit mindestens einem Teil der auf der Kreditkarte enthaltenen Information in funktionellern Zusammenhang steht, erzeugt wird; daß der Wert mit anderen, in einem mikroprogrammierbaren Processor eingegebenen Werten verglichen wird, wodurch festgestellt wird, pb das mit der Kreditkarte abzuwickelnde Geschäft vollzogen oder zurückgewiesen werden soll.
24. System nach Anspruch 23, gekennzeichnet durch eine Signalanzeige dafür, daß das Geschäft vollzogen werden kann,

309816/1029

derart, daß das Konto in Abhängigkeit von einer richtigen Information, die über eine Informationseingabe eingerieben wurde, belastet werden kann.
25. System nach Anspruch 23 oder 24, dadurch gekennzeichnet, daß Sicherheitsmerkmale der Kreditkarte nachgeprüft werden,

die eine bekannte Beziehung zu einem speziellen Konto besitzen.
26. System nach einem der Ansprüche 22 bis 25, dadurch gekennzeichnet, daß der Wert verschlüsselt ist.
27. Kreditkartensystem, gekennzeichnet durch eine Kontonummer-Eingabe-Vorrichtung; durch eine Nachprüfeinrichtung für die Gültigkeit der von der Kontonummer-Eingabevorricht'ung gelieferten Information; durch eine Einrichtung zur Erzeugung eines verschlüsselten Wertes, der funktionell mit der von der Kontonummer-Eingabevorrichtung gelieferten Information zusammenhängt; sowie durch eine Vergleichseinrichtung, die den verschlüsselten Wert mit anderen Werten vergleicht, die über die Eingabe-Vorrichtung eingegeben worden sind, wodurch eine Bestimmung getroffen wird, ob ein mit der Kreditkarte abzuwickelndes Geschäft abgewickelt oder zurückgewiesen wird.
28. System nach Anspruch 27, dadurch gekennzeichnet, daß ein mikroprogrammierbarer Rechner vorgesehen ist.
29. System nach Anspruch 27 oder 28, dadurch gekennzeichnet, daß die Nachprüf-Vorrichtung für die Gültigkeit der Information eine Sünder-Datei ('»schwarze Liste" aufweist.
30. System nach einem der Ansprüche 23 bis 29, dadurch gekennzeichnet, daß auf ein Signal hin, das anzeigt, daß ein Geschäft abgewickelt werden kann, das Konto in direkter Antwort auf eine Information belastet werden kann, die aus

3098 16/1029

der über die Eirigabe-Voi richtung eingegebenen Information und einer in dem System enthaltenen Information gebildet wird.
31. Nachprüfsystem zum Nachprüfen einer auf einem Dokument aufgezeichneten Information, dadurch gekennzeichnet, daß das Dokument von einer Vorrichtung aufgenommen wird, daß auf das Medium aufgeschrieben wird, nachdem das Dokument in der Vorrichtung sich befindet, und daß ein Wert gelesen wird, der durch das Schreiben erzeugt wird; daß die auf dem· Dokument befindliche Information gelesen wird, ehe das Dokument In die Vorrichtung eingesetzt wird; und daß die nach dem Schreiben in der Vorrichtung gelesene Information mit derjenigen Information verglichen wird, die auf dem Dokument vor seinem Einfügen in die Vorrichtung enthalten war.
32. System nach Anspruch 31, dadurch gekennzeichnet, daß

das Medium eine Kreditkarte ist; und daß der nach dem Schreiben gelesene Wert für eine individuelle Kreditkarte charakteristisch ist und in einer bekannten Beziehung mit p'inem speziellen Konto für eine Kreditkarte steht. '

3098 16/102 9

, 32

Leerseite