DE2935199C2

DE2935199C2 - Sicherheitssystem

Info

Publication number: DE2935199C2
Application number: DE2935199A
Authority: DE
Inventors: Richard A. Bredford Mass. Gorgens
Original assignee: Honeywell Information Systems Inc
Current assignee: Bull HN Information Systems Inc
Priority date: 1978-09-05
Filing date: 1979-08-31
Publication date: 1987-03-12
Also published as: IT1120556B; FR2435759A1; AU528366B2; GB2031627B; NL7906275A; AU5037979A; FR2435759B1; IT7950164A0; US4234932A; CH633379A5; GB2031627A; SE445591B; CA1118896A; DE2935199A1; ES483878A1; SE7907315L; JPS6149714B2; BE878589A; JPS5537698A

Description

Die vorliegende Erfindung betrifft ein Sicherheitssystem nach dem Gattungsbegriff des Patentanspruches 1. Ein solches Sicherheitssystem findet insbesondere bei automatischen Bankterminals Anwendung, bei denen die Geldausgabe an einem externen Bankterminal durch einen Zentralcomputer gesteuert wird.
Ein derartiges Sicherheitssystem ist aus der DE-OS 26 45 564 bekannt. Dort wird das die Geldausgabe bewirkende Signal in einer externen Benutzerstation bzw. einem Terminal erzeugt, nachdem eine Überprüfung der Berechtigung ausgeführt worden ist. Um diese Überprüfung zu erleichtern, wird von einer Zentralstation, insbesondere einem Zentralcomputer codierte Information aus der Benutzerdatei zu der externen Benutzerstation übertragen. Diese Information kann bei dem bekannten System nur decodiert werden, wenn die persönliche Identifikationsnummer des Benutzers bekannt ist. Um einen mißbräuchlichen Zugriff auf die persönliche Identifikationsnummer durch Eingriff in die Dialogverbindung zwischen der externen Benutzerstation und der Zentralstation, beispielsweise durch Anzapfen von Telefonleitungen zu verhindern, ist der die persönliche Identifikationsnummer führende Datenkanal vollständig in der externen Benutzerstation enthalten und somit physikalisch geschützt. Ein Signal wird von der externen Benutzerstation zu der Zentralstation übertragen, das die persönliche Identifikationsnummer mit der Kontonummer des Benutzers kombiniert, wodurch sich ein Offsetsignal ergibt. Das die Geldausgabe bewirkende Steuersignal wird nur erzeugt, wenn diese Signale einen vorgeschriebenen Algorithmus erfüllen. Das zu der persönlichen Identifikationsnummer in Beziehung stehende Offsetsignal ist gewöhnlicherweise auf der Kreditkarte des Benutzers codiert. Dieses Signal kann zu der Zentralstation übertragen werden, wo es mit der Dateinummer des Benutzers kombiniert wird. Ohne Kenntnis der persönlichen Identifikationsnummer des Benutzers kann ein mißbräuchlicher Benutzer, der sich in unberechtigtem Besitz der Kreditkarte befindet und der den Dialogkanal anzapft, keinen Zugriff zu dem Geldausgabesystem gewinnen, da das entsprechende Steuersignal auf Grund der Tatsache geschützt ist, daß es nur intern erzeugt wird und die Dateiinformation des Benutzers codiert ist.
Bei dem bekannten System kann jedoch ein mißbräuchlicher Benutzer ausreichend Information gewinnen, um die persönliche Identifikationsnummer aus der Dateiinformation des Benutzers zu entziffern, da diese Information bei der Übertragung zwischen der externen Benutzerstation und der Zentralstation immer die gleiche ist. Befindet er sich dann im Besitz der geeigneten Kreditkarte, so ist das bekannte System nicht mehr sicher.
Es ist daher die Aufgabe der vorliegenden Erfindung, ein Sicherheitssystem anzugeben, bei dem ein unberechtigter Zugriff durch zusätzliches Schutz der persönlichen Identifikationsnummer erschwert wird. Die Lösung dieser Aufgabe gelingt gemäß den kennzeichnenden Merkmalen des Patentanspruches 1. Weitere vorteilhafte Ausgestaltungen des erfindungsgemäßen Sicherheitssystems sind den Unteransprüchen entnehmbar.
Die Verwendung von Zufallsnummerngeneratoren ist prinzipiell bekannt und kann beispielsweise der DE-AS 20 00 556 entnommen werden, in der eine Einrichtung zur automatischen Zugangskontrolle dargestellt und beschrieben ist.
Anhand von in den Figuren der Zeichnung dargestellten Ausführungsbeispielen sei die Erfindung im folgenden näher erläutert. Es zeigen
Fig. 1 ein Blockdiagramm eines ersten Geldausgabesystems gemäß der vorliegenden Erfindung; und
Fig. 2 ein Blockdiagramm eines zweiten Geldausgabesystems gemäß der vorliegenden Erfindung.
In Fig. 1 ist ein Blockdiagramm eines erfindungsgemäßen computergesteuerten Banksystems dargestellt. Ein Zentralcomputer 10 mit einem Hauptspeicher 12 führt einen Dialog mit einem externen Terminal 14 aus, wobei dies über Dialogwege erfolgt, die durch Signalflußpfeile eingezeichnet sind. Der Computer 10 und der Speicher 12 sind in einer zentralen Bank angeordnet, wobei sie im Online- oder Offline-Betrieb betrieben werden. Der externe Terminal 14 ist in einer Außenstelle oder an einem anderen Ort innerhalb der Zentrale angeordnet. Mehrere derartige Terminals können einen Dialog mit dem Computer 10 ausführen, wobei dies beispielsweise über Telefonleitungen erfolgt, die mit Modems an den internen und externen Schnittstellen ausgerüstet sind.
Der externe Terminal 14 weist im bevorzugten Ausführungsbeispiel einen magnetischen Streifenkartenleser 20 und eine Tastatur 22 für die Informationseingabe durch den Benutzer auf. Es liegt jedoch auf der Hand, daß irgendwelche geeigneten Dateneingabe-Einrichtungen verwendet werden können. Der Kartenleser 20 kann irgendein bekannter magnetischer Kartenleser zum Lesen von in magnetischen Streifen codierten Daten sein. Ebenfalls kann der Kartenleser 20 aus einem Perforationsleser oder einem optischen Leser bestehen. Das auf der Karte enthaltene Datenfeld kann ein Datenwort beinhalten, das die Bank, Zone und Kontonummer des Benutzers identifiziert. Das Datenfeld kann ferner ein PIN- Verschiebe-Datenwort aufweisen, das durch den Kartenleser 20 in ein PIN-Verschiebesignal umgewandelt wird, welches in den Zeichnungen mit Φ bezeichnet ist. Das Signal Φ repräsentiert eine vorbestimmte Differenzbeziehung zwischen einer persönlichen Identifikationsnummer PIN und einer Benutzer-Informationsdateinummer CIF, die in dem Speicher 12 des Zentralcomputers 10 gespeichert ist. Die PIN-Nummer eines Benutzers kann dem Geburtsdatum, der Sozialversicherungsnummer oder anderen persönlichen Daten des Benutzers entsprechen, die leicht im Gedächtnis behalten werden können. Die CIF-Nummer stellt eine aufgezeichnete Nummer dar, die dem Benutzerkonto im Hauptspeicher 12 zugeordnet ist.
Der Terminal 14 weist ferner einen herkömmlichen Transaktionsdatengenerator 24 auf, der mit der Tastatur 22 verbunden ist und aufgrund von durch den Benutzer betätigten Tasten Daten entsprechend einer gewünschten Banktransaktion erzeugt.
Der externe Terminal 14 enthält ferner einen PIN-Signalgenerator 30, einen RN-Signalgenerator 31, einen BIT-Signalgenerator 32, eine Anzeigeeinrichtung 33, eine Sicherheitseinrichtung 34 und eine Geldausgabeeinheit 36. Der PIN-Signalgenerator 33 erzeugt über die Betätigung der Tastatur 22 ein PIN-Signal, das in den Zeichnungen mit Y bezeichnet ist und einer Reihe von durch den Benutzer eingegebenen Zahlen entspricht. Das Signal Y wird dem BIT-Signalgenerator 32 und der Sicherheitseinrichtung 34zugeführt. Der Generator 32 erzeugt daraufhin ein BIT-Signal, das der Anzahl von Bits in dem PIN-Signal Y entspricht und das dem Zentralcomputer 10 über die Telefonleitungen in der zuvor beschriebenen Weise zugeführt wird.
Der Sicherheitseinrichtung 34 werden folgende Signale zugeführt: das PIN-Signal Y, ein RN-Signal, das in der Zeichnung mit ω bezeichnet ist und durch den RN-Signalgenerator 31 aufgrund einer Anweisung des Zentralcomputers erzeugt wird, und ein zusammengesetztes Signal Z, das von dem Zentralcomputer 10 geliefert wird. Das zusammengesetzte Signal Z wird durch den Zentralcomputer 10 aus einem in der Zeichnung mit X bezeichneten CIF-Signal, dem PIN-Verschiebesignal Φ und dem RN-Signal ω gebildet. Es sei darauf verwiesen, daß der Signalübertragungsweg für das PIN-Signal Y zwischen dem Generator 30 und der Sicherheitseinrichtung 34 und der Signalübertragungsweg für das RN-Signal ω zwischen dem Generator 31 und der Sicherheitseinrichtung 34 gänzlich innerhalb des externen Terminals verläuft.
Die Sicherheitseinrichtung 34 weist eine Einrichtung für den Vergleich der zugeführten Signale ω, Y und Z in Übereinstimmung mit einem vorbestimmten Algorithmus auf. Unter Verwendung der beispielhaften Polynombeziehung ω ² + Y ² - Z ² = 0 quadriert beispielsweise die Sicherheitseinrichtung das Signal Z und subtrahiert dieses von der Summe, die aus den Quadraten der Signale ω und Y gebildet wird. Für den Fall, daß die Differenz dem Wert 0 entspricht, wird durch die Sicherheitseinrichtung ein Ausgabesignal erzeugt und der Geldausgabeeinheit 36 zugeführt. Andere Polynomausdrücke können in einfacher Weise ebenfalls benutzt werden.
Die Geldausgabeeinheit 36 umfaßt eine Einrichtung für die Speicherung einer Vielzahl von Geldscheinen und für die Abgabe eines oder mehrerer dieser Geldscheine an den Benutzer aufgrund eines zugeführten Ausgabesignales.
Der Anzeigeeinrichtung 33 wird ein PIN-Anforderungssignal von dem Zentralcomputer 10 zugeführt. Bei anderen Ausführungsbeispielen der Erfindung kann die Anzeigeeinrichtung 33 ebenfalls Transaktionsdaten sowie andere Information, die durch den Benutzer oder den Zentralcomputer 10 erzeugt wird, darstellen.
Bei einer Benutzung des Systems führt ein Benutzer eine Bank- oder Kreditkarte in den Kartenleser 20 ein. Die Kartendaten und die PIN-Verschiebesignale werden hierdurch der Karte entnommen und zu dem Zentralcomputer 10 mittels Telefonleitungen übertragen. Aufgrund der Kartendaten identifiziert der Zentralcomputer 10 das Benutzerkonto. Der Benutzer kann sodann Transaktionsdaten entsprechend einer gewünschten Banktransaktion auf der Tastatur 22 eintasten. Beispielsweise kann der Benutzer eine Reihe von Tasten betätigen, wodurch angezeigt wird, daß eine Abhebung von Geld entsprechend einer Anzahl von Geldscheinen gewünscht wird. Der Transaktionsdatengenerator 24 spricht auf die Tastenbetätigung an und richtet entsprechende Transaktionsdaten an den Zentralcomputer 10. Der Computer 10 identifiziert die Transaktionsdaten und überprüft, ob das Guthaben des Benutzers, das in dem Speicher 12 gespeichert ist, ausreicht, um die angezeigte Transaktion zu gestatten.
In dem Fall, wo die Transaktionsdaten eine gültige Transaktion anzeigen, gibt der Zentralcomputer 10 ein PIN-Anforderungssignal aus, um eine PIN-Anforderung auf der Anzeigeeinrichtung 33 des Terminals 14 anzuzeigen. In einem hiervon verschiedenen Ausführungsbeispiel kann das PIN-Anforderungssignal ein Schalternetzwerk steuern, um einen direkten Signalweg zwischen dem PIN- Signalgenerator 30 und der Sicherheitseinrichtung 34 zu bilden.
Wenn der Benutzer seine PIN-Nummer auf der Tastatur 22 eingibt, wird der Generator 30 erregt und liefert das PIN-Signal Y. Aufgrunddessen überträgt der BIT-Signalgenerator ein BIT-Signal entsprechend der Anzahl der Bits in dem PIN-Signal Y zu dem Zentralcomputer 10. Der Zentralcomputer 10 kann sodann das BIT-Signal mit der Anzahl von Bits in der in dem Speicher 12 gespeicherten CIF-Nummer vergleichen. Im Falle einer Übereinstimmung gibt der Computer ein RN-Anforderungsignal an den RN- Generator 31 aus. Der Generator 31 wird hierdurch aktiviert und erzeugt eine Pseudo-Zufallsnummer, die der Sicherheitseinrichtung 34 und dem Zentralcomputer 10 zugeführt wird. Beim Empfang eines RN-Signales ω von dem RN-Generator 31 bildet der Zentralcomputer 10 das zusammengesetzte Signal Z in Übereinstimmung mit einer vorbestimmten Polynomgleichung. Zum Zwecke der Veranschaulichung weist das in Fig. 1 dargestellte Polynom den Wert Z = Y + Φ + ω auf. Das zusammengesetzte Signal Z wird durch den Zentralcomputer über Telefonleitungen an die Sicherheitseinrichtung 34 gegeben. Beim Empfang des Signales Z vergleicht die Sicherheitseinrichtung 34 die Signale ω und Y mit dem Signal Z und erzeugt ein Ausgabesignal für den Fall, daß die Polynombeziehung erfüllt wird. Aufgrund des Ausgabesignales macht die Geldausgabeeinheit 36 einen bestimmten Geldbetrag für den Benutzer verfügbar.
Bei dem Ausführungsbeispiel gemäß Fig. 1 sind der Übertragungsweg zwischen dem Generator 31 und der Sicherheitseinrichtung 34 für die Zufallsnummer und der Übertragungsweg zwischen dem PIN-Signalgenerator 30 und der Sicherheitseinrichtung 34 für das PIN-Signal Y vollständig in dem externen Terminal 14 enthalten. Ferner wird das zusammengesetzte Signal Z so gebildet, daß die Information, betreffend die CIF-Nummer und die PIN-Verschiebenummer, durch eine Kombination mit dem RN-Signal ω verborgen wird. Ein möglicher Betrüger muß daher nicht nur das zusammengesetzte Signal Z abhören, sondern dieses Signal auch entschlüsseln. Nur dann kann der Betrüger ein zusammengesetztes Signal simulieren, wenn er eine laufende Zufallsnummer, die durch den RN-Generator 31 an den Zentralcomputer 10 ausgegeben wird, abgehört hat. Ferner kann eine bestimmte Simulation des zusammengesetzten Signales Z nicht wiederholt benutzt werden, da die Zufallsnummer bei jeder Transaktion eine Änderung erfährt. Die Sicherheit für einen externen Terminal wird somit bedeutend erhöht und ein möglicher Betrüger wird noch mehr von der tatsächlichen Kenntnis sowohl der PIN-Nummer des Benutzers als auch seiner codierten Kartendaten abhängig.
In anderen Ausführungsbeispielen kann der BIT-Signalgenerator 32 entbehrlich sein. In diesem Fall kann die oben erwähnte Operation ausgeführt werden, ohne daß ein Vergleich der Anzahl von Bits in der PIN-Nummer mit der Anzahl von Bits in der CIF-Nummer erfolgt. Zusätzlich kann ein unterschiedlicher Vergleichalgorithmus leicht für die Sicherheitseinrichtung 34 programmiert werden. Bei derartigen Algorithmen kann eine vorbestimmte Bit-Bewertung zusätzlich oder anstatt algebraischer Transformationen benutzt werden. Bei weiteren Ausführungsformen kann das zusammengesetzte Signal Z ein Signal entsprechend einer angeforderten Anzahl von Geldscheinen umfassen, so daß das Ausgabesignal die Ausgabeeinheit 36 anweist, eine spezifische Anzahl von Geldscheinen an den Benutzer abzugeben. Ferner kann der Kartenleser 20 bei Geldausgabesystemen entbehrlich sein, bei denen die Transaktionsdaten vollständig durch einen vom Benutzer gesteuerten Transaktionsdatengenerator gebildet werden. Im übrigen kann der Betrieb dieser Ausführungsformen so erfolgen wie er zuvor im Zusammenhang mit dem System gemäß Fig. 1 beschrieben wurde.
Es sei darauf verwiesen, daß in dem hier beschriebenen bevorzugten Ausführungsbeispiel die über die Telefonleitungen übertragenen Daten nicht die im Gedächtnis des Benutzers gespeicherte PIN-Nummer enthalten und auch kein Signal enthalten, das aus sich selbst heraus ausreichend wäre, um die Aktivierung der Geldausgabe zu ermöglichen.
Ein alternatives Ausführungsbeispiel ist in Fig. 2 dargestellt, wobei mit dem Ausführungsbeispiel in Fig. 1 identische Elemente mit den gleichen Bezugsziffern versehen sind. Der Hauptunterschied zwischen den Ausführungsbeispielen in den Fig. 1 und 2 liegt in dem Datenübertragungsweg des PIN-Verschiebesignales Φ. Gemäß Fig. 2 wird das PIN-Verschiebesignal Φ von dem Kartenleser 20 direkt zu der Sicherheitseinrichtung 34 übertragen, ohne daß dieses über eine Telefonleitung verläuft. Der Computer 10 überträgt daher ein zusammengesetztes Signal Z, das nur das CIF-Signal X und die RN-Nummer ω umfaßt. Die Sicherheitseinrichtung 34 kann vier Eingänge aufweisen, und es wird beispielsweise eine Polynomberechnung mit vier Variablen ausgeführt, die durch folgende Gleichung gegeben ist: Φ ² + Y ² + ω ² - Z = 0. Für den Fall, daß diese Polynomgleichung für eine angelegte Gruppe von Signalen (Ω, ω, Y, Z) erfüllt ist, erzeugt die Sicherheitseinrichtung 34 ein Ausgabesignal, durch daß einerseits die Geldausgabeeinheit 36 aktiviert wird.
Es sei darauf verwiesen, daß das Ausführungsbeispiel gemäß Fig. 2 im wesentlichen in der gleichen Weise wie das Ausführungsbeispiel gemäß Fig. 1 arbeitet, mit der Ausnahme, daß jedes der Signale PIN-Verschiebung, PIN und RN vollständig innerhalb des Terminals 14 verläuft.
Das Konzept der Ausführungsbeispiele gemäß den Fig. 1 und 2 kann nicht nur bei einem Banksystem, sondern auch für andere Zwecke Anwendung finden. Beispielsweise kann in einem automatischen Sicherheitssystem für die Steuerung des Zutrittes und des Austrittes von Personen in oder aus geschützten externen Bereichen die Geldausgabeeinheit 36 durch eine hörbare oder sichtbare Anzeige oder ein Drehkreuz ersetzt werden, wobei diese Einrichtungen durch die Sicherheitseinrichtung 34 betätigt werden. Obgleich bei dem bevorzugten Ausführungsbeispiel eine Tastatur 22 und ein Kartenleser 20 als Dateneingabeeinrichtungen zugrunde gelegt wurden, kann jede andere geeignete Dateneingabeinrichtung verwendet werden, die durch einen Sicherheitswächter oder eine Person betätigt wird, die Zutritt zu einem geschützten Bereich wünscht.

Claims

1. Sicherheitssystem zur Steuerung des Betriebs einer externen Benutzerstation durch eine Zentralstation mit einem Computer und einem Benutzerdaten enthaltenden Hauptspeicher, mit einer von dem Benutzer bedienbaren Dateneingabe- und Zugriffseinrichtung an der externen Benutzerstation, die mit dem Computer in der Zentralstation verbunden ist, um diesem Benutzerinformation zuzuführen und auf Benutzerdaten im Hauptspeicher Zugriff zu nehmen, wobei die Dateneingabe- und Zugriffseinrichtung mit einem Leser für einen beweglichen, einen Teil der Benutzerinformation aufweisenden Datenträger versehen ist und die gelesenen Signale zu dem Computer übertragen werden, mit einem ersten Generator in der externen Benutzerstation, der auf Grund von Daten, die unabhängig von dem Datenträger über die Dateneingabe- und Zugriffseinrichtung eingegeben werden, ein Identifikationssignal entsprechend einer persönlichen Identifikationsnummer des Benutzers erzeugt, mit einem Eintrag auf dem Datenträger, der auf die persönliche Identifikationsnummer durch eine weitere Zahl bezogen ist, und mit einem Vergleicher zum Vergleich von von dem Computer bei einer Betätigung der externen Benutzerstation empfangenen Signale mit dem von dem ersten Generator empfangenen Signal und im Falle eines erfolgreichen Vergleichs zur Erzeugung eines Freigabesignals für eine Steuereinrichtung in der externen Benutzerstation, dadurch gekennzeichnet, daß ein weiterer Generator (31) in der externen Benutzerstation (14) angeordnet ist, der auf Anforderung des Computers (10) ein momentanes Zufallsnummernsignal (RN) erzeugt, das dem Computer zugeführt wird, um ein zusammengesetztes Signal (Z) zu erzeugen, das die Zufallsnummer und den von dem Datenträger erhaltenen, auf die persönliche Identifikationsnummer (PIN) bezogenen Eintrag enthält, und daß der Vergleicher (34) über vollständig in der externen Benutzerstation verlaufende Datenwege an den ersten und zweiten Generator angeschlossen ist, so daß das Freigabesignal nur ausgegeben wird, wenn beim Vergleich das von dem Computer empfangene Signal eine vorbestimmte Beziehung zu den von den Generatoren empfangenen Signalen aufweist.

2. Sicherheitssystem nach Anspruch 1, dadurch gekennzeichnet, daß der auf die persönliche Identifikationsnummer (PIN) durch eine weitere Zahl bezogene Eintrag (Offset Φ) über einen vollständig in der externen Benutzerstation (14) enthaltenen Datenweg an die Vergleichseinrichtung (34) angeschlossen ist (Fig. 2).

3. Sicherheitssystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß mehrere externe Benutzerstationen (14 ) angeordnet sind, die in elektrischer Verbindung mit dem Zentralcomputer (10) stehen, wobei jede externe Benutzerstation das Sicherheitssystem aufweist.