DE3780571T2

DE3780571T2 - Sicherheitssystem fuer den datenbestand eines tragbaren datentraegers.

Info

Publication number: DE3780571T2
Application number: DE8787903504T
Authority: DE
Inventors: Christoph Anderl; Oren Frankel; Avi Zahivi
Original assignee: American Telephone and Telegraph Co Inc
Current assignee: AT&T Corp
Priority date: 1986-05-16
Filing date: 1987-04-20
Publication date: 1993-02-11
Anticipated expiration: 2007-04-21
Also published as: US4882474A; EP0267259B1; JPH0833912B2; CA1287919C; DE3780571D1; US4816653A; JPS63503335A; KR920007410B1; EP0267259A1; ATE78616T1; KR880701421A; WO1987007061A1

Description

Die Erfindung betrifft tragbare Datenträger, wie intelligente Karten mit elektrischen Speichern zum Speichern von Daten, und insbesondere ein System zum Sichern der in derartigen tragbaren Datenträgern enthaltenen Daten.
Die Verwendung von Kreditkarten fur Einkäufe, im Bankwesen und bei anderen Transaktionen ist so populär geworden, daß die meisten Personen heutzutage dazu nur noch wenig Bargeld benötigen. Die Karte, die typischerweise aus Plastik hergestellt ist und in welche die Kontonummer und der Name des Kontoinhabers eingeprägt sind, dient allein dazu, ein berechtigtes Konto, das mit einer Transaktion belastet werden soll, bei einer Bank oder bei einem Kreditinstitut zu identifizieren. Ein Magnetstreifen auf der Rückseite einiger Karten enthält die gleichen Informationen, ist aber maschinenlesbar, um die Transaktion zu beschleunigen. Alle Kontoinformationen sind bei der Bank oder dem Kreditinstitut gespeichert.
Da im allgemeinen die Transaktionen an einem der Bank oder dem Kreditinstitut fernliegenden Ort vorgenommen werden, ist es einfach für eine Person, eine entwendete Karte zu benutzen, oder für einen legitimierten Besitzer versehentlich sein Kreditlimit zu überziehen. Die meisten Kaufleute verlangen deshalb, daß vor Abschluß eines Kaufes oberhalb eines relativ geringen Betrages, wie z.B. 50 Dollar, die Berechtigung von der Bank oder dem Kreditinstitut in geeigneter Weise bestätigt wird. Sogar mit automatischem telefonischen Ruf ist die Prozedur beschwerlich und kostet Zeit. Darüberhinaus wird eine separate Karte für jedes Konto benötigt.
Mit dem Auftreten der jüngsten Fortschritte in der Mikroelektronik ist es jedoch nun möglich, eine große Menge an Rechenkapazität und an Speicher auf der Karte selbst unterzubringen, um eine "Intelligente Karte" oder einen "Tragbaren Datenträger" zu erstellen. Die Karte könnte die Kontonummern sämtlicher Abbuchungskonten des Besitzers, die Kontenstände aller dieser Konten, die Kreditlimite aller dieser Konten enthalten und könnte mit jeder Transaktion auf den aktuellen Stand gebracht werden. Die Karte könnte ebenfalls andere, wie z.B. persönliche Daten, die Größe der Familienmitglieder für Kleiderkäufe, persönliche Telefonverzeichnisse, usw. tragen. Die Arten der persönlichen Daten sind nur durch das Vorstellungsvermögen begrenzt.
Die Technologie, um all dieses auf einer Karte mit Standardgröße unterzubringen, existiert. Jedoch besteht immer noch das Problem der Bereitstellung geeigneter Sicherheit für die Daten auf der Karte. Derartige Sicherheitsregeln benötigen Indentifizierungsverfahren, die praktisch betrügerische Verwendung verhindern.
Die WO-A 8707060, die einen Teil des Standes der Technik gemäß Artikel 54(3) EPÜ bildet, offenbart ein IC-Kartensystem, das einen programmierten Mikroprozessor und einen nichtflüchtigen Schreib/Lesespeicher (EEPROM) eingebettet in einer Datenkarte enthält, die in dem System verwendet wird. Der Datenspeicherbereich des Speichers in der Karte ist in eine oder mehrere Datenzonen segmentierbar, deren jede entweder keinen Zugriffscode oder einen oder mehrere Zugriffscodes zum Eingeben in die Karte bnötigt, um auf diese Zonen (Schreiben und/oder Lesen) zuzugreifen. Die Segmentierung des Kartenspeichers und die Zuordnung benötigter Zugriffscodes wird durch das Schreiben einer Zonendefinitionstabelle und das Schreiben eines oder mehrerer Zugriffscodes in den Kartenspeicher unter Verwendung eines speziellen Zugriffscodes erreicht, der in dem Mikroprozessorprogramm festgelegt ist. Die Zugriffscodes für die Datenzonen sind so auf der Datenkarte gespeichert und der programmierte Mikroprozessor in der Karte vergleicht eingehende Codes mit den gespeicherten Codes, um zu bestimmen, ob Zugriff auf eine bestimmte Datenzone erlaubt ist. Die Zugriffscodes für die Datenzonen des Kartenspeichers sind in einer zweiten Karte gespeichert, die als Kontrollkarte bezeichnet wird. Diese Kontrollkarte und die Datenkarte werden in einer Zweikarten-Schreib/Leseeinrichtung mit einer Übertragungsverbindung versehen. In dieser Weise werden die benötigten Zugriffscodes von der Kontrollkarte auf die Datenkarte übertragen, wenn der Zugriff auf eine Datenzone in dieser benötigt wird, und die in der Kontrollkarte gespeicherten Zugriffscodes müssen nicht irgendeiner Person bekannt werden.
Erfindungsgemäß wird ein Sicherheits-Dateisystem geschaffen, wie es in Anspruch 1 beschrieben ist.
Ein Dateisytem hoher Sicherheit oder eine intelligente Karte, die ein solches Dateisytem enthält, hat typischerweise die Größe einer Standard- Plastikkreditkarte und kann bei einer Vielfalt von Anwendungen verwendet werden, vom Telefonieren mit Kundenrepertoire bis zum Speichern individueller medizinischer und/oder bankbezogener Aufzeichnungen. Obwohl die Karte sehr wie eine normale Kreditkarte aussieht und sich auch so anfühlt, enthält sie einen Computer, einen elektrisch löschbaren programmierbaren Nur-Lesespeicher (EEPROM) und ebenfalls Schaltungen für das Empfangen eines kombinierten Versorgungs- und Zeitsignals von einer Kartenschreib/Leseeinrichtung, die bei einer zugehörigen Station mit untergebracht ist. Diese Kartenbestandteile und Schaltungen empfangen und senden ebenfalls Datensignale zwischen der Karte und, über die Schreib/Leseeinrichtung, der zugehörigen Station.
Die persönlichen Daten eines Kunden befinden sich in vielen Dateien des EEPROMs auf der Karte. Geeignete Anwendungssoftware, die sich in der Station befindet, ermöglicht, wenn ein geeignetes Passwort mit vorliegt, den Aufruf und die Modifizierung dieser Dateien. Ein separates Passwort wird benötigt, um Zugriff zu jedem der bestimmen Level der Interaktion zwischen der Karte und der zugeordneten Station zu erhalten.
Auf der Karte wird ein ausführendes Betriebssystem betrieben, auf welches von der Station über einen Satz von Betriebssystem-Befehlsprimitiven zugegriffen wird. Diese Befehlsprimitiven manipulieren das Kartendateisystem in Übereinstimmung mit Regeln, die auferlegt sind, um die Kartensicherheit aufrecht zu erhalten. Auf diese Weise ist der direkte Zugriff auf das Kartendateisystem und dessen Befehle dem normalen Benutzer nicht erlaubt.
Um die Sicherheitsvorkehrungen für das Kartendateisystem und die Kartenbefehle zur Verfügung zu stellen und dennoch Flexibilität bei der Handhabung verschiedener Anwendungstypen zu erlauben, verwendet die Karte sechs verschiedene Sicherheitslevel. Diese Sicherheitslevel ermöglichen es der Karte, zwei Arten von Quellen zu schützen: Das Kartendateisystem und die Kartenbefehle. Zugriff zu diesen Quellen ist eine Funktion des autorisierten, aktuell im Zugriff stehenden Levels, der benötigten Befehle und der Dateien, auf die zuzugreifen ist. Zusätzliche Restriktionen, wie das Benötigen eines zusätzlichen Passwortes für das Schreiben/Lesen auf/von einer Datei und es ebenfalls einem Benutzer, der aktuell auf einen bestimmten Sicherheitslevel Zugriff hat, nur zu erlauben Daten an eine Datei anzuhängen, können in Übereinstimmung mit den Regeln der Kartendateisicherheit auferlegt werden. Zusätzlich ist die Verschlüsselung von Daten, wie es für die Karte von der Station zur Verfügung gestellt wird, ebenfalls für die sehr sensiblen Dateien verfügbar oder kann durch die Karte bereitgestellt werden. Und da jede der Dateien ihre eigenen Sicherheitsanforderungen haben kann, können viele Anwendungen auf der Karte ohne Konflikte oder Beeinträchtigungen existieren.
Einen weiteren Gesichtspunkt der Sicherheit der Dateien stellt das Sperren der Karte dar. Die für den normalen Benutzer verfügbaren Sicherheitslevel werden nach einer festgelegten Anzahl von nicht erfolgreichen Versuchen auf einen dieser Level zuzugreifen gesperrt. Ein Level oberhalb des gesperrten Levels ist jedoch in der Lage, die Karte auf dem niedrigeren gesperrten Level zu entsperren. Dies gestattet es, der Instandhaltung der Karte den Level gerade oberhalb des gesperrten Levels zuzuordnen.
Die Erfindung und ihr Betriebsmodus wird in der folgenden Beschreibung in Verbindung mit den beiliegenden Zeichnungen näher erläutert. Es zeigen:
Fig.1 eine funktionelle Blockdarstellung der wesentlichen Funktionskomponenten eines tragbaren Datenträgersystems und ihren allgemeinen gegenseitigen Wechselwirkungen,
Fig.2 eine Tabelle, die sechs Sicherheitstufen zeigt, für die ein Zugriff auf den tragbaren, im System nach Fig.1 verwendeten Datenträger möglich ist,
Fig.3 das Dateisystem für Daten, die auf dem Datenträger enthalten sind, der in zwei Bereiche, den Kopf und den Datenabschnitt, eingeteilt ist,
Fig.4 die drei Sektionen jeder Datei, die in dem Datenabschnitt des tragbaren Datenträgersystems untergebracht ist,
Fig.5 den hierarchichen Aufbau der Normal-Sicherheit-Klassen-Stufen, die ein fakultatives Passwort pro Datei und ein Nur-Anfügen- Merkmal verwenden,
Fig.6 eine Tabelle mit Befehlsprimitiven, die zum Kommunizieren mit dem Betriebssystem des tragbaren Datenträgers benutzt werden,
Fig.7 in Flußdiagramm, das eine Login-Folge erläutert, die einen unberechtigten Zugriff auf den tragbaren Datenträger zu verhindern hilft,
Fig.8 die Softwarehierarchie des tragbaren Datenträgersystems, die so aufgebaut ist, daß sie mit dem im System verwendeten Protokoll zusammenarbeitet,
Fig.9 ein Nachrichtenformat, das zum Kommunizieren zwischen den wesentlichen Untersystemen des tragbaren Datenträgersystems ausgebildet ist,
Fig.10 ein Flußdiagramm, das die Entscheidung in der Verbindungsebene erläutert, die den Betriebsablauf der Anwendungsstation mittels eines Halb-Duplex-Protokolls steuert,
Fig.11 ein Flußdiagramm, das die Entscheidung in der Verbindungsebene erläutert, die den Betriebsablauf des Lesers/Schreibers und des tragbaren Datenträgers mittels eines Halb-Duplex-Protokolls steuert.
In allen Zeichnungen sind gleiche Elemente mit gleichen Bezugsnummern versehen.
In Fig.1 ist ein tragbarer Datenträger (PDC= portable data carrier) gezeigt, der zum leichteren Verständnis in drei Untersysteme eingeteilt werden kann. Das erste Untersystem ist ein tragbarer Datenträger oder eine Karte 10, die einen Speicher enthält, der speichern und Informationen für einen Benutzer aktualisieren kann. Das zweite Untersystem ist ein Kartenleser/schreiber 15, der die Karte mit einer Station 18, dem dritten Untersystem, verbindet. Dieses letzte Untersystem ist eine geeignet zusammengestellte Anwenderstation mit einem Computer oder einer der Öffentlichkeit zugänglichen Workstation, die die zum Zugriff auf den Kartenspeicher notwendige Anwendersoftware steuert. Die Anwendersoftware befindet sich in der Station und ermöglicht den Abruf und die Abänderung der im Kartenspeicher 10 abgelegten Information.
Die Karte 10 steuert ein ausführendes Betriebssystem, auf das über einen Satz von Befehlsprimitiven des Betriebssystems zugegriffen wird. Diese Befehlsprimitive beeinflussen ein Dateisystem der Karte gemäß den Regeln, die von der Kartensicherheit verlangt werden.
Einige in der Karte 10 angeordnete Hauptkomponenten bilden einen Mikrocomputer 110, einen elektrisch löschbaren, programmierbaren Lesespeicher (EEPROM) 115, eine analoge Schnittstellenschaltung 130, die Sekundärwicklung 121 eines Transformators 120 und kapazitive Platten 125 bis 128.
Der Mikrocomputer 110 enthält einen zentralen Prozessor und Speichereinheiten in Form eines Speichers mit direktem Zugriff und einen Nur-Lesespeicher. Der Mikrocomputer 110, der unter der Steuerung der im internen Nur-Lesespeicher abgelegten Firmensoftware betrieben wird, formatiert Daten, die unmittelbar zum EEPROM 115 und über den Leser/Schreiber 15 zu der Station 18 übertragen werden. Der gesamte EEPROM oder ein Teil von ihm kann ein integraler Bestandteil des Mikrocomputers oder auch ein getrenntes Teil sein. Der Mikrocomputer 110 interpretiert ebenso die von der Station 18 kommenden Befehlsprimitive, die im Leser/Schreiber empfangen werden.
Durch die Verwendung eines EEPROM 115 in der Karte 10 erhält der berechtigte Benutzer die Möglichkeit, bestimmte Anwendungsdateien in der Speichersektion der Karte nach Wunsch mit neuen und unterschiedlichen Daten in einer berechtigten, zugeordneten Anwendungsstation neu zu programmieren. EEPROMs sind von einer Anzahl von Lieferanten erhältlich, viele von diesen sind in dem Artikel "Are EEPROMs Finally Ready To Take Off?" von J. Robert Lineback, Electronics, Vol. 59, No. 7, (17. Februar 1986), S. 40-41, erwähnt. Die Daten können mehrmals in den EEPROM geschrieben, aus ihm gelesen oder gelöscht werden, solange eine Betriebsspannung angelegt ist. Wird die Betriebsspannung abgeschaltet, bleiben alle Datenänderungen im EEPROM erhalten und abrufbar, wann immer die Karte mit Energie gespeist wird.
Die analoge Schnittstellenschaltung 130 stellt Einrichtungen bereit, die die Speicherkarte 10 mit dem Leser/Schreiber 15 verbinden. Die Schnittstelle bietet mehrere Funktionen einschließlich der Betriebspannungsversorgung, die aus der magnetischen Energie gewonnen wird, die vom Leser/Schreiber 15 in die Karte 10 gekoppelt wird; sie überträgt ebenso Daten zwischen dem Leser/Schreiber 15 und dem Mikrocomputer 110 der Karte 10. Die Betriebsleistung der Karte 10 wird über eine induktive Schnittstelle mittels der Sekundärwicklung 121 eines Transformators 120 an die analoge Schnittstellenschaltung 130 angelegt. Dieser Transformator entsteht, sobald die Sekundärwicklung der Karte 10 in Wirkverbindung mit einer Primärwicklung 122 des Lesers/Schreibers 15 steht. Die Station 18 liefert die Betriebsleistung für den Leser/Schreiber 15 und für die Karte 10.
Der Transformator 120 kann vorteilhafterweise einen Ferritkern 123 auf dem Leser/Schreiber enthalten, um eine erhöhte Kopplung zwischen der Primärwicklung 122 des Transformators und der Sekundärwicklung 121 zu erzielen. Ein zweiter Kern 124 kann auch im Transformator 120 vorhanden und mit der Sekundärwicklung 121 der Karte verbunden sein, um den Kopllungswirkungsgrad weiter zu erhöhen. Bei diesen Anordnungen, die über genügend Leistung verfügen und bei denen es auf den Wirkungsgrad nicht ankommt, können beide Kerne entfallen.
Ein Datenempfang und eine Übertragung von der Karte 10 geschieht über eine kapazitive Schnittstelle, die mit der analogen Schnittstelle 130 verbunden ist. Die kapazitive Schnittstelle umfaßt vier Kondensatoren, die entstehen, sobald die Elektroden oder Platten 125 bis 128 der Karte 10 mit den entsprechenden Elektroden oder Platten 155 bis 158 des Lesers/Schreibers 15 in Eingriff stehen. Zwei dieser Kondensatoren werden benutzt, um Daten von dem Leser/Schreiber 15 zur Karte 10 zu übertragen, wohingegen die verbleibenden Kondensatoren verwendet werden, um Daten von der Karte 10 zum Leser/Schreiber 15 zu übertragen. Die Kombination von induktiver Schnittstelle und kapazitiver Schnittstelle bildet die vollständige Übertragungsschnittstelle zwischen dem Leser/Schreiber 15 und der Speicherkarte 10.
Einige Komponenten des Lesers/Schreibers 15 entsprechen funktionell denen auf der Karte 10. Solche Komponenten sind beispielsweise eine analoge Schnittstellenschaltung 140 und ein Mikrocomputer 150. Außerdem enthält der Leser/Schreiber 15 eine Energieversorgung 162 und eine Eingang/Ausgang- Schnittstelle 160. Die Energieversorgung 162 wird benutzt, um eine Leistung bereitzustellen und ein Taktsignal vom Leser/Schreiber 15 über den Transformator 120 zur Karte 10 zu koppeln. Die Eingang/Ausgang-Schnittstelle ist prinzipiell ein universeller, asynchroner Empfänger-Übertrager (UART= universal asynchronous receiver transmitter), der vorteilhafterweise in dem Mikrocomputer 150 vorgesehen ist. Der UART kommuniziert mit der Anwenderstation 18, die eine amtliche Herausgabestation, private Herausgabestation, eine herausgebende Austellerstation, eine öffentliche Telefonstation oder eine andere, geeignet zusammengestellte Station sein kann.
Die Sicherheit des PDC-Systems ist in zwei breite Bereiche eingeteilt. Der erste Bereich ist auf die Identfikation und Berechtigung gerichtet, um sicherzustellen, daß die Station zum einen (1) mit einer berechtigten Karte und zum anderen (2) mit einer berechtigten Anwenderdatei der Karte kommuniziert. Der zweite Bereich betrifft die Steuerung des Zugriffs auf die Dateien der Karte und die Begrenzung der Anwendung der Kartenbefehle durch eine Anwendung der Station, wobei eine Anwendung ein Konto oder dergleichen ist, das auf bestimmte Daten in einer Date der Karte zugreift.
Ohne eine geeignete Legalisierungsprozedur zur Unterdrückung von Betrugsabsichten, könnte das System das Stationsprotokoll simulieren und dabei Informationen über das PDC-System gewinnen.
Ein Verfahren zur Sicherung, daß die Station mit einer berechtigten Datei einer berechtigten Karte kommuniziert, wird erreicht, indem jeder Karte eine eigene Seriennummer zugeordnet wird, die ganz oder teilweise mit einem verborgenen, in der Station liegenden Anwendungspasswort benutzt wird. Diese Nummern werden algorithmisch manipuliert, um einen Berechtigungscode zu erzeugen, der in der Anwendungsdatei der Karte zur Zeit der Erzeugung gespeichert ist. Während aufeinanderfolgender Transaktionen muß dieser Code vorteilhafterweise mit einem ähnlichen Code, der unabhängig von der Station erzeugt wird, verglichen werden.
Um eine Sicherheitsleistung für das Karten-Datei-System und für die Kartenbefehle bereitzustellen und außerdem eine Flexibilität in der Handhabung verschiedener Anwendungstypen zu ermöglichen, verwendet die Karte sechs verschiedene Sicherheitsstufen. Diese Sicherheitsstufen ermöglichen es, daß die Karte zwei Quellen schützen kann, das Karten-Datei- System und die Kartenbefehle. Der Zugriff zu einem der Quellen ist eine Funktion der berechtigten Login-Stufe, des angeforderten Befehls, der Datei, auf die zugegriffen werden muß, und solcher zusätzlicher Beschränkungen, wie sie vom Kartenbesitzer festgelegt werden.
In Fig.2 sind die sechs Login-Sicherheitsstufen gezeigt. Die ersten vier unteren Stufen sind in einer normalen Sicherheitsklasse angeordnet und für den Gebrauch in einem öffentlichen Umfeld verfügbar. Die erste und unterste Stufe in der hierarchichen Sicherheitsstufe ist eine öffentliche Login-Stufe für allgemeine Informationen, die für den Zugriff kein Passwort benötigt. Ärztliche Informationen und Sicherheitsidentifikationsnummern oder bibliographische Karteninformationen sind Beispiele für öffentliche Daten, die eine Person vielleicht in dieser Stufe erhalten möchte. Wenn die Karte initialisiert oder in einer Station zurückgesetzt wird, gelangt sie hinauf in die öffentliche Login-Stufe.
Die zweite Stufe ist die Benutzer-Stufe, die für den Zugriff ein Benutzer- Passwort verlangt. Ein Benutzer kann bestimmte Gut- und Lastschriften in dieser Stufe haben. Die dritte Stufe ist die Nebenausstellerstufe, die für den Zugriff ebenso ein Passwort verlangt und im allgemeinen die Sufe darstellt, die in einer vom Hauptaussteller oder dem Kartenbesitzer genehmigten Anwendung benutz wird.
Die vierte Sicherheitsstufe verbleibt beim Hauptaussteller. In dieser Stufe wird die Karte formatiert und ausgestellt. Es folgt nun ein Beispiel, wie diese Stufen benützt werden können: Eine Bank stellt Karten aus, die Gut- oder Lastschriften enthalten. Diese Bank genehmigt ebenso die Benutzung ihrer Karte den Einzelverkäufern, die ihre eigenen Gut- oder Lastschriften auf der Karte einrichten. In diesem Beispiel ist die Bank der Hauptaussteller und die Verkäufer sind die Nebenaussteller. Der Kartenhalter ist natürlich der Benutzer. Jede Abrechnung in diesem Beispiel wird durch eine gesonderte Datei abgewickelt, wobei nur Personen oder Programme mit den richtigen Ausweisen für eine besondere Datei auf diese in einer geeigneten Anwendungsstation zugreifen können.
Die zwei oberen Sicherheitsstufen, der Entwickler und der übergeordnete Benutzer, sind in einer erweiterten Sicherheitsklasse angeordnet, die die Benutzung der Befehle, die nicht über die Stufen in der normalen Sicherheitsklasse verfügbar sind ermöglicht.
Die fünfte oder übergeordnete Benutzerstufe ist die Fabrik, die für die Konstruktion, das Testen und das Initialisieren der Blankokarten in der Weise veranwortlich ist, daß die Sicherheit erleichtert wird und widerrechtlich angeeignete Blankokarten nicht verwendet werden können.
Die sechste und höchste Stufe letztlich ist die Entwicklerstufe der Karte. Sowohl die übergeordnete Benutzer- als auch die Entwicklersicherheitsstufe sind so ausgebildet, daß sie auf den gesamten Inhalt des Karten-Dateisystems einschließlich des Kartensystemkopfs zugreifen können, wie später noch näher erläutert wird.
Da mehrere Dateien mit ihren eigenen Ausweisen auf der Karte existieren, können mehrere Anwendungen entsprechend in diesen gesonderten Dateien bestehen, ohne sich gegenseitig zu beeinflussen. Man kann sich leicht eine Person vorzustellen, die zehn oder mehr separate Gut- oder Lastschriften, ein elektronisches Scheckbuch und einen Sicherheitspass für den Zugriff auf ihr Appartement auf einer einzigen Karte besitzt. Die Aussteller und die Benutzer brauchen hinsichtlich der Folgen einer widerrechtlichen Aneignung nur wenig Sorge zu haben, da die Karte verlangt, daß ein Benutzer sich mittels eines Passwortes identifiziert, bevor der Zugriff auf Dateien, die nicht in der öffentlichen Stufe liegen, ermöglicht wird.
In Fig.3 ist das Karten-Dateisystem gezeigt, das in zwei Bereiche, den Kopf, der den Verwaltungsteil darstellt, und das die Anwendungsdateien enthaltene Datensegment, eingeteilt ist.
Der Kopf hoher Sicherheit 35 enthält Informationen, wie beispielsweise die Seriennummer der Karte, die Passworte für jede Login-Stufe, die Anzahl der erfolglosen Passwortversuche jeder Stufe, ein Sperrbyte, das anzeigt,daß die Login-Stufen gesperrt sind, die Größe der festen Datensätze in der Datenbank und die Speichergröße in Kilobytes des EEPROM 115. Ein direkter Zugriff auf den Kopfbereich ist nur in den zwei oberen Sicherheitsstufen möglich.
Das Datensegement 30 der Karte ist in feste Datensätze eingeteilt, deren Länge von n Bytes durch den Hauptaussteller festgesetzt wird. Jeder benutzte Datensatz 31, 32 und 33 ist einer besonderen Datei zugeordnet. Die Identifikation der richtigen Datei erfolgt über das erste Byte eines jeden Datensatzes, der dieser Dateiidentifikationsnummer zugeordnet ist.
Die Karte verfügt über keine Dateiverzeichnis und über keine Zeiger zwischen den verschiedenen Datensätzen derselben Datei. Die Dateidatenordnung wird nicht durch angrenzende Datensätze sondern durch eine lineare Ordnung angezeigt. Das Betriebssytem der Karte tastet die Adresse im EEPROM von der niedrigsten zu höchsten Adresse ab. Der erste mit der besonderen Dateiidentifikationsnummer aufgefundene Datensatz ist der erste in dieser Datei und der letzte mit dieser Dateiidentifikationsnummer aufgefundene Datensatz ist der letzte in dieser Datei. Das Betriebsystem der Karte liest die Datensätze einer Datei, solange jeder Datensatz in der besonderen Datei angetroffen wird. Die maximale Größe und Anzahl der auf der Karte erlaubten Dateien wird lediglich durch die Speichergröße im EEPROM begrenzt. Die eine Datei lesende Anwendungssoftware der Station sieht nur einen angrenzenden Bytestrom, der von der internen Dateistruktur der Karte unabhängig ist.
In Fig.4 sind die drei Bereiche einer jeden Datei in dem Datensegmenteines Karten-Dateisystems in Einzelheiten dargestellt. Ein Vorbereich 41, der in dem ersten Datensatz einer jeden Datei angeordnet ist, enthält die Dateiidentifikationsnummer 42 und Sicherheitsbytes 43, 44 und 45. Die Dateiidentifikationsnummer ist eine Hexadezimalzahl zwischen 1 und FE einschließlich. Die Hexadezimalzahl 00 und FF sind zum Anzeigen eines unbenutzen Datensatzes und des Endes des verfügbaren Speichers im EEPROM entsprechend reserviert.
Die Sicherungsbytes 43 bis 45 bestimmen den Dateizugang. Das erste Byte 43 stellt den Lesezugang dar, der die minimale Stufe, bei der die Datei gelesen werden kann, bezeichnet. Das zweite Byte 44 stellt den Schreib/Lese-Zugang dar, der die minimale Stufe, bei der die Datei gelesen und eingeschrieben werden kann, bezeichnet.
Deshalb ist der Lesezugang einer Datei von dem Schreib/Lese-Zugang einer Datei zu trennen. Verschiedene Sicherheitsstufen können ebenso für den Lese- und gegen den Schreib/Lese-Zugriff festgelegt werden. Beispielsweise kann der Lesezugang einer Datei in der öffentlichen Stufe liegen, um einen Zugriff zu öffentlichen Informationen zu ermöglichen, wohingegen der Schreibzugang in der Benutzerstufe festgelegt sein kann, der das Schreiben in die Datei ohne Zustimmung des Benutzers verbietet.
In Fig.5 ist der hierarchiche Aufbau der normalen Sicherheitsklassenstufen gezeigt, die fakultative Passworte und ein Merkmal "Nur-Anfügen" verwenden. Um die Flexibilität bei der Benutzung der Karte zu erhöhen, kann jede Datei auf der Karte in ihren Sicherungsbytes eine Forderung enthalten, wonach ein fakultatives Passwort eingegeben werden muß, bevor der Zugriff zu einer besonderen Datei freigegeben wird. Diese Forderung besteht zusätzlich neben dem Verlangen, daß sich der Benutzer in der geforderten Sicherheitsstufe des Betriebssystems der Karte befinden muß, um einen Zugriff auf eine in dieser Stufe geschützten Datei zu erhalten. Im Beispiel verlangt deshalb eine Datei mit Schreib/Lesezugang, die ein fakultatives Schreibpasswort enthält, von einem Benutzer:
1. Sich eintragen in die Karte in der Benutzerstufe und
2. Öffnen der Datei, um sie zu lesen.
Um allerdings in diese Datei zu schreiben muß der Benutzer:
1. Sich in die Karte in der Benutzerstufe eintragen und
2. die Datei zum Einschreiben öffnen, indem das fakultative Passwort eingetragen wird. Dies trifft nicht für eine Person zu, die sich in einer Stufe eingetragen hat, die höher ist als der Zugriffszugang auf eine verlangte Datei. Eine Person, die sich in einer solchen Stufe eingetragen hat, kann einen Zugriff zu dieser Datei sogar dann erhalten, wenn ein fakultatives Passwort in der bezeichneten Sicherheitsstufe gefordert wird.
Der hierarchiche Aufbau der normalen Sicherheitsklassenstufen ist derart ausgebildet, daß der Hauptaussteller in und unterhalb seiner Stufe jede Datei lesen und in jede Datei schreiben kann. Der Nebenaussteller kann in und unterhalb seiner Stufe jede Datei lesen und in jede Datei schreiben. In ähnlicher Weise kann der Kartenhalter in seiner oder in der öffentlichen Stufe jede Datei lesen und in jede Datei schreiben.
In einer zweckmäßigen Anwendung kann das Sicherungsbyte 45 in Fig.4 gesetzt werden, um einen Nur-Anfügen-Modus auszuführen, der dem Benutzer ermöglicht, in eine Datei Daten einzufügen ohne existierende Daten zu überschreiben. Es werden Datensätze, die die geeignete Anwendungsdatei widerspiegeln, erzeugt, damit diese Daten so angenommen werden können, wie sie eingegeben worden sind. Deshalb kann eine Datei sowohl für eine Lese/Anfügenerlaubnis als auch für eine Schreib/Leseerlaubnis gekennzeichnet werden.
Ein Informationsbereich 46 einer Datei enthält die aktuellen Daten, die in jedem Datensatz dieser Datei untergebracht sind. Ein Suffix-Bereich 47 mit einer Zahl M im letzten Byte 48 des letzten Datensatzes N zeigt die Anzahl der Anwendungsdatenbytes in dem letzten Datensatz an.
Auf das ausführende Betriebssytem der Karte wird über die normalen Sicherheitsklassenstufen unter Benutzung der allgemein verständlichen Befehlsprimitiven zugegriffen, die in Fig.6 gezeigt sind. Diese Befehlsprimitive steuern den Sicherheitszugriff der Karte, die Dateierzeugung, den Dateizugriff und ebenso Verwalungs- und Testhandlungen. Zusätzliche Befehlsprimitive sind für die Login-Stufen des übergeordneten Benutzers oder Entwicklers verfügbar.
Die Funktion dieser Befehlsprimitiven kann über eine Beschreibung der Funktion des Login-Befehls erläutert werden. Um sich in die Karte einzutragen, wird der Benutzer aufgefordert, eine Login-Stufe und ein Passwort zu bestimmen. Dieses Passwort wird intern durch den Kartenalgorithmus mit dem richtigen Passwort in der selben Login-Stufe des Kartenkopfes verglichen. Wenn ein Kartenbenutzer versucht, einen Zugriff auf eine Datei mit einer Login-Stufe zu erhalten, die niedriger ist als die von der Datei geforderten, dann wird der Zugang, die Datei entweder für das Lesen oder das Schreiben/Lesen zu öffnen, verweigert.
Die Passworte für jede Sicherheitsstufe werden in dem Kartenkopf untergebracht, wenn die Karte hergestellt wird. Der Passwortbefehl erlaubt dem Benutzer in einer eingetragenen Sicherheitsstufe das Passwort in seiner Stufe oder irgendeiner unteren Stufe zu ändern. Geht ein Passwort verloren oder wird es vergessen, dann kann es neu geschrieben werden, indem man sich in die Karte in einer höheren Sicherheitsstufe einträgt und den Passwortbefehl benutzt. Auf diese Weise muß das verlorene Passwort nicht wiedergefunden werden.
Die Anzahl aufeinanderfolgender erfolgloser Login-Versuche pro Sicherheitsstufe ist auf eine bestimmte Zahl begrenzt. Wenn die Zahl überschritten wird, kann die Karte so konfiguriert werden, daß sie entweder in der Sicherheitsstufe sperrt oder die Datenbank der gesamten Karte löscht. Ist die Karte gesperrt, so kann sie in jeder Stufe oberhalb der gesperrten Stufe entriegelt werden. Das ermöglicht eine Verlagerung der Kartenaufrechterhaltung in die niedrigste Stufe, die oberhalb der gesperrten Stufe noch möglich ist. Die Anzahl der Mißerfolge ist im Kopfbereich des EEPROM in einem geeigneten "Passwort-Mißerfolg-Zähler" gespeichert.
Es ist ebenso möglich, eine Datei zu schützen, die ein fakultatives Passwort erfordert. Dateien können individuell in der gleichen Weise geschützt werden wie die Karte, indem ein Bit in den Dateischutzbytes gesetzt wird, um, wenn gewünscht, eine Datei zu löschen. Deshalb hat eine Person nur eine bestimmte Anzahl von Versuchen, eine Datei zu öffnen, die ein fakultatives Passwort verlangt, bevor die Karte gesperrt wird oder die Daten in der Datei gelöscht werden.
In Fig.7 ist ein Flußdiagramm des Teils des Kartenbetriebssystems gezeigt, der ein unzulässiges Login in die Karte zu verhindern hilft. Immer wenn ein Login-Befehl eingegeben wird, wird zuerst der Passwortmißerfolgzähler aktualisiert, um einen Passwortmißerfolg widerzugeben. Als nächstes wird das eingegebene Passwort gegen das Passwort im Kartenkopf geprüft. Wenn das richtige Passwort eingegeben worden ist, wird der Passwortzähler gelöscht. Durch dieses Leistungsmerkmal werden hochentwickelte gewaltsame Angriffe auf das Passwort mittels einer Ausstattung verhindert, die die Betriebsleistung für die Karte nach erfolglosen Login-Versuchen aber vor dem Aktualisieren des Mißerfolgzählers, der den Mißerfolg widergibt, abschalten kann.
Um die Entwicklung in der Anwendungssoftware zu erleichtern, wurde eine Softwarebibliothek hoher Fähigkeit entworfen, um alle Wechselwirkungen zwischen der Station und dem Schreiber/Leser und ebenso zwischen der Station und der Karte zu unterstützen. Deshalb muß sich ein Anwendungsprogrammierer nicht mit langweiligen Einzelheiten des Karteninternen oder Kommunikationsprotokolls beschäftigen. Sein Code kommuniziert unmittelbar mit der Bibliothek und die Bibliothek mit der Karte.
Die Bibliothek ist in vier Bereiche eingeteilt: Einen Kartenverzeichnisbereich, der für eine direkte Abildung der Kartenbefehle sorgt, wie dies in Fig.6 gezeigt ist, einen Schreiber/Leser-Verzeichnisbereich, der für eine direkte Abbildung der Schreiber/Leser-Befehle sorgt, einen zusammengesetzten Verzeichnisbereich, der Karten- und/oder Schreiber/Leser-Befehle enthält und schließlich einen Steuerbereich, der in der Station untergebrachte gemeinsame Steuerbefehle enthält. Diese Funktionen enthalten Einzelheiten über Initialisierung, Beenden und Steuern von Toren und logischen Geräten. Diese Bibliothek funktioniert deshalb wie eine Softwareschnittstelle und zeigt einen Weg, auf Geräte und Dateien zuzugreifen. Von daher ähnelt es sehr stark typischen Computerprotokollen,die dem Anwendungsprogrammierer die Arbeit erleichtern.
In dem Betriebsystem der Karte ist eine Zuteilung von Datensätzen, eine Auflösung der Zuteilung von Datensätzen und ein Sammeln wertloser Daten vorgesehen. Werden Informationen in der Datei gelöscht, gibt die Karte alle frei gewordenen Datensätze an das verfügbare Pool von Datensätzen zurück und ordnet die benutzten Datensätze in linearer Reihenfolge an, indem wertlose Daten gesammelt werden. Dadurch, daß wertlose Daten gesammelt werden, werden alle unbenutzten Datensätze der Karte am Ende des Kartenspeichers gesammelt. Die Zuteilung erforderlicher, zusätzlicher Datensätze wird automatisch durchgeführt, wenn über den letzte Datensatz einer Datei hinweggeschrieben wird. Dadurch, daß die verfügbaren Datensätze immer am Ende der Karte bleiben, werden neue Datensätze einer Datei immer dem vorherigen Ende der Datei zugeteilt, wodurch die lineare Reihenfolge der Datensätze jeder Datei erhalten bleibt.
Die Informationen über die Zuteilung und Auflösung der Zuteilung von Datensätzen ist für die Anwendung in der Station nicht verfügbar. Die Sicherheit wird erhöht, da die Anwendung lediglich angrenzende Daten ohne irgendwelche Implementierungsdetails sieht. Auch ist ein direkter Zugriff auf die Anwendungsdateien im Rohformat den Benutzern, die einen Zugriff zu diesen in der normalen Sicherheitsklassenstufe befindlichen Befehlen haben, nicht erlaubt. Ein Zugriff zu der gesamten Karte ist nur den Benutzern erlaubt, die einen Zugriff zu den in der erweiterten Sicherheitsklassenstufe befindlichen Befehlen haben, um eine strenge Sicherheit während der Herstellung und dem Testen der Karte zu gewährleisten.
In Fig.8 ist die Softwarehierarchie gezeigt, die zum Betrieb im Kommunikationprotokoll des PDC-Systems untergebracht ist. Eine Anwendungsebene 181 in der Station 18 kommuniziert mit der Karte und ebenso mittels einer Terminalschnittstelle 187 über ein Terminal 187 mit dem Benutzer oder mittels einer Datenbankschnittstelle 184 mit einer fakultativen Datenbank. Um den Zugriff zur Krte 10 zu erleichtern, kommuniziert die Anwendungebene 180 mit der Bibliotheksebene 185, die bereits oben diskutiert wurde. Diese kommuniziert der Reihe nach mit der Linkebene 186, die die aktuellen Transaktionen steuert, mit dem Schreiber/Leser 15 und der Karte 10.
Obwohl die Station 18 über eine serielle Schnittstelle mit dem Schreiber/Leser 15 verbunden ist, kommuniziert sie unmittelbar sowohl mit der Karte 10 als auch mit dem Schreiber/Leser 15. Jede für die Karte 10 bestimmte Nachricht wir deshalb transparent über den Schreiber/Leser 15 zur Karte 10 übertragen. Die Bestimmungsadresse befindet sich in dem Präambelbereich der Nachricht. Ein für den erfindungsgemäßen Gebrauch geeignetes Nachrichtenformat ist in Fig.9 gezeigt, das später noch ausführlich beschrieben wird.
Der Schreiber/Leser 15 und die Karte 10 implementieren das gleiche Übertragungsprotokoll im Halbduplexbetrieb wie die Station in der Datenverbindungsebene 186. Die Karte 10 ist völlig inaktiv und kann überhaupt keine Transaktion mit der Station 18 einleiten. Der Schreiber/Leser 15 unterscheidet sich davon in einem Punkt, daß er das Signal 'Achtung' zur Station über eine in der seriellen Schnittstelle vorgesehenen Trägerdetektionsleitung überträgt, die beide verbindet. Die Station 18 spricht auf das Achtung-Signal nach Beendigung irgendeiner aktuellen Transaktion an, in die sie dann verwickelt ist. Als nächstes fragtdie Station den Schreiber/Leser 15, um den Grund des Achtung-Signals festzustellen.Ein Beispiel dafür, daß der Schreiber/Leser 15 solch ein Achtung-Signal liefert liegt vor, wenn die Karte 10 in einem auf dem Schreiber/Leser 15 untergebrachten Steckplatz (nicht gezeigt) eingesetzt wird und für die Kommunikation mit der Station 18 an der richtigen Stelle sitzt. Ein zweites Beispiel liegt vor, wenn die Karte 10 aus dem Steckplatz des Schreiber/Lesers 15 herausgezogen wird.
Der Schreiber/Leser weist zwei Ebenen auf, eine Verbindungsebene 151 und eine Befehlsebene 152. Die Verbindungsebene 151 arbeitet als transparentes Medium zwischen der Station 18 und der Karte 10, über das Befehle oder Meldungen zwischen der Station 18 und der Karte 10 übermittelt werden.Die Verbindungsebene 151 des Schreiber/Lesers 15 stellt, wenn nötig, eine Zwischenspeicherung und Umwandlung der Baudrate bereit. Die Übertragungsrate zwischen der Karte 10 und dem Schreiber/Leser 15 beträgt 19200 Baud. Wenn die Baudrate zwischen der Station 18 und dem Schreiber/Leser 15 niedriger ist als die Baudrate zwischen dem Schreiber/Leser 15 und der Karte 10, führt der Schreiber/Leser 15 eine Umwandlung der Baudrate durch und speichert die Nachricht derart, daß sie als Block von angrenzenden Daten zur Karte geschickt werden.Die zweite Ebene in dem Schreiber/Leser ist die Befehlsebene. Diese Ebene des Schreiber/Lesers spricht auf die Daten an, die von der Station 18 speziell an den Schreiber/Leser adressiert sind.
Protokolldaten werden über die Kommunikationverbindung seriell, d.h. Zeichen für Zeichen, geschickt. Ein Zeichen ist von einem Startbit und einem Stopbit eingerahmt. Die Nachrichten angrenzender Zeichenblöcke werden zu jeder Zeit innerhalb der Schranken des Halbduplex-Protokolls initiiert. Die Station 18 und der Schreiber/Leser 15 oder die Karte 10 tauschen Informationen in einem vorbestimmten Nachrichtenpaket aus. Ein Paket enthält Steuerinformationen, die angeben, wo Daten in dem Paket beginnen und enden und ebenso Informationen zum Prüfen der Einheit der Nachrichtendaten.
Mehr Einzelheiten sind der Fig.9 in Verbindung mit Fig.8 zu entnehmen, die ein geeignetes,erfindungsgemäßes Nachrichtenformat zeigt, bei dem die Station 18 den Schreiber/Leser 15 oder die Karte 10 adressiert. Das Nachrichtenformat besteht aus einer Präambel 91 zum Adressieren des Schreiber/Lesers 15 oder der Karte 10 und einer Beginn-des-Rahmen- Steuerfolge 92 zum Markieren des Beginns der Nachricht (DLE STX). In dem Nachrichtenformat ist als nächstes ein Verbindungsstatus 93 untergebracht, der entweder Informationen über eine positive (ACK) oder eine negative Rückmeldung (NAK) der übertragenen Nachricht, Informationen darüber, ob sich während der Übertragung ein Fehler ereignet hat, sowie eine Folgezahl ( Tag ) der laufenden Nachricht enthält. Jede Nachricht ist einer Folgezahl zugeordnet. Ein Modulo 8 Schema wird unter Benutzung der drei wertniedrigsten Bits des Verbindungs-Statusbytes im Nachrichtenformat verwendet.
Dann folgt das Befehls- und Datenfeld 94, welches die übertragenen Daten gefolgt von einer Ende-des Rahmens- Steuerfolge 95 enthält, die das Ende einer Nachricht (DLE ETX) markiert. Zum Schluß wird eine Prüfsumme 96 aus zwei Bytes unter Anwendung eines Algorithmus erzeugt, der in einem Artikel mit dem Titel " An Arithmatic Checksum for Serial Transmission," J.G. Fletcher, IEEE Transactions on Communications,Volume Com-30, Jan.1982.pp 247-252 beschrieben ist.
Eine von dem Schreiber/Leser 15 oder von der Karte 10 zur Station 18 zurückgeschickte Nachrichtenpaketmeldung stimmt vollständig mit der durch die Station erzeugten überein. Das in Fig.9 dargestellte Nachrichtenformat ist daher für Kommunikationen zwischen allen Untersystemen verwendbar. Die Präambel einer von der Station 18 gesendeten Nachricht besteht aus 8 Bytes. Eine Nachricht gilt als durch die Station 18 richtig empfangen, wenn mindestens drei dieser aufeinanderfolgenden Präambeln durch das Untersystem erfaßt werden, mit dem sie dann versucht, zu kommunizieren.
Um eine Kommunikation mit dem Schreiber/Leser 15 oder der Karte 10 einzuleiten, sendet die Station 18 eine Verbindungsrücksetznachricht. Die Kommunikation mißlingt, wenn die Station eine negative Rückmeldung (NAK) empfängt oder eine vorbestimmte Zeit abläuft bevor eine Meldung empfangen worden ist.
Ist erst einmal eine Kommunikation mit dem Schreiber/Leser 15 aufgebaut, so informiert dieser die Station 18, wenn die Karte 10 eingesetzt oder bereits aktiv ist. Nachdem die Karte 10 eingesetzt ist, sendet der Schreiber/Leser 15 ein Achtungssignal zur Station 18. Stellt die Station fest, das die eingesetzte Karte vielmehr eine intelligente Karte ist als beispielsweise nur ein Magnetstreifen, dann schickt die Station eine Verbindungsrücksetznachricht an die Karte, um sie zu initialisieren. Ist die Karte erst einmal initialisiert, erwartet die Karte Befehle von der Anwedungsebene 151 der Station 18. Wird eine Anforderung empfangen, so wird sie in einer Befehlsebene 101 der Karte 10 verarbeitet und eine Meldung zur Station 18 zurückgeschickt, während die Karte 10 auf den nächsten Befehl wartet. Die Station 18 kann willkürlich wählen, welches Untersystem adressiert und welche Nachricht ausgesendet werden soll, d.h. entweder eine Verbindungsrücksetznachricht oder einen Befehl.
Fig.10 zeigt ein Flußdiagramm, das das Verfahren der Station 18 erläutert, eine Verbindungsebenenentscheidung zu treffen. Beim Kommunizieren mit dem Schreiber/Leser 15 oder der Karte 10 während einer normalen Transaktion, sendet die Station eine Nachricht und löst einen Zeitgeber aus. Danach empfängt die Station entweder eine Meldung von dem Untersystem, mit dem es dann zu kommunizieren versucht oder der Zeitgeber läuft ab. Wenn das Verbindungsstatusbyte in der für die Station bestimmte Nachrichtenmeldung eine positive Rückmeldung (ACK) enthält, bedeutet dies, daß die Transaktion erfolgreich beendet worden ist und der Folgezahlwert wird um Modulo 8 erhöht. Die Meldung wird nunmehr an die Anwendungsebene 181 der Station 18 weitergereicht.
Wenn eine negative Rückmeldung (NAK) empfangen wird, werden mindestens zwei weitere Verbindungsversuche unternommen und der Folgezahlwert bleibt derselbe. Die Station bittet nicht um eine erneute Übertragung, sondern überträgt den letzten Befehl. Wird nach drei Versuchen keine positive Rückmeldung (ACK) empfangen, wird die Verbindungsstufenfehlerentdeckung eingeleitet.
Fig.11 zeigt ein Flußdiagramm, das das Verfahren, eine Verbindungsebenenentscheidung zu treffen, sowohl für den Schreiber/Leser 15 als auch für die Karte 10 erläutert. Es wird nun bezuggenommen auf die Figuren 8 und 10. Bei der Rückkommunikation während einer normalen Transaktion überwacht der Schreiber/Leser 15 oder die Karte 10 die Folgezahl jeder empfangenen Nachricht, um zu entscheiden, ob die gegenwärtige Anforderung eine neue Transaktion ist oder eine Rücksendeanforderung für eine vorherige Transaktion. Wenn der aktuelle Folgezahlwert sich vom Folgezahlwert der vorherigen Transaktion unterscheidet, wird die ankommende Nachricht als eine neue Transaktion behandelt. Ist der aktuelle Folgezahlwert gleich dem vorherigen Wert, dann wird eine Rückübertragung von der Station 18 angefordert. Der Schreiber/Leser 15 oder die Karte 10 antwortet immer auf die Folgezahl, die dem letzten gültigen bearbeiteten Befehl entspricht. Mißlingt daher eine augenblickliche Übertragung, d.h. eine "schlechte Nachricht", so antwortet die Verbindungsebene mit einer negativen Rückmeldung (NAK) und der letzten gültigen Folgezahl. Ein "Null"-Befehl bewirkt, daß der Schreiber/Leser 15 oder die Karte 10 die folgende Folgezahl auf die empfangene rücksetzt. Beim Rücksetzen setzt der Schreiber/Leser 15 oder die Karte 10 die Folgezahl auf einen ungültigen Wert, um sicherzustellen, daß die ankommende Nachricht als eine neue behandelt wird.
Das Ende einer Kartensitzung kann durch die Station 18, die den Schreiber/Leser 15 auffordert, die Karte 10 abzuschalten, oder durch den Benutzer eingeleitet werden, der die Karte 18 herauszieht. Im letzten Fall beendet der Schreiber/Leser 15 automatisch die Energieversorgung des gesamten Kartensteckplatzes und überträgt ein "Achtungssignal" an die Station 18. Daraufhin sendet die Station einen "Statusanforderungsbefehl" an den Schreiber/Leser 15. Als Antwort darauf unterrichtet der Schreiber/Leser 15 die Station 18, daß die Karte 10 herausgezogen wurde und die Verbindungsebene meldet nach drei erfolglosen Versuchen, mit der Karte 10 zu kommunizieren, Kommunikationsfehler an die Anwendungsebene. Das ist notwendig, da nur die Anwendungsebene den Schreiber/Leser für inaktiv erklären kann.

Claims

1. Sicherheits-Dateisystem für einen tragbaren Datenträger (10) mit einem Datei-Anfangsbereich (35) und einem Datei-Datenabschnittsbereich (30), wobei der Datei-Anfangsbereich ein erstes Passwort zur Bestätigung der Identität eines Individuums enthält, das versucht, auf die Daten im tragbaren Datenträger zuzugreifen, und der Datei-Datenabschnittsbereich eine Vielzahl von Dateien (41-48) zur Speicherung änderbarer Daten enthält, denen je änderbare Daten zur Speicherung in jeder von einer Vielzahl von Speicherstellen im Datei-Abschnittsbereich zugeordnet sind, wobei die änderbaren Daten für jede Datei jeder der verfügbaren Vielzahl von Speicherstellen im Datei-Datenabschnittsbereich zur Speicherung unter Ansprechen auf eine Änderung der Menge an dieser Datei zugeordneten Daten zugeordnet ist, der Datei-Datenabschnittsbereich ferner wenigstens ein zweites Passwort zur Bestätigung der Identität eines Individuums enthält, das versucht, auf die Daten in wenigstens einer der Vielzahl von Dateien zuzugreifen, wobei der Zugriff zu jeder Datei im Datei-Datenabschnittsbereich für eine gewünschte Transaktion durch ein entsprechendes Passwort gesteuert wird, das einem zur Durchführung von Transaktionen autorisiertem Individuum im tragbaren Datenträger zugeordnet ist.

2. Sicherheits-Dateisystem nach Anspruch 1, bei dem jede Datei im tragbaren Datenträger Datei-Zulassungsinformationen (43-45) enthält, die den Typ des für ein Individuum zugelassenen Zugriffs definieren.

3. Sicherheits-Dateisystem nach Anspruch 2, bei der die Datei-Zulassungsinformation im tragbaren Datenträger eine Lesezulassung, eine Schreibzulassung und eine Anfügungszulassung enthalten, eine erste Datei (43) mit einer Lesezulassung einem Individuum gestatten, nur Daten in dieser Datei zu lesen, eine zweite Datei (44) mit einer Schreibzulassung einem Individuum gestatten, Daten in der Datei zu lesen und Daten in die Datei zu schreiben, und eine dritte Datei (45) mit einer Lese- und einer Anfügungszulassung einem Individuum gestatten, nur Daten in der Datei zu lesen und Daten an die Datei anzufügen.

4. Sicherheits-Dateisystem nach Anspruch 3 mit ferner mehreren Sicherheitsstufen, die hierarchisch so angeordnet sind, daß eine niedrigste Sicherheitsstufe, eine höchste Sicherheitsstufe und eine Vielzahl weiterer, zwischengelegener Sicherheitsstufen vorhanden sind, wobei der Zugriff zu jeder Sicherheitsstufe durch ein entsprechendes Passwort gesteuert wird, das nur einem Individuum zugeordnet ist, welches für einen Zugriff zu Daten auf dieser Sicherheitsstufe autorisiert ist.

5. Sicherheits-Dateisystem nach Anspruch 4, bei dem die Datei-Zulassungsinformationen entsprechend der Sicherheitsstufe zugeordnet werden können, wobei eine erste Sicherheitsstufe höherer Ordnung die Zulassung zum Lesen von Daten aus der und Schreiben von Daten in die zweite Drei besitzt und eine zweite, niedrigere Sicherheitsstufe die Zulassung nur zum Lesen von Daten in der zweiten Datei hat.

6. Sicherheits-Dateisystem nach Anspruch 4, bei dem die Datei-Zulassungsinformationen nach der Sicherheitsstufe zugeordnet werden können, wobei eine erste Sicherheitsstufe höherer Ordnung die Zulassung zum Lesen von Daten aus der und zum Einschreiben von Daten in die zweite Datei besitzt und eine zweite, niedrigere Sicherheitsstufe die Zulassung nur zum Lesen von Daten aus der und zum Anfügen von Daten an die zweite Datei hat.

7. Sicherheits-Dateisystem nach Anspruch 4 mit ferner Daten und einem besonderen Zugriffscode zur Bestätigung der Identität eines Individuums, das versucht, auf die Daten im tragbaren Datenträger zuzugreifen, wobei das Sicherheits-Dateisystem aufweist: eine Zähleinrichtung zur Aufzeichnung aller Zugriffsversuche, wobei die Zähleinrichtung einen Zählwert jedesmal dann weiterschaltet, wenn ein Code von außen dem tragbaren Datenträger dargeboten wird, eine Bestätigungseinrichtung zur Lieferung einer Anzeige, wenn der von außen dargebotene Code mit Erfolg mit dem im tragbaren Datenträger gespeicherten Code übereinstimmend verglichen wird, eine Zählrückstelleinrichtung zur Rückstellung des durch die Zähleinrichtung weitergeschalteten Zählwertes auf seinen vorhergehenden Zählwert, wobei die Zählrückstelleinrichtung unter Ansprechen darauf aktiviert wird, daß die Bestätigungseinrichtung einen übereinstimmenden Vergleich anzeigt und ein Datenzugriff zugelassen ist, und wobei die Zählrückstelleinrichtung inaktiv bleibt, wenn die Bestätigungseinrichtung keinen übereinstimmenden Vergleich anzeigt.

8. Sicherheits-Dateisystem nach Anspruch 7, bei dem die Zähleinrichtung bis zu einer vorbestimmten Zahl zählt und bei erreichen dieser Zahl alle Daten aus dem tragbaren Datenträger löscht.

9. Sicherheits-Dateisystem nach Anspruch 7, bei dem die Zähleinrichtung bis zu einer vorbestimmten Zahl zählt und bei Erreichen dieser Zahl sperrt, so daß weitere Zugriffsversuche verhindert werden.

10. Sicherheits-Dateisystem nach Anspruch 9, bei dem die hierarchisch angeordneten Sicherheitsstufen einem autorisierten Individuum gestatten, Zugriff zu den Daten im tragbaren Datenträger auf einer höheren Sicherheitsstufe als einer gesperrten Sicherheitsstufe zu gewinnen, und bei dem die höhere Sicherheitsstufe im tragbaren Datenträger in der Lage ist, den tragbaren Datenträger auf der gesperrten Sicherheitsstufe zu entsperrren.

11. Sicherheits-Dateisystem nach Anspruch 4 mit ferner einer Mehrzahl von Dateien, wobei jede Datei Daten und einen besonderen, zugeordneten Zugriffscode besitzt, um die Identität eines Individuums zu bestätigen, das versucht, Zugriff zu den Daten in der jeweiligen Datei zu gewinnen, wobei das Sicherheits-Dateisystem aufweist: eine Zähleinrichtung zur Aufzeichnung aller Zugriffsversuche, wobei die Zähleinrichtung jedesmal dann einen Zählwert weiterschaltet, wenn ein Code von außen dem tragbaren Datenträger dargeboten wird, eine Bestätigungseinrichtung zur Lieferung einer Anzeige, wenn der von außen bereitgestellte Code übereinstimmend mit dem im Sicherheits- Dateisystem gespeicherten Code verglichen wird, eine Zählrückstelleinrichtung zur Rückstellung des durch die Zähleinrichtung weitergeschalteten Zählwertes auf den vorhergehenden Zählwert, wobei die Zähleinrichtung abhängig davon aktiviert wird, daß die Bestätigungseinrichtung einen übereinstimmenden Vergleich anzeigt und ein Datenzugriff zugelassen wird, und wobei die Zählrückstelleinrichtung inaktiv bleibt, wenn die Bestätigungseinrichtung keinen übereinstimmenden Vergleich anzeigt.

12. Sicherheits-Dateisystem nach Anspruch 11, bei dem die Zähleinrichtung bis zu einer vorbestimmten Zahl zählt und bei Erreichen dieser Zahl alle Daten aus der Datei löscht, auf die ein Zugriff gerade versucht wird.

13. Sicherheits-Dateisystem nach Anspruch 11, bei dem die Zähleinrichtung bis zu einer vorbestimmten Zahl zählt und bei Erreichen dieser Zahl die Datei sperrt, auf die ein Zugriff gerade versucht wird.