DE3809170C2 - - Google Patents

Description

Die Erfindung betrifft ein System und ein Verfahren zur Ausstellung von gesicherten IC-Karten, die mit einem Identifizierungscode versehen werden, der nur bei Benutzung eines autorisierten Schlüssels in einer Ausstellerstation auf die IC-Karte übertragen und damit die IC-Karte gültig machen kann.

Ein System und ein Verfahren zur Ausstellung von gesicherten IC- Karten ist beispielsweise bekannt aus der Veröffentlichung "Security and Reliability in Electronic Systems for Payments", 1975, herausgegeben von der Bank for International Settlements. Zu den Sicherheitsmaßnahmen gemäß dieser Literaturstelle gehören:

• - Verwendung des Operator-Paßwortes beim Zugriff zu einem Computer;
• - Ort und Identifikation der Computer werden gegenüber der Öffentlichkeit, also den Benutzern, geheimgehalten;
• - die Anzahl der Operatoren ist beschränkt durch strikte Vorgabe, daß nur diejenigen Zugang haben, die eine Identifikationskarte tragen;
• - jedes Terminal ist so ausgelegt, daß es die entsprechende Operation selbst aufzeichnet und nach Beendigung einer Operation nicht weiterverarbeitet.

IC-Karten werden am häufigsten so ausgestellt, daß man eine Kennummer oder die Bankkontonummer in den Speicher der IC-Karte einschreibt. Wenn die IC-Karte verwendet wird, dient die Kennummer oder die Kontonummer dazu, eine Transaktion unter Verwendung der IC-Karte zu verifizieren und aufzuzeichnen. Um die nicht-autorisierte Ausstellung einer IC-Karte zu verhindern, wird die Vorrichtung in den Speicher der IC-Karte üblicherweise mit einem Ausstellercode gesteuert.

Bei einer Ausführungsform wird der Code in einem EPROM aufgezeichnet, der in einem Gehäuse eingesetzt ist, welches als Steckmodul dient, der von einer Aufnahme in der Ausstellerstation aufgenommen wird. Für eine auszustellende IC-Karte muß der Benutzer der Ausstellerstation den EPROM von einem gesicherten Bereich erhalten und ihn in die Aufnahme einstecken. Wenn die Ausstellerstation aktiviert ist, wird sie die Information aus dem EPROM lesen und sie mit der Information vergleichen, die in einem internen Speicher gespeichert ist, um festzustellen, ob eine Datenübereinstimmung vorliegt. Nur wenn die Information übereinstimmt, gibt die Vorrichtung dem Benutzer an, daß sie zum Einschreiben einer Kennummer oder Kontonummer in die IC-Karte bereit ist.

Dabei dient der EPROM im wesentlichen als elektronischer Schlüssel, der eine unbefugte Benutzung der Ausstellerstation verhindert. Auch wenn ein solcher elektronischer Schlüssel sicherer ist als ein herkömmlicher mechanischer Schlüssel, ist er trotzdem anfällig gegenüber unbefugter Benutzung oder Duplizierung. Eine solche unbefugte Benutzung oder Duplizierung ermöglicht es, daß die Ausstellerstation zur unbefugten Ausgabe von Karten verwendet wird.

Aus der DE-OS 30 13 211 ist ein Verfahren zur Handhabung einer persönlichen Identifikationsnummer im Zusammenhang mit einer Ausweiskarte bekannt. Dabei geht es dort um Karten, die in spezieller Weise auf einen bestimmten Benutzer personalisiert sind und insbesondere im Geldverkehr eingesetzt werden. Zu diesem Zweck weisen solche Karten in der Regel wenigstens zwei gespeicherte Informationen auf, nämlich eine Identifikationsinformation und eine banktechnische Information.

Die Identifikationsinformation ermöglicht eine Identifizierung des Benutzers, beispielsweise wenn er einen Bankautomaten betätigen will. Dies kann eine Geheimzahl sein, die der Benutzer kennt und in den Automaten eingibt und die identisch, wenn auch meistens verschlüsselt, auf der Karte gespeichert ist, um dem Automaten die Möglichkeit zu geben, die Zuordnung zwischen Benutzer und Karte zu überprüfen, bevor irgendeine Transaktion durchführbar ist.

Die zweite Information ist eine banktechnische Information, beispielsweise eine Kontonummer, die die Herbeiführung der gewünschten Transaktion, beispielsweise das Abbuchen eines Geldbetrages von dem zugeordneten Konto ermöglicht.

Bei dem Verfahren gemäß der DE-OS 30 13 211 geht es darum, diese beiden Informationen auf der Karte so zu verschlüsseln, daß nur der berechtigte Benutzer, der die Information mitgeteilt bekommen hat, die Informationen auf der Karte kennt, während ein unberechtigter Benutzer, der die Informationen nicht mitgeteilt bekommen hat, diese auch nicht von der Karte selbst ablesen kann. Für die Verschlüsselung der Information werden in der DE-OS 30 13 211 2-Stufen-Verschlüsselungen vorgeschlagen, zu denen auch zwei entsprechende Schlüssel notwendig sind. Einer dieser beiden Schlüssel kann auf der Karte selbst gespeichert werden. Die 2-Stufen-Verschlüsselung kann dort auch örtlich unabhängig voneinander erfolgen.

Auch wenn bei dem Verfahren gemäß der DE-OS 30 13 211 zwei verschiedene Arten von Informationen bzw. Codes verwendet werden, handelt es sich um bereits ausgegebene, mit Identifizierungscode bereits versehene Karten, während gemäß der Erfindung der zeitlich davorliegende Bereich angesprochen ist, nämlich die Ausstellung der Karten selbst.

Der Erfindung liegt nämlich die Aufgabe zugrunde, ein System und ein Verfahren zur Ausstellung von gesicherten IC-Karten anzugeben, die es einem Bediener einer Ausstellerstation praktisch unmöglich macht, nicht-autorisierte IC-Karten auszustellen, wobei eine unbefugte Benutzung des Ausstellercodes zur Aktivierung der Ausstellerstation verhindert wird.

Die erfindungsgemäße Lösung besteht darin, ein System der eingangs genannten Art anzugeben, das gekennzeichnet ist durch einen Herstellercode des Kartenherstellers, der in der IC-Karte registriert ist und der zusätzlich von einem ersten gesicherten Bereich zu der Ausstellerstation übertragen wird; eine erste Prüfeinrichtung, die auf den in der IC-Karte registrierten Herstellercode anspricht und eine Einrichtung in der Ausstellerstation aufweist, um den Herstellercode vom Hersteller zu empfangen, wobei die erste Prüfeinrichtung den empfangenen Code und den registrierten Herstellercode vergleicht und bei Übereinstimmung ein Berechtigungssignal für das Vorliegen einer berechtigten IC-Karte erzeugt; eine zweite Prüfeinrichtung, die einen Aussteller-Identifizierungscode von einem zweiten gesicherten Bereich empfängt und den empfangenen Code mit einem Aussteller-Identifizierungscode vergleicht, der in einem Speicher in der Ausstellerstation gespeichert ist, wobei die zweite Prüfeinrichtung bei Übereinstimmung der beiden Codes ein Ausstellerbefugnissignal erzeugt; und eine Einrichtung, die auf das Vorliegen des Signals für berechtigte Karten und des Signals für befugte Aussteller anspricht, um die Ausstellerstation bei Vorliegen beider Signale freizugeben, so daß diese in einer IC-Karte Informationen aufzeichnen und damit die IC-Karte ausstellen kann.

Das erfindungsgemäße Verfahren zur Herstellung von gesicherten IC-Karten ist gekennzeichnet durch folgende Schritte:

Verwenden einer IC-Karte, die einen registrierten Herstellercode trägt; Eingeben eines Herstellercodes von einem ersten gesicherten Bereich in die Ausstellerstation und Vergleichen der beiden Herstellercodes in der angeschlossenen IC-Karte; Abgeben eines Berechtigungssignals als erstes Freigabesignal von der IC-Karte an die Ausstellerstation nur dann, wenn Übereinstimmung der beiden Herstellercodes für das Vorliegen einer berechtigten IC-Karte festgestellt worden ist; Eingeben eines Aussteller-Identifizierungscodes von einem zweiten gesicherten Bereich in die Ausstellerstation und Vergleichen mit einem dort gespeicherten Aussteller-Identifizierungscode; Abgeben eines Ausstellerbefugnissignals als zweites Freigabesignal nur dann, wenn Übereinstimmung der beiden Aussteller- Identifizierungscodes für das Vorliegen eines berechtigten Ausstellers festgestellt worden ist; Freischalten der Ausstellerstation nur dann, wenn gleichzeitig beide Freigabesignale vorliegen; und Eingeben des Identifizierungscodes in die IC- Karte durch die Eingabeeinrichtung der Ausstellerstation.

Vorteilhafte Weiterbildungen des Systems und des Verfahrens gemäß der Erfindung sind in den Unteransprüchen angegeben.

Mit dem System und dem Verfahren gemäß der Erfindung wird die Aufgabe in zufriedenstellender Weise gelöst. Insbesondere wird in vorteilhafter Weise gewährleistet, daß in der Ausstellerstation keine gefälschten IC-Karten verwendet werden können.

Gemäß der Erfindung werden zwei Risiken ausgeschaltet, die bei herkömmlichen Systemen und Verfahren bestehen. Das erste Risiko besteht darin, daß der Bediener der Ausstellerstation zwar berechtigt ist und über den autorisierten Schlüssel verfügt oder daß ein Unberechtigter den Schlüssel besitzt oder nachgemacht hat und die Ausstellerstation bedienen kann, wobei er mittels der Ausstellerstation die Karten mit Informationen versieht, die keinesfalls vom Kunden bestellt worden sind und die lediglich dem Fälscher nützen, beispielsweise durch Ausstellung eines nicht-autorisierten Duplikats. Dem wird gemäß der Erfindung dadurch begegnet, daß intern der Herstellercode der auszustellenden IC-Karte geprüft wird. Wenn diese Prüfung nicht positiv bestanden wird, ist bereits sichergestellt, daß eine Ausstellung der IC-Karte unmöglich ist.

Selbst wenn eine berechtigte IC-Karte vorliegt, besteht grundsätzlich ein zweites Risiko darin, daß von einer unbefugten Person die Ausstellerstation benutzt wird, um Karten mit Benutzerinformation auszustellen. Diesem Risiko wird gemäß der Erfindung dadurch begegnet, daß wiederum intern der Aussteller- Identifizierungscode überprüft wird und nur bei positivem Prüfungsergebnis ein entsprechendes Ausstellerbefugnissignal erzeugt wird.

Die Ausstellung der IC-Karte kann also erst dann erfolgen, wenn zwei verschiedene Prüfungen erfolgreich durchgeführt worden sind und beide Berechtigungssignale gleichzeitig in der Ausstellerstation vorliegen. Ist auch nur eine dieser Voraussetzungen nicht erfüllt, kann die IC-Karte nicht ausgestellt werden. Damit wird ein besonders hohes Maß an Sicherheit erzielt.

Die Erfindung wird nachstehend anhand der Beschreibung von Aus­ führungsbeispielen und unter Bezugnahme auf die beiliegende Zeichnung näher erläutert. Die Zeichnung zeigt in

Fig. 1 ein Blockschaltbild einer herkömmlichen Vorrichtung zur Ausstellung von IC-Karten; und in

Fig. 2 ein Blockschaltbild zur Erläuterung eines erfindungsgemäßen Systems zur Ausstellung von gesicherten IC-Karten gemäß einer bevor­ zugten Ausführungsform.

Im folgenden wird zunächst auf Fig. 1 Bezug genommen. Eine herkömmliche IC-Karten-Ausstellerstation 1 ist mit einem elektronischen Schlüssel 2 gesichert, der so ausgelegt ist, daß er mit der Ausstellerstation 1 mittels einer nicht dargestellten Aufnahme gekoppelt werden kann. Der elektronische Schlüssel 2 umfaßt eine Speichereinheit, z. B. einen EPROM, der Daten enthält, die dazu dienen, einen Aussteller-Identi­ fizierungscode zu duplizieren, der in der Ausstellerstation 1 gespeichert ist. Bevor die Ausstellerstation 1 freigegeben werden kann, um eine Kennummer oder Kontonummer in eine IC- Karte 3 einschreiben zu können, müssen die in dem elektronischen Schlüssel 2 gespeicherten Daten festgestellt werden, um zu überprüfen, ob sie mit dem Benutzer-Identifizierungscode übereinstimmen. Um ein gesichertes System zu bilden, wird der elektronische Schlüssel 2 im Gewahrsam eines System­ verwalters gehalten, der den Schlüssel einem Bediener für die Aktivierung oder Ausstellung einer IC-Karte aushändigt. Nachdem die IC-Karte aktiviert, d. h. eine Kennummer oder Kontonummer eingegeben ist, wird der elektronische Schlüssel 2 vom Bediener entfernt und dem Systemverwalter zurückgegeben.

Um das Einschreiben von Kennummern oder Kontonummern in die IC-Karten 3 zu ermöglichen, umfaßt die Ausstellerstation 1 eine Lese/Schreibeinheit 4 an sich bekannter Bauart, welche die IC-Karte 3 erhält. Wenn die IC-Karte 3 und der elektronische Schlüssel 2 an ihrem Platz sind, kann der Aussteller die Kennummer oder Kontonummer in die in der IC-Karte eingebaute Elektronik auf Mikroprozessorbasis eingeben, indem er die Nummer mit einer Tastatur 5 eingibt.

Die von der Tastatur 5 erzeugten Daten werden über die Lese/ Schreibeinheit 4 zu dem eingebauten Mikroprozessorsystem übertragen. Um zu gewährleisten, daß nur autorisierte oder befugte Kennummern oder Kontonummern in den Speicher eines Kartenmikroprozessors eingegeben werden, gibt ein Komparator 6 die Lese/Schreibeinheit 4 nur dann frei, wenn der im elektronischen Schlüssel 2 enthaltene Identifizierungscode des Benutzers mit den codierten Daten übereinstimmt, die in der Ausstellerstation 1 in einem Speicher 7, beispiels­ weise einem EPROM gespeichert sind.

Wie bereits oben angegeben, ist die herkömmliche Aussteller­ station 1 gemäß Fig. 1 anfällig für die Ausstellung von ge­ fälschten IC-Karten durch unehrliche Bediener. Genauer gesagt, der elektronische Schlüssel 2 kann gestohlen oder kopiert werden. Außerdem können gefälschte IC-Karten hergestellt und von dem Kartenausstellersystem von betrügerischen Bedienern aktiviert werden, die mit den Fälschern zusammenarbeiten.

Gemäß der Erfindung werden solche herkömmlichen Sicherheits­ probleme überwunden mit einer IC-Karten-Ausstellerstation, die eine Kennummer oder Kontonummer nur dann in eine IC-Karte einschreibt, wenn die Daten, die vom gesicherten Hersteller und den Ausstellerquellen empfangen werden, mit den Identifizierungscodes des Herstellers und des Ausstellers in der Ausstellerstation übereinstimmen. Vor dem Verlassen der Herstellerkontrolle wird der Speicher, der in jede IC-Karte integriert ist, mit einem Herstellercode versehen.

In komplementärer Weise ist die Ausstellerstation mit einem Speicher versehen, der einen Aussteller-Identifizierungscode enthält. Damit die Ausstellerstation eine Kennummer oder Kontonummer in eine gewählte IC-Karte einschreiben kann, müssen die Daten, die von dem gesicherten Hersteller und den Ausstellerquellen geliefert werden, eine Codeüberein­ stimmung der Codes ergeben, die sowohl in den Speichern der IC-Karte als auch denen der Ausstellerstation enthalten sind. Wenn beide Codes nicht übereinstimmen, wird die Aussteller­ station die Ausstellung der IC-Karte durch Einschreiben einer Kennummer oder Kontonummer in den eingebauten Speicher nicht ermöglichen.

Im folgenden wird auf die Ausführungsform gemäß Fig. 2 Bezug genommen. Wenn ein Aussteller einem Hersteller einen Auftrag für die IC-Karte 3 gibt, wird ein Herstellercode in einen Speicher 8 eingegeben, der in die IC-Karte 3 einge­ baut oder integriert ist. Der Herstellercode wird auch in einen externen Speicher 9 eingegeben, der sich in einem ersten gesicherten Bereich 10 befindet, vorzugsweise am Ort des Herstellers und in einem verschlüsselten Format.

Ein zweiter gesicherter Bereich 11, vorzugsweise eine Kontroll­ station, die sich auf dem Grund und Boden des Ausstellers befindet, enthält einen Speicher 12, der einen Aussteller- Identifizierungscode enthält. Im Gegensatz zu dem herkömmlichen System gemäß Fig. 1 wird der Aussteller-Identifizierungscode in dem zweiten gesicherten Bereich 11 gehalten und mit einer Ausstellerstation 1 über einen Übertragungsweg 12a verbunden. Der Übertragungsweg 12a kann zwischen komplementären Sendern und Empfängern 13 bzw. 14 im zweiten gesicherten Bereich 11 bzw. der Ausstellerstation 1 fest verdrahtet sein oder von einer Telefonverbindung gebildet werden, die zwischen Modems an beiden Enden des Übertragungsweges hergestellt wird. Ein in die Ausstellerstation 1 eingebauter Speicher 15 enthält einen Aussteller-Identifizierungscode, der komplementär zu demjenigen ist, der in dem Speicher 12 im zweiten ge­ sicherten Bereich 11 gespeichert ist.

Wenn die IC-Karte 3 auszustellen ist, steckt der Bediener die IC-Karte in eine Lese/Schreibeinheit 16 herkömmlicher Bauart.

Der Bediener gibt dann eine Anfrage zum Verwalter des zweiten gesicherten Bereiches 11, um die Ausstellerstation 1 freizu­ geben. Auf diese Anfrage hin nimmt der Verwalter Kontakt mit dem Hersteller auf, um die Übertragung des Hersteller- Identifizierungscodes vom Speicher 9 des ersten gesicherten Bereiches 10 zur Ausstellerstation 1 über einen Übertragungs­ weg 17 einzuleiten.

Dabei ist ins Auge gefaßt, die Übertragung des Hersteller- Identifizierungscode vom ersten gesicherten Bereich 10 mittels eines Dialoges über normale Telefonleitungen zwischen den Verwaltern der beiden gesicherten Bereiche 10 und 11 einzu­ leiten; alternativ dazu kann dies voll automatisch abgewickelt werden, ohne eine menschliche Beteiligung zu erfordern. Die Sicherheitsüberlegungen der speziellen Anwendungsfälle der Erfindung werden die Bauformen der Datenübertragungsnetze bestimmen, die zur Einleitung der Übertragung des Hersteller­ codes gewünscht sind.

Bei der dargestellten Ausführungsform wird der Hersteller- Identifizierungscode übertragen, wenn ein Sender 18 innerhalb des ersten gesicherten Bereiches 10 getastet wird. Der fest verdrahtete Übertragungsweg 17 gibt den Hersteller- Identifizierungscode über einen Empfänger 19 in der Ausstellerstation 1 zur Lese/Schreibeinheit 16. Umgekehrt wird der Code von der Lese/Schreibeinheit 16 über eine Schnittstelle 21 herkömmlicher Bauart dem Mikroprozessor 2 in der IC-Karte 3 zugeführt.

Gemäß der Programmsteuerung sendet der Mikroprozessor 20 die von dem ersten gesicherten Bereich 10 empfangenen Daten zu einem Decodierer 22, der in die IC-Karte 3 eingebaut ist. Der Decodierer 22 entschlüsselt den Hersteller-Identifizierungs­ code. Er wird dann einem in die IC-Karte 3 eingebauten Komparator 23 über einen Datenbus 24 zugeführt. Weiterhin werden dem Komparator 23 die Daten zugeführt, die in dem eingebauten Speicher 8 gespeichert sind. Wenn der Komparator 23 eine Übereinstimmung zwischen dem Hersteller-Identifizierungs­ code und den Daten von dem Speicher 8 feststellt, wird ein erstes Freigabesignal E 1 von dem Komparator 23 über die Schnittstelle 21 und die Lese/Schreibeinheit 16 der Aussteller­ station 1 geliefert.

Wie für den Fachmann für IC-Karten ersichtlich, ist die Architektur der in die IC-Karte 3 eingebauten Elektronik auf Mikroprozessorbasis von herkömmlicher Bauart. Obwohl der Komparator 23 und der Decodierer 22 als Einrichtungen separat vom Mikroprozessor 20 dargestellt sind, ist klar, daß sie üblicherweise von Registern gebildet werden, die innerhalb des Mikroprozessors vorgesehen und unter dessen Programm­ steuerung betrieben werden.

Weiterhin wird gemäß der Erfindung, wenn die Übertragung des Hersteller-Identifizierungscodes vom ersten gesicherten Bereich 10 eingeleitet wird, die Übertragung des Aussteller- Identifizierungscodes ebenfalls vom zweiten gesicherten Bereich 11 eingeleitet. Der Empfänger 14 überträgt den Aussteller- Identifizierungscode vom Übertragungsweg 12a zu einem Komparator 25, der in die Ausstellerstation 1 eingebaut ist. Im Komparator 25 wird der empfangene Aussteller-Identifizierungs­ code mit den Daten verglichen, die in dem eingebauten Speicher 15 enthalten sind. Wenn der Aussteller-Identifizierungscode und die gespeicherten Daten übereinstimmen, wird ein zweites Freigabesignal E 2 von dem Komparator 25 erzeugt.

Um festzustellen, wenn das erste und das zweite Freigabesignal E 1 und E 2 von ihren entsprechenden Komparatoren 23 und 25 erzeugt worden sind, wird eine logische UND-Funktion mit den Ausgangssignalen der Komparatoren 23 und 25 in der Freigabe­ schaltung 26 durchgeführt. Wenn beide Freigabesignale E 1 und E 2 vorhanden sind, aktiviert die Freigabeschaltung 26 die Lese/Schreibeinheit 16, um in Abhängigkeit von der Bediener­ eingabe der entsprechenden Nummer an der Tastatur 5 der IC-Karte 3 eine Kennummer oder Kontonummer zu liefern.

Bei der dargestellten Ausführungsform erhält ein UND-Gatter 27 mit zwei Eingängen die Ausgangssignale von der Tastatur 5 und der Freigabeschaltung 26. Bis eine Übereinstimmung des Hersteller- und des Aussteller-Identifizierungscodes fest­ gestellt wird, sperrt das Ausgangssignal von der Freigabe­ schaltung 26 das Gatter und verhindert, daß Tastaturdaten zur Lese/Schreibeinheit 16 gelangen. Um die Eingabe des Hersteller-Identifizierungscodes in die Lese/Schreibeinheit 16 zu ermöglichen, während die Tastatur 5 abgeschaltet ist, wird bei der dargestellten Ausführungsform ein ODER-Gatter 28 verwendet, welches die Ausgangssignale vom UND-Gatter 27 und dem Empfänger 19 erhält.

Bei Beendigung des Einschreibens der Kennummer oder der Kontonummer in den Speicher 8 der IC-Karte 3 steuert die Lese/Schreibeinheit 16 einen Sender 28a an, um ein Signal, das die Beendigung des Vorganges angibt, an den ersten und den zweiten geschützten Bereich 10 bzw. 11 zu senden. Die Lese/Schreibeinheit 16 kann den Sender in verschiedener Weise ansteuern.

Üblicherweise liefern die Ausstellersystem dem Bediener eine Anzeige, wenn das Einschreiben einer Kennummer oder einer Kontonummer in den eingebauten Speicher 8 erfolgreich beendet ist. Bei der dargestellten Ausführungsform ist auch in Betracht gezogen, daß dieses Eingabe-Verifizierungssignal verwendet wird, um den Sender 28a anzusteuern.

Der Empfang des Eingabe-Verifizierungssignals von dem Sender 28a durch die Empfänger 29 und 30 in dem ersten und dem zweiten geschützten Bereich 10 bzw. 11 ermöglicht es, eine Zählung der ausgestellten IC-Karten 3 in den gesicherten Bereichen des Herstellers und/oder des Ausstellers festzuhalten. Durch die Zuordnung eines spezifischen Hersteller-Identifizierungs­ codes zu jeder IC-Karte 3 kann das Signal, das von dem Sender 28a mit dem Empfänger 29 in dem ersten gesicherten Bereich 10 empfangen wird, verwendet werden, um anzuzeigen und aufzu­ zeichnen, daß eine ganz bestimmte IC-Karte 3 der an den Aussteller gelieferten IC-Karten aktiviert worden ist.

Aus der obigen Beschreibung ist klar, daß die Kontrolle der Freigabe einer IC-Karten-Ausstellerstation durch das Erforder­ nis, daß die Ausstellerstation in korrekter Weise die Codes zumindest von zwei unabhängigen gesicherten Bereichen identifiziert, dazu führt, daß eine gesicherte Aussteller­ station nicht anfällig ist für eine einfache Aktivierung mit gefälschten IC-Karten. Außerdem macht es das Erfordernis, daß eine Ausstellerstation zwei unabhängige Codes erkennt, extrem unwahrscheinlich, daß irgendjemand in erfolgreicher Weise nicht-autorisierte oder gefälschte Karten ausstellt. Durch Eingabe eines Codes in den Speicher der IC-Karte im Herstellungsbetrieb hat der Bediener der Ausstellerstation keine Möglichkeit, diesen Code zu kennen. In entsprechender Weise kennt niemand im gesicherten Bereich des Herstellers den Benutzercode.

Für den Fachmann ist einsichtig, daß der Speicher 8 in der IC-Karte 3, der den Hersteller-Identifizierungscode enthält, und der Speicher 15 in der Ausstellerstation 1, der den Benutzer-Identifizierungscode enthält, gegen Kopien geschützt werden können, um einen einfachen Zugriff zum Speicherinhalt zu verhindern.

Ein Beispiel eines einfachen Kopieschutzsystems ist der Einbau von nicht dargestellten Hardware- oder Softwarede­ codierern in das System, so daß die Codes in den Speichern 8 und 15 verschlüsselt werden können. Bei der dargestellten Ausführungsform wird der Hersteller-Identifizierungscode, der zum ersten gesicherten Bereich 10 übertragen wird, verschlüsselt, da der erste gesicherte Bereich 10 vorzugs­ weise entfernt angeordnet ist und der Übertragungsweg typischerweise die Verwendung von Telefonleitungen oder einer Hochfrequenzverbindung impliziert, die leicht angezapft werden können.

Claims (12)

1. System zur Ausstellung von gesicherten IC-Karten, die mit einem Identifizierungscode versehen werden, der nur bei Benutzung eines autorisierten Schlüssels in einer Ausstellerstation (1) auf die IC-Karte (3) übertragen werden und damit die IC-Karte (3) gültig machen kann,
gekennzeichnet durch

• - einen Herstellercode des Kartenherstellers, der in der IC- Karte (3) registriert ist und der zusätzlich von einem ersten gesicherten Bereich (10) zu der Ausstellerstation (1) übertragen wird,
• - eine erste Prüfeinrichtung (20-24), die auf den in der IC- Karte (3) registrierten Herstellercode anspricht und eine Einrichtung (19) in der Ausstellerstation (1) aufweist, um den Herstellercode vom Hersteller zu empfangen, wobei die erste Prüfeinrichtung (20-24) den empfangenen Code und den registrierten Herstellercode vergleicht und bei Übereinstimmung ein Berechtigungssignal (E1) für das Vorliegen einer berechtigten IC-Karte (3) erzeugt,
• - eine zweite Prüfeinrichtung (25), die einen Aussteller-Identifizierungscode von einem zweiten gesicherten Bereich (11) empfängt und den empfangenen Code mit einem Aussteller-Identifizierungscode vergleicht, der in einem Speicher (15) in der Austellerstation (1) gespeichert ist, wobei die zweite Prüfeinrichtung (25) bei Übereinstimmung der beiden Codes ein Ausstellerbefugnissignal (E2) erzeugt; und
• - eine Einrichtung (26, 27), die auf das Vorliegen des Berechtigungssignals (E1) für berechtigte Karten und des Ausstellerbefugnissignals (E2) für befugte Aussteller anspricht, um die Ausstellerstation (1) bei Vorliegen beider Signale freizugeben, so daß diese in der IC-Karte (3) Informationen aufzeichnen und damit die IC-Karte (3) ausstellen kann.

2. System nach Anspruch 1, dadurch gekennzeichnet, daß die erste Prüfeinrichtung (20-24) einen Decodierer (22) aufweist, der den Herstellercode in einer verschlüsselten Form von dem ersten gesicherten Bereich (10) empfängt.

3. System nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die erste Prüfeinrichtung (20-24) eine Vergleichseinrichtung (23) aufweist, die den in einem Speicher (8) der IC-Karte (3) gespeicherten Herstellercode mit dem empfangenen Herstellercode vergleicht.

4. System nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß der erste gesicherte Bereich (10) und der zweite gesicherte Bereich (11) getrennt von der Ausstellerstation (1) angeordnet und mit der Ausstellerstation (1) über erste und zweite Übertragungswege (17, 12a) verbunden sind.

5. System nach Anspruch 4, dadurch gekennzeichnet, daß der erste Übertragungsweg (17) einen Sender (18) im ersten gesicherten Bereich (10) und einen Empfänger (19) in der Ausstellerstation (1) und der zweite Übertragungsweg (12a) einen eigenen Sender (13) im zweiten gesicherten Bereich (11) und einen weiteren Empfänger (14) in der Ausstellerstation (1) aufweisen.

6. System nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die Ausstellerstation (1) eine Tastatur (5) aufweist und daß die Einrichtung (26, 27), die auf das Vorliegen des Berechtigungssignals (E1) und des Ausstellerbefugnissignals (E2) anspricht, eine Einrichtung (27) umfaßt, die die Tastatur (5) nur bei Vorliegen der beiden Signale (E1, E2) freischaltet.

7. System nach einem der Ansprüche 1 bis 6, gekennzeichnet durch eine Einrichtung (28a) in der Ausstellerstation (1), die nach erfolgreicher Beendigung der Ausstellung einer IC-Karte (3) ein Bestätigungssignal an den ersten und/oder den zweiten gesicherten Bereich (10, 11) liefert.

8. System nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß der erste gesicherte Bereich (10) und der zweite gesicherte Bereich (11) jeweils einen Speicher (9 bzw. 12) aufweisen, in denen der Herstellercode bzw. der Aussteller-Identifizierungscode gespeichert sind.

9. Verfahren zur Herstellung von gesicherten IC-Karten, die mit einem Identifizierungscode versehen werden, der nur bei Benutzung eines autorisierten Schlüssels in einer Ausstellerstation (1) auf die IC-Karte (3) übertragen werden und damit die IC-Karte (3) gültig machen kann, wobei die IC-Karten (3) an die Ausstellerstation (1) anschließbar sind,
gekennzeichnet durch folgende Schritte:

• - Verwenden einer IC-Karte (3), die einen registrierten Herstellercode trägt,
• - Eingeben eines Herstellercodes von einem ersten gesicherten Bereich (10) in die Ausstellerstation (1) und Vergleichen der beiden Herstellercodes in der angeschlossenen IC-Karte (3),
• - Abgeben eines Berechtigungssignals als erstes Freigabesignal (E1) von der IC-Karte (3) an die Ausstellerstation (1) nur dann, wenn Übereinstimmung der beiden Herstellercodes für das Vorliegen einer berechtigten IC-Karte (3) festgestellt worden ist,
• - Eingeben eines Aussteller-Identifizierungscodes von einem zweiten gesicherten Bereich (11) in die Ausstellerstation (1) und Vergleichen mit einem dort gespeicherten Aussteller- Identifizierungscode,
• - Abgeben eines Ausstellerbefugnissignals als zweites Freigabesignal (E2) nur dann, wenn Übereinstimmung der beiden Aussteller-Identifizierungscodes für das Vorliegen eines berechtigten Ausstellers festgestellt worden ist,
• - Freischalten der Ausstellerstation (1) nur dann, wenn gleichzeitig beide Freigabesignale (E1, E2) vorliegen, und
• - Eingeben des Identifizierungscodes in die IC-Karte (3) durch die Eingabeeinrichtung der Ausstellerstation (1).

10. Verfahren nach Anspruch 9, dadurch gekennzeichnet, daß der Herstellercode aus einem Speicher (9) des ersten gesicherten Bereiches (10) in verschlüsselter Form eingegeben wird.

11. Verfahren nach Anspruch 9 oder 10, dadurch gekennzeichnet, daß die Codes über separate Übertragungswege (17, 12a) von dem ersten bzw. dem zweiten gesicherten Bereich (10, 11) eingegeben werden.

12. Verfahren nach einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, daß nach erfolgreicher Beendigung der Ausstellung der IC-Karte (3) ein Eingabe-Verifizierungssignal geliefert und an einen oder beide der zwei gesicherten Bereiche (10, 11) gegeben wird.