DE3809795C2 - - Google Patents

Description

Die Erfindung betrifft ein Informationsübertragungssystem zum Austauschen von vertraulichen Informationen mit gesichertem Zugriff zwischen wenigstens zwei Kommunikationsteilnehmern.

Herkömmlicherweise hat man sehr vertrauliche Geschäftsinformationen von einem gesicherten Bereich zum anderen mit versiegelten Dokumenten und speziellen Kurieren transportiert. In jüngerer Zeit hat man Computer verwendet, um große Mengen von empfindlichen oder vertraulichen Informationen zwischen zwei gesicherten Bereichen zu übertragen, und zwar unter Verwendung eines Übertragungsmediums, wie z. B. mit Telefonleitungen.

Obwohl eine elektronische Datenverbindung, die zwei gesicherte Bereiche verbindet, in hohem Maße wirksam ist, um einen begrenzten Zugriff zu der übertragenen Information zu gewährleisten, stellt sie keine praktische Lösung für alle Situationen dar, die die gesicherte Übertragung von empfindlicher oder vertraulicher Information erfordern. Beispielsweise ist eine Computerverbindung starr und nicht in der Lage, sich mit einem befugten Benutzer zu bewegen, dessen tagtägliche Arbeit Geschäftsreisen zwischen vielen verschiedenen Orten mit sich bringt.

Ein anderes Beispiel ist eine Person, die im normalen Geschäftsablauf nur kleine Mengen an empfindlicher oder vertraulicher Information auf sporadischer Basis empfängt und bei der es nicht gerechtfertigt ist, die Kosten für einen gesicherten Bereich auf Computerbasis aufzuwenden, um die Information zu empfangen. Für diese Person wird empfindliche oder vertrauliche Information üblicherweise in versiegelten Umschlägen mit speziellen Kurieren zugestellt.

Unglücklicherweise ist es so, daß unabhängig davon, wie die Information in dem Umschlag aufgezeichnet ist, z. B. auf Papier gedruckt oder in einem elektronischen Medium, wie z. B. einer elektronischen Platte gespeichert, die Information der Gefahr des unbefugten Zugriffs unterliegt, und zwar einfach durch das Öffnen des Umschlags und visuelles oder elektronisches Lesen der Information.

Wenn die Information auf einer Magnetplatte aufgezeichnet ist, kann sie einfach in einen PC eingegeben werden, und unter Verwendung eines geeigneten Betriebssystems kann Zugriff zu den Daten genommen werden, auch wenn die Daten so formatiert sind, daß sie das Komplement zu einem speziellen Betriebssystem bilden, das nur begrenzten Zugriff zu den Plattendaten ermöglicht.

Somit besteht ein Bedarf an gesicherten Informationsübertragungssystemen, die nicht ohne weiteres durch spezielles Programmieren der Lese- und Schreibeinrichtungen gestört werden können.

Allgemein gesprochen, besteht ein Bedarf an Kommunikationssystemen zur Übermittlung von vertraulichen Informationen an befugte und autorisierte Benutzer in Umgebungen, die sich nicht für die Anwendung von elektronischen Datenverbindungen zur direkten, ungeschützten Verbindung von gesicherten Bereichen eignen.

Aus der US-PS 46 14 861 ist eine IC-Karte mit Mikroprozessor, Datenspeicher und Lese/Schreib-Einrichtung bekannt. Um Informationen aus dem Datenspeicher zu übertragen, wird zunächst eine Identifikationsnummer in den Mikroprozessor eingegeben, wobei die Information aus dem Speicher zur Lese/Schreib-Einrichtung nur dann übertragen wird, wenn das eingegebene Kennwort mit einem vorher im Speicher abgespeicherten Kennwort übereinstimmt. Verläuft diese Überprüfung positiv, wird die Information auf der Anzeigeeinheit zur Anzeige gebracht. Dabei geht es dort im wesentlichen darum, daß der Benutzer der IC-Karte den Nachweis erbringt, daß die von ihm benutzte Karte ihm auch tatsächlich gehört und er wirklich befugt ist, Transaktionen mit dieser Karte durchzuführen.

In der DE-Zeitschrift Siemens-Magazin COM 4/86, Seiten 19 und 20, sind IC-Karten angegeben, die im Zahlungsverkehr sowie bei Zugangskontrollen hohen Sicherheitsanforderungen genügen sollen. Zu diesem Zweck enthält eine intelligente IC-Karte zusätzliche logische Bauelemente, die den Zugriff zur IC-Karte kontrollieren und beispielsweise das Lesen oder Beschreiben von Speicherbereichen von einer vorherigen Prüfung abhängig machen, beispielsweise durch Prüfung einer persönlichen Identifikationsnummer. Als Anwendungsbereich ist dort die Medizin zum Sichern von persönlichen Daten bei der Diagnostik und Therapie angegeben. Als weiteres Anwendungsgebiet ist die Verwendung von IC-Karten als Kreditkarte angegeben.

Ähnliche IC-Karten sind auch aus der US-Zeitschrift IEEE spectrum 2/84, Seiten 43 bis 49, bekannt, wobei solche IC-Karten beispielsweise als Kredit-Telefonkarten oder als andere Geldkarten oder Kreditkarten verwendet werden. Auch dort ist die Benutzung der IC-Karte davon abhängig, daß das richtige Codewort eingegeben wird, beispielsweise eine persönliche Identifikationsnummer.

Die DE-OS 36 22 257 betrifft ein Personen-Identifikationssystem unter Verwendung von IC-Karten, wobei es um eine ganz spezielle Problematik geht, nämlich das Wiederfinden einer Personen- Identifikationskammer PIN, die nur der rechtmäßige Inhaber der IC-Karte kennt, und zwar für den Fall, daß dieser Eigentümer der IC-Karte seine eigene PIN vergessen hat.

Schließlich ist in der US-Zeitschrift IBM-TDB, Dezember 1981, Seiten 3883 bis 3884, eine IC-Karte angegeben, bei der zu den Speicherbereichen der IC-Karte nur dann Zugriff genommen werden kann, wenn beispielsweise eine persönliche Identifikationsnummer über ein Terminal eingegeben wird, mit dem die IC-Karte vorübergehend über ihre Kontakte verbunden ist. Erst wenn das eingegebene Kennwort mit dem abgespeicherten Kennwort übereinstimmt, können Transaktionen mit einer solchen IC-Karte durchgeführt werden. Wenn aber beispielsweise bei mißbräuchlicher Verwendung der IC-Karte nacheinander mehrere Fehlversuche beim Eingeben des Kennwortes auftreten, werden diese Fehlversuche mitgezählt und die IC-Karte gegebenenfalls dauerhaft unbrauchbar gemacht.

In den vorstehend genannten Druckschriften sind zwar Sicherheitsmaßnahmen vorgesehen, die sich auf die Benutzung der IC- Karte selbst beziehen, um mit ihr irgendwelche Transaktionen durchzuführen. Die Problematik eines raschen Informationsaustausches zwischen mehreren Teilnehmern über eine Datenleitung unter Aufrechterhaltung eines Höchstmaßes an Sicherheit ist dort nicht angesprochen.

Der Erfindung liegt daher die Aufgabe zugrunde, ein Kommunikationssystem zum Austauschen von vertraulichen Informationen anzugeben, bei dem ein rascher Informationsaustausch zwischen mindestens zwei Teilnehmern möglich ist und ein möglichst hohes Maß an Sicherheit bei der Informationsübermittlung gewährleistet bleibt, ohne einen komplizierten Systemaufbau zu erfordern.

Gemäß der Erfindung wird ein Kommunikationssystem zum Austauschen von vertraulichen Informationen mit gesichertem Zugriff zwischen wenigstens zwei Kommunikationsteilnehmern angegeben, bei dem zwei körperlich getrennte, erste und zweite IC-Karten als Informationsübermittlungsträger verwendet werden, die jeweils einen Mikroprozessor, einen Programmspeicher, Datenspeicher und einen Steuer/Datenbus zum Datenverkehr zwischen den vorgenannten Komponenten sowie eine Schnittstelle enthalten, so daß über Lese/Schraub-Einrichtungen in die IC-Karten eingeschrieben und aus den IC-Karten ausgelesen werden kann, wobei das Austauschen von vertraulichen Informationen folgende Schritte umfaßt:

• - Abspeichern von entsprechenden Kennwörtern zum Schreiben in bzw. zum Lesen aus den Datenspeichern der IC-Karten,
• - Abspeichern der zu übermittelnden Informationen im Datenspeicher der ersten IC-Karte durch den ersten Teilnehmer durch
  • - Eingeben des Schreibkennwortes in die erste IC-Karte,
  • - Vergleichen des eingegebenen Schreibkennwortes mit dem im Datenspeicher abgespeicherten Schreibkennwort und
  • - Übertragen von Informationen zum Datenspeicher nur dann, wenn das eingegebene Schreibkennwort mit dem im Datenspeicher abgespeicherten Schreibkennwort übereinstimmt,
• - Eingeben des Lesekennwortes in die erste IC-Karte durch den ersten Teilnehmer, um die Übertragung der Informationen aus dem Datenspeicher zu der Lese/Schreib-Einrichtung und über eine Datenverbindung nur dann zu ermöglichen, wenn das eingegebene Lesekennwort mit dem vorgegebenen, im Datenspeicher gespeicherten Lesekenwort übereinstimmt,
• - Abspeichern der übertragenen Informationen im Datenspeicher der zweiten IC-Karte durch den zweiten Teilnehmer durch
  • - Eingeben des Schreibkennwortes in die zweite IC-Karte,
  • - Vergleichen des eingegebenen Schreibkennwortes mit dem im Datenspeicher abgespeicherten Schreibkennwort und
  • - Übertragen der Information zum Datenspeicher nur dann, wenn das eingegebene Schreibkennwort mit dem im Datenspeicher abgespeicherten Schreibkennwort übereinstimmt,
• - Eingeben des Lesekennwortes in die zweite IC-Karte durch den zweiten Teilnehmer, um die Übertragung der Informationen von dem Datenspeicher der zweiten IC-Karte zu einer Anzeigeeinheit nur dann zu ermöglichen, wenn das eingegebene Lesekennwort mit dem vorgegebenen Lesekennwort übereinstimmt, das im Datenspeicher der zweiten IC-Karte gespeichert ist.

Mit dem erfindungsgemäßen System wird die Aufgabe in zufriedenstellender Weise gelöst. Trotz der Verwendung einer Datenverbindung zwischen Sender und Empfänger bleibt ein hohes Maß an Sicherheit gewährleistet, da sowohl das Senden als auch das Empfangen der Informationen davon abhängig sind, daß eine Reihe von Sicherheitskriterien erfüllt sind.

In Weiterbildung des erfindungsgemäßen Systems ist vorgesehen, daß das Lesekennwort und das Schreibkennwort, die in dem Datenspeicher der ersten IC-Karte und der zweiten IC-Karte gespeichert werden, mit der jeweiligen Lese/Schreib-Einrichtung eingegeben werden.

In Weiterbildung des erfindungsgemäßen Systems ist vorgesehen, daß der Schritt der Übertragung von Informationen von der jeweiligen Lese/Schreib-Einrichtung zum Datenspeicher den Schritt der Verschlüsselung von Informationen gemäß einem Codeschlüssel umfaßt, der von der jeweiligen Lese/Schreib-Einrichtung erzeugt wird. Bei einer derartigen Ausführungsform des erfindungsgemäßen Systems erweist es sich als zweckmäßig, wenn der Schritt der Übertragung von Informationen vom Datenspeicher zur jeweiligen Lese/Schreib-Einrichtung den Schritt der Eingabe des Codeschlüssels umfaßt, um die Informationen zu decodieren.

Auf diese Weise wird ein besonders hohes Maß an Sicherheit in Verbindung mit einer Datenverbindung zwischen dem Sender und dem Empfänger erzielt, denn die Information ist dann während ihrer Übertragung über eine Datenverbindung in einem verschlüsselten Format vorhanden, das nicht einfach übersetzt werden kann, wenn tatsächlich eine Anzapfung der Datenverbindung vorhanden sein sollte.

Bei einer speziellen Ausführungsform des erfindungsgemäßen Systems ist vorgesehen, daß die Lese/Schreib-Einrichtungen externe Einrichtungen sind und mindestens eine Tastatur zur Erzeugung der Informationen sowie eine Anzeigeeinheit enthalten, um die Informationen sichtbar zu machen. In diesen Fällen können die verwendeten IC-Karten einen einfachen Aufbau haben und benötigen weder eine eigene Tastatur noch eine eigene Anzeigeeinheit.

Bei einer speziellen Ausführungsform des erfindungsgemäßen Systems ist vorgesehen, daß die Datenverbindung zwischen zwei Lese/Schreib-Einrichtungen ein erstes Modem, einen Übertragungsweg und ein zweites Modem aufweist. Dabei kann dan ein ohnehin vorhandenes Kommunikationsnetz, insbesondere das Telefonnetz verwendet werden.

In Weiterbildung des erfindungsgemäßen Systems ist vorgesehen, daß die IC-Karten ein eigenes Tastenfeld sowie eine Anzeigeeinheit aufweisen, die an den Steuer/Datenbus angeschlossen sind. Derartige IC-Karten sind besonders vielseitig einsetzbar, so daß die entsprechenden Komponenten der Lese/Schreib- Einrichtungen nicht benutzt werden müssen.

Bei einer speziellen Ausführungsform des erfindungsgemäßen Systems ist vorgesehen, daß der Datenspeicher in mindestens eine Gruppe von festen Speicherfeldern für die Lese- und Schreibkennwörter und variablen Speicherfeldern für die vertraulichen Informationen unterteilt ist.

Bei einer speziellen Ausführungsform des erfindungsgemäßen Systems ist vorgesehen, daß der Datenspeicher in eine Vielzahl von Abschnitten unterteilt ist, die jeweils Speicherbereiche für ein Lesekennwort, ein Schreibkennwort sowie Informationen für verschiedene Benutzer aufweisen. Damit können derartige IC-Karten von einer Gruppe von Sendern bzw. von einer Gruppe von Empfängern benutzt werden, ohne daß die Sicherheit verringert wird, denn für jeden Abschnitt können zweckmäßigerweise eigene Kennworte vorgesehen werden. Dann haben nämlich die verschiedenen Benutzer nur zu begrenzten Abschnitten des Datenspeichers derselben IC-Karte Zugriff und können diese gemeinsam benutzen, dennoch sind die Informationen nur selektiv verwendbar.

Die Erfindung wird nachstehend anhand der Beschreibung von Ausführungsbeispielen und unter Bezugnahme auf die beiliegenden Zeichnungen näher erläutert. Die Zeichnungen zeigen in

Fig. 1 ein Blockschaltbild eines Kommunikationssystems;

Fig. 2 ein Flußdiagramm eines Steuerprogramms für ein in eine IC-Karte integriertes System auf Mikroprozessorbasis für das Kommunikationssystem;

Fig. 3 ein Blockschaltbild einer Ausführungsform gemäß der Erfindung;

Fig. 4 ein Blockschaltbild einer weiteren Ausführungsform einer IC-Karte für das Kommunikationssystem gemäß der Erfindung;

Fig. 5 eine bildliche Darstellung einer IC-Karte für die Ausführungsform gemäß Fig. 4; und in

Fig. 6 eine schematische Darstellung eines in eine IC-Karte eingebauten Speichers.

Im folgenden wird zunächst auf Fig. 1 Bezug genommen. Eine herkömmliche Lese/Schreibeinheit 11 als ein System auf Mikroprozessorbasis weist einen Mikroprozessor 13, einen Festwertspeicher oder ROM 15 und einen Speicher mit wahlfreiem Zugriff oder RAM 17 in einer herkömmlichen Schaltungsarchitektur mit einem Bus 19 auf. Wie an sich bekannt, weist die Lese/ Schreibeinheit 11 eine Schnittstelle 21 auf, die es dem Benutzer der Lese/Schreibeinheit 11 ermöglicht, mit einer IC-Karte 23 zu kommunizieren. Damit der Benutzer Information zu der IC-Karte 23 übertragen und Information von dieser empfangen kann, stehen eine Anzeige 25 und eine Tastatur 27 mit der IC-Karte 23 über einen Treiber 29 bzw. einen Eingangspuffer 31 in Verbindung, die in der Lese/Schreibeinheit 11 enthalten sind.

Information wird von der IC-Karte 23 von der Lese/Schreibeinheit 11 über eine herkömmliche eingebaute Schnittstelle 33 empfangen, die komplementär zur Schnittstelle 21 der Lese/Schreibeinheit 11 ausgebildet ist. Von der Schnittstelle 33 werden die Daten zu einem System auf Mikroprozessorbasis in der IC-Karte 23 übertragen, und zwar über einen Eingabe/Ausgabebus 42. Das System auf Mikroprozessorbasis umfaßt einen Mikroprozessor 35, der in die IC-Karte 23 integriert oder eingebaut ist und auf ein Steuerprogramm 37a anspricht, das in einem ROM 37 enthalten ist, um Information zu verarbeiten, zu speichern, zu übertragen und zu empfangen.

Um Information aus dem System auf Mikroprozessorbasis zu lesen bzw. in dieses einzuschreiben, erfordert die Systemarchitektur gemäß Fig. 1, daß die Daten den Mikroprozessor 35 durchlaufen. Um Daten zu speichern, umfaßt das System ferner einen RAM 39, der in die IC-Karte 23 integriert ist und der auf Steuerbefehle von dem Mikroprozessor 35 anspricht.

Das Steuerprogramm 37a des Mikroprozessors 35 unterteilt den RAM 39 in feste und variable Speicherfelder 39a bzw. 39b. Information im festen Speicherfeld 39a kann über den Mikroprozessor 35 dem Eingabe/Ausgabebus 42 geliefert werden. Für maximale Sicherheit kann das feste Speicherfeld 39a vom Hersteller vorher programmiert sein. Das feste Speicherfeld 39a wird jedoch vorzugsweise vom ursprünglichen Benutzer programmiert, wie es nachstehend näher erläutert ist.

Das feste Speicherfeld 39a des RAM 39 der IC-Karte 23 enthält ein Lesekennwort, das zu einem Kennwort passen muß, welches in die IC-Karte 23 mit der Tastatur 27 über eine Lese/Schreibeinrichtung, z. B. die Lese/Schreibeinheit 11 und den Eingabe/ Ausgabebus 42 eingegeben wird, bevor die Information, die in dem variablen Speicherfeld 39b des RAM 39 enthalten ist, von dem Mikroprozessor 35 zu der Lese/Schreibeinrichtung übertragen wird, um es für den Benutzer mit der Anzeige 25 zur Anzeige zu bringen.

Obwohl der Steuer/Datenbus 41, der den Mikroprozessor 35, den ROM 37 und den RAM 39 verbindet, von herkömmlicher Bauart ist, verhindert der Mikroprozessor 35 unter der Steuerung des Steuerprogrammes 37a normalerweise, daß Information im variablen Speicherfeld 39b des RAM 39 aus dem RAM 39 zur Lese/Schreibeinrichtung 11 ausgelesen wird. Das Steuerprogramm 37a fungiert als Betriebssystem für das integrierte System auf Mikroprozessorbasis, das von sämtlichen externen Eingängen und Eingaben isoliert ist und diese ignoriert, wenn nicht das richtige Kennwort präsentiert wird.

Somit kann zu der Information, die in dem variablen Speicherfeld 39b enthalten ist, nur von einem Benutzer Zugriff genommen werden, der unabhängige Kenntnis des Lesekennwortes hat. Vorzugsweise wird das Lesekennwort von einem ursprünglichen Benutzer eingegeben und danach vor jedem externen Zugriff geschützt und abgetrennt, und zwar mit geeigneten und herkömmlichen Schritten im Steuerprogramm 37a, um den Zugriff auf das feste Speicherfeld 39a zu begrenzen.

Um Information in das variable Speicherfeld 39b einzugeben, enthält das feste Speicherfeld 39a des RAM 39 in der IC-Karte 23 vorzugsweise ein Schreibkennwort, um Information in den RAM 39 einzuschreiben, sowie das Lesekennwort, um Information daraus auszulesen. In diesem Zusammenhang umfaßt das feste Speicherfeld 39a des RAM 39 einen Abschnitt, der ein Schreibkennwort enthält, das in den Speicher in gleicher Weise eingegeben wird wie das Lesekennwort.

Zur Erläuterung des Steuerprogramms 37a wird auf das Flußdiagramm in Fig. 2 Bezug genommen. Ein befugter ursprünglicher Benutzer erhält die IC-Karte und gibt Lese- und Schreibkennworte ein, die von dem Mikroprozessor 35 beim Schritt A in das feste Speicherfeld 39a eingegeben werden. Sobald die Kennworte einmal eingegeben worden sind, werden die Struktur des Steuerprogramms 37a und die Architektur des eingebauten Systems auf Mikroprozessorbasis es nicht ermöglichen, daß zu den Kennworten von einem Benutzer Zugriff genommen wird. Vorzugsweise wird die IC-Karte zu einem anderen befugten Benutzer geschickt, sobald die Kennworte eingegeben worden sind. Getrennt davon wird das Schreibkennwort auch dem anderen Benutzer zugeschickt.

Als Alternative kann ein noch sichereres System realisiert werden, wenn die Lese- und Schreibkennworte vom Hersteller in das feste Speicherfeld 39a eingegeben werden. Wenn die jeweilige IC-Karte verteilt wird, so teilt der Hersteller einem befugten Sender das Schreibkennwort und einem befugten Empfänger das Lesekennwort mit. Durch Realisierung des Systems in dieser Weise kennt keiner der befugten Benutzer beide Kennworte, was eine zusätzliche Sicherheitsmaßnahme darstellt.

Es ist vorgesehen, daß ein befugter Benutzer, der Kenntnis des Schreibkennwortes hat, entweder vom Hersteller oder einem ursprünglichen Benutzer das Kennwort der IC-Karte 23 über die Lese/Schreibeinrichtung präsentiert, welche die Tastatur 27, die Lese/Schreibeinheit 11 und den Eingabe/Ausgabebus 42 gemäß Fig. 1 umfaßt. Der in die IC-Karte 23 eingebaute Mikroprozessor 35 liest das Kennwort beim Schritt B und vergleicht es beim Schritt C mit dem Schreibkennwort, das im RAM 39 gespeichert ist.

Wenn der Vergleich eine Übereinstimmung ergibt, so geht das Steuerprogrmm 37a zum Schritt D weiter, wo der Mikroprozessor 35 feststellt, ob der Benutzer in den RAM 39 einschreiben oder aus diesem auslesen will. Wenn der Benutzer Daten einschreiben will, so führt das Steuerprogramm 37a einen Schritt E durch. Beim Schritt E ermöglicht es der Mikroprozessor 35 dem befugten Benutzer, Information über die Tastatur 27 in den RAM 39 einzugeben.

Wenn die Information auf diese Weise eingegeben worden ist, wird die IC-Karte 23 aus der Lese/Schreibeinheit 11 entfernt und dem Benutzer zurückgeschickt, der ursprünglich die Kennworte zum Lesen der Information aus der IC-Karte eingegeben hat. Die IC-Karte 23 kann mit allen herkömmlichen Mitteln geschickt werden, beispielsweise mit normaler Post oder kommerziellen Kurierdiensten.

Wenn die IC-Karte 23 vom ursprünglichen Benutzer empfangen worden ist, wird sie in eine herkömmliche Lese/Schreibeinheit gemäß Fig. 1 eingesteckt. Um Zugriff zu der Information zu erhalten, gibt der Empfänger ein Kennwort in den Mikroprozessor 35 des in die IC-Karte 23 eingebauten Systems auf Mikroprozessorbasis ein, und zwar mit der Tastatur 27, der Schnittstelle 33 und dem Eingabe/Ausgabebus 42. Wenn beim Schritt C das vom Empfänger eingegebene Kennwort mit dem Lesekennwort übereinstimmt, das vorher in dem RAM 39 in der IC-Karte 23 gespeichert worden ist, führt der Mikroprozessor 35 die Schritte D und F aus und liefert die in dem RAM 39 enthaltene Information dem Eingabe/Ausgabebus 42 zum Lesen durch die Lese/Schreibeinheit 11. Die Lese/Schreibeinheit 11 führt die Information der Anzeige 25 zu, um sie dem befugten Benutzer sichtbar zu machen.

Nachdem zu der Information Zugriff genommen und diese zur Anzeige gebracht worden ist, kann der Empfänger ein Sender werden, indem er zuerst dem eingebauten Mikroprozessor 35 über die Lese/Schreibeinheit 11, die Schnittstelle 33 und den Eingabe/Ausgabebus 42 ein Kennwort eingibt, das vom Mikroprozessor 35 beim Schritt B gelesen und beim Schritt C auf Übereinstimmung mit dem Schreibkennwort geprüft wird, das im RAM 39 gespeichert ist.

Wenn beim Schritt C eine Übereinstimmung festgestellt wird, werden die Informationsdaten, die von der Tastatur 27 erzeugt und in den Mikroprozessor 35 über den Eingabe/Ausgabebus 42 geliefert werden, in den RAM 39 eingegeben. Der Empfänger wird nun ein Sender und kann die IC-Karte 23 mit ihrer neuen Information entweder dem urpsrünglichen Sender an seinen Ort zurückschicken oder er kann sie demselben Sender an einem anderen Ort schicken oder an einem ganz anderen Ort einem noch anderen befugten Benutzer schicken.

Um die Möglichkeit der Verwendung einer elektronischen Aufnahme, z. B. unter Verwendung eines Zufallsgenerators, zu vermeiden, um die in der IC-Karte 23 enthaltene Information zu analysieren, kann das Steuerprogramm 37a einen Sperrvermerk beim Schritt G umfassen, so daß jedes Kennwort ignoriert wird, das während einer vorgegebenen Zeitspanne eingegeben wird, nachdem ein Kennwort eingegeben worden ist, das nicht mit dem abgespeicherten Kennwort übereinstimmt. Programmierbare Sperrvermerke dieser Art sind an sich bekannt und brauchen daher hier nicht im einzelnen erläutert zu werden.

Als weiteres Mittel zum Schützen der Information vor unbefugtem Zugriff umfaßt das vorstehend beschriebene System eine Verbesserung, die ein als Software ausgebildetes Codier-Decodierprogramm 37b umfaßt, das im ROM 37 gespeichert ist und einen Teil des Betriebssystems für das System auf Mikroprozessorbasis bildet, das in die IC-Karte 23 integriert ist. Nachdem ein befugter Benutzer das richtige Kennwort eingegeben hat, gibt der Benutzer mit dem Codier/Decodierprogramm 37b einen Codeschlüssel in die IC-Karte 23 über die Tastatur 27 ein.

Innerhalb der IC-Karte 23 führt der Mikroprozessor 35 das Codier/Decodierprogramm 37b durch, um die Information zu verschlüsseln und sie dann in den Speicher im RAM 39 einzugeben. Der Codeschlüssel wird von dem Codier/Decodierprogramm 37b als Teil des Algorithmus verwendet, der die gesicherte Information verschlüsselt und entschlüsselt. Um Zugriff zu der in der IC-Karte 23 gespeicherten Information in verständlicher Form zu nehmen, muß der Benutzer in gleicher Weise sowohl das richtige Lesekennwort als auch den richtigen Codeschlüssel eingeben. Für den Fachmann ist einsichtig, daß Variationen von herkömmlichen Softwarecodier- und -decodierprogrammen verwendet werden können, um dieses Merkmal zu realisieren.

In einigen Situationen ist es wünschenswert, für die Übertragung der Information an einem einzigen Tag oder sogar innerhalb von wenigen Stunden zu sorgen. Üblicherweise kann der normale Postversand oder Kurierdienst nicht für eine Zustellung am gleichen Tage sorgen. Gemäß der Erfindung kann ein Modem an die Lese/Schreibeinheit 11 gemäß Fig. 1 angeschlossen werden, um die Information auf elektronischem Wege an einen befugten Empfänger zu übertragen. Eine solche Ausführungsform ist zwar etwas weniger sicher ist als die oben beschriebene Ausführungsform, da beide Benutzer zwei Kennworte kennen müssen und eine elektronische Datenverbindung verwendet wird, jedoch ist diese Ausführungsform nützlich in Situationen, wo die Sicherheit in gewissem Umfang zugunsten der Schnelligkeit geopfert werden muß.

Fig. 3 zeigt ein System unter Verwendung von zwei Lese/Schreibeinheiten 11a und 11b, die über ein herkömmliches Paar von Modems 43a und 43b sowie einen Übertragungsweg 45, beispielsweise kommerzielle Telefonleitungen, miteinander verbunden sind. Um eine elektronische Übertragung gemäß dieser Ausführungsform der Erfindung auszuführen, gibt der Sender die Information in eine erste IC-Karte 23a über die Lese/Schreibeinheit 11a in der oben beschriebenen Weise ein. Um die Daten zu übertragen, gibt der Sender das Lesekennwort in die erste IC-Karte 23a ein und stellt damit die Daten für die Lese/Schreibeinheit 11a und das Modem 43a zur Verfügung. In an sich bekannter Weise überträgt das erste Modem 43a die Information über den Übertragungsweg 45 zum zweiten Modem 43b.

Vorzugsweise ist der zweite befugte Benutzer an dem Ort, der die zweite Lese/Schreibeinheit 11b enthält, vorher von der Übertragung der Information benachrichtigt worden. Dieser zweite Benutzer gibt ein Schreibkennwort in eine zweite IC-Karte 23b über eine der Lese/Schreibeinheit 11b zugeordnete Tastatur ein. Wie vorher im Zusammenhang mit Fig. 1 erläutert, vergleicht der in die zweite IC-Karte 23b eingebaute Mikroprozessor 35 das empfangene Kennwort mit dem gespeicherten Schreibkennwort und ermöglicht das Einschreiben von Information in das variable Speicherfeld 39b seines zugeordneten RAM 39 nur dann, wenn eine Übereinstimmung festgestellt wird.

Nimmt man an, daß der zweite Benutzer das richtige Schreibkennwort angibt, so wird die Information von dem Modem 43b zum RAM 39 der zweiten IC-Karte 23b über die Lese/Schreibeinheit 11b übertragen. Um die Information für den zweiten Benutzer sichtbar zu machen, muß er das richtige Lesekennwort in der oben beschriebenen Weise eingeben, damit der Mikroprozessor 35 in der zweiten IC-Karte 23b es zuläßt, daß die Information auf einer der Lese/Schreibeinheit 11b zugeordneten Anzeige zur Anzeige gebracht wird.

Da die Übertragung von Information über eine Übertragungsleitung, z. B. eine Telefonleitung, diese anfällig für das Anzapfen durch eine dritte Partei macht, wird die Information vorzugsweise mit einem Codeschlüssel in der oben beschriebenen Weise verschlüsselt. Genauer gesagt, wenn die Information aus der ersten IC-Karte 23a gelesen wird, wird sie dem Modem 43a in einer verschlüsselten Form zur Übertragung über den Übertragungsweg 45 zugeführt. Daher wird ein Codeschlüssel nicht eingegeben, wenn die Information von der ersten IC-Karte 23a gelesen wird. Nur die befugten Benutzer an den Sende- und Empfangsorten kennen den richtigen Codeschlüssel.

Als weitere Vereinfachung des gesamten Systems kann das Erfordernis einer externen Lese/Schreibeinrichtung zum Lesen bzw. Schreiben von Daten in eine und aus einer IC-Karte, wie z. B. eine herkömmliche Lese/Schreibeinheit und ein Eingabe/Ausgabebus, beseitigt werden, indem man Anzeige- und Eingabeeinrichtungen als integrale Teile der IC-Karte vorsieht.

Wie aus den Fig. 4 und 5 ersichtlich, steht eine Anzeigeeinheit 47, z. B. eine Flüssigkristallanzeige 49 gemäß Fig. 5 mit dem eingebauten Mikroprozessor 35 der IC-Karte 23′ über eine Lese/Schreibeinheit in Verbindung, die realisiert ist durch eine Erweiterung vom Steuer/Datenbus 41 und einen Treiber 51. In gleicher Weise ist eine Eingabeeinheit 55, die in die IC-Karte 23′ eingebaut ist, ebenfalls mit einer Erweiterung des Steuer/Datenbus 51 über einen Eingangspuffer 53 verbunden.

Wie in Fig. 5 dargestellt, kann die Eingabeeinheit 55 in Form einer Matrix von Tastenfeldern 55 mit einer ausreichenden Anzahl von Tastenfeldern 55 ausgebildet sein, um zu gewährleisten, daß sämtliche geeigneten Steuerbefehle und Informationen eingegeben werden können. Für eine maximale Vielseitigkeit umfaßt die IC-Karte 23′ gemäß Fig. 5 vorzugsweise eine herkömmliche Schnittstelle 33 sowie einen Eingabe/Ausgabebus 42 zum Anschließen der IC-Karte an die Lese/Schreibeinheit 11 gemäß Fig. 1.

Obwohl die Tastenfelder 55 und die Flüssigkristallanzeige 49 von dem Bus 41 bedient werden, kann das Steuerprogramm nicht erreicht werden, und es tritt kein Verlust von Kennworten oder Informationssicherheit auf. Für den Fachmann ist ersichtlich, daß jedoch ein Anwenderprogramm, wie z. B. das Codier/Decodierprogramm 37b unter Verwendung der Architektur gemäß Fig. 4 einem gewissen Risiko unterliegt. Ein solches Risiko kann ein akzeptabler Kompromiß für die Bequemlichkeit der eingebauten Dateneingabe und -ausgabe sein, in Abhängigkeit von der Umgebung, in der die IC-Karte Verwendung finden soll.

Als weitere Variation des oben beschriebenen Sicherheitssystems wird das Steuerprogramm 37a des Systems auf Mikroprozessorbasis in der IC-Karte 23 so modifiziert, daß es möglich ist, ein neues Lesekennwort über ein altes Lesekennwort in das feste Speicherfeld 39a des RAM 39 einzuschreiben, damit die IC-Karte zu vielen individuellen Benutzern geschickt werden kann, ohne daß es erforderlich ist, für die Fortpflanzung der Kenntnis eines einzigen Lesekennwortes zu sorgen, das im festen Speicherfeld 39a des RAM 39 enthalten ist. Ein solches alternatives System kann einfach dadurch in die Praxis umgesetzt werden, daß man das Steuerprogramm 37a so aufbaut, daß es auf einen vorgegebenen Eingabebefehl von der Tastatur 27 anspricht, um zu dem Schritt A zurückzukehren, nachdem ein erster Satz von Lese- und Schreibkennworten in das feste Speicherfeld 39a eingegeben worden sind. Nach der Rückkehr zum Schritt A werden neue Lese- und Schreibkennworte über die vorher eingegebenen Kennworte eingeschrieben.

Die Thematik einer größeren Anzahl von möglichen Benutzern beim erfindungsgemäßen System ist in Fig. 6 dargestellt, wobei das variable Speicherfeld 39a des RAM 39 in der IC-Karte 23 in eine Vielzahl von Abschnitten 57 unterteilt sein kann. Das Steuerprogramm 37a ermöglicht einem Benutzer den Zugriff nur zu dem Abschnitt 57, der ein Lese- oder Schreibkennwort enthält, welches mit dem vom Benutzer eingegebenen Kennwort übereinstimmt. Bei Verwendung einer solchen IC-Karte gemäß der Erfindung können eine Gruppe von Sendern und eine Gruppe von Empfängern die Karte so benutzen, daß für eine einzige Informationsübertragung unter Verwendung der Karte nur so wenige Personen wie ein einziger Sender und ein einziger Empfänger Zugriff haben. Während derselben Übermittlung der IC-Karte kann jedoch ein anderes Sender/Empfänger-Paar Informationen übertragen, ohne Kenntnis von der Information zu haben, die für das erste Sender/Empfänger-Paar zur Verfügung steht.

Die IC-Karte kann zuerst in einer ersten Gruppe von Benutzern zirkulieren, die Kennworte in der Weise eingeben, wie es im Zusammenhang mit Schritt A in Fig. 2 erläutert worden ist. Die IC-Karte wird dann einer zweiten Gruppe geschickt. Jedes Mitglied der zweiten Gruppe kennt ein Schreibkennwort, das von einem der Mitglieder der ersten Gruppe eingegeben wird. Um Information einzugeben, werden die gleichen Schritte wie in Fig. 2 ausgeführt mit dem in die IC-Karte eingebauten System auf Mikroprozessorbasis. Bei dieser Ausführungsform ist jedoch nur ein Abschnitt des variablen Speicherfeldes, das mit den Lese- und Schreibkennworten identifiziert wird, für die Information verfügbar. Das Lesen der Information wird in gleicher Weise ausgeführt, wie es im Zusammenhang mit Fig. 1 und 2 erläutert worden ist.

Es erscheint einsichtig, daß das Lese- und das Schreibkennwort für die jeweiligen IC-Karten die gleichen sein können. Bei einer weiteren Vereinfachung des Systems kann der Codeschlüssel auch die gleiche Datenfolge haben, wie sie die Kennworte aufweisen.

Claims (9)

1. Kommunikationssystem zum Austauschen von vertraulichen Informationen mit gesichertem Zugriff zwischen wenigstens zwei Kommunikationsteilnehmern, bei dem zwei körperlich getrennte, erste und zweite IC-Karten (23a, 23b) als Informationsübermittlungsträger verwendet werden, die jeweils einen Mikroprozessor (35), einen Programmspeicher (37), Datenspeicher (39; 39a, 39b) und einen Steuer/Datenbus (41) zum Datenverkehr zwischen den vorgenannten Komponenten sowie eine Schnittstelle (33) enthalten, so daß über Lese/Schreib-Einrichtungen (11a, 11b) in die IC-Karten (23a, 23b) eingeschrieben und aus den IC-Karten (23a, 23b) ausgelesen werden kann, wobei das Austauschen von vertraulichen Informationen folgende Schritte umfaßt:

• - Abspeichern von entsprechenden Kennwörtern zum Schreiben in bzw. zum Lesen aus den Datenspeichern (39a) der IC-Karten (23a, 23b),
• - Abspeichern der zu übermittelnden Informationen im Datenspeicher (39b) der ersten IC-Karte (23a) durch den ersten Teilnehmer durch
  • - Eingeben des Schreibkennwortes in die erste IC-Karte (23a),
  • - Vergleichen des eingegebenen Schreibkennwortes mit dem im Datenspeicher (39a) abgespeicherten Schreibkennwort und
  • - Übertragen von Informationen zum Datenspeicher (39b) nur dann, wenn das eingegebene Schreibkennwort mit dem im Datenspeicher (39a) abgespeicherten Schreibkennwort übereinstimmt,
• - Eingeben des Lesekennwortes in die erste IC-Karte (23a) durch den ersten Teilnehmer, um die Übertragung der Informationen aus dem Datenspeicher (39b) zu der Lese/Schreib- Einrichtung (11a) und über eine Datenverbindung (43a, 45, 43b) nur dann zu ermöglichen, wenn das eingegebene Lesekennwort mit dem vorgegebenen, im Datenspeicher (39a) gespeicherten Lesekennwort übereinstimmt,
• - Abspeichern der übertragenen Informationen im Datenspeicher (39b) der zweiten IC-Karte (23b) durch den zweiten Teilnehmer durch
  • - Eingeben des Schreibkennwortes in die zweite IC-Karte (23b),
  • - Vergleichen des eingegebenen Schreibkennwortes mit dem im Datenspeicher (39a) abgespeicherten Schreibkennwort und
  • - Übertragen der Information zum Datenspeicher (39b) nur dann, wenn das eingegebene Schreibkennwort mit dem im Datenspeicher (39a) abgespeicherten Schreibkennwort übereinstimmt,
• - Eingeben des Lesekennwortes in die zweite IC-Karte (23b) durch den zweiten Teilnehmer, um die Übertragung der Informationen von dem Datenspeicher (39b) der zweiten IC-Karte (23b) zu einer Anzeigeeinheit nur dann zu ermöglichen, wenn das eingegebene Lesekennwort mit dem vorgegebenen Lesekennwort übereinstimmt, das im Datenspeicher (39a) der zweiten IC-Karte (23b) gespeichert ist.

2. System nach Anspruch 1, dadurch gekennzeichnet, daß das Lesekennwort und das Schreibkennwort, die in dem Datenspeicher (39a) der ersten IC-Karte (23a) und der zweiten IC-Karte (23b) gespeichert werden, mit der jeweiligen Lese/ Schreib-Einrichtung (11a, 11b) eingegeben werden.

3. System nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß der Schritt der Übertragung von Informationen von der jeweiligen Lese/Schreib-Einrichtung (11a, 11b) zum Datenspeicher (39b) den Schritt der Verschlüsselung von Informationen gemäß einem Codeschlüssel umfaßt, der von der jeweiligen Lese/Schreib- Einrichtung (11a, 11b) erzeugt wird.

4. System nach Anspruch 3, dadurch gekennzeichnet, daß der Schritt der Übertragung von Informationen vom Datenspeicher (39b) zur jeweiligen Lese/Schreib-Einrichtung (11a, 11b) den Schritt der Eingabe des Codeschlüssels umfaßt, um die Informationen zu decodieren.

5. System nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Lese/Schreib-Einrichtungen (11a, 11b) externe Einrichtungen sind und mindestens eine Tastatur (27) zur Erzeugung der Informationen sowie eine Anzeigeeinheit (25) enthalten, um die Informationen sichtbar zu machen.

6. System nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die Datenverbindung (43a, 45, 43b) zwischen zwei Lese/ Schreib-Einrichtungen (11a, 11b) ein erstes Modem (43a), einen Übertragungsweg (45) und ein zweites Modem (43b) aufweist.

7. System nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß die IC-Karten (23′) ein eigenes Tastenfeld (55) sowie eine Anzeigeeinheit (47, 49) aufweisen, die an den Steuer/Datenbus (41) angeschlossen sind.

8. System nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß der Datenspeicher (39; 39a, 39b) in mindestens eine Gruppe von festen Speicherfeldern (39a) für die Lese- und Schreibkennwörter und von variablen Speicherfeldern (39b) für die vertraulichen Informationen unterteilt ist.

9. System nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, daß der Datenspeicher (39) in eine Vielzahl von Abschnitten (57) unterteilt ist, die jeweils Speicherbereiche für ein Lesekennwort, ein Schreibkennwort sowie Informationen für verschiedene Benutzer aufweist.