DE3927270A1 - Verfahren zum personalisieren von chipkarten - Google Patents

Description

Die Erfindung betrifft ein Verfahren zum Personalisieren von Chipkarten.

Es ist aus der Zeitschrift Telecom report 12 (1989), Heft 1-2, S. 56 bis 58 bereits ein Stand der Technik bekannt, gemäß dem die Personalisierung von Chipkarten zentral in einer gesicherten Umgebung erfolgt. Bei diesem Vorgang werden bereits die endgültigen Personalisierungsdaten in den Chip der Karte eingeschrieben.

Die Freigabe der Chipkarte erfolgt später durch Eingabe der persönlichen Identifikationsnummer (PIN) durch den Benutzer.

Nachteilig bei diesem Stand der Technik ist, daß bereits beim zentralen Personalisieren die vollständigen Daten des späteren Benutzers vorliegen müssen.

Aufgabe der Erfindung ist es, den Personalisierungsvorgang dezentral durchführen zu können ohne eine Verringerung des hohen Sicherheitsstandards in Kauf nehmen zu müssen.

Diese Aufgabe wird durch den kennzeichnenden Teil des Haupt­ anspruches gelöst.

Vorteilhafte Ausgestaltungen der Erfindung sind in den Unter­ ansprüchen näher aufgeführt.

Ein Vorteil der Erfindung besteht darin, daß nach dem erfindungsgemäßen Verfahren vorpersonalisierte Chipkarten bei Antragstellung eines zukünftigen Benutzers diese Karten dezentral in einer ungeschützten Umgebung selbstpersonalisiert und sofort an diesen Benutzer ausgegeben werden können und somit gegenüber dem Verfahren gemäß dem Stand der Technik unumgängliche Wartezeiten entfallen.

Nebenbei kann vorteilhaft eine bereits vorhandene Infrastruktur, wie z. B. Bankfilialen, Postämter usw. bei der Abwicklung des Verfahrens gemäß der Erfindung voll einbezogen werden.

Weiterhin ist von Vorteil, daß bei dem endgültigen Personalisierungsvorgang keine geheimen Daten die Chipkarte verlassen, genausowenig geheime oder sensible Daten in die Karte geschrieben werden.

Beispiele der Erfindung werden anhand der Zeichnung näher erläutert.

Es zeigt die Fig. 1 den Stand der Technik der Personalisierung, die Fig. 2 das Grundprinzip der Vorpersonalisierung, die Fig. 3 die Vorpersonalisierung mit einem zusätzlichen symmetrischen Transportschlüssel und die Fig. 4 die endgültige Personalisierung (Selbstpersonali­ sierung) einer Chipkarte.

Wie Fig. 1 zeigt, werden nach der individuellen Erzeugung eines symmetrischen Schlüssels K und nach dem Eingang der Identitätsdaten eines am Chipkartenverfahren zukünftig teilnehmenden Kunden dessen individueller Schlüssel K und der Name der Teilnehmer (Kunden) A in eine freie Chipkarte 2 beim Personalisierungsvorgang eingeschrieben. Gleichzeitig wird in einem Register 3 der Name des Teilnehmers A als Zugangsbe­ rechtigung abgelegt.

Diese Vorgänge finden zentral in einem gesicherten Bereich 1 statt. Erst nach der vollständigen und endgültigen Personalisierung kann die Chipkarte 2 diesen gesicherten Bereich 1 verlassen und der Versand der Karte an den Teilnehmer erfolgen.

Von diesem Stand der Technik unterscheidet sich das erfindungs­ gemäße, in Fig. 2 prinzipiell gezeigte Verfahren der Vorperso­ nalisierung dadurch, daß die Identitätsdaten des zukünftigen Teilnehmers noch nicht bekannt sind und stattdessen eine Pseudo-Identität X erzeugt wird, die mit dem zugehörigen Schlüssel K in die Chipkarte 2 eingeschrieben wird. Diese Pseudo-Identität X wird in einem Register 3 abgelegt. Nach dieser Vorpersonalisierung kann die Chipkarte 2 den gesicherten Bereich 1 verlassen und in Bankfilialen oder Postämter bevor­ ratet werden.

Beantragt ein zukünftiger Teilnehmer eine Chipkarte, so wird in der Filiale oder dem Amt als Selbstpersonalisierer die Pseudo- Identität X mit dem Namen des Teilnehmers A überschrieben und dieser Teilnehmername über eine gesicherte Kommunikationsver­ bindung zum gesicherten Bereich 1 in dem Register 3 der Pseudo- Identität X eindeutig zugeordnet.

Die Fig. 3 zeigt den Vorgang der Vorpersonalisierung unter Verwendung eines zusätzlichen symmetrischen Transport­ schlüssels t der mit dem individuellen (symmetrischen) Schlüssel K und der Pseudo-Identität X innerhalb des gesicherten Bereichs 1 in die Chipkarte 2 eingegeben wird.

Dieser Transportschlüssel t wird für die gesicherte Kommunikation während des Selbstpersonalisierungsvorgangs zwischen der Kartenausgabestelle und dem gesicherten Bereich (in Fig. 2) benötigt.

Die in Fig. 4 gezeigte Selbstpersonalisierung in der Kartenausgabestelle läuft in folgenden Schritten ab: Der Teilnehmer gibt seinen Namen A über ein Terminal 5 ein. Eine berechtigte Person, wie z. B. ein Bankangestellter oder ein Postbeamter als Personalisierer leitet den Selbstpersonali­ sierungsvorgang durch die Eingabe seiner eigenen Berechtigungskarte 4 ein. Diese Berechtigungskarte 4 berechnet anschließend aus dem Namen des Teilnehmers A, der in der Berechtigungskarte 4 abgespeicherten Kennung pi und den ebenfalls abgespeicherten Namen Pi des Personalisierers eine Berechtigungskennung pi(A, Pi), die an die vorpersonalisierte Chipkarte 2 mit dem zusätzlich eingegebenen Namen des Personalisierers Pi weitergeleitet wird.

Innerhalb der Chipkarte 2 wird aus dem Namen des Personalisierers Pi, dem Namen des Teilnehmers A, der Pseudo- Identität X, der aktuellen Zeit h, und der Berechtigungs­ kennung pi (A, Pi) mittels des Transportschlüssels t eine erste Datenfolge t(Pi, A, X, h, pi(A, Pi)) errechnet, die dem gesicherten Bereich 1 übermittelt wird.

Im gesicherten Bereich 1 sind der Transportschlüssel t, der Name der Personalisierers Pi, die Kennung des Personalisierers pi und die Pseudo-Identität X der Chipkarte 2 bekannt. Somit kann aus dieser ersten Datenfolge der Name des Teilnehmers A und zusätzlich zum Vergleich mit den hier bekannten Daten der Name des Personalisierers Pi und die Pseudo-Identität X errechnet werden. Durch einen weiteren Rechenvorgang wird auch die Berechtigungskennung pi(A, Pi) neu erzeugt und überprüft. Sind die Prüfungsergebnisse positiv, so wird mittels des Transportschlüssels t aus der Berechtigungskennung pi(A, Pi) und der Pseudo-Identität X eine zweite Datenfolge t(pi(A, Pi), X) erzeugt und als Bestätigung dem Terminal 5 der Kartenausgabe­ stelle und somit auch der dort befindlichen Chipkarte 2 übermittelt.

Gleichzeitig wird in dem Register der Name des Teilnehmers A der Pseudo-Identität X fest zugeordnet.

Innerhalb der Chipkarte 2 wird abermals die Berechtigungs­ kennung pi(A, Pi) errechnet und mit der dort noch gespeicherten Kennung verglichen. Ist dieser Prüfungsvorgang abgeschlossen, so tauscht die Chipkarte die Pseudo-Identität X mit dem Namen des Teilnehmers A und löscht den Transportschlüssel t und die Berechtigungskennung pi(A, Pi). In der Chipkarte 2 sind also nach der erfolgten Selbstpersonalisierung nur noch der Name des Teilnehmers A und der zugehörige individuelle Schlüssel K abgespeichert und die Karte kann dem Teilnehmer ausgehändigt werden.

Vorzugsweise ist die Berechtigungskennung pi(A, Pi) eine Einwegfunktion, welche die geheime Kennung pi des Personalisierers beinhaltet. Der Name des Personalisiers Pi kann auch als Codewort in der Berechtigungskarte 4 abgespeichert und/oder in die Chipkarte eingegeben werden.

Wird statt eines symmetrischen Chiffrierverfahrens mit einem individuellen Schlüssel ein asymmetrisches Verfahren gewählt, bei dem ein geheimer und ein öffentlicher Schlüssel als komplementäres Paar verwendet wird, so werden bereits bei der Vorpersonalisierung beide Schlüssel in die Chipkarte abgespeichert und während oder nach der Selbstpersonalisierung nicht gelöscht. Ansonsten unterscheidet sich diese Variante nicht von dem Verfahren mit einem symmetrischen Schlüssel.

Claims (5)

1. Verfahren zum Personalisieren von Chipkarten bei dem der Name des Teilnehmers und ein zugehöriger individueller Schlüssel in die Chipkarte abgespeichert werden und der Name des Teilnehmers in ein Register abgelegt wird, dadurch gekennzeichnet, daß in einem gesicherten Bereich (1) die Chipkarte (2) statt mit dem Namen des Teilnehmers (A) mit einer Pseudo- Indentität (X) vorpersonalisiert wird und diese Pseudo- Indentität (X) in dem Register (3) abgelegt wird und daß erst nach Verlassen der Chipkarte (2) des gesicherten Bereichs (1) in einer Kartenausgabestelle zur Selbstpersonalisierung die Pseudo-Identität (X) mit dem Namen des Teilnehmers (A) überschrieben wird und daß dieser Name über eine gesicherte Kommunikationsverbindung zum gesicherten Bereich (1) der Pseudo-Identität im Register (3) fest zugeordnet wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß während der Vorpersonalisierung zusätzlich ein Transport­ schlüssel (t) für die Kommunikationsverbindung in die Chipkarte (2) eingegeben wird und daß dieser Transport­ schlüssel (t) nach der Selbstpersonalisierung gelöscht wird.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß mittels einer Berechtigungskarte (4) eines zugelassenen Personalisierers in der Kartenausgabestelle aus dem Transportschlüssel (t), dem Namen des Personalisierers (Pi), dem Namen des Teilnehmers (A), der Pseudo-Identität (X), der aktuellen Zeit (h) und einer, aus einer geheimen Kennung des Personalisierers (pi), dem Namen des Teilnehmers (A) und dem Namen des Personalisierers (Pi) errechneten Berechtigungs­ kennung (pi(A, Pi)) eine erste Datenfolge als Kommunika­ tionsverbindung errechnet wird, aus der im gesicherten Bereich (1) der Name des Teilnehmers (A) rückgerechnet wird.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß aus dem Transportschlüssel (t), der Berechtigungskennung (pi(Pi, A) und der Pseudo-Identität (X) innerhalb des ge­ sicherten Bereichs (1) eine zweite Datenfolge errechnet wird und als Teil der Kommunikationsverbindung der Kartenausgabe­ stelle zugeht und dort der Überprüfung der gesamten Kommunikationsverbindung auf Übertragungsfehler dient.

5. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der individuelle Schlüssel (K) ein asymmetricher Schlüssel, bestehend aus einem geheimen und einem öffentlichen Schlüssel ist.