DE3927270C2

DE3927270C2 - Verfahren zum Personalisieren von Chipkarten

Info

Publication number: DE3927270C2
Application number: DE19893927270
Authority: DE
Inventors: Klaus-Dieter Wolfenstetter; Bernd Dipl Ing Kowalski
Original assignee: Deutsche Telekom AG
Current assignee: Deutsche Bundespost Telekom
Priority date: 1989-08-18
Filing date: 1989-08-18
Publication date: 1996-07-11
Anticipated expiration: 2009-08-19
Also published as: DE3927270A1

Description

Die Erfindung bezieht sich auf ein Verfahren zum Persona lisieren von Chipkarten entsprechend dem Oberbegriff des Anspruch 1 welches für die Bearbeitungsvorgänge von der Herstellung bis zur Ausgabe von Chipkarten für gesicherte Bank- und Warengeschäfte, sowie für Depot- und Informa tionszugriff mittels solcher Karten geeignet ist.

Ein derartiges Verfahren ist in der Zeitschrift Telekom report 12 (1989), Heft 1-2, S. 56 bis 58 beschrieben. Dabei erfolgt die Personalisierung in den Chip der Chipkarten zentral in einem gesicherten Bereich einschließlich der endgültigen Personalisierungsdaten.

Da die Herstellung der Chipkarten für verschiedene Anwender bei einem Hersteller erfolgen kann, der nicht mit dem Institut identisch ist, welche solche Chipkarten an seine Teilnehmer verteilt, ist es auch bekannt (DE 27 38 1139) die Chipkarten zur Sicherung des Transportes zunächst mit einem Pseudonamen zu versehen, der später im geschützten Bereich der zentralen Kartenausgabestelle des ausgebenden Instituts mit dem Namen des Teilnehmers überschrieben wird. Es ist dabei naheliegend, dort die Zuordnungen von Pseudo- und Teilnehmernamen in einem Register zu speichern.

Zur Sicherung des Transportes der Chipkarten zwischen Her stellern und zu den Ausgabeinstituten ist es auch bekannt (DE 35 23 237), zusätzlich noch einen Transportschlüssel während der Vorpersonalisierung in die Chipkarte einzuge ben, welcher erst den Zugang zum Sperrbereich ermöglicht und bei Mißbrauch und falscher Eingabe eine Sperrung oder die Unbrauchbarkeit der Chipkarte veranlaßt. Der Transport schlüssel kann, damit er für den Teilnehmer nicht erkennbar oder hinderlich wird, vor der Kartenausgabe auch gelöscht werden.

Für den Schutz vor Mißbrauch der Chipkarten durch einen Teilnehmer, Finder oder Entwender dienen, nach deren Aus gabe, dem üblichen individuellen Schlüssel, den der Teil nehmer auf getrenntem Transportwege erhält, auch verschie dene zusätzliche Maßnahmen für die Sicherung vor Manipula tion und Duplizierung von Chipkarten (DE 31 03 514) durch verschlüsselte Datenfolgen, insbesondere in von außen nicht zugänglichen Bereichen oder durch Zufallszahlen für die In formationsübermittlungen (DE 31 22 534).

Ein wesentlicher Nachteil der bekannten Verfahren zum Per sonalisieren von Chipkarten bis zu deren Ausgabe an den Teilnehmer besteht darin, daß der Name des Teilnehmers zu nächst zum geschützten Bereich des ausgebenden Instituts zu übermitteln ist, da er dort zum Personalisieren benötigt wird und daß danach sowohl die Chipkarte als auch der zuge hörige individuelle Schlüssel auf relativ unsicheren Wegen zum Teilnehmer transportiert werden müssen. Es ist nämlich nicht völlig sicher auszuschließen, daß beide Wege zum gleichen Briefkasten führen und Chipkarte und individueller Schlüssel in unbefugten Besitz geraten. Die meist großen Abstände zwischen ausgebendem Institut und Teilnehmer er fordern solche langen unsicheren Wege und vielfach akzep tanzunfreundliche Wartezeiten zwischen Chipkartenbedarf und -Ausgabe.

Der Erfindung liegt die Aufgabe zugrunde, ein bekanntes Verfahren zur Personalisierung und Ausgabe von Chipkarten so auszubilden, daß die Vorgänge beschleunigt und sicherer ablaufen.

Diese Aufgabe wird mittels der im Kennzeichen des Hauptan spruches aufgeführten Verfahrensschrittes gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind in den Un teransprüchen näher aufgeführt.

Ein Vorteil der Erfindung besteht darin, daß nach dem er findungsgemäßen Verfahren vorpersonalisierte Chipkarten bei Antragstellung eines zukünftigen Benutzers diese Karten de zentral in einer ungeschützten Umgebung selbst personali siert und sofort an diesen Benutzer ausgegeben werden kön nen und somit gegenüber dem Verfahren gemäß dem Stand der Technik umgängliche Wartezeiten entfallen.

Nebenbei kann vorteilhaft eine bereits vorhandene Infra struktur, wie Bankfilialen, Postämter usw. bei der Abwick lung des Verfahren gemäß der Erfindung voll eingezogen wer den.

Weiterhin ist von Vorteil, daß bei dem endgültigen Persona lisierungsvorgang keine geheimen Daten die Chipkarte ver lassen, genauso wenig geheime oder sensible Daten in die Karte geschrieben werden.

Beispiele der Erfindung werden anhand der Zeichnung näher erläutert.

Es zeigt die

Fig. 1 den Stand der Technik der Personalisierung, die Fig. 2 das Grundprinzip der Vorpersonalisierung, die

Fig. 3 die Vorpersonalisierung mit einem zusätzlichen symmetrischen Transportschlüssel und die

Fig. 4 die endgültige Personalisierung (Selbstpersonalisierung) einer Chipkarte.

Wie Fig. 1 zeigt, werden nach der Erzeugung eines indivi duellen Schlüssels K und nach dem Eingang der Identitäts daten eines am Chipkartenverfahren zukünftigen Teilnehmers dieser individuelle Schlüssel K und der Name des Teilneh mers A in eine freie Chipkarte 2 beim Personalisierungsvor gang eingeschrieben. Gleichzeitig wird in einem Register 3 der Name des Teilnehmers A als Zugangsberechtigung abge legt.

Diese Vorgänge finden zentral in einem gesicherten Bereich 1 statt. Erst nach der vollständigen und endgültigen Perso nalisierung kann die Chipkarte 2 diesen gesicherten Bereich 1 verlassen und der Versand der Karte an den Teilnehmer er folgen.

Von diesem Stand der Technik unterscheidet sich das erfin dungsgemäße, in Fig. 2 prinzipiell gezeigte Verfahren der Vorpersonalisierung dadurch, daß die Identitätsdaten des zukünftigen Teilnehmers noch nicht bekannt sind und statt dessen ein Pseudoname X erzeugt wird, der mit dem zugehöri gen Schlüssel K in die Chipkarte 2 eingeschrieben wird. Dieser Pseudoname X wird in einem Register 3 abgelegt. Nach dieser Vorpersonalisierung kann die Chipkarte 2 den gesi cherten Bereich 1 verlassen und in Kartenausgabestellen 5, wie z. B. Bankfilialen oder Postämtern, bevorratet werden.

Beantragt ein zukünftiger Teilnehmer eine Chipkarte, so wird in der Filiale oder dem Amt als Selbstpersonalisierer der Pseudoname X mit dem Namen des Teilnehmers A über schrieben und dieser Teilnehmername über eine gesicherte Kommunikationsverbindung 6 zum gesicherten Bereich 1 in dem Register 3 dem Pseudonamen X eindeutig zugeordnet.

Die Fig. 3 zeigt den Vorgang der Vorpersonalisierung unter Verwendung eines zusätzlichen Transportschlüssels t der mit dem individuellen Schlüssel K und dem Pseudonamen X inner halb des gesicherten Bereichs 1 in die Chipkarte 2 eingege ben wird.

Dieser Transportschlüssel t wird für die gesicherte Kommu nikation während des Selbstpersonalisierungsvorgangs zwi schen der Kartenausgabestelle und dem gesicherten Bereich (in Fig. 2) benötigt.

Die in Fig. 4 gezeigte Selbstpersonalisierung in der Kar tenausgabestelle 5 läuft in folgenden Schritten ab:
Der Teilnehmer gibt seinen Namen A über ein Terminal 7 ein. Eine berechtigte Person, wie ein Bankangestellter oder ein Postbeamter als Personalisierer leitet den Selbstpersonali sierungsvorgang durch die Eingabe seiner eigenen Berechti gungskarte 4 ein. Diese Berechtigungskarte 4 berechnet an schließend aus dem Namen des Teilnehmers A, der in der Be rechtigungskarte 4 abgespeicherten Kennung pi, und dem ebenfalls abgespeicherten Namen Pi des Personalisierers eine Berechtigungskennung pi (A, Pi), die an die vorperso nalisierte Chipkarte 2 mit dem zusätzlich eingegebenen Namen des Personalisierers Pi weitergeleitet wird.

Innerhalb der Chipkarte 2 wird aus dem Namen des Persona lisierers Pi, dem Namen des Teilnehmers A, dem Pseudonamen X, der aktuellen Zeit h, und der Berechtigungskennung pi (A, Pi) mittels des Transportschlüssels t eine erste Daten folge t (Pi, A, X, h, pi(A, Pi) errechnet, die dem gesicher ten Bereich 1 übermittelt wird.

Im gesicherten Bereich 1 sind der Transportschlüssels t, der Name des Personalisierers Pi, die Kennung des Persona lisierers pi und der Pseudoname X der Chipkarte 2 bekannt. Somit kann aus dieser ersten Datenfolge der Name des Teil nehmers A und zusätzlich zum Vergleich mit den hier bekann ten Daten der Name des Personalisierers Pi und der Pseudo name X errechnet werden. Durch einen weiteren Rechenvorgang wird auch die Berechtigungskennung pi (A, Pi) neu erzeugt und überprüft. Sind die Prüfungsergebnisse positiv, so wird mittels des Transportschlüssels t aus der Berechtigungsken nung pi (A, Pi) und der Pseudonamen X eine zweite Datenfolge t (A, Pi), X) erzeugt und als Bestätigung dem Terminal der Kartenausgabestelle 5 und somit auch der dort befindlichen Chipkarte 2 übermittelt.

Gleichzeitig wird in dem Register 3 der Name des Teilneh mers A dem Pseudonamen X fest zugeordnet.

Innerhalb der Chipkarte 2 wird abermals die Berechtigungs kennung pi (A, Pi) errechnet und mit der dort noch gespei cherten Kennung verglichen. Ist dieser Prüfungsvorgang ab geschlossen, so tauscht die Chipkarte den Pseudonamen X mit dem Namen des Teilnehmers A und löscht den Transport schlüssel t und die Berechtigungskennung pi (A, Pi). In der Chipkarte 2 sind also nach der erfolgten Selbstpersonali sierung nur noch der Name des Teilnehmers A und der zuge hörige Schlüssel K abgespeichert und die Karte dem Teilneh mer ausgehändigt werden.

Vorzugsweise ist die Berechtigungskennung pi (A, Pi) eine Einwegfunktion, welche die geheime Kennung pi des Persona lisierers beinhaltet. Der Name des Personalisierers Pi kann auch als Codewort in der Berechtigungskarte 4 abgespeichert und/oder in die Chipkarte eingegeben werden.

Wird statt eines Chiffrierverfahrens mit einem individuel len Schlüssel ein Verfahren gewählt, bei dem ein geheimer und ein öffentlicher Schlüssel als komplementäres Paar ver wendet wird, so werden bereits bei der Vorpersonalisierung beide Schlüssel in die Chipkarte abgespeichert und während oder nach der Selbstpersonalisierung nicht gelöscht.

Claims

1. Verfahren zum Personalisieren von Chipkarten (2), bei dem ein Teilnehmername (A) und ein individueller Schlüssel (K) in die Chipkarten (2) abgespeichert werden und der Teilnehmername in einem gesicherten Bereich (1) in einem Register (3) abgelegt und die Chipkarten danach ausgeliefert werden, dadurch gekennzeichnet,

- daß im gesicherten Bereich (1) anstelle des Teilnehmer namens (A) ein Pseudoname (X) in die Chipkarte einge tragen wird,
- daß in einer Kartenausgabestelle (5) vor der Kartenaus gabe der Pseudoname (X) in der Chipkarte (2) mit dem Teilnehmernamen (A) überschrieben wird,
- daß über eine gegen Abhören und Verändern von zu über tragenden Daten gesicherte Kommunikationsverbindung (6) zwischen der Kartenausgabestelle (5) und dem gesicher ten Bereich (1) der Pseudoname (X) und der Teilnehmer name (A) verschlüsselt zum gesicherten Bereich (1) übertragen werden,
- daß in einem Register (3) des gesicherten Bereiches (1) der Teilnehmername (A) zum Pseudonamen (X) zugeordnet gespeichert wird, und
- daß nach einer Rückmeldung vom gesicherten Bereich (1) zur Kartenausgabestelle (5) dort die Ausgabe der perso nalisierten Chipkarte (2) erfolgt.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß während des dritten Verfahrensschrittes des PA 1 der Name (Pi) des berechtigten Personalisierers und seine geheime Berechtigungskennung (pi) dem Pseudonamen (X) und dem zugehörigen Teilnehmernamen (A) beim Personali sierungsvorgang zwangsläufig zugeordnet werden, und daß diese beim vierten Verfahrensschritt des PA 1 mit fest gehalten werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeich net, daß die Daten (X, A, Pi, pi) mittels eines Trans portschlüssels (t) zum gesicherten Bereich (1) gesandt werden, der zusätzlich zum Pseudonamen (X) beim ersten Verfahrensschritt des PA 1 im gesicherten Bereich (1) mit erzeugt und in der Kartenausgabestelle (5) vor Übergabe an den Teilnehmer gelöscht wird.