DE4126760A1 - Verschluesselungsverfahren und tastatureingabegeraet fuer sicherheitsrelevante daten - Google Patents

Description

Die Erfindung betrifft ein Verschlüsselungsverfahren und ein Tastatureingabegerät für sicherheitsrelevante Daten, z. B. bei einem Kreditkartenterminal zur Verschlüsselung der über eine Tastatur eingegebenen persönlichen Identifikationsnummer (PIN).

Ein entsprechendes Eingabegerät ist aus der Siemens-Dokumen­ tationsschrift 0C06 SB März 1990 "Setzen Sie nicht nur auf eine Karte" bekannt. Das bekannte Eingabegerät weist bereits eine gute Auslesesicherheit auf. Trotzdem sind Fälle bekannt gewor­ den, in denen in Schädigungsabsicht ein Mitlesen der PIN (per­ sönliche Identifikationsnummer) erfolgte.

Es ist Aufgabe der Erfindung, die Sicherheit entsprechender Eingabegeräte auch bei Einsatz erheblicher krimineller Energie noch weiter zu steigern. Insbesondere soll die Betätigung von Tasten nicht mehr erkannt werden können und ein Auslesen des Verschlüsselungsprinzips auch nach Zerstörung der Schutzein­ richtung, z. B. durch Aufätzen der miteinander vergossenen Tastatur, Verbindungsleiter und Chips des Prozessors, nicht möglich sein. Vorzugsweise soll dabei eine Lösung angegeben werden, die gegenüber dem bekannten Tastatureingabegerät eine kostengünstigere Ausführung erlaubt.

Die Lösung der Aufgabe gelingt dadurch, daß bei dem Eingabe­ gerät die eingegebenen Daten unmittelbar mit der Tastenbetätigung verschlüsselt und in dieser Form weitergeleitet werden. Der Vorteil besteht darin, daß durch die unmittelbare Verschlüsselung eingegebener Daten, die durch das Anlegen unterschiedlicher, simulierter Signale an die Verbindungsleiter, die die Tasten mit dem Prozessor verbinden, erfolgt, vollständige Auslese­ sicherheit erreicht wird. Mit einer Tastaturbetätigung werden lediglich die Signalwege verändert, so daß Pegelunterschiede, die einen Rückschluß auf die gedrückte Taste zulassen, ver­ mieden werden. Tatsächliche Tastenbetätigungssignale und simulierte Signale unterscheiden sich nicht. Ein Auslesen durch Abgreifen der Signale ist dadurch unmöglich.

In Ausgestaltung der Erfindung ist vorgesehen, daß die Daten­ verschlüsselung durch ein Programm (Software) gesteuert abläuft, das in einem Single-Chip-Prozessor implementiert ist. Dadurch werden beeinflußbare, auslesbare Datenübertragungen zwischen mehreren Chips unnötig. Die im Chip beim Programmablauf auf­ tretenden Vorgänge sind mit heutigen Mitteln nicht auslesbar, wenn der Chip entsprechend ausgebildet ist. An den Ausgängen des Chips treten bezüglich der Datenverschlüsselung nur unspe­ zifische Signale auf, so daß die Verschlüsselungsstrategie und damit die eingegebenen Daten nicht ausgelesen werden können.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß die Verschlüsselung der eingegebenen Daten durch eine Simulation von Tastenbetätigungen erfolgt. Dadurch wird ein Rückschluß auf die betätigten Tasten durch elektrisches Auslesen unmöglich.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß eingegebene Tastenbetätigungssignale durch simulierte Ansteuer­ signale zu nach Zufallskriterien verschlüsselten Ausgabesignalen werden. Der Vorteil dieser Ausgestaltung besteht darin, daß einem möglichen Angreifer aus ausgelesenen Daten kein Rück­ schluß auf die Verschlüsselungskriterien möglich ist.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß das Programm des Single-Chip-Prozessors einen, besonders vorteilhaft nach Zufallszahlen ermittelten, Parameter enthält. Dadurch ent­ hält jeder Single-Chip-Prozessor und damit jedes Tastaturein­ gabegerät verschiedene Verschlüsselungskriterien. Die Daten­ verschlüsselung eines Eingabegeräts läßt keine Rückschlüsse auf die eines anderen Eingabegeräts zu.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß Dauer und Form der simulierten Signale durch das Programm des Single-Chip-Prozessors mit seinem Zufallsparameter bestimmt wird. Diese Ausgestaltung trägt vorteilhaft dazu bei, daß bei jedem Tastatureingabegerät die Verschlüsselung eingegebener Daten nach abweichenden Kriterien abläuft.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß die Parametrierung des Single-Chip-Prozessors in einem abgeschlos­ senen Sicherheitsbereich erfolgt. Diese Ausgestaltung ist nötig, weil dadurch sichergestellt ist, daß keine Informationen über die jeweils gewählten Zufallsparameter und damit über die Ver­ schlüsselung der Single-Chip-Prozessoren an unbefugte Personen gelangen.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß sich die Programmierung die Verschlüsselungsstrategie in zufälligen zeitlichen Abständen ändert. Der Vorteil dieser Ausgestaltung besteht darin, daß auch während der Betätigung eines Tastaturfeldes eine Änderung der simulierten Tastenbetä­ tigungen erfolgen kann. Dadurch kann die Verschlüsselungs­ strategie auch über eine sehr lange Auswertung abgegriffener, simulierter Signale nicht ermittelt werden.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß nach Erkennen einer betätigten Taste oder z. B. einer Teilein­ gabe durch das Programm des Single-Chip-Prozessors, die Ein­ führung einer neuen Zufallsvariablen erfolgt. Dadurch wird erreicht, daß auch bei mehrmaligem Betätigen derselben Taste einem möglichen Angreifer immer andere Tastenbetätigungen vorgespiegelt werden.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß die Erkennung einer betätigten Taste durch das Programm des Single- Chip-Prozessors über den Vergleich von angelegtem und zurück­ gelesenem Bitmuster erfolgt. Durch diese Ausgestaltung ist sichergestellt, daß die Erkennung und Auswertung betätigter Tasten erst im Prozessor erfolgt und dadurch nicht ausgelesen werden kann.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß der Single-Chip-Prozessor Low- und High-Signale erzeugt, die über Treiber den Tastaturleitern beaufschlagt werden. Der Vorteil besteht in einer direkten und einfachen Verschlüsselung der eingegebenen Daten.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß das Programm in die inneren Bereiche des Prozessors gelegt und gegen Umprogrammierung und Auslesen verriegelt ist. Ein Aus­ lesen und Verändern des Programms und damit der Verschlüsse­ lungsstrategie ist unmöglich.

Zur Ausführung des erfindungsgemäßen Verfahrens ist vorgesehen, daß das Eingabegerät eine Tastatur, ein Display und einen auf diese über Verbindungsleiter einwirkenden Single-Chip-Prozes­ sor, z. B. Valvo 83 C 851, zur unmittelbaren Verschlüsselung der eingegebenen Daten aufweist. Dieser Valvo-Chip 83 C 851 weist den Vorteil auf, daß er mikroprogrammierbar, verriegelbar und auslesesicher ist. Seine Programmierung ist auch durch Zerstö­ rung des Chips, auch durch Aufätzen, nicht auslesbar und er stellt zudem eine sehr kostengünstige Lösung dar.

In weiterer Ausführung der Erfindung ist vorgesehen, daß die Tastatur direkt auf eine vom Prozessor angesteuerte Leiter­ matrix aufgelegt ist. Dies stellt die einfachste und sicherste Anordnung zur Codierung der Tasten einer Tastatur dar.

In weiterer Ausgestaltung der Erfindung ist vorgesehen, daß die Zeilen und Spalten der Leitermatrix auf einen gleichzeitig ansteuerbaren Port aufgelegt sind, so daß keine Laufzeitunter­ schiede auftreten und somit keine meßbaren Unterschiede zwischen simulierten und gedrückten Tasten auftreten.

In weiterer Ausführung der Erfindung ist vorgesehen, daß das Eingabegerät eine Überkreuzführung der Verbindungsleiter in Matrixstruktur aufweist, wobei die Tasten der Tastatur den Kreuzungspunkten zugeordnet sind, die Zeilen und Spalten bilden. Hierdurch wird die übliche Aufteilung einer Tastatur in Spalten und Zeilen vorteilhaft ausgenutzt, um eine direkte Beeinflussung der Leitermatrix zu erhalten. So ergibt sich eine besonders einfache Ausnützung der erfindungsgemäß eingesetzten Tastatur.

In weiterer Ausführung der Erfindung ist vorgesehen, daß jeder Spalte und Zeile der Matrix ein bidirektionaler Treiber zuge­ ordnet ist, so daß die Matrixleiter für Sende- und Empfangs­ aufgaben nutzbar sind. Der Vorteil dieser Ausgestaltung besteht darin, daß die Verbindungsleiter in gleicher Weise von der Tastatur und vom Prozessor angesteuert werden können. Dies bestimmt in entscheidendem Maße die Effizienz der Datenver­ schlüsselung. Die Signale der Verbindungsleiter ergeben dadurch ein nicht auslesbares Muster. Es kann nicht zwischen erfolgten und simulierten Tastenbetätigungen unterschieden werden.

In weiterer Ausführung der Erfindung ist vorgesehen, daß das Tastatureingabegerät eine biegsame Trägerplatte aufweist, die zumindest teilweise als Leiterplatte ausgebildet ist und auf der die Tastatur, der Prozessor und ein Display direkt aufge­ bracht und zumindest teilweise mit ihr vergossen sind, so daß sich eine, vorzugsweise hantierbare, Einheit ergibt. Durch diese Ausführung ergibt sich zusätzlich zur Datenverschlüsse­ lung noch ein guter mechanischer Schutz gegen Ausleseversuche.

Weitere Vorteile und Einzelheiten ergeben sich aus der nach­ folgenden Beschreibung eines Ausführungsbeispiels, anhand der Zeichnung und in Verbindung mit den Unteransprüchen.

Es zeigen:

Fig. 1 das Tastatureingabegerät in Aufsicht,

Fig. 2 das Tastatureingabegerät in Seitenansicht,

Fig. 3 den Aufbau der Displayeinheit,

Fig. 4 die Leitermatrix und ihr Kopplung mit dem Single-Chip-Prozessor.

In Fig. 1 bezeichnet 1 die Displayeinheit, 3 die Tastaturein­ heit und 2 die zwischen beiden liegende Biegezone als Haupt­ bereiche der sogenannten Kundeneinheit eines POS-Banking- Terminals, z. B. Kreditkartenterminals. Die Tasten 4 der Tastatur sind als rechteckige Matrix angeordnet. Dies ist die für die Bedienung einfachste Tastenanordnung. Die Einzelteile der Kundeneinheit sind aus den üblichen Elementen der Elek­ tronik aufgebaut.

In Fig. 2, die die Leitermatrix und ihre Kopplung mit dem Single-Chip-Prozessor, z. B. dem Valvo-Chip 83 C 851, zeigt, sind die Verbindungsleiter mit 12 bezeichnet, deren Überkreuz­ führung 28 Tasten repräsentierende Kreuzungspunkte 13 ergibt, die Zeilen und Spalten bilden. Nur über den dargestellten Port 1 (11) des Single-Chip-Prozessors sind die Verbindungsleiter mit dem Prozessor gekoppelt. Die Leitermatrixstruktur ist die wirkungsvollste und einfachste Möglichkeit eine Tastatur für Verschlüsselungszwecke eingegebener Daten anzuordnen.

Die sich ergebenden Zeilen und Spalten erlauben über die Zuord­ nung bidirektionaler Treiber eine unspezifische Ansteuerung der Matrix vom Prozessor aus und damit eine Beaufschlagung der Verbindungsleiter mit simulierten Tastenbetätigungs- und Öffnungssignalen. Dadurch, daß bei realen Tastenbetätigungen nur die Signalwege verändert werden und die Signalpegel unver­ ändert bleiben, ergibt sich ein nicht auslesbares Muster, da simulierte und reale Tastenbetätigungen nicht zu unterscheiden sind. Daß die Verbindungsleiter nur über Port 1 des Single- Chip-Prozessors mit dem Prozessor gekoppelt sind, hat den Vorteil, daß zeitliche Verzögerungen beim Datenaustausch ver­ mieden werden.

Das Ausführungsbeispiel wurde für die Kundeneinheit eines POS- Banking-Terminals beschrieben. Das Verschlüsselungsverfahren und das Tastatureingabegerät sind aber auch für alle anderen Bereiche, wie z. B. Geldausgabeautomaten aller Art, Zutritts­ berechtigungen für Sicherheitsbereiche usw. geeignet.

Die bisher unerreicht hohe Auslesesicherheit des Verschlüsse­ lungsverfahrens und des zugehörigen Tastatureingabegeräts ist so hoch, daß auch Teilkenntnisse, z. B. über den Aufbau des ver­ wendeten Single-Chip-Prozessors, den Zufallsgenerator für die Parametrierung oder der Zugriff auf die Matrixleiter nicht aus­ reichend ist, um die verschlüsselten Eingabedaten zu decodieren. Dies ist bei dem Stand der Technik nicht der Fall.

Claims (19)

1. Verschlüsselungsverfahren und Tastatureingabegerät für sicherheitsrelevante Daten, die durch Tastaturbetätigung einge­ geben werden, z. B. bei einem Kreditkartenterminal, wobei bei dem Eingabegerät die eingegebenen Daten unmittelbar mit der Tastenbetätigung verschlüsselt und in dieser Form weiterge­ leitet werden.

2. Datenverschlüsselung nach Anspruch 1, dadurch gekennzeichnet, daß sie durch ein Programm (Software) gesteuert abläuft, das in einem Single-Chip- Prozessor implementiert ist.

3. Datenverschlüsselung nach Anspruch 1 oder 2, da­ durch gekennzeichnet, daß die Verschlüsse­ lung der eingegebenen Daten durch eine Simulation von Tasten­ betätigungen erfolgt.

4. Datenverschlüsselung nach Anspruch 3, dadurch gekennzeichnet, daß eingegebene Tastenbetä­ tigssignale durch simulierte Ansteuersignale zu nach Zufalls­ kriterien verschlüsselten Ausgabesignalen werden.

5. Datenverschlüsselung nach Anspruch 2, 3 oder 4, dadurch gekennzeichnet, daß Zeilen und Spalten der Tastatur-Tasten auf einen gleichzeitig an­ steuerbaren Port des Single-Chip-Prozessors aufgelegt sind.

6. Datenverschlüsselung nach Anspruch 2, 3, 4 oder 5, dadurch gekennzeichnet, daß das Programm des Single-Chip-Prozessors einen über Zufallszahlen ermittelten Parameter enthält.

7. Datenverschlüsselung nach Anspruch 2, 3, 4, 5 oder 6, da­ durch gekennzeichnet, daß Dauer und Form der simulierten Signale durch das Programm des Single-Chip- Prozessors mit einem Zufallsparameter bestimmt wird.

8. Datenverschlüsselung nach Anspruch 6 oder 7, dadurch gekennzeichnet, daß die Parametrierung und Programmierung des Single-Chip-Prozessors in einem abgeschlossenen Sicherheitsbereich erfolgt.

9. Datenverschlüsselung nach Anspruch 8, dadurch gekennzeichnet, daß die Programmierung die Verschlüsselungsstrategie in zufälligen zeitlichen Abständen ändert.

10. Datenverschlüsselung nach Anspruch 8, dadurch gekennzeichnet, daß nach Erkennen einer betätigten Taste oder z. B. einer Teileingabe durch das Programm des Single-Chip-Prozessors, die Einführung einer neuen Zufallsvariablen erfolgt.

11. Datenverschlüsselung nach Anspruch 1, 2, 3, 4, 5, 6, 7, 8, 9 oder 10, dadurch gekennzeichnet, daß die Erkennung einer betätigten Taste durch das Programm des Single- Chip-Prozessors über den Vergleich von angelegten und zurück­ gelesenem Bitmuster erfolgt.

12. Datenverschlüsselung nach Anspruch 1, 2, 3, 4, 5, 6, 7, 8, 9, 10 oder 11, dadurch gekennzeichnet, daß der Single-Chip-Prozessor High-Low-Signale erzeugt, die über Treiber den Tastaturleitern beaufschlagt werden.

13. Datenverschlüsselung nach einem oder mehreren der vorher­ gehenden Ansprüche, dadurch gekennzeich­ net, daß das Programm in die inneren Bereiche des Prozessors gelegt und gegen Umprogrammierung verriegelt ist.

14. Auslesesicheres Tastatureingabegerät für sicherheits­ relevante Daten, z. B. bei einem Kreditkartenterminal, nach einem oder mehreren der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß es eine Tastatur und einen auf diese über Verbindungsleiter einwir­ kenden Single-Chip-Prozessor zur unmittelbaren Verschlüsselung der eingegebenen Daten aufweist.

15. Eingabegerät nach Anspruch 14, dadurch ge­ kennzeichnet, daß die Tastatur direkt auf eine vom Prozessor angesteuerte Leitermatrix aufgelegt ist.

16. Eingabegerät nach Anspruch 15, dadurch ge­ kennzeichnet, daß es eine Überkreuzführung der Verbindungsleiter in Matrixstruktur aufweist, wobei die Tasten der Tastatur den Kreuzungspunkten zugeordnet sind, die Zeilen und Spalten bilden.

17. Eingabegerät nach Anspruch 16, dadurch ge­ kennzeichnet, daß jeder Spalte und Zeile der Matrix ein bidirektionaler Treiber zugeordnet ist, so daß die Matrixleiter für Sende- und Empfangsaufgaben nutzbar sind.

18. Tastatureingabegerät für sicherheitsrelevante Daten nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß es als Eingabegerät für Daten an Kreditkartenterminals, insbesondere für die Eingabe der persönlichen Identifikationsnummer (PIN), verwendet wird.

19. Tastatureingabegerät für sicherheitsrelevante Daten nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß einge­ tastete Daten durch zufällige, durch Steuerung eines in einem Prozessor ablaufenden Programms bewirkte Simulation von Tastenbetätigungen und Tastenöffnungen verschlüsselt werden und ein nicht auslesbares Muster ergeben.