DE4201967C2 - Verfahren und Anordnung zum Sicherstellen der Integrität von auszudruckenden oder zu stempelnden Daten - Google Patents

Description

Die Erfindung betrifft ein Verfahren und eine Anordnung zum Sicherstellen der Integrität von auszudruckenden oder zu stempelnden Daten unter Verwendung eines Terminals ggf. mit einem Kartenleser für Benutzerkarten, das mit einem Drucker verbunden ist, und optional zur Sicherstellung der Integrität eines mit diesen Daten zu bedruckenden Formulares.

Es ist bekannt, Verrechnungen mittels Zahlungskarten, wie Scheck-, Kredit-, Kundenkarten usw., durchzuführen (DE 15 49 330 A1, DE 25 60 080 C2, US 37 02 464). Andere Karten dienen der Zugangsberechtigung und/oder der Autori­ sierung des Karteninhabers. In allen Fällen wird die Benutzerkarte in ein Terminal, z. B. einem elektronischen Verrechnungs-Terminal oder einem Kartenleser einer Registrierkasse, gegeben. Aufgrund von auf einem Magnetstreifen oder in einem Halbleiterspeicher vorhandenen Identifikations­ daten sowie zusätzlichen Daten, wie einer persönlichen Identifikationsnummer etc., wird eine weitere Datenverarbeitung ausgelöst, z. B. das Bedrucken oder stempeln eines Scheck- oder Quittungsvordruckes oder ein anderer Vorgang freigegeben.

Weiterhin ist bekannt, zur Registrierung von Spielscheinen mittels Terminals im On-Line-Verfahren eine Quittung in Form einer Kontrollnummer mit den Spieldaten zu verknüpfen, um eine sichere Datenübermittlung zu gewährleisten (DE 33 46 545 A1).

Außerdem werden zur Sicherstellung von Zugangsberechtigungen Schließeinrichtungen verwendet, die Speicher für änderbare Kodierungen enthalten, so daß eine Integrität bei wechselnder Zugangsberechtigung gegeben ist (DE 33 26 266 A1).

Ferner ist bekannt, zur Authentifizierung eines eine Datenstation benutzenden Anwenders bei der Eingabe eines Paßwortes eine Zufallszahl zu ermitteln und diese verschlüsselt an die Datenstation weiterzuleiten (DE 40 08 971 C2).

Bei der Erstellung eines gedruckten oder gestempelten Beleges oder Formulares ist sicherzustellen, daß nicht zwischenzeitlich durch Verändern, Hinzufügen oder Weglassen die Daten manipuliert werden können.

Der Erfindung lag die Aufgabe zugrunde, für die Erstellung von gedruckten oder gestempelten Belegen und für das Bedrucken oder Stempeln von Formularen eine Sicherung der zu druckenden oder der zu stempelnden Daten gegen Manipulationen zu gewährleisten.

Diese Aufgabe ist durch die Erfindung gelöst, wie sie im Kennzeichnungsteil der Patentansprüche 1 und 5 dargelegt sind. Weitere vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche.

Die Vorteile des Verfahrens liegen darin, daß ein Formular nur so erstellt werden kann, wie der Gerätehersteller es konzipiert hat, also zusätzliche oder gekürzte Aufdrucke nicht möglich sind und Manipulationen damit ausgeschlossen werden. Weiterhin ermöglichen die Referenzwerte die Überprüfung, ob es sich um einen realen und autorisierten Zahlungsvorgang handelt, auch ohne das Vorliegen eines Formulares. Schließlich ist bei der Verwendung eines Klarschriftlesers die Zusammengehörigkeit von Formular und Benutzerkarte feststellbar.

Die Erfindung wird nachfolgend anhand einer Prinzipskizze des Geräteaufbaus näher beschrieben.

Ein Terminal TE verfügt über eine Tastatur TA, ein Display DIS, einen Kartenleser KL, ein Rechnersystem, bestehend aus Speicher SP1 und einem Prozessor PR, einem Sicherheitsmodul SM1, das auch eine Chipkarte sein kann, sowie Schnittstellen SS1, SS2, zur Verbindung mit einem Drucker DR bzw. einer übergeordneten Abfragestelle, einem Rechenzentrum oder dergleichen.

Der Drucker DR seinerseits weist ein Sicherheitsmodul SM2 auf, das eine Druckvorrichtung DV mit einer zugeordneten Steuerung ST, einen Rechner RE und einen Speicher SP2 umschließt, sowie eine Schnittstelle SS3 zur Verbindung mit dem Terminal TE.

Diese Verbindung zwischen Terminal TE und Drucker DR zum Datenaustausch kann leitungsgebunden, z. B. über V-Schnitt­ stellen, oder drahtlos, z. B. mittels Optokopplung oder Funkübertragung, ausgeführt sein.

Die weiteren Ausgestaltungen des Terminals TE und des Druckers DR, wie z. B. bei Belegdrucken die Papierzufuhr und allgemein die Spannungsversorgung sowie Steuerungen, sind nicht erfindungsrelevant und demzufolge nicht dargestellt.

Das Verfahren zum Sicherstellen der Integrität von auszudruckenden oder zu stempelnden Daten beruht darauf, daß aus den durch das Terminal TE dem Drucker DR zugesendeten Daten und Schlüsseln des Sicherheitsmoduls SM2 im Rechner RE zunächst ein erster Referenzwert gebildet wird. Dieser erste Referenzwert wird an das Terminal TE gesendet und dort gespeichert. Das Terminal TE berechnet einen zweiten Referenzwert und vergleicht diesen mit dem vom Drucker DR errechneten. Erst bei Übereinstimmung beider Werte wird der Druck freigegeben bzw. der Wert für spätere Bearbeitungszwecke im Speicher SP1 des Terminals TE abgelegt.

Dabei ist die Zuordnung von erstem und zweitem Referenzwert zum Terminal TE und Drucker DR beliebig.

Typische Daten, die vom Terminal TE an den Drucker gesendet werden, sind beispielsweise: Zahlbetrag, Währungsart, Ort, Datum, Kundendaten, wie Benutzerkartennummer, Kontonummer und Bankleitzahl. Diese Daten werden vom Kartenleser KL des Terminals TE oder mittels eines Strichcodelesers von einer Ware abgelesen oder manuell über die Tastatur TA eingegeben.

In den Sicherheitsmodulen SM1, SM2 sind jeweils eine für die Gerätekombination von Terminal TE und Drucker DR festgelegte Gerätenummer und kryptografische Schlüssel abgelegt. Dabei kann die Gerätenummer durch spezifische Daten des Aufstellungsortes oder durch Händler- oder Firmendaten ergänzt sein. Der Rechner RE des Druckers DR bildet z. B. aus den Kundendaten, der Gerätenummer, dem Zahlbetrag, dem Datum und dem kryptogra­ fischen Schlüssel den ersten Referenzwert.

Aus den gleichen Daten wird durch den Prozessor PR des Terminals TE ein zweiter Referenzwert errechnet und mit dem vom Drucker DR gesendeten verglichen.

Die Referenzwerte ermöglichen somit die Authentifikation des angeschlossenen Druckers DR. Diese Überprüfung ist auch dann gegeben, wenn kein Formular im Drucker DR vorliegt, das heißt, es sind z. B. gemäß Absprachen zwischen den Betreibern der Terminal/Druckerkombination und den zentralen Verrechnungsstellen und/oder Banken Verrechnungen nur aufgrund der vorliegenden Benutzerkarten möglich, ohne die Verwendung eines Formulares, wie z. B. eines Schecks. Außerdem kann der Referenzwert als Grundlage für die Weiterverarbeitung durch Dritte dienen, wodurch z. B. eine Umsatzdatei, eine zentrale Verrechnung der Einnahmen leichter und sicherer überprüfbar werden oder eine Auflistung freigegebener Zugriffe zu anderen Daten nachvollziehbar ist.

Optional enthält der Drucker DR einen Klarschriftleser, beispielsweise einen OCR-Leser, sofern Formulare bedruckt werden sollen. Mit einem solchen Klarschriftleser kann ebenfalls die Freigabe gesteuert werden, die dann gegeben ist, wenn die gelesenen Daten des Formulares, z. B. die Kontonummer und die Bankleitzahl, mit den Daten der vom Kartenleser KL des Terminals TE ausgelesenen Benutzerkarte übereinstimmen. Damit ist die Zusammengehörigkeit von Benutzerkarte und Formular dokumentiert.

Die Verwendung eines Sicherheitsmoduls SM2 mit einem Drucker DR und optional mit einem Klarschriftleser gewährleistet, daß durch einen Eingriff Daten nicht manipulierbar sind und sichert zudem auch den kryptografischen Schlüssel. Dies wird zusätzlich durch die Hardware des Druckers DR erzielt, beispielsweise durch Sensorik, durch die Bauart des Druckers DR, durch Sicherung zugänglicher Baugruppen und durch die Abfassung der Software, die ein unbefugtes Nachladen verhindert.

Die im dargestellten Beispiel ausgeführte Aufteilung von Terminal TE und Drucker DR als zwei selbständige Komponenten kann auch durch eine gemeinsame Anordnung in einem Gehäuse ersetzt werden. Erst durch die zweifache Referenzwertbildung und den Vergleich beider Werte wird eine Manipulation ausgeschaltet.

Die Verwendung zweier Sicherheitsmodule SM1, SM2 läßt auch jeden Eingriff in die Datenleitung zwischen Terminal TE und Drucker DR erkennen.

Claims (9)

1. Verfahren zum Sicherstellen der Integrität von auszudruckenden oder zu stempelnden Daten unter Verwendung eines Terminals ggf. mit einem Kartenleser für Benutzerkarten, das mit einem Drucker verbunden ist, und optional zur Sicherstellung der Integrität eines mit diesen Daten zu bedruckenden Formulares, gekennzeichnet durch die Gesamtheit der Merkmale,

• - daß in Sicherheitsmodulen (SM1, SM2) des Terminals (TE) und des Druckers (DR) gerätespezifische Daten und kryptografische Schlüssel gespeichert werden,
• - daß der Drucker (DR) aus vom Terminal (TE) zur Verar­ beitung gesendeten Daten mit Hilfe der im Sicherheitsmodul (SM2) gespeicherten Daten einen ersten Referenzwert errechnet,
• - daß dieser erste Referenzwert an das Terminal (TE) gesendet und dort ggf. gespeichert wird,
• - daß das Terminal (TE) aus den an den Drucker (DR) gesendeten Daten und den im eigenen Sicherheitsmodul (SM1) gespeicherten Daten einen zweiten Referenzwert errechnet,
• - daß die Referenzwerte im Terminal (TE) verglichen werden und
• - daß nur bei Übereinstimmung beider Referenzwerte ein Druck freigegeben und ggf. die Daten im Terminal (TE) gespeichert werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Referenzwerte aus Daten der durch den Kartenleser (KL) ausgelesenen Zahlungskarte, eines Datums, gerätespezifischer Daten und kryptografischer Schlüssel errechnet werden.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß das Sicherheitsmodul (SM2) des Druckers (DR) einen Klarschriftleser umfaßt.

4. Verfahren nach Anspruch 1 und 3, dadurch gekennzeichnet, daß der dem Drucker (DR) zugeordnete Klarschriftleser Daten der zu bedruckenden Formulare ausliest, diese dem Terminal (TE) und/oder dem Drucker (DR) übermittelt und erst bei Gleichheit der Daten mit den vom Terminal (TE) gesandten Daten der Druck freigegeben wird.

5. Anordnung zum Sicherstellen der Integrität von auszudruckenden oder zu stempelnden Daten unter Verwendung eines Terminals mit einem Kartenleser für Benutzerkarten, das mit einem Drucker verbunden ist, und optional zur Sicherstellung der Integrität eines mit diesen Daten zu bedruckenden Formulares, dadurch gekennzeichnet, daß das Terminal (TE) und der Drucker (DR) jeweils über ein Sicherheitsmodul (SM1, SM2) verfügen, die die Daten der Gerätenummer und die kryptografischen Schlüssel speichern, und daß das Sicherheitsmodul (SM2) des Druckers (DR) einen Rechner (RE) und Speicher (SP2) enthält.

6. Anordnung nach Anspruch 5, dadurch gekennzeichnet, daß das Terminal (TE) einen Prozessor (PR) und einen Speicher (SP1) enthält.

7. Anordnung nach Anspruch 5 und 6, dadurch gekennzeichnet, daß die Verbindung zwischen Terminal (TE) und Drucker (DR) leitungsgebunden ist unter Verwendung herkömmlicher V- Schnittstellen.

8. Anordnung nach Anspruch 5 und 6, dadurch gekennzeichnet, daß die Verbindung zwischen Terminal (TE) und Drucker (DR) drahtlos ist.

9. Anordnung nach Anspruch 5 und 6, dadurch gekennzeichnet, daß das Terminal (TE) und der Drucker (DR) in einem Gehäuse untergebracht sind.