DE69725723T2

DE69725723T2 - Verfahren zum gesicherten speichern von werteinheiten in einer chipkarte und geldüberweisungssystem zur dessen verwendung

Info

Publication number: DE69725723T2
Application number: DE69725723T
Authority: DE
Inventors: Jean-Paul Kirik
Original assignee: Gemplus SA
Current assignee: Gemplus SA
Priority date: 1996-05-31
Filing date: 1997-05-30
Publication date: 2004-07-22
Anticipated expiration: 2017-05-31
Also published as: EP0910839B1; ES2212102T3; WO1997045815A1; FR2749413B1; FR2749413A1; EP0910839A1; DE69725723D1

Description

Die vorliegende Erfindung betrifft Verfahren, die es ermöglichen, in gesicherter Weise Werteinheiten in einer Chipkarte zu speichern, sowie Geldtransaktionssysteme, die diese Karten verwenden. Die Erfindung betrifft insbesondere Chipkarten mit einem ungeschützten Speicherbereich des Typs EEPROM.
Denn ein ungeschützter EEPROM-Speicherbereich einer Karte ist für jeden zugänglich, der über ein einfaches Kartenlesegerät sowie über Speicherlese- und Schreibbefehle verfügt. Dieser Typ von Speicherbereich ermöglicht nicht, empfindliche Daten zu speichern, denn sie können von jedem gelesen und abgeändert werden.
Das Verfahren betrifft ebenfalls Chipkarten mit geschütztem Speicher, um die Sicherheitsstufe daraus zu entfernen.
Mikroprozessorkarten sind in der Lage, Werteinheiten zu enthalten und den Zugriff auf diese zu verweigern. Nur das Betriebssystem der Karte kann auf diese Einheiten zugreifen und ihre Anzahl vergrößern oder verkleinern. Die vom Betriebssystem gesicherten und verwalteten Befehle gestatten demnach die Verwaltung des die Werteinheiten enthaltenden Bereichs, um diese Werteinheiten benutzen und sie in aller Sicherheit aufladen zu können.
Eine Speicherkarte umfasst keinen Mikroprozessor, geschweige denn ein Betriebssystem, sondern nur einige Befehle, die den Zugriff auf die Speicherbereiche der Karte ermöglichen. Dennoch können bestimmte Bereiche der Karte Merkmale aufweisen, die ein gesichertes Speichern von Werteinheiten gestatten. Das ist der Fall bestimmter Speicherkarten, die über einen durch einen Geheimcode geschützten Bereich verfügen. Nur ein Zahlungsterminal, das diesen Geheimcode besitzt, kann auf den die Werteinheiten enthaltenden Bereich zugreifen und die Anzahl der Einheiten mit Speicherschreibbefehlen ändern. Definitionsgemäß kennt ein Betrüger den Geheimcode nicht, ist also nicht in der Lage, eine Karte mit Werteinheiten aufzuladen. Weitere mit der Karte verbundene Merkmale können ein gesichertes Speichern von Werteinheiten ermöglichen.
Gemäß dem bekannten Stand der Technik sind die existierenden Basismechanismen die Verwendung eines Unversehrtheitszertifikats, eines Transaktionszählers sowie eines Kopiebereichs. Diese Mechanismen werden nachfolgend näher erläutert. Im Fall von Mikroprozessorkarten können diese Basismechanismen in den Betriebssystemen enthalten sein.
Diese Mechanismen können ebenfalls in Form einer Applikationsnote oder Applikationsempfehlung für die Mikroprozessorkarten und für bestimmte Speicherkarten synchronen Typs verwendet werden.
Eine Applikations- oder Empfehlungsnote beschreibt die von der Karte und vom Terminal umzusetzenden Mechanismen und definiert die Art und Weise, wie das Terminal die Karte zu verwenden hat.
Unter Applikationsnote versteht man genauer gesagt eine besondere Definition des Zustands des Speichers in der Karte und im Terminal, die gemäß angelsächsischer Terminologie „mapping" genannt wird, wobei dieses mapping von einer informationstechnischen Software unter Berücksichtigung der Applikationsnote erzeugt wird. Der umzusetzende Mechanismus besteht darin, in die Berechnung dieses Zertifikats eine Information aufzunehmen, die sich bei jeder Transaktion ändert. Unter Transaktion versteht man eine Änderung der Anzahl der Werteinheiten einer Karte.
Mechanismus 1
Ein erster umzusetzender Mechanismus ist die Verwendung eines der Anzahl der Einheiten beigeordneten Zertifikats. Dieses Zertifikat garantiert die Unversehrtheit der Informationen, die es betrifft. Ein Terminal einer Zahlungsapplikation kann die in einer Chipkarte vorhandene Anzahl von Werteinheiten lesen. Das in der Karte vorhandene und der gespeicherten Anzahl von Werteinheiten beigeordnete Zertifikat muss gelesen und überprüft werden. Dieses Zertifikat wird anhand einer mathematischen Funktion berechnet. Es wird ausgehend von der in der Karte vorhandenen Anzahl von Werteinheiten, von die Karte identifizierenden Daten und mit einem nur dem Terminal bekannten Geheimnis berechnet. Das Terminal ist demnach in der Lage, ein derartiges Zertifikat zu überprüfen oder zu berechnen. Eine andere Lösung besteht darin, das Geheimnis zwischen den Karten und einem zentralen Server zu teilen. Die Applikationsterminals müssen sich demnach für jede Überprüfung mit dem Server verbinden.
Wenn ein Zertifikat richtig ist, wird die in der Karte vorhandene Anzahl von Werteinheiten als gültig betrachtet.
Mechanismus 2
Dieser Mechanismus besteht darin, in die Berechnung dieses Zertifikats eine Information einzubeziehen, die sich bei jeder Transaktion ändert. Die Einführung dieser Information, die ein Transaktionszähler sein kann, ermöglicht zu garantieren, dass man jedes Mal ein anderes Zertifikat hat. Eine Karte besitzt zu einem Zeitpunkt t eine bestimmte Anzahl von Werteinheiten. Zum Zeitpunkt t + n, d. h. nach einer bestimmten Anzahl n von Transaktionen, wenn diese Karte erneut die gleiche Anzahl von Werteinheiten wie zum Zeitpunkt t enthält, ist das beigeordnete Zertifikat dennoch unterschiedlich. Selbstverständlich muss der Wert des Transaktionszählers bei jeder Transaktion geändert werden.
Mechanismus 3
Dieser Mechanismus besteht darin, die empfindlichen Informationen vor dem Ablauf einer Transaktion zu duplizieren. Die duplizierten Daten werden in der Karte gespeichert, und zwar im ungeschützten EEPROM-Speicher.
Der ungeschützte EEPROM-Speicher wird demnach in zwei Bereiche unterteilt, die im weiteren Verlauf aktiver Bereich und Kopiebereich genannt werden. Diese beiden Bereiche umfassen eine Anzahl von Werteinheiten sowie das entsprechende Zertifikat.
Bei einem Ablösen der Karte, wenn die gerade geänderten Daten im aktiven Bereich verdorben oder beschädigt sind, werden die im aktiven Bereich duplizierten Daten übernommen und in den aktiven Bereich übertragen. So bleibt die Karte in einem stabilen Zustand. Bei einem Ablösen der Karte muss das im Kopiebereich vorhandene Zertifikat dem Wert des Transaktionszählers der Karte entsprechen. Dadurch kann die Authentizität des Zertifikats des Kopiebereichs und somit die Unversehrtheit der Anzahl von Werteinheiten des Kopiebereichs überprüft werden. Daher muss der Transaktionszähler der Karte am Ende der Transaktion geändert werden.
Alle diese Sicherheiten können leider bestimmte Betrügereien nicht verhindern, die nachfolgend näher erläutert werden:
1. Betrugsfall
Im Fall von in einem durch die Chipkarte nicht geschützten Speicherbereich vorhandenen Werteinheiten besteht der Betrug darin, die in der Karte vorhandene Anzahl von Werteinheiten zu ändern und verschiedene Zertifikatwerte zu versuchen.
Ein Betrüger, der eine kleine Anzahl von Werteinheiten in der Karte hat, wird sie demnach durch die maximale Anzahl von Werteinheiten ersetzten, die seine Karte enthalten kann. In diesem Fall hindert kein Mechanismus die Änderung des Inhalts des Speicherbereichs der Karte, da die Karte keinen geschützten Bereich besitzt. Dann wird der Betrüger anstelle des vorherigen Zertifikats einen Zufallswert in die Karte eintragen. Aufgrund der geringen Speicherkapazitäten der verwendeten Komponenten werden die Zertifikate über einige Bits gespeichert.
Die Wahrscheinlichkeit, das der Anzahl von Werteinheiten der Karte entsprechende Zertifikat zufällig zu finden, ist hoch. Aus kryptographischer Sicht kann die Karte nicht als ein gesicherter Werteinheitsträger betrachtet werden. Dieser Betrug gestattet, eine Karte illegal mit Werteinheiten aufzuladen.
2. Betrugsfall
Im Fall einer Abbuchung von Werteinheiten aus der Karte und im Fall eines Ablösens, weist die Karte einen eventuell verdorbenen aktiven Bereich und einen Kopiebereich auf, der eine bestimmte Anzahl von Werteinheiten enthält. Ferner enthält der Kopiebereich die Anzahl von Werteinheiten vor der Abbuchung.
Da es sich um eine Transaktionsunterbrechung handelt, kann der Transaktionszähler noch nicht geändert worden sein. Da der die Werteinheiten enthaltende Speicherbereich nicht gegen die Änderungen geschützt ist, kann ein Betrüger den Inhalt des Kopiebereichs in den aktiven Bereich übertragen. Der Inhalt des Kopiebereichs ist gültig, da sein Zertifikat immer noch dem Wert des Transaktionszählers entspricht. Dieser Betrug ermöglicht, bereits benutzte Werteinheiten wieder zu verwenden.
3. Betrugsfall
Ein Betrüger kann ebenfalls den Inhalt seiner Karte vor einer Transaktion lesen. Er notiert den Inhalt des aktiven Bereichs auf einem Blatt Papier, auch wenn er seine Bedeutung nicht kennt. Dann führt er eine Transaktion durch. Im Fall eines Ablösens der Karte wird die Transaktion nicht beendet. Der Wert des Transaktionszählers der Karte wird nicht geändert. Der Betrüger braucht dann nur die Daten wieder in den aktiven Bereich der Karte einzutragen, die er auf seinem Blatt Papier notiert hatte. Dieser Betrug ermöglicht ebenfalls, bereits benutzte Werteinheiten wieder zu verwenden.
Die vorliegende Erfindung ermöglicht, diese Probleme zu beheben.
Der Gegenstand der vorliegenden Erfindung ist ein Speicherverfahren von Werteinheiten in einer Chipkarte zur Durchführung von Transaktionen ab einem Terminal gemäß Patentanspruch 1.
Die vorliegende Erfindung betrifft ebenfalls ein Terminal gemäß Definition des Patentanspruchs 9.
Nach einem anderen Merkmal werden die Verschlüsselungsoperationen anhand eines Verschlüsselungsalgorithmus E_K und eines Geheimschlüssels K vom Transaktionsterminal durchgeführt.
Nach einem anderen Merkmal besteht das Verfahren insgesamt darin, ein Zertifikat für den aktiven Bereich unter Verwendung einer ersten Funktion und das Zertifikat für den Kopiebereich unter Verwendung einer zweiten Funktion zu berechnen. Wenn das Zertifikat des Kopiebereichs dann in den aktiven Bereich kopiert werden würde, wäre es nicht mehr gültig.
Genauer gesagt besteht das Verfahren aus folgenden Schritten:

– Berechnung ab einer ersten mathematischen Funktion FA eines ersten Zertifikats CA, das im aktiven Bereich gespeichert wird und die Unversehrtheit der Punkte dieses Bereichs garantiert;
– Berechnung ab einer zweiten mathematischen Funktion FB eines zweiten Zertifikats CB, das im Kopiebereich gespeichert wird und die Unversehrtheit dieses Bereichs garantiert.

Um zu vermeiden, dass der Inhalt des aktiven Bereichs im Falle eines Ablösens benutzt werden kann, erfolgt die Berechnung des Zertifikats für den Kopiebereich gemäß einem anderen Merkmal der Erfindung ab der Anzahl von Werteinheiten, jedoch ebenfalls ab dem Wert eines Transaktionszählers. Während der Initialisierungsphase einer Transaktion berechnet man das Zertifikat ab der im aktiven Bereich vorhandenen Anzahl von Werteinheiten und ab einem um seinen nächsten Wert inkrementierten Wert des Transaktionszählers, die erhaltene Information wird verschlüsselt und im Kopiebereich gespeichert, der Transaktionszähler wird dann um diesen neuen Wert inkrementiert, so dass zu diesem Zeitpunkt das Zertifikat des aktiven Bereichs nicht mehr mit dem Wert des Zählers übereinstimmt, wobei nur die gespeicherte Information richtig ist. In dieser Weise verzeichnet das Terminal in der Karte den Beginn einer Transaktion.
Nach einem Merkmal der Erfindung unterscheidet man eine ungewollt abgelöste Karte von einer betrügerisch abgelösten Karte, indem man die Parität des Transaktionszählers während der Initialisierungsphase der Transaktion überprüft. Denn wenn man per Konvention wählt, dass ein ungerader Wert des Transaktionszählers anzeigt, dass die Karte vor dem Ende der Transaktion abgelöst wurde, dann überprüft das Terminal während der Initialisierungsphase einer neuen Transaktion die Parität des Transaktionszählers. Ein ungerader Wert des Transaktionszählers zeigt ihm also an, dass die Karte abgelöst wurde. Das Terminal überprüft nicht die Unversehrtheit des aktiven Bereichs, sondern direkt die Unversehrtheit des Kopiebereichs. Der Betrüger kann dann die Zufallswerte nicht mehr testen, die er in den aktiven Bereich einträgt.
Demnach ist gemäß dem Verfahren die Parität des Werts des bei der Berechnung der Zertifikate verwendeten Transaktionszählers am Anfang und am Ende der Transaktion identisch, und der Wert des Transaktionszählers wird während der Transaktion zweimal inkrementiert, jedes Mal um eine einzige Einheit.
Während der Initialisierungsphase einer Transaktion liest man den Wert des Transaktionszählers der Karte. Wenn der gelesene Wert ungerade ist, liest man die Informationen des Kopiebereichs (ZC), überprüft man die Unversehrtheit der Informationen des Kopiebereichs, berechnet man ein Zertifikat ab der im Kopiebereich (ZC) vorhandenen Anzahl von Werteinheiten und dem um seinen nächsten geraden Wert inkrementierten Wert des Transaktionszählers, die erhaltene Information wird verschlüsselt und im aktiven Bereich (ZA) gespeichert, dann wird der Zähler um diesen neuen Wert inkrementiert, so dass zu diesem Zeitpunkt das Zertifikat des Kopiebereichs (ZC) nicht mehr mit dem Wert des Zählers übereinstimmt, wobei nur noch die Information des aktiven Bereichs richtig ist.
Weitere Vorteile und Merkmale der Erfindung ergeben sich aus der nachfolgenden exemplarischen und nicht begrenzenden Beschreibung unter Bezugnahme auf die Zeichnungen, in denen:
1 das Schema eines Transaktionssystems darstellt,
2 eine Struktur der Daten des Speichers 103 der Chipkarte nach einem Ausführungsbeispiel darstellt,
3 die von einem Terminal umgesetzten Schritte einer Transaktion darstellt,
4 die bei der Unversehrtheitsprüfung der Daten des aktiven Bereichs oder des Kopiebereichs umgesetzten Schritte darstellt,
5 die Schritte vor einer in 3 beschriebenen Transaktion darstellt,
6 die Aktualisierungsschritte des Restbetrags während einer Transaktion und am Ende der Transaktion darstellt.
Nach einem ersten Merkmal der Erfindung verschlüsselt man den Inhalt des aktiven Bereichs ZA und des Kopiebereichs ZC des in 1 dargestellten ungeschützten EEPROM-Speichers.
Diese Verschlüsselung wird von einem Terminal 100 der die Karten benutzenden Applikation anhand eines Verschlüsselungsalgorithmus E_K und eines Schlüssels des Terminals K durchgeführt. Dieser Verschlüsselungsschlüssel ist den Terminals bekannt, die die Karten der Applikation akzeptieren. Ein Terminal, das Verschlüsseln kann, kann ebenfalls den Inhalt der Karte ab einem Entschlüsselungsalgorithmus D_K entschlüsseln.
Ein Betrüger, der die nachfolgend beschriebenen Prinzipien der Erfindung kennt, und der versucht, die Anzahl von Werteinheiten einer Karte zu erhöhen, ist nicht mehr in der Lage, die maximale Anzahl von Werteinheiten zu fixieren. Er kann nur versuchen, seine Karte zufällig wieder aufzuladen. Dazu trägt er Zufallsdaten in den aktiven Bereich seiner Karte ein. Es besteht eine Wahrscheinlichkeit, dass ein Terminal durch Entschlüsseln des zufällig geänderten aktiven Bereichs einer Karte eine Anzahl von Werteinheiten sowie das entsprechende Zertifikat erhält. Jedoch kann die erhaltene Anzahl von Werteinheiten kleiner sein als die Anzahl von Werteinheiten, die zuvor in der Karte enthalten war. Die Wahrscheinlichkeit, eine größere Anzahl von Werteinheiten zu erhalten als die ursprünglich in der Karte enthaltene Anzahl von Werteinheiten ist um so kleiner, als diese ursprüngliche Anzahl von Werteinheiten groß ist.
Um den Betrug, der darin besteht, zufällig ein einer großen Anzahl von Werteinheiten entsprechendes Zertifikat zu finden, noch schwieriger zu machen, ist gemäß dem Verfahren vorgesehen, die Größe des Zertifikats zu erhöhen. Je größer das Zertifikat ist, um so schwieriger ist es, den richtigen Wert zu finden. Da die Speichergrößen in einer Chipkarte jedoch relativ klein sind, ist es nicht möglich, gleichzeitig eine große Anzahl von Einheiten und ein großes Zertifikat zu haben.
Um dieses Problem zu lösen, wird gemäß einem Merkmal der Erfindung vorgeschlagen, dass die in der Karte gespeicherte Anzahl von Werteinheiten nicht der Anzahl von Werteinheiten für die Applikation entspricht, sondern der Anzahl von Werteinheiten, die Gegenstand einer Transaktion war (Null bei einer mit Einheiten vollen Karte).
Diese Anzahl Beträgt demnach Null solange keine Transaktion stattgefunden hat. Eine Anzahl Null von Werteinheiten in der Karte entspricht also dem maximalen Wert von Werteinheiten für die Applikation. Und umgekehrt, der maximale Wert von Werteinheiten in der Karte entspricht einem Wert Null von Werteinheiten für die Applikation.
Ein den Inhalt einer Karte lesendes Terminal der Applikation erhält die Anzahl von Werteinheiten, indem es von der maximalen Anzahl von Werteinheiten der Applikation die Anzahl von Werteinheiten abzieht, die in der Karte enthalten ist.
Wenn die Karte demnach eine Null enthält, entspricht dies dem maximalen Wert. Eine Null in der Karte wird über ein einziges Bit codiert. Die restlichen Bits des Codierbereichs der Anzahl von Werteinheiten können demnach verwendet werden, um das Zertifikat zu enthalten.
Je größer die Anzahl von Werteinheiten ist, desto kleiner ist der in der Karte codierte Wert, um so größer ist also die dem Zertifikat zugeordnete Speichergröße.
Den Terminals muss für jede Karte die dem Zertifikat zugeordnete Speichergröße angegeben werden. Hierfür wird diese Größe im ungeschützten EEPROM-Speicherbereich der Karte angegeben, mit der Anzahl von Werteinheiten und dem Zertifikat. Diese Angabe ist im aktiven Bereich und im Kopiebereich vorhanden.
Nach einem anderen Merkmal der Erfindung erfolgt die Berechnung des Zertifikat des aktiven Bereichs auf eine andere Weise als die Berechnung des Zertifikats des Kopiebereichs.
Dann ist es nicht mehr möglich, den Inhalt aus dem aktiven Bereich in den Kopiebereich zu übertragen. Ein Terminal, das eine Karte überprüft, deren Inhalt aus dem Kopiebereich in den aktiven Bereich übertragen wurde, ist in der Lage, den Betrug festzustellen. Das Zertifikat, das das Terminal in dem aktiven Bereich liest, entspricht dann nicht der Berechnung, die im Fall des aktiven Bereichs durchgeführt wurde, sondern der Berechnung für den Kopiebereich.
Nach einem anderen Merkmal der Erfindung, damit der Inhalt des aktiven Bereichs einer Karte bei einem Ablösen der Karte nicht wieder verwendet werden kann, wird der Transaktionszähler ganz am Anfang der Transaktion ebenfalls geändert. Der Kopiebereich wird mit der im aktiven Bereich enthaltenen Anzahl von Werteinheiten und mit einem den nächsten Wert des Transaktionszählers berücksichtigenden Zertifikat initialisiert. Genau zu diesem Zeitpunkt kann der Inhalt des aktiven Bereichs nicht wieder verwendet werden, da der Transaktionszähler nicht mehr seinem Zertifikat entspricht. Der Kopiebereich ist jedoch gültig.
Der Transaktionszähler wird am Ende der Transaktion nochmals geändert, um zu vermeiden, dass diese Transaktion wiederholt werden kann, wie bereits geschildert.
Das Verfahren kann ebenfalls die Überprüfung der Parität der sich bei jeder Transaktion ändernden Information betreffen. Diese Information, die ein Transaktionszähler sein kann, wird während einer kompletten Transaktion zweimal inkrementiert, jedes Mal um eine Einheit. Die Parität des Werts des Transaktionszählers ist demnach am Anfang und am Ende der Transaktion identisch. Wenn der erste Wert des Transaktionszählers gerade ist, ist der Wert des Transaktionszählers am Anfang und am Ende der Transaktion ebenfalls gerade.
Die Parität des Transaktionszählers muss am Anfang der Transaktion überprüft werden, der Wert des Transaktionszählers muss gerade sein. Sollte der Wert des Transaktionszählers am Anfang der Transaktion ungerade sein, muss die Unversehrtheit der Informationen des Kopiebereichs der Karte direkt überprüft werden. Wenn die Überprüfung erfolgreich ist, überträgt das Terminal die Daten aus dem Kopiebereich in den aktiven Bereich.
Nachfolgend wird die Erfindung im Fall einer Applikation auf ein Geldtransaktionssystem beschrieben, wobei das Terminal 100 ein Geldterminal und die Karte 103 eine elektronische Geldbörsenkarte sind.
Nach einem bevorzugten Ausführungsbeispiel ist die Datenstruktur des Speichers 103 wie in 2 dargestellt. Diese Struktur bzw. Organisation dient natürlich nur als Beispiel. Andere Organisationen können angepasst werden.
Der Speicher umfasst Identifikationsdaten mit:

– einem Identifikationswert der Schaltung (Silizium-Schaltung) im Bereich Id Schaltung,
– einem Kundencode im Referenzbereich des Ausstellers der Karte (Bankinstitut), – einer Identifikationsinformation der Applikation im Bereich Id Card (vom Aussteller angegeben),
– einer Seriennummer CSN der Karte (beispielsweise vom Hersteller angegeben).

Der Speicher umfasst einen Zählerbereich mit den folgenden Feldern:

– einem Betrugszähler, der bei jeder negativen Überprüfung eines Zertifikats inkrementiert wird.

Dieser Zähler besteht aus 3 Bits, je nach vorgenommener praktischer Realisierung.

– einem Transaktionszähler CTC.

Bei einem Ausführungsbeispiel ist dieser Zähler CTC in 5 Unterzähler a 8 Bits unterteilt (fünf Zählstufen), der wie ein Kugelschieber funktioniert, wie beispielsweise im Patent FR 93 10477 beschrieben, das am 10. März 1995 unter der Nr. 2 709 582 veröffentlicht wurde. Die fünf Unterzähler sind mit C1, C8, C64, C512, C4096 bezeichnet. Die Speicherzellen der Zählstufe C1 haben ein Gewicht von 1,... und diejenigen der Stufe C4096 ein Gewicht von 4096 = 8⁴.
Die ersten vier Stufen sind löschbar, d. h. man kann die dort eingetragenen Bits löschen und dann wieder an den gleichen Stellen eintragen. Die fünfte Stufe C4096 kann demgegenüber nur geschrieben werden. Nur 4 Bits dieser letzten Stufe werden zum Zählen verwendet. Unter den 4 restlichen Bits werden 1 Bit als Sicherung und die drei anderen Bits als Betrugszähler verwendet.
Zwei Bits werden pro Transaktion verbraucht. Demnach gestattet dieser Zählertyp, 10239 Transaktionen zu zählen [7 + 7 × 8 + 7 × 8² + 7 × 8³ + 4 × 8⁹]/2.
Der Speicher umfasst ferner:

– einen Zertifikatbereich.

Dieser Bereich kann nicht gelöscht werden und dient zum Speichern von Zertifizierungen CER, die eine Authentifizierung der Karte gestatten. Das Authentifizierungszertifikat wird nach der Konfiguration der Schaltung für den Endbenutzer gespeichert und vom Terminal bei jeder Benutzung der Karte überprüft.
Es wird beispielsweise berechnet ab einer Identifikationsinformation ID, einer Funktion in einer Richtung f_OF und einem Geheimschlüssel, gemäß der Formel: CER = fOF (ID, K)
ID ist beispielsweise der Inhalt der Identifikationsbereiche der Karte, Identifikation der Schaltung oder der Ausstellerreferenz.

– einen Benutzerbereich.

Dabei handelt es sich um den aktiven Bereich elektronische Geldbörse und den Kopiebereich für die Sicherungen.
Nach einem Merkmal der Erfindung enthält der aktive Bereich eine verschlüsselte Information des Restbetrags Bal und des entsprechenden Zertifikats Cert. Die Information des Restbetrags von Werteinheiten entspricht einer Codierung über eine erste konstante Anzahl von Bits, und die das Zertifikat darstellende Information ist über eine zweite konstante Anzahl von Bits codiert.
Die verschlüsselte Information, die einem der beiden Bereiche der Einheitsträgers entspricht, kann wie folgt geschrieben werden: <Bal, Cert> = EK (Bal, Cert)wobei
Bal die Anzahl von Werteinheiten und Cert das entsprechende Zertifikat,
K der Geheimschlüssel des Terminals,
<Information> der verschlüsselte Wert,
(Information) der nicht verschlüsselte Wert,
E_K der Verschlüsselungsalgorithmus sind.
Die Berechnung des Zertifikats ermöglicht, die Unversehrtheit der Daten der elektronischen Geldbörse zu gewährleisten.
Bei der Berechnung werden die folgenden Daten verwendet:

– der Wert des Restbetrags, was das Zertifikat für einen bestimmten Restbetrag einzigartig macht,
– die permanenten Daten der Karte, d. h. die Identifikationsdaten (Karte und Aussteller),
– der Transaktionszähler CTC. Bei jeder Transaktion werden in diesem Zähler CTC zwei Bits verbraucht, und der Zähler kann nur inkrementiert oder nur dekrementiert werden. Ein Bit wird am Anfang einer Transaktion verbraucht, ein zweites Bit am Ende der Transaktion.

Nach einem der Merkmale der Erfindung werden die einem Restbetrag entsprechenden Zertifikate in folgender Weise vom Terminal berechnet: Cert A = FA (Bal, CSN, CTC)für den aktiven Bereich der Börse
und Cert B = FB (Bal, CSN, CTC)für den Kopiebereich der Börse,
wobei F_A und F_B verschiedene Funktionen des Terminals sind. Als Funktion kann man beispielsweise einen Algorithmus DES nehmen, der einen Geheimschlüssel k des Terminals verwendet.
Bei einer Transaktion erfolgt das Speichern der Informationen bezüglich des Restbetrags und des Zertifikats im Kopiebereich und im aktiven Bereich wie folgt:

– Speichern des Restbetrags und seines Zertifikats (die im aktiven Bereich vorhanden sind) in den Kopiebereich,
– Löschen des aktiven Bereichs,
– Eintragen des neuen Restbetrags in den aktiven Bereich und seines Zertifikats,
– Löschen des Kopiebereichs (Löschen der Sicherungsinformation).

Diese Verkettung ermöglicht, Informationsverluste im Fall eines Ablösens der Karte und eines Stromausfalls zu vermeiden.
Die einzelnen von dem Terminal umgesetzten Schritte sind in Form von Funktionsblöcken in 3 dargestellt:
Das Verfahren umfasst eine Initialisierungsphase der Transaktion und eine der eigentlichen Transaktion entsprechende Phase.
Die Initialisierungsphase umfasst eine Überprüfung des Betrugsbereichs entsprechend den Schritten 50, 51, 52, der nachfolgend näher erläutert wird.
Diese Initialisierungsphase umfasst ferner eine Überprüfung der Parität der sich bei jeder Transaktion ändernden Information, was gemäß dem Schema in 3 den Schritten 400, 401, 203A, 204A, 205A, 207A entspricht.
Wenn der erste Wert des Transaktionszählers gerade ist, so ist der Wert des Transaktionszählers am Anfang und am Ende der Transaktion ebenfalls gerade.
Die Parität des Transaktionszählers wird am Anfang der Transaktion in den Schritten 400, 401 überprüft, wobei der Wert des Transaktionszählers gerade sein muss.
Sollte der Wert des Transaktionszählers am Anfang der Transaktion ungerade sein, muss die Unversehrtheit der Informationen des Kopiebereichs der Karte durch Ausführung der Schritte 20, 21 und 22 in 4 direkt überprüft werden, 204A.
Ist die Überprüfung erfolgreich, überträgt das Terminal die Daten aus dem Kopiebereich in den aktiven Bereich, Schritt 205A. Dann zeigt das Terminal den Anfang einer Transaktion in der Karte an, indem es den Zähler CTC inkrementiert. Danach kehrt das Terminal wieder zum Schritt 401 zurück.
Ist die Überprüfung der Unversehrtheit negativ, führt das Terminal den Schritt 206 aus, d. h. Inkrementierung des Betrugszählers der Karte und Auswurf der Karte.
Nach der Überprüfung der Parität liest das Terminal den Inhalt des aktiven Bereichs der Karte (elektronische Geldbörse PM) 150, der die Information <Bal1, Cert1_A> enthält. Bal1 ist die Anzahl von Werteinheiten, die ursprünglich in der Karte gespeichert war, und CertlA ist das ursprünglich in der Karte gespeicherte Zertifikat.
Das Terminal überprüft die Unversehrtheit dieser Daten, Schritt 200. Hierfür entschlüsselt es diese Information gemäß den in 4 dargestellten Schritten 20 bis 22. Wenn das von ihm berechnete Zertifikat dem Zertifikat der Karte entspricht, dann war die Überprüfung erfolgreich. Die Transaktion wird fortgesetzt 201, 202, 300.
Das Terminal aktualisiert den Restbetrag in der Karte und berechnet eine neue Information 301 und 302. Die Aktualisierung erfolgt gemäß den in 6 dargestellten Schritten 30 bis 35.
Wenn die Unversehrtheit der Daten des aktiven Bereichs nicht überprüft wird, liest das Terminal den Kopiebereich, der <Bal1, Cert1_B> enthält, 203.
Das Terminal überprüft die Unversehrtheit der Sicherungsdaten 204 durch Entschlüsseln dieser Daten, indem es die Schritte 20, 21 und 22 von 4 auf diese Daten umsetzt.
Wenn das berechnete Zertifikat gleich dem Zertifikat dieses Bereichs Cert1'B==Cert1b ist, dann sind die Daten unversehrt, und das Terminal stellt diese Sicherungsinformation im aktiven Bereich wieder her, der nichts oder eine falsche Information 205 enthielt.
Wenn die im Kopiebereich enthaltenen Daten nicht unversehrt sind, dann trägt das Terminal einen Bit in den Betrugsbereich ein, 206.
Je nach Applikation können ein oder mehrere Betrugsversuche akzeptiert werden, bevor die Karte endgültig abgelehnt wird.
Wenn der Betrugsbereich voll ist, wird die Karte verschluckt. Die Kontrolle des Betrugsbereichs erfolgt in einem Schritt vor der Transaktion, ganz am Anfang der Initialisierung der Transaktion, 50, 51, 52.
5 zeigt die Schritte 200, 201 und 202 vor der Umsetzung einer Transaktion. Für die Berechnung der Zertifikate kann man beliebig die verschiedenen Funktionen FA und FB benutzen.
Beim Schritt 200 (bzw. 204 oder 204A) führt das Terminal die in 4 dargestellten Operationen aus. Das Terminal nimmt die Entschlüsselung des Inhalts des aktiven Bereichs (oder des Kopiebereichs) vor. (20)
Im Schritt 200:
Berechnet es dann das Zertifikat Cert1A, das dem Restbetrag (Bal1) dieses Bereichs entspricht. (21) Überprüft es die Unversehrtheit. (22)
Im Schritt 201:

– berechnet das Terminal das Zertifikat (Cert1B) für den Sicherungsbereich; (23) berechnet es die Information (Bal1, Cert1B): (24) sichert es den berechneten Wert im Kopiebereich der Karte. (25)

Im Schritt 202:

– inkrementiert das Terminal den Zähler CTC; (26)
– löscht es den Inhalt des aktiven Bereichs. (27)

In den Schritten 204 bzw. 204A berechnet das Terminal dann das Zertifikat Cert 1b, das dem Restbetrag Bal1 dieses Bereichs entspricht (21). Es nimmt die Unversehrtheitsüberprüfung vor (22). Das Terminal berechnet das Zertifikat Cert 1A für den aktiven Bereich (23), es verschlüsselt die Information Bal1, Cert 1A (24), es sichert den verschlüsselten Wert (25) im aktiven Bereich der Karte. Dann inkrementiert das Terminal den Zähler CTC (26) und löscht den Inhalt des Kopiebereichs (27).
6 zeigt die Aktualisierungsschritte des Restbetrags (301) während einer Transaktion sowie das Ende der Transaktion (302).
Der alte Restbetrag Bal1 wird um einen Wert x geändert (plus oder minus, je nach durchgeführter Transaktion), um den neuen Restbetrag Bal2 zu ergeben, wie:
Bal2 = Bal1 ± x (30), wobei x der Wert der Transaktion ist.
Das Terminal berechnet ein neues Zertifikat unter Berücksichtigung dieses neuen Restbetrags und des neuen Werts des Transaktionszählers CTC+1: Cert2A = FA (Bal2, Card Id, CTC+1) (31)
Das Terminal verschlüsselt diese neuen Daten: <Bal2, Cert2A> = EK (Bal2, Cert2A) (32)
Das Terminal speichert diesen neuen verschlüsselten Wert in dem aktiven Bereich der Karte. (33)
Der Kopiebereich der Karte enthält die alte Information, d. h. <Bal1, Cert1_B>. Das Terminal inkrementiert den Transaktionszähler CTC der Karte, indem es ein zweites Bit verbraucht, um die Transaktion zu bestätigen. (34)
Das Terminal löscht den Kopiebereich (35) und ordnet den Auswurf der Karte an.

Claims

Speicherverfahren von Werteinheiten in einer Chipkarte zur Durchführung von Transaktionen von einem Terminal aus, wobei die Karte einen nicht flüchtigen Speicher des Typs EEPROM (103) umfasst, mit einem aktiven Bereich (ZA), der Informationen bezüglich der Anzahl von Werteinheiten der Karte für eine bestimmte Applikation und bezüglich eines Zertifikats enthalten kann, das für den aktiven Bereich bestimmt ist und vom Terminal ab dieser Anzahl berechnet wird, wobei der Speicher ebenfalls einen Kopiebereich (ZC) umfasst, der Sicherungsinformationen des aktiven Bereichs enthalten soll, dadurch gekennzeichnet, dass es aus den folgenden Schritten besteht: – Aufzeichnen in dem Kopiebereich (ZC) während der Initialisierungsphase einer Transaktion der Information bezüglich der im aktiven Bereich vorhandenen Anzahl von Werteinheiten der Karte für eine bestimmte Applikation und einer ab dieser Anzahl berechneten Information bezüglich eines Zertifikats für den Kopiebereich, wobei die Informationen bezüglich der im aktiven Bereich vorhandenen Anzahl von Werteinheiten und bezüglich des Zertifikats für den Kopiebereich verschlüsselt und im Kopiebereich (ZC) verschlüsselt eingetragen werden; – Aufzeichnen in dem aktiven Bereich (ZA) während der Transaktion von Informationen bezüglich einer neuen Anzahl von Werteinheiten der Karte für eine bestimmte Applikation und bezüglich eines neuen Zertifikats für den aktiven Bereich, das vom Terminal ab dieser neuen Anzahl von Werteinheiten berechnet wird, wobei die Informationen bezüglich der neuen Anzahl von Werteinheiten und des neuen Zertifikats für den aktiven Bereich verschlüsselt und im aktiven Bereich verschlüsselt eingetragen werden.
Speicherverfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Verschlüsselungsoperationen anhand eines Verschlüsselungsalgorithmus Ek und eines Geheimschlüssels K vom Transaktionsterminal durchgeführt werden.
Speicherverfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das Zertifikat für den aktiven Bereich (CertA) unter Verwendung einer ersten Funktion (FA) berechnet wird, und dass das Zertifikat für den Kopiebereich (CertB) unter Verwendung einer anderen Funktion (FB) berechnet wird.
Speicherverfahren nach Anspruch 3, dadurch gekennzeichnet, dass: – während der Initialisierungsphase der Transaktion die Informationen bezüglich der im aktiven Bereich vorhandenen Anzahl von Werteinheiten der Karte für eine bestimmte Applikation und bezüglich des ab dieser Anzahl berechneten Zertifikats (CertB) für den Kopiebereich gemäß einer ersten Verschlüsselungsoperation verschlüsselt werden, – während der Transaktion die Informationen bezüglich der neuen Anzahl von Werteinheiten der Karte für eine bestimmte Applikation und bezüglich des neuen Zertifikats (CertA) für den aktiven Bereich, das vom Terminal ab dieser neuen Anzahl von Werteinheiten berechnet wurde, gemäß einer zweiten Verschlüsselungsoperation verschlüsselt werden.
Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass während der Initialisierungsphase der Transaktion: – das Zertifikat für den Kopiebereich ab der im aktiven Bereich vorhandenen Anzahl von Werteinheiten und ab einem Wert eines um seinen nächsten Wert inkrementierten Transaktionszählers berechnet wird, – der Transaktionszähler dann um diesen neuen Wert inkrementiert wird, so dass nach dem Aufzeichnen der Informationen im Kopiebereich das Zertifikat des aktiven Bereichs nicht mehr mit dem Wert des Zählers übereinstimmt, wobei nur die Sicherungsinformationen richtig sind.
Verfahren nach dem vorangehenden Anspruch, nach dem der Wert des Transaktionszählers für die Berechnung der Zertifikate verwendet wird, wobei die Parität des Werts des Transaktionszählers während der Initialisierungsphase und am Ende der Transaktion identisch ist, und wobei der Wert des Transaktionszählers während der Transaktion zwei Mal inkrementiert wird, wobei jede Inkrementierung um eine einzige Einheit erfolgt.
Verfahren nach dem vorangehenden Anspruch, dadurch gekennzeichnet, dass man während der Initialisierungsphase der Transaktion den Wert des Transaktionszählers der Karte liest, wenn der gelesene Wert gerade ist, man die Informationen des aktiven Bereichs (ZA) liest, man die Unversehrtheit der Informationen des aktiven Bereichs überprüft, die Unversehrtheit der Informationen des aktiven Bereichs überprüft wird, man die Werteinheiten in der Chipkarte speichert.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass man während der Initialisierungsphase einer Transaktion den Wert des Transaktionszählers der Karte liest, wenn der gelesene Wert ungerade ist, man die Informationen des Kopiebereichs (ZC) liest, man die Unversehrtheit der Informationen des Kopiebereichs liest, die Unversehrtheit der Informationen des Kopiebereichs überprüft wird, man ein Zertifikat berechnet ab der im Kopiebereich (ZC) vorhandenen Anzahl von Werteinheiten und ab dem um seinen nächsten geraden Wert inkrementierten Wert des Transaktionszählers, die erhaltene Information verschlüsselt und im aktiven Bereich (ZA) aufgezeichnet wird, der Zähler dann um diesen neuen Wert inkrementiert wird, so dass das Zertifikat des Kopiebereichs (ZC) nicht mehr mit dem Wert des Zählers übereinstimmt, wobei nur die Information des aktiven Bereichs richtig ist.
Transaktionsterminal, das Chipkarten benutzt, die einen nicht flüchtigen Speicher des Typs EEPROM (103) umfassen, mit einem aktiven Bereich (ZA), der Informationen bezüglich der Anzahl von Werteinheiten der Karte für eine bestimmte Applikation und bezüglich eines Zertifikats enthalten kann, das für den aktiven Bereich bestimmt ist und vom Terminal ab dieser Anzahl berechnet wird, wobei der Speicher ebenfalls einen Kopiebereich (ZC) umfasst, der Sicherungsinformationen des aktiven Bereichs enthalten soll, dadurch gekennzeichnet, dass das Terminal ein Verschlüsselungsmittel umfasst, um während der Initialisierungsphase einer Transaktion die Information bezüglich der im aktiven Bereich vorhandenen Anzahl von Werteinheiten der Karte für eine bestimmte Applikation und eine Information bezüglich eines ab dieser Anzahl berechneten Zertifikats für den Kopiebereich zu verschlüsseln, und um während der Transaktion Informationen bezüglich einer neuen Anzahl von Werteinheiten der Karte für eine bestimmte Applikation und bezüglich eines neuen Zertifikats für den aktiven Bereich, das vom Terminal ab dieser neuen Anzahl von Werteinheiten berechnet wird, zu verschlüsseln, sowie ein Mittel zum Aufzeichnen im Kopierbereich der während der Initialisierungsphase verschlüsselten Daten und zum Aufzeichnen im aktiven Bereich der während der Transaktion verschlüsselten Informationen.