DK166114B - Fremgangsmaade til at forhindre ubefoejet erhvervelse af information - Google Patents

Description

i

DK 166114B

Opfindelsen angår en fremgangsmåde til at forhindre u-vedkommende erhvervelse af information, som indføres i et apparat ved tastnedtrykninger på et tastatur og som overføres fra tastaturet i form af elektriske sig-5 naler på elektriske ledninger til en behandlingsenhed.

Idag anvendes i mange sammenhænge et magnetkort som en "nøgle" til erhvervelse af penge og varer. Et eksempel på dette er kontokortautomater på benzinstationer og udbetal ingsaut oifiater af typen Bankomal® og Minuten® 10 til udtrækning af penge. Specielt i det sidste til fælde er det naturligvis meget vigtigt, at ingen anden end den retmæssige ejer af kortet kan udnytte dette til at udtrække penge, og at ingen ved hjælp af et forfalsket kort kan få penge ud. For at forhindre, at 15 uær lige personer, som har forfalsket, fundet, stjålet eller på anden måde er kommet i besiddelse af en andens magnetkort skal kunne få penge ud, kombineres kortet derfor med en personlig kode, en såkaldt PIN-kode (Personale Identification Njumber), som skal ind-20 læses i udtrækningsautomaten, for at det skal være muligt at foretage et udtræk. Mellem PIN-koden og informationen på magnetkortet findes nemlig en vis sammenhæng, som kontrolleres, og som skal være korrekt for at en udtrækning skal godkendes. Kontrollen gø-25 res enten af datamaten i automaten eller af en cen tral datamat. I det sidste tilfælde krypteres PIN-koden af datamaten i automaten inden den sendes til den centrale datamat.

Fra beskrivelsen til US 4 234 932 kendes et system, 30 som netop tilsigter at gøre det vanskeligere for en bedrager at få penge ud fra en bankautomat uden adgang til både magnetkort og PIN-kode. Systemet omfatter en fjernterminal med en kortlæser, en slump-talsgenerator, en PIN-signalgenerator, en sikkerheds- 2

DK 166114B

anordning og en seddelafgiver. I systemet indgår også en centraldatamat, som modtager kortdata, et signal if), som kobler PIN-koden til anvenderens fil (X) i hukommelsen og et slumptal (w). Datamaten afgiver et 5 godkendelsessignal, som består af summen (Z) af de tre ovennævnte signaler. Dette godkendelsessignal sammenlignes i sikkerhedsanordningen med den af brugeren indlæste PIN-kode og med slumptallet (iw), og hvis et vist forhold foreligger imellem dem, gives et afsen-10 delsessignal til seddela fgiveren. j

Ikke en gang et sådan system med både kort og PIN-kode er imidlertid sikkert imod bedragere. En bedrager kan spionere, når et tiltænkt offer trykker sin kode ind, for senere på en eller anden måde at tilrane sig den-15 nes kort.

Udspionering af koden kan imidlertid undgås ved hjælp af en i beskrivelsen til europæisk offentliggørelses-skrift 0 147 837 vist anordning, som skal forhindre, at uvedkommende kan opfatte en anvenders PIN-kode alene 20 ved at observere anvenderens fingerbevægelser, når han taster koden ind. Anordningen omfatter et tastatur og et tegnvindue. På tegnvinduet vises, hvilke cifre, som hver og en af tasterne på tastaturet modsvarer. Hver. tasts betydning kan således ændres med jævne mellemrum, 25 hvilket bevirker, at man ikke kan fastslå hvilken kode, der blev indtastet, ved blot at betragte fingerbevægelserne .

Endvidere er bedragerens mulighed for at få store summer penge ud begrænset af grænserne for, hvor mange 30 penge det er tilladt i et vist tidsrum at udtage via en udbetalingsautomat, og ved at ofret kan spærre sin konto.

3

DK 166114B

En større sikkerhedsrisiko for bankerne er muligheden for, at en uærlig person kobler sig ind på de ledninger i udbetalingsautomaten, på hvilke information overføres, og på den måde få adgang til både PIN-koden og 5 magnetbåndsinformationen for et stort antal kort. Ved at fremstille et antal forfalskede kort og anvende de aflyttede PIN-koder vil den uærlige person kunne udtrække penge fra et stort antal konti og derigennem få fat i en meget stor sum penge.

10 Der findes i princippet tre muligheder for, at en be drager kan opnå vigtige information i udbetalingsautomaten. Den første mulighed er, at bedrageren kobler sig ind på ledningerne mellem den lokale datamat i udbetalingsautomaten og den centrale datamat og af-15 lytter de derimellem overførte signaler. For at for svare adgangen til vigtig information, krypteres al kritisk information, som sendes mellem den lokale og centrale datamat. Den anden mulighed er, at bedrageren går ind og udlæser programkoden for den lokale da-20 tamat og derigennem får adgang til krypterings- og/eller kontrolalgoritmer. Dette kan imidlertid forhindres ved anvendelse af en fornylig i USA fremdraget sikkerheds-chips, som umuliggør udlæsning af programkoden. Den tre-die mulighed er endelig, at bedrageren aflytter signaler-25 ne på ledningerne mellem tastaturet og den lokale da tamat samt mellem magnetkortlæseren og den lokale datamat. Den eneste hidtil kendte fremgangsmåde til at beskytte denne del af udbetalingsautomaten er, at beskytte den fysisk. Dette er imidlertid ikke tilfreds-30 stillende ud fra et sikkerhedssynspunkt. Personer, som har adgang til udbetalingsautomatens indre, kan uden alt for store vanskeligheder fortsat fastgøre apparater, som muliggør aflytning. Den fysiske beskyttelse af denne del indebærer endvidere, at man ikke kan an-35 vende et tastatur med en hvilken som helst type taster, 4

DK 166114B

men disse skal være udformet på en speciel måde, som gør tastaturet klodset og dyrt.

Formålet med opfindelsen er derfor at angive en ny fremgangsmåde til at forhindre erhvervelse af in-5 formation, som indlæses i apparater af typen udbeta lingsautomater. Fremgangsmåden skal kunne anvendes ved eksisterende udbetalingsautomater og ikke kræve omfattende, dyre installationer.

Formålet opnås ved, at den i krav l's indledning an-10 givne fremgangsmåde er ejendommelig ved det i krav l's kendetegnende del angivne.

Det maksimale interval imellem to på hinanden følgende modtagelsesperioder skal naturligvis være væsentlig kortere end den korteste varighed af en tastned-15 trykning, så der ikke findes nogen risiko for, at no gen tastnedtrykning går tabt.

En uvedkommende, som kobler sig ind på ledningerne imellem tastaturet og den lokale datamat i udbetalingsautomaten kan altså ikke afgøre, når virkelige 20 tastnedtrykninger sker, og altså ikke afgøre hvilken PIN-kode, som hører sammen med informationen på det i udtagningsautomaten anvendte kort. For yderligere at forøge sikkerheden lader man varigheden af intervallet imellem modtagelsesperioderne variere på en tilfældig 25 måde, ligesom varigheden af de simulerede tastnedtryk ninger og deres frekvens.

Fordelen med den beskrevne fremgangsmåde ifølge opfindelsen er, at den kan tilpasses på eksisterende udbetalingsautomater, den kræver hverken dyre eller 30 omfattende installationer, og den mindsker kravet til den fysiske beskyttelse af den aktuelle del af udbe- 5

DK 166114B

talingsautomaten, hvilket muliggør anvendelse af andre tastaturer, end de, der anvendes i dag.

Opfindelsen skal i det følgende nærmere beskrives med henvisning til tegningen, hvorpå: 5 fig. 1 skematisk viser de i en udbetalingsautomat ind gående dele, og fig. 2 er et tidsdiagram og viser skematisk et eksempel på udseende af signalerne mellem tastaturet og datamaten i en udbetalingsautomat samt virkelige 10 og simulerede tastnedtrykninger, når fremgangsmåden ifølge opfindelsen anvendes.

Den i fig. 1 viste udbetalingsautomat omfatter hovedsageligt et tastatur 21, en kortlæser 22 og en datamat 23. Tastaturet 21 er af typen matricetastatur og 13 består af fire på figuren vandrette ledninger a^-a^ og fire på figuren lodrette ledninger d^-d^, som danner en matrice, hvor hvert skæringspunkt mellem en vandret og en lodret ledning modsvarer en tast. I den viste udførelsesform har tastaturet 21 altså seksten 20 taster 1-16. Ledningerne a^-a^, dg-d^ er forbundet med datamaten 23, som på konventionel måde indeholder en central enhed, læsehukommelse, direkte hukommelse, databusser, adressebusser og I/O-enheder, og som eksempelvis kan være den af Intel fremstillede kreds 25 8751. Datamaten 23 har en med kortlæseren 22 forbun det indgang 24, en med en ikke vist centraldatamat forbundet udgang 25 samt med adresseledningerne ag-a-j og dataledningerne dg-d^ forbundne adresseudgange A0-A3 respektivt dataind-/-udgange D0-D3. I det mindste 30 er de sidstnævnte altså bidirektionelle, d.v.s. de kan fungere både som ind- og udgange i afhængighed af, hvorledes de er programmerede.

6

DK 166114B

En person, som skal udtrække penge i en udbetalingsautomat af den.viste type, sætter på velkendt måde sit magnetkort ind i kortlæseren 22 og trykker sin PIN-kode ind ved hjælp af tasterne på tastaturet 21.

5 Datamaten 23 modtager den på kortet magnetisk kodede information på den med kortlæseren 22 forbundne indgang 24 og registrerer tastnedtrykningerne ved i rækkefølge at lægge en etter ud på adresseudgangene A0-A3 og for hver og en af disse indlæse de på datamatind-10 gangene D0-D3 modtagne nuller og ettere.

For at forhindre at nogen ved aflytning af ledningerne ag-a^ og dQ-d^ kan få adgang til brugerens PIN-koder, indlæser datamaten 23 kun information på datamatindgangene D0-D3 under visse modtagelsestidsperioder. Dis-15 se modtagelsestidsperioder skal have en så høj fre kvens, at der ikke findes nogen risiko for, at datamaten mister nogen tastnedtrykning. Det længste interval mellem to modtagelsesperioder skal altså være væsentlig kortere end den kortest tænkelige tastned-20 trykning. Varigheden af intervallet mellem de to mod tagelsestidsperioder varierer tilfældigt, og under disse intervaller er D0-D3 omprogrammerede til udgange. Datamaten 23 udlægger signaler, som simulerer tastnedtrykninger på ledninger d^-d^. De simulerede 25 tastnedtrykningers varighed og frekvens varieres til fældigt for yderligere at gøre det vanskeligere for en lytter at afgøre, hvilke nedtrykninger, der er ægte.

Den tilfældigt varierede varighed og frekvenser sty-30 res af et i datamatens hukommelse lagrede program, som udnytter en slumptalsgenereringsfunktion.

For at en aflytter ikke skal kunne sortere de ægte tastnedtrykninger ud ved at studere strømretningerne 7

DK 166114B

for signalerne på dataledningerne dg-d^, gøres signalerne som aftaster henholdsvis simulerer tastned-trykningerne så korte som mulig og gives lavest mulige energiindhold. Dette medfører, at man skal have 5 meget kompliceret og dyrt udstyr for at kunne detek tere strømretningen på disse signaler.

For yderligere at klargøre, hvorledes fremgangsmåden ifølge opfindelsen fungerer, vises i fig. 2 et skematisk eksempel på, hvorledes signalerne på adresse-10 og dataledningerne a^-a^ henholdsvis d^-d^ i den i fig. 1 viste anordning samt til disse svarende ægte og simulerede tastnedtrykninger kan se ud. I figuren, som viser ti cykler 1-10 af afsøgningen af tastaturet, findes en tidsakse for hver og en af adresseledninger-15 ne ag-a3 °g dataledningerne d^-d^. Endvidere findes derunder en tidsakse, på hvilken virkelige tastnedtrykninger vises, og nederst i figuren en anden tidsakse på hvilken simulerede tastnedtrykninger vises. På tidsakserne for adresseledningerne a^-a^ vises hvor-20 ledes datamaten aftaster tastaturet ved i rækkefølge at udlægge et højt signal, et "1", på adresseledningerne a^-a^. For hvert højt signal, som datamaten lægger ud på en adresseledning, læser den i modtagelses-perioderne, som i det viste eksempel er de indkredse-25 de cykler 1, 2, 7 og 10, indgangssignalerne på data matledningerne, hvorved dataind-/-udgangene D0-D3 er programmerede som indgange. Under cyklus 1 og 2 opnås således en etter på dataledningen d^, når et højt signal afgives på adresseledningen a^, eftersom tasten 7 30 er nedtrykket. Under cyklerne 3-6 er dataind-/-udgan- gene D0-D3 omprogrammerede til udgange, og i det viste eksempel simulerer datamaten en nedtrykning af tast 9 ved under cyklus 4 og 5 at udlægge et højt signal på datamatledningen dg, når adresseledningen a^ er 35 høj. Under cyklus 7 er dataind-/-udgangene D0-D3 i- 8

DK 166114B

gen omprogrammerede som indgange. Eftersom ingen tast er nedtrykket i denne periode opnås kun nuller på indgangene D0-D3. Under cyklus 8 og 9 simuleres en ned-trykning af tast 3 ved, at datamaten ligger et et-tal 5 ud på dataledningen d^ i den tidsperiode, hvor adres seledningen er høj. Selv om en virkelig tastned-trykning, som vises i eksemplet, påbegyndes under cyklus 9, kommer dette ikke til at synes på dataledningerne dp-d^. Under cyklus 10, som er en modtagelsesperi-10 ode, ses derimod denne tastnedtrykning som et et-tal på datamatledningen d^, når adresseledningen a^ er høj. For en, som aflytter signalerne på data- og adresseledningerne ser det således ud, som om tasten 7 er nedtrykket under cyklus 1 og 2, tasten 3 under cyklus 15 4 og 5, tasten 3 under cyklus 8 og 9 og tasten 11 un der cyklus 10. For en aflytter findes ingen mulighed for at afgøre, hvilke signaler, der hidrører fra virkelige tastnedtrykninger.

For yderligere at gøre det vanskeligt for en af-20 lytter, kan man naturligvis også lade adresseudgange ne A0-A3 være omprogrammerbare til indgange on under visse modtagelsesperioder afsøge tastaturet ved at anvende udgangene D0-D3 som adresseudgange.

Givetvis behøver afsøgningen heller ikke at foregå 25 ved, at datamaten lægger en etter ud på adresseled ningerne ag~a3 i den i eksemplet viste rækkefølge.

Denne kan være vilkårlig og til og med skifte fra cyklus til cyklus.

Endvidere indser fagmanden på området, at man ligeså 30 godt kan anvende negativ logik, d.v.s. at nuller an giver ægte eller simuleret tastnedtrykning.

Opfindelsen er beskrevet i forbindelse med en udbeta- 9

DK 166114B

lingsautomat, men fremgangsmåden ifølge opfindelsen kan naturligvis anvendes ved alle anordninger, hvor hemmelig information indlæses via et tastatur og overføres til en eller anden form for behandlingsenhed.

5 Opfindelsen er endvidere ikke begrænset til et 4 x 4 matricetastatur, men kan tilpasses tastaturer af forskellig størrelse og af forskellige typer.

Claims (5)

1. Fremgangsmåde til at forhindre ubeføjet erhvervelse af information, som indlæses i et apparat ved tastnedtrykninger på et tastatur (21) og som over- 5 føres fra tastaturet i form af elektriske signaler på elektriske ledninger (a^-a^, d^-d^) til en behandlingsenhed (23), kendetegnet ved, at behandlingsenheden (23) modtager signaler fra ledningerne under modtagelsestidsperioder, og at behandlingsenheden (23) 10 mellem modtagelsestidsperioderne på nævnte ledninger afgiver signaler, som simulerer tastnedtrykninger.

2. Fremgangsmåde ifølge krav 1, kendetegnet ved, at det maksimale interval mellem to på hinanden følgende modtagelsesperioder er væsentlig kortere end 15 den korteste varighed af en tastnedtrykning.

3. Fremgangsmåde ifølge krav 1 eller 2, k e n d e t e g-net ved, at varigheden af intervallet mellem modtagelsestidsperioderne varieres på en tilfældig måde.

4. Fremgangsmåde ifølge krav 1, 2 eller 3, kende- 20 tegnet ved, at de simulerede tastnedtrykningers varighed varieres på en tilfældig måde.

5. Fremgangsmåde ifølge ethvert af de foregående krav, kendetegnet ved, at de simulerede tastnedtrykningers frekvens varieres på en tilfældig 25 måde.