DK171320B1 - Fremgangsmåde til afsendelse af hemmelige nøgler til sikkerhedsmoduler og brugerkort i et databehandlingsnet, samt anvendelse af fremgangsmåden i et databehandlingsnet - Google Patents

Description

i DK 171320 B1

Den foreliggende opfindelse angår en fremgangsmåde til afsendelse af hemmelige nøgler til sikkerhedsmoduler og brugerkort i et databehandl ingsnet.

5 Opfindelsen finder navnlig anvendelse ved indføringen og implementeringen af en ny service i et eksisterende net. Den gør det også muligt for brugeren af et kort at lagre og behandle data for at få tilgang til en ny eller eksisterende service i et net.

10 Et net omfatter flere behandlings- eller dataudvekslingsenheder, såsom en eller flere centralenheder, idet en eller flere terminaler er forbundet til hver centralenhed og er i stand til at kommunikere med brugerkort for servicetjenester. Servicetjenester kan eksempelvis leveres af en bankorganisation, en postsalgsorganisation osv.

15 Det er kendt, at i et net indbefatter hver behandlingsenhed eller udvekslingsenhed selv et modul betegnet et sikkerhedsmodul, som i almindelighed indbefatter en mikroprocessor, der er forbundet med et monolitisk lager. Hvert sikkerhedsmodul tillader en bemyndigelsesorganisation at lade i det mindste én grundlæggende hemmelig nøgle i 20 dette modul. Ud fra denne basisnøgle og med en egnet diversifikationsalgoritme kan sikkerhedsmodulet beregne mindst én diversificeret nøgle. Dette sikkerhedsmodul kan specielt med et egnet program bemyndige en diversificeret nøgle, som er blevet udviklet på basis af en forudbestemt basisnøgle.

25

Brugerkortet er selv indrettet som et sikkerhedsmodul.

Et sikkerhedsmodul af denne type såvel som fremgangsmåden til diversifikation af en basisnøgle og bemyndigelsen af den tilveje-30 bragte diversificerede nøgle er beskrevet i ansøgerens franske patentansøgning nr. 86 10416.

Ethvert sikkerhedsmodul, som tilhører en behandlingsenhed eller datakommunikationsenhed eller omfatter et brugerkort i et net, 35 indeholder en diversificeret nøgle, når nettet tjener til en forudbestemt serviceydelse.

Det er kendt, at de diversificerede og hemmelige nøgler, som tillader forskellige moduler i nettet at kommunikere ved at tilsikre den 2 DK 171320 B1 ovenfor nævnte bemyndigelse, bliver registreret i de forskellige sikkerhedsmoduler i nettet af fabrikanten af disse moduler eller af en bemyndigelsesorganisation i godt overvågede lokaler for at forhindre enhver forfalsker i at lære de grundlæggende nøgler og de 5 diversificerede hemmelige nøgler, som beregnes ud fra disse basisnøgler.

Hvert sikkerhedsmodul har således en separat hemmelig diversificeret nøgle for sig selv, som afviger fra de diversificerede hemmelige lø nøgler, der er tildelt de andre sikkerhedsmoduler eller kortet.

Disse diversificerede nøgler tillader hvert sikkerhedsmodul i nettet (selve kortet kan betragtes som et sikkerhedsmodul) at verificere, at den diversificerede nøgle, som er registreret i et forudbestemt modul, rent faktisk svarer til den grundlæggende hemmelige nøgle, 15 som har tilladelse til at opnå denne diversificerede hemmelige nøgle. Denne basisnøgle registreres i et andet sikkerhedsmodul, som det forudbestemte modul er forbundet med.

Denne bemyndigelsesmekanisme eller mekanisme til bekræftelse af de 20 diversificerede nøgler er beskrevet i den ovennævnte franske pa tentansøgning nr. 86 10416.

Anvendelsen af en ny service i et net, hvis det nødvendiggør anvendelse af disse grundlæggende hemmelige nøgler og diversificerede 25 hemmelige nøgler, som fås ud fra disse basisnøgler, og den praktiske anvendelse af metoderne til bemyndigelse af de ovennævnte diversificerede nøgler, nødvendiggør også indføring af hemmelige basisnøgler betegnet serviceimplementeringsnøgler i sikkerhedsmodulerne i nettet. Disse implementeringsnøgler bliver kun 30 diversificeret i det sidste sikkerhedsmodul i nettet (f.eks.

brugerkortet) og tillader således dette sidste modul at få tilgang til den nye service, som således er indført i nettet.

På det foreliggende tidspunkt er det ikke kendt at indføre en ny 35 serviceydelse i et eksisterende net uden at skulle sende sikker hedsmodulerne (indbefattende brugerkortene) i dette net tilbage til en bemyndigelsesorganisation under streng sikkerhed, så at denne organisation kan registrere de hemmelige implementeringsnøgler (diversificeret i brugerkortet) for denne nye tjeneste i disse 3 DK 171320 B1 moduler.

Som følge heraf er indføringen af en ny service kompliceret, da sikkerhedsmodulerne i nettet skal udtages for at blive sendt tilbage g til bemyndigelsesorganisationen samt genindsættes på plads i nettet bagefter. Disse operationer er tidsrøvende og gør nettet uanvendeligt, medens de udføres. De er følgelig kostbare. Endvidere er der risiko for, at et eller flere af sikkerhedsmodulerne, som midlertidigt er fjernet fra nettet, vil gå tabt eller blive ødelagt eller jø endog misbrugt af en forfalsker til illegale formål.

Formålet med den foreliggende opfindelse er at afhjælpe disse ulemper og navnlig at muliggøre indføringen af en ny serviceydelse i et eksisterende net samt at muliggøre tilgang til denne nye service 15 for brugere uden at skulle returnere både sikkerhedsmodulerne i de forskellige moduler i nettet og brugerkort til en bemyndigelsesorganisation, så at de hemmelige implementeringsnøgler for denne nye tjeneste i nettet kan indføres i disse moduler og kort.

2o Dette opnås ifølge opfindelsen ved anvendelse af et modul til ladning af implementeringsnøgler, som er forbundet med et eller flere af sikkerhedsmodulerne i nettet. Implementeringsnøglerne sendes skridt for skridt i kodet form til sikkerhedsmodulerne i aftagende rangfølge (f.eks. sikkerhedsmodulet i en terminal, der er 25 forbundet med centralenheden og derpå et brugerkort). Disse implementeringsnøgler er ikke diversificeret undtagen i det sidste sikkerhedsmodul (i det valgte eksempel brugerkortet). Overføringen af implementeringsnøglerne fra lademodulet til de andre moduler i nettet, hvilket sker på kodet måde, forhindrer enhver forfalskning 30 under denne overføring.

Ifølge den foreliggende opfindelse foreslås således en fremgangsmåde til afsendelse af mindst én forudbestemt hemmelig nøgle til at sikre implementeringen af en serviceydelse fra et sikkerhedsmodul i en 35 centralenhed i et serviceimplementeringsnet til et andet sikkerhedsmodul i en terminal i dette net eller til brugerkort, som kan forbindes med terminalen og igen omfatter sikkerhedsmoduler, og det for fremgangsmåden ifølge opfindelsen ejendommelige er, at den omfatter udsendelse af en forudbestemt implementeringsnøgle i kodet 4 DK 171320 B1 form fra et sikkerhedsmodul, der har en forudbestemt rang, til et sikkerhedsmodul (terminal eller kort) med en lavere rang end den forudbestemte rang, hvilken kodning omfatter anvendelse af en kodningsalgoritme, der er indeholdt i modulet med den forudbestemte 5 rang, og behandling af både den forudbestemte implementeringsnøgle og mindst én registreret di versificeret nøgle i modulet med en lavere rang end den forudbestemte rang, hvilken diversificerede nøgle, som er nødvendig for kodningen, fås ved hjælp af en diversifikationsalgoritme, der er indeholdt i modulet med forudbe-10 stemt rang, og behandler både en basisnøgle for denne diversificerede nøgle og diversifikationsdata hidrørende fra modulet med lavere rang, idet den forudbestemte kodede implementeringsnøgle dekodes ved anvendelsen i modulet med lavere rang end den forudbestemte rang af en dekodningsalgoritme, som er den inverse af kod-15 ningsalgoritmen.

I henhold til et andet ejendommeligt træk ved opfindelsen kodes enhver diversificeret nøgle, som sendes fra et modul med forudbestemt rang til et modul med en lavere rang for at registreres der, 20 og fremgangsmåden omfatter anvendelse af en kodningsalgoritme, der er indeholdt i modulet med forudbestemt rang, og behandling af både den diversificerede nøgle, der skal overføres, og en anden diversificeret overføringsnøgle, som er beregnet af diversifikationsalgoritmen indeholdt i modulet med forudbestemt rang 25 og registreret i modulet med en rang lavere end den forudbestemte rang, idet den således kodede diversificerede nøgle dekodes af en algoritme indeholdt i modulet med lavere rang end den forudbestemte rang, som er den inverse af kodningsalgoritmen.

30 I henhold til et yderligere ejendommeligt træk ved opfindelsen omfatter fremgangsmåden anvendelse af et ladningsmodul, der kan sluttes til modulet med den højeste rang i nettet, hvilket modul indeholder basisnøgler, som er registreret af en bemyndigelsesorganisation, hvilke basisnøgler svarer til de forudbestemte implemen-35 teringsnøgler, der skal afsendes, samt diversificerede nøgler, der tjener det formål at kode udsendelse af hver forudbestemt hemmelig implementeringsnøgle, idet det nævnte lademodul indeholder mindst én algoritme til diversifikation af basisnøgler og mindst én algoritme til kodning af basisnøgler eller diversificerede nøgler, der skal sendes til modulerne i nettet for afsendelse af implementeringsnøg ler.

5 DK 171320 B1

Ifølge et yderligere ejendommeligt træk ved opfindelsen bliver de 5 diversificerede nøgler forudregistreret i modulet og i kortene af en bemyndigelsesorganisation før anvendelsen af modulerne og kortene i nettet.

Ifølge et yderligere ejendommeligt træk ved opfindelsen omfatter jo fremgangsmåden kodning ved hjælp af en kodningsalgoritme indeholdt i lademodulet af en første forudbestemt basisnøgle til implementering af serviceydelsen, der er registreret i dette lademodul, hvilken første kodede nøgle sendes fra lademodulet til sikkerhedsmodulet i centralenheden, hvor den dekodes af en invers algoritme til kod-15 ningsalgoritmen, hvilken første nøgle genkodes af en kodningsalgoritme indeholdt i sikkerhedsmodulet i centralenheden for at sendes til sikkerhedsmodulet i terminalen, hvor den dekodes af en invers algoritme til kodningsalgoritmen, hvilken første nøgle di versificeres og kodes i centralenhedens sikkerhedsmodul af 20 diversifikations- og kodningsalgoritmer indeholdt i modulet i centralenheden for at sendes til brugerkortet, hvor den dekodes af en invers algoritme til kodningsalgoritmen.

I henhold til et yderligere ejendommeligt træk ved opfindelsen 25 indfører kodningsalgoritmen for den første implementeringsnøgle, der sendes fra lademodulet til sikkerhedsmodulet i centralenheden, både basisnøglen for denne første nøgle og en første diversificeret transportnøgle, som fås ved hjælp af en diversifikationsalgoritme indeholdt i lademodulet, og som indfører både en basisnøgle for 30 denne første transportnøgle indeholdt i lademodulet og diversifikationsdata hidrørende fra sikkerhedsmodulet i centralenheden.

I henhold til et yderligere ejendommeligt træk ved opfindelsen 35 indfører kodningsalgoritmen for den første kodede nøgle, som sendes fra sikkerhedmodulet i centralenheden til sikkerhedsmodulet i terminalen, både den første nøgle indeholdt i sikkerhedsmodulet i centralenheden og en diversificeret kommunikationsnøgle, som er registreret i sikkerhedsmodulet i terminalen og beregnet i et 6 DK 171320 B1 sikkerhedsmodul i centralenheden af en diversifikationsalgoritme, som indfører både basisnøglen for denne diversificerede kommunikationsnøgle, der er registreret i sikkerhedsmodulet i centralenheden og diversifikationsdata hidrørende fra sikkerhedsmodulet i termina- 5 len· I henhold til et yderligere ejendommeligt træk ved opfindelsen sendes basiskommunikationsnøglen, som er registreret i sikkerhedsmodulet i centralenheden, i kodet form fra lademodulet til sikker-10 hedsmodulet i centralenheden, idet kodningen af denne kommunika tionsnøgle anvender en kodningsalgoritme, som er indeholdt i lademodulet, og indfører både basisnøglen indeholdt i lademodulet og den første diversificerede transportnøgle beregnet i lademodulet, hvor den diversificerede kommunikationsnøgle, der skal registreres i 15 sikkerhedsmodulet i terminalen sendes fra lademodulet til sikker hedsmodulet i terminalen i en diversificeret og kodet form, hvor diversifikationen af denne nøgle anvender en diversifikationsalgoritme fra lademodulet, som indfører både basiskommunikationsnøglen indeholdt i lademodulet og diversifikationsdata 20 hidrørende fra sikkerhedsmodulet i terminalen, hvor kodningen af denne diversificerede kommunikationsnøgle anvender en kodningsalgoritme, som indfører både den diversificerede kommunikationsnøgle og en anden diversificeret transportnøgle, som fås ved hjælp af en diversifikationsalgoritme, der er indeholdt i lademodulet, og 25 indfører både basisnøglen for denne anden transportnøgle indeholdt i lademodulet og diversifikationsdata hidrørende fra sikkerhedsmodulet i terminalen.

I henhold til et yderligere ejendommeligt træk ved opfindelsen 30 indfører diversifikationsalgoritmen indeholdt i sikkerhedsmodulet i centralenheden til diversifikation af en implementeringsnøgle, der skal sendes til brugerkortet, både basisnøglen for denne implementeringsnøgle indeholdt i dette sikkerhedsmodul og diversifikationsdata hidrørende fra brugerkortet, idet kodningen af 35 den diversificerede implementeringsnøgle fås ved hjælp af en algoritme indeholdt i sikkerhedsmodulet i centralenheden, som indfører både den diversificerede implementeringsnøgle og en diversificeret åbningsnøgle, som registreres i brugerkortet og beregnes i sikkerhedsmodulet i centralenheden ved hjælp af en 7 DK 171320 B1 diversifikationsalgoritme, som indfører både en basisnøgle for denne åbningsnøgle registreret i sikkerhedsmodulet i centralenheden og diversifikation hidrørende fra brugerkortet.

5 I henhold til et yderligere ejendommeligt trak ved opfindelsen bliver baisåbningsnøglen, som er registreret i sikkerhedsmodulet i centralenheden, overført i kodet form af lademodulet, idet kodningen af denne basisnøgle fås ved hjalp af en kodningsalgoritme indeholdt i lademodulet og anvendelse af denne første diversificerede trans-10 portnøgle.

I henhold til et yderligere ejendommeligt trak ved opfindelsen overføres den diversificerede åbningsnøgle, som er registreret i brugerkortet, til brugerkortet i kodet form af sikkerhedsmodulet i 15 centralenheden, idet kodningen af denne diversificerede åbningsnøgle anvender en kodningsalgoritme, der er indeholdt i sikkerhedsmodulet i centralenheden, og indføring af både denne diversificerede åbningsnøgle og en diversificeret fabrikationsnøgle, der er forudre-gistreret i kortet og beregnet af sikkerhedsmodulet baseret på en 20 basisfabrikationsnøgle.

I henhold til et yderligere ejendommeligt træk ved opfindelsen overføres basisnøglen for de diversificerede fabrikationsnøgler, der forud er registreret i brugerkortene, til sikkerhedsmodulet i 25 centralenheden i kodet form, idet lademodulet indeholder en kodningsalgoritme, der indfører både denne basisnøgle for de forud registrerede diversificerede nøgler og den første transportnøgle, som beregnes af lademodulet, og som findes i dette sikkerhedsmodul i centralenheden.

30 I henhold til et yderligere ejendommeligt træk ved opfindelsen bliver den første og anden diversificerede transportnøgle registreret i sikkerhedsmodulet i centralenheden henholdsvis i sikkerhedsmodulet i terminalen.

35 I henhold til et andet aspekt ved opfindelsen omfatter denne anvendelse af den angivne fremgangsmåde i et net omfattende en centralenhed og mindst én terminal, der hver indbefatter mindst et sikkerhedsmodul, hvor en forudbestemt diversificeret transportnøgle, som 8 DK 171320 B1 svarer til et lademodul, før sikkerhedsmodulerne anbringes i nettet, registreres i hvert enkelt sikkerhedsmodul.

I henhold til et yderligere ejendommeligt træk ved opfindelsen 5 omfatter denne anvendelse af den angivne fremgangsmåde i et net, som består af en centralenhed og mindst én terminal, der hver omfatter mindst et sikkerhedsmodul, hvor nettet samvirker med brugerkort, i hvert af hvilke mindst én di versificeret åbningsnøgle registreres, før kortet tages i brug.

10

Opfindelsen skal herefter forklares nærmere under henvisning til tegningen, hvor fig. 1 skematisk og som eksempel viser et net, hvori fremgangsmåden 15 ifølge opfindelsen anvendes, fi g. 2 skematisk operationerne til forladning af en diversificeret transportnøgle, som tilsikrer kommunikation mellem et lademodul MCH og sikkerhedsmoduler, som senere skal tildeles nettet, 20 fig. 3 skematisk operationerne ved forladning i et modul i nettet af en kommunikationsnøgle CX diversificeret som CXd i et andet modul for overførsel af implementeringsnøgler for en serviceydelse fra et modul til et andet, fig. 4 skematisk operationerne ved ladning af en serviceydelsenøgle 25 CP i modulerne i nettet, fig. 5 skematisk operationerne ved ladning og diversifikation af en nøgle CPd for en serviceydelse i det modul i nettet, som har den laveste rang (f.eks. brugerkortet), fig. 6 skematisk operationerne ved ladning af en åbningsnøgle CO i 30 sikkerhedsmodulerne, som vil blive tildelt centralenheder MSC1 fra et lademodul MCH, og fig. 7 skematisk operationerne ved ladning af den diversificerede åbningsnøgle CO i et modul (kort) med den laveste rang ved hjælp af en fabrikationsnøgle CF, der er forud registreret i 35 kortet i diversificeret form og ladet i modulet MCS1 af lademodulet for at tilsikre kodningen af åbningsnøglen, der skal overføres i sin diversificerede form.

Det som eksempel i fig. 1 viste net indbefatter eksempelvis i et 9 DK 171320 B1 databehandlingssystem en centralenhed Cl, der er forbundet med terminaler TI, T2, hvortil brugerkort, såsom U1 eller U2 kan tilsluttes. Naturligvis kan behandlingssystemet indbefatte en eller flere andre centralenheder, såsom C2, andre terminaler, såsom T3, og 5 andre kort, såsom U3, der ikke hører til det omhandlede net i det foreliggende eksempel på en anvendelse af fremgangsmåden ifølge opfindelsen, men som eksempelvis kan høre til det.

På kendt måde indbefatter terminalen TI et sikkerhedsmodul MST1, som 10 ikke skal beskrives detaljeret her, og som specielt indbefatter et lager og behandlingskredsløb, såsom en mikroprocessor i monolitisk form. Dette sikkerhedsmodul gør det muligt at registrere hemmelige nøgler, som tillader identifikationen af f.eks. brugerkortet ved hjælp af egnede algoritmer. Dette modul gør det også muligt ved 15 hjælp af kodningsalgoritmer at kode data, som leveres til kortet U1 eller til centralenheden Cl. Disse algoritmer er også reversible for at muliggøre dekodning af dataene eller nøglerne, som hidrører fra centralenheden Cl eller en terminal T2 eller et kort U1 på samme måde. En type af anvendt monolitisk mikroprocessor kan være den, der 20 er beskrevet i fransk patentansøgning nr. 2.536.880.

Centralenheden Cl har også et sikkerhedsmodul MSC1, hvis funktion og struktur er sammenlignelig med funktionen og strukturen af sikkerhedsmodulet MST1 i terminalen TI. Dataene, som cirkulerer mellem 25 terminalen TI og kortet Ul, er kodet. Det samme gælder for dataene, som cirkulerer mellem terminalen TI og centralenheden Cl, der kodes ved hjælp af egnede' reversible algoritmer. Dette sikkerhedsmodul indeholder specielt diversifikations- og kodningsalgoritmer for nøgler, der sendes til sikkerhedsmodulet MST1 fra terminalen eller 30 til kortet Ul.

Brugerkortet (Ul eller U2 i fi g. 1) har lagrings- og behandlingsfunktioner og omfatter ligeledes et sikkerhedsmodul, der er sammenligneligt med det, der findes i centralenhede.

35

Det antages, at i et net har en centralenhed, i dette tilfælde Cl og dets tilhørende sikkerhedsmodul MSC1, den højeste rang (også betegnet hierarkisk niveau) i nettet som en funktion af denne enheds behandlingsstyrke. Terminalerne og deres tilhørende 10 DK 171320 B1 sikkerhedsmoduler har lavere rang end den forudbestemte rang af centralenheden. Disse lavere rang er igen højere end rangene af kortene, som er de laveste i nettet. Når nettet anvendes for en forudbestemt serviceydelse, registreres serviceydelsenøglerne i 5 sikkerhedsmodulerne i centralenheden, og nogle registreres i den pågældende terminal. Disse nøgler bliver diversificeret i brugerkortet og tillader denne bruger at opnå tilgang til den forudbestemte service ved at forbinde kortet med terminalen, efter at mindst én diversificeret nøgle af leverandøren er blevet regi-10 streret i dette kort.

Når brugeren af et kort ved den kendte teknik ønsker at opnå tilgang til en servideydelse, som ikke var forudset på det tidspunkt, hvor kortet blev udstedt til ham, skal brugeren som angivet ovenfor 15 returmere kortet til et bemyndigelsescenter, så at dette kan indføre den eller de diversificerede tjenesteydelsenøgle henholdsvis nøgler svarende til den ønskede tjenesteydelse i dette kort. Efter at bemyndigelsescentret har indført disse diversificerede nøgler i kortet, returnerer det kortet til brugeren, som nu kan anvende det 20 til denne nye tjeneste, men kun efter at han har måttet undværre sit kort og måttet løbe de ovennævnte risici. Sikkerhedsmodulerne i centralenheden og i terminalen skal også returneres til bemyndigelsescentret for at lades med disse serviceydelsenøgler svarende til en ny serviceydelse, som tilbydes i nettet, hvis denne service ikke 25 tidligere er blevet indført i dette net.

I henhold til fremgangsmåden ifølge opfindelsen er det ikke længere nødvendigt, når man ønsker at indføre en serviceydelse i et eksisterende net, at returnere sikkerhedsmodulerne i dette net samt 30 kortene for brugere, som ønsker at drage fordel af denne tjeneste, til et bemyndigelsescenter, som registrerer hemmelige serviceydelsenøgler i disse moduler og kort. Når serviceydelsen allerede findes i nettet, er det ikke nødvendigt at returnere kortene, for hvilke tilgang til denne service ønskes, til et bemyndigelsescenter.

35

Fremgangsmåden ifølge opfindelsen skal herefter beskrives detaljeret, idet det antages, at man ønsker at indføre en ny serviceydelse i et net, og at man også ønsker at give tilgang til denne nye tjeneste for brugerkort, for hvilke denne tilgang ikke var forudset.

DK 171320 B1 π

Fremgangsmåden ifølge opfindelsen omfatter anvendelse af et modul MCH til ladning af nøgler, som er forbundet med sikkerhedsmodulet MSC1 i centralenheden Cl i det omhandlede net. Dette lademodul indeholder basisnøglerne, som er nødvendige for at implementere fremgangsmåden. Disse nøgler lades i dette modul af den bemyndigende 5 organisation. Modulet MCH gør det muligt at lade i det mindste én serviceydelsenøgle CP i sikkerhedsmodulet i centralenheden, hvilken nøgle registreres i diversificeret form CPd alene i sikkerhedsmodulet, der har den laveste rang i nettet (f.eks. brugerkortet).

10

Serviceydelsenøglen CP, som leveres af lademodulet MCH, sendes fra dette lademodul til sikkerhedsmodulet MSC1 i centralenheden Cl og derefter til sikkerhedsmodulet MST1 i terminalen i kodet form via diversificerede transportnøgler (CTdl, CXd). Den sendes i 1C diversificeret form og bliver derpå kodet af en anden transportnøg-lo le, der også er diversificeret (COd) fra sikkerhedsmodulet i centralenheden til brugerkortet.

Resultatet CPcl af kodning af serviceydelsenøglen CP for denne overføring fra lademodulet MCH til sikkerhedsmodulet MSC1 i centralenheden anvender specielt en diversificeret transportnøgle CTdl, som etablerer rangen i kommunikation mellem de to moduler MCH og MCS1. Resultatet CPc2 af kodning af nøglen CP for dens overføring fra sikkerhedsmodulet MSC1 i centralenheden til sikkerhedsmodulet 2J. MST1 i terminalen anvender navnlig en diversificeret kommunika tionsnøgle CXd, som etablerer en anden rang i kommunikation mellem de to moduler MSC1, MST1. Nøglen CP diversificeres og kodes som CPdc, der skal overføres fra sikkerhedsmodulet MSC1 i centralenheden til brugerkortet Ul. Denne kodning anvender specielt en 2ø diversificeret nøgle til åbning af tjenesteydelsen COd.

Diversifikation og kodning af de forskellige nøgler anvender specifikke algoritmer, som skal beskrives detaljeret nedenfor.

De diversificerede transportnøgler CTdl og CTd2 svarer til mindst én 25 basisnøgle CT indeholdt i lademodulet. CTd2 er den diversificerede transportnøgle, som etablerede rangen i kommunikation mellem lademodulet MCH og terminalen MST1. På samme måde svarer de diversificerede kommunikationsnøgler CXd og åbningsnøgler COd til basisnøgler CX henholdsvis CO, som er indeholdt i lademodulet og 12 DK 171320 B1 lades i dette modul af den bemyndigende organisation i det krævede sikre miljø.

De følgende figurer muliggør en bedre forståelse af implementeringen 5 af fremgangsmåden ifølge opfindelsen og specielt af de forskellige operationer ved ladning af nøgler, som udføres på basis af lademodulet MCH, samt overførings-, kodnings- og diversifikationsoperationerne, som udføres under denne implementering.

10

For at opstille i rang ordnede kommunikationsorganer indbefatter disse operationer følgende:

Et initialiseringstrin, som muliggør opsætningen af kommunikations-15 organer CT mellem lademodulet MCH på den ene side og sikkerhedsmoduler MSC, MST i centralenheder C eller terminaler T.

Et installationstrin for kommunikationsorganer CX mellem sikkerhedsmodulerne MSC i centralenheder og MST i terminaler.

20

Et andet installationstrin for kommunikationsorganer via en åbningsnøgle CO mellem sikkerhedsmodulerne i centralenheder MSC og brugerkort. Følgelig vil disse organer blive anvendt for at etablere en ydelse i nettet ved den sikre indsætning af mindst én basisser-25 viceydelsenøgle CP.

Fig. 2 viser skematisk ladningen af diversificerede transportnøgler CTdl og CTD2 fra initialiseringstrinnet, som lades -af den bemyndigende organisation i sikkerhedsmodulerne begyndende ved en 30 basistransportnøgle CT indholdt i lademodulet MCH. De diversificerede nøgler lades i sikkerhedsmodulerne før placeringen af disse i nettet. Hver pil ind i lademodulet MCH repræsenterer indføringen i klart sprog af nøgler, som de peger på. Pilene udgår fra lademodulet eller fra andre moduler, som repræsenterer den 35 kodede transmission af nøgler, der eventuelt er diversificeret og beliggende ud for disse pile.

De diversificerede transportnøgler CTdl og CTd2 fås ved anvendelse af en diversifikationsalgoritme fA indeholdt i lademodulet MCH. På 13 DK 171320 B1 kendt måde indfører denne algoritme både basistransportnøglen CT indeholdt i lademodulet og diversifikationsdata hidrørende fra sikkerhedsmodulerne MSI, MS2, som senere vil kunne tildeles en centralenhed eller en terminal. Disse diversifikationsdata leveres 5 naturligvis til lademodulet. Diversifikationsalgoritmen er f.eks. af den art, der er beskrevet i den ovennævnte franske patentansøgning nr. 86 10416.

Som følge heraf kan opskrives følgende: 10 CTdl = fA (CT, diversifikationsdata for MSI) og CTd2 = fA (CT, diversifikationsdata for MS2).

De diversificerede transportnøgler CTdl og CTd2, som således er 15 registreret i sikkerhedsmodulerne MSI henholdsvis MS2 vil, som det vil fremgå mere detaljeret nedenfor, muliggøre etablering af sikker transmission af kodede nøgler mellem lademodulet MSH og sikkerhedsmodulerne MSI og MS2.

20 Det følgende trin, som er vist i fig. 3, omfatter ranginddeling (hierarkisk opdeling) af de forskellige sikkerhedsmoduler i forhold til hinanden som en funktion af deres destination til centralenhederne eller terminalerne ved registrering i dem af rangordnede kommunikationsnøgler, som vil tillade eller forhindre kommunikation 25 afhængigt af, om de har tilsvarende nøgler eller ikke.

Derefter vil et modul MS tildelt en centralenhed Cl blive et sikkerhedsmodul i centralenheden MSC1, og på lignende måde vil et modul MS2 tildelt en terminal TI blive et sikkerhedsmodul i terminalen 30 MST1. Disse formål opnås på grund af indføringen af basisnøglen CX betegnet som en rangordnet basiskommunikationsnøgle i lademodulet MCH.

Nøglen CX registreres i ikke-diversificeret form i sikkerhedsmodulet 35 MSC1. Dens transmission mellem MCH og MSC1 udføres i kodet form (CXc i fig. 3). Kodningen af nøglen CX fås på basis af en kodningsalgoritme fA i lademodulet, som indfører både nøglen CX og den diversificerede transportnøgle CTdl, som er beregnet på forhånd af lademodulet.

14 DK 171320 B1

Man kan således opskrive: CTdl * fA (CT, diversifikationsdata for MSC1) og CXc = fA (CTdl, CX).

5 Nøglen CXc dekodes (CX) af sikkerhedsmodulet MSC1 ved anvendelse af en algoritme, der er det inverse af kodningsalgoritmen, da dette modul allerede indeholder den diversificerede transportnøgle CTdl. Naturligvis kan algoritmen fA for kodning af nøglen CX være for-jg skellig fra algoritmen fA for diversifikation af nøglen CT.

Nøglen CX registreres i diversificeret form (CXd) i sikkerhedsmodulet MST1 i terminalen. Denne nøgle CXd fås på basis af kommunikationsnøglen CX i modulet MCH. Den sendes i diversificeret og kodet 15 form (CXdc) fra modulet MCH til modulet MSC1.

Diversifikationen (CXd) af nøglen CX fås ved anvendelse af en diversifikationsalgoritme fB i lademodulet MCH, som indfører både nøglen CX og diversifikationsdata hidrørende fra sikkerhedsmodulet 20 MST1 i terminalen.

Man kan således opskrive: CXd = fB (CX, diversifikationsdata for MST1).

25

Rangordningen er således etableret mellem modulerne MSC1 og MST1 af nøglerne CX og CXd, men hver nøgle CX, CXd er blevet leveret af lademodulet MCH.

30 Kodningen (CXdc) af nøglen CXd for transmission af denne diversificerede kommunikationsnøgle mellem lademodulet MCH og sikkerhedsmodulet MST1 fås ved anvendelse af en kodningsalgoritme fA, som er indeholdt i lademodulet MCH, og som indfører både den diversificerede transportnøgle CTd2 og den diversificerede nøgle CXd 35 beregnet i lademodulet MCH.

Lademodulet beregner således følgende: CTd2 = fA (CT, diversifikationsdata for MST1) og følgelig 15 DK 171320 B1 CXdc = fA (CTd2, CXd).

Den diversificerede og kodede nøgle CXdc dekodes (CXd) i sikkerhedsmodulet MST1 af en invers algoritme af kodningsalgoritmen, idet 5 dette modul allerede indeholder den diversificerede transportnøgle CTd2. I det tilfælde, hvor et eller flere sikkerhedsmoduler MSC1 i centralenheder er bemyndiget til at levere nye servicer til brugere, som har kort U1 i nettet, skal åbningsnøgler CO indføres i disse moduler MSC1 for at tillade etableringen af et rangordningsorgan for 10 kommunikation mellem modulerne MSC1 for servicetilvejebringeren og brugerkortene Ul.

For at gøre dette skal en åbningsnøgle CO installeres i hvert centralmodul MSC1, og mindst én diversificeret åbningsnøgle COd skal 15 installeres i kortene i en fase forud for det tidspunkt, hvor hvert kort sættes i drift. Denne forudgående fase kan udføres uafhængigt af fasen til sikring af nettet, som svarer til installationen i nettet af nøglerne CT, CX og CO og fortrinsvis kan udføres udenfor implementeringsnettet.

20

Installationen af CO nøglen udføres på følgende måde: Nøglen CO, der er ladet af den bemyndigende organisation i lademodulet MCH, sendes som vist i fig. 6 i kodet form (COc) til sikker-25 hedsmodulet MSC1 i centralenheden. Denne kodning udføres af en kodningsalgoritme fA indeholdt i lademodulet MCH, som indfører både den diversificerede transportnøgle CTdl indeholdt i sikkerhedsmodulet MSC1 og nøglen CO. For at gøre dette beregner lademodulet det følgende som angivet ovenfor: 30 CTdl = fA (CT, diversifikationsdata for MSC1) og følgelig COc = fA (CTdl, CO).

Nøglen Coc dekodes (CO) af en invers algoritme i sikkerhedsmodulet 35 MSC1, da den diversificerede transportnøgle CTdl allerede er registreret i dette modul.

Den indledende installation af den diversificerede åbningsnøgle COd i kortene udføres på følgende måde: 16 DK 171320 B1

Den diversificerede åbningsnøgle COd registreres i brugerkortet U1 og dens overførsel fra centralenhedens modul MSC1 til kortet U1 udføres i kodet form COdc som vist i fig. 7.

5 Modulet MSC1 i fig. 7 er et sikkerhedsmodul i centralenheden, som enten kan anvendes alene til den tidligere ladning eller kan anvendes senere som et centralmodul i nettet.

Kodningen COdc af den diversificerede åbningsnøgle COd tilsikres af jO en kodningsalgoritme fB indeholdt i modulet MSC1, som indfører både den diversificerede nøgle COd og en diversificeret nøgle CFd betegnet som fabrikationsnøglen, der allerede er registreret i kortet ved dets fremstilling. Denne nøgle CFd identificerer kortet.

15 Man kan skrive, at COdc = fB (COd, CFd).

COd beregnes af centralenhedens sikkerhedsmodul MSC1 ved anvendelse af åbningsnøglen CO ved følgende udtryk: 20 COd * fB (CO, diversifikationsdata for Ul).

Dette nødvendiggør den forudgående beregning af nøglen CFd ved hjælp af modulet MSC1. I dette øjemed bliver basisfabrikationsnøglen CF, som er indført af den bemyndigende organisation i lademodulet MCH, 25 overført i en kodet form CFc til centralenhedens sikkerhedsmodul MSC1. Denne kodning af nøglen CF fås ved anvendelse af en algoritme fA i lademodulet, som indfører både nøglen CF og den diversificerede transportnøgle CTd.

30 Lademodulet beregner derpå først: CTdl « fA (CT, diversifikationsdata for MSC1), og derpå CFc = fA (CTdl, CF).

35 Denne kodede nøgle, som sendes til modulet MSC1 dekodes af en invers algoritme, da MSC1 allerede indeholder den diversificerede transportnøgle CTdl.

Modulet MSC1 kan derpå ved hjælp af diversifikationsalgoritmen fB

17 DK 171320 B1 beregne den diversificerede fabrikationsnøgle CFd, idet denne algoritme indfører både basisnøglen CF indeholdt i sikkerhedsmodulet MSC1 og diversifikationsdata hidrørende fra kortet Ul.

5 Følgende kan skrives: CFd = fB (CF, diversifikationsdata i Ul).

Efter denne sidste beregning kan den diversificerede og kodede nøgle 10 COds = fB (COd, CFd) beregnes som angivet ovenfor ved hjælp af modulet MSC1. Denne nøgle overføres til kortet Ul, hvor den dekodes (COd), fordi kortet allerede indeholder nøglen CFd, der er blevet tildelt det ved fremstillingen. Naturligvis kan algoritmen fB for diversifikation af nøglerne CX og CF være forskellig fra algoritmen 15 fB til kodning af nøglerne CF og COd. Det vil umiddelbart fremgå, at i det tilfælde, hvor man ikke vælger at lade de diversificerede åbningskoder COd i kortene på forhånd, men i stedet for lade dem via det installerede net, vil man begynde med at installere nøglen CF, derpå nøglen CO og den diversificerede nøgle COd via centralenhedens 20 sikkerhedsmodul i nettet MSC1. I dette tilfælde indføres en diversificeret fabrikationskode CFd på forhånd i kortet.

Det følgende trin vist i fig. 4 består i at indføre en serviceydelse i det således installerede net, som indbefatter sikkerhedsmodulerne 25 MSC1 og MST1, og hvortil de forudgående trin har gjort kommunikation mulig mellem lademodulet MCH og sikkerhedsmodulet MSC1 eller MST1 og mellem sikkerhedsmodulet MSC1 i centralenheden og sikkerhedsmodulet MST1 i terminalen.

30 Denne indsætning af en serviceydelse omfatter anvendelse af mindst én serviceydelsenøgle CP, der er registreret på forhånd i lademodulet MCH af en bemyndigende organisation. Som det vil ses, kan denne nøgle sendes til modulerne MSC1 og MST1. Den vil derpå blive registreret i diversificeret form CPd i brugerkortet Ul, som fra dette 35 tidspunkt vil have tilgang til denne service.

Serviceydelsesnøglen CP sendes i kodet form (CPcl) til sikkerhedsmodulet MSC1.

18 DK 171320 B1

Kodningen af nøglen CP fås ved hjælp af en algoritme fA i lademodulet MCH, som indfører både den diversificerede transportnøgle CTdl beregnet ved hjælp af MCH på basis af diversifikationsdata leveret af MSC1, og nøglen CP. For at gøre dette beregner lademodulet først 5 den diversificerede transportnøgle CTdl: CTdl = fA (CT, diversifikationsdata i MSC1) og derpå CPcl = fA (CTdl, CP).

10 Den kodede nøgle CPcl, som modtages af sikkerhedsmodulet MSC1, dekodes af en invers algoritme, da dette modul allerede indeholder den diversificerede nøgle CTdl.

Derpå sendes serviceydelsesnøglen CP i kodet form (CPc2) fra cen-15 tralenhedens sikerhedsmodul MSC1 til terminalsikkerhedsmodulet MST1.

Denne kodning fås ved hjælp af en kodningsalgoritme fB indeholdt i sikkerhedsmodulet MSC1 og indfører både den diversificerede kommunikationsnøgle CXd beregnet af MSC1 på basis af diversifikationsdata leveret af MST1 og nøglen CP. Derefter beregner sikkerhedsmodulet 20 MSC1 følgende: CXd = fB (CX, diversifikationsdata i MST1) og derpå CPc2= fB (CXd, CP).

Naturligvis muliggør en invers algoritme indeholdt i sikkerhedsmo-25 dulet MST1 udledning af CP fra CPc2, da dette modul allerede indeholder den diversificerede kommunikationsnøgle CXd.

Det er klart, at enhver transmission af en nøgle kræver, at personen eller organisationen, som af senderen er tiltænkt at modtage den, er 30 godkendt på forhånd. Denne godkendelse er kendt, f.eks. fra den ovennævnte franske patentansøgning nr. 86 10416.

Ved enden af denne operation kan serviceydelsen nu betragtes som værende indført i et net, der indeholder en enkelt centralenhed og 35 enkelt terminal, men man vil fortsætte på samme måde, når der er tale om net med én centralenhed og flere terminaler eller flere rangordnede centralenheder, der hver har et antal terminaler. På den anden side har brugerkortet på dette trin endnu ikke fået tilgang til denne ydelse.

19 DK 171320 B1

Den følgende operation vist i fig. 5 omfatter levering af brugerkortet U1 med de nødvendige nøgler for dets implementering i nettet for den omhandlede serviceydelse og specielt den diversificerede nøgle CPd, som stammer fra nøglen CP.

5 I dette øjemed anvendes kommunikationsorganet åbnet af åbningsnøglen CO og dens diversificerede nøgler COd, der er tildelt brugerkortet Ul. Den kodede transmission (CPdc) af den diversificerede serviceydelsenøgle CPd fra centralenhedens sikkerhedsmodul MSC1 til 10 brugerkortet Ul sker ikke via sikkerhedsmodulet MST1 i terminalen for at forøge sikkerheden. I denne operation er sikkerhedsmodulet MST1 i terminalen transparent, da kortet er forbundet med terminalen, og modulet MST1 ikke griber ind deri. Serviceydelsenøglen CP bliver derpå registreret i brugerkortet Ul i di versificeret form 15 (CPd) som vist i fig. 5.

Som angivet ovenfor registreres nøglen CP i lademodulet MCH af den bemyndigende organisation. Den sendes derpå til sikkerhedsmodulet MSC1 i centralenheden i kodet form (CPcl), hvor den dekodes (CP) og 20 derpå registreres i sin ikke-kodede form (CP).

Nøglen CP bliver derpå diversificeret og kodet (CPdc) for transmission fra sikkerhedsmodulet MSC1 til brugerkortet Ul, hvor den dekodes (CPd) og registreres.

25

Diversifikationen (CPd) af nøglen CP fås ved hjælp af en algoritme fB i sikkerhedsmodulet MSC1, som indfører nøglen CP og diversifikationsdataene hidrørende fra brugerkortet Ul.

30 Følgende kan derpå skrives: CPd = fB (CP, diversifikationsdata i Ul).

Denne algoritme fB kan være forskellig fra de forannævnte algoritmer 35 fB.

Kodningen (CPdc) af nøglen CPd fås ved hjælp af en algoritme fB i sikkerhedsmodulet, som indfører den diversificerede åbningsnøgle COd og den diversificerede serviceydelsenøgle CPd beregnet som angivet 5 20 DK 171320 B1 ovenfor.

Den diversificerede åbningsnøgle COd fås ved hjælp af en diversifikationsalgoritme fB i centralenhedens sikkerhedsmodul MSC1.

Denne algoritme indfører basisåbningsnøglen CO leveret af lademodulet og diversifikationsdataene leveret af brugerkortet Ul.

Han kan derpå skrive, at: 10 COd - fB (CO, diversifikationsdata i Ul) og derefter CPdc* fB (COd, CPd).

Denne diversificerede og kodede serviceydelsenøgle CPdc kan dekodes 15 i kortet af en invers algoritme til kodningsalgoritmen, da kortet nu indeholder den diversificerede åbningsnøgle COd.

Fra nu af kan ejeren af kortet drage fordel af den nye serviceydelse.

20 I beskrivelsen af opfindelsen kunne det tænkes, at sikkerhedsmodulet MSC1 i nettet allerede indeholder nøglen til den ønskede serviceydelse, og at fremgangsmåden således går ud på at give kort adgang til denne allerede installerede serviceydelse. Fremgangsmåden vil da 25 alene omfatte overføring af nøglen CPd til kortet naturligvis med anvendelse af de nødvendige nøgler til denne overføring.

I beskrivelsen af opfindelsen er der skelnet mellem algoritmen fA på den ene side, som er en specifik algoritme for transportfunktionen, 30 og som skal findes i modulerne MSC, MCH, MST og algoritmen fB på den anden side, som er specifik for anvendelsen indeholdt i "bru-ger"-kortene, som systemet anvender.

Det vil ikke desto mindre forstås, at en og samme algoritme kan 35 anvendes til implementering af opfindelsen, eller at hver nøgle og/eller hver kodnings- og diversifikationsfunktion kan tildeles en forskellig algoritme, som i dette tilfælde vil skulle være til rådighed i modulerne, hvor den er påkrævet.

Claims (15)

21 DK 171320 B1 PATENTKRAV.

1. Fremgangsmåde til afsendelse af mindst én forudbestemt hemmelig nøgle for at sikre implementeringen af en serviceydelse fra et 5 sikkerhedsmodul (MSC1) i en centralenhed (Cl) i et serviceimplementeringsnet til et andet sikkerhedsmodul (MST1) i en terminal (TI) i dette net eller til et af brugerkortene (Ul), som kan forbindes med terminalen (TI) og igen omfatter sikkerhedsmoduler, kendeteg net ved, at den omfatter udsendelse af en forudbestemt implemen-10 teringsnøgle i en kodet form fra et sikkerhedsmodul (MSC1), der har en forudbestemt rang (hierarkisk niveau), til et sikkerhedsmodul (MsTl eller kort Ul) med en lavere rang end den forudbestemte rang, hvilken kodning omfatter anvendelse af en kodningsalgoritme indeholdt i modulet med forudbestemt rang, og behandling af både den 15 forudbestemte implementeringsnøgle og mindst én diversificeret nøgle (CTd,CXd,COd) registreret i modulet med en lavere rang end den forudbestemte rang, hvilken diversificerede nøgle, som er nødvendig for kodningen, fås ved hjælp af en diversifikationsalgoritme indeholdt i modulet med forudbestemt rang, og behandling af både en 20 basisnøgle for denne diversificerede nøgle og diversifikationsdata hidrørende fra modulet med lavere rang, idet den forudbestemte kodede implementeringsnøgle (CPc) dekodes ved anvendelsen i modulet med lavere rang end den forudbestemte rang af en dekodningsalgoritme, som er den inverse af kodningsalgoritmen. 25

2. Fremgangsmåde ifølge krav 1, kendetegnet ved, at enhver diversificeret nøgle (CPd), som sendes fra et modul med forudbestemt rang til et modul med en lavere rang for at registreres der, kodes, idet fremgangsmåden omfatter anvendelse af en kodningsalgoritme 30 indeholdt i modulet med forudbestemt rang, og behandling af både den diversificerede nøgle (CPd), der skal sendes, og en diversificeret overføringsnøgle (CTd),CXd,C0d) beregnet af diversifikationsalgoritmen indeholdt i modulet med forudbestemt rang og registreret i modulet med en lavere rang end den forudbestemte 35 rang, hvor den således kodede diversificerede nøgle dekodes af en algoritme indeholdt i modulet med lavere rang end den forudbestemte rang, som er den inverse af kodningsalgoritmen.

3. Fremgangsmåde ifølge krav 1 eller 2, kendetegnet ved, 22 DK 171320 B1 at den omfatter anvendelse af et lademodul (MCH), der kan forbindes med modulet med den højeste rang i nettet, hvilket modul indeholder basisnøgler registreret af en bemyndigende organisation, hvor basisnøglerne svarer til de forudbestemte implementeringsnøgler 5 (CPc), der skal afsendes, samt diversificerede nøgler, der tjener til kodet transmission af hver forudbestemt hemmelig implementeringsnøgle, idet lademodulet indeholder mindst én algoritme til diversifikation af basisnøgler og mindst én algoritme til kodning af basisnøgler eller diversificerede nøgler, der skal sendes til 2o modulerne i nettet for afsendelse af implementeringsnøgler.

4. Fremgangsmåde ifølge krav 3, kendetegnet ved, at de diversificerede nøgler registreres i forvejen i modulet henholdsvis i kortene af en bemyndigende organisation før anvendelsen af modu- 25 lerne eller kortene i nettet.

5. Fremgangsmåde ifølge krav 4, kendetegnet ved, at den omfatter kodning (CPcl) ved hjælp af en kodningsalgoritme indeholdt i lademodulet (MCH) af en første forudbestemt basisnøgle (CP) til 20 implementering af serviceydelsen, der er registreret i dette lademodul, hvilken første kodede nøgle (CPcl) sendes fra lademodulet (MCH) til sikkerhedsmodulet (MSC1) i centralenheden, hvor den dekodes (CP) af en invers algoritme til kodningsalgoritmen, idet denne første nøgle (CP) genkodes (CPc2) af en kodningsalgoritme 25 indeholdt i sikkerhedsmodulet (MSC1) i centralenheden for at sendes til sikkerhedsmodulet (MST1) i terminalen, hvor den dekodes af en invers algoritme til kodningsalgoritmen, idet denne første nøgle di versificeres og kodes (CPdc) i centralenhedens sikkerhedsmodul ved hjælp af diversifikations- (CPd) og kodnings- (CPdc) algoritmer 30 indeholdt i modulet i centralenheden for at sendes til brugerkortet, hvor den dekodes af en invers algoritme til kodningsalgoritmen.

6. Fremgangsmåde ifølge krav 5, kendetegnet ved, at kodningsalgoritmen for den første implementeringsnøgle (Pel), som 35 sendes fra lademodulet (MCH) til sikkerhedsmodulet (MSC1) i centralenheden, indfører både basisnøglen (CP) for denne første nøgle og en første diversificeret transportnøgle (CTd), som opnås ved hjælp af en diversifikationsalgoritme indeholdt i lademodulet, og indfører både en basisnøgle (CT) for denne første transportnøgle 23 DK 171320 B1 indeholdt i lademodulet og diversifikationsdata hidrørende fra sikkerhedsmodulet (MSC1) i centralenheden.

7. Fremgangsmåde ifølge krav 5, kendetegnet ved, at 5 kodningsalgoritmen for den første kodede nøgle (CPc2), som sendes fra sikkerhedsmodulet (MSC1) i centralenheden til sikkerhedsmodulet (MST) i terminalen, indfører både den første nøgle (CP) indeholdt i sikkerhedsmodulet (MSC1) i centralenheden og en diversificeret kommunikationsnøgle (CXd) registreret i sikkerhedsmodulet (MSC1) i 10 terminalen og beregnet i et sikkerhedsmodul i centralenheden ved hjælp af en diversifikationsalgoritme, som indfører både basisnøglen (CX) for denne diversificerede kommunikationsnøgle registreret i sikkerhedsmodulet (MSC1) i centralenheden og diversifikationsdata hidrørende fra sikkerhedsmodulet (MST1) i terminalen. 15

8. Fremgangsmåde ifølge krav 7, kendetegnet ved, at basiskommunikationsnøglen (CX) registreret i sikkerhedsmodulet (MST1) i centralenheden sendes i kodet form (CXc) fra lademodulet (MCH) til sikkerhedsmodulet i centralenheden, idet kodningen af 20 denne kommunikationsnøgle anvender en kodningsalgoritme indeholdt i lademodulet og indfører både basisnøglen (CX) indeholdt i lademodulet og den første diversificerede transportnøgle (CTdl) beregnet i lademodulet, idet den diversificerede kommunikationsnøgle (CXd), der skal registreres i sikkerhedsmodulet (MST1) i terminalen, sendes fra 25 lademodulet (MCH) til sikkerhedsmodulet i terminalen i en diversificeret og kodet form (CXdc), hvor diversifikationen (CXd) af denne nøgle anvender en diversifikationsalgoritme fra lademodulet, som indfører både basiskommunikationsnøglen (CX) indeholdt-i lademodulet og diversifikationsdata hidrørende fra sikkerhedsmodulet i 30 terminalen (MST1), idet kodningen af denne diversificerede kommunikationsnøgle (CXdc) anvender en kodningsalgoritme, som indfører både den diversificerede kommunikationsnøgle (CXd) og en anden diversificeret transportnøgle (CTd2), som fås ved hjælp af en diversifikationsalgoritme, der er indeholdt i lademodulet, og 35 indfører både basisnøglen (CT) for denne anden transportnøgle indeholdt i lademodulet (MCH) og diversifikationsdata hidrørende fra sikkerhedsmodulet (MST1) i terminalen.

9. Fremgangsmåde ifølge krav 8, kendetegnet ved, at 24 DK 171320 B1 di versifikati onsalgoritmen indeholdt i sikkerhedsmodulet (MSC1) i centralenheden for diversifikation (CPd) af en implementeringsnøgle, der skal sendes til brugerkortet, indfører både basisnøglen (CP) for denne implementeringsnøgle indeholdt i dette sikkerhedsmodul og 5 diversifikationsdata hidrørende fra brugerkortet, idet kodningen af den diversificerede implementeringsnøgle (CPdc) fås ved hjælp af en algoritme indeholdt i sikkerhedsmodulet i centralenheden, som indfører både den diversificerede implementeringsnøgle (CPd) og en diversificeret åbningsnøgle (COd), som registreres i brugerkortet og jO beregnes i sikkerhedsmodulet i centralenheden ved hjælp af en diversifikationsalgoritme, som indfører både en basisnøgle (CO) for denne åbningsnøgle registreret i sikkerhedsmodulet i centralenheden og diversifikation hidrørende fra brugerkortet.

10. Fremgangsmåde ifølge krav 9, kendetegnet ved, at basisåbningsnøglen (CO) registreret i sikkerhedsmodulet i centralenheden sendes i kodet form (COc) af lademodulet, idet kodningen af denne basisnøgle fås ved hjælp af en kodningsalgoritme indeholdt i lademodulet, og som anvender den første diversificerede transport-20 nøgle (CTdl).

11. Fremgangsmåde ifølge krav 10, kendetegnet ved, at den diversificerede åbningsnøgle (COd) registreret i brugerkortet sendes til brugerkortet i kodet form (COdc) af sikkerhedsmodulet (MSC1) i 25 centralenheden, idet kodningen af denne diversificerede åbningsnøgle anvender en kodningsalgoritme indeholdt i sikkerhedsmodulet i centralenheden, og indfører både denne diversificerede åbningsnøgle (COd) og en diversificeret fabrikationsnøgle (CFd), der er forud registreret i kortet og beregnet af sikkerhedsmodulet (MSC1) baseret 30 på en basisfabrikationsnøgle (CF).

12. Fremgangsmåde ifølge krav 11, kendetegnet ved, at basisnøglen (CF) for de diversificerede fabrikationsnøgler, der er forud registreret i brugerkortene, sendes til sikkerhedsmodulet 35 (MSC1) i centralenheden i kodet form (CFc), idet lademodulet, som indeholder en kodningsalgoritme, indfører både denne basisnøgle (CF) for de forud registrerede diversificerede nøgler og den første transportnøgle (CTdl) beregnet af lademodulet, og som forefindes i dette sikkerhedsmodul (MSC1) i centralenheden. 25 DK 171320 B1

13. Fremgangsmåde ifølge et hvilket som helst af kravene 6,8 og 10, kendetegnet ved, at den første og anden diversificerede transportnøgle registreres i sikkerhedsmodulet (MSC1) i centralenheden henholdsvis i sikkerhedsmodulet (MST1) i terminalen. 5

14. Anvendelse af fremgangsmåden ifølge et af de foregående krav i et net omfattende en centralenhed (Cl) og mindst én terminal (TI), der hver indbefatter mindst et sikkerhedsmodul (M$C1,MST1), hvor en forudbestemt diversificeret transportnøgle, som svarer til et 10 lademodul, før sikkerhedsmodulerne anbringes i nettet, registreres i hvert enkelt sikkerhedsmodul.

15. Anvendelse ifølge krav 14 af fremgangsmåden ifølge et af kravene 1-13 i et net, som omfatter en centralenhed (Cl) og mindst én 15 terminal (TI), som hver omfatter mindst et sikkerhedsmodul (MSC1.MST1), hvor nettet samvirker med brugerkort (Ul), i hvert af hvilke mindst én diversificeret åbningsnøgle (COd) registreres, før kortet tages i brug. 20 25 1 35