EP0969420B1

EP0969420B1 - Method for secure transfer of service data to a terminal and arrangement for carrying out the same

Info

Publication number: EP0969420B1
Application number: EP99250182A
Authority: EP
Inventors: Frank Reisinger
Original assignee: Francotyp Postalia GmbH
Current assignee: Francotyp Postalia GmbH
Priority date: 1998-06-29
Filing date: 1999-06-11
Publication date: 2006-06-14
Anticipated expiration: 2019-06-11
Also published as: DE19830055B4; US7577617B1; DE19830055A1; DE59913544D1; EP0969420A2; EP0969420A3

Description

Die Erfindung betrifft ein Verfahren zur sicheren Übertragung von Dienstdaten an ein Endgerät, gemäß des Oberbegriffs der Ansprüche 1 und 18 sowie gemäß des Oberbegriffs des Anspruchs 12 eine Anordnung zur Durchführung des Verfahrens nach Anspruch 1. Die Lösung bezweckt insbesondere die Sicherheit zu liefern, daß die Übertragung und Speicherung von einer neuen Portogebührentabelle in einem Portorechner ordnungsgemäß dürchgeführt wird. Das Verfahren ist sowohl für Anwender von Frankiermaschinen vorgesehen, als auch für Portorechnerwaagen geeignet.The invention relates to a method for the secure transmission of service data to a terminal, according to the preamble of claims 1 and 18 and according to the preamble of claim 12 an arrangement for carrying out the method according to claim 1. The solution aims in particular to provide the security that the Transfer and storage of a new postage fee table in a postage computer is properly dürchgeführt. The method is intended both for users of franking machines, as well as suitable for postage scales.

Aus DE 38 23 719 C2 und US 41 38 735 ist bekannt, daß ein Nachladen einer Tariftabelle für Portogebühren von einer entfernten Datenzentrale zu bestimmten Zeitpunkten veranlaßt wird. Wenn der Datenaustausch vom Server der Datenzentrale initiiert wird, muß die Frankiermaschine ständig angeschaltet bleiben, was natürlich nachteilig ist.From DE 38 23 719 C2 and US 41 38 735 it is known that reloading a rate table for postage is caused by a remote data center at certain times. If the data exchange is initiated by the server of the data center, the postage meter must remain constantly turned on, which of course is disadvantageous.

Alternativ wurde im US 5,490,077 bzw. im US 5,606,508 vorgeschlagen, das Datenladen von der Frankiermaschine on demand zu initiieren, wobei nach dem Einschalten der Frankiermaschine der Datenbestand in Abhängigkeit von Bedingungen (wie z.B. Name, Datum) aktualisiert wird. Um rechtzeitig die Mehrheit der Postkunden mit einer Tariftabelle auszustatten, wird letztere weit vor ihrem Inkrafttreten in einem Speicher eines Übertragungsmittels (Chipkarte bzw. Zelle eines GSM-Netzes) separat von der Frankiermaschine gespeichert. Beim Einschalten der Frankiermaschine wird das Datum des Kalenderbausteins der Frankiermaschine verwendet bzw. mit weiteren eingegebenen Bedingungen verknüpft, um die Tabelle auszuwählen, die bei Inbetriebnahme der Frankiermaschine in deren Speicher geladen wird. Beim Laden aus einem Speicher des Übertragungsmittels in den Speicher der Frankiermaschine erfolgt ein Aktualisieren der bisherigen Tabelle.Alternatively, it has been proposed in US 5,490,077 or in US 5,606,508 to initiate the data loading from the franking machine on demand, wherein after the meter is switched on, the data is updated in dependence on conditions (such as name, date). In order to provide the majority of the postal customers with a rate table in good time, the latter is stored far in advance of its entry into storage in a transmission means (chip card or cell of a GSM network) separately from the franking machine. When the franking machine is switched on, the date of the calendar module of the franking machine is used or linked with other input conditions in order to select the table which is loaded into its memory when the franking machine is put into operation. When loading from a memory of the transmission means in the memory of the franking machine updating the previous table.

Aus dem US 5,710,706 (EP 724 141 A1) ist eine Dateneingabe in eine Waage bekannt, welche mit einer Frankiermaschine schnittstellenmäßig verbunden ist, um Tariftabellendaten mit Daten zu aktualisieren. Das Laden der Daten erfolgt von einer entfernten Datenzentrale per Modem zur Frankiermaschine. Das Laden und Aktualisieren erfolgt unmittelbar aufeinanderfolgend. Wenn eine Information vorliegt, daß Tariftabellendaten zu aktualisieren sind, erfolgt ein Laden und ggf. unter Zwischenspeichern von Tariftabellendaten in der Frankiermaschine und ein sektorweises Löschen der alten Portotabelle im nichtflüchtigen Speicher der Waage vor dem Übertragen der neuen Tariftabellendaten aus dem Zwischenspeicher der Frankiermaschine zur Waage und dem Einschreiben der neuen Tariftabellendaten in den nichtflüchtigen Speicher der Waage. In der Waage können mehrere Tabellen gespeichert sein. Jedoch bezieht sich jede Tabelle auf einen separaten Postbeförderer (Carrier), welcher über Tastatur anwählbar ist. Das Mindestgültigkeitsdatum einer zu einer Carrier-Identifikations-Nummer CIN zugeordneten Tariftabelle wird gespeichert und von der Frankiermaschine ausgewertet, um bei Bedarf Anforderungsdaten zu bilden zum Laden von neuen Tariftabellendaten bzw. zur Aktualisierung im Speicher der Waage entsprechend der CIN.From US 5,710,706 (EP 724 141 A1) there is known data input to a scale interfaced with a postage meter to update rate table data with data. The data is loaded from a remote data center via modem to the franking machine. The loading and updating takes place immediately following each other. If there is information that tariff table data is to be updated, a loading and possibly caching of tariff table data in the franking machine and a sector-by-sector deletion of the old postage table in the non-volatile memory of the balance takes place before the new tariff table data is transferred from the temporary storage of the franking machine to the balance and writing the new rate table data into the non-volatile memory of the balance. The scale can store several tables. However, each table refers to a separate carrier (carrier), which is selectable via keyboard. The minimum validity date of a rate table associated with a carrier identification number CIN is stored and evaluated by the postage meter to request request data as needed form for loading new rate table data or for updating in the memory of the balance according to the CIN.

Aus der US 5,448,641 ist postalisches Gebührensystem mit Gültigkeitsprüfung im Endgerät auf der Benutzerseite bekannt. Die Portotariftabelle wird von der Datenzentrale zum Endgerät übertragen. Auch ein zur Portotariftabelle zugehöriger Code wird von der Datenzentrale zum Endgerät übertragen. Letzteres generiert einen Vergleichs-Code aus einer Information basierend auf der empfangenen Portotariftabelle. Anhand des Vergleiches des empfangenen Codes mit dem generierten Vergleichs-Code kann im Endgerät die Gültigkeit der empfangenen Portotariftabelle überprüft werden. Damit kann zwar das Endgerät die übermittelte Portotariftabelle verifizierbaren, jedoch kann seitens der Datenzentrale nicht überprüft werden, ob die aktuelle Portotariftabelle vom Endgerät wirklich ordnungsgemäß gespeichert wurde. Im Streitfall könnte der Benutzer die Bezahlung der Dienstleistung verzögern oder verweigern, weil kein Beleg über die im Endgerät erfolgte Speicherung der Portotariftabelle existiert. Dem Frankiermaschinenhersteller bliebe somit eine Inspektion der Maschine vor Ort nicht erspart.US Pat. No. 5,448,641 discloses a validated postal fee system in the terminal on the user side. The postage rate table is transmitted from the data center to the terminal. Also associated with the postage rate table code is transmitted from the data center to the terminal. The latter generates a comparison code from information based on the received postage rate table. Based on the comparison of the received code with the generated comparison code, the validity of the received postage rate table can be checked in the terminal. Thus, although the terminal verifiable the transmitted postage rate table, but can not be checked by the data center, whether the current postage rate table was really properly stored by the terminal. In the event of a dispute, the user could delay or refuse to pay for the service because there is no proof of the storage of the postage tariff table in the terminal. The franking machine manufacturer would thus not be spared an on-site inspection of the machine.

Es war die Aufgabe zu lösen, die Nachteile des Standes der Technik zu überwinden und eine Anordnung und ein Verfahren zur sicheren Übertragung von Dienstdaten an ein Endgerät zu schaffen, um eine Überprüfung auf ordnungsgemäße Speicherung von Dienstdaten, insbesondere einer übermittelten Portotariftabelle, zu ermöglichen. Die Überprüfung soll automatisch möglichst ohne Zutun des Benutzers des Endgerätes erfolgen. Das Endgerät soll dabei nicht bzw. nicht unnötig lange blockiert werden.It was the object to overcome, to overcome the disadvantages of the prior art and to provide an arrangement and a method for the secure transmission of service data to a terminal in order to enable a check for proper storage of service data, in particular a transmitted postage rate table. The check should be made automatically as far as possible without the user of the terminal. The terminal should not be blocked or unnecessarily long.

Die Aufgabe wird mit den Merkmalen des Verfahrens nach Anspruch 1 sowie mit den Merkmalen der Anordnung nach Anspruch 17 gelöst.The object is achieved with the features of the method according to claim 1 and with the features of the arrangement according to claim 17.

Die Erfindung geht von dem Bedürfnis einiger Postbeförderer aus, die Dienstdaten, insbesondere die Gebühren in Portotariftabellen, beliebig zu ändern. Die Dienstdaten werden in einem Verarbeitungsmodul im oder beim Endgerät benötigt. Die Dienstdaten schließen insbesondere die Gebühren in Portotariftabellen ein.The invention is based on the need of some postal carriers to change the service data, in particular the fees in postage fee tables, as desired. The service data is needed in a processing module in or at the terminal. The service data includes in particular the fees in postage fee tables.

Das Verarbeitungsmodul ist ein elektronischer Portorechner. Beim Endgerät handelt es sich vorzugsweise um eine elektronische Frankiermaschine oder um eine Portorechnerwaage. Es ist vorgesehen, daß das Endgerät mit einem Portorechner verbunden ist und daß der Mikroprozessor das Endgerätes oder des Portorechners programmiert ist, eine Speicherung der neuen Portotariftabellendaten im Speicher des Endgerätes bzw. des Portorechners vorzunehmen und eine Prüfsumme über die gespeicherten neuen Portotariftabellendaten zu bilden und zur Datenzentrale zu übermitteln, sowie eine empfangene (OK-)Meldung auszuführen und das Endgerät oder den Portorechner in einen Betriebsmodus umzuschalten.The processing module is an electronic postage calculator. The terminal is preferably an electronic postage meter or a postage computer scale. It is envisaged that the terminal is connected to a postage calculator and that the microprocessor of the terminal or the postage computer is programmed to make a storage of the new postage rate table data in the memory of the terminal or the postage computer and to form a checksum on the stored new postage rate table data and the To transmit data center, as well as a received (OK) message to execute and switch the terminal or the postage calculator in an operating mode.

Es ist alternativ vorgesehen, daß der Mikroprozessor des Endgerätes oder des Portorechners programmiert ist, eine Zwischenspeicherung der neuen Portotariftabellendaten im flüchtigen Arbeitsspeicher des Endgerätes bzw. des Portorechners vorzunehmen und eine Prüfsumme über die zwischengespeicherten neuen Portotariftabellendaten zu bilden und zur Datenzentrale zu übermitteln, sowie bei sowie beim Empfang einer OK-Meldung eine Lade-Anweisung der Datenzentrale an das Endgerät auszuführen, die neuen Portotariftabellendaten in einen nichtflüchtigen Speicher eines Portorechners zu laden und dannach das Endgerät oder den Portorechner in einen Betriebsmodus umzuschalten.It is alternatively provided that the microprocessor of the terminal or the postage computer is programmed to carry out an intermediate storage of the new postage rate table data in the volatile memory of the terminal or the postage computer and to form a checksum on the cached new postage rate table data and transmit to the data center, as well as upon receiving an OK message, execute a load instruction of the data center to the terminal, load the new postage fee table data into a non-volatile memory of a postage computer, and then switch the terminal or the postage computer into an operating mode.

Werden Dienstdaten benötigt, insbesondere eine geänderte Portotariftabelle in einem elektronischen Portorechner, kann folglich eine Ferninstallation erfolgen. Die Postbeförderer beauftragen jeweils eine Datenzentrale mit der Dienstleistung zur Ferninstallation, auf Anforderung Dienstdaten, zum Endgerät zu übermitteln, um diese in entsprechende Speicher des Verarbeitungsmoduls laden zu können. Bei einer solchen Ferninstallation kommt das erfindungsgemäße Verfahren zur sicheren Übertragung von Dienstdaten an ein Endgerät mit folgenden Verfahrenschritten zum Einsatz:

Bereitstellen von neuen Dienstdaten in der Datenzentrale für eine zukünftige Verarbeitung basierend auf den Dienstdaten,
Bilden von Anforderungsdaten für Dienstdaten,
erste Kommunikation des Endgerätes mit einer Datenzentrale, umfassend ein Senden der Anforderungsdaten, um die neuen Dienstdaten von der Datenzentrale anzufordern, und umfassend ein Empfangen und Zwischenspeichern der angeforderten Dienstdaten,
erste Kommunikation der Datenzentrale mit dem Endgerät, umfassend ein Empfangen der Anforderungsdaten in der Datenzentrale und ein Senden der angeforderten Dienstdaten an das Endgerät,
zweite Kommunikation des Endgerätes mit einer Datenzentrale, umfassend ein Bilden und- Übermittlung einer Information vom Endgerät zur Datenzentrale, welche auf die zwischengespeicherten gültigen neuen Dienstdaten bezogen ist,
zweite Kommunikation der Datenzentrale mit dem Endgerät, umfassend ein Empfangen und Prüfen der Information in der Datenzentrale mittels einer aus den Dienstdaten generierten Vergleichsinformation und umfassend ein Senden einer Meldung an das Endgerät, wobei in Verbindung mit dem Senden der Meldung in der Datenzentrale ein Registrieren der Dienstleistung erfolgt.

If service data is required, in particular a changed postage rate table in an electronic postage computer, a remote installation can consequently take place. The postal carriers each commission a data center with the service for remote installation, on request Service data to transmit to the terminal in order to load them into corresponding memory of the processing module. In such a remote installation, the method according to the invention for the secure transmission of service data to a terminal with the following method steps is used:

Providing new service data in the data center for future processing based on the service data,
Forming request data for service data,
first communicating the terminal with a data center, comprising sending the request data to request the new service data from the data center, and comprising receiving and caching the requested service data,
first communication of the data center with the terminal, comprising receiving the request data in the data center and sending the requested service data to the terminal,
second communication of the terminal with a data center, comprising forming and transmitting information from the terminal to the data center, which is related to the cached valid new service data,
second communication of the data center with the terminal, comprising receiving and checking the information in the data center by means of a comparison information generated from the service data and comprising sending a message to the terminal, wherein in connection with the transmission of the message in the data center, registering the service he follows.

In vorteilhafter Weise kann die Kommunikation von der Datenzentrale per Modem direkt mit dem Verarbeitungsmodul im Endgerät oder indirekt über das Endgerät mit dem Verarbeitungsmodul erfolgen.
Die zunächst flüchtig zwischengespeicherten gültigen neuen Dienstdaten werden vom Verarbeitungsmodul zu einer Prüfsumme verarbeitet. Dann wird eine Information gebildet, in die die Prüfsumme eingeht. Die Kommunikation des Endgerätes mit einer Datenzentrale, umfaßt während einer zweiten Transaktion ein Bilden und- Übermittlung einer Information vom Endgerät zur Datenzentrale. Die zur Datenzentrale übermittelte Information enthält vorzugsweise eine Identifikation des Endgerätes (z.B. eine PIN), eine Versionsnummer und die Prüfsumme über die Dienstdaten oder eine verschlüsselte Prüfsumme bzw. eine Signatur. Damit können in vorteilhafter Weise in der Datenzentrale die im Verarbeitungsmodul bzw. Endgerät (zwischen-)gespeicherten neuen Dienstdaten identifiziert und deren ordnungsgemäße bzw. fehlerfreie (Zwischen-)Speicherung verifiziert werden. Die von der Datenzentrale abschließend gesendete Meldung ist beispielseweise Ladeanweisung, die neuen Dienstdaten in einen nichtflüchtigem Speicher eines Verarbeitungsmoduls zu laden.Advantageously, the communication from the data center via modem directly to the processing module in the terminal or indirectly via the terminal with the processing module.
The initially volatile cached valid new service data is processed by the processing module to a checksum. Then an information is formed in which the checksum is received. The communication of the terminal with a data center includes during a second transaction forming and transmitting information from the terminal to the data center. The information transmitted to the data center preferably contains an identification of the terminal (eg a PIN), a version number and the checksum on the service data or an encrypted checksum or a signature. In this way, the new service data (intermediate) stored in the processing module or terminal can advantageously be identified in the data center and its proper or error-free (intermediate) storage can be verified. The message finally sent by the data center is, for example, a load instruction to load the new service data into a non-volatile memory of a processing module.

Es ist vorgesehen, daß der Portorechner im Endgerät integriert ist oder separat vom Endgerät angeordnet ist. Das Endgerät ist vorzugsweise eine Frankiermaschine, wobei ein symmetrischer Verschlüsselungs-Algorithmus zur Bildung einer verschlüsselten Prüfsumme und ein geheimer Schlüssel in der Frankiermaschine sicher gespeichert vorliegen.It is envisaged that the postage computer is integrated in the terminal or is arranged separately from the terminal. The terminal is preferably a franking machine, wherein a symmetric encryption algorithm for forming an encrypted checksum and a secret key in the franking machine are stored securely.

Alternativ ist der Portorechner in eine Waage intergriert. Es ist vorgesehen, daß ein unsymmetrischer Verschlüsselungs-Algorithmus zur Bildung einer verschlüsselte Prüfsumme und ein öffentlicher Schlüssel in der Waage gespeichert ist, wobei der öffentliche Schlüssel ungesichert gespeichert vorliegt.Alternatively, the postage calculator is integrated into a scale. It is envisaged that a single-ended encryption algorithm for forming an encrypted checksum and a public key is stored in the scale, the public key is stored unsecured.

Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen gekennzeichnet bzw. werden nachstehend zusammen mit der Beschreibung der bevorzugten Ausführung der Erfindung anhand der Figuren näher dargestellt. Es zeigen:

Figur 1a,: Blockschaltbild einer Frankiermaschine mit Portorechner,
Figur 1b,: Blockschaltbild der Frankiermaschine für eine OTP-Variante,
Figur 1c,: Blockschaltbild einer Frankiermaschine mit einer Portorechner-Waage,
Figur 2,: Flußplan für die sichere Übertragung von Daten.
Figur 3a, b,: Flußpläne für die Überprüfung der sicheren Übertragung von Daten.

Advantageous developments of the invention are characterized in the subclaims or are presented in more detail below together with the description of the preferred embodiment of the invention with reference to FIGS. Show it:

FIG. 1a,: Block diagram of a franking machine with postage calculator,
FIG. 1b,: Block diagram of the franking machine for an OTP variant,
FIG. 1c,: Block diagram of a franking machine with a postage computer scale,
FIG. 2,: Flowchart for the secure transmission of data.
FIG. 3a, b,: Flow plans for verifying the secure transmission of data.

Die Figur 1a zeigt ein Blockschaltbild der erfindungsgemäßen Frankiermaschine mit einem Druckermodul 1 für ein vollelektronisch erzeugtes Frankierbild, mit mindestens einem mehrere Betätigungselemente aufweisenden Eingabemittel 2, einer Anzeigeeinheit 3, einem die Kommunikation mit einer Datenzentrale herstellenden MODEM 23, weitere Eingabemittel 21 bzw. Waage 22 welche über einen Ein/Ausgabe-Steuermodul 4 mit einer Steuereinrichtung 6 gekoppelt sind und mit nichtflüchtigen Speichern 5a, 5b bzw. 9, 10 und 11 für Daten, welche die variablen bzw. die konstanten Teile des Frankierbildes einschließen, und bzw. Programme zur Verarbeitung der Daten in Zusammenhang mit der Postbeförderungs- bzw. Dienstleistung, welche vom Carrier zu erbingen ist.FIG. 1a shows a block diagram of the franking machine according to the invention with a printer module 1 for a fully electronically generated franking image, with at least one input element 2 having a plurality of actuators, a display unit 3, a MODEM 23 producing the communication with a data center, further input means 21 or balance 22 which are coupled to a controller 6 via an I / O control module 4 and to nonvolatile memories 5a, 5b and 9, 10 and 11, respectively, for data including the variable and constant parts of the franking image and programs for processing the image Data related to the mailing service which is to be requested from the carrier.

In der deutschen Patentanmeldung DE 19534530 A1 werden nähere Ausführungen zu einzelnen Funktionen der Mittel gemacht. Ein Charakterspeicher 9 liefert die nötigen Druckdaten für die variablen Teile des Frankierbildes zu einen flüchtigen Arbeitsspeicher 7. Die Steuereinrichtung 6 weist einen Mikroprozessor µP auf, der mit dem Ein/Ausgabe-Steuermodul 4, mit dem Charakterspeicher 9, mit dem flüchtigen Arbeitsspeicher 7 und mit nichtflüchtigen Arbeitsspeichern 5a, 5b (mit internen nichtflüchtigen Tarifspeicher) bzw. (gestrichelt gezeichnet) mit einem zusätzlichen nichtflüchtigen Tarifspeicher 16, mit einem nichtflüchtigen Arbeitsspeicher 10 und Programmspeicher 11, mit dem Motor einer Transport- bzw. Vorschubvorrichtung ggf. mit Streifenauslösung 12, einem Encoder (Codierscheibe) 13 sowie mit einem Uhren/Datums-Baustein 8 in Verbindung steht. Derjenige Speicherbaustein, welcher den nichtflüchtigen Arbeitsspeicher 5b umfaßt, kann beispielsweise ein EEPROM sein, der durch mindestens eine zusätzliche Maßnahme, beispielsweise Aufkleben auf der Leiterplatte, Versiegeln oder Vergießen mit Epoxidharz, gegen Entnahme gesichert wird. Die Speicherung der Portotariftabellen kann separat oder beispielsweise innerhalb des nichtflüchtigen Speichers 5a realisiert werden, indem besondere Speicherbereiche bereitgestellt werden. Die einzelnen Speicher können in mehreren physikalisch getrennten oder in nicht gezeigter Weise in wenigen Bausteinen zusammengefaßt verwirklicht sein. Die zukünftig gültige Tariftabelle wird im entsprechend dafür eingerichteten vorgesehenen Speicherbereich 16-01 bzw. die bisher gültige Tariftabelle wird entsprechend im separat vorgesehenen Speicherbereich 16-02 gespeichert. Die verfügbare Speicherkapazität im nichtflüchtigen Speicher beträgt beispielsweise 20 kByte wird durch eine platzsparende Speicherplatzverwaltung optimal genutzt. Der nichtflüchtige Tarifspeicher ist vorzugsweise ein batteriegestützter C-MOS-RAM-Baustein. In einer bevorzugten Ausfürungsvariante schließt er einen dritten Speicherbereich 16-03 ein, in welchem die zur jeweilig gewünschten Portotariftabelle gebildete Prüfsumme zugeordnet zu einer Versionsnummer gespeichert vorliegt.In the German patent application DE 19534530 A1 closer explanations are made to individual functions of the means. A character memory 9 supplies the necessary pressure data for the variable parts of the franking image to a volatile working memory 7. The control device 6 has a microprocessor μP connected to the input / output control module 4, with the character memory 9, with the volatile random access memory 7 and nonvolatile random access memories 5a, 5b (with internal nonvolatile tariff memory) or (dashed lines) with an additional nonvolatile tariff memory 16, with a nonvolatile main memory 10 and program memory 11, with the motor of a transport or feed device, if necessary with strip release 12, an encoder (Coding disc) 13 and with a clock / date module 8 is in communication. The memory chip, which comprises the non-volatile main memory 5b, may for example be an EEPROM, which is secured against removal by at least one additional measure, for example adhering to the printed circuit board, sealing or casting with epoxy resin. The storage of the postage fee tables can be realized separately or, for example, within the non-volatile memory 5a by providing special storage areas. The individual memory can be realized in several physically separate or not shown combined in a few modules. The tariff table valid in the future will be stored in the appropriately provided memory area 16-01 or the valid tariff table will be stored accordingly in the separately provided memory area 16-02. For example, the available storage capacity in non-volatile memory is 20 kbytes, which is best used by space-efficient storage management. The nonvolatile tariff memory is preferably a battery-backed C-MOS RAM device. In a preferred embodiment variant, it includes a third memory area 16-03, in which the checksum formed for the respective desired postage rate table is stored, stored in memory of a version number.

Der Abruf der Portotariftabellendaten aus der Datenzentrale erfolgt bedarfsweise oder im Zusammenhang mit der Fernnachladung der Frankiermaschine mit einem Guthaben (Portoabruf zwecks Nachkreditierung), wobei die Sicherheitsmaßnahmen der Guthaben-Nachkreditierung mit genutzt werden. Die Portotariftabellendaten werden zunächst im Speicherbereich 7d des flüchtigen Arbeitsspeichers RAM 7 der Frankiermaschine zwischengespeichert. Der Mikroprozessor 6 kann nun über den Inhalt der Portotariftabellendaten eine Prüfsumme bilden und per Modem 23 zur Datenzentrale DC über ein Kommunikationsnetz bzw. per Funk übermitteln. Die Datenzentrale besitzt Modems 33, die mit einem Server 32 verbunden sind, welcher auf eine Datenbank 31 zugreift. Die anfordernde Frankiermaschine identifiziert sich bei der Datenzentrale mit ihrer PIN (Portoabruf Identifikation Nummer) und übermittelt die Versionsnummer zwecks Auffindung einer neuen Portotariftabelle in der Datenbank DB 31 der Datenzentrale, wobei eine Portotariftabelle der übermittelten Versionsnummer zugeordnet ist. Der Server 32 ist zur Überprüfung der ordnungsgemäßen Übertragung und fehlerfreien Zwischenspeicherung von Dienstdaten anhand der Prüfsumme programmiert, was anhand der Fig.3a und b noch näher erläutert wird.The retrieval of the postage rate table data from the data center takes place, if necessary or in connection with the remote recharge of the franking machine with a credit (postage for the purpose of Nachkreditierung), the security measures of the credit-Nachkreditierung be used. The postage fee table data are initially stored temporarily in the memory area 7d of the volatile random access memory RAM 7 of the postage meter machine. The microprocessor 6 can now form a checksum on the content of the postage fee table data and transmit via modem 23 to the data center DC via a communication network or by radio. The data center has modems 33 which are connected to a server 32 which accesses a database 31. The requesting franking machine identifies itself at the data center with its PIN (Postage request identification number) and transmits the version number for the purpose of finding a new postage rate table in the data base DB 31 of the data center, wherein a postage rate table is assigned to the transmitted version number. The server 32 is programmed to check the proper transmission and error-free buffering of service data based on the checksum, which will be explained in more detail with reference to the 3a and b.

In der Figur 1b sind Details des Blockschaltbildes der elektronischen Frankiermaschine für eine Variante mit OTP (One Time programmable Prozessor) in der Steuereinrichtung gezeigt, welche prinzipiell in der deutschen Patentanmeldung DE 19534530 A1 mit dem Titel: Verfahren zur Absicherung von Daten und Programmcode einer elektronischen Frankiermaschine, sowie näher in der deutschen Patentanmeldung DE 19731304.3-53 mit dem Titel: Verfahren zur Statistikmodusnachladung und zur statistischen Erfassung nach Statistikklassen bei der Speicherung eines Datensatzes, erläutert wurden. Die CPU 6a bildet die Prüfsumme aufgrund der übermittelten und flüchtig zwischengespeicherten Tabelle. Die Zwischenspeicherung der übermittelten Tabelle kann beispielsweise auch im internen Arbeitsspeicher iRAM 6b statt im flüchtigen Arbeitsspeicher RAM 7 oder unter Nutzung beider Arbeitsspeicher erfolgen.FIG. 1b shows details of the block diagram of the electronic franking machine for a variant with OTP (One Time Programmable Processor) in the control device, which is described in principle in German patent application DE 19534530 A1 with the title: Method for securing data and program code of an electronic franking machine , as well as in more detail in the German patent application DE 19731304.3-53 with the title: method for statistics mode reload and for statistical recording according to statistical classes in the storage of a data set were explained. The CPU 6a forms the checksum based on the transmitted and volatile cached table. The intermediate storage of the transmitted table can also be done, for example, in the internal main memory iRAM 6b instead of in the volatile main memory RAM 7 or using both main memories.

In der Figur 1c ist ein Blockschaltbild der elektronischen Frankiermaschine für eine Variante mit portoberechnender Waage dargestellt. Der Tarifspeicher 16 und der Portorechner sind hier Bestandteil der portoberechnenden Waage 22a. Letztere nutzt das Modem 23 der Frankiermaschine zur Kommunikation mit der Datenzentrale.FIG. 1c shows a block diagram of the electronic franking machine for a variant with postage calculating balance. The tariff memory 16 and the postage calculator are part of the postage calculating balance 22a here. The latter uses the modem 23 of the franking machine for communication with the data center.

Wird eine geänderte Portotariftabelle in einem elektronischen Portorechner benötigt, kann eine Ferninstallation on demand erfolgen. Auf Anforderung ist eine Portotariftabelle zum Endgerät zu übermitteln, um diese in entsprechende Speicher des Portorechners laden zu können. Bei einer solchen Ferninstallation ist das erfindungsgemäße Verfahren zur sicheren Übertragung von Dienstdaten an ein Endgerät in einer Ausführungsform mit folgenden Verfahrenschritten vorgesehen:

Bereitstellen 210 von neuen Portotariftabellendaten in der Datenzentrale für eine zukünftige Portoberechnung,
Bilden 110 von Anforderungsdaten für Portotariftabellendaten,
erste Kommunikation 120 des Endgerätes mit einer Datenzentrale, umfassend ein Senden der Anforderungsdaten, um die neuen Portotariftabellendaten von der Datenzentrale anzufordern, und umfassend ein Empfangen und Speichern der angeforderten Portotariftabellendaten,
erste Kommunikation 220 der Datenzentrale mit dem Endgerät, umfassend ein Empfangen der Anforderungsdaten in der Datenzentrale und ein Senden der angeforderten Portotariftabellendaten an das Endgerät,
zweite Kommunikation 130 des Endgerätes mit einer Datenzentrale, umfassend ein Bilden und- Übermittlung einer Information vom Endgerät zur Datenzentrale, welche auf die gespeicherten gültigen neuen Portotariftabellendaten bezogen ist,
zweite Kommunikation 230 der Datenzentrale mit dem Endgerät, umfassend ein Empfangen und Prüfen der Information in der Datenzentrale mittels einer aus den Portotariftabellendaten generierten Vergleichsinformation und umfassend ein Senden einer OK-Meldung an das Endgerät, wobei in Verbindung mit dem Senden einer OK-Meldung in der Datenzentrale ein Registrieren (Schritt 240) der Dienstleistung erfolgt.

If a changed postage rate table is required in an electronic postage calculator, a remote installation can be made on demand. Upon request, a postage tariff table is to be transmitted to the terminal in order to be able to load it into corresponding memory of the postage computer. at In such a remote installation, the method according to the invention for securely transmitting service data to a terminal in one embodiment is provided with the following method steps:

Provide 210 of new postage fee table data in the data center for a future postage calculation,
Forming 110 of request data for postage fee table data,
first communication 120 of the terminal with a data center, comprising sending the request data to request the new postage fee table data from the data center, and comprising receiving and storing the requested postage rate table data,
first communication 220 of the data center with the terminal, comprising receiving the request data in the data center and sending the requested postage fee table data to the terminal,
second communication 130 of the terminal having a data center, comprising forming and transmitting information from the terminal to the data center, which is related to the stored valid new postage fee table data,
second communication 230 of the data center with the terminal, comprising receiving and checking the information in the data center by means of a comparison information generated from the postage fee table data and comprising sending an OK message to the terminal, wherein in connection with sending an OK message in the Data Center is registered (step 240) of the service.

Es ist vorgesehen, daß beim Empfang der OK-Meldung im Endgerät ein Markieren der gespeicherten Daten als gültig registriert erfolgt, als Vermerk, daß in der Datenzentrale ein Registrieren zur Bezahlung der Dienstleistung erfolgt. Im nichtflüchtigen Speicher des Portorechners wird zwecks Markierung entweder in einem gesicherten Bereich ein Bit gesetzt oder entsprechende MAC-gesicherte Daten gespeichert. Vom Mikroprozessor werden zur Portoberechnung nur gültig regitrierte Daten genutzt.It is envisaged that upon receipt of the OK message in the terminal, a marking of the stored data is registered as valid, as a note that in the data center, a registration for payment of the service takes place. In the non-volatile memory of the postage computer, a bit is set for the purpose of marking either in a secure area or corresponding MAC-secured data stored. The microprocessor uses only validly regitrated data for the postage calculation.

Bei einer alternativen Ausführungsform sind folgende Verfahrenschritte vorgesehen:

Bereitstellen 210 von neuen Portotariftabellendaten in der Datenzentrale für eine zukünftige Portoberechnung,
Bilden 110 von Anforderungsdaten für Portotariftabellendaten,
erste Kommunikation 120 des Endgerätes mit einer Datenzentrale, umfassend ein Senden der Anforderungsdaten, um die neuen Portotariftabellendaten von der Datenzentrale anzufordern, und umfassend ein Empfangen und Zwischenspeichern der angeforderten Portotariftabellendaten,
erste Kommunikation 220 der Datenzentrale mit dem Endgerät, umfassend ein Empfangen der Anforderungsdaten in der Datenzentrale und ein Senden der angeforderten Portotariftabellendaten an das Endgerät,
zweite Kommunikation 130 des Endgerätes mit einer Datenzentrale, umfassend ein Bilden und- Übermittlung einer Information vom Endgerät zur Datenzentrale, welche auf die zwischengespeicherten gültigen neuen Portotariftabellendaten bezogen ist,
zweite Kommunikation 230 der Datenzentrale mit dem Endgerät, umfassend ein Empfangen und Prüfen der Information in der Datenzentrale mittels einer aus den Portotariftabellendaten generierten Vergleichsinformation und umfassend ein Senden einer Lade-Anweisung an das Endgerät, die neuen Portotariftabellendaten in einen nichtflüchtigem Speicher eines Portorechner zu laden.

In an alternative embodiment, the following method steps are provided:

Provide 210 of new postage fee table data in the data center for a future postage calculation,
Forming 110 of request data for postage fee table data,
first communication 120 of the terminal with a data center, comprising sending the request data to request the new postage fee schedule table data from the data center, and comprising receiving and buffering the requested postage rate table data,
first communication 220 of the data center with the terminal, comprising receiving the request data in the data center and sending the requested postage fee table data to the terminal,
second communication 130 of the terminal having a data center, comprising forming and transmitting information from the terminal to the data center, which is related to the cached valid new postage fee table data,
second communication 230 of the data center with the terminal, comprising receiving and checking the information in the data center by means of a comparison information generated from the postage fee table data and comprising sending a load instruction to the terminal to load the new postage fee table data in a non-volatile memory of a postage calculator.

Es ist vorgesehen, daß in der Datenzentrale ein Registrieren (Schritt 240) des Ladens erfolgt und daß nach Empfangen der Ladeanweisung ein Laden (Schritt 140) der Portotariftabellendaten in einen nichtflüchtigen Speicher des Portorechners erfolgt.It is contemplated that the data center will register (step 240) the loading and that upon receiving the load instruction, a loading (step 140) of the postage fee table data into a non-volatile memory of the postage computer will occur.

In vorteilhafter Weise kann die Kommunikation von der Datenzentrale per Modem direkt mit der Frankiermaschine bzw. portoberechnenden Waage oder indirekt über die Frankiermaschine zur portoberechnenden Waage, wie in US 5,606,508 und US 5,710,706 vorgeschlagen wurde, erfolgen. Der Portorechner ist gemäß der US 5,606,508 innerhalb der elektronischen Frankiermaschine angeordnet und eine Waage ist nur zur Gewichtsübermittlung mit der elektronischen Frankiermaschine verbunden. Alternativ ist - in aus der US 5,710,706 bekannter Weise - eine portoberechnende Waage mit einem elektronischen Portorechner ausgerüstet. Somit kann bereits aufgrund des gemessenen Gewichtes der Portowert von der portoberechnende Waage bestimmt und in der Frankiermaschine eingegeben werden. Bei diesen bekannten Lösungen wird von einer nichtflüchtigen Zwischenspeicherung der Portotariftabelle, beispielsweise in einer Chipkarte oder im Speicher eines GSM-Netzes, ausgegangen, aus welchen die Datentabellen zum Laden entnommen werden.
Im Unterschied dazu ist bei der alternativen Ausführungsform der erfindungsgemäßen Lösung zunächst eine flüchtige Zwischenspeicherung der übermittelten Tabelle in einem flüchtigen Arbeitsspeicher des Endgerätes bzw. des Portorechners ausreichend. Es ist vorgesehen, daß das Endgerät mit einem Portorechner verbunden ist, in welchem die Speicherung der neuen Portotariftabellendaten erfolgt.Advantageously, the communication from the data center via modem directly with the postage meter or postage calculating scale or indirectly via the postage meter for postage-calculating balance, as proposed in US 5,606,508 and US 5,710,706, take place. The postage computer is arranged according to US 5,606,508 within the electronic postage meter and a balance is connected only for weight transmission with the electronic postage meter. Alternatively, in the manner known from US Pat. No. 5,710,706, a postage calculating balance is equipped with an electronic postage calculator. Thus, the postage value can already be determined by the postage calculating balance and entered in the franking machine on the basis of the measured weight. These known solutions are based on non-volatile buffering of the postage rate table, for example in a chip card or in the memory of a GSM network, from which the data tables are taken for loading.
In contrast, in the alternative embodiment of the solution according to the invention, first a volatile intermediate storage of the transmitted table in a volatile main memory of the terminal or of the postage computer is sufficient. It is envisaged that the terminal is connected to a postage calculator, in which the storage of the new postage rate table data takes place.

Eine Variante sieht vor, daß der Portorechner im Endgerät integriert ist oder separat vom Endgerät angeordnet ist. Es ist vorgesehen, daß die Zwischenspeicherung im flüchtigen Arbeitsspeicher RAM 7 erfolgt, um mittels des Mikroprozessors 6 eine Prüfsumme zu bilden. Die Prüfsumme wird vom Portorechner über den Inhalt der Tabelle nach einem bekannten Algorithmus gebildet, welcher im Programmspeicher 11 gespeichert ist. Die zur Datenzentrale übermittelte Information enthält vorzugsweise die Versionsnummer und eine Prüfsumme über die Portotariftabellendaten in einer vorbestimmten mathematischen Verknüpfung oder eine verschlüsselte Prüfsumme bzw. eine Signatur. Zur Verschlüsselung werden bekannte summetrische oder unsymmetrische Algorithmen eingesetzt.A variant provides that the postage computer is integrated in the terminal or is arranged separately from the terminal. It is envisaged that the intermediate storage takes place in the volatile random access memory RAM 7 in order to form a checksum by means of the microprocessor 6. The checksum is formed by the postage calculator on the contents of the table according to a known algorithm, which is stored in the program memory 11. The information transmitted to the data center preferably contains the version number and a checksum via the postage fee table data in a predetermined mathematical link or an encrypted one Checksum or a signature. For encryption, known summetric or asymmetrical algorithms are used.

Eine zweite Variante der Anordnung ist mit einem OTP-Prozessor ausgestattet und erlaubt die Bildung einer DES-verschlüsselten Prüfsumme, wobei der symmetrische DES-Algorithmus (Data Encryption Standard) und der geheime DES-Schlüssel in der Frankiermaschine sicher gespeichert sind. Alternativ kann eine Prüfsumme vom separaten Portorechener zur Frankiermaschine übermittelt werden, welche ein sicheres Gehäuse aufweist und durch besondere Maßnahmen vor einer Manipulation in Fälschungsabsicht geschützt ist. Die Frankiermaschine bildet dann eine DES-verschlüsselte Prüfsumme, wobei der dazu benötigte DES-Schlüssel in der Frankiermaschine in an sich bekannter Weise sicher gespeichert ist.A second variant of the arrangement is equipped with an OTP processor and allows the formation of a DES-encrypted checksum, wherein the symmetric DES algorithm (Data Encryption Standard) and the secret DES key are securely stored in the postage meter. Alternatively, a checksum can be transmitted from the separate postage corrector to the postage meter machine, which has a secure housing and is protected by special measures from being tampered with. The franking machine then forms a DES-encrypted checksum, the DES key required for this purpose being securely stored in the franking machine in a manner known per se.

Die andere Variante zeichnet sich dadurch aus, daß der Portorechner in eine Waage integriert ist oder separat vom Endgerät angeordnet ist. Der Portorechner enthält einen Programmspeicher mit einem unsymmetrischen Verschlüsslungsalgorithmus und mit einem öffentlichen Schlüssel. Letzterer, welcher im Unterschied zu einem geheimen Schlüssel nicht besonders geschützt zu werden braucht, kann folglich ebenfalls in einem Speicher der Waage nichtflüchtig gespeichert werden.The other variant is characterized in that the postage computer is integrated in a scale or is arranged separately from the terminal. The postage calculator contains a program memory with an asymmetrical encryption algorithm and with a public key. The latter, which does not need to be specially protected unlike a secret key, can therefore also be stored non-volatile in a memory of the scale.

Als unsymmetrischer Verschlüsslungsalgorithmus ist der nach seinen Erfindern (R.Rivest, A.Shamir, L.Adleman) benannte RSA-Algorithmus bekannt. Dieser ist dann vorteilhaft, wenn kein gesichertes Gehäuses zum Schutz der Schlüssel verfügbar ist. Beispielsweise wird in der Waage eine RSA-verschlüsselte Prüfsumme gebildet, wobei ein RSA-Schlüssel benutzt wird, welcher in der Waage als ein öffentlicher Schlüssel gespeichert ist, der nicht gesichert gespeichert werden muß.The unbalanced encryption algorithm is the RSA algorithm named after its inventors (R.Rivest, A.Shamir, L.Adleman). This is advantageous if no secured housing to protect the key is available. For example, an RSA encrypted checksum is formed in the balance using an RSA key stored in the balance as a public key that does not need to be stored in a secure manner.

In der Figur 2 ist ein Flußplan für die sichere Übertragung von Daten an ein Endgerät dargestellt. Die Datenzentrale startet im Schritt 200 und stellt im folgenden Schritt 210 neue Portotariftabellen bereit.
Das Endgerät ist beispielsweise eine Frankiermaschine, welche beim Einschalten gestartet wird (Schritt 100).
Die Frankiermaschine enthält einen Portorechner, welcher im Schritt 110 Anforderungsdaten für neue Portotariftabellendaten bildet. Es ist in einer Variante vorgesehen, daß eine Automatik Anforderungsdaten bildet, um auf aktuelle Tabellen zugreifen zu können, wenn der Zeitpunkt für neue Portotariftabellendaten näher rückt. Diese Automatik arbeitet abhängig vom eingestellten Carrier und dem vom Uhren/Datumsbaustein 8 der Frankiermaschine gelieferten Datum. Die Automatik kann im Portorechner und/oder in den Speicherzellen des Uhren/Datumsbausteins 8 realisiert sein. Alternativ kann der Portorechner in eine portoberechnende Waage 22a integriert sein, welche schnittstellenmäßig mit der Frankiermaschine verbunden ist.FIG. 2 shows a flow chart for the secure transmission of data to a terminal. The data center starts in step 200 and provides new postage fee tables in step 210 below.
The terminal is, for example, a franking machine which is started at power-on (step 100).
The franking machine contains a postage calculator, which forms request data for new postage fee table data in step 110. It is provided in a variant that an automatic forms request data in order to be able to access current tables when the time for new postage fee table data approaches. This automatic function depends on the carrier set and the date supplied by the clock / date module 8 of the postage meter machine. The automatic can be realized in the postage computer and / or in the memory cells of the clock / date module 8. Alternatively, the postage calculator can be integrated into a postage calculating balance 22a, which is interfaced with the franking machine.

Die Kommunikation auf der Seite des Endgerätes, d.h. der Frankiermaschine mit einer Datenzentrale, umfaßt beispielsweise zwei Transaktionen. Die erste Transaktion 120 beginnt mit einem Senden der Anforderungsdaten, um die neuen Portotariftabellendaten von der Datenzentrale anzufordern und schließt mit einem Empfangen und Zwischenspeichern der angeforderten Portotariftabellendaten in einem flüchtigen Arbeitsspeicher RAM 7d. Parallel läuft auf der Seite der Datenzentrale eine Kommunikation (Schritt 220) der Datenzentrale mit dem Endgerät, umfassend ein Empfangen der Anforderungsdaten in der Datenzentrale und ein Senden der angeforderten Portotariftabellendaten an das Endgerät, d.h. an die Frankiermaschine.The communication on the side of the terminal, i. the postage meter machine with a data center, for example, comprises two transactions. The first transaction 120 begins by sending the request data to request the new postage fee schedule table data from the data center and concludes with receiving and buffering the requested postage fee schedule table data in a volatile random access memory RAM 7d. In parallel, on the side of the data center, a communication (step 220) of the data center with the terminal, comprising receiving the request data in the data center and sending the requested postage fee table data to the terminal, i.e. the data center. to the franking machine.

Die zweite Transaktion 130 auf der Seite des Endgerätes beginnt mit einem Bilden einer Information im Endgerät, d.h. in der Frankiermaschine, wobei die Information auf die zwischengespeicherten gültigen neuen Portotariftabellendaten bezogen ist. Die Kommunikation des Endgerätes mit einer Datenzentrale wird mit der Übermittlung der Information vom Endgerät zur Datenzentrale und einem Empfangen der OK-Meldung, ggf. mit Ladeanweisung, fortgesetzt. Parallel läuft auf der Seite der Datenzentrale eine zweite Kommunikation (Schritt 230) der Datenzentrale mit dem Endgerät, umfassend ein Empfangen und Prüfen der Information in der Datenzentrale mittels einer aus den Portotariftabellendaten generierten Vergleichsinformation und umfassend ein Senden einer OK-Meldung, ggf mit Lade-Anweisung an das Endgerät, die neuen Portotariftabellendaten in einen nichtflüchtigem Speicher des Portorechner zu laden. Im Schritt 140 wird die empfangenen OK-Meldung ausgeführt, ggf. erfolgt ein Laden einer neuen Portotariftabellendaten, wenn eine gültige Lade-Anweisung empfangen wurde. Andernfalls wird die zweite Kommunikation wiederholt, wenn keine OK-Meldung empfangen wurde.
Parallel dazu wird auf der Seite der Datenzentrale eine Registrierung (Schritt 240) der Dienstleistung in einer Datenbank der Datenzentrale vorgenommen, zwecks Rechnungslegung und Abbuchung bzw. späterer Bezahlung. Dann wird auf den Schritt 210 zurückverzweigt.The second transaction 130 on the side of the terminal begins with forming information in the terminal, ie in the postage meter machine, the information being related to the cached valid new postage rate table data. The communication of the terminal with a data center is continued with the transmission of information from the terminal to the data center and receiving the OK message, possibly with a load instruction. Parallel runs on the side of the data center, a second communication (step 230) of the data center with the terminal, comprising receiving and checking the information in the data center by means of a comparison information generated from the postage fee table data and comprising sending an OK message, if necessary Instruction to the terminal to load the new postage fee table data into a non-volatile memory of the postage calculator. In step 140, the received OK message is executed, possibly loading a new postage fee table data when a valid load instruction has been received. Otherwise, the second communication is repeated if no OK message is received.
At the same time, a registration (step 240) of the service in a database of the data center is carried out on the side of the data center for the purposes of billing and debiting or later payment. Then, branch back to step 210.

Beim bevorzugten Beispiel mit dem Portorechner in der elektronischen Frankiermaschine, sendet die Frankiermaschine neben Ihrer PIN eine Versionsnummer und die Prüfsumme an die Datenzentrale, welche in der Datenzentrale gestatten, die übertragenen neuen Tariftabellendaten eindeutig zu identifizieren. Bevor die in der Frankiermaschine zwischengespeicherten Tariftabellendaten als gültig anerkannt werden, wird noch eine Überprüfung einer Prüfsumme in der Datenzentrale durchgeführt.
Die Information beinhaltet vorzugsweise die Versionsnummer der Tabelle und eine verschlüsselte Prüfsumme, um eine Verifikation der ordnungsgemäß übermittelten und zwischengespeicherten Tabelle zu ermöglichen. Eine verschlüsselte Prüfsumme kann als digitale Signatur verwendet werden, welche auf die flüchtig zwischengespeicherten gültigen neuen Portotariftabellendaten bezogen ist. Es können jedoch weitere Daten in die Information eingehen bzw. mit verschlüsselt werden.In the preferred example with the postage calculator in the electronic postage meter machine, the postage meter transmits, in addition to its PIN, a version number and the checksum to the data center, which allow in the data center to uniquely identify the transmitted new rate card data. Before the tariff table data cached in the postage meter machine are recognized as valid, a check of a checksum in the data center is performed.
The information preferably includes the version number of the table and an encrypted checksum to enable verification of the properly submitted and cached table. An encrypted checksum may be used as a digital signature related to the volatile cached valid new postage fee schedule table data. However, further data can be included in the information or encrypted with it.

In den Figuren 3a und 3b werden eine erste und zweite Variante eines Flußplans für die Überprüfung der sicheren Übertragung von Daten an ein Endgerät dargestellt.FIGS. 3a and 3b show a first and second variant of a flow chart for checking the secure transmission of data to a terminal.

Es ist in einer - in der Fig.3a gezeigten - Variante vorgesehen, daß die verschlüsselte Prüfsumme vom Portorechner mittels eines unsymmetrischen Verschlüsselungs-Algorithmusses gebildet wird, in welchem ein öffentlicher Schlüssel gespeichert ist, sowie daß zur Prüfung in der Datenzentrale ein zugehöriger privater geheimer Schlüssel (PRIVET KEY) verwendet wird, welcher sicher gespeichert und vor einer dritten Partei geheim gehalten wird. Bei einer RSA-Signatur (R.Rivest, A.Shamir, L.Adleman), wird eine auf der Versionsnummer und der Prüfsumme basierende Nachricht mit einem öffentlichen Schreibschlüssel (PUBLIC KEY) zu einer digitalen Unterschrift verschlüsselt. Die digitale Unterschrift (SIGNATUR) wird zusammen mit der Identifikationsnummer PIN und der Versionsnummer (VERSION-Nr.) vom Endgerät zur Datenzentrale gesendet, welche mit einem geheimen Leseschlüssel (PRIVET KEY) nach dem dem unsymmetrischen Algorithmus (RSA) die Signatur entschlüsseln kann. Die Prüfsumme (CHECK SUM) über den Inhalt der Tariftabellendaten, welche in der Datenbank 31 zugeordnet zur Versionsnummer und ggf. auch zugeordnet zu PIN gespeichert sind, muß mit der entschlüsselten Nachricht übereinstimmen, wenn die im Portorechner bzw. in der Frankiermaschine zwischengespeicherten Tariftabellendaten als gültig anerkannt werden sollen. Diese Verikation ist eine Voraussetzung, um einen entsprechenden Befehl zur Frankiermaschine zu übermitteln. Die RATE TABLE CHECK SUM-Bildung kann vor oder während der Kommunikation erfolgen. Eine vorherige Bildung hat den Vorteil, daß die Vergleichs-Prüfsumme RATE TABLE CHECK SUM in der Datenbank 31 zugeordnet zur Versionsnummer VERSION-NR. bzw. PIN gespeichert vorliegt und vom Server 31 zum Vergleich direkt aus der Datenbank 31 aufgerufen werden kann. Die eingesparte Rechenzeit des Servers 32 steht damit vorteilhaft dem Entschlüsselungsvorgang der SIGNATUR zur Verfügung. Die entschlüsselte Nachricht ist mit der Prüfsumme CHECK SUM identisch, welche im Portorechner bzw. Endgerät aus der flüchtig zwischengespeicherten Portotariftabelle gebildet wurde. Bei ordnungsgemäßer Zwischenspeicherung ist die entschlüsselte Prüfsumme CHECK SUM identisch mit der gebildeten bzw. in der Datenbank 31 gespeicherten Vergleichsprüfsumme RATE TABLE CHECK SUM.It is provided in a variant (shown in FIG. 3a) that the encrypted checksum is formed by the postage computer by means of an asymmetrical encryption algorithm in which a public key is stored, as well as an associated private secret key for checking in the data center (PRIVET KEY) which is securely stored and kept secret from a third party. For an RSA signature (R.Rivest, A.Shamir, L.Adleman), a message based on the version number and the checksum is encrypted with a public write key (PUBLIC KEY) to a digital signature. The digital signature (SIGNATURE) is sent together with the identification number PIN and the version number (VERSION No.) from the terminal to the data center, which can decrypt the signature with a secret read key (PRIVET KEY) after the unbalanced algorithm (RSA). The checksum (CHECK SUM) on the contents of the rate table data, which are stored in the database 31 associated with the version number and possibly also assigned to PIN, must match the decrypted message if the tariff table data cached in the postage meter or in the postage meter machine is valid to be recognized. This is a prerequisite for transmitting a corresponding order to the franking machine. The RATE TABLE CHECK SUM formation can be done before or during communication. A prior formation has the advantage that the comparison checksum RATE TABLE CHECK SUM in the database 31 assigned to the version number VERSION-NO. PIN is present and can be called by the server 31 for comparison directly from the database 31. The saved computing time of the server 32 is thus advantageously available to the decryption process of the SIGNATURE. The decrypted message is with the checksum CHECK SUM identical, which was formed in the postage calculator or terminal from the volatile cached postage rate table. When properly cached, the decrypted checksum CHECK_UM is identical to the formed or stored in the database 31 compare checksum RATE TABLE CHECK SUM.

Zur RSA-Signatur (R.Rivest, A.Shamir, L.Adleman) ist auch der Digital Signatur Algorithmus (DSA) nach US 5,231,668 bekannt. Prinzipiell kann aber auch ein beliebig anderer unsymmetrischer Algorithmus, beispielsweise ELGamal-Algorithmus (ELGA) oder Elliptic Curve Signatur Schema (ECSS), eingesetzt werden.For RSA signature (R.Rivest, A.Shamir, L.Adleman) the digital signature algorithm (DSA) according to US 5,231,668 is also known. In principle, however, it is also possible to use any other asymmetrical algorithm, for example ELGamal algorithm (ELGA) or elliptic curve signature scheme (ECSS).

Alternativ ist in einer - in der Fig.3b gezeigten - Variante vorgesehen, daß die verschlüsselte Prüfsumme MAC (Message Authentication Code) mittels eines symmetrischen Verschlüsselungs-Algorithmusses von der Frankiermaschine gebildet wird, in welcher ein geheimer Schlüssel gespeichert ist. Die verschlüsselte Prüfsumme MAC wird zur Datenzentrale übermittelt. Im Unterschied zur in der Fig.3a gezeigten Variante, wird in der Datenzentrale keine Entschlüsselung durchgeführt, sondern ein Verschlüsselung, um eine eine aus der Portogebührentabelle abgeleitete Prüfsumme zu verschlüsseln zu einem Vergleichs MAC'. Die RATE TABLE CHECK SUM-Bildung kann vor oder während der Kommunikation erfolgen. Eine vorherige Bildung hat den Vorteil, daß die CHECK SUM lediglich aus der Datenbank 31 aufgerufen werden muß, um aus dieser CHECK SUM durch Verschlüsselung mit einem Geheimschlüssel SECRET KEY unter Anwendung eines symmetrischen Algorithmus DES mit Hilfe des Servers 32 den Vergleichs MAC' zu erzeugen.Alternatively, it is provided in a variant (shown in FIG. 3 b) that the encrypted checksum MAC (Message Authentication Code) is formed by means of a symmetrical encryption algorithm by the franking machine, in which a secret key is stored. The encrypted checksum MAC is transmitted to the data center. In contrast to the variant shown in FIG. 3a, no decryption is carried out in the data center, but an encryption in order to encrypt a checksum derived from the postage fee table to a comparison MAC '. The RATE TABLE CHECK SUM formation can be done before or during communication. A prior formation has the advantage that the CHECK SUM only has to be called from the database 31 in order to generate the comparison MAC 'from this CHECK SUM by encryption with a secret key SECRET KEY using a symmetric algorithm DES with the aid of the server 32.

Bei der Prüfung in der Datenzentrale wird der gleiche geheime Schlüssel SECRET KEY verwendet, wie in der Frankiermaschine. Die Überprüfung in der Datenzentrale erfolgt vorzugsweise mittels beider MAC's. Bei der MAC-Bildung wird vorzugsweise eine geeignete Variante des DES-Algorithmuses genutzt. Bei einer MAC-Bildung werden in der Datenzentrale und der Frankiermaschine der gleiche geheime DES-Schlüssel verwendet. Dazu muß der geheime DES-Schlüssel jener das Endgerät identifizierende PIN zugeordnet in der Datenbank 31 sicher gespeichert werden. Alternativ kann die RATE TABLE CHECK SUM-Bildung und die Verschlüsselung zu einem Vergleichs-MAC gemeinsam vor der Kommunikation erfolgen. Die Vergleichs-MAC ist dann in der Datenbank 31 zugeordnet zur PIN und Versionsnummer gespeichert und kann vom Server zu Vergleichszwecken abgerufen werden.The data center check uses the same SECRET KEY secret key as in the postage meter machine. The check in the data center is preferably carried out by means of both MAC's. In MAC formation, preferably a suitable variant of the DES algorithm used. In a MAC formation, the same secret DES key is used in the data center and the postage meter machine. To do this, the secret DES key associated with the PIN identifying the terminal must be securely stored in the database 31. Alternatively, the RATE TABLE CHECK SUM formation and the encryption to a comparison MAC can be done together prior to communication. The comparison MAC is then stored in the database 31 associated with the PIN and version number and can be retrieved by the server for comparison purposes.

Neuere Frankiermaschinen setzen digital arbeitende Druckwerke ein. Beispielsweise weisen die Frankiermaschinen T1000 bzw. JetMail des Anmelders weltweit erstmals einen Thermotransferdrucker bzw. einen Tintenstrahldrucker auf. Damit ist es prinzipiell möglich, auf einen gefüllten Brief im Bereich des Frankierstempels andere Informationen bzw. beliebig anders zu drucken, welche in einem entsprechenden Zusammenhang mit einer Dienstleistung eines Carriers stehen. Es ist also leicht möglich zwischen den privaten Postbeförderern und Ihren Dienstleistungen zu wechseln. Der Frankierstempelsabdruck enthält deshalb vorteilhaft einen Hinweis auf den Carrier und/oder die in Anspruch genommene oder noch geplante Dienstleistung.Newer franking machines use digitally working printing units. For example, applicant's metering machines T1000 and JetMail for the first time worldwide have a thermal transfer printer or an inkjet printer. Thus, it is in principle possible to print on a filled letter in the area of the franking stamp other information or any other way, which are in a corresponding context with a service of a carrier. So it's easy to switch between private mail carriers and your services. The franking stamp imprint therefore advantageously contains an indication of the carrier and / or the service used or planned.

Claims

A method for the secure transmission of service data to a terminal device including a provision (210) of new service data at the data central for a future processing in the terminal device based on the service data, a forming (110) of request data for service data in the terminal device, a first communication for sending (120) the request data of the terminal device to the data central, a receiving (220) of the request data at the data central and transmission of uncoded service data to the terminal device for the receiving and storing of the requested uncoded service data in the terminal device during the first communication of data central and terminal device,
characterized by the following steps:
- generation of an information in the terminal device based on the service data transmitted,

- transmission of the information back to the data central, and

- checking of the information transmitted back at the data central by means of a comparison information generated from the service data and transmission of a message to the terminal device as a result of the check.
A method according to Claim 1, characterized by the following steps:
- generation of the information as a code based on the service data transmitted,

- transmission of the code back to the data central, and

- checking of the code transmitted back at the data central and transmission of a message to the terminal device as a result of the check.
A method according to Claim 1, characterized by the following steps:
- generation of the information as a checksum based on the service data transmitted,

- transmission of the checksum back to the data central, and

- checking of the checksum transmitted back at the data central on the basis of a stored checksum and transmission of an OK message to the terminal device as a result of the check when the checksum transmitted back corresponds to a stored checksum.
A method according to Claim 1, characterized by the following steps:
- generation of the information as encoded code based on the service data transmitted,

- transmission of the encoded code back to the data central, and

- checking of the code transmitted back at the data central on the basis of a stored encoded code and transmission of an OK message to the terminal device as a result of the check when the code transmitted back corresponds to a stored encoded code.
A method according to Claim 1, characterized by the following steps:
- generation of a signature in the terminal device based on an information concerning the service data transmitted, the information being encoded as signature by means of a public writing key,

- transmission of the signature back to the data central, and

- checking of the information from the signature transmitted back at the data central after decoding the signature by means of a secret reading key according to an asymmetrical algorithm and after comparison with a stored information, transmission of an OK message to the terminal device as a result of the check when the information decoded from the signature transmitted back corresponds to a stored information.
A method according to Claim 5, characterized in that the information includes a checksum.
A method according to one of the preceding claims, characterized in that the information formed includes a version number and a checksum.
A method according to one of the preceding claims, characterized in that the information formed includes a version number and an encoded checksum.
A method according to one of the Claims 1 to 5, characterized in that the service data include postage rate table data.
A method according to one of the Claims 1 to 5, characterized in that the transmission back of the encoded or uncoded code or information to the data central and their checking at the data central and the transmission of an OK message to the terminal device take place during a second communication (130, 230).
A method according to one of the Claims 1 to 5, characterized in that, during the second transmission (230), a registration (step 240) of the service takes place at the data central in connection with the sending of the message.
A method according to one of the Claims 1 to 5, characterized in that, during the second communication, an OK message sent by the data central is received in step (130) and that the OK message is executed in the terminal device in the subsequent step (140) and the terminal device or the postage calculator is switched to an operating mode.
A method according to one of the Claims 1 to 5 and Claim 12, characterized in that the first communication with storage of the requested service data in step (120) includes an intermediate storage of the requested service data; that the information transmitted from the terminal device to the data central during the second communication in step (130) is related to the intermediately stored valid new service data; and that the OK message sent on part of the data central during the second communication (230) includes a loading instruction given to the terminal device to load the new service data into a non-volatile memory of a processing module; and that, after receiving the OK message with loading instruction, a loading (step 140) of the service data into the non-volatile memory of the processing module takes place in the terminal device.
A method according to Claim 12, characterized in that the execution of the execution of the OK message received includes a marking of the stored data as valid.
A method according to one of the Claims 1 to 5, characterized in that the service data include new postage rate table data that are made available at the data central for a future postage calculation (210) and that the sending of an OK-message during the second communication (230) of the data central with the terminal device that includes a receiving and checking of the information at the data central by means of a comparison information generated from the postage rate table data is also a sending of a loading instruction to the terminal device to load the new postage rate table data into the non-volatile memory of a postage calculator.
A method according to Claim 15, characterized in that a registration (step 240) of the loading takes place at the data central after the sending of the loading instruction and that, after receipt if the loading instruction, a loading (step 140) of the postage rate table data into a non-volatile memory of the postage calculator takes place.
An arrangement for performing the method according to Claim 1, including at least input-output means (1, 2, 3, 4, 21, 23), a program memory (11), a microprocessor (6) and memory means (5a, 5b, 16) for a non-volatile storage of service data and a volatile memory (7) in the terminal device, characterized in that the terminal device is connected with a postage calculator and that the microprocessor of the terminal device or of the postage calculator is programmed for
- storing the new postage rate table data in the memory of the terminal device or of the postage calculator, forming a checksum for the stored new postage rate table data and transmitting it to the data central; as well as

- executing an OK message received and switching the terminal device or postage calculator to an operating mode.
An arrangement according to Claim 17, characterized in that the microprocessor of the terminal device or postage calculator is programmed for
- intermediately storing the new postage rate table data in the volatile memory of the terminal device or postage calculator, forming a checksum for the intermediately stored new postage rate table data and transmitting it to the data central; as well as

- executing, upon receipt of an OK message, a loading instruction given by the data central to the terminal device, loading the new postage rate table data into a non-volatile memory (5a, 5b, 16) of a postage calculator and then switching the terminal device or postage calculator to an operating mode.
An arrangement according to one of the preceding Claims 17 or 18,
characterized in that the postage calculator is integrated into the terminal device or arranged separately from the terminal device.
An arrangement according to one of the preceding Claims 17 or 18,
characterized in that the postage calculator is integrated into a balance or arranged separately from the terminal device.
An arrangement according to Claim 19, characterized in that the terminal device is a franking machine, wherein the checksum is transmitted from the postage calculator to the franking machine, and that a symmetrical encoding algorithm for forming an encoded checksum and a secret key exist securely stored in the franking machine, said secret key being equal to the one that is used at the data central.
An arrangement according to Claim 20, characterized in that the postage calculator is designed for forming the checksum; that an asymmetrical encoding algorithm for forming an encoded checksum and a public key are stored in the balance, said public key being stored in an unsecured form, wherein, for checking the encoded checksum, the data central uses a related private secret key that is stored there in a secure manner and is kept secret from third parties.