EP3956846A1 - Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten sowie bezahlsystem - Google Patents

Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten sowie bezahlsystem

Info

Publication number
EP3956846A1
EP3956846A1 EP20719977.9A EP20719977A EP3956846A1 EP 3956846 A1 EP3956846 A1 EP 3956846A1 EP 20719977 A EP20719977 A EP 20719977A EP 3956846 A1 EP3956846 A1 EP 3956846A1
Authority
EP
European Patent Office
Prior art keywords
electronic coin
coin data
data set
masked
terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP20719977.9A
Other languages
English (en)
French (fr)
Inventor
Florian Gawlas
Tilo FRITZHANNS
Marco Rummer
Wolfram Seidemann
Maria Veleva
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Giesecke and Devrient Advance52 GmbH
Original Assignee
Giesecke+Devrient GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Giesecke+Devrient GmbH filed Critical Giesecke+Devrient GmbH
Publication of EP3956846A1 publication Critical patent/EP3956846A1/de
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/04—Payment circuits
    • G06Q20/06—Private payment circuits, e.g. involving electronic currency used among participants of a common payment scheme
    • G06Q20/065—Private payment circuits, e.g. involving electronic currency used among participants of a common payment scheme using e-cash
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/04—Payment circuits
    • G06Q20/06—Private payment circuits, e.g. involving electronic currency used among participants of a common payment scheme
    • G06Q20/065—Private payment circuits, e.g. involving electronic currency used among participants of a common payment scheme using e-cash
    • G06Q20/0658—Private payment circuits, e.g. involving electronic currency used among participants of a common payment scheme using e-cash e-cash managed locally
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/02—Payment architectures, schemes or protocols involving a neutral party, e.g. certification authority, notary or trusted third party [TTP]
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/10—Payment architectures specially adapted for electronic funds transfer [EFT] systems; specially adapted for home banking systems
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/22—Payment schemes or models
    • G06Q20/223—Payment schemes or models based on the use of peer-to-peer networks
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3827—Use of message hashing
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/383—Anonymous user system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/322—Aspects of commerce using mobile devices [M-devices]
    • G06Q20/3229—Use of the SIM of a M-device as secure element
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3825—Use of electronic signatures
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q2220/00—Business processing using cryptography
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/04—Masking or blinding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/42—Anonymization, e.g. involving pseudonyms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash

Definitions

  • the invention relates to a method for the direct transmission of electronic coin data sets between terminals.
  • the invention also relates to a payment system between at least two terminals and a monitoring entity.
  • Security of payment transactions and the associated payment transaction data means protection of the confidentiality of the data exchanged; as well as protecting the integrity of the data exchanged; as well as protection of the availability of the exchanged data.
  • WO 2016/200885 A1 a method for encrypting an amount made in a blockchain ledger is described, whereby the verifiability of the transaction is preserved remains.
  • a concealment amount is added to an input value.
  • an output value is generated and encrypted.
  • Both the input value and the output value lie within a value range, with a sum of any two values within the range not exceeding a threshold value.
  • the sum of the encrypted input value and the encrypted output value can be zero.
  • Range tests so-called range proofs, are assigned to each of the input values and the output value. These range checks prove that the input value and output value fall within the range of values.
  • Each public key can be signed with a ring signature based on a public key of a recipient in the transaction. This process requires blockchain technology, which must be called after receiving a coin data set in order to validate the coin data set.
  • direct payment between end devices such as tokens, smartphones and machines should be created that is anonymous.
  • the coin data records should be able to be used immediately after receipt.
  • Several coin data sets should be able to be combined with one another and / or divided as desired by the user in order to enable flexible exchange.
  • the exchanged coin data sets should on the one hand be confidential to other system participants, but on the other hand allow each system participant to carry out basic accounting checks, in particular the recognition of "multiple spending attempts" and the recognition of attempts to pay with non-existent amounts.
  • the task is achieved in particular by a method for directly transmitting a
  • Coin record has a monetary amount and a disguise amount.
  • Generating a modified electronic coin dataset using the received electronic coin dataset Masking the modified electronic coin data set by applying a homomorphic one-way function to the modified electronic coin data set to obtain a masked, modified electronic coin data set. Submit a registration request for the masked modified electronic Coin data record to a monitoring instance.
  • the registration request comprises masked ones to be registered
  • a modified electronic coin data set to be switched can be generated from the received electronic coin data set, or
  • the received electronic coin data set are divided into at least two divided modified electronic coin data sets, or
  • the received electronic coin data set are linked as the first electronic coin data set and at least one second electronic coin data set to form the connected, modified electronic coin data set.
  • the masked, modified electronic coin data record can thus be a masked - either to be switched, divided or connected - electronic coin data record.
  • the masked electronic coin data record received is advantageously obtained by the second terminal device from the received electronic coin data record by applying the homomorphic one-way function.
  • the modified electronic coin data set to be switched can be generated from the received electronic coin data set, whereby
  • the received electronic coin data record can be converted into at least two electronic
  • the received monetary amount corresponds to the sum of the monetary amounts of the at least two electronic coin part data sets
  • the sum of the concealment amounts of the at least two electronic coin part data records corresponds to the concealment amount of the received electronic coin data record.
  • the received electronic coin data set can be linked as a first electronic coin data set and at least one second electronic coin data set to form the modified, linked electronic coin data set
  • the coin data record is switched, divided or connected in this sense. Switching the transmitted electronic coin data set to a further electronic coin data set, namely electronic coin data set to be switched over; or splitting the transmitted electronic coin data set into a further (second) electronic coin data set; or connecting the transmitted electronic coin data record with a further electronic coin data record to form a further electronic coin data record, namely connected electronic coin data record.
  • the further (or modified) electronic coin data record is masked. In embodiments, either only switching or only splitting or connecting can be used in terminals, but the terminal preferably selects from one of the three steps.
  • the terminal sends the registration request to the monitoring entity, which stores valid, masked electronic coin data records for electronic coin data records.
  • Terminal devices such as the second terminal device can alternatively or additionally (for example, before further use) check the validity of an - in particular the received - electronic coin data record by converting the masked electronic coin data record into a
  • the monitoring instance answers the Validation request (positive or negative) based on the stored valid masked electronic coin data records.
  • Sending the registration request (and thus the step of registering in the monitoring entity) is preferably carried out when the terminal is connected to the monitoring entity.
  • the steps described can also initially be carried out without the step of sending the registration request (and of registering in the monitoring instance) being carried out.
  • the steps of receiving the electronic coin record and sending the registration request are independent of one another.
  • the steps of receiving the electronic coin data record and sending the registration request can, in particular, take place independently of one another at different times (e.g. receive now after / register (about) tomorrow).
  • the monetary amount of the transmitted electronic coin data record from the first terminal corresponds to the monetary amount of the further electronic coin data record.
  • the monetary amount of the transmitted electronic coin data record corresponds to the monetary total amount of the further electronic coin partial data records created from the transmitted electronic coin data record.
  • the total monetary amount from the transmitted electronic coin data record with the second electronic coin data record corresponds to the monetary amount of the connected electronic coin data record.
  • An electronic coin dataset is in particular an electronic dataset that represents a monetary amount and is colloquially referred to as “digital coin” or “electronic coin”. In the process, this monetary amount changes from a first terminal to another terminal.
  • a monetary amount is understood to be a digital amount, e.g. can be credited to an account of a financial institution, or can be exchanged for another means of payment.
  • An electronic coin data record therefore represents cash in electronic form.
  • the terminal device can have a large number of electronic coin data records, for example the large number of coin data records can be stored in a data memory of the terminal device.
  • the data memory then represents, for example, an electronic wallet.
  • the terminal will usually carry out the steps completely itself, but it can provide a terminal service (an external server instance) that executes at least one (in particular exactly one or exactly two or all three) of the steps generating, masking and sending for the terminal (preferably, generating and masking 4 or, masking and sending or sending).
  • the terminal can, for example, be a passive device, such as. B. a token, a mobile terminal, e.g. be a smartphone, tablet computer, computer, or machine.
  • a passive device such as. B. a token
  • a mobile terminal e.g. be a smartphone, tablet computer, computer, or machine.
  • a method according to the invention in a monitoring instance which stores valid, masked electronic coin data records which are each formed by applying a homomorphic one-way function to an electronic coin data record, electronic coin data records having a monetary amount and a concealment amount comprises the following steps:
  • a registration request which comprises at least one masked electronic coin data record to be registered and at least one registered masked electronic coin data record;
  • the checking of the monetary amount neutrality of the registration request is preferably done anonymously by forming the difference from the masked electronic coin data sets.
  • the monitoring entity receives creation and / or deactivation requests from an issuer entity, which include at least one masked electronic coin dataset created or to be deactivated, in particular for an electronic coin dataset newly issued by the issuer entity or an electronic coin dataset withdrawn from the issuer entity.
  • the creation and / or deactivation request can include a signature of the issuer on the masked electronic Include coin dataset, the signature of the masked, newly created electronic coin dataset preferably being stored in the monitoring instance.
  • An electronic coin data set can become invalid in the monitoring instance by marking or deleting the corresponding masked electronic coin data set in the monitoring instance.
  • the corresponding masked electronic coin data record or the corresponding electronic coin data record is particularly preferably deactivated in the issuer instance.
  • an electronic coin data record is unique and unambiguous, and this already differs from a conventional data record. It is advantageously used in a security concept that can optionally include, for example, signatures or encryptions.
  • an electronic coin data record should contain all data that are required for a receiving entity with regard to verification and forwarding to other entities. Additional communication between the end devices when exchanging the electronic coin data records is therefore basically not necessary, but can be used.
  • an electronic coin dataset used for transmission between two terminals has a monetary amount, that is, a date which represents a monetary value of the electronic coin dataset, and a concealment amount, for example a random number.
  • the electronic coin data record can have further metadata, for example which currency the monetary amount represents.
  • An electronic coin data set is uniquely represented by these at least two data (monetary amount and concealment amount).
  • An electronic coin data record is uniquely represented by these at least two data (monetary amount and concealment amount).
  • anyone who has access to these two pieces of data from a valid coin data record can use this electronic coin data record for payment. Knowing these two values (monetary amount and obfuscation amount) is synonymous with owning digital money.
  • This electronic coin data record is transmitted directly between two terminals, namely at least between the first and second terminal.
  • an electronic coin dataset consists of these two data, so that only the transfer of the monetary amount and the concealment amount is necessary for exchanging digital money.
  • a corresponding masked electronic coin data record is assigned to each electronic coin data record.
  • Knowledge of a masked electronic coin record does not make it possible to dispense the digital money represented by the electronic coin record. This represents a significant difference between masked electronic coin data records and (unmasked) electronic coin data records and is a core of the present invention.
  • the masked electronic coin data record is unique and can be clearly assigned to an electronic coin data record, i.e. a 1-to-1 relationship.
  • the electronic coin data set is preferably masked by a computing unit of the terminal within the terminal which also has the at least one electronic coin data set. Alternatively, the masking can be done by a computing unit of the terminal that receives the electronic coin data record.
  • This masked electronic coin data set is obtained by applying a homomorphic one-way function, in particular a homomorphic cryptographic function.
  • This function is a one-way function, i.e. a mathematical function that is “easily” computable in terms of complexity theory, but “difficult” or practically impossible to reverse.
  • a one-way function is also referred to as a function for which no reversal that can be practically carried out in a reasonable time and with reasonable effort is known.
  • the calculation of a masked electronic coin data record from an electronic coin data record is thus comparable to the generation of a public key in an encryption process using a residual class group.
  • a one-way function which operates on a group in which the discrete logarithm problem is difficult to solve, such as e.g. B. a cryptographic method analogous to an elliptical curve encryption, ECC for short, from a private key of a corresponding cryptography method.
  • the reverse function i.e. the generation of an electronic coin data record from a masked electronic coin data record, is very time-consuming - equivalent to generating the private key from a public key in an encryption process over a residual class group.
  • the respective operations on the corresponding mathematical group are to be understood in the mathematical sense, for example the group of points on an elliptical curve.
  • the one-way function is homomorphic, i.e. a cryptographic method that has homomorphic properties.
  • mathematical operations can be carried out with the masked electronic coin dataset, which can also be carried out in parallel on the (unmasked) electronic coin dataset and can therefore be reproduced.
  • calculations with masked electronic coin data records can be reproduced in the monitoring instance without the corresponding (unmasked) electronic coin data records being known there. Therefore, certain calculations with electronic coin data sets, for example for processing the (unmasked) electronic coin data set (for example splitting or combining), can also be carried out in parallel with the associated masked electronic coin data sets be proven, for example for validation checks or for checking the legality of the respective electronic coin data record.
  • the homomorphism property therefore makes it possible to enter valid and invalid electronic coin data records on the basis of their masked electronic coin data records in a monitoring instance without knowledge of the electronic coin data records, even if these electronic coin data records are processed (divided, connected, switched). This ensures that no additional monetary amount has been created or that an identity of the terminal is recorded in the monitoring instance. Masking thus enables a high level of security without giving any insight into the monetary amount or the end device. This results in a two-tier payment system. On the one hand there is the processing layer in which masked electronic data records are checked and on the other hand there is the direct transaction layer in which at least two terminals transmit electronic coin data records.
  • the masked coin data records are registered in the monitoring instance.
  • the step of switching over the transmitted electronic coin data record comprises the following sub-steps:
  • a concealment amount for the electronic coin data record to be switched is generated in the second terminal using a transmitted concealment amount of the transmitted electronic coin data record;
  • the transferred monetary amount of the transferred electronic coin data set is used as the monetary amount for the electronic coin data set to be switched.
  • the electronic coin data record When the electronic coin data record is transferred from the first terminal to the second terminal, two terminals are thus aware of the electronic coin data record.
  • the transmitted electronic coin data record is switched from the first terminal device to the second terminal device. Switching can preferably take place automatically when receiving an electronic coin data record. In addition, it can also be done on request, for example a command from the first and / or second terminal.
  • the generating comprises generating a concealment amount for the electronic coin data set to be switched, preferably using the concealment amount of the transmitted electronic coin data set in conjunction with a new concealment amount, for example a random number.
  • the concealment amount of the electronic coin data record to be switched is preferably obtained as the sum of the concealment amount of the transmitted electronic coin data record and the random number that serves as the new, that is, additional concealment amount.
  • the monetary amount of the transmitted electronic coin dataset is preferably used as the monetary amount for the electronic coin dataset to be switched. This means that no further money is generated, the monetary amounts of both coin data sets are identical.
  • the registration after the switching step has the result that the electronic coin data set sent by the first terminal becomes invalid and is recognized as correspondingly invalid on a second dispensing attempt by the first terminal.
  • the (further) coin data set generated by the second terminal device becomes valid after the tests have been successfully completed.
  • the electronic coin data record received from the first terminal results in a new electronic coin data record, preferably with the same monetary amount, the so-called electronic coin data record to be switched.
  • the new electronic coin data record is generated by the second terminal, preferably by using the monetary amount of the received electronic coin data record as the monetary amount of the electronic coin data record to be switched.
  • a new concealment amount for example a random number, is generated.
  • the new concealment amount is added, for example, to the concealment amount of the received electronic coin data record so that the sum of both concealment amounts (new and received) serves as the concealment amount of the electronic coin data record to be switched.
  • the received electronic coin data set and the electronic coin part data set to be switched are preferably masked in the terminal by applying the homomorphic one-way function to the respective electronic coin data set received and the electronic coin part data set to be switched over in order to generate a corresponding one masked received electronic coin data record and a masked electronic coin part data record to be switched.
  • additional information which is required for registering the switching of the masked electronic coin data record in the remote monitoring entity is preferably calculated in the terminal.
  • the additional information preferably contains an area proof of the masked electronic coin data record to be switched over and a region proof of the masked electronic coin data record obtained.
  • the area evidence is evidence that the monetary value of the electronic coin data record is not negative, the electronic coin data record is validly created and / or the monetary value and the concealment amount of the electronic coin data record are known to the creator of the area evidence.
  • the area verification serves to provide this verification (s) without revealing the monetary value and / or the concealment amount of the masked electronic coin data record.
  • proofs of range are also called “zero knowledge range proofs”. Ring signatures are preferably used as area evidence. The switching of the masked electronic coin data record is then registered in the remote monitoring entity.
  • This switching is necessary in order to invalidate (invalidate) the electronic coin data set received from the first terminal in order to avoid double spending. Because, as long as the electronic coin data record has not been switched, the first terminal can pass this received electronic coin data record on to a third device - since the first terminal is aware of the electronic coin data record and is therefore still in its possession.
  • the switching is secured, for example, by adding a new concealment amount to the concealment amount of the electronic coin data record obtained, whereby a concealment amount is obtained that only the second terminal knows.
  • Newly created obfuscation amounts must have a high entropy, since they are used as a dazzle factor for the corresponding masked electronic coin part data records.
  • a random number generator on the terminal is preferably used for this purpose. This protection can be tracked in the monitoring instance.
  • the electronic coin data record of the second terminal is divided into the first electronic coin partial data record and the second electronic coin partial data record.
  • the division is preferably done in that on the one hand a monetary partial amount and a partial concealment amount for the first electronic coin dataset is determined (each between 0 and the received monetary amount or concealment amount) and on the other hand the monetary amount of the second electronic coin partial dataset as the difference from the received monetary amount and the monetary partial amount of the first electronic coin part data record, as well as the concealment amount of the second electronic Coin part data set is calculated as the difference between the received concealment amount and the part concealment amount of the first electronic coin part data set.
  • the electronic coin data set to be divided, the first electronic coin part data set and the second electronic coin part data set are masked in the second terminal by applying the homomorphic one-way function in each case in order to obtain a masked electronic coin data set to be divided, a masked first electronic coin part data set and a masked second electronic coin part data set .
  • additional information that is required for registering the division of the masked electronic coin data record in the remote monitoring entity is calculated in the terminal.
  • the additional information preferably includes an area evidence of the masked electronic coin data record to be split, an area evidence of the masked first electronic coin data record and an area evidence of the masked second electronic coin data record.
  • the area evidence is evidence that the monetary value of the electronic coin data record is not negative, the electronic coin data record is validly created and / or the monetary value and the concealment amount of the electronic coin data record are known to the creator of the area evidence.
  • the area verification is used to provide this verification (s) without revealing the monetary value and / or the concealment amount of the masked electronic coin data record.
  • These proofs of range are also called “zero knowledge range proofs”. Ring signatures are preferably used as area evidence.
  • the division of the masked electronic coin data set is registered in the remote monitoring entity. In this way, monetary amounts to be transferred can be adapted to the corresponding needs.
  • a terminal owner is not forced to always pass on the entire monetary amount to another terminal.
  • the splitting and subsequent registration has the advantage that an owner of the at least one electronic coin data record is not forced to always transfer the entire monetary amount at once, but instead to transfer corresponding sub-amounts.
  • the monetary value can be divided without restrictions as long as all electronic coin data sub-records have a positive monetary amount that is less than the monetary amount of the electronic coin data record from which the division is made and the sum of the electronic coin sub-data records is equal to the electronic coin sub-data record to be divided.
  • fixed denominations can be used.
  • the concealment amount can be generated outside of the terminal and obtained via a (secure) communication channel.
  • a random number generator on the terminal is preferably used for this purpose.
  • the checking instance can, for example, show the sub-steps of the Note the monitoring instance, with markings, English flags, being set in order to document intermediate stages.
  • the (masked) first electronic coin part data record and (masked) second electronic coin part data record are preferably marked as valid.
  • the (masked) electronic coin data set to be split automatically becomes invalid.
  • the monitoring instance preferably notifies the result of executing the split command to the “commanding” terminal, ie which of the masked electronic coin data records involved are valid after the split command has been executed.
  • a further electronic coin data set (connected electronic coin data set) is determined from a first and a second electronic coin data set.
  • the concealment amount for the electronic coin data set to be linked is calculated by forming the sum from the respective concealment amounts of the first and second electronic coin data sets.
  • the monetary amount for the connected electronic coin dataset is preferably calculated by forming the sum from the respective monetary amounts of the first and the second electronic coin dataset.
  • the first electronic coin data set, the second electronic coin data set and the electronic coin data set to be connected are saved in the (first and / or second) terminal by applying the homomorphic one-way function to the first electronic coin data set, the second electronic coin data set and the one to be connected electronic coin data record masked in order to obtain a masked first electronic coin data record, a masked second electronic coin data record, and a masked electronic coin data record to be connected accordingly.
  • additional information that is required for registering the connection of the masked electronic coin data records in the remote monitoring entity is calculated in the terminal.
  • the additional information preferably includes an area evidence of the masked first electronic coin data record and an area evidence of the masked second electronic coin data record.
  • the area evidence is evidence that the monetary value of the electronic coin data record is not negative, the electronic coin data record is validly created and / or the monetary value and the concealment amount of the electronic coin data record are known to the creator of the area evidence.
  • the area verification is used to provide this verification (s) without revealing the monetary value and / or the concealment amount of the masked electronic coin data record.
  • proofs of range are also called “zero knowledge range proofs”. To be favoured ring signatures used as proof of range.
  • the connection of the two masked electronic coin data records is then registered in the remote monitoring entity.
  • a main distinguishing feature of this inventive concept compared to known solutions is that the monitoring entity only (that is, exclusively) maintains knowledge of the masked electronic coin data records and optionally a list of processing or changes to the masked electronic coin data record.
  • the actual payment transactions are not registered in the monitoring instance and take place in a direct transaction layer directly between terminals.
  • a two-layer payment system consisting of a direct payment transaction layer for the direct exchange of (unmasked) electronic coin data records and a monitoring layer, which can also be referred to as a “veiled electronic data record ledger”, is provided.
  • a monitoring layer which can also be referred to as a “veiled electronic data record ledger”.
  • the monitoring instance provides information about valid and invalid electronic coin data sets, for example to avoid multiple output of the same electronic coin data set or to verify the authenticity of the electronic coin data set as validly issued electronic money.
  • the first and / or second terminal can thus transmit electronic coin data records to another terminal in the direct payment transaction layer without a connection to the checking entity, in particular when the terminal is offline.
  • the first and / or second terminal can have a security element in which the electronic coin data records are securely stored.
  • a security element is preferably a special computer program product, in particular in the form of a secured runtime environment within an operating system of a terminal, English Trusted Execution Environments, TEE, stored on a data memory, for example a mobile one Terminal, a machine, preferably an ATM.
  • the security element is designed, for example, as special hardware, in particular in the form of a secured hardware platform module, English Trusted Platform Module, TPM or as an embedded security module, eUICC, eSIM.
  • the security element provides a trustworthy environment.
  • the communication between two terminals can be wireless or wired, or e.g. also take place optically, preferably via QR code or barcode, and can be designed as a secure channel.
  • the optical path can include, for example, the steps of generating an optical coding, in particular a 2D coding, preferably a QR code, and reading in the optical coding.
  • the exchange of the electronic coin data record is thus secured, for example, by cryptographic keys, for example a session key negotiated for an electronic coin data record exchange or a symmetrical or asymmetrical key pair.
  • the exchanged electronic coin data sets are protected against theft or manipulation.
  • the security element level thus complements the security of established blockchain technology.
  • the electronic coin data records can be transmitted in any format. This implies that it communicates on any channel, i.e. that it can be transmitted. They do not need to be saved in a specific format or in a specific program.
  • a mobile telecommunication terminal for example a smartphone
  • the terminal can also be a device such as a wearable, smart card, machine, tool, machine or container or vehicle.
  • a terminal according to the invention is therefore either stationary or mobile.
  • the terminal is preferably designed to use the Internet and / or other public or private networks.
  • the terminal uses a suitable connection technology, for example Bluetooth, Lora, NFC and / or WiFi and has at least one corresponding interface.
  • the terminal can also be designed to be connected to the Internet and / or other networks by means of access to a cellular network.
  • the first and / or second terminal in the method shown the received electronic coin data records when present or Receipt of several electronic coin data sets processes them according to their monetary value. It can thus be provided that electronic coin data sets with a higher monetary value are processed before electronic coin data sets with a lower monetary value.
  • the first and / or second terminal device can be designed to connect the electronic coin data record already present in the second terminal device to the electronic coin data record already present in the second terminal device, depending on the attached information, for example a currency or denomination, and to carry out a connection step accordingly.
  • the second terminal can also be designed to automatically carry out a switchover after receiving the electronic coin data record from the first terminal.
  • additional information is transmitted from the first terminal to the second terminal during transmission, for example a currency.
  • this information can be included in the electronic coin data record.
  • the method has the following further steps: masking the transmitted electronic coin data record in the second terminal by applying the homomorphic one-way function to the transmitted electronic coin data record; and sending the masked transmitted electronic coin data set to the remote monitoring entity for the remote monitoring entity to check the validity of the transmitted electronic coin data set.
  • the entire monetary amount was transferred to the second terminal as part of the electronic coin data record.
  • the second terminal Before a payee accepts this electronic coin data record, he / she checks its validity if necessary.
  • the second terminal generates the masked, transmitted electronic coin data record, sends it to the monitoring entity and in doing so asks the monitoring entity about the validity of the electronic coin data record.
  • the monitoring instance now checks whether the masked, transmitted electronic coin data record is even present and whether it is still valid, i.e. has not already been used by another terminal, in order to avoid double spending.
  • evidence is created in the second terminal.
  • the evidence includes information about the correspondence of the monetary amount of the transmitted electronic coin data set with the monetary amount of the electronic coin data set to be switched.
  • the proof preferably only includes information about the match, but not one of the monetary amounts.
  • the electronic coin data records of the first and / or second terminal are preferably checked during the registration in the monitoring instance. The check takes place as a function of the steps preceding the check, for example whether a step of switching, connecting and / or dividing has taken place.
  • the monitoring instance can for example check the validity of the (masked) transmitted and / or to be divided and / or first and second electronic coin data records. This makes it possible to determine whether the electronic coin records are being processed for the first time. If the (masked) electronic coin data sets are not valid (i.e. in particular if they are not present in the monitoring instance) the registration cannot be carried out successfully, for example because the terminal tries to issue an electronic coin data set several times.
  • the switching command prepared by the terminal is sent (as a registration request) to the monitoring entity, for example.
  • the switchover command preferably contains the masked electronic coin data record received, the masked electronic coin data record to be switched and preferably contains further information which is needed for checks in the monitoring instance.
  • the additional information is used to prove to the “ordering” terminal that it knows the monetary amount and the concealment amount of the electronic coin data record received without communicating the values, preferably by means of zero knowledge proof.
  • the checking instance checks the traceability of the unknowledgeable evidence, the validity of the masked electronic coin data record received and that the monetary amount of the electronic coin data record received is equivalent to the monetary amount of the electronic coin data record to be switched.
  • the second terminal device can preferably prove that the difference between the masked coin data record received and the masked coin data record to be switched has a special representation, namely that of a public key. This is done by generating a signature for the masked electronic coin data set to be switched with the added concealment amount. This generated signature of the masked electronic coin data record to be switched over can then be checked in the monitoring instance, which is considered to be proof that the second terminal is aware of the added concealment amount.
  • the (masked) electronic coin data set to be switched is marked as valid.
  • the masked, previously registered electronic coin data record may automatically become invalid.
  • the masked, previously registered electronic coin data set is marked as invalid or deleted.
  • the monitoring instance preferably notifies the result of executing the switchover command to the “commanding” terminal, ie which of the masked electronic coin data records involved are valid after the switchover command has been carried out.
  • a splitting command prepared by the terminal device (as a registration request) is sent to the monitoring entity. It contains the masked electronic coin data record to be divided, the masked first electronic coin part data record, the masked second electronic coin part data record and preferably further information that is needed for checks in the monitoring instance.
  • the additional information is used to prove to the “ordering” terminal that it knows the monetary amount and the concealment amount of the electronic coin data set to be divided up without communicating the values, preferably by means of zero knowledge proof.
  • the verification instance checks the traceability of the unknowledgeable evidence, the validity of the masked electronic coin dataset to be split and that the sum of the monetary amount of the first electronic coin dataset and the monetary amount of the second electronic coin dataset is equivalent to the monetary amount of the electronic coin dataset to be split (amount neutrality). This is preferably done in that the monitoring instance compares the sum of the masked first electronic coin part data set and the masked second electronic coin part data set with the masked coin part data set to be divided.
  • a connection command prepared by the terminal device (as a registration request) is sent to the monitoring instance. It contains the first masked electronic coin data record, the second masked electronic coin data record and the masked coin part data record to be connected and preferably further information that is needed for checks in the monitoring instance.
  • the additional information is used to prove to the “ordering” terminal that it knows the monetary amounts and the concealment amounts of the first and second electronic coin data records without communicating the values, preferably by means of zero knowledge proof.
  • the reviewing instance checks the traceability of the unaware evidence, the validity of the masked first electronic coin data record, the validity of the masked second electronic coin data record and that the sum of the monetary amount of the first electronic coin data record and the monetary amount of the second electronic coin data record is equivalent to the monetary amount of the to connecting electronic coin data set is (amount neutrality). This is preferably done by the monitoring entity comparing the sum of the masked first electronic coin data record and the masked second electronic coin data record with the masked partial coin data record to be connected. Preferably, after successfully completing the checks that are relevant for the connect command, that is, if the markings are complete, the (masked) electronic coin data set to be connected is marked as valid.
  • the (masked) first electronic coin data record and the (masked) second electronic coin data record automatically become invalid.
  • the masked, previously registered electronic coin data records are actively marked as invalid or deleted.
  • the monitoring instance preferably notifies the result of the deployment of the connect command to the “commanding” terminal, ie which of the masked electronic coin data records involved are valid after the connect command has been executed.
  • the masking of the transmitted electronic coin data record and its validity check are carried out before the transmitted electronic coin data record is registered in the monitoring instance.
  • the second terminal first sends a validity request for the masked electronic coin data record received and only uses the received electronic coin data record if it is valid.
  • the registration request can then be sent or the received electronic coin data record (unmodified) can be passed on, in particular to another terminal or to another system participant, such as a server instance of a commercial bank.
  • the monitoring entity is a remote entity.
  • the establishment of a communication connection to the monitoring entity is provided for registering the electronic coin data record.
  • the monitoring instance is designed as a superordinate instance.
  • the monitoring instance is therefore not necessarily arranged in the level or in the layer of the terminals (direct transaction layer).
  • the monitoring entity is preferably provided for managing and checking masked electronic coin data records. It is arranged in an issuer layer, in which an issuer instance is also arranged, and / or in an independent monitoring layer. It is conceivable that the monitoring instance also manages and checks transactions between the first and second terminals.
  • the monitoring instance is preferably a decentrally controlled database, English Distributed Ledger Technology, DLT, in which the masked electronic coin data sets are registered with corresponding processing of the masked electronic coin data set.
  • a validity status of the (masked) electronic coin data record can be derived from this.
  • the validity of the (masked) electronic coin data records is preferably noted in and by the checking entity.
  • the registration of the processing or the processing steps can also relate to the registration of test results and intermediate test results relating to the validity of an electronic coin data record. If processing is final, this is indicated, for example, by corresponding markings or a derived overall marking. Final processing then decides whether an electronic coin dataset is valid or invalid.
  • This database is further preferably a non-public database, but can also be implemented as a public database.
  • This database makes it possible to check coin data records for their validity in a simple manner and to prevent “double-spending”, ie multiple spending, without the payment transaction itself being registered or logged.
  • the DLT describes a technique for networked computers that come to an agreement about the sequence of certain transactions and that these transactions update data. It corresponds to a decentralized management system or a decentralized database.
  • the database can also be designed as a public database.
  • the monitoring instance is a centrally managed database, for example in the form of a publicly accessible data memory or as a mixed form of a central and decentralized database.
  • Initial electronic coin data records are preferably created exclusively by the issuer.
  • switched, divided or connected electronic coin data records in particular electronic coin part data records, can also be generated by a terminal.
  • the creation and selection of a monetary amount preferably also includes the selection of a concealment amount with high entropy.
  • the issuing entity is a computing system which is preferably remote from the first and / or second terminal.
  • the issuing authority is particularly preferably assigned to a central bank.
  • the new electronic coin data record is masked in the issuer instance by applying the homomorphic one-way function to the new electronic coin data record in order to obtain a masked new electronic coin data record accordingly.
  • additional Information required for registering the creation of the masked new electronic coin data record in the remote monitoring entity is calculated in the issuing entity. This additional information is preferably evidence that the (masked) new electronic coin data record originates from the issuer, for example by signing the masked new electronic coin data record.
  • the issuer instance signs a masked electronic coin data record with its signature when generating the electronic coin data record.
  • the signature of the issuing authority is preferably stored in the monitoring authority.
  • the issuer instance also sends a proof of the area of the electronic coin data set generated in order to prove possession of the electronic coin data set.
  • the issuer can deactivate an electronic coin data record that is in its possession (i.e. of which it knows the monetary amount and the concealment amount) by masking the electronic coin data record to be deactivated with the homomorphic one-way function and a deactivation command or a Deactivation request prepared for the monitoring instance.
  • part of the deactivation command is preferably also the proof that the deactivation step was initiated by the issuer, for example in the form of the signed, masked electronic coin data record to be deactivated.
  • the deactivation command could contain area checks for the masked electronic coin data record to be deactivated. The deactivation of the masked electronic coin data record is then registered in the remote monitoring entity. The deactivation step is triggered with the deactivate command.
  • a deactivation command (or a deactivation request) is prepared in the issuing entity and is sent to the monitoring entity.
  • the deactivation command contains the masked electronic coin data record to be deactivated and, preferably, further information that is needed for checks in the monitoring instance.
  • the additional information serves to prove that the deactivation command was initiated by the issuer, preferably by means of the signed, masked electronic coin data record to be deactivated.
  • the checking entity checks the signature, the validity of the masked electronic coin data set to be deactivated and optionally the area evidence of the masked electronic coin data set to be deactivated.
  • the (masked) one to be deactivated is preferred Electronic coin record marked as invalid (or deleted).
  • the monitoring entity preferably notifies the issuer entity of the result of executing the deactivation command, ie that the (masked) electronic coin data set to be deactivated is invalid after the deactivation command has been executed.
  • the creation and deactivation steps are preferably carried out in secure locations, in particular not in the terminals.
  • the creation and deactivation steps are only carried out or initiated by the issuing entity. These steps preferably take place in a secure location, for example in a hardware and software architecture that was developed for processing sensitive data material in insecure networks.
  • the deactivation of the corresponding masked electronic coin data record has the effect that the corresponding masked electronic coin data record is no longer available for further processing, in particular transactions, since it has been marked as invalid in and by the monitoring entity. However, in one embodiment it can be provided that the deactivated, masked electronic coin data record remains archived at the issuer.
  • deactivated, masked electronic coin data record is no longer valid can be identified, for example, with the aid of a flag or some other coding, or the deactivated, masked electronic coin data record can be destroyed and / or deleted. Of course, the deactivated, masked electronic coin data record can also be deleted.
  • the fiction, contemporary method enables various processing operations for the electronic coin data sets and the corresponding masked electronic coin data sets.
  • Each of the processing operations (in particular creating, deactivating, splitting, connecting and switching) is registered in the monitoring instance.
  • the processing operations can be appended there in unchangeable form to the list of previous processing operations for the respective masked electronic coin data record.
  • the processing operations "create” and “deactivate”, which concern the existence of the monetary amount per se, that is, the creation and destruction or even the destruction of money, require additional approval, for example in the form of a signature, by the issuing authority to be registered in the monitoring instance.
  • Processing in the direct transaction layer only affects the ownership structure and / or the assignment of the coin data records to the terminals of the respective electronic coin data records.
  • the respective processing results are registered in the Supervisor.
  • the database of valid masked coin data records is adapted accordingly. For example, by adding and deleting masked coin data records. However, it is preferably implemented by means of corresponding list entries in a database which comprises a series of markings that are used by the
  • a possible structure for a list entry includes, for example, column (s) for a previous coin data record, column (s) for a successor coin data record, a signature column for the issuer instance, and at least one marking column.
  • a change in the status of the marking requires the approval of the monitoring authority and must then be saved unchangeably.
  • a change is final if and only if the necessary markings by the
  • Monitoring authority have been validated, i.e. after the corresponding check, for example, the status "0" was changed to the status "1". If a test fails or takes too long, it is instead changed, for example, from status to status "0". Further status values are conceivable and / or the status values mentioned here are interchangeable.
  • the validity of the respective (masked) electronic coin data records from the status values of the markings is summarized in a column for each masked electronic coin data record that is involved in registering the processing.
  • At least two, preferably three or even all of the aforementioned markings can also be replaced by a single mark, which is set when all tests have been successfully completed.
  • the two columns for predecessor data sets and successor data sets can be combined into one each, in which all coin data sets are listed together.
  • a masked electronic coin data record is invalid if one of the following checks applies, i.e. if:
  • the masked electronic coin data record is not registered in the monitoring entity; (2) the last processing of the masked electronic coin data record indicates that it has predecessor coin data records, but this last processing is not final; or
  • the masked electronic coin record is not the successor to a valid masked electronic record unless it is signed by the issuer
  • a payment system for exchanging monetary amounts is provided with an accounting layer with a database (preferably decentralized controlled database, English Distributed Ledger Technology, DLT) in which masked electronic coin data records are stored; and a direct transaction layer with at least two terminals in which the method described above can be carried out; and / or an issuer instance for the initial generation or creation of an electronic coin data record.
  • the issuer entity can prove that the masked electronic coin data record was generated by it, the issuer entity can preferably identify itself by signing and the monitoring entity can check the signature of the issuer entity.
  • the issuer instance also sends a proof of the area of the electronic coin data set generated in order to prove possession of the electronic coin data set.
  • the payment system comprises an issuer instance for generating an electronic coin data record.
  • the issuer entity can prove that the masked electronic coin data record was generated by it, the issuer entity can preferably identify itself by signing and the monitoring entity can check the signature of the issuer entity.
  • the issuer instance also sends a proof of the area of the electronic coin data set generated in order to prove possession of the electronic coin data set.
  • the payment system is preferably designed to carry out the above-mentioned method and / or at least one of the embodiment variants.
  • a currency system comprising an issuer entity, a monitoring entity, a first terminal and a second terminal, the issuer entity being designed to create an electronic coin data record.
  • the masked electronic coin data record is designed to be verifiably created by the issuing entity.
  • the monitoring instance is designed to carry out one of the above-mentioned methods, that is to say in particular the processing of registration requests.
  • the terminals that is to say at least the first and second terminals, are preferably suitable for executing one of the above-mentioned methods for transmitting coin data sets.
  • the issuer is authorized to initially create an electronic coin data record.
  • Processing for example the step of connecting, splitting and / or switching, can and is preferably carried out by a terminal.
  • the processing step of deactivation can preferably only be carried out by the issuing entity. Thus, only the issuing entity would be entitled to invalidate the electronic coin data record and / or the masked electronic coin data record.
  • the checking instance and the issuing instance are preferably each arranged in a server instance or are available as a computer program product on a server and / or a computer.
  • the currency system can include further coin owner entities, in particular server entities or computer entities.
  • the coin owner entities can transmit electronic coin data records, in particular to each other or from or to terminals, and send registration requests to the monitoring entity for masked modified electronic coin data records.
  • Further coin owner instances can be assigned to commercial banks, online shops or service providers, for example.
  • masked electronic coin data sets are held in the monitoring instance as a unique, corresponding public representation of the electronic coin data set.
  • the knowledge or the possession of a masked electronic coin data record does not represent the possession of money. Rather, this is like checking the authenticity of the analog means of payment.
  • the monitoring instance stores the valid masked electronic coin data records. Therefore, a recipient of an electronic coin data set will first generate a masked received electronic coin data set and have the validity of the masked electronic coin data set confirmed by the monitoring entity.
  • a great advantage of this solution according to the invention is that the digital money is distributed to terminals, dealers, banks and other users of the system, but no digital money or other metadata is stored in the monitoring instance - that is, a common instance.
  • the monitoring instance can preferably also store a validity status of the masked electronic coin data sets and / or contain markings about executed and planned processing of the masked electronic coin data set.
  • a status of the respective masked electronic coin data record can be derived from the markings relating to the processing, which indicates whether the corresponding (unmasked) electronic coin data record is valid, i.e. is ready to pay.
  • the proposed solution can be integrated into existing payment systems and infrastructures.
  • a payment process can take place with banknotes and / or coins, but the change or change is available as an electronic coin data record.
  • ATMs with a corresponding configuration, in particular with a suitable communication interface, and / or mobile terminals can be provided for the transaction.
  • An exchange of electronic coin data sets for bank notes or coins is also conceivable.
  • Fig.l shows an embodiment of a payment system according to the invention
  • FIG. 2 shows an embodiment of a monitoring instance
  • FIG. 3 shows an embodiment of a payment system according to the invention for splitting and switching over electronic coin data sets
  • FIG. 4 shows an embodiment of a payment system according to the invention for connecting electronic coin data sets
  • FIG. 5 shows an embodiment of a process flow diagram of a method according to the invention and corresponding processing steps of a coin data set
  • FIG. 6 shows an exemplary embodiment of a process flow diagram of a method according to the invention and corresponding processing steps of a coin data set
  • FIG. 7 shows a further exemplary embodiment of a method flow diagram of a method according to the invention.
  • Fig.l shows an embodiment of a payment system with terminals Ml and M2 according to the invention.
  • An electronic coin data record C i is generated in an issuer instance 1, for example a central bank.
  • a masked electronic coin data record Z i is generated and registered in a database 2 as a monitoring instance, which is referred to here as the “concealed electronic data record ledger”.
  • a ledger is understood to be a list, a directory, preferably a database structure.
  • the electronic coin data record C i is output to a first terminal Ml. For example, a true random number was generated as the concealment amount n. This concealment amount n is linked to a monetary amount Ui and then forms an i-th electronic coin data record according to the invention:
  • Ci (Vi, ri ⁇ (1)
  • a valid electronic coin data record can be used for payment.
  • the owner of the two values u, ⁇ and n is therefore already in possession of the digital money because he can use it for payment.
  • the digital money is defined by a pair consisting of a valid electronic coin data record and a corresponding masked electronic coin data record Z i .
  • the masked electronic coin data set Z i is obtained by applying a homomorphic one-way function f (C i ) according to equation (2):
  • This function f (C i ) is public, ie every system participant can call up and use this function.
  • This function f (C i ) is defined according to equation (3):
  • H and G are generator points of a group G, in which the discrete logarithm problem is difficult, with the generators G and H, for which the discrete logarithm of the other base is unknown.
  • G and H are generator points of an elliptical curve encryption, ECC - that is, private keys of the ECC.
  • Equation (3) is a “Pederson Commitment for ECC”, which ensures that the monetary amount n t can be granted, ie “committed”, to a monitoring instance 2 without disclosing it to the monitoring instance 2.
  • the public and remote monitoring instance 2 is therefore only sent (disclosed) the masked coin data set Z i .
  • Equation (3) enables, through the entropy of the concealment amount n, that even with a small value range for monetary amounts u; a cryptographically strong Z i is obtained. A simple brute force attack simply by estimating monetary amounts v i is therefore practically impossible.
  • Equation (3) is a one-way function, which means that the computation of Z i from C i is easy, since an efficient algorithm exists, whereas the computation of C i from Z i is very difficult, since none is solvable in polynomial time Algorithm exists.
  • equation (3) is homomorphic for addition and subtraction, which means that:
  • the coin data set C i can be divided according to equation (1) into:
  • equation (9) for example, a “dividing” processing or a “dividing” processing step of a coin data set according to FIG. 3 can be checked in a simple manner without the monitoring instance 2 having knowledge of C i , C j , C k .
  • the condition of equation (9) is checked to validate divided coin records Cj and C k and to declare the coin data set C i invalid.
  • Such a division of an electronic coin data set C i is shown in FIG.
  • new electronic coin data sets C i are preferably not output directly to terminals, but rather initially to a commercial bank, for example.
  • an electronic coin data set C i is generated by the meter issuer instance 1 and, by means of equation (3), a masked electronic coin data set Z; calculated by the issuing authority 1 and this registered in the monitoring authority 2.
  • the first terminal M1 then transmits the electronic coin data record C i to a second terminal M2. Before this, the terminal could optionally carry out one of the processing steps (switching, connecting, dividing).
  • the transmission takes place wirelessly via WLAN, NFC or Bluetooth, for example.
  • the transmission can be additionally secured by cryptographic encryption methods, for example by negotiating a session key or using a PKI infrastructure.
  • the transmitted electronic coin data set C i is received as C i * in the second terminal M2.
  • the second terminal M2 Upon receipt of the electronic coin data set C i * , the second terminal M2 is in possession of the digital money represented by the electronic coin data set C i * . If both terminals trust each other, no further steps are necessary to end the process. However, the terminal M2 does not know whether the electronic coin data record C i * is actually valid. In addition, the terminal Ml could also transmit the electronic coin data set C i to a third terminal (not shown). To prevent this, further preferred steps are provided in the method.
  • the masked, transmitted electronic coin data set Z i * is calculated in the second terminal M2 with the - public - one-way function from equation (3).
  • the masked, transmitted electronic coin data set Z i * is then transmitted to the monitoring instance 2 and searched there. If there is a match with a registered and valid masked electronic coin data set, the validity of the received coin data set C i * is displayed to the second terminal M2 and it applies that the received electronic coin data set C i * is equal to the registered electronic coin data set C i .
  • the received electronic coin data record C i * is still valid, ie that it has not already been used by another processing step or in another transaction and / or was subject to a further change .
  • the electronic coin data record obtained is then preferably switched over by the second terminal.
  • the sole knowledge of a masked electronic coin data set Z i does not entitle the holder to spend the digital money.
  • the sole knowledge of the electronic coin data set C i authorizes payment, ie to successfully carry out a transaction, in particular if the coin data set C i is valid.
  • the masked electronic coin data records Z i are registered in the monitoring instance 2, for example a public decentralized database. This registration first makes it possible to check the validity of the data record, for example whether new monetary amounts have been created (illegally).
  • a main differentiating feature compared to conventional solutions is that the masked electronic coin data sets Z i are stored in a monitoring layer 4 and all processing operations on the electronic coin data set Z i are registered there, whereas the actual transfer of the digital money in a (secret, i.e. not public known) direct transaction layer 3 takes place.
  • Table 1 above shows that for each coin data set, each of the processing operations “Create”, “Deactivate”, “Split”, “Connect” and “Switch” different operations “Create signature”; “Create random number”;”CreateMask”; “Area checking” can be provided, each of the processing operations being registered in the monitoring instance 2. There it can be attached in unchangeable form to a list of previous processing operations for masked electronic coin data records Z i . The operations of the processing “creating” and “deactivating” an electronic coin data set are only carried out in secure locations and / or only by selected entities, for example the issuer entity 1, while the operations of all other processing operations can be carried out on the terminals M1 to M3.
  • the number of operations for the individual processing is marked in table 1 with "0", "1" or "2".
  • the number “0” indicates that the terminal or issuer instance 1 does not have to carry out this operation for this processing of the electronic coin data record.
  • the number “1” indicates that the terminal or issuer instance 1 must be able to carry out this operation once for this processing of the electronic coin data record.
  • the number “2” indicates that the terminal or issuer instance 1 must be able to carry out this operation twice for this processing of the electronic coin data record.
  • an area check is also carried out by the issuer instance 1 during creation and / or deactivation.
  • the operations required for the monitoring instance 2 are listed for the individual processing:
  • Table 2 Number of operations to be carried out per processing of a coin data set in the monitoring instance; Further operations that are not listed here are required; Instead of the listed
  • All operations of table 2 can be carried out in the monitoring instance 2, which as a trustworthy instance, for example as a decentralized server, in particular a distributed trusted server, ensures sufficient integrity of the electronic coin data records.
  • Table 3 shows the components to be preferably installed for the system subscribers in the payment system of FIG. 1:
  • Table 3 Preferred units in the system components Table 3 shows an overview of the components to be preferably used in each system subscriber, that is to say the issuer instance 1, a terminal Ml and the monitoring instance 2.
  • the terminal Ml can be used as a wallet for electronic coin data records, ie as an electronic purse, i.e. a data storage device for the terminal in which a large number of coin data records can be stored and implemented, for example in the form of an application on a smartphone or IT system of a retailer, a commercial bank or another market participant, and sending or receiving an electronic coin data record.
  • the components in the terminal as shown in Table 3 are implemented as software. It is assumed that the monitoring instance 2 is based on a DLT and is operated by a number of trustworthy market participants.
  • FIG. 2 shows an exemplary embodiment of a monitoring instance 2 from FIG. 1.
  • an exemplary database is shown in the form of a table in which the masked electronic coin data records Z i and possibly - as shown here - their processing are registered. In the simplest embodiment of the database, however, only the currently valid masked coin data sets Z i would be stored.
  • the monitoring instance 2 is preferably arranged locally remotely from the terminals M1 to M3 and is accommodated, for example, in a server architecture.
  • Any processing operation . for processing (creating, deactivating, splitting, connecting and switching) is registered in the monitoring instance 2 and appended there in unchangeable form to a list of previous processing operations for masked electronic coin data records Z i .
  • a registration of the respective processing in the monitoring instance 2 is implemented, for example, by corresponding list entries in the database according to FIG. 2.
  • Each list entry has further markings 25 to 28, which document the intermediate results of the respective processing carried out by the monitoring instance 2 have to.
  • the markings 25 to 28 are preferably used as an aid and are discarded by the checking entity after the commands have been completed. What remains then are markings (not shown) about the validity of the (masked) electronic coin data records from columns 22a, 22b, 23a and / or 23b.
  • the markings are in the state, for example and are set to the status "1" after all tests have been successfully completed and to the status "0" if at least one test has failed.
  • a possible structure for a list entry of a coin data record includes, for example, two columns 22a, 22b for a previous coin data record (Ol, 02), two columns 23a, 23b for a successor coin data record (S1, S2), a signature column 24 for the issuer instance ( en) 1, and four marking columns 25 to 28.
  • Each of the entries in columns 25 to 28 has three alternative states "1" or "0".
  • Column 25 (O flag) indicates whether a validity check with regard to an electronic coin data record in column 23a / b was successful.
  • the status “1” means that a validity check showed that the electronic coin data set in column 23a / b is valid and the status “0” indicates that a validity check showed that the electronic coin data set in column 23a / b is invalid and the status indicates that a validity check has not yet been completed.
  • Column 26 (C flag) shows whether one calculation for checking the amount neutrality of the masked electronic coin data records was successful.
  • the status "1” means that a calculation was successful and the status "0" indicates that the calculation was unsuccessful and the status indicates that the calculation is not yet completed.
  • Column 27 shows whether a check of the area evidence or the area evidence was successful, where status "1" means that a validity check showed that the area evidence or the area evidence is or is traceable and the status " 0 "indicates that a validity check showed that the area evidence or the area evidence could not or could not be reproduced and the status" - “indicates that a validity check has not yet been completed.
  • Column 28 shows the successful verification of the signature. The status "1" means that a validity check showed that the signature could be identified as that of the publisher instance and the status "0" indicates that a validity check showed that the signature could not be identified as that of the publisher instance and the status indicates that this validity check has not yet been completed.
  • a change in the status of one of the markings requires approval by the monitoring instance 2 and must then be stored in the monitoring instance 2 in an unchangeable manner. Processing is final if and only if the required markings 25 to 28 have been validated by the monitoring instance 2, ie have changed from state “0” to state “1” or state “1” after the corresponding check.
  • the monitoring instance 2 searches in the present variant for the last change which concerns the masked electronic coin data set. It applies that the masked electronic coin data set Z is valid if and only if the masked electronic coin data set Z for its last processing is listed in one of the successor columns 23a, 23b and this last processing has the corresponding final marking 25 to 28. It is also true that the masked electronic coin data set Z is valid if and only if the masked electronic coin data set Z is listed for its last processing in one of the preceding columns 22a, 22b and this last processing failed, i.e. at least one of the correspondingly requested States of the markings 25 to 28 is set to "0".
  • the masked electronic coin data set Z is not valid for all other cases, for example if the masked electronic coin data set Z is not found in the monitoring instance 2; or if the last processing of the masked electronic coin data set Z is listed in one of the successor columns 23a, 23b, but this last processing never became final; or if the last processing of the masked electronic coin data set Z is in one of the preceding columns 22a, 22b and this last processing is final.
  • the checks by the monitoring entity 2 to check whether processing is final are shown in columns 25 to 28:
  • the status in column 25 indicates whether the masked electronic coin data record (s) according to previous columns 22a, 22b are valid are.
  • the status in column 26 indicates whether the calculation for amount neutrality, for example according to equation (10), is correct.
  • the status in column 27 indicates whether the area evidence for the masked electronic coin data records Z could be checked successfully.
  • the status in column 28 indicates whether the signature in column 24 of the masked electronic coin data record Z is a valid signature of the issuer instance 1.
  • the status "0" in a column 25 to 28 indicates that the test was not successful.
  • the status "1" in a column 25 to 28 indicates that the test was successful.
  • the status in a column 25 to 28 indicates that no test has taken place.
  • the conditions can also have a different value as long as it is possible to clearly differentiate between success / failure of a test and it is clear whether a certain test was carried out.
  • Processing is, for example, “generating” an electronic coin data record C i .
  • the generation in the direct transaction layer 3 by the issuer instance 1 includes the selection of a monetary amount v i and the creation of a concealment amount n, as has already been described with equation (1).
  • no entries / markings are required in columns 22a, 22b, 23b and 25 to 27 during the “create” processing.
  • the masked electronic coin data set Z i is registered in the successor column 23a. This registration is preferably carried out before the transmission to a terminal M1 to M3, in particular or already during generation by the issuing entity 1, in which case equation (3) must be carried out in both cases.
  • the masked electronic coin dataset Z i is signed by the issuer instance 1 when it is created; this signature is entered in column 24 to ensure that the electronic coin dataset C i was actually created by an issuer instance 1, although other methods are also possible. If the signature of a received Z i matches the signature in column 24, the marking in column 28 is set (from “0” to “1”). The markings in columns 25 to 27 do not require a status change and can be ignored. The proof of area is not required, since the monitoring instance 2 trusts that the issuing instance 1 does not issue any negative monetary amounts. In an alternative embodiment, however, it can be sent by the issuer instance 1 in the create command and checked by the monitoring instance 2.
  • Processing is, for example, “deactivate”.
  • the deactivation that is to say the destruction of the money, causes the masked electronic coin data set Z; becomes invalid after the issuer instance 1 has successfully executed the deactivation command.
  • the (masked) electronic coin data record to be deactivated can therefore no longer be processed in the accounting layer 4.
  • the corresponding (unmasked) electronic coin data records C i should also be deactivated in the direct transaction layer 3.
  • the masked electronic coin data set Z i When deactivated, the masked electronic coin data set Z i must then be checked whether the signature matches the signature according to column 24 in order to ensure that the electronic coin data set C i was actually created by an issuer instance 1, again other means can be used for this test. If the signed Z i , which is also sent in the deactivation command, can be confirmed as signed by the issuing instance 1, the marker 28 is set (from “0” to “1”). The markings according to columns 26 to 27 do not require a status change and can be ignored. The markings according to columns 25 and 28 are set after appropriate testing.
  • One processing is, for example, “splitting”.
  • the division that is, the splitting of an electronic coin data set Z i into two electronic coin part data sets Z j and Z k is initially carried out in the direct transaction layer 3, as shown in FIG. 3, with the monetary amounts U j and the concealment amount r j being generated will.
  • V k and r k result from equations (7) and (8).
  • the markings 25 to 27 are set, the preceding column 22a is written with the electronic coin data set Z i , the next column 23a is written with Z j and the next column 23b is written with Z k .
  • the status changes required in accordance with columns 25 to 27 take place after the corresponding check by the monitoring instance 2 and document the respective check result.
  • the marking according to column 28 is ignored.
  • One processing is, for example, “Connect”.
  • the connection that is, the merging of two electronic coin data sets Z i and Z j to form an electronic coin data set Z m, is initially carried out in the direct transaction layer 3, as shown in FIG. 4, the monetary amount v m and. the concealment amount r m can be calculated.
  • the markings 25 to 27 are set in the monitoring instance 2, the preceding column 22a is written with the electronic coin data set Z i , the preceding column 22b is written with Z j and the succeeding column 23b is written with Z m .
  • the markings in columns 25 to 27 require status changes and monitoring instance 2 carries out the corresponding checks. Proof of area must be provided to show that no new money has been generated.
  • the marking according to column 28 is ignored.
  • One processing is, for example, “toggle”. Switching is necessary when an electronic coin data record has been transmitted to another terminal and a renewed issue by the transmitting terminal (here Ml) is to be excluded.
  • switching also called “switch”
  • the electronic coin data record C k received from the first terminal Ml is exchanged for a new electronic coin data record C i with the same monetary amount.
  • the new electronic coin data record C i is generated by the second terminal M2. This switching is necessary in order to invalidate (invalidate) the electronic coin data set C k received from the first terminal Ml, which prevents the same electronic coin data set C k from being output again.
  • Fig. 3 an embodiment of a payment system according to the invention for splitting and switching of electronic coin data sets is shown.
  • the first terminal Ml has received the coin data record C i and would like to.
  • the coin data set C i is divided. To do this, the monetary amount is first divided:
  • the masked coin data sets Z j and Z k are then obtained from the coin data sets Cj and C k in accordance with equation (3) and are registered in the monitoring instance 2.
  • the preceding column 22a is described with the coin data set Z i , the successor column 23a with Z j and the successor column 23b with Z k .
  • the markings in columns 25 to 27 require a status change and monitoring instance 2 carries out the corresponding checks.
  • the marking according to column 28 is ignored.
  • a coin data record, here C k is transmitted from the first terminal Ml to the second terminal M2.
  • a switchover operation is useful in order to exchange the electronic coin data record C k received from the first terminal M1 for a new electronic coin data record C i with the same monetary amount.
  • the new electronic coin data record C i is generated by the second terminal M2.
  • the monetary amount of the coin data set C i is adopted and not changed, see equation (11).
  • a new obfuscation amount r add is added to the obfuscation amount r k of the obtained electronic coin data record C k ,
  • the coin data set C i to be switched is masked by means of equation (3) in order to obtain the masked coin data set Z i .
  • Fig. 4 shows an embodiment of a payment system according to the invention for connecting electronic coin data sets.
  • the two coin data sets C i and C j are received in the second terminal M2.
  • a New coin data set Z m obtained by adding both the monetary amounts and the concealment amount of the two coin data sets C i and C j .
  • the received coin data set C m to be connected is masked and the masked coin data set Z m is registered in the monitoring instance.
  • FIGS. 3 and 4 the variant of a database of the monitoring instance 2 is again shown, which contains a list of processing operations of the masked coin data records.
  • Other variants of a database for example masked coin data records with status or only valid masked coin data records, can also be used - as already mentioned in connection with FIG. 2.
  • FIGS. 5 to 7 each show an exemplary embodiment of a process flow diagram of a method 100 according to the invention. The two FIGS. 5 and 6 are explained together below.
  • Steps 101 to 104 are optional for the further method and are described using the example of the terminal M1.
  • a coin data record is requested and provided by the issuer instance 1 - here the first terminal M1 - after the electronic coin data record has been created.
  • a signed, masked electronic coin data record is sent to the monitoring instance 2 in step 103.
  • the electronic coin data set C i obtained is masked in accordance with equation (3) and as explained in FIG. 1.
  • step 104 the masked electronic coin data set Z i is registered in the monitoring instance 2. It could be provided that masked electronic coin data records are only valid in the monitoring instance when they are registered by a subscriber, such as a terminal or server.
  • the masked electronic coin data set Z i can be registered in the monitoring instance 2 as a valid masked electronic coin data set after step 102.
  • the terminal M1 can switch the received electronic coin data record with step 104, as will be described in more detail only in step 108.
  • step 105 the coin data record C i is transmitted in the direct transaction layer 3 to the second terminal M2.
  • step 106 and 107 a validity check is carried out with prior masking, in which case the monitoring instance 2 verifies the validity of the coin data set Z; or C i is confirmed.
  • a received coin data set C k is switched over (the received coin data set C i could of course also be switched over) to a new coin data set C i , whereby the coin data set C k becomes invalid and double dispensing is prevented.
  • the monetary amount Ok of the transferred coin data set C k is used as a “new” monetary amount DI used.
  • the concealment amount n is created. The additional concealment amount r add is used to prove that no new money (in the form of a higher monetary amount) was generated by the second terminal M2. Then, among other things, the masked coin data set Z i to be switched is sent to the monitoring instance 2 and the switching from C k to C i is instructed.
  • step 108 ' the corresponding check is carried out in the monitoring instance 2.
  • Z k is entered in column 22a according to the table in FIG. 2 and the coin data set Z i to be rewritten is entered in column 23b.
  • a check then takes place in the monitoring instance 2 as to whether Z k is (still) valid, i.e. whether the last processing of Z k is entered in one of the columns 23a / b (as proof that Z k is not further divided or deactivated or connected) and whether a check for the last processing failed.
  • Z i is entered in column 23b and the markings in columns 25, 26, 27 are initially set to “0”.
  • the electronic coin data records C i created by the issuer instance are transmitted (issued) to an instance (such as server, computer ...) of a commercial bank.
  • the (server) instance of the commercial bank provides the electronic coin data records for end devices.
  • the terminal M1 requests and then receives the electronic coin data record from the entity of the commercial bank in steps 101 and 102.
  • switching already in step 104 makes sense.
  • step 109 two coin data sets C k and C i are linked to form a new coin data set C m , whereby the coin data sets C k , C i become invalid and double dispensing is prevented.
  • the monetary amount v m is formed from the two monetary amounts v k and v i .
  • the concealment amount r m is derived from the two Concealment amounts r k and formed.
  • the masked coin data set to be connected is obtained by means of equation (3) and this (together with other information) is sent to the monitoring instance 2 and the connection is requested as processing.
  • step 109 ' the corresponding check takes place in the monitoring instance 2.
  • Z m is entered in column 23b according to the table in FIG.
  • the monitoring instance 2 checks whether Z k and Z i are (still) valid, i.e. whether the last processing of Z k or Z i is entered in one of columns 23a / b (as evidence that Z k and Z i have not been further split or deactivated or connected) and whether a check for the last processing failed.
  • the markings in columns 25, 26, 27 are initially set to "0".
  • a check now takes place as to whether Z m is valid, in which case the check according to equations (16) and (17) can be used. If the case is good, the marking in column 25 is set to “1”, otherwise to “0”.
  • a check is now carried out, the calculation according to equation (10) shows that Z i plus Z k is equal to Z m and the marking in column 26 is set accordingly. It is also checked whether the areas are conclusive, then the marking in column 27 is set.
  • a coin data set C i is divided into two coin part data sets C k and C j , whereby the coin data set C i is made invalid and the two divided coin part data sets are to be made valid.
  • the monetary amount v i is divided into the two monetary amounts v k and v j .
  • the concealment amount r i is divided into the two concealment amounts r k and r j .
  • the masked partial coin data sets Z k and Z j are obtained by means of equation (3) and these are sent with further information, for example the area checks, to the monitoring instance 2 and the division is requested as processing.
  • step 110 ′ the corresponding check takes place in the monitoring instance 2.
  • Z j and Z k are entered in columns 23a / b according to the table in FIG.
  • a check then takes place in the monitoring instance 2 as to whether Z i is (still) valid, i.e. whether the last processing of Z i is entered in one of the columns 23a / b (as proof that Z; is not further divided or deactivated or connected) and whether a check for the last processing failed.
  • the markings in columns 25, 26, 27 are initially set to "0".

Landscapes

  • Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Business, Economics & Management (AREA)
  • Strategic Management (AREA)
  • Physics & Mathematics (AREA)
  • Finance (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Development Economics (AREA)
  • Economics (AREA)
  • Cash Registers Or Receiving Machines (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

Die Erfindung betrifft ein Verfahren zum direkten Übertragen eines elektronischen Münzdatensatzes zwischen einem ersten und einem zweiten Endgerät, mit den Schritten durch das zweite Endgerät: Empfangen des elektronischen Münzdatensatzes von dem ersten Endgerät, wobei der zumindest eine elektronische Münzdatensatz einen monetären Betrag und einen Verschleierungsbetrag aufweist; Erzeugen eines modifizierten elektronischen Münzdatensatzes unter Verwendung des empfangenen elektronischen Münzdatensatzes; Maskieren des modifizierten elektronischen Münzdatensatzes durch Anwenden einer homomorphen Einwegfunktion auf den modifizierten elektronischen Münzdatensatz zum Erhalten eines maskierten, modifizierten elektronischen Münzdatensatzes; und Senden einer Registrierungsanforderung für den maskierten modifizierten elektronischen Münzdatensatzes an eine Überwachungsinstanz. Die Erfindung betrifft zudem ein Währungssystem und ein Bezahlsystem mit einer dezentral gesteuerten Datenbank in der maskierte elektronische Münzdatensätze abgelegt sind; und einer Direkttransaktionsschicht mit zumindest zwei Endgeräten, in welcher das Verfahren durchführbar ist.

Description

VERFAHREN ZUM DIREKTEN ÜBERTRAGEN VON ELEKTRONISCHEN
MÜNZDATENSÄTZEN ZWISCHEN ENDGERÄTEN SOWIE BEZAHLSYSTEM
TECHNISCHES GEBIET DER ERFINDUNG
Die Erfindung betrifft ein Verfahren zum direkten Übertragen von elektronischen Münzdatensätzen zwischen Endgeräten. Weiter betrifft die Erfindung ein Bezahlsystem zwischen zumindest zwei Endgeräten und einer Überwachungsinstanz.
TECHNISCHER HINTERGRUND DER ERFINDUNG
Sicherheit von Bezahltransaktionen und den dazugehörigen Bezahltransaktionsdaten bedeutet sowohl Schutz der Vertraulichkeit der ausgetauschten Daten; als auch Schutz der Integrität der ausgetauschten Daten; als auch Schutz der Verfügbarkeit der ausgetauschten Daten.
Herkömmliche Blockchain-basierte Bezahltransaktionen, wie beispielsweise Bitcoin, stellen zwar einen hohen Schutz der Integrität dar. Wenn elektronische Münzdatensätze, auch„Coins“ genannt, in einer Blockchain-Technologie den Besitzer wechseln, werden viele Informationen veröffentlicht. Somit sind derartige Bezahltransaktionen und insbesondere die ausgetauschten Daten nicht vollkommen vertraulich. Zudem sind die Bezahltransaktionen sehr rechenintensiv und damit energieaufwendig.
Daher werden herkömmlich oft anstelle der vertraulichen Daten nur die Hash-Werte der vertraulichen Daten in einem Blockchain-Ledger abgespeichert. Die korrespondierenden Klartext-Daten müssen dann außerhalb der Blockchain verwaltet werden. Für elektronische Münzdatensätze sind solche Konzepte bislang nicht anwendbar, weil sie grundlegende Kontrollfunktionen, insbesondere (1) das Erkennen von Mehrfachausgabe- Verfahren, auch Double-Spending, genannt und (2) das Erkennen von ungedeckten Zahlungen nicht aufweisen. Im Fall (1) versucht jemand denselben Münzdatensatz mehrfach auszugeben und im zweiten Fall versucht jemand einen Münzdatensatz auszugeben, obwohl er kein Guthaben (mehr) besitzt.
Aus der DE 10 2009 038 645 Al und der DE 10 2009 034 436 Al sind Systeme zum Übertragen von geldwerten Beträgen in Fonn elektronischer Datensätze, bei denen ein Bezahlen mit Duplikaten des Datensatzes verhindert und ein hoher Grad an Manipulationssicherheit gegeben ist, bekannt, wobei hier komplexe Strukturen und aufwendige Verschlüsselungs- und Signiervorgänge beim Austausch erforderlich sind. Die haben sich als wenig praxistauglich herausgestellt.
In der WO 2016/200885 Al ist ein Verfahren zur Verschlüsselung eines in einem Blockchain- Ledger getätigten Betrags beschrieben, wobei die Verifizierbarkeit der Transaktion erhalten bleibt. Dabei wird ein Verschleierungsbetrag zu einem Eingangswert addiert. Dann wird ein Ausgangswert erzeugt und verschlüsselt. Sowohl der Eingangswert als auch der Ausgangswert liegen innerhalb eines Wertebereichs, wobei eine Summe von zwei beliebigen Werten innerhalb des Bereichs einen Schwellenwert nicht überschreitet. Die Summe aus dem verschlüsselten Eingangswert und dem verschlüsselten Ausgangswert kann gleich Null sein. Bereichsprüfungen, sogenannte Range-Proofs, sind jedem der Eingangswerte und dem Ausgangswert zugeordnet. Diese Bereichsprüfungen beweisen, dass der Eingangswert und der Ausgangswert in den Wertebereich fallen. Jeder öffentliche Schlüssel kann mit einer Ringsignatur signiert werden, die auf einem öffentlichen Schlüssel eines Empfängers in der Transaktion basiert. In diesem Verfahren ist eine Blockchain-Technologie notwendig, die nach Erhalt eines Münzdatensatzes angerufen werden muss, um den Münzdatensatz zu validieren.
Es ist Aufgabe der vorliegenden Erfindung, ein Verfahren und ein System zu schaffen, in denen eine Bezahltransaktion sicher aber dennoch einfach ausgestaltet ist. Dabei soll insbesondere eine direkte Bezahlung zwischen Endgeräten, wie Token, Smartphones aber auch Maschinen geschaffen werden, die anonym ist. Die Münzdatensätze sollen nach dem Erhalt sofort weiterverwendet werden können. Mehrere Münzdatensätze sollen beim Benutzer beliebig miteinander kombiniert und/oder aufgeteilt werden können, um ein flexibles Austauschen zu ermöglichen. Die ausgetauschten Münzdatensätze sollen einerseits vertraulich gegenüber anderen Systemteilnehmem sein, aber andererseits jedem Systemteilnehmer erlauben, grundlegende Buchhaltungsprüfungen durchzuführen, insbesondere das Erkennen von „Mehrfach- Ausgabe- Versuchen“ und das Erkennen von Versuchen mit nicht vorhandenen Beträgen zu zahlen.
ZUSAMMENFASSUNG DER ERFINDUNG
Die gestellten Aufgaben werden mit den Merkmalen der unabhängigen Patentansprüche gelöst. Weitere vorteilhafte Ausgestaltungen sind in den abhängigen Patentansprüchen beschrieben.
Die Aufgabe wird insbesondere durch ein Verfahren zum direkten Übertragen eines
elektronischen Münzdatensatzes zwischen einem ersten und einem zweiten Endgerät gelöst, mit den folgenden Schritten ausgeführt durch das zweite Endgerät. Empfangen des elektronischen Münzdatensatzes von dem ersten Endgerät, wobei der zumindest eine elektronische
Münzdatensatz einen monetären Betrag und einen Verschleierungsbetrag aufweist. Erzeugen eines modifizierten elektronischen Münzdatensatzes unter Verwendung des empfangenen elektronischen Münzdatensatzes. Maskieren des modifizierten elektronischen Münzdatensatzes durch Anwenden einer homomorphen Einwegfunktion auf den modifizierten elektronischen Münzdatensatz zum Erhalten eines maskierten, modifizierten elektronischen Münzdatensatzes. Senden einer Registrierungsanforderung für den maskierten modifizierten elektronischen Münzdatensatzes an eine Überwachungsinstanz.
Bevorzugt umfasst die Registrierungsanforderung als zu registrierenden maskierten
elektronischen Münzdatensatz den maskierten modifizierten elektronischen Münzdatensatz und als bereits registrierten maskierten elektronischen Münzdatensatz einen maskierten empfangenen elektronischen Münzdatensatz für den empfangenen elektronischen Münzdatensatz.
In dem Schritt des Erzeugens kann
- aus dem empfangenen elektronischen Münzdatensatz ein umzuschaltender modifizierter elektronischer Münzdatensatz erzeugt werden, oder
- der empfangene elektronische Münzdatensatz in zumindest zwei aufgeteilte modifizierte elektronische Münzdatensätze aufgeteilt werden, oder
- der empfangene elektronische Münzdatensatz als erster elektronischer Münzdatensatz und zumindest ein zweiter elektronischen Münzdatensatz zu dem verbundenen, modifizierten elektronischen Münzdatensatzes verbunden werden.
Der maskierte modifizierte elektronische Münzdatensatz kann somit ein maskierter - entweder umzuschaltender, aufgeteilter oder verbundener - elektronischer Münzdatensatz sein.
Eine Registrierungsanforderung umfasst entsprechend vorzugsweise:
- genau einen zu registrierenden maskierten elektronischen Münzdatensatz und genau einen registrierten maskierten elektronischen Münzdatensatz, oder
- zumindest zwei zu registrierende maskierte aufgeteilte modifizierte elektronische
Münzdatensätze (und den maskierten empfangenen elektronischen Münzdatensatz), oder
- zumindest zwei registrierte maskierte elektronische Münzdatensätze (einer davon ist der maskierte empfangene elektronische Münzdatensatz und den maskierten verbundenen elektronischen Münzdatensatz).
Der maskierte empfangene elektronische Münzdatensatz wird mit Vorteil durch das zweite Endgerät aus dem empfangenen elektronischen Münzdatensatz durch Anwenden der homomorphen Einwegfunktion erhalten.
Im Schritt des Erzeugens wird besonders vorteilhaft für die verschiedenen Modifikationen Folgendes ausgeführt. Aus dem empfangenen elektronischen Münzdatensatz kann der umzuschaltende modifizierte elektronische Münzdatensatz erzeugt werden, wobei
o ein Verschleierungsbetrag für den modifizierten elektronischen Münzdatensatz unter Verwendung eines empfangenen Verschleierungsbetrags des empfangenen
elektronischen Münzdatensatzes erzeugt wird, und o der empfangene monetäre Betrag des empfangenen elektronischen Münzdatensatzes als ein monetärer Betrag für den modifizierten elektronischen Münzdatensatz verwendet wird.
Der empfangene elektronische Münzdatensatz kann in zumindest zwei elektronische
Münzteildatensätze aufgeteilt werden, wobei
o der empfangene monetäre Betrag der Summe der monetären Beträgen der zumindest zwei elektronischen Münzteildatensätze entspricht, und
o insbesondere die Summe der Verschleierungsbeträge der zumindest zwei elektronischen Münzteildatensätze dem Verschleierungsbetrag des empfangenen elektronischen Münzdatensatz entspricht.
Der empfangene elektronische Münzdatensatz kann als erster elektronischer Münzdatensatz und zumindest ein zweiter elektronischen Münzdatensatz zu dem modifizierten, verbundenen elektronischen Münzdatensatzes verbunden werden, durch
o Berechnen eines Verschleierungsbetrags für den modifizierten elektronischen
Münzdatensatz durch Bilden der Summe aus den jeweiligen Verschleierungsbeträgen des ersten und des zweiten elektronischen Münzdatensatzes, und
o Berechnen des monetären Betrags für den modifizierten elektronischen Münzdatensatz durch Bilden der Summe aus den jeweiligen monetären Beträgen des ersten und des zweiten elektronischen Münzdatensatzes.
Nach dem Empfangen des (übertragenen) elektronischen Münzdatensatzes im zweiten Endgerät, erfolgt also in diesem Sinne ein Umschalten, Aufteilen oder Verbinden des Münzdatensatzes. Umschalten des übertragenen elektronischen Münzdatensatzes zu einem weiteren elektronischen Münzdatensatz, nämlich umzuschaltenden elektronischen Münzdatensatz; oder Aufteilen des übertragenen elektronischen Münzdatensatzes zu einem weiteren (zweiten) elektronischen Münzdatensatz; oder Verbinden des übertragenen elektronischen Münzdatensatzes mit einem weiteren elektronischen Münzdatensatz zu einem weiteren elektronischen Münzdatensatz, nämlich verbundenen elektronischen Münzdatensatz. Maskiert wird der weitere (bzw. modifizierte) elektronische Münzdatensatz. In Ausgestaltungen kann in Endgeräten entweder nur ein Umschalten oder nur ein Aufteilen oder Verbinden eingesetzt werden, bevorzugt wählt das Endgerät jedoch aus einem der drei Schritte aus.
Das Endgerät sendet die Registrierungsanforderung an die Überwachungsinstanz, welche gültige, maskierte elektronische Münzdatensatze für elektronische Münzdatensätze speichert. Endgeräte wie das zweite Endgerät können die Validität eines - insbesondere des empfangenen - elektronischen Münzdatensatzes alternativ oder zusätzlich (beispielsweise vor einer weiteren Verwendung) prüfen, indem es den maskierten elektronischen Münzdatensatz in einer
Validitätsanfrage an die Überwachungsinstanz sendet. Die Überwachungsinstanz beantwortet die Validitätsanfrage (positiv oder negativ) anhand der gespeicherten gültigen maskierten elektronischen Münzdatensatze.
Das Senden der Registrierungsanforderung (und somit der Schritt des Registrierens in der Überwachungsinstanz) wird vorzugsweise dann ausgeführt, wenn das Endgerät mit der Überwachungsinstanz verbunden ist. In einer Alternative können die beschriebenen Schritte zunächst auch ausgeführt werden, ohne dass der Schritt des Sendens der Registrierungsanforderung (und des Registrierens in der Überwachungsinstanz) ausgeführt wird. Die Schritte des Empfangens des elektronischen Münzdatensatzes und des Sendens der Registrierungsanforderung sind voneinander unabhängig. Die Schritte des Empfangens des elektronischen Münzdatensatzes und des Sendens der Registrierungsanforderung können insbesondere zeitlich versetzt unabhängig voneinander erfolgen (z.B. jetzt Empfangen nachher/ (über)morgen Registrieren) .
Beim Umschalten des übertragenen Münzdatensatzes entspricht in einer Ausgestaltung der monetäre Betrag des übertragenen elektronischen Münzdatensatzes vom ersten Endgerät dem monetären Betrag des weiteren elektronischen Münzdatensatzes. Beim Aufteilen des übertragenen elektronischen Münzdatensatzes entspricht in einer Ausgestaltung der monetäre Betrag des übertragenen elektronischen Münzdatensatzes dem monetären Gesamtbetrag der aus dem übertragenen elektronischen Münzdatensatz erstellten weiteren elektronischen Münzteildatensätzen. Beim Verbinden entspricht in einer Ausgestaltung der monetäre Gesamtbetrag aus dem übertragenen elektronischen Münzdatensatz mit dem zweiten elektronischen Münzdatensatz dem monetären Betrag des verbundenen elektronischen Münzdatensatzes .
Ein elektronischer Münzdatensatz ist insbesondere ein elektronischer Datensatz, der einen geldwerten (=monetären) Betrag repräsentiert und umgangssprachlich auch als„digitale Münze” oder „elektronische Münze”, englisch „digital/electronic Coin“ bezeichnet wird. Dieser geldwerte Betrag wechselt bei dem Verfahren von einem ersten Endgerät zu einem anderen Endgerät. Als ein geldwerter Betrag wird im Folgenden ein digitaler Betrag verstanden, der z.B. auf einem Konto eines Geldinstituts gutgeschrieben werden kann, oder gegen ein anderes Zahlungsmittel getauscht werden kann. Ein elektronischer Münzdatensatz repräsentiert also Bargeld in elektronischer Form.
Das Endgerät kann eine Vielzahl von elektronischen Münzdatensätzen aufweisen, beispielsweise kann in einem Datenspeicher des Endgeräts die Vielzahl von Münzdatensätzen hinterlegt sein. Der Datenspeicher stellt dann beispielsweise eine elektronische Geldbörse dar. Das Endgerät wird die Schritte in der Regel vollständig selbst ausführen, es kann jedoch einen Endgerätedienst (einer externen Serverinstanz) aufrufen, der mindestens einen (insbesondere genau einen oder genau zwei oder alle drei) der Schritte Erzeugen, Maskieren und Senden für das Endgerät ausfuhrt (vorzugsweise , Erzeugen und Maskieren4 oder , Maskieren und Senden oder Senden).
Das Endgerät kann beispielsweise ein passives Gerät, wie z. B. ein Token, ein mobiles Endgerät, wie z.B. ein Smartphone, ein Tablet-Computer, ein Computer oder eine Maschine sein.
Ein erfindungsgemäßes Verfahren in einer Überwachungsinstanz, welche gültige, maskierte elektronische Münzdatensatze speichert, die jeweils durch Anwenden einer homomorphen Einwegfunktion auf einen elektronischen Münzdatensatz gebildet sind, wobei elektronische Münzdatensätze einen monetären Betrag und einen Verschleierungsbetrag aufweisen, umfasst folgende Schritte:
- Empfangen einer Registrierungsanforderung, welche zumindest einen zu registrierenden maskierten elektronischen Münzdatensatz und zumindest einen registrierten maskierten elektronischen Münzdatensatz umfasst;
- Prüfen der empfangenen Registrierungsanforderung, wobei
o geprüft wird ob der registrierte maskierte elektronischen Münzdatensatz der Registrierungsanforderung als gültiger maskierter elektronischer Münzdatensatz in der Überwachungsinstanz gespeichert ist, und
o geprüft wird ob die maskierten elektronischen Münzdatensätze der Registrierungsanforderung insgesamt monetär betragsneutral sind; und
- Speichern des zu registrierenden maskierten elektronischen Münzdatensatzes als gültiger maskierter elektronischer Münzdatensatz, wobei der bisher als gültig gespeicherte registrierte maskierte elektronische Münzdatensatz der Registrierungsanforderung nicht mehr gültig ist.
Das Prüfen der monetären Betragsneutralität der Registrierungsanforderung (ist aufgrund der verwendeten homomorphen Einwegfunktion möglich) erfolgt bevorzugt betragsanonym mittels Differenzbildung aus den maskierten elektronischen Münzdatensätzen.
In bevorzugten Verfahren empfängt die Überwachungsinstanz von einer Herausgeberinstanz Erstellungs- und/oder Deaktivierungsanforderungen, welche zumindest einen maskierten erstellten bzw. zu deaktivierenden elektronischen Münzdatensatz umfassen, insbesondere respektive für einen von der Herausgeberinstanz neu herausgegebenen elektronischen Münzdatensatz bzw. einen von der Herausgeberinstanz zurückgenommenen elektronischen Münzdatensatz.
Die Erstellungs- und/oder Deaktivierungsanforderung kann für einen maskierten elektronischen Münzdatensatz eine Signatur des Herausgebers über den maskierten elektronischen Münzdatensatz umfassen, wobei vorzugsweise die Signatur des maskierten, neu erstellten elektronischen Münzdatensatzes in der Überwachungsinstanz hinterlegt wird.
Ein elektronischer Münzdatensatz kann in der Überwachungsinstanz durch Markieren oder durch Löschen des entsprechenden maskierten elektronischen Münzdatensatzes in der Überwachungsinstanz ungültig werden. Besonders bevorzugt wird auch der entsprechende maskierte elektronische Münzdatensatzes oder der entsprechende elektronische Münzdatensatz in der Herausgeberinstanz deaktiviert.
Ein elektronischer Münzdatensatz ist insbesondere einmalig und eindeutig und unterscheidet sich bereits dadurch von einem herkömmlichen Datensatz. Er wird vorteilhaft in einem Sicherheitskonzept verwendet, welches optional beispielsweise Signaturen oder Verschlüsselungen umfassen kann. In einem elektronischen Münzdatensatz sollten prinzipiell alle Daten enthalten sein, die für eine empfangende Instanz bezüglich Verifikation und Weitergeben an andere Instanzen benötigt werden. Eine zusätzliche Kommunikation zwischen den Endgeräten beim Austausch der elektronischen Münzdatensätze ist daher grundsätzlich nicht erforderlich, kann aber angewandt werden.
Erfindungsgemäß weist ein zum Übertragen zwischen zwei Endgeräten verwendeter elektronischer Münzdatensatz einen monetären Betrag, also ein Datum, das einen Geldwert des elektronischen Münzdatensatzes darstellt, und einen Verschleierungsbetrag, beispielsweise eine Zufallszahl, auf. Darüber hinaus kann der elektronische Münzdatensatz weitere Metadaten aufweisen, beispielsweise welche Währung der monetäre Betrag repräsentiert. Ein elektronischer Münzdatensatz wird durch diese wenigstens beiden Daten (monetärer Betrag und Verschleierungsbetrag) eindeutig repräsentiert. Jeder, der Zugriff auf diese beiden Daten eines gültigen Münzdatensatzes hat, kann diesen elektronischen Münzdatensatz zum Bezahlen verwenden. Die Kenntnis dieser beiden Werte (monetärer Betrag und Verschleierungsbetrag) ist also gleichbedeutend mit dem Besitz des digitalen Geldes. Dieser elektronische Münzdatensatz wird zwischen zwei Endgeräten, nämlich wenigstens zwischen dem ersten und zweiten Endgerät, direkt übertragen. In einer Ausgestaltung der Erfindung besteht ein elektronischer Münzdatensatz aus diesen beiden Daten, es ist somit zum Austausch von digitalem Geld nur die Übertragung des monetären Betrags und der Verschleierungsbetrag notwendig.
Jedem elektronischen Münzdatensatz ist ein entsprechender maskierter elektronischer Münzdatensatz zugeordnet. Die Kenntnis eines maskierten elektronischen Münzdatensatzes ermöglicht es nicht, das digitale Geld, das durch den elektronischen Münzdatensatz repräsentiert wird, auszugeben. Dies stellt einen wesentlichen Unterschied zwischen maskierten elektronischen Münzdatensätzen und (nicht maskierten) elektronischen Münzdatensätzen dar und ist ein Kern der hier vorliegenden Erfindung. Der maskierte elektronische Münzdatensatz ist einzigartig und eindeutig einem elektronischen Münzdatensatz zuzuordnen, also einer 1-zu-l Beziehung. Das Maskieren des elektronischen Münzdatensatzes erfolgt bevorzugt durch eine Recheneinheit des Endgeräts innerhalb des Endgeräts das auch den zumindest einen elektronische Münzdatensatz aufweist. Alternativ kann das Maskieren durch eine Recheneinheit des Endgeräts, das den elektronischen Münzdatensatz empfängt, erfolgen.
Dieser maskierte elektronische Münzdatensatz wird durch Anwenden einer homomorphen Einwegfunktion, insbesondere einer homomorphen kryptographischen Funktion, erhalten. Diese Funktion ist eine Einwegfunktion, also eine mathematische Funktion, die komplexitätstheoretisch „leicht“ berechenbar, aber „schwer“ bis praktisch unmöglich umzukehren ist. Hierbei wird unter Einwegfunktion auch eine Funktion bezeichnet, zu der bislang keine in angemessener Zeit und mit vertretbarem Aufwand praktisch ausführbare Umkehrung bekannt ist. Somit ist die Berechnung eines maskierten elektronischen Münzdatensatzes aus einem elektronischen Münzdatensatz vergleichbar mit der Generierung eines öffentlichen Schlüssels in einem Verschlüsselungs verfahren über eine Restklassengruppe. Vorzugsweise wird eine Einwegfunktion verwendet, die auf eine Gruppe operiert, in der das diskrete Logarithmusproblem schwer zu lösen ist, wie z. B. ein kryptographisches Verfahren analog einer elliptischer-Kurve-Verschlüsselung, kurz ECC, aus einem privaten Schlüssel eines entsprechenden Kryptographieverfahrens. Die umgekehrte Funktion, also die Erzeugung eines elektronischen Münzdatensatzes aus einem maskierten elektronischen Münzdatensatzes, ist dabei - äquivalent zur Erzeugung des privaten Schlüssels aus einem öffentlichen Schlüssel in einem Verschlüsselungsverfahren über einer Restklassengruppe - sehr zeitintensiv. Wenn im vorliegenden Dokument von Summen und Differenzen oder anderen mathematischen Operationen die Rede ist, dann sind dabei im mathematischen Sinn die jeweiligen Operationen auf der entsprechenden mathematischen Gruppe zu verstehen, beispielsweise der Gruppe der Punkte auf einer elliptischen Kurve.
Die Einwegfunktion ist homomorph, also ein kryptographisches Verfahren, welches über Homomorphie-Eigenschaften verfügt. Somit können mit dem maskierten elektronischen Münzdatensatz mathematische Operationen durchgeführt werden, die parallel dazu auch auf dem (unmaskierten) elektronischen Münzdatensatz durchgeführt und somit nachvollzogen werden können. Mit Hilfe der homomorphen Einwegfunktion können Berechnungen mit maskierten elektronischen Münzdatensätzen in der Überwachungsinstanz nachvollzogen werden, ohne dass die entsprechenden (unmaskierten) elektronischen Münzdatensätze dort bekannt sind. Daher können bestimmte Berechnungen mit elektronischen Münzdatensätzen, beispielsweise für ein Verarbeiten des (unmaskierten) elektronischen Münzdatensatzes (zum Beispiel Aufteilen oder Verbinden), auch parallel mit den dazugehörigen maskierten elektronischen Münzdatensätzen nachgewiesen werden, beispielsweise zu Validierungsprüfungen oder zur Überprüfung über die Rechtmäßigkeit des jeweiligen elektronischen Münzdatensatzes. Die Homomorphie- Eigenschaften treffen zumindest auf Additions- und Subtraktionsoperationen zu, sodass ein Aufteilen oder Kombinieren (=Verbinden) von elektronischen Münzdatensätzen auch mittels der entsprechend maskierten elektronischen Münzdatensätze in der Überwachungsinstanz festgehalten und von anfragenden Endgeräten und/ oder von der Überwachungsinstanz nachvollzogen werden kann, ohne Kenntnis über den monetären Betrag und das durchführende Endgerät zu erlangen.
Die Homomorphie-Eigenschaft ermöglicht es also, eine Eintragung von gültigen und ungültigen elektronischen Münzdatensätzen auf Basis ihrer maskierten elektronischen Münzdatensätze in einer Überwachungsinstanz zu führen ohne Kenntnis der elektronischen Münzdatensätze, auch wenn diese elektronische Münzdatensätze verarbeitet werden (aufgeteilt, verbunden, umschalten). Dabei wird sichergestellt, dass kein zusätzlicher monetärer Betrag geschaffen wurde oder dass eine Identität des Endgeräts in der Überwachungsinstanz festgehalten wird. Das Maskieren ermöglicht somit dabei ein hohes Maß an Sicherheit, ohne einen Einblick in den monetären Betrag oder das Endgerät zu geben. Somit ergibt sich ein zweischichtiges Bezahlsystem. Zum einen existiert die Verarbeitungsschicht in der maskierte elektronische Datensätze geprüft werden und zum anderen die Direkttransaktionsschicht in der zumindest zwei Endgeräte elektronische Münzdatensätze übertragen.
Während die elektronischen Münzdatensätze für direktes Bezahlen zwischen zwei Endgeräten verwendet werden, werden die maskierten Münzdatensätze in der Überwachungsinstanz registriert.
Der Schritt des Umschaltens des übertragenen elektronischen Münzdatensatzes umfasst die folgenden Teilschritte:
Generieren eines umzuschaltenden elektronischen Münzdatensatzes im zweiten Endgerät aus dem übertragenen Münzdatensatz, wobei
- ein Verschleierungsbetrag für den umzuschaltenden elektronischen Münzdatensatz unter Verwendung eines übertragenen Verschleierungsbetrags des übertragenen elektronischen Münzdatensatzes im zweiten Endgerät erzeugt wird; und
der übertragene monetäre Betrag des übertragenen elektronischen Münzdatensatzes als monetärer Betrag für den umzuschaltenden elektronischen Münzdatensatz verwendet wird.
Beim Übertragen des elektronischen Münzdatensatzes vom ersten Endgerät auf das zweite Endgerät haben somit zwei Endgeräte Kenntnis über den elektronischen Münzdatensatz. Um zu verhindern, dass das sendende erste Endgerät den elektronischen Münzdatensatz bei einem anderen (dritten) Endgerät ebenfalls zum Bezahlen verwendet, wird ein Umschalten des übertragenen elektronischen Münzdatensatzes vom ersten Endgerät auf das zweite Endgerät ausgeführt. Das Umschalten kann bevorzugt automatisch beim Empfangen eines elektronischen Münzdatensatzes geschehen. Zusätzlich kann es auch auf Anforderung, beispielsweise eines Befehls vom ersten und/ oder zweiten Endgerät, geschehen.
In einer bevorzugten Ausgestaltung umfasst das Generieren ein Erzeugen eines Verschleierungsbetrags für den umzuschaltenden elektronischen Münzdatensatz, vorzugsweise unter Verwendung des Verschleierungsbetrags des übertragenen elektronischen Münzdatensatzes in Verbindung mit einem neuen Verschleierungsbetrag, beispielsweise einer Zufallszahl. Bevorzugt ergibt sich der Verschleierungsbetrag des umzuschaltenden elektronischen Münzdatensatzes als Summe aus dem Verschleierungsbetrag des übertragenen elektronischen Münzdatensatz und der Zufallszahl, die als neuer, also zusätzlicher Verschleierungsbetrag dient. Des Weiteren wird der monetäre Betrag des übertragenen elektronischen Münzdatensatzes bevorzugt als monetärer Betrag für den umzuschaltenden elektronischen Münzdatensatz verwendet. Somit wird kein weiteres Geld generiert, die monetären Beträge beider Münzdatensätze sind identisch.
Das Registrieren nach dem Umschalten-Schritt führt dazu, dass der vom ersten Endgerät gesendete elektronische Münzdatensatz ungültig wird und bei einem zweiten Ausgeben- Versuch des ersten Endgeräts als entsprechend ungültig erkannt wird. Der vom zweiten Endgerät generierte (weitere) Münzdatensatz wird nach erfolgreichem Durchlaufen der Prüfungen gültig.
Beim Umschalten, auch„switch“ genannt, ergibt also der vom ersten Endgerät erhaltene elektronische Münzdatensatz einen neuen elektronischen Münzdatensatz bevorzugt mit gleichem monetären Betrag, dem sogenannten umzuschaltenden elektronischen Münzdatensatz. Der neue elektronische Münzdatensatz wird vom zweiten Endgerät generiert vorzugsweise indem der monetäre Betrag des erhaltenen elektronischen Münzdatensatzes als monetärer Betrag des umzuschaltenden elektronischen Münzdatensatzes verwendet wird. Dabei wird ein neuer Verschleierungsbetrag, beispielsweise eine Zufallszahl, generiert, Der neue Verschleierungsbetrag wird beispielsweise zum Verschleierungsbetrag des erhaltenen elektronischen Münzdatensatzes addiert, damit die Summe beider Verschleierungsbeträge (neu und erhalten) als Verschleierungsbetrag des umzuschaltenden elektronischen Münzdatensatzes dient. Nach dem Umschalten wird bevorzugt der erhaltene elektronische Münzdatensatz und der umzuschaltende elektronische Münzteildatensatz im Endgerät durch Anwenden der homomorphen Einwegfunktion auf jeweils den erhaltenen elektronischen Münzdatensatz und den umzuschaltenden elektronischen Münzteildatensatz maskiert, um entsprechend einen maskierten erhaltenen elektronischen Münzdatensatz und einen maskierten umzuschaltenden elektronischen Münzteildatensatz zu erhalten. Des Weiteren werden bevorzugt zusätzliche Informationen, die zum Registrieren des Umschaltens des maskierten elektronischen Münzdatensatzes in der entfernten Überwachungsinstanz benötigt werden, im Endgerät berechnet. Bevorzugt beinhalten die zusätzlichen Informationen einen Bereichsnachweis über den maskierten umzuschaltenden elektronischen Münzdatensatz und einen Bereichsnachweis über den maskierten erhaltenen elektronischen Münzdatensatz. Bei dem Bereichsnachweis handelt es sich um einen Nachweis, dass der monetäre Wert des elektronischen Münzdatensatzes nicht negativ ist, der elektronische Münzdatensatz gültig erstellt und/ oder der monetäre Wert und der Verschleierungsbetrag des elektronischen Münzdatensatzes dem Ersteller des Bereichsnachweises bekannt sind. Insbesondere dient der Bereichsnachweis dazu, diese(n) Nachweis(e) zu führen ohne den monetären Wert und/oder den Verschleierungsbetrag des maskierten elektronischen Münzdatensatzes zu offenbaren. Diese Bereichsnachweise werden auch „Zero-Knowledge-Range-Proofs“ genannt. Bevorzugt werden als Bereichsnachweis Ringsignaturen verwendet. Anschließend erfolgt ein Registrieren des Umschaltens des maskierten elektronischen Münzdatensatzes in der entfernten Überwachungsinstanz.
Dieses Umschalten ist notwendig, um den vom ersten Endgerät erhaltenen elektronischen Münzdatensatz zu invalidieren (ungültig machen), um ein doppeltes Ausgeben zu vermeiden. Denn, solange der elektronische Münzdatensatz nicht umgeschaltet ist, kann - da das erste Endgerät in Kenntnis des elektronischen Münzdatensatzes und somit noch in dessen Besitz ist - das erste Endgerät diesen erhaltene elektronische Münzdatensatz an ein drittes Endgerät weitergeben. Das Umschalten wird beispielsweise durch Hinzufügen eines neuen Verschleierungsbetrags zum Verschleierungsbetrag des erhaltenen elektronischen Münzdatensatz ab gesichert, wodurch ein Verschleierungsbetrag erhalten wird, den nur das zweite Endgerät kennt. Neu geschaffene Verschleierungsbeträge müssen eine hohe Entropie aufweisen, da sie als Blendungsfaktor für die entsprechenden maskierten elektronischen Münzteildatensätze verwendet werden. Bevorzugt wird dazu ein Zufallszahlengenerator auf dem Endgerät verwendet. Diese Absicherung kann in der Überwachungsinstanz nachverfolgt werden.
Beim Schritt des Aufteilens wird der elektronische Münzdatensatz des zweiten Endgeräts in den ersten elektronischen Münzteildatensatz und den zweiten elektronischen Münzteildatensatz aufgeteilt. Das Aufteilen geschieht vorzugsweise, indem zum Einen ein monetärer Teilbetrag sowie ein Teilverschleierungsbetrag für den ersten elektronischen Münzdatensatz festgelegt wird (die jeweils zwischen 0 und dem erhaltenen monetären Betrag bzw. Verschleierungsbetrag liegen) und zum Anderen der monetäre Betrag des zweiten elektronischen Münzteildatensatzes als Differenz aus dem erhaltenen monetären Betrag und dem monetären Teilbetrag des ersten elektronischen Münzteildatensatzes, sowie der Verschleierungsbetrag des zweiten elektronischen Münzteildatensatzes als Differenz ans dem erhaltenen Verschleierungsbetrag und dem Teil verschleierungsbetrag des ersten elektronischen Münzteildatensatzes berechnet wird. Nach dem Aufteilen wird der aufzuteilende elektronische Münzdatensatz, der erste elektronische Münzteildatensatz und der zweite elektronische Münzteildatensatz im zweiten Endgerät durch jeweiliges Anwenden der homomorphen Einwegfunktion maskiert, um entsprechend einen maskierten aufzuteilenden elektronischen Münzdatensatz, einen maskierten ersten elektronischen Münzteildatensatz und einen maskierten zweiten elektronischen Münzteildatensatz zu erhalten. Des Weiteren werden zusätzliche Informationen, die zum Registrieren des Aufteilens des maskierten elektronischen Münzdatensatzes in der entfernten Überwachungsinstanz benötigt werden, im Endgerät berechnet. Bevorzugt beinhalten die zusätzlichen Informationen einen Bereichsnachweis über den maskierten aufzuteilenden elektronischen Münzdatensatz, einen Bereichsnachweis über den maskierten ersten elektronischen Münzdatensatz und einen Bereichsnachweis über den maskierten zweiten elektronischen Münzdatensatz. Bei dem Bereichsnachweis handelt es sich um einen Nachweis, dass der monetäre Wert des elektronischen Münzdatensatzes nicht negativ ist, der elektronische Münzdatensatz gültig erstellt und/ oder der monetäre Wert und der Verschleierungsbetrag des elektronischen Münzdatensatzes dem Ersteller des Bereichsnachweises bekannt sind. Insbesondere dient der Bereichsnachweis dazu, diese(n) Nachweis zu führen ohne den monetären Wert und/oder den Verschleierungsbetrag des maskierten elektronischen Münzdatensatzes zu offenbaren. Diese Bereichsnachweise werden auch„Zero-Knowledge-Range-Proofs“ genannt. Bevorzugt werden als Bereichsnachweis Ringsignaturen verwendet. Anschließend erfolgt ein Registrieren des Aufteilens des maskierten elektronischen Münzdatensatzes in der entfernten Überwachungsinstanz. Auf diese Weise können zu übertragende monetäre Beträge an den entsprechenden Bedarf angepasst werden. Ein Endgeräte-Besitzer ist nicht gezwungen, stets den gesamten monetären Betrag an ein weiteres Endgerät weiterzugeben.
Das Aufteilen und anschließende Registrieren hat den Vorteil, dass ein Besitzer des zumindest einen elektronischen Münzdatensatzes nicht gezwungen ist, stets den gesamten monetären Betrag auf einmal zu übertragen, sondern nunmehr entsprechende Unterbeträge zu übertragen. Der Geldwert kann ohne Einschränkungen aufgeteilt werden, solange alle elektronische Münzdatenteilsätze einen positiven monetären Betrag aufweisen, der kleiner ist als der monetäre Betrag des elektronische Münzdatensatzes, von dem aus aufgeteilt wird und die Summe der elektronischen Münzteildatensätze gleich dem aufzuteilenden elektronischen Münzteildatensatzes ist. Alternativ oder zusätzlich können feste Denominationen genutzt werden. Alternativ kann der Verschleierungsbetrag außerhalb des Endgeräts generiert werden und über einen (sicheren) Kommunikationskanal bezogen werden. Bevorzugt wird dazu ein Zufallszahlengenerator auf dem Endgerät verwendet. Um alle Prüfungen zu verfolgen, kann die Überprüfungsinstanz beispielsweise in entsprechenden Stellen die Teilschritte der Überwachungsinstanz vermerken, wobei dazu auch Markierungen, englisch Flags, gesetzt werden, um Zwischenstadien zu dokumentieren. Bevorzugt wird nach erfolgreichem Erfüllen der Prüfungen, die für den Aufteilen-Befehl relevant sind, also bei entsprechender Vollständigkeit der Markierungen, der (maskierte) erste elektronische Münzteildatensatz und (maskierte) zweite elektronische Münzteildatensatz als gültig markiert. Dabei wird automatisch der (maskierte) aufzuteilende elektronische Münzdatensatz ungültig. Bevorzugt teilt die Überwachungsinstanz das Ergebnis des Ausführens des Aufteilen-Befehls dem„befehlenden“ Endgerät mit, d.h. welche der involvierten maskierten elektronischen Münzdatensätze nach Ausfuhren des Aufteilen-Befehls gültig sind.
Beim Schritt des Verbindens von elektronischen Münzdatensätzen ein weiterer elektronischer Münzdatensatz (verbundener elektronischer Münzdatensatz) aus einem ersten und einem zweiten elektronischen Münzdatensatz bestimmt. Dabei wird der Verschleierungsbetrag für den zu verbindenden elektronischen Münzdatensatz durch Bilden der Summe aus den jeweiligen Verschleierungsbeträgen des ersten und des zweiten elektronischen Münzdatensatzes berechnet. Weiterhin wird vorzugsweise der monetäre Betrag für den verbundenen elektronischen Münzdatensatz durch Bilden der Summe aus den jeweiligen monetären Beträgen des ersten und des zweiten elektronischen Münzdatensatzes berechnet.
Nach dem Verbinden wird der erste elektronische Münzdatensatz, der zweite elektronische Münzdatensatz, sowie der zu verbindende elektronische Münzdatensatz im (ersten und/ oder zweiten) Endgerät durch Anwenden der homomorphen Einwegfunktion auf jeweils den ersten elektronischen Münzdatensatz, den zweiten elektronischen Münzdatensatz, sowie den zu verbindenden elektronischen Münzdatensatz maskiert, um entsprechend einen maskierten ersten elektronischen Münzdatensatz, einen maskierten zweiten elektronischen Münzdatensatz, sowie einen maskierten zu verbindenden elektronischen Münzdatensatz zu erhalten. Des Weiteren werden zusätzliche Informationen, die zum Registrieren des Verbindens der maskierten elektronischen Münzdatensätze in der entfernten Überwachungsinstanz benötigt werden, im Endgerät berechnet. Bevorzugt beinhalten die zusätzlichen Informationen einen Bereichsnachweis über den maskierten ersten elektronischen Münzdatensatz und einen Bereichsnachweis über den maskierten zweiten elektronischen Münzdatensatz. Bei dem Bereichsnachweis handelt es sich um einen Nachweis, dass der monetäre Wert des elektronischen Münzdatensatzes nicht negativ ist, der elektronische Münzdatensatz gültig erstellt und/ oder der monetäre Wert und der Verschleierungsbetrag des elektronischen Münzdatensatzes dem Ersteller des Bereichsnachweises bekannt sind. Insbesondere dient der Bereichsnachweis dazu, diese(n) Nachweis zu führen ohne den monetären Wert und/oder den Verschleierungsbetrag des maskierten elektronischen Münzdatensatzes zu offenbaren. Diese Bereichsnachweise werden auch„Zero-Knowledge-Range-Proofs“ genannt. Bevorzugt werden als Bereichsnachweis Ringsignaturen verwendet. Anschließend erfolgt ein Registrieren des Verbindens der beiden maskierten elektronischen Münzdatensätze in der entfernten Überwachungsinstanz.
Mit dem Befehl bzw. Schritt des Verbindens können zwei elektronische Münzdatensätze zusammengefasst werden. Dabei werden die monetären Beträge sowie auch die Verschleierungsbeträge addiert. Wie beim Aufteilen kann somit auch beim Verbinden eine Validität der beiden ursprünglichen Münzdatensätze durchgeführt werden.
Ein Hauptunterscheidungsmerkmal dieses Erfmdungskonzepts gegenüber bekannten Lösungen ist, dass die Überwachungsinstanz nur (also ausschließlich) Kenntnis über die maskierten elektronischen Münzdatensätze und optional eine Liste mit Verarbeitungen bzw. Änderungen an dem maskierten elektronischen Münzdatensatz führt. Der tatsächliche Zahlungsverkehr wird in der Überwachungsinstanz nicht registriert und findet in einer Direkttransaktionsschicht direkt zwischen Endgeräten statt.
Erfindungsgemäß ist demnach ein zweischichtiges Bezahlsystem aus einer Direktbezahltransaktionsschicht, zum direkten Austauschen von (umnaskierten) elektronischen Münzdatensätzen und einer Überwachungsschicht, welche auch als „Verschleierter- elektronischer-Datensatz-Ledger“ bezeichnet werden kann, vorgesehen. In der Überwachungsinstanz der Überprüfungsschicht, werden keine Bezahltransaktionen festgehalten, sondern ausschließlich maskierte elektronische Münzdatensätze und deren Verarbeitungen zum Zweck der Verifizierung der Gültigkeit von (unmaskierten) elektronischen Münzdatensätzen. So wird die Anonymität der Teilnehmer des Bezahlsystems gewährleistet. Die Überwachungsinstanz gibt Auskunft über gültige und ungültige elektronische Münzdatensätze, um beispielsweise eine Mehrfach- Ausgabe des gleichen elektronischen Münzdatensatzes zu vermeiden oder die Echtheit des elektronischen Münzdatensatzes als gültig herausgegebenes elektronisches Geld zu verifizieren.
Das erste und/ oder zweite Endgerät kann also in der Direktbezahltransaktionsschicht einem anderen Endgerät elektronische Münzdatensätze übertragen ohne Verbindung zur Überprüfungsinstanz, insbesondere wenn das Endgerät offline ist.
Das erste und/ oder zweite Endgerät kann vorliegend ein Sicherheitselement aufweisen, in dem die elektronischen Münzdatensätze sicher abgelegt sind. Ein Sicherheitselement ist bevorzugt ein spezielles Computerprogrammprodukt, insbesondere in Form einer abgesicherten Laufzeitumgebung innerhalb eines Betriebssystems eines Endgeräts, englisch Trusted Execution Environments, TEE, gespeichert auf einem Datenspeicher, beispielsweise eines mobilen Endgeräts, einer Maschine, vorzugsweise Bankautomat. Alternativ ist das Sicherheitselement beispielsweise als spezielle Hardware, insbesondere in Form eines gesicherten Hardware- Plattform-Moduls, englisch Trusted Platform Module, TPM oder als ein eingebettetes Sicherheitsmodul, eUICC, eSIM, ausgebildet. Das Sicherheitselement stellt eine vertrauenswürdige Umgebung bereit.
Die Kommunikation zwischen zwei Endgeräten kann drahtlos oder drahtgebunden, oder z.B. auch auf optischem Weg, bevorzugt über QR-Code oder Barcode, erfolgen und kann als ein gesicherter Kanal ausgebildet sein. Der optische Weg kann beispielsweise die Schritte des Generierens einer optischen Codierung, insbesondere einer 2D-Codierung, vorzugsweise ein QR-Code, und des Einlesens der optischen Codierung umfassen. Somit ist der Austausch des elektronischen Münzdatensatzes beispielsweise durch kryptografische Schlüssel gesichert, beispielsweise einem für einen elektronischen Münzdatensatz-Austausch ausgehandelten Sitzungsschlüssel oder einem symmetrischen oder asymmetrischen Schlüsselpaar.
Durch das Kommunizieren zwischen Endgeräten, beispielsweise über ihre Sicherheitselemente, werden die ausgetauschten elektronischen Münzdatensätze vor Diebstahl oder Manipulation geschützt. Die Ebene der Sicherheitselemente ergänzt so die Sicherheit etablierter Blockchain- Technologie.
Darüber hinaus ist es von Vorteil, dass die elektronischen Münzdatensätze in beliebiger Formatierung übertragen werden können. Dies impliziert, dass sie auf beliebigen Kanälen kommuniziert, also übertragen werden können. Sie müssen nicht in einem festgelegten Format oder in einem bestimmten Programm gespeichert werden.
Als ein Endgerät wird insbesondere ein mobiles Telekommunikationsendgerät, beispielsweise ein Smartphone angesehen. Alternativ oder zusätzlich kann das Endgerät auch ein Gerät, wie Wearable, Smartcard, Maschine, Werkzeug, Automat oder auch Behälter bzw. Fahrzeug sein. Ein erfmdungsgemäßes Endgerät ist somit entweder stationär oder mobil.
Das Endgerät ist vorzugsweise ausgebildet, das Internet und/ oder andere öffentliche oder private Netze zu nutzen. Dazu verwendet das Endgerät eine geeignete Verbindungstechnologie, beispielsweise Bluetooth, Lora, NFC und/ oder WiFi und weist wenigstens eine entsprechende Schnittstelle auf. Das Endgerät kann auch ausgebildet sein, mittels Zugang zu einem Mobilfimknetz mit dem Internet und/ oder anderen Netzen verbunden zu werden.
In einer Ausgestaltung kann vorgesehen sein, dass das erste und/ oder zweite Endgerät bei dem aufgezeigten Verfahren die empfangenen elektronischen Münzdatensätze bei Vorliegen oder Empfang mehrerer elektronischer Münzdatensätze diese entsprechend ihrer monetären Wertigkeit abarbeitet. So kann vorgesehen sein, dass elektronische Münzdatensätze mit höherer monetärer Wertigkeit vor elektronische Münzdatensätze mit niedriger monetärer Wertigkeit verarbeitet. In einer Ausgestaltung kann das erste und/ oder zweite Endgerät ausgebildet sein, nach Empfang eines elektronischen Münzdatensatzes diesen in Abhängigkeit von beigefügter Information, beispielsweise einer Währung oder Denomination, mit bereits im zweiten Endgerät vorhandenem elektronischen Münzdatensatz zu verbinden und entsprechend einen Schritt des Verbindens auszuführen. Weiterhin kann das zweite Endgerät auch zum automatisierten Ausfuhren eines Umschaltens nach Empfang des elektronischen Münzdatensatzes vom ersten Endgerät ausgebildet sein.
In einer Ausgestaltung werden beim Übertragen weitere Informationen, insbesondere Metadaten, vom ersten Endgerät auf das zweite Endgerät übermittelt, beispielsweise eine Währung. Diese Infomaation kann in einer Ausgestaltung vom elektronischen Münzdatensatz umfasst sein.
In einer bevorzugten Ausgestaltung weist das Verfahren die folgenden weiteren Schritte auf: Maskieren des übertragenen elektronischen Münzdatensatzes im zweiten Endgerät durch Anwenden der homomorphen Einwegfunktion auf den übertragenen elektronischen Münzdatensatz; und Senden des maskierten übertragenen elektronischen Münzdatensatzes an die entfernte Überwachungsinstanz zum Prüfen der Validität des übertragenen elektronischen Münzdatensatzes durch die entfernte Überwachungsinstanz. In diesem Fall wurde beispielsweise der gesamte monetäre Betrag im Rahmen des elektronischen Münzdatensatzes an das zweite Endgerät übertragen. Bevor ein Zahlungsempfänger diesen elektronischen Münzdatensatz akzeptiert, überprüft er gegebenenfalls dessen Gültigkeit. Zu diesem Zweck erzeugt das zweite Endgerät den maskierten übertragenen elektronischen Münzdatensatz, sendet diesen zur Überwachungsinstanz und fragt dabei bei der Überwachungsinstanz die Gültigkeit des elektronischen Münzdatensatzes ab. Die Überwachungsinstanz prüft nun, ob der maskierte übertragene elektronische Münzdatensatz überhaupt vorhanden ist und ob er weiterhin gültig ist, also nicht bereits durch ein anderes Endgerät verbraucht ist, um so Doppelausgaben zu vermeiden.
In einer Ausgestaltung wird im zweiten Endgerät ein Nachweis erstellt. Der Nachweist umfasst eine Information über die Übereinstimmung des monetären Betrags des übertragenen elektronischen Münzdatensatzes mit dem monetären Betrags des umzuschaltenden elektronischen Münzdatensatzes. Vorzugsweise umfasst der Nachweis lediglich eine Information über die Übereinstimmung, nicht aber einen der monetären Beträge. Bevorzugt erfolgt während des Registrierens in der Überwachungsinstanz ein Prüfen der elektronischen Münzdatensätze des ersten und/ oder zweiten Endgeräts. Die Prüfung erfolgt in Abhängigkeit der der Prüfung vorangehenden Schritte, beispielsweise ob ein Schritt des Umschaltens, des Verbindens und/ oder des Aufteilens erfolgt ist. Dabei kann die Überwachungsinstanz beispielsweise die Gültigkeit der (maskierten) übertragenen und/oder aufzuteilenden und/oder ersten und zweiten elektronischen Münzdatensätzen prüfen. Dies ermöglicht es, festzustellen, ob die elektronischen Münzdatensätze zum ersten Mal verarbeitet werden. Falls die (maskierten) elektronischen Münzdatensätze nicht gültig sind (also insbesondere falls sie nicht in der Überwachungsinstanz vorliegen) kann das Registrieren nicht erfolgreich ausgeführt werden, zum Beispiel weil das Endgerät versucht einen elektronischen Münzdatensatz mehrfach auszugeben.
In einer weiter bevorzugten Ausgestaltung erfolgt nach dem Ausführen des Umschalten-Schritts in dem Endgerät beispielsweise das Versenden des vom Endgerät vorbereiteten Umschalten- Befehls (als Registrierungsanforderung) an die Überwachungsinstanz. Bevorzugt enthält der Umschalten-Befehl den maskierten erhaltenen elektronischen Münzdatensatz, den maskierten umzuschaltenden elektronischen Münzdatensatz und bevorzugt weitere Informationen, die für Prüfungen in der Überwachungsinstanz gebraucht werden, enthält. Die weiteren Informationen dienen dem Nachweis des„befehlenden“ Endgerätes der Kenntnis des monetären Betrags und des Verschleierungsbetrags des erhaltenen elektronischen Münzdatensatzes ohne die Werte mitzuteilen, bevorzugt mittels eines kenntnisfreien Beweises, engl zero knowledge proof. Die Überprüfüngsinstanz prüft die Nachvollziehbarkeit des kenntnisfreien Beweises, die Gültigkeit des maskierten erhaltenen elektronischen Münzdatensatzes und dass der monetäre Betrag des erhaltenen elektronischen Münzdatensatzes gleichwertig mit dem monetären Betrag des umzuschaltenden elektronischen Münzdatensatz ist. Um zu beweisen, dass nur ein neuer Verschleierungsbetrag zum Verschleierungsbetrag des erhaltenen elektronischen Münzdatensatz hinzugefügt wurde, der monetäre Betrag aber gleichgeblieben ist, kann das zweite Endgerät bevorzugt nachweisen, dass die Differenz aus dem maskierten erhaltenen Münzdatensatz und dem maskierten umzuschaltenden Münzdatensatz eine besondere Darstellung aufweist, nämlich die eines öffentlichen Schlüssels ist. Dies erfolgt durch das Erzeugen einer Signatur für den maskierten umzuschaltenden elektronischen Münzdatensatzes mit dem hinzugefügten Verschleierungsbetrag. In der Überwachungsinstanz kann dann diese erzeugte Signatur des maskierten umzuschaltenden elektronischen Münzdatensatzes geprüft werden, was als Beweis gilt, dass das zweite Endgerät in Kenntnis des hinzugefügten Verschleierungsbetrags ist. Bevorzugt wird nach erfolgreichem Erfüllen der Prüfungen, die für den Umschalten-Befehl relevant sind, also bei entsprechender Vollständigkeit der Markierungen, der (maskierte) umzuschaltende elektronische Münzdatensatz als gültig markiert. Dabei wird gegebenenfalls automatisch der maskierte zuvor registrierte elektronische Münzdatensatz ungültig. Alternativ wird der maskierte zuvor registrierte elektronische Münzdatensatz als ungültig markiert oder gelöscht. Bevorzugt teilt die Überwachungsinstanz das Ergebnis des Ausführens des Umschalten-Befehls dem„befehlenden“ Endgerät mit, d.h. welche der involvierten maskierten elektronischen Münzdatensätze nach Ausfuhren des Umschalten-Befehls gültig sind.
In einer weiter bevorzugten Ausgestaltung wird zum Registrieren, nach dem Ausfuhren des Aufteilungs- Schritts des Endgerätes, ein vom Endgerät vorbereiteter Aufteilen-Befehl (als Registrierungsanforderung) an die Überwachungsinstanz gesendet. Er enthält den maskierten aufzuteilenden elektronischen Münzdatensatz, den maskierten ersten elektronischen Münzteildatensatz, den maskierten zweiten elektronischen Münzteildatensatz und bevorzugt weitere Informationen, die für Prüfungen in der Überwachungsinstanz gebraucht werden. Die weiteren Informationen dienen dem Nachweis des„befehlenden“ Endgerätes der Kenntnis des monetären Betrags und des Verschleierungsbetrags des aufzuteilenden elektronischen Münzdatensatzes ohne die Werte mitzuteilen, bevorzugt mittels eines kenntnisfreien Beweises, engl zero knowledge proof. Die Überprüfungsinstanz prüft die Nachvollziehbarkeit des kenntnisfreien Beweises, die Gültigkeit des maskierten aufzuteilenden elektronischen Münzdatensatzes und dass die Summe des monetären Betrags des ersten elektronischen Münzteildatensatzes und des monetären Betrags des zweiten elektronischen Münzteildatensatzes gleichwertig mit dem monetären Betrag des aufzuteilenden elektronischen Münzdatensatz ist (Betragsneutralität). Dies geschieht bevorzugt indem die Überwachungsinstanz die Summe aus dem maskierten ersten elektronischen Münzteildatensatz und dem maskierten zweiten elektronischen Münzteildatensatz mit dem maskierten aufzuteilenden Münzteildatensatz vergleicht.
In einer weiter bevorzugten Ausgestaltung wird zum Registrieren, nach dem Ausführen des Verbinden-Schritts des Endgerätes, ein vom Endgerät vorbereiteter Verbinden-Befehl (als Registrierungsanforderung) an die Überwachungsinstanz gesendet. Er enthält den ersten maskierten elektronischen Münzdatensatz, den zweiten maskierten elektronischen Münzdatensatz und den maskierten zu verbindenden Münzteildatensatz und bevorzugt weitere Informationen, die für Prüfungen in der Überwachungsinstanz gebraucht werden. Die weiteren Informationen dienen dem Nachweis des„befehlenden“ Endgerätes der Kenntnis der monetären Beträge und der Verschleierungsbeträge der ersten und zweiten elektronischen Münzdatensätze ohne die Werte mitzuteilen, bevorzugt mittels eines kenntnisfreien Beweises, engl zero knowledge proof. Die Überprüfüngsinstanz prüft die Nachvollziehbarkeit der kenntnisfreien Beweise, die Gültigkeit des maskierten ersten elektronischen Münzdatensatzes, die Gültigkeit des maskierten zweiten elektronischen Münzdatensatzes und dass die Summe des monetären Betrags des ersten elektronischen Münzdatensatzes und des monetären Betrags des zweiten elektronischen Münzdatensatzes gleichwertig mit dem monetären Betrag des zu verbindenden elektronischen Münzdatensatzes ist (Betragsneutralität). Dies geschieht bevorzugt indem die Überwachungsinstanz die Summe aus dem maskierten ersten elektronischen Münzdatensatz und dem maskierten zweiten elektronischen Münzdatensatz mit dem maskierten zu verbindenden Münzteildatensatz vergleicht. Bevorzugt wird nach erfolgreichem Erfüllen der Prüfungen, die für den Verbinden-Befehl relevant sind, also bei entsprechender Vollständigkeit der Markierungen, der (maskierte) zu verbindende elektronische Münzdatensatz als gültig markiert. Dabei wird automatisch der (maskierte) erste elektronische Münzdatensatz und der (maskierte) zweite elektronische Münzdatensatz ungültig. Alternativ werden die maskierten zuvor registrierten elektronischen Münzdatensätze aktiv als ungültig markiert oder gelöscht. Bevorzugt teilt die Überwachungsinstanz das Ergebnis des Ausfahrens des Verbinden-Befehls dem„befehlenden“ Endgerät mit, d.h. welche der involvierten maskierten elektronischen Münzdatensätze nach Ausführen des Verbinden-Befehls gültig sind.
In einer Ausgestaltung wird das Maskieren des übertragenen elektronischen Münzdatensatzes und dessen Gültigkeitsprüfung ausgeführt, bevor der übertragene elektronische Münzdatensatz in der Überwachungsinstanz registriert wird. Das zweite Endgerät sendet zunächst eine Validitätsanfrage für den maskierten empfangenen elektronischen Münzdatensatz und verwendet den empfangenen elektronischen Münzdatensatzes nur falls er gültig ist. Beispielsweise kann danach die Registrierungsanforderung gesendet werden oder der empfangene elektronische Münzdatensatz (unmodifiziert) weitergegeben werden, insbesondere an ein anderes Endgerät oder an einen anderen Systemteilnehmer, wie eine Serverinstanz einer Geschäftsbank.
In einer bevorzugten Ausgestaltung ist die Überwachungsinstanz eine entfernte Instanz. Damit ist beispielsweise zum Registrieren des elektronischen Münzdatensatzes der Aufbau einer Kommunikationsverbindung zu der Überwachungsinstanz vorgesehen.
Die Überwachungsinstanz ist als übergeordnete Instanz ausgebildet. Die Überwachungsinstanz ist demnach nicht zwingend in der Ebene bzw. in der Schicht der Endgeräten (Direkttransaktionsschicht) angeordnet. Vorzugsweise ist die Überwachungsinstanz zur Verwaltung und Prüfung von maskierten elektronischen Münzdatensätzen vorgesehen. Sie ist in einer Herausgeberschicht, in welcher auch eine Herausgeberinstanz angeordnet ist, und/ oder in einer eigenständigen Überwachungsschicht angeordnet. Es ist denkbar, dass die Überwachungsinstanz zusätzlich Transaktionen zwischen den ersten und zweiten Endgeräten verwaltet und prüft.
Die Überwachungsinstanz ist bevorzugt eine dezentral gesteuerte Datenbank, englisch Distributed Ledger Technology, DLT, in der die maskierten elektronischen Münzdatensätze mit entsprechender Verarbeitung des maskierten elektronischen Münzdatensatzes registriert sind. In einer bevorzugten Ausgestaltung lässt sich daraus ein Gültigkeitsstatus des (maskierten) elektronischen Münzdatensatzes ableiten. Bevorzugt wird die Gültigkeit der (maskierten) elektronischen Münzdatensätze in der und durch die Überprüfungsinstanz vermerkt. Die Registrierung der Verarbeitung bzw. der Verarbeitungsschritte kann auch das Registrieren von Prüfergebnissen und Zwischenprüfergebnissen betreffend die Gültigkeit eines elektronischen Münzdatensatzes betreffen. Ist eine Verarbeitung endgültig, wird dies beispielsweise durch entsprechende Markierungen oder einer abgeleiteten Gesamtmarkierung angezeigt. Eine endgültige Verarbeitung entscheidet sodann, ob ein elektronischer Münzdatensatz gültig oder ungültig ist.
Diese Datenbank ist weiter bevorzugt eine nicht-öffentliche Datenbank, kann aber auch als öffentliche Datenbank realisiert werden. Diese Datenbank ermöglicht es auf einfache Weise, Münzdatensätze bezüglich ihrer Gültigkeit zu prüfen und „Double-Spending“, also Mehrfachausgaben, zu verhindern, ohne dass die Bezahltranskation selbst registriert oder protokolliert wird. Die DLT beschreibt dabei eine Technik für vernetzte Computer, die zu einer Übereinkunft über die Reihenfolge von bestimmten Transaktionen kommen und darüber, dass diese Transaktionen Daten aktualisieren. Es entspricht einem dezentral geführten Verwaltungssystem oder einer dezentral geführten Datenbank.
In einer weiteren Ausgestaltungen kann die Datenbank auch als öffentliche Datenbank ausgebildet sein.
Alternativ ist die Überwachungsinstanz eine zentral geführte Datenbank, beispielsweise in Form eines öffentlich zugänglichen Datenspeichers oder als Mischform aus zentraler und dezentraler Datenbank.
Bevorzugt werden initiale elektronische Münzdatensätze ausschließlich von der Herausgeberinstanz erstellt. Vorzugsweise können jedoch umgeschaltete, aufgeteilte oder verbundene elektronischen Münzdatensätze, insbesondere elektronischen Münzteildatensätze, auch durch ein Endgerät generiert werden. Das Erstellen und das Wählen eines monetären Betrags beinhaltet bevorzugt auch das Wählen eines Verschleierungsbetrags mit hoher Entropie.
Die Herausgeberinstanz ist ein Rechensystem, welches bevorzugt entfernt vom ersten und/ oder zweiten Endgerät ist. Besonders bevorzugt ist die Herausgeberinstanz einer Zentralbank zugeordnet. Nach dem Erstellen des neuen elektronischen Münzdatensatzes wird der neue elektronische Münzdatensatz in der Herausgeberinstanz durch Anwenden der homomorphen Einwegfunktion auf den neuen elektronischen Münzdatensatz maskiert, um entsprechend einen maskierten neuen elektronischen Münzdatensatz zu erhalten. Des Weiteren werden zusätzliche Informationen, die zum Registrieren des Erstellens des maskierten neuen elektronischen Münzdatensatzes in der entfernten Überwachungsinstanz benötigt werden, im der Herausgeberinstanz berechnet. Bevorzugt sind diese weiteren Informationen ein Nachweis, dass der (maskierte) neue elektronische Münzdatensatz von der Herausgeberinstanz stammt, beispielsweise durch eine signieren des maskierten neuen elektronischen Münzdatensatzes. In einer Ausgestaltung kann vorgesehen sein, dass die Herausgeberinstanz einen maskierten elektronischen Münzdatensatz beim Erzeugen des elektronischen Münzdatensatzes mit ihrer Signatur signiert. Die Signatur der Herausgeberinstanz wird bevorzugt in der Überwachungsinstanz hinterlegt. In einer Ausgestaltung kann vorgesehen sein, dass die Herausgeberinstanz einen Bereichsnachweis zum erzeugten elektronischen Münzdatensatzes mitsendet um den Besitz des elektronischen Münzdatensatzes nachzuweisen.
Bevorzugt kann die Herausgeberinstanz einen elektronischen Münzdatensatz, der sich in ihrem Besitz befindet (also von dem sie den monetären Betrag und den Verschleierungsbetrag kennt) deaktivieren, indem sie den maskierten zu deaktivierenden elektronischen Münzdatensatz mit der homomorphen Einwegfunktion maskiert und einen Deaktivieren-Befehl bzw. eine Deaktivierungsanforderung für die Überwachungsinstanz vorbereitet. Teil des Deaktivieren- Befehls ist bevorzugt neben dem maskierten zu deaktivierenden elektronischen Münzdatensatzes auch der Nachweis, dass der Deaktivieren Schritt von der Herausgeberinstanz initiiert wurde, beispielsweise in Form des signierten maskierten zu deaktivierenden elektronischen Münzdatensatzes. Als zusätzliche Information könnten im Deaktivieren-Befehl Bereichsprüfungen für den maskierten zu deaktivierenden elektronischen Münzdatensatz enthalten sein. Anschließend erfolgt ein Registrieren des Deaktivierens des maskierten elektronischen Münzdatensatzes in der entfernten Überwachungsinstanz. Mit dem Deaktiveren- Befehl wird der Schritt des Deaktivierens ausgelöst.
In einer weiter bevorzugten Ausgestaltung wird in der Herausgeberinstanz ein Deaktivieren- Befehl (bzw. eine Deaktivierungsanforderung) vorbereitet, der an die Überwachungsinstanz gesendet wird. Der Deaktivieren-Befehl enthält den maskierten zu deaktivierenden elektronischen Münzdatensatz und bevorzugt weitere Informationen, die für Prüfungen in der Überwachungsinstanz gebraucht werden. Die weiteren Informationen dienen dem Nachweis, dass der Deaktivieren-Befehl von der Herausgeberinstanz initiiert wurde, bevorzugt mittels des signierten maskierten zu deaktivierenden elektronischen Münzdatensatzes. Die Überprüfungsinstanz prüft die Signatur, die Gültigkeit des maskierten zu deaktivierenden elektronischen Münzdatensatzes und optional die Bereichsnachweise über den maskierten zu deaktivierenden elektronischen Münzdatensatzes. Bevorzugt wird nach erfolgreichem Erfüllen der Prüfungen, die für den Deaktivieren-Befehl relevant sind, also insbesondere bei entsprechender Vollständigkeit der Markierungen, der (maskierte) zu deaktivierende elektronische Münzdatensatz als ungültig markiert (oder gelöscht). Bevorzugt teilt die Überwachungsinstanz das Ergebnis des Ausführens des Deaktivieren-Befehls der Herausgeberinstanz mit, d.h. dass der (maskierte) zu deaktivierende elektronische Münzdatensatz nach Ausführen des Deaktivieren-Befehls ungültig ist.
Die Schritte Erstellen und Deaktivieren erfolgen bevorzugt an gesicherten Orten, insbesondere nicht in den Endgeräten. In einer bevorzugten Ausgestaltung werden die Schritte des Erstellens und Deaktivierens nur von der Herausgeberinstanz durchgeführt bzw. angestoßen. Vorzugsweise finden diese Schritte an einen gesicherten Ort statt, beispielsweise in einer Hard- und Software- Architektur, die zur Verarbeitung von sensiblem Datenmaterial in unsicheren Netzen entwickelt wurde. Das Deaktivieren des entsprechenden maskierten elektronischen Münzdatensatz bewirkt, dass der entsprechende maskierte elektronische Münzdatensatz nicht mehr für weitere Verarbeitung, insbesondere Transaktionen, verfügbar ist, da er in und von der Überwachungsinstanz als ungültig markiert wurde. Jedoch kann in einer Ausführungsform vorgesehen sein, dass der deaktivierte maskierte elektronische Münzdatensatz bei der Herausgeberinstanz archivarisch bestehen bleibt. Dass der deaktivierte maskierte elektronische Münzdatensatz nicht mehr gültig ist, kann beispielsweise mithilfe eines Flags oder einer anderen Codierung gekennzeichnet oder der deaktivierte maskierte elektronische Münzdatensatz kann zerstört und/ oder gelöscht werden. Selbstverständlich kann der deaktivierte maskierte elektronische Münzdatensatz auch gelöscht werden.
Durch das erfindungs gemäße Verfahren werden verschiedene Verarbeitungsoperationen für die elektronischen Münzdatensätze und die entsprechenden maskierten elektronischen Münzdatensätze ermöglicht. Jeder der Verarbeitungsoperationen (insbesondere das Erstellen, Deaktivieren, Aufteilen, Verbinden und Umschalten) wird dabei in der Überwachungsinstanz registriert. Die Verarbeitungsoperationen können dort in unveränderlicher Form an die Liste der vorherigen Verarbeitungsoperationen für den jeweiligen maskierten elektronischen Münzdatensatz angehängt werden. Die Verarbeitungsoperationen „Erstellen“ und „Deaktivieren“, die die Existenz des monetären Betrags an sich betreffen, also die Schaffung und die Vernichtung bis hin der Zerstörung von Geld bedeuten, bedürfen einer zusätzlichen Genehmigung, beispielsweise in Form einer Signatur, durch die Herausgeberinstanz, um in der Überwachungsinstanz registriert zu werden. Die übrigen Verarbeitungsoperationen (Aufteilen, Verbinden, Umschalten) bedürfen keiner Autorisierung durch die Herausgeberinstanz oder durch den Anfordemden/Befehlsinitiator (= Zahler, bspw. das erste Endgerät).
Eine Verarbeitung in der Direkttransaktionsschicht betrifft nur die Besitzverhältnisse und/ oder die Zuordnung der Münzdatensätze zu Endgeräten der jeweiligen elektronischen Münzdatensätze. Eine Registrierung der jeweiligen Verarbeitungsergebnisse erfolgt in der Überwachungsinstanz. Die Datenbank der gültigen maskierten Münzdatensätze wird entsprechend angepasst. Beispielsweise durch Hinzufügen und Löschen von maskierten Münzdatensätzen. Bevorzugt wird sie jedoch durch entsprechende Listeneinträge in einer Datenbank realisiert, die eine Reihe von Markierungen umfasst, die von der
Überwachungsinstanz gesetzt werden müssen. Eine mögliche Struktur für einen Listeneintrag umfasst beispielsweise Spalte(n) für einen Vorgänger-Münzdatensatz, Spalte(n) für einen Nachfolger-Münzdatensatz, eine Signatur-Spalte für die Herausgeberinstanz, und zumindest eine Markierungsspalte. Eine Änderung des Status der Markierung bedarf der Genehmigung durch die Überwachungsinstanz und muss sodann unveränderlich gespeichert werden. Eine Änderung ist endgültig, wenn und nur wenn die erforderlichen Markierungen durch die
Überwachungsinstanz validiert wurden, d.h. nach der entsprechenden Prüfung beispielsweise vom Status "0" in den Status "1" gewechselt wurden. Scheitert eine Prüfung oder dauert zu lang, so wird sie stattdessen beispielsweise vom Status in den Status "0" gewechselt. Weitere Statuswerte sind denkbar und/oder die hier genannten Statuswerte sind austauschbar. Bevorzugt wird die Gültigkeit der jeweiligen (maskierten) elektronischen Münzdatensätze aus den Statuswerten der Markierungen zusammengefasst jeweils in einer Spalte für jeden maskierten elektronischen Münzdatensatz, der im Registrieren der Verarbeitung involviert ist, dargestellt.
In einem weiteren Ausführungsbeispiel können wenigstens zwei vorzugsweise drei oder sogar alle der vorhergenannten Markierungen auch durch eine einzige Markierung ersetzt werden, die dann gesetzt wird, wenn alle Prüfungen erfolgreich abgeschlossen wurden. Des Weiteren lassen sich die je zwei Spalten für Vorgänger-Datensätze und Nachfolger-Datensätze zu jeweils einem zusammenfassen, in welchem alle Münzdatensätze gemeinsam ausgelistet sind. Dadurch könnten dann auch mehr als zwei elektronische Münzdatensätze je Feldeintrag verwaltet werden, und somit z.B. eine Aufspaltung in mehr als zwei Münzen realisiert werden.
Die Prüfungen durch die Überwachungsinstanz, um zu prüfen, ob eine Verarbeitung endgültig ist sind bereits oben beschrieben und sind insbesondere:
- Sind die maskierten elektronischen Münzdatensätze der Vorgänger-Spalte(n) gültig?
- Ergibt eine Überprüfung den korrekten Prüfwert?
- Sind die Bereichsnachweise für die maskierten elektronischen Münzdatensätze erfolgreich?
- Ist die Signatur des maskierten elektronischen Münzdatensatzes eine gültige Signatur der Herausgeberinstanz?
Bevorzugt gilt zudem, dass ein maskierter elektronischer Münzdatensatz ungültig ist, wenn einer der folgenden Prüfungen zutrifft, also wenn:
(1) der maskierte elektronische Münzdatensatz nicht in der Überwachungsinstanz registriert ist; (2) die letzte Verarbeitung des maskierten elektronischen Münzdatensatzes angibt, dass es für ihn Vorgänger-Münzdatensätze gibt, diese letzte Verarbeitung aber nicht endgültig ist; oder
(3) die letzte Verarbeitung des maskierten elektronischen Münzdatensatzes angibt, dass es für ihn Nachfolger-Münzdatensätze gibt und diese letzte Verarbeitung endgültig ist.
(4) der maskierte elektronische Münzdatensatz nicht der Nachfolger von einem gültigen maskierten elektronischen Datensatz ist, es sei denn er ist von der Herausgeberinstanz signiert
Die vorliegend aufgeführten Schritte des Umschaltens, Aufteilens oder Verbindens (Registrieren von Modifikationen) und des Erstellens und Deaktivierens (Initiales Registrieren und Finales Deregistrieren) werden in der Überwachungsinstanz jeweils durch entsprechende Anforderungen (bzw. Befehle) ausgelöst, beispielsweise einem entsprechenden Erstell-, Umschalt-, Aufteil-, Verbinden- bzw. Deaktivier-Befehl.
In einem Aspekt der Erfindung ist ein Bezahlsystem zum Austausch von monetären Beträgen vorgesehen mit einer Buchhaltungsschicht mit einer Datenbank (bevorzugt dezentral gesteuerten Datenbank, englisch Distributed Ledger Technology, DLT), in der maskierte elektronische Münzdatensätze abgelegt sind; und einer Direkttransaktionsschicht mit zumindest zwei Endgeräten, in welchen das vorhergehend beschriebene Verfahren durchführbar ist; und/oder eine Herausgeberinstanz zum initialen Erzeugen bzw. Erstellen eines elektronischen Münzdatensatzes. Dabei kann die Herausgeberinstanz nachweisen, dass der maskierte erzeugte elektronische Münzdatensatz von ihr erzeugt wurde, bevorzugt kann sich die Herausgeberinstanz durch das Signieren ausweisen und die Überwachungsinstanz kann die Signatur der Herausgeberinstanz prüfen. In einer Ausgestaltung kann vorgesehen sein, dass die Herausgeberinstanz einen Bereichsnachweis zum erzeugten elektronischen Münzdatensatzes mitsendet um den Besitz des elektronischen Münzdatensatzes nachzuweisen.
In einer bevorzugten Ausgestaltung umfasst das Bezahlsystem eine Herausgeberinstanz zum Erzeugen eines elektronischen Münzdatensatzes. Dabei kann die Herausgeberinstanz nachweisen, dass der maskierte erzeugte elektronische Münzdatensatz von ihr erzeugt wurde, bevorzugt kann sich die Herausgeberinstanz durch das Signieren ausweisen und die Überwachungsinstanz kann die Signatur der Herausgeberinstanz prüfen. In einer Ausgestaltung kann vorgesehen sein, dass die Herausgeberinstanz einen Bereichsnachweis zum erzeugten elektronischen Münzdatensatzes mitsendet um den Besitz des elektronischen Münzdatensatzes nachzuweisen.
Bevorzugt ist das Bezahlsystem zum Durchführen des oben genannten Verfahrens und/ oder wenigstens einer der Ausführungsvarianten ausgebildet. Ein weiterer Aspekt der Erfindung betrifft ein Währungssystem umfassend eine Herausgeberinstanz, eine Überwachungsinstanz, ein erstes Endgerät und ein zweites Endgerät, wobei die Herausgeberinstanz ausgebildet ist, einen elektronischen Münzdatensatzes zu erstellen. Der maskierte elektronische Münzdatensatz ist ausgebildet, nachweisbar durch die Herausgeberinstanz erstellt zu sein. Die Überwachungsinstanz ist zum Ausfuhren eines der oben genannten Verfahren, also insbesondere der Verarbeitung von Registrierungsanforderangen, ausgebildet. Vorzugsweise sind die Endgeräte, d.h. wenigstens das erste und zweite Endgerät zum Ausfuhren eines der oben genannten Verfahren zum Übertragen von Münzdatensätzen geeignet.
In einer bevorzugten Ausführung des Währungssystem ist lediglich die Herausgeberinstanz berechtigt, einen elektronischen Münzdatensatz initial zu erstellen. Eine Verarbeitung, beispielsweise der Schritt des Verbindens, des Aufteilens und/ oder des Umschaltens, kann und wird vorzugsweise durch ein Endgerät durchgeführt. Der Verarbeitungsschritt des Deaktivierens kann vorzugsweise nur von der Herausgeberinstanz ausgeführt werden. Somit wäre lediglich die Herausgeberinstanz berechtigt, den elektronischen Münzdatensatzes und/ oder den maskierten elektronischen Münzdatensatz zu invaliditieren.
Bevorzugt sind jeweils die Überprüfungsinstanz und die Herausgeberinstanz in einer Serverinstanz angeordnet oder liegen als Computerprogrammprodukt auf einem Server und/ oder einem Computer vor.
Das Währungssystem kann weitere Münzbesitzerinstanzen umfassen, insbesondere Serverinstanzen oder Computerinstanzen. Die Münzbesitzerinstanzen können - wie die Endgeräte - elektronische Münzdatensätze übertragen, insbesondere untereinander oder von bzw. zu Endgeräten übertragen, und für maskierte modifizierte elektronische Münzdatensätze Registrierungsanforderungen an die Überwachungsinstanz senden. Weitere Münzbesitzerinstanzen können beispielsweise Geschäftsbanken, Online-Shops oder Dienstleistem zugeordnet sein.
Vorgeschlagen wird hierbei also eine Lösung, die digitales Geld in Form von elektronischen Münzdatensätzen heraus gibt, die an die Verwendung von konventionellen (analogen) Banknoten und/oder Münzen angelehnt ist. Das digitale Geld wird hierbei durch elektronische Münzdatensätze abgebildet. Wie bei (analogen) Banknoten werden auch diese elektronischen Münzdatensätze für alle Formen von Zahlungen, einschließlich Peer-to-Peer-Zahlungen und/oder POS-Zahlungen, verwendbar. Die Kenntnis aller Bestandteile (insbesondere monetärer Betrag und Verschleierungsbetrag) eines gültigen elektronischen Münzdatensatzes ist gleichbedeutend mit dem Besitz (Eigentum) des digitalen Geldes. Es ist daher ratsam, diese gültigen elektronischen Münzdatensätze vertraulich zu behandeln, also beispielsweise in einem Sicherheitselement/ Tresormodul eines Endgeräts aufzubewahren und dort zu verarbeiten. Um über die Authentizität eines elektronischen Münzdatensatzes zu entscheiden und Doppelausgaben zu verhindern, werden in der Überwachungsinstanz maskierte elektronische Münzdatensätze als einzigartige, korrespondierende öffentliche Darstellung des elektronischen Münzdatensatzes vorgehalten. Die Kenntnis oder der Besitz eines maskierten elektronischen Münzdatensatzes stellt nicht den Besitz von Geld dar. Vielmehr gleicht dies dem Überprüfen der Echtheit des analogen Zahlungsmittels.
Die Überwachungsinstanz speichert die gültigen maskierten elektronischen Münzdatensätze. Daher wird ein Empfänger eines elektronischen Münzdatensatzes zunächst einen maskierten empfangenen elektronischen Münzdatensatz erzeugen und sich durch die Überwachungsinstanz die Gültigkeit der maskierten elektronischen Münzdatensatz bestätigen lassen. Ein großer Vorteil dieser erfmdungsgemäßen Lösung ist, dass das digitale Geld auf Endgeräte, Händler, Banken und andere Nutzer des Systems verteilt wird, aber kein digitales Geld oder weitere Metadaten bei der Überwachungsinstanz - also einer gemeinsamen Instanz - gespeichert wird. Die Überwachungsinstanz kann dabei vorzugsweise auch einen Gültigkeits Status der maskierten elektronischen Münzdatensätze speichern und/oder Markierungen über durchgeführte und geplante Verarbeitungen des maskierten elektronischen Münzdatensatzes enthalten. Aus den Markierungen zu den Verarbeitungen kann ein Status des jeweiligen maskierten elektronischen Münzdatensatzes abgeleitet werden, der angibt, ob der entsprechende (unmaskierte) elektronische Münzdatensatz gültig, d.h. zahlungsbereit ist.
Die vorgeschlagene Lösung kann in bestehende Zahlsysteme und Infrastrukturen eingebunden werden. Insbesondere kann eine Kombination aus analoge Zahlungsvorgänge mit Geldscheinen und Münzen und digitale Zahlungsvorgänge gemäß der vorliegenden Lösung vorliegen. So kann ein Bezahlvorgang mit Banknoten und/ oder Münzen erfolgen, das Wechselgeld bzw. Rückgeld liegt aber als elektronischer Münzdatensatz vor. Zur Transaktion können beispielsweise ATMs mit entsprechender Konfiguration, insbesondere mit geeigneter Kommunikationsschnittstelle, und/ oder mobile Endgeräte vorgesehen sein. Weiterhin ist ein Umtausch von elektronischem Münzdatensatz in Banknoten bzw. Münzen denkbar.
KURZE ZUSAMMENFASSUNG DER FIGUREN
Nachfolgend wird anhand von Figuren die Erfindung bzw. weitere Ausführungsformen und Vorteile der Erfindung näher erläutert, wobei die Figuren lediglich Ausführungsbeispiele der Erfindung beschreiben. Gleiche Bestandteile in den Figuren werden mit gleichen Bezugszeichen versehen. Die Figuren sind nicht als maßstabsgetreu anzusehen, es können einzelne Elemente der Figuren übertrieben groß bzw. übertrieben vereinfacht dargestellt sein.
Es zeigen:
Fig.l ein Ausführungsbeispiel eines Bezahlsystems gemäß der Erfindung;
Fig.2 ein Ausführungsbeispiel einer Überwachungsinstanz;
Fig.3 ein Ausführungsbeispiel eines Bezahlsystems gemäß der Erfindung zum Aufteilen und Umschalten von elektronischen Münzdatensätzen;
Fig.4 ein Ausführungsbeispiel eines Bezahlsystems gemäß der Erfindung zum Verbinden von elektronischen Münzdatensätzen;
Fig.5 ein Ausführungsbeispiel eines Verfahrensablaufdiagramms eines erfindungsgemäßen Verfahrens und entsprechenden Verarbeitungsschritte eines Münzdatensatzes;
Fig.6 ein Ausführungsbeispiel eines Verfahrensablaufdiagramms eines erfindungsgemäßen Verfahrens und entsprechenden Verarbeitungsschritte eines Münzdatensatzes;
Fig.7 ein weiteres Ausführungsbeispiel eines Verfahrensablaufdiagramms eines erfindungsgemäßen Verfahrens.
FIGURENBESCHREIBUNG
Fig.l zeigt ein Ausführungsbeispiel eines Bezahlsystems mit Endgeräten Ml und M2 gemäß der Erfindung.
Dabei wird in einer Herausgeberinstanz 1, beispielsweise einer Zentralbank, ein elektronischer Münzdatensatz Ci erzeugt. Zu dem elektronischen Münzdatensatz Ci, der einen Verschleierungsbetrag umfasst, wird ein maskierter elektronische Münzdatensatz Zi erzeugt und in einer Datenbank 2 als Überwachungsinstanz registriert, die hier als „Verschleierter- elektronischer-Datensatz-Ledger“ bezeichnet wird. Als Ledger wird im Rahmen dieser Erfindung eine Liste, ein Verzeichnis, vorzugsweise eine Datenbankstruktur verstanden. Der elektronische Münzdatensatz Ci wird an ein erstes Endgerät Ml ausgegeben. Beispielsweise wurde dazu als Verschleierungsbetrag n eine echte Zufallszahl erzeugt. Diese Verschleierungsbetrag n wird mit einem monetären Betrag Ui verknüpft und bildet sodann einen erfindungsgemäßen i-ten elektronischen Münzdatensatz:
Ci = (Vi,· ri} (1)
Ein gültiger elektronischer Münzdatensatz kann zur Bezahlung eingesetzt werden. Der Besitzer der beiden Werte u,· und n ist daher bereits im Besitz des digitalen Geldes, weil er es zur Bezahlung einsetzen kann. Im System ist das digitale Geld aber definiert durch ein Paar bestehend aus einem gültigen elektronischen Münzdatensatz und einem entsprechenden maskierten elektronischen Münzdatensatz Zi. Der maskierte elektronische Münzdatensatz Zi wird durch Anwenden einer homomorphen Einwegfunktion f (Ci) gemäß Gleichung (2) erhalten:
Zi =f(Ci) (2)
Diese Funktion f (Ci) ist öffentlich, d.h. jeder Systemteilnehmer kann diese Funktion auffufen und verwenden. Diese Funktion f (Ci) ist gemäß Gleichung (3) definiert:
Zi Vi H + T G (3) wobei H und G Generatorpunkte einer Gruppe G, in der das diskrete Logarithmusproblem schwer ist, mit den Generatoren G und H, für die der diskrete Logarithmus der jeweils anderen Basis unbekannt ist. Beispielsweise sind G und H Generatorpunkte einer elliptischen Kurvenverschlüsselung, ECC, - also private Schlüssel der ECC, sind. Diese Generatorpunkte G und FI müssen in der Art gewählt werden, dass der Zusammenhang von G und H nicht öffentlich bekannt ist, sodass bei:
G = h · H (4) die Verknüpfung n praktisch nicht auffindbar sein darf, um zu verhindern, dass der monetäre Betrag u; manipuliert wird und trotzdem ein gültiges Z; berechnet werden könnte. Die Gleichung (3) ist ein„Pederson-Commitment für ECC“, das sicherstellt, dass der monetäre Betrag nt einer Überwachungsinstanz 2 zugestanden, also „commited“, werden kann, ohne diesen der Überwachungsinstanz 2 zu offenbaren. Der öffentlichen und entfernten Überwachungsinstanz 2 wird daher nur der maskierte Münzdatensatz Zi zugesendet (offenbart).
Auch wenn im vorliegenden Beispiel eine Verschlüsselung basierend auf elliptischen Kurven beschrieben ist bzw. wird, so wäre auch ein anderes kryptographische Verfahren denkbar, welches auf einem diskreten logarithmischen Verfahren beruht. Die Gleichung (3) ermöglicht durch die Entropie des Verschleierungsbetrags n, dass auch bei kleinem Wertebereich für monetäre Beträge u; ein kryptografisch starkes Zi erhalten wird. Somit ist ein einfacher Brute-Force- Angriff durch bloßes Schätzen von monetäre Beträge vi praktisch nicht möglich.
Die Gleichung (3) ist eine Einwegfunktion, das heißt, dass die Berechnung von Zi aus Ci einfach ist, da ein effizienter Algorithmus existiert, wohingegen die Berechnung von Ci ausgehend von Zi sehr schwer ist, da kein in polynomialer Zeit lösbarer Algorithmus existiert.
Zudem ist die Gleichung (3) homomorph für Addition und Subtraktion, das heißt es gilt:
Somit können Additions-Operationen und Subtraktions-Operationen sowohl in der Direkttransaktionsschicht 3 also auch parallel in der Buchhaltungsschicht 4 ausgeführt werden, ohne dass die Buchhaltungsschicht 4 Kenntnis von den elektronischen Münzdatensätzen Ci hat. Die homomorphe Eigenschaft der Gleichung (3) ermöglicht eine Buchhaltung von gültigen und ungültigen elektronischen Münzdatensätzen Ci auf alleiniger Basis der maskierten Münzdatensätze Zi zu führen und sicherzustellen, dass kein neuer monetärer Betrag vj geschaffen wurde.
Durch diese homomorphe Eigenschaft kann der Münzdatensatz Ci gemäß Gleichung (1) aufgeteilt werden in:
wobei gilt:
Für die entsprechenden maskierten Münzdatensätze gilt:
Mit Gleichung (9) kann beispielsweise auf einfache Weise eine„Aufteilen“- Verarbeitung bzw. ein„Aufteilen“- Verarbeitungsschritt eines Münzdatensatzes gemäß Fig. 3 geprüft werden, ohne dass die Überwachungsinstanz 2 Kenntnis von Ci, Cj, Ck hat. Insbesondere wird die Bedingung der Gleichung (9) geprüft, um aufgeteilte Münzdatensätze Cj und Ck für gültig zu erklären und den Münzdatensatz Ci für ungültig zu erklären. Ein derartiges Aufteilen eines elektronischen Münzdatensatzes Ci ist in Fig. 3 gezeigt.
Auf die gleiche Weise können elektronische Münzdatensätze auch zusammengefügt (verbunden) werden, siehe dazu Fig. 4 und die Erläuterungen dazu.
Zusätzlich gilt es zu prüfen, ob (nicht erlaubte) negative monetäre Beträge registriert werden. Ein Besitzer eines elektronischen Münzdatensatzes Ci muss dabei der Überwachungsinstanz 2 nachweisen können, dass alle monetären Beträge Ui in einer Verarbeitungs-Operation innerhalb eines Wertebereichs von [0, ..., n] liegen, ohne der Überwachungsinstanz 2 dabei die monetären Beträge Ui mitzuteilen. Diese Bereichsnachweise werden auch„Range-Proofs“ genannt. Als Bereichsnachweise werden bevorzugt Ringsignaturen (engl ring signature) verwendet. Für das vorliegende Ausführungsbeispiel werden sowohl der monetäre Wert als auch der Verschleierungsbetrag eines elektronischen Münzdatensatzes in Bitdar Stellung aufgelöst, d.h. U =Saj*2 für 0£j£n und aj„element“ {0; 1 } sowie ri=åbj*2J für 0£j£n und bj„element“ {0; 1}. Für jedes Bit wird vorzugsweise eine Ringsignatur mit Cij=aj-H+bj-G und Cij-ajH durchgeführt, wobei in einer Ausgestaltung vorgesehen sein kann, nur für bestimmte Bits eine Ringsignatur durchzuführen.
Nicht dargestellt ist in Fig. 1 und erst später erläutert wird, dass neue elektronische Münzdatensätze Ci bevorzugt nicht direkt an Endgeräte ausgegeben werden, sondern beispielsweise zunächst an eine Geschäftsbank.
In Fig. 1 wird ein elektronischer Münzdatensatz Ci von der Fierausgeberinstanz 1 erzeugt und mittels der Gleichung (3) ein maskierter elektronischer Münzdatensatz Z; von der Herausgeberinstanz 1 errechnet und dieser in der Überwachungsinstanz 2 registriert. Im Anschluss überträgt das erste Endgerät Ml den elektronischen Münzdatensatz Ci an ein zweites Endgerät M2. Zuvor könnte das Endgerät optional einen der Verarbeitungs-Schritte (Umschalten, Verbinden, Aufteilen) ausführen. Die Übertragung erfolgt beispielsweise drahtlos über WLAN, NFC oder Bluetooth. Die Übertragung kann durch kryptografische Verschlüsselungsverfahren zusätzlich abgesichert sein, indem beispielsweise ein Sitzungsschlüssel ausgehandelt wird oder eine PKI-Infrastruktur angewendet wird.
Im zweiten Endgerät M2 wird der übertragene elektronische Münzdatensatz Ci als Ci * erhalten. Mit dem Erhalt des elektronischen Münzdatensatzes Ci * ist das zweite Endgerät M2 im Besitz des digitalen Geldes, den der elektronische Münzdatensatz Ci * repräsentiert. Wenn sich beide Endgeräte gegenseitig vertrauen, sind keine weiteren Schritte notwendig, um das Verfahren zu beenden. Allerdings ist dem Endgerät M2 nicht bekannt, ob der elektronische Münzdatensatz Ci * tatsächlich gültig ist. Zudem könnte das Endgerät Ml den elektronischen Münzdatensatz Ci auch noch einem dritten Endgerät (nicht dargestellt) übertragen. Um dies zu verhindern sind weitere bevorzugte Schritte im Verfahren vorgesehen.
Zum Prüfen der Validität des erhaltenen elektronischen Münzdatensatzes Ci * wird im zweiten Endgerät M2 mit der - öffentlichen - Einwegfunktion aus Gleichung (3) der maskierte übertragene elektronische Münzdatensatz Zi * errechnet. Der maskierte übertragene elektronische Münzdatensatz Zi * wird dann an die Überwachungsinstanz 2 übertragen und dort gesucht. Bei Übereinstimmung mit einem registrierten und gültigen maskierten elektronischen Münzdatensatz wird dem zweiten Endgerät M2 die Validität des erhaltenen Münzdatensatzes Ci * angezeigt und es gilt, dass der erhaltene elektronische Münzdatensatz Ci * gleich dem registrierten elektronischen Münzdatensatz Ci ist. Mit der Prüfung auf Validität kann in einer Ausgestaltung festgestellt werden, dass der erhaltene elektronische Münzdatensatz Ci * noch gültig ist, d.h., dass er nicht bereits durch einen anderen Verarbeitungsschritt oder bei einer anderen Transaktion bereits verwendet wurde und/ oder einer weiteren Veränderung unterworfen war.
Bevorzugt findet danach ein Umschalten des erhaltenen elektronischen Münzdatensatzes durch das zweite Endgerät statt.
Es gilt für das erfindungsgemäße Verfahren, dass die alleinige Kenntnis eines maskierten elektronischen Münzdatensatzes Zi nicht dazu berechtigt, das digitale Geld auszugeben. Die alleinige Kenntnis des elektronischen Münzdatensatzes Ci berechtigt aber zum Bezahlen, d.h. eine Transaktion erfolgreich durchzuführen, insbesondere wenn der Münzdatensatz Ci gültig ist. Es herrscht eine 1-zu-l Beziehung zwischen den elektronischen Münzdatensätzen Ci und den entsprechenden maskierten elektronischen Münzdatensätzen Z;. Die maskierten elektronischen Münzdatensätze Zi werden in der Überwachungsinstanz 2, beispielsweise einer öffentlichen dezentralen Datenbank, registriert. Durch dieses Registrieren wird zunächst die Gültigkeit des Datensatzes prüfbar, beispielsweise ob neue monetäre Beträge (illegaler Weise) erschaffen wurden.
Ein Hauptunterscheidungsmerkmal gegenüber konventionellen Lösungen ist, dass die maskierten elektronischen Münzdatensätze Zi in einer Überwachungsschicht 4 gespeichert werden und alle Verarbeitungen an dem elektronischen Münzdatensatz Zi dort registriert werden, wohingegen die tatsächliche Übertragung des digitalen Geldes in einer (geheimen, d.h. einer der Öffentlichkeit nicht bekannten) Direkttransaktionsschicht 3 erfolgt.
Um ein mehrfaches Ausgeben zu verhindern oder um ein flexibleres Übertragen zu gewährleisten, können die elektronischen Münzdatensätze nunmehr im erfindungsgemäßen Verfahren verarbeitet werden. In der nachfolgenden Tabelle 1 sind die einzelnen Operationen aufgelistet, wobei mit dem angegebenen Befehl auch ein entsprechender Verarbeitungsschritt ausgeführt wird:
Tabelle 1— Anzahl von Operationen, die pro Verarbeitung eines Münzdatensatzes im Endgerät bzw.
Herausgeberinstanz durchzuführen sind; Weitere Operationen, die hier nicht aufgeführt sind, werden benötigt; Anstelle der angeführten Implementierung sind andere Umsetzungen denkbar, die andere Operationen implizieren
Die obige Tabelle 1 zeigt, dass für jeden Münzdatensatz, jede der Verarbeitungen„Erstellen“, „Deaktivieren“, „Aufteilen“, „Verbinden“ und „Umschalten“ verschiedene Operationen „Signatur erstellen“; „Zufallszahl erstellen“; „Maskierung erstellen“; „Bereichsprüfung“ vorgesehen sein können, wobei jede der Verarbeitungs-Operation in der Überwachungsinstanz 2 registriert wird. Sie kann dort in unveränderlicher Form an eine Liste vorheriger Verarbeitungs- Operationen für maskierte elektronische Münzdatensätze Zi angehängt werden. Die Operationen der Verarbeitungen „Erstellen“ und „Deaktivieren“ eines elektronischen Münzdatensatzes werden nur an sicheren Orten und/ oder nur von ausgewählten Instanzen, beispielsweise der Herausgeberinstanz 1, ausgeführt, während die Operationen aller übrigen Verarbeitungen auf den Endgeräten Ml bis M3 ausgeführt werden können.
Die Anzahl der Operationen für die einzelnen Verarbeitungen ist in der Tabelle 1 mit„0“,„1“ oder „2“ gekennzeichnet. Die Anzahl „0“ zeigt dabei an, dass das Endgerät bzw. die Herausgeberinstanz 1 diese Operation für diese Verarbeitung des elektronischen Münzdatensatzes nicht durchführen muss. Die Anzahl„1“ zeigt dabei an, dass das Endgerät bzw. die Herausgeberinstanz 1 diese Operation für diese Verarbeitung des elektronischen Münzdatensatzes einmal durchführen können muss. Die Anzahl„2“ zeigt dabei an, dass das Endgerät bzw. die Herausgeberinstanz 1 diese Operation zweimal für diese Verarbeitung des elektronischen Münzdatensatzes durchführen können muss.
Grundsätzlich kann in einer Ausgestaltung auch vorgesehen sein, dass eine Bereichsprüfung durch die Herausgeberinstanz 1 auch beim Erzeugen und/ oder Deaktivieren durchgeführt wird. In der nachfolgenden Tabelle 2 sind für die einzelnen Verarbeitungen die für die Überwachungsinstanz 2 benötigten Operationen aufgelistet:
Tabelle 2 - Anzahl von Operationen, die pro Verarbeitung eines Münzdatensatzes in der Überwachungsinstanz durchzuführen sind; Weitere Operationen, die hier nicht aufgeführt sind, werden benötigt; Anstelle der angeführten
Implementierung sind andere Umsetzungen denkbar, die andere Operationen implizieren
Alle Operationen der Tabelle 2 können in der Überwachungsinstanz 2 durchgeführt werden, die als vertrauenswürdige Instanz, beispielsweise als dezentraler Server, insbesondere Distributed- Trusted-Server, für eine ausreichende Integrität der elektronischen Münzdatensätze sorgt.
Die Tabelle 3 zeigt die für die Systemteilnehmer im Bezahlsystem der Fig. 1 bevorzugt zu installierenden Komponenten:
Tabelle 3— Bevorzugte Einheiten in den Systemkomponenten Tabelle 3 zeigt eine Übersicht über die bevorzugt zu verwendenden Komponenten in jedem Systemteilnehmer, also der Herausgeberinstanz 1, einem Endgerät Ml und der Überwachungsinstanz 2. Das Endgerät Ml kann als ein Wallet für elektronische Münzdatensätze, d.h. als elektronische Geldbörse, also ein Datenspeicher des Endgeräts, in dem eine Vielzahl von Münzdatensätzen hinterlegt sein können, ausgebildet sein und beispielsweise in Fonn einer Applikation auf einem Smartphone oder IT-System eines Händlers, einer Geschäftsbank oder eines anderen Marktteilnehmers implementiert sein und einen elektronischen Münzdatensatz senden oder empfangen. Somit sind die Komponenten in dem Endgerät, so wie sie in Tabelle 3 gezeigt sind, als Software implementiert. Es wird davon ausgegangen, dass die Überwachungsinstanz 2 auf einer DLT basiert und von einer Reihe vertrauenswürdiger Marktteilnehmer betrieben wird.
Fig. 2 zeigt ein Ausführungsbeispiel einer Überwachungsinstanz 2 der Fig. 1. In der Fig. 2 ist eine beispielhafte Datenbank in Form einer Tabelle dargestellt, in der die maskierten elektronischen Münzdatensätze Zi und ggf. - wie hier gezeigt - ihre Verarbeitungen registriert sind. In der einfachsten Ausgestaltung der Datenbank würden dagegen jeweils nur die aktuell gültigen maskierten Münzdatensätze Zi gespeichert sein. Die Überwachungsinstanz 2 ist bevorzugt lokal entfernt von den Endgeräten Ml bis M3 angeordnet und ist beispielsweise in einer Server- Architektur untergebracht.
Jede Verarbeitungs-Operation . für eine Verarbeitung (Erstellen, Deaktivieren, Aufteilen, Verbinden und Umschalten) wird dabei in der Überwachungsinstanz 2 registriert und dort in unveränderlicher Fonn an eine Liste vorheriger Verarbeitung-Operationen für maskierte elektronische Münzdatensätze Zi angehängt. Die einzelnen Operationen bzw. deren Prüfergebnis, also quasi die Zwischenergebnisse einer Verarbeitung, werden in der Überwachungsinstanz 2 festgehalten.
Die Verarbeitungen„Erstellen“ und„Deaktivieren“, die die Existenz des monetären Betrags ty an sich betreffen, also die Schaffung und die Vernichtung von Geld bedeuten, bedürfen einer zusätzlichen Genehmigung durch die Herausgeberinstanz 1, um in der Überwachungsinstanz 2 registriert (und protokolliert) zu werden. Die übrigen Verarbeitungsoperationen (Aufteilen, Verbinden, Umschalten) bedürfen keiner Autorisierung durch die Herausgeberinstanz 1 oder durch den Befehlsinitiator (= Zahler, bspw. das erste Endgerät Ml).
Eine Registrierung der jeweiligen Verarbeitung in der Überwachungsinstanz 2 wird beispielsweise durch entsprechende Listeneinträge in der Datenbank gemäß Fig. 2 realisiert. Jeder Listeneintrag hat dabei weitere Markierungen 25 bis 28, die die Zwischenergebnisse der jeweiligen Verarbeitung dokumentiert, die von der Überwachungsinstanz 2 durchgeführt werden müssen. Bevorzugt werden die Markierungen 25 bis 28 als Hilfestellung benutzt und nach Abschluss der Befehle von der Überprüfungsinstanz verworfen. Was bleibt sind dann nicht dargestellte Markierungen über die Gültigkeit der (maskierten) elektronischen Münzdatensätze aus den Spalten 22a, 22b, 23a und/oder 23b. Die Markierungen sind bei Eingehen eines Verarbeitung-Befehls beispielsweise im Zustand und werden nach erfolgreichem Absolvieren aller Prüfungen auf den Zustand„1“ gesetzt und bei mindestens einer gescheiterten Prüfung auf den Zustand„0“ gesetzt. Eine mögliche Struktur für einen Listeneintrag eines Münzdatensatzes umfasst beispielsweise zwei Spalten 22a, 22b für einen Vorgänger- Münzdatensatz (Ol, 02), zwei Spalten 23a, 23b für einen Nachfolger-Münzdatensatz (Sl, S2), eine Signatur-Spalte 24 für Herausgeberinstanz(en) 1 , und vier Markierungsspalten 25 bis 28. Jeder der Einträge in den Spalten 25 bis 28 weist drei alternative Zustände „1“ oder„0“ auf. Die Spalte 25 (O-Flag) zeigt an, ob eine Gültigkeitsprüfung bezüglich eines elektronischen Münzdatensatzes in Spalte 23a/b erfolgreich war. Der Zustand„1“ bedeutet, dass eine Validitäts- Prüfung ergab, dass der elektronische Münzdatensatz der Spalte 23a/b gültig ist und der Zustand „0“ anzeigt, dass eine Validitäts-Prüfung ergab, dass der elektronische Münzdatensatz der Spalte 23a/b ungültig und der Zustand anzeigt, dass eine Validitäts-Prüfung noch nicht abgeschlossen ist. Die Spalte 26 (C-Flag) zeigt an, ob die eine Berechnung zur Prüfung der Betragsneutralität der maskierten elektronischen Münzdatensätze erfolgreich war. Der Zustand „1“ bedeutet, dass eine Berechnung erfolgreich war und der Zustand„0“ gibt an, dass die Berechnung nicht erfolgreich war und der Zustand anzeigt, dass die Berechnung noch nicht abgeschlossen ist.
Die in Spalte 26 durchzuführende Berechnung lautet beispielsweise:
Die Spalte 27 (R-Flag) zeigt an, ob eine Prüfung der Bereichsnachweise oder des Bereichsnachweises erfolgreich war, wobei Zustand„1“ bedeutet, dass eine Validitäts-Prüfung ergab, dass die Bereichsnachweise oder der Bereichsnachweis nachzuvollziehen sind oder ist und der Zustand„0“ anzeigt, dass eine Validitäts-Prüfung ergab, dass die Bereichsnachweise oder der Bereichsnachweis nicht nachvollzogen werden konnten oder konnte und der Zustand„- “ anzeigt, dass eine Validitäts-Prüfung noch nicht abgeschlossen ist. Die Spalte 28 (S-Flag) zeigt die erfolgreiche Verifikation der Signatur an. Der Zustand„1“ bedeutet, dass eine Validitäts- Prüfung ergab, dass die Signatur als die der Herausgeberinstanz identifiziert werden konnte und der Zustand„0“ zeigt an, dass eine Validitäts-Prüfung ergab, dass die Signatur nicht als die der Herausgeberinstanz identifiziert werden konnte und der Zustand zeigt an, dass diese Validitäts-Prüfung noch nicht abgeschlossen ist. Eine Änderung des Status eines der Markierungen (auch als„Flag“ bezeichnet) bedarf der Genehmigung durch die Überwachungsinstanz 2 und muss sodann unveränderlich in der Überwachungsinstanz 2 gespeichert werden. Eine Verarbeitung ist endgültig, wenn und nur wenn die erforderlichen Markierungen 25 bis 28 durch die Überwachungsinstanz 2 validiert wurden, d.h. nach der entsprechenden Prüfung vom Zustand„0“ in den Zustand„1“ oder den Zustand„1“ gewechselt wurden.
Um festzustellen, ob ein maskierter elektronischer Münzdatensatz Z gültig ist, sucht die Überwachungsinstanz 2 in der vorliegenden Variante nach der letzten Änderung, die den maskierten elektronischen Münzdatensatz betrifft. Es gilt, dass der maskierte elektronische Münzdatensatz Z gültig ist, wenn und nur wenn der maskierte elektronische Münzdatensatz Z für seine letzte Verarbeitung in einer der Nachfolger- Spalten 23a, 23b aufgeführt ist und diese letzte Verarbeitung die entsprechende endgültige Markierung 25 bis 28 aufweist. Es gilt auch, dass der maskierte elektronische Münzdatensatz Z gültig ist, wenn und nur wenn der maskierte elektronische Münzdatensatz Z für seine letzte Verarbeitung in einer der Vorgänger-Spalten 22a, 22b aufgeführt ist und diese letzte Verarbeitung fehlgeschlagen ist, also zumindest einer der entsprechend geforderten Zustände der Markierungen 25 bis 28 auf„0“ gesetzt ist.
Es gilt zudem, dass der maskierte elektronische Münzdatensatz Z für alle übrigen Fälle nicht gültig ist, beispielsweise, wenn der maskierte elektronische Münzdatensatz Z nicht in der Überwachungsinstanz 2 gefunden wird; oder wenn die letzte Verarbeitung des maskierten elektronischen Münzdatensatzes Z in einer der Nachfolger- Spalten 23a, 23b aufgeführt ist, diese letzte Verarbeitung aber nie endgültig wurde; oder wenn die letzte Verarbeitung des maskierten elektronischen Münzdatensatzes Z in einer der Vorgänger-Spalten 22a, 22b ist und diese letzte Verarbeitung endgültig ist.
Die Prüfungen durch die Überwachungsinstanz 2, um zu prüfen, ob eine Verarbeitung endgültig ist, werden durch die Spalten 25 bis 28 abgebildet: Der Zustand in der Spalte 25 zeigt an, ob der/die maskierten elektronischen Münzdatensätze gemäß Vorgänger- Spalten 22a, 22b gültig sind. Der Zustand in der Spalte 26 gibt an, ob die Berechnung zur Betragsneutralität, beispielsweise gemäß Gleichung (10), stimmt. Der Zustand in der Spalte 27 gibt an, ob die Bereichsnachweise für die maskierten elektronischen Münzdatensätze Z erfolgreich geprüft werden konnten. Der Zustand in Spalte 28 zeigt an, ob die Signatur in der Spalte 24 des maskierten elektronischen Münzdatensatzes Z eine gültige Signatur der Herausgeberinstanz 1 ist.
Der Zustand„0“ in einer Spalte 25 bis 28 zeigt dabei an, dass die Prüfung nicht erfolgreich war. Der Zustand„1“ in einer Spalte 25 bis 28 zeigt dabei an, dass die Prüfung erfolgreich war. Der Zustand in einer Spalte 25 bis 28 zeigt dabei an, dass keine Prüfung erfolgt ist. Die Zustände können auch einen anderen Wert aufweisen, solange eindeutig zwischen Erfolg/Misserfolg einer Prüfung unterschieden werden kann und ersichtlich ist, ob eine bestimmte Prüfung durchgeführt wurde.
Beispielhaft sind fünf verschiedene Verarbeitungen definiert, die hier im Einzelnen erläutert werden. Dabei wird auf den entsprechenden Listeneintrag in Fig. 2 verwiesen.
Eine Verarbeitung ist beispielsweise„Erzeugen“ eines elektronischen Münzdatensatzes Ci. Das Erzeugen in der Direkttransaktionsschicht 3 durch die Herausgeberinstanz 1 beinhaltet das Wählen eines monetären Betrags vi und das Erstellen eines Verschleierungsbetrags n, wie mit Gleichung (1) bereits beschrieben wurde. Wie in Fig. 2 gezeigt, bedarf es bei der Verarbeitung „Erzeugen“ keiner Eintragungen/Markierungen in den Spalten 22a, 22b, 23b und 25 bis 27. ln der Nachfolger-Spalte 23a wird der maskierte elektronische Münzdatensatz Zi registriert. Diese Registrierung erfolgt bevorzugt vor dem Übertragen an ein Endgerät Ml bis M3, insbesondere oder bereits beim Generieren durch die Herausgeberinstanz 1, wobei in beiden Fällen dazu die Gleichung (3) ausgeführt werden muss. Der maskierte elektronische Münzdatensatz Zi ist beim Erstellen von der Herausgeberinstanz 1 signiert, diese Signatur ist in der Spalte 24 eingetragen, um sicherzustellen, dass der elektronische Münzdatensatz Ci tatsächlich von einer Herausgeberinstanz 1 erstellt wurde, wobei auch andere Verfahren dafür in Frage kommen. Stimmt die Signatur eines erhaltenen Zi mit der Signatur in Spalte 24 überein, so wird die Markierung in Spalte 28 gesetzt (von„0“ auf„1“).. Die Markierungen gemäß Spalte 25 bis 27 benötigen keine Statusänderung und können ignoriert werden. Der Bereichsnachweis wird nicht benötigt, da die Überwachungsinstanz 2 darauf vertraut, dass die Herausgeberinstanz 1 keine negativen monetären Beträge ausgibt. In einer alternativen Ausführung kann er aber von der Herausgeberinstanz 1 im Erstellen-Befehl mitgesendet werden und von der Überwachungsinstanz 2 geprüft werden.
Eine Verarbeitung ist beispielsweise„Deaktivieren“. Das Deaktivieren, also das Geldvemichten, bewirkt, dass der maskierte elektronische Münzdatensatz Z; nach erfolgreichem Ausfuhren des Deaktivieren-Befehls durch die Herausgeberinstanz 1 ungültig wird. Man kann also den zu deaktivierenden (maskierten) elektronischen Münzdatensatz in der Buchhaltungsschicht 4 also nicht mehr weiter verarbeiten. Um Verwirrung zu vermeiden, sollten die entsprechenden (unmaskierten) elektronische Münzdatensätze Ci auch in der Direkttransaktionsschicht 3 deaktiviert werden. Beim„Deaktivieren“ wird die Vorgängerspalte 22a mit dem elektronischen Münzdatensatz Zi beschrieben, aber keine Nachfolgerspalte 23a, 23b besetzt. Der maskierte elektronische Münzdatensatz Zi ist beim Deaktivieren daraufhin zu prüfen, ob die Signatur mit der Signatur gemäß Spalte 24 übereinstimmt, um sicherzustellen, dass der elektronische Münzdatensatz Ci tatsächlich von einer Herausgeberinstanz 1 erstellt wurde, wobei wieder andere Mittel für diese Prüfung verwendet werden können. Kann das signierte Zi, das im Deaktivieren-Befehl mitgesendet wird, als von der Herausgeberinstanz 1 signiert bestätigt werden, wird die Markierung 28 gesetzt (von„0“ auf„1“). Die Markierungen gemäß Spalte 26 bis 27 benötigen keine Statusänderung und können ignoriert werden. Die Markierungen gemäß Spalte 25 und 28 werden nach entsprechender Prüfung gesetzt.
Eine Verarbeitung ist beispielsweise „Aufteilen“. Das Aufteilen, also das Teilen eines elektronischen Münzdatensatzes Zi in zwei elektronische Münzteildatensätze Zj und Zk erfolgt zunächst in der Direkttransaktionsschicht 3, so wie es in Fig. 3 noch gezeigt wird, wobei die monetären Beträge Uj und des Verschleierungsbetrags rj generiert werden. Vk und rk ergeben sich über die Gleichungen (7) und (8). In der Überwachungsinstanz 2 werden die Markierungen 25 bis 27 gesetzt, die Vorgängerspalte 22a wird mit dem elektronischen Münzdatensatz Zi beschrieben, Nachfolgerspalte 23a wird mit Zj und Nachfolgerspalte 23b wird mit Zk beschrieben. Die gemäß Spalten 25 bis 27 benötigten Statusänderung erfolgen nach der entsprechenden Prüfung durch die Überwachungsinstanz 2 und dokumentieren das jeweilige Prüfungsergebnis. Die Markierung gemäß Spalte 28 wird ignoriert.
Eine Verarbeitung ist beispielsweise„Verbinden“. Das Verbinden, also das Zusammenfügen zweier elektronischer Münzdatensätze Zi und Zj zu einem elektronischen Münzdatensatz Zm erfolgt zunächst in der Direkttransaktionsschicht 3, so wie es in Fig. 4 noch gezeigt wird, wobei der monetäre Betrag vm und . der Verschleierungsbetrag rm berechnet werden. In der Überwachungsinstanz 2 werden die Markierungen 25 bis 27 gesetzt, die Vorgängerspalte 22a wird mit dem elektronischen Münzdatensatz Zi beschrieben, Vorgängerspalte 22b wird mit Zj und Nachfolgerspalte 23b wird mit Zm beschrieben. Die Markierungen in den Spalten 25 bis 27 benötigen Statusänderungen und die Überwachungsinstanz 2 führt die entsprechenden Prüfungen durch. Ein Bereichsnachweis muss erbracht werden, um zu zeigen, dass kein neues Geld generiert wurde. Die Markierung gemäß Spalte 28 wird ignoriert.
Eine Verarbeitung ist beispielsweise„Umschalten“. Das Umschalten ist dann nötig, wenn ein elektronischer Münzdatensatz auf ein anderes Endgerät übertragen wurde und ein erneutes Ausgeben durch das übertragende Endgerät (hier Ml) ausgeschlossen werden soll. Beim Umschalten, auch„switch“ genannt, wird der vom ersten Endgerät Ml erhaltene elektronische Münzdatensatz Ck gegen einen neuen elektronischen Münzdatensatz Ci mit gleichem monetärem Betrag ausgetauscht. Der neue elektronische Münzdatensatz Ci wird vom zweiten Endgerät M2 generiert. Dieses Umschalten ist notwendig, um die vom ersten Endgerät Ml erhaltenen elektronischen Münzdatensatz Ck zu invalidieren (ungültig machen), wodurch ein erneutes Ausgeben des gleichen elektronischen Münzdatensatzes Ck vermieden wird. Denn, solange der elektronische Münzdatensatz Ck nicht umgeschaltet ist, kann - da das erste Endgerät Ml in Kenntnis des elektronischen Münzdatensatzes Ck ist - das erste Endgerät Ml diesen elektronischen Münzdatensatz Ck an ein drittes Endgerät M3 weitergeben. Das Umschalten erfolgt beispielsweise durch Hinzufügen eines neuen Verschleierungsbetrags radd zum Verschleierungsbetrag rk des erhaltenen elektronischen Münzdatensatz Ck, wodurch ein Verschleierungsbetrag n erhalten wird, die nur das zweite Endgerät M2 kennt. Dies kann auch in der Überwachungsinstanz 2 erfolgen. Um zu beweisen, dass nur einen neuen Verschleierungsbetrag radd zum Verschleierungsbetrag rk des maskierten erhaltenen elektronischen Münzdatensatzes Zk hinzugefügt wurde, der monetäre Betrag aber gleichgeblieben ist, und also Gleichung (11):
Vk = VI (11) gilt, so muss das zweite Endgerät M2 nachweisen können, dass sich Z1-Zk als skalares Vielfaches von G also als radd*G darstellen lässt. Das heißt, dass nur ein Verschleierungsbetrag radd erzeugt wurde und der monetäre Betrag von Z1 gleich dem monetären Betrag von Zk ist, also Zi=Zk+ radd*G. Dies erfolgt durch das Erzeugen einer Signatur mit dem öffentlichen Schlüssel Zi- Zk=radd*G.
In Fig. 3 ist ein Ausführungsbeispiel eines Bezahlsystems gemäß der Erfindung zum Aufteilen und Umschalten von elektronischen Münzdatensätzen gezeigt. In Fig. 3 hat das erste Endgerät Ml den Münzdatensatz Ci erhalten und möchte . nun eine Bezahl transaktion nicht mit dem gesamten monetären Betrag Ui, sondern nur mit einem Teil Vk davon durchfuhren. Dazu wird der Münzdatensatz Ci aufgeteilt. Dazu wird zunächst der monetäre Betrag geteilt:
Vi = Vj + Vk (12)
Dabei muss jeder der erhaltenen Beträge nj, vk, größer 0 sein, denn negative monetäre Beträge sind nicht zulässig. Zudem werden neue Verschleierungsbeträge abgeleitet: ri- = rj + rk (13)
Dann werden die maskierten Münzdatensätze Zj und Zk gemäß Gleichung (3) aus den Münzdatensätzen Cj und Ck erhalten und in der Überwachungsinstanz 2 registriert. Für das Aufteilen werden die Vorgängerspalte 22a mit dem Münzdatensatz Zi, die Nachfolgerspalte 23a mit Zj und die Nachfolgerspalte 23b mit Zk beschrieben. Die Markierungen in den Spalten 25 bis 27 benötigen Statusänderung und die Überwachungsinstanz 2 führt die entsprechenden Prüfungen durch. Die Markierung gemäß Spalte 28 wird ignoriert. Dann wird ein Münzdatensatz, hier Ck vom ersten Endgerät Ml and das zweite Endgerät M2 übertragen. Um ein doppeltes Ausgeben zu verhindern, ist eine Umschalt-Operation sinnvoll, um den vom ersten Endgerät Ml erhaltenen elektronischen Münzdatensatz Ck gegen einen neuen elektronischen Münzdatensatz Ci mit gleichem monetären Betrag auszutauschen. Der neue elektronische Münzdatensatz Ci wird vom zweiten Endgerät M2 generiert. Dabei wird der monetäre Betrag des Münzdatensatzes Ci übernommen und nicht verändert, siehe Gleichung (11). Dann wird gemäß Gleichung (14) ein neuer Verschleierungsbetrag radd zum Verschleierungsbetrag rk des erhaltenen elektronischen Münzdatensatz Ck hinzugefügt,
wodurch ein Verschleierungsbetrag n erhalten wird, die nur das zweite Endgerät M2 kennt. Um zu beweisen, dass nur ein neuer Verschleierungsbetrag radd zum Verschleierungsbetrag rk des erhaltenen elektronischen Münzdatensatz Zk hinzugefügt wurde, der monetäre Betrag aber gleichgeblieben ist (vk = v1 ), muss das zweite Endgerät M2 nachweisen können, dass sich Z1-Zk als Vielfaches von G darstellen lässt. Dies erfolgt mittels öffentlicher Signatur Radd gemäß Gleichung (15):
wobei G der Generatorpunkt der ECC ist. Dann wird der umzuschaltende Münzdatensatz Ci maskiert mittels der Gleichung (3), um den maskierten Münzdatensatz Zi zu erhalten. In der Überwachungsinstanz 2 kann dann die private Signatur radd genutzt werden um beispielsweise den maskierten umzuschaltenden elektronischen Münzdatensatz Zi zu signieren,, was als Beweis gilt, dass das zweite Endgerät M2 nur ein Verschleierungsbetrag radd zum maskierten elektronischen Münzdatensatz hinzugefügt hat und keinen zusätzlichen monetären Wert, d.h. vi = Vk.
Der Beweis lautet wie folgt:
Fig. 4 zeigt ein Ausführungsbeispiel eines Bezahlsystems gemäß der Erfindung zum Verbinden von elektronischen Münzdatensätzen. Dabei werden im zweiten Endgerät M2 die beiden Münzdatensätze Ci und Cj erhalten. In Anlehnung an das Aufteilen gemäß Fig. 3 wird nun ein neuer Münzdatensatz Zm erhalten, indem sowohl die monetären Beträge als auch der Verschleierungsbetrag der beiden Münzdatensätze Ci und Cj addiert werden. Dann wird der erhaltene zu verbindende Münzdatensatz Cm maskiert und der maskierte Münzdatensatz Zm wird in der Überwachungsinstanz registriert.
In den Figuren 3 und 4 wird wiederum die Variante einer Datenbank der Überwachungsinstanz 2 dargestellt, die eine Liste von Verarbeitungen der maskierten Münzdatensätze enthält. Andere Varianten einer Datenbank, beispielsweise maskierte Münzdatensätze mit Status oder nur gültige maskierte Münzdatensätze, sind ebenso - wie zu Fig. 2 bereits erwähnt - einsetzbar.
In Fig. 5 bis 7 ist jeweils ein Ausführungsbeispiel eines Verfahrensablaufdiagramms eines erfindungsgemäßen Verfahrens 100. Nachfolgend werden die beiden Figuren 5 und 6 gemeinsam erläutert.
Die Schritte 101 bis 104 sind optional für das weitere Verfahren und werden am Beispiel des Endgerätes Ml beschrieben. In den optionalen Schritten 101 und 102 wird ein Münzdatensatz angefragt und seitens der Herausgeberinstanz 1 - hier dem ersten Endgerät Ml - nach Erstellen des elektronischen Münzdatensatzes bereitgestellt. Ein signierter maskierter elektronischer Münzdatensatz wird im Schritt 103 an die Überwachungsinstanz 2 gesendet. In Schritt 103 erfolgt ein Maskieren des erhaltenen elektronischen Münzdatensatzes Ci gemäß der Gleichung (3) und wie in Fig. 1 erläutert. Dann wird im Schritt 104. der maskierte elektronische Münzdatensatz Zi in der Überwachungsinstanz 2 registriert. Es könnte vorgesehen werden, dass maskierte elektronische Münzdatensätze in der Überwachungsinstanz erst gültig sind, wenn sie von einem Teilnehmer, wie Endgerät oder Server, registriert werden. Alternativ kann - wie zu Fig. 1 erläutert - der maskierte elektronische Münzdatensatz Zi in der Überwachungsinstanz 2 bereits nach Schritt 102 als gültiger maskierter elektronischer Münzdatensatz registriert sein. Optional kann das Endgerät Ml den erhaltenen elektronischen Münzdatensatz mit Schritt 104 umschalten, wie es jedoch näher erst zu Schritt 108 beschrieben wird.
In Schritt 105 erfolgt das Übertragen des Münzdatensatzes Ci in der Direkttransaktionsschicht 3 an das zweite Endgerät M2. In den optionalen Schritten 106 und 107 erfolgt eine Validitätsprüfung mit vorheriger Maskierung, bei der im Gutfall die Überwachungsinstanz 2 die Gültigkeit des Münzdatensatzes Z; bzw. Ci bestätigt wird.
In Schritt 108 erfolgt das Umschalten eines erhaltenen Münzdatensatzes Ck (es könnte natürlich auch der erhaltene Münzdatensatz Ci umgeschaltet werden) auf einen neuen Münzdatensatz Ci, wodurch der Münzdatensatz Ck ungültig wird und ein Doppeltausgeben verhindert wird. Dazu wird der monetäre Betrag Ok des übertragenen Münzdatensatzes Ck als„neuer“ monetärer Betrag DI verwendet. Zudem wird, wie bereits mit Gleichungen (14) bis (17) erläutert, der Verschleierungsbetrag n erstellt. Der zusätzliche Verschleierungsbetrag radd wird verwendet, um zu beweisen, dass kein neues Geld (in Form eines höheren monetären Betrags) von dem zweiten Endgerät M2 generiert wurde. Dann wird unter anderem der maskierte umzuschaltende Münzdatensatz Zi an die Überwachungsinstanz 2 gesendet und das Umschalten von Ck auf Ci beauftragt.
Im Schritt 108‘ erfolgt die entsprechende Prüfung in der Überwachungsinstanz 2. Dabei wird Zk in die Spalte 22a gemäß Tabelle in Fig. 2 eingetragen und in Spalte 23b der umzuschreibende Münzdatensatz Zi. Es erfolgt sodann eine Prüfung in der Überwachungsinstanz 2, ob Zk (noch) gültig ist, also ob die letzte Verarbeitung von Zk in einer der Spalten 23a/b eingetragen ist (als Beweis dafür, dass Zk nicht weiter aufgeteilt oder deaktiviert oder verbunden wurde) und ob eine Prüfung für die letzte Verarbeitung fehlgeschlagen ist. Zudem wird Zi in die Spalte 23b eingetragen und die Markierungen in den Spalten 25, 26, 27 werden zunächst auf„0“ gesetzt. Nun erfolgt eine Prüfung, ob Zi gültig ist, wobei dabei die Prüfung gemäß Gleichungen (16) und (17) verwendet werden können. Im Gutfall wird die Markierung in Spalte 25 auf„1“ gesetzt, ansonsten auf„0“. Nun erfolgt eine Prüfung, die Berechnung gemäß Gleichung (10) ergibt, dass Zk und Zi gültig sind und entsprechend wird die Markierung in Spalte 26 gesetzt. Weiterhin wird geprüft, ob die Bereiche schlüssig sind, sodann wird die Markierung in Spalte 27 gesetzt. Wenn alle drei Prüfungen erfolgreich waren, und dies entsprechend unveränderlich in der Überwachungsinstanz 2 festgehalten wurde, gilt der Münzdatensatz als umgeschaltet. D.h. der Münzdatensatz Ck ist nicht mehr gültig und ab sofort ist der Münzdatensatz Ci gültig. Ein Doppeltausgeben ist nicht mehr möglich, wenn ein drittes Endgerät M3 die Validität des (doppelt ausgegebenen) Münzdatensatz an der Überwachungsinstanz 2 erfragt.
In der Regel werden - abweichend von der Darstellung in Figur 5 - die von der Herausgeberinstanz erstellten elektronischen Münzdatensätze Ci an eine Instanz (wie Server, Rechner ...) einer Geschäftsbank übertragen (ausgegeben). Die (Server-)Instanz der Geschäftsbank stellt die elektronischen Münzdatensätze für Endgeräte bereit. Das Endgerät Ml fordert und erhält dann in den Schritten 101 und 102 den elektronischen Münzdatensatz von der Instanz der Geschäftsbank. Insbesondere wenn das Endgerät Ml den elektronischen Münzdatensatz Ci von einem Server einer Geschäftsbank anfordert und erhält, ist ein Umschalten bereits in Schritt 104 sinnvoll.
Im Schritt 109 erfolgt ein Verbinden von zwei Münzdatensätzen Ck und Ci auf einen neuen Münzdatensatz Cm, wodurch die Münzdatensätze Ck, Ci ungültig werden und ein Doppeltausgeben verhindert wird. Dazu wird der monetäre Betrag vm aus den beiden monetären Beträgen vk und vi gebildet. Dazu wird der Verschleierungsbetrag rm aus den beiden Verschleierungsbeträgen rk und gebildet. Zudem wird mittels Gleichung (3) der maskierte zu verbindende Münzdatensatz erhalten und dieser (mit anderen Informationen zusammen) an die Überwachungsinstanz 2 gesendet und das Verbinden als Verarbeitung erbeten.
Im Schritt 109‘ erfolgt die entsprechende Prüfung in der Überwachungsinstanz 2. Dabei wird Zm in die Spalte 23b gemäß Tabelle in Fig. 2 eingetragen. Es erfolgt sodann eine Prüfung in der Überwachungsinstanz 2, ob Zk und Zi (noch) gültig sind, also ob die letzte Verarbeitung von Zk oder Zi in einer der Spalten 23a/b eingetragen ist (als Beweis dafür, dass Zk und Zi nicht weiter aufgeteilt oder deaktiviert oder verbunden wurden) und ob eine Prüfung für die letzte Verarbeitung fehlgeschlagen ist. Zudem werden die Markierungen in den Spalten 25, 26, 27 zunächst auf„0“ gesetzt. Nun erfolgt eine Prüfung, ob Zm gültig ist, wobei dabei die Prüfung gemäß Gleichungen (16) und (17) verwendet werden können. Im Gutfall wird die Markierung in Spalte 25 auf„1“ gesetzt, ansonsten auf„0“. Nun erfolgt eine Prüfung, die Berechnung gemäß Gleichung (10) ergibt, dass Zi plus Zk gleich Zm ist und entsprechend wird die Markierung in Spalte 26 gesetzt. Weiterhin wird geprüft, ob die Bereiche schlüssig sind, sodann wird die Markierung in Spalte 27 gesetzt.
Im Schritt 110 erfolgt ein Aufteilen eines Münzdatensatz Ci in zwei Münzteildatensätzen Ck und Cj, wodurch der Münzdatensatz Ci ungültig gemacht wird und die beiden geteilten Münzteildatensätze gültig gemacht werden sollen. Dazu wird der monetäre Betrag vi in die beiden monetären Beträge vk und vj aufgeteilt. Dazu wird der Verschleierungsbetrag ri in die beiden Verschleierungsbeträge rk und rj aufgeteilt. Zudem werden mittels Gleichung (3) die maskierten Münzteildatensätze Zk und Zj erhalten und diese mit weiteren Informationen, beispielsweise den Bereichsprüfungen, an die Überwachungsinstanz 2 gesendet und das Aufteilen als Verarbeitung erbeten.
Im Schritt 110‘ erfolgt die entsprechende Prüfung in der Überwachungsinstanz 2. Dabei werden Zj und Zk in die Spalten 23a/b gemäß Tabelle in Fig. 2 eingetragen. Es erfolgt sodann eine Prüfung in der Überwachungsinstanz 2, ob Zi (noch) gültig ist, also ob die letzte Verarbeitung von Zi in einer der Spalten 23a/b eingetragen ist (als Beweis dafür, dass Z; nicht weiter aufgeteilt oder deaktiviert oder verbunden wurde) und ob eine Prüfung für die letzte Verarbeitung fehlgeschlagen ist. Zudem werden die Markierungen in den Spalten 25, 26, 27 zunächst auf„0“ gesetzt. Nun erfolgt eine Prüfung, ob Zj und Zk gültig sind, wobei dabei die Prüfung gemäß Gleichungen (16) und (17) verwendet werden können. Im Gutfall wird die Markierung in Spalte 25 auf„1“ gesetzt. Nun erfolgt eine Prüfung, die Berechnung gemäß Gleichung (10) ergibt, dass Zi gleich Zk plus Zj ist und entsprechend wird die Markierung in Spalte 26 gesetzt. Weiterhin wird geprüft, ob die Bereiche schlüssig sind, sodann wird die Markierung in Spalte 27 gesetzt. Fig. 7 zeigt im Überblick noch einmal die Verfahrensschritte 101- 110‘ in einem Ablauf. Aus der Sicht des zweiten Endgerätes M2 wird ein elektronischer Münzdatensatz empfangen 105, der von dem Endgerät Ml registriert wurde 104. Mit diesem elektronischen Münzdatensatz wird ein weiterer (modifizierter) elektronischer Münzdatensatz für ein Umschalten, Verbinden oder Aufteilen erzeugt und maskiert 108-110. Die entsprechende Registrierungsanforderung wird an die Überwachungsinstanz gesendet, welche diese empfängt und verarbeitet 108‘-110‘. Ausgestaltungen für diese Schritte und für die gestrichelt dargestellten in den verschiedenen Varianten optionalen Schritte sind bereits hinreichend beschrieben. Im Rahmen der Erfindung können alle beschriebenen und/oder gezeichneten und/oder beanspruchten Elemente beliebig miteinander kombiniert werden.
BEZUGSZEICHENLISTE

Claims

PATENTANSPRÜCHE
1. Verfahren (100) zum direkten Übertragen eines elektronischen Münzdatensatzes (Ci, Cj,
Ck, Cm, Ci) zwischen einem ersten und einem zweiten Endgerät (Ml, M2), mit den Schritten durch das zweite Endgerät (M2):
- Empfangen des elektronischen Münzdatensatzes (Ci; Cj; Ck) von dem ersten Endgerät (Ml), wobei der zumindest eine elektronische Münzdatensatz (Ci; Cj; Ck) einen monetären Betrag (vi, vj, vk ) und einen Verschleierungsbetrag (ri, rj, rk) aufweist;
- Erzeugen eines modifizierten elektronischen Münzdatensatzes (Cj, Ck; Cm; C1) unter Verwendung des empfangenen elektronischen Münzdatensatzes (Ci; Ci , Cj; Ck);
- Maskieren des modifizierten elektronischen Münzdatensatzes (Cj, Ck; Cm; Ci) durch
Anwenden einer homomorphen Einwegfunktion (f(C)) auf den modifizierten
elektronischen Münzdatensatz (Cj, Ck; Cm; Ci) zum Erhalten eines maskierten, modifizierten elektronischen Münzdatensatzes (Zj, Zk; Zm; Zi); und
- Senden einer Registrierungsanforderung für den maskierten modifizierten elektronischen Münzdatensatzes (Zj, Zk; Zm; Zi) an eine Überwachungsinstanz (2).
2. Verfahren (100) nach Anspruch 1, wobei die Registrierungsanforderung als zu
registrierenden maskierten elektronischen Münzdatensatz den maskierten modifizierten elektronischen Münzdatensatz (Zj, Zk; Zm; Zi) und als registrierten maskierten elektronischen Münzdatensatz einen maskierten empfangenen elektronischen Münzdatensatz (Zi *, Zj *, Zk *) für den empfangenen elektronischen Münzdatensatz (Ci; Cj; Ck) umfasst, und insbesondere ein Registrierungsanforderung für ein Umschalten, Aufteilen oder Verbinden maskierter
elektronischer Münzdatensätze ist.
3. Verfahren (100) nach Anspruch 1 oder 2, wobei in dem Schritt des Erzeugens
- aus dem empfangenen elektronischen Münzdatensatz ( Ci; Ci , Cj; Ck) der umzuschaltende modifizierte elektronische Münzdatensatz (Cj, Ck; Cm; Ci) erzeugt wird, oder
- der empfangene elektronischen Münzdatensatz (Ci) in zumindest zwei aufgeteilte modifizierte elektronische Münzdatensätze (Cj; Ck) aufgeteilt wird, oder
- der empfangene elektronischen Münzdatensatz (Ci) als erster elektronischer Münzdatensatz und zumindest ein zweiter elektronischen Münzdatensatz (Cj) zu dem verbundenen, modifizierten elektronischen Münzdatensatzes (Cm) verbunden werden; und
die Registrierungsanforderung insbesondere entsprechend umfasst:
- genau einen zu registrierenden maskierten elektronischen Münzdatensatz und genau einen registrierten maskierten elektronischen Münzdatensatz, oder
- zumindest zwei zu registrierende maskierte aufgeteilte modifizierte elektronische
Münzdatensätze, oder
- zumindest zwei registrierte maskierte elektronische Münzdatensätze.
4. Verfahren (100) nach einem der Ansprüche 1 bis 3, wobei im Schritt des Erzeugens:
- der empfangene elektronische Münzdatensatz (Ck*) in den modifizierten elektronischen Münzdatensatz (C1) umgeschaltet wird, wobei
o ein Verschleierungsbetrag (n) für den modifizierten elektronischen Münzdatensatz (C1) unter Verwendung eines empfangenen Verschleierungsbetrags (rk *) des empfangenen elektronischen Münzdatensatzes (Ck *) erzeugt wird, und
o der empfangene monetäre Betrag (nk *) des empfangenen elektronischen
Münzdatensatzes (Ck *) als ein monetärer Betrag (ui) für den modifizierten
elektronischen Münzdatensatz (Ci) verwendet wird; oder
- der empfangene elektronische Münzdatensatz (Ci *) in zumindest zwei elektronische
Münzteildatensätze (Cj, Ck) aufgeteilt wird, wobei
o der empfangene monetäre Betrag der Summe der monetären Beträgen (nj, vk) der zumindest zwei elektronischen Münzteildatensätze (Cj, Ck) entspricht, und
o insbesondere die Summe der Verschleierungsbeträge (rj rk) der zumindest zwei elektronischen Münzteildatensätze (Cj, Ck) dem Verschleierungsbetrag (r,*) des empfangenen elektronischen Münzdatensatz (Ci *) entspricht; oder
- der empfangene elektronische Münzdatensatz (Ci *) als erster elektronischer Münzdatensatz und zumindest ein zweiter elektronischen Münzdatensatz (Ci; Cj) zu dem modifizierten, verbundenen elektronischen Münzdatensatzes (Cm) verbunden werden, durch
o Berechnen eines Verschleierungsbetrags (rm) für den modifizierten elektronischen
Münzdatensatz (Cm) durch Bilden der Summe aus den jeweiligen
Verschleierungsbeträgen (n*, rj *) des ersten und des zweiten elektronischen
Münzdatensatzes, und
o Berechnen des monetären Betrags (vm) für den modifizierten elektronischen
Münzdatensatz (Cm) durch Bilden der Summe aus den jeweiligen monetären Beträgen (vi *, vj* ) des ersten und des zweiten elektronischen Münzdatensatzes (Ci *; Cj *).
5. Verfahren (100) nach einem der Ansprüche 1 bis 4, mit Maskieren (106) des empfangenen elektronischen Münzdatensatzes (Ci *, Cj *, Ck *, Ci *, Cm *) durch Anwenden der homomorphen Einwegfunktion (f(C)) auf den empfangenen elektronischen Münzdatensatz (Ci *, Cj *, Ck *, Ci *, Cm *) zum Erhalten des maskierten empfangenen elektronischen Münzdatensatzes (Z *, Zj *, Zk *, Z1*, Zm*).
6. Verfahren (100) nach einem der Ansprüche 1 bis 5, wobei die Überwachungsinstanz (2) gültige, maskierte elektronische Münzdatensatze (Zi, Zk; Zk) für elektronische Münzdatensätze (Ci; Cj; Ck) speichert, so dass das zweite Endgerät die Validität eines empfangenen
elektronischen Münzdatensatzes (Ci *, Cj *, Ck *, C1 *, Cm *) prüfen kann, indem es den maskierten empfangenen elektronischen Münzdatensatz (Zi *, Zj *, Zk *, Z1, Zm *) an die Überwachungsinstanz (2) sendet.
7. Verfahren (100) nach einem der vorhergehenden Ansprüche, weiterhin umfassend einen Schritt des Erstellens eines Nachweises, dass der monetäre Betrag (vi *, Vj*, Vk*) des empfangenen elektronischen Münzdatensatzes (Ci *, Cj*, Ck *, Ci *, Cm *) gleich dem monetären Betrags (vi) des umzuschaltenden elektronischen Münzdatensatzes ist.
8. Verfahren in einer Überwachungsinstanz (2), welche gültige, maskierte elektronische Münzdatensatze (Zi, Zk; Zk) speichert, die durch Anwenden einer homomorphen Einwegfunktion (f(C)) auf einen elektronischen Münzdatensatz (Ci; Cj; Ck) gebildet sind, wobei elektronische Münzdatensätze (Ci; Cj; Ck) einen monetären Betrag (vi, vj, nk) und einen Verschleierungsbetrag (ri, rj, rk) aufweisen, mit den Schritten:
- Empfangen einer Registrierungsanforderung, welche zumindest einen zu registrierenden maskierten elektronischen Münzdatensatz (Zj, Zk; Zm; Zi) und zumindest einen registrierten maskierten elektronischen Münzdatensatz (Zi, Zj; Zk) umfasst;
- Prüfen der empfangenen Registrierungsanforderung, wobei
o geprüft wird ob der registrierte maskierte elektronischen Münzdatensatz (Zi, Zj; Zk) der Registrierungsanforderung als gültiger maskierter elektronischer Münzdatensatz (Zi, Zk; Zk) in der Überwachungsinstanz gespeichert ist, und
o geprüft wird ob die maskierten elektronischen Münzdatensätze (Zj, Zk; Zm; Zi) der Registrierungsanforderung insgesamt monetär betragsneutral sind;
- Speichern des zu registrierenden maskierten elektronischen Münzdatensatzes als gültiger maskierter elektronischer Münzdatensatz, wobei der bisher als gültig gespeicherte registrierte maskierte elektronische Münzdatensatz der Registrierungsanforderung nicht mehr gültig ist.
9. Verfahren nach Anspruch 8, wobei das Prüfen der monetären Betragsneutralität der Registrierungsanforderung - aufgrund der verwendeten homomorphen Einwegfunktion - betragsanonym mittels Differenzbildung aus den maskierten elektronischen Münzdatensätze erfolgt.
10. Verfahren nach Anspruch 8 oder 9, wobei die Überwachungsinstanz (2) von einer Herausgeberinstanz (1) Erstellungs- und/oder Deaktivierungsanforderungen empfängt, insbesondere respektive für einen von der Herausgeberinstanz (1) neu herausgegebenen elektronischen Münzdatensatz (Ci) bzw. einen von der Herausgeberinstanz (1)
zurückgenommenen elektronischen Münzdatensatz (Ci).
11. Y erfahren (100) nach Anspruch 10, wobei die Erstellungs- und/oder
Deaktivierungsanforderung für einen maskierten elektronischen Münzdatensatz (Zf) eine
Signatur ([ZJSigi) des Herausgebers über den maskierten elektronischen Münzdatensatz (Zi) umfasst, wobei vorzugsweise die Signatur ([ZJSigr) des maskierten, neu erstellten
elektronischen Münzdatensatzes (Zi) in der Überwachungsinstanz (2) hinterlegt wird.
12. Verfahren (100) nach einem der vorhergehenden Ansprüche, wobei ein elektronischer Münzdatensatz (Ci) durch Markieren oder Löschen des entsprechenden maskierten
elektronischen Münzdatensatzes (Zi) in der Überwachungsinstanz (2) ungültig wird, wobei vorzugsweise auch der entsprechende maskierte elektronische Münzdatensatzes (Zi) oder der entsprechende elektronische Münzdatensatz (Ci) in der Herausgeberinstanz (1) deaktiviert wird.
13. Verfahren (100) nach einem der vorhergehenden Ansprüche, wobei die
Überwachungsinstanz (2) eine dezentral gesteuerte Datenbank, englisch Distributed Ledger Technology, DLT, ist, in der die maskierten elektronischen Münzdatensätze (Zi, Zj, Zk, Zm, Zi) mit entsprechenden Verarbeitungsinformationen des maskierten elektronischen Münzdatensatzes (Zi, Zj, Zk, Zm, Zi) registriert sind.
14. Bezahlsystem zum Austausch von monetären Beträgen, in welchem ein Verfahren nach einem der vorhergehenden Ansprüche 1 bis 13 ausgeführt wird, wobei das Bezahlsystem umfasst:
- eine Überwachungsschicht (4) mit einer Datenbank, die vorzugsweise dezentral gesteuert ist, in der gültige maskierte elektronische Münzdatensätze (Zi) für elektronische Münzdatensätze (Ci) abgelegt sind; und
- eine Direkttransaktionsschicht (3) mit zumindest zwei Endgeräten (Ml, M2, M3), welche elektronische Münzdatensätze (Ci) austauschen.
15. Währungssystem, umfassend eine Herausgeberinstanz (1), eine Überwachungsinstanz (2), ein erstes Endgerät (Ml) und ein zweites Endgerät (M2, M3), wobei die Herausgeberinstanz ausgebildet ist, einen elektronischen Münzdatensatz (Ci) zu erstellen, wobei die Überwachungsinstanz (2) zum Ausfuhren eines Verfahrens nach einem der Ansprüche 8 bis 14 ausgebildet ist und/oder das erste und zweite Endgerät (Ml, M2, M3) zum Durchführen eines Verfahrens nach einem der Ansprüche 1 bis 7 ausgebildet sind.
16. Währungssystem nach Anspruch 15, wobei ausschließlich die Herausgeberinstanz (1) berechtigt ist, einen neu auszugebenden elektronischen Münzdatensatz (Ci) zu erstellen, wobei die Herausgeberinstanz (1) vorzugsweise einen maskierten erstellten elektronischen Münzdatensatz (Zi) mit einer Signatur ([Zi]Sigi) versieht und der Überwachungsinstanz (2) den maskierten erstellten elektronischen Münzdatensatz (Zi) und die Signatur ([ZiJSigi) sendet.
17. Währungssystem nach Anspruch 15 oder 16, wobei die Überwachungsinstanz (2) für maskierte elektronische Münzdatensätze Erstellungs- und/oder Deaktivierungsanforderungen der Herausgeberinstanz (1) und Registrierungsanforderungen für maskierte modifizierte elektronische Münzdatensätze anderer Instanzen, wie der beiden Endgeräte, ausführt.
18. Währungssystem nach einem der Ansprüche 15 bis 17, wobei das Währungssystem weitere Münzbesitzerinstanzen, insbesondere Serverinstanzen, umfasst, welche elektronische Münzdatensätze (Ci) direkt übertragen, insbesondere untereinander oder von/zu Endgeräten, und welche für maskierte modifizierte elektronische Münzdatensätze (Zi) Registrierungsanforderungen an die Überwachungsinstanz (2) senden.
19. Währungssystem nach einem der Ansprüche 15 bis 18, wobei Schritte durch das zweite Endgerät ausgeführt werden, indem die Schritte in dem Endgerät ausgeführt werden oder indem das Endgerät einen Endgerätedienst aufruft, welcher insbesondere die Schritte des Erzeugen, Maskieren und/oder Senden für das Endgerät ausführt.
20. Währungssystem nach einem der Ansprüche 15 bis 19, wobei in der Überprüfüngsinstanz (2) der maskierte elektronische Münzdatensatz (Zj, Zk, Zm, Zi) als gültig erkannt wird, wenn der maskierte elektronische Münzdatensatz (Zj, Zk, Zm, Zi) oder dessen Vorgänger von der Herausgeberinstanz (1) stammt, wobei insbesondere die Herausgeber-Signatur ([ZiJSigi) erstellter maskierter elektronischer Münzdatensätze in der Überwachungsinstanz (2) hinterlegt ist.
21. Währungssystem nach einen der Ansprüche 15 bis 20, wobei die Überprüfungsinstanz (2) und die Herausgeberinstanz (1) als Serverinstanz, insbesondere als Computerprogrammprodukt auf einem Server und / oder einem Computer implementiert sind.
22. Währungssystem nach einem der Ansprüche 15 bis 21, wobei das erste und/ oder zweite Endgerät (Ml, M2, M3) als mobiles Endgerät, insbesondere als ein Smartphone, ein Tablet- Computer, ein Computer, eine Maschine, und/ oder als passives Endgerät, insbesondere Smart Card oder als Wearable, ausgebildet sind.
EP20719977.9A 2019-04-15 2020-04-14 Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten sowie bezahlsystem Pending EP3956846A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102019002732.9A DE102019002732A1 (de) 2019-04-15 2019-04-15 Verfahren zum direkten Übertragen von elektronischen Münzdatensätzen zwischen Endgeräten sowie Bezahlsystem
PCT/EP2020/060446 WO2020212337A1 (de) 2019-04-15 2020-04-14 Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten sowie bezahlsystem

Publications (1)

Publication Number Publication Date
EP3956846A1 true EP3956846A1 (de) 2022-02-23

Family

ID=70295107

Family Applications (1)

Application Number Title Priority Date Filing Date
EP20719977.9A Pending EP3956846A1 (de) 2019-04-15 2020-04-14 Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten sowie bezahlsystem

Country Status (5)

Country Link
US (1) US20220215355A1 (de)
EP (1) EP3956846A1 (de)
CN (1) CN113994357B (de)
DE (1) DE102019002732A1 (de)
WO (1) WO2020212337A1 (de)

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102019006799A1 (de) 2019-09-30 2021-04-01 Giesecke+Devrient Gesellschaft mit beschränkter Haftung Karte und verfahren zur herstellung der karte
DE102020104905A1 (de) * 2020-02-25 2021-08-26 Giesecke+Devrient Gesellschaft mit beschränkter Haftung Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten, bezahlsystem, währungssystem und überwachungsinstanz
DE102020104906A1 (de) * 2020-02-25 2021-08-26 Giesecke+Devrient Gesellschaft mit beschränkter Haftung Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten, bezahlsystem, währungssystem und überwachungseinheit
DE102021000570A1 (de) 2021-02-04 2022-08-04 Giesecke+Devrient Advance52 Gmbh Verfahren zum bereitstellen eines nachweisdatensatzes; verfahren zum prüfen eines nachweisdatensatzes; ein münzregister; eine teilnehmereinheit und ein computerprogrammprodukt
DE102021000572A1 (de) 2021-02-04 2022-08-04 Giesecke+Devrient Advance52 Gmbh Verfahren zum erstellen einer münzdatensatz-zusammensetzung, teilnehmereinheit und bezahlsystem
EP4044553A1 (de) * 2021-02-15 2022-08-17 Koninklijke Philips N.V. Verfahren und vorrichtung zur bereitstellung eines sicherheitsniveaus für kommunikation
GB2606216A (en) * 2021-04-30 2022-11-02 Nchain Licensing Ag Devices and methods for consolidating serialized tokens
DE102021002329A1 (de) 2021-05-03 2022-11-03 Giesecke+Devrient Advance52 Gmbh Verfahren zum registrieren eines elektronischen münzdatensatzes in einem münzregister; ein münzregister; eine teilnehmereinheit und ein computerprogrammprodukt
DE102021004023A1 (de) 2021-08-04 2023-02-09 Giesecke+Devrient Advance52 Gmbh Verfahren zum direkten übertragen von token
DE102021004020A1 (de) 2021-08-04 2023-02-09 Giesecke+Devrient Advance52 Gmbh Verfahren zum registrieren von token eines elektronischen transaktionssystems
DE102021004019A1 (de) * 2021-08-04 2023-02-09 Giesecke+Devrient Advance52 Gmbh Verfahren zum registrieren von token eines elektronischen transaktionssystems
DE102021004548A1 (de) * 2021-09-08 2023-03-09 Giesecke+Devrient Advance52 Gmbh Verfahren und transaktionssystem zum übertragen von token in einem elektronischen transaktionssystems
DE102022002780A1 (de) * 2022-08-01 2024-02-01 Giesecke+Devrient Advance52 Gmbh Sicheres element, verfahren zum registrieren von token und tokenreferenzregister
EP4407545A1 (de) 2023-01-26 2024-07-31 Giesecke+Devrient advance52 GmbH Sicheres element, verfahren zum ersetzen eines elektronischen tokens des sicheren elements und sicheres sonderelement
EP4425405A1 (de) 2023-03-01 2024-09-04 Giesecke+Devrient advance52 GmbH Sicherer dienstanbieter, sichere geldbörse, verfahren zur ausgabe einer oder mehrerer sicherer geldbörsen
EP4432191A1 (de) 2023-03-14 2024-09-18 Giesecke+Devrient advance52 GmbH Sichere tokenausgebereinheit, sichere dienstanbietereinheit, elektronisches zahlungstransaktionssystem, verfahren zur bereitstellung neuer token, verfahren zum empfangen alter token
EP4435699A1 (de) 2023-03-21 2024-09-25 Giesecke+Devrient advance52 GmbH Sichere transaktionseinheit, tokenreferenzregister, elektronisches zahlungstransaktionssystem und verfahren zur registrierung eines tokens
EP4435700A1 (de) 2023-03-22 2024-09-25 Giesecke+Devrient advance52 GmbH Verfahren zur registrierung eines tokens, tokenreferenzregister, sichere transaktionseinheit und elektronisches zahlungstransaktionssystem
EP4451190A1 (de) 2023-04-18 2024-10-23 Giesecke+Devrient advance52 GmbH Wiederherstellungseinheit, sichere transaktionseinheit, token-referenzregister und elektronisches zahlungstransaktionssystem
EP4451192A1 (de) 2023-04-20 2024-10-23 Giesecke+Devrient advance52 GmbH Sichere transaktionseinheit, tokenreferenzregister, elektronisches zahlungstransaktionssystem und verfahren zur registrierung eines tokens
EP4462336A1 (de) 2023-05-08 2024-11-13 Giesecke+Devrient advance52 GmbH Transaktionseinheit mit geringer sicherheit, transaktionseinheit mit hoher sicherheitsstufe, elektronisches transaktionssystem und verfahren zum austausch von token
EP4471695A1 (de) 2023-05-31 2024-12-04 Giesecke+Devrient advance52 GmbH Sichere transaktionseinheit, token-referenzregister, elektronisches zahlungstransaktionssystem und verfahren zum registrieren von token in einem token-referenzregister
EP4485313A1 (de) 2023-06-30 2025-01-01 Giesecke+Devrient advance52 GmbH Sichere elemente und verfahren zur verwaltung verschiedener arten von elektronischen token
EP4502903B1 (de) 2023-08-01 2025-12-24 Giesecke+Devrient advance52 GmbH Dienstsystem und zahlungsdatenstruktur
EP4538949A1 (de) 2023-10-12 2025-04-16 Giesecke+Devrient advance52 GmbH Sichere geldbörsendienstanbietereinheit
EP4553732A1 (de) * 2023-11-09 2025-05-14 Giesecke+Devrient advance52 GmbH Sichere transaktionseinheit, elektronisches tokentransaktionssystem und verfahren in einer sicheren transaktionseinheit

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018114654A1 (de) * 2016-12-20 2018-06-28 Pbv Kaufmann Systeme Gmbh System zum offline-bezahlen mit e-geld mit mobilem gerät mit kurzer transaktionszeit und abschliessendem settlement
CN109493016A (zh) * 2018-10-24 2019-03-19 中国工商银行股份有限公司 基于数字货币的离线支付方法、终端及代理投放设备

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5872844A (en) * 1996-11-18 1999-02-16 Microsoft Corporation System and method for detecting fraudulent expenditure of transferable electronic assets
DE102009034436A1 (de) 2009-07-23 2011-01-27 Giesecke & Devrient Gmbh Verfahren und System zum Bezahlen mit geldwerten Beträgen in Form elektronischer Datensätze
DE102009038645A1 (de) 2009-08-24 2011-03-24 Giesecke & Devrient Gmbh Verfahren und tragbarer Datenträger zum Übertragen eines geldwerten Betrages in Form eines elektronischen Datensatzes zwischen einer ersten nichtzentralen Instanz und einer zweiten nichtzentralen Instanz
WO2012098543A2 (en) * 2011-01-18 2012-07-26 Fortress Gb Ltd. System and method for computerized negotiations based on coded integrity
US11270263B2 (en) * 2013-09-12 2022-03-08 Netspective Communications Llc Blockchain-based crowdsourced initiatives tracking system
US11062303B2 (en) * 2015-06-08 2021-07-13 Blockstream Corporation Cryptographically concealing amounts transacted on a ledger while preserving a network's ability to verify the transaction
US20170132615A1 (en) * 2015-11-11 2017-05-11 Bank Of America Corporation Block chain alias for person-to-person payments
CN107230055B (zh) * 2016-03-25 2020-12-22 中国人民银行数字货币研究所 支付数字货币的方法和系统
US20170293913A1 (en) * 2016-04-12 2017-10-12 The Governing Council Of The University Of Toronto System and methods for validating and performing operations on homomorphically encrypted data
US10225076B2 (en) * 2017-02-17 2019-03-05 Tianqing Leng Splitting digital promises recorded in a blockchain
WO2018175504A1 (en) * 2017-03-20 2018-09-27 Wasserman Steven Victor Blockchain digital currency: systems and methods for use in enterprise blockchain banking
US20190228386A1 (en) * 2018-01-19 2019-07-25 Xapo Holdings Limited Recording evidence of address/account allocations in a distributed ledger
CN109257182B (zh) * 2018-10-24 2021-06-25 杭州趣链科技有限公司 基于同态密码学承诺与零知识范围证明的隐私保护方法
RU2708344C1 (ru) * 2018-11-07 2019-12-05 Алибаба Груп Холдинг Лимитед Защита данных цепочек блоков с использованием гомоморфного шифрования

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018114654A1 (de) * 2016-12-20 2018-06-28 Pbv Kaufmann Systeme Gmbh System zum offline-bezahlen mit e-geld mit mobilem gerät mit kurzer transaktionszeit und abschliessendem settlement
CN109493016A (zh) * 2018-10-24 2019-03-19 中国工商银行股份有限公司 基于数字货币的离线支付方法、终端及代理投放设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of WO2020212337A1 *

Also Published As

Publication number Publication date
WO2020212337A1 (de) 2020-10-22
DE102019002732A1 (de) 2020-10-15
US20220215355A1 (en) 2022-07-07
CN113994357A (zh) 2022-01-28
CN113994357B (zh) 2026-02-10

Similar Documents

Publication Publication Date Title
WO2020212337A1 (de) Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten sowie bezahlsystem
EP4111348B1 (de) Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten, bezahlsystem, währungssystem und überwachungseinheit
WO2020212331A1 (de) Gerät zum direkten übertragen von elektronischen münzdatensätzen an ein anderes gerät sowie bezahlsystem
EP4399632B1 (de) Verfahren und transaktionssystem zum übertragen von token in einem elektronischen transaktionssystems
EP4381684B1 (de) Sicheres element, verfahren zum registrieren von token und tokenreferenzregister
DE69630738T2 (de) Verfahren und Einrichtung für ein elektronisches Geldsystem mit Ursprungserkennung
WO2022008322A1 (de) Verfahren, teilnehmereinheit, transaktionsregister und bezahlsystem zum verwalten von transaktionsdatensätzen
WO2023011756A1 (de) Sicheres element, verfahren zum registrieren von token und tokenreferenzregister
DE102021002329A1 (de) Verfahren zum registrieren eines elektronischen münzdatensatzes in einem münzregister; ein münzregister; eine teilnehmereinheit und ein computerprogrammprodukt
WO2022200035A1 (de) Verfahren und vorrichtung zum erzeugen, bereitstellen und weitergeben eines vertrauenswürdigen elektronischen datensatzes oder zertifikates basierend auf einem einen nutzer betreffenden elektronischen dokument
EP4179489A1 (de) Verfahren, endgerät sowie münzregister zum übertragen von elektronischen münzdatensätzen
EP4111399B1 (de) Verfahren, endgerät, überwachungsinstanz sowie bezahlsystem zum verwalten von elektronischen münzdatensätzen
WO2024027869A1 (de) Sicheres element, verfahren zum registrieren von token und tokenreferenzregister
EP4111347B1 (de) Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten, bezahlsystem, währungssystem und überwachungsinstanz
DE102021000570A1 (de) Verfahren zum bereitstellen eines nachweisdatensatzes; verfahren zum prüfen eines nachweisdatensatzes; ein münzregister; eine teilnehmereinheit und ein computerprogrammprodukt
DE102020104902A1 (de) Verfahren zum direkten übertragen von elektronischen münzdatensätzen zwischen endgeräten, bezahlsystem, währungssystem und überwachungsinstanz
EP4177808B1 (de) Selektiv anonymisierende überweisung einer kryptowährung
EP4685721A1 (de) Verfahren zur übertragung von digitalen token

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20211115

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: GIESECKE+DEVRIENT ADVANCE52 GMBH

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
P01 Opt-out of the competence of the unified patent court (upc) registered

Effective date: 20230519

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20250305