ES2247655T3 - Metodo para sacar fondos de un dispositivo de seguridad postal. - Google Patents

Abstract

PROCEDIMIENTO PARA RETIRAR FONDOS DE UN CONTADOR POSTAL (10) QUE DISPONE DE UNA UNIDAD CONTADORA (20) DE UN CONTADOR POSTAL (10) CON INFORMACION RELACIONADA CON LOS INDICIOS QUE NO ES VALIDA PARA ENVIAR POR CORREO. LA UNIDAD CONTADORA (20) GENERA UNA FIRMA DIGITAL QUE REPRESENTA UN VALOR CRIPTOGRAFICO DE LOS FONDOS POSTALES RETIRADOS DEL CONTADOR POSTAL (10) Y OTROS DATOS POSTALES QUE INCLUYEN LA INFORMACION RELACIONADA CON LOS INDICIOS. LA UNIDAD CONTADORA (20) A TRAVES DE UN PC (12) TRANSMITE A UN CENTRO DE DATOS (5) LA CANTIDAD DE FONDOS POSTALES RETIRADOS DEL CONTADOR POSTAL (10) Y LA FIRMA DIGITAL. EL CENTRO DE DATOS (5) VERIFICA QUE SE HA GENERADO LA FIRMA DIGITAL UTILIZANDO LA INFORMACION RELACIONADA CON LOS INDICIOS. EL CONTADOR (10) SE DESACTIVA CUANDO NO PUEDE VERIFICARSE LA FIRMA DIGITAL. CUANDO SE VERIFICA LA FIRMA DIGITAL A PETICION PARA UNA RETIRADA DE FONDOS ES ENVIADA POR EL CENTRO DE DATOS (5) A UNA AUTORIDAD POSTAL. UN EJEMPLO DE LA INFORMACION RELACIONADA CON LOS INDICIOSES UN CODIGO POSTAL DE DESTINO NO VALIDO O UN CODIGO POSTAL DE ORIGEN NO VALIDO.

Description

Método para sacar fondos de un dispositivo de seguridad postal.

La presente invención se refiere en general a un método para sacar fondos de una franqueadora y, más concretamente, a tal método para sacar fondos de un dispositivo de seguridad postal acoplado a un ordenador personal.

El Information-Based Indicia Program ("IBIP", programa estadounidense de marcas de franqueo basadas en información) es un sistema de confianza distribuido propuesto por el servicio postal de Estados Unidos ("USPS", United Status Postal Service) para modernizar y ampliar las franqueadoras existentes empleando una nueva tecnología conocida como "marcas de franqueo basadas en información". El programa se basa en técnicas de firma digital para generar para cada sobre una marca de franqueo cuyo origen no puede rechazarse y cuyo contenido no puede modificarse. Se espera que el programa IBIP soporte nuevos métodos de aplicación de franqueo además del enfoque actual, que normalmente se basa en una franqueadora para imprimir marcas de franqueo de forma mecánica en envíos postales. El programa IBIP requiere la impresión de un gran código de barras bidimensional ("2-D") de alta densidad sobre un envío postal. El código de barras 2-D codifica información y se firma con una firma digital.

El USPS ha publicado unas especificaciones para el programa IBIP. La INFORMATION BASED INDICIA PROGRAM (IBIP) INDICIUM SPECIFICATION (especificación estadounidense para una marca de franqueo del programa de marcas de franqueo basado en información (IBIP)), fechada el 13 de junio de 1996 y revisada el 23 de julio de 1997, ("Especificación para marcas de franqueo del sistema IBIP"), define los requisitos propuestos para una nueva marca de franqueo que se aplicará al correo que se procesa empleando el programa IBIP. La INFORMATION BASED INDICIA PROGRAM POSTAL SECURITY DEVICE SPECIFICATION (especificación estadounidense para un dispositivo de seguridad postal del programa de marcas de franqueo basado en información), fechada el 13 de junio de 1996 y revisada el 23 de julio de 1997, ("Especificación para dispositivos DSP del sistema IBIP") define los requisitos propuestos para un dispositivo de seguridad postal ("dispositivo DSP") que proporcionará servicios de seguridad para soportar la creación de una nueva marca postal de franqueo o marca de franqueo "basada en información" que se aplicará al correo que se procese empleando el programa IBIP. La INFORMATION BASED INDICIA PROGRAM HOST SYSTEM SPECIFICATION (especificación estadounidense sobre el sistema anfitrión del programa de marcas de franqueo basado en información), fechada el 9 de octubre de 1996, define los requisitos propuestos para un elemento de sistema anfitrión del programa IBIP ("Especificación para el anfitrión del programa IBIP"). En la presente memoria se hace referencia de forma colectiva a las especificaciones como "especificaciones del programa IBIP". El programa IBIP incluye el conectar las infraestructuras de usuario (usuario), de correos y de vendedor, que son los elementos de sistema del programa. La INFORMATION BASED INDICIA PROGRAM KEY MANAGEMENT PLAN SPECIFICATION (especificación estadounidense para el plan de gestión de claves del programa de marcas de franqueo basado en información), fechada el 25 de abril de 1997, define la generación, distribución, uso y reemplazo de claves criptográficas utilizadas por el proveedor de productos/servicios del USPS y por los dispositivos DSP ("Especificación para el plan PGC del programa IBIP").

La infraestructura de usuario, que reside en el emplazamiento del usuario, comprende un dispositivo DSP acoplado a un sistema anfitrión ("anfitrión") con impresora. El dispositivo DSP es un dispositivo contable seguro basado en procesador que expende y da cuenta de un valor postales almacenado en el mismo.

La Especificación para marcas de franqueo del programa IBIP proporciona requisitos para la marca de franqueo que consta tanto de datos legibles por personas como de datos en códigos de barras PDF417. La información legible por personas incluye una dirección de origen, que incluye el código postal de 5 dígitos de la oficina de correos que licencia, el número del tipo/identificación del dispositivo DSP, la fecha del correo y el valor del franqueo aplicado. La zona del código de barras de los elementos de marca de franqueo incluye una suma del franqueo, un número de identificación del dispositivo DSP, un número de identificación del usuario, una fecha del correo, una dirección de origen, una identificación del punto de entrega en destino, unos registros ascendente y descendente y una firma digital.

Un sistema de correos integrado está sujeto a requisitos de sistema abierto si incluye un ordenador interconectado al contador y prepara partes delanteras o etiquetas del envío postal que incluyen tanto la dirección de destino como la marca de franqueo. El sistema integrado es un sistema abierto aunque diferentes impresoras apliquen la dirección y la marca de franqueo. Si el sistema de correos satisface tales criterios, el USPS considera que el "contador" es un periférico de sistema abierto que lleva a cabo la doble función de imprimir las marcas de franqueo y de interconectar el dispositivo DSP al anfitrión. El sistema de correos integrado debe ser aprobado por el USPS de acuerdo con criterios de sistema abierto.

La Especificación para el anfitrión del programa IBIP establece los requisitos para un anfitrión en un sistema abierto. El anfitrión produce la parte delantera del envío postal, que incluye la dirección del remitente (opcional), la dirección de entrega (obligatoria), la marca de identificación de cara ("FIM", Facing Identification Mark) y la marca de franqueo como una unidad integral. El anfitrión puede imprimir esta unidad en el propio cuerpo del envío postal o en la(s) etiqueta(s) para pegarla(s) posteriormente al envío postal. El anfitrión le da al usuario una opción de omitir la marca FIM (por ejemplo, cuando la marca FIM se imprime previamente en sobres). El anfitrión produce direcciones estandarizadas, incluyendo el código de barras con el punto de entrega POSTNET estándar, para emplearlas en el envío postal. El anfitrión verifica cada dirección durante la creación del envío postal. Entonces, el anfitrión produce la marca de franqueo y la transmite a la impresora.

Las especificaciones del programa IBIP definen un sistema de cuenta abierto e independiente que se denomina en la presente memoria contador de PC o contador de PC independiente. El contador de PC independiente tiene un ordenador personal ("PC") que funciona como anfitrión ("PC anfitrión"). El PC anfitrión ejecuta el software de aplicación de cuenta y las bibliotecas asociadas (denominadas colectivamente en la presente memoria "aplicaciones de anfitrión" y "conjunto de herramientas de contador de PC") y se comunica con uno o varios dispositivos DSP conectados. El contador de PC independiente sólo puede tener acceso a dispositivos DSP acoplados al PC anfitrión. No existe acceso remoto a dispositivos DSP para el contador de PC independiente.

El contador de PC independiente procesa transacciones para expedir franqueo, registro y relleno en el PC anfitrión. El procesamiento se lleva a cabo localmente entre el anfitrión y los dispositivos DSP acoplados al mismo. Las conexiones a un centro de datos, por ejemplo, para las transacciones de registro y de relleno, se realizan localmente desde el anfitrión a través de una conexión local o a Internet/módem de red. La contabilidad para débitos y créditos al dispositivo DSP también se lleva a cabo localmente, registrando las transacciones en el PC anfitrión, que es el PC en el que se procesan las transacciones y al que está conectado el dispositivo DSP. Así, la contabilidad de fondos y el procesamiento de las transacciones están centralizados en un único PC. El PC anfitrión puede tener cabida para más de un dispositivo DSP, por ejemplo, soportar un dispositivo DSP por puerto serie. Varios programas de aplicación que se ejecutan en el PC anfitrión, tales como un procesador de texto o un diseñador de sobres, pueden acceder al software de cuenta del anfitrión.

Se espera que una vez que se lance el programa IBIP, el volumen de contadores aumentará significativamente cuando se introduzcan los contadores basados en PC. Tal aumento de volumen se espera en el mercado de las pequeñas empresas y las oficinas domésticas (SOHO, Small Office and Home Office). Las especificaciones del programa IBIP tratan y resuelven cuestiones que minimizan, si no eliminan, los riesgos del USPS en lo que respecta a la seguridad y el fraude. Sin embargo, al igual que con cualquier sistema implementado en un dispositivo no seguro, tal como un ordenador personal, la implementación de un sistema IBIP puede tener puntos débiles de seguridad inherentes que podrían ser explotados por usuarios sofisticados decididos a defraudar al USPS.

Las especificaciones del programa IBIP no especifican ningún método para sacar fondos del dispositivo DSP, tal como enviar fondos de forma segura al centro de datos cuando un dispositivo DSP queda fuera de servicio. Por el contrario, las especificaciones del anfitrión y de dispositivos DSP del programa IBIP no permiten poner registros a cero, lo cual es una práctica habitual en los actuales contadores Pitney Bowes (a excepción del contador digital Personal Post Office^{TM}, tal como se describe posteriormente). Se prevé que la saca de fondos de un dispositivo DSP se lleve a cabo utilizando métodos convencionales.

Desde siempre, las franqueadoras mecánicas que se ponen fuera de servicio tienen que devolverse físicamente a la oficina de correos y abrirse, y los registros ponerse a cero. Este método tiene desventajas, de las cuales la más significativa es la posibilidad de robo de un contador activo y también el inconveniente de realizar la devolución.

Hoy en día, cuando una franqueadora electrónica convencional se pone fuera de servicio, un representante del servicio del vendedor recupera la franqueadora de un cliente y se pone en contacto con la unidad de respuesta vocal, o VRU (Voice Response Unit), del centro de datos. El representante del servicio introduce un código de solicitud especial para poner a cero los registros del contador y envía la solicitud al centro de datos. El centro de datos genera un código de combinación, por ejemplo, un código de 4 dígitos, a diferencia del código estándar de 6 dígitos. El representante del servicio introduce el código de combinación en la franqueadora con una suma de "0,00" para indicarle a la franqueadora que ha de realizarse una operación especial de borrado de registros. La franqueadora pone entonces los registros del contador a 0.

Este no es un método muy seguro, puesto que depende de que el representante del servicio de atención al cliente lea los registros con exactitud e introduzca correctamente esa información en un ordenador o en un trozo de papel para un procesamiento manual. Sin embargo, la franqueadora sirve como copia de seguridad a este proceso al guardar en memoria un historial de registros pasados. La naturaleza manual de este proceso puede dar lugar a sumas de reembolso potencialmente incorrectas o cuestionadas.

En la franqueadora Personal Post Office, se realizó una mejora al proceso actual. Un cliente que ya no quiere el producto o va a comprar un nuevo contador realiza una llamada al centro de datos. El centro de datos, que sabe que el contador se encuentra en un estado de retirada pendiente, envía una orden al contador solicitando que se haga un cargo al contador por una suma igual a la del registro descendente actual. El contador, al recibir la orden, carga la suma adecuada y genera una firma digital, denominada también testigo en la presente memoria, para el envío postal que habría sido impreso si la deducción hubiese ocurrido en un envío postal. El testigo digital y la demás información que se hubiese impreso en el envío postal se envían al centro de datos para verificarse a fin de garantizar que el contador dedujo correctamente los fondos apropiados. Sin embargo, cabe indicarse que el testigo digital se genera exactamente de la misma manera que para un envío postal válido. Por tanto, al interceptar, por ejemplo, escuchando, las comunicaciones en el centro de datos, a un atacante le resultaría posible obtener testigos digitales válidos. Estos testigos y la información postal asociada podrían imprimirse en un envío postal, dándole así al atacante franquicia postal. La suma de la franquicia postal podría ser importante, por ejemplo, para un envío postal por correo prioritario. El atacante también podría imprimir una marca de franqueo y llevar la marca de franqueo a la oficina de correos para obtener un reembolso.

Se ha descubierto que la presente invención elimina una ventana de oportunidad para que un atacante intercepte y utilice información válida para justificar franqueos. La presente invención proporciona un mejor método de seguridad para cargar franqueos en el centro de datos en contadores de sistema abierto. Cuando un dispositivo DSP se pone fuera de servicio, se realiza una llamada al centro de datos. Después de que el cliente establece contacto con el centro de datos el centro de datos envía una orden al cliente de que extraiga los fondos en el dispositivo DSP. El cliente solicita un cargo al dispositivo DSP igual a la suma del valor del registro descendente actual y le suministra al dispositivo DSP un código postal de destino no válido (tal como "0000000000") u otros datos de entrada no válidos que no pueden emplearse para imprimir envíos postales válidos. El dispositivo DSP carga al registro descendente, ingresa en el registro ascendente y genera una firma digital utilizando el código postal de destino no válido. La firma digital se envía al centro de datos para verificar que realmente se han extraído los fondos del dispositivo DSP.

El método de la presente invención para el dispositivo DSP de sistema abierto sería similar al descrito anteriormente para el contador digital Personal Post Office (el centro de datos ordenándole al cliente que cargue para la suma al registro RD, lo que tiene como resultado que se envían datos postales al centro de datos para su verificación), con la salvedad de que el software de cliente que se ejecuta en el PC suministraría un código postal no válido tal como "00000000000" o "99999999999" en la orden de carga del dispositivo DSP. Según la presente invención, esta mejora evita que la firma digital generada por el dispositivo DSP se utilice en un envío postal, porque el código postal de destino empleado para producir la firma digital no correspondería a ninguna dirección de destino válida. El centro de datos detectaría un envío postal con un código postal de destino no válido durante la verificación de referencia de envíos postales. Esto podría reforzarse adicionalmente porque el dispositivo DSP podría recibir en realidad datos no numéricos (es decir: códigos de caracteres ASCII) para este proceso.

Son posibles otras alternativas tales como colocar el código postal de destino del centro de datos Pitney Bowes, "06926070001". Sin embargo, este es un número postal válido, y por tanto, un usuario podría usar la información para enviar correspondencia a Pitney Bowes de manera parecida al método del contador digital Personal Post Office descrito anteriormente.

Actualmente, la elección de un código postal de destino no válido se le deja al cliente. Alternativamente, el centro de datos puede suministrar el código postal de destino no válido u otros datos no válidos a usar para la retirada de fondos en vez de que el cliente codifique la respuesta de manera inflexible. Esto permitiría que el centro de datos cambiase entre uno o más códigos postales no válidos para una mayor seguridad.

La presente invención proporciona un método para sacar fondos postales de una franqueadora. El método incluye dotar a una unidad contable de una franqueadora de información relacionada con marcas de franqueo que no sea válida para el correo. La unidad contable genera una firma digital, que es un valor cifrado de los fondos postales sacados de la franqueadora y otros datos postales que incluyen la información relacionada con las marcas de franqueo. La unidad contable envía a través de un PC anfitrión la suma de los fondos postales sacados de la franqueadora y la firma digital a un centro de datos. El centro de datos verifica que la firma digital se ha generado utilizando la información relacionada con las marcas de franqueo. El contador se inutiliza cuando la firma digital no puede verificarse. Cuando la firma digital se verifica, el centro de datos envía una solicitud para un reembolso a una autoridad postal. Un ejemplo de información relacionada con las marcas de franqueo es un código postal de destino no válido o un código postal de origen no válido.

Los anteriores y otros objetos y ventajas de la presente invención resultarán evidentes teniendo presente la siguiente descripción detallada, tomada en conjunción con los dibujos adjuntos, en los que caracteres de referencia similares aluden a partes parecidas en toda de la presente memoria y en los que:

La figura 1 es un diagrama de bloques de un sistema de cuenta abierto de la técnica anterior, y

la figura 2 es un diagrama de flujo del proceso para sacar fondos de un dispositivo DSP según una realización de la presente invención.

Al describir la presente invención, se hace referencia a los dibujos, en los que en la figura 1 se observa un diagrama de bloques de un sistema de cuenta abierto del programa IBIP, al que también se denomina aquí sistema de cuenta de PC, referido en general como 10. El sistema de cuenta de PC incluye un ordenador 12 personal (PC) convencional, que incluye una pantalla y un teclado (no mostrados), configurado según las Especificaciones del programa IBIP para funcionar como un PC anfitrión para un dispositivo periférico de cuenta, es decir, el dispositivo DSP, referido en general como 20, en el que se almacenan los fondos postales. Acoplada al PC 12 anfitrión se encuentra una impresora 24 convencional, que preferiblemente es una impresora láser o de chorro de tinta. El sistema 10 de cuenta abierto del programa IBIP utiliza el PC 12 anfitrión y su impresora 24 para imprimir franqueos sobre sobres, al mismo tiempo que imprime la dirección de un destinatario, o para imprimir etiquetas para sobres respuesta prefranqueados o envíos postales más grandes. Se entenderá que, aunque la realización preferida de la presente invención se describe como un sistema de cuenta de franqueos, la presente invención resulta aplicable a cualquier sistema de cuenta de valores que incluya una justificación de transacciones empleando una impresora no segura.

El PC 12 anfitrión incluye un procesador convencional, tal como los procesadores Pentium fabricados por Intel, y un disco duro, una(s) disquetera(s) y una memoria. El dispositivo 20 DSP es un dispositivo de cifrado seguro basado en microprocesador para la gestión de fondos postales, la firma de datos postales y funciones contables tradicionales. El PC 12 anfitrión también incluye un módem 28 por el cual el PC anfitrión se comunica con un servicio postal o un centro 5 de datos, gestionado normalmente por un vendedor de autenticación postal, para recargar fondos (cargo o crédito). En una realización alternativa (no mostrada), el módem puede estar situado en el dispositivo 20 DSP. En otra realización alternativa más, la comunicación con el centro 5 de datos puede ser a través de Internet.

Además de ejecutar programas 32 de aplicación, el PC 12 anfitrión procesa las funciones para el registro del dispositivo DSP, el relleno del dispositivo DSP, y las transacciones de expedición de franqueos para el dispositivo 20 DSP. El procesamiento es realizado localmente por un software 30 de cuenta (al que se denomina en la presente memoria "conjunto de herramientas de contador de PC") que se ejecuta en el PC 12 anfitrión. En la realización preferida, el conjunto 30 de herramientas de contador de PC es un objeto de modelo de objetos de componentes/modelo de objetos de componentes distribuidos (COM/DCOM) (implementado normalmente como una biblioteca de vínculos dinámicos (DLL) o un control OLE) con interfaces para realizar operaciones de cuenta. Un ejemplo de sistema de cuenta de PC que emplea una biblioteca DLL con interfaces para realizar operaciones de cuenta se describe en la solicitud de patente europea Nº EP-A-07800809, presentada el 19 de diciembre de 1996.

Con referencia ahora a la figura 2, se observa un método para sacar fondos del dispositivo 20 DSP. En la etapa 100, el dispositivo DSP inicia un cargo a fondos poniéndose en contacto con el centro de datos. En la etapa 105, el centro de datos responde con una solicitud de auditoría. En la etapa 110, el contador realiza una auditoría de sus registros y envía los resultados de la auditoría al centro de datos. En la etapa 115, el centro de datos verifica los resultados de la auditoría. Si los resultados se verifican, entonces, en la etapa 120, el centro de datos solicita del contador una marca de franqueo que incluye una firma digital que utiliza un código postal no válido y la suma del registro descendente del dispositivo DSP. En la realización preferida, aunque se envía un código postal no válido al dispositivo DSP, cabe observarse que podría utilizarse cualquier dato que produjese una marca de franqueo que no sea válida para el correo. Por ejemplo, podría emplearse cualquier dato utilizado en la generación de la firma o testigo digitales, tal como un número o fecha de origen no válidos. Si los resultados no se verifican, entonces, en la etapa 145, el centro de datos envía un mensaje de inutilización al dispositivo DSP, y en la etapa 150, el contador se inutiliza.

En la etapa 125, en respuesta a la solicitud del centro de datos de una marca de franqueo, el contador genera una marca de franqueo y la envía al centro de datos. Se indica que el contador no genera una imagen de marca de franqueo en respuesta a la solicitud del centro de datos, sino que genera y envía al centro de datos que no se incluirían en la imagen de marca de franqueo. Las etapas de generar una marca de franqueo incluyen cargar al registro descendente e ingresar en el registro ascendente la suma de los fondos postales sacados del dispositivo DSP. En la etapa 130, el centro de datos determina si la marca de franqueo recibida puede verificarse. Si la marca de franqueo puede verificarse, entonces, en la etapa 135, el centro de datos envía una solicitud a la autoridad postal de un reembolso a la cuenta del cliente de una suma igual al registro descendente según se proporciona en la marca de franqueo. En la etapa 140, el centro de datos determina si debería inutilizarse el dispositivo DSP, por ejemplo, si se ha borrado el registro descendente. Si el dispositivo DSP debería inutilizarse por la etapa 140 o si la marca de franqueo no puede verificarse en la etapa 130, entonces, en la etapa 145, el centro de datos envía un mensaje de inutilización al dispositivo DSP, y en la etapa 150, el contador se inutiliza. Si, en la etapa 140, el contador no debería inutilizarse, por ejemplo, si el registro descendente no se ha borrado, tal como en el caso de un reembolso parcial, entonces el contador continúa procesando con normalidad.

La presente invención se ha descrito para un contador de sistema abierto, tal como se define mediante las Especificaciones del programa IBIP. Se entenderá que la presente invención es también apta para contadores digitales de sistema cerrado, tal como el contador digital Personal Post Office indicado anteriormente, utilizando información postal o de fecha de correo de origen no válida o suministrada por el centro de datos.

Se entenderá que aunque la realización de la presente invención se describe para un sistema de cuenta de franqueo, la presente invención resulta aplicable a cualquier sistema de cuenta de valores que incluya una justificación de transacciones, tales como transacciones monetarias, transacciones de artículos y transacciones de información. Tales sistemas de cuenta de valores, por ejemplo, un contador privado, utilizarían información no válida o suministrada por el centro de datos, tal como una fecha no válida.

Aunque la presente invención se haya dado a conocer y descrito con referencia a las realizaciones de la misma, resultará evidente, tal como se ha indicado anteriormente, que puede realizarse variaciones y modificaciones en la misma. Por tanto, en las siguientes reivindicaciones se pretende cubrir cada variación y modificación que caiga dentro del alcance de la presente invención.

Claims (10)

1. Método para sacar fondos postales de una franqueadora, comprendiendo el método las etapas de:

dotar a la unidad (20) contable de una franqueadora (10) de información relacionada con marcas de franqueo que no sea válida para el correo;

generar (125) una firma digital, siendo dicha firma digital un valor cifrado de los fondos postales sacados de la franqueadora (10) y otros datos postales que incluyen la información relacionada con las marcas de franqueo;

enviar (125) la suma de los fondos postales sacados de la franqueadora (10) y la firma digital a un centro (5) de datos; y

verificar (130) en el centro (5) de datos que la firma digital se ha generado utilizando la información relacionada con las marcas de franqueo.

2. Método según la reivindicación 1, que comprende las etapas adicionales de:

inutilizar (150) el contador (10) cuando la firma digital no puede verificarse; y

enviar (135) una solicitud para un reembolso a una autoridad postal cuando la firma digital se verifica.

3. Método según la reivindicación 1 ó 2, en el que la información relacionada con las marcas de franqueo es un código postal de destino no válido

4. Método según la reivindicación 1 ó 2, en el que la información relacionada con las marcas de franqueo es un código postal de origen no válido.

5. Método según la reivindicación 1, en el que el centro (5) de datos proporciona la información relacionada con las marcas de franqueo a la franqueadora (10).

6. Método para sacar fondos de un dispositivo de justificación de transacciones, comprendiendo el método las etapas de:

dotar a la unidad (20) contable de una dispositivo (10) de justificación de transacciones de información relacionada con transacciones que no sea válida;

generar (125) una firma digital, siendo dicha firma digital un valor cifrado de los fondos sacados del dispositivo (10) de justificación de transacciones y otros datos que incluyen la información relacionada con las transacciones;

enviar (125) la suma de los fondos sacados del dispositivo (10) de justificación de transacciones y la firma digital a un centro (5) de datos; y

verificar (130) en el centro (5) de datos que la firma digital se ha generado utilizando la información relacionada con las transacciones.

7. Método según la reivindicación 6, que comprende las etapas adicionales de:

inutilizar (150) el dispositivo (10) de justificación de transacciones cuando la firma digital no puede verificarse; y

enviar (135) una solicitud para un reembolso a una autoridad de transacciones cuando la firma digital se verifica.

8. Método según la reivindicación 6 o 7, en el que la información relacionada con las transacciones es una fecha no válida.

9. Método según la reivindicación 6, 7 u 8, en el que el dispositivo (10) de justificación de transacciones es un contador privado.

10. Método según la reivindicación 6, en el que el centro (5) de datos proporciona la información relacionada con las transacciones al dispositivo (10) de justificación de transacciones.