ES2577685T3 - Procedimiento y dispositivo para la defensa de intentos de manipulación en un sistema de cámara - Google Patents

Description

5

10

15

20

25

30

35

40

45

50

55

DESCRIPCION

Procedimiento y dispositivo para la defensa de intentos de manipulacion en un sistema de camara

La invencion se refiere a un procedimiento para la defensa de intentos de manipulacion en un sistema de camara de acuerdo con el preambulo de la reivindicacion 1 y a un dispositivo que trabaja de acuerdo con el sistema asf como a un terminal de autoservicio equipado con el. La invencion se refiere especialmente a un procedimiento asf como a un dispositivo para la defensa de intentos de manipulacion en un sistema de camara, en el que desde una camara instalada en un terminal de autoservicio se generan datos de imagenes y se transmiten a traves de una conexion a un dispositivo que recibe los datos de imagenes, en el que la camara detecta una zona de registro, que cubre una zona de mando a supervisar del terminal de autoservicio.

Se conoce que los terminales de autoservicio, como por ejemplo cajeros automaticos, no en pocas ocasiones estan expuestos a manipulaciones por extranos, que colocan instalaciones de mando reproducidas, en particular superestructuras de teclados, para leer al mismo tiempo o bien registrar ilegalmente datos sensibles, como por ejemplo PIN y/o datos de tarjeta magneticas y similares durante el manejo a traves el cliente. Con la ayuda de los datos registrados, los extranos o bien criminales pueden copiar las tarjetas el cliente y utilizarlas con el PIN lefdo, para sacar dinero de las cuentas del cliente. Para reconocer las manipulaciones en tales terminales de autoservicio, se emplean con frecuencia camaras, que supervisan la zona de mando del terminal de autoservicio y los elementos de mando que se encuentran allf, como por ejemplo el teclado, para poder reconocer si se manipula en el teclado o en otros elementos de mando a traves de extranos. Las camaras suministran datos de imagenes, que son transmitidos, en general, a traves de una conexion de cable, a un dispositivo receptor, como por ejemplo a un PC instalado en el terminal de autoservicio, para ser evaluados allf localmente o, en cambio, para ser transmitidos entonces a continuacion a traves de un sistema de supervision remota en adelante a una central. Recientemente se ha mostrado que tambien las camaras o bien sistemas de camaras propiamente dichos son utilizados por los criminales, para realizar intentos de manipulacion en el terminal de autoservicio. Especialmente los criminales tratan de desviar directamente los datos de imagenes registrados por la camara de supervision o bien los datos transmitidos (la llamada “derivacion de la camara”) para detectar ilegalmente de esta manera durante una entrada del teclado del cliente la entrada del PIN.

En el documento DE 10 2009 018 321 A1 se publica un terminal de autoservicio (terminal-SB) con una disposicion de camara, que presenta varias camaras, que estan montadas en la zona proxima del campo de mando el terminal- SB y detectan allf diferentes elementos, como por ejemplo teclado, bandeja de salida de dinero, ranura de entrada de tarjetas, para reconocer intentos de manipulacion en el terminal-SB. Al menos una camara esta instalada en el terminal-SB y un dispositivo conectado con la camara esta configurado como un ordenador, que esta integrado en el terminal-SB. Desde la camara respectiva se generan datos de imagenes y se transmiten a traves de una conexion al dispositivo receptor de datos, detectando la camara una zona de registro, que cubre una zona de mando a supervisar del terminal-SB- Tambien se pueden detectar actuaciones extranas sobre el sistema de camara, como por ejemplo la cobertura de una camara, verificando que aparecen diferencias de claridad entre las tomas de imagenes de varias camaras.

El documento WO 2010/001282 A1 describe un procedimiento y un dispositivo para la defensa de intentos de manipulacion en sistemas de camaras en general. A tal fin se propone integrar en la carcasa una estera de armazon de hardware segura (“secure hardware mesh”), que esta constituida por alambre conductores ultrafinos (“ultra thin conducting wires”), que estan conectaos con entidades de semiconductores basada en transistor (“transistor based semi-conducting entities”) y de esta manera representan una configuracion umvoca, cuyo calculo con la ayuda de un algoritmo-Hash de seguridad conduce a una signatura umvoca. Esta signatura se utiliza para la seguridad de la transmision de datos de imagenes de la camara, en particular utilizando una PKI (Public Key Infrastructure). Cada intervencion ffsica, como por ejemplo la rotura de la estera de armadura, conduce a una modificacion de la configuracion y modifica la signatura calculada. De esta manera se pueden reconocer con seguridad manipulaciones que se realizan en forma de intervenciones ffsicas. Allf no se establece una referencia para la defensa de intentos de manipulacion en terminales de autoservicio supervisados por camara.

En el documento US 2005 / 0226338 A1 se describe un sistema de deteccion antirrobo basado en camara, en el que los datos de imagenes son transmitidos desde al menos una camara a traves de un canal de transmision o bien de comunicacion hacia una primera memoria de datos. Adicionalmente, esta prevista una segunda memoria, que es con preferencia una memoria tampon anular, para registrar los datos desde la primera memoria como copia de datos, cuando un sistema de supervision reconoce que la al memos una camara no transmite ya datos de imagenes a traves del canal de comunicacion. Tampoco aqrn se establece ninguna relacion con la defensa de intentos de manipulacion en terminales de autoservicio supervisados con camara.

En el documento DE 10 2009 018322 A1 se publica un terminal de autoservicio (terminal-SB) con una camara para el reconocimiento de intentos de manipulacion en el terminal-SB. La camara esta montada en una seccion de carcasa, que rodea el campo de mando del terminal-SB, de manera que la camara esta instalada de tal manera que detecta al menos dos de los elementos previstos en el campo de mando, como por ejemplo teclado y bandeja de

5

10

15

20

25

30

35

40

45

50

55

salida de dinero, para reconocer de manera umvoca eventuales superestructuras colocadas e intentos de manipulacion o bien de desescoriado similares.

Para cerrar los huecos de seguridad mencionados al principio en terminales de autoservicio supervisados con camara, se propone en el documento DE 10 2008 039 689 A1 bloquear selectivamente la actividad de una camara de supervision, siendo desactivada la camara, por ejemplo, cuando se introduce una tarjeta de cliente en el lector de tarjetas durante un cierto periodo de tiempo, de manera que una entrada de PIN realizada entonces a traves el cliente no es registrada al mismo tiempo. De esta manera, se anular cualquier intento de manipulacion, para “extraer” el sistema de camara. Con esta solucion conocida se mejora ya claramente la seguridad contra intentos de manipulacion. Sin embargo, esta medida de seguridad solamente interviene cuando se puede asegurar que se realiza la desactivacion de la camara durante la entrada del PIN. Por lo tanto, existe la necesidad de mejorar adicionalmente esta solucion.

De acuerdo con ello, el cometido de la presente invencion es solucionar de manera ventajosa los inconvenientes que resultan del estado de la tecnica. En particular, deben proponerse procedimientos y dispositivos, que son adecuados para la defensa de intentos de manipulacion en sistemas de camaras, en los que se generan datos de imagenes por una camara instalada en un terminal de autoservicio y se transmiten adicionalmente.

El cometido se soluciona por medio de un procedimiento con las caractensticas de la reivindicacion 1, asf como por medio de un dispositivo, un terminal de autoservicio y un sistema de camara con las caractensticas segun una de las reivindicaciones secundarias.

De acuerdo con ello, se propone para la defensa de intentos de manipulacion en un sistema de camara que se detecte la actuacion extrana sobre el sistema de camara, verificando un dispositivo conectado con la camara si aparece una modificacion del estado tecnico dentro del sistema de camara, verificando el dispositivo si la camara es desactivada a traves de actuacion extrana; y verificando si un controlador de aparatos instalado en el sistema de camara como parte del dispositivo, que controla la camara, no tiene acceso a la camara, por que un controlador de otro ordenador controla la camara; y/o verificando si se reciben datos de imagenes desde el dispositivo, aunque no se solicita por el dispositivo la emision de datos de imagenes.

De acuerdo con ello, se propone verificar o bien supervisar modificaciones del estado tecnico dentro del propio sistema de camara, para establecer de esta manera si una actuacion extrana ha aparecido en el sistema de camara, es decir, en la camara y/o en la conexion que transmite los datos de imagenes.

Por ejemplo, se verifica si aparece una modificacion del estado tecnico en la camara, en un enchufe de la camara para la conexion y/o en la propia conexion. Por lo tanto, se reconoce si existe una actuacion extrana o bien un control extrano de la camara y/o el sistema de camara, para disparar entonces, dado el caso, una alarma o poner fuera de servicio el terminal de autoservicio.

De acuerdo con la invencion se verifica a tal fin si la camara ha sido desactivada a traves de actuacion extrana. De esta manera debe reconocerse especialmente si la camara de supervision ha sido manipulada, por ejemplo, a traves de toma fraudulenta o corte del cable de la camara, de manera que se pude partir de que los datos de la imagen son tomados directamente, es decir, sin transmision al PC. De forma alternativa o complementaria a ello, se verifica tambien si la propia conexion ha sido influencia por actuacion extrana, estando configurada la conexion especialmente como una conexion de cable. De esta manera se puede establecer con exactitud si ha sido manipulada la conexion de cable.

La invencion se puede configurar tambien como se representa en adelante, de tal manera que se verifica una identificacion consultable por la camara. De esta manera se puede establecer si la camara de supervision propiamente dicha o bien el tipo de camara previsto esta o no conectado con el PC. Si este no es el caso, se habla de que existe una manipulacion de la camara, por ejemplo por que se ha conectado en el sistema otra camara de mando a distancia controlable a distancia por criminales.

La invencion tambien se puede configurar de manera ventajosa para verificar al menos un parametro de conexion tfpico para la camara. En este caso se trata especialmente de parametros para la conexion de la camara en la conexion de cable, como por ejemplo resistencia de la lmea, tension, nivel de la senal durante la transmision de la imagen y similares. De esta manera, se puede establecer tambien que probablemente ha sido conectado otro tipo de camara y/o existe una toma fraudulenta de la transmision de imagenes.

Por lo demas, segun la invencion se verifica si controlador de aparatos instalado en el sistema de camara, que controla la camara, tiene acceso a la camara. En efecto, si este no es el caso, entonces esto puede ser un indicio de que la camara es controlada por el controlador de otro ordenador. Con otras palabras: el evento o bien el estado “la camara reconoce, pero no tiene acceso” alude aqrn a una actuacion extrana.

Ademas, se puede verificar si se reciben datos de imagenes por el dispositivo, aunque no se solicite la emision de datos de imagenes desde este. De esta modo se puede establecer que la camara instalada muy posiblemente es

5

10

15

20

25

30

35

40

45

50

controlada desde fuera o bien es disparada desde fuera, lo que representa de nuevo un indicio de una manipulacion.

La invencion forma una aportacion especialmente ventajosa a la desactivacion controlada por evento ya conocida de la camara (durante la lectura de tarjetas y la entrada de PIN), siendo desactivado con preferencia todo el terminal-SB cuando se detecta la aparicion de una actuacion extrana sobre el sistema de camara. De esta manera se puede excluir muy rapidamente que se pueda eludir una desactivacion controlada por evento de la camara, tal como se propone en el estado de la tecnica, a traves de la actuacion extrana.

Estas y otras ventajas se deducen tambien a partir de las reivindicaciones dependientes.

Por lo demas, se describe la invencion en detalle con la ayuda de un ejemplo de realizacion y de los dibujos adjuntos, reproduciendo los dibujos la siguiente representacion esquematica:

La figura 1 muestra la estructura de un sistema de camara con un dispositivo segun la invencion para la defensa de intentos de manipulacion.

La figura 2 muestra un diagrama de flujo para el procedimiento segun la invencion para la defensa de intentos de manipulacion en el sistema de camara mostrado.

La figura 1 muestra una representacion esquematica con el sistema de camara SYS que esta constituido por varios elementos y un dispositivo PC, que esta conectado con el sistema de camara SYS y que esta configurado aqrn tambien para la defensa de intentos de manipulacion. El dispositivo PC corresponde en el ejemplo mostrado a un ordenador personal el terminal de autoservicio, que se designa, por lo demas, tambien de forma abreviada Terminal- SB y representa en el presente ejemplo un cajero automatico. El sistema de camara SYS comprende esencialmente una camara CAM, que emite a traves de una conexion, aqrn conexion de cable CBL, datos de imagenes CD al dispositivo PC. La camara comprende una zona, que detecta la zona de mando B del terminal-SB ATM o bien una parte del mismo. En el presente caso se trata a este respecto del teclado KBD.

En el dispositivo PC se trata de aquel ordenador personal, que esta integrado en el terminal-SB y que controla los ciclos durante el manejo el terminal-SB, como por ejemplo la entrada de tarjetas, entrada del teclado, la transmision de datos sensibles (datos de tarjetas, PIN) a un sistema central, la activacion a traves de una pantalla de imagenes de mando, la liberacion y la realizacion de una salida de dinero en efectivo, etc. El dispositivo o bien el ordenador personal PC controla, entre otras cosas, tambien un controlador de aparatos DRV o bien controlador de camara, que controla de nuevo la camara CAM, para posibilitar el registro y la transmision de datos de imagenes VD. En particular, el registro y la transmision de los datos de imagenes se realizan tambien aqrn controlados por evento, lo que se indica a traves del signo de referencia CTR, que corresponde a una senal de control o bien de disparo emitida por el controlador de la camara DRV a la camara.

Ademas de los datos de imagenes VD registrados por la camara se transmiten tambien otros datos desde la camara CAM hacia el dispositivo o bien el ordenador personal PC, como por ejemplo la identificacion o bien el numero de identificacion ID de la camara CAM.

Los modulos y los elementos representados aqrn son adecuados de acuerdo con ello para realizar el procedimiento propuesto por el estado de la tecnica para el registro controlado por evento de datos de imagenes de la camara. Ademas, aqrn especialmente el dispositivo o bien el ordenador personal PC son adecuados para realizar el procedimiento descrito todavfa en detalle a continuacion para la defensa de intentos de manipulacion en los sistemas de camaras SYS representados aqrn. De esta manera, se crea el ordenador personal PC representado en la figura 1 para detectar actuacion extrana sobre el sistema de camara SYS, verificando si aparece una modificacion del estado tecnico dentro el sistema de camara, es decir, si se ha manipulado la propia camara CAM y/o la conexion CBL o bien el controlador de la camara DRV.

El procedimiento 100 realizado por el dispositivo o bien el ordenador personal PC se explica ahora en detalle con la ayuda de la figura 2. En una primera etapa 110 se verifica si aparece una modificacion del estado tecnico entro del sistema de camara VD. A tal fin, se verifica en una etapa parcial 111 especialmente si la camara ha sido desactivada a traves de actuacion externa. De manera alternativa o adicional a ello, en una etapa parcial 112 se verifica una identificacion consultable por la camara (ver ID en la figura 1). De esta manera, se puede establecer si la camara CAM del sistema de camara ha sido retirada, ha sido desactivada o ha sido sustituida por una camara de otro tipo.

Tambien en una etapa parcial 113 se puede verificar un parametro de conexion tfpico para la camara, como por ejemplo la conexion de la lmea para la conexion del cable CBL. Ademas, en una etapa parcial 115 se puede verificar si la conexion CBL propiamente dicha ha sido influenciada por actuacion externa o ha sido separada. En este caso, se puede tratar, por ejemplo, de la separacion de la conexion de cable CBL y/o de la toma fraudulenta de la misma, lo que puede tener de nuevo repercusiones sobre determinados parametros como por ejemplo el nivel de la senal y similar.

En una etapa 120 se verifica entonces si un controlador de aparatos instalados en el sistema de camara, aqrn el

5

10

15

20

25

controlador de la camara DRV, tiene todav^a acceso a la camara CAM (ver tambien la figura 1).

Si este no es el caso, esto alude a una manipulacion del sistema de camara. A continuacion se verifica en una etapa 125 si los datos de imagenes VD son recibidos por el dispositivo PC, aunque no sea solicitada por este dispositivo PC la emision de datos de imagenes (ver la senal de disparo CTR en la figura 1). En efecto, si este fuera el caso, entonces tambien en este caso hay que partir de que existe una manipulacion el sistema de camara.

Si se establece en una de las etapas parciales 111 a 115 mencionadas anteriormente o bien en las etapas 120 y/o 125 que existe una manipulacion del sistema de camara, entonces se pone el terminal-SB ATM en una etapa 150 fuera de servicio y/o se dispara una alarma. El sistema de camara SYS descrito aqrn con el dispositivo PC previsto (ver la figura 1), no solo es adecuado para controlar una o varias camaras controladas por evento, para contrarrestar un intento de manipulacion en el Terminal-SB, sino que es adecuado tambien para detectar intentos de manipulacion en el propio sistema de camara y contrarrestarlos efectivamente, desactivando, dado el caso, efectivamente el terminal-SB y/o disparando una alarma. En efecto, los ensayos con tales sistemas han mostrado que una desactivacion controlada por evento de la camara por sf sola no siempre es suficiente para garantizar una seguridad suficiente contra ensayos de manipulacion de toda la instalacion (terminal-SB y sistema de camara). Puesto que por medio de los sistemas hasta ahora no se ha podido establecer si la camara ha sido activada o bien controlada a distancia sin permiso durante una entrada en el teclado y de esta manera han sido espiadas imagenes por la entrada de la identificacion (PIN) a pesar de las medidas de seguridad prevista y han sido transmitidas a terceros.

Con el dispositivo PC propuesto aqrn se asegura ahora que tambien intentos de manipulacion en el sistema de camara propiamente dicho son reconocidos de manera inmediata y segura y, dado el caso se inician contramedidas (desconexion el terminal-SB y/o disparo de alarma). De este modo resulta un nivel de seguridad claramente elevado para todo el sistema.

La presente invencion ha sido descrita en el ejemplo de un cajero automatico, pero se puede aplicar a cualquier tipo de terminal de autoservicio y, por lo tanto, no esta limitado a la forma de realizacion descrita concreta.

Claims (9)

1. 5

   10

   15

   20

   25

   30

   35

   40

   REIVINDICACIONES

   1. - Procedimiento (100) para la defensa de intentos de manipulacion en un sistema de camara (SYS), en el que desde una camara (CAM) se generan datos de imagenes (VD) y a transmiten a traves de una conexion (CBL) a un dispositivo (PC) receptor de los datos de imagenes (VD), en el que la camara (CAM) se instala en un terminal de autoservicio (ATM), en el que el dispositivo (PC) esta configurado como un ordenador, que se integra en el terminal de autoservicio (ATM), en el que la camara (CAM) detecta una zona de registro, que cubre una zona de mando (B) a supervisar del terminal de autoservicio (ATM), y en el que se detecta una actuacion extrana sobre el sistema de camara (SYS), caracterizado por que se detecta la actuacion extrana sobre el sistema de camara (SYS), verificando (110) si aparece una modificacion del estado tecnico dentro del sistema de camara (SYS), en el que a traves del dispositivo (PC) se verifica (111) si la camara (CAM) es desactivada a traves de la actuacion extrana y se verifica (120), si un controlador de aparatos (DRV) instalado en el sistema de camara (SYS) como parte del dispositivo (PC), que controla la camara (CAM) no tiene acceso a la camara (CAM), por que la camara es controlada por un controlador de otro ordenador; y/o se verifica (125) si se reciben datos de imagenes (VD) desde el dispositivo (PC), aunque no se solicite desde el dispositivo (PC) la emision de datos de imagenes.
2. 2. - Procedimiento (100) de acuerdo con la reivindicacion 1, caracterizado por que se verifica si aparece una modificacion del estado tecnico de la camara (CAM), en una conexion de la camara (CAM) a la conexion (CBL) y/o en la conexion (CBL).
3. 3. - Procedimiento (100) de acuerdo con una de las reivindicaciones anteriores, caracterizado por que se verifica una identificacion (ID) consultable por la camara (CAM).
4. 4. - Procedimiento (100) de acuerdo con una de las reivindicaciones anteriores, caracterizado por que se verifica (113) al menos un parametro de conexion tfpico para la camara (CAM).
5. 5. - Procedimiento (100) de acuerdo con una de las reivindicaciones anteriores, caracterizado por que se verifica si la conexion (CBL) esta influenciada o separada (115) por la actuacion exterior, en el que la conexion esta configurada especialmente como una conexion de cable (CBL).
6. 6. - Procedimiento (100) de acuerdo con una de las reivindicaciones anteriores, caracterizado por que el terminal de autoservicio (ATM) se pone fuera de servicio y/o se emite una alarma (150) cuando se detecta la aparicion de una actuacion extrana sobre la disposicion de camara (SYS).
7. 7. - Dispositivo (PC) para la defensa de intentos de manipulacion en un sistema de camara (SYS), en el que desde una camara (CAM) se generan datos de imagenes (VD) y se transmiten a traves de una conexion (CBL) al dispositivo (PC) receptor de los datos de imagenes (VD), en el que la camara (CAM) esta instalada en un terminal de autoservicio (ATM), en el que el dispositivo (PC) esta configurado como un ordenador, que se integra en el terminal de autoservicio (ATM), en el que la camara (CAM) detecta una zona de registro (A), que cubre una zona de mando a supervisar del terminal de autoservicio (ATM), y en el que el dispositivo (PC) detecta una actuacion extrana sobre el sistema de camara (SYS), caracterizado por que el dispositivo (PC) detecta la actuacion extrana sobre el sistema de camara (SYS), verificando el dispositivo (PC) si aparece una modificacion del estado tecnico dentro del sistema de camara (SYS), en el que el dispositivo (PC) verifica (111) si la camara (CAM) es desactivada a traves de la actuacion extrana; y se verifica (120), si un controlador de aparatos (DRV) instalado en el sistema de camara (SYS) como parte del dispositivo (PC), que controla la camara (CAM), no tiene acceso a la camara (CAM), por que un controlador de otro ordenador controla la camara; y/o verifica (125) si son recibidos datos de imagenes (VD) por el dispositivo (PC), aunque no se solicite desde el dispositivo (PC) la emision de datos de imagenes.
8. 8. - Terminal de autoservicio (ATM) con un dispositivo (PC) segun la reivindicacion 7.
9. 9. - Sistema de camara (SYS) con un dispositivo (PC) segun la reivindicacion 7.