KR20000068374A - 메인 파일과 보조 파일간의 링크를 생성하는 수단을 구비하는 보안 모듈 - Google Patents

Abstract

본 발명은 데이터 처리 장치와 협동하고, 데이터 처리 수단, 및 수개의 파일을 저장하는 데이터 저장 수단을 구비하는 보안 모듈에 관한 것이다.

본 발명에 의한 보안 모듈은,

-적어도 하나의 메인 파일(30)과 하나의 보조 파일(31)간의 링크를 생성하기 위한 링크 생성 수단으로서, 상기 메인 파일은 소정 내용(33)을 갖고 로케이션 데이터(RFC)에 의해 상기 저장 수단에 있어서의 처리 수단에 액세스 가능하며, 상기 보조 파일(31)과 상기 로케이션 데이터를 결합하는, 링크 생성 수단; 및

- 상기 처리 수단에 액세스 가능하도록 하는 분기 수단으로서, 상기 처리 수단은 보조 파일(31)을 액세스하기 위한 액세스 요구를 실행하며, 상기 메인 파일(30)의 상기 내용(33)은 상기 로케이션 데이터(RFC)를 사용하는, 분기 수단을 구비하는 것을 특징으로 한다.

Description

메인 파일과 보조 파일간의 링크를 생성하는 수단을 구비하는 보안 모듈{SECURITY MODULE COMPRISING MEANS GENERATING LINKS BETWEEN MAIN FILES AND AUXILIARY FILES}

도1은 카드에 있어서 수개의 계층적 레벨을 갖는 트리 구조도이다.

도2는 카드에 있어서의 비휘발성 메모리 및 데이터 파일의 전형적인 구성도를 나타낸다.

도3은 본 발명에 사용된 파일의 2개의 기본 카테고리의 상세 구조도이다.

도4는 본 발명에 의한 파일 생성 절차의 단계들을 보인 플로우 챠트이다.

도5는 본 발명이 데이터 처리 장치와 협동하는 보안 모듈의 도면이다.

본 발명은 데이터 처리 장치와 협동하기 위한 보안 모듈에 관한 것으로, 데이터 처리 수단, 및 수개의 파일을 저장하는 데이터 저장 수단을 구비한다.

상기 용어 "보안 모듈"은 종래의 통상적인 형태를 가지며, 통신 또는 정보망에 있어서의 그의 목적은, 네트웍을 감시하는 역할을 하고, 보호 상태에서, 암호화키와 같은 네트웍의 기본 비밀 파라미터를 기억하는 장치를 나타내고, 보다 간단하게는, 각 사용자가 네트웍에 액세스할 수 있도록, 네트웍의 여러 사용자에 할당된 장치를 나타내며, 또한, 비밀 파라미터를 유지할 수 있는 장치를 나타낸다. 이 보안 모듈은 칩카드형의 휴대형 객체의 형태를 가질 수 있다.

본 발명은 미세회로 카드에 관한 것으로, 특히, 적어도 하나의 마이크로프로세서, 카드에 대한 오퍼레이팅 시스템을 내장하는 ROM(read only memory), 마이크로프로세서에 의해 프로그램가능한 하나 이상의 비휘발성 메모리를 구비하는 집적회로를 갖춘 휴대형 객체에 관한 것이다. 이들 비휘발성 메모리는 데이터를 기억하고 코드화할 수 있도록 한다. 마이크로프로세서는 정보의 전송을 제어하며, 필요할 경우, 외부로부터 수신된 데이터를 기억하고 그를 외부로 전송하기 위해 판독한다. 이들 객체는 하나 이상의 통신용 수단을 갖는다. 메모리는, EPROM, EEPROM, FeRAM, SRAM 또는 FLASH 기술을 사용할 수 있다.

기술의 진보에 따라, 프로그램을 내장하는 ROM 메모리의 용량은 점점 증대되고 있다. 이에 따라, 이 프로그램의 설계자는 보다 많은 기능을 부가할 수 있다. 이들 기능의 일부는 프로그래머블 메모리의 구성에 관한 것이다. 사이즈가 증대된 이 메모리는 독립 파일내에 계층적으로 구성되며, 이 구성은 특히 ISO Standard 7816-4에 기술되어 있다.

현재, 카드는 다수의 응용을 위해 사용될 수 있으며, 이를 위해, 예컨대 CARD, APPLICATION, SERVICE로 불리우는 2 또는 3 이상의 계층 레벨을 종종 갖는다. 각 레벨에서, 동일한 할당에 관한 정보는 파일별로 세분화되며, 이들 파일은 2 레벨의 저장, 즉, "DIRECTORY"를 구비하고 각 디렉토리에 있어서 동일한 특성의 정보는 "DATA FILES"에 저장된다.

수개의 레벨로 정의된 이 구조는 일반적으로 카드의 수주시, 즉 그의 이용전에 개발된다. 그러나, 이용시 다른 리스트 또는 다른 데이터 파일을 부가할 수 있으나, 프로그래머블 비휘발성 메모리에서 가능한 나머지 스페이스를 고려해야 한다.

이 사이즈가 한정된 메모리는, 디렉토리 및 데이터 파일의 적절한 기능을 위해 필요한 적절한 스페이스만 주문시 한정하여 스페이스를 낭비하지 않는 것이 중요하다.

스페이스를 낭비하지 않는 우수한 하나의 방법은 정보를 이중으로 하지 않는 것이다. 이에 따라, 몇몇 디렉토리에 의해 사용가능한 동일한 정보가 메모리의 몇몇 개소에 동일한 형태로 기입되지 않도록 할 필요가 있다. 바람직하지 않게, 디렉토리의 계층적 아키텍쳐는 수개의 디렉토리간에 동일한 데이터 파일을 공유하지 않도록 한다. 두 디렉토리가 동일한 정보를 가져야할 경우, 동일한 정보를 구비하는 2개의 데이터 파일을 내부에 생성하기 위한 해결책이 현재에는 존재하지 않는다. 본 발명은, 데이터 파일과 디렉토리간의 유기적 링크를 유지하면서, 공통 정보의 복제를 피함으로써 이 문제를 해결한다.

다른 문제는, 메모리에 있어서 몇몇 개소에 존재하는 파일들을 갱신하는 것이다. 실제로, 각 개소에 필요한 수정이 행해져야 한다. 오퍼레이션이 길게되는 점에 부가하여, 카드의 운영에 있어서 돌발적인 중단에 의해 훼손될수 있으며, 이 때 파일 세트의 불완전한 업데이트, 즉 어떤 파일들은 업데이트되나 다른 파일들은 업데이트되지 않는 중대한 결과로 될 수 있다.

또한, 다층 구조는 저급 데이터 파일이나 디렉토리에 대한 액세스 시간을 저하시킬수 있다. 실제로, 저급 디렉토리로부터 데이터를 복구하기 위해, 많은 경우에 고급 레벨의 모든 메인 디렉토리를 선택할 필요가 있다. 예컨대, 한 비휘발성 메모리에서 동일 레벨의 다른 비휘발성 메모리로 이행하기 위해서는, 트리 구조를 제1 공통 비휘발성 메모리로 상승시킨 다음, 중간 비휘발성 메모리를 선택함으로써 다시 하강 시킬 필요가 있다. 이 연속적 선택 메카니즘은 번거롭고 시간을 많이 소비한다.

본 발명의 목적은 이들 여러 문제를 해결하기 위한 것으로, 메모리에 동일한 데이터의 복제를 피하기 위한 수단을 제공하고; 수개의 파일에 공유하고 있는 정보의 일관성을 확보하며; 메모리내의 파일의 트리 구조에 있어서, 원격 비휘발성 메모리의 정보의 조사를 최적화한다.

이를 위해, 전술한 바와 같은 형태의 보안 모듈을 제공하며, 상기 모듈은,

- 적어도 하나의 메인 파일(30)과 하나의 보조 파일(31)간의 링크를 생성하기 위한 링크 생성 수단으로서, 상기 메인 파일은 소정 내용(33)을 갖고 로케이션 데이터(RFC)에 의해 상기 저장 수단에 있어서의 처리 수단에 액세스 가능하며, 상기 보조 파일(31)과 상기 로케이션 데이터를 결합하는, 링크 생성 수단; 및

- 상기 처리 수단에 액세스 가능하도록 하는 분기 수단으로서, 상기 처리 수단은 보조 파일(31)을 액세스하기 위한 액세스 요구를 실행하며, 상기 메인 파일(30)의 상기 내용(33)은 상기 로케이션 데이터(RFC)를 사용하는, 분기 수단을 구비한다.

이하, 본 발명의 바람직한 실시예를 첨부한 도면을 참조하여 설명한다.

도 5에 보인 데이터 처리 장치(51)는 공지의 필수 구성 요소로, ROM(53), RAM(54), 물리적 접촉 또는 물리적 접촉 없이, 보안 모듈(58)과 협동하기 위한 수단(55), 상기 데이터 처리 장치가 직접 또는 통신망을 통해 다른 유사한 장치와 통신하도록 하는 전송 인터페이스(57)을 구비한다.

상기 장치(51)에는 또한, 제거 또는 제거불가능한 디스켓 또는 디스크와 같은 저장 수단, (키보드 및/또는 마우스형 포인팅 장치와 같은) 입력 수단, 및 도5에는 도시하지 않은 표시 수단 등이 구비된다.

상기 데이터 처리 장치는, 정보를 취급하거나 각종 물건 및 서비스를 제공하는 수단을 제공할 수 있는, 개인 또는 공용으로 설치된 컴퓨터 장치로 구성될수 있으며, 상기 장치는 영구적으로 장착되거나 휴대용일 수 있다. 다른 장치들중에는 원격통신 장치가 있다.

또한, 상기 보안 모듈(58)은, 데이터 처리 수단(59), 비휘발성 메모리(60), 비휘발성 동작 메모리 RAM(64), 및 상기 데이터 처리 장치와 협동하기 위한 수단(63)을 포함한다. 상기 모듈은, 메모리(60)내에 있어서, 일단 기억된 정보가 외부에서 액세스될 수 없고 데이터 처리 수단(59)으로만 액세스가능한 보안 영역(61), 데이터의 판독 및/또는 기입을 위해 모듈 외부에서 액세스될 수 있는 개방 영역을 한정한다. 이 비휘발성 메모리(60)의 영역은, 수정 불가능한 ROM부와 수정가능한 EPROM 또는 EEPROM부를 구비할 수 있으며, 또는 종래의 RAM과 동일한 액세스 시간을 갖는 EEPROM의 특성을 갖는 "플래시"형 RAM으로 구성될 수 있다.

보안 모듈(58)로서, 본 출원인 명의의 미국 특허 4,382,279호에 개시된 바와 같이, 셀프-프로그래머블 비휘발성 메모리를 갖는 마이크로프로세서를 사용할 수 있다. 상기 특허의 컬럼 1, 13-25행에 기재된 바와 같이, 상기 메모리의 셀프-프로그래머블 특징은 이 메모리내에 위치된 프로그램 fi를 상기 메모리내에 위치된 다른 프로그램 fj로 변경시키고, 또한 상기 프로그램을 gj로 변경시키는 능력에 해당한다. 상기 셀프-프로그래머블을 실행하기 위해 사용되는 수단은 상기 데이터 처리 수단(59)을 설계하기 위해 사용되는 기술에 따라 다를 수 있으나, 이들 처리 수단이 상기 특허에 따른 비휘발성 메모리와 조합된 마이크로프로세서로 구성되는 경우에, 이들 수단은,

- 메모리와 조합된, 데이터 및 어드레스 버퍼; 및

- 메모리내에 기입하기 위한 프로그램으로서, 메모리내에 로드되고, 특히 기 입될 데이터는 물론 메모리의 프로그래밍 전압을 유지할 수 있도록 하는 명령을 포함하며, 한편, 충분한 시간 동안, 프로그램을 기입하는 그들의 어드레스가 논리회로 기입 콘트롤러에 의해 치환될수 있는, 프로그램;을 구비한다.

다른 예에 있어서, 상기 보안 모듈(58)의 마이크로프로세서는 교체되거나 또는 반도체칩에 실장된 논리회로에 의해 적어도 보완된다. 기본적으로, 이 형태의 회로는, 마이크로프로그램 전자회로가 아닌, 하드와이어링을 사용하여, 특히 인증 및 서명 계산과 같은 계산을 행할 수 있다. 특히, 이들은 ASIC(Application Specific Integrated Circuit)형의 회로로 될 수 있다. 레퍼런스 번호 SLE4436으로 시중에 판매되는 SIEMENS 부품 및 레퍼런스 번호 ST 1335로 시중에 판매되는 SGS-THOMSON 부품을 예로 들 수 있다.

보안 모듈(58)은 글칩상의 모노리틱형으로 설계되는 것이 바람직하다.

상기 셀프-프로그래머블 비휘발성 메모리를 갖는 마이크로프로세서의 변형예로서, 보안 모듈은 보호성으로 인해 범접할 수 없는 인클로우저에 위치되게 된다.

카드의 비휘발성 메모리는, 상기한 바와 같이, 디렉토리 또는 기본 데이터 파일의 두가지 형태로 될 수 있는 파일내에 구성된다. 각각의 기본적 파일은, 헤더 및 정보를 포함하는 보디를 포함한다. 계층 레벨은 헤더에 표시되며, 이 헤더는 파일의 레퍼런스, 카드의 상태 또는 수명 예측, 액세스 조건 및 사이즈를 포함한다. 일반적으로, 헤더는 보디에 저장된 정보를 취급할 수 있도록 하는 모든 정보를 포함한다. 통상적으로 2 또는 3 레벨이 사용된다. 도1을 참조하면, 일반적으로, 상측 레벨은 "CARD"라 하고, 하측 레벨은 "APPLICATION" 또는 "SERVICE"로 부른다. 3 레벨이상을 갖는 카드를 설계하는 것도 가능하며, 본 실시예에서는 3 레벨이 기술되어 있다.

실시예에 있어서, APPLICATION-레벨 디렉토리로 표시되는, 뱅킹, 시정 애플리케이션(municipal applicatipn), 메디칼 파일, 또는 셀룰러폰과 같은 각종 응용에 사용될수 있다. 상기 시정 애플리케이션에 있어서, 공공 운송, 풀 및 도서관 액세스, 주차 요금과 같은 부분이 있으며, 이들은 SERVICE-레벨 디렉토리로 표시된다.

도2는, 카드의 프로그래머블 메모리에 있어서의 파일들간의 계층 링크의 예시도이다. CARD 디렉토리는 2개의 APPLICATION 디렉토리(1,2) 및 기본 파일 C1을 포함한다. APPLICATION 디렉토리(1)는 2개의 SERVICE 디렉토리 A1-S1, A1-S2 및 기본 파일 A1-1을 포함한다. SERVICE 디렉토리 A1-S2는 단 하나의 기본 데이터 파일 A1S1-1만을 갖는다. APPLICATION 디렉토리(2)는 2개의 SERVICE 디렉토리 A2-S1, A2-S2를 갖는다. SERVICE 디렉토리 A2-S1은 2개의 기본 데이터 파일 A2S1-1 및 A2S1-2를 갖는다. SERVICE 디렉토리 A2-S2는 하나의 기본 데이터 파일 A2S2-1을 갖는다. 이들 모든 파일은, 카드의 한정된 메모리내에 무시할 수 없는 양 및 공간을 점하고 있으며, 메모리 공간의 사용을 최적화하고 수개의 다른 개소에 동일한 정보를 복제하는 것을 피하는 것이 중요하다.

어떤 경우에는, 동일한 정보가 2개의 상이한 디렉토리에 의해 사용된다. 예컨대, 개별적인 카드 소유자의 뱅킹 정보: 소유자의 성명 및 주소, 은행명 및 위치, 계좌번호, 신용 정보, 등이 예컨대, 도2에 도시된, APPLICATION 디렉토리(1)의 기본 파일 A1-1과 같은, 뱅킹 애플리케이션에 대응하는 디렉토리에 포함된 기본 파일에 저장될 수 있다.

카드는 또한, "City Card"로서도 기능한다. 이 애플리케이션은 APPLICATION 디렉토리(2)에 의해 취급된다. 다른 것들 간에는, 시도서관 및 일정한 입장료지불 문화활동(극장, 영화, 등)에 참가하기 위해, 공공 운송 요금을 지불할 수 있다. 이들 서비스는 APPLICATION 디렉토리(2)에 따라, 2개의 SERVICE 디렉토리 A2-S1 및 A2-S2에 의해 처리된다. 카드가, 예컨대 공공 운송을 통해 행해지는 여행경비를 지불하기 위한 지불 수단으로서 사용될 때, 대금은, 그의 정보가 기본 파일 A1-1에 표시되어 있는 은행 구좌로부터 직접 지불된다. 따라서, APPLICATION 디렉토리(1)의 기본 파일 A1-1의 정보는 SERVICE 디렉토리 A2-S1으로부터 액세스가능해야 한다. 이 액세스는 도2에 화살표로 표시되어 있다. 데이터를 재생하는 것으로 구성되는 해법은 불만족스럽다.

다른 예는 보안 키 및 비밀 코드에 관한 것이다. 이들의 값은 계층적으로 종속적인 각종 디렉토리를 액세스할 때 동일하게 될 수 있다. 이는 1024비트 이상으로 저장된 (발명자들인, Rivest, Shamir, 및 Adleman으로 부터의) RSA형의 키를 사용할 때의 실질적인 문제이다. 최종 예는 기본 인증 파일에 관한 것이다. 이들 기본 파일은 키 또는 코드의 정확하거나 또는 부정확한 프리젠테이션을 기억하기 위해 사용된다. 서로 다른 키들에 대응하는 몇몇 기본 인증 파일의 그룹화는 스페이스를 얻고 보안성을 증대시킬 수 있도록 한다.

본 발명을 실시하기 위한 한 방법은, 그 보디가 다른 파일의 보디와 동일한 소위 "Link" 파일을 생성 및 처리하는 것으로 구성된다. 본 발명은 수개의 파일들간에 동일한 보디를 공유할 수 있도록 구성된다. 이는 파일의 헤더 또는 그의 보디에 있어서, 데이터가 실제로 위치되는 어드레스를 지시함으로써 수행될수 있다.

도3은 타겟 파일(30)과 링크 파일(31)의 두 파일을 나타낸다. 다음 설명은 파일이 데이터 파일인 경우 및 디렉토리를 나타내는 경우에 관한 것이다. 이들 디렉토리는 데이터 파일에 대한 액세스를 제공하는 서브디렉토리의 트리 또는 이들 에 직접 부착된 데이터 파일, 또는 이들 양자를 모두 포함한다. 용어 "데이터"는 비실행 데이터 및 실행가능한 데이터, 또는 프로그램을 모두 포함한다.

본 실시예에서 타겟 파일(30)은 헤더(32)와 보디(33)를 구비하는 두 부분으로 구성된다. 헤더(32)는 그 자체로 공지된 제1그룹의 파라미터, 즉,

- 파일이 디렉토리 또는 데이터 파일인지를 나타내는, 형태;

- 그를 포함하는 디렉토리내에 파일을 지정하는 식별자로, 예컨대, 명칭, 번호와 같은 것으로 될 수 있다;

- 임의의 사용자에 대해, 소정 파일에 대한 액세스권의 리스트를 제공하는 액세스 조건으로, 이들은, 예컨대, 파일이 독출 또는 기입-액세스 가능한지를 나타내며; 이들 권리의 허가는 공지의 형태로 키 또는 패스워드의 제시에 의한다.

헤더(32)는 본 발명에 특징적인 제2그룹의 파라미터, 즉,

- 2개의 값을 가질수 있는 파라미터 〈Link〉로서; 이 파일이 링크 파일인 것을 나타내는 값 1, 또는 링크 파일이 아닌 것을 나타내는 값 0이며; 이 경우, 이 파라미터는 값 0을 갖는다;

- 2개의 값을 가질수 있는 파라미터 〉Link〈로서; 이 파일이 타겟 파일인 것을 나타내는 값 1, 또는 타겟 파일이 아닌 것을 나타내는 값 0이며; 이 경우, 이 파라미터는 값 1을 갖는다;

- 2개의 값을 가질 수 있는 파라미터 A-Link로서; 이 파일이 링크 파일에 링크될수 있는 것을 나타내는 값 1, 또는 이것이 아닌 것을 나타내는 값 0이다;

- 이 파일과 링크 파일간의 링크를 생성하도록 할 때 사용자가 이행해야하는 생성 조건을 정의하는 파라미터 CA-Link로서; 이들은 예컨대, 사용자에 의해 제시된 키 또는 패스워드일 수 있다.

끝으로, 헤더(32)는 상기 보디(33)가 저장되어 있는 저장 어드레스 RC의 2진 값을 카드의 마이크로프로세서에 지시하는 레퍼런스 RC를 포함한다.

다른 예로, 보디(33)는 헤더(32) 바로 다음에 메모리에 저장되어, 상기 레퍼런스 MC의 언급이 불필요하게 된다.

또한, 타겟 파일(30)이 "디렉토리형"인 경우, 보디(33)는 데이터 파일에 액세스를 제공하는 서브디렉토리의 트리, 또는 그에 직접 부착된 데이터 파일, 또는 이들 양자를 포함한다.

한편, 타겟 파일(30)이 "데이터 파일"인 경우, 보디(33)는 직접 독출-액세스가능하고, 수정가능하거나 또는 카드의 마이크로프로세서에 의해 실행가능한 1조의 데이터를 포함한다.

다른 예로, 타겟 파일(30)의 구성은 도3에 보인 두부분(헤더와 보디) 구성과 상이하게 될 수 있다. 이에 따라, 예컨대, 헤더(32)의 파라마터는 보디의 특정 개소에 분포될 수 있다.

링크 파일(31)은 단 하나의 부분, 즉 타겟 파일(30)의 헤더(32)와 동일한 구성을 갖는 헤더를 구비하나, 그 내용이 다음과 같이 상이하다.

- 그것이 링크 파일이고 타겟 파일이 아니기 때문에, 파라미터 A-Link와 CA-Link는 하기 특정한 경우를 제외하고 일반적으로는 사용되지 않는다;

- 또한, "레퍼런스"는 링크 파일에 부착된 포텐셜 보디에 관한 것이 아니고, 이 링크 파일에 링크된 타겟 파일의 메모리내의 위치를 나타내는 레퍼런스 RFC이다. 이 예에서, 그것은 타겟 파일(30)이다. 레퍼런스 RFC는, 상기 타겟 파일(30)이 저장되는 저장 어드레스의 2진값으로 구성되는 "물리적"이거나 또는 다른 예로, 타겟 파일(30)이 액세스가능한 하나 이상의 디렉토리의 식별자를 나타내는 액세스 경로로 구성되는 "논리적"으로 된다.

카드의 동적 처리의 특정한 경우, 카드는 메모리 공간의 사용을 최적화하기 위해 마이크로프로세서로 구성될 수 있다. 따라서, 파일의 위치는 변동될수 있으며; 이에 따라, 그들의 저장을 어드레스 할 수 있다. 이 경우, 물리적 어드레스는 항시 변경될 염려가 있기 때문에, 타겟 파일의 논리적 레퍼런스만 용이하게 사용될수 있다. 상기 경우를 1예로 하면, 논리적 레퍼런스는, [CARD → APPLICATION1 → Data file A1-1]이다.

따라서, 링크 파일은 보디가 없는 것이 명백하나, 그의 보디가 링크 파일에 액세스될 수 있는 소정의 타겟 파일에 링크되어 있다.

특정한 경우, 링크 파일(31)과 다른 제2 링크 파일이, 직접 타겟 파일에는 링크돠지 않고, 예컨대, 링크 파일(31)에 링크될수 있다. 이 상황을 이하에 설명한다.

- 제2 링크 파일에 포함된 레퍼런스가 링크 파일(31)이고;

- 파라미터 CA-Link가 상기 제2 링크 파일을 생성하기 위한 조건을 입증하기 위해 제1 링크 파일의 헤더에 사용되는 것이 바람직하다.

동작시, 파일이 사용자에 의해 사용될 때, 마이크로프로세서의 프로그램은 그의 헤더를 판독하고 그의 파라미터 〈Link〉를 테스트한다. 그것이 0일 경우, 동작은 종래 기술에 따르고, 보디는 이 헤더에 직접 부착된다.

〈Link〉가 1일 경우, 파일은 링크 파일이다. 따라서, 프로그램은 링크 파일의 헤더에 직접 부착된 보디를 포함하는 타겟 파일의 액세스 경로 또는 어드레스를 나타내는 링크 파일의 레퍼런스 RFC를 판독한다. 마이크로프로세서 또는 사용자에 액세스가능한 타겟 파일의 내용을 조작하기 전에, 프로그램은 다음의 입증을 행하여, 링크 파일과 타겟 파일의 각각의 헤더를 고려한다.

- 링크 파일의 생성시, 식별된 타겟 파일의 형태가 링크 파일과 동일한 지를 입증한다. 아닐 경우, 링크 파일을 액세스하기 위한 절차가 중단된다.

- 타겟 파일에 대한 각각의 액세스시, 후술되는 절차를 사용하여 액세스 조건의 이행을 입증한다.

일단 이들 입증이 행해지면, 프로그램은 리크 파일의 내용을 액세스하기 위해 그의 절차를 진행한다. 타겟 파일의 보디의 사이즈가 "0 바이트"인 경우, 즉, 아무것도 포함하지 않은 경우, 프로그램은 중단되어 카드는 에러 메시지로 복귀한다. 그렇지 않을 경우, 프로그램은 이 보디에 포함된 정보를 조사하고, 어드레스 RC를 개시한다. 도2의 실시예에서, 애플리케이션 디렉토리 1의 파일 A1-1이 타겟 파일의 형태로 생성되고, 서비스 디렉토리 A2-S1 및 A2-S2의 파일 A2S1-1, A2S1-2, A2S2-1이 링크 파일의 형태로 생성되는 것으로 가정한다. 따라서, A2S1-1과 같은 링크 파일의 선택은 타겟 파일 A1-1의 내용에 대한 액세스를 제공한다.

타겟 파일의 헤더에 정의된, 타겟 파일의 보디를 액세스하기 위한 조건은, 항상 링크 파일과 타겟 파일간의 링크의 실행시 이행되어야 한다. 이와 다른 몇 개의 가능한 방법이 있다. 이들 중 가장 간단한 것은, 타겟 파일의 헤더에 정의된 액세스 조건을 따르는 것으로 구성되며; 이에 따라, 링크 파일을 통해 타겟 파일의 정보를 액세스하는 것은 타겟 파일의 액세스 조건이 이행되었을 경우에만 가능하다.

다른 방법은, 링크 파일의 생성시 타겟 파일의 액세스 조건을 고려하는 것으로 구성된다. 이 경우, 링크 파일의 헤더에 기입된 액세스 조건이, 그에 링크되는 타겟 파일의 모든 액세스 조건을 포함하는 것을 입증할 필요가 있다.

제3 방법은 액세스 조건이 2진값의 형태로 표현될 때 적용될수 있으며; 이는 두 개의 액세스 조건을 결합하는 것으로 구성된다. 즉, 이 동작은 두개 값사이의 AND 동작을 실행함으로써 행해질 수 있다. 링크 파일을 타겟 파일의 정보에 대한 액세스가 링크 파일과 타겟 파일 모두의 액세스 조건이 이행될 경우에만 허용된다.

액세스 제어 레벨에서의 이들 각종 방법의 목적은 보다 바람직한 액세스 조건을 갖는 파일에 그를 링크시킴으로써 파일의 액세스 조건이 번거롭지 않게 하기 위한 것이다.

보안에 관한 중요한 사항은, 타겟 파일이 다른 파일에 링크되지 않도록 타겟 파일의 파라미터 A-Link를 사용하는 것으로 구성된다. 이 파라미터의 값이 상기 타겟 파일에 부착된 링크 파일의 생성시 "1"일 경우, 동작은 성공적으로 완료되며 타겟 파일의 보디의 내용이 링크 파일에 의해 액세스가능하게 된다. 한편, 그의 값이 "0"일 경우, 타겟 파일은 어떠한 다른 파일에 링크될 수 없다. 필드 A-Link가 "0"인 것을 나타내는 링크 파일을 생성하고자 할 때, 동작은 거부되어 카드는 에러 메시지로 복귀한다.

문제는 링크 또는 타겟 파일과 같이 소거시 일어난다. 타겟 파일이 소거되는 경우, 링크 파일을 통해 그에 포함된 정보를 액세스 하는 것은 더 이상 불가능하다. 이와 같은 소거의 결과는 이 파일을 포함하는 디렉토리를 정당화하는데에 한정되지 않으며, 다른 디렉토리에 영향을 미칠 수 있다. 해결책은 하나 이상의 링크 파일이 부착되는 타겟 파일의 소거를 금지하거나, 또는 소거 후 어떤 파일이 더 이상 동작되지 않는 것을 카드의 사용자에 경고하는 것을 포함한다. 첫 번째 방법은 값 〉Link〈를 테스트하는 것으로 구성된다. 이 값이 1이면, 소거되는 파일은 타겟 파일이다. 따라서, 동작은 금지 또는 경고에 의해, 성공적으로 완료된다; 후자의 경우, 카드의 콘트롤 단말기는 소거된 타겟 파일에 링크된 모든 파일을 소거해야 한다.

나머지 메모리를 훼손하지 않고 타겟 파일을 소거하기 위해, 우선, 그에 부착된 모든 링크 파일을 소거할 필요가 있다. 마지막 링크 파일의 소거시, 인디케이터 〉Link〈는 값"0"을 가지며, 이에 따라 더 이상 어떤 파일도 없음을 나타낸다. 카드의 전체 비휘발성 메모리를 시간마다 스캐닝하지 않고 링크 파일의 수를 계수하기 위해서는 간단한 2진 인디케이터로는 불충분하다. 하나의 해결책은 파라미터 〉Link〈 대신 카운터 Cp-Link를 제공하는 것이다. 이는 8비트 카운터가 바람직하며, 최대 255개 링크 파일의 존재를 가능케 한다. 이 수는 현재의 여러 응용들에 대해서는 충분한 것으로 여겨진다. 이 카운터는 타겟 파일의 헤더에 채용된다.

타겟 파일의 생성시, 카운터 Cp-Link는 "00"으로 설정된다. 타겟 파일에 부착된 링크 파일의 새로운 생성에 따라, 카운터는 증분된다. 그에 부착된 링크 파일의 선택시, 카운터의 값은 다른 헤더 정보와 함께 전송될수 있다; 이에 따라, 사용자는 선택된 타겟 파일에 부착된 링크 파일의 수를 알 수 있다.

타겟 파일의 소거의 문제를 더욱 효과적으로 해결하기 위해, 카드의 프로그램에 카드의 외부로부터 액티브될 수 있는 명령이 제공되어, 두 파일의 각각의 "링크" 및 "타겟"을 교체할 수 있다. 이에 따라, 링크 파일로 되는 타겟 파일이 다른 링크 파일에 대한 영향 없이 소거될 수 있다. 새로운 타겟 파일의 내용은 구 타겟 파일의 내용으로 구성된다. 이 동작은 특히, 파일 보디가 헤더로 물리적으로 분리될 때 용이하다. 보안상의 이유로, 이 명령의 실행은 구 타겟 파일의 헤더에 정의된 액세스 조건의 입증, 및 신 타겟 파일의 디렉토리에 있어서의 파라미터 CA-Link에 의해 정의된, 파일들간의 링크를 생성하기 위한 조건의 입증을 받는다. 이 교환 명령의 실행시, 구 타겟 파일의 카운터 CP-Link의 값은 신 타겟 파일의 카운터 CP-Link에 저장된다.

도4는 파일 생성 과정을 보인 것으로, 그 파일이 링크 파일인지의 여부를 도시한 것이다. 링크 파일에 관한 본 발명의 특징적인 스텝들에 부가하여, 공지의 어떤 스텝을 포함하며 그의 특성에 무관하게 임의의 파일의 생성에 관한 것이다. 스텝 1에서, 파일 생성 절차는 카드에 의해 수신되며, 이어서 데이터가 생성된다. 이 데이터는 특히 생성되는 파일의 식별자 및 형태를 정의하며, 그것이 링크 파일인 경우, 링크되어야 하는 타겟 파일의 레퍼런스 RFC(도3)로 된다.

다음, 카드의 오퍼레이팅 시스템은 새로운 파일의 생성이 현재 디렉토리에 가능한지를 입증한다(스텝 2). 실제로, 새로운 파일의 생성은 현재 디렉토리의 헤더의 액세스 조건에 의해 정의된 키의 사전의 정확한 제시를 받을 수 있다. 다음, 오퍼레이팅 시스템은 새로운 파일을 포함하도록 현재 디렉토리에 충분한 메모리가 있는 지를 입증한다(스텝 3). 이들 테스트가 부정적이면, 생성 순서는 중단되고(스텝 13), 카드는 스톱의 소스에 대응하는 메시지를 전송한다.

다음, 오퍼레이팅 시스템은 생성된 파일이 정상 파일인지 또는 링크 파일인지를 알기 위해 테스트한다(스텝 4). 테스트의 기초로 될 수 있는, 정상 파일과 링크 파일간의 중요한 차이는 생성 데이터, 주로 타겟 파일의 위치(물리적 또는 논리적 어드레스)의 정밀한 지시에 있다. 그것이 링크 파일이 아닌 경우, 프로그램은 후술되는 스텝 12로 직접 점프한다. 그렇지 않으면, 지정된 타겟 파일에 대응하는 정보는 스텝 5에서 조사 및 분석된다; 다음, 오퍼레이팅 시스템은 지정된 타겟 파일과 생성될 링크 파일간의 링크가 가능하도록 다수의 테스트를 행한다.

우선적으로, 타겟 파일이 실제로 존재하는 것을 입증하기 위해 상기 생성 데이터를 사용한다(스텝 6). 한편, 이 데이터가 임의의 파일에 대응하지 않을 경우, 생성 동작이 중단되고 카드는 에러 메시지를 보낸다(스텝 13). 스텝 7에서, 위치된 타겟 파일의 파라미터 A-Link가 테스트된다. 그의 값이 "1"이면, 동작은 완전히 성공적으로 완료된다. 그렇지 않으면, 타겟 파일은 임의의 다른 파일에 링크될수 없다. 다음, 생성 동작이 중단되고 카드는 에러 메시지를 보낸다. 스텝 8에서, 오퍼레이팅 시스템은 링크 파일의 생성 조건에 정의된 포텐셜 키, 즉 타겟 파일의 파라미터 CA-Link에 의해 정의된 포텐셜 키가 우선적으로 제공되었는지를 알기 위해 테스트한다. 이 경우가 아닌 경우, 생성 동작은 중단된다.

스텝 9에서, 카드의 오퍼레이팅 시스템은 파일 형태와 정보에 대한 액세스 조건이 일치하는 지를 입증한다. 이를 행하기 위해, 타겟 파일의 파라미터 TYPE 이 생성 데이터에 있어서 전송된 것과 비교된다. 데이터 파일과 디렉토리간의 링크, 또는 "공용" 타입의 데이터 파일과 "비밀" 형태의 데이터 파일간의 링크를 생성하도록 하기 위한 생성 절차의 경우, 이들 값이 다르거나, 또는 적어도 양립하지 않으면, 생성 동작은 중단되고 카드는 에러 메시지를 전송한다. 이 테스트는 선택적인 데, 그 이유는 다른 해법이 생성될 링크 파일을 위해 수신된 데이터를, 지정된 타겟 파일과 동일한 값으로, 설정하기 때문이며, 이 경우, 양립성이 일정하게 된다.

끝으로, 타겟 파일에 포함된 정보에 대한 액세스를 위해 상기 조건들에 기초하여 최종 테스트를 행한다(스텝10). 보다 바람직한 액세스 조건을 갖는 링크 파일을 통해 타겟 파일의 액세스 조건의 번거로움을 방지해야 한다. 상기 방법중 하나는, 타겟 파일보다 규제가 덜한 액세스 조건을 갖는 링크 파일의 생성을 금지하는 것으로 구성되며; 다음, 생성 동작은 중단되고 카드는 에러 메시지를 보낸다(스텝 13). 다른 방법은 링크 파일의 보다 바람직한 액세스 조건에 맞추어 수정하는 것을 포함하며, 이에 따라 적어도 타겟 파일 정도로 규제되도록 한다. 이 경우, 스텝 10에서의 테스트는, 필요할 경우, 명령으로 전송된 액세스 조건의 수정을 포함하는 계산 동작으로 된다.

일단 테스트 동작이 완료되면, 링크 파일의 생성이 개시된다. 스텝 11에서, 타겟 파일의 헤더가 갱신된다. 이는 주로 파라미터 〉Link〈 또는 Cp-Link를 수반한다. 파라미터 〉Link〉〈를 수반할 경우, 프로그램은 값 "1"을 갖는 것을 입증하고, 그렇지 않으면, 이 값으로 설정된다. 한편, 카운터 Cp-Link를 수반할 경우, 카운터는 1단위만큼 증분된다.

끝으로, 스텝 12에서, 실제로 새로운 파일이 생성되고, 이 파일의 헤더 파라미터의 값은 상기 생성 데이터로부터 동작 메모리에서 결정된다. 이들 값은 프로그래머블 비휘발성 메모리에 기입된다. 그것이 생성된 링크 파일인 경우, 타겟 파일(물리적 또는 논리적 어드레스)의 위치에 링크된 레퍼런스가 기입된다. 일단 모든 스텝이 종결되면, 카드는 정확한 상태 메시지로 복귀하고 생성된 새로운 파일이 동작가능하게 된다.

타겟 파일이 생성된 경우에 대해서는, 그의 생성에 있어, 파일이 종래의 파일과 유사하기 때문에 상세히 설명하지 않는다. 그것은 실제의 타겟 파일로되는 링크 파일에 링크되는 순간만이다.

링크 디렉토리에 관한 본 발명의 바람직한 응용은 전자 지갑 디렉토리가 대금의 지불을 위해 카드가 사용되는 것이다. 이 디렉토리는 키, 차변-대변 영역, 패스워드 입증 영역 등을 포함하는 기본 파일을 포함한다. 이 형태의 디렉토리는, 여러 가지 용도(운송, 레스토랑, 쇼핑)로 사용될 수 있다. 따라서, 이들 각각은, 타겟 디렉토리로 되는 전자 지갑 디렉토리에 결합된 링크 디렉토리를 포함할 수 있다.

Claims (6)

1. 데이터 처리 장치와 협동하고, 데이터 처리 수단, 및 수개의 파일을 저장하는 데이터 저장 수단을 구비하는 보안 모듈에 있어서,

   - 적어도 하나의 메인 파일(30)과 하나의 보조 파일(31)간의 링크를 생성하기 위한 링크 생성 수단으로서, 상기 메인 파일은 소정 내용(33)을 갖고 로케이션 데이터(RFC)에 의해 상기 저장 수단내의 처리 수단에 액세스 가능하며, 상기 보조 파일(31)과 상기 로케이션 데이터를 조합되는, 링크 생성 수단; 및

   - 상기 처리 수단에 액세스 가능하도록 하는 분기 수단으로서, 상기 처리 수단은 보조 파일(31)을 액세스하기 위한 액세스 요구를 실행하며, 상기 메인 파일(30)의 상기 내용(33)은 상기 로케이션 데이터(RFC)를 사용하는, 분기 수단을 구비하는 것을 특징으로 하는 보안 모듈.
2. 제1항에 있어서, 상기 보조 파일(31)은 메인 파일(30)에 대한 로케이션 데이터를 포함하는 것을 나타내는 파라미터 (〈Link〉)를 포함하는 것을 특징으로 하는 보안 모듈.
3. 제1항에 있어서, 상기 메인 파일(31)은 그의 로케이션 데이터(RFC)가 적어도 하나의 보조 파일(31)과 조합된 것을 지시하는 파라미터 (〉Link〈)를 포함하는 것을 특징으로 하는 보안 모듈.
4. 제3항에 있어서, 상기 파라미터(〉Link〈)는 상기 메인 파일(30)에 링크되는 다수의 보조 파일(31)을 계수하기 위한 카운터(Cp-Link)의 값인 것을 특징으로 하는 보안 모듈.
5. 제1항에 있어서, 상기 메인 파일(30)은, 보조 파일(31)의 액세스 요구가 있을 때, 그의 액세스가능한 내용의 실행이 정당한 지의 여부를 나타내는 파라미터(A-Link)를 포함하는 것을 특징으로 하는 보안 모듈.
6. 제1항에 있어서, 상기 메인 파일(30)은, 소정의 보조 파일(31)과의 링크의 생성시 상기 처리 수단을 실행해야 하는 생성 조건을 정의하는 파라미터(CA-Link)를 포함하는 것을 특징으로 하는 보안 모듈.