NL1016547C2 - Werkwijze en systeem voor het plaatsen van een dienst op een inrichting met een geheugen en een verwerkingseenheid. - Google Patents

Description

WERKWIJZE EN SYSTEEM VOOR HET PLAATSEN VAN EEN DIENST OP EEN INRICHTING MET EEN GEHEUGEN EN EEN VERWERKINGSEEN- HEID.

'In de bancaire wereld wordt gebruik gemaakt van chipkaarten waarop tijdens een personalisatieproces; waarbij de kaart wordt voorzien van cliëntgegevens, beveiligingssleutels en dienstgegevens ten behoeve van de 5 kaarthouder en diensten worden geplaatst zodat de kaarthouder hiermee bijvoorbeeld elektronisch contant kan betalen.

Deze kaarten zijn voorzien van een sterke beveiliging. Alle diensten dienen te worden geplaatst op 10 het moment van personalisatie, waarna het niet meer mogelijk is om diensten toe te voegen. Echter de levensduur van de kaarten neemt toe en men kan niet altijd voorzien of er tijdens de levensduur behoefte is aan een nieuwe dienst. De kaart moet dan ook vervangen worden als 15 er behoefte is aan een nieuwe dienst. Dit vervangen kost tijd en geld. Tevens kost het geld om diensten te plaatsen die een kaarthouder wellicht helemaal nooit meer wil gebruiken in de periode dat hij deze bezit.

Om deze problemen te ondervangen voorziet de 20 onderhavige uitvinding in een werkwijze voor het toevoegen van dienstgegevens ten behoeve van een dienst aan een inrichting met een geheugen en een verwerkingseenheid met behulp van tenminste een lees-/schrijfinrichting voor het lezen uit en het schrijven van gegevens naar de inrich-25 ting, omvattende de volgende stappen: - het uitvoeren van een of meer controlestap- pen; - het lezen van vooraf in het geheugen opgeslagen gegevens uit de inrichting die nodig zijn voor het 30 bijplaatsen van toe te voegen gegevens en of instructies, - het schrijven van toe te voegen gegevens en/of instructies in het geheugen.

In een voorkeursuitvoeringsvorm is deze werkwijze erco gericht dat de inrichting met Θ6π geheugen en 1016547* ......

2 een verwerkingseenheid een chipkaart is. Een voordeel van deze werkwijze is dat hiermee voor het eerst diensten op een kaart geplaatst kunnen worden en dat zelfs elke denkbare dienst op een kaart geplaatst kan worden. Dat 5 wil zeggen dat ook diensten die op het moment van het produceren van de kaart nog niet bedacht zijn later toch kunnen worden geplaatst. De voordelen zijn dan ook tweeledig: er hoeven geen diensten op een kaart te worden geplaatst waar op het moment van prodüctie geen behoefte 10 aan is, hetgeen geheugenruimte spaart, en er is uitbreiding mogelijk als er behoefte bestaat. Er kunnen hierdoor kaarten zonder diensten worden uitgegeven hetgeen maximale flexibiliteit voor de kaarthouder geeft ten aanzien van zijn keuze in mogelijke diensten.

15 Een verdere voorkeursuitvoering van de onderha vige uitvinding is dat de inrichting met een geheugen en een verwerkingseenheid een token is. Een token is een identificatie- en/of authenticatie-inrichting dat bijvoorbeeld aansluitbaar is op een computer, een telefoon, 20 een organiser of een auto. Met behulp van het token krijgt de houder daarvan rechten en/of de mogelijkheid transacties te verrichten. Met behulp van de werkwijze kunnen diensten op het token worden geplaatst. Het token kan zijn toegerust met bijvoorbeeld een seriele of een 25 usb connector, Blue tooth of andere communicatiemogelijkheid.

Verdere voorkeursuitvoeringsvormen omvattende eventuele volgende stappen: - het maken van kaartschrijfinstructies voor 3 0 het op de kaart schrijven van toe te voegen gegevens en/of instructies, zijnde gegevens en/of instructies die in een gegevens formaat zijn gebracht geschikt voor schrijven op een kaart, het lezen van dienstgegevens uit een gegevensbank, zijnde gegevens over diensten op basis 35 waarvan met behulp van gegevens van de kaart en versleutel ingsbewerkingen kaartinstructies kunnen worden gemaakt, het omzetten van dienstgegevens in kaartschrij f in- 3t- v-met ttï0Vrri^V2_-ng- V3.vl VOOÜT3.f ΪΓ1 1“1ΞΪ1 CJ'cïlT'SlIQ’Sr"' 1016547· 3 opgeslagen gegevens, het verifiëren van de kaarthouder door middel van een controle op de PIN, controlestappen die de volgende stappen omvatten: - het controleren of op de kaart hoofdbestanden 5 aanwezig zijn; - het controleren of de blokkeringstatus de waarde nee heeft; - het controleren of de hoeveelheid vrije ruimte aanwezig op kaart voldoende is voor het plaatsen 10 van de gewenste dienst.

De dienstgegevens omvatten een unieke dienst-identificatie en dienstinformatie en de dienstgegevens bestaan uit een veelheid van delen van dienstinstructies. De gegevens van de kaart die nodig zijn voor het bij-15 plaatsen van nieuwe gegevens, gegevens die aanduiden hoeveel ruimte er nog is, een referentie die aangeeft welk slot op de kaart de laatste is, een referentie die in een dienstenindex aangeeft welke eerste geheugenplaats vrij is op de kaart, en/of een referentie die op het 20 niveau van het hoofdbestand aangeeft welke eerste geheugenplaats vrij is, omvatten.

Voor het operationeel maken van een kaart waarop nieuwe dienstgegevens zijn geschreven in de vorm van kaartinstructies dienen indexgegevens te worden 25 bijgewerkt als afsluitende stap van het bijwerken van de kaart.

Enkele nadelen die in de praktijk voorkwamen zijn met de beschreven uitvoeringsvorm te ondervangen.

Het is nu bijvoorbeeld mogelijk om kaarten uit te geven 30 aan kaarthouders met een minimum, door de kaartuitgever met de kaarthouder overeen te komen, aantal diensten. In de loop van de tijd, als de kaarthouder behoefte krijgt aan nieuwe functies ofwel diensten, kunnen er nieuwe diensten worden bijgeplaatst. Echter, de beveiliging van 35 de werkwijze van het plaatsen van de nieuwe diensten dient bij voorkeur minstens zo sterk te zijn als die van de bestaande kaart om kaartmisbruik te voorkomen en om 1016547· 4 het vertrouwen van de kaarthouders in hun kaarten te garanderen.

Dit is mogelijk als alle componenten die in de hierboven beschreven werkwijze worden gebruikt op een 5 veilige plaats staan opgesteld en niet toegankelijk zijn door middel van bijvoorbeeld computers en computernetwerken. Dit zou betekenen dat voor het toevoegen van dienst-gegevens de kaart op veilige wijze moet worden gebracht naar het veilige centrale punt waar alle componenten voor 10 het uitvoeren van de werkwijze staan opgesteld. Dit is een nadeel, bijvoorbeeld omdat de kaarthouder gedurende deze tijd geen kaart ter beschikking heeft.

Om deze nadelen te ondervangen is er voorzien in een werkwijze voor het uitvoeren van de reeds beschre-15 ven stappen waarbij de gegevensbank met de dienstgegevens en de gegevensbank met de sleutelgegevens op afstand, bereikbaar via één of meer netwerken, staat opgesteld omvattende de volgende stappen: - het versleuteld verzenden van een verzoek tot 20 ontvangen van dienstgegevens naar de gegevensbank met dienstgegevens, - het ontvangen van een versleuteld antwoord omvattende de gevraagde dienstgegevens van de gegevensbank met dienstgegevens.

2 5 Verder is de gegevensbank, met de dienstgege vens en de gegevensbank met de sleutelgegevens op afstand, bereikbaar via één of meer netwerken, staat opgesteld omvattende de volgende stappen: - het versleuteld verzenden van een verzoek tot 30 ontvangen van kaartinstructies voor kaartgegevens van de gegevensbank met dienstgegevens; - het versleuteld ontvangen van kaartinstruc-ties van de gegevensbank met dienstgegevens.

Een nadere uitvoering voorziet in een werkwijze waarbij 35 verder de gegevensbank met de dienstgegevens en de gegevensbank met de sleutelgegevens op afstand, bereikbaar via één of meer netwerken, staat opgesteld omvattende de cjt· -a· V V_s -1_ 'w ± i. 'wk <M O X » · 101RR47· 5 - het versleuteld verzenden van een verzoek tot ontvangen van versleutelde sleutels van de gegevensbank met de sleutelgegevens; - het versleuteld ontvangen van versleutelde 5 sleutels van de gegevensbank met de sleutelgegevens.

In een voorkeursuitvoering worden in het geheugen van de inrichting bestanden opgeslagen. Bestanden bestaan uit een voorloopdeel (header, koptitel) en informatie. Bestanden zijn bij voorkeur voorzien van subbestanden die 10 gegevens omvatten over de kaarten, het geheugen en/of diensten daarvan. Bij voorkeur worden de bestanden in een hiërarchische boomstructuur gerangschikt met een hoofdbestand waaronder een aantal toepassingsbestanden (ADF, applicatie data file) worden gerangschikt. Binnen deze 15 bestanden is informatie opgeslagen en deze informatie is gerangschikt in onderscheidbare subbestanden.

Een verder aspect van de uitvinding omvat een systeem voor gebruik van de werkwijze, omvattende: - tenminste een sleuteldrager voor het veilig 20 bewaren van sleutelgegevens voor gebruik in bancaire kaarten; - tenminste een centrale computer voor het verwerken van dienstgegevens en het versleuteld ter beschikking stellen hiervan aan de werkwijze; 25 - tenminste een decentrale computer voor het uitvoeren van de werkwijze; en - een of meer computernetwerken voor het verbinden van de genoemde inrichtingen ten behoeve van het uitvoeren van de werkwijze. Het systeem kan verder worden 30 voorzien van een lees-/schrijfinrichting voor het invoeren van kaartinstructies in het geheugen van de bancaire chipkaart.

Met behulp van deze voorkeursuitvoeringen is het mogelijk om diensten toe te voegen op elke willekeu-35 rige plaats waar apparatuur voor het uitvoeren van de werkwijze staat opgesteld en kan men een kaart, waarvan een kaarthouder een nieuwe dienst wil, binnen enkele minuten voorzien van een nieuwe dienst. Deze uitvinding tt16547« β maakt het mogelijk een kaart uit te leveren met een minimum aan diensten en slechts diensten toe te voegen waar de gebruiker behoefte aan heeft.

Dit heeft tevens als voordeel dat er geen 5 diensten hoeven te worden geplaatst waar wellicht nooit behoefte aan zal bestaan bij de kaarthouder. Aangezien de hoeveelheid geheugenruimte op een kaart beperkt is, heeft dit als voordeel dat geheugenruimte kan worden bespaard die kan worden gebruikt voor diensten waar de kaarthouder 10 wel behoefte aan heeft. De werkwijze is bijzonder voordelig in het geval gebruik wordt gemaakt van een inrichting waarbij eenmaal gebruikte geheugenruimte niet meer kan worden hergebruikt voor andere gegevens.

Verdere voordelen, kenmerken en details van de 15 onderhavige uitvinding zullen duidelijk worden bij lezing van de volgende omschrijving van een voorkeursuitvoeringsvorm met referentie aan de bijbehorende figuren, waarbij: - fig. 1 een blokschema is, waarin de stappen 2 0 en gegevensstromen van een werkwijze van een uitvoerings vorm zijn weergegeven.

- fig. 2 een blokschema is dat een systeem weergeeft dat de werkwijze van fig. 1 gedistribueerd kan uitvoeren.

25 - fig. 3 een blokschema is van een hiërarchi sche boomstructuur van een bestandsstructuur in het geheugen van een uitvoeringsvorm van de uitvinding voor het uitvoeren van de werkwijze.

- fig. 4 een blokschema is van een hiërarchi- 3 0 sche boomstructuur van een bestandsstructuur in het geheugen van de uitvoering van fig 3 na het uitvoeren van de werkwijze.

In een uitvoering (fig. 1) wordt een dienst genaamd "EASYSIGN" toegevoegd in een bancaire chipkaart.

35 Deze kaart (van het type CC 1000) bestaat uit een ver-werkingseenheid en een geheugen. In dit geheugen worden bestanden opgeslagen (fig. 3 en 4). De bestanden zijn go^iefinieerd als bestanden op verschillende niveaus.

1016547· 7

Bovenaan staat het hoofdbestand 100 (masterfile, MF). Binnen dit hoofdbestand bestaan subbestanden 101-114. Onder deze masterfile kunnen zich toepassingsbestanden 120 (dienstbestanden, slots, application dedicated files; 5 ADF's) bevinden. Op dezelfde wijze als bij het hoofdbestand heeft een dienstbestand ook de beschikking over subbestanden 121 - 129.

De masterfile 100 bestaat uit een aantal subbestanden op MF niveau. Op dezelfde wijze bestaat een ADF 10 uit subbestanden op ADF niveau. Een uitgegeven kaart, die in het bezit is van een kaarthouder, omvat tenminste één masterfile met een voor de werking van de kaart minimaal aantal subbestanden op MF niveau. Deze bestanden bevatten onder meer sleutels ter identificatie van de kaart.

15 Verder bevatten deze bestanden de PIN waarmee de kaarthouder ten opzichte van de kaart kan worden geau-thenticeerd. Bestanden worden geschreven in kleinste gegevenshoeveelheden van één woord. Een woord bestaat uit 4 bytes. Indien er minder dan 4 bytes nodig is voor een 20 bepaalde hoeveelheid informatie vormt het begin van het woord de informatie en wordt de rest aangevuld met, in geval van binaire informatie, enen. In dit document wordt de hexadecimale notatie aangehouden.

Bijvoorbeeld, subbestand 102 op MF niveau 25 (public file Olh) omvat een differentiërend gegeven ter identificatie van de kaart. Subbestand 103 op MF niveau (PIN) omvat de zogenaamde PIN code van de kaarthouder. Indien de kaarthouder een dienst op de kaart wil gebruiken waarvoor de PIN noodzakelijk is kan door middel van 30 een toetsing door de kaart worden bepaald of de persoon die de kaart zou willen gebruiken ook de kaarthouder is. Subbestand 104 op MF niveau (issuer keyversion 0) omvat de hoofdsleutel van de kaart welke in de werkwijze niet wordt gebruikt. Subbestand 105 op MF niveau (secondary 35 key #1 versie 1) omvat een sleutel op MF niveau voor het creëren van objecten, dat wil zeggen voor het creëren van nieuwe bestanden en subbestanden. Subbestand 106 (secondary key #2 version 1) omvat sleutels voor het creëren 1010547« 8 van nieuwe algemene files op masterfile niveau. Dit zijn bijvoorbeeld sleutels voor het schrijven van woorden in indexbestanden, zijnde bestanden waarin aangeduid wordt waar bestanden geschreven zijn in het geheugen, en andere 5 subbestanden op MF niveau. Een ander subbestand 107 op MF niveau (Erasekey #2 version 1) omvat sleutels waarmee het mogelijk is om de inhoud van, indexen van de kaart te wissen, voor het schrijven van nieuwe informatie op locaties waar eerst informatie stond, bijvoorbeeld in een 10 indexbestand moet deze eerst gewist worden. Met deze sleutel is dat mogelijk. Subbestand 110 op MF niveau (workingfile FDh) omvat een dienstenindex (applicatiein-dex) waarin dienstenidentificaties te vinden zijn. In deze applicatieindex staan identificatie codes van de 15 diensten, de zogenoemde RIDPIX. Dit is een door een daartoe door de EU bevoegde instantie uitgegeven ISO identificatienummer. Subbestand 110 (workingfile FCH) omvat de voorzieningen index (facility index) waaruit de positie van het eerste vrije woord van deze index moet 20 worden gelezen voor de werkwijze van deze uitvinding. Subbestand 112 op MF niveau (workingfile FCh) omvat bestandstoegangsgegevens waaruit de positie van een eerste vrije woord van een nieuw te maken bestand moet worden gelezen. Subbestand op MF niveau 113 (workingfile 25 FEh) is het vrije ruimte bestand. Uit dit bestand wordt de hoeveelheid ruimte op de kaart dat nog beschikbaar is voor een nieuwe dienst gelezen.

Een nieuwe dienst wordt geschreven op de kaart in de vorm van kaartobjecten. Een kaartobject is een 30 bestand of een subbestand. Deze bestanden bestaan uit dienstgegevens die ook wel applicatiegegevens worden genoemd. Deze gegevens worden toegankelijk gemaakt voor toepassingen en kaartleesapparaten door middel van het op de kaart aanwezige besturingssysteem dat gebruik maakt 35 van de sleutels die zijn opgeslagen in de bestanden en/of subbestanden. Voor het toevoegen van een nieuwe dienst moeten de volgende kaartobjecten worden toegevoegd: ADF 120, omvattende de volgends subbestanden: het toegangsbe- t0t6547p 9 sturingsbestand 121, de issuerkey versie 1 122, de issu-erkey versie 2 123, de issuerkey versie 3 124, de Mac-generationkey versie 1 125, de Mac-generationkey versie 2 126, de Mac-generationkey versie 3 127, de 5 Mac-generationkey versie 4 128 en de workingfile Olh 129. Hierbij geldt dat issuerkey en Mac-generationkey kaartob-jecten zijn van het type secretfile. Volgens het reeds genoemde voorbeeld bij de beschrijving van de ontwikkeling van de freespacefile geldt ook hierbij dat de index 10 in hexadecimale getallen, D52800501020009 is.

De situatie op de kaart zoals deze is na de plaatsing van de dienst is weergegeven in figuur 4 Zoals te zien, is onder het hoofdbestand een nieuw bestand aangemaakt met daaronder een laag subbestanden. Indien er 15 meerdere diensten moeten worden aangemaakt op zo'n kaart zullen deze een ADF hebben op hetzelfde of naastlagere niveau als de nu nieuw aangemaakte ADF met in elke ADF subbestanden relevant voor de dienst. In dit type kaart, de CC 1000, ligt de structuur op zodanige wijze vast dat 20 er twee niveaus van bestanden zijn met elk subbestanden. In deze uitvoeringsvorm (fig. 2) wordt een nieuwe dienst toegevoegd aan een bancaire chipkaart 3 die reeds in het bezit is van een kaarthouder 1. Hiertoe kan de kaart worden ingevoerd in een veilig (secure) Pinpad(2). Dit 25 Pinpad is aangesloten op een computer 14, die op zijn beurt in verbinding staat met sleuteldrager 12. Met behulp van deze computer wordt de werkwijze uitgevoerd die bestaat uit de stappen 4-10. Verder is er op de computer een gegevensbank 11 beschikbaar, welke gegevens 30 omvat betreffende kaartdiensten, kaartdienst-identifica-tie (RIDPIX), de grootte van de diensten en specifieke kaartstructuren. De genummerde pijlen tussen de blokjes geven informatiestromen weer. Pijl 20 staat voor de ingave van de pincode (PIN) door de kaarthouder in de 35 pinpad. De controle op de pincode wordt binnen de pinpad uitgevoerd wat wil zeggen dat de pincode deze inrichting niet verlaat. De ingevoerde pincode wordt doorgegeven aan 1016547* 10 de pas, de pas controleert op juistheid en geeft hiertoe een signaal aan de pinpad terug.

Pijl 21 geeft de informatiestromen ten behoeve van de kaartcontrole door de werkwijzestap 4 weer. Wan-5 neer een kaart wordt ingevoerd in de lees-/schrijfinrichting, wordt in stap 4 van de werkwijze een aantal controles uitgevoerd. Deze controles houden in dat wordt getest op de aanwezigheid van MF-bestanden 100-114. Deze MF-bestanden omvatten gegevens ten behoeve van het bestu-10 ringssysteem van de chipkaart. Verder wordt er gekeken wat de blokkeringstatus van de kaart is. Dat wil zeggen dat wordt gekeken of de kaart geblokkeerd is. Indien deze geblokkeerd is kan er geen dienst worden bijgeplaatst. Verder wordt er gekeken hoeveel vrije ruimte er nog op de 15 kaart is om diensten op te plaatsen. Deze informatie staat in het vrijeruimtebestand (113) op de kaart.

De volgende stap 5 leest dienstgegevens 27 uit het gegevensbestand 11. Een dienst heeft een bepaalde fysieke grootte. Indien de grootte van de dienst de nog 20 resterende vrije ruimte op de kaart overtreft, kan de dienst niet worden geplaatst. De grootte van de dienst wordt uit het dienstengegevensbestand 11 gehaald.

In stap 6 worden gegevens 23 uit de kaart gelezen. Indien de grootte van de dienst de uit stap 4 bekende hoeveel-25 heid resterende vrije ruimte, het vrijeruimtebestand overtreft, wordt de werkwijze afgebroken. Verder heeft een dienst een unieke identificatie, de RIDPIX (ISO). Indien de dienst al voorkomt op de kaart, hoeft de dienst niet te worden geplaatst. De RIDPIX van de dienst wordt 30 uit het dienstgegevensbestand 11 gehaald, waarna wordt gecontroleerd of deze al voorkomt in de applicatie-index 110 van de kaart. Indien de RIDPIX van de te plaatsen dienst voorkomt, wordt het proces afgebroken. Tijdens deze stap worden tevens gegevens 28 van kaartstructuren 35 die deel uitmaken van de dienst tevens uit de gegevensbank gelezen.

De volgende stap 7 van deze uitvoering is de PIN verificatie. Deze is nodig omdat de kaarthouder moet 10JS547· 11 worden geauthenticeerd om te weten of wel de juiste persoon een nieuwe dienst laat plaatsen. Zoals reeds werd genoemd wordt met behulp van de in deze uitvoering gebruikte pinpad de PIN verificatie veilig gedaan doordat 5 de PIN zelf niet dit pad verlaat. De werkwijzestap 7 stuurt een commando 24 naar de pinpad. De PIN wordt door de kaarthouder ingevoerd in een toetsenbord van de pinpad en dan wordt in de kaart op deze invoer een bewerking uitgevoerd waaruit blijkt dat de PIN de juiste was.

10 Een technische reden om de pinverificatie uit te voeren is dat om te kunnen schrijven naar de applicatie-index een verificatie vereist is. De pin mag bij gebruik van het type chipkaart als in deze uitvoeringsvorm wordt gebruikt alleen worden ingegeven op een veilige terminal, 15 dat wil zeggen dat de afhandeling van de pin-verificatie in de terminal plaatsvindt en er geen gegevens over de pin worden verzonden naar buiten de terminal. De veilige terminal mag aan de externe werkwijze alleen een parame-terloze functie aanroepen in de veilige terminal waarmee 20 de pin verificatie binnen de terminal in gang wordt gezet.

De volgende stap in deze uitvoeringsvorm van de werkwijze is het vertalen van dienstgegevens naar kaart-instructies. De dienst is in stap lezen dienstgegevens 5 25 in het programma dat dit deel van de werkwijze uitvoert ingelezen vanuit een dienstendatabase 11. Deze informatie is echter in een formaat waar de specifieke bancaire kaart uit deze werkwijze niet geschikt voor is. Dus moet er een vertaalslag worden uitgevoerd vanuit de gegevens 30 uit de database naar kaartspecifieke instructies. Deze algemene instructies worden eventueel aangevuld met diversificerende sleutels voor het uniek maken hiervan voor gebruik op deze kaart van deze instructies, waarbij de diversificerende in de stap lees kaartgegevens 6 uit 35 de kaart zijn gelezen. In het algemeen worden van de dienstgegevens kaartobjecten gemaakt, waarbij de objecten bestaan uit objectinformatie en objectinstructies. Deze 1016547· 12 objecten zijn geschikt om te worden omgezet in kaart-schrijfinstructies.

De hierboven genoemde versleuteling gebeurt voor het creëren van een ADF naar voorbeeld met behulp 5 van de sleutel van het type secundary key nummer 1 dat staat in het subbestand 105. Het creëren van een kaartob-ject zoals de ADF voor de nieuwe dienst vindt plaats door middel van een zogenoemde schrijfkoptitel (Write header) instructie, zoals bijvoorbeeld voor de in Nederland veel 10 gebruikte bancaire chipkaart CC1000. Voor dit commando bestaan twee varianten die van elkaar verschillen door het al dan niet gebruik maken van op de kaart aanwezige sleutels. Het gewone Write header commando gebruikt geen sleutel. Voor de secure (veilige) Write header instructie 15 wordt van een reeds op de kaart aanwezige sleutel gebruik gemaakt. Deze sleutel wordt naar de sleuteldrager (key carrier) gestuurd tezamen met andere dienst en kaart afhankelijke parameters. Op deze gegevens worden dan cryptografische bewerkingen uitgevoerd. Het resultaat van 20 deze bewerkingen wordt versleuteld terug gestuurd naar de kaart.

Tijdens het secure write header commando dat door de kaart wordt uitgevoerd wordt een omgekeerde bewerking op deze gegevens uitgevoerd met behulp van de 25 op de kaart aanwezige sleutel zodat het eindresultaat, een nieuw kaartobject, precies de eigenschappen heeft zoals gedefinieerd in de dienstengegevensbank. Dit zal alleen lukken indien de sleutel van de kaart overeen komt met de sleutel op de sleuteldrager. Het succesvol doorlo-30 pen van een veilig commando vereist derhalve de kaartau-thenticatie uit stap 4 omdat deze bewijst dat de sleutels op de kaart geldige waarden hebben.

De kaartinstructies worden bij voorkeur niet direct naar de kaart gestuurd, maar in een kaartinstruc-35 tiebuffer geplaatst. Het uitvoeren van de kaartinstruc-tiebuffer gebeurt nadat de laatste kaartinstructie in de buffer is geplaatst.

101654?!· 13

De tijdens stap 5 (lees dienstgegevens) gelezen de gegevens ten behoeve van de header van de te plaatsen ADF en de tijdens stap 6 (lees kaartgegevens) gelezen offset diversificerend gegeven en random worden aangele-5 verd aan de sleuteldrager. Dit gebeurt versleuteld omdat er bij voorkeur (bijvoorbeeld landelijk) maar één centrale sleuteldrager is en kaarthouders bij voorkeur hun diensten geplaatst krijgen in de buurt van de (bijvoorbeeld woon-) plaats, waar zij zich bevinden. Er is dus 10 gegevenstransport 29 nodig die dankzij versleuteling veilig uitgevoerd wordt. De sleuteldrager gebruikt een data-encryptieapparaat (DEP) voor het uitvoeren van een serie van cryptografische bewerkingen op de gegevens die worden aangeboden aan de keycarrier. Het resultaat van 15 deze cryptografische bewerkingen, het zogenoemde cryptogram, omvat de header van de te schrijven ADF in versleutelde vorm. Alleen door een kaartinstructie uit te voeren waarbij gebruik wordt gemaakt van de overeenkomstige kaartsleutel kan de header op de juiste wijze naar de 20 kaart worden geschreven. Indien de sleutels op de kaart en de criteria niet overeenkomen zal de kaart geblokkeerd worden tijdens deze handeling. De resulterende kaartinstructies worden in de buffer met kaartinstructies geplaatst . In deze buffer worden tevens de hiernavolgende 25 kaartinstructies geplaatst tot alle kaartinstructies voor het plaatsen van de gehele dienst zijn aangemaakt en deze in stap 9 naar de kaart worden geschreven.

Vervolgens worden kaartinstructies voor het toegangscon-trolebestand 121, (access control file, ACF) geschreven.

3 0 Dit bestand is een Log bestand dat op dit moment niet hoeft te worden gevuld. Het schrijven van header op soort gelijke wijze als bij de ADF, zoals hierboven beschreven, is voldoende.

Verdere kaartinstructies worden gemaakt ten 35 behoeve van subbestand 122 dat de issuer key versie 1 omvat. Hiervoor wordt gebruik gemaakt van een secure write header instructie op soortgelijke wijze als bij het aanmaken van ADF 120. In tegenstelling tot bij het aanma- 1016547· 14 ken van de ADF 120 en de ACF 121 moet na het aanmaken van de issuerkey versie 1 (IKV1) de inhoud van het kaartob-ject worden beschreven. De sleutelwaarde van de sleutel moet worden geplaatst. Dit gebeurt met een veilige gege-5 vensschrijfinstructie (secure write data instruction).

Met behulp van deze kaartinstructie kan de inhoud van een kaartobject onder beveiliging van een sleutel worden aangemaakt. De inhoud van deze te schrijven- sleutel bevindt zich in de vorm van een cryptogram in de sleutel-10 drager. Dit cryptogram is, net zo als bij de hiervoor beschreven instructies, in feite een tekstbestand op de computer die in verbinding staat met de DEP. De precieze locatie van de te schrijven sleutel, naam van het tekstbestand en positie binnen het tekstbestand wordt gevonden 15 door de RIDPIX en de KRP, zijnde een identificator voor een sleutel, te koppelen. Tezamen vormen de RIDPIX en de KRP een unieke referentie voor een sleutel binnen een dienst.

Voor het vinden van de sleutelwaarde in de 20 sleuteldrager en het aanmaken van een versleutelde kaartinstructie moeten de volgende gegevens naar de sleuteldrager worden aangevoerd als parameters: de RIDPIX van de te schrijven dienst, de KRP van de te schrijven sleutel, de referentie van de te schrijven sleutel (bestaande uit 25 de eerste twee bytes van de header), een diversificerend gegeven van de te schrijven sleutel en de random. Zoals beschreven worden de RIDPIX en de KRP van de te schrijven sleutel door de sleuteldrager gebruikt bij het raadplegen van een tabel waarmee de naam van een tekstbestand en de 30 locatie binnen dit tekstbestand van de te schrijven sleutel kan worden gevonden. De referentie van de te schrijven sleutel, diversificerend gegeven en random worden verwerkt in het uiteindelijke door de DEP gegenereerde resultaat van de versleuteling (cryptogram) die 35 tevens de sleutelwaarde van de te schrijven sleutel bevat. Deze sleutelwaarde heeft een lengte van twee woorden (8 bytes). Voor ieder woord wordt afzonderlijk 1016§4?9 15 een secure write data instructie aan de buffer toegevoegd .

Vervolgens worden kaartinstructies voor de geheime bestanden van het type MAC Gen gemaakt. De crea-5 tie van een MAC Gen en het schrijven van de sleutelwaarde gaat op dezelfde wijze als bij de IKV1. Behalve een sleutelwaarde hebben de MAC Gen subbestanden ook nog een zogenoemd parameter woord (en eventueel een interne waarde of teller van 2 woorden lang). Ook deze kaartin-10 structies worden in de buffer geplaatst.

Het parameterwoord en de interne waarde van de MAC Gen sleutel worden gelezen tijdens de werkwijzestap (lees dienstgegevens) 5. Het parameterwoord en de interne waarde van de MAC Gen sleutel worden samen met de random 15 en het identificerend gegeven van de sleutel waarmee de creatie plaatsvindt als parameters overgezonden naar de sleuteldrager. Net als bij de aanmaak van de voorgaande subbestanden wordt hiermee op de sleuteldrager in samenwerking met de DEP een gegevensschrijffunctie aangemaakt. 20 Ook wordt weer een cryptogram gecreëerd door de DEP dat voor een MAC Gen sleutel, aanvankelijk van het voorkomen van een interne waarde, 1 dan wel 3 woorden lang kan zijn. Vervolgens wordt het cryptogram gebruikt om de secure write gegevens samen te stellen en deze in de 25 buffer te plaatsen.

Ook bij het aanmaken van kaartinstructies ten behoeve van bestand 129 (working file 01H) wordt begonnen met het schrijven van de header. Vervolgens wordt de inhoud van dit bestand gecontroleerd op beschreven woor-30 den. Deze controle vindt plaats per regio. Per regio geschreven woorden wordt een aanvraag uitgevoerd naar de sleuteldrager. Het resultaat wordt, afhankelijk van de grootte van de beschreven regio, verwerkt in een of meerdere secure write data instructies in de kaartin-35 structiebuffer.

Tenslotte wordt een Write Lock kaartinstructie toegevoegd aan de buffer. Hiermee wordt de utilization van de ADF geplaatst en treedt het controlesysteem van de ιηΐβΚ47· 16 nieuwe dienst in werking. Een bijkomstigheid is dat de kaart tijdens het uitvoeren van deze instructie automatisch de AD F selecteert. Dit maakt het random getal, gegenereerd in werkwijze stap 5, ongeschikt om indexbe-5 standen in de masterfile bij te werken aangezien per gecreëerde random maar in een bestand schrijfopdrachten kunnen worden uitgevoerd. Hiermee is stap 8 ten einde.

In stap 9 worden de gegevens 25 die in de buffer staan overgebracht naar het nieuw te schrijven bestand (ADF, 10 slot) op de kaart.

Na het schrijven van de Lock wordt de masterfile geselecteerd en opnieuw een random gegenereerd. Met behulp van de gegevens die zijn ingelezen in werkwijzestap 6 worden ten slotte veilige schrijfinstructies, 15 eventueel voorafgegaan door veilige verwijder commando's (indien over bestaande woorden wordt heen geschreven) in een nieuwe buffer geplaatst. De uitvoering van deze kaartinstructie buffer besluit de werkwijze van de onderhavige uitvinding.

20 Voor de laatste stap 10 van deze werkwijze, het bijwerken van de indexgegevens is een nieuwe random nodig omdat indexgegevens van deze stap worden bij gewerkt op het masterfile niveau en het schrijven van nieuwe dienst-gegevens 26 naar de kaart wordt gedaan op een lager 25 niveau. Ook in deze stap is beveiligd gegevenstransport 30 nodig naar de centrale sleuteldrager 12. Verder wordt de resterende vrije ruimte gelezen van de kaart. Tevens wordt een referentie gelezen van het laatste volle slot op de kaart. Dit is nodig omdat hiermee bekend is waar 3 0 begonnen kan worden met het schrijven van een nieuw slot ten behoeve van een nieuwe dienst. Tevens wordt de RIDPIX offset gelezen uit de applicatie index 110. Hiermee kan het eerste vrije woord in de applicatieindex worden bepaald. Tenslotte wordt de offset gelezen van de positie 35 van het eerste vrije woord op masterfile niveau.

Na het plaatsen van de nieuwe dienst ziet de bestands-structuur in het geheugen van de bancaire kaart eruit als in fig. 4. Nieuw zijn bestand 120 en bijbehorende subbe- 'f0165471# 17 standen 121-129 van de nieuwe dienst. Tevens is van enkele subbestanden op hoofdbestand niveau de inhoud gewijzigd ten behoeve van deze nieuwe dienst. Deze wijzigingen worden in het navolgende beschreven.

5 De applicatie-index 110 is door de werkwijze voorzien van een nieuwe RIDPIX dienstidentificatie. Voor het plaatsen van de dienst was deze applicatie-index leeg. Dat wil zeggen dat er geen dienstidentificatie in staat. In het enige woord dat informatie bevat van dit 10 bestand staat nu 01 FE FF FF, waarbij de eerste byte het versienummer is en het tweede byte een indicator of het subbestand in gebruik is.

Na het plaatsen van de dienst ziet zijn er twee woorden toegevoegd aan de applicatie-index. In deze twee 15 woorden zijn de RIDPIX van zeven bytes, D5280050120009, en een byte voor het volgnummer, 01, van de ADF waarmee de dienst is terug te vinden.

De inhoud van de facility index 111 wordt tevens gewijzigd tijdens het plaatsen van de nieuwe 20 dienst. Voor het plaatsen van de dienst bevat deze ook slechts een woord met informatie. Dit woord luidt 00 3F FF FE. De eerste twee bits van het tweede byte (3F = 0011 1111) geven de versie aan. Het laatste 'bit in deze byte (1) duidt de afwezigheid van een volgend indexbestand 25 aan. De tussenliggende bits in dit byte (bit 3 t/m7) zijn gereserveerd voor toekomstig gebruik. Indien er wel een volgend indexbestand aanwezig zou zijn, dan zou de referentie van dit indexbestand in het 3e byte staan. De le zeven bits van het vierde byte (FE=1111 1110) zijn gere-30 serveerd voor toekomstig gebruik. Het laatste bit geeft aan of de index gebruikt kan worden (0 = usuable, l=in use, not usuable).

Na het plaatsen van de nieuwe dienst ziet dit bestand er als volgt uit: "01 3F FF FE 21 01 45 41 53 59 35 53 49 47 4E FF FF". Het bevat nu dus 4 woorden met informatie. Het le byte in het eerste woord, dat het aantal facilities aangeeft is veranderd van OOh naar Olh. Het 2e t/m het 4e woord zijn als volgt beschreven. De le vier 1016547* 18 bits van het le byte van het 2e woord (21h=0010 0001) geven aan dat het een certifier functie betreft (0001=balance 0010=certifier, 0011=caller). De laatste vier bits van het le byte (0001) geeft de volgorde aan 5 van de desbetreffende faciliteit binnen het gespecificeerde slot. De referentie naar dit slot staat in het 2e byte van het 2e woord (01). Daarna volgt de naam van de dienst zoals deze op het display van een certifier wordt getoond. In dit geval EASYSIGN.

10 De slot access file bestaat voor het plaatsen van de dienst uit een woord met informatie: 01 FE 00 FF. Het le byte staat voor de versie. Het laatste bit van het tweede byte (FE=1111 1110) geeft aan of de Slot access file mag worden gebruikt (0=usuable, l=not usuable). In 15 dit geval is de Slot access file te gebruiken. Het derde byte geeft het aantal entries (toegangscondities) weer in de Slot access file. In dit geval zijn dat er 0.

Na het plaatsen van de dienst zijn er vier woorden met informatie: 01 FE 01 FF 01 FE 45 41 53 59 53 20 49 47 4E FF FF. In de slot access file hebben de volgende veranderingen plaatsgevonden. Het 3e byte, dat het totale aantal toegangscondities weergeeft is verander van OOh naar Olh. Het le byte van het 2e woord bevat de referentie van het slot waar de dienst naar is geschreven. De 25 laatste twee bits van het 2e byte in het tweede woord (FE = 1111 1110) beschrijven de toegangscondities. De waarde 10 geeft aan dat toestemming van de kaarthouder vereist is (andere mogelijke waarden 00=vrij, ll=verboden). Tenslotte volgt in de aansluitende 8 bytes de naam van de 30 dienst, EASYSIGN.

Een ander bestand dat tijdens het toevoegen van een dienst op de kaart wordt gewijzigd is de workingfile FEh 113. Indien er voor het plaatsen van de dienst nog 6584 bytes beschikbaar zijn is dit weergegeven in de 35 eerste twee bytes van de freespacefile. In hexadecimale getallen betekent dit dat de eerste twee bytes van het eerste woord van de freespacefile 19B8 zijn. De laatst geschreven dedicated file heeft een referentie 00 (mas- 1016547b 19 terfile). Na het invoegen van een dienst ten grootte van 120 woorden (één woord is 4 bytes) is de inhoud van het vrije ruimtebestand veranderd. Het aantal vrije bytes is afgenomen van 6584 naar 6104 bytes. In hexadecimale 5 getallen is dit 17D8. Nu zijn de eerste twee bytes van het vrije ruimtebestand dus 17D8 en de derde byte van het vrije ruimtebestand is 01 omdat de laatst geschreven dedicated file nu die is van de nieuwe dienst en niet meer die van de masterfile 00.

10 Een benodigd kaartgegeven kan dienstgebonden zijn. Dit is bijvoorbeeld het geval bij diversificerende gegevens. Diversificerende gegevens zijn uniek voor een uitgegeven kaart en worden onder andere gebruikt om iedere sleutel op de bancaire kaart uniek voor de kaart 15 te maken. De impact van het kraken van een gediversifi-seerde sleutel blijft op deze wijze beperkt tot één kaart. De reden dat de kaartgegevens gelezen worden na de dienstgegevens in deze uitvoeringsvorm is dat van de dienst bekend moet zijn of hierin dienstspecifieke diver-20 sificerende gegevens voorkomen. Dat wil zeggen of in deze dienst gegevens voorkomen die uniek zijn voor deze kaart. Bijvoorbeeld, in het geval van de CC 1000 zal schrijven naar de facility-index 111 en het diensttoegangsbestand 112 alleen plaatsvinden indien deze dienst benaderbaar 25 moet zijn voor de chipknipper en eventueel andere toekomstige soortgelijke kaartlezers. Indien dit het geval is, dienen de eerste positie in het eerste vrije woord binnen de facility-index, de eerste positie van het eerste vrije woord binnen het diensttoegangsbestand en de datum waarop 30 de geldigheid van de kaart verloopt van de kaart te worden gelezen.

Ter verduidelijking van het systeem dat de werkwijze uitvoert op decentrale wijze volgens de uitvoeringsvorm van fig. 1 volgt hieronder een beschrijving van 35 fig. 2. Het systeem is uitgevoerd in een centraal deel C dat de sleuteldrager 12, het encryptie randapparaat (DEP) 13, de dienstendatabase 11, een inbelserver (Remote Access Server) 14 en een aantal modems 15 omvat. De DEP

101S5'47«f 20 maakt, zoals hierboven in de werkwijze beschreven, op basis van sleutels uit de sleuteldatabase, dienstgegevens en kaartgegevens versleutelde kaartinstructies aan. Om deze instructies veilig naar de kaart te kunnen verzenden 5 worden deze nogmaals versleuteld voordat ze via de modems worden verzonden naar het decentrale deel. Dit centrale deel is in eerste instantie enkelvoudig. Er kan echter ook worden voorzien in een veeslheid van deze systemen, bijvoorbeeld per land of regio.

10 Het decentrale deel bestaat uit een terminal 16 met communicatiefaciliteiten en een Pinpad 2 waar de Pin in kan worden geplaatst. Er is in deze uitvoering gekozen voor een decentraal deel om de kaarthouders op hun eigen locatie te kunnen voorzien van nieuwe diensten op hun 15 kaart. Tevens is in deze uitvoering gekozen voor een los pinpad t.o.v. de terminal. Deze beide apparaten kunnen ook geïntegreerd uitgevoerd worden.

In het geval dat de inrichting is uitgevoerd als token ter authenticatie van een PC gebruiker kan een 20 PC dienst doen als terminal.

In de komende paragrafen worden praktische voordelen van te plaatsen diensten uit de doeken gedaan aan de hand van de in de gedetailleerde beschrijving als voorbeeld genoemde dienst EASYSIGN.

25 De EASYSIGN dienst biedt een aanbieder (bank, pizzabakker, boekverkoper op het internet, etc.) de mogelijkheid om de identiteit van een kaarthouder te verifiëren. Deze verificatie maakt gebruik van het challenge - response mechanisme en werkt als volgt. De Kaart-30 houder roept bijvoorbeeld via het internet een web pagina op. Op deze webpagina voert hij vervolgens zijn identiteit in. Op de webpagina staat ook een getal, de zogenaamde 'challenge'. De kaarthouder plaatst zijn kaart in een pinpad (certifier) en toetst daarop de challenge in. 35 Daarna berekent de certifier, met behulp van een van de MacGen sleutels uit het EASYSIGN slot, de response op deze ingegeven challenge. De kaarthouder voert deze response in op de web pagina. De Webserver controleert of IM 18547a 21 de door de kaarthouder ingevoerde identiteit en response bij elkaar horen. Indien dit juist is dan is de identiteit van de kaarthouder aan server zijde vastgesteld.

Naar het hier genoemde voorbeeld van een kaarthouder die 5 werkt via een PC met internet kunnen ook andere kanalen, zoals bijvoorbeeld het telefoonkanaal, hetzelfde mechanisme bieden, waarbij het EASYSIGN slot op dezelfde wijze wordt gebruikt.

Wanneer een kaarthouder geauthentiseerd is, kan 10 de dienstaanbieder de kaarthouder toegang geven tot andere (doorgekoppelde) diensten waartoe de kaarthouder toegangsautorisatie bezit. Zo kan bijvoorbeeld een school een kaarthouder/scholier inzage geven in zijn studieresultaten.

15 Behalve voor authenticatie kan het EASYSIGN

slot via het challenge - response mechanisme tevens gebruikt worden om de integriteit van door de kaarthouder aan de dienstaanbieder aangeboden gegevens te waarborgen. Een kaarthouder kan bijvoorbeeld een door hem aangeboden 20 adresmutatie met een certificaat beveiligen tegen wijzigingen door derden. Dit certificaat wordt met behulp van een MacGen sleutel van het EASYSIGN slot gegenereerd.

Tevens kan het EASYSIGN slot worden gebruikt om aan te tonen dat een bepaalde kaarthouder een bepaalde 25 e-commerce transactie heeft geïnitieerd. Bijvoorbeeld wanneer een kaarthouder een bestelling doet bij een dienstaanbieder, dan kan de dienstaanbieder later aantonen dat deze kaarthouder de bestelling heeft geïnitieerd. Anders: de kaarthouder kan niet ontkennen dat hij de 30 bestelling heeft geïnitieerd.

Nadere informatie over dit soort beveiligingssystemen is onder andere te na te slaan in S. Singh, 1999, The code book en B schneier, 1995 applied cryptography .

10165 47"»

Claims (18)

1. Werkwijze voor het toevoegen van dienstgege-vens ten behoeve van een dienst aan een inrichting met een geheugen en een verwerkingseenheid met behulp van tenminste een lees-/schrijfinrichting voor het lezen uit 5 en het schrijven van gegevens naar de inrichting, omvattende de volgende stappen: - het uitvoeren van een of meer controlestap- pen; - het lezen van vooraf in het geheugen opgesla-10 gen gegevens uit de inrichting die nodig zijn voor het bijplaatsen van toe te voegen gegevens en of instructies; - het schrijven van toe te voegen gegevens en/of instructies in het geheugen.

2. Werkwijze volgens conclusie 1 waarbij de 15 inrichting met een geheugen en een verwerkingseenheid een chipkaart is .

3. Werkwijze volgens conclusie 1 waarbij de inrichting met een geheugen en een verwerkingseenheid een token is.

4. Werkwijze volgens conclusie 2 of 3 verder omvattende de volgende stap: - het maken van kaartschrijfinstructies voor het op de kaart schrijven van toe te voegen gegevens en/of instructies.

5. Werkwijze volgens conclusie 2, 3 of 4 verder omvattende stappen voor: - het lezen van dienstgegevens uit een gegevensbank ; - het omzetten van dienstgegevens in kaart-30 schrijfinstructies met gebruikmaking van vooraf in het geheugen opgeslagen gegevens.

6. Werkwijze volgens één of meer van de voorgaande conclusies verder omvattende een stap voor het verifiëren van de kaarthouder door middel van een contro-35 le op de PIN. 1016547·

7. Werkwijze volgens één of meer van de voorgaande conclusies waarbij de controlestappen de volgende stappen omvatten: - het controleren of op de kaart hoofdbestanden 5 aanwezig zijn; - het controleren of de blokkeringstatus de waarde nee heeft; - het controleren of de hoeveelheid vrije ruimte aanwezig op kaart voldoende is voor het plaatsen 10 van de gewenste dienst.

8. Werkwijze volgens een of meer van de voorgaande conclusies waarbij de dienstgegevens een unieke dienstidentificatie en dienstinformatie omvatten.

9. Werkwijze volgens een of meer van de voor-15 gaande conclusies waarbij de gegevens van de kaart die nodig zijn voor het bijplaatsen van nieuwe gegevens, gegevens die aanduiden hoeveel ruimte er nog is, een referentie die aangeeft welk slot op de kaart de laatste is, een referentie die in een dienstenindex aangeeft 20 welke eerste geheugenplaats vrij is op de kaart, en/of een referentie die op het niveau van het hoofdbestand aangeeft welke eerste geheugenplaats vrij is, omvatten.

10. Werkwijze volgens één of meer van de voorgaande conclusies verder omvattende een stap voor het 25 bijwerken van indexgegevens op de kaart.

11. Werkwijze volgens één of meer van de voorgaande conclusies waarbij de gegevensbank met de dienstgegevens en de gegevensbank met de sleutelgegevens op afstand, bereikbaar via één of meer netwerken, staat 30 opgesteld omvattende de volgende stappen: - het versleuteld verzenden van een verzoek tot ontvangen van dienstgegevens naar de gegevensbank met dienstgegevens, - het ontvangen van een versleuteld antwoord 35 omvattende de gevraagde dienstgegevens van de gegevensbank met dienstgegevens.

12. Werkwijze volgens één of meer van de voorgaande conclusies waarbij de gegevensbank met de dienst- f016547· gegevens en de gegevensbank met de sleutelgegevens op afstand, bereikbaar via één of meer netwerken, staat opgesteld omvattende de volgende stappen: - het versleuteld verzenden van een verzoek tot 5 ontvangen van kaartinstructies voor kaartgegevens van de gegevensbank met dienstgegevens; - het versleuteld ontvangen van kaartinstructies van de gegevensbank met dienstgegevens.

13. Werkwijze volgens één of meer van de voor-10 gaande conclusies waarbij de gegevensbank met de dienstgegevens en de gegevensbank met de sleutelgegevens op afstand, bereikbaar via één of meer netwerken, staat opgesteld omvattende de volgende stappen: - het versleuteld verzenden van een verzoek tot 15 ontvangen van versleutelde sleutels van de gegevensbank met de sleutelgegevens; - het versleuteld ontvangen van versleutelde sleutels van de gegevensbank met de sleutelgegevens.

14. Werkwijze volgens een of meer van de voor-20 gaande conclusies waarbij in het geheugen van de inrichting bestanden worden opgeslagen.

15. Inrichting volgens conclusie 14 waarbij de bestanden in een hiërarchische boomstructuur zijn gerangschikt met een hoofdbestand waaronder een aantal toepas- 25 singsbestanden worden gerangschikt.

16. Inrichting volgens conclusie 15 waarbij de bestanden informatie bevatten en deze informatie is gerangschikt in onderscheidbare subbestanden.

17. Systeem voor gebruik van de werkwijze 30 volgens één of meer van de conclusies 1-16 omvattende: - tenminste een sleuteldrager voor het veilig bewaren van sleutelgegevens voor gebruik in bancaire kaarten; - tenminste een centrale computer voor het 35 verwerken van dienstgegevens en het versleuteld ter beschikking stellen hiervan aan de werkwijze; - tenminste een decentrale computer voor het uitvoeren van de werkwijze; en 10185 47· -een of meer computernetwerken voor het verbinden van de genoemde inrichtingen ten behoeve van het uitvoeren van de werkwijze.

18. Systeem volgens conclusie 17 verder voor-5 zien van een lees-/schrijfinrichting voor het invoeren van kaartinstructies in het geheugen van de bancaire chipkaart. 1016547·