NL9202113A

NL9202113A - Werkwijze voor het beveiligen van een smart card systeem.

Info

Publication number: NL9202113A
Application number: NL9202113A
Authority: NL
Original assignee: Nederland Ptt
Priority date: 1992-12-07
Filing date: 1992-12-07
Publication date: 1994-07-01
Also published as: EP0601659B2; ES2084442T3; ATE134056T1; DE69301530T2; EP0601659B1; DK0601659T4; EP0601659A1; DE69301530D1; DK0601659T3

Description

Werkwijze voor het beveiligen van een smart card systeem

A. ACHTERGROND VAN DE UITVINDING

De uitvinding heeft betrekking op een werkwijze voor het beveiligen van een smart card systeem, omvattende een smart card en een terminal voor het, via een transmissiemedium, in verbinding brengen van die smart card met een verwerkingssysteem, waarbij een smart card gebruiker voor het activeren van de smart card een identificatiecode moet ingeven die door de smart card wordt vergeleken met een in die smart card opgenomen identificatiecode en waarbij de smart card wordt geactiveerd bij overeenkomst tussen beide genoemde identificatiecodes.

B. SAMENVATTING VAN DE UITVINDING

De uitvinding beoogt een betere beveiliging te verschaffen voor smart card systemen. De uitvinding berust op de overweging dat, willen smart cards door het grote publiek geaccepteerd worden voor het opslaan van (vaak persoonlijke) gegevens, de 'pak-kans' van malafide gebruikers, die gebruik trachten te maken van gevonden of gestolen smart cards, groot moet zijn. Derhalve wordt volgens de uitvinding voorzien in maatregelen waardoor malafide gebruik wordt gedetecteerd zonder dat de malafide gebruiker dit bemerkt.

Volgens de uitvinding wordt voorzien in een werkwijze voor het beveiligen van een smart card systeem, omvattende een smart card en een terminal voor het, via een transmissiemedium, in verbinding brengen van die smart card met een verwerkingssysteem, waarbij een smart card gebruiker voor het activeren van de smart card een identificatiecode moet ingeven die door de smart card wordt vergeleken met een in die smart card opgenomen identificatiecode en waarbij de smart card wordt geactiveerd bij overeenkomst tussen beide genoemde identificatiecodes, waarbij de smart card na een zeker aantal keren ingeven van een identificatiecode die afwijkt van de in de smart card opgenomen identificatiecode, desondanks in beperkte mate wordt geactiveerd, en dat daarbij door de smart card aan de terminal een foutcode wordt afgegeven. Zodra dus een malafide gebruiker --die geacht wordt de identificatiecode (het 'password') niet te kennen-- tracht gebruik te maken van de hem niet toebehorende smart card zal hij zulks doen door het achtereenvolgens ingeven van identificatiecodes waarvan hij hoopt of veronderstelt dat een daarvan wel eens de gevraagde code zou kunnen zijn (dus gelijk aan de code zoals opgenomen in de smart card zelf). Volgens de uitvinding wordt door de smart card als het ware gesimuleerd dat de malafide gebruiker op zeker moment, na een aantal keren ingeven van een verkeerde identificatiecode, de goede code gevonden heeft en daardoor de smart card activeert, waardoor toegang tot het achterliggende verwerkingssysteem wordt verkregen. De werkelijkheid is dat de smart card slechts een beperkte toegang geeft -wat de malafide gebruiker niet direkt bemerkt- en tegelijkertijd een foutcode geeft.

De gegenereerde foutcode kan op verschillende wijzen worden verwerkt.

Zo is het mogelijk dat die foutcode een alarmsignaal doet exiteren door de smart card zelf (die daarvoor dan wel een 'beep'-faciliteit moet hebben), of door de terminal. In dat laatste geval kan doorgaans een aanmerkelijk sterker alarmsignaal worden geëxiteerd. Bij voorkeur echter wordt de foutcode van de smart card als alarmcode doorgegeven -via de terminal- aan het verwerkingssysteem. Doorgaans zal er een groot aantal terminals met een dergelijk verwerkingssysteem verbonden zijn. In dat geval zal bij voorkeur door de terminal een code worden meegezonden die een indicatie geeft van de locatie van de terminal; dat kan simpel een terminal-nummer zijn (waarbij de locatie van elk terminalnummer bekend wordt verondersteld) of een werkelijke locatie-aanduiding.

Het uiteengezette principe is niet uitsluitend toepasbaar bij het gebruik van smart cards, maar tevens, mutatis mutandis, in zijn algemeenheid bij verwerkingssystemen die via terminals benaderbaar en activeerbaar zijn. De uitvinding heeft derhalve tevens betrekking op een werkwijze voor het beveiligen van een computersysteem omvattende een terminal die via een transmissiemedium verbonden is met een verwerkingssysteem, waarbij een gebruiker een identificatiecode moet ingeven die wordt vergeleken met een in de terminal of in het verwerkingssysteem opgenomen identificatiecode. Volgens de uitvinding wordt er daarbij in voorzien dat de gebruiker na een beperkt aantal keren ingeven van een identificatiecode die afwijkt van de genoemde in de terminal of het verwerkingssysteem opgenomen identificatiecode, desondanks in beperkte mate toegang krijgt tot het verwerkingssysteem, en dat daarbij een alarmcode door de terminal of door het verwerkingssysteem wordt gegenereerd.

C. REFERENTIES Geen

D. UITVOERINGSVOORBEELDEN

Figuur 1 toont een smart card 1 die in contact kan worden gebracht met een terminal 2. Dat contact kan draadloos zijn of galvanisch. De smart card 1 omvat, evenals een PC, een processor en geheugenruimte, en wordt bestuurd door in de geheugenruimte opgenomen besturingssoftware. Ook de terminal 2 omvat een processor en geheugenruimte en wordt eveneens bestuurd door besturingssoftware. De terminal 2 is door middel van een transmissiemedium 3 -bijvoorbeeld deel van een netwerk- verbonden met een verwerkingssysteem 4, bijvoorbeeld een databasesysteem voor het opvragen, muteren en presenteren van informatie, of een transactiesysteem voor het uitvoeren van financiële transacties. Het systeem 4 kan ook een toegangbewakingssysteem zijn, waarbij met behulp van een smart card toegang kan worden verkregen tot bijvoorbeeld een gebouw, een ruimte of een voertuig. Ook kan het systeem 4 onderdeel van een telefooncentrale zijn, waarbij de smart card kan worden gebruikt om toegang tot de centrale, of tot bepaalde diensten, te krijgen en om de gespreks- of andere kosten af te rekenen. Hierna wordt van dat laatste voorbeeld uitgegaan; de terminal 2 is dan voorts voorzien van een telefoonhoorn en een toetsenbord dat voor het intoetsen van zowel de identificatiecode als het telefoonnummer kan dienen. Alvorens een gebruiker verbinding kan maken met het systeem 4, moet de gebruiker zich tegenover 'zijn' smart card identificeren. Daarmee kan worden voorkomen dat gevonden of gestolen smart cards zonder meer kunnen worden gebruikt.

Op zich is het kunnen 'leeghalen' van een 'telefoonkaart', zoals in dit voorbeeld, niet zo'n groot probleem. Naar verwachting echter zal het gebruik van smart cards niet beperkt blijven tot het betalen van telefoon- kosten e.d, maar zullen deze kaarten ook een grotere rol gaan spelen in het bankverkeer en in de uitwisseling van (persoonlijke, bijvoorbeeld medische) informatie. Als gevolg daarvan zullen dergelijke smart cards dus belangrijke informatie kunnen bevatten en is het, teneinde dergelijke kaarten met succes bij het grote publiek te kunnen introduceren, van groot belang dat tegen misbruik ervan snel en effectief kan worden opgetreden.

Als de kaart 1 door zijn eigen gebruiker wordt gebruikt, zal deze door het op de terminal intoetsen van zijn identificatiecode zich toegang kunnen verschaffen tot het systeem 4. Via een instructievenster in terminal 2 wordt de gebruiker gevraagd zijn identificatiecode in te toetsen. De ingetoetste code wordt door de terminal doorgegeven aan de smart card 1 die de code vergelijkt met een (bij initialisatie in zijn geheugen ingebrachte) identificatiecode. Als de ingetoetste en de in de smart card 1 reeds opgenomen identificatiecodes met elkaar overeenstemmen -dit wordt door de besturingssoft-ware van de smart card met elkaar vergeleken- wordt het smart card geactiveerd, dat wil zeggen, start de besturingssoftware met het protocol om verbinding te maken met het systeem 4. Opgemerkt wordt dat er ook smart cards bestaan die zelf reeds een toetsenbordje en een display hebben; indien dat soort smart cards zouden worden gebruikt, behoeft de terminal 2 zelf niet meer van een toetsenbord en een display te zijn voorzien en kan de input/output geheel via het besturingssysteem van de smart card verlopen. Als de kaart 1 in handen valt van een ander en deze wil trachten met die kaart verbinding te maken met het systeem 4, dan zal deze trachten de identificatiecode te raden. De besturingssoftware van de kaart zal een aantal keren, bijvoorbeeld vijf keer, de ingetoetste code vergelijken met de identificatiecode op de smart card. Indien ook de vijfde poging mislukt zal niet, zoals tot dusverre gebruikelijk is, de 'inlog sessie' worden afgebroken (al dan niet vergezeld van een foutmelding op het instructievenster), maar zal door de besturingssoftware van de smart card worden gesimuleerd dat een begin wordt gemaakt met het opzetten van een sessie met het verwerkingssysteem 4, bijv. door middel van een vanuit de smart card 1 gegenereerde, op het instructievenster weergegeven boodschap "Een ogenblik geduld a.u.b.", eventueel gevolgd door verdere berichten, zoals "Welkom bij die suggereren dat de gebruiker verbinding heeft met het verwerkingssysteem. Deze boodschappen kunnen door de smart card 1 worden gegenereerd of op zeker moment door het verwerkingssysteem 4. Dat verwerkingssysteem 4 heeft dan wel, na de genoemde vijf mislukte toegangspogingen, een melding gekregen van misbruik van de kaart 1. Daartoe heeft de terminal 2 van de kaart 1, na de vijfde mislukte poging, een foutcode ontvangen en de terminal 2 zendt op zijn beurt een alarmcode naar het verwerkingssysteem 4. Die alarmcode omvat hetzij een terminal-nummer hetzij een aanduiding van de plaats waar die terminal zich bevindt; de laatste optie heeft de voorkeur. De maatregelen die na het ontvangen van de alarmcode worden getroffen, kunnen afhangen van de aard en omvang van het smart card systeem 1 t/m 4. In elk geval zullen de maatregelen dienen te bereiken dat misbruikers, die met de hiervoor beschreven maatregelen kunnen worden gelocaliseerd, kunnen worden bestraft. Te denken valt aan het, bij geconstateerd misbruik, waarschuwen van de eigenaar van de smart card, van een bewakingsdienst of de politie. Ook is het mogelijk om na het constateren van misbruik, erin te voorzien dat de smart card buiten werking wordt gesteld, bijvoorbeeld door het verwerkingssysteem 4 alle gegevens op de smart card te laten wissen, of door de smart card 1 door de terminal 2 te laten 'inslikken', dat wil zeggen, niet meer aan de gebruiker terug te geven.

Tenslotte wordt onderstaand een eenvoudig voorbeeld gegeven van een programma dat onderdeel kan vormen van de besturingssoftware van de smart card, waarin de gebruiker tot vijf maal toe gelegenheid wordt gegeven zijn password in te toetsen. Indien vijf maal achtereen een verkeerd password wordt gegeven, doet het programma naar de gebruiker toe alsof daadwerkelijk op het systeem 4 wordt ingelogd. In werkelijkheid wordt niet ingelogd, maar wordt wel een alarmboodschap, inclusief de locatie van de terminal, verzonden.

100 REM "LOGIN.SMC",a 110 OPEN"PW$.FIL" FOR INPUT AS#1 120 OPEN"SYS.FIL" FOR OUTPUT AS#2 130 OPEN"MES.FIL" FOR INPUT AS#3 140 INPUT#1,UN$,PW$(1) 150 N =N +1 160 CLS:PRINT "PLEASE GIVE YOUR PASSORD: ";:LINE INPUT PW$(2)

170 IF PW$(2) = PW$(1) GOTO 290: REM LOGIN

180 IF N = 5 GOTO 200: REM ALARM AND SIMULATION AFTER 5 LOGINS 190 GOTO 150 200 PRINT#2,USING" ALARM - TERMINAL LOCATION 12345 UNAUTHORIZED USE OF SMART CARD - USERNAME = &";UN$ 210 CLS:PRINT "* JUST A MOMENT PLEASE * "; 220 Q = Q+1: IF Q<25 THEN FOR P=1 TO 5000: NEXT P: PRINT "* ";:GOTO 220 225 0 = 0 230 CLS:PRINT "* WELLCOME TO ABCD SERVICES *" * 240 FOR T = 1 TO 50000!: NEXT T 250 IF EOF(3) GOTO 210 260 INPUT#3,L$ 265 CLS.-PRINT L$ 270 FOR T = 1 TO 20000: NEXT T 280 GOTO 250 290 RUN "LOGIN"

Claims

1. Werkwijze voor het beveiligen van een smart card systeem, omvattende een smart card en een terminal voor het, via een transmissiemedium, in verbinding brengen van die smart card met een verwerkingssysteem, waarbij een smart card gebruiker voor het activeren van de smart card een identificatiecode moet ingeven die door de smart card wordt vergeleken met een in die smart card opgenomen identificatiecode en waarbij de smart card wordt geactiveerd bij overeenkomst tussen beide genoemde identificatiecodes, MET HET KENMERK, DAT de smart card na een zeker aantal keren ingeven van een identificatiecode die afwijkt van de in de smart card opgenomen identificatiecode, desondanks in beperkte mate wordt geactiveerd, en dat daarbij door de smart card aan de terminal een foutcode wordt afgegeven.

2. Werkwijze volgens conclusie 1, MET HET KENMERK, DAT de terminal na detectie van genoemde foutcode een alarmcode zendt aan het verwerkingssysteem.

3. Werkwijze volgens conclusie 2, MET HET KENMERK, DAT genoemde alarmcode een aanduiding omvat van de locatie van genoemde terminal,

4. Werkwijze voor het beveiligen van een computersysteem omvattende een terminal die via een transmissiemedium verbonden is met een verwerkingssysteem, waarbij een gebruiker een identificatiecode moet ingeven die wordt vergeleken met een in de terminal of in het verwerkingssysteem opgenomen identificatiecode, MET HET KENMERK, DAT de gebruiker na een beperkt aantal keren ingeven van een identificatiecode die afwijkt van de genoemde in de terminal of het verwerkingssysteem opgenomen identifi- systeem, en dat daarbij een alarmcode door de terminal of door het verwerkingssysteem wordt gegenereerd.

5. Werkwijze volgens conclusie 4, MET HET KENMERK, DAT genoemde alarmcode een aanduiding omvat van de identiteit of locatie van de genoemde terminal.