NO172315B - Fremgangsmaate for aa forhindre uautorisert adgang til informasjoner - Google Patents

Abstract

Fremgangsmåte for å forhindre uvedkommende å få tilgang til informasjon som mates inn i en anordning ved tastaturnedtrykning på et tastatur 21. F.eks. ved PIN-koder som mates inn i en uttaksautanat og sem overføres fra tastaturet i form av elektriske signaler på elektriske ledninger aQ-a, dg-dtil en datamaskin 23 som behandler informasjon. Fremgangsmåten består i at datamaskinen 23 mottar signaler fra ledningene under visse mottakningsperioder og at datamaskinen mellom disse perioder på nevnte ledninger avgir signaler, som simulerer tastaturnedtryknigner. Disse simulerte tastaturnedtrykningers varighet og frekvens varierer på. en slumpmessig måte for at en uvedkccmeiide son avlytter ikke skal kunne skille simulerte tastaturnedtrykninger. fra virkelige tastaturnedtrykninger.

Description

Foreliggende oppfinnelse angår en fremgangsmåte for å forhindre uautorisert tilgang til informasjon som mates inn i en anordning ved tastenedtrykning på et tastatur og som overføres fra tastaturet i form av elektriske signaler på elektriske ledninger til en behandlingsenhet.

I dag anvendes i mange sammenhenger et magnetkort som nøkkel for tilgang til penger og varer. Eksempel på dette er kontokortautomater på bensinstasjoner og uttaksautomater av typen Bankomat og Minuten for uttak av penger. Spesielt i sistnevnt tilfeller er det svært viktig at ingen annen enn den rettmessige eieren til kortet kan utnytte det for å ta ut penger og heller ingen annen kan ta ut penger ved hjelp av et forfalsket kort. For å forhindre at uærlige personer, som har forfalsket, funnet, stjålet eller på annen måte kommet over en annen persons magnetkort, skal kunne få ut pengene, kombineres derfor kortene med en personlig kode, en såkalt PIN-kode (Personal Identification Number), som må mates inn i uttaksautomaten for at det skal være mulig å gjøre et uttak. Mellom PIN-koden og informasjonen på magnetkortet finnes nemlig et visst samband som styres og som må være riktig for at et uttak skal kunne godkjennes. Kontrollen gjøres enten av datamaskiner i automaten eller av en sentraldatamaskin. I det sistnevnte tilfellet kodes PIN-koden av datamaskinen i automaten før den sendes til den sentrale datamaskinen.

US 4 234 932 viser et system som forsøker å gjøre det vanskeligere for bedragere å få ut penger fra en bankautomat uten tilgang til både magnetkort og PIN-kode. Systemet innbefatter en fjernterminal med en kortleser, en slumptalls-generator, en PIN-signalgenerator, en sikkerhetsanordning og en seddelutmater. I systemet inngår også en sentraldatamaskin, som mottar kortdata, et signal (cp) som kobler PIN-koden til anvenderens fil (X) i lagret og et slumptall (W). Datamaskinen avgir et godkjenningssignal, som består av summen (Z) av de tre ovenfor nevnte signalene. Dette godkjenningssignalet sammenlignes i sikkerhetsanordningen med den av anvenderen innmatede PIN-kode og med slumptallet (W) og dersom det forefinnes et visst forhold mellom dem, avgis et utmatningssignal til seddelutmateren.

Et slikt system med både kort og PIN-kode er imidlertid ikke sikkert for bedrageri. En bedrager kan spionere når et tiltenkt offer taster inn sin kode for senere på en eller annen måte å tilegne seg denne brukerens kort.

Utspioneringen av koden kan imidlertid vanskeliggjøres ved hjelp av en anordning EP 0 147 837 som skal forhindre at uvedkommede kan oppfatte en brukers PIN-kode kun ved å observere brukerens fingerbevegelse når han taster inn koden. Anordningen innbefatter tangentbord med et tegnvindu. På tegnvinduet vises hvilke siffer som hver og en tangent på tangentbordet tilsvarer. Hver tangents betydning kan således endres med jevne mellomrom, noe som gjør at man ikke kan bestemme hvilken kode som tastes inn kun ved å betrakte fingerbevegelsene.

Videre er bedragerens mulighet til å få ut store summer begrenset av grensen på hvor mye penger det er tillatt å ta ut under en viss tidsperiode via en uttaksautomat og ved at offeret kan sperre sin konto.

En større sikkerhetsrisiko for bankene er muligheten for at uærlige personer kan koble seg inn på ledningen i uttaksautomaten på hvilke informasjonen overføres og således få tilgang til både PIN-koden og magnetkortinformasjonen for et stort antall kort. Ved å fremstille et antall falske kort og bruke de avlyttede PIN-kodene, skulle den uærlige personen kunne ta ut penger fra et stort antall kontoer og derved kunne ta ut svære summer med penger.

Det finnes i prinsippet tre muligheter for en bedrager å kunne få viktige informasjoner i uttaksautomatene. Den første muligheten er at bedrageren kobler seg Inn på ledningen mellom de lokale datamaskinene i uttaksautomatene og den sentrale datamaskinen og avlytte de derimellom overførte signalene. For å forsvare tilgangen av viktig informasjon, kodes alle kritiske informasjoner som sendes mellom lokale og sentrale datamaskinen.

Den andre muligheten er at bedrageren kan gå inn å lese ut programkoden for den lokale datamaskinen og derved få kjennskap til koderings- og/eller kont roll algoritmene. Dette kan imidlertid forhindres ved å anvende et i USA nylig utviklet sikkerhetsschips, som muliggjør utlesning av programkoden.

Den tredje muligheten er at bedrageren avlytter signalene på ledningen mellom tastaturet og den lokale datamaskinen, samt mellom magnetkortleseren og den lokale datamaskinen. Den til nå kjente måten til å beskytte denne delen av uttaksautomaten er å beskytte den fysisk sett. Dette er imidlertid ikke tilfredsstillende sett ut fra et sikkerhetspunkt. Personer som har tilgang til uttaksautomatens indre, kan uten altfor store vanskeligheter fremdeles feste anordninger som mulig-gjør avlytting. Den fysiske beskyttelsen av denne del innebærer videre at man ikke kan anvende tastatur med hvilken som helst type taster uten at disse skal være utformet på en spesiell måte, noe som gjør tastaturen mer klumpete og dyrere.

Formålet med foreliggende oppfinnelse er å tilveiebringe en ny måte for å forhindre tilgang til informasjon som mates inn i apparater av typen uttaksautomater. Fremgangsmåten skal kunne anvendes ved seg allerede nå ibrukbefinnende uttaksautomater og ikke kreve omfattende og dyre installasjoner.

Formålet oppnås ved fremgangsmåten beskrevet i innledningen og som kjennetegnes ved at behandlingsenheten mottar signaler fra ledningene under adskilte mottakningsperioder og behandlingsenheten mellom mottakerperioden på nevnte ledning avgir signaler som simulerer tangentnedtrykninger.

Det maksimale intervallet mellom to overhverandre følgende mottakningsperioder må naturligvis være vesentlig kortere enn den korteste varigheten av en tangetnedtrykning, slik at det ikke finnes noen risiko for at det mistes en tangentnedtryk-ning.

En uvedkommende som kobler seg inn på ledningene mellom tastaturen og den lokale datamaskinen I uttaksautomaten kan altså ikke avgjøre virkelig tangentnedtrykningen virkelig skjer og altså ikke avgjøre hvilken PIN-kode som hører sammen med informasjonen på det i uttaksautomaten anvendte kort. For ytterligere å øke sikkerheten lar man varigheten av intervallene mellom mottakerperioden variere på en slumpmessig måte, liksom varigheten av de simulerte tangentnedtryk-ningene og deres frekvens.

Fordelen med den beskrevne måten ifølge foreliggende oppfinnelse er at den kan tilpasses på seg ibruk befinnende uttaksautomater, og det kreves hverken dyre eller omfattende installasjoner og derved reduserer kravet til fysisk beskytt-else av de aktuelle delene av uttaksautomaten, hvilket muliggjør anvendelse av andre tastatur enn hva som i dag anvendes.

I det påfølgende skal oppfinnelsen beskreves ved hjelp av et utførelseseksempel med henvisning til medfølgende tegninger, hvor: Fig. 1 viser skjematisk de i en uttaksautomat anvendte deler. Fig. 2 viser et tidsdiagram og skjematisk et eksempel på utseendet for signalene mellom tangentbordet og datamaskinen i en uttaksautomat, samt virkelig og simulert tangentnedt ryk-ning når metoden ifølge foreliggende oppfinnelse anvendes. Den på fig. 1 skjematisk viste uttaksautomaten innbefatter hovedsakelig et tastatur 21, en kortleser 22 og en datamaskin 23. Tastaturen 21 er av typen matrisetastatur og består av fire på figuren viste horisontale ledningen aø-a3 og fire på figuren vist vertikale ledninger dg-d3, som danner en matrise, hvor hvert skjæringspunkt mellom horisontale og vertikale ledninger tilsvarer en tast. I den viste utførel-sesformen har tastaturet 21, altså seksten taster 1-16. Ledningene aø-a3, dø-d3 er forbundet med datamaskinen 23, som på konvensjonell måte innbefatter en sentralenhet, leselager, et direktelager, databusser, adressebusser og I/O-enheter og som f.eks. kan være en av Intel fremstilte kretsen 8751. Datamaskinen 23 har en med kortleseren 22 forbundet inngang 24, en med en ikke vist sentraldatamaskin forbundet utgang 25 samt med adresseledningene aø-a3 og datamaskinledningene 6. q-6. 3 forbundne adresseutganger ag-a3 hhv. dat ain-/utgangene D0-D3. I det minste sistnevnte er også bidireksjonelle, dvs. de kan fungere både som inn- og utganger i avhengighet av hvorledes de er programmerte.

En person som skal ta ut penger i en uttaksautomat av den viste typen setter på velkjent måte inn sitt magnetkort i kortleseren 22 og taster inn sin PIN-kode ved hjelp av tastene på tastaturen 21. Datamaskinen 23 mottar den på kortet magnetisk kodede informasjonen på den med kortleseren 22 forbundne inngang 24 og registrerer t as tenedtrykkingen ved at i tur og orden legger ut en en på adresseutgangene Å0-A3 og får hver og en av disse leses inn de på datainngangene D0-D3 tilveiebragte nuller og enere.

For å forhindre at noen ved avlytting av ledningene & Q- a. 2 og dø-d3 kan komme til brukerens PIN-koder, leser datamaskinen 23 bare inn informasjon på datainngangene D0-D3 under visse mot takningstidsper loder. Disse mottakningsperiodene må ha en så høy frekvens at det ikke er noen risiko for at datamaskinen mister noen av tastenedtrykningene. Det lengste intervallet mellom to mottakningsperioder må altså være vesentlig kortere enn den korteste tenkbare tastaturnedtrykning. Varigheten av intervallet mellom to mottakertidsperioder varierer slumpmessig og under disse intervallene er D0-D3 omprogrammert til utganger. Datamaskinen 23 legger ut signaler som simulerer tastaturnedtrykninger på ledningene dø-d3. De simulerte tastaturnedtrykningenes varighet og frekvens varierer slumpmessig for ytterligere å vanskelig-gjøre for en avlytter å avgjøre hvilke nedtrykninger som er ekte.

Denne slumpemessige varierende varigheten og frekvenser styres av et i datamaskinens lager lagret program, som utnytter en slumptallgenereringsfunksjon.

For at en avlytter ikke skal kunne sortere ut de ekte tastaturnedtrykningene gjennom å studere strømretningen på signalene på dataledningene dø-d3, gjøres signalene som avføler hhv. simulerer tastaturnedtrykningene så kort som mulig for å gi et lavest mulig energiinnhold. Dette medfører at man må ha svært komplisert og dyr utrustning for å kunne detektere strømretningene på disse signalene.

For ytterligere å klargjøre på hvilken måte den foreliggende oppfinnelse virker vises til fig. 2, som viser et skjematisk eksempel på hvorledes signalene på adresse- og dataledningene ag-a3 hhv. dø-d3 på den på fig. 1 viste anordning, samt disse tilsvarende ekte og simulerte tastaturnedtrykningene kan se ut. På figuren som viser ti perioder 1-10 av avsøkningen av tastaturet, finnes en tidsakse for hver og en av adresseledningene ag-a3 og dataledningene dø-d3. Videre finnes derunder en tidsakse, på hvilken virkelige tastaturnedtrykninger vises og nederst på figuren en annen tidsakse, på hvilken simulerte tastaturnedtrykninger vises. På tidsaksen for adresseledningene ag-a3 vises hvorledes datamaskinen avsøker tastaturet ved i tur og orden legge ut et høyt signal, en "1", på adresseledningene aø-a3. For hvert høyt signal som datamaskinen legger ut på adresseledningen leser den under mottakerperioden, hvilket i det viste eksemplet er de innringede periodene 1, 2, 7 og 10, innsignalene på dataledningene, hvorved datainn-/utgangene dø-d3 er program-mert som innganger. Under perioden 1 og 2 fås således et "1" på dataledningen dg, når et høyt signal avgis på adresseledningen ag, ettersom tasten 7 er neddtrykt. Under perioden 3-6 er dat ainn-/-utgangene D0-D3 omprogrammert til utgangene og ved det viste eksemplet simulerer datamaskinen en nedtrykning av tasten 9, ved at under perioden 4 og 5 legges ut et høyt signal på dataledningen dg, når adresseledningene a^ er høy. Under perioden 7 er datainn-/-utgangene D0-D3 igjen omprogrammert som innganger. Ettersom ingen tangent er nedtrykt under denne perioden fås kun nuller på inngangen D0-D3. Under perioden 8 og 9 simuleres en nedtrykning av tasten 3 ved at datamaskinen legger ut en "1" på dataledningen Dg under den tidsperioden når adresseledningen a3 er høy. Selv om en virkelig tastaturnedtrykning, sånn som vist i eksemplet, påbegynnes under perioden 9, vil dette Ikke synes på dataledningene dg-d3. Under perioden 10, som er er mottaker-periode, synes derimot denne tastaturnedtrykningen som en "1" på dataledningen dg når adresseledningen a^ er høy. For en som avlytter signalene på data- og adresseledningene ser det således ut som tastaturen 7 er nedtrykt under perioden 1 og 2, tastene 9 under periodene 4 og 5, tastene 3 under perioden 8 og 9 og tastene 11 under perioden 10. For en avlytter finnes det ikke noen mulighet å avgjøre hvilke signaler som kommer fra virkelige tastaturnedtrykninger.

For ytterligere å komplisere tilværelsen for en avlytter, kan man naturligvis la også adresseutgangene A0-A3, være bmpro-grammerbare til innganger, og under visse mottakerperioder avsøke tastaturet ved å anvende utgangene D0-D3 som adresseutganger.

Naturligvis behøver heller ikke avsøkningen skje ved at datamaskinen legger ut en "1" på adresseledningene a0-a3 i den i eksemplet viste anordning. Denne kan være vilkårlig og til og med skifte fra periode til periode.

Videre innser fagmannen på området at man like gjerne kan anvende negativ logikk, dvs. at "0" angir ekte eller simulerte tastaturnedtrykninger.

Foreliggende oppfinnelse har blitt beskrevet under henvisning til en uttaksautomat, men naturligvis kan fremgangsmåten ifølge foreliggende oppfinnelse anvendes ved alle anordninger der hemlig informasjon mates Inn via et tastatur og overføres til en form for behandlingsenheter. Oppfinnelsen er videre ikke begrenset til et 4x4 matrisetastatur, men kan uten videre tilpasses tastatur med ulike størrelser og ulike typer.

Claims (5)

1. Fremgangsmåte for å forhindre uvedkommende tilgang til informasjon som mates inn i en anordning gjennom en tastaturnedtrykning på et tastatur 21, og som overføres fra tastaturet i form av elektriske signaler på elektriske ledninger (ag-a3, dg-d3) til en behandlingsenhet 23, karakterisert ved at behandlingsenheten 23 mottar signaler fra ledningene under mottakningstidsperioder og at behandlingsenheten 23 mellom mottakningstidsperiodene på nevnte ledninger avgir signaler som simulerer tastaturnedtrykninger .

2. Fremgangsmåte ifølge krv 1, karakterisert ved at det maksimale intervallet mellom to på hverandre følgende mottakerperioder er vesentlig kortere enn den korteste varigheten av en tastaturnedtrykning.

3. Fremgangsmåte ifølge krav 1 eller 2, karakterisert ved at varigheten av intervallene mellom mottakerperiodene varieres på en slumpmessig måte.

4. Fremgangsmåte ifølge krav 1, 2 eller 3, karakterisert ved at de simulerte tastaturnedtrykningenes varighet varierer på en slumpmessig måte.

5. Fremgangsmåte ifølge noen av de foregående krav, karakterisert ved at de simulerte tastaturnedtrykningenes frekvens varieres på en slumpmessig måte.