NO317406B1 - Verdioverforingssystem, omfattende elektroniske lommeboker - Google Patents

Description

Foreliggende oppfinnelse vedrører et verdioverføringssystem der verdi blir overført mellom elektroniske lommebøker. Et slikt system ifølge innledningen i kravene 1 og 7 er omtalt for eksempel i patentsøknad WO 91/16691.

I systemet som er omtalt i nevnte patentpublikasjon blir det benyttet integrerte kretskort ("integrated circuit cards") eller "Smart cards" som applikasjonsbærerinnret-ninger ("application carrier devices") for å bære elektroniske lommebøker. En elektronisk lommebok er en programap-plikasjon som styrer lagerenheten i lageret på nevnte ACD med hensyn til en verdiopptegning som representerer "elektroniske kontanter". Ved å koble to ACDer sammen via grensesnittinnretninger ("interface devices") vil de respektive lommebøker bli sammenkoblet og utveksle en flerhet av meldinger som resulterer i overføringen av verdi fra en lommebok til den andre.

Det er innlysende at sikkerhet mot bedrageri er vitalt i forbindelse med et verdioverføringssystem. Fremstillings-prosessen i forbindelse med ICCer og stadig mere sofisti-kerte sikkerhetstiltak som innlemmes ved deres fremstilling og programmering, gjør det så å si umulig å etterligne smartkortene. Avbrytelse og duplisering av verdioverfør-ingsmeldingene blir forhindret ved hjelp av kryptografisk koding av meldinger som utveksles i en transaksjon. Til tross for de meget høye sikkerhetsnivåer som oppnås ved hjelp av moderne kryptografi, så foreligger det en teoretisk risiko for at et spesielt kryptografisk system kan kompromitteres, om ikke ved hjelp av kryptoanalyse så kanskje ved hjelp av brudd i en fysisk sikkerhet som fører til lekkasje av algoritmer eller nøkler.

En hensikt med den foreliggende oppfinnelse er å skaffe et verdioverføringssystem hvori det aktuelle kryptografiske system kan endres. Administrativt kan en endring utføres som et vanlig "føre var"-tiltak eller som reaksjon på et angrep mot det system som er i bruk.

I henhold til et aspekt ved oppfinnelsen er det skaffet et verdioverføringssystem omfattende en flerhet av elektronisk programmerte mikroprosessor-applikasj onsbærerinnretninger ("application carrier devices"), idet hver omfatter en elektronisk lommebok med et verdilager, idet nevnte ACDer er innrettet til å kunne kobles sammen i par slik at lomme-bøkene kan kobles og muliggjøre utveksling av verdi ved transaksjoner mellom lommebøkene, samtidig som verdiutveks-1ingen blir utført ved utvekslinger av meldinger som er sikret ved hjelp av en kryptografisk sikkerhetsplan, idet systemet ytterligere omfatter en sekvensiell serie av kryptografiske sikkerhetsplaner som strekker seg fra gamle til nye, og idet hver lommebok er programmert ved i det minste to plan i hver serie, samtidig som lommebøkene er ytterligere programmert til å identifisere og bruke, når de er koblet i et par, for å utveksle verdi mellom elektroniske lommebøker, den eldre eller eldste brukbare felles kryptografiske sikkerhetsplan for lommebokparet og til å hindre deretter som overdratt hvilken som helst eldre kryptografisk sikkerhetsplan for rekken i enhver lommebok. Med dette arrangement kan en første lommebok bli automatisk svitsjet fra et gammelt kryptografisk system til et nytt system når man møter en andre lommebok som har det nye system, men ikke det gamle. Ved svitsjing vil den første lommebok da ikke ha noe brukbart gammelt system og den kan da selv bevirke at andre lommebøker svitsjer til det nye system. Således, ved å la mengden av lommebøker bli tilført nye lommebøker som utelater det gamle kryptografiske system, vil det nye kryptografiske system migrere gjennom mengden av lommebøker ved en kjedereaksjon.

Det er å foretrekke at hver lommebok har en lagerregion hvori det er lagret en identifikator for den kryptografiske sikkerhetsplan som for tiden er i bruk av lommeboken, idet planidentifisererne blir utvekslet mellom et koblet par av lommebøker som en forberedelse ved en verdiutvekslings-transaksjon.

Mens det innses at lommebøkene kan ha tre eller flere kryptografiske systemer til hvilke de kan svitsjes i sekvens, vil en foretrukket utførelsesform for oppfinnelsen gå ut på at hver lommebok er programmert med to suksessive kryptografiske sikkerhetsplan i de sekvensielle rekker.

Det er å foretrekke at hver kryptografisk sikkerhetsplan omfatter i det minste én kryptografisk algoritme og i det minste én kryptografisk nøkkel og ledd i rekken skiller seg hva angår deres algoritmer og/eller deres nøkler. Den tidligere nevnte patentsøknad omtaler bruken av det såkalte RSA krypteringssystem, som er et asymmetrisk offent-lig/privat nøkkelsystem. Der blir det også omtalt utveksling av nøkler ved hjelp av nevnte DES-system. Krypter-ingsplanene ifølge den foreliggende oppfinnelse kan skille seg fra hverandre fordi de benytter forskjellige enkeltstående krypteringsalgoritmer, for eksempel RSA eller DES, eller fordi de kombinerer algoritmene fra forskjellige systemer eller fordi nøklene er forskjellige.

Suksessive kryptografiske planer i rekkene trenger ikke nødvendigvis være forskjellige. Det kan være ønskelig å tvinge nåværende smartkort mot foreldelse ved at de påvir-kes til å bli svitsjet til en ny kryptografisk plan selv om denne er den samme som den gamle. Således vil en utførel-sesform for oppfinnelsen gå ut på at suksessive ledd i rekkene av kryptografiske sikkerhetsplaner er de samme med unntagelse av at de er assosiert med forskjellige planidentifiserere, idet planidentifiserere blir lagret i lomme-bøkene og blir brukt til å identifisere den eldste felles kryptografiske plan for et par av koblede lommebøker og til å styre sperringen av eventuelle eldre kryptografiske sikkerhetsplaner ved rekkene i enhver lommebok.

Videre kan det være hensiktsmessig at selekterte ACDer kan være forsynt med to elektroniske lommebøker programmert med respektive og forskjellige kryptografiske sikkerhetsplaner, idet de selekterte ACDer er programmert, ved tilkobling til en andre ACD, til å selektere en lommebok slik at det tillates en transaksjon mellom lommeboken for nevnte andre ACD og den selekterte lommebok i henhold til kompatibilitet ved de lommebokrelaterte kryptografiske sikkerhetssystemer.

I henhold til et andre aspekt ved oppfinnelsen er det frem-skaffet et verdioverføringssystem omfattende en flerhet av elektronisk programmerte mikroprosessorapplikasjons-bærerinnretninger ("application carrier devices") som hver omfatter en elektronisk lommebok med et verdilager, idet nevnte ACDer er innrettet til å bli koblet sammen i par slik at lommebøkene kan kobles og muliggjøre at verdi blir utvekslet ved transaksjoner mellom lommebøkene, idet nevnte utveksling blir utført ved utveksling av meldinger som er sikret ved hjelp av en kryptografisk sikkerhetsplan, og dette system går ut på at selekterte ACDer er forsynt med to elektroniske lommebøker, programmert med respektive og forskjellige kryptografiske sikkerhetsplaner, idet nevnte selekterte ACDer er programmert, ved at de kobles til en andre ACD for å selektere en lommebok slik at det tillates en transaksjon mellom lommeboken for nevnte andre ACD og den selekterte lommebok i henhold til kompatibilitet ved de lommebokrelaterte kryptografiske sikkerhetssystemer. Med dette arrangement er det mulig å skaffe en avslutningsstrategi for en spesiell kryptografisk plan eller sett av planer. Ved å skaffe selekterte lommebøker, for eksempel enkelte kunder og banker, med duale lommebok-smartkort (ACDer), idet en lommebok har gamle planer og den andre lommebok har nye planer, er det mulig å isolere "gamle penger" fra "nye penger" mens man tillater transaksjoner med de gamle planer å fortsette, kanskje for et begrenset tidsintervall.

Oppfinnelsen vil nå bli ytterligere beskrevet under hen-visning til de vedføyde tegningsfigurer.

Fig. 1 er et skjematisk riss over en applikasjons-bærerinnretning i form av et integrert kretskort ("integrated circuit card") i et system i henhold til oppfinnelsen. Fig. 2 er et riss som illustrerer lagerallokasjon i en elektronisk lommebok lastet på nevnte ICC i henhold til fig. i. Fig. 3 er et skjema som viser en verdioverføringstransak-sjon mellom to lommebøker ved et system i henhold til oppfinnelsen. Fig. 4 er et riss som viser et lommebokarrangement for ut-førelse av kryptografisk avslutning i et system i henhold til oppfinnelsen.

Det skal forstås at den foreliggende oppfinnelse er en ut-vikling av det verdioverføringssystem som er omtalt i pa-tentsøknad WO 91/16691. Denne publikasjonen omtaler bruken av ICCer som applikasjons-bærerinnretninger for bæring av elektroniske lommebøker. De elektroniske lommebøker omfatter opptegninger av forskjellig art som rommes i elektronisk utviskbare, programmerbare leselagre (EEPROM) omfattende verdiopptegninger for eksisterende verdi, regn-skapsopptegning, etc. Lommeboken kan kobles via grense-snitt innretninger for utveksling av verdi i henhold til protokoller som innbefatter utveksling av kryptografisk sikre meldinger. Elektroniske kontanter kan således tas ut fra en bank, idet disse er utvekslet ved ikke-direkte transaksjoner med for eksempel enkeltstående kunder og løst inn ved en bank. Av rasjonelle grunner vil mange av de tekniske detaljer ved systemet ikke bli repetert her, men der det er nødvendig vil det gjøres henvisninger til nevnte tidligere patentfremstilling.

Fig. 1 illustrerer en applikasjons-bærerinnretning ("application carrier device") i form av en ICC 1. Nevnte ICC har på en overflate en kontaktpute 2 som bærer en flerhet av separate elektriske kontakter hvorved en ytre kraft-kilde kan tilkobles for å drive kortet, og en serie-kommu-nikasjonskanal kan etableres for overføring av data til og fra kortet. Kortet omfatter en mikroprosessor 3, en EEPROM 4 og et skrivelager (RAM) 5.

Nevnte EEPROM 4 rommer et operativsystem som omfatter tre undersystemer: (a) en filadministrator, (b) en kjøretids-utøver, og (c) en BIOS ("binary input/output system"). Ved innlasting blir operativsystemet benyttet for å laste inn i EEPROM en elektronisk lommebok, som utgjør en applikasjon, nemlig et program med assosierte datafiler.

Fig. 2 viser noen av elementene ved en elektronisk lommebok som skjematiske allokeringer av regioner hos nevnte EEPROM. Driften av lommeboken blir styrt ved hjelp av et program ved henvisningstall 6, som har assosierte datafiler. For eksempel forekommer det en verdiopptegning ved 7, trans-aksjonsbokføringer ved 8 og en utvetydig lommebokidentifi-serer ved 9. Sikkerhet blir bibeholdt ved bruken av kryptografiske planer og denne lommebok rommer to planer. Plan A har algoritmer ved 10 og et sett av kryptografiske nøkler ved 11. Plan B har algoritmer ved 12 og et sett av kryptografiske nøkler ved 13. En kryptofil 14 omfatter tre singel-byte-felter: avslutningsdomene 15, migrasjonsnivå 16 og migrert flagg 17.

Verdien av avslutningsdomenebyten indikerer det spesielle avslutningsdomene hvori lommeboken befinner seg. Lomme-bøker av forskjellige domener vil ikke kommunisere med hverandre. Dersom det er ønskelig med en hovedendring i systemet fra en spesiell avslutningsdato, så vil derfor alle nye lommebøker fra nevnte dato ha en ny avslutningsdomene-byte ved 15. I et spesielt domene vil det være de-finert en rekke kryptografiske planer. For eksempel, i det første domene kan rekken A, B, C, D, E forekomme, der A er den første eller eldste plan som kan brukes, og E er den siste, eller nyeste i rekken. Hver lommebok innbefatter to suksessive planer av rekkene. Det første sett av lomme-bøker vil omfatte planer A og B som kan betegne henholdsvis den initiale og den endelige plan for denne lommebok. Dette settet av lommebøker kan bli betegnet Issue 1.

Migrasjonsnivå-byten 16 rommer for eksempel "A" som indikerer at lommeboken innbefatter planer A og B, nemlig at lommeboken er Issue 1 i avslutningsdomenet. På en måte som vil bli beskrevet, kan lommeboken bli svitsjet irreversibelt fra å bruke plan A til å bruke plan B. Verdien av den migrerte flaggbyte 17 indikerer hvorvidt denne svitsjing har funnet sted. Således ved lesing av byter 15 - 17 kan man bestemme den spesielle kryptografiske plan som det er aktuelt å bruke for lommeboken.

Når to lommebøker, X og Y, kommuniserer for en verdiover-føring vil de brukte sikkerhetsplaner bli bestemt ved følg-ende regler: i) Dersom de aktuelle planer for X og Y er de samme, så blir denne plan brukt, og ingen planendringer finner sted,

ii) Dersom aktuelle planer for X og Y er forskjellige, befinner seg ved siden av hverandre i de kryptografiske rekker, samt dersom den tidligste av de to planer er den initiale plan for lommeboken som den tilhører, blir det utført en permanent svitsjing i lommeboken, idet man benytter dennes initiale plan slik at den alltid vil benytte sin endelige plan fra nå av. Således vil den "endelige" plan bli betegnet som den aktuelle plan, og den initiale plan ved denne lommebok blir aldri brukt på nytt,

iii) Dersom verken (i) eller (ii) er oppfylt, vil lommebøkene ikke kunne kommunisere.

Verdioverføringen kan ikke finne sted, og ingen endring blir utført for noens sikkerhetsplan.

Det vil forstås at verdioverføringer mellom Issue l lomme-bøker finner sted under bruk av plan A, fordi denne er den eldste felles plan for de to lommebøker. Når det er nød-vendig å fase ut plan A vil en Issue 2 for lommebøker bli frigjort, omfattende planer B og C. Når en verdioverføring finner sted mellom en Issue 1- og en Issue 2-lommebok, vil regel (ii) komme til virkning og det utføres en irreversi-bel svitsjing i Issue 1-lommeboken til å bruke plan B fra nå av. Deretter blir Issue 1-lommeboken en agent for endring i seg selv, fordi når en verdioverføring finner sted mellom nevnte og en andre Issue 1-lommebok, som ikke er blitt svitsjet til plan B, vil regel (ii) på nytt komme til virkning og den andre Issue 1 lommebok blir svitsjet til plan B. Svitsjingen blir utført ved endring av emigra-sjonsbyten 17 i nevnte EEPROM.

Gradvis, ved hjelp av en osmoseprosess, vil Issue 1-lomme-bøkene svitsje over til plan B. Endringen vil bli ganske rask dersom Issue 2 blir frigjort på bred basis (for eksempel til detaljuttak), skjønt teoretisk vil en lommebok være tilstrekkelig til å trigge hele prosessen.

En endring fra B til C blir utført på samme måte ved opp-rettelse av en Issue 3 med planer C og D. Når først denne Issue, og således plan C er etablert, vil Issue 1-lomme-bøker ikke lenger være brukbare.

Det skal noteres at endrings-svitsjingen ikke er avhengig av noen datoer. Dette er veloverveid, fordi datoer kan man ikke alltid stole på, og klokker er ikke alltid foreskrevet for alt utstyr. Det trengs ikke tas noen avgjørelse hva angår en plans levetid når lommebøkene som omfatter nevnte, blir utstedt.

Fig. 3 viser en salgspunktterminal 18 hos en detalj forhand-ler. Terminal 18 er en grensesnittinnretning og rommer detalj handlerens ICC 19 som omfatter detalj lommeboken 19a.

Den kunderelaterte ICC 1 ifølge fig. 1 og 2 kan settes inn i en spalte i hoveddelen av terminal 18. I dette eksempel har kundekortet 1 en lommebok la med planer A og B og detaljhandlerkortet 19 har en lommebok 19a med planer B og

C.

Som omtalt i tidligere nevnte patentfremstilling vil en verdioverførings-transaksjon omfatte tre essensielle kryptografisk signerte meldinger:

a) Forespørsel om fra betalingsmottager (de-

sending - taljhandler) lommeboken til betaler

(kunde) lommeboken med forespørsel om et avtalt beløp.

b) Betalingsverdi - fra betalerlommebok til betalingsmottagerlommebok

omfattende betalingskommandoen for betaling av V.

c) Bekreftelse - fra betalingsmottagerlommebok til betalerlommebok og bekreftelse av

mottagelse av verdi/beløp V.

Dette utgjør betalingsmeldingene og som omtalt i den tidligere patentfremstilling, er disse kryptografisk signert og verifisert.

Før betalingsfasen hvori betalingsmeldingene blir sendt, forekommer det en forbetalingsfase hvori informasjon blir utvekslet mellom lommebøkene vedrørende lommebokstatus. Denne informasjonen blir transmittert i klar tekst, dvs. ikke-kryptografisk. Data mottatt på dette trinn av en lommebok fra den andre lommebok utgjør såkalte "motpart-lommebokdata".

På fig. 3 er det vist en sekvens av meldinger for transaksjonen mellom kundelommeboken la og detaljhandlerlommeboken 19a. Meldinger over linjen 20 er for-betalingsmeldinger sendt i klartekst og meldinger under linjen 20 er kryptografisk signert. For det første, ved sending av spørre-kommandoer til begge lommebøker, vil terminalen 18 avlede responser som inneholder lommebokstatus-informasjon. Inn-lemmet i nevnte lommebok-statusinformasjon finner man verdien av byter 15 til 17, som kollektivt indikerer den aktuelle kryptografiske plan ved rekkene A til E under hvilken hver lommebok fungerer.

Lommebok la mottar en "betaling start betaler"-melding fra terminal 18 og fra motpart-lommebokdata blir det bestemt at lommebok 19a for nærværende befinner seg på plan B og ut-leder derfra at den (lommebok la) vil migrere til plan B.

Lommebok 19a mottar en "betaling start betalingsmottager"-melding fra terminal 18, og fra motpart-lommebokdata vil man oppfatte at lommebok la for nærværende er på plan A og vil migrere til plan B. Lommebok 19a sender en betaling-forespørsels-melding basert på plan B og inneholdende informasjon hva angår verdien byter 15 til 17 til sin EEPROM. Lommebok la forventer at lommebok 19a vil bruke plan B. Den kontrollerer betalingsforespørsels-signaturen ved bruk av plan B. Som del av kontrollen av den innkommende signa-tur, vil den kontrollere at den innkommende lommebok 19a har en korrekt forståelse av hvilken migrasjon som vil finne sted - dvs. lommebok la vil migrere og lommebok 19a vil ikke. På denne måte vil "eventuelle unormale tilstander kunne rettes. For eksempel er det ikke mulig for begge lommebøker å migrere. Dersom dette skulle bli indikert, så vil transaksjonen bli abortert, og ingen av lommebøkene vil migrere. Dersom betalingsforespørsel-signaturen er gyldig, vil lommebok la migrere irreversibelt til plan B ved å

sette byte 17 i sin EEPROM.

Lommebok la sender en betalingsverdi-melding til lommebok 19a. Denne er kryptografisk signert og omfatter informasjon vedrørende byter 15 til 17, hvilket viser at lommeboken la har migrert til plan B. Lommebok 19a bruker plan B til å kontrollere signaturen fra lommebok la. Sluttelig vil lommebok 19a sende en betalingsbekreftelse-melding til lommebok la, signert kryptografisk og her omfattende informasjon vedrørende tilhørende byter 15 til 17. Det skal således noteres at planstatus-informasjon blir først utvekslet i klar tekst mellom lommebøkene, og blir deretter inkorporert i alle tre av de grunnleggende kryptografisk signerte betalingsfase-meldinger. Informasjonen i disse signerte meldinger blir avledet internt i nevnte ICC, og kan ikke simuleres eksternt som et forsøk på bedragerimes-sig å påtvinge planmigrasjon.

En lignende prosedyre til den som beskrevet tidligere, finner sted når den kryptografiske plan for betalings-motta-ger -lommeboken skal bevirkes til å migrere på grunn av en transaksjon med en kundelommebok med en nyere aktuell plan. Her vil migrasjonen bli utført i betalingsmottagerens lommebok ved mottagelse av en gyldig signert betalingsverdi-melding.

Selv om den nevnte beskrivelse relaterer seg til progressiv migrasjon til suksessive kryptografiske planer, så vil det forekomme tilfeller der det er nødvendig å implementere avslutning. Avslutning er en strategi for å henlegge alle kryptografiske planer som hittil er i bruk i et system og starte på nytt med en ny kryptografisk plan eller rekke av planer. Avslutning kan for eksempel være nødvendig for å fremskaffe tilbakekalling av eksisterende ICCer dersom det skal implementeres en betydelig forbedring i systemet, eller dersom det er avdekket et alvorlig brudd på sikkerhe-ten.

For å kunne implementere avslutning vil spesielle ICCer kunne innlemmes i planen. Den tilhørende EEPROM for en slik ICC er vist på fig. 4 ved henvisningstall 21. Nevnte EEPROM har to lommebøker, 22 og 23, idet hver av dem har to kryptografiske planer.

I tilfelle av et sikkerhetsbrudd vil de to lommebøker ha planer tilhørende en "gammel" og en "ny" rekke og de to rekker vil være fullstendig distinkte og ikke-overlappende. Imidlertid, dersom systemet ikke er kryptografisk kompro-mittert og avslutning blir introdusert av administrative grunner, er det mulig at de to rekker kan være like.

Imidlertid tilhører de to lommebøker her forskjellige av-slutningsdomener og har forskjellige respektive verdier i byte 15. Programmene for lommebøkene vil derfor ikke gjen-kjenne noen felles kryptografisk plan i forhold til en andre lommebok med en forskjellig avslutningsdomeneverdi, fordi denne verdi er en del av den kryptografiske plan-identifiserer. Således vil lommebøker kunne utveksle verdi bare med lommebøker av det samme avslutningsdomene. Selek-tering av hvilken lommebok som skal brukes i ICC 21 blir utført ved hjelp av en programrutine som identifiserer verdien av byte 15 i kundelommeboken fra motpart-lommebokda-taene.

Fremskaffelsen av detaljhandlerkort med to lommebøker for forskjellige domener tillater transaksjoner å kunne fortsette med gamle lommebøker samtidig som nye kort blir introdusert. Denne periode med overlapping kan være tidsbegrenset. Følgene av arrangementet er at elektroniske kontanter som utstedes under det originale domene, blir isolert fra det tilsvarende under det nye domene, slik at eventuell skade på systemet som helhet, kan begrenses.

Claims (8)

1. Verdioverføringssystem omfattende en flerhet av elektronisk programmerte mikroprosessor-applikasjonsbærer-innretninger ACDer, idet hver omfatter en elektronisk lommebok med et verdilager, idet nevnte ACDer er innrettet til å kunne kobles sammen i par slik at lommebøkene kan kobles og muliggjøre utveksling av verdi ved transaksjoner mellom lommebøkene, samtidig som verdiutvekslingen blir utført ved utvekslinger av meldinger som er sikret ved hjelp av en kryptografisk sikkerhetsplan karakterisert ved at systemet videre omfatter en sekvensiell serie av kryptografiske sikkerhetsplaner som strekker seg fra gamle til nye, og idet hver lommebok er programmert ved i det minste to plan i hver serie, samtidig som lommebøkene er ytterligere programmert til å identifisere og bruke, når de er koblet i et par, for å utveksle verdi mellom elektroniske lommebøker, den eldre eller eldste brukbare felles kryptografiske sikkerhetsplan for lommebokparet og for å hindre deretter som overdratt hvilken som helst eldre kryptografisk sikkerhetsplan for rekken i enhver lommebok.

2. Verdioverføringssystem som angitt i krav 1, karakterisert ved at hver lommebok har en lagerregion hvori det er lagret en identifikator for den kryptografiske sikkerhetsplan som for tiden er i bruk av lommeboken, idet planidentifisererne blir utvekslet mellom et koblet par av lommebøker som en forberedelse ved en ver-diutvekslingstransaksjon.

3. Verdioverføringssystem som angitt i ett av de foregående krav, karakterisert ved at hver lommebok er programmert med to suksessive kryptografiske sikkerhetsplaner i de sekvensielle rekker.

4. Verdioverføringssystem som angitt i ett av de foregående krav, karakterisert ved at hver kryptografisk sikkerhetsplan omfatter i det minste én kryptografisk algoritme og i det minste én kryptografisk nøkkel og ledd i rekken skiller seg hva angår deres algoritmer og/eller deres nøkler.

5. Verdioverføringssystem som angitt i ett av de foregående krav, karakterisert ved at suksessive ledd i rekkene av kryptografiske sikkerhetsplaner er de samme med unntagelse av at de er assosiert med forskjellige planidentifiserere, idet planidentifiserere blir lagret i lom-mebøkene og blir brukt til å identifisere den eldste felles kryptografiske plan for et par av koblede lommebøker og til å styre sperringen av eventuelle eldre kryptografiske sikkerhetsplaner ved rekkene i enhver lommebok.

6. Verdioverføringssystem som angitt i ett av de foregående krav, karakterisert ved at selekterte ACDer kan være forsynt med to elektroniske lommebøker programmert med respektive og forskjellige kryptografiske sikkerhetsplaner, idet de selekterte ACDer er programmert, ved tilkobling til en andre ACD, til å selektere en lommebok slik at det tillates en transaksjon mellom lommeboken for nevnte andre ACD og den selekterte lommebok i henhold til kompatibilitet ved de lommebokrelaterte kryptografiske sikkerhetsplaner.

7. Verdioverføringssystem omfattende en flerhet av elektronisk programmerte mikroprosessorapplikasjons-bærerinnretninger ACDer som hver omfatter en elektronisk lommebok med et verdilager, idet nevnte ACDer er innrettet til å bli koblet sammen i par slik at lommebøkene kan kobles og muliggjøre at verdi blir utvekslet ved transaksjoner mellom lommebøkene, idet nevnte utveksling blir utført ved utveksling av meldinger som er sikret ved hjelp av en kryptografisk sikkerhetsplan, karakterisert ved at selekterte ACDer er forsynt med to elektroniske lommebøker, programmert med respektive og forskjellige kryptografiske sikkerhetsplaner, idet nevnte selekterte ACDer er programmert, ved at de kobles til en andre ACD for å selektere en lommebok slik at det tillates en transaksjon mellom lommeboken for nevnte andre ACD og den selekterte lommebok i henhold til kompatibilitet ved de lommebokrelaterte kryptografiske sikkerhetsplaner.

8. Verdioverføringssystem, karakterisert ved at selekterte ACDer er forsynt med to elektroniske lommebøker, programmert med respektive og forskjellige kryptografiske sikkerhetsplaner, idet nevnte selekterte ACDer er programmert, ved at de kobles til en andre ACD for å selektere en lommebok slik at det tillates en transaksjon mellom lommeboken for nevnte andre ACD og den selekterte lommebok i henhold til kompatibilitet ved de lommebokrelaterte kryptografiske sikkerhetssystemer .