TW200401552A - Authorizing means security module terminal system - Google Patents

Description

200401552 五、發明說明（l) 說明 本發明大致有關安全模組終端系統，如信用卡、借資 卡、加值卡及現金卡領域。特別是，本發明係有關改善遺 失或被未被授權者偷竊之卡的安全性。 目岫被使用之安全模組終端系統中，該系統之被授權 所有f係被分別當作密碼單元或秘密單元且通常為晶片卡 之，女王模組來表示。秘密單元通常適合安全地错存密碼 ，达來抵擋未被允許之存取，及使用此鑰匙來執行密碼算 =1该箅術通常被用於資料，其被安全模組終端系統提供 ;—反應方法範圍内驗證密碼單元或產生數位信號。、 來传ϊ Ϊ t，之特殊問題係需系統授權所有者之明確意願 在碼早70或安全模組，因而造成誤用或未被授權者 =:ί者=終端所有者之先前識別係需可= 被使用I $曰^ ^權者所有者。第十圖簡略顯示通常 簡略^二:=，統及相^ Λ, 、 及被插入該終端9〇〇之接觸單元904 :::全！組902。除了接觸單元9。4之外 '终端二二 勒出早兀906、一輪入單元9〇8及經 接： Γί統之中ί電腦的-介面91。。 簡略顯示，以：常d::之間之終端交易的方法係被 第十-圖中定目前之卡所有者的辨識。 序女排被描述於方塊圖中上纠下之年代順 襴，其中被標示於各欄頂 圖係被安排為三

第6頁 貝邵之各相同者，係分別與終 200401552 五、發明說明（2) ---- 1C(積體電路）卡或所有者產生關聯。各方塊係分別被水平 安排於攔中，其視何者主動參與各步驟之事實而與終端、 I C卡或所有者產生關聯。 如第十圖所示，所有者將以下假設為1(:卡之密碼單元 902插入被提供於步驟92〇之終端9〇〇之介面後，首先於步 驟922中，一面上系統之終端9〇〇及另一面上所有者之a卡 902之間的確認，係僅於終端9〇〇及1(：卡9〇 被允許通信參與者時被執行。為了決定“卡咖 者之辨識，終端90 0可經由步驟924中之輸出單元9〇6促使 1C卡902之所有者鍵入如個人識別號（ρΐΝ)之識別參數。步 驟92'中/所有者經由終端900之輸入單元908鍵:秘密且 僅被杈權所有者已知之個人識別號。終端9 〇 〇内，輸入個 人識別號係經由步驟9 2 8中之介面9 〇 4被傳輪至丨c卡9 〇 2。 以下步驟930中，ic卡9〇2檢查個人識別號是否被正確鍵 入。視輸入正確與否，終端9〇〇處之交易取消係被執行於 步驟932中，或ic卡9〇2確認個人識別號正確輸入終端 900，而步驟934中，所有者係被給予機會經由輸入單元 908來決疋父易被更精確地執行。步驟Mg中，级悬 行交易。 、取1交钒 當執行交易所需之個人識別號知識僅限於被授權所有 者時’雖然未被授權所有者誤用iC卡9〇2似乎被禁止，但 上述過程仍存在不同的問題。首先，除了許多其他密碼一集 類似事物外，被授權所有者必須記住個人識別號。為了提 出此問題，過去被當作識別參數之被授權所有者之生物統

200401552

計特徵係被提出，如指紋、臉部偵測或類似爭物。 雖，然卡所有者必須記住t問題可藉由生物 ί來執但：ί者仍需視識別參數或生物統計特徵而 ΐ識別=二夕或少有些麻煩之輸入。然而，當目前卡所有 〇Β °他不被執行或其不能被決定目前卡所有者a . ;授權卡所有者時’該輸入係迫切需*。由於舒為 怒望勝過預防未被授權使用的應用，如電話卡之所右之 需鍵入個人識別號係為必要。 ^卡之所有者不 效A預=女全拉組之犯罪誤用之安全系統係消失，兑 整為一方面需較可能更多之安全性而不 ^其被調 :J，另-方面所有者之努力應減少 J識別 月或年票。0此，其為避免被第三 二人?允許使用安全模組之傳統方法的缺點，ir g 女全性之增加需被付出支 a 2缺點亦即 個人識別號實質延長之事實的代價 者驗證或輸入 上述避免犯罪誤m Τ Ρ μ 參數，也就是生物轉4 一主要問題係為被使用識別 輪入陌生環境中僅ϊδρ十f破使用之獨立’卡所有者係被迫 該'，系統，'。不* = 之個人識別參數並託付其至 由如監視相機或類：；：’卡所有者不能在不被第三者藉 此第三者可得知個 0觀察下鍵^其個人識別號，藉 中，由於上述處理，二=。此外，第十一圖之步驟926 及系統處揭示其識別，者不可避免地必須在終端9 0 0 造物已被卡所^者用^ 、。然而，雖然過去自動出納機偽 來戴上表面上真實終端藉以獲得卡所

200401552

有者之個人識別號，但有了如自動出納機之高度信任終端 設備’識別參數之揭示似乎不需考慮。然而，卡所有者應 較擔心於無現金支付地區出示識別參數至犯罪第三者，^ 付政應用之銷售點終端（p〇S t erm i na 1 s )。卡所有者不可 避免地必須信任銷售點終端之其識別參數輸入之秘密 理。 特此注意只要犯罪第三者得知被授權所有者之識別參 數，只要他保有I c卡，則相同者可以被授權所有者之丨c / 卡，也就是已被授權所有者之名義來執行任何可執行之交 易二當這兩成分最後以系統中所有其權利來識別系統之被 授權所有者時，則安全模組之上述誤用之非常高度保 求即升高。 、，為了滿足識別參數可能誤用的不足，過去成本及時間 消耗技術係被使用藉由成本評估來辨識該誤用。為了接收 其系統，安全模組終端系統之製造必須保證被使用終端不 被文擊且個人减別號為識別參數之案例中，輸入單元 908、輸出單元9〇6及接觸單元9〇6係被保全防止偵查及 縱，而再次產生高成本。 /上類各終端位置處識別參數之輸入或否之安全模組终 端系統案例係被揭示於下列文件中。 、、 JP102jl〇368說明一電腦系統，其使用一非接觸式行動 藉X測4所有者疋否被該電腦系統授權經由被提供於 邊内之通信電路來接收來自該卡之識別資訊。 ' 類似系統係被揭示於DE4〇1 5482，其有關資料處理終

200401552 五、發明說明（5) 端之識別系統，其詢問被所有者持有之 生物統侧參數之系統係被說明於 式1C卡的一收銀台裝置。該收銀台 ι置可藉由所有者眼“由通信單元接 憶體之資訊’ϋ比較相同者及卡所有者之登錄。卡之3己 JP11015936說明用於公共電話一次^ 、 :被建立於非接觸式預㈣卡及Ic卡讀 WQ200051 008-A1 說明—混 αϊγ 曰 μ 際特徵至識別基礎之資料之資;棘:批及—種驗證從實 之方法。 貝Τ叶之貝科轉換被執行於另一參與者 JP20 00259 786係有關用於非接讎斗、# 之室行政系統的授權裝置，其= = 離開建築中 預先儲存之碼相比較並讀出碼來判=之識別媽係與 咖9099U-M係有關—㈣❹ f。各停車格係被提供一通信裝置，、—/ 控制裝置，-輸出裝置及一用於識二f入裝置，-置之介面。該通信裝置可當作自動』：：；：入該通信褒 需資訊至控制裝置的終端。 換所有提高停車費所 DE1 971 9275_C2係有關具有—可移動 包含兩個可接收用於製造n广之系統’ 器、指示器及控制電路之資料載體接入相同及控制 在之系統中，可被終端執行之某些：：：資料載體存 該終端之該資料恭辦π L γ 1係僅於目刚被插入 4之》亥貧料載體彼此係產生關聯時才被執行。檢查此 第10頁 200401552 五、發明說明（6) _ 狀L係藉由終端之兩接收器經 ^ / 料載體之微處理器中。 互通仏連接被執仃於兩資 本發明目的係提供一種可掸 入 〜 系統的新安全概念。 3 女王性之女全模組終端 此目的係藉由依據申請專 置，依據申請專利範圍第1〇 項之行動授權裝 範圍第17項之授權裝置安全』f女王模組，依據申請專利 範圍第18、19或2〇項之方法來^成冬端系統及依據申請專利 本發明係基於目前處罟v ^ 之輸入單元將識別資訊輸入對m棄之發現，使用終端 全環境，經由終端及安全模有者陌生之不安 安全模組。依據本發明，識別^間；丨面提供該識別資訊至 有者之行動授權裝置之李:貝汛轉換路徑係從產生自所 組。針對此，安Gy”以無線方式被移至安全模 個用與終端通信，而另二明包含兩介面，也就是一 驗證娜試，其係：：：；；：=模"分別用於授權或 ::計感測器或鍵盤或類 ：儲存所或經由如生 零知識方法或零知識協定^產生。如較佳分別藉由 驗成功時僅傳的安全模 角【全:置相4僅二 貝訊來檢驗其真實性。 相互已知密碼之識別 馨於依據本發明之事實，功能 吧就π終端處之動 200401552 五、發明說明（7) 作要求係視事實 授權裝置被提供 資訊查詢係不必 領域，而不必如 的壤境。 具有缺乏安 可避免地需終端 對照缺乏安全模 發明之識別檢查 輸被執行至行動 之識別資訊時， 有者之行動授權 端處之動作。然 額外努力，係其 安全模組，例如 攜帶之鏈錶、行 入系統’增加安 較於需個人識別 被降低。 來達成， 至相同者 要。所有 以往般以 全模組所 被裝配~ 組所有者 係經由安 授權裝置 擁有安全 裝置之未 而，安全 僅必須攜 以舒適方 動電話或 全性係不 號輸入之 無論正確識別資訊是否藉由行動 ，經由終端或系統之分路之識別 者之識別資訊因而维持於其私有 終端或’’系統"型式被暴露至陌生 有者之識別 輪入單元及 之識別檢驗 全模組之第 。當安全模 模組但不擁 被授權者， 模組所有者 帶行動授權 式被整合於 眼鏡。相較 必'付出延長 系統，如銷 檢驗之 一輪出 之前任 二介面 組缺乏 有被授 可能無 被暴露 裝置針 所有者 於之前 交易時 售點之 前任系 tf〇f 一 早70。 系統， 及無接 行動授 權或被 法單獨 增加安 對此目 可以任 個人識 間之代 交易時 統，無 然而， 依據本 觸式傳 權裝置 允許所 產生終 全性之 的使用 何方式 別號輸 價。相 間因而 ^對犯罪第三者獲得安全模組或行 翟^可能性亦必須考慮之高安全性庫 用外亦可包含識別相關資訊被儲存 丄俄=生物統計特徵之鍵盤或感測器 用於臉部識別之光學映射系統， 動授權裝置之擁有 ’行動授權裝置除 之一輸入單元，如 ，用於聲音識別之 用於字跡識別之寫

200401552 五、發明說明（8) 指學掃描器或類似物。然而，相 於安全環i且有者輪入識別參數係被執行 走分別：：第轉換至安全模組之該識別資訊係 上由弟二者或如終端之系統組成之 有關將發明安全概念引進既存， 優點，係為發明安全概念亦可與终本；；之重要 現時，資訊或識二=查 被執行於；：：：：識別號至僅被安全模組確認之終端而 =’本發明較佳實施例係參考附圖被詳細解釋。 、、主音===#考附圖更詳細被解釋於下列之前，應 數：： 功能之組件係被標示相同或類似參考 數值，而這些組件之重複說明係被避免重複。 參考第一圖，本發明實施例被說明之下列中，並 下列中被簡稱為^£之行動授權裝置或識別及授權單元，、 並不包含被使用者用於輸入識別參數之一輸入單元’但其 中6戠別資gfl所須之資訊係被儲存於一記憶體。 第一圖顯示一終端10，一IC卡型式之安全模組20及識 別及授權單元IAE30。被描繪之組件10、2〇及3〇係為識別 及授權單元安全模組終端系統之部分，如用於安全免現金 付款之系統或提高公共通勤的搭乘費用。例如終端丨〇屬於 銀行或交通機構。例如IC卡20被終端操作者，也就是如被 銀行或交通機構發行，或為可與若干安全模組終端系統一 起使用之多重應用卡。識別及授權單元30亦可被終端操作 200401552

者針對此操作者之安全埴 系統發行使用複數個不同；：：：使f，靖對不同卡 關聯。!。卡2。可;:者且與相同者產生個人地 者之識別及授權；；右；；：：授權單元，如被授權使用 生關聯。1C卡20及齊κ/戈^ ί I特別識別及授權單元產 * Sb別及授權單元3 0兩者係可被使用去摞 ▼。例如，識別及授描罝；q n 更用者攜 目戸铲弋―叙带^山權早兀30可被整合於使用者之手錶、 ^ ^ ^ I ，且可被執行於一單積體電路中。 終知10包括用斑>

作桩鏑彳十Α ，、卡20通之一介面11 ο，其可被當 ^觸式或非接觸式介面’及一介面112，可以識別及授 二早兀晶片卡終端系統之中央點（無圖示）經由匯流排系統 與終+端10通信。安全模組包括一第一介面21〇，用與終 j 1 〇通t，且被終端1 0之介面〗丨〇當作接觸式或非接觸式 介面1 ϋ者，安全模組20包括一第一介面212，用與識別 及授權單元3 0作無線通信214。最後，如下說明，安全模 組20進一步包括一處理單元216，用於控制安全模組2〇之 運作。 除了用與安全模組20作無線通信214之非接觸式介面 310，識別及授權單元30進一步包括一記憶體312，其中， 與使用者之識別及授權單元30及安全模組20相關資訊係可 被儲存，識別資訊可被產生或其對應相同者，如識別及授 權單元3 0及安全模組2 0之使用者之個人識別號。識別及授 權單元30進一步包括一能源，如電池、蓄電池、光電管或 類似物。如第一圖中被虚線繪圖之能源314，然而，如以

第14頁 200401552

端段期間被實施非接 時’此能源亦會漏 合於被授權使用者 裝置。可替代是， 包括無線通信之能 之 該 下更詳細之討論，當安全模組2〇於終 觸式提供電磁能給識別及授權單元3 〇 失0 例如，識別及授權單元3 Q可被整 鏈錶、眼鏡或行動電話或被當作自含 裝置可包含1C卡及上述裝置之組合， 力。 識 說明後 有者欲 方，或 說明中 圖，假 第 易期間 垂直及 用者相 行。 別及授 ，以下 執行終 獲得對 係進一 設識別 二圖中 各步驟 按分別 關之櫊 權単元I C卡終端系 相同運作係參考第 端1 0觸之動作，如 僅被授權者可存取 步被達成至第一圖 及授權單元3〇具有 之描繪係對應第十 係以方塊被描繪， 與終端10、1C卡20 位水平被安置，藉 統之各組件參考第一圖被 二圖被說明，其中IC卡擁 來自中央運作帳戶之借 之存取授權。第二圖參考 。再者’例如參考第二 其自己的能源31 4。 一圖之相同者。因此，交 其係按年代順序從上至丁 、識別及授權單元30或使 以指出何步驟被何者執 步驟_中，使用者係藉由按下按紐或類似物被直接 放置於終端1〇及識別及授權單元3〇上開關之前’因而步驟 10中，識別及授榷単元30嘗試經由其介面31〇建造與1(：卡 2=作無線通信214。步驟4G4中，從安全模組2Q至識別及授 權f元30之詢問要求係被執行，1〇卡2〇要求來自識別及授 權單元3 0之識別f汛，其中僅作例證假設且更易了解識別

200401552 五、發明說明（11) ---- 資訊為個人識別號。步驟406中，個人識別號詢問要求自 識別及授權單元30自記憶體312讀出個人識別號並傳輸相 同者至1C卡20。步驟408中，安全模組2〇或控制單元216分 別執行被識別及授權單元30傳輸之個人識別號的檢查，如 藉由比較被儲存於1C卡20中之預定個人識別號。 ^ 當然’被提供用於檢查被儲存於記憶體3 1 2中之識別 貧訊的步驟406及408被較佳與密碼方法一起被執行。此 外’該檢查可包含較其被說明更多之步驟。此外，該檢查 可被執行於兩邊，用於雙側驗證，如用於識別參數本身之 秘岔父換。特別是，例如步驟4〇6中之個人識別號傳輪可 以編密碼方式被執行，其中步驟4〇 8中之檢查係藉由比較 以，密碼方式被儲存之預定個人識別號來執行。然而，較 佳疋零知識方法或協定分別被執行，如步驟4 0 6中之此協 定’被各零知識協定界定之資料交換係被放置於個人識別 说之上述傳輸位置作為識別參數，其中識別及授權單元 中之實際識別參數並不以編密碼或明碼方式或被傳輪至j c 卡20 ’但識別及授權單元30使用被儲存之識別資訊編碼被 適當挑選或被隨機挑選來自i c卡2 〇之數字，並傳回結果至 1C卡20。ic卡可基於零知識協定進程中識別及授權單元3〇 之回應而被排除至一特定程度，介面212處之其通信參數 並非為與被授權使用者相關之識別及授權單元30。因此， 使用零知識協定之優點係為實際識別資訊不必被傳輪，對 談之接通係可被避免。 再次參考第二圖’應注意假設個人識別號檢查係於步

第16頁 200401552 五、發明說明（12) 驟4 0 6及4 0 8之後如备孙姑番滿甘+ ^ - m ^^ 複其中此因簡化起見並不被 =繪於弟一圖。於步驟40 0中打開識別及授權單元3〇且於 太驟4 0 6及4 0 8之後不注意通信建立4 〇 2及之個人識別號檢 一之使用：#係、將IC卡2 G引進終端1 〇或被提供用於步驟 410中之相同者的介面110。發生於步驟412中終端⑺及^ 卡20之間的附隨相互驗證，係可保證通信參與者終端1〇或 IC卡2 0分別被授權系統組件。 終端處父易之要求之前，1(：卡2〇已檢查步驟414中被 識別及授權單元30接收之個人識別號，且若該檢查不成功 或同意，個人識別號係為錯誤，則取消終端活動期間。然 而，若個人識別號係為正確，則步驟4丨6中〖c卡2 〇要求執 行來自終端10之交易。步驟416之要求可為1(：卡2〇錯誤執 行步驟414中之驗證，或不執行1〇卡2〇及終端1〇之間如期 本身通信建立之通信協定之另一固定步驟，也就是說若正 確驗證參數尚未被提供，則耦合終端之致動並不全然發 生。步驟416中之交易要求上，終端10執行如進入地鐵或 類似物時打開門’來自使用者帳戶之固定金額之借方的之 父易。交易4 1 8執行之後，例如其經由適當聲音訊號或類 似物被提示至使用者，則於步驟4 2 〇中使用者再次關閉識 別及授權單元30，因此1C卡20無發接收更多識別資訊，而 不再執行依據步驟416來自終端之交易要求。

參考第二圖，應注意重複依據上述步驟4〇6及4〇8之個 人識別號之檢查係無必要’但如替代之步驟4〇2-408係僅 於步驟414之前被執行一次。此例中，步驟402-408可於1C

200401552

卡20必須決定交易要求之前被Ic卡2〇直接啟動。可替代 是，步驟402-408僅可於打開識別及授權單元之後直接被 執仃一次，其中使用被提供於丨c卡内之計時器（無圖示）成 功檢查個人識別號或視個人識別號檢查成功之後，ic卡2〇 可使用或不能使用之時間週期係分別被決定。此方式，i c 卡20亦可被用於終端活動期間，也就是1(：卡2〇被插入終端 1 0期間，無線通信2 1 4因如介面丨丨〇處之關閉機構而被岔斷 的案例。

參考第三圖，識別及授權單元IC卡終端系統之實施例 係被說明，其中該終端係對應一傳統終端，其實際被提供 給傳統I C卡終端系統之傳統丨c卡，且如過去般視使用者之 個人識別號之輸入而執行交易。 被顯不於第三圖之組件係對應第一圖之相同者，除了 介面110及112，終端10，包含一輸入單元116及一輸出單元 118，且1C卡20,使用與終端1〇，通信之另一個協定。此 外’相對於第一圖’ 1C卡2〇’係以被插入終端1〇’之介面 11 0之位置被顯示。 >以下參考第三及四圖，第三圖之系統功能係被說明， 也就是針對終端1 〇 ’係為預期被使用者輸入個人識別號之 了知之案例。終端1 〇處之處理係以相同於第二圖之方式 被描繪。步驟500中’使用者首先打開識別及授權單元 巧’而步驟502中’識別及授權單元3〇及1(：卡2〇，之間之通 #建立係被啟動。如上述參考步驟4〇4、4〇6及4〇8，被儲 存於减別及授權單元之個人識別號之檢查係被執行於步驟

第18頁 200401552 五、發明說明（14) 504、506及508，其中步驟5〇6及50 8係被重複。步驟500 中，打開之識別及授權單元3 〇，步驟51 〇中，使用者將I c 卡20插入終端1〇，，因而步驟512中，終端1〇，及ic卡 20’之間之驗證係被啟動。如同傳統IC卡需避免被未被授 權者做犯罪誤用，步驟5〗4申，終端執行個人識別號詢 問’其令其輸出對應指示至輸出單元118上之使用者。因 此步驟516中，使用者執行輸入單元116處之輪入。相對於 傳統Ij卡之卡使用者，其不必具有使用者記住個人識別號 目前系統之1C卡20，，甚至不需具有被儲存於識別及授 權單元中者。對於後者，使用者甚至不需知道其存在。步 驟5 1 6中，使用者寧可鍵入虛擬個人識別號，也就是隨機 順序號於終端1〇,處之輸入單元116，步驟518中，終端傳 遞=卡2G。從此時點，終端預期自κ卡2()，返回之個人識 別號無誤’也就是指示虛擬個人識別號係為正確。然而， 1C卡20,指示終端10，虛擬個人識別號係為正確之前，复係 :由=議。6及508重複個人識別號之檢查，來取;戈傳 之者鍵入個人識別號而執行有關使用者身 二權：：二f tIC卡2〇’之被授權使用者相關之識別及 才又權早元3 0之出席檢查。甚個人辦丨 M Γ 個人哉別號之檢查顯示被識別 中識別號係為錯誤，則步驟52。 中，1C卡取消終端活動、然而，若個 Γ 個 對應被描繪於Ϊ二：；====別號無誤訊號至 甲之貝％例中之交易要求之終端10，

第19頁 200401552 五、發明說明（15) ""一· 並對終端佯稱輸入虛擬個人識別號授權給使用者。 終端10,之輸入單元116處，使用者現在被給予機會來 決f被更清楚執行於步驟524之交易，如 鍵入被借貸 步驟526中，終端1〇’執行被使用者輸入之交易。 =易，執行後’步驟528中’使用者關閉識別及授權單元 精此IC卡2 0 it丨再被提供其運作所冑之個人識別 端因本發明更進一步實施例。此實施例*，終 圖中去^者匕3 —輸入單70及一輸出單元之事實而與第二

口：=。然而’對照第三圖之終端，終端1〇，，並 +針對傳統I C卡而勃杆，廿T U 去於λ ^ 執订且/、並不預期個人識別號被使用 之^ i ΐ ”係針對κ卡而執行，其指示被說明於第二圖 30,又ϋ甘:人。此外，被描繪於第五圖之識別及授權單元 之事Λ Λ一輸入單元316及一輪出單元318而非記憶體 而與第一及二圖中者有所不同，其係為一鍵盤及一 益，如本發明中之液晶顯示器。 作以第五及六®，第五圖之系統於終端活動期間之運 事先說明。f先’步驟600中，當該終端活動期間 602中 使用者打開識別及授權單元30’。因此步驟 中’使用者將其1C卡20插入終端1〇，’，而終端1〇，，及 端ίο，間Λ驗證產生於步驟604中。進-步進程中，終 係檢杳^Υ自IC：卡2()之父易要求°然❼’從前IC卡20 施例ϊ 及授權單元3〇’傳輸之個人識別號。此實 ]中’終賴，’預期來自IC卡20之要求之前，料2〇於

200401552 五、發明說明（16) 與終端10’ ’通信期間時點開始與識別及授權單元3〇，通 信。因此步驟606中’其插入通信於識別及授權單元3〇及 I C卡2 0之間’其可包括如詢問回應方法之相互驗證，藉以 對兩通信參與者提供保證，而該通信參與者係為識別及授 權單元ic卡終端系統之被允許組成。步驟608中，IC卡2〇 傳輸個人識別號詢問要求訊號至識別及授權單元3 〇，。於 是’步驟610中，識別及授權單元30，經由輪出單元31 8促 使使用者輸入個人識別號。步驟6丨〇中，因此使用者經由 識別及授權單元3〇,之輸入單元316鍵入僅其知道之個人識 別號’也就是熟悉之隱私環境中。識別及授權單元3〇於隨 後步驟6 1 4中經由隨後步驟6丨4中之無線通信2丨4傳輸該輸 入個人識別號至1C卡20。1C卡20於步驟616中檢查個人識 別號’若該個人識別號錯誤，並於步驟6丨8中取消終端活 動期間。然而若該個人識別號正確，則丨c卡2 〇於步驟6 2 〇 中I曰不交易要求至終端。步驟622中，使用者被給予 機會經由輸入單元1丨6來更詳細具體說明被執行之交易， 如被借貸之金額。步驟624中，終端1〇，，接著執行交易。 步驟626中，使用者再次將識別及授權單元3〇,關閉。 識別及授權單元3 〇處之輪出裝置之一優點，係為相同 者可ί用：交易資料或訊息之委託輪出至使用者。 當可從上述三個實施例更了解時，〖c卡要求交易要求 =附屬之識別資訊之傳輸僅產生於識別及授權單元3〇及1(： 〇之間’使此資訊得以維持於使用者之私人領域中而不 必暴露至第三者，特別是不必暴露至終端或系、统。因此，

200401552 及四圖 之既存 卡但拋 要求自 終端可 包括開 作而定 卡終端 的可能 授權單 端之電 及IC卡 加諸於 行識別 卡之安 亦無擁 動作。 要求之 說明之 架構可 棄相同 系統之 視IC卡 門、借 ，上述 糸統上 。第一 元之例 磁能， 之間之 使用者 參數之 全性明 有識別 實施例 被使用 者之終 運作。 之要求 帳、公 實施例 ，有關 圖之實 子，其 例如， 無線通 上，如 檢查。 顯被增 及授權 維持在使用者身上，而不I 脫離相同者。此應再次增力 由識別資訊不透過終端;^ 之系統組成之成本及時間消 刪除，所以發明系統之架構 被提供 共電話 提供滿 一方面 施例中 係經由 將1C卡 信自動 傳統卡 然而， 加，因 單元， 五、發明說明（π) 對IC卡2 0及識 如傳統安全模 發明系統之接 私密處理之事 耗技術及可能 變得更便宜。 特別是， IC卡之對應實 徵係被呈現至 視上述授權檢 關於終端 何動作。例如 類似者。視被 諸在識別及授 一方面容易操 不具内含能源 提供IC卡再次 端時，識別及 所以無額外費 統之例子，其 未被授權使用 之未被授權使 以相同者產生 針對對安 別資訊之控制仍 組終端系統般被 收度。此外，藉 實’因為如終端 之安全評估可被 參考第三 施，終端 不評估IC 查釋出被 ，應注意 這些動作 執行之動 權單元1C 作之要求 之識別及 接收自終 授權單元 力操作被 中並不執 者誤用1C 用者若其 終端處之 全性更高 係闡明，由於 。任何識別特 端，其中1C卡 執行任 使用或 足被加 安全另 ，針對 IC卡被 插入終 啟動， 終端系 避免被 為1C卡 則不能 應用’第五及六圖之實施例

第22頁 200401552 五、發明說明（18) 係保證擁有I C卡及相關識別及授權單元之未被授權第三 者’需知道僅被授權使用者得知之秘密知識才可觸動終端 處之動作。被說明於先前實施例之個人識別號之此秘密， 係可被使用者在其熟悉環境中被鍵入，所以未被授權第三 者更困難"得知”該秘密。 應注意’有或無使用者於識別及授權單元處輪入識別 參數之異於終端對終端之安全平台係可被提供，使每次使 用1C卡時不需要輸入。參考第二、四及六圖，應注意其可 僅於識別使用者或檢查個人識別號之後，分別藉由識別及 授權單元414、520及618執行終端及1C卡之間之驗證412、 512及6 06。此為迄今之優點，只要不決定IC卡使用者被視 為未被授權使用者’則無任何資訊被〗c卡揭示。 /以下參考第七圖，依據本發明之實施例之丨c卡之建構 係被說明。大致被70 0標示之第七圖之Ic卡，係 , 一中央處理單元7〇4，用於執行如編碼/解碼 $叶异任務之—電腦單元7〇6，，亦包含至少—非依 =之一 δ己憶體708，及非接觸式介面71〇 被提供接觸接觸終端之對應介面，且 ：：：702上 例藉以達成對非接觸式終端之非接觸式趣合。：二；口 兀係被連接至接觸領域7G2，經由來自 _央處理早 資料71 2並將其傳輪回相同者。再者，中 者接收 被連接至電腦單元7。6，記憶體708 央處理單元m係 用於電腦單元706，中央處理單元7⑽及=式”面710。 供應之操作能量，係如虛線箭頭714標示D之‘;_體^708之能量 <經由接觸單元

200401552 五、發明說明（19) 702藉由終端被供應，或相同者如虛 式方式從識別及授權單元被 700。可替代疋，兩能源供應之組合亦可被提供。再者， 不同於無線通信718之非接觸式介面71〇進—+ 处 Ή 6型式被提供反向供應〖c卡本身 / ”此 接收之能量至識別及授權單元身、“接觸領域702自終端 如上述參考第二、四及六圖說明，中麥卢拽置分7n4 掌控1C卡700分別遵循終端及1(：卡之間^ 識別及授權單元及丨Γ 士夕卩卩k田通h協疋或 中，有關通信且若：t必要腦單λ706 證，，特？有關經由介面710被無:傳單 7G之識別資訊之檢查之編碼/ 勃 广 憶體708中，摔作奉續月可j務係被執仃。例如記 存，且檢杳^Λ Λ 作於相同者之應用係被儲 權“;編識別及授 =1::以口接傳輸被儲存於記憶體 ^ I. ft ^708 Vl 中’例如用於執行協定及IC卡鑰匙：對：：=$例子 憶體7 0 8。 t之對應碼係被儲存於記 及授^單it之ff :任何輸人單元及輸出單元之識別 8 〇 0標示之識別及授權單元，係包被括 圖大致被 之-非接觸式介面802，一中=:與= 卡無線通信8°4 夹處理早兀8 0 6 ’ 一記憶體 200401552

808，及選擇性供應識別及授權單元8〇()必須之操作 一能源81 0，如電池、蓄電池、光電管或類似物。可替代 =非=式介面802係被實施從被1(：卡供應之電磁能812 產生刼作硪別及授權單元所需之電能。此例中，識 8權〇4單:：〇1有其本身之能源81〇，除了與1(：卡做無線通‘ 4之外，虽相同者不被放置於終端中時，非接觸式介面 =2亦可被提供來產生電磁能812供應κ卡操作所需之能 =。中央處理單元806係被連接至介面8〇2及記憶體。

^必要，亦被連接至中央處理單元8〇6之進一步執行編碼/ 解碼任務之電腦單元814係被提供。例如，第八圖之識別 及授權單元可被整合糾(：中，或包扣及手機、手錶或類 似物之電子裝置。 > „ ^據第二、四及八圖，中央處理單元8〇6控制識別及 艾權單疋800之運作，特別掌控識別及授權單元及〖[卡之 2之通k協定。至少亦包含一非依電性部件之記憶體8 i 〇 中，資訊被儲存，被傳輸至Ic卡檢查之識別資訊至少可被 產生自其或其中相同者被直接儲存。有關與ic卡通信及/ j驗證期間被執行之編碼及解碼，及特別有關若零知識協 定被使用時依據協定回答Ic卡之問題之計算任務，係從中 央處理單元806被推論至計算單元8〇8。 第九圖中，識別及授權單元8〇〇,之第八圖之替代實施 例係被，示，例如其可以第五及六圖實施例來使用。識別 及杈權單TL800係包括用與IC卡2〇無線通信8〇4之一非接觸 式介面802，被連接至相同者之一中央處理單元8〇6，〆記

第25頁

200401552 五、發明說明（21) 體8:8及一能源810，如電池、蓄電池、光電管或類似 物。非接觸式介面802進一步適用於供應IC卡非接觸式能 =12。再者，計算單元814係被提供。中央處理單元 、計算單元814及記憶體808係經由匯流排816彼此被連 = 流步-或若干輸人單漏及 或=干，出早兀820係被連接至中央處理單元8〇6。例 :料：=818包括一鍵盤8183，用於债測如指紋、面 =ίΛ之使用者之生物統計特徵之-生物統計感測 ;=二:r聲音辨識之麥克風818c。例如，輸出 二二20包括如液晶顯示器之一指示單元82〇&及/或揚聲器 及授：too四及六圖所述’中央處理單元8°6控制識別 實』者’如同第五及六圖 姆處早几控制使用者輸入處理，並 *及輸出單元82°輸出將被輸出至使用者之要 ίΐ=ί料 匯流排816及輸入單元818接收被使用 j輸入之。記憶體808中，亦至少包括一非依電 件，例如插作系統及式戍岸 先前實施：之記憶體808?/Wt^V=: 存二，中無任何識別資訊或識別參數必須被儲 別資$ r:08中，异術或協定分別可被儲存用於傳 !:*叶料忾：依據零知識協定處理輸入識別參數。輸入 、，“特诚之例子中，進一步之程式係可被提供，其自

200401552

框資料、聲音=蒼料忐甘 制· φm 貝科次其他生物統計偵測資斛 數。電腦早元8 〇 8係被拯极t 、、科產生識別參 及驗證，及特別右二k供來執行有關如使用1C卡之通信 之螂別炎叙 機於被使用者輸入於輸入旁 之咸別參數所需之編碼/ 、翰入早7L812處 被使用者輪人< $ % & 務…、而，經由輸入單元 而不需任何;係可替代地被無線傳輸至1C卡， 為適當識別資訊，零知識協 t技為了轉換識別參數 參數不必被I露在外 ^ ''‘'、較佳，其包含輸入識別 優點。被暴路在外且不必以任何形式被儲存於IC卡内之 應注意用於终墙之τ「士夕人z 14 gE L- ^ 、 ’丨面可進一步被實施用於非 針對此例，識別及授權單元及終端之兩 田作非接觸式介面，其可同時支援若干通信連 ί用ΐ:路本發明並不限於上做當作安全模組之1c卡。可 被用於本發明之安全模組亦可包含其他型式。

200401552 圖式簡單說明 第一圖顯示依據本發明實施山 行動授權裝置之略圖。 之一終知、一安全模組及一 方之終端處ί: =者要求第-圖實施例背景前 第三圖顯示依據另4;:==㈣。 動授權裝置之略圖。 、、、知、一女全模組及一行 第四圖顯示描繪安全模组 方之終端處之動作之情況之要求第三圖實施例背景前 第五圖顯示依據另一實施例之驟的略圖。 動授權装置之略圖。 q端、一安全模組及一行 第六圖顯示描繪安全模組使用 — 方之終端處之動作之情況之主=求第五圖實施例背景前 第七圖顯示依據本發明之一安八^驟的略圖。 第八圖顯示依據本發明實施例:，組之簡略方塊圖。 圖’其中該識別資訊係被儲存於:動授權裝置之簡略方塊 第九圖顯示依據本發明實施例、〜冗憶體中。 圖其中该識別資訊係被導源自=動授權裝置之簡略方塊 數。 破使用者輸入之識別參 終端及一安全模 第十圖顯示傳統安全模組終π 之略圖。 而糸統之 第十一圖顯示描繪識別第十圖 用者之傳統處置之主要步驟的略$卡終端系統背景前方 元件符號說明： 200401552 圖式簡單說明 1 0、1 0 ’、1 0 ’ ’ 、9 0 0 終端 20、20’ 、700 1C卡（安全模組） 30、30，、414、520、618、800、800’ 識別及授權單元 110、210、702 通信之裝置 114 匯流排系統 116 、 112 、 904 、 910 介面 1 18、318、820、 90 6 輸出單元 212、310、312、710、802 無線通信之裝置 214、718、804 無線通信 216、704、706 識別資訊之裝置 312、808、814、818 行動授權裝置 314 '810 能源裝置 316、812、908 輪入單元 400-41 6、420、500-528、600-62 6、920-936 步驟 412、512、606 驗證 418 交易 702 接觸領域（單元） 704、806 中央處理單元 706 ' 808 編碼/解碼裝置 708 儲 存 檢 查 資 訊之裝置< :記憶體） 710 非 接 觸 式 介 面 712 資 料 714 虛 線 箭 頭 716 電 磁能（虛線波） 800 識 別 及 授 權 單元 802 非 接觸式介面 804 1C 卡 M. 線 通 信 806 中 央處理單元 812 非 接 觸 式 能 源 816 匯 流排 818 麥 克 風（輸入單元） 818a 鍵盤 818b ' 818c生物統計感測器

第29頁 200401552

第30頁

Claims (1)

1. 200401552 六、申請專利範圍 授權裴 1. 一種用於一授權裝置安全模組終端系統之行動 置，包含： 用於提供識別資訊之（3 1 2 ; 8 0 8，8 1 4 ; 8 1 8，81 4);及 用於與該安全模組（20)無線通信之裝置（312 ; 802)， 其中該行動授權裝置（3 0 ; 8 0 0 )係實質上與該安全模組 (2 0 )及該終端（1 〇 ) 隔離。 、/ 2.如申請專利範圍第1項之行動授權裝置，其中用於該提 供之裝置（808，814 ;818，814)係包含： 用於提供資訊之裝置（808 ;818);及 編碼裝置（81 4 )’基於被提供之資訊來執行一編碼藉以 接收該識別資訊。 9 3·如申請專利範圍第2項之行動授權裝置，其中該用於提 供資訊之裝置（808 ;818)係挑選自包含一鍵盤（818a)，用 於摘測生物統計特徵之一感測器（8丨8b，81 8c )或一記憶體 (808)之群組。 1 4. 如申請專利範圍第1項之行動授權裝置，其中該用於提 供之裝置（808，814 ; 818，814)係被調整藉以依據零知識 方法提供該識別資訊。 5. 如申請專利範圍第1項之行動授權裝置，進一步包含可 提供用於該行動授權裝置的操作能量之裝置（31 0，31 4 ; 810 ， 802)。 ’ 6·如申請專利範圍第5項之行動授權裝置，其中該用於提 供操作能量之裝置（31〇，314 ; 81〇，8〇2)係挑選自包含_ 電池，一蓄電池，一光電池及一用於自該安全模組（2〇)將

   第31頁 200401552 申請專利範圍 電磁能為轉換電能之轉換裝置之群組。 7 ·如申明專利範圍第1項之行動授權裝置，進一步包含： 用於傳輸電磁能至該安全模組（2〇)之裝置（31〇 ; 8 0 2 )。 8.=申請f利範圍第丨項之行動授權裝置，進一步包含： 單元（82〇)，用於輸出有關該安全模組及該行動 _ ^間之一通彳s及/或該終端（10)及該安全模組（2 0) 間之一通信的輸出資訊。 9·如申請專利範圍第1項之行動授權裝置，進一步包含： ，碼/解碼襄置（808 )，用於藉由該用於無線通信之裝置 8)而編碼/解碼與該安全模組（2〇)之該通信。 1 〇.—種用於一授權裝置安全模組終端系統之安全模组， 包含： ' 用於與該終端（1〇)通信之裝置（21〇 ;7〇2); 用於與該行動授權裝置（3 〇)無線通信之裝置（2丨2 ; 710); 用於檢查該行動授權裝置（3〇)之識別資訊之裝置（216 ; 704 ， 706);及 用於在戎終端（1〇)處要求一動作之裝置（216 ;7〇4)，其 中肩用於要求之裝置（7 〇 4)係可視該檢查是否成功來控制 執行一要求， 其中该安全模組（20)係實質上與該行動授權裝置（3〇)及 該終端（1 0 )隔離。 11.如申請專利範圍第1〇項之安全模組，其中用於檢查來

   第32頁 200401552

   (U 4 自該行動授權裝置（3〇)之識 係適應以依據零知識裝置(二6 12·如申請專利範圍第丨丨万^來執仃该檢查 用於儲存；^' 文王模組，進一步包含： 置（216 ·，7〇4，7〇fn在其％ ) ’其中該用於檢查之裝 13如申該檢查資訊來執行該檢查。 i d .如甲凊專利範圍第1 〇 生物統計資料以產生％::全核組十步包含使用 1座生j A別貢訊的裝置。 :::Ul圍第10項之安全模組，進-步包含： (212 磁能傳輸至該行動授權裝置（3〇)之裝置 15.如申請專利範圍第1〇項之安全模組，進一步包含： y自该終端（1 〇)接收一操作能量之裝置（2丨〇 ; 7〇2);或 :自該行動授權裝置(30)將電磁能轉換 、置 (21 2 ; 71 〇 )。 16.如申請專利範圍第1〇項之安全模組，進一步包含·· 、，蜗/解碼裝置（706) ’用於用於編碼與該終端（10)之該 通信及解碼與該行動授權裝置（30)之該通信。 1 7. —種系統，包含： 一終端（1 0); 一安全模組（20);及 一行動授權裝置（30); 該行動授權裝置（3 〇 )包含： 用於提供識別資訊之裝置（8〇8，814 ;818，814);及 用於與該安全模組（2〇)無線通信之裝置（310 ;802)，

   第33頁 200401552 六、申請專利範圍 該安全模組（2 0 )包含： 用於與s亥終端（1〇)通信之裝置（21〇 ; 702); 用於與該行動授權裝置（3〇)無線通信之裝置（212 ; 710)； …、 用於檢查該行動授權裝置（3 〇 )之該識別資訊之裝置 (216 ;704 ’706);及 用於在該終端（1〇)處要求一動作之裝置（216 ; 704)，其 中該用於要求一動作之裝置（216 ;7〇4)係可視該檢查是否 成功來控制執行一要求， 該終端（1 〇 )包含： 用於與該安全模組（2〇)通信之裝置（丨1〇); 用於根據自該安全模組之要求而執行該動作之裝置， 其中該終端（1 0 )’該安全模組（2 0 )及該行動授權裝置 (3 0 )係彼此實質上被隔離。 1 L 一種考慮一驗證授權裝置安全模組終端系統之一安全 模組之授權的方法，包含以下步驟： 提供4別貧訊於實質上該安全模組及該終端隔離之該 權裝置；及 從4授權裝置無線通信該識別資訊至該安全模組。 1 9. 一種針對一授權裝置安全模組終端系統控制—安全模 組之方法’該系統包含與該終端通信之裝置及、 權裝置無線通信之裝置，且其實質上該行動授權農 終端隔離，包含： *衣置及§亥 檢查該行動授權裝置之識別資訊；及

   200401552 六、申請專利範圍 於該終端處視該檢查是否成功而要求一動作。 20. —種用於於具有彼此實質上隔離之一終端（10)，一安 全模組（2 0 )及 一行動授權裝置（3 0 )之授權裝置安全模組終端系統中執 行一動作之方法，包含： 訊於該行動授權裝置（3 0 )提供識別資； 從該行動授權裝置（3 0 )無線通信該識別資訊至該安全模 組；

   檢查該安全模組（2 0 )中之該行動授權裝置（3 0 )之該識別 資訊； 於該終端（1 0 )處視該檢查是否成功而藉由該安全模組 (2 0 )要求一動作；及 根據來自該安全模組之要求而執行該動作。

   第35頁