CN1799056A - 保密卡终端 - Google Patents

Abstract

为了给智能卡(2)提供字母数字数据，诸如PIN代码，使用能够与智能卡通信的终端(1)。该终端包括用于输入字母数字数据的小键盘(4)以及用于产生键控信号的相关联的小键盘矩阵(5)，其中使用扫描序列来扫描小键盘矩阵(5)，以查找任何按压的键，从而产生键控信号。为了保密地输入数据而没有终端截取这些数据的风险，建议由智能卡(2)确定所述扫描序列。以这种方式，终端不知道实际按压的键，并保证字母数字数据的保密性。

Description

保密卡终端

本发明涉及保密卡终端及其使用。特别地，本发明涉及使用卡终端提供字母数字数据给智能卡的方法以及其中使用这样的终端的用户服务的系统。

使用具有小键盘的终端是众所周知的，其中必须在小键盘中输入代码，以获得对特定服务的接入。这样的代码典型地是用作识别用户的个人识别号(PIN)的四位代码。PIN码也可用于获得对插入在终端中的智能卡的接入。由于这种接入应只限于被授权的用户，所以该代码应被保密。然而，已经发现了，对于终端的软件攻击成功检测和存储由用户输入的代码。很明显，这是极其不希望的，因为这可能使攻击者能够欺诈地获得对限制服务(有可能包括银行服务)的接入。

终端的小键盘(或键盘)通常具有相关的小键盘矩阵，其由一组行导体和一组列导体构成，其中一个导体对应于每一行，一个导体对应于每一列。当按下特定键时，在那个键的行和列导体之间形成电子连接，并且小键盘矩阵产生“按键(keypressed)”信号。随后通过扫描小键盘矩阵的行和列并确定特定信号出现在哪一行和列中，识别被按下的特定键。这样的特定信号是由于键的按压而在行和列导体之间产生的电接触而引起的。

这个行与列的扫描一般是通过键盘控制器完成的，为此，键盘控制器可以被提供计数器，其在扫描处理期间产生行和列数量。由于键盘控制器是终端的一部分并且由运行在终端上的应用接入，所以折衷(compromised)的终端能够确定键序列和相关的输入数据并将这些发送给第三方，或者在未被终端的拥有者许可时保留该数据的使用。

美国专利US 6,056,193公开了带有集成智能卡阅读器的计算机键盘。该键盘连接到个人计算机。在PIN输入模式下，转换器将键与键盘控制器断开并将键连接到保密模块，专用处理器。保密模块控制键盘矩阵，以使任何键按压不被键盘控制器检测到。相反，在保密模块的控制下，矩阵的扫描线被重定向到保密模块。

这种公知安排具有的缺点是：需要附加的专用处理器，即保密模块，用于其保密功能。显然，这种附加的处理器增加了成本和键盘的尺寸。另外，需要转换器，这也是附加的部件。

发明内容

本发明的目的是克服现有技术的这些以及其它问题，并提供在与智能卡相关联的终端中输入数据的方法，基本上消除终端截取数据的风险。

因此，本发明提供利用能够与智能卡通信的终端向智能卡提供字母数字数据的方法，该终端包括用于输入字母数字数据的小键盘以及用于产生键控信号的相关的小键盘矩阵，该方法包括使用扫描序列来扫描任何按压键的小键盘矩阵以产生键控信号的步骤，其中所述扫描序列由智能卡确定。

由于小键盘矩阵的扫描序列由智能卡而不是由终端确定的，所以终端并不知晓扫描序列，并因此不能确定哪个键被按压。

在优选实施例中，每当一组新的数据将在小键盘中输入时，扫描序列就被改变。单个组的数据例如由PIN代码组成，该PIN代码典型地由四位数字组成，但其也可以由3、5、6或任何其它合适数量的数字组成。对于每个用户对话，即每当新用户使用小键盘时，也能够利用新的扫描序列。

将明白，由智能卡确定的扫描序列优选地不同于由终端确定的扫描序列，但这并不一定总是这样的情况。只要扫描序列重复变化并且终端对于扫描序列一无所知，所述序列有时可以与终端使用的相同。

优选地，智能卡使用随机数发生器来确定每个扫描序列。这保证折衷终端不能被用于监视扫描序列，以及预测任何过去的或将来的由智能卡产生的扫描序列。

优选地，任何键控信号都只传送给智能卡。也就是说，键控信号不传送给终端的电路。这提供了附加的安全等级。然而，在可替换的实施例中，任何键控信号可以存储在终端的保密存储元件中。例如，这个保密存储元件可以是限制接入的寄存器，利用密钥进行保护。在这样的实施例中，智能卡能够在保密存储元件中存储键控信号，并且只给终端中的特定可信软件应用提供保密密钥。为了进一步加强安全性，键控信号能够以加密的形式存储在保密存储元件中。

从以上的描述中将明白，在本发明的方法中，智能卡直接接入小键盘矩阵，以排除终端(控制电路)本身。当终端被设置在保护模式或“PIN模式”中时，将小键盘矩阵与终端的电路屏蔽开来，以阻止终端观察到小键盘动作。这种屏蔽可以通过将终端电路从小键盘矩阵中电断开来实现。

例如，保护模式或“PIN模式”能在检测到智能卡存在时或在按下特殊键例如专用的“保护模式键”时被激活。可能要求按压特定键，以启动PIN输入例程或任何其它的涉及输入数据到小键盘的动作序列。终端的电路可以利用电子的或机械的硬件转换器或软件转换器从小键盘矩阵中断开，尽管出于安全原因而优选硬件转换器。

因此，优选地，当终端处于在用户控制和/或智能卡控制下输入的保护模式中时，扫描序列只由智能卡确定。

本发明附加提供用于接收智能卡的终端，该终端包括用于与智能卡通信的智能卡端口，用于输入字母数字代码的键盘，以及与键盘相关联的键盘矩阵，用于在输入字母数字代码的字符时产生键控信号，该终端进一步包括用于使用由智能卡确定的扫描序列来扫描键盘以查找任何按压键的装置。该终端还可以包括用于直接向智能卡传送任何键控信号的装置。以这种方式，避免终端知晓任何键控信号。

本发明进一步提供用于用户服务的系统，该系统包括至少一个终端和至少一个智能卡，并被安排为使用上面定义的方法。这样的系统可以提供付费娱乐服务，诸如付费电视服务或银行服务。本发明也提供用于在上面定义的方法和系统中使用的智能卡。

附图说明

在下面将参考在附图中所示的示例性实施例进一步解释本发明，其中：

图1示意性地显示根据本发明的智能卡终端。

图2示意性地显示可以在本发明中使用的智能卡。

图3示意性地显示根据本发明的小键盘排列。

具体实施方式

仅利用图1中的非限制示例显示的终端1包括键盘(小键盘)4、屏幕6和卡槽3。这种类型的终端可以例如被用作银行事务处理的提款机(teller machine)。可替换地，该终端可能由以下或其中一部分构成：电视机，机顶盒，个人数字助理(PDA)，游戏控制台，遥控装置，移动(蜂窝)电话，陆线(固定)电话，DVD播放机，或具有显示(屏幕)和键盘的任何类似设备。显示器和/或键盘可以不被容纳在终端外壳中，并且可以通过有线或无线接口连接到该终端。

可以是CRT屏幕、LCD屏幕或类似显示设备的屏幕6用于给予用户指令，并且提供有关小键盘4的使用的反馈。智能卡可以被插在卡槽3中，用于智能卡事务。为此，终端1被提供有可以放置在终端外壳内的智能卡阅读器(图3中的7)，以便能够接受插在卡槽3中的卡。如之后将更加详细解释的，根据本发明的终端1以这样的方式进行安排，以便在智能卡的控制下，而不是在终端1本身的控制下，完成的小键盘矩阵的扫描。

在图2中显示一个示例性的智能卡。智能卡2一般包含其中嵌入集成电路21的基底。印制的或浮雕的标记22可以识别卡所有者和/或卡发行者。集成电路21具有能够与终端1的智能卡阅读器通信的接触点。集成电路又可以包含微型计算机，具有处理器和用于存储程序与应用数据的存储器。

图2中的智能卡2包括集成电路21，该智能卡附加地被提供内置键盘控制器。这个键盘控制器可以由单独的集成电路组成，但优选地被容纳在集成电路21中。将结合图3更详细地解释键盘控制器的功能，其中图3更详尽地显示图1的终端1的一部分。

在图3中仅利用非限制性示例显示的小键盘4包括12个键，排列在4行中，每行3个键。安排小键盘矩阵5，以使得按下小键盘4的任何一个键都将导致其中一行与矩阵的一列进行电接触。这种电接触导致“按键”信号产生。这个按键信号被小键盘电路51和52检测到，并由智能卡阅读器7(有可能通过未显示在图3中的合适的智能卡阅读器接口)传送给智能卡2。由于这个按键信号只表明键被按压，而并未表明哪个键被按压，所以随后扫描小键盘矩阵5，以确定在引起该按键信号的电接触中牵涉哪一列和哪一行。电接触中所牵涉的并因此产生特殊信号值的行与列的组合识别该键。

在传统的终端中，终端电路确定一般是固定的扫描序列。例如，小键盘电路51和52可以例如利用传统终端中的计数器来实施，每个计数器分别逐步通过固定的扫描序列1-2-3(列电路51)和1-2-3-4(行电路52)级。因为这些扫描序列是固定的且由终端确定，所以实际被按下的键对于终端电路来说是已知的。在对终端进行欺诈性安全攻击的情况中，例如软件攻击，攻击者可能知道哪些键已被按下。将明白，这特别地在按键一起形成秘密代码诸如PIN代码时是极其不希望的。

然而，按照本发明，小键盘矩阵的行和列利用由智能卡2确定的扫描序列来扫描。也就是说，智能卡2产生通过电路51和52被传送给键盘矩阵的扫描序列。这些扫描序列优选地是随机的，并且可以使用在大多数智能卡中存在的用于密码用途的随机数发生器来生成。因而，列扫描序列1-2-3，3-2-1，1-3-2，2-3-1等等可以是交替的，如由智能卡确定的。

由智能卡产生的扫描序列不传送给终端电路，因此终端电路并不知道实际按压的键。为此，终端电路优选具有两个不同的操作模式：保护模式，其中键盘矩阵不能被终端电路读取；和非保护模式，其中键盘矩阵能被读取。该终端可以在智能卡的控制下或在用户控制下在模式之间转换。在有利的实施例中，例如，利用转换器或安排在图3的智能卡槽3中的其它传感器，该终端检测智能卡的存在，并随后断开小键盘电路51和52与其它终端电路。诸如特殊用途的LED或专用屏幕部分的指示器可以用于向用户指示当前模式。

在有利的实施例中，小键盘电路51和52利用其中插入单个逻辑“1”的移位寄存器构成。其中“1”被插入的位置在上述的保护模式中由智能卡确定。由于移位寄存器除了键盘矩阵之外不向其他部分输出，所以其它的终端电路不能确定移位寄存器的内容，并因此不能确定键顺序。

注意，术语“智能卡阅读器”通常用于允许与智能卡进行双向通信的设备，并因此并不局限于从智能卡中读取信息，而能够也向智能卡写信息。还注意，在这个文件中，术语小键盘和键盘可以互换使用。通常，键盘将包含比小键盘更多的键，但是键的实际数量与本发明不相关。

尽管在上述示例中终端1被用作银行提款机，但是本发明并不如此限制，并且也可以应用于付费电视的机顶盒、使用智能卡的个人计算机、PDA(个人数字助理)以及其它设备中。另外，本发明还可以应用于使用显示器和指针的PDA的保密图像和接口，其中显示器创建小键盘的图像，而指针可以指示小键盘图像中的项。在这样的实施例中，指针位置的扫描可以类似于上面结合图3所述的键盘矩阵的扫描来完成。此外，小键盘图像优选由智能卡或在智能卡的控制下生成。这也允许改变键盘的布局，因此减少了输入到键盘的数据被观查用户动作的第三方识别或者使用相应的观查设备识别的风险。

注意，术语“智能卡”并不局限于其中嵌入集成电路的实质上卡形状的基底，并且也意味着包含功能等效物，诸如任意形状或大小的权标，其包含集成电路或类似设备，并且能够通过电接触或无线地与终端通信。因此，术语“智能卡”也可以包含GSM移动电话中的SIM(用户识别模块)卡。

本发明基于智能卡终端能获知输入到小键盘中的数据的观点，甚至在这些数据预定用于该智能卡时。本发明基于通过使用不由终端确定的非标准扫描序列能够使终端“不知道(hidden)”小键盘中输入的数据的进一步观点。

注意，在这个文档中使用的任何术语都不应认为限制本发明的范围。特别地，词“包括”和“包含”并不意味着排除未特别陈述的任何元件。单个(电路)元件可以利用多个(电路)元件或利用其等效物来代替。

本领域技术人员将理解，本发明并不局限于以上阐明的实施例，而且在不背离所附权利要求中定义的本发明范围的情况下，可进行许多改进和增加。

Claims (13)

1.一种使用能与智能卡通信的终端(1)给智能卡(2)提供字母数字数据的方法，该终端包括用于输入字母数字数据的小键盘(4)和用于产生键控信号的相关联的小键盘矩阵(5)，该方法包括以下步骤：使用扫描序列来扫描小键盘矩阵(5)，以查找任何按压的键，从而产生键控信号其中所述扫描序列由智能卡(2)确定。

2.如权利要求1的方法，其中每当一组新数据要被输入到小键盘中时，智能卡(2)改变扫描序列。

3.如权利要求1或2的方法，其中智能卡(2)使用随机数生成器来确定每个扫描序列。

4.如任何一项前面权利要求的方法，其中任何键控信号只传送给智能卡。

5.如权利要求1-3之中任何一项权利要求的方法，其中任何键控信号被存储在终端的保密存储元件中。

6.如任何一项前面权利要求的方法，其中当终端处于在用户控制下和/或在智能卡控制下输入的保护模式中时，只由智能卡确定扫描序列。

7.一种用于接收智能卡(2)的终端，该终端包括用于与智能卡通信的智能卡端口(3)、用于输入字母数字代码的键盘(4)、以及用于在输入字母数字代码的字符时产生键控信号的与键盘相关联的键盘矩阵(5)，该终端还包括用于利用由智能卡(2)确定的扫描序列来扫描键盘(4)以查找任何按压键的装置。

8.如权利要求7的终端，还包括用于直接向智能卡(2)传送任何键控信号的装置。

9.如权利要求7或8的终端，其是电视机、机顶盒、个人数字助理、游戏控制台、遥控设备、移动电话或陆线电话或DVD播放机、或者是这样的设备的一部分。

10.一种用于用户服务的系统，该系统包括智能卡(2)和如权利要求7-9之中任何一项权利要求的终端(1)。

11.如权利要求10的系统，其是用于付费娱乐服务的系统，优选为用于付费电视服务的系统。

12.如权利要求10的系统，其是用于银行服务的系统。

13.一种智能卡(2)，用于在权利要求1-6之中任何一项权利要求的方法中以及在权利要求10-12之中任何一项权利要求的系统中使用。

Images