DE69621042T2

DE69621042T2 - Verfahren und vorrichtung mit bedingtem zugang

Info

Publication number: DE69621042T2
Application number: DE69621042T
Authority: DE
Inventors: Cornel Sirbu
Original assignee: Individual
Current assignee: Individual
Priority date: 1995-08-21
Filing date: 1996-08-08
Publication date: 2003-05-22
Anticipated expiration: 2016-08-09
Also published as: NO317497B1; CZ40898A3; US6070796A; PL184741B1; CN1194043A; KR19990036417A; DK0870222T3; CA2230150A1; ES2176481T3; BR9610236A; NZ503211A; AR003316A1; CN1154902C; CZ294507B6; UA49845C2; PT870222E; KR100472403B1; TR199800267T2; SK22098A3; TW328993B

Description

Bereich der Erfindung

Die vorliegende Erfindung betrifft eine Vorrichtung für bedingten Zugriff, die von einem Peripheriegerät zur Dateneingabe durch Betätigung von Tasten gebildet ist, das einen oder mehrere Anschlüsse für Karten mit Mikroschaltungen umfasst.
Die Vorrichtung ist zur Durchführung gesicherter Transaktionen durch Karten mit Mikroschaltung, zur Identifizierung des Karteninhabers und/oder zur Kontrolle der Transaktionsschritte bestimmt.
Die Anwendungen betreffen insbesondere den bedingten Zugriff auf die Ressourcen der Hostanlage, den bedingten Zugriff auf Ressourcen, die auf einer Außenanlage verfügbar sind, mit der die Hostanlage verbunden oder an welche sie angeschlossen ist, die Administration von Softwarebenutzungslizenzen, die auf der Hostanlage oder auf Außenanlagen, mit denen die Hostanlage verbunden oder an welche sie angeschlossen ist, gespeichert sind, die elektronische Zahlungsabwicklung usw.

Definitionen

Unter "Karte mit Mikroschaltung" ist ein Träger, im allgemeinen eine Karte, zu verstehen, umfassend eine oder mehrere integrierte Schaltkreise, die Bearbeitungs- und/oder Speicherfunktionen ausführen, beispielsweise eine Speicherkarte oder Karte mit Mikroprozessor, die allgemein "Chipkarten" genannt werden, eine kontaktlose Karte oder eine PCMCIA-Karte.
Unter "Anschluss für Karte mit Mikroschaltung" ist jedes Mittel zu verstehen, das ein Interface für den Signalaustausch zwischen einer Hardware und der Karte mit Mikroschaltung nach genormten oder spezifischen Kommunikationsprotokollen einsetzt. Der Signalaustausch kann durch einen elektrischen Anschluss oder eine drahtlose Verbindung, beispielsweise elektromagnetischer Art, oder eine Lichtverbindung erfolgen.
Unter "Hostanlage" ist ein Computerterminal, eine Arbeitsstation, ein Personal Computer, ein Multimediaterminal usw. und insbesondere, allerdings nicht ausschließlich, jede oben erwähnte Anlage zu verstehen, umfassend Mittel für den temporären oder permanenten bidirektionalen Anschluss an ein lokales oder öffentliches Kommunikationsnetz.
Unter "Peripheriegerät zur Dateneingabe durch Betätigung von Tasten" ist eine von ihrem Benutzer von Hand betätigte Vorrichtung zur Steuerung sichtbarer Objekte zu verstehen, die dazu bestimmt ist, mit einer interaktiven Hostanlage verwendet zu werden, umfassend einen Bildschirm und ein grafisches Benutzerinterface, welches die sichtbaren Objekte umfasst, wie beispielsweise eine optomechanische Maus mit Kugel, eine optische Maus, die ein Spezialpad benötigt, eine Steuerkugel oder Trackball, eine Digitalisiereinrichtung durch Zeiger oder Cursor, ein Cursor mit Berührung, ein Griff oder Joystick, eine Fernsteuerung mit Hebel für CD-I.

Stand der Technik

Diese Peripheriegeräte funktionieren gemeinsam mit der Anlage, die sie steuern und mit der sie über einen Kommunikationsanschluss, beispielsweise einen Anschluss RS232, USB oder dergleichen, oder auch durch ein drahtloses Übertragungsmittel, beispielsweise durch Infrarot- oder Funkverbindung, verbunden sind. In manchen Fällen, insbesondere wenn die Hostanlage ein tragbarer Computer ist, sind diese Peripheriegeräte in letztgenannten integriert, obwohl sie eine autonome Anlage bilden.
Es handelt sich im allgemeinen um leicht untereinander austauschbare Vorrichtungen, da die meisten Hersteller von Hostanlagen gemeinsame Standards anwenden. Diese Peripheriegeräte sind auch Vorrichtungen mit einem relativ geringen Preis im Vergleich zum Preis der Hostanlage. Sie können somit unabhängig von der Hostanlage durch eine ähnliche Vorrichtung ersetzt werden, ohne dass daraus ein Nachteil entstünde.
Im Stand der Technik wurde vorgeschlagen, in manche Peripheriegeräte zur Dateneingabe durch Betätigung von Tasten einen Stecker für Karten mit Mikroschaltung zu integrieren, beispielsweise in den Europapatenten EP 485275 oder dem deutschen Patent DE 43 26 735. Das in der Europapatentanmeldung EP 485275 beschriebene Peripheriegerät umfasst einen Stecker für eine Karte mit Mikroschaltung, der direkt mit den gemeinsamen Leitern zwischen dem Computer und dem Peripheriegerät verbunden ist, um gleichzeitig den Austausch von Signalen zu den Dateneingabefunktionen und den Austausch von Signalen für die Nutzung der
Sicherheitsfunktionen, die mit der Karte mit Mikroschaltung verbunden sind, zu ermöglichen. Das Peripheriegerät verhält sich transparent zwischen der Karte mit Mikroschaltung und dem Computer, an den es angeschlossen ist. Es erfolgt keinerlei Bearbeitung innerhalb des Peripheriegeräts, welches sich darauf beschränkt, die elektrische Verbindung zwischen der Karte mit Mikroschaltung und dem Computer zu gewährleisten. Das gesamte Verfahren zur Erfassung des persönlichen Identifikationscodes erfolgt somit in der Hostanlage, was nicht zufriedenstellend ist und einen großen Nachteil für die kommerzielle Entwicklung der öffentlichen Netze, wie beispielsweise des INTERNETS, darstellt.
Das Dokument EP-A-0 633 520 beschreibt eine Vorrichtung zur Dateneingabe durch Betätigung von Tasten, die einen Anschluss für eine Chipkarte umfasst, auf der ein Benutzeridentifikationscode enthalten ist, und Mittel zur Dateneingabe (Tastatur, Mikrofon), wobei die Vorrichtung zur Dateneingabe an eine elektronische Hostanlage angeschlossen ist.

Objektives Problem des Standes der Technik

Die Hostanlagen sind nämlich heute beinahe immer an mindestens ein Netz angeschlossen, entweder ein einer Organisation internes Netz oder ein öffentliches Netz, beispielsweise über INTERNET. Es ist somit möglich bzw. einfach für einen Dritten, sich an die Hostanlage anzuschließen und von den von letztgenannter bearbeiteten Informationen Kenntnis zu nehmen. Es sind sehr wohl technische Lösungen vorhanden, um die für außenstehende Dritte zugänglichen Informationen zu filtern, allerdings stehen diese Lösungen im Widerspruch zu dem Wunsch nach Öffnung und Erhöhung des Kommunikationsniveaus der meisten Benutzer, und erfordern für eine optimale Funktion komplexe und im allgemeinen für einen Durchschnittsbenutzer nicht durchführbare Zuteilungen.

Darlegung der Erfindung

Der Gegenstand der Erfindung besteht darin, diese Nachteile zu beseitigen, indem sie eine Vorrichtung für bedingten Zugriff vorschlägt, die wesentlich das Sicherheitsniveau gegen missbräuchliche Einschaltungen von Dritten erhöht, die sich den Zugriffscode oder -schlüssel, die mit der Karte mit Mikroschaltung verbunden sind, beschaffen, indem sie sich an die Hostanlage über ein öffentliches oder internes Netz anschließen. Eine Einschaltung in die Speicher des Computers ermöglicht es niemals, auf die Daten zur Zertifizierung des Benutzers zuzugreifen.
Zu diesem Zweck besteht die Erfindung darin, dass die Nutzung der Karte mit Mikroschaltung lokal erfolgt, d. h. in dem Peripheriegerät zur Dateneingabe, und nicht in der Hostanlage. Dieses Merkmal ist wesentlich. Es gewährleistet eine Unterteilung zwischen den Identifikationsmitteln des Benutzers einerseits und dem Computer und dem Kommunikationsnetz, an das er angeschlossen ist oder sein kann, andererseits.
Ein erster Aspekt der Erfindung ist eine Vorrichtung, wie in dem Hauptanspruch 1 definiert. Ein erfindungsgemäßes Verfahren ist in dem Hauptanspruch 18 spezifiziert. Verschiedene Ausführungsarten der Erfindung sind in den Nebenansprüchen definiert.
Die Benutzeridentifikationsmittel sind in dem Peripheriegerät zur Dateneingabe durch Betätigung von Tasten zusammengefasst, zu dem nur der Benutzer Zugriff hat. Er gibt die im Prinzip geheimen persönlichen Daten ein, beispielsweise seinen vertraulichen Code. Diese Daten werden von einem lokalen Mikrorechner mit den durch die Karte aufgezeichneten Informationen überprüft. Dieser Mikrorechner ist im allgemeinen in die Karte mit Mikroschaltung integriert, kann aber auch in das Peripheriegerät integriert sein. Diese Überprüfung führt bei den erfindungsgemäßen Vorrichtungen und Verfahren zur keiner Übertragung geheimer Daten an den Computer. Der Vergleich führt zu einer Information über die Freigabe oder Ablehnung des Benutzers, die die einzige an den Computer übertragene Information darstellt. Dies ist wesentlich, um die Zugänglichkeit von vertraulichen Informationen, wie beispielsweise des Codes, an einen Dritten, der an den Computer über ein lokales oder telefonisches Netz angeschlossen ist, zu vermeiden.

Zusätzliche Merkmale der Erfindung

Die Erfindung wird Vorteilhafterweise durch die verschiedenen folgenden Merkmale ergänzt:
- sie umfasst einen Sensor für die Erfassung eines biometrischen Identifikationssignals, wie beispielsweise einen Bildsensor für Fingerabdrücke und/oder einen Bildsensor für den Augenhintergrund und/oder einen Sensor zur Stimmerkennung;
- sie umfasst Mittel zur Stimmkontrolle bei einer Transaktion;
- die Tastatur und/oder der Bildschirm ist (sind) auf der Oberseite der Maus angeordnet, und eine Abdeckung ist auf dem Gehäuse der Maus angelenkt, um in der geschlossenen Position die Tastatur und/oder den Bildschirm zu schützen, wenn der Chipkartenanschluss nicht verwendet wird;
- ein Einführschlitz für eine Chipkarte ist auf Höhe einer Rille vorgesehen, die die Maus auf ihrem Umfang in der Verlängerung des Raumes zwischen den Betätigungstasten und einem Körper des Gehäuses der Maus, auf dem die Tasten befestigt sind, aufweist;
- falls das Peripheriegerät einen Bildsensor für Fingerabdrücke umfasst, weist sein Gehäuse eine Führung auf, die dazu bestimmt ist, einen Finger des Operators, beispielsweise seinen Daumen, aufzunehmen;
- die Vorrichtung umfasst eine ständig funktionierende Zeituhr, die es ermöglicht, die Operationen, insbesondere die Finanzoperationen, mit einer Datumsangabe zu versehen;
- sie umfasst mindestens zwei Chipkarteneingänge;
- sie umfasst Mittel zur Administration und Ausführung mindestens einer Sicherheitsapplikation, die an eine Anwendersoftware der Hostanlage angeschlossen ist;
- sie umfasst Mittel, die die Übertragung einer Sicherheitsapplikation zwischen Speicher-, Administrations- und Ausführungsmitteln für eine Sicherheitsapplikation und einer Karte mit Mikroschaltung ermöglichen, die eine Applikation zur Distribution dieser Sicherheitsapplikationen umfasst;
- sie stellt eine Papierpresse mit Zeiger und mit doppeltem Chipkartenanschluss dar und umfasst Mittel zur Eingabe, Komprimierung und Aufzeichnung der Informationen von Hand und deren späterer Entladung in die Hostanlage;
- sie stellt einen persönlichen Multimediasupport dar und/oder umfasst Mittel, die eine oder mehrere Büroautomatisierungsanwendungen einsetzen, wie beispielsweise einen Rechner, eine Agenda, eine Zeituhr usw.
- sie umfasst eine ständig funktionierende Zeituhr und Mittel, um an das Peripheriegerät digitale Daten mit Datumsangabe zu übermitteln, die eine Datensequenz in Bezug auf die Autorisierung enthalten, die anhand der in der Karte mit Mikroschaltung gespeicherten Daten und der durch den Benutzer eingegebenen Daten errechnet wurde, sowie eine von der Uhr generierte Datensequenz.
Die Erfindung betrifft auch ein Verfahren zur Administration und Ausführung der Sicherheitsapplikation in der Hostanlage, darin bestehend, in einem mit einer Hostanlage verbundenen Peripheriegerät persönliche Daten und in einer Karte mit Mikroschaltung aufgezeichnete Daten zu vergleichen, ohne dass die persönlichen Daten an die Hostanlage übertragen werden, wobei das Peripheriegerät Mittel zur Eingabe persönlicher Daten und mindestens einen Stecker für eine Karte mit Mikroschaltung umfasst.
Nach einer vorteilhaften Ausführungsart der Erfindung umfasst das Verfahren ein erweitertes Kommunikationsprotokoll des den Eingabemitteln des Peripheriegeräts spezifischen Kommunikationsprotokolls. Dieses Protokoll ermöglicht die Verwendung eines einzigen seriellen Anschlusses für die Kommunikation zwischen Anwendersoftware und den Eingabemitteln und den in der erfindungsgemäßen Vorrichtung vereinten gesicherten Mitteln.
So werden nach einer vorteilhaften Form dieses Verfahrens die Daten und Befehle in Form von Datenübertragungsblocks (Frames) übertragen, die eine Gruppe von Feldern umfassen, die jeweils aus einer codierten Sequenz mit einer festgelegten Anzahl von Bits bestehen, wobei jeder Datenübertragungsblock ein Identifikationsfeld und mindestens eines der folgenden Felder umfasst:
- Feld für die Eingabeinformation,
- Feld für die Information über gesicherte Mittel.
Das Informationsfeld über die gesicherten Mittel umfasst verpflichtend ein Kontrollfeld, das den Informationstyp angibt, gefolgt von optionalen Feldern, die die Nachrichtenlänge der Sicherheitsapplikation angeben, und ein Feld zur Vollständigkeitskontrolle der Nachricht.
Vorzugsweise liefert das Verfahren die Eingabeinformation an eine Anwendersoftware und gewährleistet gleichzeitig die Übermittlung der Nachrichten zu derselben oder einer anderen gleichzeitig aktiven Anwendersoftware und ihrer Sicherheitsapplikation.
Vorzugsweise übermittelt das Gerät die von den gesicherten Mitteln ausgesandten Nachrichten in Form von Datenübertragungsblocks, deren erstes Feld der abgeänderte spezifische Eingabeblock ist, gefolgt von der vollständigen Nachricht, oder verteilt sie auf mehrere Datenübertragungsblocks desselben Typs. Daher können die Eingabeblocks und die erweiterten Datenübertragungsblocks alternierend sein.
Nach einer Variante sind die gesicherten Speicher- und Ausführungsmittel dieser Sicherheitsapplikationen in einer herausnehmbaren Miniaturkarte mit Mikroschaltung zusammengefasst. So werden die Administration und die Verfügbarkeit der Speicher- und Ausführungsmittel der Sicherheitsapplikationen von der Wartung der Vorrichtung unabhängig.

Darstellung der beiliegenden Zeichnungen

Die Erfindung wird durch die Studie der folgenden detaillierten Darlegung besser verständlich, die als nicht einschränkendes Beispiel dient und durch die beiliegenden Figuren dargestellt ist:
Fig. 1 ist eine Darstellung in Draufsicht (Kugelseite) einer Vorrichtung für bedingten Zugriff nach einer möglichen Ausführung der Erfindung in der "Mausversion";
die Fig. 2a und 2b sind perspektivische Darstellungen zweier möglicher Ausführungsvarianten für die Maus der Fig. 1;
Fig. 2c stellt eine Ansicht eines Bildschirms für den Einsatz einer Ausführungsvariante dar,
Fig. 3 ist eine schematische Darstellung, die eine mögliche vorteilhafte Konfiguration im Inneren des Gehäuses der Maus der Fig. 1 darstellt;
Fig. 4 ist eine Draufsicht einer Vorrichtung für bedingten Zugriff vom Typ Maus mit Kugel nach einer weiteren möglichen Ausführungsvariante der Erfindung;
Fig. 5 ist eine perspektivische Ansicht, die eine mögliche Ausführungsart für die Variante der Fig. 4 darstellt;
Fig. 6 ist eine schematische Darstellung in Seitenansicht, die eine mögliche Ausführungsart für die Variante der Fig. 4 darstellt;
Fig. 7 ist eine Übersicht, die ein Vorrichtung für bedingten Zugriff mit biometrischer Kontrolle darstellt;
Fig. 8 ist eine Draufsicht einer Vorrichtung für bedingten Zugriff mit biometrischer Kontrolle;
Fig. 9 ist eine schematische perspektivische Darstellung mit Abriss einer Mikrocomputertastatur mit einer erfindungsgemäßen Touch-Screen-Fläche;
Fig. 10 ist ein Flussdiagramm, das eine mögliche Abfragesequenz einer Sicherheitsapplikation durch eine Anwendersoftware darstellt, die von einer Sammelkarte getragen wird, die in eine Vorrichtung für bedingten Zugriff nach einer möglichen Ausführungsart der Erfindung eingesetzt ist;
die Fig. 11 und 12 sind Flussdiagramme, die Installations- und Deinstallationssequenzen einer Sicherheitsapplikation auf einer Sammelkarte darstellen, die in eine Vorrichtung für bedingten Zugriff nach einer möglichen Ausführungsart der Erfindung eingesetzt ist;
die Fig. 13 bis 18 stellen die Struktur der Kommunikationsdatenübertragungsblocks dar, die mit einer Vorrichtung für bedingten Zugriff nach einer möglichen Ausführungsart der Erfindung verwendet werden.

Detaillierte Darlegung verschiedener nicht einschränkender Ausführungsbeispiele der Erfindung

Das erfindungsgemäße Gerät wird in Form einer Maus mit Kugel beschrieben, wobei dieselbe Vorgangsweise für die anderen Typen von Dateneingabegeräten durch Betätigung von Tasten anwendbar ist. Fig. 1 zeigt ein erfindungsgemäßes Gerät, das von einer optomechanischen Maus abgeleitet ist, deren Kugel (3) in ihrem Gehäuse durch die Abdeckung (2) gehalten wird. Eine Tastatur (6) ist in einer auf dem unteren Körper (1) der Maus vorgesehenen Aussparung angeordnet. Die Tiefe dieser Aussparung wird in Abhängigkeit von der Dicke der Tastatur und der Dicke der Gleitplättchen (4) gewählt, so dass die Einheit nicht die die Kugel (3) antreibende Auflagerfläche berührt.
Das in Fig. 1 dargestellte Gerät umfasst einen Anschluss für eine Karte mit Mikroschaltung. In Fig. 1 ist eine Karte mit Mikroschaltung (5), beispielsweise gemäß der Norm ISO 7816, oder auch eine kontaktlose Karte in das Gerät durch einen in dieser Richtung vorgesehenen Seitenschlitz eingeführt. Das Gerät kann Mittel umfassen, um beide Kartentypen mit Mikroschaltung aufzunehmen, um den Kartentyp zu identifizieren und ihre korrekte Einführung zu überprüfen.
So kann die Tastatur (6), durch eine angelenkte Abdeckhaube geschützt oder nicht, auf der oberen Abdeckung der Maus angeordnet werden. Diese Vorrichtung kann eine Flüssigkristallanzeige (7) für die Kontrolle der Transaktionen und Operationen umfassen und ist an die Hostanlage durch ein Verbindungskabel angeschlossen, das mit einem Stecker für die Verbindung mit dem adhoc Anschluss der Hostanlage versehen ist. Die Speisung der Vorrichtung erfolgt entweder durch eine autonome Quelle oder durch die Hostanlage. Die elektrische Versorgung kann entweder durch eine unabhängige, dem Peripheriegerät eigene Versorgung, oder in den meisten Fällen durch die am Anschluss verfügbare Spannung (RS232, USB, GEOPORT, . . .), an den das Peripheriegerät angeschlossen ist, oder einen zweiten Anschluss (Tastatur, . . .) erfolgen.
Das Gerät kann eine ständig funktionierende Zeituhr umfassen, die erforderlich ist, um die Finanztransaktionen mit einer Datumsangabe zu versehen. Das Gerät kann auch gesicherte Mittel umfassen, die in der Lage sind, eine elektronische Geldkartenapplikation aufzunehmen. So kann es das Geld oder das elektronische Guthaben aufnehmen und aufbewahren. Diese Mittel können entweder mit einem Mikrokontroller in gesicherter Version mit einer elektronischen Geldkartenapplikation oder durch Verwendung eines zweiten Anschlusses für eine Karte mit Mikroschaltung ausgeführt sein, die eine elektronische Geldkartenanwendung umfasst. Diese zweite elektronische Geldkarte ist vorzugsweise eine Miniaturkarte mit Kontakten (5a) und im Inneren der Vorrichtung angeordnet (beispielsweise mit einem Format GSM 15 · 25 mm). Dies erleichtert ihren Austausch bei Ablaufen der Gültigkeit oder Fehlfunktion. Diese interne Finanzfunktion entspricht einer elektronischen Geldbörse.
Eine Variante, die in Fig. 2c dargestellt ist, besteht darin, die Tastatur zur Eingabe der persönlichen Daten durch ein informatisches Äquivalent zu ersetzen. Dieses Äquivalent wird von einem Programm gebildet, das auf dem Bildschirm (50) der Hostanlage die Anzeige einer grafischen Darstellung einer virtuellen Tastatur (54) hervorruft, die sich aus virtuellen Tasten (51, 52) zusammensetzt. Die virtuellen Tasten (51) dieser Tastatur sind zufallsbedingt und unterschiedlich bei jeder neuen Aktivierung dieses Programms angeordnet. Die Eingabe der persönlichen Daten erfolgt mit Hilfe der Eingabefunktionen der erfindungsgemäßen Vorrichtung für bedingten Zugriff. Die Auswertung der Positionier- und Genehmigungssignale der Position des Indexes (53) auf der virtuellen Tastatur (54) erfolgt ausschließlich in dem Peripheriegerät, so dass die Übermittlung der genehmigten Positionsdaten an die Hostanlage vermieden wird.
Mehrere ergonomische Konfigurationen sind für das Gehäuse (1) der Maus möglich.
In den Fig. 2a und 2b sind zwei unterschiedliche mögliche Konfigurationen dargestellt.
In beiden Fällen ist der Schlitz (1b) auf dem Rand des Gehäuses (1) angeordnet, der am weitesten von den Betätigungstasten der Maus entfernt ist, wobei diese Tasten mit (8) in diesen Fig. 2a und 2b bezeichnet sind.
Die in Fig. 2b dargestellte Konfiguration ist vorteilhaft, da sie es ermöglicht, das Herstellungswerkzeug zu vereinfachen. Der Schlitz (1b) befindet sich hier auf Höhe der Rille (1c), die eine Maus üblicherweise auf ihrem Umfang in der Verlängerung zwischen ihren Betätigungstasten (8) und dem Körper des Gehäuses (1) aufweist.
Fig. 3 stellt eine vorteilhafte Konfiguration im Inneren des Gehäuses (1) dar. Es ist bekannt, dass Herkömmlicherweise in einem Gehäuse einer Maus mit Kugel zwei Encoder-Achsen (41, 42) und eine Druckrolle (43) in ständigem Kontakt mit der Kugel (3) vorgesehen sind. Diese Encoder-Achsen (41, 42) ermöglichen es, die Verschiebungen der Kugel zu verfolgen. Die Feder, die die Rolle (43) in Kontakt mit der Kugel (3) hält, ist eine Spiralfeder (44), wodurch es möglich ist, den Platzbedarf des Druckmechanismus im Inneren zu verringern und somit einen Raum auf Höhe der Einführzone der Chipkarte (5) freizugeben.
Bei einer weiteren Variante einer Maus mit Kugel gemäß der Erfindung, die in den Fig. 4 bis 6 dargestellt ist, ist die Tastatur (6) auf der Oberseite der Maus angeordnet, d. h. auf der Seite, die dem Boden (1b) gegenüberliegt. Eine angelenkte Abdeckung (9) ermöglicht es, die Tastatur zu schützen, wenn die Chipkartenanschlussfunktion nicht verwendet wird. Diese Abdeckung (9) ist in einem Abriss in Fig. 4 dargestellt. Sie weist eine derartige Form auf, dass ihre Oberseite ganz genau die Form des Gehäuses, wenn sich dieses in geschlossener Position befindet, verlängert, wobei sich das Peripheriegerät nun wie eine herkömmliche Maus darstellt.
Diese Abdeckung (9) ist auf dem Gehäuse (1) mit Hilfe eines Armes (10), zu dem sie schwenkbar befestigt ist, angelenkt, welcher Arm (10) selbst schwenkbar zum Gehäuse (1) um eine Achse parallel zur Schwenkachse der Abdeckung (9) auf dem Arm (10) befestigt ist.
Ein Anschlag (10a) ist auf dem Gehäuse (1) vorgesehen, um das Ausschlagen der Abdeckung (9) zu begrenzen. Somit ist ein Gelenk vorhanden, das es dem Operator ermöglicht, die Abdeckung (9) zur Gänze zu der von der Tastatur (6) eingenommenen Zone freizugeben, um den Zugriff auf diese freizumachen und gleichzeitig ein kompaktes Aussehen des Peripheriegeräts zu bewahren.
Im Falle einer Anwendung für Finanztransaktionen auf Online-Netzen und/oder im Lokalmodus kann die Betätigung der Tastatur des Peripheriegeräts durch den Operator die verschiedenen folgenden Operationen ermöglichen:
- Genehmigung,
- Korrektur, Löschen der letzten Digitaleingabe,
- Journal, Lesen der Liste der letzten Transaktionen,
- Saldo, Lesen des Betrages oder des Restguthabens in der elektronischen Geldkarte,
- Select, Devisenauswahl für eine intersektorielle elektronische Geldkarte,
- Annullierung, Aufgabe der laufenden Transaktion,
- Local, Einstellen der Kommunikation mit der Hostanlage,
- Verriegelung einer Chipkarte,
- EW/Karte, Auswahl einer eingeführten Geldbörse (EW) oder Karte, falls anwendbar,
- Überweisung, Starten einer Überweisungsoperation.
Das an eine Hostanlage angeschlossene Gerät, umfassend entsprechende Softwaremittel und angeschlossen an ein Telematiknetz, ermöglicht die gesicherte Online-Bezahlung von Gütern und Dienstleistungen durch Chipkreditkarten und elektronische Geldkanten, jedoch auch die gesicherte Geldüberweisung zwischen zwei entfernten Finanzobjekten.
Beispielsweise können zwei in unterschiedlichen Lokalitäten befindliche Personen, die jeweils einen Personal Computer mit einem erfindungsgemäßen Gerätemodem besitzen, folgende gesicherte Transaktionen durchführen:
- Überweisung eines Geldbetrages von der Kreditkarte der ersten Person auf die elektronische Geldkarte der anderen Person;
- Auswahl der Devise, die Gegenstand der Überweisung sein wird;
- Überweisung eines Geldbetrages von einer elektronischen Geldkarte auf die andere.
Jede der beiden Personen kann auch die Online-Finanzdienste, die von ihrer Bank für die elektronischen Geldkarten angeboten werden, in Anspruch nehmen:
- Überweisung des Geldes von ihrem laufenden Konto auf eine elektronische Geldkarte und umgekehrt;
- Umwechseln eines Geldbetrages in Devisen und umgekehrt.
Immer wenn die Identifikation des Karteninhabers gefordert wird, werden der persönliche Code oder die als Identifikationsmittel dienende Unterschrift im Bereich der Vorrichtung erfasst, die somit eine Schutzbarriere gegen Informatikmissbrauch bildet.
Das Gerät, das ferner die Mittel für die Verwendung der elektronischen Geldkarten umfasst, ermöglicht folgende Schritte:
- Überprüfung des Restguthabens oder des Saldos;
- Lesen des Transaktionsjournals;
- Verriegelung der elektronischen Geldbörse.
Eine Chipkarte (5) kann mehrere Finanzapplikationen umfassen, beispielsweise eine Kreditkarte (CB) und mindestens eine elektronische Geldbörse. Jedes erfindungsgemäße Basisgerät umfasst Mittel, um Transaktionen zwischen den auf einer selben Chipkarte residenten Finanzapplikationen durchzuführen, wobei die Sicherheitsbedingungen automatisch von der Karte selbst gewährleistet werden.
Das Gerät, das entweder eine interne elektronische Geldbörse (EW) oder zwei identische Anschlüsse umfasst, von denen einer eine elektronische Geldkarte umfasst, die als Zwischenglied dient, kann im lokalen Funktionsmodus für Chipkartentransaktionen verwendet werden, wobei die Karten nacheinander in den verfügbaren Stecker eingeschoben werden:
- eine Kreditkarte mit einem Betrag belasten und einer elektronischen Geldkarte einen Betrag gutschreiben;
- Geld von einer elektronischen Geldkarte auf eine andere überweisen;
- Geld in der Geldbörse EW aufbewahren;
- die letzte Transaktion annullieren.
Es ist anzumerken, dass die Mittel, die die Identifikation des Karteninhabers einsetzen (Eingabe des persönlichen Codes oder Unterschrift), die Anschlussmittel für die Chipkarte und die Eingabemittel (Auswahl, Genehmigung, Änderung) die Basiskonfiguration für jeden der oben beschriebenen Gerätetypen definieren. Ausgehend von jeder oben erwähnten Basiskonfiguration werden durch Kombination der verschiedenen seriellen Kommunikationsmittel mit der Hostanlage, Tastaturen, Anzeigen, Versorgungen, Zeituhren, elektronischen Geldbörse erfindungsgemäße Gerätefamilien erhalten.
Ein Peripheriegerät des soeben beschriebenen Typs sichert dem Personal Computer oder einem interaktiven Fernseher die Funktionen eines Terminals für Chipkarten, die bei Finanzapplikationen, Zugriffskontrollen, Identifikation und Maut anwendbar sind.
Es ermöglicht die Bezahlung der Güter und Dienstleistungen in Online-Netzen mit Chipkreditkarten (CB) oder elektronischen Geldbörsen sowie Home-Banking-Funktionen. Bei Versionen mit elektronischer Geldbörse (EW) kann das Gerät selbst als Geldreserve für die Bezahlung in Online-Netzen oder Netzen im Lokalmodus dienen.
Das Gerät ermöglicht die Verwendung der personalisierten Zahlungsmittel (Kreditkarte, elektronische Geldbörse, INE) oder anonymen Zahlungsmittel (elektronische Geldbörse, WE). So ermöglicht das Gerät die Manipulation des elektronischen Geldes als direkten Ersatz für das physische Geld und hebt die Barrieren der physischen Entfernung zwischen den Beteiligten auf.
Das Gerät kann auch zur Administration der Firmennetze, für den gesicherten Zugriff auf Computer, für den Software-Schutz dienen.
Das Gerät ersetzt die übliche Maus oder jede andere serielle Eingabevorrichtung durch Betätigung von Tasten und ist von einem entsprechenden Software-Treiber für jeden Typ von Hostanlage begleitet. Im allgemeinen ist das Gerät eine Fernsteuerung, die für die Multimedia-Terminals bestimmt ist, die sie als Eingabevorrichtung anerkennen (Personal Computers, interaktive Multimedia-Fernseher usw.). Es kann auch zusätzliche Applikationen, wie beispielsweise Finanzrechner, Papierpresse, Agenda usw. umfassen.
In Form einer Papierpresse mit Zeiger und doppeltem Chipkarteninterface, welche als Option in einem Speicher komprimierte handschriftliche Dateien aufzeichnet, abgewandelt, kann das Gerät auch vorzugsweise von in Gesundheitsberufen Tätigen verwendet werden.
In Fig. 7 ist eine Konfiguration für den Einsatz einer biometrischen Kontrolle dargestellt, beispielsweise durch eine Kontrolle mit Hilfe eines Scanners für Fingerabdrücke oder eines Scanners für den Augenhintergrund, umfassend einen Bildsensor (15), der beispielsweise ein Scanner für Fingerabdrücke oder ein Scanner für den Augenhintergrund ist und mit dem Mikrokontroller des Peripheriegeräts (13) in dieser Fig. 7 verbunden ist. Dieser Mikrokontroller (13) ist ebenfalls an die spezifischen Eingabemittel (11), an den Anzeigebildschirm (7) sowie die Tastatur (6) angeschlossen.
Der Mikrokontroller (12) umfasst die Bearbeitungs- und Kommunikationskontrollmittel der gesamten Vorrichtung. So kommuniziert er mit einer externen Chipkarte (5) über das Interface (13) und mit der internen Chipkarte (5) über das Interface (14) und andererseits mit dem Mikrocomputer (19), an den das Peripheriegerät angeschlossen ist.
Als weitere Variante ist der Mikrokontroller (12) auch vorzugsweise an einen Prozessor zur Stimmsynthese und -erkennung (16) angeschlossen, der beispielsweise seinerseits an ein Mikrofon MIC und an einen Lautsprecher HP, der in dem Gehäuse (1) angeordnet ist, angeschlossen ist. Eine Einsatzvariante besteht darin, die akustische Unterschrift des Benutzers zum Zeitpunkt des Lesens von auf einem Bildschirm des Peripheriegeräts oder der Hostanlage angezeigten Informationen zu überprüfen. Diese Ausführungsart ermöglicht es, die Stimmerkennung und den Vergleich mit der in einer Karte mit Mikroschaltung (5) digitalisierten akustischen Unterschrift aus einer sehr geringen Anzahl von Wörtern durchzuführen und vereinfachte und kostengünstige Algorithmen und integrierte Schaltkreise zu verwenden, ohne die Sicherheit des Vergleichs stark zu verringern.
Die Bearbeitungsmittel, die die Einheit (12) darstellt, formatieren das von dem Sensor (15) und/oder der Vorrichtung zur Stimmerkennung (16) erfasste biometrische Objekt, um seine Bearbeitung durch eine Karte (5) zu ermöglichen. Diese empfängt und vergleicht das biometrische Objekt mit der Referenz, die es im Speicher aufweist. Als Variante kann der Vergleich zwischen der Referenz und dem von dem Sensor (15) oder der Einheit (16) erfassten biometrischen Objekt von dem Mikrokontroller (12) durchgeführt werden.
Es ist zu beobachten, dass die Bearbeitungsmittel, die der Mikrokontroller (12) darstellt, ein optimierter mathematischer Coprozessor für die Bearbeitung der Signale und/oder die kryptografischen Berechnungen sein können. Auch kann die gesamte oder ein Teil der Einheit (16) vorzugsweise in einem selben Chip oder Modul (12) integriert sein.
Das biometrische Objekt, wie beispielsweise das von dem Sensor (15) erfasste Bild oder die von der Einheit (16) durchgeführte Stimmerkennung, tritt an die Stelle des Identifikationscodes des Benutzers, der keinen Code auf der Tastatur (6) einzugeben braucht.
Fig. 8 stellt eine Konfiguration dar, bei der sich der Sensor (15) an einem Seitenrand des Gehäuses (1) der Maus befindet. Dieser Rand weist eine Führung (17) auf, die dazu bestimmt ist, einen Finger des Operators aufzunehmen, beispielsweise seinen Daumen. Der europäische Normentwurf EN 1546 stellt im Detail die Funktion und Verwendung der elektronischen Geldkarten dar. Der europäische Normentwurf EMV beschreibt im Detail den Standard der Zahlungsverfahren mit Karten mit Mikroschaltung sowie die Merkmale solcher Karten.
Das Peripheriegerät kann drahtlose serielle Kommunikationsmittel umfassen, um seine Mobilität in Bezug auf die Hostanlage zu erhöhen. Funk- oder Infrarotmittel können verwendet werden, um die Umwelterfordernisse und die Bedürfnisse der angepeilten Hostanlagen zufriedenzustellen.
Das Peripheriegerät kann auch in den Mikrocomputer selbst integriert sein. Eine Variante in dieser Richtung ist in Fig. 9 dargestellt. Bei dieser Variante weist ein Mikrocomputer eine Touch-Screen-Vorrichtung (20) auf. Eine von der Tastatur C des Computers unabhängige Tastatur (6) ist in die Stütze S integriert, auf der die Tastatur C und die Touch-Screen-Vorrichtung (20) befestigt sind.
Vorzugsweise wird die Berührungsoberfläche der Vorrichtung (20) auch dazu verwendet, um die Tastatur (6) zur Eingabe der persönlichen Informationen herzustellen, wobei diese Tastatur und die Berührungsoberfläche übereinander erscheinen. Diese Darstellung ist permanent sichtbar. Als Variante kann sie nur bei dem Identifikationsverfahren des Inhabers sichtbar sein, beispielsweise durch eine Rückbeleuchtung, die mit Hilfe einer Elektrolumineszenzfolie durchgeführt ist.
Eine weitere Ausführungsvariante einer erfindungsgemäßen Vorrichtung setzt Mittel zur Stimmsynthese und ein entsprechendes Wörterbuch ein. Dieses Wörterbuch kann ferngeladen und/oder durch ein gesichertes Verfahren von einem genehmigten Server geändert werden. Dieser Server kann beispielsweise der des Herstellers der Vorrichtung für bedingten Zugriff sein. Letztgenannter kann mit Mitteln zur Stimmerkennung ein Minimum an Befehlen erlernen, die für die Abwicklung der Transaktionen erforderlich sind, wie beispielsweise: annehmen, annullieren, weiterführen. Als Beispiel besteht für die Kontrolle des auf dem Bildschirm des Computers angezeigten Preises von 198,25 $ das Verfahren darin, die Preisinformation an das Peripheriegerät zu übermitteln, welches diese Information durch ihre Mittel zur Stimmsynthese und -reproduktion umformt, um die Wörter "eins", "neun", "acht', "Komma", "zwei", "fünf" und "Dollar" auszusenden.
Sodann genehmigt die Vorrichtung den Preis für die Transaktion beispielsweise mit dem Befehl "annehmen", der mündlich vom Inhaber der Karte mit Mikroschaltung, die in die Vorrichtung eingeschoben ist, ausgesprochen wird. Die Stimmbefehle können aufgezeichnet werden.
Es wird nun auf die Fig. 10 und folgende Bezug genommen, in denen weitere Aspekte der Erfindung dargestellt sind.
Das Peripheriegerät umfasst eine Sicherheitsapplikation, die mit SAM in der weiteren Textfolge bezeichnet ist. Unter Sicherheitsapplikation oder SAM ist ein Softwareobjekt zu verstehen, umfassend einen ausführbaren Code und alle für seine Funktion erforderlichen spezifischen Ressourcen, die in dem Speicher eines gesicherten Mikroprozessors, der auch mit einem gesicherten Betriebssystem ausgestattet ist, resident sind und ausgeführt werden. Ein typisches Beispiel für SAM ist die elektronische Geldbörse, die auf einer Karte mit Mikroschaltung verfügbar ist. In dem Peripheriegerät ist für mindestens eine Anwendersoftware der elektronischen Hostanlage, mit der das Peripheriegerät kommuniziert, eine in dem Peripheriegerät installierte Sicherheitsapplikation vorgesehen.
Die Anwendersoftware und ihre Sicherheitsapplikation kennen jeweils eine selbe geheime Information in Form eines oder mehrerer Schlüssel und setzen einen selben kryptografischen Algorithmus ein, der die Überprüfung dieses Schlüssels ermöglicht.
Somit ist eine Sicherheitsapplikation für die Distribution vorhanden, die den normalen Schutzschlüssel der Anwendersoftware gegen Missbrauch schützt. Diese Sicherheitsapplikation wird vorzugsweise, aber nicht auf einschränkende Weise, von einer Chipkarte getragen, die in der Folge als Sammelkarte SAMC bezeichnet ist. Diese Sammelkarte wird beispielsweise von einer zweiten Karte, Distributionskarte oder SAMD genannt, geladen, die beispielsweise mit der Anwendersoftware geliefert wird, die einen Schutz gegen Missbrauch benötigt. In diesem Zusammenhang ist Fig. 10 ein Flussdiagramm einer vereinfachten Abfragesequenz einer Sicherheitsapplikation SAM, die in der Sammelkarte eines Peripheriegeräts resident ist, durch eine Anwendersoftware, die lokal ausgeführt wird oder auf eine Hostanlage zugreift, die mit dem Peripheriegerät kommuniziert. SAM hat die Rolle eines Schutzschlüssels für diese Anwendersoftware inne. Der erste Schritt des SAM Tests (Schritt 101) besteht darin, einen zufallsbedingten Code (RNDC) zu generieren, der sodann gespeichert wird. In einem zweiten Schritt (102) wird dieser Code (RNDC) nach einem in der Technik gut bekannten Verfahren mit symmetrischem Schlüssel verschlüsselt. Dieser Schlüssel ist durch die Anwendersoftware und SAM bekannt. Das Ergebnis des Schrittes (102) ist ein weiterer Code, der den Test (CLG) darstellt, der an SAM zu übermitteln ist. In Schritt (103) überprüft die Anwendersoftware, ob sie diesen Test (CLG) an den Driver der Vorrichtung übermitteln kann. In Schritt (104) wird die Testnachricht (CLG) an diesen Driver übermittelt, der sie nach einem erweiterten Protokoll des spezifischen Kommunikationsprotokolls der Eingabemittel von dem Peripheriegerät an die entsprechende SAM übermittelt.
In Schritt (105) wartet die Anwendersoftware eine vordefinierte Zeit lang auf die Antwort von SAM. SAM verwendet einen Algorithmus zur Entschlüsselung des Tests (CLG). Wenn SAM authentisch ist, ist der Schlüssel für die Entschlüsselung derselbe und findet den ursprünglichen zufallsbedingten Code im Klartext wieder. Ihre Antwort (RPL) wird an den Driver der Vorrichtung übermittelt, um in Schritt (106) von der Anwendersoftware gelesen zu werden. Der folgende Schritt (107) besteht darin, den ursprünglichen Code (RNDC) mit der Antwort (RPL) zu vergleichen. Wenn sie ident sind, besteht keine missbräuchliche Anwendung. Eine solche Testsequenz von SAM ist in der zu schützenden Anwendersoftware integriert. Wenn die Sequenz der Fig. 10 eine einzige Rückmeldung im Erfolgsfalle (108) aufweist, sind die Fehlermeldungen (109) in der Praxis zahlreicher und spiegeln die möglichen Misserfolge in allen ihren Schritten wider.
Die vereinfachte Installationssequenz einer Sicherheitsapplikation oder SAM bei dem erfindungsgemäßen Verfahren ist in Fig. 11 dargestellt.
Eine SAMD-Karte zur Distribution von Sicherheitsapplikationen kann für mehrere Installationen einer selben Sicherheitsapplikation dienen. Die Karte umfasst für jede Sicherheitsapplikation einen Lizenzzähler (LCNT), der auf die Anzahl von für die Applikation gestatteten Installationen initialisiert ist. Das Installationsprogramm für die Anwendersoftware erfordert in Schritt (110) die Distributionskarte SAMD in dem Chipkartenanschluss des Peripheriegeräts. Das Verfahren wird unterbrochen, wenn:
- der Test (111) nicht die Distributionskarte SAMD erkennt oder der Zähler der Anzahl von zu installierenden Lizenzen LCNT gleich Null ist,
- der Test (112) nicht genügend Speicher in der Sammelkarte SAM findet oder diese Karte die zu installierende SAM nicht trägt,
- der Test (114) die Kopie nicht genehmigt.
Wenn die Bedingungen (111) und (112) beide vorhanden sind, überträgt Schritt (113) die SAM der Distributionskarte SAMD an die Sammelkarte SAMC.
Der Mikrokontroller des Anschlusses des Peripheriegeräts löst diese Übertragung aus, die sodann zwischen den beiden Karten nach einem beliebigen Verfahren zur Übertragung gesicherter Daten abläuft.
Während dieser Übertragung dient der Mikrokontroller nur als Verbindungskanal zwischen den beiden Karten SAMC und SAMD. Das Betriebssystem der Sammelkarte SAMC bringt SAM in ihre ausführbare Form. Sodann führt die Karte SAMC den Test (114) durch, der die Genehmigung der eigentlichen Übertragung und sodann die Überprüfung der richtigen Funktion von SAM umfasst. Diese Überprüfung besteht darin, die Abfrage von SAM zu simulieren und ihr Verhalten zu überprüfen. Die Sammelkarte SAM löscht aus ihrem Speicher die ungültige SAM. Die Installation einer SAM ist gleichwertig mit einer Guthabensübertragung nach einem Transaktionsmechanismus ähnlich jenem, der in den elektronischen Geldbörsensystemen verwendet wird. Dieser Transaktionsmechanismus gewährleistet in Schritt (115), dass der Lizenzzähler (LCNT) um nur eine Einheit verringert wird, wenn die SAM durch die gesicherten Speicher-, Administrations- und Betriebsmittel SAMC genehmigt ist.
Das vereinfachte Flussdiagramm der Deinstallation einer Applikation SAM bei dem erfindungsgemäßen Verfahren ist in Fig. 12 dargestellt.
Das Programm zur Deinstallation der durch eine SAM geschützten Anwendersoftware erfordert in Schritt (116) das Einführen der Distributionskarte SAMD oder dergleichen in den Anschluss des Peripheriegeräts. Der Test (117) überprüft, ob die zu deinstallierende SAM die in den Anschluss eingeführte Karte akzeptiert. Wenn die Karte SAMD die ursprüngliche Karte ist, ist der Code der SAM hier immer vorhanden, uni Schritt (119) erhöht den Lizenzzähler (LCNT) um eine Einheit.
Wenn die Karte SAMD nicht die ursprüngliche Karte ist, wird der Code der SAM von der Sammelkarte SAMC in Schritt (121) bei ausreichender Speicherbedingung (120) unter ähnlichen Bedingungen wie in Schritt (113) des oben beschriebenen Installationsverfahrens übertragen. Ebenfalls in Schritt (121) erzeugt das Betriebssystem der Karte SAMD einen Lizenzzähler (LCNT), der auf Null initialisiert ist. Bei einer Codeübertragung von SAM überprüft die Karte SAMD in Schritt (122) die Gültigkeit der Kopie, wie in Schritt (114) des Flussdiagramms zur Installation von SAM. Durch einen Transaktionsmechanismus, wie jenen der Installation einer SAM, gewährleistet das Verfahren der Deinstallation, dass nur im Erfolgsfalle die Karte SAMD eine gültige SAM und einen um eine Einheit inkrementierten Lizenzzähler (LCNT) umfasst und die Karte SAMC die betreffende SAM aus ihrem Speicher in Schritt (123) löscht. Das Verfahren ermöglicht es somit jeder Karte SAMD, die durch Deinstallation eine Sicherheitsapplikation empfangen hat, mit einer ursprünglichen Distributionskarte gleichwertig zu sein. Eine Sicherheitsapplikation wird zwischen zwei entfernten Karten übertragen, die miteinander über Kommunikationsnetze durch zwischengeschaltete Mittel kommunizieren, die die Weiterleitung und Vollständigkeit ihrer Nachrichten gewährleisten. Ein Verfahren zur Übertragung einer SAM als von einer Hostanlage zu einer anderen fließende Benutzungslizenz unter Verwendung der Kommunikationsnetze ist auch dem oben beschriebenen Verfahren zur Deinstallation von SAM ähnlich. In diesem Fall wird die Distributionskarte durch die entsprechende Sammelkarte ersetzt.
Vorzugsweise verwendet das für die Administration und Ausführung der Sicherheitsapplikationen verwendete Kommunikationsprotokoll einen selben seriellen Kommunikationsweg, um die Eingabeinformation und die Sicherheitsmeldungen zu befördern. So sind die Eingabefunktion und die Terminalfunktion der Karte mit Mikroschaltung quasi gleichzeitig und unabhängig voneinander verfügbar. Im Rahmen des Kommunikationsprotokolls werden die Informationen und Befehle in Form von Datenübertragungsblocks übertragen, umfassend eine Gruppe von Feldern, die jeweils von einer codierten Sequenz gebildet sind, die eine vorbestimmte Bitanzahl trägt, wie in Fig. 13 dargestellt. So umfasst ein Datenübertragungsblock verpflichtend ein Identifikationsfeld (FID) und mindestens eines der folgenden Felder:
- Feld für die Eingabeinformation,
- Feld für die Information über eine Sicherheitsapplikation.
Das Identifikationsfeld (FID) initialisiert die Aufnahmemittel zur Analyse seines Inhalts. Für die Peripheriegeräte zur Dateneingabe durch Betätigung von Tasten und einen gegebenen Funktionsmodus weisen die Datenübertragungsblocks eine feststehende Länge auf. In einem solchen Datenübertragungsblock ist das stärkste Bit für die Identifikation seines Beginns vorbehalten. Das erfindungsgemäß eingesetzte Protokoll verwendet dieselbe Methode zur Bewahrung der Kompatibilität mit den herkömmlichen Eingabevorrichtungen und ordnet immer die Eingabeinformation am Beginn des erweiterten Datenübertragungsblocks an. So ist es nicht einschränkend, den Eingabeblock als einen Teil des Identifikationsfeldes (FID) des erweiterten Datenübertragungsblocks zu betrachten, wie in Fig. 6 dargestellt. Beispielsweise kann das Vorhandensein des Informationsfeldes über eine Sicherheitsapplikation nach demselben Prinzip durch einen besonderen Wert einer Gruppe von Bits des ersten Bytes des Datenübertragungsblocks angegeben sein. So umfasst das Informationsfeld über eine Sicherheitsapplikation alle oder einen Teil der folgenden Felder in der Reihenfolge ihrer Aufzählung, ausgehend von einer Position, die durch den besonderen Wert einer Gruppe von Bits des Identifikationsfeldes (FID) bestimmt wird:
- Kontrollfeld (OPC),
- Feld zur Angabe der Nachrichtenlänge einer Sicherheitsapplikation (DLEN),
- Feld, das die ganze oder einen Teil der Nachricht der eigentlichen Sicherheitsapplikation enthält (CLG) oder (RPL),
- Feld zur Vollständigkeitskontrolle der genannten Nachricht (CRC).
Die erweiterten Datenübertragungsblocks haben variable Länge je nach dem Kontrollfeld (OPC). Wenn der Datenübertragungsblock eine Nachricht (CLG) umfasst, die für eine Sicherheitsapplikation bestimmt ist, oder eine Nachricht (RPL), die für eine Anwendersoftware bestimmt ist, folgt auf das Feld (OPC) ein Feld (DLEN), das die Länge der Nachricht (CLG) oder (RPL) angibt. Die Länge des Feldes (DLEN) hängt von der maximal zulässigen Länge für die Nachrichten (CLG) und (RPL) ab. Die Kontroll- und Bearbeitungsmittel der erfindungsgemäßen Vorrichtung kennen nicht die Bedeutung der Nachrichten (CLG) und (RPL). Das optionale Feld (CRC) ermöglicht die eventuelle Kontrolle der Vollständigkeit der Nachrichten (CLG) oder (RPL).
Ein erweiterter Datenübertragungsblock wird zur Gänze von seinem Kontrollfeld (OPC) definiert, das mindestens folgende Informationen enthält (Fig. 14):
- den Operationsbefehl (OPC.C) für einen oder mehrere Sicherheitsapplikationen,
- die Adresse für die betreffende Sicherheitsapplikation über den Datenübertragungsblock (OPC.A)
- die Anzahl der Bytes (OPC.S) des Informationsfeldes in Bezug auf eine Sicherheitsapplikation, die über einen erweiterten Datenübertragungsblock übermittelt wird, wobei diese Anzahl (OPC.S) mindestens der Feldlänge (OPC) entspricht.
Die Adresse (OPC.A) berücksichtigt auch den Anschluss, über den auf die Sicherheitsapplikation zugegriffen werden kann. Die langen Nachrichten werden durch Segmente konstanter Länge (OPC.S) übertragen, mit Ausnahme eines letzten Segments, das auf mehreren kürzeren erweiterten Datenübertragungsblocks verteilt ist. Diese Methode ermöglicht es auch, die Gleichmäßigkeit der Erfassungsfrequenz der Eingabeinformation zu gewährleisten.
Die Fig. 15 bis 18 stellen eine besondere Implementierung der Struktur der mit Hilfe der Fig. 13 und 14 oben beschriebenen Datenübertragungsblocks dar.
Fig. 15 stellt den von einer herkömmlichen Maus ausgesandten Datenübertragungsblock dar. Dieser Datenübertragungsblock umfasst drei Bytes, wobei die stärksten Bits nicht verwendet werden. Diese Bits werden verwendet, um die erweiterten Datenübertragungsblocks anzugeben.
Ausgehend von diesem Datenübertragungsblock stellt Fig. 16 die Struktur eines erweiterten Datenübertragungsblocks dar, dessen Identifikationsfeld (FID) den Eingabeblock übernimmt und bei 1 das stärkste Bit seines ersten Bytes anordnet. So erfasst der Driver der Vorrichtung den erweiterten Datenübertragungsblock und analysiert das vierte Byte, das dem Kontrollfeld (OPC) für die Sicherheitsinformation entspricht. Das fünfte Byte (DLEN = m) gibt die Länge der Antwort (RPL) einer Applikation SAM in Bytes an, und zwar alleine oder in Verbindung mit einem weiteren in den vorhergehenden Bytes verfügbaren Binärfeld, beispielsweise die stärksten Bits der Bytes 2 und 3. Das Kontrollfeld (CRC) umfasst (n) Bytes.
Die Fig. 17 und 18 stellen die Struktur des ersten bzw. fünften Datenübertragungsblocks der erweiterten Datenübertragungsblocks dar, die die Antwort einer Sicherheitsapplikation in mehreren aufeinanderfolgenden Segmenten für den Parameter OPC.S = 8 übertragen, eine Antwort (RPL) zu 32 Bytes und eine (CRC) auf 16 Bits. Das Feld (OPC.S) gibt dem Driver der Vorrichtung die Anzahl von Bytes des Informationsfeldes über eine Sicherheitsapplikation an, die zu dem Eingabeblock hinzugefügt wurden, mit Ausnahme des letzten Blocks. Die Eingabeblocks und die erweiterten Datenübertragungsblocks können auch alternierend sein.
Die Erfindung ist im vorhergehenden als nicht einschränkendes Beispiel beschrieben. Es versteht sich, dass der Fachmann in der Lage ist, verschiedene Varianten auszuführen, ohne deshalb über den Rahmen der Erfindung, wie in den zugehörigen Ansprüchen definiert, hinauszugehen.

Claims

1. Vorrichtung für bedingten Zugriff, bestimmt zur Verwendung in Verbindung mit einer elektronischen Hostanlage, bestehend aus einem Peripheriegerät zur Dateneingabe durch Betätigung von Tasten mit mindestens einem Anschluss für Karte mit Mikroschaltung, dadurch gekennzeichnet, dass die außerdem die für Benutzer geeigneten Datenerfassungsmittel für die typischen persönlichen Informationen eines vertraulichen Benutzercodes enthält, und dadurch, dass die genannten persönlichen Informationen lokal mit den in der Karte mit Mikroschaltung (5) gespeicherten Informationen verglichen werden, damit eine Information, welche an die elektronische Hostanlage weitergeleitet wird, ohne dass die genannten persönlichen Informationen in die elektronische Hostanlage gelangen, den Zugriff des Benutzers freigibt oder ablehnt.

2. Vorrichtung für bedingten Zugriff nach Anspruch 1, dadurch gekennzeichnet, dass die für einen Benutzer geeigneten Datenerfassungsmittel für persönliche Informationen aus einer Tastatur für die Eingabe eines digitalen Identifikationscodes bestehen oder aus einem Bildschirm mit einer sensiblen Zone für die Eingabe einer persönlichen Information von Hand.

3. Vorrichtung für bedingten Zugriff nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Datenerfassungsmittel für die persönlichen Informationen aus einem Sensor für die Erfassung eines biometrischen Identifikationssignals bestehen, wie zum Beispiel ein Bildsensor für Fingerabdrücke und/oder ein Bildsensor für den Augenhintergrund und/oder ein akustischer Sensor verbunden mit einer Einrichtung zur Stimmerkennung.

4. Vorrichtung für bedingten Zugriff nach

einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass sie eine Tastatur (6) zur Eingabe der persönlichen Informationen und/oder ein Displaymittel für die Kontrolle der Transaktion umfasst.

5. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass die Datenerfassungsmittel für die persönlichen Informationen in einem Mittel bestehen, das geeignet ist, die Anzeige auf dem Bildschirm der Hostanlage mit einer virtuellen Tastatur mit grafischen Zeichen zu bewirken, deren Anordnung zufallsbedingt bei jeder Aktivierung des genannten Mittels variiert, dass die Eingabe der persönlichen Informationen durch die Betätigung der Tasten mit grafischen Zeichen und durch Bestätigung der Cursorposition auf dem gewünschten grafischen Zeichen erfolgt, und dass die Verarbeitung der Eingabe- und Bestätigungsinformationen auf dem virtuellen Bildschirm ausschließlich in der Vorrichtung für bedingten Zugriff vorgenommen wird.

6. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass das Datenerfassungsmittel für die persönlichen Informationen aus einem Dateneingabemodul und der Digitalisierung der Benutzerstimme bestehen.

7. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass sie Mittel zur Stimmsynthese und akustischen Reproduktion für die Kontrolle des Vorgangs enthält.

8. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass die Datenerfassungsmittel für die persönlichen Informationen in einer Touch-Screen- Fläche zur Eingabe (11) besteht, wobei auf der Berührungsfläche die Darstellung der Tastatur erscheint.

9. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass sie eine ständig funktionierende Zeituhr aufweist und Mittel, um an das Peripheriegerät digitale Daten mit Datumsangabe zu übermitteln, die eine Datensequenz in Bezug auf die Autorisierung enthalten, die anhand der in der Karte mit Mikroschaltung (5) gespeicherten Daten und der durch den Benutzer eingegebenen Daten errechnet wurde, sowie eine von der Uhr generierte Datensequenz.

10. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass sie Mittel umfasst, mit deren Hilfe zusammen mit einer Hostanlage auf Online-Netzen alle oder Teile der nachstehenden gesicherten Transaktionen ausgeführt werden können, wobei eine elektronische Geldkarte oder eine Kreditkarte verwendet wird: a) Auszahlung, b) Rückzahlung, c) Annullierung des Vorgangs, d) Auswahl der Währung, und/oder alle oder Teile der folgenden, gesicherten Transaktionen unter Verwendung einer eingegebenen elektronischen Geldkarte: e) Laden einer elektronischen Geldkarte über ein Bankkonto, f) Übertragung des Guthabens einer elektronischen Geldkarte auf eine andere elektronische Geldkarte, h) eine elektronische Geldkarte mit einem Betrag belasten und einer Kreditkarte einen Betrag gutschreiben.

11. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass sie die Mittel dafür enthält, mit denen sie mit Hilfe der eingegebenen elektronischen Geldkarte alle oder einen Teil der folgenden Vorgänge unabhängig und/oder zusammen mit einer Hostanlage durchführen kann: a) Aktuelles Guthaben oder Saldo überprüfen, b) zuletzt erfolgte Transaktionen oder das Journal lesen, c) Elektronische Geldkarte sperren, d) Identifikationscode ändern.

12. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass sie die Mittel enthält, um Transaktionen zwischen den finanziellen Anwendungen durchzuführen, die auf ein und derselben Karte mit Mikroschaltung resident sind.

13. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass sie Mittel enthält, zu denen eine elektronische Geldkartenanwendung gehört, und dass diese Mittel es ermöglichen, alle oder einen Teil der folgenden Vorgänge zwischen Karten auszuführen, die nacheinander in denselben Anschluss gesteckt werden: a) Übertragung des Guthabens einer elektronischen Geldkarte auf eine andere elektronische Geldkarte, b) Übertragung des Guthabens einer elektronischen Geldkarte auf das Gerät selbst, c) einer elektronischen Geldkarte einen Betrag gutschreiben oder sie belasten und denselben Wert einer Kreditkarte gutschreiben oder sie damit belasten, d) Vorgang annullieren.

14. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass die genannten Mittel mit der Anwendung für elektronische Geldkarte in einer herausnehmbaren Karte mit Mikroschaltung (5) enthalten sind.

15. Vorrichtung für bedingten Zugriff nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass sie außerdem eine wirksame Oberfläche zur Digitalisierung durch Zeiger und/oder Berührung enthält, sowie eine Anzeige, bei der die wirksame Oberfläche und die Anzeige über einander erscheinen.

16. Verfahren der Zugriffssicherung für eine Hostanlage, wobei eine Vorrichtung für bedingten Zugriff nach mindestens einem der vorgenannten Ansprüche benutzt und eingesetzt wird, dadurch gekennzeichnet, dass mindestens einige Funktionen der genannten Hostanlage erst nach Eingabe einer persönlichen Information durch den Benutzer zugänglich sind, die einer auf einer Karte mit Mikroschaltung gespeicherten Information entsprechen, und dass die Prüfung auf Übereinstimmung der persönlichen Information mit der auf der Karte mit Mikroschaltung gespeicherten Information in einem Peripheriegerät vorgenommen wird, das ein mit der Hostanlage verbundenes Lesegerät für Karten mit Mikroschaltung enthält, ohne dass die persönliche Information auf das Hostgerät weitergeleitet wird.

17. Verfahren für gesicherte Informatiktransaktionen mit einem Vergleichsschritt zwischen einer persönlichen Benutzerinformation und den in der Karte mit Mikroschaltung enthaltenen Daten, wobei eine Vorrichtung für bedingten Zugriff nach mindestens einem der Ansprüche 1 bis 15 benutzt und eingesetzt wird, dadurch gekennzeichnet, dass der Prüfschritt in der genannten Vorrichtung für bedingten Zugriff erfolgt und eine Schutzbarriere gegen Informatikmissbrauch bildet.

18. Verfahren für die Administration und Ausführung der Sicherheitsapplikationen in einem interaktiven elektronischen Gerät, das mit einem Peripheriegerät für die Steuerung sichtbarer Objekte eines grafischen Benutzerinterface entsprechend einem Kommunikationsprotokoll versehen ist, dadurch gekennzeichnet, dass das Kommunikationsprotokoll eine Verlängerung für die Sicherheitsapplikationen enthält, und dadurch, dass das Verfahren in dem Peripheriegerät einen lokalen Verarbeitungsschritt zur Benutzeridentifikation durch einen persönlichen Code enthält, der ausschließlich mit den genannten Mitteln in das Peripheriemittel eingegeben wird, und Sicherheitsapplikationen, die auf einer Karte mit Mikroschaltung gespeicherte persönliche Daten nutzen, wobei die Karte mit Mikroschaltung in einen in der Peripherie angeordneten Anschluss eingegeben wird, ohne dass dieser Code in die genannte interaktive elektronische Anlage gelangt.

19. Verfahren nach einem der Ansprüche 16 bis 18, dadurch gekennzeichnet, dass die Informationen und Befehle im Rahmen des genannten Kommunikationsprotokolls in Form von Datenübertragungsblocks (Frames) übermittelt werden, die eine Gruppe von Feldern umfassen, welche jeweils aus einer codierten Sequenz mit einer festgelegten Anzahl von Bits bestehen, wobei jeder Datenübertragungsblock ein Identifikationsfeld (FID) und mindestens eines der folgenden Felder umfasst:

- Feld für die Eingabeinformation

- Feld für die Information über gesicherte Mittel.

20. Verfahren nach Anspruch 19, dadurch gekennzeichnet, dass das Feld für die Information über die gesicherten Mittel alle oder einen Teil der folgenden Felder in der genannten Reihenfolge enthält:

- Kontrollfeld (OPC),

- Feld zur Angabe der Nachrichtenlänge der Sicherheitsapplikation (DLEN),

- Feld, das die ganze oder einen Teil der Nachricht der eigentlichen Sicherheitsapplikation enthält (CLG) oder (RPL),

- Feld zur Vollständigkeitskontrolle der genannten Nachricht (CRC)

21. Verfahren nach Anspruch 20, dadurch gekennzeichnet, dass das Kontrollfeld (OPC) mindestens die folgenden Informationen enthält:

- den Operationsbefehl (OPC.C) für einen oder mehrere Sicherheitsapplikationen,

- die Adresse für die betreffende Sicherheitsapplikation über den Datenübertragungsblock (OPC.A),

- die Anzahl der Bytes (OPC.S) des Informationsfeldes in Bezug auf Sicherheitsapplikation, die über einen erweiterten Datenübertragungsblock (extended frame) übermittelt wird, wobei diese Anzahl (OPC.S) mindestens der Feldlänge (OPC) entspricht.

22. Verfahren nach den Ansprüchen 16 bis 21, dadurch gekennzeichnet, dass die Anwendung zur Distribution der Sicherheitsapplikation (30) einen Lizenzzähler (LCNT) für die Kontrolle der Mehrfachübertragung derselben Sicherheitsapplikation innerhalb der Grenzen einer vordefinierten Anzahl von Installationen oder Lizenzen enthält.

23. Verfahren nach den Ansprüchen 18 bis 22, dadurch gekennzeichnet, dass der Übertragungsvorgang der Sicherheitsapplikation zwischen lokalen oder entfernten gesicherten Mitteln alle oder einen Teil der folgenden Schritte enthält:

- Identifizierung des Initiators der Übertragung,

- Gegenseitige Authentifizierung der betreffenden gesicherten Mittel,

- Gesicherte Kopie des Applikationscodes auf die Zieleinrichtung,

- Bestätigung der Kopie,

- Löschen der Sicherheitsapplikation in den Quelleinrichtungen.

24. Verfahren nach Anspruch 23, dadurch gekennzeichnet, dass der Identifizierungsschritt des Initiators der Übertragung darin besteht, dass eine Sicherheitsapplikation in einer der genannten gesicherten Mittel für Speicherung, Administration und Ausführung der Sicherheitsapplikation (27) oder der Distributionsanwendung der Sicherheitsapplikation (30) den Initiator der Übertragung durch einen persönlichen Code identifiziert, der nur mit den Mitteln des genannten Peripheriegerätes eingegeben wird, und ohne dass der Code in die genannte interaktive, elektronische Anlage gelangt.

25. Verfahren nach Anspruch 24, dadurch gekennzeichnet, dass der Schritt der Ungültigmachung der Sicherheitsapplikation in den Quellmitteln darin besteht, dass der Code gelöscht und die Ressourcen freigegeben werden mit Ausnahme der Distributionsanwendung der Sicherheitsapplikation (30), bei der nur der Übertragungszähler (LCNT) um eine Einheit verringert wird.

26. Verfahren nach einem der Ansprüche 16 bis 25, dadurch gekennzeichnet, dass der Treiber des Peripheriegerätes die Eingabeinformation an eine Anwendersoftware weiterleitet und gleichzeitig die Nachrichtenübermittlung an dieselbe oder eine andere gleichzeitig aktive Anwendersoftware und ihre Sicherheitsapplikation sicherstellt.

27. Verfahren für die Zugriffssicherung an einer Hostanlage nach Anspruch 16, dadurch gekennzeichnet, dass die Hostanlage an die Vorrichtung für bedingten Zugriff Informationen über die laufende Transaktion übermittelt, dass diese Informationen durch Stimmsynthese übersetzt werden, und dass die Bestätigung der Transaktion durch das Aussprechen eines Wortes oder einer festgelegten verbalen Wendung des Inhabers der in die Vorrichtung eingegebenen Karte mit Mikroschaltung erfolgt.