DE69809292T2

DE69809292T2 - Verfahren und vorrichtung zum behandeln vertraulicher kodewörter

Info

Publication number: DE69809292T2
Application number: DE69809292T
Authority: DE
Inventors: Claude Meggle
Original assignee: GRP DES CARTES BANCAIRES CB PA
Current assignee: GRP DES CARTES BANCAIRES CB PA
Priority date: 1997-12-31
Filing date: 1998-12-30
Publication date: 2003-07-17
Anticipated expiration: 2018-12-31
Also published as: CA2316818A1; ES2186249T3; EP1044435B1; FR2773250B1; FR2773250A1; DE69809292D1; DK1044435T3; PT1044435E; EP1044435A1; WO1999035621A1; ATE227454T1

Description

Die Erfindung betrifft das Gebiet der Vorrichtungen mit Codes und der Verfahren zur Handhabung von Codes. Genauer betrifft die Erfindung das Gebiet von Systemen mit vertraulichen Zugangscodes, insbesondere die Vorrichtungen und Verfahren zur Sicherung des Zugangs zu bestimmten Operationen wie etwa Transaktionen, insbesondere Geldtransaktionen.
Zahlreiche Sicherheitsfunktionen verwenden vertrauliche Codes. Dieser numerische Code, typischerweise mit 2 bis 12 Ziffern, zusammen mit einem Identifikationsprofil des berechtigten Inhabers des Codes, gestattet es dem Inhaber bestimmte gesicherte Funktionen zu benutzen, und nur die Kenntnis des Codes ermöglicht die Freigabe der Funktionen.
Die Verbreitung dieses Authentifizierungsmittels, insbesondere in der Kombination von Codes mit Mikroprozessor Karten, bringt die Ausbreitung von Angriffen mit sich, bei denen der Inhaber des Codes durch die Bedrohung dazu gezwungen ist, seinen Code preiszugeben.
Es wurden Lösungen gesucht, diese Art von Angriffen zu verhindern. So beschreibt das Dokument "Alert pin for personal banking terminals" (IBM Disclosure Bulletin, Band 36, Nr. 5, 1993, Seiten 309-312) ein Verfahren und eine Vorrichtung zur Handhabung von Geheimcodes, die es durch die Verwendung eines Hilfecodes erlauben, im Falle einer betrügerischen Benutzung einen Alarm auszulösen, ohne den Betrüger davon in Kenntnis zu setzen (siehe auch USA- 5354974).
Ein Ziel der Erfindung ist es, diese Art von Vorrichtungen und Verfahren zu vereinfachen, während gleichzeitig die Risiken minimiert werden, denen der Inhaber eines Codes ausgesetzt ist, wenn er ein Opfer solcher Angriffe wird und wobei der Schutz der zu schützenden Funktionen aufrechterhalten wird.
Daher schlägt die Erfindung ein Verfahren zur Verarbeitung von vertraulichen Codes in einem System mit gesicherten Funktionen vor, umfassend Schritte, die auf folgendem beruhen:
- Empfangen eines Codes;
- Verifizieren einer ersten Berechtigung, die durch einen ersten Code dargestellt ist, zum Zugreifen auf eine erste Funktion;
- Gestatten des Zugriffs auf die erste Funktion, wenn die erste Berechtigung anerkannt wird;
- wenn die erste Berechtigung nicht anerkannt wird, Verwenden des Codes zum Verifizieren einer zweiten Berechtigung, die durch einen zweiten, vom ersten Code verschiedenen Code dargestellt ist, zum Auslösen mindestens einer zweiten Funktion, ohne die Tatsache zu offenbaren, daß der Code nicht erlaubt, die erste Berechtigung zu erhalten;
dadurch gekennzeichnet, daß der Schritt der Verifikation der zweiten Berechtigung Operationen umfaßt, die darauf beruhen, einen neuen Code durch eine zweite Transformation zu erhalten, die invers zu einer einfachen ersten Transformation ist, welche dem Inhaber des ersten Codes erlaubt, den zweiten Code aus dem ersten Code zu erhalten, und darauf, den Schritt des Verifizierens der ersten Berechtigung aufs Neue durchzuführen, um den neuen Code zu testen.
Durch die Erfindung kann das Opfer dem Aggressor einen zweiten Code preisgeben; durch das erfindungsgemäße Verfahren ist der zweite Code verschieden von einem ersten Code, der dazu berechtigt auf eine erste Funktion zuzugreifen; er hat demnach keinen Zugriff auf die erste Funktion, die geschützt bleibt; dieser zweite Code kann jedoch dazu berechtigen eine zweite Funktion auszulösen, die zur Täuschung dienen kann, mit dem Ziel, den Aggressor von seinem Plan auf die erste Funktion zuzugreifen abzubringen. Der von seinem Plan abgebrachte Aggressor wird nicht weiter versuchen sein Opfer zu bedrohen, für das somit die Risiken, denen es ausgesetzt ist, reduziert werden. Dennoch bleibt das Verfahren einfach anzuwenden, da der Verifikationsschritt der ersten Berechtigung für den Test des direkt in das System mit gesicherten Funktionen eingegebenen Codes und für den Test des nach der zweiten Transformation erhaltenen Codes gemeinsam ist.
Vorteilhafterweise ist die gemäß der Erfindung erste Funktion eine Banktransaktion.
Vorteilhafterweise lassen die Schritte des erfindungsgemäßen Verfahrens, die aus dem Verifizieren der ersten und zweiten Berechtigung bestehen, eine Mikroprozessor-Karte eingreifen.
Vorteilhafterweise wird die einfache erste Transformation des erfindungsgemäßen Verfahrens durch eine elementare Veränderung eines Zeichens des ersten Codes realisiert.
Vorteilhafterweise umfaßt das erfindungsgemäße Verfahren außerdem einen lnvalidierungsschritt, falls der Schritt der Verifikation der ersten Berechtigung in mehr als einer bestimmten Anzahl von Versuchen ohne Erfolg geprüft wurde.
Vorteilhafterweise besteht die zweite Funktion des erfindungsgemäßen Verfahrens daraus, eine Nachricht anzuzeigen, die aus mehreren Nachrichten zufällig ausgewählt wird und die darauf hinweist, daß der Zugriff auf die erste Funktion nicht möglich ist, ohne jedoch anzugeben, daß der Code nicht derjenige ist, der den Erhalt der ersten Berechtigung erlaubt.
Vorteilhafterweise ist die einfache zweite Transformation des erfindungsgemäßen Verfahrens eine Funktion von auf der Mikroprozessor-Karte zugreifbaren Parametern.
Entsprechend einem anderen Aspekt ist die Erfindung eine Vorrichtung mit vertraulichen Codes zur Kontrolle des Zugriffs auf gesicherte Funktionen. Vorteilhafterweise umfaßt diese Vorrichtung
- Mittel zum Empfangen eines Codes
- Mittel zum Verifizieren einer, durch einen ersten Code dargestellten ersten Berechtigung zum Zugreifen auf eine erste Funktion;
- Mittel zum Erlauben des Zugriffs auf die erste Funktion, wenn die Berechtigung anerkannt wird; und
- Mittel zum Verwenden des Codes, wenn der Zugriff auf die erste Funktion verweigert wird, zum Verifizieren einer zweiten Berechtigung, die durch einen zweiten, vom ersten Code verschiedenen Code dargestellt ist, um mindestens eine zweite Funktion auszulösen, ohne die Tatsache zu offenbaren, daß der Code nicht erlaubt, die erste Berechtigung zu erhalten;
und die dadurch gekennzeichnet ist, daß die Mittel zum Verifizieren der zweiten Berechtigung Operationen erlauben, die darauf beruhen, einen neuen Code durch eine zweite Transformation zu erhalten, die invers zu einer einfachen ersten Transformation ist, welche dem Inhaber des ersten Codes erlaubt, den zweiten Code aus dem ersten Code zu erhalten, und darauf, den Schritt des Verifizierens der ersten Berechtigung aufs Neue durchzuführen, um den neuen Code zu testen.
Vorteilhafterweise ist die erfindungsgemäße Vorrichtung ein Terminal für Bankkarten.
Vorteilhafterweise wird die erfindungsgemäße Vorrichtung zum Sichern einer Banktransaktion verwendet.
Vorteilhafterweise lassen die Schritte, die aus dem Verifizieren der ersten und zweiten Berechtigungen bestehen, ein digital gespeichertes Benutzerprofil eingreifen.
Vorteilhafterweise lassen die Mittel der erfindungsgemäßen Vorrichtung zum Verifizieren der ersten und zweiten Berechtigungen eine Mikroprozessor- Karte eingreifen.
Vorteilhafterweise wird die einfache erste Transformation der erfindungsgemäßen Vorrichtung durch eine elementare Veränderung eines Zeichens des ersten Codes realisiert.
Vorteilhafterweise umfaßt die erfindungsgemäße Vorrichtung außerdem Mittel zur Invalidierung, die in Gebrauch genommen werden, falls die erste Berechtigung in mehr als einer bestimmten Anzahl ohne Erfolg geprüft wurde.
Vorteilhafterweise ist die zweite Funktion der erfindungsgemäßen Vorrichtung durch Mittel realisiert, welche eine Nachricht anzeigen, die unter mehreren Nachrichten zufällig ausgewählt wird und die darauf hinweist, daß der Zugriff auf die erste Funktion nicht möglich ist, ohne jedoch anzugeben, daß der Code nicht derjenige ist, der den Erhalt der ersten Berechtigung erlaubt.
Vorteilhafterweise ist die einfache zweite Funktion der erfindungsgemäßen Vorrichtung eine Funktion von auf der Mikroprozessor-Karte zugreifbaren Parametern.
Die Erfindung wird besser verständlich mit Hilfe der folgenden detaillierten Beschreibung und der beigefügten Zeichnungen, bei denen
- Fig. 1 ein Diagramm ist, das schematisch die wichtigsten Einheiten zeigt, die eine bestimmte Vorrichtung zur Umsetzung der Erfindung bilden; und
- Fig. 2 eine Zusammenfassung der Gesamtheit der Schritte eines Beispiels einer Umsetzung des erfindungsgemäßen Verfahrens ist.
In einer vorteilhaften, jedoch nicht einschränkenden, Ausführungsform der erfindungsgemäßen Vorrichtung, ist diese ein Geldautomat. Wie in Fig. 1 dargestellt, umfaßt dieser in gängiger Weise eine Zentraleinheit 1, die mit einem Lesegerät 2 für Bankkarten 10 Informationen austauscht und behandelt, und eine Tastatur 3 (oder jede andere interaktive Eingabevorrichtung) zum Steuern eines Ausgabemechanismus 4 für Geldscheine, das Lesegerät 2 für Bankkarten 10 und die Erzeugung von auf einem Bildschirm 5 dargestellten Nachrichten. Die Behandlung der Informationen und die Steuerung der Mechanismen durch die Zentraleinheit 1 entsprechend der erfindungsgemäßen Vorrichtung stützt sich auf den Austausch mit einer Speichereinheit 6.
Eine Karte 10 ist mit einem Mikroprozessor ausgestattet. Dieser Mikroprozessor gehört zu einem Profil des Inhabers, der berechtigt ist einen ersten Code zu besitzen.
Der Inhaber besitzt außerdem einen zweiten Code, der als Hilfecode verwendet wird, in einer Weise, die später erläutert wird.
Der Benutzer besitzt also zwei Codes. Der erste Code ist sein üblicher vertraulicher Code, der zum Zugreifen auf eine erste Funktion berechtigt, im vorliegenden Fall, für das hier beschriebene Beispiel, eine Geldtransaktion in der Art einer automatischen Geldscheinausgabe.
Der zweite Code ist ein Hilfecode. Er kann an Stelle seines vertraulichen Codes von einem Benutzer preisgegeben werden, der von einem Aggressor bedroht wird.
Dieser zweite Code ist leicht zu merken und wird aus dem ersten Code durch eine einfache erste arithmetische Transaktion erhalten.
Vorzugsweise unterscheidet sich der zweite Code vom ersten Code nur durch eine Ziffer, wobei diese Ziffer vorteilhafterweise nur um plus 1 oder minus 1 gegenüber der Ziffer desselben Rangs des ersten und zweiten Codes verändert wird.
Vorzugsweise wird außerdem die Vorrichtung gemäß der Erfindung entsprechend des folgenden Verfahrens umgesetzt, das mit Bezug auf Fig. 2 beschrieben wird.
Wenn ein Benutzer eine erste Funktion 180 zu erhalten wünscht, im vorliegenden Fall die Ausgabe von Geldscheinen durch die erfindungsgemäße Vorrichtung, führt er seine Karte 10 in das Lesegerät 2 ein und er gibt einen Code auf der Tastatur 3 ein.
Die Zentraleinheit 1 beginnt dann am Beginn 100 eine Testprozedur mit den aufeinanderfolgenden Schritten wie unten beschrieben.
Es folgt ein Schritt zum Auslesen des Benutzerprofils und zur Reinitialisierung 105 des Zählers für die Anzahl der Eingaben des Codes.
Ein Indikator 110 wird erzeugt, der anzeigt, daß der Code noch nicht transformiert wurde.
Es folgt dann der Schritt der Erfassung 115 des Codes.
Der Code wird durch einen Codetest 120 zur Verifizierung einer ersten Berechtigung getestet.
Wenn der Test 120 ein negatives Resultat ergibt, entspricht der an der erfindungsgemäßen Vorrichtung eingegebene Code nicht dem im Besitz des Benutzers befindlichen ersten Code, das heißt seinem vertraulichen Code. Es wird daraufhin ein erster Indikatortest 130 durchgeführt. Wenn der Indikator anzeigt, daß der Code noch nicht transformiert wurde, veranlaßt die Zentraleinheit 1 einen Test der zweiten Berechtigung und führt eine Ableitung 140 einer zweiten Transformation durch, invers zu einer einfachen ersten Transformation, die es dem Inhaber eines ersten Codes ermöglicht einen zweiten Code (sein Hilfecode) aus dem ersten Code zu erhalten.
Ein Indikator 145 wird erzeugt, der anzeigt, daß die Ableitung 140 ausgeführt wurde.
Dieser durch die Ableitung 140 erhaltene Code wird dazu verwendet den Schritt der Verifizierung der ersten Berechtigung auf der Ebene des Codetests 120 zu wiederholen. Wenn nach der Ableitung 140 der erhaltene Code immer noch nicht dem ersten Code (üblicher vertraulicher Code) entspricht, war der am Beginn 100 eingegebene Code nicht der zweite Code (Hilfscode). Es kann sich zum Beispiel um einen Eingabefehler des Benutzers handeln. Das Verfahren wird fortgeführt, indem der erste Indikatortest 130 wieder ausgeführt wird. Diesmal detektiert der Indikatortest 130 jedoch, daß bereits eine zweite Berechtigung getestet wurde (T = 1). Das Verfahren wird deshalb mit einer Behandlung für falschen Code 150 fortgeführt, ähnlich solchen Behandlungen, wie sie Fachleuten bekannt sind. Genauer wird ein Test der Anzahl der Eingaben des Codes 190 durchgeführt. Wenn diese Anzahl zum Beispiel gleich 3 ist, wird ein Invalidierungsschritt 200 ausgeführt, der das Verfahren beendet 210. Wenn diese Anzahl kleiner als 3 ist, wird der Benutzer gefragt, ob er einen Abbruch 220 des Verfahrens wünscht. Wenn dies der Fall ist, wird das Verfahren beendet 210, wenn nicht muß der Code wieder erfaßt werden nachdem der Indikator 110 reinitialisiert wurde.
Falls der Codetest 120 ein positives Resultat liefert, wird ein zweiter Test 160 des Indikators ausgeführt. Falls der Indikator anzeigt, daß der Code nicht transformiert wurde, hat der Benutzer Zugriff auf die geschützte Funktion 180 (zum Beispiel die Ausgabe von Geldscheinen). Falls der Indikator anzeigt, daß der Code bereits transformiert wurde, hat der erfolgreich durch den Test der ersten Berechtigung gegangene Code zuvor die Ableitung 140 erfahren. Der am Beginn 100 des Verfahrens eingegebene Code war demnach der Hilfecode. Das Verfahren wird dann durch eine zweite Funktion 170 fortgeführt, im vorliegenden Fall eine Hilfetransaktion 170, die eine Täuschungsfunktion sein kann.
Die zweite Funktion 170 entspricht in dem hier beschriebenen Beispiel einer Hilfetransaktion, die mehrere Lösungen umfassen kann.
Eine Lösung kann aus dem Anzeigen einer Nachricht auf dem Bildschirm 3 bestehen, die aus mehreren Nachrichten zufällig ausgewählt wird und die darauf hinweist, daß der Zugriff auf die erste Funktion 180 nicht möglich ist, ohne jedoch anzugeben, daß der Code nicht derjenige ist, der den Erhalt der ersten Berechtigung erlaubt.
Die Nachricht kann zum Beispiel vom Typ "Transaktion zur Zeit nicht verfügbar" oder "Guthaben nicht ausreichend" sein oder eine beliebige andere der gängigen Nachrichten, die eine Betriebsstörung eines Geldautomaten oder eine Fehlfunktion des Inhaberkontos anzeigen.
Entsprechend einer anderen Lösung wird die normale Prozedur der Geldausgabe eingeleitet, zum Beispiel durch die Frage welcher Betrag gewünscht wird; wenn dann der Benutzer eine Quittung wünscht, wird jedoch eine Störung simuliert und der angeforderte Betrag wird nicht ausgegeben.
Entsprechend einer anderen Lösung wird ein Betrag ausgegeben, der jedoch limitiert ist, zum Beispiel auf den Betrag der minimal ausgegeben werden kann.
Außerdem gestattet die einfache zweite Transformation 140 aus dem zweiten Code (Hilfecode) den ersten Code (üblicher vertraulicher Code) wiederzuerlangen. Vorteilhafterweise ist diese einfache zweite Transformation 140 variabel, zum Beispiel als Funktion von auf der Mikroprozessor-Karte zugänglichen Parametern. Zum Beispiel kann für ein bestimmtes Bankinstitut die zweite Transformation 140 aus dem Inkrementieren der Ziffer des zweiten Rangs des Codes um 1 bestehen, während für ein anderes Bankinstitut die Transformation daraus besteht, die Ziffer des letzten Rangs um eine Einheit zu vermindern. Die zweite Transformation 140 und insbesondere die Richtung der Veränderung einer Ziffer kann auch davon abhängen, ob die Nummer des "Bankcodes" (code de banque), des "Zweigstellencodes" (code de guichet) etc. gerade oder ungerade ist.
Eine Vielzahl anderer Möglichkeiten können in Betracht kommen.
Ein anderer Vorteil der Erfindung in ihrer oben beschriebenen Form ist es, daß mit Bezug auf den Mikroprozessor der Karte 10 nur ein einziger Code getestet werden muß. Die zur Zeit verwendeten Karten 10 sind demnach mit dieser Ausführungsform der Erfindung kompatibel und es ist in keiner Weise erforderlich, die bereits im Umlauf befindlichen Karten 10 auszutauschen.
Es versteht sich dennoch, daß es möglich ist Karten 10 zu verwenden, die es gestatten den ersten Code und den zweiten Code unabhängig voneinander und ohne die Transformation 140 auszuführen zu testen, ohne sich von der Idee der Erfindung zu entfernen.
Es versteht sich außerdem, daß obenstehend für die detaillierte Beschreibung das Beispiel der Vorrichtungen von der Art eines Geldautomaten verwendet wurde, daß die Erfindung sich jedoch genauso auf Terminals zum Bezahlen per Bankkarte sowie auf jede Art von Systemen mit gesicherten Funktionen 180 anwenden läßt, wie bestimmte Computervorrichtungen, bestimmte militärische Einrichtungen, industrielle Einrichtungen etc.
Anstatt den eingegebenen Code in Kombination mit einer Mikroprozessor- Karte 10 zu testen, um auf Systeme mit gesicherten Funktionen 180 zuzugreifen, ist es auch möglich, diesen in Kombination mit einem Benutzernahmen oder jedem anderen Element eines Benutzerprofils zu testen.
Die oben beschriebene zweite Funktion 170 ist eine Täuschungsfunktion, die eine Fehlfunktion des zu schützenden Systems simuliert. In anderen Fällen wären als zweite Funktion 170 auch die Auslösung eines Alarmsignals, die Emission eines Verteidigungsgases etc. möglich.

Claims

1. Verfahren zur Verarbeitung von vertraulichen Codes in einem System mit gesicherten Funktionen (180), umfassend Schritte, die auf folgendem beruhen:

- Empfangen eines Codes;

- Verifizieren einer ersten Berechtigung, die durch einen ersten Code dargestellt ist, zum Zugreifen auf eine erste Funktion (180);

- Gestatten des Zugriffs auf die erste Funktion (180), wenn die erste Berechtigung anerkannt wird;

- wenn die erste Berechtigung nicht anerkannt wird, Verwenden des Codes zum Verifizieren einer zweiten Berechtigung, die durch einen zweiten, vom ersten Code verschiedenen Code dargestellt ist, zum Auslösen mindestens einer zweiten Funktion (170), ohne die Tatsache zu offenbaren, daß der Code nicht erlaubt, die erste Berechtigung zu erhalten;

dadurch gekennzeichnet, daß der Schritt der Verifikation der zweiten Berechtigung Operationen umfaßt, die darauf beruhen, einen neuen Code durch eine zweite Transformation (140) zu erhalten, die invers zu einer einfachen ersten Transformation ist, welche dem Inhaber des ersten Codes erlaubt, den zweiten Code aus dem ersten Code zu erhalten, und darauf, den Schritt des Verifizierens der ersten Berechtigung aufs Neue durchzuführen, um den neuen Code zu testen.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die einfache erste Transformation durch eine elementare Veränderung eines Zeichens des ersten Codes realisiert wird.

3. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die auf dem Verifizieren der ersten und zweiten Berechtigung beruhenden Schritte ein digital gespeichertes Nutzerprofil eingreifen lassen.

4. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die zweite Funktion (170) auf dem Anzeigen einer Nachricht beruht, die aus mehreren Nachrichten zufällig ausgewählt wird und die darauf hinweist, daß der Zugriff auf die erste Funktion (180) nicht möglich ist, ohne jedoch anzugeben, daß der Code nicht derjenige ist, der den Erhalt der ersten Berechtigung erlaubt.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die erste Funktion (180) eine Banktransaktion ist.

6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß es außerdem einen lnvalidierungsschritt (200) umfaßt, wenn der auf der Verifizierung der ersten Berechtigung beruhende Schritt öfter als eine bestimmte Zahl ohne Erfolg getestet worden ist.

7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die auf dem Verfizieren der ersten und zweiten Berechtigung beruhenden Schritte eine Mikroprozessor-Karte (10) eingreifen lassen.

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, daß die einfache zweite Transformation (140) eine Funktion von auf der Mikroprozessor- Karte (10) zugreifbaren Parametern ist.

9. Vorrichtung zur Kontrolle des Zugriffs auf mit Code gesicherte Funktionen (180), umfassend:

- Mittel zum Empfangen eines Codes;

- Mittel zum Verifizieren einer, durch einen ersten Code dargestellten ersten Berechtigung zum Zugreifen auf eine erste Funktion (180);

- Mittel zum Erlauben des Zugriffs auf die erste Funktion (180), wenn die Berechtigung anerkannt wird; und

- Mittel zum Verwenden des Codes, wenn der Zugriff auf die erste Funktion (180) verweigert wird, zum Verifizieren einer zweiten Berechtigung, die durch einen zweiten, vom ersten Code verschiedenen Code dargestellt ist, um mindestens eine zweite Funktion (170) auszulösen, ohne die Tatsache zu offenbaren, daß der Code nicht erlaubt, die erste Berechtigung zu erhalten;

dadurch gekennzeichnet, daß die Mittel zum Verifizieren der zweiten Berechtigung Operationen erlauben, die darauf beruhen, einen neuen Code durch eine zweite Transformation (140) zu erhalten, die invers zu einer einfachen ersten Transformation ist, welche dem Inhaber des ersten Codes erlaubt, den zweiten Code aus dem ersten Code zu erhalten, und darauf, den Schritt des Verifizierens der ersten Berechtigung aufs Neue durchzuführen, um den neuen Code zu testen.

10. Vorrichtung nach Anspruch 9, dadurch gekennzeichnet, daß die einfache erste Transformation durch eine elementare Veränderung eines Zeichens des ersten Codes realisiert wird.

11. Vorrichtung nach einem der Ansprüche 9 und 10, dadurch gekennzeichnet, daß sie zum Sichern einer Banktransaktion verwendet wird.

12. Vorrichtung nach einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, daß die zweite Funktion (170) durch Mittel realisiert ist, welche eine Nachricht anzeigen, die unter mehreren Nachrichten zufällig ausgewählt wird und die darauf hinweist, daß der Zugriff auf die erste Funktion (180) nicht möglich ist, ohne jedoch anzugeben, daß der Code nicht derjenige ist, der den Erhalt der ersten Berechtigung erlaubt.

13. Vorrichtung nach einem der Ansprüche 9 bis 12, dadurch gekennzeichnet, daß sie ein Terminal für Bankkarten ist.

14. Vorrichtung nach einem der Ansprüche 9 bis 13, dadurch gekennzeichnet, daß sie außerdem Invalidierungsmittel umfaßt, die in Gebrauch genommen werden, wenn die erste Berechtigung öfter als eine bestimmte Anzahl ohne Erfolg getestet worden ist.

15. Vorrichtung nach einem der Ansprüche 9 bis 14, dadurch gekennzeichnet, daß die Mittel zum Verifizieren der ersten und zweiten Berechtigung eine Mikroprozessor-Karte (10) eingreifen lassen.

16. Vorrichtung nach Anspruch 15, dadurch gekennzeichnet, daß die einfache zweite Transformation (140) eine Funktion von auf der Mikroprozessor-Karte (10) zugreifbaren Parametern ist.