DE19853730C2 - Verfahren und Vorrichtung zum Identifizieren und Behandeln von kritischen Chipkartenkommandos - Google Patents

Description

Die vorliegende Erfindung beschreibt ein Verfahren und eine Vorrichtung zum Identifizieren und Behandeln von kritischen Chipkartenkommandos (Kartenkommandos), die auf einer Chipkarte ausgeführt werden sollen.

Die meisten auf dem Markt verfügbaren Chipkartenleser haben ein einfaches Leserkommando, mit dessen Hilfe beliebige Kartenkommandos (APDUs) zur Karte gesendet werden können. In der Chipkarte wird das Kartenkommando ausgeführt und es wird eine Antwort an den Chipkartenleser zurückgesendet. Der Chipkartenleser sendet die Antwort der Chipkarte an die Anwendung (Fig. 1).

Bei manchen Anwendungen - insbesondere Zahlungsanwendungen - ist es wünschenswert, daß der Chipkartenleser bestimmte Kartenkommandos (kritische Kartenkommandos) nur nach Vorliegen definierter Bedingungen an die Chipkarte zur Ausführung weiterleitet. Dies gilt zum Beispiel für die Anwendungen zum elektronischen Abbuchen von Geld mittels einer Börsenchipkarte. Dies ist mit gewöhnlichen Chipkartenlesern derzeit nicht möglich, da sie nicht über eine derartige Funktionalität verfügen. Ist zum Beispiel der Chipkartenleser an einem PC angeschlossen, der seinerseits eine Verbindung zum Internet hat, ist es für einen Virus im PC stets möglich, den Chipkartenleser zu nutzen, um beliebige Kommandos zur Karte zu schicken und beliebige Transaktionen im Namen des Karteninhabers auszulösen.

Beispiele für solche Transaktionen können Zahlungsanweisungen oder sonstige Willenserklärungen (mittels digitaler Signatur) im Namen des Karteninhabers sein.

Anforderungen solcher Chipkartenanwendungen (zum Beispiel deutsches Signaturgesetz) verlangen jedoch bezüglich Mißbrauchsvermeidung, daß die dem Benutzer dargestellten Transaktionen den tatsächlich mit der Karte durchgeführten Transaktionen entsprechen. Diese Anforderungen können herkömmliche Chipkartenleser nicht erfüllen.

PCT WO 98/16908 beschreibt ein mobiles System zum Laden von Geld auf eine Chipkarte. Das System enthält ein mobiles Terminal, eine Öffnung zum Einführen einer Chipkarte, einen Mikroprozessor, ein Display, einen Speicher und einen Konnektor zum Herstellen einer Verbindung mit einem Bankcomputer.

Der Computer enthält Mittel zur Kommunikation mit der Chipkarte und dem Terminal.

Folgende Verfahrensschritte sind zum Laden von Geld auf die Chipkarte erforderlich:

• 1. Auswählen der Ladefunktion auf dem Terminal
• 2. Ladekommando wird zum Mikroprozessor des Terminals gesandt
• 3. Mikroprozessor fragt nach PIN über eine Nachricht an das Display
• 4. Die eingegebene PIN Nummer wird in der Chipkarte überprüft und im Falle der Korrektheit der PIN Nummer wird der Benutzer über eine Displayinformation aufgefordert, einen Betrag einzugeben
• 5. Der eingegebene Betrag wird anhand eines maximalen und minimalen Wertes verglichen. Der maximale Betrag wird durch Vergleich des maximal erlaubten Betrages für die jeweilige Chipkarte abzüglich des Betrages, der auf der Chipkarte ist, bestimmt.
• 6. Aufbau einer Verbindung mit der Bank
• 7. Laden des eingegebenen Betrages in die Chipkarte

US Patentschrift 5 742 756 beschreibt ein System und Verfahren, welche den Einsatz einer Smartcard voraussetzt, zur Durchführung von sicherheits-kritischen Operationen, die eine Benutzer-Autorisierung erfordern.

Hierzu ist die Smartcard derart programmiert, dass sie vor Ausführung der Operation eine Anfrage an die Smartcard- Lesevorrichtung sendet. Die Lesevorrichtung unterbricht die Kommunikation zwischen Computer und Smartcard bis der "security key" manuell eingegeben worden ist. Nach Eingabe des "security keys" wird die auszuführende Operation freigeschaltet und die Operation kann durchgeführt werden.

Alle Kartenkommandos werden unmittelbar ohne Prüfung an die Chipkarte oder Smartcard weitergegeben. Ein Programm in der Chipkarte oder der Smartcard führt das Kartenkommando nicht sofort aus, sondern sendet zuerst eine Anfrage an das Lesegerät zur manuellen Bestätigung der Ausführung des jeweiligen Kartenkommandos. Erst die Bestätigung führt zur Freischaltung und zur Durchführung des Kartenkommandos. Ein Nachteil dieser Ausführungsform liegt darin, dass dieses Verfahren/Vorrichtung zwangsläufig eine manuelle Bestätigung vom Benutzer voraussetzt. Damit ist der Einsatzbereich dieses Systems/Verfahrens auf Smartcards/Chipkarten- Lesegeräte mit Tastatur begrenzt.

Ein weiterer Nachteil dieser Erfindung liegt darin, dass der Speicherbereich von Smartcards/Chipkarten durch das Ablegen eines zusätzlichen Programms zur Weiterleitung der Kartenkommandos an den Kartenleser unnötig belegt wird.

Im übrigen erfordert die Implementierung dieser Erfindung eine Änderung der Smartcard-Struktur, was im Hinblick auf die Anzahl der auf dem Markt verfügbaren Smartcards/Chipkarten sehr teuer wird.

Es ist daher Aufgabe der vorliegenden Erfindung ein Verfahren und eine Vorrichtung bereitzustellen, das bestimmte Kartenkommandos (kritische Kartenkommandos) identifiziert und nur bei Vorliegen definierter Ereignisse zur Ausführung freigibt ohne daß die Chipkartenanwendung oder die Chipkarte selbst Einfluß auf dieses Verfahren nehmen muß bzw. kann.

Diese Aufgabe wird durch die Merkmale des Anspruchs 1 und 18 gelöst. Weitere vorteilhafte Ausführungsformen der vorliegenden Erfindung sind in den Unteransprüchen niedergelegt.

Der Chipkartenleser enthält vorzugsweise eine Vergleichsvorrichtung zur Identifizierung der kritischen Kartenkommandos. Eine andere Ausführungsform kann darin bestehen, dass die Vergleichsvorrichtung dem Chipkartenleser vor- oder nachgeschaltet ist. Die Vergleichsvorrichtung überprüft die auszuführende Kartenkommandos auf kritische Kartenkommandos und stellt sicher, daß kritische Kartenkommandos nur dann ausgeführt werden, wenn eine benutzerdefinierte Bedingung, z. B. das Drücken der Bestätigungstaste, eingetreten ist. Vorzugsweise werden zur Klassifikation in der Vergleichsvorrichtung - z. B. in einem EEPROM-Baustein - Templates mit den kritischen Kartenkommandos gehalten, gegen die jedes auszuführende Kartenkommando zu verglichen ist.

Die vorliegende Erfindung wird anhand mehrerer Ausführungsbeispiele in Verbindung mit Figuren näher beschrieben, wobei

Fig. 1 die Kommunikation zwischen Chipkartenanwendung, Chipkartenleser und Chipkarte nach dem Stand der Technik zeigt

Fig. 2 die erfinderische Filterfunktion innerhalb des Chipkartenlesers zeigt

Fig. 3 eine spezielle Ausführungsvariante der Filterfunktion nach Fig. 2 zeigt

Fig. 4 eine weitere Ausführungsvariante der Filterfunktion nach Fig. 2 zeigt

Fig. 5 eine weitere Ausführungsvariante der Filterfunktion nach Fig. 2 zeigt

Die Vorteile der vorliegen Erfindung liegen darin, daß der Chipkarterleser oder die Vergleichsvorrichtung (Filterfunktion) kritische Kommandos automatisch erkennt und nur bei Bestätigung durch den Benutzer zur Ausführung an die Chipkarte weitergibt.

Da das Vergleichsverfahren für die Chipkartenanwendung transparent durchgeführt wird, kann der Chipkartenleser jederzeit alternativ zu einem herkömmlichen Chipkartenleser eingesetzt werden.

Die vorliegende Erfindung definiert im Vorfeld kritische Kartenkommandos und lässt daher die unkritischen Kartenkommandos ohne Bestätigung durch den Benutzer durch. Auch die kritischen Kartenkommandos bedürfen nicht zwangsläufig einer manuellen Bestätigung.

Die Implementierung der vorliegenden Erfindung erfordert keine Änderung der Smartcard-Struktur, sondern nur der Lesevorrichtung. Lesevorrichtungen gibt es jedoch in viel geringerem Maß als Smartcards/Chipkarten.

Die Chipkartenanwendung muß keine Chipkartenleser spezifischen Kommandos verwenden und kann das Warten auf die Bestätigung sicherheitsrelevanter Kartenkommands auch nicht umgehen.

Einige Chipkartenleser haben Spezialkommandos, um Tasten/Display zu benutzen. Diese können benutzt werden, um eingegebenes Kartenkommando von dem Chipkartenleser abhängig von einer Benutzereingabe am Chipkartenleser modifizieren zu lassen, bevor es an die Karte geschickt wird oder um vor dem Schicken des Kartenkommandos ein Bestätigung zu verlangen.

Das erfinderische Grundprinzip besteht darin, daß vorzugsweise der Chipkartenleser eine Filterfunktion (Vergleichvorrichtung) enthält, die bestimmte, kritische Kartenkommandos identifiziert und sie solange aufhält (flüchtigen Speicher des Chiplesers), bis ein definiertes Ereignis, z. B. das Drucken einer Bestätigungstaste, eintritt, das die Ausführung des Kartenkommandos auf der Chipkarte freigibt. Die Klassifikation der Kartenkommandos als kritische Kommandos erfolgt vorzugsweise anhand von Templates, in der alle kritische Kartenkommandos festgehalten werden. Die Templates werden vorzugsweise im Chipkartenleser, zum Beispiel in einem nicht flüchtigen Speicher - einem EEPROM - gespeichert. Jedes Kartenkommando wird mit den kritischen Kartenkommandos verglichen, die im Template enthaltenen sind. Ist das Kartenkommando als kritisches Kartenkommando identifiziert, wird das Kartenkommando nur dann zur Karte gesendet, wenn der Karteninhaber zum Beispiel die Weitersendung des Kartenkommandos an die Chipkarte bestätigt. Hierbei kann aus Sicherheitsgründen jede Taste oder auch mehrere Tasten einzeln oder in Kombination als Bestätigungstaste definiert sein.

Fig. 2 beschreibt die Filterfunktion der vorliegenden Erfindung, insbesondere wie die eingehenden Kartenkommandos - sogenannte APDUs - mit den abgelegten Vergleichsmustern (kritischen Kartenkommandos/kritische APDUs) verglichen werden. Eine unter vielen Methoden zur Klassifikation wird im folgenden dargestellt. Zur Klassifikation enthält der Chipkartenleser im nichtflüchtigen Speicher eine Liste von Vergleichsmustern und dazugehörigen Masken für die kritischen APDUs. Die Aufgabe der Maske ist es festzulegen, welcher Bereich des Vergleichsmusters mit den ausführenden APDUs zu vergleichen sind. Jede Maske besteht zum Beispiel aus zwei Bytes Längenfeld und dann n Bytes Maske. Fig. 3 beschreibt eine spezielle Ausführungsform für Maske und Vergleichsmuster. Nur das erste und das dritte Byte sind für den Vergleich relevant. Durch die Maske wird in diesem Bereich das komplette zweite Byte ausgeblendet. Da die Länge der zu vergleichenden Daten auf 3 Bytes beschränkt ist, können auch alle Bytes ab dem vierten beliebige Werte haben. Es ist auch möglich, durch die Maske nur einzelne Bits auszublenden; dies ist nicht dargestellt. Jedes auf 1 gesetzte Bit der Maske repräsentiert ein zu prüfendes Bit im auszuführenden APDU. Sind alle Bits des Vergleichsmusters, die in der Maske auf 1 gesetzt sind, mit den Bits des auszuführenden Kartenkommandos identisch, so ist das Kartenkommando aufzuhalten. Anderenfalls kann das Kartenkommando unverändert zur Karte geschickt werden.

Eine spezielle Ausführungsform der vorliegenden Erfindung sieht vor, dass das Ausblenden von nicht relevanten Bereichen aus APDU und Vergleichsmuster durch bitweise logische UND-Verknüpfung mit der Maske erfolgt. Dadurch werden sowohl in APDU als auch Vergleichsmuster vor dem Vergleich die Bits in den nicht relevanten Bereichen auf 0 gesetzt, wodurch sich dort beim folgenden Vergleich keine Unterschiede ergeben.

Eine weitere Ausführungsform der vorliegenden Erfindung wird in Fig. 4 dargestellt. Hier werden Teile der kritischen APDUs auf dem Displays des Lesers angezeigt, z. B. der abzubuchenden Geldbetrag von der Chipkartenbörse, um eine weitere Kontrollmöglichkeit vorzusehen. Dies kann zum Beispiel dadurch implementiert werden, daß den entsprechenden Masken und Vergleichsmustern für die jeweiligen APDUs zusätzlicher Programmcode zugeordnet wird, der die visuelle Darstellung bestimmter Bereiche der APDUs übernimmt.

Der Chipkartenleser verhindert, daß kritische Kartenkommandos ohne Bestätigung durch den Benutzer die Karte erreichen können. Das Filtern der Nachrichten geschieht transparent für Anwendungen - alle Nachrichten werden mit Hilfe des gleichen Chipkarten-Leser-Befehls gesendet.

Fig. 5 beschreibt eine weitere Ausführungsvariante der vorliegenden Erfindung. Diese Ausführungsvariante sieht vor, daß auf den Chipkarten bereits Informationen über kritische APDUs enthalten sind, die zum Beispiel bei der Herstellung der Chipkarte auf die Chipkarte gebracht worden sind. Eine andere Möglichkeit kann darin bestehen, daß mit Hilfe eines Schlüssels kritische APDDUs auch nach Herstellung der Chipkarte aufgebracht werden können. Die APDUs sind in einer Datei bzw. Applets im nichtflüchtigen Bereich der Chipkarte abgespeichert und können über bestimmte Kartenkommandos ausgelesen, aber nicht verändert oder gelöscht werden. Beim Einstecken der Karte in den Leser liest der Leser Informationen über kritische APDUs von der Karte und ergänzt die Liste der Masken mit den dazugehörigen Vergleichsmustern um diese Informationen. Die kritischen APDUs mit deren Masken und dazugehörigen Vergleichsmustern werden im vorzugsweise im flüchtigen Speicher des Chipkartenlesers gehalten. Beim Herausziehen der Karte aus dem Leser werden diese Daten automatisch vom Leser gelöscht.

Claims (23)

1. verfahren zum Identifizieren und Behandeln von kritischen Kartenkommandos, wobei Kartenkommandos von einer Chipkartenanwendung erzeugt und zur Ausführung an eine Chipkarte gesendet werden, gekennzeichnet durch folgende Schritte:

• a) Senden eines Kartenkommandos einer Chipkartenanwendung zuerst zu einer Vergleichsvorrichtung, wobei die Vergleichsvorrichtung nicht Bestandteil der Chipkarte ist
• b) Vergleichen des Kartenkommandos auf Übereinstimmung mit definierten Vergleichsmustern zur Identifizierung von kritischen Kartenkommandos, wobei die Vergleichsmuster in der Vergleichsvorrichtung abgelegt sind
• c) Aufhalten eines kritischen Kartenkommandos in der Vergleichsvorrichtung
• d) Senden des kritischen Kartenkommandos nur bei Vorliegen eines definierten Ereignisses an die Chipkarte.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Vergleichsvorrichtung Bestandteil des Chipkartenlesers ist.

3. Verfahren nach Anspruch 1 dadurch gekennzeichnet, daß die Vergleichsvorrichtung dem Chipkartenleser entweder vor- oder nachgeschaltet ist.

4. Verfahren nach Anspruch 1 bis 3 dadurch gekennzeichnet, daß für jedes kritisches Kartenkommando ein identisches Vergleichmuster abgelegt ist.

5. Verfahren nach Anspruch 1 bis 4 dadurch gekennzeichnet, daß das Vergleichsmuster einen oder mehrere definierte Bereiche eines kritischen Kartenkommandos beschreibt.

6. Verfahren nach Anspruch 1 bis 5 dadurch gekennzeichnet, daß jedem Vergleichsmuster eine Maske zugeordnet wird, wobei die Maske festlegt, welche Bereiche des Vergleichsmusters mit welchen Bereichen des auszuführenden Kartenkommandos zu vergleichen sind.

7. Verfahren nach Anspruch 1 bis 6 dadurch gekennzeichnet, dass vor dem Vergleich sowohl APDU als auch Vergleichsmuster mit der Maske bitweise logisch UND verknüpft werden, um nicht relevante Bereiche des Kartenkommandos und Vergleichsmusters auszublenden.

8. Verfahren nach Anspruch 1 bis 7 dadurch gekennzeichnet, daß die Maske aus n-Bits besteht, wobei jedes auf 1 gesetzte Bit der Maske ein zu prüfendes Bit im Vergleichsmuster repräsentiert.

9. Verfahren nach Anspruch 1 bis 8 dadurch gekennzeichnet, daß Maske und Vergleichsmuster über die gleiche Anzahl von Bits verfügen.

10. Verfahren nach Anspruch 1 bis 9 dadurch gekennzeichnet, daß die Vergleichmuster Class und Instruction Byte eines Kartenkommandos erfassen.

11. Verfahren nach Anspruch 1 bis 9 dadurch gekennzeichnet, daß die Vergleichsmuster Class und Instruction Byte und nachfolgende Parameter Bytes eines Kartenkommandos erfassen.

12. Verfahren nach Anspruch 1 bis 11 dadurch gekennzeichnet, daß die Vergleichsmuster und/oder Vergleichsmuster mit ihren zugeordneten Masken im nichtflüchtigen Speicher der Vergleichsvorrichtung abgelegt werden.

13. Verfahren nach Anspruch 1 bis 12 dadurch gekennzeichnet, daß beim Herstellen der Chipkarte Vergleichmuster oder Vergleichsmuster mit ihren zugehörigen Masken im nichtflüchtigen Speicher der Chipkarte abgelegt werden und beim Aktivieren der Chipkarte im Chipkartenleser die auf der Chipkarte enthaltenen Vergleichsmuster und/oder Vergleichsmuster mit ihren zugehörigen Masken in den flüchtigen Speicher des Chipkartelesers oder der Vergleichsvorrichtung geladen werden.

14. Verfahren nach Anspruch 12 oder 13 dadurch gekennzeichnet, daß die Vergleichmuster und/oder Vergleichmuster mit ihren zugehörigen Masken in Dateien oder Applets im nichtflüchtigen Speicher der Chipkarte schreibgeschützt abgelegt werden.

15. Verfahren nach Anspruch 1 bis 14 dadurch gekennzeichnet, daß die durch das Vergleichsmuster identifizierten Daten eines Kartenkommandos auf einer Vorrichtung zur visuellen Darstellung von Informationen angezeigt werden.

16. Verfahren nach Anspruch 1 bis 15 dadurch gekennzeichnet, daß den Vergleichmustern und/oder den Vergleichsmustern mit den zugehörigen Masken zusätzlich Programmcode beigefügt ist, um die von den Vergleichsmustern identifizierten Daten eines kritischen Kartenkommandos auf einer Anzeigevorrichtung visuell darzustellen.

17. Verfahren nach Anspruch 1 bis 16 dadurch gekennzeichnet, daß das definierte Ereignis ein Bestätigen durch den Benutzer insbesondere durch das Drücken einer oder mehrerer Tasten der Tastatur des Chipkartenlesers ist.

18. Vorrichtung zum Identifizieren und Behandeln von definierten (kritischen) Kartenkommandos nach Anspruch 1 bis 17, enthaltend zumindest:

• a) eine nichtflüchtige Speichereinheit
• b) eine Liste mit kritischen Kartenkommandos, die in der nichtflüchtigen Speichereinheit ablegbar ist
• c) eine Vergleichsvorrichtung zur Identifizierung der kritischen Kartenkommandos aus den auszuführenden Kartenkommandos anhand der Liste, wobei die Vergleichsvorrichtung nicht Bestandteil der Chipkarte ist
• d) ein Bestätigungsvorrichtung zur Freigabe der Ausführung eines identifizierten kritischen Kartenkommandos,
• e) eine Kommunikationsvorrichtung zur Herstellung und Durchführung der Kommunikation zwischen Chipkartenanwendung und der Chipkarte.

19. Vorrichtung nach Anspruch 18 dadurch gekennzeichnet, daß die Kommunikationsvorrichtung ein Chipkartenleser ist.

20. Vorrichtung nach Anspruch 18 dadurch gekennzeichnet, daß die nichtflüchtige Speichereinheit Teil des Chipkartenlesers ist.

21. Vorrichtung nach Anspruch 18 oder 19 dadurch gekennzeichnet, daß die Vergleichsvorrichtung 18 Teil des Chipkartenlesers ist.

22. Vorrichtung nach Anspruch 18 oder 19 dadurch gekennzeichnet, daß die Bestätigungsvorrichtung Teil des Chipkartenlesers ist.

23. Vorrichtung nach Anspruch 22 dadurch gekennzeichnet, daß die Bestätigungsvorrichtung eine Tastatur ist.