DE69801679T2

DE69801679T2 - Gesichertes speicherverwaltungsverfahren

Info

Publication number: DE69801679T2
Application number: DE69801679T
Authority: DE
Inventors: Philippe Brun; Charles Coulier
Original assignee: Gemplus SA
Current assignee: Gemplus SA
Priority date: 1997-11-07
Filing date: 1998-11-02
Publication date: 2002-06-20
Anticipated expiration: 2018-11-03
Also published as: DE69801679D1; FR2770918B1; US6662283B1; EP1029312B1; CN1285941A; ES2164460T3; AU1038599A; CA2309243A1; WO1999024944A1; EP1029312A1; FR2770918A1; JP2001523029A

Description

Diese Erfindung betrifft ein gesichertes Verwaltungsverfahren eines Speichers, insbesondere eines Speichers einer Chipkarte in Verbindung mit einem Terminal. Sie könnte jedoch ebenfalls für alle anderen Speichertypen gelten. Die Erfindung ist besonders sinnvoll, wenn es für die Verwaltung der Sicherheit des Speichers erforderlich ist, darauf zu achten, dass die Speicherungskapazität des Speichers bestehen bleibt. Das Hauptproblem, das es zu lösen gilt, ist demnach die Speicherbelegung des implementierten Systems, um die Dateien zu schützen.
Die Erfindung wird insbesondere beschrieben für den Anwendungsfall einer Chipkarte. Sie ist jedoch gänzlich auf andere Bereiche übertragbar. Es ist bekannt, insbesondere im Bereich der Chipkarte, die Sicherheit einer Transaktion zwischen einen Betriebssystem und Dateien auf verschiedene Modi zu organisieren, auf die im späteren Verlauf des Texts näher eingegangen wird. Man kann derzeit davon ausgehen, dass es Schutzmodi mit Geheimcodes, Authentifizierung oder Sicherung der Meldungen gibt. Im übrigen gibt es mehrere Verarbeitungstypen, denen die Dateien unterzogen werden können. Hauptsächlich können sie gelesen werden. Sie können ebenfalls geschrieben und gelöscht werden. Auch kann man die Erstellung oder das Löschen einer Datei in Betracht ziehen. Eine Datei kann des weiteren gänzlich ungültig und danach wieder rehabilitiert werden. Bei Applikationen des Typs elektronische Geldbörse, bei denen die Datei einen Geldbetrag darstellt, kann dieser Betrag abgebucht oder gutgeschrieben werden. Außer diesen sieben Funktionen kann man weitere Funktionen vorsehen. Wenn also bei einer Applikation Chipkarten-Geldbörse Abbuchungs- oder Gutschrift-Tränsaktionen geplant sind, kann man eine Ablesefunktion der Bilanz aller vorherigen Abbuchungs- und Gutschrift-Transaktionen vorsehen, um einen Saldo zu erstellen. Im gleichen Bereich kann man ebenfalls begrenzte Abbuchungstransaktionen vorsehen: die Abbuchung ist nur bis zu einem Grenzbetrag gestattet.
In der folgenden Ausführung, um die Erläuterung klarer zu gestalten, und weil eine derartige Vorstellung im übrigen einem bevorzugten und häufigsten Gebrauch entspricht, beschränkt man sich auf drei Sicherheitsmodi und sieben Funktionen, die Änderungen an den Dateien bewirken können.
Bei der Konzeption eines Betriebssystems oder im allgemeinen eines Verwaltungssystems eines Speichers ist es gemäss dem Stand der Technik vorgesehen, dass jede Datei einem Dateibeschreiber zugeordnet ist. Bevor es in eine Datei eingreift, liest das Betriebssystem oder das Verwaltungssystem den Inhalt des Beschreibers und beschränkt sich bei seinen Aktionen auf die Vorgaben des Dateibeschreibers. Im Bereich der Mikroinformatik besteht das Verwaltungssystem aus einer Reihe von Softwares. Im Bereich der Chipkarten wird das entsprechende Betriebssystem in Hardware-Form realisiert, um zu verhindern, dass ein Betrüger durch Abänderung ihrer Beschaffenheit den ganzen aufgebauten Schutzmodus ändern kann.
Bei der Konzeption eines Betriebssystems, wobei jede Datei für jede betrachtete Funktion (sieben) gemäss den betrachteten Modi (drei) geschützt werden könnte, ist die Anzahl der Speicherworte, die ein Dateibeschreiber enthalten muss, um allen Eventualitäten zu entsprechen, hoch. Bei dem genannten Beispiel beträgt diese Anzahl 21 (3 · 7). Geht man davon aus, dass man in einer Chipkarte bis zu etwa zwanzig Dateien hat, so ist die für die Erstellung des allgemeinen Beschreibers erforderliche Anzahl von Speicherworten hoch. Bei dem Beispiel wären es 420. Ordnet man jedem dieser Speicherworte einen Byte zu, so muss man bei einem Speicher mit einer Größe von etwa 1 Kilobyte fast die Hälfte dieser Größe für den Dateibeschreiber vorsehen. Das ist viel zu viel.
In einer Chipkarte ist jedes gespeicherte Informationselement eine Datei, ob es sich dabei um den Geheimcode, eine Gutschriftinformation, eine Abbuchungsinformation, eine Identität der Karte, eine Seriennummer der Karte, usw. handelt. Das Problem der Minimierung der Größe der Beschreiber ist besonders ausgeprägt im Bereich der Chipkarten, denn wenn sich die Größe des Speicher erhöht, werden auch die physikalischen Abmessungen des Chips selbst größer. Da aber ein Chip in eine Karte eingeschlossen ist, ist er mechanischen Beanspruchungen durch den Träger unterworfen. Er kann häufig gebogen werden, Flexionen ausgesetzt sein. Der Chip kann schließlich zerbrechen. Er zerbricht um so leichter desto größer er ist. Im übrigen ergibt sich daraus ein hoher Preis für die Komponente und für den Einschluss.
Die Erfindung, die sich zur Aufgabe gestellt hat, die zu große Belegung der Dateibeschreiber in einem Speicher zu vermeiden, ist besonders interessant im Bereich der Chipkarten, Sie ist jedoch stets interessant, wenn es sich darum handelt, den unnütz belegten Platz zu reduzieren.
Um diese Probleme zu lösen, wurde gemäss dem Stand der Technik in Betracht gezogen, festgeschriebene Betriebssysteme zu entwickeln: d. h., die einer gegebenen Applikation gewidmet sind (FR-A-2 628 555). Der Nachteil einer derartigen Lösung besteht darin, dass die gewählte Lösung nach ihrer Definition später nicht mehr abgeändert werden kann. Wenn man irgend etwas ändern möchte, muss das gesamte Betriebssystem erneuert werden, Andererseits stößt sich die Bereitstellung eines flexiblen Betriebssystem für die Benutzer an der Speicherbelegung der Dateibeschreiber. Erfindungsgemäß wurde vorgesehen, dieses Speicherbelegungsproblem durch die Feststellung zu beheben, dass wenn bestimmte Dateien für bestimmte Transaktionen präzise Sicherheitsmodi erfordern, andere gar keine brauchen. Erfindungsgemäß wurde diese Besonderheit genutzt, um Beschreiber mit einer Speicherbelegung von variablem Volumen herzustellen. Es wird gezeigt, dass man mit dem erfindungsgemäßen Verfahren mindestens 50% Platz spart, und in den meisten Fällen mindestens 80%.
Erfindungsgemäß unterteilt man den Beschreiber in zwei Teile. Der erste Teil ist den Sicherheitsmodi vorbehalten. Er hat eine feste Länge. Seine Belegung mit Modusspeicherworten ist proportional zur Anzahl der betrachteten Modi. Ein zweiter Teil betrifft die Funktionsspeicherworte. Die Funktionsspeicherworte sind im zweiten Teil nur vorhanden, wenn sie im ersten Teil abgerufen werden.
Der Zweck der Erfindung ist demnach ein gesichertes Verwaltungsverfahren eines Speichers, bei dem
- man Dateien des Speichers Dateibeschreiber zuordnet,
- diese Dateibeschreiber Sicherheitsmodus- Informationen enthalten, die beachtet werden müssen, um auf die in den Dateien registrierten Daten Verarbeitungsfunktionen anzuwenden,
- und bei dem man die Sicherheit der Dateien des Speichers entsprechend dem Inhalt dieser Dateibeschreiber verwaltet, dadurch gekennzeichnet, dass
- man die Sicherheitsmodi in M verschiedene Typen und die Funktionen in N verschiedene Typen unterteilt,
- man im Beschreiber einer jeden Datei eine erste Gruppe von M Modusspeicherworten erstellt, wobei die Länge in Bits der Modusspeicherworte mindestens der Anzahl N von verschiedenen Funktionstypen entspricht,
- die Funktionen nach einer Reihenfolge geordnet sind, wobei die Bitreihen in den Modusspeicherworten dieser Reihenfolge entsprechen,
- die Bits der Modusspeicherworte aktiviert oder deaktiviert werden, je nachdem ob bei der Anwendung einer Funktion auf eine von einem Beschreiber betroffene Datei ein Sicherheitsmodus implementiert werden muss oder nicht.
Die Erfindung wird dank der nachfolgenden Beschreibung und der sie begleitenden Figuren besser verstanden. Sie dienen nur zur Information und schränken die Erfindung in keiner Weise ein. Die Figuren zeigen:
- Fig. 1: eine nicht begrenzende Darstellung der Anwendung der Erfindung auf eine Transaktion zwischen einer Chipkarte und einem Terminal;
- Fig. 2: die Architektur eines vorzugsweise in dem Chip enthaltenen Betriebssystems, das für die Umsetzung des erfindungsgemäßen Verfahrens verwendet wird;
- Fig. 3a bis 3c: Darstellungen von im Beispiel der Erfindung betrachteten Sicherheitsmodi;
- Fig. 4: ein Organigramm von im erfindungsgemäßen Verfahren umgesetzten Aktionen.
Fig. 1 zeigt eine Chipkarte 1 mit einem Chip 2, der mit einem Lesegerät 3 in Verbindung tritt. Das Lesegerät 3 ist ein im allgemeinen mit einem Bildschirm 4 und einer Tastatur 5 ausgestattetes Terminal, um einem Bediener zu ermöglichen, einen Bedarf zu befrieden. Beispielsweise ist das Lesegerät 4 über Verbindungsmittel 6 (beispielsweise eine Funkverbindung) mit einer Zentraleinheit 7 verbunden, um Informationen auszutauschen. Diese Zentraleinheit ist zum Beispiel der Verwaltungsdienst einer Bank. Bei einem anderen Beispiel ist das Terminal 3 mit einem Drucker 8 verbunden, der das Ergebnis einer vom Bediener ausgelösten finanziellen Transaktion ausdruckt. Oder das Terminal 3 steht in Verbindung mit einem Produkt- oder Service-Automaten 9, beispielsweise mit einem Getränkeautomaten.
Fig. 2 zeigt die Architektur des Chips 2 und ihres Betriebssystems. Der Chip 2 umfasst hauptsächlich in einer integrierten Schaltung einen Mikroprozessor 10, der über einen Daten-, Adressen- und Steuerbus 11 mit einem Eingangs-/Ausgangs-Interface 12 verbunden ist. Das Interface 12 dient dazu, mit dem Lesegerät 3 in Verbindung zu treten. Der Mikroprozessor 10 steht ebenfalls über den Bus 11 mit einer Dateieinheit 13 in Verbindung, deren Benutzung von einer Beschreibereinheit 14 bedingt ist. Die Dateien 13 können alle bisher betrachteten Dateien umfassen. Sie können ebenfalls eine Datei 15 mit Geheimcodes betreffen, deren Benutzung später beschrieben wird, und die hier nur aus Vereinfachungsgründen der Erklärung genannt ist. Der Chip umfasst außerdem eine Einheit von in den Programmspeichern 16 und 17 gespeicherten Programmen, die jeweils aus einem Funktionsspeicher für die Verarbeitung der Dateien und einem Sicherheitsmodusspeicher für die Anwendung dieser Funktionen auf die Dateien bestehen. Diese Trennung zwischen dem Speicher 16 und dem Speicher 17 wird nur aus Vereinfachungsgründen der Erklärung benutzt. In der Praxis kann der Mikroprozessor 10 mit einem einzigen Programmspeicher ausgestattet sein, wobei sämtliche Programme sogar in einem einzigen Hauptprogramm kompiliert sind.
Das System funktioniert wie folgt: die Programme werden aus einem Speicher 16 und 17 in einen Arbeitsspeicher 18 heruntergeladen, gemeinsam mit Informationen aus den Dateien 13 bis 15, die verarbeitet werden sollen. Der Mikroprozessor 10 nimmt an diesen Daten die von den Programmen vorgesehenen Verarbeitungen vor.
Im Bereich der Chipkarte werden die Dateien 13 bis 15 vorzugsweise in einem Speicher eines programmierbaren und löschbaren, nicht flüchtigen Typs abgelegt, während die Programme der Speicher 16 und 17 in nur programmierbaren Speichern abgelegt worden sein können. Aus Weiterentwicklungsgründen können diese jedoch ebenfalls programmierbar und löschbar sein.
Fig. 3a bis 3c zeigen Schutzmodi, die willkürlich und jeweils Geheimcode, Authentifizierung und Sicherung der Meldungen genannt werden. Diese Schutzmodi sind im übrigen Programmen, jeweils C5, AU und SM, 19 bis 21, des Modusspeichers 17 zugeordnet. Wie bereits eingangs erwähnt, gibt es drei Sicherheitsmodi.
Unter den auf die Dateien anwendbaren Funktionen unterscheidet man jeweils in einem Beispiel diese Funktionen 22 bis 28, d. h. Lesen, Schreiben und Löschen, Löschen und Erstellen, Ungültig machen, Rehabilitieren, Abbuchen und Gutschreiben. Diesen Funktionen kann man andere Funktionen hinzufügen, wie beispielsweise die Funktion 29 Lesen der Bilanz und die Funktion 30 begrenzte Abbuchung. In der nachfolgenden Beschreibung begnügt man sich jedoch aus den im Folgenden erwähnten Gründen mit den sieben Funktionen 22 bis 28.
Die Funktionen sowie die Modi entsprechen in Wirklichkeit Befehlsfolgen, die vom Mikroprozessor 10 in den Arbeitsspeicher 18 herunterzuladen sind, um sie auszuführen und so zur Ausführung der von ihnen dargestellten Formalität beizutragen.
Anstatt jede der Funktionen getrennt zu identifizieren, kann man sie in Funktionsgruppen zusammenfassen, die Benutzerprofilen entsprechen, die von den entsprechenden Funktionen auszuführen sind. In diesem Fall bildet man vorzugsweise sieben Gruppen G1 bis G7. Diese Gruppierungen sollen nur die Verwaltung vereinfachen, insbesondere die Speicherbelegung durch die Dateibeschreiber reduzieren. Das Lesen der Bilanz könnte beispielsweise der Gruppe G1 zugeordnet werden. Das bedeutet, dass wenn für eine Gruppe ein erfindungsgemäßer Schutzmodus vorgesehen ist, dieser Schutzmodus, im Fall der Gruppe G1, sowohl für das Lesen einer Information als auch für das Lesen der Bilanz gilt. So kann die Funktion 30 begrenzte Abbuchung beispielsweise der Gruppe G6 Abbuchung zugeordnet werden. Das bedeutet, dass der dem Modus G6 zugeordnete Schutzmodus, der für die Gruppe G6 gilt, sowohl für eine Abbuchungstransaktion als auch für eine begrenzte Abbuchungstransaktion gilt.
Fig. 3a zeigt einen Schutzmodus mit Geheimcode. In diesem Fall wird in einer Operation 31 vom Lesegerät ein Geheimcode CS an die Karte gesendet und in einer Operation 32 überprüft, ob der empfangene Geheimcode mit dem übereinstimmt, was von der Karte erwartet wird. Je nach dem Ergebnis der Operation 32, führt der Sicherheitsmodus zu einer Ablehnung 33 oder zu einer Annahme 34 der Funktion und zu einer Ausführung derselben. Der Geheimcode kann verschlüsselt oder nicht versendet werden. In der Praxis wird der Geheimcode über die Verbindung übertragen, an der das Interface 12 angeschlossen ist. Im weiteren Verlauf dieser Beschreibung, wenn von Verschlüsselung die Rede ist, handelt es sich um eine Transformation einer Zeichenkette in eine andere Zeichenkette gemäss eines der Karte und dem Lesegerät bekannten Modus. Im Gegensatz dazu versteht man unter Chiffrierung einen Modus, der nur einem dieser beiden Organe bekannt ist.
Beim Authentifizierungsprozess gemäss Fig. 3b findet man etwa die gleichen Operationen wieder, außer dass vor dem Versand 36 eines Geheimschlüssels des Kartenlesegeräts der Versand 35 eines Zufalls von der Karte an das Lesegerät (oder umgekehrt) stattfindet.
Dann wird der Zufall in einer Operation 36 vom Lesegerät chiffriert. Die Chiffrierung erfolgt anhand des Geheimschlüssels des Lesegeräts. Prinzipiell erfolgt eine derartige Operation nur einmal: bei Beginn einer Transaktionssitzung zwischen einer Chipkarte und einem Lesegerät.
Auf Fig. 3c umfasst der Sicherungsmodus der Meldung eine Chiffrierung der Meldung durch das Lesegerät in einer Operation 37. Während einer Operation 38 werden die Meldung in Klarschrift, oder zumindest ein Teil dieser Meldung in Klarschrift, und die chiffrierte Meldung an die Karte gesendet. In einer Operation 39 entschlüsselt die Karte die Meldung und vergleicht sich mit dem Teil in Klarschrift, den sie erhalten hat. Der Vergleich während einer Operation 40 bewirkt wie zuvor die Ablehnung 33 oder die Annahme 34. Die Besonderheit dieses Sicherungsmodus besteht darin, dass er bei jedem Austausch zwischen der Karte und dem Lesegerät stattfindet. Die Meldung kann einen Datenteil und einen Befehlsteil umfassen, wobei der verschlüsselte Teil die Gesamtheit oder einen Teil der einen oder der anderen bzw. der einen und der anderen dieser Befehle oder Daten sein kann. Im übrigen kann die Operation ebenfalls umgekehrt stattfinden, d. h. von der Chipkarte zum Lesegerät anstatt vom Lesegerät zur Chipkarte.
Ein Schutzmodus im Sinne der Erfindung ist demnach die Folge der vom Prozessor 10 ausgeführten Befehle, um jede der vorherigen Prüfungen auszulösen.
Nach der Erklärung eines Schutzmodus wird jetzt die Funktionsweise des erfindungsgemäßen Verfahrens erläutert.
Die Dateibeschreiber 14 umfassen erfindungsgemäß Beschreiber 41 bis 43, die jeweils den Dateien 44 bis 46 zugeordnet sind. Jeder Beschreiber, also der der Datei 44 zugeordnete Beschreiber 41, umfasst drei Modusspeicherworte 47 bis 49. Er umfasst die gleiche Anzahl von Modusspeicherworten wie die Anzahl von verschiedenen Schutzmodi. Hier wurden auf den Fig. 3a bis 3c drei davon beschrieben, wobei man jedoch mehr vorsehen könnte. Bei einem Beispiel sind die Modusspeicherworte Bytes, obwohl dies nicht erforderlich wäre. Jedes Speicherwort 47, jedes Byte, umfasst eine Bitanzahl, die zumindest der zu bezeichnenden Anzahl von Funktionen (oder Funktionsgruppen) entspricht. Es besteht daher eine enge Korrelation zwischen der Tatsache, eine Funktionsanzahl von weniger oder gleich acht (vorzugsweise von höchstens sieben) zu wählen, und der Tatsache, für die Modusspeicherworte Bytes zu nehmen.
Wenn die Funktionsanzahl größer ist, kann man für die Modusspeicherworte zwei Bytes nehmen, wobei man dann die Möglichkeit hat, bis zu sechzehn verschiedene Funktionstypen definieren zu können.
In der Regel ist jedes der Modusspeicherworte 47 bis 49 einem gegebenen Schutzmodus zugeordnet. So ist das Wort 47 dem Schutzmodus mit Geheimcode zugeordnet, der vom Programm 19 implementiert wird und auf Fig. 3a dargestellt ist, das Wort 48 ist dem Authentifizierungsmodus zugeordnet, der vom Programm 20 implementiert wird und auf Fig. 3b dargestellt ist, und das Wort 49 ist den vom Programm 21 geschützten und auf Fig. 3c dargestellten Meldungssicherungsmodus zugeordnet.
In jedem Modusspeicherwort sind die Bits so angeordnet, dass sie einer vorgegebenen Reihenfolge von Funktionen oder Funktionsgruppen 22 bis 28 entsprechen. Beispielsweise ist das Bit auf der rechten Seite eines jeden Worts 47 bis 49 der Funktion 22 zugeordnet, das in Linksrichtung darauffolgende Bit der Funktion 23 und so weiter, das siebte ist der Funktion 28 zugeordnet.
Bestimmte Bits der Modusspeicherworte werden in einen aktiven Zustand versetzt. Hier wurde dieser aktive Zustand mit der Präsenz einer 1 symbolisiert. Der inaktive Zustand entspricht einer binären Null, d. h. einem leeren Kasten. Die Präsenz einer 1 im ersten Bit rechts vom Speicherwort 47 des Beschreibers 41 bedeutet, dass die Datei 44, was die Operationen oder Funktionen der Gruppe G1, 22 (Lesen) anbetrifft, nach dem Geheimcodemodus 19 verarbeitet werden muss. Die Präsenz einer 1 im ersten Bit rechts vom Modusspeicherwort 48 bedeutet ebenfalls, dass die Datei 44, was die Funktionen der Gruppe G1, 22 (Lesen) anbetrifft, nach dem Authentifizierungsschutzmodus verarbeitet werden muss: Programm 20, Fig. 3b. So zeigt das Speicherwort 49 mit einer 1 im ersten Bit auf der rechten Seite an, dass die Datei 44 ebenfalls für die Leseoperationen der Gruppe G1, 22 durch eine Meldungssicherungsoperation geschützt werden muss.
Demzufolge müssen bei jedem Lesen der Datei 44 die drei Schutzmodi gestartet werden.
Das Wort 47 zeigt ebenfalls an, dass die Datei 44, was die Rehabilitationsoperation, Gruppe G5, 26 anbetrifft, durch den Geheimcodeschutzmodus verarbeitet werden muss. Das Wort 48 zeigt an, dass die Datei 44, was das Schreiben und Löschen, Gruppe G2 23 anbetrifft, durch den Authentifizierungsmodus verarbeitet werden muss. Das Speicherwort 49 zeigt an, dass die Datei 44, was das Löschen und die Erstellung, Gruppe G3 24, und das Ungültigmachen, Gruppe G4 25 anbetrifft, durch das Meldungssicherungsverfahren verarbeitet werden muss.
Anders ausgedrückt, jedes Mal, wenn der Prozessor 10 eine der im Speicher 16 vorhandenen Funktionen starten will, schaut er einerseits nach, zu welcher Funktionsgruppe diese Funktionen gehören (außer wenn sie individualisiert ist), und schaut andererseits in den Modusspeicherworten des Beschreibers nach, ob ein Bit im aktiven Zustand eines Rangs vorhanden ist, das der betrachteten Funktion entspricht. Beispielsweise ist für die Abbuchungs- und Gutschriftfunktionen 27 und 28 hier kein besonderer Schutzmodus vorgesehen. Die Ausführung der Abbuchungs- oder der Gutschriftfunktion kann normal gestartet werden. Wenn er demgegenüber jedoch die Präsenz eines aktiven Bits feststellt, muss der Prozessor die entsprechende Überprüfung starten.
Wie bereits erwähnt, umfassen alle Schutzmodi Chiffrierungs-, Entchiffrierungs- und Überprüfungsoperationen. Die Schlüssel dieser Chiffrierungen, Entchiffrierungen und Überprüfungen sind in der Praxis im Speicher 15 abgelegt. Sie könnten im Beschreiber abgelegt sein, aber das wäre nicht sinnvoll, denn ein Schlüssel ist normalerweise eine sehr große Einheit von Bits. Es ist beispielsweise bekannt, dass ein Chiffrierungsschlüssel bis zu 128 Bytes enthalten kann. Wenn eine derartige Überprüfung notwendig ist, umfasst der Beschreiber 41 eine Einheit 50 von Funktionsspeicherworten mit Referenzen auf im Speicher 15 enthaltenen Schlüsseln, und die implementiert werden müssen, um den gewünschten Schutzmodus zu starten.
Zunächst ist der Anordnungsmodus der Speicherworte 50 im Beschreiber 41 abhängig von der Anzahl und der Position der aktiven Bits in den Speicherworten 47 bis 49. So bezieht sich das erste in der Einheit 50 vorhandene Funktionsspeicherwort 51 auf das erste Bit im aktiven Zustand (das rechte Bit) des Speicherworts 47. Demzufolge bezieht sich dieses erste Funktionsspeicherwort 51 auf das Bit im aktiven Zustand in der Speicherzelle 52 des Speicherworts 47. Da sich das Speicherwort 47 auf den Geheimcodeschutzmodus bezieht, ist die im Funktionsspeicherwort 51 enthaltene Referenz eine Referenz des Typs Geheimcode. Da sie das erste Bit betrifft, bezieht sie sich auf die Gruppe G1 22. Aus diesem Grund trägt das Byte 51 die Referenz C5 G1. Das gleiche gilt für das Byte 53, wo sich das Speicherwort 53 auf das Bit 54 bezieht, das die Gruppe G5 26 betrifft. Die Gruppe 55 der Funktionsspeicherworte bezieht sich auf den Schutzmodus mit Geheimcode. Sie wird von einer Gruppe 56 von Funktionsspeicherworten gefolgt, die sich auf den Schutzmodus mit Authentifizierung bezieht, und von der Gruppe 57 von Funktionsspeicherworten, die sich auf den Schutzmodus mit Meldungssicherung bezieht.
In der Gruppe 56 beziehen sich die Speicherworte 58 und 59 auf die Bits 60 und 61 des Worts 48. In einer Gruppe 57 beziehen sich die Worte 62 bis 64 auf die Bits 65 bis 67 des Worts 49. Die Funktionsspeicherworte umfassen eine Referenz auf einen im betroffenen Schutzmodus zu benutzenden Schlüssel, um die Funktion auf die Daten der Datei anzuwenden, auf die sich der Beschreiber bezieht. In den jeweiligen Funktionsspeicherworten 51, 53, 58, 59, 62-64 ermittelt man eine einem Modus zugeordnete Referenz durch die jeweilige Übereinstimmung zwischen dem Platz unter den aktiven Modusbits 52, 54, 60, 61, 65-67 und dem Platz des Funktionsspeicherworts unter den Funktionsspeicherworten.
Man sieht, dass diese Vorgangsweise die Präsenz von drei Modusspeicherworten verlangt: der Worte 47, 48 und 49, und von sieben Funktionsspeicherworten, der Worte: 51, 53, 58, 59, 62, 63, 64. Insgesamt ergibt das 10 Worte, d. h. in dem bevorzugten Beispiel 10 Bytes, die mit den im Stand der Technik erwähnten 21 Worten bzw. 21 Bytes zu vergleichen sind. Die Ermittlung der Referenzen des Geheimcodes oder des Authentifizierungscodes oder des Meldungssicherungscodes erfolgt, indem man im Modusspeicherwort die Anzahl der aktiven Bits zählt und indem man den Funktionsspeicherworten, die der Reihenfolge der aktiven Bits der Modusspeicherworte folgen, in der Einheit 50 einen Rang zuweist.
Mit diesen Referenzen liest der Mikroprozessor 10 die Geheimcodes im Speicher 15, um dann seine Chiffrierungs-, Entchiffrierungs- und Überprüfungsaktionen durchzuführen.
Die Erfindung weist noch zwei Besonderheiten auf. Eine erste Besonderheit betrifft ein sogenanntes Fehlerbit 68. Dieses Bit kann eines der Bits eines der Bytes sein, die als Modusspeicherworte 47 bis 49 dienen, da man in einem Beispiel die Funktionen auf sieben begrenzt hat. Das Fehlerbit hat folgende Bedeutung. Wenn sich ein Modusbit bezüglich einer Funktionsgruppe im inaktiven Zustand befindet, gemäss vorstehender Beschreibung, ist die Implementierung der betroffenen Funktion frei. Das Fehlerbit ermöglicht, den Sinn dieses freien Worts zu modulieren. Wenn sich das Bit 68 effektiv auf null befindet, also in einem inaktiven Zustand, geht man davon aus, dass die Ausführung der Funktion effektiv frei ist. Sie kann ausgeführt werden. Wenn das Fehlerbit 68 sich jedoch im aktiven Zustand befindet, so bedeutet das, dass alle Funktionen, die nicht unter der Bedingung eines gegebenen Schutzmodus zugelassen sind, untersagt sind. Im vorliegenden Fall sind die Funktionen 1 und 5 vom Modus des Worts 47, die Funktionen 1 und 2 vom Modus des Worts 48 und die Funktionen 1, 3 und 4 vom Modus des Worts 49 betroffen. Demzufolge wären in diesem Beispiel nur die Funktionen 6 und 7 frei. Sie wären die einzigen, die ohne Sicherheit zugelassen oder, je nach Zustand 0 oder 1 des Fehlerbits 68, völlig untersagt wären.
Im übrigen kann jede Referenz 51, 53, ... auf einen Geheimcode über sieben Bits codiert werden. Das erste Bit 69 des Referenzworts ist dann ein Bestätigungsbit. Das Bestätigungsbit hat die gleiche Art von Konsequenzen wie das Fehlerbit. Je nach seinem Zustand, aktiv oder inaktiv, wird die Ausführung der Funktion einfach ablehnt, oder aber diese Ausführung der Funktion wird unter der Bedingung umgesetzt, dass der betroffene Schutzmodus erfolgreich ist.
So wird für die Datei 44, für die Lesefunktion (Funktionsgruppe G1, Programm 22, Bit 52), der Geheimcode des Funktionsspeicherworts 51, Ref. CS G1 verwendet, wenn das Bit 69 des Speicherworts 51 im inaktiven Zustand ist. Die Referenz wird jedoch nicht verwendet, die Datei 44 kann nicht gelesen werden, wenn sich das Bit 69 im aktiven Zustand befindet.
Fig. 4 zeigt eine Zusammenfassung der bisher beschriebenen Funktionen. Das erfindungsgemäße Verfahren beginnt mit der Ausführungsabfrage einer neuen Funktion, der Etappe 70. Nach dieser Etappe startet das Betriebssystem einen Test 71, um festzustellen, ob im Beschreiber 41 der betroffenen Datei 44 und für die betroffene Funktion ein Bit im aktiven Zustand vorhanden ist. Ist dies nicht der Fall, wenn es sich beispielsweise um eine Abbuchungs- oder Gutschriftfunktion handelt, stellt es mit einem Test 71 fest, welchen Wert das Fehlerbit 68 hat. Wenn das mit einem Test 72 getestete Fehlerbit aktiv ist, löst es eine Ablehnung 33 der Ausführung aus. Ist das Fehlerbit 68 jedoch nicht aktiv, wird die Ausführung der Funktion in der Etappe 73 vorgenommen.
Wenn in den Modusspeicherworten, den Worten 47 bis 49, für die betroffene Datei und Funktion ein aktives Bit vorhanden ist, sucht das Betriebssystem zunächst, welches Funktionsspeicherwort dem Schutzmodus entspricht. Das Betriebssystem zählt ganz einfach die aktiven Bits in den Worten 47, 48, 49, um bis zum Modusspeicherwort zu gelangen, das es betrifft. Mit dem so erhaltenen Rang sucht es in der Einheit 50 die Referenz auf den betroffenen Schutzmodus. In dieser Referenz untersucht es mit einem Test 74, ob das Bestätigungsbit 69 der Referenz aktiv ist. In diesem Fall bewirkt das Betriebssystem die Ablehnung 33 der Ausführung der geplanten Funktion. Im gegenteiligen Fall bewirkt es während einer. Operation 75 die Implementierung des gefundenen Schutzmodus. Die Implementierung dieses Schutzes kann wiederum von einem Misserfolg oder einem Erfolg gefolgt sein.
Die Implementierung des Schutzes umfasst eine Etappe, in der die in den Funktionsspeicherworten vorhandene Referenz als Adresse benutzt wird, um im Speicher 15 den Geheimcode, den Authentifizierungscode oder den Sicherungsschlüssel zu suchen, der für von der geplanten Überprüfungsoperation verlangte Chiffrierung oder Entchiffrierung benutzt werden muss.
Bei der Personalisierung der Dateien sind die Bits 68 und 69 im inaktiven Zustand. Wenn man sie dann nach Überprüfung der Übereinstimmung aktiv macht, kann man Funktionen ungültig machen, die man nicht mehr zulassen möchte. Beispielsweise bei einem Betrug mit der Karte kann das Betriebssystem vorsehen, diese Bits 68 oder 69 umzuschalten, um die Karte zu blockieren.
Bisher wurde angegeben, wobei die Anzahl der Modi gering, im allgemeinen drei Modi, und die Anzahl der Funktionen größer ist, dass man den Beschreiber vorzugsweise so organisieren sollte, dass er so viele Modusspeicherworte (obligatorisch) umfasst wie Modi und eine variable Anzahl von einbezogenen Funktionsspeicherworten. Es ist genauso gut möglich, so viele Funktionsspeicherworte zu erstellen (obligatorisch) wie auszuführende Funktionen und Modusspeicherworte immer dann zu erstellen, wenn die Konjunktion der beiden gerechtfertigt ist. Denn der sich besonders ergänzende Charakter der Unterprogramme 19 bis 21 und 22 bis 30 macht diesen Umtausch durchaus möglich. Im Klartext heißt das, wenn die Schutzmodi sich auch von den Funktionen unterscheiden, dass es in dieser Beschreibung möglich ist, Modus durch Funktion und Funktion durch Modus zu ersetzen, um das gleiche Ergebnis zu erhalten.

Claims

1. Gesichertes Verwaltungsverfahren eines Speichers (15-17), bei dem

- man Dateien (44) des Speichers Dateibeschreiber (41) zuordnet,

- diese Dateibeschreiber Sicherheitsmodus- Informationen (47-49) enthalten, die beachtet werden müssen, um auf die in den Dateien registrierten Daten Verarbeitungsfunktionen (22-29) anzuwenden,

- und bei dem man die Sicherheit der Dateien des Speichers entsprechend dem Inhalt dieser Dateibeschreiber verwaltet (40), dadurch

gekennzeichnet, dass

- man die Sicherheitsmodi in M verschiedene Typen (19-21) und die Funktionen in N verschiedene Typen (22- 28) unterteilt,

- man im Beschreiber einer jeden Datei eine erste Gruppe (47-49) von M Modusspeicherworten erstellt, wobei die Länge in Bits der Modusspeicherworte mindestens der Anzahl N von verschiedenen Funktionstypen entspricht,

- die Funktionen nach einer Reihenfolge (G1-G7) geordnet sind, wobei die Bitreihen (52-54) in den Modusspeicherworten dieser Reihenfolge entsprechen,

- die Bits der Modusspeicherworte aktiviert oder deaktiviert werden, je nachdem ob bei der Anwendung einer Funktion (G1) auf eine von einem Beschreiber betroffene Datei ein Sicherheitsmodus (47) implementiert werden muss oder nicht.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass

- man im Beschreiber einer jeden Datei eine zweite Gruppe (50) von Funktionsspeicherworten in variabler Anzahl erstellt, wobei die variable Anzahl der Funktionsspeicherworte der Anzahl der in den Modusspeicherworten gezählten aktiven Bits entspricht,

- wobei die Funktionsspeicherworte eine Referenz auf einen im betroffenen Sicherheitsmodus zu benutzenden Schlüssel (Ref. C5 G1) umfassen, um die Funktion auf die Daten der Datei anzuwenden, auf die sich der Beschreiber bezieht.

3. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass

- man in den Funktionsspeicherworten eine einem Modus zugeordnete Referenz ermittelt, durch Übereinstimmung zwischen dem Platz (52) unter den aktiven Modusbits in den Modusspeicherworten und dem Platz (51) des Funktionsspeicherworts in den Funktionsspeicherworten.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass

- man in einem Modusspeicherwort ein Fehlerbit (68) einfügt, um den Schutzmodus aller Funktionen zu ermitteln, für die kein Bit in einem Modusspeicherwort im aktiven Zustand ist.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass

- man in den Funktionsspeicherworten ein Bestätigungsbit (69) aufzeichnet, um die Implementierung des bestimmten Sicherheitsmodus auf die betroffene Datei zu gestatten oder nicht.

6. Verfahren nach den Ansprüchen 1 bis 5 gemeinsam, dadurch gekennzeichnet, dass man

- in einem Beschreiber die Existenz eines aktiven Modusbits für eine geplante Funktion sucht (71),

- wenn keiner vorhanden ist, den Wert des Fehlerbits testet (72) und die Ausführung der Funktion gemäss dem Wert des Fehlerbits gestattet (73) oder nicht (33),

- wenn einer vorhanden ist, den Wert des Bestätigungsbits der im Funktionsspeicherwort vorhandenen Schlüsselreferenz testet (74),

- je nach Wert des Bestätigungsbits entweder den Sicherheitsmodus vor der Anwendung (73) der Funktion auf die vom Beschreiber betroffene Datei implementiert (75) oder die geplante Anwendung ablehnt (33).

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass

- die Speicherworte Bytes sind.

6. Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass die Sicherheitsmodi die folgenden sind:

- entweder ein Modus (47) mit Versand, verschlüsselt oder nicht, eines Geheimcodes zwischen einer Chipkarte und einem Chipkarten-Lesegerät,

- oder ein Modus (48) mit vorherigem Versand, verschlüsselt oder nicht, eines Zufalls zwischen einer Chipkarte und einem Chipkarten-Lesegerät, gefolgt von einem Versand, verschlüsselt oder nicht, eines Geheimcodes zwischen dem Chipkarten-Lesegerät und der Karte,

- oder ein Modus (49) mit Versand, verschlüsselt oder nicht, zwischen einer Chipkarte und einem Chipkarten-Lesegerät einer Meldung, wovon ein Teil in Klartext und in einer von einem Geheimschlüssel chiffrierten Form übertragen wird.