-
Die vorliegende Erfindung betrifft ein Verfahren zum Durchführen einer Transaktion zwischen einem portablen Datenträger und einem Endgerät über einen kontaktlosen Datenkommunikationskanal sowie ein Endgerät und einen portablen Datenträger zum Durchführen eines solchen Verfahrens.
-
Seim Durchführen einer solchen Transaktion, insbesondere dann, wenn zum Durchführen der Transaktion keine Bestätigung seitens des Nutzers des Datenträgers erforderlich ist, wie beispielsweise beim kontaktlosen Bezahlen von Kleinbeträgen, können verschiedene Probleme auftreten.
-
Befinden sich mehrere portable Datenträger, beispielsweise Chipkarten, entsprechend eingerichtete Smartphones oder dergleichen, in Kommunikationsreichweite eines Endgeräts, beispielsweise eines Verkaufsautomaten, so kann nicht eindeutig festgestellt werden, welcher der Datenträger zum Durchführen der Transaktion vorgesehen ist.
-
Weiterhin besteht für einen Nutzer eines Datenträgers, welcher zum Durchführen einer bestätigungslosen und kontaktlosen Transaktion eingerichtet ist, stets die Gefahr eines so genannten Relais-Angriffs. Bei einem solchen Angriff wird dem Endgerät vorgetäuscht, ein – tatsächlich weit entfernter – Datenträger befände sich innerhalb der Kommunikationsreichweite des Endgeräts. Dazu kontaktiert ein Angreifer das Endgerät, z. B. den Verkaufsautomaten, mit einem geeigneten Angriffsdatenträger, welcher auch „Ghost” oder „Proxy” genannt wird, und leitet die mit dem Endgerät aufgenommene Datenkommunikation über eine geeignete Datenkommunikationsverbindung, vorzugsweise per Mobilfunk, zu einem Angriffslesegerät weiter, welches in diesem Zusammenhang auch „Leech” oder „Mole” genannt wird. Dieses Angriffslesegerät wiederum befindet sich in Kommunikationsreichweite des Datenträgers des Nutzers und verhält sich gegenüber dem Datenträger wie das Endgerät. D. h. mittels des Angriffsdatenträgers und des Angriffslesegeräts wird eine Datenkommunikationsverbindung zwischen dem Endgerät und dem Datenträger des Nutzers hergestellt, ohne dass sich der Datenträger in der Nähe des Endgeräts aufhalten muss und ohne dass dies vom Nutzer des Datenträgers erkannt oder verhindert werden kann.
-
Aufgabe der vorliegenden Erfindung ist es, ein Verfahren zum Durchführen einer kontaktlosen Transaktion zwischen einem portablen Datenträger und einem Endgerät vorzuschlagen, welches den genannten Nachteilen Rechnung trägt.
-
Diese Aufgabe wird durch ein Verfahren, ein Endgerät, einen portablen Datenträger sowie ein System mit den Merkmalen der unabhängigen Ansprüche gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sind in den abhängigen Ansprüchen angegeben.
-
Ein erfindungsgemäßes Verfahren zum Durchführen einer Transaktion zwischen einem portablen Datenträger und einem Endgerät über einen kontaktlosen Datenkommunikationskanal umfasst die folgenden Schritte: In einem ersten Schritt wird eine Transaktionsanfrage an das Endgerät gerichtet. Weiterhin wird eine Datenkommunikationsverbindung zwischen dem Endgerät und dem portablen Datenträger hergestellt. Erfindungsgemäß erzeugt das Endgerät in einem weiteren Schritt ein Magnetfeld. Der Datenträger misst zumindest einen Magnetfeldparameter des von dem Endgerät erzeugten Magnetfeldes und sendet den gemessenen, zumindest einen Magnetfeldparameter an das Endgerät. Daraufhin bestimmt das Endgerät eine Position des Datenträgers relativ zum Endgerät anhand des von dem Datenträger empfangenen, zumindest einen Magnetfeldparameters. Schließlich führt das Endgerät die angefragte Transaktion mit dem Datenträger in dem Fall durch, dass das Bestimmen der Position des Datenträgers ergeben hat, dass sich der Datenträger innerhalb einer vorgegebenen Transaktionsregion befindet. Diese Transaktionsregion befindet sich vorzugsweise unmittelbar in der Umgebung des Endgeräts.
-
Ein erfindungsgemäßes Endgerät zum Durchführen einer solchen Transaktion mit einem portablen Datenträger umfasst erfindungsgemäß eine Einrichtung zum Erzeugen eines Magnetfeldes. Das Endgerät ist demnach eingerichtet, eine Position des portablen Datenträgers relativ zum Endgerät anhand eines von dem Datenträger gemessenen und an das Endgerät gesendeten, zumindest einen Magnetfeldparameters des erzeugten Magnetfeldes zu bestimmen. Vorzugsweise ist das Endgerät eingerichtet, eine Transaktion mit dem Datenträger nur in dem Fall durchzuführen, dass sich der Datenträger gemäß der bestimmten Position relativ zum Endgerät innerhalb einer vorgegebenen Transaktionsregion befindet.
-
Ein erfindungsgemäßer portabler Datenträger zum Durchführen einer solchen Transaktion mit dem Endgerät zeichnet sich dadurch aus, dass der Datenträger eingerichtet ist, zumindest einen Magnetfeldparameters eines Magnetfeldes zu messen und an das Endgerät zu senden. Als erfindungsgemäßer portabler Datenträger kommt insbesondere ein entsprechend eingerichtetes Smartphone, ein Mobilfunkendgerät oder dergleichen in Frage, aber auch jeder andere portable Datenträger, welcher wie beschrieben ausgestattet ist und eingesetzt werden kann. Die Einrichtung zum Messen des zumindest einen Magnetfeldparameters des Magnetfeldes kann dabei einen so genannten elektronischen Kompass, beispielsweise unter Verwendung eines Hall-Effekt-Magnetometers, umfassen.
-
Ein erfindungsgemäßes System schließlich umfasst das erfindungsgemäße Endgerät sowie zumindest einen erfindungsgemäßen portablen Datenträger, welche jeweils eingerichtet sind, das erfindungsgemäße Verfahren durchzuführen.
-
Auf die beschriebene Weise und mit den beschriebenen Vorrichtungen kann ein Relais-Angriff auf den portablen Datenträger zuverlässig abgewehrt oder zumindest deutlich erschwert werden. Ein Angreifer müsste dazu das von dem Endgerät erzeugte Magnetfeld an verschiedenen Punkten messen, die gemessenen Daten an den Ort des Angriffslesegeräts weiterleiten und dort, in der Nähe des angegriffenen Datenträgers des Nutzers, ein nahezu identisches Magnetfeld erzeugen, dessen Magnetfeldparameter dann von dem angegriffenen Datenträger gemessen werden würden. Insbesondere bei der Erzeugung eines zeitlich und/oder räumlich veränderbaren Magnetfeldes durch das Endgerät, wie es nachfolgend detailliert beschrieben wird, wäre ein solcher Angriff für den Angreifer mit erheblichem technischen und logistischen Aufwand verbunden und wirtschaftlich nicht mehr rentabel, insbesondere da mittels solcher Transaktionen zumeist nur Klein- oder Kleinstbeträge abgewickelt werden.
-
Je nach Art des Magnetfeldes, welches durch das Endgerät erzeugt wird, kann anhand des oder der vom Datenträger gemessenen Magnetfeldparameter eine sehr genaue Lokalisation des Datenträgers relativ zum Endgerät bestimmt werden. Es ist beispielsweise bestimmbar, ob sich der Datenträger in geeignetem Abstand vor dem Endgerät befindet, oder lediglich – zufällig oder unbeabsichtigt – neben oder hinter dem Endgerät. Auf diese Weise wird es somit möglich, denjenigen Datenträger zu bestimmen, welcher tatsächlich für die Transaktion vorgesehen ist.
-
Bereits in dem Fall, dass das Endgerät im Rahmen der Transaktion ein statisches, d. h. zeitlich und räumlich konstantes Magnetfeld erzeugt, kann eine Position des Datenträgers relativ zum Endgerät bestimmt werden. Der portable Datenträger misst als Magnetfeldparameter in der Regel zumindest die Richtung des erzeugten Magnetfeldes und/oder die magnetische Flussdichte des erzeugten Magnetfelds und sendet den/die entsprechenden Magnetfeldparameter an das Endgerät.
-
Das Endgerät kann dann – in Kenntnis des erzeugten Magnetfeldes – aus einem oder mehreren dieser von dem Endgerät empfangenen Magnetfeldparametern die Position des Datenträgers bestimmen.
-
Wenn das Endgerät beispielsweise als einen von dem portablen Datenträger gemessenen Magnetfeldparameter die Richtung des erzeugten Magnetfeldes empfängt, kann es im Schritt des Bestimmens der Position des Datenträgers relativ zum Endgerät eine Position des portablen Datenträgers entlang einer Koordinatenrichtung eines vorgegebenen Koordinatensystems bestimmen. Dazu werden beispielsweise das Koordinatensystem, in dessen Ursprung sich das Endgerät befinden kann, und die Feldlinien des Magnetfeldes, welche von dem Endgerät ausgehen, gedanklich übereinander gelegt oder zur Deckung gebracht. D. h. das Endgerät kann insbesondere bestimmen, ob sich der Datenträger direkt vor, eher seitlich oder gar hinter dem Endgerät befindet.
-
Wenn das Endgerät, alternativ oder zusätzlich, als einen von dem portablen Datenträger gemessenen Magnetfeldparameter die magnetische Flussdichte des erzeugten Magnetfeldes empfängt, kann es im Schritt des Bestimmens der Position des Datenträgers relativ zum Endgerät eine Entfernung des portablen Datenträgers zum Endgerät bestimmen. Die Flussdichte des Magnetfeldes nimmt dabei in der Regel mit zunehmendem Abstand vom Endgerät, d. h. von einem Magnetfeldgenerator des Endgeräts, ab.
-
Zusammenfassend kann das Endgerät somit bereits bei Vorliegen lediglich eines durch das Endgerät erzeugten, während der Transaktion konstanten Magnetfeldes bestimmen, wo, d. h. in welcher Richtung, und in welcher Entfernung zum Endgerät sich der Datenträger befindet. In einigen Fällen kann bereits die Entfernung als Positionsangabe ausreichend sein, wenn das Endgerät beispielsweise als von allen Seiten in gleicher Weise zugänglich vorliegt und das Magnetfeld entsprechend räumlich symmetrisch erzeugt wird, die Richtung des Magnetfeldes mithin keine wesentliche Information für die erfindungsgemäße Ortung des Datenträgers trägt.
-
Gemäß einer ersten bevorzugten Ausführungsform erzeugt das Endgerät ein räumlich veränderbares Magnetfeld, d. h. ein Magnetfeld, welches sich für verschiedene Transaktionen jeweils hinsichtlich seiner räumlichen Ausdehnung verändert. Auf diese Weise kann für verschiedene Transaktionen jeweils ein verschiedenes Magnetfeld erzeugt werden. Ein Angriff auf eine Transaktion, d. h. auf einen eine Transaktion durchführenden Datenträger, wird dadurch weiter erschwert, denn selbst wenn ein Angreifer in einer ersten Transaktion das von dem Endgerät erzeugte erste Magnetfeld am Endgerät an verschiedenen Punkten gemessen hat, um es an anderer Stelle, am Ort eines angegriffenen Datenträger, zu reproduzieren, ist diese Messung für eine nachfolgende Transaktion wertlos, da das Endgerät dann ein anderes, räumlich abweichendes Magnetfeld erzeugt.
-
Gemäß einer zweiten bevorzugten Ausführungsform erzeugt das Endgerät ein zeitlich veränderbares Magnetfeld, d. h. ein Magnetfeld, welches während einer Transaktion, bei gegebenenfalls gleicher räumlicher Ausdehnung, Schwankungen hinsichtlich der Intensität des Magnetfeldes aufweist. Im einfachsten Fall wird das Magnetfeld vom Endgerät während der Transaktion mehrfach in regelmäßigen und/oder unregelmäßigen Abständen an- und ausgeschaltet. Diese zeitlichen Schwankungen müssten von einem Angreifer ebenfalls erkannt und am Ort des Angriffs simuliert werden, wodurch ein Angriff erkennbar weiter erschwert wird.
-
Entsprechend misst der portable Datenträger den zumindest einen Magnetfeldparameter vorzugsweise zu verschiedenen Zeitpunkten. Auf diese Weise kann eine zeitliche Schwankung des Magnetfeldes sicher erkannt und als ein weiterer Magnetfeldparameter von dem Datenträger gemessen und an das Endgerät gesendet werden. Auf diese Weise kann das Endgerät erkennen, dass der Datenträger tatsächlich das aktuell erzeugte, sich zeitlich verändernde Magnetfeld gemessen hat, und sich folglich aktuell in der vorgegebenen Transaktionsregion beim Endgerät befindet.
-
Gemäß einer weiteren Ausführungsform werden die beiden genannten bevorzugten Ausführungsformen kombiniert, d. h. das Endgerät erzeugt ein Magnetfeld, welches sowohl räumlich als auch zeitlich veränderbar ist. Vorzugsweise folgen diese Änderungen keinem festen oder vorgegebenen Muster, sondern unterliegen zufälligen Schwankungen, so dass sie für einen Angreifer nicht vorhersehbar und nicht reproduzierbar sind.
-
In dem Endgerät wird vorzugsweise eine Mehrzahl von Magnetfeldgeneratoren zum Erzeugen des Magnetfeldes verwendet, insbesondere zum Erzeugen eines räumlich und/oder zeitlich veränderbaren Magnetfeldes. Sind die entsprechenden Magnetfeldgeneratoren in dem Endgerät zusätzlich hinreichend weit voneinander entfernt angeordnet, so wird dadurch ein Angriff auf einen entfernten Datenträger weiter erschwert. Ein Angreifer müsste, um ein entsprechendes Magnetfeld am Ort des Angriffs zu reproduzieren, eine entsprechende Anordnung von Magnetfeldgeneratoren verwenden, welche sich, ohne aufzufallen, kaum mehr unbemerkt anordnen ließen, da dazu ein räumlich ausgedehntes Gerät oder zumindest eine Mehrzahl kleinerer Geräte zum Einsatz kommen müssten.
-
In der Regel sendet der Datenträger den gemessenen, zumindest einen Magnetfeldparameter gesichert, vorzugsweise verschlüsselt, an das Endgerät. Auf diese Weise kann eine Manipulation der gemessenen Daten verhindert und damit die Sicherheit des vorliegenden Verfahrens weiter erhöht werden.
-
Der Schritt des Herstellen der Datenkommunikationsverbindung zwischen dem Endgerät und dem portablen Datenträger kann folgende Teilschritte umfassen: In einem ersten Teilschritt sendet das Endgerät, in Reaktion auf die Transaktionsanfrage, eine Kontaktanfrage an potentiell vorhandene portable Datenträger. Die Transaktionsanfrage kann dabei ohne Beteiligung eines portablen Datenträgers an das Endgerät gerichtet worden sein, beispielsweise indem ein Nutzer eines solchen Datenträgers manuell, z. B. über eine Tastatur oder ein berührungsempfindliches Display, eine Eingabe in das Endgerät vorgenommen hat.
-
In einem zweiten Teilschritt senden dann ein oder mehrere in Kommunikationsreichweite des Endgeräts befindliche portable Datenträger eine Kontaktantwort als Antwort auf die Kontaktanfrage an das Endgerät. Dabei kann das Endgerät eine Mehrzahl von Kontaktantworten empfangen, jeweils eine von verschiedenen kontaktlosen portablen Datenträgern, welche einerseits für derartige Transaktionen eingerichtet sind und sich andererseits aktuell in Kommunikationsreichweite des Endgeräts befinden. Wie beschrieben, dient das erfindungsgemäße Verfahren unter anderem dazu, auf einfache Weise denjenigen portablen Datenträger aus der Menge dieser Datenträger zu orten, welcher zum Durchführen der Transaktion tatsächlich vorgesehen ist.
-
Eine beschriebene kontaktlose Datenkommunikation kann dabei über ein beliebiges, geeignetes Kommunikationsprotokoll und unter Verwendung einer beliebigen, geeigneten Technologie erfolgen. Da ein Relais-Angriff mit Hilfe des erfindungsgemäßen Verfahrens bereits auf Basis der Ortung des zur Transaktion vorgesehenen Datenträgers erkannt und abgewehrt werden kann, ist es nicht wie bisher zur Abwehr eines solchen Angriffs erforderlich, dass Signallaufzeiten zwischen Endgerät und Datenträger, insbesondere im Rahmen des Aufbaus einer entsprechenden Datenkommunikationsverbindung, zeitlich stark begrenzt werden. Daher kann eine Datenkommunikation zwischen Endgerät und Datenträger beispielsweise mittels Bluetooth, WLAN oder RFID durchgeführt werden oder über ein Mobilfunknetz und/oder streckenweise auch über Internet erfolgen.
-
Das Endgerät kann in dem Fall, dass sich der Datenträger innerhalb der vorgegebenen Transaktionsregion befindet, die angefragte Transaktion durchführen, ohne dass es dazu eines Transaktionsbestätigungssignals oder dergleichen des Datenträgers bedarf. Es handelt sich dabei um eine so genannte bestätigungslose Transaktion. Dies dient dazu, dass die Transaktion für den Nutzer des Datenträgers schnell und in sehr einfacher Weise durchführbar ist. In der Regel ist es lediglich erforderlich, dass sich der Datenträger dazu geeignet in der Nähe des Endgeräts, eben in der vorgegebenen Transaktionsregion, befindet. Der Nutzer muss zum Durchführen der Transaktion den Datenträger nicht betätigen, insbesondere keinen weiteren Bestätigungscode eingeben oder dergleichen. Die Transaktion wird seitens des Endgeräts durchgeführt, ohne dass der Datenträger oder der Nutzer des Datenträgers aktiv tätig werden müssen.
-
Im Folgenden wird die vorliegende Erfindung mit Bezug auf die beiliegenden Zeichnungen beispielhaft beschrieben. Darin zeigen:
-
1 eine bevorzugte Ausführungsform eines erfindungsgemäßen Systems mit einem portablen Datenträger und einem Endgerät und
-
2 Schritte einer bevorzugten Ausführungsform eines erfindungsgemäßen Verfahrens zum Durchführen einer Transaktion zwischen dem Datenträger und dem Endgerät aus 1 über einen kontaktlosen Datenkommunikationskanal.
-
Mit Bezug auf 1 umfasst ein System 300 zumindest einen portablen Datenträger 10 und ein Endgerät 100. In der Regel wird das System 300 eine Mehrzahl von portablen Datenträgern 10 umfassen, welche, wie nachstehend beschrieben, eingerichtet sind, über einen kontaktlosen Datenkommunikationskanal 200 eine Transaktion mit dem Endgerät 100 durchzuführen.
-
Der Datenträger 10, welcher in 1 beispielhaft als Mobilfunkendgerät dargestellt ist, umfasst eine Einrichtung 40 zur kontaktlosen Datenkommunikation mit dem Endgerät 100, insbesondere eine Antenne 40. Andere Arten portabler Datenträger 10 sind in gleicher Weise einsetzbar, beispielsweise Chipkarten oder dergleichen.
-
Weiter umfasst der Datenträger 10 in bekannter Weise einen Prozessor, zumindest einen Speicher sowie geeignete Softwaremittel (jeweils nicht gezeigt), beispielsweise in Form einer in dem Speicher gespeicherten und auf dem Prozessor ausführbaren Applikation, mittels welcher die Schritte des nachfolgend mit Bezug auf 2 beschriebenen Verfahrens implementierbar sind.
-
Schließlich umfasst der Datenträger 10 eine Einrichtung 20 zum Messen verschiedener Magnetfeldparameter eines Magnetfeldes, insbesondere einer Richtung sowie einer magnetischen Flussdichte des Magnetfeldes. Auch Schwankungen in der räumlichen Ausdehnung und/oder der Intensität des Magnetfeldes, welche im zeitlichen Verlauf erfolgen können, sind mittels der Einrichtung 20 messbar. Mittels der Einrichtung 20 gemessene Magnetfeldparameter können in dem Speicher des Datenträgers 10 gespeichert und gegebenenfalls durch den Datenträger 10 geeignet verarbeitet werden. Insbesondere ist der Datenträger 10 eingerichtet, gemessene Magnetfeldparameter und/oder daraus abgeleitete Daten an das Endgerät 100 zu senden. Die Einrichtung 20 kann insbesondere einen elektronischen Kompass umfassen, beispielsweise auf Basis eines Hall-Effekt-Magnetometers.
-
Das Endgerät 100 ist in 1 exemplarisch als Verkaufsautomat dargestellt. Andere Formen und Anwendungsumgebungen sind gleichfalls möglich. Das Endgerät 100 umfasst eine Einrichtung 140 zur kontaktlosen Datenkommunikation mit dem Datenträger 10, beispielsweise eine Antenne, sowie eine Eingabevorrichtung 110, 120 zur Eingabe einer Transaktionsanfrage, beispielsweise zum Kauf einer Fahrkarte für den öffentlichen Personennahverkehr oder dergleichen. Als Eingabevorrichtung kann ein berührungsempfindliches Display 110, eine Tastatur 120 oder dergleichen dienen. Weiter umfasst das Endgerät 100 eine Einrichtung 130 zum Erzeugen eines Magnetfeldes, im gezeigten Beispiel umfasst diese Einrichtung 130 zwei Magnetfeldgeneratoren. Es ist aber auch die Verwendung lediglich eines solchen Generators oder aber einer größeren Anzahl von Magnetfeldgeneratoren möglich.
-
Der oder die Magnetfeldgeneratoren sind dabei von dem Endgerät 100 derart ansteuerbar, dass ein davon erzeugtes Magnetfeld zeitlich veränderbar ist, d. h. im Laufe der Zeit, d. h. insbesondere auch während einer Datenkommunikation mit einem Endgerät 100, hinsichtlich seiner Intensität verändert werden kann. Im einfachsten Fall wird das Magnetfeld dadurch verändert, dass die Magnetfeldgeneratoren gleichzeitig oder abwechselnd in regelmäßigen oder unregelmäßigen, vorzugsweise zufälligen Abständen an- und ausgeschaltet werden.
-
Auch die Erzeugung eines räumlich veränderbaren Magnetfeldes durch das Endgerät 100 ist vorgesehen. Im einfachsten Fall geschieht dies ebenfalls dadurch, dass die beiden Magnetfeldgeneratoren abwechselnd in Betrieb genommen und/oder auch gleichzeitig eingesetzt werden. Um eine weitere räumliche Veränderung eines mittels der Einrichtung 130 erzeugbaren Magnetfeldes zu erreichen, beispielsweise für verschiedene Transaktionen oder im Rahmen einer Transaktion, kann es vorgesehen sein, dass die Magnetfeldgeneratoren in dem Gerät 100 räumlich, auch relativ zueinander, verlagert werden, wodurch die räumliche Ausdehnung eines mittels eines oder beider Generatoren erzeugten Magnetfeldes, auch relativ zum Standort des Endgeräts, veränderbar ist.
-
Die kontaktlose Datenkommunikation über den Datenkommunikationskanal 200 zwischen dem Endgerät 100 und dem Datenträger 10 kann über ein beliebiges geeignetes Kommunikationsprotokoll sowie mittels einer beliebigen geeigneten Technologie erfolgen, beispielsweise über Bluetooth, WLAN, RFID, über ein Mobilfunknetz oder dergleichen.
-
Als Transaktion kann im Rahmen der vorliegenden Erfindung ein beliebiger Vorgang verstanden werden, bei dem eine Anforderung an das Endgerät 100 gestellt wird, beispielsweise nach einem Gut, einer Dienstleistung, einer Information oder dergleichen, und das Endgerät 100 diese Anforderung nach Zugriff auf den Datenträger 10 erfüllt. Ein Beispiel einer solchen Transaktion ist eine Bezahltransaktion. Der Zugriff auf den Datenträger 10 entspricht dabei beispielsweise einer Abbuchung eines Geldbetrages, welcher auf dem Datenträger 10 gespeichert ist.
-
Mit Bezug auf 2 werden nun exemplarisch wesentliche Schritte zum Durchführen einer solchen Transaktion beschrieben.
-
In einem ersten Schritt S1 wird eine Transaktionsanfrage an das Endgerät 100 gestellt. Dies kann beispielsweise dadurch erfolgen, dass ein Nutzer des Datenträgers 10 eine manuelle Eingabe über die Eingabevorrichtung 110, 120 vornimmt. Mittels der Transaktionsanfrage kann der Nutzer beispielsweise einen Fahrschein anfordern.
-
Das Endgerät 100 ist eingerichtet, eine dem Verkauf des Fahrscheins entsprechende Transaktion kontaktlos und bestätigungslos durchzuführen. Dementsprechend sendet das Endgerät 100 in Schritt S2 eine Kontaktanfrage aus, um eine Datenkommunikation mit einem Datenträger 10 aufzubauen, welcher eingerichtet ist, eine solche Transaktion mit dem Endgerät 100 durchzuführen.
-
Diese Kontaktanfrage ist nicht an einen bestimmten Datenträger 10 gerichtet, sondern kann prinzipiell von einer Mehrzahl von Datenträgern 10 beantwortet werden. Wie in Schritt S3 gezeigt, wird ein Datenträger 10, welcher sich in Kommunikationsreichweite des Endgeräts 100 befindet und welcher zum Durchführen einer solchen Transaktion eingerichtet ist, die Kontaktanfrage des Endgeräts 100 mit einer Kontaktantwort beantworten. Auf diese Weise wird eine Datenkommunikationsverbindung zwischen dem Endgerät 100 und dem jeweiligen Datenträger 10 hergestellt. Dabei kann es vorkommen, dass auch ein solcher Datenträger 10 antwortet, welcher nicht zum Durchführen der Transaktion vorgesehen ist, beispielsweise weil dessen Nutzer sich zufällig in der Nähe, beispielsweise hinter dem Endgerät 100 aufhält.
-
Die nachfolgenden Schritte S4 bis S8 dienen dazu, potentielle Datenträger 10 zu orten um festzustellen, ob überhaupt ein geeigneter Datenträger 10 zum Durchführen der Transaktion in der Nähe des Endgeräts 100 vorliegt, und falls mehrere Datenträger 10, welche auf die Kontaktanfrage geantwortet haben, zumindest in der Nähe des Endgeräts 100 bestimmt werden können, den für die Transaktion vorgesehenen zu ermitteln, der sich dazu in einer vorgegebenen Transaktionsregion des Endgeräts 100 aufhält. Gleichzeitig ist es mittels dieser Schritte möglich, einen Relais-Angriff auf einen Datenträger 10 abzuwehren, wie es im Folgenden ersichtlich werden wird.
-
Nachdem das Endgerät 100 mit einem oder mehreren Datenträgern 10 in den Schritten S2, S3 jeweils eine Datenkommunikationsverbindung aufgebaut hat, sendet es in Schritt S4 ein Magnetfeld 400 aus. Das Magnetfeld 400 wird dabei von dem Endgerät 100 vorzugsweise in nicht vorhersehbarer, vorstehend beschriebener Weise räumlich und/oder zeitlich verändert. Der Zeitraum, über den das Magnetfeld 400 von dem Endgerät 100 erzeugt wird, kann ebenfalls variabel gestaltet werden, wird aber einen gewissen Maximalzeitraum von beispielsweise einer Sekunde oder wenigen Sekunden aus Gründen der Praktikabilität und Nutzerfreundlichkeit nicht überschreiten.
-
Parallel misst jeder der portablen Datenträger 10, die in Datenkommunikation mit den Endgerät 100 stehen, in Schritt S5 entsprechende Magnetfeldparameter des von dem Endgerät 100 erzeugten Magnetfeldes 400. Dies sind insbesondere die Richtung und die magnetische Flussdichte des Magnetfeldes 400 sowie gegebenenfalls die zeitlichen und/oder räumlichen Änderungen dieser Magnetfeldparameter, welche selbst wieder Magnetfeldparameter darstellen. Ein solcher Datenträger 10 speichert die gemessenen Daten vorzugsweise und sendet diese dann, wenn die Messung abgeschlossen ist, in Schritt S6 an das Endgerät 100. Dabei kann in dem Datenträger 10 bereits eine Vorverarbeitung oder Bearbeitung der gemessenen Daten stattfinden, um eine Weiterverarbeitung im Endgerät 100 zu vereinfachen. Alternativ kann aber auch die gesamte Auswertung der Messdaten im Endgerät 100 stattfinden.
-
Die gemessenen Daten werden seitens eines Datenträgers 10 in der Regel gesichert, vorzugsweise verschlüsselt, an das Endgerät 100 gesendet, um eine Manipulation der gemessenen Magnetfeldparameter zu verhindern.
-
Anhand der von dem jeweiligen Datenträger 10 empfangenen Magnetfeldparameter prüft das Endgerät 100 in Schritt S7 einerseits, ob der entsprechende Datenträger 10 das von dem Endgerät 100 erzeugte Magnetfeld 400 bzw. dessen Parameter tatsächlich gemessen hat und sich dementsprechend in der unmittelbaren Umgebung des Endgeräts 100 befindet. Dazu kann beispielsweise bereits die von einem Datenträger 10 gemessene und als Magnetfeldparameter übertragene zeitliche Veränderung des erzeugten Magnetfeldes ausreichend sein.
-
Auf diese Weise können solche Datenträger 10 von der Transaktion ausgeschlossen werden, deren Datenkommunikationsverbindung mit dem Endgerät 100 mittels eines Relais-Angriffs hergestellt worden ist. Ein Angreifer müsste, um einen solchen Angriff auch im Verlauf der Schritte S4 bis S8 zu vertuschen, das von dem Endgerät erzeugte Magnetfeld 400 und dessen Veränderung an verschiedenen Punkten messen, entsprechende Daten an den Ort des angegriffenen Datenträgers 10 übermitteln und dort praktisch zeitgleich ein nahezu identisches Magnetfeld erzeugen, welches dann von dem angegriffenen Datenträger 10 gemessen werden würde. Abgesehen von den prinzipiellen technischen und logistischen Schwierigkeiten, einen solchen Angriff überhaupt durchzuführen, wäre der dazu notwendige Aufwand angesichts der Art der betroffenen Transaktion, welche wegen deren prinzipieller Angreifbarkeit in der Regel nur kleine Betrage betrifft, für einen Angreifer wirtschaftlich nicht mehr sinnvoll.
-
Für diejenigen Datenträger 10, welche von dem Endgerät 100 als in der Umgebung des Endgeräts 100 befindlich erkannt worden sind, bestimmt das Endgerät 100 in Schritt S7 andererseits eine genauere Position des Datenträgers 10 relativ zum Endgerät 100. Dazu dienen insbesondere die als Magnetfeldparameter von dem Datenträger 10 an das Endgerät 100 gesendeten Werte, die die Richtung des von dem Endgerät 100 erzeugten Magnetfeldes 400 sowie die magnetische Flussdichte des Magnetfeldes 400 betreffen. Im Falle eines räumlich und/oder zeitlich veränderten Magnetfeldes 400 sendet der Datenträger 10 beispielsweise entsprechend eine Mehrzahl von Tupeln dieser Werte zusammen mit den entsprechenden Messzeitpunkten bzw. zeitlichen Abständen zwischen den Messungen. In Kenntnis des Magnetfeldes 400 und dessen Veränderungen im Messzeitraum bestimmt dann das Endgerät 100 aus den von den jeweiligen Datenträgern 10 empfangenen Magnetfeldparametern die Position der jeweiligen Datenträger 10, d. h. insbesondere, ob sich ein Datenträger 10 vor, seitlich oder hinter dem Endgerät 100 befindet und welche Entfernung von Endgerät 100 der jeweilige Datenträger 10 aufweist.
-
Nur ein solcher Datenträger 10, der sich in der vorgegebenen Transaktionsregion aufhält, welche in der Regel in gegebenem Abstand direkt vor dem Endgerät 100 angesiedelt ist, wird von dem Endgerät 100 als für die Transaktion vorgesehen eingestuft. Diese Entscheidung trifft das Endgerät 100 in Schritt S8.
-
Eine Datenkommunikation mit einem Datenträger 10, welcher gemäß der in Schritt S7 durchgeführten Ortung nicht in der Transaktionsregion liegt, wird in Schritt S9 abgebrochen, ohne eine Transaktion durchzuführen.
-
Mit demjenigen Datenträger 10 hingegen, welcher von dem Endgerät 100 nach der Ortung aus Schritt S7 in Schritt S8 als in der Transaktionsregion liegend erkannt worden ist, wird in Schritt S10 die in Schritt S1 angeforderte Transaktion durchgeführt. Eine Bestätigung seitens des Datenträgers 10 oder des Nutzers des Datenträgers 10 ist dazu nicht erforderlich. Die Transaktion erfolgt bestätigungslos.
