DE102015011076A1

DE102015011076A1 - Transaktionssystem

Info

Publication number: DE102015011076A1
Application number: DE102015011076.4A
Authority: DE
Inventors: Klaus Finkenzeller; Stephan Rasch; Dirk Riesenbeck; Hans-Jürgen Roth
Original assignee: Giesecke and Devrient GmbH
Current assignee: Giesecke and Devrient Mobile Security GmbH
Priority date: 2015-08-24
Filing date: 2015-08-24
Publication date: 2017-03-02
Also published as: EP3341882A1; US11263302B2; US20180253541A1; WO2017032452A1

Abstract

Die Erfindung betrifft ein Verfahren in einem System (100) Verfahren in einem System (100), welches zumindest einen portablen Datenträger (40), einen Authentifizierungsserver (10) und mehrere Dienstanbietersysteme umfasst. Die Dienstanbietersysteme weisen jeweils Lesegeräte (24) und eine Dienstanbietereinheit (20) auf, wobei die Lesegeräte (24) vorgesehen sind, um eine Anwendungsidentität von portablen Datenträgern auszulesen, und wobei die Dienstanbietereinheit vorgesehen ist, um eine Berechtigung in dem Dienstanbietersystem mittels einer ausgelesenen Anwendungsidentität zu prüfen. Das Verfahren umfasst die folgenden Schritte. Anfordern (T1) einer eine Sicherheitsidentität (48) des Datenträgers (40) umfassenden Authentisierungsinformation von dem Datenträger (40) durch ein Lesegerät (24) des Dienstanbieters (20). Bereitstellen (T2) der Authentisierungsinformation durch den Datenträger (40) an das Lesegerät (24). Weiterleiten (T3) der Authentisierungsinformation durch das Lesegerät (24) an den Authentifizierungsserver (10). Authentifizieren des Datenträgers (T4) anhand der Authentisierungsinformation durch den Authentifizierungsserver (10). Ermitteln einer dem Datenträger (40) in dem Dienstanbietersystem zugeordneten Anwendungsidentität durch den Authentifizierungsserver (10) anhand der Sicherheitsidentität (48). Übermitteln (T5) der ermittelten dem Datenträger zugeordneten Anwendungsidentität an das Lesegerät (24) des Dienstanbietersystems.

Description

Die vorliegende Erfindung betrifft ein Verfahren zur Verwaltung eines Datenträgers in einem Transaktionssystem, einen Authentifizierungsserver eines solchen Systems sowie das Transaktionssystem.
Es ist bekannt, portable Datenträger, wie beispielsweise Chipkarten oder Etiketten, mit kontaktlos auslesbaren Kennzeichnungen, vorzugsweise in Form von Transpondern, auszustatten, um damit das Durchführen einer Transaktion zwischen dem Datenträger und einem entsprechend eingerichteten Lesegerät zu ermöglichen. Eine mögliche Form einer solchen Transaktion ist die Regelung einer Zugangsberechtigung, z. B. zu einem Gebäude, einem Verkehrsweg, oder anderen Ressourcen. Alternative Transaktionen sind beispielsweise reine Bezahltransaktionen zum Erwerben von Waren oder Dienstleistungen. Dazu kann der Datenträger mit einem Hintergrundsystem gekoppelt sein, über welches die Bezahltransaktion dann tatsächlich abgewickelt wird.
Nachteilig an dem beschriebenen Verfahren ist auch, dass die Anforderungen an den Datenträger, wie Speicher, Prozessorleistung und Datenverwaltung mit jeder Anwendung eines Dienstanbieters steigen. Beispielsweise eine Anwendung, welche einen Zugang zu einem Parkhaus eines ersten Betreibers ermöglicht, macht eine spezifische Authentisierungssoftware in dem portablen Datenträger erforderlich, welche gegebenenfalls lediglich in Verbindung mit der spezifischen Anwendung dieses Dienstanbieters verwendbar ist.
Komplexe Datenträger für mehrere unabhängige Anwendungen bzw. mit mehreren unabhängigen Identitäten sind bekannt.
Ebenso bekannt sind entsprechend einfachere Datenträger für nur eine Anwendung bzw. mit nur einer Identität.
Aufgabe der vorliegenden Erfindung ist es, eine Möglichkeit zu schaffen, einen ressourcenoptimierten flexibel einsetzbaren Datenträger bereitzustellen.
Diese Aufgabe wird durch ein Verfahren, einen Authentifizierungsserver und ein System mit den Merkmalen der unabhängigen Ansprüche gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sind in den abhängigen Ansprüchen angegeben.
Als ein erster Teilaspekt der Lösung könnte angesehen werden, dass ein möglichst einfach ausgestalteter portabler Datenträger mit einer Identität in unterschiedlichen Anwendungen, vorzugsweise auch gegenüber unterschiedlichen Dienstanbietern, eingesetzt werden kann.
Ein erster bevorzugter Aspekt der vorliegenden Erfindung betrifft ein Transaktionsverfahren zum Durchführen einer Transaktion zwischen einem portablen Datenträger mit einer vorstehend beschriebenen Sicherheitskennzeichnung und einem Lesegerät eines Dienstanbieters der vorstehend beschriebenen Art. Dieses Verfahren ist grundsätzlich unabhängig von dem nachstehend mit Bezug auf einen zweiten Aspekt der Lösung beschriebenen Datenträgerverwaltungsverfahren. Folglich wird das Transaktionsverfahren nachfolgend ohne Bezug auf eine Datenträgerverwaltungskennzeichnung auf dem Datenträger und ohne Bezug zu den vorstehend beschriebenen Datenträgerverwaltungsschritten beschrieben. Im Anschluss an die Beschreibung des Transaktionsverfahrens wird gezeigt, wie das Datenträgerverwaltungsverfahren und das Transaktionsverfahren in vorteilhafter Weise kombiniert werden können.
In einem ersten Schritt des Transaktionsverfahrens fordert das Lesegerät des Dienstanbieters eine die Sicherheitsinformation des Datenträgers umfassende Authentisierungsinformation von dem Datenträger an.
Der Datenträger stellt daraufhin die angeforderte Authentisierungsinformation dem Lesegerät bereit, welches die Authentisierungsinformation an den Authentifizierungsserver weiterleitet.
Der Authentifizierungsserver authentifiziert den Datenträger anhand der in der Authentisierungsinformation und übermittelt ein Ergebnis des Authentifizierens des Datenträgers an das Lesegerät.
Im Falle einer erfolgreichen Authentifizierung des Datenträgers kann eine Transaktion zwischen einer Anwendung des Dienstanbieters und dem Datenträger durchgeführt werden.
Das System umfasst zumindest einen portablen Datenträger, einen Authentifizierungsserver und mehrere Dienstanbietersysteme. Die Dienstanbietersysteme weisen jeweils Lesegeräte und eine Dienstanbietereinheit auf. Die Lesegeräte sind vorgesehen, um eine Anwendungsidentität von portablen Datenträgern auszulesen, und die Dienstanbietereinheit ist vorgesehen, um eine Berechtigung in dem Dienstanbietersystem mittels einer ausgelesenen Anwendungsidentität zu prüfen. Das Verfahren umfasst die Schritte:

– Anfordern einer eine Sicherheitsidentität des Datenträgers umfassen den Authentisierungsinformation von dem Datenträger durch ein Lesegerät des Dienstanbieters;
– Bereitstellen der Authentisierungsinformation durch den Datenträger an das Lesegerät;
– Weiterleiten der Authentisierungsinformation durch das Lesegerät an den Authentifizierungsserver;
– Authentifizieren des Datenträgers anhand der Authentisierungsinformation durch den Authentifizierungsserver;
– Ermitteln einer dem Datenträger in dem Dienstanbietersystem zugeordneten Anwendungsidentität durch den Authentifizierungsserver anhand der Sicherheitsidentität; und
– Übermitteln der ermittelten dem Datenträger zugeordneten Anwendungsidentität an das Lesegerät des Dienstanbietersystems.

Die Lösung erhöht insbesondere die Nutzbarkeit des Datenträgers ohne besondere Ressourcen in dem Datenträger bereitstellen zu müssen.
In dem Schritt des Ermittelns kann die Anwendungsidentität des Datenträgers in dem Dienstanbietersystem aus einer Vielzahl von Anwendungsidentitäten ausgewählt werden. Die Flexibilität des Systems wird somit erhöht.
Die ermittelte Anwendungsidentität ist dem Datenträger für das Dienstanbietersystem in dem Authentifizierungsserver fest zugeordnet. Mehrere feste Zuordnungen in dem Authentifizierungsserver bilden die Grundlage für einen Verwendung des Datenträgers in den entsprechenden Dienstanbietersystemen.
Die ermittelte Anwendungsidentität des Datenträgers für das Dienstanbietersystem kann in dem Authentifizierungsserver aus einer Vielzahl von für das Dienstanbietersystem verfügbaren Anwendungsidentitäten dynamisch auswählt werden. Somit ist es möglich für einen Datenträger in der gleichen Anwendung dynamisch unterschiedliche Identitäten auszuwählen. Weiter ist es vorteilhafterweise nicht notwendig für jeden Datenträger eine eigene Identität vorzuhalten. Insbesondere kann man eine kleine Anzahl von Anwendungsidentitäten verwenden, um sie einer größeren Anzahl von Datenträgern dynamisch zuzuordnen.
Der Vielzahl von für das Dienstanbietersystem verfügbaren Anwendungsidentitäten aus denen dynamisch ausgewählt wird, können in dem Dienstanbietersystem gleiche Berechtigungen zugewiesen sein. Durch die dynamische Auswahl der Identität wird dem Dienstanbietersystem gegenüber die Identität des Datenträgers verschleiert, ohne die Möglichkeit einer herkömmlichen Berechtigungsprüfung beim Dienstanbieter zu verlieren.
Bevorzugt sendet das Lesegerät die übermittelte Anwendungsidentität, insbesondere wie eine direkt aus Datenträgern ausgelesene Anwendungsidentität, an die Dienstanbietereinheit des Dienstanbietersystems. Die Dienstanbietereinheit und gegebenenfalls auch weite Teile der Lesegerätesoftware können unverändert bleiben.
Der portable Datenträger ist in dem Dienstanbietersystem nur über die Anwendungsidentität identifizierbar, benötigt also keine weiteren in dem (RFID-)Transponder gespeicherten Identitäten.
Bevorzugt umfasst der portable Datenträger nur die Sicherheitsidentität als Identität des Datenträgers für den Authentifizierungsserver und wird durch eine Vielzahl von vom Authentifizierungsserver übermittelbaren, dem Datenträger zugeordneten Anwendungsidentitäten in der Vielzahl von Dienstanbietersystemen verwendbar.
Der Datenträger ist eingerichtet eine Authentisierung gemäß ISO/IEC 29167-19 auszuführen. Vorzugsweise wird dabei die Sicherheitsidentität als Identität verwendet.
Im Folgenden werden einzelne Schritte des Transaktionsverfahrens exemplarisch mit Bezug auf bevorzugte Ausführungsformen und Varianten des Transaktionsverfahrens spezifiziert. Dabei können die einzelnen Varianten der Schritte des Verfahrens, wenn nichts anderes beschrieben ist, beliebig kombiniert werden. Als Sicherheitsidentität wird im Folgenden eine (im Authentisierungsserver) eindeutige Sicherheitsinformation, oder secret ID, verwendet. Als Anwendungsidentität wird auf eine öffentliche Identität, public ID, verwiesen.
In der Regel ist die Sicherheitskennzeichnung als kryptographisch gesicherte Sicherheitskennzeichnung ausgebildet, beispielsweise in Form eines Transponders, welcher eingerichtet ist, eine Sicherheitsinformation (SID, „secret ID”) lediglich in verschlüsselter Form an das Lesegerät zu übertragen. Vorzugsweise kommt hier eine asymmetrische Schlüsselarchitektur zum Einsatz. Die Verschlüsselung der Sicherheitsinformation in der Sicherheitskennzeichnung erfolgt dabei mittels eines öffentlichen Schlüssels, die Entschlüsselung durch den Authentifizierungsserver mittels eines entsprechenden geheimen Schlüssels.
Das Lesegerät kann eine solche kryptographisch gesicherte Sicherheitskennzeichnung beispielweise im Rahmen des Aufbaus einer Kommunikationsverbindung mit dem Datenträger, d. h. dem Transponder, als kryptographisch gesichert erkennen. Der Aufbau der Kommunikationsverbindung kann hier als ein erster Teilschritt eines Schrittes des Anforderns der Authentisierungsinformation verstanden werden.
Daraufhin sendet das Lesegerät ein entsprechendes Kommando an den Datenträger, um ein kryptographisch gesichertes Übertragen der Authentisierungsinformation durch den Datenträger zu ermöglichen (beispielsweise gemäß ISO/IEC 29167-19). In der Regel erfolgt die Authentifizierung des Datenträgers mittels eines Challenge-Response-Verfahrens.
Das Lesegerät kann dazu das entsprechende Kommando zuvor bei dem Authentifizierungsserver anfordern und ein entsprechendes, vom dem Authentifizierungsserver empfangenes Kommando dann an den Datenträger, d. h. die Sicherheitskennzeichnung des Datenträgers, weiterleiten.
Der Datenträger kann als Authentisierungsinformation ein Antwortkommando gemäß dem verwendeten Protokoll erzeugen, beispielsweise in Form eines Kryptogramms, welches die verschlüsselte Sicherheitsinformation umfasst. Das Kryptogramm kann weitere Informationen umfassen, welche es dem Authentifizierungsserver erlauben, die Sicherheitsinformation zu entschlüsseln.
Diese weiteren Informationen, welche insbesondere die Auswahl eines zum Entschlüsseln erforderlichen Schlüssels betreffen, können auch separat von dem Lesegerät bei dem Datenträger angefordert und durch den Datenträger separat von dem Kryptogramm an das Lesegerät übertragen werden. Die Authentisierungsinformation umfasst dann das Kryptogramm und die weiteren Informationen.
Der Datenträger überträgt dann die Authentisierungsinformation an das Lesegerät, welches die Authentisierungsinformation an den Authentifizierungsserver weiterleitet.
In dem Authentifizierungsserver wird die in dem Kryptogramm verschlüsselt enthaltene Sicherheitsinformation entschlüsselt und der Datenträger wird durch den Authentifizierungsserver authentifiziert. Das Authentifizierungsverfahren kann, wie erwähnt, beispielsweise als Challenge-Response-Verfahren durchgeführt werden, bei dem der Datenträger von dem Authentifizierungsserver eine „challenge”, beispielsweise eine Zufallszahl, empfängt und unter Verwendung der Sicherheitsinformation „verschlüsselt”.
Optional kann der Authentifizierungsserver der entschlüsselten Sicherheitsinformation (SID) eine den Datenträger betreffende öffentliche Kennzeichnung, eine so genannte PID („public ID”), zuordnen. Diese öffentliche Kennzeichnung ist statisch und der Sicherheitsinformation (SID) eindeutig zugeordnet.
Für einen Datenträger können mehrere verschiedene öffentliche Kennzeichnungen vorliegen. In der Regel wird für jede Anwendung eines Dienstanbieters, für welche der Datenträger freigeschaltet wird, genau eine öffentliche Kennzeichnung des Datenträgers (seitens des Authentifizierungsservers) erzeugt, welche dann im Schritt des Freischaltens des Datenträgers für eine ausgewählte Anwendung eines Dienstanbieters dieser Anwendung übermittelt wird. In der Datenbank des Authentifizierungsservers können daher zusätzlich zu der Datenträgerverwaltungsinformation und der Sicherheitsinformation ein oder mehrere der Sicherheitsinformation eindeutig zugeordnete öffentliche Kennzeichnungen gespeichert sein.
Der Authentifizierungsserver übermittelt daraufhin dem Lesegerät das Ergebnis der Authentifizierung. Dieses Ergebnis kann zum einen schlicht darin bestehen, dass der Authentifizierungsserver dem Lesegerät mitteilt, ob der Datenträger erfolgreich authentifiziert werden konnte oder nicht.
Optional kann der Authentifizierungsserver dem Lesegerät, im Falle einer erfolgreichen Authentifizierung des Datenträgers, die entsprechende öffentliche Kennzeichnung des Datenträgers übermitteln, welcher der Anwendung des Dienstanbieters entspricht, welche aktuell vorgesehen ist, mit dem Datenträger eine Transaktion durchzuführen. Informationen über diese Anwendung kann das Lesegerät dem Authentifizierungsserver an beliebiger Stelle des Verfahrens zukommen lassen, beispielsweise eingangs beim Anfordern eines an den Datenträger weiterzuleitenden Kommandos.
Hierbei ist zu bemerken, dass zu dem Zeitpunkt, zu dem der Datenträger eine Kommunikation mit einem Lesegerät eines Dienstanbieters herstellt, in der Regel die konkrete Anwendung des Dienstanbieters, mit welcher der Datenträger im Folgenden eine Transaktion durchführen kann, bereits eindeutig feststeht. In dem Fall, dass über ein Lesegerät mehrere Anwendungen des Dienstanbieters „erreichbar” sind, kann dem Nutzer die Möglichkeit gegeben werden, eine dieser Anwendungen auszuwählen.
Anhand des Ergebnisses der Authentifizierung kann das Lesegerät dann entscheiden, ob die Transaktion zwischen der Anwendung und dem Datenträger durchgeführt werden soll. Eine dem Lesegerät übermittelte öffentliche Kennzeichnung des Datenträgers ermöglicht auch dem Lesegerät dabei eine eindeutige Authentifizierung des Datenträgers.
Als ein zweiter Teilaspekt der Lösung könnte angesehen werden, dass eine von den Dienstanbietersystemen unabhängige Verwaltung der zugeordneten Identitäten bereitgestellt wird.
Der zweite Aspekt basiert auf dem Grundgedanken, den portablen Datenträger mit einer weiteren kontaktlos auslesbaren Kennzeichnung zu versehen, welche auf einfache Weise mittels eines portablen Endgeräts eines Nutzers des Systems ausgelesen und verarbeitet werden kann. Mittels der Kennzeichnung codierte Informationen können dann seitens des Endgeräts an einen Authentifizierungsserver des Transaktionssystems übermittelt werden. Der Authentifizierungsserver ist eingerichtet, den Datenträger in dem System auf Basis der empfangenen Information zu verwalten.
Gemäß dem zweiten Aspekt betrifft die Lösung auch ein Verfahren in einem System, welches zumindest einen portablen Datenträger, beispielsweise eine Chipkarte oder ein Etikett, einen Authentifizierungsserver und zumindest ein mit dem Authentifizierungsserver über ein Kommunikationsnetzwerk, beispielsweise das Internet, koppelbares Lesegerät zumindest eines Dienstanbieters umfasst. Der Datenträger ist dabei eingerichtet, zum Durchführen einer Transaktion mit einer Anwendung eines Dienstanbieters, gegebenenfalls erst nach einer Aktivierung in dem System, kontaktlos mit dem Lesegerät zu kommunizieren. Der Datenträger umfasst dazu eine seitens des Lesegeräts kontaktlos auslesbare Sicherheitskennzeichnung, anhand welcher der Datenträger durch den Authentifizierungsserver authentifizierbar ist.
Das Verfahren umfasst gemäß einer bevorzugten Ausführungsform die folgenden Schritte:
Der Datenträger ist mit einer Datenträgerverwaltungskennzeichnung ausgestattet, welche eine Datenträgerverwaltungsinformation codiert. Die Datenträgerverwaltungsinformation ist dabei in dem Authentifizierungsserver in nachstehend noch im Detail beschriebener Weise eindeutig mit einer durch die Sicherheitskennzeichnung des Datenträgers codierten Sicherheitsinformation gekoppelt. Die Datenträgerverwaltungskennzeichnung des Datenträgers ist mittels eines portablen Endgeräts eines Nutzers des Systems, beispielsweise mittels eines herkömmlichen Mobilfunkendgeräts oder eines Smartphones, kontaktlos auslesbar.
Die Datenträgerverwaltungskennzeichnung wird mittels eines portablen Endgeräts eines Nutzers des Systems kontaktlos ausgelesen und die in der Datenträgerverwaltungskennzeichnung codierte Datenträgerverwaltungsinformation wird mittels des portablen Endgeräts an den Authentifizierungsserver übertragen.
Der Authentifizierungsserver verwaltet danach den Datenträger in dem System unter Verwendung der Datenträgerverwaltungsinformation.
Das Verwalten des Datenträgers in dem System kann einen Schritt des Aktivierens des Datenträgers in dem System umfassen. Dabei wird der Datenträger in dem System nicht aktiviert, d. h. kann zum Durchführen einer Transaktion mit einer Anwendung eines Dienstanbieters nicht verwendet werden, bevor nicht der Authentifizierungsserver erstmals die in der Datenträgerverwaltungskennzeichnung codierte Datenträgerverwaltungsinformation empfängt. Mit anderen Worten ist ein portabler Datenträger in dem System erst registriert, nachdem erstmals die Datenträgerverwaltungskennzeichnung ausgelesen und die darin gespeicherte Datenträgerverwaltungsinformation an den Authentifizierungsserver übertragen worden ist.
Das Verwalten des Datenträgers in dem System kann weiterhin einen Schritt des Zuordnen eines Nutzers zu dem Datenträger umfassen. Dieser Schritt ist optional, da Anwendungen vorstellbar sind, bei denen eine Nutzerzuordnung zu dem Datenträger unterbleiben kann. Andere Anwendungen, beispielsweise solche, die mit einer Bezahltransaktion verbunden sind, erfordern notwendigerweise eine spezifische Zuordnung eines Nutzers zu dem Datenträger, beispielsweise um auch Kontoinformationen dieses Nutzers mit dem Datenträger koppeln zu können.
Im Schritt des Zuordnen können Nutzerregistrierungsdaten, wie beispielsweise ein Nutzername, ein Passwort, Bankdaten des Nutzers und dergleichen an den Authentifizierungsserver übermittelt werden. Die Nutzerregistrierungsdaten werden dort zusammen mit der Datenträgerverwaltungsinformation gespeichert und durch den Authentifizierungsserver der Datenträgerverwaltungsinformation zugeordnet. Nach Abschluss dieses Schrittes gilt der Datenträger als demjenigen Nutzer zugeordnet, welcher durch die empfangenen Nutzerregistrierungsdaten angegeben worden ist.
Das Verwalten des Datenträgers in dem System kann weiterhin einen Schritt des Freischaltens einer Anwendung eines Dienstanbieters für den Datenträger umfassen.
Dabei ist zu beachten, dass das System derart aufgebaut ist, dass der Authentifizierungsserver mit einer Vielzahl von Dienstanbietern verbunden sein kann, welche jeweils zumindest eine Anwendung der vorstehend angedeuteten Art anbieten, beispielsweise eine Zugangskontrolle, den Verkauf verschiedener Waren oder Dienstleistungen, und dergleichen. Jeder Dienstanbieter umfasst zumindest ein Lesegerät, über welches der portable Datenträger in Kommunikation mit dem Dienstanbieter bzw. mit einer Anwendung des Dienstanbieters kommen kann. Ist nun der Datenträger in dem System aktiviert und gegebenenfalls einem konkreten Nutzer zugeordnet, so können für den Datenträger verschiedene Anwendungen freigeschaltet werden. Nach Freischaltung des Datenträgers für eine Anwendung eines Dienstanbieters ist das System eingerichtet, das Durchführen einer Transaktion zwischen der Anwendung des Dienstanbieters und dem Datenträger zu unterstützen. Mit anderen Worten kann ein Nutzer des Datenträgers eine Anwendung eines Dienstanbieters in der Regel erst dann nutzen, wenn diese für den konkreten Datenträger freigeschaltet worden ist.
Der Schritt des Freischaltens kann dabei beispielsweise derart durchgeführt werden, dass der Authentifizierungsserver dem Nutzer des Datenträgers, beispielsweise über ein geeignetes Webinterface, eine Liste von potentiell auswählbaren Anwendungen verschiedener Dienstanbieter anzeigt. Der Nutzer des Datenträgers kann dann daraus eine oder mehrere Anwendungen auswählen, welche dann seitens des Authentifizierungsservers für den konkreten Datenträger freigeschaltet werden. Für manche dieser Anwendungen kann es notwendig sein, dass der Nutzer des Datenträgers weitere Nutzerregistrierungsdaten, beispielsweise Kontoinformationen oder dergleichen, angibt, um eine vollständige und insbesondere automatische Nutzung der Anwendung zu ermöglichen.
Allgemein im Zusammenhang mit der vorliegenden Erfindung kann eine Kommunikation des Nutzers des Datenträgers mit dem Authentifizierungsserver über eine geeignete Applikation („App”) erfolgen, welche der Nutzer auf seinem Endgerät, beispielsweise seinem Smartphone, in herkömmlich bekannter Weise installiert. Darüber kann sich der Nutzer dann, unter Angabe seiner Nutzerregistrierungsdaten, bei dem Authentifizierungsserver anmelden. Auch die erste Nutzerregistrierung kann mittels einer solchen Applikation unterstützt werden. Alternativ oder zusätzlich kann der Authentifizierungsserver eine Kommunikationsschnittstelle, beispielsweise das erwähnte Web-Interface, bereitstellen, welche über jeden herkömmlichen Browser für den Nutzer des Datenträgers nutzbar ist (nach vorheriger Anmeldung mittels der Nutzerregistrierungsdaten).
In sämtlichen vorstehend beschriebenen Verwaltungsschritten erkennt der Authentifizierungsserver den Datenträger anhand der Datenträgerverwaltungsinformation, die seitens des portablen Endgeräts des Nutzers an den Authentifizierungsserver übermittelt worden ist. Diese Datenträgerverwaltungsinformation ist in dem Authentifizierungsserver, gekoppelt mit der Sicherheitsinformation des portablen Datenträgers, z. B. in einer geeigneten Datenbank des Authentifizierungsservers, gespeichert. Zusammen mit der Datenträgerverwaltungsinformation und Sicherheitsinformation können dann auch entsprechende Nutzerregistrierungsdaten gespeichert und verwaltet werden.
Damit kann ein Nutzer des Systems auf sehr einfache Weise einen Datenträger bei dem System aktivieren, sich als Nutzer des Datenträgers registrieren und den Datenträger für verschiedene Anwendungen unterschiedlicher Dienstanbieter freischalten. Damit ist eine flexible und einfache Nutzung des Datenträgers in verschiedenen Anwendungszusammenhängen möglich.
Der Schritt des Freischaltens einer Anwendung eines Dienstanbieters wird in der Regel, wie bereits erläutert, von einem dem Datenträger zugeordneten Nutzer durchgeführt.
Alternativ ist es auch möglich, dass einzelne Anwendungen spezifischer Dienstanbieter von dem jeweiligen Dienstanbieter selbst für einen Nutzer des Datenträgers freigeschaltet werden. Dazu kann der Dienstanbieter seinerseits die Datenträgerverwaltungskennzeichnung des Datenträgers mittels eines geeigneten Lesegeräts kontaktlos auslesen und die in der Datenträgerverwaltungskennzeichnung codierte Datenträgerverwaltungsinformation an den Authentifizierungsserver übermitteln. Dies betrifft in der Regel solche Anwendungen, die nur einer spezifischen Nutzergruppe zugänglich sind, wie beispielsweise der Zugang zu einem Parkhaus einer Wohnanlage, welche lediglich für Bewohner der Wohnanlage zugänglich sein soll. Der Dienstanbieter ist dabei z. B. der Betreiber der Wohnanlage, welcher nach einer Prüfung, ob ein potentieller Nutzer auch Bewohner der Wohnanlage ist, diesen für den Zugang zu dem Parkhaus in der angegebenen Weise freischalten kann.
Eine Anwendung eines Dienstanbieters kann insbesondere derart freigeschaltet werden, dass eine Transaktion zwischen dem Datenträger und der Anwendung nachfolgend automatisch, das heißt ohne weitere Nutzerinteraktion oder die Notwendigkeit der Eingabe weiterer Daten oder einer Transaktionsbestätigung durchgeführt werden kann. Dies erlaubt eine besonders einfache Durchführung solcher Transaktionen.
Alternativ oder zusätzlich ist es möglich, einzelne Anwendungen nur grundsätzlich freizuschalten, während für das Durchführen der betreffenden Transaktion jedoch weiterhin eine Nutzerinteraktion, zumindest eine Transaktionsbestätigung oder dergleichen, vorgesehen ist.
Das Datenträgerverwaltungsverfahren gemäß dem zweiten Aspekt der Erfindung und das Transaktionsverfahren gemäß dem ersten Aspekt der Erfindung können vorteilhaft derart kombiniert werden, dass der Authentifizierungsserver zusätzlich zum Authentifizieren des Datenträgers prüfen kann, ob der entsprechende Datenträger im System bereits aktiviert ist. Weiterhin kann der Authentifizierungsserver prüfen, ob dem Datenträger bereits ein entsprechender Nutzer zugeordnet ist und ob diejenige Anwendung, welche der aktuell über das Lesegerät mit dem Datenträger verbundene Dienstanbieter anbietet, für den konkreten Datenträger bereits freigeschaltet ist.
Im Schritt des Übermittelns eines Ergebnisses der Authentifizierung kann der Authentifizierungsserver daher dem Lesegerät nicht nur mitteilen, ob der Datenträger erfolgreich authentifiziert worden ist, sondern auch, ob der Datenträger im System bereits aktiviert ist und ob die infrage stehende Anwendung für den Datenträger bereits freigeschaltet worden ist.
Auf der anderen Seite kann der Authentifizierungsserver, wenn er beispielsweise nach erfolgreicher Authentifizierung des Datenträgers erkennt, dass die infrage stehende Anwendung für den Datenträger noch nicht freigeschaltet worden ist, den Nutzer des Datenträgers auffordern, die Anwendung freizuschalten.
Ein dritter Aspekt der vorliegenden Erfindung betrifft einen Authentifizierungsserver für ein Transaktionssystem. Dieses System umfasst zumindest einen vorstehend mit Bezug auf den ersten Aspekt der Erfindung beschriebenen Datenträger, den Authentifizierungsserver selbst und zumindest ein mit dem Authentifizierungsserver über ein Kommunikationsnetzwerk koppelbares Lesegerät zumindest eines Dienstanbieters.
Der Authentifizierungsserver ist insbesondere eingerichtet, von dem Lesegerät eine in der Sicherheitskennzeichnung des Datenträgers codierte Sicherheitsinformation zu empfangen und den Datenträger anhand der Sicherheitsinformation zu authentifizieren. Weiterhin ist der Authentifizierungsserver eingerichtet, von einem mit dem Authentifizierungsserver über ein Kommunikationsnetzwerk koppelbaren portablen Endgerät eine in der Datenträgerverwaltungskennzeichnung codierte Datenträgerverwaltungsinformation zu empfangen und den Datenträger in dem System in vorstehend beschriebener Weise unter Verwendung der Datenträgerverwaltungsinformation zu verwalten.
Vorzugsweise ist der Authentifizierungsserver eingerichtet, zu dem zumindest einen Datenträger, beispielsweise in einer geeigneten Datenbank oder dergleichen, die Sicherheitsinformation, gegebenenfalls einen kryptographischen Schlüssel zum Entschlüsseln einer verschlüsselt empfangenen Sicherheitsinformation, zusammen mit der Datenträgerverwaltungsinformation sowie gegebenenfalls weiteren, den Datenträger betreffenden Verwaltungsdaten, wie beispielsweise Nutzerregistrierungsdaten eines dem Datenträger zugeordneten Nutzers oder Informationen bezüglich für den Datenträger freigeschalteter Anwendungen von Dienstanbietern, zu speichern und zu verwalten. Insbesondere ist der Authentifizierungsserver eingerichtet, ein vorstehend mit Bezug auf den ersten Aspekt der Erfindung beschriebenes Datenträgerverwaltungsverfahren und vorzugsweise auch ein vorstehend mit Bezug auf den zweiten Aspekt der Erfindung beschriebenes Transaktionsverfahren zu unterstützen.
Ein vierter Aspekt der vorliegenden Erfindung betrifft ein entsprechendes Transaktionssystem, umfassend zumindest einen portablen Datenträger gemäß dem ersten Aspekt der Erfindung, einen Authentifizierungsserver gemäß dem dritten Aspekt der Erfindung sowie zumindest ein mit dem Authentifizierungsserver über ein Kommunikationsnetzwerk koppelbares Lesegerät zumindest eines Dienstanbieters der vorstehend beschriebenen Art.
Der zumindest eine Datenträger des Systems ist vorzugsweise als Chipkarte oder als Etikett (Label, Tag) ausgebildet.
Die Sicherheitskennzeichnung des portablen Datenträgers kann vorzugsweise mittels eines RFID-Transponders gebildet sein, beispielsweise als NFC-Transponder oder als UHF-Transponder.
Gemäß einer bevorzugten Variante ist der Transponder eingerichtet, eine in dem Transponder gespeicherte Sicherheitsinformation zu verschlüsseln und nur verschlüsselt an ein Lesegerät eines Dienstanbieters zu übermitteln.
Die Datenträgerverwaltungskennzeichnung des Datenträgers könnte ebenfalls in Form eines Transponders ausgebildet sein, vorzugsweise als NFC-Transponder. Bevorzugt ist die Datenträgerverwaltungskennzeichnung als eine optisch auslesbare Kennzeichnung, vorzugsweise als ein Strichcode, besonders bevorzugt als ein CR-Code, ausgebildet.
Die vorliegende Erfindung wird nachfolgend mit Bezug auf die beiliegenden Zeichnungen beispielhaft beschrieben. Darin zeigen:
1 Komponenten einer bevorzugten Ausführungsform eines erfindungsgemäßen Systems;
2 Schritte einer bevorzugten Ausführungsform eines Verfahrens zum Verwalten eines Datenträgers in dem System nach 1 und
3 Schritte einer bevorzugten Ausführungsform eines Transaktionsverfahrens in dem System nach 1.
Ein in 1 beispielhaft und schematisch dargestelltes Transaktionssystem 100 umfasst einen Authentifizierungsserver 10, zumindest einen portablen Datenträger 40, zumindest ein Lesegerät 24 eines Dienstanbieters 20 sowie zumindest ein portables Endgerät 30 eines Nutzers des Systems 100. Wie es im Folgenden deutlich werden wird, wird ein solches System 100 in der Regel eine Vielzahl von Datenträgern 40 und eine Mehrzahl von Lesegeräten 24 unterschiedlicher Dienstanbieter 20 umfassen.
Der Authentifizierungsserver 10 ist eingerichtet, über ein geeignetes Kommunikationsnetzwerk, beispielsweise das Internet, mit dem Lesegerät 24 bzw. dem Dienstanbieter 20, mit dem das Lesegerät 24 verbunden ist, und dem Endgerät 30 gekoppelt zu werden. Der Authentifizierungsserver 10 umfasst eine geeignete Speichereinrichtung 12, beispielsweise eine Datenbank, um verschiedene, nachstehend im Detail beschriebene Daten, die den Datenträger 40 und dessen Verwaltung in dem System 100 betreffen, zu speichern und zu verwalten. Die Funktion und die Arbeitsweise des Authentifizierungsservers 10 werden nachfolgend mit Bezug auf die Verfahren gemäß den 2 und 3 deutlich werden.
Der Datenträger 40 umfasst eine Sicherheitskennzeichnung 42. Diese ist im gezeigten Beispiel als Transponder ausgebildet. Je nach Anwendung kann ein NFC-Transponder, ein UHF-Transponder oder dergleichen zur Anwendung kommen. Der Transponder 42 umfasst einen Transponder Chip 46 und eine Antenne 44. In dem Transponderchip ist eine Sicherheitsinformation (SID) 48 sowie ein öffentlicher Schlüssel K_E zum Verschlüsseln der Sicherheitsinformation 48 gespeichert. Der Transponderchip 46 ist eingerichtet, die Sicherheitsinformation 48 mittels des Schlüssels K_E zu verschlüsseln und nur verschlüsselt an ein Lesegerät 24 zu übertragen.
Der Datenträger 40 umfasst weiterhin eine Datenträgerverwaltungskennzeichnung 49. Datenträgerverwaltungskennzeichen 49 ist eingerichtet, kontaktlos mittels des portablen Endgeräts 30 ausgelesen zu werden. Grundsätzlich kann auch die Datenträgerverwaltungskennzeichnung 49 als Transponder ausgebildet sein, beispielsweise als NFC Transponder. Bevorzugt wird die Datenträgerverwaltungskennzeichnung 49 aber, wie in 1 dargestellt, als optisch auslesbare Kennzeichnung, besonders bevorzugt als QR-Code, ausgebildet. Ein Auslesen und Auswerten einer solchen Kennzeichnung kann mittels einer herkömmlichen Smartphone-Kamera und einer entsprechende Auswertungsapplikation auf einfache Weise erfolgen.
Der Datenträger 40 ist in dem Authentifizierungsserver 10 des Systems 100 registriert. Der Authentifizierungsserver 10 speichert dazu die Sicherheitsinformation 48 des Datenträgers 40 zusammen mit der in der Datenträgerverwaltungskennzeichnung 49 codierten Datenträgerverwaltungsinformation. Auf diese Weise kann der Authentifizierungsserver 10, wenn er eine dieser beiden Informationen, d. h. die Sicherheitsinformation 48 oder die Datenträgerverwaltungsinformation empfängt, den Datenträger 40 jeweils eindeutig identifizieren und eine Zuordnung zwischen den beiden Informationen vornehmen.
Wie bereits erwähnt, kann das portable Endgerät 30, wie in 1 gezeigt, als Smartphone ausgebildet sein. Das Endgerät 30 ist eingerichtet, die Datenträgerverwaltungskennzeichnung 49 des Datenträgers 40 auszulesen, im gezeigten Beispiel optisch, mittels einer Kamera 34 und einer entsprechenden Auswertungsapplikation 32. In dem Fall, dass die Datenträgerverwaltungskennzeichnung 49 als NFC-Transponder ausgebildet ist, kann als Endgerät 30 ein NFC-fähiges Smartphone oder dergleichen verwendet werden. Das Endgerät 30 muss nicht in der Lage sein, die Sicherheitskennzeichnung 42 des Datenträgers 40 auszulesen.
Der Datenträger 40, d. h. genauer die Sicherheitskennzeichnung 42 des Datenträgers 40, kann über das Lesegerät 24 mit einer Anwendung 22 des Dienstanbieters 20 zum Durchführen einer Transaktion verbunden werden, wie dies nachfolgend mit Bezug auf 3 beschrieben wird.
Um den Datenträger 40 in dem System zu aktivieren, einem Nutzer zuzuordnen und für die Anwendung 22 freizuschalten, kann ein Datenträgerverwaltungsverfahren verwendet werden, wie es nachfolgend mit Bezug auf 2 beschrieben wird.
In einem ersten Schritt S1 wird der Datenträger 40 mit einer Datenträgerverwaltungskennzeichnung 49, beispielsweise dem vorstehend beschriebenen QR-Code, ausgestattet. Die Datenträgerverwaltungskennzeichnung 49 wird dabei derart auf den Datenträger 40 auf- oder in den Datenträger 40 eingebracht, dass sie durch das Endgerät 30 des Nutzers kontaktlos auslesbar ist.
Die Datenträgerverwaltungskennzeichnung 49 codiert eine Datenträgerverwaltungsinformation, beispielsweise eine eindeutig dem Datenträger zugeordnete Zeichenkette. Wie bereits erwähnt, ist die Datenträgerverwaltungsinformation des Datenträgers 40 in dem Authentifizierungsserver 10 eindeutig mit der Sicherheitsinformation 48 des Datenträgers 40 gekoppelt.
In Schritt S2 wird die Datenträgerverwaltungskennzeichnung 49 kontaktlos mittels eines portablen Endgeräts 30 eines Nutzers des Systems 100 ausgelesen. Im gezeigten Beispiel wird der Nutzer mittels des Smartphones 30 und der Kamera 34 den QR-Code 49 auslesen und die darin gespeicherte Datenträgerverwaltungsinformation in Schritt S3 an den Authentifizierungsserver 10 weiterleiten. In der Datenträgerverwaltungskennzeichnung 49 kann, zusätzlich zu der Datenträgerverwaltungsinformation, beispielsweise eine Internet-Adresse des Authentifizierungsservers 10 gespeichert sein, um den Schritt S3 des Übermittels automatisieren zu können.
In Schritt S4 nun verwaltet der Authentifizierungsserver 10 den Datenträger 40 in dem System 100 unter Verwendung der in Schritt S3 empfangenen Datenträgerverwaltungsinformation.
Das Verwalten des Datenträgers 40 in dem System 100 kann verschiedene Aspekte betreffen, die in 2 in den Teilschritten S4.1, S4.2 und S4.3 angedeutet sind.
In Schritt S4.1 wird der Datenträger 40 in dem System 100 aktiviert. Grundsätzlich ist ein Datenträger 40 eingerichtet, in der mit Bezug auf die 3 beschriebenen Weise in dem System 100 verwendet zu werden. In der Regel ist dazu aber eine einmalige Aktivierung des Datenträgers 40 erforderlich. Eine solche Aktivierung kann dadurch erfolgen, dass der Authentifizierungsserver 10 von dem Endgerät 30 einmalig die in der Datenträgerverwaltungskennzeichnung 49 codierte Datenträgerverwaltungsinformation empfängt. Ab diesem Zeitpunkt kann der Authentifizierungsserver 10, als Datenträgerverwaltungsschritt, den Datenträger 40 als in dem System 10 aktiviert verzeichnen. Es ist möglich, dass der Authentifizierungsserver 10 eine solche Aktivierung des Datenträgers 40 auch rückgängig macht, beispielsweise dann, wenn ein Missbrauch des Datenträgers 40 vorliegt oder zumindest vermutet wird.
Ein weiterer, mit Bezug auf Schritt S4.2 angedeuteter Datenträgerverwaltungsschritt umfasst das Zuordnen eines Nutzers zu dem Datenträger 40. Es sind Anwendungen vorstellbar, bei denen eine solche Nutzerzuordnung zu dem Datenträger, die a priori nicht besteht, nicht erforderlich ist. In der Regel aber wird einmalig eine Zuordnung eines Nutzers zu dem Datenträger 40 erfolgen. Dabei registriert sich der Nutzer bei dem Authentifizierungsserver 10 als der Nutzer des Datenträgers 40. Ist eine solche Registrierung abgeschlossen, kann sich kein anderer Nutzer mehr als Nutzer des Datenträgers 40 registrieren, das heißt der Datenträger 40 ist demjenigen Nutzer eindeutig zugeordnet, der sich als erster registriert hat. Grundsätzlich kann es vorgesehen sein, dass ein einmal registrierter Nutzer geändert wird und ein neuer Nutzer eingetragen wird. Es kann auch vorgesehen sein, dass pro Datenträger eine begrenzte Anzahl von Nutzern, d. h. mehr als ein Nutzer, registriert werden können, dann vorzugsweise mit demselben Passwort, um Missbrauch zu vermeiden.
Auch zum Zuordnen eines Nutzers zu dem Datenträger 40 wird in vorstehend beschriebener Weise die Datenträgerverwaltungskennzeichnung 49 mittels des Endgeräts 30 ausgelesen und die darin codierte Datenträgerverwaltungsinformation an den Authentifizierungsserver 10 übertragen. Anschließend können, wenn der Authentifizierungsserver 10 anhand der Datenträgerverwaltungsinformation den Datenträger 40 identifiziert hat, Nutzerregistrierungsdaten des Nutzers an den Authentifizierungsserver 10 mittels des Endgeräts 30 übermittelt werden. Solche Nutzerregistrierungsdaten können insbesondere einen Nutzernamen und ein Passwort des Nutzers umfassen. Damit kann sich der Nutzer im Folgenden bei dem Authentifizierungsserver 10 zur weiteren Verwaltung des Datenträgers 40 und zur Eingabe weiterer, die Nutzung des Datenträgers 40 in den System betreffender Daten anmelden, wie beispielsweise zum Eingeben oder Ändern von Kontoinformationen zum Ermöglichen einer automatischen Durchführung einer Bezahltransaktion mittels des Datenträgers 40 oder dergleichen.
Ein weiterer Verwaltungsschritt betrifft das Freischalten einer Anwendung eines Dienstanbieters 20 für den Datenträger 40, wie dies in Schritt S4.3 angedeutet ist. Bevor ein Nutzer mittels des Datenträgers 40 eine Anwendung 22 eines Dienstanbieters 20, beispielsweise die in 1 gezeigte Anwendung 22, verwenden kann, d. h. mittels des Datenträgers 40 eine Transaktion mit Anwendung 22 durchführen kann, muss die betreffende Anwendung 22 für den Datenträger 40 freigeschaltet werden. Um ein solches Freischalten zu ermöglichen, kann der Nutzer des Datenträgers 40, erneut durch Auslesen der Datenträgerverwaltungskennzeichnung 49 mittels des Endgeräts 30 und durch Übermitteln der in der Datenträgerverwaltungskennzeichnung 49 codierten Datenträgerverwaltungsinformation an den Authentifizierungsserver 10, quasi eine Anmeldung des Datenträgers 40 bei dem Authentifizierungsserver 10 durchführen. Der Authentifizierungsserver 10 bietet dann die Möglichkeit des Freischalten einzelner Anwendungen 22, welche dem Nutzer des Datenträgers 10, beispielsweise in Form einer Liste, angezeigt werden. Der Nutzer des Datenträgers 40 kann aus dieser Liste einzelne Anwendungen auswählen, welche dann seitens des Authentifizierungsservers 10 zur Benutzung für den Datenträger 40 freigeschaltet werden. Grundsätzlich können auch Anwendungen vorgesehen sein, welche von einem im System aktivierten Datenträger 40 ohne vorherige Freischaltung verwendet werden können.
Es versteht sich, dass nach einmaligem Auslesen der Datenträgerverwaltungskennzeichnung 49 und Übermittlung der darin codierten Datenträgerverwaltungsinformation, quasi innerhalb einer „Sitzung”, eine Mehrzahl der Schritte S4.1, S4.2 oder S4.3 durchgeführt werden können, ohne dass vor dem Durchführen jedes der Schritte das Auslesen und Übermittels stets wiederholt werden muss. Ist jedoch die Datenkommunikation zwischen dem Endgerät 30 und dem Authentifizierungsserver 10 einmal beendet, so erfordert das erneute oder erstmalige Durchführen beispielsweise des Schritts S4.3 zuvor ein erneutes Durchführen der Schritte S2 und S3.
Mit Bezug auf 3 wird im Folgenden ein Transaktionsverfahren, d. h. ein Verfahren zum Durchführen einer Transaktion zwischen dem Datenträger 40 und einer Anwendung 22 des Dienstanbieters 20, exemplarisch beschrieben. Ein solches Verfahren ist grundsätzlich unabhängig von einem Datenträgerverwaltungsverfahren gemäß 2.
In Schritt T1 fordert ein Lesegerät 24 eines Dienstanbieters 20, wenn es einen portablen Datenträger 40 im Ansprechbereich des Lesegeräts 24 erkennt, den Datenträger 40 auf, eine Authentisierungsinformation bereitzustellen. Das Lesegerät 24 kann dabei eingerichtet sein zu erkennen, ob es sich bei dem Datenträger 40 um einen gesicherten Datenträger in der Weise handelt, dass die Sicherheitskennzeichnung 42 des Datenträgers 40 eine Sicherheitsinformation 48 des Datenträgers 40, anhand welcher der Authentifizierungsserver 10 den Datenträger 40 authentifizieren kann, lediglich in verschlüsselter Weise bereitstellt. In diesem Fall kann das Lesegerät 24 beispielsweise von dem Authentifizierungsserver 10 ein entsprechendes Kommando anfordern, welches ein Authentifizierungsverfahren unter Verwendung einer verschlüsselt übertragenen Sicherheitsinformation 48 ermöglicht. Im Zusammenhang mit der vorliegenden Erfindung kann dazu beispielsweise ein Protokoll gemäß ISO/IEC 29167-19 verwendet werden, bei der ein spezielles Challenge-Response-Verfahren zur Datenträgerauthentifizierung zu Anwendung kommt. Die Sicherheitsinformation 48 ist in diesem Fall als acht Byte lange Kennzeichnung definiert.
In Schritt T2 stellt der Datenträger 40 eine entsprechende Authentisierungsinformation an das Lesegerät 24 bereit. Diese Authentisierungsinformation umfasst insbesondere die Sicherheitsinformation 48, wie vorstehend erwähnt, vorzugsweise in verschlüsselter Form. Dazu umfasst die Sicherheitskennzeichnung 42 einen Verschlüsselungsschlüssel K_E zum Verschlüsseln der Sicherheitsinformation 48. Der Schlüssel K_E kann dabei beispielsweise ein öffentlicher Schlüssel eines asymmetrischen Schlüsselpaares sein, wobei der Authentifizierungsserver 10 einen dem Schlüsselpaar zugehörigen geheimen Schlüssel K_D umfasst (vgl. 1), um die verschlüsselte Sicherheitsinformation 48 wieder entschlüsseln zu können.
Der Datenträger 40 kann die Authentisierungsinformation beispielsweise als Kryptogramm in Übereinstimmung mit dem vorstehend beschriebenen Standard erzeugen. Die Authentisierungsinformation umfasst insbesondere auch eine weitere Information, welche es dem Authentifizierungsserver 10 erlaubt, den zum Entschlüsseln der verschlüsselten Sicherheitsinformation erforderlichen geheimen Schlüssel K_D zu bestimmen. Diese weitere Information kann Teil des Kryptogramms sein. Alternativ kann das Lesegerät 24 eine solche weitere Informationen separat von dem Datenträger 40 anfordern und der Authentisierungsinformation hinzufügen. Ein Beispiel einer solchen weiteren Information ist eine spezifische Gruppenidentität, welche eine Gruppe definiert, welcher der Datenträger 40 zugeordnet ist. Zu jeder dieser Gruppen existiert dann ein einheitlicher öffentlicher Schlüssel K_E und ein entsprechender geheimer Schlüssel K_D.
In Schritt T3 leitet das Lesegerät 24 die von dem Datenträger 40 empfangene Authentisierungsinformation an den Authentifizierungsserver 10 weiter.
Dieser authentifiziert in Schritt T4 den Datenträger 40 anhand der in der Authentisierungsinformation enthaltenen Sicherheitsinformation 48. Dazu entschlüsselt der Authentifizierungsserver 10, mittels des geheimen Schlüssels K_D, die in der Authentisierungsinformation enthaltende verschlüsselte Sicherheitsinformation 48. Unter Verwendung eines vorstehend angedeuteten Challenge-Response-Verfahrens kann auf diese Weise eine eindeutige Authentifizierung des Datenträgers 40 in an sich bekannter Weise erfolgen.
Optional kann der Authentifizierungsserver 10 nun, nach erfolgreicher Authentifizierung des Datenträgers 40, der Sicherheitsinformation 48 des Datenträgers 40 eine öffentliche Kennzeichnung (PID) des Datenträgers 40 eindeutig zuordnen. Es kann dabei vorgesehen sein, dass der Authentifizierungsserver 10 für jede Anwendung 22 eines Dienstanbieters 20, welche für den Datenträger 40 freigeschaltet worden ist, eine separate öffentliche Kennzeichnung des Datenträgers 40 erzeugt, der Sicherheitsinformation 48 des Datenträgers 40 zugeordnet, und der jeweiligen Anwendung des Dienstanbieters übermittelt. Über die entsprechende öffentliche Kennzeichnung kann die Anwendung dann selbst den Datenträger 40 eindeutig authentifizieren.
Das Format einer solchen öffentlichen Kennzeichnung ist grundsätzlich pro Anwendung 22 frei wählbar und kann den Ansprüchen der Anwendung 22 angepasst werden. Anhand einer solchen öffentlichen Kennzeichnung kann eine Anwendung 22, wenn dies erforderlich ist, einen Nutzer des Datenträgers 40 im Verlauf einer Transaktion „wiedererkennen”, beispielsweise bei einer Maut-Anwendung mit einer Mehrzahl von Mautstellen. Die wahre Identität des Nutzers des Datenträgers 40, welche dem Dienstanbieter 20 in der Regel nicht bekannt ist, kann dabei verborgen bleiben. Das Übertragen der öffentlichen Kennzeichnung anstelle der Sicherheitskennzeichnung 48 von dem Authentifizierungsserver 10 an das Lesegerät 24 bietet weiterhin den Vorteil, dass das Lesegerät 24 dann nicht beides, Klartext (Sicherheitskennzeichnung) und Kryptogramm (verschlüsselte Sicherheitskennzeichnung), vorliegen hat und daraus eventuell Rückschlüsse auf die Verschlüsselung ziehen könnte.
In Schritt S5 übermittelt der Authentifizierungsserver 10 ein Ergebnis des Authentifizieren an das Lesegerät 24, das heißt insbesondere die Tatsache, ob der Datenträger 40 erfolgreich authentifiziert worden ist, und falls ja, gegebenenfalls zusätzlich eine öffentliche Kennzeichnung des Datenträgers 40, welche derjenigen Anwendung 22 eines Dienstanbieters 20 zugeordnet ist, mit welcher der Datenträger 40 nun das Durchführen einer Transaktion beabsichtigt. Wie vorstehend angedeutet, ist dem Authentifizierungsserver 10 die spezifische Anwendung 22 bekannt.
In Schritt T6 prüft das Lesegerät 24 die erhaltenen Ergebnisse, das heißt es prüft, ob der Datenträger 40 seitens des Authentifizierungsservers 10 eindeutig authentifiziert worden ist und gegebenenfalls, ob die empfangene öffentliche Kennzeichnung des Datenträgers 40 mit der für die Anwendung bekannten öffentlichen Kennzeichnung übereinstimmt. Ergeben sich Widersprüche hinsichtlich der öffentlichen Kennzeichnung oder ist die Authentifizierung generell gescheitert, wird das Verfahren, wie mit Bezug auf Schritt T8 angegeben, abgebrochen.
Im Falle einer insgesamt erfolgreichen Authentifizierung wird in Schritt T7 eine Transaktion zwischen dem Datenträger 40 und der Anwendung 22 des Dienstanbieters 20 durchgeführt.
Generell kann festgestellt werden, dass der Authentifizierungsserver 10 somit eine Reihe vorteilhafter Funktionalitäten zur Verfügung stellt. Zum einen kann er für verschiedene Anwendungen 22 verschiedener Dienstanbieter 20 die Authentizität des Datenträgers 40 prüfen, während der Datenträger 40 gegenüber den Dienstanbietern anonym bleiben kann. Der Authentifizierungsserver 10 kann auch feststellen, ob der Datenträger 40 für eine spezifische Anwendung 22 bereits freigeschaltet ist. Weiterhin kann der Authentifizierungsserver 10, da zu dem Datenträger 40 entsprechende Nutzerregistrierungsdaten verwaltet werden können, als Clearinginstanz operieren, und beispielsweise eine Abrechnung verschiedener Anwendungen für verschiedene Dienstanbieter unterstützen.
Das Vorsehen der Datenträgerverwaltungskennzeichnung 49 auf dem Datenträger 40 ermöglicht für einen Nutzer des Datenträgers 40 eine sehr einfache Verwaltung des Datenträgers 40 in dem System 100. Dazu sind keine neuen technischen Mittel erforderlich, ein herkömmliches Smartphone, welches der Nutzer ohnehin im täglichen Leben verwendet, ist vollständig ausreichend, um die wesentlichen Datenträgerverwaltungsschritte, nämlich das Aktivieren des Datenträgers 40 in System 100, das Zuordnen eines Nutzers zu dem Datenträger 40 sowie das Freischalten einzelner Anwendungen 22, durchzuführen. Auf diese Weise wird es erstmals möglich, ein und denselben portablen Datenträger 40, welcher kontaktlos mit verschiedenen Anwendungen 22 unterschiedlicher Dienstanbieter 20 zusammenwirken kann, bereitzustellen.
Es versteht sich, dass ein Nutzer verschiedene portable Datenträger 40 verwenden kann, beispielsweise einmal in Form einer Chipkarte, einmal in Form eines Etiketts. Der Authentifizierungsserver 10 kann dabei selbstverständlich auch verschiedene Datenträger 40 für einen Nutzer verwalten.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

ISO/IEC 29167-19 [0023]
ISO/IEC 29167-19 [0027]
ISO/IEC 29167-19 [0092]
Standard erzeugen. [0094]

Claims

Verfahren in einem System (100), welches umfasst zumindest einen portablen Datenträger (40), einen Authentifizierungsserver (10) und mehrere Dienstanbietersysteme, jeweils mit Lesegeräten (24) und einer Dienstanbietereinheit (20), wobei die Lesegeräte (24) vorgesehen sind, um eine Anwendungsidentität von portablen Datenträgern auszulesen, und wobei die Dienstanbietereinheit vorgesehen ist, um eine Berechtigung in dem Dienstanbietersystem mittels einer ausgelesenen Anwendungsidentität zu prüfen, das Verfahren umfassend die Schritte: – Anfordern (T1) einer eine Sicherheitsidentität (48) des Datenträgers (40) umfassenden Authentisierungsinformation von dem Datenträger (40) durch ein Lesegerät (24) des Dienstanbieters (20); – Bereitstellen (T2) der Authentisierungsinformation durch den Datenträger (40) an das Lesegerät (24); – Weiterleiten (T3) der Authentisierungsinformation durch das Lesegerät (24) an den Authentifizierungsserver (10); – Authentifizieren des Datenträgers (T4) anhand der Authentisierungsinformation durch den Authentifizierungsserver (10); – Ermitteln einer dem Datenträger (40) in dem Dienstanbietersystem zugeordneten Anwendungsidentität durch den Authentifizierungsserver (10) anhand der Sicherheitsidentität (48); und – Übermitteln (T5) der ermittelten dem Datenträger zugeordneten Anwendungsidentität an das Lesegerät (24) des Dienstanbietersystems.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass in dem Schritt des Ermittelns die Anwendungsidentität des Datenträgers in dem Dienstanbietersystem aus einer Vielzahl von Anwendungsidentitäten ausgewählt wird.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die ermittelte Anwendungsidentität dem Datenträger für das Dienstanbietersystem in dem Authentifizierungsserver (10) fest zugeordnet ist.
Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass die ermittelte Anwendungsidentität dem Datenträger für das Dienstanbietersystem in dem Authentifizierungsserver (10) aus einer Vielzahl von für das Dienstanbietersystem verfügbaren Anwendungsidentitäten dynamisch ausgewählt wird.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass der Vielzahl von für das Dienstanbietersystem verfügbaren Anwendungsidentitäten aus denen dynamisch ausgewählt wird, in dem Dienstanbietersystem gleiche Berechtigungen zugewiesen sind.
Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass das Lesegerät die übermittelte Anwendungsidentität, insbesondere wie eine direkt aus Datenträgern ausgelesene Anwendungsidentität, an die Dienstanbietereinheit des Dienstanbietersystems sendet.
Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass der portable Datenträger in dem Dienstanbietersystem nur über die Anwendungsidentität identifizierbar ist.
Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass der portable Datenträger nur die Sicherheitsidentität als Identität des Datenträgers für den Authentifizierungsserver (10) umfasst und durch eine Vielzahl von vom Authentifizierungsserver (10) übermittelbaren, dem Datenträger zugeordneten Anwendungsidentitäten in der Vielzahl von Dienstanbietersystemen verwendbar ist.
Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass der Datenträger (40) mit einer Datenträgerverwaltungskennzeichnung (49) ausgestattet ist, welche eine Datenträgerverwaltungsinformation codiert und welche mittels eines portablen Endgeräts (30) eines Nutzers des Systems (100) kontaktlos auslesbar ist, wobei der Datenträger (40) vorab auf dem Authentifizierungsserver (10) mit den folgenden Schritten verwaltet wird: – Kontaktloses (S2) Auslesen der Datenträgerverwaltungskennzeichnung (49) mittels eines portablen Endgeräts (30) und Übermitteln (S3) der in der Datenträgerverwaltungskennzeichnung (49) codierten Datenträgerverwaltungsinformation an den Authentifizierungsserver (10); – Verwalten (S4) des Datenträgers (40) in dem System (100) unter Verwendung der Datenträgerverwaltungsinformation.
Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass eine Verwaltung des Datenträger (40) auf dem Authentifizierungsserver (10) umfasst: – Zuordnen zumindest eines Dienstanbietersystems aus der Vielzahl der Dienstanbietersysteme zu dem Datenträger.
Authentifizierungsserver (10) für ein System (100), mit zumindest einem portablen Datenträger (40), dem Authentifizierungsserver (10) und mehreren Dienstanbietersystemen, jeweils mit Lesegeräten (24) und einer Dienstanbietereinheit (20), wobei die Lesegeräte (24) vorgesehen sind, um eine Anwendungsidentität von portablen Datenträgern auszulesen, und wobei die Dienstanbietereinheit vorgesehen ist, um eine Berechtigung in dem Dienstanbietersystem mittels einer ausgelesenen Anwendungsidentität zu prüfen, wobei der Authentifizierungsserver (10) eingerichtet ist, – von dem Lesegerät (24) Authentisierungsinformation mit einer Sicherheitsidentität (48) des Datenträgers zu empfangen; – Authentifizieren des Datenträgers (T4) anhand der Authentisierungsinformation durch den Authentifizierungsserver (10); – Ermitteln einer dem Datenträger (40) in dem Dienstanbietersystem zugeordneten Anwendungsidentität anhand der Sicherheitsidentität durch den Authentifizierungsserver (10); und – Übermitteln (T5) der ermittelten dem Datenträger zugeordneten Anwendungsidentität an das Lesegerät (24) des Dienstanbietersystems.
Authentifizierungsserver (10) nach Anspruch 11, dadurch gekennzeichnet, dass der Authentifizierungsserver (10) eingerichtet ist, zu dem zumindest einen Datenträger (40) die Sicherheitsidentität (48), zusammen mit Datenträgerverwaltungsinformation zu speichern und zu verwalten, sowie ein Verfahren nach einem der Ansprüche 1 bis 10 zu unterstützen.
System (100), umfassend – zumindest einen portablen Datenträger (40), – den Authentifizierungsserver (10) nach Anspruch 11 oder 12 sowie – zumindest ein mit dem Authentifizierungsserver (10) über ein Kommunikationsnetzwerk koppelbares Lesegerät (24) zumindest eines Dienstanbieters (20), wobei der Datenträger (40) eingerichtet ist, kontaktlos mit dem Lesegerät (24) zu kommunizieren und eine seitens des Lesegeräts (24) kontaktlos auslesbare Sicherheitskennzeichnung (42) sowie eine mittels eines portablen Endgeräts (30) kontaktlos auslesbare Datenträgerverwaltungskennzeichnung (49) umfasst.
System (100) nach Anspruch 11 oder 12, dadurch gekennzeichnet, dass die Sicherheitskennzeichnung (42) des Datenträgers (40) als RFID-Transponder ausgebildet ist, vorzugsweise als NFC-Transponder oder als UHF-Transponder.
System (100) nach einem der Ansprüche 11 bis 14, dadurch gekennzeichnet, dass die Datenverwaltungskennzeichnung (49) als optisch auslesbare Kennzeichnung, vorzugsweise als Strichcode, besonders bevorzugt als QR-Code, ausgebildet ist.