DE69316516T2

DE69316516T2 - Gesichertes Chipkartensystem mit wiederverwendbarer Prototypkarte

Info

Publication number: DE69316516T2
Application number: DE69316516T
Authority: DE
Inventors: Shiro Atsumi; Toshinari Kondo; Yoshihiro Shona
Original assignee: Oki Electric Industry Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 1992-10-15
Filing date: 1993-10-11
Publication date: 1998-08-27
Anticipated expiration: 2013-10-12
Also published as: EP0593244A2; DE69316516D1; EP0593244B1; US5442165A; EP0593244A3; JPH06131515A; JP2935613B2

Description

Die vorliegende Erfindung betrifft ein IC-Karten-System wie beispielsweise ein Bankkarten-System, und insbesondere ein IC-Karten-System, das sicher ist, und das dennoch entwickelt werden kann, ohne eine große Anzahl von Karten zu verbrauchen.
Brieftaschengroße Karten, die ähnlich aussehen wie herkömmliche Kreditkarten, in die jedoch integrierte Schaltungen (ICs) eingebettet sind, werden von Institutionen wie z.B. Banken als bequeme Einrichtung zur Verwaltung finanzieller und anderer Daten herausgegeben. Diese Karten, die allgemein als "Smart Cards" bekannt sind, werden hier im nachfolgenden als IC-Karten bezeichnet. Ein IC-Karten-System umfaßt nicht nur die IC-Karten selbst, sondern auch verschiedene Software. Die Software weist beispielsweise eine Ausstellungs Programm, das bei der Ausstellung der Karten für den Endbenutzer verwendet wird, sowie Anwendungsprogramme auf, die zur Verarbeitung der Karten verwendet werden, wenn diese in Karten-Verarbeitungsvorrichtungen wie z.B. einen Geldautomaten eingeführt werden.
Ein Merkmal von IC-Karten-Systemen besteht darin, daß sie äußerst sicher gemacht werden können, indem die Karten mit Paßwörtern geschützt werden, und indem bestimmte Daten auf den Karten vor Veränderung geschützt werden, und zwar auch vor Veränderung durch eine Person, die das Paßwort kennt. Typischerweise werden die Karten von einer Institution (dem Karten- Hersteller) hergestellt und dann von einer anderen Institution (dem Karten- Aussteller) auf den Endbenutzer aussteht. Bei einem herkömmlichen System programmiert der Karten-Hersteller die Karten mit einem Hersteller-Paßwort, das nur dem Karten-Hersteller und dem Karten-Aussteller bekannt ist. Wenn der Karten-Aussteller vom Karten-Hersteller eine Karte empfängt, ändert er das Paßwort in ein Aussteller-Paßwort, das nur der Karten-Aussteller kennt, speichert bestimmte Aussteller-Daten und Anwendungsdaten auf der Karte und setzt Schutzbits, die dauerhaft verhindern, daß einige dieser Daten geändert werden. Wenn der Karten-Aussteller die Karte auf einen Endbenutzer ausstellt, speichert er weitere informationen auf der Karte, z.B. den Namen, die Adresse und die persönliche Kennziffer des Benutzers. Einige dieser Informationen können ebenfalls dauerhaft vor Änderungen geschützt werden.
Ein Endbenutzer kann die Daten auf seiner Karte nicht manipulieren, weil er das Aussteller-Paßwort nicht kennt. Wenn die Karte von einem Dritten gestohlen wird, kann diese Person die Daten aus demselben Grund nicht manipulieren. Wenn dieser Dritte eine Karte vom Karten-Hersteller stiehlt, kann er sie trotzdem nicht manipulieren, da er das Hersteller-Paßwort nicht kennt. Der Karten-Hersteller selbst ist nicht mehr in der Lage, eine Karte zu manipulieren, sobald der Karten-Aussteller das Paßwort geändert hat. Auch wenn jemand, der das Paßwort des Ausstellers kennen und dieses benutzen würde, um nicht autorisierten Zugriff auf eine bereits ausgestellte Karte zu erhalten, wäre er darüber hinaus aufgrund des dauerhaften Schutzes der Daten auf der Karte nicht in der Lage, die Karte nochmals auf sich selbst ausstellen zu lassen. Auf diese Weise kann die IC-Karte praktisch gegen alle Arten von Manipulationen gesichert werden, egal, ob es sich um einen Endbenutzer, einen Dritten, den Karten- Hersteller oder einen Angestellten der die Karte herausgebenden Institution handelt.
Ein Nachteil dieser Sicherheitsvorkehrungen besteht jedoch darin, daß der Karten-Aussteller gezwungen ist, bei dem Prozeß, seine Software zu entwickeln und ihre Fehler zu beseitigen, eine große Anzahl von Karten zu verbrauchen. Dies trifft insbesondere dann zu, wenn, was häufig der Fall ist, die Software durch das Verfahren der empirischen Lösung (trial and error) entwickelt wird. Man nehme z.B. einen einen Karten-Aussteller, der ein Ausstellungs- Programm entwickelt. Er stellt eine erste Version des Programms fertig und testet sie durch die Ausstellung einer ersten Karte an einen imaginären Endbenutzer. Die Karte wird dann getestet, indem geprüft wird, ob sie die korrekten Daten enthält und mit der Anwendungssoftware korrekt funktioniert. Wenn irgendwelche Mängel entdeckt werden, wird das Ausstellungs-Programm modifiziert, und das modifizierte Programm wird durch die Ausstellung einer zweiten Karte getestet. Selbst dann, wenn keine Probleme festgestellt werden, werden zusätzliche Karten ausgestellt, um das Programm unter unterschiedlichen Ausstellungs-Szenarien zu testen.
Dieser Vorgang wird solange wiederholt, bis das Ausstellungs- Programm vollständig entwickelt, getestet und von Fehlern befreit worden ist. Für jeden Test wird eine neue Karte benötigt, weil der dauerhafte Datenschutz, der bei der Ausstellung jeder Karte zur Anwendung gebracht wird, verhindert, daß die Karte für einen anderen Test nochmals verwendet wird. Somit wird bei jedem Test eine Karte verbraucht. Da der Programmentwicklungsprozeß typischerweise viele Tests beinhaltet, müssen auf diese Weise viele Karten geopfert werden.
Eine Aufgabe der vorliegenden Erfindung besteht daher darin, zu ermöglichen, daß IC-Karten-System-Software entwickelt und getestet werden kann, ohne dabei IC-Karten zu verbrauchen.
Eine weitere Aufgabe der vorliegenden Erfindung besteht darin, bestehende Sicherheitsn iveaus zu gewährleisten.
Gemäß einem ersten Aspekt der vorliegenden Erfindung wird ein Satz IC-Karten geschaffen, der folgendes umfaßt:
eine Prototyp-IC-Karte, die folgendes speichert: ein Hersteller-Paßwort, einen Standardsatz von von Befehlen, um ein Aussteller-Paßwort zu schreiben und das Hersteller-Paßwort zu löschen, und um Anwendungsdaten auf die Prototyp-IC- Karte zu schreiben, sowie einen Initialisierungsbefehl, um das Aussteller-Paßwort und die Anwendungsdaten zu löschen; und
zumindest eine Herstellungs-IC-Karte, die folgendes speichert: ein Hersteller-Paßwort, einen Standardsatz von Befehlen, um ein Aussteller-Paßwort zu schreiben und das Hersteller-Paßwort zu löschen, und um Anwendungsdaten auf die Herstellungs-IC-Karte zu schreiben, eine Versionsnummer, um die Herstellungs-IC-Karte von der Prototyp-IC-Karte zu unterscheiden, und einen Versions-Lesebefehl, um die Versionsnummer zu lesen;
wobei der auf der Herstellungs-IC-Karte gespeicherte Standardsatz von Befehlen im wesentlichen identisch ist; und wobei der Initialisierungsbefehl nicht auf der Herstellungs-IC-Karte gespeichert ist.
Gemäß einem zweiten Aspekt der vorliegenden Erfindung wird ein IC Karten-Satz geschaffen, der folgendes umfaßt:
eine Prototyp-IC-Karte, die programmiert ist, einen Standardsatz von Befehlen zum Lesen und Schreiben von Daten auf der bzw. auf die Prototyp-IC- Karte sowie einen Initialisierungsbefehl zum Initialisieren der Daten auszuführen; und
zumindest eine Herstellungs-IC-Karte, die programmiert ist, den Standardsatz von Befehlen auszuführen, die Daten auf der Prototyp-IC-Karte zu lesen und auf sie zu schreiben, und die programmiert ist, einen Versions- Lesebefehl auszuführen, der eine Versionsnummer liest, welche die Herstellungs- IC-Karte von der Prototyp-IC-Karte unterscheidet, die jedoch nicht programmiert ist, den Initialisierungsbefehl auszuführen;
wobei die Ausführung des Initialisierungsbefehls und zumindest einiger Befehle des Standardsatzes von Befehlen zunächst in Abhängigkeit von der Eingabe eines korrekten Aussteller-Paßwortes erfolgt; und wobei der Initialisierungsbefehl das Paßwort auf einen voreingestellten Wert initialisiert.
Anhand eines Beispiels wird nun eine Ausführungsform der vorliegenden Erfindung unter Bezugnahme auf die Zeichnung beschrieben, in der: Figur 1 ein Blockdiagramm einer integrierten Schaltung in einer IC-Karte ist;
Figur 2 Prototyp- und Herstellungskarten in verschiedenen Stadien der Programmierung zeigt;
Figur 3 ein Flußdiagramm ist, das die Verwendung einer Prototypkarte zur Entwicklung eines Karten-Ausstellungsprogramms eläutert;
Figur 4 ein Flußdiagramm ist, das die Ausgabe von Herstellungskarten erläutert; und
Figur 5 ein Flußdiagramm ist, das die Benutzung der Herstellungskarten durch Endbenutzer erläutert.
Figur 1 ist ein Blockdiagramm einer integrierten Schaltung, die bei dem erfindungsgemäßen IC-Karten-System verwendet werden kann. Die Schaltung umfaßt eine Zentraleinheit (CPU) 1, ein Interface 2, einen maskenprogrammierbaren Festwertspeicher (Masken-ROM) 3, einen nichtflüchtigen Datenspeicher 4 und einen flüchtigen Direktzugriffsspeicher (RAM) 5. Das interface 2 ermöglicht es der CPU 1, mit einer externen Karten- Verarbeitungsvorrichtung wie beispielsweise einem Geldautomaten zu kommunizieren. Der Datenspeicher 4 umfaßt beispielsweise einen sogenannten Überlagerungs bzw. Flash-Speicher oder einen elektrisch löschbaren programmierbaren Festwertspeicher (EEPROM). Das RAM 5 wird während der Programmausführung als Arbeitsbereich verwendet. Die Schaltungsblöcke in Figur 1 sind dem Fachmann wohlbekannt, so daß auf eine detaillierte Beschreibung verzichtet wird.
IC-Karten, die die integrierte Schaltung gemäß Figur 1 enthalten, werden vom Karten-Hersteller an den Karten-Aussteller geliefert, der sie dann auf Endbenutzer aussteht. Der Karten-Hersteller kann die integrierte Schaltung selbst herstellen oder sie von einem IC-Hersteller erhalten. In beiden Fällen programmiert der Karten-Hersteller den Masken-ROM 3, beispielsweise indem er dem IC- Hersteller die Masken-Daten zur Verfügung stellt. Sobald die IC-Karte hergestellt ist, ist es physikalisch unmöglich, den Inhalt der des Masken-ROM 3 zu ändern. Der Inhalt des Datenspeichers 4 kann jedoch im Gegensatz dazu geändert werden. Der Datenspeicher 4 wird sowohl vom Karten-Hersteller als auch vom Karten-Aussteller programmiert.
Figur 2 zeigt zwei Typen von IC-Karten in verschiedenen Programmierungsstadien, wobei die Inhalte ihres maskenprogrammierbaren ROM 3 und des Datenspeichers 4 angegeben werden. Einer dieser Typen, der in Figur 2 oben dargestellt ist, ist eine vom Karten-Aussteller während der Programmentwicklung verwendete Prototypkarte. Der andere Typ, der in Figur 2 unten dargestellt ist, ist eine Herstellungskarte, die an Endbenutzer ausgegeben wird.
Wenn der Karten-Hersteller 6 eine Prototypkarte herstellt, ist dies anfangs eine leere Prototypkarte 7. "Leer" bedeutet, daß sich der Datenspeicher 4 in einem Anfangszustand befindet und beispielsweise nur aus Einsen bestehende Daten oder nur aus Nullen bestehende Daten enthält. Das Masken-ROM 3 einer leeren Prototypkarte 7 enthält Programme, die einen Standardsatz 8 von Befehlen ausführen, der Lese-, Schreib-, Schutz- sowie andere Befehle umfaßt. Die in den Masken-ROM 3 programmierten Lese- und Schreibbefehle können verwendet werden, um im Datenspeicher 4 Daten zu lesen und zu schreiben. Der Schutzbefehl kann verwendet werden, um im Datenspeicher 4 spezifizierte Daten vor weiterer Änderung durch den Schreibbefehl zu schützen. Das Masken-ROM 3 enthält darüber hinaus ein Initialisierungsbefehl-Programm 9, das den mittels des Schutzbefehls gesetzten Schutz aufhebt und den Anfangszustand des Datenspeichers 4 wiederherstellt, wobei alle mittels des Schreibbefehls geschriebenen Daten gelöscht werden.
Die Details der Programmierung der oben genannten Befehle sind dem Fachmann bekannt. Der Schutzbefehl beispielsweise kann programmiert werden, um spezifizierte Bereiche des Datenspeichers 4 mit Schreibschutz zu versehen, indem im Datenspeicher 4 entsprechende Schutzbits gesetzt werden. Der Schreibbefehl kann eine Prüfroutine umfassen, die den Schreibbefehl daran hindert, (1) irgendwelche Schutzbits zu setzen oder zu löschen; und (2) in einen schreibgeschützten Bereich zu schreiben, d.h. in einen Bereich, dessen Schutzbit gesetzt wurde. Der Initialisierungsbefehl 9 kann den gesamten Datenspeicher 4 löschen, wodurch auch die Schutzbits gelöscht werden.
Die Schreib-, Schutz- und Initialisierungsbefehle (sowie möglicherweise weitere Befehle) sind so programmiert, daß sie nur ausgeführt werden können, indem zuerst ein Paßwort eingegeben wird. Wenn das Paßwort eingegeben ist, wird es beispielsweise im RAM 5 gespeichert und durch den Vergleich mit einem im Datenspeicher 4 gespeicherten Paßwort-Wert überprüft. Dieser Paßwortschutz kann aus dem Schreibbefehl - und möglicherweise auch aus anderen Befehlen -entfernt werden, wenn die Karte ausgestellt wird. Auf der leeren Prototypkarte 7 ist der im Datenspeicher 4 gespeicherte Paßwort-Wert ein aus lauter Einsen oder Nullen bestehender Anfangswert.
Nach der Herstellung der leeren Prototypkarte 7 geht der Karten- Hersteller 6 dazu über, die Karte durch Änderung des Paßwortes zu schützen, wodurch die leere Prototypkarte 7 in eine geschützte Prototypkarte 10 umgewandelt wird. insbesondere gibt der Karten-Hersteller 6 das (aus lauter Einsen oder Nullen bestehende) Anfangspaßwort ein, wodurch er das Recht erwirbt, den Schreibbefehl auszuführen, und verwendet anschließend den Schreibbefehl, um ein Hersteller-Paßwort 11 in den Datenspeicher 4 zu schreiben. Das Hersteller-Paßwort 11 ist sowohl dem Karten-Hersteller 6 als auch dem Karten-Aussteller 12 bekannt, wird jedoch vor Dritten geheimgehalten.
Wenn der Karten-Aussteller 12 die geschützte Prototypkarte 10 vom Karten-Hersteller 6 erhält, verwendet er sein Ausstellungs-Programm, um Daten in den Datenspeicher 4 zu schreiben, wodurch er die Karte in eine ausgestellte Prototypkarte 13 umwandelt. Insbesondere gibt das Ausstellungs-Programm das Hersteller-Paßwort 11 ein, wodurch das Recht erworben wird, den Schreibbefehl auszuführen. Als nächstes verwendet das Ausstellungs-Programm den Schreibbefehl, um das Hersteller-Paßwort 11 in ein Aussteller-Paßwort 14 zu ändern, das nur dem Aussteller bekannt ist. Anschließend schreibt das Ausstellungs-Programm Aussteller-Daten 15 und Anwendungsdaten 16 in den Datenspeicher 4 und verwendet den Schutzbefehl, um das Paßwort 14 und geeignete Teile der Aussteller-Daten 15 sowie der Anwendungsdaten 16 vor weiterer Änderung zu schützen.
Zu diesem Zeitpunkt ist die ausgestellte Prototypkarte 13 auf einen imaginären Endbenutzer ausgestellt worden, dessen Name sowie weitere Endbenutzer-Daten alle (aus lauter Einsen oder Nullen bestehende) Anfangswerte aufweisen. Der Karten-Aussteller 12 verwendet die ausgesstellte Prototypkarte 13 für Testzwecke, wie weiter unten beschrieben wird. Nachdem der Test abgeschlossen ist, bestellt der Karten-Aussteller 12 eine bestimmte Menge von Herstellungskarten vom Karten-Hersteller 6.
Eine leere Herstellungskarte 17 ist dasselbe wie eine leere Prototypkarte 7, mit dem Unterschied, daß sie anstelle des Initialisierungsbefehls 9 einen Versions-Lesebefehl 18 aufweist, der eine Versionsnummer liest. Die Versionsnummer ist vorzugsweise eine im Masken-ROM 3 gespeicherte Nummer, die die Herstellungskarte von einer Prototypkarte unterscheidet. Prototypkarten weisen entweder eine unterschiedliche Versionsnummer oder keine Versionsnummer auf. Beispielsweise kann die Versionsnummer im Versions- Lesebefehl-Programm enthalten sein, das auf Prototypkarten nicht vorhanden ist.
Nach der Herstellung einer leeren Herstellungskarte 17 wandelt der Karten-Hersteller 6 diese in eine geschützte Herstellungskarte 19 um, indem er das Hersteller-Paßwort 11 schreibt, und dann liefert er sie an den Karten-Aussteller 12. Wenn der Karten-Aussteller 12 eine geschützte Herstellungskarte 19 empfängt, verwendet er sofort das Austellungs-Programm, um das Aussteller-Paßwort 14, Aussteller-Daten 15 und Anwendungsdaten 16 in den Datenspeicher 4 zu schreiben und geeignete Teile dieser Daten vor weiterer Änderung zu schützen, wodurch er die Karte in eine ausgestellte Herstellungskarte 20 umwandelt.
Wenn der Karten-Aussteller 12 die Karte an einen Endbenutzer 21 überträgt, verwendet er das Ausstellungs-Programm erneut, um die Karte in eine personalisierte Herstellungskarte 22 umzuwandeln. insbesondere gibt das Ausstellungs-Prog ramm nun das Aussteller-Paßwort 14 ein und verwendet dann den Schreibbefehl, um Endbenutzer-Daten 23 in den Datenspeicher 4 zu schreiben. Die Endbenutzer-Daten 23 umfassen beispielsweise den Namen, die Adresse sowie eine persönliche Kennziffer (PIN-Nummer) des Endbenutzers, wobei letztere ein Geheimcode ist, der nur dem Karten-Aussteller 12 und dem Endbenutzer 21 bekannt ist. Das Ausstellungs-Programm kann auch geeignete Teile der Endbenutzer-Daten 23 vor Änderung schützen, den Paßwortschutz aus dem Schreibbefehl sowie eventuell aus anderen Befehlen, wie weiter oben angegeben, entfernen und sie, beispielsweise basierend auf dem PIN-Code des Endbenutzers, durch alternative Formen des Schutzes ersetzen. Der Endbenutzer 21 kann die personalisierte Herstellungs-Karte 22 nun für den vorgesehenen Zweck, z.B. zur Durchführung von Finanztransaktionen, verwenden.
Die Verwendung einer Prototypkarte bei der Entwicklung eines Ausstellungs-Programms ist in Figur 3 dargestellt. Im Schritt S1 schützt der Karten- Hersteller die Prototypkarte, indem er das Hersteller-Paßwort in sie schreibt. Im Schritt 52 liefert der Karten-Hersteller die Prototypkarte an den Karten-Aussteller.
Im Schritt 53 empfängt der Karten-Aussteller die Prototypkarten-Lieferung. Im Schritt 4 stellt der Karten-Aussteller die Prototypkarte aus, wobei er das in der Entwicklung befindliche Ausstellungs-Programm verwendet. Im Schritt S5 wird die Prototypkarte getestet und überprüft, indem sie beispielsweise in eine Karten- Testvorrichtung eingeführt wird. Falls der Schritt S5 anzeigt, daß das Ausstellungs- Programm modifiziert werden muß, wird dies im Schritt S6 durchgeführt, anschließend wird die Karte im Schritt S7 unter Verwendung des Initialisierungsbefehls initialisiert. Im Schritt S8 gibt der Karten-Aussteller den anfänglichen (aus lauter Nullen oder lauter Einsen bestehenden) Paßwort-Wert ein und führt dann den Schreibbefehl aus, um das Paßwort in das Hersteller-Paßwort zu ändern, wodurch der Zustand der Karte wiederhergestellt wird, wie er bei Lieferung der Karte im Schritt S3 war.
Das Verfahren geht nun wieder zu Schritt S4: die Karte wird unter Verwendung des modifizierten Ausstellungs-Programms erneut ausgestellt und anschließend wieder getestet und überprüft. Die Prototypkarte kann den Zyklus durch die Schritte S4, S5, S6, S7 und S8 so oft durchlaufen, wie es notwendig ist, bis das Ausstellungs-Programm fertiggestellt und gründlich getestet und von Fehlern befreit worden ist. Wenn alle Tests beendet sind und im Schritt S5 ein zufriedenstellendes Ergebnis erzielt worden ist, erklärt der Karten-Aussteller anschließend im Schritt S9 das Ausstellungs-Programm für fertiggestellt.
Dementsprechend kann das Ausstellungs-Programm unter Verwendung nur einer einzigen Prototypkarte vollständig entwickelt, getestet und von Fehlern befreit (debugged) werden. Es ist im Gegensatz zum Stand der Technik nicht notwendig, eine große Anzahl Herstellungskarten zu verbrauchen.
Figur 4 erläutert die Ausstellung einer Herstellungskarte. Im Schritt Sil schützt der Karten-Hersteller die Herstellungskarte, indem er das Hersteller- Paßwort schreibt. Im Schritt S12 liefert der Karten-Hersteller die Herstellungskarte an den Karten-Aussteller, der die Lieferung im Schritt S13 erhält. im Schritt S14 stellt der Karten-Aussteller die Herstellungskarte unter Verwendung des fertiggestellten Ausstellungs-Programms aus und macht sie mit den Daten des Endbenutzers zu einer personalisierten Karte. Im Schritt S15 wird die personalisierte Karte an den Endbenutzer ausgegeben.
Figur 5 erläutert die Verwendung einer personalisierten Herstellungskarte durch den Endbenutzer. Im Schritt S21 führt der Endbenutzer die Karte in die Karten-Verarbeitungsvorrichtung beispielsweise einer Bank ein, und die Vorrichtung detektiert, daß die Karte eingeführt worden ist. Im Schritt S22 befiehlt ein Standardprogramm in der Vorrichtung der Karte, den Versions- Lesebefehl auszuführen, um so die Versionsnummer von der Karte zu lesen. Im Schritt S23 wird die Versionsnummer überprüft. Wenn die Versionsnummer zutreffend ist, wird im Schritt S24 ein Anwendungsprogramm gestartet. Im Schritt S25 liest und überprüft das Anwendungsprogramm auf der Karte gespeicherte Anwendungsdaten. Wenn diese Prüfung positiv ausfällt, führt das Anwendungsprogramm im Schritt S26 den Dienst aus, auf dessen Ausführung es programmiert worden ist, z.B. die Durchführung einer Finanztransaktion. Wenn dieser Dienst beendet ist, endet das Anwendungsprogramm im Schritt S27, und im Schritt S28 wird die Karte ausgeworfen.
Der Vorgang in Figur 5 weist mehrere eingebaute Schutzvorkehrungen auf. Wenn die Karte nicht programmiert ist, um den Versions-Lesebefehl auszuführen (z.B. wenn die Karte eine Prototypkarte ist), wird erstens die Versionsüberprüfung im Schritt S23 logischerweise negativ ausfallen. Ein negatives Ergebnis der Überprüfung im Schritt 23 führt dazu, daß zum Schritt S28, dem Auswerfen der Karte, gesprungen wird. Wenn die auf der Karte gespeicherte Versionsnummer unzutreffend ist, wird zweitens das Ergebnis im Schritt S23 wieder negativ ausfallen und die Karte wird wieder ausgeworfen. Drittens wird, wenn die im Schritt S25 gelesenen Anwendungsdaten unzutreffend sind (z.B. wenn die Karte von einem anderen Aussteller ausgegeben wurde), das Anwendungsprogramm zum Schritt S28 springen, und die Karte wird wiederum ausgeworfen.
Dementsprechend schafft das erfundene Kartensystem die gleichen Sicherheitsmerkmale wie beim Stand der Technik. Eine Herstellungskarte wird zunächst durch das Hersteller-Paßwort, dann durch das Aussteller-Paßwort und darüber hinaus durch den permanenten Schreibschutz geschützt, der bei verschiedenen Daten angewendet wird, wenn die Karte ausgestellt wird, wodurch eine nochmalige Ausstellung der Karte verhindert wird.
Eine Prototypkarte ist sogar noch besser geschützt, weil sie den Versionslesebefehl nicht aufweist. Wenn sie in eine Karten-Verarbeitungsvorrichtung eingeführt wird, fällt die Prototypkarte bei der Versionsprüfung im Schritt S23 gemäß Figur 5 durch und sie wird ausgeworfen, bevor mit irgendeiner Anwendungsverarbeitung begonnen werden kann. Auch wenn jemand eine leere Prototypkarte erhält, die nicht durch ein Paßwort geschützt ist, deren Inhalt er zwar nach Belieben manipulieren kann, so kann er dennoch die Karte nicht benutzen. Dasselbe gilt für jemanden, der eine geschützte Prototypkarte 10 oder eine ausgestellte Prototypkarte 13 stiehlt.
Das oben beschriebene IC-Karten-System ist nur eine der vielen möglichen Ausführungsformen der Erfindung. Es gibt zahlreiche Möglichkeiten, das System zu modifizieren, zum Beispiel wie folgt:
Es wurde beschrieben, daß die Versionsnummer im Masken-ROM 3 gespeichert wird, wo sie nicht verändert werden kann. Da Prototypkarten jedoch keinen Versions-Lesebefehl aufweisen, ist es möglich, die Versionsnummer im Datenspeicher 4 zu speichern. Dies schafft zusätzliche Flexibilität, da es dem Karten-Aussteller ermöglicht wird, verschiedene Versionsnummern zu schreiben, ohne Änderungen der Daten des Masken-ROM veranlassen zu müssen.
Wenn die Versionsnummer im Masken-ROM 3 gespeichert ist, ist es möglich, die Prototypkarte mit einem Versions-Lesebefehl zu versehen, ohne die Sicherheit des Systems zu kompromittieren, solange Prototypkarten und Herstellungskarten unterschiedliche Versionsnummern aufweisen. Wenn eine Prototypkarte in eine Karten-Verarbeitungsvorrichtung eingeführt wird, fällt sie bei der Versionsüberprüfung im Schritt S23 gemäß Figur 5 dennoch durch, da diese Überprüfung so ausgelegt ist, daß Karten zurückgewiesen werden, die Prototyp- Versionsnummern aufweisen.
Es wurde beschrieben, daß der Initialisierungsbefehl eine Prototypkarte in den leeren Zustand zurücksetzt, so daß der Aussteller das Hersteller-Paßwort schreiben muß, um die Karte in den Zustand bei ihrer Lieferung zurückzuversetzen. Eine alternative Möglichkeit besteht darin, den Initialisierungsbefehl das Hersteller-Paßwort schreiben zu lassen. Zur weiteren Sicherheit kann der Hersteller zwei unterschiedliche Paßworte verwenden, eines für Prototypkarten und eines für Herstellungskarten.
Die Prototypkarte kann nicht nur während der Entwicklung des Ausstellungs-Programms verwendet werden, sondern auch während der Entwicklung des Anwendungsprogramms sowie anderer System-Software.
Fachleute werden erkennen, daß noch weitere Modifikationen vorgenommen werden können, ohne vom Schutzumfang der Erfindung abzuweichen, wie sie nachfolgend beansprucht wird.

Claims

1. IC-Karten-Satz mit:

einer Prototyp-IC-Karte (10), die folgendes speichert: ein Hersteller- Paßwort (11), einen Standardsatz von Befehlen (8), um ein Aussteller-Paßwort zu schreiben und das Hersteller-Paßwort zu löschen, und um Anwendungsdaten auf die Prototyp-IC-Karte zu schreiben, sowie einen Initialisierungsbefehl (9), um das Herausgeber-Paßwort und die Anwendungsdaten zu löschen; und

zumindest einer Herstellungs-IC-Karte (19), die folgendes speichert: ein Hersteller-Paßwort (11), einen Standardsatz von Befehlen (8), um ein Aussteller- Paßwort zu schreiben und das Hersteller-Paßwort zu löschen, und um Anwendungsdaten auf die Herstellungs-IC-Karte zu schreiben, eine Versionsnummer, um die Herstellungs-IC-Karte von der Prototyp-IC-Karte zu unterscheiden, und einen Versions-Lesebefehl (18), um die Versionsnummer zu lesen;

wobei der auf der Herstellungs-IC-Karte gespeicherte Standardsatz von Befehlen im wesentlichen identisch ist; und wobei der Initialisiewngsbefehl nicht auf der Herstellungs-IC-Karte gespeichert ist.

2. IC-Karten-Satz nach Anspruch 1, bei dem der Standardsatz von Befehlen einen Befehl umfaßt, um eine Änderung spezifizierter Daten auf der Prototyp-IC-Karte und der Herstellungs-IC-Karte zu verhindern; und bei dem der Initialisierungsbefehl auf der Prototyp-IC-Karte, der zu der Änderung spezifizierter Daten auf der Prototyp-IC-Karte in der Lage ist, diesen Befehl zu "bergehen, um eine Änderung spezifizierter Daten zu verhindern.

3. IC-Karten-Satz nach Anspruch 1, bei dem die Prototyp-IC-Karte zumindest entweder die Versionsnummer oder den Versions-Lesebefehl nicht speichert.

4. IC-Karten-Satz nach Anspruch 1, bei dem die Ausführung des Initialisierungsbefehls und zumindest eines Standardsatzes von Befehlen zunächst in Abhängigkeit von der Eingabe eines korrekten Aussteller-Paßwortes (14) erfolgt.

5. IC-Karten-Satz nach Anspruch 4, bei dem der Initialisierungsbefehl das Aussteller-Paßwort auf einen nicht geheimen Wert initialisiert.

6. IC-Karten-Satz nach Anspruch 4, bei dem der Initialisierungsbefehl das Aussteller-Paßwort auf das Hersteller-Paßwort (11) initialisiert.

7. IC-Karten-Satz nach Anspruch 4, bei dem der Standardsatz von Befehlen jeder Prototyp-IC-Karte und Herstellungs-IC-Karte in einem Masken-ROM (3) gespeichert ist.

8. IC-Karten-Satz nach Anspruch 1, bei dem der Initialisierungsbefehl in einem Masken-ROM (3) gespeichert ist.

9. IC-Karten-Satz nach Anspruch 1, bei dem der Versions-Lesebefehl in einem Masken-ROM (3) gespeichert ist.

10. IC-Karten-Satz nach Anspruch 1, bei dem die Versionsnummer in einem Masken-ROM (3) gespeichert ist.

11. IC-Karten-Satz nach Anspruch 1, bei dem das Hersteller-Paßwort und das Aussteller-Paßwort in einem nichtflüchtigen Speicher (4) gespeichert sind, der elektrisch beschrieben und neu beschrieben werden kann.

12. IC-Karten-Satz mit:

einer Prototyp-IC-Karte (10), die programmiert ist, einen Standardsatz von Befehlen (8) zum Lesen und Schreiben von Daten auf der bzw. auf die Prototyp-IC-Karte sowie einen Initialisierungsbefehl (9) zum Initialisieren der Daten auszuführen; und

zumindest einer Herstellungs-IC-Karte (19), die programmiert ist, den Standardsatz von Befehlen auszuführen, die Daten auf der Prototyp-IC-Karte lesen und schreiben, und die programmiert ist, einen Versions-Lesebefehl auszuführen, der eine Versionsnummer (18) liest, welche die Herstellungs-IC-Karte von der Prototyp-IC-Karte unterscheidet, die jedoch nicht programmiert ist, den 1 nitialisierungsbefehl auszuführen;

wobei die die Ausführung des Initialisierungsbefehls und zumindest einiger Befehle des Standardsatzes von Befehlen zunächst in Abhängigkeit von der Eingabe eines korrekten Paßwortes erfolgt; und

wobei der Initialisierungsbefehl das Paßwort auf einen voreingestellten Wert initialisiert.