DE69726732T2

DE69726732T2 - Verfahren zum durchführen einer mit doppelter unterschrift gesichterten elektronischen transaktion

Info

Publication number: DE69726732T2
Application number: DE69726732T
Authority: DE
Inventors: Jean-Claude Pailles; Marc Girault; Patrick Remery
Original assignee: LA POSTE; POSTE; France Telecom SA
Current assignee: LA POSTE; POSTE; Orange SA
Priority date: 1996-05-07
Filing date: 1997-05-07
Publication date: 2004-10-14
Anticipated expiration: 2017-05-08
Also published as: EP0909433B1; JP2000510254A; FR2748591A1; FR2748591B1; DE69726732D1; US6105862A; WO1997042610A1; JP4006762B2; EP0909433A1

Description

Gebiet der Technik
Aufgabe der vorliegenden Erfindung ist ein Verfahren zur Durchführung einer elektronischen Transaktion, die mit doppelter Signatur gesichert ist.
Die Erfindung wird in all denjenigen Fällen angewandt, bei denen Endgeräte auf gesicherte Weise Transaktionen mit Benutzern, die mit Chipkarten ausgestattet sind, durchzuführen haben, wobei diese Endgeräte nicht dauernd in Verbindung mit zentralisierten Verarbeitungssystemen stehen, sondern nur periodisch während des Sammelns von seit dem letzten Sammelvorgang durchgeführten Transaktionen.
Stand der Technik
Um die Beschreibung zu vereinfachen, wird das Beispiel von Transaktionen, die mit der elektronischen Bezahlung verbunden sind, und insbesondere mit der sogenannten "elektronischen Geldbörse" "portemonnaie electronique", oder abgekürzt PME, genommen. Hinsichtlich dieser Techniken kann auf die Zeitschrift "L'Echo des Recherches", Spezialnummer 158, 4.Trimester 1994, Bezug genommen werden, die der elektronischen Bezahlung gewidmet ist. In dieser Nummer kann insbesondere auf den Artikel mit dem Titel "Signature électronique et application au paiement électronique" von Marc Girault und Luc Vallee Bezug genommen werden.
Die Technik des PME wird seit einigen Jahren entwickelt, sie stellt jedoch noch Probleme und erfordert daher noch Untersuchungen. Verschiedene Lösungen sind möglich, die unter dem Gesichtspunkt des Sicherheits-/Kostenverhältnisses analysiert werden können.
Es ist anzumerken, dass bei dieser Art von Systemen eine Portemonnaie-Karte einen Saldo (oder eine Bilanz) aufweist, das heißt eine bestimmte Menge an Werten (Geld, Zugriffsberechtigungen, Verbrauchseinheiten), und dass bei der Bezah lung eines Betrags m dieser Saldo um m Einheiten vermindert wird; die Karte erbringt einen Nachweis der Belastung um m Einheiten, was eine Zahlungsgarantie des das Endgerät (oder den Server), auf dem der Benutzer die Transaktion ausführt, besitzenden Händlers darstellt. Dieser Nachweis konditioniert die Bezahlung des Händlers mit normalen Geld durch die Autorität, welche die elektronischen Geldbörsen herausgegeben hat, eine Autorität, die man als "Bank" bezeichnen kann.
Dieser Nachweis muss so überprüft werden, dass falsche Karten vermieden werden: es darf nicht möglich sein, aus einem Stück (das heißt ohne Karte) einen Nachweis zu schaffen, der als authentisch anerkannt werden kann. Dieser Nachweis muss auch Manipulationen vermeiden, wie zum Beispiel die Umwandlung eines Betrags m in einen Betrag m', der höher ist als m, oder die Wiederverwendung des gleichen Nachweises, beispielsweise zur zweimaligen Bezahlung des dem Händler geschuldeten Betrags, oder die unangemessene Bezahlung anderer Händler.
In der folgenden Beschreibung werden die verschiedenen Teilnehmer dieser Systeme jeweils als "Benutzer", "Dienstleister" bzw. "Bank" bezeichnet. Der Benutzer besitzt also eine PME-Karte, um einen Dienstleister zu bezahlen. Die Bank ist die Einheit, welche die PME ausgibt.
Die heute eingesetzten Techniken können schematisch in drei Kategorien unterteilt werden, je nachdem ob sie Signaturen mit Geheimcode, mit öffentlichem Code oder mit interaktiven Codes verwenden.
Was erstere betrifft, kann man den Fall, bei dem das Endgerät nicht an die Bank angeschlossen ist (anders gesagt, autonom ist, oder, in angelsächsischer Terminologie, "offline") von dem Fall unterscheiden, bei dem das Endgerät direkt mit der Bank verbunden ist. Der erste Fall (nicht verbunden oder "offline") ist in den verschiedenen existierenden Geldbörsensystem der häufigste. Er besteht darin, den Nachweis z mit einem Algorithmus mit Geheimschlüssel F mittels des Parameters i, der die Nummer der PME-Karte darstellt, und mittels eines Parameters m, der die Gesamtheit der folgenden Parameter bezeichnet, zu berechnen:

m: der Betrag der Transaktion,
j: die Nummer des Sicherheitsmoduls (allgemein als "Secure Application Module" oder abgekürzt SAM bezeichnet),
r: eine Zufallszahl oder einfacher der Inhalt eines Zählers.

Man erhält also z = f (k, m, j, r), wobei k der Geheimschlüssel der PME der Identität i ist, ein Schlüssel, der von i durch einen Diversifizierungsmechanismus von Schlüsseln bzw. Codes gemäß der Nummer i der Karte abhängt. Das Modul SAM ist eine Chipkarte, die sich im Endgerät befindet, und die die Rolle einer sicheren und geschützten Registrierkasse dank der physikalischen Sicherheitseigenschaften der verwendeten Chipkarten spielt. Dieses SAM-Modul steuert also das Zertifikat z und kumuliert die Beträge. Es wird regelmäßig geleert, damit der Dienstleister seine Gewinne bei der Bank registrieren lässt, und zwar aufgrund einer gesicherten Prozedur zwischen dem SAM-Modul und der Bank, die keine besonderen Schwierigkeiten aufweist und hier nicht beschrieben wird.
Um das Zertifikat z zu kontrollieren, muss das SAM-Modul die Schlüssel bzw. Codes aller PME-Karten kennen, was in der Praxis dadurch erreicht wird, dass die Schlüssel k der PME durch eine Diversivizierungsformel k = g (KM, i) berechnet werden, wobei KM ein Mastercode ist, der für das ganze System gültig ist und der sich in allen SAM-Modulen befindet.
Dieser Anwendungsmodus ist in der beigefügten 1 dargestellt, in der die PME-Karte des Benutzers die Bezugsziffer 10 trägt, das Endgerät des Dienstleisters die Bezugsziffer 20, mit seinem SAM-Modul 25, und die Bank die Bezugsziffer 30. Der vom Endgerät 20 auf die Karte 10 gerichtete Pfeil stellt die Übertragung der Parameter M zur Karte dar, und der in entgegengesetzter Richtung zeigende Pfeil stellt die Übertragung des Zertifikats z zum Endgerät dar.
Dieser erste Anwendungsmodus weist den Vorteil auf, zu Karten mit geringen Kosten zu ergeben. Er weist aber auch einige Nachteile auf:

– die Sicherheit ist mit der Unmöglichkeit verbunden, im SAM-Modul den Mastercode KM zu lesen, also mit der physischen Sicherheit der SAM-Module, die sehr weit verbreitet sind, da sie in allen Endgeräten vorhanden sind. Diese Sicherheit ist nun aber schwierig zu gewährleisten. Die Kenntnis des Mastercodes KM würde es ermöglichen, Betrügereien großen Umfangs zu realisieren, indem Karten einer beliebigen Nummer i hergestellt würden, die kein "Schwarze-Listen-Mechanismus" anhalten könnte;
– die SAM-Module befinden sich in den Endgeräten oder bei den Dienstleistern, was praktische Probleme stellt, wenn mehrerer PME-Kartentypen, jeder mit seinem SAM, akzeptiert werden müssen; das ist der in der Praxis sehr verbreitete Fall, bei dem es nicht nur eine Bank, sondern mehrere gibt, welche ihre eigenen PME-Karten herausgeben können.

Was nun den Fall betrifft, bei dem das Endgerät des Dienstleisters mit der Bank verbunden ist ("online" ist), existiert das Sicherheitsmodul SAM nicht mehr im Endgerät und die Kontrolle des Zertifikats muss in der Bank stattfinden. Diese Lösung ist in der beigefügten 2 mit den gleichen Bezugszeichen wie in 1 dargestellt.
Diese Lösung ist für die Praxis nicht sehr interessant, da sie hohe Telekommunikationskosten mit sich bringt. Eine elektronische Geldbörse muss ein rentables Zahlungsmittel bleiben, selbst für Transaktionen, die sich auf sehr kleine Beträge beziehen.
Was nun Systeme betrifft, die ein Signaturverfahren mit Algorithmus mit öffentlichem Schlüssel benutzen, so können zwei Fälle unterschieden werden, nach denen ein Sicherheitsmodul SAM verwendet wird oder nicht.
Wenn kein SAM-Modul eingesetzt wird, wird das Zertifikat z von vorangehenden Systemen, welche Geheimschlüssel verwenden, durch eine Signatur ersetzt, die auf einem Algorithmus mit öffentlichem Schlüssel basiert, wie zum Beispiel dem RSA-Algorithmus ("Rivest-Shamir-Adlemann"). Jede Karte besitzt ein Paar aus Geheimschlüssel und öffentlichem Schlüssel, s bzw. p, und der Nachweis der Belastung, die vom Parameter m definiert wird, wird durch die Berechnung einer Signatur y = s (M) erhalten.
Diese Signatur kann von dem Dienstleister überprüft werden, indem er den öffentlichen Schlüssel benutzt. Alle Signaturen können gespeichert und dann periodisch gesammelt werden, um die Zahlungen von der Bank registrieren zu lassen. Bei dieser Ausführungsart muss auch der öffentliche Schlüssel p durch die Autorität, welche die Karten ausgibt, zertifiziert werden, da die Tatsache, über ein Paar Schlüssel s und p zu verfügen, nicht beweist, dass es sich um eine authentische PME-Karte handelt: es ist nämlich einfach, solche Paare herauszufinden, beispielsweise mit adaptierter PC-Software. Der PME muss also dem Endgerät nicht nur seinen öffentlichen Schlüssel p mitteilen, sondern auch ein mit dem öffentlichen Schlüssel p verbundenes Zertifikat. In der Folge wird das Zertifikat als "cer" bezeichnet. Das Zertifikat "cer" wird mit dem öffentlichen Schlüssel PA der Bank überprüft.
Die beigefügte 3 veranschaulicht diese Variante. Die Bezugszeichen sind die gleichen, es ist jedoch anzumerken, dass beim Endgerät 20 des Dienstleisters ein Sammelmittel (oder Speichermittel) 26 vorhanden ist, das die Nummern der Karten i, die Parameter M, die Zertifikate cer und die Signaturen y speichern kann.
Der Vorteil dieses Systems besteht darin, dass ein Master-Geheimcode, mit den Risiken, die dies mit sich brachte, nicht mehr in den Endgeräten vorhanden ist, und auch keine SAM-Module. Das System ist also sicherer und weist eine größere Flexibilität auf.
Dieses System hat aber Nachteile:

– die Kosten der Karten, welche Berechnungen ausführen können, die auf Algorithmen mit öffentlichem Schlüssel vom Typ RSA beruhen, sind hoch, da die notwendige Rechenleistung bei gegebenen Ansprechzeit sehr hoch ist;
– die im Endgerät zu speichernde und zu sammelnde Datenmenge ist groß: es muss nämlich durch Transaktion M und y gespeichert werden; diese Dateneinheit stellt mit den üblichen Längen von öffentlichen Schlüsseln (512 Bits), eine Einheit von der Größenordnung von 1,5 Kbits dar.

Bei der Variante mit dem Sicherheitsmodul SAM werden die Transaktionen im Endgerät kumuliert, um sie dann von der Bank sammeln zu lassen. Da die Kumulierungsfunktion vom Standpunkt der Sicherheit her sensibel ist, da eine Betrugsmöglichkeit darin besteht, beim Dienstleister den kumulierten Betrag zu modifizieren, ist es nötig, über ein SAM-Modul zu verfügen, das die Signaturen der Transaktionen überprüft und sie kumuliert.
Die beigefügte 4 veranschaulicht diese Variante mit den gleichen Bezugszeichen.
Der Vorteil dieser Variante besteht darin, dass im Endgerät kein geheimer Mastercode mehr vorhanden ist, was zu einer größeren Sicherheit führt. Es bleiben aber Nachteile in doppelter Hinsicht bestehen:

– die Kosten von Karten, die in der Lage sind, auf Algorithmen mit öffentlichem Schlüssel beruhende Berechnungen durchzuführen, sind hoch, da die notwendige Rechenleistung bei gegebener Ansprechzeit hoch ist,
– es ist nötig, ein SAM-Modul einzusetzen.

Die dritte Kategorie von Verfahren betrifft diejenigen Verfahren, die interaktive Signaturschemen verwenden. Die Verwendung dieser Technik ermöglicht es, die bei Karten notwendige Rechenleistung erheblich zu reduzieren. Das Verhältnis beträgt 10 bis 20 bei den üblicherweise verwendeten Parametern. Bei identischer Rechenleistung sind die Ansprechzeiten damit besser. Bei identischer Ansprechzeit sind die Kosten der Komponenten von PME-Karten geringer.
Im allgemeinen werden zwei Arten von Authentifizierungsschemen eingesetzt, von denen eines als Guillou-Quisquater (oder abgekürzt GQ) bezeichnet wird und das andere als Fiat- Shamir (oder abgekürzt FS) bezeichnet wird. Die vorstehend zitierte Nummer des „Echo des Recherches" enthält alle bibliographischen Referenzen zu diesem Thema.
Es wird kurz daran erinnert, worin ein Signaturschema dieses Typs besteht, indem ein vom GQ-Schema abgeleitetes Beispiel genommen wird. In diesem Schema werden bei der mit CI bezeichneten Karte die folgenden Funktionen oder Parameter angewandt:

g: Erweiterungsfunktion von 64 auf 512 Bits,
h: Hashing-Funktion: Resultat auf 64 Bits,
*: Restriktionsfunktion mit 128 Bits geringer Gewichtung,
S_A und P_A: Geheimschlüssel und öffentlichen Schlüssel der Autorität: 768 Bits,
i: Identität der Karte auf 64 Bits,
n: Modul auf 512 Bits,
cer: S_A(i, n, e) auf 768 Bits,
e: n erste Zahl mit 16 Bits,
v: 1/I^1/e mod n auf 512 Bits.

Das gesicherte Endgerät T_j besitzt den öffentlichen Schlüssel P_A, g, h und wird durch j auf 64 Bits identifiziert.
Die durchgeführten Funktionen sind dabei die folgenden:

1) das Endgerät legt den Betrag m der Transaktion fest, zieht eine Zufallszahl r und bildet den Parameter M, in dem m, j und r zusammengefügt werden, und überträgt M an die Karte;
2) die Karte überprüft, ob ihr Saldo (oder ihre Bilanz) über dem Betrag m der Transaktion liegt; wenn dies der Fall ist, zieht die Karte eine Zufallszahl x, berechnet t = x^e mod n und b = h (t*, M) und überträgt an das Endgerät i, b und das Zertifikat cer = S_A (i, n, e);
3) das Endgerät überprüft das Zertifikat und erhält i, n und e, wählt eine Zufallszahl c kleiner als e und schickt c zur Karte;
4) die Karte berechnet y = xv^c mod n und verringert ihren Saldo um m und überträgt y und t* an das Endgerät;
5) das Endgerät berechnet I = g (i), berechnet die Größe u = (y^eI^c mod n)* und dann h (u, M) und überprüft, ob b = h (u, M) ist; das Endgerät erhöht nun seinen Saldo um m.

Dieses Schema kann im wesentlichen auf folgende Weise zusammengefasst werden:

– die Karte wählt eine Zufallszahl x, berechnet t = x^e mod n und schickt zum Endgerät b = h (M, t),
– das Endgerät wählt nun eine Zufallszahl c aus, beispielsweise 0 < c < e, und schickt sie zur Karte;
– die Karte antwortet nun mittels y = xv^c mod n,
– das Endgerät überprüft nun, ob, wenn u = y^eI^c mod n ist, dann b = h (M, u) ist (weil v^eI = 1 mod n).

Dieses Schema ist in der beigefügten 5 dargestellt. Seine Bedeutung beruht in der Tatsache, dass die erforderliche Rechenleistung kleiner ist als im Fall der Schemata vom RSA-Typ. Es besteht aber ein Nachteil, da dieses Schema ein SAM-Modul erfordert. Die interaktive Signatur hat nämlich nur dann einen Wert, wenn man sicher ist, dass die Zufallszahl c der Karte in der angegebenen Reihenfolge unterbreitet worden ist. Die interaktiven Signaturen werden aus diesem Grund als wegwerfbar bezeichnet: sie sind nur in dem Augenblick, in dem sie erhalten werden, benutzbar. Die interaktive Signatur umfasst die Daten M, cer, b, c, y. Nun ist es einfach, diese Daten aus einem Stück zu erzeugen: bei Kenntnis von cer und M erhält man p und i, und es genügt, y und c auszuwählen und t = y^eI^c und b = h (M, t) zu berechnen; die erhaltenen Daten M, cer, b, c und y bilden eine gültige Signatur.
EP-A-0 363 122 beschreibt ein Authentifizierungssystem für eine elektronische Transaktion. Dieses System umfasst ein Endgerät und eine Karte, die beide für Transaktionen geeignete Datenspeichermittel aufweisen. Wenn die Transaktion gültig ist, entsprechen die in der Karte gespeicherten Daten den im Endgerät gespeicherten Daten.
GB-A-2 261 538 beschreibt ein Authentifizierungssystem für eine elektronische Transaktion mit einem Endgerät und einer Karte. Die Karte umfasst einen Prozessor, der bei jeder Benutzung eines Transaktions-Datenelements inkrementiert und dieses Datenelement signiert.
Abriss der Erfindung
Zu diesem Zweck schlägt die Erfindung ein Verfahren mit doppelter Signatur vor, eine vom Typ mit öffentlichem Schlüssel oder Geheimschlüssel (in den vorangehenden Schemata als y bezeichnet) und die andere auf der Basis eines Algorithmus mit Geheimschlüssel (in den vorangehenden Schemata als z bezeichnet). Diese Doppelsignatur ist derart konzipiert, dass sie die Vorteile der beiden Techniken kombiniert und somit eine ausgewogene Kombination dieser Signaturen und der signierten Elemente impliziert, so dass sie tatsächlich die erwünschten Vorteile bietet.
Wie vorstehend erläutert wurde, wird in einem Signaturschema vom RSA-Typ der Nachweis der Belastung der Karte durch die Berechnung der Signatur y = s (M) erhalten, wobei diese Signatur durch den Dienstleister überprüft werden kann, ohne dass diese Geheimnisse enthalten muss (sie arbeitet mit dem öffentlichen Schlüssel). Dies ist in 3 veranschaulicht.
In einem Signaturschema mit Geheimschlüssel wird der Nachweis z durch einen Algorithmus mit Geheimschlüssel erhalten, in dem berechnet wird: z = f (k, m, j, r), wobei k der Geheimschlüssel ist, und in der Variante ohne SAM z nicht vom Dienstleister überprüfbar ist, sondern nur von der Bank. Dieser Nachweis z muss zusammen mit i und M vom Dienstleister gespeichert und dann von der Bank gesammelt werden.
Gemäß der Erfindung werden diese beiden Schemata derart kombiniert, dass die Signatur y, welche der Dienstleister überprüfen kann, von der Signatur z abhängt, die vom Dienstleister nicht überprüfbar ist. Somit erhält man y = s (M, z) anstelle von y = s (M). Somit würde eine Modifikation von z zu z' durch den Benutzer erfordern, y zu y' = s (M, z') zu modifizieren, was unmöglich ist, da die Funktion s nur von der Karte erkannt wird.
Bei einem Schema interaktiver Signatur wird anstelle der Berechnung der Funktion b = h (M, t) in der Karte nach obiger Erläuterung mit t = x^e mod n eine Funktion b errechnet, welche den Nachweis z beinhaltet, das heißt b = h (M, t, z). Wenn z vom Benutzer zu z' modifiziert wird, erkennt dies die Software des Dienstleisters. t wird dabei (indirekt) erst am Ende des Austauschs enthüllt. Der Benutzer kann also b' = h (M, t, z') nur dann berechnen, wenn b' dem Dienstleister geschickt werden müßte.
Genau genommen ist die Aufgabe der Erfindung also ein Verfahren zur Durchführung einer elektronischen Transaktion zwischen einem Benutzer, der einen Karte besitzt, einem Dienstleister, der ein Endgerät besitzt, welches die Karte aufnehmen kann, und einem zentralisierten System, welches periodisch mit dem Endgerät verbunden werden kann, wobei in dem Verfahren:

– das Endgerät an die Karte einen Parameter M überträgt, der zumindest den Betrag m der Transaktion aufweist,
– der Saldo der Karte mit dem Betrag m belastet wird,
– die Karte und das Endgerät verschiedene Daten berechnen und austauschen, von denen bestimmte durch die Karte mittels eines Algorithmus mit öffentlichem Schlüssel oder Geheimschlüssel signiert sind,
– das Endgerät die durch den Algorithmus mit öffentlichem Schlüssel oder Geheimschlüssel signierten Daten überprüft und die den verschiedenen durchgeführten Transaktionen eigenen Parameter speichert,
– das zentralisierte System periodisch die gespeicherten Daten sammelt, wenn es mit dem Endgerät verbunden ist, und dem Dienstleister die entsprechenden Beträge gutschreibt,

Wenn die Bezahlung online über einen Dienstleister-Server erfolgt, kann der Algorithmus einen Geheimschlüssel aufweisen.
Kurzbeschreibung der Zeichnungen
Es zeigen:
1 die bereits beschrieben wurde, ein bekanntes Signaturschema mit einem Algorithmus mit Geheimschlüssel bei nicht zugeschaltetem Endgerät,
2 die bereits beschrieben wurde, ein bekanntes Signaturschema mit einem Algorithmus mit Geheimschlüssel, mit einem mit der Bank verbundenen Endgerät,
3 die bereits beschrieben wurde, ein bekanntes Signaturschema mit einem Algorithmus mit öffentlichem Schlüssel ohne Sicherheitsmodul,
4 die bereits beschrieben wurde, ein bekanntes Signaturschema mit einem Algorithmus mit öffentlichem Schlüssel und Sicherheitsmodul,
5 die bereits beschrieben wurde, ein bekanntes interaktives Signaturschema,
6 eine erste Ausführungsform der Erfindung im Fall eines Signaturschemas vom Typ mit öffentlichem Schlüssel, und
7 eine zweite Ausführungsform der Erfindung im Fall eines interaktiven Signaturschemas.
Detaillierte Beschreibung einer Ausführungsform
Im folgenden wird anhand eines Beispiels eine auf einer interaktiven Signatur beruhende Ausführungsform beschrieben. Die Bezugszeichen sind wie folgt:

g: Erweiterungsfunktion von 48 auf 512 Bits,
h: Hashing-Funktion: Resultat 128 Bits,
f: Berechnungsfunktion der Signatur mit Geheimschlüssel (beispielsweise wie DES): 64 Bits,
*: Einschränkung auf k.64 Bits geringer Gewichtung, k von 4 bis 8 parametrierbar,
S_A und P_A: Geheimschlüssel und öffentlicher Schlüssel der Autorität: 768 Bits.

Die in der Karte enthaltenen Daten sind die folgenden:

i: Identität der Karte: 48 Bits,
n: Modul: 512 Bits,
cer: S_A(i, n, e): Zertifikat von 768 Bits,
e: 2¹⁶+1
v: 1/I^1/e mod n: 512 Bits,
k: Geheimschlüssel der Belastung, 64 Bits,
bal: Saldo der Karte: 32 Bits,
h, f.

Die im Endgerät des Dienstleisters enthaltenen Daten sind wie folgt:

P_A, g, h
j: Identität des Endgeräts: 48 Bits,
m: Betrag: 16 Bits,
r: Inhalt des Zählers: 32 Bits.

Die aufeinanderfolgenden Funktionen sind dabei wie folgt:

1) Das Endgerät des Dienstleisters legt den Betrag m der Transaktion fest und bildet M mittels m, j und dem Inhalt r des Zählers und schreibt diesen Inhalt auf r + 1 fort; der Dienstleister überträgt m auf die Karte.
2) Die Karte überprüft, ob der Saldo nicht unter dem Betrag m liegt. Wenn dies der Fall ist, wählt die Karte eine Zufallszahl x von 512 Bits, berechnet t = x^e mod n, berechnet den Nachweis z mit Hilfe des Belastungs-Geheimschlüssels k, das heißt z = f (k, M), berechnet auch b = h (t*, M, z), belastet den Saldo mit dem Betrag m, zeichnet M auf; die Karte besitzt das Zertifikat der Autorität cer = S_A (i, n, e) wobei S_A der Geheimschlüssel der Autorität ist; die Karte überträgt schließlich an das Endgerät des Dienstleisters den Nachweis z, die Funktion f und das Zertifikat cer.
3) Das Endgerät des Dienstleisters überprüft das Zertifikat cer mit Hilfe des öffentlichen Schlüssels der Autorität P_A und erhält n, e und i; es wählt eine Zufallszahl c aus, die auch als Challenge bezeichnet wird, über 16 Bits aus und überträgt c an die Karte.
4) Die Karte berechnet y = xv^c mod n und überträgt y an das Endgerät des Dienstleisters.
5) Das Endgerät des Dienstleisters berechnet I = g (i), und dann u = (y^eI^c mod n)*; es überprüft, ob b = h (u, M, z) ist und validiert, wenn dies der Fall ist, die Transaktion. Dieses Endgerät sammelt i, M und z und schickt diese Daten zur Bank.
6) Die Bank findet mit i den Belastungs-Geheimschlüssel k und überprüft den Nachweis z = f (k, M). Die Bank überprüft, ob der Zähler r des Endgeräts des Dienstleisters j fortgeschrieben wird, und schreibt, wenn dies der Fall ist, dem Konto des Dienstleisters j den Betrag m gut.

Dieses Schema kann modifiziert werden, indem die interaktive Signatur nicht wegwerfbar gestaltet wird, und zwar indem z = f (k, M) und z = f (k, M, t*) geändert wird. Das oben be schriebene Verfahren der Erzeugung einer interaktiven Signatur (i, M, cer, y, z) funktioniert nun nicht mehr: es werden y, c und M gewählt; es wird t* = (y^eI^c mod n)* berechnet; es wird b = h (t*, M, z) berechnet, aber t erfüllt nicht z = f (k, M, t*). Die Daten i, M, z, t*, b, c, y sind nun beim Dienstleister zu speichern.
Das Sicherheitsniveau des vorangehenden Protokolls ist mit der Größe des Challenge c verbunden: wenn c beispielsweise 16 Bits ausmacht, besteht eine Chance aus 2¹⁶= 65536, damit ein Karten-Emulator, indem er c errät, künstlich eine Transaktion erzeugen kann. Die Rechenzeit der Karte ist auch direkt proportional zu diesem Sicherheitsniveau. Das Sicherheitsniveau kann angepasst werden, indem die Länge der Zufallszahl c, die im Fall einer interaktiven Signatur vom Endgerät auf die Karte übertragen wird, variiert wird. Eine Perfektionierung besteht demnach darin, so vorzugehen, dass der Dienstleister das Sicherheitsniveau in Abhängigkeit von Parametern anpasst, wie zum Beispiel dem Betrag der Transaktion, der Möglichkeit, dass es Benutzer mit falschen Karten gibt, was viel wichtiger für die Fernbezahlung als für die Kontaktbezahlung ist, etc. ....
Nach dieser Beschreibung ist ersichtlich, dass das Verfahren der Erfindung zahlreiche Vorteile aufweist:

– es verbraucht wenig Rechenleistung: folglich sind bei gleichen Leistungen die PME-Karten weniger kostspielig, oder bei gleicher Leistung ist die Geschwindigkeit höher,
– es ist ohne SAM-Modul bei den Dienstleistern einsetzbar,
– es minimiert die Speichermenge beim Dienstleister (im Verhältnis 5 zu 10),
– es reduziert in den gleichen Proportionen die vom Dienstleister zur Bank zu übertragende Informationsmenge,
– es ist mit einem SAM-Modul anwendbar, wenn es als bevorzugt erachtet wird, die Transaktionen beim Dienstleister zu kumulieren, dieses SAM-Modul ist aber, da es keine Geheimschlüssel enthält, wenig empfindlich,
– es ist im Sicherheitsniveau je nach den Charakteristika der Transaktionen anpassbar.

Man könnte annehmen, dass ein Sicherheitsniveau von 2¹⁶ im Vergleich zu den gewöhnlichen Niveaus der Verschlüsselung, bei denen es üblich ist, Zufallszahlen über 64, ja sogar 512 Bits zu verwenden, gering ist. Es ist jedoch anzumerken, dass in Anbetracht der Kosten der Suche nach dem Schlüssel (hier v), das heißt der Anzahl von durchzuführenden Schritten, um den Schlüssel anhand eines Paars Challenge-Antwort aufzufinden, das vorgeschlagene System genau die gleichen Sicherheitseigenschaften aufweist wie die herkömmlichen Systeme. Um dieses Sicherheitsniveau von 2¹⁶ auszunutzen, müssten mit einer falschen Karte im Durchschnitt 32.000 zurückgewiesene Transaktionen abgewartet werden, bevor eine akzeptiert würde.

Claims

Verfahren zur Durchführung einer elektronischen Transaktion zwischen einem Benutzer, der eine Karte (10) besitzt, einem Dienstleister, der ein Endgerät (20) besitzt, welches diese Karte (10) aufnehmen kann, und einem zentralisierten System (30), welches periodisch mit dem Endgerät (20) verbunden werden kann, wobei in dem Verfahren: – das Endgerät (20) an die Karte einen Parameter (M) überträgt, der zumindest den Betrag (m) der Transaktion aufweist, – das Saldo der Karte (10) mit dem Betrag (m) belastet wird, – die Karte (10) und das Endgerät (20) verschiedene Daten berechnen und austauschen, von denen bestimmte durch die Karte mittels eines Algorithmus mit öffentlichem Schlüssel oder Geheimschlüssel signiert sind, – das Endgerät (20) die durch den Algorithmus mit öffentlichem Schlüssel oder Geheimschlüssel signierten Daten überprüft und die den verschiedenen durchge-führten Transaktionen eigenen Parameter speichert, – das zentralisierte System (30) periodisch die gespeicherten Daten sammelt, wenn es mit dem Endgerät verbunden ist, und dem Dienstleister die entsprechenden Beträge gutschreibt, wobei dieses Verfahren dadurch gekennzeichnet ist, dass es eine doppelte Signatur aufweist, wobei die von der Karte (10) mit Hilfe des Algorithmus mit öffentlichem Schlüssel oder Geheimschlüssel signierten Daten einen Nachweis z umfassen, dass die Belastung der Karte ausgeführt wurde, wobei dieser Nachweis z eine Funktion f (k, M) des Parameters M und eines Belastungs-Geheimschlüssels k ist, das Endgerät (20) auf diese Weise außerdem die verschiedenen Nachweise z der diversen durchgeführten Transaktionen speichert, diese Nachweise z jedoch nicht überprüfen kann, und das zentralisierte System (30) außerdem diese Nachweise z sammelt und sie mit Hilfe des Belastungs-Geheimschlüssels überprüft und dem Dienstleister (20) nur im Fall einer positiven Überprüfung eine Gutschrift zukommen lässt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass eine der Signaturen, die es verwendet, eine Signatur vom RSA-Typ ist, und dadurch, dass die Karte (10) ein Echtheitszertifikat cer der Parameter (n, e) des öffentlichen Schlüs-sels p und der Identität i der Karte besitzt und die Signatur y = s (M, z) berechnet und dem Endgerät (20) das Zertifikat cer, die Signatur y und den Nachweis z übermittelt, wobei der Dienstleister cer und y überprüft, i, M und z speichert, und das zentralisierte System die Nachweise z überprüft.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass eine der Signaturen, die es verwendet, eine interaktive Signatur ist, und dass es die folgenden Vorgänge umfasst: – die Karte (10) besitzt ein Echtheitszertifikat cer der Parameter (n, e) des öffentlichen Schlüssels und der Identität i der Karte, wählt eine Zufallsgröße x aus, berechnet t = x^e mod n, wobei e und n den öffentlichen Schlüssel p definieren, berechnet den Nachweis z = f (k, M) mit Hilfe des Belastungs-Geheimschlüssels k, berechnet b = h (t*, M, z), wobei h eine Hashing-Funktion ist, t* eine Einschränkung von t auf Bits mit schwacher Gewichtung ist, und übermittelt dem Endgerät (20) den Nachweis z, die Zahl b und das Zertifikat cer, – das Endgerät (20) überprüft das Zertifikat cer mit Hilfe des öffentlichen Schlüssels der Echtheit PA und erhält n, e und i, generiert daraus eine Zufallszahl c mit einer bestimmten Länge und übermittelt c der Karte (10), – die Karte (10) berechnet y = xv^c mod n oder v = 1/I^1/e mod n und I = g (i) und übermittelt y an das Endgerät (20), – das Endgerät berechnet I = g (i), wobei g eine Erweiterungsfunktion ist, berechnet die Menge u = (y^eI^c mod n)*, überprüft, ob b = h (u, M, z) ist, und speichert i, M und z, – das zentralisierte System überprüft die Nachweise z.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass das Sicherheitsniveau der ersten Signatur durch Variieren der Länge der Zufallszahl c angepasst bzw. eingestellt wird.