-
Gebiet der Technik
-
Aufgabe
der vorliegenden Erfindung ist ein Verfahren zur Durchführung einer
elektronischen Transaktion, die mit doppelter Signatur gesichert
ist.
-
Die
Erfindung wird in all denjenigen Fällen angewandt, bei denen Endgeräte auf gesicherte
Weise Transaktionen mit Benutzern, die mit Chipkarten ausgestattet
sind, durchzuführen
haben, wobei diese Endgeräte
nicht dauernd in Verbindung mit zentralisierten Verarbeitungssystemen
stehen, sondern nur periodisch während
des Sammelns von seit dem letzten Sammelvorgang durchgeführten Transaktionen.
-
Stand der Technik
-
Um
die Beschreibung zu vereinfachen, wird das Beispiel von Transaktionen,
die mit der elektronischen Bezahlung verbunden sind, und insbesondere
mit der sogenannten "elektronischen
Geldbörse" "portemonnaie electronique", oder abgekürzt PME,
genommen. Hinsichtlich dieser Techniken kann auf die Zeitschrift "L'Echo des Recherches", Spezialnummer 158, 4.Trimester 1994,
Bezug genommen werden, die der elektronischen Bezahlung gewidmet
ist. In dieser Nummer kann insbesondere auf den Artikel mit dem
Titel "Signature électronique
et application au paiement électronique" von Marc Girault
und Luc Vallee Bezug genommen werden.
-
Die
Technik des PME wird seit einigen Jahren entwickelt, sie stellt
jedoch noch Probleme und erfordert daher noch Untersuchungen. Verschiedene
Lösungen
sind möglich,
die unter dem Gesichtspunkt des Sicherheits-/Kostenverhältnisses
analysiert werden können.
-
Es
ist anzumerken, dass bei dieser Art von Systemen eine Portemonnaie-Karte
einen Saldo (oder eine Bilanz) aufweist, das heißt eine bestimmte Menge an
Werten (Geld, Zugriffsberechtigungen, Verbrauchseinheiten), und
dass bei der Bezah lung eines Betrags m dieser Saldo um m Einheiten
vermindert wird; die Karte erbringt einen Nachweis der Belastung
um m Einheiten, was eine Zahlungsgarantie des das Endgerät (oder den
Server), auf dem der Benutzer die Transaktion ausführt, besitzenden
Händlers
darstellt. Dieser Nachweis konditioniert die Bezahlung des Händlers mit
normalen Geld durch die Autorität,
welche die elektronischen Geldbörsen
herausgegeben hat, eine Autorität,
die man als "Bank" bezeichnen kann.
-
Dieser
Nachweis muss so überprüft werden,
dass falsche Karten vermieden werden: es darf nicht möglich sein,
aus einem Stück
(das heißt
ohne Karte) einen Nachweis zu schaffen, der als authentisch anerkannt
werden kann. Dieser Nachweis muss auch Manipulationen vermeiden,
wie zum Beispiel die Umwandlung eines Betrags m in einen Betrag
m', der höher ist
als m, oder die Wiederverwendung des gleichen Nachweises, beispielsweise
zur zweimaligen Bezahlung des dem Händler geschuldeten Betrags,
oder die unangemessene Bezahlung anderer Händler.
-
In
der folgenden Beschreibung werden die verschiedenen Teilnehmer dieser
Systeme jeweils als "Benutzer", "Dienstleister" bzw. "Bank" bezeichnet. Der
Benutzer besitzt also eine PME-Karte, um einen Dienstleister zu
bezahlen. Die Bank ist die Einheit, welche die PME ausgibt.
-
Die
heute eingesetzten Techniken können
schematisch in drei Kategorien unterteilt werden, je nachdem ob
sie Signaturen mit Geheimcode, mit öffentlichem Code oder mit interaktiven
Codes verwenden.
-
Was
erstere betrifft, kann man den Fall, bei dem das Endgerät nicht
an die Bank angeschlossen ist (anders gesagt, autonom ist, oder,
in angelsächsischer
Terminologie, "offline") von dem Fall unterscheiden,
bei dem das Endgerät
direkt mit der Bank verbunden ist. Der erste Fall (nicht verbunden
oder "offline") ist in den verschiedenen
existierenden Geldbörsensystem
der häufigste.
Er besteht darin, den Nachweis z mit einem Algorithmus mit Geheimschlüssel F mittels
des Parameters i, der die Nummer der PME-Karte darstellt, und mittels
eines Parameters m, der die Gesamtheit der folgenden Parameter bezeichnet,
zu berechnen:
- m: der Betrag der Transaktion,
- j: die Nummer des Sicherheitsmoduls (allgemein als "Secure Application
Module" oder abgekürzt SAM
bezeichnet),
- r: eine Zufallszahl oder einfacher der Inhalt eines Zählers.
-
Man
erhält
also z = f (k, m, j, r), wobei k der Geheimschlüssel der PME der Identität i ist,
ein Schlüssel, der
von i durch einen Diversifizierungsmechanismus von Schlüsseln bzw.
Codes gemäß der Nummer
i der Karte abhängt.
Das Modul SAM ist eine Chipkarte, die sich im Endgerät befindet,
und die die Rolle einer sicheren und geschützten Registrierkasse dank
der physikalischen Sicherheitseigenschaften der verwendeten Chipkarten
spielt. Dieses SAM-Modul steuert also das Zertifikat z und kumuliert
die Beträge.
Es wird regelmäßig geleert,
damit der Dienstleister seine Gewinne bei der Bank registrieren
lässt,
und zwar aufgrund einer gesicherten Prozedur zwischen dem SAM-Modul
und der Bank, die keine besonderen Schwierigkeiten aufweist und hier
nicht beschrieben wird.
-
Um
das Zertifikat z zu kontrollieren, muss das SAM-Modul die Schlüssel bzw.
Codes aller PME-Karten kennen, was in der Praxis dadurch erreicht
wird, dass die Schlüssel
k der PME durch eine Diversivizierungsformel k = g (KM, i) berechnet
werden, wobei KM ein Mastercode ist, der für das ganze System gültig ist
und der sich in allen SAM-Modulen befindet.
-
Dieser
Anwendungsmodus ist in der beigefügten 1 dargestellt, in der die PME-Karte des
Benutzers die Bezugsziffer 10 trägt, das Endgerät des Dienstleisters
die Bezugsziffer 20, mit seinem SAM-Modul 25, und
die Bank die Bezugsziffer 30. Der vom Endgerät 20 auf
die Karte 10 gerichtete Pfeil stellt die Übertragung der
Parameter M zur Karte dar, und der in entgegengesetzter Richtung
zeigende Pfeil stellt die Übertragung des
Zertifikats z zum Endgerät
dar.
-
Dieser
erste Anwendungsmodus weist den Vorteil auf, zu Karten mit geringen
Kosten zu ergeben. Er weist aber auch einige Nachteile auf:
- – die
Sicherheit ist mit der Unmöglichkeit
verbunden, im SAM-Modul den Mastercode KM zu lesen, also mit der
physischen Sicherheit der SAM-Module, die sehr weit verbreitet sind,
da sie in allen Endgeräten
vorhanden sind. Diese Sicherheit ist nun aber schwierig zu gewährleisten.
Die Kenntnis des Mastercodes KM würde es ermöglichen, Betrügereien
großen
Umfangs zu realisieren, indem Karten einer beliebigen Nummer i hergestellt
würden,
die kein "Schwarze-Listen-Mechanismus" anhalten könnte;
- – die
SAM-Module befinden sich in den Endgeräten oder bei den Dienstleistern,
was praktische Probleme stellt, wenn mehrerer PME-Kartentypen, jeder
mit seinem SAM, akzeptiert werden müssen; das ist der in der Praxis
sehr verbreitete Fall, bei dem es nicht nur eine Bank, sondern mehrere
gibt, welche ihre eigenen PME-Karten herausgeben können.
-
Was
nun den Fall betrifft, bei dem das Endgerät des Dienstleisters mit der
Bank verbunden ist ("online" ist), existiert
das Sicherheitsmodul SAM nicht mehr im Endgerät und die Kontrolle des Zertifikats
muss in der Bank stattfinden. Diese Lösung ist in der beigefügten 2 mit den gleichen Bezugszeichen
wie in 1 dargestellt.
-
Diese
Lösung
ist für
die Praxis nicht sehr interessant, da sie hohe Telekommunikationskosten
mit sich bringt. Eine elektronische Geldbörse muss ein rentables Zahlungsmittel
bleiben, selbst für
Transaktionen, die sich auf sehr kleine Beträge beziehen.
-
Was
nun Systeme betrifft, die ein Signaturverfahren mit Algorithmus
mit öffentlichem
Schlüssel
benutzen, so können
zwei Fälle
unterschieden werden, nach denen ein Sicherheitsmodul SAM verwendet
wird oder nicht.
-
Wenn
kein SAM-Modul eingesetzt wird, wird das Zertifikat z von vorangehenden
Systemen, welche Geheimschlüssel
verwenden, durch eine Signatur ersetzt, die auf einem Algorithmus
mit öffentlichem
Schlüssel
basiert, wie zum Beispiel dem RSA-Algorithmus ("Rivest-Shamir-Adlemann"). Jede Karte besitzt
ein Paar aus Geheimschlüssel
und öffentlichem
Schlüssel,
s bzw. p, und der Nachweis der Belastung, die vom Parameter m definiert
wird, wird durch die Berechnung einer Signatur y = s (M) erhalten.
-
Diese
Signatur kann von dem Dienstleister überprüft werden, indem er den öffentlichen
Schlüssel
benutzt. Alle Signaturen können
gespeichert und dann periodisch gesammelt werden, um die Zahlungen
von der Bank registrieren zu lassen. Bei dieser Ausführungsart
muss auch der öffentliche
Schlüssel
p durch die Autorität,
welche die Karten ausgibt, zertifiziert werden, da die Tatsache, über ein
Paar Schlüssel
s und p zu verfügen,
nicht beweist, dass es sich um eine authentische PME-Karte handelt:
es ist nämlich
einfach, solche Paare herauszufinden, beispielsweise mit adaptierter
PC-Software. Der PME muss also dem Endgerät nicht nur seinen öffentlichen
Schlüssel
p mitteilen, sondern auch ein mit dem öffentlichen Schlüssel p verbundenes
Zertifikat. In der Folge wird das Zertifikat als "cer" bezeichnet. Das
Zertifikat "cer" wird mit dem öffentlichen
Schlüssel PA
der Bank überprüft.
-
Die
beigefügte 3 veranschaulicht diese
Variante. Die Bezugszeichen sind die gleichen, es ist jedoch anzumerken,
dass beim Endgerät 20 des
Dienstleisters ein Sammelmittel (oder Speichermittel) 26 vorhanden
ist, das die Nummern der Karten i, die Parameter M, die Zertifikate
cer und die Signaturen y speichern kann.
-
Der
Vorteil dieses Systems besteht darin, dass ein Master-Geheimcode,
mit den Risiken, die dies mit sich brachte, nicht mehr in den Endgeräten vorhanden
ist, und auch keine SAM-Module. Das System ist also sicherer und
weist eine größere Flexibilität auf.
-
Dieses
System hat aber Nachteile:
- – die Kosten der Karten, welche
Berechnungen ausführen
können,
die auf Algorithmen mit öffentlichem Schlüssel vom
Typ RSA beruhen, sind hoch, da die notwendige Rechenleistung bei
gegebenen Ansprechzeit sehr hoch ist;
- – die
im Endgerät
zu speichernde und zu sammelnde Datenmenge ist groß: es muss
nämlich
durch Transaktion M und y gespeichert werden; diese Dateneinheit
stellt mit den üblichen
Längen
von öffentlichen Schlüsseln (512
Bits), eine Einheit von der Größenordnung
von 1,5 Kbits dar.
-
Bei
der Variante mit dem Sicherheitsmodul SAM werden die Transaktionen
im Endgerät
kumuliert, um sie dann von der Bank sammeln zu lassen. Da die Kumulierungsfunktion
vom Standpunkt der Sicherheit her sensibel ist, da eine Betrugsmöglichkeit
darin besteht, beim Dienstleister den kumulierten Betrag zu modifizieren,
ist es nötig, über ein
SAM-Modul zu verfügen,
das die Signaturen der Transaktionen überprüft und sie kumuliert.
-
Die
beigefügte 4 veranschaulicht diese
Variante mit den gleichen Bezugszeichen.
-
Der
Vorteil dieser Variante besteht darin, dass im Endgerät kein geheimer
Mastercode mehr vorhanden ist, was zu einer größeren Sicherheit führt. Es
bleiben aber Nachteile in doppelter Hinsicht bestehen:
- – die
Kosten von Karten, die in der Lage sind, auf Algorithmen mit öffentlichem
Schlüssel
beruhende Berechnungen durchzuführen,
sind hoch, da die notwendige Rechenleistung bei gegebener Ansprechzeit hoch
ist,
- – es
ist nötig,
ein SAM-Modul einzusetzen.
-
Die
dritte Kategorie von Verfahren betrifft diejenigen Verfahren, die
interaktive Signaturschemen verwenden. Die Verwendung dieser Technik
ermöglicht
es, die bei Karten notwendige Rechenleistung erheblich zu reduzieren.
Das Verhältnis
beträgt
10 bis 20 bei den üblicherweise
verwendeten Parametern. Bei identischer Rechenleistung sind die
Ansprechzeiten damit besser. Bei identischer Ansprechzeit sind die
Kosten der Komponenten von PME-Karten geringer.
-
Im
allgemeinen werden zwei Arten von Authentifizierungsschemen eingesetzt,
von denen eines als Guillou-Quisquater (oder abgekürzt GQ)
bezeichnet wird und das andere als Fiat- Shamir (oder abgekürzt FS) bezeichnet wird. Die
vorstehend zitierte Nummer des „Echo des Recherches" enthält alle
bibliographischen Referenzen zu diesem Thema.
-
Es
wird kurz daran erinnert, worin ein Signaturschema dieses Typs besteht,
indem ein vom GQ-Schema abgeleitetes Beispiel genommen wird. In
diesem Schema werden bei der mit CI bezeichneten Karte die folgenden
Funktionen oder Parameter angewandt:
- g: Erweiterungsfunktion
von 64 auf 512 Bits,
- h: Hashing-Funktion: Resultat auf 64 Bits,
- *: Restriktionsfunktion mit 128 Bits geringer Gewichtung,
- SA und PA: Geheimschlüssel und öffentlichen
Schlüssel
der Autorität:
768 Bits,
- i: Identität
der Karte auf 64 Bits,
- n: Modul auf 512 Bits,
- cer: SA (i, n, e) auf 768 Bits,
- e: n erste Zahl mit 16 Bits,
- v: 1/I1/e mod n auf 512 Bits.
-
Das
gesicherte Endgerät
Tj besitzt den öffentlichen Schlüssel PA, g, h und wird durch j auf 64 Bits identifiziert.
-
Die
durchgeführten
Funktionen sind dabei die folgenden:
- 1) das
Endgerät
legt den Betrag m der Transaktion fest, zieht eine Zufallszahl r
und bildet den Parameter M, in dem m, j und r zusammengefügt werden,
und überträgt M an
die Karte;
- 2) die Karte überprüft, ob ihr
Saldo (oder ihre Bilanz) über
dem Betrag m der Transaktion liegt; wenn dies der Fall ist, zieht
die Karte eine Zufallszahl x, berechnet t = xe mod
n und b = h (t*, M) und überträgt an das Endgerät i, b und
das Zertifikat cer = SA (i, n, e);
- 3) das Endgerät überprüft das Zertifikat
und erhält
i, n und e, wählt
eine Zufallszahl c kleiner als e und schickt c zur Karte;
- 4) die Karte berechnet y = xvc mod n
und verringert ihren Saldo um m und überträgt y und t* an das Endgerät;
- 5) das Endgerät
berechnet I = g (i), berechnet die Größe u = (yeIc mod n)* und dann h (u, M) und überprüft, ob b
= h (u, M) ist; das Endgerät
erhöht
nun seinen Saldo um m.
-
Dieses
Schema kann im wesentlichen auf folgende Weise zusammengefasst werden:
- – die
Karte wählt
eine Zufallszahl x, berechnet t = xe mod
n und schickt zum Endgerät
b = h (M, t),
- – das
Endgerät
wählt nun
eine Zufallszahl c aus, beispielsweise 0 < c < e,
und schickt sie zur Karte;
- – die
Karte antwortet nun mittels y = xvc mod
n,
- – das
Endgerät überprüft nun,
ob, wenn u = yeIc mod
n ist, dann b = h (M, u) ist (weil veI =
1 mod n).
-
Dieses
Schema ist in der beigefügten 5 dargestellt. Seine Bedeutung
beruht in der Tatsache, dass die erforderliche Rechenleistung kleiner
ist als im Fall der Schemata vom RSA-Typ. Es besteht aber ein Nachteil,
da dieses Schema ein SAM-Modul erfordert. Die interaktive Signatur
hat nämlich
nur dann einen Wert, wenn man sicher ist, dass die Zufallszahl c
der Karte in der angegebenen Reihenfolge unterbreitet worden ist. Die
interaktiven Signaturen werden aus diesem Grund als wegwerfbar bezeichnet:
sie sind nur in dem Augenblick, in dem sie erhalten werden, benutzbar.
Die interaktive Signatur umfasst die Daten M, cer, b, c, y. Nun
ist es einfach, diese Daten aus einem Stück zu erzeugen: bei Kenntnis
von cer und M erhält
man p und i, und es genügt,
y und c auszuwählen
und t = yeIc und
b = h (M, t) zu berechnen; die erhaltenen Daten M, cer, b, c und y
bilden eine gültige
Signatur.
-
EP-A-0
363 122 beschreibt ein Authentifizierungssystem für eine elektronische
Transaktion. Dieses System umfasst ein Endgerät und eine Karte, die beide
für Transaktionen
geeignete Datenspeichermittel aufweisen. Wenn die Transaktion gültig ist,
entsprechen die in der Karte gespeicherten Daten den im Endgerät gespeicherten
Daten.
-
GB-A-2
261 538 beschreibt ein Authentifizierungssystem für eine elektronische
Transaktion mit einem Endgerät
und einer Karte. Die Karte umfasst einen Prozessor, der bei jeder
Benutzung eines Transaktions-Datenelements inkrementiert und dieses
Datenelement signiert.
-
Abriss der Erfindung
-
Zu
diesem Zweck schlägt
die Erfindung ein Verfahren mit doppelter Signatur vor, eine vom
Typ mit öffentlichem
Schlüssel
oder Geheimschlüssel
(in den vorangehenden Schemata als y bezeichnet) und die andere
auf der Basis eines Algorithmus mit Geheimschlüssel (in den vorangehenden
Schemata als z bezeichnet). Diese Doppelsignatur ist derart konzipiert,
dass sie die Vorteile der beiden Techniken kombiniert und somit
eine ausgewogene Kombination dieser Signaturen und der signierten
Elemente impliziert, so dass sie tatsächlich die erwünschten
Vorteile bietet.
-
Wie
vorstehend erläutert
wurde, wird in einem Signaturschema vom RSA-Typ der Nachweis der
Belastung der Karte durch die Berechnung der Signatur y = s (M)
erhalten, wobei diese Signatur durch den Dienstleister überprüft werden
kann, ohne dass diese Geheimnisse enthalten muss (sie arbeitet mit
dem öffentlichen
Schlüssel).
Dies ist in 3 veranschaulicht.
-
In
einem Signaturschema mit Geheimschlüssel wird der Nachweis z durch
einen Algorithmus mit Geheimschlüssel
erhalten, in dem berechnet wird: z = f (k, m, j, r), wobei k der
Geheimschlüssel
ist, und in der Variante ohne SAM z nicht vom Dienstleister überprüfbar ist,
sondern nur von der Bank. Dieser Nachweis z muss zusammen mit i
und M vom Dienstleister gespeichert und dann von der Bank gesammelt
werden.
-
Gemäß der Erfindung
werden diese beiden Schemata derart kombiniert, dass die Signatur
y, welche der Dienstleister überprüfen kann,
von der Signatur z abhängt,
die vom Dienstleister nicht überprüfbar ist.
Somit erhält
man y = s (M, z) anstelle von y = s (M). Somit würde eine Modifikation von z
zu z' durch den
Benutzer erfordern, y zu y' =
s (M, z') zu modifizieren,
was unmöglich
ist, da die Funktion s nur von der Karte erkannt wird.
-
Bei
einem Schema interaktiver Signatur wird anstelle der Berechnung
der Funktion b = h (M, t) in der Karte nach obiger Erläuterung
mit t = xe mod n eine Funktion b errechnet,
welche den Nachweis z beinhaltet, das heißt b = h (M, t, z). Wenn z
vom Benutzer zu z' modifiziert
wird, erkennt dies die Software des Dienstleisters. t wird dabei
(indirekt) erst am Ende des Austauschs enthüllt. Der Benutzer kann also
b' = h (M, t, z') nur dann berechnen,
wenn b' dem Dienstleister
geschickt werden müßte.
-
Genau
genommen ist die Aufgabe der Erfindung also ein Verfahren zur Durchführung einer
elektronischen Transaktion zwischen einem Benutzer, der einen Karte
besitzt, einem Dienstleister, der ein Endgerät besitzt, welches die Karte
aufnehmen kann, und einem zentralisierten System, welches periodisch
mit dem Endgerät
verbunden werden kann, wobei in dem Verfahren:
- – das Endgerät an die
Karte einen Parameter M überträgt, der
zumindest den Betrag m der Transaktion aufweist,
- – der
Saldo der Karte mit dem Betrag m belastet wird,
- – die
Karte und das Endgerät
verschiedene Daten berechnen und austauschen, von denen bestimmte durch
die Karte mittels eines Algorithmus mit öffentlichem Schlüssel oder
Geheimschlüssel
signiert sind,
- – das
Endgerät
die durch den Algorithmus mit öffentlichem
Schlüssel
oder Geheimschlüssel
signierten Daten überprüft und die
den verschiedenen durchgeführten
Transaktionen eigenen Parameter speichert,
- – das
zentralisierte System periodisch die gespeicherten Daten sammelt,
wenn es mit dem Endgerät
verbunden ist, und dem Dienstleister die entsprechenden Beträge gutschreibt,
wobei
dieses Verfahren dadurch gekennzeichnet ist, dass es eine doppelte
Signatur aufweist, wobei die von der Karte mit Hilfe des Algorithmus
mit öffentlichem
Schlüssel
oder Geheimschlüssel
signierten Daten einen Nachweis z umfassen, dass die Belastung der
Karte ausgeführt
wurde, wobei dieser Nachweis z eine Funktion des Parameters M und
eines Belastungs-Geheimschlüssels
k ist, das Endgerät
auf diese Weise außerdem
die verschiedenen Nachweise z der diversen durchgeführten Transaktionen
speichert, diese Nachweise z jedoch nicht überprüfen kann, und das zentralisierte
System außerdem
diese Nachweise z sammelt und sie mit Hilfe des Belastungs-Geheimschlüssels überprüft und dem
Dienstleister nur im Fall einer positiven Überprüfung einer Gutschrift zukommen
lässt.
-
Wenn
die Bezahlung online über
einen Dienstleister-Server
erfolgt, kann der Algorithmus einen Geheimschlüssel aufweisen.
-
Kurzbeschreibung der Zeichnungen
-
Es
zeigen:
-
1 die bereits beschrieben
wurde, ein bekanntes Signaturschema mit einem Algorithmus mit Geheimschlüssel bei
nicht zugeschaltetem Endgerät,
-
2 die bereits beschrieben
wurde, ein bekanntes Signaturschema mit einem Algorithmus mit Geheimschlüssel, mit
einem mit der Bank verbundenen Endgerät,
-
3 die bereits beschrieben
wurde, ein bekanntes Signaturschema mit einem Algorithmus mit öffentlichem
Schlüssel
ohne Sicherheitsmodul,
-
4 die bereits beschrieben
wurde, ein bekanntes Signaturschema mit einem Algorithmus mit öffentlichem
Schlüssel
und Sicherheitsmodul,
-
5 die bereits beschrieben
wurde, ein bekanntes interaktives Signaturschema,
-
6 eine erste Ausführungsform
der Erfindung im Fall eines Signaturschemas vom Typ mit öffentlichem
Schlüssel,
und
-
7 eine zweite Ausführungsform
der Erfindung im Fall eines interaktiven Signaturschemas.
-
Detaillierte Beschreibung
einer Ausführungsform
-
Im
folgenden wird anhand eines Beispiels eine auf einer interaktiven
Signatur beruhende Ausführungsform
beschrieben. Die Bezugszeichen sind wie folgt:
- g: Erweiterungsfunktion
von 48 auf 512 Bits,
- h: Hashing-Funktion: Resultat 128 Bits,
- f: Berechnungsfunktion der Signatur mit Geheimschlüssel (beispielsweise
wie DES): 64 Bits,
- *: Einschränkung
auf k.64 Bits geringer Gewichtung, k von 4 bis 8 parametrierbar,
- SA und PA: Geheimschlüssel und öffentlicher
Schlüssel
der Autorität:
768 Bits.
-
Die
in der Karte enthaltenen Daten sind die folgenden:
- i: Identität der Karte:
48 Bits,
- n: Modul: 512 Bits,
- cer: SA(i, n, e): Zertifikat von 768
Bits,
- e: 216+1
- v: 1/I1/e mod n: 512 Bits,
- k: Geheimschlüssel
der Belastung, 64 Bits,
- bal: Saldo der Karte: 32 Bits,
- h, f.
-
Die
im Endgerät
des Dienstleisters enthaltenen Daten sind wie folgt:
- PA, g, h
- j: Identität
des Endgeräts:
48 Bits,
- m: Betrag: 16 Bits,
- r: Inhalt des Zählers:
32 Bits.
-
Die
aufeinanderfolgenden Funktionen sind dabei wie folgt:
- 1) Das Endgerät
des Dienstleisters legt den Betrag m der Transaktion fest und bildet
M mittels m, j und dem Inhalt r des Zählers und schreibt diesen Inhalt auf
r + 1 fort; der Dienstleister überträgt m auf
die Karte.
- 2) Die Karte überprüft, ob der
Saldo nicht unter dem Betrag m liegt. Wenn dies der Fall ist, wählt die
Karte eine Zufallszahl x von 512 Bits, berechnet t = xe mod
n, berechnet den Nachweis z mit Hilfe des Belastungs-Geheimschlüssels k,
das heißt
z = f (k, M), berechnet auch b = h (t*, M, z), belastet den Saldo
mit dem Betrag m, zeichnet M auf; die Karte besitzt das Zertifikat
der Autorität
cer = SA (i, n, e) wobei SA der Geheimschlüssel der
Autorität
ist; die Karte überträgt schließlich an
das Endgerät
des Dienstleisters den Nachweis z, die Funktion f und das Zertifikat
cer.
- 3) Das Endgerät
des Dienstleisters überprüft das Zertifikat
cer mit Hilfe des öffentlichen
Schlüssels
der Autorität
PA und erhält n, e und i; es wählt eine
Zufallszahl c aus, die auch als Challenge bezeichnet wird, über 16 Bits
aus und überträgt c an
die Karte.
- 4) Die Karte berechnet y = xvc mod n
und überträgt y an
das Endgerät
des Dienstleisters.
- 5) Das Endgerät
des Dienstleisters berechnet I = g (i), und dann u = (yeIc mod n)*; es überprüft, ob b = h (u, M, z) ist
und validiert, wenn dies der Fall ist, die Transaktion. Dieses Endgerät sammelt
i, M und z und schickt diese Daten zur Bank.
- 6) Die Bank findet mit i den Belastungs-Geheimschlüssel k und überprüft den Nachweis
z = f (k, M). Die Bank überprüft, ob der
Zähler
r des Endgeräts
des Dienstleisters j fortgeschrieben wird, und schreibt, wenn dies
der Fall ist, dem Konto des Dienstleisters j den Betrag m gut.
-
Dieses
Schema kann modifiziert werden, indem die interaktive Signatur nicht
wegwerfbar gestaltet wird, und zwar indem z = f (k, M) und z = f
(k, M, t*) geändert
wird. Das oben be schriebene Verfahren der Erzeugung einer interaktiven
Signatur (i, M, cer, y, z) funktioniert nun nicht mehr: es werden
y, c und M gewählt; es
wird t* = (yeIc mod
n)* berechnet; es wird b = h (t*, M, z) berechnet, aber t erfüllt nicht
z = f (k, M, t*). Die Daten i, M, z, t*, b, c, y sind nun beim Dienstleister
zu speichern.
-
Das
Sicherheitsniveau des vorangehenden Protokolls ist mit der Größe des Challenge
c verbunden: wenn c beispielsweise 16 Bits ausmacht, besteht eine
Chance aus 216 = 65536, damit ein Karten-Emulator,
indem er c errät,
künstlich
eine Transaktion erzeugen kann. Die Rechenzeit der Karte ist auch
direkt proportional zu diesem Sicherheitsniveau. Das Sicherheitsniveau
kann angepasst werden, indem die Länge der Zufallszahl c, die
im Fall einer interaktiven Signatur vom Endgerät auf die Karte übertragen
wird, variiert wird. Eine Perfektionierung besteht demnach darin,
so vorzugehen, dass der Dienstleister das Sicherheitsniveau in Abhängigkeit
von Parametern anpasst, wie zum Beispiel dem Betrag der Transaktion,
der Möglichkeit,
dass es Benutzer mit falschen Karten gibt, was viel wichtiger für die Fernbezahlung
als für
die Kontaktbezahlung ist, etc. ....
-
Nach
dieser Beschreibung ist ersichtlich, dass das Verfahren der Erfindung
zahlreiche Vorteile aufweist:
- – es verbraucht
wenig Rechenleistung: folglich sind bei gleichen Leistungen die
PME-Karten weniger kostspielig, oder bei gleicher Leistung ist die
Geschwindigkeit höher,
- – es
ist ohne SAM-Modul bei den Dienstleistern einsetzbar,
- – es
minimiert die Speichermenge beim Dienstleister (im Verhältnis 5
zu 10),
- – es
reduziert in den gleichen Proportionen die vom Dienstleister zur
Bank zu übertragende
Informationsmenge,
- – es
ist mit einem SAM-Modul anwendbar, wenn es als bevorzugt erachtet
wird, die Transaktionen beim Dienstleister zu kumulieren, dieses
SAM-Modul ist aber, da es keine Geheimschlüssel enthält, wenig empfindlich,
- – es
ist im Sicherheitsniveau je nach den Charakteristika der Transaktionen
anpassbar.
-
Man
könnte
annehmen, dass ein Sicherheitsniveau von 216 im
Vergleich zu den gewöhnlichen
Niveaus der Verschlüsselung,
bei denen es üblich
ist, Zufallszahlen über
64, ja sogar 512 Bits zu verwenden, gering ist. Es ist jedoch anzumerken,
dass in Anbetracht der Kosten der Suche nach dem Schlüssel (hier
v), das heißt der
Anzahl von durchzuführenden
Schritten, um den Schlüssel
anhand eines Paars Challenge-Antwort aufzufinden, das vorgeschlagene
System genau die gleichen Sicherheitseigenschaften aufweist wie
die herkömmlichen
Systeme. Um dieses Sicherheitsniveau von 216 auszunutzen,
müssten
mit einer falschen Karte im Durchschnitt 32.000 zurückgewiesene
Transaktionen abgewartet werden, bevor eine akzeptiert würde.