NL9401406A

NL9401406A - Betaalsysteem met verbeterde integriteit.

Info

Publication number: NL9401406A
Application number: NL9401406A
Authority: NL
Inventors: Albertus Feiken
Original assignee: Nederland Ptt
Priority date: 1994-08-31
Filing date: 1994-08-31
Publication date: 1996-04-01
Also published as: EP0700023A1; USRE37067E1; US5635695A

Description

Betaalsysteem met verbeterde integriteit

A. ACHTERGROND VAN DE UITVINDING

De uitvinding heeft betrekking op een betaalsysteem waarbij gebruik wordt gemaakt van electronische betaalkaarten, in het bijzonder "chip cards” of ”smart cards". Met name wordt in de onderhavige aanvrage gedacht aan betaalkaarten die kunnen worden gebruikt voor het betalen van de gesprekskosten in openbare telefoonterminals. Echter ook andere diensten en ook goederen kunnen op deze wijze worden betaald. Deze ontwikkeling wordt wel aangeduid met Electronic purse”. Daarbij wordt gedacht aan het doen van betalingen van over het algemeen niet al te grote bedragen door middel electronische betaalkaarten waarop tevoren een saldo is gezet. Betaling geschiedt door het saldo op de kaart te verlagen. Uiteraard dienen maatregelen getroffen te worden om de saldoverlaging ten goede te laten komen aan de leverancier; systemen hiervoor zijn nog in ontwikkeling en er vinden op dat gebied proefnemingen plaats. Voor het op de kaart plaatsen van een beginsaldo en het naderhand aanvullen van dat saldo moet, wil deze betalingsvorm geaccepteerd willen worden, een infrastructuur van terminals e.d. zijn. Het lijkt mogelijk daarvoor de openbare telefoonterminals te gebruiken. Die kunnen dan dus dienen als "oplaad-station” voor electronische betaalkaarten. Uiteraard blijven de openbare telefoonterminals geschikt als middel om telefoongesprekken te kunnen voeren en eventuele andere telecommunicatiefaciliteiten te kunnen bieden via het achterliggende centrale telefoon- of telecommunicatiesysteem. Betaling van die gesprekken en eventuele andere faciliteiten kan daarbij plaatsvinden door middel van de "electronic purse". Hoewel in het onderstaande dus in het bijzonder gedacht wordt aan betaling van telefoon/telecommunicatiekosten, wordt benadrukt dat de onderstaand uiteengezette uitvinding daartoe niet beperkt is en evengoed toepasbaar is bij het door middel van een "electronic purse" betalen van andere diensten of goederen. Ook het "laden" van de betaalkaarten behoeft niet per se te geschieden via telefoonterminals, maar kan evengoed via andere terminals geschieden, bijvoorbeeld terminals die thans worden gebruikt voor de uitgifte van baar geld ("geldautomaten").

Nadat een betaalkaart is voorzien van een beginsaldo, wordt dat saldo door de telefoonterroinal verlaagd naar rato van de gesprekskosten. Het voorzien van een beginsaldo en het na verloop van tijd aanvullen van dat saldo kan eveneens worden uitgevoerd via de telefoonterminal. Hierbij moet verbinding worden gemaakt met een centraal administratiesysteem dat enerzijds het door de gebruiker gewenste bedrag op de kaart bij schrijft en anderzijds zorgdraagt dat het bedrag kan worden geïncasseerd, bijvoorbeeld door verzending van een rekening naar de gebruiker of via het —na machtiging— electronisch verlagen van het saldo van een bankrekening van de gebruiker.

De volgens de onderhavige uitvinding voorgesteld maatregelen beogen fouten en malversaties in de genoemde processen —het gebruik/betaalproces en het "saldoproces"— tegen te gaan.

B. SAMENVATTING VAN DE UITVINDING

De kern van de uitvinding is dat bij elk saldoproces., gedurende de hele procestijd, op de betaalkaart een "vlag" wordt geplaatst om aan te geven dat de betaalkaart bezig is met een ondeelbare actie, d.w.z. een proces dat niet onderbroken mag worden. Na afloop van die ondeelbare actie wordt de vlag weer weggenomen. Het plaatsen en weghalen van een vlag vindt plaats door in een bepaalde geheugenplaats van de betaalkaart een bepaald eerste teken (bijv. "1") resp. tweede teken (bijv. "0") te schrijven. Het benuttings- en betaalproces —het gebruik van de telefoonfacilitieten— kan alleen worden gestart nadat is geconstateerd dat op die bepaalde geheugenplaats geen vlag staat, wat betekent dat het laatste saldoproces correct afgesloten werd. Als er wèl een vlag staat, wordt geen verbinding met het telefoonsysteem opgezet. In plaats daarvan wordt een saldosessie opgezet waarbij de niet correct afgemaakte vorige sessie wordt herhaald of, op basis van de nog aanwezige informatie in het administratiesysteem, alsnog voortgezet en correct beëindigd.

Teneinde te voorkomen dat de vlag door malversatie, bijvoorbeeld door middel van een FC en een kaartterminal, zou kunnen worden verwijderd —te denken is aan de situatie dat tijdens het saldoproces, op het moment dat het saldo op de kaart reeds verhoogd is terwijl vervaardiging van de nota (of automatische incasso-opdracht) nog niet heeft plaats gevonden, de betaalkaart uit de terminal wordt getrokken— wordt er bij voorkeur in voorzien dat de vlag uitsluitend verwijderd kan worden vanuit het centrale systeem dat voor saldoverhoging zorgdraagt. Het codesignaal om de vlag te verwijderen wordt dan ook bij voorkeur aan de betaalkaart aangeboden, voorzien van een cryptogra£ische code die het centrale systeem als oorsprong van dat codesignaal aanduidt (Message Authentication Code, MAC). Als deze correct blijkt te zijn wordt het codesignaal omgezet in een instructie voor het vervangen van het eerste teken ("l","vlag op") in het tweede ("0", "vlag neer"). Bij voorkeur worden, bij gebruik van EEPR0M-kaarten, verschillende instructies gebruikt voor het opzetten van de vlag en het verwijderen van de vlag. Voor de eerste actie ("0"->"l") wordt de instructie "WRITE" gebruikt, voor de tweede actie ("l"->"0") de instructie "MODIFY". Het verschil is:

C. UITVOERINGSVOORBEELDEN

Onderstaand wordt de uitvinding nader besproken aan de hand van een schematische voorstelling van een kaarttelefoonsysteem in £iguur 1 en een viertal diagrammen in de figuren 2-5.

Figuur 1 toont een telefoonnet (PSTN) waarop een telefoonterminal is aangesloten. Betaling van telefoonkosten geschiedt door periodieke verlaging van het saldo van een electronische betaalkaart. Het saldo van die kaart kan worden verhoogd door de kaart in de terminal te steken. In een menu-gestuurd dialoog met de terminal —via het toetsenbord en display-venster van de terminal— wordt verbinding gemaakt met een op de PSTN aangesloten "Accounting & Billing"-systeem (ABS). Nadat een door de gebruiker gewenst saldo is bijgeschreven —waarvoor de gebruiker van het ABS een nota krijgt— kan de betaalkaart worden gebruikt om een telefoonsessie met het PSTN te beginnen, waarvan de kosten worden betaald door periodieke debitering van het saldo.

Het diagram van figuur 2 toont schematisch het protocol dat wordt uitgevoerd nadat een gebruiker zijn betaalkaart in de terminal steekt.

Nadat de kaart in de terminal is gestoken en de identiteit is vastgesteld en geautoriseerd —dit is, evenals meer protocol-details, in de figuren niet aangegeven— wordt de "vlag" van de betaalkaart gelezen. Deze heeft normaliter (in dit voorbeeld) de waarde "0": "vlag neer". Als de vlag neer is kan worden begonnen met het opzetten van een telefoonverbinding, hetgeen in figuur 3 wordt geïllustreerd. In plaats daarvan kan ook een actie worden gestart om het kaartsaldo te verhogen, zie figuur 4. Als de vlag de waarde "1" heeft ("vlag op"), is er iets niet in orde en wordt er eerst een fout-routine afgewerkt; deze wordt getoond in figuur 5.

Figuur 3 toont de routine voor het opzetten en door middel van het kaartsaldo betalen van een telefoongesprek. Daarbij wordt eerst nagegaan of het beginsaldo voldoende is, wordt de verbinding opgezet en wordt periodiek een bedrag P van het kaartsaldo afgetrokken. Zodra het saldo onvoldoende is wordt de verbinding verbroken.

Figuur 4 toont de routine voor het verhogen van het kaartsaldo. Als eerste actie wordt de vlag omhoog gezet ("1"). Dit is een indicatie voor het actief zijn van de routine "RAISE CREDIT"; pas aan het einde ervan wordt de vlag weer neergehaald ("0"). Via het toetsenbord van de terminal —hetzelfde als waarmee telefoonverbindingen kunnen worden gekozen— wordt het bedrag ingevoerd waarmee het saldo moet worden verhoogd. Nadat voor de zekerheid de waarde van de vlag is gelezen —deze hoort "1" te zijn— wordt het kaartsaldo gelezen. Tevens wordt —via het telefoonnet— verbinding gemaakt roet ABS. Het kaartsaldo en het bedrag waarmee het kaartsaldo moet worden aangevuld worden nu door de terminal aan het ABS doorgegeven en aldaar geregistreerd (CAR). De terminal geeft vervolgens de betaalkaart opdracht het saldo te verhogen met het bedrag; de kaart geeft via de terminal het nieuwe saldo door aan het ABS. In het ABS wordt het ingevoerde bedrag vergeleken met het verschil tussen het nieuwe en het oude kaartsaldo en wordt, bij overeenstemming, de nota voor de gebruiker opgemaakt. Vervolgens wordt het in het ABS de registratie van het oude kaartsaldo en het door de gebruiker ingevoerde bedrag gewist. Als laatste wordt de vlag op de betaalkaart weer omlaag gezet. De opdracht daartoe wordt vanuit het ABS ontvangen onder toepassing van "Message Authentication" door middel van een cryptografische "Message Authentication Code" (MAC). Deze wordt in de betaalkaart gecontroleerd, waarna de vlag door middel van een MODIFY-instructie op "0" wordt gezet. De betaalkaart is zo geprogrammeerd dat de MODIFY-instructie uitsluitend kan worden uitgevoerd tezamen met een correcte MAC. Gebruik van MACs is algemeen bekend, ondermeer uit "Electronic banking using smartcards", SMART CARD '90. Int. Exh. and Conf. FLF Commun, vol.2, 1990, pp Ml-8, of uit het boek "Security for Communication Networks" van Davis en Price.

Figuur 5 toont de routine die wordt afgewerkt als na het invoeren van de betaalkaart wordt geconstateerd dat de vlag omhoog staat. Dit duidt erop dat een eerdere actie ter verhoging van het kaartsaldo niet correct is beëindigd. Door de routine van figuur 5 wordt de niet correct afgewerkte eerdere actie alsnog correct beëindigd.

Allereerst (regels 50-51) wordt onderzocht of in het ABS nog de registratie —gemaakt tijdens die eerdere actie— van het oude kaartsaldo en het bedrag waarmee dat saldo moest worden verhoogd (CAR) bestaat. Als deze bij de eerdere actie werd gewist, is de enige nog uit te voeren actie het resetten van de vlag. Er mag van worden uitgegaan dat in de incorrect afgesloten actie alleen het resetten van de kaartvlag achterwege is gebleven (regels 52-53).

Als de CAR nog bestaat (regels 54-55) wordt onderzocht of het geregistreerde kaartsaldo al dan niet gelijk is aan het huidige kaartsaldo (regel 56).

Als het huidige kaartsaldo groter is dan het geregistreerde kaartsaldo in de CAR, mag ervan worden uitgegaan dat tijdens de vorige sessie wel het kaartsaldo is verhoogd, maar dat daarvan geen rekening is opgemaakt. In dit geval wordt alsnog de rekening opgemaakt, de CAR gewist en de vlag gereset (regels 57-59).

Als het huidige kaartsaldo gelijk is aan het in de CAR geregistreerde kaartsaldo wordt de eerdere poging tot saldoverhoging alsnog afgewerkt, namelijk op basis van uit de CAR bekende bedrag waarmee het saldo moest worden verhoogd. Het kaartsaldo wordt alsnog verhoogd, de rekening opgemaakt, de CAR gewist en de vlag gereset (regels 60-66).

Nadat aldus door detectie van de vlag een niet-correcte sessie ter verhoging van het kaartsaldo werd gesignaleerd en die fout alsnog werd gecorrigeerd, kan de voorgenomen sessie, waarvoor de keuze reeds werd gemaakt (zie figuur 2, regels 12-14), alsnog worden gestart (regel 67).

D. REFERENTIES Geen

Claims

1. Betaalsysteem waarbij tijdens een saldoproces, inhoudende een verhoging van het saldo van een electronische betaalkaart, deze betaalkaart wordt beschreven met een eerste teken, dat na afloop van dat saldoproces wordt gewijzigd in een tweede teken.

2. Betaalsysteem waarbij tijdens een betaalproces, omvattende de betaling van een goed of een dienst door verlaging van het saldo van de betaalkaart, de aanwezigheid van het eerste teken dan wel het tweede teken wordt gedetecteerd en waarbij het betaalproces uitsluitend wordt uitgevoerd bij aanwezigheid van het tweede teken.

3. Betaalsysteem volgens conclusie 1, waarbij aan het begin van het saldoproces de aanwezigheid van het eerste of het tweede teken wordt gedetecteerd en bij aanwezigheid van het tweede teken dit tweede teken wordt gewijzigd in het eerste teken, waarna het saldoproces wordt uitgevoerd, terwijl bij aanwezigheid van het eerste teken, aanduidend dat een vorig saldoproces werd onderbroken, het onderbroken vorige saldoproces wordt afgemaakt of herhaald.

4. Betaalsysteem volgens conclusie 2, waarbij aan het begin van het betaalproces de aanwezigheid van het eerste of het tweede teken wordt gedetecteerd en uitsluitend bij aanwezigheid van het tweede teken het betaalproces wordt volvoerd, terwijl bij aanwezigheid van het eerste teken, aanduidend dat een vorig saldoproces werd onderbroken, het onderbroken vorige saldoproces wordt afgemaakt of herhaald alvorens het betaalproces te volvoeren.

5. Betaalsysteem volgens conclusie 3, waarbij electronische betaalkaarten via een decentrale terminal in verbinding kunnen worden gebracht met een centraal systeem (PSTN/ABS) dat na afloop van het saldoproces een signaal naar de terminal zendt waardoor op de betaalkaart het eerste teken in het tweede teken wordt gewijzigd.

6. Betaalsysteem volgens conclusie 5, waarbij de terminal aan het begin van het saldoproces het tweede teken op de betaalkaart in het eerste teken wijzigt.

7. Betaalsysteem volgens conclusie 5, waarbij de betaalkaarten een EEPROM omvatten en het wijzigen van het eerste teken in het tweede teken geschiedt door middel van een MODIFY-instructiecode.

8. Betaalsysteem volgens conclusie 6, waarbij de betaalkaarten een EEPROM omvatten en het wijzigen van het tweede teken in het eerste teken geschiedt door middel van een WRITE-instructiecode.

9. Betaalsysteem volgens conclusie 1, waarbij, voor het uitvoeren van het saldoproces, de electronische betaalkaart via een decentrale terminal en een centraal telefoon- of telecommunicatiesysteem (PSTN) in verbinding wordt gebracht met een administratiesysteem (ABS).

10. Betaalsysteem volgens conclusie 9, waarbij genoemde decentrale terminal een telefoon- of telecommunicatieterminal is.

11. Betaalsysteem volgens conclusie 2, waarbij de electronische betaalkaart in verbinding kan worden gebracht met de decentrale telefoon- of telecommunicatieterminal van een centraal telefoon- of telecommunicatiesysteem (PSTN) en waarbij uitsluitend gebruik kan worden gemaakt van de telefoon- of telecommunicatiefaciliteiten van dat telefoon- of telecommunicatiesysteem, althans tenminste voor zover betaling van die faciliteiten plaatsvindt door verlaging van het saldo van die betaalkaart, na detectie van het tweede teken.