DE69205425T2

DE69205425T2 - Gesichertes verfahren zum laden von mehrfachen anwendungen in einer mikroprozessor-speicherkarte.

Info

Publication number: DE69205425T2
Application number: DE69205425T
Authority: DE
Inventors: Georges Grimonprez; Pierre Paradinas
Original assignee: Gemplus Card International SA
Current assignee: Gemplus SA
Priority date: 1991-01-18
Filing date: 1992-01-16
Publication date: 1996-03-21
Anticipated expiration: 2012-01-17
Also published as: FR2673476B1; EP0589884B1; FR2673476A1; ES2082451T3; DE69205425D1; EP0589884A1; WO1992013322A1; JPH06504862A; US5473690A

Description

Die vorliegende Erfindung wurde in Zusammenarbeit mit der Universite des Sciences et Techniques de Lille (Technische Universität Lille), Labore CERIM und LIFL, gemacht. Sie betrifft ein gesichertes Verfahren zum Laden mehrerer Anwendungen in eine mit einem Mikroprozessor versehene Speicherkarte, häuf ig auch Chipkarte genannt. Solche Chipkarten finden in drei typischen Einsatzbereichen Anwendung. Bei einer ersten Kennzeichenanendung bilden sie Schlüssel, mit dem ihr Träger Zugang zu einem Ort oder einer Abteilung erhält. Bei einer monetären Anwendung sind sie entweder vorab mit Einheiten geladen, die eine Verbrauchsinöglichkeit bei der Ausgabestelle der Chipkarten darstellen (in der Regel Telekommunikationsfirmen) oder stellt die Information, die sie enthalten, den Saldo eines Bankkontos dar. Als letzte Anwendungsart ist die Speicherung von Daten zu erwähnen: beispielsweise verfügt jeder Bürger für die Kontrolle seiner Gesundheit über eine Karte, auf der seine medizinischen Daten gespeichert sein können, oder aber die Karte kann einen Personalausweis ersetzen.
Die vorliegende Erfindung zielt darauf ab, diese verschiedenen Anwendungen auf einer einzigen Karte zu vereinen, ohne daß die Verwendung der für eine Anwendung bestimmten Karte der Verwendung der Karte für andere Anwendungen schadet. In dieser Absicht liefert die Erfindung ein gesichertes Verfahren zum Laden der einzelnen Anwendungen in einer Weise, daß diese einander nicht störeni. Die Erfindung deckt außerdem die an mit einer Anwendung zusammenhängende Möglichkeit der Strukturierung und die Abfrage der Daten pro Anwendung ab. Außerdem ermöglicht das System den Anwendungen, bestimmte Daten bei bestimmten Anwendungen vertraulich zu "zeigen".
Es ist eine erste Art der Verwaltung mehrerer Anwendungen auf einer einzigen Karte bekannt. Sie wird nachfolgend beschrieben, und es wird gezeigt werden, daß dieses bekannte Ladeverfahren trotz der Leistungen, die es erbringen kann, an bestimmte Grenzen stößt. Das Verfahren der Erfindung wird zeigen, wie man diese Grenzen überschreiten kann.
Fig. 1 gibt ein Beispiel der Teilung des Speichers einer Chipkarte, die mehreren Anwendungen genügen soll. Ein Speicher einer solchen Chipkarte ist in diesem Fall in zwei Hauptbereiche geteilt. Ein erster Beschreibungsbereich 1 enthält Deskriptoren, ein zweiter Bereich 2 weist reine Speicherzonen auf. Ein Deskriptor steht für eine Anwendung. Er weist eine bestimmte Anzahl Bytes in Binärsprache auf. Ein erstes Byte 3 wird Kennzeichnungsbyte genannt. Mit ihm kann die Anwendung benannt werden. Wenn man zum Zeitpunkt einer Transaktion mit der Karte einen Geheimcode und das Anwendungskennzeichen eingibt, landet man direkt in dem Deskriptor, für den das Kennzeichen dem eingegebenen Geheimcode entspricht.
Ein Deskriptor weist außerdem nach dem Kennzeichen einen Schutz 4 auf. Ein erstes Byte dieses Schutzes 4 betrifft den Leseschutz der Worte des Speichers, ein weiteres Byte betrifft den Schreibschutz, ein drittes und ein viertes Byte betreffen das Löschen oder die Aktualisierung, wenn die Technologie (EEPROM) der Karte dies außerdem zuläßt. Man kann beispielsweise annehmen, daß diese Informationen auf einem Bit des Schutzbytes codiert sind: wenn es gleich null ist, verhindert es die Aktion, wenn es gleich eins ist, läßt es sie zu. Ebenso kann man beim Schreiben annehmen, daß das dritte (oder ein anderes) Bit des zweiten Schutzbytes das Schreiben verhindert, wenn sein Wert null lautet, oder es im Gegenteil zuläßt, wenn sein Wert eins lautet (oder möglicherweise das Gegenteil). Das gleiche gilt für das Löschen oder die Aktualisierung.
Als letzter Hauptbereich umfaßt ein Deskriptor schließlich eine Anzahl 5 der von der jeweiligen Anwendung verwendeten Speicherworte. Diese Anzahl ist beispielsweise auf zwei Bytes nach den Schutzcodes 4 codiert. Eine von einem Deskriptor betroffene Anwendung kann auf diese Weise eine Anzahl von Speicherworten enthalten, die gleich einer beliebigen Zahl ist, beispielsweise 18. Um zu erfahren, wo sich die Speicherworte im Bereich 2 dieses Speichers befinden, die dieser Anwendung entsprechen, rechnet ein Befehl des Mikroprozessors der Chipkarte aus, daß die erste Adresse der 18 erlaubten Wörter gleich der Summe der den vorangehenden Deskriptoren in der Deskriptorenliste eingeräumten Worte der Chipkarte plus eins entspricht. Die letzte zulässige Adresse ist gleich dieser Summe zuzüglich der in dem Deskriptor angegebenen Anzahl Worte, d.h. hier 18.
Wenn in einem Beispiel ein Kennzeichen dem dritten Deskriptor entsprochen hat, wird man unabhängig davon, ob man weiß, ob man in den jeweiligen Speicherworten lesen oder schreiben kann, wissen, daß die der Anwendung zugewiesene Speicherzone der des Deskriptors 3 entspricht, daß sie nach den diesen Deskriptoren 1 bzw. 2 zugewiesenen liegt und daß ihre Länge durch die Anzahl der diesem Deskriptor 3 zugewiesenen Worte begrenzt ist.
Die Mikroprozessoren umfassen also derzeit in ihrem Befehlsvorrat sequenzartig organisierte Befehle, die im Speicher (ROM) der Chipkarte definitiv gespeichert sind, an deren Ende man einerseits eine gewählte Anwendung erkennen und man andererseits unwiderruflich den Zugang zu einer zugeordneten Einheit von Speicherworten beschränken kann.
Zur Erzeugung neuer Anwendungen ist in diesem Befehlsvorrat außerdem ein Erzeugungsbefehl vorgesehen, der es ermöglicht, einen Deskriptor an die bereits vorhandenen Deskriptoren anzufügen (sofern dies der Speicherplatz erlaubt) und dieser durch diesen Deskriptor beschriebenen Anwendung eine Anzahl Speicherworte zuzuweisen (auch hier, sofern auf der Karte Speicherplatz verfügbar ist). Die einer neuen Anwendung zugeordnete Speicherzone ist völlig unabhängig von der den vorangehenden Anwendungen zugeordneten.
Diese Technik mit ihrem zugehörigen Befehlsvorrat ist zwar effizient, doch weist sie eine erste Beschränkung auf, in der Form, daß sie es einer Anwendung untersagt, in der einer anderen, vorher gespeicherten Anwendung zugeordneten Speicherzone zu arbeiten. Dies ist begreiflich, da darin die Sicherheitsabsicht des Systems liegt. Dennoch kann es in bestimmten Fällen vorkommen, daß der Inhaber einer Anwendung in einer zusätzlichen Anwendung, die er selbst programmieren würde, den Zugang zu einer oder mehreren Speicherzonen wünscht, die er sich vorher zugewiesen hat. Dann ist dies nicht möglich. Die Struktur ist nicht anpassungsfähig.
Als Beispiel stelle man sich vor, daß bei einer bankmäßigen Anwendung eine Bank den Inhaber der Karte schon durch eine gespeicherte und von einem Deskriptor 1 dargestellte Anwendung autorisiert hat, einen bestimmten Geldbetrag pro Woche von seinem Konto abzuheben. Sie könnte diesen Inhaber anschließend ermächtigen wollen, bargeldlose Überweisungen von dem Bankkonto aus zu tätigen, zu dem diese Chipkarte gehört. Diese zweite Anwendung muß in der derzeitigen Lage vollkommen unabhängig von der ersten eingegeben werden. Dies führt zu einer Duplizierung bestimmter Speicherzonen und zu Problemen mit ihrer Verwaltung. Der in einer der Speicherzonen einer Anwendung vorhandene Saldo ist beispielsweise von einer Abhebung betroffen, während der theoretisch gleiche Saldo in einer anderen Speicherzone, die der Überweisung entspricht, nicht korrelativ zu der Summe, die der Abhebung entspricht, belastet wird.
In diesem Fall bestünde die Lösung für die Bank darin, eine der Anwendungen zu streichen und statt dessen eine andere Anwendung einzugeben, welche sämtliche Befehle der vorherigen Anwendungen umfassen würde. Dies bewirkt einen Platzverlust auf der Karte. Da die Speichergrößen auf diesen Karten außerdem bekanntlich begrenzt sind, ist diese Technik verständlicherweise nicht ohne Nachteile.
Außerdem geben die letzten Bytes des Deskriptors Auskunft über die Anzahl der im Speicher verwendbaren Worte, doch ist dies eine nicht immer geeignete Vorgehensweise. Denn insbesondere bei reinen Datenspeicherungsvorgängen kann man als Speicherwortlänge entweder festgelegte Längen, beispielsweise 30 Bytes (wobei jedes Byte einem Schriftzeichen zugeordnet werden kann), oder eine variable Länge vorsehen. In diesem Fall muß man jedoch nach jeder gespeicherten Information ein Trennungs-Byte (-Schriftzeichen) erscheinen lassen, beispielsweise im ASCII-Code entsprechend einem Stern, einem Schrägstrich o.a. Eine solche Strukturierung hat den Nachteil, daß sie den Programmierern, welche die Karte verwenden, genau bekannt sein muß, was in manchen Fällen die Verwendung schwerfällig macht. Selbst bei einer sehr einfachen Anwendung ist eine genaue Kenntnis der gesamten Funktion der Karte und des Mikroprozessors nötig.
Das Format in festgelegter Länge kann außerdem in der meisten Zahl der Fälle zu einem Verlust an Systemplatz führen, und zwar wegen einer Überdimensionierung der Wortlängen, um allen Probleme abzuhelfen.
Die Probleme der Sicherheit oder des Rechts auf den Zugang zu den Daten der Karte hängen mit der Stelle zusammen, an welcher diese Daten im Speicher vorgesehen sind.
Ebenso ist ein anderer Stand der Technik bekannt, der in dem Dokument WO-A-8707061 offenbart wird. Dieses Dokument sieht jedoch nur eine hierarchische Struktur der Anwender vor. Die Anwender ein und derselben hierarchischen Stufe sollen nicht auf unterschiedlichen Stufen arbeiten können. Umso eher können anwendungsfremde Anwender in die Hierarchie eingegliedert werden und autorisiert werden, die Eintragungen einer Datentabelle zu lesen und sie sogar zu verändern. Dieses Dokument schlägt keine Lösung zu diesem Problem vor.
Die Erfindung will diesen Nachteilen und Einschränkungen abhelfen, indem sie eine völlig andere Struktur und Organisation der Daten der Anwendungen auf der Karte vorschlägt, für deren Sicherheit die Daten keine besonderen Speicherplätze haben müssen. Statt einer Verbindung einerseits eines der Anwendung entsprechenden Kennzeichens, andererseits von Schutzbedingungen und schließlich von Zuweisungen von Speicherzonen, mit denen die Anwendungen arbeiten, zu einem untrennbaren Element wurde bei dieser Struktur vorgezogen, den Zusammenhang zwischen diesen einzelnen Begriffen zu organisieren.
Wie im folgenden gezeigt, stellt man zunächst einen Zusammenhang zwischen den Anwendungen, den Kennzeichen und vorzugsweise den Geheimcodes her. Dieser Zusammenhang wird auf der Karte in einem Verzeichnis gespeichert, das Verzeichnis der Anwendungen heißt. Anschließend gibt man in einem zweiten, sogenannten Tabellenverzeichnis die Beziehungen ein, die zwischen einer gegebenen Anwendung und einer Datentabelle bestehen können, mit der diese Anwendung arbeitet. Als Hauptmerkmal ist die Erstellung einer Datentabelle für nur einen Anwendungsbesitzer gestattet. Die entsprechende Datentabelle wird nun in der Folge dieser Beschreibung als zur Anwendung gehörig angesehen. In einem dritten Verzeichnis, dem sogenannten Verzeichnis der Rechte, organisiert man schließlich die möglichen Wechselbeziehungen zwischen den einzelnen Anwendungen und Benutzeranwendungen auf den erstellten Tabellen.
Man unterscheidet somit hier Klassen zwischen den Anwendungen, beispielsweise der Bankanwendung, und den Benutzeranwendungen. Es wird gezeigt werden, daß man als Hauptunterschied zwischen den Anwendungen und den Benutzeranwendungen in dem Verzeichnis der Anwendungen den Anwendungen eine Speichermöglichkeit zuweist (zur Erstellung von Datentabellen, die dieser Anwendung entsprechen), während die Benutzeranwendungen keine Speichermöglichkeit mit diesem Ziel erhalten. Für ihr Funktionieren sind die Benutzeranwendungen gezwungen, einen Teil des Speichers zu nutzen, der ihnen durch eine Anwendung zur Verfügung gestellt wurde.
Als Hauptvorteil ermöglicht das System der Erfindung je nach den Datentabellen dem Besitzer einer Anwendung die Erstellung und Zerstörung seiner Benutzeranwendungen und diesem gleichen Besitzer einer Anwendung, anderen Anwendungen oder Benutzeranwendungen Zugriffsrechte auf seine Datentabellen zu übertragen. Die Benutzeranwendungen können an bereits im Speicher der Karte vorhandenen Datentabellen arbeiten, und zwar in dem Maße, wie der Anwendungsinhaber dies zuläßt (Rechteverzeichnis).
Die Frage der Speicherplatzeinsparung wird dadurch geregelt, daß man in dem Datentabellenverzeichnis die systematische Möglichkeit von Einträgen variabler Länge zuläßt.
Die Erfindung betrifft somit ein Verfahren nach Anspruch 1 zum Laden und Verwalten mehrerer Anwendungen auf einer Chipkarte.
Obwohl die Anwendungen und die Benutzeranwendungen von der Logik her die gleiche Struktur haben, sind ihre jeweiligen Benutzungsbedingungen unterschiedlich. Nachdem sämtliche beschriebenen Arbeitsschritte "dynamisch" sind, können außerdem während der ganzen Lebensdauer der Karte an den Tabellen oder der Verwaltung der Anwendungen und Benutzeranwendungen Eingriffe erfolgen.
Die Erfindung wird besser verständlich durch Lektüre der nachfolgenden Beschreibung und Prüfung der beiliegenden Figuren. Diese sind nur beispielhaft gegeben und sind keineswegs erschöpfend für die Erfindung.
Die Figuren zeigen:
- Fig. 1: die bereits kommentierte Darstellung einer Organisation des Speichers einer Chipkarte im Stand der Technik;
- Fig. 2: die schematische Darstellung einer Chipkarte der Erfindung und ihre Verwendung als Transaktionswerkzeug;
- Fig. 3-5: genaue Darstellungen der Anwendungsverzeichnisse bzw. der Tabellenverzeichnisse und Rechteverzeichnisse;
- Fig. 6: Besonderheiten der Organisation der Daten im Tabellenverzeichnis;
- Fig. 7: die Bedeutung der Organisation des Tabellenverzeichnisses für das Ordnen der Daten in einem Datenspeicher der Chipkarte;
- Fig. 8-10: Organogramme der Erstellung bzw. jedes Verzeichnisses nach der Erfindung;
- Fig. 11 und 12: Organogramme möglicher Eingriffe an der Datentabelle.
Fig. 2 stellt eine schematische Organisation einer Chipkarte der Erfindung dar. Diese Chipkarte 10 umfaßt auf einem Träger einen Schaltkreis, der über nicht dargestellte, aber bekannte Vorrichtungen (Metallisierung von Kontakten) zum Austausch mit der Außenwelt verfügt. Dieser Schaltkreis umfaßt einen Mikroprozessor 11 und einen Datenspeicher 12 (in einem Beispiel ist dieser Datenspeicher 12 ein EEPROM-Speicher, d.h. daß er programmier- und löschbar ist). Der Chip der Chipkarte umfaßt außerdem einen Programmspeicher 13 (ROM), der die der Erfindung eigenen Befehle des Mikroprozessors enthält. Wie vorstehend gesagt, erkennt man in dem Speicher des Chips außer dem Datenspeicher 12 die Existenz eines Anwendungsverzeichnisses 14, eines Tabellenverzeichnisses 15 und eines Rechteverzeichnisses 16. Außerdem sieht man, daß es ein Verzeichnis 17 der Chiffrierungsschlüssel gibt, was später noch zu erklären sein wird. Da das Verzeichnis 17 für sich steht, kann es auch ergänzend im Tabellenverzeichnis 15 definiert sein. Dies erlaubt eine chiffrierte Übermittlung der in dem Speicher 12 gelesenen Daten. Der Mikroprozessor 11 ist mit den einzelnen Speichern 12 bis 17 über einen Daten- und Adressenbus 110 verbunden. Eine Musterbauart eines Mikroprozessors ist im übrigen in dem Buch "Comprendre les Microprocesseurs" von Daniel Quessac, Editions Radio, Frankreich 1983 beschrieben.
Bei der Verwendung einer solchen Chipkarte 10 wird diese in ein Lesegerät 18 eingeführt, das selbst einen (nicht dargestellten) Mikroprozessor aufweist, der zusammen mit der Karte 10 mittels einer Tastatur 20, eines Bildschirms 21 und eines Geräts 22 ein Programm 19 ausführen kann.
Beispielsweise kann eine Bedienungsperson, wie dies auf dem Bildschirm 21 für eine Bankanwendung dargestellt ist, mit der Tastatur 20 eine Abhebung veranlassen und somit die Ausführung eines Teils des Programms 19 bewirken, wodurch das Gerät 22 ihm Banknoten 23 ausgibt. Gleichzeitig speichert das Lesegerät auf der Chipkarte (oder in einem nicht dargestellten Zentralverwaltungssystem) die Belastung des entsprechenden Kontos.
Auf dein Bildschirm 21 ist schematisch die Existenz mehrerer möglicher Anwendungen angegeben: eine BANK-Anwendung, eine WERKSTATT-Anwendung, eine SOZVERS.-Anwendung für die Sozialversicherung. Es hätten auch andere Anwendungen sein können, so z.B. TELEKOM für Telekommunikation oder andere. Der Vorteil der Erfindung besteht darin, daß verschiedene Bedienungspersonen, verschiedene Ausgabestellen, hier Anwendungsbesitzer genannt, ohne vertragliche Beziehungen untereinander den gleichen Träger benutzen können, und zwar ohne daß Gefahr besteht, daß die von einem der Anwendungsbesitzer oder Benutzer vorgenommenen Transaktionen die Daten beeinflussen, die in den Datentabellen gespeichert sind, die einem anderen Anwendungsbesitzer gehören (es ist leicht das Risiko zu ermessen, das damit im Bankenbereich verbunden wäre).
Für die Bankanwendung sind außerdem auf dem Bildschirm 21 mehrere mögliche Anwendungen angezeigt: beispielsweise die Anwendungen ABHEBUNG, ÜBERWEISUNG, ANZEIGE. Man unterscheidet somit sehr hierarchisch zum einen die Anwendungen und zum anderen Benutzeranwendungen. Wie später noch zu sehen sein wird, sind diese Anwendungen und Benutzeranwendungen alle in dem Verzeichnis der Anwendungen gespeichert. Was sie unterscheidet, ist jedoch, daß die Anwendungen Datentabellen erstellen und nutzen können (Lesen, Schreiben, Aktualisieren, Löschen), wohingegen die Benutzeranwendungen diese nur nutzen können. Diese Nutzung wird zweifach überwacht. Einerseits läßt eine Speicherzuweisung die Einfügung von Eingaben oder Zeilen in eine Datentabelle zu, wenn diese Zuweisung nicht null ist. Andererseits kann das Rechteverzeichnis diese Benutzeranwendung ermächtigen, einen Eintrag in einer Datentabelle, zu der sie Rechte erhalten hat, einzufügen (INSERT), zu löschen (DELETE), zu aktualisieren (MODIF) oder nur auszuwählen (SELECT).
Da der Speicher der Karte von mehreren Anwendungen geteilt wird, wird bei der Erstellung der Anwendungen und Benutzeranwendungen für jede Anwendung oder Benutzeranwendung eine maximale nutzbare Speichergröße definiert. Diese Größeninformation ist grundsätzlich in einem in dem Verzeichnis der Anwendungen vorhandenen Zähler gespeichert. Bei der Zuordnung von Daten in eine Zeile einer Datentabelle durch eine Anwendung oder Benutzeranwendungen verringert sich der Inhalt des Zählers um die Anzahl der eingegebenen Zeichen. Im Fall einem Löschen von Daten in einer Zeile der Tabelle erhöht er sich um die Anzahl gelöschter Zeichen. Statt Zeichen kann man in der Speicherzuweisung auch genau eine Anzahl von Informationszeilen angeben: die Größe der Zeile kann frei festlegbar sein (in den Grenzen des verfügbaren Platzes).
In der nachfolgenden Beschreibung wird jedes Verzeichnis der Erfindung vorgestellt, wobei einerseits ihre Struktur und andererseits die Befehle, denen sie gehorchen, d.h. die Anweisungen, die der Mikroprozessor (unter Ausschluß jeglicher anderen) ausführen soll, um sie zu erzeugen und zu verändern, genau beschrieben werden.
Fig. 3 zeigt das Verzeichnis der Anwendungen 14. Dieses Verzeichnis umfaßt im wesentlichen vier Spalten. Eine erste Spalte ist die Spalte ANWENDUNGSNAME. Eine zweite Spalte ist die Spalte PASSWORT der Anwendung. Eine dritte Spalte ist die Spalte NUTZBARE SPEICHERGRÖSSE. Vorzugsweise ist die Spalte Paßwort der Anwendung selbst zweigeteilt - auch wenn dies nicht zwingend so sein muß -, wobei ein erster Teil den Geheimcode selbst und ein zweiter, vor oder nach dem ersten vorgesehener Teil eine Höchstanzahl Versuche enthält, die man machen darf, um den Geheimcode einzugeben, mit dem man in die Anwendung hineingelangt. Ebenso wie die Datentabellen weist das Verzeichnis der Anwendungen vorzugsweise Spalten mit variabler Länge auf.
Beispielsweise sind der Anwendungsname und das Paßwort der Anwendung in der Länge begrenzt. Die Anzahl von Eingabeversuchen für den Geheimcode und der nutzbare Speicherplatz werden in festgelegter Länge gespeichert, und zwar mit einem in einem bzw. zwei Bytes enthaltenen Wert. Weiter unten ist beschrieben, wie man variable Größen vorsehen kann.
Wie vorstehend schon gesagt, wurden in dieses Verzeichnis sechs Einträge 141-146 aufgenommen: die ersten drei stellen echte Anwendungen mit einer nutzbaren Speichergröße von ungleich null, die letzten drei Benutzeranwendungen mit ebenfalls einer nutzbaren Speichergröße, die nicht null ist, dar. Diese Benutzeranwendungen können später keine Datentabellen erzeugen. Um sie von den Anwendungen zu unterscheiden, weisen sie in einer vierten Spalte eine Bezeichnung auf, die hier U ist und ihre Art, nämlich die Benutzeranwendung, erwähnt. Die echten Anwendungen weisen entsprechend eine Kennzeichnung A auf. Natürlich können auch andere Symbole verwendet werden, wichtig ist, daß ein Unterschied gemacht wird.
Zur Vereinfachung wurde jeder Anwendung ein Paßwort zugewiesen: für die BANK-Anwendung heißt dieses FORTUNE, für die WERKSTATT-Anwendung heißt das Paßwort AUTO, für die Anwendung Sozialversicherung heißt es GESUNDHEIT. Für die drei Anwendungen ABHEBUNG, ÜBERWEISUNG, ANZEIGE heißen die Paßwörter USE1, USE2 und USE3.
Fig. 8 zeigt den Vorgang der Erstellung des Verzeichnisses der Anwendungen. Diese Erstellung wird normalerweise vom Hersteller der Chipkarte oder von einem Ausgabeorgan, die von dem Hersteller das Paßwort einer SYSTEM-Anwendung bekommen hat, vorgenommen. Zur Vereinfachung der Beschreibung wird angenommen, daß der Hersteller der Chipkarte diesen Arbeitsschritt vornimmt. Dieser Schritt wird gewöhnlich kundenindividuelle Anpassung der Karte genannt und besteht darin, die Anwendungen BANK, SOZVERS und WERKSTATT in die Karte einzugeben. Derjenige, der die kundenorientierte Anpassung vornimmt, weist den Anwendungen vorzugsweise nach dem Zufallsprinzip ausgewählte Geheimcodes zu. Diese Anwendungen können den Code bei der ersten Benutzung der Karte ändern (CHANGE CODE) und sich einen Code zuweisen, den nur sie selbst kennen.
Vor Auslieferung der leeren Karten und ihrer kundenindividuellen Anpassung durch die einzelnen Anwendungen kann man dennoch davon ausgehen, daß sie durch die Existenz der Anweisungen des Mikroprozessors einerseits und die Organisation in Verzeichnissen andererseits eine Systemanwendung aufweisen, mit der die Programmierung der Karte möglich sein wird.
Das Systemprogramm umfaßt einen Befehl PRESENT, dem in seiner Syntax der Name der betreffenden Anwendung folgen soll. Um die interne Verwaltung des Systems zu vereinfachen, enthält das Verzeichnis der Anwendungen zumindest anfangs eine besondere, SYSTEM genannte Anwendung. Das System enthält den Mikroprozessor, den Speicher und das Programm, das die Funktionen der Erfindung durchführt. Dieses Programm ist im ROM enthalten. In der Folge dieser Beschreibung wird zur Bezeichnung der Funktionen des Systems von Befehlen des Mikroprozessors gesprochen werden. Der Befehl PRESENT bedeutet, daß ein bereits auf der Karte gespeicherter Geheimcode mit einem von dem Benutzer mittels einer Tastatur wie 20 eingegebenen Geheimcode verglichen wird.
In der Praxis führt die Bedienungsperson die Karte in das Lesegerät 18 ein und gibt mit der Tastatur 20 die vorstehenden Befehle ein: PRESENT SYSTEM. Dann wird der Geheimcode, SECRET, auf der Tastatur eingegeben, und die Bedienungsperson macht diesen Zugang gültig. Anschließend erfolgt eine Überprüfung dahingehend, ob der über die Tastatur eingegebene Geheimcode SECRET der gleiche wie der vorher in die Karte eingegebene Geheimcode SECRET ist. Der vorher in die Karte eingegebene Geheimcode ist der wichtigste Geheimcode des Chips: normalerweise wird er in einem besonderen Bereich des Speichers gespeichert. Dieser Bereich ist von außerhalb der Karte nicht zugänglich. Nur das System der Karte kann darauf zugreifen. Falls die Überprüfung eine Nichtübereinstimmung feststellt, landet man bei einem Zurückweisungsprogramm.
Das Zurückweisungsprogramm kann die Berechtigung enthalten, den Geheimcode erneut einzugeben, und zwar insgesamt so oft, wie dies für die Anwendung zugelassen ist. Im Fall der Systemanwendung ist beispielsweise nur eine einmalige Eingabe erlaubt. Zum Erfüllen dieser Funktion weist der Befehl PRESENT des Mikroprozessors der Reihe nach folgende Schritte auf:
1) das Laden der Anzahl Eingabeversuche in einen internen Register des Mikroprozessors,
2) die Inkrementierung eines Versuchszählers bei jedem Versuch,
3) den Vergleich von Zähler und geladener Anzahl,
4) die bedingte Verzweigung zu einer endgültigen Zurückweisung oder einem weiteren Versuch. Der Versuchszähler ist Teil der Chipkarte.
Das Zurückweisungsprogramm enthält also einen Versuchszähler, der durch die zulässige Anzahl Versuche zur Eingabe des Paßworts parametrierbar ist und, wenn er voll ist, die eigentliche Zurückweisung des Versuchs bewirkt. In der Praxis kann diese Zurückweisung des Versuchs das äußere System (Lesegerät 18) veranlassen, die Karte 10 endgültig einzuziehen und in an sich bekannter Weise einem Aufnahmebehälter zuzuführen, aus dem ihr Träger sie nicht herausbekommen kann.
Hat die Überprüfung die Eingabe des richtigen Paßworts ergeben, kann man in diesem Herstellungsstadium, also beim Chipkartenhersteller, nur einen Befehl ausführen, nämlich den Befehl CREATE. Mit diesem Befehl CREATE kann man alle gewünschten Anwendungen und Benutzeranwendungen speichern. Mit diesem Schritt kann der Hersteller Anwendungen in das Verzeichnis 14 der Anwendungen aufnehmen, das auch das Verzeichnis der Benutzeranwendungen ist. Hierzu genügt es, der Karte den Befehl CREATE zu schicken, gefolgt vom Anwendungsnamen, dem dieser Anwendung zugeordneten Geheimcode, dem von dieser Anwendung nutzbaren Speicherplatz und der für diese Anwendung erlaubten Anzahl erfolgloser Versuche der Eingabe des Geheimcodes. Zur Unterscheidung der Benutzeranwendungen von den Anwendungen fügt man diesem Befehl entweder einen Parameter A für die Anwendungen und U für die Benutzeranwendungen hinzu. Oder die Karte verfügt vorzugsweise über ein Befehlspaar CREATE APPLICATION und CREATE APPLICATIONUSER, deren Parameter die gleichen sind wie für das vorstehende CREATE, die die Kennzeichnungen A bzw. U dann jedoch automatisch setzen. Auf diese Weise gibt man die Einträge 141 bis 146 ein. Wenn alle Anwendungen der Benutzungen im Verzeichnis 14 erstellt sind, kann man mit der Tastatur 20 einen Befehl CLOSE geben.
Dieser Befehl CLOSE soll beispielsweise endgültig die Möglichkeit ausschalten, mit dem Befehl CREATE APPLICATION Anwendungen einzugeben. Wenn der Hersteller nämlich zum Zeitpunkt der kundenindividuellen Anpassung nicht alle Anwendungen kennt, können später und vorausgesetzt, der Befehl CLOSE wurde nicht gegeben, durch Wiedereingabe von PRESENT SYSTEM, gefolgt vom richtigen Geheimcode, weitere Anwendungen eingegeben werden. Mit Hilfe des Befehls CLOSE kann diese Funktion geschlossen werden, indem die Anwendung SYSTEM ungültig gemacht wird. Die Anwendung SYSTEM ist anschließend tatsächlich nur aus dem Verzeichnis der Anwendungen verschwunden. Sie kann dann nicht mehr von der Karte wiedererkannt werden. Die Anwendungen jedoch können das Recht zum Erstellen von Benutzeranwendungen mit dem Befehl CREATE-APPLICATION USER behalten.
Dieses Ungültigmachen wird hardwareseitig durch Durchschlag einer Sicherung oder durch irreversibles Überwechsein einer Speicherzelle eines Speichers vom Typ EPROM aus einem logischen Zustand in einen anderen erreicht. Dem Schritt CLOSE kann ein Schritt REBOOT zum erneuten Starten der Karte folgen: die Stromversorgung des Chips muß unterbrochen und wiederhergestellt werden. In diesem Fall ist das Verzeichnis 14 der Anwendungen endgültig festgelegt. Gibt man nicht den Befehl CLOSE, ist die Karte nicht verriegelt.
Auf Fig. 3 ist die Verbindung der Chiffrierungsschlüssei mit den Anwendungen dargestellt. Dies bedeutet, daß das Verzeichnis 14 der Anwendungen als fünfte Spalte eine Spalte für die Chiffrierungsschlüssel aufweisen kann. In diesem Fall müssen die Chiffrierungsschlüssel ein für allemal angegeben werden: sie sind nie mehr veränderbar, da das Verzeichnis 14 nach dem Befehl CLOSE nicht mehr zugänglich sein kann. In der Praxis und im Gegensatz zu dem, was zur Vereinfachung auf Fig. 3 angegeben ist, wird es ein Verzeichnis 17 der Chiffrierungsschlüssel geben, in dem die Anwendungen und Chiffrierungsschlüssel einander jeweils einzeln zugeordnet sind. Das Verzeichnis 17 der Chiffrierungsschlüssel ist veränderbar: für jede Anwendung kann der Wert des Schlüssels verändert werden.
Die Chiffrierungen, um die es hier geht, sind Chiffrierungen der Art DES oder RSA, die ansonsten bekannt sind, für welche die Parametrierung der Chiffrierung einen Schlüssel benötigt, der geheim genannt wird, wenn er nur einem Benutzer bekannt ist und nur von einer einzigen Anwendung abhängt, oder allgemein bekannt genannt wird, wenn er allen Benutzern der Anwendungen gemein ist. Die Chiffrierung einer Information besteht darin, diese Information nach einem solchen, so parametrierten Algorithmus zu verändern. Der Mikroprozessor ist in bekannter Weise mit den notwendigen Befehlen ausgestattet, die zur Ausführung eines solchen Algorithmus erforderlich sind. Durch dieses Prinzip kann der Mikroprozessor der Karte die zu einer Anwendung gehörenden Chiffrierungsschlüssel verwenden, ohne daß die Anwendungen sich Schlüssel teilen müßten. Das Verzeichnis der Schlüssel muß in jeder Zeile den Schlüssel und die Anwendung, für die er bestimmt ist, enthalten.
Fig. 4 zeigt das Datentabellenverzeichnis 15. Dieses Verzeichnis wird auf der Karte nicht endgültig geschlossen: es kann während der ganzen Lebensdauer dieser Karte ergänzt oder verändert werden. Der Einfachheit halber wurde angegeben, daß der von dem Mikroprozessor zum Erstellen eines Eintrags in diesem Verzeichnis ausgeführte Befehl ein MADE- Befehl ist. Dieser MADE-Befehl kann mit einem REMOVE-Befehl verbunden werden, mit dem ein Eintrag gelöscht werden kann. Das Tabellenverzeichnis 15 ist in Fig. 4 in theoretischer und in Fig. 6 in tatsächlicher Form gezeigt. Es umfaßt im wesentlichen, vergleiche Fig. 4, die Verbindung eines Anwendungsnamens, eines Tabellennamens und einer Beschreibung der Spalten der Datentabelle, die man erstellt. Des weiteren umfaßt das Tabellenverzeichnis 15 vorzugsweise Spalten für Hinweisadressen, hier drei Arten von Adressen, sowie eine Spalte für die Anzahl Spalten der Datentabelle selbst und schließlich eine andere Spalte für die Art der Tabelle, T für Tabelle und V für Ansicht, die von dem Eintrag dargestellt wird.
In Fig. 4 ist zu sehen, daß jeder der Hauptanwendungen eine Tabelle zugeordnet wurde, und zwar TABLE1 für die BANK-Anwendung, TABLE2 für die WERKSTATT-Anwendung und TABLE3 für die SOZVERS-Anwendung. Man sieht, daß für die vorstehend genannten Benutzeranwendungen keine eigenen Tabellen vorgesehen wurden, da diese, weil sie den Hinweis U tragen, keine Tabellen erstellen dürfen. Diese Benutzeranwendungen können nur Daten in bereits erstellte Tabellen einfügen, sie verändern, löschen oder auswählen (wenn Rechte in diesem Sinne gewährt wurden).
Verzeichnis 15 der Datentabellen wird je nach Bedarf von den Besitzern der Anwendungen nach dem in Fig. 9 dargestellten Organogramm erstellt. Zum Erstellen einer Tabelle, beispielweise der TABLE1, im Verzeichnis 15 der Datentabellen führt ein Besitzer einer Anwendung wie vorher einen Befehl PRESENT aus, im vorliegenden Fall den Befehl "PRESENT BANK". In diesem Fall verlangt der Mikroprozessor nach dem bereits vorher betrachteten Algorithmus, daß die Übereinstimmung des zu BANK im Verzeichnis 14 gehörenden Geheimcodes mit einem mit der Tastatur eingegebenen Geheimcode, hier "FORTUNE" überprüft werden kann. Im Falle der Übereinstimmung kann der Befehl MADE oder REMOVE ausgeführt werden.
Alle Befehle, auch der Befehl PRESENT, werden ausgeführt, während der Mikroprozessor der Karte auf BEFEHLS- EMPFANG steht: er erwartet eine Betätigung von außen. Sobald ein Befehl (beispielsweise über die Tastatur) gegeben wurde, wird dieser zunächst durch Vergleich mit den für den Mikroprozessor möglichen Befehlen analysiert. Wenn der Befehl falsch, unzulässig ist oder schlecht empfangen wurde, geht die Karte am Ende der Analyse wieder in BEFEHLSEMPFANG-Warteposition. Im gegenteiligen Fall wird mit der Ausführung des Befehls begonnen. Mit dem Befehl PRESENT wird der Anwendungsname, für den der Befehl PRESENT gegeben wurde, in ein Register des Mikroprozessors eingetragen, das Register der laufenden Anwendung genannt wird. In dieses Register der laufenden Anwendung sind in den beiden in Fig. 8 bzw. 9 dargestellten Beispielen beispielsweise die Namen SYSTEM oder BANK geladen. Nach diesem Laden findet der Abgleich des Geheimcodes statt und sorgt im Bestätigungsfall für das Eintragen einer Anzeige JA ebenso in ein Geheimcoderegister des Mikroprozessors. Anschließend geht der Mikroprozessor in Befehlswartestellung. Zum Ausführen der Befehle MADE oder REMOVE prüft der Mikroprozessor nach der Analyse dieser Befehle, ob die Anwendung (BANK), für die diese Befehle gegeben wurden, im Verzeichnis 14 der Anwendungen einer Kennzeichnung der Art A zugeordnet ist, welche das Erstellen einer Datentabelle zuläßt. Ist das Kennzeichen U, sind Erstellen oder Löschen nicht zulässig.
Mit dem MADE-Befehl trägt das mit diesem Befehl zusammenhängende automatische Programm den Inhalt des Registers der laufenden Anwendung in den Bereich des Anwendungsnamens in Tabelle 14 ein. Dies erfolgt automatisch. In dem Beispiel, in dem es um die BANK-Anwendung geht, wird dieser Anwendungsname von dem Mikroprozessor automatisch in die entsprechende Spalte eingetragen. Anschließend müssen nach einer vorher festgelegten Reihenfolge der Name des Verzeichnisses angegeben und das Verzeichnis und die Spalten definiert werden. Die Def inierung des Verzeichnisses umfaßt im wesentlichen die Angabe der Anzahl Spalten und für jede Spalte die Art der Spalte: Spalte mit variabler oder festgelegter Länge. Außerdem muß die Höchstlänge der Spalte angegeben werden (unabhängig davon, ob sie eine variable oder feste Länge aufweist). Diese Länge liegt bevorzugt zwischen 1 und 255. Schließlich muß jeder Spalte der Datentabelle ein Name gegeben werden. Die Beschreibung der Spalten muß in so vielen Malen erfolgen wie Spalten da sind. Ebenso definiert man die Art der Tabelle T für Tabelle und V für Ansicht. Es wird später noch erläutert, welche Entsprechung diese Art hat.
Am Ende des Befehls MADE kehrt das System in den Befehlsempfang zurück. Führt man einen REMOVE-Befehl aus, löscht man einen Eintrag im Verzeichnis 14, vorausgesetzt, man ist Besitzer der Anwendung: d.h. vorausgesetzt, daß man vorab gleichzeitig den Namen der Anwendung und den zu dieser Anwendung gehörenden Geheimcode eingeben kann. Das Datentabellenverzeichnis stellt einen Besitzerzusammenhang zwischen dem Besitzer der Anwendung und der Tabelle her.
Fig. 6 zeigt genauer, wie das Verzeichnis 15 der Datentabellen aufgebaut ist. Aus Platzsparungsgründen weist dieses Tabellenverzeichnis Angaben auf, die das Speichern von Daten im Datenspeicher 12 packen sollen. Sieht man sich den oberen Teil der Fig. 6 an, unterscheidet man drei erste Hinweismarken: die Hinweismarken XX, YY und ZZ. Dies bedeutet, daß jede von ihnen auf zwei Bytes beschrieben ist. Jede Hinweismarke steht für eine Adresse. Anhand des direkt unter dem oberen Teil der Fig. 6 gezeigten Beispiels kann man sich einen Begriff der Bedeutung der einzelnen Elemente machen. So markiert die erste Hinweismarke XX im Bereich des Speichers 12, der das Verzeichnis 15 enthält, die relative Adresse des Endes der Eintragung, die von dieser Hinweismarke begonnen wird.
Wie man sieht, umfaßt der betreffende Eintrag in dem Beispiel 58 Zeichen, und folglich umfaßt der Code XX die Adresse 59. Dies bedeutet, daß man zum Betrachten einer Beschreibung einer folgenden Datentabelle 59 zusätzliche Bytes durchlaufen muß. Dies ermöglicht dem Mikroprozessor umgehend, zu prüfen, welches die Datentabellen sind, auf die er für eine betreffende Anwendung Zugriff nehmen kann.
Die zweite Hinweismarke YY gibt die Adresse des ersten in dem Datenspeicher gespeicherten Eintrags an, der entsprechend der betrachteten Datentabelle beschrieben ist. Wenn YY beispielsweise 200 ist, befindet sich die erste in dem Datenspeicher 12 gespeicherte Information nach der Struktur der betrachteten Datentabelle bei der Adresse 200, siehe Figur 7. Die dritte Hinweismarke ZZ gibt die Adresse des letzten Eintrags der Tabelle an. Durch die Beschreibung der betreffenden Tabelle und dadurch, daß nur ein Eintrag existiert, ist diese Adresse ZZ hier auch 200 wie YY (Fig. 7).
Nach den Hinweismarken auf einem Zeichen gibt man die Anzahl Spalten des Verzeichnisses an. Im Fall der BANK-Anwendung ist die Spaltenanzahl gleich 7 (s. Fig. 4). Anschließend gibt man die Art der Tabelle an, ebenfalls auf einem Byte. Im vorliegenden Fall handelt es sich um eine Tabelle, als gibt man einen Buchstaben T an. Würde es sich um eine Ansicht handeln, hätte man die Angabe V (oder eine andere) gemacht. Außerdem wird angegeben, welcher Unterschied zwischen den Tabellen und Ansichten besteht. Dann gibt man den Namen der Tabelle an. In diesem Fall stellt man vorzugsweise vor die Angabe des Tabellennamens ein Byte, dessen Bedeutung die Anzahl Zeichen (Bytes) dieses Tabellennamens ist. Im Falle von TABLE1, dessen Name sechs Zeichen aufweist, trägt man in dieses Byte den Wert 6 ein. Der Tabellenname wird dann auf sechs Bytes gegeben. Zu erwähnen ist, daß alle Standardzeichen erlaubt sind, mit Ausnahme der Zeichen, die Kontrollzeichen des Mikroprozessors entsprechen, daß aber außerdem ein Tabellenname verboten wird, wenn er schon für eine andere Anwendung existiert. Der Befehl MADE nimmt diese Überprüfung vor. Der Anwendungsname in der Datentabelle kann eingegeben werden, wobei auch ihm ein Byte vorangestellt wird, dessen Wert gleich der Anzahl Zeichen dieses Anwendungsnamens ist. Im vorliegenden Fall hat man ebenfalls 6 gewählt, von daher können die Anwendungsnamen in dem Verzeichnis 15 nur sechs Zeichen aufweisen. Wenn die Eingabe des Anwendungsnamens automatisch erfolgt, kann man diesen Namen so übernehmen, wie er in Verzeichnis 14 steht, d.h. in fester oder variabler Länge. In diesem letzteren Fall wird auch dessen Länge übertragen. Dann gibt man so oft, wie es Spalten in der Datentabelle gibt, auf einem Zeichen die Art der Spalte, auf einem anderen Zeichen die Länge der Spalte und schließlich, seine Anzahl Zeichen vorangestellt, den Namen der Spalte an. In dem unten in Fig. 6 dargestellten Beispiel finden sich sieben Spalten mit jeweils einem Code "1", der eine Art Spalte mit festgelegter Länge darstellt. Diese festgelegte Länge selbst ist bei den drei ersten Spalten auf gleich 9, bei der vierten Spalte auf 3, bei der fünften Spalte auf 9, bei der sechsten Spalte auf 15 und bei der siebten Spalte auf 9 festgelegt. Dann sind die Namen dieser Spalten angegeben, ihnen vorangestellt ist jeweils die Anzahl Zeichen in diesen Namen. Hier sind Name (NOM), Vorname (PRENOM), Straße (RUE), Nummer (NUMERO), Stadt (VILLE), Kontonummer (Nº COMPTE) und Banksaldo (SOLDE) einer Person angegeben, die Inhaber der Karte ist. Mit dem Befehl MADE kann der Mikroprozessor auch prüfen, ob die Speichergröße kleiner ist als die zugebilligte Speichergröße. Hierzu bedient er sich der angegebenen Höchstlängen. Ihr Summe muß kleiner als die zugebilligte Größe sein.
Fig. 7 zeigt die entsprechenden Einträge im Datenspeicher 12 vom Typ EEPROM. Man sieht, daß hier Einträge mit fester Länge gewählt wurden, man kann aber auch wie vorher vorziehen, Einträge mit variabler Länge zu wählen, was es bei kurzen Worten ermöglicht, die im Speicher 7 belegte Zone zu packen. Das Trennzeichen zwischen den Worten mit variabler Länge folgt somit in der Erfindung 1. aus der Beschreibungsstruktur und 2. aus dem Wert des vorangehenden Bytes. Ein Benutzer, der seine Karte programmiert (in dem Maße, wie die Anwendung es ihm gestattet), braucht sich folglich mit diesem Problem nicht zu beschäftigen.
Nachfolgend soll das Verzeichnis der Rechte 16 betrachtet werden. In diesem Verzeichnis kann ein Anwendungsbesitzer, beispielsweise eine Bank, die Besitzer der BANK-Anwendung ist, Benutzeranwendungen ABHEBUNG, ÜBERWEISUNG, ANZEIGE Benutzungsrechte SELECT, INSERT, MODIF, DELETE an Einträgen seines Verzeichnisses, hier TABLE1, vergeben. Anders gesagt, kann ein Benutzer, der eine Benutzeranwendung verwendet, Transaktionen an den Daten vornehmen. Diese Transaktionen sind nach der in diesem Rechteverzeichnis beschriebenen Art zugelassen. Um das Verzeichnis 16 zu füllen, nimmt man die gleiche Folge von Schritten wie in Fig. 10 vor. Man gibt den Befehl PRESENT ein, welcher der betreffenden Anwendung zugeordnet ist, beispielsweise PRESENT BANK. Dann gibt man den Geheimcode ein: FORTUNE.
Stimmt der Code überein, kann man in einem Erstellungsbefehl, einem sogenannten GRANT-Befehl, Rechte schaffen oder sie mit einem Annullierungsbefehl REVOKE aufheben. In einem Rechtevergabeschritt gibt man einerseits die Tabelle an, auf die man Rechte vergibt, anschließend den Namen der Benutzeranwendung, für die diese Rechte vergeben werden, und schließlich die Art der vergebenen Rechte. Mit dem Befehl GRANT prüft der Mikroprozessor mit Hilfe des Verzeichnisses 15, ob die entsprechende Tabelle (beispielsweise TABLE1) auch wirklich zu der Anwendung (BANK) gehört, für die man die Rechte vergibt. Diese Überprüfung verwendet für den Zugriff auf das Verzeichnis 15 den Namen der laufenden Anwendung, die in das Register geladen ist. Die vergebenen Rechte können auf vier Bytes codiert sein, ein erstes Byte betrifft das Lesen und entspricht einer Wahl, die drei anderen entsprechen jeweils und der Reihe nach einer Einfügung von Daten, einer Veränderung oder einer Löschung der Daten.
Diese Rechte entsprechen den weiter oben erwähnten Befehlen. Jeder Anwendungsbesitzer, der Besitzer der zugehörigen Tabelle ist, kann in das Verzeichnis der Rechte 16 jederzeit neue Rechte an diesen Tabellen eintragen oder aufheben.
Die Chiffrierung erfolgt folgendermaßen: In dem Moment, in dem für eine Anwendung (beispielsweise ABHEBUNG: Fig. 3) Daten aus dem Datenspeicher 12 geholt werden, werden sie durch einen dem Mikroprozessor eigenen, automatischen RSA - (oder einen anderen) Chiffrier-Algorithmus chiffriert, der durch den Schlüssel (CLEF1) der jeweiligen Anwendung oder Benutzeranwendung parametriert ist. Wenn diese Daten nun also von der Karte 10 an das Lesegerät 18 gegeben werden, werdens sie dies in einem chiffrierten Zustand. Natürlich umfaßt das Lesegerät den gleichen Chiffrier-Algorithmus und kennt außerdem den Schlüssel (CLEF1) für diese Anwendung oder Benutzeranwendung, um die übertragenen Informationen dechiffrieren zu können. Auf diese Weise kann eine Anwendung eine Transaktion an den Daten einer Tabelle gestatten, die sie verwaltet, ohne eine Enthüllung zu fürchten.
Nachstehend soll die Struktur der Anweisungen des Mikroprozessors beschrieben werden, die diesem gestattet, alle Befehle, als da sind SELECT, INSERT, MODIF und DELETE, auszuführen.
Zur Ausführung der Befehle SELECT, INSERT, MODIF oder DELETE führt man, wie vorstehend schon beschrieben, einen Befehl PRESENT aus. Im vorliegenden Fall folgt auf diesen Befehl PRESENT der Name der Benutzeranwendung (oder auch der Anwendung), für die diese Befehle auszuführen sind. Ihm folgt ebenfalls die Eingabe des zugehörigen Geheimcodes. Ist dieser richtig, wird der Benutzeranwendungsname in das Register der laufenden Anwendung und die Angabe JA in das Geheimcoderegister eingetragen. Um in der Beschreibung die Reihenfolge der Schritte nicht umschreiben zu müssen, wird auf die jeweiligen Abbildungen Bezug genommen.
Der Befehl SELECT kann auf folgende Weise gegeben werden. Seine Syntax umfaßt SELECT, gefolgt von dem Namen des Verzeichnisses und gefolgt von einem oder mehreren Auswahlkriterien. Ein Auswahlkriterium umfaßt einen Spaltennamen, einen Operator und einen Wert. Der Operator kann sein: gleich, unterschiedlich, größer, kleiner, kleiner oder gleich oder größer oder gleich. Die Auswahlkriterien können vielfältig sein. In diesem Fall umfaßt die Syntax des Befehls SELECT ganz einfach am Ende und aufeinanderfolgend die einzelnen Kriterien. Fig. 11 zeigt das Organogramm des Befehls SELECT. In diesem Organogramm wird geprüft, ob die Selektionen jeweils korrekt angegeben sind. Am Selektionsende wird das Ergebnis der Selektionen in einem Selektionsregister gespeichert. Die Tatsache, ob die Anwendung Rechte an der Datentabelle hat (oder auch nicht), wird dem Rechteverzeichnis 16 entnommen. Das Vorhandensein der Datentabelle und auf dieser Datentabelle einer oder mehrerer Spalten mit den angegebenen Namen wird dem Verzeichnis 15 der Datentabelle entnommen. Ist oder sind die ausgewählte/n Information/en einmal in das Ergebnisregister eingeordnet, kann man mit dieser/n Information/en jeden beliebigen Vorgang bekannter Art durchführen.
Der Befehl INSERT, Fig. 12, beinhaltet die gleichen Vorab-Schritte wie der Befehl SELECT vor A. Die Syntax dieses Befehls umfaßt diesen Befehl INSERT, gefolgt von allen einzufügenden Werten, und zwar einem nach dem anderen in der Reihenfolge, in der sie eingegeben werden müssen.
Zum Ausführen dieses Befehls prüft der Mikroprozessor, ob die Speicherzuweisung der Anwendung und die nutzbare Speichergröße ausreichen. Die Bereiche des Verzeichnisses 14, in denen diese nutzbaren Speichergrößen eingeordnet sind, sind löschbar und veränderbar, vorzugsweise vom Typ EEPROM. Nach der Einfügung wird nämlich der in einen solchen Bereich eingetragene Wert für die entsprechende Anwendung um den von der Größe der gerade vorgenommenen Einfügung eingenommenen Platz verringert. Dies erklärt, daß eine Benutzeranwendung, deren nutzbare Speichergröße null ist (von Anfang an oder nach einer erfolgten Einfügung) keine Einfügung in die Datentabelle vornehmen kann.
Der Befehl DELETE ist gleicher Art wie der Befehl INSERT, funktioniert nur umgekehrt. In diesem Fall wird der Zähler am Anfang inkrementiert. Um jedoch zu verhindern, daß eine Benutzeranwendung, die von Anfang an keine nutzbare Speichergröße hat, eine solche an einer Datentabelle erwerben kann, prüft man vorab in dem Rechteverzeichnis 15, ob die Löschung zulässig ist. Diese Überprüfung gleicht in ihrer Art der Überprüfung des Rechts auf die Ausführung des Einfügebefehls.
Der Befehl MODIF zur Aktualisierung weist die gleiche Syntax auf wie der Selektionsbefehl, gefolgt von dem Namen einer Spalte und anschließend einem Wert. Dies bedeutet, daß man den neuen Wert in der oder den selektionierten Zeilen in dem Bereich der angegebenen Spalte anordnet. Die Aktualisierung kann auch die Aktualisierung mehrerer verschiedener Spalten einschließen, die zumindest gleichen Selektionskriterien entsprechen.
Die Ansichten V sind Untertabellen. Sie erlauben den direkten Zugang zu Einträgen, die in einer Datentabelle Selektionen an Daten entsprechen. Die Ansichten sind im Verzeichnis 15 auf die gleiche Weise benannt wie die Anwendungen oder Benutzeranwendungen. Der einzige Unterschied liegt in den Spezifikationen der Spalten, die sich in ihrem Fall an eine Selektion anschließen. Diese Spezifikationen von Spalten umfassen somit einerseits den Namen der Datentabelle (beispielsweise TABLE2), auf die sich die Selektion bezieht, und andererseits die Selektion selbst. Diese Selektion ist in den gleichen Worten angegeben wie die Syntax des vorab erwähnten Befehls SELECT. In dem Verzeichnis 15 können die von den Ansichten betroffenen Benutzeranwendungen Selektions- und Änderungs-, vorzugsweise jedoch keine Einfügungs- oder Löschungsrechte erhalten.

Claims

1. Verfahren zum Laden und Verwalten mehrerer Anwendungen (BANK, WERKSTATT, SOZVERS), das Benutzeranwendungen (ABHEBUNG, ÜBERWEISUNG, ANZEIGE) in einer Speicher- Chipkarte einschließen kann, wobei eine Benutzeranwendung eine Anwendung ist, die selbst im Rahmen einer Anwendung verwendet wird, dadurch gekennzeichnet, daß bei einer Anwendung, die über

- das Recht, Benutzeranwendungen herzustellen,

- das Recht, Datentabellen zu erstellen, und

- das Recht, auf ihren eigenen Datentabellen Rechte an Anwendungen oder Benutzeranwendungen zu verleihen, verfügt,

bei einer Benutzeranwendung, die über keines dieser Rechte verfügt,

man zum Laden von Anwendungen oder Benutzeranwendungen

- in den Speicher der Chipkarte ein Verzeichnis (14) der Anwendungen und der eventuellen Benutzeranwendungen eingibt (CREATE), das jedem Anwendungs- oder Benutzeranwendungsnamen ein Paßwort und einen Speicherplatz zuordnet,

- in den Speicher der Chipkarte ein Verzeichnis (15) von Datentabellen eingibt (MADE), wobei die Datentabellen dieses Verzeichnisses für jede Anwendung dem Namen der Anwendung (BANK, WERKSTATT, SOZVERS) einen Tabellennamen (TABLE1, TABLE2, TABLE3) und die Daten, die sich auf diese Anwendung beziehen, zuordnet,

- man in den Speicher der Chipkarte ein Verzeichnis (16) der Rechte eingibt (GRANT), die Anwendungen oder Benutzeranwendungen auf diese Datentabellen gewährt werden, wobei dieses Rechteverzeichnis jedem Datentabellennamen (TABLE1, TABLE2, TABLE3) Anwendungsnamen (BANK, WERKSTATT, SOZVERS) oder Benutzeranwendungsnamen (ABHEBUNG, ÜBERWEISUNG, ANZEIGE) zuordnet, sowie diesen Anwendungen oder Benutzeranwendungen gewährte Rechte, und bei der man zur Verwaltung der Anwendungen oder Benutzeranwendungen

- die Verwaltung der Daten gestattet, die während der Benutzung in einer Datentabelle enthalten sind, entsprechend den einer laufenden Anwendung oder Benutzeranwendung gewährten Rechten.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß man folgendes zuläßt:

- die Eingabe einer Datentabelle (TABLE1) für eine Anwendung (BANK), wenn man den dieser Anwendung zugeordneten richtigen Geheimcode (FORTUNE) eingibt und wenn die Speicherzuweisung für diese Anwendung es zuläßt,

- die Eintragung von Rechten auf einer Datentabelle (TABLE1), wenn man den richtigen Anwendungsnamen (BANK) eingibt, für den man diese Tabelle und/oder den Geheimcode (FORTUNE) dieser Anwendung erzeugt hat, und

- die Verwaltung der in einer Tabelle enthaltenen Daten entsprechend der laufenden Anwendung und den für diese Anwendung gewährten Rechten.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß man in das Verzeichnis der Anwendungen Anwendungen und Benutzeranwendungen einträgt.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß man ein Verzeichnis (14) von Chiffrierungsschlüsseln einspeichert, die jeweils einer Anwendung zugeordnet sind, damit der Transfer von in der Karte enthaltenen Daten nur in chiffrierter Form erfolgen kann, die von einem durch diesen Schlüssel parametrierten Chiffrierungsalgorithmus abhängt.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß man im Anwendungsverzeichnis jeder Anwendung eine maximale Zahl von Transaktionsversuchen mit der Karte in dieser Anwendung zugesteht.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß man in dem Verzeichnis (15) der Tabellen als Beschreibung für jede Tabelle mindestens eines der folgenden Daten angibt:

- den Namen der Beitzeranwendung der Tabelle,

- den Tabellennamen,

- die Anzahl von Spalten der Tabelle,

- die Tabellenart,

- die Adressen der Daten für diese Tabelle im Speicher,

- die Adresse des Anfangs der Beschreibung der folgenden Tabelle, und

- für jede Spalte der Tabelle die Art der Spalte, die Länge der Spalte und den Namen der Spalte.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, daß man in dem Datentabellenverzeichnis jedem Tabellen-, Anwendungs- oder Spaltennamen eine Anzahl von Zeichen voranstellt, die der Anzahl Zeichen dieser Namen entspricht.

8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß man in dem Datentabellenverzeichnis eine Datentabelle herstellt, indem man dieser automatisch als Besitzeranwendungsnamen eine Information zuweist, die für den Namen der Anwendung steht, für den man den richtigen Geheimcode eingegeben hat.