DE10028821A1 - Chipkarte mit Lesekennungen - Google Patents

Abstract

Die Erfindung betrifft eine Chipkarte mit einer Speichereinheit (6, 7, 8) zum Speichern von Daten, mit einer Übertragungseinheit (2) zum drahtlosen Übertragen von Daten, mit einer Kontakteinheit (3) zum kontaktbehafteten Übertragen von Daten und mit einer Steuereinheit (1) zur Steuerung der Datenspeicherung und Datenübertragung. Insbesondere bei aktiven Chipkarten, bei denen Daten drahtlos über größere Entfernungen an eine Leseeinheit übertragen werden können, muss wirksam verhindert werden, dass sensible auf der Chipkarte gespeicherte Daten, wie beispielsweise persönliche Daten im Klartext, ungewollt und möglicherweise unbemerkt an eine Leseeinheit drahtlos übertragen werden. Dazu ist erfindungsgemäß vorgesehen, dass die Speichereinheit (6, 7, 8) derart ausgestaltet ist, dass einzelnen Dateneinheiten (72) eine Lesekennung (73) zugeordnet ist, derart, dass an Hand der Lesekennung die Art der zulässigen Übertragung der Dateneinheit (72) bestimmt wird.

Description

Die Erfindung betrifft eine Chipkarte mit einer Speichereinheit zum Speichern von Daten, mit einer Übertragungseinheit zum drahtlosen Übertragen von Daten, mit einer Kontakteinheit zum kontaktbehafteten Übertragen von Daten und mit einer Steuereinheit zur Steuerung der Datenspeicherung und Datenübertragung.

Eine solche Chipkarte wird von Philips Semiconductors als MIFARE Pro Card IC unter der Bezeichnung MF2ICD80 angeboten. Bei einer solchen passiven Chipkarte wir die Energie durch induktive Kopplung mittels Spulen von außen in die Chipkarte eingekoppelt. Die Datenübertragung kann einerseits kontaktbehaftet über eine Kontakteinheit gemäß ISO7816 oder andererseits drahtlos mittels einer Übertra­ gungseinheit erfolgen. Die drahtlose Datenübertragung erfolgt dabei ebenfalls durch induktive Kopplung bei einer Arbeitsfrequenz von 13,56 MHz, wobei zur Modula­ tion der Daten eine Lastmodulation in der Chipkarte angewendet wird.

Bei bekannten Chipkarten sind je nach Anwendung Daten entweder im Klartext oder in verschlüsselter Form auf der Chipkarte gespeichert. Beispielsweise sind bei Verwendung einer Chipkarte als Krankenversicherungskarte Daten im Klartext enthalten, die kontaktbehaftet in einer Leseeinheit auf einfache Weise ausgelesen werden können. Bei der bekannten Mifare-Karte ist es grundsätzlich möglich, solche Daten im Klartext sowohl drahtlos als auch kontaktbehaftet verfügbar zu machen, da dort keine Möglichkeiten vorgesehen sind, sensible Daten vor dem Auslesen zu schützen. Solche Möglichkeiten müssen jedoch aus datenschutzrecht­ lichen Gründen vorgesehen sein, um zu verhindern, dass ungewollt sensible, beispielsweise persönliche Daten drahtlos übertragen werden, was zu Missbräu­ chen führen kann. Insbesondere bei aktiven Chipkarten, bei denen Daten über größere Entfernungen übertragen werden können, ist ein solcher Schutz wichtig.

Der Erfindung liegt deshalb die Aufgabe zugrunde, bei einer eingangs genannten Chipkarte Maßnahmen vorzusehen, um auf der Chipkarte gespeicherte Daten vor dem Zugriff über die Schnittstellen zur Außenwelt definiert zu schützen.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, dass die Speichereinheit derart ausgestaltet ist, dass einzelnen Dateneinheiten eine Lesekennung zugeordnet ist derart, dass die Art der zulässigen Übertragung an Hand der Lesekennung bestimmt wird. Bei der erfindungsgemäßen Chipkarte ist es somit grundsätzlich nicht möglich, dass mit einer entsprechenden Lesekennung gekennzeichnete Dateneinheiten ungewollt an ein Lesegerät übertragen werden. Somit können sensible Daten, beispielsweise persönliche Daten, die im Klartext auf der Chipkarte gespeichert sind, wirksam vor unbeabsichtigtem drahtlosem Auslesen bei Passieren eines entsprechenden Lesegeräts verhindert werden. Solche geschützten Daten können nur kontaktbehaftet über die Kontakteinheit ausgelesen werden, wozu die Chipkarte in eine entsprechende Leseeinheit eingeführt werden muss, wie dies beispielsweise an einem Bankautomaten oder bei einem Lesegerät für Krankenver­ sicherungskarten der Fall ist.

Bevorzugt ist vorgesehen, dass die Lesekennung derart ausgestaltet ist, dass Dateneinheiten mit einer Lesekennung nur über die Kontakteinheit übertragen werden können. Derartig geschützte Daten können dann nicht drahtlos übertragen werden.

In einer bevorzugten Ausgestaltung ist vorgesehen, dass die Lesekennung ein Flag oder ein Schlüssel ist, und dass Dateneinheiten mit einer Lesekennung nur ausgele­ sen und übertragen werden können, wenn bei der Leseanforderung die Leseken­ nung, z. B. das Flag, übertragen wird. Mit dem Flag bzw. dem Schlüssel gekenn­ zeichnete Daten können somit nur über den kontaktbehafteten Übertragungsweg gelesen werden. Weiter können auch Mittel zur Verschlüsselung von Datenein­ heiten nach einem Verschlüsselungsalgorithmus mit Hilfe des Schlüssels vorgese­ hen sein. Dies dient als zusätzlicher Schutz, da bei der drahtlosen Datenüber­ tragung abgehörte verschlüsselte Daten dem Abhörenden im allgemeinen nur dann einen Nutzen bringen und von ihm entschlüsselt werden können, wenn er auch den entsprechenden Schlüssel dazu kennt, der jedoch geheim ist.

In einer bevorzugten Weiterbildung ist eine Protokolleinheit zur Protokollierung von unberechtigten oder fehlerhaften Leseanforderungen und/oder eine Zähleinheit zum Zählen von unberechtigten oder fehlerhaften Leseanforderungen und zum Sperren der angeforderten Dateneinheit bei Überschreiten eines Referenzwertes unberech­ tigter oder fehlerhafter Leseanforderungen vorgesehen. Dadurch soll verhindert werden, dass eine unbegrenzte Zahl von Ausleseversuchen unternommen wird, um gesicherte Daten drahtlos von einer Chipkarte für anschließende Missbräuche auszulesen. Derartige Ausleseversuche werden bei dieser Weiterbildung der erfin­ dungsgemäßen Chipkarte in einem von außen nicht zugänglichen Bereich des Betriebssystems gespeichert, wobei dann eine Freigabe nur von einem Administra­ tor mit einer entsprechenden Programmiersoftware oder einem speziellen Schlüssel für die Chipkarte vorgenommen werden kann. Allerdings kann auch vorgesehen sein, dass bei einer nächsten berechtigten Benutzung der Chipkarte, beispielsweise an einer kontaktbehafteten Leseeinheit, die in der Chipkarte gesperrten Datenein­ heiten wieder freigegeben werden, da in diesem Fall davon ausgegangen wird, dass die Chipkarte wieder von dem berechtigten Besitzer benutzt wird.

Bevorzugt ist die Chipkarte als aktive Chipkarte ausgestaltet, wozu auf und/oder in der Chipkarte eine Energieversorgungseinheit zur Energieversorgung der Einheiten der Chipkarte angeordnet ist und wozu die Übertragungseinheit zum Übertragen von Daten im Mobilfunkfrequenzbereich ausgestaltet ist. Dadurch wird es möglich, aktiv und ohne Energiezufuhr von außen Daten von der Chipkarte drahtlos auch über größere Entfernungen als bei den bekannten passiven Chipkarten, bei denen Daten nur über wenige Zentimeter übertragen werden können, an ein Lesegerät übertragen zu können. Die Datenübertragung erfolgt dabei dann in einem Frequenz­ bereich der Mobilfunktechnik, d. h., in einem Frequenzbereich oberhalb von 100 MHz bis maximal 20 GHz, wozu ein geeigneter Mobilfunksender auf der Chipkarte vorgesehen ist. Insbesondere bei derart weitergebildeten Chipkarten ist die vorliegende Erfindung von Vorteil, da bei einer solchen Chipkarte Daten über mehrere Meter übertragen werden können, ohne dass die Chipkarte also bewusst in die Nähe eines Lesegeräts gebracht werden muss. Der Benutzer würde also ohne den erfindungsgemäßen Schutz von Dateneinheiten gar nicht bemerken, wenn er im Abstand von mehreren Metern ein Lesegerät passiert und dabei Daten von seiner Chipkarte an das Lesegerät übertragen werden würden. Dies könnte sich ein Hacker zu Nutze machen, indem er heimlich Lesegeräte dort aufstellt, wo Personen mit Chipkarten vorbeigehen, um die darauf gespeicherten Daten unbefugt auszu­ lesen. Durch die Erfindung kann dies wirksam unterbunden werden.

Gemäß weiteren vorteilhaften Ausgestaltungen ist die Chipkarte zur Unterstützung der ISO-Norm 7816, insbesondere der ISO-Normen 7816-4, 7816-7 und 7816-8, ausgebildet und verhält sich kompatibel zu diesen Normen. Außerdem ist die Chipkarte bevorzugt im ID-1 Format ausgestaltet, und die Steuereinheit weist einen programmierbaren Mikroprozessor auf. Sowohl die kontaktbehaftet als auch die drahtlos übertragenen Daten werden von der Steuereinheit bevorzugt in der ge­ nannten ISO-Norm bereitgestellt.

Die Erfindung betrifft auch ein System zur Kommunikation mit Chipkarten, wobei wenigstens eine Empfangseinheit zum Empfang der von einer Chipkarte drahtlos übertragenen Daten vorgesehen ist. Bevorzugt sind in einem solchen System mehrere derartige Empfangseinheiten und zudem auch mindestens eine Leseeinheit zum Lesen von Daten bei Berührung der Kontakteinheit einer Chipkarte mit der Leseeinheit vorgesehen. Die Zahl, Anordnung und Ausgestaltung der Empfangs- und Leseeinheiten richtet sich dabei insbesondere nach Art und Ausgestaltung der Anwendungen, für die die Chipkarte vorgesehen sein soll.

Die Chipkarte ist weiter für eine multifunktionale, veränderliche und erweiterbare Nutzung der Chipkarte ausgestaltet. Es können deshalb zahlreiche gewünschte Anwendungen miteinander auf einer Chipkarte vereint werden, wofür bislang mehrere verschiedene Chipkarten erforderlich waren. Auch können zukünftige noch hinzuzufügende Funktionen auf einfache Weise integriert werden. Beispielsweise könnten in die erfindungsgemäße Chipkarte die Funktionen für die Anwendung als Krankenkassenkarte und Bankkarte, bei denen Daten kontaktbehaftet ausgelesen werden, und für die Anwendung als Zugangskontrolle und Zeiterfassung, bei der Daten drahtlos übertragen werden, integriert sein. Auch die Funktionen für Anwen­ dungen, bei denen registriert werden soll, ob eine Person eine bestimmte Kontroll­ stelle passiert hat, um dann eine Gebühr von dessen Konto abzubuchen, beispiels­ weise Autobahn- oder Mautgebühren, können in die erfindungsgemäße Chipkarte integriert sein.

Weitere vorteilhafte Ausgestaltungen ergeben sich aus den Unteransprüchen.

Die Erfindung wird nachfolgend an Hand der Zeichnungen näher erläutert. Es zeigen:

Fig. 1 ein Blockschaltbild einer erfindungsgemäßen Chipkarte;

Fig. 2 ein Blockschaltbild eines erfindungsgemäßen Systems zur Kom­ munikation mit einer Chipkarte;

Fig. 3A, 3B Blockschaltbilder zur Erläuterung der Wirkungsweise der Erfin­ dung; und

Fig. 4 ein Blockschaltbild der Steuereinheit einer erfindungsgemäßen Chipkarte.

In Fig. 1 sind in einem Blockschaltbild die wesentlichen Elemente einer erfindungs­ gemäßen aktiven Chipkarte gezeigt. Diese, auch als Wireless-SmartCard bezeichne­ te Chipkarte umfasst einen als Steuereinheit ausgebildeten Mikrokontroller 1, eine Übertragungseinheit 2 zum drahtlosen Übertragen von Daten und eine Kontakt­ einheit 3 nach ISO 7816-2 zum kontaktbehafteten Übertragen von Daten. Zur Energieversorgung der Chipkarte ist eine Batterie 4 vorgesehen, die im gezeigten Beispiel als Teil der Steuereinheit 1 dargestellt ist, was jedoch nicht zwingend ist. Die Steuereinheit 1 weist eine zentrale Recheneinheit 5, eine nur lesbare Speicher­ einheit 6 im wesentlichen zur Speicherung des Betriebssystems, eine les- und beschreibbare Speichereinheit 7 als Datenspeicher und eine les- und beschreibbare Speichereinheit 8 als Arbeitsspeicher, insbesondere auch als Daten- und Programm­ speicher für Applikationen, die auf die Chipkarte geladen werden, auf. Ferner weist die Steuereinheit Kontaktanschlüsse 9 auf, über die die Steuereinheit 1 mit anderen Einheiten 2, 3 der Chipkarte in Verbindung steht. Dabei sind Kontaktanschlüsse vorgesehen für eine Versorgungsspannung Vcc, für eine Bezugsspannung GND, für ein Reset-Signal RST und für ein Taktsignal CLK. Weiter ist ein serieller Anschluss I/O zur Verbindung mit der Kontakteinheit 3 und ein weiterer serieller Anschluss I/O zur Verbindung mit der Übertragungseinheit 2 vorgesehen.

Die Übertragungseinheit 2 weist entsprechende Kontaktanschlüsse 10 auf zur Verbindung mit der Steuereinheit 1. Weiter weist die Übertragungseinheit 2 ein Taktmodul 11 zur Taktgenerierung, ein Resetmodul 12 zur Reseterzeugung und ein Sende-/Empfangsmodul (Transceiver) 13 zum Senden und Empfangen von Daten auf. Das Sende-/Empfangsmodul 13 ist außerdem mit einer Antenne 14 verbunden als Sende-/Empfangselement.

Der erfindungsgemäße Chipkarten-Mikrokontroller 1 besitzt somit zwei echte I/O Kanäle, die zur Kommunikation mit der Perpherie benutzt werden. Diese Perpherie besteht aus dem Kontaktfeld 3 und dem RF-Interface 2 als Übertragungseinheit. Das Kontaktfeld 3 wird benutzt, um mit ISO-konformen Chipkarten zu kommunizie­ ren, während das RF-Interface 2 zur drahtlosen Datenübertragung benutzt wird. Das RF-Interface 2 und die Kontaktfläche 3 sind dabei gleichberechtigte Perpherie­ geräte, die beide parallel und unmittelbar von der Steuereinheit 1 angesteuert werden können.

Das RF-Interface 2 umfasst als wesentliches Element den Transceiver 13, der bevorzugt bei einer Frequenz im ISM-Band arbeitet. In einer praktischen Ausgestal­ tung sind dabei Frequenzen von 433 und 868 MHz vorgesehen, wobei allgemein Frequenzen etwa im Bereich von 100 MHz bis 20 GHz in Frage kommen. Aus dem modulierten RF-Signal werden auch das Taktsignal und das Resetsignal für die Steuereinheit 1 abgeleitet. Dadurch, dass auf der Chipkarte eine eigene Energiever­ sorgung vorgesehen ist in Form einer Batterie 4 und dass Mittel zum Senden von Daten auf einer Mobilfunkfrequenz vorgesehen sind, können mit der erfindungs­ gemäßen Chipkarte Daten über deutlich größere Entfernungen als bei den bekann­ ten passiven Chipkarten übertragen werden. Bevorzugt ist das Betriebssystem so ausgestaltet, dass für einzelne Daten bestimmt werden kann, auf welchem Über­ tragungsweg - kontaktbehaftet oder drahtlos - sie übertragen werden dürfen oder sollen. Bevorzugt sind für die drahtlose Datenübertragung auch schnelle Antikolli­ sionsprotokolle vorgesehen, damit die von mehreren unterschiedlichen Chipkarten drahtlos zu einer Empfangseinheit übertragenen Daten parallel abgearbeitet und unterschieden werden können.

In Fig. 2 ist vereinfacht ein System zur Kommunikation mit einer erfindungs­ gemäßen Chipkarte gezeigt. Ein solches System weist je nach Anwendung ein oder mehrere Leseeinheiten zum kontaktbehafteten Übertragen von Daten und/oder ein oder mehrere Empfangseinheiten zum drahtlosen Übertragen von Daten auf. Bei­ spielhaft sind zwei unterschiedliche Leseeinheiten 16, 17 gezeigt, bei denen die Chipkarte 15 in einen Leseschliz eingeführt oder über einen Lesesensor geführt werden muss, um Daten über die Kontakteinheit an die Leseeinheit 16, 17 zu übertragen oder um von der Leseeinheit 16, 17 Daten an die Chipkarte 15 zu übertragen. Außerdem ist eine Empfangseinheit 18 gezeigt, um drahtlos Daten von der Chipkarte 15 zu empfangen. Je nach Anwendung kann auch vorgesehen sein, dass die Empfangseinheiten 18 auch zum Senden von Daten an die Chipkarte 15 ausgestaltet sind.

Ein solches System könnte vorteilhaft beispielsweise in einem größeren Firmenge­ bäude mit zahlreichen Mitarbeitern eingesetzt werden. Jeder Mitarbeiter besitzt dabei eine erfindungsgemäße Chipkarte 15, auf der unterschiedliche Daten gespei­ chert sind. Mittels Empfangseinheiten 18 im Eingangsbereich des Firmengebäudes könnte die Zutrittskontrolle und Zeiterfassung realisiert sein, so dass kein Mit­ arbeiter mehr beim Betreten des Gebäudes seine Karte aus der Tasche oder dem Portemonnaie entnehmen und von Hand in ein Lesegerät eingeben muss. Die Zu­ trittskontrolle in spezielle Räume könnte mittels Lesegeräten 16 realisiert sein, wofür auf der Chipkarte beispielsweise ein Zutrittspasswort gespeichert ist, das nur kontaktbehaftet übertragen werden soll. Weiter könnte auf der Chipkarte ein Geldwertspeicher vorgesehen sein, um in der Kantine an einer Leseeinheit 16 oder 17 bezahlen zu können. Weiter könnten auf der Chipkarte persönliche Daten wie Versicherungsdaten, Krankenkassendaten, Zugangsdaten für einen Geldausgabe­ automaten oder andere Geldspeicher zum Bezahlen in Geschäften vorgesehen sein. Auch ein Geldspeicher zum Bezahlen von Straßenbenutzungs-, Maut- oder Brücken­ benutzungsgebühren lässt sich in die Chipkarte integrieren. Das Aufladen dieser Geldspeicher könnte beispielsweise zentral an einem Bankautomaten erfolgen.

Auch die Erweiterung von Anwendungen und die Umprogrammierung kann an einem zentralen Lesegerät oder zentral gesteuert an einem beliebigen Lesegerät erfolgen, unter Umständen ohne dass es der Benutzer bemerkt.

An Hand der Darstellungen in den Fig. 3A und 3B soll nun die Erfindung näher erläutert werden. In Fig. 3A ist skizziert, in welcher Weise ein Zugriff von einer Leseeinheit 16 auf den Inhalt des Datenspeichers 7 einer Chipkarte erfolgt, um Daten kontaktbehaftet über die Kontakteinheit an die Leseeinheit 16 zu übertragen. Dazu wird zunächst von der Leseeinheit 16 eine Leseanforderung an eine Schutz­ einheit 21, eine sogenannte Firewall, gesendet, um bestimmte Daten aus dem Datenspeicher 7 auszulesen. Diese Leseanforderung wird von der Schutzeinheit 21 an die (hier nicht gezeigte) Steuereinheit der Chipkarte weitergereicht, von wo aus der Zugriff auf den Datenspeicher 7 erfolgt. An Hand eines direkt oder indirekt in der Lesekennung enthaltenen Identifizierungscodes 71 wird erkannt, welche Daten ausgelesen werden sollen und an welcher Stelle diese Daten 72 sich in dem Datenspeicher 7 befinden. Jedem Datensatz ist dabei auch eine Lesekennung 73 zugeordnet, die eine Information darüber enthält, ob und in welcher Weise diese Dateneinheit 72 ausgelesen und übertragen werden darf. Beispielsweise kann in dieser Lesekennung 73 die Information enthalten sein, dass die Daten nur über den kontaktbehafteten Übertragungsweg übertragen werden dürfen, nicht aber über einen drahtlosen Übertragungsweg. Eine derartige Kennung sei für den vorliegen­ den Fall angenommen. Dies bedeutet, dass die Daten 72 auf die Anforderung der Leseeinheit 16 ausgelesen werden dürfen, wozu sie zunächst in der Form, in der sie auch in dem Datenspeicher 7 abgespeichert sind, an die Schutzeinheit 21 übergeben werden, die die eigentliche Überprüfung durchführt an Hand der Lese­ kennung, ob die Übertragung der Daten erfolgen darf. Außerdem kann dort eine Entschlüsselung der wie im gezeigten Fall verschlüsselten Daten 72 erfolgen. Gegebenenfalls kann dafür jedoch auch eine separate Kryptographieeinheit auf der Chipkarte vorgesehen sein. Schließlich werden die entschlüsselten Daten als Klartext an die Leseeinheit 16 übertragen, womit der Lesevorgang abgeschlossen ist.

Bei dem in Fig. 3B gezeigten Beispiel sollen dieselben Daten 72 drahtlos an eine Empfangseinheit 18 auf deren Anforderung hin übertragen werden. Die Leseanfor­ derung der Empfangseinheit 18 gelangt zunächst über deren Antenne 180 zur (nicht gezeigten) Antenne der Steuereinheit der Chipkarte und wird dort an die Schutzeinheit 21 gereicht. Von dort wird wiederum auf den Datenspeicher 7 und an Hand des Identifizierungscodes 71 auf die entsprechenden Daten 72 zu­ gegriffen. Dabei erfolgt an Hand der dort ebenfalls gespeicherten Lesekennung 73 die Überprüfung, ob diese Daten 72 überhaupt drahtlos übertragen werden dürfen. Wie vorliegend vorausgesetzt wurde, sei die Lesekennung 73 so ausgestaltet, dass die Daten 72 nicht drahtlos übertragen werden dürfen, weshalb hier eine ent­ sprechende Rückmeldung über die Schutzeinheit 21 an die Empfangseinheit 18 gesendet wird mit dem Inhalt, dass die angeforderten Daten nicht übertragen werden dürfen.

Der erfindungsgemäße Schutz mittels Lesekennungen soll im wesentlichen durch das Betriebssystem der Chipkarte gewährleistet werden. Dabei stehen insbesonde­ re für die Ausgestaltung der Lesekennungen unterschiedliche Möglichkeiten zur Verfügung. Eine erste Möglichkeit besteht darin, dass einzelne Dateneinheiten, wie beispielsweise elementäre Dateien und Directory Dateien, zusätzlich ein Flag, beispielsweise 2 Bit, erhalten. Dabei kann vorgesehen sein, dass diese Daten­ einheiten nur im kontaktbehafteten Betriebsfall verarbeitet werden können.

Eine zweite Möglichkeit besteht darin, dass bestimmte Dateneinheiten zusätzlich einen Schlüssel erhalten, der eine Länge von 4 bis 64 Bit haben kann. Eine Lesean­ forderung einer Dateneinheit, die mit einem Schlüssel geschützt ist, kann dann nur entweder verschlüsselt übertragen werden oder mit einem korrekt übermittelten passenden, ggf. abgeleiteten Schlüssel bearbeitet werden. Erst dann können die entsprechenden Dateneinheiten über den drahtlosen Informationsaustausch gesen­ det oder empfangen werden.

Eine dritte Möglichkeit besteht darin, zusätzlich zu dem Schlüssel die Daten, wie in Fig. 3 gezeigt, mit einem Kryptifizierungsalgorithmus zu verschlüsseln. Dieser Algorithmus wird dabei vom Betriebssystem der Chipkarte zur Verfügung gestellt. Der Zugriff auf eine derart geschützte Dateneinheit verlangt dann die Kenntnis des benutzten Kryptifizierungsalgorithmus' und des Schlüssels, der zum Verschlüsseln der Daten verwendet wurde.

Alle drei verschiedenen Schutzmöglichkeiten sind auch als Mischformen einsetzbar und können als Zusatz der ISO-Betriebssysteme auf der Chipkarte implementiert werden. Es kann weiter vorgesehen sein, dass ein Zugriffsversuch auf eine Daten­ einheit protokolliert wird, wenn ein Zugriff auf eine geschützte Dateneinheit feh­ lerhaft ist, wenn beispielsweise der Schlüssel fehlerhaft ist oder fehlt. Es kann dann bei einem nicht erfolgreichen Zugriff ein Zähler der Fehlzugriffe inkrementiert werden, wobei der Zählerstand bevorzugt in einem Bereich des Betriebssystems gespeichert wird, der von außen nicht zugänglich ist. Denkbar ist, einen Referenz­ wert für diesen Zählerstand zu setzen, wobei eine Dateneinheit dann gesperrt werden kann, wenn der Zählerstand mit der Anzahl der Fehlzugriffe den Referenz­ wert erreicht. Eine Freischaltung kann dann bevorzugt nur von einem Administrator mit einer entsprechenden Programmier-Software oder einem speziellen Schlüssel für die Chipkarte vorgenommen werden. Allerdings kann auch eine Freischaltung dann bereits vorgesehen sein, wenn die Chipkarte wieder korrekt an einer Lese­ einheit benutzt wird, da dann davon ausgegangen werden kann, dass dann die Chipkarte wieder von dem rechtmäßigen Besitzer benutzt wird.

In Fig. 4 sind in einem Blockschaltbild die wesentlichen Elemente des als Steuer­ einheit 1 ausgestalteten Mikrokontrollers bei einer erfindungsgemäßen Chipkarte gezeigt. Der Chipkartenkontroller verfügt zunächst über einen nicht überschreibba­ ren Speicherbereich 6, der keine Änderungen und somit auch keine Manipulationen ermöglicht. In diesem Speicherbereich 6 ist auch das Betriebssystem der Chipkarte abgelegt, das unter anderem die Normen aus der Serie ISO/IEC7816 unterstützt. Dieses Betriebssystem ermöglicht die multifunktionale Nutzung der Chipkarte, weshalb mehrere unterschiedliche Anwendungen unterstützt werden können. Die erfindungsgemäße Chipkarte weist außerdem zusätzliche Betriebssystem-Kom­ mandos auf, die die Wahl des Kommunikationsweges betreffen. Es wird also ein Betriebssystem in einem Chipkartenkontroller für zwei Übertragungsverfahren genutzt.

Der Mikrokontroller 1 weist ferner eine überschreibbare Speichereinheit (RAM) 81 zum Laden von speziellen Befehlen und Anwendungen und eine weitere über­ schreibbare Speichereinheit (RAM) 82 zum Starten einer virtuellen Maschine auf. Weiter sind eine Schnittstelle für Anwendungsprogramme (API = Application Pro­ gram Interface) 19 und eine Einheit zur Authentifizierung und Authorisierung 20 vorgesehen. Mittels einer Schutzeinheit (Firewall) 21 soll verhindert werden, dass kritische Daten, die nur kontaktbehaftet übertragen werden sollen, von einer Empfangseinheit abgefragt und drahtlos übertragen werden. Zur Verschlüsselung und Entschlüsselung von Daten vor bzw. nach der Übertragung ist eine geeignete Kryptifizierungseinheit 22 vorgesehen. Daten selbst werden in einer Speichereinheit 7 abgelegt. Schließlich sind eine Schnittstelle 91 zur kontaktbehafteten Über­ tragung und eine Schnittstelle 92 zur drahtlosen Übertragung vorgesehen, über die die Daten an die Übertragungseinheit bzw. die Kontakteinheit weitergegeben werden.

Die Erfindung wird insbesondere eingesetzt bei aktiven Chipkarten, die im ID1- Format ausgestaltet sind und die die Norm ISO7816, insbesondere die ISO-Nor­ men 7816-4, 7816-7 und 7816-8, sowohl hinsichtlich der kontaktbehaftet als auch der drahtlos zu übertragenden Daten unterstützen. Vor allem verhält sich die Steuereinheit vorteilhafterweise kompatibel zu diesen Normen. Durch die Erfindung kann wirksam und auf einfache Weise verhindert werden, dass Daten von der Chipkarte ungewollt oder unbemerkt ausgelesen oder ausspioniert werden. Ins­ besondere kann für jede Dateneinheit bestimmt werden, ob und auf welche Weise sie übertragen werden darf und welche Voraussetzungen erfüllt sein müssen, damit die Daten übertragen werden. Zusätzlich können weitere Schutzmechanismen und Verschlüsselungen vorgesehen sein.

Claims (15)

1. Chipkarte mit einer Speichereinheit zum Speichern von Daten, mit einer Über­ tragungseinheit zum drahtlosen Übertragen von Daten, mit einer Kontakteinheit zum kontaktbehafteten Übertragen von Daten und mit einer Steuereinheit zur Steuerung der Datenspeicherung und Datenübertragung, dadurch gekennzeichnet, dass die Speichereinheit derart ausgestaltet ist, dass einzelnen Dateneinheiten eine Lesekennung zugeordnet ist derart, dass die Art der zulässigen Übertragung an Hand der Lesekennung bestimmt wird.

2. Chipkarte nach Anspruch 1, dadurch gekennzeichnet, dass die Lesekennung derart ausgestaltet ist, dass Dateneinheiten mit einer Lesekennung nur über die Kontakteinheit übertragen werden können.

3. Chipkarte nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Lesekennung ein Flag oder ein Schlüssel ist.

4. Chipkarte nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass Dateneinheiten mit einer Lesekennung nur ausgele­ sen und übertragen werden können, wenn bei der Leseanforderung das Flag bzw. der Schlüssel übertragen wird.

5. Chipkarte nach Anspruch 3, dadurch gekennzeichnet, dass Mittel zur Verschlüsselung von Dateneinheiten nach einem Verschlüsselungsalgorithmus mit Hilfe des Schlüssels vorgesehen sind.

6. Chipkarte nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine Protokolleinheit vorgesehen ist zur Protokollie­ rung von unberechtigten oder fehlerhaften Leseanforderungen.

7. Chipkarte nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine Zähleinheit vorgesehen ist zum Zählen von unberechtigten oder fehlerhaften Leseanforderungen und zum Sperren der angefor­ derten Dateneinheit bei Überschreiten eines Referenzwertes unberechtigter oder fehlerhafter Leseanforderungen.

8. Chipkarte nach Anspruch 7, dadurch gekennzeichnet, dass Mittel vorgesehen sind zum Entsperren gesperrter Dateneinheiten nach einer erneuten berechtigten Benutzung der Chipkarte.

9. Chipkarte nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Steuereinheit derart ausgestaltet ist, dass vor dem Übertragen von Daten eine Prüfung erfolgt, ob die Daten eine Lesekennung aufweisen und zum Übertragen über den gewünschten Übertragungsweg freigege­ ben sind.

10. Chipkarte nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass auf und/oder in der Chipkarte eine Energieversor­ gungseinheit zur Energieversorgung der Einheiten der Chipkarte angeordnet ist, dass die Übertragungseinheit zum Übertragen von Daten im Mobilfunkfrequenzbe­ reich ausgestaltet ist.

11. Chipkarte nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Chipkarte im ID-1 Format ausgestaltet ist.

12. Chipkarte nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Steuereinheit einen programmierbaren Mikro­ prozessor aufweist.

13. Chipkarte nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Steuereinheit sich kompatibel zu den ISO-Nor­ men 7816-4, 7816-7 und 7816-8 verhält.

14. System zur Kommunikation mit Chipkarten gemäss einem der vorhergehenden Ansprüche, wobei eine Empfangseinheit zum Empfang der von einer Chipkarte drahtlos übertragenen Daten vorgesehen ist.

15. System nach Anspruch 14, dadurch gekennzeichnet, dass eine Leseeinheit zum Lesen von Daten bei Berührung der Kontakteinheit einer Chipkarte mit der Leseeinheit vorgesehen ist.