DE102018005284A1

DE102018005284A1 - Chip-Personalisierung eines eingebetteten Systems durch einen Dritten

Info

Publication number: DE102018005284A1
Application number: DE102018005284.3A
Authority: DE
Inventors: Yogendra Namjoshi; Rushikesh Shingnapurkar
Original assignee: Giesecke and Devrient Mobile Security GmbH
Current assignee: Giesecke and Devrient Mobile Security GmbH
Priority date: 2018-07-03
Filing date: 2018-07-03
Publication date: 2019-09-05

Abstract

Verfahren zur Chip-Personalisierung eines eingebetteten Systems, bei dem ein Betriebssystem und Personalisierungsdaten, die auf einem Bildserver eines Datenlieferanten bereitgestellt werden, von einem Dritten, der sich von dem Datenlieferanten unterscheidet, in den Chip implementiert werden.

Description

Gebiet der Erfindung
Die vorliegende Erfindung bezieht sich auf die Chip-Personalisierung durch einen Dritten (Third Party).
Hintergrund der Erfindung
Eingebettete Geräte sind kleine Computergeräte mit einem Mikrocontroller oder Mikroprozessor, auf dem endlich ein Betriebssystem läuft, und in der Regel eine oder mehrere Anwendungen. Eingebettete Geräte, die in einer Vielzahl von Formen bekannt sind. Beispiele für eingebettete Bauelemente sind Chipkarten oder integrierte Schaltkarten mit einem Mikroprozessor oder Mikrocontroller und entsprechende Chipmodule, ähnlich wie Chipkarten, jedoch so konstruiert, dass sie gelötet oder anderweitig in einem größeren Bauelement befestigt werden können. Beispiele für Chipkarten sind Mobile Network (U)SIM-Karten und Finanztransaktionskarten. Beispiele für Chipmodule sind eingebettete SIM-Module, die fest in Mobiltelefone eingelötet werden.
Die Chips von Embedded Devices durchlaufen während der Produktion mehrere Zustände. Ein Image-Server erzeugt ein Image eines Betriebssystems. Ein Personalisierungsgerät empfängt das Bild vom Bildserver und lädt und implementiert das Bild in den Chip, um ein Betriebssystem in den Chip zu personalisieren. Die vorliegende Erfindung betrifft insbesondere die Chip-Personalisierung durch das Laden und Implementieren eines Betriebssystems in den Chip.
In einer einfachen Produktionsumgebung ruft ein Bildserver bei der Personalisierung eines Chips ein Bild eines für diesen Chip geeigneten Betriebssystems ab und stellt das Bild einem Personalisierungsgerät zur Verfügung.
Das Personalisierungsgerät lädt und implementiert das Bild in den Chip, um den Chip zu personalisieren.
Bei der Massenpersonalisierung wird oft ein einziger Master-Chip personalisiert. Die Personalisierung des Master-Chips kann entweder durch Laden eines Images des Betriebssystems oder iterativ mit mehreren Kommunikationsschritten zwischen Chip und Personalisierungsgerät erfolgen. Durch Extrahieren des Betriebssystems des personalisierten Master-Chips wird ein Template-Image des Betriebssystems erzeugt. Basierend auf dem extrahierten Bild kann eine große Anzahl weiterer Chips personalisiert werden.
Im Zuge der Globalisierung können Bilderzeugung und Chip-Personalisierung an verschiedenen Produktionsstandorten und sogar bei verschiedenen Unternehmen geplant werden. Beispielsweise kann ein Hersteller oder Redakteur von Embedded Devices selbst als Datenlieferant auftreten, den Vorgang der Personalisierung der Chips jedoch an einen Dritten delegieren. Der Dritte kann sogar an einem entfernten Personalisierungsstandort, entfernt von einem Ort der Datengenerierung, angesiedelt sein.
Ziel der Erfindung
Ziel der vorliegenden Erfindung ist die Bereitstellung eines Verfahrens zur Personalisierung von Chips durch einen Dritten, das sich von einem Datenlieferanten unterscheidet, durch den Personalisierungsinhalte, bestehend aus einem Betriebssystem und Personalisierungsdaten, bereitgestellt werden. Insbesondere sollte der Datenlieferant in der Lage sein, die Personalisierung an einen Dritten zu delegieren, ohne Chip-Details oder den Klartext des Betriebssystems und Personalisierungsdaten an den Dritten weitergeben zu müssen.
Zusammenfassung der Erfindung
Im Einzelnen wird das Ziel der Erfindung durch ein Verfahren mit folgenden Merkmalen nach Anspruch 1 erreicht. Ausführungsformen der Erfindung werden in abhängigen Ansprüchen dargestellt.
Anspruch 1 ist genauer auf eine Methode zur Personalisierung eines Master-Chips ausgerichtet, der als Vorlage für die spätere Massenpersonalisierung mehrerer Chips geeignet ist. Nach der Methode von Anspruch 1 erhält ein Dritter die zu personalisierenden Chips und ein Server des Dritten löst die Personalisierung der Chips aus. Die für die Chips vorgesehenen Betriebssysteme und Personalisierungsdaten werden auf einem Image-Server zur Verfügung gestellt, der von einem anderen Anbieter als dem Dritten betrieben wird. Der Chip und ein Image-Server betreiben einen durch Verschlüsselung gesicherten Kommunikationskanal untereinander. Der Drittanbieter-Server leitet lediglich verschlüsselte Nachrichten zwischen dem Chip und dem Bildserver weiter. Damit der Drittanbieter-Server die Chip-Personalisierung auslösen kann, besteht jeder zu personalisierende Chip aus einem proprietären Bootloader und einem chipserienspezifischen Schlüssel. Der proprietäre Bootloader erzeugt beim Aufruf durch den Fremdserver einen Hash-Wert über Chip-Daten, die für den Chip-Typ spezifisch sind, verschlüsselt mindestens den erzeugten Hash durch den chipserienspezifischen Schlüssel und sendet diesen verschlüsselten Hash-Wert an den Drittanbieter-Server, der den verschlüsselten Hash an den Image-Server weiterleitet. Der Image-Server ruft ein geeignetes Betriebssystem ab und sendet es über den Drittanbieter-Server verschlüsselt an den Chip, so dass der Chip das Betriebssystem entschlüsseln kann, aber der Fremdserver das Betriebssystem nicht entschlüsseln kann. Falls mehrere geeignete Betriebssysteme verfügbar sind, bietet der Image-Server dem Drittanbieter-Server an, aus den mehreren geeigneten Betriebssystemen ein Betriebssystem auszuwählen, ohne die Klartext-Betriebssysteme dem Drittanbieter-Server mitzuteilen. Nachdem der Chip das Betriebssystem empfangen, entschlüsselt und in den Chip integriert hat, werden die Personalisierungsdaten vom Bildserver über den Drittanbieter-Server, ausgelöst durch den Drittanbieter-Server, analog an den Chip gesendet.
Die Lösung von Anspruch 1 bietet somit eine Methode, mit der ein Datenlieferant die Personalisierung an einen Dritten (Drittanbieter) delegieren kann, ohne Chip-Details oder den Klartext des Betriebssystems und Personalisierungsdaten an den Dritten weitergeben zu müssen.
Nach einigen Ausführungsformen der Erfindung besteht der Server eines Drittanbieters aus einem Personalisierungsgerät, das die Kommunikation zwischen dem Server des Drittanbieters und dem Chip durchführt oder mit diesem verbunden ist. Mit anderen Worten, es gibt ein Personalisierungsgerät, das die Kommunikation zwischen dem Drittanbieter-Server und dem Chip durchführt. Das Personalisierungsgerät kann entweder eine Untereinheit des Fremdservers oder ein separates Gerät sein, das vom Drittanbieter-Server getrennt, aber mit diesem verbunden ist.
Nach einigen Ausführungsformen der Erfindung bestehen die in den Chip integrierten Personalisierungsdaten aus einem chargenspezifischen Schlüssel (batch (die) specific key) Kc.
Nach einigen Ausführungsformen der Erfindung umfasst das Verfahren weiterhin die Schritte: durch den Chip, Erzeugung eines Chipbildes, genannt MAXINI, des Betriebssystems und der in den Chip integrierten Personalisierungsdaten, Verschlüsselung des Chipbildes MAXINI mit dem chipserienspezifischen Schlüssel K1 und dem chipspezifischen Schlüssel K2, und Dumping des verschlüsselten Chipbildes MAXINI über den Third Party Server (Server eines Drittanbieters) auf den Bildserver, als Vorlage zur Personalisierung weiterer Chips in einer Massenpersonalisierung.
Das oben beschriebene Verfahren kann weiterhin folgende Schritte umfassen: durch den Image-Server das verschlüsselte Chip-Bild MAXINI entschlüsseln und das Chip-Bild MAXINI mit einem zufälligen Verschlüsselungs-Schlüssel KQ erneut verschlüsseln, wobei das wiederverschlüsselte Chip-Bild MAXINI an den Drittanbieter-Server zur Personalisierung einer Vielzahl von Chips gesendet wird.
Die oben beschriebene Methode, falls der Chip einen chargenspezifischen Schlüssel Kc enthält, kann weiterhin die folgenden Schritte umfassen: durch den Third Party Server einen bestimmten Chip zur Personalisierung auswählen und vom chargenspezifischen individuellen Schlüssel Kc abrufen. Dann verschlüsseln Sie das verschlüsselte Chip-Image MAXINI und den zufälligen Verschlüsselungs-Schlüssel (Dump-Schlüssel) KQ mit dem chargenspezifischen Schlüssel Kc, um ein verschlüsseltes Personalisierungspaket zu erzeugen. Senden Sie dann das verschlüsselte Personalisierungspaket an den Chip. Dann auf dem Chip, entschlüsseln Sie das verschlüsselte Personalisierungspaket durch den Batch (die) individuellen Schlüssel Kc, entschlüsseln Sie das verschlüsselte Chipbild MAXINI durch den zufälligen Verschlüsselungs-Schlüssel (Dump-Schlüssel) KQ, und schließlich integrieren Sie das Chipbild MAXINI in den Chip, um den Chip zu personalisieren.
Das oben beschriebene Verfahren kann auch die Verwendung einer Secure Library umfassen, die mit dem chip-spezifischen Schlüssel Kc einen Autorisierungsvektor AV zur Programmierung des Chipbildes MAXINI durch zählgesteuerte Massenproduktion erzeugt.
Das oben beschriebene Verfahren kann ferner die Aufrechterhaltung (oder den Betrieb) eines Zählers mit einem Zähler umfassen, dessen Anzahl erhöht wird, wobei jeder einzelne Chip mit dem Chipbild MAXINI vom Bildserver personalisiert wird, und der die Personalisierung weiterer bestimmter Chips mit dem Chipbild MAXINI vom Bildserver verhindert, wenn der Zähler einen vordefinierten Grenzwert erreicht hat, der einer maximal zulässigen Anzahl von Chips entspricht, die mit dem Chipbild MAXINI vom Bildserver personalisiert werden sollen. Der Zähler stellt sicher, dass nicht mehr als eine maximal zulässige Anzahl von Chips mit dem gleichen generierten Chipbild MAXINI vom Image-Server personalisiert werden kann. So kann der Zähler dazu beitragen, die illegale Produktion von grauen Marktchips nach Schließung der regulären Produktion zu verhindern.
Vorzugsweise sind mindestens die folgenden Schlüssel an der Methode beteiligt. K1 - Chip-Serienspezifischer Schlüssel (K1 einzigartig für die ChipFamilie): dem Image Server bekannt. K2 - Chip Specific Key (einzigartig für Chip-Derivate): dem Image Server bekannt. Kc - Batch (Die) Individual Specific Key : dem Image Server nicht bekannt. Optional: K4 - mit dem Dritten (Drittanbieter) vorab geteilter Schlüssel (Pre-Shared Key) [Dies kann auch TLS-Kommunikation mit Zertifikaten sein] {Zwischen Servern}. Normalerweise, wenn Daten vom Server angefordert werden, wird die Anfrage mit K1 (chipserien-spezifischer Schlüssel) Verschlüsselung gesendet. Weiterhin verwendet der Server K2 (einzigartiger chip-spezifischer Schlüssel), um verschlüsselte Informationen an den Chip zu senden.
Figurenliste
Die Ausführungsformen der Erfindung werden nun mit Bezug auf die zugehörigen Zeichnungen beschrieben, in denen gleichartige Teile durch gleichartige Bezugszeichen gekennzeichnet sind und in denen sie dargestellt werden:

zeigt die Schritte 1-4 der Personalisierung eines Master-Chips und die Schritte 9-10 der Massenpersonalisierung mehrerer Chips basierend auf einem in den Schritten 1-4 erzeugten Chipbild MAXINI, entsprechend den Ausführungsformen der Erfindung.

Detaillierte Beschreibung der Erfindung
zeigt die Schritte 1-4 der Personalisierung eines Master-Chips und die Schritte 9-10 der Massenpersonalisierung mehrerer Chips basierend auf einem in den Schritten 1-4 erzeugten Chipbild MAXINI, entsprechend den Ausführungsformen der Erfindung. Die Personalisierung erfolgt in einem System, das eine Karte mit einem zu personalisierenden Chip, ein Personalisierungsgerät, hier als Device bezeichnet, einen Drittanbieter-Server (Third Party Server) zur Personalisierung des Chips über das Device und eine Schnittstelle zwischen dem Drittanbieter-Server und einem Bildserver (Image Server) sowie den Bildserver (Image Server) zur Erzeugung eines Chip-Images umfasst, das der Drittanbieter-Server über das Device in den Chip der Karte personalisieren soll.
In einem Schritt 1 wird die Kommunikation zwischen dem Chip/Karte und dem Drittanbieter-Server / Gerät gestartet. Der Drittanbieter-Server fragt über das Device nach den Fähigkeiten des Chips und ruft Informationen über einen Chiptyp des Chips ab. Der Chip, genauer gesagt ein primärer Bootloader, der im Chip implementiert ist, berechnet einen Hash über Chip spezifische Daten, verschlüsselt den Hash mit dem chipserien-spzezifischen Schlüssel (K1 ist einzigartig für die Chipfamilie) und sendet den K1-verschlüsselten Hash K1(hash) an das Device und weiter an den Drittanbieter-Server.
In einem Schritt 2 leitet der Drittanbieter-Server den verschlüsselten Hash-Wert K1(hash) an den Image Server weiter. Der Image Server empfängt den verschlüsselten Hash-Wert K1(Hash) und identifiziert durch das Ausprobieren unserer verschiedenen chipserien-spezifischen Schlüssel K1 den Chip, von dem der verschlüsselte Hash-Wert Kl(Hash) empfangen wurde und identifiziert den Chip-Typ anhand des passenden Schlüssels K1. Anschließend identifiziert der Image Server ein oder mehrere Betriebssysteme, die für den identifizierten Chiptyp geeignet sind. In sind mehrere geeignete Betriebssysteme identifiziert. Daher ruft der Image Server vom Drittanbieter-Server eine Auswahl eines der verschiedenen Betriebssysteme ab, um zu einem ausgewählten Betriebssystem (INI) zu gelangen. In der Verkörperung von wird zur Übertragung der Featureliste ein Verschlüsselungsschlüssel K4 des Interface Servers verwendet, um die Sicherheit zu erhöhen.
Anschließend generiert der Image Server Zufallsdaten und eine Zufallssignatur RS und generiert eine Challenge, indem er die generierten Zufallsdaten und die Zufallssignatur RS mit dem chip-spezifischen Schlüssel K2 verschlüsselt und dann die Challenge über den Server des Drittanbieters an den Chip sendet.
Der Chip der Karte empfängt die Challenge und entschlüsselt die Challenge durch den chip-spezifischen Schlüssel K2, durch den chipserienspezifischen Schlüssel K1, erzeugt einen zufälligen Verschlüsselungsschlüssel KQ, verschlüsselt mindestens den generierten zufälligen Verschlüsselungsschlüssel KQ durch den chip-spezifischen Schlüssel K2, erzeugt eine Response durch Verschlüsselung des verschlüsselten zufälligen Verschlüsselungsschlüssel KQ und der Zufallssignatur RS mittels des chipserienspezifischen Schlüssels K1 und sendet die Response über den Drittanbieter-Server an den Bildserver. Bei der Übertragung zwischen dem Drittanbieter-Server und dem Interface Server kann die verschlüsselte Antwort zusätzlich mit einem Interface Server Verschlüsselungsschlüssel K4 temporär verschlüsselt werden, um die Sicherheit weiter zu erhöhen.
Der Image Server empfängt die Response und entschlüsselt die Response mit dem chip-spezifischen Schlüssel K2, um den zufälligen Schlüssel KQ zu erhalten. Dann verschlüsselt der Image Server das ausgewählte Betriebssystem INI mit dem zufälligen Verschlüsselungsschlüssel KQ und sendet das verschlüsselte ausgewählte Betriebssystem INI über den Drittanbieter-Server an den Chip der Karte.
Der Chip empfängt und entschlüsselt das ausgewählte Betriebssystem INI über den zufälligen Verschlüsselungsschlüssel KQ und integriert das ausgewählte Betriebssystem INI in den Chip.
In einem Schritt 4 sendet der Image Server über den Third Party Server die Personalisierungsdaten an den Chip. Der Chip integriert die Personalisierungsdaten in den Chip, um einen personalisierten Chip zu erzeugen. Der so erzeugte Chip ist ein Master-Chip, der zur Erzeugung eines Master-Bildes für die spätere Massenproduktion dient.
In einem Schritt 9 wird ein Vorlagenbild (template image) MAXINI abgerufen. Ein MAXINI-Bild, das in einen bestimmten Chip geladen werden soll, die Bereitstellung eines einzigartigen chargenspezifischen individuellen Schlüssels Kc, wird durch einen Random Key KQ verschlüsselt, der für jeden einzelnen Chip einzeln und zufällig generiert wird. Parallel dazu wird der chargenspezifischen individuellen Schlüssel Kc beim Image Server registriert. Immer wenn das MAXINI-Bild für einen Chip verschlüsselt ist, wird ein Zähler N erhöht, um anzuzeigen, dass ein weiterer Chip für die Personalisierung mit dem gleichen MAXINI-Bild vorgesehen ist. Der Zähler N ist Teil einer Secure Library und wird zusammen mit dem KQ-verschlüsselten MAXINI-Image an den Third Party Server gesendet.
In Schritt 10 wird eine Massenproduktion durchgeführt, bei der mehrere Chips auf Basis des in Schritt 9 erzeugten Masterbildes MAXINI personalisiert werden.

Claims

Verfahren zur Personalisierung eines Chips eines eingebetteten Geräts durch Dritte, um einen personalisierten Chip zu erzeugen, indem ein Betriebssystem und Personalisierungsdaten, die auf einem Bildserver eines datenbereitstellenden Teilnehmers bereitgestellt werden, in den Chip integriert werden eine dritte Partei, die sich von der datenbereitstellenden Partei unterscheidet, wobei das Verfahren die vorbereitenden Schritte umfasst: - Bereitstellen mehrerer eingebetteter Vorrichtungen, die jeweils einen Chip eines bestimmten Chiptyps aus mehreren verfügbaren Chiptypen umfassen, wobei der Chip kein Betriebssystem und keine Personalisierungsdaten umfasst; - Integrieren eines proprietären Bootloaders (Loader Core) und eines chipserienspezifischen Schlüssels (K1) in den Chip jedes eingebetteten Geräts; - Bereitstellen eines von der datenbereitstellenden Partei betriebenen Bildservers, wobei der Bildserver einen chipspezifischen Schlüssel (K2) und die chipserienspezifischen Schlüssel (K1) der Chips der mehreren eingebetteten Vorrichtungen bereitstellt; - Bereitstellen von mindestens einem oder mehreren für den jeweiligen Chiptyp geeigneten Betriebssystemen auf dem Bildserver für jeden verfügbaren Chiptyp, wobei jedes Betriebssystem für den gleichen Chiptyp einen anderen bestimmten Merkmalssatz für den Chip dieses Chiptyps bereitstellt; - Bereitstellung von Personalisierungsdaten auf dem Bildserver; - Bereitstellung eines Drittanbieter-Servers; das Verfahren umfasst ferner die Personalisierungsschritte: - Bereitstellen von mindestens einem eingebetteten Gerät, das einen Chip umfasst, in den ein proprietärer Bootloader und ein chipserienspezifischer Schlüssel (K1) integriert sind, an die dritte Partei; - Senden einer Anforderung an den Chip, um den Chiptyp des Chips abzurufen, durch den Drittanbieter-Server; - durch den Chip, durch den proprietären Bootloader, Generieren eines Hash-Wertes über Chip-spezifische Daten für den Chiptyp des Chips, Verschlüsseln mindestens des erzeugten Hash durch den chipserienspezifischen Schlüssel (K1) und Senden des verschlüsselten Hash-Wertes (K1 (hash)) an den Drittanbieter-Server; - Weiterleitung des verschlüsselten Hash-Wertes (K1 (Hash)) durch den Drittanbieter-Server an den Bildserver; - Empfangen des verschlüsselten Hash-Wertes (K1 (Hash)) durch den BildServer und durch Ausprobieren unserer verschiedenen Chipserienspezifischen Schlüssel (K1) Identifizieren des Chips, von dem der verschlüsselte Hash-Wert (K1 (Hash)) empfangen und identifiziert wurde der Chiptyp des Chips basierend auf dem identifizierenden oder auf dem passenden Chipserien-spezifischen Schlüssel (K1); - Identifizieren eines oder mehrerer für den identifizierten Chiptyp geeigneten Betriebssysteme durch den Bildserver und, falls mehrere geeignete Betriebssysteme identifiziert werden, Abrufen einer Auswahl eines der verschiedenen Betriebssysteme von dem Drittanbieter-Server bei einem ausgewählten Betriebssystem (INI) ankommen; - Erzeugen von zufälligen Daten (DATA) und einer zufälligen Signatur RS durch den Bildserver und Erzeugen einer Herausforderung durch Verschlüsseln der erzeugten zufälligen Daten (DATA) und der zufälligen Signatur (RS) mittels des chipspezifischen Schlüssels (K2), und Senden der Challenge über den Drittanbieter-Server an den Chip; durch den Chip Empfangen und Entschlüsseln der Herausforderung durch den chipspezifischen Schlüssel (K2), Erzeugen eines zufälligen Verschlüsselungsschlüssels (KQ), Verschlüsseln mindestens des erzeugten zufälligen Verschlüsselungsschlüssels (KQ) durch den chipspezifischen Schlüssel (K2), Generieren eines Antwort durch Verschlüsseln des verschlüsselten Zufallsschlüssels (KQ) und der Zufallssignatur RS mittels des chipserienspezifischen Schlüssels (K1) und Senden der Antwort über den Drittanbieter-Server an den Bildserver; - Empfangen und Entschlüsseln der Antwort durch den Chip-spezifischen Schlüssel (K2) durch den Bildserver, um den Zufalls-Verschlüsselungsschlüssel (KQ) abzurufen, Verschlüsseln des ausgewählten Betriebssystems (INI) durch den Zufalls-Verschlüsselungsschlüssel (KQ), und Senden des verschlüsselten ausgewählten Betriebssystems (INI) über den dritten Paritätsserver an den Chip; Empfangen und Entschlüsseln des ausgewählten Betriebssystems (INI) auf dem Chip durch den Zufallsverschlüsselungsschlüssel (KQ) und Integrieren des ausgewählten Betriebssystems (INI) in den Chip in den Chip; durch den Bildserver, Senden von Personalisierungsdaten (PERSO) über den Drittanbieterserver an den Chip; - auf dem Chip, Integration der Personalisierungsdaten (PERSO) in den Chip, um einen personalisierten Chip zu generieren.
Verfahren nach Anspruch 1, wobei der Drittanbieter-Server ein Personalisierungsgerät (DEVICE) umfasst oder damit verbunden ist, das die Kommunikation zwischen dem Drittanbieter-Server und dem Chip durchführt.
Verfahren nach Anspruch 1 oder 2, wobei die in den Chip integrierten Personalisierungsdaten (PERSO) einen chargenspezifischen individuellen Schlüssel (Kc) umfassen.
Verfahren nach einem der Ansprüche 1 bis 3, das ferner die Schritte umfasst: durch den Chip, Erzeugen eines Chipbildes (MAXINI) des Betriebssystems und in den Chip integrierte Personalisierungsdaten, Verschlüsseln des Chipbildes (MAXINI) unter Verwendung des chipserienspezifischen Schlüssels (K1) und des chipspezifischen Schlüssels (K2), und Abladen des verschlüsselten Chipbildes (MAXINI) über den Drittanbieter-Server auf den Bildserver als Vorlage zur Personalisierung weiterer Chips in einer Massenpersonalisierungsweise.
Verfahren nach Anspruch 4, das ferner die Schritte umfasst: durch den Bildserver, Entschlüsseln des verschlüsselten Chip-Bildes (MAXINI) und Wiederverschlüsseln des Chip-Bildes (MAXINI) mit einem zufälligen Verschlüsselungs-Schlüssel (KQ), Senden des wiederverschlüsselten Chip-Bildes (MAXINI) an den Fremdserver, zur Personalisierung einer Vielzahl von Chips.
Verfahren nach Anspruch 5, das ferner die Schritte umfasst: durch den Server des Drittanbieters, - Auswahl eines bestimmten Chips für die Personalisierung, - Abrufen des chargenspezifischen Schlüssels (Kc) aus dem Chip nach Anspruch 3, - Verschlüsselung des verschlüsselten Chip-Images (MAXINI) und des zufälligen Verschlüsselungs-Schlüssels (KQ) durch den chargenspezifischen individuellen Schlüssel (Kc), um ein verschlüsseltes Personalisierungspaket zu erzeugen, - Senden des verschlüsselten Personalisierungspakets an den Chip, auf den Chip, - Entschlüsselung des verschlüsselten Personalisierungspakets durch den chargenspezifischen individuellen Schlüssel (Kc), - Entschlüsselung des verschlüsselten Chip-Images (MAXINI) durch den Zufalls-Verschlüsselungs-Schlüssel (KQ), - Integration des Chipbildes (MAXINI) in den Chip.
Verfahren nach Anspruch 6, umfassend ferner die Verwendung einer sicheren Bibliothek, die den chip-spezifischen Schlüssel (K2) verwendet, um einen Autorisierungsvektor (AV) zu erzeugen, um das Chipbild (MAXINI) durch zählgesteuerte Massenproduktion zu programmieren.
Verfahren nach Anspruch 6, umfassend ferner das Aufrechterhalten eines Zählers mit einer Anzahl, die erhöht wird, wobei jeder einzelne Chip mit dem Chipbild (MAXINI) von dem Bildserver personalisiert wird, und die verhindert, dass weitere bestimmte Chips mit dem Chipbild (MAXINI) von dem Bildserver personalisiert werden, wenn der Zähler eine vordefinierte Anzahl von Chips erreicht hat, die einer maximal zulässigen Anzahl von Chips entspricht, die mit dem Chipbild (MAXINI) von dem Bildserver personalisiert werden sollen.