DE19600769A1 - Sicherheitsmodul mit einteiliger Sicherheitsfolie - Google Patents

Description

Gebiet der Erfindung

Die Erfindung betrifft ein Sicherheitsmodul zur Unterbringung sicherheitsrelevanter Bauteile, mit einem Gehäuse und einer das Gehäuse umschließenden Sicherheitsfolie zur Überwachung des Sicherheitsmoduls gegenüber einem mechanischen Eindringen.

Stand der Technik

Für den elektronischen Zahlungsverkehr (Electronic Funds Transfer - EFT - oder Electronic Cash) werden heutzutage eine Reihe von Geräten für eine Datenein- und Ausgabe verwendet. An diese Geräte werden bestimmte Sicherheitsvorgaben geknüpft um mögliche - gewollte oder ungewollte - Manipulationen vermeiden zu können. Die Sicherung geheimer Informationen, sowie der Schutz von Datenein- und Ausgaben vor möglichen Beeinträchtigungen bzw. Manipulationen, erfolgt im allgemeinen mittels elektronischer oder mechanischer Schutzmaßnahmen, wie zum Beispiel einer körperlichen Unterbringung verschiedener sicherheitsrelevanter Komponenten in einem Sicherheitsmodul.

Als besonders sicherheits-sensitive Bauelemente bzw. Baugruppen erweisen sich insbesondere Datenanzeigen für eine Datenausgabe, Dateneingabe-Tastaturen, Schlüsselspeicher zur Speicherung geheimer Schlüssel z. B. für eine kodierte Datenübertragung und Sicherheitsschaltungen für eine elektronische Überwachung der sicherheitsrelevanten Bauteile.

Eine Datenanzeige (Display) muß insbesondere vor möglichen Manipulationen geschützt werden, die eine Täuschung der Datenausgabe bewirken sollen, wie z. B. ein falsch eingeblendeter Betrag. Tastaturen sind insbesondere gegen ein Mitaufzeichen eingegebener Daten wie einer persönlichen Identifikationsnummer (PIN) zu schützen. Bei Schlüsselspeichern muß ein Schutz vor Offenlegung der geheimen Schlüssel erfolgen. Die Sicherheitsschaltungen müssen insbesondere vor Zerstörung geschützt werden.

Aus der europäischen Patentanmeldung EP-A-0186981 ist ein Sicherheitsmodul für ein elektronisches Zahlungsverkehrssystem bekannt. Das Sicherheitsmodul befindet sich in einem schlaggeschützten Gehäuse. Das Modul weist einen PIN- Eingabeblock auf und kann geheime Daten verschlüsseln, wie z. B. die PIN, und verbietet damit den Zugang zu diesen Daten für andere Geräte.

Eine umfassende Studie über die physische Sicherheit von Systemen für einen elektronischen Zahlungsverkehr ist aus dem IBM Dokument "Physical Security for the IBM Transaction Security System", IBM Charlotte, North Carolina 28257, 6. May 1991, von G.P.Double bekannt. Darin werden verschiedene Testmethoden sowie mögliche Schutzmaßnahmen vorgestellt. Insbesondere ist aus dieser Schrift die Verwendung einer sogenannten Bohrschutzfolie (Intrusion Detection Screen) zur elektronischen Erkennung eines mechanischen Eindringens durch diese Folie bekannt. Die Bohrschutzfolie stellt eine flexible Leiterkarte dar, mit mäanderförmig geführten dünnen Leiterzügen. Werden die Leiterzüge kurzgeschlossen oder durch eine mechanische Einwirkung, wie z. B. Bohren oder einer Rißbildung zerstört, wird dies von einer eingebauten Sicherheitsschaltung erkannt und ein entsprechender Alarm ausgelöst.

Probleme bei der Verwendung von Sicherheitsfolien wie der Bohrschutzfolie ergeben sich insbesondere im Übergangsbereich zwischen einzelnen, jeweils mit einer Bohrschutzfolie einzeln geschützten Bereichen innerhalb eines gesamten Sicherheitsmoduls. Um einen effektiven Schutz für das gesamte Sicherheitsmodul erreichen zu können, müssen die Bohrschutzfolien der einzelnen, von einander unabhängigen Bereichen aufwendig miteinander elektrisch in Kontakt gebracht werden. Dies muß durch eine teure Handbearbeitung erfolgen und läßt sich nur schwer automatisieren.

Zusammenfassung der Erfindung

Der Erfindung liegt die Aufgabe zu Grunde, die Verwendung von Sicherheitsfolien,wie einer Bohrschutzfolie, für ein Sicherheitsmodul mit mehreren Einzelkomponenten zu vereinfachen. Die Aufgabe der Erfindung wird durch den Anspruch 1 gelöst.

Erfindungsgemäß werden alle Funktionseinheiten innerhalb des Sicherheitsmoduls mit Hilfe nur einer, einteiligen Schutzfolie gegenüber dem mechanischem Eindringen in dieses Sicherheitsmodul geschützt. Die erfindungsgemäße Schutzeinrichtung erweist sich insbesondere vorteilhaft für den Herstellungsprozeß, da zeitaufwendige Tätigkeiten, wie z. B. Handlöten oder Schrauben, vermieden werden.

Die Erfindung findet Anwendung insbesondere im Bereich des elektronischen Zahlungsverkehrs.

Weitere, vorteilhafte Ausführungen der Erfindung finden sich in den Unteransprüchen.

Beschreibung der Zeichnungen

Zur näheren Erläuterung der Erfindung sind im folgenden Ausführungsbeispiele mit Bezugnahme auf die Zeichnungen beschrieben. Funktionsgleiche Elemente sollen gleiche Bezugszeichen tragen. Es zeigen:

Fig. 1 den prinzipiellen Aufbau eines erfindungsgemäßen Sicherheitsmoduls,

Fig. 2 eine bevorzugte Ausführungsform der flächenhaften Gestaltung der Bohrschutzfolie.

Detaillierte Beschreibung der Erfindung

Fig. 1 zeigt den prinzipiellen Aufbau eines erfindungsgemäßen Sicherheitsmoduls 1. Das Sicherheitsmodul 1 weist ein Gehäuse 10 und eine Sicherheitsfolie 20 auf, die als eine Bohrschutzfolie 20 ausgeführt ist und aus einem in sich geschlossenen Teil besteht. Innerhalb des Sicherheitsmoduls 1, als Schutzeinrichtung für sicherheitsrelevante Bauteile, können sich eine Vielzahl von einzelnen Funktionseinheiten befinden.

Die Bohrschutzfolie 20 umschließt das gesamte Sicherheitsmodul 1. Ein Zugriff auf sich innerhalb des Sicherheitsmoduls 1 befindende Baugruppen soll in Verbindung mit einer Sicherheitsschaltung 30 ausgeschlossen werden. Die Sicherheitsschaltung 30 ist innerhalb des Sicherheitsmoduls 1 in einem Sicherheitsbereich Zentraleinheit 40 untergebracht.

Die Bohrschutzfolie 20 ist vorzugsweise als eine flexible Leiterkarte ausgeführt und weist mäanderförmig geführte Leiterzüge 85 mit vorzugsweise minimaler Breite und Abstand zueinander auf, die den eigentlichen Durchbohrschutz darstellen. Fig. 2 stellt in Vergrößerung beispielhaft einen Teilbereich der Leiterzüge 85 dar. Werden die Leiterzüge kurzgeschlossen oder durch mechanische Einwirkung wie z. B. eine Bohrung oder ein Riß verletzt, löst die eingebaute Sicherheitsschaltung 30 einen Alarm aus. Vorzugsweise werden aufgrund des ausgelösten Alarms der Sicherheitsschaltung 30 alle sicherheitssensitiven Daten gelöscht.

Zur Schirmung der sich innerhalb des Sicherheitsmoduls 1 befindlichen Schaltungen gegenüber einer elektromagnetischen Ein- und Abstrahlung kann vorzugsweise die nach außen gerichtete Seite der Bohrschutzfolie 20 mit einem entsprechenden, optionalen Ein- und Abstrahlschutz, wie zum Beispiel einem verzinnten Abschirmgitter, überzogen werden. Eine solcher Ein- und Abstrahlschutz ist in der Patentanmeldung P . . . . . . (Zeichen der Anmelderin GE 995 068) derselben Anmelderin und mit demselben Anmeldetag beschrieben. Die Lehre dieser Patentanmeldung ist Bestandteil der vorliegenden Erfindung.

Fig. 2 zeigt eine bevorzugte Ausführungsform der flächenhaften Gestaltung der Bohrschutzfolie 20. Wie aus Fig. 2 zu entnehmen ist, ist die gesamte Bohrschutzfolie 20 für die Ummantelung des Sicherheitsmoduls 1 als ein zusammenhängendes Teil ausgebildet. Die Ummantelung des Sicherheitsmoduls 1 mit der Bohrschutzfolie 20 kann damit in einem vereinfachten Herstellungsprozeß stattfinden. Aufwendige Verbindungsmaßnahmen, wie Löten und Abstimmen der Sicherheitsschaltung 30, wie sie bei Verwendung einer mehrteiligen Bohrschutzfolie, gemäß dem Stand der Technik, zwischen einzelnen Teilen der Bohrschutzfolie erforderlich sind, entfallen damit erfindungsgemäß.

Die Bohrschutzfolie 20 ist in Zusammenhang mit der räumlichen Struktur des Gehäuses 10 derart flächig ausgeführt, daß sie erfindungsgemäß als eine einteilige Bohrschutzfolie 20 ausgeführt werden kann. Das in Fig. 2 dargestellte Ausführungsbeispiel der Bohrschutzfolie 20 weist hierfür einen Oberbereich 50, einen Unterbereich 60, eine Vielzahl von Seitenbereichen 70a-70d, einen Klappflügel 80, eine Vielzahl von Überlappungsbereichen 90 und einen Mittelstegbereich 95 auf. Die Leiterzüge auf der Bohrschutzfolie 20 stehen in allen diesen Bereichen miteinander elektrisch in Verbindung. Vorzugsweise wird die Bohrschutzfolie 20 unmittelbar aus einem einzigen Stück flexibler Leiterplatte hergestellt und die Leiterzüge werden der flächigen Struktur der Bohrschutzfolie angepaßt. Ein kostenintensives elektrisches Verbinden und Anschließen einzelner, von einander getrennter Bereiche wird so erfindungsgemäß vermieden und erlaubt eine kostengünstige Herstellung und Fertigung des Sicherheitsmoduls 1.

Der Oberbereich 50 überdeckt das Gehäuse 10 an dessen Oberseite, der Unterbereich 60 an dessen Unterseite und die Seitenbereiche 70a-70d überdecken das Gehäuse 10 an deren Seitenflächen. Die Vielzahl von Überlappungsbereiche 90 werden über oder unter die damit überlappenden, entsprechenden Flächenteile der Bohrschutzfolie 20 gebracht und vorzugsweise mit diesen durch eine Verklebung in eine Verbindung gebracht. Die Überlappungen sichern das Sicherheitsmodul 1 gegenüber einem mechanischen Eindringen von außen an den Grenzbereichen der Bohrschutzfolie 20.

Der Klappflügel 80 und der Mittelstegbereich 95 dienen dazu, Bereiche innerhalb des Sicherheitsmoduls 1 gegeneinander zu sichern und so ein Eindringen über einen ersten Bereich in einen zweiten Bereich zu vermeiden. Darauf soll weiter unten noch einmal eingegangen werden.

Die Bohrschutzfolie 20 kann mindestens eine Aussparung 100 und eine Anschlußfahne 110 aufweisen. Die Aussparung 100 ermöglicht eine Einsicht beispielsweise auf eine unterhalb der Aussparung 100 sich befindende Anzeigeeinheit 120 (Fig. 1) zur optischen Darstellung von Daten. Die Anschlußfahne 110 stellt einen elektrischen Kontakt zwischen der Sicherheitsschaltung 30 und den mäanderförmigen Leiterzügen auf der Bohrschutzfolie 20 her. Weitere Einzelheiten über die Formgebung der Bohrschutzfolie 20 im Zusammenhang mit dem Gehäuse 10 ergeben sich aus den nachstehenden Erläuterungen.

Die Bohrschutzfolie 20 wird vorzugsweise mit Hilfe eines Kaltklebers auf das Gehäuse 10 aufgeklebt.

Um in den Ecken bzw. am Rand der Bohrschutzfolie 20 einen "Blinden Fleck", das heißt einen Bereich ohne Mäander, möglichst klein zu halten, wird die Bohrschutzfolie 20 überlappend miteinander verbunden, vorzugsweise verklebt. Ein mechanisches Ablösen an den überlappenden Stellen wird vorzugsweise durch die Verwendung eines speziellen Klebers zur Versiegelung an den Nahtstellen der Bohrschutzfolie 20 verhindert. Eine solche Verwendung eines Klebers ist in der Patentanmeldung P . . . . . . (Zeichen der Anmelderin GE 996 001) derselben Anmelderin und mit demselben Anmeldetag beschrieben. Die Lehre dieser Patentanmeldung ist Bestandteil der vorliegenden Erfindung.

Durch eine schmale Öffnung 150 in einem Mittelsteg 160 des Gehäuses 10 wird die Bohrschutzfolie 20 über die Anschlußfahne 110 an eine Sicherheitsprozessorkarte 140 und somit an die Sicherheitsschaltung 30 angeschlossen. Durch die interne Führung ist die Anschlußfahne 110 von außen her nicht zugänglich. Die Montage der Bohrschutzfolie 20 kann ohne einen Lötvorgang erfolgen, wenn die Abmessungen der Bohrschutzfolie 20 dem Gehäuse 10 des Sicherheitsmoduls 1 angepaßt werden und die Bohrschutzfolie 20 erfindungsgemäß nur aus einem Teil besteht.

Die Anzeigeeinheit 120 befindet sich vorteilhafterweise innerhalb des mit der Bohrschutzfolie 20 umwickelten Gehäuses 10. Der sichtbare Bereich der Anzeigeeinheit 120 wird in der Bohrschutzfolie 20 durch die Aussparung 100 entsprechend freigegeben. Durch eine schmale Öffnung 150 in einem Mittelsteg 160 des Gehäuses 10 wird die Anzeigeeinheit 120, vorzugsweise über ein Flachbandkabel 125, an die Sicherheitsprozessorkarte 140 angeschlossen. Die Anschlüsse 125 der Anzeigeeinheit 120 sind somit vor einem unberechtigten Zugriff von außen geschützt. Eine Manipulation der Anzeigeeinheit 120 kann dadurch verhindert werden.

Eine mögliche Tastatur 170 wird vorzugsweise unterhalb der Bohrschutzfolie 20 auf dem Gehäuse 10 aufgebracht, vorzugsweise aufgeklebt. Damit kann vermieden werden, daß eine zweite Tastatur unberechtigterweise eingeschoben und angeschlossen wird. Ein Anschlußkabel 175 der Tastatur 170 wird in diesem Fall durch einen weiteren Durchbruch 180 in dem Gehäuse 10 in den Sicherheitsbereich Zentraleinheit 40 eingeführt und elektrisch angeschlossen. Ein Mitaufzeichnen, beispielsweise der eingegebenen PINs an den Anschlüssen der Tastatur 170 ist somit nicht möglich. Das erwähnte optionale Abschirmgitter auf der Bohrschutzfolie 20 kann weiterhin eine Abfrage der gedrückten Tasten der Tastatur 170 durch ein Messen des emittierten Hochfrequenzspektrums verhindern.

Die Sicherheitsschaltung 30 befindet sich auf der Sicherheitsprozessorkarte 140. Die Sicherheitsprozessorkarte 140 ist in den Sicherheitsbereich Zentraleinheit 40 des Gehäuses 10 eingebaut. Die Sicherheitsschaltung 30 überwacht permanent die ohmschen Verhältnisse der Bohrschutzfolie 20. Erkennt die Sicherheitsschaltung 30 eine Veränderung der ohmschen Verhältnisse der Bohrschutzfolie 20, löst sie einen Alarm aus. Vorzugsweise werden bedingt durch diesen Alarm sicherheitsrelevante Daten, wie vorhandene elektronische Schlüssel oder ein Programm, in einem Speicher 190, der sich ebenfalls auf der Sicherheitsprozessorplatte 140 befindet, gelöscht. Das Gesamtgerät ist damit nicht mehr funktionsfähig und stellt für den Eindringenden kein interessantes Objekt mehr dar.

Der Sicherheitsbereich Zentraleinheit 40 des Sicherheitsmoduls 1 ist von allen Seiten mit der Bohrschutzfolie 20 umgeben, da auch der Mittelsteg 160 zumindest einseitig mit Bohrschutzfolie 20 ausgelegt ist. Ohne Zerstörung dieser Bohrschutzfolie 20 ist ein Zugriff auf die Komponenten innerhalb der Sicherheitsbereiches Zentraleinheit 40 nicht möglich.

In dem Speicher 190 befindet sich vorzugsweise ein sogenannter Schlüsselspeicher in dem die für den Betrieb notwendigen elektronischen Schlüssel gespeichert werden können. Da sich der Speicher 190 innerhalb des Sicherheitsbereiches 140 befindet, ist ein Zugriff auf diesen ohne Zerstörung der Bohrschutzfolie 20 nicht möglich.

Über externe Anschlüsse 210, wie zum Beispiel Signal- und Versorgungsleitungen, kann das Sicherheitsmodul 1 mit entsprechenden externen Geräten verbunden werden. Die externen Anschlüsse 210 werden vorzugsweise an den Stirnseiten des Sicherheitsmoduls 1 im Bereich von Überlappungen der Bohrschutzfolie 20 ausgewickelt. Eine Führung der externen Anschlüsse 210 über Aussparungen in der Bohrschutzfolie ist zu vermeiden, da an diesen Stellen ein Zugriff in das Sicherheitsmodul 1 ermöglicht werden könnte.

Neben dem Sicherheitsbereich Zentraleinheit 40 weist das Sicherheitsmodul 1 einen Sicherheitsbereich Anzeigemodul 220 auf, der räumlich von dem Sicherheitsbereich Zentraleinheit 40 durch den Mittelsteg 160 getrennt wird. Der Sicherheitsbereich Zentraleinheit 40 weist vorzugsweise alle sicherheitsrelevanten Komponenten ausschließlich der Anzeigeeinheit 120 auf. Die Anzeigeeinheit 120 hingegen befindet sich innerhalb des Sicherheitsbereiches Anzeigemodul 220. Durch die räumliche Trennung der Anzeigeeinheit 120 von den übrigen sicherheitsrelevanten Komponenten kann ein Eindringen über die nicht durch die Bohrschutzfolie 120 geschützte Oberfläche der Anzeigeeinheit 120 in den Sicherheitsbereich Zentraleinheit 40 vermieden werden.

Wie in den Fig. 1 und 2 zu sehen ist, wird der Sicherheitsbereiches Anzeigemodul 220 durch die Hinzunahme des Klappflügels 80 und des Mittelstegbereiches 95 in etwa vollständig auch gegenüber dem Sicherheitsbereich Zentraleinheit 40 abgeschlossen. Der Sicherheitsbereich Anzeigemodul 220 ist damit wirksam gegenüber dem Sicherheitsbereich Zentraleinheit 40 getrennt und gesichert. Ein Eindringen über den Sicherheitsbereich Anzeigemodul 220 in den Sicherheitsbereich Zentraleinheit 40 kann somit unterbunden werden.

Durch entsprechende Dimensionierung der Öffnung 150 in Zusammenhang mit den Anschlüssen 125, 210 und der Anschlußfahne 110 der Bohrschutzfolie 20 kann auch ein mögliches seitliches Eindringen - Pfeilrichtung A in Fig. 1 - in den Sicherheitsbereich Zentraleinheit 40 vermieden werden.

Claims (6)

1. Sicherheitsmodul (1) zur Unterbringung sicherheitsrelevanter Bauteile, mit einem Gehäuse (10) und einer das Gehäuse umschließenden Sicherheitsfolie (20) zur Überwachung des Sicherheitsmoduls (1) gegenüber einem mechanischen Eindringen, dadurch gekennzeichnet, daß die Sicherheitsfolie (20) einteilig ist.

2. Sicherheitsmodul (1) nach Anspruch 1, dadurch gekennzeichnet, daß die Sicherheitsfolie (20) eine Bohrschutzfolie mit mäanderförmig geführten Leiterzügen ist, wobei ein Beschädigen, Einreißen, Durchbohren der Bohrschutzfolie, oder dergleichen, eine Veränderung der ohmschen Verhältnisse der Leiterzüge hervorruft.

3. Sicherheitsmodul (1) nach den Ansprüchen 1 oder 2, dadurch gekennzeichnet, daß das Sicherheitsmodul (1) einen Sicherheitsbereich Zentraleinheit (40) und einen Sicherheitsbereich Anzeigemodul (220) aufweist, wobei der Sicherheitsbereich Anzeigemodul (220) räumlich von dem Sicherheitsbereich Zentraleinheit (40) durch einen Mittelsteg (160) getrennt ist und der Sicherheitsbereich Anzeigemodul (220) eine Anzeigeeinheit (120) aufweist.

4. Sicherheitsmodul (1) nach Anspruch 3, dadurch gekennzeichnet, daß der Sicherheitsbereich Zentraleinheit (40) alle sicherheitsrelevanten Komponenten ausschließlich der Anzeigeeinheit (120) aufweist.

5. Sicherheitsmodul (1) nach Anspruch 3 oder 4, dadurch gekennzeichnet, daß die Sicherheitsfolie (20) eine Aussparung (100) in dem Bereich der Anzeigeeinheit (120) aufweist.

6. Sicherheitsmodul (1) nach den Ansprüchen 3 bis 5, dadurch gekennzeichnet, daß der Sicherheitsbereich Anzeigemodul (220) räumlich von dem Sicherheitsbereich Zentraleinheit (40) durch einen Mittelsteg (160) getrennt ist und die Sicherheitsfolie (20) einen Klappflügel (80) und einen Mittelstegbereich (95) aufweist, wobei der Klappflügel (80) und der Mittelstegbereich (95) den Sicherheitsbereich Anzeigemodul (220) gegenüber dem Sicherheitsbereich Zentraleinheit (40) trennt und der Sicherheitsbereich Anzeigemodul (220) damit in etwa vollständig gegenüber dem Sicherheitsbereich Zentraleinheit (40) gesichert ist, so daß ein Eindringen über den sicherheitsbereich Anzeigemodul (220) in den Sicherheitsbereich Zentraleinheit (40) unterbunden werden kann.