DE19919892C2 - Trust-Center-Einheit (TCE) - Google Patents

Description

Die Erfindung betrifft eine Trust-Center-Einheit (TCE) für den Betrieb in einer Public-Key-Infrastruktur (PKI).

Eine derartige Trust-Center-Einheit dient nicht nur als Zertifizierungsstelle, welche die Zuordnung von öffent­ lichen Signaturschlüsseln zu natürlichen Personen be­ scheinigt; neben dieser Tätigkeit im Zusammenhang mit der Ausstellung von Schlüsselzertifikaten dient eine TCE insbesondere zur Herstellung von personalisierten Chipkarten, mit denen jeder Teilnehmer einer PKI seinen geheimen privaten Schlüssel, mit dem er digital sig­ niert, geheim und sicher aufbewahren und verwenden kann.

In Zusammenhang mit Trust-Center-Einheiten, die ent­ sprechend vorherrschenden Überlegungen einen physika­ lisch gesicherten Bereich umfassen, sind Chip-Karten- Personalisierungseinrichtungen (CPE) bekannt geworden, (DE 196 10 739-A1, DE 196 34 230-A1), die mehrere Kontak­ tierplätze für die Beschriftung von Chipkarten auf­ weisen, die jedoch den Zugang von qualifiziertem Bedie­ nungspersonal voraussetzen.

Vorliegend geht es um die vorteilhafte, einen vollauto­ matischen und sicheren Betrieb ermöglichende Ausgestal­ tung einer TCE, welche, wie in der deutschen Patent­ schrift DE 199 915 668-C1 beschrieben, eine begehbare, im normalen Betrieb jedoch menschenleere Sicherheitszelle aufweist, deren Hülle gegen Eindringen gesichert ist und neben sicherheitskritischen Funktionsmodulen eine von außerhalb bedienbare CPE enthält, die zur automatischen elektrischen Personalisierung an Steuerungsein­ richtungen in der TCE angeschlossen ist und über Daten­ leitungen Chipkarten mit Systemkomponenten der TCE zum Aufbringen des privaten Schlüssels verbindet.

Damit die CPE das sichere und vollautomatische Einbrin­ gen der zur elektrischen Personalisierung der Chipkar­ ten notwendigen Daten (Personalisierungsdaten), ins­ besondere der geheimen privaten Schlüssel in die Chip­ karten gewährleisten kann, ohne daß ein Zugriff durch Bedienungspersonal auf die entsprechenden datentechni­ schen Systeme im TCE und auf die Personalisierungsdaten erforderlich ist, weist die CPE erfindungsgemäß wenig­ stens eine Durchführung zur Ein- und Ausgabe von Chip­ karten durch die Hülle der Sicherheitszelle mittels einer gegen fremdes Penetrieren sicheren Transportein­ richtung sowie innerhalb der Hülle eine oder mehrere Kontaktierplätze für zu personalisierende Chipkarten auf. Damit ist erreicht, daß die Personalisierungsdaten für Teilnehmer der PKI ohne manuelle Interaktion durch Bedienpersonal in die Chipkarten eingebracht werden können und es entfällt die Bereitstellung von Bedien­ personal, welches besonderen Anforderungen hinsichtlich Qualifizierung oder Sicherheitstauglichkeit genügt.

Im Rahmen der erfindungsgemäßen Lösung ist innerhalb der Sicherheitszelle einer derartigen TCE eine sog. Personalisierungsmaschine gekapselt angeordnet. Sie umfaßt vorteilhaft sechs Kontaktierplätze zum Lesen/­ Beschreiben von Chipkarten, wobei jeder Kontaktierplatz über einen Chipkarten-Coupler mit einem Crypto-Module verbunden ist. In diesen Crypto-Modules laufen alle sicherheitskritischen Funktionen bei der Personalisie­ rung einer Chipkarte ab. Die Crypto-Modules stellen in sich abgeschlossene Rechnersysteme mit spezieller Cryp­ to-Hardware dar. Drei dieser Crypto-Modules sind je­ weils in einem Certification-Module zusammengefaßt, welches auf der Basis eines üblichen Industrie-PCs auf­ gebaut ist. Die Funktionen der Crypto- Modules sind dabei gegen unzulässige Beeinflussung durch den Hostrechner der Certification-Modules abge­ schottet. Jedes Certification-Module ist wiederum mit einem Security-Module ausgestattet, welches im Falle einer Störung des ordnungsgemäßen Betriebs des TCE alle Crypto-Modules im Sinne der definierten Schutzziele eines Trust-Centers in einen sicheren Zustand versetzt, welcher dadurch gekennzeichnet, daß die Signier­ schlüssel nicht mehr verwendbar sind.

In weiterer Ausgestaltung der vorliegenden Erfindung ist vorgesehen, daß die Hülle zwei Durchführungen, eine für einen Eingabekanal, die andere für einen Ausgabe­ kanal aufweist, und daß beide Kanäle im Inneren der Hülle durch einen Kontaktierkanal miteinander verbunden sind, welcher eine Mehrzahl von Kontaktierplätzen zum elektrischen Personalisieren der Chipkarten aufweist.

Dabei versteht sich von selbst, daß die beiden Durch­ führungen derart fest, z. B. durch Flansche auf der Innenseite der Hülle gesichert in diese eingebunden sind, daß ein leichtes Eindringen ohne Gewaltanwendung unmöglich wäre. Durch die beiden Durchführungen wird die CPE von außen bedient, d. h. es werden elektrisch nicht beschriebene Chipkarten eingeführt und in elektrisch personalisierter Form wieder entnommen.

Um sicherzustellen, daß durch die beiden nach außen geführten Kanäle auch während des Chipkartentransports jedes unerwünschte Eindringen ausgeschlossen ist, ist vorgesehen, daß in den beiden Eckstößen der Kanäle jeweils eine Kartenumlenkeinrichtung (CUE) vorgesehen ist, welche für die Übergabe einer Chipkarte zwischen einer Anschlußstellung an einen der nach außen führenden Kanäle und einer Anschlußstellung an den Kontaktierkanal verschwenkbar ist, derart, daß in jeder Anschlußstellung der jeweils angeschlossene Kanal im Inneren der CUE endet.

Der Kontaktierkanal weist, wie bereits oben an einem Beispiel ausgeführt, eine Mehrzahl von Kontaktier­ plätzen auf. Die genauen Chipkartenpositionen werden vorteilhaft dadurch definiert, daß jeder Kontaktier­ platz durch wenigstens ein quer zur Chipkarte in den Kontaktierkanal einrückbares Anschlagelement, gegen welches die vorauseilende Kante der Chipkarte anschlägt, begrenzt ist, und daß im Kontaktierkanal der Anzahl der Kontaktierplätze entsprechend viele Anschlagelemente hintereinander vorgesehen sind. Derar­ tige Anschlagelemente sind bevorzugt durch längs­ beweglich gelagerte Anschlagbolzen gebildet, welche mittels Hubmagneten aus dem Kanalboden quer zur Kanallängsrichtung angehoben werden. Jedem Kontaktier­ platz ist ein Schreib-/Lesekopf zum Bescheriben der Chipkarte zugeordnet. Zu diesem Zweck sind vorteilhaft Kontaktelemente vorgesehen, die durch Öffnungen im Kontaktierkanal gefedert auf Kontaktflächen der Chip­ karten abgesenkt werden, wobei durch diese Kontakt­ elemente eine direkte elektrische Verbindung zwischen Chipkarte und zugehörigen sicherheitstechnisch relevanten Systemkomponenten gegeben ist.

Ein besonders sicheres und verschleißarmes Transport­ system für die Chipkarten besteht erfindungsgemäß darin, daß wenigstens in den beiden nach außen führenden Kanälen ein pneumatisches Transportsystem vorgesehen ist. Vorteilhaft werden dabei die Chipkarten durch den Eingabekanal angesaugt und durch den Ausgabe­ kanal ausgeblasen.

Im Bereich des Kontaktierkanals ist es zweckmäßig, daß die Chipkarten durch Blasen fortbewegt werden, bis alle vorgesehenen Kontaktierplätze durch leere, d. h. unbe­ schriebene Chipkarten besetzt sind und nach erfolgter Personalisierung wieder aus dem Kontaktierkanal in die dem Ausgabekanal zugeordnete CUE weitergefördert werden.

Gemäß einer vorteilhaften sicherheitstechnischen Ausge­ staltung ist vorgesehen, daß die CUE durch eine Umlenk­ säule gebildet ist, an welche die zugeordneten Kanäle dicht angeschlossen sind, und welche einen Umlenk­ zylinder umschließt, der um eine zur Ebene der Kanäle vertikale Achse verschwenkbar ist, und eine in diese Ebene liegende Aufnahmetasche, für die zwischen den angeschlossenen Kanälen umzusetzenden Chipkarten aufweist und wobei in der Umlenksäule kurze Anschluß­ kanäle vorgesehen sind, welche die in der jeweiligen Schwenkstellung zugeordneten Kanäle mit der Aufnahme­ tasche verbinden.

Damit ist sichergestellt, daß die Aufnahmetasche je nach Schwenkstellung entweder mit einem nach außen führenden Kanal oder mit dem Kontaktierkanal fluchtet, wobei der jeweils andere Kanal verschlossen ist.

Im Rahmen des erfindungsgemäßen pneumatischen Transportsystems sind die beiden Umlenksäulen auf unterschiedliche Weise daran angeschlossen.

Einerseits ist die Aufnahmetasche des an den Eingabe­ kanal anschließbaren Umlenkzylinders über eine Anschlußbohrung wahlweise an eine Saugbohrung oder eine Blasbohrung der Umlenksäule anschließbar, je nach Schwenkstellung der Aufnahmetasche zum Eingabe- oder zum Kontaktierkanal.

Andererseits ist die Aufnahmetasche des an den Ausgabe­ kanal anschließbaren Umlenkzylinders über eine Anschlußbohrung wahlweise an eine Blasbohrung oder eine Entlüftungsbohrung der Umlenksäule anschließbar, je nach Schwenkstellung der Aufnahmetasche zum Ausgabe- oder zum Kontaktierkanal.

Um einen schnellen Fluß der Chipkarten zu gewähr­ leisten, ist ferner vorgesehen, daß die Kanäle für den Transport und die Kontaktierung der Chipkarten als miteinander kommunizierende Flachkanäle ausgebildet sind, deren Querschnitt etwas größer ist als der der Chipkarten, derart, daß diese nur der Länge nach liegend mit geringem Spiel darin Platz finden. Bevor­ zugt ist dabei die Aufnahmetasche nur geringfügig tiefer als der Länge einer Chipkarte entspricht, d. h. es genügt, wenn der Durchmesser eines Umlenkzylinders nur wenig größer ist als der Länge einer Chipkarte entspricht.

Neben der Sicherung der Durchführungen der CPE gegen Penetrierung durch Gegenstände ist auch deren magne­ tische Abschirmung von Bedeutung. Zu diesem Zweck ist erfindungsgemäß vorgesehen, daß Umlenksäule und Umlenk­ zylinder zur Abschirmung gegen Magnetfeldeinflüsse aus Mu-Metall-Blechpaketen angefertigt sind und daß der Umlenkzylinder mit enger Passung in einer Bohrung der Umlenksäule schwenkbar aufgenommen ist. Derartige Bleche bestehen beispielsweise aus einer hochpermeablen Ni-Fe-Legierung.

Das pneumatische Transportsystem ist zweckmäßig an einem Druckluftspeicher angeschlossen, welcher von einem außerhalb der Hülle angeordneten Kompressor versorgt wird, wobei der Unterdruck im Eingabekanal mittels eines Ejektor-Ventils erzeugt wird. Derartige Ventile sind den üblichen Vakuumpumpen überlegen, da sie sich durch eine hohe Standzeit auszeichnen.

Im Folgenden wird ein Ausführungsbeispiel der Erfindung anhand der Zeichnung beschrieben. Es zeigt

Fig. 1 in der Draufsicht die schematische Darstellung der Chipkarten-Personalisierungseinrichtung innerhalb der Hülle einer Sicherheitszelle,

Fig. 2 die Chipkarten-Personalisierungseinrichtung gemäß Fig. 1 mit pneumatischem Transportsystem für die Chipkarten,

Fig. 3 eine gesamtheitliche Darstellung zur Steuerung der CPE und

Fig. 4 eine Ausschnittdarstellung zu Schritt 6 gemäß Fig. 3.

Fig. 1 zeigt in der Draufsicht die Chipkarten-Persona­ lisierungseinrichtung (CPE) 1 innerhalb einer doppel­ wandigen Hülle 2 einer Sicherheitszelle. Zwischen den beiden Wänden der Hülle 2 sind Querstützen 3 gezeichnet. Die Hülle wird von zwei Durchführungen 4, 5 durchdrungen, wobei die Durchführung 4 den Eingabekanal 6 und die Durchführung 5 den Ausgabekanal 7 umschließt.

Die beiden Durchführungen 4, 5 sind dicht an die Hülle 2 angeschlossen, wobei auf die Darstellung der Anschlußelemente im Einzelnen verzichtet wurde. Der Eingabekanal 6 und der Ausgabekanal 7 sind jeweils an eine Chipkarten-Umlenkeinrichtung (CUE) 8, 9 ange­ schlossen, welche jeweils die Verbindung zu einem Kontaktierkanal 10 herstellen. Bei der an den Eingabe­ kanal 6 angeschlossenen CUE 8 geht es darum, die einge­ gebenen Chipkarten um 90° umzulenken in den Kontaktier­ kanal 10, wo die Chipkarten gelesen und elektrisch personalisiert werden. Bei der an den Ausgabekanal angeschlossenen CUE 9 geht es darum, die Chipkarten aus dem Kontaktierkanal 10 umzusetzen in den Ausgabekanal 7. Zu seiner magnetischen Abschirmung besitzt der Kontaktierkanal 10 Wände 50 aus hochpermeablem ferromagnetischem Werkstoff, z. B. aus Mu-Metall.

Das mechanische Umsetzen der Chipkarten in den beiden CUEs erfolgt durch die Aufnahme einzelner Karten in einer mit dem Eingabekanal bzw. dem Ausgabekanal fluchtenden Aufnahmetasche 11 eines Umlenkzylinders 12, welcher zwei Schwenkstellungen einnehmen kann. Eine Schwenkstellung ist mit dem Eingabekanal 6 bzw. mit dem Ausgabekanal 7 verbunden; die andere nach einer 90°- Drehung erreichte Schwenkstellung mit dem Kontaktier­ kanal 10.

Gemäß Fig. 1 befindet sich der Umlenkzylinder 12 der dem Eingabekanal 6 zugeordneten CUE 8 in einer mit dem Eingabekanal 6 fluchtenden Schwenkstellung. Dabei werden die in den Eingabekanal 6 einzeln eingeführten Chipkarten über eine Saugbohrung 13 einer den Umlenk­ zylinder 12 umgebenden Umlenksäule 14 angesaugt, wobei im Umlenkzylinder 12 eine mit der Saugbohrung 13 fluchtende Anschlußbohrung 15 am inneren Ende der Aufnahmetasche 11 angeschlossen ist. Die Umlenksäule 14 besitzt außerdem eine Blasbohrung 16, welche in der im Uhrzeigersinn um 90° versetzten Schwenkstellung zur Wirkung kommt. Die jeweils in der Aufnahmetasche 11 befindliche Chipkarte wird dann über die Blasbohrung 16 und die Anschlußbohrung 15 in den Kontaktierkanal 10 geblasen. Dort sind sechs Kontaktierplätze vorgesehen, welche gemäß Fig. 1 bereits mit Chipkarten 17 besetzt sind. Die jeweilige Kartenposition ist begrenzt durch einen Anschlag in Form eines Anschlagbolzens 18. Das auf den Chipkarten eingezeichnete Rechteck bedeutet die jeweilige Kontaktierfläche 19, d. h. jene Stelle, auf welche federnde Kontaktelemente durch die Wand des Kontaktierkanals 10 hindurch gegen die jeweilige Chip­ karte abgesenkt werden, um diese zu lesen bzw. zu beschreiben. Nach dem Beschreiben, d. h. nach erfolgter Personalisierung der Chipkarten werden diese durch den Kontaktierkanal 10 wie beschrieben hindurchgeblasen und gelangen vereinzelt in die Aufnahmetasche 11 des Umlenkzylinders 12 in der dem Augabekanal 7 zuge­ ordneten CUE 9. Nach dem Umsetzen der in der Aufnahme­ tasche 11 aufgenommenen Chipkarte, wonach die Öffnung der Aufnahmetasche 11 mit dem Ausgabekanal 7 fluchtet, wird die in der Aufnahmetasche 11 befindliche Chipkarte durch eine dem Ausgabekanal 7 gegenüberliegende Blas­ bohrung 20 der Umlenksäule 14 und die Anschlußbohrung 15 des Umlenkzylinders 12 in den Ausgabekanal 7 ausge­ blasen. Ausgehend von der gezeichneten Stellung des Umlenkzylinders 12 wird dieser zum Zwecke des Ausblasens der Chipkarte im Uhrzeigersinn um 90° verschwenkt. Außerdem besitzt die Umlenksäule 14 noch eine Entlüftungsbohrung 21, welche offen ist, während der Blasstrom aus dem Kontaktierkanal 10 eine Chipkarte in die Aufnahmetasche 11 der CUE 9 fördert. Über einen Anschlußkanal 24 ist die Aufnahmetasche 11 mit dem Ausgabekanal 7 verbunden. Auch die an den Eingabekanal 6 angeschlossene CUE 8 besitzt eine Umlenksäule 14 mit einem entsprechenden Anschlußkanal 24.

Umlenkzylinder 12 und Umlenksäule 14 der beiden CUEs bestehen zum Zwecke der Abschirmung gegen äußere Magnetfeldeinflüsse aus hochpermeablem ferro­ magnetischem Werkstoff; bevorzugt sind sie aus Mu- Metall gefertigt.

Die CPE ist zum Zwecke der magnetischen Abschirmung in ihrer Gesamtheit von einer Kapsel 51 aus hochpermeablen ferromagnetischen Werkstoff umgeben, welche an der Innenseite der Hülle 2 angeschlossen ist.

Fig. 2 zeigt die CPE 1 gemäß Fig. 1 in schematisch vereinfachter Darstellung. Dort sind im Anschluß an den Eingabekanal 6 und dem Ausgabekanal 7 die Chipkarten- Umlenkeinrichtungen vereinfacht dargestellt, indem jeweils nur der Umlenkzylinder 12 eingezeichnet ist. Im Kontaktierkanal 10 befinden sich sechs Chipkarten 17, welche an den jeweiligen Anschlagbolzen 18 positioniert sind. Beide Umlenkzylinder 12 sind jeweils mit der Öffnung ihrer Aufnahmetasche in Richtung des Kontaktierkanals verschwenkt, so daß der Kontaktier­ kanal beidseitig verschlossen ist. In dieser Position der beiden Umlenkzylinder 12 findet das elektrische Personalisieren der Chipkarten 17 statt. Ist der aus sechs Chipkarten 17 bestehende Kartenblock im Kontaktierkanal 10 vollständig bearbeitet, so werden die Chipkarten 17 der Reihe nach in den Umlenkzylinder 12 des Ausgabekanals 7 eingeblasen, wozu der Umlenkzylinder 12 gegenüber der gezeichneten Position um 90° im Gegenuhrzeigersinn verschwenkt wird, um eine Chip­ karte 17 aus dem Kontaktierkanal 10 aufzunehmen; danach wird er in die gezeichnete Position zurückgeschwenkt und die in dessen Aufnahmetasche befindliche Chipkarte wird durch die Druckluft aus der Blasbohrung 20 in Richtung des Pfeils P1 ausgeblasen. Zu diesem Zweck wird aus einer Druckluftspeiseleitung 25 über ein Magnetventil 26 eine einstellbare Drossel 27 auf Durch­ gang geschaltet, so daß durch die Blasbohrung 20 Druckluft in den Ausgabekanal 7 gelangt. Die Druckluft in der Druckluftspeiseleitung 25 wird von einem außer­ halb der CPE befindlichen Kompressor über eine Einspeiseleitung 28 geliefert und gelangt von dort über ein Magnetventil 29, ein Druck-Regelventil 30 und ein Rückschlagventil 31 in einen Druckspeicher 32, der an die Druckluftspeiseleitung 25 angeschlossen ist.

Betrachtet man den Eingabekanal 6, so ist dieser in der gezeichneten Stellung an eine Saugbohrung 13 ange­ schlossen, an welcher zum Zwecke des Einführens leerer Chipkarten ein Unterdruck vorherrscht. Dieser wird erzeugt in einem Ejektorventil 33 mit einem Schall­ dämpfer 34, an dessen Vakuum-Ejektor 35 die Saugbohrung 13 über eine Unterdruckleitung 36 angeschlossen ist. In der im Uhrzeigersinn um 90° verschwenkten Position des zugeordneten Umlenkzylinders 12 ist dessen Anschluß­ bohrung 15 an eine Blasbohrung 16 angeschlossen, so daß eine in der Aufnahmetasche des Umlenkzylinders 12 befindliche Chipkarte in den Kontaktierkanal 10 einge­ blasen wird. Befindet sich im Kontaktierkanal 10 noch keine Chipkarte, so wird diese die letzte Kontaktier­ position vor dem Ausgabekanal 7 einnehmen und die nach­ folgenden Chipkarten werden den jeweils anschließenden Kontaktierplatz besetzen. Jeder Kontaktierplatz wird individuell dadurch angesteuert, daß Anschlagbolzen 18 elektromagnetisch ausgefahren werden. Der Blasstrom wird an die Blasbohrung 16 über die Druckleitung 37, die einstellbare Drossel 38 und das Magnetventil 39 zugeführt. Über weitere Magnetventile 40 gelangt unge­ drosselte Druckluft aus der Druckluftspeiseleitung 25 zu einem Schwenkantrieb 41 zur Betätigung der beiden Umlenkzylinder 12. Eine Einheit aus einer einstellbaren Drossel 42 und einem Schalldämpfer 43 ist an eine Entlüftungsbohrung 21 in der dem Ausgabekanal 7 zuge­ ordneten Umlenksäule vorgesehen, welcher der Ableitung von Abluft dient.

Gemäß den Fig. 3 und 4 ist die Steuerung der CPE schematisch dargestellt, wobei die in den einzelnen Blöcken enthaltene Beschriftung für sich spricht, also keiner weiteren Kommentierung bedarf. Mit "Kartenblock" sind die in dem Kontaktierkanal 10 aufgereihten Chip­ karten gemeint. Mit "Maschine" ist die CPE gemeint. Entsprechend dem schrittweisen Bearbeitungsablauf sind die einzelnen Blöcke mit arabischen Ziffern durch­ nummeriert. Der mit einer Doppellinie in Fig. 3 einge­ zeichnete Block Nr. 6 ist in Fig. 4 detailliert dargestellt. Die Blöcke 6.2, 6.3 und 6.4 sind dort nochmals in Einzelschritte aufteilbar, die jedoch im Rahmen der vorliegenden Figurenbeschreibung bedeu­ tungslos sind und daher entfallen können.

Claims (19)

1. Trust-Center-Einheit (TCE) für den Betrieb einer Pu­ blic-Key-Infrastruktur (PKI) mit einer begehbaren, im normalen Betrieb jedoch menschenleeren Sicherheits­ zelle, deren Hülle (2) gegen Eindringen gesichert ist und neben sicherheitskritischen Funktionsmodulen eine von außerhalb bedienbare Chipkarten-Personalisie­ rungseinrichtung (CPE) (1) enthält, die zur automati­ schen elektrischen Personalisierung von Chipkarten an Steuerungseinrichtungen im TCE angeschlossen ist und über Datenleitungen Chipkarten (17) mit Systemkompo­ nenten des TCE zum Aufbringen des privaten Schlüssels verbindet, und wobei die CPE (1) wenigstens eine Durchführung zur Ein- und Ausgabe von Chipkarten durch die Hülle (2) der Sicherheitszelle mittels ei­ ner gegen fremdes Penetrieren sicheren Transportein­ richtung sowie innerhalb der Hülle eine oder mehrere Kontaktierplätze für zu personalisierende Chipkarten (17) aufweist.

2. Trust-Center-Einheit nach Anspruch 1, dadurch gekennzeichnet, daß die Hülle (2) zwei Durchführungen (4, 5), eine für einen Eingabekanal (6), die andere für einen Aus­ gabekanal (7) aufweist und daß beide Kanäle im Inne­ ren der Hülle (2) durch einen Kontaktierkanal (10) miteinander verbunden sind, welcher eine Mehrzahl von Kontaktierplätzen zum Datenaustausch im Rahmen der elektrischen Personalisierung von Chipkarten (17) aufweist.

3. Trust-Center-Einheit nach Anspruch 2, dadurch gekennzeichnet, daß in den beiden Eckstößen der Kanäle jeweils eine Chipkarten-Umlenkeinrichtung (CUE) (8, 9) vorgesehen ist, welche für die Übergabe einer Chipkarte (17) zwischen einer Anschlußstellung an einen der nach außen führenden Kanäle (6, 7) und einer Anschlußstellung an den Kontaktierkanal (10) verschwenkbar ist, derart, daß in jeder Anschlußstellung der jeweils angeschlossene Kanal im Inneren der CUE (8, 9) endet.

4. Trust-Center-Einheit nach Anspruch 2, dadurch gekennzeichnet, daß jeder Kontaktierplatz durch wenigstens ein quer zur Chipkarte (17) in den Kontaktierkanal (10) einrückbares Anschlagelement, gegen welches die vorauseilende Kante der Chipkarte (17) anschlägt, begrenzt ist und daß im Kontaktierkanal (10) der Anzahl der Kontaktierplätze entsprechend viele Anschlagelemente hintereinander vorgesehen sind.

5. Trust-Center-Einheit nach Anspruch 2, dadurch gekennzeichnet, daß jedem Kontaktierplatz ein Schreib/Lese-Kopf zur elektrischen Personalisierung der Chipkarte (17) zugeordnet ist.

6. Trust-Center-Einheit nach Anspruch 5, dadurch gekennzeichnet, daß durch Öffnungen im Kontaktierkanal (10) federnde Kontaktelemente auf Kontaktflächen (19) der Chipkarten abgesenkt werden, wobei durch diese Kontaktelemente eine direkte elektrische Verbindung zwischen Chipkarte (17) und zugehörigen sicherheitstechnisch relevanten Systemkomponenten gegeben ist.

7. Trust-Center-Einheit nach Anspruch 2, dadurch gekennzeichnet, daß für den Transport der Chipkarten (17) wenigstens in den beiden nach außen führenden Kanälen (6, 7) ein pneumatisches Transportsystem vorgesehen ist.

8. Trust-Center-Einheit nach Anspruch 7, dadurch gekennzeichnet, daß die Chipkarten (17) durch den Eingabekanal (6) angesaugt und durch den Ausgabekanal (7) ausgeblasen werden.

9. Trust-Center-Einheit nach Anspruch 7, dadurch gekennzeichnet, daß die Chipkarten (17) durch den Kontaktierkanal (10) durch Blasen fortbewegt werden, bis alle vorgesehenen Kontaktierplätze durch leere Chipkarten besetzt sind und nach erfolgter elektrischer Personalisierung wieder aus dem Kontaktierkanal (10) in die dem Ausgabekanal zugeordnete CUE (9) weitergefördert werden.

10. Trust-Center-Einheit nach Anspruch 3, dadurch gekennzeichnet, daß die CUE (8, 9) durch eine Umlenksäule (14) gebildet ist, an welche die zugeordneten Kanäle dicht angeschlossen sind und welche einen Umlenkzylinder (12) umschließt, der um eine zur Ebene der Kanäle vertikale Achse verschwenkbar ist und eine in dieser Ebene liegende Aufnahmetasche (11) für die zwischen den angeschlossenen Kanälen umzusetzenden Chipkarten (17) aufweist und wobei in der Umlenksäule (14) kurze Anschlußkanäle (24) vorgesehen sind, welche die zugeordneten Kanäle in der jeweiligen Schwenkstellung mit der Aufnahmetasche (11) verbinden.

11. Trust-Center-Einheit nach Anspruch 10, dadurch gekennzeichnet, daß die Aufnahmetasche (11) des an den Eingabekanal (6) anschließbaren Umlenkzylinders (12) über eine Anschlußbohrung (15) wahlweise an eine Saugbohrung (13) oder eine Blasbohrung (16) der Umlenksäule (14) anschließbar ist, je nach Schwenkstellung der Aufnahmetasche (11) zum Eingabe- oder zum Kontaktierkanal.

12. Trust-Center-Einheit nach Anspruch 10, dadurch gekennzeichnet, daß die Aufnahmetasche (11) des an den Ausgabekanal (7) anschließbaren Umlenkzylinders (12) über eine Anschlußbohrung (15) wahlweise an eine Blasbohrung (20) oder eine Entlüftungsbohrung (21) der Umlenksäule (14) anschließbar ist, je nach Schwenkstellung der Aufnahmetasche (11) zum Ausgabe- oder zum Kontaktierkanal.

13. Trust-Center-Einheit nach Anspruch 7, dadurch gekennzeichnet, daß die Kanäle für den Transport und die Kontaktierung der Chipkarten (17) als miteinander kommunizierende Flachkanäle ausgebildet sind, deren Querschnitt etwas größer ist als der Querschnitt der Chipkarten, derart, daß diese nur der Länge nach liegend mit geringem Spiel darin Platz finden.

14. Trust-Center-Einheit nach Anspruch 10, dadurch gekennzeichnet, daß die Aufnahmetasche (11) nur geringfügig tiefer ist als der Länge einer Chipkarte (17) entspricht.

15. Trust-Center-Einheit nach Anspruch 10, dadurch gekennzeichnet, daß Umlenksäule (14) und Umlenkzylinder (12) zur Abschirmung gegen Magnetfeldeinflüsse aus hochpermeablem ferromagnetischem Werkstoff gefertigt sind und daß der Umlenkzylinder (12) mit enger Passung in einer Bohrung der Umlenksäule (14) schwenkbar aufgenommen ist.

16. Trust-Center-Einheit nach Anspruch 2, dadurch gekennzeichnet, daß der Kontaktierkanal (10) Wände (50) aus einem hochpermeablen ferromagnetischen Werkstoff besitzt.

17. Trust-Center-Einheit nach Anspruch 1, dadurch gekennzeichnet, daß die CPE innerhalb der die Sicherheitszelle bildenden Hülle in ihrer Gesamtheit in einer Kapsel (51) aus hochpermeablem ferromagnetischem Werkstoff aufgenommen ist.

18. Trust-Center-Einheit nach Anspruch 7, dadurch gekennzeichnet, daß das pneumatische Transportsystem an einen Druckluftspeicher (32) angeschlossen ist, welcher von einem außerhalb der Hülle (2) angeordneten Kompressor versorgt wird und daß der Unterdruck im Eingabekanal (6) mittels eines Ejektor-Ventils (33) erzeugt wird.

19. Trust-Center-Einheit nach Anspruch 4, dadurch gekennzeichnet, daß die Anschlagelemente im Kontaktierkanal durch längsbeweglich gelagerte Anschlagbolzen (18) gebildet sind, welche mittels Hubmagneten aus dem Kanalboden quer zur Kanallängsrichtung angehoben werden.