DE69634326T2

DE69634326T2 - Verfahren zum Authentifizieren eines Anwendungsprogramms

Info

Publication number: DE69634326T2
Application number: DE69634326T
Authority: DE
Inventors: Keith A. Birkhill Saunders
Original assignee: NCR International Inc
Current assignee: NCR International Inc
Priority date: 1995-11-23
Filing date: 1996-11-20
Publication date: 2006-01-26
Anticipated expiration: 2016-11-21
Also published as: ZA969776B; EP0775992A3; ES2237761T3; GB9523922D0; JPH09218908A; US5917421A; US6202924B1; EP0775992A2; EP0775992B1; DE69634326D1

Description

Die vorliegende Erfindung betrifft das Authentifizieren von Anwendungsprogrammen und zielt insbesondere auf ein Verfahren zum Authentifizieren eines Anwendungsprogramms für die Verwendung in einem operatorlosen System, wie einem Selbstbedienungsterminal (SST) oder einem Bankautomaten (ATM), ab.
Ein typisches Authentifizierungsschema zum Authentifizieren eines Benutzers in einem operatorlosen System, das eine Anzahl von installierten Anwendungsprogrammen aufweist, beruht darauf, dass der Benutzer über ein gewisses Geheimwissen (wie z.B. eine Geheimzahl) verfügt, das es ihm ermöglicht, Zugriff auf wertvolle Systemressourcen des operatorlosen Systems zu erlangen. Zwar mag dieses Authentifizierungsschema bei einem System mit Operator hinreichende Sicherheit bieten, doch bietet ein solches Authentifizierungsschema möglicherweise nicht das bei einem operatorlosen System, wie einem SST oder einem ATM, gewünschte Sicherheitsniveau. Das Sicherheitsniveau wird von dem bekannten Authentifizierungsschema möglicherweise nicht erreicht, weil es nach wie vor möglich ist, ein verändertes und/oder betrügerisches Anwendungsprogramm in das SST bzw. den ATM einzuschleusen, ohne dass nachfolgende Benutzer davon Kenntnis erlangen, dass das Anwendungsprogramm verändert worden ist und/oder betrügerisch ist.
In EP-A-0 644 511 wird ein automatisches Finanzsystem offenbart, in welchem an der Wand befestigte Benutzerschnittstelleneinheiten von einem Zentralmodulsystem getrennt sind.
In US 5 442 645 wird ein Verfahren zum Prüfen der Integrität einer Nachricht gegen eine ursprüngliche Nachricht durch Anwenden eines Algorithmus auf mindestens einen Teil der ursprünglichen Nachricht offenbart.
Gemäß der Erfindung wird ein Verfahren zum Authentifizieren eines ausführbaren Anwendungsprogramms geschaffen, wie es in Anspruch 1 aufgezeigt ist.
Gemäß einem weiteren Gesichtspunkt der Erfindung wird ein Bankautomat geschaffen, wie es in Anspruch 4 aufgezeigt ist.
Vorzugsweise umfasst die Benutzerschnittstelle ein Bedienfeld eines Bankautomaten (ATM). Das Bedienfeld weist auf:
(i) einen Kartenleser mit einem Kartenschlitz, durch welchen eine Benutzeridentifikationskarte eines ATM-Kunden entgegengenommen werden kann, und (ii) ein Tastenfeld zur Eingabe von Daten, nachdem die Benutzeridentifikationskarte in den Kartenschlitz eingeschoben, vom Kartenleser gelesen und von der Prozessoreinheit überprüft worden ist. Die Speichereinheit und die Registereinheit umfassen getrennte Speichermedien.
Die genannten und weitere Merkmale der vorliegenden Erfindung können von einem Fachmann auf dem Gebiet der vorliegenden Erfindung unter Berücksichtigung der folgenden Beschreibung mit Bezugnahme auf die beigefügten Zeichnungen erschlossen werden. Es zeigen:
1 eine schematische Ansicht, die einen Bankautomaten (ATM) veranschaulicht, welcher eine Ausführungsform der vorliegenden Erfindung darstellt;
2 eine Blockdiagrammdarstellung des ATM aus 1; und
3 bis 5 Flussdiagramme, die Vorgänge darstellen, die an dem ATM aus 1 ausgeführt werden.
Die vorliegende Erfindung zielt auf ein Verfahren des Authentifizierens eines Anwendungsprogramms ab, um es dem An wendungsprogramm zu ermöglichen, als Antwort auf eine Benutzeranfrage, die das Ausführen des Anwendungsprogramms erfordert, Zugriff auf wertvolle Systemressourcen zu erlangen. Während das Verfahren des Authentifizierens eines Anwendungsprogramms gemäß der vorliegenden Erfindung in verschiedenen Umgebungen angewendet werden kann, ist das Verfahren jedoch insbesondere nützlich beim Authentifizieren eines Anwendungsprogramms, das in einem operatorlosen System, z.B. in einem Selbstbedienungsterminal (SST) oder einem Bankautomaten (ATM), installiert ist. Beispielsweise wird ein ATM 10, bei dem es sich um eine Ausführungsform der vorliegenden Erfindung handelt, in 1 veranschaulicht.
Der ATM 10 umfasst eine Benutzerschnittstelle in Form einer Frontplatte 12. Die Frontplatte 12 weist einen Kartenleser 14, ein Tastenfeld 16, einen Bargeldausgeber 18, einen CRT-Bildschirm 20 und einen Quittungsdrucker 22 auf. Der Kartenleser 14 verfügt über einen Kartenschlitz, durch welchen ein Kunde 24 zu Beginn einer von dem Kunden 24 durchzuführenden Transaktion eine Benutzeridentifikationskarte 26 einführen kann. Der Bargeldausgeber 18 weist einen Bargeldschlitz auf, durch welchen im Verlaufe der Transaktion im Innern des ATM 10 gespeicherte Banknoten an den Kunden 24 ausgegeben werden können. Der Quittungsdrucker 22 verfügt über einen Quittungsschlitz, durch welchen zum Abschluss der Transaktion eine Quittung über die Transaktion an den Kunden 24 ausgegeben wird.
Wenn der Kunde 24 die Benutzeridentifikationskarte 26 in den Kartenschlitz des Kartenlesers 14 einführt, liest der Kartenleser die auf der Karte enthaltenen Daten. Der Kunde 24 wird daraufhin auf dem CRT-Bildschirm 20 zur Eingabe einer persönlichen Identifikationsnummer (PIN) über das Tastenfeld 16 aufgefordert. Nachdem die korrekte PIN eingegeben worden ist, werden auf dem Bildschirm 20 Menüs angezeigt, um es dem Kunden 24 zu ermöglichen, die gewünschte Transaktion durchführen. Nach Abschluss der Transaktion druckt der Quittungsdrucker 22 eine Quittung über die Transaktion und gibt die Quittung durch den Schlitz des Quittungsdruckers 22 an den Kunden 24 aus.
Unter Bezugnahme auf die 1 und 2 umfasst der ATM 10 außerdem eine Steuereinheit 30, die mit Komponenten der Frontplatte 12 kommuniziert. Die Steuereinheit 30 weist eine Prozessoreinheit 32, eine Speichereinheit 34, die über eine Busleitung 36 an den Prozessor 32 angeschlossen ist, und eine Registereinheit 38, die über eine Busleitung 40 an den Prozessor 32 angeschlossen ist, auf. Bei der Registereinheit 38 handelt es sich um ein Permanentspeichermedium, wie z.B. eine Festplatte oder ein nichtflüchtiges RAM. Obwohl die Speichereinheit 34 und die Registereinheit 38 in 2 als getrennte Einheiten gezeigt sind, wird in Betracht gezogen, dass diese Einheiten als eine einzige Speichereinheit vertreten sein können. Der Prozessor 32 empfängt auf den Leitungen 42, 44 Eingabesignale von dem Kartenleser 14 bzw. dem Tastenfeld 16 und stellt auf den Leitungen 46, 48, 50 Ausgabesignale jeweils für den Bargeldausgeber 18, den Bildschirm 20 bzw. den Quittungsdrucker 22 zur Verfügung, um jeweils die von dem Bargeldausgeber 18 ausgegebene Bargeldmenge, die auf dem Bildschirm 20 angezeigten Informationen bzw. die von dem Quittungsdrucker 22 gedruckten Informationen zu steuern.
In der Speichereinheit 34 sind eine Reihe von Anwendungsprogrammen abgespeichert. Die spezifischen, in der Speichereinheit 34 abgespeicherten Anwendungsprogramme hängen von den Merkmalen und Fähigkeiten des speziellen ATM 10 ab. Mindestens einige der Anwendungsprogramme steuern, wenn sie ausgeführt werden, wertvolle Systemressourcen, wie z.B. den Bargeldausgeber 18. Es sollte augenfällig sein, dass die in einem operatorlosen System wie dem ATM 10 installierten Anwendungsprogramme abgesichert werden müssen, und zwar insbesondere diejenigen Anwendungsprogramme, die den Betrieb von wertvollen Systemressourcen steuern. Die in dem ATM 10 installierten Anwendungsprogramme werden auf eine Weise gemäß der vorliegenden Erfindung abgesichert, wie es im Nachfolgenden im Einzelnen erläutert ist.
Es wird auf 3 Bezug genommen, wo ein Flussdiagramm eine Systemfunktion darstellt, die ausgeführt wird, um ein Anwendungsprogramm in die Speichereinheit 34 zu installieren. Die in dem Flussdiagramm aus 3 dargestellte Systemfunktion wird normalerweise ausgeführt, wenn eine Person, beispielsweise ein Inbetriebnahmetechniker, erstmals Anwendungsprogramme in die Speichereinheit 34 der Steuereinheit 30 des ATM 10 installiert. Im ersten Schritt 100 aus 3 wird eine Festlegung getroffen, ob das operatorlose System (d.h. der ATM 10) gesperrt ist. Falls die Festlegung in Schritt 100 bestätigend ist, geht die Systemfunktion zu Schritt 102 über, um zu bestimmen, ob das Installationsprogramm zuvor bereits authentifiziert worden ist. Das Installationsprogramm kopiert Anwendungsprogramme von Distributionsmedien (wie z.B. Disketten) in lokale Permanentspeichermedien (wie z.B. Festplatten). Bei negativem Ergebnis der Entscheidung in Schritt 102 geht die Systemfunktion zu Schritt 104 über, um einen Fehler anzuzeigen. Wenn dieser Fall eintritt, kann das Installationsprogramm keine Anwendungsprogramme installieren, und die Systemfunktion springt zum Ablaufende. Bei positivem Ergebnis der Entscheidung in Schritt 102 geht die Systemfunktion zu Schritt 106 über. Die Systemfunktion geht ebenso zu Schritt 106 über, wenn das Ergebnis der Entscheidung in Schritt 100 negativ ist.
In Schritt 106 wird entschieden, ob das zu installierende Anwendungsprogramm eine zugehörige Signatur aufweist. Bei negativem Ergebnis der Entscheidung in Schritt 106 geht die Systemfunktion zu Schritt 108 über, um eine Signatur zu erzeugen, bevor zu Schritt 110 übergegangen wird. Bei positivem Ergebnis der Bestimmung in Schritt 106 geht die System funktion direkt zu Schritt 110 über. In Schritt 110 wird das zu installierende Anwendungsprogramm in der Speichereinheit 34 abgespeichert, und der Name und die Signatur des Anwendungsprogramms werden in der Registereinheit 38 abgespeichert. Nach Schritt 110 ist die Installation des Anwendungsprogramms abgeschlossen.
Es wird auf 4 Bezug genommen, wo ein Flussdiagramm eine Systemfunktion darstellt, die jedes Mal aufgerufen wird, wenn ein Anwendungsprogramm gestartet wird, das gerade, wie obenstehend unter Bezugnahme auf 3 beschrieben, installiert worden ist. Das Anwendungsprogramm wird üblicherweise ausgeführt, wenn ein Mitarbeiter des Finanzinstituts, dem der ATM 10 gehört, beispielsweise ein Administrator, den ATM 10 aktualisiert oder wartet. Im ersten Schritt 200 aus 4 werden der Name und die Signatur des Anwendungsprogramms ermittelt. Dann wird in Schritt 202 entschieden, ob das Anwendungsprogramm in einer Verweistabelle der Registereinheit 38 enthalten ist. Bei negativem Ergebnis der Entscheidung in Schritt 202 geht die Systemfunktion zu Schritt 218 über, um einen Fehler anzuzeigen, und endet daraufhin. Bei positivem Ergebnis der Entscheidung in Schritt 202 geht die Systemfunktion zu Schritt 204 über, um eine Signatur für das Anwendungsprogramm zu erzeugen.
Nachdem die Signatur in Schritt 204 erzeugt worden ist, geht die Systemfunktion zu Schritt 206 über, um zu entscheiden, ob die Signatur mit einer der in der Verweistabelle der Registereinheit 38 gespeicherten Signaturen übereinstimmt. Bei negativem Ergebnis der Entscheidung in Schritt 206 geht die Systemfunktion zu Schritt 218 über, um einen Fehler anzuzeigen, und endet daraufhin. Bei positivem Ergebnis der Entscheidung in Schritt 206 geht die Systemfunktion zu Schritt 208 über, um eine Liste von dynamisch verknüpfenden Bibliotheken mit Dateien, auf die von dem Anwendungsprogramm zugegriffen werden darf, zu ermitteln. Diese Liste in Form einer Verweistabelle wird von der Re gistereinheit 38 abgefragt. Daraufhin geht die Systemfunktion zu Schritt 210 über, um eine Signatur für eine der dynamisch verknüpfenden Bibliotheken zu erzeugen. In Schritt 212 wird daraufhin entschieden, ob die Signatur der dynamisch verknüpfenden Bibliothek aus Schritt 210 mit einer der Signaturen übereinstimmt, die in einer Verweistabelle der Registereinheit 38 enthalten sind. Bei negativem Ergebnis der Entscheidung in Schritt 212 geht die Systemfunktion zu Schritt 218 über, um einen Fehler anzuzeigen, und endet daraufhin. Bei positivem Ergebnis der Entscheidung in Schritt 212 geht die Systemfunktion zu Schritt 214 über.
In Schritt 214 wird entschieden, ob dem speziellen Anwendungsprogramm eine weitere dynamisch verknüpfende Bibliothek zugeordnet ist. Bei negativem Ergebnis der Entscheidung in Schritt 214 kehrt die Systemfunktion zu Schritt 210 zurück und wiederholt die Schritte 210 und 212, bis alle dem speziellen Anwendungsprogramm zugeordneten dynamisch verknüpfenden Bibliotheken behandelt worden sind. Die Entscheidung in Schritt 214 liefert ein negatives Ergebnis, wenn alle dem speziellen Anwendungsprogramm zugeordneten dynamisch verknüpfenden Bibliotheken behandelt worden sind. Daraufhin geht die Systemfunktion zu Schritt 216 über, um den Namen und die Signatur des speziellen Anwendungsprogramms zu der Verweistabelle der Registereinheit 38 hinzuzufügen. Wenn dieser Fall eintritt, wird das Anwendungsprogramm als im ATM 10 registriert bzw. validiert bezeichnet.
Es wird auf 5 Bezug genommen, wo ein Flussdiagramm eine Systemfunktion darstellt, die ausgeführt wird, um ein Anwendungsprogramm zu authentifizieren, bevor das Anwendungsprogramm eine wertvolle Systemressource, wie z.B. den Bargeldausgeber 18, steuern kann, und somit, um den Zugriff auf in dem Bargeldausgeber 18 gespeichertes Bargeld durch den Kunden 24 zu steuern. Die in dem Flussdiagramm aus 5 dargestellte Systemfunktion wird normalerweise aus geführt, wenn der Kunde 24 eine Transaktion durchführt, was im Laufe der Abarbeitung des speziellen Anwendungsprogramms in dem ATM 10 auftritt. Im ersten Schritt 300 aus 5 wird entschieden, ob der ATM 10 gesperrt ist. Bei negativem Ergebnis der Entscheidung in Schritt 300 geht die Systemfunktion zu Schritt 308 über, um dem Anwendungsprogramm den Zugriff auf geschützte wertvolle Systemressourcen zu ermöglichen, und um dadurch dem Kunden 24 den Zugriff auf wertvolle Systemressourcen, wie den Bargeldausgeber 18, zu ermöglichen. Bei positivem Ergebnis der Entscheidung in Schritt 300 geht die Systemfunktion zu Schritt 302 über, um den Namen und die Signatur des Anwendungsprogramms, das den Zugriff auf beispielsweise den Bargeldausgeber 18 benötigt, zu ermitteln. Die Systemfunktion geht daraufhin zu Schritt 304 über.
Dann wird in Schritt 304 entschieden, ob der Name und die Signatur des Anwendungsprogramms in einer Verweistabelle der Registereinheit 38 abgespeichert sind. Diese Verweistabelle enthält eine Liste aller Anwendungsprogramme, die gemäß dem obenstehend unter Bezugnahme auf das Flussdiagramm in 4 beschriebenen Vorgang registriert oder validiert worden sind. Bei negativem Ergebnis der Entscheidung geht die Systemfunktion zu Schritt 306 über, um einen Fehler anzuzeigen, und endet daraufhin. Wenn dieser Fall eintritt, können das Anwendungsprogramm und der Kunde 24 keinen Zugriff auf die von dem speziellen Anwendungsprogramm gesteuerte wertvolle Systemressource (d.h., in diesem Beispiel, auf den Bargeldausgeber 18) erlangen. Folglich kann der Kunde 24 nicht auf das in dem Bargeldausgeber 18 gespeicherte Bargeld zugreifen. Bei positivem Ergebnis der Entscheidung in Schritt 304 dagegen geht die Systemfunktion zu Schritt 308 über. Wenn dieser Fall eintritt, wird das Anwendungsprogramm authentifiziert, und das Anwendungsprogramm ist in der Lage, den Bargeldausgeber 18 zu steuern, um dadurch dem Kunden 24 den Zugriff auf das in dem Bargeldausgeber 18 gespeicherte Bargeld zu ermöglichen.
Dadurch, dass ein in einem operatorlosen System installiertes Anwendungsprogramm wie oben beschrieben authentifiziert wird, ergeben sich eine Vielzahl von Vorteilen. Ein Vorteil besteht darin, dass ein Mechanismus geschaffen wird, der verhindert, dass an dem operatorlosen System betrügerische Aktionen vorgenommen werden, insbesondere betrügerische Transaktionen, die den Zugriff auf wertvolle Systemressourcen, wie den Bargeldausgeber 18 des oben beschriebenen ATM 10, beinhalten. Ein Anwender des ATM 10 ist nicht in der Lage, Zugriff auf den Bargeldausgeber 18 zu erlangen, solange das Anwendungsprogramm, das den Betrieb des Bargeldausgebers 18 steuert, nicht authentifiziert worden ist. Ein weiterer Vorteil besteht darin, dass ein Anwendungsprogramm nicht authentifiziert werden kann, wenn das Anwendungsprogramm nach seiner Erstinstallation in das operatorlose System verändert worden ist. Ein verändertes Anwendungsprogramm kann nicht authentifiziert werden, weil der Name und die Signatur eines veränderten Anwendungsprogramms nicht in der Verweistabelle der Registereinheit 38, die wie obenstehend beschrieben die Liste registrierter bzw. validierter Anwendungsprogramme enthält, gefunden werden kann.
Ausgehend von der obenstehenden Beschreibung der Erfindung werden dem Fachmann auf dem Gebiet der vorliegenden Erfindung Verbesserungen, Änderungen und Abwandlungen in den Sinn kommen. Zahlreiche Änderungen und Ersetzungen können vorgenommen werden, ohne vom Umfang der Erfindung abzuweichen. Solche Verbesserungen, Änderungen und Abwandlungen im Rahmen der Fähigkeiten des Fachmanns auf dem Gebiet der vorliegenden Erfindung sind als von den beigefügten Ansprüchen abgedeckt zu betrachten.

Claims

Verfahren zum Authentifizieren eines ausführbaren Anwendungsprogramms, welches in einer Steuereinheit (30) eines operatorlosen Bankautomaten installiert ist, als Antwort auf jede Transaktionsanfrage eines Benutzers des operatorlosen Bankautomaten, die das Ausführen des Anwendungsprogramms erfordert, umfassend die Schritte: (a) Annehmen der Transaktionsanfrage von dem Benutzer des Bankautomaten; (b) Ermitteln einer dem Anwendungsprogramm zugeordneten Signatur; (c) Vergleichen der Signatur aus Schritt (b) mit einer Anzahl von Signaturen, die in einer Verweistabelle innerhalb der Steuereinheit (30) gespeichert sind, um zu entscheiden, ob die Signatur aus Schritt (b) mit einer der Signaturen, die in der Verweistabelle (304) gespeichert sind, übereinstimmt; und (d) Authentifizieren des Anwendungsprogramms nur in dem Fall, wenn in Schritt (c) eine Übereinstimmung auftritt.
Verfahren nach Anspruch 1, wobei der Schritt (b) den Schritt umfasst: (b-1) Auslesen der dem Anwendungsprogramm zugeordneten Signatur.
Verfahren nach Anspruch 2, welches außerdem die Schritte aufweist: (e) Ermitteln einer weiteren dem Anwendungsprogramm zugeordneten Signatur; (f) Vergleichen der Signatur aus Schritt (e) mit einer Anzahl von Signaturen, die in der Verweistabelle gespeichert sind, um zu entscheiden, ob die Signatur aus Schritt (e) mit einer der Sig naturen, die in der Verweistabelle gespeichert sind, übereinstimmt; und (g) Authentifizieren des Anwendungsprogramms nur in dem Fall, wenn in Schritt (f) eine Übereinstimmung auftritt.
Bankautomatensystem, umfassend: eine Steuereinheit (30), die eine Speichereinheit (34) zum Speichern eines ausführbaren Anwendungsprogramms; einen Prozessor (32) zum Ausführen des Anwendungsprogramms, das in der Speichereinheit (34) gespeichert ist; und eine Registereinheit (38) zum Speichern mehrerer Signaturen aufweist, die mehreren Anwendungsprogrammen zugeordnet sind; und eine Benutzerschnittstelle (12) zum Annehmen einer Transaktionsanfrage von einem Benutzer des Systems, die bedingt, dass das Programm, das in der Speichereinheit (34) abgespeichert ist, von dem Prozessor (32) ausgeführt wird; und wobei der Prozessor (32) aufweist: (i) Mittel zum Ermitteln einer Signatur, die dem Anwendungsprogramm, das in der Speichereinheit (34) gespeichert ist, zugeordnet ist; (ii) Mittel zum Vergleichen der Signatur, die dem Anwendungsprogramm zugeordnet ist, mit den Signaturen, die in der Registereinheit (38) abgespeichert sind, und (iii) Mittel zum Authentifizieren des Anwendungsprogramms nur in dem Fall, wenn die Signatur, die dem Anwendungsprogramm zugeordnet ist, mit mindestens einer der Signaturen, die in der Registereinheit (38) abgespeichert sind, übereinstimmt.
System gemäß Anspruch 4, wobei die Speichereinheit (34) und die Registereinheit (38) getrennte Speichermedien innerhalb der Steuereinheit (30) umfassen.
System nach Anspruch 4, wobei die Benutzerschnittstelle eine Frontplatte (12) des Bankautomaten (ATM) (10) umfasst.
System nach Anspruch 4, wobei die Frontplatte (12) des ATM (10) aufweist: (i) einen Kartenleser mit einem Kartenschlitz, durch welchen eine Benutzeridentifikationskarte (26) des ATM-Benutzers (24) entgegengenommen werden kann, und (ii) ein Tastenfeld (16) zur Eingabe von Daten, nachdem die Benutzeridentifikationskarte (26) in den Kartenschlitz eingeschoben, vom Kartenleser (14) gelesen und von der Prozessoreinheit (32) überprüft worden ist.