DE69827405T2

DE69827405T2 - System und verfahren für eine mehrzweckchipkarte die eine nachträgliche speicherung einer anwendung auf dieser karte ermöglicht

Info

Publication number: DE69827405T2
Application number: DE69827405T
Authority: DE
Inventors: Alfred Chan; B. Marc KEKICHEFF; M. Joel WEISE; C. David WENTKER
Original assignee: Visa International Service Association
Current assignee: Globalplatform Inc (ndgesd Staates Delaware)
Priority date: 1997-03-24
Filing date: 1998-03-24
Publication date: 2005-05-19
Anticipated expiration: 2018-03-25
Also published as: WO1998043212A1; AU746459B2; EP1021801A1; US6005942A; ATE281680T1; CA2288824A1; US6233683B1; AU6578698A; EP1021801B1; DE69827405D1

Description

GEBIET DER ERFINDUNG
Diese Erfindung bezieht sich auf Chipkarten. Insbesondere bezieht sich diese Erfindung auf ein System und ein Verfahren zum Bereitstellen einer Mehrzweckchipkarte, die eine nachträgliche Speicherung einer Anwendung auf dieser Karte ermöglicht.
HINTERGRUND DER ERFINDUNG
Eine Chipkarte ist typischerweise eine Plastikkarte in Kreditkartengröße, die einen Halbleiterchip enthält, der viele Anwendungen unterstützende Daten halten kann.
Technisch gleicht eine Chipkarte oder Smartkarte, im Folgenden lediglich als Chipkarte bezeichnet, einer herkömmlichen „Kreditkarte", bei der eine oder mehrere Halbleitervorrichtungen an einem in die Karte eingebetteten Modul befestigt sind, das Kontakte nach außen bereitstellt. Die Karte kann mit einem Kassenautomaten, einem Geldautomaten oder einem in ein Telefon integrierten Kartenleser, einem Computer, einem Warenautomaten oder beliebigen anderen Vorrichtungen verbunden werden.
Eine Mikrocontroller-Halbleitervorrichtung, die in eine „Prozessor"-Chipkarte eingebettet ist, erlaubt der Karte die Ausführung einer Anzahl von Rechenschritten, geschützter Speicherung, Verschlüsselung und Entscheidungen. Solch ein Mikrocontroller umfasst normalerweise einen Mikroprozessor, Speicher und andere funktionelle Hardware-Elemente. Verschiedene Arten von Karten sind in „The Advanced Card Report: Smart Card Primer", Kenneth R. Ayer und Joseph F. Schuler, The Schuler Con sultancy, 1993, beschrieben.
Die 1 zeigt ein Beispiel einer als eine Prozessorkarte aufgebauten Chipkarte. Natürlich kann eine Chipkarte vielfältig aufgebaut sein. Die Chipkarte kann mit verschiedenen Arten von Funktionalitäten programmiert sein, die Anwendungen umfassen, wie zum Beispiel gespeicherter Wert; Kredit/Kontobelastung; Loyalitätsprogramme, etc.
In einigen Ausführungsformen weist eine Chipkarte 5 einen eingebauten Mikrocontroller 10 auf, der einen Mikroprozessor 12, einen Speicher mit wahlfreiem Zugriff (RAM) 14, einen Festwertspeicher (ROM) 16, einen nichtflüchtigen Speicher 18, ein Verschlüsselungsmodul 22 und eine Kartenleser-Schnittstelle 24 umfasst. Andere Merkmale des Mikrocontrollers können vorhanden sein, sind aber nicht gezeigt, wie zum Beispiel eine Uhr, ein Zufallszahlengenerator, eine Interrupt-Steuerung, eine Steuerlogik, eine Ladungspumpe, Leistungszuführungsanschlüsse und Schnittstellenanschlüsse, die eine Kommunikation der Karte mit der Außenwelt erlauben.
Der Mikroprozessor 12 ist eine beliebige geeignete zentrale Verarbeitungseinheit (CPU) zur Ausführung von Befehlen und zur Steuerung der Vorrichtung. Das RAM 14 dient als Speicher für berechnete Ergebnisse und als Stapelspeicher. Das ROM 16 speichert das Betriebssystem, feste Daten, Standardroutinen und Nachschlagetabellen. Der nichtflüchtige Speicher 18 (wie zum Beispiel ein EPROM oder EEPROM) dient zur Speicherung von Information, die nicht verloren gehen soll, wenn die Karte von einer Energiequelle getrennt wird, die aber auch änderbar sein müssen, um für individuelle Karten spezifische Daten oder beliebige über die Betriebsdauer der Karten mögliche Änderungen aufzunehmen. Diese Information kann eine Kartenidentifikationsnummer, eine persönliche Identifikationsnummer, Autorisierungslevel, Kontostände, Kreditgrenzen, etc. umfassen. Das Verschlüsselungsmodul 22 ist ein optionales Hardware-Modul, das zur Ausführung einer Vielzahl von Verschlüsselungsalgorithmen verwendet wird. Die Kartenleser-Schnittstelle 24 umfasst die zur Kommunikation mit der Außenwelt nötige Software und Hardware. Es ist eine große Vielzahl von Schnittstellen möglich. Beispielhaft kann die Schnittstelle 24 eine Kontakt-Schnittstelle, eine nahe gekoppelte Schnittstelle, eine entfernt gekoppelte Schnittstelle oder eine Vielzahl anderer Schnittstellen bereitstellen. Mit einer Kontaktschnittstelle werden Signale von dem Mikrocontroller an eine Anzahl von Metallkontakten auf der Außenseite der Karte geleitet, die in körperlichen Kontakt mit ähnlichen Kontakten einer Kartenleservorrichtung kommen.
Verschiedene mechanische und elektrische Kennwerte einer Chipkarte 5 und Gesichtspunkte ihrer Interaktion mit einer Kartenleservorrichtung werden durch die folgenden Spezifikationen definiert.
Visa Integrated Circuit Card Specification, (Visa International Service Association 1996).
EMV Integrated Circuit Card Specification for Payment Systems, (Visa International Service Association 1996).
EMV Integrated Circuit Card Terminal Specification for Payment Systems, (Visa International Service Association 1996).
EMV Integrated Circuit Card Application Specification for Payment Systems, (Visa International Service Association 1996).
International Standard: Identification Cards – Integrated Circuits) Cards with Contacts, Parts 1–6 (International Standards Organization 1987–1995).
Vor der Ausgabe einer Chipkarte an einen Kartenbenutzer wird die Chipkarte so initialisiert, dass einige Daten in der Karte gespeichert werden. Zum Beispiel kann die Chipkarte während der Initialisierung mit wenigstens einer Anwendung geladen werden, wie zum Beispiel einem Kreditwert oder einem Wert von vorhandenen Barmitteln, eine mit Ausgangswerten initialisierte Dateistruktur und einige anfängliche Verschlüsselungsschlüssel für die Transportsicherheit. Ist eine Karte einmal initialisiert, so wird sie normalerweise personalisiert. Während der Personalisierung wird die Chipkarte mit Daten geladen, welche die Karte eindeutig identifizieren. Zum Beispiel können die Personalisierungsdaten einen Maximalwert der Karte, eine persönliche Identifikationsnummer (PIN), die Währung, in der die Karte gültig ist, das Gültigkeitsdatum der Karte und Verschlüsselungsschlüssel für die Karte umfassen.
Es ist eine Einschränkung herkömmlicher Chipkarten, dass neue Anwendungen normalerweise nicht zu einer ausgegebenen Chipkarte hinzugefügt werden können. Chipkarten werden herkömmlicherweise mit einer oder mehreren vordefinierten Anwendungen ausgegeben, die während des Herstellungsprozesses der Karte installiert wurden. Im Ergebnis wird die Chipkarte bei dem herkömmlichen Chipkarten-Aufbau nach der Ausgabe an einen Kartenbenutzer zu einer Karte mit festen Anwendungen. Wird eine neue Anwendung gewünscht, so wird die Chipkarte normalerweise weggeworfen und eine neue Chipkarte, die die neue Anwendung umfasst, wird ausgegeben.
Es ist erwünscht, eine Chipkarte anzugeben, welche das Laden von Anwendungen erlaubt, nachdem die Karte ausgegeben wurde. Weiter ist es erwünscht, einen Mechanismus anzugeben, um das Laden einer Anwendung wie auch die allgemeine Verwaltung der Anwendungen auf der Chipkarte auszuführen. Zusätzlich ist es erwünscht, es einem Anwendungsanbieter zu erlauben, Verschlüsselungsschlüssel vor dem Ausgeber der Chipkarte geheim zu hal ten und es sicher zu erlauben, dass Anwendungen unterschiedlicher Einheiten gemeinsam auf einer Karte existieren können.
Die DE-A-196 07 363 offenbart eine Mehrzweckchipkarte. Nachdem die Karte ausgegeben wurde, werden die auf der Karte vorhandenen Daten entsprechend einer Karten-Einrichtungsroutine aktualisiert, um die Daten auf der Chipkarte zu modifizieren, wie zum Beispiel ein Gültigkeitsdatum. Dies erlaubt eine Aktualisierung der Chipkarte, aber nicht das Laden von Anwendungen auf die Karte. Die US-A-5 530 232 offenbart eine ähnliche Anordnung.
ZUSAMMENFASSUNG DER ERFINDUNG
Ausführungsformen dieser Erfindung lehren ein System und ein Verfahren, wodurch Kartenausgeber während der Betriebsdauer der Karte Anwendungen hinzufügen können, nachdem die Karte ausgegeben wurde (im Folgenden als nachträgliche Speicherung oder nachträgliches Laden bezeichnet). Das Speichern oder Laden einer Anwendung, nachdem die Karte an den Kartenbesitzer ausgegeben wurde, wird hier als ein „sicherer Installationsvorgang" bezeichnet.
Das System und Verfahren nach den Ausführungsformen dieser Erfindung erlauben die nachträgliche Speicherung einer Anwendung und/oder von Objekten eines Anwendungs-Servers über eine Kartenaufnahmevorrichtung und deren unterstützendem Systeminfrastruktur-Zuführmechanismus in einer sicheren und vertraulichen Weise auf eine Karte.
Eine Ausführungsform dieser Erfindung stellt ein System und ein Verfahren zur Steuerung von wenigstens einer mit einer ausgegebenen Chipkarte im Zusammenhang stehenden Funktion bereit. In einer Mehrzweckchipkarte verwaltet eine bevorrechtigte Anwendung, hier als eine Kartendomäne bezeichnet, viele sich auf die Chipkarte beziehende Funktionen. Beispiele dieser Funktionen umfassen die Karteninitialisierung, globale Kartendaten, den Betriebszyklus der Karte und die sichere Installation von Chipkartenanwendungen.
Ein Verfahren nach einer Ausführungsform dieser Erfindung zum Bereitstellen einer ersten Anwendung auf einer ausgegebenen Chipkarte umfasst die Schritte des Übermittelns der ersten Anwendung auf die ausgegebene Chipkarte; und des Ladens der ersten Anwendung auf die ausgegebene Chipkarte, wobei das Laden der ersten Anwendung von einer zweiten Anwendung verwaltet wird.
Gemäß eines anderen Aspekts der Erfindung ist ein System entsprechend einer Ausführungsform dieser Erfindung zur Steuerung von wenigstens einer mit einer ausgegebenen Chipkarte im Zusammenhang stehenden Funktion offenbart. Das System umfasst eine erste Anwendung, die mit der ausgegebenen Chipkarte im Zusammenhang steht; und eine zweite Anwendung, die mit der ausgegebenen Chipkarte im Zusammenhang steht, wobei die zweite Anwendung mit der ersten Anwendung kommuniziert und wenigstens eine mit der ersten Anwendung im Zusammenhang stehende Funktion verwaltet.
Weiter stellt eine Ausführungsform dieser Erfindung ein System und ein Verfahren zum Liefern vertraulicher Information an eine Anwendung auf einer Chipkarte bereit. In einer Mehrzweckchipkarte wird eine privilegierte Anwendung, hier als Sicherheitsdomäne bezeichnet, als ein vertraulicher Stellvertreter eines Anwendungsanbieters verwendet. Diese Sicherheitsdomäne kann Verschlüsselungsschlüssel umfassen, welche vor dem Chipkartenausgeber geheimgehalten werden können, wodurch eine Trennung der Verschlüsselungssicherheit zwischen dem Ausgeber und dem Anwendungsanbieter erlaubt wird. Wird eine neue Anwendung auf eine Chipkarte gespeichert (geladen), so kann die neu gespeicherte Anwendung den Verschlüsselungsservice der dazugehörigen Sicherheitsdomäne verwenden. Eine den Herausgeber repräsentierende privilegierte Anwendung, hier als eine Kartendomäne bezeichnet, kann Befehle bestätigen, wie zum Beispiel Befehle für die Initialisierung und Personalisierung, indem der Verschlüsselungsservice der Sicherheitsdomäne aufgerufen wird. Auf diese Weise kann eine nachträgliche Speicherung einer Anwendung auf die ausgegebene Chipkarte ausgeführt werden.
Ein Verfahren nach einer Ausführungsform dieser Erfindung zum Liefern vertraulicher Information an eine Anwendung in einer Chipkarte wird angegeben. Das Verfahren umfasst die Schritte des Bereitstellens einer ersten Anwendung in der Chipkarte, wobei die erste Anwendung einen Verschlüsselungsservice umfasst; des Speicherns einer zweiten Anwendung auf die Chipkarte; und des Installierens der zweiten Anwendung, wobei der Verschlüsselungsservice der ersten Anwendung verwendet wird, um die zweite Anwendung zu installieren.
Gemäß eines anderen Gesichtspunkts der Erfindung ist ein System entsprechend einer Ausführungsform dieser Erfindung zum Liefern vertraulicher Information an eine Anwendung in einer Chipkarte angegeben. Das System umfasst eine erste Anwendung, die im Zusammenhang mit der ausgegebenen Chipkarte steht, wobei die erste Anwendung einen Verschlüsselungsservice umfasst; und eine zweite Anwendung, die im Zusammenhang mit der ausgegebenen Chipkarte steht, wobei die zweite Anwendung mit der ersten Anwendung kommuniziert und der in der ersten Anwendung enthaltene Verschlüsselungsservice für wenigstens eine im Zusammenhang mit der zweiten Anwendung stehende Funktion verwendet wird.
Gemäß noch eines anderen Gesichtspunkts der Erfindung ist ein Verfahren nach einer Ausführungsform dieser Erfindung zum Ausstatten einer Chipkarte mit einer Anwendung angegeben. Das Verfahren umfasst die Schritte des Ausgebens einer Chipkarte; des Ladens einer ersten Anwendung auf die ausgegebene Chipkarte; und des Initialisierens der ersten Anwendung.
KURZBESCHREIBUNG DER ZEICHNUNGEN
1 zeigt ein Blockschaltbild eines Chipkartensystems, das für die Implementierung dieser Erfindung geeignet ist.
2 zeigt ein Beispiel eines Blockschaltbilds von Softwareschichten, die in einer Chipkarte verwendet werden können.
3A–3B zeigen Blockschaltbilder von Beispielen von Softwareschichten entsprechend von Ausführungsformen dieser Erfindung.
4 zeigt ein Flussdiagramm eines Beispiels eines Verfahrens nach einer Ausführungsform dieser Erfindung zur Installation einer Anwendung auf einer ausgegebenen Chipkarte unter Verwendung einer Kartendomäne.
5 zeigt ein Flussdiagramm eines Verfahrens nach einer Ausführungsform dieser Erfindung zum Liefern vertraulicher Information an eine Anwendung in einer Chipkarte unter Verwendung von Sicherheitsdomänen.
6 zeigt ein Flussdiagramm eines Beispiels eines Verfahrens nach einer Ausführungsform dieser Erfindung zur Installation einer Anwendung auf einer ausgegebenen Chipkarte unter Verwendung einer Kartendomäne.
7A zeigt ein Flussdiagramm einer Abfolge von Betriebsdauerzuständen einer Karte.
7B zeigt ein Flussdiagramm einer Abfolge von Betriebsdau erzuständen einer Karte.
8 zeigt eine Darstellung eines Beispiels eines Betriebsdauerzyklus einer Karte.
9 zeigt ein Flussdiagramm eines Beispiels eines Verfahrens nach einer Ausführungsform dieser Erfindung zur Sperrung einer Karte unter Verwendung einer Kartendomäne.
10 zeigt ein Blockschaltbild, das Interaktionen zwischen einer Kartendomäne und einer Sicherheitsdomäne auf einer Chipkarte nach einer Ausführungsform dieser Erfindung darstellt.
11A und 11B zeigen Flussdiagramme eines Beispiels eines Verfahrens nach einer Ausführungsform dieser Erfindung zum Laden einer Anwendung unter Verwendung einer Sicherheitsdomäne, nachdem die Chipkarte ausgegeben wurde.
12A–12B zeigen Flussdiagramme eines Beispiels eines Verfahrens nach einer alternativen Ausführungsform dieser Erfindung zum Speichern einer Anwendung unter Verwendung einer Sicherheitsdomäne, nachdem die Chipkarte ausgegeben wurde.
13 zeigt ein Blockschaltbild, das ein Beispiel einer Schlüsselverwaltung und von Schlüsselabhängigkeiten für die nachträgliche Speicherung von Anwendungen auf der Chipkarte darstellt.
DETAILLIERTE BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORMEN
Die folgende Beschreibung wird gegeben, um es einem Fachmann auf dem Gebiet zu ermöglichen, die Erfindung auszuführen und zu verwenden, und ist im Zusammenhang mit einer Patentanmeldung und ihren Erfordernissen gegeben. Den Fachleuten auf dem Gebiet sind verschiedene Modifikationen der bevorzugten Aus führungsformen ersichtlich und die hier angegebenen allgemeinen Prinzipien können mit anderen Ausführungsformen verwendet werden. Das heißt, es ist nicht gedacht, dass diese Erfindung auf die gezeigten Ausführungsformen begrenzt ist, sondern dass sie auf den mit den hier beschriebenen Prinzipien und Merkmalen konsistenten breitesten Umfang festgelegt ist.
2 zeigt ein Blockschaltbild eines Beispiels von Softwareschichten, die in einer Chipkarte verwendet werden können. Die in 2 gezeigte Chipkarte umfasst ein Betriebssystem 200, eine Anwendungs-Programmierschnittstelle (API) 204 der Karte und Anwendungen 206A–206B. Das Betriebssystem 200 kann Funktionalität umfassen, um die Karten, die Speicherverwaltung, die Eingabe/Ausgabe (I/O) und Verschlüsselungsmerkmale zu steuern. Die Karten-API 204 verwendet die Befehle des Betriebssystems 200 und schreibt diese Befehle in Blöcke, die für gemeinsame Routinen in vielen Anwendungen wiederverwendet werden können. Die Anwendungen 206A und 206B können über Befehle von der API 204 auf der Chipkarte ausgeführt werden. Diese Anwendungen können jede Anwendung umfassen, die auf einer Chipkarte ausgeführt werden kann, wie zum Beispiel ein gespeicherter Wert, Kredit, Abbuchung, Durchlauf und Loyalität.
Eine Ausführungsform dieser Erfindung basiert auf dem Java-Kartenstandard. In diesem Fall werden Anwendungen als ,Applets' bezeichnet und sind geschrieben, sich mit einer Java-Karten-API zu verbinden, welche die auf entsprechend des Java-Kartenstandards aufgebauten Chipkarten vorhandene Anwendungs-Programmierschnittstelle ist.
Obwohl das in 2 gezeigte herkömmliche Softwaresystem viele Anwendungen erlaubt, löst es nicht das Problem, wie eine Anwendung nach der Ausgabe der Chipkarte an einen Benutzer sicher gespeichert werden kann. Soll eine Anwendung nach dem Ausgeben, d. h. nachträglich, gespeichert werden, so wird ein Mechanismus benötigt, um das Speichern einer Anwendung zu verwalten, wie auch für die allgemeine Verwaltung der Anwendungen auf der Chipkarte. Zusätzlich kann ein Anwendungsanbieter wünschen, die Verschlüsselungsschlüssel vor dem Herausgeber der Chipkarte geheimzuhalten. Demzufolge ist ein Mechanismus erforderlich, um die Trennung von vertraulicher Information zwischen einem Anwendungsanbieter und einem Herausgeber einer Chipkarte auszuführen. Ausführungsformen dieser Erfindung behandeln solch ein Bedürfnis.
3A–3B zeigen Blockschaltbilder der Softwarekomponenten einer Chipkarte entsprechend von Ausführungsformen dieser Erfindung. Die Pfeile zeigen Abhängigkeiten zwischen den Komponenten an. 3A zeigt eine Ausführungsform einer Chipkarte, die eine Kartendomäne verwendet, wohingegen 3B eine Ausführungsform einer Chipkarte zeigt, die eine Sicherheitsdomäne und eine Kartendomäne verwendet.
Das in 3A gezeigte Beispiel umfasst ein Betriebssystem 300, eine Karten-API 304, Anwendungen 305A–305C, eine Kartendomäne 308 und eine Open Plattform (OP) API 306. Das in 3 gezeigte System erlaubt ein sicheres und verwaltetes nachträgliches Speichern einer Anwendung auf einer Chipkarte.
Die Open Plattform API 306 teilt Befehle in die Kartendomäne 308 und die Sicherheitsdomänen 310A–310B (in 3B gezeigt) ein. Demzufolge ermöglicht die OP-API 306 die Bildung von Befehlen in Sätze, welche als in einem Teil der Kartendomäne 308 und der Sicherheitsdomänen 310A–310B enthalten identifiziert werden können.
Die Anwendungen 305A–305C können eine beliebige Anwendung umfassen, die von einer Chipkarte unterstützt wird. Beispiele dieser Anwendungen umfassen Kredit, Abbuchung, gespeicherter Wert, Übertragung und Loyalität. Es ist gezeigt, dass die An wendungen 305A–305C Befehlsschnittstellen umfassen, wie zum Beispiel APDU-Schnittstellen 354A–354C, die die Kommunikation mit der externen Umgebung ermöglichen.
Die Anwendungen 305A–305C können über Befehle von der Karten-API 304 auf der Chipkarte ausgeführt werden. Die Karten-API 304 wird unter Verwendung der Befehle von dem Kartenbetriebssystem implementiert und schreibt diese Befehle in Blöcke, welche für gemeinsame Routinen von vielen Anwendungen wiederverwendet werden können. Die Fachleute auf dem Gebiet können erkennen, dass zwischen der API 304 und dem Betriebssystem 300 eine Übersetzungsschicht oder ein Interpreter angeordnet werden kann. Ein Interpreter interpretiert die diversen Hardwarechip-Befehle von dem ausgeberspezifischen Betriebssystem 300 in eine Form, welche von der Karten-API 304 verwendet werden kann.
Die Kartendomäne 308 kann eine „privilegierte" Anwendung sein, welche die Interessen des Chipkartenherausgebers wiedergibt. Als eine „privilegierte" Anwendung kann die Kartendomäne 308 konfiguriert sein, um verschiedene Funktionen auszuführen, um verschiedene Aspekte der Chipkarte zu verwalten. Zum Beispiel kann die Kartendomäne 308 Funktionen ausführen, wie zum Beispiel das Installieren einer Anwendung auf der Chipkarte, das Installieren von Sicherheitsdomänen 310A–310B (in 3B gezeigt), die Personalisierung und das Lesen von globalen Kartendaten, das Verwalten von Betriebsdauerzykluszuständen der Karte (einschließlich des Sperrens der Karte), das Ausführen der Revision einer gesperrten Karte, das Führen einer Zuweisung von Kartenanwendungen 305A–305C zu Sicherheitsdomänen 310A–310B und das Ausführen von Sicherheitsdomänenfunktionen für Anwendungen 305A–305C, welche nicht zu einer Sicherheitsdomäne 310 zugewiesen sind.
Es ist gezeigt, dass die Kartendomäne 308 eine API 350 und ei ne Befehlsschnittstelle umfasst, wie zum Beispiel eine Anwendungsprotokolldateneinheits-(Application Protocol Data Unit – APDU)Schnittstelle 352. Die APDU-Schnittstelle 352 ermöglicht die Verkoppelung mit der externen Umgebung entsprechend zum Beispiel dem International Standards Organisation (ISO) Standard 7816-4, mit dem Titel „Identification Cards – Integrated circuit(s) cards with contacts – Part 4, Inter-industry commands for interchange".
Zum Beispiel kann die APDU-Schnittstelle 352 während der nachträglichen Installation einer Anwendung oder während des Speicherns von globalen Kartendaten verwendet werden. Eine Option des Speicherns und Installierens einer Anwendung wird über einen Satz geeigneter APDU-Befehle ausgeführt, der von der Kartendomäne 308 empfangen wird. Die API 350 ermöglicht die Verkoppelung mit der internen Chipkartenumgebung. Zum Beispiel kann die API 350 verwendet werden, wenn die Kartendomäne 308 als Vorgabe anstelle einer Sicherheitsdomäne 310 verwendet wird, oder wenn eine Anwendung Information benötigt, wie zum Beispiel die globalen Kartendaten, Daten zum Ursprung von Schlüsseln oder Information in Bezug auf den Betriebsdauerzyklus der Karte.
Speicherzuweisungen wurden zu der Zeit ausgeführt, zu der eine Anwendung in einem Installationszustand ist. Eine Anwendung ist nach dem Speichern und Installieren ebenfalls personalisiert. Eine personalisierte Anwendung umfasst spezifische Daten bezüglich des Kartenhalters und andere benötigte Daten, welche die Ausführung der Anwendung ermöglichen. Zusätzlich zu der Verwaltung der Installation und Personalisierung der Anwendung kann die Kartendomäne 308 ebenfalls globale Karteninformation verwalten. Globale Karteninformation umfasst Information, die von mehreren Anwendungen benötigt werden kann, um ihre Funktionen auszuführen, wie zum Beispiel der Name des Kartenhalters und einzigartige Daten der Karte, die in Anwen dungen mit Verschlüsselungsschlusseln verwendet werden. Die Kartendomäne 308 kann ein Speicherort für die globale Karteninformation sein, um ein mehrfaches Speichern derselben Daten zu vermeiden.
Die Kartendomäne 308 kann auch die Betriebsdauerzustände der Karte verwalten, die eine Sperrung der Karte umfassen. Die Chipkarte durchläuft während ihrer Betriebsdauer üblicherweise einige Zustände. Die Kartendomäne 308 erfasst, in welchem Zustand die Karte während ihrer Betriebsdauer ist. Die Kartendomäne 308 kann ebenfalls eine Anfrage zur Sperrung verwalten, um im Wesentlichen alle Funktionen der Karte zu sperren. Weitere Details der Verwaltung einer Sperrungsanfrage durch die Kartendomäne 308 werden im Zusammenhang mit 6 erläutert. Die Kartendomäne 308 kann auch den Zustand einer Anwendung während der Betriebsdauer einer Anwendung erfassen. Diese Art der Information in Bezug auf eine Anwendung kann während einer Revision einer Karte verwendet werden. Die Revision kann zu jeder Zeit während der Betriebsdauer einer Karte durchgeführt werden. Zum Beispiel kann die Revision durchgeführt werden, nachdem eine Karte gesperrt wurde oder bevor eine neue Anwendung installiert wird, um die Karteninhalte zu validieren. Obwohl im Wesentlichen alle Kartenfunktionen nicht länger funktionieren, wenn eine Karte gesperrt ist, kann es einem Herausgeber möglich sein, eine Anfrage für Information im Bezug auf einen Zustand einer Anwendung oder dem Betriebsdauerzustand der Karte an die Kartendomäne 308 zu stellen. Auf diese Weise kann der Herausgeber einer Karte immer noch auf ein Profil der gesperrten Karte und ihrer Anwendungen zugreifen.
3B zeigt eine Ausführungsform dieser Erfindung, die eine Sicherheitsdomäne 310 und eine Kartendomäne 308' verwendet. Das in 3B gezeigte Beispiel umfasst ein Betriebssystem 300', eine Karten-API 304', Anwendungen 305A'–305C', Sicherheitsdomänen 310A–310B, eine Kartendomäne 308' und eine Open Plattform (OP) API 306'. Das in 3B gezeigte System erlaubt ebenfalls eine sichere und verwaltete nachträgliche Speicherung einer Anwendung auf einer Chipkarte.
Die Kartendomäne 308' kann zusammen mit einer Sicherheitsdomäne 310 arbeiten. Die Sicherheitsdomäne 310 ist ein logisches Konstrukt, das als eine Anwendung implementiert werden kann, um sicherheitsbezogene Funktionen für die Kartendomäne 308' und mit der Sicherheitsdomäne 310 im Zusammenhang stehende Anwendungen bereitzustellen. Die Sicherheitsdomänen 310A–310B können bei dem sicheren nachträglichen Speichern einer Anwendung auf die Chipkarte unterstützen. Die Sicherheitsdomänen 310A–310B stellen einen Mechanismus bereit, welcher die vertrauliche Information des Anwendungsanbieters, wie zum Beispiel Verschlüsselungsschlüssel gegenüber dem Herausgeber der Chipkarten geheimhält.
Auf einer Chipkarte können viele Sicherheitsdomänen 310 existieren, die jeweils durch eine einzigartige Verschlüsselungsbeziehung dargestellt sind. Eine Sicherheitsdomäne 310 ist für die Verwaltung und den Austausch von Verschlüsselungsschlüsseln und den dazugehörigen Verschlüsselungsverfahren verantwortlich, welche die Verschlüsselungsbeziehung der Sicherheitsdomäne ausmachen. Eine Anwendung, die nachträglich auf die Chipkarte gespeichert wird, kann mit einer Sicherheitsdomäne verbunden werden, vorzugsweise mit nur einer Sicherheitsdomäne. Jedoch können viele Anwendungen mit derselben Sicherheitsdomäne 310 verbunden sein. Während der Phase, in der die Chipkarte noch nicht ausgegeben ist, installierte Anwendungen können optional mit einer Sicherheitsdomäne 310 verbunden werden, um unter Verwendung der Schlüssel der Sicherheitsdomäne 310 vertrauliche Personalisierungsdaten an diese Anwendungen zu laden.
Die Software der Sicherheitsdomäne 310 kann von dem Kartenher steller bei der Herstellung der Karte (zum Beispiel, wenn das ROM maskiert wird) installiert werden oder während der Stufen der Initialisierung oder Personalisierung hinzugefügt werden. Sicherheitsdomänen 310 können als auswählbare Anwendungen implementiert werden, welche voneinander und dem Rest des Systems isoliert sind. Ist eine Sicherheitsdomäne 310 als eine Anwendung in einer Java-Karte implementiert, so kann der normalen Sicherheit der Java-Karte vertraut werden, um die Isolierung der Sicherheitsdomäne 310 zu sichern. Zusätzlich oder alternativ können andere Sicherheitsmechanismen, wie zum Beispiel die Hardware-Sicherung, durch die Implementierung der OP-API 306 verwendet werden. Die OP-API 306 kann bestimmte Sicherheitsmerkmale verwenden, um die Isolierung der Sicherheitsdomäne 310 zu bewirken. Ein Beispiel solch eines Sicherheitsmerkmals ist die Verwendung von Chip-Hardware-Sicherheitsroutinen, die von der OP-API 306 verwendet werden können.
Jede Sicherheitsdomäne 310A–310B stellt eine Befehlsschnittstelle, wie zum Beispiel eine Anwendungsprotokoll-Dateneinheits-(APDU-)Schnittstelle 320A–320B, für die Kommunikation von der Karte herunter, und APIs 322A–322B für die Kommunikation auf der Karte bereit.
Die APDU-Schnittstelle 320A oder 320B besteht aus Personalisierungsbefehlen und ist gedacht, die ursprüngliche Speicherung von Sicherheitsdomänenschlüsseln zu erlauben und während der Betriebszeit der Sicherheitsdomäne einen Schlüsseltausch zu unterstützen, wenn dies gewünscht wird. Die APIs 322A–322B können ein Signatur-Verifikationsverfahren und ein Entschlüsselungsverfahren umfassen, welche mit der Kartendomäne 308' für das nachträgliche Speichern von Anwendungen gemeinsam verwendet werden. Zusätzlich können Anwendungen die API-Schnittstellen 322A–322B zur Entschlüsselung von vertraulichen Anwendungsdaten verwenden. Es ist festzustellen, dass die Kartendomäne 308' immer als eine Sicherheitsdomäne funktionieren kann und dieses als Vorgabe auch tut.
Die Sicherheitsdomäne 310 verwaltet die Signatur- und Entschlüsselungsschlüssel und stellt einen Verschlüsselungsservice unter Verwendung dieser Schlüssel bereit. Die Sicherheitsdomäne 310 erarbeitet APDUs für verschiedenste Funktionen. Diese Funktionen können Funktionen der Schlüsselverwaltung umfassen, zum Beispiel Funktionen zum Speichern oder Aktualisieren von Schlüsseln. Während einer sicheren Installation einer Anwendung kann die Sicherheitsdomäne 310 Service für die Kartendomäne 308' zur Verfügung stellen, um eine Anwendungsinstallationsdatei zu entschlüsseln und die Signatur einer Anwendungsdatei zu überprüfen. Für eine mit einer Sicherheitsdomäne 310 im Zusammenhang stehende Anwendung stellt die Sicherheitsdomäne 310 dieser Anwendung Entschlüsselungs- und Signaturfunktionen zur Verfügung, wie zum Beispiel das MACen eines APDU-Befehls zum Aktualisieren von Schlüsseln während der Personalisierungsphase einer neu installierten Anwendung. Danach kann die Anwendung den aktualisierten Schlüssel verwenden, um Signaturen nachfolgender Schlüsselaktualisierungen zu entschlüsseln und zu überprüfen.
Der Herausgeber der Smartkarte kann entscheiden, ob die Sicherheitsdomäne 310 für Übertragungen einen statischen Schlüssel oder einen Arbeitssitzungs-Schlüssel verwendet. Ein statischer Schlüssel ist ein Verschlüsselungsschlüssel, der vor den verarbeitenden APDUs existiert und der während und nach der Verarbeitung der APDUs besteht. Ein Arbeitssitzungs-Schlüssel ist ein Verschlüsselungsschlüssel, der für eine bestimmte Übertragung erzeugt werden kann und der nach der Übertragung normalerweise nicht länger für die APDU-Verarbeitung benutzt wird. Wird ein Arbeitssitzungs-Schlüssel verwendet, so leitet die Sicherheitsdomäne 310 vorzugsweise ihren eigenen Arbeitssitzungs-Schlüssel für die Verarbeitungs-APDUs ab.
4 zeigt ein Flussdiagramm eines Verfahrens zum Zuführen einer Anwendung auf eine Chipkarte nach einer Ausführungsform dieser Erfindung. Das in 4 dargestellte Beispiel ist auch bei der Installation einer Sicherheitsdomäne 310 auf die Chipkarte anwendbar. Es ist festzustellen, dass alle Flussdiagramme in dieser Anmeldung lediglich Beispiele sind. Demzufolge können die dargestellten Schritte dieses und eines beliebigen anderen Flussdiagramms in verschiedenen Reihenfolgen und in variierenden Arten auftreten, um im Wesentlichen dasselbe Ziel zu bewirken.
Eine Chipkarte wird herausgegeben (Schritt 400) und eine Anwendung wird auf die herausgegebene Chipkarte übermittelt (Schritt 402). Das Übermitteln der Anwendung kann durch beliebige elektronische Medien erfolgen, die an eine Chipkarte angeschlossen und mit einem geeigneten Netzwerk verbunden werden können. Zum Beispiel können Vorrichtungen, wie zum Beispiel ein Geldautomat, ein Telefon mit Anzeige oder ein Computer verwendet werden, um eine Anwendung auf eine herausgegebene Chipkarte zu übermitteln. Die übermittelte Anwendung wird anschließend auf die Chipkarte geladen, wobei das Laden der Anwendung von der Kartendomäne 308 verwaltet wird (Schritt 404).
5 zeigt ein anderes Flussdiagramm eines Verfahrens zum Übermitteln einer Anwendung auf eine herausgegebene Chipkarte nach einer Ausführungsform dieser Erfindung. Eine Chipkarte wird erzeugt und mit einer ersten Anwendung versehen, wobei die erste Anwendung einen Verschlüsselungsservice enthält (Schritt 1002). Eine zweite Anwendung wird auf die Chipkarte geladen (Schritt 1004). Danach wird die zweite Anwendung installiert, wobei der Verschlüsselungsservice der ersten Anwendung verwendet wird, um die zweite Anwendung zu installieren (Schritt 1006).
Die 6 zeigt ein anderes Flussdiagramm eines Beispiels ei nes Verfahrens zum Übermitteln einer Anwendung auf eine herausgegebene Chipkarte nach einer Ausführungsform dieser Erfindung. Dieses Verfahren zum Übermitteln einer Anwendung ist ebenfalls auf das Übermitteln einer Sicherheitsdomäne 310 auf die Chipkarte anwendbar. In dem in 6 gezeigten Beispiel gibt ein Herausgeber Chipkarten an Kunden ab (Schritt 500). Es wird die Entscheidung gefällt, eine Anbieter-Anwendung auf der herausgegebenen Chipkarte zu installieren (Schritt 502). Bei einer Initiierung eines Dialogs zwischen dem Herausgeber und der Chipkarte wird eine vorsignierte Kopie der Anwendung auf die Chipkarte übermittelt (Schritt 504). Wie zuvor angegeben, kann der Dialog zwischen dem Herausgeber und der Chipkarte über eine beliebige elektronische Vorrichtung erfolgen, die an eine Chipkarte angeschlossen und mit einem geeigneten Netzwerk verbunden werden kann. Die Anwendung kann mit einem Schlüssel vorsigniert sein, der äquivalent zu dem ist, der schon auf der Karte existiert, so dass jede Anwendung eine einzigartige Signatur aufweist, die von der Karte verifiziert werden kann.
Die Kartendomäne 308 kann anschließend die Schritte durchführen, um die Anwendung zu laden. Die Kartendomäne 308 entschlüsselt die übermittelte Anwendung und überprüft die Signatur der Anwendung (Schritt 508). Die Kartendomäne 308 kann die Anwendung mit dem geheimen Schlüssel des Herausgebers entschlüsseln. Ein geeignetes Verschlüsselungsverfahren, wie zum Beispiel der Data Encryption Standard (DES) oder 3DES, kann verwendet werden, um wenigstens einen Teil der Anwendung zu entschlüsseln. Die Fachleute auf diesem Gebiet erkennen, dass eine Anzahl von Verschlüsselungstechniken verwendet werden kann, um Ausführungsformen dieser Erfindung zu implementieren. Zum Zwecke der Darstellung werden hier symmetrische Schlüsseltechniken angesprochen, obwohl auch asymmetrische Techniken verwendet werden können. Eine gute allgemeine Referenz bezüglich der Verschlüsselung ist Schneier, Applied Cryptography, 2. Ausg. (John Wiley, 1996).
Es wird anschließend bestimmt, ob die Signatur der Anwendung gültig ist (Schritt 510). Ist die mit der Anwendung assoziierte Signatur nicht gültig, so wird die Anwendung nicht auf die Karte geladen und das Verfahren wird beendet (Schritt 520). Ist die mit der Anwendung assoziierte Signatur jedoch gültig, so wird die Anwendung anschließend installiert und steht zur Personalisierung zur Verfügung. Während der Personalisierung empfängt die Anwendung Personalisierungsdaten (Schritt 512). Personalisierungsdaten umfassen Daten, die in Bezug auf den Verwender der Chipkarte einzigartig sind. Zum Beispiel können Personalisierungsdaten in einer Fluggesellschaftstreue-Anwendung den bevorzugten Sitz, das bevorzugte Essen und die Berechtigung für verschiedene mögliche Vergünstigungen des Benutzers der Chipkarte umfassen. Die Personalisierungsdaten können auch signiert und verschlüsselt sein.
Die Anwendung ruft dann den Entschlüsselungsservice der Kartendomäne 308 für die empfangenen Personalisierungsdaten auf (Schritt 513). Die Kartendomäne 308 führt anschließend eine Überprüfung der Signatur der empfangenen Personalisierungsdaten aus (Schritt 514). Verfahren der Entschlüsselung von Personalisierungsdaten und der Überprüfung von Signaturen sind in dem technischen Gebiet wohlbekannt. Schließlich kann die Anwendung aktiviert werden (Schritt 518).
Eine neue Anwendung, die nachträglich auf eine Chipkarte geladen wurde, kann auf vielfältige Weisen gespeichert werden. Ein Beispiel ist es, die Anwendung in einer Datei zu speichern. Es ist ein anderes Beispiel, einen Zeiger auf das Anwendungsobjekt zu führen.
7A zeigt ein Flussdiagramm, das ein Beispiel einer Karten-Betriebsdauer darstellt. Der Ablauf ist vorzugsweise als irreversibel angesehen. Der erste Kartenzustand ist es, wenn die Chipkarte maskiert wird (700). Während maskierten Zustandes (700) erhält die Chipkarte ihr Betriebssystem, ihre Kartenidentifikation und vorzugsweise wenigstens eine Anwendung. Der maskierte Zustand (700) ist erreicht, sobald alle notwendigen Komponenten für die Karteninitialisierung zur Verfügung stehen. Ein Beispiel, wann die notwendigen Komponenten zur Verfügung stehen, ist es, wenn die Kartendomäne 308 und die OP-API 306 aktiviert sind und wenn die Java-Kartenumgebung aktiviert ist, wie zum Beispiel eine virtuelle Java-Karten-Maschine und eine Java-Karten-API.
Nach dem maskierten Zustand ist der nächste Zustand der initialisierte Zustand (702). Der initialisierte Zustand wird erreicht, nachdem alle Kartenaktivitäten, die einen Initialisierungsschlüssel benötigen, abgeschlossen sind. Als Teil der Karteninitialisierung muss die Anwendung der Kartendomäne 308 installiert und registriert werden, wenn dies nicht schon geschehen ist. Zusätzlich können auch eine oder mehrere Sicherheitsdomänen installiert und registriert werden. Diese installierten Domänen müssen anschließend ausgewählt und personalisiert werden. Ein Initialisierungsschlüssel ist ein geheimer Schlüssel, welcher von einem Chipkartenhersteller normalerweise während des Ladens von Daten auf die Chipkarte verwendet wird, bevor diese herausgegeben wird.
Der nächste Zustand ist gesichertes Laden (704). Der Zustand des gesicherten Ladens wird erreicht, nachdem ein sicherer Installationsmechanismus (nachträgliches Laden/Speichern) zum Laden von Anwendungen während der verbleibenden Karten-Betriebszeit eingerichtet ist.
Der letzte Kartenzustand ist es, wenn die Karte entweder abgelaufen oder gesperrt ist (706). Der gesperrte Zustand ist erreicht, sobald eine autorisierte Chipkarten-Anwendung einen Befehl empfangen hat, die Karte zu sperren.
Die Karten-Betriebsdauer ist vorzugsweise eine irreversible Sequenz von Zuständen mit steigender Sicherheit. Der initialisierte und alle nachfolgenden Zustände der Karten-Betriebsdauer und ihre Übergänge befinden sich vorzugsweise unter der Steuerung der Kartendomäne 308. Die Kartendomäne 308 führt Befehle aus, die zu einem Übergang eines Zustandes der Karten-Betriebsdauer in den nächsten führen, und reagiert auf diese. Diese Befehle sind vorzugsweise Anwendungsprotokoll-Dateneinheits-(Application Protocol Data Unit – APDU)Befehle. Die Kartendomäne 308 ist auch für die Installation von Anwendungen auf der Karte verantwortlich, hat aber vorzugsweise keine Befugnisse hinsichtlich der Zustände der Anwendungs-Betriebsdauern. Jede Anwendung ist vorzugsweise für die Verwaltung der Betriebszustände ihrer eigenen Anwendungs-Betriebsdauer verantwortlich, aber sie erlaubt es der Kartendomäne 308 vorzugsweise, zur Prüfung einen Zugriff auf ihre Betriebszustände zu haben.
Die Karten-Betriebsdauer ist so ausgelegt, dass der Sicherheitslevel, der von der Karte in jedem aufeinanderfolgenden Zustand gefordert wird, ansteigt. Wie zuvor angegeben, ist die Betriebsdauer auch als ein Prozess eingerichtet, welcher nur in eine Richtung verlaufen kann, um zu sichern, dass es nach dem Einsteigen in einen Betriebsdauer-Zustand mit zugesicherten Sicherheitseigenschaften die einzige Option ist, sich in den nächsten Zustand der Betriebsdauer zu bewegen, der einen höheren Sicherheitslevel aufweist. Die Kartendomäne als System-Sicherheitsverwaltung der Karte führt den derzeitigen Betriebsdauer-Zustand, erzwingt die assoziierten Sicherheitserfordernisse und steuert die Zustands-Übergänge während der Karten-Betriebsdauer.
7B zeigt ein Flussdiagramm, das ein Beispiel einer Anwendungs-Betriebsdauer darstellt. Die Anwendung ist am Anfang nicht vorhanden (750). Der nächste Zustand ist ein geladener Zustand (752). Die Anwendung erreicht den geladenen Zustand, nachdem die Anwendung auf die Chipkarte geladen wurde. Die Anwendung wird anschließend installiert (754) und registriert (756). Ist die Anwendung registriert, so kann sie danach zu jeder Zeit gelöscht werden. Der nächste Zustand ist der personalisierte Zustand, in dem personalisierte Information in die Anwendung aufgenommen wird (758). Schließlich kann die Anwendung ungültig werden oder gesperrt werden (760).
8 zeigt eine Darstellung eines Beispiels einer Zeitlinie der Kartenbetriebsdauer für eine Karte für viele Anwendungen. Diese Zeitlinie beginnt mit einem Zustand des maskierten ROMs 800 und endet mit einem Zustand, in dem die Karte gesperrt/ungültig 802 ist. In dem Zustand des maskierten ROMs 800 ist gezeigt, dass Anwendungen A, B, C und D installiert sind. Dieses Beispiel zeigt, dass Anwendungen A und B in einem Maskierungszustand der Karte installiert sind, Anwendungen C und D in einem Initialisierungszustand installiert sind und Anwendungen E und F nachträglich installiert sind.
In diesem Beispiel kann die Anwendung A im ROM installiert sein und während der gesamten Betriebsdauer der Karte von dem Zustand des maskierten ROMs 800 bis zu dem Zustand der gesperrten/ungültigen Karte 802 verwendet werden. Die Anwendung B befindet sich ebenfalls im ROM und wird während eines ersten Teils der Betriebsdauer der Chipkarte verwendet. Die Betriebsdauer der Anwendung B endet im Zustand 804. Die Anwendung C befindet sich in einem nichtflüchtigen Speicher, wie zum Beispiel einem EEPROM, welches während der Initialisierung geladen wird. Es ist gezeigt, dass die Anwendung C im Zustand 806 abläuft. Die Anwendung D befindet sich ebenfalls im EEPROM und wird während der gesamten Betriebsdauer der Karte bis zu dem Zustand der gesperrten/ungültigen Karte 802 verwendet. Die Anwendung E wird im Zustand 808 eine gewisse Zeit nach der Her ausgabe der Chipkarte installiert. Die Anwendung E befindet sich im EEPROM und wird bis zum Ende der Karten-Betriebsdauer im Zustand der gesperrten/ungültigen Karte 802 verwendet. Die Anwendung F wird ebenfalls nachträglich im Zustand 810 installiert und läuft eine gewisse Zeit vor dem Ende der Karten-Betriebsdauer im Zustand 812 ab.
9 zeigt ein Flussdiagramm eines Verfahrens zum Sperren einer Karte nach einer Ausführungsform dieser Erfindung. Eine Karte kann gesperrt werden, wenn von einer Anwendung eine Sicherheitsverletzung festgestellt wird. Nach einer Ausführungsform dieser Erfindung kann eine Chipkarte gesperrt werden, während eine Anwendung verwendet wird. Eine gesperrte Karte arbeitet nicht länger, so dass ein verdächtiger Benutzer keine der Anwendungen auf der Chipkarte mehr verwenden kann. Eine Sperrung ist lediglich ein Beispiel der vielen Funktionen, die die Kartendomäne 308 zur Verwaltung der anderen Anwendungen auf der Chipkarte ausführen kann. Beispiele von anderen Funktionen umfassen das Installieren einer Anwendung auf der Chipkarte, das Installieren von Sicherheitsdomänen 310A–310B, die Personalisierung und das Lesen von globalen Kartendaten, das Verwalten von Karten-Betriebsdauer-Zuständen einschließlich des Sperrens der Karte, das Ausführen einer Revision einer gesperrten Karte, das Erhalten einer Zuweisung von Kartenanwendungen zu Sicherheitsdomänen und das Ausführen von Sicherheitsdomänen-Funktionen für Anwendungen, die nicht mit einer Sicherheitsdomäne assoziiert sind.
In dem in 9 gezeigten Beispiel wird eine Anwendung gerade verwendet (Schritt 600). Die Anwendung stellt ein Problem fest, das eine Anfrage zum Sperren der Karte von der Anwendung auslöst (Schritt 602). Die Anwendung schickt anschließend eine Anfrage zum Sperren der Karte an die Kartendomäne 308 (Schritt 604). Die Kartendomäne 308 bestimmt, ob die Anfrage zum Sperren der Karte gültig ist (Schritt 606). Eine Anfrage zum Sper ren der Karte kann gültig sein, wenn die Anfrage von einer bestimmten Anwendung stammt. Ist die Anfrage zum Sperren der Karte nicht gültig, so sperrt die Kartendomäne 308 die Chipkarte nicht (Schritt 608). Ist die Anfrage zum Sperren der Karte jedoch gültig, so autorisiert die Kartendomäne 308 das Sperren der Karte (Schritt 610) und die Kartendomäne 308 sperrt die Chipkarte (Schritt 612), so dass die Chipkarte jegliche versuchten Übertragungen für alle Anwendungen auf der Karte zurückweist.
10 zeigt ein Blockschaltbild, das die Verwendung der Sicherheitsdomäne 310 durch die Kartendomäne 308 darstellt. Das Verfahren und System nach einer Ausführungsform dieser Erfindung erlaubt es vielen Anwendungs-Anbietern in einer sicheren und vertraulichen Weise, auf einer Chipkarte vertreten zu sein. Diese Sicherheit und Vertraulichkeit kann durch die Verwendung von in 3 gezeigten Sicherheitsdomänen 310A–310B erreicht werden.
10 zeigt ein Beispiel einer Chipkarte, die zwei Sicherheitsdomänen 310A–310B umfasst. In diesem Beispiel ist es angenommen, dass eine maskierte Anwendung 305A der Chipkarte mit einer Sicherheitsdomäne assoziiert ist, wie zum Beispiel mit der Sicherheitsdomäne 310A, und eine zusätzliche Anwendung 305B nachträglich hinzugefügt und mit einer zweiten Sicherheitsdomäne assoziiert wird, wie zum Beispiel mit der Sicherheitsdomäne 310B. Die Pfeile zeigen Schlüsselbeziehungen zwischen den verschiedenen Chipkarten-Einheiten an, wie es jetzt beschrieben wird. Die maskierte Anwendung 305A verwendet Schlüsselservice von der Sicherheitsdomäne 310A, um vertrauliche Daten zu entschlüsseln und optional für eine vollständige Personalisierung. Die Kartendomäne 308 verwendet Schlüsselservice von der Sicherheitsdomäne 310B, um die Signatur einer nachträglich geladenen Anwendung zu entschlüsseln und zu überprüfen, wie zum Beispiel der nachträglich geladenen Anwendung 305B. Die nachträglich geladene Anwendung 305B verwendet Schlüsselservice von der Sicherheitsdomäne 310B, um vertrauliche Daten zu entschlüsseln und optional für eine vollständige Personalisierung.
11A und 11B zeigen weitere Flussdiagramme eines Beispiels eines Verfahrens zum Aufbringen einer Anwendung auf eine herausgegebene Chipkarte nach einer Ausführungsform dieser Erfindung. Der Kartenherausgeber entscheidet, eine Sicherheitsdomäne 310 auf eine Chipkarte aufzunehmen (Schritt 1100). Der Herausgeber weist die Sicherheitsdomäne 310 zu einem Anbieter A zu (Schritt 1102). Der Anbieter A, oder ein Anwendungsentwickler für den Anbieter A, erzeugt Verschlüsselungsschlüssel, wie zum Beispiel die bei der symmetrischen oder asymmetrischen Verschlüsselung verwendeten (Schritt 1104). Beispiele dieser Verschlüsselung umfassen eine Verschlüsselung, eine Entschlüsselung, das MACen, Hashing und digitale Signaturen. Beispiele von Verschlüsselungsverfahren, die solche Schlüssel verwenden und für die Implementation der Ausführungsform des Verfahrens und Systems nach dieser Erfindung geeignet sind, umfassen den Data Encryption Standard (DES) und 3DES. Der Karten-Personalisierungsagent empfängt die Schlüssel und lädt Sicherheitsdomänen-Schlüssel, die mit einer bestimmten Sicherheitsdomäne 310 assoziiert sind, für jede Chipkarte (1106). Der Karten-Personalisierungsagent empfängt Chipkarten und sammelt andere Daten, OS, Code und Anwendung und spezifische Daten des Kartenhalters, und stellt die Daten auf die Chipkarte ein (Schritt 1108).
Der Kartenherausgeber gibt dann die Chipkarte an Kunden ab (Schritt 1110). Anschließend wird entschieden, die Anwendung des Anbieters A auf der Chipkarte zu installieren (Schritt 1112). Bei der Initiierung eines Dialogs zwischen dem Chipkarten-Herausgeber und der Chipkarte wird eine signierte Kopie der Anwendung auf die Chipkarte übermittelt (Schritt 1114).
Die Anwendung kann mit einem Schlüssel signiert sein, der äquivalent zu dem ist, der schon auf der Chipkarte existiert, so dass jede Anwendung eine einzigartige Signatur aufweist, die von der Chipkarte verifiziert werden kann.
Die Kartendomäne 308 der Chipkarte bewirkt anschließend Schritte, die Anwendung zu laden. Die Kartendomäne 308 ruft den Verschlüsselungsservice der assoziierten Sicherheitsdomäne auf, um die Anwendung zu entschlüsseln und die Signatur zu überprüfen (Schritt 1118). Es wird anschließend bestimmt, ob die Signatur gültig ist (Schritt 1120). Ist die Signatur nicht gültig, so endet das Verfahren (Schritt 1122). Wird die Signatur jedoch als gültig erkannt, so empfängt die Anwendung Personalisierungsdaten, die signiert und optional verschlüsselt sein können (Schritt 1124). Die geladene Anwendung ruft anschließend den Verschlüsselungsservice und die Signaturüberprüfung ihrer assoziierten Sicherheitsdomäne für die empfangenen Personalisierungsdaten auf (Schritt 1126). Zum Ausführen oder Bedienen der Anwendung nötige, auf der Chipkarte vorhandene geheime Schlüssel werden verwendet, um die Anwendung durch Authentifizierung zu aktivieren (Schritt 1130).
12A und 12B zeigen Flussdiagramme eines Verfahrens zum Zuführen vertraulicher Information an eine Anwendung unter Verwendung einer Sicherheitsdomäne 310 nach einer anderen Ausführungsform dieser Erfindung. Der Herausgeber entscheidet, eine Sicherheitsdomäne 310 auf eine Chipkarte aufzunehmen (Schritt 1200). Eine Partei, der vertraut wird, erzeugt geheime Verschlüsselungsschlüssel und schickt die Schlüssel in einer sicheren Weise zu einem Karten-Personalisierungsagenten (Schritt 1201). Eine Partei, der vertraut wird, ist üblicherweise eine dritte Partei, die die Funktion der Zertifizierung der Quelle der Information ausführt, wie zum Beispiel eine Signatur. Ein Karten-Personalisierungsagent (welcher mit der Partei, der vertraut wird, identisch sein kann) empfängt den Schlüssel und lädt einen einzigartigen sicheren Domänenschlüssel, der mit einer bestimmten Sicherheitsdomäne 310 assoziiert ist, für jede Chipkarte (Schritt 1202).
Der Karten-Personalisierungsagent empfängt die Chipkarte und sammelt andere Daten, OS, Code und Anwendung und spezifische Daten des Kartenhalters, und stellt die Daten auf die Chipkarte ein (Schritt 1204). Der Herausgeber gibt dann die Chipkarte an seine Kunden aus (Schritt 1206). Es wird entschieden, die Anwendung des Anbieters A auf der herausgegebenen Chipkarte zu installieren (Schritt 1208). Der Anbieter A erhält geheime Schlüssel für die Sicherheitsdomäne 310 von der Partei, der vertraut wird (Schritt 1110). Der Anbieter A schickt dem Chipkartenherausgeber anschließend eine signierte Kopie der Anwendung des Anbieters A (Schritt 1212).
Bei der Initiierung eines Dialogs zwischen dem Chipkarten-Herausgeber und der Chipkarte wird eine signierte Kopie der Anwendung auf die Chipkarte übermittelt (Schritt 1214). Die Anwendung kann mit einem Schlüssel signiert sein, der äquivalent zu dem ist, der schon auf der Chipkarte existiert, so dass jede Anwendung eine einzigartige Signatur aufweist, die von der Chipkarte verifiziert werden kann. Die Kartendomäne 308 ruft den Verschlüsselungsservice der Sicherheitsdomäne auf, um die assoziierte Anwendung zu entschlüsseln und ihre Signatur zu überprüfen (Schritt 1218). Es wird anschließend bestimmt, ob die Signatur gültig ist (Schritt 1220). Ist die Signatur nicht gültig, so wird das Verfahren beendet (Schritt 1222).
Ist die Signatur jedoch gültig, so empfängt die Anwendung Personalisierungsdaten, die signiert und optional verschlüsselt sein können (Schritt 1224). Die geladene Anwendung ruft anschließend den Verschlüsselungsservice und die Signaturüberprüfung der Sicherheitsdomäne für die empfangenen Personali sierungsdaten auf (Schritt 1226). Die geheimen Verschlüsselungsdaten, die benötigt werden, um die Anwendung auf der Karte auszuführen oder zu bedienen, werden verwendet, um die Anwendung zu aktivieren (Schritt 1230).
13 zeigt ein Blockdiagramm, das die Verwendung der Verschlüsselungsschlüssel für das nachträgliche Laden einer Anwendung auf eine Chipkarte darstellt. Anwendungen, die nicht maskiert und nicht während des Karten-Initialisierungszustands oder des Personalisierungszustands geladen sind, müssen ihre ausführbaren Dateien unter Verwendung eines sicheren Installationsverfahrens laden, wie das in den vorigen Figuren beschriebene nachträgliche Laden. Die Anwendungen können unter Verwendung der Verschlüsselungsschlüssel der Kartendomäne geladen werden. Die Anwendungen werden anschließend entschlüsselt und ihre Signatur kann unter Verwendung der Schlüsselservice der korrespondierenden Sicherheitsdomäne 310 verifiziert werden. Demzufolge sind bei der/den gewünschten Sicherheitsdomäne(n) 310 vorzugsweise Verschlüsselungs- und Signaturschlüssel installiert, bevor das nachträgliche Laden der korrespondierenden Anwendung erfolgt.
In dem in 13 gezeigten Beispiel ist nur eine Sicherheitsdomäne 310 gezeigt, da Sicherheitsdomänen 310 für andere Anwendungen nicht relevant sind, um das Laden einer einzigen Anwendung darzustellen. Es ist festzustellen, dass das Ergebnis der sicheren Installation anfänglich eine geladene Anwendung ist, die anschließend installiert, registriert und personalisiert werden muss. Nach dem Laden wird die Anwendung installiert, vorzugsweise durch das Abgeben eines Installations-APDU-Befehls an die Kartendomäne 308. Eine Anwendung kann installiert werden, wenn ihr Installationsverfahren erfolgreich ausgeführt wurde. Wenn eine Anwendung in einem installierten Zustand ist, sind Speicherzuweisungen erfolgt. Eine geladene Anwendung sollte auch registriert sein. Wenn eine Anwendung registriert ist, ist sie auswählbar und bereit, APDU-Befehle zu verarbeiten und auf diese zu reagieren. Die Installation und Registrierung kann gleichzeitig durch denselben APDU-Befehl erfolgen. Eine Anwendung wird nach dem Laden ebenfalls personalisiert. Eine personalisierte Anwendung umfasst spezifische Daten des Kartenhalters und andere benötigte Daten, die die Ausführung der Anwendung erlauben.
In dem in 13 gezeigten Beispiel ist gezeigt, dass der Verschlüsselungsschlüssel und MAC/Signaturschlüssel in den Funktionen der Kartendomäne 308/Sicherheitsdomäne 310 enthalten sind. Ist eine Sicherheitsdomäne mit der geladenen Anwendung assoziiert, so wird die Sicherheitsdomäne aufgerufen. Ist jedoch keine Sicherheitsdomäne 310 mit der Anwendung assoziiert, die geladen ist, so werden der Verschlüsselungsschlüssel und der Signaturschlüssel der Kartendomäne 308 verwendet. Im Gegensatz zu den während der Initialisierungsphase an die Chipkarte geschickten Installationsbefehlen wird der nachträgliche Installationsbefehl nicht in einer sicheren Umgebung abgegeben, weswegen er vorzugsweise mit einem Verschlüsselungsschlüssel gesichert ist, wie zum Beispiel einem MAC/Signaturschlüssel. Die Kartendomäne 308 verwaltet das nachträgliche Laden einer neuen Anwendung, wohingegen die Sicherheitsdomäne 310 die Gültigkeit und Integrität der neuen Anwendung sichert, nachdem die neue Anwendung auf die Chipkarte geladen ist. Ist keine Sicherheitsdomäne 310 mit der neu geladenen Anwendung assoziiert, so führt die Kartendomäne 308 die Funktionen der Sicherheitsdomäne 310 aus. Ist die neue Anwendung einmal nachträglich geladen, so werden vorzugsweise verschiedene Schlüssel, wie zum Beispiel ein Verschlüsselungsschlüssel und ein Signaturschlüssel, verwendet, um die Anwendung zu installieren und zu personalisieren.
Ein Verfahren und ein System für eine Chipkartendomäne und eine Sicherheitsdomäne wurde offenbart. Entsprechend dieser Er findung geschriebene Software kann in einer beliebigen Form eines computerlesbaren Mediums gespeichert werden, wie zum Beispiel ein Speicher oder eine CD-ROM, oder über ein Netzwerk übertragen werden und von einem Prozessor ausgeführt werden.

Claims

Ein Verfahren zum Laden einer Chipkartenanwendung auf eine Chipkarte, nachdem die Chipkarte an einen Kartenhalter ausgegeben wurde, das Verfahren umfasst: – Ausgeben (400) der Chipkarte an einen Kartenhalter, wobei die Chipkarte eine Kartendomänen-Anwendung (308) umfasst, die angeordnet ist, das nachträgliche Laden von Anwendungen zu verwalten; – Aufbauen einer Kommunikation zwischen der Chipkarte und eines Anbieters der Chipkarten-Anwendung; – Laden (404) der Chipkarten-Anwendung auf die Chipkarte unter Steuerung der Kartendomänen-Anwendung (308); und – Überprüfen einer Verschlüsselungssignatur der Chipkarten-Anwendung unter Verwendung der Kartendomänen-Anwendung, wobei die Chipkarten-Anwendung nachträglich in einer sicheren Weise auf die Chipkarte geladen wird.
Ein Verfahren nach Anspruch 1, weiter umfassend: – Zuführen (1002) eines Verschlüsselungs-Signaturschlüssel zu der Kartendomänen-Anwendung, bevor die Chipkarten-Anwendung auf die Chipkarte geladen wird; – Signieren (1006) der Chipkarten-Anwendung unter Verwendung der Verschlüsselungssignatur, bevor die Chipkarten-Anwendung auf die Chipkarte geladen wird, wobei die Verschlüsselungssignatur unter Verwendung des Verschlüsselungs-Signaturschlüssels berechnet ist; – Berechnen der Verschlüsselungssignatur der Chipkarten-Anwendung, nachdem die Chipkarten-Anwendung auf die Chipkarte geladen wurde, wobei die Berechnung von der Kartendomänen-Anwendung unter Verwendung des Verschlüsselungs-Signaturschlüssels ausgeführt wird, der der Kartendomänen-Anwendung zugeführt wurde, wodurch das Element der Überprüfung von der Kartendomänen-Anwendung ausgeführt werden kann.
Ein Verfahren nach Anspruch 1, weiter umfassend: – Entschlüsseln der Chipkarten-Anwendung durch die Kartendomänen-Anwendung, nachdem die Chipkarten-Anwendung geladen wurde, wodurch die Chipkarten-Anwendung in einer sicheren Weise nachträglich auf die Chipkarte geladen wird.
Ein Verfahren nach Anspruch 3, weiter umfassend: – Zuführen eines Verschlüsselungs-Verschlüsselungsschlüssels zu der Kartendomänen-Anwendung, bevor die Chipkarten-Anwendung auf die Chipkarte geladen wird; – Verschlüsseln der Chipkarten-Anwendung unter Verwendung des Verschlüsselungs-Verschlüsselungsschlüssels, bevor die Chipkarten-Anwendung auf die Chipkarte geladen wird; und – wobei das Element der Entschlüsselung, das von der Kartendomänen-Anwendung ausgeführt wird, den Verschlüsselungs-Verschlüsselungsschlüssel verwendet, der der Kartendomänen-Anwendung zugeführt wurde, wodurch die Chipkarten-Anwendung in einer sicheren Weise nachträglich auf die Chipkarte geladen wird.
Ein Verfahren nach Anspruch 1, weiter umfassend: – Laden von Personalisierungsdaten für die Chipkarten-Anwendung auf die Chipkarte unter Steuerung der Kartendomänen-Anwendung; und – Überprüfen einer Verschlüsselungssignatur der Personalisierungsdaten unter Verwendung der Kartendomänen-Anwendung, wodurch die Personalisierungsdaten für die Chipkarten-Anwendung in einer sicheren Weise nachträglich auf die Chipkarte geladen werden.
Ein Verfahren nach Anspruch 1, wobei die Chipkarte weiter eine Sicherheitsdomänen-Anwendung (310) umfasst, die ange ordnet ist, die Sicherheit des nachträglichen Ladens von Anwendungen zu verwalten, und das Element der Überprüfung von der Sicherheitsdomänen-Anwendung ausgeführt wird.
Ein Verfahren nach Anspruch 1, wobei Details des Elements der Überprüfung der Verschlüsselungssignatur gegenüber einem Herausgeber der Chipkarte geheimgehalten werden.
Ein Verfahren zum Laden einer Chipkarten-Anwendung auf eine Chipkarte, nachdem die Chipkarte an einen Kartenhalter herausgegeben wurde, das Verfahren umfasst: – Ausgeben der Chipkarte an einen Kartenhalter, wobei die Chipkarte eine Kartendomänen-Anwendung (308), die angeordnet ist, das nachträgliche Laden von Anwendungen zu verwalten, und eine Sicherheitsdomänen-Anwendung (310) umfasst, die angeordnet ist, die Sicherheit des nachträglichen Ladens von Anwendungen zu verwalten; – Aufbau einer Kommunikation zwischen der Chipkarte und einem Anbieter der Chipkarten-Anwendung; – Laden der Chipkarten-Anwendung auf die Chipkarte; und – Aufrufen eines Verschlüsselungsservices der Sicherheitsdomänen-Anwendung, um die Chipkarten-Anwendung zu validieren, wodurch die Chipkarten-Anwendung in einer sicheren Weise nachträglich auf die Chipkarte geladen wird.
Ein Verfahren nach Anspruch 8, weiter umfassend: – Zuführen eines Verschlüsselungs-Signaturschlüssels zu der Sicherheitsdomänen-Anwendung, bevor die Chipkarten-Anwendung auf die Chipkarte geladen wird; – Signieren der Chipkarten-Anwendung unter Verwendung der Verschlüsselungssignatur, bevor die Chipkarten-Anwendung auf die Chipkarte geladen wird, wobei die Verschlüsselungssignatur unter Verwendung des Verschlüsselungs-Signaturschlüssels berechnet ist; – Berechnen der Verschlüsselungssignatur der Chipkarten- Anwendung, nachdem die Chipkarten-Anwendung auf die Chipkarte geladen wurde, wobei die Berechnung von der Sicherheitsdomänen-Anwendung unter Verwendung des Verschlüsselungs-Signaturschlüssels ausgeführt wird, der der Sicherheitsdomänen-Anwendung zugeführt wurde, wodurch die Kartendomänen-Anwendung validiert wird.
Ein Verfahren nach Anspruch 8, weiter umfassend: – Entschlüsseln der Chipkarten-Anwendung durch die Sicherheitsdomänen-Anwendung, nachdem die Chipkarten-Anwendung geladen ist, wodurch die Chipkarten-Anwendung validiert wird.
Ein Verfahren nach Anspruch 10, weiter umfassend: – Zuführen eines Verschlüsselungs-Verschlüsselungsschlüssels zu der Sicherheitsdomänen-Anwendung, bevor die Chipkarten-Anwendung auf die Chipkarte geladen wird; – Verschlüsseln der Chipkarten-Anwendung unter Verwendung des Verschlüsselungs-Verschlüsselungsschlüssels, bevor die Chipkarten-Anwendung auf die Chipkarte geladen wird; und – wobei das Element der Entschlüsselung, das von der Sicherheitsdomänen-Anwendung ausgeführt wird, den Verschlüsselungs-Verschlüsselungsschlüssel verwendet, der der Kartendomänen-Anwendung zugeführt wurde.
Ein Verfahren nach Anspruch 8, weiter umfassend: – Laden von Personalisierungsdaten für die Chipkarten-Anwendung auf die Chipkarte; und – Aufrufen eines Verschlüsselungsservices der Sicherheitsdomänen-Anwendung, um die Personalisierungsdaten zu validieren, wodurch die Personalisierungsdaten für die Chipkarten-Anwendung in einer sicheren Weise nachträglich auf die Chipkarte geladen werden.
Ein Verfahren nach Anspruch 8, wobei Details des Elements des Aufrufens eines Verschlüsselungsservices gegenüber einem Herausgeber der Chipkarte geheimgehalten werden.
Ein Verfahren nach Anspruch 8, wobei der Verschlüsselungsservice eine Verschlüsselung, Entschlüsselung, ein MACen, Hashing oder eine digitale Signaturtechnik umfasst.
Eine Chipkarte, die angeordnet ist, eine Anwendung auf die Chipkarte zu laden, nachdem die Chipkarte an einen Kartenhalter ausgegeben wurde, die Chipkarte umfasst: – eine Kartendomänen-Anwendung (308), die angeordnet ist, das Laden der Anwendung auf die Chipkarte zu verwalten; und – eine Sicherheitsdomänen-Anwendung (310), die angeordnet ist, die Sicherheit des nachträglichen Ladens von Anwendungen zu verwalten, wobei die Sicherheitsdomänen-Anwendung umfasst: – einen mit der Anwendung assoziierten Verschlüsselungsschlüssel, – einen Verschlüsselungsservice, um die Anwendung zu validieren, nachdem die Anwendung nachträglich geladen wurde, wobei der Verschlüsselungsservice den Verschlüsselungsschlüssel verwendet, und – eine Schlüsselverwaltungsfunktion, die mit dem Verschlüsselungsschlüssel assoziiert ist, wodurch die Anwendung unter Verwendung der Sicherheitsdomänen-Anwendung in einer sicheren Weise nachträglich auf die Chipkarte geladen werden kann.
Eine Chipkarte nach Anspruch 15, wobei der Verschlüsselungsschlüssel ein Verschlüsselungsschlüssel ist und wobei der Verschlüsselungsservice eine Entschlüsselung ist, wodurch die Sicherheitsdomänen-Anwendung die Anwendung entschlüsseln kann, nachdem die Anwendung auf die Chipkarte geladen ist.
Eine Chipkarte nach Anspruch 15, wobei der Verschlüsselungsschlüssel ein Signaturschlüssel ist, und wobei der Verschlüsselungsservice eine digitale Signatur berechnet, wodurch die Sicherheitsdomänen-Anwendung eine Signatur der Anwendung überprüfen kann, nachdem die Anwendung auf die Chipkarte geladen ist.
Eine Chipkarte nach Anspruch 15, wobei die Schlüsselverwaltungsfunktion ein Laden oder Aktualisieren eines Schlüssels umfasst.
Eine Chipkarte nach Anspruch 15, wobei Sicherheitsaspekte der Sicherheitsdomänen-Anwendung gegenüber der Kartendomänen-Anwendung geheimgehalten werden.
Eine Chipkarte, die angeordnet ist, eine Mehrzahl von Anwendungen auf die Chipkarte zu laden, nachdem die Chipkarte an einen Kartenhalten ausgegeben wurde, die Chipkarte umfasst: – eine Kartendomänen-Anwendung (308), die angeordnet ist, das Laden der Anwendungen auf die Chipkarte zu verwalten; – eine erste Sicherheitsdomänen-Anwendung (310A), die angeordnet ist, die Sicherheit für eine erste nachträglich zu ladende Anwendung zu liefern, die erste Sicherheitsdomänen-Anwendung umfasst: – einen mit der ersten Anwendung assoziierten ersten Verschlüsselungsschlüssel, wobei der erste Verschlüsselungsschlüssel gegenüber der Kartendomäne und einer zweiten Sicherheitsdomänen-Anwendung (310B) geheimgehalten wird; und – die zweite Sicherheitsdomänen-Anwendung (310B), die angeordnet ist, um Sicherheit für eine nachträglich zu la dende zweite Anwendung zu liefern, die zweite Sicherheitsdomänen-Anwendung umfasst: – einen mit der zweiten Anwendung assoziierten zweiten Verschlüsselungsschlüssel, wobei der zweite Verschlüsselungsschlüssel gegenüber der Kartendomäne und der ersten Sicherheitsdomänen-Anwendung geheimgehalten wird, wodurch die erste Anwendung und die zweite Anwendung unter Verwendung des ersten Verschlüsselungsschlüssels und des zweiten Verschlüsselungsschlüssels jeweils nachträglich sicher geladen werden können.
Eine Chipkarte nach Anspruch 20, wobei der erste Verschlüsselungsschlüssel ein Verschlüsselungsschlüssel oder ein Signaturschlüssel ist und wobei der zweite Verschlüsselungsschlüssel ein Verschlüsselungsschlüssel oder ein Signaturschlüssel ist.
Eine Chipkarte nach Anspruch 20, weiter umfassend: – einen in der ersten Sicherheitsdomäne umfassten Verschlüsselungsservice, um die erste Anwendung zu validieren, nachdem die erste Anwendung nachträglich geladen wurde, wobei der Verschlüsselungsservice den ersten Verschlüsselungsschlüssel verwendet, wobei die Details der Verschlüsselungsservices gegenüber der Kartendomänen-Anwendung und der zweiten Sicherheitsdomänen-Anwendung geheimgehalten werden.
Eine Chipkarte nach Anspruch 20, weiter umfassend: – eine in der ersten Sicherheitsdomänen-Anwendung umfasst Schlüsselverwaltungsfunktion.
Eine Chipkarte nach Anspruch 23, wobei die Schlüsselverwaltungsfunktion ein Laden oder Aktualisieren eines Schlüssels umfasst.