DE69824437T2 - Personalisieren von chipkarten - Google Patents

Description

• Die vorliegende Erfindung betrifft allgemein Smartkarten. Insbesondere betrifft die vorliegende Erfindung ein System und ein Verfahren zur Personalisierung von Smartkarten mit mehreren Anwendungen.
• Hintergrund der Erfindung
• Bevor eine Smartkarte an einen Karteninhaber ausgegeben wird, durchläuft die Karte einen Initialisierungs- und einen Personalisierungsvorgang. Während des Initialisierungsvorgangs bettet ein Hersteller oder anderer Kartenlieferant einen Chip mit integrierter Schaltung in den Plastikkartenkörper. Der Chip wird mit wenigstens einem Anwendungsprogramm geladen, wie z.B. einer Kreditanwendung oder einer Wertaufladeanwendung. Außerdem kann eine Dateistruktur mit Default-Werten initialisiert werden und zur Transportsicherheit können anfängliche kryptographische Schlüssel gespeichert werden. Nachdem eine Karte initialisiert wurde, wird sie dann typischerweise personalisiert. Während der Personalisierung werden auf die Smartkarte im allgemeinen Daten geladen, die die Karte eindeutig identifizieren, sowie Daten, die ermöglichen, dass die Karte z.B. in einem Zahlungssystem verwendet wird. Personalisierungsdaten sind z.B. Dateiinformationen, Anwendungsinformationen, einen maximalen Wert für eine Anwendung oder die Karte und eine persönliche Identifikationsnummer (PIN) oder andere Karteninhaberinformationen. Dabei sein kann auch die Währung, in welcher die Karte oder Anwendung gültig ist, das Ablaufdatum der Karte oder Anwendung und verschiedene kryptographische Schlüssel und Algorithmusinformationen für die Karte oder die Anwendungen auf der Karte. Für gewisse Anwendungen können die bei der Personalisierung geladenen kryptographischen Informationen nicht nur einen geheimen Kartenschlüssel und abgeleitete Schlüssel enthalten, sondern auch öffentliche Schlüsselzertifikate. Der Lebenszyklus einer Karte ist in Financial transaction cards-Security architecture of financial transaction systems using integrated circuit cards, Part 1: Card life cycle, International Organization for Standardization, ISO 10202-1, 1991, beschrieben, dessen Offenbarung in diese Anmeldung eingeschlossen wird.
• Herkömmlicherweise wird die Smartkarte in einem Personalisierungsbüro personalisiert, welches oft eine dritte Partei ist, welche von dem Ausgeber der Smart karte beauftragt wurde, ihre Smartkarten zu personalisieren. Das Personalisierungsbüro kann an einem von dem Standort des Ausgebers der Smartkarte oder von dem Standort der Person, die die Smartkarteninitialisierung durchführt, unterschiedlichen Standort sein. Typischerweise ist der Personalisierungsvorgang dezentralisiert, so dass ein Einzelhändler eine Karte für einen Kunden personalisiert, während der Kunde dabei ist. Beispiele für diese An des Personalisierungsverfahrens sind in US 5,534,857 , US 5,557,679 und DE-A-39 27 270 offenbart. Als Alternative zur einzelnen Personalisierung von Smartkarten wurde ein Batch-Verarbeitungsverfahren in FR-A-257566 offenbart. Während der Personalisierung ist eine in dem Personalisierungsbüro angeordnete Personalisierungseinrichtung mit einem Sicherheitsmodul gekoppelt. Die Personalisierungseinrichtung stellt allgemein Daten bereit, welche, wenn sie auf einer Karte installiert sind, der Karte die Fähigkeit verleihen, Anwendungsprogramme laufen zu lassen.
• Während der Personalisierung werden kryptographische Schlüssel (wie z.B. abgeleitete Kartenschlüssel) auf einem Speicher der initialisierten Karte gespeichert. Diese Schlüssel werden für eine Vielfalt kryptographischer Zwecke verwendet. Abgeleitete Kartenschlüssel sind unter Verwendung von für jede Karte eindeutige Ableitungsdaten von Master-Schlüsseln abgeleitet, die in dem Sicherheitsmodul (des Personalisierungsbüros) gespeichert sind. Die Ableitungsdaten werden mit einem geeigneten Algorithmus unter Verwendung eines Master-Schlüssels verschlüsselt, um einen abgeleiteten Kartenschlüssel für eine bestimmte Karte zu erzeugen. Die Verwendung des Master-Schlüssels zum Erzeugen von abgeleiteten Kartenschlüsseln, vermeidet die Notwendigkeit, einen eigenen Schlüssel für jede Karte im System in den Terminals gespeichert zu haben, wo die Anwendungen verwendet werden. Stattdessen kann der Master-Schlüssel mit Ableitungsdaten von der Karte dazu verwendet werden, unabhängig den abgeleiteten Kartenschlüssel noch einmal zu erzeugen. Dies erlaubt, dass ein Terminal und eine Karte sicher miteinander kommunizieren können, obgleich der Terminal nur eine kleine Anzahl von Master-Schlüsseln halten muss, um mit einer großen Anzahl von Karten in einem System zu kommunizieren.
• Mit der Sicherheit kann es ein potentielles Problem geben, wenn dieses herkömmliche Verfahren der Personalisierung und abgeleiteten Schlüsseln verwendet wird. Da alle Kartenschlüssel typischerweise zur Zeit der Personalisierung abgeleitet werden, werden alle Master-Schlüssel bei der Personalisierungseinrichtung innerhalb des Personalisierungsbüros benötigt. Ein Sicherheitsrisiko kann auftreten, wenn die Master-Schlüssel in die Verfügungsgewalt einer dritten Partei, wie z.B. des Personalisierungsbüros, gegeben werden. Jede zusätzliche Partei, die Zugang zu den Master-Schlüssseln hat, ist ein potentielles Sicherheitsrisiko.
• Ein weiteres weit verbreitetes Problem bei der herkömmlichen Personalisierung ist, dass der Personalisierungsvorgang eine beachtliche Zeitdauer dauern kann. Zusätzlich zu den Kosten, dritte Parteien damit zu beauftragen, den Personalisierungsvorgang durchzuführen, trägt die Zeit, die zur Durchführung des Personalisierungsvorgangs gebraucht wird, eine zusätzliche Summe zu den Gesamtkosten der Personalisierung bei. Dies führt zu höheren Preisen der Karten und Systeme.
• Tatsächlich ist eine große Herausforderung bei der Implementierung von Verschlüsselungstechnologie (und insbesondere Technologie mit öffentlichen Schlüsseln) bei Smartkarten, wie man einen großen Durchsatz beim Personalisierungsvorgang erreichen kann. Es ist interessant, festzustellen, dass, da die Personalisierung als Engpass des gesamten Vorgangs gesehen wird, spezielle und teuere Personalisierungsmaschinen verwendet werden, die dazu in der Lage sind, mehrere Karten gleichzeitig zu personalisieren. Da Banken einen Bedarf haben, Millionen von Karten pro Jahr auszugeben, ist es von höchster Wichtigkeit, dass der Vorgang voll optimiert ist. Z.B. benötigen, wie oben kurz erwähnt, gewisse Chipkartenanwendungen nicht nur einen geheimen Kartenschlüssel (z.B. den geheimen Schlüssel eines öffentlichen Kartenschlüsselpaars), sondern auch öffentliche Schlüsselzertifikate und abgeleitete Schlüssel, die auf der Karte abgelegt werden. Die Erzeugung derartiger Kartenschlüssel und öffentlicher Schlüsselzertifikate zum Zeitpunkt der Personalisierung kann den Durchsatz stark verschlechtern. Z.B. könnte eine Wertaufladeanwendung erfordern, dass eine Smartkarte mit einem geheimen Kartenschlüssel, einem Kartenzertifikat, einem Ausgeberzertifikat und wenigstens drei DES-Schlüsseln und anderen Kartendaten geladen wird. Die Erzeugung von Kartenschlüsselpaaren zum Zeitpunkt der Personalisierung würde den Durchsatz hemmen.
• Ferner ist denkbar, dass eine Smartkarte mehrere Anwendungen enthalten kann. Jede Anwendung erfordert wahrscheinlich ihren eigenen Satz Schlüssel, Daten und Algorithmen. Der Personalisierungsdurchsatz wäre dramatisch betroffen, sollte jede Smartkarte einen separaten Personalisierungsvorgang für jede Anwendung, die sie enthält, durchlaufen. Es ist nicht kosteneffektiv, dass jede Karte mehrere Male personalisiert werden muss.
• Es wäre daher wünschenswert, ein System und ein Verfahren zur Personalisierung einer Smartkarte bereitzustellen, bei dem die Master-Schlüssel und andere geheime Informationen des Ausgebers sicher bleiben können. Es wäre ebenfalls wünschenswert, ein System und ein Verfahren zur Personalisierung einer Karte bereitzustellen, bei dem die für den Personalisierungsvorgang am Personalisierungsbüro erforderte Zeitaufwand verringert wird. Es wäre ferner wünschenswert, Smartkarten effizient zu personalisieren, auf denen mehrere Anwendungen gespeichert sind. Die vorliegende Erfindung erfüllt diese Bedürfnisse.
• Kurzbeschreibung der Erfindung
• Das oben Gesagte wird durch die Gegenstände der Ansprüche 1, 15, 19 und 20 erreicht.
• Kurzbeschreibung der Zeichnungen
• 1 ist ein Blockdiagramm eines Systems zur Personalisierung einer Smartkarte gemäß einer Ausführungsform der vorliegenden Erfindung.
• 2 ist ein Flussdiagramm eines Verfahrens zur Durchführung eines Vorbereitungsvorgangs zur Erzeugung einer Ausgabedatei in einer Vorbereitungsverarbeitungseinrichtung.
• 3 ist ein Flussdiagramm, welches ein Verfahren zur Ableitung von Schlüsseln unter Verwendung von symmetrischer Kryptographie beschreibt.
• 4 ist ein Flussdiagramm, welches ein weiteres Verfahren zur Ableitung von Schlüsseln unter Verwendung von asymmetrischer Kryptographie beschreibt.
• 5A–5D veranschaulichen eine mögliche Ausführungsform eines Formats für eine Ausgangsdatei.
• 6 ist ein Blockdiagramm eines typischen Computersystems, welches zur Implementierung einer Ausführungsform der vorliegenden Erfindung geeignet ist.
• Detaillierte Beschreibung
• Wie oben erwähnt beginnt der Lebenszyklus einer Smartkarte mit der Herstellung des Chips und seiner Einbringung in einen Kartenkörper durch einen Kartenhersteller oder Kartenlieferant. Nachdem sie initialisiert wurden, wird ein Stapel von Karten an eine Personalisierungsperson geschickt, welche die Personalisierung der Karten durchführt. Daten zur Verwendung bei der Personalisierung jeder Karte werden von den Kartenausgebern erhalten. Die Personalisierung jeder Karte hängt von der Anwendung ab, für welche die Karte gedacht ist, und kann enthalten: Zugabe von geheimen Schlüsseln, Zugabe von anwendungsspezifischen Daten und Parametern, Prägen, Zugabe von graphischen Bildern, Zugabe von Magnetstreifendaten etc. Die vorliegende Erfindung ist auf die Interaktion zwischen dem Ausgeber und der Personalisierungsperson gerichtet und erfüllt einen Bedarf, den Personalisierungsvorgang für hohe Volumen von Karten zu rationalisieren, insbesondere wenn mehrere Anwendungen verwendet werden. Zur Beleuchtung des Hintergrunds werden Smartkarten zunächst allgemein diskutiert.
• SMARTKARTEN
• Die vorliegende Erfindung ist auf Smartkarten anwendbar. Auch Chipkarte, integrierte Schaltungskarte, Speicherkarte oder Prozessorkarte genannt, ist eine Smartkarte typischerweise eine Plastikkarte von der Größe einer Kreditkarte, die eine oder mehrere integrierte Halbleiterschaltungen enthält. Eine Smartkarte kann mit einem Verkaufsterminal, einem Geldautomaten (ATM) oder einem in einem Computer, Telefon, einem Verkaufsautomaten oder einer Vielfalt anderer Vorrichtungen integrierten Kartenleser eine Schnittstelle bilden. Die Smartkarte kann mit verschiedenen Arten von Funktionalitäten wie z.B. einer Wertspeicheranwendung, einer Kredit- oder Debitanwendung, einer Kundenkartenanwendung, Karteninhaberinformationen, etc. programmiert sein. Obgleich eine Plastikkarte zur Zeit das Medium der Wahl für Smartkarten ist, wird darüber nachgedacht, dass eine Smartkarte auch in einem kleineren Formfaktor implementiert sein kann. Z.B. kann sie an einer Schlüsselkette befestigt sein oder so klein sein wie ein Chipmodul. Eine Smartkarte kann auch als Teil eines persönlichen digitalen Assistenten oder eines Telefons implementiert sein, oder eine andere Form annehmen. Die unten stehende Beschreibung bietet ein Beispiel der möglichen Elemente einer Smartkarte, obgleich die vorliegende Erfindung auf einen weiten Bereich von Typen von Smartkarten anwendbar ist.
• Eine Smartkarte kann einen Mikroprozessor, einen RAM-Speicher (random access memory), einen ROM-Speicher (read-only memory), einen nicht-volatilen Speicher, ein Verschlüsselungsmodul (oder eine arithmetische Einheit) und eine Kar tenleser(oder Terminal)schnittstelle enthalten. Weitere Merkmale können vorhanden sein, wie z.B. ein optischer Speicher, Flash EEPROM, FRAM, eine Uhr, einen Zufallszahlengenerator, eine Unterbrechungssteuerung, Steuerlogik, eine Ladepumpe, Stromanschlüsse und Schnittstellenkontakte, die der Karte erlauben, mit der Außenwelt zu kommunizieren. Natürlich kann eine Smartkarte auf viele Arten implementiert sein und braucht nicht notwendigerweise einen Mikroprozessor oder andere Merkmale enthalten.
• Der Mikroprozessor ist eine beliebige geeignete zentrale Verarbeitungseinheit zur Ausführung von Befehlen und zur Steuerung des Geräts. RAM dient als temporärer Speicher für berechnete Ergebnisse und als Stapelspeicher. ROM speichert das Betriebssystem, feste Daten, Standardroutinen, Tabellen und andere permanente Informationen. Nicht-volatiler Speicher (wie z.B. EPROM oder EEPROM) dient dazu Informationen zu speichern, die nicht verloren werden dürfen, wenn die Karte von einer Stromquelle getrennt wird, die aber auch veränderbar sein müssen, um Daten unterzubringen, die für individuelle Karten spezifisch sind, oder um Änderungen vornehmen zu können, die über die Lebenszeit der Karte auftreten können. Diese Informationen sind eine Kartenidentifikationsnummer, Autorisierungsniveaus, Kontostände, Kreditlimits und andere Informationen, die sich mit der Zeit verändern können. Ein Verschlüsselungsmodul ist ein optionales Hardwaremodul, das dazu verwendet wird, eine Vielfalt von Verschlüsselungsalgorithmen durchzuführen. Selbstverständlich kann Verschlüsselung auch in Software durchgeführt werden. Applied Cryptography, Bruce Schneier, John Wiley & Sons, Inc., 1996 beschreibt geeignete Verschlüsselungsalgorithmen und wird hiermit in diese Anmeldung aufgenommen.
• Die Kartenleserschnittstelle enthält die Software und Hardware, die zur Kommunikation mit der Außenwelt notwendig ist. Eine breite Vielfalt von Schnittstellen ist möglich. Z.B. kann die Schnittstelle eine Kontaktschnittstelle, eine nahgekoppelte Schnittstelle, eine ferngekoppelte Schnittstelle oder eine Vielfalt anderer Schnittstellen bereitstellen. Bei einer Kontaktschnittstelle werden Signale von der integrierten Schaltung auf eine Anzahl von Metallkontakten an der Außenseite der Karte geleitet, welche in physischen Kontakt mit ähnlichen Kontakten einer Kartenlesereinrichtung kommen. Eine Smartkarte kann einen traditionellen Magnetstreifen enthalten, um Kompatibilität mit traditionellen Kartenlesereinrichtungen und -anwendungen herzu stellen und kann auch eine Kopie der Magnetstreifeninformationen innerhalb der integrierten Schaltung selbst zu Zwecken der Kompatibilität bereitstellen.
• Verschiedene mechanische und elektrische Merkmale einer Smartkarte und Aspekte ihrer Interaktion mit einer Kartenlesereinrichtung sind in Smart Card Handbook, W. Rankl und W. Effing, John Wiley & Sons, Ltd., 1997, beschrieben und werden durch die folgenden Spezifikationen definiert, die sämtlich in den Offenbarungsgehalt dieser Anmeldung aufgenommen werden: Visa Integrated Circuit Card Specification, EMV Integrated Circuit Card Specification for Payment Systems, EMV Integrated Circuit Card Terminal Specification for Payment Systems, EMY Integrated Circuit Card Application Specification for Payment Systems, Visa International Service Association 1996; und International Standard; Identification Cards – Integrated Circuit(s) Cards with Contacts, Teile 1-6, International Standards Organization 1987-1995.
• SMARTKARTENPERSONALISIERUNG
• 1 zeigt ein Blockdiagramm eines Systems 100 zur Personalisierung einer Smartkarte gemäß einer Ausführungsform der vorliegenden Erfindung. Am Standort des Ausgebers ist das Hardware-Sicherheitsmodul (HSM) 130 mit einer Vorbereitungsverarbeitungseinrichtung 134 gekoppelt, welche eine Eingangsdatei 159 empfängt. Am Standort der Personalisierung ist eine Personalisierungseinrichtung 150 mit einem Hardware-Sicherheitsmodul (HSM) 152 verbunden. Die Ausgangsdatei 160 wird vom Standort des Ausgebers über den Transportmechanismus 158 übertragen, um in die Einrichtung 150 eingegeben zu werden. Der Kartenlieferant 170 ist einer von vielen wohlbekannten Kartenlieferanten, die initialisierte Smartkarten 172 für die Personalisierungseinrichtung 150 bereitstellen. Sobald sie durch die Einrichtung 150 mit der Datei 160 personalisiert wurden, sind die personalisierten Karten 180 für die Benutzung durch Karteninhaber bereit.
• Das Hardware-Sicherheitsmodul (HSM) 130 wird dazu verwendet, kryptographische Verarbeitung zu erleichtern. HSM 130 speichert typischerweise geheime Schlüssel und Verschlüsselungsalgorithmen, führt kryptographische Funktionen auf geheime Daten aus und erzeugt Sitzungsschlüssel und Signaturen. Wie im Stand der Technik bekannt, ist HSM 130 im allgemeinen eine fälschungssichere Vorrichtung, die einen gewissen Grad an physischen Sicherheitsmaßnahmen dazu verwendet, um die sensiblen Informationen im Inneren zu schützen. HSM 130 kann jegliches industriell verwendetes Sicherheitsmodul sein, wie z.B. ein RACAL HASM Modell RG7000 oder die an einem Geldautomaten (ATM) befestigte Sicherheitsbox. In anderen Ausführungsformen kann HSM 130 auf einer Smartkarte innerhalb eines Kartenlesers, auf einer Reihe von Smartkarten oder auf einem beliebigen verfügbaren sicheren Computer implementiert sein, oder es kann als Software implementiert sein.
• HSM 130 wird entweder dazu verwendet, importierte Master-Schlüssel wie z.B. einen Masterupdateschlüssel, einen Masterladeschlüssel, einen Lieferantenupdateschlüssel, einen Schlüsselverschlüsselungsschlüssel, einen Schlüsselaustauschschlüssel, die öffentlichen und geheimen Schlüssel des Ausgebers, und das öffentliche Schlüsselzertifikat des Ausgebers zu erzeugen oder sie zu speichern. ASM 130 verwendet auch die Master-Schlüssel, um kartenspezifische Schlüssel wie z.B. einen abgeleiteten Ladeschlüssel für jede Karte, einen abgeleiteten Updateschlüssel für jede Karte, den öffentlichen und geheimen Schlüssel der Karte, zu erzeugen, und erzeugt das öffentliche Schlüsselzertifikat der Karte. HSM 152 ist eine ähnliche Einrichtung wie HSM 130. HSM 152 wird dazu verwendet, geheime Daten in die Ausgangsdatei 160 mit einem Schlüssel-Verschlüsselungsschlüssel zu entschlüsseln und die geheimen Daten unter einem der Karte bekannten Schlüssel zu verschlüsseln (z.B. einem Sitzungsschlüssel), bevor sie zur Personalisierung zur Karte geschickt werden. HSM 152 verwendet auch einen Lieferanten-Updateschlüssel, um die vom Kartenlieferanten erhaltenen Karten zu entsperren. Weitere Verwendungen von HSM 130 und HSM 152 werden weiter unten beschrieben.
• Die Vorbereitungsverarbeitungseinrichtung 154 kann auf jeglichem geeigneten Computersystem implementiert sein. Z.B. ist eingeeignetes Computersystem in 6 gezeigt. In einer bestimmten Ausführungsform ist die Einrichtung 154 auf einem Personalcomputer implementiert. Die Einrichtung 154, wie unten detaillierter beschrieben, wird dazu verwendet, Karteninhaberdaten, Anwendungsdaten und andere Daten wie z.B. Parameterdaten zu verarbeiten und zu speichern. Die Karteninhaberdaten enthalten Daten wie z.B. die Identifikation des Karteninhabers und den Kreditlimit des Karteninhabers. Die Anwendungsdaten enthalten Daten, die eine Kreditanwendung, eine Speicherwertanwendung oder andere Anwendungen betreffen, die Verschlüsselung benötigen oder auch nicht benötigen, wie z.B. Kundenkartenanwendungen. Eine Vielfalt anderer Anwendungen kann zur Verwendung auf zu personalisierenden Smartkarten verfügbar sein, einschließlich Abbuch-, spezialisierte Finanzierungsquellenanwendungen, etc. Die Parameterdaten enthalten Daten, die nicht eindeutig dem bestimmten Karteninhaber zugeordnet sind, wie z.B. die Kartennummer und den Sitz des Ausgebers.
• Der Transportmechanismus 158 kann einen beliebigen der zahlreichen, wohlbekannten Dateitransferverfahren zum Übertragen der Datei 160 benutzen. Z.B. kann eine Übertragung über eine Diskette oder über eine sichere Netzwerkverbindung benutzt werden. Die Personalisierungseinrichtung 150 kann jegliche geeignete Personalisierungsmaschine sein, wie im Stand der Technik bekannt. Z.B. können die von Datacard, Inc. hergestellten und verwendeten Maschinen benutzt werden. Wie im Stand der Technik bekannt, enthält die Einrichtung 150 eine beliebige Anzahl von Verarbeitungsmodulen zum Personalisieren von verschiedenen Aspekten einer Smartkarte. In der Ausgangsdatei 160 eingebettete Modulidentifizierercodes zeigen nachfolgende Daten an, welche durch das geeignete Verarbeitungsmodul verwendet werden sollen, um eine Smartkarte zu personalisieren.
• Gemäß einer Ausführungsform der Erfindung werden, bevor der Standard-Personalisierungsvorgang am Ort der Personalisierung durchgeführt wird, die Eingangsdaten für jede zu personalisierende Smartkarte unter Verwendung der Vorbereitungsverarbeitungseinrichtung 154 am Standort des Ausgebers bearbeitet. 2, 3 und 4 beschreiben eine Ausführungsform, durch die Eingangsdaten für eine Smartkarte unter Verwendung der Einrichtung 154 verarbeitet werden. Vorbereitungsverarbeitungseinrichtung 154 erzeugt die Ausgangsdatei 160, welche Daten enthält, die im Personalisierungsvorgang für alle zu personalisierenden Karten verwendet werden. Die Datei 160 ist unten in 5A bis 5D detaillierter beschrieben. Daten in der Ausgangsdatei 160 können folgendes enthalten: Daten für eine beliebige Vielfalt von Anwendungen wie z.B. Kredit, Speicherwert, Kundenkarte, etc.; abgeleitete Kartenschlüssel und Ableitungsdaten für bestimmte Anwendungen; und andere Daten. Die resultierende Ausgangsdatei 160 wird dann auf die Personalisierungseinrichtung 150 über den Transportmechanismus 158 übertragen.
• In einer Ausführungsform der Erfindung hat die Eingangsdatei 159 das Format der Ausgangsdatei 160, obgleich in der Datei nicht alle erforderlichen Informationen bereits vorhanden sind. Z.B. wird, wie oben erwähnt, eine große Vielfalt an Informati onen an den Personalisierungsstandort weitergegeben. Daten, die für den Magnetstreifen einer Karte, zum Prägen einer Karte und für Graphiken auf einer Karte bestimmt sind, können schon vorhanden und vollständig in der Eingangsdatei 159 im in den 5A bis 5D beschriebenen Format sein. Nichtsdestotrotz können Daten für eine bestimmte Anwendung oder bestimmte Anwendungen, die für den Chip auf der Karte bestimmt sind, in der Eingangsdatei 159 noch nicht vollständig vorhanden sein. Z.B. können abgeleitete Schlüssel, ein Kartengeheimschlüssel, ein Ausgeberzertifikat und ein Kartenzertifikat in der Eingangsdatei 159 nicht vorhanden sein. Wie in 2 bis 4 beschrieben, wird diese Information zur Ausgangsdatei 160 während des Vorbereitungsvorgangs hinzugefügt. Ferner kann ein Ausgeber verschiedene Systeme (wie z.B. ein on-line-System, ein Karteninhabersystem, ein Ladesystem, etc.) haben, von der die für die Ausgangsdatei 160 bestimmten Eingangsdaten geholt werden. Z.B. können Daten für verschiedene Anwendungen auf der Smartkarte von verschiedenen Quellen kommen. Somit kann die Ausgangsdatei 160 den Vorgang der 2 mehrere Male durchlaufen, wobei bei jedem Mal Informationen für verschiedene Anwendungen zu Datensätzen in der Datei hinzugefügt werden.
• Wenn die Datei 160 den Ort der Personalisierung erreicht, verarbeitet die Einrichtung 150 die Datei 160 unter Verwendung von Standardverarbeitungstechniken, um die Smartkarten zu personalisieren, deren Personalisierungsdaten in der Datei 160 wiedergegeben sind. In einer Ausführungsform zeigen Modulidentifiziercodes in der Datei 160 an, welche Verarbeitungsmodule welche Daten verarbeiten sollen. Insbesondere werden nicht geheime Daten und geheime Daten (wie z.B. abgeleitete Schlüssel, öffentliche Schlüsselpaare und Zertifikate) für jede Anwendung, die auf einer Smartkarte verfügbar ist, auf der Datei 160 durch die Einrichtung 150 ausgelesen und bei der Personalisierung auf jede Smartkarte übertragen.
• Wenn der Rest des Personalisierungsvorgangs am Ort der Personalisierung durchgeführt wird, muss die Personalisierungseinrichtung 150 keine Kartenschlüssel mehr herleiten oder Kartenschlüsselpaare erzeugen, was typischerweise sehr zeitaufwendig ist. Ein weiterer Vorteil ist, dass sie vorliegende Erfindung eine verbesserte Sicherheit erlaubt, da die Master-Schlüssel den Standort oder den Verfügungsbereich des Ausgebers nicht verlassen müssen.
• AUSFÜHRUNGSFORM DER SICHERHEITSVORKEHRUNGEN
• Dem Fachmann wird bewusst sein, dass eine große Vielfalt von Schlüsseln und Verschlüsselungsalgorithmen von dem Kartenlieferanten, Ausgeber, Personalisierer und durch die Karte selbst benutzt werden können, um während der Kartenherstellung, -transport und -personalisierung Sicherheit zu gewährleisten. Das folgende stellt eine mögliche Ausführungsform zur Verwendung bei einer Vielfalt von Schlüsseln zum Gewährleisten von Sicherheit bei verschiedenen Aspekten der Erfindung dar. Selbstverständlich kann auch eine große Vielfalt anderer Schlüsselformen verwendet werden. Bei dieser Ausführungsform erzeugt der Ausgeber verschiedene Schlüssel, um Sicherheit zu gewährleisten. Z.B. könnte der Ausgeber erzeugen: einen Masterladeschlüssel (KML), der dazu verwendet wird, einen abgeleiteten eindeutigen Updateschlüssel (KDU) für jede personalisierte Karte zu erzeugen; einen Ausgebertransportschlüssel (ZCMK); einen Lieferantenupdateschlüssel (KMC), der dazu verwendet wird, einen abgeleiteten eindeutigen Lieferanten-Updateschlüssel (KDC) für jede personalisierte Karte zu erzeugen; eine Schlüsselversion-Update (VKUiep), die auf die Schlüsselversion des KMC initialisiert wird, der dazu verwendet wird, den anfänglichen diversifizierten Schlüssel für Update-Transaktionen einer Karte zu erzeugen; und einen Schlüsselverschlüsselungsschlüsse (KEK) zum Verschicken von anderen Schlüsseln an den Standort der Personalisierung. KDC wird vorzugsweise durch den Kartenlieferanten auf jede Karte zur Verwendung als Transportschlüssel gegeben, um die Karten vor der Personalisierung zu sichern. Der Schlüssel KMC wird zum Lieferanten und zum Ort der Personalisierung geschickt.
• HSM 130 wird dazu verwendet, importierte Master-Schlüssel wie z.B. KMU, KML, KMC, KEK, einen Schlüsselaustauschschlüssel, die öffentlichen und geheimen Schlüssel des Ausgebers und das öffentliche Schlüsselzertifikat des Ausgebers zu erzeugen oder zu speichern. HSM 130 verwendet auch die Master-Schlüssel dazu, spezielle Schlüssel wie z.B. KDL, KDU, die öffentlichen und geheimen Schlüssel der Karte zu erzeugen, und erzeugt das öffentliche Schlüsselzertifikat der Karte. HSM 152 ist eine ähnliche Einrichtung wie HSM 130. HSM 152 wird dazu verwendet, geheime Daten in der Ausgangsdatei 160 unter Verwendung von KEK zu entschlüsseln und die geheimen Daten unter einem der Karte bekannten Schlüssel zu verschlüsseln (z.B. einen Sitzungsschlüssel), bevor sie zur Personalisierung zur Karte geschickt werden.
• HSM 152 verwendet auch KMC, um vom Kartenlieferanten erhaltene Karten zu entsperren.
• Zusätzlich können eine Vielfalt von Techniken dazu verwendet werden, geheime Daten (wie z.B. Schlüssel, Zertifikate, etc.) zu schützen, die auf eine Karte geladen werden sollen, und diese Techniken können von der Anwendung abhängen, für die die geheimen Daten erzeugt werden. Da geheime Daten am Standort des Ausgebers, anstatt am Ort der Personalisierung, erzeugt werden können, wird bevorzugt, diese geheimen Daten zu schützen, bevor sie auf eine Weise auf der Karte gespeichert werden. In einer Ausführungsform werden geheime Daten unter einem Schlüsselverschlüsselungsschlüssel verschlüsselt, nachdem sie erzeugt wurden. Sind sie am Ort der Personalisierung angelangt, entschlüsselt HSM 152 die geheimen Daten, verschlüsselt sie wieder unter einem der Karte bekannten Personalisierungsschlüssel, und dann werden die verschlüsselten geheimen Daten mittels der Personalisierungseinrichtung 150 auf die Karte geladen. In einer zweiten Ausführungsform werden geheime Daten unter einem der Karte bekannten Personalisierungsverschlüsselungsschlüssel verschlüsselt, wenn die geheimen Daten am Standort des Ausgebers erzeugt werden. Die Einrichtung 150 lädt diese verschlüsselten Daten ohne Veränderung auf die Karte. Andere Techniken zum Schutz der geheimen Daten können auch verwendet werden.
• PERSONALISIERUNGSVORBEREITUNGSVORGANG
• 2 ist ein Flussdiagramm eines Verfahrens gemäß einer Ausführungsform der vorliegenden Erfindung zum Durchführen eines Vorbereitungsvorgangs zum Erzeugen der Ausgangsdatei 160 in der Vorbereitungsverarbeitungseinrichtung 154. Das Flussdiagramm wird für jeden Datensatz von Kartendaten, d.h. für jede zu personalisierende Karte, durchgeführt. Im allgemeinen wird ein Datensatz von der Eingangsdatei 159 zur Ausgangsdatei 160 bewegt, wenn neue Daten (z.B. abgeleitete Schlüssel, Zertifikate, etc.) für derartige Anwendungen zugegeben worden sind, die derartige neue Daten benötigen. Die Datenregion für eine Anwendung wie z.B. eine Kundenkartenanwendung, die keine abgeleiteten Schlüssel benötigt, kann durch das Verfahren der 2 unbeeinflusst sein. Vorzugsweise stellt der Ausgeber Parameter wie z.B. eine Identifikation der zu verwendenden Verarbeitungsmodulidentifizierer bereit (wie z.B. Smartkarte, Magnetstreifen, etc.), und eine Identifikation der in die Ausgangsdatei 160 zu schreibenden Smartkartenanwendungen.
• In einem ersten Schritt liefert der Ausgeber zu verarbeitende Kartendatensätze in Form einer Eingangsdatei 159. Ein Ausgeber kann verschiedene Systeme haben (z.B. ein on-line-System, ein Karteninhabersystem, ein Ladesystem, etc.), von denen die Karten-Datensätze erhalten werden. Die Datei 159 kann in einem beliebigen geeigneten Format sein. Wie oben erwähnt ist die Eingangsdatei 159 vorzugsweise im in den 5A bis 5D gezeigten Format. Im allgemeinen enthält die Datei 159 karteninhaber-spezifische Daten und anwendungsspezifische Daten. Anwendungs-spezifische Daten enthalten Anwendungsparameter und Identifizierer von zu benutzenden Master-Schlüsseln.
• Der Inhalt der Datei 159 kann sich in Abhängigkeit der Arten der Anwendungen unterscheiden, die auf den Karten implementiert werden sollen. Z.B. kann eine Wertspeicheranwendung möglicherweise keine karteninhaber-spezifischen Daten erfordern. Viele der Datenfelder werden bereits Werte haben, insbesondere Daten, die für den Magnetstreifen einer Karte, zum Prägen einer Karte und für Grafiken auf einer Karte gedacht sind. In anderen Worten können die Daten für diese besonderen Anwendungsmodule bereits vorhanden sein. Dennoch können Datenfelder, die abgeleitete Schlüssel, Zertifikate und andere geheime Informationen für besondere Anwendungen noch nicht ausgefüllt sein. Vorteilhafterweise stellt 2 eine Ausführungsform zur Bereitstellung dieser Daten am Ort des Ausgebers bereit.
• In Schritt 301 wird eine Liste von Anwendungen, die abgeleitete Schlüssel, ein Schlüsselpaar, Zertifikate und/oder andere geheime Informationen brauchen, identifiziert, und diese Liste von Anwendungen wird abgerufen. Diese Liste wird vorzugsweise von dem Ausgeber identifiziert und in die Einrichtung 154 unter Verwendung einer beliebigen geeigneten auf der Einrichtung 154 verfügbaren job-setup-Funktion eingegeben. Die Schritte 302–312 werden dann für jede Anwendung durchgeführt, die im Kontext eines Datensatzes der Datei 159 identifiziert wurde, die einer zu personalisierenden Karte entspricht.
• Schritt 302 bestimmt, ob es im aktuellen Datensatz irgendwelche Daten für die aktuelle Anwendung gibt, aus denen Ableitungsdaten erzielt werden könnten. Wenn es für die aktuelle Anwendung Daten im Datensatz gibt, wird in Schritt 304 bestimmt, ob es geeignete Ableitungsdaten im Datensatz für diese Anwendung gibt. Wenn es Ableitungsdaten im Datensatz gibt, werden Kartenschlüssel in Schritt 318 abgeleitet (und/oder es werden Schlüsselpaare und Zertifikate erzeugt). Wenn es im Datensatz keine Ableitungsdaten gibt, werden die Ableitungsdaten in Schritt 316 abgerufen, und daraufhin wird Schritt 318 durchgeführt. Schritt 318 wird weiter unten mit Bezug auf die 3 und 4 detaillierter beschrieben. Ableitungsdaten können eine beliebige im Datensatz (oder an einem anderen Ort) vorhandene Informationen sein, wie z.B. die Identifikationsnummer der Smartkarte. Ein Kartennummernzähler in der Einrichtung 154 kann auch als Ableitungsdatum verwendet werden. Andere geeignete Ableitungsdaten, die für eine bestimmte Karte eindeutig sind, können auch verwendet werden.
• Sobald die Kartenschlüssel in Schritt 318 abgeleitet worden sind (und/oder Schlüsselpaare und Zertifikate erzeugt worden sind), werden die abgeleiteten Schlüssel und Ableitungsdaten (wenn notwendig) mit dem Rest der in Schritt 320 bereits im Datensatz vorhandenen Eingangsdaten verbunden. Diese Verbindung wird mittels einer beliebigen einer großen Vielfalt von Datenverarbeitungstechniken durchgeführt. In einer Ausführungsform werden die abgeleiteten Schlüssel und/oder Ableitungsdaten einfach neben die existierenden Eingangsdaten in den Datensatz eingeordnet. Als nächstes bestimmt Schritt 312, ob es eine weitere Anwendung gibt, die abgeleitete Schlüssel (und oder Schlüsselpaare und Zertifikate) benötigt. Wenn dem so ist, kehrt die Steuerung zu Schritt 302 zurück, damit diese nächste Anwendung verarbeitet werden kann.
• Wenn in Schritt 302 bestimmt wird, dass es im aktuellen Datensatz keine Daten für die aktuelle Anwendung gibt, die als Ableitungsdaten verwendet werden könnten, werden in Schritt 306 geeignete Ableitungsdaten abgerufen. Diese Ableitungsdaten können auf verschiedene Weise abgerufen werden. Vorzugsweise erzeugt die Einrichtung 154 sequentiell eine eindeutige Kartennummer für den zur Zeit aktuellen Datensatz, die als Ableitungsdaten dienen soll. In Schritt 308 werden dann die Kartenschlüssel abgeleitet (und/oder Schlüsselpaare und Zertifikate erzeugt). Schritt 308 wird unten mit Bezug auf die 3 und 4 detaillierter beschrieben.
• Die abgeleiteten Schlüssel und Ableitungsdaten werden dann in Schritt 310 am geeigneten Platz für die aktuelle Anwendung in den Datensatz eingeordnet (z.B. unter Verwendung des Formats der 5A bis 5D). Als nächstes bestimmt Schritt 312, ob es eine weitere Anwendung gibt, die abgeleitete Schlüssel (und/oder Schlüsselpaare und Zertifikate) benötigt. Wenn dem so ist, kehrt die Steuerung zu Schritt 302 zurück, damit diese nächste Anwendung verarbeitet werden kann.
• Wenn es jedoch keine weitere Anwendung gibt, die abgeleitete Schlüssel benötigt (und/oder Schlüsselpaare und Zertifikate), wird der aktuelle Datensatz in Schritt 322 in die Ausgangsdatei 160 geschrieben. Für Anwendungen wie eine Kundenkartenanwendung, die möglicherweise keine abgeleiteten Schlüssel benötigt, sind deren Daten bereits im aktuellen Datensatz vorhanden und werden ebenfalls in die Ausgangsdatei geschrieben. Nachdem alle Datensätze verarbeitet worden sind (die allen Smartkarten entsprechen, die später personalisiert werden), ist die Datei 160 bereit zur Auslieferung an die Personalisierungseinrichtung 150 am Ort der Personalisierung.
• Vorzugsweise enthält jeder Datensatz in der Datei 160 für eine Anwendung, die öffentliche Schlüsselverfahren verwendet: kartenspezifische Daten wie die Kartennummer, den geheimen Kartenschlüssel, das öffentliche Schlüsselzertifikat der Karte; das öffentliche Schlüsselzertifikat des Ausgebers; und jegliche erforderliche von der Karte abgeleitete symmetrische Schlüssel. In verschiedenen Ausführungsformen sind die symmetrischen Schlüssel DES Schlüssel. Eine bevorzugte Sicherheitsausführungsform enthält auch einen message authentication Code (MAC) zusammen mit dem MAC Schlüssel, der dazu verwendet wird, den MAC zu berechnen; und alle geheimen Daten (einschließlich des MAC Schlüssels) wird unter KEK verschlüsselt. In einer Ausführungsform enthalten diese geheimen Daten alle symmetrischen Schlüssel und eine Wiedergabe des geheimen Schlüssels der Karte.
• In einer alternativen Ausführungsform werden die abgeleiteten Schlüsseldaten (und/oder Schlüsselpaare und Zertifikate) mit Anwendungsdaten verbunden und dann in den Schritten 310 und 320 in einen Ausgangsdatensatz geschrieben, anstatt direkt in den aktuellen Datensatz der Eingangsdatei 159 eingeordnet zu werden. Bei diesem Szenario werden Anwendungsdaten für Anwendungen wie Kundendatenanwendungen (die möglicherweise keine abgeleiteten Schlüssel erfordern) in den Ausgangsdatensatz nach Schritt 312 geschrieben, wodurch die Kundenkartenanwendungsdaten mit anderen Anwendungsdaten des Ausgangsdatensatzes effektiv verbunden wird. Der Ausgangsdatensatz kann dann auf die gleiche Weise wie im Schritt 322 in die Ausgangsdatei 160 geschrieben werden. Auf diese Weise werden Daten für die in der Eingangsdatei 159 vorhandenen Anwendungen, die die Verarbeitung der 2 nicht brauchen würden, dennoch in die Ausgangsdatei 160 geschrieben. Vorteilhaft werden Anwendungsdaten für Anwendungen, die keine abgeleiteten Schlüssel erfordern (und oder Schlüsselpaare und Zertifikate) zusammen mit Personalisierungsdaten wie Magnetstreifeninformationen, Prägeinformationen, etc. effektiv mit Anwendungsdaten für Anwendungen verbunden, die abgeleitete Schlüssel erfordern (und/oder Schlüsselpaare und Zertifikate). Die gemeinsame Ausgangsdatei 160 wird dadurch so gestaltet, dass sie die gesamten Personalisierungsinformationen für eine Anzahl von Karten für eine Vielfalt von Anwendungen enthält.
• 3 ist ein Flussdiagramm, welches ein Ausführungsbeispiel zur Durchführung von einem der Schritte 308 oder 318 der 2 beschreibt, d.h. eine Methode zum Ableiten von Kartenschlüsseln. In dem in 3 beschriebenen Ausführungsbeispiel werden Kartenschlüssel unter Verwendung von symmetrischer Kryptographie abgeleitet. Z.B. können dazu Datenverschlüsselungsstandard-(DES) oder Triple-DES-Algorithmen verwendet werden. Eine große Vielfalt von Schlüsseln kann zur späteren Verwendung bei der Personalisierung einer bestimmten Karte abgeleitet werden. Beispiele für diese Schlüssel sind: ein abgeleiteter Ladeschlüssel (KDL), der dazu verwendet wird, Sicherheit während des Ladevorgangs zu gewährleisten und unter Verwendung von KML abgeleitet wird; und ein abgeleiteter Update-Schlüssel (KDU), der dazu verwendet wird, während des Update-Vorgangs Sitzungsschlüssel zu erzeugen, und unter Verwendung von KMU abgeleitet wird.
• Wenn Kartenschlüssel abgeleitet werden, wird zunächst in Schritt 402 ein Master-Schlüssel identifiziert. Der Schlüssel kann in einem beliebigen geeigneten Schlüsselspeichermechanismus vorhanden sein, der Master-Schlüssel speichern kann. Vorzugsweise ist der Master-Schlüssel innerhalb des HSM 130 vorhanden. In Schritt 404 werden dann aus den oben in den Schritten 306 oder 316 abgerufenen Daten Ableitungsdaten identifiziert und an HSM 130 geliefert. In Schritt 406 werden die Ableitungsdaten mit dem Master-Schlüssel unter Verwendung von HSM 130 verschlüsselt und liefern dadurch einen kartenabgeleiteten Schlüssel. Der kartenabgeleitete Schlüssel kann dann vom HSM 130 auf die Einrichtung 154 zur letztendlichen Eingabe in den aktuellen Datensatz transferiert werden. In Schritt 408 wird dann bestimmt, ob ein weiterer abgeleiteter Schlüssel benötigt wird, da gewisse Anwendungen mehrere Schlüssel erfordern können. Z.B. kann eine Anwendung einen Schlüssel zur Datenve rifikation und einen separaten Schlüssel zur Verschlüsselung verwenden. Wenn ein weiterer Schlüssel benötigt wird, kehrt die Steuerung zu Schritt 402 zurück. Wenn jedoch kein weiterer Schlüssel benötigt wird, endet das Verfahren.
• 4 ist ein Flussdiagramm, welches ein weiteres Ausführungsbeispiel zur Durchführung eines der Schritte 308 oder 318 der 2 zeigt, d.h. eine weitere Methode zur Ableitung von Kartenschlüsseln. In dem in 4 beschriebenen Ausführungsbeispiel werden Kartenschlüssel unter Verwendung von asymmetrischer Kryptographie abgeleitet. Z.B. kann dazu ein Kryptographieverfahren für öffentliche Schlüssel verwendet werden.
• In diesem Ausführungsbeispiel werden Schlüssel unter Verwendung von öffentlichen Schlüsselmethoden abgeleitet. Die Schritte 500 und 501 werden vorzugsweise vor der Initiierung der in 2 gezeigten Schritte zu einer Installationszeit ausgeführt. Schritt 500 erzeugt ein Ausgeberschlüsselpaar (geheimer Schlüssel und öffentlicher Schlüssel des Ausgebers). Vorzugsweise erzeugt HSM 130 das Schlüsselpaar.
• Schritt 501 erzeugt das Ausgeberzertifikat, indem der öffentliche Schlüssel des Ausgebers an eine vertrauenswürdige dritte Partei geschickt wird und das Ausgeberzertifikat von der vertrauenswürdigen dritten Partei empfangen wird. Jegliche vertrauenswürdige dritte Partei und jegliche Zertifikationsmethoden können verwendet werden. In einer Ausführungsform wird das Ausgeberzertifikat durch die Visa Certification Authority erzeugt, indem der öffentliche Schlüssel des Ausgebers und die dazugehörigen Zertifikatdaten unter einem Visa Certification Authority Private Key verschlüsselt werden.
• Wenn später die Ableitung der Kartenschlüssel gefordert wird (wie in den Schritten 308 und 318 der 2), wird in Schritt 502 ein Kartenschlüsselpaar erzeugt (geheimer Schlüssel und öffentlicher Schlüssel der Karte). Vorzugsweise erzeugt HSM 130 das Kartenschlüsselpaar. In Schritt 504 wird dann ein Kartenzertifikat erzeugt, indem der geheime Schlüssel des Ausgebers verwendet wird, den öffentlichen Schlüssel der Karte zu verschlüsseln. Vorzugsweise erzeugt HSM 130 auch das Kartenzertifikat.
• Der geheime Kartenschlüssel, das Ausgeberzertifikat und das Kartenzertifikat werden dann entweder in Schritt 310 oder Schritt 320 zusammengefügt, um in den Datensatz der Karte eingefügt zu werden. Vorzugsweise wird der geheime Schlüssel der Karte an den Personalisierungsvorgang als Chinese Remainder Theorem Constants weitergegeben. Der öffentliche Schlüssel der Karte und der öffentliche Schlüssel des Ausgebers sind vorzugsweise innerhalb ihrer jeweiligen Zertifikate in einer beliebigen Form vorhanden. Jeglicher Teil eines der öffentlichen Schlüssel, der nicht in das Zertifikat passt, wird vorzugsweise ebenfalls auf der Karte untergebracht, so dass jeder öffentliche Schlüssel auf der Karte vertreten ist.
• Die Ableitung der Ausgeber- und Kartenschlüssel und die Erzeugung der Zertifikate kann durch Verwendung von wohlbekannten RSA Kryptographiemethoden erreicht werden. Vorzugsweise verwenden die Erzeugung von Ausgeber- und Kartenschlüsselpaaren RSA mit einem Exponenten des öffentlichen Schlüssels von 3 oder von 2¹⁶+1. Sowohl die in 3 gezeigte symmetrische kryptographische Kartenschlüsselableitung als auch die 4 gezeigte asymmetrische kryptographische Kartenschlüsselableitung können bei dem in 2 gezeigten Ausführungsbeispiel verwendet werden.
• Die 5A–5D veranschaulichen eine mögliche Ausführungsform eines Formats für die Ausgangsdatei 160. Die Ausgangsdatei 160 wird durch den Ausgeber der Person zur Verfügung gestellt, die die Personalisierung der Smartkarten durchführt. Die Ausgangsdatei 160 kann auf viele verschiedene Arten implementiert sein und eine große Vielfalt von Formaten haben. Die unten stehende Beschreibung bietet ein geeignetes Format, von dem man herausgefunden hat, dass es gut funktioniert.
• Eine große Vielfalt von Datentypen können innerhalb der Ausgangsdatei 160 zur Verwendung während der Personalisierung enthalten sein. Z.B. enthalten die Datentypen Daten, die auf Karten eingeprägt werden sollen, Daten, die auf den Magnetstreifen codiert werden sollen und graphische Daten, die auf die Karte gedruckt werden sollen. Für die Personalisierung der Chips auf Smartkarten ist ein zusätzlicher Datentyp vorhanden, nämlich Daten für eine Anwendung auf dem Chip. Im folgenden wird ein geeignetes Format illustriert, mit dem Daten mehrerer Anwendungen in die Ausgangsdatei 160 geschrieben werden können. Man beachte die interessante Hintergrundinformation, dass eine typische Personalisierungseinrichtung 150 eine Reihe von Verarbeitungsschritten oder Verarbeitungsmodulen enthält, welche Personalisierungsaufgaben durchführen. Jedes Verarbeitungsmodul verwendet Daten aus dem Ein gangsdatensatz für eine bestimmte Karte, um seine Aufgabe für diese Karte durchzuführen. In dieser Ausführungsform werden die Daten für ein bestimmtes Verarbeitungsmodul durch einen Modulidentifizierungscode (MIC) identifiziert. Im allgemeinen wird jeder MIC von Daten gefolgt, die für dieses Verarbeitungsmodul verarbeitet werden sollen. Z.B. führt ein bestimmtes Verarbeitungsmodul die Aufgabe aus, Daten auf den Chip innerhalb einer Smartkarte zu laden. Dieses Modul weist einen entsprechenden Modulidentifizierungscode (MIC) auf.
• 5A veranschaulicht eine Ausführungsform der Ausgangsdatei 160. In der Datei 160 befinden sich eine Reihe von Datensätzen 602 bis 606, die jeweils Personalisierungsdaten für eine bestimmte zu personalisierende Smartkarte enthalten. Eine beliebige Anzahl anderer Datensätze 608 kann auch in der Datei enthalten sein.
• 5B veranschaulicht ein Beispiel eines Kartendatensatzes 602 aus der Datei 160. Der Datensatz 602 hat im allgemeinen das Format eines MIC gefolgt von den Daten, die durch das durch den MIC identifizierte Verarbeitungsmodul verwendet werden sollen. MIC 610 indiziert ein bestimmtes Verarbeitungsmodul. Die Datenlänge 612 zeigt die Länge der Daten 614 an, die dem MIC 610 zugeordnet sind. Wenn dieser Datensatz durch die Personalisierungseinrichtung 150 gelesen wird, werden die Daten 614 durch das durch MIC 610 identifizierte geeignete Verarbeitungsmodul verwendet, um die im Datensatz 602 identifizierte Karte zu personalisieren. Auf ähnliche Weise stellen MIC 616, Datenlänge 618 und Daten 620 Daten für ein anderes Bearbeitungsmodul bereit, welches durch MIC 616 identifiziert wird und dazu verwendet wird, die gleiche Karte zu personalisieren. Eine beliebige Anzahl von anderen Gruppen 622 von MICs und Daten können auch im Datensatz 602 vorhanden sein. Ein MIC identifiziert ein Verarbeitungsmodul, dass die Daten verwenden soll, die dem MIC entsprechen, der auf den Chip innerhalb der Smartkarte geladen werden soll. In diesem Beispiel identifiziert MIC 616 Daten, die auf einen Chip für eine beliebige Anzahl von Kartenanwendungen geladen werden sollen.
• 5C veranschaulicht ein Datenfeld 620, das von einem Verarbeitungsmodul verwendet werden soll, um Daten auf den Chip einer Smartkarte zu laden. Die Daten 620 können Daten, Identifizierer und Schlüssel für eine beliebige Anzahl von Anwendungen auf der Karte enthalten. In dieser Ausführungsform enthalten die Anwendungsdaten 620 folgende Informationen. Der Anwendungsidentifizierer 630 identifi ziert eine erste auf der Karte vorhandene Anwendung. Die Datenlänge 632 zeigt die Gesamtlänge der folgenden Informationen für diese Anwendung an, einschließlich des Schlüssels 634, Daten 636, einem MAC Schlüssel und dem MAC selbst. Der KEK Identifizierer 634 ist ein Identifizierer für den Schlüsselverschlüsselungsschlüssel (KEK), der dazu verwendet wird, geheime Daten für diese erste Anwendung zu verschlüsseln. In einer Ausführungsform enthält der KEK Identifizierer 634 einen Ausgeberidentifizierer und einen Versionsidentifizierer für den KEK. Anwendungsdaten 636 ist ein Feld mit variabler Länge, welches jegliche und alle Anwendungsdaten enthält, die dazu erforderlich sind, eine Karte für eine bestimmte Anwendung zu personalisieren. In einer Ausführungsform wird ein MAC zusammen mit den Anwendungsdaten 636 verwendet. In dieser Ausführungsform folgt den Anwendungsdaten 636 ein Schlüssel, der zum Berechnen des MACs verwendet wird. Vorzugsweise wird dieser Schlüssel unter dem KEK verschlüsselt. Diesem Schlüssel folgt der MAC selbst, der unter Verwendung der Felder beginnend bei dem Anwendungsidentifizierer 630 bis zu und einschließlich dem zur Berechnung des MAC verwendeten Schlüssels berechnet wird.
• Die dem MIC 616 zugeordneten Daten 620 können auch Anwendungsdaten für eine beliebige Anzahl von Anwendungen enthalten, die auf den zu initialisierenden Smartkarten vorhanden sein können. Somit identifizieren auf ähnliche Weise der Anwendungsidentifizierer 640, Datenlänge 642, KIK Identifizierer 644 und die Anwendungsdaten 646 eine zweite Anwendung und Daten, die dieser Anwendung während der Personalisierung zur Verfügung gestellt werden sollen. Eine beliebige Anzahl von anderen identifizierten Anwendungen 650 und ihrer zugehörigen Daten können auch innerhalb der Daten 620 vorhanden sein.
• 5D veranschaulicht ein mögliches Format für Anwendungsdaten 636 der 5D. Man beachte, dass Daten und Schlüssel für eine Anwendung innerhalb des Feldes 636 auf viele verschiedene Weisen gespeichert sein können. Als Beispiel wird nun eine Methode beschrieben, die Kennzeichnung-Länge-Wert Triplette (tag-lengthvalue triplets) verwendet.
• Bei diesem Format werden die Daten für eine Anwendung durch Kennzeichnung-Länge-Wert Triplette dargestellt, wobei jedes Triplett ein Stück Information darstellt. Z.B. ist die Kennzeichnung 70 ein Feld mit variabler Länge, welches einen be stimmten Informationstyp identifiziert, Länge 672 zeigt die Länge der Daten an, und der Wert 674 stellt die Daten selbst zur Verfügung. Auf ähnliche Weise stellen Kennzeichnung 680, Länge 682 und Wert 684 ein weiteres Stück Information zur Verwendung durch die erste Anwendung zur Verfügung. Optional kann zum Feld 636 ein weiteres Feld hinzugefügt werden, welches die Gesamtlänge aller Kennzeichnung-Länge-Wert Daten anzeigt.
• Eine große Vielfalt von Feldern (dargestellt durch eine Kennzeichnung, eine Länge und einen Wert) können in den Anwendungsdaten 636 vorhanden sein. In einer bestimmten Ausführungsform der Erfindung unterstützt die Ausgangsdatei 160 sowohl eine Speicherwertanwendung und eine Kredit/Abbuchungsanwendung. In dieser speziellen Ausführungsform findet man Kennzeichnungen für die Speicherwertanwendung in Visa International Specifications For Reloadable Stored Value Cards With Public Key Technology, Visa International, 1996; Kennzeichnungen für die Kredit/Abbuchungsanwendung findet man in Visa Integrated Circuit Card Specification, a.a.O. Natürlich können auch eine große Vielfalt von anderen Kennzeichnungen für andere Anwendungen verwendet werden. Im allgemeinen stellen diese Felder von Anwendungsdaten 636 dem Personalisierungsvorgang Informationen wie nichtgeheime Karteninhaberdaten, abgeleitete Verschlüsselungsschlüssel einschließlich Verschlüsselungsalgorithmen, Sicherheitsinstruktionen, Kontrollnummern, die sicherstellen, dass die korrekte Version von Schlüsseln verwendet wird, Nachrichten-Authentifikationscodes, etc., bereit.
• In einer speziellen Ausführungsform, in der die zu personalisierenden Karten eine Speicherwertanwendung enthalten, enthält der Datensatz für eine bestimmte Karte folgende Felder: der geheime Schlüssel der Karte (ausgedrückt als Chinese Remainder Theorem Constants); ein Ausgeberzertifikat; ein Kartenzertifikat; Kartendaten und eine MAC Signatur für den Datensatz. Die Kartendaten enthalten: einen Anwendungsidentifizierer für einen elektronischen Geldbeutel (intersector electronic purse, IEP); einen durch einen IEP erforderten Authentifikationsmodus; ein Anwendungsprofil eines IEPs; den Kontostand eines IEPs; den maximalen Kontostand eines IEPs; den geheimen Schlüssel der Karte (as Chinese Remainder Theorem Constants); Identifizierer des Kartenlieferants eines IEPs; einen Währungsexponenten für einen IEP; die Währung eines IEPs; das Aktivierungsdatum eines IEPs; das Deaktivierungsdatum eines IEPs; das Ablaufdatum eines IEPs; das Zertifikat des Geldbörsenproviders; einen Identifizierer für einen IEP; einen diversifizierten Schlüssel für Aufladetransaktionen; einen diversierten Schlüssel für Update-Transaktionen; den Typ von EF, Die Version des IEPs; die Schlüsselversion des IEPs; und einen öffentlichen Schlüsselindex der Zertifikatsstelle.
• AUSFÜHRUNGSBEISPIEL DES COMPUTERSYSTEMS
• 6 veranschaulicht ein Computersystem 900, welches zur Implementierung eines Ausführungsbeispiels der vorliegenden Erfindung geeignet ist. Das Computersystem 900 enthält eine Anzahl von Prozessoren 902 (auch central processing units oder CPU genannt), die mit Speichereinrichtungen gekoppelt sind, welche einen primären Speicher 906 (wie z.B. einen Direktzugriffsspeicher oder RAM) und einen primären Speicher 904 (z.B. einen Nurlesespeicher oder ROM) enthalten. Wie im Stand der Technik wohlbekannt, dient der primäre Speicher 904 dazu, Daten und Instruktionen einseitig gerichtet zur CPU zu übertragen, und der primäre Speicher 906 wird typischerweise dazu verwendet, Daten und Befehle auf bidirektionale Weise zu transportieren. Beide dieser Primärspeichereinrichtungen können ein beliebiges geeignetes der unten beschriebenen computerlesbaren Medien enthalten. Eine Massenspeichereinrichtung 908 ist auch bidirektional mit der CPU 902 gekoppelt und bietet zusätzliche Datenspeicherkapazität und kann auch jegliche der unten beschriebenen computerlesbaren Medien enthalten. Die Massenspeichereinrichtung 908 kann dazu verwendet werden, Programme, Daten und dergleichen zu speichern und ist typischerweise ein sekundäres Speichermedium (wie z.B. eine Festplatte), die langsamer ist als der primäre Speicher. Es versteht sich, dass die in der Massenspeichereinrichtung 908 gehaltenen Informationen in geeigneten Fällen auf bekannte Weise als virtueller Speicher als Teil des primären Speichers 906 aufgenommen werden können. Eine spezielle Massenspeichereinrichtung wie z.B. eine CD-ROM 914 gibt Daten unidirektional zur CPU weiter.
• Die CPU 902 ist auch mit einer Schnittstelle 910 gekoppelt, welche eine oder mehrere Eingabe-/Ausgabeeinrichtungen enthält, wie z.B. Videomonitore, Trackballs, Mäuse, Tastaturen, Mikrophone, tastsensitive Displays, Transducer-Kartenleser, Papier- oder Magnetbandleser, Tablets, Stifte (styluses), Sprach- oder Handschrifterkenner, Biometrikleser oder andere Computer. Die CPU 902 kann optional mit einem an deren Computer oder Telekommunkationsnetzwerk unter Verwendung einer Netzwerkverbindung gekoppelt sein, wie allgemein bei 912 gezeigt. Man überlegt, dass bei einer derartigen Netzwerkverbindung die CPU Informationen vom Netzwerk erhalten. könnte oder Ausgangsinformationen zum Netzwerk ausgeben könnte, während sie die oben beschriebenen Verfahrensschritte ausführt. Ferner können Verfahren und Ausführungsbeispiel der vorliegenden Erfindung allein auf der CPU 902 ausgeführt werden, oder über eine Netzwerkverbindung wie das Internet in Verbindung mit einer fernen CPU ausgeführt werden, die einen Teil der Verarbeitung übernimmt.
• Zusätzlich können Ausführungsformen der vorliegenden Erfindung ferner Computerspeicherprodukte mit einem computerlesbaren Medium betreffen, die darauf Computercodes zum Durchführen verschiedener computerimplementierter Operationen aufweisen. Die Media- und Computercodes können für die Zwecke der vorliegenden Erfindung speziell entworfen und konstruiert sein, oder sie können wohlbekannt und dem Fachmann für Computersoftware verfügbar sein. Beispiele für computerlesbare Medien sind z.B., aber nicht ausschließlich: magnetische Medien wie z.B. Festplatten, Disketten und Magnetband, optische Medien wie CD-ROMs und holographische Vorrichtungen; magneto-optische Medien wie Floptical Discs; und Hardwareeinrichtungen, die speziell dazu konfiguriert sind, Programmcode zu speichern und auszuführen, wie z.B. anwendungsspezifische integrierte Schaltungen (application-specific integrated circuits, ASICs), programmierbare Logikvorrichtungen (programmable logic devices, PLDs) und ROM- und RAM-Vorrichtungen. Beispiele für Computercode ist z.B. Maschinencode, wie z.B. durch einen Compiler erzeugt, und Dateien mit Code in höheren Programmiersprachen, die durch einen Computer mittels eines Interpreters ausgeführt werden.

Claims (20)

1. Verfahren zur Personalisierung einer Smartkarte, welches die folgenden Schritte umfasst: Identifizieren einer Eingangsdatei mit Kartendaten, wobei die Eingangsdatei an einem ersten Standort vorhanden ist; Identifizieren eines Eingangsdatensatzes der Eingangsdatei mit Ableitungsdaten, die zu der Smartkarte gehören; Ableiten eines ersten abgeleiteten Kartenschlüssels an dem ersten Standort unter Verwendung der Ableitungsdaten, wobei der erste abgeleitete Kartenschlüssel zur Verwendung bei einer ersten Anwendung auf der Smartkarte gedacht ist; Ablegen des ersten abgeleiteten Kartenschlüssels in einem Ausgangsdatensatz in einem der ersten Anwendung entsprechenden Datenbereich, wobei der Ausgangsdatensatz der Smartkarte entspricht und das Ablegen am ersten Standort geschieht; und Schicken des Ausgangsdatensatzes einschließlich des ersten abgeleiteten Kartenschlüssels an einen zweiten Standort, wobei ein Personalisierungsvorgang am zweiten Standort den Ausgangsdatensatz dazu verwendet, die Smartkarte mit dem ersten abgeleiteten Kartenschlüssel zu personalisieren.
2. Verfahren nach Anspruch 1, bei welchem der erste Standort ein Ausgeberstandort und der zweite Standort ein Personalisierungsstandort ist.
3. Verfahren nach Anspruch 1 oder 2, bei welchem der Eingangsdatensatz Personalisierungsdaten für die Smartkarte enthält und das Verfahren ferner folgenden Schritt enthält: am ersten Standort werden die Personalisierungsdaten von dem Eingangsdatensatz mit dem ersten abgeleiteten Kartenschlüssel verbunden, um den Ausgangsdatensatz zu bilden, der an den zweiten Standort geschickt wird.
4. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem der Schritt des Ableitens des ersten abgeleiteten Kartenschlüssels die folgenden Schritte enthält: Abrufen eines Master-Schlüssels von einer Sicherheitseinrichtung; und Ableiten des ersten abgeleiteten Kartenschlüssels mit dem Master-Schlüssel unter Verwendung der der Smartkarte entsprechenden Ableitungsdaten; wobei der erste abgeleitete Kartenschlüssel für diese Smartkarte eindeutig ist.
5. Verfahren nach einem der vorhergehende Ansprüche, welches ferner die folgenden Schritte enthält: Erzeugen eines Kartenschlüsselpaars an dem ersten Standort, einschließlich eines öffentlichen Schlüssels der Karte und eines geheimen Schlüssels der Karte; Erzeugen eines Kartenzertifikats an dem ersten Standort; und Ablegen des geheimen Schlüssels der Karte und des Kartenzertifikats in dem Ausgangsdatensatz, wobei der Schritt des Ablegens am ersten Standort geschieht.
6. Verfahren nach Anspruch 5, wobei der geheime Schlüssel der Karte und das Kartenzertifikat in dem Ausgangsdatensatz in einem Datenbereich abgelegt werden, der der ersten Anwendung Smartkarte entspricht, und wobei der Personalisierungsvorgang am zweiten Standort den Ausgangsdatensatz dazu verwendet, die Smartkarte für die erste Anwendung zu personalisieren.
7. Verfahren nach einem der vorhergehenden Ansprüche, wobei der Personalisierungsvorgang am zweiten Standort den Datensatz dazu verwendet, die Smartkarte sowohl für eine zweite Anwendung als auch für die erste Anwendung zu personali-sieren.
8. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem mehrere Anwendungen zur Benutzung auf der Smartkarte zur Verfügung stehen und das Verfahren ferner die folgenden Schritte umfasst: Ableiten von mehreren Schlüsseln an dem ersten Standort, wobei jeder der abgeleiteten Schlüssel einer der Anwendungen entspricht; und Ablegen von jedem der abgeleiteten Schlüssel in dem Ausgangsdatensatz in einem Datenbereich, der der Anwendung entspricht, zu der der Schlüssel gehört, wobei der Personalisierungsvorgang an dem zweiten Standort den Ausgangsdatensatz dazu verwendet, die Smartkarte für die Anwendungen mittels der abgeleiteten Schlüssel zu personalisieren.
9. Verfahren nach einem der vorhergehenden Ansprüche, welches ferner die folgenden Schritte umfasst: Ablegen von mehreren abgeleiteten Kartenschlüsseln in mehreren Datensätzen in der Ausgangsdatei, wobei jeder der abgeleiteten Kartenschlüssel einer Smartkarte aus einem Stapel von Smartkarten entspricht und in einem der Datensätze abgelegt wird; und Senden der Ausgangsdatei mit den Datensätzen an den zweiten Standort, wobei der Personalisierungsvorgang an dem zweiten Standort die Ausgangsdatei dazu verwendet, automatisch den Stapel von Smartkarten zu personalisieren.
10. Verfahren nach Anspruch 9, welches ferner die folgenden Schritte umfasst: Erzeugen von Sätzen von öffentlichen Kartenschlüsseln, geheimen Kartenschlüsseln und Kartenzertifikaten an dem ersten Standort, wobei jeder Satz einen der öffentlichen Kartenschlüssel, einen der geheimen Kartenschlüssel und einen der Kartenzertifikate enthält und jeder Satz einem Stapel von Smartkarten entspricht; und Ablegen von entsprechenden der geheimen Kartenschlüsseln und Kartenzertifikaten in Datensätzen in einer Ausgangsdatei, wobei jeder der Datensätze einen der geheimer Kartenschlüssel und einen der Kartenzertifikate enthält und jeder Datensatz einem der Smartkarten entspricht; und Senden der Ausgangsdatei an einen Personalisierer, wobei der Personalisierungsvorgang bei dem Personalisierer die Ausgangsdatei dazu verwendet, die Smartkarten automatisch zu personalisieren.
11. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem der Schritt des Personalisierens von einer oder mehreren Smartkarten die folgenden Schritte beinhaltet: Empfangen einer Ausgangsdatei, welche mehrere Datensätze enthält, wobei jeder Datensatz Personalisierungsinformationen für eine der Smartkarten enthält und die Personalsisierungsinformationen für eine der Smartkarten nicht geheime Informationen und verschlüsselte Schlüssel enthält; Personalisieren einer ersten der Smartkarten unter Verwendung der nicht geheimen Informationen aus einem ersten der Datensätze, der der ersten Smartkarte entspricht; Entschlüsseln der verschlüsselten Schlüssel aus dem ersten Datensatz unter Verwendung eines Hardware-Sicherheitsmoduls; und Speichern der entschlüsselten Schlüssel in der ersten Smartkarte, wobei die Ausgangsdatei dazu verwendet wird, die Smartkarten am zweiten Standort ohne die Notwendigkeit zu personalisieren, dass der zweite Standort die Schlüssel erzeugen muss.
12. Verfahren nach Anspruch 11, bei welchem die verschlüsselten Schlüssel abgeleitete Kartenschlüssel enthalten, die unter Verwendung eines Master-Schlüssels am ersten Standort erzeugt wurden.
13. Verfahren nach Anspruch 11 oder 12, bei welchem die verschlüsselten Schlüssel einen geheimen Kartenschlüssel zur Verwendung bei der Verschlüsselung des öffentlichen Schlüssels und ein Kartenzertifikat für jede Smartkarte enthalten, wobei der geheime Kartenschlüssel und das Kartenzertifikat am ersten Standort erzeugt werden.
14. Verfahren nach einem der Ansprüche 11 bis 13, bei welchem jede der Smartkarten mehrere zur Benutzung verfügbare Anwendungen enthält und wobei die Personalisierungsinformationen für jede der Smartkarten wenigstens einen Schlüssel für jede der Anwendungen enthält und das Verfahren ferner die folgenden Schritte umfasst: Entschlüsseln von Schlüsseln für jede der Anwendungen aus dem ersten Datensatz, der der ersten Smartkarte entspricht; und Speichern der entschlüsselten Schlüssel für jede der Anwendungen auf der ersten Smartkarte, wobei jeder verschlüsselte Schlüssel auf der Smartkarte in Verbindung mit der entsprechenden Anwendung gespeichert wird, wobei die Ausgangsdatei dazu verwendet wird, die mehreren Anwendungen auf der Smartkarte am zweiten Standort ohne die Notwendigkeit zu personalisieren, dass der zweite Standort-Schlüssel für jede der Anwendungen erzeugt.
15. System zur Personalisierung von mehreren Smartkarten mit: einer Eingangsdatei (159) mit mehreren Datensätzen, wobei jeder Datensatz einer Smartkarte entspricht und Information über diese eine Smartkarte enthält; einem Hardware-Sicherheitsmodul (130), welches dazu ausgelegt ist, geheime Schlüssel für die Smartkarten zu erzeugen; einer Vorbereitungsverarbeitungseinrichtung (154), die mit dem Hardware-Sicherheitsmodul gekoppelt ist und mit der Eingangsdatei in Kommunikation steht, wobei die Vorbereitungsverarbeitungseinrichtung (154) dazu ausgelegt ist, geheime Schlüssel für die Smartkarte unter Verwendung des Hardware-Sicherheitsmoduls zu erzeugen und die geheimen Schlüssel mit den Informationen in den Datensätzen der Eingangsdatei (159) zu verbinden; und einer Ausgangsdatei (160), welche durch die Vorbereitungsverarbeitungseinrichtung (154) erzeugt ist und zur Verwendung bei einem Personalisierungsvorgang geeignet ist, wobei die Ausgangsdatei (160) mehrere Datensätze enthält und jeder Datensatz einer der Smartkarten entspricht und Informationen über die eine der Smartkarten enthält, die mit wenigstens einem geheimen Schlüssel der geheimen Schlüssel verbunden ist, wobei die Ausgangsdatei durch einen Personalisierer (150) dazu verwendet wird, die Smartkarten zu personalisieren.
16. System nach Anspruch 15, wobei das Hardware-Security-Modul (130) dazu ausgelegt ist, den Smartkarten zugeordnete Master-Schlüssel zu speichern und mit den Master-Schlüsseln unter Verwendung der Ableitungsdaten, die den Smartkarten entsprechen, abgeleitete Kartenschlüssel abzuleiten, wobei ein eindeutiger abgeleiteter Kartenschlüssel für jede Smartkarte erzeugt wird und in einen der Datensätze der Ausgangsdatei abgelegt werden kann.
17. System nach Anspruch 15 oder 16, wobei das Hardware-Sicherheitsmodul (130) dazu ausgelegt ist, ein Kartenschlüsselpaar und ein Kartenzertifikat für jede der Smartkarten zu erzeugen, wobei ein geheimer Kartenschlüssel des Kartenschlüsselpaars und das Kartenzertifikat in einem der Datensätze der Ausgangsdatei abgelegt werden kann.
18. System nach einem der Ansprüche 15 bis 17, wobei mehrere Anwendungen zur Benutzung auf jeder der Smartkarten zur Verfügung steht, wobei das Hardware-Sicherheitsmodul (130) ferner dazu ausgelegt ist, wenigstens einen geheimen Schlüssel für jede der Anwendungen auf jeder der Smartkarten zu erzeugen, wobei die Vorbereitungsverarbeitungseinrichtung (154) ferner dazu ausgelegt ist, die erzeugten geheimen Schlüssel mit den Informationen der Eingangsdatensätze zu verbinden, und wobei jeder Datensatz der Ausgangsdatei (160) einen Datenbereich für jede der Anwendungen enthält, in dem ein entsprechender geheimer Schlüssel abgelegt werden kann, wobei der Personalisierungsvorgang bei dem Personalisierer (150) die Ausgangsdatei dazu verwendet, die Smartkarten für die Anwendungen zu personalisieren.
19. Computer-lesbares Medium, welches Computercode zur Personalisierung einer Smartkarte umfasst, wobei der Computercode des computer-lesbaren Mediums erlaubt, die folgenden Verfahrensschritte durchzuführen: Identifizieren einer Eingangsdatei mit Kartendaten, wobei die Eingangsdatei an einem ersten Standort vorhanden ist; Identifizieren eines Eingangsdatensatzes der Eingangsdatei mit Ableitungsdaten, die zu der Smartkarte gehören; Ableiten eines ersten abgeleiteten Kartenschlüssels an dem ersten Standort unter Verwendung der Ableitungsdaten, wobei der erste abgeleitete Kartenschlüssel zur Verwendung bei einer ersten Anwendung auf der Smartkarte gedacht ist; Ablegen des ersten abgeleiteten Kartenschlüssels in einem Ausgangsdatensatz in einem der ersten Anwendung entsprechenden Datenbereich, wobei der Ausgangsdatensatz der Smartkarte entspricht und das Ablegen am ersten Standort geschieht; und Schicken des Ausgangsdatensatzes einschließlich des ersten abgeleiteten Kartenschlüssels an einen zweiten Standort, wobei ein Personalisierungsvorgang am zweiten Standort den Ausgangsdatensatz dazu verwendet, die Smartkarte mit dem ersten abgeleiteten Kartenschlüssel zu personalisieren.
20. Computer-lesbares Medium, welches Computercode zur Personalisierung von Smartkarten an einem Personalisierungsstandort umfasst, wobei der Computercode des computer-lesbaren Mediums erlaubt, die folgenden Verfahrensschritte durchzuführen: Empfangen einer Ausgangsdatei, welche mehrer Datensätze enthält, wobei jeder Datensatz Personalisierungsinformationen für eine der Smartkarten enthält, wobei die Personalisierungsinformationen von einer der Smartkarten nicht geheime Informationen und verschlüsselte Schlüssel enthält; Personalisieren einer ersten der Smartkarten unter Verwendung der nicht geheimen Informationen von einem ersten Datensatz, der einer ersten Smartkarte entspricht; Entschlüsseln der verschlüsselten Schlüssel aus dem ersten Datensatz unter Verwendung eines Hardware-Sicherheitsmoduls; und Speichern der entschlüsselten Schlüssel auf der ersten Smartkarte, wobei die Ausgangsdatei dazu verwendet wird, die Smartkarten am Personalisierungsstandort ohne die Notwendigkeit zu Personalisieren, dass der Personalisierungsstandort die Schlüssel erzeugt.