專利名稱：帶有保護操作系統(tǒng)的芯片卡的制作方法
芯片卡在日常生活的各個領域以強烈上升的勢頭得到應用。與此相應大量的芯片卡在流通。在芯片卡發(fā)行以后，即在其正常使用期間，為了避免特別是卡持有者的財產(chǎn)損失，通常要采取大量措施。例如在卡丟失以后，至少得防止卡被任意第三者擅自使用。
由于芯片卡的數(shù)量擴展得很快，為了使特別是大量的芯片卡在分別單獨發(fā)給最終用戶之前已經(jīng)得到保護，也必須采取措施。例如由卡制造廠家將可能特別多的芯片卡發(fā)送給卡的分發(fā)者，例如一金融機構。這種途徑相當于在銀行間運送大量的錢，因此相應地易遭受危險。
在JP62-221089公開的技術中通過輸入數(shù)據(jù)編碼，將其與一個存儲在芯片卡上的相對應的數(shù)據(jù)編碼作比較，使芯片卡的封鎖在初始化時被撤消。只有當芯片卡上所存儲的編碼與使用者輸入的編碼一致的時候卡才被解除鎖定進行初始化。在此有一個比較過程。被用來進行比較的數(shù)據(jù)代碼已經(jīng)包含在卡上了。
由JP61一235994所公開的芯片卡在初始化時由使用者輸入使用者特有的數(shù)據(jù)。芯片卡包含兩個不同的命令組。第一命令組允許進行初始化，當初始化成功結束后通過設置一個所謂的“結束標志”來代替第一命令組，而使第二命令組被啟動。由此芯片卡被解除閉鎖，供使用者繼續(xù)使用。
本發(fā)明的目的在于對芯片卡提供一種保護，該保護在芯片卡制造后與交付給正常使用期間的中間階段即生效。由此應該特別排除下列情況，即例如在芯片卡生產(chǎn)過程中加設在芯片卡上的程序密碼本身，尤其是操作系統(tǒng)密碼能被查閱到，以及密碼可能未經(jīng)許可或非業(yè)務性地被修改。
本發(fā)明的目的通過權利要求1中所提供的芯片卡來實現(xiàn)。
在上述芯片卡中，該內(nèi)部處理器和一個裝有操作系統(tǒng)且非易失(nicht-flüchtiger)的程序存儲器相互協(xié)調(diào)，使得芯片卡在其制造后第一次與讀寫器建立數(shù)據(jù)聯(lián)系的時候，只能執(zhí)行一條指令，其中操作系統(tǒng)用于處理器和由此可能需要的芯片卡其它功能元件的操作運行，這些功能元件例如是電源，用于在芯片卡和外部讀寫器之間交換數(shù)據(jù)的數(shù)據(jù)接口等等。該指令將操作系統(tǒng)特有的命令表補充加載到處理器非易失的存儲器中。只有在這個加載操作順利結束后，才有可能將其它的特別是通過芯片卡外部讀寫器輸入的用戶指令配置給用于執(zhí)行該指令的操作系統(tǒng)部分。因而只有在裝入命令表之后才能執(zhí)行屬于使芯片卡按規(guī)定正常工作的，所有在芯片卡正常使用期間最大限度的可能的操作的指令。
這種執(zhí)行方式的優(yōu)點在于，即使有時大量新制造的芯卡片也幾乎完全不能使用。對于各芯片卡而言基本上只有在其單獨交付給合法的最終顧客之前的那一刻起才能使用。因此新制造的芯片卡不能使用，雖然在其上非易失的存儲器和其它的存儲區(qū)域已經(jīng)加載了順序排列的操作系統(tǒng)指令編碼，因為由于缺少命令表輸入的用戶指令無法識別，執(zhí)行這些指令所必需的操作系統(tǒng)部分由于沒有所屬的分支地址而不能被激活。實際上以合理的時間和方法幾乎不可能以一種“反求工程”的方式去重建操作系統(tǒng)的功能結構，從而以進入地址的方式獲得執(zhí)行單個用戶指令的部分及其可能的相互作用。
本發(fā)明芯片卡的這種設計有這樣的優(yōu)點，即在通過將芯片卡交付給新的所有者使用之前的那一刻補充加載命令表而授予用戶使用權之前，幾乎可防止任何形式的非法使用，而不必在芯片卡的硬件和軟件區(qū)域內(nèi)采取昂貴的，使得芯片卡的制造費用提高和可能使其使用功能受到限制的種種措施。一方面可以簡單的方式使芯片卡能單獨執(zhí)行加載命令表的指令。另一方面命令表的補充加載對于一個合法地擁有命令表編碼的機構，例如一個銀行來說，不存在任何數(shù)據(jù)技術方面的問題。在這個過程中若需要也可以同時傳送一些其它的例如使新用戶的芯片卡具有個人特色的數(shù)據(jù)。
通過本發(fā)明，除了阻止芯片卡在其交付正常使用之前被無權使用以外，也防止了在此中間階段在生產(chǎn)過程中加設在芯片卡上的程序編碼，尤其是操作系統(tǒng)編碼以未經(jīng)許可的方式被查閱，以及未經(jīng)許可或非業(yè)務性地被修改。
按照本發(fā)明的另一有利改進方案，可采取輔助手段，使命令表的傳送以密碼邏輯編碼的形式進行。在加載過程中雖然傳送的命令表的編碼指令序列可能被竊聽，然而，命令表也不會成為可能的非法使用者手中的明文。密碼邏輯編碼通過一種所謂的校驗和而有利地得到保護。
下面借助附圖
所示實施例對本發(fā)明作進一步的詳細說明。
在圖的右側示例地以直觀的表格形式示出連續(xù)排列的操作系統(tǒng)編碼(BSC)的局部序列中的一段。在此，可以想象表格不僅向上而且也向下延伸。這段序列示出了前面的進入地址adr k-1和其后緊跟著的進入地址adr k。分配給這些進入地址其中一個的操作系統(tǒng)指令行與緊跟其后直至下一個進入地址的那些指令行構成一組，這組指令用于執(zhí)行一確定用戶命令。
在圖示實施例中，優(yōu)選通過一個外部讀寫器將一個當前用戶命令AWB x傳輸給芯片卡。這個過程由操作系統(tǒng)執(zhí)行。為此需要一命令表KTB，該命令表宛如一把能打開操作系統(tǒng)BSC功能部分入口的鑰匙。在實施例中命令表KTB的每一行由第一編碼段bic k和第二編碼段adr k組成，其中第一代碼段bic k用于識別，即用于當前用戶命令AWB x類型的識別，而第二代碼段包含有所屬操作系統(tǒng)指令序列的起始地址。因此命令表KTB由第一部分表BIT和第二部分表BSC組成，其中第一部分表包含用于判讀指令的編碼bic1，bic2，bic3，…bick，…bicn-1，bicn，第二部分表BSC包含附屬于相應操作系統(tǒng)序列的進入地址adr1，adr2，adr3…adr k…adr n-1，adrn。
在圖示實施例中，一個用AWB x表示的用戶命令傳輸給芯片卡。該命令通過編碼bic k被認作為許可命令，在圖中命令表KTB左側用虛線來表示這一點。接著與此有關的進入地址adr k被激活，由此操作系統(tǒng)BSC編碼從進入地址adr k處開始被執(zhí)行。在圖中通過一個從命令表KTB相對應行到進入地址adr k的箭頭SBS來表示對屬于用戶命令AWB x的操作系統(tǒng)序列的調(diào)用。
由示圖可以看出，沒有命令表KTB的搭橋作用就不能執(zhí)行用戶命令AWB x，因為不可能將用戶命令AWB x分配給操作系統(tǒng)中與此相關的部分。因此按照本發(fā)明設計的芯片卡能夠特別有效地防止新制造的芯片卡被非法使用。
權利要求
1.一種芯片卡，它具有至少一個內(nèi)部處理器和一個非易失的用于處理器的操作系統(tǒng)(BSC)的程序存儲器，這些運算器和存儲器是這樣組織工作的，即芯片卡在其制造和第一次與讀寫器建立數(shù)據(jù)技術聯(lián)系之后僅可執(zhí)行至少一條用于將操作系統(tǒng)特有的命令表(KTB)補充加載到處理器的非易失的程序存儲器內(nèi)的指令，由此建立起用戶指令(AWBx)與操作系統(tǒng)(BSC)中分別執(zhí)行這些指令的部分的配置關系(adr l...adr k...adr n)。
2.按照權利要求1所述的芯片卡，其中具有將命令表(KTB)以密碼邏輯編碼的形式加載到芯片卡上的方法。
3.按照權利要求2所述的芯片卡，其中密碼邏輯編碼借助一個校驗和來進行。
全文摘要
一種芯片卡,該芯片卡具有至少一個內(nèi)部處理器和一個非易失的用于處理器的操作系統(tǒng)(BSC)的程序存儲器。這些處理器和存儲器是這樣組織工作的,即芯片卡在其制造和第一次與讀寫器建立數(shù)據(jù)技術聯(lián)系之后僅可執(zhí)行至少一條指令,該指令用于將操作系統(tǒng)特有的命令表(KTB)補充加載到處理器的非易失的程序存儲器內(nèi),由此建立起用戶指令(AWBx)與操作系統(tǒng)(BSC)中分別執(zhí)行這些指令的部分的分配關系(adrl...adr k...adr n)。這樣會帶來如下優(yōu)點,即尤其是芯片卡在其被制造到交付給最終用戶期間,可防止被非法使用,以及可防止其操作系統(tǒng)被非法查閱和修改。此外還存在以密碼邏輯編碼的形式來加載命令表(KTB)的方法。
文檔編號G07F7/10GK1176701SQ96192241
公開日1998年3月18日 申請日期1996年3月6日 優(yōu)先權日1995年3月10日
發(fā)明者馬庫斯·溫蘭德 申請人:西門子公司