Smart Cards. Eine Arbeit von Geraldine Antener im Rahmen des Seminars Mobile Business

Transkript

1 Eine Arbeit von Geraldine Antener im Rahmen des Seminars Mobile Business Information Systems Research Group Department of Informatics University of Fribourg

2 Inhaltsverzeichnis 1 Einleitung Geschichte der Smart Cards Plastikkarten Magnetkarten Auftritt der Smart Cards Smart Card Klassifikationen Das Format der Karte Die Komponenten des Chips Speicherkarten Mikroprozessorkarten Schnittstelle Kontakt-Karten Kontaktlose Karten Betriebssysteme für Smart Cards Sicherheit Hardware Software Anwendungen Das Wertkartensystem CASH Login für UBS e-banking Bewertung der Smart Card Vorteile der Smart Card Nachteile der Smart Card Zukunft Quellen Geraldine Antener 1

3 1 Einleitung Smart Cards 1 finden sich heute in jedem Portemonnaie. Eine Telefonkarte, ein Studentenausweis, eine Bankkarte, Karten die Zutritt gewähren, die münzloses Telefonieren und Bargeldbezug in fremden Ländern ermöglichen. Sie sind weit verbreitet und haben viele Anwendungen in denen sie das tägliche Leben erleichtern. Die Smart Card dient primär dem Speichern und Austauschen von Daten. Sie ist als Mikrochip in eine Plastikkarte, die meist die Grösse einer Kreditkarte hat, eingebettet ist. Was macht nun diese Karten schlau? In den folgenden Kapiteln soll dies geklärt werden. Es wird aufgezeigt, wie es zu der Idee kam, was in einer Smart Card enthalten ist, welche Anwendungsmöglichkeiten es gibt, und was die Vor- und Nachteile sind. 2 Geschichte der Smart Cards Smart Cards wurden entwickelt, weil andere Plastikkarten 2 den immer höher werdenden Ansprüchen an die Sicherheit und die Leistung nicht mehr genügen konnten. Dass sie Erfolg haben, das heisst weit verbreitet sind, haben sie aber dennoch ihren Vorgängern zu verdanken. Deshalb sei hier die Geschichte der Smart Cards seit den Anfängen der Plastikkarten erzählt: 1 Auf Deutsch werden Smart Cards auch Chipkarten genannt. Der englische Begriff ist jedoch auch weit verbreitet, deshalb werden hier die beiden Begriffe synonym verwendet. 2 Plastikkarte dient in diesem Bericht als Oberbegriff für alle Arten von Karten aus PVC: Smart Cards, Magnetkarten oder einfache Ausweiskarten. Geraldine Antener 2

4 2.1 Plastikkarten Die Idee der Plastikkarten stammt aus dem Bankgeschäft. In den 50er Jahren hat Diners Club die ersten Kreditkarten in Umlauf gebracht. Diese waren damals nur für exklusive Kunden und hatten lediglich deren Namen aufgedruckt. So konnte ohne Bargeld mit dem guten Namen bezahlt werden. Später wurden Kreditkarten mit Hochprägung entwickelt, die ein einfacheres Kopieren der Daten des Karteninhabers auf einen Papierbeleg ermöglichten. Um die Daten auch elektronisch erfassen zu können, wurde nach einer anderen Art der Informationsspeicherung gesucht: die Magnetkarte ist entstanden. 2.2 Magnetkarten Auch die Entwicklung, Einführung und Verbreitung von Magnetkarten wurde massgeblich von Kreditkartenunternehmen vorangetrieben. Die Magnetkarte hat auf ihrer Rückseite einen Magnetstreifen. Dieser besteht aus Eisenoxid-Partikel, die in einem Kunststofffilm eingebettet sind. Der Magnetstreifen kann bis zu drei Spuren, aufgeteilt in kleine Domänen, enthalten. Diese Domänen werden magnetisch polarisiert und können so Daten (1bit) speichern. So hat eine Magenetkarte eine Speicherkapazität von 900 bis 1000 bit. Durch die Maschinenlesbarkeit der Karte wurden auch andere Anwendungen wie Bargeldbezug am Geldautomaten und automatischer Zutritt mit Magnetkarten möglich. Magnetkarten sind heute sehr verbreitet, doch auch sie haben zwei entscheidende Nachteile: Die gespeicherten Daten sind nicht geschützt und daher lesbar, können kopiert und verändert werden. Alles was es dazu braucht ist ein Lese- oder Schreibgerät, das nicht all zuviel kostet. Auf einer Magnetkarte können also keine vertraulichen Daten gespeichert werden. Daher kann auch die PIN nicht auf der Karte gespeichert werden und das Lesegerät muss zur Überprüfung der eingegebenen PIN eine Verbindung herstellen, was Zeit und Geld kostet. Geraldine Antener 3

5 2.3 Auftritt der Smart Cards 1968 wurde das erste Patent für eine Plastikkarte mit integriertem Mikrochip von J. Dethloff und H. Gröttrup aus Deutschland gelöst. Ihnen folgten in den 70ern Erfinder aus Frankreich und Japan. Der Erfolg der Smart Cards begann mit dem Einsatz als Bankkarte in Frankreich. Zum Durchbruch verhalfen dieser Karte dann aber Telekommunikationsunternehmen, die in den 80ern die Telefonkarte lancierten. Dann ging es rasend schnell, 1990 waren bereits 60 Millionen Karten im Umlauf. Die 90er brachten dann auch Massenanwendungen der Smart Cards für Bankkarten und Versichertenkarten, so dass sie heute in jedem Portemonnaie anzutreffen sind. Die Einwicklung fand vor allem in Europa statt; noch bis vor kurzem waren 80% der Smart Cards in Europa in Gebrauch. Seit jedes Mobiltelefon mit der SIM Karte ausgerüstet ist und e- business an Bedeutung gewonnen hat, hat auch der US-Markt die Karte entdeckt. 3 Smart Card Klassifikationen Um Smart Cards besser zu verstehen, sind hier vier Klassifikationen vorgestellt, die die verschiedenen Eigenschaften von Smart Cards beschreiben. 3.1 Das Format der Karte Smart Cards werden nach dem ISO Standart 7816 definiert. Dieser legt auch die Grösse der Karte und die Position des Chips fest. Es sind drei Formate vorgesehen, von denen vor allem zwei verbreitet sind: Ein Kreditkarten-Format (ID-1), das bei Bankkarten, Telefonkarten und vielen anderen verwendet wird. Ein mittleres Format (ID-00), für das aber bis heute keine grosse Verwendung gefunden wurde. Ein kleines Format (ID-000), das als SIM-Karte jedem Mobiltelefonbenutzer bekannt ist. Geraldine Antener 4

6 3.2 Die Komponenten des Chips Das wichtigste an einer Smart Card ist natürlich der Chip. Was darin enthalten ist, klassiert die Smart Cards in zwei Kategorien: Speicherkarten und Mikroprozessorkarten Speicherkarten Speicherkarten enthalten keinen Prozessor, sondern nur Speicherblöcke, deren Daten ausgelesen und verändert werden können: Der EEPROM-Speicherblock (Electrically Erasable Programmable Read Only Memory): Die Daten in diesem Speicher bleiben auch ohne Versorgungsspannung gespeichert. Der Speicher ist jedoch veränderbar und kann die verbleibenden Minuten auf der Telefonkarte oder den Geldbetrag einer elektronischen Börse enthalten. Die ROM (Read Only Memory) wird bereits zu Beginn gefüllt und verändert sich nicht mehr. Sie enthält Daten wie die Kartennummer oder den Namen des Besitzers. Die Speicherkarten können zusätzlich mit einer festverdrahteten Logik ausgestattet sein, diese ermöglicht es, einen Teil der Daten mit einem Schlüssel (PIN) zu schützen. Speicherkarten sind die billigeren Smart Cards und eignen sich, wenn eine kleine Informationsmenge ohne hohe Sicherheitsanforderungen gespeichert werden soll. Sie finden als Telefonkarte, als Versichertenkarte, bei Verkaufsautomaten und beim Öffentlichen Verkehr Verwendung Mikroprozessorkarten Die wirklich smarten Karten sind die Mikroprozessorkarten, die, wie der Name schon sagt, einen Prozessor enthalten. Diese Karten speichern nicht nur Daten sondern können auch verschiedene Befehle ausführen. Auf die gespeicherten Daten kann nur über den Prozessor zugegriffen werden. Dies ermöglicht es, sie durch kryptographische Verfahren zu schützen. Auf dem Chip ist folgendes enthalten: Geraldine Antener 5

7 CPU (Central Processing Unit): Das Zentrale Element des Chips ist ein 8-, 16- oder 32-bit Prozessor, welcher verschiede Instruktionen ausführen kann. ROM: Enthält das Betriebssystem der Karte. Dieser Speicher wird während der Produktion gesetzt und bleibt unverändert. EEPROM ist der Speicherplatz für Programmcode, Passwörter, Schlüssel und das Dateisystem. Diese Daten können überschrieben werden. RAM (Random Access Memory): Der flüchtige Speicher wird als Arbeitsspeicher für das Ausführen der Applikationen verwendet. Es ist auch möglich, neue Applikationen auf die Karte zu laden. Sie kann für mehrere Anwendungen konzipiert sein, und an neue Gegebenheiten angepasst werden. Das macht sie flexibler als Speicherkarten. Die Produktionskosten sind aber höher als bei Speicherkarten. Den Mikroprozessorkarten kann zusätzlich ein kryptographischer Koprozessor in den Chip eingebunden werden. Diese Karten können als Decoder benutzt werden, zum Beispiel für den e- banking Zugang. 3.3 Schnittstelle Eine Smart Card erkennt man sofort an der Goldplatine, die den Kontakt zu einem Lesegerät ermöglicht. Dies muss aber nicht sein. Es ist auch möglich, ohne direkten Kontakt mir einer Smart Card zu kommunizieren: Kontakt-Karten Kontakt-Karten müssen in ein Lesegerät geschoben werden, um einen direkten Kontakt zum leitenden Modul herzustellen. Die Kommunikation zwischen der Smart Card und dem Lesegerät erfolgt über die Goldplatine, die mit dem Mikrochip verbunden ist. Die Kontaktfläche besteht aus acht Feldern mit unterschiedlicher Bedeutung (ebenfalls nach ISO 7816 standardisiert). Zwei dieser Felder sind noch keinem bestimmten Zweck zugeordnet. Sie sind für zukünftige Verwendungen reserviert und werden oft auch gar nicht eingebaut (Reserved for Future Use in der Abbildung). Folgende Funktionen sind diesen Kontaktfeldern zugeteilt (die Abbildung zeigt deren Aufteilung): Geraldine Antener 6

8 Über Vcc wird der Chip mit Spannung (4.5 oder 5.5 V) versorgt. RST wird für das Reset Signal gebraucht. Die RAM wird gelöscht und der Zähler zurückgesetzt. Das externe Taktsignal CLK für das Taktsignal des Prozessors. Das GND Feld dient der Erdung. Vpp: hier wird die Programmierspannung für die EEPROM angelegt. I/O ist das Input/Output Feld. Hier werden Nutzdaten zwischen der Smart Card und dem Lesegerät ausgetauscht Kontaktlose Karten Kontaktlose Karten müssen nicht in ein Gerät gesteckt werden. Sie brauchen keinen direkten Kontakt, sondern müssen nur in die Nähe (bis zu 50cm) der Antenne gebracht werden. Die Karten enthalten ebenfalls eine Antenne, über die eine kontaktlose Verbindung aufgebaut werden kann. Es sind viele Vorteile denkbar die sich daraus ergeben. So ist insbesondere ein schnelleres Abwickeln des Geschäftes möglich. Sie sind daher zum Beispiel bei Massentransporten nützlich. Allerdings haben kontaktlose Karten auch Nachteile: Die Energieversorgung erfolg induktiv über ein ektromagnetisches Signal. Dies schränkt die Leistung des Prozessors ein. Es ist auch eine Kombination der beiden Eigenschaften möglich, also eine Karte, die beide Schnittstellen besitzt, oder zwei Mikrochips mit je einer Schnittstelle. So kann je nach Aufgabe die eine oder andere Realisierung genutzt werden. 3.4 Betriebssysteme für Smart Cards Das Betriebssystem einer Smart Card muss die Datenübertragung von und zur Chipkarte überwachen, den Ablauf der Kommandos steuern, die Daten verwalten und kryptographische Algorithmen ausführen. Es sind verschiedene Betriebssysteme für Smart Cards erhältlich: MultOS, JavaCard, StarCOS, Smart Card for Windows. Diese Betriebssysteme sind auf der ROM gespeichert und brauchen üblicherweise 16 kb Speicherplatz. Geraldine Antener 7

9 4 Sicherheit Für die auf einer Smart Card gespeicherten Daten müssen Vertraulichkeit und Integrität gewährleistet sein. Daher muss einerseits die Karte und der Chip als solcher und andererseits der Zugriff auf die Daten sicher gemacht werden. 4.1 Hardware Die Plastikkarte muss durch äussere Merkmale geschützt werden. Es kann zum Beispiel ein Unterschriftsfeld aufgeführt sein, die Karte wird laminiert, etc. Daneben muss auch der Mikrochip gegen Angriffe geschützt werden. In die Smart Card wird ein Loch gefräst, in das der Chip eingesetzt wird. Dies muss so geschehen, dass er nicht von der Karte gelöst werden kann, ohne zerstört zu werden. Ausserdem hat die Chiptechnologie Verfahren entwickelt, die ein Auslesen der Daten durch Abtragen von Schichten oder durch Stören mit einer hohen Spannung schwierig macht. 4.2 Software Verschiedene kryptographische Protokolle können zum Schutz der Daten auf der Smart Card angewendet werden. So muss ein externes Gerät (Lese- / Schreibgerät) sich bei der Smart Card authentisieren, und umgekehrt muss dies die Karte (bzw. der Benutzer der Karte) beim Gerät tun. Es können bekannte symmetrische und asymmetrische Verschlüsselungsverfahren (z. B. DES, RSA) angewendet werden. 5 Anwendungen Die Smart Card findet viele Anwendungsgebiete. Weit verbreitet ist sie als Bankkarte, Telefonkarte und SIM-Karte. Aber es existieren auch viele andere Anwendungen. So gewinnt sie an Bedeutung für die Identifizierung eines Nutzers von Netzwerken oder anderer Infrastruktur. Hier wird nun auf zwei Anwendungen näher eingegangen: Geraldine Antener 8

10 5.1 Das Wertkartensystem CASH Einkäufe werden zunehmend mit Plastikgeld bezahlt. Damit werden klassische Zahlungsmittel von Karten verdrängt. So wurde etwa der Kauf auf Rechnung von der Zahlung mir Kreditkarte abgelöst, und statt einem Scheck wird mit einer Debitkarte der Kaufbetrag gleich online dem Bankkonto des Käufers belastet. Es erstaunt also nicht, dass auch das Münz durch eine Karte ersetzt wird: durch die CASH-Karte. CASH ist ein von den Schweizer Banken initiertes und 1997 eingeführtes Wertkartensystem. Mit der Kundenkarte werden Kleinbeträge fürs Telefonieren, für Parkgebühren und Verpflegungsautomaten bezahlt. Meist handelt es sich dabei nicht um eine neue Karte, sondern die CASH-Funktion wird in die Bankkarte integriert. Für ein solches System sprach vieles: die CASH-Karte ersetzt das Kleingeld, und bringt so für alle Beteiligen Vorteile: für den Kunden ist es bequemer, nur die Karte im Portemonnaie zu tragen als viel Münz. Händler müssen weniger Hartgeld zusammentragen und auf die Bank bringen. Banken müssen weniger von dem gewichtigen Münz aufbewahren und transportieren. die bisherigen Bankkarten (Kreditkarte, Debitkarte) waren aus technischen und wirtschaftlichen Gründen als elektronisches Zahlungsmittel für kleine Beträge wenig geeignet. Die CASH-Karte muss vor dem Bezahlen geladen werden. Dies geschieht an einem beliebigen Bank- oder Postomat. Auf der Karte ist dann ein electronic value gespeichert. Der Betrag wird dem Bankkonto des Kunden belastet und dem CASH- Pool gutgeschreiben. Geraldine Antener 9

11 Bei einem Kauf wird die CASH-Karte in einen Kartenleser gesteckt, und durch drücken der OK- Taste wird der entsprechende Betrag vom electronic value abgezogen. Der Händler fordert dann regelmässig die durch CASH eingenommenen Beträge bei der Zentrale ein. Diese Zentrale verwaltet den CASH-Pool und schreibt den eingeforderten Betrag (evt. abzüglich einer Gebühr) aus dem Pool auf das Bankkonto des Händlers gut. Heute sind 4.2 Millionen Schweizer CASH-Karteninhaber. 5.2 Login für UBS e-banking Beim UBS e-banking wird online über die Website der Bank auf Daten eines Servers zugegriffen. Es ist klar, dass dies höchste Anforderungen an das Sicherheitssystem stellt. UBS e-banking gewährleistet diese durch bestmögliche Sicherheitsmassnahmen mit einem Identifikationssystem, Verschlüsselung (168 bit 3DES) aller Daten, die übertragen werden, und einem digitalen Zertifikat, mit dem sich der Sicherheitsserver der UBS beim Browser authentisiert. Ausserdem werden Sicherheitsempfehlungen (Firewall, updates, etc.) an den Kunden abgegeben. Das Identifikationssystem wird mit Hilfe einer Smart Card realisiert. Es wird das Challenge- Response-Verfahren mit asymmetrischen Schlüsseln verwendet. Dabei wird der Schlüssel interaktiv und jedes Mal neu berechnet. So werden nie alle Sicherheitsdaten übers Internet gesendet. Zur Schlüsselberechnung muss die e-banking Karte in den Kartenleser geschoben werden. Die Karte ist mit einer PIN geschützt. Der Benutzer gibt dann die Eingabenummer, die im e-banking Login-Dialog erscheint, in den Leser ein. Die Karte berechnet daraus einen Code. Dieser muss dann im Login-Dialog eingegeben werden. Ein Vorteil dieses Verfahrens ist, dass der Schlüssel nur für eine kurze Zeit gilt. Geraldine Antener 10

12 Der UBS e-banking Kartenleser ist mit Sonderfunktionen ausgestattet: er ist zugleich auch Taschenrechner (funktioniert auch ohne Karte) und er kann den Geldbetrag einer CASH-Karte und deren letzte Transaktionen auslesen. 6 Bewertung der Smart Card 6.1 Vorteile der Smart Card Die Smart Card hat gegenüber der Magnetkarte viele Vorteile: Sie hat viel mehr Speicherkapazität (bis zu 40 Kbyte) als eine Magnetkarte (1000bit), so dass mehr als bloss der Name und die Kartennummer gespeichert werden können. Die gespeicherten Karten können gut geschützt werden. So kann auch die PIN auf der Karte gespeichert sein, was eine Authentisierung ohne Online-Verbindung möglich macht. Es können mehrere Funktionen auf einer Karte realisiert werden, so dass die Benutzer weniger Karten auf sich tragen müssen. Auch lassen sich Smart Cards in bereits existierende Systeme (zum Beispiel Zeiterfassungssystem) leicht integrieren. Sie haben eine lange Lebensdauer: die Daten können bis zu 10 Jahren auf der Karte gespeichert bleiben. 6.2 Nachteile der Smart Card Der grösst Nachteil der Smart Cards sind die hohen Kosten der Kartenherstellung und der Infrastruktur (Kartenleser, etc.). Daher wird für viele Anwendungen, die nicht unbedingt die Funktionalität der Smart Card brauchen, auf die Magnetkarte zurückgegriffen. Somit sind immer verschiedenen Kartensysteme in Betreib, was die Verbreitung in einigen Gebieten, wie zum Beispiel dem der Kreditkarten, hemmt. Dies ist wohl auch der Grund für die langsame Verbreitung der Smart Cards in den USA. Geraldine Antener 11

13 6.3 Zukunft Die klaren Vorteile der Smart Card gegenüber der Magnetkarte versprechen ein weiteres zunehmen des Smart Card Marktes. Ausserdem geht die Entwicklung der Prozessoren weiter, immer schnellere und grössere Anwendungen werden möglich sein. Auch die Gestalt der Karte könnte sich noch ändern: eine integrierte Energiezufuhr, eine Tastatur oder ein Display könnte eingesetzt werden. 7 Quellen Introduction to Smart Cards Sumit Dhar Smart Card Application Development Using Java U. Hansmann, M. S. Nicklous, T. Schäck, A. Schneider, F. Seliger; Springer-Verlag, 2002 Telegeld Electronic-Money, Smart-Cards und E-Commerce werden Realität F. Klein, K. Spremann Verlag Neue Zürcher Zeitung, Geraldine Antener 12