专利名称：信息处理装置受保护存储区的装入方法及其相关的装置的制作方法
技术领域：
本发明涉及的是信息处理装置的装入方法，该处理装置包括信息处理器，存储器，与一个第一便携行器相配合的设备，以及一个模块，该模块包括信息处理器和一个非易失性的存储器，该存储器有一个能够在所述处理器中进行读出和写入的受保护区，但从模块外部它至少不能进行写入，所述第一便携器包括信息处理器以及一个非易失性的存储器，该存储器有一个能够在所述处理器中进行读出和写入的受保护区，但从便携器外部它至少不能进行写入，第一便携器的受保护区中包括一些数据和/或程序。
在这种信息处理装置的装入过程中，人们最感兴趣的是模块装入，因为从其结构上讲，它最适合于将保密的数据或程序装入其存储器中受保护的区域中。
在这种已知的装置中，模块本身就是便携器，它通过一便携器读出接口与该装置配合工作。在这种情况下，模块的装入是与装置分开进行的，在模块的特授权性初始化阶段，是在某一机构的内部进行的，在此机构的保密环境下，模块的装入并不会产生什么特殊问题。
相反，模块受保护的区域的装入，在模块已被装入到装置中后，特别是当该装置已被安置在授权机构的外部，在一个非保密的环境中时，就比较困难了。
本发明要解决的第一个问题在于提供一种能对模块的受保护区以一种保密的方法进行装入的方法，不管模块是否可移动，也不管是否在保密环境中，在这种情况下只要处理装置还在寿命期中就可进行装入。
为此，本发明涉及本文开头所述的方法其特征在于它包括如下步骤使处理装置与第一便携器配合，将所述的来自第一便携器受保护区的数据和/或程序传送到模块受保护区中。
因此，根据本发明，模块的保密装入是建立在此模块与外部便携器之间建立对话的基础上，外部便携器与模块有相同的保密结构，并在它们相互对应的受保护区之间传送保密信息。
本发明第二部分提供了一种必需要第一和第二便携器参与的给付服务的方法，该第二便携器有信息处理器和一个非易失性存储器，该存储器有一所述处理器能进行读出和写入的，但外部便携器至少不能进行写入的受保护区，所述受保护区中存有一些数据和/或程序，而存在第一和第二便携器受保护区中的数据和/或程序，对于所述的给付服务来讲，确定了它们各自的权利和义务。
例如，在这些便携器中，便携器的认证，数据的编码，或者还有信息的确认或鉴别等功能都要求使用第二便携器，该第二便携器中含有与主便携器的密码相关的密码。
这主要用于付款的情况下，此时可以把一个随机数发送给两个便携器，两便携器分别根据一个受保护的密钥及一相应的加密算法进行计算，并比较其结果。当这两个结果相同时，就可以推断出第二便携器已经确认了主便携器。该过程可以在各个方向进行，以便进行相互确认。
在这种情况中，就需要有两个电子便携器，从而就需要有能够在这两个便携器之间实现接口的设备或装置，因此这些装置应当有两个与这两个便携器相连的通信通道，特别是还要有两个连接系统，这就使成本和体积增加使设备的可靠性降低了。
所以本发明需要解决的一个附加问题在于防止在这些装置中同时有两个便携器读取装置。
根据本发明，首先使处理装置与第一便携器结合，以便把所述的来自第一便携器受保护区中的数据和/或程序传送到模块的受保护区中，然后使处理装置与第二便携器结合，通过利用所述传送到模块中的数据和/或程序及储存在第二便携器中的数据和/或程序来提供所述的服务。
本发明还涉及实施上述方法的信息处理装置。
下面通过附图以最佳实施例的方式描述本发明的其它细节和优点，但本发明并不局限于此，其中—
图1示出了据本发明的信息处理装置的示意图和两个分别与该装置结合的便携器；—图2确定了一种相对于本发明一种具体应用的操作框图。
图1所示的信息处理装置1包括一个公知的微理器2，该微处理器与一个存储器ROM3，一个存储器RAM4以及一个传送接口5相连，该接口可以使该装置直接或通过通信网与另一个类似装置相连。该装置还有一个便携器读出器6，用于接收微电路卡式便携器，这种便携器例如在以Demundersse为名的法国专利2,461,301和2,401,459中有所描述。该读出器通过传输线7与微处理器相连。
另外，装置1还可以有储存设备，例如可换式或不可换式的磁盘，采集设备(例如键盘和/或鼠标器型点设备)以及显示设备，这些设备在图1中并未示出。
此外，装置1还有一个下面称之为传送模块的电子模块8，该模块包括信息处理器9以及一个与之相关的非易失存储器10。安装该模块的目的是为了在存储器10中确定一个保密区11和一个自由区12，在保密区中，信息一旦被记录下来，从模块外就不能存取它们，而只有在处理器9中才能存取，自由区可以在模块外部进行存取，以对信息进行读出和写入。每一个存储区都可包括一不可擦除的ROM部分以及一个可擦除的EPROM，EEPROM部分，每个存储区也可由″flash″型RAM存储器构成，即它具有EEPROM存储器的特征，而且还有与传统RAM存储器相同的存取时间。此外，还有一个易易失的RAM存储器(未示出)。
对于模块8，我们尤其可将微机处理器用在非易失性可自动编程的存储器上，例如以“Demanderesse”的名义申请的法国专利2,461,301中所述的那样。就象该专利第一页第5到第17行所述的那样，存储器的自动编程的特征指的是对于该存储器中的程序f1来讲，可以把该存储器中的另一个程序fj修改为程序gj。尽管实现该自动编程所用的设备可根据用来设计信息处理器9的技术的不同而有所不同，但应记住，根据上述专利，当这些处理器是由非挥发性存储器微处理器构成时，这些设备可以包括—与所述存储器相连的数据和地址缓冲存储器；—装入存储器中的写入程序，它主要包括一些指令，这些指令一方面可以保持存储器的编程强度，另一方面可以保持要写入的数据及其地址，尽管足够的时间范围内该写入程序可以由自动逻辑写入电路所代替。
在一种实施变型中，用装在半导体芯片中的逻辑电路代替模块8的微处理器。实际上由于电子布线的发展而不是微程序发展，这些电路适于进行计算，特别适于进行确认和鉴别。例如，可以列举的有市售的SIEMENS(西门子)公司的元件，其型号为SLE4436，还有市售的SGS-THOMSON公司的元件，其型号为ST1335。
最好把模块封装在一个芯片上。它通过传输线13与微处理器2相连，该传输线直接与微处理器相连，模块也可以通过图1中虚线所示的传输线13′与微处理器2相连，传输线13′与便携器读出器6的传输线7相连。
在材料的平面上，模块8可用不同的方式与信息处理装置1相连。首先它可以设计成与装置做成一体整，例如把它安装在装置的内部底板上，该底板用以支撑所有的电子元件，甚至可以把它安装在与它相同的芯片上。也可以把它做成插入式的可移动部件。以可移动或不可以移动的方式装在一块具有PCMCIA(个人电脑内存卡国际联合会)标准接口的大容量存储卡上，插入用于与信息处理装置1相应的连接器，连接器位于微处理器2与传送线7、13′(带有标号14的虚线)的接点之间。
信息处理装置1用于通过便携器读出器6与上述两个便携器21，22配合工作，每个便携器都装有一个与模块8(该模块8与处理装置1相连)结构相同的电子模块，因此它们都具有信息处理器23，24；带有受保护区27，28和自由区29，30的非易失存储器25，26，以及自动编程器。
换一种型式，传送模块8和/或两个便携器的保密区可用一个其保密程度比上述保密区低的区域补充或替代。具体地说，该区域不仅可以由传送模块处理器或便携器存取以读出和/或写入信息，而且从模块或便携器外部也能进行读出，但不能写入。在本说明中，用″受保护区″表示外部不能存取的保密区，或是表示只能在外部进行读出的区域。在外部能够读出的区域中主要可储存有采用公共秘钥算法的公共秘钥或不同的数据或程序。而在秘密区中主要储存保密秘钥。
本发明的方法首先假定处理装置1的传输模块和两个便携器21，22的特性初始化是由授权机构来实现的。例如，可以进行下面的过程。在传送模块8和第一便携器21的各自受保护区11，27中，设置一个相同的受保护秘钥S，该秘钥主要使便携器确认该传送模块。此外，在第一便携器受保护区27中设置一个母秘钥K，并在第二便携器受保护区28中设置一个秘钥K的派生秘钥Kd，这两个秘钥主要使第一便携器确认第二便携器。例如派生秘钥可依母秘钥K及有第二便携器特征的派生参数及一确定加密算法计算出来。
根据需要上述的受保护秘钥S也可以由派生过程派生。
在两个便携器受保护区27，28中还分别有两个与所考虑的应用相关的程序P1和P2，这两个程序主要确定这种或那种给付服务的属性规则。
本发明应用在所考虑的服务的过程中时，需要同时有两个便携器(目标)21，22。为此，至少在便携器21上登录的某些权利要重新拷贝到传送模块8中。
在第一步骤中，把便携器21插入便携器读出器6中，它与传送模块8一起完成相互间的认证程序，以便检查它们是否确实有权参与所提供的服务。例如，便携器产生一个随机数E并将它送入传送模块中，该模块根据受保护秘钥S和该随机数E进行计算，然后将计算结果R送入便携器21。便携器21根据其受保护秘钥S和同一随机数字E进行相同的计算，从而得到出一个结果R′，并将这两个结果R，R′进行比较如果这两个结果相同，便携器就认为该传送模块是可靠的。这种过程在以Demanderesse为名的法国专利2,601,795中专门作了描述。
上述过程涉及的是用便携器21对传送模块8进行的确认。反之，传送模块8也可以按照类似的过程对便携器21进行确认，对结果R，R′进行比较，这次比较是在传送模块中进行的。
相互间的确认被完成以后，传送模块8和便携器21或以明文方式交换信息，或是利用编码秘钥Sc以编码的形式交换信息在第二种情况下，可以由传送模块和便携器根据存储在它们的受保护存储区11，27中的算法F、共同的受保护秘钥S以及随机数Ec以本身公知的方法计算出编码秘钥，上述随机数Ec由模块或目标(便携器)产生，并被传送到另一个装置内。其中的一个装置利用编码秘钥和Sc和编码算法G对信息编码，而另一个装置用相同的一些参数或秘钥及相应的编码算法对所得到的信息进行解码。
根据本身公知的方法，该过程可以要求便携器21的持有者，通过处理装置1的键盘间接向该便携器提供密码进行确认，该密码与存储在便携器受保护存储区27中的基准密码进行比较。
本发明方法的第二步在于将为提供服务全部必需的参数从便携器21中传送到传送模块8中。特别是把受保护秘钥K和程序P1传送到传送模块8的受保护存储区11中，并使该模块与第二便携器22一起进行操作，而所有操作要求使用该关键词和该程序。
限定传送模块8行使权利的期限就显得很有必要了，这些权利是由第一便携器21传送给该模块的。为此，传送模块8要把一个配合程序编入它的受保护区11中，当由第一便携器21发送的预定限度达到时，该程序便停止其运行。这主要可以涉及的是从权利转移的那一刻开始后经过的运行时间或执行的次数，流逝的时间是指把第二便携器22插入处理装置1和再从该处理装置把第二便携器抽出来之间的时间，执行的定义由系统预先确定，并能与一次确定的给付服务相对应。经过允许的使用时间后，传送模块就会锁闭，并只有在读出器6中插入解销便携器后才可重新进行服务，例如插入第一便携器11。
图2表示了本发明一种可能的应用，在这种应用中，在处理装置1的采集器上的信息M必须由第一便携器给其加注标记，并应将信息M及其标记SG送入第二便携器22。
在第一步骤31中，把第一便携器21插入处理装置1的便携器读出器6中。在接下来的步骤32中，第一便携器21按上述方法确认传送模块8。当确认以后，第一便携器21特其受保护秘钥K和程序P1加入传送模块8的受保护区11中(步骤33)。然后从处理装置1中取出第一便携器21(步骤34)，并把第二便携器22插入原来第一便携器的位置中(步骤35)。
传送模块对第二便携器22的确认是通过刚才接收到的秘钥K及此便携器的秘钥Kd来进行的。用上述方法进行这种确认。在这种情况下，传送模块依据此便携器传送过来的派生参数，可以从母秘钥K中重新计算出派出的钥Kd。因此，除非信息M已经在处理装置1的存储器或第一便携器21的存储器中，否则就由第一便携器21的持有者，通过例如处理装置的采集器把上述信息输入到该处理装置中(步骤37)。信息M的形成可以使程序P1和P2起作用。
在下一个步骤38中，传送模块8计算信息M的标记SG，该标记与信息内容密不可分，并与该信息的发送者的标识联系在一起，在这种情况下此标识就是第一便携器21的受保护秘钥K。实际上，传送模块的受保护存储区11中有标记的算法H，该算法固化在传送模块中或由第一便携器21传送入。算法H将最好是压缩形式的信息M与第一便携器的受保护秘钥K进行运算，产生的计算结果构成了所述的标记SG。
在步骤39，把信息M和它的标记SG传送到第二便携器22的存储器26中。然后再把第二便携器从处理装置1中取出(步骤40)。
因此，显然本发明的方法可以使两个便携器21，22以相同的过程与处理装置1相配合，而它只用一根传送线7使便携器的读出器6和处理装置的微处理器2相连。
应注意到，上述产生派生秘钥Kd或编码秘钥Sc，信息编码和标记计算的算法都可由相同的算法构成。
虽然上述描述的是受保护秘钥的对称算法，当然也可以用公共秘钥的非对称算法，这可通过至少在一个便携器中或在传送模块装入一个公共秘钥而不是保密秘钥来实现。例如，根据第二便携器的识别数据和保密秘钥，该机构初始化时把一个由上述算法得到的标记设置在第二便携器22中，传送模块8对该便携器的确认时采用相应的公共秘钥，以验证该标记，该公共秘钥是在初始化时装入第一便携器21的存储器中。
在本发明的各项应用中，可以列举的有卫生领域方面的应用，在该应用中，受保护秘钥K确定医生的权利，受保护秘钥Kd确定病人的权利，本发明的方法允许医生把由医疗处方构成的信息送入病人的便携器22中，信息中有医生的标记，所有具有与保密秘钥K、Kd相关的公共秘钥的机构都可验证该标记。
如果与第二便携器22的对话要求同时具有许多第一便携器21的权利，则可以通过依次将这些便携器插入读出器6中，这样所需要的权利相继加到传送模块8中，然后建立起传送模块8和第二便携器22之间的对话。
本发明也适用于第一便携器21和处理装置1之间利用连接到传输接口上的遥控信息处理线或电话线进行的远距离通讯，而不一定非得插入读出装置6。一旦在第一便携器和处理装置之间进行信息传送后，本发明的方法就可以将该线空出来，以便在两个便携器21，22之间对话时完成其它任务。
此外，本发明不仅适用于处理装置1不在线时的各便携器之间的对话，而且也适用于该处理装置在线时与远离的一个装置的对话，该远距离装置提供所要求的给付服务或参与这种服务。
权利要求
1.信息处理装置(1)的装入方法，该处理装置包括信息处理器(2)，存储器(3，4)，与一个第一便携器(21)相配合设备(6)，以及一个模块(8)，该模块包括信息处理器(9)和一个非易失性的存储器(10)，该存储器有一个只可由所述处理器进行读出和写入存取的受保护区(11)，但从模块外部它至少不能进行写入，所述第一便携器包括信息处理器(23)以及一个非易失存储器(25)，该存储器有一个只可由所述处理器进行读出和写入存取的受保护区(27)，但从模块外部它至少不能进行写入，第一便携器受保护区(27)中包括一些数据(S，K)和/或程序(P1)，该方法的特征在于它包括如下步骤使处理装置(1)与第一便携执行器(21)配合，将所述的来自第一便携执行器受保护区(27)中的数据(K)和/或程序(P1)送到模块受保护区(11)中。
2.根据权利要求1所述的方法，其中第一便携器(21)在其存储器的受保护区(27)中包括一个与位于模块(8)存储器受保护区(11)中的另一秘钥(S)相应的秘钥(S)，在把数据或程序送到模块之前，在第一便携器和模块之间完成一加密过程，此过程是基于两密钥的。
3.根据权利要求1所述的方法，其中在一个便携器与模块间进行对话超过预定时间或预定次数过后就对模块的运行进行锁闭，为此模块(8)的保护区(11)包括相应的用于对所述闭锁进行起动的闭锁信息。
4.根据权利要求1所述的方法，其中第一便携器(21)具有一个编码秘钥和一个编码算法，而模块(8)则含有分别与该便携器的秘钥和算法相关的解码秘钥和算法，此外，该方法还在于把所述数据(K)和/或程序(P1)传送到模块之前由编码算法和秘钥对上述数据和/或程序在第一便携器中进行编码，而在把上述数据和/或程序传送到模块中以后，由解码算法和秘钥对这些数据和/或程序在模块中进行解码。
5.根据权利要求1所述的方法，为了提供给付服务必须有第一便携器(21)和一个第二便携器(22)的参与，所述第二便携器包括信息处理器(24)和非易失存储器(26)，该存储器有一个只可由在所述处理器进行读出和写入存取的受保护区(28)，但从便携器外部它至少不能进行写入，受保护区(28)中包括一些数据(Kd)和/或程序(P2)，存储在第一和第二便携器保护区中的这些数据和/或程序分别确定了它们相对于所述给付服务的权利和义务，根据该方法—先使处理装置(1)与第一便携器(21)配合，以便把来自第一便携器受保护区中的数据和/或程序传送到模块受保护区(11)中；—然后使处理装置与第二便携器(22)配合，利用传送到模块(8)中的数据(K)和/或程序(P1)以及存在第二便携器(22)中的数据和/或程序(Kd，P2)来提供所述的服务。
6.根据权利要求5所述的方法，为了在第一和第二便携器之间建立对话，就要求使用来自上述两个便携器受保护区中的所述数据(K，Kd)和/或程序(P1，P2)，在该方法中，一旦第二便携器与所述的处理装置配合时，就可以利用所述的数据和/或程序在使模块(8)和第二便携器(22)建立通讯。
7.根据权利要求6的方法，其中所述的从第一便携器(21)传送到模块(8)中的数据包括一个与位于第二便携器(22)存储器受保护区(28)中的另一个秘钥(Kd)相关的受保护秘钥(K)，使得模块和第二便携器能够根据这两个秘钥完成彼此间的加密过程。
8.一种信息处理装置(1)，该处理装置包括信息处理器(2)，存储器(3，4)，与一个第一便携器(21)相配合的装置(6)，以及一个模块(8)，该模块包括信息处理器(9)和一个非易失性的存储器(10)，该存储器有一个只可由所述处理器进行读出和写入存取的受保护区(11)，但从模块外部至少不能进行写入，所述第一便携器包括信息处理器(23)以及一个非易失性存储器(25)，该存储器有一个只可由所述处理器进行读出和写入存取的受保护区(27)，但从便携器外部至少不能进行写入，第一便携器的受保护区(27)包括一些数据(S，K)和/或程序(P1)，其特征在于该处理装置包括专门用于起动和控制模块(8)和第一便携器(21)之间对话过程的设备，即—用于与所述协同设备(6)共同工作以使模块(8)与第一便携器建立通信的设备；—用于把所述的来自第一便携器受保护区(27)的所述数据(K)和/或程序(P1)传送到模块受保护区(11)中的设备。
9.根据权利要求8所述的装置，其中所述专门用于起动和控制模块(8)和第一便携器(21)之间对话过程的方法包括一储存在处理装置(1)的存储器(3，4)中的程序。
10.根据权利要求8所述的装置，该装置包括在与一便携器进行对话超过预定时间或预定次数后对模块的运行进行锁闭的方法，为此模块(8)的受保护区(11)包括相应的用于对所述闭锁进行起动的闭锁信息。
全文摘要
本发明涉及的是信息处理装置的受保护存储区的装入方法及相应的装置，该受保护区(11)属于处理装置的模块(8)；它只可由模块内部的处理器(9)进行读出和写入进行存取；但从模块外部至少不能进行写入。根据本发明，把秘密信息从便携器(21)的类似受保护区(27)传送到该受保护区(11)，便携器(21)的结构类似于模块的结构，该便携器是装入在便携器读出器(6)中的。
文档编号H04L9/10GK1153949SQ95119919
公开日1997年7月9日 申请日期1995年10月10日 优先权日1994年10月11日
发明者米歇尔·雨贡 申请人:Cp8川萨克公司