SE515047C2 - Metod och system för verifiering av tjänstebeställning - Google Patents

Description

lO 15 20 25 30 35 515 047 2 I kända system för säkra transaktioner på exempelvis Internet, förkommer en liten dosa, som användaren mäste ha tillgång till vid transaktionstillfället. Genom att koder utväxlas mellan datorn och dosan säkerställs att användaren verkligen har tillgång till dosan, och trans- aktionen krypteras med en nyckel som beräknas av dosan och enbart används vid detta transaktionstillfälle. Denna teknik används framförallt i samband med banktjänster på Internet, då en användare relativt ofta utnyttjar tjäns- ten.

Lösningen med den personliga dosan uppvisar dock två problem: För det första är det möjligt för en insatt fackman att kopiera elektroniken i en dosa som han har tillgång till en kort stund. Dosan kan sedan återlämnas till den intet ont anande ägaren. Ingen möjlighet finns sedan för datorsystemet att avgöra om det är ägaren eller bedraga- ren som beställer en transaktion.

För det andra är varje dosa specifik för varje tjänsteleverantör, vilket för en användare av flera tjänster innebär att ett flertal dosor ska medföras. Ris- ken finns då att användaren har glömt den dosa som han för tillfället behöver. Vidare minskar användarens möj- ligheter att hålla samtliga dosor under uppsikt, och en bedragare kan lätt använda en stulen dosa, eller kopiera en ”lånad” dosa, utan att användaren hinner sakna dosan.

När kontokort används för betalningar över Internet, är det oftast endast kontokortsnumret som fungerar som kontroll. Detta krypteras vanligen, men om krypteringen knäcks vid en transaktion av användarens namn tillsammans med kontokortsnumret, kan en bedragare handla relativt obehindrat tills användaren får en räkning, vanligtvis i slutet av månaden. Visserligen skulle dosor av ovan nämnt slag kunna utnyttjas för att förbättra säkerheten, men ovannämnda problem med kopiering av dosan, respektive be- hovet av flera dosor kvarstår då naturligtvis. 10 15 20 25 30 35 515 047 3 Vissa leverantörer har system på Internet där man först mäste anmäla sig som kund, och först därefter kan handla med sitt kontokort. Dessa system har dock liksom dosan den nackdel att de är specifika för varje tjänste- leverantör, och användaren får därmed en mycket krånglig tillvaro i kontakten med flera olika leverantörer.

En annan mycket vanlig tjänst med behov av verifie- ring av användaren är inloggning i datorsystem, eller in- passering i säkerhetsklassade lokaler. Dessa system bygg- er nästan uteslutande pä passerkort och på angivande av en kod eller ett lösenord, vilket i vissa system bytes enligt bestämda rutiner. Helt allmänt kan konstateras att det i Vàrt samhälle förekommer en uppsjö av koder, vilka för en människa är svära att hälla i minnet. Frestelsen är därför stor att notera koderna någonstans, varvid sä- kerheten minskar.

Att kombinera angivandet av en kod med en dosa, vil- ken rent fysiskt mäste finnas till hands förbättrar sä- kerheten, men till priset av en mängd dosor. Denna teknik är därför knappast nägon universell lösning pä ovanståen- de problematik.

Behov finns därför av ett enhetligt system som skul- le kunna användas vid flera olika typer av tjänstebe- ställningar, genom vilket användarens legitimitet kan ve- rifieras pà ett enkelt sätt.

Definitioner I den följande beskrivningen förekommer ett antal termer, vilka här definieras.

Med termen "uppdrag" avses helt allmänt en tjänst eller service som en person önskar utförd av en leveran- tör. Exempelvis kan ett uppdrag vara en ekonomisk trans- aktion, som utförs av en bank eller liknande, men ett uppdrag kan också vara en begäran att bli insläppt i en byggnad eller inloggad i ett datorsystem.

Med termen ”tjänsteleverantör” avses både företaget som utför uppdraget (exempelvis en bank, ett kontokortfö- 10 15 20 25 30 35 515 047 4 retag eller ett säkerhetsbolag), och den utrustning som utför uppdraget (exempelvis ett portlàs, en bankomat, el- ler ett datorsystem vid inloggning).

”Beställaren" är personen som begär uppdraget av tjänsteleverantören, och beställaren och tjänsteleveran- tören är i följande beskrivning tillika användare av me- toden och systemet enligt uppfinningen.

Termen ”databas” såväl den minnesenhet där data lag- ras som den mjukvara som hanterar datamängder och utför operationer exempelvis i syfte att jämföra datamängder.

Med ”mobiltelefon” vis en GSM-telefon eller liknande. Även eventuella fram- avses en bärbar telefon, exempel- tida bärbara telefoner innefattas naturligtvis av termen.

Uppfinningens syften Ett första syfte med föreliggande uppfinning är att lösa ovanstående problem, och göra det möjligt att veri- fiera en beställare av en tjänst på ett tillfredsställan- de sätt.

Ett andra syfte med uppfinningen är att göra det möjligt att verifiera en beställare av en tjänst, vilken metod är universell, och enkelt kan utnyttjas av flera tjänsteleverantörer utan behov av för leverantören speci- fik utrustning.

Sammanfattning av uppfinningen Dessa syften uppnås enligt uppfinning med en metod och ett system enligt de självständiga patentkraven l, 13 och 14.

Enligt uppfinningen finns således för varje bestäl- lare två identiska uppsättningar kodord, av vilka den ena finns lagrad på en minneskrets i en mobiltelefon, och den andra finns lagrad i en databas. Verifikationen av be- ställaren utförs genom att mobilteleabonnemanget identi- och kodordet kontrolleras mot den kodordsuppsättning i databasen som fieras, ett kodord utvinns ur minneskretsen, direkt eller indirekt är associerad med mobilteleabonne- 10 15 20 25 30 35 515 047 5 manget. Den inbördes ordningen mellan ovannämnda moment kan naturligtvis vara annorlunda, såtillvida att kodordet kan utvinnas ur minneskretsen innan mobilteleabonnemanget identifieras.

En fördel med detta system i förhållande till känd teknik är att kodorden är av engàngskaraktår i kombina- tion med att ingen förutsägbar algoritm utnyttjas för att härleda nästa kodord. För att känna till kodorden i en uppsättning måste mobiltelefonens minneskrets stjälas rent fysiskt eller kopieras på exempelvis elektronisk väg.

Vidare är systemet användbart av ett obegränsat an- tal tjånsteleverantörer. Det enda som erfordras av tjäns- televerantören är utrustning för att koppla upp sig mot databasen och överföra kodordet och identiteten, och att motta resultatet av kontrollen. Detta innebär vidare att användaren genom att spärra sitt mobilteleabonnemang i databasen enkelt kan spärra samtliga tjänster som utnytt- jar systemet.

En ytterligare fördel är att systemet är användbart helt parallellt med och oberoende av befintliga säker- hetssystem. Således kan varje tjänsteleverantör pà egen hand välja om den vill ansluta sig till systemet, och därigenom förbättra säkerheten i sitt befintliga system.

Kodordet utvinns företrädesvis ur minneskretsen en- ligt en förutbestämd ordning, vilket ytterligare förbätt- rar verifikationens säkerhet. Förutom att kodordet kon- trolleras tillhöra den kodordsuppsättning som är associe- rad med den uppgivna identiteten, kontrolleras också att det är rätt kodord inom uppsättningen.

I minneskretsen kan markeras när ett kodord har an- vänts, och en liknande markering kan utföras i databasen.

Härigenom säkerställs att minneskretsen och databasen har samma uppfattning om var i den förutbestämda ordningen nästa kodord ska hämtas. Man förhindrar alltså att min- neskretsen och databasen kommer ”ur fas”. Detta system kan liknas vid att beställaren bär med sig en skrapbar lO 15 20 25 30 35 515 047 6 lista med kodord. För att använda ett kodord skrapas det fram, varvid tjänsteleverantören skrapar fram motsvarande kodord i sin lista och jämför de båda. För att beställ- ningen ska accepteras màste rätt lista användas, och dessutom rätt kodord pä listan.

En konsekvens av detta förfarande är att en bedraga- re som i lönndom kommit över en persons kodordsuppsätt- ning, exempelvis genom att pà elektronisk väg kopierat minneskretsen, endast kommer att kunna utnyttja minnes- kretsen om inte personen dessförinnan gjort en beställ- ning, och därmed använt nästa kodord. Om bedragaren verk- ligen lyckas genomföra en beställning, kommer bedrägeriet att upptäckas senast nästa gång personen ska göra en be- ställning, eftersom det kodord som då anges inte accepte- ras. Mobilabonnemanget kan då spärras, varvid skadan mi- nimeras. Jämför med en i lönndom kopierad säkerhetsdosa enligt känd teknik, som kan användas av en bedragare tills ägaren får ett uppseendeväckande kontouppdrag eller liknande.

Steget att identifiera mobilteleabonnemanget inne- fattar företrädesvis stegen att bestämma beställarens identitet, och att utifrån beställarens identitet identi- fiera mobilteleabonnemanget. Beställarens identitet kan utgöras av lämplig data, exempelvis ett personnummer, ett kontokortsnummer eller ett mobiltelefonnummer. Begreppet identitet betecknar egentligen enbart en direkt koppling till en person, och den data som representerar identite- ten kan eventuellt utbytas. Sålunda kan identiteten från beställaren till tjänsteleverantören anges i form av ex- empelvis ett bank- eller passerskortsnummer med tillhö- rande kod, eller ett användar-ID med tillhörande kod, och från tjänsteleverantören till databasen anges i form av ett mobiltelefonnummer eller ett förutbestämt ID-nummer.

Databasen mäste dock kunna koppla ihop den mottagna iden- titeten med en bestämd kodordsuppsättning, normalt via mobiltelefonnumret, för att därigenom kunna kontrollera 10 l5 20 25 30 35 515 047, 7 att det angivna kodordet har utvunnits från rätt minnes- krets.

Enligt en föredragen utföringsform skickas en begä- ran till beställaren att uppge ett kodord. Beställaren kan alltså beställa en tjänst pä vanligt sätt, varpå tjänsteleverantören som en ytterligare säkerhetsàtgärd begär ett kodord, som beställaren dä utvinner ur mobilte- lefonen. Tjänsteleverantören har lämpligen information om vilka av dess kunder som är anslutna till systemet enligt uppfinningen, och skickar i förekommande fall en förfrå- gan till databasen. Databasen skickar därefter en begäran till beställaren att uppge ett kodord.

Begäran kan skickas via telenätet till mobiltelefo- nen och kodordet kan överförs från mobiltelefonen till databasen via telenätet. Lämpligen accepterar beställaren att kodordet skickas genom lämpliga knaptryckningar pà mobiltelefonen. Eftersom härigenom två separata kommuni- kationsvägar utnyttjas, för det första en väg mellan tjänsteleverantören och databasen, och för det andra mel- lan databasen och mobiltelefonen, förbättras säkerheten ytterligare. En bedragare som uppfàngat och förvanskat information längs den första kommunikationsvägen, har ingen möjlighet att förutse vilket mobilteleabonnemang eller basstation som nästa led i verifikationsprocessen kommer att utnyttja.

Begäran som skickas till mobiltelefonen, som exem- pelvis är ett SMS-meddelande eller liknande, kan innehål- la information om transaktionen. Detta kan vara fördelak- tigt exempelvis i en situation där kortet dragits i kort- terminalen, och godkänts av kortföretaget, men där trans- aktionens belopp ännu inte fastställts. En bedragare skulle dä, när hela verifikationen utförts, kunna ange ett felaktigt belopp, och därmed belasta beställarens konto för mycket. Genom ett SMS-meddelande enligt ovan skulle detta upptäckas av beställaren, slutlig bekräftelse till sin mobiltelefon. som alltså får en 10 15 20 25 30 35 515 047 8 Genom att mobiltelefonen kontaktas direkt ges en möjlighet för en användare att upptäcka ett pågående be- drägeri. Användaren kan då omedelbart spärra mobilabonne- manget, eller spärra det kort eller den tjänst som är ut- satt för bedrägeri. Antag att någon stulit eller kopierat en persons kontokort, och dessutom lyckats komma över nästa kod på personens minneskrets. När kortet används, och en transaktion godkännes av databasen, skickas ett meddelande till mobiltelefonen, varpå innehavaren får kännedom om att någon använt en av koorden på minneskret- sen. En möjlighet är vidare att dröja med kodordsbegäran till beställaren en bestämd tid. Detta skulle utesluta att en bedragare använder en mobiltelefon som sedan läm- nas tillbaka, utan att ägaren märker det. Fördröjningsti- den kan anpassas så att mobiltelefonens ägare hinner sak- na den och spärra den innan begäran om kodord skickas till mobiltelefonen och därmed verifierar beställningen.

Samtidigt möjliggör denna metod att en beställare kan låta en tredje person använda beställarens kort för en bestämd tjänst, exempelvis att köpa en vara. Beställa- ren får oavsett var han befinner sig, en bekräftelse på att köpet stämmer, och gör den definitiva bekräftelsen via sin mobiltelefon.

Speciellt vid tjänstebeställningar via Internet är det fördelaktigt med en begäran från databasen eller tjänsteleverantören direkt till mobiltelefonen, eftersom all information som överförs via Internet är mer eller mindre ätkomlig för andra. Ett SMS-meddelande till be- ställarens telefon blir därför en utmärkt kvittens på att transaktionen är korrekt.

Enligt en annan utföringsform av uppfinningen över- förs beställarens identitet och det ur minneskretsen ut- vunna kodordet till tjänsteleverantören, mobilteleabonne- manget som är associerat till beställaren identifieras av tjänsteleverantören, och kodordet och mobilteleabonne- mangets identitet överförs till databasen av tjänsteleve- rantören. Med detta förfarande kan beställaren alltså di- lO 15 20 25 30 35 515 047 9 rekt i samband med beställningen överföra både sin iden- titet och ett kodord till tjänsteleverantören. Identifie- ringen av mobilteleabonnemanget utförs därefter antingen av tjänsteleverantören eller av databasen.

Enligt en ytterligare utföringsform av uppfinningen utvinns ett andra kodord fràn minneskretsen och överförs till databasen, för att ytterligare verifiera uppdraget.

Kodorden i uppsättningen kan vara associerade till var- andra i grupper med olika antal kodord, för att användas vid olika typer av tjänstebeställningar med olika säker- hetsnivå.

Det första kodordet kan överföras fràn beställaren till databasen, eventuellt via tjänsteleverantören, varpå databasen skickar en begäran till beställaren att uppge ett andra kodord, och slutligen det andra kodordet över- förs frän beställaren till databasen. Begäran till be- ställaren kan ske på samma sätt som den ovan beskrivna begäran. En möjlighet är alltså att beställaren direkt till mobiltelefonen, får tvà på varandra följande begäran om att överföra ett kodord. En annan möjlighet är att be- ställaren först anger ett kodord direkt i samband med be- ställningen, varpå beställaren därefter fär en begäran om att ange ett ytterligare kodord. Fler möjligheter är na- _turligtvis möjliga, och speciellt kan även mobiltelefo- nens PIN-kod utnyttjas som ett sätt att ytterligare höja säkerheten i verifikationen.

Enligt en utföringsform av uppfinningen lagras i da- tabasen även positionsangivelser som är associerade med mobilteleabonnemanget. Vid verifikationen lokaliseras minneskretsen, och den erhållna positionen kan jämföras med de i databasen lagrade positionsangivelserna. Detta förfarande kan utnyttjas för att geografiskt begränsa var en beställare kan utföra vissa typer av tjänster. Exem- pelvis kan köp över ett visst belopp vara begränsade till ett fàtal, förutbestämda platser, vilket ytterligare ökar säkerheten. Denna geografiska kontroll kan också vara tillämpbart vid inloggning i ett datorsystem, som kanske lO l5 20 25 30 35 515 047 10 endast är tillåten från arbetsplatsen eller hemifrån. Al- ternativt kan en positionsangivelse i databasen vara en IP-adress, varigenom inloggningsförfarande eller Inter- nettransaktioner kan begränsas till en bestämd dator, utan att denna information finns tillgänglig hos tjänste- leverantören eller någonstans på Internet.

Kort beskrivning av ritningarna Föreliggande uppfinning kommer i det följande att beskrivas närmare under hänvisning till bifogade ritning- ar, vilka i exemplifierande syfte visar föredragna utfö- ringsformer av uppfinningen.

Pig la-b visar två kodordsuppsättningar enligt upp- finningen.

Pig 2 visar en mobiltelefon enligt uppfinningen.

Fig 3 visar en databas enligt uppfinningen.

Pig 4 visar hur kodordsuppsättningar enligt fig 1 framtages och lagras.

Pig Sa-d visar fyra föredragna utföringsformer av metoden enligt uppfinningen.

Beskrivning av en föredragen utföringsform I fig la-b visas två exempel pà en kodordsuppsätt- ning 1, som består av ett flertal koder 2 i form av fyr- eller sexställiga sifferkombinationer. Dessa sifferkombi- nationer är helt slumpmässigt framtagna, och uppvisar inget hàrledbart samband, vare sig avseende sammansätt- ning eller ordningsföljd. Koderna kan vara ordnade i grupper 3, med två eller flera koder 2 i varje grupp.

Eftersom varje kod i sig är helt oberoende av de öv- riga finns inget hinder mot att en sifferkombination fö- rekommer flera gånger i samma uppsättning, eller till och med i samma grupp.

Kodordsuppsättningen 1 är associerad med en identi- tet 4, som direkt eller indirekt är förknippad med ett mobilteleabonnemang. I det visade exemplet utgörs identi- teten av ett mobiltelefonnummer 5. 10 15 20 25 30 35 I till mobiltelefonens mottagare 13, 515 047 ll Mobiltelefonen 10 som schematiskt visas i fig 2 har pà känt vis en knappsats 11, en display 12, samt en mott- agare/sändare 13. Mobiltelefonen har vidare en minnes- krets 15, exempelvis ett SIM-kort eller motsvarande smart-card, vilken innehåller information 16 om mobilte- leabonnemanget. Exempelvis kan ett SIM-kort innehålla in- formation om abonnemangets telefonnummer, och om hur mycket kredit som återstår på ägarens konto hos mobil- tjänstleverantören. Minneskretsen 15 är vidare enligt uppfinningen försedd med den kodordsuppsättning 17 som är associerad med abonnemanget.

SIM-kortet kan förses med ett abonnemangs-ID och en kodordsuppsättning innan det levereras till en återför- säljare under noggrann sekretess, exempelvis genom någon form av sigillförslutning. Användaren som köper eller på annat sätt kommer över SIM-kortet kontrollerar att sigil- let inte är brutet och anordnar därefter SIM-kortet i sin mobiltelefon för att kunna använda denna.

Den i fig 2 visade mobiltelefonen är vidare försedd med organ, exempelvis en mjukvara 18, för att från min- neskretsen 15 utvinna ett kodord från kodordsuppsättning- en 17, och sända detta medelst mobiltelekombination, ex- empelvis i ett SMS-meddelande. En mjukvara med denna funktionalitet kan utvecklas av en fackman på området.

Mjukvaran 18 kan också överföra ett kodord via en kommu- nikationsport 19, såsom en seriell eller parallell data- överföringsport, eller infraröd port. Vidare kan ett ut- vunnet kodord visas på displayen 12.

Mjukvaran 18 är vidare anordnad att motta ett kodord och jämföra kodordet med kodordsuppsättningen i minnes- kretsen. Kodordet kan inmatas medelst knappsatsen 11, el- ler också mottas medelst mobiltelekommunikation direkt exempelvis genom att mobiltelefonen mottar ett SMS-meddelande.

Det är lämpligt att mobiltelefonen kan försättas i ett sov-läge, där inga telefonsamtal tas emot, men där 10 15 20 25 30 35 515 047 12 SMS-meddelanden kan mottas och sändas. Denna funktion kan utvecklas av en fackman på området.

I databasen 21, som visas i fig 3, är ett flertal kodordsuppsättningar 22 lagrade, vilka vardera har en identitet 23 som är associerad till ett mobilteleabonne- mang, vars motsvarande SIM-kort innefattar en identisk kodordsuppsättning.

Varje uppsättning 22 kan vidare vara kopplad till en eller flera positionsangivelser 24. Positionsangivelserna kan exempelvis vara ställen på vilka beställaren angivit att han vill kunna utföra en viss typ av beställningar.

Databasen 21 är vidare försedd med kommunikationsor- gan 25 för att motta en förfrågan, samt meddela resulta- tet av verifikationen. Exempelvis kan kommunikationsorga- net 25 utgöras av ett modem som är anordnat att kommuni- cera med tjänsteleverantören, till exempel att motta ett kodord och en identitet fràn tjänsteleverantören, samt att skicka en bekräftelse till tjänsteleverantören om att uppdraget är verifierat. Kommunikationsorganet 25 kan också vara anordnat att över mobiltelenätet, exempelvis via SMS-meddelanden, kommunicera med mobiltelefonen.

Vidare är databasen 21 försedd med organ, företrä- desvis mjukvara 26, som är anordnad att utföra sökningar i databasen och att exempelvis verifiera att ett bestämt kodord återfinns i den kodordsuppsättning 22 i databasen som är associerad en bestämd identitet 23.

I fig 4 illustreras hur kodordsuppsättningar 1 bil- das och lagras.

I ett helt fristående datorsystem slumpas sifferkom- binationer fram enligt algoritmer som inte kan förutsàgas utifrån (steg 31). Detta säkerställer att ingen kan för- utse vilka kodord som ingår i en bestämd kodordsuppsätt- ning, och kan enkelt åstadkommas av en fackman på områ- det. sättningar (steg 32), enligt algoritmer som i sig kan Sifferkombinationerna grupperas i grupper och upp- tillåtas vara kända utanför datorsystemet. Datorsystemet tillförs vidare en serie mobiltelefonnummer, vilka till- 10 15 20 25 30 35 515 047 13 handahålls av en mobilteletjänstleverantör, och associe- rar varje kodordsuppsättning med ett telefonnummer (steg 33).

Därefter distribueras uppsättningarna (steg 34) till företag som förser SIM-korten med information, där varje kodordsuppsättning lagras på ett SIM-kort (steg 35) som antingen före eller efter lagringen har tilldelats det mobiltelenummer som uppsättningen är associerad till.

Vidare distribueras (steg 34) uppsättningarna till databasen, där de också lagras (steg 36). Uppsättningarna kan lagras på àtkomstskyddade informationsbärare, exem- pelvis kodade och sigillförslutna CD-skivor, vilka dis- tribueras pà säkert sätt, exempelvis med kurir. Om dator- systemet som bildar uppsättningarna är anslutet till da- tabasen, kan denna del av distributionen ske pà säker elektronisk väg.

I fig 5a - c illustreras översiktligt tre olika va- rianter av hur verifikationen av ett uppdrag fràn en be- ställare 41 till en tjänsteleverantör 42 gàr till enligt uppfinningen. I samtliga fall har beställaren 4l en mo- biltelefon 10 enligt fig 2.

Enligt metoden i fig 5a uppger beställaren först sin Detta sker nor- malt i samband med beställningen av uppdraget, då bestäl- ett kontokorts- identitet 43 till tjänsteleverantören 42. laren exempelvis uppger ett användar-ID, nummer eller annan information som för tjänsteleverantö- ren identifierar beställaren.

Tjänsteleverantören har kännedom om vilka kunder som är anslutna till systemet enligt uppfinningen, och har möjlighet att associera ett mobilteleabonnemang till kun- dens identitet. Tjänsteleverantören 42 skickar en förfrå- gan 44 till databasen 21, och överför mobilteleabonne- mangets identitet 23, vanligen i form av ett mobiltele- nummer, men eventuellt i form av ett annan identifikation som är associerad med mobilteleabonnemanget, till databa- sen 21. Naturligtvis kan istället beställarens identitet l0 15 20 25 30 35 515 047 14 43 överföras till databasen 21, och det aktuella mobilte- leabonnemanget identifieras av databasen.

Databasen skickar därefter en begäran 45 via telenä- tet till mobiltelefonen 10, exempelvis medelst ett SMS- meddelande eller liknande. Meddelandet 45 innehåller in- formation om beställningen, som visas i displayen 12, sä att beställaren kan kontrollera att beställningen är rik- tig. Om sä är fallet kan beställaren bekräfta pà lämpligt sätt, exempelvis med en dubbel knapptryckning pä bestämd knapp i knapsatsen 11. Exempelvis kan beställaren till sin mobiltelefon fä ett meddelande av typen ”Kortköp S35 på BurgerKing. Tryck OK för att bekräfta", eller ”Du log- gar nu in pä din arbetsplats. Tryck OK för att bekräfta”.

Beställaren trycker då på OK-knappen. En ytterligare be- kräftelse av typen ”Är du säker J/N” kan vara lämplig, som en extra kontroll. Mjukvaran 18 i mobiltelefonen häm- tar då från SIM-kortet 15 nästa, ännu inte använda kod 46, och skickar denna från mobiltelefonen 10 till databa- sen 21. Samtidigt markeras det skickade kodordet som an- vänt pà SIM-kortet. Begäran 45 frän databasen kan också innehålla ett kodord (ej visat), som av mobiltelefonens mjukvara 18 kontrolleras mot SIM-kortets 15 kodordsupp- sättning 17.

En annan möjlighet är att databasen 21 kontaktar tjänsteleverantören 42, som i sin tur begär ett kodord frán beställaren och returnerar detta till databasen 21.

När databasen 21 får kodordet 46 kan det jämföras med den uppsättning 22 som är associerad till mobiltele- abonnemanget. Om kontrollen misslyckas, exempelvis bero- ende pä att koden inte återfinns i kodordsuppsättningen i databasen som är associerad till telefonnumret, överförs information om detta till tjänsteleverantören, som kan vägra utföra tjänsten, exempelvis vägra tillträde till ett datorsystem eller stoppa en transaktion. Om kontrol- len däremot är positiv, dvs den angivna koden är korrekt, överförs ett klartecken 47 till tjänsteleverantören 42, lO 15 20 25 30 35 515 047 15 som dà kan utföra tjänsten. Samtidigt markeras det mott- agna kodordet som använt.

Enligt metoden som visas i fig 5b uppger beställaren 41 ett kodord 46 i samband med att beställaren uppger sin identitet 43 enligt ovan. Beställaren 41 kan exempelvis läsa av ett kodord 46 från mobiltelefonens 10 display 12, och överföra det till tjänsteleverantören 42. Alternativt kan en dataöverföringsport 19 hos mobiltelefonen användas för att överföra ett kodord till tjänsteleverantören.

Tjänsteleverantören skickar därefter en förfrågan 44 till databasen 21, och överför förutom identiteten enligt ovan, även kodordet 46. Databasen 21 kontrollerar kodor- det enligt ovan, och skickar ett klartecken 47 till tjänsteleverantören 42.

Metoden som visas i fig 5c är egentligen en kombina- tion av de två tidigare metoderna. Beställaren 41 uppger först ett kodord 46' i samband med beställningen enligt fig 5b, och mottar därefter en begäran 45 om ytterligare ett kodord 46" För att ytterligare öka säkerheten kan mjukvaran 18 enligt fig Sa. vara anordnad att vid vissa uppdrag, exempelvis köp över ett visst belopp, begära användaren PIN-kod för att ut- vinna och sända kodordet. Detta innebär att en bedragare» som kommit över en påslagen mobiltelefon ändå är tvungen att känna till ägarens PIN-kod.

De i databasen lagrade positionsangivelserna kan också utnyttjas för att höja säkerheten. Den basstation som mobiltelefonen kommunicerar via kan relativt enkelt identifieras, och en jämförelse med de lagrade positions- angivelserna kan utföras. Det kan också vara möjligt att i mobiltelefonen innefatta en GPS-navigator eller liknan- de, varvid mobiltelefonen kan kommunicera sin position mycket noggrant. Positionskontrollen skulle härvid kunna ske i två steg, först grovt, med avseende pà basstation, och sedan mer noggrant, med avseende på longitud och la- titud. 10 15 20 25 30 35 515 047 16 Ytterligare varianter och kombinationer av dessa me- toder kan förekomma inom ramen för uppfinningen. Antalet kodord som utbyts mellan mobiltelefonen och databasen kan variera beroende på den önskade säkerheten.

I det följande ges nägra exempel på situationer dä en verifikationsmetod enligt uppfinningen är speciellt lämplig.

Restaurang En gäst som ätit på en restaurang beställer av sitt kontokortsföretag eller liknande tjänsten att betala re- staurangnotan med medel som finns pà gästens eget konto eller på kontokortsföretagets konto (kreditkort). Kortfö- retaget är således tjänsteleverantör, och gästen är be- ställare.

På känt vis hanteras kontokortet av restaurangperso- nalen, för att verifiera kortets nummer, dess giltighet, att medel finns på kontot, att kortet inte är spärrat etc. Kortföretaget fär pà detta sätt kännedom om bestäl- larens identitet, exempelvis genom det unika kortnumret.

Enligt en vanligt förekommande teknik dras kortet i en kortterminal, som via modem kontaktar kortföretaget och kontrollerar transaktionen.

Kortföretaget har i ett register information om att beställaren är ansluten till systemet enligt uppfinning- en, och identifierar mobilteleabonnemangets telefonnum- mer. Detta skickas till databasen, vilken därefter kon- taktar mobiltelefonen via telenätet och mottar ett kodord (fig 5a).

Alternativt använder beställaren sin mobiltelefon för att i samband med beställningen uppge ett kodord (fig 5b). Kodordet kan överlämnas till restaurangpersonalen, som via kortterminalen äter kontaktar kortföretaget och överför koden, eller också överföras fràn mobiltelefonen till kortterminalen genom någon form av kommunikationsor- gan, exempelvis en IR-port. lO 15 20 25 30 35 515 047 17 När kodordet verifierats av kortföretaget skickas ett klartecken 47 till restaurangen, varvid ett kvitto skrivs ut.

Internettransaktion Förfarandet är snarlikt när en datoranvändare vill göra en transaktion pà Internet eller liknande, exempel- vis göra en girering frän ett av sina bankkonton, eller handla med ett kontokort. Datoranvändaren är då beställa- re av en tjänst i form av en transaktion. Tjänsteleveran- tören kan vara ett kortföretag enligt ovan eller bestäl- larens egen bank.

Beställarens identitet överförs i detta fall genom en inmatning av exempelvis ett personnummer och tillhö- rande lösenord eller ett kontokortsnummer eller liknande.

En sådan inmatning kan ske i en skärmbild pà en WWW-sida, varefter sidans innehåll med en knapptryckning skickas till sidans innehavare.

Om ett förfarande enligt fig Sa används blir förlop- och be- ställaren får inom någon minut ett SMS-meddelande till pet identiskt med det ovan beskrivna exemplet, sin mobiltelefon, och kan bekräfta beställningen genom lämpliga knapptryckningar. Om ett förfarande enligt fig 5b utnyttjas, där beställaren läser av ett kodord från mobiltelefonens display, kan kodordet överföras på samma sätt som identiteten, antingen pà samma WWW-sida eller vid en efterföljande sida, som dyker upp så snart identi- teten godkänts.

Inloggning/inpassering Ytterligare en tjänstekategori som lämpar sig för verifikation enligt uppfinningen är inloggning i ett da- torsystem. Beställaren är då personen som vill åtkomma systemet, tjänsten är att släppa in personen i datorsy- stemet eller liknande, och tjänsteleverantören är det fö- retag eller datorsystem som är ansvarigt för säkerheten.

Beställaren anger sin identitet vid en inloggning enligt känd teknik, och uppger därvid exempelvis ett an- vändar-ID med lösenord. Därefter kan tjänsteleverantören 10 l5 20 25 30 35 515 047 18 kontakta databasen som begär ett kodord direkt från mo- biltelefonen enligt fig 5a. Alternativt kan beställaren enligt fig Sb ges möjlighet att via tangentbordet ange en kod som avlästs ur mobiltelefonens display.

Vid fysisk inpassering till en lokal eller ett omrä- de blir situationen snarlik den vid inloggning. Exempel- vis kan då beställarens identitet anges genom att dra ett passerskort eller slå en kod på ett portlàs.

Exempel på detaljerad händelsekedja vid betalning Dä en restaurang, i en affär etc.

Nedan görs, med hänvisning till fig Sd, en mer de- taljerad beskrivning av en tänkbar kedja av händelser för att en legitim beställare skall kunna utföra ett uppdrag med mycket hög säkerhet. Om uppdraget inte har sà hög sä- kerhetsklassning kan vissa moment uteslutas ur händelse- kedjan. Det är lämpligen tjänsteleverantörens dator som avgör vilken säkerhetsklass som uppdraget skall ha och om dricks ska lämnas till försäljningsstället. Därmed styrs resten av händelsekedjan baserat på säkerhetsklass och om dricks ska lämnas eller ej. a) Beställaren 41 lämnar ifrån sig ett kreditkort 51. b) Kreditkortet dras i kortterminalen 52 och betal- ningsbeloppet (inklusive eventuella garderobsavgifter mm) matas in i terminalen. Terminalen 52 genererar ett medde- lande om önskad betalning som bl.a. innehåller kortnum- mer, kortterminalens nummer och betalningsbeloppet. c) Kortterminalen skickar det i (b) genererade med- delandet till kreditkortföretagets dator (tjänsteleveran- tören 42). d) Kreditkortföretagets dator kreditprövar transak- tionen och om denna prövning faller väl ut så genererar datorn ett meddelande om transaktionen (säljare och be- lopp mm), uppdragsnummer, uppdragets säkerhetsklass, om ”dricks” förekommer samt kreditkortinnehavarens mobilte- lefonnummer. 10 15 20 25 30 35 515 047 19 e) Kreditkortföretagets dator skickar det meddelande som genererats i (d) till databasen 21. f) Databasen 21 plockar fram nästa oanvända kodord, kollar med aktuell mobiloperatör 54 om mobilen är på en tillåten plats och genererar ett meddelande med begäran om bekräftelse av uppdraget. I meddelandet ingår bl.a. säljare, belopp, uppdragsnummer, säkerhetsklass, om dricks förväntas och nästa oförbrukade kodord (576362). g) Databasen 21 skickar det meddelande som genere- rats i (f) till beställarens mobil 10. h) Mobilen kollar vilken säkerhetsklass som gäller och om dricks förekommer. Baserat på detta väljer mobilen vilken rutin som skall verkställas. Mobilen lägger upp förfrågan på displayen och ber om bekräftelse. Beställa- ren trycker på bekräfta. Om det är en hög säkerhetsklass begär mobilen att beställaren trycker in PIN-koden eller ett motsvarande lösenord som bara beställaren har i sitt huvud. Om det är ett säljställe (exempelvis restaurant) som tillämpar dricks, kommer det en fråga på mobilens display om beloppet skall höjas och då kan beställaren mata in ett nytt högre belopp. Mobilen ber beställaren att åter bekräfta och om beställaren på nytt bekräftar så genereras antingen ett eller två meddelanden beroende på säkerhetsklass. Båda meddelandena innehåller bl.a. mobil- telefonnummer, uppdragsnummer, säljare, belopp, slutligt belopp (om dricks) det första oförbrukade kodordet (576362) och nästa oförbrukade kodord (805209) och om mo- biltelefonen har inbyggd GPS-mottagare så bifogas även GPS-koordinaterna. Mobilen noterar de båda kodorden som förbrukade. Hela detta steg (h) hanteras av mjukvaran 18 i mobiltelefonen 10, vilken kan utvecklas av en fackman på området. i) Mobilen 10 sänder det i (h) genererade meddelan- det till databasen 21. j) Mobilen 10 sänder det i (h) genererade meddelan- det till kreditkortföretagets dator 42. lO l5 20 25 30 35 515 047 20 k) Databasen 21 kontrollerar meddelandet från mobi- len och om båda kodorden är korrekta genereras ett ID- bekräftelsemeddelande i vilket bl.a de båda kodorden in- gär och de båda kodorden noteras som förbrukade. l) Databasen 10 sänder det i (k) genererade ID- bekräftelsemeddelandet till kreditkortföretagets dator 42. m) Kreditkortföretagets dator kontrollerar meddelan- det fràn mobilen (j) och ID-bekräftelsemeddelandet fràn databasen (l) och gör lämpliga jämförelser. Om allt fal- ler väl ut så genereras en skrivorder som innehåller lämpliga uppgifter exempelvis säljare, köpare, belopp, kreditkortsnummer, uppdragsnummer, datum, klocka och ve- rifikationsnummer. n) Skrivorden överföres till kortterminalen 52. o) Kortterminalen skriver ut transaktionskvittot 53. p) Beställaren får tillbaka kreditkortet 51 och skriver under transaktionskvittot 53 och tar kopian medan säljaren behåller originalet.

Följande är vad beställaren upplever av ovanstående händelsekedja. 0 Beställaren lämnar sitt kreditkort som vanligt. 0 Beställaren får upp betalningen på sin mobiltele- fondisplay inom någon minut och bekräftar uppdraget genom två knapptryckningar. Vid stora uppdrag (hög säkerhets- klass) får beställaren mellan den första och andra be- kräftelsen, mata in PIN-koden eller annat liknande lö- senord och eventuellt justerar upp beloppet, d.v.s. ger dricks. 0 Beställaren får skriva under transaktionskvittot och ta kopian som vanligt.

Tillkommande moment: Beställaren bekräftar genom två knapptryckningar betalningen plus matar eventuellt in PIN-kod och höjer beloppet om dricks ska ges. 10 15 20 25 30 35 515 047 21 Moment som försvinner: Beställaren slipper att visa legitimation.

Följande är vad säljaren upplever av ovanstående händelsekedja. 0 Säljaren tar kreditkortet och drar detta genom kortterminalens läsare som vanligt. 0 Säljaren matar in beloppet via kortterminalen som vanligt. 0 Säljaren river av transaktionskvittot som vanligt. 0 Säljaren tillser att beställaren skriver under transaktionskvittot och tar originalet som vanligt.

Tillkommande moment: Inga Moment som försvinner: Säljare slipper begära legi- timation, kontrollera legitimation och skriva legitima- tionsnummer.

Tänkbara varianter på ställen där betalningen måste ske snabbt Man kan exempelvis vid betalning av mindre belopp i affär, kiosk, bensinstation mm tänka sig att bekräftelsen inte sker över mobilnätet, eftersom detta kan ta någon Istället kan exempelvis mobiltelefonens inf- I detta fall ut- minut extra. raröda dataöverföringsport 19 användas. rustas också kortterminalen med en infraröd kanal (ej vi- sad) raten redan har en display riktad mot kundsidan. Den inf- och programvara, samt en display om inte kassaappa- raröda enheten sitter lämpligen i displayenheten eller nära denna.

För denna utförandeform drar säljaren beställarens kreditkort och matar in beloppet eller får det direkt- överfört från exempelvis den bensinpump som beställaren just använt d.v.s. som det fungerar idag. När detta är klart visas beloppet pà ovan nämnda display, ”Bekräfta betalningen vilken också uppmanar beställaren att exempelvis med din mobil". Beställaren riktar sin mobil mot display- 10 15 20 25 30 515 047 22 en och mottar exempelvis bensinstationens namn och det aktuella beloppet. Genom två bekräftelsetryckningar på mobilen så överföres det första oanvända kodordet till kortterminalen och displayen kan exempelvis visa ”Lösenord mottagits”. Därefter fungerar allt som idag.

Man kan säga att mobilen ersätter den kontrollknapp- sats som är vanlig på många bensinstationer i åtminstone Sverige. Någon som står bredvid kan emellertid se vilken kod som slås in även om det finns ett skydd som skall göra det svårare att se. Om den som just slog in sin kon- trollkod skulle glömma sitt kort pà disken föreligger en frestelse för en oärlig person. En sådan person skulle kunna lägga handen över den förra kundens kreditkort och låta det glida ner i fickan. Den oàrlige personen skulle sedan kunna tanka upp exempelvis familjens bilar innan kortets riktiga ägare någon vecka senare skall tanka sin bil på nytt och märker att kreditkortet är borta.

Uppfinningen innebär ju att ett kodord aldrig an- vänds mer än en gång och för övrigt är det normalt ingen, varken beställaren eller annan, som ser några kodord över huvud taget.

Avslutning Det inses att en mängd varianter av de ovan beskriv- na utföringsformerna är möjliga inom ramen för de bifoga- de patentkraven. Exempelvis kan ett stort antal alterna- tiva verifikationsförfarande genomföras med ett system enligt uppfinningen. På samma sätt kan annorlunda utrust- ning än den här beskrivna användas för att verkställa me- toden enligt uppfinningen.

Claims (15)

10 15 20 25 30 35 515 047 23 PATENTKRAV

1. Metod att verifiera uppdrag från en beställare (41) till en tjänsteleverantör (42), innefattande stegen att bilda ett flertal uppsättningar (1) slumpmässigt framtagna kodord (2), att lagra en av nämnda flertal kodordsuppsättningar (1) i en till ett mobilteleabonnemang associerad minnes- krets (15) i en mobiltelefon (10), att lagra en identisk kodordsuppsättning (1) i en databas (21) tillsammans med en association till nämnda mobilteleabonnemang, och att vid beställningstillfället identifiera nämnda mobilteleabonnemang, utvinna åtminstone ett kodord (46) ur minneskretsen och kontrollera att kodordet förekommer i den kodordsuppsättning (1) i databasen som är associe- rad till nämnda mobilteleabonnemang, för att därigenom verifiera uppdraget.

2. Metod enligt krav 1, varvid kodordet utvinns fràn minneskretsen (15) enligt en förutbestämd ordning, vilken ordning är känd av databasen.

3. Metod enligt krav 2, vidare innefattande steget att i àtminstone den ena av minneskretsen (15) och data- basen (21) markera när ett kodord (46) har använts, var- igenom säkerställs att nämnda förutbestämda ordning följs.

4. Metod enligt nàgot av föregående krav, varvid steget att identifiera mobilteleabonnemanget innefattar stegen att bestämma beställarens identitet, och att utifrân beställarens identitet identifiera mo- bilteleabonnemanget. 10 15 20 25 30 35 515 047' 24

5. Metod enligt något av föregående krav, varvid en begäran (45) att uppge ett kodord skickas till bestäl- laren.

6. Metod enligt krav 5, varvid begäran (45) skick- as till mobiltelefonen (10) via telenätet.

7. Metod enligt krav 5 eller 6, varvid kodordet överförs från mobiltelefonen (10) till databasen (21) via telenätet.

8. Metod enligt krav l - 3, varvid beställarens identitet (43) och det ur minneskretsen utvunna kodordet (46) överförs till tjänsteleverantören (42), mobilteleabonnemanget som är associerat till bestäl- laren identifieras av tjänsteleverantören, och kodordet (46) och mobilteleabonnemangets identitet (23) överförs till databasen av tjänsteleverantören.

9. Metod enligt något av föregående krav, varvid (46") (15) för att ytterligare ve- utvinns från minneskretsen (2l), ett andra kodord och överförs till databasen rifiera uppdraget.

10. Metod enligt krav 9, varvid kodorden i uppsätt- ningen är associerade till varandra i grupper (3), och nämnda första (46') och andra (46") kodord ingår i samma grupp kodord.

11. ll. Metod enligt krav 9 - 10, varvid nämnda första till databa- till bestäl- varvid nämnda kodord ma) överförs från beställaren (41) sen (2l), databasen skickar en begäran (45) laren att uppge nämnda andra kodord (46"), andra kodord överförs från beställaren till databasen (21). lO 15 20 25 30 35 515 047 25

12. Metod enligt något av föregående krav, vidare innefattande stegen att till mobilteleabonnemanget associera och i data- basen (21) lagra åtminstone en positionsangivelse (24), att vid varje beställningstillfälle bestämma var (15) sålunda erhållna positionsangivelsen med nämnda, minneskretsen är lokaliserad, och kontrollera den i data- basen lagrade positionsangivelse (24).

13. Metod att verifiera ett uppdrag fràn en bestäl- lare till en tjänsteleverantör, varvid en uppsättning (1) har lagrats i en till (15) i en slumpmässigt framtagna kodord (2) ett mobilteleabonnemang associerad minneskrets mobiltelefon (10) samt i en databas (21) tillsammans med (23) nefattande stegen en association till nämnda mobilteleabonnemang, in- att bestämma beställarens identitet (43), utifrån beställarens identitet identifiera mobilte- leabonnemanget, att utvinna ett kodord (46) ur minneskretsen, och att kontrollera att nämnda kodord förekommer i den kodordsuppsättning (22) i databasen (21) som är associe- rad till nämnda mobilteleabonnemang, för att därigenom verifiera uppdraget.

14. System för verifiering av ett uppdrag från en beställare (41) till en tjänsteleverantör (42), innefat- tande en mobiltelefon (10) med en till ett mobilteleabon- nemang associerad minneskrets (15), organ för att låta beställaren till tjänsteleveran- tören uppge sin identitet (43), k ä n n e t e c k n a t av att systemet vidare innefattar en databas (21), en uppsättning (1) slumpmässigt framtagna kodord (2), vilken uppsättning för det första är lagrad i min- neskretsen (15), och för det andra är lagrad i databasen lO 15 515 Û47 26 (21) och där är förknippad med mobilteleabonnemanget, organ för att utifrån beställarens identitet (43) identifiera mobilteleabonnemanget, organ för att läta beställaren (41) utvinna ett kod- ord ur minneskretsen (15), och överföra nämnda kodord till databasen (21), och kontrollorgan (25, 26) för kontrollera att nämnda kodord förekommer i den kodordsuppsättning (22) i databa- sen som är associerad till nämnda mobilteleabonnemang, för att därigenom verifiera uppdraget.

15. System enligt krav 14, varvid kontrollorganet innefattar ett kommunikationsorgan (25) (21) och mobiltelefonen (10). för att kommuni- cera mellan databasen