ES2558078B1 - Dispositivo electrónico portátil de moneda - Google Patents

Abstract

Dispositivo electrónico portátil de moneda para realizar transacciones monetarias entre un usuario (P) y un vendedor (V), que comprende un elemento de moneda (1) provisto de un selector de moneda (2) para realizar la selección de moneda o monedas a partir de una solicitud del vendedor (V), unos registros de entradas (4) de función (3) destinados a ser seleccionados en función de la selección de moneda o monedas, una función (3) de cálculo de una moneda que a partir de los valores de registros de entrada (4) proporciona una salida de función, unos registros de reconstrucción de salida (5) de función (3), un reconstructor de monedas (6) que a partir de la salida de función y los registros de reconstrucción de salida (5) de función (3) puede reconstruir un valor de moneda original, en el que la función (3) es una función física no clonable borrable de una sola lectura, de modo que no se puede utilizar dos veces la misma moneda. La invención también se refiere a un procedimiento que emplea a este dispositivo.

Description

5

10

15

20

25

30

35

DESCRIPCION

DISPOSITIVO ELECTRONICO PORTATIL DE MONEDA

La presente invention se refiere a un dispositivo electronico portatil de moneda que permite realizar transacciones totalmente fuera de lmea (off-line) de manera fiable y segura.

Antecedentes de la invencion

Actualmente las soluciones de pago digitales se basan en la capacidad de los dispositivos involucrados para operar en lmea, es decir, para conectarse a un servicio de pago remoto fiable. Algunos sistemas de pago con tarjeta actuales son fuera de lmea (off-line), ya que proporcionan una verification fuera de lmea en el punto de venta.

Sin embargo, estos servicios se limitan a la autenticacion de usuarios, mientras que se basan a ciegas en la confianza en el banco para las transacciones de los usuarios. Como tales, las transacciones de usuario se pagan / garantizan por parte del banco, incluso en caso de uso indebido.

Sin embargo, para todas aquellas tarjetas que no estan ligadas a una cuenta bancaria, como las tarjetas de prepago, el problema principal es que no siempre se dispone de una conexion activa a Internet. Esto puede ser debido a alguna interruption temporal del servicio de red o a una falta completa de cobertura de la red.

Por ultimo, pero no menos importante, este tipo de soluciones en lmea no son muy eficientes debido a los retrasos y problemas de fiabilidad que intervienen en la comunicacion remota. Como tal, algunos comerciantes prefieren una solution fuera de lmea para aprovechar el aumento de la rapidez y poder beneficiarse de los ahorros en los costes de no utilizar costosos sistemas de transmision de datos moviles.

Las soluciones propuestas hasta ahora para los pagos moviles se pueden clasificar de acuerdo con las condiciones de conexion de cada dispositivo. Estos se clasifican de acuerdo con todo el enfoque de sistema de pago y no en funcion de cada dispositivo individual, obteniendose asi la siguiente taxonomia precisa:

Totalmente en lmea (Fully On-Line): las soluciones como las descritas en [2, 10] hacen que

5

10

15

20

25

30

35

el dispositivo movil del usuario se conecte con una red 3G con el fin de comunicarse con el banco u otra puerta de pago;

Semi fuera de linea (Semi Off-line): Las soluciones como las descritas en [11,18] requieren una conexion activa procedente solo del dispositivo de proveedor y no desde el dispositivo del usuario;

Debil fuera de linea (Weak Off-line): Las soluciones como las descritas en [4, 14] requieren una conexion ya sea a un conjunto de datos compartido o en una red peer-to-peer. Tal conjunto de datos, que permite el acceso a todas las transacciones anteriores, permite a los proveedores comprobar la validez y los atributos cuenta de usuario, lo cual evita comportamientos maliciosos como los de duplicar el gasto. Otras soluciones pertenecientes a la categoria debil fuera de linea trabajan con dinero en efectivo digital disenado para ser aceptado, ya sea por un proveedor espedfico (por ejemplo, cupones) o dentro de una ventana de corta duracion espedfica como en [1, 15]; Otra solucion de estas se describe en [5] que describe un uso fuera de linea, pero que aprovecha un componente remoto para almacenar y administrar las claves. La presencia de una tarjeta [7] requiere una conexion a un sistema remoto con el fin de transmitir los registros de compra en un punto posterior en el tiempo. Tambien en [8] Se necesita un servidor remoto para validar las claves. Como tal, esto no puede considerarse una solucion completamente desconectado.

Completamente fuera de linea (Fully Off-Line): Son soluciones que no requieren ninguna conexion de red externa, pero asumen que tanto el usuario como los dispositivos de vendedores son de confianza [9].

Ademas, en [6] es un documento de patente que reivindica garantizar la confianza del terminal POS.

Por lo tanto, los inconvenientes limitaciones principales de las soluciones del estado de la tecnica son las siguientes:

Partes de confianza (Trusted-parties): tanto el usuario como el dispositivo de proveedor se suponen de confianza.

Ventana Temporal (Time-Window): un aspecto importante de las soluciones fuera de linea es que el permiso de cuenta de usuario para hacer compras puede ser invalidado sin que el

5

10

15

20

25

30

35

vendedor lo sepa. Una posible solucion es comprobar con frecuencia y validar la renovacion del permiso por parte del banco.

Con las soluciones completamente fuera de lmea, se plantea la cuestion relativa a la forma de hacer el seguimiento de las transacciones pasadas. De hecho, un vendedor fuera de lmea no puede comprobar facilmente si algunas monedas digitales ya se han gastado o no.

Esta es la principal razon por la que las soluciones propuestas hasta ahora en la literatura requieren algun tipo de tercero de confianza (Trusted Third Party - TTP) para almacenar las transacciones pasadas y comprobar dicha lista cuando se recibe una nueva solicitud de pago (verification en tiempo real) o cuando la solicitud se ha realizado (verification aplazada). En las soluciones de verificacion aplazadas, el vendedor solo comprueba la identidad del usuario, mientras que el pago se notificara al banco en un momento posterior. A diferencia de las soluciones aplazadas, en los enfoques en tiempo real el dinero se transfiere cuando se realiza la transaction. Sin embargo, en ambos casos se necesita un TTP con el fin de evitar los ataques de doble gasto mediante la comprobacion de las transacciones pasadas con otros vendedores.

Finalmente son conocidos los sistemas de pago electronicos que tienen alojada una moneda en una funcion. Por ejemplo, en EP2684331 se describe un sistema de pago electronico que utiliza una moneda electronica, pero en el cual la condition de borrable depende de la confianza en un software/firmware incrustado. En este caso, la propiedad de evidencia de manipulation se supone para varios de sus componentes. Incluso el puerto de comunicaciones I/O, la interfaz USB y varios otros componentes se suponen de confianza. Incluso la memoria en la que se almacenan las monedas se supone de confianza. Asimismo, el protocolo descrito no es del todo fuera de lmea, puesto que en algun momento se deben actualizar listas de CRLs para verificar la validez de nuevas monedas digitales.

Description de la invention

Para superar los inconvenientes citados, la presente invencion propone un dispositivo electronico portatil de moneda para realizar transacciones monetarias entre un usuario y un vendedor, que comprende un elemento de identidad y un elemento de moneda, estando provisto el elemento de moneda de:

- Un generador de clave destinado a calcular sobre la marcha una clave privada del

5

10

15

20

25

30

35

elemento de moneda;

- Un elemento criptografico destinado a realizar las operaciones de cifrado y descifrado a partir de la clave privada del elemento de moneda, en particular destinada a descifrar la solicitud del elemento de identidad y a cifrar la respuesta del elemento de moneda antes de enviarla al elemento de identidad;

- Un selector de moneda para realizar la selection de moneda o monedas a partir de una solicitud del elemento de identidad;

- Unos registros de entradas de funcion destinados a ser seleccionados en funcion de la seleccion de moneda o monedas;

- Una funcion de calculo de una moneda que a partir de los valores de registros de entrada proporciona una salida de funcion;

- Unos registros de reconstruction de salida de funcion;

- Un reconstructor de monedas que a partir de la salida de funcion y los registros de reconstruccion de salida de funcion puede reconstruir un valor de moneda original;

que se caracteriza por el hecho de que la funcion es una funcion fisica no clonable borrable de una sola lectura para cada registro de entrada, de modo que no se puede utilizar dos veces la misma moneda.

Preferentemente, el elemento de identidad del usuario esta provisto de:

- Un generador de clave destinado a calcular sobre la marcha una clave privada del elemento de identidad;

- Un elemento criptografico destinado a realizar las operaciones de cifrado y descifrado a partir de la clave privada del elemento de identidad, en particular destinada a descifrar la solicitud del vendedor, a cifrar la respuesta del usuario antes de enviarla al vendedor, a cifrar la solicitud de ser enviado al elemento de moneda y a descifrar la respuesta obtenida a partir del elemento de moneda.

Ventajosamente, ambos generadores de claves que se encuentran en el elemento de moneda y de identidad contienen una funcion fisica no clonable no borrable. En este caso, si que la funcion puede ser utilizada varias veces con el mismo valor de entrada.

La invention tambien se refiere a un procedimiento para realizar transacciones monetarias entre un usuario y un vendedor utilizando un dispositivo electronico provisto de un elemento de moneda y de un elemento de identidad, donde el elemento de moneda esta provisto de:

5

10

15

20

25

30

35

- Un selector de moneda;

- Unos registros de entradas de funcion;

- Una funcion de calculo de una moneda que es una funcion fisica no clonable borrable de una sola lectura;

- Unos registros de reconstruction de salida de funcion;

- Un reconstructor de monedas;

- Un generador de clave;

- Un elemento criptografico;

Mientras, el elemento de identidad esta provisto de:

- Un generador de clave;

- Un elemento criptografico;

Comprendiendo el procedimiento las etapas de:

a) Realizar una solicitud de transaction al vendedor por parte del usuario;

b) Generar una solicitud de moneda por parte del vendedor;

c) Cifrar con la clave publica del elemento de identidad del usuario la solicitud de moneda por parte del vendedor;

d) Enviar al elemento de identidad del usuario por parte del vendedor la solicitud de moneda;

e) Por parte del elemento de identidad, calcular sobre la marcha la clave privada del elemento de identidad mediante el generador de clave;

f) Descifrar la solicitud del vendedor con la clave privada del elemento de identidad;

g) Cifrar con la clave publica del elemento de moneda la solicitud de moneda por parte del elemento de identidad;

h) Por parte del elemento de moneda, calcular sobra la marcha la clave privada del elemento de moneda mediante el generador de clave;

i) Enviar la solicitud del elemento de identidad al elemento de moneda;

l) Descifrar la solicitud del elemento de identidad por parte del elemento de moneda;

m) Realizar la selection registros de entradas de funcion mediante el selector de moneda;

n) Aplicar a la funcion estos registros, para obtener una salida de funcion;

o) Reconstruir las monedas mediante el reconstructor de monedas a partir de la salida de la funcion y los registros de reconstruccion de salida de funcion;

p) Por parte del elemento de moneda, cifrar la moneda reconstruida con la clave publica del elemento de identidad mediante el elemento criptografico;

5

10

15

20

25

30

35

q) Enviar la moneda reconstruida al elemento de identidad;

r) Descifrar la moneda reconstruida del elemento de moneda por parte del elemento de identidad;

s) Cifrar la moneda reconstruida con el valor aleatorio SALT y la clave privada del elemento de identidad;

t) Enviar al vendedor la moneda reconstruida por parte del usuario;

u) Descifrar por parte del vendedor la moneda recibida del usuario;

Las etapas e) h) n) se realiza con una funcion fisica no clonable no borrable.

Breve descripcion de las figuras

Para mejor comprension de cuanto se ha expuesto se acompanan unos dibujos en los que, esquematicamente y tan solo a trtulo de ejemplo no limitativo, se representa un caso practico de realization de la invention.

La figura 1 es un esquema general de arquitectura de dispositivo de usuario que muestra todos los tipos posibles que se pueden conseguir con el elemento de moneda;

La figura 2 es un esquema general de arquitectura de las dos partes segun la invencion;

La figura 3 es una arquitectura de elemento de moneda segun la invencion;

La figura 4 es una arquitectura de elemento de identidad;

La figura 5 es una arquitectura de elemento de generador de clave;

La figura 6 muestra la reconstruction de moneda en el elemento de moneda del pagador;

La figura 7 es la arquitectura de bloque de Funcion Fisica No clonable;

La figura 8 muestra el protocolo de pago segun la invencion.

La figura 9 muestra el detalle de la etapa 6 de la figura 8.

5

10

15

20

25

30

35

Descripcion de una realization preferida

Tal como puede apreciarse en las figuras 3 y 4, la presente invention propone un dispositivo electronico portatil para realizar transacciones monetarias entre un usuario P y un vendedor V, que comprende un elemento de moneda 1 y un elemento de identidad 7. El elemento de moneda 1 esta provisto de

- Un generador de clave 11 destinado a calcular sobre la marcha una clave privada CESK del elemento de moneda 1, comprendiendo este generador una funcion fisica no clonable no borrable;

- Un elemento criptografico 12 destinado a realizar las operaciones de cifrado y descifrado, en particular destinado a descifrar la solicitud del elemento de identidad 7 con la clave CESK y a cifrar con la clave IEPK la respuesta del elemento de moneda 1 antes de enviarla al elemento de identidad 7;

- Un selector de moneda 2 para realizar la selection de moneda o monedas a partir de una solicitud del elemento de identidad 7;

- Unos registros de entradas 4 de funcion 3 destinados a ser seleccionados en funcion de la seleccion de moneda o monedas;

- Una funcion 3 de calculo de una moneda que a partir de los valores de registros de entrada 4 proporciona una salida de funcion;

- Unos registros de reconstruction de salida 5 de funcion 3;

- Un reconstructor de monedas 6 que a partir de la salida de funcion y los registros de reconstruccion de salida 5 de funcion 3 puede reconstruir un valor de moneda original;

caracterizado por el hecho de que la funcion 3 es una funcion fisica no clonable borrable de una sola lectura para cada registro de entrada, de modo que no se puede utilizar dos veces la misma moneda.

Tal como puede apreciarse en la figura 4, el dispositivo comprende un elemento de identidad 7 del usuario que comprende:

- Un generador de clave 71 destinado a calcular sobre la marcha una clave privada IESK del elemento de identidad 7, comprendiendo este generador una funcion fisica no clonable no borrable;

- Un elemento criptografico 72 destinado a realizar las operaciones de cifrado y descifrado,

5

10

15

20

25

30

35

en particular destinado a descifrar la solicitud del vendedor V con la clave privata IESK, a cifrar la solicitud del elemento de moneda con la clave CEPK, a descifrar la respuesta del elemento de moneda con la clave IESK y a cifrar con el valor aleatorio SALT y la clave IESK la respuesta del usuario P antes de enviarla al vendedor V.

Tal como puede apreciarse en la figura 8, la invencion tambien se refiere a un procedimiento para realizar transacciones monetarias entre un usuario P y un vendedor V utilizando un dispositivo electronico provisto de un elemento de identidad 7 y un elemento de moneda 1, estando el elemento de moneda 1 provisto de:

- Un generador de clave 11;

- Un elemento criptografico 12;

- Un selector de moneda 2;

- Unos registros de entradas 4 de funcion 3;

- Una funcion 3 de calculo de una moneda que es una funcion fisica no clonable borrable de una sola lectura;

- Unos registros de reconstruction de salida 5 de funcion 3;

- Un reconstructor de monedas 6;

Estando el elemento de identidad 7 provisto de:

- Un generador de clave 71;

- Un elemento criptografico 72;

Comprendiendo el procedimiento las etapas de:

a) Realizar una solicitud de transaction al vendedor V por parte del usuario P;

b) Generar una solicitud de moneda por parte del vendedor V;

c) Cifrar con la clave publica IEPK del elemento de identidad del usuario P la solicitud de moneda por parte del vendedor V;

d) Enviar al elemento de identidad del usuario P por parte del vendedor V la solicitud de moneda;

e) Por parte del elemento de identidad, calcular sobre la marcha la clave privada IESK del elemento de identidad mediante el generador de clave 71;

f) Descifrar la solicitud del vendedor con la clave IESK;

g) Cifrar con la clave publica del elemento de moneda CEPK la solicitud de moneda por parte del elemento de identidad;

5

10

15

20

25

30

35

h) Enviar la solicitud del elemento de identidad al elemento de moneda 1;

i) Por parte del elemento de moneda, calcular sobra la marcha la clave privada del elemento de moneda CESK mediante el generador de clave;

l) Descifrar la solicitud del elemento de identidad por parte del elemento de moneda;

m) Realizar la seleccion registros de entradas 4 de funcion 3 mediante el selector de moneda 2;

n) Aplicar a la funcion 3 estos registros 4, para obtener una salida de funcion;

o) Reconstruir las monedas mediante el reconstructor de monedas 6 a partir de la salida 7 de la funcion 3 y los registros de reconstruction de salida 5 de funcion 3;

p) Cifrar la moneda reconstruida con la clave publica del elemento de identidad IEPK por parte del elemento de moneda mediante el elemento criptografico 12;

q) Enviar la moneda reconstruida al elemento de identidad 7;

r) Descifrar con la clave IESK la moneda reconstruida del elemento de moneda por parte del elemento de identidad;

s) Cifrar con el valor aleatorio SALT y la clave IESK la moneda reconstruida por parte del elemento de identidad;

t) Enviar al vendedor V la moneda reconstruida por parte del usuario P;

u) Descifrar por parte del vendedor V y con la clave IEPK la moneda recibida del usuario P

La etapa e) i) n) se realiza con una funcion fisica no clonable no borrable.

La figura 1 muestra las diferentes maneras en las se puede implementar un elemento de moneda (tambien conocido como tarjeta de pago).

Como dispositivo externo, el elemento de moneda (o dispositivo electronico portatil de moneda) puede ser implementado como un dispositivo USB dedicado o una tarjeta SD o incluso como un dispositivo remoto situado en la nube.

Como dispositivo interno, el elemento de moneda puede ser implementado como un elemento seguro. El elemento de moneda ha sido disenado como un componente separado para bloquear las actividades maliciosas de usuarios mientras proporciona la privacidad del usuario P. Mediante el uso de un elemento de identidad 7 para identificar el dispositivo pagador P implicado en el pago, un dispositivo de usuario malicioso puede ser anadido, por parte del emisor del elemento de moneda, a una lista negra de usuarios. Como tal, independientemente de que elemento de moneda se utilice en una transaction, no se permitira completar la transaccion a un dispositivo de usuario que este en la lista negra.

5

10

15

20

25

30

35

La figura 2 muestra todos los elementos que intervienen en un caso de aplicacion de la invencion. Suele haber dos involucrados en un protocolo de pago. El dispositivo pagador P que se compone de un elemento de identidad y de un elemento de moneda y tambien un dispositivo de beneficiario V, que sera el vendedor.

A partir de ahora se denominara PUF (por sus siglas en ingles Physical Unclonable Function) a la Funcion Fisica No clonable. Esta puede seleccionarse como borrable o no borrable tal como se vera en lo sucesivo.

La Figura 3 muestra en detalle la arquitectura interna de un dispositivo de elemento de moneda. Dicho dispositivo esta compuesto por:

Un generador de clave 11: este se encarga de calcular la clave secreta del elemento de moneda en tiempo de ejecucion;

Un elemento criptografico 12: este se encarga de de todas las operaciones de cifrado y descifrado;

Un selector de monedas 2: es responsable de la seleccion de los registros 4, 5 adecuados utilizados para calcular el valor de salida calculado por la PUF borrable con el fin de obtener el valor final de la moneda;

PUF Borrable 3: es una PUF con una caracteristica de una sola lectura para cada moneda. Despues de la primera interrogation, si se utiliza la misma entrada, la salida sera aleatoria;

Registros de moneda de entrada 4 y de salida 5: se utilizan para almacenar tanto las entradas 4 a la PUF 3 y los valores re reconstruction de salida 5 necesarios para reconstruir el valor de la moneda original;

Reconstructor de Moneda 6: es responsable de utilizar tanto la salida procedente de la PUF y registros de monedas 5 con el fin de reconstruir el valor original de la moneda.

La figura 4 muestra los dos componentes del elemento de identidad 7. Dicho dispositivo esta compuesto por:

Generador de clave 71: se utiliza para calcular la clave secreta del elemento de identidad en

5

10

15

20

25

30

35

tiempo de ejecucion;

Elemento criptografico 72: se utiliza para operaciones de cifrado / descifrado.

La Figura 5 muestra el algoritmo de correccion de errores propuesto en [21] y utilizado preferentemente por el dispositivo y el procedimiento de la presente invencion para calcular la clave secreta (privada). Este algoritmo se ha usado tanto en el elemento de identidad en la de moneda. La PUF de suma 64 basica consulta la diferencia entre dos terminos de retardo, cada uno producido por la suma de 64 valores de PUF. El bit de interrogacion Ci de desafio para cada una de las 64 etapas determina que parte de PUF se utiliza para calcular el termino de retardo superior, y cual se utiliza para calcular el termino de retardo inferior. El bit de signo de la diferencia entre los dos terminos de retardo determina si la PUF da salida a un bit '1 'o '0' para la interrogacion de 64 bits C0...Cn. Los bits restantes de la diferencia determinan el nivel de confianza del bit de salida '1 'o '0'. La PUF de suma k puede considerarse como un arbitro PUF (ver [13]) de K etapas con una salida de valor real que contiene tanto el bit de salida, asi como su nivel de confianza.

Esta information es utilizada por el bloque de correccion de error de peso ligero dispuesto aguas abajo que es capaz de proporcionar una clave criptografica tanto al elemento de identidad 7 como al elemento de moneda 1. Mediante el uso de tal proceso de generation de claves criptograficas sobre la marcha ("on-the-fiy'), ventajosamente segun la presente invencion no se almacenan claves privadas en el propio elemento evitando y asi el espionaje / lectura pro parte de usuarios malintencionados y garantizandose que solo el elemento de identidad / moneda correcto puede calcular su propia clave privada.

La figura 6 muestra como se reconstruye la moneda en el elemento de moneda. En primer lugar se calcula la clave secreta con el fin de entender la solicitud recibida por el elemento de identidad del pagador P. La solicitud debera contener el numero de monedas a leer junto con otros valores efimeros. Cada numero de moneda que se encuentra en la solicitud se utilizara como entrada a un selector de monedas 2 que va a leer un registro de moneda 4 especial que contiene la entrada a la PUF 3 que se utilizara para esa moneda espedfica. Este numero de moneda tambien se utilizara como entrada a un segundo registro 5 de la moneda que contiene un valor de moneda (registros de reconstruccion de moneda) que se combinara con la salida de la PUF 3 con el fin de reconstruir el valor de la moneda original disenada por el emisor del elemento de moneda.

5

10

15

20

25

30

35

La figura 7 muestra el algoritmo y arquitectura que se utilizan para la generacion de la clave privada. Este elemento se utiliza tanto en el elemento de moneda como en el elemento de identidad

La figura 8 muestra el protocolo de transaction segun la presente invention. En este diagrama de flujo las referencias tienen los siguientes significados:

Salt Valor Salt

CEPK Clave publica del elemento de moneda

CESK Clave secreta (privada) del elemento de moneda

IEPK Clave publica del elemento de identidad

IESK Clave secreta (privada) del elemento de identidad

EReq Solicitud de beneficiario cifrada

Req Solicitud de beneficiario

DEC Descifrar

ENC Cifrar

CoinVal Valor de moneda

CreditVal Valor del credito

CreditIdx Creditos disponibles

SCID Scratch Card ID

ERes Respuesta de pago cifrada

Res Respuesta de pago

BPK Clave publica del Banco (Bank Public Key)

La figura 9 describe con detalle todas etapas de la fase 6 de la figura 8. En estas etapas los elementos de identidad y de moneda utilizan sus propias claves privada/ publica para comunicar de forma segura el valor de moneda a y desde el elemento de moneda.

Por lo tanto, se ha descrito un nuevo enfoque de pago electronico que supera las soluciones anteriores con respecto a la flexibilidad y la seguridad. De hecho, el dispositivo y el procedimiento de la presente invencion no exigen ningun tipo de conectividad de red o de un tercero de confianza.

Segun la presente invencion, tanto el dispositivo de beneficiario como de pagador se pueden desconectar de Internet o de cualquier otro tercero de confianza, al poderse confiar unicamente en los datos locales integrados. Este es el primer enfoque que proporciona

pagos totalmente fuera de lmea seguros resistentes contra un adversario omnipresente que es incluso capaz de ajustar todos los dispositivos que intervienen en el proceso de pago.

Para lograr este objetivo, la presente invention saca partido de las nuevas funciones fisicas 5 no clonables (PUF). La mayoria de las PUF se habia utilizado en el pasado para proporcionar una autenticacion de usuario mas fuerte. Sin embargo, una de las caracteristicas mas importantes de las PUF es su capacidad a prueba de intrusion.

En los ultimos anos, se han introducido otras soluciones de pago de tarjetas inteligentes 10 basadas en hardware a prueba de manipulaciones. Sin embargo, el enfoque propuesto solo supone que un pequeno componente del dispositivo al que pertenece la PUF es a prueba de intrusion (proporcionada por el PUF).

Como consecuencia, los supuestos de la presente invencion son mucho menos restrictivos y 15 mas realistas que con otros enfoques. Ademas, la presente invencion es la primera solution que no se basa en transacciones aplazadas. Un enfoque pospuesto, adoptado por la mayoria de las soluciones de pago de tarjetas de credito actuales, es capaz de verificar la identidad del usuario en tiempo de ejecucion, pero requiere que la tarjeta de credito se conecte a una cuenta bancaria desde donde se cogera el dinero.

20

Segun la presente invencion, el pago se realiza en tiempo de ejecucion y no se requieren acciones postergadas. La falta de conectividad a cualquier cuenta bancaria tambien hace que la presente invencion sea interesante desde el punto de vista de la privacidad de las transacciones del usuario. De hecho, a diferencia de otras soluciones, segun la presente 25 invencion el elemento de la moneda se puede comprar sin aportar ningun documento de identificacion.

A pesar de que se ha hecho referencia a una realization concreta de la invencion, es evidente para un experto en la materia que el dispositivo y el procedimiento descritos son 30 susceptibles de numerosas variaciones y modificaciones, y que todos los detalles mencionados pueden ser sustituidos por otros tecnicamente equivalentes, sin apartarse del ambito de protection definido por las reivindicaciones adjuntas.

5

10

15

20

25

30

35

Referencias

[1] M. Aigner, S. Dominikus, and M. Feldhofer. A System of Secure Virtual Coupons Using NFC Technology. In Fifth Annual IEEE International Conference on Pervasive Computing and Communications Workshops (PerComW’07), pages 362- 366. IEEE, 2007.

[2] W. Chen, G. Hancke, K. Mayes, Y. Lien, and J.-H. Chiu. Using 3G network components to enable NFC mobile transactions and authentication. In Progress in Informatics and Computing (PIC), 2010 IEEE International Conference on, volume 1, pages 441 -448, Dec 2010.

[3] X. Dai, O. Ayoade, and J. Grundy. Off-line micro-payment protocol for multiple vendors in mobile commerce. In Parallel and Distributed Computing, Applications and Technologies, 2006. PDCAT ’06. Seventh International Conference on, pages 197-202, 2006.

[4] S. Dominikus and M. Aigner. mCoupons: An Application for Near Field Communication (NFC). In Advanced Information Networking and Applications Workshops, 2007, AINAW’07. 21st International Conference on, pages 421-428, 2007.

[5] P. C. EHLINGER, JR. In-card access control and monotonic counters for offline payment processing ssytem, 06 2006.

[6] P. C. EHLINGER, JR. Point of sale terminal having enhanced security, 06 2006.

[7] P. C. EHLINGER, JR. Presence-of-card code for offline payment processing system, 06 2006.

[8] P. C. EHLINGER, JR. Transaction signature for offline payment processing system, 06 2006.

[9] C.-I. Fan, Y.-K. Liang, and C.-N. Wu. An anonymous fair offline micropayment scheme. In Information Society (i-Society), 2011 International Conference on, pages 377 -381,2011.

[10] S. Golovashych. The technology of identification and authentication of financial transactions. from smart cards to NFC-terminals. In Intelligent Data Acquisition and Advanced Computing Systems: Technology and Applications, 2005. IDAACS 2005. IEEE,

5

10

15

20

25

30

35

pages 407—412, Sep 2005.

[11] K. S. Kadambi, J. Li, and A. H. Karp. Near-field communication-based secure mobile payment service. In ICEC ’09: Proceedings of the 11th International Conference on Electronic Commerce. ACM Request Permissions, Aug 2009.

[12] S. Kim and W. Lee. A pay word-based micropayment protocol supporting multiple payments. In Computer Communications and Networks, 2003. ICCCN 2003. Proceedings. The 12th International Conference on, pages 609-612, 2003.

[13] D. Lim, J. Lee, B. Gassend, G. Suh, M. van Dijk, and S. Devadas. Extracting secret keys from integrated circuits. Very Large Scale Integration (VLSI) Systems, IEEE Transactions on, 13(10):1200-1205, 2005. 11

[14] T. Nishide and K. Sakurai. Security of offline anonymous electronic cash systems against insider attacks by untrusted authorities revisited. In Proceedings of the 2011 Third International Conference on Intelligent Networking and Collaborative Systems, INCOS ’11, pages 656-661, Washington, DC, USA, 2011. IEEE Computer Society.

[15] V. Patil and R. K. Shyamasundar. An efficient, secure and delegable micropayment system. In e-Technology, e-Commerce and e-Service, 2004. EEE ’04. 2004 IEEE International Conference on, pages 394-404, 2004.

[16] C. Popescu and H. Oros. An off-line electronic cash system based on bilinear pairings. In Systems, Signals and Image Processing, 2007 and 6th EURASIP Conference focused on Speech and Image Processing, Multimedia Communications and Services. 14th International Workshop on, pages 438-440, 2007.

[17] R. L. Rivest. Payword and micromint: two simple micropayment schemes. In CryptoBytes, pages 69-87, 1996.

[18] V. C. Sekhar and S. C. Mrudula. A complete secure customer centric anonymous payment in a digital ecosystem. Computing, Electronics and Electrical Technologies (ICCEET), 2012 International Conference on.

[19] A. Srivastava, A. Kundu, S. Sural, and A. Majumdar. Credit card fraud detection using

hidden markov model. IEEE Transactions on Dependable and Secure Computing, 5(1):37- 48, 2008.

[20] C. Wang and R. Lu. An ID-based transferable off-line e-cash system with revokable 5 anonymity. In Electronic Commerce and Security, 2008 International Symposium on, pages

758-762, 2008.

[21] M.-D. M. Yu, D. M’Raihi, R. Sowell, and S. Devadas. Lightweight and secure PUF key storage using limits of machine learning. In Proceedings of the 13th International Conference

10 on Cryptographic Hardware and Embedded Systems, CHES’11, pages 358-373, Berlin, Heidelberg, 2011. Springer-Verlag.

[22] W. Zhan-gang and W. Zhen-kai. A secure off-line electronic cash scheme based on ECDLP. In Education Technology and Computer Science, 2009. ETCS ’09. First

15 International Workshop on, volume 2, pages 30-33, 2009.

[23] L. Zhang, J. Yin, and M. Li. A novel off-line anonymous and divisible digital cash protocol utilizing smart card for mobile payment. In Communications and Networking in China, 2006. ChinaCom ’06. First International Conference on, pages 1 -6, oct. 2006.

20

[24] X. Zhou. Threshold cryptosystem based fair off-line e-cash. In Intelligent Information Technology Application, 2008. IITA ’08. Second International Symposium on, volume 3, pages 692-696, 2008.

25 [25] Y. Zongkai, L.Weimin, and T. Yunmeng. A new fair micropayment system based on

hash chain. In e-Technology, e-Commerce and e-Service, 2004. EEE ’04. 2004 IEEE International Conference on, pages 139-145, 2004.

Claims (4)

1. 5

   10

   15

   20

   25

   30

   35

   REIVINDICACIONES

   1. Dispositivo electronico portatil de moneda para realizar transacciones monetarias entre un usuario (P) y un vendedor (V), que comprende un elemento de moneda (1) provisto de

   - Un generador de clave (11) destinado a calcular sobre la marcha una clave privada (CESK) del elemento de moneda (1);

   - Un elemento criptografico (12) destinado a realizar las operaciones de cifrado y descifrado, en particular destinado a descifrar con la clave CESK la solicitud del elemento de indentidad y a cifrar con la clave IEPK la respuesta del elemento de moneda antes de enviarla al elemento de identidad;

   - Un selector de moneda para realizar la selection de moneda o monedas a partir de una solicitud del elemento de identidad;

   - Un selector de moneda (2) para realizar la seleccion de moneda o monedas a partir de una solicitud del elemento de identidad;

   - Unos registros de entradas (4) de funcion (3) destinados a ser seleccionados en funcion de la seleccion de moneda o monedas;

   - Una funcion (3) de calculo de una moneda que a partir de los valores de registros de entrada (4) proporciona una salida de funcion;

   - Unos registros de reconstruction de salida (5) de funcion (3);

   - Un reconstructor de monedas (6) que a partir de la salida de funcion y los registros de reconstruccion de salida (5) de funcion (3) puede reconstruir un valor de moneda original;

   caracterizado por el hecho de que la funcion (3) es una funcion fisica no clonable borrable de una sola lectura para cada registro de entrada, de modo que no se puede utilizar dos veces la misma moneda.
2. 2. Dispositivo segun la revindication 1, que comprende un elemento de identidad (7) del usuario (P) que comprende:

   - Un generador de clave (71) destinado a calcular sobre la marcha una clave privada (IESK) del elemento de identidad (7);

   - Un elemento criptografico (72) destinado a realizar las operaciones de cifrado y descifrado, en particular destinado a descifrar la solicitud del vendedor (V) con la clave privata (IESK), a cifrar la solicitud del elemento de moneda con la clave publica (CEPK), a descifrar la

   5

   10

   15

   20

   25

   30

   35

   respuesta del elemento de moneda con la clave privada (IESK) y a cifrar con el valor aleatorio SALT y la clave privada (IESK) la respuesta del usuario P antes de enviarla al vendedor V.
3. 3. Dispositivo segun la reivindicacion 2, en el que ambos generadores de claves que se encuentran en el elemento de moneda y de identidad contienen una funcion fisica no clonable no borrable.
4. 4. Procedimiento para realizar transacciones monetarias entre un usuario (P) y un vendedor (V) utilizando un dispositivo electronico provisto de un elemento de moneda y de un elemento de identidad (1), estando el elemento de moneda (1) provisto de:

   - Un generador de clave (11);

   - Un elemento criptografico (12);

   - Un selector de moneda (2);

   - Unos registros de entradas (4) de funcion (3);

   - Una funcion (3) de calculo de una moneda que es una funcion fisica no clonable borrable de una sola lectura;

   - Unos registros de reconstruction de salida (5) de funcion (3);

   - Un reconstructor de monedas (6);

   - Un generador de clave (11);

   - Un elemento criptografico (12);

   Mientras, el elemento de identidad (7) esta provisto de:

   - Un generador de clave (71);

   - Un elemento criptografico (72);

   Comprendiendo el procedimiento las etapas de:

   a) Realizar una solicitud de transaction al vendedor (V) por parte del usuario (P);

   b) Generar una solicitud de moneda por parte del vendedor (V);

   c) Cifrar con la clave publica (IEPK) del elemento de identidad (7) del usuario (P) la solicitud de moneda por parte del vendedor (V);

   d) Enviar al elemento de identidad (7) del usuario (P) por parte del vendedor (V) la solicitud de moneda;

   e) Calcular sobre la marcha la clave privada (IESK) del elemento de identidad (7) mediante

   el generador de clave (71);

   f) Descifrar la solicitud del vendedor con la clave privada (IESK) del elemento de identidad

   (7);

   g) Cifrar con la clave publica (CEPK) del elemento de moneda (1) la solicitud de moneda por 5 parte del elemento de identidad (7);

   h) Enviar la solicitud del elemento de identidad (7) al elemento de moneda (1);

   i) Calcular sobra la marcha la clave privada (CESK) del elemento de moneda (1) mediante el generador de clave (11);

   l) Descifrar la solicitud del elemento de identidad (7) por parte del elemento de moneda (1);

   10 m) Realizar la seleccion registros de entradas (4) de funcion (3) mediante el selector de moneda (2);

   n) Aplicar a la funcion (3) estos registros (4), para obtener una salida de funcion;

   o) Reconstruir las monedas mediante el reconstructor de monedas (6) a partir de la salida (7) de la funcion (3) y los registros de reconstruction de salida (5) de funcion (3);

   15 p) Cifrar la moneda reconstruida con la clave publica (IEPK) del elemento de identidad (7) mediante el elemento criptografico (12) del elemento de moneda (1);

   q) Enviar la moneda reconstruida al elemento de identidad (7);

   r) Descifrar con la clave privada (IESK) en el elemento criptografico (72) la moneda reconstruida del elemento de moneda (1) por parte del elemento de identidad (7);

   20 s) Cifrar con el valor aleatorio SALT y la clave privada (IESK) en el elemento criptografico (72) la moneda reconstruida por parte del elemento de identidad (7);

   t) Enviar al vendedor (V) la moneda reconstruida por parte del usuario (P);

   u) Descifrar por parte del vendedor (V) la moneda recibida del usuario (P);

   25 5. Procedimiento segun la revindication 4, en el que las etapas e) i) n) se realiza con una

   funcion fisica no clonable no borrable.