Login| Sign Up| Help| Contact|

Patent Searching and Data


Title:
METHOD AND DEVICE FOR THE PERSONALISATION AND VERIFICATION OF IDENTIFICATION AND SECURITY DOCUMENTS AND AN IDENTIFICATION AND SECURITY DOCUMENT WHICH CAN BE USED THEREWITH
Document Type and Number:
WIPO Patent Application WO/2000/049583
Kind Code:
A1
Abstract:
The invention relates to a method and device for personalising and verifying identification and security documents and to a security document (13) which can be used therewith. The identification or security document contains data (15) specific to the individual in alphanumeric and/or graphical form, which is either printed on the document and/or stored in the same. According to the invention, the data (15) specific to the individual and/or correlated data is also present in/on the document in a second form which can be machine-read. This data and the data specific to the individual can be read out of the document and checked for consistency, using an appropriate test control unit (10).

Inventors:
FREYTAG CLAUS (DE)
Application Number:
PCT/EP2000/001057
Publication Date:
August 24, 2000
Filing Date:
February 10, 2000
Export Citation:
Click for automatic bibliography generation   Help
Assignee:
BUNDESDRUCKEREI GMBH (DE)
FREYTAG CLAUS (DE)
International Classes:
B42D25/00; G06K19/14; (IPC1-7): G07F7/08; G06K19/10; G07C9/00
Foreign References:
GB2289965A1995-12-06
EP0805409A21997-11-05
US5742685A1998-04-21
US5131038A1992-07-14
Attorney, Agent or Firm:
Riebling, Peter (Postfach 31 60 Lindau, DE)
Download PDF:
Claims:
Patentansprüche
1. Identitätsoder Sicherheitsdokument, welches personenbezogene Daten aufweist, die in alphanumerischer und/oder graphischer Form auf dem Dokument aufgebracht und/oder in dieses eingebracht sind, dadurch gekennzeichnet, daß die personenbezogenen Daten (15) und/oder mit diesen korrelierten Daten in einer zweiten, maschinenlesbarer Form auf/in dem Dokument vorhanden sind, und die in der zweiten, maschinenlesbaren Form vorhandenen Daten nach einem biometrischen Verfahren generierte Daten sind.
2. Identitätsoder Sicherheitsdokument nach Anspruch 1, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbaren Form vorhandenen Daten in komprimierter Form vorliegen.
3. Identitätsoder Sicherheitsdokument nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbaren Form vorhandenen Daten in verschlüsselter Form vorliegen.
4. Identitätsoder Sicherheitsdokument nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß es ein nichtflüchtiges elektronisches Speichermedium (14) umfasst.
5. dentitäts und Sicherheitsdokument nach Anspruch 4, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbaren Form vorhandenen Daten in dem elektronischen Speichermedium (14) gespeichert sind.
6. Identitätsoder Sicherheitsdokument nach Anspruch 4 oder 5, dadurch gekennzeichnet, daß das Speichermedium Anschlusskontakte zum Einlesen und/oder Auslesen der darauf gespeicherten Daten aufweist.
7. Identitätsoder Sicherheitsdokument nach einem der Ansprüche 4 bis 6, dadurch gekennzeichnet, daß das Speichermedium Mittel zum drahtlosen Einlesen und/oder Auslesen der darauf gespeicherten Daten aufweist.
8. Identitätsoder Sicherheitsdokument nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbaren Form vorhanden Daten im Form eines Barcodes auf/in das Dokument eingebracht sind.
9. Verfahren zum Personalisieren eines Identitätsoder Sicherheitsdokuments, bei dem personenbezogene Daten in alphanumerischer und/oder graphischer Form auf dem Dokument aufgebracht und/oder in dieses eingebracht werden, dadurch gekennzeichnet, daß die personenbezogenen Daten und/oder mit diesen korrelierte Daten in einer zweiten, maschinenlesbarer Form auf das Dokument aufgebracht und/oder in dieses eingebracht werden, und daß die in der zweiten, maschinenlesbarer Form vorhandenen Daten mittels eines biometrischen Verfahrens aus den personenbezogene Daten generiert werden.
10. Verfahren nach Anspruch 9, dadurch gekennzeichnet, daß personenbezogene Daten in digital verarbeitbarer Form verwendet werden.
11. Verfahren nach einem der Ansprüche 9 oder 10, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbarer Form vorhanden Daten mittels eines asymmetrischen Verschlüsselungsverfahrens verschlüsselt werden.
12. Verfahren nach einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbarer Form vorhanden Daten komprimiert werden.
13. Verfahren nach einem der Ansprüche 9 bis 12, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbarer Form vorhanden Daten in einem auf/in dem Dokument vorhandenen nichfflüchtigen elektronischen Speichermedium gespeichert werden.
14. Verfahren nach einem der Ansprüche 9 bis 13, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbarer Form vorhanden Daten als Barcode in/auf dem Dokument abgelegt werden.
15. Vorrichtung zum Verifizieren eines Identitatsoder Sicherheitsdokuments, gekennzeichnet durch : ein Positioniermittel (12) zum lagerichtigen Positionieren des Identitäts und/oder Sicherheitsdokuments (13) ; ein erstes Abtastmittel (16) zum Erfassen von auf dem Identitätsoder Sicherheitsdokument an/aufgebrachten personenbezogenen Daten (15) ; ein zweites Abtastmittel (17) zum Erfassen von auf dem dentitäts oder Sicherheitsdokument vorhandenen Vergleichsdaten ; Mittel (18) zum Speichern, Aufbereiten und Verarbeiten der erfassten Daten und zur Ausgabe und Anzeige von Ergebnisdaten. Mittel (18) zur Aufbereitung der personenbezogenen Daten mittels eines biometrischen Verfahrens.
16. Verfahren zum Verifizieren eines Identitätsoder Sicherheitsdokuments, welches personenbezogene Daten aufweist, die in alphanumerischer und/oder graphischer Form auf dem Dokument aufgebracht und/oder in dieses eingebracht werden, gekennzeichnet, durch folgende Schritte : Abtasten/Auslesen der personenbezogenen Daten und Speichern dieser Daten in digitaler Form ; Auslesen von auf dem Dokument abgelegten Vergleichsdaten ; Vergleichen der personenbezogenen Daten mit den Vergleichsdaten ; Ausgeben des Ergebnisses des Vergleichs.
17. Aufbereitung der personenbezogenen Daten mittels eines biometrischen Verfahrens Abspeichern der daraus resultierenden biometrischen Daten.
18. Verfahren nach Anspruch 16, dadurch gekennzeichnet, daß die biometrischen Daten mit auf/in dem Dokument vorhandenen biometrischen Vergleichsdaten verglichen werden.
19. Verfahren nach einem der Ansprüche 16 oder 17, dadurch gekennzeichnet, daß die personenbezogenen Daten mittels eines optischen Bildaufnehmers vom Dokument ausgelesen werden.
20. Verfahren nach einem der Ansprüche 16 bis 18, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbaren Form vorhanden Daten aus einem auf dem Dokument vorhandenen elektronischen Speichermedium ausgelesen werden.
21. Verfahren nach einem der Ansprüche 16 bis 19, dadurch gekennzeichnet, daß die in der zweiten, maschinenlesbaren Form vorhanden Daten als Barcode auf dem Dokument vorliegen und mittels eines optischen Bildaufnehmers ausgelesen werden.
Description:
Verfahren und Vorrichtung zur Personalisierung und Verifizierung von Identitäts-und Sicherheitsdokumenten sowie ein damit verwendbares Identitäts-und Sicherheitsdokument Gegenstand der Erfindung ist ein Verfahren und eine Vorrichtung zur Personalisierung und Verifizierung von Identitäts-und Sicherheitsdokumenten sowie ein damit verwendbares Identitäts-und Sicherheitsdokument.

Hochsichere Identitätsdokumente wie Ausweise, Passports, Lizenzen, Führerscheine, Kfz-Scheine, Mitgliedskarten, Betriebs-und Dienstausweise, Kreditkarten und dergleichen bestehen aus einem unpersonalisierten Dokumentenkörper auf und/oder in welchem die persönlichen Daten des Inhabers in vom Dokumentenkörper untrennbarer Weise eingebracht werden. Hierzu sind mehrere Verfahren bekannt, wobei z. B. fotografische Prozesse, Lasergravur, Thermotransfer, Dye-Sublimation, xerografische Laserverfahren, Ink-Jet Verfahren etc. zu nennen sind.

Die Dokumentenkörper selbst können aus verschiedenen Materialien, Kombinationen, Konstruktionen von Materialien, Formaten und Zusätzen bestehen. Beispiele für Materialien sind : Identitäts-und Sicherheitspapiere, Kunststoffe wie Polycarbonat und Polyvinylchlorid. Beispiele für Formate sind : IDO, ID1 [ICAO und ISO-Normen, z. B. ISO 7816] Besagte Identitätsdokumente werden aus Sicherheitsgründen in einem Unternehmen der Wert-und Sicherheitstechnik zentral hergestellt und personalisiert. Bei der Personalisierung werden die Personaldaten des Inhabers mit Hilfe verschiedener Verfahren in den Dokumentenkörper eingebracht.

Grundsatzlich lassen sich zwei Klassen von Personaldaten unterscheiden : alphanumerische und grafische Personaldaten. Alphanumerische Personaldaten bestehen grundsätzlich aus Buchstaben, Ziffern und Sonderzeichen der verschiedenen Zeichensätze (Fonts). Ein Beispiel für den Umfang eines Zeichensatzes des europäischen Sprachraums ist in der ISO 8859 dargestellt. Es

bestehen daneben jedoch weitere Zeichensätze für z. B. arabische oder asiatische Schriften. Eine besondere Ausprägung stellen die OCR-Schriftsätze in den ICAO-Zeilen von Identitätsdokumenten dar, da sie maschinenlesbar sind.

Damit ist es möglich, mit Hilfe eines Lesegeräts (Scanner) alphanumerische Daten des Identitätsdokuments auszulesen und zu verifizieren.

Typische grafische Daten eines Identitätsdokuments sind : Portraits, Unterschriften, Fingerabdrücke, Barcodes, Hoheitszeichen und Logos. Diese Grafikdaten werden mittels moderner fotografischer oder digitaler Druck-und Gravierverfahren in das Identitätsdokument eingebracht. Damit ist gewährleistet, daß die Personaldaten untrennbar mit dem Dokument verbunden sind.

Für die alphanumerischen Personaldaten sind automatische Verfahren bekannt, die z. B. auf Flughäfen die ICAO-Zeilen mit Hilfe entsprechender Lesegeräte (Scanner) einlesen und mit den Einträgen in einem elektronischen Personenarchiv (Datenbank) vergleichen können. Dieses Verfahren setzt jedoch die Online- Verbindung zwischen dem Scanner und einer zentralen Datenbank voraus und ) äßt sich bisher nicht auf grafische Daten anwenden, da diese eine hohe Komplexität und damit ein hohes Datenvolumen aufweisen. Die hohe Komplexität bedingt eine hohe Prozessorleistung der beteiligten Informationsverarbeitungsanlagen zur Übertragung und Verarbeitung des Datenvolumens. Wegen des großen Datenvolumens wird ein hoher Speicherbedarf und eine breitbandige Übertragungsleistung der angeschlossenen Kommuniktionseinrichtungen benötigt. Selbst unter Ausnutzung modernster Informationsverarbeitungsanlagen würden hier im praktischen Einsatz unvertretbar lange Verarbeitungs-und Antwortzeiten entstehen.

Ein weiterer Nachteil des oben geschilderten Verfahrens ist die Notwendigkeit der ständigen Online-Verfügbarkeit der zentralen Personendatenbank. In der Praxis bedeutet dies, daß ständig komplexe, ausfallsichere und teure Informationsverarbeitungsanlagen verfügbar und betriebsbereit sein müssen, und daß beispielsweise einem Polizist in einem Streifenwagen oder in einer örtlichen Wache die genannten notwendigen Prüfmöglichkeiten nicht zur Verfügung stehen.

Kritisch sind in diesem Zusammenhang auch nationale juristische Restriktionen, z.

B. des Personendatenschutzes, die die maschinengestützte Identitätsfeststellung von Personen verbieten, da die Gefahr besteht, daß die Daten ausgewertet und daraus Bewegungsprofile erstellt werden können.

Aufgabe der Erfindung ist, ein Verfahren und eine Vorrichtung zur Personalisierung und Verifizierung von Sicherheitsdokumenten sowie ein geeignetes Sicherheitsdokument bereitzustellen, welches es erlaubt, die Echtheit insbesondere von grafischen Personaldaten mit verhältnismäßig einfachen Mitteln automatisch verifizieren zu können. In der Praxis bedeutet dies, daß eine Authorisierungsperson wie z. B. ein Polizei-oder Grenzkontrollbeamter feststellen können muß, ob z. B. das Portrait eines vorgelegten Identitätsdokuments zu diesem gehört.

Diese Aufgabe wird durch die kennzeichnenden Merkmale der unabhängigen Patentansprüche gelöst.

Die erfindungsgemässe Lösung umfasst im wesentlichen folgende Merkmale und Vorteile : -die Verifizierung ist mit verhältnismäßig einfachen Mitteln möglich, -die Verifzierung findet Offline, d. h. ohne Verbindung zu einer zentralen Datenbank statt, -die Verifizierung führt zu dem Ergebnis, daß die grafischen Daten des bei der Prüfung vorgelegten dentitätsdokuments echt sind, also zu diesem gehören und -die Verifizierung verstösst nicht gegen geltende Rechtsbestimmungen.

Der visuelle Vergleich zwischen der Präsentation des Gesichts einer Person und der bildlichen Darstellung z. B. als fotografisches Lichtbild oder in gedruckter Form gilt als die klassische Erkennungsmethode schlechthin. Aus diesem Grund wird die Verfahrenslösung im folgenden beispielhaft für das Portrait als Identifikationsmethode beschrieben. Selbstverständlich gelten die Ausführungen

in angepaßter Form auch für andere grafische Personaidaten, wie z. B.

Fingerabdrücke. In einer weiteren Ausführung sind auch akustische Vergleichsmethoden zur Identitätsfeststellung wie z. B. der menschlichen Stimme anwendbar.

Bei der Personalisierung von Identitätsdokumenten werden Portraits zunehmend mit Hilfe von digitalen Druckverfahren in einem zentralen Wert-und Sicherheitsdruckbetrieb hergestellt. Diese Methode bietet den Vorteil, daß die Produktion auf Datenverarbeitungsanlagen durchgeführt wird, bei der das Portrait in einem rechnergestützten Format vorliegt (Pixeldaten) und für eine Weiterverarbeitung effizient genutzt werden kann. Das Volumen eines Portraits für den Einsatz in Identitätsdokumenten beträgt bei einer akzeptable Reproduktionsqualität etwa 70 bis 100 kBytes. Diese Zahlen sind u. a. abhängig von den geometrischen Abmessungen, der Farbe, der Farbtiefe und vom Kompressionsfaktor.

Der Lösungsweg geht über die Idee, diese graphischen Daten in der herkömmlichen gedruckten und einer zweiten maschinenlesbaren Form in das Identitätsdokument einzubringen. Damit besteht die Möglichkeit bei einer Identitätsprüfung beide Formen des Portraits miteinander zu vergleichen und bei erfolgreichem Vergleich die Echtheit des Dokuments zu bestätigen.

In einer bevorzugten Ausführungsform ist vorgesehen, die Portraitdaten, d. h. die Vergleichsdaten in einem elektronischen Speicherchip abzulegen. Dieser Chip ist Bestandteil des Identitätsdokuments. Als Ausführungsform können Chipkarten nach ISO 7816 oder kontaktlose (Transponder) Karten eingesetzt werden. Weitere Möglichkeiten die Grafikdaten in einer zweiten Form abzuspeichern, bieten Barcodes, insbesondere 2D-Barcodes wie z. B. der PDF 417 der Fa. Symbol.

Beim Einsatz von Halbleiterspeichern beträgt der beschreibbare Speicherbereich von geeigneten Chipkarten mit Prozessorfunktionalität derzeit typisch 16 kByte für kontaktbehaftete Karten. Die o. g. Datenmenge eines Portraits ist um ein Vielfaches größer als der verfügbare Speicherplatz. Damit ist es zur Zeit nicht

möglich, die Pixeldaten eines Portraits in unkomprimierter Form in einer Chipkarte abzulegen. Abgesehen davon würde die Dauer des Auslesens einer derartigen Datenmenge unakzeptabel lange dauern.

Der wesentliche Nachteil einer unkomprimierten Speicherung besteht jedoch darin, daß die reinen Pixeldaten einen einfachen Fälschungsangriff lichen, da ein Angreifer den Chip eines Identitätsdokumentes mit gefälschten Daten überschreiben könnte. Aus diesem Grund muß die Speicherung der Porträtdaten folgende Bedingungen erfüllen : -die Speichergröße d. h. der Grad der Kompression der Daten muß in einem optimalen Verhältnis von Qualität und Realisierbarkeit stehen und -die Abspeicherung der grafischen Daten muß in einem unverfälschbaren Format durchgeführt werden.

Um die erste Bedingung zu erfüllen, erfolgt eine entsprechende Aufbereitung der grafischen Daten. Die bei der Produktion des Sicherheitsdokuments vorliegenden Grafikdaten entsprechen einer Pixeldarstellung des Portraits. Mit Hilfe dieses Datenstromes wird die Personalisierungseinrichtung angesteuert, um das Bild auf das Dokument zu drucken. Bei einer automatischen Inspektion muß das Bild von einem Verifizierungsgerät aufgenommen werden. Hierzu lassen sich Scanner oder Kameras mit CCD-Technologie (CCD : Charge Coupled Devices) einsetzen.

Das gescannte Bild liefert jedoch stets einen anderen Datenstrom als der zur Personalisierung eingesetzte. Dies liegt u : a. daran, daß die Farbwerte des Portraits nie genau rekonstruiert werden können und daß die ursprüngliche Pixelauflösung aufgrund der geometrischen Toleranzen nie genau genug getroffen werden kann.

Aus diesem Grund wird ein Verfahren eingesetzt, welches auf einem biometrischen Verfahren zur Generierung des Datensatzes basiert. Hintergrund ist, daß es bei dem Vergleich zweier Portraits nicht auf die reinen Pixeldaten ankommt, sondern daß bestimmte körperliche Merkmale entscheidend sind. Dies entspricht im übrigen auch der Verfahrensweise, wie ein Polizist das Portrait auf der Karte mit dem Gesicht eines Bürgers vergleicht. Ausgewertet werden Merkmale wie z. B. : -Abstandsverhältnisse zwischen Augen, Nase, Ohren, Mund,

-Größenverhältnisse der Sinnesorgane, -Ausprägungen der Kopfform und einzelnen Teilen, etc..

Diese biometrischen Merkmale werden aus den Portraitdaten gewonnen und führen zu einem variablen individuellen Datensatz. Je genauer die biometrischen Merkmale ausgewertet werden, desto Umfangreicher wird der Datensatz.

Hersteller solcher Systeme geben eine Größe von 1.000 bis 2.000 Byte an, mit der das Portrait einer Person eindeutig charakterisiert werden kann. Damit steht ein Datenformat bzw. eine Datenmenge zur Verfügung, welche optimal den Forderungen zur Speicherung auf einem Kartenchip genügt. Bei der folgenden Ausführung wird dieser Referenzdatensatz, der die charakteristischen Merkmale eines Portraits beschreibt, Bio-Datensatz (Bio-refl genannt.

Um die zweite, oben genannte Bedingung zu erfüllen ist vogesehen, ein Verfahren einzusetzen, welches auf der Basis einer asymmetrischen Kryptoverschlüsselung die Unverfälschbarkeit des Bio-Datensatzes garantiert.

Asymmetrische Verschlüsselungsverfahren basieren auf einem Schlüsselpaar mit einem privaten und einem öffentlichen Schlüssel. Die Verschlüsselung wird mit dem privaten Schlüssel und die Entschlüsselung mit dem öffentlichen Schlüssel durchgeführt. Der Hersteller der dentitätsdokumente besitzt den zertifizierten privaten Schlüssel des asymmetrischen Kryptoverfahrens wie z. B. RSA. Eine wesentliche Voraussetzung ist, daß dieser private Schlüssel unberechtigten Dritten niemals bekannt wird, da sonst das Gesamtsystem angreifbar wird. Aus diesem Grund darf der private Schlüssel niemals die Kryptobox des Produktionssystems des Sicherheitsbetriebes verlassen. Sogar die Generierung dieses Schlüssels findet innerhalb der Kryptobox statt. Eine Schlüssellänge von 1024 Bit wird derzeit als unangreifbar betrachtet.

Der im Produktionssystem aus den Pixeldaten gewonnene Bio-Datensatz wird mit dem privaten Schlüssel des asymmetrischen Kryptoverfahrens verschlüsselt. Im Ergebnis liegt ein verschlüsselter Bio-Datensatz vor, der aufgrund der Verfahrensinhärenz nur durch die Kryptobox des Sicherheitsbetriebes generiert werden kann. Dieser verschlüsselte Bio-Datensatz wird im Speicher des Chips

des ! dentitätsdokumentes abgelegt. Die Entschlüsselung des Datensatzes ist möglich unter Zuhilfenahme des öffentlichen Schlüssels. Dieser darf bekannt sein, da sich die asymmetrische Kryptoverfahren dadurch auszeichnen, daß sich im Gegensatz zu den symmetrischen Verfahren aus der Bekanntheit eines Schlüssels der andere nicht ableiten iäßt.

Die Erfindung beschreibt den Einsatz eines asymmetrischen Kryptoverfahrens wie z. B : RSA zum Ver-und Entschlüsseln des biometrischen Datensatzes. Diese Verfahren sind allgemein bekannt. Eine Standardbeschreibung der Verfahren findet sich in"Applied Cryptography"von Bruce Schneier, ISBN 0-471-11709-9.

Gegenstand der Erfindung ist ebenfalls ein Prüfgerät, welches im Feld die Echtheit eines Identitätsdokumentes insbesondere von grafischen Daten feststellt.

Aus Effizienzgründen kann bei der Datensatzgenerierung ein Hash-Algorithmus (z. B. RIPEMD160) eingesetzt werden, welcher aus dem vorliegenden bis zu 2 kByte grossen Bio-Datensatz einen z. B. 160 Bit grossen Hashwert bildet. Dies bietet den Vorteil, daß für die Speicherung der Daten auf den Sicherheitsdokument sehr wenig Speicherplatz benötigt wird und das Verfahren des Prüfens des Identitätsdokuments in der Praxis schneller durchgeführt werden kann.

Nachfolgend wird die Erfindung anhand eines Ausführungsbeispiels unter Bezugnahme auf mehrere Zeichnungsfiguren näher erlautert. Dabei gehen aus den Zeichnungen und der zugehörigen Beschreibung weitere Merkmale und Vorteile der Erfindung hervor.

Figur 1 zeigt eine einfache stilistische Darstellung einen Portraits mit einigen eingetragenen biometrischen Merkmalen ; Figur 2 zeigt schematisch den Verfahrensablauf und den Datenfluss bei der Personalisierung und Verifizierung eines Sicherheitsdokuments ;

Figur 3 zeigt einen möglichen Aufbau eines Verifizierungsgeräts mit eingebrachtem Sicherheitsdokument.

In Figur 1 ist ein Portrait dargestellt, in welchem einigen körperliche (biometrische) Merkmale eingetragen sind : A : Ohrenabstand B : Augenabstand C : Mundbreite D : Augen-Mund-Abstand E : Nase-Augen-Abstand Natürlich gibt es eine Vielzahl von weiteren Merkmalen, die zur Generierung des Bio-Datensatzes herangezogen werden können, z. B. Form des Kinnbereichs, Form der Nase, Narben, Leberflecke etc.

In der Biometrie (Lehre von der Vermessung lebender Merkmale) sind verschiedene Verfahren bekannt, die z. B. Gesichtsmerkmale erkennen, zuordnen und vermessen. Im Ergebnis steht ein charakteristischer Datensatz zur Verfügung. Die Qualität des Datensatzes ist von der Verfahrensart und der Menge der Daten abhängig. Diese biometrischen Verfahren sind Stand der Technik und deren Arbeitsweise soll hier nicht näher erläutert werden.

Ein Portrait in CMYK-Farbdarstellung mit Paßbildgröße und einer digitalen Auflösung von 600 dpi benötigt ca. 3,5 Mio. Bytes in unkomprimierter Darstellung.

Gängige Verfahren wie TIFF, JPEG, Wavelet oder Fraktale Kompression ermöglichen die Reduktion der o. g. Datenmenge. Allerdings sind sie auch immer mit Qualitätsverlusten der Ausgangsdaten behaftet, die eine eindeutige Erkennbarkeit für ein Verifizierungssystem nicht mehr zulassen.

Die biometrischen Verfahren 16sen das Problem, weil sie lediglich die wesentlichen körperlichen Merkmale betrachten. Beispiel : Soll der Augenabstand in einem Wertebereich von 20 mm mit einer Genauigkeit von 0,1 mm bestimmt werden, so läßt sich das Ergebnis in nur einem Byte angeben. Unter

Berücksichtigung von z. B. tausend solcher biometrischen Merkmale läßt sich ein Portrait mit einer extrem niedrigen Fehlerwahrscheinlichkeit in nur einem kByte Speicherplatz beschreiben.

Das biometrische Verfahren wird bei der Erfindung an zwei Stellen eingesetzt. Bei der Personalisierung wird mit dem biometrischen Verfahren der Bio-Datensatz (Bio-re erzeugt, der verschlüsselt und im Chip-Speicher des ID-Dokuments abgelegt wird. Im Prüfgerät (Verifikationsgerät) wird mit Hilfe des selben biometrischen Verfahrens aus dem gescannten Portrait ein zweiter Bio-Datensatz (Bio-scan) generiert. Ein Vergleich beider Bio-Datensätze ergibt das Verifizierungsergebnis.

Der Datenfluss bei der Personalisierung und bei der Verifizierung des Identitätsdokuments ist in Figur 2 dargestellt.

Bei der Personalisierung des ID-Dokuments liegt zunächst die Datei 1 mit den Pixelportraitdaten einer Person vor. Diese Daten werden einem geeigneten Biometrischen Verfahren 2 unterzogen, wobei sich ein im Datenumfang stark reduzierter Bio-Datensatz (Bio-re ergibt. Dieser Bio-Datensatz wird mit Hilfe eines asymmetrischen Verschlüsselungsverfahrens 3 unter Verwendung eines privaten Schlüssels verschlüsselt und in einem auf den ID-Dokument angeordneten Speicherchip 4 gespeichert.

Bei der Verifizierung wird das ID-Dokument in ein Prüfgerät eingeführt. Das Prüfgerät verfügt über eine optische Leseeinrichtung mittels welcher das bildliche Portrait auf dem ID-Dokument gescannt wird, so daß sich eine Pixelportraitdatei 5 ergibt, die in einem Speicher des Prüfgeräts abgelegt wird. Diese Pixeldatei wird dem selben biometrischen Verfahren 6 unterzogen, wie es bereits bei der Personalisierung des Dokuments verwendet wurde, wobei sich ein biometrischer Datensatz 7 (Bio-scan) ergibt, der ebenfalls im Speicher des Prüfgerätes abgelegt wird. Das Prüfgerät verfügt über eine kontakbehaftete und/oder kontaktlose Auslesevorrichtung, mit welcher die Bio-ref-Daten aus dem Speicherchip des ID-

Dokuments ausgelesen, entschlüsselt und im Speicher des Prüfgerätes gespeichert werden können.

Im Prüfgerät liegen nun beide Bio-Datensätze, Bio-ref und Bio-scan, vor, die nun mittels eines Verifizierungsverfahrens 8 von einem im Prüfgerät vorhandenen Mikrocomputers verglichen werden. Dieser Vergleich führt zu einem Ergebnis 9, welches dem Benutzer optisch und/oder akustisch angezeigt wird. Stimmen die beiden Bio-Datensätze in hohem Masse überein, so ist die Echtheit des ID- Dokuments bewiesen. Stimmen sie nicht ausreichend überein, so ist von einen gefalschten Dokument auszugehen.

Figur 3 zeigt einer Ausführungsform des Prüfgeräts 10 mit einem Gehäuse 11 etwa in der Größe einer Videokassette. Das Prüfgerät 10 verfügt an einer schmalen Seite über eine Positionierungseinheit, mit deren Hilfe das Identitatsdokument 13 in eine definierte Lage gebracht werden kann. Dies kann z.

B. ein Einschubschlitz 12 oder eine Auflagefläche sein. Die korrekte Positionierung kann automatisch durch eine Sensorik erkannt werden, die den Start der Prüfung einleitet. Der Start kann jedoch auch manuell durch die Betätigung eines Tasters ausgelöst werden. Geometrisch gegenüber der zu prüfenden Grafik (hier : Portrait 15) befindet sich eine Aufnahmeeinheit, z. B. ein Scanner 16 oder eine Kamera. Der Mikrochip 14, auf dem die Bio-Referenzdaten gespeichert sind, wird über eine Kontaktierungseinheit 17 elektrisch angeschlossen. In einer besonderen Ausführungsform erfolgt der Anschluß kontaktlos über ein elektromagnetisches Antennensystem. Das Prüfgerät 10 verfügt über einen Mikrocomputer 18 an den der Scanner 16 und die Chipkontaktierungseinheit 17 angeschlossen sind. Der Mikrocomputer 18 führt die digitalen Prüffunktionen aus und gibt über eine Anzeigeeinheit (nicht dargestellt) das berechnete Prüfergebnis aus.

Die Funktionen laufen wie folgt ab. Nach Positionierung des dentitätsdokuments 13 und der Startauslösung wird das Portrait 15 über den Scanner 16 aufgenommen und in digitale Signale umgewandelt. Damit liegt das Portrait 15 als Pixeldatei in ähnlicher Form vor, wie es zur Personalisierung des Identitätsdokuments im Sicherheitsbetrieb eingesetzt wurde. Diese Pixeldatei wird

im Speicher des Mikrocomputers 18 abgelegt. Der Prozessor generiert nach dem gleichen Algorithmus wie bei der Personalisierung aus dieser Pixeldatei einen zweiten Bio-Datensatz (Bio-scan), der auch im Speicher des Mikrocomputers 18 abgelegt wird.

In einem weiteren Schritt liest der Prozessor den verschlüsselten Bio-Datensatz (Bio-refl aus dem Chip 14 des Identitätsdokumentes 13 aus und legt ihn im Speicher des Mikrocomputers 18 des Prüfgeräts 10 ab. In diesem Speicher steht aufgrund der Initialisierung des Mikrocomputers 18 der öffentliche Schlüssel des kryptologischen Systems zur Verfügung. Mit Hilfe dieses Schlüssels wird der erste Bio-Datensatz (Bio-re aus dem Chip 14 entschlüsselt. Damit liegen beide Bio- Datensätze (Bio-ref und Bio-scan) in vergleichbarer Form im Prüfgerät 10 vor und die Verifikation kann durchgeführt werden.

Wie bereits beschrieben, können die beiden Bio-Datensätze aufgrund der Aufnahmetoleranzen des gescannten Portraits 15 nicht absolut identisch sein.

Ahnliche Verfahren der biometrischen Verifikation liefern Ergebnisse mit Abweichungsraten im Subpromille-Bereich. Unter der Berücksichtigung eines Schwellwertes aus diesem Bereich werden diese Abweichungen toleriert.

Festzuhalten ist, daß die Abweichungsraten deutlich niedriger liegen als beispielsweise bei einem visuellen Vergleich eines Portraits mit einer lebenden Person z. B. durch einen Inspektionsbeamten.

Das Verifikationsergebnis stellt der Prozessor über eine Ausgabeeinheit an der Oberfläche des Prüfgeräts 10 zur Verfügung. Dies kann im einfachsten Fall eine Rot/Grün-Leuchteinheit sein, aber auch die digitale Darstellung des Verifikationsergebnisses z. B. in Prozentangabe der Übereinstimmung der Daten oder auch ein akustisches"OK"-Signal.

Durch geeignete Auswahl der mechanischen und elektronischen Komponenten insbesondere des Mikrocomputers 18 iäßt sich der Prüfvorgang auf die Dauer von einigen Sekunden einschränken. Der Aufbau des Prüfgeräts 10 ist so ausgelegt, daß es für einen mobilen Einsatz geeignet ist. Aus diesen Gründen verfügt es

über eine Energieversorgung aus Batterien oder nachladbaren Akkus und/oder über einen Anschluß an einen Netzadapter oder das 12-Volt-Versorgungsnetz eines PKW.

Zeichnungslegende 1 Datei 2 Biometrisches Verfahren 3 Verschlüsselung 4 Speicherchip mit Bio-ref Datensatz 5 Pixelportraitdaten 6 Biometrisches Verfahren 7 Biometrischer Datensatz (Bio-scan) 8 Vergleich 9 Ergebnis 1 0 Prüfgerät<BR> 1 1 Gehäuse<BR> 12 Einschubschlitz<BR> 13 ID-Karte<BR> 14 Mikrochip 15 Portrait 16 Scanner 17 Kontaktiereinheit 18 Mikrocomputer