DE60100363T2

DE60100363T2 - Sequenznummerierungsmechanismus zur sicherung der ausführungsordnungs-integrietät von untereinander abhängigen smart-card anwendungen

Info

Publication number: DE60100363T2
Application number: DE60100363T
Authority: DE
Inventors: Ulf Carlsen; Hakon Hammerstad
Original assignee: Sospita AS
Current assignee: Sospita AS
Priority date: 2001-05-11
Filing date: 2001-05-11
Publication date: 2004-05-06
Anticipated expiration: 2021-05-12
Also published as: EP1305708B1; US6490720B1; NO20034816L; WO2002093365A1; CA2446489A1; DE60100363D1; PT1305708E; NO20034816D0; EP1305708A1; DK1305708T3; ATE242892T1; ES2201038T3

Description

Hintergrund und Zusammenfassung der Erfindung
Die vorliegende Erfindung beschreibt einen Mechanismus zum Schutz der richtigen Ausführungsreihenfolge von zusammenhängenden (verknüpften) Softwareanwendungen. Insbesondere betrifft die vorliegende Erfindung den Softwarelizenzschutz für die geschützte und zeitgemäße Ausführung von Softwareanwendungen mittels manipulationssicheren externen Vorrichtungen, wie etwa Smartcards, USB-Schlüsseln oder anderen Formen von manipulationssicheren Zusatzgeräten. Die vorliegende Erfindung findet ihre Anwendungen auch in jeglichem herkömmlichen Smartcard Sicherheitsanwendungsbereich, wie etwa elektronisches Bezahlen, Digitalrechteverwaltung (DRM), Multimediaschutz, Authentifizierung, Biometrie, öffentlicher Schlüssel Infrastruktur (PKI), Verschlüsselungschemen, als ein integrierter Bestandteil sicherer Spezialbetriebssysteme für manipulationssichere externe Vorrichtungen, und ähnlichem. Die vorliegende Erfindung bezieht sich auf die internationale Anmeldung Nr. PCT/NO96/00171, die die USA benennt. Dieses Patent beschreibt ein System zum Softwarelizenzschutz mittels der teilweisen Ausführung einer Softwareanwendung in einer manipulationssicheren externen Vorrichtung.
In einer Mehrprozess-Computerumgebung, wie sie beispielsweise von einer Dualprozess-Umgebung vorgegeben wird, die aus einem (nicht vertrauenswürdigen) Hostcomputer und einer (vertrauenswürdigen) externen, manipulationssicheren Vorrichtung wie etwa einer Smartcard oder anderen Schlüsseln besteht, wird von Softwareanwendungen, die auf dem Hostcomputer liegen, verlangt, dass sie einen oder mehrere Funktionsaufrufe für auf der externen Vorrichtung liegende Anwendungen machen. Softwareanwendungen, die wie hier beschrieben auf externen Vorrichtungen ablaufen, werden auch als „Applets" bezeichnet. Allgemein gesagt ist der Ausführweg einer Softwareanwendung, ob diese eine Hostanwendung oder eine externe Vorrichtungs-/Smartcard-Applet ist, kritisch für die richtige Funktionsweise der Anwendung. Es ist wichtig, dass der Ausführweg nicht manipuliert wird.
Als ein einfaches Beispiel muss eine Anwendung, die Temperaturgrad Celsius in Fahrenheit umsetzt, die Gleichung F = 9/5*C + 32 berechnen. Die Multiplikation der Grad Celsius mit 9/5 muss vor der Addition mit 32 durchgeführt werden. Gemäß dem Stand der Technik wird die richtige Reihenfolge der Ausführung sichergestellt, indem die Funktion in ihrer Gesamtheit in einer manipulationssicheren Umgebung als ein Applet ausgeführt wird, die genau einen Funktionsaufrufzugang von der Hostanwendung zu dem Applet zulässt. Da das Applet auf der manipulationssicheren Smartcard liegt, kann es nicht manipuliert werden, und da das Applet genau einen Zugangspunkt aufweist, gibt es keinen Weg, dass der Additionsvorgang möglicherweise vor dem Multiplikationsvorgang durchgeführt werden kann. Funktionsaufteilung, Integrität und richtige Ausführungsreihenfolge werden sichergestellt.
Wenn die Funktion F = 9*C/5 + 32 nichts desto weniger in drei Applets, wie in 1 dargestellt, aufgeteilt werden soll; Applet 1 als i = 9*C, Applet 2 als i = i/5 und Applet 3 als F = i + 32, wobei jedes einen unterschiedlichen Funktionsstartpunkt aufweist und nach dem Stand der Technik es kein Mechanismus der externen Vorrichtung ermöglicht, einen Gegner aufzudecken und am Verändern der Hostanwendung durch Umdrehen der Funktionsaufrufe des Applets in der externen Vorrichtung zu hindern, z. B. durch Aufrufen von Applet 3 vor Applet 1, oder durch Entfernen eines oder mehrerer Aufrufe und dadurch Aufbrechen der Integrität der verbundenen Smartcard-Anwendungen.
2 zeigt ein Szenarium, bei der der Gegner den Aufruf fr Applet 2 entfernt hat, und dadurch die externe Vorrichtung zur Rückgabe eines fehlerhaften Ergebnisses zwingt. Daher reicht eine manipulationssichere Vorrichtung nicht allgemein aus, um einen richtige Ausführungsreihenfolge und eine Gesamtintegrität des Applets sicherzustellen.
Es ist eine erste Aufgabe der vorliegenden Erfindung, einen Integritätsschutzmechanismus vorzusehen, der es ermöglicht, dass eine Smartcardanwendung in mehr als eine Unteranwendung auf sicherer Art und Weise aufgeteilt wird, der die richtige Ausführungsreihenfolge und die Anwendungsintegrität sicherstellt und es der Ausführungsumgebung der externen Vorrichtung ermöglicht, jegliche Versuche aufzudecken, Applets in einer unzulässigen Art und Weise zu betreiben. Die Einrichtung eröffnet neue technologische Möglichkeiten. Es ist eine zweite Aufgabe der vorliegenden Erfindung, für Zwecke des Softwarelizenzschutzes und anderer Anwendungsbereiche, die oben aufgezeigt wurden, die Auswahl geeigneter und für die Ausführung auf einer manipulationssicheren Vorrichtung nicht geeigneter Softwareanwendungskomponenten ohne Einschränkungen zu ermöglichen, und dabei ein effizientes und höchst Anwenderfreundliches Tool für die Optimierung der Anwendungssicherheit und Leistungsfähigkeit zur Verfügung zustellen.
Die vorliegende Erfindung ist dargestellt in Anspruch 1. Bevorzugte Ausführungsbeispiele sind in den Unteransprüchen angegeben.
Kurze Beschreibung der Zeichnungen
Die vorhergehende Zusammenfassung ebenso wie die nachfolgende detaillierte Beschreibung bevorzugter Ausführungsbeispiele der Erfindung können besser verstanden werden, wenn sie in Verbindung mit den beigefügten Zeichnungen gelesen werden. Um die Erfindung zu erläutern, ist in den Zeichnungen ein Ausführungsbeispiel dargestellt, das gegenwärtig bevorzugt wird. Es sollte jedoch berücksichtigt werden, dass die Erfindung nicht auf die genauen Anordnungen und dargestellten Umsetzungen beschränkt ist. In den Zeichnungen zeigt:
1 ein schematisches Blockdiagramm einer Mehrprozessor-Computerumgebung zur Ausführung eines Codeabschnitts in einer externen Vorrichtung nach dem Stand der Technik,
2, wie ein Angriff auf die Umgebung der 1 geführt werden kann,
3 ein schematisches Blockdiagramm einer Mehrprozessor-Computerumgebung zur Ausführung eines Codeabschnitts in einer externen Vorrichtungen in Übereinstimmung mit einem ersten Ausführungsbeispiel der vorliegenden Erfindung,
4 ein schematisches Blockdiagramm einer Mehrprozessor-Computerumgebung zu Ausführung eines Codeabschnitts in einer externen Vorrichtung in Übereinstimmung mit einem zweiten Ausführungsbeispiel der vorliegenden Erfindung und
5, wie die vorliegende Erfindung eine allgemeine Lösung zur Überwachung mehrerer, alternativer Applet-Ausführungswege vorsieht.
Detaillierte Beschreibung der Erfindung
Eine bestimmte Terminologie wird nachfolgend allein aus Bequemlichkeit benutzt und kann nicht als eine Einschränkung der vorliegende Erfindung angesehen werden. Bei den Zeichnungen werden dieselben Bezugszeichen zur Bezeichnung derselben Elemente bei den mehreren Figuren benutzt.
Die vorliegenden Erfindung verbindet Applet-Barbeitungssequenzdaten (z. B. Sequenznummern oder andere Bezeichner wie etwa willkürliche Zahlen oder diskrete Zeitwerte) zusammen mit dem aktuellen Appletcode, wodurch die Applets dazu gebracht werden, in einer richtigen Sequenz ausgeführt zu werden, die durch die Sequenzdaten festgelegt ist. Jedes Applets muss eine allgemeine Identität aufweisen. Für jedes Applet enthalten die Sequenzdaten Informationen über den Satz an vorausgehenden Applets, denen es erlaubt ist, vor dem gegenwärtigen Applet ausgeführt zu werden, und den Satz von nachfolgenden, denen es erlaubt ist, nach dem gegenwärtigen Applet ausgeführt zu werden. Die Sätze von vorausgehenden und nachfolgenden können leer seien, oder können eines oder mehrere Elemente (Appletidentitäten) enthalten, oder können Wildcards (Platzhalterzeichen) enthalten, die eine bestimmte Gruppe von Applets definieren. Im Ergebnis identifizieren die Sequenzdaten für jedes Applet die Sätze von Applets, die dem gegenwärtigen Applet vorausgehen oder nachfolgen, und die Sequenzinformationen müssen inhärent mit dem aktuellen Appletcode verbunden sein.
Der spezielle vorausgehende- und nachfolgende Code * wird als Wildcard verwendet. Ein vorausgehender Code * zeigt an, dass vom Standpunkt des gegenwärtigen Applets aus jegliches andere Applet vor diesem ausgeführt werden kann. Z. B. ist in 3 das Vorhergehende zu Applet 1 als * bezeichnet, was anzeigt, dass das Applet 1 keinerlei Beschränkungen für ein Applet, falls vorhanden, auferlegt, das zuvor ausgeführt wurde. Applet 2 andererseits legt speziell fest, dass sein Nachfolger Applet 3 sein soll. So erlaubt, sogar wenn Applet 1 dem Applet 2 zugesteht, sein Vorgänger zu sein, Applet 2 dem Applet 1 nicht, dessen Nachfolger zu sein. Mit anderen Worten, die Ausführung eines Applet findet nur statt, wenn sowohl die Vorgängerbedingung als auch die Nachfolgebedingung erfüllt sind.
Andere Arten von Wildcards als * sind vorstellbar, die unterschiedliche Beschränkungen für Applets oder unterschiedliche Appletuntergruppen beschreiben.
Zwei Hauptausführungsbeispiele der vorliegenden Erfindung werden nachfolgend beschrieben. In dem ersten Ausführungsbeispiel, dargestellt in 3, werden der Appletbezeichner, die Vorgänger-/Nachfolgerinformationen und der Appletcode in der externen Vorrichtung, außerhalb der Reichweite von Manipulationen durch den Gegner, gespeichert. In einem zweiten Ausführungsbeispiel, dargestellt in 4, sind der Appletbezeichner und die Vorgänger-/Nachfolgerinformationen in den tatsächlichen Appletcode eingebunden, der dann mittels Standardverschlüsselungstechniken für die Integrität und/oder Vertrauenswürdigkeit geschützt wird.
3 zeigt Sequenzdaten und die Ablaufüberwachung der externen Vorrichtung in dem oben dargelegten Beispiel. Bei dieser Figur werden sowohl die Vorgänger- als auch die Nachfolge-Sequenzdaten verwendet und im Ablauf dargestellt, um das Erfindungskonzept zu erläutern. Beispielsweise weist das verschlüsselte Applet 1 in der Host-Softwareanwendung keinen spezifischen Vorgänger auf, hat jedoch Applet 2 als alleinigen rechtmäßigen Nachfolger; Applet 2 hat Applet 1 als einzigen Vorgänger und Applet 3 als dessen einzigen Nachfolger; und Apple 3 hat Applet 2 als dessen einzigen Vorgänger, aber keinen spezifischen Nachfolger.
Mit Bezug auf die Ablaufdarstellung der externen Vorrichtung wurde zum Zeitpunkt t1 (die dem Speicherzustand t1 in Speicher 222 in der 3 entspricht) Applet 1 ausgeführt und war Applet 1 das letzte auszuführende Applet; zum Zeitpunkt t2 (der dem Speicherzustand 2 in Speicher 222 entspricht) wurden die Applets 1 und 2 ausgeführt und war Applet 2 der letzte auszuführende Block ; und zum Zeitpunkt t3 (der dem Speicherzustand 3 in Speicher 222 entspricht) wurden die Applets 1,2 und 3 ausgeführt und war Applet 3 der letzte auszuführende Block.
Die Vorgänger- und Nachfolgedaten werden mit den durch die externe Vorrichtung 200 beobachteten Daten abgeglichen, bevor der Codeblock ausgeführt werden kann. Bevor beispielsweise Applet 2 ausgeführt wird, sieht die externe Vorrichtung 200 die rechtmäßigen Vorgänger des Applet 2 in dem Speicher 224 in der 3 nach, das heißt, Applet 1, überprüft sodann, ob das Applet 1 tatsächlichen das in dem vorangehenden Zustand t1 in dem Speicher 222 ausgeführte Applet war. Die externe Vorrichtung 200 prüft dann, ob das gegenwärtige Applet 2 ein rechtmäßiger Nachfolger des Applet 1 ist, indem es die Nachfolgerinformationen in dem vorigen Zustand t1 in dem Speicher 222 nachschaut. Falls dem so ist, wird Applet 2 ausgeführt. Falls nicht, kann Applet 2 nicht ausgeführt werden.
Es sei nun erneut der in 2 dargelegte Angriff mit Blick auf die vorliegende Erfindung und das Ausführungsbeispiel gemäß der 3 betrachtet. Wenn ein Gegner den Aufruf an Applet 2 durch einen Aufruf an Applet 3 ersetzt, wird die externe Vorrichtung 200 Applet 3 nicht ausführen, weil der Nachfolger von Applet 1 gemäß dem Speicher 224 allein Applet 2 sein kann und eben so wenig, weil der Vorgänger des Applet 3 gemäß demselben Speicher 224 Applet 2 ist und nicht Applet 1 wie der Zustand t1 des Speichers 222 ergibt.
4 zeigt ein zweites Ausführungsbeispiel der vorliegenden Erfindung. Hier sind verschlüsselte Sequenzdaten 1221,1222 und 1223 in jeweils unterschiedliche Applets eingebettet, wodurch sie den Speicher 224 der 3 entlasten. Während der Ausführung erhält die externe Vorrichtung 200 Applets von dem Host-Softwareprogramm 122. Für jedes erhaltene Applet verifiziert die externe Vorrichtung 200, dass dieses Applet einen gültigen Ausführungsweg gemäß den in dem Appletausführungswegspeicher 222 gespeicherten Weg befolgt. Wenn z. B. die externe Vorrichtung 200 Applet 2 erhält, wird das Applet als erstes entschlüsselt, sodann schaut die externe Vorrichtung 200 den rechtmäßigen Vorgänger des Applet 2 in dem Appletkörper 1222 nach, der sich als Applet 1 herausstellt, und überprüft sodann, ob Applet 1 tatsächlich als letztes in dem vorangehenden Zustand t1 in dem Speicher 222 ausgeführt wurde. Sodann überprüft die externe Vorrichtung 200, ob das gegenwärtige Applet 2 ein rechtmäßiger Nachfolger des Applet 1 ist, indem es die Nachfolgeinformationen in dem vorigen Zustand t1 in dem Speicher 222 nachsieht. Falls dem so ist, wird Applet 2 ausgeführt. Falls nicht, kann Applet 2 nicht ausgeführt werden.
Es sei erneut der in 2 dargestellte Angriff mit Blick auf die vorliegende Erfindung und das Ausführungsbeispiel gemäß der 4 betrachtet. Falls ein Gegner den Aufruf an Applet 2 durch einen Aufruf an Applet 3 ersetzt, wird die externe Vorrichtung 200 Applet 3 nicht ausführen, weil der Nachfolger für Applet 1 nach dem Speicher 224 allein Applet 2 sein kann, und ebenso wenig, weil der Vorgänger von Applet 3 nach demselben Speicher 224 Applet 2 ist und nicht Applet 1, wie der Zustand t1 des Speichers 222 ergibt.
Die in den 3 und 4 erläuterten Ausführungsbeispiele haben jeweils ihre Vorteile: 3 ermöglicht das Speichern der Applets und der zugeordneten Vorgänger- und Nachfolgerdaten in dem Speicher 224 innerhalb der externen Vorrichtung 200. Dies reduziert die Kommunikation zwischen dem Host 100 und der externen Vorrichtung 200.
Zur Laufzeit werden allein der Appletbezeichner und die zugeordneten VO-Parameter zwischen der Hostanwendung 122 und der externen Vorrichtung 200 übertragen. Andererseits reduziert das Speichern der verschlüsselte Applets in dem Hostspeicher 110 und das Zulassen, dass diese während der Laufzeit in die externe Vorrichtung 200 geladen werden, den Speicherverbrauch in der externen Vorrichtung 200. Diese Ansätze können kombiniert werden.
Die Applets 1,2 und 3 in 3 und 4 werden in strikt aufeinander folgender Reihenfolge (Sequenz) ausgeführt. Jedes Applet hat genau einen Vorgänger und genau einen Nachfolger. Bei Softwareanwendungen ist dies ein Spezialfall und nicht der Regelfall. Der Stand der Technik bietet eine Lösung für diesen Spezialfall:
Standardverschlüsselungsverfahren lehren Kettenverschlüsselungsverfahren wie z. B. die Ziffer-Blockverkettung (CBC), definiert in Federal Information Processing Standards Publication 81, DES Modes of Operation, Dezember 1980 (FIPS PUB 81), wobei ein Ziffernblock kryptografisch mit dem vorangehenden verknüpft ist. Bei Verwendung von CBC ist es nicht möglich, Applet i + 1 zu entschlüsseln und für den hier beschriebenen Zweck auszuführen, ohne zuvor Applet i entschlüsselt und ausgeführt zu haben. Weiterhin bietet für einige Verschlüsselungsblöcke i + 1 der kryptografische Verkettungsmechanismus keine Lösung für das Problem, zwei verschiedene Blöcke i und i' zu haben, die beide eine richtige Entschlüsselung des Blocks i + 1 abdecken.
5 zeigt, dass die vorliegende Erfindung eine allgemeine Lösung für die Überwachung mehrerer alternativer Appletausführungswege bietet und dabei die Begrenzungen des kryptografischen Verkettungsmechanismuses und des sonstigen Standes der Technik überwindet. In 5 weist das Applet 4 zwei mögliche Vorgänger auf; die Applets 2 und 3. dies spiegelt sich wieder in dem Eintrag für Applet 4 in Speicher 224, der die externe Vorrichtung informiert, dass beide Applets 2 und 3 rechtmäßige Vorgänger des Applets 4 sind.
Die vorliegende Erfindung wird geringfügig verallgemeinert, um mehrere manipulationensichere externe Vorrichtung zu handhaben: Aus Sicht der Host-Softwareanwendung hat sie die Fähigkeit, Aufrufe für Applets auf mehreren (unterschiedlichen) externen Vorrichtung durchzuführen. Ebenso kann aus Sicht einer externe Vorrichtung jede Anzahl von Anwendungen von unterschiedlichen Hosts (und sogar von anderen externen Vorrichtung) Aufrufe an Applets innerhalb der gegenwärtigen externe Vorrichtung durchführen, ohne den hier beschriebenen Sicherheitsmechanismus zu stören.
Die vorliegende Erfindung kann auch ausgeweitet werden, um es jedem einzelnen Applet zu ermöglichen, auf einem Satz von mehr als einer externen Vorrichtung ausgeführt zu werden. Bei diesem Szenario muss die externe Vorrichtung, die momentan dafür zuständig ist, zu bestimmen, ob ein Applet ausgeführt werden darf, den relevanten Ausführungsweg der vorangehenden Applets holen, einschließlich eines Mechanismus, um die Integrität dieser Informationen zu sichern, um dadurch zu bestimmen, ob dem aktuellen Applet das Recht zusteht, ausgeführt zu werden oder nicht.
Bei den oben beschriebenen Ausführungsbeispielen können Änderungen gemacht werden, ohne von dem breiten erfinderischen Konzept abzuweichen. Die vorliegende Erfindung ist daher nicht begrenzt auf die einzelnen offen gelegten Ausführungsbeispiele, sondern richtet sich darauf, Modifikationen innerhalb des Bereichs der vorliegenden Erfindung wie beansprucht abzudecken.

Claims

Verfahren zur Ausführung von Softwarecode eines Softwareprogramms in einer Mehrprozessor-computerumgebung, wobei der Softwarecode (i) einen ersten in einem Computer (100) auszuführenden Abschnitt und (ii) einen zweiten Abschnitt umfaßt, wobei der zweite Abschnitt eine Mehrzahl unterschiedlicher Codeblöcke aufweist, von denen wenigstens einige der Codeblöcke diesen zugeordnete Sequenzdaten aufweisen, wobei das Verfahren umfaßt: (a) Ausführen des zweiten Codeabschnitts in einer oder mehreren manipulationssicheren Vorrichtungen (200), die mit dem Computer (100) kommunizieren, und, (b) falls in dem gegenwärtigen Codeblock, der in der einen oder den mehreren manipulationssicheren Vorrichtungen) (200) ausgeführt werden soll, Sequenzdaten existieren, Benutzen der Sequenzdaten zur Festlegung, ob die Ausführung des Codeblocks zulässig ist, oder unterbunden werden soll.
Verfahren nach Anspruch 1, wobei die Codeblöcke, die verbundene Sequenzdaten aufweisen, jeder (i) eine Applet ID, (ii) vorlaufende Daten, die einen oder mehrere spezifische Codeblöcke an Code anzeigen, der unmittelbar vor dem Codeblock, der die verbundene Sequenzdaten aufweist, ausgeführt werden muß, (iii) nachlaufende Daten, die einen oder mehrere spezifische Codeblöcke anzeigen, der unmittelbar nach dem Codeblock, der die zugeordneten Sequenzdaten aufweist, ausgeführt werden muß, und (iv) Appletcode aufweisen.
Verfahren nach Anspruch 2, wobei der Applet-Identifier, die Sequenzdaten und der Appletcode jeweils in der manipulationssicheren Vorrichtung gespeichert (224) sind.
Verfahren nach Anspruch 2, wobei der Applet-Identifier und die Sequenzdaten in den Appletcode (1221-1223) eingebunden sind, und der zweite Codeabschnitt verschlüsselt ist, der den Applet-Identifier, die Sequenzdaten und den Appletcode enthält.
Verfahren nach Anspruch 1, wobei der zweite Codeabschnitt verschlüsselt ist, wobei das Verfahren weiter umfasst: (c) Entschlüsseln des zweiten Codeabschnitts in der einen oder den mehreren manipulationssicheren Vorrichtung(en) (200) vor der Ausführung.
Verfahren nach Anspruch 1, weiter umfassend: (c) Nachverfolgen von Daten in der einen oder den mehreren manipulationssicheren Vorrichtung(en) (200), dabei Betrachten, welche Codeblöcke des zweiten Abschnitts darin ausgeführt wurden, wobei Schritt (b) weiter ein Vergleichen der Sequenzdaten im gegenwärtigen Codeblock, der mit den nachverfolgten Daten auszuführen ist, aufweist, um festzulegen, ob die Ausführung des Codeblocks zulässig ist oder unterbunden werden soll.
Verfahren nach Anspruch 1, wobei die Mehrzahl an unterschiedlichen Codeblöcken innerhalb des ersten Codeabschnitts verstreut ist.
Verfahren nach Anspruch 1, weiter umfassend: (c) Senden des zweiten Codeabschnitts an die eine oder die mehreren manipulationssicheren Vorrichtung(en) (200) zur Ausführung darin durch den Computer (100), Erhalten von Rückstatusinformationen aus der einen oder den mehreren manipulationssicheren Vorrichtung(en) (200) über die erfolgreiche Ausführung des zweiten Codeabschnitts durch den Computer (100).
Verfahren nach Anspruch 1, wobei die eine oder die mehreren manipulationssichere(n) Vorrichtung(en) (200) Smart-Karten sind.
Verfahren nach Anspruch 1, wobei die eine oder die mehreren manipulationssichere(n) Vorrichtungen) (200) USB-Schlüssel sind.
Verfahren nach Anspruch 1, wobei die eine oder die mehreren manipulationssichere(n) Vorrichtungen) (200) PCMCIA-Karten sind.
Verfahren nach Anspruch 1, wobei die eine oder die mehreren manipulationssichere(n) Vorrichtungen) (200) in den Computer (100) integrierte Microcontroller sind.
Verfahren nach Anspruch 1, wobei die Codeblöcke Applets sind.
Verfahren nach Anspruch 1, wobei die Sequenzdaten Platzhalterdaten sind, die anzeigen, dass entweder jeder Codeblock unmittelbar vor dem Codeblock, der die mit diesem zugeordneten Platzhalterdaten aufweist, ausgeführt werden kann, oder, dass kein Codeblock unmittelbar vor dem Codeblock, der die diesem zugeordneten Platzhalterdaten aufweist, ausgeführt werden muss.
Verfahren nach Anspruch 1, wobei der zweite Codeabschnitt in dem Computer (100) gespeichert ist und in die eine oder die mehreren manipulationssichere(n) Vorrichtungen) (200) vor der Ausführung heruntergeladen wird.
Verfahren nach Anspruch 1, wobei der zweite Codeabschnitt in der einen oder den mehreren manipulationssicheren Vorrichtungen) (200) gespeichert ist und auf den Empfang von Befehlen von dem ersten Codeabschnitt hin angewiesen wird auszuführen.
Verfahren nach Anspruch 1, wobei der Softwarecode Teil eines Softwareanwendungsprogramms ist.