DE69434621T2

DE69434621T2 - Postgebührensystem mit nachprüfbarer Unversehrtheit

Info

Publication number: DE69434621T2
Application number: DE69434621T
Authority: DE
Inventors: Leon A. W. Hartford Pintsov; Richard A. South Salem łNew York Connell; Ronald P. Weston Sansone; Alfred C. Wilton Schmidt
Original assignee: Pitney Bowes Inc
Current assignee: Pitney Bowes Inc
Priority date: 1993-10-08
Filing date: 1994-10-07
Publication date: 2006-12-07
Anticipated expiration: 2014-10-08
Also published as: EP0647925A3; EP0647925B1; CA2133672C; DE69434621D1; US5448641A; EP0647925A2; CA2133672A1

Description

Die vorliegende Erfindung bezieht sich auf das Frankieren von Post für Postsysteme, beispielsweise ein Postfrankiersystem mit verifizierbarer Integrität, die aus der auf einem Poststück aufgedruckten Information feststellbar ist.
Verschiedene Postdienste und private Beförderungsdienste in der Welt haben Portotabellen für Post und Pakete entwickelt. Diese Portotabellen spezifizieren das Porto für jedes gegebene Poststück (was nachfolgend Pakete und andere versendbare Gegenstände gleichermaßen beinhalten soll).
US-A-5 214 702 beschreibt die Verifikation von über einen ungeschützten Datenkanal gesendeter elektronischer Post. Mehrere Postobjekte, wie etwa ein Begleitbrief und eine zugehörige Beilage können zusammen so signiert werden, dass jeder Gegenstand individuell verifizierbar ist, während die Beziehung jedes Gegenstandes zur Gesamtgruppe angezeigt wird. Eine Ansammlung von Daten bezüglich aller Gegenstände (möglicherweise der HASH jedes Gegenstandes zusammen mit Kontrollinformationen) wird in einer geordneten Liste gesammelt, die dann signiert wird, oder der Hash der Liste wird signiert.
US-A-5 008 827 beschreibt ein Versandsystem, bei dem verifiziert wird, dass ein Anwender die jüngste Portotabelle empfangen und gespeichert hat.
Das Frankieren kann die gewünschte Dienstklasse, wie etwa 1. Klasse oder 3. Klasse Post in den Vereinigten Staaten, das Gewicht der Post, die Größe der Post, die Distanz, über die die Post zu senden ist, das Dienstniveau, wie etwa Schnellpost, die Zustellung am nächsten Tag involviert und/oder einen mit einem Niveau an Arbeitsteilung assoziierten Rabatt umfassen. Jeder Postdienst und jeder private Versanddienst begründet üblicherweise seine eigenen Portotabellen für Post und Pakete. Postdienst, wie hier beschrieben, soll gleichermaßen auf sowohl Regierungs- als auch andere Postdienste angewendet werden und ebenfalls auf private Versanddienste. Ähnlich soll „Postwert", wie hier verwendet, gleichermaßen sowohl auf Regierungs- als auch auf andere Postwerte und ebenfalls auf private Versanddienstzustellgebühr und andere Werte angewendet werden.
Um einem Versender das Anbringen des korrekten Portos oder anderer Gebühren (wie z.B. Versicherung, zertifizierte Zustellung oder Rückschein, etc.) an einem Poststück oder einem an einem Poststück anzubringenden Band zu erleichtern, sind verschiedene Vorrichtungen bereitgestellt worden, wie etwa Waagen, die Tariftabellen beinhalten, um dem Anwender eine visuelle Anzeige über die richtige Frankierung für das beim Postdienst abzugebende Poststück anzuzeigen. Bei einigen Vorgängen gestatten diese Wiegevorrichtungen mit Tariftabellen die automatische Einstellung der Frankiermessgerätdruckräder, wobei die Waage eine Verbindung zu einem elektronischen Frankiermessgerät enthält und Einstellinformationen weitergibt. Dies ermöglicht nunmehr rascheres Drucken von Porto und Verarbeiten der Post. Ein Beispiel eines solchen Systems ist das Pitney Bowes PARAGON Versandsystem, bei dem Post gewogen wird und die Frankiermessgerätdruckräder automatisch zum Aufdrucken des richtigen Portos auf ein Poststück eingestellt werden. Ein anderes System, wie etwa das im US-Patent Nr. 4855920 für eine Portoverbuchungsvorrichtung offenbarte, stellt eine sichere Verbuchungseinheit mit einem Speicher bereit, der eine Frankiergebühr von Portoraten für unterschiedliche Klassen von Post beinhaltet. Noch ein anderes System ist im US-Patent Nr. 5191533 für eine „Frankiermaschine" offenbart, bei dem Portotabellen in einem Messgerät gespeichert sind und angewendet werden, um den Druckmechanismus auf einen gewünschten Betrag einzustellen.
Es ist erkannt worden, dass ein Poststück mit einem falschen Portobetrag bedruckt werden kann. Dies kann an einer Anzahl von unterschiedlichen Faktoren liegen, wie etwa der Verwendung der falschen Tariftabelle, die Verwendung einer veralteten Tariftabelle oder der Eingabe ungenauer Daten für den Frankierprozess. Ein Beispiel würde die Eingabe einer inkorrekten Größe des Poststückes sein (wenn die Größe des Poststückes ein Frankierfaktor ist).
Es ist entdeckt worden, dass ein Frankiersystem bereitgestellt werden kann, welches die Verifikation der Integrität des Frankierprozesses gestattet.
Es ist weiterhin entdeckt worden, dass es möglich ist, eine Verifikation in einer Weise zu gestatten, die feststellt, ob eine geeignete Tariftabelle verwendet worden ist und den Grund für eine inkorrekte Frankierung der Port zu identifizieren. Gemäß einem Aspekt der Erfindung wird ein Postfrankiersystem bereitgestellt, das umfasst: eine Postfrankiervorrichtung mit einem nicht-flüchtigen Speichermittel; Mittel zum Übertragen einer Posttariftabelle an die Postfrankiervorrichtung, so dass die Posttariftabelle in dem nicht-flüchtigen Speichermittel der Frankiervorrichtung gespeichert ist; Mittel zum Übertragen eines Codes an die Postfrankiervorrichtung so, dass der Code in dem nicht-flüchtigen Speichermittel der Frankiervorrichtung gespeichert ist, wobei der Code auf Informationen aus der Tariftabelle basiert; Mittel in der Postfrankiervorrichtung zum Erzeugen eines Codes basierend auf Informationen aus der im nicht-flüchtigen Speichermittel der Frankiervorrichtung gespeicherten, empfangenen Tariftabelle; und Mittel zum Vergleichen des empfangenen Codes mit dem erzeugten Code.
Gemäß einem anderen Aspekt der Erfindung wird eine Postnachweisvorrichtung bereitgestellt, umfassend: Mittel zum Speichern einer Posttariftabelle in einem nicht flüchtigen Speicher; Mittel zum Speichern eines übertragenen Codes in einen nicht-flüchtigen Speicher, wobei der Code auf Informationen aus der Tariftabelle basiert; Mittel zum Empfangen einer Anfrage zum Ausdrucken eines Portowerts; Mittel zum Wiederberechnen des Codes aus der Information aus der in dem nicht-flüchtigen Speicher gespeicherten Tariftabelle; und Mittel zum Vergleichen des wiederberechneten Codes und des gespeicherten Codes.
Gemäß einem anderen Aspekt der Erfindung wird ein System zum Verifizieren der Genauigkeit von Portofrankierung bereitgestellt, umfassend: Mittel zum Scannen eines Poststücks, um einen auf einem Poststück gedruckten Code und ebenfalls auf dem Poststück gedruckte Frankierparameter zu detektieren, wobei der Code auf Informationen aus einer Postfrankiertabelle basiert; Mittel zum Verifizieren, dass der Code eine aktuelle Postfrankiertabelle repräsentiert; Mittel zum Wiederberechnen des Frankierprozesses, um die Frankiergenauigkeit zu bestimmen; und Mittel zum Bestimmen der Korrektheit der Frankierung für das gescannte Poststück.
Gemäß einem anderen Aspekt der Erfindung, wird ein Verfahren zum Postfrankieren bereitgestellt, welches umfasst die Schritte: Übertragen einer Posttariftabelle an eine Postfrankiervorrichtung und Speichern derselben; Übertragen eines Codes an die Frankiervorrichtung und Speichern desselben, wobei der Code auf Informationen aus der Frankiertabelle basiert; Erzeugen eines Code, basierend auf Informationen aus der empfangenen Tariftabelle; und Vergleichen des empfangenen Codes mit dem erzeugten Code. Das Verfahren kann weiterhin das Freigeben des Betriebs der Postfrankiervorrichtung beinhalten, dalls die Posttariftabelle durch den Vergleichsschritt als gültig bestimmt worden ist.
Gemäß einem anderen Aspekt der Erfindung wird ein Verfahren zum Verifizieren der Genauigkeit von Postfrankierung bereitgestellt, welches die Schritte umfasst: Scannen eines Poststücks, um einen Code, der auf dem Poststück aufgedruckt ist und von Frankierparametern, die auch auf dem Poststück aufgedruckt sind, für ein Poststück zu detektieren, wobei der Code auf Informationen aus einer Posttariftabelle basiert; Verifizieren, dass der Code eine aktuelle Posttariftabelle repräsentiert; Wiederberechnen des Frankierprozesses, um die Frankiergenauigkeit zu bestimmen; und Bestimmen der Korrektheit der Frankierung für das gescannte Poststück.
Gemäß einem anderen Aspekt der Erfindung wird ein Verfahren zum Prozessieren einer Tariftabelle in einer Postfrankiervorrichtung bereitgestellt umfassen die Schritte: Speichern einer Posttariftabelle; Speichern eines Codes, basierend auf Informationen aus der Tariftabelle; Empfangen einer Anforderung zum Ausdrucken eines Portowerts; Wiederberechnen des Code aus der Information aus der gespeicherten Tariftabelle; und Vergleichen des wiederberechneten Codes und des gespeicherten Codes.
Die Ausführungsformen erleichtern die Eingabe von Tariftabellen (oder ihrem Äquivalent) in ein Portonachweissystem, wie etwa ein Portomessgerät, um so die Sicherheit der Postfrankierung zu vergrößern und eine Unterstützung bei der Bestimmung bereitzustellen, dass ein Poststück sicher frankiert wurde und dass die korrekte Tariftabelle beim Frankierprozess verwendet wurde.
Gemäß den Ausführungsformen stellt ein Datenzentrum (das von einer dritten Seite oder durch den Postdienst betrieben werden kann) eine Tariftabelle einem Nutzer bereit. Die Tariftabelle enthält öffentlich erhältliche Daten darüber, wie Post hinsichtlich verschiedenen, unterschiedlichen Frankierparameter frankiert werden sollte. Die Tariftabelle wird dem Adressierer zusammen mit einem Code übermittelt. Der Code basiert auf Informationen aus der Tariftabelle. Der Code stellt eine eindeutige Nummer bereit, basierend auf der bereitgestellten Frankiertabelle. Der Algorithmus innerhalb einer sicheren Vorrichtung, in die die Tariftabelle geladen wird, regeneriert den Code basierend auf Informationen von der empfangenen Tariftabelle und vergleicht den übertragenen Code mit dem erzeugten Code. Der Vergleich führt zu einer geeigneten Passung, falls die Tariftabelle authentisch ist und falls die Quelle der Tariftabelle die richtige sendende Stelle ist. Dies authentifiziert sowohl die Quelle der Tariftabelle als auch die Integrität der empfangenen Daten.
Gemäß einem Merkmal der Ausführungsformen wird das Drucken durch die Portonachweisvorrichtung (PED), wie etwa ein Portomessgerät, nicht freigegeben, bis die Integrität der in dem Speicher der Portonachweisvorrichtung gespeicherten Daten für die Tariftabelle als korrekt verifiziert wird. Dies wird durch Wiederberechnen des Codes für die Tariftabelle und Vergleichen des Codes für die Tariftabelle mit einem vom Datenzentrum empfangenen gespeicherten Code, wenn die Tabelle ursprünglich übertragen worden war, der in einem nicht flüchtigen Speicher gespeichert worden ist, durchgeführt. Falls die zwei Code gleich sind, wird das Drucken gestattet.
Gemäß noch einem weiteren Merkmal der Ausführungsformen wird der Code (der ein „Hash" Code sein kann) zusammen mit den Frankierparametern auf das Poststück gedruckt, so dass eine verifizierende Partei den Frankierprozess rekonstruieren und bestimmen kann, ob eine Frankierungenauigkeit aufgetreten ist und/oder ob die bei der Frankierung verwendete Tariftabelle für das Datum des Portoaufdruckes gültig ist. Der Code kann in verschlüsselter Form auf das Poststück gedruckt und der verschlüsselte Code kann zusammen mit anderen verschlüsselten Informationen auf das Poststück gedruckt werden. Alternativ kann der Hash-Code mit anderen Informationen, wie etwa dem Postwert und Portonachweisvorrichtungsidentifikation kombiniert und das kombinierte Ergebnis dann verschlüsselt und auf das Poststück gedruckt werden.
Gemäß noch einem anderen Merkmal der Ausführungsformen können die Frankierungenauigkeiten für einen bestimmten Nutzer durch die verifizierende Partei gespeichert werden, um das Wiederauftreten von Frankierfehlern zu detektieren und automatisch geeignete korrektive und/oder andere Maßnahmen zu initiieren, sollten für irgendeinen gegebenen Sender oder Gruppe von Sendern Frankierfehler bestimmter Kategorien gewisse Schwellenwertniveaus übersteigen.
Gemäß noch einem anderen Merkmal der Ausführungsformen wird das Frankierprofil für einen bestimmten Anwender oder eine Gruppe von Anwendern von der verifizierenden Partei gespeichert, um die Erzeugung eines Profil eines Senders oder einer Gruppe von Sendern zu ermöglichen, um Geschäftsdaten bereitzustellen, um bei einem solchen Sender weitere Postdienste und/oder Informationsberichte zu vermarkten, basierend auf verifizierten Adressiermustern, wie etwa Tarif, Dienstniveau, Postbestimmung, Verteilung und dergleichen.
Bevorzugte Ausführungsformen der vorliegenden Erfindung werden nun unter Bezugnahme auf die folgenden Figuren beschrieben, in denen gleiche Bezugszeichen ähnliche Elemente in den verschiedenen Ansichten bezeichnen und in denen:
1 ein Adressiersystem ist, das ein sicheres Frankiermodul einsetzt, welches eine verifizierbare Frankierintegrität gestattet;
2 ein Flussdiagramm der Aktivitäten des Datenzentrums ist, das bei der Übertragung einer Tariftabelle an ein sicheres Frankiermodul gemäß der vorliegenden Erfindung beteiligt ist;
3 die Aktivitäten an der Postnachweisvorrichtung sind, die beim Prozessieren einer empfangenen Tariftabelle und dem Prozess, durch welchen die Verifikation der Integrität der Tariftabellendaten und der Authentizität des Datenzentrums in der Portonachweisvorrichtung etabliert wird, involviert ist;
4 ein Flussdiagramm innerhalb der Portonachweisvorrichtung ist, um ein Poststück zu frankieren und den geeigneten Posteinnahmenblock auf das Poststück zu drucken;
5 ein Flussdiagramm einer Unterroutine innerhalb der Authentifizierungstariftabelle und dem Tarifberechnungsalgorithmusblock von 4 ist; und
6 ein Aufdruck auf einem Poststück gemäß der vorliegenden Erfindung ist.
Allgemeine Übersicht
Der Portowert (Tarif) für jedes Poststück kann zusammen mit anderen Daten verschlüsselt werden, um einen digitalen Stellvertretercode (Token) zu erzeugen. Ein digitaler Token ist verschlüsselte Information, die dabei hilft, den Wert oder andere Informationen zu authentifizieren, die auf ein Poststück aufgedruckt sind oder aufzudrucken sind. Beispiele von Systemen zum Erzeugen und Verwenden digitaler Token sind in US-Patent Nr. 4757537 für ein System zum Detektieren ungebucht zum Drucken in einem Wertdrucksystem; US-Patent Nr.4831555 für ungesichertes Portoaufbringsystem; und US-Patent Nr. 47705246 für ein System zum Detektieren ungebuchter zum Drucken in einem Wertdrucksystem, beschrieben. Die vollständige Offenbarung dieser drei Patente ist in Verbindung mit der vorliegenden Beschreibung von Interesse.
Als Ergebnis des den verschlüsselten Portowertes inkorporierenden digitalen Tokens ist das Ändern des gedruckten Portowertes in einem Portowerteinnahmenblock durch eine Standardverifikationsprozedur detektierbar. So kann, um zu wenig Porto zu bezahlen, ein Versuch unternommen werden, mit dem Frankierprozess zu interferieren (im Gegensatz zu dem sich ergebenen gedruckten Portowert).
Das Frankieren mit verifizierbarer Integrität gemäß dem hier beschriebenen System hilft dabei: 1) Der die Verifikation durchführenden Partei Diagnostik bereitzustellen, um die Detektion einer unbeabsichtigten Fehlfrankierung von Poststücken zu ermöglichen; und 2) Evidenz der die Verifikation durchführenden Partei über absichtliche Unterfrankierung von Poststücken bereitzustellen.
Frankiereingabeparameter können in ein System manuell oder automatisch oder partiell manuell und partiell automatisch eingegeben werden. Beispielsweise können Sensordaten wie etwa Gewicht, Größe von Poststücken und Anwesenheit eines Barcodes automatisch eingegeben werden, während das gewünschte Dienstniveau oder die Postklasse manuell eingetippt oder standardmäßig von einer Datei eingegeben werden kann. Alternativ können alle Frankierparameter manuell in das System eingegeben werden. Der Prozess des Berechnens des Postwertes (oder Tarifs) basiert auf Berechnungen, welche die eingegebenen Frankierparameter und eine Tariftabelle berücksichtigen. Der Prozess des Postfrankierens kann jedoch inkorrekte Ergebnisse erzeugen. Die folgenden sind Beispiele dafür

a) Eingabe inkorrekter Frankierparameter (z.B. falsch eingegebenes Gewicht oder Größe).
b) Die Tariftabelle ist veraltet oder die falsche Tariftabelle.
c) Die Tariftabelle ist inkorrekt, weil sie willentlich geändert worden ist.
d) Ein oder mehrere eingegebene Eingangsfrankierparameter ist/sind inkorrekt und die Tariftabelle ist veraltet oder inkorrekt.
e) Der/die eingegebenen Eingangsfrankierparameter ist/sind inkorrekt und die Tariftabelle ist willentlich geändert worden.

Es sollte selbstverständlich erkannt werden, dass die obigen Beispiele kombiniert werden können, um zusätzliche Beispiele zu erzeugen, wie etwa a) und b) oder a) und c) oder b) und c) oder a) und b) und c).
Der Fall des unabsichtlichen Fehlfrankierens kann aufgrund von inkorrekt eingegebenen Daten oder veralteter oder inkorrekter Tariftabelle oder von beidem auftreten. In den obigen Beispielen ist der Fall des unabsichtlichen Fehlfrankierens äquivalent zu den Beispielen a), b) oder d). In diesem Fall stellt das Bedrucken von Werten der Tarifeingangsparameter und der Tariftabellenidentifikation im Posteinnahmeblock (oder einem anderen Bereich) auf einem Poststück die erforderlichen diagnostischen Daten für eine verifizierende Partei bereit. Beim Eingeben von Werten von Eingangsparametern und der Tariftabellenidentifikation aus einem Posteinnahmeblock in einen Computer ist die verifizierende Partei in der Lage, den Frankierprozess, der während der Postfrankierung durch den Adressierer stattfand, nachzuvollziehen. Die Verifikationspartei ist auch in der Lage, unabhängig korrekte Frankierparameter zu bestimmen und einen korrekten Tarif zu berechnen. Falls die zwei erhaltenen Raten nicht zueinander passen, hilft ein paarweiser Vergleich von Frankierparametern und Tariftabellenidentifikation bei der Bereitstellung der gewünschten Diagnostik hinsichtlich des Grundes der Fehlfrankierung des Poststückes. Auf diese Weise wird auch das Detektieren der willentlichen Eingabe von inkorrekten Frankierparametern erleichtert.
Die Beispiele c) und e) sind Fälle willentlichen Unterfrankierens. Für den Zweck des Bereitstellens von Evidenz bezüglich willentlichen Unterfrankierens ist es wünschenswert, dabei zu helfen, festzustellen, dass die Tarifberechnung durch Verändern der Tariftabelle oder Verwenden einer falschen Tariftabelle geändert wurde. Im Fall von Beispiel c) oder e) kann ein Verwender einer Portonachweisvorrichtung versuchen, gewisse Speicherbereiche zu ändern, in denen bestimmte Posttarife gespeichert sind. Dies kann unter Verwendung wohlbekannter Techniken verhindert werden, wie etwa einen nichtflüchtigen Speicher (NVM) innerhalb eines sicheren Portonachweisvorrichtungsgehäuses für die Speicherung der Tariftabelle, wie gerade beschrieben. Das sichere Gehäuse ist sowohl gegenüber Manipulationen resistent, wie etwa durch die Verwendung von abbrechenden Schrauben und kann auch eine forensische Evidenz der Tatsache der Manipulation bereitstellen. Falls dieser Prozess zu teuer ist, insbesondere für große Tariftabellen oder wo regelmäßige Aktualisierungen des NVM in sicherer Weise sich als inakzeptabel teurer erwiesen haben als Aktualisierungen des regulären Speichertyps, kann eine Modifikation der vorliegenden Erfindung, die unten beschrieben wird, eingesetzt werden, welche die Änderung einer Tariftabelle eher entdeckt als sie verhindert. Vom Sicherheitsstandpunkt aus dient die Fähigkeit, den Grund für eine Fehlfrankierung zu detektieren, als eine exzellente abschreckende Maßnahme, da der Grund für die Fehlfrankierung bewiesen werden kann und auch weil willentliche Fehlfrankierung von Post ein kriminelles Vergehen darstellen kann.
Die Tariftabelle kann in den RAM-Speicher einer Portonachweisvorrichtung aus einem Datenzentrum geladen werden (eher als in einen sicheren nichtflüchtigen Speicher), wie in 2 und 3 gezeigt (die nachfolgend detailliert beschrieben werden). Der Prozess stellt die Integrität der vom Datenzentrum durch die Portonachweisvorrichtung empfangenen Tariftabelle sicher.
Ein anderer Weg zur Bereitstellung einer verifizierbaren Integrität des Postfrankierprozesses besteht darin, den Hashwert der gesamten Tariftabelle (oder ihres spezifizierten Bereiches) bei jedem Zugriff auf die Tariftabelle zu berechnen. Unmittelbar nachdem dieser Hashwert berechnet worden ist, wird er zu einem privaten (sicheren) nichtflüchtigen Speicher gesandt. Auf diesen privaten Speicher kann nur durch das Verschlüsselungsmodul der Portonachweisvorrichtung zugegriffen werden. Dieses Verschlüsselungsmodul verschlüsselt den Hashwert der Tariftabelle, die aktuell für die Frankierung verwendet wird, zusammen mit anderen Informationen, zu digitalen Token. Anders ausgedrückt dient dieser Hashwert als eines der Elemente der Postdaten, die von der Digitaltokenumwandlung verwendet werden, um die verschlüsselte, auf ein Poststück zu druckende Information herzustellen. Der Gesamtvorgang stellt eine digitale Signatur der tatsächlich verwendeten Tariftabelle und durch Verwendung von in moderner Kryptologie bekannten Techniken bereit (hier beispielsweise Contemporary Cryptology, „The Science of Information Integrity", Herausgeber G. Simmons, IEEE Press, 1992).
Noch eine andere Weise, willentliche Änderung der Tariftabelle zu detektieren, ist die Verwendung einer Funktion wie etwa einer Hashfunktion, die durch einen Geheimschlüssel parametrisiert ist. In diesem Fall, wie bereits im zuvor beschriebenen Fall, wird der Hashwert der gesamten Tariftabelle (oder eines geeigneten Teils derselben) nach jedem Zugriff auf die Tariftabelle berechnet. Der Hashwert ist in diesem Falle eine Funktion eines Geheimschlüssels und kann daher ohne Kenntnis dieses Schlüssels nicht berechnet werden. Wenn der Hashwert berechnet wird, kann ein kleiner oder abgeschnittener Teil von ihm im Posteinnahmeblock als Tariftabellenidentifikation gedruckt werden. Typischer Weise würden zwei Dezimalziffern hinreichend sein (da es einem potenziellen Gegner nur eine Chance von hundert gibt, den richtigen Wert der Tariftabellenidentifikation zu raten). Diese zwei Dezimalziffern würden jedem Beobachter ohne Kenntnis des Geheimschlüssels vollständig zufällig erscheinen. Diese zwei Ziffern (oder jegliche größere Anzahl solcher Ziffern) kann Tariftabellendigitaltoken genannt werden. Er kann ein Teil des zuvor beschriebenen digitalen Tokens sein. Die durch einen geheimen Schlüssel parametrisierte Hashfunktion kann als ein Nachrichtenauthentifizierungscode (MAC) berechnet werden, der in der Finanzdienstleistungsindustrie verbreitet verwendet wird.
Detaillierte Beschreibung der bevorzugten Ausführungsformen
Nunmehr wird Bezug genommen auf 1. Ein Datenzentrum 112 enthält verschiedene, von einem Postdienst oder anderem Träger veröffentlichte Tariftabellen. Die Tariftabellen stellen die Zustellgebühren oder Portogebühren verschiedener Arten von Diensten bereit, abhängig von den verschiedenen Parametern für jede Dienstkategorie. Beispielsweise kann eine Tariftabelle für 1. Klasse Post des Postdiensts der Vereinigten Staaten existieren, der Tarife für 1. Klasse Post bereitstellt, abhängig von verschiedenen mit dem Poststück assoziierten Gewichten. Im Gegensatz dazu können Tarife für ein Paket die Postleitzahl oder den Zonencode als Teil der Tarifparameter enthalten, um die geeignete Gebühr oder Bezahlung für die Zustellung eines solchen Paketes zu bestimmen. Diese Tariftabellen werden wie beispielsweise durch Modem, per Diskette, per Magnet- oder Smartcard oder durch andere geeignete Mittel einer allgemein mit 114 gezeigten Portonachweisvorrichtung kommuniziert. Die Portonachweisvorrichtung kann eine traditionelle elektronische Portomesseinrichtung, wie etwa im US-Patent Nr. 4675841 für mikrocomputerisiertes elektronisches Portomesssystem; US-Patent Nr. 4301507 für elektronisches Postmessgerät mit mehreren Computersystemen; oder andere Arten von Messsystemen für den Nachweis von Porto, wie etwa beispielsweise im US-Patent Nr. 4757537 für ein System zum Detektieren ungebucht zum Drucken in einem Wertdrucksystem oder US-Patent Nr. 4934846 für ein Frankiersystem offenbart, sein. Die Portonachweisvorrichtung (die jedoch ein Messsystem vom Personalcomputertyp sein kann) sollte vorzugsweise die Fähigkeit haben, variable Informationen auf ein Poststück zu drucken, um die benötigte Information zur Verifizierung durch eine verifizierende Einrichtung bereitzustellen, wie nachfolgend erklärt wird.
Die Portonachweisvorrichtung 114 enthält ein Frankiermodul 116. Das Frankiermodul speichert die Tariftabellen, die der Portonachweisvorrichtung aus dem Datencenter 112 übertragen worden sind. Das Frankiermodul 116 ist betrieblich mit einem Steuermodul 118 verbunden, welches eine zentrale Prozessoreinheit und verschiedene andere geeignete elektronische Komponenten und Programmflussvorrichtungen wie etwa programmierbare Nurlesespeicher (PROMs), Wahlfreizugriffsspeicher (RAMs) und nichtflüchtige Speicher (NVMs) zum Speichern verschiedener Post- und Buchhaltungsdaten enthalten würde. Viele Systemarchitekturen sind für die vorliegende Erfindung geeignet. Beispielsweise können die Buchhaltungsschaltung und die NVMs Teil des Frankiermoduls innerhalb des sicheren Gehäuses 116a (manipulationsresistente Vorrichtungsgehäuse) oder innerhalb eines getrennten sicheren Gehäuses sein. Das Gehäuse 114a kann ein sicheres Gehäuse sein oder es können verteilte Verarbeitungssysteme verwendet werden.
Ein Dateneingabemodul 120 wird vorgesehen, um einem Anwender zu gestatten, Informationen in die Portonachweisvorrichtung 114 einzugeben. Diese Daten können beispielsweise Gewicht, Größe, Dienstklasse oder andere, das Poststück betreffende Daten und für die Frankierung und die Versandabschlussprozesse relevante Daten enthalten. Beispiele diese Datenarten, die von einem Benutzer eingegeben werden können, beinhalten Postklasse, Gewicht, Abmessung (Länge, Breite oder Dicke oder alle), gewünschtes Dienstniveau, Arbeitsteilungsniveau (für den Postdienst der Vereinigten Staaten können diese eine Anzeige von notwendiger Präsenz eines gewissen Barcodes, Postleitzahlencodes oder Postleitzahl +4 Codes, Zonencodes oder Vorsortierniveau, etc. enthalten). Noch eine andere Art von Daten, die eingegeben werden könnten, könnten beispielsweise ein grafischer Code für die zu druckende Grafik sein. Es sollte erkannt werden, dass jegliche andere Faktoren, die als relevant vom bestimmten Postdienstträger im Frankierprozess angesehen werden, durch den Anwender über das Dateneingabemodul 120 eingebbar sein können. Die Eingabe kann manuell oder automatisch erfolgen; die Daten können von einem Computersystem stammen, das mit dem Erzeugen oder Verfolgen von Poststücken assoziiert ist, oder sie können aus dem Poststück selbst gescannt oder gemessen werden. Ein Drucker 122, wie etwa ein Thermodrucker oder ein Tintenstrahl- oder Nadel- oder Laserdrucker, ist mit dem Kontrollmodul gekoppelt.
Man sollte erkennen, dass der Frankierprozess als „Mappen" eines Satzes von Eingangsparametern (der Vektor genannt werden kann) in einen Satz von rationalen Zahlen, welcher die Posttarife repräsentiert, angesehen werden kann. Dies kann als das Mappen von f aus einem Satz von Eingangsrektoren {I} in einen Satz von Zahlen R, der die Posttarife repräsentiert, angesehen werden. Als ein Beispiel kann der Eingabevektor (der aus solchen Komponenten wie: a) 2 Unzen Gewichtskategorie, b) Zone drei und c) einem Größenindikator bestehen kann) zu einem eindeutigen und spezifischen Tarif gemappt werden, beispielsweise 43 Cent. Mit Änderung der Vektorkomponenten ändert sich der Tarif. Falls der Größenindikator eliminiert wird und das Poststück beispielsweise keine Übergröße hatte, könnte sich der Tarif beispielsweise auf einen niedrigeren Tarif senken. Ein weiters Beispiel würde ein Einunzenbrief ohne Zonenkategorie, ohne Übergrößenkategorie und ohne Vorsortierung und andere Arbeitsteilung sein, der noch einen anderen Tarif ergeben würde. Somit bestimmen die verschiedenen Vektoren (Frankierparameter), die die Eingabe für die Tariftabelle bilden, den Tarif. Mit Änderung der Vektoren können die Tarife hoch oder herunter gehen, abhängig von der bestimmten beteiligten Tariftabelle. Diese Parameter zur Frankierung variieren von Postdienst zu Postdienst und Träger zu Träger. Die Frankierparameter können jegliche Anzahl von Parametern sein, abhängig von den anwendbaren Frankierkriterien. Diese Frankierungsparameter führen schließlich zu einem einzelnen Preis, der, wie durch die geeignete Tariftabelle bestimmt, bezahlt werden muss. Somit können Eingangs- "Vektoren" als Tariftabelleneingabe verwendet werden, um auf die Tariftabelle in der Portonachweisvorrichtung oder dem Systemfrankiermodul gemappt zu werden, um das tatsächliche auf dem Poststück aufgedruckte Porto festzustellen. Es sollte spezifisch erkannt werden, dass das Feststellen des Postwertes, der auf dem Poststück aufzudrucken ist, die Verwendung mehr als einer Tariftabelle erfordern kann. Beispielsweise kann eine Tariftabelle für Zustellgebühren existieren und eine getrennte Tariftabelle für Poststückversicherungsraten.
Eine andere Erklärung dafür, wie der Frankierprozess als ein Mappen von einem Satz von Eingangsvektoren {I} auf einem Satz von Zahlen R, welche Posttarife repräsentieren, angesehen werden kann, ist folgende:
Ein Eingangsvektor ist ein geordneter Satz numerischer Parameter: I = (a1 a2, ..., an)wobei

a₁.: das Gewicht des Poststücks ist,
a₂.: die Länge des Poststücks ist,
a₃.: die Breite des Poststücks ist,
a₄.: die Dicke des Poststücks ist,
a₅.: das gewünschte Dienstniveau (einschließlich Zustellzeit, spezielle Verarbeitungsanfrage, wie etwa eingeschriebene Post, etc.) ist,
a₆.: ein Postcode der Ausgangsadresse ist,
a₇.: ein Postcode der Zieladresse ist,
a₈. ... a_n: andere relevante Parameter sind, einschließlich dem Niveau an Arbeitsteilung (Vorsortieren, vorab mit Barcode versehend, etc.) sind.

Wiederum bilden die Parameter von I einen erschöpfenden Satz in dem Sinne, dass er alle relevanten Parameter für jegliches Postsystem in jedem Land enthalten kann.
Das Mappen von {I} auf R ist durch den Prozess des Berechnens einer Frankierfunktion definiert. Dies kann entweder eine algorithmische Berechnung oder (der üblichste Fall) ein spezieller Algorithmus sein, der ein Tabellennachschlagung genannt wird, wobei ein Pointer erzeugt wird, der auf einen bestimmten Code in einer Nachschlagstabelle auf den Tarif verweist, basierend auf dem Eingangsvektor.
Die Integrität des Frankierprozesses beinhaltet die Integrität des Berechnens des Tarifs für jedes gegebene Poststück. D.h. beispielsweise die Integrität bei der Anwendung des Berechnungsalgorithmusses wie etwa die Integrität bei Verwenden einer Nachschlagtabelle. Die Integrität oder der Frankierprozess erfordert die Verwendung von sicher korrekten Tarifen.
Bei einer Ausführungsform sind der Berechnungsalgorithmus selbst und/oder die Tariftabelle verschlüsselt, indem ein geheimes oder öffentliches Schlüsselverschlüsselungssystem verwendet wird, das an das Frankiermodul 116 der Postnachweisvorrichtung 114 übertragen wird. Der Entschlüsselungsalgorithmus kann beim Empfangen eines Geheimschlüssels oder einer anderen privaten Information durch das Frankiermodul 116 initiiert werden. Die Übertragung kann über ein Modem in traditioneller Weise, wie Fachleuten bekannt, oder durch einen direkten Telefonkontakt mit einem Anwender und händischer Dateneingabe erreicht werden. Zusätzlich können natürlich alle zuvor erwähnten Kommunikationstechniken zum Übertragen von Daten eingesetzt werden. Im Falle eines einzelnen Systems, das kein Datenzentrum involviert, muss der Entschlüsselungsschlüssel in einem physisch geschützten Speicherort in der Portonachweisvorrichtung (z.B. im Frankiermodul) gespeichert werden. Die Verschlüsselung und Entschlüsselung kann jegliche Anzahl wohlbekannter Verschlüsselungs-/Entschlüsselungstechniken sein, wie etwa der Datenverschlüsselungsstandard DES oder das RSA-System.
Beim Empfangen der Tariftabelle (M) und des Berechnungs(Kalkulations-) Algorithmus und bei ihrer Entschlüsselung kann, falls notwendig, die Verifikation der Tariftabellenauthentizität vorgenommen werden, wie nachfolgend erläutert wird. Der Berechnungsalgorithmus und die Tariftabelle werden in einem geschützten Datenspeicher, wie in einem sicheren nichtflüchtigen Speicher, gespeichert. Sowohl die Tariftabelle als auch der Berechnungsalgorithmus haben eindeutige Identifizierer. Die Identifizierer können in Form eines Codes vorliegen, der auch Daten enthalten kann, die für das Erstellungsdatum und/oder das Enddatum (Zeitraum), nach welchem der Berechnungsalgorithmus und die Tariftabelle nicht mehr länger als gültig angesehen werden können, indikativ sind. Zusätzlich können auch Daten bezüglich der Quelle der Daten selbst (das Datenzentrum, aus dem die Daten kamen) enthalten sein.
Die Aufgabe der Postfrankierung kann in der folgenden Weise bewerkstelligt werden. Zuerst gibt der Betreiber der Portonachweisvorrichtung (z.B. Portomessgerät oder Versand- oder Wiegesystem) die Eingangsparameter I = (a1., a2., ... a_n) des zu verarbeitenden Poststückes ein. Alternativ kann eine automatische Vorrichtung (wie etwa eine Adressiermaschine) automatisch einige oder alle Komponenten des Vektors I messen und sie in das Frankiermodul eingeben; andere Komponenten können vorab gespeichert und als Standardparameter verwendet werden. Jedenfalls führt das Frankiermodul einen Konsistenzcheck des Vektors I durch, um festzustellen, ob der Vektor I als gültige Eingabe für den Frankierprozess dienen kann. Somit werden alle Eingangsparameter für das Frankieren verifiziert, um ihre Gültigkeit oder logische Konsistenz bei gegebenem Frankiersystem, das eingesetzt wird, zu überprüfen. (Beispielsweise würde das Eingeben eines Gewichtes von drei Pfund für ein Poststück der Briefklasse nicht den Konsistenztest für die Vereinigten Staaten bestehen.) Dann ruft die Überwachungsroutine im Frankiermodul den Frankieralgorithmus und die Tariftabelle auf. Dies wird unter Verwendung von Techniken gemacht, die im Stand der Technik bekannt sind, wie etwa Authentifizierungskanäle, z.B. symmetrischer oder asymmetrischer Chiffrenaustausch (siehe beispielsweise ein Buch mit dem Titel Contemporary Cryptology, Herausgeber G. Simmons, IEEE Press, 1992). Nachdem der Tarif R berechnet ist, werden die folgenden Datenelemente zum Postfrankiereinnahmeblockformatierungsmodul weitergeleitet (hier ist der Freimachungsvermerk oder der Ausdruck definiert als ein gedrucktes Bild, das zum Nachweisen der Portobezahlung verwendet wird). Dies kann Tarife enthalten (in den richtigen Währungseinheiten), Identifikation der Tariftabelle, Identifikation des Tarifberechnungsalgorithmusses und den Tarifeingabevektor I = (a1, a2, ... a_n) . Einige oder alle dieser Informationsobjekte werden durch den Drucker 122 auf das Poststück 124 gedruckt, um eine Verifikation zu ermöglichen. Ein Verifikationsansatz, der eine Videoaufzeichnung von Poststücken für die spätere Bearbeitung beinhaltet, ist in der US-Patentanmeldung von Robert A. Cordery und Leon A. Pintsov, Anmelde-Nr. 08/077667, eingereicht am 18. Juni 1993, für Postverarbeitungssystem einschließlich offline Verifikation (Äquivalent zur Europäischen Patentanmeldung Nr. 94304236.6) offenbart.
Das Posteinnahmenblock- (Freimachungsvermerk) Formatierungsmodul kombiniert diese Datenelemente mit anderen (wie etwa beispielsweise Anwendervorrichtungsidentifikation, Datums-/Zeitstempel, Postcode des Ausgangs und des Ziels und möglicherweise andere, wie beispielsweise in den oben identifizierten drei US-Patenten vorgeschlagen oder auch im US-Patent Nr. 4853961 für ein zuverlässiges Dokumentenauthentifizierungssystem, dessen gesamte Offenbarung in Verbindung mit der vorliegenden Beschreibung von Interesse ist. Dies erzeugt ein druckbares digitales Bild des Posteinnahmeblocks.
Der Authentifizierungskanal für Tariftabellenkommunikationen zwischen dem Datenzentrum 112 und der Portonachweisvorrichtung 114 wird nunmehr beschrieben. Der Authentifizierungskanal ist im Stand der Technik bekannt (siehe beispielsweise Contemporary Cryptology von G. Simmons, IEEE Press 1992). Der Authentifizierungskanal beinhaltet zwei miteinander kommunizierende Parteien, die einander authentifizieren möchten, bevor sie irgendwelche sensitiven Nachrichten austauschen. Die Parteien können ein Datenzentrum und eine Portonachweisvorrichtung sein.
Das Datenzentrum würde betrieben werden, um eine Tariftabelle über einen Kommunikationskanal (Telefonleitung oder andere Übertragung) an eine Portonachweisvorrichtung zu senden. Die Geheiminformation (beispielsweise im Falle eines geheimschlüsselbasierten Protokolls ein Geheimschlüssel) ist sowohl in dem Datenzentrum als auch in der Portonachweisvorrichtung gespeichert. Alternativ kennt in einem öffentlichen Schlüsselsystem eine der Parteien (beispielsweise das Datenzentrum) einen Geheimschlüssel und die andere Partei (hier die Portonachweisvorrichtung) kennt einen passenden öffentlichen Schlüssel. Das Protokoll der wechselseitigen Authentifizierung erfordert, dass zuerst das Datenzentrum Informationen im Klartext sendet und dann dieselbe Information mit seinem Geheimschlüssel verschlüsselt. Die Portonachweisvorrichtung entschlüsselt beim Empfang beider Nachrichten die verschlüsselte Nachricht mit ihrem geheimen (oder öffentlichen) Schlüssel und vergleicht sie mit ihrer Klartextversion. Falls eine Passung hergestellt wird, wird der Datensender authentifiziert, da nur der Sender den geheimen Schlüssel kannte. Ähnlich kann die Portonachweisvorrichtung zwei Nachrichten senden, Klartext und verschlüsselte Nachricht, um sich selbst gegenüber dem Datenzentrum zu authentifizieren, falls notwendig. Bei Adressieranwendungen muss dies nicht erforderlich sein.
Nach einer solchen Authentifizierung, falls erwünscht, überträgt das Datenzentrum 112 eine Tariftabelle und/oder einen Berechnungsalgorithmus. Jedoch erfordert diese Übertragung eine Datenintegrität. D.h., dass die Tariftabelle und/oder der Berechnungsalgorithmus unmodifiziert eintreffen sollten. Eine Versicherung wird benötigt, damit die Tariftabelle und/oder der Berechnungsalgorithmus exakt wie gesendet eintrifft und dass sie/er nicht absichtlich oder unabsichtlich korrumpiert worden ist. Um dies zu erreichen, erzeugt das Datenzentrum 112 zuerst einen Hashwert (Nachrichtenzusammenfassung) aller oder eines bestimmten spezifizierten Bereiches der in der Tariftabelle und/oder dem zu sendenden Berechnungsalgorithmus enthaltenden Daten. Die Tariftabelle und/oder der Berechnungsalgorithmus können dann als eine ASCII- oder eine andere Art von Datei gesendet werden. Die auf diese Daten angewendete Hashfunktion erzeugt einen Hashwert (Nachrichtenzusammenfassung), der für den Inhalt der Tariftabelle und/oder des Kalkulationsalgorithmus indikativ ist und dennoch beachtlich im Datenumfang reduziert ist. Wie hier verwendet, ist eine Hashfunktion eine bekannte Funktion, die zumindest zwei Eigenschaften besitzt. Es ist rechnerisch schwierig, (i) eine Nachricht entsprechend einer gegebenen Nachrichtenzusammenfassung wiederzugewinnen und (ii) zwei verschiedene Nachrichten zu finden, die denselben Hashwert (Nachrichtenzusammenfassung) erzeugen. Einige bekannte Hashfunktionen sind im amerikanischen Nationalstandard X9.30-1993 Public Key Cryptography Using Irreversible Algorithms for the Financial Services Industry, Part 2:: The Secure Hash Algorithm (SHA) beschrieben. Es sollte angemerkt werden, dass es andere öffentlich verfügbare Hashfunktionen gibt, die für den Zweck der vorliegenden Erfindung implementiert werden können. Wie z.B. eine formale Definition, die in Contemporary Cryptology von G. Simmons, IEEE Press, 1992 auf Seite 345 dargestellt wird und noch eine andere Definition ist, dass eine Hashfunktion h eine Funktion ist, welche die folgenden Eigenschaften erfüllt:

1) Es ist in der Lage, eine Datei F beliebiger Länge in eine Festlängenzusammenfassung h(F) zu konvertieren;
2) H muss „Einbahnstraße" sein, d.h. gegeben ein willkürlicher Wert y in der Domäne von h darf es rechnerisch nicht machbar sein, die Datei F so zu finden, dass h(F) = y; und
3) h muss „kollisionsfrei" sein, d.h. es darf kalkulatorisch nicht durchführbar sein, zwei unterschiedliche Dateien F₁ und F₂ zu konstruieren, sodass h(F₁) = h(F₂).

Da die an die Protonachweisvorrichtung 112 übertragenen Daten (die Tariftabelle und/oder der Berechnungsalgorithmus) öffentlich zugängliche Information ist, ist es nicht notwendig, die Information zu verschlüsseln und unautorisierte Entschlüsselung zu verhindern, da es nicht wichtig ist, die Geheimhaltung der Information selbst zu schützen. Bei Berechnung des Hashwertes (Nachrichtenzusammenfassung) der Tariftabelle und/oder des Berechnungsalgorithmusses verschlüsselt das Datenzentrum den Hashwert (Nachrichtenzusammenfassung) mit seinem Geheimschlüssel (sowohl für öffentliche als auch Geheimschlüsselsysteme) und sendet die verschlüsselte Nachricht an die Portonachweisvorrichtung 114. Die Portonachweisvorrichtung 114 empfängt den verschlüsselten Hashwert („Signatur") und entschlüsselt ihn mit seinem geheimen oder öffentlichen Schlüssel, je nachdem, wodurch der Klartexthashwert (Nachrichtenzusammenfassung) erhalten wird. Die Portonachweisvorrichtung 114 berechnet dann unabhängig den Hashwert (Nachrichtenzusammenfassung) der empfangenen Tariftabelle und/oder des Berechnungsalgorithmus unter Verwendung derselben Hashfunktion. Der eingesetzte Hashalgorithmus kann in der Public Domain liegen; jedoch liegt der Algorithmus sowohl im Datenzentrum 112 als auch in der Portonachweisvorrichtung 114. Falls die zwei vom Datenzentrum empfangenen Hashwerte und der in der Portonachweisvorrichtung berechnete Hashwert zueinander passen, wird die Integrität der im Portonachweisvorrichtungsfrankiermodul 116 empfangenen und gespeicherten Tariftabelle sichergestellt. So wird die Integrität der gespeicherten Tariftabelle und/oder des Berechnungsalgorithmus verifiziert.
Beide Schritte (Authentifizierung des Datenzentrums und Verifizieren der Integrität der empfangenen Tariftabelle und/oder des Berechnungsalgorithmus) können kombiniert werden. Dafür sendet das Datenzentrum 112 einfach zwei Nachrichten an die Portonachweisvorrichtung 114: die Tariftabelle und/oder den Berechnungsalgorithmus im Klartext und die Tariftabelle und/oder den Berechnungsalgorithmus mit Geheimschlüssel verschlüsselt. Somit kann die Authentizität des Senders und die Verifikation der Nachricht in einem Schritt erreicht werden.
Nunmehr folgt eine Beschreibung, im Zusammenhang mit den 2, 3 und 4, der Aktivitäten der Tariftabelle/des Berechnungsalgorithmus im Datenzentrum 112 und in der Portonachweisvorrichtung 114.
Nunmehr wird Bezug genommen auf 2. Das Datenzentrum 112 sendet in 214 die Tariftabelle und/oder den Berechnungsalgorithmus an die Portonachweisvorrichtung 114. Danach berechnet bei 216 das Datenzentrum 112 den Hashwert (Nachrichtenzusammenfassung) der Tariftabelle. Der Hashwert wird dann bei 218 durch das Datenzentrum 112 verschlüsselt. Der verschlüsselte Hashwert wird bei 220 an die Portonachweisvorrichtung 114 übertragen.
Nunmehr wird Bezug genommen auf 3. Die Tariftabelle wird von der Portonachweisvorrichtung 114 bei 322 empfangen. Die Portonachweisvorrichtung 114 empfängt bei 324 auch den verschlüsselten Hashwert der Tariftabelle. Die Portonachweisvorrichtung 114 berechnet dann den Hashwert (Nachrichtenzusammenfassung) der empfangenen Tariftabelle und erhält einen ersten Hashwert bei 326. Die Portonachweisvorrichtung 114 entschlüsselt bei 328 den empfangenen verschlüsselten Hashwert der Tariftabelle. Dies stellt einen zweiten Hashwert der Portonachweisvorrichtung 114 bereit.
Bei 330 wird ein Vergleich des ersten Hashwertes, der von der Portonachweisvorrichtung 114 berechnet worden ist, und des zweiten Hashwertes, der durch Entschlüsselung erhalten worden ist, durchgeführt. Falls bei 322 eine Passung gemacht wird, schreitet der Prozess bei 334 fort und kann schließlich falls erforderlich, zum Drucken des Posteinnahmeblocks führen. Dies würde auftreten, wenn alle anderen Bedingungen in der Portonachweisvorrichtung korrekt sind, wie beispielsweise das geeignete Geldmittel für die Portobedruckung verfügbar ist. Falls bei 332 keine Passung hergestellt wird, wird der Prozess bei 336 gestoppt, da die Integrität der empfangenen Frankiertabelle und/oder des Berechnungsalgorithmus nicht verifiziert worden ist. Die Portonachweisvorrichtung 114 kann am weiteren Betrieb gehindert werden, falls gewünscht, was physische Inspektion und Wartung erfordert. Alternativ kann dem System gestattet werden, zu arbeiten, aber es wird ein Fehler-Flag in der Portonachweisvorrichtung 114 gesetzt und vom Drucker 122 zur Detektion bei einer Poststückverifikationseinrichtung ausgedruckt. Mehrere Versuche, die Integrität der empfangenen Tariftabelle und/oder des Berechnungsalgorithmus zu verifizieren, können gestattet sein, bevor die Portonachweisvorrichtung verriegelt wird.
Der Wert der Hashfunktion (oder eines Teils desselben) kann als eine eindeutige Tariftabellenidentifikationsnummer dienen. Diese eindeutige Identifikationsnummer kann mit der Gültigkeitsdauer der Tariftabelle in einer 1:1-Beziehung assoziiert sein. Beispielsweise stellt die Frankierautorität (der Postdienst oder ein anderer Träger) eine Identifikation für jede neue Tariftabelle bereit und erzeugt eine Tabelle, in der beide Informationen bezüglich der Tariftabellenidentifikation und entsprechenden Gültigkeitsperioden gespeichert sind. Ein einfaches Tabellennachschlagen gestattet der Verifizierungseinrichtung, dem Sender oder einer dritten Partei, den Gültigkeitszeitraum wiederzugewinnen. Dies ist für den Portobezahlverifikationsprozess nützlich. In diesem Fall kann unter Verwendung der eindeutigen Identifikationsnummer (wie z.B. einen Hashwert) der Verifikationsdienst die spezifische verwendete Post- oder Trägerfrankiertabelle bestimmen und damit bestimmen, ob die vom Sender beim Berechnen des Poststücktarifs verwendete Frankiertabelle und somit der auf dem Poststück aufgedruckte Portowert innerhalb der Gültigkeitsperiode lag. Darüber hinaus sollte explizit erkannt werden, dass es wünschenswert sein kann, den gedruckten Hashwert zu verschlüsseln oder den Hashwert durch einen Geheimschlüssel zu parametrisieren. Somit unterliegt der gedruckte verschlüsselte oder parametrisierte Wert der Hashfunktion auf dem Poststück keinen Attacken und kann selbst verifiziert werden. Diese Technik des Aufdruckens eines verschlüsselten oder parametrisierten Hashwertes auf das Poststück kann mit jedem der verschiedenen Aspekte und Ausführungsformen der vorliegenden Erfindung eingesetzt werden.
Verbesserte verifizierbare Integrität der Tarifberechnung selbst wird ebenfalls vom vorliegenden System bereitgestellt. Es gibt eine Reihe von Wegen, auf denen das System Tarife mit verifizierbarer Integrität berechnen kann. Abhängig von der bestimmten Implementation kann es verschiedene Systemanforderungen geben, beispielsweise hinsichtlich der Prozessorgeschwindigkeit und der Speicherfähigkeiten der RAMs und NVMs.
Ein Weg, diese Verbesserung der Integrität des Postfrankierprozesses zu erzielen, ist es, die Tariftabelle (wie zuvor beschrieben) zusammen mit ihrer Identifikation in den nichtflüchtigen Speicher des Frankiermoduls 116 zu laden. Das System erfordert Zugriff auf und Verwendung der Frankiertabelle und/oder des Berechnungsalgorithmus, bevor das Drucken des Posteinnahmeblocks (Meterfrankierungshinweis) freigegeben wird. Dies kann beispielsweise durch Verhindern des Zugriffs auf das Posteinnahmeblockformatierungssoftwaremodul erzielt werden, bis die Frankierungsvektoren eingegeben worden sind und der Frankierprozess abgeschlossen ist. Eine andere Weise, in der dies erreicht werden kann, ist es, die Tariftabelle und/oder den Berechnungsalgorithmus zusammen mit deren eindeutiger Identifikation in den nichtflüchtigen Speicher des Frankiermoduls 116 zu laden. Das zentrale Steuerprogramm der Portonachweisvorrichtung 114 arbeitet so, dass nur Zugriff auf diesen nichtflüchtigen Speicher und die geeigneten Frankierprozessspeicherstellen darin das Drucken des Posteinnahmeblocks (Messfrankierungshinweis) auslösen können.
Der Postwert kann somit nicht gedruckt werden, ohne Zugriff auf die Tariftabelle und/oder den Berechnungsalgorithmus.
Eine andere Weise, eine verbesserte (verifizierbare) Integrität des Postfrankierprozesses bereitzustellen, ist, dass beim Eingeben erforderlicher Frankiereingabeparameter die Postnachweisvorrichtung 114 eine Steuerroutine aufruft, die einen Pointer auf die Tariftabelle für ein gegebenes Poststück berechnet. Dies kann durch Formatieren der Tariftabelle zuerst mit einer mehreintragungsnumerischen Tabelle oder einem multidimensionalen Feld mit einer Anzahl von Dimensionen gleich der Anzahl von Eingabeparametern gemacht werden. Der Pointer kann eine verknüpfte Kette von Zahlen oder Symbolen sein, die in Abschnitte partitioniert ist, die für die richtige Stelle im Feld indikativ sind. Die Anzahl von Abschnitten ist gleich der Anzahl von Eingabeparametern.
Falls beispielsweise die Tariftabelle nur drei Gewichte, 1, 2 und 3 Unzen, zwei Dimensionsindikatoren (wobei 0 die Indikation der regulären Größe und 1 indikativ für ein übergroßes Poststück ist) und zwei Zustelldiensteklassen, 0 (Zustellung innerhalb von drei Tagen ab dem Moment der Aufgabe) und 1 (Zustellung innerhalb von sechs Tagen) aufweist, kann der Pointer die Zahl 201 sein. Das würde bedeuten, dass ein 2 Unzen wiegendes, reguläre Größe aufweisendes und zur Zustellung innerhalb von sechs Tagen geplantes Poststück frankiert werden muss. Der Pointer zeigt nur auf einen entsprechenden Tarif in der Tabelle für eine solche Frankierung, z.B. 43 Cent. Dieser Tarif kann gewonnen werden, nachdem ein Hashwert für die gesamte Tabelle oder ihren spezifizierten Bereich berechnet worden ist und mit dem Hashwert (Nachrichtenzusammenfassung) für die Tabelle oder ihren spezifizierten Bereich, wie vom Datenzentrum 112 empfangen und in dem nichtflüchtigen Speicher der Portonachweisvorrichtung gespeichert verglichen worden ist. Dieser Ansatz reduziert die Größe des erforderlichen nichtflüchtigen Speichers, der benötigt wird, um Tariftabelleninformationen zu speichern. Falls die Hashwerte (Nachrichtenzusammenfassung) zueinander passen, wird die Verifikation festgestellt, was bedeutet, dass eine unkorrumpierte Tariftabelle für den Frankierprozess verwendet worden ist. Der Tarifwert zusammen mit der Tariftabellenidentifikation wird ermittelt und an eine Posteinnahmeblockformatierungsroutine zur Formatierung der Daten zum Ausdrucken gesendet.
Das Flussdiagramm in 4 zeigt die Aktivitäten in der Portonachweisvorrichtung 114 zum Frankieren eines Poststückes und Aufdrucken der richtigen Portozahlung auf das Poststück 124.
Nunmehr wird Bezug genommen auf 4. Ein Anwender gibt bei 438 Frankierparameter in die Portonachweisvorrichtung 114 ein. Die Portonachweisvorrichtung 114 verifiziert bei 440 die Konsistenz der Poststückparameter. Eine Verifikationsnachricht wird bei 442 gesendet. Falls bei 443 Konsistenz nicht festgestellt worden ist, wird das Poststück bei 445 zurückgewiesen. Falls bei 443 Konsistenz festgestellt worden ist, wird bei 444 der Tarif berechnet.
Als Teil des Berechnens des Tarifs werden bei 446 die Tariftabelle und der Tariftabellenberechnungs- (Kalkulations-Algorithmen authentifiziert. Eine Authentifizierungsnachricht wird bei 448 gesendet. Falls bei 450 eine Authentifizierung nicht festgestellt worden ist, wird bei 452 die Tariftabelle zurückgewiesen und es wird dem Prozess nicht gestattet, fortzuschreiten. Somit wird die oben erwähnte Tarifberechnung nicht vorkommen. Falls die Authentizität der Tariftabelle bei 450 festgestellt worden ist, wird die Berechnung bei 444 basierend auf der authentifizierten Tariftabelle und den verifizierten Poststückparametern ermöglicht: Der berechnete Tarif wird bei 447 zum Portodruckformatierungsmodul gesendet.
Nunmehr wird Bezug genommen auf 5. Die Aktivitäten innerhalb der Portonachweisvorrichtung 114, die sich auf das Authentifizieren der Tariftabelle wie in 4 gezeigt beziehen, Block 444 involviert eine Reihe von Schritten. Anfangs wird nach Empfangen der Verifikationsnachricht bezüglich der Konsistenz der Poststückparameter ein Pointer auf die Tariftabelle berechnet, basierend auf den Parametern, bei 544. Der Hashwert (Nachrichtenzusammenfassung) der Tariftabelle wird bei 546 berechnet. Der berechnete Hashwert (Nachrichtenzusammenfassung) der Tariftabelle wird mit dem Hashwert (Nachrichtenzusammenfassung) der im nichtflüchtigen Speicher der Portonachweisvorrichtung gespeicherten Tariftabelle bei 548 verglichen. Falls die Hashwerte bei 548 nicht zueinander passen, wird der Prozess bei 549 gestoppt und es können verschiedene Alternativen implementiert werden, wie zuvor angemerkt, einschließlich des Verriegelns der Portonachweisvorrichtung, des Gestattens von Führungsversuchen oder des Einstellens eines Flags in dem NVM der Portonachweisvorrichtung.
Falls bei 548 die Hashwerte (Nachrichtenzusammenfassung) zueinander passen, wird Zugriff auf die Tariftabelle selbst bei 550 freigegeben und der involvierte Tarif wird erhalten. Der Tarif wird als Teil des Einnahmeblocks formatiert, was es der Portonachweisvorrichtung gestattet, bei 552 zum Drucken vorbereitet zu werden. Der Drucker der Portonachweisvorrichtung 122 wird dann zum Drucken bei 554 freigegeben und druckt bei 556. Die Formatierung des Posteinnahmeblocks beinhaltet den Hashwert (Nachrichtenzusammenfassung) wie auch den Tarif, um eine spätere Identifizierung zu ermöglichen. Der gesamte oder ein Teil der im Hashwert enthaltenen Informationen kann verwendet werden, um die Authentizität, Gültigkeit und Aktualität der Tariftabelle zu bestimmen. Darüber hinaus werden die Frankiervektoren (Frankierparameter) ebenfalls gedruckt. Wie zuvor angemerkt, kann der Hashwert verschlüsselt oder parametrisiert durch einen Geheimschlüssel sein. Dies verhindert beispielsweise die Verwendung von falschen Frankiervektoren oder einer Tariftabelle und der willkürlichen Änderung des Hashwertes oder eines Teils desselben für die richtigen Frankiervektoren und die richtige Tariftabelle.
Nunmehr wird Bezug genommen auf 6, die ein repräsentatives Poststück mit einem Beispiel der Art von Information ist, die auf das Poststück 124 gedruckt werden kann. Es sollte erkannt werden, dass die gedruckte Information und ihre Organisation eine Auswahl darstellen und an unterschiedlichen Stellen auf dem Umschlagbereich oder Band gedruckt werden können; darüber hinaus kann die auf ein Poststück bezogene Information mit einem Poststück und/oder einem Senderidentifiziercode zur späteren Bearbeitung und Analyse gespeichert werden. Die gespeicherten Daten für spätere Analysen können für einen einzelnen Sender oder eine Gruppe von Sendern sein. Die Daten stellen Informationen bezüglich des Adressiermusters bereit und Informationen bezüglich der Frankiererfahrung für irgendeinen solchen Sender oder eine Gruppe von Sendern.
Der formatierte, gedruckte Einnahmeblock enthält im vorliegenden Beispiel eine Portonachweisvorrichtungsidentifikationsnummer 612, einen Stadtkreis 614 und einen Portobetrag und geeignetes Frankiernachweisvermerkdesign, das Grafiken enthalten kann, die sich mit dem Wert und dem Betrag 616 ändern könnten.
Am Fuß des Portodruckblocks 600 wird eine Sequenz von Informationssegmenten gedruckt, die einen Hashwert oder einen Teil desselben beinhalten (Nachrichtenzusammenfassung der Tariftabelle und/oder des Berechnungsalgorithmus 618). Wie angemerkt, kann dieser Hashwert verschlüsselt oder parametrisiert sein. Dieser Wert stellt die Identifikation der Tariftabelle selbst und/oder des Berechnungsalgorithmus bereit, wie zuvor beschrieben. Die Gewichtsklassifizierung des Poststücks wird bei 620 gedruckt und das gewünschte Dienstniveau wird bei 622 gedruckt (Eintagzustellung, Dreitagezustellung, Sechstagezustellung etc.). Die Dienstklasse, beispielsweise eingeschriebene Post, wird bei 624 gedruckt und ein Flag für Übermaß-Poststück wird bei 626 gedruckt. Ein Arbeitsteilungsniveau wie etwa Vorsortierung, Barcode, etc. wird bei 628 gedruckt.
Um ein rasches Scannen der gedruckten Informationen zu erleichtern, wird eine Barcoderepräsentation einiger oder aller der zuvor erwähnten Informationen bei 630 gedruckt.
Es sollte klar erkannt werden, dass die gedruckte Information, ihr Ort, die verwendeten Schriftschnitte, die Barcodetypen und Stile alle eine Frage der Designentscheidung sind und modifiziert werden können, um die Bedürfnisse und Erfordernisse des bestimmten Postdienstes oder privaten Trägers oder Senders, der beteiligt ist, zu erfüllen, abhängig von den für diese Dinge etablierten Konventionen. Darüber hinaus ist das Problem des Prüfens von Speicherungen und Auslesungen aus einem Speicher wie etwa einem RAM in der Technik bekannt (siehe beispielsweise „Checking the correctness of memories", von M. Blum et al., Proceedings of the IEEE symposium foundations of computer science, Seiten 90-99, 1991).
Das Folgende gibt ein Beispiel einiger der Aspekte der oben beschriebenen Systeme:
Das Beispiel verwendet die in Contemporary Cryptology, Herausgeber G. Simmons, IEEE Press, 1992, auf S. 392 beschriebene Technik.
Die ersten 64 Bit der Tariftabelle (oder ihr geeigneter Teil) werden unter Verwendung von DES und einem Geheimschlüssel block-verschlüsselt. Dann werden die nächsten 64 Bits zum gerade erzeugten Chiffre hinzuaddiert. Das Ergebnis wird, wieder denselben Schlüssel verwendend, block-verschlüsselt, was neue 64 Bits Chiffre erzeugt. Die Prozedur wird fortgesetzt, bis alle 64 Bitblöcke der Tariftabelle verarbeitet worden sind. Die Technik, den letzten Block, (der typischer Weise weniger als 64 Bits hat) mit Nullen aufzufüllen, wird angewendet. Man erwäge das folgende Beispiel. Ein Teil der aktuellen Tariftabelle des Postdienstes der Vereinigten Staaten für Briefpost mit Gewicht unter einer Unze, kann als eine Kette von Zahlen repräsentiert werden, nämlich: RT = 110290 120267 130248 140230 150242 160239 170233.
Hier repräsentiert jedes Sechsziffernsegment einen Tarif, der eine Funktion von Gewicht, Verschlüsselung, Vorsortierung und Vorbarcodeattributen ist. Es gibt insgesamt sieben mögliche Kombinationen dieser Attribute, d.h. aktuell könnte die Post mit drei oder fünf Zifferniveaus vorsortiert werden, vorbarcodiert oder zip+4-nummerisch kodiert werden. Beispielsweise impliziert die Kombinationsnummer 6, dass die Post auf Dreiziffernniveau vorsortiert und durch den Sender vorgebarcodet ist. Diese Art von Post mit weniger als eine Unze Gewicht sollte bei 0,239 Dollar pro Stück frankiert werden. Dies entspricht dem Segment der Tariftabelle (160239), wobei die erste Stelle 1 indikativ für das Gewicht unter einer Unze ist, die zweite Stelle 6 indikativ für die oben erläuterte Kombination von Codierung, Vorsortierung und Vorbarcodeattributen ist und die Ziffern 0239 den Portotarif selbst repräsentieren.
Ein sicherer Hashwert der Tariftabelle RT wird erzeugt. Siehe Anhang A mit den tatsächlichen Berechnungen. Der Hashwert der Tariftabelle ist
6825965425726402962.
Die letzten zwei Ziffern 62 des Hashwertes repräsentieren den digitalen Token der Tariftabelle.
Das oben beschriebene Beispiel gestattet es, zuverlässig jeden Versuch zu detektieren, einen in der Tariftabelle gespeicherten korrekten Tarif durch einen niedrigeren Wert zu ersetzen. Somit kann die willentliche Änderung der im Beispiel C geschriebenen Tariftabelle detektiert werden und eine gedruckte Evidenz einer solchen Änderung kann der Verifikationspartei bereitgestellt werden. Es sollte erkannt werden, dass andere Verschlüsselungstechniken zur Verwendung mit der vorliegenden Erfindung geeignet sind. Ein solches Beispiel ist in einer Veröffentlichung von M. Blum et al. beschrieben, „Checking the correctness of memory", proceedings of 31. symposium on foundations of computer since, October 1990.
Es sollte erkannt werden, dass die oben beschriebenen Systeme es einem Postdienst oder einer anderen Partei ermöglichen, den Frankierprozess aus der auf dem Poststück aufgedruckten Information zu verifizieren, zu authentifizieren und zu reproduzieren. Dies gestattet die Überwachung, um sicherzustellen, dass der zum Feststellen des Tarifs verwendete Frankierprozess akkurat und korrekt implementiert war. Dies beinhaltet, dass die korrekte Tariftabelle verwendet wurde, konsistente Poststückparameter oder Vektoren wie gedruckt verwendet wurden, der korrekte Berechnungsalgorithmus verwendet wurde und der korrekte Portowert auf das Poststück gedruckt wurde. Der Hashwert (Nachrichtenzusammenfassung) verifiziert, dass die korrekte Tariftabelle/der korrekte Berechnungsalgorithmus für die Frankierung verwendet wurde und bei verschiedenen Vektoren (Parameter) wie etwa dem gewünschten Dienst, dem Gewicht, etc. die auch auf das Poststück gedruckt sind, kann der Frankierprozess rekonstruiert werden. Darüber hinaus führt der gesamte Hashwert 682596542572640962 (der mit einem Geheimschlüssel parametrisiert worden ist) dazu, dass das digitale Token 62 ist. Dieses digitale Token kann auf das Poststück zu Verifikationszwecken gedruckt werden. Das vorliegende System ermöglicht somit eine Überprüfung jeden Poststücks. Die Überprüfung kann nicht nur feststellen, ob das Poststück korrekt oder inkorrekt frankiert war, sondern auch den Grund, warum ein Poststück inkorrekt frankiert war, falls dies der Fall ist. Dies dient als exzellenter Detektor und damit Abschreckmechanismus, weil, falls ein Sender oder eine Gruppe von Sender konsistent die Post fehlfrankieren (beispielsweise konsistent unter Verwendung eines falschen Gewichts oder Verwendung der inkorrekten Tariftabelle/Berechnungsalgorithmus) dies detektiert werden kann. Die Anzahl und Natur der detektierten Versager für den Sender oder die Gruppe von Sendern, die Poststücke korrekt zu frankieren, kann gespeichert werden. Der Postdienst kann dann eine geeignete Maßnahme ergreifen, basierend auf spezifischen Daten über Ausmaß und Grund für die Fehlfrankierung durch einen Sender oder eine Gruppe von Sendern.
Das vorliegende System kann zu einem Teil des Messwiederaufladungsprozesses gemacht werden, bei dem zusätzliche Beträge in ein Messsystem eingegeben werden. Dies dient dazu, das fortgesetzte Bedrucken von Porto zu ermöglichen, wenn die Beträge in der Portonachweisvorrichtung 114 erschöpft sind. Die Verifikation, dass eine aktuelle Tariftabelle oder Tariftabellen in dem Messsystem installiert sind, kann ein Erfordernis sein, um das Wiederaufladen der Portonachweisvorrichtung 114 mit zusätzlichen Gebühren freizugeben. Die Portonachweisvorrichtung kann daher nur einen begrenzten Betrag an Porto oder anderem Wert drucken, basierend auf inkorrekter Frankierung oder veralteten Frankiertabellen. Dieser Betrag ist der Betrag an Geld innerhalb einer Portonachweisvorrichtung zwischen Wiederaufladvorgängen. Dies beschränkt das Risiko eines Postdienstes aufgrund von Frankierung mit falschen Tariftabellen auf die Menge an Geld, die derzeit im Messsystem enthalten ist.
Das Herunterladen von aktuellen Tariftabellen kann als Teil des Wiederaufladvorgangs gestaltet sein und das Herunterladen des Hashwertes der aktuellen Tariftabelle einsetzen. Der Hashwert würde Teil der anderen Informationen sein, die für Gebührenwiederaufladetransaktion eindeutig sind (oder anderen Gebührentransaktionen wie beispielsweise für aktuelle Buchungsmessgeräte, das Berichten von Gebühren, die durch die Portonachweisvorrichtung seit der letzten Überprüfung gedruckt worden sind) und kann verschlüsselt werden, um Manipulation zu verhindern. Die Portonachweisvorrichtung 114 würde die Tariftabelle unter Verwendung des neuen Hashwertes erneut als Teil des Gebührenrücksetzprozesses verifizieren. Falls der neue Hashwert nicht zu dem aus der vorliegenden Tariftabelle berechneten Hashwert passt, würde kein Portodrucken gestattet werden. In einer alternativen Anordnung würde die Portonachweisvorrichtung 114 den Hashwert in der aktuellen Tariftabelle berechnen und den vorrichtungsaktuellen Tariftabellenhashwert auf das Datenzentrum heraufladen, bevor irgendeine Gebührenwiederaufladung oder anderen Gebührentransaktion autorisiert wird. Falls der Hashwert aus der Portonachweisvorrichtung nicht zum im Datenzentrum berechneten Hashwert passt, würde keine zusätzliche Gebührenwiederaufladung (oder die Gebührentransaktion) durch das Datenzentrum autorisiert werden. Bei beiden Anordnungen kann die Gebührennachweisvorrichtung 114 eine Nachricht an den Anwender anzeigen, die anzeigt, dass die Aktualisierung der Tariftabelle notwendig ist.
Es sollte erkannt werden, dass, eher als auf das Erfordernis der Aktualisierung der Tariftabelle oder der Wiederverifikation der Tariftabelle als Teil einer Wiederaufladung oder anderer Gebührentransaktionen das Erfordernis auf einer in der Portonachweisvorrichtung befindlichen Kalenderuhr basieren kann. Somit kann nach einem vorgegebenen Zeitraum, beispielsweise 24 Stunden, 48 Stunden, 72 Stunden oder jedem anderen ausgewählten Zeitraum, das Messgerät inoperativ werden, bis zu einer Reverifikation, dass aktuelle Tariftabellen verwendet werden. Bei noch einer anderen Anordnung kann diese Wiederverifikation an einem Punkt erfolgen, wo ein bestimmter Wert an Porto gedruckt worden ist oder nach einer gewissen Anzahl von Einschalt-, Ausschaltzyklen.
Indem das Heraufladen oder die Wiederberechnung von Tariftabellen verlangt wird, ist es auch möglich zu bestimmen, ob die innerhalb der Portonachweisvorrichtung befindliche Tariftabelle manipuliert worden ist, aufgrund des Fehlens des richtigen Hashwertes für entweder eine aktuelle Tariftabelle oder eine zuvor gültige Tariftabelle. In solch einem Fall kann der Betrieb des Messgerätes entweder durch Versagen der Freigabe der Wiederaufladung des Messgerätes oder durch Herunterladen eines Datencodes, der den Betrieb des Messgerätes hemmt, gehemmt werden.
Es sollte weiter verstanden werden, dass die oben in Verbindung mit dem Sicherstellen der Integrität der in die Portonachweisvorrichtung 114 geladenen Daten beschriebene Anordnung Adressierdaten sein kann, die andere Daten sind, innerhalb der Portonachweisvorrichtung 114 oder von Peripheriegeräten der Portonachweisvorrichtung. Falls beispielsweise eine Adressierliste in die Portonachweisvorrichtung durch die oben beschriebene Technik herunter geladen wird, können während des Vorgangs die Hashwerte berechnet werden, um sicherzustellen, dass die Daten während des Ladeprozesses, oder die Verwendung der Daten während des Betriebs der Portonachweisvorrichtung, nicht korrumpiert wurden. Die Hashwerte können jedes Mal erzeugt werden, wenn eine spezifizierte Anzahl von Transaktionen (jeglichen Typs) auftritt. Die Hashwerte würden in der Portonachweisvorrichtung oder im Datenzentrum oder einer anderen Datenverwahrung gespeichert werden. Ein Postdienst oder ein Träger oder eine andere Partei würde dadurch in der Lage sein, die Korruption der Daten durch Abfragen der Portonachweisvorrichtung oder des Peripheriegerätes zu detektieren und festzustellen. Die Abfolge der gespeicherten Hashwerte würde eine Bestimmung dahingehend erlauben, wann und wo eine Manipulation auftrat, abhängig von der Natur der verwendeten Parameter zur Erzeugung des Hashwertes.
Während die vorliegende Erfindung unter Bezugnahme auf die hier beschriebenen spezifischen Ausführungsformen beschrieben worden ist, wird ersichtlich sein, dass Variationen und Modifikationen daran innerhalb des Schutzumfanges der anhängigen Ansprüche gemacht werden können.
Anhang A:

RT = 110290 120267 130248 140230 150242 160239 170233

1. Wandle RT in Binärwert RTB um RTB = 0001 0100 0100 0001 1101 0001 0000 1000 0100 1110 1101 1100 1101 0101 0010 1110 1001 1011 1000 0010 1100 0100 1000 1100 0010 0101 0011 1000 1010 1010 1111 1101 0010 1011 1001
2. Nimm erste 64 Bits von RTB (B1) und verschlüssele sie mit dem DES-Schlüssel K = 1234577777. Ergebnis ist A1 Die linksten 32 Bits der Ausgabe = 3435858444 (CCCB0A0CH) Die 32 rechtesten Bits der Ausgabe = 4259691368 (FDE5BB68H)
3. Nimm nächste 64 Bit von RTB (B2) und berechne A1 XOR B2 A1 = CCCB 0A0C FDE5 BB68 (hex) B2 = 1D10 84ED CD52 E8B9 (hex) A1 XOR B2 = D1DB 8EE1 30B7 52D0 (hex) (A1 XOR B2) 2 = 3.520.827.105 (dezimal, linkeste 32 Bits) (A1 XOR B2) 1 = 817.320.656 (dezimal, rechteste 32 Bits)
4. Verschlüssele A1 XOR B2 mit DES-Schlüssel K= 1234577777. Ergebnis ist A2. Linkeste 32 Bitausgabe = 3323549928 [C61958E8H] Rechteste 32 Bitausgabe = 705585280 [2A0E6080H] A2 = C619 58E8 2A0E 6080 (hex)
5. Nimm verbleibende Bits von RTB (B3) und berechne A3 = A2 XOR B3 A2 = C619 58E8 2A0E 6080 (hex) B3 = 0000 0000 0000 0144 (hex) A3 = C619 58E8 2A0E 61C4 (A2 XOR B3) 2 = 3.323.549.928 (dezimal, linkeste 32 Bits) (A2 XOR B1) 1 = 705.585.604 (dezimal, rechteste 32 Bits)
6. Verschlüssele A3 mit DES-Schlüssel K= 12345777. Das Ergebnis ist: Linkeste 32 Bit Ausgabe = 1589293923 [5EEAB363H] Rechteste 32 Bit Ausgabe = 2709860754 [A1853192H] Ergebnis = 5EAA B363 A185 3192 (hex) = 6,825,965,425,726,402,962 (dezimal)

Claims

Postfrankiersystem, umfassend: eine Postfrankiervorrichtung (114) mit einem nichtflüchtigen Speichermittel (116); Mittel (112) zum Übertragen einer Posttariftabelle an die Postfrankiervorrichtung, so dass die Posttariftabelle in dem nicht-flüchtigen Speichermittel (116) der Frankiervorrichtung gespeichert ist; gekennzeichnet durch Mittel (112) zum Übertragen eines Codes an die Postfrankiervorrichtung so, dass der Code in dem nichtflüchtigen Speichermittel (116) der Frankiervorrichtung gespeichert ist, wobei der Code auf Informationen aus der Tariftabelle basiert; Mittel (118) in der Postfrankiervorrichtung (114) zum Erzeugen eines Codes basierend auf Informationen aus der im nicht-flüchtigen Speichermittel (116) der Frankiervorrichtung gespeicherten, empfangenen Tariftabelle; und Mittel (118) zum Vergleichen des empfangenen Codes mit dem erzeugten Code.
Postfrankiersystem gemäß Anspruch 1, wobei der übertragene Code ein verschlüsselter Code ist und Mittel in der Frankiervorrichtung (114) zum Entschüsseln des verschlüsselten Codes und Vergleichen des entschlüsselten Codes mit dem erzeugten Code beinhaltet sind.
Postfrankiersystem gemäß Anspruch 1 oder 2, wobei der empfangene Code und der erzeugte Code beide auf der gesamten Tariftabelle basieren.
Postfrankiersystem gemäß einem der Anspruche 1 bis 3, wobei der übertragene Code und die übertragene Tariftabelle beide Daten über den Zeitraum enthalten, zu dem die Tariftabelle gültig ist.
Postfrankiersystem gemäß einem der Ansprüche 1 bis 4, wobei das nicht-flüchtige Speichermittel (116) sicher ist.
Postfrankiersystem gemäß einem der Ansprüche 1 bis 5, wobei der übertragene Code und der erzeugte Code Hash-Code sind.
Portonachweisvorrichtung (114), umfassend: Mittel (118) zum Speichern einer übertragenen Posttariftabelle in einen nicht-flüchtigen Speicher (116); gekennzeichnet durch: Mittel (118) zum Speichern eines übertragenen Codes in einen nicht-flüchtigen Speicher (116), wobei der Code auf Informationen aus der Tariftabelle basiert; Mittel zum Empfangen einer Anfrage zum Ausdrucken eines Portowerts; Mittel (118) zum Wiederberechnen des Codes aus der Information aus der in dem nicht-flüchtigen Speicher (116) gespeicherten Tariftabelle; und Mittel (118) zum Vergleichen des wiederberechneten Codes und des gespeicherten Codes.
Portonachweisvorrichtung gemäß Anspruch 7, weiterhin beinhaltend: Mittel (122) zum Drucken des gespeicherten und/oder des wiederberechneten Codes auf ein Poststück; und Mittel (122) zum Drucken der Poststücktarifparameter auf das Poststück, so dass eine überprüfende Partei den Frankierprozess rekonstruieren und bestimmen kann, ob eine Frankierungsgenauigkeit auftrat.
Portoprüfvorrichtung gemäß Anspruch 8, weiterhin beinhaltend Mittel (118) zum Verschlüsseln des Codes, so dass dem Druckmittel ermöglicht wird, einen verschlüsselten Code auf das Poststück zu drucken.
Portonachweisvorrichtung gemäß einem der Ansprüche 7 bis 9, wobei der gespeicherte Code und der wiederberechnete Code Hash-Code sind.
System zum Verifizieren der Genauigkeit von Portofrankierung, umfassend: Mittel zum Scannen eines Poststücks, um einen auf einem Poststück gedruckten Code und ebenfalls auf dem Poststück gedruckte Frankierparameter zu detektieren, wobei der Code auf Informationen aus einer Postfrankiertabelle basiert; Mittel (118) zum Verifizieren, dass der Code eine aktuelle Postfrankiertabelle repräsentiert; Mittel (118) zum Wiederberechnen des Frankierprozesses, um die Frankiergenauigkeit zu bestimmen; und Mittel (118) zum Bestimmen der Korrektheit der Frankierung für das gescannte Poststück.
System gemäß Anspruch 11, weiterhin beinhaltend Mittel zum Speichern eines Profils eine Adressiermaschine, basierend auf Informationen aus dem Bestimmungsmittel, um Daten bezüglich Frankieraktivitäten für eine Reihe von Poststücken bereitzustellen.
System gemäß Anspruch 11 oder 12, wobei der gedruckte Code ein Hash-Code ist.
Verfahren zum Postfrankieren, umfassend die Schritte: Übertragen einer Posttariftabelle an eine Postfrankiervorrichtung (114) und Speichern derselben; Übertragen eines Codes an die Frankiervorrichtung (114) und Speichern desselben, wobei der Code auf Informationen aus der Frankiertabelle basiert; Erzeugen eines Code, basierend auf Informationen aus der empfangenen Tariftabelle; und Vergleichen des empfangenen Codes mit dem erzeugten Code.
Verfahren gemäß Anspruch 14, wobei der empfangene Code und der erzeugte Code Hash-Codes sind.
Verfahren gemäß Anspruch 15, wobei der übertragene Hash-Code ein verschlüsselter Hash-Code ist und es die weiteren Schritte des Entschlüsselns des verschlüsselten Hash-Codes und des Vergleichens des entschlüsselten Hash-Codes mit dem erzeugten Hash-Code beinhaltet.
Verfahren gemäß Anspruch 16, wobei der übertragene Hash-Code und die übertragene Tariftabelle beide Daten bezüglich der Tarifabellenvaliditäts-Zeitperiode enthalten.
Verfahren gemäß einem der Ansprüche 14 bis 17, wobei die übertragenen und erzeugten Codes auf der gesamten Tariftabelle basieren.
Verfahren zum Verifizieren der Genauigkeit von Postfrankierung, umfassend die Schritte: Scannen eines Poststücks, um einen Code, der auf dem Poststück aufgedruckt ist und von Frankierparametern, die auch auf dem Poststück aufgedruckt sind, für ein Poststück zu detektieren, wobei der Code auf Informationen aus einer Posttariftabelle basiert; Verifizieren, dass der Code eine aktuelle Posttariftabelle repräsentiert; Wiederberechnen des Frankierprozesses, um die Frankiergenauigkeit zu bestimmen; und Bestimmen der Korrektheit der Frankierung für das gescannte Poststück.
Verfahren gemäß Anspruch 19, wobei der Code ein Hash-Code ist.
Verfahren gemäß Anspruch 19 oder 20, wobei der Code ein verschlüsselter Code ist, und es die weiteren Schritte des Entschlüsselns des verschlüsselten Codes beinhaltet.
Verfahren gemäß einem der Ansprüche 19 bis 21, weiterhin umfassend Speichern eines Profils einer Adressiermaschine oder einer Gruppe von Adressiermaschinen, basierend auf gescannten Daten bezüglich der Frankieraktivitäten für eine Reihe von Poststücken für die Adressiermaschine oder die Gruppe von Adressiermaschinen.
Verfahren zum Prozessieren einer Tariftabelle in einer Postfrankiervorrichtung (114), umfassend die Schritte: Speichern einer Posttariftabelle; Speichern eines Code, basierend auf Informationen aus der Tariftabelle; Empfangen einer Anforderung zum Ausdrucken eines Portowerts; Wiederberechnen des Code aus der Information aus der gespeicherten Tariftabelle; und Vergleichen des wiederberechneten Codes und des gespeicherten Codes.
Verfahren gemäß Anspruch 23, wo der gespeicherte Code und der wiederberechnete Code beide Hash-Codes sind.
Verfahren zum Ausdrucken von Portoinformation wie in Anspruch 23 oder 24 definiert, weiterhin beinhaltend die Schritte: Ausdrucken des Codes auf ein Poststück; und Ausdrucken der Poststückfrankierparameter auf das Poststück, um die Rekonstruktion des Frankierprozesses aus auf dem Poststück aufgedruckten Informationen zu ermöglichen.
Verfahren gemäß Anspruch 25, wobei der Code verschlüsselt wird und der verschlüsselte Code gedruckt wird.
Verfahren gemäß Anspruch 23 oder 24, weiterhin beinhaltend Ausdrucken eines Portotarifs, Drucken des Datums des Ausdrucks des Portotarifs und Drucken des Codes auf das Poststück, wobei der Code Daten bezüglich des Zeitraums enthält, in dem die Tariftabelle gültig ist.
Verfahren gemäß Anspruch 27, wobei der Code verschlüsselt wird und der verschlüsselte Code gedruckt wird.
Verfahren gemäß einem der Ansprüche 23 bis 28, wobei die Tariftabelle in einem nicht-flüchtigen Speicher gespeichert wird.
Verfahren zum Postfrankieren gemäß einem der Ansprüche 14 bis 18, weiterhin umfassend den Schritt des Ermöglichens des Betriebs der Portofrankiervorrichtung, falls die Posttariftabelle durch den Vergleichsschritt als gültig bestimmt wird.
Verfahren gemäß Anspruch 30, wobei der Codewert jeweils erzeugt und für spätere Wiedergewinnung und Verifikation gespeichert wird.
Verfahren gemäß Anspruch 31, wobei der Codewert in einem sicheren Speicher gespeichert ist.
Verfahren gemäß einem der Ansprüche 30 bis 32, wobei die Übertragungs- und Erzeugungs- und Vergleichsschritte periodisch basierend auf einem Kalenderuhrwert in der Postfrankiervorrichtung initiiert werden.
Verfahren gemäß einem der Ansprüche 30 bis 32, wobei die Übertragungs-, Erzeugungs- und Vergleichsschritte basierend auf der Menge des von der Portofrankiervorrichtung gedruckten Portos initiiert werden.
Verfahren gemäß einem der Ansprüche 30 bis 34, weiterhin umfassend das Erzeugen einer Anforderung zum Wiederaufladen einer Portofrankiervorrichtung mit zusätzlichem zu druckenden Portowert.
Verfahren gemäß Anspruch 35, wobei die Anforderung zum Wiederaufladen an einen entfernten Ort mit einem Codewert einer Tariftabelle übertragen wird, die aktuell mit der Portofrankiervorrichtung assoziiert ist.
Verfahren gemäß Anspruch 35, wobei der Wiederaufladevorgang das Übertragen eines Codewerts, basierend auf einer aktuell gültigen Portotabelle an die Portofrankiervorrichtung beinhaltet.