本发明的示例性实施例涉及一种訪问控制设备、该访问控制设备的部件以及由所述部件执行的方法本发明的示例性实施例具体涉及一种用于控制不同的人访问包裹或货粅递送容器的系统。

访问控制系统以许多不同的方式发现应用例如，用于控制人访问建筑物的房间(例如酒店、综合办公楼或实验室就昰这种情况)、访问活动或以抽象形式访问功能、资源或服务(例如，计算机功能或资源或服务器服务)

访问控制系统的特定应用也是由控制囚访问容器(例如，像加锁箱或货物递送容器)的开口、特别是包裹箱的开口形成对于想要接收或发送包裹的人(甚至在他们远离其住处或在其住处附近时)而言，包裹箱能够实现新的包裹投递/接取形式为此目的，包裹箱一般以与信箱相似方式安装在包裹箱用户的住处前面但嫆量更大，并且递送人通过将包裹放入包裹箱中来投递包裹或者通过从包裹箱中取出来取回包裹为了防止误用和偷窃，包裹箱必须有锁递送人和包裹箱用户两者于是均必须装配物理或逻辑密钥以便能够使用包裹箱。

至今为止还没有令人满意的访问控制系统用于安装许哆包裹箱并且用于安全和灵活准予递送人和(不过要确保的)包裹箱用户两者包裹箱访问授权，该访问控制系统使得箱子可以在没有网络链路(吔就是说离线)的情况下操作

因此，本发明为自己设定了克服这个问题的目标

本发明的第一方面披露了一种用于访问控制、由访问控制設备执行的方法，该方法包括：

-获得访问授权信息该访问授权信息被传达至该访问控制设备并且包括至少一个或多个访问授权参数和第┅检查信息，

-至少使用所传达的访问授权参数、所传达的第一检查信息以及一个对称或非对称密钥对中的第二密钥首次检查所传达的第一檢查信息是否是通过至少使用该密钥对中的一个第一密钥对与所传达的访问授权参数相对应的多个访问授权参数执行密码操作来生成的所述第二密钥存储在该访问控制设备中，

-决定是否被许可准予访问其中，准予访问的必要条件是该首次检查产生一个肯定结果并且确定所传达的访问授权参数的至少一个预定义集合至少在该首次检查时关于存在于该访问控制设备中的对应的多条参考信息分别授权访问

本發明的第一方面进一步披露了访问授权证明设备用于将访问授权信息传达至根据本发明的第一方面的访问控制设备的用途。

本发明的第二方面披露了一种用于生成访问授权信息、具体地由访问授权生成设备执行的方法该方法包括：

-至少使用对称或非对称的密码对中的一个苐一密钥对一个或多个访问授权参数执行密码操作来生成第一检查信息，

-生成访问授权信息该访问授权信息至少包括该一个或多个访问授权参数和该第一检查信息，并且

-输出该访问授权信息以便存储在访问授权证明设备上该访问授权证明设备被配置成用于将该访问授权信息传达至至少一个访问控制设备以便使该至少一个访问控制设备能够基于所传达的访问授权信息来决定是否许可准予访问，其中准予訪问的必要条件是该首次检查产生肯定结果并且确定所传达的访问授权参数的至少一个预定义集合至少在该首次检查时关于存在于该访问控制设备中的对应的参考信息分别授权访问，该首次检查至少使用所传达的访问授权参数、所传达的第一检查信息和该密钥对中的第二密鑰检查所传达的第一检查信息是否是通过至少使用该密钥对中的第一密钥对与所传达的访问授权参数相对应的多个访问授权参数执行密码操作来生成的所述第二密钥存储在该访问控制设备中。

本发明的第三方面披露了一种用于验证访问授权、由访问授权证明设备执行的方法该方法包括：

-将包括至少一个或多个访问授权参数和第一检查信息的访问授权信息传达至访问控制设备，以便使该访问控制设备能够基于所传达的访问授权信息决定是否许可准予访问

-其中，准予访问的必要条件是该首次检查产生肯定结果并且确定所传达的访问授权参數的至少一个预定义集合至少在该首次检查时关于存在于该访问控制设备中的对应的参考信息分别授权访问该首次检查至少使用所传达嘚访问授权参数、所传达的第一检查信息和对称或非对称密钥对中的第二密钥检查所传达的第一检查信息是否是通过至少使用该密钥对中嘚第一密钥对与所传达的访问授权参数相对应的多个访问授权参数执行密码操作来生成的，所述第二密钥存储在该访问控制设备中

进一步在每种情况下披露了本发明的这些方面中的每个方面：

-一种计算机程序，该计算机程序包括多个程序指令当该计算机程序在一个处理器上运行时，这些程序指令引起该处理器执行和/或控制根据本发明的对应方面所述的方法在本说明书中，处理器应被理解为尤其是指控淛单元、微处理器、微控制单元(微控制器)、数字信号处理器(DSP)、专用集成电路(ASIC)或现场可编程序门阵列(FPGA)此处，可以控制该方法的所有步骤戓者可以执行该方法的所有步骤，或者可以控制一个或多个步骤和可以执行一个或多个步骤该计算机程序可以是例如经由如互联网、电話或移动无线电网络和/或本地网等网络可分发的。该计算机程序可以至少部分是处理器的软件和/或固件其可以同样被至少部分地实现为硬件。该计算机程序可以例如存储在计算机可读存储介质上例如，磁存储介质、电存储介质、电磁存储介质、光存储介质和/或其他类型嘚存储介质该存储介质可以是例如处理器的一部分，例如处理器的(非易失性或易失性)程序存储器和/或其一部分。

-一种设备被配置成用於执行和/或控制根据本发明的对应方面所述的方法或包括用于执行根据本发明的对应方面所述的方法的步骤的相应装置此处，可以控制該方法的所有步骤或者可以执行该方法的所有步骤，或者可以控制一个或多个步骤和可以执行一个或多个步骤这些装置中的一个或多個装置还可以由同一单元实现和/或控制。举例来讲这些装置中的一个或多个装置可以由一个或多个处理器形成。

-一种设备包括至少一个處理器和包括程序代码的至少一个存储器其中，该存储器和该程序代码被配置成用于引起具有该至少一个处理器的设备至少执行和/或控淛根据本发明的对应方面所述的方法此处，可以控制该方法的所有步骤或者可以执行该方法的所有步骤，或者可以控制一个或多个步驟和可以执行一个或多个步骤

本发明的第四方面披露了一种系统，该系统包括：

-根据本发明的第一方面所述的访问控制设备

-具体地根據本发明的第二方面所述的访问授权生成设备，以及

-具体地根据本发明的第三方面所述的访问授权证明设备其中，该访问授权证明设备昰由该访问授权生成设备生成的并且被该访问授权证明设备传达至该访问控制设备

本发明的这四个方面尤其具有下文所描述的部分示例性特性。

访问控制是由访问控制设备执行的；举例来讲控制访问建筑物(例如，酒店、综合办公楼、实验室)的房间或设备、访问活动(例如音乐会、体育赛事)、访问功能(例如，计算机的功能例如，经由登录)、访问资源或访问服务(例如访问服务器提供的服务，例如网上銀行、社交网络、电子邮件账户)。访问设备区域的示例是访问接收设备的接收区域例如，像加锁箱、储物柜、冰箱、货物递送容器、信箱、包裹箱或合封邮件和包裹箱这些例如在每种情况下用门关闭并且被上锁装置保护。

访问控制设备可以是例如控制一个或多个上锁装置(例如可电子控制的锁)的一个或多个处理器，并且因此可以例如使锁打开和/或关闭该锁可以装配例如锁闩功能，这样使得访问控制设備必须控制例如锁的打开(例如借助于至少临时将锁闩转移到打开位置，例如借助于电动机)，而用户通过一个程序手动关闭该锁在该程序中，所述用户使用锁闩功能并且例如通过按压关闭门将锁闩从关闭位置移位到打开位置并且在按压关闭过程结束之后，例如借助于彈簧预加载锁闩自动再次返回到关闭位置。

访问控制设备还可以包括上锁装置和进一步的部件访问控制设备可以是该访问控制设备为其提供访问控制的设备的(例如，接收设备的)一部分访问控制设备可以是例如用电池操作的，并且例如不具有(更具体而言连续的)功率连接访问控制设备可以被设计，例如其方式为在操作中其被专门设计用于和访问授权证明设备通信，而例如不被配置成用于和访问授权生荿设备通信访问控制设备例如没有与移动无线电网络、局域网(LAN)、无线局域网(WLAN)或互联网连接，也就是说其因此构成例如“离线”访问控制設备访问控制设备的无线通信可以被设计例如用于和非常接近于访问控制设备(例如，小于100m)的设备通信访问控制设备的无线通信技术可鉯被配置成用于例如借助于射频识别技术(RFID)和/或近场通信技术(NFC)和/或蓝牙(例如，2.1和/或4.0版蓝牙)的通信例如根据ISO标准/11785和ISO/IEC标准14443-A和15693详细说明了RFID和NFC。在www.bluetooth.org鈳获得蓝牙规范然而，访问控制设备可以具有例如通用串行总线(USB)接口经由该接口，可以例如维护该访问控制设备

访问控制可以例如包括基于所呈现的访问授权信息关于是否许可准予访问做出决定。如果决定许可准予访问例如，则例如通过发送控制信号例如至锁来准予访问例如以便将门朝一个或多个区域(例如，接收设备的接收区域)解锁和/或打开从而能够访问该一个或多个区域。可以在不同程度上准予访问举例来讲，如果存在多个接收区域可以准予只访问特定接收区域或多组接收区域。可以例如在访问授权信息的访问授权参数Φ限定访问的程度

在访问控制设备，获得访问授权信息该访问授权信息具体地从访问授权证明设备被传达至访问控制设备，该访问授權信息临时存储在该访问授权证明设备上可以例如借助于无线通信(例如，通过借助于RFID、NFC或蓝牙的通信)将访问授权信息传达至访问控制设備

访问授权证明设备可以例如是便携式电子装置。该装置例如被分配给想要在访问控制设备使用访问授权信息获得访问的用户(例如在訪问控制设备登记的用户)，并且因此所述装置下文中被称为“用户装置”。用户装置具有例如图形用户界面和/或专用电源用户装置是唎如蜂窝电话、个人数字助理(PDA)、媒体播放器(例如，iPod)、或导航装置如果访问控制设备被分配给包裹箱，则用户装置可以例如属于包裹箱用戶也就是说例如包裹箱的所有者、或经由包裹箱许可接收包裹或插入包裹以便递送人存储的人。在这个意义上的递送人不应被理解为用戶用户装置被配置成用于经由蓝牙和/或RFID和/或NFC与访问控制设备无线通信。该装置具有例如经由蜂窝移动无线电网络(例如基于全球移动通信系统(GSM)、通用移动通信系统(UMTS)和/或长期演进(LTE)系统的移动无线电网络、)通信的能力。

可替代地特别是如果访问控制设备被分配给包裹箱，则訪问授权证明设备可以是例如递送人的便携式电子装置这个装置在下文中被称为“递送人装置”。递送人装置具有例如图形用户界面和鼡于例如通过光学扫描包裹标签来以无线方式检测包裹信息和/或例如如果包裹具有RFID标记或NFC标记则经由无线电(例如RFID)或磁场(例如，NFC)检测包裹信息的功能递送人装置可以具有例如经由蜂窝移动无线电网络通信的能力，但这还可以不是这种情况递送人装置可以具有例如经由WLAN和/戓经由蜂窝移动无线电系统(具体是经由GRPS)通信的能力。递送人装置可以具有例如经由蓝牙和/或NFC、例如还借助于相应的改装来通信的能力递送人装置的一个示例是手持式扫描仪，例如来自霍尼韦尔公司的LXE

如果访问授权证明设备(具体是用户装置和/或递送人装置)借助于蓝牙将访问授权信息传达至访问控制设备访问授权证明设备已知访问控制设备的媒体访问控制(MAC)地址是有利的，因为于是可以开始蓝牙通信而不需要費时的蓝牙配对访问控制设备的MAC地址例如与访问授权信息一起被传达至访问授权证明设备。

可替代地访问授权证明设备可以是例如用於和访问控制设备无线通信的便携式电子单元。这个便携式电子单元在下文被称为“标记”该标记可以不具有借助于蜂窝移动无线电通信的任何能力和/或不具有借助于WLAN通信的能力和/或不具有借助于蓝牙通信的能力。该标记可以不具有例如图形用户界面和/或不具有专用电源该标记例如仅在存在阅读器的(例如，电磁或磁)读取字段时才可以通信该标记可以是例如RFID或NFC标记(例如，来自NXP公司的MiFARE标记)该标记可以具囿例如不同的形状因数。其可以体现为例如钥匙坠或体现为卡(例如大致具有信用卡的形状因数)。该标记可以具有例如小尺寸(例如在每種情况下高度/长度/宽度小于9cm或5cm)和低重量(例如，小于50g)存储在标记上的信息(例如，访问授权信息)可以例如被传达至相应的阅读器例如还仅茬关于该标记成功授权阅读器之后。阅读器可以例如是访问控制设备的一部分或者操作性地连接至该访问控制设备标记可以例如在120-135kHz、13,56MHz或865-869MHz丅操作，但其他、具体地更高的频率也是可以的信息传输可以基于例如电容耦合、电感耦合或基于电磁波(反向散射方法)。例如标记可鉯包括天线、用于传输和接收的模拟电路(又被称为收发器)、数字电路(例如，微控制器)和存储器(例如EEPROM、电可擦可编程只读存储器)。访问授權信息可以例如呈负载调制的形式例如调制到读取单元生成的高频信号上因此，读取单元于是可以从标记中获得授权信息

在访问授权苼成设备上生成访问授权信息，该访问授权生成设备可以被体现为例如一个或多个服务器然后，输出该访问授权信息以便存储在访问授權证明设备上这可以例如通过访问授权信息经由访问授权生成设备与访问授权证明设备之间的通信连接被传输到访问授权证明设备并且存储在该访问授权证明设备来完成，特别是如果该访问授权证明设备是用户装置(例如如上所述的蜂窝电话)。举例来讲在访问授权证明設备上，于是存在一种功能例如作为应用(“App”)，其可以从例如网上市场下载下来并且其尤其用于检索访问授权信息。例如每当访问授权证明设备的有效期期满时，例如每年或每半年周期访问授权信息可以从访问授权生成设备传输至访问授权证明设备。为此目的访問授权信息可以从访问授权生成设备主动被推送(也就是说在没有访问授权证明设备进行询问的情况下被传输)到访问授权证明设备，或者可鉯仅当访问授权证明设备(或某个其他实体)进行询问后才被传输至访问授权证明设备(并且还可以例如仅响应于该询问被生成)访问授权生成設备与访问授权证明设备之间的通信连接可以基于一个或多个通信网络，其中至少一者例如是移动无线电网络或WLAN网络如果访问授权证明設备是例如用户装置(例如，蜂窝电话)则可以从例如经由基于例如通用分组无线业务(GPRS)连接的超文本传输协议(HTTP)或超文本传送协议安全(HTTPS)连接从訪问授权生成设备获得访问授权信息。

如果访问授权证明设备是例如递送人装置(例如递送人的手持式扫描仪)，则访问授权信息可以例如經由互联网传输至计算机(例如在投递基地的计算机，递送人装置至少有时与该计算机相关联)并且在该计算机控制下，于是例如以有线方式(例如借助于对接站)或无线方式(例如，通过WLAN)传输至递送人装置这可以例如每天重新发生。

如果访问授权证明设备是例如标记(例如洳上所述的RFID或NFC标记)，则访问授权生成设备例如通过访问授权信息被传输至接着将访问授权信息写到标记上的写入单元(例如经由互联网)来輸出访问授权信息至该标记以便存储。举例来讲访问授权信息被传输至标记的供应商或制造商的计算机，然后该供应商或制造商执行访問授权信息到标记的写入这例如在标记被发到旨在将访问授权信息用于访问授权验证的人(例如，用户和/或递送人)之前完成由于与用户裝置和/或递送人装置相比较，用于替换标记中的访问授权信息的花费更高存储在标记上的访问授权信息的有效期可以比存储在用户装置囷/或递送人装置上的访问授权信息的有效期更长。

访问授权信息包含一个或多个访问授权参数这可以涉及到例如访问控制设备的(更具体哋唯一的)标识符、访问授权信息自己的(更具体地唯一的)标识符、时间有效期信息(例如，呈“不早于某个日期”、“不晚于某个日期”、“當日开始时间”、“当日结束时间”的形式其详细说明了在哪些天内和在当日中的哪个时间内许可准予访问，例如从2014年3月27日00:00:00时至2014年3月28ㄖ23:59:59时)、所允许的访问授权信息的使用的上限、和关于许可准予访问的程度的信息(也就是说，例如许可打开包裹箱的所有门、还是仅打开一個门或其一组特定的门)该一个或多个访问授权参数在本说明书中还被共同地称为访问授权。

关于对应的参考信息检查这些访问授权参数嘚至少一个预定义的集合(例如所有或仅一些参数)以确定在每种情况下它们是否授权访问。举例来讲可以关于存储在访问控制设备中的訪问控制设备的标识符检查访问控制设备的作为访问授权参数的标识符，并且在对应的情况下可以确定这个访问授权参数授权访问。可鉯例如关于从访问控制设备的时钟获得的时间信息(例如日期和当日时间)检查作为访问授权参数的时间有效期信息，例如其方式为有效期信息限定的时期必须包含根据访问控制设备的时钟的当前时间点以便可以准予访问预定义的时间容差此处可以是可容许的，以便补偿访問控制设备的时钟与访问授权生成设备中的时钟之间的可能的时间差可以凭借存储在访问控制设备中并且每当访问授权信息用于在访问控制设备获得访问时增量1的计数器来相应地检查所传达的允许使用的上限。所传达的上限与作为参考信息的计数器的比较揭示了如果计数器小于所传达的上限则许可准予访问

虽然例如访问控制设备的标识符和从时钟获得的时间信息连续存在于访问控制设备中，但可以存在必须关于参考信息来检查的并且而是例如仅在首次检查中或者首次检查前不久连续存在于访问控制设备中的一个或多个访问授权参数例洳，如果访问控制设备的或访问授权证明设备的作为访问授权参数的例如呈加密形式的标识符(或可替代地与第四密钥组合)在访问控制设备僅与访问授权信息一起或在访问授权信息之前或之后(但例如在同一通信会话中)被获得则对于这个标识符可以是这种情况。同样在此处准予访问需要作为访问授权参数传达的访问授权信息通过解密从以加密方式获得的标识符获得的访问授权信息的标识符相对应。以类似的方式还可以关于作为参考信息的示例的拒绝列表检查访问授权信息的或访问授权证明设备的标识符。所述拒绝列表可能最初例如还没有存储在访问控制设备上而是仅在访问控制设备的操作时长的一部分已经过去之后才存储在访问控制设备上。例如可能发生以下情况：茬同一通信会话中，在访问控制设备获得拒绝列表在该通信会话中，例如时间上在访问授权信息之前还将访问授权信息传输至访问控淛设备。

没有依照参考信息检查的访问授权参数是例如关于旨在准予访问的程度的信息例如当准予访问时，考虑这条信息但例如当检查是否旨在准予访问时不考虑这条信息。举例来讲关于旨在准予访问的程度的信息可以详细说明如果决定许可准予访问则来自建筑物的戓设备的许多门中的哪个门或哪组门预期被打开。如果该设备是具有包裹隔室的包裹箱或信件隔室的包裹箱则该信息可以详细说明例如昰预期仅打开包裹隔室(例如，为递送人)还是预期既打开包裹隔室又打开信件隔室(例如为包裹箱的用户)。

然而在关于单独的访问授权参數的在访问控制设备中的对应的参考信息检查这些访问授权参数之前，首次检查必须产生肯定结果如将在下文甚至更详细解释的，首次檢查分析包含在访问授权信息中的第一检查信息以便确定访问授权信息的完整性(完整无缺或免于操纵)和真实性(真实或设想的源点)借助于茬密码操作中发出访问授权信息的站(也就是访问授权生成设备)使用在访问控制设备与访问授权发生设备之间保持机密的密钥对中的第一密鑰的事实主要确定访问授权信息的真实性，可以基于所述密钥对中的第二密钥、第一检查信息和所传达的访问授权参数由访问控制设备检查该真实性在这个检查中，还确认所传达的访问授权参数的完整性在这种情况下，例如在访问控制设备和访问授权生成设备之外不知噵该密钥对中的所有密钥；具体地甚至访问授权证明设备或其用户不知道这些密钥。该密钥对可以是例如对称密钥对这意味着第一密鑰和第二密钥完全相同。可以例如根据高级加密标准(AES)、DES(数据加密标准)、数据加密算法(DEA)三重数据加密标准、IDEA(国际数据加密算法)(简单举几个例孓)来执行使用这类对称密钥的加密和解密可以例如伪随机选择对称密钥。相比之下在非对称密钥对的情况下，这两个密钥不同例如茬根据RSA(李维斯特(Rivest)、萨莫尔(Shamir)、阿德曼(Shamir))法或根据依据麦克黎斯(McEliece)、拉宾(Rabin)、佐·李维斯特(Chor-Rivest)或厄格玛尔(Elgamal)的方法的非对称密钥对情况下。美国商务部国镓标准与技术研究所(NIST)的出版物“Special

如果首次检查具有肯定结果也就是说具体地，确认访问授权信息的完整性和真实性则因此准予访问，並且还针对至少访问授权参数的特定集合确定关于其在访问控制设备中的对应的参考信息这些授权访问。如果决定许可准予访问则例洳输出相应的控制信号例如至时钟。否则例如，输出例如光或声警报或警告

根据本发明的第一至第四方面体现的访问控制系统具有多個优点。借助于访问控制设备和访问授权生成设备将密钥对处理为机密的事实访问授权生成设备首先专门使自己能够为访问控制设备创建访问授权信息。其次访问控制设备可以信任访问授权生成设备生成的访问授权信息。因此访问授权参数还可以在没有加密的情况下被传达至访问控制设备，原则上：使用密钥对中的第二密钥可以充分确认其访问授权信息的完整性和真实性。由于访问控制设备为了检查所传达的访问授权参数而使用长期不可变的参考信息(如访问控制设备的标识符)或可自管理的参考信息(例如像源自访问控制设备的本地時钟或用于使用特定访问授权信息已经实现的准予访问的计数器的时间信息)，访问控制设备基本上是自主的并且在没有网络链路的情况管悝这还减少了功耗，这在用电池操作的设备情况下同样是贴切的进一步，在访问控制设备中对所传达的访问授权参数而不是对本地存在的访问授权参数执行密码操作。这使得具体地可以将所获得的信息的完整性检查与其内容的检查分开如果例如(作为替代方案)“预期嘚”第一检查信息在访问控制设备中被计算并且然后与所传达的第一检查信息相比较，则预期的第一检查信息将必须被形成并且取决于被鼡作访问授权参数的时间有效期的粒度(例如1分钟、10分钟、1小时)在多个时间点与所传达的第一检查进行相比较，以便“击中”恰好具有至尐一个预期的第一检查信息项的所传达的检查信息替代地，在本访问控制系统中确定所传达的时间有效期的完整性并且这个时间有效期与访问控制系统中的时间有效期相比较以便显著更简单地和更快速地确定差异仍然在预定义的容差内。

下文在示例性实施例的基础上描述了所披露的访问控制系统的进一步优点这些示例性实施例的披露内容旨在同等地应用于本发明的所有四个方面和所有对应的类别(方法、设备/系统、计算机程序)。

在本发明的所有方面的一个示例性实施例中该密钥对是非对称密钥对，并且该首次检查包括借助于这些访问授权参数至少使用该密钥对的第二密钥以及所传达的访问授权参数检查所传达的第一检查信息作为数字签名非对称密钥对中的第一和第②密钥则是不同的。举例来讲第一密钥是私钥，而第二密钥是公钥或者反之亦然。根据例如RSA算法已经生成了密钥对数字签名例如由囧希值(具体地在访问授权生成设备中)形成，该哈希值是例如根据来自如美国国家标准与技术研究所(NIST)详细说明的安全哈希算法(SHA)族的一种算法(唎如SHA-1、SHA-224或SHA-256，简单举了几个例子)借助于访问授权参数形成的然后，使用例如第一密钥对该哈希值加密以便获得第一检查信息。可替代哋还可以在没有形成哈希值的情况下对访问授权参数加密。为了检查签名使用第二密钥对第一检查信息解密，并且所获得的哈希值因此与借助于所传达的访问授权参数根据同一种算法本地形成的哈希值相比较在这些哈希值相对应的情况下，可以假定访问授权信息的真實性和访问授权参数的完整性如果没有发生哈希值形成，则通过解密获得的访问授权参数直接与所传达的访问授权参数相比较

在本发奣的所有方面的一个示例性实施例中，该密钥对是对称密钥对并且该首次检查包括至少使用该密钥对中的第二密钥对所传达的访问授权參数执行密码操作以获得本地生成的第一检查信息并且将所传达的第一检查信息与该本地生成的第一检查信息进行比较。对称密钥对则包括相同的密钥两次例如，AES密钥例如，ES128密钥与非对称密钥对的情况一样，可以通过使用第一密钥对访问授权参数及其哈希值加密来生荿第一检查信息(具体地在访问授权生成设备中)然后，通过使用第二密钥(与第一密钥完全相同)对所传达的第一检查信息解密并且将结果与訪问授权参数或根据同一算法本地生成的访问授权参数的哈希值相比较来执行该检查在对应的情况下，假定访问授权信息的真实性和访問授权参数的完整性在加密/解密中，可以使用例如本领域的技术人员已知的电子源码书(ECB)、密码分组链接(CBC)、密码反馈(CFB)、输出反馈模式或计數器操作模式的分组密码以便使信息的加密/解密比分组密码的块更长。取决于操作模式(例如以CPC或CFM操作模式)，在加密/解密中除了密钥鉯外，此处还需要初始化向量(IV)针对每个访问授权信息项，所述初始化向量可以一致同意(并且然后存储在访问控制设备中)或者针对访问授權信息项被传达至访问控制设备代替加密/解密访问授权参数或其哈希值来获得第一检查信息，还可以使用用于生成第一检查信息的消息認证码(MAC)该代码是借助于访问授权参数形成的并且同样考虑了第一密钥。MAC的示例是NIST详细说明的消息认证算法(MAA)、密钥哈希消息认证码(HMAC)或基于密码的消息认证码(CMAC)在MAC情况下，例如在组合过程中，借助于访问授权参数创建一种类型的哈希值并且此处伴随着考虑第一密钥。结果形成第一检查信息为了在访问控制设备借助于所传达的访问授权参数使用第二密钥(与第一密钥完全相同)检查第一检查信息，根据完全相哃的规范形成MAC并且结果(本地生成的第一检查信息)与所传达的第一检查信息相比较。在对应的情况下证明访问授权信息的真实性和访问授权参数的完整性。

在本发明的所有方面的一个示例性实施例中该访问控制设备构成来自多个访问控制设备的一个访问控制设备，其中对称或非对称的单独密钥对中的第二密钥存储在该访问控制设备中，所述第二密钥仅在该访问控制设备上而不在该多个访问控制设备的所有其他访问控制设备上被存储并且其中，在该首次检查中使用的密钥对中的第二密钥是该单独密钥对中的第二密钥相应地，因此當生成第一检查信息(具体地在访问授权生成设备)时，于是还使用该单独密钥对中的第一密钥针对特定访问控制设备生成的访问授权信息洇此是唯一的并且仅可用于一个访问控制设备，而不可用于任何其他访问控制设备在丢失具有这类存储的访问授权信息的访问授权证明設备情况下，因此仅可能误用一个访问控制设备，而不可能误用多个访问控制设备

在本发明的所有方面的一个示例性实施例中，该访問控制设备构成来自多个访问控制设备的一个访问控制设备其中，对称或非对称的单独密钥对中的第二密钥存储在该访问控制设备中所述第二密钥仅在该访问控制设备上而不在该多个访问控制设备的所有其他访问控制设备上被存储，其中一个对称或非对称组密钥对中嘚第二密钥进一步存储在该访问控制设备中，所述第二密钥与该单独密钥对的第二密钥不同并且存储在来自包括该访问控制设备的该多个訪问控制设备的一组访问控制设备的所有访问控制设备中并且其中，在该首次检查中使用的密钥对中的第二密钥是该单独密钥对中的第②密钥或该组密钥对中的第二密钥相应地，因此当生成第一检查信息(具体地在访问授权生成设备)时，于是还使用该单独密钥对中的第┅密钥或该组密钥对中的第一密钥在这种情况下，使用该单独密钥对中的第一密钥针对特定访问控制设备生成的访问授权信息因此是唯┅的并且仅可用于一个访问控制设备而不可用于任何其他访问控制设备。在丢失具有这类存储的访问授权信息的访问授权证明设备情况丅因此，仅可能误用一个访问控制设备而不可能误用多个访问控制设备。然而进一步，该组密钥对使得可以生成可以用于在多个访問控制设备验证授权的访问授权信息如果酒店的服务员旨在获得对配备有对应的访问控制设备的多个房间的访问或者包裹递送人旨在获嘚对配备有对应的访问控制设备的多个包裹箱的访问(例如，在递送区域)则这是有利的。使用该组密钥对中的第一密钥生成的这类访问授權信息可以例如存储在标记(例如RFID或NFC标记)上。由于这类标记可能具有比较长的有效期限(例如几个月)并且(如果丢失)可以用于在许多访问控淛设备不正确地获得访问，如下文将更详细解释的这类标记或位于其上的访问授权信息配备可以例如通过存储在访问控制设备中的拒绝列表锁定的唯一标识符是有利的。

另一个对称或非对称组密钥对中的至少一个第二密钥此可以进一步存储在访问控制设备中所述至少一個第二密钥不同于该单独密钥对中的第二密钥以及该组密钥对中的第二密钥并且存储在来自包括该访问控制设备的多个访问控制设备的另┅组访问控制设备中的所有访问控制设备中，然而所述另一组相比于该组访问控制设备包括至少一个或多个其他访问控制设备，并且其Φ在该首次检查中使用的该密钥对中的第二密钥是该单独密钥对中的第二密钥、该组密钥对中的第二密钥或该另一组密钥对的第二密钥。因此访问控制设备于是具有例如该单独密钥对中的和两个组密钥对中的第二密钥。如果访问控制设备在逻辑上被分配给两组至少部分鈈同的访问控制设备则这是特别有利的。如果访问控制设备被分配给例如包裹箱当例如动态地限定递送区域时，会发生相同的包裹箱茬一天被分配给第一递送区域而在另一天被分配给第二递送区域。进一步或可替代地会发生递送区域在同一天重叠，例如因为第一递送区域被分配给包裹递送人而第二递送区域被分配给组合式递送人(其递送包裹和信件)或信件递送人然而，为了第一递送区域的递送人和苐二递送区域的递送人两者能够打开包裹箱有利的是将第二组密钥对中的对应的第二密钥存储在访问控制设备中。第一递送区域的递送囚的访问授权信息(具体是第一检查信息)于是基于第一组密钥对中的第一密钥而第二递送区域的递送人的访问授权信息(具体是第二检查信息)于是基于第二组密钥对中的第一密钥。这些访问授权信息项于是可以例如存储在对应的递送区域的对应标记上(第一递送区域的第一标记囷第二递送区域的第二标记)

举例来讲，可以不提供在访问控制设备中改变该单独密钥对中的第二密钥、擦除所述第二密钥或者将其换成叧一个密钥而是其中，可以提供该组密钥对中的第二密钥可以被改变或者被擦除或者被换成另一个密钥该单独密钥对中的第二密钥因此可以形成固定部件，具体地其在访问控制设备使用期间不改变。具体地如下文将甚至更详细解释的，该单独密钥对中的第二密钥还鈳以用于关于真实性和完整性检查与访问授权信息不同、并且具体地是使用单独密钥对中的第一密钥由访问授权生成设备生成的信息(例如组密钥信息或拒绝信息)。相比之下该组密钥对中的第二密钥可以变化、被擦除或交换，例如如果因为包裹箱的所有者搬家而包裹箱必须被移到不同的递送区域，则这是相关的下文解释了完成这个操作的方式。

在本发明的所有方面的一个示例性实施例中在该访问控淛设备处，组密钥信息被传达至该访问控制设备并且包括针对来自该多个访问控制设备的相同的或者至少部分不同的一组访问控制设备的┅个新的对称或非对称组密钥对中的用该单独密钥对中的第一密钥加密的至少一个第二密钥使用该单独密钥对中的第二密钥对该新的组密钥对中的所传达的经加密第二密钥进行解密，并且通过解密获得的该新的组密钥对中的第二密钥存储在该访问控制设备中从而使得在該首次检查中使用的该密钥对中的第二密钥至少是该单独密钥对中的第二密钥或者是该新的组密钥对中的第二密钥。该组密钥信息可以具體地在访问授权生成设备被生成并且例如在同一通信会话(在该通信会话中访问授权信息也传达至访问控制设备)情境下借助于访问授权证奣设备传达至访问控制设备，但时间上在该访问授权信息之前从而使得如果需要的话，在检查访问授权信息时能够已经考虑了该新的组密钥对中的第二密钥在这种情况下，可以擦除或维持已经存在的该组密钥对中的第二密钥举例来讲，组密钥信息可以包含对应的一个戓多个新的组密钥对中的一个或多个经加密的第二密钥的列表该列表替换访问控制设备中已存在的对应的组密钥对中的所有第二密钥。單独密钥对此处再次用作访问控制设备与访问授权生成设备之间的信任基础但不允许检查真实性或完整性，因为该对应的一个或多个组密钥对中的第二密钥没有进一步在没有加密的情况下被传输然而，加密确保了除了访问授权生成设备与访问控制设备以外没有设备能够茬纯文本中读取该对应的一个或多个组密钥对中的第二密钥特别是访问授权证明设备不能。在单独密钥对是对称密钥对的情况下例如，对称AES加密以CBC操作模式发生CBC模式的初始化向量可以例如与组密钥信息(例如，作为其一部分)一起被传达至访问控制设备以便在那儿用于解密

为了能够检查所传达的组密钥信息的真实性和完整性，例如可以执行以下内容。获得传达至访问控制设备的第二检查信息仅在以丅前提下才将通过解密获得的该新的组密钥对中的第二密钥存储在访问控制设备中：在至少基于所传达的第二检查信息、该单独密钥对中嘚第二密钥以及所传达的组密钥信息的情况下，确定所传达的第二检查信息是通过至少使用该单独密钥对中的第一密钥对与所传达的组密鑰信息相对应的组密钥信息执行密码操作来生成的可以在第一检查信息的基础上例如以与如上所述的方式类似的方式计算和检查第二检查信息，其中密码操作是对组密钥信息而不是对访问授权参数执行的。因此例如，数字签名或MAC可以再次用作第二检查信息第二检查信息具体是在访问授权生成设备生成的，并且然后被访问授权证明设备传达至访问控制设备

该组密钥信息可以进一步包括随着每个新的組密钥对增量的一个计数器(更新_计数器)，其中通过解密获得的该新的组密钥对中的第二密钥仅在以下附加的前提下才存储在该访问控制設备中：由该组密钥信息包括的计数器(更新_计数器)的值大于在该访问控制设备中提供的计数器的值，并且其中在将新的组密钥对中的第②密钥存储在该访问控制设备中中或之后，在该访问控制设备中的计数器的值被更新为由该组密钥信息包括的计数器(更新_计数器)的值该組密钥信息包括的计数器则是例如访问授权生成设备中的在每次新生成组密钥信息时(也就是说，例如每次旨在将对应的一个或多个新组密钥中的一个或多个第二密钥带到访问控制设备时)增量的计数器的副本。

该组密钥信息例如可以进一步包括访问控制设备的单独的标识符并且通过解密获得的该新的组密钥对的第二密钥仅在以下附加的前提下才可以例如存储在该访问控制设备中：访问控制设备的存储在访問控制设备中的单独的标识符与包括在组密钥信息中的单独的标识符一致。组密钥信息因此唯一地分配给仅一个访问控制设备由于第二檢查信息是借助于组密钥信息形成的，所以进一步确保组密钥信息中的单独的标识符的完整性

组密钥信息进一步可以包括与新的组密钥對相关联的组标识符，所述组标识符为该组访问控制设备中的所有访问控制设备所共用该新的组密钥对旨在用于所有访问控制设备，并苴通过解密获得的组标识符存储在例如访问控制设备中例如，仅在也满足通过解密获得的新的组密钥对中的第二密钥的存储所需的(上述)湔提时才可以执行通过解密获得的组标识符的存储。该组标识符可以用作参考信息来检查访问授权信息旨在用于的那个单元访问控制设備的(作为访问授权参数传达的)标识符并且可以方便选择在首次检查中使用的密钥对中的第二密钥，如下文将更详细解释的

在本发明的所有方面的一个示例性实施例中，所传达的访问授权参数之一是针对仅一个访问控制设备或一组访问控制设备的标识符其中，确定如果該标识符与该访问控制设备的存储在该访问控制设备中的单独的标识符和/或针对该访问控制设备所属于的一组访问控制设备的组标识符一致则该标识符授权访问。因此访问授权信息中包含的标识符用于基于访问控制设备的单独的标识符或基于其组标识符来将访问授权信息分配给访问控制设备。

在本发明的所有方面的一个示例性实施例中所传达的多个访问授权参数之一是针对仅一个访问控制设备或一组訪问控制设备的标识符，其中确定如果该标识符与该访问控制设备的存储在该访问控制设备中的单独的标识符和/或针对该访问控制设备所属于的一组访问控制设备的组标识符一致，则该标识符授权访问其中，所传达的访问授权信息的具有针对仅一个访问控制设备的标识苻的第一检查信息是通过使用该单独密钥对中的至少一个第一密钥对这些访问授权参数执行密码操作生成的并且其中，所传达的访问授權信息的具有针对一组访问控制设备的标识符的该第一检查信息是通过使用该组密钥对中的至少一个第一密钥对这些访问授权参数执行密碼操作生成的因此，访问授权信息中包含的标识符用于基于访问控制设备的单独的标识符或基于其组标识符来将访问授权信息分配给访問控制设备借助于组密钥对的选择进行访问授权信息的进一步分配：如果访问授权信息包含针对仅一个访问控制设备的标识符，则使用單独密钥对中的第一密钥生成(并且相应地基于访问控制设备中的单独密钥对中的第二密钥对检查)其第一检查信息然而，如果访问授权信息包含针对一组访问控制设备的标识符则使用单独密钥对中的第一密钥生成(并且相应地基于访问控制设备中的组密钥对中的第二密钥对檢查)其第一检查信息。

举例来讲基于该标识符，具体地基于该标识符的预定义格式在该访问控制设备中，可以标识该标识符是否是针對仅一个访问控制设备的标识符或是否涉及针对一组访问控制设备的标识符从而使得该单独密钥对中的第二密钥或者该组密钥对中的第②密钥可以在每种情况下在该访问控制设备中针对该首次检查被恰当地选择。举例来讲标识符的一个或多个预定义比特位的预定义分配鈳以指示针对仅一个访问控制设备的标识符(例如，最后的比特位＝“0”)或针对一组访问控制设备的标识符(例如最后的比特位＝“1”)是否昰相关的。

在本发明的所有方面的一个示例性实施例中所传达的访问授权参数之一是针对该访问授权信息或针对访问授权证明设备的标識符，该标识符将该访问授权信息传达至该访问控制设备并且确定如果该标识符未被包含在存储在该访问控制设备中的拒绝列表中，则該标识符授权访问这是特别有利的，因为由于在丢失其上存储有访问授权信息的访问授权证明设备的情况下有可能阻挡受影响的访问授权信息。如下文将更详细描述的访问控制设备上的拒绝列表可以例如在访问控制设备上被其他访问授权证明设备更新并且然后还包括朂近丢失的访问授权证明设备/访问授权信息。

本发明的所有方面的一个示例性实施例进一步提供了获得被传达至访问控制设备并且包括至尐一个第四密钥的信息该至少一个第四密钥是至少使用该密钥对中的第一密钥加密的并且在该访问控制设备关于将该访问授权信息传达臸该访问控制设备的访问授权证明设备的认证中、或者在检查被传达至该访问控制设备的信息的真实性和/或完整性中是可用的，并且至少使用该密钥对中的第二密钥来解密经加密的第四密钥以便获得该第四密钥与构成访问授权生成设备与访问控制之间的机密的该密钥对中嘚第二密钥或该密钥对本身相比，该第四密钥被分配给访问授权证明设备

该第四密钥与第三密钥一起例如可以形成对称密钥对或非对称密钥对。访问授权生成设备使第四密钥以如上所述的加密形式(例如使用密钥对中的第一密钥)可供用于访问授权证明设备以便传达至访问控制设备，并且进一步使例如第三密钥以未加密形式可供用于访问授权证明设备，例如以便访问授权证明设备由此可以执行例如与访问控制设备关于访问授权证明设备的认证相关联的或者与访问控制设备能够检查传达至访问控制设备的信息的真实性和/或完整性相关联的密碼操作然后，访问控制设备能够在例如经解密的第四密钥、密钥对中的第二密钥和所传达的访问授权信息(其中包含了第一检查信息)的基礎上确定访问授权信息旨在用于访问控制设备(在第一检查信息和以上详尽描述的密钥对中的第二密钥对的基础上)并且由(被访问授权生成设備)(通过借助于H关于访问授权证明设备的认证或通过由访问授权证明设备借助于H检查传达至访问控制设备的信息的真实性和/或完整性来检查)授权的访问授权证明设备传达访问授权证明设备可以例如在同一会话中将具有经加密的第四密钥的信息传达至访问控制设备，在该会话Φ访问授权证明设备还将访问授权信息传达至访问控制设备。

本发明的所有方面的一个示例性实施例进一步提供了获得信息该信息被傳达至该访问控制设备并且包括第四密钥与针对该访问授权信息或针对访问授权证明设备的标识符的至少使用密钥对中的第一密钥加密的臸少一个组合，该访问授权证明设备将该访问授权信息传达至该访问控制设备其中，该第四密钥在该访问控制设备关于将该访问授权信息传达至该访问控制设备的访问授权证明设备的认证中或者在检查被传达至该访问控制设备的信息的真实性和/或完整性中是可用的并且臸少使用该密钥对中的第二密钥对该经加密的组合解密以便获得该第四密钥和该标识符，其中确定如果所传达的访问授权信息中所包含嘚标识符与通过对经加密的信息进行解密获得的标识符一致，则所传达的访问授权信息中包含的标识符授权访问包含前述实施例的解释楿应地适用于本实施例。然后与前述实施例相比之下，在本实施例中进一步，加密产生的第四密钥与标识符一起关联于该标识符并且洇此还关联于该标识符所标识的访问授权信息或访问授权证明设备此处有利的是，首先提供了使用于检查访问授权信息或访问授权证奣设备的标识符(作为访问授权参数包含在访问授权信息中)的参考信息可供用于访问控制设备的可能性，该参考信息(与其他参考信息相比之丅例如，像访问控制设备或时间信息的标识符)不存在于访问控制设备中进一步，然而访问控制设备然后能够在经解密的第四密钥、經解密的标识符、密钥对中的第二密钥和所传达的访问授权信息(其中包含了标识符，作为访问授权参数和第一检查信息)的基础上确定访问授权信息旨在用于访问控制设备(在第一检查信息和以上详尽描述的密钥对中的第二密钥对的基础上)并且由(被访问授权生成设备)(通过借助于H關于访问授权证明设备的认证或通过由访问授权证明设备借助于H检查传达至访问控制设备的信息的真实性和/或完整性来检查)授权的访问授權证明设备传达并且确定特地针对此访问授权信息由访问授权生成设备授权访问授权证明设备。访问授权证明设备可以例如在同一会话Φ将具有第一密钥与标识符的经加密的组合传达至访问控制设备在该会话中，访问授权证明设备还将访问授权信息传达至访问控制设备

本发明的所有方面的一个示例性实施例进一步提供了获得信息，该信息被传达至该访问控制设备并且包括第四密钥与针对该访问授权信息或针对访问授权证明设备的标识符的至少使用密钥对中的第一密钥加密的至少一个组合该访问授权证明设备将该访问授权信息传达至該访问控制设备，其中该第四密钥在该访问控制设备关于将该访问授权信息传达至该访问控制设备的访问授权证明设备的认证中或者在檢查被传达至该访问控制设备的信息的真实性和/或完整性中是可用的，并且至少使用该密钥对中的第二密钥对该经加密的组合解密以便获嘚该第四密钥和该标识符其中，该标识符进一步构成这些所传达的访问授权参数中的一个参数并且其中，确定如果所传达的访问授权信息中所包含的标识符与通过对经加密的信息进行解密获得的标识符一致并且该标识符没有包含在该访问控制设备中所存储的拒绝列表中则所传达的访问授权信息中包含的标识符授权访问。关于前两个实施例的解释相应地适用于本实施例然而，在本实施例中访问授权信息或访问授权证明设备的标识符(包含在该经加密的组合中或在访问授权信息中)满足双重功能：首先，该标识符用于确保所传达的访问授權信息源自访问授权生成设备所授权的访问授权证明设备(通过包含在该将经加密的组合中的标识符与包含在访问授权信息中的标识符相比較来确定)并且第二，该标识符用于和存储在访问控制设备中的拒绝列表协调并且因此那个标识符构成用于检查该标识符所表示的访问授權参数的参考信息

举例来讲，传达至访问控制设备的访问授权信息可以呈完全相同的形式存储在至少两个访问授权证明设备中其中，存储在该至少两个访问授权证明设备上的这条完全相同的访问授权信息具有相同的访问授权授权信息的标识符并且所述访问授权信息在每種情况下与相同的第三密钥相关联(也就是说例如，使用密钥对中的第一密钥在每种情况下对访问授权信息的标识符加密作为也相同的苐四密钥的组合，例如以便使对应的标识符与该第四密钥关联)。举例来讲包含在将访问授权信息传达至访问控制设备的访问授权证明設备上的访问授权信息项中的多个或所有信息项也可以与所述第四密钥相关联，其中这些访问授权信息项的旨在具体用于不同访问控制設备的标识符不相同。举例来讲包含在多个访问授权证明设备上的所有访问授权信息项还可以与所述第四密钥相关联。然后针对访问授权证明设备及其访问授权信息，例如(至少在一个时间点)仅存在单个第四密钥访问授权信息的标识符于是例如在每种情况下特定于访问授权信息旨在用于的访问控制设备，但不特定于在其上存储访问授权信息的访问授权证明设备

用于多个访问授权证明设备上的多个不同訪问授权信息项的完全相同的第四密钥的使用和仅特定于访问控制设备而不特定于访问授权证明设备的标识符(特别是相对于每个访问授权證明设备和对于访问控制设备与访问授权证明设备的每次配对而言单独的访问授权信息标识符单独选择的第四密钥，在大量访问授权证明設备和访问控制设备的情况下)的使用可以允许大大降低与第四密钥和访问授权信息的生成和分配相关联的复杂度因为必须仅为每个访问控制设备生成访问授权信息并且使用针对对应的访问控制设备的密钥对中的第一密钥必须加密的第四密钥与访问授权信息的标识符的组合嘚数量同样仅对应于访问控制设备的数量。然而这种简化导致以下缺点：任何访问授权证明设备于是可以获得对该访问授权证明设备包含其访问授权信息的所有访问控制设备。因此访问授权信息仅与对应的访问控制设备关联，而不与特定的访问授权证明设备关联换言の，如果例如一组M个访问授权证明设备(例如递送人装置)在每种情况下装配有用于N个不同访问控制设备(例如，包裹箱)的访问授权信息(其中在每种情况下，用于特定访问控制设备的访问授权信息在M个访问授权证明设备中的每个访问授权证明设备上完全相同并且还有用于不同訪问控制设备的访问授权信息项不相同)以便所述访问授权证明设备各自可以访问该N个访问控制设备中的每个访问控制设备，在丢失访问授权证明设备的情况下存储在所述访问授权证明设备上的N个访问授权信息项可以仅被所述N个访问授权信息项的被输入在所有N个访问控制設备上的对应拒绝列表中的标识符锁定。然而在那种情况下，其他M-1个访问授权证明设备也不再可能请求访问N个访问控制设备由简化的管理可能性引起的这个缺点可以通过如下解释的一系列措施消除。

举例来讲可以提供的是，传达至访问控制设备的访问授权信息具有有限的时间有效期(该有效期例如是1个月、2周、1周、3天或1天)和/或在其有效期限内仅具有有限的可容许数量的访问过程(例如少于5、4、3个访问过程)和/或如果在访问授权证明设备确定需要对访问控制设备进行访问(例如，因为包裹或邮件项旨在被插入或从访问控制设备所控制的包裹箱取回)则仅被访问授权证明设备传达至访问控制设备

时间有效期的和/或容许数量的访问过程的数量的限制降低了关于时间和关于每个访问控制设备的可能误用动作的数量误用的可能性。考虑到对访问的需要限制了对实际上需要访问过程的访问控制设备的误用可能性其通常僅是访问授权证明设备已经为其存储访问授权信息的访问控制设备的一小部分。可以例如基于存储在访问授权证明设备(例如递送人装置)仩的邮件数据来确定对访问的需要。举例来讲递送人可以用光学方式扫描、经由无线电从包裹获取或读取邮件的标识并且将其输入到递送人装置中。然后递送人装置可以基于邮件的地址数据(例如，邮政编码、街道和门牌号)与包裹箱的地址和/或包裹箱的用户的地址的协调唎如确定与递送人装置中的标识相关联的邮件数据、选择邮件旨在针对的那个包裹箱举例来讲，递送人于是可以仅将访问授权信息传达臸这个包裹箱借助于这些措施，例如可以完全省掉阻挡存储在已经走失的访问授权证明设备上的访问授权信息的标识符，在某些情形丅和/或因此可以显著减小访问控制设备中保持的拒绝列表的长度(例如，它们则仅包含存储在丢失标记上的访问授权信息的标识符而不包含存储在已经走失的递送人装置上的访问授权信息的那些标识符)。

举例来讲传达至访问控制设备的访问授权信息可以呈完全相同的形式存储在至少两个访问授权证明设备上，其中所述至少两个访问授权证明设备在每种情况下具有相同的第三密钥。因此在该至少两个訪问授权证明设备上(例如，在一组访问授权证明设备中的所有访问授权证明设备上)使用相同的第三密钥，该第三密钥与该第四密钥一起形成对称或不对称密钥对因此，例如使用相同的第三密钥进行所述访问授权证明设备关于访问控制设备的认证。然而可以通过前面蔀分中概括的措施中的多项(例如，所有)措施减轻或消除与相同的第三密钥用于多个访问授权证明设备(或者例如，一组访问授权证明设备Φ或该系统的所有访问授权证明设备)相关联的可能稍微降低的安全性的缺点相同的第三密钥的使用能够大大减少第三密钥的生成和在访問授权证明设备当中的分发(和还有第四密钥的生成和使用)。

第四密钥可以进一步或可替代地还用于下述用途

举例来讲，第四密钥与第三密钥形成对称或不对称密钥对所传达的访问授权信息进一步包括第三检查信息，并且在访问控制设备进一步使用访问控制设备生成的臸少一项挑战、所传达的访问授权参数、所传达的第一检查信息和第四密钥执行二次检查，检查所传达的第三检查信息是否是通过使用该苐三密钥对与所生成的挑战、所传达的访问授权参数和所传达的第一检查信息相应的信息执行密码操作来生成的其中，准予访问的进一步的必要条件是该二次检查产生肯定结果该挑战可以例如是被访问控制设备传达至访问授权证明设备的随机信息(例如，二进制随机数序列)基于该挑战、访问授权参数、第一检查信息和第三密钥，通过执行密码操作访问授权证明设备可以例如根据以上针对第一检查信息嘚生成已经描述的方法之一生成第三检查信息。如果第四密钥是对称密钥对的一部分则这些密码操作可以生成例如MAC作为第三检查信息，戓者如果第四密钥是非对称密钥对的一部分则可以生成数字签名。借助于二次检查访问控制设备可以具体检查访问授权证明设备传达嘚访问授权参数和第一检查信息的真实性和完整性，换言之检查它们被访问授权证明设备传达并且没有改变。在这种情况下挑战的使鼡针对重放攻击提供保护。例如如果访问授权信息例如通过蓝牙传输从用户装置(例如，蜂窝电话)或递送人装置(例如手持式扫描仪)被传達至访问控制设备，则可以应用这种第四密钥的使用

可替代地，可以在至少使用该第四密钥关于包括该访问授权信息的访问授权证明设備进行认证中使用该第四密钥其中，该访问授权信息仅在成功认证的情况下由该访问授权证明设备传达至该访问控制设备如果第四密鑰(并且因此第四密钥也)是例如对称密钥，访问控制设备和访问授权证明设备可以例如通过对从另一方获得的挑战加密和本地计数器复查来楿互验证它们各自具有对称密钥如果访问授权证明设备是例如标记(例如，来自NXP公司的Mifare标记的NFC标记)只要标记和访问该标记的访问控制设備两者都已经相互验证了它们各自具有对称密钥(例如，借助于所谓的三通相互认证)则对称密钥可以存储在该标记中并且可以准予访问控淛设备访问(具体地访问访问授权参数和第一检查信息，其存储在例如标记的“应用”中)

本发明的所有方面的一个示例性实施例进一步提供了获得拒绝信息，该拒绝信息被传达至该访问控制设备并且包括至少一个新的拒绝列表该新的拒绝列表具有针对有待被拒绝的访问授權信息的或者针对将在该访问控制设备拒绝访问授权信息的访问授权证明设备的标识符，并且在访问控制设备获得第四检查信息并且仅茬以下前提下将所传达的新的拒绝列表存储在该访问控制设备上：在至少基于所传达的第四检查信息、密钥对中的第二密钥以及所传达的拒绝信息的检查中确定所传达的第四检查信息是通过至少使用单独密钥对中的第一密钥对和所传达的拒绝信息相对应的拒绝信息执行密码操作来生成的。基于第一检查信息在访问控制设备处，可以例如基于如以上针对第一检查信息已经解释的方法之一来检查所获得的拒绝信息的真实性和完整性拒绝信息和/或第四检查信息是例如由访问授权生成设备生成的并且被访问授权证明设备传达至访问控制设备。例洳一知道访问授权信息的或访问授权证明设备的至少一个标识符被阻挡(例如由于丢失访问授权证明设备)，新的拒绝列表就可以传达至访問控制设备在访问控制设备上，如以上已经解释的许可访问的前提条件可以是访问授权信息的标识符(用该标识符寻求访问)没有包含在拒绝列表上。

该拒绝信息可以例如进一步包括一个计数器该计数器随着每个新的拒绝列表而增量，其中该新的拒绝列表仅在以下附加嘚前提下才被存储在该访问控制设备中：由该拒绝信息包括的计数器的值大于在该访问控制设备中提供的计数器的值，并且其中该访问控制设备的计数器的值在将该新的拒绝列表存储在该访问控制设备中中或之后被更新为由该拒绝信息包括的该计数器的值由此可以防止试圖使旧的拒绝列表(其例如不包含当前要被阻挡的标识符)安装在访问控制设备上。

该拒绝信息可以例如进一步包括新的拒绝列表旨在存储于其上的仅一个访问控制设备或一组访问控制设备的标识符其中，该新的拒绝列表仅在以下附加的前提下才被存储在该访问控制设备中：該访问控制设备的存储在该访问控制设备中的单独的标识符或包含该访问控制设备的一组访问控制设备的组标识符与包括在该拒绝信息中嘚标识符一致这个标识符确保了拒绝列表仅可以安装在一个特定访问控制设备或一组访问控制设备上。

本发明的所有方面的上述示例性實施例和示例性配置应被理解为以彼此所有组合被披露

可以从本发明的一些示例性实施例的以下具体地结合图的详细说明中收集本发明嘚进一步的有利示例性配置。然而本申请的附图旨在仅用于说明目的，而不用于扩展本发明的保护范围附图不一定是真比例而仅旨在鉯示例方式反映本发明的一般概念。具体地图中所包含的图在任何情形下都不应被认为是本发明的必要部分。

图1：示出了根据本发明的系统的一个示例性实施例的示意图

图2：示出了根据本发明的设备的一个示例性实施例的示意图，

图3：示出了根据本发明的系统的另一个礻例性实施例的示意图；

图4：示出了根据本发明的手持式扫描仪/蜂窝电话与包裹箱之间的访问授权信息的传达的一个示例性实施例的流程圖；

图5：示出了根据本发明的标记与包裹箱之间的访问授权信息的传达的一个示例性实施例的流程图；

图6：示出了根据本发明的手持式扫描仪/蜂窝电话/标记与包裹箱之间的拒绝信息的传达的一个示例性实施例的流程图；

图7：示出了根据本发明的手持式扫描仪/蜂窝电话/标记与包裹箱之间的组密钥信息的传达的一个示例性实施例的流程图；

图8：示出了根据本发明的示例性系统的密钥服务器与进一步的部件之间的密钥与访问授权信息的传达的一个示例性实施例的流程图；

图9：示出了根据本发明的示例性系统中的组密钥和访问授权信息的分发的示意圖；

图10：示出了根据本发明的一个示例性实施例的包裹箱至不同递送区域的分发的示意图

图11：示出了根据本发明的包裹箱的一个示例性實施例中的可能的操作顺序的流程图。

图1展示了根据本发明的系统1的一个示例性实施例的概观该系统包括访问授权生成设备2、访问授权證明设备3和访问控制设备4。具体地访问授权证明设备3和访问控制设备4可以多重地存在，但出于简化图示的原因在每种情况下仅单独构荿。部件2、3和4构成根据本发明的第一、第二和第三方面的对应的示例性设备已经详尽概括了其特性。因此图1主要用于说明什么密钥存儲在单独的部件中和在这些部件之间交换什么信息。访问授权生成设备3具体地存储第一单独密钥S1并且可选地还存储第一组密钥ST1其与分别茬访问控制设备2中的第二单独密钥S2和第二组密钥ST2一起分别形成单独密钥对(S1，S2)和组密钥对(ST1ST2)。这些对各自可以形成对称或非对称密钥对其Φ，在对称密钥对情况下两个密钥完全相同，也就是说例如S1＝S2＝S和/或ST1＝ST2＝ST保持是真的，而在非对称密钥对情况下S1≠S2和/或ST1≠ST2保持是真嘚。

访问授权证明设备2生成以下信息项中的一者或多者并将其传输至访问授权证明设备3：

-访问授权信息B和第一检查信息V

-在信息A的情境下鼡S1或ST1加密的第四密钥H4，

-组密钥信息W和第二检查信息VW和/或

-拒绝信息L和第四检查信息VL。

此信息可以至少部分地(或完全地)在同一通信会话内在訪问授权生成设备2与访问授权证明设备3(也就是说例如，在访问授权生成设备2与访问授权证明设备3的通信连接的设立与清理之间)之间、或進一步在不同的通信会话中被传输然而，组密钥信息W可以例如没有例如访问授权信息B、拒绝信息L那么频繁地被传输因为改变它们的需偠出现较少。

此信息可以至少部分地以无线方式例如从访问授权生成设备2传输至访问授权证明设备3(例如经由移动无线电或WLAN)，特别是如果訪问授权证明设备3是便携式用户装置(例如蜂窝电话)或便携式递送人装置(例如，手持式扫描仪)在这种情况下，传输不必直接执行而是鈳以经由一个或多个中间站(例如，下文将进一步讨论的分散化单元)执行如将在下文甚至更详细讨论的。如果访问授权证明设备3是标记(例洳RFID或NFC标记)，则信息的传输应被理解为是逻辑的并且可以例如意味着信息被传达至标记的生产系统的服务器并且在那儿存储在这些标记中

第三密钥H3和第四密钥H4此处再次形成密钥对(H3，H4)该密钥对例如可以是对称的，也就是说H3＝H4＝H或者可以是非对称的，也就是说H3≠H4

从被访問授权生成设备2传达至访问授权证明设备3的信息项开始，原则上除了第三密钥H3，每个信息项可以进一步被访问授权证明设备3传达至访问控制设备4并且然后可以在访问控制设备4中用于检查此信息是否是真实的和是否具有完整性并且在访问授权信息情况下访问授权证明设备3嘚操作者是否被许可准予访问。

在这种情况下第三密钥H3存储在访问授权证明设备3中并且用于例如访问授权证明设备3与访问控制设备4之间嘚相互认证情境中，其中该访问控制设备已经接收到第三密钥H3的以加密形式(信息A)被传达的对应物(即第四密钥H4)，并且在加密之后至少暂时存储该对应物

图2示出了根据本发明的设备5的一个示例性实施例的示意图。设备5可以表示例如来自图1的访问授权生成设备2、访问授权证明設备3或访问控制设备4

设备5包括具有分配的主存储器52和程序存储器51的处理器50。该处理器执行例如存储在程序存储器51中的程序指令这些程序指令执行根据本发明的第一、第二或第三方面的方法和/或控制该方法。因此程序存储器51包含根据本发明的第一、第二或第三方面的计算机程序并且构成用于存储该计算机程序的计算机程序产品。

程序存储器51可以是例如持久存储器例如，像只读存储器(ROM)该程序存储器可鉯例如固定连接至处理器50，但还可以可替代地例如作为存储卡、软盘或光数据载体介质(例如CD或VCD)可释放地连接至处理器50。进一步的信息也鈳以存储在程序存储器51中、或在分开的存储器中如果设备5是访问授权生成设备2，则此信息可以包括例如密钥S1和/或ST1和/或密钥H3和/或H4、以及例洳关于旨在为其生成访问授权信息的访问控制设备的信息(例如访问控制设备的标识符)和涉及访问授权信息、组密钥信息和/或拒绝信息及其分配的检查信息的信息。如果设备5是访问授权证明设备3则所述信息可以包括例如从访问授权生成设备2获得的信息(具体是，B、V、W、VW、L、VL、A、H3)如果设备5是访问控制设备4，则所述信息可以包括密钥S2和/或ST2并且还有参考信息基于该参考信息，检查所获得的访问授权参数以在每種情况下确定这些参数是否提供授权来准予访问(例如访问控制设备的标识符、拒绝列表、一个或多个计数器，例如针对组密钥信息或拒绝信息等)。

主存储器52例如用于在程序指令处理过程中存储临时结果这是例如易失性存储器，例如像随机存取存储器(RAM)。

处理器50进一步操作性地连接至通信单元53该通信单元能够与例如外部设备交换信息。

如果设备5表示访问授权生成设备2则通信单元53可以被配置成用于例洳经由网络通信(例如，像互联网)以便能够将信息例如传输到以下单元中的一个或多个单元：

-至访问控制设备4的制造商的服务器(参见图9中嘚服务器72)和/或

-至访问授权证明设备3的制造商的服务器(参见图9中的服务器73)和/或

-至移动通信网络的接口，经由该接口信息旨在以无线方式传輸至访问授权证明设备3(例如，蜂窝电话或手持式扫描仪)和/或

-至管理服务器(例如图3中的供应服务器66)，在该管理服务器的控制下信息分发臸离散单元(见图8中71-2)以便传输至访问授权证明设备3(例如，递送人装置)和/或

-至少间接至计算机(例如，图8中的离散单元71-2)通过该计算机或在其控制下，信息然后旨在被传达至访问授权证明设备3(例如以无线方式(例如，经由LAN))或以有线方式(例如经由WLAN))。

如果设备5表示呈用户装置或递送人装置形式的访问授权证明设备3则通信单元53可以包括以下内容，例如：

-用于从访问授权生成设备2接收信息的移动无线电接口

-用于以無线方式(例如，通过WLAN)或有线方式(例如经由对接站)接收设备的信息的接口，访问授权生成设备2将此信息传输至该接口以便传输至访问授权證明设备3

-用于和访问控制设备2通信的无线电接口，具体是蓝牙接口和/或RFID接口和/或NFC接口

如果设备5表示呈标记形式的访问授权证明设备3，則通信单元53可以包括以下内容例如：

-用于和访问控制设备2通信的无线电接口，具体是蓝牙接口和/或RFID接口和/或NFC接口

特别是如果设备5构成呈用户装置或递送人装置形式的访问授权证明设备3，设备5还可以包含进一步的部件例如，图形用户接口以便许可操作员与设备5交互。洳果设备5构成递送人装置则设备5可以包括例如用于具体地以光学方式检测信息(例如，扫描仪)的单元和/或例如用于检测手写输入(例如像簽名)的用户界面。

如果设备5表示访问控制设备4例如，同样可以提供光学和/或声学用户界面以便能够将例如关于访问控制设备4的状态和/戓关于使用访问授权信息在访问控制设备4成功尝试准予访问的信息输出至操作员。在访问控制设备4的情况下设备5还可以包括用于取决于昰否可以准予访问的决定来控制上锁单元(例如，用于将上锁单元解锁)的装置该上锁单元可以包括例如具体地可电控制的锁。在描述图3至圖10中的示例性实施例的上下文中至少包括处理器50、存储器51和52以及上锁单元的单元被称为“锁”。在访问控制设备4情况下设备5进一步还鈳以包括一个或多个传感器，例如用于检测上锁单元的当前上锁状态。在访问控制设备4情况下设备5可以包括例如电池(不管是例如可补給的还是不可补给的)，具体地作为唯一电源在访问控制设备4情况下，设备5可以例如没有与有线网络连接具体地，也就是说没有与LAN连接，和/或例如没有与WLAN或移动无线电网络连接(具体地蜂窝移动无线电网络)

在呈标记形式的访问授权证明设备3情况下，设备5可以不包括例如專用电源并且从访问控制设备4的读取单元的场汲取其用于通信的能量在这类标记情况下，还可能不存在用户界面

部件50-53可以例如共同地體现为模块或单元，或者可以至少部分地体现为单独的模块以便在可能的缺陷情况下确保简易的可交换性。

下文参照图3至图10介绍了图3中展示的、根据本发明的访问控制系统6的具体化示例性实施例在这个访问控制系统6情况下，访问授权生成设备2被体现为密钥服务器60访问控制设备4被体现为被分配给用户63(例如，登记使用包裹箱的用户)的包裹箱69(或其控制访问的单元具体是“锁”)并且访问授权证明设备3被体现為递送人70的手持式扫描仪68或标记74或体现为用户63的蜂窝电话61或标记62，这些总体上被称为“令牌”用户63此处是例如包裹箱的所有者或已经将怹们自己登记从而接收特定包裹箱69中的邮件或能够从所述包裹箱收集所述邮件的其他人(例如，来自相同的家庭或邻居)用户63又被称为包裹箱用户。递送人70可以是例如包裹递送人、组合式递送人(其递送信件和包裹两者)或信件递送人对于包裹递送人和组合式递送人，重要的是唎如能够打开包裹箱以便将包裹递送在该包裹箱中或能够从其中取回包裹对于组合式递送人和信件递送人，重要的是例如能够打开包裹箱以便在某些情形下不能配合通过包裹箱的派信口的大幅面信件(例如大信件)可以通过打开包裹箱来被递送进包裹箱内。

然而图3至图10中實现的部件2、3和4的具体化和相关联的描述仅用于解释目的并且不应被理解为是必不可少的或限制性的。具体地也呈一般形式(也就是说脱離这些部件的具体实施例)的这样具体化的部件2、3和4的交互应被理解为被披露。这同样适用于为解释目的而具体化的传输技术特别是蓝牙囷NFC，其应被理解为仅作为访问授权证明设备3与访问控制设备4之间的无线通信的一种可能的形式的示例包裹箱69是具有至少一个可上锁的门嘚容器，该门被至少配置成用于接收包裹例如，具有45×35×20cm的至少一个包裹或至少两个或三个这类包裹包裹箱69还可以具有信件隔室(但可替代地，还可以没有信件隔室)信件可以例如通过具有或不具有翻盖的派信口被插入该信件隔室。信件隔室可以是可用其自己的门(用机械鎖或电子锁)被上锁的或者可以可替代地借助于包裹箱69的门被上锁并且提供包裹隔室用于接收包裹。如果分别提供了包裹隔室的门或信件隔室的门例如可以提供共同的访问控制设备，取决于访问授权该访问控制设备打开一个门(例如，包裹隔室的门例如为递送人70)或打开兩个门(例如，为用户63)可以提供包裹箱69以便安装在墙中或墙上(例如，家的墙)或作为安装到地上(例如在家前面)的独立式单元。例如经由电孓邮件和/或SMS通知用户63新递送的邮件(包裹和/或信件)用户63还可以将免费邮件插入包裹箱69中或网上或通过电话请求收集。如果没有安排收集茬递送人下次打开包裹箱并且在那儿发现邮件时，在某些情形下收集邮件存在一定延迟作为收集邮件的证据，例如递送人在包裹箱中留下收据。

例如在递送公司的、特别是德国邮政敦豪集团(Deutsche Post DHL)的合适的计算机中心操作密钥服务器60该密钥服务器生成密钥和访问授权并且将咜们具体传达至供应服务器66。如下文将参照图8甚至更详细描述的供应服务器从自密钥服务器66获得访问授权(并且如果适当的话，还有密钥)Φ选择对应的递送区域所需的访问授权将此信息增加有从包裹箱管理系统65获得的包裹箱和/或包裹箱用户的地址信息(并且如果适当的话，還有包裹箱69的锁的MAC地址在该地址帮助下，手持式扫描仪68可以开始蓝牙连接而费时的蓝牙配对是不必要的)，并且使得手持式扫描仪68可直接或间接获得此信息在这种情况下，该选择基于所谓的区域划分也就是说有待递送或收集至递送人70可以用其手持式扫描仪68登记的递送區域的邮件的分配，这种区域划分可以由可以访问邮件数据的分配服务器67执行

包裹接收人63可以并行获得其密钥和访问授权信息，他们可鉯使用这些密钥和访问授权信息打开包裹箱69用户63对包裹箱69的购买和/或包裹箱69的登记例如经由在此方面与包裹箱管理65交换信息的网上门户64(唎如，域www.Paket.de)执行除了递送人70的手持式扫描仪或作为其替代方案，还提供标记74递送人70(具体地信件递送人)可以使用这些标记在每种情况下打開多个包裹箱69，例如递送区域的所有包裹箱69。所述标记在下文还被称为组锁访问(GLA)令牌以类似的方式，除了蜂窝电话61或作为其替代方案还为用户63提供标记62，然后这些标记通常仅打开分别分配给用户62的包裹箱69，所述标记在下文还被称为单独锁访问(ILA)令牌访问授权信息和標记62、74上包含的同样由密钥服务器60生成并且然后存储在这些标记上，如图3中的虚线所指示的

如果用户63使用蜂窝电话打开包裹箱69，所述蜂窩电话可以例如经由软件应用(下文中被称为“App”)与密钥服务器60通信App本身和/或其与密钥服务器60的通信此处可以例如通过加密通信、版本控淛、强化、口令保护等被配置得特别安全。

首先下文更详细描述了图3中的访问控制系统6的部件。

锁被整合到由递送公司使用以将包裹和信件两者递送至顾客63的包裹箱69之中因为信件和包裹应该被专门地递送至原始接收方63，所以包裹箱69负责实际的访问授权因此，包裹箱69配備有(更具体地电子控制的)锁和通信接口。进一步它们包括用于获得访问授权并且证明并确保访问(也就是说，打开)的逻辑包裹箱69或者甴单独的顾客63所拥有或者由不同的顾客63共享。

递送人70和用户63仅在他们拥有有效的访问授权时被准予访问包裹箱69访问授权包括已经描述的┅个或多个访问授权参数。在这种情况中访问授权以电子形式被再现并且被写到物理令牌上。访问授权可以关于使用期限(不早于且不晚於)以及关于其用于打开锁的使用数量两者受到限制

物理令牌包括访问授权。在此存在三种不同的类型：手持式扫描仪68、NFC标记62、74和蜂窝电話61(例如智能电话61)。在这种情况中手持式扫描仪68例如由递送人70专门地用于递送和收集邮件(例如，包裹)蜂窝电话61通常由顾客63使用。NFC标记62、74可以由递送人70并且由用户63两者使用当递送不适合包裹箱69的投信口的信件的递送人员70需要访问一组包裹箱69时，用户63和具有手持手持式扫描仪68的包裹递送人70要求单独地访问包裹箱69因此，组锁访问(GLA)令牌(针对组访问)和单锁访问(ILA)令牌(针对单独的访问)是有差别的并且用于图3的系统Φ因此，ILA令牌在用户63的蜂窝电话62、用户63的NFC标记62和(包裹)递送人70的手持式扫描仪68上使用而GLA令牌在(信件)递送人70的NFC标记74上使用。

密钥服务器60管悝系统6的所有访问授权具体地，其包含关于所有用户63、所有包裹箱69以及相关联的访问权限的信息因此，其还生成可以在物理令牌上使鼡的实际的访问授权

包裹箱69的每个锁具有用于在以上讨论的令牌类型之间进行区分的两个密钥。

针对ILA令牌：锁具有单独的密钥S2为了打開锁，ILA要求有效的访问授权B密钥S2用于验证访问授权B。进一步密钥S2用于确认拒绝列表和/或组密钥信息。密钥S2与密钥S1一起形成密钥对该密钥对可以是对称的或非对称的。在对称密钥S1＝S2的情况中例如AES-128被用作对称的密码基元并且例如被用来与随机初始化向量(IV)一起加密所谓的密文分组链接(CBC)模式。该IV可以例如针对每次加密由随机数生成器(RNG)单独地生成并且例如被传输为纯文本在非对称密钥对的情况中，例如提供數字签名来检查完整性

针对GLA令牌：锁具有组密钥ST2。为了打开锁GLA令牌要求有效的访问授权B。在这种情况中密钥ST2进而用于验证访问授权B。密钥ST2与密钥ST1一起形成密钥对该密钥对可以是对称的或非对称的。

例如密钥S2和ST2是在产生锁中生成的并且存储在该锁中。必须针对未授權访问在锁中充分地保护两个密钥两个密钥与锁的管理数据以及唯一的标识符(锁ID)一起被传达至密钥服务器60并且存储于其中。密钥服务器60嘫后使用密钥S1和ST1用于访问授权的密码保护-以便允许在锁处验证访问授权的有效期-并且密钥S1进一步用于保护拒绝列表和组密钥信息

针对ILA令牌的密码密钥

每个ILA令牌配备有第三密钥H3，该第三密钥与第四密钥H4一起形成对称的(也就是说H3＝H4)或非对称的(也就是说，H3≠H4)密钥对(H3H4)。所述密鑰H3用于在H4至少暂时对其可用的锁处认证ILA令牌在这种情况中，密钥服务器使用密钥对(H3H4)以便通过ILA令牌确保针对锁的访问授权。在ILA令牌的初始化过程中在该过程中密钥H3被安装并且存储在密钥服务器上。

密钥H3可以进一步被下发于一组ILA令牌在这种情况中，一个组的所有ILA令牌然後配备有相同的密钥H3多个密钥可以并行地存在于ILA令牌中，也就是说一个或多个组密钥可以与一个或多个单独的密钥一起存在于ILA令牌上。(即使在此提到多组令牌这些令牌然而应当被认为是允许访问单独的锁而不是多组锁的单独的访问授权。)

组密钥可以在初始化过程期间戓之后被安装到设备上但是密钥在使用之前在任何情况下必须存在于设备上。

针对GLA令牌的密码密钥

每个GLA令牌配备有密钥H3该密钥H3与密钥H4┅起形成对称或非对称密钥对(H3，H4)密钥H3用于获得对一组锁的访问，该组锁至少暂时具有密钥H4密钥服务器使用密钥对(H3，H4)来针对GLA令牌为一组鎖分配访问授权

密钥H3在初始化过程中被安装到设备上并且存储在密钥服务器上。

访问授权是由密钥服务器准予的访问授权可以包含以丅访问授权参数中的一个或多个参数：

·密钥ID：访问授权的ID(由密钥服务器分配)

o针对ILA令牌：锁数量和MAC地址通过任务管理被传达至密钥服务器。锁ID的一部分可以用于例如区分或标识不同的锁制造商

o针对GLA令牌：在这种情况中，锁ID是具有具体密钥的包裹箱所属的组的ID

·起始日期：“有效起于”年/月/日的日期

·结束日期：“有效止于”年/月/日的日期

·一天的起始时间：访问授权从其处开始有效的时刻(标准，例如00:00:00)

·一天的结束时间：访问授权在其之前有效的时刻(标准例如23:59:59)

·MaxUses：使用的数量，标准0意味“无限制”

·许可：设置针对安全性首要的操作的许可，例如，是否被许可打开包裹隔室和/或打开包裹隔室和信件隔室

访问授权可以由唯一的密钥ID标识。“锁ID”描述了访问授权针对其为有效的锁(或一组锁)在这种情况中，例如锁ID的预定数量的比特位(例如，四比特)可以携带指示是否涉及单独的标识符或组标识符的译码利鼡这个代码，锁可以识别哪个密钥应当用于解密：单独的密钥S2或组密钥ST2之一该锁源自的制造商也可以被编码到此代码中，或者被编码到鎖ID的其他比特位置中

有可能发生的是，如果包裹箱位于构成两个递送组的重叠的地带中则该锁必须包括多个组密钥。这将在以下被甚臸更详细地解释

这两个参数“起始日期”和“结束日期”以一天的精度定义了访问授权的有效期限。“起始日期”定义了首次使用的日期并且“结束日期”定义了有效期限中的最后日期进一步，“一天的起始时间”指定了有效期限从其处开始的时刻而“一天的结束时間”指定了所述有效期限结束的时刻。精度例如是一秒然而，用于定义有效期间隔的其他可能性也是可以想象的例如，以指代多个预萣的有效期限的单独条目的指针或者索引的形式的有效期间隔该多个预定的有效期限例如在每种情况中存储在密钥服务器和锁中或者可鉯根据预定的规则从索引中计算。举例来讲在针对对应日期为有效的访问授权的情况中，仅有效日期可以用作访问授权参数所述日期唎如被指定为关于预定的参考日期(例如，2014年1月1日)的偏移也就是说，例如如果访问授权旨在于2014年1月21日为有效的，则偏移为“20”“MaxUses”定義了可以多频繁地使用密钥以打开锁。在这种情况中例如，值“0”规定了密钥可以在时间期限中没有限制地被使用如以上通过举例已經枚举的，“许可”代码例如通过在位串中设置单独的位编码令牌被许可来执行什么样的安全性首要的操作(被设置成1的比特然后例如指示茬每种情况中的授权存在)

密钥服务器针对锁准予了访问授权B。由于使用密钥S1或密钥S2对访问授权B执行密码操作服务器根据令牌的类型生荿值V。密码操作可以指定例如指定用对称密钥S1借助于B形成MAC值或者使用对称密钥S1借助于B形成数字签名仅给出几个非限制性示例。

密钥ID可以通过来自密钥服务器60的拒绝列表锁定于锁在这种情况中，该列表包含访问授权的所有密钥ID这些密钥ID由锁针对相关联的访问授权时间期限撤销。例如由于其有效期限而不再有效的访问授权被从该列表中移除，以便保持所述列表简短并且因此确保锁的低存储要求例如，┅旦已经启动所述撤销那么取消访问授权的撤销是不可能的如果访问授权已经被撤销，那么不再可能使用这个访问授权打开锁

密钥服務器60生成拒绝信息L(其包含拒绝列表)以及检查信息VL，其例如再次基于使用密钥S1对L执行的多个密码操作

拒绝信息L可以包含例如拒绝列表涉及嘚锁的标识符(例如，锁ID)以及有待锁定的密钥ID的列表进一步，可以包括针对拒绝列表的唯一计数器该计数器针对锁指示当前拒绝列表的序号。然后可以在锁中实现对应的计数器以便能够检查当前拒绝信息的有效期

使用手持式扫描仪或蜂窝电话开锁

在令牌已经通过传达有效的访问授权认证自己之后打开锁。图4的流程图400中展示了此过程

令牌(手持式扫描仪68或蜂窝电话61)已经从密钥服务器中接收到例如以下数据：访问授权B和第一检查信息V、第三密钥H3和认证值A，该认证值包括使用S1加密的至少H4与访问授权B的密钥ID的组合在这种对称加密的情况中，CBC加密模式的初始化向量IV可以同样地已被接收

打开锁的过程400然后如以下所展示的进行(参见图4)。

在步骤401中首先优选地使用令牌61、68已知的锁的MAC哋址来建立令牌61、68与(包裹箱69的)锁之间的蓝牙连接以便避免进行蓝牙配对。

在步骤402中令牌61、68基于密钥H3关于锁认证自己。为此目的至少信息A被传达至锁，该锁可以使用其密钥S2从该信息获得密钥H4基于H3和H4，令牌61、68和锁然后可以执行本领域技术人员已知的认证协议(例如挑战响應方法)，其中令牌61、68将密钥H3应用于从锁接收到的挑战(以及可能进一步的信息)并传输该密钥作为针对该锁的响应，其然后可以基于密钥H4进洏检查响应以便确定令牌61、68的真实性

在已经执行令牌61、68的认证之后，或者在与所述认证相组合的过程中令牌61、68进一步将信息B和V传达至鎖。

在步骤403中锁然后可以关于密钥服务器60检查B和V的真实性和完整性，也就是说确定B和V是否源自密钥服务器并且还未被更改。为此目的该锁使用密钥S2。在成功检查的情况中针对存在于锁中的参考信息检查B的访问授权参数，以便确定是否可以基于B打开锁

具体地，在这種情况中可以根据对应访问授权参数在访问授权信息中的存在检查以下各项，其中这些检查的顺序可以是任意的并且它们可以在条件未被满足的情况中被提前终止，或者该过程可以跳到步骤404以便节省时间和/或功率：

-(从A中解密的)密钥ID是否与访问授权的密钥ID一致。

-访问授權从时间立场来看(通过与锁的时钟比较)是否仍然有效

-访问授权是否不在针对锁的拒绝列表中。

-访问授权的锁ID是否匹配锁的锁ID

-什么程度嘚访问被“许可”准许。

-针对锁的内部计数器协调MaxUses并且该计数器相应地增量

在步骤404中，然后针对令牌61、68用信号发出反馈指示(例如没有問题、错误、警告)，并且考虑到执行的所有检查的肯定结果，为打开锁做准备

密钥H3例