JP4338989B2 - メモリデバイス - Google Patents
メモリデバイス Download PDFInfo
- Publication number
- JP4338989B2 JP4338989B2 JP2003042288A JP2003042288A JP4338989B2 JP 4338989 B2 JP4338989 B2 JP 4338989B2 JP 2003042288 A JP2003042288 A JP 2003042288A JP 2003042288 A JP2003042288 A JP 2003042288A JP 4338989 B2 JP4338989 B2 JP 4338989B2
- Authority
- JP
- Japan
- Prior art keywords
- application
- data
- memory
- saved
- save
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
- G06F21/77—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information in smart cards
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
- G06F21/79—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data in semiconductor storage media, e.g. directly-addressable memories
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/86—Secure or tamper-resistant housings
Landscapes
- Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Physics & Mathematics (AREA)
- Software Systems (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Mathematical Physics (AREA)
- Storage Device Security (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、半導体メモリカードなどのメモリデバイスに関し、特に、秘匿性を備えた領域の効率的な活用を可能にするものである。
【０００２】
【従来の技術】
近年、電子商取引などへの利用が拡大しているＩＣカードは、耐タンパー性のモジュール内にメモリ領域を有しており、そのため、データを強固に秘匿することができ、複製や偽造に対して固い耐性を備えている。しかし、ＩＣカードのメモリ領域は、数十キロバイト程度の僅かなメモリ容量しか有していないため、多くのデータを格納することができない。
【０００３】
このＩＣカードに格納されたアプリケーションプログラム（以下、「ＡＰ」と言う）を一時的に端末に退避させて、ＩＣカードを有効に活用する技術が下記特許文献１に記載されている。このＩＣカードは、暗号化鍵を生成・管理し、退避対象のＡＰを暗号化してから端末に退避させる。また、退避させたＡＰを回復するときは、端末から受け取ったＡＰを、管理している暗号化鍵を用いて復号化し、ＩＣカード内部のメモリ領域に再格納する。
【０００４】
【特許文献１】
特開２０００−１１１０１号
【０００５】
【発明が解決しようとする課題】
しかし、ＩＣカードに格納したＡＰを端末Ａに退避させた場合は、その端末Ａ以外の端末ＢでＡＰを利用しようとすると、端末ＡをＩＣカードに接続して、退避させたＡＰをＩＣカード内部のメモリ領域に再格納し、その後に端末ＢとＩＣカードとを接続したり、あるいは、端末Ａに退避したＡＰを、ネットワーク等を介して端末Ｂに移送し、その後に端末ＢとＩＣカードとを接続したりする必要がある。つまり、ＡＰをＩＣカードの外に退避させた場合は、退避先の端末Ａ以外の端末ＢでＡＰを利用する場合に、極めて煩雑な手順が必要になるという問題点がある。
【０００６】
本発明は、こうした従来の問題点を解決するものであり、秘匿性を備えた領域を効率的に活用して、ＡＰの利用に必要な多くのデータを内部で安全に保持することができるメモリデバイスを提供することを目的としている。
【０００７】
【課題を解決するための手段】
そこで、本発明のメモリデバイスには、電子機器から直接アクセスすることができない耐タンパー性の第１のメモリと、電子機器から直接アクセスすることができない非耐タンパー性の第２のメモリとを設け、第２のメモリを使用して、第１のメモリに蓄積されたデータを退避するように構成している。
このメモリデバイスでは、多数のＡＰの利用に必要なデータをデバイス内部で安全に保持することができるため、認証条件を満たす端末であれば、どの端末でも、そこに保持されたデータを利用することができる。
【０００８】
【発明の実施の形態】
本発明の実施形態における半導体メモリカード（ここでは「セキュアメモリカード」と呼ぶことにする）は、図２の概念図に示すように、耐タンパー性モジュール（tamper resistant module:ＴＲＭ）４０に含まれる内部ＣＰＵ３０及び内部不揮発性メモリ４１と、非認証領域５３、認証領域５２及びセキュア領域５１を備える大容量不揮発性メモリ５０と、端末装置（リード／ライト（Ｒ／Ｗ）装置）の外部ＣＰＵ６０と通信して、端末装置によるメモリ領域へのアクセスを制御する制御部２０とを備えている。
【０００９】
内部不揮発性メモリ４１及びセキュア領域５１に対しては、内部ＣＰＵ３０のみがアクセス可能であり、端末装置は、内部不揮発性メモリ４１及びセキュア領域５１に直接アクセスすることはできない。また、制御部２０は、端末装置の認証処理を行い、認証した外部ＣＰＵ６０が認証領域５２にアクセスすることを許可する。一方、非認証領域５３に対しては、端末装置は無条件でアクセスすることができる。
【００１０】
ＴＲＭ４０の不揮発性メモリ４１は、例えば、１６バイト単位で消去・書き込みができるＥＥＰＲＯＭから成り、また、大容量不揮発性メモリ５０は、例えば、５１２バイト等のブロック単位での消去と１バイト単位での書き込みとが可能なフラッシュメモリから成る。
外部ＣＰＵ６０は、非認証領域５３に無条件でアクセスすることができ、また、認証領域５２には、制御部２０での認証を済ませた場合にアクセスすることができるが、セキュア領域５１及び内部不揮発性メモリ４１の存在を知ることはできず、これらに直接アクセスすることはできない。
【００１１】
セキュア領域５１及び内部不揮発性メモリ４１に対しては、内部ＣＰＵ３０だけがアクセス可能である。セキュア領域５１と内部不揮発性メモリ４１との違いは、内部不揮発性メモリ４１がＴＲＭ４０に設けられているのに対し、セキュア領域５１が、耐タンパー性を持たない大容量不揮発性メモリ５３に設けられている点である。そのため、セキュア領域５１は、内部不揮発性メモリ４１に比べて大きい蓄積容量を持つことができる。その反面、セキュリティレベルは、ＴＲＭ４０に設けられた内部不揮発性メモリ４１よりも低い。この４つの領域のセキュリティレベルは、非認証領域５３が最も低く、認証領域５２、セキュア領域５１、内部不揮発性メモリ４１の順に高くなっている。
【００１２】
図３のブロック図は、セキュアメモリカード１０の構成を示している。セキュアメモリカード１０は、大別して、制御部２０と、大容量不揮発性メモリ５０と、図２のＴＲＭ４０に相当するＩＣ部１１とで構成される。大容量不揮発性メモリ５０は、非認証領域５３と、認証領域５２と、セキュア領域５１と、これらの領域のアドレス情報が格納されたアドレス情報管理領域５４とを有している。
【００１３】
制御部２０は、Ｒ／Ｗ装置６９との間でデータの授受を行うデータＩ／Ｆ部２１と、Ｒ／Ｗ装置６９との間でコマンドの授受を行うコマンドＩ／Ｆ部２２と、Ｒ／Ｗ装置６９を認証する制御認証部２３と、受け付けたコマンドを解釈してコマンドに応じた処理を行う制御コマンド処理部２４と、大容量不揮発性メモリ５０へのアクセスを制御するとともにＩＣ部１１とのデータの受け渡し窓口となるアクセス制御部２５と、大容量不揮発性メモリ５０との間でデータを受け渡す大容量不揮発性メモリＩ／Ｆ部２６とを備えている。
【００１４】
また、耐タンパー性のＩＣ部１１は、内部不揮発性メモリ４１と、制御部２０との間でデータやコマンドの授受を行うＩ／Ｆ部１２と、コマンドを解釈してコマンドに応じた処理を行うＩＣコマンド処理部１３と、内部不揮発性メモリ４１及びセキュア領域５１にファイル形式で格納されたデータを管理するファイル管理部１４と、Ｒ／Ｗ装置６９を認証し、認証したＲ／Ｗ装置６９に対して内部不揮発性メモリ４１及びセキュア領域５１へのデータアクセスを許可するＩＣ認証部１５と、内部不揮発性メモリ４１及びセキュア領域５１への書き込み／読み出しデータに対して内部不揮発性メモリ４１に格納された鍵を用いて暗号化／復号化を行う暗復号回路１７と、内部不揮発性メモリ４１及びセキュア領域５１の管理を行うメモリ管理部１６と、内部不揮発性メモリ４１へのデータの授受を行う内部不揮発性メモリＩ／Ｆ部１８とを備えている。
【００１５】
制御部２０の制御コマンド処理部２４は、Ｒ／Ｗ装置６９から受信したコマンドを解釈し、そのコマンドが
・大容量不揮発性メモリ５０の認証領域５２または非認証領域５３へのアクセスを要求するものであるか、
・認証を要求するものであるか、
・ＩＣ部１１による処理を要求するものであるか
を判断し、大容量不揮発性メモリ５０の認証領域５２または非認証領域５３へのアクセスを要求しているときは、アクセス制御部２５に大容量不揮発性メモリ５０へのアクセス制御を指示し、ＩＣ部１１による処理を要求しているときは、アクセス制御部２５にＩＣ部１１へのコマンドの転送を指示し、また、認証を要求しているときは、制御認証部２３に認証処理を指示する。
【００１６】
アクセス制御部２５は、大容量不揮発性メモリ５０へのアクセス制御に当たって、大容量不揮発性メモリ５０のアドレス情報管理領域５４に記録されたアドレス情報を参照する。端末（Ｒ／Ｗ装置６９）が大容量不揮発性メモリ５０の論理アドレスを指定してアクセスを求めて来たときは、アドレス情報管理領域５４の記録から、指定されたアドレスが大容量不揮発性メモリ５０のいずれの領域に属しているかを判断し、認証領域５２へのアクセス要求に対しては、認証済み端末に限って許可する。
【００１７】
また、ＩＣ部１１のＩＣコマンド処理部１３は、制御部２０から送信されたコマンドを解釈し、その処理要求が、
・内部不揮発性メモリ４１へのデータ書き込み／読み出しを要求するものであるか、
・セキュア領域５１へのデータ書き込み／読み出しを要求するものであるか、
・認証を要求するものであるか、
・その他の処理を要求するものであるか
を判断する。
【００１８】
コマンドが、認証を要求しているときには、ＩＣコマンド処理部１３は、ＩＣ認証部１５にＲ／Ｗ装置６９の認証処理を指示する。
また、コマンドが、内部不揮発性メモリ４１へのデータの書き込み／読み出し、または、セキュア領域５１へのデータの書き込み／読み出しを要求するコマンドであるときには、ＩＣコマンド処理部１３は、ＩＣ認証部１５において認証処理が済んでいるかを確認し、認証処理が済んでいる場合は、その要求を許可し、その要求が書き込み要求であるときは、書き込むデータを、格納先の情報を付してメモリ管理部１６に送る。
【００１９】
内部不揮発性メモリ４１及びセキュア領域５１を管理するメモリ管理部１６は、書き込むデータを暗復号回路１７で暗号化し、データに署名（この処理に用いる暗号鍵や検証鍵は内部不揮発性メモリ４１に格納されている）を付した後、内部不揮発性メモリ４１に書き込むべきデータを、内部不揮発性メモリＩ／Ｆ部１８を介して、内部不揮発性メモリ４１に書き込み、書き込み位置の情報をファイル管理部１４に伝える。また、セキュア領域５１に書き込むべきデータを、大容量不揮発性メモリＩ／Ｆ部２６を介して、大容量不揮発性メモリ５０のセキュア領域５１に書き込み、書き込み位置の情報をファイル管理部１４に伝える。なお、署名は、暗号化したデータとは別に内部不揮発性メモリ４１で保持する場合もある。
【００２０】
ファイル管理部１４は、メモリ管理部１６から伝えられた情報を基に、内部不揮発性メモリ４１及びセキュア領域５１に格納されたファイルを管理する。
また、ＩＣコマンド処理部１３は、その要求が読み出し要求であるときは、読み出すべきデータのファイル位置をファイル管理部１４に求め、メモリ管理部１６にそのファイルの読み出しを要求する。
メモリ管理部１６は、そのファイルを内部不揮発性メモリ４１またはセキュア領域５１から読み出すと、暗復号回路１７でデータの署名検証や復号化を行い、ＩＣコマンド処理部１３に送る。
【００２１】
復号化されたデータは、制御部２０に送られ、データＩ／Ｆ部２１からＲ／Ｗ装置６９に送信される。
また、ＩＣコマンド処理部１３は、メモリ容量が少ない内部不揮発性メモリ４１を有効に活用するため、内部不揮発性メモリ４１に格納したデータをセキュア領域５１に退避させる処理を行う。以下、この退避処理について詳しく説明する。
【００２２】
（第１の実施形態）
ＩＣコマンド処理部１３は、端末から、セキュアカード内部で動作する、退避可能なＡＰのダウンロード（以下「ＤＬ」と言う）が要求された場合に、内部不揮発性メモリ４１に空きが有るときは、端末から送られたＡＰのプログラムコード（プログラムを記述するプログラムデータ）を内部不揮発性メモリ４１に格納する処理、即ち、ＤＬ処理を行う。また、端末のインストール要求に応じて、ＤＬしたＡＰのプログラムコードを実行し、ＡＰ用のデータを作成してＡＰを実行可能な状態にする処理、即ち、インストール処理を行う。
【００２３】
また、ＩＣコマンド処理部１３は、内部不揮発性メモリ４１に空きが無いときは、端末からの指示により（または、自らの判断で）、内部不揮発性メモリ４１に既に格納されている、退避可能なＡＰのプログラムコード及びデータをセキュア領域５１に退避させる処理を行い、空きができた内部不揮発性メモリ４１に、端末から送られたＡＰのＤＬ処理及びインストール処理を行う。
また、ＩＣコマンド処理部１３は、セキュア領域５１に退避したＡＰの起動が端末から要求された場合に、そのＡＰをインストール状態に戻すために、内部不揮発性メモリ４１に空いた領域が有るときは、起動要求されたＡＰのプログラムコード及びデータを内部不揮発性メモリ４１に復元（データ移動）し、そのＡＰを起動する。
【００２４】
この場合、内部不揮発性メモリ４１に空いた領域が無いときは、内部不揮発性メモリ４１に格納されている退避可能なＡＰのプログラムコード及びデータをセキュア領域５１に退避させ、空きができた内部不揮発性メモリ４１に、起動要求されたＡＰのプログラムコード及びデータを復元する。
なお、セキュア領域５１への退避は、ＡＰのインストール処理で作成したデータだけを対象に行い、ＡＰのプログラムコードについては内部不揮発性メモリ４１から削除するようにしても良い。プログラムコード自体は、退避するデータと違って、セキュアカードで生成したものではなく、いつでも端末から同じものをＤＬすることが可能なためである。このＡＰの起動は、セキュア領域５１に退避したＡＰのデータを内部不揮発性メモリ４１の空き領域に復元し、端末からＡＰのプログラムコードを内部不揮発性メモリ４１にＤＬして行われる。
【００２５】
図１は、この内部不揮発性メモリ４１の構成を示している。内部不揮発性メモリ４１の内部には、ＡＰのプログラムコードが格納されるＡＰ格納領域４１１と、ＡＰで利用するデータが格納されるデータ格納領域４１２と、内部不揮発性メモリ４１にプログラムコード及びデータが格納されたＡＰを管理するためのＡＰ管理テーブル４１３と、セキュア領域５１に退避したＡＰを管理するための退避ＡＰ管理テーブル４１４と、退避・復元するコードやデータの暗号化・復号化に用いる鍵と署名生成・検証に用いる鍵とが格納された鍵管理領域４１５とが設けられている。
【００２６】
ＡＰ管理テーブル４１３には、図４に示すように、ＡＰがどのようなものであるかを一意に示すＡＰ識別子と、そのＡＰのインストール処理がされているか否かを示すインストールフラグと、プログラムコードが格納されたＡＰ格納領域４１１のアドレスを示すコードアドレスと、データが格納されたデータ格納領域４１２のアドレスを示すデータアドレスと、このＡＰが退避可能であるか否かを示す退避可否とが記述される。なお、退避可否は、ＡＰのＤＬ時に端末から伝えられる。
【００２７】
また、退避ＡＰ管理テーブル４１４には、図５に示すように、ＡＰ識別子と、退避させたデータの格納位置等を一意に特定するための退避データ識別子と、退避データに対する署名データとが記述される。退避データ識別子は、様々な形式で設定することができ、例えば（退避先アドレス＋データサイズ）を退避データ識別子としても良い。
また、図６には、退避データを格納するデータ退避領域５１１を備えたセキュア領域５１の構成を示している。
【００２８】
次に、ＡＰのＤＬ、インストール、退避、及び復元に伴うＡＰ管理テーブル４１３や退避ＡＰ管理テーブル４１４の遷移について説明する。
図１３（ａ）には、初期状態（ＡＰが１つもＤＬ／インストール／退避／復元されていない状態）のＡＰ管理テーブル４１３を示し、また、図１６（ａ）には、初期情報の退避ＡＰ管理テーブル４１４を示している。端末からＡＰとして退避可否が可のＡＰ１がＤＬされると、ＡＰ管理テーブル４１３には、図１３（ｂ）のように記述される。「ｃｏｄｅ１」は、ＡＰ格納領域４１１に格納されたＡＰ１のプログラムコードのアドレスを示している。さらに、退避可否が可のＡＰ２がＤＬされると、ＡＰ管理テーブル４１３の記述は図１３（ｃ）のようになる。ＡＰ１及びＡＰ２をインストールした状態では、ＡＰ管理テーブル４１３の記述は図１４（ｄ）のように変わり、データ格納領域４１２に格納されたＡＰ１のデータのアドレスが「ｄａｔａ１」として、データ格納領域４１２に格納されたＡＰ２のデータのアドレスが「ｄａｔａ２」として記述される。
【００２９】
図１４（ｅ）には、さらに、端末から退避可否が否のＡＰ３、退避可否が可のＡＰ４及びＡＰ５がＤＬされ、インストールした状態を示している。また、このときの内部不揮発性メモリ４１のＡＰ格納領域４１１及びデータ格納領域４１２の状態を図１７（ａ）に、セキュア領域５１のデータ退避領域５１１の状態を図１７（ｂ）に示している。ＡＰ格納領域４１１には空きが無い。
次に、このようにＡＰ格納領域４１１に空きが無い状態で、端末があるＡＰ（ここではＡＰ６）のＤＬを要求した場合には、端末とＩＣコマンド処理部１３との間で図７に示す処理が行われる。
【００３０】
端末がＡＰ６のＤＬを要求すると（▲１▼）、ＩＣコマンド処理部１３は、内部不揮発性メモリ４１のＡＰ格納領域４１１に空きが存在しないため、空き領域がない旨のエラー通知を端末に対して行う（▲２▼）。端末は、退避可能なＡＰ一覧を要求し（▲３▼）、カードから退避可能なＡＰ一覧を取得して（▲４▼）、その中から退避可能なＡＰ（ここではＡＰ２）を選択して、ＡＰ２の退避を要求する（▲５▼）。ＩＣコマンド処理部１３は、ＡＰ２の退避処理を行い（▲６▼）、退避完了通知を端末に伝える（▲７▼）。ＡＰ２の退避処理が行われた状態でのＡＰ管理テーブル４１３を図１５（ｆ）に示し、退避ＡＰ管理テーブル４１４を図１６（ｂ）に示し、また、内部不揮発性メモリ４１のＡＰ格納領域４１１及びデータ格納領域４１２の状態を図１８（ａ）に、セキュア領域５１のデータ退避領域５１１の状態を図１８（ｂ）に示している。
【００３１】
端末はＡＰ６のＤＬを要求し（▲８▼）、ＩＣコマンド処理部１３は、ＡＰ６のＤＬ処理を行い（▲９▼）、ＤＬ完了通知を端末に送る（10）。ＡＰ６のＤＬ処理が行われた状態でのＡＰ管理テーブル４１３を図１５（ｇ）に示し（アドレスｃｏｄｅ６は、ＡＰ２の退避により空き領域となったｃｏｄｅ２またはｄａｔａ２と同一となることもあるし、ならないこともある）、また、内部不揮発性メモリ４１のＡＰ格納領域４１１及びデータ格納領域４１２の状態を図２０（ａ）に示している。
【００３２】
なお、ここでは、ＩＣコマンド処理部１３が端末からのＡＰ退避要求を待って退避処理を行う場合について示したが、ＡＰ格納領域４１１に空きが無いときに、ＩＣコマンド処理部１３が自ら判断してＡＰの退避処理を行うことも可能である。この場合、図８に示すように、端末がＡＰ６のＤＬを要求すると（▲１▼）、ＩＣコマンド処理部１３が、退避可能なＡＰの中から選択したＡＰ２を退避させて（▲２▼）、ＡＰ格納領域４１１に空き領域を確保した後、ＡＰ６のＤＬ処理を行い（▲３▼）、ＤＬ完了通知を端末に送る（▲４▼）、と言う処理手順になる。
このように、端末に意識されること無く、自動的に退避処理が行われる。また、この場合、ＡＰ６のＤＬ完了後、ＡＰ２を自動的に退避させたことを端末に通知するようにしても良い。
【００３３】
また、図７の▲６▼、あるいは、図８の▲２▼でのＡＰ退避処理は、図９（ａ）または図９（ｂ）に示す手順で実行される。図９（ａ）は、署名データをセキュア領域５１に格納する方式であり、まず、署名鍵を用いて、退避用データ（前述するように、インストール処理されたＡＰのプログラムコードと生成データとを退避用データにする場合と、生成データだけを退避用データにする場合とがある）の署名データを生成し（▲１▼）、退避用データと署名データとを連結し（▲２▼）、連結したデータを退避用暗号鍵で暗号化し（▲３▼）、暗号化したデータをセキュア領域５１のデータ退避領域５１１に格納する（▲４▼）。そして、退避ＡＰ管理テーブル４１４にＡＰ識別子及び退避データ識別子を追加する（この方式の場合には、署名データは、退避ＡＰ管理テーブル４１４に加えない）。インストール処理で生成したデータだけを退避用データとした場合は、ＡＰ格納領域４１１から退避対象ＡＰのプログラムコードを削除し、ＡＰ管理テーブル４１３上から退避対象ＡＰに関する情報を削除する。
【００３４】
一方、図９（ｂ）は、署名データを退避ＡＰ管理テーブル４１４に保存する方式であり、退避用データを暗号鍵で暗号化し（▲１▼）、署名鍵を用いて暗号化データの署名データを生成し、この署名データを退避ＡＰ管理テーブル４１４に保存する（▲２▼）。暗号化したデータはセキュア領域５１のデータ退避領域５１１に格納する（▲３▼）。そして、退避ＡＰ管理テーブル４１４に、さらにＡＰ識別子及び退避データ識別子を追加する。インストール処理で生成したデータだけを退避用データとした場合は、ＡＰ格納領域４１１から退避対象ＡＰのプログラムコードを削除し、ＡＰ管理テーブル４１３上から退避対象ＡＰに関する情報を削除する。
【００３５】
次に、端末が、退避状態のＡＰ２に対して起動要求した場合のセキュアカード１０の動作について説明する。この場合、ＡＰ２が退避されていることを端末が認識し、端末からＡＰ２の復元要求を行う方法と、ＩＣコマンド処理部１３が、起動要求されたＡＰ２の退避を認識し、自らＡＰ２の復元処理を行う方法とがある。
【００３６】
図１０には、端末からＡＰ２の復元要求を行う場合の手順を示している。端末はＡＰ２の起動要求をセキュアカード１０に対して行う（▲１▼）。ＩＣコマンド処理部１３は、ＡＰ管理テーブル４１３を参照してＡＰ２が内部不揮発性メモリ４１に存在しないことを認識し（▲２▼）、端末にＡＰ２が内部不揮発性メモリ４１に存在しないことを通知する（▲３▼）。端末はセキュアカード１０に「退避ＡＰ管理テーブル」４１４の取得を要求し（▲４▼）、ＩＣコマンド処理部１３は、端末に退避ＡＰ管理テーブル４１４を送信する（▲５▼）。端末は退避ＡＰ管理テーブルによってＡＰ２が退避されていることを認識し、セキュアカード１０に任意のＡＰ（ここではＡＰ４）の退避要求を行う（▲６▼）。ＩＣコマンド処理部１３は、ＡＰ４の退避処理を行い（▲７▼）、端末に退避完了を通知する（▲８▼）。
【００３７】
図１９には、図２０の状態からＡＰ４を退避させたときのＡＰ格納領域４１１、データ格納領域４１２及びデータ退避領域５１１の状態を示し、また、図１６（ｃ）には、このときの退避ＡＰ管理テーブル４１４を示している。
次いで、端末はセキュアカード１０にＡＰ２の復元要求を行う（▲９▼）。ＩＣコマンド処理部１３は、ＡＰ２の復元処理を行い（10）、端末に復元完了を通知する（11）。図１５（ｈ）は、ＡＰ２を復元処理した状態のＡＰ管理テーブル４１３を示し（アドレスｃｏｄｅ７及びｄａｔａ７は、ＡＰ４の退避により空き領域となったｃｏｄｅ４またはｄａｔａ４と同一となることもあるし、ならないこともある）、また、図１６（ｄ）は、このときの退避ＡＰ管理テーブル４１４を示し、図２１は、このときのＡＰ格納領域４１１、データ格納領域４１２及びデータ退避領域５１１の状態を示している。
次いで、端末はセキュアカード１０に再度ＡＰ２の起動要求を行う（12）。ＩＣコマンド処理部１３は、ＡＰ２を起動し（13）、端末に起動完了を通知する（14）。
【００３８】
なお、▲３▼の通知において、同時に、ＡＰ２が退避中であることを通知することによって、▲４▼、▲５▼を省略することもできる。また、ＡＰ２が退避中であることを端末が認識している場合には、▲４▼以降の手順が行われる。また、ＡＰ２の退避がインストール処理で生成されたデータについてのみ行われ、ＡＰ２のプログラムコードが削除されている場合には、端末は、▲９▼の手順でＡＰ２のプログラムコードをＤＬする。
【００３９】
一方、図１１は、ＩＣコマンド処理部１３が、起動要求されたＡＰ２の退避を認識し、自らＡＰ２の復元処理を行う場合の手順を示している。端末はＡＰ２の起動要求をセキュアカード１０に対して行う（▲１▼）。ＩＣコマンド処理部１３は、ＡＰ管理テーブル４１３を参照してＡＰ２が内部不揮発性メモリ４１に存在しないことを認識し、次に、退避ＡＰ管理テーブル４１４を参照してＡＰ２が退避されていることを認識し、あるＡＰを退避対象として選択し（ここではＡＰ４）、その退避処理を行う。次いで、空いた領域にＡＰ２を復元し（▲２▼）、ＡＰ２を起動して（▲３▼）、端末には起動完了を通知する（▲４▼）。
【００４０】
この場合、ＡＰ２が退避されていることを気付いていない端末が、ＡＰ２の起動指示を出した場合でも、そのＡＰ２を起動するための処理が、ＩＣコマンド処理部１３によって行われる。そのため、端末は、起動要求するＡＰが退避されているか否かを意識する必要がない。
なお、この方法は、ＡＰ２の退避がインストール処理で生成されたデータについてのみ行われ、ＡＰ２のプログラムコードが削除されている場合には、適用できない。
【００４１】
また、図１０の（10）、あるいは、図１１の▲２▼での復元処理は、退避処理が図９（ａ）の手順で行われているときは、図１２（ａ）の手順で、また、退避処理が図９（ｂ）の手順で行われているときは、図１２（ｂ）の手順で行われる。図１２（ａ）では、退避ＡＰ管理テーブル４１４のＡＰ識別子により退避データ（暗号化データ）を認識し、復号鍵を用いて暗号化データを内部不揮発性メモリ４１上に復号化する（▲１▼）。次いで、復号化したデータから退避データ本体と署名データとを認識し、検証鍵を用いて、署名データの正当性を検証する。署名が正当であるときは、退避用データ本体に含まれるプログラムコードを内部不揮発性メモリ４１のＡＰ格納領域４１１に、データをデータ格納領域４１２に復元する（▲２▼）。また、ＡＰ管理テーブル４１３にＡＰ識別子を記述し、インストールフラグをＯＮに設定し、ＡＰ格納領域４１１及びデータ格納領域４１２に格納した復元データのアドレスをコードアドレス及びデータアドレスとして記述する。最後にセキュア領域５１内の退避暗号化データと、退避ＡＰ管理テーブル４１４の当該ＡＰに関する部分を削除する。
【００４２】
また、図１２（ｂ）の手順では、退避ＡＰ管理テーブル４１４のＡＰ識別子により退避データ（暗号化データ）を認識し、検証鍵を用いて、退避ＡＰ管理テーブル４１４に記述された署名データとの検証を行う（▲１▼）。検証結果が正常であれば、復号鍵を用いて暗号化データを内部不揮発性メモリ４１上に復号化し（▲２▼）、プログラムコードを内部不揮発性メモリ４１のＡＰ格納領域４１１に、また、データをデータ格納領域４１２に復元する（▲３▼）。その後の処理は図１２（ａ）の場合と同じである。
【００４３】
また、ＡＰの退避がインストール処理で生成されたデータについてのみ行われている場合には、端末がＡＰのプログラムコードをＤＬしたときに、データの復元処理が次の手順で行われる。
復元対象ＡＰを端末からＤＬする。ＩＣコマンド処理部１３は、ＡＰ管理テーブル４１３にＡＰ識別子及びコードアドレスを記述し、ＤＬしたＡＰと同一のＡＰ識別子を退避ＡＰ管理テーブル４１４より検索する。対応するものが存在すれば、セキュア領域５１のデータ退避領域５１１から暗号化データを読み出し、復号化する。復号化したデータから、退避データ本体と署名データとを認識し、署名データの正当性の検証を行う。検証結果が正当であれば、退避データ本体を内部不揮発性メモリのデータ格納領域４１２に格納し、ＡＰ管理テーブル内の該当するＡＰのインストールフラグをＯＮに設定し、データアドレスとして、復元データを格納したデータ格納領域４１２のアドレスを設定する。最後にセキュア領域内の退避暗号化データと、退避ＡＰ管理テーブルの該ＡＰに関する部分を削除する。
【００４４】
ここでは、ＡＰのプログラムコードと、インストール処理で生成されたデータとを共に退避する場合、及び、データのみを退避し、プログラムコードを削除する場合について説明したが、プログラムコードに比べてデータのデータ量が遥かに大きい場合には、データのみをセキュア領域５１に退避し、プログラムコードは、内部不揮発性メモリ４１のＡＰ格納領域４１１に残しておくことも可能である。こうした方式を採ると、図１８に示すＡＰ格納領域４１１、データ格納領域４１２及びデータ退避領域５１１の状態は、図２２のように変わり、また、図２０に示す状態は、図２３のように変わる。
【００４５】
ＡＰのプログラムコード及びデータを共に退避する場合、並びに、データを退避し、プログラムコードを内部不揮発性メモリに残す場合には、図１１に示す、ＩＣコマンド処理部による自動的な復元処理手順が可能となる。
また、端末から、セキュア領域５１に退避中のＡＰの起動が要求されたとき、次の手順により、ＡＰのプログラムコードやデータをセキュア領域５１に置いたまま、ＡＰの実行を行うことも可能である。
【００４６】
例えば、図１８、図１５（ｆ）及び図１６（ｂ）の状態にあるとき、端末がセキュアカード１０に対しＡＰ２の実行を要求すると、ＩＣコマンド処理部１３は、ＡＰ管理テーブル（図１５（ｆ））よりＡＰ２がインストール状態でないことを認識し、退避ＡＰ管理テーブル（図１６（ｂ））より退避中であることを認識し、退避データ識別子により、ｅｖａｃ２を読み出し、復号化と署名検証とを行う。署名検証が正常に終了すると、復号化データよりＡＰ２のプログラムコードを取得し、ＡＰ２の実行を行う。
この場合には、退避中のＡＰを内部不揮発性メモリ４１に復元することを要しない。
【００４７】
このように第１の実施形態のセキュアメモリでは、内部不揮発性メモリにＤＬされてインストール処理されたＡＰの内、退避の可能なものだけが退避される。そのため、最高度の機密を要するＡＰは、「退避不可」とすることにより、退避の対象から外れることができる。また、紛失の危険性を甘受できる程度のセキュリティを要求するＡＰは、「退避可」とすることにより、セキュアメモリにおける秘匿領域の効率的な利用が可能になる。
【００４８】
（第２の実施形態）
本発明の第２の実施形態におけるセキュアメモリの構成は、第１の実施形態（図２、図３）と同じである。
第１の実施形態では、ＡＰをセキュアメモリ１０の内部不揮発性メモリ４１にＤＬし、内部不揮発性メモリ４１に新たなＡＰをＤＬする空きが無いときに、インストール処理された退避可のＡＰを内部不揮発性メモリ４１からセキュア領域５１に退避させる場合について説明したが、第２の実施形態では、セキュア領域５１をＡＰのＤＬ先とすることを可能にしている。ただし、セキュア領域５１にＤＬされたＡＰのインストール処理は、内部不揮発性メモリ４１で行われる。
【００４９】
ＡＰのＤＬ先を内部不揮発性メモリ４１とするか、セキュア領域５１とするかは、次のような方式で決定される。
第１の方式では、ＤＬ時に、ＡＰのプログラムコードと合わせて、端末から内部不揮発性メモリＤＬ専用フラグを送信する。セキュアメモリ１０のＩＣコマンド処理部１３は、そのフラグを参照し、内部不揮発性メモリＤＬ指定がなされていれば、必ず内部不揮発性メモリ４１にＤＬし、内部不揮発性メモリＤＬ指定がなされていなければ、内部不揮発性メモリ４１に空きがあるときは、内部不揮発性メモリ４１にＤＬし、内部不揮発性メモリ４１に空きが無いときは、セキュア領域５１にＤＬする。
【００５０】
また、第２の方式では、端末がセキュア領域５１へのＤＬを許可する場合のみ、ＤＬ時にＡＰのプログラムコードと合わせて、セキュア領域ＤＬ許可フラグを送信する。セキュアメモリ１０のＩＣコマンド処理部１３は、セキュア領域ＤＬ許可フラグが付加されていれば、内部不揮発性メモリ４１に空きがあるときは、内部不揮発性メモリ４１に、内部不揮発性メモリ４１に空きが無いときは、セキュア領域５１にＤＬし、セキュア領域ＤＬ許可フラグが付加されていなければ、必ず内部不揮発性メモリ４１にＤＬする。
このセキュアメモリ１０のセキュア領域５１は、図２４に示すように、データ退避領域５１１の他に、ＤＬされたＡＰのプラグラムコードを格納するＡＰ保存領域５１２を備えている。
【００５１】
また、内部不揮発性メモリ４１は、図１と同様の構成を備えている。ただし、ＡＰ管理テーブルは、図２５に示すように、内部不揮発性メモリ４１にＤＬまたはインストールされた状態のＡＰを管理するためのＡＰ管理テーブル４１３と、セキュア領域５１にＤＬされたＡＰを管理するためのセキュア領域ＤＬＡＰ管理テーブル４１６とから成る。セキュア領域ＤＬＡＰ管理テーブル４１６には、ＡＰを内部不揮発性メモリ４１上でインストールするために必要となる事項、即ち、ＡＰが格納されているセキュア領域５１上の位置を示す「格納アドレス」、そのＡＰの改ざんの有無を確認するための「署名データ」、そのＡＰがインストール後に退避可能か否かを示す「退避可否フラグ」がＡＰ識別子と共に記述される。
【００５２】
ＡＰ管理テーブル４１３の項目は、第１の実施形態（図４）と同じであり、内部不揮発性メモリ４１上に格納されたＡＰが、インストール状態であるか否かを示す「インストールフラグ」、退避可能か否かを示す「退避可否フラグ」、インストール状態であるときのデータの所在を示す「データアドレス」、及び、プログラムコードの読み出し先を示す「コードアドレス」がＡＰ識別子と共に記述される。
【００５３】
このＡＰ管理テーブル４１３の特定番号、例えば＃４及び＃５は、セキュア領域５１にＤＬされたＡＰ（セキュア領域ＤＬＡＰ）のインストール用に確保されており、内部不揮発性メモリ４１へのＡＰのＤＬには、そこを使用することができない。そのため、内部不揮発性メモリ４１にＤＬするＡＰのＤＬ及びインストール処理は、ＡＰ管理テーブル４１３の＃１〜＃３を使って、第１の実施形態と同じように行われる。
【００５４】
一方、セキュア領域５１にＤＬしたＡＰに対して、ＩＣコマンド処理部１３は、次の手順でインストールを行う。
セキュア領域ＤＬＡＰ管理テーブル４１６の格納アドレスにしたがって、セキュア領域５１のＡＰ保存領域５１２からＡＰのプログラムコードを読み出し、復号化及び署名検証を行う。検証結果が正常であれば、復号化したプログラムコードを内部不揮発性メモリ４１のＡＰ格納領域４１１に格納し、ＡＰ管理テーブル４１３のセキュア領域ＤＬＡＰ用の特定番号にＡＰ識別子、コードアドレス、退避可否フラグ（セキュア領域ＤＬＡＰ管理テーブル４１６に記述されているものと同じもの）を設定する。
このとき、セキュア領域ＤＬＡＰ用の特定番号に空きが無ければ、この特定番号を使用しているインストール済みのＡＰをセキュア領域５１のデータ退避領域５１１に退避させて、空きを作る。
【００５５】
次いで、ＩＣコマンド処理部１３は、インストール処理を行い、作成したデータをデータ格納領域４１２に格納し、ＡＰ管理テーブル４１３にデータアドレスを記述し、インストールフラグをＯＮにする。
このインストール後もセキュア領域５１にＤＬされたＡＰのプログラムコードは、セキュア領域５１のＡＰ保存領域５１２にそのまま存在し、セキュア領域ＤＬＡＰ管理テーブル４１６の記述は残される。そのため、インストールしたＡＰの退避処理に伴ってプログラムコードが削除されても、端末からの再ＤＬは必要が無い。
【００５６】
内部不揮発性メモリへのＤＬを指定するＡＰ（内部不揮発性メモリＤＬ専用ＡＰ）は、セキュア領域への退避を好まない。一方、セキュア領域へのＤＬが可能なＡＰ（セキュア領域ＤＬ可能ＡＰ）は、退避を行うことに問題がないと考えられる。このセキュアカードでは、セキュア領域にＤＬしたＡＰと内部不揮発性メモリにＤＬしたＡＰとを分けて管理しているため、内部不揮発性メモリＤＬ専用ＡＰが格納される領域は、セキュア領域ＤＬ可能ＡＰによって埋められてしまうことはなく、一方、セキュア領域ＤＬ可能ＡＰは、専用の領域が確保されているので、インストール状態にあるセキュア領域ＤＬ可能ＡＰを退避させることで別のセキュア領域ＤＬ可能ＡＰをインストールすることが可能となる。
【００５７】
なお、ＡＰ管理テーブル４１３の分け方は、例えば＃１〜♯３は内部不揮発性メモリＤＬ専用ＡＰ向け、＃４〜＃５はどちらでもよいＡＰ向け、というような区分でも良い。
また、セキュア領域にＤＬしたＡＰのみを退避可能とし、内部不揮発性メモリにＤＬしたＡＰは退避不可とすることも可能である。この場合には、セキュア領域ＤＬＡＰ管理テーブルの退避可否フラグは無くてもよい。
また、セキュア領域ＤＬＡＰ管理テーブルに、インストールフラグ及びデータ格納アドレスを追加することで、セキュア領域へのインストール（データ格納領域の生成）を行うこともできる。
【００５８】
ここで示した、内部不揮発性メモリへのＤＬを指定するＡＰには、セキュリティが高いもの、例えば電子マネーＡＰなどが該当するであろう。このような直接金銭に絡む、セキュリティ強度が要求されるＡＰは、内部不揮発性メモリの外にプログラムコード及びデータを出すことが望ましくない。そのため、退避不可と設定されることが考えられる。
【００５９】
また、ＩＣカード（セキュアメモリカードのＩＣ部を含む）の利用が一般に広まるにつれて、厳密な手続きを行わずに任意のプレイヤーがＡＰをカードにインストールすることが可能になるものと考えられる。そうなると、いずれかのサーバにアクセスする際（または、何らかの端末アプリケーションを使用する際）に必要なＩＤとパスワードとを管理するＡＰ等は、セキュア領域ＤＬ可能ＡＰになると考えられる。そのサーバが事業者または個人によって運用される場合（特に個人が運用するサーバの場合）には、さほどセキュリティレベルは要求されず、万一ＩＤとパスワードとを紛失した（壊れた）場合でも、容易に再発行が可能である。
【００６０】
このようなＡＰに対して、電子マネーＡＰと同等に、容量の小さい内部不揮発性メモリを常時利用させることは、コスト面から望ましくない。それよりも、大容量のセキュア領域にＤＬし、同じようにセキュア領域にＤＬしたＡＰを使用する際に退避されるという運用方法が妥当である。
ただ、このような仕分けは、論理必然的に導かれるものではなく、ＡＰ提供者が希望するセキュリティ要求度とカード発行者が判断する内部不揮発性メモリ利用の妥当性とにより様々に設定されることになる。
【００６１】
いずれにしろ、第２の実施形態のセキュアカードでは、セキュア領域へのＤＬが可能であるため、第１の実施形態に比べて、ＡＰのＤＬ処理及びインストール処理における、より多くのパターンが選択できる。そのため、ＡＰの種々のセキュリティ要求レベルに対応することが可能であり、セキュアメモリの秘匿領域を、より効率的に利用することができる。
【００６２】
また、さらに、ＡＰのセキュア領域へのＤＬとともに、セキュア領域へのインストール処理を可能にすれば、ＡＰのＤＬ処理及びインストール処理におけるパターンは一層増加し、セキュアメモリの秘匿領域をさらに効率的に利用することができる。例えば、内部不揮発性メモリにＤＬされ、内部不揮発性メモリにインストール処理された高度セキュリティのＡＰと、セキュア領域にＤＬされ、内部不揮発性メモリにインストール処理された準高度セキュリティのＡＰとを退避不可とし、セキュア領域にインストール処理されたＡＰを退避可とすることなども可能になる。
【００６３】
（第３の実施形態）
本発明の第３の実施形態では、ＡＰ間で共用するデータが退避中である場合のデータの利用について説明する。
ＡＰ間でデータの共有が可能な仕組みを持ち、ＡＰ２が許可したＡＰ（ここではＡＰ１）は、ＡＰ２のデータを参照することが可能であるものとする。許可対象ＡＰ（ＡＰ１）は、許可する側のＡＰ（ＡＰ２）により管理されたデータのうち、特定のデータ（一部のデータ）に対してのみ参照することが可能であり、また、そのような一部のデータに対する他ＡＰからの参照許可を複数設定することが可能であるものとする。
【００６４】
図２６（ａ）には、あるＡＰが参照許可を与えたデータと許可対象ＡＰとの関係を記述した許可指定テーブルの例を示しており、ここでは、図２６（ｂ）に示すように、ＡＰ１に対してｄａｔａ_ａの参照許可が設定されているものとする。また、図１８、図１５（ｆ）及び図１６（ｂ）に示すように、ＡＰ１がインストール状態、ＡＰ２が退避状態とする。
【００６５】
ＩＣコマンド処理部１３は、ＡＰ２の退避処理において、データの退避時に許可対象のデータｄａｔａ_ａも含めて退避させる。ＡＰ１の実行時に、ＡＰ２が保持するデータｄａｔａ_ａへの参照が発生すると、ＩＣコマンド処理部１３は、ＡＰ管理テーブル（図１５（ｆ））よりＡＰ２がインストール状態にないことを認識し、退避ＡＰ管理テーブル（図１６（ｂ））よりＡＰ２が退避状態であることを認識し、退避中のＡＰ２の暗号化データｅｖａｃ２を読み出し、復号化と署名検証とを行い、検証が正常に終了すれば、復号化したＡＰ２のデータからｄａｔａ_ａを参照する。
【００６６】
また、ｄａｔａ_ａへの書き込みが発生する場合は、更新したｄａｔａ_ａとともにＡＰ２のデータ全体に対して暗号化、署名生成を行い、暗号化データのセキュア領域への格納とともに、格納先を示すｅｖａｃ２を更新し、署名データｓｉｇｎ２を、生成した署名データに更新する。
また、データと同様に、退避中のＡＰのプログラムコードを他のＡＰで利用することも可能である。図２７（ａ）（ｂ）には、あるＡＰが実行許可を与えるプログラムコードと許可対象ＡＰとの関係を記述した許可指定テーブルの例を示している。前述するデータと同様の手順で、ＡＰ１は、退避中のＡＰ２のｃｏｄｅ_ａを実行することができる。
【００６７】
なお、第１の実施形態で示したように、ＡＰの退避には、
▲１▼データのみ退避＋プログラム削除
▲２▼データ＋プログラムをともに退避
▲３▼データのみ退避、プログラムを内部不揮発性メモリに残す
の３パターンがある。第２の実施形態でセキュア領域ＤＬ可能ＡＰに該当するものとして示したサーバへのアクセスに利用するＡＰの場合、利用時にネットワークに接続されるので、プログラムコードのＤＬが可能であるため、▲１▼のパターンが適する（▲２▼や▲３▼の適用を否定するものではない）。
また、端末ＡＰを使用する際に必要なＩＤとパスワードとを管理するようなＡＰの場合には、常にネットワークに接続されている訳ではないため、▲２▼のパターンが適している（▲３▼の適用を否定するものではない）。なお、▲３▼については、ＡＰ提供者がプログラムコードの退避を望まない場合に適用し得る。
【００６８】
なお、本発明の実施形態では、大容量不揮発性メモリ５０に、記憶領域として、非認証領域、認証領域及びセキュア領域の３領域を設けた例を示しているが、本発明では、大容量不揮発性メモリ５０に、セキュア領域を備えることが必要であって、その他の領域については問わない。
【００６９】
【発明の効果】
以上の説明から明らかなように、本発明のセキュアカードは、秘匿性を備えた領域を効率的に活用して、多数のＡＰの利用に必要なデータを内部で安全に保持することができる。そのため、認証条件を満たす端末であれば、どの端末でも、セキュアカードに保持されたデータを利用することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリの構成を示す図
【図２】本発明の第１の実施形態におけるセキュアカードの概略図
【図３】本発明の第１の実施形態におけるセキュアカードの構成を示すブロック図
【図４】本発明の第１の実施形態におけるセキュアカードのＡＰ管理テーブルの構成を示す図
【図５】本発明の第１の実施形態におけるセキュアカードの退避ＡＰ管理テーブルの構成を示す図
【図６】本発明の第１の実施形態におけるセキュアカードのセキュア領域の構成を示す図
【図７】本発明の第１の実施形態におけるセキュアカードの退避シーケンスを示す図（端末からトリガを掛ける場合）
【図８】本発明の第１の実施形態におけるセキュアカードの退避シーケンスを示す図（カード自身が判断して退避させる場合）
【図９】本発明の第１の実施形態におけるセキュアカードの退避データ生成手順を示す図
【図１０】本発明の第１の実施形態におけるセキュアカードの復元シーケンスを示す図（端末から復元トリガを掛ける場合）
【図１１】本発明の第１の実施形態におけるセキュアカードの復元シーケンスを示す図（カード自身が自動で復元する場合）
【図１２】本発明の第１の実施形態におけるセキュアカードの復元データ生成手順を示す図
【図１３】本発明の第１の実施形態におけるセキュアカードのＡＰ管理テーブルの推移を示す図（ａ〜ｃ）
【図１４】本発明の第１の実施形態におけるセキュアカードのＡＰ管理テーブルの推移を示す図（ｄ〜ｅ）
【図１５】本発明の第１の実施形態におけるセキュアカードのＡＰ管理テーブルの推移を示す図（ｆ〜ｈ）
【図１６】本発明の第１の実施形態におけるセキュアカードの退避ＡＰ管理テーブルの推移を示す図
【図１７】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その１）
【図１８】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その２）
【図１９】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その３）
【図２０】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その４）
【図２１】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その５）
【図２２】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その６）
【図２３】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その７）
【図２４】本発明の第２の実施形態におけるセキュアカードのセキュア領域の構成を示す図
【図２５】本発明の第２の実施形態におけるセキュアカードのＡＰ管理テーブルの構成を示す図
【図２６】本発明の第３の実施形態におけるセキュアカードのデータ参照許可指定テーブルを示す図
【図２７】本発明の第３の実施形態におけるセキュアカードのコード使用許可指定テーブルを示す図
【符号の説明】
１０ セキュアメモリカード
１１ ＩＣ部
１２ Ｉ／Ｆ部
１３ ＩＣコマンド処理部
１４ ファイル管理部
１５ ＩＣ認証部
１６ メモリ管理部
１７ 暗復号回路
１８ 内部不揮発性メモリＩ／Ｆ部
２０ 制御部
２１ データＩ／Ｆ部
２２ コマンドＩ／Ｆ部
２３ 制御認証部
２４ コマンド処理部
２５ アクセス制御部
２６ 大容量不揮発性メモリＩ／Ｆ部
４０ ＴＲＭ
４１ 内部不揮発性メモリ
５０ 大容量不揮発性メモリ
５１ セキュア領域
５２ 認証領域
５３ 非認証領域
６０ 外部ＣＰＵ
４１１ ＡＰ格納領域
４１２ データ格納領域
４１３ ＡＰ管理テーブル
４１４ 退避ＡＰ管理テーブル
４１５ 鍵管理領域
４１６ セキュア領域ＤＬＡＰ管理テーブル
５１１ データ退避領域
５１２ ＡＰ保存領域
【発明の属する技術分野】
本発明は、半導体メモリカードなどのメモリデバイスに関し、特に、秘匿性を備えた領域の効率的な活用を可能にするものである。
【０００２】
【従来の技術】
近年、電子商取引などへの利用が拡大しているＩＣカードは、耐タンパー性のモジュール内にメモリ領域を有しており、そのため、データを強固に秘匿することができ、複製や偽造に対して固い耐性を備えている。しかし、ＩＣカードのメモリ領域は、数十キロバイト程度の僅かなメモリ容量しか有していないため、多くのデータを格納することができない。
【０００３】
このＩＣカードに格納されたアプリケーションプログラム（以下、「ＡＰ」と言う）を一時的に端末に退避させて、ＩＣカードを有効に活用する技術が下記特許文献１に記載されている。このＩＣカードは、暗号化鍵を生成・管理し、退避対象のＡＰを暗号化してから端末に退避させる。また、退避させたＡＰを回復するときは、端末から受け取ったＡＰを、管理している暗号化鍵を用いて復号化し、ＩＣカード内部のメモリ領域に再格納する。
【０００４】
【特許文献１】
特開２０００−１１１０１号
【０００５】
【発明が解決しようとする課題】
しかし、ＩＣカードに格納したＡＰを端末Ａに退避させた場合は、その端末Ａ以外の端末ＢでＡＰを利用しようとすると、端末ＡをＩＣカードに接続して、退避させたＡＰをＩＣカード内部のメモリ領域に再格納し、その後に端末ＢとＩＣカードとを接続したり、あるいは、端末Ａに退避したＡＰを、ネットワーク等を介して端末Ｂに移送し、その後に端末ＢとＩＣカードとを接続したりする必要がある。つまり、ＡＰをＩＣカードの外に退避させた場合は、退避先の端末Ａ以外の端末ＢでＡＰを利用する場合に、極めて煩雑な手順が必要になるという問題点がある。
【０００６】
本発明は、こうした従来の問題点を解決するものであり、秘匿性を備えた領域を効率的に活用して、ＡＰの利用に必要な多くのデータを内部で安全に保持することができるメモリデバイスを提供することを目的としている。
【０００７】
【課題を解決するための手段】
そこで、本発明のメモリデバイスには、電子機器から直接アクセスすることができない耐タンパー性の第１のメモリと、電子機器から直接アクセスすることができない非耐タンパー性の第２のメモリとを設け、第２のメモリを使用して、第１のメモリに蓄積されたデータを退避するように構成している。
このメモリデバイスでは、多数のＡＰの利用に必要なデータをデバイス内部で安全に保持することができるため、認証条件を満たす端末であれば、どの端末でも、そこに保持されたデータを利用することができる。
【０００８】
【発明の実施の形態】
本発明の実施形態における半導体メモリカード（ここでは「セキュアメモリカード」と呼ぶことにする）は、図２の概念図に示すように、耐タンパー性モジュール（tamper resistant module:ＴＲＭ）４０に含まれる内部ＣＰＵ３０及び内部不揮発性メモリ４１と、非認証領域５３、認証領域５２及びセキュア領域５１を備える大容量不揮発性メモリ５０と、端末装置（リード／ライト（Ｒ／Ｗ）装置）の外部ＣＰＵ６０と通信して、端末装置によるメモリ領域へのアクセスを制御する制御部２０とを備えている。
【０００９】
内部不揮発性メモリ４１及びセキュア領域５１に対しては、内部ＣＰＵ３０のみがアクセス可能であり、端末装置は、内部不揮発性メモリ４１及びセキュア領域５１に直接アクセスすることはできない。また、制御部２０は、端末装置の認証処理を行い、認証した外部ＣＰＵ６０が認証領域５２にアクセスすることを許可する。一方、非認証領域５３に対しては、端末装置は無条件でアクセスすることができる。
【００１０】
ＴＲＭ４０の不揮発性メモリ４１は、例えば、１６バイト単位で消去・書き込みができるＥＥＰＲＯＭから成り、また、大容量不揮発性メモリ５０は、例えば、５１２バイト等のブロック単位での消去と１バイト単位での書き込みとが可能なフラッシュメモリから成る。
外部ＣＰＵ６０は、非認証領域５３に無条件でアクセスすることができ、また、認証領域５２には、制御部２０での認証を済ませた場合にアクセスすることができるが、セキュア領域５１及び内部不揮発性メモリ４１の存在を知ることはできず、これらに直接アクセスすることはできない。
【００１１】
セキュア領域５１及び内部不揮発性メモリ４１に対しては、内部ＣＰＵ３０だけがアクセス可能である。セキュア領域５１と内部不揮発性メモリ４１との違いは、内部不揮発性メモリ４１がＴＲＭ４０に設けられているのに対し、セキュア領域５１が、耐タンパー性を持たない大容量不揮発性メモリ５３に設けられている点である。そのため、セキュア領域５１は、内部不揮発性メモリ４１に比べて大きい蓄積容量を持つことができる。その反面、セキュリティレベルは、ＴＲＭ４０に設けられた内部不揮発性メモリ４１よりも低い。この４つの領域のセキュリティレベルは、非認証領域５３が最も低く、認証領域５２、セキュア領域５１、内部不揮発性メモリ４１の順に高くなっている。
【００１２】
図３のブロック図は、セキュアメモリカード１０の構成を示している。セキュアメモリカード１０は、大別して、制御部２０と、大容量不揮発性メモリ５０と、図２のＴＲＭ４０に相当するＩＣ部１１とで構成される。大容量不揮発性メモリ５０は、非認証領域５３と、認証領域５２と、セキュア領域５１と、これらの領域のアドレス情報が格納されたアドレス情報管理領域５４とを有している。
【００１３】
制御部２０は、Ｒ／Ｗ装置６９との間でデータの授受を行うデータＩ／Ｆ部２１と、Ｒ／Ｗ装置６９との間でコマンドの授受を行うコマンドＩ／Ｆ部２２と、Ｒ／Ｗ装置６９を認証する制御認証部２３と、受け付けたコマンドを解釈してコマンドに応じた処理を行う制御コマンド処理部２４と、大容量不揮発性メモリ５０へのアクセスを制御するとともにＩＣ部１１とのデータの受け渡し窓口となるアクセス制御部２５と、大容量不揮発性メモリ５０との間でデータを受け渡す大容量不揮発性メモリＩ／Ｆ部２６とを備えている。
【００１４】
また、耐タンパー性のＩＣ部１１は、内部不揮発性メモリ４１と、制御部２０との間でデータやコマンドの授受を行うＩ／Ｆ部１２と、コマンドを解釈してコマンドに応じた処理を行うＩＣコマンド処理部１３と、内部不揮発性メモリ４１及びセキュア領域５１にファイル形式で格納されたデータを管理するファイル管理部１４と、Ｒ／Ｗ装置６９を認証し、認証したＲ／Ｗ装置６９に対して内部不揮発性メモリ４１及びセキュア領域５１へのデータアクセスを許可するＩＣ認証部１５と、内部不揮発性メモリ４１及びセキュア領域５１への書き込み／読み出しデータに対して内部不揮発性メモリ４１に格納された鍵を用いて暗号化／復号化を行う暗復号回路１７と、内部不揮発性メモリ４１及びセキュア領域５１の管理を行うメモリ管理部１６と、内部不揮発性メモリ４１へのデータの授受を行う内部不揮発性メモリＩ／Ｆ部１８とを備えている。
【００１５】
制御部２０の制御コマンド処理部２４は、Ｒ／Ｗ装置６９から受信したコマンドを解釈し、そのコマンドが
・大容量不揮発性メモリ５０の認証領域５２または非認証領域５３へのアクセスを要求するものであるか、
・認証を要求するものであるか、
・ＩＣ部１１による処理を要求するものであるか
を判断し、大容量不揮発性メモリ５０の認証領域５２または非認証領域５３へのアクセスを要求しているときは、アクセス制御部２５に大容量不揮発性メモリ５０へのアクセス制御を指示し、ＩＣ部１１による処理を要求しているときは、アクセス制御部２５にＩＣ部１１へのコマンドの転送を指示し、また、認証を要求しているときは、制御認証部２３に認証処理を指示する。
【００１６】
アクセス制御部２５は、大容量不揮発性メモリ５０へのアクセス制御に当たって、大容量不揮発性メモリ５０のアドレス情報管理領域５４に記録されたアドレス情報を参照する。端末（Ｒ／Ｗ装置６９）が大容量不揮発性メモリ５０の論理アドレスを指定してアクセスを求めて来たときは、アドレス情報管理領域５４の記録から、指定されたアドレスが大容量不揮発性メモリ５０のいずれの領域に属しているかを判断し、認証領域５２へのアクセス要求に対しては、認証済み端末に限って許可する。
【００１７】
また、ＩＣ部１１のＩＣコマンド処理部１３は、制御部２０から送信されたコマンドを解釈し、その処理要求が、
・内部不揮発性メモリ４１へのデータ書き込み／読み出しを要求するものであるか、
・セキュア領域５１へのデータ書き込み／読み出しを要求するものであるか、
・認証を要求するものであるか、
・その他の処理を要求するものであるか
を判断する。
【００１８】
コマンドが、認証を要求しているときには、ＩＣコマンド処理部１３は、ＩＣ認証部１５にＲ／Ｗ装置６９の認証処理を指示する。
また、コマンドが、内部不揮発性メモリ４１へのデータの書き込み／読み出し、または、セキュア領域５１へのデータの書き込み／読み出しを要求するコマンドであるときには、ＩＣコマンド処理部１３は、ＩＣ認証部１５において認証処理が済んでいるかを確認し、認証処理が済んでいる場合は、その要求を許可し、その要求が書き込み要求であるときは、書き込むデータを、格納先の情報を付してメモリ管理部１６に送る。
【００１９】
内部不揮発性メモリ４１及びセキュア領域５１を管理するメモリ管理部１６は、書き込むデータを暗復号回路１７で暗号化し、データに署名（この処理に用いる暗号鍵や検証鍵は内部不揮発性メモリ４１に格納されている）を付した後、内部不揮発性メモリ４１に書き込むべきデータを、内部不揮発性メモリＩ／Ｆ部１８を介して、内部不揮発性メモリ４１に書き込み、書き込み位置の情報をファイル管理部１４に伝える。また、セキュア領域５１に書き込むべきデータを、大容量不揮発性メモリＩ／Ｆ部２６を介して、大容量不揮発性メモリ５０のセキュア領域５１に書き込み、書き込み位置の情報をファイル管理部１４に伝える。なお、署名は、暗号化したデータとは別に内部不揮発性メモリ４１で保持する場合もある。
【００２０】
ファイル管理部１４は、メモリ管理部１６から伝えられた情報を基に、内部不揮発性メモリ４１及びセキュア領域５１に格納されたファイルを管理する。
また、ＩＣコマンド処理部１３は、その要求が読み出し要求であるときは、読み出すべきデータのファイル位置をファイル管理部１４に求め、メモリ管理部１６にそのファイルの読み出しを要求する。
メモリ管理部１６は、そのファイルを内部不揮発性メモリ４１またはセキュア領域５１から読み出すと、暗復号回路１７でデータの署名検証や復号化を行い、ＩＣコマンド処理部１３に送る。
【００２１】
復号化されたデータは、制御部２０に送られ、データＩ／Ｆ部２１からＲ／Ｗ装置６９に送信される。
また、ＩＣコマンド処理部１３は、メモリ容量が少ない内部不揮発性メモリ４１を有効に活用するため、内部不揮発性メモリ４１に格納したデータをセキュア領域５１に退避させる処理を行う。以下、この退避処理について詳しく説明する。
【００２２】
（第１の実施形態）
ＩＣコマンド処理部１３は、端末から、セキュアカード内部で動作する、退避可能なＡＰのダウンロード（以下「ＤＬ」と言う）が要求された場合に、内部不揮発性メモリ４１に空きが有るときは、端末から送られたＡＰのプログラムコード（プログラムを記述するプログラムデータ）を内部不揮発性メモリ４１に格納する処理、即ち、ＤＬ処理を行う。また、端末のインストール要求に応じて、ＤＬしたＡＰのプログラムコードを実行し、ＡＰ用のデータを作成してＡＰを実行可能な状態にする処理、即ち、インストール処理を行う。
【００２３】
また、ＩＣコマンド処理部１３は、内部不揮発性メモリ４１に空きが無いときは、端末からの指示により（または、自らの判断で）、内部不揮発性メモリ４１に既に格納されている、退避可能なＡＰのプログラムコード及びデータをセキュア領域５１に退避させる処理を行い、空きができた内部不揮発性メモリ４１に、端末から送られたＡＰのＤＬ処理及びインストール処理を行う。
また、ＩＣコマンド処理部１３は、セキュア領域５１に退避したＡＰの起動が端末から要求された場合に、そのＡＰをインストール状態に戻すために、内部不揮発性メモリ４１に空いた領域が有るときは、起動要求されたＡＰのプログラムコード及びデータを内部不揮発性メモリ４１に復元（データ移動）し、そのＡＰを起動する。
【００２４】
この場合、内部不揮発性メモリ４１に空いた領域が無いときは、内部不揮発性メモリ４１に格納されている退避可能なＡＰのプログラムコード及びデータをセキュア領域５１に退避させ、空きができた内部不揮発性メモリ４１に、起動要求されたＡＰのプログラムコード及びデータを復元する。
なお、セキュア領域５１への退避は、ＡＰのインストール処理で作成したデータだけを対象に行い、ＡＰのプログラムコードについては内部不揮発性メモリ４１から削除するようにしても良い。プログラムコード自体は、退避するデータと違って、セキュアカードで生成したものではなく、いつでも端末から同じものをＤＬすることが可能なためである。このＡＰの起動は、セキュア領域５１に退避したＡＰのデータを内部不揮発性メモリ４１の空き領域に復元し、端末からＡＰのプログラムコードを内部不揮発性メモリ４１にＤＬして行われる。
【００２５】
図１は、この内部不揮発性メモリ４１の構成を示している。内部不揮発性メモリ４１の内部には、ＡＰのプログラムコードが格納されるＡＰ格納領域４１１と、ＡＰで利用するデータが格納されるデータ格納領域４１２と、内部不揮発性メモリ４１にプログラムコード及びデータが格納されたＡＰを管理するためのＡＰ管理テーブル４１３と、セキュア領域５１に退避したＡＰを管理するための退避ＡＰ管理テーブル４１４と、退避・復元するコードやデータの暗号化・復号化に用いる鍵と署名生成・検証に用いる鍵とが格納された鍵管理領域４１５とが設けられている。
【００２６】
ＡＰ管理テーブル４１３には、図４に示すように、ＡＰがどのようなものであるかを一意に示すＡＰ識別子と、そのＡＰのインストール処理がされているか否かを示すインストールフラグと、プログラムコードが格納されたＡＰ格納領域４１１のアドレスを示すコードアドレスと、データが格納されたデータ格納領域４１２のアドレスを示すデータアドレスと、このＡＰが退避可能であるか否かを示す退避可否とが記述される。なお、退避可否は、ＡＰのＤＬ時に端末から伝えられる。
【００２７】
また、退避ＡＰ管理テーブル４１４には、図５に示すように、ＡＰ識別子と、退避させたデータの格納位置等を一意に特定するための退避データ識別子と、退避データに対する署名データとが記述される。退避データ識別子は、様々な形式で設定することができ、例えば（退避先アドレス＋データサイズ）を退避データ識別子としても良い。
また、図６には、退避データを格納するデータ退避領域５１１を備えたセキュア領域５１の構成を示している。
【００２８】
次に、ＡＰのＤＬ、インストール、退避、及び復元に伴うＡＰ管理テーブル４１３や退避ＡＰ管理テーブル４１４の遷移について説明する。
図１３（ａ）には、初期状態（ＡＰが１つもＤＬ／インストール／退避／復元されていない状態）のＡＰ管理テーブル４１３を示し、また、図１６（ａ）には、初期情報の退避ＡＰ管理テーブル４１４を示している。端末からＡＰとして退避可否が可のＡＰ１がＤＬされると、ＡＰ管理テーブル４１３には、図１３（ｂ）のように記述される。「ｃｏｄｅ１」は、ＡＰ格納領域４１１に格納されたＡＰ１のプログラムコードのアドレスを示している。さらに、退避可否が可のＡＰ２がＤＬされると、ＡＰ管理テーブル４１３の記述は図１３（ｃ）のようになる。ＡＰ１及びＡＰ２をインストールした状態では、ＡＰ管理テーブル４１３の記述は図１４（ｄ）のように変わり、データ格納領域４１２に格納されたＡＰ１のデータのアドレスが「ｄａｔａ１」として、データ格納領域４１２に格納されたＡＰ２のデータのアドレスが「ｄａｔａ２」として記述される。
【００２９】
図１４（ｅ）には、さらに、端末から退避可否が否のＡＰ３、退避可否が可のＡＰ４及びＡＰ５がＤＬされ、インストールした状態を示している。また、このときの内部不揮発性メモリ４１のＡＰ格納領域４１１及びデータ格納領域４１２の状態を図１７（ａ）に、セキュア領域５１のデータ退避領域５１１の状態を図１７（ｂ）に示している。ＡＰ格納領域４１１には空きが無い。
次に、このようにＡＰ格納領域４１１に空きが無い状態で、端末があるＡＰ（ここではＡＰ６）のＤＬを要求した場合には、端末とＩＣコマンド処理部１３との間で図７に示す処理が行われる。
【００３０】
端末がＡＰ６のＤＬを要求すると（▲１▼）、ＩＣコマンド処理部１３は、内部不揮発性メモリ４１のＡＰ格納領域４１１に空きが存在しないため、空き領域がない旨のエラー通知を端末に対して行う（▲２▼）。端末は、退避可能なＡＰ一覧を要求し（▲３▼）、カードから退避可能なＡＰ一覧を取得して（▲４▼）、その中から退避可能なＡＰ（ここではＡＰ２）を選択して、ＡＰ２の退避を要求する（▲５▼）。ＩＣコマンド処理部１３は、ＡＰ２の退避処理を行い（▲６▼）、退避完了通知を端末に伝える（▲７▼）。ＡＰ２の退避処理が行われた状態でのＡＰ管理テーブル４１３を図１５（ｆ）に示し、退避ＡＰ管理テーブル４１４を図１６（ｂ）に示し、また、内部不揮発性メモリ４１のＡＰ格納領域４１１及びデータ格納領域４１２の状態を図１８（ａ）に、セキュア領域５１のデータ退避領域５１１の状態を図１８（ｂ）に示している。
【００３１】
端末はＡＰ６のＤＬを要求し（▲８▼）、ＩＣコマンド処理部１３は、ＡＰ６のＤＬ処理を行い（▲９▼）、ＤＬ完了通知を端末に送る（10）。ＡＰ６のＤＬ処理が行われた状態でのＡＰ管理テーブル４１３を図１５（ｇ）に示し（アドレスｃｏｄｅ６は、ＡＰ２の退避により空き領域となったｃｏｄｅ２またはｄａｔａ２と同一となることもあるし、ならないこともある）、また、内部不揮発性メモリ４１のＡＰ格納領域４１１及びデータ格納領域４１２の状態を図２０（ａ）に示している。
【００３２】
なお、ここでは、ＩＣコマンド処理部１３が端末からのＡＰ退避要求を待って退避処理を行う場合について示したが、ＡＰ格納領域４１１に空きが無いときに、ＩＣコマンド処理部１３が自ら判断してＡＰの退避処理を行うことも可能である。この場合、図８に示すように、端末がＡＰ６のＤＬを要求すると（▲１▼）、ＩＣコマンド処理部１３が、退避可能なＡＰの中から選択したＡＰ２を退避させて（▲２▼）、ＡＰ格納領域４１１に空き領域を確保した後、ＡＰ６のＤＬ処理を行い（▲３▼）、ＤＬ完了通知を端末に送る（▲４▼）、と言う処理手順になる。
このように、端末に意識されること無く、自動的に退避処理が行われる。また、この場合、ＡＰ６のＤＬ完了後、ＡＰ２を自動的に退避させたことを端末に通知するようにしても良い。
【００３３】
また、図７の▲６▼、あるいは、図８の▲２▼でのＡＰ退避処理は、図９（ａ）または図９（ｂ）に示す手順で実行される。図９（ａ）は、署名データをセキュア領域５１に格納する方式であり、まず、署名鍵を用いて、退避用データ（前述するように、インストール処理されたＡＰのプログラムコードと生成データとを退避用データにする場合と、生成データだけを退避用データにする場合とがある）の署名データを生成し（▲１▼）、退避用データと署名データとを連結し（▲２▼）、連結したデータを退避用暗号鍵で暗号化し（▲３▼）、暗号化したデータをセキュア領域５１のデータ退避領域５１１に格納する（▲４▼）。そして、退避ＡＰ管理テーブル４１４にＡＰ識別子及び退避データ識別子を追加する（この方式の場合には、署名データは、退避ＡＰ管理テーブル４１４に加えない）。インストール処理で生成したデータだけを退避用データとした場合は、ＡＰ格納領域４１１から退避対象ＡＰのプログラムコードを削除し、ＡＰ管理テーブル４１３上から退避対象ＡＰに関する情報を削除する。
【００３４】
一方、図９（ｂ）は、署名データを退避ＡＰ管理テーブル４１４に保存する方式であり、退避用データを暗号鍵で暗号化し（▲１▼）、署名鍵を用いて暗号化データの署名データを生成し、この署名データを退避ＡＰ管理テーブル４１４に保存する（▲２▼）。暗号化したデータはセキュア領域５１のデータ退避領域５１１に格納する（▲３▼）。そして、退避ＡＰ管理テーブル４１４に、さらにＡＰ識別子及び退避データ識別子を追加する。インストール処理で生成したデータだけを退避用データとした場合は、ＡＰ格納領域４１１から退避対象ＡＰのプログラムコードを削除し、ＡＰ管理テーブル４１３上から退避対象ＡＰに関する情報を削除する。
【００３５】
次に、端末が、退避状態のＡＰ２に対して起動要求した場合のセキュアカード１０の動作について説明する。この場合、ＡＰ２が退避されていることを端末が認識し、端末からＡＰ２の復元要求を行う方法と、ＩＣコマンド処理部１３が、起動要求されたＡＰ２の退避を認識し、自らＡＰ２の復元処理を行う方法とがある。
【００３６】
図１０には、端末からＡＰ２の復元要求を行う場合の手順を示している。端末はＡＰ２の起動要求をセキュアカード１０に対して行う（▲１▼）。ＩＣコマンド処理部１３は、ＡＰ管理テーブル４１３を参照してＡＰ２が内部不揮発性メモリ４１に存在しないことを認識し（▲２▼）、端末にＡＰ２が内部不揮発性メモリ４１に存在しないことを通知する（▲３▼）。端末はセキュアカード１０に「退避ＡＰ管理テーブル」４１４の取得を要求し（▲４▼）、ＩＣコマンド処理部１３は、端末に退避ＡＰ管理テーブル４１４を送信する（▲５▼）。端末は退避ＡＰ管理テーブルによってＡＰ２が退避されていることを認識し、セキュアカード１０に任意のＡＰ（ここではＡＰ４）の退避要求を行う（▲６▼）。ＩＣコマンド処理部１３は、ＡＰ４の退避処理を行い（▲７▼）、端末に退避完了を通知する（▲８▼）。
【００３７】
図１９には、図２０の状態からＡＰ４を退避させたときのＡＰ格納領域４１１、データ格納領域４１２及びデータ退避領域５１１の状態を示し、また、図１６（ｃ）には、このときの退避ＡＰ管理テーブル４１４を示している。
次いで、端末はセキュアカード１０にＡＰ２の復元要求を行う（▲９▼）。ＩＣコマンド処理部１３は、ＡＰ２の復元処理を行い（10）、端末に復元完了を通知する（11）。図１５（ｈ）は、ＡＰ２を復元処理した状態のＡＰ管理テーブル４１３を示し（アドレスｃｏｄｅ７及びｄａｔａ７は、ＡＰ４の退避により空き領域となったｃｏｄｅ４またはｄａｔａ４と同一となることもあるし、ならないこともある）、また、図１６（ｄ）は、このときの退避ＡＰ管理テーブル４１４を示し、図２１は、このときのＡＰ格納領域４１１、データ格納領域４１２及びデータ退避領域５１１の状態を示している。
次いで、端末はセキュアカード１０に再度ＡＰ２の起動要求を行う（12）。ＩＣコマンド処理部１３は、ＡＰ２を起動し（13）、端末に起動完了を通知する（14）。
【００３８】
なお、▲３▼の通知において、同時に、ＡＰ２が退避中であることを通知することによって、▲４▼、▲５▼を省略することもできる。また、ＡＰ２が退避中であることを端末が認識している場合には、▲４▼以降の手順が行われる。また、ＡＰ２の退避がインストール処理で生成されたデータについてのみ行われ、ＡＰ２のプログラムコードが削除されている場合には、端末は、▲９▼の手順でＡＰ２のプログラムコードをＤＬする。
【００３９】
一方、図１１は、ＩＣコマンド処理部１３が、起動要求されたＡＰ２の退避を認識し、自らＡＰ２の復元処理を行う場合の手順を示している。端末はＡＰ２の起動要求をセキュアカード１０に対して行う（▲１▼）。ＩＣコマンド処理部１３は、ＡＰ管理テーブル４１３を参照してＡＰ２が内部不揮発性メモリ４１に存在しないことを認識し、次に、退避ＡＰ管理テーブル４１４を参照してＡＰ２が退避されていることを認識し、あるＡＰを退避対象として選択し（ここではＡＰ４）、その退避処理を行う。次いで、空いた領域にＡＰ２を復元し（▲２▼）、ＡＰ２を起動して（▲３▼）、端末には起動完了を通知する（▲４▼）。
【００４０】
この場合、ＡＰ２が退避されていることを気付いていない端末が、ＡＰ２の起動指示を出した場合でも、そのＡＰ２を起動するための処理が、ＩＣコマンド処理部１３によって行われる。そのため、端末は、起動要求するＡＰが退避されているか否かを意識する必要がない。
なお、この方法は、ＡＰ２の退避がインストール処理で生成されたデータについてのみ行われ、ＡＰ２のプログラムコードが削除されている場合には、適用できない。
【００４１】
また、図１０の（10）、あるいは、図１１の▲２▼での復元処理は、退避処理が図９（ａ）の手順で行われているときは、図１２（ａ）の手順で、また、退避処理が図９（ｂ）の手順で行われているときは、図１２（ｂ）の手順で行われる。図１２（ａ）では、退避ＡＰ管理テーブル４１４のＡＰ識別子により退避データ（暗号化データ）を認識し、復号鍵を用いて暗号化データを内部不揮発性メモリ４１上に復号化する（▲１▼）。次いで、復号化したデータから退避データ本体と署名データとを認識し、検証鍵を用いて、署名データの正当性を検証する。署名が正当であるときは、退避用データ本体に含まれるプログラムコードを内部不揮発性メモリ４１のＡＰ格納領域４１１に、データをデータ格納領域４１２に復元する（▲２▼）。また、ＡＰ管理テーブル４１３にＡＰ識別子を記述し、インストールフラグをＯＮに設定し、ＡＰ格納領域４１１及びデータ格納領域４１２に格納した復元データのアドレスをコードアドレス及びデータアドレスとして記述する。最後にセキュア領域５１内の退避暗号化データと、退避ＡＰ管理テーブル４１４の当該ＡＰに関する部分を削除する。
【００４２】
また、図１２（ｂ）の手順では、退避ＡＰ管理テーブル４１４のＡＰ識別子により退避データ（暗号化データ）を認識し、検証鍵を用いて、退避ＡＰ管理テーブル４１４に記述された署名データとの検証を行う（▲１▼）。検証結果が正常であれば、復号鍵を用いて暗号化データを内部不揮発性メモリ４１上に復号化し（▲２▼）、プログラムコードを内部不揮発性メモリ４１のＡＰ格納領域４１１に、また、データをデータ格納領域４１２に復元する（▲３▼）。その後の処理は図１２（ａ）の場合と同じである。
【００４３】
また、ＡＰの退避がインストール処理で生成されたデータについてのみ行われている場合には、端末がＡＰのプログラムコードをＤＬしたときに、データの復元処理が次の手順で行われる。
復元対象ＡＰを端末からＤＬする。ＩＣコマンド処理部１３は、ＡＰ管理テーブル４１３にＡＰ識別子及びコードアドレスを記述し、ＤＬしたＡＰと同一のＡＰ識別子を退避ＡＰ管理テーブル４１４より検索する。対応するものが存在すれば、セキュア領域５１のデータ退避領域５１１から暗号化データを読み出し、復号化する。復号化したデータから、退避データ本体と署名データとを認識し、署名データの正当性の検証を行う。検証結果が正当であれば、退避データ本体を内部不揮発性メモリのデータ格納領域４１２に格納し、ＡＰ管理テーブル内の該当するＡＰのインストールフラグをＯＮに設定し、データアドレスとして、復元データを格納したデータ格納領域４１２のアドレスを設定する。最後にセキュア領域内の退避暗号化データと、退避ＡＰ管理テーブルの該ＡＰに関する部分を削除する。
【００４４】
ここでは、ＡＰのプログラムコードと、インストール処理で生成されたデータとを共に退避する場合、及び、データのみを退避し、プログラムコードを削除する場合について説明したが、プログラムコードに比べてデータのデータ量が遥かに大きい場合には、データのみをセキュア領域５１に退避し、プログラムコードは、内部不揮発性メモリ４１のＡＰ格納領域４１１に残しておくことも可能である。こうした方式を採ると、図１８に示すＡＰ格納領域４１１、データ格納領域４１２及びデータ退避領域５１１の状態は、図２２のように変わり、また、図２０に示す状態は、図２３のように変わる。
【００４５】
ＡＰのプログラムコード及びデータを共に退避する場合、並びに、データを退避し、プログラムコードを内部不揮発性メモリに残す場合には、図１１に示す、ＩＣコマンド処理部による自動的な復元処理手順が可能となる。
また、端末から、セキュア領域５１に退避中のＡＰの起動が要求されたとき、次の手順により、ＡＰのプログラムコードやデータをセキュア領域５１に置いたまま、ＡＰの実行を行うことも可能である。
【００４６】
例えば、図１８、図１５（ｆ）及び図１６（ｂ）の状態にあるとき、端末がセキュアカード１０に対しＡＰ２の実行を要求すると、ＩＣコマンド処理部１３は、ＡＰ管理テーブル（図１５（ｆ））よりＡＰ２がインストール状態でないことを認識し、退避ＡＰ管理テーブル（図１６（ｂ））より退避中であることを認識し、退避データ識別子により、ｅｖａｃ２を読み出し、復号化と署名検証とを行う。署名検証が正常に終了すると、復号化データよりＡＰ２のプログラムコードを取得し、ＡＰ２の実行を行う。
この場合には、退避中のＡＰを内部不揮発性メモリ４１に復元することを要しない。
【００４７】
このように第１の実施形態のセキュアメモリでは、内部不揮発性メモリにＤＬされてインストール処理されたＡＰの内、退避の可能なものだけが退避される。そのため、最高度の機密を要するＡＰは、「退避不可」とすることにより、退避の対象から外れることができる。また、紛失の危険性を甘受できる程度のセキュリティを要求するＡＰは、「退避可」とすることにより、セキュアメモリにおける秘匿領域の効率的な利用が可能になる。
【００４８】
（第２の実施形態）
本発明の第２の実施形態におけるセキュアメモリの構成は、第１の実施形態（図２、図３）と同じである。
第１の実施形態では、ＡＰをセキュアメモリ１０の内部不揮発性メモリ４１にＤＬし、内部不揮発性メモリ４１に新たなＡＰをＤＬする空きが無いときに、インストール処理された退避可のＡＰを内部不揮発性メモリ４１からセキュア領域５１に退避させる場合について説明したが、第２の実施形態では、セキュア領域５１をＡＰのＤＬ先とすることを可能にしている。ただし、セキュア領域５１にＤＬされたＡＰのインストール処理は、内部不揮発性メモリ４１で行われる。
【００４９】
ＡＰのＤＬ先を内部不揮発性メモリ４１とするか、セキュア領域５１とするかは、次のような方式で決定される。
第１の方式では、ＤＬ時に、ＡＰのプログラムコードと合わせて、端末から内部不揮発性メモリＤＬ専用フラグを送信する。セキュアメモリ１０のＩＣコマンド処理部１３は、そのフラグを参照し、内部不揮発性メモリＤＬ指定がなされていれば、必ず内部不揮発性メモリ４１にＤＬし、内部不揮発性メモリＤＬ指定がなされていなければ、内部不揮発性メモリ４１に空きがあるときは、内部不揮発性メモリ４１にＤＬし、内部不揮発性メモリ４１に空きが無いときは、セキュア領域５１にＤＬする。
【００５０】
また、第２の方式では、端末がセキュア領域５１へのＤＬを許可する場合のみ、ＤＬ時にＡＰのプログラムコードと合わせて、セキュア領域ＤＬ許可フラグを送信する。セキュアメモリ１０のＩＣコマンド処理部１３は、セキュア領域ＤＬ許可フラグが付加されていれば、内部不揮発性メモリ４１に空きがあるときは、内部不揮発性メモリ４１に、内部不揮発性メモリ４１に空きが無いときは、セキュア領域５１にＤＬし、セキュア領域ＤＬ許可フラグが付加されていなければ、必ず内部不揮発性メモリ４１にＤＬする。
このセキュアメモリ１０のセキュア領域５１は、図２４に示すように、データ退避領域５１１の他に、ＤＬされたＡＰのプラグラムコードを格納するＡＰ保存領域５１２を備えている。
【００５１】
また、内部不揮発性メモリ４１は、図１と同様の構成を備えている。ただし、ＡＰ管理テーブルは、図２５に示すように、内部不揮発性メモリ４１にＤＬまたはインストールされた状態のＡＰを管理するためのＡＰ管理テーブル４１３と、セキュア領域５１にＤＬされたＡＰを管理するためのセキュア領域ＤＬＡＰ管理テーブル４１６とから成る。セキュア領域ＤＬＡＰ管理テーブル４１６には、ＡＰを内部不揮発性メモリ４１上でインストールするために必要となる事項、即ち、ＡＰが格納されているセキュア領域５１上の位置を示す「格納アドレス」、そのＡＰの改ざんの有無を確認するための「署名データ」、そのＡＰがインストール後に退避可能か否かを示す「退避可否フラグ」がＡＰ識別子と共に記述される。
【００５２】
ＡＰ管理テーブル４１３の項目は、第１の実施形態（図４）と同じであり、内部不揮発性メモリ４１上に格納されたＡＰが、インストール状態であるか否かを示す「インストールフラグ」、退避可能か否かを示す「退避可否フラグ」、インストール状態であるときのデータの所在を示す「データアドレス」、及び、プログラムコードの読み出し先を示す「コードアドレス」がＡＰ識別子と共に記述される。
【００５３】
このＡＰ管理テーブル４１３の特定番号、例えば＃４及び＃５は、セキュア領域５１にＤＬされたＡＰ（セキュア領域ＤＬＡＰ）のインストール用に確保されており、内部不揮発性メモリ４１へのＡＰのＤＬには、そこを使用することができない。そのため、内部不揮発性メモリ４１にＤＬするＡＰのＤＬ及びインストール処理は、ＡＰ管理テーブル４１３の＃１〜＃３を使って、第１の実施形態と同じように行われる。
【００５４】
一方、セキュア領域５１にＤＬしたＡＰに対して、ＩＣコマンド処理部１３は、次の手順でインストールを行う。
セキュア領域ＤＬＡＰ管理テーブル４１６の格納アドレスにしたがって、セキュア領域５１のＡＰ保存領域５１２からＡＰのプログラムコードを読み出し、復号化及び署名検証を行う。検証結果が正常であれば、復号化したプログラムコードを内部不揮発性メモリ４１のＡＰ格納領域４１１に格納し、ＡＰ管理テーブル４１３のセキュア領域ＤＬＡＰ用の特定番号にＡＰ識別子、コードアドレス、退避可否フラグ（セキュア領域ＤＬＡＰ管理テーブル４１６に記述されているものと同じもの）を設定する。
このとき、セキュア領域ＤＬＡＰ用の特定番号に空きが無ければ、この特定番号を使用しているインストール済みのＡＰをセキュア領域５１のデータ退避領域５１１に退避させて、空きを作る。
【００５５】
次いで、ＩＣコマンド処理部１３は、インストール処理を行い、作成したデータをデータ格納領域４１２に格納し、ＡＰ管理テーブル４１３にデータアドレスを記述し、インストールフラグをＯＮにする。
このインストール後もセキュア領域５１にＤＬされたＡＰのプログラムコードは、セキュア領域５１のＡＰ保存領域５１２にそのまま存在し、セキュア領域ＤＬＡＰ管理テーブル４１６の記述は残される。そのため、インストールしたＡＰの退避処理に伴ってプログラムコードが削除されても、端末からの再ＤＬは必要が無い。
【００５６】
内部不揮発性メモリへのＤＬを指定するＡＰ（内部不揮発性メモリＤＬ専用ＡＰ）は、セキュア領域への退避を好まない。一方、セキュア領域へのＤＬが可能なＡＰ（セキュア領域ＤＬ可能ＡＰ）は、退避を行うことに問題がないと考えられる。このセキュアカードでは、セキュア領域にＤＬしたＡＰと内部不揮発性メモリにＤＬしたＡＰとを分けて管理しているため、内部不揮発性メモリＤＬ専用ＡＰが格納される領域は、セキュア領域ＤＬ可能ＡＰによって埋められてしまうことはなく、一方、セキュア領域ＤＬ可能ＡＰは、専用の領域が確保されているので、インストール状態にあるセキュア領域ＤＬ可能ＡＰを退避させることで別のセキュア領域ＤＬ可能ＡＰをインストールすることが可能となる。
【００５７】
なお、ＡＰ管理テーブル４１３の分け方は、例えば＃１〜♯３は内部不揮発性メモリＤＬ専用ＡＰ向け、＃４〜＃５はどちらでもよいＡＰ向け、というような区分でも良い。
また、セキュア領域にＤＬしたＡＰのみを退避可能とし、内部不揮発性メモリにＤＬしたＡＰは退避不可とすることも可能である。この場合には、セキュア領域ＤＬＡＰ管理テーブルの退避可否フラグは無くてもよい。
また、セキュア領域ＤＬＡＰ管理テーブルに、インストールフラグ及びデータ格納アドレスを追加することで、セキュア領域へのインストール（データ格納領域の生成）を行うこともできる。
【００５８】
ここで示した、内部不揮発性メモリへのＤＬを指定するＡＰには、セキュリティが高いもの、例えば電子マネーＡＰなどが該当するであろう。このような直接金銭に絡む、セキュリティ強度が要求されるＡＰは、内部不揮発性メモリの外にプログラムコード及びデータを出すことが望ましくない。そのため、退避不可と設定されることが考えられる。
【００５９】
また、ＩＣカード（セキュアメモリカードのＩＣ部を含む）の利用が一般に広まるにつれて、厳密な手続きを行わずに任意のプレイヤーがＡＰをカードにインストールすることが可能になるものと考えられる。そうなると、いずれかのサーバにアクセスする際（または、何らかの端末アプリケーションを使用する際）に必要なＩＤとパスワードとを管理するＡＰ等は、セキュア領域ＤＬ可能ＡＰになると考えられる。そのサーバが事業者または個人によって運用される場合（特に個人が運用するサーバの場合）には、さほどセキュリティレベルは要求されず、万一ＩＤとパスワードとを紛失した（壊れた）場合でも、容易に再発行が可能である。
【００６０】
このようなＡＰに対して、電子マネーＡＰと同等に、容量の小さい内部不揮発性メモリを常時利用させることは、コスト面から望ましくない。それよりも、大容量のセキュア領域にＤＬし、同じようにセキュア領域にＤＬしたＡＰを使用する際に退避されるという運用方法が妥当である。
ただ、このような仕分けは、論理必然的に導かれるものではなく、ＡＰ提供者が希望するセキュリティ要求度とカード発行者が判断する内部不揮発性メモリ利用の妥当性とにより様々に設定されることになる。
【００６１】
いずれにしろ、第２の実施形態のセキュアカードでは、セキュア領域へのＤＬが可能であるため、第１の実施形態に比べて、ＡＰのＤＬ処理及びインストール処理における、より多くのパターンが選択できる。そのため、ＡＰの種々のセキュリティ要求レベルに対応することが可能であり、セキュアメモリの秘匿領域を、より効率的に利用することができる。
【００６２】
また、さらに、ＡＰのセキュア領域へのＤＬとともに、セキュア領域へのインストール処理を可能にすれば、ＡＰのＤＬ処理及びインストール処理におけるパターンは一層増加し、セキュアメモリの秘匿領域をさらに効率的に利用することができる。例えば、内部不揮発性メモリにＤＬされ、内部不揮発性メモリにインストール処理された高度セキュリティのＡＰと、セキュア領域にＤＬされ、内部不揮発性メモリにインストール処理された準高度セキュリティのＡＰとを退避不可とし、セキュア領域にインストール処理されたＡＰを退避可とすることなども可能になる。
【００６３】
（第３の実施形態）
本発明の第３の実施形態では、ＡＰ間で共用するデータが退避中である場合のデータの利用について説明する。
ＡＰ間でデータの共有が可能な仕組みを持ち、ＡＰ２が許可したＡＰ（ここではＡＰ１）は、ＡＰ２のデータを参照することが可能であるものとする。許可対象ＡＰ（ＡＰ１）は、許可する側のＡＰ（ＡＰ２）により管理されたデータのうち、特定のデータ（一部のデータ）に対してのみ参照することが可能であり、また、そのような一部のデータに対する他ＡＰからの参照許可を複数設定することが可能であるものとする。
【００６４】
図２６（ａ）には、あるＡＰが参照許可を与えたデータと許可対象ＡＰとの関係を記述した許可指定テーブルの例を示しており、ここでは、図２６（ｂ）に示すように、ＡＰ１に対してｄａｔａ_ａの参照許可が設定されているものとする。また、図１８、図１５（ｆ）及び図１６（ｂ）に示すように、ＡＰ１がインストール状態、ＡＰ２が退避状態とする。
【００６５】
ＩＣコマンド処理部１３は、ＡＰ２の退避処理において、データの退避時に許可対象のデータｄａｔａ_ａも含めて退避させる。ＡＰ１の実行時に、ＡＰ２が保持するデータｄａｔａ_ａへの参照が発生すると、ＩＣコマンド処理部１３は、ＡＰ管理テーブル（図１５（ｆ））よりＡＰ２がインストール状態にないことを認識し、退避ＡＰ管理テーブル（図１６（ｂ））よりＡＰ２が退避状態であることを認識し、退避中のＡＰ２の暗号化データｅｖａｃ２を読み出し、復号化と署名検証とを行い、検証が正常に終了すれば、復号化したＡＰ２のデータからｄａｔａ_ａを参照する。
【００６６】
また、ｄａｔａ_ａへの書き込みが発生する場合は、更新したｄａｔａ_ａとともにＡＰ２のデータ全体に対して暗号化、署名生成を行い、暗号化データのセキュア領域への格納とともに、格納先を示すｅｖａｃ２を更新し、署名データｓｉｇｎ２を、生成した署名データに更新する。
また、データと同様に、退避中のＡＰのプログラムコードを他のＡＰで利用することも可能である。図２７（ａ）（ｂ）には、あるＡＰが実行許可を与えるプログラムコードと許可対象ＡＰとの関係を記述した許可指定テーブルの例を示している。前述するデータと同様の手順で、ＡＰ１は、退避中のＡＰ２のｃｏｄｅ_ａを実行することができる。
【００６７】
なお、第１の実施形態で示したように、ＡＰの退避には、
▲１▼データのみ退避＋プログラム削除
▲２▼データ＋プログラムをともに退避
▲３▼データのみ退避、プログラムを内部不揮発性メモリに残す
の３パターンがある。第２の実施形態でセキュア領域ＤＬ可能ＡＰに該当するものとして示したサーバへのアクセスに利用するＡＰの場合、利用時にネットワークに接続されるので、プログラムコードのＤＬが可能であるため、▲１▼のパターンが適する（▲２▼や▲３▼の適用を否定するものではない）。
また、端末ＡＰを使用する際に必要なＩＤとパスワードとを管理するようなＡＰの場合には、常にネットワークに接続されている訳ではないため、▲２▼のパターンが適している（▲３▼の適用を否定するものではない）。なお、▲３▼については、ＡＰ提供者がプログラムコードの退避を望まない場合に適用し得る。
【００６８】
なお、本発明の実施形態では、大容量不揮発性メモリ５０に、記憶領域として、非認証領域、認証領域及びセキュア領域の３領域を設けた例を示しているが、本発明では、大容量不揮発性メモリ５０に、セキュア領域を備えることが必要であって、その他の領域については問わない。
【００６９】
【発明の効果】
以上の説明から明らかなように、本発明のセキュアカードは、秘匿性を備えた領域を効率的に活用して、多数のＡＰの利用に必要なデータを内部で安全に保持することができる。そのため、認証条件を満たす端末であれば、どの端末でも、セキュアカードに保持されたデータを利用することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリの構成を示す図
【図２】本発明の第１の実施形態におけるセキュアカードの概略図
【図３】本発明の第１の実施形態におけるセキュアカードの構成を示すブロック図
【図４】本発明の第１の実施形態におけるセキュアカードのＡＰ管理テーブルの構成を示す図
【図５】本発明の第１の実施形態におけるセキュアカードの退避ＡＰ管理テーブルの構成を示す図
【図６】本発明の第１の実施形態におけるセキュアカードのセキュア領域の構成を示す図
【図７】本発明の第１の実施形態におけるセキュアカードの退避シーケンスを示す図（端末からトリガを掛ける場合）
【図８】本発明の第１の実施形態におけるセキュアカードの退避シーケンスを示す図（カード自身が判断して退避させる場合）
【図９】本発明の第１の実施形態におけるセキュアカードの退避データ生成手順を示す図
【図１０】本発明の第１の実施形態におけるセキュアカードの復元シーケンスを示す図（端末から復元トリガを掛ける場合）
【図１１】本発明の第１の実施形態におけるセキュアカードの復元シーケンスを示す図（カード自身が自動で復元する場合）
【図１２】本発明の第１の実施形態におけるセキュアカードの復元データ生成手順を示す図
【図１３】本発明の第１の実施形態におけるセキュアカードのＡＰ管理テーブルの推移を示す図（ａ〜ｃ）
【図１４】本発明の第１の実施形態におけるセキュアカードのＡＰ管理テーブルの推移を示す図（ｄ〜ｅ）
【図１５】本発明の第１の実施形態におけるセキュアカードのＡＰ管理テーブルの推移を示す図（ｆ〜ｈ）
【図１６】本発明の第１の実施形態におけるセキュアカードの退避ＡＰ管理テーブルの推移を示す図
【図１７】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その１）
【図１８】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その２）
【図１９】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その３）
【図２０】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その４）
【図２１】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その５）
【図２２】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その６）
【図２３】本発明の第１の実施形態におけるセキュアカードの内部不揮発性メモリ及びセキュア領域の推移を示す図（その７）
【図２４】本発明の第２の実施形態におけるセキュアカードのセキュア領域の構成を示す図
【図２５】本発明の第２の実施形態におけるセキュアカードのＡＰ管理テーブルの構成を示す図
【図２６】本発明の第３の実施形態におけるセキュアカードのデータ参照許可指定テーブルを示す図
【図２７】本発明の第３の実施形態におけるセキュアカードのコード使用許可指定テーブルを示す図
【符号の説明】
１０ セキュアメモリカード
１１ ＩＣ部
１２ Ｉ／Ｆ部
１３ ＩＣコマンド処理部
１４ ファイル管理部
１５ ＩＣ認証部
１６ メモリ管理部
１７ 暗復号回路
１８ 内部不揮発性メモリＩ／Ｆ部
２０ 制御部
２１ データＩ／Ｆ部
２２ コマンドＩ／Ｆ部
２３ 制御認証部
２４ コマンド処理部
２５ アクセス制御部
２６ 大容量不揮発性メモリＩ／Ｆ部
４０ ＴＲＭ
４１ 内部不揮発性メモリ
５０ 大容量不揮発性メモリ
５１ セキュア領域
５２ 認証領域
５３ 非認証領域
６０ 外部ＣＰＵ
４１１ ＡＰ格納領域
４１２ データ格納領域
４１３ ＡＰ管理テーブル
４１４ 退避ＡＰ管理テーブル
４１５ 鍵管理領域
４１６ セキュア領域ＤＬＡＰ管理テーブル
５１１ データ退避領域
５１２ ＡＰ保存領域
Claims (10)
- 電子機器から直接アクセスできない耐タンパー性の第１のメモリにアプリケーションをインストールし、実行するメモリデバイスであって、
アプリケーションプログラムコードを格納するアプリケーション格納領域と、
アプリケーションのインストール処理、又はアプリケーションの実行時に、アプリケーションによって生成されるデータを格納するアプリケーションデータ格納領域と、
を配置した、前記第１のメモリと、
前記アプリケーションプログラムコード又は前記アプリケーションによって生成されたデータを退避させる、電子機器から直接アクセスすることができない非耐タンパー性の第２のメモリと、
前記アプリケーション格納領域に格納された各アプリケーションの、アプリケーション識別子と、インストールされているかどうかを示すインストール識別情報と、アプリケーションを実行するための、コード格納位置情報と、前記アプリケーションプログラムが前記生成されたデータを参照するための、データ格納位置情報とからなる、アプリケーション管理手段と、
前記第２のメモリに退避された各アプリケーションの、退避アプリケーション識別子と、アプリケーションプログラムコード又はアプリケーションデータからなる退避データの退避場所を示す、退避データ位置情報とからなる、退避アプリケーション管理手段と
を備え、
アプリケーションのアプリケーション識別子及び、前記コード格納位置情報又は前記データ格納位置情報を用いて、アプリケーションのアプリケーションプログラムコード又はアプリケーションデータを前記第１のメモリから前記第２のメモリに移動し、
前記アプリケーション識別子及び退避場所を、前記退避アプリケーション管理手段に登録し、
前記アプリケーション管理手段における前記アプリケーションに関する情報をクリアする退避処理を行う
ことを特徴とするメモリデバイス。 - アプリケーションのアプリケーション識別子と、前記退避データ位置情報を用いて、前記退避データを、前記第２のメモリから前記アプリケーション格納領域又は前記アプリケーションデータ格納領域に移動し、
前記アプリケーションに関する、前記アプリケーション識別子と、前記コード格納位置情報又は前記アプリケーションデータ格納位置情報を前記アプリケーション管理手段に設定し、
さらに前記アプリケーションに関する前記インストール識別情報をインストール済みに設定し、
前記退避アプリケーション管理手段における前記アプリケーションに関する情報をクリアする復元処理を行う
ことを特徴とする請求項１に記載のメモリデバイス。 - 前記退避処理において、前記アプリケーションプログラムを前記アプリケーション格納領域から削除し、前記第２のメモリに移動しない
ことを特徴とする請求項１に記載のメモリデバイス。 - 前記アプリケーション管理手段に、各アプリケーションが退避可能であるかを示す退避可否情報を含む
ことを特徴とする請求項１に記載のメモリデバイス。 - 前記退避処理において、前記退避データとその署名情報とを暗号化した上で、前記第２のメモリに格納する
ことを特徴とする請求項１に記載のメモリデバイス。 - 前記退避処理において、前記退避データを暗号化した上で、前記フラッシュメモリに格納し、
前記暗号化された退避データの署名情報を前記退避アプリケーション管理手段に格納する
ことを特徴とする請求項１に記載のメモリデバイス。 - 前記退避処理において、電子機器から指定されたアプリケーションに対して退避処理を行う
ことを特徴とする請求項１に記載のメモリデバイス。 - 電子機器がアプリケーションのダウンロードまたはインストールを要求し、前記アプリケーション格納領域又は前記アプリケーションデータ格納領域に余地がないときに、
前記退避可否情報に基づいて、退避可能なアプリケーションに対して退避処理を行う
ことを特徴とする請求項４に記載のメモリデバイス。 - 前記復元処理において、電子機器から指定された退避アプリケーションに対して復元処理を行う
ことを特徴とする請求項２に記載のメモリデバイス。 - 前記電子機器からの指定が、前記退避アプリケーションの起動指示である
ことを特徴とする請求項９に記載のメモリデバイス。
Priority Applications (5)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003042288A JP4338989B2 (ja) | 2003-02-20 | 2003-02-20 | メモリデバイス |
| US10/782,556 US7797553B2 (en) | 2003-02-20 | 2004-02-19 | Memory device |
| CNB2004100312090A CN1329807C (zh) | 2003-02-20 | 2004-02-20 | 存储装置 |
| EP04003878A EP1450235B1 (en) | 2003-02-20 | 2004-02-20 | Memory device |
| DE602004032076T DE602004032076D1 (de) | 2003-02-20 | 2004-02-20 | Speichervorrichtung |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003042288A JP4338989B2 (ja) | 2003-02-20 | 2003-02-20 | メモリデバイス |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2004252707A JP2004252707A (ja) | 2004-09-09 |
| JP2004252707A5 JP2004252707A5 (ja) | 2006-01-26 |
| JP4338989B2 true JP4338989B2 (ja) | 2009-10-07 |
Family
ID=32732955
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003042288A Expired - Lifetime JP4338989B2 (ja) | 2003-02-20 | 2003-02-20 | メモリデバイス |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US7797553B2 (ja) |
| EP (1) | EP1450235B1 (ja) |
| JP (1) | JP4338989B2 (ja) |
| CN (1) | CN1329807C (ja) |
| DE (1) | DE602004032076D1 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8526833B2 (en) | 2009-01-30 | 2013-09-03 | Kyocera Mita Corporation | Image forming apparatus, cartridge, and apparatus main unit |
Families Citing this family (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7953985B2 (en) | 2005-05-09 | 2011-05-31 | Panasonic Corporation | Memory card, application program holding method, and holding program |
| JP4972994B2 (ja) * | 2006-05-17 | 2012-07-11 | ソニー株式会社 | 情報処理装置および情報処理方法、並びにプログラム |
| WO2009016589A2 (en) * | 2007-08-02 | 2009-02-05 | Nxp B.V. | Tamper-resistant semiconductor device and methods of manufacturing thereof |
| US8726042B2 (en) * | 2008-02-29 | 2014-05-13 | Microsoft Corporation | Tamper resistant memory protection |
| JP5620781B2 (ja) * | 2010-10-14 | 2014-11-05 | キヤノン株式会社 | 情報処理装置、その制御方法、及びプログラム |
| JP5112555B1 (ja) * | 2011-12-02 | 2013-01-09 | 株式会社東芝 | メモリカード、ストレージメディア、及びコントローラ |
| FR3035241B1 (fr) * | 2015-04-16 | 2017-12-22 | Inside Secure | Procede de partage d'une memoire entre au moins deux entites fonctionnelles |
| JP6476098B2 (ja) * | 2015-09-15 | 2019-02-27 | ルネサスエレクトロニクス株式会社 | 半導体装置 |
| JP6867156B2 (ja) * | 2016-12-28 | 2021-04-28 | ルネサスエレクトロニクス株式会社 | 半導体装置 |
| JP6737189B2 (ja) * | 2017-01-18 | 2020-08-05 | トヨタ自動車株式会社 | 不正判定システム及び不正判定方法 |
| US10754579B2 (en) * | 2017-09-25 | 2020-08-25 | Silicon Laboratories Inc. | Reliable non-volatile memory programming interface and method therefor |
| US10978123B2 (en) * | 2018-12-04 | 2021-04-13 | Nxp Usa, Inc. | Tamper protection of memory devices on an integrated circuit |
Family Cites Families (21)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH087720B2 (ja) * | 1986-09-16 | 1996-01-29 | 富士通株式会社 | 複数サービス用ｉｃカードの領域アクセス方法 |
| US5479638A (en) * | 1993-03-26 | 1995-12-26 | Cirrus Logic, Inc. | Flash memory mass storage architecture incorporation wear leveling technique |
| JP3810449B2 (ja) * | 1994-07-20 | 2006-08-16 | 富士通株式会社 | キュー装置 |
| US5892900A (en) * | 1996-08-30 | 1999-04-06 | Intertrust Technologies Corp. | Systems and methods for secure transaction management and electronic rights protection |
| US5826011A (en) * | 1995-12-26 | 1998-10-20 | Rainbow Technologies, Inc. | Method of metering and protecting computer software |
| JP3774260B2 (ja) * | 1996-03-25 | 2006-05-10 | 株式会社ルネサステクノロジ | メモリカードのセキュリティシステム装置及びそのメモリカード |
| US6205550B1 (en) * | 1996-06-13 | 2001-03-20 | Intel Corporation | Tamper resistant methods and apparatus |
| US6175925B1 (en) * | 1996-06-13 | 2001-01-16 | Intel Corporation | Tamper resistant player for scrambled contents |
| US5923884A (en) * | 1996-08-30 | 1999-07-13 | Gemplus S.C.A. | System and method for loading applications onto a smart card |
| GB2321728B (en) * | 1997-01-30 | 2001-12-19 | Motorola Inc | Apparatus and method for accessing secured data stored in a portable data carrier |
| US6175924B1 (en) * | 1997-06-20 | 2001-01-16 | International Business Machines Corp. | Method and apparatus for protecting application data in secure storage areas |
| JP3597704B2 (ja) | 1998-06-19 | 2004-12-08 | 株式会社日立製作所 | Ｉｃカードおよび記録媒体 |
| JP3389186B2 (ja) | 1999-04-27 | 2003-03-24 | 松下電器産業株式会社 | 半導体メモリカード及び読み出し装置 |
| EP1193962A1 (en) * | 2000-09-21 | 2002-04-03 | Siemens Aktiengesellschaft | Transmission of real-time data from a network element to an application server with recovery method for link failure |
| US6832373B2 (en) * | 2000-11-17 | 2004-12-14 | Bitfone Corporation | System and method for updating and distributing information |
| JP2002229861A (ja) * | 2001-02-07 | 2002-08-16 | Hitachi Ltd | 著作権保護機能つき記録装置 |
| JP2003051819A (ja) * | 2001-08-08 | 2003-02-21 | Toshiba Corp | マイクロプロセッサ |
| US6695583B2 (en) * | 2002-05-30 | 2004-02-24 | Sikorsky Aircraft Corporation | Snubber-vibration damper system for a bearingless main rotor |
| EP1542112A4 (en) * | 2002-07-09 | 2008-04-09 | Fujitsu Ltd | UCT RESISTANT TO OPEN-TYPE UNIVERSAL ATTACKS, AND ASSOCIATED APPLICATION SYSTEM |
| GB2396930B (en) * | 2002-11-18 | 2005-09-07 | Advanced Risc Mach Ltd | Apparatus and method for managing access to a memory |
| JP4242682B2 (ja) * | 2003-03-26 | 2009-03-25 | パナソニック株式会社 | メモリデバイス |
-
2003
- 2003-02-20 JP JP2003042288A patent/JP4338989B2/ja not_active Expired - Lifetime
-
2004
- 2004-02-19 US US10/782,556 patent/US7797553B2/en active Active
- 2004-02-20 DE DE602004032076T patent/DE602004032076D1/de not_active Expired - Lifetime
- 2004-02-20 CN CNB2004100312090A patent/CN1329807C/zh not_active Expired - Fee Related
- 2004-02-20 EP EP04003878A patent/EP1450235B1/en not_active Expired - Fee Related
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8526833B2 (en) | 2009-01-30 | 2013-09-03 | Kyocera Mita Corporation | Image forming apparatus, cartridge, and apparatus main unit |
Also Published As
| Publication number | Publication date |
|---|---|
| EP1450235A2 (en) | 2004-08-25 |
| CN1329807C (zh) | 2007-08-01 |
| EP1450235B1 (en) | 2011-04-06 |
| US20040165413A1 (en) | 2004-08-26 |
| EP1450235A3 (en) | 2005-08-31 |
| JP2004252707A (ja) | 2004-09-09 |
| CN1523483A (zh) | 2004-08-25 |
| DE602004032076D1 (de) | 2011-05-19 |
| US7797553B2 (en) | 2010-09-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR100806477B1 (ko) | 리모트 액세스 시스템, 게이트웨이, 클라이언트 기기,프로그램 및 기억 매체 | |
| CN102576334B (zh) | 一次写入多次读取(worm)存储器器件的验证和保护 | |
| US7925879B2 (en) | Information processing unit with information division recording function | |
| CN102222049B (zh) | 自加密存储设备的可扩展管理 | |
| JP5094365B2 (ja) | ハード・ディスク・ドライブ | |
| JP4598857B2 (ja) | Ｉｃカード、およびそのアクセス制御方法 | |
| US9832230B2 (en) | IC chip, information processing apparatus, system, method, and program | |
| US20040255119A1 (en) | Memory device and passcode generator | |
| JP4338989B2 (ja) | メモリデバイス | |
| EP3525127B1 (en) | System for blocking phishing or ransomware attack | |
| JP2008129744A (ja) | 外部記憶装置 | |
| JP2004199138A (ja) | メモリデバイスとそれを使用する電子機器 | |
| JP2007004522A (ja) | 記憶装置 | |
| US8695085B2 (en) | Self-protecting storage | |
| JP4993114B2 (ja) | 携帯型ストレージデバイスの共有管理方法、および、携帯型ストレージデバイス | |
| US11468159B2 (en) | Memory system | |
| JP4394413B2 (ja) | 情報記憶装置及び情報処理システム | |
| JP3698693B2 (ja) | アクセス制御装置及びそのコンピュータプログラム | |
| JP2004348526A (ja) | Ｉｃカード、ｉｃカードプログラム及びコード部の入れ替え方法 | |
| JP4118031B2 (ja) | Ｉｃカード運用管理システム | |
| JP2005234751A (ja) | 電子データの証拠性を確保しながら同データを保管する電子データ保管システム | |
| JP5011214B2 (ja) | 情報機器管理システム、情報処理装置、及びｉｃカード | |
| EP2405375A1 (en) | Method of exchanging data between a contactless card and a microprocessor card | |
| JP2013026870A (ja) | 情報記録媒体と認証管理方法および認証管理システム | |
| JP2005122228A (ja) | 情報記憶媒体 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20051205 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20051205 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090609 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090701 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4338989 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120710 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120710 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130710 Year of fee payment: 4 |
|
| EXPY | Cancellation because of completion of term |