JP4573350B2 - Ｉｃカード、ｉｃカードセキュリティ用システム、ｉｃカード輸送安全性確保方法、制御プログラムおよび可読記録媒体 - Google Patents

Description

本発明は、一または複数の生産工場を経由して製造され、カード輸送時などのセキュリティを確保可能としたＩＣカード、このＩＣカードに対してロック解除用のカード照合処理を行うＩＣカードセキュリティ用システム、ＩＣカードの輸送の安全性を確保可能とするＩＣカード輸送安全性確保方法、これをコンピュータに実行させるための制御プログラムおよびこれを格納可能とするコンピュータ読み出し可能な不揮発性メモリなどの可読記録媒体に関する。

従来、外部から電源供給しなくても記憶が消えないメモリである不揮発性メモリが搭載されたＩＣカードを製造する場合には、そのＩＣカードをＩＣカード製造者から最終送付先であるＩＣカード発行者に輸送するまでの間に、ＩＣカード内の不揮発性メモリに格納された情報の盗聴・改竄などの不正行為から守る必要がある。

このための従来技術として、輸送鍵を用いてＩＣカード製造者とＩＣカード発行者間の輸送時の安全性を確保する方法が挙げられる。この方法では、輸送時にはＩＣカードが輸送鍵によりロックされ、ＩＣカードへの処理を行うことができなくなり、輸送鍵による照合後、ＩＣカードへの処理を行うことが可能になる。

以下に、輸送鍵を用いてＩＣカードの輸送時の安全性を確保する従来技術について、図１０を用いて具体的に説明する。

図１０は、ＩＣカードの照合に秘密鍵暗号方式を使用した従来技術の一例を示すブロック図である。

図１０に示すように、まず、（１）ＩＣカード発行者にて輸送鍵を生成し、（２）輸送鍵を記録媒体に記録してＩＣカード製造者へ送付する。この間の盗難を防止するために、輸送鍵が記録された記録媒体をＩＣカード発行者からＩＣカード製造者へ手渡しする手段などが講じられている。

次に、（３）ＩＣカード製造者は、ＩＣカード発行者から受け取った輸送鍵をＩＣカードに設定し、（４）ＩＣカード発行者へＩＣカードを送付する。ここで、ＩＣカードは、設定された輸送鍵にて照合しない限りＩＣカードの発行処理を行うことができないように設定されている。

さらに、（５）ＩＣカード発行者は、ＩＣカード製造者から受け取ったＩＣカードを輸送鍵にて照合し、ＩＣカードの発行処理を行う。

以上のような一連の処理を行うことにより、ＩＣカード製造者とＩＣカード発行者間の輸送時におけるＩＣカードへの不正行為を防止することができる。

しかしながら、上記従来技術では、ＩＣカード発行者とＩＣカード製造者が用いる鍵が同一の輸送鍵であり、製造者内部犯行などによる輸送鍵の漏洩によってＩＣカード製造者とＩＣカード発行者間の輸送時に、ＩＣカードへの不正行為が可能となる場合がある。

そこで、例えば特許文献１には、輸送鍵を対称鍵ではなく、非対称鍵を用いることにより、輸送鍵の秘密性を高めて上記問題を解決する技術が開示されている。なお、対称鍵とは、暗号化と復号化に同じ鍵を用いる秘密鍵暗号方式（秘密鍵暗号化アルゴリズム）に使用される鍵であり、非対称鍵とは、暗号化と復号化に異なる鍵を用いる公開鍵暗号方式（公開鍵暗号化アルゴリズム）に使用される鍵である。

以下に、非対称鍵を用いてＩＣカードの輸送時の安全性を確保する従来技術について、図１１を用いて具体的に説明する。

図１１は、ＩＣカードの照合に公開鍵暗号方式を使用した従来技術の一例を示すブロック図である。

図１１に示すように、まず、（１）ＩＣカード発行者は、輸送鍵として、秘密鍵および公開鍵をペアで生成し、（２）公開鍵を記録媒体に記録してＩＣカード製造者へ送付する。

次に、（３）ＩＣカード製造者は、ＩＣカード発行者から受け取った公開鍵をＩＣカードに設定し、（４）ＩＣカード発行者へＩＣカードを送付する。ここで、ＩＣカードは、ＩＣカード発行者が生成した公開鍵に対応した秘密鍵にて照合しない限りＩＣカードの発行処理を行うことができないように設定されている。

さらに、（５）ＩＣカード発行者は、保持している秘密鍵を用いてＩＣカード製造者から受け取ったＩＣカードを照合し、ＩＣカードの発行処理を行う。

以上のような公開鍵暗号方式を利用することにより、照合に必要な秘密鍵は、生成源であるＩＣカード発行者より外部へ出ることがない。これによって、公開鍵のＩＣカード製造者への送付時やＩＣカード製造者内での漏洩によるＩＣカードへの不正行為を防ぐことができる。
特開２０００−１１１１３号公報

しかしながら、上記従来技術は、いずれも、ＩＣカード製造者とＩＣカード発行者間の１対１での輸送時に安全を確保するための方法であり、ＩＣカード製造者による生産工程において、複数の中間処理工場を経由することは想定されていない。

従来技術において、ＩＣカード製造者である複数の中間処理工場間での輸送時に不正防止を図るためには、ＩＣカード発行者から送付された輸送鍵を全ての中間処理工場で使用することになり、輸送鍵が製造者外へ漏洩する虞は増加する。

ここで、輸送鍵として、対称鍵ではなく、非対称鍵を使用した場合であっても、各中間処理工場においてＩＣカードへの処理を行うために、ＩＣカード発行者から公開鍵だけではなく秘密鍵まで各中間処理工場へ提供することになる。よって、本来はＩＣカード発行者のみによって使用される秘密鍵が、中間処理工場でも必要になる。

また、従来技術では、ＩＣカードの輸送時に不正行為が行われた場合、または、不正行為が行われようとした場合に、これらを検出することができない。さらに、ＩＣカードの生産工程において、複数の中間処理工場を経由する場合、従来技術では同じ輸送鍵を各中間処理工場にて使用するため、どの中間処理工場まで不正行為が行われずに正しく処理されたかということを把握することもできない。特に、ＩＣカードの生産工程において、複数の中間処理工場を経由する場合には、不正行為が行われた場所を特定するために、不正行為を検出することが重要になる。

さらに、従来技術では、輸送鍵がＩＣカードの不揮発性メモリに書き込まれ、ＩＣカード発行者によるＩＣカードの照合後、輸送鍵をＩＣカード上から消去することは行われているが、輸送鍵の設定・照合などを行う輸送鍵管理プログラムは、ＩＣカードのＲＯＭ（読み出し専用メモリ）上に搭載されているため、消去することができない。このため、ＩＣカードが発行された後も、輸送鍵管理プログラムが無駄にＩＣカード内に存在することになる。

本発明は、上記従来の問題を解決するもので、不揮発性メモリが搭載されたＩＣカードの生産工程において、全ての工程が一つの工場で行われず、複数の生産工場を経てＩＣカードが製造される場合にも、各生産工場間をロック解除に対して安全に輸送することができ、もし不正行為が行われた場合であっても、それを検出することができるＩＣカード、このＩＣカードに対してロック解除用のカード照合処理を行うＩＣカードセキュリティ用システム、ＩＣカードの輸送時のロック解除に対する安全性を確保可能とするＩＣカード輸送安全性確保方法、これをコンピュータに実行させるための制御プログラムおよびこれを格納可能とするコンピュータ読み出し可能な不揮発性メモリなどの可読記録媒体を提供することを目的とする。

本発明のＩＣカードは、不揮発性メモリが設けられ、一または複数の生産工場を順次経由して製造される場合に、情報の読み出しも書き込みも不可能にする輸送時のロックの解除に対するセキュリティを確保可能とするセキュリティ確保手段を備えたＩＣカードであって、該一または複数の生産工場および最終送付先であるカード発行者のそれぞれに対応する秘密情報が該不揮発性メモリを用いて保存されており、該セキュリティ確保手段は、 該ＩＣカード外部の通信手段が、該一または複数の生産工場およびカード発行者のいずれかに対応する、該不揮発性メモリ内の秘密情報と、該通信手段が有する秘密情報とを用いて、該ＩＣカードに対してロック解除用のカード照合を行った後に、該カード照合が行われた該不揮発性メモリ内の秘密情報を無効処理する秘密情報無効化手段と、該秘密情報の無効処理後に、該秘密情報を、後続する生産工場またはカード発行者に対応する秘密情報に切り替える秘密情報切替手段とを有し、該一または複数の生産工場およびカード発行者のいずれかに対応する秘密情報により、誤った秘密情報が使用されて正しく照合が行われなかった場合、または不正行為（Ｕｎｅｘｐｅｃｔｅｄ Ａｔｔａｃｋｏｒ Ｉｌｌｅｇａｌ Ａｃｔｉｏｎｓ）により正しい照合が行われなかった場合、次に後続する生産工場またはカード発行者に対応する秘密情報を無効処理する後続秘密情報無効化手段と、該秘密情報の無効処理後に、該秘密情報を、該不正の検出のために、次に後続するさらに次の生産工場またはカード発行者に対応する秘密情報に切り替える後続秘密情報切替手段とを更に有し、そのことにより上記目的が達成される。

さらに、好ましくは、本発明のＩＣカードにおける一または複数の生産工場およびカード発行者に対応する各秘密情報および前記セキュリティ確保手段に関する情報の少なくともいずれかを前記不揮発性メモリ上から削除可能とする情報削除手段を更に有する。

本発明のＩＣカードセキュリティ用システムは、請求項１〜３のいずれかに記載の上記ＩＣカードの固有値と前記一または複数の生産工場およびカード発行者のそれぞれとに対応する各秘密情報を管理し、かつ入力された該固有値と、前記一または複数の生産工場およびカード発行者のいずれかとに対応する秘密情報を出力する秘密情報管理手段と、該ＩＣカードとの間および秘密情報管理手段との間で情報通信処理を行って該ＩＣカードに対してロック解除用のカード照合処理を行う通信手段とを備え、該通信手段は、該ＩＣカードの固有値を取得するカード固有値取得手段と、取得した該固有値を該秘密情報管理手段に出力することにより、該固有値と、該一または複数の生産工場およびカード発行者のいずれかとに対応する秘密情報を該秘密情報管理手段から取得する秘密情報取得手段と、該取得した秘密情報を用いて、該ＩＣカードとの間で通信処理をすることにより、該ＩＣカードのカード照合処理を行うカード照合処理手段とを有し、そのことにより上記目的が達成される。

また、好ましくは、本発明のＩＣカードセキュリティ用システムにおける秘密情報は、識別用暗証番号ＰＩＮと対称鍵ＤｉｖＫである。

さらに、好ましくは、本発明のＩＣカードセキュリティ用システムにおける秘密情報は、前記識別用暗証番号を乱数でマスクし、マスクされたメッセージを前記対称鍵で暗号化して前記カード照合処理に用いる。

さらに、好ましくは、本発明のＩＣカードセキュリティ用システムにおける識別用暗証番号の前記乱数によるマスクは、該識別用暗証番号と乱数の排他的論理和により行う。

さらに、好ましくは、本発明のＩＣカードセキュリティ用システムにおいて、マスクされたメッセージの暗号化を秘密鍵暗号化方式により行う。

本発明のＩＣカード輸送安全性確保方法は、前記一または複数の生産工場およびカード発行者側にそれぞれ設けられた請求項４〜８のいずれかに記載のＩＣカードセキュリティ用システムを用いて、該一または複数の生産工場およびカード発行者のそれぞれにおいて、前記カード固有値取得手段が、該ＩＣカードの固有値を該ＩＣカードから取得するカード固有値取得ステップと、前記通信手段から該固有値を前記秘密情報管理手段に入力して、該固有値と、該一または複数の生産工場およびカード発行者のいずれかとに対応する秘密情報を前記秘密情報取得手段が前記秘密情報管理手段から取得する秘密情報取得ステップと、前記カード照合処理手段が、該秘密情報取得手段によって取得された秘密情報を用いて該ＩＣカードとの間で通信処理を行って該ＩＣカードとのロック解除用のカード照合処理を行うカード照合処理ステップとを有し、そのことにより上記目的が達成される。

また、好ましくは、本発明のＩＣカード輸送安全性確保方法における秘密情報無効化手段が、前記カード照合処理の後に、照合された該一または複数の生産工場およびカード発行者のいずれかに対応した秘密情報を無効処理する秘密情報無効化ステップと、前記秘密情報切替手段が、該秘密情報の無効処理後に、該秘密情報を、後続する生産工場またはカード発行者に対応する秘密情報に切り替える秘密情報切替ステップとを更に有する。

さらに、好ましくは、本発明のＩＣカード輸送安全性確保方法における後続秘密情報無効化手段が、前記一または複数の生産工場およびカード発行者のそれぞれに対応する秘密情報により不正にカード照合が行われた場合、後続する生産工場またはカード発行者に対応する秘密情報を無効処理する後続秘密情報無効化ステップと、前記後続秘密情報切替手段が、該秘密情報の無効処理後に、該秘密情報を、更に後続する生産工場またはカード発行者に対応する秘密情報に切り替える後続秘密情報切替ステップとを更に有する。

さらに、好ましくは、本発明のＩＣカード輸送安全性確保方法では、最初の生産工場側において、前記ＩＣカードが、該ＩＣカードの輸送鍵である輸送セキュリティ用アプリケーションプログラムおよびそのデータを前記不揮発性メモリにダウンロードして搭載するプログラム搭載ステップと、該ＩＣカードの固有値を前記秘密情報管理手段に前記通信手段から送信して入力して、該秘密情報管理手段から前記通信手段を介して該ＩＣカードが、該固有値と、前記一または複数の生産工場およびカード発行者のそれぞれとに対応する秘密情報を取得する秘密情報取得ステップと、該ＩＣカードが、該通信手段によって取得された秘密情報を該ＩＣカードの不揮発性メモリに登録する秘密情報登録ステップと、該ＩＣカードが、該秘密情報登録後に、情報の読み出しも書き込みも不可能にする該ＩＣカードのロック処理を行うロック処理ステップとを有する。

さらに、好ましくは、本発明のＩＣカード輸送安全性確保方法では、カード発行者側において、前記ＩＣカードに搭載されたセキュリティ用アプリケーションプログラムによって、前記情報削除手段が、前記一または複数の生産工場およびカード発行者のそれぞれに対応する各秘密情報を該ＩＣカードの不揮発性メモリから削除する秘密情報削除ステップと、オペレーションシステムによって該輸送セキュリティ用アプリケーションプログラムおよびそのデータを該ＩＣカードが該ＩＣカードの不揮発性メモリから削除するプログラム削除ステップとを有する。

本発明の制御プログラムは、本発明の上記ＩＣカード輸送安全性確保方法の各ステップをコンピュータに実行させるための処理手順が記述されたものであり、そのことにより上記目的が達成される。

本発明の可読記録媒体は、本発明の上記制御プログラムが記録されたコンピュータ読み取り可能な記録媒体であり、そのことにより上記目的が達成される。

上記構成により、以下に、本発明の作用について説明する。

不揮発性メモリが設けられたＩＣカードにおいて、ＩＣカードを最終送付先であるＩＣカード発行者に輸送するまでの間に、不正にロックが解除されてＩＣカード内の情報の盗聴・改竄などの不正行為から守る必要がある。特に、ＩＣカードの全ての生産工程が一つの工場で行われない場合、（１）各生産工場間をロック解除に対して安全に輸送できること、および（２）不正行為が行われた場合に、それを検出することが必要になる。

従来技術では、ＩＣカードのハードウェア構成の違いや出荷形態等により、生産工場−ＩＣカード発行者間で利用可能な方法であり、生産工程において複数の中間工場を経由することは想定されていない。

本発明では、不揮発性メモリが搭載されたＩＣカードの製造工程において、各生産工場（中間処理工場）および最終送付先であるＩＣカード発行者に対応する各秘密情報として、例えば識別用暗証番号ＰＩＮ（ＰｅｒｓｏｎａｌＩｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）および対称鍵ＤｉｖＫをＩＣカードの不揮発性メモリを用いて管理して、各生産工場およびＩＣカード発行者のいずれかに対応する秘密情報によりＩＣカードのロック解除用のカード照合処理を行った後、このカード照合が行われた生産工場またはＩＣカード発行者に対応した秘密情報を無効にし、ＩＣカードの秘密情報が無効にされた後、ＩＣカードの秘密情報を後続する生産工場またはＩＣカード発行者に対応する秘密情報に切り替える。

各生産工場およびＩＣカード発行者側に、ＩＣカードとの間で通信処理を行う通信手段と、各ＩＣカードの固有値と、各中間処理工場およびＩＣカード発行者に対応する秘密情報とを管理する秘密情報管理手段ＳＡＭ（Ｓｅｃｕｒｅ Ａｃｃｅｓｓ Ｍｏｄｕｌｅ：秘密情報などを管理するハードウェアモジュールまたはソフトウェアモジュール）とを設けて、各生産工場およびＩＣカード発行者側において、通信手段からＩＣカードの固有値（各ＩＣカードに固有に割り当てられる値、シリアルＮｏ等）を秘密情報管理手段に入力することにより、その固有値と、各中間処理工場およびＩＣカード発行者のいずれかとに対応する秘密情報を取得し、通信手段によって、取得された秘密情報を用いてＩＣカードとの間で通信処理を行って、ＩＣカードのロック解除用のカード照合を行う。

これにより、対応する生産工場およびＩＣカード発行者によってのみ、ＩＣカードに対する処理を行うことが可能になり、生産工程において複数の生産工場を経由した場合でも、ＩＣカード輸送時のロック解除に対する安全性を確保することができる。さらに、ＩＣカードの各生産工場およびＩＣカード発行者のそれぞれに対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）がカード照合後に無効とされ、後続する生産工場またはＩＣカード発行者に対応する秘密情報に切り替えられるため、ＩＣカードの製造工程を正しく順序通りに処理し、最終送付先であるＩＣカード発行者に、ロック解除に対するセキュリティを確保した状態で届けることが可能になる。

さらに、本発明によれば、各生産工場またはＩＣカード発行者に対応する秘密情報により正しくカード照合が行われなかった場合（ロック解除に対して不正行為があった場合）でも、後続する生産工場またはＩＣカード発行者に対応する秘密情報を無効にし、ＩＣカードの秘密情報が無効にされた後、ＩＣカードの秘密情報をさらに後続する生産工場またはＩＣカード発行者に対応する秘密情報に切り替える。

これにより、ＩＣカードに対して不正行為が行われた場合に、後続する生産工場またはＩＣカード発行者に対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）が無効とされ、後続する生産工場またはＩＣカード発行者にて正しく照合することができなくなる。これによって、不正行為が行われたことを検出することが可能となる。

さらに、本発明では、ＩＣカードの輸送セキュリティ用アプリケーションプログラムにおいて、各生産工場およびＩＣカード発行者に対応する各秘密情報をＩＣカードの不揮発性メモリから削除可能とする。このように、各生産工場およびＩＣカード発行者に対応する各秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）を削除することにより、生産工程における秘密情報の漏洩を防止することが可能になる。

また、従来技術では、必要なアプリケーションプログラムは、ＲＯＭとしてＩＣカードに搭載されているため、ＩＣカードが発行された後も無駄にＩＣカード内に存在することになる。ユーザに最大限のメモリ容量を提供するためには、ＩＣカード発行後に必要のないアプリケーションプログラムを削除できることが必要になる。

本発明では、ＩＣカードにおいて、ＩＣカードの輸送セキュリティ用アプリケーションプログラムを不揮発性メモリから削除する手段はＯＳに設けられている。これにより、ＩＣカードがＩＣカード発行者に届いた後に、アプリケーションプログラムおよびそのデータを削除すれば、最大限のメモリ容量をユーザに提供することが可能になる。

このように、本発明として、ユーザに最大限のメモリ容量を提供するために、ＩＣカード発行後に必要がなくなるＩＣカードの輸送セキュリティ用アプリケーションプログラムおよびそのデータを削除する手段を有するＩＣカードを得ることが可能となる。

以上により、本発明によれば、対応する生産工場およびＩＣカード発行者によってのみ、ＩＣカードに対する処理を行うことが可能になり、各生産工場間またはＩＣカード発行者へのＩＣカードの輸送時にＩＣカードへのロック解除に対する不正行為が行われたり、各生産工場の秘密情報管理手段への不正行為が行われることを防止して、生産工程において複数の生産工場を経由した場合でも、ＩＣカード輸送時のロック解除に対する安全性を確保することができる。

また、ＩＣカードの製造工程を正しく順序通りに処理し、最終送付先であるＩＣカード発行者に、ロック解除に対するセキュリティを確保した状態で届けることができる。

さらに、各生産工場間またはＩＣカード発行者へのＩＣカードの輸送時にＩＣカードへの不正行為が行われたり、各生産工場のＳＡＭへの不正行為が行われることを防止すると共に、ロック解除に対して不正行為が行われたことを検出することもできる。

さらに、ＩＣカードがＩＣカード発行者に届いた後に、アプリケーションプログラムおよびそのデータを削除して、最大限のメモリ容量をユーザに提供することができる。

以下に、本発明のＩＣカードの輸送セキュリティ用システムにおける実施形態について、図面を参照しながら説明する。

図１は、本発明のＩＣカードセキュリティ用システムの一実施形態における構成例を示すブロック図である。

図１に示すように、ＩＣカードセキュリティ用システム１０は、各ＩＣカード生産工場およびＩＣカード発行者のそれぞれに対して、ＩＣカード１１の固有値に対応した秘密情報を管理する秘密情報管理手段１２（ＳＡＭ；ＳｅｃｕｒｅＡｃｃｅｓｓ Ｍｏｄｕｌｅ）と、ＩＣカード１１との間および、秘密情報管理手段２との間で通信処理を行ってＩＣカード１１に対してロック解除用のカード照合処理を行う通信手段としての通信端末１３（ＣｏｎｔｒｏｌＴｅｒｍｉｎａｌ；操作端末）とを備えている。

秘密情報管理手段１２は、秘密情報などを管理するハードウェアモジュールまたはソフトウェアモジュールで構成されており、図１の事例では、ＩＣカード１１に固有に割当てられる固有値としてのシリアルＮｏ（ＩＣカード番号；ＩＣＣａｒｄＮｏ、例えば１００１）と、各ＩＣカード生産工場番号（ＩＣ Ｃａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ Ｎｏ）と、これらのシリアルＮｏおよびＩＣカード生産工場番号に対応する秘密情報としての識別用暗証番号ＰＩＮおよび対称鍵ＤｉｖＫとが管理されている。

通信端末１３は、ＩＣカード１１の固有値を取得するカード固有値取得手段１３Ａと、この取得した固有値を秘密情報管理手段１２に出力することにより、この固有値と、一または複数の生産工場およびカード発行者のいずれかとに対応する秘密情報を秘密情報管理手段１２から取得する秘密情報取得手段１３Ｂと、この取得した秘密情報を用いて、ＩＣカード１１との間で通信処理をすることにより、ＩＣカード１１のカード照合処理を行うカード照合処理手段１３Ｃとを有している。

秘密情報取得手段１３Ｂは、ＩＣカード１１の固有値のシリアルＮｏを秘密情報管理手段３に入力することにより、その固有値のシリアルＮｏと、ＩＣカード生産工場（ＩＣカード生産工場番号）またはＩＣカード発行者（ＩＣカード発行者番号）とに対応する秘密情報（識別用暗証番号ＰＩＮおよび対称鍵ＤｉｖＫ）を取得するようになっている。

カード照合処理手段１３Ｃは、取得した秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）を用いて、内部の不揮発性メモリにＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）が格納されたＩＣカード１１との間で通信処理を行ってＩＣカード１１とのロック解除用のカード照合を行う。

このＩＣカードセキュリティ用システム１０は、各ＩＣカード生産工場およびＩＣカード発行者側にそれぞれ設けられており、各ＩＣカード生産工場およびＩＣカード発行者毎の秘密情報を用いてＩＣカード１とのロック解除用のカード照合処理が行われ、そのカード照合結果が一致すれば、ロックが解除されてＩＣカード１１内の情報を読み出したりＩＣカード１１に情報を書き込んだりできる。

これらのカード固有値取得手段１３Ａ、秘密情報取得手段１３Ｂおよびカード照合処理手段１３Ｃをソフトウェアで構成する場合には、ＣＰＵ（中央演算処理装置）が制御プログラムに基づいて、制御プログラムはこれらの手段の機能を実行するが、この制御プログラムは通信端末１３内の可読記録媒体としてのメモリ（例えばハードディスク）にホストコンピュータなどの可読記録媒体としてのハードディスクなどからダウンロードされている。また、制御プログラムは、インターネットや通信ケーブルを介して、または可読記録媒体としての光ディスクおよび磁気ディスクなどから通信端末１３のメモリにダウンロードされていてもよい。

図２は、図１のＩＣカード１の生産工程の一例を示す流れ図である。図２の各ＩＣカード生産工場およびＩＣカード発行者側にそれぞれ、本実施形態のＩＣカードセキュリティ用システム１０がそれぞれ設置されている。

図２に示すように、ＩＣカード１１の生産工程は、一つまたは複数の生産工場（ここでは１〜３；ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ Ｎｏ.）によって行われる。生産されるＩＣカード１は、これらのＩＣカード生産工場１〜３を経由して、最終的に、ＩＣカード発行者に輸送されてＩＣカードが発行される。

図３は、図１のＩＣカード１内の構成例を示すブロック図である。

図３に示すように、ＩＣカード１１は、ハードウェア１１１上に不揮発性メモリ１１２を備えており、不揮発性メモリ１１２上に、ＩＣカード１１を読み書き制御するＯＳ（オペレーションシステム）がダウンロードされて搭載されている。

この不揮発性メモリ１１２上のＯＳの管理下において、一または複数のアプリケーションプログラム（アプリケーションプログラムＡ、Ｂ、・・・）と、ＩＣカード輸送セキュリティ用アプリケーションプログラムとして輸送鍵ＡＰ（ＴｒａｎｓｐｏｒｔＡＰ）とがダウンロードされて搭載されている。

このＩＣカード１１において、アプリケーションプログラムの追加（搭載）または削除や、自動的に起動されるアプリケーションプログラムはＯＳによって管理されている。

ここで、輸送鍵ＡＰは、不揮発性メモリ１１２が搭載されたＩＣカード１１を複数の生産工場間を経由して製造する場合に、ＩＣカード輸送時の安全性を確保するために用いられるアプリケーションプログラムである。

ＩＣカード１１は、一または複数の生産工場を順次経由して製造される場合に、輸送鍵ＡＰに基づいて、輸送時のロック解除に対するセキュリティを確保可能とする例えばＣＰＵ（中央演算処理装置）などのセキュリティ確保手段１１Ｆを有している。

セキュリティ確保手段１１Ｆは、各ＩＣカード生産工場および最終送付先であるＩＣカード発行者に対応する秘密情報をＩＣカード１１の不揮発性メモリ１１２を用いて管理しており、各ＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報によりＩＣカード１１とのカード照合を行った後に、カード照合が行われたＩＣカード生産工場またはＩＣカード発行者に対応した秘密情報を無効にする秘密情報無効化手段１１Ａと、ＩＣカード１１内の秘密情報が無効にされた後、ＩＣカード１１内の他の秘密情報を、次に後続する次のＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報に切り替える秘密情報切替手段１１Ｂとを有している。

また、セキュリティ確保手段１１Ｆは、各ＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報により正しくカード照合が行われなかった場合（ロック解除に対して不正行為があった場合）であっても、これを検出して、後続する生産工場またはカード発行者に対応する秘密情報を無効処理する後続秘密情報無効化手段１１Ｃと、ＩＣカード１１の秘密情報が無効にされた後、ＩＣカード１１の秘密情報をさらに次に後続するＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報に切り替える後続秘密情報切替手段１１Ｄとを有する。なお、ＩＣカードへのアクセス回収を順次記憶して行けば、不正行為によるＩＣカードへのアクセスも１回のアクセスとしてカウントされて、秘密情報の無効処理と切替処理が為されるため、更に後続する生産工場の秘密情報に切替処理されてずれるため、後続する生産工場でのカード照合処理ができなくなることから、何らかの不正行為が為されたと判る。この場合には、後続秘密情報無効化手段１１Ｃおよび後続秘密情報切替手段１１Ｄと、秘密情報無効化手段１１Ａおよび秘密情報切替手段１１Ｂとは共用できる。不正行為自体を検出する場合には、後続秘密情報無効化手段１１Ｃおよび後続秘密情報切替手段１１Ｄと、秘密情報無効化手段１１Ａおよび秘密情報切替手段１１Ｂとは共用できない。

さらに、セキュリティ確保手段１１Ｆは、輸送鍵ＡＰによって、生産工程における秘密情報の漏洩を防止するため、ＩＣカード１１がＩＣカード発行者に各ＩＣカード生産工場およびＩＣカード発行者に対応する秘密情報をＩＣカード１１の不揮発性メモリ１１２から削除する情報削除手段１１Ｅを有している。情報削除手段１１Ｅは、後述するが、ＯＳにより、最大限のメモリ容量をユーザに提供するために、セキュリティ確保手段１１Ｆに関する情報、例えば輸送鍵ＡＰを不揮発性メモリ１１２上から削除することができる。これらの輸送鍵ＡＰおよびＯＳにより制御プログラムが構成される。

図４は、本発明のＩＣカード輸送セキュリティ用アプリケーションプログラム（輸送鍵ＡＰ）による、各ＩＣカード生産工場および各ＩＣカード発行者に対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）を用いたＩＣカード１１の運用方法について説明するためのブロック図である。

図４に示すように、各ＩＣカード１１には、全てのＩＣカード生産工場およびＩＣカード発行者に対応する秘密情報（暗証用識別番号ＰＩＮ、対称鍵ＤｉｖＫ）が格納されており、各ＩＣカード生産工場での処理後、処理が完了したＩＣカード生産工場に対応する秘密情報は無効とされて、次のＩＣカード生産工場に対応する秘密情報に切り替えられる。秘密情報の切り替えは、一方向に進むことが可能であり、戻すことはできない。

例えば、図４（ａ）に示す中間処理工場であるＩＣカード生産工場３（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ ３）では、そのＩＣカード生産工場３（ＩＣ Ｃａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ ３）に対応する秘密情報（ＰＩＮ３、ＤｉｖＫ３）に切り替えられて（Ｅｎａｂｌｅｄ）おり、そのＩＣカード生産工場３（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ ３）による処理完了後、図４（ｂ）に示すように、その秘密情報（ＰＩＮ３、ＤｉｖＫ３）が無効（Ｅｘｐｉｒｅｄ）とされて、次のＩＣカード生産工場４（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ ４）に対応する秘密情報（ＰＩＮ４、ＤｉｖＫ４）に切り替え（Ｄｉｓａｂｌｅｄ→Ｅｎａｂｌｅｄ）られる。このＩＣカード生産工場４（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ ４）による処理完了後、図４（ｃ）に示すように、その秘密情報（ＰＩＮ４、ＤｉｖＫ４）が無効（Ｅｘｐｉｒｅｄ）とされて、次のＩＣカード生産工場５（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ ５）に対応する秘密情報（ＰＩＮ５、ＤｉｖＫ５）に切り替え（Ｄｉｓａｂｌｅｄ→Ｅｎａｂｌｅｄ）られる。

以下に、本実施形態のＩＣカード１１の輸送安全性確保方法について説明する。

まず、図２に示す最初のＩＣカード生産工場１における照合処理について説明する。

最初のＩＣカード生産工場１では、ＩＣカード１１を安全に輸送するために、ＩＣカード１１の輸送セキュリティ用アプリケーションプログラムとして輸送鍵ＡＰ（ＴｒａｎｓｐｏｒｔＡＰ）がＩＣカード１１にダウンロードされて搭載される。

次に、図１の通信端末１３は、ＩＣカード１１の固有値をＩＣカード１１から入手して秘密情報管理手段１２に出力することにより、その出力した固有値と、各ＩＣカード生産工場およびＩＣカード発行者とに対応する秘密情報を秘密情報管理手段１２から取得し、その取得した秘密情報をＩＣカード１１の不揮発性メモリ１１２に登録する。その後、ＩＣカード１１がロックされて輸送時の安全が確保される。

最初のＩＣカード生産工場１における具体的な処理について、図５を用いて説明する。

図５は、図１のＩＣカードセキュリティ用システム１０を用いた最初の生産工場における処理例について説明するためのフロー図である。

図５に示すように、ステップＳ１では、「輸送鍵ＡＰをＩＣカード１１へダウンロードして搭載するためのコマンド（ＤｏｗｎｌｏａｄＴｒａｎｓｐｏｒｔ ＡＰ）」が通信端末１３からＩＣカード１１へ送信される。輸送鍵ＡＰは、図３に示すＩＣカード１１のＯＳによって通信端末１３から不揮発性メモリ１１２上にホストコンピュータなどの可読記録媒体としてのハードディスクなどからダウンロードされて搭載される。このハードディスク内の輸送鍵ＡＰは、インターネットや通信ケーブルを介して、または可読記録媒体としての光ディスクおよび磁気ディスクなどからダウンロードされていてもよい。

このように、通信端末１３からＩＣカード１１に輸送鍵ＡＰが正常にダウンロードされて搭載されると、ステップＳ２において、ＩＣカード１１から通信端末１３へ「正常応答（Ｓｕｃｃｅｓｓ）」が送信される。

通信端末１３にＩＣカード１１からの「正常応答（Ｓｕｃｃｅｓｓ）」が受信されると、ステップＳ３において、通信端末１３からＩＣカード１１へ「輸送鍵ＡＰに対してＩＣカード制御用コマンドの全てを使用可能な状態にするコマンド（ＳｅｔＣｏｍｍａｎｄ Ｐｅｒｍｉｓｓｉｏｎ ｔｏ Ｔｒａｎｓｐｏｒｔ ＡＰ」が送信される。

処理が正常に行われると、ステップＳ４において、ＩＣカード１１から通信端末１３へ「正常応答（Ｓｕｃｃｅｓｓ）」が送信される。

通信端末１３にＩＣカード１１からの「正常応答（Ｓｕｃｃｅｓｓ）」が受信されると、ステップＳ５において、通信端末１３からＩＣカード１１へ「輸送鍵ＡＰを自動的に起動するアプリケーションプログラムに設定するコマンド（ＳｅｔＤｅｆａｕｌｔ ｔｏ Ｔｒａｎｓｐｏｒｔ ＡＰ」が送信される。

処理が正常に行われると、ステップＳ６において、ＩＣカード１１から通信端末１３へ「正常応答（Ｓｕｃｃｅｓｓ）」が送信される。

ステップＳ７では、図１に示す通信端末１３から秘密情報管理手段１２へ、ＩＣカード１１の固有値が送信され、秘密情報管理手段１２から通信端末１３へその固有値、各中間処理工場であるＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）が送信され、通信端末１３はこれらを取得する。

ステップＳ８では、通信端末１３からＩＣカード１１へ、ＩＣカード１１の固有値（ＳｅｒｉａｌＮｏ）、および秘密情報管理手段１２から取得された秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）が送信コマンド（Ｓｅｎｄ Ｓｅｒｉａｌ Ｎｏ、ＰＩＮ、ＤｉｖＫ）」によって送信される。

ＩＣカード１１に受信されたＩＣカード１１の固有値、秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）は、ＩＣカード１１内に保存され（不揮発性メモリ内に保存）、ステップＳ９において、ＩＣカード１１から通信端末１３へ「正常応答（Ｓｕｃｃｅｓｓ）」が送信される。

通信端末１３にＩＣカード１１からの「正常応答（Ｓｕｃｃｅｓｓ）」が受信されると、ステップＳ１０において、通信端末１３からＩＣカード１１へ「ＩＣカードの固有値、秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）をＩＣカード１１へ登録する登録コマンド（ＲｅｇｉｓｔｅｒＳｅｒｉａｌ Ｎｏ、ＰＩＮ、ＤｉｖＫ ）」が送信される。

ＩＣカード１１では、送信コマンドによって受信されたＩＣカード１１の固有値、秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）と、登録コマンドによって受信された内容とが比較され、その比較結果がＩＣカード１１の不揮発性メモリ１１２へ保存される。

処理が正常に行われると、ステップＳ１１において、ＩＣカード１１から通信端末１３へ「正常応答（Ｓｕｃｃｅｓｓ）」が送信される。

通信端末１３にＩＣカード１１からの「正常応答（Ｓｕｃｃｅｓｓ）」が受信されると、ステップＳ１２で通信端末１３からＩＣカード１１へ「ＩＣカード１１をロックするロックコマンド（ＬｏｃｋＣａｒｄ）」が送信される。

ＩＣカード１１が正常にロックされると、ステップＳ１３でＩＣカード１１から通信端末１３へ「正常応答（Ｓｕｃｃｅｓｓ）」が送信される。

次に、図２に示す中間処理工場であるＩＣカード生産工場２および３における照合処理について説明する。

ＩＣカード１１は、輸送時にロックされており、生産処理を行うためには、ＩＣカード１１のロックを解除する必要がある。ＩＣカード生産工場２および３では、認証工程（後述する図７のステップＳ２７、ステップＳ３３、ステップＳ３９およびステップＳ４７）を経てＩＣカード１１の照合を行うことにより、ＩＣカード１１のロックが解除されて、ＩＣカード１１に対する情報の読み出しまたは書き込み可能となる。

認証工程には、ＩＣカード１１の固有値と、対象のＩＣカード生産工場などに対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）が必要であり、各ＩＣカード生産工場では、図１に示す通信端末１３からＩＣカード１１の固有値を秘密情報管理手段１２に入力することにより、その固有値およびＩＣカード生産工場に対応する秘密情報が通信端末１３に取得される。

ここで、ＩＣカード生産工場において、通信端末１３とＩＣカード１１との間で通信を行う際には、秘密情報である識別暗証番号ＰＩＮを乱数によってマスクし、マスクされたメッセージを対称鍵ＤｉｖＫで暗号化することにより、通信端末１３とＩＣカード１１との間の通信によって秘密情報である識別暗証番号ＰＩＮが盗聴されることを二重に防ぐことができる。このマスクは、平文（数値列）と乱数とをビット演算することなどによって行われ、これによって元の平文の読解が困難とされる。識別暗証番号ＰＩＮのマスクは、例えば、乱数とのＸＯＲ演算（Ｅｘｃｌｕｓｉｖｅ ＯＲ；排他的論理和）により行われ、暗号化は秘密鍵暗号方式で行われる。

各ＩＣカード生産工場に対応する秘密情報により、正常にＩＣカード１１の照合が行われた場合には、図４に示すように、そのＩＣカード生産工場に対応するＩＣカード１１の秘密情報が無効にされた後、ＩＣカード１１の秘密情報が次のＩＣカード生産工場に対応する秘密情報に切り替えられる。

また、誤った秘密情報が使用されて正しく照合が行われなかった場合には、図６に示すように、次のＩＣカード生産工場４に対応するＩＣカード１１の秘密情報が無効にされた後、ＩＣカード１１の秘密情報がさらに次のＩＣカード生産工場５に対応する秘密情報に切り替えられるため、次のＩＣカード生産工場４により処理を行うことができなくなり、不正行為を発見することが可能になる。

例えば、図６（ａ）に示す中間処理工場であるＩＣカード生産工場３（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ ３）では、そのＩＣカード生産工場３に対応する秘密情報（ＰＩＮ３、ＤｉｖＫ３）に切り替えられて（Ｅｎａｂｌｅｄ）、そのＩＣカード生産工場３による処理完了後、図６（ｂ）に示すように、その秘密情報（ＰＩＮ３、ＤｉｖＫ３）が無効（Ｅｘｐｉｒｅｄ）とされて、次のＩＣカード生産工場４（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ ４）に対応する秘密情報（ＰＩＮ４、ＤｉｖＫ４）に切り替え（Ｄｉｓａｂｌｅｄ→Ｅｎａｂｌｅｄ）られる。

ここで、不正行為（Ｕｎｅｘｐｅｃｔｅｄ Ａｔｔａｃｋｏｒ Ｉｌｌｅｇａｌ Ａｃｔｉｏｎｓ）により正しい照合が行われなかった場合には、図６（ｃ）に示すように、その秘密情報（ＰＩＮ４、ＤｉｖＫ４）が無効（Ｅｘｐｉｒｅｄ）とされて、さらに次のＩＣカード生産工場５（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ ５）に対応する秘密情報（ＰＩＮ５、ＤｉｖＫ５）に切り替え（Ｄｉｓａｂｌｅｄ→Ｅｎａｂｌｅｄ）られる。

ＩＣカード生産工場４では、ＩＣカード１１の秘密情報がさらに次のＩＣカード生産工場５に対応する秘密情報（ＰＩＮ５、ＤｉｖＫ５）に切り替えられているため、ＩＣカード１１のロックを解除して照合処理を行うことができない。

各ＩＣカード生産工場における具体的な処理について、図７および図８を用いて説明する。

図７に示すように、ステップＳ２１では、通信端末１３からＩＣカード１１へ、「チャレンジ要求コマンド（ＣｈａｌｌｅｎｇｅＲｅｑｕｅｓｔ）」が送信される。

ＩＣカード１１に「チャレンジ要求コマンド（ＣｈａｌｌｅｎｇｅＲｅｑｕｅｓｔ）」が受信されると、ステップＳ２２において、ＩＣカード１１から通信端末１３へ「ＩＣカードの固有値（Ｓｅｒｉａｌ Ｎｏ）」が送信される。

通信端末１３にＩＣカード１１の固有値が受信された後、ステップＳ２３で受信されたＩＣカード１１の固有値が通信端末１３から図１の秘密情報管理手段１２に入力され、秘密情報管理手段１２からＩＣカード１１の固有値およびそのＩＣカード生産工場に対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ（ＰＩＮ，ＤｉｖＫ＝ＳＡＭ（ＳｅｒｉａｌＮｏ；シリアル番号））が出力されて通信端末１３に取得される。

通信端末１３に秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）が取得された後、ステップＳ２４で通信端末１３によって乱数Ｒｐｃ０が生成（ＣｒｅａｔｅＲｐｃ０）される。

ステップＳ２５では、通信端末１３によって、秘密情報管理手段１２から取得された秘密情報の識別用暗証番号ＰＩＮがステップＳ２４で生成された乱数Ｒｐｃ０とＸＯＲ演算（排他的論理和）され、乱数Ｒｐｃ０でマスクされた識別用暗証番号ＰＩＮのメッセージＭ１（Ｍ１＝Ｒｐｃ０^∧ＰＩＮ）が生成される。

ステップＳ２６では、通信端末１３によって、メッセージＭ１が秘密情報の対称鍵ＤｉｖＫを用いて暗号化され、暗号文Ｃ１（Ｃ１＝Ｅ（ＤｉｖＫ，Ｍ１））が生成される。

ステップＳ２７では、生成された暗号文Ｃ１が通信端末１３からＩＣカード１１へ送信される。

ＩＣカード１１に暗号文Ｃ１が受信されると、ステップＳ２８でＩＣカード１１によって、対称鍵ＤｉｖＫを用いて暗号文Ｃ１が復号化され、メッセージＭ１（Ｍ１＝Ｄ（ＤｉｖＫ，Ｃ１））が取得される。

次に、ステップＳ２９では、ＩＣカード１１によって、取得されたメッセージＭ１とＩＣカード１１に登録されている識別用暗証番号ＰＩＮがＸＯＲ演算され、乱数Ｒｐｃ（Ｒｐｃ＝Ｍ１^∧ＰＩＮ）が取得される。

ＩＣカード１１に乱数Ｒｐｃが取得された後、ステップＳ３０において、ＩＣカード１１によって、乱数Ｒｃａｒｄ０が生成（ＣｒｅａｔｅＲｃａｒｄ０）される。

次に、ステップＳ３１では、ＩＣカード１１によって、ステップＳ２９で取得された乱数ＲｐｃとステップＳ３０で生成されたＲｃａｒｄ０とがＸＯＲ演算され、乱数ＲｐｃでマスクされたＲｃａｒｄ０のメッセージＭ２（Ｍ２＝Ｒｐｃ^∧Ｒｃａｒｄ０）が生成される。

ステップＳ３２では、ＩＣカード１１によって、メッセージＭ１がＩＣカード１１に登録されている対称鍵ＤｉｖＫを用いて暗号化され、暗号文Ｃ２（Ｃ２＝Ｅ（ＤｉｖＫ，Ｍ２））が生成される。

ステップＳ３３では、生成された暗号文Ｃ２がＩＣカード１１から通信端末１３へ送信される。

通信端末１３に暗号文Ｃ２が受信されると、ステップＳ３４で、通信端末１３によって、対称鍵ＤｉｖＫを用いて暗号文Ｃ２が復号化され、メッセージＭ２（Ｍ２＝Ｄ（ＤｉｖＫ，Ｃ２））が取得される。

ステップＳ３５では、通信端末１３によって、取得されたメッセージＭ２と乱数Ｒｐｃ０とがＸＯＲ演算され、乱数Ｒｃａｒｄ（Ｒｃａｒｄ＝Ｍ２^∧Ｒｐｃ０）が取得される。

ステップＳ３６では、通信端末１３によって、ステップＳ２４で生成された乱数Ｒｐｃ０とステップＳ３５で取得された乱数Ｒｃａｒｄを引数として、鍵ＥｘＫ（ＥｘＫ＝ｆ（Ｒｐｃ０，Ｒｃａｒｄ））が生成される。ここで、鍵ＥｘＫは、二つの引数を使用する一般的な一方向性の関数である。

ステップＳ３７では、通信端末１３によって、ステップＳ３５で取得された乱数Ｒｃａｒｄが秘密情報管理手段１２から取得された秘密情報の識別用暗証番号ＰＩＮとＸＯＲ演算され、乱数Ｒｃａｄでマスクされた識別用暗証番号ＰＩＮのメッセージＭ３（Ｍ３＝Ｒｃａｒｄ^∧ＰＩＮ）が生成される。

ステップＳ３８では、通信端末１３によって、ステップＳ３７で生成されたメッセージＭ３が、ステップＳ３６で生成された鍵ＥｘＫを用いて暗号化され、暗号文Ｃ３（Ｃ３＝Ｅ（ＥｘＫ，Ｍ３））が生成される。

ステップＳ３９では、生成された暗号文Ｃ３が通信端末１３からＩＣカード１１へ送信される。

ＩＣカード１１に暗号文Ｃ３が受信されると、ステップＳ４０で、ＩＣカード１１によって、ステップＳ２９で取得された乱数ＲｐｃとステップＳ３０で生成された乱数Ｒｃａｒｄ０を引数として、鍵ＥｘＫ（ＥｘＫ＝ｆ（Ｒｐｃ，Ｒｃａｒｄ０））が生成される。このときの鍵ＥｘＫの生成方法は、通信端末１３側と同一である。

ステップＳ４１では、ＩＣカード１１によって、生成された鍵ＥｘＫを用いて暗号文Ｃ３が復号化され、メッセージＭ３（Ｍ３＝Ｄ（ＥｘＫ，Ｃ３））が取得される。

ステップＳ４２では、ＩＣカード１１によって、取得されたメッセージＭ３とＩＣカード１１に登録されている識別用暗証番号ＰＩＮがＸＯＲ演算され、乱数Ｒｃａｒｄ１（Ｒｃａｒｄ１＝Ｍ３^∧ＰＩＮ）が取得される。

ステップＳ４３では、ＩＣカード１１によって、ステップＳ４２で取得された乱数Ｒｃａｒｄ１とステップＳ３０で生成された乱数Ｒｃａｒｄ０とが比較され、異なる場合（Ｒｃａｒｄ１！＝Ｒｃａｒｄ０）には、処理が停止（Ｓｔｏｐ）される。これにより、通信端末１３より不正行為が行われている場合には、ＩＣカード１１のロックが解除されず、ＩＣカード１１の盗聴・改竄を防ぐことができる。

ＩＣカード１１では、ステップＳ４３における乱数Ｒｃａｒｄ１と乱数Ｒｃａｒｄ０との比較後、その比較結果によらず、ＩＣカード１１の秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）が無効とされ、次のＩＣカード生産工場に対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）に更新される。

図６（ｂ）に示すように、ＩＣカード生産工場３（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ３）からＩＣカード生産工場４（ＩＣ Ｃａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ４）の間で、ＩＣカード１１に不正行為が行われた場合には、図６（ｃ）に示すＩＣカード生産工場４（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ４）にＩＣカード１１が到着した時点で、ＩＣカード１１内の秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）が、ＩＣカード生産工場４に対応する秘密情報（ＰＩＮ４、ＤｉｖＫ４）ではなく、ＩＣカード生産工場５（ＩＣＣａｒｄ Ｐｒｏｄｕｃｔｉｏｎ Ｐｌａｎｔ５）に対応する秘密情報（ＰＩＮ５、ＤｉｖＫ５）に切り替えられているため、ＩＣカード生産工場４では処理を行うができなくなり、不正行為を検出することができる。

ＩＣカード１１では、ステップＳ４３における乱数Ｒｃａｒｄ１と乱数Ｒｃａｒｄ０との比較結果が一致する場合には、ステップＳ４４でセッション鍵ＳＫが生成（ＣｒｅａｔｅＳＫ）される。

ステップＳ４５では、ＩＣカード１１によって、ステップＳ４３で取得されたＲｐｃとステップＳ４１で取得されたメッセージＭ３とがＸＯＲ演算され、その結果にステップＳ４４で生成されたセッション鍵ＳＫが連結されて、メッセージＭ４（Ｍ４＝｛（Ｒｐｃ^∧Ｍ３）‖ＳＫ）が生成される。

ステップＳ４６では、ＩＣカード１１によって、ステップＳ４５で生成されたメッセージＭ４が、ステップＳ４０で生成された鍵ＥｘＫを用いて暗号化され、暗号文Ｃ４（Ｃ４＝Ｅ（ＥｘＫ，Ｍ４））が生成される。

ステップＳ４７では、生成された暗号文Ｃ４がＩＣカード１１から通信端末１３に送信される。

通信端末１３に暗号文Ｃ４が受信されると、ステップＳ４８で、通信端末１３によって、ステップＳ３６で生成された対称鍵ＥｘＫを用いて暗号文Ｃ４が復号化され、メッセージＭ４（Ｍ２＝Ｄ（ＥｘＫ，Ｃ４））が取得される。

ステップＳ４９では、通信端末１３によって、ステップＳ４８で取得されたメッセージＭ４と、図１に示す秘密情報管理手段１２から取得された識別用暗証番号ＰＩＮと、ステップＳ３５で取得された乱数ＲＣａｒｄとがＸＯＲ演算され、乱数Ｒｐｃ１（Ｒｐｃ１＝Ｍ４^∧ＰＩＮ^∧Ｒｃａｒｄ）が取得される。

ステップＳ５０では、通信端末１３によって、ステップＳ４９で取得された乱数Ｒｐｃ１とステップＳ２４で生成された乱数Ｒｐｃ０とが比較され、異なる場合（Ｒｐｃ１！＝Ｒｐｃ０）には、処理が停止（Ｓｔｏｐ）される。これにより、ＩＣカード１１より不正行為が行われている場合には、通信端末１３から正しいＩＣカード１１のロック解除コマンドＵＬＭや生産工程に必要なコマンドが盗聴・改竄されることを防ぐことができる。

通信端末１３では、ステップＳ５０における乱数Ｒｐｃ１と乱数Ｒｐｃ０との比較結果が一致する場合には、ステップＳ５１でロック解除コマンドＵＬＭがセッション鍵ＳＫを用いて暗号化され、暗号文Ｃ５＝（Ｃ５＝Ｅ（ＳＫ，ＵＬＭ））が生成される。

ステップＳ５２では、生成された暗号文Ｃ５が通信端末１３からＩＣカード１１へ送信される。

ＩＣカード１１に暗号文Ｃ５が受信されると、ステップＳ５３において、ＩＣカード１１によって、ステップＳ４０で生成された対称鍵ＥｘＫを用いて暗号文Ｃ５が復号化され、ＩＣカード１１側でロック解除コマンドＵＬＭ（ＵＬＭ＝Ｄ（ＥｘＫ，Ｃ５））が取得される。

図８に示すように、ステップＳ５４において、ロック解除コマンドＵＬＭ（ＵＬＭ＝Ｄ（ＥｘＫ，Ｃ５））によりＩＣカード１１のロックが解除され、ＩＣカード１１から通信端末１３に「正常応答（Ｓｕｃｃｅｓｓ）が送信される。

ステップＳ５５で、通信端末１３とＩＣカード１１との間で「生産工程に必要な処理を行うためのコマンド（ＰｒｏｄｕｃｔｉｏｎＣｏｍｍａｎｄ）」が送受信されてＩＣカード１１に対して生産工程に必要な処理が行われた後、ステップＳ５６で、通信端末１３からＩＣカード１１へ、「ロックコマンド（ＬｏｃｋＣｏｍｍａｎｄ）」が送信される。

ＩＣカード１１が正常にロックされると、ステップＳ５７において、ＩＣカード１１から通信端末１３に「正常応答（Ｓｕｃｃｅｓｓ）が送信される。

次に、図２に示すＩＣカード発行者による照合処理について説明する。

中間処理工場であるＩＣカード生産工場から輸送されたＩＣカード１１がロックされており、カード発行業務を行うためには、ＩＣカード１１のロックを解除する必要がある。ＩＣカード発行者側では、ＩＣカード生産工場と同様に、認証工程（図７のステップＳ２７、ステップＳ３３、ステップＳ３９およびステップＳ４７）を経てＩＣカード１１の照合を行うことにより、ＩＣカード１１のロックが解除される。

さらに、ＩＣカード発行者側の処理によってＩＣカード１１の生産工程が完了するため、ＩＣカード１１の輸送セキュリティ用アプリケーションプログラムである輸送鍵ＡＰは、図３に示すＩＣカード１１の不揮発性メモリ１１２から削除される。

認証工程は、ＩＣカード生産工場での処理と全く同様であり、以下では、ＩＣカード１１のロック解除後の具体的な処理について、図９を用いて説明する。

図９に示すように、ステップＳ６１では、「輸送鍵ＡＰの削除許可コマンド（ＩｓｓｕｅＴｒａｎｓｐｏｒｔ ＡＰ Ｄｅｌｅｔｅ Ｃｏｍｍａｎｄ）」がＩＣカード１１から通信端末１３へ送信される。

通信端末１３に「輸送鍵ＡＰ削除許可のコマンド（ＩｓｓｕｅＴｒａｎｓｐｏｒｔ ＡＰ Ｄｅｌｅｔｅ Ｃｏｍｍａｎｄ）」が受信されると、ステップＳ６２で、通信端末１３からカード制御コマンドとして「輸送鍵ＡＰを削除するためのコマンド（ＴｒａｎｓｐｏｒｔＡＰ Ｄｅｌｅｔｅ Ｃｏｍｍａｎｄ）」が通信端末１３からＩＣカード１１に送信される。輸送鍵ＡＰは、図３に示すように、ＩＣカード１１のＯＳによって不揮発性メモリ１１２から削除される。

輸送鍵ＡＰが正常に削除されると、ステップＳ６３において、ＩＣカード１１から通信端末１３へ「正常応答（Ｓｕｃｃｅｓｓ）」が送信される。

通信端末１３にＩＣカード１１からの「正常応答（Ｓｕｃｃｅｓｓ）」が受信されると、ステップＳ６４において、通信端末１３とＩＣカード１１との間で「カード発行業務に必要な処理を行うためのコマンド（ＣａｒｄＰｒｏｄｕｃｔｉｏｎＣｏｍｍａｎｄ）」が送受信されてＩＣカード１１の発行業務に必要な処理が行われる。

以上のように、本実施形態によれば、不揮発性メモリ１１２が搭載されたＩＣカード１１の製造工程において、各ＩＣカード生産工場および最終送付先であるＩＣカード発行者に対応する秘密情報として、識別用暗証番号ＰＩＮおよび対称鍵ＤｉｖＫをＩＣカード１１の不揮発性メモリ１１２を用いて管理して、各ＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報によりＩＣカード１１の照合を行った後、照合が行われたＩＣカード生産工場またはＩＣカード発行者に対応した秘密情報を無効にする秘密情報無効化手段と、ＩＣカード１１の秘密情報が無効にされた後、ＩＣカード１１の秘密情報を後続するＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報に切り替える秘密情報切替手段とを有するＩＣカード１１の輸送セキュリティ用アプリケーションプログラム（輸送鍵ＡＰ）がＩＣカード１１の不揮発性メモリ１２にダウンロードされて搭載されている。

各ＩＣカード生産工場およびＩＣカード発行者側に、ＩＣカード１１との間で通信処理を行う通信端末１３と、各ＩＣカード１１の固有値と、その固有値に応じた各ＩＣカード生産工場およびＩＣカード発行者に対応する秘密情報とを管理する秘密情報管理手段１２（ＳＡＭ）とが設けられて、各ＩＣカード生産工場およびＩＣカード発行者において、通信端末１３からＩＣカード１１の固有値を秘密情報管理手段１２に入力することにより、その固有値に応じた各ＩＣカード生産工場およびＩＣカード発行者に対応する秘密情報を取得でき、通信端末１３によって、この取得された秘密情報を用いてＩＣカード１１との間で通信処理を行うことにより、ＩＣカード１１との照合が行われる。

これによって、対応するＩＣカード生産工場およびＩＣカード発行者によってのみ、ＩＣカード１１に対する処理を行うことが可能になり、生産工程において複数のＩＣカード生産工場を経由した場合でも、ＩＣカード輸送時の安全性を確保することができる。さらに、ＩＣカード１１の各ＩＣカード生産工場およびＩＣカード発行者に対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）を照合後に無効とされ、後続するＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報に切り替えられるため、ＩＣカード１１の製造工程を正しく順序通りに処理し、最終送付先であるＩＣカード発行者に届けることができる。

また、各ＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報により正しく照合が行われなかった場合であっても、後続するＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報を無効にする秘密情報無効化手段と、ＩＣカード１１の秘密情報が無効にされた後、ＩＣカード１１の秘密情報をさらに後続するＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報に切り替える秘密情報切替手段とを有するＩＣカード１１の輸送セキュリティ用アプリケーションプログラム（輸送鍵ＡＰ）がＩＣカード１１の不揮発性メモリ１１２にダウンロードされて搭載されている。

これにより、ＩＣカード１１に対して不正行為が行われた場合に、後続するＩＣカード生産工場またはＩＣカード発行者に対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）が無効とされ、後続するＩＣカード生産工場またはＩＣカード発行者にて正しく照合することができなくなるため、不正行為が行われたことを検出することができる。

さらに、ＩＣカードの輸送セキュリティ用アプリケーションプログラム（輸送鍵ＡＰ１６）において、各中間処理工場およびＩＣカード発行者に対応する秘密情報をＩＣカードの不揮発性メモリから削除する手段が設けられている。これにより、各中間処理工場およびＩＣカード発行者に対応する秘密情報（識別用暗証番号ＰＩＮ、対称鍵ＤｉｖＫ）を削除して、生産工程における秘密情報の漏洩を防止することが可能になる。

さらに、ＩＣカード１１に、ＩＣカード１１の輸送セキュリティ用アプリケーションプログラム（輸送鍵ＡＰ）を不揮発性メモリ１１２に搭載・削除する手段を有するＯＳが設けられている。これにより、ＩＣカード１１がＩＣカード発行者に届いた後に、そのアプリケーションプログラムを削除して、最大限のメモリ容量をユーザに提供することができる。

なお、以上のように、本発明の好ましい実施形態を用いて本発明を例示してきたが、本発明は、この実施形態に限定して解釈されるべきものではない。本発明は、特許請求の範囲によってのみその範囲が解釈されるべきであることが理解される。当業者は、本発明の具体的な好ましい実施形態の記載から、本発明の記載および技術常識に基づいて等価な範囲を実施することができることが理解される。本明細書において引用した特許、特許出願および文献は、その内容自体が具体的に本明細書に記載されているのと同様にその内容が本明細書に対する参考として援用されるべきであることが理解される。

一または複数の生産工場を経由して製造され、カード輸送時などのセキュリティを確保可能としたＩＣカード、このＩＣカードに対してロック解除用の照合処理を行うＩＣカードセキュリティ用システム、ＩＣカードの輸送の安全性を確保可能とするＩＣカード輸送安全性確保方法、これをコンピュータに実行させるための制御プログラムおよびこれを格納可能とする不揮発性メモリなどの可読記録媒体の分野において、対応するＩＣカード生産工場およびＩＣカード発行者によってのみ、ＩＣカードに対する処理を行うことが可能になり、各生産工場間またはＩＣカード発行者へのＩＣカードの輸送時にＩＣカードへの不正行為が行われたり、各生産工場のＳＡＭへの不正行為が行われることを防止して、ＩＣカード輸送時の安全性を確保することができる。また、不正行為が行われたことを検出することもできる。

また、ＩＣカードがＩＣカード発行者に届いた後に、所定のアプリケーションプログラムを削除することにより、最大限のメモリ容量をユーザに提供することもできる。

本発明のＩＣカードセキュリティ用システムの一実施形態における構成例を示すブロック図である。 図１のＩＣカードの生産工程の一例を示す流れ図である。 図１のＩＣカード内の構成例を示すブロック図である。 本発明のＩＣカード輸送セキュリティ用アプリケーションプログラムによる、各ＩＣカード生産工場および各ＩＣカード発行者に対応する秘密情報を用いたＩＣカードの運用方法について説明するためのブロック図である。 図１のＩＣカードセキュリティ用システムを用いた、最初のＩＣカード生産工場における処理例について説明するためのフロー図である。 本発明のＩＣカードの輸送セキュリティ用アプリケーションプログラムによる、各ＩＣカード生産工場および各ＩＣカード発行者に対応する秘密情報を用いたＩＣカードの運用方法について説明するための図であって、各ＩＣカード生産工場間でＩＣカードに対して不正高位が行われた場合の一例を説明するための図である。 図１のＩＣカードセキュリティ用システムを用いた、ＩＣカード生産工場におけるＩＣカードロック解除のための認証処理例について説明するためのフロー図である。 図１のＩＣカードセキュリティ用システムを用いた、ＩＣカード生産工場におけるＩＣカードロック解除後の処理例について説明するためのフロー図である。 図１のＩＣカードセキュリティ用システムを用いた、ＩＣカード発行者におけるＩＣカードロック解除後の処理例について説明するためのフロー図である。 ＩＣカードの照合に秘密鍵暗号方式を使用した従来技術の一例を示すブロック図である。 ＩＣカードの照合に公開鍵暗号方式を使用した従来技術の一例を示すブロック図である。

符号の説明

１〜３ ＩＣカード生産工場
１０ ＩＣカードセキュリティ用システム
１１ ＩＣカード
１１Ａ 秘密情報無効化手段
１１Ｂ 秘密情報切替手段
１１Ｃ 後続秘密情報無効化手段
１１Ｄ 後続秘密情報切替手段
１１Ｅ 情報削除手段
１１Ｆ セキュリティ確保手段
１１１ ハードウェア
１１２ 不揮発性メモリ（可読記録媒体）
１２ 秘密情報管理手段（ＳＡＭ）
１３ 通信端末
１３Ａ カード固有値取得手段
１３Ｂ 秘密情報取得手段
１３Ｃ カード照合処理手段
ＡＰ ＩＣカードの輸送セキュリティ用アプリケーションプログラム（輸送鍵）

Claims (14)

1. 不揮発性メモリが設けられ、一または複数の生産工場を順次経由して製造される場合に、情報の読み出しも書き込みも不可能にする輸送時のロックの解除に対するセキュリティを確保可能とするセキュリティ確保手段を備えたＩＣカードであって、該一または複数の生産工場および最終送付先であるカード発行者のそれぞれに対応する秘密情報が該不揮発性メモリを用いて保存されており、
   該セキュリティ確保手段は、
   該ＩＣカード外部の通信手段が、該一または複数の生産工場およびカード発行者のいずれかに対応する、該不揮発性メモリ内の秘密情報と、該通信手段が有する秘密情報とを用いて、該ＩＣカードに対してロック解除用のカード照合を行った後に、該カード照合が行われた該不揮発性メモリ内の秘密情報を無効処理する秘密情報無効化手段と、
   該秘密情報の無効処理後に、該秘密情報を、後続する生産工場またはカード発行者に対応する秘密情報に切り替える秘密情報切替手段とを有し、
   該一または複数の生産工場およびカード発行者のいずれかに対応する秘密情報により、誤った秘密情報が使用されて正しく照合が行われなかった場合、または不正行為（Ｕｎｅｘｐｅｃｔｅｄ Ａｔｔａｃｋｏｒ Ｉｌｌｅｇａｌ Ａｃｔｉｏｎｓ）により正しい照合が行われなかった場合、次に後続する生産工場またはカード発行者に対応する秘密情報を無効処理する後続秘密情報無効化手段と、
   該秘密情報の無効処理後に、該秘密情報を、該不正の検出のために、次に後続するさらに次の生産工場またはカード発行者に対応する秘密情報に切り替える後続秘密情報切替手段とを更に有するＩＣカード。
2. 前記一または複数の生産工場およびカード発行者に対応する各秘密情報および前記セキュリティ確保手段に関する情報の少なくともいずれかを前記不揮発性メモリ上から削除可能とする情報削除手段を更に有する請求項１に記載のＩＣカード。
3. 請求項１または２に記載のＩＣカードの固有値と前記一または複数の生産工場およびカード発行者のそれぞれとに対応する各秘密情報を管理している秘密情報管理手段と、
   該ＩＣカードとの間および秘密情報管理手段との間で情報通信処理を行って該ＩＣカードに対してロック解除用のカード照合処理を行う通信手段とを備え、該秘密情報管理手段は、該通信手段から入力された該固有値と、前記一または複数の生産工場およびカード発行者のいずれかとに対応する秘密情報を該通信手段に出力するものであり、
   該通信手段は、
   該ＩＣカードの固有値を該ＩＣカードから取得するカード固有値取得手段と、
   取得した該固有値を該秘密情報管理手段に出力することにより、該固有値と、該一または複数の生産工場およびカード発行者のいずれかとに対応する秘密情報を該秘密情報管理手段から取得する秘密情報取得手段と、
   該取得した秘密情報を用いて、該ＩＣカードとの間で通信処理をすることにより、該ＩＣカードのカード照合処理を行うカード照合処理手段とを有するＩＣカードセキュリティ用システム。
4. 前記秘密情報は、識別用暗証番号ＰＩＮと対称鍵ＤｉｖＫである請求項３に記載のＩＣカードセキュリティ用システム。
5. 前記秘密情報は、前記識別用暗証番号を乱数でマスクし、マスクされたメッセージを前記対称鍵で暗号化して前記カード照合処理に用いる請求項４に記載のＩＣカードセキュリティ用システム。
6. 前記識別用暗証番号の前記乱数によるマスクは、該識別用暗証番号と乱数の排他的論理和により行う請求項５に記載のＩＣカードセキュリティ用システム。
7. 前記マスクされたメッセージの暗号化を秘密鍵暗号化方式により行う請求項５または６に記載のＩＣカードセキュリティ用システム。
8. 前記一または複数の生産工場およびカード発行者側にそれぞれ設けられた請求項４〜８のいずれかに記載のＩＣカードセキュリティ用システムを用いて、
   該一または複数の生産工場およびカード発行者のそれぞれにおいて、前記カード固有値取得手段が、該ＩＣカードの固有値を該ＩＣカードから取得するカード固有値取得ステップと、
   前記通信手段から該固有値を前記秘密情報管理手段に入力して、該固有値と、該一または複数の生産工場およびカード発行者のいずれかとに対応する秘密情報を前記秘密情報取得手段が前記秘密情報管理手段から取得する秘密情報取得ステップと、
   前記カード照合処理手段が、該秘密情報取得手段によって取得された秘密情報を用いて該ＩＣカードとの間で通信処理を行って該ＩＣカードとのロック解除用のカード照合処理を行うカード照合処理ステップとを有するＩＣカード輸送安全性確保方法。
9. 前記秘密情報無効化手段が、前記カード照合処理の後に、照合された該一または複数の生産工場およびカード発行者のいずれかに対応した秘密情報を無効処理する秘密情報無効化ステップと、
   前記秘密情報切替手段が、該秘密情報の無効処理後に、該秘密情報を、後続する生産工場またはカード発行者に対応する秘密情報に切り替える秘密情報切替ステップとを更に有する請求項８に記載のＩＣカード輸送安全性確保方法。
10. 前記後続秘密情報無効化手段が、前記一または複数の生産工場およびカード発行者のそれぞれに対応する秘密情報により不正にカード照合が行われた場合、後続する生産工場またはカード発行者に対応する秘密情報を無効処理する後続秘密情報無効化ステップと、
    前記後続秘密情報切替手段が、該秘密情報の無効処理後に、該秘密情報を、更に後続する生産工場またはカード発行者に対応する秘密情報に切り替える後続秘密情報切替ステップとを更に有する請求項９に記載のＩＣカード輸送安全性確保方法。
11. 最初の生産工場側において、
    前記ＩＣカードが、該ＩＣカードの輸送鍵である輸送セキュリティ用アプリケーションプログラムおよびそのデータを前記不揮発性メモリにダウンロードして搭載するプログラム搭載ステップと、
    該ＩＣカードの固有値を前記秘密情報管理手段に前記通信手段から送信して入力して、該秘密情報管理手段から前記通信手段を介して該ＩＣカードが、該固有値と、前記一または複数の生産工場およびカード発行者のそれぞれとに対応する秘密情報を取得する秘密情報取得ステップと、
    該ＩＣカードが、該通信手段によって取得された秘密情報を該ＩＣカードの不揮発性メモリに登録する秘密情報登録ステップと、
    該ＩＣカードが、該秘密情報登録後に、情報の読み出しも書き込みも不可能にする該ＩＣカードのロック処理を行うロック処理ステップとを有する請求項８〜１０のいずれかに記載のＩＣカード輸送安全性確保方法。
12. 前記カード発行者側において、
    前記ＩＣカードに搭載されたセキュリティ用アプリケーションプログラムによって、前記情報削除手段が、前記一または複数の生産工場およびカード発行者のそれぞれに対応する各秘密情報を該ＩＣカードの不揮発性メモリから削除する秘密情報削除ステップと、
    オペレーションシステムによって該輸送セキュリティ用アプリケーションプログラムおよびそのデータを該ＩＣカードが該ＩＣカードの不揮発性メモリから削除するプログラム削除ステップとを有する請求項１１に記載のＩＣカード輸送安全性確保方法。
13. 請求項８〜１２のいずれかに記載のＩＣカード輸送安全性確保方法の各ステップをコンピュータに実行させるための処理手順が記述された制御プログラム。
14. 請求項１３に記載の制御プログラムが記録されたコンピュータ読み取り可能な可読記録媒体。
    

Images