JPH07200756A - 可搬型データ担体処理システム - Google Patents

Abstract

(57)【要約】 【目的】 セッション途中で抜き取られたセキュリティ
カードの不正使用を防止する。 【構成】 ユーザ用カード２０の認証等を行うセキュリ
ティカード３０に、セッションの正常終了を表す終了情
報を書き込む。セッションの途中でセキュリティカード
３０が不正に抜き取られた場合には、終了情報は「未終
了」のままとなる。このセキュリティカード３０をホス
ト端末に挿入したとしても、ホスト端末はデータのアク
セスを禁止するため、不正使用を未然に防止することが
できる。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、可搬型のデータ担体処
理システム、詳しくは移動通信等において使用されるＳ
ＩＭ（Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏ
ｄｕｌｅ）、金融アプリケーションにおけるＳＡＭ（Ｓ
ｅｃｕｒｅ ＡｐｐｌｉｃａｔｉｏｎＭｏｄｕｌｅ）、
もしくはＩＣカード等の可搬型データ担体処理システム
に関する。

【０００２】

【従来の技術】近年、移動通信、金融アプリケーション
等の分野においては、持ち運び容易なＳＩＭ、ＳＡＭ、
ＩＣカード等の可搬型データ担体が使用されている。例
えば、金融アプリケーション等の分野において使用が検
討されているＳＡＭは、セキュリティを必要とするアプ
リケーションプログラムの一部、例えば暗号・復号プロ
グラムが書き込まれたＩＣカード等の可搬型データ担体
であって、一般ユーザ使用のカードとは別のものであ
る。

【０００３】このような可搬型データ担体は、ホスト端
末の挿入口に差し込まれ、両者の鍵が一致するか否かを
判断することにより可搬型データ担体の正当性が確認さ
れる。そして、可搬型データ担体が正当であると認証さ
れた場合には、ホスト端末においてセッション等のデー
タのアクセスが行われる。このとき、可搬型データ担体
には、正当な認証が行われたことを表すデータ、認証用
のＫｅｙデータ、乱数のデータ等が書き込まれる。

【０００４】しかしながら、セッションが終了する前
に、可搬型データ担体をホスト端末から抜き取った場合
には、可搬型データ担体は正当であると認証された状態
のままである。したがって、抜き取られた可搬型データ
担体を他のホスト端末等に挿入した場合、このホスト端
末においてデータのアクセスが許可されてしまう。すな
わち、可搬型データ担体等のセキュリティ機能の部分の
みを不正に抜き取られた場合、他のホスト端末において
不正使用されるおそれが生じる。すなわち、この可搬型
データ担体をホスト端末に挿入した際に、認証用のＫｅ
ｙデータ、乱数のデータの交換等がされることなく、セ
ッションが行われてしまう。金融アプリケーション等に
おいては、このような問題は特に重大である。

【０００５】

【発明の目的】そこで、本発明は、可搬型データ担体処
理システムにおいて、セッションの途中において抜き取
られた可搬型データ担体の不正使用を禁止することを目
的としている。

【０００６】

【課題を解決するための手段】請求項１に記載の発明
は、図１に示されるように、可搬型データ担体１と、可
搬型データ担体の認証を行った後に可搬型データ担体に
対してデータのアクセスを行うホスト端末２とを備えた
可搬型データ担体処理システムにおいて、上記可搬型デ
ータ担体は終了情報記憶手段３を備え、ホスト端末２は
以下の(1)〜(4)の処理を実行することを特徴とする可搬
型データ担体処理システムである。

【０００７】(1)ホスト端末２が可搬型データ担体１を
認証した場合には、ホスト端末２は終了情報記憶手段３
に「未終了」のデータを書き込む。(2)可搬型データ担
体１に対するデータのアクセスが正常に終了した場合に
は、ホスト端末２は終了情報記憶手段３に「終了」のデ
ータを書き込む。(3)ホスト端末２が可搬型データ担体
１を認証する際に終了情報記憶手段３に「終了」のデー
タが書き込まれていた場合には、ホスト端末２は可搬型
データ担体１に対するデータのアクセスを許容する。
(4)ホスト端末２が可搬型データ担体１を認証する際に
終了情報記憶手段３に「未終了」のデータが書き込まれ
ていた場合には、ホスト端末２は可搬型データ担体１に
対するデータのアクセスを禁止する。

【０００８】

【作用】請求項１に記載の発明において、ホスト端末が
可搬型データ担体を認証した場合には、ホスト端末は終
了情報記憶手段に「未終了」のデータを書き込む。そし
て、正当権限者による非活性化命令によって可搬型デー
タ担体に対するデータのアクセスが正常に終了した場合
には、ホスト端末は終了情報記憶手段に「終了」のデー
タを書き込む。このようにして正当な権限者により正常
終了した可搬型データ担体を、再度ホスト端末に挿入し
たとする。この場合には、終了情報記憶手段に「終了」
のデータが書き込まれているため、ホスト端末は可搬型
データ担体に対するデータのアクセスを許容する。一
方、データのアクセスが正常に終了する前に可搬型デー
タ担体を不正に抜き取った場合には、終了情報は「未終
了」の状態のままである。したがって、この可搬型デー
タ担体を再度ホスト端末に挿入した場合、ホスト端末は
可搬型データ担体に対するデータのアクセスを一切禁止
し、可搬型データ担体の使用は不可能になる。これによ
り不正に抜き取られた可搬型データ担体を利用した不正
行為を未然に防止することができる。

【０００９】

【実施例】以下に、本発明の一実施例を図面を参照しな
がら説明する。

【００１０】図２は本実施例に係る可搬型データ担体処
理システムの外観構成図である。この可搬型データ担体
処理システムは、ホスト端末１０、ユーザ用カード２
０、セキュリティカード３０を備えて構成されている。
ホスト端末１０は、ユーザ用カード２０に対してデータ
の読み書きを行うものであって、暗号化・復号化および
認証処理等を実行するＣＰＵ、アプリケーションプログ
ラム等が書き込まれたメモリ等により構成されている。
また、ホスト端末１０には、ユーザ用カード２０、セキ
ュリティカード３０が挿入される挿入口を備えている。

【００１１】ユーザ用カード２０は、金融情報等のデー
タを保持するものであって、データの暗号化・復号化等
を行うマイクロコンピュータおよびトランザクションフ
ァイル等を記憶する不揮発性メモリ等を内蔵している。
このユーザ用カード２０は各ユーザが所持するものであ
る。

【００１２】セキュリティカード３０もまた、マイクロ
コンピュータおよび不揮発性メモリを備えて構成されて
いる。このセキュリティカード３０は、主としてサービ
スを提供する者が所持するもので、ホスト端末１０に挿
入されたユーザ用カード２０が正当なものであるか否
か、また、ホスト端末１０が受信したデータが正当であ
るか否かを確認する機能を備えている。不揮発性メモリ
は、電気的消去可能なＥＥＰＲＯＭ、あるいは、バッテ
リバックアップされたスタティックＲＡＭ等により構成
されている。また、セキュリティカード３０には、外部
からアクセス不可能な不揮発性メモリを備え、この不揮
発性メモリには後述する終了情報が書き込まれている。
終了情報は、前回のセッション中においてセキュリティ
カード３０が不正に抜き取られた場合には「未終了」の
状態となるものである。よって、この終了情報を確認す
ることによりセキュリティカード３０の不正使用を防止
することが可能となる。

【００１３】なお、セキュリティカード３０と同等の機
能を、図３のセキュリティ処理装置４０として実現する
ことも可能である。セキュリティ処理装置４０はホスト
端末１０にインタフェース等を介して接続されており、
ホスト端末１０から切り離すことが可能なものである。

【００１４】図４は、本実施例に係る可搬型データ担体
処理システムにおける処理の概要を表す図である。相互
認証は、ユーザ用カード２０が正当なものであるか否か
を確認する処理であり、この相互認証は、端末ホスト１
０がユーザ用カード２０およびセキュリティカード３０
のそれぞれの暗号化したデータ（鍵）等が一致するか否
かにより行われる。また、ユーザ用カード２０は、取引
に伴い電子署名を生成し、この電子署名はセキュリティ
カード３０により確認される構成となっている。

【００１５】以上のように構成された可搬型データ担体
処理システムの作用を図５に示されるフローチャートを
参照しながら説明する。

【００１６】サービス提供者がセキュリティカード３０
をホスト端末１０の挿入口に挿入すると、ホスト端末１
０からセキュリティカード３０に電源が供給され、セキ
ュリティカード３０が活性化する（Ｓ１）。次に、ホス
ト端末１０は、セキュリティカード１０に記録された終
了情報が「終了」を表しているか否かを確認する（Ｓ
２）。

【００１７】この終了情報は、前回のセッションが正常
に終了したか否かを表すフラグであって、セッションが
正常に終了しないうちにセキュリティカード３０をホス
ト端末１０から引き抜いた場合には終了情報は「未終
了」の状態のままとなる。ホスト端末１０は、読み取っ
た終了情報が「未終了」であった場合（Ｓ２でＮＯ）に
は、一切応答することなく以後のアクセスを禁止する
（Ｓ３）。これにより、セッション途中で抜き取られ、
認証された状態のままのセキュリティカード３０を利用
した不正使用を防止することができる。なお、無応答の
処理は、無限ループ等を利用することにより実現可能で
ある。一方、終了情報が「終了」であった場合（Ｓ２で
ＹＥＳ）には、ホスト端末１０は、セキュリティカード
３０内の終了情報を「未終了」に書き換え（Ｓ４）、ス
テップＳ５以後の処理を実行する。

【００１８】ステップＳ５において、ホスト端末１０は
コマンドの送信をセキュリティカード３０に許可し、コ
マンドが送信されてくるのを待機する。ホスト端末１０
が、コマンドを受信すると（Ｓ６でＮＯ）、受信したコ
マンドが非活性化命令のコマンドであるか否かを判断す
る（Ｓ７）。非活性化コマンドでない場合（Ｓ７でＮ
Ｏ）には、セッションコマンド等の処理を実行し（Ｓ１
３）、レスポンスを送信する（Ｓ１４）。そして、再
び、ホスト端末１０は新たなコマンドが送信されてくる
のを待機する（Ｓ５）。一方、ステップＳ７において、
ホスト端末１０が非活性化コマンドを受信した場合（Ｓ
７でＹＥＳ）には、このコマンドとともに受信した鍵と
セキュリティカード３０内の参照鍵とを照合する（Ｓ
８）。

【００１９】両者が一致しなかった場合（Ｓ９でＮＯ）
には、ホスト端末１０は、一致しなかった旨のレスポン
スを送信し（Ｓ１４）、新たなコマンドを待機する（Ｓ
５）。両者が一致した場合（Ｓ９でＹＥＳ）には、上述
した終了情報を「終了」に書き換える（Ｓ１０）。そし
て、ホスト端末１０は、レスポンスを送信した後（Ｓ１
１）、セキュリティカード３０を非活性化し（Ｓ１
２）、全ての処理を終了する。

【００２０】したがって、本実施例によれば、終了情報
を参照することにより、セキュリティカード３０がセッ
ション途中で抜き取られたものか否かを判断でき、この
セキュリティカード３０を利用した不正使用を未然に防
止することが可能となる。なお、図３に示すように、セ
キュリティカード３０と同等の機能を有するセキュリテ
ィ処理装置４０について本発明を適用することも可能で
ある。また、ホスト端末１０の内部にセキュリティ処理
装置４０が配設されている場合においても、セキュリテ
ィ処理装置４０を切り離し、不正使用することも考えら
れることから、このような場合にも本発明を有効に適用
することができる。

【００２１】

【発明の効果】以上説明してきたように、本発明によれ
ば、可搬型データ担体処理システムにおいて、セッショ
ンが正常に終了したか否かを表す終了情報を確認するこ
とにより、セッション途中で抜き取られた可搬型データ
担体の不正使用を未然に防止することが可能となる。

【図面の簡単な説明】

【図１】本発明に係る可搬型データ担体処理システムを
表すブロック図である。

【図２】本発明の一実施例に係る可搬型データ担体処理
システムのブロック図である。

【図３】本発明の一実施例に係る可搬型データ担体処理
システムのブロック図である。

【図４】本発明の一実施例に係る可搬型データ担体処理
システムのデータの流れを表す図である。

【図５】本発明の一実施例に係る可搬型データ担体処理
システムの作用を表すフローチャートである。

【符号の説明】

１０ ホスト端末 ３０ セキュリティカード（可搬型データ担体）

Claims (1)

【特許請求の範囲】
1. 【請求項１】 可搬型データ担体と、 可搬型データ担体の認証を行った後に可搬型データ担体
   に対してデータのアクセスを行うホスト端末とを備えた
   可搬型データ担体処理システムにおいて、 上記可搬型データ担体は終了情報記憶手段を備え、ホス
   ト端末は以下の(1)〜(4)の処理を実行することを特徴と
   する可搬型データ担体処理システム。 (1)ホスト端末が可搬型データ担体を認証した場合に
   は、ホスト端末は終了情報記憶手段に「未終了」のデー
   タを書き込む。 (2)可搬型データ担体に対するデータのアクセスが正常
   に終了した場合には、ホスト端末は終了情報記憶手段に
   「終了」のデータを書き込む。 (3)ホスト端末が可搬型データ担体を認証する際に終了
   情報記憶手段に「終了」のデータが書き込まれていた場
   合には、ホスト端末は可搬型データ担体に対するデータ
   のアクセスを許容する。 (4)ホスト端末が可搬型データ担体を認証する際に終了
   情報記憶手段に「未終了」のデータが書き込まれていた
   場合には、ホスト端末は可搬型データ担体に対するデー
   タのアクセスを禁止する。