CN101004796A

CN101004796A - 记录方法、记录装置和ic卡

Info

Publication number: CN101004796A
Application number: CNA2006100643266A
Authority: CN
Inventors: 西方中
Original assignee: Sharp Corp
Current assignee: Sharp Corp
Priority date: 2005-12-28
Filing date: 2006-12-12
Publication date: 2007-07-25
Anticipated expiration: 2026-12-12
Also published as: JP4583305B2; EP1804189A3; EP1804189A2; JP2007179468A; US20070145157A1; US8245941B2; CN101004796B

Abstract

在IC卡中，包括：具有由连续地址指定的多个记录区域的记录单元；根据记录在记录单元中的信息来执行命令的单元；以及与外部设备进行通信的单元，当将从外部设备接收到的信息记录在记录单元中时，在由不连续地址指定的多个记录区域中划分并记录该信息。

Description

记录方法、记录装置和IC卡

技术领域

本发明涉及一种在IC卡上记录信息的记录方法、一种采用该记录方法的记录装置、和一种采用该记录方法的IC卡，具体地，涉及一种能够阻止运行从外部设备传送来的非法程序的记录方法、记录装置、和IC卡。

背景技术

与磁卡相比，其上载有如ROM和RAM的存储器和CPU的IC卡能够记录大量的数据，并且具有较高的安全性。这为将来IC卡进一步普及提供了条件。通过使这种IC卡与有或没有与其接触的用于执行信息记录/读取的外部设备(读取装置-记录装置)相互通信，该外部设备将由例如ISO/IEC7816-4等标准定义的如命令APDU(应用协议数据单元)的信息传送到该IC卡上，IC卡根据接收的信息执行处理，并且作为响应向该外部设备传送结果。

但是，包括个人信息在内的重要信息被记录在加载在该IC卡上的存储器内。因此，有可能会通过攻击该IC卡来执行存储信息的非法读取和例如修改等的非法操作。

以下就来解释针对IC卡的非法操作。从外部设备传送到IC卡的信息，如APDU，必须由该IC卡进行初始处理。但是，怀有恶意目的攻击者有可能不是传送要由IC卡处理的信息而是传送可由CPU执行的非法操作的命令(程序代码)，作为要作为命令APDU从外部设备传送到IC卡的信息。在从外部设备接收了包括非法操作命令的命令APDU的IC卡中，接收的命令被记录在加载在其上的存储器中，如用于接收缓冲器的RAM。加载在该IC卡上的CPU包括示出了接下来将要执行的命令的地址的程序计数器，并且在每次执行命令时改变该程序计数器。当攻击者通过操作程序计数器对该IC卡进行攻击，例如特殊的噪声辐射，并且在该程序计数器内设定了用作接收缓冲器的存储器上的地址时，CPU执行记录在该存储器中的命令，并执行存储在该存储器中的信息的非法读取和如修改等的非法操作。

作为这种非法操作的一种防范措施，日本专利公开No.2000-222202公开了一种通过将包含在从外部设备传送来的命令APDU中的命令转换为不可执行状态并记录在存储器中来阻止该非法操作的技术。当执行记录在该存储器中的命令时，通过执行逆向转换，恢复并执行初始命令。

如上所述，传统的IC卡存在有可能会执行将命令APDU与外部攻击结合在一起的非法操作的问题。

此外，日本专利公开No.2000-222202公开的技术中存在与转换或逆向转换有关的处理负荷和处理时间增大的问题。此外，虽然未执行被转换并被记录在存储器中的命令APDU，但是存在当执行该逆向-转换的命令APDU时该非法操作被执行的可能性。

发明内容

考虑到上述情况，提出了本发明，并且本发明的一个主要目的是提供一种记录方法、一种采用该记录方法的记录装置、和一种采用该记录方法的IC卡，当在具有分配了连续地址的记录区域的存储器上从外部设备接收到信息时，该方法通过在由不连续地址指定的记录区域中划分并记录该接收信息，在不增加处理负荷和处理时间的情况下，能够阻止非法操作。

此外，本发明的另一个目的是提供一种IC卡，该IC卡不是通过恢复并执行来自记录的接收信息的命令，而是通过检索与该记录的接收信息一致的命令规定信息，并执行由该检索到的命令规定信息规定的命令，在不增加处理负荷和处理时间的情况下，能够阻止该非法操作。

根据本发明的记录方法，在包括具有分配了连续地址的多个记录区域的记录单元和用于与外部设备进行通信的通信单元的IC卡中，当将从外部设备接收到的信息记录在该记录单元中时，在由不连续地址指定的多个记录区域中划分并记录该信息。

本发明的记录装置包括：

具有分配了连续地址的多个记录区域的记录单元；

用于与外部设备进行通信的通信单元；以及

用于在由不连续地址指定的多个记录区域中划分并记录由通信单元接收到的接收信息的单元。

根据本发明的IC卡包括：具有分配了连续地址的多个记录区域的记录单元；用于与外部设备进行通信的通信单元；用于在由不连续地址指定的多个记录区域中划分并记录由通信单元接收到的接收信息的单元；以及用于根据记录在记录区域中的信息来执行命令的命令执行单元。

根据本发明的IC卡，将命令执行单元不可执行的信息记录在所述多个记录区域中的一些区域中，并且在未记录该信息的那些区域中划分和记录接收信息。

根据本发明的IC卡，该处理是复位处理或非法中断处理。

根据本发明的IC卡，该IC卡包括：用于记录命令规定信息的单元，该命令规定信息规定之前记录的命令；用于检索与在该记录区域中划分和记录的信息一致的命令规定信息的单元；以及用于执行由检索到的命令规定信息规定的命令的单元。

根据本发明的IC卡，通过以每个预定对照单位对接收信息和命令规定信息进行对照，来检索接收信息和命令规定信息。

根据本发明的记录方法、记录装置、和IC卡，在由不连续地址指定的记录区域中划分并记录接收到的接收信息，并且通过在未记录该接收信息的记录区域中记录不可执行信息，即使从外部作为接收信息而写入非法命令，但是当接收到非法操作时，命令执行单元读取不可执行信息，由此基于写入的接收信息使命令执行单元执行非法命令，由于当命令执行单元读取不可执行信息时，将执行如复位处理和非法中断处理的针对异常情况的防范处理，因此可能阻止从外部写入的非法命令的执行。

此外，根据本发明的IC卡，以每个预定对照单位对接收信息和命令规定信息进行对照，对照之后通过执行由与接收信息一致的命令规定信息规定的命令，即使没有完全恢复接收信息，也可以规定并执行该命令，由于此时执行的命令是之前记录的合法命令，因此能够防止恢复该命令所需要的处理负荷和处理时间的增加，并且防止非法命令的执行。

根据本发明的记录方法、记录装置、和IC卡，提供了具有分配了连续地址的多个记录区域的记录单元、用于根据记录在记录单元中的信息来执行命令的命令执行单元、和用于与外部设备进行通信的通信单元，上述单元被应用在IC卡上，该IC卡用于在记录单元中记录从外部设备接收到的信息，其中通信单元在由不连续地址指定的多个记录区域中划分并记录从外部设备接收到的接收信息。此外，将命令执行单元不能够执行的不可执行信息记录在未记录接收信息的记录区域中。

通过上述结构，根据本发明，即使从外部接收的记录的接收信息是非法命令，但是命令执行单元在接收到非法操作时读取不可执行信息，由此命令执行单元执行基于记录的接收信息的非法命令，命令执行单元读取不可执行信息，并执行如复位处理和非法中断处理的针对异常情况的防范处理，因此能够表现出阻止从外部写入的非法命令的执行、存储信息的非法读取、和例如修改等非法操作的卓越优点。

此外，根据本发明，提前记录合法命令，并且将规定所记录的合法命令的命令规定信息记录在命令规定信息记录单元中。接着，针对每个预定对照单位，来对接收信息和命令规定信息进行对照，作为基于接收信息的命令的执行处理，对照之后执行由与接收信息一致的命令规定信息所规定的命令。

通过这种结构，根据本发明，即使没有完全恢复接收信息，仍然可以规定并执行命令，因此能够表现出避免恢复命令所需要的处理负荷和处理时间的增加的卓越优点。此外，由于要执行的命令是之前记录的合法命令，因此表现出例如阻止非法命令的执行的卓越优点。

从以下结合附图所作的详细描述中，本发明的上述和其它的目的和特征将更加显而易见。

附图说明

图1是示出了在其中使用了本发明的IC卡的记录方法中使用的各种装置的组成示例的方框图；

图2是示出了本发明的IC卡的文件存储区域的记录内容的示例的概念视图；

图3是示出了本发明的IC卡的文件管理表的记录内容的示例的概念视图；

图4是示出了本发明的IC卡的接收缓冲器的记录内容的示例的概念视图；

图5是示出了本发明的IC卡的接收信息记录处理的示例的流程图；

图6是示出了由本发明的IC卡接收的接收信息的内容的示例的概念视图；

图7是示出了在本发明的IC卡的接收缓冲器中记录接收信息的状态的示例的概念视图；

图8是示出了本发明的IC卡的接收信息读取处理的示例的流程图；以及

图9是示出了在本发明的IC卡的接收信息读取处理中使用的变量值的改变量的示例的表格。

具体实施方式

以下，将根据附图详细描述本发明的优选实施例。

图1是示出了在其中使用了本发明的IC卡的记录方法中使用的各种装置的组成示例的方框图。该图中的附图标记“1”表示IC卡，其是一种记录装置。该IC卡1能够和外部设备2相互通信，外部设备2是如有或没有与该IC卡1相接触的读取装置-记录装置，并且通过使IC卡1靠近外部设备2，外部设备2传送由例如ISO/IEC7816-4等标准定义的信息，如命令APDU(应用协议数据单元)，并且在IC卡1上，基于由接收到的信息所示出的命令来执行处理，以及作为响应向外部设备2传送执行结果。在向用户发行之前的制造和发行处理中，将各种命令和如个人信息的信息记录在IC卡1上。在向用户发行IC卡之后的操作处理中，基于写入的信息执行例如与外部设备2的通信以及验证等处理。

IC卡1包括控制内部处理的控制部10和存储程序的程序存储部11，基于控制部10的控制来执行该程序。

控制部10包括：具有如可执行各种命令的命令执行单元的功能的控制电路101，如CPU(中央处理单元)；与外部设备2进行通信的通信电路102；记录在加工和发行过程中所写入的如个人信息的信息以及各种命令等的非易失性存储器103；以及暂时记录发行后的操作过程中的信息的易失性存储器104。

非易失性存储器103的一些记录区域被用作记录如可由控制电路101执行的命令的文件的文件存储区域103a和管理记录在文件存储区域103a中的文件的文件管理表103b。易失性存储器104的一些记录区域被用作暂时记录从外部设备2接收的信息的接收缓冲器104a。

程序存储部11存储：系统程序110，该程序是与系统有关的程序，如接收到的信息的记录；以及应用程序111，该程序是与作为文件记录在文件存储区域103a中的命令有关的程序。

图2是示出了本发明的IC卡1的文件存储区域103a的记录内容的示例的概念视图。文件存储区域103a具有用于存储文件的多个区域，如该图中所示的“文件1”，“文件2”，“文件3”，并且给存储文件的每个区域分配地址，如“0x000000”，“0x001000”，“0x002500”。

图3是示出了本发明的IC卡1的文件管理表103b的记录内容的示例的概念视图。在文件管理表103b中，以每个记录单位来管理存储在文件存储区域103a中的每个文件，并且针对每一项，记录数据，如规定该记录的记录地址、与该文件有关的属性信息、文件地址和命令规定信息等。如“P1”、“P2”、和“P3”的地址作为记录地址而记录。文件地址示出了其中记录了文件的文件存储区域103a的地址，并与图2中所示的“0x000000”、“0x001000”、“0x002500”的地址相对应。命令规定信息是规定命令的文件名信息，如文件ID，其在图3中被示出为信息“FILE1 0x00”、“FILE2 0x00”和“FILE3 0x00”。在图3中，在结尾处添加表示文件结束的标示标记序列“0x00”，以表示与图2中所示的文件名称相对应的名称。

图4是示出了本发明的IC卡1的接收缓冲器104a的记录内容的示例的概念视图。接收缓冲器104a具有分配了如“0xffff01”、“0xffff02”、“0xffff03”、“0xffff04”和“0xffff05”的连续地址的多个记录区域，并且在该多个记录区域中，通过如下所述的初始化处理，在结尾处可选地为偶数的地址中记录非法命令代码，该非法命令代码是控制电路101不能够执行的不可执行信息。接着，当从外部设备2接收信息时，在记录区域中，在例如由结尾处是奇数的地址所指定的未记录非法命令代码的区域中划分并记录接收到的信息。值得注意的是，此处连续地址表示基于控制电路101中的程序计数器而被连续引用的地址，在此连续地址中的编号不一定必须是连续的。

接下来，将阐述本发明的IC卡1的处理。图5是示出了本发明的IC卡1的接收信息记录处理的示例的流程图。当IC卡1和外部设备2相互接近或者彼此相互接触至可相互通信的范围时，或者当它们通过通信线路互连时，从外部设备2传送信息到IC卡1。例如，从外部设备2传送到IC卡1的信息是用于执行传送之前记录在IC卡1上的信息的命令的信息，以及用于读取记录在IC卡1上的信息的命令的信息。

通过控制电路101的控制，由此执行系统程序110，IC卡1将分配了接收缓冲器104a的奇数地址的记录区域设置为可记录状态，接着执行在由偶数地址指定的记录区域中记录非法命令代码的初始化处理，其中该非法命令代码是不能被执行的不可执行信息(S101)，并且IC卡1将接收缓冲器104a的第一奇数地址设置为数据指针的初始值，该数据指针示出了记录了接收信息的记录区域的地址(S102)。应当注意的是，该数据指针被存储在例如控制电路101内的存储器中。

接着，IC卡1接收与如1比特的预定记录单位相对应的信息，作为通过通信电路102从外部设备2传送的信息(S103)，并且将由此接收的与预定记录单位相对应的接收信息记录在分配了数据指针所示的奇数地址的记录区域中(S104)，然后将数据指针的值加“2”(S105)，并确定是否完成了接收数据的接收(S106)。在步骤S105中，通过将该数据指针的值加“2”，该数据指针示出了与示出了接收信息所记录的记录区域的奇数地址相邻的奇数地址。在步骤S106中，例如，通过确定是否接收到与数据长度相对应的记录的接收信息，确定是否完成了接收数据的接收。

在步骤S106中，当确定没有完成接收数据的接收时(S106：否)，处理回到步骤S103，并且接收与下一个记录单位相对应的接收信息，并重复执行此后的处理。

在步骤S106中，当确定完成了接收数据的接收时(S106：是)，结束接收信息记录处理。

通过如步骤S103到S106所示的处理，IC卡1在由接收缓冲器104a的不连续地址(即此处的奇数地址)所示的记录区域中划分并记录从外部设备2传送的接收信息。

图6是示出了由本发明的IC卡1接收的接收信息的内容的示例的概念视图。从外部设备2传送并由IC卡1接收的接收信息是由例如ISO/IEC7816-4等标准定义的命令APDU，并且包括4字节的命令头和命令体。命令头包括例如示出了命令类别的CLA(类别字节)、示出了命令代码的INS(指令字节)和示出了命令参数的P1(参数1)和P2(参数2)的信息。在命令体中，提供包括命令APDU的数据字段长度的Lc(命令数据的长度)字段、数据字段、和包括响应APDU的数据字段长度的Le(期望数据的长度)字段，并且数据字段中包括记录在接收缓冲器104a中的接收信息。

图7是示出了在本发明的IC卡1的接收缓冲器104a中记录接收信息的状态的示例的概念视图。图7示出了接收“FILE 20x00”作为IC卡1中的接收信息的状态和将其记录在接收缓冲器104a中的状态。如图7所示，IC卡1在未记录非法命令代码的不连续区域中，即在该情况下由结尾处的奇数地址所指定的记录区域中，划分并记录接收到的接收信息。因此，通过划分并记录接收信息，可以避免针对非法操作的命令的执行。这是由于即使记录的接收信息是针对非法操作的命令(程序代码)，并且攻击者攻击IC卡1，如特定噪声辐射，并且通过操作控制电路101中的程序计数器，在该程序计数器内设置接收缓冲器104a的地址，当读取接收信息时也读取了不可执行信息，因此执行了针对异常情况的防范措施，如复位处理和非法干扰处理。

图8是示出了本发明的IC卡1的接收信息读取处理的示例的流程图，并且图9是示出了在本发明的IC卡1的接收信息读取处理中使用的变量值的改变量的示例的表格。应当注意的是，在以下阐述中，假设IC卡1接收如图7中所示的“FILE2 0x00”作为接收信息并以如图7中所示的状态记录该信息。当执行基于在接收缓冲器104a中划分并记录的接收信息的命令时，此处使用记录在接收缓冲器104a中的对照单位，如用于存储划分成1个字节的接收信息的变量X、用于存储与记录在文件管理表103b中的对照单位相对应的命令规定信息的变量Y、和用于存储示出了文件管理表103b的记录地址的表格指针的变量P。例如，变量X、变量Y和变量P存储在控制电路101中的存储器中。应当注意的是，针对记录接收信息的每个单位长度，来执行以下将阐述的接收信息的对照，并且因此在这种情况下用于接收信息记录处理的记录单位和用于接收信息读取处理的对照单位具有相同的单位长度，即1字节。

通过控制电路101的控制，由此执行系统程序110，IC卡1在表格指针中设置文件管理表103b的头记录地址(S201)。步骤S201中的各变量的值处于图9中的阶段1所示的状态，并且变量P存储表示文件管理表103b的头记录地址的“P1”。

然后，IC卡1将变量X初始化(步骤S202)，并进一步将变量Y初始化(S203)。在步骤S202和S203中，各变量的值处于图9中的阶段2所示的状态，并且变量X和变量Y存储例如“0x00”，作为初始值。

接着，IC卡1参考变量P并确定该表格指针是否表示文件管理表103b的最后记录地址(S204)，并且当确定该表格指针不表示该最后记录地址时(S204：否)，读取与在接收缓冲器104a中记录的对照单位相对应的接收信息并在变量X中存储该接收信息(S205)，读取与存储在文件管理表103b中的对照单位相对应的命令规定信息并在变量Y中存储该命令规定信息(S206)。此阶段中，各变量处于图9的阶段3所示的状态。在接收信息读取处理开始处，初始化用于示出接收缓冲器104a上的从中读取接收信息的记录区域的地址的指针，以表示其中针对每个对照单位(记录单位)记录了接收信息的每个记录区域的起始奇数地址。因此，如图9所示，变量X存储“F”作为相应于第一对照单位的接收信息。此外，如图3所示，“FILE 10x00”记录在由文件管理表103b的变量P1规定的记录中，作为命令规定信息。因此，变量Y存储了相应于第一对照单位的命令规定信息“F”。

接着，IC卡1将存储在变量X中的与对照单位相对应的接收信息和存储在变量Y中的与对照单位相对应的命令规定信息进行对照(S207)。当确定前述接收信息和命令规定信息彼此一致(S207：是)时，确定存储在变量Y中的相应于对照单位的已对照的命令规定信息是否是相应于最后对照单位的命令规定信息(S208)。

在步骤S208中，当确定前述命令规定信息不是相应于最后对照单位的命令规定信息时(S208：否)，IC卡1读取由接收缓冲器104a的下一个奇数地址所指定的记录区域中记录的与对照单位相对应的接收信息并将该信息存储在变量X中(S209)，读取存储在文件管理表103b中的与对照单位相对应的下一个命令规定信息并将该信息存储在变量Y中(S210)，然后处理回到步骤S207以重复随后的处理。

通过重复步骤S207到S210的处理，各变量的值如图9的阶段3到阶段7所示地改变。但是，在阶段7中，存储在变量Y中的与一个对照单位相对应的命令规定信息是“1”，而存储在变量X中的与对照单位相对应的接收信息是“2”。因此，在步骤S207的对照中，前述接收信息和命令规定信息彼此是不一致的。

在步骤S207中，当确定存储在变量X中的与对照单位相对应的接收信息和存储在变量Y中的与对照单位相对应的命令规定信息彼此不一致(S207：否)时，IC卡1在变量P中存储文件管理表103b的下一个记录地址(S211)，并且处理回到步骤S204以重复随后的处理。步骤S211中的各变量的值处于图9的阶段8所示的状态，并且变量P存储表示文件管理表103b的第二个记录的“P2”。

处理返回到步骤S204，并且通过重复随后的处理，各变量的值如图9中的阶段9到14所示地改变。但是，在阶段14中，存储在变量Y中的与对照单位相对应的命令规定信息是表示与最后对照单位相对应的命令规定信息“0x00”。因此，在步骤S208中，确定命令规定信息是最后的命令规定信息。即，通过步骤S201到S211的处理，针对每个对照单位，对照接收信息和命令规定信息，并且通过对照来检索与划分并记录在接收缓冲器104a中的接收信息一致的命令规定信息。

在步骤S208中，当确定命令规定信息是最后一个对照单位时(S208：是)，IC卡1执行由与存储在变量P中的记录地址所指定的记录相对应的命令规定信息规定的命令(S212)。即，IC卡1读取记录在文件管理表103b中以便与命令规定信息相对应的文件地址，作为检索结果，从文件存储区域103a中读取由读取文件地址指定的命令，并且根据读取的命令，通过使用控制电路101，执行应用程序111的处理。

如上所述，根据本发明，即使没有完全恢复在接收缓冲器104a中划分并记录的接收信息，也可以规定并执行命令。

在步骤S204中，当确定表格指针指定了文件管理表103b的最后记录地址时(S204：是)，IC卡1执行异常处理，由此不能基于接收信息来规定命令(S213)，并且结束处理。

在该实施例中，给出了利用IC卡的实施例。但是，本发明并不局限于此，并且本发明可以被应用于各种用于根据与外部的通信来执行处理的记录装置，如可写的IC标签。

此外，本实施例给出了在没有完全恢复划分并记录的接收信息的情况下执行命令的实施例。但是，本发明并不局限于此，并且可以在各种模式下发展，例如当接收到可执行命令作为接收信息时，在恢复接收信息后执行命令。

Claims

1.一种记录方法，包括步骤：

在包括具有由连续地址指定的多个记录区域的记录装置和用于与外部设备进行通信的装置的IC卡中，当将从外部设备接收的信息记录在记录装置中时，在由不连续地址指定的多个记录区域中划分并记录该信息。

2.一种记录装置，包括：

具有由连续地址指定的多个记录区域的记录装置；

用于与外部设备进行通信的通信装置；以及

用于在由不连续地址指定的多个记录区域中划分并记录由该通信装置接收到的信息的装置。

3.一种IC卡，包括：

具有由连续地址指定的多个记录区域的记录装置；

用于与外部设备进行通信的通信装置；

用于在由不连续地址指定的多个记录区域中划分并记录由该通信装置接收到的接收信息的装置；以及

用于根据记录在所述记录区域中的信息来执行命令的命令执行装置。

4.根据权利要求3所述的IC卡，其中将所述命令执行装置不能够执行的信息记录在所述多个记录区域中的一些区域中；并且

在未记录该信息的区域中划分和记录所述接收到的信息。

5.根据权利要求3所述的IC卡，其中将用于使所述命令执行装置执行预定处理的命令记录在所述多个记录区域中的一些区域中；并且

在未记录所述命令的区域中划分并记录所述接收信息。

6.根据权利要求5所述的IC卡，其中所述处理是复位处理或非法中断处理。

7.根据权利要求3所述的I卡，进一步包括：

用于记录命令规定信息的装置，该命令规定信息用于规定之前记录的命令；

用于检索与在所述记录区域中划分并记录的信息一致的命令规定信息的装置；以及

用于执行由检索到的命令规定信息所规定的命令的装置。

8.根据权利要求3所述的IC卡，其中通过针对每个预定对照单位，对照所述接收到的信息和命令规定信息，来执行检索。