JP2000138672A - 通信方法及びカードシステム - Google Patents

Abstract

(57)【要約】 【課題】 セキュリティ保持とデータの不整合によるト
ラブルを防止することができるカードシステムを提供す
る。 【解決手段】 ＩＣ搭載カード１０を収容する端末２０
とサーバ３０をインターネットＬに接続して構成する。
サーバ３０は、ＩＣ搭載カード１０との間で相互認証を
行うとともに自己及びカード側の相互認証の結果情報を
保持し、認証結果情報が正当であるときにＩＣ搭載カー
ド１０に対して当該カードが保有するデータの状態を表
すフラグ情報を“１”にさせ、次いで、自己が保有する
データの状態を表すフラグ情報を“１”にするとともに
書込対象データをＩＣ搭載カード１０宛に送信する。当
該カードでデータ記録とフラグ情報を“０”に更新こと
を確認したときに自己のフラグ情報を“０”に更新す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、双方向通信可能な
通信環境を用いたカードシステムに関する。ここで、カ
ードシステムとは、ＩＣ搭載カード、例えばＩＣカード
（以下、単に「カード」と称する）を媒体として所要の
データ処理を実行できるように構成されたシステムをい
う。

【０００２】

【発明の背景】カードシステムは、一般に、予めシステ
ムに登録された利用者（以下、「ユーザ」）が保有する
カード、ユーザが操作する端末、この端末に装着された
カードとの間で相互通信を行うサーバを含んで構成され
る。従来のこの種のカードサービスシステムでは、主と
して、セッションの確立されたクローズドな通信回線を
用いて、カード−端末−サーバ間で通信が行われてい
る。しかし、近年の通信技術、インフラ、特にインター
ネットの普及に伴い、ステートレスかつオープンなネッ
トワーク環境下でカードを用いたサービスを提供するニ
ーズが増えてきている。しかし、このニーズに応えるた
めには、以下のような解決すべき問題があった。

【０００３】（１）カード、端末、サーバのそれぞれに
おいて、通信相手が正当な相手かどうかがわからない。
これについては、例えば特開平１０−２７１６０号公報
に記載された認証方法を用いてカード利用者の認証を行
うことが考えられる。この認証方法は、カードからの応
答情報に基づいてサーバでカード所有者の認証を行う手
法である。しかし、この方法では、ユーザ認証、サーバ
認証を付け加えたときに、その処理をスキップすること
が可能であり、また、認証後に、不正がなされる余地が
ある。

【０００４】（２） サーバがカードからデータを読み
出したり、カードへデータを書き込む場合に、カードの
データが不正に覗き見されたり、改竄されたりする可能
性がある。これについては、ＳＳＬ（SecureSocket La
yer）等、端末とサーバとの間で暗号化通信を行うこと
である程度対応が可能であるが、この方式では、端末と
サーバとの間のセキュリティしか確保されておらず、端
末自身、あるいは端末とカードとの間で不正が行われる
可能性がある。

【０００５】（３） サーバからカードへデータを書き
込んでいる最中に通信が途絶えることが少なくない。こ
の場合は、サーバとカードのデータの整合性がとれなく
なる可能性がある。これについては、Ｃｏｏｋｉｅ等を
用いて、端末やサーバでのデータの内容を保持すること
が考えられるが、この方式では、サーバ及びカード双方
とも、通信断絶等の異常を把握することができない。

【０００６】（４）サーバとカードでデータの整合性が
とれているかどうかに関わらず、オフライン環境では、
サーバのデータを確認することができない。そのため、
結果的に整合性がとれていない場合であっても、そのカ
ードを利用できてしまう。

【０００７】そこで本発明は、装置間通信におけるセキ
ュリティ保持を徹底することができる改良された通信方
法を提供することにある。本発明の他の課題は、セキュ
リティ保持とデータ不整合によるトラブルを防止するこ
とができるカードシステムを提供することを課題とす
る。

【０００８】

【課題を解決するための手段】上記課題を解決する本発
明の通信方法は、双方向通信可能な形態で接続された第
１装置と第２装置との間で相互認証を行うとともに、両
装置の相互認証の結果情報を互いに保持しあって第１装
置及び第２装置の少なくとも一方における後続通信処理
の実行条件として用いることを特徴とする。

【０００９】本発明の他の通信方法は、前記両装置の相
互認証の結果情報を互いに保持しあって第１装置及び第
２装置の一方から他方へのデータアクセス条件として用
いるとともに、各装置が保有するデータが同一状態であ
ることを表すフラグ情報を保持しあうことを特徴とす
る。

【００１０】なお、セキュリティ性をより徹底する観点
からは、上記通信方法において、利用者認証を行うとと
もに、この利用者認証の結果情報を前記相互認証の結果
情報と共に第１装置及び第２装置で保持しあい、各結果
情報を前記相互認証の結果情報と共に前記後続通信処理
の実行条件として用いるようにする。必要に応じて、装
置間通信を暗号通信によって行う。

【００１１】上記他の課題を解決する本発明のカードシ
ステムは、ＩＣ搭載カード、情報提供システム、前記Ｉ
Ｃ搭載カードと情報提供システムとを双方向通信可能な
形態で接続するための仲介装置を含んで成る。前記ＩＣ
搭載カードと前記情報提供システムは、それぞれ、前記
仲介装置を介して相手側との間で相互認証を行うととも
に自己及び相手側の相互認証の結果情報を保持する相互
認証手段と、前記結果情報をもとに相互認証後の後続通
信処理の実行可否を判定する判定手段とを有するもので
ある。データ処理を伴う場合は、前記判定手段による判
定結果が肯定的であるときに自己及び相手側が各々保有
するデータの状態を表すフラグ情報を同一の値にさせる
データ処理手段を設ける。

【００１２】本発明の他のカードシステムは、前記情報
提供システムが、前記仲介装置を介して前記ＩＣ搭載カ
ードとの間で相互認証を行うとともに自己及び前記ＩＣ
搭載カード側の相互認証の結果情報を保持する相互認証
手段と、前記認証結果情報が正当であるときに自己が保
有するデータの前記ＩＣ搭載カードへの書込指示を与え
るデータ処理手段とを有し、該データ処理手段は、前記
ＩＣ搭載カードに対して当該カードが保有するデータの
状態を表すフラグ情報を第１の値にさせ、前記第１の値
になったことを確認したときに自己が保有するデータの
状態を表すフラグ情報を第１の値にするとともに書込対
象データを当該ＩＣ搭載カード宛に送信し、当該カード
でデータ記録と前記フラグ情報を第２の値に更新したこ
とを確認したときに自己の前記フラグ情報を第２の値に
更新するように構成されたものである。

【００１３】より好ましくは、ＩＣ搭載カードと情報提
供システムが互いに同一の鍵情報を持ち合い、前記ＩＣ
搭載カードと情報提供システムの一方側が独自に生成し
て他方側に伝えた秘密情報と前記鍵情報とに基づき他方
側が生成した認証情報と前記一方側が前記秘密情報と前
記鍵情報とに基づき生成した認証情報との照合を行うこ
とにより、前記仲介装置の関与を排した直接認証処理を
行うようにする。

【００１４】本発明は、また、例えば上記カードシステ
ムに適用可能な情報処理装置を提供する。第１の情報処
理装置は、認証手段を有する相手側装置と双方向且つ仲
介装置の関与を排した形態で通信を行う装置であって、
前記相手側装置との間で相互認証を行うとともに自装置
及び相手側装置の相互認証の結果情報を保持する相互認
証手段と、前記結果情報をもとに相互認証後の後続通信
処理の実行可否を判定する判定手段とを有することを特
徴とする。

【００１５】第２の情報処理装置は、認証手段を有する
相手側装置と双方向且つ仲介装置の関与を排した形態で
通信を行う装置であって、前記相手側装置との間で相互
認証を行うとともに自装置及び相手側装置の相互認証の
結果情報を保持する相互認証手段と、前記結果情報をも
とに相互認証後の後続通信処理の実行可否を判定する判
定手段と、この判定手段による判定結果が肯定的である
ときに自己が保持するデータとの同一性を表すフラグ情
報を前記相手側装置に生成させる手段とを有することを
特徴とする。

【００１６】上記第１及び第２の情報処理において、前
記相互認証手段は、例えばそれぞれ相手側装置と共通の
鍵情報を持ち合い、この鍵情報と自装置が独自に生成し
て伝えた秘密情報とに基づき相手側が生成した認証情報
と自装置が前記秘密情報と鍵情報とに基づき生成した認
証情報との照合を行うとともに、先に保持してある前記
結果情報が正当の場合に新たな鍵情報を生成するように
構成する。

【００１７】なお、上記ＩＣ搭載カード、情報提供シス
テムも上記第１または第２の情報処理装置に該当するも
のである。

【００１８】

【発明の実施の形態】次に、本発明を、インターネット
によるカードシステムに適用した場合の実施の形態を説
明する。図１に示されるように、本実施形態のカードシ
ステム１は、例えば、カード（ＩＣ搭載カード、以下同
じ）１０、カードリーダライタ付きの専用端末２０、カ
ード１０の読み書きをサポートしている家庭用インター
ネットアクセスツール２１、カードリーダライタ付きの
汎用のパーソナルコンピュータ２２、各種サービスの提
供を行うサーバ３０、カードリーダライタ付きのオフラ
イン端末４０を含んで構成される。

【００１９】専用端末２０、家庭用インターネットアク
セスツール２１、パーソナルコンピュータ２２は、それ
ぞれ、カード１０を収容して当該カード１０とサーバ３
０との間のインターネットＬを用いた双方向通信を可能
にする一種の仲介装置であり、ユーザに対する操作イン
タフェース画面であるブラウザ機能を有するものであ
る。以下の説明では、便宜上、これらを総称して「端
末」２０とする。オフライン端末４０は、後述するカー
ド１０内のフラグ情報を読み取って、カード内のデータ
の正当性を自律的に判定するものである。

【００２０】カード１０とサーバ３０の詳細構成は、図
２に示すとおりである。すなわち、カード１０は、端末
２０を通じてサーバ３０と双方向通信を行うための通信
路を確立するインタフェース部１１、ＣＰＵ（マイクロ
プロセッサ）１２、ＲＯＭ（読み出し専用メモリ）１
３、ＲＡＭ（書換可能メモリ）１４、ＥＥＰＲＯＭ（電
気的消去可能なＲＯＭ）１５を有しており、ＲＯＭ１３
にはＣＰＵ１２に読み込まれる所定のプログラムが格納
されている。ＲＡＭ１４は作業メモリである。ＥＥＰＲ
ＯＭ１５には、暗号通信や認証に用いる鍵情報（乱数を
含む）、ＩＤ、パスワード等の秘密情報を格納するため
の秘密情報領域１５１、相互認証結果を保持するための
認証結果保持領域１５２、データの正当性を表すフラグ
情報を格納するためのフラグ領域１５３、ユーザデータ
を格納するためのユーザデータ領域１５４が少なくとも
形成されている。

【００２１】カード１０は、また、ＣＰＵ１２がＲＯＭ
１３内のプログラムを読み込んで実行することにより形
成される、認証処理部１２１、メモリ制御部１２２、デ
ータ処理部１２３の機能ブロックを有している。

【００２２】認証処理部１２１は、ユーザの正当性を確
認するためのユーザ認証、サーバの正当性を確認するた
めのサーバ認証、その他の認証に用いる鍵情報、乱数、
認証情報の生成等を行うものである（認証要求電文の作
成及び送出を含む）。メモリ制御部１２２は、ＥＥＰＲ
ＯＭ１５からの情報の読出及び書込を制御するものであ
る。データ処理部１２３は、後述するフラグ情報の生
成、記録、更新のほか、ＥＥＰＲＯＭ１５内のデータに
基づく所要のデータ処理を行うものである。

【００２３】カード１０は、接触型カード／非接触型カ
ードのいずれであってもよい。非接触型カードの場合、
インタフェース部１１は、アンテナと、このアンテナで
受信したアナログデータをディジタルデータに変換して
ＣＰＵ１２に送り、また、ＣＰＵ１２からのディジタル
データをアナログデータに変換してアンテナへ送るＤ／
Ａ変換回路を含んで構成する。接触型カードの場合は、
アンテナは必ずしも必要とされない。

【００２４】サーバ３０は、少なくとも、端末２０を介
してカード１０と双方向通信を行うための通信機構３１
と、提供対象となる種々のサービスデータを保持すると
ともにカード１０毎の固有データを蓄積するデータベー
ス３２とを備え、さらに、サーバ本体のＣＰＵ（プロセ
ッサ）が所定のプログラムを読み込んで自己のオペレー
ティングシステムを協同で実行することにより形成され
る、認証処理部３３、データベース管理部３４、データ
処理部３５の機能ブロックを有している。

【００２５】認証処理部３１は、カード１０との間でダ
イレクトに相互認証を行うとともに、認証に必要な鍵、
乱数、認証情報の生成を行うものであり（認証要求電文
の作成及び送出を含む）、データベース管理部３４は、
データベース３２への情報書き込み及びその読み出しを
行うものである。データ処理部３５は、後述するフラグ
情報の生成、記録、更新のほか、データベース３２内の
データに基づく所要のデータ処理を行うものである。な
お、以上の構成要素は、本発明を実施する上で必要な部
分のみを挙げたものである。

【００２６】次に、図３〜図１０を参照して本実施形態
のカードシステム１の動作を説明する。なお、図３〜図
８において、「端末」の欄は当該端末２０で操作される
コマンド／レスポンス、「通信路」の欄は、インターネ
ットＬを流通するデータの形態を示している。また、カ
ード１０はインタフェース１１を通じて、サーバ３０は
通信機構３１を通じてそれぞれ双方向通信を行うものと
する。

【００２７】まず、図３〜図５を参照して認証処理を説
明する。この認証処理は、ユーザ認証フェーズ、サーバ
認証フェーズ、カード認証フェーズより成る。 （１）ユーザ認証フェーズ（図３） カード１０を端末２０に装着し、その端末２０のブラウ
ザに表示されたＨＴＭＬ画面等のボタンを押下すると、
端末２０は、サーバ３０へ認証要求の開始電文を送る。
この開始電文を受けたサーバ３０は、ユーザ認証要求を
当該端末２０に返信する。端末２０は、ユーザに対して
パスワード入力を要求する。ユーザが端末２０を通じて
パスワードを入力すると、カード１０は、このパスワー
ドをチェックしてユーザ認証を行い、ＯＫ（正当）であ
れば「ユーザ認証ＯＫ」、ＮＧ（不当）であれば「ユー
ザ認証ＮＧ」をサーバ３０宛に返答する。「ユーザ認証
ＯＫ」の情報については、これをＥＥＰＲＯＭ１５の認
証結果保持領域１５２に保持しておく。サーバ３０は、
端末２０を通じてカード１０からの「ユーザ認証ＮＧ」
を受信したときは認証失敗と判定し、所要の処理を行
う。一方、「ユーザ認証ＯＫ」を受信したときは、その
情報をデータベース３２に保持するとともに、サーバ認
証フェーズに移行する。

【００２８】（２）サーバ認証フェーズ（図４） サーバ認証フェーズに移行すると、サーバ３０は、カー
ド１０宛にサーバ認証を要求する。サーバ認証要求を受
けたカード１０は、まず、乱数Ａを生成する。そして、
この乱数Ａと秘密情報領域１５１に保持してある鍵Ａと
から鍵Ｃを生成するとともに、鍵Ｃを秘密情報領域１５
１に格納し、乱数Ａについては、これをサーバ３０宛に
出力する。ここで、鍵Ａは、カード１０とサーバ３０と
で最初から共通に持つ秘密情報（サーバ認証用鍵）であ
り、鍵Ｃは、鍵Ａと乱数Ａから導き出される秘密情報で
ある。サーバ３０は、端末２０を通じて受信した乱数Ａ
と予めデータベース３２に保持してある鍵Ａとから鍵Ｃ
を生成する。また、この鍵Ｃとカード１０から受信した
乱数Ａとから認証情報＃１を生成し、この認証情報＃１
をカード１０宛に送信する。

【００２９】認証情報＃１を端末２０を通じて受信した
カード１０は、秘密情報領域１５１に保持してある鍵Ｃ
と乱数Ａとから認証情報＃２を生成し、この認証情報＃
２とサーバ３０から送られてきた認証情報＃１とを照合
する。一致していれば「サーバ認証ＯＫ」、不一致であ
れば「サーバ認証ＮＧ」の認証結果をサーバ３０宛に出
力する。「サーバ認証ＯＫ」の場合は、その情報をＥＥ
ＰＲＯＭ１５の認証結果保持領域１５２に保持してお
く。認証結果を受けたサーバ３０は、「サーバ認証Ｎ
Ｇ」であれば認証失敗とし、所要の処理を行う。一方、
「サーバ認証ＯＫ」であれば、その情報をデータベース
３２に保持する。また、先に保持してあるユーザ認証結
果を確認し、ＮＧであれば認証失敗とし、所要の処理を
行う。ＯＫであれば、カード認証フェーズへ移行する。

【００３０】（３）カード認証フェーズ（図５） カード認証フェーズに移行すると、サーバ３０は、乱数
Ｂを生成するとともに、この乱数Ｂとデータベース３２
に保持してある鍵Ｂとから鍵Ｄを生成し、鍵Ｄをデータ
ベース３２に保持しておくとともに、カード１０宛にカ
ード認証を要求する。ここで、鍵Ｂは、カード１０とサ
ーバ３０とで最初から共通に持つ秘密情報（カード認証
用鍵）であり、鍵Ｄは、鍵Ｂと乱数Ｂとから導き出され
る秘密情報である。

【００３１】カード認証要求を受けたカード１０は、秘
密情報領域１５１に予め保持してある鍵Ｂと、端末２０
を通じてサーバ３０から受信した乱数Ｂとから鍵Ｄを生
成する。また、この鍵Ｄと先に生成して保持してある鍵
Ｃとから鍵Ｅを生成し、これを秘密情報領域１５１に保
持しておく。さらに、鍵Ｄと乱数Ｂとから認証情報＃３
を生成し、これをサーバ３０宛に送信する。なお、鍵Ｅ
は、鍵Ｃと鍵Ｄから導き出される秘密情報である。

【００３２】サーバ３０は、生成した乱数Ｂと予め生成
して保持してある鍵Ｄとから認証情報＃４を生成し、こ
の認証情報＃４とカード１０から送られてきた認証情報
＃３との照合を行う。不一致であれば認証失敗とし、所
要の処理を行う。両者が一致していれば「カード認証Ｏ
Ｋ」の情報をデータベース３２に保持する。また、既に
保持してあるユーザ認証結果とサーバ認証結果とを確認
し、「ユーザ認証ＯＫ」且つ「サーバ認証ＯＫ」でなけ
れば認証失敗とし、所要の処理を行う。「ユーザ認証Ｏ
Ｋ」且つ「サーバ認証ＯＫ」の場合、サーバ３０は、鍵
Ｃと鍵Ｄより鍵Ｅを生成し、これをデータベース３２に
保持しておく。また、認証処理が正常終了したとして、
内部の各アプリケーションに処理（例えば後述のデータ
読出処理、書込処理）を引き継ぎ、サービス提供用の画
面を作成し、これを端末２０のブラウザ画面に表示させ
る。なお、サーバ内の鍵Ｅ、カード内の鍵Ｅ、カード内
の「ユーザ認証ＯＫ」、「サーバ認証ＯＫ」の情報も、
各アプリケーションの処理に引き継ぐ。

【００３３】次に、図６〜図８を参照して、認証処理後
のデータ読出処理及び書込処理について説明する。 （４）読出処理（図６） 上述の認証処理終了後、サーバ（各アプリケーション）
３０は、必要に応じて、以下のような手順でカード１０
のユーザデータ領域１５４に記録されているデータの読
出処理を行う。

【００３４】まず、カード読出要求用の電文をデータベ
ース３２に保持してある鍵Ｅで暗号化して暗号化電文を
生成し、さらにこの暗号化電文に認証コードを付加し、
カード読出要求と共にカード１０宛に出力する。端末２
０を通じてこのカード読出要求等を受信したカード１０
は、認証結果保持領域１５２に保持されているユーザ認
証結果とサーバ認証結果の確認を行う。なお、ユーザ認
証結果を要求するかどうかはオプションとする。「ユー
ザ認証ＯＫ」且つ「サーバ認証ＯＫ」の場合は、秘密情
報領域１５１に保持してある鍵Ｅを用いて受信データの
復号化と認証コードの確認とを行い、改竄等の不正行為
がされていないかどうかを確認する。不正行為がないこ
とを確認したときは、ユーザデータ領域１５４からのデ
ータの読出処理を行う。そして、この読み出したデータ
を秘密情報領域１５１に格納されている鍵Ｅで暗号化
し、これにより得られた暗号化データに認証コードを付
加して、サーバ３０に返信する。なお、不正行為が推定
される場合、例えば「ユーザ認証ＯＫ」且つ「サーバ認
証ＯＫ」でない場合は、ＮＧ電文を鍵Ｅで暗号化し、こ
れに認証コードを付加して、サーバ３０に返信する。

【００３５】サーバ３０は、カード１０からの暗号化デ
ータを秘密情報領域１５１の鍵Ｅで復号化するととも
に、認証コードの確認を行う。改竄等の不正行為がされ
ていないこと、カード１０側でデータの読み出しに失敗
していないことを確認できたときは、復号されたデータ
を、必要とするアプリケーションへ引き渡す。読出失敗
や不正があったデータについては、これを廃棄する。

【００３６】（５）書込処理（図７、図８） 上述の認証処理後、サーバ（各アプリケーション）３０
は、必要に応じ、以下のような手順でカード１０内への
データの書込処理を行う。ここでは、サーバ３０及びカ
ード１０内のデータの状態を表すフラグ情報を用いる。
このフラグ情報は、データ状態を識別できれば良いので
任意の値を採用することができるが、本実施形態では、
“０”と“１”の二値データを用いる。初期状態では、
カード１０のフラグ領域１５３とサーバ３０のデータベ
ース３２に記録されているフラグ情報が共に“０”であ
るものとする。

【００３７】図７を参照し、サーバ３０で、フラグ書込
要求電文（フラグ情報“１”の書込要求）を秘密情報領
域１５１の鍵Ｅで暗号化し、これにより得られた暗号化
電文に認証コードを付加してカード１０宛に出力する。
端末２０を通じてこの暗号化電文を受信したカード１０
は、認証結果保持領域１５１に保持されているユーザ認
証結果とサーバ認証結果の確認を行う。「ユーザ認証Ｏ
Ｋ」且つ「サーバ認証ＯＫ」でなければ書き込み不可と
して、ＮＧ電文を生成する。なお、ユーザ認証結果の要
求はオプションとする。一方、「ユーザ認証ＯＫ」且つ
「サーバ認証ＯＫ」であったときは、秘密情報領域１５
１の鍵Ｅを用いて暗号化電文を復号化するとともに、添
付された認証コードの確認を行う。改竄等の不正行為が
為されていないことを確認できたときは、カード内のデ
ータの書込処理を行うとともに、フラグ領域１５３のフ
ラグ情報を“１”に更新する。また、ＮＧ電文または書
込結果を表す電文を鍵Ｅで暗号化し、さらにこの暗号化
電文に認証コードを付加してサーバ３０宛に出力する。

【００３８】サーバ３０は、カード１０からの暗号電文
をデータベース３２内の鍵Ｅを用いて復号化するととも
に認証コードの確認を行う。ＮＧであれば書込失敗と
し、所要の処理を行う。一方、改竄等の不正行為が為さ
れていないこと、データ書込に失敗していないことを確
認できたときは、図８の処理に移行し、データベース３
２に、カード１０への書込対象となったデータの書き込
みとその書込処理が正常に終了したことを表すフラグ情
報（＝“１”）の更新とを行う。また、カード１０への
データ書込要求電文（データと、フラグ情報“０”の書
込要求）を鍵Ｅで暗号化して暗号化電文を生成し、これ
に認証コードを付加して、カード書込要求と共にカード
１０宛に出力する。

【００３９】端末２０を通じてこの暗号化電文等を受信
したカードは、認証結果保持領域１５２のユーザ認証結
果とサーバ認証結果の確認を行う。「ユーザ認証ＯＫ」
且つ「サーバ認証ＯＫ」でなければ書込不可とし、ＮＧ
電文を生成する。なお、ユーザ認証結果要求はオプショ
ンとする。「ユーザ認証ＯＫ」且つ「サーバ認証ＯＫ」
の場合、カード１０は、秘密情報領域１５１の鍵Ｅを用
いて暗号化電文の復号化と認証コードの確認とを行う。
改竄等の不正行為が為されていないことを確認できたと
きは、ユーザデータ領域１５４へのデータの書き込みと
フラグ領域１５３へのフラグ情報“０”の更新とを行
う。また、データ書込結果を表す電文またはＮＧ電文を
秘密情報領域１５１の鍵Ｅで暗号化し、これに認証コー
ドを付加してサーバ３０宛に出力する。

【００４０】サーバ３０は、カード１０からの暗号化電
文をデータベース３２内の鍵Ｅで復号化するとともに、
認証コードの確認を行う。改竄等の不正行為が為されて
いないこと、カード１０側でデータ書込に失敗していな
いことを確認できれば、次の処理へ移る。一方、不正行
為等が推定される場合は、書き込み失敗と判定し、所要
の処理を行う。

【００４１】（６）カードとサーバのデータの整合 上述のようにして、カード１０とサーバ３０は、認証処
理後に、毎回、フラグ情報のチェックを行う。前述のよ
うに、カード１０とサーバ３０は、書込対象となるデー
タの書込に先立ち、暗号通信によって、フラグ情報
“１”の書込（更新）を行い、その後、データの書込と
フラグ情報“０”の更新とを行っている。従って、両方
のフラグ情報が“０”でなければデータ書込の前に何ら
かの異常があったことを意味するので、必要な復旧処理
を行う。図９は、これらのフラグ情報の状態と、そのと
きのカード１０及びサーバ３０の状態と、復旧のタイミ
ングと復旧処理内容を纏めた図表である。このようにし
てカード１０内のデータとサーバ３０内のデータの状態
とを常に一致させるようにすることで、データ不整合に
よるトラブルを回避することができる。

【００４２】（７）オフライン環境でのカード内データ
の利用 カード１０をオフライン端末４０において利用する際
に、サーバ３０側のデータの状態を確認することができ
ないことは前述のとおりである。そこで、本実施形態で
は、カード１０内のデータをオフライン端末４０で利用
する際に、オフライン端末４０で、その都度、カード１
０のフラグ領域１５３に保持されているフラグ情報をチ
ェックするようにする。前述のように“０”であれば、
図１０に示すように、そのデータに異常がないことを意
味するので、使用可能とする。一方、フラグ情報が
“１”であれば、サーバ３０との整合性がとられていな
いことを意味するので、使用不可能とする。このように
して、間違ったカード１０内のデータを元に処理を行わ
れるのを防いでいる。このデータとフラグ情報は、次回
オンラインで使用する際、サーバとの認証する時に復旧
されることになる。

【００４３】このように、本実施形態のカードシステム
１では、カード認証及びサーバ認証の結果情報、ユーザ
認証を行った場合はその結果情報をそれぞれサーバ３０
に残して、次の処理を行うための実行条件とするように
したので、認証処理の漏れを確実に防ぐことができるよ
うになる。また、各認証結果をカード１０にも残すよう
にしたので、認証後のカード１０への処理に制限を加え
ることができる。

【００４４】また、カード１０とサーバ３０間でダイレ
クトに暗号化通信を行い、セキュリティを確保する上で
重要な情報がその中間に残らないようにしたので、オー
プン且つステートレスなネットワークであるインターネ
ットＬや端末２０における不正を防止することができ
る。端末２０も、小リソースの家庭向けインターネット
端末を用いて本発明を容易に実施できるようになる。同
様に、サーバ３０側のソフトウエアを変更することで、
端末２０のソフトウエアを変更することなく、別のカー
ドに対応できるようになる。

【００４５】また、カード１０内とサーバ３０内の両方
に、データの状態を示すフラグを付け加え、そのフラグ
を確認してデータの整合性をとるようにしたので、デー
タ不整合に伴うトラブルの発生を未然に防止できるよう
になる。特に、カード１０内のフラグを利用すること
で、オンライン（バーチャル）とオフライン（リアル）
の両方でのカード内データの利用が可能になる。例え
ば、オンラインではサーバ３０が、自己のデータの整合
性を容易に判別でき、オフラインでは、オフライン端末
４０が、カード１０内のデータを利用できるかどうかを
自律的に判別できるようになる。

【００４６】なお、本発明は、ＩＣ搭載カードを媒体と
して、情報提供サービス、電子決済、電子チケット、電
子クーポン、ロイヤリティサービスなど、多様なサービ
スをオンライン環境及びオフライン環境で実現するシス
テムにおいて、上記説明と同様の形態で実施することが
可能である。

【００４７】

【発明の効果】以上の説明から明らかなように、本発明
によれば、装置間通信におけるセキュリティ保持と、デ
ータ不整合によるトラブルの発生を未然に防止できると
いう、特有の効果を奏することができる。

【図面の簡単な説明】

【図１】本発明を適用したカードシステムの全体構成
図。

【図２】本実施形態のカードとサーバの詳細構成図。

【図３】本実施形態によるユーザ認証フェーズの処理過
程を示した図。

【図４】本実施形態によるサーバ認証フェーズの処理過
程を示した図。

【図５】本実施形態によるカード認証フェーズの処理過
程を示した図。

【図６】本実施形態による読出処理の過程を示した図。

【図７】本実施形態による書込処理の過程を示した図。

【図８】本実施形態による書込処理の過程を示した図
（図７の続き）。

【図９】本実施形態によるカードとサーバのデータの整
合の取り方を示した図表。

【図１０】フラグ情報とデータとの関係を示した図表。

【符号の説明】

１ カードシステム １０ カード １１ インタフェース部 １２１ カードの認証処理部 １２２ メモリ制御部 １２３ カードのデータ処理部 １５１ 秘密情報領域 １５２ 認証結果保持領域 １５３ フラグ領域 １５４ ユーザデータ領域 ２０（２１，２２） 仲介装置として機能する端末 ３０ サーバ ３１ 通信機構 ３２ データベース ３３ サーバの認証処理部 ３４ サーバのデータ処理部 ４０ オフライン端末

フロントページの続き (72)発明者 鍵山 俊二 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 (72)発明者 天羽 敬司 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 Ｆターム(参考） 5B035 AA13 BB09 BC00 CA06 CA23 CA25 CA29 CA38 5B085 AE12 AE23 BG07 5J104 AA07 KA01 KA04 NA06 NA35 PA07

Claims (11)

【特許請求の範囲】
1. 【請求項１】 双方向通信可能な形態で接続された第１
   装置と第２装置との間で相互認証を行うとともに、両装
   置の相互認証の結果情報を互いに保持しあって第１装置
   及び第２装置の少なくとも一方における後続通信処理の
   実行条件として用いることを特徴とする、通信方法。
2. 【請求項２】 双方向通信可能な形態で接続された第１
   装置と第２装置との間で相互認証を行い、両装置の相互
   認証の結果情報を互いに保持しあって第１装置及び第２
   装置の一方から他方へのデータアクセス条件として用い
   るとともに、各装置が保有するデータが同一状態である
   ことを表すフラグ情報を保持しあうことを特徴とする、
   通信方法。
3. 【請求項３】 利用者認証を行うとともに、この利用者
   認証の結果情報を前記相互認証の結果情報と共に第１装
   置及び第２装置で保持しあい、各結果情報を前記相互認
   証の結果情報と共に前記後続通信処理の実行条件として
   用いることを特徴とする、 請求項１または２記載の通信方法。
4. 【請求項４】 前記第１装置は利用者の固有情報が記録
   されたＩＣ搭載カードであり、前記第２装置と所定の媒
   介装置を通じて暗号通信を行うものであることを特徴と
   する、請求項１、２または３記載の通信方法。
5. 【請求項５】 ＩＣ搭載カード、情報提供システム、前
   記ＩＣ搭載カードと情報提供システムとを双方向通信可
   能な形態で接続するための仲介装置を含んで成り、 前記ＩＣ搭載カードと前記情報提供システムは、それぞ
   れ、 前記仲介装置を介して相手側との間で相互認証を行うと
   ともに自己及び相手側の相互認証の結果情報を保持する
   相互認証手段と、 前記結果情報をもとに相互認証後の後続通信処理の実行
   可否を判定する判定手段とを有することを特徴とする、
   カードシステム。
6. 【請求項６】 ＩＣ搭載カード、情報提供システム、前
   記ＩＣ搭載カードと情報提供システムとを双方向通信可
   能な形態で接続するための仲介装置を含んで成り、 前記ＩＣ搭載カードと前記情報提供システムは、それぞ
   れ、 前記仲介装置を介して相手側との間で相互認証を行うと
   ともに自己及び相手側の相互認証の結果情報を保持する
   相互認証手段と、 前記結果情報をもとに相互認証後の後続通信処理の実行
   可否を判定する判定手段と、 この判定手段による判定結果が肯定的であるときに自己
   及び相手側が各々保有するデータの状態を表すフラグ情
   報を同一の値にさせるデータ処理手段とを有することを
   特徴とする、カードシステム。
7. 【請求項７】 ＩＣ搭載カード、情報提供システム、前
   記ＩＣ搭載カードと情報提供システムとを双方向通信可
   能な形態で接続するための仲介装置を含んで成り、 前記情報提供システムは、 前記仲介装置を介して前記ＩＣ搭載カードとの間で相互
   認証を行うとともに自己及び前記ＩＣ搭載カード側の相
   互認証の結果情報を保持する相互認証手段と、 前記認証結果情報が正当であるときに自己が保有するデ
   ータの前記ＩＣ搭載カードへの書込指示を与えるデータ
   処理手段とを有し、 該データ処理手段は、 前記ＩＣ搭載カードに対して当該カードが保有するデー
   タの状態を表すフラグ情報を第１の値にさせ、前記第１
   の値になったことを確認したときに自己が保有するデー
   タの状態を表すフラグ情報を第１の値にするとともに書
   込対象データを当該ＩＣ搭載カード宛に送信し、当該カ
   ードでデータ記録と前記フラグ情報を第２の値に更新し
   たことを確認したときに自己の前記フラグ情報を第２の
   値に更新するように構成されていることを特徴とする、
   カードシステム。
8. 【請求項８】 前記ＩＣ搭載カードと情報提供システム
   が互いに同一の鍵情報を持ち合い、前記ＩＣ搭載カード
   と情報提供システムの一方側が独自に生成して他方側に
   伝えた秘密情報と前記鍵情報とに基づき他方側が生成し
   た認証情報と前記一方側が前記秘密情報と前記鍵情報と
   に基づき生成した認証情報との照合を行うことにより、
   前記仲介装置の関与を排した直接認証処理を行うことを
   特徴とする、 請求項５、６または７記載のカードシステム。
9. 【請求項９】 認証手段を有する相手側装置と双方向且
   つ仲介装置の関与を排した形態で通信を行う装置であっ
   て、 前記相手側装置との間で相互認証を行うとともに自装置
   及び相手側装置の相互認証の結果情報を保持する相互認
   証手段と、 前記結果情報をもとに相互認証後の後続通信処理の実行
   可否を判定する判定手段とを有することを特徴とする、
   情報処理装置。
10. 【請求項１０】 認証手段を有する相手側装置と双方向
    且つ仲介装置の関与を排した形態で通信を行う装置であ
    って、 前記相手側装置との間で相互認証を行うとともに自装置
    及び相手側装置の相互認証の結果情報を保持する相互認
    証手段と、 前記結果情報をもとに相互認証後の後続通信処理の実行
    可否を判定する判定手段と、 この判定手段による判定結果が肯定的であるときに自己
    が保持するデータとの同一性を表すフラグ情報を前記相
    手側装置に生成させる手段とを有することを特徴とす
    る、情報処理装置。
11. 【請求項１１】 前記相互認証手段は、それぞれ相手側
    装置と共通の鍵情報を持ち合い、この鍵情報と自装置が
    独自に生成して伝えた秘密情報とに基づき相手側が生成
    した認証情報と自装置が前記秘密情報と鍵情報とに基づ
    き生成した認証情報との照合を行うとともに、先に保持
    してある前記結果情報が正当の場合に新たな鍵情報を生
    成することを特徴とする、 請求項９または１０記載の情報処理装置。