JP2001516907A - How to load commands to the terminal security module - Google Patents
How to load commands to the terminal security moduleInfo
- Publication number
- JP2001516907A JP2001516907A JP2000511281A JP2000511281A JP2001516907A JP 2001516907 A JP2001516907 A JP 2001516907A JP 2000511281 A JP2000511281 A JP 2000511281A JP 2000511281 A JP2000511281 A JP 2000511281A JP 2001516907 A JP2001516907 A JP 2001516907A
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- security module
- instructions
- instruction
- script file
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07F—COIN-FREED OR LIKE APPARATUS
- G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
- G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
- G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
- G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
- G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
- G06Q20/355—Personalisation of cards for use
- G06Q20/3552—Downloading or loading of personalisation data
Abstract
(57)【要約】 【課題】 端末（１）の安全保障モジュール（２）に命令（Ｃ1 、Ｃ2 、…）をローディングする方法が開示されている。該方法は、ステーション（４）が命令（Ｃ1 〜Ｃn ）を端末（１）に転送し、該端末（１）が命令（Ｃ1 〜Ｃn ）を安全保障モジュール（２）に転送し、該安全保障モジュール（２）が命令（Ｃ1 〜Ｃn ）を実行し、端末（１）が実行された命令（Ｃ1 〜Ｃn ）の実際の結果（Ｒ 1 ’〜Ｒn ’）を選択的に記録し、および転送手段（３）が結果（Ｒ1 ’〜Ｒn’）をステーション（４）に転送し返す各ステップからなっている。命令は関連する予期された結果（たとえばＲ1 ）を有し、端末（１）がこれを実際の結果（たとえばＲ1 ’）と比較する。これにより、命令によってデータを安全保障モジュール（２）にフレキシブルにロードするとともに、安全保障モジュールの機能をリモート・チェックすることもできる。 (57) [Summary] PROBLEM TO BE SOLVED: To issue a command (C) to a security module (2) of a terminal (1).1 , CTwo , ...) are disclosed. The method is such that station (4) receives the command (C1 ~ Cn ) Is transferred to the terminal (1), and the terminal (1) issues an instruction (C1 ~ Cn ) To the security module (2), and the security module (2)1 ~ Cn ), And the terminal (1) executes the executed instruction (C1 ~ Cn ) Actual result (R 1 ’-Rn ′) And the transfer means (3) records the result (R1 ’-Rn') To the station (4). The instruction has an associated expected result (eg, R1 ), And terminal (1) reports this to the actual result (eg, R1 ’). This makes it possible to flexibly load data into the security module (2) according to an instruction, and to remotely check the function of the security module.
Description
【０００１】[0001]
本発明は端末の安全保障モジュールへのコマンドのローディング方法に関する
ものである。さらに詳しくは、コマンドの実行によって端末を操作するスマート
カードの安全保障モジュールへのデータの制御されたローディングに関するもの
である。The present invention relates to a method for loading a command into a security module of a terminal. More particularly, it relates to the controlled loading of data into a security module of a smart card that operates a terminal by executing a command.
【０００２】[0002]
自動販売機や公衆電話のような端末は、しばしば、慣用データを安全にストア
するため、安全保障モジュールを含んでいる。そのような支払いデータは、たと
えば、端末が使われていた回数や、特定の端末で消費者によって使われた金額や
、電話が使われたメーター・パルス数などである。通常、悪用に対して機械的お
よび／または電気的に保護されている安全保障モジュールは、支払いデータを登
録し、かつ、キーをストアするための（カウンターやＥＥＰＲＯＭのような）電
子メモリー手段からなる。安全保障モジュールは、さらに、慣用データのような
処理データに対する処理手段からなる。そのような処理手段は普通、安全保障モ
ジュールにストアされるコマンドからなるプログラムを走らせるマイクロプロセ
ッサからなる。その処理はしばしば、不正手段を避けるため、慣用データの暗号
解読保護からなる。ある安全保障モジュールとその使用の例が、本願明細書にお
いて参考文献として取り入れられている米国特許第５，５７２，００４号に開示
されている。Terminals, such as vending machines and pay phones, often include security modules to securely store customary data. Such payment data may include, for example, the number of times a terminal has been used, the amount spent by a consumer on a particular terminal, and the number of meter pulses that a phone has used. Typically, security modules that are mechanically and / or electrically protected against abuse comprise electronic memory means (such as counters or EEPROMs) for registering payment data and storing keys. . The security module further comprises processing means for processing data such as conventional data. Such processing means usually consists of a microprocessor running a program of commands stored in the security module. The process often consists of the decryption protection of conventional data in order to avoid fraudulent means. An example of one security module and its use is disclosed in US Pat. No. 5,572,004, which is incorporated herein by reference.
【０００３】 たとえば、新しい機能を付加するため、あるいは現行機能を修正するため、安
全保障モジュールにストアされたデータを更新することが、たびたび必要である
。データは命令を使って付加されあるいは変更され、その実行は所望の付加や変
更をもたらす。しかし、付加と変更の機能は確認する必要がある。安全保障モジ
ュールはしばしば金銭データやそれと同等のデータをストアするので、このこと
は特に重要である。For example, it is often necessary to update data stored in a security module to add new functions or modify existing functions. Data is added or modified using instructions, and its execution results in the desired addition or modification. However, the functions of addition and change need to be confirmed. This is particularly important since security modules often store monetary data or equivalent.
【０００４】 こうして、そのような新データを安全保障モジュール内にロードし、その結果
を確認することを可能にする必要性、すなわちそのデータによってもたらされる
数々の修正を行う適正な機能が生じる。実際には、多くの異なった場所で安全保
障モジュールに変化をもたらすことが必要で、それらの安全保障モジュールの機
能を確認することは一つの問題を生じる。従来技術はこの問題に対する解決法を
提供していない。[0004] Thus, the need arises to be able to load such new data into the security module and confirm the result, ie the proper function of making the numerous corrections caused by that data. In practice, it is necessary to make changes to security modules in many different places, and confirming the function of those security modules raises one problem. The prior art does not provide a solution to this problem.
【０００５】 米国特許第４，９７２，４７８号は外部プログラム装置に接続された暗号解読
回路を開示している。そのプログラム装置は、暗号解読回路が正確にその暗号ア
ルゴリズムを行うか確認するための実行テストを行う。この実行テストがどのよ
うに行われ、どの結果が外部プログラム装置に転送されるかは、開示されていな
い。該特許はスマートカード作動端末については扱っていない。US Pat. No. 4,972,478 discloses a decryption circuit connected to an external program device. The program device performs an execution test to confirm whether the decryption circuit correctly performs the encryption algorithm. It is not disclosed how this execution test is performed and which results are transferred to an external program device. The patent does not deal with smart card operated terminals.
【０００６】 米国特許第５，４９５，５７１号は機能プログラム・インタフェースをパラメ
ーター・テストするための方法を開示している。あるテスト計画が異なるパラメ
ーター値をもつ機能を呼び出し、その機能が適切なエラーコードを生ずるかどう
かテストする。該特許はデータと命令の制御されたローディングについては使っ
ていない。また、スマートカード作動端末についても扱っていない。US Pat. No. 5,495,571 discloses a method for parameter testing a functional program interface. A test plan calls a function with different parameter values and tests whether the function produces the appropriate error code. The patent does not use controlled loading of data and instructions. Nor does it deal with smart card-enabled terminals.
【０００７】[0007]
本発明の目的は、前記および他の従来技術の欠点を克服し、端末の安全保障モ
ジュールにデータをロードし、そのデータを使って命令の適正機能を確認させる
方法を提供することにある。さらに本発明の目的は、安全保障モジュールをリモ
ート機能チェックさせる方法を提供することにある。本発明の他の目的は、命令
に関して端末を透明にさせる方法を提供することにある。SUMMARY OF THE INVENTION It is an object of the present invention to provide a method of overcoming the above and other disadvantages of the prior art and loading data into a security module of a terminal and using the data to verify the proper functioning of an instruction. It is a further object of the present invention to provide a method for remotely checking a security module. It is another object of the present invention to provide a method for making a terminal transparent with respect to commands.
【０００８】[0008]
従って本発明は、端末の安全保障モジュールに命令をローディングする方法を
提供するものであり、該方法は、 ステーションが転送手段を経て命令を端末に転送し、 端末が該命令を安全保障モジュールに転送し、 安全保障モジュールが該命令を実行し、 端末が該実行された命令の結果を記録し、および 転送手段が該結果をステーションに転送する 各ステップからなる。Accordingly, the present invention provides a method of loading a command into a security module of a terminal, wherein the station transfers the command to the terminal via a transfer means, and the terminal transfers the command to the security module. The security module executes the command, the terminal records the result of the executed command, and the transfer means transfers the result to the station.
【０００９】 ステーションは、リモート端末管理局であり得る。転送手段は、たとえば電話
線、あるいは端末に挿入される（特殊目的）カードであり得る。 実行された命令の結果を記録することによって、安全保障モジュールの適正機
能をリモートチェックし得る。好ましくは、命令はスクリプト・ファイルの一部
として端末に転送され、端末はスクリプト・ファイルから各命令を引き出して安
全保障モジュールに送る。好適にも、スクリプト・ファイルは結果を選択記録さ
せる情報を含んでいる。すなわち、ある命令の結果は記録するが、他の命令の結
果は記録しない。これにより、前の命令を適正に実行するが、他の命令（たとえ
ば、その結果が予測できない命令）は制限を加えないでロードすることを要求す
ることによって、ある命令を安全保障モジュールにローディングするのを制限し
得る。 端末は実質的に命令を安全保障モジュールに転送するだけなので、それらの命
令に関して実際上透明である。これにより、端末は実質的に使われる特定の安全
保障モジュールに対して依存しない。[0009] The station may be a remote terminal management station. The transfer means may be, for example, a telephone line or a (special purpose) card inserted into the terminal. By recording the results of the executed instructions, the proper functioning of the security module can be remotely checked. Preferably, the instructions are transferred to the terminal as part of a script file, and the terminal extracts each instruction from the script file and sends it to the security module. Preferably, the script file contains information to selectively record the results. That is, the result of one instruction is recorded, but the result of another instruction is not recorded. This loads one instruction into the security module by requiring the previous instruction to execute properly, but requiring that other instructions (eg, those with unpredictable results) be loaded without restriction. Can be restricted. The terminal is practically transparent with respect to those instructions, since the terminal essentially only forwards the instructions to the security module. Thus, the terminal is substantially independent of the particular security module used.
【００１０】[0010]
図１において、端末１は遠隔通信リンク３を経てステーション（端末管理セン
ター）４に接続されている。後述するように、ステーション４はスクリプト・フ
ァイルを作り、かつ、端末１の機能を確認するために使われる。端末１は少なく
とも１つの安全保障モジュール２からなり、該モジュール２は端末１が正常に使
われている間、スマート・カード５と通信する。端末１はさらに、関連したメモ
リー（ＲＡＭおよび／またはＲＯＭ）７に接続されたプロセッサー６、Ｉ／Ｏ（
入出力）ユニット８、および安全保障モジュール２からなっている。Ｉ／Ｏユニ
ットは遠隔通信リンク３に接続され、該リンクはたとえば公衆電話網の加入者線
（ＰＳＴＮ）、あるいはコンピュータ・ネットワークのリンクである。In FIG. 1, a terminal 1 is connected to a station (terminal management center) 4 via a telecommunication link 3. As will be described later, the station 4 is used for creating a script file and confirming the function of the terminal 1. The terminal 1 comprises at least one security module 2, which communicates with the smart card 5 while the terminal 1 is in normal use. The terminal 1 further comprises a processor 6 connected to an associated memory (RAM and / or ROM) 7, an I / O (
Input / output) unit 8 and security module 2. The I / O unit is connected to a telecommunications link 3, for example a public switched telephone network subscriber line (PSTN) or a computer network link.
【００１１】 安全保障モジュール２はプロセッサー、メモリー、Ｉ／ＯユニットおよびＩＣ
カード（スマートカード）５とインタフェースするための関連カード・リーダー
／ライター（図示せず）からなっていて、通常、物理的および／または暗号解読
上保護されており、たとえば金銭収支のような取引データを、端末の使用に関し
て安全にストアする。本明細書全体を通して安全保障モジュールについて述べる
が、本発明は、安全保障モジュールが処理・ストア手段をもつ他のユニットに置
き換えられた端末にも適用できることが理解されるであろう。The security module 2 includes a processor, a memory, an I / O unit, and an IC.
It comprises an associated card reader / writer (not shown) for interfacing with a card (smart card) 5 and is usually physically and / or cryptographically protected, for example transaction data such as a financial account. Is stored securely for terminal use. Although the security module is described throughout this specification, it will be understood that the invention is also applicable to terminals in which the security module has been replaced by another unit having processing and storage means.
【００１２】 命令を安全保障モジュール２内にロードし、本発明のように命令の適正機能を
チェックする可能性を持ちながら命令を実行するために、スクリプト・ファイル
がステーション４内に作られる。スクリプト・ファイルは、図２で説明するが、
ロードされ実行される命令を含んでいるため、安全保障モジュール２へ、および
／または該モジュールから、データを転送する。好ましくは、端末１は命令の源
を確認する。すなわち、端末は命令がステーション４によって作られたか、ある
いは少なくともステーション４から送られたかどうかをチェックする。安全保障
モジュールの内容の不正な書き換えを防止するために行われるこの確認は、受け
取ったＭＡＣ（メッセージ認証コード）を端末が計算したＭＡＣと比較すること
によってなされ得る。このような確認手続きは当業者に周知である。A script file is created in station 4 to load the instructions into security module 2 and execute the instructions with the potential to check the proper functioning of the instructions as in the present invention. The script file is described in FIG.
Transfers data to and / or from the security module 2 because it contains instructions to be loaded and executed. Preferably, the terminal 1 checks the source of the command. That is, the terminal checks whether the command was made by the station 4 or at least sent from the station 4. This check, which is performed to prevent unauthorized rewriting of the contents of the security module, can be made by comparing the received MAC (message authentication code) with the MAC calculated by the terminal. Such a verification procedure is well known to those skilled in the art.
【００１３】 図２に示すように、スクリプト・ファイル１０は１つのヘッダーといくつかの
レコードを有している。各レコードは型フィールドＴi （例、Ｔ1 ）、命令フィ
ールドＣi （例、Ｃ1 ）および結果フィールドＲi （例、Ｒ1 ）からなっている
。結果フィールドＲi は後述するように、空である。命令は慣用データを暗号化
するためのキーのような、安全保障モジュールのメモリー内に書き込まれるデー
タを含む。また命令は、安全保障モジュール２によって実行される指示も含む。
命令Ｃi （ｉ＝１〜４、図２で）の適切なフォーマットは、たとえばＩＳＯ７８
１６−４規格に開示されている。As shown in FIG. 2, the script file 10 has one header and several records. Each record consists of a type field T i (eg, T 1 ), an instruction field C i (eg, C 1 ), and a result field R i (eg, R 1 ). The result field Ri is empty, as described below. The instructions include data to be written into the memory of the security module, such as a key for encrypting conventional data. The instructions also include instructions executed by the security module 2.
A suitable format for the instruction C i (i = 1 to 4, in FIG. 2) is, for example, ISO 78
It is disclosed in the 16-4 standard.
【００１４】 型フィールドＴi は異なる型の命令を識別する。本発明において、３つの異な
る型の命令が識別できるので、端末によって３つの異なる型の命令を扱える。 第１の型の命令は関連する予期された結果あるいは応答Ｒをもつ。この型の命
令は、好ましくは１つずつ安全保障モジュール内にロードされ、端末は実際の結
果Ｒi ’と予期される結果Ｒi とを比較する。もし、食い違い、すなわちＲi と
Ｒi ’の間に不一致が生じたら、ローディングを中止する。この型の命令を使っ
て、安全保障モジュールの制御されたローディングを行うことができ、そのロー
ディングの間、適正機能をチェックすることができる。The type field T i identifies different types of instructions. In the present invention, since three different types of instructions can be identified, three different types of instructions can be handled by the terminal. The first type of instruction has an associated expected result or response R. This type of instruction is preferably loaded into the one at the security module, the terminal compares the result R i expected and actual results R i '. If there is a discrepancy, ie a mismatch between R i and R i ′, the loading is stopped. This type of instruction can be used to perform a controlled loading of the security module and check its proper functioning during the loading.
【００１５】 第２の型の命令は予期された応答には伴わない（すなわち、結果フィールドＲ i は完）。しかし、端末は好ましくは実際の応答を登録する。この型の命令は、
特に未知の安全保障モジュール（前もって応答が完全にわからない）が使われた
場合、安全保障モジュールのテストを行わせ得る。その結果は、後から集められ
るログ・ファイル内に入れられる。こうして、命令のオフライン処理ができる。The second type of instruction does not accompany the expected response (ie, the result field R i Is complete). However, the terminal preferably registers the actual response. This type of instruction
In particular, an unknown security module was used (the response was not completely known in advance)
If so, the security module may be tested. The results are collected later
Log files. Thus, the instruction can be processed off-line.
【００１６】 第３の型の命令は安全保障モジュール内にロードされ、その結果を考慮に入れ
ないで実行される。すなわち、この型の命令の結果は端末に登録されない。 これらの命令の上記結果はメモリー内容、ステータス（たとえば、失敗した書
き込み操作を示す）、および／またはスマート・カード命令からなることが理解
されるであろう。これらの結果はこうして安全保障モジュールへ、および／また
は該モジュールからのデータ転送をもたらす。A third type of instruction is loaded into the security module and executed without regard to the result. That is, the result of this type of instruction is not registered in the terminal. It will be appreciated that the above results of these instructions consist of memory contents, status (eg, indicating a failed write operation), and / or smart card instructions. These results thus result in data transfer to and / or from the security module.
【００１７】 上に説明したように、端末はスクリプト・ファイルから命令を引き出して、安
全保障モジュールに送る。端末は命令に関して受動的であるが、スクリプト・フ
ァイルに関しては能動的であり、そこから命令を引き出し、スクリプト・ファイ
ルに含まれている型フィールドから操作モード（チェック結果／ノーチェック）
を派生する。こうしてスクリプト・ファイルは、それに関して端末の機能に影響
を与える情報と、そこから派生する命令を含んでいる。As described above, the terminal extracts the instructions from the script file and sends them to the security module. The terminal is passive with respect to the instructions, but active with respect to the script file, derives the instructions from it and operates from the type field contained in the script file (check result / no check)
Is derived. Thus, the script file contains information that affects the terminal's function and the instructions derived therefrom.
【００１８】 スクリプト・ファイルは唯一つの命令からも成り立ち得る。しかし、スクリプ
ト・ファイルの大きさは可変で、端末内で利用できるメモリーの量によってのみ
、その大きさが制限される。 また、スクリプト・ファイルは圧縮された形で、および／または暗号解読に対
して保護された形で命令を含んでいる。A script file can also consist of only one instruction. However, the size of the script file is variable and its size is limited only by the amount of memory available in the terminal. Also, the script file may contain instructions in a compressed form and / or in a form that is protected against decryption.
【００１９】 図３にいわゆるログ・ファイルの一例を示す。ファイル２０は一つのヘッダー
といくつかのデータ・フィールドからなっている。データ・フィールドにおいて
、命令の実際の結果が処理（結果のロギング）の間、あるいはその後、ストアさ
れる。データ・フィールドは第１実行命令の第１結果Ｒ1 ’と第２実行命令の第
２結果Ｒ2 ’を含んでいる。ステーション４（図１）あるいは他のデバイスにお
いて、これらの実際の結果Ｒi ’は予期された結果Ｒi と比較され、あるいは他
の方法で処理される。FIG. 3 shows an example of a so-called log file. The file 20 has one header and several data fields. In the data field, the actual result of the instruction is stored during or after processing (result logging). The data field contains a first result R 1 ′ of the first execution instruction and a second result R 2 ′ of the second execution instruction. At station 4 (FIG. 1) or another device, these actual results R i ′ are compared with the expected results R i or otherwise processed.
【００２０】 図４に、本発明の方法の一実施例よりなるフローチャートを示す。「開始」と
示された初期ステップ１００において、命令あるいは命令を含むスクリプト・フ
ァイルがステーション４から端末１（図１）の安全保障モジュール２へ転送され
る。 ステップ１０１で、その命令が、たとえばスクリプト・ファイルから引き出す
ことによって、安全保障モジュール２のプロセッサー内にロードされる。ステッ
プ１０２で、安全保障モジュールが命令のメッセージ認証コードを再計算し、そ
の結果を実際の（再計算された）コードＭＡＣ’とする。ステップ１０３で、こ
の実際のコードＭＡＣ’が受け取られたコードＭＡＣと比較される。ＭＡＣ’＝
ＭＡＣであれば、受け取られたコードＭＡＣは「真」と判断され、ステップ１０
４に進む。ＭＡＣ’≠ＭＡＣであれば、適当な出口ルーチン（図示せず）を経て
フローが外に出る。そしてエラー・メッセージを発生する。FIG. 4 shows a flowchart according to an embodiment of the method of the present invention. In an initial step 100 labeled "Start", the instructions or script file containing the instructions are transferred from the station 4 to the security module 2 of the terminal 1 (FIG. 1). In step 101, the instructions are loaded into the processor of the security module 2, for example by extracting them from a script file. At step 102, the security module recalculates the message authentication code of the instruction and sets the result as the actual (recalculated) code MAC '. In step 103, this actual code MAC 'is compared with the received code MAC. MAC '=
If it is a MAC, the received code MAC is determined to be "true" and step 10
Proceed to 4. If MAC ′ ≠ MAC, the flow exits through a suitable exit routine (not shown). Then an error message is generated.
【００２１】 ステップ１０４で、命令の型Ｔi （図２）を読み取ることによってその型が決
定され、一時的にストアされる。次にステップ１０５で、命令Ｃi が安全保障モ
ジュールによって実行され、その結果Ｒi ’が一時的にストアされる。 ステップ１０６〜１０８で、安全保障モジュールはその結果を処理すべきかど
うか、また、いかに処理すべきかを決定する。In step 104, the type of the instruction is determined by reading the type T i (FIG. 2) and temporarily stored. Next, at step 105, the instruction C i is executed by the security module, so that R i ′ is temporarily stored. In steps 106-108, the security module determines whether and how to process the result.
【００２２】 ステップ１０６で、型がＩ（第１の型）に等しければ、ステップ１１２に進み
、予期された結果Ｒi がスクリプト・ファイル（図２）から読み取られ、ステッ
プ１１３で実際の結果Ｒi と比較される。ステップ１１３で、Ｒi ’＝Ｒi なら
、ステップ１０９に進み、Ｒi ’≠Ｒi （不適な結果）なら、フローの外に出る
。型がＩに等しくなければ、ステップ１０７に進む。At step 106, if the type is equal to I (the first type), then proceed to step 112, where the expected result R i is read from the script file (FIG. 2) and at step 113 the actual result R is compared to i . In step 113, if R i ′ = R i, go to step 109, and if R i ′ ≠ R i (inappropriate result), go out of the flow. If the type is not equal to I, go to step 107.
【００２３】 ステップ１０７で、型がＩＩ（第２の型）に等しければ、ステップ１１４に進
み、実際の結果Ｒi ’が、たとえば図３のログ・ファイル内に登録される。型が
ＩＩに等しくなければ、ステップ１０８に進む。 ステップ１０８で、型がＩＩＩ（第３の型）に等しければ、ステップ１０９に
進む。型がＩＩＩに等しくなければ（不適な結果）、フローの外に出る。In step 107, if the type is equal to II (the second type), proceed to step 114, where the actual result R i ′ is registered, for example, in the log file of FIG. If the type is not equal to II, go to step 108. If the type is equal to III (third type) in step 108, the process proceeds to step 109. If the type is not equal to III (inappropriate result), exit the flow.
【００２４】 ステップ１０９と１１０において、安全保障モジュールはスクリプト・ファイ
ルの最後にやってきたかどうかチェックする。ステップ１１０で、ファイルの最
後が検知されれば、ステップ１１１でたとえば（もし適切なら）ログ・ファイル
を閉じて送信することにより、手続きが終了する。まだ、スクリプト・ファイル
の最後にやってきていなければ、ステップ１０１にもどり、その次の命令につい
て処理を行う。 個々の命令の型に依存して命令の結果を処理することにより、単一のスクリプ
ト・ファイルの命令を選択的に処理することができる。In steps 109 and 110, the security module checks whether it has arrived at the end of the script file. If the end of the file is detected at step 110, the procedure ends at step 111, for example, by closing and transmitting the log file (if appropriate). If it has not arrived at the end of the script file, the process returns to step 101 to process the next command. By processing the results of the instructions depending on the type of each instruction, the instructions of a single script file can be selectively processed.
【００２５】 以上説明した手続きは、例示のためにのみなされたことが理解されるであろう
。こうして、メッセージ認証コードあるいは他のあらゆるデータ保護コードのチ
ェックが、ステップ１０２と１０３に説明されているような再計算の代わりにコ
ードの逆算を行うことによって遂行され得る。実行された命令の結果は、好まし
くは、安全保障モジュールのメモリー内にストアすることにより、登録される。
あるいは、それらの結果は端末のメモリー７内にストアされ得る。ログ・ファイ
ルはステーション４に送信される前に、あるいはスマート・カード５に転送され
る前に、端末のメモリー７内にストアされ得る。スクリプト・ファイルも端末の
メモリー７内にストアれ得て、各コマンドは上記手続きのステップ１０１で安全
保障モジュール内にロードされる。It will be appreciated that the procedures set forth above have been taken by way of example. Thus, a check of the message authentication code or any other data protection code may be performed by performing a back calculation of the code instead of a recalculation as described in steps 102 and 103. The result of the executed instruction is registered, preferably by storing it in the memory of the security module.
Alternatively, the results may be stored in the memory 7 of the terminal. The log file may be stored in the terminal's memory 7 before being sent to the station 4 or before being transferred to the smart card 5. A script file may also be stored in the memory 7 of the terminal, and each command is loaded into the security module in step 101 of the above procedure.
【００２６】 以上説明したように、本発明の方法によれば、安全保障モジュール内へデータ
をフレキシブルにロードすることができるとともに、安全保障モジュールの機能
をリモート・チェックすることもできる。 上記実施例は例示のためだけに説明されたもので、本発明の範囲から逸脱する
ことなく多くの変形と付加を施すことが可能であると、当業者には理解されるで
あろう。As described above, according to the method of the present invention, data can be flexibly loaded into the security module, and the function of the security module can be remotely checked. The above embodiments have been described by way of example only, and it will be understood by those skilled in the art that many modifications and additions may be made without departing from the scope of the invention.
【図１】 本発明の方法で用いられる端末のブロック図。FIG. 1 is a block diagram of a terminal used in the method of the present invention.
【図２】 ロードされる命令を含むスクリプト・ファイルの構造例を示す図。FIG. 2 is a diagram showing an example of the structure of a script file including instructions to be loaded.
【図３】 命令の結果を含むログ・ファイルの構造例を示す図。FIG. 3 is a diagram showing an example of the structure of a log file including a result of an instruction.
【図４】 本発明による安全保障モジュール内の命令処理を表すフローチャート図。FIG. 4 is a flowchart showing an instruction process in the security module according to the present invention.
１ 端末 ２ 安全保障モジュール ３ 遠隔通信リンク ４ ステーション ５ スマートカード ６ プロセッサー ７ メモリー １０ スクリプト・ファイル ２０ ログ・ファイル DESCRIPTION OF SYMBOLS 1 Terminal 2 Security module 3 Telecommunication link 4 Station 5 Smart card 6 Processor 7 Memory 10 Script file 20 Log file
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.7 識別記号 ＦＩ テーマコート゛(参考） Ｈ０４Ｌ 9/10 Ｈ０４Ｍ 3/42 Ｚ Ｈ０４Ｍ 3/42 11/00 ３０１ 11/00 ３０１ Ｈ０４Ｌ 9/00 ６２１Ｚ (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ， ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＫＥ，ＬＳ，ＭＷ，Ｓ Ｄ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＵ ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＮ， ＣＵ，ＣＺ，ＦＩ，ＧＥ，ＧＨ，ＨＵ，ＩＬ，ＩＳ，Ｊ Ｐ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ ，ＬＳ，ＬＴ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ， ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＲＯ，ＲＵ，ＳＤ，ＳＧ，Ｓ Ｉ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ ，ＵＺ，ＶＮ，ＹＵ，ＺＷ (72)発明者 ロムボウト，ウイレム オランダ国 エヌエル−2552 エイチティ ザ ハーグ シーエイ バン ベベレン プレイン 11──────────────────────────────────────────────────続 き Continued on the front page (51) Int.Cl. 7 Identification symbol FI Theme coat ゛ (Reference) H04L 9/10 H04M 3/42 Z H04M 3/42 11/00 301 11/00 301 H04L 9/00 621Z ( 81) Designated countries EP (AT, BE, CH, DE, DK, ES, FI, FR, GB, GR, IE, IT, LU, MC, NL, PT, SE), OA (BF, BJ, CF, CG, CI, CM, GA, GN, ML, MR, NE, SN, TD, TG), AP (GH, KE, LS, MW, SD, SZ, UG, ZW), EA (AM, AZ, BY) , KG, KZ, MD, RU, TJ, TM), AL, AM, AU, AZ, BA, BB, BG, BR, BY, CA, CN, CU, CZ, FI, GE, H, HU, IL, IS, JP, KE, KG, KP, KR, KZ, LC, LK, LR, LS, LT, LV, MD, MG, MK, MN, MW, MX, NO, NZ, PL , RO, RU, SD, SG, SI, SK, SL, TJ, TM, TR, TT, UA, UG, UZ, VN, YU, ZW (72) Inventor Rombout, Willem, Netherlands The Hague CVA Bang Bevelen Plain 11
Claims (10)
令（Ｃ1 〜Ｃn ）を転送し、 端末（１）が該命令（Ｃ1 〜Ｃn ）を安全保障モジュール（２）へ転送し、 安全保障モジュール（２）が該命令（Ｃ1 〜Ｃn ）を実行し、 端末（１）が該実行された命令（Ｃ1 〜Ｃn ）の結果（Ｒ1 ’〜Ｒm ’）を記
録し、そして 転送手段（３）が該結果（Ｒ1 ’〜Ｒm ’）をステーション（４）へ転送する
各ステップからなることを特徴とする端末（１）の安全保障モジュール（２）に
命令（Ｃ1 、Ｃ2 、…）をローディングする方法。1. A station (4) forwards the terminal (1) to the instruction (C 1 -C n) via transfer means (3), the terminal (1) is the command (C 1 -C n) safety security transferred to the module (2), the security module (2) executes the instructions (C 1 -C n), the instruction terminal (1) is the running (C 1 -C n) results (R 1 'to R m '), and the transfer means (3) comprises the steps of transferring the result (R 1 'to R m ') to the station (4). Loading instructions (C 1 , C 2 ,...) Into the security module (2).
（１）に転送され、端末（１）が各命令（Ｃ1 〜Ｃn ）をスクリプト・ファイル
（１０）から引き出して、それらを安全保障モジュール（２）に送る請求項１の
方法。2. The instructions are transferred to a terminal (1) as part of a script file (10), and the terminal (1) extracts each instruction (C 1 -C n ) from the script file (10). , Sending them to the security module (2).
を選択的に記録させる情報（Ｔ1 〜Ｔn ）を含む請求項２の方法。3. The script file (10) stores the results (R 1 ′ to R m ′)
3. The method of claim 2 including information (T 1 -T n ) for selectively recording
で作られる請求項２の方法。4. The method of claim 2, wherein the script file (10) is created in a verification station (4).
予期された結果（たとえばＲ3 ）を含む請求項１の方法。5. The method of claim 1, wherein the script file (10) includes an expected result (eg, R 3 ) of each instruction (eg, C 3 ).
に転送され、端末（１）が予期された結果（たとえばＲ3 ）を実際の結果（Ｒ3 ’）と比較し、、不一致が検知されれば転送を中止する請求項５の方法。6. Each of the instructions (eg C 1 ) is individually assigned to a security module (2).
6. The method of claim 5, wherein the terminal (1) compares the expected result (eg, R 3 ) with the actual result (R 3 ′) and stops the transfer if a mismatch is detected.
求項１の方法。7. The method of claim 1, wherein the transfer means (3) is a telecommunications link, such as a telephone connection.
求項１の方法。8. The method according to claim 1, wherein the transfer means comprises a card inserted into the terminal.
）に転送する前に、該命令がステーション（４）からきたかどうかを確認する請
求項１の方法。9. The terminal (1) transmits instructions (C 1 to C n ) to the security module (2).
2.) The method according to claim 1, wherein it is checked whether the command comes from a station (4) before forwarding to (4).
モジュール（２）からなり、安全保障モジュール（２）が実行された命令（Ｃ1 〜Ｃn ）の結果（Ｒ1 〜Ｒm ）を選択的に登録するために配列されている端子（
１）。10. A processor (6), a memory (I / O) and a security module (2), wherein the security module (2) executes instructions (C 1 -C n ) resulting in instructions (R 1 -C n ). R m ) are selectively arranged in the terminal (
1).
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/EP1997/004963 WO1999013612A1 (en) | 1997-09-09 | 1997-09-09 | Method of loading commands in the security module of a terminal |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2001516907A true JP2001516907A (en) | 2001-10-02 |
Family
ID=8166742
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000511281A Pending JP2001516907A (en) | 1997-09-09 | 1997-09-09 | How to load commands to the terminal security module |
Country Status (7)
| Country | Link |
|---|---|
| EP (1) | EP1013029A1 (en) |
| JP (1) | JP2001516907A (en) |
| AU (1) | AU749396B2 (en) |
| CA (1) | CA2295887A1 (en) |
| HU (1) | HUP0004101A3 (en) |
| IL (1) | IL133954A0 (en) |
| WO (1) | WO1999013612A1 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104834286A (en) * | 2015-03-30 | 2015-08-12 | 北京经纬恒润科技有限公司 | Reprogramming method, reprogramming system, reprogramming device and electronic control unit |
Family Cites Families (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4777355A (en) * | 1986-12-24 | 1988-10-11 | Mitsubishi Denki Kabushiki Kaisha | IC card and system for checking the functionality thereof |
| GB2205667B (en) * | 1987-06-12 | 1991-11-06 | Ncr Co | Method of controlling the operation of security modules |
| FR2638868B1 (en) * | 1988-11-09 | 1990-12-21 | Bull Cp8 | SECURE DOWNLOAD SYSTEM FOR A TERMINAL AND METHOD IMPLEMENTED |
| US4972478A (en) * | 1989-07-03 | 1990-11-20 | Motorola, Inc. | Soft logic cryptographic circuit |
| FR2657445B1 (en) * | 1990-01-25 | 1992-04-10 | Gemplus Card Int | METHOD FOR LOADING APPLICATION PROGRAMS INTO A MICROPROCESSOR MEMORY CARD READER AND SYSTEM FOR ITS IMPLEMENTATION. |
| US5396558A (en) * | 1992-09-18 | 1995-03-07 | Nippon Telegraph And Telephone Corporation | Method and apparatus for settlement of accounts by IC cards |
| US5495571A (en) * | 1992-09-30 | 1996-02-27 | Microsoft Corporation | Method and system for performing parametric testing of a functional programming interface |
| FR2725537B1 (en) * | 1994-10-11 | 1996-11-22 | Bull Cp8 | METHOD FOR LOADING A PROTECTED MEMORY AREA OF AN INFORMATION PROCESSING DEVICE AND ASSOCIATED DEVICE |
| EP0825739A1 (en) * | 1996-08-15 | 1998-02-25 | Koninklijke KPN N.V. | Method of loading commands in the security module of a terminal |
-
1997
- 1997-09-09 HU HU0004101A patent/HUP0004101A3/en unknown
- 1997-09-09 WO PCT/EP1997/004963 patent/WO1999013612A1/en not_active Application Discontinuation
- 1997-09-09 CA CA002295887A patent/CA2295887A1/en not_active Abandoned
- 1997-09-09 IL IL13395497A patent/IL133954A0/en unknown
- 1997-09-09 JP JP2000511281A patent/JP2001516907A/en active Pending
- 1997-09-09 AU AU47023/97A patent/AU749396B2/en not_active Ceased
- 1997-09-09 EP EP97909248A patent/EP1013029A1/en not_active Withdrawn
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104834286A (en) * | 2015-03-30 | 2015-08-12 | 北京经纬恒润科技有限公司 | Reprogramming method, reprogramming system, reprogramming device and electronic control unit |
Also Published As
| Publication number | Publication date |
|---|---|
| HUP0004101A2 (en) | 2001-05-28 |
| CA2295887A1 (en) | 1999-03-18 |
| HUP0004101A3 (en) | 2003-05-28 |
| AU749396B2 (en) | 2002-06-27 |
| IL133954A0 (en) | 2001-04-30 |
| EP1013029A1 (en) | 2000-06-28 |
| AU4702397A (en) | 1999-03-29 |
| WO1999013612A1 (en) | 1999-03-18 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US5856659A (en) | Method of securely modifying data on a smart card | |
| US6115601A (en) | Payment scheme for a mobile communication service | |
| CA2219712C (en) | System for increasing a value of an electronic payment card | |
| US7730312B2 (en) | Tamper resistant module certification authority | |
| USRE37067E1 (en) | Chip card based payment system having an on-card flag for specifying proper completion of a prior card balance replenishment session | |
| US7782176B2 (en) | Method for information display, mobile information apparatus, and contactless communication device | |
| US7360088B2 (en) | Method and system for authenticating service using integrated circuit card | |
| CA2128355C (en) | Method and apparatus for recording usage data of card operated devices | |
| JPH0773281A (en) | Communication system | |
| JP2002511610A (en) | How to manage secure terminals | |
| CN100466558C (en) | Method for realizing tax controlled data monitoring of POS system | |
| US6052783A (en) | Method of loading commands in the security module of a terminal | |
| US20040029570A1 (en) | Method and apparatus for electronic payment through mobile communication devices | |
| US8041938B2 (en) | Alternatively activating a replaceable hardware unit | |
| US7464260B2 (en) | Method for alternatively activating a replaceable hardware unit | |
| JP4237759B2 (en) | How to use electronic / magnetic scratch cards to provide services | |
| JP2001516907A (en) | How to load commands to the terminal security module | |
| NZ501677A (en) | Verification of loading of commands in the security module of a terminal | |
| JP3085334B2 (en) | IC card terminal and IC prepaid card system using the same | |
| CN117709947B (en) | POS machine settlement authority management method based on blockchain | |
| JP2956576B2 (en) | Prepaid card and prepaid card terminal device | |
| CN116664122A (en) | Abnormal refund processing method for charging pile | |
| GB2413426A (en) | Transaction system | |
| CN113254937A (en) | Financial terminal application system initialization method, device, medium and financial terminal | |
| JP2000182087A (en) | Data tabulation machine |