JP2002055961A - Ｉｃカード装置及びプロキシ装置、並びにカード端末装置 - Google Patents

Abstract

(57)【要約】 【課題】 ＩＣカードシステムにおいて、利用機のセキ
ュリティが充分強固でない場合にアクセス先情報等を利
用機に対して秘匿したり利用機からの機密情報漏洩を防
止する。 【解決手段】 ＩＣカードシステムは、ＩＣカード１０
１と、計算機ネットワーク１０５で接続された利用機１
０２、プロキシ装置１０３、リモートホスト１０４とを
備える。ＩＣカード１０１を用いてリモートホスト１０
４にアクセスしてネットワークサービスを受ける際、Ｉ
Ｃカード１０１とプロキシ装置１０３とで通信を行う。
このとき、予めＩＣカード１０１内のアプリケーション
プログラムとプロキシ装置１０３のデータ変換手段１１
１との間でデータ変換の規則と方法についての取り決め
を行い、利用機１０２において未知の変換アルゴリズム
でデータ変換を行ってデータをやり取りする。これによ
り、利用機１０２に対して情報の秘匿や開示制限を行
う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＩＣカードシステ
ムを構成するのに好適なカード本体を含むＩＣカード装
置、及びこのＩＣカードと接触又は非接触でデータ通信
を行うカード端末装置、並びにこのカード端末装置とネ
ットワークを介して接続されるリモートホストとの間に
設けてＩＣカード装置とリモートホストの両者に対して
データ通信を行うプロキシ装置に関する。

【０００２】

【従来の技術】一般に知られるＩＣカードシステムは、
図３５に示すように、半導体記憶媒体を含むカード本体
であるＩＣカード５１、カード端末装置である利用機
（ＩＣカード利用機）５２、利用機５２に対して情報の
提供等を行うリモートホスト（ホストコンピュータ）５
３から構成される。利用機５２は、リーダライタ５５と
端末５６からなり、端末５６はリーダライタ５５を介し
てＩＣカード５１とデータ送受信を行う。さらに、端末
５６はネットワーク５４を介してリモートホスト５３と
もデータ送受信を行う。リーダライタ５５は、ＩＣカー
ド５１に対し電源、クロックを提供するが、その際、接
触端子を用いて電気的に伝達する方法と、電磁波を用い
て伝達する方法とがあり、それぞれ接触型、非接触型と
呼ばれる。ＩＣカード５１それ自体は通常はユーザイン
タフェースを持たず、暗証入力、処理選択、表示等の機
能は利用機５２が担う。

【０００３】ＩＣカードの利点は、ＩＣカードに内蔵さ
れるＩＣチップの対タンパ性（物理的、化学的、電気的
手段等によりＩＣチップ内部状態の解析や改竄を試みる
不正行為からＩＣチップ内部の情報を保護する能力）に
優れることである。さらに、ＩＣカードの中でマイコン
カードに分類されるものの多くは、ＩＣチップ内で暗号
処理（データを暗号アルゴリズムと鍵を用いて解読困難
な状態に変換する処理）が可能となっており、電子商取
引等の高いセキュリティが求められる分野での利用に適
する。

【０００４】計算機ネットワークにおいて暗号処理機能
を有するＩＣカードを利用する技術は、特開平４−３５
５３８号公報（暗号化通信方式、以下従来例１とす
る）、特開平４−３２６４４２号公報（メッセージ認証
システム、従来例２）、特開平５−１１０８７３号公報
（暗号機能通信システム、従来例３）に示されている。
これらはいずれも計算機ネットワークに接続された利用
機にＩＣカードを接続し、ＩＣカードが内部にもつ暗号
処理機能を用いてネットワーク上で送受するデータの秘
匿及び認証を行うものである。

【０００５】ＩＣカードのもう一つ利点は可搬性の高さ
である。この性質を利用し、ユーザ自身の固有情報を格
納したＩＣカードを訪問先の端末で使用する技術は、特
開平７−３０６８３１号公報（コンピュータネットワー
クシステム、従来例４）、特開平１０−２１３０１号公
報（地域保険医療情報システム及びこれに用いる可搬型
記憶媒体、従来例５）、特開平１１−１５９２７号公報
（ＩＣカードシステム、従来例６）に示されている。こ
れらの技術によれば、計算機ネットワーク上の複数の場
所から共通のユーザ環境を得たり、一貫したサービスを
受けたりすることができる。

【０００６】また近年では、ＩＣカードに内蔵されるＩ
Ｃチップの性能の向上（処理速度、記憶容量の向上）と
ソフトウェア技術の向上（マルチアプリケーション環境
の実現、仮想マシンによるソフトウェア不正動作の防
止、カード発行後のアプリケーションダウンロード等）
に伴い、より高機能、多用途、複雑なアプリケーション
プログラムをＩＣカード上で動作させることが可能にな
っている。

【０００７】

【発明が解決しようとする課題】従来の多くのＩＣカー
ドシステムは、基本的に利用機が主、ＩＣカードが従の
関係にあり、ＩＣカードは情報記憶媒体的な使われ方を
されることがほとんどであったが、今後はＩＣカード内
に記憶されたアプリケーションプログラムが主体となっ
てネットワーク上のサービスを受けるシステムが普及す
ることが予想される。

【０００８】例えば、ＩＣカード内のアプリケーション
プログラムが、ＩＣカード内に格納されたアクセス情報
から計算機ネットワーク上のどのリモートホストに、ど
のような手順でアクセスするかを判断し、同じくＩＣカ
ード内に格納されたデータ情報をリモートホストに送信
する、もしくはリモートホストからデータ情報を取得し
てＩＣカード内に格納する、といったシステムである。

【０００９】より具体的な例として次のようなＩＣカー
ドシステムを考える。インターネットに代表される大規
模計算機ネットワーク空間で、ＷＷＷ（World Wide We
b）に代表される仕組みを用いて多種のサービスが、そ
れぞれ別個のリモートホスト（サーバサイト）によって
運営されている。さらに、駅、店舗、公共施設等の、不
特定多数の人間が訪れる場所に利用機を設置する。利用
機の適例はキオスク端末である。キオスク端末は、不特
定多数のユーザに情報提示や各種のサービスを行うこと
を目的とした計算機であり、ここではディスプレイ、プ
リンタ、タッチパネル、キーパッド等のユーザインタフ
ェース、ネットワークインタフェース、ＩＣカードリー
ダライタを持つものを想定する。

【００１０】ユーザは、上記の利用機を用いてネットワ
ーク上のサービスを利用するためのＩＣカードを個々に
所持し、行く先々に設置された任意の利用機にＩＣカー
ドを接続することで、それらのサービスを受けることが
できる。

【００１１】サービスを受けるためのクライアントソフ
トウェアは、ＩＣカード内にアプリケーションとして格
納される。即ち、どのようなアプリケーションをＩＣカ
ード内に持たせるかによって、ユーザが受けられるサー
ビス内容が変わる。これはパーソナルコンピュータやワ
ークステーションを用いてインターネット上のサービス
を受ける場合と類似しており、原理的にはＩＣカード内
にＷＷＷブラウザや電子メールクライアントを持たせる
ことも可能である。

【００１２】ＩＣカード内にＷＷＷブラウザを持たせた
場合、ユーザはそのＩＣカードを用いてインターネット
上のウェブコンテンツ（ＷＷＷによって公開されるマル
チメディア情報）を閲覧できる他、ウェブメール（ＷＷ
Ｗの仕組みを利用した個人向け電子メールサービス）、
電子掲示板、オンラインショッピング等のサービスを受
けられる。これにより、ユーザは携帯型コンピュータ等
を持ち運ばなくとも、上記のＩＣカードを１枚持ち歩く
だけで、訪問先にある利用機からこれらのサービスを受
けることが可能となる。これは、例えば携帯電話機のよ
うな小型通信情報機器を利用する場合と比較しても、画
面解像度を始めとしたユーザインタフェースの品質、通
信品質、ユーザ負担コスト等の面で優位性があるものと
考えられる。

【００１３】しかしながら、このようなＩＣカードシス
テムを従来技術で実現しようとした場合、次のような問
題が生じる。

【００１４】第１に、ＩＣカード内のアプリケーション
によってユーザがアクセスしたネットワーク上のリモー
トホストの位置（インターネットであればホスト名、ド
メイン名及びＩＰアドレス）が、利用機に掌握されてし
まう。これは、ＩＣカードそれ自体が利用機のＩＣカー
ドリーダライタとの間の低レベルな通信（一般的にはシ
リアル通信）機能しか持たず、ネットワーク通信の全て
を利用機に依存していることに起因する。前記の従来例
１〜３に示される暗号応用技術によって、ＩＣカードと
リモートホストの間で交された通信内容は利用機に対し
秘匿することが可能であるが、利用機からリモートホス
トへ直接ネットワーク通信のコネクションを張っている
限り、アクセス先がどのホストであったのかを隠すこと
はできない。アクセス先が特定できると、そのユーザが
受けたサービスの種類や性質を推定されることも有り得
る（例：コンピュータゲームの通信販売サイトへアクセ
スしたユーザは、少なくともコンピュータゲームに興味
があり、もしかしたらそのサイトで何か商品を購入した
可能性もある、等）。ユーザのプライバシ保護の観点か
らはアクセス先情報の漏洩は好ましいことではない。

【００１５】第２に、ＩＣカード内のアプリケーション
がユーザに提示した出力の内容、及びＩＣカード内のア
プリケーションに対してユーザが行った入力の内容が、
全て利用機に掌握されてしまう。これは上記と同様、一
般にＩＣカードそれ自体がユーザインタフェースを持た
ず、全て利用機を介してユーザとのインタラクションを
行うことに起因する。具体的には、利用機の画面に表示
あるいはプリンタにて印刷した出力内容は、それが文字
であっても画像であっても、原理的に全て利用機がコピ
ーを取得し、保存したり他に転用したりすることが可能
である。また、ユーザからの入力についても同様であ
り、例えばアカウント情報やパスワード情報、クレジッ
トカード番号等を利用機から直接入力した場合、それら
の内容を利用機に対して秘匿することは不可能である。
前記の従来例１〜５に示した技術において、このような
問題は考慮されていない。

【００１６】ＩＣカードのユーザが、利用機の運用者、
運用ポリシ、悪意のある第三者に対するセキュリティ強
度について充分納得し、利用機を信用できる場合には、
上記のようなことは問題にならないが、そうでない場合
ＩＣカードユーザは利用機を安心して使うことができな
い。

【００１７】逆の見方をすると、従来は利用機を設置す
る場合、ＩＣカードユーザ、及びリモートホスト運用者
に対してセキュリティ上の保証をする必要があり、その
ためにハードウェアの不正使用の防止対策、ネットワー
クからの不正行為対策に加え、運用母体と運用ポリシを
明確にし、設置した利用機が不正なもの、危険なもので
ないことを証明してオーソライズされる必要があった。
これはハードウェア価格や運営コスト高騰の問題として
顕在化する可能性が極めて高く、利用機普及の阻害要因
となり、結果的にＩＣカードユーザが得るメリットも小
さくなってしまう。

【００１８】本発明は上記のような問題点を解決するも
のであり、オーソライズ不要の安価なカード端末設置を
可能とし、またＩＣカードユーザにとっては信頼度の低
い、もしくは信頼度のはっきりしないカード端末装置を
用いた場合でも、プライバシや財産に関わる個人の機密
情報を漏らすことなく、安全が保証できる範囲でのネッ
トワーク利用が可能になる、セキュアかつ利便性の高い
ＩＣカードシステムを構築可能なＩＣカード装置及びプ
ロキシ装置、並びにカード端末装置を提供することを目
的とする。

【００１９】

【課題を解決するための手段】上記の課題を解決するた
め本発明は、第１に、ＩＣカード装置（ＩＣカード）や
通信相手先のリモートホストの代理として計算機ネット
ワーク上で代理装置などとして機能するプロキシ装置を
設ける。プロキシ装置はネットワーク通信手段を持ち、
カード端末装置（利用機）とリモートホストの両者と通
信を行う。さらに、プロキシ装置にデータ変換手段を設
け、ＩＣカード装置からカード端末装置経由で受信した
データを、ＩＣカード装置が既知かつカード端末装置が
未知の変換アルゴリズムもしくはパラメータを用いてデ
ータ変換を行う。ＩＣカード装置には、送信用データ保
持手段と、これに保持されているデータをカード端末装
置に送信するデータ送信手段とを設ける。カード端末装
置には、ＩＣカード装置からデータを受信するデータ受
信手段と、データ受信手段が得たデータをプロキシ装置
に送信するデータ転送手段とを設ける。これにより、Ｉ
Ｃカード装置がプロキシ装置に渡したデータは、ＩＣカ
ードユーザの意図通りに、かつカード端末装置のユーザ
にその内容を知られることなく、プロキシ装置内部にお
いて異なるデータに変化させることが可能となる。

【００２０】第２に、上記の送信用データとして、ＩＣ
カード装置内のアプリケーションがアクセスしようとす
るホストのネットワーク上の位置及び通信方法を得るた
めの情報を準備する通信キーデータ生成手段を設ける。
通信キーデータは、ＩＣカード装置内のメモリに書かれ
たデータと同一のものを用いても構わないし、ＩＣカー
ド装置内部で変換処理を行った結果を用いても構わな
い。ただし、通信キーデータそのものからカード端末装
置が容易にアクセス先を特定できないこと、さらに、プ
ロキシ装置は受け取った通信キーデータ及び予めプロキ
シ装置内部に持つプログラムとデータにより、アクセス
先を特定できることの２点が条件となる。予めＩＣカー
ド装置とプロキシ装置の二者で取り決めた、通信キーデ
ータからアクセス先特定情報を得るための演算アルゴリ
ズムと演算パラメータを利用することによりこの条件は
満たされる。そして、プロキシ装置はアクセス先特定情
報を用いてネットワーク上のリモートホストと通信を行
う。これにより、ＩＣカード装置はカード端末装置にア
クセス先を知られることなく、リモートホストと通信を
行うことが可能となる。

【００２１】第３に、ＩＣカード装置とプロキシ装置の
二者間で暗号化に関するアルゴリズムと鍵情報を予め取
り決め、この取り決めに基づいてカード端末装置に内容
を知られることなく任意の情報をやりとりするための、
セキュアパスを設ける。セキュアパスはＩＣカード装置
とプロキシ装置間の両者が、この二者以外に情報を漏洩
させることなく通信を行う、秘匿性を有する仮想的な通
信経路である。これにより、ＩＣカード装置とプロキシ
装置は、中間に位置するカード端末装置に内容を知られ
ることなく、任意の情報を片方向もしくは双方向にて送
受可能となる。上記第２に示したアクセス先情報の引き
渡しは、このセキュアパスを用いて行うことができる。
その場合、ＩＣカード装置内にてアクセス先情報を暗号
化し（もしくは予め暗号化されたアクセス先情報を保持
し）、この暗号化アクセス先情報をカード端末装置に引
き渡し、カード端末装置はこれをそのままプロキシ装置
に引き渡し、プロキシ装置は暗号化アクセス先情報を復
号化して元のアクセス先情報を得る、という手順を踏む
ことにより行う。

【００２２】暗号化及び復号化の方法は、ＩＣカード装
置とプロキシ装置の両者が予め保持する共通の鍵によっ
て暗号化も復号化も行う対称鍵暗号方式、もしくはＩＣ
カード装置が公開鍵で暗号化を行い、プロキシ装置が対
となる秘密鍵で復号化を行う非対称鍵暗号方式などの従
来技術を適用すれば良い。また、カード端末装置から引
き渡された暗号化アクセス先情報がカード端末装置によ
って捏造されたものではないことをプロキシ装置が確認
するために、同じく非対称鍵暗号方式を応用した従来技
術である署名を暗号化アクセス先情報に付与することも
できる。また、アクセス先情報に限らず、セキュアパス
を用いてＩＣカード装置とプロキシ装置の二者間で任意
のデータを秘匿的にやりとりすることが可能である。

【００２３】第４に、上記セキュアパスを介してＩＣカ
ード装置内におけるデータの暗号化手段を、アクセス先
情報と、転送データ情報について個別に設ける。転送デ
ータ情報はプロキシ装置がさらにアクセス先のリモート
ホストに引き渡すデータ情報である。このとき、転送デ
ータの復号化については予めＩＣカード装置とリモート
ホストの二者間で取り決めておき、カード端末装置はも
ちろんプロキシ装置も転送データ復号用の鍵を持たない
ようにする。これにより、ＩＣカード装置がリモートホ
ストに引き渡す転送データの内容を、カード端末装置だ
けでなくプロキシ装置にも隠蔽することが可能となる。
同様に、リモートホストからＩＣカード装置に引き渡す
転送データについても、ＩＣカードとリモートホストの
二者間で取り決めた暗号化・復号化手段を用いること
で、カード端末装置及びプロキシ装置に対して秘匿性を
有する通信が可能となる。

【００２４】第５に、ＩＣカード装置にはＵＩリクエス
ト情報送信手段を設け、プロキシ装置にＵＩリクエスト
情報受信手段を設ける。ＵＩリクエスト情報はＩＣカー
ド装置がどのようなユーザインタフェース（ＵＩ）をカ
ード端末装置上に実現するかを示す情報であり、これは
セキュアパスを介してＩＣカード装置からプロキシ装置
に引き渡される。もしくは、ＵＩリクエスト情報そのも
のにセキュリティを求める必要がない場合は、暗号化し
ない生データの状態でＵＩリクエスト情報を送受しても
良い。また、プロキシ装置にＵＩ情報送信手段を設け、
カード端末装置にＵＩ情報受信手段とＵＩ実行手段を設
ける。プロキシ装置はＩＣカードから受け取ったＵＩリ
クエスト情報に基づき、カード端末装置がＵＩを実現す
るのに必要な情報をＵＩ情報送信手段から発し、カード
端末装置はＵＩ情報受信手段にてそれを受け取る。ＵＩ
情報としては、ユーザに対する画面表示に用いる文字フ
ォント、文字フォントからレンダリングした文字列画像
データ等を用いる。これにより、ＩＣカード装置が想定
するＵＩ実現に必要な文字フォントがカード端末装置上
に存在しない場合でも、ＩＣカード装置の想定通りの文
字列情報をカード端末装置の表示画面上もしくは印刷結
果としてユーザに提示することが可能となる。

【００２５】第６に、上記第５に示すＵＩ情報として、
カード端末装置上に予め設けられた動作環境に適合する
プログラム（実行手順と必要なデータを組にしたデータ
列）を適用する。これにより、ＩＣカード装置が想定す
るＵＩが、カード端末装置に強く依存することなく独自
のものとして実現可能となる。

【００２６】第７に、ＩＣカード装置とプロキシ装置の
どちらか片方もしくは両方に、端末認証手段（利用機認
証手段）と端末信頼度評価手段（利用機評価手段）を設
ける。カード端末装置の認証は、予め定められた認証デ
ータもしくは定められた規則に基づく認証データ生成手
段と、認証データをプロキシ装置もしくはＩＣカード装
置に引き渡す認証データ送信手段をカード端末装置に設
けることによって行う。プロキシ装置もしくはＩＣカー
ド装置の端末認証手段は、カード端末装置の認証データ
送信手段から受け取った認証データを読み取り、この認
証データが予め定めた条件に合致するか否かを調べる。
端末信頼度評価手段はこの認証結果を読み取り、条件に
合致する場合はそのカード端末装置は信頼できる、合致
しない場合は信頼できないとして信頼度の評価を行う。
ここで、認証データの内容、生成方法、評価のための条
件等は秘密のものとして扱い、信頼できないカード端末
装置に漏洩しないようにする。また、認証データを複数
種類とすることにより、評価結果をより細かく分類する
ことも可能である。

【００２７】プロキシ装置がカード端末装置を認証、評
価する場合は、ネットワーク上のアドレス情報等、偽証
が困難なカード端末装置の固有情報を基にして行うこと
ができる。その際、ネットワークアドレス情報と信頼度
を対応付ける表を参照する等の方法を用いることによ
り、カード端末装置の信頼度に複数の段階を設けること
もできる。これらにより、ＩＣカード装置もしくはプロ
キシ装置が、カード端末装置の信頼度を獲得することが
できる。

【００２８】第８に、ＩＣカード装置とプロキシ装置の
両方に、端末信頼度評価手段を設けてカード端末装置の
信頼度情報を共有する。この場合、片方の端末信頼度評
価手段が得たカード端末装置の評価結果を、セキュアパ
スを通じて他方に渡すようにする。これにより、ＩＣカ
ード装置もしくはプロキシ装置のいずれか片方がカード
端末装置の信頼度を獲得できた場合、もう一方にその情
報を渡すことが可能となる。また、両方が個別にカード
端末装置の信頼度を獲得した場合は、それぞれの評価結
果を互いに確認し合うことが可能となる。

【００２９】第９に、ＩＣカード装置に送信情報制御手
段を設ける。送信情報制御手段は、上記第７もしくは第
８でＩＣカード装置が得たカード端末装置の信頼度評価
結果を読み取り、信頼度に応じてＩＣカード装置からカ
ード端末装置に送信する情報の内容に対して変更、削
除、追加等の処理を行う。これにより、ＩＣカード装置
からカード端末装置に送信する情報内容をカード端末装
置の信頼度に従って異なるものにすることができる。ま
た、ＩＣカード装置が機密情報として保持する情報をカ
ード端末装置に送信しないよう上記送信情報制御手段を
作用させる。機密情報の一つとして、ＩＣカード装置が
保持するユーザの個人情報などがある。これにより、信
頼度の低いカード端末装置には個人情報を送らないな
ど、カード端末装置毎に異なるセキュリティレベルを用
いた情報管理が可能となる。

【００３０】第１０に、プロキシ装置に送信情報制御手
段を設ける。これは上記第９に示したＩＣカード装置に
おける送信情報制御手段と同様に、カード端末装置の信
頼度評価結果に従ってプロキシ装置からカード端末装置
に送信する情報の内容に対して変更、削除、追加等の処
理を行う。また、ＩＣカード装置と同様に、プロキシ装
置が保持する機密情報をカード端末装置に送信しないよ
う上記送信情報制御手段を作用させる。これらにより、
プロキシ装置からカード端末装置に送信する情報内容
を、上記のＩＣカード装置と同様にカード端末装置の信
頼度に応じて異なるものにすることができ、信頼度の低
いカード端末装置に機密情報を渡さないといったセキュ
リティ管理が可能となる。

【００３１】第１１に、プロキシ装置上において、上記
第５に示したＵＩ情報送信手段に、上記第１０に示した
送信情報制御手段を連動させ、カード端末装置の信頼度
評価結果に従ってプロキシ装置からカード端末装置に送
信するＵＩ情報に対して変更、削除、追加等の処理を行
うようにする。カード端末装置の信頼度が低いと端末信
頼度評価手段が判断した場合、送信情報制御手段が作用
して、プロキシ装置からカード端末装置に送信するＵＩ
情報のうち、ＩＣカード装置が持つ機密情報をカード端
末装置上の表示画面装置に出力してしまうようなＵＩ部
品を削除し、またＩＣカードのユーザがカード端末装置
の入力装置を通じて機密情報を入力してしまうようなＵ
Ｉ部品を削除する。機密情報の一つとして、暗証番号、
パスワード等がある。これらにより、信頼度の低いカー
ド端末装置を使用する場合、機密情報をカード端末装置
の画面上に表示し、それを取得されて漏洩してしまった
り、また暗証番号等を不用意に入力して取得されてしま
うようなトラブルの防止が可能となる。

【００３２】第１２に、ＩＣカード装置もしくはプロキ
シ装置に、機密情報変換手段を設ける。上記のカード端
末装置によるＵＩ実行手段によって暗証番号、パスワー
ド等の機密情報をユーザが直接入力する代わりに、機密
情報を得るための第１の機密情報（仮の機密情報）を入
力する。機密情報変換手段はこの第１の機密情報を読み
取り、演算処理もしくは演算処理とデータ参照の組み合
わせにより、第２の機密情報（真の機密情報）を生成す
る。機密情報変換手段をＩＣカード装置が備える場合
は、生成した真の機密情報をセキュアパスを通じてプロ
キシ装置に渡す。その後、プロキシ装置は、真の機密情
報を用いてリモートホストと通信を行う。これにより、
カード端末装置のＵＩを通じて機密情報が漏洩する危険
性を回避しつつ、機密情報を用いたネットワーク利用が
可能となる。

【００３３】機密情報変換手段が機密情報生成のための
演算を行う際のデータの一つとして、ランダムなデータ
（無作為に選択されたデータ）を用い、ＵＩ実行手段が
このランダムデータをユーザに提示し、提示されたラン
ダムデータに従って異なる仮の機密情報をユーザに入力
するよう促すことで、真の機密情報の生成アルゴリズム
等を推測されにくくなり、より安全性を増すことが可能
となる。さらに、誤って真の機密情報を入力しないよう
ユーザに促す表示をＵＩ実行手段が行うことで、ユーザ
の操作ミスによる機密情報漏洩を防止することが可能と
なる。

【００３４】第１３に、ＩＣカード装置にプロキシ選択
手段を設ける。プロキシ選択手段は、予め定めたルール
に従ってネットワーク上に存在する複数のプロキシ装置
候補から、使用するプロキシ装置を決定する。ルールと
しては、ＩＣカード装置が保持するプロキシ装置のリス
トから使用に適したプロキシ装置を逐次探す方法、ラン
ダムで探す方法、またカード端末装置に問い合わせて最
適候補を得る方法等がある。これらにより、ＩＣカード
装置毎、カード端末装置毎などの条件に従って異なるプ
ロキシ装置が利用可能となり、ネットワーク負荷及びプ
ロキシの処理負荷の集中が緩和できる。また、プロキシ
情報操作手段をＩＣカード装置に設ける。プロキシ情報
操作手段は、ＩＣカード装置のユーザがカード端末装置
等を通じて個々のプロキシ装置へのアクセス方法と使用
ルールなどのプロキシ情報を登録・変更・削除するもの
である。これによりＩＣカード装置のユーザが使用する
プロキシ装置を複数登録・変更することが可能となる。

【００３５】第１４に、ＩＣカード装置にインセンティ
ブ発行手段を設け、カード端末装置にインセンティブ獲
得手段を設ける。インセンティブ発行手段はインセンテ
ィブ獲得手段との間で電子情報の授受を行うことによ
り、カード端末装置及びカード端末装置の所有者や運用
者に対して金銭的、事業的なメリットを直接的もしくは
間接的に与える。インセンティブの例として広告情報を
考えた場合、カード端末装置はＩＣカードユーザに対し
て商業広告等の情報を渡すことが可能となり、それが利
用機運営のインセンティブとなる。また、インセンティ
ブとして金銭もしくは何らかの有価物に関連した有価値
情報を授受することにより、カード端末装置は、ＩＣカ
ード装置から利用機使用の報酬としてより明確なインセ
ンティブを得ることが可能となる。

【００３６】上記第１から第１４に関して、ＩＣカード
装置としては、ＩＣカードに内蔵されるＩＣチップと同
等もしくは類似した機能構成をもつ他の装置においても
適用できる。装置の例として、ＩＣタグ、携帯電話機、
携帯型情報端末、マイコン内蔵メモリカードなどが挙げ
られる。

【００３７】また、上記第１から第１４に関して、カー
ド端末装置としては、不特定多数の人間が訪れる場所に
設置する公共端末、不特定多数の人間が訪れる場所でレ
ンタル品として貸し出される携帯電話機もしくは携帯型
情報端末、不特定多数の人間にレンタル品として貸し出
されるカーナビゲーション装置などを用いることができ
る。

【００３８】また、上記第１から第１４を構成する各装
置を実現するためにコンピュータ上で動作するソフトウ
ェアとして、磁気ディスク、光ディスク、半導体メディ
ア等の情報記憶媒体に処理手順及びデータ等を格納して
おき、コンピュータハードウェアがこれを読み取って所
定の動作を行うようにしても、上記と同じ効果が得られ
る。

【００３９】したがって、本発明にかかるＩＣカードシ
ステムにおいては、以下のような特徴的な構成を有す
る。

【００４０】（１）半導体記憶手段を有してなり、カー
ド端末装置とデータのやり取りを行うＩＣカードシステ
ム用のＩＣカード装置であって、送信用のデータを保持
する送信用データ保持手段と、前記送信用データ保持手
段からデータを読み出して前記カード端末装置へ送信す
るデータ送信手段とを備え、前記カード端末装置と計算
機ネットワークを介して接続されたリモートホストとデ
ータ通信を行う際に、このリモートホストと前記カード
端末装置との間に設けられるプロキシ装置と当該ＩＣカ
ード装置との間で予め定めたものであって、かつ、前記
カード端末装置には未知のものである変換アルゴリズム
もしくは変換パラメータを用いてデータ変換処理を実行
するためのデータを前記プロキシ装置へ送信するもの。

【００４１】（２）前記リモートホストと通信を行う際
に必要となるアクセス先を特定するためのアクセス先情
報を、前記カード端末装置が解釈困難なキーデータとし
て生成する通信キーデータ生成手段を備え、前記変換ア
ルゴリズムもしくは変換パラメータとして、当該ＩＣカ
ード装置と前記プロキシ装置の二者間で予め取り決めた
ものであって、かつ、前記カード端末装置において未知
の演算アルゴリズムもしくは演算パラメータを用いてデ
ータ変換処理を実行する際に、前記通信キーデータを前
記プロキシ装置へ送信するもの。

【００４２】（３）通信するデータの暗号化と復号化の
少なくとも一方を行う暗号処理手段を備え、前記プロキ
シ装置または前記リモートホストとの間で暗号化された
データを受け渡すための秘匿性を持った通信路であるセ
キュアパスを形成するもの。 （４）前記暗号処理手段によって前記リモートホストの
アクセス先情報を暗号化し、この暗号化データを前記プ
ロキシ装置との間で形成したセキュアパスを経由して該
プロキシ装置へ送るもの。

【００４３】（５）前記リモートホストのアクセス先情
報の暗号化とは異なる暗号化手順もしくは同一の暗号化
手順を異なる鍵情報を用いることによりデータの暗号化
を行う第２の暗号処理手段を備え、前記第２の暗号処理
手段により当該ＩＣカード装置が保持する任意のデータ
を暗号化し、この第２の暗号化データは前記プロキシ装
置において復号不能で前記リモートホストにおいて復号
可能となっており、前記第２の暗号化データを前記リモ
ートホストとの間で形成したセキュアパスを経由して前
記プロキシ装置へ送るもの。

【００４４】（６）前記リモートホストのアクセス先情
報の暗号化とは異なる暗号化手順もしくは同一の暗号化
手順を異なる鍵情報を用いることによりデータの暗号化
を行う第２の暗号処理手段を備え、前記第２の暗号処理
手段により当該ＩＣカード装置が保持する任意のデータ
を暗号化し、この第２の暗号化データは前記プロキシ装
置において復号不能で前記リモートホストにおいて復号
可能となっており、前記第２の暗号化データを前記リモ
ートホストのアクセス先情報の暗号化データと共に前記
リモートホストとの間で形成したセキュアパスを経由し
て前記プロキシ装置へ送るもの。

【００４５】（７）当該ＩＣカード装置と前記プロキシ
装置が同一の鍵情報を用いて暗号化及び復号化を行う対
称鍵暗号方式を用いてセキュアパスを形成するもの。 （８）当該ＩＣカード装置と前記プロキシ装置が互いに
関連をもつ非同一の鍵情報を用いて暗号化及び復号化を
行う非対称鍵暗号方式を用いてセキュアパスを形成する
もの。

【００４６】（９）半導体記憶手段を有してなり、カー
ド端末装置とデータのやり取りを行うＩＣカードシステ
ム用のＩＣカード装置であって、送信用のデータを保持
する送信用データ保持手段と、前記送信用データ保持手
段からデータを読み出して前記カード端末装置へ送信す
るデータ送信手段と、前記カード端末装置において実現
するユーザインタフェースに関わるＵＩリクエスト情報
を、このカード端末装置が接続された計算機ネットワー
ク上において設けられるプロキシ装置に送信するＵＩリ
クエスト情報送信手段とを備えたもの。

【００４７】（１０）前記ＵＩリクエスト情報として、
文字コードに関わる文字列情報を用いるもの。 （１１）前記ＵＩリクエスト情報として、前記カード端
末装置のユーザインタフェースに関わるハードウェアを
動作させるためのプログラム情報による動作結果に影響
を与えるパラメータ情報を用いるもの。

【００４８】（１２）半導体記憶手段を有してなり、カ
ード端末装置とデータのやり取りを行うＩＣカードシス
テム用のＩＣカード装置であって、送信用のデータを保
持する送信用データ保持手段と、前記送信用データ保持
手段からデータを読み出して前記カード端末装置へ送信
するデータ送信手段と、前記カード端末装置の認証を行
う端末認証手段と、前記認証結果を基に前記カード端末
装置の信頼度を評価する端末信頼度評価手段と、データ
の暗号化と復号化の少なくとも一方を行う暗号処理手段
とを備え、前記カード端末装置が接続された計算機ネッ
トワーク上において設けられるプロキシ装置との間で暗
号化されたデータを受け渡すための秘匿性を持った通信
路であるセキュアパスを形成し、このセキュアパスを介
して前記カード端末装置の信頼度評価結果を前記プロキ
シ装置へ送るもの。

【００４９】（１３）半導体記憶手段を有してなり、カ
ード端末装置とデータのやり取りを行うＩＣカードシス
テム用のＩＣカード装置であって、送信用のデータを保
持する送信用データ保持手段と、前記送信用データ保持
手段からデータを読み出して前記カード端末装置へ送信
するデータ送信手段と、データの暗号化と復号化の少な
くとも一方を行う暗号処理手段とを備え、前記カード端
末装置が接続された計算機ネットワーク上において設け
られるプロキシ装置との間で暗号化されたデータを受け
渡すための秘匿性を持った通信路であるセキュアパスを
形成し、このセキュアパスを介して前記プロキシ装置か
ら前記カード端末装置の信頼度評価結果を受け取るも
の。

【００５０】（１４）前記カード端末装置に送信する任
意のデータについて送信前に情報内容の制御処理を行う
送信情報制御手段を備え、この送信情報制御手段は、前
記カード端末装置の信頼度評価結果に基づいて前記カー
ド端末装置へ送る情報の一部もしくは全部に対して変更
を加えるもの。 （１５）前記送信情報制御手段は、前記信頼度評価結果
としてカード端末装置の信頼度が低く送信した情報が不
正に利用される可能性があると認識された場合に、当該
カード端末装置に対してＩＣカード装置から送信する情
報の一部もしくは全てを削除もしくは変更するもの。

【００５１】（１６）前記送信情報制御手段は、前記カ
ード端末装置に送信する情報のうち、当該ＩＣカード装
置が保持する機密情報に関わる情報を削除もしくは変更
するもの。 （１７）前記送信情報制御手段は、前記カード端末装置
に送信する情報のうち、当該ＩＣカード装置が保持する
ＩＣカードユーザのプライバシに関わる情報を削除もし
くは変更するもの。

【００５２】（１８）半導体記憶手段を有してなり、カ
ード端末装置とデータのやり取りを行うＩＣカードシス
テム用のＩＣカード装置であって、送信用のデータを保
持する送信用データ保持手段と、前記送信用データ保持
手段からデータを読み出して前記カード端末装置へ送信
するデータ送信手段と、前記カード端末装置と計算機ネ
ットワークを介して接続されたリモートホストからの要
求に応じて前記カード端末装置を用いて入力する機密情
報の変換を行う機密情報変換手段とを備え、前記機密情
報変換手段は前記カード端末装置より入力された第１の
機密情報データを当該カード端末装置に対して秘匿性を
持った第２の機密情報データに変換し、この第２の機密
情報データを前記カード端末装置と前記リモートホスト
との間に設けられるプロキシ装置へ送るもの。

【００５３】（１９）前記機密情報変換手段は変換用の
変換キーデータを生成してこれを前記カード端末装置を
通じてＩＣカードユーザに提示し、前記カード端末装置
より入力された第１の機密情報データから前記変換キー
データを用いて前記第２の機密情報データを生成するも
の。 （２０）前記変換キーデータと前記第１の機密情報デー
タとを一対一に対応させて同一の第２の機密情報データ
を生成するための異なるデータの組を複数設けたもの。

【００５４】（２１）前記カード端末装置において実現
するユーザインタフェースに関わるＵＩリクエスト情報
を前記プロキシ装置に送信するＵＩリクエスト情報送信
手段を備え、前記ＵＩリクエスト情報として、前記リモ
ートホストから要求される機密情報として前記第２の機
密情報データの代わりに前記第１の機密情報データを入
力すべきことをＩＣカードユーザに指示するためのＵＩ
部品情報を用いるもの。

【００５５】（２２）予め定めた規則に従って計算機ネ
ットワーク上の複数のプロキシ装置の中から一つを選択
するプロキシ選択手段を備えたもの。 （２３）前記プロキシ選択手段は、予め登録されたプロ
キシ装置のリストから使用に適するプロキシ装置を逐次
的に検索して選択するもの。 （２４）前記プロキシ選択手段は、予め登録されたプロ
キシ装置のリストから使用に適するプロキシ装置をラン
ダムに検索して選択するもの。 （２５）前記プロキシ選択手段は、前記カード端末装置
に問い合わせて使用に適するプロキシ装置を選択するも
の。 （２６）使用に適するプロキシ装置を選択するためのプ
ロキシ装置のリストを有し、このリスト内容の追加、変
更、削除の少なくともいずれか一つを行うプロキシ情報
操作手段を備えたもの。

【００５６】（２７）前記カード端末装置の所有者もし
くは運用者に対して金銭的もしくは事業的に有利となる
状態を電子情報のやりとりによって生じさせるインセン
ティブを発行するインセンティブ発行手段を備え、この
インセンティブに関する情報を前記カード端末装置との
間で通信するもの。 （２８）前記インセンティブとして広告情報を用い、前
記インセンティブ発行手段は前記カード端末装置からこ
の広告情報を受信するもの。 （２９）前記インセンティブとして金銭あるいは有価値
物に関連した有価値電子情報を用い、前記インセンティ
ブ発行手段はこの有価値電子情報を前記カード端末装置
に送信するもの。

【００５７】（３０）ＩＣカード装置とデータのやり取
りを行うカード端末装置とこれに計算機ネットワークを
介して接続されたリモートホストとの間に設けられるＩ
Ｃカードシステム用のプロキシ装置であって、前記ＩＣ
カード装置と当該プロキシ装置との間で予め定めたもの
であって、かつ、前記カード端末装置には未知のもので
ある変換アルゴリズムもしくは変換パラメータを用いて
データ変換処理を実行するデータ変換手段を備えたも
の。

【００５８】（３１）前記データ変換手段は、前記リモ
ートホストと通信を行う際に必要となるアクセス先を特
定するためのアクセス先情報を前記カード端末装置が解
釈困難なキーデータとして生成した通信キーデータを変
換するもので、前記変換アルゴリズムもしくは変換パラ
メータとして、当該プロキシ装置と前記ＩＣカード装置
の二者間で予め取り決めたものであって、かつ、前記カ
ード端末装置において未知の演算アルゴリズムもしくは
演算パラメータを用いて変換処理を行うもの。

【００５９】（３２）通信するデータの暗号化と復号化
の少なくとも一方を行う暗号処理手段を備え、前記ＩＣ
カード装置との間で暗号化されたデータを受け渡すため
の秘匿性を持った通信路であるセキュアパスを形成する
もの。 （３３）前記暗号処理手段によって前記リモートホスト
のアクセス先情報を暗号化し、この暗号化データを前記
ＩＣカード装置との間で形成したセキュアパスを経由し
て該ＩＣカード装置から受け取るもの。

【００６０】（３４）当該プロキシ装置と前記ＩＣカー
ド装置が同一の鍵情報を用いて暗号化及び復号化を行う
対称鍵暗号方式を用いてセキュアパスを形成するもの。 （３５）当該プロキシ装置と前記ＩＣカード装置が互い
に関連をもつ非同一の鍵情報を用いて暗号化及び復号化
を行う非対称鍵暗号方式を用いてセキュアパスを形成す
るもの。

【００６１】（３６）ＩＣカード装置とデータのやり取
りを行うカード端末装置とこれに計算機ネットワークを
介して接続されたリモートホストとの間に設けられるＩ
Ｃカードシステム用のプロキシ装置であって、前記カー
ド端末装置において実現するユーザインタフェースに関
わるＵＩリクエスト情報を受信するＵＩリクエスト情報
受信手段と、前記受信したＵＩリクエスト情報の内容に
基づいて前記カード端末装置におけるユーザインタフェ
ース部品に関わるＵＩ情報を前記カード端末装置に送信
するＵＩ情報送信手段とを備えたもの。

【００６２】（３７）前記ＵＩ情報として、文字フォン
トに関わる文字画像情報を用いるもの。 （３８）前記ＵＩ情報として、前記カード端末装置のユ
ーザインタフェースに関わるハードウェアを動作させる
手順及びデータのまとまりであるプログラム情報を用い
るもの。 （３９）前記ＵＩ情報として、前記カード端末装置の種
類または構成もしくは動作状態によって異なるプログラ
ム情報を用いるもの。

【００６３】（４０）ＩＣカード装置とデータのやり取
りを行うカード端末装置とこれに計算機ネットワークを
介して接続されたリモートホストとの間に設けられるＩ
Ｃカードシステム用のプロキシ装置であって、前記カー
ド端末装置の認証を行う端末認証手段と、前記認証結果
を基に前記カード端末装置の信頼度を評価する端末信頼
度評価手段と、データの暗号化と復号化の少なくとも一
方を行う暗号処理手段とを備え、前記ＩＣカード装置と
の間で暗号化されたデータを受け渡すための秘匿性を持
った通信路であるセキュアパスを形成し、このセキュア
パスを介して前記カード端末装置の信頼度評価結果を前
記ＩＣカード装置へ送るもの。

【００６４】（４１）ＩＣカード装置とデータのやり取
りを行うカード端末装置とこれに計算機ネットワークを
介して接続されたリモートホストとの間に設けられるＩ
Ｃカードシステム用のプロキシ装置であって、データの
暗号化と復号化の少なくとも一方を行う暗号処理手段と
を備え、前記ＩＣカード装置との間で暗号化されたデー
タを受け渡すための秘匿性を持った通信路であるセキュ
アパスを形成し、このセキュアパスを介して前記ＩＣカ
ード装置から前記カード端末装置の信頼度評価結果を受
け取るもの。 （４２）前記端末認証手段と前記端末信頼度評価手段の
少なくとも一方が、前記カード端末装置の計算機ネット
ワークへの接続に関わる固有かつ一意の情報を用いて動
作するもの。

【００６５】（４３）前記カード端末装置に送信する任
意のデータについて送信前に情報内容の制御処理を行う
送信情報制御手段を備え、この送信情報制御手段は、前
記カード端末装置の信頼度評価結果に基づいて前記カー
ド端末装置へ送る情報の一部もしくは全部に対して変更
を加えるもの。 （４４）前記送信情報制御手段は、前記信頼度評価結果
としてカード端末装置の信頼度が低く送信した情報が不
正に利用される可能性があると認識された場合に、当該
カード端末装置に対してプロキシ装置から送信する情報
の一部もしくは全てを削除もしくは変更するもの。 （４５）前記送信情報制御手段は、前記カード端末装置
に送信する情報のうち、当該プロキシ装置が保持する機
密情報に関わる情報を削除もしくは変更するもの。 （４６）前記送信情報制御手段は、前記カード端末装置
に送信する情報のうち、当該プロキシ装置が保持するＩ
Ｃカードユーザまたはプロキシユーザのプライバシに関
わる情報を削除もしくは変更するもの。

【００６６】（４７）前記カード端末装置において実現
するユーザインタフェース部品に関わるＵＩ情報を前記
カード端末装置に送信するＵＩ情報送信手段を備え、前
記送信情報制御手段は、前記信頼度評価結果としてカー
ド端末装置の信頼度が低く送信した情報が不正に利用さ
れる可能性があると認識された場合に、当該カード端末
装置に対してプロキシ装置からＵＩ情報を送信する前
に、前記ＵＩ情報の中から機密情報表示に関わる部分を
削除もしくは機密を保護する状態に変更し、その処理後
のＵＩ情報を前記カード端末装置へ送るもの。

【００６７】（４８）前記カード端末装置において実現
するユーザインタフェース部品に関わるＵＩ情報を前記
カード端末装置に送信するＵＩ情報送信手段を備え、前
記送信情報制御手段は、前記信頼度評価結果としてカー
ド端末装置の信頼度が低く送信した情報が不正に利用さ
れる可能性があると認識された場合に、当該カード端末
装置に対してプロキシ装置からＵＩ情報を送信する前
に、前記ＵＩ情報の中から機密情報入力に関わる部分を
削除もしくは機密を保護する状態に変更し、その処理後
のＵＩ情報を前記カード端末装置へ送るもの。

【００６８】（４９）ＩＣカード装置とデータのやり取
りを行うカード端末装置とこれに計算機ネットワークを
介して接続されたリモートホストとの間に設けられるＩ
Ｃカードシステム用のプロキシ装置であって、前記リモ
ートホストからの要求に応じて前記カード端末装置を用
いて入力する機密情報の変換を行う機密情報変換手段を
備え、前記機密情報変換手段は前記カード端末装置より
入力された第１の機密情報データを当該カード端末装置
に対して秘匿性を持った第２の機密情報データに変換
し、この第２の機密情報データを前記リモートホストへ
送るもの。

【００６９】（５０）ＩＣカード装置とデータのやり取
りを行うカード端末装置とこれに計算機ネットワークを
介して接続されたリモートホストとの間に設けられるＩ
Ｃカードシステム用のプロキシ装置であって、前記リモ
ートホストからの要求に応じて前記カード端末装置を用
いて入力する機密情報に関して、前記カード端末装置よ
り入力された第１の機密情報データが当該カード端末装
置に対して秘匿性を持った状態に変換された第２の機密
情報データを、前記ＩＣカード装置から受け取って前記
リモートホストへ送る機密情報獲得手段を備えたもの。

【００７０】（５１）前記機密情報変換手段は変換用の
変換キーデータを生成してこれを前記カード端末装置を
通じてＩＣカードユーザに提示し、前記カード端末装置
より入力された第１の機密情報データから前記変換キー
データを用いて前記第２の機密情報データを生成するも
の。 （５２）前記変換キーデータと前記第１の機密情報デー
タとを一対一に対応させて同一の第２の機密情報データ
を生成するための異なるデータの組を複数設けたもの。

【００７１】（５３）前記カード端末装置において実現
するユーザインタフェース部品に関わるＵＩ情報を前記
カード端末装置に送信するＵＩ情報送信手段を備え、前
記ＵＩ情報として、前記リモートホストから要求される
機密情報として前記第２の機密情報データの代わりに前
記第１の機密情報データを入力すべきことをＩＣカード
ユーザに指示するためのＵＩ部品情報を用いるもの。

【００７２】（５４）ＩＣカード装置とデータのやり取
りを行うＩＣカードシステム用のカード端末装置であっ
て、当該カード端末装置は計算機ネットワーク上におい
て設けられるプロキシ装置と接続され、前記プロキシ装
置から送られた当該カード端末装置におけるユーザイン
タフェース部品に関わるＵＩ情報を受信するＵＩ情報受
信手段と、前記受信したＵＩ情報の内容に基づいて前記
ＩＣカード装置とのデータ通信に関するユーザインタフ
ェースを実行するＵＩ実行手段とを備えたもの。

【００７３】（５５）前記ＵＩ情報として、文字フォン
トに関わる文字画像情報を用いるもの。 （５６）前記ＵＩ情報として、当該カード端末装置のユ
ーザインタフェースに関わるハードウェアを動作させる
手順及びデータのまとまりであるプログラム情報を用い
るもの。 （５７）前記ＵＩ情報として、当該カード端末装置の種
類または構成もしくは動作状態によって異なるプログラ
ム情報を用いるもの。

【００７４】（５８）ＩＣカード装置とデータのやり取
りを行うＩＣカードシステム用のカード端末装置であっ
て、当該カード端末装置は計算機ネットワーク上におい
て設けられる複数のプロキシ装置と接続され、前記ＩＣ
カード装置からの問い合わせに応じて、予め定めた規則
に従って使用に適するプロキシ装置を選択するための処
理を行うプロキシ選択処理手段を備えたもの。

【００７５】（５９）当該カード端末装置の所有者もし
くは運用者に対して金銭的もしくは事業的に有利となる
状態を電子情報のやりとりによって生じさせるインセン
ティブを受けるインセンティブ獲得手段を備え、このイ
ンセンティブに関する情報を前記ＩＣカード装置との間
で通信するもの。 （６０）前記インセンティブとして広告情報を用い、前
記インセンティブ獲得手段はこの広告情報を前記ＩＣカ
ード装置に送信するもの。 （６１）前記インセンティブとして金銭あるいは有価値
物に関連した有価値電子情報を用い、前記インセンティ
ブ獲得手段は前記ＩＣカード装置からこの有価値電子情
報を受信するもの。

【００７６】（６２）上記（１）〜（２９）のいずれか
に記載のＩＣカードシステム用のＩＣカード装置を実現
するための処理手順及びデータを記録したコンピュータ
読取可能な情報記録媒体。 （６３）上記（３０）〜（５３）のいずれかに記載のＩ
Ｃカードシステム用のプロキシ装置を実現するための処
理手順及びデータを記録したコンピュータ読取可能な情
報記録媒体。 （６４）上記（５４）〜（６１）のいずれかに記載のＩ
Ｃカードシステム用のカード端末装置を実現するための
処理手順及びデータを記録したコンピュータ読取可能な
情報記録媒体。

【００７７】

【発明の実施の形態】以下、図面を参照して本発明の実
施の形態を説明する。

【００７８】［第１実施形態］図１は本発明の第１実施
形態に係るＩＣカードシステムの構成を示すブロック図
である。

【００７９】本実施形態のＩＣカードシステムは、半導
体記憶手段を搭載したカード本体を含むＩＣカード装置
に相当するＩＣカード１０１、ＩＣカード１０１とデー
タ通信を行うカード端末装置に相当する利用機１０２、
ＩＣカード１０１に対して情報の提供等を行うホストコ
ンピュータであるリモートホスト１０４、利用機１０２
とリモートホスト１０４との間に設けられＩＣカード１
０１とリモートホスト１０４の両者に対してデータ通信
を行うプロキシ装置１０３を備えて構成される。利用機
１０２とプロキシ装置１０３の間、及びプロキシ装置１
０３とリモートホスト１０４の間は、インターネット等
の計算機ネットワーク１０５によって接続されている。
なお、利用機１０２とリモートホスト１０４は、共通の
計算機ネットワークに接続されていても、また異なる計
算機ネットワークに接続されていても良いが、プロキシ
装置１０３は、利用機１０２及びリモートホスト１０４
の両者とそれぞれ共通の計算機ネットワークに接続さ
れ、両者と通信が可能なように構成されている。

【００８０】利用機１０２にはＩＣカードリーダライタ
１０８が設けられている。ＩＣカード１０１として接触
型ＩＣカードを適用した場合、ＩＣカード１０１はＩＣ
カードリーダライタ１０８に挿入もしくは接続され、電
気信号を用いて利用機１０２と通信を行う。また、ＩＣ
カード１０１に非接触型ＩＣカードを適用した場合に
は、ＩＣカード１０１はＩＣカードリーダライタ１０８
との間で電波信号をやりとりすることにより、利用機１
０２と通信を行う。

【００８１】ＩＣカード１０１は、内部に送信用データ
保持手段１０６とデータ送信手段１０７とを備えてい
る。送信用データ保持手段１０６は、ＩＣカード１０１
に内蔵されるＩＣチップのメモリ等を用いて実現され
る。データ送信手段１０７は、送信用データ保持手段１
０６が保持するデータを読み取ってＩＣカードリーダラ
イタ１０８に送信するもので、ＩＣカード１０１に内蔵
される通信ハードウェア及びそれを駆動するための処理
装置とソフトウェアプログラムによって実現される。

【００８２】なお、以下の実施形態において示す機能的
構成による各手段は、前記データ送信手段１０７と同様
に、各構成装置がもつハードウェアと、それを駆動する
ための処理装置及びソフトウェアプログラムにより実現
されるものである。

【００８３】利用機１０２は、内部にＩＣカードリーダ
ライタ１０８からデータを受け取るデータ受信手段１０
９と、データ受信手段１０９が受信したデータを計算機
ネットワーク１０５を介してプロキシ装置１０３に送信
するデータ転送手段１１０とを備えている。

【００８４】プロキシ装置１０３は、内部に計算機ネッ
トワーク１０５を介して利用機１０２から受信したデー
タを別のデータに変換するデータ変換手段１１１を備え
ている。このプロキシ装置１０３は、データ変換手段１
１１が作成した変換後のデータを、計算機ネットワーク
１０５を介してリモートホスト１０４に送信し、リモー
トホスト１０４はこれを受信する。

【００８５】ＩＣカード１０１が利用機１０２を介して
プロキシ装置１０３と通信を開始するに先立って、予め
ＩＣカード１０１内のアプリケーションプログラムとプ
ロキシ装置１０３のデータ変換手段１１１との間で、デ
ータ変換の規則と方法についての取り決めを作ってお
く。

【００８６】例えば、ｘというデータを与えた場合はｆ
（ｘ）というデータに変換される規則とし、変換方法ｆ
についてＩＣカード１０１とプロキシ装置１０３のみが
知っている状態を作る。この取り決めはＩＣカード１０
１の発行以前に行っても良いし、ＩＣカード１０１の発
行後も、ＩＣカード１０１とプロキシ装置１０３との間
で充分にセキュアな通信が可能な条件下であれば行うこ
とができる。

【００８７】ＩＣカード１０１のユーザがリモートホス
ト１０４にデータを送信する場合、ＩＣカード１０１の
送信用データ保持手段１０６にデータｘを格納し、デー
タ送信手段１０７はこのデータｘを利用機１０２のＩＣ
カードリーダライタ１０８を介してデータ受信手段１０
９に送る。次に、データ受信手段１０９はデータ転送手
段１１０にデータｘを渡し、データ転送手段１１０はデ
ータｘを計算機ネットワーク１０５を介してプロキシ装
置１０３のデータ変換手段１１１に送る。

【００８８】ここで、利用機１０２は変換方法ｆを知ら
ないため、プロキシ装置１０３の内部でデータ変換手段
１１１が出力するデータｆ（ｘ）を知ることはできな
い。よって、プロキシ装置１０３がｆ（ｘ）を用いてリ
モートホスト１０４と通信を行えば、結果としてＩＣカ
ード１０１のユーザは利用機１０２に知られることなく
データｆ（ｘ）を用いた通信をリモートホスト１０４と
の間で行うことが可能となる。

【００８９】特に、ｆ（ｘ）を逆変換可能なものに定
め、ｆの逆変換をｇ（ｙ）としたとき、ＩＣカード１０
１はｇ（ｙ）を送信用データ保持手段１０６に置くこと
により、データｙを利用機１０２に知られることなくリ
モートホスト１０４に送ることが可能となる。その際、
リモートホスト１０４にはｆ（ｘ）を得るためのデータ
変換手段は不要である。さらに、プロキシ装置１０３は
それ自身がネットワークを利用してリモートホスト１０
４と通信を行えるため、従来は利用機１０２に依存して
いたネットワーク通信、ユーザインタフェース形成等に
関わる情報を全て利用機１０２に秘匿しつつ、プロキシ
装置１０３が得ることが可能となる。

【００９０】上記のようなプロキシ装置は不正侵入が困
難な安全な建物内等に設置することが容易であり、これ
は街頭等の不特定多数の人間が出入りする場所に置かれ
る利用機と比較してセキュリティ強度を容易に高めるこ
とが可能である。通常、キオスク端末用として専用に作
られた計算機は特に強固なセキュリティを確保したハー
ドウェアを使用するが、本実施形態によれば、そのよう
なハードウェアを使用しなくともＩＣカードユーザに被
害を及ぼし難い利用機を設置できる。また、ＩＣカード
ユーザもセキュリティ強度の弱い利用機を安全に利用で
きることになり、その実用的効果は大きい。

【００９１】このように、本実施形態の構成では、ＩＣ
カードユーザは利用機に通信内容を知られることなくＩ
Ｃカードとプロキシ装置との間で通信を行うことができ
るため、アクセス先や通信内容を秘匿してセキュリティ
を確保した状態で利用機を使用することが可能となる。
よって、利用機において必ずしも強固なセキュリティ上
の保証をする必要がなく、利用機設置に関するハードウ
ェア価格や運営コストを低減することも可能である。Ｉ
Ｃカードユーザは、街頭等の不特定多数の人間が訪れる
場所に設置ている場合など、利用機の信頼度が不明確な
場合であっても十分なセキュリティを確保でき、安心し
て使用することができる。

【００９２】［第２実施形態］図２は本発明の第２実施
形態に係るＩＣカードシステムの構成を示すブロック図
である。第２実施形態は、第１実施形態と同様に、イン
ターネット上のサービスを受けるアプリケーションを搭
載したＩＣカード２０１、リモートホスト２０４を備え
て構成される。これらは、図２で模式的に示すインター
ネット空間２０５に設けられる。利用機２０２とプロキ
シ装置２０３、及びプロキシ装置２０３とリモートホス
ト２０４は、それぞれインターネット空間２０５におい
て形成されるネットワークコネクション（仮想的なデー
タ通信経路を持つ関係）２０６、２０７により接続され
る。なお、個々の装置が具備する手段は図１の第１実施
形態と同様である。

【００９３】ＩＣカード２０１に載せるアプリケーショ
ンとしては、インターネット上のリモートホスト２０４
（World Wide Webサービスを提供するウェブサイト）へ
アクセスし、リモートホスト２０４からの情報をＩＣカ
ード２０１内のメモリに取得、もしくはＩＣカード２０
１内のメモリに保持している情報をリモートホスト２０
４に登録するソフトウェアを想定する。

【００９４】図３は、本実施形態におけるアクセス先情
報及び通信キーデータの関係を例示したものである。こ
こで、符号３０１はＩＣカード２０１のアプリケーショ
ンがアクセスしようとするリモートホスト２０４のイン
ターネットにおける存在場所（ＵＲＬ）を記したアクセ
ス先情報であり、符号３０２はアクセス先情報３０１か
ら第１実施形態に示した変換ｇによって得た通信キーデ
ータである。なお、アクセス先情報３０１と変換ｇは省
略し、初めから変換済みの通信キーデータ３０２を保持
していても良い。また、符号３０３及び３０４は通信キ
ーデータ３０２がそれぞれ利用機２０２とプロキシ装置
２０３に渡った状態を示すもので、通信キーデータ３０
２と同一のものである。符号３０５は通信キーデータ３
０４から変換ｆによって得られるアクセス先情報であ
り、アクセス先情報３０１と同一のものとなる。

【００９５】図４は本実施形態におけるアクセス先秘匿
処理の流れを示したフローチャートであり、図１〜３と
合わせて以下その動作を説明する。ＩＣカード２０１の
ユーザは、ＩＣカード２０１を利用機２０２に挿入する
ことにより上記のインターネットサービスを受けられ
る。ここで利用機２０２は、例えば街頭、駅、公共施
設、店舗等に置かれた共用端末で、不特定多数のユーザ
が利用することを前提に設置され、ＩＣカード２０１の
ユーザは利用機２０２の運用、管理のポリシー等につい
て知らされていない状況を想定する。

【００９６】ＩＣカード２０１は、まずアクセス先のＵ
ＲＬ（Uniform Resource Locator；サービス提供ホスト
のインターネット空間におけるホスト特定情報（ドメイ
ン名及びサーバ名など）と基本的な通信プロトコルとを
含んだ文字情報）を示すアクセス先情報３０１をｇで変
換し（ステップ４０１）、通信キーデータ３０２を生成
して送信用データ保持手段１０６に格納する（ステップ
４０２）。次いで、データ送信手段１０７を用いて通信
キーデータ３０２をＩＣカードリーダライタ１０８を介
して利用機２０２に送信する（ステップ４０３）。

【００９７】次に、利用機２０２はデータ受信手段１０
９を用いて通信キーデータ３０３を受信する。（ステッ
プ４０４）。続いて、利用機２０２はプロキシ装置２０
３と通信するためのネットワークコネクション２０６を
インターネット空間２０５内に形成する（ステップ４０
５）。なお、コネクション形成の際に用いるプロキシ装
置２０２のＵＲＬは、利用機２０２が予め保持しておい
ても良いし、既知のＩＣカード・利用機間通信技術を用
いてＩＣカード２０１から利用機２０２に伝達しても良
い。

【００９８】ネットワークコネクション２０６を形成し
た後、利用機２０２はデータ転送手段１１０を用いて通
信キーデータ３０３を内容を改変せずにプロキシ装置２
０３に送信し（ステップ４０６）、プロキシ装置２０３
はこれを通信キーデータ３０４として受信する（ステッ
プ４０７）。利用機２０２が通信キーデータ３０３を改
変せずに転送したことは、既知のデータ照合技術を用い
て確認できる。

【００９９】次に、プロキシ装置２０３はデータ変換手
段１１１を用いて通信キーデータ３０４に対し変換ｆを
行い（ステップ４０８）、ＩＣカード２０１が意図した
通りのアクセス先情報３０５を獲得する（ステップ４０
９）。最後に、プロキシ装置２０３は獲得したアクセス
先情報３０５から得たリモートホスト２０４の情報（Ｕ
ＲＬ等）を用いて、インターネット空間２０５内にネッ
トワークコネクション２０７を形成する（ステップ４１
０）。

【０１００】なお、本実施形態ではアクセス先情報３０
１及び３０５をＵＲＬとした構成例を示したが、その他
のホスト特定情報及び通信方法特定情報によって構成す
ることもできる。また、本実施形態では計算機ネットワ
ークとしてインターネットを適用した構成例を示した
が、無線ネットワークを含めたその他の計算機ネットワ
ークによって構成することもできる。

【０１０１】また、本実施形態に示した処理フローに先
立ち、従来の認証技術を用いてＩＣカード２０１とプロ
キシ装置２０３の両者間で認証を行うことにより、利用
機２０２とプロキシ装置２０３が示し合わせてＩＣカー
ド２０１を騙すことによる不正行為を防止することがで
きる。この不正行為の例としては、プロキシ装置２０３
が獲得したアクセス先情報３０５を、プロキシ装置２０
３自身が利用機２０２に教えてしまうことが考えられ
る。なお、このような不正行為を防止するために、ＩＣ
カード２０１はプロキシ装置２０３に情報を渡す処理に
先立ち、プロキシ装置２０３が正当でかつ安全であるこ
とを確認すべきである。これは本発明における他の実施
形態においても同様である。

【０１０２】以上のように、ＩＣカードが発する通信キ
ーデータを図３のようにプロキシ装置がアクセス先情報
に変換することによって、利用機がリモートホストに対
して直接ネットワークコネクションを形成することなく
なるため、ＩＣカード上のアプリケーションが計算機ネ
ットワーク上のどのホストに、どのような方法でアクセ
スしたかの情報が利用機を通じて漏洩する問題が回避さ
れ、その実用的効果は大きい。この本実施形態の手段に
よって、［発明が解決しようとする課題］の欄に示した
第１の問題点を明確に解決することができる。

【０１０３】［第３実施形態］図５は本発明の第３実施
形態に係るＩＣカードシステムの構成を示すブロック図
である。第３実施形態は、第１実施形態と同様に、ＩＣ
カード５０１、利用機５０２、プロキシ装置５０３、リ
モートホスト５０４を有して構成され、利用機５０２と
プロキシ装置５０３、及びプロキシ装置５０３とリモー
トホスト５０４はそれぞれ計算機ネットワーク５０５を
介して接続される。利用機５０２はＩＣカードリーダラ
イタ５０６を具備している。これらは図１の第１実施形
態における各装置と同様な構成要素を持っている。

【０１０４】ＩＣカード５０１は、内部に既知の暗号技
術を用いて情報の暗号化及び復号化を行う暗号処理手段
５０７を備えている。プロキシ装置５０３は、内部に暗
号処理手段５０７と対になって一方が暗号化した情報を
他方が復号化する暗号処理手段の機能を併せ持ったデー
タ変換手段５０８を備えている。これらの暗号処理手段
５０７とデータ変換手段（暗号処理手段）５０８との間
には、セキュアパス５０９が形成される。

【０１０５】このセキュアパス５０９は、ＩＣカード５
０１の暗号処理手段５０７が暗号化したデータを第１実
施形態と同様の方法でプロキシ装置５０３のデータ変換
手段５０８に渡すことによって、利用機５０２に内容を
秘匿しながら情報を伝達することにより形成されるセキ
ュアな（所望のセキュリティを確保した）仮想的データ
通信経路である。また、プロキシ装置５０３のデータ変
換手段５０８が情報の暗号化を行い、第１実施形態と逆
方向にデータを送信し、さらにＩＣカード５０１の暗号
処理手段５０７が情報を復号化することにより、セキュ
アパス５０９は双方向のデータ通信経路となる。プロキ
シ装置５０３は、セキュアパス５０９を通じてＩＣカー
ド５０１から得た情報を用いてリモートホスト５０４と
通信を行い、またリモートホスト５０４から得た情報を
セキュアパス５０９を通じてＩＣカード５０１に渡す。

【０１０６】以上のように、本実施形態ではＩＣカード
５０１とプロキシ装置５０２の間にセキュアパス５０９
を設けることにより、利用機５０２に内容を秘匿しなが
らＩＣカード５０１とリモートホスト５０４との間の通
信が可能となる。その際、リモートホスト５０４にはＩ
Ｃカード５０１の暗号処理手段５０７と対になる暗号処
理手段を付加する必要がない。このため、リモートホス
ト５０４として既存のインターネットサービスホストを
適用した場合、ホストの構成を変更せずにＩＣカード５
０１との間でセキュアなデータ送受が可能となる。

【０１０７】また、サービスの性格によってプロキシ装
置５０３とリモートホスト５０４の間で独自のセキュリ
ティ処理を施すことも容易であり、あるいはプロキシ装
置５０３とリモートホスト５０４の間ではセキュリティ
手段を設けず、課金等に関するセキュアな処理は全てプ
ロキシ装置５０３が行うというような適用も可能であ
り、その実用的効果は大きい。

【０１０８】［第４実施形態］第４実施形態として、図
２に示したＩＣカードシステムの構成、図３に示したデ
ータフロー及び図４に示した処理フローと同様の処理
を、図５に示したセキュアパスを用いて実現したシステ
ムも例示できる。すなわち、ＩＣカード２０１が保持す
るアクセス先情報３０１を、暗号処理手段５０７を用い
て暗号化し、セキュアパス５０９を通じてプロキシ装置
２０３のデータ変換手段５０８に渡し、アクセス先情報
３０５を得るものである。

【０１０９】この実施形態では、第２実施形態と同等の
効果が得られるが、さらにセキュアパスを使うことによ
り、アクセス先のみでなくネットワークコネクション形
成後の通信内容も全て利用機に対して秘匿できる効果が
ある。第４実施形態によって、第２実施形態と同様に
［発明が解決しようとする課題］の欄に示した第１の問
題点を明確に解決することができる。

【０１１０】［第５実施形態］図６は本発明の第５実施
形態に係るＩＣカードシステムの構成を示すブロック図
である。第５実施形態は、第１実施形態と同様に、ＩＣ
カード６０１、利用機６０２、プロキシ装置６０３、リ
モートホスト６０４を有して構成され、利用機６０２と
プロキシ装置６０３、及びプロキシ装置６０３とリモー
トホスト６０４はそれぞれ計算機ネットワーク６０５を
介して接続される。利用機６０２はＩＣカードリーダラ
イタ６０６を具備している。これら各構成装置の基本的
な構成と関係は図１の第１実施形態と同様である。

【０１１１】ＩＣカード６０１は、内部に既知の暗号技
術を用いて情報の暗号化及び復号化を行う第１の暗号処
理手段６０７及び第２の暗号化手段６１０を備えてい
る。第１の暗号処理手段６０７と第２の暗号化手段６１
０とは、互いに異なる暗号処理の仕組を用いるか、もし
くは同一の暗号処理の仕組を異なる鍵を用いて利用する
構成をとる。プロキシ装置６０３は、内部に第１の暗号
化手段６０７と対になってセキュアパス６０９を形成す
る第１の復号化手段６０８を備えている。また、リモー
トホスト６０４は、内部に第２の暗号化手段６１０と対
になってセキュアパス６１２を形成する第２の復号化手
段６１１を備えている。

【０１１２】この場合、初めは第２の暗号化手段６１０
が生成した暗号化データはセキュアパス６０９を介して
プロキシ装置６０３に渡す。もしくは、利用機６０２に
よる復号が困難であるという条件を満足すれば、セキュ
アパス６０９を介さずにプロキシ装置６０３に渡しても
良い。いずれの場合もプロキシ装置６０３は第２の暗号
化手段６１０が生成したデータをそのままリモートホス
ト６０４に転送する。これにより、ＩＣカード６０１と
リモートホスト６０４を直接結ぶ新たなセキュアパス６
１２が形成される。

【０１１３】なお、本実施形態では各暗号化手段と各復
号化手段の働きで各セキュアパスを単一方向の通信に用
いる例で説明したが、暗号化と復号化を逆に用いる構成
を採ることにより、各セキュアパスを双方向通信に用い
ることも可能である。

【０１１４】上記のように、本実施形態によれば、ＩＣ
カード６０１のユーザ及びＩＣカード６０１内に設けた
アプリケーションは、セキュアパス６０９を用いて利用
機６０２に情報を秘匿しながらプロキシ装置６０３とセ
キュアな通信を行うことができ、さらにセキュアパス６
１２を用いて利用機６０２に情報を秘匿しながらリモー
トホスト６１１とセキュアな通信を行うことができる。
さらに、各暗号化手段及び復号化手段の暗号強度を充分
に確保すれば、利用機及びプロキシ装置以外にも、デー
タ通信経路上の様々な装置もしくは手段による情報の漏
洩を防ぐことが可能となり、その実用的効果は大きい。

【０１１５】［第６実施形態］第６実施形態として、図
６の構成において、ＩＣカード６０１からプロキシ装置
６０３へ、セキュアパス６０９を用いてリモートホスト
６０４のアクセス先情報を渡し、さらにＩＣカード６０
１からリモートホスト６０４へ、セキュアパス６１２を
用いてアクセス先情報以外の任意の情報を渡すようなシ
ステムも例示できる。この場合、第５実施形態の効果に
加えて、ＩＣカード６０１とリモートホスト６０４の間
において、利用機６０２だけでなくプロキシ装置６０３
に対しても情報を秘匿した通信を可能にする効果があ
る。

【０１１６】［第７実施形態］第７実施形態として、図
５における暗号処理手段５０７、データ変換手段５０
８、あるいは図６における第１の暗号化手段６０７、第
１の復号化手段６０８、第２の暗号化手段６１０、第２
の復号化手段６１１を、それぞれ相互に対応関係を持つ
手段間において共通の鍵を用いる対称鍵暗号方式を用い
て実現したシステムも例示できる。この実施形態によれ
ば、第３〜第６実施形態と同等の効果が得られる。

【０１１７】［第８実施形態］第８実施形態として、図
５における暗号処理手段５０７、データ変換手段５０
８、あるいは図６における第１の暗号化手段６０７、第
１の復号化手段６０８、第２の暗号化手段６１０、第２
の復号化手段６１１を、それぞれ相互に対応関係を持つ
手段間において互いに対応付けられた異なる鍵を用いる
非対称鍵暗号方式を用いて実現したシステムも例示でき
る。非対称暗号方式としては既知の公開鍵暗号方式が適
用できる。

【０１１８】また、第７実施形態に示した構成と組み合
わせて、非対称暗号によって対称鍵暗号を渡し、セキュ
アパスを流れる情報の一部を対称鍵暗号を用いて秘匿化
することもできる。この場合、第３〜第６実施形態と同
等の効果が得られる他、鍵交換の簡便性と暗号処理の高
速性を得ることができる効果がある。

【０１１９】［第９実施形態］図７は本発明の第９実施
形態に係るＩＣカードシステムの構成を示すブロック図
である。第９実施形態は、第１実施形態と同様に、ＩＣ
カード７０１、利用機７０２、プロキシ装置７０３、リ
モートホスト７０４を有して構成され、利用機７０２と
プロキシ装置７０３、及びプロキシ装置７０３とリモー
トホスト７０４はそれぞれ計算機ネットワーク７０５を
介して接続される。利用機７０２はＩＣカードリーダラ
イタ７０６を具備している。これら各構成装置の基本的
な構成と関係は図１の第１実施形態と同様である。

【０１２０】ＩＣカード７０１は、ＩＣカード７０１の
ユーザもしくはアプリケーションが求めるユーザインタ
フェース（以下、適宜ＵＩと略記する）に関わる情報
（以下、ＵＩリクエスト情報と記する）を送信するＵＩ
リクエスト情報送信手段７０７を備えている。プロキシ
装置７０３は、前記ＵＩリクエスト情報を受けるＵＩリ
クエスト情報受信手段７０８と、利用機７０２における
ユーザインタフェースの形成と動作に関わる情報（以
下、ＵＩ情報と記する）を送信するＵＩ情報送信手段７
０９とを備えている。また、利用機７０２は、前記ＵＩ
情報を受けるＵＩ情報受信手段７１０と、ユーザインタ
フェースの形成及び動作の処理を行うＵＩ実行手段７１
１とを備えている。

【０１２１】ＩＣカード７０１は、ＵＩリクエスト情報
送信手段７０７を用いてＵＩリクエスト情報をＩＣカー
ドリーダライタ７０６を介して利用機７０２に渡し、さ
らに利用機７０２により計算機ネットワーク７０５を介
してプロキシ装置７０３のＵＩリクエスト情報受信手段
７０８に渡す。プロキシ装置７０３は、ＵＩ情報送信手
段７０９を用いて、受信したＵＩリクエスト情報に基づ
いて生成したＵＩ情報を計算機ネットワーク７０５を介
して利用機７０２のＵＩ情報受信手段７１０に渡す。

【０１２２】図８は本実施形態におけるＵＩ制御処理の
流れを示したフローチャートであり、図７と合わせて以
下その動作を説明する。ＩＣカード７０２に搭載したア
プリケーションが利用機７０２を通じてユーザとインタ
ラクション（入出力の受け答え）を取る場合、まずＩＣ
カード７０２はどのようなＵＩを必要とするのかを情報
化したＵＩリクエスト情報を生成する（ステップ８０
１）。次いで、ＵＩリクエスト情報送信手段７０７が前
記のＵＩリクエスト情報を、利用機７０２を介してプロ
キシ装置７０３に送信する（ステップ８０２）。

【０１２３】そして、プロキシ装置７０３のＵＩリクエ
スト情報受信手段７０８がＵＩリクエスト情報を受け取
り（ステップ８０３）、このＵＩリクエスト情報を用い
て利用機におけるＵＩ形成と動作に関わるＵＩ情報を生
成し（ステップ８０４）、ＵＩ情報送信手段７０９が利
用機７０２に送信する（ステップ８０５）。

【０１２４】次に、利用機７０２のＵＩ情報受信手段７
１０がプロキシ装置７０３からＵＩ情報を受信し（ステ
ップ８０６）、このＵＩ情報を用いてＵＩ実行のための
詳細な情報を生成する（ステップ８０７）。そして、利
用機７０２が持つ画面装置、キー入力装置、ポインティ
ング装置等のハードウェアを駆動してＵＩを実行する
（ステップ８０８）。

【０１２５】その後、利用機７０２上のＵＩによる入出
力を反映させながら、ＩＣカード７０１のアプリケーシ
ョンはリモートホスト７０４からサービスを受ける。そ
の際、リモートホスト７０４との通信はプロキシ装置７
０３を介しても良いし、利用機７０２が直接行っても良
い。また、ＩＣカード７０１のアプリケーションが使用
するサービスがプロキシ装置７０３までで閉じている場
合は、リモートホスト７０４は構成要素に含める必要は
ない。

【０１２６】このように、本実施形態では、ＩＣカード
７０１が発するＵＩリクエスト情報から、プロキシ装置
７０３内でＵＩ情報を生成して利用機７０２に送り、利
用機７０２では受信したＵＩ情報からＵＩを形成し実行
することにより、ＩＣカードユーザは適切なＵＩを利用
機上で使用できる。その際、ＵＩリクエスト情報を送る
ことでＩＣカード７０１に収めることのできない大容量
の情報をＵＩ情報に含むことが可能となり、その実用的
効果は大きい。

【０１２７】［第１０実施形態］第１０実施形態とし
て、前述した第９実施形態におけるＵＩ制御処理の具体
例を示す。ＩＣカードシステムの構成と処理の流れは第
９実施形態と同様である。図９はＩＣカードシステムに
おけるＵＩリクエスト情報及びＵＩ情報のデータ構造、
並びにＵＩ実行結果の一例を示す動作説明図である。

【０１２８】図９（Ａ）に示すように、ＩＣカード７０
１のＵＩリクエスト情報送信手段７０７が発するＵＩリ
クエスト情報９０１は、表示位置情報９０２、文字属性
情報９０３及び文字列情報９０４からなり、文字列情報
９０４は文字列を構成する文字コードの配列を有し、最
後の配列要素に終端記号を格納する。なお、文字列情報
９０４は終端記号の代わりに文字列配列の先頭もしくは
それ以前に文字数を格納したデータ構造を採っても良
い。

【０１２９】図９（Ｂ）に示すように、プロキシ装置７
０３のＵＩ情報送信手段７０９が発するＵＩ情報９０５
は、表示位置情報９０６及び画像イメージ情報９０７か
らなる。また、図９（Ｃ）はＵＩ情報９０５に基づいて
利用機７０２において実行されるＵＩ実行結果９０８を
示したものである。液晶表示パネル（ＬＣＤ）等からな
る表示画面装置９０９内に表示されるウィンドウ領域９
１０において、文字列画像９１１が表示されている。こ
こで、符号９１２及び９１３は文字列画像９１１の表示
位置であり、それぞれウィンドウ領域９１０の左端及び
上端からの距離を用いて表される。なお、表示位置の取
り方は他にも様々な方法があり、どの方法を用いても良
い。

【０１３０】次に、本実施形態における処理の流れを説
明する。図８で示した処理のステップ８０１で、ＩＣカ
ード７０１はＵＩリクエスト情報９０１を生成する。文
字列情報９０４には、ＩＣカード７０１のアプリケーシ
ョンが利用機７０２を通じてユーザに見せようとする文
字列の個々の文字コードを格納する。また、表示位置情
報９０２には文字列を表示させようとする位置を示した
データを格納し、文字属性情報９０３には文字のフォン
ト、色、大きさ、装飾等、表示内容を決定する際に必要
な情報を格納する。

【０１３１】そして、ステップ８０３でＵＩリクエスト
情報９０１を受け取ったプロキシ装置７０３は、続くス
テップ８０４で、文字属性情報９０３と文字列情報９０
４及びプロキシ装置が持つ文字フォントデータを用いて
文字列を視覚的に表現した画像イメージ情報９０７を生
成する。さらに、表示位置情報９０２を加工もしくはそ
のままのデータ内容で表示位置情報９０６を生成し、こ
れらの画像イメージ情報９０７と表示位置情報９０６と
をまとめてＵＩ情報９０５を生成する。

【０１３２】次に、ステップ８０６でＵＩ情報９０５を
受け取った利用機７０２は、続くステップ８０７で、表
示位置情報９０６及び画像イメージ情報９０７を取り出
し、必要であれば利用機７０２自身のハードウェア及び
ソフトウェアの条件に適合したデータ内容に変換する。
その後、ステップ８０７で利用機７０２の表示画面装置
９０９内のウィンドウ領域９１０に、表示位置９１２、
９１３にて文字列画像９１１を表示する。

【０１３３】なお、本実施形態では、ＵＩ情報９０５に
含まれる画像イメージ情報９０７を、文字列全体を表現
した単一の画像データで構成する例を示したが、画像イ
メージ情報９０７を細分化して個々の文字に対応した画
像データを複数格納する方法においても同様に実施可能
である。また、ＵＩリクエスト情報９０１に含まれる文
字列情報９０４には、終端記号だけでなく改行等の文字
列制御情報を含むこともでき、その場合ＵＩ情報生成時
もしくはＵＩ実行時に制御情報に対応した処理を行うこ
とで各種文字列制御が実施可能である。

【０１３４】また、ＵＩ情報９０５の生成及び受け渡し
以前に、プロキシ装置７０３が利用機７０２に対して、
使用しようとするフォントデータを持っているかどうか
を問い合わせ、持っていない場合は上記のように画像デ
ータとして送り、既に持っている場合は文字コードを送
る、という方法も実施可能である。また、本実施形態で
は利用機７０２のＵＩ実行手段７１１として表示画面装
置９０９を適用した例で説明したが、その他プリンタな
どの印刷装置等についても同様に実施可能である。

【０１３５】このように、本実施形態では、ＵＩリクエ
スト情報９０１に文字コードを含め、ＵＩ情報９０５に
文字コードに対応した画像イメージを含めることによ
り、利用機７０２が持っていない文字フォントによる文
字情報であっても、ＩＣカード７０１からのリクエスト
により使用可能となる。さらにＩＣカード７０１にフォ
ントデータを置くことなく実現することができるので、
ＩＣカード７０１において大量の文字情報を格納してお
く必要がなく、データ記憶容量を削減でき、その実用的
効果は大きい。

【０１３６】［第１１実施形態］第１１実施形態とし
て、前述した第９実施形態におけるＵＩ制御処理の第１
の変形例を示す。ＩＣカードシステムの構成と処理の流
れは第９実施形態と同様である。第１１実施形態では、
ＵＩ情報には、利用機７０２のハードウェアを利用して
ユーザインタフェースとして動作させるためのプログラ
ム情報を適用し、ＵＩリクエスト情報には前記のプログ
ラムが実行時に使用するパラメータ情報を適用する。Ｕ
Ｉ情報にはプログラム情報の他に任意のデータ情報を含
むこともでき、また、ＵＩリクエスト情報によって前記
データ情報もしくはプログラム情報自体を動的に生成し
ても良い。

【０１３７】本実施形態の場合、図８のフローチャート
においては、ステップ８０６で利用機７０２に渡された
ＵＩ情報は、ステップ８０８でＵＩ実行手段７１１によ
ってプログラムとして解釈され、実行される。

【０１３８】ここで、ＵＩリクエスト情報を、利用機７
０１の表示画面装置上に表示する文字、ボタン、入力領
域等のユーザインタフェース部品の情報から構成し、Ｕ
Ｉ情報をこれらのユーザインタフェース部品を配置し駆
動するプログラムとすることにより、ＩＣカード７０１
のアプリケーションが意図する様々なユーザインタフェ
ースを利用機７０２上で実行することができる。プログ
ラムの構成は、利用機７０２のハードウェアに依存した
機械語コードを用いるか、もしくは利用機７０２に特定
の言語のインタプリタもしくはプログラムを実行する仮
想マシンを搭載し、それらの上で動作するプログラムコ
ードを適用する。

【０１３９】このように、第１１実施形態によれば、Ｕ
Ｉ情報としてプログラム情報を適用することにより、利
用機７０２上で柔軟なユーザインタフェースを実行する
ことができ、その実用的効果は大きい。

【０１４０】［第１２実施形態］第１２実施形態とし
て、前述した第９実施形態におけるＵＩ制御処理の第２
の変形例を示す。ＩＣカードシステムの構成と処理の流
れは第９実施形態と同様である。また、ＵＩ情報として
プログラム情報を適用する点において第１１実施形態と
同様である。

【０１４１】第１２実施形態では、図８のフローチャー
トにおけるステップ８０４でＵＩ情報を生成する前に、
プロキシ装置７０３が保持する利用機７０２に関する情
報を用いるか、もしくはプロキシ装置７０３が利用機７
０２に問い合わせを行うことによって利用機７０２の構
成等の情報を獲得し、それに基づいてＵＩ情報に含まれ
るプログラムの内容を異なるものにする。

【０１４２】例えば、利用機７０２が持つ表示画面装置
の大きさや解像度に応じて、ユーザインタフェース部品
の配置や大きさを変更したり、入力装置の種類によって
異なるユーザインタフェース部品を配置したりすること
ができる。

【０１４３】このように、第１２実施形態によれば、Ｕ
Ｉ情報として用いるプログラム情報を利用機７０２の条
件に基づいて異なるものにすることにより、利用機７０
２が様々な種類の構成要素からの選択により構成される
場合でも適切なユーザインタフェースを得ることが可能
となり、その実用的効果は大きい。

【０１４４】［第１３実施形態］図１０は本発明の第１
３実施形態に係るＩＣカードシステムの構成を示すブロ
ック図である。第１３実施形態は、第１実施形態と同様
に、ＩＣカード１００１、利用機１００２、プロキシ装
置１００３、リモートホスト１００４を有して構成さ
れ、利用機１００２とプロキシ装置１００３、及びプロ
キシ装置１００３とリモートホスト１００４はそれぞれ
計算機ネットワーク１００５を介して接続される。利用
機１００２はＩＣカードリーダライタ１００６を具備し
ている。これら各構成装置の基本的な構成と関係は図１
の第１実施形態と同様である。

【０１４５】ＩＣカード１００１は、利用機１００２と
通信を行って利用機１００２の認証と識別を行う利用機
認証手段１００７と、利用機認証手段１００７の動作結
果を基に利用機１００２の信頼度がいかなるものである
かの評価を行う利用機評価手段１００８と、暗号化処理
を行う暗号処理手段１００９とを備えている。

【０１４６】また、プロキシ装置１００３は、ＩＣカー
ド１００１に対応して、暗号化処理を行う暗号処理手段
１０１０と、利用機１００２の信頼度評価を行う利用機
評価手段１０１１とを備えている。ＩＣカード１００１
の暗号処理手段１００９とプロキシ装置１００３の暗号
処理手段１０１０は対になって情報秘匿を行い、両者間
にセキュアパス１０１２を形成する。セキュアパス１０
１２形成についての処理手順は第５実施形態と同様であ
り、詳細説明は省略する。

【０１４７】図１１は本実施形態における利用機の信頼
度評価処理の流れを示したフローチャートであり、図１
０と合わせて以下その動作を説明する。ここでは、ＩＣ
カード１００１とプロキシ装置１００３が利用機１００
２の信頼度評価結果を共有する場合の処理を例示する。

【０１４８】まず、ＩＣカード１００１の利用機認証手
段１００７が利用機１００２の認証もしくは識別を行
い、利用機１００２が何者であるかを特定する（ステッ
プ１１０１）。その際、利用機１００２の固有情報を得
てＩＣカード１００１が保持する情報と照らし合わせて
認証を行う方法、またはＩＣカード１００１と利用機１
００２の間で通信を行い、パスワード情報等をやり取り
して認証を行う方法等が挙げられるが、基本的に識別及
び認証の方法には依存するものではない。既知の技術を
もって利用機の識別及び認証を実施可能である。

【０１４９】そして、利用機認証結果を基に、利用機評
価手段１００８が利用機の信頼度を評価し、利用機１０
０２が予め定めたセキュリティポリシ上の分類に基づい
てどの程度の信頼度であるのかを算出する（ステップ１
００３）。例えば、利用機の信頼度のカテゴリを３段階
に分け、「完全に安全」「ほぼ安全」「安全でない」と
評価する例で考えると、利用機評価手段１００８はこの
３つの状態を数値等の識別可能なデータをもって利用機
評価結果とする。さらに具体的な細分化の例として、
「利用機運用者による不正行為の可能性」「通りがかり
の人間による不正行為の可能性」「ネットワーク経由の
不正行為の可能性」をそれぞれ予測して、各項目の有無
のマトリクスにより利用機を細かいカテゴリに分類する
方法が挙げられる。この場合、それぞれの不正行為の可
能性有無によって、いかなる脅威が存在するかを想定す
ることが可能であり、その想定を基にセキュリティポリ
シを立てれば良い。

【０１５０】次に、セキュアパス１０１２を用いて、Ｉ
Ｃカード１００１はプロキシ装置１００３に利用機評価
結果を渡し（ステップ１１０４）、プロキシ装置１００
３が持つ利用機評価手段１０１１がこれを受けて、ＩＣ
カード１００１が持つ利用機評価手段１００８と利用機
１００２の信頼度評価結果を共有する。その後、プロキ
シ装置１００３は信頼度評価結果に基づいて予め定めた
規則に従って通信内容等を設定し、利用機１００２との
通信を行う。同様にリモートホスト１００４との通信も
行うが、本実施形態においては必ずしもリモートホスト
１００４は必要としない。なお、利用機評価手段１００
８が獲得する利用機評価結果のデータは、上記の例に限
らず様々な形態で実施しうる。

【０１５１】このように、第１３実施形態では、利用機
１００２を認証もしくは識別した結果から利用機１００
２の信頼度を評価し、その結果をＩＣカード１００１か
らプロキシ装置１００３にセキュアパス１０１２を介し
て渡すことにより、利用機１００２の信頼度をＩＣカー
ド１００１とプロキシ装置１００３の両者が共有するこ
とができ、利用機１００２やリモートホスト１００４に
対するその後の通信に反映させることができる。これは
主に、ＩＣカード１００１もしくはプロキシ装置１００
３が、不用意に渡してはならない情報を利用機１００２
に漏らしてしまうことを防止する作用に反映させること
ができ、信頼度に応じたセキュリティを確保した適切な
情報の送受信が可能となり、その実用的効果は大きい。

【０１５２】［第１４実施形態］図１２は本発明の第１
４実施形態に係るＩＣカードシステムの構成を示すブロ
ック図である。第１４実施形態は第１３実施形態の変形
例であり、プロキシ装置側に利用機認証手段等を設けた
ものである。図１２の各構成要素において、符号１２０
１〜１２０６は図１０における１００１〜１００６に、
符号１２０９〜１２１１は図１０における１００９〜１
０１１にそれぞれ対応している。

【０１５３】第１３実施形態と異なるのは、プロキシ装
置１２０３に利用機認証手段１２０７と利用機評価手段
１２０８が設けられることであり、利用機認証結果共有
時のデータの流れが第１３実施形態と逆方向になる。図
１３は本実施形態における利用機の信頼度評価処理の流
れを示したフローチャートである。この図１３のステッ
プ１３０１〜１３０４において、ＩＣカードと利用機の
役割が入れ替わる他は、図１１のステップ１１０１〜１
１０４と処理手順は同様である。

【０１５４】このように、プロキシ装置１２０３が利用
機１２０２を認証、識別し、信頼度の評価結果をＩＣカ
ード１２０１に渡すことにより、第１３実施形態と同様
に、信頼度の情報をプロキシ装置とＩＣカードで共有す
ることが可能となる。ただし、第１４実施形態において
はプロキシ装置１２０３が利用機１２０２を認証するこ
とができ、ＩＣカード１２０１が認証する場合と比較し
て強力かつ綿密な認証、識別及び信頼度評価が可能とな
るため、より一層セキュリティの強化を図ることがで
き、その実用的効果は大きい。

【０１５５】［第１５実施形態］第１５実施形態は、第
１４実施形態のさらなる変形例を示したものである。Ｉ
Ｃカードシステムの構成及び処理の流れはそれぞれ図１
２及び図１３と同様である。第１５実施形態では、プロ
キシ装置１２０３の利用機認証手段１２０７がステップ
１３０１で利用機１２０２を認証する際に、計算機ネッ
トワーク１２０５における利用機１２０２の固有情報を
用いる。例えば、計算機ネットワーク１２０５がインタ
ーネット等のＴＣＰ／ＩＰを通信プロトコルとして用い
るネットワークの場合、前記固有情報としてＩＰアドレ
スが利用できる。利用機認証手段１２０７は、利用機１
２０２のＩＰアドレスを元に認証、識別を行う。

【０１５６】このように、第１５実施形態では、計算機
ネットワーク１２０５に関連する利用機１２０２の固有
情報を用いることにより、利用機の認証や識別が容易に
かつ確実にでき、所望のセキュリティを確保したＩＣカ
ードシステムの運用が簡便に実現可能であるため、その
実用的効果は大きい。

【０１５７】［第１６実施形態］図１４は本発明の第１
６実施形態に係るＩＣカードシステムの構成を示すブロ
ック図である。第１６実施形態は、前述した第１３実施
形態に要素を追加した形で構成される。

【０１５８】すなわち、第１３実施形態と同様に、ＩＣ
カード１４０１、利用機１４０２、プロキシ装置１４０
３、リモートホスト１４０４を有して構成され、利用機
１４０２とプロキシ装置１４０３、及びプロキシ装置１
４０３とリモートホスト１４０４はそれぞれ計算機ネッ
トワーク１４０５を介して接続される。そして、ＩＣカ
ード１４０１は利用機認証手段１４０７、利用機評価手
段１４０８及び暗号処理手段１４０９を備え、プロキシ
装置１４０３は利用機認証手段１４１２、利用機評価手
段１４１３及び暗号処理手段１４１０を備えており、暗
号処理手段１４０９と１４１０との間でセキュアパス１
４１１を形成する。なお、図に示した例では利用機認証
手段は１４０７と１４１２の２つが存在するが、これら
は少なくとも片方が備えられていれば良い。

【０１５９】また、ＩＣカード１４０１は送信情報制御
手段１４１４を備え、この送信情報制御手段１４１４に
より、利用機評価手段１４０８の動作結果を基にしてＩ
Ｃカード１４０１から利用機１４０２に送信するデータ
内容を制御する。すなわち、利用機１４０２の信頼度の
高低に応じて、もしくは第１３実施形態で示したように
信頼度の要素がマトリクス上に細分化されている場合は
個々のセキュリティポリシに照らして、適切なデータを
送信する。その最も単純な例は、利用機評価結果を「信
頼できる」「信頼できない」の２値とし、「信頼できな
い」場合には「機密」に分類されたデータを一切送信し
ないことである。

【０１６０】このように、第１６実施形態では、ＩＣカ
ード１４０１の利用機評価手段１４０８の動作結果を用
いて送信情報制御手段１４１４が利用機１４０２の信頼
度に応じたデータを送信することにより、柔軟かつ強力
なセキュリティを得ることができ、その実用的効果は大
きい。この場合、ＩＣカード側で信頼度を判断して送信
データの内容を制御することが可能である。

【０１６１】［第１７実施形態］第１７実施形態は前述
した第１６実施形態の送信情報制御に関する第１の例で
あり、ＩＣカードシステムの構成は図１４と同様であ
る。第１７実施形態では、利用機評価手段１４０８の動
作結果を基に利用機１４０２の信頼度の高低を評価した
結果が「信頼できない」と判断される場合に、ＩＣカー
ド１４０１のアプリケーションが利用機１４０２に送信
しようとしていたデータについて、送信前に送信情報制
御手段１４１４が処理し、セキュリティポリシ上利用機
１４０２に対して漏らすべきでない情報を削除する。こ
れにより、利用機１４０２毎の信頼度に応じた情報秘匿
が可能となる。なお、信頼度評価結果を多値とし、各々
の信頼度の値に従って異なる方法でデータから情報の一
部もしくは全部を削除する方法でも同様に実施可能であ
る。

【０１６２】［第１８実施形態］第１８実施形態は前述
した第１６実施形態の送信情報制御に関する第２の例で
あり、ＩＣカードシステムの構成は図１４と同様であ
る。第１８実施形態では、送信情報制御手段１４１４
は、ＩＣカード１４０１が保持する機密情報を送信前に
チェックし、利用機評価手段１４０８が利用機１４０２
を「信頼できない」と判断した場合には、機密情報を送
信データから削除もしくは他のデータに変更する。これ
により、ＩＣカード１４０１が保持する機密情報の秘匿
を利用機１４０２毎の信頼度に応じて行うことが可能と
なる。

【０１６３】［第１９実施形態］第１９実施形態は前述
した第１６実施形態の送信情報制御に関する第３の例で
あり、ＩＣカードシステムの構成は図１４と同様であ
る。第１９実施形態では、送信情報制御手段１４１４
は、ＩＣカード１４０１が保持するＩＣカード１４０１
のユーザのプライバシに関わる情報を送信前にチェック
し、利用機評価手段１４０８が利用機１４０２を「信頼
できない」と判断した場合には、プライバシ情報を送信
データから削除もしくは他のデータに変更する。これに
より、ＩＣカード１４０１が保持するプライバシ情報の
秘匿を利用機１４０２毎の信頼度に応じて行うことが可
能となる。

【０１６４】［第２０実施形態］図１５は本発明の第２
０実施形態に係るＩＣカードシステムの構成を示すブロ
ック図である。第２０実施形態は、前述した第１４実施
形態に要素を追加した形で構成される。

【０１６５】すなわち、第１４実施形態と同様に、ＩＣ
カード１５０１、利用機１５０２、プロキシ装置１５０
３、リモートホスト１５０４を有して構成され、利用機
１５０２とプロキシ装置１５０３、及びプロキシ装置１
５０３とリモートホスト１５０４はそれぞれ計算機ネッ
トワーク１５０５を介して接続される。そして、ＩＣカ
ード１５０１は利用機認証手段１５０７、利用機評価手
段１５０８及び暗号処理手段１５０９を備え、プロキシ
装置１５０３は利用機認証手段１５１２、利用機評価手
段１５１３及び暗号処理手段１５１０を備えており、暗
号処理手段１５０９と１５１０との間でセキュアパス１
５１１を形成する。なお、図に示した例では利用機認証
手段は１５０７と１５１２の２つが存在するが、これら
は少なくとも片方が備えられていれば良い。

【０１６６】この第２０実施形態は、第１６実施形態と
比較した場合、送信情報制御手段１５１４をＩＣカード
１５０１ではなくプロキシ装置１５０３側に設けた点が
構成上異なる。この送信情報制御手段１５１４により、
利用機評価手段１５１３の動作結果を基にしてプロキシ
装置１５０３から利用機１５０２に送信するデータ内容
を制御する。すなわち、利用機１５０２の信頼度の高低
に応じて、セキュリティポリシ上好ましい状態のデータ
を送信する。

【０１６７】このように、第２０実施形態では、第１６
実施形態と同様に、プロキシ装置１５０３の利用機評価
手段１５１３の動作結果を用いて送信情報制御手段１５
１４が利用機１５０２の信頼度に応じたデータを送信す
ることにより、柔軟かつ強力なセキュリティを得ること
ができ、その実用的効果は大きい。この場合、ＩＣカー
ド側で利用機の信頼度がわからなくても、プロキシ装置
側で信頼度を判断して送信データの内容を制御すること
が可能である。

【０１６８】［第２１実施形態］第２１実施形態は前述
した第２０実施形態の送信情報制御に関する第１の例で
あり、ＩＣカードシステムの構成は図１５と同様であ
る。第２１実施形態では、利用機評価手段１５１３の動
作結果を基に利用機１５０２の信頼度の高低を評価した
結果が「信頼できない」と判断される場合に、プロキシ
装置１５０３のアプリケーションが利用機１５０２に送
信しようとしていたデータについて、送信前に送信情報
制御手段１５１４が処理し、セキュリティポリシ上利用
機１５０２に対して漏らすべきでない情報を削除する。
これにより、利用機１５０２毎の信頼度に応じた情報秘
匿が可能となる。なお、信頼度評価結果を多値とし、各
々の信頼度の値に従って異なる方法でデータから情報の
一部もしくは全部を削除する方法でも同様に実施可能で
ある。

【０１６９】［第２２実施形態］第２２実施形態は前述
した第２０実施形態の送信情報制御に関する第２の例で
あり、ＩＣカードシステムの構成は図１５と同様であ
る。第２２実施形態では、送信情報制御手段１５１４
は、プロキシ装置１５０３が保持する機密情報を送信前
にチェックし、利用機評価手段１５１３が利用機１５０
２を「信頼できない」と判断した場合には、機密情報を
送信データから削除もしくは他のデータに変更する。こ
れにより、プロキシ装置１５０３が保持する機密情報の
秘匿を利用機１５０２毎の信頼度に応じて行うことが可
能となる。

【０１７０】［第２３実施形態］第２３実施形態は前述
した第２０実施形態の送信情報制御に関する第３の例で
あり、ＩＣカードシステムの構成は図１５と同様であ
る。第２３実施形態では、送信情報制御手段１５１４
は、プロキシ装置１５０３が保持するＩＣカード１５０
１のユーザのプライバシに関わる情報を送信前にチェッ
クし、利用機評価手段１５１３が利用機１５０２を「信
頼できない」と判断した場合には、プライバシ情報を送
信データから削除もしくは他のデータに変更する。これ
により、プロキシ装置１５０３が保持するＩＣカードユ
ーザのプライバシ情報の秘匿を利用機１５０２毎の信頼
度に応じて行うことが可能となる。

【０１７１】［第２４実施形態］図１６は本発明の第２
４実施形態に係るＩＣカードシステムの構成を示すブロ
ック図である。第２４実施形態は、第１実施形態と同様
に、ＩＣカード１６０１、利用機１６０２、プロキシ装
置１６０３、リモートホスト１６０４を有して構成さ
れ、利用機１６０２とプロキシ装置１６０３、及びプロ
キシ装置１６０３とリモートホスト１６０４はそれぞれ
計算機ネットワーク１６０５を介して接続される。利用
機１６０２はＩＣカードリーダライタ１６０６を具備し
ている。これら各構成装置の基本的な構成と関係は図１
の第１実施形態と同様である。

【０１７２】ＩＣカード１６０１は利用機認証手段１６
０７、利用機評価手段１６０８、暗号処理手段１６０９
を、プロキシ装置１６０３は利用機認証手段１６１２、
利用機評価手段１６１３、暗号処理手段１６１０をそれ
ぞれ備えており、暗号処理手段１６０９と１６１０との
間でセキュアパス１６１１を形成する。これらの手段の
基本的構成は前述した第１３、第１４、第１６、及び第
２０実施形態と同様である。

【０１７３】また、ＩＣカード１６０１はＵＩリクエス
ト情報送信手段１６１５を備え、プロキシ装置１６０３
はＵＩリクエスト情報受信手段１６１６とＵＩ情報送信
手段１６１７を備え、利用機１６０２はＵＩ情報受信手
段１６１８とＵＩ実行手段１６１９を備えている。これ
らの手段の基本的構成は前述した第９及び第１０実施形
態と同様である。

【０１７４】さらに、本実施形態では、プロキシ装置１
６０３は送信情報制御手段１６１４を備えている。利用
機評価手段１６１３により得られる利用機１６０２の信
頼度に応じて、ＵＩ情報送信手段１６１７が利用機１６
０２のＵＩ情報受信手段１６１８にデータを送る前に、
信頼度が低い場合は送信情報制御手段１６１４が作用し
てデータの変更、制限を行う。

【０１７５】図１７は本実施形態におけるＵＩ実行処理
の流れを示したフローチャートであり、図１６と合わせ
て以下その動作を説明する。まず、ＩＣカード１６０１
とプロキシ装置１６０３が利用機１６０２の信頼度情報
を共有する（ステップ１７０１、ステップ１７０２）。
この信頼度情報共有のための処理手順は第１３及び第１
４実施形態に示した通りである。そして、ＩＣカード１
６０１に搭載したアプリケーションが生成したＵＩリク
エスト情報を送信し、これをプロキシ装置１６０３が受
け取り、それを基にＵＩ情報を生成する（ステップ１７
０３〜１７０６）。この間の処理手順は第９実施形態に
示した通りである。

【０１７６】次に、プロキシ装置１６０３の利用機評価
手段１６１３が、利用機１６０２の信頼度を評価する
（ステップ１７０７）。ここでは、信頼度評価結果の例
として「信頼できる」「信頼できない」の２値評価を適
用する。「信頼できる」と評価した場合は、生成された
ＵＩ情報をそのまま利用機１６０２に送信する（ステッ
プ１７０９）。一方、「信頼できない」と評価した場合
は、ステップ１７０９に進む前に、送信情報制御手段１
６０４がＵＩ情報に変更を加え、ユーザインタフェース
に制限を掛け（ステップ１７０８）、その後ステップ１
７０９に進む。

【０１７７】そして、利用機１６０２は受信したＵＩ情
報を基にＵＩ実行のための情報を形成し、具備している
ハードウェアを駆動してＵＩを実行する（ステップ１７
１０〜１７１２）。このステップ１７０９〜１７１２に
至る処理手順は第９実施形態に示した通りである。

【０１７８】図１８はＵＩリクエスト情報の一例を示す
動作説明図である。この例では、ＵＩリクエスト情報１
８００は、表示コマンド１８０１と表示属性１８０２及
び表示対象配列１８０３の３種類のデータの複合情報か
ら成る。表示コマンド１８０１はＵＩリクエスト情報１
８０１の求めるＵＩ動作を識別するためのデータであ
り、表示属性１８０２は表示位置、文字指定、文字属性
その他の表示に関わる情報を含んだデータである。表示
対象配列１８０３は表示する対象となるデータを特定す
るための情報を複数収めた配列データである。

【０１７９】表示対象配列１８０３の各要素として、こ
の例ではユーザ氏名情報１８０４、住所情報１８０５、
電話番号情報１８０６、勤務先情報１８０７、口座番号
情報１８０８、口座残高情報１８０９、取引履歴情報１
８１０を格納する。これらの各要素情報１８０４〜１８
１０には、例えば氏名であれば氏名を表現した文字列デ
ータそのものを入れても良いし、またはプロキシ装置１
６０３が氏名の文字列を得ることができるような識別情
報を入れても良い。ただし、この情報が氏名に関わるも
のであることを、プロキシ装置１６０３が認識できるた
めの情報が含められている必要がある。

【０１８０】なお、これらのＵＩリクエスト情報のデー
タ構造はあくまで一例であり、他の様々な方法によって
類似する情報内容を構成し得る。

【０１８１】上記のＵＩリクエスト情報１８００を、図
１７に示したステップ１７０４〜１７０５でＩＣカード
１６０１からプロキシ装置１６０３に伝送する際、原則
としてセキュアパス１６１１を介するのが好ましい。た
だし、ＵＩリクエスト情報に含まれる情報から機密に関
わる情報を直接もしくは間接的に利用機１６０２が得る
ことができないことが分かっている場合は、セキュアパ
ス１６１１以外の手段を用いて伝送しても良い。

【０１８２】図１９は、ＵＩ情報及びＵＩ実行結果の第
１の例として、利用機が「信頼できる」と評価された場
合を示す動作説明図である。これは、プロキシ装置１６
０３の利用機評価手段１６１３が、図１７のステップ１
７０７において利用機１６０２を「信頼できる」と評価
した場合である。

【０１８３】図１９（Ａ）に示すＵＩ情報１９０１は、
上述したように図１７のステップ１７０６にて生成され
る。ＵＩ情報１９０１の内容は、個々の表示対象に対し
て、それが文字表示であることを表すコマンド情報１９
０２、表示時の詳細な制御内容（表示属性）を表す属性
情報１９０３を、それぞれ表示対象データ１９０４〜１
９１０と組にして一まとめにしたものである。表示対象
データ１９０４〜１９１０には、例えば氏名であれば氏
名を表す文字列情報が直接含まれ、それらは文字コード
もしくは文字を表現する画像データから構成される。

【０１８４】このＵＩ情報１９０１は、利用機１６０２
のＵＩ実行手段１６１９によって解釈されるデータもし
くはプログラムとして扱うことができる。なお、ＵＩ情
報に関してもＵＩリクエスト情報と同じく、本実施形態
で挙げた例の他に様々な方法によって構成し得る。

【０１８５】この第１の例のように、利用機１６０２が
「信頼できる」場合、ＵＩ実行結果は図１９（Ｂ）に示
すようになる。すなわち、表示対象データ１９０４〜１
９１０に対応する全てのデータ内容が、ＵＩ実行結果１
９１１として利用機１６０２の表示画面装置等に表示出
力される。

【０１８６】図２０は、ＵＩ情報及びＵＩ実行結果の第
２の例として、利用機が「信頼できない」と評価された
場合を示す動作説明図である。これは、プロキシ装置１
６０３の利用機評価手段１６１３が、図１７のステップ
１７０７において利用機１６０２を「信頼できない」と
評価した場合である。

【０１８７】この場合、ステップ１７０８で送信情報制
御手段１６１４が作用し、図２０（Ａ）に示すＵＩ情報
２００１のように、機密に関わる表示対象データである
口座番号データ１９０８、口座残高データ１９０９、取
引履歴データ１９１０を、それぞれダミーデータ２００
２〜２００４に書き換える。

【０１８８】この第２の例では、図２０（Ｂ）に示すよ
うに、ＵＩ実行結果２００５は機密に関わる個々のデー
タはダミーデータとして「Ｘ」などに置き換えられ、隠
匿された状態で利用機１６０２の表示画面装置等に表現
されるので、画面表示内容を搾取されたり印刷内容を盗
用されたりした場合でも、機密が漏洩することを防げ
る。また、ＵＩ情報２００１そのものにもこれらの機密
情報が含まれていないため、不正な手段を用いてＵＩ情
報を解析したとしても、機密の漏洩を防止できる。

【０１８９】なお、本実施形態では、利用機評価手段１
６１３による信頼度評価を２値評価とした例で説明した
が、評価結果を細分化して多値評価を行い、それに応じ
てステップ１７０８における処理を多岐に分ける方法を
採っても実施可能である。これをＵＩ情報及びＵＩ実行
結果の第３の例として、上記第２の例とは異なる条件で
の機密管理の実行例を図２１に示す。

【０１９０】図２１は、ＵＩ情報及びＵＩ実行結果の第
３の例として、利用機が「さらに信頼できない」と評価
された場合を示す動作説明図である。この第３の例で
は、図２０の場合よりも「さらに信頼できない」利用機
を想定しており、ＵＩ情報２１０１は、口座に関する情
報はもとより、ユーザの住所、電話番号、勤務先情報ま
で機密としてダミーデータに書き換え、利用機１６０２
に漏洩しないようにしている。この場合のＵＩ実行結果
２１０２は、ユーザの氏名情報以外は全てダミーデータ
として「Ｘ」などに置き換えられて利用機１６０２の表
示画面装置等に表示される。

【０１９１】このように、利用機評価手段１６１３の評
価結果に基づいて利用機１６０２上で実行されるＵＩに
変更を掛けて表示する情報を制限することにより、利用
機１６０２の信頼度が低い場合に、表示画面装置等に表
現された情報が搾取されたりしても機密情報を盗み取ら
れるおそれがなくなり、その実用的効果は極めて高い。
この第２４実施形態によって、［発明が解決しようとす
る課題］の欄に示した第２の問題点のうち、画面出力、
印刷出力等のユーザへの出力内容から機密が漏洩する問
題を明確に解決することができる。

【０１９２】［第２５実施形態］第２５実施形態はＵＩ
制御処理の他の例を示したものである。ＩＣカードシス
テムの構成と処理の流れは第２４実施形態と同様であ
る。この実施形態は、ＵＩ実行の内容が表示ではなく、
入力に関わる点が第２４実施形態と異なる。

【０１９３】図２２はＵＩリクエスト情報及びＵＩ実行
結果の例を示す動作説明図である。図２２（Ａ）に示す
ように、ＵＩリクエスト情報２２０１は、文字入力を促
すＵＩを得るための入力コマンド情報２２０２、文字入
力に関する属性情報２２０３、入力対象要素であるユー
ザ名２２０５及びパスワード２２０６からなる入力対象
配列２２０４、入力ボタンのＵＩを得るためのボタンコ
マンド情報２２０７、ボタンに関する属性情報２２０
８、ボタン要素である公開情報２２１０及び秘密情報２
２１１からなるボタン配列２２０９を含んでいる。この
ＵＩリクエスト情報２２０１は、ユーザ名、パスワード
を入力する２つの文字入力フィールドと、公開情報、秘
密情報を得るための２つのボタンを入力部品としたＵＩ
を利用機１６０２上で実行することを要求するものであ
る。

【０１９４】このＵＩリクエスト情報２２０１に対して
第２４実施形態と同様の処理を行い、利用機１６０２の
信頼度評価結果に応じて異なるＵＩ情報を用意する。こ
こで、利用機１６０２が「信頼できる」場合は図２２
（Ｂ）に示すようなＵＩ実行結果２２１２が、「信頼で
きない」場合は図２２（Ｃ）に示すようなＵＩ実行結果
２２１３がそれぞれ得られる。すなわち、「信頼でき
る」場合は要求された全ての入力部品が利用機１６０２
上で実行されて表示され、「信頼できない」場合はパス
ワード入力フィールド及び秘密情報ボタンがＵＩの表示
から削除される。

【０１９５】これにより、利用機１６０２の信頼度が低
い場合は機密情報入力用のＵＩが表示されないため、ユ
ーザは機密に関わる情報を利用機１６０２上の機器を用
いて入力することができなくなり、機密情報の漏洩が防
止できる。特に、パスワード入力についてはキー入力の
状態を搾取することによるパスワード盗用を防ぐことが
可能であり、その実用的効果は極めて大きい。

【０１９６】次に、第２４実施形態と第２５実施形態を
複合的に適用したウェブメール、即ちＷＷＷの仕組みを
利用した個人向け電子メールサービスの具体例を示す。
ウェブメールを読むためのＷＷＷブラウザに相当するア
プリケーションをＩＣカードが持ち、このアプリケーシ
ョンは利用機を通じてウェブメールサーバ（ウェブメー
ルサービスを行うリモートホスト）にアクセスする。こ
の時、第２実施形態及び第４実施形態に示したアクセス
先情報秘匿を適用すれば、利用機に対してウェブメール
サーバの所在を隠すこともできる。

【０１９７】ＩＣカードのアプリケーションは、ウェブ
メールサーバからＩＣカードユーザの受信メール一覧を
取得し、ＵＩリクエスト情報をプロキシ装置に送る。プ
ロキシ装置はＵＩリクエスト情報に基づいてＵＩ情報を
構築するが、その際利用機評価手段の作用によって利用
機を「信頼できる」と判断した場合はＵＩ情報には全て
の受信メールの見出し情報と、メール本文を読むための
ボタン（ＷＷＷのリンク）を含んだままとする。一方、
利用機を「信頼できない」と判断した場合には、受信メ
ールのうち機密と分類されるものについての見出し情報
を隠し（あるいは他の非機密情報に変更し）、さらにメ
ール本文を読むためのボタンも含まないようにする。

【０１９８】図２３は「信頼できる」利用機を使用した
場合のＵＩ実行結果の一例を、図２４は「信頼できな
い」利用機を使用した場合のＵＩ実行結果の一例をそれ
ぞれ示したものである。

【０１９９】図２３に示すように、信頼できる利用機の
場合は、全ての受信メールの差出人、送信日時及びサブ
ジェクト（メールのタイトル）が表示され、さらにそれ
らがＷＷＷのリンクとなり、ユーザはそのリンクを指定
する（タッチパネルでクリックもしくはポインティング
デバイスでリンクの場所にポインタを合わせてボタン等
で指定する）ことで、それらのメールの本文を読むこと
ができる。しかし、図２４に示すように、信頼できない
利用機の場合は、例えばサブジェクトに「機密」もしく
は「SECRET」という文字列が含まれるメールを全て機密
文書とみなし、そのメールに関する一切の情報を表示さ
せないようにしている。もちろん本文も読むことはでき
ない。

【０２００】上記の例では、機密文書の判断基準として
単純にサブジェクトに含まれる文字列のみを用いたが、
他に、差出人による判断、メールのヘッダよる判断、も
しくはメール本文を先に（利用機に表示することなく）
解析して機密にあたる情報が含まれるか否かを判断する
等の方法が考えられる。また、上記の例ではＷＷＷブラ
ウザに相当するアプリケーションをＩＣカードに搭載す
るようにしたが、これを利用機に持たせ、ＩＣカードは
プロキシ装置と連携してウェブメールサーバから得る情
報に制限を加える方法でも実施可能である。

【０２０１】いずれにしても、本実施形態によって、
［発明が解決しようとする課題］の欄に示した第２の問
題点を明確に解決することができる。本実施形態では機
密情報の入力そのものを不可とするため、暗証番号やパ
スワードを要求するリモートホストのサービスは受ける
ことができないが、機密情報漏洩に対しては強力な効果
を発揮するものである。

【０２０２】［第２６実施形態］図２５は本発明の第２
６実施形態に係るＩＣカードシステムの構成を示すブロ
ック図である。第２６実施形態は、第１実施形態と同様
に、ＩＣカード２５０１、利用機２５０２、プロキシ装
置２５０３、リモートホスト２５０４を有して構成さ
れ、利用機２５０２とプロキシ装置２５０３、及びプロ
キシ装置２５０３とリモートホスト２５０４はそれぞれ
計算機ネットワーク２５０５を介して接続される。利用
機２５０２はＩＣカードリーダライタ２５０６を具備し
ている。これら各構成装置の基本的な構成と関係は図１
の第１実施形態と同様である。

【０２０３】ＩＣカード２５０１は、利用機を通じてユ
ーザが入力したデータ（仮の機密情報）を基に、別のデ
ータ（真の機密情報）を生成する機密情報変換手段２５
０７を備える。また、図示しないが、ＩＣカード２５０
１およびプロキシ装置２５０３はそれぞれ暗号処理手段
を備えており、これらの暗号処理手段と利用機２５０３
が持つデータ転送手段との組み合わせでセキュリティを
確保したデータ通信経路としてセキュアパス２５０８が
形成される。このセキュアパス２５０８は前述した実施
形態と同様であり、ここでは説明を省略する。なお、機
密情報変換手段２５０７は、ＩＣカード２５０１ではな
くプロキシ装置２５０３が備える構成としても良い。そ
の場合にはセキュアパス２５０８は不要である。

【０２０４】利用機２５０２はＵＩ実行手段２５０９を
備えている。このＵＩ実行手段２５０９は、前述の第９
〜第２５実施形態で示したものの他、利用機２５０２自
身の処理作用による一般的なＵＩも含むことができる。
プロキシ装置２５０３は、ＩＣカード２５０１の機密情
報変換手段２５０７から機密情報を受け取る機密情報獲
得手段２５１０を備えている。なお、この機密情報獲得
手段２５０７をプロキシ装置２５０３が備える場合に
は、機密情報変換手段２５０７と一体化しても良い。

【０２０５】リモートホスト２５０４は機密情報要求手
段２５１１を備えている。この機密情報要求手段２５１
１は、リモートホスト２５０４が提供するサービスにお
いて暗証番号やパスワードの入力を要求する一般的な事
物を表す。ここで、機密情報要求手段２５１１が求める
情報を、真の機密情報と呼ぶことにする。即ち、リモー
トホスト２５０４のサービスを利用しようとする者は、
真の機密情報を機密情報要求手段２５１１に渡すこと
で、初めて利用のための権限が与えられる。

【０２０６】図２６は本実施形態における機密情報保護
処理の流れを示したフローチャートであり、図２５と合
わせて以下その動作を説明する。まず、ＩＣカード２５
０１のユーザは、利用機２５０２のＵＩ実行手段２５０
９を用いて真の機密情報を得るためのキーとなる情報を
入力する（ステップ２６０１）。以下、この情報を仮の
機密情報と呼ぶことにする。なお、仮の機密情報そのも
のには機密性はなく、これを搾取してリモートホスト２
５０４のサービスを受けることはできないようになって
いる。次に、利用機２５０２は仮の機密情報をＩＣカー
ド２５０１に送信し、ＩＣカード２５０１はこれを受信
する（ステップ２６０２、ステップ２６０３）。ＩＣカ
ード２５０１の機密情報変換手段２５０７は、受信した
仮の機密情報を元に演算を行い、真の機密情報を生成す
る（ステップ２６０４）。

【０２０７】仮の機密情報から真の機密情報を生成する
方法の例としては、予め定めたキーワード（合い言葉）
を仮の機密情報とし、ユーザが入力したキーワードか
ら、それに対応する情報を登録済みの情報から検索して
真の機密情報とする方法、あるいは予め定めた変換方法
に従って真の機密情報を変換したものを仮の機密情報と
して、ユーザが入力したデータに逆変換を掛けて真の機
密情報を得る方法、等が挙げられる。前者はユーザが覚
えやすいキーワードを用いることで使用が簡単になる反
面、予め登録しておかなかった真の機密情報は扱えない
という特徴がある。後者は任意の情報を生成することが
容易であり、特に文字列による機密情報の入力を行う際
に適するが、その反面、変換規則をユーザが把握し、自
ら何らかの手段を用いて変換データを用意する必要があ
り、難解になり易い特徴がある。また、いずれの場合に
も仮の機密情報から真の機密情報を容易に類推されない
ことが重要である。

【０２０８】機密情報変換手段２５０７で真の機密情報
を生成した後、ＩＣカード２５０１はセキュアパス２５
０８を通じて真の機密情報をプロキシ装置２５０３の機
密情報獲得手段２５１０に渡す（ステップ２６０５、ス
テップ２６０６）。最後に、プロキシ装置２５０３は真
の機密情報をリモートホスト２５０４の機密情報要求手
段２５１１に渡す（ステップ２６０７）。

【０２０９】なお、機密情報変換手段２５０７をプロキ
シ装置２５０３が備える場合には、上記のステップ２６
０２において仮の機密情報は利用機２５０２からプロキ
シ装置２５０３に渡され、ステップ２６０３及びステッ
プ２６０４の機密情報変換はプロキシ装置２５０３内で
処理される。またこの場合、ステップ２６０５とステッ
プ２６０６は不要となり、プロキシ装置２５０３はステ
ップ２６０４にて生成した真の機密情報をそのままステ
ップ２６０７にてリモートホスト２５０４に渡せば良
い。

【０２１０】図２７は、本実施形態を適用したＵＩ実行
結果であるパスワード入力ＵＩの画面例と、パスワード
情報としてリモートホストに渡されるデータの具体例を
示した動作説明図である。図２７において、（Ａ）は利
用機上に表示されるＵＩ画面表示例、（Ｂ）は仮の機密
情報をパスワードとして入力した状態のＵＩ画面表示
例、（Ｃ）は真の機密情報と仮の機密情報の一例をそれ
ぞれ示す。この場合、ユーザからは真の機密情報（正パ
スワード）である文字列“mYReALpassWORd"の代わり
に、仮の機密情報（仮パスワード）である文字列“temp
passwd1"が利用機２５０２に与えられる。そして、文字
列“temppasswd1"は機密情報変換手段２５０７によって
文字列“mYReALpassWORd"に変換され、パスワードとし
てリモートホスト２５０４に渡される。

【０２１１】このように、第２６実施形態では、機密情
報をユーザが直接に利用機２５０２に与える代わりに仮
の機密情報を入力し、それをＩＣカード２５０１の機密
情報変換手段２５０７で真の機密情報に変換してセキュ
アパス２５０８を通じてプロキシ装置２５０３に渡すこ
とで、機密方法を利用機２５０２に秘匿した状態でリモ
ートホスト２５０４へ渡すことができる。即ち、ウェブ
メール、オンラインショッピング等、アクセスパスワー
ドの入力が必要なサービスを、ＩＣカードのユーザが利
用機にパスワードを漏洩させることなく利用することが
可能となり、その実用的効果は極めて大きい。この実施
形態によって、［発明が解決しようとする課題］の欄に
示した第２の問題点のうち、キーボード、タッチパネル
等の入力手段によるユーザからの入力内容から機密が漏
洩する問題を明確に解決することができる。また、第２
６実施形態では、第２５実施形態のように機密情報を秘
匿するものとは異なり、機密情報を変換して受け渡すこ
とで暗証番号やパスワードを要求するリモートホストの
サービスを受けることが可能である。

【０２１２】［第２７実施形態］第２７実施形態は前述
した第２６実施形態の機密情報保護に関する第１の変形
例であり、ＩＣカードシステムの構成及び処理の流れは
第２６実施形態と基本的に同様である。この例は、機密
情報変換手段２５０７が行う変換処理のためのデータ
を、ユーザによる仮の機密情報入力に先立って装置から
ユーザに提示する点が異なる。

【０２１３】図２８はＵＩ実行結果として利用機上に表
示されるＵＩ画面とそこに情報を入力した状態の具体例
を示す動作説明図である。この場合、利用機２５０２の
ＵＩ実行手段２５０９によってパスワード入力に関する
情報がユーザに提示され、それを受けてユーザが仮の機
密情報である仮パスワードを入力する。パスワードを入
力するＵＩ部品には、パスワード入力領域に付随して、
変換キーを表示する領域を設ける。変換キーは機密情報
変換手段２５０７が変換処理に使用するパラメータであ
り、変換キーが違えば真の機密情報として同一の結果を
得るための仮の機密情報は異なるように、変換キー毎に
仮の機密情報を設定する必要がある。ここでは変換キー
として“１２”という数字を用いているが、この数字は
ユーザが利用機を使用する毎に異なる値にすることが必
要で、乱数を用いることが望ましい。

【０２１４】ユーザは、図２６に示したステップ２６０
１において、変換キーの内容を考慮して、真の機密情報
に正しく変換される文字列を仮の機密情報として入力す
る。それ以降の処理は第２６実施形態と同様である。た
だし、この場合、ステップ２６０４において機密情報変
換手段２５０７が真の機密情報を生成する際に、ユーザ
に提示した変換キーと同一のデータを用いて変換処理を
行うことが必須である。このようなランダムデータを用
いた機密情報の入力は、動的認証（ダイナミックオーセ
ンティケーション）技術として一般に知られているが、
本実施形態は、機密情報を要求するリモートホスト２５
０４が動的認証を行わない場合においても適用可能であ
る点と、ランダムデータの提示を含むＵＩを、第９〜第
２５実施形態で示したＵＩ情報の形成方法を用いてプロ
キシ装置２５０３が行うことによって、ユーザにランダ
ムデータを提示するための特別な仕組を利用機２５０２
に持たせることなく実現可能である点に特徴がある。

【０２１５】このように第２７実施形態では、機密情報
変換手段２５０７が都度生成するランダムデータを、Ｕ
Ｉ実行手段２５０９を通じて変換キーとしてユーザに提
示し、ユーザから入力された仮の機密情報を同一の変換
キーを用いて変換処理を行うことにより、ユーザからの
直接入力される内容を毎回異なるものにすることが可能
となる。仮の機密情報から真の機密情報が類推されるこ
とを防ぐ場合、毎回同じデータを与えるよりも乱数によ
る異なるデータを与えた方がより機密性が高まるため、
本実施形態がもたらすセキュリティ向上の実用的効果は
大きい。

【０２１６】［第２８実施形態］第２８実施形態は前述
した第２６実施形態の機密情報保護に関する第２の変形
例であり、ＩＣカードシステムの構成及び処理の流れは
第２６および第２７実施形態と基本的に同様である。こ
の例は、図２６に示したステップ２６０１において、も
しくはステップ２６０１に先立って、ユーザが真の機密
情報を誤って入力しないための注意メッセージをＵＩ実
行手段２５０９がユーザに提示する点が異なる。この注
意メッセージの提示も、第２７実施形態と同様に、第９
〜第２５実施形態で示したＵＩ情報の形成方法を用いて
プロキシ装置２５０３が行うことができる。

【０２１７】図２９はＵＩ実行結果として利用機上に表
示されるＵＩ画面とそこに情報を入力した状態の具体例
を示す動作説明図である。この場合、利用機２５０２の
ＵＩ実行手段２５０９によってパスワード入力に関する
情報がユーザに提示され、それを受けてユーザが仮の機
密情報である仮パスワードを入力する。パスワードを入
力するＵＩ部品には、パスワード入力領域、変換キー表
示領域に付随して、誤って真の機密情報即ちリモートホ
スト２５０４の機密情報要求手段２５１１が要求する本
当のアクセスパスワード（正パスワード）を入力しない
よう、ユーザに注意を促すメッセージを追加している。
なお、本実施形態では第２７実施形態に倣う形で変換キ
ーを表示しているが、第２６実施形態に倣う形として変
換キーを表示せず、注意メッセージのみを付加しても良
い。

【０２１８】このように第２８実施形態では、ＵＩ実行
手段２５０９がユーザに注意メッセージを示すことによ
り、誤って真の機密情報を入力してしまい、機密を漏洩
させてしまうトラブルを防ぐ効果を得ることができる。

【０２１９】［第２９実施形態］図３０は本発明の第２
９実施形態に係るＩＣカードシステムの構成を示すブロ
ック図である。第２９実施形態は、ＩＣカード３００
１、利用機３００２、リモートホスト３００６と共に、
計算機ネットワーク３００７上に複数のプロキシ装置３
００３〜３００５を備えた例である。また、本実施形態
では、ＩＣカード３００１はプロキシ選択手段３００８
を備える。プロキシ選択手段３００８は、計算機ネット
ワーク３００７上にある複数のプロキシ装置３００３、
３００４、及び３００５の中から、予め定めた規則に従
って一つを選択する。選択されたプロキシ装置は前述し
た第１〜第２８実施形態のいずれかに示すプロキシ装置
として動作する。

【０２２０】なお、本実施形態ではプロキシ装置の数を
３つとしたが、この数は限定的ではなく、実施可能な範
囲において制限はない。また、リモートホストも１つと
したが、複数のリモートホストが計算機ネットワーク上
に存在しても良い。これは他の実施形態においても同様
である。

【０２２１】この第２９実施形態では、計算機ネットワ
ーク３００７上に複数のプロキシ装置を設置し、ＩＣカ
ード３００１にプロキシ選択手段３００８を備えること
により、複数のプロキシ装置を選択的に使用することが
可能となり、負荷分散、パフォーマンス最適化及びフォ
ールトトレランス（障害に対する寛容性）の面でその実
用的効果は大きい。

【０２２２】［第３０実施形態］第３０実施形態は前述
した第２９実施形態のプロキシ装置選択に関する第１の
例であり、ＩＣカードシステムの構成は図３０と同様で
ある。第３０実施形態では、ＩＣカード３００１におい
て、プロキシ選択手段３００８はプロキシデータのリス
トから逐次的にプロキシ装置の情報を読み取り、使用に
適するものが発見でき次第それを選択する。図３１にプ
ロキシ選択手段の動作の概念図を例示する。プロキシ装
置選択の際に、使用に適するか否かを判断する方法は様
々考えられるが、例えば実際に利用機を通じて通信がで
きるかどうかを調べる方法、通信できた場合に、予め定
めたレスポンスタイムを下回ることをさらに条件とする
方法等が挙げられる。これにより、比較的単純なアルゴ
リズムでプロキシ装置を選択することができる。

【０２２３】［第３１実施形態］第３１実施形態は前述
した第２９実施形態のプロキシ装置選択に関する第２の
例であり、ＩＣカードシステムの構成は図３０と同様で
ある。第３１実施形態では、ＩＣカード３００１におい
て、プロキシ選択手段３００８はプロキシデータのリス
トからランダムにプロキシ装置の情報を読み取り、第３
０実施形態と同様に、使用に適するものが発見でき次第
それを選択する。図３２にプロキシ選択手段の動作の概
念図を例示する。これにより、より負荷分散性を高めた
プロキシ装置選択が可能となる。

【０２２４】［第３２実施形態］第３２実施形態は前述
した第２９実施形態のプロキシ装置選択に関する第３の
例であり、ＩＣカードシステムの構成は図３０と同様で
ある。第３２実施形態では、ＩＣカード３００１におい
て、プロキシ選択手段３００８は利用機３００２と通信
を行って問い合わせをし、最適なプロキシ装置を選択す
る。この場合、ＩＣカード３００１よりも高い計算能力
を持つ利用機３００２のプロキシ選択処理手段を利用し
て処理を行うことにより、プロキシ装置選択に関してよ
りきめ細かく柔軟な最適解を得ることが可能となる。た
だし、利用機３００２の信頼度が低い場合、最適なプロ
キシ装置を偽って選択されたり、不正なプロキシ装置を
故意に選択される可能性もあるため、ＩＣカード３００
１と選択されたプロキシ装置との間で適切な相互認証が
求められる。少なくとも、ＩＣカード３００１によるプ
ロキシ装置の厳格な認証は必要不可欠である。なお、他
の実施形態においても、ＩＣカードとプロキシ装置間で
相互認証を行うことが望ましい。

【０２２５】［第３３実施形態］第３３実施形態は前述
した第２９実施形態のプロキシ装置選択に関する第４の
例であり、ＩＣカードシステムの構成は図３０と同様で
ある。第３３実施形態では、第２９実施形態を基本とし
て、図３３に示すようにさらにＩＣカード３００１のプ
ロキシ選択手段３００８が持つプロキシ装置のリスト
を、ＩＣカードのユーザが追加、変更、削除することが
できるプロキシ情報操作手段３００９を備える。プロキ
シ情報操作手段３００９を用いた操作方法の例として
は、利用機を通じてプロキシ情報の追加、変更、削除等
を行う方法が挙げられるが、その際信頼度の高い利用機
を用いることが望ましい。

【０２２６】これにより、ＩＣカードのユーザはプロキ
シ装置のリストを柔軟に操作することができ、新規のプ
ロキシ装置の追加、プロキシ装置の変更や撤廃等に対し
て適切な対応を取ることが可能となり、その実用的効果
は大きい。

【０２２７】［第３４実施形態］図３４は本発明の第３
４実施形態に係るＩＣカードシステムの構成を示すブロ
ック図である。第３４実施形態は、第１実施形態と同様
に、ＩＣカード３４０１、利用機３４０２、プロキシ装
置３４０３、リモートホスト３４０４を有して構成さ
れ、利用機３４０２とプロキシ装置３４０３、及びプロ
キシ装置３４０３とリモートホスト３４０４はそれぞれ
計算機ネットワーク３４０５を介して接続される。利用
機３４０２はＩＣカードリーダライタ３４０６を具備し
ている。これら各構成装置の基本的な構成と関係は図１
の第１実施形態と同様である。

【０２２８】本実施形態では、ＩＣカード３４０１はイ
ンセンティブ発行手段３４０７を、利用機３４０２はイ
ンセンティブ獲得手段３４０８をそれぞれ備える。イン
センティブ発行手段３４０７は、インセンティブ獲得手
段３４０８と通信を行い、利用機及び利用機の所有者や
運用者が金銭的、事業的に有利となる状態をもたらすも
のである。インセンティブを授受する方法の例として、
ＩＣカード３４０１が持っている有価値情報（例えば金
銭と同等または類似の情報、ユーザの個人情報や利用度
数情報など）を利用機３４０２に渡す、あるいは利用機
３４０２が持っている情報（例えば広告情報、優待情報
など）をＩＣカード３４０１に渡し、それをＩＣカード
３４０１のユーザが閲覧したり取得することで利用機３
４０２の所有者、運用者が直接的、間接的な意義を得る
ことが考えられる。なお、ＩＣカードのユーザ側におい
ても何らかの利益を得るような仕組についても適宜利用
可能である。これにより、利用機３３０２を設置、運用
する人間あるいは組織に対してその見返りを与えること
が可能となり、その実用的効果は大きい。

【０２２９】［第３５実施形態］第３５実施形態は前述
した第３４実施形態のインセンティブ授受に関する第１
の例であり、ＩＣカードシステムの構成は図３４と同様
である。第３５実施形態では、インセンティブとして商
業広告を用いる。即ち、ＩＣカード３４０１のインセン
ティブ発行手段３４０７は、利用機３４０２のインセン
ティブ獲得手段３４０８から、商業広告に関わる情報を
受け取る。そして、ＩＣカード３４０１のユーザがこの
情報を見ることにより商業広告効果が生じ、利用機３４
０２の所有者もしくは運用者が、直接的もしくは間接的
に商業広告収入を得ることが可能となる。

【０２３０】［第３６実施形態］第３６実施形態は前述
した第３４実施形態のインセンティブ授受に関する第２
の例であり、ＩＣカードシステムの構成は図３４と同様
である。第３６実施形態では、インセンティブとして金
銭もしくはその他の有価値情報を用いる。例えば金銭を
用いた場合は、ＩＣカード３４０１のインセンティブ発
行手段３４０７は、利用機３４０２のインセンティブ獲
得手段３４０８に対し電子化された情報の授受により金
銭支払いを行う。金銭以外の有価値物についても同様で
ある。これにより、利用機３４０２の所有者もしくは運
用者は、より直接的な利益を得ることが可能となる。

【０２３１】［その他の実施形態］本発明に係るＩＣカ
ードシステムは、上述した実施形態に限定されるもので
はなく、構成や手順に関して種々の追加、変更が可能で
ある。以下にその他の実施形態としていくつかの例を示
す。

【０２３２】上述の第１〜第３６実施形態において、構
成装置であるＩＣカードを、ＩＣカードに類似したアー
キテクチャを持つＩＣタグに置き換えた構成とすること
も可能である。ＩＣタグは演算処理及び利用機との通信
を行うことができる点においてＩＣカードに類似する
が、その外形特徴はボタン型、札型、シール型、もしく
は装身具に埋め込んだもの等、様々な形態にて実施し得
る。

【０２３３】また、上述の実施形態において、構成装置
であるＩＣカードを、携帯電話を含む携帯型情報端末に
置き換えた構成とすることも可能である。ただし、携帯
型情報端末は電波、赤外線、接触端子等の手段を用いて
利用機と直接通信を行うことが可能であることが条件で
ある。

【０２３４】また、上述の実施形態において、構成装置
であるＩＣカードを、マイコン内蔵メモリカードに置き
換えた構成とすることも可能である。マイコン内蔵メモ
リカードは、比較的大容量の半導体メモリを持つカード
型記憶媒体に、ＩＣカードと同様の処理能力と、利用機
との通信機能とを付加した装置である。なお、大容量メ
モリカードとＩＣカードとを、他の機器で接続したもの
を用いた場合でも同様に実施可能である。

【０２３５】さらに、上述の実施形態において、構成装
置である利用機を、街頭、店舗、駅、公共施設、学校、
図書館等の不特定多数の人間が訪れる場所に設置する公
共端末を用いた構成とすることも可能である。このよう
な利用機が設置された施設を訪れる人間は、これに対応
するＩＣカードを持参することで本発明が示す種々のサ
ービスを享受できる。

【０２３６】また、上述の実施形態において、構成装置
である利用機を、遊園地、博物館、イベント施設等の不
特定多数の人間が訪れる場所で、レンタル品として貸し
出される携帯電話機もしくは携帯型情報通信端末を用い
た構成とすることも可能である。これにより、このよう
な利用機を貸し出す施設を訪れる人間は、これに対応す
るＩＣカードを持参することで本発明が示す種々のサー
ビスを享受できる。

【０２３７】また、上述の実施形態において、構成装置
である利用機を、レンタカーに備え付けられるカーナビ
ゲーション装置（自車の現在位置を地図上に表示した
り、目的地までの道案内をする装置）を用いた構成とす
ることも可能である。なお、レンタカーに備え付けのも
のではなく、カーナビゲーション装置単体のレンタルで
も良い。このようなカーナビゲーション装置の貸し出し
を利用する人間は、これに対応するＩＣカードを持参す
ることで本発明が示す種々のサービスを享受できる。

【０２３８】

【発明の効果】以上説明したように本発明によれば、第
１に、ＩＣカード装置（ＩＣカード）とリモートホスト
との間に設けられて両者とデータ通信を行い、ＩＣカー
ド装置の代理として計算機ネットワーク上で機能するプ
ロキシ装置（代理装置）を備え、さらにカード端末装置
（利用機）が未知の変換アルゴリズムもしくは変換パラ
メータを用いてデータ変換を行うデータ変換手段を備え
たことにより、ＩＣカードがプロキシ装置に渡したデー
タを、ＩＣカードユーザの意図通りに、かつ利用機ユー
ザにその結果を知られることなく、プロキシ装置内部に
おいて異なるデータに変化させることができる効果が得
られる。

【０２３９】第２に、ＩＣカード装置内のアプリケーシ
ョンがアクセスしようとするリモートホストのネットワ
ーク上の位置及び通信方法に関わる情報を、プロキシ装
置のデータ変換手段で生成したことにより、カード端末
装置に対してアクセス先を隠蔽することができる効果が
得られる。

【０２４０】第３に、ＩＣカード装置とプロキシ装置の
二者間で暗号化に関するアルゴリズムと鍵情報を予め取
り決め、この取り決めに基づいてカード端末装置に内容
を知られることなく任意の情報をやりとりするセキュア
パスを設けたことにより、ＩＣカード装置とプロキシ装
置が通信する際に、中間に位置するカード端末装置に通
信内容を隠蔽することができる効果が得られる。

【０２４１】第４に、上記セキュアパスを介してＩＣカ
ード装置内におけるデータの暗号化手段を、アクセス先
情報と転送データ情報について個別に備えたことによ
り、ＩＣカード装置がリモートホストに引き渡す転送デ
ータの内容を、カード端末装置だけでなくプロキシ装置
にも隠蔽することができる効果が得られる。

【０２４２】第５に、ＩＣカード装置にはＵＩリクエス
ト情報送信手段を備え、プロキシ装置にＵＩリクエスト
情報受信手段とＵＩ情報送信手段を備え、カード端末装
置にＵＩ情報受信手段とＵＩ実行手段を備えたことによ
り、カード端末装置が持たないフォントの文字列情報等
を表示することができる効果が得られる。

【０２４３】第６に、ＵＩ情報としてカード端末装置上
に予め設けられた動作環境に適合するプログラムを用い
たことにより、ＩＣカード装置が想定するＵＩが、カー
ド端末装置の構成や仕様に強く依存せず独自のものとし
て実現可能となる効果が得られる。

【０２４４】第７に、ＩＣカード装置とプロキシ装置の
どちらか片方もしくは両方に、カード端末装置の認証手
段と評価手段を備えたことにより、ＩＣカード装置もし
くはプロキシ装置が、カード端末装置の信頼度情報を獲
得することができる効果が得られる。

【０２４５】第８に、ＩＣカード装置とプロキシ装置の
両方にカード端末装置の評価手段を備え、片方が得た評
価結果をセキュアパスを通じて他方に渡すようにしたこ
とにより、ＩＣカード装置もしくはプロキシ装置のいず
れか片方がカード端末装置の信頼度を獲得できた場合、
もう一方にその情報を渡すことができる効果が得られ
る。また、両方が個別にカード端末装置の信頼度を獲得
した場合は、それぞれの評価結果を違いに確認し合うこ
とにより信頼度評価をより確実にすることができる効果
が得られる。

【０２４６】第９に、ＩＣカード装置に送信情報制御手
段を備えたことにより、ＩＣカード装置からカード端末
装置に送信する情報内容をカード端末装置の信頼度に従
って異なるものにすることができる効果が得られる。さ
らに、ＩＣカード装置が機密情報として保持する情報を
カード端末装置に送信しないよう送信情報制御手段を作
用させることにより、個人情報等をカード端末装置毎の
信頼度に応じて管理することができる効果が得られる。

【０２４７】第１０に、プロキシ装置に送信情報制御手
段を備えたことにより、プロキシ装置からカード端末装
置に送信する情報内容を、上記のＩＣカード装置の場合
と同様にカード端末装置の信頼度によって異なるものに
でき、信頼度の低いカード端末装置には機密情報を渡さ
ないといったセキュリティ管理を行うことができる効果
が得られる。

【０２４８】第１１に、プロキシ装置上において、上記
のＵＩ情報送信手段に、上記の送信情報制御手段を連動
させ、カード端末装置の評価結果に従ってプロキシ装置
からカード端末装置に送信するＵＩ情報に対して変更、
削除、追加等の処理を行うようにしたことにより、信頼
度の低いカード端末装置を使用する場合、機密情報をカ
ード端末装置の画面上に表示してそれを取得されて漏洩
してしまったり、また暗証番号等を不用意に入力して取
得されてしまうなどのトラブルを防止することができる
効果が得られる。

【０２４９】第１２に、ＩＣカード装置もしくはプロキ
シ装置に機密情報変換手段を設け、ユーザがカード端末
装置に入力した仮の機密情報を、機密情報変換手段が真
の機密情報に変換することで、暗証番号、パスワード等
の機密情報をカード端末装置に秘匿した状態でリモート
ホストに渡し、リモートホストのサービスを受けられる
ようになる効果が得られる。

【０２５０】第１３に、ＩＣカード装置にプロキシ選択
手段を備えたことにより、ＩＣカード装置毎、カード端
末装置毎等に持つ条件に従って異なるプロキシ装置が利
用可能となり、ネットワーク負荷及びプロキシの処理負
荷の集中緩和を図ることができる効果が得られる。

【０２５１】第１４に、ＩＣカード装置にインセンティ
ブ発行手段を備え、カード端末装置にインセンティブ獲
得手段を備えたことにより、カード端末装置の所有者、
運営者が直接的もしくは間接的利益を獲得することがで
きる効果が得られる。

【図面の簡単な説明】

【図１】本発明の第１実施形態に係るＩＣカードシステ
ムの構成を示すブロック図。

【図２】本発明の第２実施形態に係るＩＣカードシステ
ムの構成を示すブロック図。

【図３】第２実施形態におけるアクセス先情報及び通信
キーデータの関係を例示した動作説明図。

【図４】第２実施形態におけるアクセス先秘匿処理の流
れを示したフローチャート。

【図５】本発明の第３実施形態に係るＩＣカードシステ
ムの構成を示すブロック図。

【図６】本発明の第５実施形態に係るＩＣカードシステ
ムの構成を示すブロック図。

【図７】本発明の第９実施形態に係るＩＣカードシステ
ムの構成を示すブロック図。

【図８】第９実施形態におけるＵＩ制御処理の流れを示
したフローチャート。

【図９】第９実施形態のＩＣカードシステムにおけるＵ
Ｉリクエスト情報及びＵＩ情報のデータ構造、並びにＵ
Ｉ実行結果の一例を示す動作説明図。

【図１０】本発明の第１３実施形態に係るＩＣカードシ
ステムの構成を示すブロック図。

【図１１】第１３実施形態における利用機の信頼度評価
処理の流れを示したフローチャート。

【図１２】本発明の第１４実施形態に係るＩＣカードシ
ステムの構成を示すブロック図。

【図１３】第１４実施形態における利用機の信頼度評価
処理の流れを示したフローチャート。

【図１４】本発明の第１６実施形態に係るＩＣカードシ
ステムの構成を示すブロック図。

【図１５】本発明の第２０実施形態に係るＩＣカードシ
ステムの構成を示すブロック図。

【図１６】本発明の第２４実施形態に係るＩＣカードシ
ステムの構成を示すブロック図。

【図１７】第２４実施形態におけるＵＩ実行処理の流れ
を示したフローチャート。

【図１８】第２４実施形態におけるＵＩリクエスト情報
の一例を示す動作説明図。

【図１９】第２４実施形態におけるＵＩ情報及びＵＩ実
行結果の第１の例を示す動作説明図。

【図２０】第２４実施形態におけるＵＩ情報及びＵＩ実
行結果の第２の例を示す動作説明図。

【図２１】第２４実施形態におけるＵＩ情報及びＵＩ実
行結果の第３の例を示す動作説明図。

【図２２】本発明の第２５実施形態にＵＩリクエスト情
報及びＵＩ実行結果の例を示す動作説明図。

【図２３】第２５実施形態におけるＵＩ実行結果の具体
例を示す動作説明図。

【図２４】第２５実施形態におけるＵＩ実行結果の具体
例を示す動作説明図。

【図２５】本発明の第２６実施形態に係るＩＣカードシ
ステムの構成を示すブロック図。

【図２６】第２６実施形態における機密情報保護処理の
流れを示したフローチャート。

【図２７】第２６実施形態におけるＵＩ実行結果とリモ
ートホストに渡されるデータの具体例を示した動作説明
図。

【図２８】第２７実施形態におけるＵＩ実行結果の具体
例を示す動作説明図。

【図２９】第２８実施形態におけるＵＩ実行結果の具体
例を示す動作説明図。

【図３０】本発明の第２９実施形態に係るＩＣカードシ
ステムの構成を示すブロック図。

【図３１】本発明の第３０実施形態に係るプロキシ選択
動作の概念を示す説明図。

【図３２】本発明の第３１実施形態に係るプロキシ選択
動作の概念を示す説明図。

【図３３】本発明の第３３実施形態に係るプロキシ情報
操作機能を有するＩＣカードを示す説明図。

【図３４】本発明の第３４実施形態に係るＩＣカードシ
ステムの構成を示すブロック図。

【図３５】従来のＩＣカードシステムの構成例を示すブ
ロック図。

【符号の説明】

１０１ ＩＣカード １０２ 利用機 １０３ プロキシ装置 １０４ リモートホスト １０５ 計算機ネットワーク １０６ 送信用データ保持手段 １０７ データ送信手段 １０８ ＩＣカードリーダライタ １０９ データ受信手段 １１０ データ転送手段 １１１ データ変換手段

フロントページの続き (72)発明者 田靡 雅基 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 (72)発明者 菊地 隆文 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 Ｆターム(参考） 2C005 MB03 MB05 MB10 SA02 SA12 SA25 TA27 TA28 5B035 AA13 BB09 BC00 CA29 5B058 CA23 KA02 KA04 YA20 5B085 AE12 AE29 5J104 AA01 NA02 NA35 NA37 NA40 PA07

Claims (64)

【特許請求の範囲】
1. 【請求項１】 半導体記憶手段を有してなり、カード端
   末装置とデータのやり取りを行うＩＣカードシステム用
   のＩＣカード装置であって、 送信用のデータを保持する送信用データ保持手段と、 前記送信用データ保持手段からデータを読み出して前記
   カード端末装置へ送信するデータ送信手段とを備え、 前記カード端末装置と計算機ネットワークを介して接続
   されたリモートホストとデータ通信を行う際に、このリ
   モートホストと前記カード端末装置との間に設けられる
   プロキシ装置と当該ＩＣカード装置との間で予め定めた
   ものであって、かつ、前記カード端末装置には未知のも
   のである変換アルゴリズムもしくは変換パラメータを用
   いてデータ変換処理を実行するためのデータを前記プロ
   キシ装置へ送信することを特徴とするＩＣカード装置。
2. 【請求項２】 前記リモートホストと通信を行う際に必
   要となるアクセス先を特定するためのアクセス先情報
   を、前記カード端末装置が解釈困難なキーデータとして
   生成する通信キーデータ生成手段を備え、 前記変換アルゴリズムもしくは変換パラメータとして、
   当該ＩＣカード装置と前記プロキシ装置の二者間で予め
   取り決めたものであって、かつ、前記カード端末装置に
   おいて未知の演算アルゴリズムもしくは演算パラメータ
   を用いてデータ変換処理を実行する際に、前記通信キー
   データを前記プロキシ装置へ送信することを特徴とする
   請求項１記載のＩＣカード装置。
3. 【請求項３】 通信するデータの暗号化と復号化の少な
   くとも一方を行う暗号処理手段を備え、前記プロキシ装
   置または前記リモートホストとの間で暗号化されたデー
   タを受け渡すための秘匿性を持った通信路であるセキュ
   アパスを形成することを特徴とする請求項１記載のＩＣ
   カード装置。
4. 【請求項４】 前記暗号処理手段によって前記リモート
   ホストのアクセス先情報を暗号化し、この暗号化データ
   を前記プロキシ装置との間で形成したセキュアパスを経
   由して該プロキシ装置へ送ることを特徴とする請求項３
   記載のＩＣカード装置。
5. 【請求項５】 前記リモートホストのアクセス先情報の
   暗号化とは異なる暗号化手順もしくは同一の暗号化手順
   を異なる鍵情報を用いることによりデータの暗号化を行
   う第２の暗号処理手段を備え、 前記第２の暗号処理手段により当該ＩＣカード装置が保
   持する任意のデータを暗号化し、この第２の暗号化デー
   タは前記プロキシ装置において復号不能で前記リモート
   ホストにおいて復号可能となっており、前記第２の暗号
   化データを前記リモートホストとの間で形成したセキュ
   アパスを経由して前記プロキシ装置へ送ることを特徴と
   する請求項４記載のＩＣカード装置。
6. 【請求項６】 前記リモートホストのアクセス先情報の
   暗号化とは異なる暗号化手順もしくは同一の暗号化手順
   を異なる鍵情報を用いることによりデータの暗号化を行
   う第２の暗号処理手段を備え、 前記第２の暗号処理手段により当該ＩＣカード装置が保
   持する任意のデータを暗号化し、この第２の暗号化デー
   タは前記プロキシ装置において復号不能で前記リモート
   ホストにおいて復号可能となっており、前記第２の暗号
   化データを前記リモートホストのアクセス先情報の暗号
   化データと共に前記リモートホストとの間で形成したセ
   キュアパスを経由して前記プロキシ装置へ送ることを特
   徴とする請求項４記載のＩＣカード装置。
7. 【請求項７】 当該ＩＣカード装置と前記プロキシ装置
   が同一の鍵情報を用いて暗号化及び復号化を行う対称鍵
   暗号方式を用いてセキュアパスを形成することを特徴と
   する請求項３〜６のいずれかに記載のＩＣカード装置。
8. 【請求項８】 当該ＩＣカード装置と前記プロキシ装置
   が互いに関連をもつ非同一の鍵情報を用いて暗号化及び
   復号化を行う非対称鍵暗号方式を用いてセキュアパスを
   形成することを特徴とする請求項３〜６のいずれかに記
   載のＩＣカード装置。
9. 【請求項９】 半導体記憶手段を有してなり、カード端
   末装置とデータのやり取りを行うＩＣカードシステム用
   のＩＣカード装置であって、 送信用のデータを保持する送信用データ保持手段と、 前記送信用データ保持手段からデータを読み出して前記
   カード端末装置へ送信するデータ送信手段と、 前記カード端末装置において実現するユーザインタフェ
   ースに関わるＵＩリクエスト情報を、このカード端末装
   置が接続された計算機ネットワーク上において設けられ
   るプロキシ装置に送信するＵＩリクエスト情報送信手段
   とを備えたことを特徴とするＩＣカード装置。
10. 【請求項１０】 前記ＵＩリクエスト情報として、文字
    コードに関わる文字列情報を用いることを特徴とする請
    求項９記載のＩＣカード装置。
11. 【請求項１１】 前記ＵＩリクエスト情報として、前記
    カード端末装置のユーザインタフェースに関わるハード
    ウェアを動作させるためのプログラム情報による動作結
    果に影響を与えるパラメータ情報を用いることを特徴と
    する請求項９記載のＩＣカード装置。
12. 【請求項１２】 半導体記憶手段を有してなり、カード
    端末装置とデータのやり取りを行うＩＣカードシステム
    用のＩＣカード装置であって、 送信用のデータを保持する送信用データ保持手段と、 前記送信用データ保持手段からデータを読み出して前記
    カード端末装置へ送信するデータ送信手段と、 前記カード端末装置の認証を行う端末認証手段と、 前記認証結果を基に前記カード端末装置の信頼度を評価
    する端末信頼度評価手段と、 データの暗号化と復号化の少なくとも一方を行う暗号処
    理手段とを備え、 前記カード端末装置が接続された計算機ネットワーク上
    において設けられるプロキシ装置との間で暗号化された
    データを受け渡すための秘匿性を持った通信路であるセ
    キュアパスを形成し、このセキュアパスを介して前記カ
    ード端末装置の信頼度評価結果を前記プロキシ装置へ送
    ることを特徴とするＩＣカード装置。
13. 【請求項１３】 半導体記憶手段を有してなり、カード
    端末装置とデータのやり取りを行うＩＣカードシステム
    用のＩＣカード装置であって、 送信用のデータを保持する送信用データ保持手段と、 前記送信用データ保持手段からデータを読み出して前記
    カード端末装置へ送信するデータ送信手段と、 データの暗号化と復号化の少なくとも一方を行う暗号処
    理手段とを備え、 前記カード端末装置が接続された計算機ネットワーク上
    において設けられるプロキシ装置との間で暗号化された
    データを受け渡すための秘匿性を持った通信路であるセ
    キュアパスを形成し、このセキュアパスを介して前記プ
    ロキシ装置から前記カード端末装置の信頼度評価結果を
    受け取ることを特徴とするＩＣカード装置。
14. 【請求項１４】 前記カード端末装置に送信する任意の
    データについて送信前に情報内容の制御処理を行う送信
    情報制御手段を備え、この送信情報制御手段は、前記カ
    ード端末装置の信頼度評価結果に基づいて前記カード端
    末装置へ送る情報の一部もしくは全部に対して変更を加
    えることを特徴とする請求項１２または１３に記載のＩ
    Ｃカード装置。
15. 【請求項１５】 前記送信情報制御手段は、前記信頼度
    評価結果としてカード端末装置の信頼度が低く送信した
    情報が不正に利用される可能性があると認識された場合
    に、当該カード端末装置に対してＩＣカード装置から送
    信する情報の一部もしくは全てを削除もしくは変更する
    ことを特徴とする請求項１４記載のＩＣカード装置。
16. 【請求項１６】 前記送信情報制御手段は、前記カード
    端末装置に送信する情報のうち、当該ＩＣカード装置が
    保持する機密情報に関わる情報を削除もしくは変更する
    ことを特徴とする請求項１５記載のＩＣカード装置。
17. 【請求項１７】 前記送信情報制御手段は、前記カード
    端末装置に送信する情報のうち、当該ＩＣカード装置が
    保持するＩＣカードユーザのプライバシに関わる情報を
    削除もしくは変更することを特徴とする請求項１５記載
    のＩＣカード装置。
18. 【請求項１８】 半導体記憶手段を有してなり、カード
    端末装置とデータのやり取りを行うＩＣカードシステム
    用のＩＣカード装置であって、 送信用のデータを保持する送信用データ保持手段と、 前記送信用データ保持手段からデータを読み出して前記
    カード端末装置へ送信するデータ送信手段と、 前記カード端末装置と計算機ネットワークを介して接続
    されたリモートホストからの要求に応じて前記カード端
    末装置を用いて入力する機密情報の変換を行う機密情報
    変換手段とを備え、 前記機密情報変換手段は前記カード端末装置より入力さ
    れた第１の機密情報データを当該カード端末装置に対し
    て秘匿性を持った第２の機密情報データに変換し、この
    第２の機密情報データを前記カード端末装置と前記リモ
    ートホストとの間に設けられるプロキシ装置へ送ること
    を特徴とするＩＣカード装置。
19. 【請求項１９】 前記機密情報変換手段は変換用の変換
    キーデータを生成してこれを前記カード端末装置を通じ
    てＩＣカードユーザに提示し、前記カード端末装置より
    入力された第１の機密情報データから前記変換キーデー
    タを用いて前記第２の機密情報データを生成することを
    特徴とする請求項１８記載のＩＣカード装置。
20. 【請求項２０】 前記変換キーデータと前記第１の機密
    情報データとを一対一に対応させて同一の第２の機密情
    報データを生成するための異なるデータの組を複数設け
    たことを特徴とする請求項１９記載のＩＣカード装置。
21. 【請求項２１】 前記カード端末装置において実現する
    ユーザインタフェースに関わるＵＩリクエスト情報を前
    記プロキシ装置に送信するＵＩリクエスト情報送信手段
    を備え、 前記ＵＩリクエスト情報として、前記リモートホストか
    ら要求される機密情報として前記第２の機密情報データ
    の代わりに前記第１の機密情報データを入力すべきこと
    をＩＣカードユーザに指示するためのＵＩ部品情報を用
    いることを特徴とする請求項１８〜２０のいずれかに記
    載のＩＣカード装置。
22. 【請求項２２】 予め定めた規則に従って計算機ネット
    ワーク上の複数のプロキシ装置の中から一つを選択する
    プロキシ選択手段を備えたことを特徴とする請求項１〜
    ２１のいずれかに記載のＩＣカード装置。
23. 【請求項２３】 前記プロキシ選択手段は、予め登録さ
    れたプロキシ装置のリストから使用に適するプロキシ装
    置を逐次的に検索して選択することを特徴とする請求項
    ２２記載のＩＣカード装置。
24. 【請求項２４】 前記プロキシ選択手段は、予め登録さ
    れたプロキシ装置のリストから使用に適するプロキシ装
    置をランダムに検索して選択することを特徴とする請求
    項２２記載のＩＣカード装置。
25. 【請求項２５】 前記プロキシ選択手段は、前記カード
    端末装置に問い合わせて使用に適するプロキシ装置を選
    択することを特徴とする請求項２２記載のＩＣカード装
    置。
26. 【請求項２６】 使用に適するプロキシ装置を選択する
    ためのプロキシ装置のリストを有し、このリスト内容の
    追加、変更、削除の少なくともいずれか一つを行うプロ
    キシ情報操作手段を備えたことを特徴とする請求項２２
    記載のＩＣカード装置。
27. 【請求項２７】 前記カード端末装置の所有者もしくは
    運用者に対して金銭的もしくは事業的に有利となる状態
    を電子情報のやりとりによって生じさせるインセンティ
    ブを発行するインセンティブ発行手段を備え、このイン
    センティブに関する情報を前記カード端末装置との間で
    通信することを特徴とする請求項１〜２６のいずれかに
    記載のＩＣカード装置。
28. 【請求項２８】 前記インセンティブとして広告情報を
    用い、前記インセンティブ発行手段は前記カード端末装
    置からこの広告情報を受信することを特徴とする請求項
    ２７記載のＩＣカード装置。
29. 【請求項２９】 前記インセンティブとして金銭あるい
    は有価値物に関連した有価値電子情報を用い、前記イン
    センティブ発行手段はこの有価値電子情報を前記カード
    端末装置に送信することを特徴とする請求項２７記載の
    ＩＣカード装置。
30. 【請求項３０】 ＩＣカード装置とデータのやり取りを
    行うカード端末装置とこれに計算機ネットワークを介し
    て接続されたリモートホストとの間に設けられるＩＣカ
    ードシステム用のプロキシ装置であって、 前記ＩＣカード装置と当該プロキシ装置との間で予め定
    めたものであって、かつ、前記カード端末装置には未知
    のものである変換アルゴリズムもしくは変換パラメータ
    を用いてデータ変換処理を実行するデータ変換手段を備
    えたことを特徴とするプロキシ装置。
31. 【請求項３１】 前記データ変換手段は、前記リモート
    ホストと通信を行う際に必要となるアクセス先を特定す
    るためのアクセス先情報を前記カード端末装置が解釈困
    難なキーデータとして生成した通信キーデータを変換す
    るもので、前記変換アルゴリズムもしくは変換パラメー
    タとして、当該プロキシ装置と前記ＩＣカード装置の二
    者間で予め取り決めたものであって、かつ、前記カード
    端末装置において未知の演算アルゴリズムもしくは演算
    パラメータを用いて変換処理を行うことを特徴とする請
    求項３０記載のプロキシ装置。
32. 【請求項３２】 通信するデータの暗号化と復号化の少
    なくとも一方を行う暗号処理手段を備え、前記ＩＣカー
    ド装置との間で暗号化されたデータを受け渡すための秘
    匿性を持った通信路であるセキュアパスを形成すること
    を特徴とする請求項３０記載のプロキシ装置。
33. 【請求項３３】 前記暗号処理手段によって前記リモー
    トホストのアクセス先情報を暗号化し、この暗号化デー
    タを前記ＩＣカード装置との間で形成したセキュアパス
    を経由して該ＩＣカード装置から受け取ることを特徴と
    する請求項３２記載のプロキシ装置。
34. 【請求項３４】 当該プロキシ装置と前記ＩＣカード装
    置が同一の鍵情報を用いて暗号化及び復号化を行う対称
    鍵暗号方式を用いてセキュアパスを形成することを特徴
    とする請求項３２または３３に記載のプロキシ装置。
35. 【請求項３５】 当該プロキシ装置と前記ＩＣカード装
    置が互いに関連をもつ非同一の鍵情報を用いて暗号化及
    び復号化を行う非対称鍵暗号方式を用いてセキュアパス
    を形成することを特徴とする請求項３２または３３に記
    載のプロキシ装置。
36. 【請求項３６】 ＩＣカード装置とデータのやり取りを
    行うカード端末装置とこれに計算機ネットワークを介し
    て接続されたリモートホストとの間に設けられるＩＣカ
    ードシステム用のプロキシ装置であって、 前記カード端末装置において実現するユーザインタフェ
    ースに関わるＵＩリクエスト情報を受信するＵＩリクエ
    スト情報受信手段と、 前記受信したＵＩリクエスト情報の内容に基づいて前記
    カード端末装置におけるユーザインタフェース部品に関
    わるＵＩ情報を前記カード端末装置に送信するＵＩ情報
    送信手段とを備えたことを特徴とするプロキシ装置。
37. 【請求項３７】 前記ＵＩ情報として、文字フォントに
    関わる文字画像情報を用いることを特徴とする請求項３
    ６記載のプロキシ装置。
38. 【請求項３８】 前記ＵＩ情報として、前記カード端末
    装置のユーザインタフェースに関わるハードウェアを動
    作させる手順及びデータのまとまりであるプログラム情
    報を用いることを特徴とする請求項３６記載のプロキシ
    装置。
39. 【請求項３９】 前記ＵＩ情報として、前記カード端末
    装置の種類または構成もしくは動作状態によって異なる
    プログラム情報を用いることを特徴とする請求項３８記
    載のプロキシ装置。
40. 【請求項４０】 ＩＣカード装置とデータのやり取りを
    行うカード端末装置とこれに計算機ネットワークを介し
    て接続されたリモートホストとの間に設けられるＩＣカ
    ードシステム用のプロキシ装置であって、 前記カード端末装置の認証を行う端末認証手段と、 前記認証結果を基に前記カード端末装置の信頼度を評価
    する端末信頼度評価手段と、 データの暗号化と復号化の少なくとも一方を行う暗号処
    理手段とを備え、 前記ＩＣカード装置との間で暗号化されたデータを受け
    渡すための秘匿性を持った通信路であるセキュアパスを
    形成し、このセキュアパスを介して前記カード端末装置
    の信頼度評価結果を前記ＩＣカード装置へ送ることを特
    徴とするプロキシ装置。
41. 【請求項４１】 ＩＣカード装置とデータのやり取りを
    行うカード端末装置とこれに計算機ネットワークを介し
    て接続されたリモートホストとの間に設けられるＩＣカ
    ードシステム用のプロキシ装置であって、 データの暗号化と復号化の少なくとも一方を行う暗号処
    理手段とを備え、 前記ＩＣカード装置との間で暗号化されたデータを受け
    渡すための秘匿性を持った通信路であるセキュアパスを
    形成し、このセキュアパスを介して前記ＩＣカード装置
    から前記カード端末装置の信頼度評価結果を受け取るこ
    とを特徴とするプロキシ装置。
42. 【請求項４２】 前記端末認証手段と前記端末信頼度評
    価手段の少なくとも一方が、前記カード端末装置の計算
    機ネットワークへの接続に関わる固有かつ一意の情報を
    用いて動作することを特徴とする請求項４０記載のプロ
    キシ装置。
43. 【請求項４３】 前記カード端末装置に送信する任意の
    データについて送信前に情報内容の制御処理を行う送信
    情報制御手段を備え、この送信情報制御手段は、前記カ
    ード端末装置の信頼度評価結果に基づいて前記カード端
    末装置へ送る情報の一部もしくは全部に対して変更を加
    えることを特徴とする請求項４０または４１に記載のプ
    ロキシ装置。
44. 【請求項４４】 前記送信情報制御手段は、前記信頼度
    評価結果としてカード端末装置の信頼度が低く送信した
    情報が不正に利用される可能性があると認識された場合
    に、当該カード端末装置に対してプロキシ装置から送信
    する情報の一部もしくは全てを削除もしくは変更するこ
    とを特徴とする請求項４３記載のプロキシ装置。
45. 【請求項４５】 前記送信情報制御手段は、前記カード
    端末装置に送信する情報のうち、当該プロキシ装置が保
    持する機密情報に関わる情報を削除もしくは変更するこ
    とを特徴とする請求項４４記載のプロキシ装置。
46. 【請求項４６】 前記送信情報制御手段は、前記カード
    端末装置に送信する情報のうち、当該プロキシ装置が保
    持するＩＣカードユーザまたはプロキシユーザのプライ
    バシに関わる情報を削除もしくは変更することを特徴と
    する請求項４４記載のプロキシ装置。
47. 【請求項４７】 前記カード端末装置において実現する
    ユーザインタフェース部品に関わるＵＩ情報を前記カー
    ド端末装置に送信するＵＩ情報送信手段を備え、 前記送信情報制御手段は、前記信頼度評価結果としてカ
    ード端末装置の信頼度が低く送信した情報が不正に利用
    される可能性があると認識された場合に、当該カード端
    末装置に対してプロキシ装置からＵＩ情報を送信する前
    に、前記ＵＩ情報の中から機密情報表示に関わる部分を
    削除もしくは機密を保護する状態に変更し、その処理後
    のＵＩ情報を前記カード端末装置へ送ることを特徴とす
    る請求項４４記載のプロキシ装置。
48. 【請求項４８】 前記カード端末装置において実現する
    ユーザインタフェース部品に関わるＵＩ情報を前記カー
    ド端末装置に送信するＵＩ情報送信手段を備え、 前記送信情報制御手段は、前記信頼度評価結果としてカ
    ード端末装置の信頼度が低く送信した情報が不正に利用
    される可能性があると認識された場合に、当該カード端
    末装置に対してプロキシ装置からＵＩ情報を送信する前
    に、前記ＵＩ情報の中から機密情報入力に関わる部分を
    削除もしくは機密を保護する状態に変更し、その処理後
    のＵＩ情報を前記カード端末装置へ送ることを特徴とす
    る請求項４４記載のプロキシ装置。
49. 【請求項４９】 ＩＣカード装置とデータのやり取りを
    行うカード端末装置とこれに計算機ネットワークを介し
    て接続されたリモートホストとの間に設けられるＩＣカ
    ードシステム用のプロキシ装置であって、 前記リモートホストからの要求に応じて前記カード端末
    装置を用いて入力する機密情報の変換を行う機密情報変
    換手段を備え、 前記機密情報変換手段は前記カード端末装置より入力さ
    れた第１の機密情報データを当該カード端末装置に対し
    て秘匿性を持った第２の機密情報データに変換し、この
    第２の機密情報データを前記リモートホストへ送ること
    を特徴とするプロキシ装置。
50. 【請求項５０】 ＩＣカード装置とデータのやり取りを
    行うカード端末装置とこれに計算機ネットワークを介し
    て接続されたリモートホストとの間に設けられるＩＣカ
    ードシステム用のプロキシ装置であって、 前記リモートホストからの要求に応じて前記カード端末
    装置を用いて入力する機密情報に関して、前記カード端
    末装置より入力された第１の機密情報データが当該カー
    ド端末装置に対して秘匿性を持った状態に変換された第
    ２の機密情報データを、前記ＩＣカード装置から受け取
    って前記リモートホストへ送る機密情報獲得手段を備え
    たことを特徴とするプロキシ装置。
51. 【請求項５１】 前記機密情報変換手段は変換用の変換
    キーデータを生成してこれを前記カード端末装置を通じ
    てＩＣカードユーザに提示し、前記カード端末装置より
    入力された第１の機密情報データから前記変換キーデー
    タを用いて前記第２の機密情報データを生成することを
    特徴とする請求項４９記載のプロキシ装置。
52. 【請求項５２】 前記変換キーデータと前記第１の機密
    情報データとを一対一に対応させて同一の第２の機密情
    報データを生成するための異なるデータの組を複数設け
    たことを特徴とする請求項５１記載のプロキシ装置。
53. 【請求項５３】 前記カード端末装置において実現する
    ユーザインタフェース部品に関わるＵＩ情報を前記カー
    ド端末装置に送信するＵＩ情報送信手段を備え、 前記ＵＩ情報として、前記リモートホストから要求され
    る機密情報として前記第２の機密情報データの代わりに
    前記第１の機密情報データを入力すべきことをＩＣカー
    ドユーザに指示するためのＵＩ部品情報を用いることを
    特徴とする請求項４９〜５２のいずれかに記載のプロキ
    シ装置。
54. 【請求項５４】 ＩＣカード装置とデータのやり取りを
    行うＩＣカードシステム用のカード端末装置であって、 当該カード端末装置は計算機ネットワーク上において設
    けられるプロキシ装置と接続され、 前記プロキシ装置から送られた当該カード端末装置にお
    けるユーザインタフェース部品に関わるＵＩ情報を受信
    するＵＩ情報受信手段と、 前記受信したＵＩ情報の内容に基づいて前記ＩＣカード
    装置とのデータ通信に関するユーザインタフェースを実
    行するＵＩ実行手段とを備えたことを特徴とするカード
    端末装置。
55. 【請求項５５】 前記ＵＩ情報として、文字フォントに
    関わる文字画像情報を用いることを特徴とする請求項５
    ４記載のカード端末装置。
56. 【請求項５６】 前記ＵＩ情報として、当該カード端末
    装置のユーザインタフェースに関わるハードウェアを動
    作させる手順及びデータのまとまりであるプログラム情
    報を用いることを特徴とする請求項５４記載のカード端
    末装置。
57. 【請求項５７】 前記ＵＩ情報として、当該カード端末
    装置の種類または構成もしくは動作状態によって異なる
    プログラム情報を用いることを特徴とする請求項５６記
    載のカード端末装置。
58. 【請求項５８】 ＩＣカード装置とデータのやり取りを
    行うＩＣカードシステム用のカード端末装置であって、 当該カード端末装置は計算機ネットワーク上において設
    けられる複数のプロキシ装置と接続され、 前記ＩＣカード装置からの問い合わせに応じて、予め定
    めた規則に従って使用に適するプロキシ装置を選択する
    ための処理を行うプロキシ選択処理手段を備えたことを
    特徴とするカード端末装置。
59. 【請求項５９】 当該カード端末装置の所有者もしくは
    運用者に対して金銭的もしくは事業的に有利となる状態
    を電子情報のやりとりによって生じさせるインセンティ
    ブを受けるインセンティブ獲得手段を備え、このインセ
    ンティブに関する情報を前記ＩＣカード装置との間で通
    信することを特徴とする請求項５４〜５８のいずれかに
    記載のカード端末装置。
60. 【請求項６０】 前記インセンティブとして広告情報を
    用い、前記インセンティブ獲得手段はこの広告情報を前
    記ＩＣカード装置に送信することを特徴とする請求項５
    ９記載のカード端末装置。
61. 【請求項６１】 前記インセンティブとして金銭あるい
    は有価値物に関連した有価値電子情報を用い、前記イン
    センティブ獲得手段は前記ＩＣカード装置からこの有価
    値電子情報を受信することを特徴とする請求項５９記載
    のカード端末装置。
62. 【請求項６２】 請求項１〜２９のいずれかに記載のＩ
    Ｃカードシステム用のＩＣカード装置を実現するための
    処理手順及びデータを記録したコンピュータ読取可能な
    情報記録媒体。
63. 【請求項６３】 請求項３０〜５３のいずれかに記載の
    ＩＣカードシステム用のプロキシ装置を実現するための
    処理手順及びデータを記録したコンピュータ読取可能な
    情報記録媒体。
64. 【請求項６４】 請求項５４〜６１のいずれかに記載の
    ＩＣカードシステム用のカード端末装置を実現するため
    の処理手順及びデータを記録したコンピュータ読取可能
    な情報記録媒体。