JP2004326796A - 高度機密保護機能を要求するアプリケーションを実行する方法における、端末とアプリケーションとの安全確保の方法、通信端末、識別モジュール - Google Patents

Abstract

【課題】 通信端末が端末ユーザ識別モジュールに接続されている時に、その安全性を確保する方法を提供する。
【解決手段】 端末ユーザ識別モジュール２に接続される通信端末１の安全確保の方法であって、照合手続１０の実行を含み、さらに上記方法では、端末１が端末１に接続されている識別モジュール２に端末識別情報を送信し１１、識別モジュール２が端末１から受信した識別情報とメモリ３１に保存されている識別情報とを比較し２２、比較の結果を端末１に送信し、識別モジュール２に保存されている識別情報が端末の情報に対応していれば、内部照合標識（LOCK）を設定し、その標識は端末１がすでに識別モジュール２によって識別されていることを示す。
【選択図】 図１

Description

本発明は、ユーザの通信端末の安全を確保するための方法に関するものである。

インターネットのような公衆データ通信網を利用しているアプリケーションの多くは、ユーザを間接的に認証する必要がある。また、このタイプのアプリケーションは、そのユーザが本当に存在するのかどうか、あるいは認証情報が本当にそのユーザから送られてきたものかどうかを判断する必要があり、または、間違いなく識別されたユーザに対して、機密性の高い情報を通信網で送信してよいかどうかということを判断する必要がある。

これらの判断のための操作において、ユーザは確実でかつ安全な方法で識別されることが必要である。上記識別は、通常スマートカードや認証またはセキュリティートークンなどの電子装置を用いることでなされている。このトークンはキーを保持し、暗号化処理を実行する機能を有する。暗号化処理とは、特に、ユーザがキーを保持していることを証明し、あるいは機密性の高いメッセージを解読するための識別処理のことである。

携帯電話、特にGMSタイプの電話は、通常、スマートカードの形式の識別モジュールを内蔵している。このスマートカードはSIM（Subscriber Identification Module：加入者識別モジュール）カードと呼ばれ、電話通信網に加入している携帯電話の所有者を識別する。ユーザが携帯電話を使うときは、秘密コードを入力し、それがSIM識別モジュールによって正しいと証明される。この目的のために、SIM識別モジュールには、暗号化機能が備えられている。従って、このSIM識別モジュールは電子署名の生成を含むアプリケーションにおいて利用可能である。例えば、サービスプロバイダと携帯電話のユーザとの間で行なわれるトランザクション処理（a transaction）に関連して言えば、ユーザがそのユーザの秘密コード、または署名生成専用の秘密コードを入力することで、そのユーザの携帯電話によってあらかじめ認証されるという点と、この秘密コードは識別モジュールによりチェックされているという点と、が知られている。

電子商取引のアプリケーションにおいては、サービスプロバイダにとってこのような署名を認識し、信用するということは必要不可欠である。この結果、ユーザが、あるトランザクション処理に対し、（ａ）そんなトランザクション処理は実行していない，（ｂ）自身の秘密コードを第三者に漏らしていない（故意か否かを問わず），（ｃ）他の別のトランザクション処理に署名をしてしまった，などの主張をすることによって異議を唱えることもなくなる。

また、このSIM識別モジュールは、機密性の高いメッセージを送信するようなアプリケーションにおいても利用可能である。暗号化されたメッセージを受信すると、SIMカードは受け取ったメッセージの暗号解読かぎを算出することができる。この暗号解読かぎによって、携帯電話は、暗号化されたメッセージを解読し、メッセージを平文で表示することができる。

このタイプのアプリケーションにおいて、メッセージ送信者は、その送信者のメッセージが指定したアドレスの端末に間違いなく送信されたということと、その指定したアドレスの受信者のみがそれを解読できるであろうこととを確認する必要がある。

しかしながら、特に第3世代携帯電話が出現した現代において、信用性の高いセキュリティーを提供するには、SIMカードによって得られるセキュリティーだけでは、十分でないことが知られている。この第3世代携帯電話とは、言い換えれば、いくつものアプリケーションをさまざまなサービスプロバイダから受け取ったり、保持したりできる携帯電話のことである。この状況では、いかなる欠陥もウイルスも、あるいはまた別の端末に暗号化されたメッセージを再送できるトロイの木馬も、利用されている携帯端末に確実に検出されないようにすることは不可能である。

従って、携帯端末およびそこにロードされるソフトウェアはすべて最初から完全な状態で維持されており、要求されるセキュリティー品質を保持しているということを間接的に立証する必要性がでてきた。

この目的のために、携帯端末は、新たなアプリケーションの出所と、その完全性とが保証されなければ、当該アプリケーションのダウンロードを拒否することによって、あるいは、そうでなければ、いかなる方法を用いても端末のアセンブリ（assembly）を変更することはできないようなアプリケーションに限定することによって、ウイルスやトロイの木馬から、自装置を守る必要がある。また、その携帯端末が実際に必要とするセキュリティー品質を保持しているかを、リモートサービスプロバイダが確認できるような認証機能を提供することも必要である。このSIMカードのみでは、そのような認証機能を提供することができない。なぜならこのSIMカードは取り外し可能で、他の端末にも取り付け可能だからである。

特に、ユーザが複数の異なる端末を利用するために、同じSIMカードを異なる携帯端末に使うことが妨げられていることに疑いの余地はない。

本発明の目的は、上記不都合を取り除くことにある。この目的は、通信端末が端末ユーザ識別モジュールに接続されている時に、その安全性を確保する方法を提供することにより達成される。

本発明の方法は、照合手続実行のステップを含み、また、上記方法は、端末が、端末に接続されている識別モジュールに、端末識別情報を送信するステップと、識別モジュールが、端末から受信した識別情報と、メモリに保存されている端末識別情報と、を比較し、比較の結果を端末に送信するステップと、識別モジュールに保存されている識別情報が端末に保存されている識別情報に対応している場合、端末が識別モジュールによって識別されたことを示す内部照合標識を設定するステップと、上記内部照合標識が識別モジュールによって設定されなかった場合、端末は、端末にインストールされている高度機密保護機能を要求する手続の実行を防止し、端末のその他の機能についてはアクセス可能状態を維持するステップと、を含む。

さらに、本発明の方法において、上記照合手続は、上記端末の電源が入れる度に実行されてもよい。

また、本発明の方法において、識別モジュールに保存されている上記識別情報が、上記端末の情報に対応しない場合端末は、識別モジュールに保存されている識別情報を更新するための手続をトリガーし、その手続において識別モジュールは、上記更新を実行する許可を受けた権限者をあらかじめ認証し、この認証が成功した場合、識別モジュールは、受信した端末識別情報を記憶し、内部照合標識を設定してもよい。

また、本発明の方法においては、識別モジュールが複数の端末の識別情報を記憶することが好ましい。

さらに、本発明の方法においては、端末識別情報のリストまたは配列（sequence）は、それがユーザに提示される際に、識別モジュールのメモリに登録されることが好ましい。

また、本発明の方法において、識別モジュールに記憶されている端末識別情報のリストまたは配列を更新するための手続の実行を含み、この手続は権限を与えられた権限者によってデータ通信網を介して実行され、この手続は上記識別モジュールによって権限を与えられた権限者を認証するステップを含めてもよい。

さらに、本発明の方法において、端末識別情報には、端末のプロファイル情報が構成されていてもよい。

また、本発明の方法において、識別モジュールが権限のない端末の照合を行なわないように、識別モジュールに保存されている端末識別情報の読み出しアクセスがパスワードまたは有効署名手続のいずれかにおいて保護されていることが好ましい。

また、本発明の方法において、高度機密保護機能を要求する手続は、ユーザが秘密コードを端末から入力し、識別モジュールが上記秘密コードをチェックし、ユーザにより入力された上記秘密コードが正しくない場合には、高度機密保護機能を要求する手続は実行されないようなステップの後でのみ実行されることとしてもよい。

さらに、本発明の方法において、高度機密保護機能を要求する手続は、電子署名を生成するための手続を含むことが好ましい。

また、本発明の方法において、高度機密保護機能を要求する手続は、識別モジュールに記憶されている秘密かぎを用いて暗号化されたメッセージを受け取り、かつ解読する手続を含むこととしてもよい。

さらに、本発明の方法において、高度機密保護機能を要求する手続は、端末のメモリに保存されている内容へのアクセスを認証するための手続を含み、上記内容の各々は、内容が持つアクセスモードの機能ごとにアクセス権限レベルと関連付けられており、そのアクセス権限レベルは端末ユーザごとに割り当てられており、アクセス手続によって、ユーザが保持するアクセス権限レベルが、要求された内容が持つ指定のアクセスモードに対応している場合のみ、ユーザがその指定したアクセスモードで要求した内容にアクセスすることができることとしてもよい。

さらに、本発明の方法において、端末のメモリに保存されている内容は、識別モジュールに保存されている、あるいは上記端末によって識別モジュールに送信されるライセンスと関連付けられているものもあり、上記ライセンスは、その関連付けされた内容へのアクセスを認証してもよいかどうかを判断するために、識別モジュールによってチェックされることとしてもよい。

また、本発明は通信端末に関するものであり、本発明の通信端末は、識別モジュールに接続する手段と、上記方法を実行する手段と、を備える。

また、この通信端末とは携帯用端末であってよい。

さらに、本発明の通信端末において、上記識別モジュールがチップカードであって、上記接続手段には、上記チップカードへのコネクタ（a connector for a chip card）が含まれることとしてもよい。

また、本発明は、通信端末用識別モジュールに関するものであり、本発明の通信端末用識別モジュールは、上記方法を実行するための手段を含み、端末へ接続する手段を備えたものである。

さらに、本発明の通信端末用識別モジュールは、通信端末のチップカードに接続する手段を備えたチップカードタイプであってもよい。

本発明の好ましい実施の一形態を、非限定的な例によって、添付の図面を参照しながら以下に記述する。

図１において、本発明における上記方法は、電話通信網３を介して別の通信端末と通信を行なうように設計されている携帯端末１によって実行される。電話通信網３の通信事業者が携帯端末１などのユーザを識別することができるように、上記携帯端末１は、取り外し可能な例えばチップカードまたはマイクロプロセッサカードなどのような識別モジュール（識別装置）２、および上記カードに接続する接続手段を備えている。GSMまたはUMTS携帯電話通信網において、上記識別モジュール２は“加入者識別モジュール”（SIM）と呼ばれる。

各々の携帯端末1は、各端末のメモリに記憶されている識別番号によって識別される。GSMおよびUMTS標準では、上述した携帯端末１の識別番号はIMEI（携帯電話機識別番号,International Mobile Equipment Identity）と呼ばれる。

本発明において、各携帯端末1および各識別モジュール２は、照合（マッチング）手続を実行するようにプログラムされている。その照合手続は、識別モジュール２が、それに接続している携帯端末１に対して、その携帯端末１のIMEIを提供（送る）するように要求することを含む。これは、識別モジュール２が、この番号（提供されたIMEI）が識別モジュール２に保存されている携帯端末識別番号に対応しているかどうかをチェックし、そのチェックの結果を上記携帯端末１に送信するためである。

識別モジュール２が、その識別モジュール２に接続中の携帯端末１を承認している場合、識別モジュール２は、その携帯端末１が安全であり、機密を扱うアプリケーションに利用できると判断したことを示す内部標識（internal indicator）を設定する。

図１に示される上記照合手続（ステップ１０）は、携帯端末１の電源が入る度に実行される。この手続はまず、携帯端末1が、端末の属性を示す情報、特にIMEI端末識別番号を識別モジュール２に送信するステップ１１を含む。識別モジュール２は、ステップ２１において、これら情報を受信し、ステップ２２において、これら情報と、識別モジュール２のメモリ３１に予め登録されている対応の情報と、を比較する。もし、受信した情報が予め登録されている情報と同一であれば（ステップ２３においてＹｅｓ）、識別モジュール２は、ステップ２４において、LOCKと呼ばれる内部標識を設定し、ステップ２５において、承認メッセージを携帯端末１に送信する。携帯端末１はこのメッセージをステップ１５において受信する。

もし、受信した携帯端末識別情報が識別モジュール２に登録されているものと同一でなければ（ステップ２３においてＮｏ）、識別モジュール２は、携帯端末１において、認証手続１７をトリガーする（ステップ２６）。この認証手続１７は、携帯端末１のキーボードを用いてシングルパスワードを入力する手順を含んでいることがある。このシングルパスワードは、識別モジュール２に送信され、ステップ２７において、識別モジュール２によりチェックされる。もし、認証が成功すれば（ステップ２８においてＹｅｓ）、識別モジュール２は、ステップ２９において、そのメモリ３１に保存される情報を、ステップ２１で携帯端末１より送信された識別情報に更新する。さらに、識別モジュール２は、LOCK標識を設定し、ステップ３０において、認証成功報告を携帯端末１に送信する。そうでなければ、ステップ３０において認証失敗報告を携帯端末１に送信する。

携帯端末１は、ステップ１９において、上記した報告のメッセージを受信する。

識別モジュール２は、複数の携帯端末の識別情報を保存できるため、複数の異なる端末を使用するユーザも認証することができる。複数の異なる端末とは、例えば、超軽量携帯端末、通信用個人情報機器（PDA）などである。

また、複数の携帯端末の識別情報を識別モジュール２に保存できるため、ユーザがハンドオーバするときに、自動で上記照合手続が実行される。このようにして、識別モジュール２のメモリ３１に保存されている識別のための情報は、認識された携帯端末識別番号リストまたは配列の形式で、機密保護の点で承認される。

また、識別モジュール２のメモリ３１に保存され、照合に用いられると共に識別のための情報は、携帯通信事業者によって更新可能である。この携帯通信事業者は、この情報を識別モジュール２で使用できるよう、電話通信網３を介して、携帯端末１に送信できる。この情報は、電話通信網３を介して、許可を受けた権限者（an approved authority）（通信事業者３または携帯端末の承認に対して責任を持つ権限者）によって、安全な手続を用いて、電話通信網３を介して間接的（リモート）に更新されてもよい。

さらに、メモリ３１に保存されている情報の更新のための安全な手続においては、例えば、許可を受けた権限者と識別モジュール２とが共有するかぎによって算出される認証識別子（an authenticator）に従うなどして、必ず許可を受けた権限者しかこれらの更新手続を行なえないようにしなければならない。

LOCK標識の設定により得られる保護は、たいていのケースで十分といえる。この保護を解除する（neutralize）必要がある事例を以下に挙げる。

−承認された携帯端末１が利用可能である場合。つまり、SIM識別モジュールと一致した場合。

−簡単な操作、あるいは携帯端末１と識別モジュール２との間の適切な手段による交換の監視、いずれかによって携帯端末１のIMEI識別番号が取得された場合。

−IMEI番号の変更を受け入れた携帯端末１（未承認）が利用可能である場合。

これら事例は、承認された携帯端末１のユーザが実際にはありえない詐欺に加担したと仮定した場合である。

しかしながら、識別モジュール２に記憶され、携帯端末１の識別番号が含まれているファイルの読み出しアクセスを保護することは、識別モジュール２が権限のない携帯端末１の照合を行なわないようにするためのパスワードや有効署名手続のいずれかにより可能である。

また、携帯端末1は、３GPP ３１．１１１標準によって、識別モジュール２に保存される携帯端末１の識別情報として、携帯端末１のプロファイルを追加することが可能である。この標準には、“プロファイルダウンロード”命令がある。この命令は、識別モジュール２が、携帯端末１から端末設定についてのプロファイル情報を受信し、携帯端末１を管理するために使用される。このプロファイル情報は特に、携帯端末１の表示画面の大きさであるとか、その携帯端末１がある電話番号にはかけないように設定するための管理呼び出し機能に必要な情報であるとか、また識別モジュール２に保存されている禁止された番号の一覧などを含む。

携帯端末1および識別モジュール２がこのように照合されると、高度機密保護機能を要求するアプリケーションを実行することができる。例えば、署名の生成、トランザクション処理の利用、受信した暗号化メッセージへのアクセス、および携帯端末１内の機密性の高いデータに対するアクセス制御などである。

携帯端末１のその他の機能においては、たとえ携帯端末１が照合されなくてもアクセス可能であることは明らかである。

高度機密保護機能を要求するアプリケーションが携帯端末１上で実行される場合、このアプリケーションは、ユーザに、秘密コードをその端末のキーボードで入力するよう促す。その秘密コードは要求時に識別モジュール２へ送信される。上記要求が受信されると、識別モジュール２は、入力された秘密コードが正しいかどうか、またLOCK標識を設定してもよいかどうかを判断するためにチェックをする。これらチェックのいずれかひとつでも失敗すると、識別モジュール２はエラーメッセージを携帯端末１に返信する。携帯端末１によって実行されたアプリケーションは、受信したエラーレポートを表示し、終了する。その結果、識別モジュール２がユーザを認識しなければ、また携帯端末１を照合しなければ、その携帯端末１は高度機密保護機能を要求するアプリケーションを実行できないのである。

図２は、トランザクション処理４０に適用する署名を生成する手続を示している。この署名により、ユーザは、携帯端末1を用いて行なったトランザクション処理が完遂したかを確認できる。この手続は、トランザクション処理のパラメータを含んだ要求メッセージを携帯端末１が受信したときにトリガーされる。特に、上記パラメータは、そのトランザクション処理における第三者を特定する情報（例えば、購入トランザクション処理の場合は、販売元を特定する情報など）、このトランザクション処理の目的（商品の種類または購入されるサービスの種類）を示す情報、および、トランザクション処理の量を示す情報などを含む。もしこれがギャンブルゲームであれば、要求メッセージは、賭けの種類（bet identification）、ユーザにより入力された賭け金（the terms of the bet）、および賭けの総額を示す情報を含む。携帯端末１は、ステップ４１において、要求メッセージを分析し、そのトランザクション処理についての情報を明瞭な手順で再生する。また、この情報は、ステップ４２において、携帯端末１の画面に表示される。

そして、ステップ４３において、携帯端末１は、秘密コードを入力することで同意することをユーザに促し、上記秘密コード入力待ち状態に入る。上記秘密コードが入力されると（ステップ４４）、携帯端末１は、ステップ４５において、識別モジュール２による証明手続をトリガーする。識別モジュール２において、この手続は、受信した秘密コードをチェックし（ステップ５５）、LOCK標識を設定するか否かを判断する処理（ステップ５６）を含む。上記チェックおよび判断が肯定的であれば、識別モジュール２は、予見されるトランザクションに応じたアプリケーション処理５７を実行する。このアプリケーション処理は、実行されたトランザクション処理の履歴を識別モジュール２が保存・管理していると仮定して、例えば、要求量が、与えられている最大限界値以内におさまっているかどうかのチェックを含んでいてもよい。次のステップ５８において、識別モジュール２は署名を算出する。この署名は、ステップ５９において報告メッセージを返信するために用いられるものである。携帯端末１は、ステップ４６において、この報告メッセージを受信し、ステップ４７において、アプリケーション処理を終了する。もしこの報告メッセージが肯定的かつトランザクション処理の署名を含んでいれば、次のステップ４８において、携帯端末１は、トリガーされた手続き４０における要求メッセージに対する応答メッセージを、電話通信網３を介して送信する。

図３は、暗号化されたメッセージを受信する手続７０を示す。この手続は、秘密かぎ(secret key)ｋを用いて暗号化されたメッセージである［メッセージ］k、および秘密かぎｋによる暗号化の結果Pi（ｋ）を含む、暗号化されたメッセージが受信されたことによってトリガーされる。この秘密かぎｋは、公開かぎPiを用いた非対称アルゴリズムに用い、この公開かぎは、送信先のユーザに属し、識別モジュール２に保存されている秘密かぎ（private key）Siに対応するものである。

この手続７０は、要求を分析するステップ７１を含み、このステップ７１は、メッセージに含まれるさまざまな情報の差別化、つまり暗号化されたメッセージおよび暗号化されたかぎｋを区別することを含む。このステップ７１にステップ７２が続く。ステップ７２において、例えば発信者を特定する情報やそのメッセージの目的などを含んだ、メッセージのヘッダ内の情報が表示される。次のステップ７３において、ユーザは、認証のための秘密コードを入力するように促される。ステップ７４において、この秘密コードが入力されると、入力されたコードと暗号化されたかぎｋとPi（ｋ）とを含んだメッセージが識別モジュール２に送信される。送信されたメッセージは、識別モジュール２によって実行される手続をトリガーする（ステップ７５）。この手続は、まず、ユーザによって入力された秘密コードをチェックするステップ８５と、次にLOCK標識を設定するかどうかのチェックをするステップ８６とを含む。これらチェックが肯定的であれば、識別モジュール２は、次のステップ８８において、秘密かぎSiを用いてかぎｋを解読する。このかぎSiは、公開かぎPiに対応している。この解読されたかぎｋはステップ８９において携帯端末１に送信され、手続７０におけるステップ７６において、携帯端末１により受信される。次のステップ７７において、携帯端末１は、識別モジュール２から受信したかぎｋを用いて、メッセージ、［メッセージ］ｋを復号し、画面にそれを表示する（ステップ７８）。

もし、ユーザが入力した秘密コードが正しくなかったり、あるいはLOCK標識が設定されなかったりした場合、識別モジュール２は否定的な報告を携帯端末１に送信する（ステップ９０）。この否定的な報告には、該当するエラーの種類が示される。携帯端末１は、この報告を受信した場合エラーメッセージを画面に表示する。

また、上記LOCK標識は携帯端末1のメモリに保存されているデータのアクセス制御にも用いることができる。この保存されているデータとは、例えば、個人情報、または著作権によって保護されているデータを含むファイルなどである。上記データのアクセス制御は、要求されたアクセスモードの機能ごとに作成される。つまり、例えば、これらデータの表示もしくは再生、変更、複製、通信、名称変更、印刷などの機能ごとに作成される。

携帯端末１に保存されているデータにアクセスするための上記アプリケーションにおいて、各々のデータまたはファイルは、アクセスモードごとに階層的に構成されている保護レベルにそれぞれ関連付けられており、識別モジュール２に保存されている秘密コードを所有する各々のユーザは、それぞれのアクセス権レベルに関連付けられている。従って、例えば、レベル０は、対応するアクセスモードのために、そのファイルへのアクセスを制御できないということを示し、レベル１は、同等もしくはそれ以上のアクセス権を持つユーザらに対応するアクセスモードで、そのファイルへのアクセスが許可されるのみであるということを示す、などである。

ファイルに割り当てられる上記階層構造の保護レベルは、携帯端末１の所有者によって特別に機密保護された手続を用いて定義される。この手続は、携帯端末１が照合手続において一致し（LOCK標識が設定され）、かつその所有者が識別モジュール２に認証された場合にのみ実行可能である。

データアクセスは、ユーザが（秘密コードによって）認証されたのち、およびLOCK標識の状態がチェックされたのちに許可される。

さらに、ファイルおよびデータは暗号化可能である。この場合、識別モジュール２は、ユーザが正しく認証され、かつLOCK標識が設定された場合に、上記データを解読する。

図４は、携帯端末1のメモリに保存されている内容に対してアクセス制御をするための手続１００を示す。この手続１００は、ユーザが指定した内容に対してアクセスしようとするときに、ユーザによってトリガーされる。

この手続１００は、アクセス要求を分析するためのステップ１０１を含み、このステップ１０１はとりわけ、ファイルのアクセスに必要なアクセス権レベルおよびその要求されたファイルに設定されているアクセスモードの判定を含む。

次のステップ１０２では、携帯端末１は必要となるアクセス権レベルをチェックする。このチェックにおいて、もし、そのファイルおよびアクセスモードに対応するそのアクセス権レベルについて、ユーザの権利のチェックが不要ならば、要求されたファイルにアクセスするために、直接ステップ１０９へ移行する。また、ステップ１０２においては、ファイルがライセンスと関連付けられているかどうかを判定することもあり、もし、ライセンスと関連付けされていなければ、ステップ１０９には直接移行しないようになっている。

もし、要求されたファイルにおいて、アクセス権および／またはライセンスのチェックが必要であれば、携帯端末１はユーザに秘密コードを入力するように促し（ステップ１０３）、その秘密コードの待機状態に入る（ステップ１０４）。上記秘密コードが入力されたら（ステップ１０５）、携帯端末１は、ユーザによって入力された秘密コードをパラメータとして識別モジュール２へ渡し、チェック手続をトリガーする（ステップ１０６）。識別モジュール２において、この手続は、受け取った秘密コードをチェックし（ステップ１１６）、LOCK標識を設定するかどうかをチェックする（ステップ１１７）ことを含む。もし、これらチェックが肯定的であれば、識別モジュール２は、ユーザに要求された内容の種類に応じたアプリケーション処理（ステップ１１８）を実行する。このアプリケーション処理とは、例えば、要求した内容の発信者の署名をチェックしたり、および／または、ユーザにより要求されたアクセスが、その内容に関連付けられているライセンスにより認証済みかどうかをチェックしたりすることなどである。なお、このライセンスは識別モジュールに記憶されている。

それゆえ、このタイプのライセンスは、利用可能期限の範囲内で、または、与えられた回数の範囲内でアクセスモードを認証したりすることもできる。

携帯端末１がライセンスを保存できるという点は、注目すべきところである。この場合、ライセンスは、ユーザが入力した秘密コードとともに、チェックのため識別モジュール２に送信される。

次のステップ１１９では、識別モジュール２は、認証報告メッセージを携帯端末１へ送信する。なお、この認証報告メッセージには、その内容にアクセスすることを許可する復号キーを含めてよい。また、その内容とは、例えば、デジタル著作権管理（Digital Right Management）によって保護されている音楽や映像コンテンツである。携帯端末１は、このメッセージをステップ１０７において受信し、もしこのアクセスが上記報告メッセージによって認証されたものであれば（ステップ１０８）、その内容へのアクセスを提供する（ステップ１０９）。

前述したすべてのアプリケーション手続において、ユーザの認証はまた、生物測定学的身元照合（例えば指紋認識）を用いたバイオメトリクス認識によっても可能である。この生物測定学的身元照合情報は、ユーザによって携帯端末１に入力される。またこの情報は識別モジュール２に送信され、そのメモリに保存されている情報（識別子）と比較される。

複数の秘密コードまたは生物測定学的身元照合情報を上記識別モジュール２に保存できるため、複数のユーザがこれらを利用することができる。この場合、電子署名を生成するアプリケーションや、暗号文を受け取るアプリケーションを処理する時、識別モジュールが選ぶ、署名生成や暗号解読のための秘密かぎ（private key）は、上記の方法で認証されたユーザを特定する情報に応じて選ばれる。

本発明は、特に、安全なユーザ認証モジュールを保持するように設計された携帯用通信端末に適用可能であるが、それのみ適用可能というわけではない。例えば、このタイプの携帯用端末はGSM（Global System for Mobile communication）標準、またはUMTS（Universal Mobile Telecommunication System）標準に準拠する。さらに一般的には、本発明は、認証モジュールなどを受信するように設計された通信モジュールを含んだ、どのような携帯端末にも適用可能である。

本発明の実施の形態における携帯端末とスマートカードとの照合手続を示した処理シーケンス図である。 本発明の実施の形態におけるトランザクション処理を要求する（signing a transaction）手続を示した処理シーケンス図である。 本発明の実施の形態における暗号化されたメッセージを受信する手続を示した処理シーケンス図である。 本発明の実施の形態における、携帯端末に記憶されている内容にアクセスする手続を示した処理シーケンス図である。

符号の説明

１ 携帯端末
２ 識別モジュール
３ 電話通信網
３１ メモリ

Claims (18)

1. 端末ユーザ識別モジュール（２）に接続される通信端末（１）の安全確保の方法であって、上記方法は照合手続（１０）の実行を含み、
   さらに、上記方法は、
   端末（１）が、端末（１）に接続されている識別モジュール（２）に、端末識別情報を送信するステップ（１１）と、
   識別モジュール（２）が、端末（１）から受信した識別情報と、メモリ（３１）に保存されている端末識別情報と、を比較し（２２）、比較の結果を端末（１）に送信するステップと、
   識別モジュール（２）に保存されている識別情報が端末に保存されている端末識別情報に対応している場合、端末（１）が識別モジュール（２）によって識別されたことを示す内部照合標識（LOCK）を設定するステップと、
   上記内部照合標識（LOCK）が識別モジュール（２）によって設定されなかった場合、端末（１）は、端末（１）にインストールされている高度機密保護機能を要求する手続（４０、７０）の実行を防止し、端末（１）のその他の機能についてはアクセス可能状態を維持するステップと、
   を含むことを特徴とする、安全確保の方法。
2. 上記端末（１）の電源が入る度に、上記照合手続（１０）が実行されることを特徴とする、請求項１に記載の安全確保の方法。
3. 識別モジュール（２）に保存されている上記識別情報が、上記端末（１）の情報に対応しない場合、端末（１）は、識別モジュール（２）のメモリ（３１）に保存されている端末識別情報を更新するための手続（２９）をトリガーし、その手続（２９）において識別モジュール（２）は、上記更新を実行する権限を与えられた権限者をあらかじめ認証し、この認証が成功した場合、識別モジュール（２）は、受信した端末識別情報を記憶し、内部照合標識を設定することを特徴とする、請求項１または２に記載の安全確保の方法。
4. 識別モジュール（２）が複数の端末（１）の識別情報を記憶することを特徴とする、請求項１ないし３のいずれか１項に記載の安全確保の方法。
5. 端末識別情報のリストまたは配列は、それがユーザに提示される際に、識別モジュール（２）のメモリに登録されることを特徴とする、請求項１ないし４のいずれか１項に記載の安全確保の方法。
6. 識別モジュール（２）に記憶されている端末識別情報のリストまたは配列を更新するための手続の実行を含み、この手続は権限を与えられた権限者によってデータ通信網（３）を介して実行され、この手続は上記識別モジュール（２）によって権限を与えられた権限者を認証するステップを含むことを特徴とする、請求項５に記載の安全確保の方法。
7. 端末識別情報が端末（１）のプロファイル情報を含んでいることを特徴とする請求項１ないし６のいずれか１項に記載の安全確保の方法。
8. 識別モジュール（２）が権限のない端末（１）の照合を行なわないように、識別モジュール（２）に保存されている端末識別情報の読み出しアクセスがパスワードまたは有効署名手続のいずれかにおいて保護されていることを特徴とする請求項１ないし７のいずれか１項に記載の安全確保の方法。
9. 高度機密保護機能を要求する手続（４０、７０）は、ユーザが秘密コードを端末（１）から入力し、識別モジュール（２）が上記秘密コードをチェックし、ユーザにより入力された上記秘密コードが正しくない場合には、高度機密保護機能を要求する手続が実行されないようなステップの後でのみ実行されることを特徴とする、請求項１ないし８のいずれか１項に記載の安全確保の方法。
10. 高度機密保護機能を要求する手続は、電子署名を生成するための手続（４０）を含むことを特徴とする、請求項１ないし９のいずれか１項に記載の安全確保の方法。
11. 高度機密保護機能を要求する手続は、識別モジュール（２）に記憶されている秘密かぎを用いて暗号化されたメッセージを受け取り、かつ解読する手続（７０）を含むことを特徴とする、請求項１ないし１０のいずれか１項に記載の安全確保の方法。
12. 高度機密保護機能を要求する手続は、端末（１）のメモリに保存されている内容へのアクセスを認証するための手続（１００）を含み、上記内容の各々は、内容が持つアクセスモードの機能ごとにアクセス権限レベルと関連付けられており、そのアクセス権限レベルは端末ユーザごとに割り当てられており、アクセス手続によって、ユーザが保持するアクセス権限レベルが、要求された内容が持つ指定のアクセスモードに対応している場合のみ、ユーザがその指定したアクセスモードで要求した内容にアクセスできることを特徴とする、請求項１ないし１１のいずれか１項に記載の安全確保の方法。
13. 端末（１）のメモリに保存されている内容は、識別モジュール（２）に保存されている、あるいは上記端末（１）によって識別モジュール（２）に送信されるライセンスと関連付けられているものもあり、上記ライセンスは、その関連付けされた内容へのアクセスを認証してもよいかどうかを判断するために、識別モジュール（２）によってチェックされることを特徴とする、請求項１２に記載の安全確保の方法。
14. 識別モジュール（２）に接続する手段と、請求項１ないし１３のいずれか１項に記載の方法を実行する手段と、を備えた通信端末。
15. 上記識別モジュール（２）がチップカードであって、上記接続手段には、上記チップカードへのコネクタが含まれる請求項１４に記載の通信端末。
16. 携帯用端末タイプであることを特徴とする、請求項１５に記載の通信端末。
17. 請求項１ないし１３のいずれか１項に記載の上記方法を実行するための手段を含み、端末へ接続する手段を備えた、通信端末用識別モジュール。
18. 通信端末のチップカードに接続する手段を備えたチップカードタイプであることを特徴とする、請求項１７に記載の識別モジュール。

Images