JP2005174185A - セキュアデバイスと情報処理装置 - Google Patents

Abstract

【課題】 携帯電話に搭載するＩＣカードであり、書込まれたＰＩＮの悪用を防止できるものを提供する。
【解決手段】第１通信手段と第２通信手段とカードアプリ２１とを備えるＩＣカード２０に、カードアプリ２１からアクセス可能な受渡情報管理手段２２を設ける。受渡情報管理手段２２は、第１通信手段を通じて外部Ｒ／Ｗ３０から送られた処理識別子と第２通信手段を通じて携帯電話１０から送られたＰＩＮとを対応付けて保持し、カードアプリ２１は、外部Ｒ／Ｗ３０から処理識別子とデータ要求とを受信したとき、受渡し情報管理手段２２から、処理識別子が、受信した処理識別子に合致するＰＩＮを読出して外部Ｒ／Ｗ３０に送る。ＩＣカードにＰＩＮが書込まれたまま携帯電話が悪意を持つ他人に渡った場合でも、外部Ｒ／Ｗ３０から送られる処理識別子が、ＰＩＮに対応する処理識別子と合致しなければ、ＰＩＮをＩＣカードから読出すことはできない。
【選択図】図１

Description

本発明は、ＩＣカード等のセキュアデバイスと、それを搭載する携帯電話等の情報処理装置に関し、セキュアデバイスに書き込まれたＰＩＮ等のデータが悪用される事故を防止するものである。

近年、ＩＣカードは、電子決済用カードや定期券、入金機能付きプリペイド乗車券等に広く利用されている。最近では、微細化技術の向上とも相俟って、比較的大容量の記憶空間を持つＩＣカードが作られており、このようなＩＣカードは、カードサービスを実行する複数のカードアプリケーション（以下、アプリケーションを「アプリ」と略称する）を格納して、複数の用途に対応するマルチアプリカードとして使用することができる。
ＩＣカードの通信方式には、ＩＣカードの電気的接点にリーダ・ライタを接触して記録情報の読み書きを行う接触通信と、無線通信で情報をやり取りし、リーダ・ライタとの物理的な接触を必要としない非接触通信との二通りがある。

ＩＣカードの国際標準規格には、接触通信に関するＩＳＯ７８１６と、非接触通信に関するＩＳＯ１４４４３とが存在している。この国際標準規格では、ＩＣカードのカードアプリとリーダ・ライタ側の端末アプリとのデータのやり取りは、端末アプリからカードアプリに送られる「コマンド」と、カードアプリから端末アプリに送られる「レスポンス」とが基本になると規定しており、コマンド及びレスポンスの形式を指定するＡＰＤＵ（Application Protocol Data Unit）が決められている。そのため、ＩＣカードは受動的な動作しかできない。

また、最近は、接触通信及び非接触通信の両方が可能なチップ状のＩＣカードを携帯電話機に装着し、この携帯電話機を電子財布や定期券の替わりに使用することも行われている。例えばＩＣカードにプリペイド乗車券の情報が記録されている場合では、ユーザが携帯電話機のキーを操作して残金表示を指示すると、携帯電話機から接触通信でＩＣカードにその指示が入力し、ＩＣカードの残金情報が読み出されて携帯電話機の画面に表示される。また、この携帯電話機を駅の自動改札機に翳すと、改札機から、非接触通信で、ＩＣカードに情報データの読み出しや書き換えの指示が入力し、この指示に従ってＩＣカードに記録された残金データが更新される。

また、下記特許文献１には、この携帯電話機のＩＣカードによる非接触通信処理が正常に行われたとき、携帯電話機の表示手段を使って、カード機能が正常に動作したことを表示する装置が記載されている。このＩＣカードは、複数のカードアプリの中から外部リーダ・ライタが指定したカードアプリを起動して、外部リーダ・ライタとの間で、利用するサービスに応じたカード利用通信（非接触通信）を行い、そのカード利用通信が正常に終了すると、その旨を示す通知信号とアプリＩＤとを携帯電話機の制御部に送信する。これを受信した制御部は、アプリＩＤに応じてあらかじめ定められた報知情報を携帯電話機の表示手段から出力する。
特開２００３−６０７４８号公報

ＩＣカードが搭載される携帯電話機は、キーパッドや、ディスプレー、通信機能、アプリ実行機能等を有しているから、ＩＣカードの非接触通信でのカード処理に連動して、これらの携帯電話機能を使用することにより、より利便性、操作性及び機能性の高いサービスが実現できる。前記特許文献１に記載されている装置も、携帯電話機の表示手段を使ってＩＣカードの非接触通信処理に連動する表示を行うことを指向している。
しかし、国際標準規格に合致するＩＣカードは、外部リーダ・ライタから非接触通信で送信されたコマンドに対して、レスポンスを返すだけの受動的な動作のみが可能であって、前記特許文献１に記載されたＩＣカードのように、携帯電話機の制御部に自ら通知信号やアプリＩＤを送信することはできない。

そこで、発明者等は、外部リーダ・ライタからの指示で行ったカード処理の情報を、国際標準規格に則って、効率的に携帯電話機に伝えることができるＩＣカードを新たに開発した。図７には、このＩＣカード２００と、ＩＣカード２００を装着した携帯電話機１００との構成を示し、また、携帯電話機１００、ＩＣカード２００、及び、外部リーダ・ライタ３００の三者が連携して行う処理の順序を丸で囲んだ数字で示している。
このＩＣカード２００は、サービスプロバイダーが作成した各種サービスを実行する複数のカードアプリ２１０と、携帯電話機１００との情報の受け渡しを一元的に行う情報受け渡し用カードアプリ２２０と、受け渡す情報を一時的に格納する情報格納部２３０と、通信処理やファイル管理を実行するカードＯＳ２４０とを備えている。また、携帯電話機１００は、カードアプリ２１０の処理に連動した動作を実行する端末アプリ１１０と、端末アプリ１１０に対して情報受け渡しのサービスを行うミドルウェア１２０と、携帯電話機１００の動作を制御するデバイスドライバ１３０とを備えている。

ＩＣカード２００の全てのカードアプリ２１０は、情報受け渡し用カードアプリ２２０にアクセスすることができ、外部リーダ・ライタ３００からカードアプリ２１０に送られた情報を情報受け渡し用カードアプリ２２０の情報格納部２３０に書き込むことができる。
また、携帯電話機１００のミドルウェア１２０も、情報受け渡し用カードアプリ２２０と相互認証を行えば、その後は、情報受け渡し用カードアプリ２２０に自由にアクセスすることができる。
この携帯電話機１００のミドルウェア１２０は、デバイスドライバ１３０を通じて、ポーリングによりＩＣカード２００の状態を監視する（１）。ユーザが携帯電話機１００を外部リーダ・ライタ３００に翳すと、外部リーダ・ライタ３００の非接触通信圏内に入ったＩＣカード２００は起動し、外部リーダ・ライタ３００から指定されたカードアプリ２１０が、外部リーダ・ライタ３００から指示された処理を実行する（２）。カードアプリ２１０は、この処理に伴って携帯電話機１００に送ることが必要になった情報を、情報受け渡し用カードアプリ２２０に書き込む（３）。
この情報は、起動すべき端末アプリ（ミドルウェアを含む）の名前、この端末アプリに引き渡す情報、依頼したカードアプリのＩＤ等を内容としている。

携帯電話機１００のデバイスドライバ１３０は、ＩＣカード２００の非接触通信の終了を検知すると、それをミドルウェア１２０に伝え（４）、ミドルウェア１２０は、情報受け渡し用カードアプリ２２０との相互認証を行った後、情報受け渡し用カードアプリ２２０にアクセスして、そこで保持されている情報を取得する（５）。ミドルウェア１２０は、情報受け渡し用カードアプリ２２０から取得した情報に基づいて、指定された端末アプリ１１０を起動し、端末アプリ１１０は、指定された処理を行う。また、ミドルウェア１２０が指定されているときは、ミドルウェア１２０自身がその処理を行う（６）。

例えば、決済端末の外部リーダ・ライタ３００からクレジット決済処理に必要な本人認証用暗証番号（ＰＩＮ）の入力が求められている場合では、取得した情報を解釈したミドルウェア１２０が、携帯電話機１００のディスプレーにＰＩＮ入力ウィンドウを表示し、ユーザがＰＩＮを入力すると、ミドルウェア１２０は、情報受け渡し用カードアプリ２２０にＰＩＮを書き込む。
このＰＩＮ情報は、ユーザが再び携帯電話機１００を外部リーダ・ライタ３００の前に翳したときに、起動したカードアプリ２１０によって読み出され、外部リーダ・ライタ３００の指示に従って外部リーダ・ライタ３００に送信される。このＰＩＮの照合は、外部リーダ・ライタ３００と接続するセンター等で行われ、照合に成功すると決済処理が実行される。
しかし、この装置では、情報受け渡し用カードアプリ２２０の情報格納部２３０にＰＩＮが書き込まれた状態（即ち、決済処理が完了する前の状態）で携帯電話機１００が盗られたり紛失したりして他人の手に渡ると、無断で購入した商品の決済に悪用される可能性がある。

本発明は、こうした問題点を解決するものであり、セキュアデバイスに書き込まれたＰＩＮ等のデータの悪用を防止できるセキュアデバイス及び情報処理装置を提供することを目的としている。

そこで、本発明では、第１の通信手段と、第２の通信手段と、１または複数のカード機能手段（カードアプリ）とを備えるセキュアデバイスに、全てのカード機能手段からアクセスが可能な受け渡し情報管理手段を設け、この受け渡し情報管理手段は、第１の通信手段を通じて外部リーダ・ライタから送られた処理識別子と第２の通信手段を通じて情報処理装置から送られたデータとを対応付けて保持し、カード機能手段は、第１の通信手段を通じて外部リーダ・ライタから処理識別子とデータ要求とを受信したとき、受け渡し情報管理手段から、対応する処理識別子が受信した処理識別子に合致するデータを読み出して外部リーダ・ライタに送るようにしている。
そのため、セキュアデバイスにＰＩＮ等のデータが書き込まれた状態で情報処理装置が悪意を持つ他人の手に渡った場合でも、処理端末から送られる処理識別子が、データに対応する処理識別子と合致しなければ、データをセキュアデバイスから読み出すことはできない。したがって、このデータを利用した不正な処理を防ぐことができる。

また、本発明では、受け渡し情報管理手段が、保持しているデータの中から、カード機能手段で受信された処理識別子と合致する処理識別子に対応するデータを選択し、カード機能手段が、選択されたデータを取得するようにしている。
この受け渡し情報管理手段は、保持しているデータの中から、該当するデータを主体的に選択する。
また、本発明では、外部リーダ・ライタから送られる処理識別子が、時間的に更新されるようにしている。
そのため、所定時間が経過すると、処理端末から送られる処理識別子は、データに対応する処理識別子と異なるものとなり、データは、セキュアデバイスから読み出すことができなくなる。

また、本発明では、外部リーダ・ライタから処理識別子を受信したカード機能手段が、受け渡し情報管理手段からデータを取得できずに、外部リーダ・ライタへのデータの送信に失敗したとき、一定時間内に行われた第１の通信手段による次回の通信において、外部リーダ・ライタからカード機能手段に、先の処理識別子と同一の処理識別子が再送されるようにしている。
そのため、外部リーダ・ライタに情報処理装置を翳して決済処理を行う場合、最初に情報処理装置を翳した時点で、受け渡し情報管理手段にＰＩＮ等のデータが保持されておらず、決済処理に失敗したとしても、情報処理装置から受け渡し情報管理手段にＰＩＮを書き込んで、一定時間内に再び情報処理装置を翳せば、外部リーダ・ライタは、決済処理に失敗した処理識別子を一定時間保持して次のカード処理時にも再利用するため、受け渡し情報管理手段から、その処理識別子に対応するデータを読み出すことができ、決済処理は成功する。

また、本発明では、第１の通信手段と、第２の通信手段と、１または複数のカード機能手段とを備えるセキュアデバイスに、全てのカード機能手段からアクセスが可能な受け渡し情報管理手段を設け、カード機能手段は、第１の通信手段を通じて外部リーダ・ライタからデータ要求を受信したとき、この受け渡し情報管理手段で保持されている情報処理装置から送られたデータを読み出して外部リーダ・ライタに送信し、受け渡し情報管理手段は、そのデータの読み出しが所定時間内に行われないとき、第２の通信手段を通じて情報処理装置から送られた指示に基づいて前記データを消去するようにしている。
そのため、セキュアデバイスにＰＩＮ等のデータが書き込まれた状態で情報処理装置が悪意を持つ他人の手に渡った場合でも、所定時間（例えば３０秒）が経過するとデータは消去するため、このデータを利用した不正な処理を防ぐことができる。
本発明のセキュアデバイスでは、第１の通信手段が非接触通信を行い、第２の通信手段が接触通信を行う。

また、本発明では、このセキュアデバイスを保持する情報処理装置に、セキュアデバイスの第１の通信手段による通信の終了を監視する状態監視手段と、状態監視手段が通信の終了を検知したとき、セキュアデバイスの第２の通信手段を通じてセキュアデバイスの受け渡し情報管理手段にアクセスし、受け渡し情報管理手段で保持されている処理識別子とデータ要求とを取得するミドルウェアとを設け、ミドルウェアは、データ要求に応じて入力されたデータと処理識別子とを受け渡し情報管理手段に送信するようにしている。
そのため、セキュアデバイスでは、ユーザが入力したＰＩＮ等のデータと処理識別子とを対応付けて管理することができ、処理端末から送られる処理識別子が、データに対応する処理識別子と合致しないときに、データのセキュアデバイスからの読み出しを止めることができる。

また、本発明では、このセキュアデバイスを保持する情報処理装置に、セキュアデバイスの第１の通信手段による通信の終了を監視する状態監視手段と、入力されたデータをセキュアデバイスの第２の通信手段を通じてセキュアデバイスの受け渡し情報管理手段に書き込むミドルウェアとを設け、ミドルウェアは、所定時間内にセキュアデバイスの第１の通信手段による通信処理が行われないとき、受け渡し情報管理手段に書き込んだデータを消去するようにしている。
この情報処理装置では、セキュアデバイスの状態を一定時間監視し、その間にセキュアデバイスと外部リーダ・ライタとの処理が行われないときは、セキュアデバイスに書き込んだデータを消去する。
また、本発明の情報処理装置には、セキュアデバイスが、着脱可能な状態で装着され、あるいは、一体的に埋め込まれる。

本発明のセキュアデバイス及び情報処理装置では、ＰＩＮ等のデータをセキュアデバイスに書き込んだ状態で情報処理装置が盗られたり紛失したりし、他人の手に渡った場合でも、セキュアデバイスからのデータの読み出しを防ぎ、そのデータの悪用を防止することができる。

（第１の実施形態）
本発明の第１の実施形態では、セキュアデバイスが接触通信及び非接触通信の両機能を持つＩＣカードであり、情報処理装置が携帯電話機であり、クレジット決済端末等に提示するため、携帯電話機からＩＣカードにＰＩＮが書き込まれる場合について説明する。携帯電話機、ＩＣカード、及び、決済端末の外部リーダ・ライタは、このＰＩＮが悪用されないように、連携してその保護を図る。
携帯電話機に装着されたＩＣカードは、接触通信により携帯電話機と情報をやり取りする。また、ユーザが携帯電話機を外部リーダ・ライタの前に翳し、それによってＩＣカードが外部リーダ・ライタの非接触通信圏内に入ると、ＩＣカードは、非接触通信により外部リーダ・ライタと情報をやり取りする。

図１に示すように、ＩＣカード２０は、サービスプロバイダーが作成した複数の決済用カードアプリ２１と、携帯電話機１０との情報の受け渡しを一元的に行い、携帯電話機１０から渡されたＰＩＮ情報を識別情報と対応付けて管理する受け渡し情報管理アプリ２２と、受け渡す情報を保持する情報格納部２３と、通信処理やファイル管理を実行するカードＯＳ２４とを備えている。また、携帯電話機１０は、受け渡し情報管理アプリ２２から情報を取得し、ユーザが入力したＰＩＮ情報を受け渡し情報管理アプリ２２に送る端末ミドルウェア１２と、携帯電話機１０の動作を制御するデバイスドライバ１３とを備えている。
ＩＣカード２０の全ての決済用カードアプリ２１は、受け渡し情報管理アプリ２２にアクセスすることができ、外部リーダ・ライタ３０から決済用カードアプリ２１に送られた情報や携帯電話機１０に送る必要がある情報を、受け渡し情報管理アプリ２２を通じて情報格納部２３に書き込むことができる。

この受け渡し情報管理アプリ２２は、例えばＪａｖａ（登録商標）言語でカードアプリが作成されるＪａｖａ（登録商標）カードでは、Ｓｈａｒｅａｂｌｅ Ｉｎｔｅｒｆａｃｅを利用して実現できる。ＩＣカードでは、複数のカードアプリが安全に共存できるようにファイアーウォールでカードアプリ間を隔離しているが、Ｓｈａｒｅａｂｌｅ Ｉｎｔｅｒｆａｃｅは、ファイアーウォールに妨げられずにカードアプリにアクセスできるインタフェースである。
また、携帯電話機１０の端末ミドルウェア１２も、受け渡し情報管理アプリ２２と相互認証を行えば、その後は、受け渡し情報管理アプリ２２に自由にアクセスすることができる。

図１では、携帯電話機１０、ＩＣカード２０、及び、外部リーダ・ライタ３０の三者が連携して行う処理の順序を丸で囲んだ数字で示している。
携帯電話機１０の端末ミドルウェア１２は、デバイスドライバ１３を通じて、ＩＣカード２０の非接触通信の状態を監視するため、ＩＣカード２０にポーリング信号を送り続ける（１）。ＩＣカード２０は、この処理状態監視のポーリング信号に対して、非接触通信をしていれば「実施中」と応答し、非接触通信をしていなければ「未実施」と応答するため、デバイスドライバ１３は、ＩＣカード２０における非接触通信の終了を検出することができる。
ユーザが携帯電話機１０を外部リーダ・ライタ３０に翳すと、外部リーダ・ライタ３０の非接触通信圏内に入ったＩＣカード２０は非接触通信を開始し、外部リーダ・ライタ３０から指定された決済用カードアプリ２１が起動する（２）。外部リーダ・ライタ３０は、起動した決済用カードアプリ２１に対して、クレジット決済処理に必要な本人認証用暗証番号（ＰＩＮ）を要求する。
このとき、外部リーダ・ライタ３０は、ＰＩＮ要求と共に、ユニークな処理識別子を決済用カードアプリ２１に送る。
外部リーダ・ライタ３０は、この処理識別子を一定時間（例えば３０秒）ごとに更新する。あるいは、この処理識別子として、例えば、「店名＋店番号＋レジ番号＋日付＋時刻」を用い、後述するように、決済用カードアプリ２１からＰＩＮ要求に対するＮＧがレスポンスされたとき、上記処理識別子を一定時間保持し、次のカード処理時に再利用するようにして良い。

ＰＩＮ要求を受けた決済用カードアプリ２１は、受け渡し情報管理アプリ２２にアクセスし、情報格納部２３で保持されているＰＩＮ情報を読み出す。
情報格納部２３では、図２に示すように、ＰＩＮ要求時に外部リーダ・ライタ３０から送られた処理識別子と、このＰＩＮ要求に基づいて携帯電話機１０から書き込まれたＰＩＮ情報とを関連付けて保持している。また、ＰＩＮ要求に対して携帯電話機１０からのＰＩＮ入力が未だ行われていない段階では、図２（ａ）に示すように、処理識別子のみが記入されている。
ＰＩＮ要求を受けた決済用カードアプリ２１は、そのＰＩＮ要求時に外部リーダ・ライタ３０から受信した処理識別子に対応するＰＩＮ情報を情報格納部２３から読み出す。
決済用カードアプリ２１は、該当するＰＩＮ情報が情報格納部２３に記録されていない場合、受け渡し情報管理アプリ２２に対して、今回外部リーダ・ライタ３０から受信した処理識別子とＰＩＮ要求とを情報格納部２３に上書きするように求め（３）、また、外部リーダ・ライタ３０には、ＰＩＮ要求に応じられない旨（ＮＧ）応答する。そのため、この場合、決済処理が失敗した状態で、決済用カードアプリ２１と外部リーダ・ライタ３０との非接触通信は終了する。

ＩＣカード２０の状態監視を続けている携帯電話機１０のデバイスドライバ１３は、ＩＣカード２０の非接触通信の終了を検知すると、それを端末ミドルウェア１２に伝える（４）。端末ミドルウェア１２は、受け渡し情報管理アプリ２２にアクセスして、情報格納部２３で保持されている処理識別子及びＰＩＮ要求の情報を取得する（５）。端末ミドルウェア１２は、取得した情報を解釈し、携帯電話機１０のディスプレーにＰＩＮ入力ウィンドウを表示する。ユーザが携帯電話機１０のキーを操作してＰＩＮを入力すると、端末ミドルウェア１２は、入力されたＰＩＮと処理識別子とを受け渡し情報管理アプリ２２に送る（６）。受け渡し情報管理アプリ２２は、図２（ｂ）に示すように、このＰＩＮを処理識別子と関連付けて情報格納部２３に書き込む。

ユーザが再び携帯電話機１０を外部リーダ・ライタ３０の前に翳すと、外部リーダ・ライタ３０は、決済用カードアプリ２１を起動して、ＰＩＮ要求と処理識別子とを決済用カードアプリ２１に送る。決済用カードアプリ２１は、受け渡し情報管理アプリ２２にアクセスして、情報格納部２３から、その処理識別子に対応するＰＩＮ情報を読み出す。外部リーダ・ライタ３０の前回のＰＩＮ要求から今回のＰＩＮ要求までに３０秒が経過していなければ、処理識別子が変更されていないため、決済用カードアプリ２１は、処理識別子に対応するＰＩＮ情報を情報格納部２３から読み出すことができる（７）。
決済用カードアプリ２１は、処理識別子に対応するＰＩＮ情報を情報格納部２３から読み出すことができた場合、そのＰＩＮ情報を外部リーダ・ライタ３０に送信し（８）、情報格納部２３のＰＩＮ情報を消去する。また、処理識別子に対応するＰＩＮ情報が得られなかった場合は、情報格納部２３の処理識別子を上書きし、ＰＩＮを破棄した上で、ＰＩＮ要求を情報格納部２３に書き込む。

外部リーダ・ライタ３０に送られたＰＩＮの照合は、外部リーダ・ライタ３０と接続するセンター等で行われ、照合に成功すると決済処理が実行され、決済処理が終了する。
このように、このＩＣカード２０では、決済端末から与えられる、時間的に更新される処理識別子と、ユーザが入力したＰＩＮとを対応付けて管理しており、ＰＩＮ情報をＩＣカード２０の外に出す場合は、決済端末から新たに入力した処理識別子が、そのＰＩＮに対応する処理識別子と一致するときだけに限っている。
そのため、携帯電話機に搭載したＩＣカードにＰＩＮが書き込まれた状態で、携帯電話機が悪意を持つ他人の手に渡った場合でも、正規の所有者が決済しようとしていた決済端末を使って、処理識別子が更新される以前に決済を実行するのでなければ、決済処理は失敗する。したがって、実質的に不正な決済を防ぐことができる。
なお、決済端末での処理識別子の更新は、無人ＰＯＳの場合、ＰＯＳで保持している処理識別子を一定時間が経過するごとに破棄して、新しい処理識別子に変えるようにしても良い。また、有人ＰＯＳの場合では、ＰＯＳで保持している処理識別子をレジ係の指示で破棄して、新しい処理識別子に変えるようにしても良い。

図３、図４は、この携帯電話機１０とＩＣカード２０と決済端末の外部リーダ・ライタ３０との処理フローを示している。携帯電話機１０の端末ミドルウェア１２は、ＩＣカード１０の非接触通信状態を監視する（１）。携帯電話機１０を外部リーダ・ライタ３０の前に翳すと、外部リーダ・ライタ３０は、決済用カードアプリ２１を指定して、その起動を指示する（２）。決済用カードアプリ２１から起動ＯＫの応答があると、外部リーダ・ライタ３０は、その決済用カードアプリ２１と相互認証を行った後（３）、携帯電話機１０に提示する決済額の情報と、処理識別子と、ＰＩＮ要求とを決済用カードアプリ２１に送る（４）。
決済用カードアプリ２１は、受け渡し情報管理アプリ２２に対して情報格納部２３で保持されている情報を要求し（５）、取得した情報から処理識別子に合致するＰＩＮ情報を探す。該当するＰＩＮ情報が得られないので、決済用カードアプリ２１は、受け渡し情報管理アプリ２２にアクセスして、決済額情報と処理識別子とＰＩＮ要求とを書き込む（６）。
外部リーダ・ライタ３０にＮＧを応答し、決済処理１は失敗して終了する。

携帯電話機１０の端末ミドルウェア１２は、ＩＣカード１０の処理終了を検知すると（７）、受け渡し情報管理アプリ２２の起動を指示する（８）。受け渡し情報管理アプリ２２から起動ＯＫの応答があると、端末ミドルウェア１２は、受け渡し情報管理アプリ２２と相互認証を行った後（９）、情報取得のコマンドを受け渡し情報管理アプリ２２に送る（１０）。これを受けた受け渡し情報管理アプリ２２は、決済額情報と処理識別子とＰＩＮ要求とをレスポンスデータとする応答を端末ミドルウェア１２に返す（１１）。端末ミドルウェア１２は、取得した情報を解釈し（１２）、携帯電話機１０のディスプレーに決済額とＰＩＮ入力ウィンドウとを表示する（１３）。ユーザが携帯電話機１０のキーパッドを操作してＰＩＮを入力すると、端末ミドルウェア１２は、受け渡し情報管理アプリ２２にアクセスしてＰＩＮを書き込む（１４）。

ユーザが再び携帯電話機１０を外部リーダ・ライタ３０の前に翳すと、外部リーダ・ライタ３０は、決済用カードアプリ２１を起動し（１５）、相互認証を行った後（１６）、決済額情報と処理識別子とＰＩＮ要求とを決済用カードアプリ２１に送る（１７）。
決済用カードアプリ２１は、受け渡し情報管理アプリ２２に対して情報格納部２３で保持されている情報を要求し（１８）、情報を取得すると（１９）、そこから処理識別子に合致するＰＩＮ情報を探し、得られたＰＩＮ情報を外部リーダ・ライタ３０に送信する（２０）。
なお、受け渡し情報管理アプリ２２は、ＰＩＮを探す主体として動作しても良い。この場合、受け渡し情報管理アプリ２２は、決済用カードアプリ２１から処理識別子を貰い、情報格納部２３で保持しているデータの中に該当するＰＩＮ情報があれば、決済用カードアプリ２１にそのＰＩＮ情報を出力する。

このＰＩＮの照合が、外部リーダ・ライタ３０と接続するセンター等で行われ、照合に成功すると決済処理が実行され、処理終了通知が外部リーダ・ライタ３０から決済用カードアプリ２１に送られる（２１）。こうして、決済処理２は成功して終了する。
このＩＣカード２０は、コマンドを受信してレスポンスを返す受動的な動作だけを行っており、国際標準規格に適合している。また、ＰＩＮが書き込まれていても、不正な決済が行われる場面では、そのＰＩＮをＩＣカードの外に出力することがないため、不正決済を防止できる。

（第２の実施形態）
本発明の第２の実施形態では、ＩＣカードを搭載した携帯電話機を操作して、先にＰＩＮをＩＣカードに書き込み、次いで、携帯電話機を外部リーダ・ライタに翳して決済処理を行う場合について説明する。この携帯電話機は、ＩＣカードの状態を監視し、一定時間が経過してもＩＣカードと外部リーダ・ライタとの処理が行われないときには、ＩＣカードに書き込んだＰＩＮを消去することによって、他人によるＰＩＮの悪用を防止する。
図５に示すように、この携帯電話機１０は、ユーザが入力したＰＩＮをＩＣカード２０の受け渡し情報管理アプリ２２に書き込み、一定時間が経過したときに、このＰＩＮを消去する端末ミドルウェア１２と、入力されたＰＩＮの有効時間が経過したかどうかを表示するユーザ通知手段１４とを備えている。その他の携帯電話機１０の構成、及び、ＩＣカード２０の構成は、第１の実施形態（図１）と変わりがない。

この携帯電話機１０の端末ミドルウェア１２は、携帯電話機１０のディスプレーにＰＩＮ入力ウィンドウを表示し、ユーザは、決済サービスに使用される決済用カードアプリを予想して、その決済サービスで用いている本人認証用暗証番号（ＰＩＮ）を入力する。端末ミドルウェア１２は、現在時刻を取得してＰＩＮ有効時間の開始時刻に設定した後、ＩＣカード２０の受け渡し情報管理アプリ２２にアクセスして、そのＰＩＮを情報格納部２３に書き込み（１）、ポーリングでＩＣカード２０の状態を監視する（２）。また、端末ミドルウェア１２は、ユーザ通知手段１４にＰＩＮ有効時間内であることを通知し、ユーザ通知手段１４は、その旨を表示する（３）。

端末ミドルウェア１２は、現在時刻を逐次取得して最新時刻として記憶し、開始時刻から一定時間（例えば３０秒）が経過していないかをチェックする。規定時間が経過したとき、あるいは、取得した現在時刻が、記憶している最新時刻よりも後になった（時刻が戻された）り、時刻修正モードになったときには、端末ミドルウェア１２は、ユーザ通知手段１４にＰＩＮ有効時間外になったことを通知し（４）、ＩＣカード２０の受け渡し情報管理アプリ２２にアクセスして、情報格納部２３に書き込んだＰＩＮを消去する（５）。ユーザ通知手段１４は、ＰＩＮ有効時間外であることを表示する。
また、端末ミドルウェア１２が情報格納部２３のＰＩＮを消去する前に、ＩＣカード２０と外部リーダ・ライタ３０との間で決済処理が開始された場合は、外部リーダ・ライタ３０が、ＩＣカード２０の決済用カードアプリ２１にＰＩＮを要求し（６）、これを受けて、決済用カードアプリ２１が、受け渡し情報管理アプリ２２にアクセスして、端末ミドルウェア１２が書き込んだＰＩＮ情報を読み出し（７）、外部リーダ・ライタ３０に送信する（８）。受け渡し情報管理アプリ２２は、ＰＩＮが一度でも読み出されると、情報格納部２３からＰＩＮを消去する。

こうしてＩＣカード２０と外部リーダ・ライタ３０との間の決済処理が終了すると、この終了を検知した携帯電話機１０の端末ミドルウェア１２は、受け渡し情報管理アプリ２２にアクセスしてＰＩＮの消去を確認し、ＰＩＮが消去されているときは、ＰＩＮ有効時間のチェックを停止する。また、ＰＩＮが消去されていなければ、ＰＩＮ有効時間のチェックを継続し、ＰＩＮ有効時間外となったときに、受け渡し情報管理アプリ２２にアクセスしてＰＩＮを消去する。
このように、このＩＣカード２０では、入力されたＰＩＮが、入力から一定時間が経過した時点、または、その前に確実に消去される。そのため、このＩＣカードを搭載した携帯電話機が悪意を持つ他人の手に渡った場合でも、不正な決済を防ぐことができる。

また、ユーザの入力したＰＩＮが、外部リーダ・ライタ３０により起動された決済用カードアプリの決済サービスで用いているＰＩＮと異なる場合でも、情報格納部２３から読み出された時点でＰＩＮは消去されるので、決済処理が成功しなかった時点で、ユーザはＰＩＮ入力をやり直すことができる。そのため、ユーザは、入力するＰＩＮが決済サービスに対応しているか否かについて、多くの注意を払う必要は無い。
なお、ＩＣカードに搭載されている決済用カードアプリは正規のものであるから、この決済用カードアプリは、受け渡し情報管理アプリ２２から取得したＰＩＮが自分用のもので無かった場合でも、このＰＩＮを、悪意を持って保存・記憶し続けることは無い。

また、情報格納部２３のＰＩＮの参照が可能な決済用カードアプリを、例えば次のような方法で限定すれば、ＰＩＮのセキュリティをより向上させることができる。
即ち、ＩＣカードに、サービス名とカードアプリＩＤとの対の情報を外部に提示する機能を持たせる。携帯電話機の端末ミドルウェアは、これを利用して、ユーザにサービス名と決済用カードアプリＩＤとの対の情報を提示し、どのアプリに対してＰＩＮを入力するかを指示させる。端末ミドルウェアは、ユーザが入力したＰＩＮを受け渡し情報管理アプリに格納する際、ユーザが指示した決済用カードアプリのみを、このＰＩＮの参照が可能な決済用カードアプリとして指定する。

図６は、この携帯電話機１０、ＩＣカード２０及び外部リーダ・ライタ３０の処理フローを示している。
携帯電話機１０の端末ミドルウェア１２は、携帯電話機１０のディスプレーにＰＩＮ入力ウィンドウを表示する（１）。ユーザがＰＩＮを入力すると、端末ミドルウェア１２は、そのＰＩＮをＩＣカード２０の受け渡し情報管理アプリ２２に書き込み（２）、ポーリングでＩＣカード２０の状態を監視する（３）。ユーザが携帯電話機１０を外部リーダ・ライタ３０の前に翳すと、外部リーダ・ライタ３０は、決済用カードアプリ２１を指定して、その起動を指示する（４）。決済用カードアプリ２１から起動ＯＫの応答があると、外部リーダ・ライタ３０は、その決済用カードアプリ２１と相互認証を行った後（５）、決済額情報とＰＩＮ要求とを決済用カードアプリ２１に送る（６）。
決済用カードアプリ２１は、受け渡し情報管理アプリ２２に対して情報格納部２３で保持されているＰＩＮ情報を要求し（７）、端末ミドルウェア１２から書き込まれたＰＩＮ情報を取得し（８）、このＰＩＮ情報を外部リーダ・ライタ３０に送信する（９）。
こうして決済処理が終了すると、端末ミドルウェア１２は、決済処理終了を検知し（１０）、受け渡し情報管理アプリ２２にアクセスして、書き込んだＰＩＮの消去を確認する（１１）。
また、端末ミドルウェア１２は、一定時間の状態監視中にＩＣカード２０と外部リーダ・ライタ３０との処理が無かった場合、受け渡し情報管理アプリ２２にアクセスして、書き込んだＰＩＮを消去する（１２）。

このＩＣカード２０は、コマンドを受信してレスポンスを返す受動的な動作だけを行っており、国際標準規格に適合している。また、ＰＩＮが書き込まれていても、一定時間後には消去されているため、不正決済を防止できる。
なお、ここでは、決済処理を承認するＰＩＮの不正利用防止について説明したが、この発明は、アプリを起動する際の認証用のＰＩＮやパスワードの不正利用防止などにも適用することができる。

また、ここではＩＣカードを携帯電話機に装着する場合について説明したが、本発明はこれに限定されるものではない。携帯電話機に代えて、ＰＤＡ（Personal Digital Assistant）、メール端末、小型パーソナルコンピュータ、ゲーム機など、各種の情報処理装置を用いることができる。また、ＩＣカードは、ＡＰＤＵ形式のコマンドに応じてカードアプリを動作させることができるセキュアデバイスであれば、どのようなものでも使用可能である。セキュアデバイスの形状は、カード状でもチップ状でも良く、情報処理装置に埋め込む形態であっても良い。

本発明のセキュアデバイス及び情報処理装置は、他人の悪用を防ぐ必要ある決済カード、交通機関の定期券や乗車券、劇場等の入場券、医療カード、行政機関発行カード等の各種のカード機能を使用する分野において利用することができる。

本発明の第１の実施形態における携帯電話機及びＩＣカードの構成を示すブロック図 本発明の第１の実施形態におけるＩＣカードのＰＩＮ情報管理形態を示す図 本発明の第１の実施形態における携帯電話機、ＩＣカード及び外部リーダ・ライタの動作を示すシーケンス図 本発明の第１の実施形態における携帯電話機、ＩＣカード及び外部リーダ・ライタの動作の続きを示すシーケンス図 本発明の第２の実施形態における携帯電話機及びＩＣカードの構成を示すブロック図 本発明の第２の実施形態における携帯電話機、ＩＣカード及び外部リーダ・ライタの動作を示すシーケンス図 携帯電話機と、国際標準規格に適合する動作を行うＩＣカードとの構成を示すブロック図

符号の説明

１０ 携帯電話機
１２ 端末ミドルウェア
１３ デバイスドライバ
１４ ユーザ通知手段
２０ ＩＣカード
２１ 決済用カードアプリ
２２ 受け渡し情報管理アプリ
２３ 情報格納部
２４ カードＯＳ
３０ 外部リーダ・ライタ
１００ 携帯電話機
１１０ 端末アプリ
１２０ ミドルウェア
１３０ デバイスドライバ
２００ ＩＣカード
２１０ カードアプリ
２２０ 受け渡し情報管理アプリ
２３０ 情報格納部
２４０ カードＯＳ
３００ 外部リーダ・ライタ

Claims (10)

1. 第１の通信手段と、第２の通信手段と、１または複数のカード機能手段とを備えるセキュアデバイスであって、
   全てのカード機能手段からアクセスが可能な受け渡し情報管理手段を具備し、前記受け渡し情報管理手段は、前記第１の通信手段を通じて外部リーダ・ライタから送られた処理識別子と前記第２の通信手段を通じて情報処理装置から送られたデータとを対応付けて保持し、カード機能手段は、前記第１の通信手段を通じて外部リーダ・ライタから処理識別子とデータ要求とを受信したとき、前記受け渡し情報管理手段から、対応する処理識別子が受信した処理識別子に合致するデータを取得して外部リーダ・ライタに送ることを特徴とするセキュアデバイス。
2. 前記受け渡し情報管理手段は、保持しているデータの中から、カード機能手段が受信した処理識別子と合致する処理識別子に対応するデータを選択し、前記カード機能手段が、選択された前記データを取得することを特徴とする請求項１に記載のセキュアデバイス。
3. 前記外部リーダ・ライタから送られる処理識別子が、時間的に更新されることを特徴とする請求項１に記載のセキュアデバイス。
4. 外部リーダ・ライタから処理識別子を受信した前記カード機能手段が、前記受け渡し情報管理手段からデータを取得できずに、外部リーダ・ライタへのデータの送信に失敗したとき、一定時間内に行われた前記第１の通信手段による次回の通信において、前記外部リーダ・ライタから前記カード機能手段に、先の処理識別子と同一の処理識別子が再送されることを特徴とする請求項１に記載のセキュアデバイス。
5. 第１の通信手段と、第２の通信手段と、１または複数のカード機能手段とを備えるセキュアデバイスであって、
   全てのカード機能手段からアクセスが可能な受け渡し情報管理手段を具備し、カード機能手段は、前記第１の通信手段を通じて外部リーダ・ライタからデータ要求を受信したとき、前記受け渡し情報管理手段で保持されている情報処理装置から送られたデータを読み出して外部リーダ・ライタに送信し、前記受け渡し情報管理手段は、前記データの読み出しが所定時間内に行われないとき、前記第２の通信手段を通じて前記情報処理装置から送られた指示に基づいて前記データを消去することを特徴とするセキュアデバイス。
6. 前記第１の通信手段が非接触通信を行い、前記第２の通信手段が接触通信を行うことを特徴とする請求項１または請求項５に記載のセキュアデバイス。
7. 請求項１に記載のセキュアデバイスを保持する情報処理装置であって、
   前記セキュアデバイスの第１の通信手段による通信の終了を監視する状態監視手段と、
   前記状態監視手段が前記通信の終了を検知したとき、前記セキュアデバイスの第２の通信手段を通じて前記セキュアデバイスの受け渡し情報管理手段にアクセスし、前記受け渡し情報管理手段で保持されている処理識別子とデータ要求とを取得するミドルウェアと
   を備え、前記ミドルウェアは、データ要求に応じて入力されたデータと前記処理識別子とを前記受け渡し情報管理手段に送信することを特徴とする情報処理装置。
8. 請求項５に記載のセキュアデバイスを保持する情報処理装置であって、
   前記セキュアデバイスの第１の通信手段による通信の終了を監視する状態監視手段と、
   入力されたデータを前記セキュアデバイスの第２の通信手段を通じて前記セキュアデバイスの受け渡し情報管理手段に書き込むミドルウェアと
   を備え、前記ミドルウェアは、所定時間内にセキュアデバイスの前記第１の通信手段による通信処理が行われないとき、前記受け渡し情報管理手段に書き込んだ前記データを消去することを特徴とする情報処理装置。
9. 前記セキュアデバイスが、着脱可能な状態で装着されていることを特徴とする請求項７または請求項８に記載の情報処理装置。
10. 前記セキュアデバイスが、一体的に埋め込まれていることを特徴とする請求項７または請求項８に記載の情報処理装置。
    

Images