JP2006235694A - 暗証コード認証システム - Google Patents

Abstract

【課題】 従来の数字４桁の暗証番号と、アルファベットの暗証コードとを組み合わせることによって、十分にセキュリティーを高めた暗証コード認証システムを提供する。
【解決手段】 ＡＴＭ１からカード１０を使用してサーバ装置２にアクセスすることにより各種取引を行う電子商取引に用いられる暗証コード認証システムであって、取引に際し、カード１０に付与されている数字４桁の暗証コードと、サーバ装置２側で管理されている予め登録されたアルファベット４〜８桁の暗証コードとの組み合わせによって、当該カード１０の有効性を判別する。
【選択図】 図１

Description

本発明は、現金自動取引装置からカードを使用してサーバ装置にアクセスすることにより各種取引を行う電子商取引に用いられる暗証コード認証システムに関する。

銀行業界では、キャッシュカードやＩＣカード等によって各店舗に設置されている現金自動預け払い機（ＡＴＭ）から預金の引き出しや預け入れ、振り込み等の業務が行えるようになっている。この場合、キャッシュカードやＩＣカード等（以下、単に「カード」と称する）のセキュリティーが問題となることから、従来はカードに固有の暗証番号をユーザが任意に設定して予め登録しておき、例えばＡＴＭを利用して自己の口座から預金を引き出すような場合には、この暗証番号の入力及びその一致を条件とすることにより、他人のカードの第三者による不正な使用等を防止するようになっている。

ところで、暗証番号は数字４桁で設定するのが普通であり、ユーザは、自己の生年月日等、覚えやすい番号を設定する場合が多い。そのため、例えば財布を盗まれた場合に、その財布の中にカードとともに免許証なども入っていた場合には、カードの暗証番号も簡単に入手されてしまう可能性が高く、従来からそのような問題が指摘されていた。

そこで、最近では、このようなカードのセキュリティーを高めるため、数字４桁の暗証番号に加え、本人確認を行うために指紋や手の静脈、眼球といった生体認証を組み合わせることで、飛躍的にセキュリティー性を高めるようにしたシステムも構築されている（例えば、特許文献１参照）。

しかしながら、特許文献１のように生体認証を組み合わせることは、その分高度の技術が要求され、システムも高価になることから、現在のところ一般に普及するまでには至っていないのが現状である。

一方、このような高度な技術を取り入れることなく、従来よりもセキュリティーを高めたカード決済システム等も提案されている（例えば、特許文献２参照）。

このカード決済システムは、デビットカード等の利用可能な決済銀行のＡＴＭ端末に、デビットカード等をセットし、所定の暗証番号を入力し所望金額の範囲で利用可能な状態で購入するプリペイドカードに記録される情報を、デビットカード等の個人情報を含むＩＤ情報以外の上記利用可能金額情報と同プリペイドカード専用の識別番号情報とし、該専用識別番号情報は、上記利用可能金額とプリペイドカード購入者が任意に設定した暗証番号との組み合わせとするようになっている。
特開２００２−１５７５４４号公報 特開２００１−２６６２３０号公報

上記特許文献２のシステムは、従来の数字４桁の暗証番号と、使用するプリペイドカードの利用可能金額との組み合わせを新たな専用識別番号とすることで、実質的に暗証番号の桁数を増やし、これによってセキュリティーを高めている。この場合、利用可能金額というユーザにとって比較的記憶し易い数字を利用することで、暗証番号の桁数が増えても、その暗証番号を忘れてしまうといった不具合が発生しないように配慮されている。しかし、数字の桁数を増やすだけでは、セキュリティーが十分であるとは言えず、また、利用可能金額は比較的単純な金額であるため、容易に推測されてしまう可能性も高いといった問題があった。

本発明はかかる問題点を解決すべく創案されたもので、その目的は、従来の数字４桁の暗証番号と、アルファベットの暗証コードとを組み合わせることによって、十分にセキュリティー性を高めた暗証コード認証システムを提供することにある。

上記課題を解決するため、本発明の暗証コード認証システムは、現金自動取引装置からカードを使用してサーバ装置にアクセスすることにより各種取引を行う電子商取引に用いられるシステムであって、前記取引に際し、前記カードに付与されている数字の暗証番号（第１の暗証コード）と、前記サーバ装置側で管理されている予め登録された英文字による暗証コード（第２の暗証コード）との組み合わせによって当該カードの有効性を判別することを特徴とする。

このような特徴を有する本発明によれば、カードに従来付与されている数字４桁の暗証番号に、例えばアルファベット４文字の暗証コードを加えることによって、カードのセキュリティー性を高めることができる。この場合、数字４桁の暗証番号の組み合わせは１０，０００通り（＝数字１０文字×４乗（４桁））であり、アルファベット４文字の暗証コードの組み合わせは、４５６，９７６（＝アルファベット２６文字×４乗（４桁））となり、これらを組み合わせた二重暗証システムとすることによって、セキュリティー性を飛躍的に高めることが可能となる。

なお、ここでいうカードとは、キャッシュカードやＩＣカード等のカード類はもちろんのこと、例えば通帳のみでもＡＴＭから現金等が引き出せるようにシステムが構築されている場合には、この通帳も本願発明のカードの概念に含まれるものである。

本発明によれば、数字４桁の暗証番号に、例えばアルファベット４文字の暗証コードを加えた二重暗証システムとすることによって、カードのセキュリティー性を飛躍的に高めることができる。

以下、本発明の実施の形態について、図面を参照して説明する。

図１は、本実施形態の暗証コード認証システムの全体構成を示すブロック図である。

この暗証コード認証システムは、銀行等の各店舗に設置されている現金自動預け払い機（ＡＴＭ）１，１・・・が、専用回線Ｎを介して本店等に設置されたサーバ装置２に接続された構成となっている。

サーバ装置２は、各店舗のＡＴＭ１で使用されるカード１０に記載されている店番、口座番号、科目コード（普通口座、総合口座等）等を読み取り、専用回線Ｎを介して受け取ると、そのカード１０の認証を開始する。

ここで、サーバ装置２は、カード１０を利用して各ＡＴＭ１から入力される暗証番号等を認証するための認証用データベース２１を備えており、この認証用データベース２１に登録されている各カードの暗証番号や暗証コードを参照して、当該カードの有効性等を確認する（すなわち、セキュリティーチェックを行う）ようになっている。

図２は、認証用データベース２１の一構成例を示している。

この認証用データベース２１は、各ユーザに発行されているカード（例えば、キャッシュカードやＩＣカード等を含む各種のカード類）１０の口座番号に、数字４桁の暗証番号（図では、「５５５５」）とアルファベット４文字の暗証コード（図では「ａａａａ」）とが対応付けられている。数字４桁の暗証番号及びアルファベット４文字の暗証コードは、各ユーザが、カード１０の発行時に登録することになる。ただし、これら暗証番号や暗証コードの登録は、最初にＡＴＭ１を利用したときに登録することも可能である。また、これら暗証番号や暗証コードは、ＡＴＭ１の利用時に、ユーザの意志によって随時設定変更できるようにしてもよい。

このように、本実施形態では、使用されたカードの認証に、数字４桁の暗証番号とアルファベット４文字の暗証コードの両方を用いることによって、セキュリティーを飛躍的に向上させた二重暗証システムを実現している。この場合、カードには、店番、口座番号、科目コード等の必要最低限の情報のみが記載（裏面の磁気ストライプに記載）されており、暗証番号や暗証コードはサーバ装置２側でのみ管理されているので、カードが盗難等に会っても、そのカードの暗証番号や暗証コードを第三者に容易に知られる心配はない。

ここで、数字４桁の暗証番号の組み合わせは１０，０００通り（＝数字１０文字×４乗（４桁））であり、アルファベット４文字の暗証コードの組み合わせは、４５６，９７６（＝アルファベット２６文字×４乗（４桁））となり、これらを組み合わせることにより、約４６億通り（１０，０００×４５６，９７６＝４，５６９，７６０，０００）の暗証コードが存在することになり、セキュリティーは飛躍的に向上することになる。

この場合、数字４桁の暗証番号は、ユーザにとって覚えやすい数字にすることが多く、通常は誕生日や記念日等、何らかの意味を持たせて登録する場合が多い。そのため、従来より、第三者に比較的簡単に推測されてしまうといった問題が指摘されていた。これに対しアルファベット４文字の場合には、例えばアルファベット４文字自体が意味のある単語を構成するため、ユーザにとっても非常に覚えやすく、かつセキュリティー性の高い暗証コードを設定することが可能となる。例えば、アルファベット暗証コードの例としては、「ＢＡＮＫ」、「ＬＯＶＥ」等が考えられる。このような単語はユーザにとって覚えやすく、また忘れにくいものであり、数字４桁の暗証番号を覚えるより遥に容易である。

一方、アルファベットによる暗証コードは、必ずしも４桁に限る必要はない。通常、人にとって最も覚えやすい数字の桁数が４桁であるため、従来のカードの暗証番号は４桁となっているが、アルファベットの場合には、そのアルファベットの組み合わせそのものに単語としての意味が存在するため、必ずしも４桁に限る必要はない。例えば、アルファベットの場合には、４文字〜８文字の間で任意に設定可能としてもよい。

具体的には、上記の「ＢＡＮＫ」や「ＬＯＶＥ」以外にも、例えば、家族を大切にしている人であれば「ＦＡＭＩＬＹ」、旅行好きの人であれば「ＴＲＡＶＥＬ」、花好きの人であれば「ＦＬＯＷＥＲ」といった具合に、例えば自分の趣味等に合わせて、比較的長い暗証コードを設定することで、暗証コードが長いために忘れてしまうといった不具合はほとんど発生しない。

また、このように文字数の設定幅を持たせることによって、個々のカードについても、そのカードに設定されている暗証番号及び暗証コードの全桁数が８桁から１２桁の範囲内の任意の桁数になるため、第三者にとっては、そのカードが全何桁の暗証番号等になっているのかを推測することは不可能となり、この点でもセキュリティー性を高めることができる。

なお、本実施形態では、カードの使用に際し、従来通り数字４桁の暗証番号のみで入出金等を行う場合と、数字４桁の暗証番号とアルファベット４〜８桁の暗証番号とを組み合わせて入出金等を行う場合のどちらかを、ユーザが選択できるようにしている。この場合、数字４桁の暗証番号のみを選択した場合には、アルファベット暗証コードの有無を示すコードフラグに「０」を設定し、数字４桁の暗証番号とアルファベット４〜８桁の暗証番号との組み合わせを選択した場合には、前記コードフラグに「１」を設定しておくことで、サーバ装置２側では、使用されたカードが数字４桁の暗証番号のみ設定されたカードであるのか、数字４桁の暗証番号とアルファベット４〜８桁の暗証番号の両方が設定されたカードであるのかを判別することが可能となる。

次に、上記構成の暗証コード認証システムによる暗証コードの認証の手順について説明する。

ユーザがカード１０をＡＴＭ１に挿入すると、ＡＴＭ１は、挿入されたカード１０の店番、口座番号、科目コード等の情報を読み取って、サーバ装置２に送信する。

次に、ＡＴＭ１には暗証番号の入力画面が表示されるので、ユーザは、その入力画面に数字４桁の暗証番号（第１の暗証コード）を入力する。この暗証番号の情報は、ＡＴＭ１からサーバ装置２に送信される。サーバ装置２では、先に受け取った口座番号と、今回受け取った暗証番号とをキーにして認証用データベース２１を検索し、該当する口座番号に今回受け取った暗証番号が登録されているか否か（すなわち、該当する口座番号の暗証番号の一致）を確認する。ここで、暗証番号が一致しない場合には、再度の入力を促すことになる。

一方、暗証番号が一致した場合には、サーバ装置２はコードフラグを確認し、コードフラグに「１」が設定されている場合には、ＡＴＭ１にアルファベット暗証コードの入力画面を表示するので、ユーザは、予め登録しておいたアルファベット４〜８桁の暗証コード（第２暗証コード）を入力する。この暗証コードの情報は、ＡＴＭ１からサーバ装置２に送信される。サーバ装置２では、先に受け取った口座番号と、今回受け取った暗証コードとをキーにして認証用データベース２１を検索し、該当する口座番号に今回受け取った暗証コードが登録されているか否か（すなわち、該当する口座番号の暗証コードの一致）を確認する。ここで、暗証コードが一致しない場合には、再度の入力を促すことになる。

一方、暗証コードが一致した場合に初めて、その後の処理に進むことになる。

なお、本実施形態では、このような二重暗証システムとすることにより、従来通り数字４桁の暗証番号のみで入出金（特に出金）する場合の金額の上限と、数字４桁にアルファベット４〜８桁を組み合わせた暗証コードで入出金（特に出金）する場合の金額の上限とを区別して設定するようにしてもよい。例えば、数字４桁の暗証番号のみで出金する場合の上限を５０万円とし、数字４桁にアルファベット４〜８桁を組み合わせた暗証コードで出金する場合の上限を１００万円にする等、セキュリティーのレベルによって任意に設定することが可能である。また、この上限金額は、ユーザによって設定できるようにしてもよい。

また、本実施形態では、通信回線を専用回線Ｎとして説明しているが、セキュリティーが確保できれば、例えば公衆電話回線やインターネット等の通信回線を利用してサーバ装置２にアクセスする構成とすることも可能である。

本発明の暗証コード認証システムの全体構成を示すブロック図である。 認証用データベース２１の一構成例を示す説明図である。

符号の説明

１ ＡＴＭ（現金自動預け払い機：請求項に記載の現金自動取引装置）
２ サーバ装置
１０ カード
２１ 認証用データベース

Claims (1)

1. 現金自動取引装置からカードを使用してサーバ装置にアクセスすることにより各種取引を行う電子商取引に用いられる暗証コード認証システムであって、
   前記取引に際し、前記カードに付与されている数字の暗証コードと、前記サーバ装置側で管理されている予め登録された英文字による暗証コードとの組み合わせによって当該カードの有効性を判別することを特徴とする暗証コード認証システム。
   
   

Images