JP2007011993A - 情報処理システム、情報処理装置および方法、並びにプログラム - Google Patents

Abstract

【課題】利用者の個人情報の漏洩を防止することができるようにする。
【解決手段】 リーダライタ５１は、ICカードに記憶されている、利用者に関する情報である利用者情報を取得し、表示制御部５４は、取得した利用者情報の表示部５５への表示を制御する。認証処理部５８は、利用者が表示部５５に表示されている利用者情報が正当であると確認してそれを指示した場合、その利用者が正当であるか否かを認証する。コントローラ５２は、利用者が正当であると認証された場合、利用者によって操作された所定の処理を実行することで、利用者の個人情報の漏洩を防止することができるようになる。本発明は、情報処理装置に適用することができる。
【選択図】図３

Description

本発明は情報処理システム、情報処理装置および方法、並びにプログラムに関し、特に、利用者の個人情報の漏洩を防止することができるようにした情報処理システム、情報処理装置および方法、並びにプログラムに関する。

近年、IC（Integrated Circuit）チップを内蔵したICカードが普及している。これらのICカードは、一般的に、磁気カードなどの他のカードと比較して高機能で、高いセキュリティを持つことから、金融業界やクレジットカード業界などでは、偽造カードによる被害を防止するために使用されている。

また、これらのICカードに対応した現金自動預け払い機（以下、ATM（Automatic Teller Machine）と称する）も普及している。利用者はICカードを使用して、これらのATMを利用することで、例えば、預け入れ、引き出し、振り込み、または残高照会などを行う。

さらに、センサモジュールが生体測定を行うセンサを具備し、コンピュータがユーザ本人のログオンパスワードにより暗号化された生体データを、ユーザの要求に対応した権限を当該ユーザが有することを示す情報として保持し、ユーザ要求およびログオンパスワードが入力された場合、保持された生体データをログオンパスワードによって復号するとともに、この復号された生体データとセンサにより測定された測定情報とを照合し、その照合結果により本人および権限が確認されたとき、ユーザ要求を実施すべき旨の通知を出力するユーザ確認システムもある（例えば、特許文献１）。

特開２００４−１９９７０１号公報

しかしながら、ICカードを使用していても、ATMが偽造された場合、利用者の個人情報が漏洩してしまう可能性があった。例えば、従来、利用者がICカードをATMに挿入した場合、暗証番号の入力が促され、利用者はそれに応じて暗証番号の入力を行っていたが、この方式であると、ATMが偽造されたとき、暗証番号または生体情報を入力させた後、ATMが故障したと偽ることで、個人情報を盗まれてしまう可能性があった。

また、例えば、特開２００４−１９９７０１号公報に開示されているユーザ確認システムは、生体情報の盗難を防止するために、パスワードを使用して暗号化する方式を採用しているが、生体情報を認証する端末が信頼できる端末であることを前提としているので、その端末が偽造されたときに、利用者の個人情報が漏洩してしまう可能性があった。

また、一般的に利用者は、自分の持つ様々なカードにおいては同様の暗証番号を使用している可能性が高く、一度個人情報が漏洩してしまうと、例えば、漏洩した暗証番号によって、インターネットバンキングなどを不正に利用されてしまう可能性もある。

さらに、生体情報（身体的特徴や行動的特徴）は変更することができないので、一度生体情報が漏洩してしまうと、その生体情報によって利用者を認証することができなくなる可能性もある。

本発明はこのような状況に鑑みてなされたものであり、利用者の個人情報の漏洩を防止することができるようにするものである。

本発明の一側面（第１の側面）は、第１の情報処理装置と第２の情報処理装置とからなる情報処理システムにおいて、前記第１の情報処理装置は、利用者よって任意に設定される設定情報を記憶する記憶手段を備え、前記第２の情報処理装置は、前記第１の情報処理装置が記憶している前記設定情報を取得する取得手段と、取得した前記設定情報の画面への表示を制御する表示制御手段と、前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者が正当であるか否かを認証する認証手段と、前記利用者が正当な利用者であると認証された場合、前記利用者によって操作された所定の処理を実行する処理手段とを備える情報処理システムである。

本発明の一側面（第１の側面）においては、第１の情報処理装置と第２の情報処理装置とからなる情報処理システムにおいて、前記第１の情報処理装置では、利用者よって任意に設定される設定情報が記憶され、前記第２の情報処理装置では、前記第１の情報処理装置が記憶している前記設定情報が取得され、取得した前記設定情報の画面への表示が制御され、前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者が正当であるか否かが認証され、前記利用者が正当な利用者であると認証された場合、前記利用者によって操作された所定の処理が実行される。

本発明の一側面（第２の側面）は、他の機器が記憶している、利用者によって任意に設定される設定情報を取得する取得手段（ステップ）と、取得した前記設定情報の画面への表示を制御する表示制御手段（ステップ）と、前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者が正当であるか否かを認証する認証手段（ステップ）と、前記利用者が正当な利用者であると認証された場合、前記利用者によって操作された所定の処理を実行する処理手段（ステップ）とを含む情報処理装置（情報処理方法またはプログラム）。

前記取得手段には、前記他の機器との間で、相互認証によってお互いに正当な機器であると認証された場合、前記他の機器から前記設定情報を取得させるようにすることができる。

前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者による第１の生体情報の入力を受け付ける第１の受付手段を設けることができる。また、前記取得手段には、前記他の機器が予め記憶している、前記利用者の第２の生体情報を取得させ、前記認証手段には、受け付けた前記第１の生体情報および取得した前記第２の生体情報に基づいて、前記利用者が正当であるか否かを認証させるようにすることができる。

前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者による暗証番号の入力を受け付ける第２の受付手段を設けることができきる。また、前記認証手段は、受け付けた前記暗証番号の照合の結果に基づいて、前記利用者が正当であるか否かを認証させるようにすることができる。

本発明の一側面（第２の側面）においては、他の機器が記憶している、利用者によって任意に設定される設定情報が取得され、取得した前記設定情報の画面への表示が制御され、前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者が正当であるか否かが認証され、前記利用者が正当な利用者であると認証された場合、前記利用者によって操作された所定の処理が実行される。

以上のように本発明の一側面によれば、利用者の個人情報の漏洩を防止することができる。

以下に本発明の実施の形態を説明するが、本発明の構成要件と、発明の詳細な説明に記載の実施の形態との対応関係を例示すると、次のようになる。この記載は、本発明をサポートする実施の形態が、発明の詳細な説明に記載されていることを確認するためのものである。従って、発明の詳細な説明中には記載されているが、本発明の構成要件に対応する実施の形態として、ここには記載されていない実施の形態があったとしても、そのことは、その実施の形態が、その構成要件に対応するものではないことを意味するものではない。逆に、実施の形態が構成要件に対応するものとしてここに記載されていたとしても、そのことは、その実施の形態が、その構成要件以外の構成要件には対応しないものであることを意味するものでもない。

本発明の一側面（第１の側面）の情報処理システム（例えば、図１のATMシステム１）は、第１の情報処理装置（例えば、図１のICカード１１）が、利用者よって任意に設定される設定情報（例えば、利用者設定情報）を記憶する記憶手段（例えば、図２の記憶部３４）を備え、第２の情報処理装置（例えば、図１のATM１２）が、第１の情報処理装置が記憶している設定情報を取得する取得手段（例えば、図３のリーダライタ５１）と、取得した設定情報の画面（例えば、図３の表示部５５の画面）への表示を制御する表示制御手段（例えば、図３の表示制御部５４）と、利用者の操作によって、画面に表示された設定情報が正当な情報であると指示された場合、利用者が正当であるか否かを認証する認証手段（例えば、図３の認証処理部５８）と、利用者が正当な利用者であると認証された場合、利用者によって操作された所定の処理を実行する処理手段（例えば、図３のコントローラ５２）とを備える。

本発明の一側面（第２の側面）の情報処理装置（例えば、図１のATM１２）は、他の機器（例えば、図１のICカード１１）が記憶している、利用者によって任意に設定される設定情報（例えば、利用者設定情報）を取得する取得手段（例えば、図３のリーダライタ５１）と、取得した設定情報の画面（例えば、図３の表示部５５の画面）への表示を制御する表示制御手段（例えば、図３の表示制御部５４）と、利用者の操作によって、画面に表示された設定情報が正当な情報であると指示された場合、利用者が正当であるか否かを認証する認証手段（例えば、図３の認証処理部５８）と、利用者が正当な利用者であると認証された場合、利用者によって操作された所定の処理を実行する処理手段（例えば、図３のコントローラ５２）とを備える。

取得手段は、他の機器との間で、相互認証によってお互いに正当な機器であると認証された場合、他の機器から設定情報を取得することができる。

この情報処理装置には、利用者の操作によって、画面に表示された設定情報が正当な情報であると指示された場合、利用者による第１の生体情報の入力を受け付ける第１の受付手段（例えば、図３の生体情報入力部５７）を設けることができる。また、取得手段は、他の機器が予め記憶している、利用者の第２の生体情報を取得し、認証手段は、受け付けた第１の生体情報および取得した第２の生体情報に基づいて、利用者が正当であるか否かを認証することができる。

この情報処理装置には、利用者の操作によって、画面に表示された設定情報が正当な情報であると指示された場合、利用者による暗証番号の入力を受け付ける第２の受付手段（例えば、図３の操作入力部５６）を設けることができる。また、認証手段は、受け付けた暗証番号の照合の結果に基づいて、利用者が正当であるか否かを認証することができる。

本発明の一側面（第２の側面）の情報処理方法またはプログラムは、他の機器が記憶している、利用者によって任意に設定される設定情報を取得する取得ステップ（例えば、図７のステップＳ５６の処理）と、取得した設定情報の画面への表示を制御する表示制御ステップ（例えば、図７のステップＳ５７の処理）と、利用者の操作によって、画面に表示された設定情報が正当な情報であると指示された場合、利用者が正当であるか否かを認証する認証ステップ（例えば、図８のステップＳ６１または図８のステップＳ６６の処理）と、利用者が正当な利用者であると認証された場合、利用者によって操作された所定の処理を実行する処理ステップ（例えば、ステップＳ６８の処理）とを含む。

本発明の一側面（第２の側面）のプログラムは、記録媒体（例えば、図３の磁気ディスク８１）に記録することができる。

以下、図面を参照しながら本発明の実施の形態について説明する。

図１は、本発明を適用したATMシステム１の一実施の形態の構成を示すブロック図である。ATMシステム１は本発明の情報処理システムの一例である。このATMシステム１においては、通信網１３に、ATM１２−１乃至１２−Ｍおよびホストコンピュータ１４のそれぞれが接続され、ATM１２−１乃至１２−Ｍのそれぞれには、利用者によってICカード１１−１乃至１１−Ｎのいずれかが挿入される。

ICカード１１−１乃至１１−Ｎのそれぞれは、ATM１２の内部に設けられる専用のリーダライタが備える接触端子と接触することで、そのリーダライタから電力の供給を受けるとともに、リーダライタとの間でデータの読み書きを行う接触型のICカードである。また、ICカード１１−１乃至１１−Ｎのそれぞれは、本発明の情報処理装置の一例である。

ICカード１１−１は、利用者の操作によって、ATM１２−１乃至１２−Ｍのそれぞれに設けられている所定の挿入口（図示せず）のいずれかに挿入される。例えば、ICカード１１−１は、利用者の操作によって、ATM１２−１に設けられている所定の挿入口に挿入された場合、ATM１２−１からの要求（コマンド）に応じて、認証の処理や、データの書き込みと読み出しの処理などの所定の処理を行う。

ICカード１１−２は、ICカード１１−１と同様に、ATM１２−１乃至１２−Ｍのそれぞれに設けられている所定の挿入口（図示せず）のいずれかに挿入され、例えば、利用者の操作によって、ATM１２−２に設けられている所定の挿入口に挿入された場合、ATM１２−２からの要求（コマンド）に応じて、認証の処理などの所定の処理を行う。

ICカード１１−３乃至１１−Ｎのそれぞれは、ICカード１１−１と同様に、ATM１２−１乃至１２−Ｍのそれぞれに設けられている所定の挿入口（図示せず）のいずれかに挿入され、例えば、利用者の操作によって、ATM１２−３乃至１２−Ｍのそれぞれに設けられている所定の挿入口に挿入された場合、ATM１２−３乃至１２−Ｍのそれぞれからの要求（コマンド）に応じて、認証の処理などの所定の処理を行う。

ATM１２−１乃至１２−Ｍのそれぞれは、ICカードに対応したATM（現金自動預け払い機）であり、例えば、銀行の店舗またはコンビニエンスストアの店内などに設置され、利用者の操作に従って、認証、預け入れ、引き出し、振り込み、または残高照会などの所定の処理を実行する。また、ATM１２−１乃至１２−Ｍのそれぞれは、本発明の情報処理装置の一例である。

ATM１２−１は、自分に設けられた所定の挿入口（図示せず）に、利用者の操作によって、ICカード１１−１乃至１１−Ｎのいずれかが挿入される。例えば、ATM１２−１は、自分に設けられた所定の挿入口に、利用者の操作によって、ICカード１１−１が挿入された場合、挿入されたICカード１１−１との間で、認証の処理や、データの書き込みと読み出しの処理などの所定の処理を行う。

ATM１２−２は、ATM１２−１と同様に、自分に設けられた所定の挿入口に、利用者の操作によって、ICカード１１−１乃至１１−Ｎのいずれかが挿入され、例えば、利用者の操作によって、所定の挿入口に、ICカード１１−２が挿入された場合、挿入されたICカード１１−２との間で、認証の処理などの所定の処理を行う。

ATM１２−３乃至１２−Ｍのそれぞれは、ATM１２−１と同様に、それぞれに設けられた所定の挿入口に、利用者の操作によって、ICカード１１−１乃至１１−Ｎのいずれかが挿入され、例えば、利用者の操作によって、所定の挿入口に、ICカード１１−３乃至ICカード１１−Ｎのいずれかが挿入された場合、挿入されたICカード１１−３乃至１１−Ｍのいずれかとの間で、認証の処理などの所定の処理を行う。

また、ATM１２−１乃至１２−Ｍのそれぞれは、利用者の操作に応じて、例えば、認証、預け入れ、引き出し、または振り込みなどの所定の要求を、通信網１３を介して、ホストコンピュータ１４に送信する。ATM１２−１乃至１２−Ｍのそれぞれは、通信網１３を介して、ホストコンピュータ１４から、例えば、認証の要求などの所定の要求に応じた処理結果を受信する。

通信網１３は、例えば、専用回線などから構成され、ATM１２−１乃至１２−Ｍのいずれかと、ホストコンピュータ１４とを相互に通信させる。

ホストコンピュータ１４は、例えば、汎用大型コンピュータ（いわゆるメインフレーム）または専用のサーバなどの、ATM１２−１乃至１２−Ｍのそれぞれから送信されてくる情報（データ）を集中的に管理する機器である。ホストコンピュータ１４は、通信網１３を介して、ATM１２−１乃至ATM１２−Ｍのいずれかから送信されてくる、例えば、認証の要求などの所定の要求に応じて、認証の処理などの所定の処理を行う。また、ホストコンピュータ１４は、認証の処理などの所定の処理によって得られた処理結果を、ATM１２−１乃至ATM１２−Ｍのいずれかに送信する。

なお、以下の説明においては、ICカード１１−１乃至１１−Ｎのそれぞれを個々に区別する必要がない場合、単に、ICカード１１と称し、ATM１２−１乃至ATM１２−Ｍのそれぞれを個々に区別する必要がない場合、単に、ATM１２と称して説明する。

また、図１で示されるATMシステム１の例においては、ホストコンピュータ１４が、１台設けられているが、機能ごとに複数の機器（例えば汎用大型コンピュータや専用のサーバなど）を設けるようにしてもよい。

図２は、ICカード１１の機能の構成を示すブロック図である。

ICカード１１は、塩化ビニールまたはプラスチックなどの素材からなるカードであり、その表面上の所定の位置（例えばカード表面の左上寄りの位置）には、ICチップ２１が設けられている。すなわち、ICカード１１は、ICチップ２１の筐体であると言える。

ICチップ２１は、後述するATM１２のリーダライタ５１の接触端子と接触することで、その接触端子から電力が供給され、供給された電力によって駆動することで、認証の処理や、データの書き込みと読み出しの処理などの所定の処理を行う。

ICチップ２１は、CPU（Central Processing Unit）３１、RAM（Random Access Memory）３２、ROM（Read Only Memory）３３、記憶部３４、および接触型インターフェイス３５を含むように構成される。

CPU３１は、ICチップ２１の各部を制御する。CPU３１は、ROM３３に記憶されているプログラムに従って各種の処理を実行する。RAM３２には、CPU３１が実行するプログラムやデータなどが適宜記憶される。

記憶部３４は、例えば、EEPROM（Electrically Erasable Programmable Read Only Memory）、フラッシュメモリ、MRAM（Magnetoresistive Random Access Memory（磁気抵抗メモリ））、またはFeRAM（強誘電体メモリ）などの不揮発性メモリなどによって構成される。CPU３１は、接触型インターフェイス３５から供給される各種のデータを記憶部３４に記憶させたり、記憶部３４に記憶されている各種のデータを読み出して、接触型インターフェイス３５に供給したりする。

接触型インターフェイス３５は、後述するATM１２のリーダライタ５１の接触端子と接触するための端子であり、例えば、その表面には金メッキが施されている。接触型インターフェイス３５は、ATM１２のリーダライタ５１の接触端子と接触することで、そのリーダライタ５１の接触端子からの電力をICチップ２１の各部に供給してICチップ２１を駆動させるとともに、リーダライタ５１の接触端子から入力されてくる各種のデータをCPU３１に供給したり、CPU３１から供給された各種のデータをリーダライタ５１の接触端子に出力したりする。

図３は、ATM１２の機能の構成を示すブロック図である。

ATM１２は、自分に設けられている所定の挿入口（図示せず）にICカード１１が挿入された場合、挿入されたICカード１１との間で認証の処理や、データの書き込みと読み出しの処理などの所定の処理を行う。また、ATM１２は、利用者の操作に応じて、例えば、認証、預け入れ、引き出し、または振り込みなどの所定の要求を、通信網１３を介して、ホストコンピュータ１４に送信する。ATM１２は、通信網１３を介して、ホストコンピュータ１４から、例えば、認証などの所定の要求に応じた処理結果を受信する。

ATM１２は、リーダライタ５１、コントローラ５２、通信部５３、表示制御部５４、表示部５５、操作入力部５６、生体情報入力部５７、および認証処理部５８を含むように構成される。

リーダライタ５１は、ICカード１１から送信された所定のデータ（コマンド）を取得するか、または所定のデータ（コマンド）をICカード１１に出力する。リーダライタ５１は、例えば、ICカード１１からデータを読み取るための接触端子（図示せず）を備え、その接触端子と、ICカード１１の接触型インターフェイス３５（図２）とが接触した場合、ICカード１１が挿入されたことを示す信号をコントローラ５２に供給する。

コントローラ５２は、ATM１２の各部を制御する。また、コントローラ５２は、リーダライタ５１からICカード１１が挿入されたことを示す信号が供給された場合、ICカード１１が挿入されたことを示す通知（以下、カード挿入通知と称する）を生成し、生成したカード挿入通知を通信部５３に供給する。

通信部５３は、コントローラ５２から供給されるカード挿入通知を、通信網１３を介して、ホストコンピュータ１４に送信する。また、通信部５３は、カード挿入通知に応じて、通信網１３を介して、ホストコンピュータ１４から送信されてくる、ICカード１１とATM１２とが相互に認証（相互認証）するために事前に設定されている鍵（以下、認証鍵と称する）を受信し、受信した認証鍵をコントローラ５２に供給する。

コントローラ５２は、通信部５３から供給される認証鍵を基に、リーダライタ５１を介して、ICカード１１との間で、相互認証を行う。また、詳細は後述するが、相互認証とは、ICカード１１とATM１２とがお互いに正当であると確認し合うための処理である。

また、コントローラ５２は、ICカード１１との間で、相互認証によってお互いに正当な機器であると認証された場合、ICカード１１に記憶されている、ICカード１１の持ち主である利用者に関する情報（以下、利用者情報と称する）を読み出すための要求（以下、利用者情報要求と称する）を生成し、生成した利用者情報要求を、リーダライタ５１を介して、ICカード１１に出力する。コントローラ５２は、利用者情報要求に応じて、ICカード１１から入力されてくる利用者情報であって、リーダライタ５１から供給される利用者情報を取得し、取得した利用者情報を、表示制御部５４または認証処理部５８のそれぞれに供給する。

表示制御部５４は、コントローラ５２から供給される、利用者情報に含まれる所定の情報の表示部５５の画面への表示を制御する。表示部５５は、例えば、LCD（Liquid Crystal Display）、有機EL（Electro Luminescence）ディスプレイ、またはLED（Light Emitting Diode）ディスプレイなどから構成され、表示制御部５４の制御の基に、利用者の操作に関する情報を画面に表示する。

生体情報入力部５７は、例えば、静脈センサ、指紋センサ、または虹彩認識装置などからなり、利用者の生体情報（例えば、手の甲の静脈、指紋、または虹彩など）の入力を受け付け、受け付けた生体情報をコントローラ５２に供給する。

認証処理部５８は、コントローラ５２から供給される利用者情報（例えば、ICカード１１（図２）に記憶されている生体情報）および生体情報入力部５７から供給される生体情報を基に、生体情報照合の処理を実行し、生体情報照合の処理によって得られた認証の結果をコントローラ５２に供給する。

ここで、生体情報照合の処理とは、利用者の身体的な特徴または特性など、個人に固有の情報を利用して、利用者の確認を行う認証の処理、いわゆる、生体認証（バイオメトリックス認証）である。また、生体認証の方式は上述した例に限定されるものではない。身体的特性は、例えば、音声などを用いるようにしてもよい。

コントローラ５２は、認証処理部５８による認証の結果に応じたメッセージを生成し、生成したメッセージを表示制御部５４に供給する。表示制御部５４は、コントローラ５２から供給される認証の結果に応じたメッセージを表示部５５の画面に表示させる。

操作入力部５６は、例えば、テンキーまたはタッチパネル（例えば表示部５５の画面）などの、利用者がATM１２を操作するためのインターフェイスとして構成される。操作入力部５６は、利用者による操作に応じた信号（例えば暗証番号（PIN（Personal Identification Number）））をコントローラ５２に供給する。

コントローラ５２は、操作入力部５６から供給される暗証番号を通信部５３に供給し、通信網１３を介して、暗証番号をホストコンピュータ１４に送信させる。コントローラ５２は、暗証番号に応じて、ホストコンピュータ１４から送信されてくる暗証番号の照合結果であって、通信部５３から供給される暗証番号の照合結果を、認証処理部５８に供給する。

認証処理部５８は、コントローラ５２を介して、通信部５３から供給される暗証番号の照合結果を基に、暗証番号が正当であるかを認証し、認証の結果をコントローラ５２に供給する。そして、上述したように、コントローラ５２は、認証処理部５８による認証の結果に応じたメッセージを生成し、生成したメッセージを表示制御部５４に供給することで、表示制御部５４に、認証の結果に応じたメッセージを表示部５５の画面に表示させる。

ドライブ７０は、必要に応じて、ATM１２に接続される。ドライブ７０には、磁気ディスク８１、光ディスク８２、光磁気ディスク８３、または半導体メモリ８４が適宜装着される。ドライブ７０は、装着された磁気ディスク８１、光ディスク８２、光磁気ディスク８３、または半導体メモリ８４から記憶されているプログラムを読み出して、読み出したプログラムを、コントローラ５２または表示制御部５４のいずれかに供給する。

このように、コントローラ５２および表示制御部５４のそれぞれは、記録媒体の一例である磁気ディスク８１、光ディスク８２、光磁気ディスク８３、または半導体メモリ８４から読み出されたプログラムを実行することができる。

図４は、ホストコンピュータ１４の構成例を示すブロック図である。

CPU１０１は、ROM１０２に記憶されているプログラム、または記録部１０８に記録されているプログラムに従って各種の処理を実行する。RAM１０３には、CPU１０１が実行するプログラムやデータなどが適宜記憶される。これらのCPU１０１、ROM１０２、およびRAM１０３は、バス１０４を介して相互に接続されている。

CPU１０１にはまた、バス１０４を介して入出力インターフェイス１０５が接続されている。入出力インターフェイス１０５には、キーボード、マウスなどよりなる入力部１０６、ディスプレイなどよりなる出力部１０７が接続されている。CPU１０１は、入力部１０６から入力される指令に対応して各種の処理を実行する。そして、CPU１０１は、処理の結果得られたデータを出力部１０７に出力する。

入出力インターフェイス１０５に接続されている記録部１０８は、例えば、ハードディスクなどで構成され、CPU１０１が実行するプログラムや各種のデータを記録する。

通信部１０９は、例えば、専用回線などの通信網１３を介して、外部の装置（例えばATM１２）と通信する。また、通信部１０９を介してプログラムを取得し、記録部１０８に記録してもよい。

入出力インターフェイス１０５に接続されているドライブ１１０は、磁気ディスク１２１、光ディスク１２２、光磁気ディスク１２３、または半導体メモリ１２４などが装着されたとき、それらを駆動し、そこに記録されているプログラムやデータなどを取得する。取得されたプログラムやデータは、必要に応じて記録部１０８に転送され、記録される。

図５は、図１のATMシステム１における全体の処理の概要を説明するシーケンス図である。また、図５のシーケンス図を参照して、本発明のATMシステム１の処理の一例として、利用者がICカード１１を利用して、ATM１２から現金を引き出すときの処理を説明する。

まず、図５のシーケンス図を参照し、ATMシステム１の全体の処理の概略を説明し、その後、図７乃至図１１を参照して、個々の装置の詳細な処理を説明する。なお、図５のシーケンス図においては、説明を分かり易くするために、利用者が行う操作も表現されている。すなわち、図５には、左側から、利用者が行う操作、並びに、ICカード１１、ATM１２、およびホストコンピュータ１４のそれぞれが行う処理が示されている。

すなわち、利用者が現金を引き出すために、自分のICカード１１をATM１２に挿入した場合、ステップＳ２１において、ATM１２は、ICカード１１が自分に挿入されたことを示す通知であるカード挿入通知を、通信網１３を介して、ホストコンピュータ１４に送信する。

ステップＳ３１において、ホストコンピュータ１４は、ATM１２から送信されてくるカード挿入通知に応じて、ICカード１１とATM１２とが相互に認証するために事前に設定されている鍵である認証鍵を、通信網１３を介して、ATM１２に送信する。

ステップＳ１１、ステップＳ１２、ステップＳ２２、およびステップＳ２３において、ICカード１１およびATM１２のそれぞれは、相互認証の処理を行う。

ここで、相互認証の処理とは、ICカード１１とATM１２とがお互いに正当であると確認し合うための処理である。例えば、ATM１２がICカード１１からデータを読み出すためには、ATM１２とICカード１１との間で相互認証の処理を行って、お互いに正当な機器であると確認し合えた場合に限って、データを読み出すことが可能となる。

また、図６を参照して、相互認証についてより詳細な説明をする。図６は、ICカード１１に記憶されているデータの詳細について説明する図である。

図２と同様の部分には、同様の符号が付してあり、その説明は（適宜）省略する。また、図６のICカード１１においては、説明を分かり易くするために、ICチップ２１および記憶部３４のみを表現しているが、実際には、図２によって説明したICカード１１と同様の構成となる。

ICカード１１の記憶部３４は、ICカード１１の持ち主である利用者に関する情報である利用者情報が予め記憶されている。例えば、利用者情報には、利用者の口座番号に関する情報、生体認証に使用する生体情報、利用者によって予め定められる任意の情報である利用者設定情報、またはICカード１１を使用した履歴に関する情報である利用履歴などの情報があり、それらの情報がICカード１１に記憶されている。

また、これらの利用者情報は、それぞれ異なる鍵で保護されており、これらの利用者情報にアクセスするためには、対応する鍵が必要となる。すなわち、ATM１２がICカード１１の利用者情報を読み出すためには、最初に、ATM１２とICカード１１との間で相互認証を行って、お互いに正当な機器であると確認し合えた場合に、それらの利用者情報を読み出すことが可能となる。

具体的には、図６で示される例においては、ICカード１１に記憶されている利用者情報のうち、口座番号が鍵１５１−１によって保護され、生体情報が鍵１５１−２によって保護され、利用者設定情報が鍵１５１−３によって保護され、利用履歴が鍵１５１−４によって保護されている。ATM１２は、ICカード１１が記憶している鍵１５１−１乃至１５１−４に対応する、ホストコンピュータ１２から受信した認証鍵（すなわち、鍵１５１−１乃至１５１−４）を記憶している。そして、例えば、ICカード１１から利用者設定情報を読み出したい場合には、この利用者設定情報に対応する認証鍵（鍵１５１−３）を読み出し、これを用いて相互認証処理を行う。

図５のシーケンス図に戻り、ステップＳ２２において、ATM１２は、ICカード１１との間で、自分がICカード１１に記憶されている利用者設定情報にアクセスするための相互認証（以下、相互認証１と称する）を行う。また、ステップＳ１１において、ICカード１１は、ATM１２との間で、相互認証１を行う。すなわち、ステップＳ２２およびステップＳ１１の処理（相互認証１）は、ATM１２とICカード１１との間で行われる、ATM１２がICカード１１に記憶されている利用者設定情報にアクセスするための相互認証となる。

例えば、相互認証１の処理では、ATM１２は、二項乱数、ポアソン乱数、または正規乱数などの所定の乱数を生成し、この乱数と読み出したい利用者設定情報を示す情報をICカード１１に出力する。ICカード１１においては、通知されてきた利用者設定情報に対応する鍵１５１−３を読み出し、その鍵１５１−３を用いて、通知されてきた乱数を暗号化し、暗号化した乱数をATM１２に出力する。ATM１２は、この暗号化された乱数を、認証鍵を用いて復号化し、ICカード１１が通知した乱数と復号化した乱数とが一致していれば、ICカード１１が正当なICカードであると認証する。

また、同様に、ICカード１１は、所定の乱数を生成し、ATM１２に出力する。ATM１２は、鍵１５１−３を用いて、この乱数を暗号化し、暗号化した乱数をICカード１１に出力する。ICカード１１は、この暗号化された乱数を鍵１５１−３を用いて復号化し、復号化された乱数とATM１２に通知した乱数とが一致していれば、ATM１２が正当なATMであると認証する。

ステップＳ２３において、ATM１２は、ICカード１１との間で、自分がICカード１１に記憶されている生体情報にアクセスするための相互認証（以下、相互認証２と称する）を行う。また、ステップＳ１２において、ICカード１１は、ATM１２との間で、相互認証２を行う。すなわち、ステップＳ２３およびステップＳ１２の処理（相互認証２）は、ATM１２とICカード１１との間で行われる、ATM１２がICカード１１に記憶されている生体情報にアクセスするための相互認証となる。

例えば、相互認証２の処理では、上述した相互認証１の処理と同様に、ICカード１１およびATM１２のそれぞれが、相手に認めてもらうための暗号文を作成し、相互にその暗号文をチェックすることで、相互認証の処理を行う。

ステップＳ２４において、ATM１２は、ICカード１１との間で、相互認証によってお互いが正当な機器であると認証し合えた場合、ICカード１１にアクセスすることが可能となるので、ICカード１１に記憶されている利用者に関する情報である利用者情報を取得するために、利用者情報要求をICカード１１に出力する。

ステップＳ１３において、ICカード１１は、ATM１２から入力されてくる利用者情報要求に応じて、自分が記憶している利用者情報をATM１２に出力する。この場合、ICカード１１とATM１２との間では、上述した相互認証１および相互認証２のそれぞれによって、利用者設定情報および生体情報のそれぞれの相互認証を行っているので、ICカード１１は、利用者設定情報および生体情報をATM１２に出力する。

ステップＳ２５において、ATM１２は、ICカード１１から入力されてくる利用者情報、すなわち、利用者設定情報および生体情報を取得する。ATM１２は、取得した利用者設定情報を、LCDなどの画面（表示部５５の画面）に表示させる。

このとき、利用者は、ATM１２のLCDの画面に表示されている利用者設定情報を確認する。利用者は、表示されている利用者設定情報が正当な自分のものである場合、現金を引き出す処理を引き続き行うために、例えば、画面に表示される処理を続行させるボタンに触れることで（タッチパネルに接触することで）、現金を引き出す処理をATM１２に続行させる。そして、ATM１２には、現金を引き出す処理を続行させる指示（以下、続行指示と称する）が入力される。

ステップＳ２６において、ATM１２は、利用者が現金を引き出す処理を続行させる操作によって入力される続行指示を基に、利用者に生体情報（例えば静脈）の入力を促すメッセージをLCDの画面に表示させる。

このとき、利用者は、ATM１２に設けられている静脈センサに自分の手のひらを翳すことで、自分の静脈の情報（生体情報）をATM１２に入力する。

ステップＳ２７において、ATM１２は、利用者の手のひらから読み取った静脈の情報（生態情報）と、ICカード１１から取得した生体情報とを比較することで、それらの生体情報が一致するか否かを判定する。ATM１２は、生体情報が一致すると判定された場合、利用者に暗証番号の入力を促すメッセージをLCDの画面に表示させる。

このとき、利用者は、ATM１２のLCDの画面に表示されている暗証番号の入力を促すメッセージに従って、例えば４桁の暗証番号を入力する。

ステップＳ２８において、ATM１２は、利用者によって入力された４桁の暗証番号を、通信網１３を介して、ホストコンピュータ１４に送信する。

ステップＳ３２において、ホストコンピュータ１４は、ATM１２から送信されてくる利用者によって入力された暗証番号と、予め登録されている利用者の暗証番号とが一致するか否かを照合する。ステップＳ３３において、ホストコンピュータ１４は、暗証番号の照合の結果（以下、照合結果と称する）を、通信網１３を介して、ATM１２に送信する。

ステップＳ２９において、ATM１２は、ホストコンピュータ１４から送信されてくる照合結果、すなわち、以降、現金を引き出す処理を続行できるか否かを示すメッセージをLCDの画面に表示させる。

このとき、利用者は、ATM１２のLCDの画面に表示されている照合結果を確認し、現金を引き出す処理を継続することが可能である場合、その後、例えば、引き出す現金の金額を指定するなどの処理をATM１２に継続させる。

このように、利用者によって予め設定された利用者設定情報を表示して、利用者が表示された利用者設定情報を確認してから、生体情報や暗証番号を入力させるので、利用者が安易に生体情報や暗証番号を入力しなくなり、ATMが偽造されてしまった場合でも、利用者の個人情報の漏洩を防ぐことができる。

なお、上述した例においては、相互認証として、相互認証１および相互認証２を一例にして説明したが、それに限らず、ATM１２が、ICカード１１に記憶されている、例えば、口座番号や利用履歴などにアクセスする場合にも、ICカード１１とATM１２との間で、同様に相互認証を行う。また、上述した相互認証の方法は一例であり、ICカード１１とATM１２との間で、お互いに正当な機器であると認証し合うことができる方法であればよい。

さらに、上述した例においては、ICカード１１とATM１２とが行う相互認証で使用する認証鍵（例えば鍵１５１−１乃至１５１−４）を、ホストコンピュータ１４から取得するとして説明したが、ATM１２がそれらの認証鍵を予め記憶しておくようにしてもよい。

次に、図７乃至図１０を参照して、図５のシーケンス図により説明した、ICカード１１、ATM１２、およびホストコンピュータ１４のそれぞれの装置の処理について、より詳細な説明をする。

まず、図７および図８のフローチャートを参照して、ATM１２による利用者認証の処理を説明する。

ステップＳ５１において、コントローラ５１は、リーダライタ５１から送信されてくるICカード１１が挿入されたことを示す信号を基に、ATM１２にICカード１１が挿入されたか否かを判定する。

ステップＳ５１において、ICカード１１が挿入されていないと判定された場合、ステップＳ５１に戻り、上述した処理を繰り返す。すなわち、ATM１２は、利用者によって、ICカード１１が挿入されるまで、アイドル状態で待機していることになる。

ステップＳ５１において、ICカード１１が挿入されたと判定された場合、ステップＳ５２に進み、通信部５３は、コントローラ５２の制御に従って、通信網１３を介して、カード挿入通知をホストコンピュータ１４に送信する。例えば、コントローラ５２は、リーダライタ５１からICカード１１が挿入されたことを示す信号が供給された場合、カード挿入通知を生成し、生成したカード挿入通知を通信部５３に供給する。通信部５３は、コントローラ５２から供給されてくるカード挿入通知を、通信網１３を介して、ホストコンピュータ１４に送信する。

ステップＳ５３において、通信部５３は、カード挿入通知に応じて、ホストコンピュータ１４から送信されてくる認証鍵を受信する。通信部５３は、受信した認証鍵をコントローラ５２に供給する。

ステップＳ５４において、コントローラ５２は、通信部５３から供給される認証鍵を基に、ICカード１１との間で、相互認証を行う。例えば、ステップＳ５４において、コントローラ５２は、リーダライタ５１の接触端子に接触しているICカード１１に記憶されている、利用者設定情報および生体情報にアクセスするための相互認証（例えば図５の相互認証１および相互認証２）をICカード１１との間で行う。ATM１２とICカード１１との相互認証の詳細は、図５のシーケンス図（ステップＳ１１、ステップＳ１２、ステップＳ２２、およびステップＳ２３の処理）を参照して説明したので、その詳細な説明は省略する。

ステップＳ５５において、リーダライタ５１は、コントローラ５２の制御に従って、利用者情報要求をICカード１１に出力する。例えば、コントローラ５２は、ICカード１１との間で、利用者設定情報および生体情報にアクセスするための相互認証に成功した場合、ICカード１１に記憶されている利用者情報（利用者設定情報および生体情報）を読み出すために、利用者情報要求を生成し、生成した利用者情報要求をリーダライタ５１に供給する。リーダライタ５１は、コントローラ５２から供給された利用者情報要求をICカード１１に出力する。

ステップＳ５６において、リーダライタ５１は、利用者情報要求に応じて、ICカード１１から入力されてくる利用者情報を取得する。リーダライタ５１は、取得した利用者情報をコントローラ５２に供給する。例えば、ステップＳ５６において、リーダライタ５１は、ICカード１１から、利用者情報として、生体情報および利用者設定情報を取得し、コントローラ５２を介して、取得した利用者情報のうち、利用者設定情報を表示制御部５４に供給し、生体情報を認証処理部５８に供給する。

ステップＳ５７において、表示制御部５４は、コントローラ５２を介して、リーダライタ５１から供給されてくる利用者情報に含まれる所定の情報を表示部５５の画面に表示させる。例えば、ステップＳ５７において、コントローラ５２は、リーダライタ５１から供給されてくる利用者情報のうち、利用者設定情報を表示制御部５４に供給する。表示制御部５４は、コントローラ５２から供給される利用者設定情報を、表示部５５の画面に表示させる。

図９は、利用者設定情報を表示させる表示部５５の画面の例を示す図である。

図９で示される例において、表示部５５の画面には、例えば、利用者によって予め設定される利用者設定情報２０１として、「××××××××××××××××××××××××××××××××××××××××××××××××××」である文字列が表示され、さらに、以降の処理を続行させるボタン２０２および以降の処理をキャンセルさせるボタン２０３も表示される。

すなわち、例えば、利用者は、表示部５５の画面に表示されている、「××××××××××××××××××××××××××××××××××××××××××××××××××」である利用者設定情報２０１を確認し、利用者設定情報２０１が自分の設定した利用者設定情報である場合、ボタン２０２に触れて（ボタン２０２を押圧して）それ以降の認証の処理などを続行し、利用者設定情報２０１が自分の設定した利用者設定情報と異なる場合、ボタン２０３に触れて（ボタン２０３を押圧して）それ以降に行われる処理をキャンセルする。

なお、利用者設定情報２０１であるが、上述した、文字列以外にも、例えば、画像や音声など、利用者により予め設定され、利用者がそれを見て（聞いて）、自分が設定したものであると認識することができる情報であればよい。また、表示部５５の画面に表示させる情報は、利用者設定情報に限らず、他の利用者情報、例えば、利用履歴などであってもよい。

図７のフローチャートに戻り、ステップＳ５８において、コントローラ５２は、操作入力部５６から供給される続行指示（操作信号）を基に、利用者によって指示された所定の処理を続行するか否かを判定する。

ステップＳ５８において、例えば、利用者の操作によってボタン２０３（図９）が押圧されることで、所定の処理を続行しないと判定された場合、以降の処理はキャンセルさせるので、処理はステップＳ５１に戻り、上述した処理が繰り返される。

一方、ステップＳ５８において、例えば、利用者の操作によってボタン２０２（図９）が押圧されることで、所定の処理を続行すると判定された場合、ステップＳ５９に進み、表示制御部５４は、生体情報の入力を要求する所定のメッセージを表示部５５の画面に表示させる。例えば、ステップＳ５９において、コントローラ５２は、操作入力部５６からの操作信号が所定の処理を続行することを示す信号（続行指示）である場合、生体情報の入力を要求する所定のメッセージを生成し、生成したメッセージを表示制御部５４に供給する。表示制御部５４は、コントローラ５２から供給される生体情報の入力を要求する所定のメッセージを表示部５５の画面に表示させる。

ステップＳ６０において、生体情報入力部５７は、利用者の生体情報の入力を受け付ける。生体情報入力部５７は、受け付けた利用者の生体情報を認証処理部５８に供給する。例えば、生体情報入力部５７が静脈センサから構成される場合、ステップＳ６０において、生体情報入力部５７は、利用者の手の甲の静脈に関する生体情報（静脈パターン）の入力を受け付け、受け付けた静脈パターンを認証処理部５８に供給する。

ステップＳ６１において、認証処理部５８は、ICカード１１に記憶されている生体情報であって、リーダライタ５１から供給された生体情報および生体情報入力部５７から入力された利用者の生体情報を基に、生体情報照合の処理を実行して、それらの生体情報が一致するか否かを判定する。例えば、ステップＳ６１において、認証処理部５８は、リーダライタ５１から供給された事前に採取した利用者の静脈パターンと、生体情報入力部５７から入力された、ATM１２を操作している利用者から取得した静脈パターン（認証時に取得した静脈パターン）とが一致するか否かを判定する（いわゆる静脈認証を行う）。

なお、生体認証の方式は上述した例に限定させず、身体的な特徴または特性、例えば、指紋、虹彩、または音声などを用いるようにしてもよい。

ステップＳ６１において、生体情報が一致しないと判定された場合、ステップＳ６９に進み、表示制御部５４は、生体情報が一致しないことを示すメッセージを表示部５５の画面に表示させる。例えば、ステップＳ６９において、コントローラ５２は、認証処理部５８において生体情報が一致しないと判定された場合、生体情報が一致しないことを示す所定のメッセージを生成し、生成したメッセージを表示制御部５４に供給する。表示制御部５４は、コントローラ５２から供給される生体情報が一致しないことを示すメッセージを表示部５５の画面に表示させる。

一方、ステップＳ６１において、生体情報が一致すると判定された場合、ステップＳ６２に進み、表示制御部５４は、暗証番号の入力を要求する所定のメッセージを表示部５５の画面に表示させる。例えば、ステップＳ６２において、コントローラ５２は、認証処理部５８において事前に採取した静脈パターンと、認証時に取得した静脈パターンとが一致すると判定された場合、暗証番号の入力を要求する所定のメッセージを生成し、生成したメッセージを表示制御部５４に供給する。表示制御部５４は、コントローラ５２から供給される暗証番号の入力を要求するメッセージを表示部５５の画面に表示させる。

ステップＳ６３において、操作入力部５６は、利用者の操作による暗証番号の入力を受け付ける。操作入力部５６は、入力された暗証番号をコントローラ５２に供給する。例えば、ステップＳ６３において、操作入力部５６は、利用者の操作による４桁の暗証番号の入力を受け付け、入力された４桁の暗証番号をコントローラ５２に供給する。

ステップＳ６４において、通信部５３は、コントローラ５２の制御に従って、暗証番号を、通信網１３を介して、ホストコンピュータ１４に送信する。例えば、コントローラ５２は、操作入力部５６から４桁の暗証番号が供給された場合、その暗証番号を通信部５３に供給する。通信部５３は、コントローラ５２から供給される暗証番号を、通信網１３を介して、ホストコンピュータ１４に送信する。

ステップＳ６５において、通信部５３は、暗証番号に応じて、ホストコンピュータ１４から送信されてくる暗証番号の照合結果を受信する。通信部５３は、受信した暗証番号の照合結果をコントローラ５２に供給する。例えば、ステップＳ６５において、通信部６５は、暗証番号が正当であることを示す暗証番号の照合結果を受信し、受信したその照合結果を、コントローラ５２を介して、認証処理部５８に供給する。

ステップＳ６６において、認証処理部５８は、コントローラ５２を介して、通信部５３から供給される暗証番号の照合結果を基に、利用者によって入力された暗証番号が正当であるか否かを判定する。

ステップＳ６６において、暗証番号が正当でないと判定された場合、ステップＳ６９に進み、表示制御部５４は、暗証番号が正当でないことを示すメッセージを表示部５５の画面に表示させる。例えば、ステップＳ６９において、コントローラ５２は、認証処理部５８において暗証番号が正当でないと判定された場合、暗証番号が正当でないことを示す所定のメッセージを生成し、生成したメッセージを表示制御部５４に供給する。表示制御部５４は、コントローラ５２から供給される暗証番号が正当でないことを示すメッセージを表示部５５の画面に表示させる。

一方、ステップＳ６６において、暗証番号が正当であると判定された場合、ステップＳ６７に進み、表示制御部５４は、通信部５３から供給される暗証番号の照合結果を表示部５５の画面に表示させる。例えば、ステップＳ６６において、コントローラ５２は、認証処理部５８において暗証番号が正当であると判定された場合、暗証番号が正当であることを示すメッセージを生成し、生成したメッセージを表示制御部５４に供給する。表示制御部５４は、コントローラ５２から供給される、暗証番号が正当であることを示すメッセージを表示部５５の画面に表示させる。

ステップＳ６８において、コントローラ５２は、ユーザの操作に従って、預け入れ、引き出し、振り込み、または残高照会などの所定の処理を実行して、処理は終了する。

このように、ATM１２は、利用者によって予め設定されている利用者設定情報であって、ICカード１１に記憶されている利用者設定情報を表示部５５の画面に表示させることができる。その結果、利用者はATM１２が偽造されているかを判断することができるので、自分の個人情報の漏洩を未然に防ぐことができる。

次に、図１０のフローチャートを参照して、ICカード１１による利用者認証の処理を説明する。

ステップＳ９１において、CPU３１は、ATM１２に挿入されたか否かを判定する。例えば、CPU３１は、接触型インターフェイス３５と、ATM１２（のリーダライタ５１の接触端子）とが接触したかによって、ATM１２に挿入されたか否かを判定する。

ステップＳ９１において、ATM１２に挿入されていないと判定された場合、ステップＳ９１に戻り、上述した処理が繰り返される。すなわち、ICカード１１は、自分がATM１２の所定の挿入口に挿入されるまで、待機している。

一方、ステップＳ９１において、ATM１２に挿入されたと判定された場合、ステップＳ９２に進み、CPU３１は、ATM１２との間で、相互認証を行う。例えば、ステップＳ９２において、CPU３１は、ATM１２が、記憶部３４に記憶されている利用者設定情報および生体情報にアクセスするための相互認証（例えば図５の相互認証１および相互認証２）を、ATM１２との間で行う。ICカード１１とATM１２との相互認証の詳細は、図５のシーケンス図（ステップＳ１１、ステップＳ１２、ステップＳ２２、およびステップＳ２３の処理）を参照して説明したので、その詳細な説明は省略する。

ステップＳ９３において、接触型インターフェイス３５は、接触しているATM１２（のリーダライタ５１の接触端子）から入力されてくる利用者情報要求を取得する。接触型インターフェイス３５は、取得した利用者情報要求をCPU３１に供給する。

ステップＳ９４において、CPU３１は、接触型インターフェイス３５から供給される利用者情報要求を基に、記憶部３４から利用者情報を読み出す。CPU３１は、読み出した利用者情報を接触型インターフェイス３５に供給する。例えば、ステップＳ９４において、CPU３１は、接触型インターフェイス３５から供給される利用者情報要求を基に、記憶部３４から、利用者設定情報および生体情報である利用者情報を読み出し、読み出した利用者設定情報および生体情報を接触型インターフェイス３５に供給する。

ステップＳ９５において、接触型インターフェイス３５は、CPU３１から供給される利用者情報をATM１２に出力して、処理は終了する。例えば、ステップＳ９５において、接触型インターフェイス３５は、CPU３１から供給される、利用者設定情報および生体情報である利用者情報をATM１２に出力する。

次に、図１１のフローチャートを参照して、ホストコンピュータ１４による利用者認証の処理を説明する。

ステップＳ１１１において、CPU１１１は、ATM１２から、通信網１３を介して、カード挿入通知を受信したか否かを判定する。

ステップＳ１１１において、カード挿入通知を受信していないと判定された場合、ステップＳ１１１に戻り、上述した処理が繰り返される。すなわち、ホストコンピュータ１４は、ATM１２からカード挿入通知が送信されてくるまで待機している。

一方、ステップＳ１１１において、カード挿入通知を受信したと判定された場合、ステップＳ１１２に進み、CPU１１１は、認証鍵を生成し、生成した認証鍵を通信部１０９に供給する。通信部１０９は、CPU１１１から供給される認証鍵を、通信網１３を介して、ATM１２に送信する。

ステップＳ１１３において、CPU１１１は、ATM１２から、通信網１３を介して、暗証番号を受信したか否かを判定する。

ステップＳ１１３において、暗証番号を受信していないと判定された場合、ステップＳ１１３に戻り、上述した処理が繰り返される。すなわち、ホストコンピュータ１４は、ATM１２から暗証番号が送信されてくるまで待機している。

一方、ステップＳ１１３において、暗証番号を受信したと判定された場合、ステップＳ１１４に進み、CPU１１１は、暗証番号の照合の処理を実行する。CPU１１１は、暗証番号の照合の処理によって得られた処理結果を基に、暗証番号の照合結果を生成し、生成した暗証番号の照合結果を通信部１０９に供給する。例えば、ステップＳ１１４において、CPU１１１は、暗証番号の照合の処理によって、暗証番号が正当であると判定した場合、暗証番号が正当であることを示す照合結果を生成し、生成した照合結果を通信部１０９に供給する。

ステップＳ１１５において、通信部１０９は、CPU１１１から供給される暗証番号の照合結果を、通信網１３を介して、ATM１２に送信して、処理は終了する。例えば、ステップＳ１１５において、CPU１１１から供給される暗証番号が正当であることを示す照合結果を、通信網１３を介して、ATM１２に送信する。

以上のように、本発明によれば、利用者によって予め設定された利用者情報（利用者設定情報）を画面に表示して、利用者が表示された利用者設定情報を確認してから、生体情報や暗証番号を入力させるので、利用者が安易に生体情報や暗証番号を入力しなくなり、ATM１２が偽造されてしまった場合でも、利用者の個人情報の漏洩を防ぐことができる。

また、利用者は、ICカード１１とATM１２との間での相互認証の結果に応じて、ATM１２を信頼するか否かを判断し、その後、生体情報や暗証番号の入力を行うので、安心して生体情報や暗証番号などの個人情報を入力できるとともに、それらの個人情報が盗難されるのを防止することができる。

なお、上述した例においては、ICカード１１を接触型のICカードとして説明したが、本発明はそれに限らず、例えば、非接触型のICカードに適用することも可能である。

上述した一連の処理は、ハードウェアにより実行させることもできるが、ソフトウェアにより実行させることもできる。一連の処理をソフトウェアにより実行させる場合には、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ、または、各種のプログラムをインストールすることで、各種の機能を実行することが可能な、例えば汎用のパーソナルコンピュータなどに、記録媒体からインストールされる。

この記録媒体は、図３に示すように、コンピュータとは別に、ユーザにプログラムを提供するために配布される、プログラムが記録されている磁気ディスク８１（フレキシブルディスクを含む）、光ディスク８２（CD-ROM(Compact Disc-Read Only Memory)を含む）、光磁気ディスク８３（MD（商標）を含む）、若しくは半導体メモリ８４などよりなるパッケージメディアにより構成されるだけでなく、コンピュータに予め組み込まれた状態でユーザに提供される、プログラムが記録されているROM（図示せず）などで構成される。

さらに、上述した一連の処理を実行させるプログラムは、必要に応じてルータ、モデムなどのインターフェイスを介して、ローカルエリアネットワーク、インターネット、デジタル衛星放送といった、有線または無線の通信媒体を介してコンピュータにインストールされるようにしてもよい。

なお、本明細書において、記録媒体に格納されるプログラムを記述するステップは、記載された順序に沿って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理をも含むものである。

また、本明細書において、システムとは、複数の装置により構成される装置全体を表すものである。

なお、本発明の実施の形態は、上述した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能である。

本発明を適用したATMシステムの一実施の形態の構成を示すブロック図である。 ICカードの機能の構成を示すブロック図である。 ATMの機能の構成を示すブロック図である。 ホストコンピュータの構成例を示すブロック図である。 図１のATMシステムにおける全体の処理の概要を説明するシーケンス図である。 ICカードに記憶されているデータの詳細について説明する図である。 ATMによる利用者認証の処理を説明するフローチャートである。 ATMによる利用者認証の処理を説明するフローチャートである。 利用者設定情報を表示させる表示部の画面の例を示す図である。 ICカードによる利用者認証の処理を説明するフローチャートである。 ホストコンピュータによる利用者認証の処理を説明するフローチャートである。

符号の説明

１ ATMシステム， １１−１乃至１１−Ｎおよび１１ ICカード， １２−１乃至１２−Ｍおよび１２ ATM， １３ 通信網， １４ ホストコンピュータ， ２１ ICチップ， ３１ CPU， ３２ RAM， ３３ ROM， ３４ 記憶部， ３５ 接触型インターフェイス， ５１ リーダライタ， ５２ コントローラ， ５３ 通信部， ５４ 表示制御部， ５５ 表示部， ５６ 操作入力部， ５７ 生体情報入力部， ５８ 認証処理部， ７０ ドライブ， ７１ 磁気ディスク， ７２ 光ディスク， ７３ 光磁気ディスク， ７４ 半導体メモリ， １０１ CPU， １０２ ROM， １０３ RAM， １０６ 入力部， １０７ 出力部， １０８ 記録部， １０９ 通信部， １１０ ドライブ， １２１ 磁気ディスク， １２２ 光ディスク， １２３ 光磁気ディスク， １２４ 半導体メモリ

Claims (7)

1. 第１の情報処理装置と第２の情報処理装置とからなる情報処理システムにおいて、
   前記第１の情報処理装置は、
   利用者よって任意に設定される設定情報を記憶する記憶手段
   を備え、
   前記第２の情報処理装置は、
   前記第１の情報処理装置が記憶している前記設定情報を取得する取得手段と、
   取得した前記設定情報の画面への表示を制御する表示制御手段と、
   前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者が正当であるか否かを認証する認証手段と、
   前記利用者が正当な利用者であると認証された場合、前記利用者によって操作された所定の処理を実行する処理手段と
   を備える情報処理システム。
2. 他の機器が記憶している、利用者によって任意に設定される設定情報を取得する取得手段と、
   取得した前記設定情報の画面への表示を制御する表示制御手段と、
   前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者が正当であるか否かを認証する認証手段と、
   前記利用者が正当な利用者であると認証された場合、前記利用者によって操作された所定の処理を実行する処理手段と
   を備える情報処理装置。
3. 前記取得手段は、前記他の機器との間で、相互認証によってお互いに正当な機器であると認証された場合、前記他の機器から前記設定情報を取得する
   請求項２の情報処理装置。
4. 前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者による第１の生体情報の入力を受け付ける第１の受付手段
   を備え、
   前記取得手段は、前記他の機器が予め記憶している、前記利用者の第２の生体情報を取得し、
   前記認証手段は、受け付けた前記第１の生体情報および取得した前記第２の生体情報に基づいて、前記利用者が正当であるか否かを認証する
   請求項２の情報処理装置。
5. 前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者による暗証番号の入力を受け付ける第２の受付手段
   を備え、
   前記認証手段は、受け付けた前記暗証番号の照合の結果に基づいて、前記利用者が正当であるか否かを認証する
   請求項２の情報処理装置。
6. 他の機器が記憶している、利用者によって任意に設定される設定情報を取得する取得ステップと、
   取得した前記設定情報の画面への表示を制御する表示制御ステップと、
   前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者が正当であるか否かを認証する認証ステップと、
   前記利用者が正当な利用者であると認証された場合、前記利用者によって操作された所定の処理を実行する処理ステップと
   を含む情報処理方法。
7. 他の機器が記憶している、利用者によって任意に設定される設定情報を取得する取得ステップと、
   取得した前記設定情報の画面への表示を制御する表示制御ステップと、
   前記利用者の操作によって、前記画面に表示された前記設定情報が正当な情報であると指示された場合、前記利用者が正当であるか否かを認証する認証ステップと、
   前記利用者が正当な利用者であると認証された場合、前記利用者によって操作された所定の処理を実行する処理ステップと
   を含むプログラム。

Images