JP2007066033A - データロード方法、プログラム及び端末装置 - Google Patents

Abstract

【課題】 データ提供者以外の者がロードする場合にも、データ提供者からのデータ内容の漏洩防止や完全性の保証をすることが可能なデータロード方法、プログラム及び端末装置を提供すること。
【解決手段】 端末装置４は、端末管理者１から公開鍵ＰＫ１を、第三者機関３から秘密鍵ＳＫ３を予め取得する（ステップＳ１０２，Ｓ３０２）。更に、秘密鍵ＳＫ１による署名ＳＧ１が付された公開鍵ＰＫ２を取得し（ステップＳ１０４）、公開鍵ＰＫ１で検証する（ステップＳ４０３）。また、暗号化共通鍵ＣＫ４［Ｅ３］を取得し（ステップＳ１０５）、秘密鍵ＳＫ３を用いて復号化する（ステップＳ４０６）。秘密鍵ＳＫ２による署名ＳＧ２が付された、共通鍵ＣＫ４を用いて暗号化された暗号化プログラムＰＧ［Ｅ４］を取得し（ステップＳ１０６）、署名ＳＧ２を公開鍵ＰＫ２を用いて検証し（ステップＳ４０８）、共通鍵ＣＫ４を用いて復号化する（ステップＳ４０９）。
【選択図】 図１

Description

本発明は、端末装置等にプログラム等のデータをロードするデータロード方法、プログラム及び端末装置に関する。

決済端末等の端末装置にプログラムをロードする際には、不正なプログラムの書き込み等を防止する必要がある。例えば、特許文献１には、更新プログラムから署名データを抽出し、署名データが有効であるときに更新プログラムをダウンロードすることで、不正プログラムの書き込みを防止し、装置に対する不正行為を防止する決済端末が記載されている。

また、制限されたリソースへのアクセス制御方法として、例えば、特許文献２には、デジタル署名を用いたプログラムによりリソースへのアクセスを制御する方法が記載されている。この方法では、リソースへのアクセスを、コードの一次所有者とは別の関係者である二次所有者に委任する場合、コードは、二次所有者の署名をチェックする暗号キーに一次所有者の署名を関連付けた委任証明と、この委任証明に関連付けた二次所有者の署名を有することで、リソースへのアクセス制御装置は、二次所有者にリソースへのアクセスを許可することができる。

特開２００３−１４０７６１号公報 特開２００３−５２４２５２号公報

ところで、決済端末等の端末装置において、例えば、複数の異なる業者等のサービス提供者によるアプリケーションに対応させる場合、そのアプリケーション用のプログラム等のデータを提供するデータ提供者と、そのデータを端末装置にロードする端末管理者とが異なる場合が想定される。

しかしながら、上記特許文献１に記載された決済端末にあっては、実際にプログラム等のデータをロードする業者に渡しておく必要があるので、データの内容がデータの作成者又は提供者以外に閲覧可能な状態となってしまうといった事情があり、また、提供するデータの完全性を保証することができないといった事情があった。

また、上記特許文献２に記載されたアクセス制御方法にあっては、署名と関連付けられたコードに対するリソースのアクセスを許可するものであり、端末装置等にデータ提供者と端末管理者とが異なる場合の端末装置へのデータのロードについては考慮されていない。

本発明は、上記の事情に鑑みてなされたものであって、データ提供者以外の者がロードする場合にも、データ提供者からのデータ内容の漏洩防止や完全性を保証することが可能なデータロード方法、プログラム及び端末装置を提供することを目的とする。

本発明は、第１に、第一の公開鍵を取得するステップと、前記第一の公開鍵に対応した第一の秘密鍵による第一の署名が付された第二の公開鍵を取得するステップと、前記第一の署名を前記第一の公開鍵を用いて検証し、前記第二の公開鍵を取得するステップと、第三の秘密鍵を取得するステップと、前記第三の秘密鍵に対応した第三の公開鍵により暗号化された第四の暗号鍵を取得するステップと、前記暗号化された第四の暗号鍵を、前記第三の秘密鍵を用いて復号化するステップと、前記第二の公開鍵に対応した第二の秘密鍵による第二の署名が付された、前記第四の暗号鍵を用いて暗号化された暗号化データを取得するステップと、前記第二の署名を前記第二の公開鍵を用いて検証し、前記暗号化データを取得するステップと、前記暗号化データを前記第四の暗号鍵を用いて復号化するステップとを有するデータロード方法が提供されるものである。

この方法により、データ提供者以外の者がロードする場合にも、データ提供者からのデータについて、内容の漏洩防止や完全性の保証をすることができる。

本発明は、第２に、上記第１に記載のデータロード方法であって、前記第一の公開鍵、前記第一の署名が付された第二の公開鍵は前記データをロードする端末装置の管理者から提供され、前記第三の公開鍵で暗号化された第四の暗号鍵及び前記第二の署名が付された前記第四の鍵で暗号化された暗号化データは前記データの提供者から提供され、前記第三の秘密鍵は第三者から提供される。

この方法により、暗号化データを用いてロードすることにより端末管理者に対して暗号化されたデータの内容を解析されることを防ぐことが可能であり、また、データに付された署名を、第二の公開鍵を用いて検証することにより、ロードされるデータの完全性をデータの提供者が保証することができる。

本発明は、第３に、上記第１又は第２に記載のデータロード方法であって、前記ロードされるデータが、決済プログラムである。

この方法により、決済処理手段を安全に自動販売機等にロードすることができる。

本発明は、第４に、上記第１ないし第３のいずれかに記載のデータロード方法の各ステップを実行するデータロードプログラムが提供されるものである。

このプログラムにより、データ提供者以外の者がロードする場合にも、データ提供者からのデータ内容の漏洩防止や完全性の保証をすることができる。

本発明は、第５に、上記第４に記載のデータロードプログラムを実行する端末装置が提供されるものである。

この構成により、データをロードする作業を行う管理者に対しては暗号化されたデータの内容を解析されることを防ぐことが可能であり、また、データに付された署名を公開鍵を用いて検証することにより、ロードされるデータの完全性をデータ提供者自身が保証することができる。また、安全に決済プログラム等をロードした自動販売機等の端末装置を得ることができる。

本発明は、第６に、上記第３に記載のデータロード方法及び上記第３に記載された方法によりロードされた決済プログラムを実行する端末装置が提供されるものである。

この構成により、安全に決済プログラム等をロードした自動販売機等の端末装置を得ることができる。

本発明によれば、データ提供者以外の者がロードする場合にも、データ提供者からのデータ内容の漏洩防止やデータ提供者自身が完全性を保証することが可能なデータロード方法、プログラム及び端末装置を提供することができる。

図１は本発明の実施形態に係るデータロード方法の概略を示す説明図であり、図２は本発明の実施形態に係るデータロード方法の手順を示すシーケンス図である。

図１及び図２に示すように、本実施形態では、端末装置４に対してプログラムを含むデータ全般の設定及び更新等を管理する端末管理者１と、端末装置４を用いてサービスを提供するサービス提供者２と、端末管理者１及びサービス提供者２とは異なる、第三者機関３とが存在する。第三者機関３は、端末管理者１やサービス提供者２が合意した特定の信頼機関等、契約により独立性の保障された機関や、端末装置４の製造者等が挙げられる。

本実施形態では、端末装置４に対してデータを提供するデータ提供者の一例として、サービス提供者２である場合について説明する。更に、端末装置４へ提供する端末装置４へロードするデータの一例としてプログラムである場合について説明する。

また、以下の説明において、公開鍵暗号化方式における対をなす暗号鍵を、公開鍵及びその公開鍵に対応した秘密鍵という。ある公開鍵を用いて暗号化されたデータは、その公開鍵に対応した秘密鍵を用いて復号化することが可能なものである。また、ある秘密鍵を用いて電子署名（以下、署名という）が付されたデータは、その秘密鍵に対応した公開鍵を用いて署名の検証を行うことが可能なものである。また、共通鍵暗号化方式における暗号鍵を共通鍵という。ある共通鍵を用いて暗号化されたデータは、その共通鍵を用いて復号化することが可能なものである。

以下、本実施形態のデータロード方法について説明する。まず、第三者機関３は、公開鍵ＰＫ３と、公開鍵ＰＫ３に対応した秘密鍵ＳＫ３とを生成する（ステップＳ３０１）。そして、生成された秘密鍵ＳＫ３を端末装置４に転送し（ステップＳ３０２）、公開鍵ＰＫ３をサービス提供者２に公開する（ステップＳ３０３）。

サービス提供者２は、端末装置４にてサービスを提供するためのプログラムＰＧを生成する（ステップＳ２０１）。また、公開鍵ＰＫ２と、公開鍵ＰＫ２に対応した秘密鍵ＳＫ２を生成し（ステップＳ２０２）、生成された公開鍵ＰＫ２を端末管理者１に公開する（ステップＳ２０３）。

更に、サービス提供者２は、共通鍵ＣＫ４を生成する（ステップＳ２０４）。そして、生成された共通鍵ＣＫ４を、第三者機関３によりステップＳ３０３にて公開された公開鍵ＰＫ３を用いて暗号化して、暗号化共通鍵ＣＫ４［Ｅ３］を生成する（ステップＳ２０５）。その後、暗号化共通鍵ＣＫ４［Ｅ３］を端末管理者１に引き渡す（ステップＳ２０６）。

また、プログラムＰＧを共通鍵ＣＫ４を用いて暗号化して、暗号化プログラムＰＧ［Ｅ４］を生成する（ステップＳ２０７）。そして、暗号化プログラムＰＧ［Ｅ４］に、署名ＳＧ２を、秘密鍵ＳＫ２を用いて付す（ステップＳ２０８）。その後、署名ＳＧ２が付された暗号化プログラムＰＧ［Ｅ４］を端末管理者１に引き渡す（ステップＳ２０９）。

端末管理者１は、公開鍵ＰＫ１と、公開鍵ＰＫ１に対応した秘密鍵ＳＫ１とを生成し（ステップＳ１０１）、公開鍵ＰＫ１を端末装置４に転送する（ステップＳ１０２）。そして、サービス提供者によりステップＳ２０３にて公開された公開鍵ＰＫ２に、署名ＳＧ１を、秘密鍵ＳＫ１を用いて付す（ステップＳ１０３）。その後、署名ＳＧ１が付された公開鍵ＰＫ２を端末装置４に転送する（ステップＳ１０４）。

また、サービス提供者２によりステップＳ２０６及びステップＳ２０９にてそれぞれ引き渡された、暗号化共通鍵ＣＫ４［Ｅ３］と、署名ＳＧ２が付された暗号化プログラムＰＧ［Ｅ４］とを、端末装置４に転送する（ステップＳ１０５，Ｓ１０６）。

端末装置４は、第三者機関３からステップＳ３０２にて転送された秘密鍵ＳＫ３を取得して実装し（ステップＳ４０１）、端末管理者１からステップＳ１０２にて転送された公開鍵ＰＫ１を取得して実装する（ステップＳ４０２）。そして、端末管理者１からステップＳ１０４にて転送された、署名ＳＧ１が付された公開鍵ＰＫ２を取得すると、ステップＳ４０２にて実装した公開鍵ＰＫ１を用いて署名ＳＧ１を検証する（ステップＳ４０３）。そして、検証結果、署名ＳＧ１の有効性を確認されると、公開鍵ＰＫ２を実装する（ステップＳ４０４）。

また、端末装置４は、端末管理者１からステップＳ１０５にて転送された暗号化共通鍵ＣＫ４［Ｅ３］を取得すると、ステップＳ４０１にて実装した秘密鍵ＳＫ３を用いて復号し（ステップＳ４０５）、取得した共通鍵ＣＫ４を実装する（ステップＳ４０６）。

そして、端末管理者１からステップＳ１０６にて転送された、署名ＳＧ２が付された暗号化プログラムＰＧ［Ｅ４］を取得すると、ステップＳ４０４にて実装した公開鍵ＰＫ２で、署名ＳＧ２を検証する（ステップＳ４０７）。この検証の結果、署名ＳＧ２の有効性が確認されると、暗号化プログラムＰＧ［Ｅ４］を取得し（ステップＳ４０８）、ステップＳ４０６にて実装した共通鍵ＣＫ４を用いて復号化する（ステップＳ４０９）。

端末装置４は、ステップＳ４０９にて復号化されたプログラムＰＧを、ロード用のプログラムを用いてロードする（ステップＳ４１０）。このようにして、端末装置４へのプログラムＰＧのロードが完了する。

このような本実施形態のデータロード方法によれば、端末管理者１やサービス提供者２とは異なる第三者機関３により生成された公開鍵ＰＫ３を用いて、サービス提供者２により提供される暗号化プログラムＰＧ［Ｅ４］を復号化するための共通鍵ＣＫ４を暗号化するので、端末管理者１等、サービス提供者２とは異なる者がプログラムＰＧのロード作業を行ったとしても、プログラムＰＧの解析等、プログラムＰＧの内容が外部に漏洩することを防止することができる。

また、サービス提供者２により暗号化プログラムＰＧ［Ｅ４］に付された署名ＳＧ２を、端末管理者１により署名ＳＧ１が付された公開鍵ＰＧ２を用いて検証することにより、ロードするプログラムＰＧの完全性をサービス提供者自身で保証することができる。

図３は本発明の実施形態に係るデータロードシステムの一例を示すブロック図である。図３に示すように、この例では、端末装置を管理する端末管理者１の一例としての自動販売機会社１ａと、サービス提供者の例としての決済提供者２ａ，２ｂと、第三者機関３とが存在する。自動販売機会社１ａは管理サーバ１０を、決済提供者２ａ，２ｂはそれぞれ管理サーバ２０ａ，２０ｂを、第三者機関３は管理サーバ３０を有し、自動販売機４０を介して行われるサービスの一例として決済サービスが行われる。また、管理サーバ１０，２０ａ，２０ｂ，３０及び自動販売機４０は、通信回線５０を介して互いに接続されている。なお、図３の例では、端末装置４の一例として、自動販売機４０を用いて説明しているが、ＰＯＳ（Point Of Sales）端末や電子マネーを用いた決済端末、クレジットカードによる決済端末等、種々の端末装置が適用可能である。例えば、スーパーマーケットのＰＯＳ端末に適用した場合は、図３の自動販売機会社１ａがスーパーマーケットの販売、管理を行うサーバがあるセンター、決済提供者２ａがクレジット会社等、自動販売機４０が各レジに設置されるＰＯＳ端末に相当する。同様に、航空会社のポイントサービス等のように、ポイントを商品、金銭に交換するシステムの場合は、図３の自動販売機会社１ａが航空会社ポイントセンター、自動販売機４０が航空会社カウンターの端末あるいは自動発券装置、決済提供者２ａがポイント処理センター、決済提供者２ｂがクレジット会社に相当する。

管理サーバ１０は、データ入出力部１１と、鍵管理部１２と、データ管理部１３と、制御部１４とを備える。データ入出力部１１は、通信回線５０や、自動販売機４０、外部記憶媒体等に対してデータ通信との入出力が可能な構成を有している。

鍵管理部１２は、公開鍵ＰＫ１及び公開鍵ＰＫ１に対応する秘密鍵ＳＫ１を管理する。なお、これらの公開鍵ＰＫ１及び秘密鍵ＳＫ１は、鍵管理部１２により生成されたものであってもよいし、外部で生成されたものがデータ入出力部１１を介して取得したものであってもよい。

データ管理部１３は、決済提供者２ａの管理サーバ２０ａから取得した公開鍵ＰＫ２Ａに、制御部１４にて秘密鍵ＳＫ１を用いて署名ＳＧ１Ａが付されたものや、署名ＳＧ２Ａが付された暗号化プログラムＰＧＡ［Ｅ４Ａ］、暗号化共通鍵ＣＫ４Ａ［Ｅ３］を管理する。また、決済提供者２ｂの管理サーバ２０ｂから取得した公開鍵ＰＫ２Ｂに、制御部１４にて秘密鍵ＳＫ１を用いて署名ＳＧ１Ｂが付されたものや、署名ＳＧ２Ｂが付された暗号化プログラムＰＧＢ［Ｅ４Ｂ］、暗号化共通鍵ＣＫ４Ｂ［Ｅ３］を管理する。

制御部１４は、管理サーバ１０全体の動作を制御するものであり、所定のプログラムによって動作するプロセッサを主体に構成される。例えば、決済提供者２ａ，２ｂ等からデータ入出力部１１を介して取得したデータを鍵管理部１２やデータ管理部１３に管理したり、秘密鍵ＳＫ１を用いたデータの署名付与の処理を行ったりする。

管理サーバ２０ａは、データ入出力部２１ａと、鍵管理部２２ａと、データ管理部２３ａと、制御部２４ａとを備える。データ入出力部２１ａは、通信回線５０や外部記憶媒体等に対してデータ通信との入出力が可能な構成を有している。

鍵管理部２２ａは、公開鍵ＰＫ２Ａ及び公開鍵ＰＫ２Ａに対応する秘密鍵ＳＫ２Ａ、並びに共通鍵ＣＫ４Ａを管理する。なお、これらの公開鍵ＰＫ２Ａ及び秘密鍵ＳＫ２Ａ、並びに共通鍵ＣＫ４Ａは、鍵管理部２２ａにより生成されたものであってもよいし、外部で生成されたものがデータ入出力部２１ａを介して取得したものであってもよい。また、第三者機関３の管理サーバ３０から取得した公開鍵ＰＫ３を管理する。

データ管理部２３ａは、プログラムＰＧＡが共通鍵ＣＫ４Ａを用いて暗号化された暗号化プログラムＰＧＡ［Ｅ４Ａ］に、秘密鍵ＳＫ２Ａを用いて署名ＳＧ２Ａが付されたものを管理する。なお、プログラムＰＧＡは、管理サーバ２０ａにおいて生成されたものであってもよいし、外部で生成されたものがデータ入出力部２１ａを介して取得したものであってもよい。

制御部２４ａは、管理サーバ２０ａ全体の動作を制御するものであり、所定のプログラムによって動作するプロセッサを主体に構成される。例えば、第三者機関３等からデータ入出力部１１を介して取得した公開鍵ＰＫ３等のデータを鍵管理部２２ａやデータ管理部２３ａに管理したり、共通鍵ＣＫ４Ａや公開鍵ＰＫ３を用いたデータの暗号化処理や、秘密鍵ＳＫ２Ａを用いたデータの署名付与の処理を行ったりする。

管理サーバ２０ｂは、データ入出力部２１ｂと、鍵管理部２２ｂと、データ管理部２３ｂと、制御部２４ｂとを備える。データ入出力部２１ｂは、通信回線５０や外部記憶媒体等に対してデータ通信との入出力が可能な構成を有している。

鍵管理部２２ｂは、公開鍵ＰＫ２Ｂ及び公開鍵ＰＫ２Ｂに対応する秘密鍵ＳＫ２Ｂ、並びに共通鍵ＣＫ４Ｂを管理する。なお、これらの公開鍵ＰＫ２Ｂ及び秘密鍵ＳＫ２Ｂ、並びに共通鍵ＣＫ４Ｂは、鍵管理部２２ｂにより生成されたものであってもよいし、外部で生成されたものがデータ入出力部２１ｂを介して取得したものであってもよい。また、第三者機関３の管理サーバ３０から取得した公開鍵ＰＫ３を管理する。

データ管理部２３ｂは、プログラムＰＧＢが共通鍵ＣＫ４Ｂを用いて暗号化された暗号化プログラムＰＧＢ［Ｅ４Ｂ］に、秘密鍵ＳＫ２Ｂを用いて署名ＳＧ２Ｂが付されたものを管理する。なお、プログラムＰＧＢは、管理サーバ２０ｂにおいて生成されたものであってもよいし、外部で生成されたものがデータ入出力部２１ｂを介して取得したものであってもよい。

制御部２４ｂは、管理サーバ２０ｂ全体の動作を制御するものであり、所定のプログラムによって動作するプロセッサを主体に構成される。例えば、第三者機関３等からデータ入出力部２１ｂを介して取得した公開鍵ＰＫ３等のデータを鍵管理部２２ｂやデータ管理部２３ｂに管理したり、共通鍵ＣＫ４Ｂや公開鍵ＰＫ３を用いたデータの暗号化処理や、秘密鍵ＳＫ２Ｂを用いたデータの署名付与の処理を行ったりする。

管理サーバ３０は、データ入出力部３１と、鍵管理部３２と、制御部３３とを備える。データ入出力部３１は、通信回線５０や外部記憶媒体等に対してデータ通信との入出力が可能な構成を有している。

鍵管理部３２は、公開鍵ＰＫ３及び公開鍵ＰＫ３に対応する秘密鍵ＳＫ３を管理する。なお、これらの公開鍵ＰＫ３及び秘密鍵ＳＫ３は、鍵管理部３２により生成されたものであってもよいし、外部で生成されたものがデータ入出力部３１を介して取得したものであってもよい。

制御部３３は、管理サーバ３０全体の動作を制御するものであり、所定のプログラムによって動作するプロセッサを主体に構成される。例えば、データ入出力部３１を介して、自動販売機４０等に対して秘密鍵ＳＫ３を出力したり、通信網５０を介して決済提供者２ａ，２ｂに公開鍵ＰＫ３を公開したりする。

自動販売機４０は、非接触ＩＣリーダ／ライタ（以下、非接触ＩＣＲ／Ｗという）４１と、データ入出力部４２と、鍵管理部４３と、アプリケーション管理部（以下、ＡＰ管理部という）４４と、制御部４５とを備える。

非接触ＩＣＲ／Ｗ４１は、電子マネー等が記憶された非接触ＩＣカードに対して非接触通信によりデータ通信を行う。例えば、例えば、電子マネー決済を行うための非接触ＩＣカードからのデータの読み出し等を行うものである。なお、非接触ＩＣＲ／Ｗ４１に限られず、磁気カード等、決済処理用のインターフェースの一例であれば、他のインターフェースであってもよい。

データ入出力部４２は、通信回線５０や、管理サーバ１０、携帯型電子装置７０、外部記憶媒体等に対してデータ通信との入出力が可能な構成を有している。

鍵管理部４３は、管理サーバ１０から取得した公開鍵ＰＫ１、管理サーバ２０ａ，２０ｂから取得した公開鍵ＰＫ２Ａ，ＰＫ２Ｂ、及び管理サーバ３０から取得した秘密鍵ＳＫ３を管理する。なお、公開鍵ＰＫ２Ａ及びＰＫ２Ｂは、管理サーバ１０からの署名ＳＧ１が付されたものが制御部４５により検証が行われて取得される。

ＡＰ管理部４４は、取得したプログラムをロードするためのロードプログラムＬＰＧや、管理サーバ２０ａ，２０ｂから取得したプログラムＰＧ２Ａ，ＰＧ２Ｂを管理する。

制御部４５は、自動販売機４０全体の動作を制御するものであり、所定のプログラムによって動作するプロセッサを主体に構成される。例えば、管理サーバ１０からデータ入出力部１１を介して取得したデータの復号化処理や署名の検証処理を行い、鍵管理部１２やデータ管理部１３に管理する。また、ＡＰ管理部４４により管理されているプログラムＰＧ２Ａ，ＰＧ２Ｂ等により、非接触ＩＣＲ／Ｗ４１を介した非接触ＩＣカードを用いた決済処理等を行う。

なお、第三者機関３から自動販売機４０への秘密鍵ＳＫ３のロードは、例えば、自動販売機４０での製造後に第三者機関３において秘密鍵ＳＫ３をロードし、端末管理者１に秘密鍵ＳＫ３がロードされた自動販売機４０を引き渡す等、管理サーバ３０のデータ入出力部３３から自動販売機４０のデータ入出力部４２が直接接続することで行われることが好ましい。また、第三者機関３において、外部からのデータ解析を受けにくいセキュアなＬＳＩ６０に秘密鍵ＳＫ３のデータを読み込み、自動販売機４０に実装してもよい。

また、自動販売機４０へのデータのロードは、自動販売機会社１ａにおいて、データ入出力部１１及びデータ入出力部４２を直接接続することにより行われてもよいし、自動販売機４０を所定の設置場所に設置後、通信回線５０を介したり、不図示の可搬型の記憶媒体等を用いて行われてもよい。

更に、自動販売機４０へのデータのロードは、管理サーバ１０を介さずに、決済提供者２ａ，２ｂから、通信回線５０や、暗号化共通ＣＫ４Ｂ［Ｅ３］や署名ＳＧ２Ｂが付された暗号化プログラムＰＧＢ［Ｅ４Ｂ］（管理サーバ２０ｂから取得した場合）を記憶した記憶部７１を有する携帯型電子装置７０を用いて、行うことも可能である。なお、携帯型電子装置７０は、少なくとも記憶機能を有していればよく、メモリカード等の記憶媒体でもよい。

このような本発明の実施形態によれば、データ提供者により提供されたデータの完全性と秘匿性を保証することができる。これにより、端末管理者等の、データ提供者とは異なる者がデータのロードや更新等を行うことができる。また、データ提供者によるロードも可能であるので、端末装置の運用方法の幅を広げることができる。

また、プログラム等のデータのロードと同時に、暗号鍵などの秘密情報を全て書き込めるので、簡素な手続きにより運用開始に至るまで作業を行うことができる。これにより、暗号鍵等の秘密情報の書き込みをプログラムロードとは別の手続きで行って安全性を確保する方法より安全で簡単にプログラムをロードすることができる。つまり、端末管理者がプログラム等のデータの転送作業を行うことで、サービスの運用を開始することができるので、例えば、端末管理者によるプログラムのロード後に、ロードしたプログラムを用いた実際のサービス運用のためのデータ提供者による認証等を行うといった作業が不要である。

本発明のデータロード方法、プログラム及び端末装置は、データ提供者以外の者がロードする場合にも、データ提供者からのデータ内容の漏洩防止や完全性の保証をすることが可能な効果を有し、決済端末装置へのプログラムロード方法等に有用である。

本発明の実施形態に係るデータロード方法の概略を示す説明図 本発明の実施形態に係るデータロード方法の手順を示すシーケンス図 本発明の実施形態に係るデータロードシステムの一例を示すブロック図

符号の説明

１ 端末管理者
１ａ 自動販売機会社
２ サービス提供者
２ａ，２ｂ 決済提供者
３ 第三者機関
４ 端末装置
１０，２０ａ，２０ｂ，３０ 管理サーバ
１１，２１ａ，２１ｂ，３１，４２ データ入出力部
１２，２２ａ，２２ｂ，３２，４３ 鍵管理部
１３，２３ａ，２３ｂ データ管理部
１４，２４ａ，２４ｂ，３３，４５ 制御部
４０ 自動販売機
４１ 非接触ＩＣリーダ／ライタ
４４ アプリケーション管理部
５０ 通信網
６０ ＬＳＩ
７０ 携帯型電子装置
７１ 記憶部

Claims (6)

1. 第一の公開鍵を取得するステップと、
   前記第一の公開鍵に対応した第一の秘密鍵による第一の署名が付された第二の公開鍵を取得するステップと、
   前記第一の署名を前記第一の公開鍵を用いて検証し、前記第二の公開鍵を取得するステップと、
   第三の秘密鍵を取得するステップと、
   前記第三の秘密鍵に対応した第三の公開鍵により暗号化された第四の暗号鍵を取得するステップと、
   前記暗号化された第四の暗号鍵を、前記第三の秘密鍵を用いて復号化するステップと、
   前記第二の公開鍵に対応した第二の秘密鍵による第二の署名が付された、前記第四の暗号鍵を用いて暗号化された暗号化データを取得するステップと、
   前記第二の署名を前記第二の公開鍵を用いて検証し、前記暗号化データを取得するステップと、
   前記暗号化データを前記第四の暗号鍵を用いて復号化するステップと
   を有するデータロード方法。
2. 請求項１に記載のデータロード方法であって、
   前記第一の公開鍵、前記第一の署名が付された第二の公開鍵は前記データをロードする端末装置の管理者から提供され、前記第三の公開鍵で暗号化された第四の暗号鍵及び前記第二の署名が付された前記第四の鍵で暗号化された暗号化データは前記データの提供者から提供され、前記第三の秘密鍵は第三者から提供されるデータロード方法。
3. 請求項１又は２に記載のデータロード方法であって、
   前記ロードされるデータが、決済プログラムであるデータロード方法。
4. 請求項１ないし３のいずれか一項に記載のデータロード方法の各ステップを実行するデータロードプログラム。
5. 請求項４に記載のデータロードプログラムを実行する端末装置。
6. 請求項３に記載のデータロード方法及び請求項３に記載された方法によりロードされた決済プログラムを実行する端末装置。

Images