JP2008097652A - Security management method for card-type storage device, the card-type storage device and transaction device for the card-type storage device - Google Patents
Security management method for card-type storage device, the card-type storage device and transaction device for the card-type storage device Download PDFInfo
- Publication number
- JP2008097652A JP2008097652A JP2007339871A JP2007339871A JP2008097652A JP 2008097652 A JP2008097652 A JP 2008097652A JP 2007339871 A JP2007339871 A JP 2007339871A JP 2007339871 A JP2007339871 A JP 2007339871A JP 2008097652 A JP2008097652 A JP 2008097652A
- Authority
- JP
- Japan
- Prior art keywords
- card
- unique identifier
- transaction
- type storage
- storage device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Storage Device Security (AREA)
Abstract
Description
本発明は、キャッシュレスカード，ＩＤカード，健康カード，自治体カード等として用いられる例えばＩＣカードのようなカード型記憶装置に適用されるもので、特に、カード型記憶装置に対するファイルアクセス時のセキュリティを管理・強化する方法と、その方法を実現するためのカード型記憶装置および取引装置とに関する。 The present invention is applied to a card-type storage device such as an IC card used as a cashless card, an ID card, a health card, a municipality card, and the like. In particular, security at the time of file access to the card-type storage device is improved. The present invention relates to a management / enhancement method, and a card-type storage device and transaction device for realizing the method.
近年、テレフォンカード等のプリペイドカードの偽造に代表されるようにカードの偽造犯罪やカードデータの捏造犯罪は増加する傾向にあり、カード単体に対しても、また、そのカードを用いるシステムにおいても、より高度で、より複雑なセキュリティ機能が要求されている。 In recent years, as represented by counterfeiting of prepaid cards such as telephone cards, counterfeit crimes of cards and counterfeit crimes of card data have been increasing, both for single cards and in systems using such cards, More sophisticated and more complex security functions are required.
特に、今後、普及が見込まれるＩＣカードなどのカード型記憶装置（以下、カード型記憶媒体と呼ぶ場合がある）では、その内部に磁気カードの１００倍以上のデータを保持しているため、情報漏洩や偽造・捏造を防止すべく、カード型記憶媒体単体に対しても、そのカード型記憶媒体を用いるシステムにおいても、セキュリティについて配慮することは極めて重要になっている。 In particular, a card-type storage device such as an IC card (hereinafter sometimes referred to as a card-type storage medium) that is expected to be widely used in the future holds data that is 100 times or more that of a magnetic card. In order to prevent leakage, forgery, and forgery, it is extremely important to consider security for both a single card-type storage medium and a system using the card-type storage medium.
一般に、図１４，図１５に示すように、ＩＣカード（カード型記憶媒体）１００は、マイクロプロセッサユニット（ＭＰＵ）１０１とメモリ（ファイル領域；例えばＥＰＲＯＭ／ＥＥＰＲＯＭ）１０２とを内蔵され、端子部１０３を介して図示しない取引装置（外部装置）に接続されるようになっている。
In general, as shown in FIGS. 14 and 15, an IC card (card type storage medium) 100 includes a microprocessor unit (MPU) 101 and a memory (file area; for example, EPROM / EEPROM) 102, and a
ここで、メモリ１０２には、データファイルを保持するデータ領域と、このデータ領域のデータファイルについての制御情報（ポインタ等）を保持するディレクトリ領域とがそなえられ、ＭＰＵ１０１により、ディレクトリ領域における制御情報に基づいてメモリ１０２のデータ領域におけるデータファイルが管理される。
Here, the
例えば、ＭＰＵ１０１は、外部の取引装置から端子部１０３を介してアクセスコマンドを受けると、そのアクセスコマンドに応じてメモリ１０２に対する読出処理（リードアクセス），書込処理（ライトアクセス），消去処理（イレーズアクセス），再書込処理（リライトアクセス）等を実行する。
なお、ＭＰＵ１０１内には、制御動作を行なうためのプログラムを保持するＲＯＭ１０１Ａのほか、制御動作を行なう際のワークエリアとして用いられるＲＡＭ１０１Ｂがそなえられている。また、ＩＳＯ型のＩＣカード１００の場合、その端子部１０３には、８個の接点（VCC,RST,CLS,RFU,GND,VPP,I/O,RFU)がそなえられている。
For example, when the MPU 101 receives an access command from an external transaction apparatus via the
The MPU 101 is provided with a
ところで、このようなＩＣカード１００においては、メモリ１０２に磁気カードの１００倍以上のデータが保持されており、そのデータの漏洩やそのデータに対する偽造・捏造を防止するために、一般に、アクセス資格（アプリケーションの資格）と、そのアクセス資格に対応したアクセス権とによりセキュリティチェックが行なわれている。
By the way, in such an
例えば、ＩＣカード１００のメモリ１０２に、アクセス資格およびアクセス権がセキュリティ基本情報として予め保持されている。アクセス資格は、例えば、カード発行者，カード所持者，アプリケーション提供者，サービス実行者，サービス提供者等で、外部の取引装置（アプリケーション）からＩＣカード１００に対してアクセスコマンドを発する者の資格を確認するためのものである。また、アクセス権（リード権，ライト権等）は、メモリ１０２に保持されるデータファイル毎に前記アクセス資格に応じて設定されるもので、各アクセス資格を有する者が各データファイルに対して行なうことのできるアクセス処理を規定している。
For example, the access qualification and the access right are held in advance in the
そして、図１６に示すように、ＩＣカード１００のメモリ１０２に格納されるデータファイルに対して、外部の取引装置（アプリケーションＡ）１１０からアクセスする際には、まず、セレクトコマンド（Select）により、ＩＣカード１００のメモリ１０２のデータファイルのうちアクセス対象となるデータファイルの選択・確定を行なってから、ベリファイコマンド（Verify）により、このデータファイルにアクセスするためのアクセス資格の認証を行なう。この認証処理は、取引装置１１０から送られる認証コードに基づいて行なわれる。この後、取引装置１１０からアクセスコマンド（Read Record/Write Record）を受けると、そのアクセスコマンドが、認証されたアクセス資格に対しアクセス権として予め許可されているアクセス種（読出，書込等）であるか否かの確認を行なっている。
Then, as shown in FIG. 16, when accessing the data file stored in the
上述のようなアクセス資格およびアクセス権によるセキュリティチェックについて、図１７を参照しながら、より具体的に説明する。ここで、図１７に示すように、ＩＣカード１００に、メモリ１０２内のあるデータファイルに対するリード権（アクセス権）として、サービス提供者，カード発行者，サービス実行者，カード所持者のそれぞれに“ＯＫ”，“ＯＫ”，“ＮＧ”，“ＮＧ”が設定されているものとする。つまり、サービス提供者，カード発行者については当該データファイルに対するリード処理を行なうことができる。
The security check based on the access qualification and access right as described above will be described more specifically with reference to FIG. Here, as shown in FIG. 17, the
このようなリード権の設定状態で、図１７に示すように、サービス提供者のアクセス資格で動作するアプリケーションがリードコマンド（READ）を発行した場合、ＩＣカード１００において当該データファイルに対応するリードのアクセス権は、サービス提供者について“ＯＫ”と設定されているので、当該データファイルへのリードアクセスが許可されることになる。
In such a read right setting state, as shown in FIG. 17, when an application operating with the access qualification of the service provider issues a read command (READ), the read of the read corresponding to the data file in the
一方、図１７に示すように、サービス実行者のアクセス資格で動作するアプリケーションがリードコマンドを発行した場合、当該データファイルに対応するリードのアクセス権は、サービス実行者について“ＮＧ”と設定されているので、当該データファイルへのリードアクセスはリジェクトされることになる。このような形で、ファイルアクセス時のセキュリティが確保されている。 On the other hand, as shown in FIG. 17, when an application operating with the access qualification of the service executor issues a read command, the read access right corresponding to the data file is set to “NG” for the service executor. Therefore, read access to the data file is rejected. In this way, security is ensured when accessing the file.
上述したように、従来のＩＣカード（カード型記憶媒体）においては、その内部のデータファイルにアクセスする際のセキュリティを、アクセス資格とアクセス権との２点で確保しているが、これらのアクセス資格とアクセス権との関係の情報が外部に漏洩した場合、不正なアプリケーションは、容易にＩＣカード内のデータに対してアクセスすることが可能である。このため、万一、アクセス資格とアクセス権との関係の情報が外部に漏洩した場合や、不当にアクセス資格およびアクセス権の情報を入手された場合にも、不正なアプリケーションからのアクセスを防止できるようにして、ＩＣカードのファイルアクセス時のセキュリティ機能をより高めることが望まれている。 As described above, in the conventional IC card (card type storage medium), the security when accessing the internal data file is secured by two points of access qualification and access right. When information on the relationship between the qualification and the access right is leaked to the outside, an unauthorized application can easily access the data in the IC card. For this reason, in the unlikely event that information on the relationship between access qualifications and access rights is leaked to the outside, or access credential and access rights information is obtained illegally, access from unauthorized applications can be prevented. Thus, it is desired to further improve the security function when accessing the file of the IC card.
ところで、通常のＩＣカードシステムでは、ＩＣカードとアプリケーションとの取引時の対応関係が１対１であるが、ユーザニーズが益々多様化し高度化していくに伴い、１枚のＩＣカードを複数のアプリケーションが同時に使用するシステム形態も出現してきている。このようなシステムでは、現在のＩＣカードが有しているセキュリティ機能では不充分であり、ＩＣカード内でアプリケーションを管理し、複数アプリケーションの同時アクセスを考慮したセキュリティ機能が必要になってくる。 By the way, in a normal IC card system, there is a one-to-one correspondence between an IC card and an application at the time of transaction. However, as user needs become more diversified and sophisticated, a single IC card can be connected to multiple applications. System forms that are used simultaneously are also emerging. In such a system, the security function of the current IC card is insufficient, and a security function that manages applications in the IC card and considers simultaneous access of a plurality of applications becomes necessary.
つまり、図１６により説明したように、従来のコマンド処理においては各コマンドが同一のアプリケーション（図１６ではアプリケーションＡ）から発行されることを前提としているため、また、アクセス資格およびアクセス権によるセキュリティチェックしか行なっていないため、コマンドを発行したアプリケーションを特定することができない。 That is, as described with reference to FIG. 16, the conventional command processing is based on the premise that each command is issued from the same application (application A in FIG. 16), and security check based on access qualification and access right. However, the application that issued the command cannot be specified.
従って、１枚のＩＣカードに対して複数のアプリケーションが同時にアクセス可能なシステムにおいては、図１８に示すように、アプリケーションＡからのセレクトコマンドおよびベリファイコマンドによりアクセス対象のデータファイルの選択／確定およびアクセス資格の認証を行なった後に、他のアプリケーションＢから当該データファイルに対してアクセスコマンドが発行されると、従来のＩＣカード１００内におけるコマンド処理では同一のアプリケーションからのアクセスコマンドと見なして当該アクセスコマンドを受け付けてしまうので、アプリケーションＢが当該データファイルに対してアクセス可能になり、不正なアクセスが行なわれるおそれがある。
Therefore, in a system in which a plurality of applications can simultaneously access one IC card, as shown in FIG. 18, selection / confirmation and access of a data file to be accessed by a select command and a verify command from application A When an access command is issued to the data file from another application B after qualification is authenticated, the access command is regarded as an access command from the same application in the command processing in the
上述した従来のＩＣカードについてのセキュリティ機能上の課題は、以下の２点にまとめることができる。
（ａ）現状のセキュリティ機能では、不正なアプリケーションがセキュリティ情報（アクセス資格，アクセス権）を不当に入手した場合、データファイルへの不当なアクセスが可能になってしまう。
The above-described problems regarding the security function of the conventional IC card can be summarized in the following two points.
(A) With the current security function, when an unauthorized application illegally obtains security information (access qualification, access right), unauthorized access to the data file becomes possible.
（ｂ）１枚のＩＣカードに対して複数のアプリケーションが同時にアクセス可能なシステムでは、アクセス対象のデータファイルの確定処理後に、別のアプリケーションがそのデータファイルへの不当なアクセスを試みた場合、その不当なアクセスが可能になってしまう。
本発明は、このような課題に鑑み創案されたもので、１回の取引毎のセキュリティ管理を行ないファイルアクセス時のセキュリティ強度の向上をはかるとともに、コマンドを発行したアプリケーションを特定可能にして一つのデータファイルに対し別々のアプリケーションからアクセス処理が行なわれるのを防止した、カード型記憶装置用セキュリティ管理方法，カード型記憶装置およびカード型記憶装置用取引装置を提供することを目的とする。
(B) In a system in which a plurality of applications can access a single IC card at the same time, if another application tries to access the data file illegally after the process of determining the data file to be accessed, Unauthorized access will be possible.
The present invention has been devised in view of such a problem, and performs security management for each transaction to improve the security strength at the time of file access, and can identify the application that issued the command. An object of the present invention is to provide a security management method for a card-type storage device, a card-type storage device, and a transaction device for a card-type storage device, which prevent access processing from being performed on separate data files.
図１は本発明の関連技術の原理ブロック図で、この図１に示すカード型記憶装置（以下の説明および図中では、カード型記憶媒体という）１Ａは、記憶部２Ａおよび制御部３Ａをそなえて構成されている。記憶部２Ａは、データファイルを保持するデータ領域と、このデータ領域のデータファイルについての制御情報を保持するディレクトリ領域とを有している。また、制御部３Ａは、記憶部２Ａのディレクトリ領域における制御情報に基づいて記憶部２Ａのデータ領域におけるデータファイルを管理するものである。
FIG. 1 is a block diagram showing the principle of the related art of the present invention. A card type storage device (referred to as a card type storage medium in the following description and drawings) 1A shown in FIG. 1 includes a
そして、本発明の関連技術では、記憶部２Ａのディレクトリ領域に、データファイルに対する１取引当たりのアクセス許容回数（１回の正当な取引で発生すると考えられるアクセスの回数）が予め設定されるほか、制御部３Ａに、計数手段４Ａ，比較手段５Ａおよびエラー判断手段６Ａがそなえられ、１回の取引毎のアクセス回数をチェックする構成になっている。
ここで、計数手段４Ａは、図示しない外部装置（取引装置）との間で取引が開始されると、その取引開始後にその取引のために該取引装置から該データファイルに対して発行されたアクセスコマンドによるアクセス回数を計数するものであり、比較手段（第１比較手段）５Ａは、計数手段４Ａにより計数されたアクセス回数と記憶部２Ａのディレクトリ領域に予め設定されたアクセス許容回数とを比較するものであり、エラー判断手段６Ａは、比較手段５Ａによる比較の結果、アクセス回数がアクセス許容回数を超えた場合にエラーが発生したものと判断し、その取引を中断させるものである。
In the related technology of the present invention, in the directory area of the
Here, when a transaction is started with an external device (transaction device) (not shown), the counting means 4A accesses the data file issued from the transaction device for the transaction after the transaction starts. The comparison means (first comparison means) 5A compares the number of accesses counted by the counting means 4A with the access permitted number preset in the directory area of the
図２は本発明の関連技術の原理ブロック図で、この図２に示すカード型記憶媒体１Ｂも、図１に示したものと同様の機能をもつ記憶部２Ｂおよび制御部３Ｂをそなえて構成されているが、ここでは、記憶部２Ｂのディレクトリ領域に、データファイルに対する１取引当たりのアクセス許容時間（１回の正当な取引処理に要する時間）が予め設定されるほか、制御部３Ｂに、計時手段４Ｂ，比較手段５Ｂおよびエラー判断手段６Ｂがそなえられ、アクセス回数に代えて１回の取引毎にアクセス時間をチェックする構成になっている。
FIG. 2 is a principle block diagram of the related art of the present invention, and the card type storage medium 1B shown in FIG. 2 is also configured to include a
ここで、計時手段４Ｂは、図示しない外部装置（取引装置）との間で取引が開始されると、その取引開始後の経過時間をデータファイルに対するアクセス時間として計時するものであり、比較手段（第２比較手段）５Ｂは、計時手段４Ｂにより計時されたアクセス時間と記憶部２Ｂのディレクトリ領域に予め設定されたアクセス許容時間とを比較するものであり、エラー判断手段６Ｂは、比較手段５Ｂによる比較の結果、アクセス時間がアクセス許容時間を超えた場合にエラーが発生したものと判断し、その取引を中断させるものである。
Here, when the transaction is started with an external device (transaction device) (not shown), the time measuring means 4B measures the elapsed time after the transaction starts as the access time for the data file, and the comparison means ( (Second comparing means) 5B compares the access time counted by the time measuring means 4B with the access allowable time preset in the directory area of the
図３は本発明の関連技術の原理ブロック図で、この図３に示すカード型記憶媒体１Ｃも、図１に示したものと同様の記憶部２Ｃおよび制御部３Ｃをそなえて構成されているが、記憶部２Ｃのディレクトリ領域に、データファイルに対する１取引当たりのアクセス許容回数（１回の正当な取引で発生すると考えられるアクセスの回数）およびアクセス許容時間（１回の正当な取引処理に要する時間）が予め設定されるほか、制御部３Ｃには、前述したものと同様の機能をもつ計数手段４Ａ，計時手段４Ｂ，第１比較手段５Ａおよび第２比較手段５Ｂがそなえられるとともに、エラー判定手段６Ｃがそなえられ、１回の取引毎にアクセス回数およびアクセス時間の両方をチェックする構成になっている。
FIG. 3 is a block diagram showing the principle of the related technology of the present invention. The card-type storage medium 1C shown in FIG. 3 is also configured with a
ここで、エラー判定手段６Ｃは、第１比較手段５Ａによる比較の結果、アクセス回数がアクセス許容回数を超えた場合、もしくは、第２比較手段５Ｂによる比較の結果、アクセス時間がアクセス許容時間を超えた場合にエラーが発生したものと判断し、その取引を中断させるものである。
なお、データファイルが記憶部２Ａ，２Ｃに複数保持されている場合、アクセス許容回数を各データファイル毎に記憶部２Ａ，２Ｃのディレクトリ領域に予め設定しておき、計数手段４Ａが、各データファイル毎にアクセス回数を計数するように構成してもよいし、アクセス許容回数をデータファイルに対するアクセスの種類毎に記憶部２Ａ，２Ｃのディレクトリ領域に予め設定しておき、計数手段４Ａが、各アクセスの種類毎にアクセス回数を計数するように構成してもよい。
Here, the
When a plurality of data files are held in the
また、各制御部３Ａ〜３Ｃに、エラー判断手段６Ａ〜６Ｃによりエラーが発生したものと判断した場合に外部装置へエラー通知を行なうエラー通知手段をそなえてもよい。
さらに、各制御部３Ａ〜３Ｃに、エラーの発生回数を累積する累積手段と、この累積手段によるエラー発生回数の累積結果と記憶部２Ａ〜２Ｃのディレクトリ領域に予め設定したエラー発生許容回数とを比較するエラー発生回数比較手段と、このエラー発生回数比較手段による比較の結果、エラー発生回数がエラー発生許容回数を超えた場合に非活性化状態に切り換える非活性化手段とをそなえてもよい。このとき、エラー発生回数比較手段による比較の結果、エラー発生回数がエラー発生許容回数を超えた場合に、前記エラー通知手段が外部装置へエラー通知を行なうように構成してもよい。
Further, the
Further, each of the
図４は本発明の原理ブロック図で、この図４において、１１はカード型記憶媒体で、このカード型記憶媒体１１も、図１により前述したものと同様の機能をもつ記憶部１２および制御部１３をそなえて構成されている。また、２１は取引装置で、カード型記憶媒体１１に対してアクセスし、カード型記憶媒体１１との取引を実行するものである。
FIG. 4 is a block diagram showing the principle of the present invention. In FIG. 4, reference numeral 11 denotes a card-type storage medium. This card-type storage medium 11 also has a
そして、本発明において、カード型記憶媒体１１の制御部１３には、固有識別子生成手段１４，固有識別子通知手段１５，第１比較手段１６および第１判断手段１７がそなえられている。
ここで、固有識別子生成手段１４は、取引装置（外部装置）２１との間で取引が開始され、取引装置２１のアクセス対象のデータファイルが確定すると、カード型記憶媒体１１にアクセスを行なった取引装置２１を特定可能にするための固有識別子を生成するものであり、固有識別子通知手段１５は、固有識別子生成手段１４により生成された固有識別子を取引装置２１に通知するものである。
In the present invention, the
Here, the unique
また、第１比較手段１６は、取引装置２１からのアクセスコマンドに付与された固有識別子と、その取引のために固有識別子生成手段１４により生成した固有識別子とを比較するものであり、第１判断手段１７は、第１比較手段１６による比較の結果、これらの固有識別子が一致した場合に取引装置２１からのアクセスコマンドがその取引についてのものであると判断し、取引装置２１からのアクセスコマンドに応じた処理を実行するものである。
The first comparison means 16 compares the unique identifier given to the access command from the
一方、本発明の取引装置２１には、通知手段２２がそなえられている。この通知手段２２は、カード型記憶媒体１１におけるアクセス対象のデータファイルが確定しカード型記憶媒体１１にアクセスを行なった取引装置２１を特定可能にするための固有識別子をカード型記憶媒体１１から通知されると、その取引の終了時まで、固有識別子を付与したアクセスコマンドをカード型記憶媒体１１に通知するものである。
On the other hand, the
なお、カード型記憶媒体１１の制御部１３に、固有識別子生成手段１４によりその取引のために生成した固有識別子を第１暗号キーにより暗号化する暗号化手段をそなえ、固有識別子通知手段１５が、暗号化手段により暗号化して得られた暗号文固有識別子を取引装置２１に通知するように構成してもよい。この場合、取引装置２１に、暗号文固有識別子を第１暗号キーにより復号化する復号化手段をそなえる。
The
また、固有識別子通知手段１５が、暗号化手段により暗号化して得られた暗号文固有識別子とともに、暗号化前の平文固有識別子を取引装置２１に通知するように構成してもよい。この場合、取引装置２１に、復号化手段により復号化して得られた復号文固有識別子とカード型記憶媒体１１からの平文固有識別子とを比較する比較手段と、この比較手段による比較の結果、これらの固有識別子が一致する場合にカード型記憶媒体１１が正当なものであると判断し、カード型記憶媒体に対するアクセス処理を続行する判断手段とをそなえることができる。
In addition, the unique identifier notifying unit 15 may notify the
さらに、取引装置２１に、カード型記憶媒体１１からの固有識別子を第２暗号キーにより暗号化する暗号化手段をそなえ、通知手段２２が、暗号化手段により暗号化して得られた暗号文固有識別子をアクセスコマンドに付与してカード型記憶媒体１１に通知するように構成してもよい。この場合、カード型記憶媒体１１の制御部１３に、暗号文固有識別子を第２暗号キーにより復号化する復号化手段をそなえ、第１比較手段１６が、復号化手段により復号化して得られた復号文固有識別子と、固有識別子生成手段１４によりその取引のために生成した固有識別子との比較を行なうように構成する。
Further, the
そして、取引装置２１の通知手段２２は、暗号化手段により暗号化して得られた暗号文固有識別子とともに、暗号化前の平文固有識別子をカード型記憶媒体１１に通知してもよく、この場合、カード型記憶媒体１１の制御部１３に、復号化手段により復号化して得られた復号文固有識別子と外部装置からの平文固有識別子とを比較する第２比較手段と、この第２比較手段による比較の結果、これらの固有識別子が一致した場合に取引装置２１からのアクセスコマンドが正当なものであると判断し処理を続行する第２判断手段とをそなえることができる。
And the notification means 22 of the
またさらに、カード型記憶媒体１１の制御部１３に、第１比較手段１５もしくは第２比較手段による固有識別子の比較結果が不一致である場合に取引装置２１からのアクセスコマンドに対する応答としてエラー通知を行なうエラー通知手段をそなえてもよい。
Furthermore, an error notification is sent to the
図１により上述した本発明の関連技術としてのカード型記憶媒体１Ａでは、取引装置（外部装置）との間で取引が開始されると、その取引開始以降、計数手段４Ａにより、取引装置からデータファイルに対するアクセス回数が計数され、比較手段５Ａにより、そのアクセス回数と予め設定されているアクセス許容回数とが比較される。
In the card-
そして、比較手段５Ａによる比較の結果、アクセス回数がアクセス許容回数を超えた場合、エラー判断手段６Ａにより、エラーが発生したものと判断され、その取引が中断される。つまり、１回の取引毎のアクセス回数をチェックすることにより、カード型記憶媒体１Ａに対して必要回数以上のアクセスが行なわれたと判断した場合にその取引を中断させることができる。
Then, as a result of the comparison by the comparison means 5A, when the access count exceeds the access allowable count, the error determination means 6A determines that an error has occurred and the transaction is interrupted. That is, by checking the number of accesses for each transaction, the transaction can be interrupted when it is determined that the card-
また、図２により上述した本発明の関連技術としてのカード型記憶媒体１Ｂでは、前記アクセス回数に代えてアクセス時間をチェックするもので、取引装置（外部装置）との間で取引が開始されると、その取引開始以降、計時手段４Ｂにより、取引装置からデータファイルに対するアクセス時間が計時され、比較手段５Ｂにより、そのアクセス時間と予め設定されているアクセス許容時間とが比較される。 Further, in the card type storage medium 1B as the related technique of the present invention described above with reference to FIG. 2, the access time is checked instead of the number of accesses, and a transaction is started with a transaction device (external device). After the start of the transaction, the time measuring means 4B measures the access time from the transaction device to the data file, and the comparing means 5B compares the access time with the preset access allowable time.
そして、比較手段５Ｂによる比較の結果、アクセス時間がアクセス許容時間を超えた場合、エラー判断手段６Ｂにより、エラーが発生したものと判断され、その取引が中断される。つまり、１回の取引毎のアクセス時間をチェックすることにより、カード型記憶媒体１Ｂに対して必要時間以上に亘って取引が行なわれていると判断した場合にその取引を中断させることができる。
If the access time exceeds the allowable access time as a result of the comparison by the
さらに、図３により上述した本発明の関連技術としてのカード型記憶媒体１Ｃでは、アクセス回数およびアクセス時間の両方をチェックするもので、取引装置（外部装置）との間で取引が開始されると、その取引開始以降、計数手段４Ａにより取引装置からデータファイルに対するアクセス回数が計数されるとともに、計時手段４Ｂにより取引装置からデータファイルに対するアクセス時間が計時される。 Furthermore, in the card-type storage medium 1C as the related technique of the present invention described above with reference to FIG. 3, both the number of accesses and the access time are checked, and when a transaction is started with a transaction device (external device). After the start of the transaction, the counting means 4A counts the number of accesses to the data file from the transaction apparatus, and the timing means 4B measures the access time from the transaction apparatus to the data file.
そして、第１比較手段５Ａによりアクセス回数と予め設定されたアクセス許容回数とが比較されるとともに、第２比較手段５Ｂによりアクセス時間と予め設定されたアクセス許容時間とが比較され、第１比較手段５Ａによる比較の結果、アクセス回数がアクセス許容回数を超えた場合、もしくは、第２比較手段５Ｂによる比較の結果、アクセス時間がアクセス許容回数を超えた場合に、エラー判断手段６Ｃにより、エラーが発生したものと判断され、その取引が中断される。 Then, the first comparison means 5A compares the number of accesses with a preset allowable access count, and the second comparison means 5B compares the access time with a preset access allowance time. The first comparison means As a result of the comparison by 5A, when the access count exceeds the allowable access count, or when the access time exceeds the allowable access count by the second comparison means 5B, an error occurs by the error determination means 6C. The transaction is suspended.
つまり、１回の取引毎のアクセス回数およびアクセス時間をチェックすることにより、カード型記憶媒体１Ｃに対して必要回数以上のアクセスが行なわれたと判断した場合、および、カード型記憶媒体１Ｃに対して必要時間以上に亘って取引が行なわれていると判断した場合のいずれの場合にも、その取引を中断させることができる。 That is, when it is determined that the card type storage medium 1C has been accessed more than the required number of times by checking the number of accesses and the access time for each transaction, and the card type storage medium 1C In any case where it is determined that the transaction has been performed for a required time or longer, the transaction can be interrupted.
なお、データファイルが記憶部２Ａ，２Ｃに複数保持されている場合には、アクセス許容回数を各データファイル毎に予め設定し、データファイル毎にアクセス回数を計数することにより、データファイル毎にアクセス回数のチェックを行なうことができる。また、アクセス許容回数をアクセスの種類毎に予め設定し、アクセスの種類毎にアクセス回数を計数することにより、アクセスの種類毎にアクセス回数のチェックを行なうことができる。
When a plurality of data files are stored in the
また、エラーが発生したと判断した場合に、取引装置（外部装置）へエラー通知を行なうことにより、カード型記憶媒体１Ａ〜１Ｃに対してアクセスを行なった取引装置（外部装置）に、エラーが発生した旨を通知でき、取引装置側でエラー表示等やそれに準じた処理を行なうことができる
さらに、累積したエラー発生回数と予め設定したエラー発生許容回数とを比較し、エラー発生回数がエラー発生許容回数を超えた場合にカード型記憶媒体を非活性化状態（ロック状態）にすることにより、エラー発生回数によるチェックを行なうことができ、エラー発生回数が多いカード型記憶媒体については、そのカード型記憶媒体自体を非活性化に切り換え、以降、外部からのアクセスを一切受け付けないようにすることができる。
In addition, when it is determined that an error has occurred, an error is notified to the transaction apparatus (external device), whereby the transaction apparatus (external device) accessing the card
このとき、エラー発生回数がエラー発生許容回数を超えた場合に取引装置（外部装置）へエラー通知を行なうことにより、カード型記憶媒体１Ａ〜１Ｃに対してアクセスを行なった取引装置（外部装置）に、当該カード型記憶媒体１Ａ〜１Ｃが非活性化状態になった旨を通知でき、取引装置側でエラー表示等やそれに準じた処理を行なうことができる。
At this time, the transaction apparatus (external apparatus) that has accessed the card-
図４により上述した本発明のカード型記憶媒体１１および取引装置２１では、カード型記憶媒体１１と取引装置２１との間で取引が開始され、取引装置２１のアクセス対象のデータファイルが確定すると、カード型記憶媒体１１の固有識別子生成手段１４により、その取引のための固有識別子が生成され、その固有識別子が、固有識別子通知手段１５により取引装置２１に通知される。
In the card type storage medium 11 and the
固有識別子を通知された取引装置２１では、その取引を終了するまで、通知手段２２により、アクセスコマンドがその固有識別子を付与した状態でカード型記憶媒体１１に通知される。
そして、カード型記憶媒体１１では、第１比較手段１６により、取引装置２１からのアクセスコマンドに付与された固有識別子と、その取引のために生成した固有識別子とが比較され、第１比較手段１６による比較の結果、これらの固有識別子が一致する場合、第１判定手段１７により、取引装置２１からのアクセスコマンドがその取引についてのものであると判断され、取引装置２１からのアクセスコマンドに応じた処理が実行される。
In the
In the card type storage medium 11, the first comparing means 16 compares the unique identifier given to the access command from the
つまり、データファイル確定時に生成された固有識別子は、データファイル確定処理を行なった取引装置のみが知り得るものであり、また、１回の取引の間、取引装置２１からのアクセスコマンドにその固有識別子が常に付与されることになるので、その固有識別子を参照することにより、カード型記憶媒体１１にアクセスを行なった取引装置２１を特定することができる。
That is, the unique identifier generated at the time of data file determination is known only by the transaction device that has performed the data file determination processing, and the unique identifier is included in the access command from the
なお、固有識別子を第１暗号キーにより暗号化してから、その暗号文固有識別子を固有識別子通知手段１５により取引装置２１に通知し、取引装置２１側で、カード型記憶媒体１１からの暗号文固有識別子を第１暗号キーにより復号化することにより、カード型記憶媒体１１から取引装置２１へ固有識別子を通知する間にその固有識別子がそのまま漏洩するのを防止できるほか、取引を終了するまでは、カード型記憶媒体１１と同じ第１暗号キーをもつ取引装置２１以外からのカード型記憶媒体１１に対するアクセスを禁止することができる。
After encrypting the unique identifier with the first encryption key, the ciphertext unique identifier is notified to the
また、第１暗号キーによる暗号文固有識別子とともに暗号化前の平文固有識別子をカード型記憶媒体１１から取引装置２１に通知し、取引装置２１側で、第１暗号キーによりカード型記憶媒体１１からの暗号文固有識別子を復号化し、復号化して得られた復号文固有識別子とカード型記憶媒体１１からの平文固有識別子とを比較することにより、取引装置２１に対して固有識別子を通知したカード型記憶媒体１１が正当なものであるか否かを判断でき、これらの固有識別子が一致する場合にのみ、取引装置２１からカード型記憶媒体１１に対するアクセス処理を続行して行なうことができる。
In addition, the plaintext unique identifier before encryption is transmitted from the card type storage medium 11 to the
さらに、取引装置２１側で、カード型記憶媒体１１からの固有識別子を第２暗号キーにより暗号化してから、その暗号文固有識別子を、取引装置２１のカード型記憶媒体１１に対するアクセスコマンドに付与し、カード型記憶媒体１１側で、取引装置２１からの暗号文固有識別子を第２暗号キーにより復号化してから、その復号文固有識別子とその取引のために生成した固有識別子との比較を行なうことにより、取引装置２１からカード型記憶媒体１１へ固有識別子を通知する間にその固有識別子がそのまま漏洩するのを防止できるほか、取引を終了するまでは、カード型記憶媒体１１と同じ第２暗号キーをもつ取引装置２１以外からのカード型記憶媒体１１に対するアクセスを禁止することができる（請求項２０，２６，３３）。
Further, after the
そして、第２暗号キーによる暗号文固有識別子とともに暗号化前の平文固有識別子を取引装置２１からカード型記憶媒体１１に通知し、カード型記憶媒体１１側で、第２暗号キーによりカード型記憶媒体１１からの暗号文固有識別子を復号化し、復号化して得られた復号文固有識別子と取引装置２１からの平文固有識別子とを比較することにより、カード型記憶媒体１１に対して固有識別子を通知した取引装置２１からのアクセスコマンドが正当なものであるか否かを判断でき、これらの固有識別子が一致する場合にのみ、取引装置２１からのアクセスコマンドによるアクセス処理を続行して行なうことができる。
Then, the plaintext unique identifier before encryption is notified from the
このとき、カード型記憶媒体１１における固有識別子の比較結果が不一致である場合に、取引装置２１からのアクセスコマンドに対する応答としてエラー通知を行なうことにより、カード型記憶媒体１１に対してアクセスを行なった取引装置２１に、エラーが発生した旨を通知でき、取引装置２１側でエラー表示等やそれに準じた処理を行なうことができる。
At this time, when the comparison result of the unique identifier in the card type storage medium 11 is inconsistent, the card type storage medium 11 is accessed by notifying an error as a response to the access command from the
上述した本発明の関連技術としてのカード型記憶媒体用セキュリティ管理方法およびカード型記憶媒体によれば、本発明のカード型記憶装置用セキュリティ管理方法およびカード型記憶装置によれば、１取引毎のアクセス回数もしくはアクセス時間の少なくとも一方をチェックすることにより、カード型記憶装置に対して必要回数以上のアクセスが行なわれた場合、もしくは、カード型記憶装置に対して必要時間以上に亘って取引が行なわれた場合に、その取引を中断させることができるので、外部からカード型記憶装置に対する不正なアクセスを確実に防止することができ、ファイルアクセス時のセキュリティ強度が大幅に向上するという効果がある。 According to the card-type storage medium security management method and card-type storage medium as the related art of the present invention described above, according to the card-type storage device security management method and card-type storage apparatus of the present invention, each transaction By checking at least one of the access count and access time, if the card-type storage device is accessed more than the required number of times, or the card-type storage device is traded over the required time. In this case, since the transaction can be interrupted, unauthorized access to the card type storage device from the outside can be surely prevented, and the security strength at the time of file access is greatly improved.
また、データファイル毎あるいはアクセスの種類毎にアクセス回数のチェックを行なうことにより、データファイル毎あるいはアクセスの種類毎にセキュリティ管理が行なわれる。
さらに、エラー発生回数がエラー発生許容回数を超えた場合にカード型記憶装置を非活性化状態にすることにより、エラー発生回数が多いカード型記憶装置については、外部からのアクセスを一切受け付けないようにすることができ、セキュリティ機能がさらに強化される。
In addition, by checking the number of accesses for each data file or each access type, security management is performed for each data file or each access type.
Furthermore, by deactivating the card-type storage device when the number of error occurrences exceeds the allowable number of error occurrences, it will not accept any external access for card-type storage devices with a large number of error occurrences. Security functions can be further strengthened.
そして、アクセス回数やアクセス時間のチェックによりエラーが発生した場合や、カード型記憶装置が非活性化された場合に、取引装置へエラー通知を行なうことにより、カード型記憶装置に対してアクセスを行なった取引装置側では、エラー表示等やそれに準じた処理を行なって、エラーに対して直ちに対処することができる。 Then, when an error occurs due to an access count or access time check, or when the card type storage device is deactivated, the card type storage device is accessed by notifying the transaction device of the error. The transaction apparatus side can immediately handle the error by performing an error display or the like or a process corresponding thereto.
また、本発明のカード型記憶装置用セキュリティ管理方法，カード型記憶装置およびカード型記憶装置用取引装置によれば、１回の取引の間、取引装置からのアクセスコマンドにはその取引について固有の識別子が常に付与されるので、その識別子を参照することにより、カード型記憶装置にアクセスを行なった取引装置を特定でき、一つのデータファイルに対し別々のアプリケーションからアクセス処理が行なわれるのを確実に防止することができ、セキュリティ強度が大幅に向上するという効果がある。 Further, according to the security management method for a card type storage device, the card type storage device, and the card type storage device transaction apparatus of the present invention, the access command from the transaction apparatus is unique to the transaction during one transaction. Since an identifier is always given, by referring to the identifier, it is possible to identify the transaction device that has accessed the card-type storage device, and to ensure that access processing is performed from different applications for one data file. It can be prevented, and the security strength is greatly improved.
このとき、固有識別子を第１暗号キーにより暗号化してから、その暗号文固有識別子を取引装置に通知することにより、固有識別子がそのまま漏洩するのを防止できるほか、取引を終了するまで、第１暗号キーをもつ取引装置以外からのカード型記憶装置に対するアクセスを禁止でき、セキュリティ機能がさらに強化される。 At this time, by encrypting the unique identifier with the first encryption key and notifying the transaction device of the ciphertext unique identifier, the unique identifier can be prevented from leaking as it is, and the first until the transaction is terminated. Access to the card-type storage device other than the transaction device having the encryption key can be prohibited, and the security function is further strengthened.
また、第１暗号キーによる暗号文固有識別子とともに暗号化前の平文固有識別子をカード型記憶装置から取引装置に通知し、取引装置側で、復号化して得られた平文固有識別子とカード型記憶装置からの平文固有識別子とを比較することにより、取引装置に対して固有識別子を通知したカード型記憶装置が正当なものであるか否かを判断でき、セキュリティ機能がさらに強化される。 Also, the plaintext unique identifier before encryption together with the ciphertext unique identifier by the first encryption key is notified from the card type storage device to the transaction device, and the plaintext unique identifier obtained by decryption on the transaction device side and the card type storage device Is compared with the plaintext unique identifier from, it can be determined whether or not the card-type storage device that has notified the transaction device of the unique identifier is legitimate, and the security function is further strengthened.
さらに、取引装置側で第２暗号キーにより暗号化した固有識別子をアクセスコマンドに付与してカード型記憶装置に通知することにより、固有識別子がそのまま漏洩するのを防止できるほか、取引を終了するまで、第２暗号キーをもつ取引装置以外からのカード型記憶装置に対するアクセスを禁止でき、セキュリティ機能がさらに強化される。 Furthermore, by giving the unique identifier encrypted with the second encryption key on the transaction device side to the access command and notifying the card type storage device, it is possible to prevent the unique identifier from being leaked as it is, and until the transaction is terminated. The access to the card-type storage device from other than the transaction device having the second encryption key can be prohibited, and the security function is further strengthened.
そして、第２暗号キーによる暗号文固有識別子とともに暗号化前の平文固有識別子を取引装置からカード型記憶装置に通知し、カード型記憶装置側で、復号化して得られた平文固有識別子と取引装置からの平文固有識別子とを比較することにより、取引装置からのアクセスコマンドが正当なものであるか否かを判断でき、セキュリティ機能がさらに強化される。 Then, the plaintext unique identifier before encryption is transmitted from the transaction device to the card type storage device together with the ciphertext unique identifier by the second encryption key, and the plaintext unique identifier obtained by decryption on the card type storage device side and the transaction device By comparing with the plaintext unique identifier from, it is possible to determine whether or not the access command from the transaction apparatus is valid, and the security function is further strengthened.
このとき、カード型記憶装置における固有識別子の比較結果が不一致である場合に、取引装置へエラー通知を行なうことにより、カード型記憶装置に対してアクセスを行なった取引装置側では、エラー表示等やそれに準じた処理を行なって、エラーに対して直ちに対処することができる。 At this time, when the comparison result of the unique identifier in the card type storage device is inconsistent, the transaction device side accessing the card type storage device by notifying the transaction device of an error displays an error display etc. It is possible to deal with the error immediately by performing processing according to it.
以下、図面を参照して本発明の実施の形態を説明する。
（ａ）第１実施例の説明
図５は本発明の第１実施例としてのカード型記憶媒体（カード型記憶装置）の構成を示すブロック図であり、この図５において、３０はＩＣカード（カード型記憶装置）で、このＩＣカード３０には、制御部としてのマイクロプロセッサユニット（ＭＰＵ）３１と、記憶部としてのメモリ（ファイル領域；例えばＥＰＲＯＭ／ＥＥＰＲＯＭ）３２とが内蔵されており、このＩＣカード３０は、図１４，図１５により前述した端子部（図５には図示せず）を介して図示しない外部装置（上位装置，取引装置，端末装置）に接続されるようになっている。
Embodiments of the present invention will be described below with reference to the drawings.
(A) Description of First Embodiment FIG. 5 is a block diagram showing the configuration of a card type storage medium (card type storage device) as a first embodiment of the present invention. In FIG. The
ここで、メモリ３２には、複数のデータファイル３２Ｃを保持するデータ領域３２Ａと、このデータ領域３２Ａの各データファイル３２Ｃについての制御情報（ポインタや後述するセキュリティ基本情報やセキュリティ付加情報等）を保持するディレクトリ領域３２Ｂとがそなえられている。
また、ＭＰＵ３１は、ディレクトリ領域３２Ｂにおける制御情報に基づいてメモリ３２のデータ領域３２Ａにおける各データファイル３２Ｃを管理するもので、外部装置からアクセスコマンドを受けると、そのアクセスコマンドに応じてメモリ３２のデータファイル３２Ｃに対する読出処理（リードアクセス），書込処理（ライトアクセス），消去処理（イレーズアクセス），再書込処理（リライトアクセス）等を実行するものである。
Here, the
The
そして、本実施例のＭＰＵ３１は、制御動作を行なうためのプログラムを保持するＲＯＭ３３や、制御動作を行なう際のワークエリアとして用いられるＲＡＭ３４を有するほか、図５に示すような機能構成を有している。即ち、ＭＰＵ３１には、通信制御部３５，コマンド受付・振分部３６，コマンド処理部３７およびファイル管理部３８がそなえられている。
The
通信制御部３５は、外部装置からのコマンドの受信処理（伝送ブロックの受信処理）を行なうとともに、ＩＣカード３０からコマンドを受けた外部装置へのレスポンスの送信処理（伝送ブロックの作成処理）を行なうものである。
コマンド受付・振分部３６は、通信制御部３５により外部装置からのコマンドを受信すると、そのコマンドを受け付け、コマンドに応じた振分を行なうものである。
The
When receiving a command from an external device by the
コマンド処理部３７は、コマンド受付・振分部３６によって振り分けられたコマンドを受け、そのコマンドに応じた処理を行なうもので、その構成および動作については後で詳述する。
ファイル管理部３８は、コマンド処理部３７とメモリ３２との間に配置され、物理アドレス変換を行なって、コマンド処理部３７とメモリ３２との間のインターフェイス部として機能するものである。
The
The
また、コマンド処理部３７は、パラメータチェック部４１，セキュリティ基本チェック部４２，セキュリティ付加チェック部４３およびファイルアクセス部４４として機能する部分を有して構成されている。
ここで、パラメータチェック部４１は、外部装置からのアクセスコマンドにおける各種パラメータについてのチェックを行なうものであり、セキュリティ基本チェック部４２は、パラメータチェック部４１によるチェックの結果、問題がなかった場合に、後述するように、従来と同様の手順によりセキュリティ基本情報に基づいてセキュリティ基本チェックを行なうものである。
In addition, the
Here, the parameter check unit 41 checks various parameters in the access command from the external device, and the security
セキュリティ付加チェック部４３は、セキュリティ基本チェック部４２によるチェックの結果、問題がなかった場合に、後述するように、セキュリティ付加情報に基づいてセキュリティ付加チェックを行なうものである。そして、ファイルアクセス部４４は、セキュリティ付加チェック部４３によるチェックの結果、問題がなかった場合に、外部装置からのアクセスコマンドに応じてメモリ３２に対するアクセス（ファイルアクセスブロック／チェイニングブロックの作成）を行なうものである。
If there is no problem as a result of the check by the security
ところで、本実施例のメモリ３２における論理構造は、図７に示すようになっている。即ち、ディレクトリ領域３２Ｂは、さらに、全てのデータファイル３２Ｃを管理するマスタディレクトリ領域３２Ｄと、各データファイル３２Ｃ毎にそなえられ各データファイル３２Ｃにおける複数のファイル３２Ｆを管理するサブディレクトリ領域３２Ｅとから構成されている。
By the way, the logical structure in the
マスタディレクトリ領域３２Ｄには、このマスタディレクトリ領域３２Ｄを管理する管理部と、各データファイル３２Ｃのアドレスを示すポインタとが格納されるほか、各ポインタとともに各データファイル３２Ｃについてのセキュリティ基本情報（アクセス資格毎のアクセス権）が格納されるほか、エラー発生許容回数がセキュリティ付加情報として格納されている。
The
また、各データファイル３２Ｃにおけるサブディレクトリ領域３２Ｅには、各データファイル３２Ｃにおけるファイル３２Ｆのアドレスを示すポインタが格納されるほか、各ポインタとともに各ファイル３２Ｆについてのセキュリティ付加情報が格納されている。
ここで、サブディレクトリ領域３２Ｅに格納されるセキュリティ付加情報としては、アクセス許容回数およびトランザクション許容時間が設定されており、例えば図６，図７に示すように、１回の正当なトランザクション（取引）で発生すると考えられるアクセスの回数が、当該ファイル３２Ｆに対するアクセス種別毎（例えばREAD,WRITE,ERASE,REWRITE等）に且つ各認証コード（アクセス資格）毎にアクセス許容回数として設定されるとともに、１回の正当なトランザクション処理に要する時間が、トランザクション許容時間（アクセス許容時間）として設定されている。
In addition, a pointer indicating the address of the
Here, as the additional security information stored in the
一方、マスタディレクトリ領域３２Ｄのセキュリティ基本情報は、前述したアクセス資格およびアクセス権であり、アクセス資格は、例えば、カード発行者，カード所持者，アプリケーション提供者，サービス実行者，サービス提供者等で、外部装置（アプリケーション）からＩＣカード３０に対してアクセスコマンドを発する者の資格を確認するためのものである。また、アクセス権（リード権，ライト権等）は、メモリ３２に保持されるデータファイル３２Ｃ毎に前記アクセス資格に応じて設定されるもので、各アクセス資格を有する者が各データファイル３２Ｃに対して行なうことのできるアクセス処理を規定している。なお、リード権，ライト権の他に、イレーズ権，リライト権などもある。
On the other hand, the basic security information of the
そして、セキュリティ基本チェック部４２は、従来と同様に、外部装置のアクセス対象のデータファイル３２Ｃ（ファイル３２Ｆ）が選択・確定された後にベリファイコマンド（図１６参照）を受けると、このデータファイル３２Ｃにアクセスするためのアクセス資格の認証を行なうものである。
さらに、このセキュリティ基本チェック部４２は、アクセス資格の認証後にアクセスコマンド（Read Record/Write Record等）を受けると、マスタディレクトリ領域３２Ｄにおける当該データファイル３２Ｃについてのセキュリティ基本情報に基づいて、そのアクセスコマンドが、認証されたアクセス資格に対しアクセス権として予め許可されているアクセス種（読出，書込等）であるか否かの確認を行なうものである。
When the security
Further, when the security
また、セキュリティ付加チェック部４３は、セキュリティ基本チェック部４２により当該アクセスコマンドが認証されたアクセス資格に対しアクセス権として許可されているものであると確認された場合に、マスタディレクトリ領域３２Ｄおよびサブディレクトリ領域３２Ｅにおける当該データファイル３２Ｃ（ファイル３２Ｅ）についてのセキュリティ付加情報に基づいてセキュリティ付加チェックを行なうものである。
When the security
そして、本実施例のセキュリティ付加チェック部４３は、アクセス回数カウンタ（計数手段）５１，タイマ（計時手段）５２，第１比較部５３，第２比較部５４，エラー判断部５５，エラー通知部５６，エラー発生回数累積カウンタ（累積手段）５７，エラー発生回数比較部５８および非活性化指示部（非活性化手段）５９から構成されている。
The security addition check unit 43 of this embodiment includes an access number counter (counting unit) 51, a timer (timer unit) 52, a first comparison unit 53, a
ここで、アクセス回数カウンタ５１は、外部装置との間で取引が開始されると、当該取引開始後のアクセス回数を、アクセス対象のファイル３２Ｆ毎に且つアクセスの種類毎に計数するもので、そのカウント値の格納領域はＲＡＭ３４（ワークエリア）に確保されている。また、タイマ５２は、当該取引開始後のデータファイル３２Ｃ（ファイル３２Ｆ）に対するアクセス時間を計時するものである。
Here, when a transaction is started with an external device, the access counter 51 counts the number of accesses after the start of the transaction for each
そして、第１比較部５３は、アクセス回数カウンタ５１により計数されたアクセス回数（ＲＡＭ３４のカウント値格納領域から読み出したもの）と、サブディレクトリ領域３２Ｅに予め設定されたアクセス許容回数（ファイル３２Ｆ，アクセス資格およびアクセス種別に対応するもの）とを比較するものである。また、第２比較部５４は、タイマ５２により計時されたアクセス時間と、サブディレクトリ領域３２Ｅに予め設定されたアクセス許容時間（データファイル３２Ｃに対応するもの）とを比較するものである。
The first comparison unit 53 then counts the number of accesses (read from the count value storage area of the RAM 34) counted by the
エラー判断部５５は、第１比較部５３による比較の結果、アクセス回数がアクセス許容回数を超えた場合、もしくは、第２比較部５４による比較の結果、アクセス時間がアクセス許容時間を超えた場合にエラーが発生したものと判断して、当該取引を中断させるものであり、エラー通知部５６は、エラー判断部５５によりエラーが発生したものと判断した場合に外部装置へエラー通知を行なうものである。
When the access count exceeds the allowable access count as a result of the comparison by the first comparison section 53 or when the access time exceeds the allowable access time as a result of the comparison by the
さらに、エラー発生回数累積カウンタ５７は、エラー判断部５５によりエラーが発生したものと判断した場合に、そのエラー発生回数をカウントアップするもので、そのカウント値の格納領域はＲＡＭ３４（ワークエリア）に確保されている。また、エラー発生回数比較部５８は、エラー発生回数累積カウンタ５７により計数されたエラー発生回数（ＲＡＭ３４のカウント値格納領域から読み出したもの）と、マスタディレクトリ領域３２Ｄに予め設定されたエラー発生許容回数とを比較するものである。
Further, the error occurrence count accumulation counter 57 counts up the error occurrence count when the error determination section 55 determines that an error has occurred, and the count value storage area is stored in the RAM 34 (work area). It is secured. In addition, the error occurrence
そして、非活性化指示部５９は、エラー発生回数比較部５８による比較の結果、エラー発生回数がエラー発生許容回数を超えた場合に、このＩＣカード３０自体を非活性化状態（ロック状態）に切り換えるべく非活性化指示信号を出力するものである。
なお、非活性化状態になったＩＣカード３０を、再度、活性化状態にするためには、正規の手続きを踏まなければず、その正規の手続きを行なうまで、ＩＣカード３０は、外部からのアクセスを一切受け付けないようになっている。また、エラー通知部５６は、エラー発生回数比較部５８による比較の結果、エラー発生回数がエラー発生許容回数を超えた場合に、外部装置へエラー通知を行なうようになっている。
Then, the
It should be noted that in order to re-activate the
上述のように、本実施例では、各データファイル３２Ｃ（ファイル３２Ｆ）に対するセキュリティ基本情報（アクセス資格，アクセス権）に加え、セキュリティ付加情報が併せてメモリ３２のディレクトリ領域３２Ｂに格納されているが、そのセキュリティ付加情報は、ＩＣカード３０を用いたシステムの設計段階で、データファイル３２Ｃ（ファイル３２Ｆ）毎で且つアクセス種別毎のアクセス許容回数およびトランザクション処理許容時間として算出され、ＩＣカード３０の発行時にディレクトリ領域３２Ｂに設定される。セキュリティ付加情報は、正当なアプリケーション（取引装置）のみが満たすことができる条件である。
As described above, in this embodiment, in addition to basic security information (access qualification, access right) for each
そして、セキュリティ付加情報のＩＣカード３０内への設定には、創成系コマンド（Createコマンド）が使用される。通常、創成系コマンドでは、パラメータ指定により、ＩＣカード３０内のメモリ３２に、データ領域３２Ａとこのデータ領域３２Ａを管理するディレクトリ領域３２Ｂとが確保されるとともに、ディレクトリ領域３２Ｂに、各データファイル３２Ｃ（ファイル３２Ｆ）へアクセスするためのポインタと、セキュリティ基本情報（アクセス資格，アクセス権）とが設定される。
A creation command (Create command) is used to set the additional security information in the
本実施例では、さらに、セキュリティ付加情報の項目（パラメータ）として、エラー発生許容回数と、トランザクション処理許容時間と、認証コード（アクセス資格）毎のアクセスコマンド（Read,Write等）の許容回数とを追加し、ディレクトリ領域３２Ｂに、これらのセキュリティ付加情報を追加・設定する。
また、本実施例の創成系コマンドでは、アクセス回数カウンタ５１およびエラー発生回数累積カウンタ５７によるカウント値の格納領域をＲＡＭ３４に確保して初期値‘００’ｈを設定する。なお、このＲＡＭ３４におけるカウント値の格納領域は、ＩＣカード３０を外部装置（取引装置）におけるリーダ／ライタに挿入した際に行なわれるハードウエアリセットにより、初期値‘００’ｈにクリアされるようになっている。
In this embodiment, further, as the additional security information items (parameters), the allowable number of error occurrences, the allowable transaction processing time, and the allowable number of access commands (Read, Write, etc.) for each authentication code (access qualification) The additional security information is added and set in the
Further, in the creation command of this embodiment, a storage area for the count value by the
なお、本実施例のＩＣカード３０においては、セキュリティ付加情報を設定しないことにより、トランザクション毎のファイルアクセス回数チェックやトランザクション処理時間チェックがＮＯＰ（No Operation）になり、従来と同様のセキュリティ基本情報のみによるセキュリティレベルにすることができる。
次に、上述のごとく構成された本実施例のＩＣカード３０について、ファイルアクセス時のセキュリティ概念を図８により説明する。なお、ここでは、図８に示すように、ＩＣカード３０に、メモリ３２内のあるファイル３２Ｆに対するリード権（アクセス権）として、サービス提供者，カード発行者，サービス実行者，カード所持者のそれぞれに“ＯＫ”，“ＯＫ”，“ＮＧ”，“ＮＧ”が設定されているものとする。つまり、サービス提供者，カード発行者については当該ファイル３２Ｆに対するリード処理を行なうことができる。
In addition, in the
Next, the security concept at the time of file access will be described with reference to FIG. 8 for the
このようなリード権の設定状態で、図８に示すように、サービス実行者のアクセス資格で動作するアプリケーションがリードコマンドを発行した場合、当該ファイル３２Ｆに対応するリードのアクセス権は、サービス実行者について“ＮＧ”と設定されているので、セキュリティ基本チェック部４２の機能により、当該ファイル３２Ｆへのリードアクセスはリジェクトされることになる。
In such a read right setting state, as shown in FIG. 8, when an application operating with the access qualification of the service executor issues a read command, the read access right corresponding to the
これに対し、図８に示すように、サービス提供者のアクセス資格で動作するアプリケーションがリードコマンド（READ）を発行した場合、ＩＣカード１００において当該データファイルに対応するリードのアクセス権は、サービス提供者について“ＯＫ”と設定されているので、セキュリティ基本チェック部４２の機能により、当該ファイル３２Ｆへのリードアクセスが可能であると判断される。
On the other hand, as shown in FIG. 8, when an application that operates with the access qualification of the service provider issues a read command (READ), the access right of the read corresponding to the data file in the
そして、従来の技術では上述のようにセキュリティ基本チェック部４２により“ＯＫ”であると判断されると、直ちに当該ファイル３２Ｆへのリードアクセスを許可していたが、本実施例では、次の段階として、セキュリティ付加チェック部４３により、アクセス回数およびトランザクション処理時間のチェックを行なっている。
In the conventional technique, when the security
図８において、矢印Ａ１は、セキュリティ付加チェック部４３によりセキュリティ付加情報に基づく条件が満たされたものと判断して当該ファイル３２Ｆへのリードアクセスを許可した例を示し、矢印Ａ２は、セキュリティ付加チェック部４３によりセキュリティ付加情報に基づく条件が満たされなかったものと判断して当該ファイル３２Ｆへのリードアクセスを許可しない例を示している。
In FIG. 8, an arrow A1 indicates an example in which the security addition check unit 43 determines that the condition based on the additional security information is satisfied and permits read access to the
本実施例では、セキュリティ付加チェック部４３のエラー判断部５５により、今回のリードコマンドが、第１比較部５３による比較結果（アクセス回数カウンタ５１によるカウント値とアクセス許容回数との比較結果）に基づいて、取引を開始してからリードアクセスの許容回数範囲内に到来したものであると判断された場合、当該ファイル３２Ｆへのリードアクセスが許可される。
In this embodiment, the error determination unit 55 of the security addition check unit 43 determines that the current read command is based on the comparison result by the first comparison unit 53 (comparison result between the count value by the
一方、今回のリードコマンドが、取引を開始してからリードアクセスの許容回数範囲を超えて到来したものである場合には、エラー判断部５５によりエラーが発生したものと判断され、取引を中断し、エラー発生累積カウンタ５７によるカウント値をカウントアップし、以下の処理を行なう。
まず、エラー発生回数比較部５８により、エラー発生累積カウンタ５７のカウント値とエラー発生許容回数とを比較し、〔カウント値〕＜〔エラー発生許容回数〕であった場合には、エラー通知部５６により、外部からのコマンドに対するレスポンスとしてエラー通知のみを行なう。一方、〔カウント値〕≧〔エラー発生許容回数〕であった場合には、非活性化指示部５９により非活性化指示信号を出力して、このＩＣカード３０自体を非活性化状態（カードロック状態）にするとともに、エラー通知部５６により、外部からのコマンドに対するレスポンスとしてエラー通知を行なう。ＩＣカード３０を非活性化状態に切り換えることにより、このＩＣカード３０は正規の手続きにより非活性化状態を解除しない限り、以降、使用不能となる。
On the other hand, if the current read command has arrived beyond the allowable range of read access since the start of the transaction, the error determination unit 55 determines that an error has occurred and interrupts the transaction. Then, the count value by the error occurrence accumulation counter 57 is counted up and the following processing is performed.
First, the error occurrence
ところで、本実施例のＩＣカード３０において、セキュリティ付加情報としてトランザクション処理許容時間がサブディレクトリ領域３２Ｅに設定されている場合には、ＩＣカード３０がリーダ／ライタ（図示せず）に挿入されてハードウエアリセットが掛かった時点で、タイマ５２がクリアされて起動される。
そして、常時、セキュリティ付加チェック部４３の第２比較部５４によりタイマ５２による計時値とトランザクション処理許容時間とが比較され、トランザクション処理許容時間の範囲でトランザクションが終了すれば、ＩＣカード３０を排出して取引を正常に終了する。
By the way, in the
Then, the time value measured by the
しかし、タイマ５２による計時値がトランザクション処理許容時間を超えた場合には、その時点でエラー判断部５５によりエラーが発生したものと判断され、取引を中断し、エラー発生累積カウンタ５７によるカウント値をカウントアップし、アクセス回数がアクセス許容回数を超えた場合と同様の処理を行なう。
つまり、エラー発生回数比較部５８による比較の結果、〔カウント値〕＜〔エラー発生許容回数〕であった場合には、エラー通知部５６により、コマンドレスポンスとしてエラー通知のみを行なう一方、〔カウント値〕≧〔エラー発生許容回数〕であった場合には、非活性化指示部５９により、ＩＣカード３０自体を非活性化状態（カードロック状態）にするとともに、エラー通知部５６によりエラー通知を行なう。やはり、この場合も、ＩＣカード３０は正規の手続きにより非活性化状態を解除しない限り、以降、使用不能となる。
However, if the time measured by the
That is, as a result of the comparison by the error occurrence
このように、本実施例では、セキュリティ基本情報に基づいてセキュリティ基本チェック部４２によるチェックが行なわれた後に、さらに、セキュリティ付加情報としてディレクトリ領域３２Ｂに設定された条件のチェックをセキュリティ付加チェック部４３により行なうことで、セキュリティを強化している。
ただし、ディレクトリ領域３２Ｂにセキュリティ付加情報が設定されていない場合には、従来と同様に、セキュリティ基本情報に基づいてセキュリティ基本チェック部４２によってチェックを行なうだけになる。
As described above, in this embodiment, after the security
However, when additional security information is not set in the
さて、次に、本実施例のＩＣカード３０におけるファイルアクセス時の処理動作（アクセス回数チェック動作）を、図９に示すフローチャート（ステップＳ１〜Ｓ１４）に従って説明する。
ＩＣカード３０が上位装置（リーダ／ライタ）に挿入されると、上位装置側からファイルオープン指令がＩＣカード３０へ送られ、まず、このＩＣカード３０がロック状態（非活性化状態）であるか否かを判断する（ステップＳ１）。
Next, the processing operation (access count check operation) at the time of file access in the
When the
ロック状態であれば（ＹＥＳ判定）、上位装置へエラー通知を行なって取引を開始しない一方、ロック状態でなければ（ＮＯ判定）、上位装置からのアクセス対象であるファイルについてファイルオープン処理を行なう（ステップＳ２）。そして、セキュリティ付加情報としてトランザクション処理許容時間が設定されている場合には、ハードウエアリセットによりタイマ５２を起動させてから、正常に取引を開始する旨を上位装置へ通知する。
If it is in the locked state (YES determination), the error notification is sent to the host device and the transaction is not started. On the other hand, if it is not in the locked state (NO determination), the file open process is performed for the file to be accessed from the host device ( Step S2). If the transaction processing allowable time is set as the additional security information, the
このようにしてファイルオープンが行なわれると、上位装置から認証コードがＩＣカード３０に通知され、メモリ３２からセキュリティ基本情報〔当該ファイルの認証コード（アクセス資格）〕を参照して（ステップＳ３）、セキュリティ基本チェック部４２により、その認証コードのチェック、つまり、上位装置が当該ファイルに対してアクセスする資格のある者であるか否かのチェックを行なう（ステップＳ４）。認証コードが当該ファイルに適したものであれば（ＹＥＳ判定）、その旨を上位装置に通知して次の処理（ファイルアクセス処理）へ移行する一方、認証コードが当該ファイルに適したものでなければ（ＮＯ判定）、上位装置へエラー通知を行なって取引を終了する。
When the file is opened in this way, the authentication code is notified from the host device to the
認証コードチェック（アクセス資格チェック）の結果、認証コードが当該ファイルに適したものであれば、上位装置からファイルアクセスコマンドがＩＣカード３０に通知される。アクセスコマンドを受け付けると、ディレクトリ領域３２Ｂからアクセス対象のファイル３２Ｆをポインタに基づいてポイントするとともに、当該ファイル３２Ｆに対応するセキュリティ基本情報を参照し（ステップＳ５）、セキュリティ基本チェック部４２により、そのアクセス権のチェック、つまり、上位装置からのアクセスコマンドがその上位装置のアクセス資格について許可されているアクセス種であるか否かのチェックを行なう（ステップＳ６）。
As a result of the authentication code check (access qualification check), if the authentication code is suitable for the file, a file access command is notified to the
そのアクセスコマンドの種類が当該ファイルについて許可されていなければ（ＮＯ判定）、上位装置へエラー通知を行なって取引を終了する一方、そのアクセスコマンドの種類が当該ファイルについて許可されていれば（ＹＥＳ判定）、アクセス回数カウンタ５１によるカウント値をカウントアップする（ステップＳ７）。
If the access command type is not permitted for the file (NO determination), an error notification is sent to the host device to terminate the transaction, while the access command type is permitted for the file (YES determination). ) The count value by the
そして、メモリ３２からセキュリティ付加情報（当該ファイルについて設定されているアクセス資格，アクセス権に応じたアクセス許容回数）を参照するとともに、ＲＡＭ３４からアクセス回数カウンタ５１のカウント値を参照して（ステップＳ８）、第１比較部５３により、アクセス回数カウンタ５１のカウント値とアクセス許容回数とを比較する（ステップＳ９）。その比較の結果、〔カウント値〕≦〔アクセス許容回数〕であった場合（ＹＥＳ判定の場合）、そのアクセスコマンドによるファイルアクセスが、ファイルアクセス部４４により実行される（ステップＳ１４）。
Then, the additional security information (access qualification set for the file, the allowable number of access according to the access right) is referred from the
第１比較部５３による比較の結果、〔カウント値〕＞〔アクセス許容回数〕であった場合（ＮＯ判定の場合）には、エラー判断部５５によりエラーが発生したものと判断され、そのアクセスコマンドによる取引を中断するとともに、エラー発生累積カウンタ５７によるカウント値をカウントアップする（ステップＳ１０）。 If [count value]> [permissible access count] as a result of comparison by the first comparison unit 53 (in the case of NO determination), the error determination unit 55 determines that an error has occurred, and the access command Is interrupted, and the count value by the error occurrence accumulation counter 57 is counted up (step S10).
この後、メモリ３２からセキュリティ付加情報（エラー発生許容回数）を参照するとともに、ＲＡＭ３４からエラー発生累積カウンタ５７のカウント値を参照して（ステップＳ１１）、エラー発生回数比較部５８により、エラー発生累積カウンタ５７のカウント値とエラー発生許容回数とを比較する（ステップＳ１２）。その比較の結果、〔カウント値〕＜〔エラー発生許容回数〕であった場合（ＹＥＳ判定の場合）には、エラー通知部５６により、外部からのコマンドに対するレスポンスとしてエラー通知のみを行なう。
Thereafter, the additional security information (allowable number of occurrences of error) is referred to from the
一方、エラー発生回数比較部５８による比較の結果、〔カウント値〕≧〔エラー発生許容回数〕であった場合（ＮＯ判定の場合）には、非活性化指示部５９により非活性化指示信号を出力して、このＩＣカード３０自体を非活性化状態（カードロック状態）にしてから（ステップＳ１２）、エラー通知部５６により、外部からのコマンドに対するレスポンスとしてエラー通知を行なう。
On the other hand, if the result of the comparison by the error occurrence
なお、図９中には記載していないが、セキュリティ付加情報としてトランザクション処理許容時間がサブディレクトリ領域３２Ｅに設定されている場合には、前述したように、常時、セキュリティ付加チェック部４３の第２比較部５４によるタイマ５２の計時値とトランザクション処理許容時間との比較を並行して行なう。そして、トランザクション処理許容時間の範囲でトランザクションが終了すれば、取引を正常に終了する一方、タイマ５２の計時値がトランザクション処理許容時間を超えた時点で、エラー判断部５５によりエラーが発生したものと判断し、取引を中断して、前述したステップＳ７〜Ｓ１３の処理を行なう。
Although not described in FIG. 9, when the transaction processing allowable time is set in the
以下に、より具体的な例について、図１０（ａ），（ｂ）を用いて説明する。なお、図１０（ａ）は、本実施例を適用した場合の正当なアプリケーションの動作を説明するためのコマンドシーケンス図であり、図１０（ｂ）は、本実施例を適用した場合の不当なアプリケーションの動作を説明するためのコマンドシーケンス図である。また、ここでは、セキュリティ付加情報として、トランザクション毎のアクセス回数チェックについて説明する。 A more specific example will be described below with reference to FIGS. 10 (a) and 10 (b). FIG. 10A is a command sequence diagram for explaining the operation of a legitimate application when the present embodiment is applied, and FIG. 10B is an unjustified case when the present embodiment is applied. It is a command sequence diagram for demonstrating operation | movement of an application. Here, the access count check for each transaction will be described as additional security information.
そして、図１０（ａ），（ｂ）に示すように、ＩＣカード３０内のファイル３２Ｆに残高およびその残高の有効期限がセットされているものとし、その有効期限内に残高分を使用しないと、その残高は無効になるというアプリケーションを考える。また、セキュリティ付加情報として、リードアクセス許容回数が１回、ライトアクセス許容回数が１回、エラー発生許容回数が１回と設定されているものとする。
Then, as shown in FIGS. 10A and 10B, it is assumed that the balance and the expiration date of the balance are set in the
ここで、正当なアプリケーションＡで動作する上位装置による処理は、図１０（ａ）に示すように、リードアクセスコマンドによりＩＣカード３０から残高を読み込み、残高を更新してから、その残高を、ライトアクセスコマンドによりＩＣカード３０に書き込むという処理を行なっている。この場合、リードアクセス，ライトアクセスの各回数は１回であるので、正常に処理されることになる。
Here, as shown in FIG. 10A, the processing by the higher-level device operating in the legitimate application A reads the balance from the
一方、残高更新後に残高有効期限を不当に更新しようとする不当なアプリケーションＡ’で動作する上位装置による処理では、図１０（ｂ）に示すように、１回のトランザクションでリードアクセス，ライトアクセスをそれぞれ２回行なっており、セキュリティ付加情報として設定されているアクセス許容回数を超えてしまう。従って、残高有効期限に対する、リード／ライトの各アクセスはエラーとなり、取引は中断されてリジェクトされることになる。 On the other hand, in the processing by the higher-level device operating in the illegal application A ′ that attempts to illegally update the balance expiration date after the balance update, as shown in FIG. 10B, read access and write access are performed in one transaction. Each is performed twice, and the access allowable number set as additional security information is exceeded. Therefore, each read / write access to the balance expiration date results in an error, and the transaction is interrupted and rejected.
また、図１０（ｂ）に示す２回目の不正な書込み処理（残高有効期限の更新）により、エラー発生累積カウンタが２回となり、エラー発生許容回数をオーバすることになるため、この時点でＩＣカード３０が非活性化状態（カードロック状態）になり、以降の処理が全てリジェクトされることになる。例えば、このような非活性化状態で、再度、正常なアプリケーションを起動したとしても、処理が不可となる。
Further, since the second incorrect writing process (updating the balance expiration date) shown in FIG. 10 (b) causes the error occurrence cumulative counter to be twice and the allowable error occurrence count to be exceeded, at this time the IC The
このように、本発明の第１実施例によれば、ＩＣカード３０内のデータ領域３２Ａを管理しているディレクトリ領域３２Ｂに、従来のセキュリティ基本情報に加えて、アクセス資格，アクセス権，ファイル毎に設定されるアクセス許容回数をセキュリティ付加情報としてもつことにより、トランザクション毎に、そのセキュリティ付加情報を使用してファイルへのアクセス回数チェックをＩＣカード３０内で行なうことにより、セキュリティ管理が行なわれる。
As described above, according to the first embodiment of the present invention, the
従って、万一、アクセス資格とアクセス権との関係の情報が外部に漏洩した場合や、不当にアクセス資格およびアクセス権の情報を入手された場合にも、不正なアプリケーションからのアクセスを確実に防止でき、ファイルアクセス時のセキュリティチェックが大幅に強化される。
また、アクセス許容回数とトランザクション処理許容時間の両方を監視することにより、１回のトランザクションで、ＩＣカード３０に対して必要回数以上のアクセスが行なわれた場合、および、ＩＣカード３０に対して必要時間以上に亘って取引が行なわれた場合に、その取引を中断させることができるので、さらにセキュリティを強化することができる。
Therefore, in the unlikely event that information on the relationship between access qualifications and access rights is leaked to the outside, or access credential and access rights information is illegally obtained, access from unauthorized applications is reliably prevented. Yes, security checks when accessing files are greatly enhanced.
Further, by monitoring both the allowable access count and the allowable transaction processing time, if the
さらに、ＩＣカード３０における１回のトランザクション中のエラー発生回数がエラー発生許容回数を超えた場合に、ＩＣカード３０が非活性化状態にされるので、外部からのアクセスを一切受け付けないようにすることができ、セキュリティ機能がさらに強化される。
そして、上述した各種チェックによりエラーが発生した場合や、カード型記憶媒体が非活性化された場合には、上位装置（リーダ／ライタ，取引装置，端末装置）へエラーレスポンスによるエラー通知が行なわれ、ＩＣカード３０に対してアクセスを行なった上位装置側では、エラー表示等やそれに準じた処理を行ない、そのエラーに対して直ちに対処することができる。
Furthermore, since the
When an error occurs due to the various checks described above, or when the card-type storage medium is deactivated, an error notification is sent to the host device (reader / writer, transaction device, terminal device) by an error response. The host device that has accessed the
上述したような本実施例のＩＣカード３０を、ＩＣカード用リーダ／ライタを内蔵した端末装置、あるいは、独立したＩＣカード用リーダ／ライタに接続された端末装置や、このような端末装置の上位装置（ホスト）などを含んで構成されるシステムに用いることにより、そのシステム全体のセキュリティを強化することができる。
The
以上のように、本実施例によれば、セキュリティ基本情報、即ち、アクセス資格とその資格に対応するアクセス権とのセキュリティ基本情報にアクセス許容回数等の付加情報を絡めることにより、ＩＣカード３０を用いたシステムのセキュリティの強度を高めることができ、高度なセキュリティが要求されるシステム（キャッシュカード，クレジットカード等）のセキュリティ強度向上に寄与するところが大きい。 As described above, according to this embodiment, the basic information of security, that is, the basic information of security of access qualification and the access right corresponding to the qualification is entangled with additional information such as the permitted number of times of access. The strength of the security of the used system can be increased, and it greatly contributes to the improvement of the security strength of a system (cash card, credit card, etc.) requiring high security.
なお、上述した第１実施例では、アクセス許容回数とトランザクション処理許容時間の両方をセキュリティ付加情報として設定し、アクセス回数チェックとトランザクション処理時間チェックとを並行して行なう場合について説明したが、これらのアクセス回数チェックまたはトランザクション処理時間チェックのいずれか一方のみを行なうようにしてもよい。 In the first embodiment described above, a case has been described in which both the allowable access count and the allowable transaction processing time are set as additional security information, and the access count check and the transaction processing time check are performed in parallel. Only one of the access count check and the transaction processing time check may be performed.
（ｂ）第２実施例の説明
図１１は本発明の第２実施例としてのカード型記憶媒体（カード型記憶装置）および取引装置の構成を示すブロック図であり、この図１１において、６０はＩＣカード（カード型記憶装置）で、このＩＣカード６０には、第１実施例のＩＣカード３０と同様に、制御部としてのマイクロプロセッサユニット（ＭＰＵ）６１と、記憶部としてのメモリ（ファイル領域；例えばＥＰＲＯＭ／ＥＥＰＲＯＭ）６２とが内蔵されており、このＩＣカード６０は、図１４，図１５により前述した端子部（図１１には図示せず）を介して、取引装置８０に接続されるようになっている。
(B) Description of Second Embodiment FIG. 11 is a block diagram showing the configuration of a card-type storage medium (card-type storage device) and transaction apparatus as a second embodiment of the present invention. In FIG. As with the
ここで、メモリ６２には、複数のデータファイル６２Ｃを保持するデータ領域６２Ａと、このデータ領域６２Ａの各データファイル６２Ｃについての制御情報を保持するディレクトリ領域６２Ｂとがそなえられている。
また、ＭＰＵ６１は、ディレクトリ領域６２Ｂにおける制御情報に基づいてメモリ６２のデータ領域６２Ａにおける各データファイル３２Ｃを管理するもので、外部装置からアクセスコマンドを受けると、そのアクセスコマンドに応じた処理を実行する機能を有している。
Here, the
The
そして、本実施例のＭＰＵ６１は、制御動作を行なうためのプログラムを保持するＲＯＭ６３や、制御動作を行なう際のワークエリアとして用いられるＲＡＭ６４を有するほか、図１１に示すような機能構成を有している。即ち、ＭＰＵ６１には、ノードＩＤ生成部（固有識別子生成手段）６５，暗号化部６６，ノードＩＤ通知部（固有識別子通知手段）６７，復号化部６８，第１比較部６９，第１判断部７０，第２比較部７１，第２判断部７２およびエラー通知部７３がそなえられている。
The
ここで、ノードＩＤ生成部６５は、後述する取引装置（外部装置）８０との間で取引（トランザクション）が開始され、取引装置８０のアクセス対象のファイルが確定すると、今回のトランザクションのためのノードＩＤ（node identifier;固有識別子）を生成するものである。このノードＩＤ生成部６５によるノードＩＤの生成処理は特に規定しないが、例えば、疑似乱数等を発生させる関数（数を動的，ランダムに発生するもの）を用い、その疑似乱数等をノードＩＤとして使用する。
Here, the node
暗号化部６６は、ノードＩＤ生成部６５により今回のトランザクションのために生成したノードＩＤを第１暗号キーにより暗号関数を用いて暗号化するものである。以後、暗号文をＥ（平文）として記述し、復号文をＤ（平文）として記述する場合がある。ここで、“Ｅ”は暗号化するという意味のエンサイファ(encipher)の頭文字であり、“Ｄ”は復号化するという意味のディサイファ(decipher)の頭文字である。
The
ノードＩＤ通知部６７は、暗号化部６６により暗号化して得られた暗号文ノードＩＤを、暗号化前の平文ノードＩＤとともにファイル確定時のレスポンス情報として取引装置８０に通知するものである。つまり、本実施例では、ＩＣカード６０から取引装置８０に通知されるノードＩＤは、“平文＋Ｅ（平文）”の形式になっている。
The node
また、復号化部６８は、取引装置８０から、“平文＋Ｅ（平文）”の形式のノードＩＤをパラメータとして付与されたファイルアクセスコマンドを通知されると、第２暗号キーにより暗号関数を用いて、暗号文ノードＩＤ〔Ｅ（平文）〕を復号化して、ノードＩＤについての復号文Ｄ（平文）を得るためのものである。なお、この復号化部６８で用いられる第２暗号キーおよび暗号関数は、当該ＩＣカード６０もしくは後述の取引装置８０が正当なものであれば、その取引装置８０の暗号化部８４での暗号化に用いられる第２暗号キーおよび暗号関数と同一のものになる。
In addition, when the
第２比較部７１は、復号化部６８により復号化して得られた復号文ノードＩＤ〔Ｄ（平文）〕と取引装置８０からの平文ノードＩＤとを比較するものである。そして、第２判断部７２は、第２比較部７１による比較の結果、これらの復号文ノードＩＤと平文ノードＩＤとが一致した場合に取引装置８０からのアクセスコマンドが正当なものであると判断するもので、この第２判断部７２により取引装置８０からのアクセスコマンドが正当なものであると判断された場合には、第１比較部６９による次の処理へ移行するようになっている。
The
第１比較部６９は、取引装置８０からのアクセスコマンドに付与されたノードＩＤ（平文ノードＩＤまたは復号文ノードＩＤのいずれか一方）と、今回のトランザクションのためにノードＩＤ生成部６５により生成したノードＩＤとを比較するものである。そして、第１判断部７０は、第１比較部６９による比較の結果、これらのノードＩＤが一致した場合に取引装置８０からのアクセスコマンドが当該トランザクションについてのものであると判断するもので、この第１判断部７０により取引装置８０からのアクセスコマンドが当該トランザクションについてのものであると判断された場合には、取引装置８０からのアクセスコマンドに応じた処理を実行するようになっている。
The
さらに、エラー通知部７３は、第１比較部６９もしくは第２比較部７１によるノードＩＤの比較結果が不一致である場合、即ち、第１判断部７０により取引装置８０からのアクセスコマンドが当該トランザクションについてのものでないと判断された場合、もしくは、第２判断部７２により取引装置８０からのアクセスコマンドが不当なものであると判断された場合に、取引装置８０からのアクセスコマンドに対する応答としてエラー通知（エラーレスポンス通知）を行なうものである。
Furthermore, the
一方、本実施例の取引装置８０は、ＩＣカード６０に対してアクセスし取引を実行するもので、この取引装置８０には、復号化部８１，比較部８２，判断部８３，暗号化部８４，通知部８５がそなえられている。
ここで、復号化部８１は、ＩＣカード６０とのトランザクションの開始時に、このＩＣカード６０から“平文＋Ｅ（平文）”の形式でノードＩＤを通知されると、第１暗号キーにより暗号関数を用いて、暗号文ノードＩＤ〔Ｅ（平文）〕を復号化して、ノードＩＤについての復号文Ｄ（平文）を得るためのものである。なお、この復号化部８１で用いられる第１暗号キーおよび暗号関数は、当該取引装置８０もしくは前述のＩＣカード６０が正当なものであれば、そのＩＣカード６０の暗号化部６７での暗号化に用いられる第１暗号キーおよび暗号関数と同一のものになる。
On the other hand, the
Here, when the
また、比較部８２は、復号化部８１により復号化して得られた復号文ノードＩＤ〔Ｄ（平文）〕とＩＣカード６０からの平文ノードＩＤとを比較するものである。
そして、判断部８３は、比較部８２による比較の結果、これらの復号文ノードＩＤと平文ノードＩＤとが一致した場合にＩＣカード６０が当該取引装置８０にとって正当なものであると判断するもので、この判断部８３によりＩＣカード６０がが正当なものであると判断された場合には、暗号化部８４による次の処理へ移行するようになっている。
The
The
暗号化部８４は、ＩＣカード６０からのノードＩＤ（平文ノードＩＤまたは復号文ノードＩＤのいずれか一方）を第２暗号キーにより暗号関数を用いて暗号化するものである。なお、この暗号化部８４で用いられる第２暗号キーおよび暗号関数は、前述した通り、当該取引装置８０もしくは前述のＩＣカード６０が正当なものであれば、そのＩＣカード６０の復号化部６８での復号化に用いられる第２暗号キーおよび暗号関数と同一のものになる。
The
さらに、通知部８５は、今回のＩＣカード６０とのトランザクションを終了するまで、“平文＋Ｅ（平文）”の形式のノードＩＤを、パラメータとして付与したアクセスコマンドをＩＣカード６０に通知するものである。なお、通知部８５でアクセスコマンドに付与される暗号文ノードＩＤ〔Ｅ（平文）〕は、暗号化部８４によって暗号化されたものである。
Further, the
次に、上述のごとく構成された本実施例のＩＣカード６０および取引装置８０について、ファイルアクセス時の処理動作を、図１２に示すフローチャート（ステップＳ２１〜Ｓ３０）に従って説明する。
ＩＣカード６０が取引装置８０（リーダ／ライタ）に挿入されると、取引装置８０側からＩＣカード６０にファイルオープン指令等が通知され、例えば第１実施例で説明したようなセキュリティチェックを行なわれる。そのセキュリティチェックの結果がＯＫであれば、取引装置８０側からＩＣカード６０にファイル確定コマンドが通知され、ＩＣカード６０において、ファイル確定処理が行なわれる（ステップＳ２１）。
Next, the processing operation at the time of file access for the
When the
そして、取引装置８０からＩＣカード６０へのファイル確定処理依頼を契機として、アクセス対象のファイルが確定されると、ＩＣカード６０のノードＩＤ生成部６５により、今回のトランザクションについてなノードＩＤが生成される（ステップＳ２２）。
ここで生成されたノードＩＤは、次にＩＣカード６０を取引装置等に挿入した際にハードウエアリセットが掛かるまでＩＣカード６０のメモリ６２内で保持される。そして、ハードウエアリセット時に、前回のノードＩＤをメモリ３２から消去することにより、トランザクション毎に固有（ユニーク）なノードＩＤとなる。
Then, when the file to be accessed is confirmed by the file confirmation processing request from the
The node ID generated here is held in the
ノードＩＤ生成部６５により生成されたノードＩＤは、ノードＩＤ通知部６７により取引装置８０に通知されるが、このとき、そのノードＩＤを平文のまま通知する平文形式をとってもよいし、また、そのノードＩＤを暗号化し暗号文として通知する暗号文形式をとってもよい。さらには、平文ノードＩＤと暗号文ノードＩＤとを両方とも通知する平文＋暗号文〔平文＋Ｅ（平文）〕の形式をとってもよい。
The node ID generated by the node
図１２や、具体例について後述する図１３では、最もセキュリティレベルの高い最後の形式、つまり、“平文＋Ｅ（平文）”の形式のノードＩＤを、ＩＣカード６０と取引装置８０との間でやり取りする場合について説明する。
さて、第２本実施例では、図１２に示すように、ノードＩＤ生成部６５により生成されたノードＩＤは、暗号化部６６で、第１暗号キーにより暗号関数を用いて暗号化された後（ステップＳ２３）、ノードＩＤ通知部６７により、暗号化部６６により得られた暗号文ノードＩＤ〔Ｅ（平文）〕と、暗号化前の平文ノードＩＤとが取引装置８０へ通知される。
In FIG. 12 and FIG. 13, which will be described later with a specific example, the node ID in the last format with the highest security level, that is, the format of “plaintext + E (plaintext)” is exchanged between the
In the second embodiment, as shown in FIG. 12, the node ID generated by the node
そして、ノードＩＤを通知された取引装置８０では、まず、復号化部８１で、暗号文ノードＩＤ〔Ｅ（平文）〕が第１暗号キーにより暗号関数を用いて復号化され（ステップＳ２４）、比較部８２において、復号化部８１により得られた復号文ノードＩＤ〔Ｄ（平文）〕と、ＩＣカード６０から通知された平文ノードＩＤとが比較・照合される（ステップＳ２５）。
Then, in the
その比較の結果、復号文ノードＩＤと平文ノードＩＤとが一致した場合、判断部８３により、ＩＣカード６０が取引装置８０にとって正当なものであると判断し、次の処理へ移行する。
一方、復号文ノードＩＤと平文ノードＩＤとが不一致であった場合には、判断部８３により、ＩＣカード６０から取引装置８０へノードＩＤを通知する際に何らかのデータ改ざんがあったか、あるいは、ＩＣカード６０における暗号キー，暗号関数と取引装置８０における暗号キー，暗号関数とが異なりＩＣカード６０がこの取引装置８０のアプリケーションの対象ではないと判断し、トランザクションを中断してから、ＩＣカード６０を排出する。
As a result of the comparison, if the decrypted text node ID and the plaintext node ID match, the
On the other hand, if the decrypted text node ID and the plaintext node ID do not match, there has been any data falsification when the node ID is notified from the
そして、復号文ノードＩＤと平文ノードＩＤとが一致した場合、それ以降、取引装置８０からＩＣカード６０に対してファイルアクセスコマンドを発行する際には、ノードＩＤが、暗号化部８４で、第２暗号キーにより暗号関数を用いて暗号化され（ステップＳ２６）、暗号化部８４より得られた暗号文ノードＩＤ〔Ｅ（平文）〕と、暗号化前の平文ノードＩＤとが、ファイルアクセスコマンドにパラメータとして付与された状態で、通知部８５によりＩＣカード６０へ通知される。
If the decrypted text node ID and the plaintext node ID match, then, when issuing a file access command from the
ファイルアクセスコマンドのパラメータとして、“平文＋Ｅ（平文）”の形式のノードＩＤを通知されたＩＣカード６０では、まず、復号化部６８で、暗号文ノードＩＤ〔Ｅ（平文）〕が第２暗号キーにより暗号関数を用いて復号化され（ステップＳ２７）、第２比較部７１において、復号化部６８により得られた復号文ノードＩＤ〔Ｄ（平文）〕と、取引装置８０から通知された平文ノードＩＤとが比較・照合される（ステップＳ２８）。
In the
その比較の結果、復号文ノードＩＤと平文ノードＩＤとが一致した場合、第２判断部７２により、取引装置８０からのアクセスコマンドが正当なものであると判断し、次に、第１比較部６９により、ノードＩＤ（復号文ノードＩＤもしくは平文ノードＩＤ）と、今回のトランザクションのためにノードＩＤ生成部６５により生成されメモリ６２に保持されているノードＩＤとが比較・照合される（ステップＳ２９）。
As a result of the comparison, if the decrypted text node ID and the plaintext node ID match, the second determining
その比較の結果、これらのノードＩＤが一致した場合には、第１判断部７０により、取引装置８０からのファイルアクセスコマンドが当該トランザクションについてのものである、つまり、ファイルアクセスコマンドを発行したアプリケーション（取引装置８０）はファイル確定処理を行なったアプリケーションと同一のものであるとしてアプリケーションを確定し、実際のファイルアクセス処理を行ない（ステップＳ３０）、その結果をレスポンスとして取引装置８０へ通知する。
If the node IDs match as a result of the comparison, the
ここで、ファイルアクセスコマンドのパラメータで指定されたノードＩＤ（平文）と、ＩＣカード６０内で保持しているノードＩＤとが等しいということは、ＩＣカード６０内で生成したノードＩＤをアプリケーションが知っていることになり、そのノードＩＤは、ファイル確定処理を行なったアプリケーションだけが知り得るノードＩＤであるため、ファイルアクセスを行なうアプリケーションは正当であると判断することができる。
Here, the fact that the node ID (plain text) specified by the parameter of the file access command is equal to the node ID held in the
一方、ステップＳ２８（第２比較部７１）による比較の結果、ノードＩＤが不一致であった場合には、第２判断部７２により、ＩＣカード６０から取引装置８０へノードＩＤを通知する際に何らかのデータ改ざんがあったか、あるいは、ＩＣカード６０における暗号キー，暗号関数と取引装置８０における暗号キー，暗号関数とが異なりＩＣカード６０が取引装置８０のアプリケーションの対象ではないと判断し、エラー通知部７３により、そのアクセスコマンドに対する応答としてエラー通知がなされる。
On the other hand, if the node IDs do not match as a result of the comparison in step S28 (second comparison unit 71), when the
また、ステップＳ２９（第１比較部６９）による比較の結果、ノードＩＤが不一致であった場合には、第１判断部７０により、アクセスコマンドを通知してきた取引装置８０（アプリケーション）はファイル確定処理を行なったものではないと判断し、エラー通知部７３により、そのアクセスコマンドに対する応答としてエラー通知がなされる。
If the node IDs do not match as a result of the comparison in step S29 (first comparison unit 69), the transaction device 80 (application) that has notified the access command by the
これにより、取引装置（上位装置）へエラーレスポンスによるエラー通知が行なわれ、ＩＣカード６０に対してアクセスを行なった取引装置８０側では、そのトランザクションを中断してから、エラー表示，ＩＣカード６０の排出等やそれに準じた処理を行ない、そのエラーに対して直ちに対処することができる。
以下に、より具体的な例について図１３を用いて説明する。ここでは、例えば医療機関において、診断情報の書込を行なうアプリケーションＡと、診断結果を決済するアプリケーションＢとが同一のＩＣカード６０に対して同時にアクセスを行なう場合を想定している。即ち、複数のアプリケーションが同一のＩＣカード６０に対して同時にアクセスできるシステム構成になっている。
As a result, an error notification is sent to the transaction device (higher level device), and the
A more specific example will be described below with reference to FIG. Here, it is assumed that, for example, in a medical institution, an application A that writes diagnostic information and an application B that settles a diagnosis result simultaneously access the
ここで、診断情報書込アプリケーションＡAはファイル診断情報ファイルＦAにアクセスし、医療費決済アプリケーションＡBは金額情報ファイルＦBにアクセスするものとする。このとき、ＩＣカード６０は複数のアプリケーションからのコマンドを受け付けるため、あるファイルに対するアクセスは、そのファイルに対して確定処理を行なったアプリケーションからのアクセスのみを受け付ける必要が出てくる。
Here, it is assumed that the diagnostic information writing application A A accesses the file diagnostic information file F A and the medical expense settlement application A B accesses the amount information file F B. At this time, since the
このため、本実施例のＩＣカード６０では、前述した通り、診断情報書込アプリケーションＡAから診断情報ファイルＦAに対してファイル確定コマンドを受け付けると（図１３の丸付き数字１参照）、そのコマンドに対して、ノードＩＤ＝“０１”を生成し、このノードＩＤはランダムに生成されるため、特に“０１”には限らない）、アプリケーションＡAに通知する。このノードＩＤ＝“０１”は、アプリケーションＡAのみが知ることができるＩＤである。
For this reason, in the
また、このとき、アプリケーションＡAと共通の暗号キーＡでノードＩＤを暗号化し（図１３の丸付き数字２参照）、“平文＋ＥA（ノードＩＤ＝“０１”）”の形式で通知すると（図１３の丸付き数字３参照）、アプリケーションＡAのみがそのノードＩＤを復号化することができ、さらにセキュリティ強度を向上させることができる。
即ち、“平文＋ＥA（ノードＩＤ＝“０１”）”の形式のノードＩＤをＩＣカード６０から通知されたアプリケーションＡAでは、暗号キーＡにより暗号文ノードＩＤ〔ＥA（ノードＩＤ＝“０１”）〕を復号化して得られた復号化ノードＩＤ〔ＤA（ノードＩＤ＝“０１”）〕が、平文ノードＩＤと一致するか否かを判定する（図１３の丸付き数字４参照）。
At this time, (see circled numbers 2 in FIG. 13) encrypts the node ID in the application A A common encryption key A, "plaintext + E A (node ID =" 01 ")" When notified in the form of ( Only the application A A can decrypt the node ID, and the security strength can be further improved.
That is, in the application A A notified from the
その判定の結果が一致した場合には、以降、アプリケーションＡAのアクセスコマンドは、このノードＩＤ＝“０１”を指定することにより、ＩＣカード６０ではファイルＦAに対するアクセスがファイル確定を行なったアプリケーションと同一であると見なすことができ、アクセスコマンドを受け付けることになる。
アプリケーションＡBに対しても、ファイルＦBで同様の処理（図１３の丸付き数字１〜５参照）を行なうことにより、ファイルＦBに対してアクセス可能となる。ただし、アプリケーションＡBとファイルＦBとの間の処理では、ノードＩＤとしてランダムに生成された例えば“０２”が用いられている。
If the determination results match, the access command of the application A A specifies the node ID = “01”, so that the access to the file F A in the IC card 60 is confirmed by the file. Can be regarded as the same, and an access command is accepted.
Application A B can also be accessed for file F B by performing the same processing on file F B (see circled
このような形で、ノードＩＤにより、アプリケーションの管理を行なうことにより、同一のアプリケーションに対して、複数のアプリケーションからのアクセス管理を行なうことが可能になる。
例えば、診断情報アプリケーションＡAが金額情報ファイルＦBに不正にアクセスを試みた場合、アプリケーションＡAでは、アプリケーションＦBに通知されたノードＩＤが不明であるため、ファイルＦBにはアクセスが不可能になり、金額情報ファイルＦBの残高情報等が不正に操作されるのを確実に防止することができる。
In this way, by managing applications using node IDs, it becomes possible to manage access from a plurality of applications to the same application.
For example, when the diagnostic information application A A attempts to illegally access the money amount information file F B , the node ID notified to the application F B is unknown in the application A A , and therefore the file F B is not accessible. allowing the balance information of the amount information file F B can be reliably prevented from being operated incorrectly.
このように、本発明の第２実施例によれば、ＩＣカード６０内でノードＩＤを動的に生成しアプリケーション（取引装置８０）に通知することにより、トランザクション毎に固有なノードＩＤを実現している。さらに、ノードＩＤを暗号化し、暗号キーをＩＣカード６０とその上位装置（取引装置８０）とで共通にもつことにより、ノードＩＤを通知するときのデータタッピング（tap:盗聴）を防止することが可能となる。
As described above, according to the second embodiment of the present invention, a unique node ID is realized for each transaction by dynamically generating a node ID in the
また、このノードＩＤは正当なアプリケーションのみが知り得るＩＤであり、正当なアプリケーションのみが暗号化または復号化できることになる。不正なアプリケーションでは、暗号キー等の情報を知ることができないため、ノードＩＤの復号化や、ノードＩＤの暗号化を行なえないからである。
このようにして、コマンドを発行するアプリケーションを管理することにより、ＩＣカード６０にアクセスするアプリケーションを特定してセキュリティを強化することが可能になり、複数のアプリケーションが並行して動作するシステムにおいても、同一のＩＣカード６０の所定ファイルに対しあるアプリケーションがアクセスし取引を行なっている際に、異なる不当なアプリケーションが同時にアクセスしその所定ファイルに対して不正行為を行なうことを確実に防止できる。
Further, this node ID is an ID that only a legitimate application can know, and only the legitimate application can be encrypted or decrypted. This is because an unauthorized application cannot know information such as an encryption key, and therefore cannot decrypt a node ID or encrypt a node ID.
In this way, by managing applications that issue commands, it is possible to identify applications that access the
そして、上述した各種チェックによりエラーが発生した場合には、取引装置８０へエラーレスポンスによるエラー通知が行なわれ、ＩＣカード６０に対してアクセスを行なった取引装置８０側では、エラー表示等やそれに準じた処理を行ない、そのエラーに対して直ちに対処することができる。
また、上述したような本実施例のＩＣカード６０および取引装置８０を、ＩＣカード用リーダ／ライタを内蔵した端末装置、あるいは、独立したＩＣカード用リーダ／ライタに接続された端末装置や、このような端末装置の上位装置（ホスト）などを含んで構成されるシステムに用いることにより、そのシステム全体のセキュリティを強化することができる。
When an error occurs due to the various checks described above, an error notification is made to the
In addition, the
以上のように、本実施例によれば、１枚のＩＣカード６０に対して、複数のアプリケーションがアクセスできるための充分なセキュリティを確保することができ、今後、想定されるユーザニーズの多様化等の要望に対応することができる。
さらに、従来のセキュリティ方式に比べて、セキュリティの強度を極めて高度化することができるため、単独のアプリケーションでアクセスする場合でも、充分なセキュリティが確保でき、高度なセキュリティが要求されるシステム（キャッシュカード，クレジットカード等）のセキュリティ強度向上に寄与するところが大きい。
As described above, according to the present embodiment, it is possible to ensure sufficient security for a plurality of applications to access a
In addition, the strength of security can be greatly enhanced compared to conventional security methods, so even when accessing with a single application, sufficient security can be secured and a system that requires high security (cash card) , Credit cards, etc.) greatly contributes to improving the security strength.
なお、上述した第２実施例では、ＩＣカード６０と取引装置８０との間で“平文＋Ｅ（平文）”の形式のノードＩＤを通知する場合について説明したが、平文形式のノードＩＤや、暗号文〔Ｅ（平文）のみ〕形式のノードＩＤを通知するようにしてもよい。
平文形式のノードＩＤを通知する場合、図１１において、暗号化部６６，復号化部６８，第２比較部７１，第２判断部７２，復号化部８１，比較部８２，判断部８３，暗号化部８４は不要になり、図１２において、ステップＳ２３，Ｓ２４，Ｓ２５，Ｓ２６，Ｓ２７，Ｓ２８の処理は省略されることになる。
In the second embodiment described above, the case where the node ID in the form of “plain text + E (plain text)” is notified between the
In the case of notifying the plaintext node ID, in FIG. 11, the
暗号文〔Ｅ（平文）のみ〕形式のノードＩＤを通知する場合、図１１において、第２比較部７１，第２判断部７２，比較部８２，判断部８３は不要になり、図１２において、ステップＳ２５，Ｓ２８の処理は省略される。ただし、取引装置８０側で、ＩＣカード６０から通知された暗号文ノードＩＤをそのままアクセスコマンドに付与する場合には、図１１において、復号化部８１，暗号化部８４も不要になり、図１２において、ステップＳ２４，Ｓ２６の処理も省略される。このとき、ＩＣカード６０側における復号化部６８は、第１暗号キーにより暗号関数を用いて暗号文ノードＩＤを復号化することになる。
When notifying the node ID of the ciphertext [E (plaintext) only] format, the
また、上述した第２実施例において、第１暗号キーと第２暗号キーとは同一のキーでもよく、また、ＩＣカード６０内の第１比較部７０によるノードＩＤの比較・照合は、ＩＣカード６０内に保持してあるノードＩＤを第２暗号キーで暗号化して行なってもよい。
さらに、上述した第１実施例により説明したセキュリティ基本情報およびセキュリティ付加情報に基づくセキュリティチェックを行なって、ファイル確定処理を行なった後に、第２実施例を行なうようにしてもよく、この場合、ＩＣカードに対するセキュリティ機能をさらに高めることができる。
In the second embodiment described above, the first encryption key and the second encryption key may be the same key, and the node ID comparison / collation by the
Further, the security check based on the basic security information and the additional security information described in the first embodiment described above may be performed, and the file determination process may be performed, and then the second embodiment may be performed. The security function for the card can be further enhanced.
また、上述した第１および第２実施例では、カード型記憶装置がＩＣカードである場合について説明したが、本発明は、これに限定されるものではなく、光カードなどの他種のカード型記憶装置にも同様に適用され、上記実施例と同様の作用効果を得ることができる。 In the first and second embodiments described above, the case where the card-type storage device is an IC card has been described. However, the present invention is not limited to this, and other types of card types such as an optical card. The present invention is similarly applied to the storage device, and the same operation and effect as the above-described embodiment can be obtained.
１Ａ，１Ｂ，１Ｃ カード型記憶媒体（カード型記憶装置）
２Ａ，２Ｂ，２Ｃ 記憶部
３Ａ，３Ｂ，３Ｃ 制御部
４Ａ 計数手段
４Ｂ 計時手段
５Ａ 第１比較手段
５Ｂ 第２比較手段
６Ａ，６Ｂ，６Ｃ エラー判断手段
１１ カード型記憶媒体
１２ 記憶部
１３ 制御部
１４ 固有識別子生成手段
１５ 固有識別子通知手段
１６ 第１比較手段
１７ 第１判断手段
２１ 取引装置（外部装置）
２２ 通知手段
３０ ＩＣカード（カード型記憶装置）
３１ ＭＰＵ（制御部）
３２ メモリ（記憶部，ファイル領域）
３２Ａ データ領域
３２Ｂ ディレクトリ領域
３２Ｃ データファイル
３２Ｄ マスタディレクトリ領域
３２Ｅ サブディレクトリ領域
３２Ｆ ファイル
３３ ＲＯＭ
３４ ＲＡＭ
３５ 通信制御部
３６ コマンド受付・振分部
３７ コマンド処理部
３８ ファイル管理部
４１ パラメータチェック部
４２ セキュリティ基本チェック部
４３ セキュリティ付加チェック部
４４ ファイルアクセス部
５１ アクセス回数カウンタ（計数手段）
５２ タイマ（計時手段）
５３ 第１比較部
５４ 第２比較部
５５ エラー判断部
５６ エラー通知部
５７ エラー発生回数累積カウンタ（累積手段）
５８ エラー発生回数比較部
５９ 非活性化指示部（非活性化手段）
６０ ＩＣカード（カード型記憶媒体）
６１ ＭＰＵ（制御部）
６２ メモリ（記憶部，ファイル領域）
６２Ａ データ領域
６２Ｂ ディレクトリ領域
６２Ｃ データファイル
６３ ＲＯＭ
６４ ＲＡＭ
６５ ノードＩＤ生成部（固有識別子生成手段）
６６ 暗号化部
６７ ノードＩＤ通知部（固有識別子通知部）
６８ 復号化部
６９ 第１比較部
７０ 第１判断部
７１ 第２比較部
７２ 第２判断部
７３ エラー通知部
８０ 取引装置
８１ 復号化部
８２ 比較部
８３ 判断部
８４ 暗号化部
８５ 通知部
1A, 1B, 1C Card type storage medium (Card type storage device)
2A, 2B,
22 Notification means 30 IC card (card type storage device)
31 MPU (control unit)
32 memory (storage, file area)
34 RAM
35
52 Timer (clocking means)
53
58 Error occurrence
60 IC card (card-type storage medium)
61 MPU (control unit)
62 Memory (storage unit, file area)
62A Data area 62B Directory area
64 RAM
65 Node ID generation unit (unique identifier generation means)
66
68
Claims (18)
該カード型記憶装置と該カード型記憶装置に対してアクセスし取引を実行する取引装置との間で取引が開始され、該取引装置のアクセス対象の該データファイルが確定すると、該カード型記憶装置において該カード型記憶装置にアクセスを行なった該取引装置を特定可能にするための固有識別子を生成し、その固有識別子を該取引装置に通知し、
当該取引の終了時まで、該取引装置の該カード型記憶装置に対するアクセスコマンドに該固有識別子を付与し、
該カード型記憶装置において、該取引装置からのアクセスコマンドに付与された固有識別子と、当該取引のために生成した固有識別子とを比較し、これらの固有識別子が一致する場合に該取引装置からのアクセスコマンドに応じた処理を実行することを
特徴とする、カード型記憶装置用セキュリティ管理方法。 A method of managing security for a card-type storage device comprising a storage unit for holding a data file,
When a transaction is started between the card-type storage device and a transaction device that accesses the card-type storage device and executes a transaction, and the data file to be accessed by the transaction device is determined, the card-type storage device Generating a unique identifier for enabling identification of the transaction device that has accessed the card-type storage device, and notifying the transaction device of the unique identifier;
Until the end of the transaction, give the unique identifier to the access command to the card type storage device of the transaction device,
In the card-type storage device, the unique identifier given to the access command from the transaction device is compared with the unique identifier generated for the transaction, and if these unique identifiers match, A security management method for a card-type storage device, characterized by executing processing according to an access command.
該取引装置において、該カード型記憶装置からの暗号文固有識別子を該第１暗号キーにより復号化することを特徴とする、請求項１記載のカード型記憶装置用セキュリティ管理方法。 The unique identifier generated for the transaction in the card type storage device is encrypted with the first encryption key, and then the ciphertext unique identifier is notified to the transaction device,
2. The security management method for a card type storage device according to claim 1, wherein in the transaction device, the ciphertext unique identifier from the card type storage device is decrypted with the first encryption key.
該取引装置において、該第１暗号キーにより該カード型記憶装置からの暗号文固有識別子を復号化し、復号化して得られた復号文固有識別子と該カード型記憶装置からの平文固有識別子とを比較し、これらの固有識別子が一致する場合に該カード型記憶装置に対するアクセス処理を続行することを特徴とする、請求項２記載のカード型記憶装置用セキュリティ管理方法。 Along with the ciphertext unique identifier obtained by encrypting with the first encryption key, the plaintext unique identifier before encryption is notified from the card type storage device to the transaction device,
In the transaction apparatus, the ciphertext unique identifier from the card type storage device is decrypted with the first encryption key, and the decrypted text unique identifier obtained by decryption is compared with the plaintext unique identifier from the card type storage device. 3. The security management method for a card type storage device according to claim 2, wherein the access processing for the card type storage device is continued when these unique identifiers match.
該カード型記憶装置において、該取引装置からのアクセスコマンドに付与された暗号文固有識別子を該第２暗号キーにより復号化してから、復号化して得られた復号文固有識別子と当該取引のために生成した固有識別子との比較を行なうことを特徴とする、請求項１〜３のいずれか一項に記載のカード型記憶装置用セキュリティ管理方法。 In the transaction device, the unique identifier from the card type storage device is encrypted with the second encryption key, and then the ciphertext unique identifier is given to the access command to the card type storage device of the transaction device,
In the card type storage device, the decrypted text unique identifier obtained by decrypting the cipher text unique identifier given to the access command from the transaction apparatus with the second encryption key, and the transaction 4. The card type storage device security management method according to claim 1, wherein the security identifier is compared with the generated unique identifier.
該カード型記憶装置において、該第２暗号キーにより該カード型記憶装置からの暗号文固有識別子を復号化し、復号化して得られた復号文固有識別子と該取引装置からの平文固有識別子とを比較し、これらの固有識別子が一致する場合に処理を続行することを特徴とする、請求項４記載のカード型記憶装置用セキュリティ管理方法。 Along with the ciphertext unique identifier obtained by encrypting with the second encryption key, the plaintext unique identifier before encryption is notified from the transaction device to the card type storage device,
In the card type storage device, the ciphertext unique identifier from the card type storage device is decrypted with the second encryption key, and the decrypted text unique identifier obtained by decryption is compared with the plaintext unique identifier from the transaction device. 5. The security management method for a card type storage device according to claim 4, wherein the processing is continued when these unique identifiers match.
該記憶部のディレクトリ領域における制御情報に基づいて該記憶部のデータ領域におけるデータファイルを管理する制御部とをそなえてなるカード型記憶装置において、
該制御部に、
外部装置との間で取引が開始され、該外部装置のアクセス対象の該データファイルが確定すると、該カード型記憶装置にアクセスを行なった該取引装置を特定可能にするための固有識別子を生成する固有識別子生成手段と、
該固有識別子生成手段により生成された固有識別子を該外部装置に通知する固有識別子通知手段と、
該外部装置からのアクセスコマンドに付与された固有識別子と、当該取引のために該固有識別子生成手段により生成した固有識別子とを比較する第１比較手段と、
該第１比較手段による比較の結果、これらの固有識別子が一致した場合に該外部装置からのアクセスコマンドが当該取引についてのものであると判断し、該外部装置からのアクセスコマンドに応じた処理を実行する第１判断手段とをそなえたことを
特徴とする、カード型記憶装置。 A storage unit having a data area for holding a data file, and a directory area for holding control information about the data file in the data area;
In a card-type storage device comprising a control unit that manages data files in the data area of the storage unit based on control information in the directory area of the storage unit,
In the control unit,
When a transaction is started with an external device and the data file to be accessed by the external device is determined, a unique identifier for enabling identification of the transaction device that has accessed the card type storage device is generated. A unique identifier generating means;
Unique identifier notification means for notifying the external device of the unique identifier generated by the unique identifier generation means;
First comparing means for comparing the unique identifier assigned to the access command from the external device with the unique identifier generated by the unique identifier generating means for the transaction;
If these unique identifiers match as a result of the comparison by the first comparing means, it is determined that the access command from the external device is for the transaction, and processing according to the access command from the external device is performed. A card-type storage device comprising a first determination means for executing.
該固有識別子通知手段が、該暗号化手段により暗号化して得られた暗号文固有識別子を該外部装置に通知することを特徴とする、請求項７記載のカード型記憶装置。 The control unit is provided with encryption means for encrypting the unique identifier generated for the transaction by the unique identifier generation means with the first encryption key,
8. The card type storage device according to claim 7, wherein the unique identifier notifying unit notifies the external device of a ciphertext unique identifier obtained by encryption by the encryption unit.
該第１比較手段が、該復号化手段により復号化して得られた復号文固有識別子と、該固有識別子生成手段により当該取引のために生成した固有識別子との比較を行なうことを特徴とする、請求項７〜９のいずれか一項に記載のカード型記憶装置。 When the ciphertext unique identifier obtained by encrypting the access command from the external device with the second cipher key is given to the control unit, the ciphertext unique identifier is decrypted with the second cipher key. With decryption means,
The first comparison means compares the decrypted text unique identifier obtained by decryption by the decryption means and the unique identifier generated for the transaction by the unique identifier generation means, The card-type memory | storage device as described in any one of Claims 7-9.
該外部装置からのアクセスコマンドに、該第２暗号キーにより暗号化して得られた暗号文固有識別子とともに暗号化前の平文固有識別子が付与されている場合に、該復号化手段により復号化して得られた復号文固有識別子と該外部装置からの平文固有識別子とを比較する第２比較手段と、
該第２比較手段による比較の結果、これらの固有識別子が一致した場合に該外部装置からのアクセスコマンドが正当なものであると判断し、処理を続行する第２判断手段とをそなえたことを特徴とする、請求項１０記載のカード型記憶装置。 In the control unit,
When the plaintext unique identifier before encryption is added to the access command from the external device together with the ciphertext unique identifier obtained by encrypting with the second encryption key, it is obtained by decrypting by the decrypting means. A second comparing means for comparing the decrypted text unique identifier and the plaintext unique identifier from the external device;
As a result of the comparison by the second comparison means, when these unique identifiers match, it is determined that the access command from the external device is valid, and the second determination means for continuing processing is provided. The card-type storage device according to claim 10, wherein
該カード型記憶装置におけるアクセス対象の該データファイルが確定し該カード型記憶装置にアクセスを行なった該取引装置を特定可能にするための固有識別子を該カード型記憶装置から通知されると、当該取引の終了時まで、該固有識別子を付与したアクセスコマンドを該カード型記憶装置に通知する通知手段をそなえたことを
特徴とする、カード型記憶装置用取引装置。 In a transaction apparatus for a card-type storage device that accesses a card-type storage device having a storage unit that holds a data file and executes a transaction with the card-type storage device,
When the card-type storage device is notified of a unique identifier for making it possible to identify the transaction device that has confirmed the data file to be accessed in the card-type storage device and has accessed the card-type storage device. A transaction apparatus for a card-type storage device, comprising a notification means for notifying the card-type storage device of an access command assigned with the unique identifier until the end of the transaction.
該比較手段による比較の結果、これらの固有識別子が一致する場合に該カード型記憶装置が正当なものであると判断し、該カード型記憶装置に対するアクセス処理を続行する判断手段とをそなえたことを特徴とする、請求項１５記載のカード型記憶装置用取引装置。 When the plaintext unique identifier before encryption is notified together with the ciphertext unique identifier from the card type storage device, the decrypted text unique identifier obtained by decryption by the decryption means and the card type storage device A comparison means for comparing the plaintext unique identifier;
When the comparison by the comparison means indicates that the unique identifiers match, it is determined that the card-type storage device is valid, and the determination means for continuing the access processing to the card-type storage device is provided. The transaction apparatus for card-type memory | storage devices of Claim 15 characterized by these.
該通知手段が、該暗号化手段により暗号化して得られた暗号文固有識別子をアクセスコマンドに付与して該カード型記憶装置に通知することを特徴とする、請求項１４〜１６のいずれかに記載のカード型記憶装置用取引装置。 Encryption means for encrypting the unique identifier from the card-type storage device with the second encryption key;
17. The notification unit according to any one of claims 14 to 16, wherein the notification unit adds a ciphertext unique identifier obtained by encryption by the encryption unit to an access command and notifies the card type storage device. The transaction apparatus for card-type memory | storage devices of description.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007339871A JP4303768B2 (en) | 2007-12-28 | 2007-12-28 | Security management method for card type storage device, card type storage device, and transaction device for card type storage device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007339871A JP4303768B2 (en) | 2007-12-28 | 2007-12-28 | Security management method for card type storage device, card type storage device, and transaction device for card type storage device |
Related Parent Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP18015694A Division JP4095680B2 (en) | 1994-08-01 | 1994-08-01 | Security management method for card type storage device and card type storage device |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2008097652A true JP2008097652A (en) | 2008-04-24 |
| JP4303768B2 JP4303768B2 (en) | 2009-07-29 |
Family
ID=39380355
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2007339871A Expired - Lifetime JP4303768B2 (en) | 2007-12-28 | 2007-12-28 | Security management method for card type storage device, card type storage device, and transaction device for card type storage device |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4303768B2 (en) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012141754A (en) * | 2010-12-28 | 2012-07-26 | Dainippon Printing Co Ltd | Ic chip, processing method in ic chip, processing program for ic chip, and portable terminal |
| JP2015022486A (en) * | 2013-07-18 | 2015-02-02 | 大日本印刷株式会社 | Identifier generation device, identifier generation method, and identifier generation program |
| WO2015041306A1 (en) | 2013-09-17 | 2015-03-26 | Ricoh Company, Limited | Device, system, and method |
-
2007
- 2007-12-28 JP JP2007339871A patent/JP4303768B2/en not_active Expired - Lifetime
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012141754A (en) * | 2010-12-28 | 2012-07-26 | Dainippon Printing Co Ltd | Ic chip, processing method in ic chip, processing program for ic chip, and portable terminal |
| JP2015022486A (en) * | 2013-07-18 | 2015-02-02 | 大日本印刷株式会社 | Identifier generation device, identifier generation method, and identifier generation program |
| WO2015041306A1 (en) | 2013-09-17 | 2015-03-26 | Ricoh Company, Limited | Device, system, and method |
| US10073792B2 (en) | 2013-09-17 | 2018-09-11 | Ricoh Company Limited | Device, system, and method for detecting, identifying, and communicating with a storage medium |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4303768B2 (en) | 2009-07-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4095680B2 (en) | Security management method for card type storage device and card type storage device | |
| US11664997B2 (en) | Authentication in ubiquitous environment | |
| CN106576044B (en) | Authentication in ubiquitous environments | |
| EP2143028B1 (en) | Secure pin management | |
| US8843757B2 (en) | One time PIN generation | |
| US7257708B2 (en) | Steganographic authentication | |
| EP3608860A1 (en) | Payment system for authorising a transaction between a user device and a terminal | |
| CN114175078A (en) | System and method for providing online and hybrid card interaction | |
| JP2004506361A (en) | Entity authentication in electronic communication by providing device verification status | |
| JP4303768B2 (en) | Security management method for card type storage device, card type storage device, and transaction device for card type storage device | |
| JP2003123032A (en) | Ic card terminal and individual authentication method | |
| CN113595714A (en) | Contactless card with multiple rotating security keys | |
| KR100408890B1 (en) | Method for certificating an credit dealing using a multi-certificated path and system thereof | |
| KR20150017374A (en) | Method for Settlement by using IC Chip | |
| JP3792808B2 (en) | Authentication method and authentication system | |
| JP4601498B2 (en) | Authentication apparatus, authentication method, program for realizing the method, and recording medium storing the program | |
| KR100423506B1 (en) | method of preventing an illegal software copy on-line using an IC chip installed card | |
| JP2006293875A (en) | Settlement system cooperating with biological authentication, and settlement terminal for ic card and ic card for use in the same | |
| JP5131327B2 (en) | Issuing method of information processing apparatus having authentication function | |
| JP5386860B2 (en) | Payment system, payment processing apparatus, validity verification apparatus, validity verification request processing program, validity verification processing program, and validity verification method | |
| JP4893410B2 (en) | Terminal device | |
| JP2007065727A (en) | Ic card use system | |
| JP4578167B2 (en) | Information processing device with authentication function | |
| KR100187518B1 (en) | Authentication apparatus of ic card terminal using dual card | |
| CA2913381C (en) | Method for control of authenticity of a payment terminal and terminal thus secured |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20081030 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20081125 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090121 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090407 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090424 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120501 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120501 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130501 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130501 Year of fee payment: 4 |
|
| EXPY | Cancellation because of completion of term |