JP2008102925A - 分割した電子サービスの提供方法 - Google Patents

Abstract

【課題】携帯端末上における電子サービスを分割して実行し最適なサービスを提供する。
【解決手段】プロバイダーは、サービスの分割を保証するセキュリティドメイン、電子サービスの処理を介して前記サービスがアクセスできるデータゾーンを設定することにより、複数のコンシューマーに対してサービスを提供する。セキュリティドメインのデータゾーンはデータアクセスキーによってのみアクセス可能である。セキュリティドメインにおいて、データゾーンを複数のサブゾーンに索引付きで分類することにより、要求の送信者である顧客に関連する所定サブゾーンだけの読み取り／書き込み／修正を可能にすることを保証する。
【選択図】図３

Description

本発明の課題は、電子サービスを分割して提供する方法である。
本発明の分野は携帯端末の分野であり、具体的にはこれらの携帯端末を介して提供されるサービスの分野である。「携帯端末」という用語は、第二世代又は第二世代より優れた携帯電話を意味するものとする。拡大解釈すると、携帯端末とは、ネットワークを介して通信でき、補助なしに人が持ち運べるあらゆるデバイスを意味する。従って、この範疇には、少なくとも携帯電話、パーソナルデジタルアシスタント及びラップトップが含まれる。

本発明の目的は、携帯端末の資源を節約しながら携帯電話にサービスを提供すること（即ち、サービスを使用可能にすること）である。
本発明の別の目的は、任意の端末において、前記端末の資源を節約しながら、このサービスを提供すること、又はこのサービスを複数のコンシューマーに使用可能にすることである。
本発明の別の目的は、サービスの提供を確実にすることにある。

従来技術には、携帯電話技術用のサービス以外のサービスを携帯電話に提案することを可能にする、周知の携帯電話技術ソフトウエアプラットフォームがある。
従来技術による解決法の１つは、電話機に埋め込まれたチップにサービスを装着することである。この場合、サービスは、サービスのプロバイダー及びコンシューマーに専用である。サービスを増加しなければならない場合、電話機内部のチップ、即ちコネクタも増やす必要があり、これはコスト高に直結する。しかしながら、この手法は、すべてが異なるチップ、従って異なる物理的メモリに事実上対応するサービス間の効率的な分割を保証する。しかし、２つ以上のサービスを実施するコストは好ましくない。

これらの内の別の手法は、セキュリティドメインの概念を応用する純粋なソフトウエアアーキテクチュアである。セキュリティドメインは、携帯電話のオペレーティングシステムのレベル又はオペレーティングシステムのオーバーレイヤーで定義される。このようなオーバーレイヤーは、例えば、ジャバタイプの仮想マシンである。セキュリティドメインは、プログラムゾーンとデータゾーンとに分割された少なくとも一つのメモリゾーンを有している。オペレーティングシステムの又はオーバーレイヤーのメカニズムは、前記セキュリティドメインのプログラムゾーンの命令コードが、前記セキュリティドメインのデータゾーンからのデータだけにアクセスできることを保証する。このようなセキュリティドメインへのアクセスは、一組のキー又は「キーセット」によって更に保護されている。従って、セキュリティドメインに関連するキーが複数個存在する。従って、技術的なドメインが、セキュリティドメインを保護する役割を担うキーセットの考えを導く。これらのキーの各々は、セキュリティドメインの保護の必要性に基づいて、非常に明確な一つの役割又は非常に明確な一つのセキュリティ機能専用である。以下に列挙するセキュリティキー又は機能は完全なものではないが、ドメインの保護のために、考慮されるドメインに適したセキュリティの必要性に応じて、複数のキーを適用することができる。従って、セキュリティドメインのサービスをインスタント化するための一つのキー、これらのサービスをアクティブにするための一つのキー、これらのサービスに対するアクセスを認証するための一つのキー、これらのサービスとの通信を暗号化するための一つのキー、及びセキュリティドメインのパラメータを修正する、即ち、前記ドメインのデータゾーンの内容を修正するための一つのキーが存在する。適正なキー、又は適正なキーへのアクセス手段に関する知識が無いと、所望の動作を開始することができない。
これらのメカニズムは、基本となるオペレーティングシステムが適切な分割を実施することを前提に、異なるセキュリティドメイン間におけるデータの効率的な分割を保証するために用いられる（これがジャバのファイヤウォーリング又はサンドボックスの概念である）。しかしながら、この手法には、少なくとも一つの大きな欠点がある。実際のサービスは、自分のデータの秘密性を重視する顧客に提供される。従って、各顧客は、サービスの各ユーザの携帯電話に別個のセキュリティゾーンをインストールする必要がある。従って、携帯電話を管理するオペレータが二つの異なるコンシューマーに同じセキュリティサービスを提案することを望む場合、ユーザの端末にセキュリティドメインのインストールを二回行ない、各コンシューマー用に一つずつ、合わせて二組のキーを提供しなければならない。これらのインストール回数は、各サービスについて、又はサービスの全てについて、サービスの数及びコンシューマーの数だけ倍増する。この結果、携帯電話が使用できなければならない資源が増加するので、そのコストが増加する及び／又は提供されるサービスの性能が低下する。

ＪａｖａＣａｒｄ^ＴＭ及び「グローバルプラットフォーム」、（ｈｔｔｐ：／／ｗｗｗ．ｇｌｏｂａｌｐｌａｔｆｏｒｍ．ｏｒｇ／）の世界でも、セキュリティドメインの概念が提案されているが、同じ限界、即ち、同じ「アプレット」（顧客側のメタ言語のアプリケーション）を異なるデータに対して複数回インスタント化するためにセキュリティドメインを倍増しなければならず、そのために、サービスプロバイダーとサービスのコンシューマーの両者に対し、秘密性及び分割性を保証しなければならない事態に直面している。従来技術では、ジャバスマートカードに関し、モデル−アプリケーションカードからグローバルプラットフォーム型のモデルを持つマルチ−アプリケーションカードへの発展を見たが、本発明は、同じアプリケーションが管理するデータに本来のジャバ分割システムの伝搬を可能にするうえで、ジャバマルチ−アプリケーションスマートカードの概念からジャバマルチ−データマルチ−アプリケーションスマートカードに移行することにより、上述の問題点を解明することを提案する。

本発明の課題は、電子端末上の電子サービスを分割して、サービスの加入者である少なくとも一つのプロバイダーに提供する方法を提案することにより前記問題点を解決することであり、前記プロバイダーは、準備ステップにおいて、サービスの分割を保証するセキュリティドメイン、及び前記サービスが直接的に又は電子サービスの処理を介してアクセスを得ることができるデータゾーンの設定を行うことにより、このサービスを複数のコンシューマーに提案し、このセキュリティドメインのデータゾーンには、データへのアクセスキーを介してのみアクセス可能である。本発明では、セキュリティドメイン内において、サービスが電子端末上でアクセスを得ることができるデータゾーンが画期的な方法でサブゾーンに索引付きで分類されていることにより、複数のコンシューマーの内の一つのコンシューマーからの要求が、直接的に又は電子サービスの処理により、要求を送信しているコンシューマーに関連する所定のサブゾーンだけの読み取り／書き込み／修正を実施できることが保証される。
従って、セキュリティドメインの資源だけを用いて、複数のコンシューマーにサービスを提供する少なくとも一つのサービスプロバイダーに、このサービスが提案される。

従って、本発明の課題は、電子端末上の電子サービスを分割して、サービスに加入している少なくとも一つのプロバイダーであって、サービスの分割を保証するセキュリティドメインと前記サービスがアクセスできるデータゾーンとを介して複数のコンシューマーにサービスを提案するプロバイダーに提供する方法であり、この場合のセキュリティドメインのデータゾーンにはデータアクセスキーを介してのみアクセスすることができ、
−セキュリティドメインにおいて、サービスが電子端末上でアクセスできるデータゾーンがサブゾーンに索引付き分類されていることにより、複数のコンシューマーの内の一つのコンシューマーによる要求が、要求の送信者である顧客に関連する所定のサブゾーンだけの読み取り／書き込み／修正の実施を可能にすることを保証する。

本発明による方法の一変形例によれば、索引付き分類は、識別子によって識別されたコンシューマーに関連するデータサブゾーンへのアクセスのアンロックを可能にする少なくとも一つの識別子のサービスに対し、コンシューマーにより提案されるサービス毎に、端末上でローカルに行われる。
本発明による方法の別の変形例によれば、このような識別の後に、サービスが少なくともコンシューマーの識別子から作成できる暗号化キーに基づいて認証が行われる。

本発明による方法の別の変形例によれば、索引付き分類は第三者のデバイスによって行われ、その際、第三者のデバイスは、コンシューマーから要求を受け取ると、
− 要求されたサービスを識別するステップ、
− サービスが要求されている端末を識別するステップ、
− コンシューマーを識別するステップ、及び
− 識別が可能である場合、識別された端末に更新要求を送り、コンシューマーからの要求を考慮するステップ
を実行する。
一変形例では、本発明の方法は、プロバイダーの識別後に認証が行われることも特徴とする。

一変形例では、本発明の方法は、更新要求がデータアクセスキーを用いて暗号化されることも特徴とする。
一変形例では、本発明の方法は、プロバイダーが、セキュリティドメインのサービス又はオペレーティングシステム、或いは端末のオペレーティングシステムに対する具体的な要求により、異なるコンシューマー及び／又はユーザ間におけるデータの作成、初期化、ロッキング、破壊、同期といった（これらに限定されない）、索引付き分類されたデータゾーンを管理するオペレーションの全てを直接行うことができることも特徴とする。これらの管理オペレーションは、プロバイダーに周知の複数の異なるキー又はキーセットによって保護することができる。

本発明による方法の一変形例では、データゾーンの索引付き分類は、端末上のゾーンのユーザを識別する情報に基づいて行われる。従って、一又は複数のサービスプロバイダーを持つ一又は複数のコンシューマーについて、同じ端末上で複数のユーザを管理することができる。この変形例では、特に、同じサービスの一又は複数のコンシューマーについて、複数のユーザ間での情報の同期化を可能にする。

後述の説明及び添付図面により、本発明を更に明瞭に説明する。これらの図面は説明を目的とするものであり、本発明の範囲を制限するものではない。

図１は、本発明の方法を実施する携帯端末１０１を示す。本実施例では、端末１０１は携帯電話である。実際、この図は、冒頭で引用したデバイスの全てに関する。図１に示すように、電話１０１は、少なくとも一つのマイクロプロセッサ１０２、通信用インターフェース回路１０３、プログラムメモリ１０４、及び集積回路リーダー１０５を有している。エレメント１０２〜１０５は、バス１０６により相互に接続している。
本明細書では、一つのアクションが一つのデバイスに起因する時、このアクションは、前記デバイスのプログラムメモリの命令コードによって制御される前記デバイスのマイクロプロセッサによって実際に行われる。アクションがプログラムに起因する時、このアクションは、プログラムメモリの一つのゾーンの命令コードの全て又は一部の実行に対応しており、前記ゾーンは、プログラムが記録されているプログラムメモリが属するデバイスの、マイクロプロセッサによる、プログラムに対応している。

本明細書において、用語「サービス」は、オペレータによってプロバイダーに提供されるサービスの提示に対応するプログラムを意味する。
従って、例えば、携帯電話のオペレータは、サービスプロバイダーに対し、顧客ロイヤリティポイントの計上サービスを販売する。このプロバイダーは、サービスのコンシューマーである顧客、例えば、パン屋、ディスク又は任意の商品の提供者を有している。これらの顧客は、顧客ロイヤリティポイントの計上サービスのコンシューマーである。このサービスの顧客は、最終顧客、即ち、一般市民に電子ロイヤリティカードを提案できる。従って、一つの端末で、同じサービス／プログラムを、複数の顧客のために、この場合複数の商店のために、使用することができる。

上述の実施例に加え、サービスの複数の実施例として、端末間暗号化サービス、相互認証サービス、電子式権利管理サービス、支払いサービス、電子式署名サービス等が挙げられるが、これらに限定されない。
本発明の一変形例では、プロバイダーは電話オペレータ自体と同じである。

回路１０３は、電話１０１が様々な基準に従って通信すること、中でも携帯電話基準に従って、全ての音声／データモードで通信すること、並びにＢｌｕｅＴｏｏｔｈ^Ｒ、Ｗｉｆｉのようなローカル通信基準、及びＲＦＩＤ／ＮＦＣ基準のような非接触基準として周知の基準に従って通信することを可能にする。

回路１０５は、電話１０１がＳＩＭ／ＵＳＩＭ（加入者識別モジュール／ＵＭＴＳ）カード１０７とインターフェースすることを可能にする。カード１０７は、少なくとも一つのマイクロプロセッサ１０８及びプログラムメモリ１０９を有している。エレメント１０５、１０８及び１０９は、バス１１０を経由して相互に接続している。
メモリ１０９は、オペレーティングシステムに対応する命令コードを持つゾーン１１１を一般的に有している。オペレーティングシステムは、カード１０７にインストールされたプログラムがカード１０７の資源（通信、ファイルシステム等）にアクセスすることを可能にする。従って、カード１０７にインストールされたプログラムの全ては、オペレーティングシステム１１１の機能を使用する。

図１は、任意の典型的なプログラムに対応し、従ってオペレーティングシステム１１１に直接接続する命令コードを具備するメモリ１０９のゾーン１１２を示す。
本発明は、セキュリティドメインの周知のメカニズムを用いている。このメカニズムは、オペレーティングシステム内における更なる機能の実施を意味する。これらのメカニズムは、実際には仮想マシン、例えばジャバ仮想マシンから成り立っている。図１は、この種の仮想マシン１１３を示す。原理的には、この仮想マシンは、仮想マシンのために書き込まれたプログラムと仮想マシンがインストールされているオペレーティングシステムとが行うコール間の中間に位置するものである。

実際に、仮想マシンはセキュリティドメインを作成でき、即ち、カードが製造される時にセキュリティドメインを作成することができるか、又はカードが製造される段階の後で動的に作成できる。図１はセキュリティドメインＳＤ１を示す。ドメインＳＤ１はメモリ１０９内のゾーンである。ドメインＳＤ１は、マシン１１３が理解できる命令コードに対応し、且つ前記のようなサービスの性能に対応するゾーンＳ１を有している。
ドメインＳＤ１はデータゾーンも有している。本発明では、このデータゾーンは、サブゾーンＤ１．１、Ｄ１．２〜Ｄ１．ｎに再分割される。セキュリティドメインのメカニズムは、ゾーンＳ１の命令コードだけがＳＤ１のデータゾーンのデータにアクセスできることを保証する。本発明は、各サブゾーンＤ１．ｘを所与の一コンシューマーに関連させることができる。サービスＳ１を呼び出すコンシューマーに応じて、一つのサブゾーンだけが使用可能になる。各々のサービス、従って、各々のセキュリティドメインは、サービス識別子Ｓｘによって識別される。各コンシューマーは、コンシューマー識別子ｉｄＣによって識別される。

このために、マシン１１３及び／又はゾーンＳ１は、ゾーンＳＥＣに記録された、サービスＳ１又はサービスＳｘ全体に対する要求の有効性の検証に専用の命令コードを備えている。各セキュリティドメインは固有のゾーンを有する。従って、ゾーンに記録されたコードは、データゾーンの索引付き分類を保証する。
サービスＳ１が外部と通信していると言う時、それはＳＩＭカード１０７及び電話１０１により通信している。

図１は、サービスＳ１に要求を送りたいと考えるコンシューマーによって使用されるコンシューマーデバイス１３０を示す。このデバイス１３０は、マイクロプロセッサ１３１、識別子メモリ１３２、キーの暗号化と認証のためのメモリ１３３、プログラムメモリ１３４及び通信インターフェース回路１３５を備えている。デバイス１３０はまた、サービスを識別するメモリ１３６及び命令メモリ１３７とを備え、一変形例では、プロクシーサーバを識別するメモリ１３８を備えている。
エレメント１３１〜１３８は、バス１３９によって相互に接続している。回路１３５は、回路１０３と同じ性質を有し、回路１０３が実行するスタンダードの内少なくとも一つのスタンダードと適合する。
メモリ１３４は、少なくともサービスＳ１に要求を送るための命令コードを備えている。本発明の一変形例では、メモリ１３４は、サービスＳ１によって提示される認証チャレンジの読み取りを可能にする命令コードも有している。一変形例では、メモリ１３４は、対称又は非対称な暗号化機能Ｆを実施するための命令コードを有している。

図２は、セキュリティドメインＳＤ１のデータゾーンの索引付き分類をＳＩＭカード１０７によってローカルに管理する時の、本発明による方法のステップを示す。
図２及び３で説明するステップを行う前に、オペレータは、カード１０７にサービスをインストールするステップを行う。このステップでは、オペレータは、図１で説明したメモリ１０９を構成する。即ち、オペレータは、メモリ１０９に、ドメインＳＤ１のようなセキュリティドメインを少なくとも一つインストールする。

図２は、コンシューマーがデバイス１３０をアクティブにして電話１０１と相互作用させるステップ２１を示す。このようなアクティブ化は、例えば、電話１０１の所有者が、電話をデバイス１３０に近づける間に機械的制御インターフェースを介して行われる。この場合、デバイス１３０と電話１０１の間の通信は、ＲＦＩＤ／ＮＦＣ型のメカニズム、赤外線又はＢｌｕｅｔｏｏｔｈ^Ｒ型のメカニズム、或いは他の任意の近接通信手段を介して、若しくは、移動又は固定のネットワークインフラストラクチャ上で伝送されるデータ通信を介して、非制限的に行われる。
デバイス１３０は、少なくとも一つのコンシューマーの識別子２０２、サービスの一つの識別子２０３、及び一つの命令コード２０４を含む要求２０５を生成する。本実施例では、これらの情報は単一の要求により送られる。実際には、それらの情報は、デバイス１３０と電話１０１の間で行なわれる要求のやり取りにより送られる。要求２０５の生成に必要な情報は、メモリ１３２、１３６、及び１３７で読み取られる。これらのメモリは、オペレータ／プロバイダーがデバイス１３０をコンシューマーに供給する時、オペレータ／プロバイダーによって更新される。フィールド２０４の内容は、コンシューマーの希望に応じて、デバイス１３０のパラメータ設定により変更できる。対照的に、フィールド２０２と２０３は、メモリ１３３と同様にプロバイダーの制御下にある。

生成された後、要求２０５は電話１０１に送られる。
ステップ２０６で、電話１０１は要求２０５を受け取り、それをカード１０７に送る。カード１０７が要求２０５の処理を行う。この処理は、少なくとも、フィールド２０３を読み取って、サービス、従ってセキュリティドメインを識別することから成る。フィールド２０３によって指定されるサービスが存在する場合、要求２０５がこのサービスによって処理される。これを、例えばサービスＳ１と考える。次いでサービスＳ１が要求２０５を処理する。要求２０５によって指定されるサービスが見つからない場合、この要求はごく単純に無視される。サービスＳ１による要求２０５の処理は、少なくとも、まずフィールド２０２を読み取ること、及びゾーンＤ１．ｘがこのように指定されたコンシューマーに対応するかどうかを調べるために検索することから成る。このような調査は、実際にはステップ２０７の間に行われる識別に対応する。サービスがコンシューマーを識別できない場合、オペレーションは終了ステップ２０８に進み、実質的に要求２０５を無視することになる。そうでない場合、オペレーションは認証をテストするステップ２０９に進む。

ステップ２０９は本発明の変形例である。ステップ２０９では、サービスは、構造によって、サービスのアプリケーションが識別後に認証を必要とするかを見るためにテストを行う。識別後に認証が必要である場合、サービスＳ１は、コンシューマーの認証を行うステップ２１０に進む。認証が不要であれば、フィールド２０４に記された命令コードを実行するステップ２１１に進む。
ステップ２１０では、サービスは、一回又は複数回のやり取りにより、暗黙的又は明示的な一方向のコンシューマー認証、或いは双方向のコンシューマー認証を行う。暗黙的な認証とは、暗号を使用したオペレーションの結果として得られる値の受信／送信に基づく認証であり、これによって認証されるべきエンティティによる前記認証の秘密性の保持が確立される。

ステップ２１０の好ましい変形例では、カード１０９は、ランダム変数を持つチャレンジメッセージ２１２を生成する。このメッセージ２１２は、デバイス１３０によってステップ２１３で受信される。ステップ２１３において、デバイス１３０は、デバイス１３０に周知の関数Ｆ、及びメモリ１３３のキーを用いてランダム変数を暗号化する。ステップ２１３の一変形例では、デバイス１３０は、ランダム変数の値から、及びデバイス１３０に周知の分散、ハッシング関数又は一方向関数Ｆから、メモリ１３３のキーの分散を計算する。メモリ１３３のキーは、実際には、セキュリティドメインＳＤ１に付随するキーセットのキーＫｓの所産であるキーＫｆである。従って、下記の式が得られる。
Ｋｆ＝Ｆｋ（ｉｄＣ，Ｋｓ）
ここで、ｉｄＣはメモリ１３２の内容である。
セキュリティドメインのインストール時に、カード１０９がＫｓを認知する。本発明の変形例によれば、サービスＳ１がＦｋとＦとを認知する。これらの関数Ｆｋは、メモリ１０９のセキュリティドメインと同時にインストールされる。最後に、要求２０５を介して、サービスＳ１はｉｄＣを認知する。

ステップ２１３の終わりに、デバイス１３０は、Ｆ（ランダム変数Ｋｆ）を含む応答メッセージ２１４を送出する。
ステップ２１５において、サービスＳ１は、カード１０７及び電話１０１を介してメッセージ２１４を受信する。次いで、サービスＳ１は、メッセージ２１４の内容と自らの計算値Ｆ（ランダム変数Ｆｋ（ｉｄＣ、Ｋｓ））を比較する。これらの計算値が等しい場合、サービスＳ１はステップ２２１に進む。等しくない場合、終了ステップ２１６に進み、要求２０５は無視される。

ステップ２１１では、サービスＳ１は、フィールド２０４に記載された一又は複数の命令を実行する。この実行は、セキュリティドメインのデータゾーンにおける読み取り及び／又は書き込みのオペレーションを意味する。本発明では、サービスＳ１は、データゾーンのサブゾーンを各コンシューマーの識別子に関連付ける。このような関連付けは、例えば、セキュリティドメインに対応するゾーンＳＥＣを介して行われるか、又はサービスＳ１によって直接行われる。次いで、このゾーンに、コンシューマーの識別子ごとに、読み取り／書き込み／修正が必要なサブゾーンを記述する。このサブゾーン外における読み取り又は書き込みの試みは、仮想マシン側での実行の拒否に繋がる。
本発明の一変形例では、フィールド２０４を介して受信された命令が、メモリ１３３のキーＫｆ及び関数Ｆにより暗号化される。従って、この命令は、コンシューマーが自らを適正に識別し且つ命令を解読するための適切な詳細事項をサービスＳ１に与える場合にのみ、正しく実行することができる。この種の暗号化メカニズムについて、図３に示す変形例で説明する。

図３は、セキュリティドメインのサブゾーンの更新／読み取りが、サービスコンシューマーにサービスを提案したプロバイダーのプロクシーサーバにより行われる本発明の変形例を示す。
図１は、この種のプロクシーサーバ１６１を示す。サーバ１６１は、インターフェース回路１６３を介してネットワーク１６２に接続している。デバイス１３０は、例えば携帯電話ネットワークの基地局１６４を経由してネットワーク１６２に接続できる。このネットワークは、固定ネットワーク又は直接的なインターネットとすることができる。従って、デバイス１３０とサーバ１６１は通信できる。

サーバ１６１は、マイクロプロセッサ１６５、プログラムメモリ１６６及び構成メモリ１６７を備えている。
メモリ１６６は、デバイス１３０との通信を適用する命令コード、電話１０１のＳＩＭカード１０７にインストールされたサービスとの通信を実施する命令コード、対称性暗号化関数Ｆを適用する命令コード、及び、暗号化キーＫｆを生成する関数Ｆｋを実施する命令コードを有している。

本発明の本変形例では、カード１０９にインストールされたセキュリティドメインのセキュリティゾーンＳＥＣは関数Ｆを認知しており、これを実施することができる。メモリ１３３は次の値を有する。
Ｋｆ＝Ｆｋ（ｉｄＣ、Ｋｓ）
これらの記号の各々は既に説明済みである。
メモリ１６７はテーブルに実際に対応しており、テーブルの各行は一つのコンシューマーに対応している。従って、各行は、少なくとも一つのコンシューマー識別子フィールド１６８、一つのサービス識別子フィールド１６９、及び一つの暗号化キーフィールド１７０を有する。フィールド１７０の内容は、実際には、フィールド１６９によって識別されるサービスが実施されるセキュリティドメインに付随するキーセットの中のキーの一つである。

図３は、デバイス１２０のユーザが、要求３０２を生成して送ることにより、電話１０１にインストールされたサービスにアクセスするステップ２０１を示す。この要求は複数のフィールドを含み、それらには、少なくとも、端末１０１を識別する一つのフィールド３０３、コンシューマーを識別する一つのフィールド３０４、サービスを識別する一つのフィールド３０５、及びフィールド３０５の内容によって識別されるサービスが実行されなければならない命令コードを記載する一つのフィールド３０６が含まれる。この要求３０２は、生成されると、サーバ１６１に送られ、サーバ１６１のデバイス１３０はフィールド１３８の内容によりアドレスを認知する。このような送信は、データモード（ＴＣＰ／ＩＰタイプのプロトコル）又はショートメッセージ（ＳＭＳ／ＭＭＳタイプのプロトコル）により行われる。
ステップ２０１の場合と同様に、フレーム３０２について記載された情報がデバイス１３０によって送られる。しかしながら、この情報は、デバイス１３０とサーバ１６１の間の対話中に、複数のフレームで又は前記単一のフレームで送信できる。

好ましい一実施例では、フィールド３０３の内容は電話１０１にコールできる電話番号（ＭＳＩＳＤＮ）である。この電話番号は、キーイング−インオペレーション中に又は電話１０１とデバイス１３０との対話中に、デバイス１３０によって取得される。限定しないが、フィールド３０３の内容は、加入者の任意のネットワーク識別子、携帯電話ネットワークのコンテキストのＩＭＳＩ又はＩＭＥＩメッセージ、並びに加入者のスマートカードのＩＣＣＩＤタイプの識別子又はスマートカードのブート時に電話機が取得するＴＡＲフレームとすることができる。この識別子は、ＩＰｖ６アドレス、イーサーネットアドレス、場合によってはメールアドレス、ＳＩＰ又はＶｏＩＰタイプの識別子、ＥＮＵＭタイプの識別子、或いは考慮可能な他の何らかの電子式アイデンティティといった、接続オペレータによってユーザを識別する任意の手段に基くものとすることもできる。
ステップ３０７において、サーバ１６１はテーブル１６７を検索する。検索されるのは、要求３０２を送出したコンシューマーの識別３０８である。この検索はテーブル１６７内の一行を検索することであり、この行に含まれるフィールド１６８及び１６９はフィールド３０４及び３０５に等しい。この種の行Ｌが見つかると、識別が可となる。行が見つからない場合、識別は不可となり、サーバ１６１は、要求３０２を無視するステップ３０９に進む。

認証が可である場合、サーバ１６１は、認証テストステップ３１０に進む。このステップは、識別に加えて認証が必要かどうか決定することから成る。このステップは随意で行われ、行Ｌを構成するフィールドにより行われる。例えば、このフィールドが１に等しい場合認証が必要で、１でない場合認証は不要である。
認証が必要な場合、サーバは、デバイス１３０にチャレンジを提示するステップ３１１に進む。ステップ３１１は、前記ステップ２１０と同一であり、続いて、ステップ２１３、２１５及び２１６と同一のステップ３１２、３１３及び３２４が行われる。しかしながら、この場合、ステップ３１２、３１３及び３２４は、カード１０７でなくサーバ１６１によって実施される。
サーバ１６１によって提示された認証要求が成功すると、サーバは、命令要求３１５を生成するステップ３１４に進む。

好ましい実施例において、命令要求３１５は、少なくとも、ヘッダー内に、命令要求の宛先となる電話を識別するフィールド３１６を含む。要求は、使用されるネットワーク識別子の種類に応じて、例えばショートメッセージ又は他の何らかの通信手段を介して送られる。フィールド３１６は、フィールド３０３を通してサーバ１６１が受信する値を含む。
要求３１５は、ステップ３０８で見つかった行Ｌのフィールド１６９の内容に対応する内容を含むサービス識別子３１７も有している。

要求３１５は、行Ｌのフィールド１７０のキーＫｓを用いて、関数Ｆによって暗号化されるフィールド３１８も有している。明らかに、フィールド３１８は、実行すべき命令を記載する少なくとも一つのフィールド３１９、及び随意で、チェックサム（ＣＲＣ）タイプのフィールド３２０を含む。このフィールド３２０は、フィールド３１９のチェックサムを有する。
キーＫｓは、実際にはフィールド１６９によって識別されるサービスが実行されるセキュリティドメインのキーセットのデータに対するアクセスキーである。

フィールド３１９を更に複雑にして、一連の命令及び／又は命令用パラメータを含めることができる。フィールド３１９は、暗黙的に又は明示的に、命令３１５を生成する要求を送ったコンシューマーの識別子を含む。この識別は、例えば、サービスが実行されるセキュリティドメインのデータゾーンのサブゾーンを決定するために、フィールド３１７によって識別されたサービスを可能にする識別子である。この識別は、例えば、実行される一又は複数の命令のパラメータに暗黙的に含まれる。これらのパラメータは、更新されるデータ又は読み取られるデータを指定する。サーバ１６１は、コンシューマーのアイデンティティの知識を使用して、行Ｌにおいて識別されるコンシューマーに属するサブゾーンにおいてのみ読み取り且つ書き込む命令をフィールド３１９に生成する。次いでこのサブゾーンの知識は行Ｌに保存される。一変形例では、このサブゾーンの知識は、セキュリティドメインのゾーンＳＥＣに保存される。
命令要求３１５は、生成された後電話１０１に送られる。電話１０１は、それをステップ３２１で受信し、カード１０７に送信する。次いでカード１０７は、フィールド３１７の内容を用いて要求３１５を、フィールド３１７によって識別されるサービスがあればそのサービスに送信する。フィールド３１７によって識別されるサービスがない場合、要求３１５は無視される。本実施例では、サービスはサービスＳ１と見なされる。

ステップ３２１で、サービスＳ１は、キーＫｓを用いてフィールド３１８を解読する。次に、サービスＳ１は、解読したフィールド３１９の内容のチェックサムを計算し、チェックサムオプション（ＣＲＣ）を実施する場合、このサムの結果を解読したフィールド３２０の内容と比較する。比較の結果、二つが等しい場合、サービスＳ１は、解読されたフィールド３１９の内容によって記載される命令を実行するステップ３２２に進む。等しくない場合、サービスは要求３１５を無視する。
従って、この変形例では、データの索引付き分類は第三者のサーバにより保証され、このサーバは、所与のサーバに送る命令によって、コンシューマーの識別及び／又は認証の後に、このコンシューマーが自身に関係するデータにだけアクセスできることを保証する、る。

一変形例では、コンシューマーデバイスは、実際には、端末１０１のプログラムメモリ１０４にインストールされたアプリケーションである（例えば、ＤＲＭ及び暗号化ストリーミングストリーム又はマルチメディアデータ交換／共有アプリケーション、或いは、やはりＩＰタイプのアプリケーション上の電話又はビシオフォニーに関連するデータを管理しなければならないメッセージアプリケーション又は「マルチメディアプレーヤー」型のアプリケーション）。このプログラムは、次いで、電話１０１のユーザが一又は複数のコンテンツサーバと通信することを可能にするために、暗号化サービス又は権利管理サービスを必要とする場合がある。この場合、アプリケーションはコンシューマーと識別され、暗号化サービス又は権利管理サービスが実行されるセキュリティドメインのデータゾーンのサブゾーンにだけアクセスできる。このような一般的なアプリケーションの場合、一般的なアプリケーションに対し、自らをサービスと識別することを可能にする情報を提供するのはコンテンツサーバである。
本発明では、複数のセキュリティドメイン、従って複数のサービスが、同じＳＩＭカード内に共存できる。従って、単一のセキュリティドメインを介して複数のコンシューマーに同じサービスを提案することができる。複数のセキュリティドメインを介して複数のコンシューマーに複数のサービスを提供することもできる。

本デバイスの一変形例では、本発明の方法は、データゾーンの索引付き分類が、端末上で、ゾーンのユーザを識別する情報から行われる点で画期的である。従って、一又は複数のプロバイダー又はサービスを有する一又は複数のコンシューマーについて、同じ端末４１上で複数のユーザを管理することが可能である。この変形例により、特に、同じサービスの一又は複数のコンシューマーについて、複数のユーザ間で情報を同期することができる。
実際には、セキュリティドメインはジャバプラットフォームを介して実施される。この場合、ジャバ仮想マシンが用いられる。サービスに対応するプログラムは、顧客のデバイスで実行されるジャバアプリケーション又は「アプレット」と呼ばれる。

前述のように、セキュリティドメインのデータゾーンの索引付き分類は、サービスによってローカルに又はプロクシーサーバによってリモートで行われる。前述の実施例では、この索引付き分類は、コンシューマーの識別子をメモリゾーンの記載に関連付ける「割当テーブル」４００により行われる。このような記載は、例えば、メモリゾーンの開始及び終了アドレスに対応している。本発明の一変形例では、各サブゾーンが同じ大きさと考える。この場合データゾーンはテーブルと見なされ、テーブルの各ボックスはサブゾーンに対応する。この場合、単純な索引により、適正なサブゾーンに対する直接アクセスが可能になる。更に別の変形例は連続的索引付き分類を使用し、この場合各サブゾーンにコンシューマー識別子が保存され、適正なサブゾーンの選定は、適正な識別子が見つかるまでサブゾーンを連続的にスキャンすることにより行なわれる。生成される命令コードは、索引付き分類を考慮する。
本発明では、アプレット及びセキュリティドメインは、ＳＩＭカードを提供したオペレータによってインストールされる。これにより、オペレータが、形式にかなう分析の様々な方法により、コードの品質と安定した性質とを保証できる。これはまた、オペレータがセキュリティゾーンのデータゾーンを事前にフォーマットすることを可能にする。

これらのアプリケーションのメンテナンスのために、本発明の方法は、オペレータ／プロバイダーが、セキュリティドメインのサービス又はオペレーティングシステム、或いは端末のオペレーティングシステムに対する具体的な要求により、索引付きで分類されたデータゾーンを管理する全てのオペレーション、例えば、異なるコンシューマー間及び／又はユーザ間におけるデータの作成、初期化、ロッキング、破壊、同期化を直接行うことを可能にする。これらの管理オペレーションは、プロバイダーに周知の異なるキーによって保護することができる。
オペレータ／プロバイダーは、セキュリティドメインに関連するキーセットの全て又は一部を知っている限りにおいて、リモートでの索引付き分類について記載した場合と同様に、メンテナンスしなければならないサービスによって認識及び実行される命令を作成できる。一変形例では、メンテナンスのために、オペレータ／プロバイダーは、セキュリティドメインがデータゾーン全体の全ての権利を許可するスーパーコンシューマーとして自らを認識／認証する。

メモリが、ローカル又はリモートで実施される本発明の方法のステップに従って構成されているデバイスを示す。 ローカルに実施される本発明の方法のステップを示す。 リモートで実施される本発明の方法のステップを示す。 索引付き分類テーブルを示す。

Claims (9)

1. ユーザの電子端末上の電子サービスを分割して、サービスに加入する少なくとも一つのプロバイダーに提供する方法であって、前記プロバイダーは、準備ステップにおいて、サービスの分割を保証するセキュリティドメイン及び前記サービスが直接的に又は電子サービスの処理を介してアクセスできるデータゾーンを設定することにより、このサービスを複数のコンシューマーに提案し、セキュリティドメインのデータゾーンはデータアクセスキーを介してのみアクセス可能であり、
   − 端末が、セキュリティドメインにおいて、電子端末内でサービスがアクセスできるデータゾーンを、複数のサブゾーンに索引付きで分類することにより、複数のコンシューマーの内の一つのコンシューマーによる要求が、直接的に又は電子サービスを介して、要求の送信者である顧客に関連する所定のサブゾーンだけの、読み取り／書き込み／修正を可能にすることを保証するステップ
   を含む、方法。
2. 前記索引付き分類が、識別子によって識別されるコンシューマーに関連するデータサブゾーンに対するアクセスのアンロックを可能にする少なくとも一つの識別子のサービスに対し、コンシューマーにより提示されるサービスごとに、端末上でローカルに行われる、請求項１に記載の方法。
3. サービスが少なくともコンシューマーの識別子から作成できる暗号化キーに基づいて、識別の後で認証を行う、請求項２に記載の方法。
4. 索引付き分類が第三者のデバイスによって行われ、その際第三者のデバイスは、コンシューマーからの要求を受け取ると、
   − 要求されたサービスを識別するステップ、
   − サービスが要求されている端末を識別するステップ、
   − コンシューマーを識別するステップ、及び
   − 識別できた場合、コンシューマーからの要求を考慮するために、識別された端末に更新要求を送るステップ
   を実施する、請求項１に記載の方法。
5. プロバイダーの識別の後で認証を行う、請求項４に記載の方法。
6. 更新要求をデータアクセスキーを用いて暗号化する、請求項４又は５に記載の方法。
7. セキュリティドメインのサービス又はオペレーティングシステム、或いは端末のオペレーティングシステムに対する具体的な要求により、プロバイダーが、異なるコンシューマー及び／又はユーザ間におけるデータの作成、初期化、ロッキング、破壊、同期のような、索引付きで分類されたデータゾーンを管理するオペレーションの全てを直接行うことができ、プロバイダーに周知の複数の異なるキーによってこれらの管理オペレーションを保護することができる、請求項１ないし６のいずれか一項に記載の方法。
8. データゾーンの索引付き分類を、一又は複数のサービスプロバイダーを有する一又は複数のコンシューマーについて、端末上のゾーンのユーザを識別する情報に基づいて行う、請求項１ないし７のいずれか一項に記載の方法。
9. 携帯電話の集積回路（ＳＩＭカード）に請求項１ないし８のいずれか一項に記載の方法を実施する方法。

Images