JP2008282408A - インターネットビジネスセキュリティシステム - Google Patents

Abstract

【課題】インターネットを介した電子商取引におけるビジネスセキュリティを高める。
【解決手段】ビジネスセキュリティシステムは、証明書発行者に接続され、この証明書発行者は、ユーザにＩＣカードを発行する。このシステムは、ＩＣカードを読取り、ユーザの個人識別番号を基に使い捨てパスワードを生成する読取装置と、使い捨てパスワードを受取り、この使い捨てパスワードが正確なときに、ユーザにサービスを提供する前工程装置と、前工程装置に接続された後工程装置とを含む。この後工程装置は、ユーザの身分認証を行う事前認証モジュールと、使い捨てパスワードが正確か否かを判断し、使い捨てパスワードが正確なときに証明書発行者にて記録したユーザの個人情報をウェブサイトで使用することを許可する許可モジュールとを含む。
【選択図】なし

Description

本発明は、ビジネスセキュリティシステムに関し、特に、インターネットビジネスセキュリティシステムに関する。

電子商取引では、販売者と購入者とが直接会って話をする必要がない。そのため、ビジネスセキュリティを高めるため、取引を行う前に、まず購入者の身分を常に確認する必要があった。そして購入者は、身分が確認された後、クレジットカード番号を提供するなど、次の取引ステップへ進むことが求められた。

しかし、電子商取引では全ての情報伝達がインターネットを介して行われるため、個人情報がハッカーにより盗まれ、その個人情報を用いて他のウェブサイトにログインされ、商品が購入されることがあった。そして、このような事業リスクは、電子商取引の発展を阻害していた。

そのため、電子商取引におけるビジネスセキュリティを向上させることが求められていた。

本発明の目的は、購入者の身分を確認することができるインターネットビジネスセキュリティシステムを提供することにある。

本発明は、インターネットビジネスセキュリティシステムを開示する。ビジネスセキュリティシステムは、ユーザにＩＣカード（smart card）を発行する証明書発行者に接続されている。このシステムは、ＩＣカードを読取り、ユーザの個人識別番号（ＰＩＮ：personal identification number）を基に使い捨てパスワードを生成するＩＣカード読取装置と、使い捨てパスワードを受取り、この使い捨てパスワードが正確なときに、ユーザにサービスを提供する前工程装置と、前工程装置に接続された後工程装置とを含む。後工程装置は、ユーザの身分認証を処理する事前認証モジュールと、使い捨てパスワードが正確か否かを判断し、正確なときに証明書発行者中に記録したユーザの個人情報をウェブサイトで使用することを許可する許可モジュールとを含む。

本発明の一実施形態では、ＩＣカードが使い捨てパスワード生成装置を使用して使い捨てパスワードを生成し、ウェブサイトの検証プロセスをパスする。好適な実施形態において、このＩＣカードは、例えばＥＭＶ（Europay International, MasterCard International and Visa International；登録商標）チップ認証プログラム（ＣＡＰ：Chip Authentication Program）規格に対応したＩＣカードである。しかし、他の実施形態において、使い捨てパスワードを生成する対応した生成装置を利用するカードであれば、他のタイプのカードでもよい。このカードは、例えば、銀行キャッシュカード、銀行クレジットカード、プリペイドカード、携帯電話ＳＩＭ（Subscriber Identification Module）カードなどでもよい。本実施形態において、カードが携帯電話ＳＩＭカードである場合、この携帯電話を使い捨てパスワード生成装置として用い、ＳＩＭカードと協働して使い捨てパスワードを生成する。本発明の以下の実施形態では、ＥＭＶチップ認証プログラムＩＣカードを利用して説明する。ＥＭＶチップ認証プログラムＩＣカードは、計算機能およびメモリ機能を備えるＩＣチップを含む。従って、このＩＣカードは、データの記録以外に、データの処理、暗号化および複合化（decode／encode）および保護を行うことができる。

図１は、本発明の一実施形態によるインターネットビジネスセキュリティシステムを示すブロック図である。このシステムは、証明書発行者１０１、読取装置１０２、前工程装置１０３および後工程装置１０４を含む。本実施形態において、証明書発行者１０１は、例えば、銀行、通信会社またはカード発行者である。読取装置１０２は、カードと協働して使い捨てパスワードを生成するオンラインまたはオフラインの生成装置である。好適な実施形態において、読取装置１０２とは、ＥＭＶチップ認証プログラムＩＣカードと協働して使い捨てパスワードを生成するオフラインの生成装置である。証明書発行者１０１は、読取装置１０２をユーザに販売するか付与する。

前工程装置１０３は、ログインサーバ１０３１およびプロセスサーバ１０３２をさらに含む。ログインサーバ１０３１は、ユーザ１０５のログインプロセスを処理し、後工程装置１０４と協働し、インターネットで使用するユーザ１０５の仮のＩＤと、証明書発行者１０１にて登録したユーザ１０５の実際のＩＤとを照合する。続いて、後工程装置１０４によりＩＤを確認し、取引または支払いを行うことをウェブサイトに許可する。プロセスサーバ１０３２は、ウェブサイトに関することを処理する。例えば、ウェブサイトが電子商取引のウェブサイトである場合、ログインサーバ１０３１へのログインにユーザが成功した後、プロセスサーバ１０３２は後続の取引プロセスを行う。一実施形態において、後続の取引プロセスとは、例えば、商品の選択や金額の計算などである。他の実施形態において、ウェブサイトがサーチウェブサイトである場合、ログインサーバ１０３１へのログインにユーザが成功してサーチ条件を発行した後に、プロセスサーバ１０３２がサーチ条件を処理する。つまり、このビジネスセキュリティシステムは、如何なるタイプのウェブサイトにも応用することができる。本実施形態によると、ユーザ１０５は、読取装置１０２を使用し、ＥＭＶチップ認証プログラムＩＣカードと協働し、使い捨てパスワードを生成する。続いて、この使い捨てパスワードを前工程装置１０３および後工程装置１０４に送り、さらに検証を行う。

後工程装置１０４は、事前認証モジュール１０４１、許可モジュール１０４２、メッセージプロセスモジュール１０４３、口座データベース１０４４および会員データベース１０４５の２つのデータベースを含む。

メッセージプロセスモジュール１０４３は、前工程装置１０３と後工程装置１０４との間、後工程装置１０４と証明書発行者１０１との間、そして後工程装置１０４のモジュール間でのメッセージ伝達を行う。

事前認証モジュール１０４１は、ユーザ１０５の身分を確認し、会員データベース１０４５の記録を基に、ユーザ１０５がウェブサイトの会員であるか否かを判断する。ログインサーバ１０３１のログインデータまたはプロセスサーバ１０３２の処理データは、メッセージプロセスモジュール１０４３を介して事前認証モジュール１０４１へ送られる。事前認証モジュール１０４１は、会員データベース１０４５から必要なデータを取出し、ログインデータまたは処理データを基に認証プロセスを行う。例えば、必要なデータとは、使い捨てパスワードを処理するためのデータである。一実施形態において、事前認証モジュール１０４１は、会員データベース１０４５から「ユーザキー」を抽出し、使い捨てパスワードを認証する。他の実施形態において、「ユーザキー」は、証明書発行者１０１または証明書発行者１０１により許可された者か、使い捨てパスワードの「マスターキー」を使用し、多様な手順および必要なデータと協働して「ユーザキー」を生成する者によって保存されている。なお、他の実施形態において、必要なデータとは、会員データベース１０４５中に記録したユーザデータを使用して使い捨てパスワードの「ユーザキー」を得るためのデータである。例えば、このデータは、「ユーザキー」を得るインデックスであるか、多様化な手順で計算するパラメータである。

続いて、必要なデータが許可モジュール１０４２に送られ、認証プロセスが行われる。一実施形態において、ユーザ１０５が読取装置１０２を使用すると、ＥＭＶチップ認証プログラムＩＣカードと協働して使い捨てパスワードが生成される。例えば、ユーザ１０５により読取装置１０２中に個人識別番号が入力されると、ＩＣカード中のチップ中に記録したデータと協働し、使い捨てパスワードが生成される。他の実施形態では、ログインサーバ１０３１によりログイン番号が生成される。ユーザ１０５により読取装置１０２に個人識別番号およびログイン番号が入力されると、ＩＣカード中のチップ中に記録したデータと協働し、使い捨てパスワードが生成される。続いて、ログインデータには、事前認証モジュール１０４１および許可モジュール１０４２に送って認証を行う使い捨てパスワードが含まれる。使い捨てパスワードは、ログインする度に変わるため、許可モジュール１０４２は、ユーザがログインする度に、所定の方式によりユーザ１０５の身分を検証する。

許可モジュール１０４２は、ユーザＩＤ、取引または支払いの許可を行う。従って、許可モジュール１０４２は、少なくともＩＤ認証モジュール１０４２１、取引認証モジュール１０４２２または支払認証モジュール１０４２３を含む。一実施形態において、ＩＤ認証モジュール１０４２１、取引認証モジュール１０４２２または支払認証モジュール１０４２３は、多機能認証モジュールと一体的に構成されていてもよい。許可モジュール１０４２は、後工程装置１０４、証明書発行者１０１、または証明書発行者１０１により許可された者が備えている。

好適な実施形態によると、ＩＤ認証モジュール１０４２１が使い捨てパスワードを検証すると、ＩＤ認証モジュール１０４２１は、証明書発行者１０１にて記録されているユーザ１０５の個人情報の使用をプロセスサーバ１０３２に許可し、ログイン履歴を口座データベース１０４４へ記録する。権限付与に関するメッセージおよび履歴の記録に関するメッセージは、メッセージプロセスモジュール１０４３を介してプロセスサーバ１０３２へ送られる。従って、プロセスサーバ１０３２は、ユーザ１０５がログインに使用した仮のＩＤと、ユーザ１０５が証明書発行者１０１にて登録した実際のＩＤとを照合することにより、ユーザ１０５の仮のＩＤを認識し、ユーザ１０５が本人であるか否かを実際に確認することができる。

ユーザ１０５が取引を終了して支払いを行う場合、取引認証モジュール１０４２２または支払認証モジュール１０４２３により、支払いプロセスの証明が可能である。一実施形態において、ユーザ１０５は、読取装置１０２を使用し、ＥＭＶチップ認証プログラムＩＣカードと協働して使い捨てパスワードを生成して支払いを行う。一実施形態において、ユーザ１０５は使い捨てパスワードを得るために読取装置１０２中に個人識別番号を入力し、ＩＣカード中のチップ中に記録したデータと協働させて使い捨てパスワードを生成する。他の実施形態において、プロセスサーバ１０３２は、取引時間、取引量または取引商品を基に、デジタル署名などのコードを生成する。このコードは、ユーザ１０５に転送されてさらに確認が行われる。例えば、ユーザ１０５は、読取装置１０２へ個人識別番号およびコードを入力し、ＩＣカード中のチップ中に記録したデータと協働させて使い捨てパスワードを生成する。この場合、このコードは、許可モジュール１０４２へ転送しなければならない。他の実施形態では、当該コードおよび使い捨てパスワードを、デジタルコンテンツを作動させるコードとして用いる。

続いて、使い捨てパスワードおよび取引に関する通知がメッセージプロセスモジュール１０４３を介して事前認証モジュール１０４１、取引認証モジュール１０４２２または支払認証モジュール１０４２３に送られ、ユーザ１０５の実際のＩＤと照合される。取引認証モジュール１０４２２または支払認証モジュール１０４２３により使い捨てパスワードが検証され、使い捨てパスワードが正確な場合、取引が許可される。他の実施形態において、取引認証モジュール１０４２２または支払認証モジュール１０４２３が使い捨てパスワードを検証すると、ユーザ１０５の支払い能力がまず検証されてから、使い捨てパスワードが正確である場合に取引が許可される。売買データまたは支払いデータは、口座データベースに記録され、メッセージプロセスモジュール１０４３を介してプロセスサーバ１０３２に転送される。ここで、本実施形態の証明書発行者１０１は、許可モジュール１０４２に許可プロセスを行うことを許可する。言い換えると、証明書発行者１０１は、後工程装置１０４と定期的または不定期に通信し、証明書発行者１０１が持つデータを更新する。

図２に示すように、他の実施形態では、許可モジュール１０４２を証明書発行者１０１が備えることで許可プロセスを行う。このため、後工程装置１０４と証明書発行者１０１との間の通信は、許可ゲートウェイ１０４６を介して行われる。

このように、本発明のビジネスセキュリティシステムは、ユーザがシステムにログインするときか取引を終了するときに、インターネット中の仮のＩＤと証明書発行者に記録された実際のＩＤとを照合することができる。したがって、ユーザがインターネット中で使用する仮のＩＤは、ユーザの実際の口座とリンクさせることができる。また、証明書発行者は、ユーザの与信枠を検証することができる。このように、ユーザの支払い能力のチェックを行うことによって、取引の安全性を確保することができる。

以上、当該分野の技術を熟知するものが理解できるように本発明の好適な実施形態を開示したが、本発明は上述した実施形態に限定されるものではなく、本発明の主旨と領域を脱しない範囲内で各種の変更や修正を加えることができる。従って、本発明の特許請求の範囲は、このような変更や修正を含めて広く解釈される。

本発明の一実施形態によるインターネットビジネスセキュリティシステムを示すブロック図である。 本発明の一実施形態によるインターネットビジネスセキュリティシステムを示すブロック図である。

符号の説明

１００ インターネットビジネスセキュリティシステム
１０１ 証明書発行者
１０２ 読取装置
１０３ 前工程装置
１０４ 後工程装置
１０５ ユーザ
１０３１ ログインサーバ
１０３２ プロセスサーバ
１０４１ 事前認証モジュール
１０４２ 許可モジュール
１０４２１ ＩＤ認証モジュール
１０４２２ 取引認証モジュール
１０４２３ 支払認証モジュール
１０４３ メッセージプロセスモジュール
１０４４ 口座データベース
１０４５ 会員データベース
１０４６ 許可ゲートウェイ

Claims (16)

1. 証明書発行者と接続されたインターネットビジネスセキュリティシステムであって、
   ユーザのユーザデータを基に、前記証明書発行者から前記ユーザに発行されたＩＣカードを読込み、使い捨てパスワードを生成する読取装置と、
   前記ユーザデータにリンクされていないデータであるか前記使い捨てパスワードの検証に必要となるものでないデータであるチェック待ちのデータを伝送して前記使い捨てパスワードを認証し、前記使い捨てパスワードを処理したデータを受取り、前記使い捨てパスワードが正確なときに前記ユーザにサービスを提供する前工程装置と、
   前記前工程装置に接続され、前記チェック待ちのデータを受取る後工程装置と、を含み、
   前記後工程装置は、
   前記チェック待ちのデータを処理し、前記使い捨てパスワードを検証するのに必要なデータを生成する事前認証モジュールと、
   前記証明書発行者により許可が与えられ、前記使い捨てパスワードが正確か否かを判断する許可モジュールと、を含むことを特徴とするインターネットビジネスセキュリティシステム。
2. 前記ＩＣカードは支払い証明書であることを特徴とする請求項１に記載のインターネットビジネスセキュリティシステム。
3. 前記許可モジュールは、
   前記使い捨てパスワードが正確か否かを判断し、前記使い捨てパスワードが正確なときに、前記証明書発行者または前記証明書発行者により許可された者に前記ユーザデータの使用を許可するＩＤ認証モジュール、
   前記使い捨てパスワードが正確か否かを判断し、前記使い捨てパスワードが正確なときに、前記証明書発行者または前記証明書発行者により許可された者が前記ユーザデータに基づいて取引処理を行うことを許可する取引認証モジュール、および、
   前記使い捨てパスワードが正確か否かを判断し、前記使い捨てパスワードが正確なときに、前記証明書発行者または前記証明書発行者により許可された者が前記ユーザデータに基づいて支払い処理を行うことを許可する支払い認証モジュールのうちのいずれかをさらに含むことを特徴とする請求項１に記載のインターネットビジネスセキュリティシステム。
4. 前記前工程装置は、
   前記使い捨てパスワードを使用してログインを処理し、前記後工程装置への前記使い捨てパスワードの認証に用いられるチェック待ちデータを伝送するログインサーバ、
   または、サービスを提供するプロセスサーバのうちのいずれかをさらに含むことを特徴とする請求項１に記載のインターネットビジネスセキュリティシステム。
5. 前記後工程装置は、
   ログイン、取引または支払いのデータを記録する口座データベース、
   または、会員のデータを記録する会員データベースのうちのいずれかをさらに含むことを特徴とする請求項１に記載のインターネットビジネスセキュリティシステム。
6. 前記後工程装置は、
   前記前工程装置と、前記後工程装置との間でメッセージを通信するメッセージプロセスモジュールをさらに含むことを特徴とする請求項１に記載のインターネットビジネスセキュリティシステム。
7. 証明書発行者と接続されたインターネットビジネスセキュリティシステムであって、
   ユーザのユーザデータを基に、前記証明書発行者から前記ユーザに発行されたＩＣカードを読込み、使い捨てパスワードを生成する読取装置と、
   前記ユーザデータにリンクされていないデータであるか前記使い捨てパスワードの検証に必要となるものでないデータであるチェック待ちのデータを伝送して前記使い捨てパスワードを認証し、前記使い捨てパスワードを処理したデータを受取り、前記使い捨てパスワードが正確なときに前記ユーザにサービスを提供する前工程装置と、
   前記前工程装置に接続され、前記チェック待ちのデータを受取る後工程装置と、を含み、
   前記後工程装置は、
   前記使い捨てパスワードを検証するのに必要なデータを生成する事前認証モジュールと、
   前記証明書発行者または前記証明書発行者が許可した者に必要なデータが伝送され、前記使い捨てパスワードが正確か否かを判断し、前記使い捨てパスワードが正確なときに、前記証明書発行者または前記証明書発行者が許可した者に、前記証明書発行者の記録したユーザデータの使用を許可するか、前記ユーザデータに基づいて取引処理を行うことを許可するか、前記ユーザデータに基づいて支払い処理を行うことを許可する少なくとも１つの許可ゲートウェイと、を含むことを特徴とするインターネットビジネスセキュリティシステム。
8. 前記ＩＣカードは支払い証明書であることを特徴とする請求項７に記載のインターネットビジネスセキュリティシステム。
9. 前記前工程装置は、
   前記使い捨てパスワードを使用してログインを処理し、前記後工程装置への前記使い捨てパスワードの認証に用いられるチェック待ちのデータを伝送するログインサーバ、
   または、サービスを提供するプロセスサーバのうちのいずれかをさらに含むことを特徴とする請求項７に記載のインターネットビジネスセキュリティシステム。
10. 前記後工程装置は、
    ログイン、取引または支払いのデータを記録する口座データベース、
    または、会員のデータを記録する会員データベースのうちのいずれかをさらに含むことを特徴とする請求項７に記載のインターネットビジネスセキュリティシステム。
11. 前記後工程装置は、前記前工程装置と前記後工程装置との間でメッセージを通信するメッセージプロセスモジュールをさらに含むことを特徴とする請求項７に記載のインターネットビジネスセキュリティシステム。
12. ユーザのユーザデータを基に、前記ユーザへＩＣカードを発行する証明書発行者と、
    前記ＩＣカードを読取り、使い捨てパスワードを生成する読取装置と、
    前記ユーザデータにリンクされていないデータであるか前記使い捨てパスワードの検証に必要となるものでないデータであるチェック待ちのデータを伝送し、前記使い捨てパスワードを認証し、前記使い捨てパスワードを処理したデータを受取り、前記使い捨てパスワードが正確なときに前記ユーザにサービスを提供するウェブサイトと、
    前記ウェブサイトに接続し、前記チェック待ちのデータを処理し、前記使い捨てパスワードを検証するのに必要なデータを生成する事前認証モジュールと、
    前記証明書発行者または前記証明書発行者が許可した者に接続され、前記使い捨てパスワードが正確か否かを判断する少なくとも１つの許可モジュールと、を含むことを特徴とするインターネットビジネスセキュリティシステム。
13. 前記ＩＣカードは支払い証明書であることを特徴とする請求項１２に記載のインターネットビジネスセキュリティシステム。
14. 前記許可モジュールは、
    前記使い捨てパスワードが正確か否かを判断し、前記使い捨てパスワードが正確なときに、前記証明書発行者または前記証明書発行者が許可した者が前記ユーザデータの使用を許可するＩＤ認証モジュール、
    前記使い捨てパスワードが正確か否かを判断し、前記使い捨てパスワードが正確なときに、前記証明書発行者または前記証明書発行者が許可した者が前記ユーザデータに基づいて取引処理を行うことを許可する取引認証モジューか、
    前記使い捨てパスワードが正確か否かを判断し、前記使い捨てパスワードが正確なときに、前記証明書発行者または前記証明書発行者が許可した者が前記ユーザデータに基づいて支払い処理を行うことを許可する支払い認証モジュールかをさらに含むことを特徴とする請求項１２に記載のインターネットビジネスセキュリティシステム。
15. ユーザのユーザデータを基に、前記ユーザへＩＣカードを発行する証明書発行者と、
    前記ＩＣカードを読取り、使い捨てパスワードを生成する読取装置と、
    前記ユーザデータにリンクされていないデータであるか前記使い捨てパスワードの検証に必要となるものでないデータであるチェック待ちのデータを伝送して前記使い捨てパスワードを認証し、前記使い捨てパスワードを処理したデータを受取り、前記使い捨てパスワードが正確なときに前記ユーザにサービスを提供するウェブサイトと、
    前記ウェブサイトに接続し、前記チェック待ちのデータを処理し、前記使い捨てパスワードを検証するのに必要なデータを生成する事前認証モジュールと、
    前記証明書発行者または前記証明書発行者が許可した者に接続され、前記証明書発行者または前記証明書発行者が許可した者へ必要なデータを伝送し、前記使い捨てパスワードが正確か否かを判断し、前記使い捨てパスワードが正確なときに、前記証明書発行者または前記証明書発行者が許可した者に、前記証明書発行者中に記録された前記ユーザデータの使用を許可するか、前記ユーザデータに基づいて取引処理を行うことを許可するか、前記ユーザデータに基基づいて支払い処理を行うことを許可する少なくとも１つの許可ゲートウェイと、を含むことを特徴とするインターネットビジネスセキュリティシステム。
16. 前記ＩＣカードは支払い証明書であることを特徴とする請求項１５に記載のインターネットビジネスセキュリティシステム。

Images