JP2009518702A - 安全な作業環境を提供する、仮想インターフェースを利用するデバイス - Google Patents

Abstract

ある実施形態に従えば、ディスプレイを備えクライアントアプリケーションを動作させるホストデバイス（２００）と、インターフェース（２０４）を介してホストデバイスに繋がれていて、トークンデバイスアプリケーションを動作させるためのプロセッサ（１０４）を備えるトークンデバイス（２０２）と、を含むシステムである。トークンデバイスアプリケーションは画像情報を、ホストデバイス上で動作するクライアントアプリケーションへとインターフェースを介して提供し、クライアントアプリケーションはトークンデバイスから提供された画像情報に従ってホストデバイスのディスプレイ上に画像を表示する。
【選択図】図１

Description

本願は、ここに全体としての参照により組み込まれる、２００５年１１月９日に提出された、「安全な作業環境を提供する、仮想インターフェースを利用するトークンコンピュータ」とタイトルが付された、Ｃａｒｐｅｒの米国特許仮出願第６０／７３４，７９３号についての優先権を主張する。

［発明の背景］
１．発明の分野
本発明は、トークンデバイスに関する。特に、本発明はホストコンピュータと共に用いるためのトークンデバイスに関する。

２．関連技術の考察
モバイルファッションで作業するということは、個人が現在取り組んでいるファイルを含む、持ち運び可能な記憶デバイス（例えば、ユニバーサルシリアルバス（ＵＳＢ：Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）記憶デバイス）を持ち運ぶことによってしばしば達成される。ＵＳＢデバイス上にあるファイルへのアクセスが所望されている時、そのＵＳＢデバイスは、ホテル、カフェ、顧客のオフィスなどで、利用可能なコンピュータ（Ｍａｃｉｎｔｏｓｈ， Ｗｉｎｄｏｗｓ（登録商標）， Ｌｉｎｕｘ， ＰＤＡ）に接続されるのであり、そのＵＳＢデバイスは、ファイルへのアクセスを許す、コンピュータ上のドライブのように見える。

ＵＳＢ記憶デバイスのある実装においては、記憶されたファイルとアプリケーションへのアクセスを得るためにパスワードが要求されるかもしれない。加えて、各々のファイルまたはアプリケーションは、ファイルの盗難に対しての更なる安全性を与えるために、暗号化されるかもしれない。

このファイル運搬方法は、ラップトップをどこへでも持ち運ぶ必要がないために便利である。ユーザは単に利用可能なコンピュータの前に座ってＵＳＢ記憶デバイスを接続し、そしてホスティングコンピュータまたはＵＳＢデバイス上で利用可能なアプリケーションを用いることによって、ＵＳＢデバイス上のファイルにアクセスする。

個人ファイル、作業ファイル、そして多くの他のアプリケーションに対するセキュリティがますます懸念されており、そして多くの異なるユーザにとっての必要条件となっている。こうして、ＵＳＢ記憶デバイス、及び／またはＵＳＢデバイス上の各々のファイルとアプリケーションをパスワード保護することができれば、ＵＳＢデバイスを紛失するか、または盗難された場合に安全性が与えられる。しかしながら、コンピュータ上で（特に、標準のユーザによって保有されていないコンピュータであって、ＵＳＢデバイスを使用している時には）ファイルがアクセスされる時はいつでも、そこには多くの潜在的問題が存在する。

１つの問題は、例えば、ＵＳＢデバイス上のファイル及び／またはアプリケーションは、ウイルスに対して解放される可能性があるということである。操作において、一度適正なパスワードを（要求される場合に）与えれば、ＵＳＢデバイス上に記憶されたファイルとアプリケーションは、そのＵＳＢデバイスの接続されたコンピュータから直接利用可能となる。一度コンピュータがファイルへアクセス可能となれば、正当（ｖａｌｉｄ）であってもウイルス性（ｖｉｒａｌ）であっても、如何なるアプリケーションにとっても、記憶されたファイルとアプリケーションにアクセスして修正することが可能となる。ＵＳＢ記憶デバイスをウイルスに感染したコンピュータに挿入すれば、ＵＳＢ記憶デバイスに記憶されたファイルとアプリケーションの幾らかの、または全ての感染を、引き起こす可能性がある。

第２の問題は、ＵＳＢデバイスがホストコンピュータと共に使用され、ＵＳＢデバイスに記憶されたファイル及び／またはアプリケーションがそのコンピュータからアクセスされた場合、そのＵＳＢデバイスがホストコンピュータから取り除かれた後でさえも、情報（すなわち、ファイル及び／またはアプリケーションの全部または一部）のコピーが後に残されるということである。ウイルスのない（ｖｉｒｕｓ−ｆｒｅｅ）マシンの場合においても、一度アプリケーションが起動し（例えば、ワードプロセッサ）、ＵＳＢデバイス上に記憶されたファイルの編集、印刷、読み取り、またはコピーを行えば、そのファイルとアプリケーションはホスティングコンピュータのメモリに持ち込まれる。この時点で、その文書は、一時的にディスクにキャッシュされるか（コンピュータに対しての通常の作業である）、または全てのシステム活動を監視するプログラム（必ずしも、ウイルス性のトロイの木馬とは限らない）によってメモリからコピーされるかもしれない。加えて、そのアプリケーションは実際にホストコンピュータ上で動作しているであろう。これらさまざまな出来事は、たとえファイルが閉じられたか、印刷が完了してＵＳＢデバイスがホストコンピュータから取り除かれた後であっても、ファイル及び／またはアプリケーションの１以上の完全コピーまたはその一部が、ホストコンピュータ上に依然として残り得るということを意味する。そのコピーまたは残留物は、公然と利用可能な復旧ツールを利用して、閲覧可能なまたは使用可能な形へと復旧することができる。こうして、ファイルはＵＳＢデバイス（１以上のセキュリティモデルを使用していることが考えられる）上に記憶されているにも関わらず、ユーザは、ファイルとアプリケーションについてのプライバシーとインテグリティに関する安全性への、誤った感覚を持つ。

輸送可能な作業領域を与えるための、もう１つの現行のアプローチとしては、カリフォルニア州レッドウッドシティの、 Ｕ３ ＬＬＣ （www.u3.com）からの技術を用いることがある。Ｕ３は、持ち運び可能なＵＳＢ記憶デバイスから起動するために設計された、余分な装備を取り除いた（ｓｔｒｉｐｐｅｄ ｄｏｗｎ）アプリケーションの特別なバージョンをインストールするための技術を提供する。例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｏｒｄの余分な装備を取り除いたバージョンを、ＵＳＢデバイス上に記憶することができる。このシステムは、ファイルと必要なアプリケーション両方を輸送することを可能とする。ＵＳＢデバイスのメモリ内のアプリケーションを運ぶことによって、例えそのＵＳＢデバイスがそのアプリケーションをインストールしていないホストデバイスに接続されたとしても、ユーザは利用可能な正当なアプリケーションを有していることを保証される。しかしながら、このシステムにおいてＵＳＢ記憶デバイスは依然としてウイルスに対して脆弱であり、ＵＳＢ記憶デバイス上でインストールされたアプリケーションが動作する時、そのアプリケーションは実際にはホストコンピュータのプロセッサを利用し、ホストコンピュータのメインメモリ内で実行されるのである。加えて、ファイルはまた、アクセスされている間はホストコンピュータのメモリにロードされている。こうして、ウイルスとファイルコピーを後に残すということとに関連した上述の問題は、Ｕ３システムにおいても依然として存在する。Ｕ３アプローチは、ＵＳＢデバイスがホストコンピュータへ挿入された時にそのＵＳＢ記憶デバイス上に置かれたプログラムを自動的にロードすることによって、幾らかの、使い勝手の良い特徴を導入する。そのプログラムは、他のインストールされたアプリケーションを、現在のホストコンピュータのインターフェースから（例えば、Ｗｉｎｄｏｗｓのスタートメニューから）容易に選択できるような、インターフェースを与える。Ｕ３システムはＷｉｎｄｏｗｓベースのコンピュータシステムと共に使用することを対象としている。

すなわち、必要とされているのは、トークンデバイス上に記憶されたファイルへアクセスすることとアプリケーションを動作させることについての、安全な方法である。

［発明の概要］
ここにおけるさまざまな実施形態が、特別のアプリケーション（ここにおいてユーザは、ホストデバイス上で動作するクライアントアプリケーションを介して、そのトークンデバイス上の特別のアプリケーションと交信できる）を動作させるトークンデバイスを提供する。

ある実施形態は、メモリを備えるトークンデバイスと、トークンデバイスをホストデバイスと繋げるためのインターフェースと、そしてそのメモリと繋がったプロセッサとして特徴付けることができ、そのプロセッサはトークンデバイスのメモリに記憶されたトークンデバイスアプリケーションを動作させ、そのプロセッサは画像情報（ｉｍａｇｅ ｉｎｆｏｒｍａｔｉｏｎ）を、インターフェースを介してホストデバイスへ提供し、その画像情報はアプリケーションに対応する画像を描画（ｒｅｎｄｅｒｉｎｇ）するための情報であって、前記画像情報はホストデバイスのディスプレイ上に描画するためにクライアントアプリケーションへと送信される。

もう１つの実施形態は、ディスプレイを備えた、クライアントアプリケーションを動作させるホストデバイスと、そのホストデバイスにインターフェースを介して繋がったトークンデバイスとを含むシステムとして特徴付けることができ、そのトークンデバイスはトークンデバイスアプリケーションを動作させるためのプロセッサを含み、そのトークンデバイスアプリケーションは画像情報を、インターフェースを介して、ホストデバイス上で動作するクライアントアプリケーションへ提供し、そのクライアントアプリケーションは、トークンデバイスから提供された画像情報に対応してホストデバイスのディスプレイ上に画像を表示する。

それに続く実施形態は、インターフェースを介してトークンデバイスをホストデバイスに繋ぐことと、トークンデバイス上でトークンデバイスアプリケーションを動作させることと、画像情報を生成することと、そしてインターフェースを介して画像情報をホストデバイスに送信することとを含む、トークンデバイスの動作方法を含み、その画像情報はホストデバイス上で動作するクライアントアプリケーションによって描画される。

［詳細な説明］
以下の説明は制限的意味に受け取るべきものではなく、ただ単に、本発明の一般的原理を説明する目的のためになされるものである。本発明の範囲は請求の範囲に関して決定されるべきものである。目下の実施形態は、背景において説明された問題に取り組み、一方でまた、以下の詳細な説明によって分かるであろう、他の追加的問題にも取り組む。

ここにおいて説明される幾つかの実施形態は、さまざまなユーザの要求に適う、安全で持ち運び可能な作業環境を提供する。トークンデバイスは、さまざまな実施形態において、以下のような１以上の特徴を提供する。トークンデバイスは安全にファイルを維持し、持ち運び可能な環境に常駐する必要なアプリケーションを持つことによって、ユーザのファイルを用いての作業を可能とし、ファイルがホストマシンにキャッシュされることを防止し、携帯性の高いフォームファクタ（ｆｏｒｍ ｆａｃｔｏｒ）（例えば、スマートカードやＵＳＢデバイス）を提供するのであり、ホストマシンからの感染の心配がなく、そしてＷｉｎｄｏｗｓ， Ｌｉｎｕｘ， Ｍａｃｉｎｔｏｓｈ， ＰＤＡホストコンピュータまたは他の多くのタイプのさまざまなオペレーティングシステムを動作させているホストコンピュータで動作することができる。

ある実施形態は、プロセッサと、メモリに記憶された１以上のアプリケーションと、メモリに記憶された１以上のファイルと、そしてホストコンピュータを介して仮想インターフェースを動作させるためのクライアントアプリケーションとを備える持ち運び可能なデバイス（例えば、ＵＳＢフォームファクタまたはスマートカード）を含む。ある実施形態において、持ち運び可能なデバイスはオペレーティングシステムを含む。ある幾つかの実施形態において、そのデバイスは単一の接続インターフェース（例えば、ＵＳＢ、スマートカード、ネットワーク）を含み、キーボード、マウス、ディスプレイまたは他の入力デバイスを含まない。操作において、ユーザはその持ち運び可能なトークンデバイスと、デバイスインターフェースの仮想化をサポートするクライアントアプリケーション経由で交信するであろう。持ち運び可能なデバイス上での、トークンデバイスアプリケーションとファイルとの処理は、ホストデバイス上ではなく、その持ち運び可能なデバイスで局所的に発生する。如何なるファイルデータ、アプリケーション（仮想インターフェースアプリケーション以外）、または計算作業も、ホストコンピュータ上では実行されず、キャッシュされず、またホストコンピュータに送信されない。

別のある実施形態は、インターフェース（例えば、ＵＳＢ、スマートカード、またはネットワークインターフェース）付きのマイクロプロセッサを備える持ち運び可能なトークンデバイスを含み、それがホストコンピュータに接続された時は、例えば安全なオンラインでの（ｓｅｃｕｒｅ ｏｎ−ｌｉｎｅ）銀行取引や、安全な個人の作業空間や、安全なカスタムＰＯＳインターフェースや、文書作成や、スプレッドシート（ｓｐｒｅａｄｓｈｅｅｔ）や、ファイルビューアのようなアプリケーションを、そして他の任意のアプリケーションをサポートする、安全なコンピュータ環境が提供される。

別のある実施形態は、スマートカードにおいて広く利用されているような安全なプロセッサと、目的の用途に適応させた１以上のトークンデバイスアプリケーションと、そして、例えばここに全体としての参照により組み込まれている、２００２年５月２１日にＣａｒｐｅｒ等に対して与えられた、「アプリケーションの、スマートカード上でのインストール／アンインストール（ＤＥ−ＩＮＳＴＡＬＬＩＮＧ）のためのシステムと方法」とタイトルが付された、米国特許第６，３９０，３７４号において説明されたもののようなオペレーティングシステムとを含む。代わりとなるオペレーティングシステムとしては、例えば、http://en.wikipedia.org/wiki/Contiki で説明されているＣｏｎｔｉｋｉオペレーティングシステム、または http://sourceforge.net/projects/vnc-tight で説明されているＶＮＣサーバのような仮想サーバが含まれる。その構成要素は、スマートカードまたはＵＳＢトークンのフォームファクタに従って組み立てられる。加えて、トークンデバイスは、例えば、ここに全体としての参照により組み込まれている、２００６年７月３日に出願された、Ｃａｒｐｅｒ等への、「生体認証（ＢＩＯＭＥＴＲＩＣ）埋め込みデバイス」とタイトルが付された、米国特許仮出願第６０／８０６，４９４号において説明されたもののような生体認証デバイスであってもよい。

今、図１を参照すると、１つの実施形態に従う、持ち運び可能なトークンデバイスを図示するブロック図が示されている。示されているのは、インターフェース１００と、プロセッサ１０４と、そしてメモリ１０６である。例えば、追加的なプロセッサ、生体認証の構成要素、電源等のような、他のさまざまな構成要素を、このデバイスは有してよい。

持ち運び可能なトークンデバイスは、ＵＳＢデバイス、スマートカード、または他の、容易に持ち運び可能な、小さな埋め込みデバイスの形であってよい。一般には、その持ち運び可能なトークンデバイスは、キーボードや、ディスプレイスクリーンや、または他の入力／出力機能（インターフェース１００を介して与えられるものを除く）を含まないであろう。

メモリ１０６は、さまざまな実施形態に従って、ＲＯＭ、フラッシュメモリの両方、及び／または ＲＡＭを含むことができる。メモリは、１以上の物理的メモリ記憶デバイス 及び／または プロセッサ回路に直接付随しているメモリを含むことができる。通常のＵＳＢデバイスとは対照的に、持ち運び可能なトークンデバイスは、その持ち運び可能なトークンデバイス上でトークンデバイスアプリケーションを動作させるためのプロセッサ１０４を含む。そのアプリケーションはここにおいて特別のアプリケーション、トークンデバイスアプリケーション 及び／または 仮想サーバアプリケーションと呼ばれるであろう。これら各々は単に、トークンデバイスのプロセッサ１０４上で実行されるアプリケーションのことを言っている。

１つの実施形態に従えば、プロセッサ１０４は特別のマイクロプロセッサである。プロセッサ１０４は、しかしながら、ここにおいて上述したような多くのさまざまなタイプのプロセッサであってよい。選択的に、プロセッサ１０４は、オペレーティングシステムを動作させる安全なプロセッサか、または特別のアプリケーションを動作させるために設計された、特別の安全なマイクロプロセッサを含んでよい。

１つの実施形態において、持ち運び可能なトークンデバイスは１以上の特別のアプリケーション（例えば、銀行取引、ファイルビューア、ファイルエディタ、または経済取引アプリケーション）のために使われる。その特別のアプリケーション（ここにおいては、トークンデバイスアプリケーションとも呼ばれている）は持ち運び可能なトークンデバイスのメモリ１０６に記憶され、そしてプロセッサ１０４によって動作する。加えて、その持ち運び可能なトークンデバイスは、メモリ１０６に１以上のファイルを記憶することができ、また選択的に、ホストコンピュータ上で動作するよう設計されたクライアントアプリケーションを記憶することもできる。そのクライアントアプリケーションは、持ち運び可能なトークンデバイスのプロセッサ１０４上で動作する特別のアプリケーションのための、仮想インターフェースを提供する。このように、ホストコンピュータを利用して特別のアプリケーションと交信することができる。例えばユーザは、トークンデバイス上で動作する特別のアプリケーションと交信するために、ホストコンピュータのキーボードやマウスを使うことができる。

次に図２を参照すると、ある実施例に従う、ホストコンピュータに繋がった持ち運び可能なトークンデバイスを図示するブロック図が示されている。示されているのは、ホストデバイス２００、トークンデバイス２０２、そしてインターフェース２０４である。

ホストデバイス２０２はインターフェース２０４を介してトークンデバイス２０２に繋がれている。インターフェース２０４は、例えば、ＵＳＢインターフェース、スマートカードインターフェース、またはネットワークインターフェースである。インターフェース２０４はまた、さまざまな実施形態に従って、有線または無線のインターフェースであってよい。そのインターフェースはホストデバイス２００とトークンデバイス２０２との間のＩ／Ｏ機能を提供する。加えて、実施形態によっては、電力はホストデバイス２００からトークンデバイス２０２に、インターフェース２０４を介して提供される。あるいは、トークンデバイス２０２はバッテリーまたは太陽電池などのオンボードの電源を含む。

トークンデバイス２０２は、例えば、図１に関して上述されたトークンデバイスである。上述の通り、トークンデバイス２０２は、トークンデバイス２０２上で動作する特別のアプリケーションを記憶する。その特別のアプリケーションは仮想サーバだと考えてもよいし、ここにおいてそのように呼ばれるであろう。選択的に、トークンデバイス２０２はまたクライアントアプリケーションを記憶する。トークンデバイス２０２がホストデバイス２００に接続されるとき、そのクライアントアプリケーションはインターフェース２０４を介してホストデバイス２００にロードされる。そのクライアントアプリケーションは仮想クライアントだと考えてもよいし、ここにおいてそのように呼ばれるであろう。トークンデバイスが任意のホストデバイス２００に繋がれるときはいつでも、クライアントアプリケーションが容易にホストデバイス２００に送信されるように、そのクライアントアプリケーションはトークンデバイス２０２に記憶されていることが望ましい。しかしながら、代替的実施形態において、トークンデバイス２０２に繋がれるより前に、クライアントアプリケーションはホストデバイス２００に記憶されていてもよいのであり、または、ホストデバイス２００はクライアントアプリケーションをリモートソースからダウンロードしてもよい。

仮想サーバ（すなわち、単数又は複数の、特別のアプリケーション）は、インターフェース２０４を介して、仮想クライアント（すなわち、クライアントアプリケーション）と通信する。１つの実施形態において仮想クライアントは、例えばＰＤＡ端末機（ＰＤＡ：Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）、電話、そしてコンピュータなどを含む、特定のオペレーティングシステムに依存しない殆どのコンピュータシステム上で実行されるようにと、Ｊａｖａ（登録商標）を用いて開発される。しかしながら、クライアントデバイスを他の技術を用いて開発してもよいし、所望されるのであれば、プラットフォーム依存でビルトしてもよい。

操作において、ホストデバイス２００上で動作する仮想クライアントはトークンデバイス２０２上で動作する仮想サーバと通信する。仮想クライアントは、ホストデバイス２００上のアプリケーションウインドウ内部に、仮想スクリーンを表示する。仮想クライアントと仮想スクリーンの典型的スクリーンショットが、図６に関して示されており、そして以下において説明される。キーボードとマウスの動きは仮想クライアントによって収集され、仮想サーバへ転送される。これにより、トークンデバイスは一般に、例えばキーボードやマウスのような如何なる入力をも含まないにも関わらず、ユーザはそのトークンデバイス上で動作している特別のアプリケーションと交信することが可能となる。例えばその特別のアプリケーションはファイル編集プログラムであってよく、ユーザはトークンデバイス２０２上に記憶されたテキストファイルを編集できる。ユーザはそのテキストファイルを仮想スクリーン内で見ることができるのであるが、ホストデバイス２００はそのテキストファイルのコピーにアクセスできない。ホストデバイス２００が受信するデータはトークンデバイス２０２からの画像データであり、テキストファイルのコピーを実際に得るのではない。選択的に、仮想クライアントは、例えばネットワークへのアクセス 及び／または プリントサービスへのアクセスの提供をサポートしてもよい。

仮想スクリーンは、例えば、ホストデバイス２００のディスプレイデバイス上のウインドウである。仮想スクリーンのコンテンツは、仮想サーバから仮想クライアントに与えられる画像データに応答して更新される。ホストデバイス２００のディスプレイデバイス上に表示される仮想スクリーンを更新するために、トークンデバイス２０２上で動作する特別のアプリケーションは、画像情報を仮想クライアントに与える。仮想クライアントはそれから、仮想スクリーンを更新する。しかしながら、ホストデバイス２００はトークンデバイス２０２上で動作する特別のアプリケーションへアクセスするのではなく、そしてそれを動作させるわけでもないことは当然のことである。トークンデバイス２０２上のアプリケーション 及び／または 任意のファイルは完全に安全に保たれ、そしてホストコンピュータ２００から隔離される。このことにより、その特別のアプケーションが何らかのウイルスに感染することが防止され、またはホストデバイス２００にデータを晒さなければならないということもなくなる。こうして、トークンデバイス２０２がホストデバイス２００から除かれれば、ホストデバイス２００上に情報の（全体、または部分的）コピーが残されることはない。

１つの実施例においては、トークンデバイス２０２がホストデバイス２００に接続されたその時点で、仮想クライアントアプリケーションを備えたドライブがホストデバイス２００に対して公開される。このことによって、トークンデバイスに接続され次第、ホストデバイス２００は仮想クライアントアプリケーションをロードして動作させることが可能となる。選択的に、トークンデバイス２０２は読み取り専用の、または読み取り／書き込みの、追加ドライブを公開してもよい。その追加的ドライブは、ファイルまたはアプリケーションへアクセスするために、またはそれらを記憶するために使うことができる。例えば、ファイルはホストデバイス２００からコピーされてトークンデバイス２０２に記憶されてよい。ウイルスをトークンデバイス２０２上にコピーする可能性があるので、これは幾つかのアプリケーションにおいては望ましくない。

トークンデバイスはパスワード保護されてよく、及び／または生体認証識別を要求することで保護されてよい。生体認証トークンの一例が、ここに全体としての参照により組み込まれている、２００６年７月３日に出願された、Ｃａｒｐｅｒ等への、「生体認証埋め込みデバイス」とタイトルが付された、米国特許仮出願第６０／８０６，４９４号において説明されている。パスワード保護されたトークンデバイス２０２を取ることの、生体認証デバイスと比較しての１つの問題は、ホストコンピュータは潜在的に、ユーザがパスワードを入力したときのキーストローク（またはマウスクリック）を捕捉する“キーロガー（ｋｅｙ ｌｏｇｇｅｒ）”プログラムを有している可能性があるということである。これに対する１つの解決策は、現在の実施形態に従えば、トークンデバイス上で動作する特別のアプリケーションからユーザにキーパッドを提示させ、ユーザにマウスを使ったパスワード入力をさせるということである。キーパッドは、パスワードが要求される各々の時点で数字がそのキーパッド中の異なった位置へ現れるようにと、スクランブルされてよい。この解決法は、“キーロガー”プログラムがユーザのパスワードに関する如何なる重要なデータを記録することをも妨げるであろう。トークンデバイス２０２上で動作する特別のアプリケーションがキーパッドを提示しているので、如何なるキーパッドがユーザに提示されているのかをホストコンピュータ２００が追跡することはできない。

次に図３を参照すると、ある実施形態に従って、持ち運び可能なトークンデバイスをホストコンピュータと共に用いる方法を説明するフロー図が示されている。

ステップ３００において、トークンデバイスはインターフェースを介してホストコンピュータに繋がれる。例えば、トークンデバイスがホストコンピュータのＵＳＢポートに挿入（プラグ接続）される。次にステップ３０２において、ドライブ（例えば読み取り専用ドライブ）がホストコンピュータに与えられる。ドライブは１以上のアプリケーションファイルを備え、好ましくは仮想インターフェースクライアントを備える。上述の通り、好ましくは最高の互換性のために、仮想クライアントアプリケーションはＪａｖａで記述されるのであるが、しかしながら特に目標とするコンピュータ環境のために、多くの異なった技術を用いて記述してもよい。加えて、上述の通り、仮想クライアントアプリケーションは既にホストコンピュータ上に置かれていてもよいし、またはホストコンピュータがトークンデバイス以外のソースから仮想クライアントアプリケーションをダウンロード可能であってもよい。

ステップ３０４において、仮想クライアントアプリケーションがドライブに置かれているならば、ユーザは、例えばその仮想クライアントアプリケーションをダブルクリックすることで、仮想クライアントアプリケーションを起動できる。代わりに、トークンデバイスがインターフェースを介してホストコンピュータに接続されたときに、仮想クライアントアプリケーションがプログラムで起動されてもよい。

続いて、ステップ３０６において、仮想クライアントアプリケーションを用いて、ユーザはトークンデバイスにログインするための適正なパスワードを与えることができる。代わりに、ユーザを認証するために生体認証を利用することができる。ステップ３０８において、トークンデバイスからクライアントアプリケーションに画像情報が送られ、デスクトップのビューまたはトークンデバイス上で動作している特別のアプリケーションが、クライアントアプリケーション内部のウインドウに現れるであろう。例えば、仮想クライアントアプリケーション内部のウインドウが、トークンデバイス上で動作する特別のアプリケーションのためのデスクトップ環境またはウインドウを表示するであろう。もしトークンデバイスが特別のアプリケーションを１つ備えるだけであるならば、そのアプリケーションが自動的に開始してよく、デスクトップを有する必要はない。しかしながら、もし複数の特別のアプリケーションまたは複数のファイルがトークンデバイス上に記憶されているならば、デスクトップはユーザにとって便利かもしれない。再び、特別のアプリケーションはトークンデバイス上で動作しているのであって、ホストコンピュータにロードされるのではないということに注意すべきである。ホストコンピュータは仮想クライアントアプリケーションを動作させるだけである。

次に、ステップ３１０において、特別のアプリケーションが、他の任意のコンピュータアプリケーションと同様に動作する。すなわち、ホストデバイスをインターフェースとして用いて、ユーザはそのアプリケーションと交信できる。例えば、ユーザはトークンデバイス上で動作するアプリケーションと交信するために、マウスを動かすかまたはキーボードをタイプすることができる。選択的に、ホストコンピュータのネットワーク（例えば、インターネット）接続がＵＳＢ接続を介してトンネルされて、トークンデバイスによって利用可能となってもよい。例えば、離れたサーバやプリントにアクセスするために、ネットワーク接続が利用されてよい。選択的に、安全上のリスクとも考えられるのではあるが、トークンデバイス上に置かれた追加の読み取り／書き込み ドライブを、トークンデバイスへ、そしてトークンデバイスからファイルをコピーするために利用可能としてもよい。もう１つの選択肢として、読み取り専用ドライブを、トークンデバイスからホストコンピュータへのファイル送信を可能とするために、利用可能としてもよい。もう１つの選択誌において、トークンデバイスはウェブサーバを動作させ、ウェブサーバは選択されたファイルが、ホストコンピュータによってアクセス可能な読み取り専用の方式で公開されることを可能とする。

次に図４を参照すると、ある実施形態に従う、銀行取引アプリケーションと共に利用される持ち運び可能なトークンデバイスを図示するブロック図が示されている。示されているのは銀行サーバ４００、ネットワーク４０２、ホストコンピュータ４０４、トークンデバイス４０６、そしてインターフェース４０８である。

トークンデバイス４０６は、インターフェース４０８を介してホストコンピュータ４０４に繋がっている。ホストコンピュータ４０４はネットワーク４０２を介して（例えばインターネットや、モデムを介して直接で）銀行サーバ４００と繋がっている。

典型的なブラウザから銀行取引へアクセスすることに伴う１つの問題は、それが非常に便利である一方、それは極秘（ｃｏｎｆｉｄｅｎｔｉａｌ）の機密（ｓｅｎｓｉｔｉｖｅ）情報へのアクセスについての、非常に安全なやり方であるとは必ずしも言えないということである。もう１つの問題は、認証されていないユーザによる、不正なパスワードを用いた総当りでの（ｂｒｕｔｅ ｆｏｒｃｅ）ユーザアカウント名または番号のサンプリングにより、非常に素早くアカウントが明らかにされてしまい（非常に多くの試行の失敗によって）、そして有効なユーザが銀行取引情報にアクセスできなくなるということである。加えて、ユーザのコンピュータ上で動作するトロイの木馬プログラムによって機密情報が捕捉される可能性がある（例えば、パスワードやユーザ名）。さらにもう１つの問題は、コンピュータのローカルディスクキャッシュが機密情報を記憶するかもしれないということである。さらには、任意のコンピュータから誰でもアクセスを試みることができ、物理的デバイスやカードは必要とされない。さらにもう１つの問題は、ウェブサイトリンクはなりすましが可能であって、ユーザが彼らのアカウントにログインしようとするときに、彼らの銀行取引信用証明の漏洩を引き起こすということである。

上述の問題と、従来のオンライン銀行取引に関連する他の問題を克服するために、図４に示されるシステムを実装することができる。トークンデバイス４０６は、例えば、特別のアプリケーションを１つ記憶する（例えば、銀行取引アプリケーション）。トークンデバイス４０６のメモリには１以上のファイルが記憶されてよい。銀行は、銀行サーバへの安全なアクセスの手助けをするアプリケーションを、作成するか採用する。銀行によって作成された特別のアプリケーションは、トークンデバイス４０６に安全にインストールされる。好ましくは、トークンデバイスへの追加でのアプリケーションインストールは、その後はできないものとされる。しかしながら、銀行アプリケーションは選択的に、そのインストールされたソフトウェアの更新を許してよい。トークンデバイス上のアプリケーションの更新は、例えば、ここに全体としての参照により組み込まれている、２００２年５月２１日にＣａｒｐｅｒ等に対して与えられた、「アプリケーションの、スマートカード上でのインストール／アンインストールのためのシステムと方法」とタイトルが付された、米国特許第６，３９０，３７４号において説明されている。選択的に、トークンデバイス４０６に直接アクセスすることは不可能となり、または、銀行が認定したアプリケーション以外の如何なるアプリケーションをもトークンデバイス上で動作させることは不可能となる。

操作において、トークンデバイス４０６はインターフェース４０８を介してホストコンピュータ４０４に繋がれる。例えば、トークンデバイス４０６はホストコンピュータのＵＳＢインターフェースに挿入される。トークンデバイス４０６が挿入されると、電力がトークンデバイス４０６に与えられ（例えばＵＳＢインターフェース経由で）、そしてトークンデバイスのプロセッサが動作を始める。トークンデバイスがオペレーティングシステムを含む場合には、オペレーティングシステムが起動する。１つの実施形態においては、オペレーティングシステムと銀行アプリケーションとが作動していて（ｕｐ）、動作していて（ｒｕｎｎｉｎｇ）、そしてユーザの交信を待っているような、銀行取引アプリケーションが開始する。トークンデバイス４０６上で２以上のアプリケーションが動作可能であるならば、デスクトップかまたは別の、アプリケーションまたはファイルを１つ選択するための方法が、ユーザには提示される。

次に、例えば、通常のＵＳＢ記憶デバイスのように見えるドライブが、ホストコンピュータのデスクトップ上に現れる。しかしながら、好ましくは、そのドライブには（削除不可能な）アプリケーションが１つだけ備わっている。選択的に、他のファイルまたはアプリケーションが、できる限りは読み取り専用ファイルとして、共通領域に記憶されてもよい。例えば前記アプリケーションのユーザマニュアルが、メモリのこの領域に記憶されていてよい。次に、例えばプログラムで、またはユーザがそのアプリケーションを選択することにより、アプリケーションが起動される。アプリケーションは、例えば前述の仮想クライアントアプリケーションのような、仮想クライアントアプリケーションとして動く。起動され次第、通常のアプリケーションウインドウがホストコンピュータ４０４上で開き、そしてトークンデバイス４０６上で動作するオペレーティング環境への仮想インターフェースを与える。例えば、仮想インターフェースは、ユーザがトークンデバイス４０６上で動作する銀行取引アプリケーションと交信することを可能にする。

ホストコンピュータのインターネット接続をトークンデバイス４０６上の銀行取引アプリケーションに接続するために、ネットワークブリッジが作成される。インターネットブリッジは、銀行取引アプリケーションがネットワーク（例えば、インターネットやローカルネットワーク）を介して銀行サーバ４００と通信することを可能とする。トークンデバイス上の銀行取引アプリケーションは、例えば、離れた銀行サーバ４００に直接接続するために、ネットワークブリッジを利用する。銀行取引のような、プライバシーとセキュリティが要求されるアプリケーションのために、銀行サーバ４００とトークンデバイス４０６との間の情報の送信は、如何なる仲介者にも読み取られることのないよう、暗号化されるべきである。ホストコンピュータ４０４は、単にトークンデバイス４０６と銀行サーバ４００との間の通信をルーティングするパイプとして動作する。ホストコンピュータ４０４は、（インテグリティが破損しない限りは）送信される情報を見ることも修正することもできない。銀行取引アプリケーションはトークンデバイス４０６のプロセッサ上で動作しているので、ホストコンピュータ４０４は暗号化されていない如何なる情報にもアクセスできない。さらには、銀行取引アプリケーションと、選択的にオペレーティングシステムとは、完全にトークンデバイス４０６上で動作しているのであり、それ故ホストコンピュータ４０４上には、動作しているアプリケーションの形跡は存在しない。選択的に、トークンデバイス４０６上で生体認証センサーを使えば、盗難や悪用からの有効な保護が可能となる。生体認証センサーとトークンデバイスを合体させる、１つの好ましい実施形態は、ここに全体としての参照により組み込まれている、２００６年７月３日に出願された、Ｃａｒｐｅｒ等への、「生体認証埋め込みデバイス」とタイトルが付された、米国特許仮出願第６０／８０６，４９４号において説明されている。

図４のシステムは選択的に、経済取引に使用可能であり、また安全なネットワーク銀行取引のために使用可能であるトークン（例えば、スマートカード）を、銀行によって配布することを可能とする。オンラインの銀行取引システムにおいて、そのようなセキュリティは現時点では可能でない。上述された動作は典型的なものであって、より多くの、またはより少ないステップが所望のシステム動作に応じて実装されるのは当然のことである。

次に図５を参照すると、ある実施形態に従う、ＰＯＳ端末機と共に利用される持ち運び可能なトークンデバイスを図示するブロック図が示されている。示されているのは、バックエンド５００と、ネットワーク５０２と、端末機５０４と、トークンデバイス５０６と、インターフェース５０８である。

トークンデバイス５０６はインターフェース５０８を介して端末機５０４に繋がれている。端末機５０４はネットワーク５０２（例えばインターネットや直接のモデム線）を介してバックエンド５００に繋がれている。

典型的なＰＯＳ端末機においてはさまざまな支払方法が容認される。典型的には、磁気ストライプ、接触式スマートカード、または非接触式スマートカードが消費者に利用されている。スマートカードベースのシステムは、磁気ストライプのシステムよりもより安全だと認識されている。このことは正しいかもしれないが、多くのシステムにおける攻撃ポイントとして、端末機がしばしば見過ごされている。多くの端末機では、正常に機能するように見えて、しかしながら実際は消費者やベンダーに見られずに追加的処理を実行するような、内部ソフトウェアの修正が可能である。例えば端末機のソフトウェアは、取引情報を記録するように修正することが可能である。加えて消費者は、スクリーン上に表示されている合計が、承認を得るために提出された実際の合計であることを、（直接でも、磁気ストライプの場合に電話回線を介していても）例えスマートカードベースのモデルを使っているとしても確信することはできない。さらには、その端末機は、消費者が知らない他のカードの情報へアクセスし、それを記憶し、または使うかもしれない。

図５に示されるシステムは、これらの、そして経済取引システムに関連する他の問題を克服する。好ましくは、トークンデバイス５０６はスマートカードのフォームファクタに従う安全なトークンコンピュータであり、そしてインターフェース５０８のようなスマートカードインターフェースを利用する。端末機５０４（ここではＰＯＳ端末機５０４とも呼ばれる）は、ここにおいて説明される実施形態に従い、安全なトークンコンピュータの存在を検出するよう修正される。ＰＯＳ端末機５０４がトークンデバイス５０６を識別すると、ＰＯＳ端末機５０４のディスプレイの一部（図示されていない）が、ユーザに仮想インターフェースを提示するために使われる。端末機は仮想インターフェースを表示するクライアントアプリケーションを動作させている。仮想インターフェースは、トークンデバイス５０６上で動作している経済取引アプリケーションに関する情報を表示するために使われる。こうしてトークンデバイス５０６は、端末機に画像情報を送ることによって、仮想インターフェースに表示される内容を制御する。画像情報はクライアントアプリケーションによって、仮想インターフェースを更新するために使われる。ＰＯＳ端末機５０４のディスプレイの別領域において（例えば仮想インターフェースの上方に）、取引の総額が表示される。その総額はまた、メッセージの一部としてトークンデバイス５０４に送られてもよい。

続いてユーザは、例えばＰＯＳ端末機５０４上のキーパッドを用いて、その特別の取引アプリケーションと交信できる。この実施形態において、ＰＯＳ端末機５０４はホストコンピュータとして動いている。上述したことと同様に、トークンデバイスは、パスワードまたはｐｉｎを用いて、または生体認証識別を用いることによって、保護することができる。端末機５０４は、トークンデバイス上で動作する経済取引アプリケーションと交信するのに用いられる。次に、ユーザは通常は表示された総額を受け入れて、可能な支払方法のうち所望の方法を選択し、それから記録のためにその取引（トランザクション）を提出して送信するであろう。暗号化された通信が、その端末機が暗号化された取引情報を修正できず、または調べる（ｅｘａｍｉｎｅ）ことさえもできないようにと、好ましくは利用される。

上記の操作は典型的なものであって、追加の、またはより少ないステップを用いて、説明された操作を修正することができるのは当然である。例えば、取引を認証するために、バックエンド５００とトークンデバイス５０６との間にさまざまな通信ステップを実装することができる。

図４と図５に関連して既に説明された、銀行取引アプリケーションとＰＯＳ端末アプリケーションにおいて、さまざまな通信についての安全化手法を利用することができる。上述の実施形態に従って利用できるさまざまな通信方法とシステムのうちの幾つかは、本願は、ここに全体としての参照により組み込まれた、２００６年１０月２０日に提出された、Ｃａｒｐｅｒ等への、「分散的で安全な取引システム」とタイトルが付された、米国特許仮出願第６０／８６２，３８１において与えられる。

次に図６を参照すると、ある実施形態に従う、仮想インターフェースアプリケーションにおいて利用されるさまざまなアプリケーションのスクリーンショットを図示するブロック図が示されている。クライアントアプリケーションウインドウ６００、ワードプロセッサウインドウ６０２、そしてファイルビューアウインドウ６０４が示されている。

クライアントアプリケーションウインドウ６００は、ホストコンピュータ上で動作するクライアントアプリケーションのためのグラフィカルユーザインターフェースである。ワードプロセッサウインドウ６０２は、トークンデバイスからホストコンピュータに送られる画像情報を表示するウインドウである。ホストコンピュータは、ワードプロセッサウインドウ６０２内に表示されているもののビューを更新するために、トークンデバイスから画像情報を受信するのであるが、しかしながらホストデバイスは、トークンデバイス上に記憶されたファイルまたはアプリケーションへは決してアクセスできない。トークンデバイス上で動作するワードプロセッシングアプリケーションは、以下でより詳細に説明される。

ファイルビューアウインドウ６０４は、トークンデバイスからホストコンピュータに送られる画像情報を表示するウインドウである。再び、ファイルビューアウインドウ６０４内に表示されているもののビューを交信するために、ホストコンピュータはトークンデバイスから画像情報を受信するのであるが、しかしながらホストデバイスは、トークンデバイス上に記憶されたファイルまたはアプリケーションへは決してアクセスできない。トークンデバイス上で動作するファイルビューアプリケーションは、以下でより詳細に説明される。

現在のシステムにおいては、さまざま既存技術を用いて、機密性の高い文書（大抵は暗号化されている）の配布を成し遂げることができる。しかしながら、文書が届けられたとき、受信者はそれを閲覧するために復号を行う必要がある。一旦その文書が復号されれば、それは安全でないやり方で格納されるかもしれないし、及び／または、その文書の閲覧を認められていない別の者に届けられるかもしれない。さらには、その文書の閲覧に利用されるコンピュータは、その文書のコピーをコンピュータのキャッシュ内に保持しているかもしれない。それゆえ、機密性の高い文書を閲覧、編集するとき、従来の技術には問題がある。

文書とアプリケーションへのアクセスとその配布を制御しようと試みるデジタル著作権管理（ＤＲＭ：ｄｉｇｉｔａｌ ｒｉｇｈｔｓ ｍａｎａｇｅｍｅｎｔ）に関して、多くの現行モデルが存在する。特定のファイルまたはアプリケーションへのアクセスが一旦認められた時点で、ホストコンピュータのメモリを読み取って、アクセスされているファイルまたはアプリケーションを記録する、別のプログラムをホストコンピュータが実行すると、これら現行のシステムはしばしば破られる。

以下の実施形態は上記問題を解決し、そして現行のシステムにおける他の問題に取り組む。１つの実施形態において、トークンデバイスはスマートカードのフォームファクタに従い、スマートカードのインターフェースを利用する。トークンデバイスは、安全な文書を閲覧するために使われる。その文書は、トークンデバイスからホストコンピュータに送られる画像情報を用いてファイルビューアウインドウ６０４の中に示されるであろう。操作において、トークンデバイスはスマートカードインターフェースを介してホストデバイスに接続される。次に、トークンデバイス上のドライブ（例えば、読み取り／書き込み ドライブ）が、ホストデバイスから利用可能となる。例えば、特定のトークンデバイスのためのパブリックキーまたは共有秘密キー（ｓｈａｒｅｄ ｓｅｃｒｅｔ）を使って暗号化されたファイルがユーザに届けられ（例えば、ｅ−ｍａｉｌによって、ＣＤまたはネットワークからのダウンロードによって）、そしてその暗号化されたファイルはそのトークンデバイスにコピーされる。

仮想インターフェースプログラム（すなわち、クライアントアプリケーション）がホストデバイス上で開始され、そしてファイルビューアウインドウ６０４が、クライアントアプリケーションのウインドウ内に現れる。ある実施形態において、ファイルビューアウインドウ６０４はユーザによって、トークンデバイス上に記憶されたファイル（例えば、暗号化されたファイル）を選択するために使われる。その暗号化されたファイルはトークンデバイスによって自動的に復号され（例えば、トークンデバイスのプライベートキーまたは共有秘密キーを用いて）、そしてファイルビューアウインドウ６０２内に表示される。ファイルビューアウインドウ６０４内に示されているものを更新するため、トークンデバイスから仮想インターフェースプログラムに画像情報が送信される。与えられている他の例と同様、ユーザはホストコンピュータ上の入力デバイス（例えば、マウスやキーボード）を使って、ファイルビューアウインドウ６０４と交信できる。交信の間、クライアントアプリケーションはホストデバイス上での如何なる入力（例えば、マウスとキーボードでの入力）をも記録し、そしてそれらをトークンデバイス上で動作しているファイルビューアアプリケーションへ送る。ファイルビューアアプリケーション（仮想サーバアプリケーション）はその入力を解釈し、クライアントアプリケーションへ送られる画像情報を更新する。更新された画像情報を受信すると、クライアントアプリケーションはファイルビューアウインドウ６０４内の画像を更新するであろう。このやり方によれば、ホストコンピュータが暗号化されたファイルを復号された状態で利用することは決してできないのであるが、しかしながら、ユーザはホストコンピュータ上の仮想インターフェースを介してそのファイルを閲覧することができる。

閲覧が完了すると、その暗号化されたファイルはトークンデバイスから除かれてよく、そして捨てられるか、または別の記憶媒体を使って保管される。そのファイルは依然として暗号化されたままであり、それゆえ不正な閲覧の心配をすることなしにそのファイルを送信し、そして格納することが可能である。

ワードプロセシングウインドウ６０２に話を移す。機密性、または秘密性の高い文書の作成、編集は、しばしば、機密文書を使って作業するために特別に指定されたコンピュータシステム上で実行される。しばしばコンピュータは鍵のかかった部屋に置かれており、そして正当なユーザのみがアクセスできることを確かなものとするため、非常に強いアクセスコントロールが利用される。一般に、そこまで機密性、秘密性の高い文書とは思われていない文書を扱う時であっても、人々はしばしば、彼らの経済的な情報、予定表、または連絡先リストさえも、非常に機密的だと考える。さらに、通常ファイルを編集するために利用するコンピュータ（例えば、家庭やオフィスにあるコンピュータ）から離れているときに、そのファイルを編集する必要があるかもしれない。例えば顧客を訪問しているとき、旅行しているとき、または公共のコンピュータを利用する必要があるとき、そして例えばインターネットカフェにおいて、このような事態は起こり得る。そのような状況においてユーザは、その文書に公共のコンピュータからアクセスすることを、ここにおいて述べた多くの理由から望まないかもしれないが、しかしながらそのユーザには、その文書にアクセスして編集する必要があるかもしれない。

以下の実施形態は上記の問題を解決し、現在のシステムに付随する他の問題にも取り組む。操作において、トークンデバイスはインターフェースを介してホストデバイスに接続される。トークンデバイスは例えば、ＵＳＢインターフェースを用いるＵＳＢデバイスのフォームファクタに従う。トークンデバイスをホストコンピュータのＵＳＢスロットに挿入した後、選択的に、ホストコンピュータ上には読み取り専用ドライブが現れる。ホストデバイス上で動作するクライアントアプリケーションは、そのトークンデバイスの読み取り専用ドライブに記憶されている。上述の通り、クライアントアプリケーションは代替的に、事前にホストデバイス上に置かれていてもよいし、またはネットワーク（例えば、インターネットや無線での遠隔通信）を介してダウンロードされ、ホストコンピュータに記憶されてもよい。

次に、クライアントアプリケーションが起動し、ホストデバイス上で動作する。これによって、ホストコンピュータのディスプレイデバイス上にクライアントアプリケーションウインドウ６００が現れる。クライアントアプリケーションウインドウは選択的に、トークンデバイスからの仮想化されたデスクトップインターフェースを表示することができる。代わりに、ワードプロセシングウインドウ６０２が即座に表示されてもよい。適切な照合（例えば、パスワードや生体認証識別）の後、ワードプロセシングアプリケーションがトークンデバイス上で動作し、そして所望のファイルが編集のために選択される。ワードプロセシングウインドウ６０２に示される画像を更新するために、トークンデバイスからホストデバイスへ画像情報が送られる。トークンデバイス上で動作しているワードプロセシングアプリケーションと交信するために、ユーザはホストデバイスにおける入力デバイスを使う。選択的に、トークンデバイスの一部分は、ホストコンピュータからの読み取りアクセスのために、及び／または、読み取り／書き込みアクセスのために、使用可能であってよい。加えて、ホストコンピュータにとってアクセス可能なプリンタへのアクセスを可能とする仮想クライアントアプリケーションを使っての印刷が可能である。

再び、ホストコンピュータはワードプロセシングアプリケーションを動作させているのではなく、クライアントアプリケーションを動作させているだけであるというのは当然のことである。閲覧者がワードプロセシングアプリケーションと交信することを可能とするため、クライアントアプリケーションはトークンデバイスから画像情報を受信する。

ここにおいて開示される本発明は、特定の実施形態やアプリケーションを用いて説明されてきたのであるが、本発明についての他の修正、変更、そして配置は、後に続く請求の範囲によって定義される精神と範囲の中において、本発明を実施するために特に説明されてはいなくとも、上述の教示に従って可能である。

本発明についての、上記の、そして他の態様、特徴そして利点は、以下のより詳しい説明から、より明白なものとなるだろう。その説明は以下の図面と併せて与えられている。

対応する参照文字は、図面のさまざまなビュー全体を通じて、対応する構成要素を指示する。熟練の職人ならば、図中の要素は単純さと明快さとのために図示されていること、そして縮尺どおりに描かれる必要はないということが分かるであろう。例えば、図中のいくつかの要素についての寸法、サイズ、及び／または相対的配置は、本発明のさまざまな実施形態のよりよい理解の助けとなるよう、他の要素に比べて誇張されているかもしれない。また、普及しているがよく理解されている、商業的に適した実施形態において便利であるか必須である要素は、これらさまざまな本発明実施形態をより閉塞的でなく図示するために助けとなるよう、しばしば描写されていない。また、ここで使用される用語や表現は、そこにおいて別の特定の意味が別のやり方で示されている場合を除いては、普段そのような用語や表現に、対応するそれぞれの調査、研究分野における技能を有する者によって与えられる通りの、普通の意味をもつことが理解できるであろう。

図１は、ある実施形態に従う、持ち運び可能なトークンデバイスを図示するブロック図である。 図２は、ある実施形態に従う、ホストコンピュータに繋がった持ち運び可能なトークンデバイスを図示するブロック図である。 図３は、ある実施形態に従う、ホストコンピュータと共に持ち運び可能なトークンデバイスを使用する方法を図示するフロー図である。 図４は、ある実施形態に従う、銀行取引アプリケーションと共に利用される持ち運び可能なトークンデバイスを図示するブロック図である。 図５は、ある実施形態に従う、ＰＯＳ端末機（ｐｏｉｎｔ ｏｆ ｓａｌｅ ｔｅｒｍｉｎａｌ）と共に利用される持ち運び可能なトークンデバイスを図示するブロック図である。そして、 図６は、ある実施形態に従う、仮想インターフェースアプリケーションにおいて利用されるさまざまなアプリケーションのスクリーンショットを図示するブロック図である。

Claims (20)

1. トークンデバイスであって、
   メモリ（１０６）と、
   前記トークンデバイス（２０２）をホストデバイス（２０４）に繋ぐためのインターフェース（１００、２０４）と、
   前記メモリに繋がれたプロセッサ（１０４）と、
   を含み、
   前記プロセッサは前記トークンデバイスの前記メモリ内に記憶されたトークンデバイスアプリケーションを動作させ、前記プロセッサは画像情報を、インターフェースを介して前記ホストデバイスへと提供し、該画像情報は前記アプリケーションに従って画像を描画するための画像情報であり、該画像情報は前記ホストデバイスのディスプレイ上に描画するためにクライアントアプリケーションに対して送信される、トークンデバイス。
2. 前記クライアントアプリケーションは前記ホストデバイスからの入力を受け入れ、該入力は前記トークンデバイスへ送られる、請求項１に記載のトークンデバイス。
3. 前記メモリの読み取り専用部分を更に含む、請求項１に記載のトークンデバイス。
4. 前記メモリの前記読み取り専用部分は前記クライアントアプリケーションを記憶する、請求項３に記載のトークンデバイス。
5. 前記メモリの読み取り書き込み用部分を更に含む、請求項１に記載のトークンデバイス。
6. 前記プロセッサは安全なプロセッサ（ｓｅｃｕｒｅ ｐｒｏｃｅｓｓｏｒ）である、請求項１に記載のトークンデバイス。
7. 前記トークンデバイスアプリケーションは、銀行取引アプリケーション、ＰＯＳアプリケーション、ワードプロセシングアプリケーション、又はファイル閲覧アプリケーションである、請求項１に記載のトークンデバイス。
8. ディスプレイを備え、クライアントアプリケーションを動作させるホストデバイス（２００）と、
   インターフェース（２０４）を介して前記ホストデバイスに繋がれた、トークンデバイスアプリケーションを動作させるためのプロセッサ（１０４）を備えるトークンデバイス（２０２）と、
   を含み、
   前記トークンデバイスアプリケーションは画像情報を、前記ホストデバイス上で動作する前記クライアントアプリケーションへと、前記インターフェースを介して提供し、前記クライアントアプリケーションは前記トークンデバイスから提供される前記画像情報に従って前記ホストデバイスの前記ディスプレイ上に画像を表示する、システム。
9. ネットワーク（４０２）を介して前記ホストデバイスに繋がれた銀行取引サーバ（４００）を更に含む、請求項８に記載のシステム。
10. ネットワーク（５０２）を介して前記ホストデバイスに繋がれた経済取引バックエンド（５００）を更に含む、請求項８に記載のシステム。
11. 前記ホストデバイスは取引端末機（５０４）である、請求項１０に記載のシステム。
12. 前記トークンデバイスはスマートカードである、請求項１１に記載のシステム。
13. 前記ホストデバイスに繋がれた入力デバイスを更に含み、前記クライアントアプリケーションは前記ホストデバイスの該入力デバイスからの入力を受け入れ、該入力は前記トークンデバイスに送られて前記トークンデバイスアプリケーションによって解釈される、請求項８に記載のシステム。
14. トークンデバイスの動作方法であって、
    前記トークンデバイス（２０２）を、インターフェース（２０４）を介してホストデバイス（２００）に繋ぐ段階と、
    前記トークンデバイス上でトークンデバイスアプリケーションを動作させる段階と、
    画像情報を生成する段階と、
    前記画像情報を、前記インターフェースを介して前記ホストデバイスへと送る段階と、
    を含み、
    前記画像情報は前記ホストデバイス上で動作するクライアントアプリケーションによって描画される、方法。
15. 前記トークンデバイス上のドライブを前記ホストデバイスへ公開する段階と、
    前記ホストデバイスへのダウンロードのために前記クライアントアプリケーションを前記ドライブ上に記憶する段階と、
    を更に含む、請求項１４に記載の方法。
16. メッセージを、前記ホストデバイスを介して銀行サーバ（４００）へと送る段階を更に含み、前記トークンデバイスアプリケーションは銀行取引アプリケーションを含む、請求項１４に記載の方法。
17. 前記銀行サーバへの前記メッセージは暗号化されている、請求項１６に記載の方法。
18. メッセージを、前記ホストデバイスを介して経済取引バックエンド（５００）へと送る段階を更に含み、前記トークンデバイスアプリケーションは経済取引アプリケーションを含む、請求項１４に記載の方法。
19. 前記ホストデバイスにおいて受信された入力に対応して前記ホストデバイスから入力情報を受信する段階を更に含む、請求項１４に記載の方法。
20. 前記入力情報を、前記トークンデバイス上で動作する前記トークンデバイスアプリケーションへ提供する段階を更に含む、請求項１９に記載の方法。

Images