JP2010267295A - 認証機能を備えた情報処理装置の発行方法 - Google Patents

Abstract

【課題】 連続試行回数の許容値Ｍの書込処理に失敗しても、十分なセキュリティを確保する。
【解決手段】 秘密コード格納部２０内の秘密コードＣｓと外部から入力された入力コードＣｉとが一致しているか否かを、正否判定部１０によって判定して認証を行う。認証が失敗した連続試行回数は連続試行回数計数部３０で計数され、計数値が許容値格納部５０内の許容値Ｍを越えると、無効化処理部４０による無効化が行われる。情報処理装置１００の発行は、まず、許容値書込部５５に指示を与え、許容値格納部５０にデフォルト許容値Ｄを書き込む処理を行い、その後に、秘密コード書込部２５に指示を与え、秘密コード格納部２０に所望の秘密コードＣｓを書き込むとともに、許容値書込部５５に指示を与え、許容値格納部５０内のデフォルト許容値Ｄを所望の許容値Ｍに書き換える処理を行う。
【選択図】 図２

Description

本発明は、認証機能を備えた情報処理装置の発行方法に関し、特に、認証処理の連続試行回数を制限することによりセキュリティを高める方式をとる情報処理装置の発行方法に関する。

情報処理装置に関するセキュリティ対策として、外部からアクセスがあった場合に、当該アクセスが正当な権限をもったアクセスであることを確認する認証処理は非常に重要である。特に、ＩＣカードをはじめとする携帯型情報処理装置の場合、紛失や盗難というリスクが高いため、外部からアクセスを行う際の認証処理機能は不可欠である。このような認証処理を行うためには、通常、装置内部に予め所定の秘密コードを書き込んでおく手法が採られる。たとえば、秘密コードとして、正規のユーザのみが知りうるパスワードを書き込んでおき、アクセス時には、当該パスワードの入力を要求し、パスワードが一致することを確認することにすれば、正規のユーザからのアクセスであることを認証することができる。あるいは、秘密コードとして、正規のユーザのみが保有する暗号化鍵を書き込んでおき、当該暗号化鍵を用いて外部で暗号化された所定のデータを、装置内部で復号化して、元のデータに一致することを確認する手法が採られる場合もある。たとえば、下記の特許文献１には、このような暗号化の手法を用いたＩＣカードについての認証方法が開示されている。

また、上述のような認証処理におけるセキュリティを更に向上させるために、通常は、認証処理の連続試行回数を制限する手法が付加される。これは、試行錯誤を繰り返す不正なアクセスにより、偶然、パスワードなどが一致してしまう危険性を低減させる上で有用である。具体的には、パスワード不一致などによる認証失敗の回数を計数するようにし、連続して認証に失敗した回数が所定の許容値を越えた場合には、認証用の秘密コードを無効化してしまう処理を行えばよい。たとえば、許容値を５回に設定した場合、５回までは誤ったパスワードを入力することができるが、６回目に誤ったパスワードを入力すると、当該パスワード認証に用いられる秘密コードが無効化されてしまい、もはや通常の方法でのアクセスはすべて拒絶されることになる。このような措置を講じておけば、不正アクセスが成功する確率を著しく低減させることができる。また、下記の特許文献２には、単位時間あたりのパスワード入力回数を制限する手法が開示されている。

特開平５−２９０２２５号公報 特開平９−２１２４５８号公報

近年、ＩＣカードをはじめとする携帯型情報処理装置の需要が高まってきており、クレジットカードや携帯電話など、その用途も様々である。したがって、このような情報処理装置に要求される認証機能も多様化してきており、パスワードなどの秘密コードの構成や連続試行回数の許容値なども、用途に応じて様々な設定がなされている。たとえば、同じクレジットカード用ＩＣカードであっても、発行元の信販会社によって、パスワードの構成（数字のみか、文字も含むか、あるいは、総桁数をいくつにするかなど）や、連続試行回数の許容値は、それぞれ異なる。

このような事情から、たとえば、ＩＣカードの場合、基本機能を備えたＩＣカードを提供するＩＣカードの提供業者は、固有の秘密コードや連続試行回数の許容値などのデータが書き込まれていない状態のＩＣカードを、信販会社などのサービス提供業者に納入し、サービス提供業者が個々のユーザに対してＩＣカードを発行する段階で、所望の構成をもった秘密コードおよび所望の許容値を書き込む処理を行っているのが実情である。

もちろん、このＩＣカードの発行処理を行う段階で、秘密コードおよび許容値を正しく書き込む処理が行われれば問題はないが、何らかのトラブルで、許容値が正しく書き込まれていないと、連続試行回数を制限する機能が正しく動作せず、試行錯誤を繰り返す不正なアクセスによる攻撃に無防備な状態になってしまう。このような許容値の書込エラーは、様々な要因で起こりうるが、最近では、通信環境のトラブルに起因したエラーの発生が無視できなくなってきている。これは、ＩＣカードなどの発行処理を、種々の通信網やネットワークを介して遠隔地から行う事例が増えると思われるからである。たとえば、携帯電話に装着するタイプのＩＣカードの場合、携帯電話の通信機能を利用して外部と交信することができるので、信販会社のサーバにオンライン接続した状態で、クレジットカードとしての発行処理を受けることも可能である。この場合、秘密コードや許容値の書込処理も、オンラインで行われることになるので、通信トラブルの発生により、許容値の書き込みが正しく行われない事態も十分に予想できる。

ここで、秘密コードの書込処理は成功し、許容値の書込処理に失敗したような事態を考えると、正規の方法による認証処理は実行可能であるので、あたかもＩＣカードの発行プロセスは何ら異常なく終了したように見え、当該ＩＣカードが実用に供されてしまう可能性がある。しかしながら、このようなＩＣカードは、上述したとおり、試行錯誤を繰り返す不正なアクセスによる攻撃に無防備な状態であり、セキュリティの点において重大な脆弱性を抱えていることになる。

そこで本発明は、連続試行回数の許容値の書込処理に異常が生じても、十分なセキュリティを確保することが可能な認証機能を備えた情報処理装置の発行方法を提供することを目的とする。

(1) 本発明の第１の態様は、
所定の秘密コードを格納するための秘密コード格納部と、
外部から所定の入力コードを伴うアクセスがあったときに、秘密コードを用いて入力コードの正否を判定する正否判定部と、
正否判定部により連続して否定的判定が行われた回数を計数する連続試行回数計数部と、
連続試行回数の許容値を格納するための許容値格納部と、
連続試行回数計数部の計数値が許容値を越えた場合に、秘密コードを無効化する無効化処理部と、
外部からの指示に基づいて、秘密コード格納部に所定の秘密コードを書き込む処理を行う秘密コード書込部と、
外部からの指示に基づいて、許容値格納部に所定の許容値を書き込む処理を行う許容値書込部と、
を備える情報処理装置について、所望の秘密コードおよび所望の許容値を書き込むことにより、当該情報処理装置を特定のユーザのために発行する発行方法において、
情報処理装置を準備する処理装置準備段階と、
許容値書込部が、外部から与えられた指示に基づいて、許容値格納部にデフォルト許容値を書き込む処理を行う発行準備段階と、
発行準備段階を実行した後に、秘密コード書込部が、外部から与えられた指示に基づいて、秘密コード格納部に所望の秘密コードを書き込む処理と、許容値書込部が、外部から与えられた指示に基づいて、許容値格納部に既に書き込まれているデフォルト許容値を所望の許容値に書き換える処理と、を行う発行処理段階と、
を行うようにしたものである。

(2) 本発明の第２の態様は、上述した第１の態様に係る情報処理装置の発行方法において、
発行処理段階において、秘密コード書込部が、携帯電話の通信機能を利用して与えられた指示に基づいて、秘密コードを書き込む処理を実行し、許容値書込部が、携帯電話の通信機能を利用して与えられた指示に基づいて、許容値を書き換える処理を行うようにしたものである。

本発明に係る情報処理装置の発行方法によれば、まず、発行準備段階において、連続試行回数に関するデフォルト許容値が書き込まれ、その後の発行処理段階において、所望の秘密コードを書き込む処理と、所望の許容値を書き込む処理（デフォルト許容値を書き換える処理）とが行われるので、万一、所望の許容値を書き込む処理が正しく行われなかったとしても、デフォルト許容値をもった情報処理装置として機能するので、セキュリティ上、重大な支障は生じない。

従来から一般的に利用されている認証機能を備えた情報処理装置の基本構成を示すブロック図である。 図１に示す情報処理装置１００に、更に、秘密コード書込部２５および許容値書込部５５を付加した構成例を示すブロック図である。 本発明の第１のアプローチに基づく実施形態に係る情報処理装置の基本構成を示すブロック図である。 図３に示す実施形態のより具体的な第１の実例を示すブロック図である。 図３に示す実施形態のより具体的な第２の実例を示すブロック図である。 本発明の第２のアプローチに基づく実施形態に係る情報処理装置の発行方法の手順を示す流れ図である。

以下、本発明を図示する実施形態に基づいて説明する。

＜＜＜ §１．一般的な認証機能を備えた情報処理装置 ＞＞＞
図１は、従来から一般的に利用されている認証機能を備えた情報処理装置１００の基本構成を示すブロック図である。図示のとおり、この情報処理装置１００には、正否判定部１０、秘密コード格納部２０、連続試行回数計数部３０、無効化処理部４０、許容値格納部５０なる構成要素が組み込まれている。これらの各構成要素は、いずれも外部からのアクセスがあった場合に、当該アクセスが正規のアクセスであることを認証する処理を実行するための要素である。

なお、図に破線で示す本来の情報処理部６０は、この情報処理装置１００が行うべき本来の情報処理を実行する部分を示しており、その具体的な内容は、情報処理装置１００の種類や用途に応じて様々である。たとえば、情報処理装置１００が、クレジットカードとしての機能をもったＩＣカードである場合には、本来の情報処理部６０は、クレジットカード会員としての会員情報や決済情報を記憶する機能をもち、クレジットカードによる決済を行う際には、決済に必要な種々の処理を実行する機能を有する。したがって、この本来の情報処理部６０の部分は、情報処理装置１００の主たる構成部分というべきものであるが、本発明は、情報処理装置１００の認証機能に関する技術であるので、本来の情報処理部６０自身についての詳細な説明は省略する。

正否判定部１０は、情報処理装置１００における認証処理を行うための最も重要な構成要素であり、外部から所定の入力コードＣｉを伴うアクセスがあったときに、この入力コードＣｉの正否を判定する機能を有する。この正否判定部１０における判定結果は、本来の情報処理部６０へと伝えられる。本来の情報処理部６０は、正否判定部１０により肯定的判定が行われた場合には、当該アクセスに応じて正規の処理を実行するが、正否判定部１０により否定的判定が行われた場合には、当該アクセスを拒絶する。

正否判定部１０における正否判定は、秘密コード格納部２０内に格納されている秘密コードＣｓを利用して行われる。最も単純な正否判定の方法は、外部から与えられた入力コードＣｉと、秘密コード格納部２０に格納されている秘密コードＣｓとを照合し、両者が一致した場合に、当該入力コードＣｉが正しい旨の判定を行う方法である。この場合、秘密コード格納部２０に格納されている秘密コードＣｓは、正規のユーザのみが知りうるパスワードとして機能することになり、アクセス時に、この秘密コードＣｓと同一のパスワードを入力コードＣｉとして入力することにより、認証は成功する。すなわち、正否判定部１０は、外部から入力された入力コードＣｉが秘密コードＣｓと一致した場合に、肯定的判定を行うことになる。

もっとも、秘密コードＣｓを利用した正否判定は、入力コードＣｉとの一致を判定する方法に限定されるわけではない。別な方法としては、外部から与えられた入力コードＣｉと秘密コード格納部２０に格納されている秘密コードＣｓとについて、一方のコードに基づいて所定の演算を実行した結果が他方のコードに一致した場合に、入力コードＣｉが正しい旨の判定を行うこともできる。たとえば、所定のアルゴリズムに基づく暗号化処理に用いる暗号化鍵を秘密コードＣｓとして、秘密コード格納部２０内に用意しておいた場合を考える。ここで、外部において、たとえば、この情報処理装置１００に付与されたシリアル番号に対して、上記暗号化鍵（秘密コードＣｓ）を用いた所定のアルゴリズムによる暗号化処理を施して暗号化し、暗号化したシリアル番号を入力コードＣｉとして入力したとする。この場合、正否判定部１０は、情報処理装置１００の内部に記憶されているシリアル番号に対して、秘密コード格納部２０内に格納されている秘密コードＣｓを暗号化鍵として上述と同一のアルゴリズムによる暗号化処理を施して暗号化する処理を行い、その結果が入力コードＣｉと一致した場合に肯定的な判定を行えばよい。もちろん、暗号化の対象は、情報処理装置１００のシリアル番号に限定されるものではなく、たとえば、情報処理装置１００のユーザ名や日時の情報などを用いてもかまわない。また、外部から与えられた入力コードＣｉと秘密コード格納部２０に格納されている秘密コードＣｓとの両方に基づいてそれぞれ所定の演算を実行し、両演算結果が一致した場合に、入力コードＣｉが正しい旨の判定を行うこともできる。

この他にも、秘密コードＣｓを利用した正否判定方法は種々存在するが、正否判定部１０が行う具体的な正否判定方法それ自身は本発明の主題ではないので、ここではこれ以上詳しい説明は省略する。

このように、正否判定部１０が、秘密コードＣｓを利用した正否判定を行う以上、試行錯誤を繰り返す不正なアクセスにより、偶然、肯定的判定がなされてしまう可能性は排除できない。そこで、既に述べたとおり、通常は、認証処理の連続試行回数を制限する対策がとられる。図示の連続試行回数計数部３０、無効化処理部４０、許容値格納部５０は、このような対策を施すための構成要素である。

すなわち、連続試行回数計数部３０は、正否判定部１０により連続して否定的判定が行われた回数を計数する機能をもった構成要素であり、許容値格納部５０は、連続試行回数の許容値Ｍを格納するための構成要素であり、無効化処理部４０は、連続試行回数計数部３０の計数値が許容値Ｍを越えた場合に、秘密コードＣｓを無効化するための構成要素である。

正否判定部１０は、外部から入力コードＣｉを伴うアクセスがあると、前述した手法により、当該入力コードＣｉの正否判定を行い、その結果を連続試行回数計数部３０へと伝達する。連続試行回数計数部３０は、肯定的判定が伝達された場合には、これまでの計数値を０にクリアするが、否定的判定が伝達された場合には、これまでの計数値を１だけ増加させる処理を行う。その結果、正否判定部１０により連続して否定的判定が行われると、その合計回数が連続試行回数計数部３０によって計数されることになる。

無効化処理部４０は、この連続試行回数計数部３０による計数値が許容値格納部５０に格納されている許容値Ｍを越えた場合に、秘密コード格納部２０内の秘密コードＣｓを無効化する処理を行う。たとえば、許容値格納部５０内に格納されている許容値Ｍが５であった場合、正否判定部１０が連続して６回、否定的判定を行った時点で、無効化処理部４０による無効化が行われることになり、以後は、通常の方法でのアクセスはすべて拒絶されることになる。具体的な無効化の方法は、秘密コードＣｓの値を予め定められた「無効を示す値」に書き換える方法をとってもよいし、無効であることを示すフラグを立て、正否判定部１０に当該秘密コードＣｓが無効であることを示すようにしてもよい。

このような各構成要素の連携作用により、試行錯誤を繰り返す不正なアクセスに対する防護力を高めることが可能になる。たとえば上述の例の場合、６回までの試行錯誤によって、偶然、肯定的判定が得られてしまう可能性はあるものの、それ以後の試行は無効化により阻止されることになる。

＜＜＜ §２．発行処理時の書込機能を備えた情報処理装置 ＞＞＞
図１では、秘密コード格納部２０内に所定の秘密コードＣｓが既に設定されており、許容値格納部５０内に所定の許容値Ｍが既に設定されている例を示した。しかしながら、前述したとおり、これらの各設定内容は、情報処理装置１００の用途に応じて様々であり、実際には、情報処理装置１００を特定のユーザ向けに発行する段階で書き込むケースが多い。一般的には、情報処理装置１００の発行時には、本来の情報処理部６０内に特定のユーザ向けの個人情報などを書き込む処理が行われ、同時に、秘密コードＣｓや許容値Ｍを書き込む処理が行われる。

図２は、図１に示す情報処理装置１００に、更に、秘密コード書込部２５および許容値書込部５５を付加した構成例を示すブロック図である。ここで、秘密コード書込部２５は、外部からの指示に基づいて、秘密コード格納部２０に所定の秘密コードＣｓを書き込む処理を行う構成要素であり、同様に、許容値書込部５５は、外部からの指示に基づいて、許容値格納部５０に所定の許容値Ｍを書き込む処理を行う構成要素である。なお、本来の情報処理部６０内にも、同様に、発行時に必要な情報を書き込む構成要素が含まれているが、ここでは説明は省略する。

このような発行処理時の書込機能を備えた情報処理装置１００を利用すれば、当該情報処理装置１００を用いて種々のサービスを提供する業者が、当該情報処理装置１００を個々のユーザ向けに発行する際に、それぞれ所望の秘密コードＣｓおよび所望の許容値Ｍを書き込むことが可能になる。しかしながら、この発行時のプロセスにおいて、秘密コードの書込処理は成功したのに、許容値の書込処理に失敗した場合、試行錯誤を繰り返す不正なアクセスによる攻撃に無防備な状態となり、セキュリティの点において重大な問題が生じることは既に述べたとおりである。

たとえば、図示の例の場合、秘密コード格納部２０内に秘密コードＣｓが書き込まれていれば、正否判定部１０は、正常にその機能を果たすことができ、認証機能それ自身には何ら支障は生じない。したがって、この観点からは、発行プロセスは何ら異常なく終了したように見える。しかしながら、許容値格納部５０内に許容値Ｍが書き込まれていない状態であると、不正アクセスがあった場合でも、無効化処理部４０による無効化機能は正常に動作しない可能性が高い。たとえば、許容値格納部５０として、ＥＥＰＲＯＭなどの不揮発性メモリを用いており、その初期値が１６進数での「ＦＦ」であったような場合、許容値Ｍの書き込みに失敗すると、許容値格納部５０内は初期値の「ＦＦ」となっているため、無効化処理部４０による無効化処理が実行されるのは、連続試行回数計数部３０の計数値が２５６に達した時点ということになる。これは、試行錯誤による２５６通りもの不正アクセスを許す結果となり、セキュリティ上、重大な問題である。

本願発明者は、許容値Ｍの書き込みに失敗するケースが、今後は増える傾向にあるであろうと予測している。その理由は、先にも述べたとおり、情報処理装置１００の発行処理をオンラインで行うケースが益々増加するであろうと思われるからである。実際、携帯電話に装着するタイプのＩＣカードの場合、携帯電話の通信機能を利用して外部と交信し、データやプログラムをダウンロードする機能が既に備わっている。したがって、今後は、携帯電話装着型のＩＣカードなどからなる情報処理装置１００を、特定の信販会社用のクレジットカードとして利用できるようにするために、当該信販会社のサーバと情報処理装置１００とをオンライン接続し、その状態でクレジットカードの発行処理を行うような形態が一般化すると考えられる。このようなケースでは、発行処理プロセスにおける通信環境のトラブルにより、許容値Ｍの書込処理が失敗する可能性も十分にありうる。

本発明は、このように、連続試行回数の許容値の書込処理に異常が生じても、十分なセキュリティを確保することを可能にする新たな技術を提案するものである。この技術は、大別して２つのアプローチにより構成される。第１のアプローチは、情報処理装置１００内に付加的な構成要素を追加し、当該付加的構成要素の機能により課題を解決するものであり、その実施形態を§３で述べることにする。一方、第２のアプローチは、情報処理装置１００の発行処理を工夫することにより同じ課題を解決するものであり、その実施形態を§４で述べることにする。

＜＜＜ §３．本発明の第１のアプローチに基づく実施形態 ＞＞＞
図３は、本発明の第１のアプローチに基づく実施形態に係る情報処理装置１００の基本構成を示すブロック図である。図２に示す従来装置との相違は、新たな構成要素として許容値格納判定部７０が付加されている点と、秘密コード書込部２５が、この許容値格納判定部７０の判定結果に依存して書込処理の実行を行う点である。すなわち、許容値格納判定部７０は、許容値格納部５０に許容値が格納されているか否かを判定する機能を有し、秘密コード書込部２５は、許容値格納判定部７０により許容値が格納されていると判定された場合にのみ、秘密コードの書込処理を実行するように構成されている。

したがって、この情報処理装置１００に対して、所望の秘密コードＣｓを書き込む処理を行う際には、その前に、所望の許容値Ｍを書き込む処理を実行しておく必要がある。許容値Ｍについての書込処理を行う前に、秘密コードＣｓについての書込処理を行ったとしても、許容値格納判定部７０により、許容値格納部５０内にはまだ許容値が格納されていない旨の判定がなされ、秘密コード書込部２５は、秘密コードＣｓについての書込指示を拒絶することになる。

結局、図３に示す情報処理装置１００では、特定のユーザ向けに発行する発行処理プロセスに関しては、「必ず許容値Ｍを先に書き込み、その後で秘密コードＣｓを書き込む」という書込順序についての制約は生じるものの、それ以外の点では、特に不都合は生じない。しかも、この図３に示す情報処理装置１００によれば、許容値の書込処理に異常が生じても、十分なセキュリテが確保される、というメリットが得られる。たとえば、オンライン接続を介して、許容値Ｍおよび秘密コードＣｓの書込処理（情報処理装置１００の発行処理）を実行中に通信エラーが生じ、許容値Ｍの書き込みに失敗したとすると、その後に行われる秘密コードＣｓの書込処理は、許容値格納判定部７０の否定的な判定結果に基づいて、秘密コード書込部２５により拒絶されることになる。結果的に、当該情報処理装置１００に対する発行処理自体が失敗に終わることになるので、少なくとも許容値が書き込まれていない状態の情報処理装置１００が、実用に供されることはなくなる。

もちろん、通常は、このように発行処理自体が失敗に終わった場合、再度の発行処理が実行されることになる。この再度の発行処理において、許容値Ｍが正しく書き込まれれば、今度は許容値格納判定部７０による肯定的な判定結果に基づいて、秘密コード書込部２５による秘密コードＣｓの書き込みが行われることになる。

以上、本発明の第１のアプローチに基づく実施形態の基本概念を説明したが、続いて、許容値格納判定部７０の行う具体的な判定方法を、２つの実例に即して説明する。図４は、第１の実例を示すためのブロック図であり、図５は第２の実例を示すためのブロック図である。

上述したように、許容値格納判定部７０は、許容値格納部５０に許容値が格納されているか否かを判定する構成要素であるが、実際には、許容値格納部５０は、ＥＥＰＲＯＭなどのメモリの１領域からなる構成要素であり、そこには何らかのデータが書き込まれていることになる。たとえば、許容値格納部５０を１バイト分のメモリ領域によって構成した場合を考える。この場合、当該メモリ領域は、１６進数の「００」〜「ＦＦ」までのいずれか１つの数値を示すことになる。これは、許容値書込部５５による書込処理が行われていようがいまいが同じである。もし、このメモリ領域の初期値が１６進数の「ＦＦ」であった場合、許容値書込部５５による書込処理が行われていない場合であっても、許容値格納部５０には「ＦＦ」なるデータが格納されていることになる。

このように、許容値格納部５０内には、いつの時点であっても、常に何らかのデータが格納された状態になっているので、許容値格納判定部７０は、何らかの基準に基づいて、許容値格納判定部７０に格納されているデータが許容値を示すデータであるのか否かを判定する必要がある。

図４に示す実例は、この基準として、許容値がとるべき有効範囲を定めた例である。図示の例では、許容値格納判定部７０内に有効範囲設定部７１が設けられており、ここに、「１〜１０」なる有効範囲が設定されている。このように、許容値格納判定部７０に、許容値がとるべき有効範囲を予め記憶させておけば、許容値格納部５０に記憶されているデータがこの有効範囲内のデータであった場合に、許容値が格納されている旨の判定を行うことができる。図示の例の場合、許容値格納部５０に格納されているデータが、有効範囲１〜１０の範囲内の値であった場合に、許容値格納判定部７０は、肯定的判定を下すことになる。

許容値格納部５０に格納すべき許容値は、誤った入力コードＣｉを連続して入力可能な回数の最大値を示すものであり、一般的には、せいぜい１〜１０程度の値に設定すべき値である。このように、有効範囲設定部７１には、許容値がとるべき有効範囲としてある程度妥当と判断可能な範囲を設定しておけばよい。そうすれば、もし、許容値の書込処理に失敗して、許容値格納部５０内のデータが初期値「ＦＦ」を示していた場合は、許容値格納判定部７０によって否定的な判定がなされ、秘密コード書込部２５による秘密コードＣｓの書込処理は拒絶されることになる。

なお、許容値の書込処理に失敗したものの、許容値格納部５０内のデータが有効範囲設定部７１に設定されている有効範囲内のものになってしまった場合は、許容値格納判定部７０は肯定的な判定を下すことになるが、この場合、そもそも許容値格納部５０内のデータが有効範囲内に収まっているのであるから、許容値格納判定部７０による肯定的な判定がなされたとしても大きな問題は生じない。たとえば、許容値Ｍとして「５」を書き込むように許容値書込部５５に対して指示を与えたのにもかかわらず、書込処理に失敗して、許容値Ｍとして「１０」が書き込まれてしまった場合、許容値Ｍの書込処理自体は失敗したことになるが、許容値格納部５０に書き込まれた許容値「１０」は、許容値がとるべき有効範囲としてある程度妥当と判断可能な値であるので、許容値格納判定部７０により肯定的な判定がなされ、秘密コードＣｓの書込処理が実行され、当該情報処理装置１００が実用に供されたとしても、セキュリティ上の重大な支障には至らない。

一方、図５に示す実例は、許容値書込部５５による正常な書込処理が完了したことを、フラグとして記録に残すようにしたものである。すなわち、図示のフラグ領域７２は、第１の論理状態と第２の論理状態とのいずれか一方を示す機能を有し、当初は第１の論理状態を示している記憶領域によって構成されており、許容値書込部５５は、許容値を書き込む処理を行ったときに、このフラグ領域７２を第２の論理状態に変更する機能を有する。この場合、許容値格納判定部７０は、フラグ領域７２が第２の論理状態を示している場合に、許容値が格納されている旨の判定を行えばよいことになる。

たとえば、フラグ領域７２として、初期状態では「１」を示している１ビットからなるメモリを用いたものとしよう。この場合、許容値書込部５５は、許容値の書込処理を完了した時点で、当該ビットを「０」に書き換える処理を行うようにすればよい。許容値格納判定部７０は、フラグ領域７２のビットが「０」なら肯定的な判定を下し、「１」なら否定的な判定を下すことになる。

結局、第１のアプローチに基づく第１の実施形態は、
所定の秘密コードを格納するための秘密コード格納部と、
外部から所定の入力コードを伴うアクセスがあったときに、秘密コードを用いて入力コードの正否を判定する正否判定部と、
この正否判定部により連続して否定的判定が行われた回数を計数する連続試行回数計数部と、
連続試行回数の許容値を格納するための許容値格納部と、
連続試行回数計数部の計数値が許容値を越えた場合に、秘密コードを無効化する無効化処理部と、
外部からの指示に基づいて、秘密コード格納部に所定の秘密コードを書き込む処理を行う秘密コード書込部と、
外部からの指示に基づいて、許容値格納部に所定の許容値を書き込む処理を行う許容値書込部と、
を備える情報処理装置において、
許容値格納部に許容値が格納されているか否かを判定する許容値格納判定部を更に設け、この許容値格納判定部により許容値が格納されていると判定された場合にのみ、秘密コード書込部による秘密コードの書込処理が実行されるようにしたものである。

また、第１のアプローチに基づく第２の実施形態は、上述の第１の実施形態に係る認証機能を備えた情報処理装置において、
許容値格納判定部が、許容値がとるべき有効範囲を予め記憶しており、許容値格納部に記憶されているデータが有効範囲内のデータであった場合に、許容値が格納されている旨の判定を行うようにしたものである。

そして、第１のアプローチに基づく第３の実施形態は、上述の第１の実施形態に係る認証機能を備えた情報処理装置において、
第１の論理状態と第２の論理状態とのいずれか一方を示す機能を有し、当初は第１の論理状態を示しているフラグ領域を用意し、
許容値書込部に、許容値を書き込む処理を行ったときに、フラグ領域を第２の論理状態に変更する機能をもたせ、
許容値格納判定部が、フラグ領域が第２の論理状態を示している場合に、許容値が格納されている旨の判定を行うようにしたものである。

更に、第１のアプローチに基づく第４の実施形態は、上述の第１〜第３の実施形態に係る認証機能を備えた情報処理装置において、
正否判定部が、外部から与えられた入力コードと、秘密コード格納部に格納されている秘密コードとを照合し、両者が一致した場合に、入力コードが正しい旨の判定を行うようにしたものである。

一方、第１のアプローチに基づく第５の実施形態は、上述の第１〜第３の実施形態に係る認証機能を備えた情報処理装置において、
正否判定部が、外部から与えられた入力コードと秘密コード格納部に格納されている秘密コードとについて、一方のコードに基づいて所定の演算を実行した結果が他方のコードに一致した場合に、もしくは、両方のコードに基づいてそれぞれ所定の演算を実行した結果が一致した場合に、入力コードが正しい旨の判定を行うようにしたものである。

この第１のアプローチに基づく認証機能を備えた情報処理装置によれば、許容値格納判定部によって、連続試行回数の許容値の書き込みが正しく行われているか否かを判定し、正しく書き込まれている場合にのみ、秘密コードの書込処理を実行するようにしたため、許容値の書込処理に異常が生じた場合には、秘密コードの書き込みも実行されないことになる。したがって、許容値の書込処理に異常が生じた場合には、当該情報処理装置がそのまま実用に供されることはなく、この点に関する十分なセキュリティ確保が可能になる。

＜＜＜ §４．本発明の第２のアプローチに基づく実施形態 ＞＞＞
続いて、第２のアプローチに基づく実施形態を述べる。この実施形態は、情報処理装置１００の発行処理を工夫することにより課題解決を図るものであり、用いる情報処理装置１００としては、図２に示す従来の情報処理装置でかまわない（許容値格納判定部７０を設ける必要はない）。

図６は、この第２のアプローチに基づく実施形態に係る情報処理装置の発行方法の手順を示す流れ図である。図示のとおり、この発行方法は、処理装置準備段階（ステップＳ１）、発行準備段階（ステップＳ２）、発行処理段階（ステップＳ３）の３つの段階から構成されている。ステップＳ１の処理装置準備段階は、図２に示す情報処理装置１００を準備する段階であり、この情報処理装置１００の構成に関しては、既に§１および§２で述べたとおりである。

続く、ステップＳ２の発行準備段階は、この情報処理装置１００内の許容値格納部５０にデフォルト許容値Ｄを書き込む段階である。具体的には、許容値書込部５５に指示を与えることにより、所定のデフォルト許容値Ｄが許容値格納部５０に書き込まれるようにすればよい。デフォルト許容値Ｄとしては、許容値がとるべき有効範囲としてある程度妥当と判断可能な値であれば、どのような値を設定してもかまわないが、一般的には、発行処理を行う多くの業者にとって標準的な許容値を、デフォルト許容値Ｄとして設定しておくのが好ましい。

ステップＳ３の発行処理段階は、こうして用意された情報処理装置１００について、所望の秘密コードおよび所望の許容値を書き込むことにより、当該情報処理装置１００を特定のユーザのために発行するための処理であり、ステップＳ２の発行準備段階を実行した後に行われる。この発行処理段階では、秘密コード書込部２５に指示を与えることにより、秘密コード格納部２０に所望の秘密コードＣｓを書き込む処理と、許容値書込部５５に指示を与えることにより、許容値格納部５０に所望の許容値Ｍを書き込む処理と、が実行される。両書込処理の順序は不問である。なお、許容値格納部５０内には、既にステップＳ２において、デフォルト許容値Ｄが書き込まれているので、ステップＳ３で行われる所望の許容値Ｍを書き込む処理は、デフォルト許容値Ｄを所望の許容値Ｍに書き換える処理ということになる。

このような手順で情報処理装置１００の発行を行うようにすれば、ステップＳ３において、所望の許容値Ｍを書き込む処理が失敗したとしても、許容値格納部５０には、ステップＳ２で書き込んだデフォルト許容値Ｄが格納されているので、セキュリティ上、重大な支障は生じない。

なお、ここで留意すべき点は、ステップＳ２の発行準備段階までは、情報処理装置１００を提供する提供業者において行うことができる、という点である。この点を、携帯電話装着型のＩＣカードを情報処理装置１００として用いた例について、もう少し詳しく説明しよう。

いま、ＩＣカードの提供業者Ｘが、携帯電話サービス提供業者Ｙから受注した携帯電話装着型のＩＣカード上に、Ｙ社と３つの信販会社Ａ，Ｂ，Ｃからクレジット機能の追加を受注し、Ｙ社に納入するものとする。この場合、許容値格納部５０に設定すべき許容値Ｍの値は、Ａ社、Ｂ社、Ｃ社でそれぞれ異なり、また、同じＡ社が発行するクレジットカードであっても、その種類によって、許容値Ｍの値にバリエーションをもたせる可能性もあるので、提供業者ＸがＩＣカードを各社に納品した時点では、許容値格納部５０内に本来の許容値Ｍを書き込んでおくことはできない。また、秘密コードＣｓは、通常、個々のユーザごとに異なるので、秘密コード格納部２０内にも、秘密コードＣｓを書き込んでおくことはできない。いずれも、各信販会社Ａ，Ｂ，Ｃが、特定の顧客に向けて、各ＩＣカードを発行する処理（ステップＳ３の処理）を行う時点で書き込むべき情報ということになる。

ただ、この§４で述べる手法では、提供業者Ｘが、各信販会社Ａ，Ｂ，Ｃによる発行処理（ステップＳ３）が実行される前の段階（ステップＳ２）で、各ＩＣカード内の許容値格納部５０に、デフォルト許容値Ｄを書き込む処理を行うようにする。このデフォルト許容値Ｄは、Ａ社、Ｂ社、Ｃ社ごとに異ならせることも可能であるが、実用上は、各社共通の同一値でかまわない。たとえば、デフォルト許容値Ｄ＝５に設定した場合、すべてのＩＣカードの許容値格納部５０内に、デフォルト許容値５を書き込む処理が実行されることになる。このステップＳ２で行われる書込処理は、ＩＣカードが提供業者Ｘの管理下にある時点で行われるので、通信エラーなどが生じるおそれが少ない安定した環境下で実行することができ、デフォルト許容値Ｄの書き込みに失敗した製品が出荷される可能性は極めて小さい。

こうして、デフォルト許容値Ｄが書き込まれたＩＣカードは、提供業者Ｘの手元を離れ、一般の流通経路を経て、ユーザの手元に到達する。携帯電話装着型のＩＣカードの場合、携帯電話の付属品としてユーザに提供されるケースが多い。ここで、ユーザが、当該ＩＣカードを携帯電話に装着し、携帯電話の通信機能を利用して、所望の信販会社のサーバにオンライン接続すれば、当該サーバからの遠隔発行処理（ステップＳ３）を受けることができ、当該ＩＣカードにクレジットカードとしての機能をもたせることができる。たとえば、信販会社Ａが、許容値Ｍ＝４なる設定を行っていた場合、デフォルト許容値Ｄ＝５は許容値Ｍ＝４に書き換えられる。

この遠隔発行処理のプロセスにおいて、通信エラーが生じると、許容値Ｍの書き込みに失敗するおそれがあることは既に述べたとおりである。しかしながら、ステップＳ３において、許容値Ｍの書き込みに失敗しても、許容値格納部５０内には、ステップＳ２において書き込まれたデフォルト許容値Ｄが格納されているため、セキュリティ上の重大な支障には至らない。上述の例の場合、許容値格納部５０内には、本来は許容値４が格納されているべきであるが、書き込みが失敗した場合は、デフォルト許容値５が格納されている状態になり、厳密には、信販会社Ａの意図どおりにはならないが、重大な支障にはならない。

結局、第２のアプローチに基づく基本的な実施形態は、
所定の秘密コードを格納するための秘密コード格納部と、
外部から所定の入力コードを伴うアクセスがあったときに、秘密コードを用いて入力コードの正否を判定する正否判定部と、
正否判定部により連続して否定的判定が行われた回数を計数する連続試行回数計数部と、
連続試行回数の許容値を格納するための許容値格納部と、
連続試行回数計数部の計数値が許容値を越えた場合に、秘密コードを無効化する無効化処理部と、
外部からの指示に基づいて、秘密コード格納部に所定の秘密コードを書き込む処理を行う秘密コード書込部と、
外部からの指示に基づいて、許容値格納部に所定の許容値を書き込む処理を行う許容値書込部と、
を備える情報処理装置について、所望の秘密コードおよび所望の許容値を書き込むことにより、当該情報処理装置を特定のユーザのために発行する発行方法において、
上述した構成をもった情報処理装置を準備する処理装置準備段階と、
許容値書込部に指示を与えることにより、許容値格納部にデフォルト許容値を書き込む処理を行う発行準備段階と、
発行準備段階を実行した後に、秘密コード書込部に指示を与えることにより、秘密コード格納部に所望の秘密コードを書き込む処理と、許容値書込部に指示を与えることにより、許容値格納部に所望の許容値を書き込む処理と、を行う発行処理段階と、
を行うようにしたものである。

以上、本発明を図示する実施形態に基づいて説明したが、本発明はこれらの実施形態に限定されるものではなく、この他にも種々の態様で実施可能である。特に、図１〜図５にブロックとして示した各構成要素は、情報処理装置１００の特定の処理機能を１つの構成要素として抽出したものであり、実際には、情報処理装置１００を構成するＣＰＵやメモリなどのハードウエアと、情報処理装置１００に組み込まれた種々のプログラムなどのソフトウエアとの組み合わせによって実現される要素である。

１０…正否判定部
２０…秘密コード格納部
２５…秘密コード書込部
３０…連続試行回数計数部
４０…無効化処理部
５０…許容値格納部
５５…許容値書込部
６０…本来の情報処理部
７０…許容値格納判定部
７１…有効範囲設定部
７２…フラグ領域
１００…情報処理装置
Ｃｉ…入力コード
Ｃｓ…秘密コード
Ｄ…デフォルト許容値
Ｍ…許容値
Ｓ１〜Ｓ３…流れ図の各ステップ

Claims (2)

1. 所定の秘密コードを格納するための秘密コード格納部と、
   外部から所定の入力コードを伴うアクセスがあったときに、前記秘密コードを用いて前記入力コードの正否を判定する正否判定部と、
   前記正否判定部により連続して否定的判定が行われた回数を計数する連続試行回数計数部と、
   連続試行回数の許容値を格納するための許容値格納部と、
   前記連続試行回数計数部の計数値が前記許容値を越えた場合に、前記秘密コードを無効化する無効化処理部と、
   外部からの指示に基づいて、前記秘密コード格納部に所定の秘密コードを書き込む処理を行う秘密コード書込部と、
   外部からの指示に基づいて、前記許容値格納部に所定の許容値を書き込む処理を行う許容値書込部と、
   を備える情報処理装置について、所望の秘密コードおよび所望の許容値を書き込むことにより、当該情報処理装置を特定のユーザのために発行する発行方法において、
   前記情報処理装置を準備する処理装置準備段階と、
   前記許容値書込部が、外部から与えられた指示に基づいて、前記許容値格納部にデフォルト許容値を書き込む処理を行う発行準備段階と、
   前記発行準備段階を実行した後に、前記秘密コード書込部が、外部から与えられた指示に基づいて、前記秘密コード格納部に前記所望の秘密コードを書き込む処理と、前記許容値書込部が、外部から与えられた指示に基づいて、前記許容値格納部に既に書き込まれている前記デフォルト許容値を前記所望の許容値に書き換える処理と、を行う発行処理段階と、
   を有することを特徴とする認証機能を備えた情報処理装置の発行方法。
2. 請求項１に記載の情報処理装置の発行方法において、
   発行処理段階において、秘密コード書込部が、携帯電話の通信機能を利用して与えられた指示に基づいて、秘密コードを書き込む処理を実行し、許容値書込部が、携帯電話の通信機能を利用して与えられた指示に基づいて、許容値を書き換える処理を行うことを特徴とする認証機能を備えた情報処理装置の発行方法。

Images