JP2010517390A - ショートメッセージを使用して通信端末を通じて認証を行うための方法及びシステム - Google Patents

Abstract

【課題】
【解決手段】本発明は、ショートメッセージの内容がプロキシＳＰによって容易に漏洩されたりショートメッセージの紛失及び遅延がユーザ支払いの重複を招いたりする問題を解決するために、ショートメッセージを使用して通信端末を通じて認証を行うための方法及びシステムを開示する。方法は、通信端末によって、受取人の口座ＩＤ及び支払い金額を含むショートメッセージ支払い要求をＳＰ１を通じて支払いシステムに送信することと、支払いシステムによって、要求に対応する支払い記録を作成し、受取人の口座ＩＤ及び支払い金額を含む検証情報をＳＰ２を通じて通信端末に送信することと、検証情報内の受取人の口座ＩＤ及び支払い金額が正しいことが確認されたら、通信端末によって、ＳＰ２を通じて支払いシステムに確認情報を応答することと、支払いシステムによって、支払い動作を実施することと、を含む。本発明は、デュアルチャネル（ＳＰ１及びＳＰ２）非同期伝送メカニズムを使用する。いずれか一方のチャネルが不法に支配されたためにメッセージ情報が漏洩される状況が回避され、ユーザは、支払いの確認時に重複する支払いをキャンセルすることができる。
【選択図】図２

Description

本出願は、２００７年１月２３日に中国専利局に提出された中国専利出願第２００７１０００２７０８号「Method and System for Authentication via Communication Terminal Using Short Message（ショートメッセージを使用して通信端末を通じて認証を行うための方法及びシステム）」の優先権を主張するものである。該出願の内容は、引用によって全体を本明細書に組み込まれる。

本発明は、情報認証技術に関するものであり、特に、ショートメッセージを使用して通信端末を通じて認証を行うための方法及びシステムに関するものである。

情報のセキュリティは、多くのサービス用途において重要であり、とりわけ金融分野では、支払いのセキュリティが多くの注目を集める問題であり続けている。現行の支払い方法の１つは、ショートメッセージを使用して通信端末を通じて認証を行って、支払いを終えるものである。この方法は、通信端末（携帯電話、ＰＨＳ端末、又はショートメッセージインタラクション機能を備えたその他のデバイス）ユーザの膨大な数と、銀行カード発行枚数の増大とを活用するものである。銀行口座又は第三者の仮想口座を通信端末に関連付けることによって、口座振替や商品購入等のために特定のサービス番号に通信端末を通じてＳＭＳ（ショートメッセージングサービス）メッセージを送信することができる。

図１にショートメッセージを使用して通信端末を通じて認証を行うための現行の方法を示す。先ず、通信端末１０１のショートメッセージインタラクション機能によって、ユーザは、受取人の口座、支払い金額、及び支払いパスワード等の重要な情報を入力する。情報は、特定の形式でショートメッセージインタラクションシステム１０２に送信される。ショートメッセージインタラクションシステム１０２は、受信されたショートメッセージから、ショートメッセージを送信した通信端末の番号、受取人の口座ＩＤ、支払い金額、及び支払いパスワードを含むキー情報を抽出し、通信端末番号が関連関係を有する支払い口座を見つけ、支払い口座ＩＤ、受取人の口座ＩＤ、支払い金額、及び支払いパスワード等の情報を支払いシステム１０３に転送する。支払いシステム１０３は、支払い要求を受信し、ユーザによって入力された支払いパスワードが正しいと判断した後にユーザの支払い口座から受取人の口座に支払い金額を振り替え（振り込み）、操作情報をユーザに返す。

上記の手続きにおいて、通信端末を通じたショートメッセージ支払いにとっての最大の課題はセキュリティである。現在のところ、ショートメッセージインタラクションシステム１０２は、一般的に、ＳＰ（サービスプロバイダ）によって代行されており、ショートメッセージインタラクションは、平文（暗号化されていないデータ形式）でなされる。更に、ユーザが振り替え情報を入力するときに、ショートメッセージは平文で送信され、ユーザによって送信されたそのショートメッセージは、やはり平文形式でユーザの通信端末に格納される。したがって、ユーザの支払い情報は、以下の２つの状況において危険に曝される。

第１の危険は、プロキシＳＰがショートメッセージを転送するときに生じる。ショートメッセージの内容は、プロキシＳＰ端によって抽出されるので、もしプロキシＳＰが支払い口座ＩＤ、支払いパスワード、受取人の口座ＩＤ、及び支払い金額等の重要情報を他人に漏らすと、ユーザに対して多くの損害がもたらされる可能性がある。例えば、何者かが、受取人の口座を自身の口座に、支払い金額をより高額に、それぞれ変更したり、支払いパスワードを使用して支払い口座から直接現金を引き出したりする可能性がある。第２の危険は、ユーザの通信端末に格納されている送信済みのショートメッセージが他人に見られたときに生じる。支払いパスワード、受取人の口座ＩＤ、及び支払い金額等の重要情報もまた、他人に漏れて不法に使用されやすい傾向がある。

また、現行のショートメッセージゲートウェイには、安定性の問題、即ちショートメッセージの紛失率及び遅延率が比較的高いという問題がある。支払いの成功を示すショートメッセージが時間内に受信されず、ユーザがひっきりなしに取引をやり直したり、或いは待ち時間が時間切れになり、ショートメッセージシステムがメッセージを再送信したりする可能性がある。いずれも、ユーザが１つの取引に対して二度、ひいては三度も支払いを行う事態を招く可能性がある。

本発明によって解決される技術的問題は、ショートメッセージを使用して通信端末を通じて認証を行うための方法及びシステムを提供すること、そしてショートメッセージの内容がプロキシＳＰによって容易に漏洩されたりショートメッセージの紛失及び遅延がユーザ支払いの重複を招いたりする現行のショートメッセージ支払い方法の問題を解決することである。

上記の技術的問題を解決するために、本発明によって、ショートメッセージを使用して通信端末を通じて認証を行うための方法が提供される。本方法は、通信端末によって、受取人の口座ＩＤ及び支払い金額を含むショートメッセージ支払い要求をＳＰ１を通じて支払いシステムに送信することと、支払いシステムによって、要求に対応する支払い記録を作成し、受取人の口座ＩＤ及び支払い金額を含む検証情報をＳＰ２を通じて通信端末に送信することと、検証情報内の受取人の口座ＩＤ及び支払い金額が正しいことが確認されたら、通信端末によって、ＳＰ２を通じて支払いシステムに確認情報を応答することと、支払いシステムによって、支払い記録にしたがって対応する支払い動作を実施することと、を備える。

好ましくは、本方法は、更に、ＳＰ２を通じて通信端末に検証情報を送信するときに、支払いシステムによって、複数のＳＰ２のなかから１つのＳＰ２をランダムに選択することを含む。

本方法は、更に、支払い記録を作成するときに、支払いシステムによって記録番号を生成し、その記録番号を検証情報内に含ませて送信することを含み、この場合は、通信端末によって返される確認情報は、記録番号である。

好ましくは、記録番号は、ランダムに生成され、任意の数の英文字又は数字の組み合わせによって形成される。

好ましくは、方法は、更に、支払いシステムが支払い記録を作成する前に、支払いシステムによって、口座情報内に通信端末及び受取人の口座ＩＤに対応する口座が存在するかどうかをチェックし、もし口座が存在する場合は支払い記録を作成することを含む。

口座ＩＤは、口座番号、その口座番号との関連関係を有する通信端末番号、電子メールアドレス、口座名義人名、又は身分証明書番号である。検証情報内の受取人の口座ＩＤは、受取人の口座番号との関連関係を有する受取人名である。

方法は、更に、支払いシステムによって、通信端末、及び受取人の口座番号との関連関係を有する受取人の通信端末に、ＳＰ１又はＳＰ２を通じて動作結果を返すことを含む。

本発明は、また、ショートメッセージを使用して通信端末を通じて認証を行うためのシステムを提供する。本システムは、通信端末によって送信される、受取人の口座ＩＤ及び支払い金額を含むショートメッセージ支払い要求を受信し、該要求を口座管理サブシステムに転送するように構成される、第１のショートメッセージインタラクションサブシステムと、支払い要求に対応する支払い記録を作成し、受取人の口座ＩＤ及び支払い金額を含む検証情報を第２のショートメッセージインタラクションサブシステムに送信し、確認情報の受信を受けて、支払い記録にしたがって対応する支払い動作を実施するように構成される、口座管理サブシステムと、検証情報を受信し、検証情報を通信端末に転送し、検証情報内の受取人の口座ＩＤ及び支払い金額が正しいことを通信端末が確認したことを示す確認情報の受信を受けてその確認情報を口座管理サブシステムに転送するように構成される、第２のショートメッセージインタラクションサブシステムと、を備える。

好ましくは、複数の第２のショートメッセージインタラクションサブシステムが構成され、口座管理サブシステムは、第２のショートメッセージインタラクションサブシステムに検証情報を送信するときに、それらのなかから１つの第２のショートメッセージインタラクションサブシステムをランダムに選択する。

好ましくは、口座管理サブシステムは、口座情報、及び通信端末と口座情報との間の関連関係を格納するように構成される、データベースと、通信端末に対応する支払い記録を作成し、記録番号を生成し、認証ユニットによる認証がパスした場合に支払い記録にしたがって対応する支払い動作を実施するように構成される、支払い処理ユニットと、記録番号を検証情報内に含ませて第２のショートメッセージインタラクションサブシステムに送信し、受信された確認情報がもし記録番号に一致する場合は認証をパスさせるように構成される、認証ユニットと、を含む。

好ましくは、記録番号は、ランダムに生成され、任意の数の英文字又は数字の組み合わせによって形成される。

好ましくは、口座管理サブシステムは、更に、データベースに格納されている口座情報内に、通信端末及び受取人の口座ＩＤに対応する口座が存在するかどうかをチェックし、もし口座が存在する場合は支払い処理ユニットをトリガして支払い記録を作成させるように構成される、口座チェックユニットを含む。

口座ＩＤは、口座番号、その口座番号との関連関係を有する通信端末番号、電子メールアドレス、口座名義人名、又は身分証明書番号である。検証情報内の受取人の口座ＩＤは、受取人の口座番号との関連関係を有する受取人名である。

先行技術と比較すると、本発明は、以下の利点を有する。

先ず、通信端末と支払いシステムとの間のショートメッセージは、デュアルチャネル（ＳＰ１及びＳＰ２）非同期伝送メカニズムで伝送され、これは、ショートメッセージの平文伝送におけるセキュリティの問題を解決する。第１に、ショートメッセージ情報がプロキシＳＰ１側において漏洩され、何者かがショートメッセージの内容のなかの受取人の口座ＩＤ及び支払い金額を自身の口座ＩＤ及び金額に変更したとする。支払いシステムによって支払い記録が作成された後、プロキシＳＰ２によって検証情報が返される。受取人の口座ＩＤ及び支払い金額が正しくないことを発見したユーザは、確認情報を送信しないので、支払いシステムは、支払いプロセスを実施することができない。したがって、ＳＰ１側におけるショートメッセージ情報のセキュリティは保証される。第２に、ショートメッセージがプロキシＳＰ２側において漏洩され、何者かがショートメッセージの内容のなかの受取人の口座ＩＤ及び支払い金額を自身の口座ＩＤ及び金額に変更し、そのまま支払いシステムに返信したとする。支払い記録は既に作成されており、返信されたショートメッセージは、作成された支払いが実施可能であることの単なる確認に過ぎないので、たとえショートメッセージがＳＰ２側によって改ざんされたとしても、正しい支払いプロセスへの影響はない。

次に、平文伝送におけるショートメッセージのセキュリティは、複数のプロキシＳＰ２を構成し、支払いシステムがユーザに検証情報を送信するためにＳＰ２を必要とするたびにそのなかから１つのＳＰ２を選択することによって、保証することもできる。なぜならば、ＳＰ１サーバ及び任意のＳＰ２サーバの両方が支配下にある場合に、その支配下にあるＳＰ２がランダムに選択される可能性は低く、したがって、不正な支払いがなされにくくなるからである。たとえＳＰ１サーバ及び全てのＳＰ２サーバが支配下にある場合でも、不正な人物が支払いを完了するためには支払いシステムにおいて口座情報を作成しなければならず、その人物の情報を素早く見つけることが可能である。

また、デュアルチャネルメカニズムは、ショートメッセージ支払いが重複する問題も解決する。ユーザによって送信されたショートメッセージの紛失又は遅延により、ユーザ又はシステムが支払い要求を再送信する場合には、支払いシステムは、同じ支払い要求について複数の支払い記録を作成するので、ユーザは、複数の検証情報を受信する。したがって、ユーザは、自身が支払いショートメッセージを送信した回数を知ることによって、重複する支払いをキャンセルすることができる。

最後に、支払い記録が作成されるときにランダムに生成される記録番号をユーザに送信し、その記録番号を、ユーザによって返される確認情報として使用することによって、ユーザは、同じ支払いに対応する複数の重複する支払い情報をより明確に識別することができ、その一方で、支払いシステムは、支払い動作をより便利に検証することができる。更に、好ましくは、本発明は、英語のアルファベットのなかから任意の２つの文字を選択して組み合わせて記録番号を形成する。これは、ユーザによる確認情報の応答を容易にする。

先行技術における、ショートメッセージを使用して通信端末を通じて行われる認証を図示している。 本発明の一実施形態にしたがったショートメッセージ支払い方法用の認証のフローチャートを図示している。 本発明の一実施形態にしたがったショートメッセージ支払い方法用の認証の構造ブロック図である。

本発明の上記の目的、特性、及び利点は、添付の図面とあわせて以下の実施形態の説明を参照することによって容易に理解される。

本発明は、ショートメッセージ支払い方法におけるセキュリティの問題及び支払い重複の問題に対処するために、デュアルチャネル非同期メカニズムを使用する。２つのＳＰ端にＳＰサーバが構成され、ＳＰ１を通じて通信端末と支払いシステムとの間を平文でショートメッセージ情報が伝送され、ＳＰ２によって支払い認証が実施される。ショートメッセージ支払いのセキュリティが保証され、支払いの重複が阻止される。

詳細な実施手順については、本発明の一実施形態にしたがったショートメッセージ支払い方法用の認証のフローチャートを示した図２を参照することができる。この図では、支払人によって使用される通信端末は、携帯電話、ＰＨＳ端末、及びショートメッセージインタラクション機能付きのその他のデバイスを含む。支払いシステムは、金融機関（例えば銀行）によって構成されてもよいし、或いは支払いサービスを提供する第三者によって構成されてもよい。ＳＰ１及びＳＰ２は、異なるショートメッセージ支払いサービスによって構成されるプロキシサーバであってよい。ショートメッセージ支払い方法を使用するユーザは、事前に支払いシステムにおいて口座（第三者によって構成される場合は仮想口座）を設け、通信端末番号を登録し、その通信端末番号と、口座番号、口座名義人の個人情報（例えば氏名、住所等）、勘定残高情報等を含む口座情報との間に関連関係を形成する。

ステップ２０１において、支払人は、支払い要求を、通信端末を通じてショートメッセージの形でＳＰ１に送信する。要求は、ショートメッセージを送信する通信端末の番号、受取人のユーザＩＤ、及び支払い金額等の情報を含む。受取人のユーザＩＤは、支払いシステムにおける受取人の口座番号、その口座番号を関連付けられた通信端末の番号、電子メール（e-mail）アドレス、受取人名、又は身分証明書番号等の、ユーザの身元を固有に識別する情報であってよい。この実施形態では、支払人は、ショートメッセージ命令「受取人携帯電話番号／e-mail＋金額」を、サービス番号１０００（実際のサービス番号ではなく、例示目的のものである）の第１のＳＰ（ＳＰ１と称される）に送信する。

ステップ２０２において、通信端末によって送信されたショートメッセージ支払い要求を受信した後、ＳＰ１は、通信端末番号を抽出し、「受取人携帯電話番号／e-mail＋金額」の内容及び支払人の通信端末番号を内包するショートメッセージをＨＴＴＰＳ（ハイパーテキスト転送プロトコルセキュア）を通じて支払いシステムに転送する。本発明は、ショートメッセージの伝送に使用されるプロトコルを制限しない。

ステップ２０３において、支払いシステムは、ショートメッセージ命令、及び支払人の通信端末番号と口座情報との間の関連関係に基づいて、支払い記録を作成する。好ましくは、支払い記録を作成するときに、例えばＡＢＣ１２３４５等の記録番号が生成され、これは、ショートメッセージ支払いを通じて作成される取引の番号を示すものである。記録番号の使用については、後述する。

実際には、記録番号はアラビア数字の列であり、操作の複雑性ゆえに、ユーザは、もし実際の記録番号を応答するように求められると入力中に間違いを犯す可能性が高い。好ましくは、この実施形態では、その日の取引を表すために、英語のアルファベットの中の任意の２つの文字の組み合わせが使用される。表せる取引の数は、全体で、２６×２６＝６７６である。ショートメッセージ支払い方法は、その大半が小額の支払いに使用され、一人のユーザが一日に６７６回の取引を行う可能性は低いので、２つの文字の組み合わせを使用して取引を表すことによって、記録番号を簡略化して、ユーザの操作を容易にすることができる。

好ましくは、この実施形態では、ＳＰ１側が不法に支配され、支払人によって送信されたショートメッセージの内容を漏洩する状況を阻止するために、支払いシステムは、支払い要求の受信を受けて支払い記録を作成する前に、支払人及び受取人が口座情報を設定済みであるかどうかをチェックし、設定された口座情報に受取人の携帯電話番号／e-mailに関連付けられた口座情報及び支払人の通信端末番号に関連付けられた口座情報が含まれる場合は、振り替えが許可され、それ以外の場合は、支払いシステムは、受取人の口座が存在しないことを示す情報を支払人の通信端末に返す。

ステップ２０４において、支払いシステムは、支払い認証を実施するために、支払人に検証情報を送信する。この実施形態では、「受取人名＋記録番号＋支払い金額」及び支払人の通信端末番号が、ＨＴＴＰＳを通じて第２のＳＰ（ＳＰ２と称される）に送信される。受取人名は、受取人の口座情報についてのユーザ個人情報から又は受取人名を含むショートメッセージ内容から抽出することができる。実際、支払人は、通常は受取人名を知る必要があるので、ユーザ経験のために、受取人名が支払人に送信される。しかしながら、受取人名に代わるものとして、受取人の身分を識別することができるその他の情報を使用することもできる。

好ましくは、平文伝送におけるショートメッセージのセキュリティを保証するために、複数のプロキシＳＰ２が構成され、支払いシステムがユーザに検証情報を送信するためにＳＰ２を必要とするたびに、そのうちの１つがランダムに選択される。したがって、ＳＰ２の不確定性が増し、ショートメッセージ支払いのセキュリティが強化される。ＳＰ１が１つのみ構成される理由は、ＳＰ１が、ショートメッセージ送受信機能のみならず、登録ユーザのためのショートメッセージ支払い機能も提供するからである、即ち、サービス番号に対応して構成されるからである。それに対して、ＳＰ２は、ショートメッセージ送受信のみを実施すればよい。

ステップ２０５において、ＳＰ２は、ショートメッセージ「受取人名＋記録番号＋支払い金額」を、支払人の通信端末番号に転送する。

ステップ２０６において、支払人は、検証情報を受信し、検証情報内の受取人名及び支払い金額が正しいことをチェックし、確認情報をＳＰ２に応答する。この実施形態では、確認情報として記録番号が使用され、これは、１つには、ユーザが、同じ支払いに対応する複数の支払い情報の重複をより明確に識別することができるため、もう１つには、支払いシステムが、支払い動作をより便利に検証することができるためである。

ステップ２０７において、ＳＰ２は、ＨＴＴＰＳを通じて確認情報（例えば記録番号）を支払いシステムに転送する。

ステップ２０８において、支払いシステムは、支払人から記録番号を受信し、それをステップ２０５において送信された記録番号と比較し、もしそれらが一致する場合は、検証がパスされ、対応する支払い動作が実施される。支払い要求にしたがって、支払人の口座から支払い金額が控除され、次いで、受取人の口座に振り替えられる。もし、支払人の口座の残高が十分でない場合は、残高不足を示す情報がショートメッセージの形で支払人に送信される。

ステップ２０９において、支払いシステムは、支払い動作を終えて、振り替え結果情報をＳＰ１に送信する。

ステップ２１０において、ＳＰ１は、振り替え結果情報を支払人及び受取人の通信端末番号に転送し、取引が首尾よく終えたことを両者に通知する。支払いシステムは、また、ＳＰ２を通じて支払人及び受取人に通知してもよい。

上記の手順は、ショートメッセージ支払い方法におけるセキュリティの問題及び支払い重複の問題を解決することができる。これについては、携帯電話を通じて行われるショートメッセージ支払いの例とともに、後ほど説明される。

セキュリティの問題については、全てのショートメッセージが平文で伝送されるのにもかかわらず、ハッカは、どの段階で取得した平文ショートメッセージによっても取引を終えることができず、したがって、取引ショートメッセージの平文伝送によってもたらされる危険が回避される。

分析１：ユーザの取引ショートメッセージがユーザからＳＰ１に伝送されている間に、ハッカがそのメッセージを取得し、受取人をハッカ自身の携帯電話番号に変更し、金額を変更したと仮定する。取引を形成している間に、支払いシステムは、支払いシステムにおいて受取人の口座ＩＤをチェックする。支払いシステム内にハッカの口座が存在しない場合は、支払いを実施することができない。支払いシステムにハッカの口座が登録されている場合は、支払いシステムは、ＳＰ２を通じて取引認証ショートメッセージを送信する。ユーザは、取引認証ショートメッセージを受信したときに、受取人名及び金額が正しくないことを発見すると、確認情報を送信しないので、ハッキングは、不成功に終わる。

分析２：ハッカが、ＳＰ２からユーザの取引情報を盗み、受取人を自身の名前に変更し、そのまま支払いシステムに応答すると仮定する。応答されるショートメッセージは、作成された取引の支払いの確認を目的としているに過ぎず、盗まれた情報は、ハッカにとって全く役に立たない。

分析３：ハッカが、ＳＰ１サーバ及びＳＰ２サーバの両方を支配していると仮定する。しかしながら、支払いでは、検証情報を送信する間に複数のバックアップＳＰ２からランダムに１つが選択されるので、ハッカは、支払いシステムの全てのプロキシＳＰを支配しない限り、やはり、取引を終えることができない。たとえ支払いシステムの全てのプロキシＳＰが支配されているにしても、支払いを完了するには支払いシステムにおいて口座情報を作成しなければならないので、ハッカを迅速に発見することが可能である。

支払いの重複の問題については、デュアルチャネルメカニズムが適用されていない場合、支払人は、支払い命令をＳＰ１に送信し、ＳＰ１は、支払い命令を支払いシステムに送信し、支払いシステムは、そのまま支払いを終える。遅延のために、支払いの成功を示すショートメッセージが長時間にわたって受信されなかった又はシステムがショートメッセージを再送信した場合は、ユーザは、支払い命令を再び送信する可能性があり、この結果、ユーザが同じ取引に対して二度の支払いを行う事態を招く。他方、デュアルチャネルメカニズムが用いられる場合は、支払いシステムは、その二度の取引を作成するのみであり、これらは、ユーザによる確認前に完了されることはない。確認のための取引ショートメッセージが二度にわたってユーザに送信されるので、ユーザは、自身が行っている取引の回数を知ることができ、それが遅延又は再送信によるものならば、重複する支払いをキャンセルすることができる。

更に、好ましくは、上記の実施形態では、検証情報の一部として記録番号がユーザに送信されている。同じ取引について複数の支払い記録が生成されている場合に、ユーザは、記録番号の相違によって、重複する支払いを識別することができる。ユーザが、単純に記録番号を応答するだけで、支払いシステムは、どの支払いを実施すればよいかを知ることができる。したがって、記録番号の使用は、認証の動作全体をより単純にする。

本発明の実施形態の上記の処理手順では、ショートメッセージ支払いプロセスのセキュリティを保証するために、デュアルチャネルメカニズムが使用される。したがって、支払人は、支払い動作を実施するために支払いパスワードを入力する必要がなく、これは、ショートメッセージ伝送プロセスにおいて支払いパスワードが盗まれる事態を阻止する。更に、通信端末番号と口座情報との関連関係をプロキシＳＰに保存する方法と比べて、本発明の実施形態は、それを支払いシステムに格納することによって、もしプロキシＳＰが不法に支配されている場合に口座情報が漏れる危険性を減らしている。

上記手順を実施するシステムもまた、本発明によって提供される。本発明の一実施形態にしたがったショートメッセージ支払い方法用の認証の構造ブロック図を図３に示す。システムは、第１のショートメッセージインタラクションサブシステム３０２と、第２のショートメッセージインタラクションサブシステム３０３と、口座メッセージサブシステム３０４とを含む。

図中、通信端末３０１は、携帯電話、ＰＨＳ端末、及びＰＤＡ（携帯情報端末）等の、ショートメッセージ送受信機能を有するデバイスである。登録ユーザは、特定の形式でショートメッセージを入力することによって、特定のサービス番号に支払い要求を送信する。例えば、支払人は、ショートメッセージ命令「受取人携帯電話番号／e-mail＋金額」を第１のショートメッセージインタラクションサブシステム３０２のサービス番号＊＊＊＊に送信する。要求は、ショートメッセージの通信端末番号、受取人のユーザＩＤ、及び支払い金額等の情報を含む。受取人ユーザＩＤは、支払いシステムにおける受取人の口座番号、その口座番号を関連付けられた通信端末の番号、e-mailアドレス、受取人名、又は身分証明書番号等の、ユーザの身元を固有に識別する情報であってよい。

通信端末３０１によってＨＴＴＰＳを通じてショートメッセージインタラクション機能を実施するために使用される第１のショートメッセージインタラクションサブシステム３０２及び第２のショートメッセージインタラクションサブシステム３０３は、異なる複数のショートメッセージサービスプロバイダによって構成されてよく、ショートメッセージをシングルチャネルで送受信する既存の方法に代わってショートメッセージ支払いのセキュリティ問題に対処するために本発明の実施形態によって提案されるデュアルチャネル解決策を形成することができる。第１のショートメッセージインタラクションサブシステム３０２は、通信端末３０１から口座管理サブシステム３０４に送信されるショートメッセージ支払い要求を転送するために使用され、第２のショートメッセージインタラクションサブシステム３０３は、口座管理サブシステム３０４から通信端末３０１に送信される検証情報及び通信端末３０１によって応答される確認情報を転送するために使用される。

好ましくは、複数の第２のショートメッセージインタラクションサブシステム３０３が構成され、ユーザに検証情報を転送するために、そのうちの１つが支払いシステムによってランダムに選択される。したがって、ＳＰ２の不確定性が増し、ショートメッセージ支払いのセキュリティが強化される。上述のように、これは、第１のショートメッセージインタラクションサブシステム３０２及び第２のショートメッセージインタラクションサブシステム３０３の両方が支配される状況を阻止するためである。ＳＰ１が１つのみ構成される理由は、ＳＰ１が、ショートメッセージ送受信機能を提供するのみならず、ショートメッセージ支払いサービスを登録された通信端末番号も管理するからである、即ち、サービス番号に対応して構成されるからである。

口座管理サブシステム３０４は、金融機関（例えば銀行）又は支払いサービスを提供する第三者によって提供することができる様々な口座サービスを扱うために使用される。もし第三者によって提供される場合は、システムによって設定されるユーザ口座は仮想口座である。口座管理サブシステム３０４は、データベース３０５と、口座チェックユニット３０６と、支払い処理ユニット３０７と、認証ユニット３０８とを含む。

ショートメッセージ支払い方法を使用するユーザは、口座管理サブシステム３０４におけるユーザ口座を申請しなければならない。口座情報は、データベース３０５に格納される。好ましくは、口座情報が漏れる危険性を減らすために、口座情報と通信端末番号との関連関係がデータベース３０５に格納される。支払人が通信端末を通じてショートメッセージを送信すると、第１のショートメッセージインタラクションサブシステム３０２（支払いショートメッセージを転送する）又は第２のショートメッセージインタラクションサブシステム３０３（検証情報の確認ショートメッセージを転送する）は、通信端末番号を抽出し、その通信端末番号及びショートメッセージの内容を口座管理サブシステム３０４に転送する。口座管理サブシステム３０４は、データベース３０５に格納されている関連関係にしたがって、支払人の口座及び受取人の口座による支払いプロセスを実施する。

好ましくは、この実施形態は、データベース３０５を検索して支払人の口座及び受取人の口座が存在するかどうかをチェックするために使用される口座チェックユニット３０６を含む。受取人の口座が改ざんされるのを阻止するため、改ざんによって変更された受取人が口座管理サブシステム３０４内に口座を有していない場合は、ショートメッセージ支払いは実施することができず、指示情報が通信端末に返される。

支払人の口座及び受取人の口座がデータベース内に発見されると、口座チェックユニット３０６は、支払い処理ユニット３０７をトリガ（始動）する。支払い処理ユニット３０７は、通信端末番号に対応する支払い記録を作成するために使用され、認証ユニット３０８による支払い認証の検証を待つ。認証がパスした場合は、安全な支払い処理が実施され、第１のショートメッセージインタラクションサブシステム３０２又は第２のショートメッセージインタラクションサブシステム３０３を通じて支払人及び受取人の通信端末に処理結果が送信される。それ以外の場合は、ショートメッセージの内容が改ざんされている恐れがあるので、支払人の口座の安全を確保するために、作成された支払い記録は実行されない。

具体的には、支払い処理ユニット３０７によって実施される支払い処理は、以下の通りである。即ち、支払い処理ユニット３０７は、支払人の通信端末番号を関連付けられた支払い口座をデータベース３０５内において検索し、その口座の残高が支払い金額を上回るかどうかを判定し、もし上回る場合は支払い口座から支払い金額を控除して受取人の口座に振り替え（振り込み）、それ以外の場合は支払人に通知する。

認証ユニット３０８は、支払いプロセスのセキュリティを保証するために使用される。認証ユニット３０８は、支払人の通信端末に検証情報を送信し、支払いインからの確認情報の受信を受けて支払い処理ユニット３０７をトリガし、支払いを終える。好ましくは、この実施形態では、検証情報は、支払い記録が作成される間に支払い処理ユニット３０７によって生成される記録番号と、データベース３０５内の口座情報から抽出される受取人名と、支払い金額とを含む。ショートメッセージの受信を受けて、支払人は、受取人名及び支払い金額が正しいことを確認し、第２のショートメッセージインタラクションサブシステム３０３を通じて認証ユニット３０８に記録番号を応答する。認証ユニット３０８は、応答された情報内の記録番号が支払人に送信されたものと一致するかどうかをチェックし、一致する場合は認証がパスされ（認証され）、支払いを安全に行うことができる。

通常、記録番号は、文字又は数字の列である。好ましくは、この実施形態では、その日の取引を表すために、英語のアルファベットのなかの任意の２つの文字の組み合わせが使用される。表せる取引の数は、全体で、２６×２６＝６７６である。ショートメッセージ支払い方法は、その大半が小額の支払いに使用され、一人のユーザが一日に６７６回の取引を行う可能性は低いので、２つの文字の組み合わせを使用して取引を表すことによって、記録番号を簡略化して、ユーザの操作を容易にすることができる。

今日では、ショートメッセージが広く使用されている。上記の実施形態によって提供される方法及びシステムを使用することによって、ショートメッセージの平文伝送のセキュリティ問題を解決し、乏しい安定性及びショートメッセージの遅延に起因する支払いの重複を阻止し、ユーザの操作を簡略化することができる。

スペースの節約のために図３で説明されないパーツについては、図２に示された方法の対応部分を参照のこと。

本発明によって提供される、ショートメッセージを使用して通信端末を通じて認証を行うための方法及びシステムが、以上で説明されている。発明の原理及び実施形態は、例示的なものであり、発明の方法及び核となる概念の理解を助けることを意図しているに過ぎず、当業者ならば、実施形態及び応用範囲の両方に変更を加えられる。したがって、説明の内容は、本発明を限定するものと見なされるべきでない。

Claims (15)

1. ショートメッセージを使用して通信端末を通じて認証を行うための方法であって、
   前記通信端末によって、受取人の口座ＩＤ及び支払い金額を含むショートメッセージ支払い要求をＳＰ１を通じて支払いシステムに送信することと、
   前記支払いシステムによって、前記要求に対応する支払い記録を作成し、前記受取人の口座ＩＤ及び前記支払い金額を含む検証情報をＳＰ２を通じて前記通信端末に送信することと、
   前記検証情報内の前記受取人の口座ＩＤ及び前記支払い金額が正しいことが確認されたら、前記通信端末によって、前記ＳＰ２を通じて前記支払いシステムに確認情報を応答することと、
   前記支払いシステムによって、前記支払い記録にしたがって対応する支払い操作を実行することと、
   を備える方法。
2. 請求項１に記載の方法において、更に、
   ＳＰ２を通じて前記通信端末に前記検証情報を送信する際に、前記支払いシステムによって、複数のＳＰ２の中から１つのＳＰ２をランダムに選択することを備える方法。
3. 請求項１に記載の方法において、更に、
   前記支払い記録を作成する際に、前記支払いシステムによって記録番号を生成し、前記記録番号を前記検証情報内に含ませて送信することを備え、
   前記通信端末によって返される前記確認情報は、前記記録番号である、方法。
4. 請求項３に記載の方法において、
   前記記録番号は、ランダムに生成され、任意の数の英文字又は数字の組み合わせによって形成される、方法。
5. 請求項１に記載の方法において、更に、
   前記支払いシステムが前記支払い記録を作成する前に、前記支払いシステムによって、口座情報内に前記通信端末及び前記受取人の口座ＩＤに対応する口座が存在するかどうかを調べし、前記口座が存在する場合は前記支払い記録を作成することを備える方法。
6. 請求項１に記載の方法において、
   前記口座ＩＤは、口座番号、前記口座番号との関連関係を有する通信端末番号、電子メールアドレス、口座名義人名、又は身分証明書番号である、方法。
7. 請求項６に記載の方法において、
   前記検証情報内の前記受取人の口座ＩＤは、前記受取人の口座番号との関連関係を有する受取人名である、方法。
8. 請求項１に記載の方法において、更に、
   前記支払いシステムによって、前記通信端末、及び受取人の口座番号との関連関係を有する受取人の通信端末に、前記ＳＰ１又は前記ＳＰ２を通じて操作結果を返すことを備える方法。
9. ショートメッセージを使用して通信端末を通じて認証を行うためのシステムであって、
   前記通信端末によって送信される、受取人の口座ＩＤ及び支払い金額を含むショートメッセージ支払い要求を受信し、前記要求を口座管理サブシステムに転送するように構成される、第１のショートメッセージインタラクションサブシステムと、
   前記支払い要求に対応する支払い記録を作成し、前記受取人の口座ＩＤ及び前記支払い金額を含む検証情報を第２のショートメッセージインタラクションサブシステムに送信し、確認情報の受信を受けて、前記支払い記録にしたがって対応する支払い動作を実施するように構成される、前記口座管理サブシステムと、
   前記検証情報を受信し、前記検証情報を前記通信端末に転送し、前記検証情報内の前記受取人の口座ＩＤ及び前記支払い金額が正しいことを前記通信端末が確認したことを示す前記確認情報の受信を受けて前記確認情報を前記口座管理サブシステムに転送するように構成される、前記第２のショートメッセージインタラクションサブシステムと、
   備えるシステム。
10. 請求項９に記載のシステムにおいて、
    複数の第２のショートメッセージインタラクションサブシステムが構成され、前記口座管理サブシステムは、第２のショートメッセージインタラクションサブシステムに前記検証情報を送信する際に、それらの中から１つの第２のショートメッセージインタラクションサブシステムをランダムに選択する、システム。
11. 請求項９に記載のシステムにおいて、
    前記口座管理サブシステムは、
    口座情報、及び前記通信端末と前記口座情報との間の関連関係を格納するように構成される、データベースと、
    前記通信端末に対応する前記支払い記録を作成し、記録番号を生成し、認証ユニットによる認証がパスした場合に前記支払い記録にしたがって対応する支払い操作を実行するように構成される、支払い処理ユニットと、
    前記記録番号を前記検証情報内に含ませて前記第２のショートメッセージインタラクションサブシステムに送信し、前記受信された確認情報が前記記録番号に一致する場合は前記認証をパスさせるように構成される、認証ユニットと、
    を含む、システム。
12. 請求項１１に記載のシステムにおいて、
    前記記録番号は、ランダムに生成され、任意の数の英文字又は数字の組み合わせによって形成される、システム。
13. 請求項１１に記載のシステムにおいて、
    前記口座管理サブシステムは、更に、前記データベースに格納されている前記口座情報内に、前記通信端末及び前記受取人の口座ＩＤに対応する口座が存在するかどうかを調べ、前記口座が存在する場合は前記支払い処理ユニットを始動させて前記支払い記録を作成させるように構成される、口座チェックユニットを含む、システム。
14. 請求項９に記載のシステムにおいて、
    前記口座ＩＤは、口座番号、前記口座番号との関連関係を有する通信端末番号、電子メールアドレス、口座名義人名、又は身分証明書番号である、システム。
15. 請求項１４に記載のシステムにおいて、
    前記検証情報内の前記受取人の口座ＩＤは、前記受取人の口座番号との関連関係を有する受取人名である、システム。

Images