JP2010533913A - ライセンスエンフォースメント - Google Patents

Abstract

予め定められた数のオペレーション、例えばブランド保護機能の認証を実行し、予め定められたオペレーション数を超える場合には、これ以降のオペレーションを実行しないようにされたブランド保護機能リーダ及び／又はライタ機器（６）。実行されたオペレーション数をカウントするカウンタ（７０）を提供し、これにより予め定められたオペレーション数を超えるか否かを判断することができる。
【選択図】図２

Description

本発明は、ブランド保護管理システム（ＢＰＭＳ）においてライセンスをエンフォースメントするための方法及び装置に関する。特に、本発明は、統合されたセキュア・アプリケーション・モジュール及びライセンスエンフォースメントシステムにおけるセキュリティ機能リーダ／ライタに関する。

引用により本明細書に内容が組み込まれたＰＣＴ／ＧＢ２００７／００１２４８では、ブランド保護管理システムについて記載されている。同書において、商品には、認証情報を含む機械可読タグが備わっている。認証情報は、タグリーダを用いてタグから読み取られ、保存された認証データと比較されて、これにより、商品の真正性があるか否かを判断する。

多くの市場のグローバリゼーションにより、実際には、ＰＣＴ／ＧＢ２００７／００１２４８のシステムは、広範な地理的区域にわたって分散されることになる。理解されるように、これの管理は複雑であり、高レベルのセキュリティ機能を要する。特定のセキュリティ上の問題に関する１つの態様は、ブランド所有者がシステムの使用に関してどのように課金されるかに関連したものである。

ＰＣＴ／ＧＢ２００７／００１２４８

ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−１ ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−２ ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−３ ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−４ ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−８ ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−１１

本発明の第１の態様によれば、ブランド所有者又はシステムユーザには、１つ又はそれ以上の指定された時間期間内でのブランド管理又は認証システムの無制限の使用に対してライセンスを発行することができ、或いは、認証数がモニタされ、これに応じてブランド所有者に課金することができる。何れの場合においても、システムプロバイダ及びブランド所有者の両方にとってセキュリティは重要である。

使用をモニタできるようにするために、本発明によれば、ブランド保護管理システムにおいて使用するためのブランド保護／タガント・リーダ及び／又はライタ機器が提供され、この機器は、予め定められた数のオペレーションを実行し、予め定められたオペレーション数を超える場合には、これ以降のオペレーションを実行しないように動作することができる。オペレーションは、ブランド保護機能／タガントの認証、及びブランド保護機能／タガントの発行又は登録のうちの少なくとも１つとすることができる。

実行されるオペレーション数を制限することにより、中央サーバを参照する必要なく、機器をオフラインで動作させると共に、システムプロバイダに対するライセンス付与条件のエンフォースメント及び収益生成も維持することができる。これは、「オペレーションベース」で使用がライセンス付与され、システムオペレータが事前にサービスに課金できることに起因する。これの利点は、セキュリティが脅かされた場合、機器が使用不能になる前に、実行されるオフライン認証の数が制限される点である。

無許可の相手によって認証される商品の数を制限することに加えて、オペレーション数の制限、又はオペレーションを実行することができる期間の制限によって、多数の虚偽認証要求が機器及び／又はブランド保護管理システムに送られて、そのセキュリティ対策を調査するのを阻止する。これによりシステムのセキュリティが向上する。

機器は、セキュリティ機能を読み取るためのリーダ、及び／又はセキュリティ機能を書き込むためのライタとすることができる。オペレーションは、走査されるセキュリティ機能、例えば、機械可読タグが認証されたものであるかどうかに関するチェックとすることができる。付加的又は代替的に、オペレーションは、機械可読タグなどのセキュリティ機能の発行を含むことができる。

機器は、１つ又はそれ以上の種類の機械可読のタガント／ブランド保護機能を読み取るように動作可能とすることができる。このようなタガントは、例えば、一次元又は二次元のバーコード、ＲＦＩＤタグ、蛍光タグ、又は他のあらゆる適切なタガントタイプを含むことができる。

ほとんどの場合において、機械可読のブランド保護機能／タガントは、認証／管理される物品に物理的に取り付けられ、又は他の方法で組み込まれる。一部の場合において、ブランド保護機能／タガントは単に、物品自体の固有の機能を含むことができ、ブランド保護機能／タガント機器は、例えば可視の又は隠された機能を読み取るように構成されており、リーダ手段はこれを検出／読み取るように設計されている。従って、誤解を避けるため、本明細書で使用する用語「ブランド保護機能」又は「タガント」とは、認証される物品に取り付けられた物理的なタグ又はマーカに限定されず、物品自体に固有の可視又は隠された機能をも含む点は理解されるであろう。

予め定められたオペレーション数をモニタするためのカウンタを設けることができる。これは、機器から遠隔に配置することができ、この場合、機器は、遠隔地にコンタクトするように構成される。

或いは、カウンタは、機器内で、例えば機器ベースのセキュア・アプリケーション・モジュール（ＳＡＭ）内に設けることができる。カウンタは、認証及び／又は登録オペレーションを実行するようにもされたＳＡＭ内に常駐することができる。既存のＳＡＭのセキュアな処理及びストレージ機能を利用してカウンタを動作させることにより、機器の構成要素数を最小限にすることができ、カウンタは、セキュアな環境で保存及び動作させることができる。
カウンタは、専用ライセンス制御ＳＡＭ内に配置することができる。これにより、システムサプライヤは、所要のセキュリティ度を有しないか、又は限定的なセキュア処理能力のみを有するシステムにおいて、カウンタの保護を保証することができる。

カウンタは、許容可能な増加オペレーション数、すなわち追加を反映するよう更新される前に、認証を要求するように適合させることができる。利用可能な認証を増やすためにカウンタを更新するためのアクセスは、鍵暗号化を用いた相互認証を介することができる。カウンタは、ブランド保護管理システムの信用管理システムから更新を受け取るように適合させることができる。カウンタは、カウンタへのアクセス操作専用の二次信用管理システムから更新を受け取るように適合させることができる。

ＳＡＭは、カウンタが閾値の予め定められたオペレーション数以内にある場合に、エラーコードを返すように構成することができる。機器は、カウンタが閾値の予め定められたオペレーション数以内にある場合に、ワーニングを送出するように適合させることができる。

カウンタは、機器による読み取り専用アクセスは許可するが、書き込みアクセスについては認証を要求するように適合させることができる。
カウンタは、ブランド所有者及び／又は機器及び／又はユーザ及び／又はオペレーション及び／又はセキュリティ機能に関連付けることができる。

機器において又はそこから遠隔的に複数のカウンタを提供することができる。機器は、機器から、ユーザから、又はタグからの情報を取得することによって、何れのカウンタを使用するかを判断するよう適合させることができる。カウンタの関連付けを制御できるようにすることによって、及び機器レベルで各カウンタを動作させることによって、システム管理の柔軟度の向上が達成される。

本発明の別の態様によれば、ブランド保護機能リーダ及び／又はライタによって実行されるオペレーション数をモニタし、実行された数と許容されたオペレーションの予め定められた数とを比較して、実際のオペレーション数が予め定められたオペレーション数を超える場合には、機器がそれ以上のオペレーションを実行しないようにする信号を生成する、セキュア・アプリケーション・モジュール（ＳＡＭ）が提供される。セキュア・アプリケーション・モジュールは、機器内に常駐することができ、或いは取り外し可能とすることができる。

本発明の第３の態様によれば、本発明の第１の態様による機器から認証データを収集するため、及び／又は第２の態様に従ってＳＡＭを介して収益収集を制御するためのシステムが提供される。

本発明の第４の態様によれば、ＢＰＭＳ内で収益を収集するための方法が提供され、本方法は、ＢＰＭＳによって実行されるオペレーションをカウントするための少なくとも１つのカウンタを提供する段階と、閾値限度を提供する段階と、オペレーションを実行するための要求を受け取る段階と、カウンタの値を閾値限度と比較する段階と、カウンタが閾値限度内にある場合にのみ、要求されたオペレーションを実行する又は要求されたオペレーションの実行を許可する段階と、要求されたアクションが実行されたことを反映するようにカウンタを更新する段階とを含む。

ブランド保護管理システムのブロック図である。 ブランド保護管理システムと共に使用するための認証機器の概略図である。 ブランド保護管理システムと共に使用するための代替的認証機器の概略図である。 図２の機器を使用してセキュリティタグを初期化するための処理の概略図である。

以下の図面を参照しながら本発明を単に例証として説明する。
図１は、ＰＣＴ／ＧＢ２００７／００１２４８の教示によるブランド保護管理システムを示している。これはブランド保護サーバ１を有し、製品流通網内の様々な場所において提供される、登録点（ＰｏＲ）ブランド保護機能リーダ／ライタデバイス２と、認証点（ＰｏＡ）リーダデバイス２と通信することができる。リーダデバイスは、認証される物品上のブランド保護機能／タガントを読み取るためのブランド保護機能リーダを含む。このようなタガントは、例えば、一次元又は二次元のバーコード、ＲＦＩＤタグ、蛍光タグ、又は他のあらゆる適切なタガントタイプを含むことができる。リーダデバイスは、例えば、認証目的でユーザにより提供されたユーザ識別情報を読み取るためのスマートカードリーダなどのユーザ認証デバイスを含むことができる。一部の場合において、リーダデバイスはまた、書き込み能力を有することができるので、ブランド保護機能、例えばラベル内のタガントなどを読み取ること、並びにこれらを生成することができる。

ＰｏＲデバイスは、新しい、すなわち以前に認証されていない物品に適用されるブランド保護機能を開始点又は「登録」点で生成することができる。ＰｏＲ及びＰｏＡデバイスは、これらに最も適切なあらゆる標準通信方法、例えば、固定デバイスの場合のＴＣＰ／ＩＰ ｏｖｅｒ ＬＡＮ、或いは携帯用デバイス又はＧＳＭの場合のＷｉＦｉ、その他などを用いて、ブランド保護管理サーバシステムと通信する。１つ又はそれ以上のＰｏＲリーダ／ライタデバイスを、ＷｉＦｉ又はイーサネット（Ｅｔｈｅｒｎｅｔ）（登録商標）などのローカルネットワーキングを用いて単一の登録点（ＰｏＲ）制御デバイス、例えばクライアントのパーソナルコンピュータ（ＰＣ）にリンク／提供することができる。同様に、複数のＰｏＡデバイスを同様の方法でメインＰｏＡデバイス、例えばクライアントのパーソナルコンピュータ（ＰＣ）によってリンク／提供することができる。以下の説明において、「ＰｏＡ／ＰｏＲ機器」への言及は、ＰｏＡデバイス、又はＰｏＲデバイス、或いはＰｏＲ及びＰｏＡデバイスが組み合わされた単一の機器を意味することは理解されるであろう。

ブランド保護サーバ１には、プラットフォーム全体にわたってセキュリティを保証するための信用管理システム（ＴＭＳ）３、及びブランド管理データを分析し保存し、ブランド関連機能又は作用を制御するためのブランド保護管理システム４が含まれる。また、サーバで提供されるのは、システム内の各ＰｏＲ及びＰｏＡ機器の制御ポリシーを管理するための機器構成管理システム（ＩＣＭＳ）５である。ポリシーは、例えば、読み取られるブランド保護機能の種類、特定のブランド保護機能を認証するために用いられる処理の種類、リーダの使用が承認されたユーザのグレード又は役割、ワークフロー、すなわち、リーダを操作するユーザが取るべき段階を指定する制御又は構成情報、及び他のあらゆるブランド保護機能リーダ情報を含む。ＩＣＭＳ内に含まれるのは、通常はハードウェアセキュリティモジュール（ＨＳＭ）上に実装される信用管理システムの構成要素、又は他の何らかのタンパー防止セキュリティ構成要素である。データは、中央ＴＭＳからこれを経由して現場の機器に流れる。ローカルセキュリティを保証するために、各ＰｏＲ及びＰｏＡデバイスは、自己の信用管理システム構成要素を含む。

図２は、ブランド保護管理システム（ＢＰＭＳ）と共に使用するための機器６を示している。機器６は、ＢＰＭＳの代わりに商品又はリソース上のセキュアなタグと相互作用するように動作可能である。機器６は、入出力モジュール１０、メモリ１５、機器６内の全ての処理オペレーションを制御するためのコアプロセッサ２５を有するコア処理サブシステム２０、タグ固有機能抽出及び構成ブロック３０、及び機密情報を保存、操作、及び／又は処理するためのセキュア・アプリケーション・モジュール（ＳＡＭ）を有するセキュリティサブシステムを含む。デバイスの全ての構成要素に電力供給するための電力サブシステムもまた提供される。

入出力モジュール１０は、例えば、キーパッド、スマートカードスロット、又は生体認証スキャナとすることができるユーザ入力５０と、ユーザディスプレイ５５とから成る。機器６には、一般的に、機器とは異なる地理的場所に物理的に配置されたＴＭＳと通信するための、例えばＬＡＮ又はＷｉＦｉとすることができるインタフェース６０を備える。機器ストレージ設備１５は、変換された認証データのためのデータストア、及びブランド保護機能抽出モジュール３０の構成を設定する構成データのためのデータストアを含む。構成の詳細は、製品ＩＤ、認証事象、これらのパラメータ、これらの順序付け、どのタグ技術が使用されるか、及び１つのブランド保護機能から読み取られたデータと同じ製品上の別のデータとの間にリンクがあるか否かを含む。構成データは、機器構成マネージャから機器にダウンロードされる。

タグ固有機能抽出及び構成ブロック３０は、センサインタフェース３５及びタグ固有プロセッサ４０を含む。センサは、例えば、バーコードスキャナ、ＲＦＩＤタグリーダ、又は他のあらゆる選択された機械可読タグリーダ及び／又はライタデバイスとすることができる。センサインタフェース３５及びタグ固有プロセッサ４０は、センサを制御し、タグの読み取り及び／又はタグへの書き込みを行うためにセンサと交換したデータを処理し、タグに関連する識別情報を抽出及び／又はタグを構成するようにする。タグから抽出されたデータは、機器構成要素の残り部分に情報伝達するために共通ブランド保護機能インタフェース４５によって共通プラットフォームフォーマットに変換され、及び機器からタグに情報伝達するためにこの逆が行われる。

セキュリティを維持するために、機器６は、タグリーダとブランド保護管理サーバとの間の認証データの通信を処理し制御するためのセキュア・アプリケーション・モジュール（ＳＡＭ）を含む。ＳＡＭは、認証情報を保存するため、及び／又は少なくとも部分的に認証要求を処理するための物理的及び論理的にセキュアなモジュールを提供する。ＳＡＭ６５は、ＢＰＭＳの信用管理エージェントとしての役割を果たし、例えば、ＭＡＣ又はデジタル署名などの暗号化されたチェックなど、例えば重複する検証可能なコンテンツを有するタグ機能を使用してタグを認証するためのセキュアな情報を処理し保存するようにされる。ＳＡＭ６５はまた、システムユーザによって事前に支払われた特定のオペレーションの数を保存するための１つ又はそれ以上のクレジットカウンタ７０を含む。機器が複数のユーザに関してオペレーションを実行することになる場合、各ユーザには、１つ又はそれ以上の専用カウンタが指定されるので、これらのオペレーションは、他のユーザに関連するオペレーションとは独立してモニタすることができる。クレジットカウンタ７０は、ＳＡＭ６５によってセキュアな方法で保存及び操作され、実行されるオペレーション数の妥当性を確認する明白な方法を提供する。ＳＡＭ６５にはまた、不成功のオペレーション、例えば、不成功の認証の数をカウントするカウンタが設けられている。

使用中、ＳＡＭ６５は、認証又はセキュリティタグの初期化など、特定のオペレーションが実行される前にカウンタ７０の値をチェックするようにされる。要求されたオペレーションが唯一実行されるのは、カウンタ７０によって示された許容オペレーション数が０よりも大きい場合である。この閾値に達すると、機器は、その特定のカウンタに関連するオペレーションに関して基本的に無効にされる。ＳＡＭ６５はまた、適切なオペレーションの完了時にカウンタ７０をデクリメントするようにされている。オペレーションが完了しない場合には、不成功オペレーションカウンタがインクリメントされる。通常、不成功オペレーションカウンタは、予め定められた数よりも多い不成功事象が発生したときに、ＳＡＭ６５に通知するようにされている。この限界値に達すると、機器は無効にされる。これは、盗まれたオフライン認証機器が、鍵又は他のセキュリティパラメータを取得しようと企てて多数のデータ項目の認証を機器に求めることによる攻撃に使用されるのを防ぐのに役立つ。

デバイスが予想外にクレジットを使い果たすのを回避するために、ＳＡＭ６５はまた、ワーニング閾値を保存することができる。この場合、カウンタ７０をデクリメントした後に、ＳＡＭ６５は、カウンタ値がワーニング閾値以下であるかどうかをチェックし、その場合、ワーニングタイプの信号を送出して、クレジットの追加を構成するための「低クレジット」ワーニングとして機器のユーザ又はオペレータに伝達される。

カウンタ７０は、システムの使用からの収益収集を担当するＢＰＭＳのサプライヤ又はオーソリティによりアクセスされ、カウンタ７０を更新するか、又はカウンタ７０に新しいクレジットを適用することができる。カウンタ７０にアクセスするためのアクセスポリシーは、ＳＡＭ６５によって制御される。これは、ＢＰＭＳサプライヤに関連する鍵マテリアルの相互認証を必要とする。アクセス及び関連する認証のオペレーションは、ＴＭＳインフラストラクチャを利用してＴＭＳによって実行される。代替的形態では、唯一の目的がライセンス管理である分離型又は分散型ＴＭＳアーキテクチャを提供することができる。この場合、ＳＡＭ６５は、分離型ライセンス管理ＴＭＳアーキテクチャによって生成されたセキュアなメッセージを介して提供されたサプライヤの鍵の受け入れ後に、カウンタへのアクセスを許可するようにされている。この形態により、サービスプロバイダとブランド保護機能サプライヤとが別々になったシステムにおいて、セキュアな収益収集を可能にする。

図３は、図２の機器の変形バージョンを示している。この場合、機器ベースのＳＡＭ６５と共に、分離型、好ましくは取り外し可能なライセンス制御ＳＡＭ７５が提供される。取り外し可能ＳＡＭ上に含まれるのは、実行されるオペレーション数をモニタするためのカウンタ７０ｂ、並びにオペレーションを完了するために為された試行数をモニタするための不成功オペレーションカウンタである。この実施形態では、自己のメモリ内に保存されたクレジットカウンタからクレジット値を直接取得するのではなく、機器ＳＡＭ６５は、オペレーション続行の許可を要求するメッセージをライセンス制御ＳＡＭ７５に送信する。ライセンス制御ＳＡＭ７５は、次に、カウンタ７０ｂに問い合わせて、オペレーションを実行するための十分なクレジットがカウンタ７０ｂにあるかどうかを判断し、「続行」メッセージを機器ＳＡＭ６５に返すか、又は「クレジットなし」エラーメッセージを機器プロセッサ２０に送信する。ライセンス制御ＳＡＭ７５はまた、オペレーションが正常に完了した時に、クレジットカウンタ７０ｂの値を適切に調整するようにされている。

ＳＡＭ６５及び／又は７５は、例えば、スマートカードとすることができる。ＳＡＭ、及び電気信号、通信プロトコル、及びアプリケーションプロトコルデータユニット（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ Ｄａｔａ Ｕｎｉｔ、ＡＰＤＵ）の詳細を説明する他の集積回路カード（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ、ＩＣＣ）に関する明確に定義された一連の仕様があり、このような全てのモジュールは互換性を持つべきである。関連するＩＳＯ７８１６仕様は、以下の参考文献で詳細に示す。
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−１、ＩＣカード−接触型集積回路カード−−第１部 ：物理特性、１９９８（修正２００３）、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−２、ＩＣカード−集積回路カード−− 第２部：接触型カード−−接触の寸法及び位置、１９９９（修正２００４）、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−３、情報技術−−ＩＣカード−−接触型集積回路カード−− 第３部：電子信号及び伝送プロトコル、１９９７（修正２００２）、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−４、ＩＣカード−−集積回路カード−− 第４部：構成、セキュリティ、及び交換のためのコマンド、２００５、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−８、ＩＣカード−−接触型集積回路カード−−第８部：セキュリティオペレーションのためのコマンド、２００４、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−１１、生体認証法による個人の確認、２００４

図２又は３の機器が認証デバイスとして使用されるときには、ユーザは、自己及び使用されるタグの種類を識別するので、タグ固有プロセッサ４０は、走査されようとしているタグに関して必要な処理を識別することができるようになる。走査により、センサインタフェース３５において代表信号が発生し、これがタグ機能のタグ固有の第１レベル処理及び抽出のためにタグ固有処理モジュール４０に伝達される。タグ信号は、共通データフォーマットに変換され、真正性調査のためにＳＡＭ６５に送られ、これによりタグのオフライン認証を可能にする。

真正性調査の前に、ＳＡＭ６５は、カウンタ７０又は７０ｂの値を取得する。カウンタ７０又は７０ｂによって示されたクレジットが不十分な場合、すなわち、カウンタが０の場合には、ＳＡＭ６５は、エラー信号を返し、これを用いてオペレーションを実行するのに利用可能なクレジットが不十分であることをユーザ及び／又はライセンシーに通知する。カウンタ７０又は７０ｂが、十分なクレジットが残っていることを示す場合、すなわち、そのオペレーションのカウンタ値が０よりも大きい場合には、ＳＡＭ６５は認証に進み、ＳＡＭ６５において、事象のセキュアな記録（合格／不合格／日付／時間／オペレータ、その他）が、これを署名又は暗号化することによって生成される。セキュアなデータは、機器メモリ１５内に保存され、これに関連するヘッダがＳＡＭ６５内に保存される。ＳＡＭ６５による認証後、ＳＡＭ６５は、適切なオペレーションが実行されたことを反映するために、カウンタ７０又は７０ｂをデクリメントさせる。ＳＡＭ６５は次に、カウンタ７０又は７０ｂの新しい値をワーニング閾値と比較する。新しいカウンタ値がワーニング閾値であるか又はこれを下回る場合、ＳＡＭ６５は信号を送出し、これが機器プロセッサ２５によって解釈され、クレジットが使い果たされる前にクレジットの追加を準備すべきであるという「低クレジット」ワーニングとして機器のユーザ又はオペレータに伝達される。或いは、カウンタ７０への読み取り専用アクセスが機器プロセッサ２５に許可され、カウンタ７０の値を機器のユーザ又はライセンシーに伝達できるようにし、或いは低クレジットワーニングを提供する。

図４は、マイクロコントローラベースのブランド保護機能（ＢＰＦ）キャリアデバイスを発行するための段階を示している。第１に、ＢＰＦキャリアデバイス及び機器６は、互いに相互認証を行う。機器６は、ＢＰＦキャリアデバイスにコマンドを送信して、認証処理を開始する（１００）。ＢＰＦキャリアデバイスは、乱数を生成して、適切な鍵を用いてその乱数に暗号化処理を実行する。暗号化された数字が機器６に返される。機器６は、ＳＡＭ６５がＢＰＦキャリアデバイスに対して自己を認証できるようにするために、ＢＰＦキャリアデバイスからの暗号化された乱数を含むコマンドをＳＡＭ６５に送信する（コマンド１１０）。ＳＡＭ６５は、個別化フラグをチェックして、タグの個別化が許可されているか否かを確認する（１１５）。個別化が許可されている場合、ＳＡＭ６５は、対応する鍵を使用して、ＢＰＦキャリアデバイスからの暗号化された乱数を解読する。ＳＡＭ６５は更に、自己の乱数を生成して、ＳＡＭ６５によって生成した乱数を、ＢＰＦキャリアデバイスによって生成された乱数と連結する（１２０）。次に、連結された数字が適切な鍵を用いて暗号化され、機器プロセッサに返される。

上述のように、ＳＡＭ６５は、不成功のオペレーション、この実施例では、最後に成功した認証事象からの不成功の認証事象の数を記録するカウンタを保存する。不成功の認証事象の最大数が発生すると、認証処理はブロックされる。これは、セキュリティ機構の詳細を取得しようと試みるためのシステムの偽造プロービングを防ぐ。認証の続行が許可されると、機器は、暗号化された連結数字をＢＰＦキャリアデバイスに送信して、このデバイスがＳＡＭを認証できるようにする（１２５）。次いで、ＢＰＦキャリアデバイスは、適切な鍵を用いて暗号化された数字を復号化し、ＢＰＦキャリアデバイスによって当初生成された乱数を抽出する。抽出されたこの乱数が、ＢＰＦキャリアデバイス上に保存された数字と比較される（１３０）。数字が一致すると、ＢＰＦキャリアデバイスは、ＳＡＭ６５によって生成された乱数を暗号化し、これを機器６に返し（１３５）、ＳＡＭがその後でＢＰＦキャリアデバイスを認証できるようにする。暗号化された数字は、ＳＡＭ６５に送信され、ＳＡＭ６５がこの数字を復号化し、これをＳＡＭ６５が生成した元の乱数と比較する（１４０）。復号化された数字が、ＳＡＭ６５上に保存された乱数と一致すると、ＳＡＭ６５は、相互認証の成功を示すメッセージを機器プロセッサ２５に送信する（１４５）。一致しなかった場合、更なる試みを行う。上述のように、可能な試行数を制限する認証カウンタが、デバイスのセキュリティのプロービングを防ぐために、この処理において動作可能である。

ここで、ＢＰＦキャリアデバイスによって生成された乱数とＳＡＭ６５によって生成された乱数との連結であるセキュアなメッセージング鍵を用いて、機器６とＢＰＦキャリアデバイスとの間のセキュアなセッションが確立された。この後、機器は、タグの個別化状態を次のライフサイクル状態にセットするためのコマンドをＢＰＦキャリアデバイスに発行する（１５０）。機器プロセッサは、そのＢＰＦキャリアデバイスの個別化データを取得するためＳＡＭ６５にコマンドを発行する（１５５）。ＳＡＭ６５は、顧客固有の鍵を自己のメモリから取得して、機密性を保証するために顧客鍵を暗号化し、真正性を保証するためにセキュアなメッセージング鍵を用いて署名を作成する。次いで、ＳＡＭは、暗号化された顧客鍵を機器に返す（１６０）。機器は、保護された情報をコマンドを介して送信し、ＢＰＦキャリアデバイスのＥＥＰＲＯＭを暗号化された顧客鍵でプログラムする（１６５）。次いで、保護された後続ＰＲＯＧＲＡＭ ＥＥＰＲＯＭコマンドを発行して、ＢＰＦキャリアデバイスの正常動作のために必要となる可能性がある他のあらゆる重要なセキュリティパラメータ、例えば制限値又は比較値を付加する。

要求されたプログラムＥＥＰＲＯＭコマンドの処理を完了させると、機器は、ＳＡＭ６５とＢＰＦキャリアデバイスとの間で、上述の１４０−１４５と同様に、別の相互認証手順１６７を開始し、今回は、個別化処理を完了して、ＢＰＦキャリアデバイスが動作状態に移行できるようにする。相互認証１６７が成功すると、ＢＰＦキャリアデバイスは、自己の動作状態に切り替えて（１７０）、ＥＥＰＲＯＭ内に保存された顧客鍵の使用を可能にすることができる。

個別化処理が正常に完了すると、機器６は、これを示すメッセージをＳＡＭ６５に送信し、ＳＡＭ６５は、これに応じてクレジットカウンタ７０の値をデクリメントする。クレジットカウンタ７０が０に達すると、クレジットカウンタ７０がリセットされて個別化許可フラグが再びセットされるまで、これ以上のあらゆる個別化オペレーションが発生しないように、個別化許可フラグはセットしない。クレジットカウンタ７０は、ＢＰＭＳサプライヤ又は許可された代表者によって、セキュアなフレームを用いてリセット、更新、又は追加することができる。これは、例えば、機器６をドッキング・ステーション内に配置するか、或いはＰＣ又は端末にこれを接続することによるオンライン接続することを含む。セキュアなフレームは、Ｅｕｒｏｐａｙ、ＭａｓｔｅｒＣａｒｄ、及びＶＩＳＡ（ＥＭＶ）によって定義されるようなスキームで決済企業によって採用されるような、セキュア・メッセージングなどの当該技術分野で公知の方法によって保護される。追加のためのオンライン接続にはまた、システム又はソフトウェアに対する何らかの更新のダウンロードが伴うことがある。機器プロセッサ２５は、ｇｅｔ ｃｒｅｄｉｔ ｃｏｕｎｔｅｒ ｖａｌｕｅ（クレジットカウンタ値の取得）コマンド１７５をＳＡＭ６５に送信するように動作可能である。ＳＡＭ６５は次に、カウンタで追加が必要とされる前に個別化することができるＢＰＦキャリアデバイスの数を返す（１８０）。機器６は、これを適切なユーザに伝達することができる。クレジットカウンタは、ＳＡＭ６５のＥＥＰＲＯＭ区域上に保存され、アプリケーションは、ＥＥＰＲＯＭのこの区域が早期に消耗されないように設計される。

当業者であれば、本発明の範囲から逸脱することなく、開示した構成の変形形態が可能である点は理解されるであろう。例えば、クレジットカウンタ７０は、各オペレーションの完了時にデクリメントするとして説明したが、クレジットカウンタ７０は、最後のクレジットカウンタのリセット以降に実行されたオペレーション数を保存し、オペレーションが実行されるたびにクレジットカウンタ７０をインクリメントして、クレジットカウンタ７０が上限閾値に達するとオペレーションの実行をブロックするなど、代替的方法で動作することができる点は理解されるであろう。

更に、ＳＡＭ６５は、１つのクレジットカウンタ７０を有するとして説明したが、ＳＡＭ６５は、複数のクレジットカウンタ７０を有することができる。各クレジットカウンタを異なるブランド所有者に割り当てること、及び／又はタグの認証又は発行などの異なるタスクに割り当てもしくはサブ割り当てすること、或いは、各カウンタをオペレータ又は場所などのリソースに割り当て又はサブ割り当てすることができる。このようにして、クレジットを機器又はリソースレベルで下方制御することができ、ライセンス又はＢＰＭＳプロバイダに対して多大な制御又は柔軟性を可能にする。本システムは、オンライン通信による追加を伴うオフラインオペレーションとして説明したが、オペレーションはまた、オンラインにすることができ、及び／又は追加は、他の手段、例えばオフラインの追加コード、例えばＧＳＭ移動電話のＰａｙ−Ａｓ−Ｙｏｕ−Ｇｏスキームで使用されるのと同様のものを提供することにより行うことができる。従って、特定の実施形態の上記の説明は、例証として実施されたものであり、限定の目的ではない。当業者であれば、上述のオペレーションに重大な変更を行うことなく僅かな変更を行うことができる点は理解されるであろう。

６ 機器
１０ 機器入出力サブシステム
１５ メモリサブシステム
２５ プロセッサシステム
３０ タガント固有サブシステム
３５ センサインタフェース
４０ タガント固有処理
４５ 共通タガントインタフェース（ＣＴＩ）
５０ ユーザ入力（キーパッド、キーボード）
５５ ユーザディスプレイ
６５ セキュア・アプリケーション・モジュール（ＳＡＭ）

Claims (25)

1. 予め定められた数のオペレーションを実行し、前記予め定められたオペレーション数を超えた場合にはこれ以降のオペレーションを実行しないようにされたブランド保護機能リーダ及び／又はライタ機器。
2. 前記オペレーションは、ブランド保護機能の認証、及びブランド保護機能の発行又は登録のうちの少なくとも１つである、
   ことを特徴とする請求項１に記載の機器。
3. 前記実行されたオペレーション数をカウントし、これにより前記予め定められたオペレーション数を超えるか否かを判断するためのカウンタを備える、
   ことを特徴とする請求項１又は２に記載の機器。
4. 遠隔配置されたカウンタと協働して、実行された前記オペレーション数をカウントし、これにより前記予め定められたオペレーション数を超えるか否かを判断するよう動作可能である、
   ことを特徴とする請求項１又は２に記載の機器。
5. 前記カウンタは、予め定められた最大オペレーション数からデクリメントされ、これにより前記予め定められたオペレーション数を超えるか否かを判断する、
   ことを特徴とする請求項３又は４に記載の機器。
6. 前記カウンタは、予め定められた最大オペレーション数までインクリメントされて、これにより前記予め定められたオペレーション数を超えるか否かを判断する、
   ことを特徴とする請求項３又は４に記載の機器。
7. 前記予め定められたオペレーション数及び前記実行されたオペレーション数が、セキュア・アプリケーション・モジュール（ＳＡＭ）内でモニタされる、
   ことを特徴とする前記請求項の何れかに記載の機器。
8. 前記ＳＡＭが、前記機器から取り外し可能である、
   ことを特徴とする請求項７に記載の機器。
9. 前記ＳＡＭは、認証及び／又は登録オペレーションを実行するか又はこれに関与するように更にされている、
   ことを特徴とする請求項７又は８に記載の機器。
10. 認証及び／又は登録オペレーションを実行するか又は関与するために少なくとももう１つのＳＡＭを備える、
    ことを特徴とする請求項７から９までの何れかに記載の機器。
11. 前記予め定められたオペレーション数が変更可能である、
    ことを特徴とする前記請求項の何れかに記載の機器。
12. 前記利用可能なオペレーション数を変更するためのコマンドを受け取るようにされている、
    ことを特徴とする前記請求項の何れかに記載の機器。
13. 遠隔地から前記コマンドを受け取るようにされている、
    ことを特徴とする請求項１２に記載の機器。
14. セキュア・メッセージングを用いて前記コマンドを受け取るようにされている、
    ことを特徴とする請求項１２又は１３に記載の機器。
15. 前記機器が前記予め定められたオペレーション数の定義された数以内にある場合にワーニングするための手段を含む、
    ことを特徴とする前記請求項の何れかに記載の機器。
16. 前記予め定められたオペレーション数は、ブランド所有者及び／又は機器及び／又はユーザ及び／又はオペレーション及び／又はブランド保護機能又はセキュリティ機能に関連付けられる、
    ことを特徴とする前記請求項の何れかに記載の機器。
17. 複数の予め定められたオペレーション数が定義され、各予め定められた数は、異なるブランド所有者及び／又はユーザ及び／又はオペレーション及び／又はブランド保護機能又はセキュリティ機能に関連付けられる、
    ことを特徴とする前記請求項の何れかに記載の機器。
18. 前記予め定められたオペレーション数の各々は、自己所有の専用カウンタに関連付けられる、
    ことを特徴とする請求項１７に記載の機器。
19. 前記機器及び／又はユーザから、及び／又はタグからのデータを取得することによって、何れのカウンタを使用するかを識別するようにされている、
    ことを特徴とする請求項１８に記載の機器。
20. 前記実際のオペレーション数が前記予め定められた数に近づくか又は超えた場合に、前記予め定められたオペレーション数をリセット又はリフレッシュするための手段を含む、
    ことを特徴とする前記請求項の何れかに記載の機器。
21. ユーザからの支払受領時に、前記予め定められた数をリセット又はリフレッシュする、
    ことを特徴とする請求項２０に記載の機器。
22. 一次元又は二次元のバーコード、ＲＦＩＤタグ、蛍光タグのうちの１つ又はそれ以上を読み込む及び／又は書き込むようにされている、
    ことを特徴とする前記請求項の何れかに記載の機器。
23. 請求項１から２２の何れかに従って、機器から認証データを収集するようにされているブランド保護管理システム（ＢＰＭＳ）。
24. ブランド保護管理システムの使用に対する収益を収集するための方法であって、
    前記システム内の１つ又はそれ以上のブランド保護機能リーダ及び／又はライタ機器によって実行されるオペレーション数をモニタする段階と、
    前記実行されたオペレーション数に基づいて課金する段階と、
    を含む方法。
25. 予め定められた許容オペレーション数を設定する段階と、
    実行可能な前記オペレーション数を制限するように動作可能な１つ又はそれ以上の機器を提供する段階と、
    前記予め定められた数に基づいて収益を収集する段階と、
    を含む請求項２４に記載の方法。

Images