JP2011507054A - 電子取引を実施する方法及びシステム - Google Patents

Abstract

【課題】機密保護電子取引を実施する方法、システム、サーバ・コンピュータ、ハードウェア装置、クライアント・コンピュータ、およびコンピュータ・プログラムが提供される。
【解決手段】本発明は、サーバ・コンピュータ（１１０）とクライアント・コンピュータ（１２０）との間で電子取引を実施する方法であって、
−通信ネットワーク（１６０）を介してサーバ・コンピュータ（１１０）とハードウェア装置（１３０）との間で暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行するステップと、
−ハードウェア装置（１３０）でサーバ・コンピュータ（１１０）から受信される暗号化されたサーバ応答の復号を実施するステップと、
−復号されたサーバ応答をハードウェア装置（１３０）からクライアント・コンピュータ（１２０）に転送するステップと、
−復号されたサーバ応答をクライアント・コンピュータ（１２０）のクライアント・コンピュータ・ディスプレイ（１２１）上に表示するステップと、
−クライアント・コンピュータ（１２０）からサーバ・コンピュータ（１１０）に送られるクライアント要求をハードウェア装置（１３０）によって受信するステップと、
−クライアント要求を所定の取引情報についてハードウェハ装置（１３０）によって解析するステップと、
−所定の取引情報を何も含まないクライアント要求をハードウェハ装置（１３０）によって暗号化してサーバ・コンピュータ（１１０）に転送するステップと、
−クライアント要求を検出すると所定の取引情報をハードウェア装置（１３０）のハードウェア装置ディスプレイ（２１０）上に表示するステップと、
−ユーザ確定が受信される場合に、所定の取引情報を含むクライアント要求を暗号化してサーバ・コンピュータ（１１０）に転送するステップと、
−ユーザ確定が受信されない場合に、電子取引を取り消すステップと、
を含む方法に関する。
【選択図】図１

Description

本発明は、機密保護電子取引の実施方法に関する。本発明は、さらに、対応するシステム、対応するサーバ・コンピュータ、対応するハードウェア装置、対応するクライアント・コンピュータ、および対応するコンピュータ・プログラムに関する。

現在のインターネット認証プロセスでは、公開鍵基盤（ＰＫＩ：Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）が利用されることが多い。特に、ユーザのパーソナル・コンピュータ（ＰＣ：Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）上に不正なソフトウェアが存在する場合には、取引を行いたい所望のサーバ・コンピュータ、例えば、所望の銀行サーバなどにユーザが接続されているかどうかはっきりしないこともある。相手の攻撃を防ぐ１つの知られている方法では、信頼されるエンティティ（ｔｒｕｓｔｅｄ ｅｎｔｉｔｙ）によってサーバのオペレータに発行されたサーバ証明書をユーザがチェックするように求められる。これが煩わしいので、このようなサーバ証明書のチェックを実施しないユーザも多い。別の知られている方法では、ＰＫＩ技術がスマート・カードと組み合わせて使用される。しかしながら、スマート・カードが実際に行う内容、例えば、署名する内容や接続する場所についてユーザが完全にコントロールできるわけではない。これは、中継人による攻撃やユーザのＰＣ上で動作するワームまたはウィルスによってインターネット接続の安全性が脅かされる可能性があることが原因である。さらに、キーボード・ロギング・ソフトウェアおよびディスプレイ変換ソフトウェアを使用して、ユーザをだまして偽のウェブサイトと取引させて、例えば、相手の銀行口座に送金させることもできる。

前述の方法は、そのプロセスのある点において、サーバがＰＣ上にある機密事項情報を表示するステップまたはユーザがＰＣ上にある機密事項情報を入力するステップあるいはその両方に依存している。この事は、たとえディスプレイおよびキーボードを備える安全なスマート・カード読み取り機でも当てはまる。安全なスマート・カード読み取り機が表示する情報も、やはりＰＣ上で動作するソフトウェアによって制御されている。

米国特許第６８９５５０２号には、サーバ・コンピュータ上の資源にアクセスする要求がクライアント・ユーザによって実際に要求されたことを安全に表示して安全に確定する方法が開示されている。その要求に応答して、サーバ・コンピュータは、安全な環境に暗号化されたチャレンジを送信して、そこでクライアント・ユーザは自分が対応する要求を行ったことをチェックおよび確定することができる。

米国特許第５５９６７１８号には、ワークステーションの入出力装置とワークステーション自体との間に信頼されるパス・サブシステムを挿入することによって作製される安全なユーザ・インタフェースが開示されている。信頼されるパス・サブシステムは、ユーザによって手動で起動され、信頼されるウィンドウを表示するワークステーションのディスプレイを使用している。

米国特許第６８９５５０２号 米国特許第５５９６７１８号

本発明は、電子取引を安全な方法で実施するための他の解決策を提供することを目的とする。

本発明は、コスト効率の高い方法で実施することができる電子取引を実施するための解決策を提供することをさらに目的とする。

本発明は、改良された使いやすさで電子取引を実施するための解決策を提供することをさらに目的とする。

本発明は、サーバを大幅に適合させることなしに既存のサーバ基盤を利用することができる安全な方法で電子取引を実施するための解決策を提供することをさらに目的とする。

本発明は、ＳＳＬ／ＴＬＳなどの既存のストリーム認証プロトコルを利用することができる安全な方法で電子取引を実施するための解決策を提供することをさらに目的とする。

本発明は、独立請求項に定義される、方法、システム、サーバ・コンピュータ、クライアント・コンピュータ、ハードウェア装置およびコンピュータ・プログラムを対象とする。本発明のさらなる実施形態は、添付の従属請求項で提供される。

本発明の第１の態様によれば、サーバ・コンピュータとクライアント・コンピュータとの間で電子取引を実施する方法であって、
−通信ネットワークを介してサーバ・コンピュータとハードウェア装置との間で暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行するステップと、
−ハードウェア装置でサーバ・コンピュータから受信される暗号化されたサーバ応答の復号を実施するステップと、
−復号されたサーバ応答をハードウェア装置からクライアント・コンピュータへ転送するステップと、
−復号されたサーバ応答をクライアント・コンピュータのクライアント・コンピュータ・ディスプレイ上に表示するステップと、
−クライアント・コンピュータからサーバ・コンピュータに送られるクライアント要求をハードウェア装置によって受信するステップと、
−クライアント要求を所定の取引情報についてハードウェア装置によって解析するステップと、
−所定の取引情報を何も含まないクライアント要求をハードウェア装置によって暗号化してサーバ・コンピュータへ転送するステップと、
−クライアント要求を検出すると所定の取引情報をハードウェア装置のハードウェア装置ディスプレイ上に表示するステップと、
−ユーザ確定が受信される場合に、所定の取引情報を含むクライアント要求を暗号化してサーバ・コンピュータへ転送するステップと、
−ユーザ確定が受信されない場合に、電子取引を取り消すステップと、
を含む方法が提供される。

本発明のこの態様による方法は、電子取引のセキュリティの強化を提供する。電子取引は、例えば、電子決済、電子送金、電子発注、またはログオン情報などの機密情報、個人情報またはセキュリティ高感度情報の他の何らかの転送であってもよい。

さらに、本発明のこの態様による方法は、柔軟性があり効率的で経済的な方法で実施することができるという利点を有する。本方法のさらなる利点は、既存のシステムに効率的かつ経済的に追加することができることである。

ハードウェア装置は、サーバ・コンピュータとクライアント・コンピュータとの間のインタフェースとして動作する。言い換えれば、電子取引の間にハードウェア装置だけがサーバ・コンピュータと論理的に直接通信を行う。これによってクライアント・コンピュータとサーバ・コンピュータとの間の通信を監視、評価、解析および制御することが可能になる。クライアント・コンピュータがサーバ・コンピュータに送りたいメッセージまたはデータは、クライアント要求と称され、サーバ・コンピュータがクライアント・コンピュータに送るメッセージまたはデータは、サーバ応答と称される。ハードウェア装置は、サーバ応答を復号することができ、それをクライアント・コンピュータへ転送することもできる。クライアント・コンピュータは、復号されたサーバ応答をユーザに提示することもできるクライアント・コンピュータ・ディスプレイを含む。その後、ユーザは、クライアント・コンピュータ入力ユニット、例えば、キーボードまたはマウスあるいはその両方を用いて、クライアント・コンピュータと交信しクライアント要求を起動してもよい。クライアント・コンピュータは、ハードウェア装置にクライアント要求を送り、ハードウェア装置は、クライアント要求を所定の取引情報について解析する。言い換えれば、ハードウェア装置は、クライアント要求を分析し、何か所定の取引情報を含んでいるかどうかをチェックする。このような所定の取引情報は、特に、クレジット・カード番号、取引番号（ＴＡＮ：ｔｒａｎｓａｃｔｉｏｎ ｎｕｍｂｅｒ）、銀行口座番号、決済データ、支払金額などのセキュリティ高感度情報、個人情報または機密情報あるいはその全部である。アプリケーション固有でまたは顧客固有であるいはその両方で予め定義することができる。一例として、オンライン・バンキングを提供する銀行は、クライアントによって銀行へ転送されるどの情報を所定の取引情報と見なすべきかを予め定義することができる。さらに、銀行は、様々なセキュリティ・レベルでオンライン・バンキング・サービスを提供してもよい。各セキュリティ・レベルに応じて所定の取引情報が適合されてもよい。

用語のクライアント・コンピュータは、広い意味で理解される。クライアント・コンピュータは、例えば、ラップトップＰＣ、デスクトップＰＣ、携帯電話、携帯情報端末（ＰＤＡ：Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）、またはユーザがこれを用いて電子取引を実施することもできる他の何らかの電子装置であってもよい。用語のサーバ・コンピュータも広い意味で理解される。これは、クライアント・コンピュータが電子取引を実施したい任意の電子装置であってもよい。

クライアント要求が、何も所定の取引情報を含まない場合は、ハードウェア装置は、そのクライアント要求を暗号化して第１の通信プロトコルを用いてサーバ・コンピュータへ転送する。クライアント要求が所定の取引情報を含む場合は、ハードウェア装置は、ハードウェア装置のディスプレイ上でユーザにその所定の取引情報を提示してもよい。これによってユーザはその所定の取引情報が正しいかどうかをチェックすることができる。さらに、ユーザは、クライアント・コンピュータのディスプレイ上に表示される取引情報をハードウェア装置のディスプレイ上に表示される取引情報と比較することができる。これによって中継人による攻撃によって導入されることもある違いを容易に検出できるようになる。ユーザが、クライアントのディスプレイ上に表示される取引情報とハードウェア装置のディスプレイ上に表示される取引情報との間の違いを検出した場合、これはクライアント・コンピュータ上で不正なソフトウェアが動作しており、このソフトウェアがユーザがクライアント・コンピュータ入力ユニットによって入力した取引情報を変更したことを示すものである。

ハードウェア装置ディスプレイは、様々な方法で具体化されてもよい。ハードウェア装置ディスプレイは、取引情報をユーザに提示するように動作可能な様々な装置またはツールで具体化されてもよい。ハードウェア装置ディスプレイの例としては、液晶ディスプレイ（ＬＣＤｓ：Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙｓ）、発光ダイオード（ＬＥＤ：Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅ）ディスプレイ、プラズマ・ディスプレイまたはプロジェクタ、例えば、ＬＣＤプロジェクタまたはレーザ・プロジェクタなどがある。

所定の取引情報が正しくない場合、ユーザは、その取引を取り消すこと、あるいは確定しないことができる。その結果、ハードウェア装置は、その取引を取り消す。ユーザがハードウェア装置ディスプレイ上に提示される所定の取引情報が正しいことを確認した場合には、その取引を確定してもよい。確定すると、ハードウェア装置がその所定の取引情報を暗号化して第１の通信プロトコルを用いてサーバ・コンピュータにそれを送る。

ユーザによる確定またはユーザによる取り消しを実施するための様々な方法がある。本発明の実施形態によれば、確定または取り消しは、ハードウェア装置のハードウェア装置入力ユニットを用いて受信されてもよい。言い換えれば、ユーザは、ハードウェア装置の取り消しボタンまたは確定ボタンを押してもよい。あるいは、ユーザがその取引を所定の時間内、例えば１分以内に取り消さない場合には、ハードウェア装置はその取引を確定したと判断するように規定することもできる。本発明の別の実施形態によれば、ハードウェア装置をクライアント・コンピュータのインタフェースからはずすことによって取り消しを実施することもできる。

第１の通信プロトコルが確立され、ハードウェア装置とサーバ・コンピュータとの間のエンド・ツー・エンド通信として動作する。第１の通信プロトコルは、相互認証を使用する。すなわち、サーバ・コンピュータはそれ自体をハードウェア装置に対して認証し、ハードウェア装置はそれ自体をサーバ・コンピュータに対して認証する。高度な機密性を提供するために、ハードウェア装置とサーバ・コンピュータとの間のデータ送信は暗号化された形態で実施される。

本発明の第１の形態の実施形態によれば、本方法は、
−クライアント・コンピュータのブラウザ・アプリケーションとサーバ・コンピュータとの間で第２の通信プロトコルを通常動作モードで実行するステップと、
−サーバ・コンピュータとハードウェア装置との間で第１の通信プロトコルを機密保護動作モードで実行するステップと、
−プロキシ・アプリケーションを介してブラウザ・アプリケーションからハードウェア装置に、さらにプロキシ・アプリケーションを介してハードウェア装置からサーバ・コンピュータに、クライアント要求を機密保護動作モードでルートするステップと、
−プロキシ・アプリケーションを介してサーバ・コンピュータからハードウェア装置に、さらにプロキシ・アプリケーションを介してハードウェア装置からブラウザ・アプリケーションに、サーバ応答を機密保護動作モードでルートするステップと、
をさらに含む。

プロキシ・アプリケーションは、クライアント・コンピュータ上で動作するコンピュータ・プログラムとして実施されてもよく、本方法の効果的な実施を可能にする。このアプリケーションは、ハードウェア装置と、ブラウザ・アプリケーションと、サーバ・コンピュータとの間に機能的に配置されるスイッチの機能を果たす。

通常動作モードでは、ユーザは、セキュリティ高感度情報をサーバ・コンピュータと交換しないのが好ましい。通常動作モードでは、ハードウェア装置の電源を切ったりプラグを抜いたりすることができる。

ユーザがブラウジング・セッション中にセキュリティ高感度情報の交換を含むこともある電子取引を実施したい場合は、機密保護動作モードが起動される。本発明のこの実施形態によれば、機密保護モードでは、サーバ・コンピュータとハードウェア装置との間でプロキシ・アプリケーションおよび通信ネットワークを介して第１の通信プロトコルが動作する。さらに、ブラウザ・アプリケーションとハードウェア装置との間の通信が、プロキシ・アプリケーションを介して実施される。

本発明の第１の態様の実施形態によれば、本方法は、
−クライアント・コンピュータのブラウザ・アプリケーションとサーバ・コンピュータとの間でクライアント・コンピュータのプロキシ・アプリケーションを介して第２の通信プロトコルを通常動作モードで実行するステップと、
−クライアント要求を所定の一連のクライアント要求についてプロキシ・アプリケーションによって解析するステップと、
−所定のクライアント要求を検出すると、プロキシ・アプリケーションによって機密保護動作モードを起動するステップと、
をさらに含む。

これは、機密保護動作モードを自動化された方法で起動する効率的な方法である。プロキシ・アプリケーションは、何もユーザの介在なしに機密保護動作モードを自動的に起動してもよい。一例として、所定の一連のクライアント要求は、サーバ・コンピュータの資源を特定する所定の一連の統一資源識別子（ＵＲＩｓ：Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒｓ）または統一資源位置指定子（ＵＲＬｓ：Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒｓ）を含んでもよい。このような資源は、例えば、ユーザが口座を有する銀行の１つ以上のＵＲＬまたはユーザが電子商取引を実施したい１つ以上の電子商取引エンティティあるいはその両方、あるいはユーザが電子取引を実施したい任意のエンティティであってもよい。ユーザがブラウザ・アプリケーションでこのような所定のＵＲＬまたはＵＲＩのうちの１つを入力する場合、プロキシ・アプリケーションは、それを検出して機密保護動作モードを起動する。機密保護動作モードは、例えば、「機密保護モード起動」信号をハードウェア装置に送ることによって起動されてもよい。

通常動作モードでは、プロキシ・アプリケーションは、通信ネットワークを介して直接ブラウザ・アプリケーションからサーバ・コンピュータへクライアント要求を１つ１つ転送またはルートする。反対方向では、通信ネットワークを介してサーバ応答がプロキシ・アプリケーションに送られ、直接プロキシ・アプリケーションからブラウザ・アプリケーションへ転送される。

本発明の別の実施形態によれば、機密保護モードは、ユーザによって手動で、例えば、機密保護ハードウェア装置をクライアント・コンピュータと接続することによって起動することもできる。

本発明の第１の態様の実施形態によれば、本方法は、復号されたサーバ応答をハードウェア装置からクライアント・コンピュータへ転送する前に、
−サーバ応答を所定の取引情報についてハードウェア装置によって解析するステップと、
−何も所定の取引情報を含まないサーバ応答をクライアント・コンピュータへハードウェア装置によって転送するステップと、
−サーバ応答を検出すると所定の取引情報をハードウェア装置のハードウェア装置ディスプレイ上に表示するステップと、
−ユーザ確定が受信される場合に、所定の取引情報を含むサーバ応答をクライアント・コンピュータへ転送するステップと、
−ユーザ確定が受信されない場合に、電子取引を取り消すステップと、
をさらに含む。

クライアント要求を解析するステップに加えてサーバ応答を解析するステップは、強化された機能性およびアプリケーションを提供する。サーバ応答の所定の取引情報は、ユーザの注意を促すためにハードウェア装置ディスプレイ上に表示することができる。サーバ応答の所定の取引情報は、例えば、ハードウェア装置ディスプレイ上に表示することもできるサーバ・コンピュータの警告メッセージを含んでもよい。さらに、サーバ応答の所定の取引情報は、ユーザへのサーバ・チャレンジまたはサーバ・コンピュータからユーザへの他の何らかのセキュリティ高感度情報であってもよい。これには、クライアント・コンピュータ上で動作する不正ソフトウェアが所定の取引情報をクライアント・コンピュータ・ディスプレイ上に表示することを妨げたり、その不正ソフトウェアがクライアント・コンピュータ・ディスプレイ上の画面を操作したりしても、ユーザはサーバのこのような所定の取引情報をチェックすることができるという利点がある。

本発明の第１の態様のさらなる実施形態によれば、第１の通信プロトコルは、セキュア・ソケット・レイヤ（ＳＳＬ：Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）規格またはトランスポート・レイヤ・セキュリティ（ＴＬＳ：Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）規格に従うプロトコルと、トランスミッション・コントロール・プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ：Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）規格に従うプロトコルとを含むネットワーク層を含む。

これらのプロトコルは、広く適用可能であり広く普及している。本発明のこの態様による方法は、これらのプロトコルを何も適合させる必要なしに使用することができる。これによって本発明のこの態様による方法をコスト効率の高い方法で実施することができる。ＳＳＬまたはＴＬＳ層は、ＴＣＰ／ＩＰ層の上で動作し、サーバ認証、クライアント認証、および暗号化データ送信の機能を提供する。

本発明の第１の態様のさらなる実施形態によれば、第１の通信プロトコルは、ハイパ・テキスト転送プロトコル（ＨＴＴＰ：Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を含むアプリケーション層を含む。

このプロトコルは、広く適用可能であり広く普及している。ネットワーク層上のＳＳＬまたはＴＬＳプロトコルと組み合わせて、ハイパ・テキスト転送プロトコル・セキュア（ＨＴＴＰＳ：Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｅ）を確立することができるのが好ましい。

本発明のこの態様のさらなる実施形態によれば、第２の通信プロトコルは、トランスミッション・コントロール・プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）を含むネットワーク層と、ハイパ・テキスト転送プロトコル（ＨＴＴＰ）を含むアプリケーション層とを含む。

これらのプロトコルは、広く適用可能であり広く普及している。通常動作モードでは、クライアント・コンピュータのユーザは、ＴＣＰ／ＩＰおよびＨＴＴＰを使用するブラウザ・アプリケーションを用いてインターネットを閲覧することもできる。

本発明のこの態様のさらなる実施形態によれば、本方法は、サーバ・コンピュータによってユーザ認証を実施するステップを含む。

この追加の認証は、この方法のセキュリティを強化する。このようなユーザ認証は、例えば、ユーザのパスワードまたは個人識別番号（ＰＩＮ：ｐｅｒｓｏｎａｌ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｎｕｍｂｅｒ）を用いて実施されてもよい。一例として、サーバは、サーバ応答をクライアント・コンピュータに送ることができ、そこでユーザは自分のパスワードまたはＰＩＮを入力するように求められる。パスワードまたはＰＩＮは、サーバ・コンピュータで保存されるので、サーバ・コンピュータによってチェックすることができる。ユーザ認証は、ハードウェア装置自体で自動的に実施することができず、システムのユーザの入力をさらに必要とする認証として理解される。これによって盗んだハードウェア装置を追加のパスワードまたはＰＩＮを知らないでも相手が悪用することができる状況を防止する。一方、第１の通信プロトコルの間に実施されるハードウェア装置とサーバ・コンピュータとの間の相互通信は、ユーザがさらに介在することなしに自動的に実施することができる。ユーザ認証は、好ましくは、何らかの所定の取引情報が機密保護ハードウェア装置からサーバ・コンピュータに送られる前に実施するほうがよい。

本発明のこの態様のさらなる実施形態によれば、本方法は、ハードウェア装置によってユーザ認証を実施するステップを含む。

この追加の認証は、この方法のセキュリティを強化する。このようなユーザ認証は、例えば、パスワードまたは個人識別番号（ＰＩＮ）を用いて実施されてもよい。一例として、ハードウェア装置はメッセージを表示してもよく、そこでユーザは自分のパスワードまたはＰＩＮをハードウェア装置入力ユニットを用いて入力するように求められる。パスワードまたはＰＩＮは、ハードウェア装置内またはハードウェア装置が読み出せるスマート・カード上に保存されるので、ハードウェア装置によってチェックすることができる。これによって盗んだハードウェア装置を追加のパスワードまたはＰＩＮを知らないでも相手が悪用することができる状況を防止する。例えば、指紋読み取りなどの生体認証のような他のユーザ認証方法を使用することもできる。この実施形態では、ユーザ認証は、好ましくは、第１の通信プロトコルをそれぞれ開始または確立する前に実施するほうがよい。

本発明の第２の態様によれば、電子取引を実施するシステムであって、
−サーバ・コンピュータと、
−クライアント・コンピュータ・ディスプレイおよびクライアント・コンピュータ入力ユニットを含むクライアント・コンピュータと、
−ハードウェア装置ディスプレイを含むハードウェア装置と、
−ハードウェア装置とサーバ・コンピュータとの間の通信ネットワークと、
を含み、
−サーバ・コンピュータとハードウェア装置との間で暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
−ハードウェア装置でサーバ・コンピュータから受信される暗号化されたサーバ応答の復号を実施し、
−ハードウェア装置からクライアント・コンピュータへ復号されたサーバ応答を転送し、
−クライアント・コンピュータ・ディスプレイ上に復号されたサーバ応答を提示し、
−クライアント・コンピュータからサーバ・コンピュータに送られるクライアント要求をハードウェア装置によって受信し、
−クライアント要求を所定の取引情報についてハードウェア装置によって解析し、
−所定の取引情報を何も含まないクライアント要求を暗号化してサーバ・コンピュータへ転送し、
−クライアント要求を検出すると所定の取引情報をハードウェア装置ディスプレイ上に表示し、
−ユーザ確定が受信される場合に、所定の取引情報を含むクライアント要求を暗号化してサーバ・コンピュータへ転送し、
−ユーザ確定が受信されない場合に、電子取引を取り消す、
ように適合されるシステムが提供される。

本発明の第２の態様は、本発明の第１の態様の方法が実施されてもよいシステムのシステム態様に対応する。

本発明の第３の態様によれば、ハードウェア装置を用いてサーバ・コンピュータとクライアント・コンピュータとの間の電子取引を制御する方法であって、ハードウェア装置内に、
−サーバ・コンピュータとの暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行するステップと、
−サーバ・コンピュータから受信される暗号化されたサーバ応答の復号を実施するステップと、
−復号されたサーバ応答をクライアント・コンピュータへ転送するステップと、
−サーバ・コンピュータに送られるクライアント要求をクライアント・コンピュータから受信するステップと、
−クライアント要求を所定の取引情報について解析するステップと、
−何も所定の取引情報を含まないクライアント要求を暗号化してサーバ・コンピュータへ転送するステップと、
−クライアント要求を検出すると所定の取引情報をユーザに提示するステップと、
−ユーザ確定が受信される場合に、所定の取引情報を含むクライアント要求を暗号化してサーバ・コンピュータへ転送するステップと、
を含む方法が提供される。

本発明の第３の態様は、ハードウェア装置で実施される方法のステップに関する。本発明のこの態様の実施形態によれば、所定の取引情報は、ハードウェア装置のディスプレイ上に表示される。本発明のこの態様の実施形態によれば、本方法は、ユーザ確定が受信されない場合に、その電子取引を取り消すステップをさらに含む。

本発明の第４の態様によれば、電子取引を制御するハードウェア装置であって、
−ハードウェア装置ディスプレイと、ハードウェア装置をクライアント・コンピュータに接続するために提供されるハードウェア装置インタフェース・ユニットと、
を含み、
−サーバ・コンピュータとの暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
−サーバ・コンピュータから受信される暗号化されたサーバ応答の復号を実施し、
−復号されたサーバ応答をクライアント・コンピュータへ転送し、
−クライアント・コンピュータからサーバ・コンピュータに送られるクライアント要求を受信し、
−クライアント要求を所定の取引情報について解析し、
−何も所定の取引情報を含まないクライアント要求を暗号化してサーバ・コンピュータへ転送し、
−クライアント要求を検出すると所定の取引情報をハードウェア装置ディスプレイ上に表示し、
−ユーザ確定が受信される場合に、所定の取引情報を含むクライアント要求を暗号化してサーバ・コンピュータへ転送する、
ように適合されるハードウェア装置が提供される。

このハードウェア装置は、電子取引のセキュリティを改善するために柔軟性のある効率的な方法で実施して使用することができる。特に、第１の通信プロトコルがサーバに周知な、例えば、ＳＳＬなどの場合には、サーバ・コンピュータ側で変更を実施する必要がなくてもよい。ハードウェア装置は、デスクトップＰＣまたはラップトップＰＣなどの一般的なクライアント・コンピュータと協働することができる。クライアント・コンピュータとハードウェア装置との間の接続は、ハードウェア装置インタフェース・ユニットをクライアント・コンピュータの第１のインタフェースに接続することによって実施されてもよい。ハードウェア装置インタフェース・ユニットは、無線または有線インタフェース・ユニットであってもよい。一例として、ハードウェア装置インタフェース・ユニットは、ユニバーサル・シリアル・バス（ＵＳＢ：Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）インタフェースであってもよい。

本発明の実施形態によれば、ハードウェア装置は、ユーザ確定が受信されない場合に、その電子取引を取り消すように適合される。

本発明の第４の態様の実施形態によれば、ハードウェア装置は、セキュリティ高感度データを格納するセキュリティ・トークンを含む。

このセキュリティ・トークンは、ハードウェア・ユニットであり、ハードウェア・トークンとも称され、セキュリティ高感度データ、特に、セキュリティ高感度ユーザ・データを耐タンパ性のある方法で格納することができる。言い換えれば、セキュリティ・トークンに格納されるセキュリティ高感度データは、読み出したり操作したりすることができない。耐タンパ性の程度またはレベルは、それぞれのアプリケーションのセキュリティ要件に適合させることができる。セキュリティ・トークンは、例えば、セキュリティ高感度データを格納するスマート・カード・チップを含むハードウェア・コンポーネントであってもよい。

本発明の第４の態様の実施形態によれば、ハードウェア装置は、セキュリティ高感度データをスマート・カードから読み出すスマート・カード読み取り機を含む。

この実施形態によれば、スマート・カードのスマート・カード・チップは、セキュリティ高感度データを格納する。スマート・カードは、ハードウェア装置とは異なる場所にユーザが保管することができる。ハードウェア装置を動作させる前に、ユーザはスマート・カードをハードウェア装置のスマート・カード読み取り機内に入れる必要がある。

本発明の第４の態様の実施形態によれば、ハードウェア装置は、１つ以上の所定レベルの耐タンパ性を有する。

所定レベルの耐タンパ性は、それぞれのアプリケーションのセキュリティ要件に適合させることができる。アプリケーションのセキュリティ要件が高いほど耐タンパ性のレベルは高く選択するほうがよい。耐タンパ性のレベルは、タンパ・プルーフであるのが好ましい。

所定レベルの耐タンパ性は、様々な攻撃に対応してもよい。例えば、不正ソフトウェアに対する耐タンパ性レベル、またはハードウェア装置の物理的な操作に対する耐タンパ性のレベル、またはハードウェア装置の検査、特に、マイクロスコープを用いたストレージまたはメモリの検査に対する耐タンパ性レベルなどである。マルウェアとも称される不正ソフトウェアは、ハードウェア装置の正常な機能を損なう、変更するまたは操作する意図を有するあらゆるソフトウェアとして理解されてもよい。このような不正ソフトウェアは、例えば、ウィルス、ワーム、トロイの木馬、スパイウェアまたは他の好ましくないソフトウェアであってもよい。言い換えれば、不正ソフトウェアは、コンピュータ・システムに侵入し、危害を与え、あるいは損傷させるように設計されるソフトウェアである。

本発明の第４の態様の実施形態によれば、ハードウェア装置の耐タンパ性の所定のレベルは、クライアント・コンピュータの耐タンパ性レベルよりも高い。

これは相手にとってクライアント・コンピュータを操作するよりもハードウェア装置を操作または改変するほうが困難であることを意味する。ハードウェア装置の耐タンパ性に重点を置くことは、クライアント・コンピュータ全体の耐タンパ性を改善することよりもコスト効率が高い。特に、相手にとって、クライアント・コンピュータ上に不正ソフトウェアを置くよりもハードウェア装置上に置くほうが困難である。

本発明の第４の態様の実施形態によれば、ハードウェア装置は、ソフトウェア・アプリケーションをハードウェア装置にロードすることができないように設計される。

これによって、ウィルス、ワームまたは他の不正ソフトウェアがハードウェア装置の機能を操作したり損傷させたりできないようにする。この実施形態は、例えば、ヒューズ・メモリにハードウェア装置のプログラム（単数または複数）を格納することによって実施することができる。言い換えれば、ハードウェア装置のプログラム・メモリにプログラム（単数または複数）をロードした後で、プログラム・メモリにヒューズが取り付けられる。これによって、これ以上プログラムをハードウェア装置にロードして実行することができないようにする。

本発明の第４の態様の実施形態によれば、セキュリティ高感度データは、秘密鍵と信頼されるルート（ｔｒｕｓｔ ｒｏｏｔ）情報とを含む。

秘密鍵は、サーバ・コンピュータと第１の通信プロトコル、特に相互認証を実施するために使用される。

信頼されるルート情報は、どの機関がハードウェア装置を信頼しているかを定義する。信頼されるルート情報は、例えば、ハードウェア装置が信頼する認証機関の１つ以上の認証機関のルート鍵を含んでもよい。これによって、第１の通信プロトコルの相互認証を実施するために公開鍵基盤（ＰＫＩ）技術を使用することができるようになる。

本発明の第４の態様の実施形態によれば、ハードウェア装置は、取引を確定するまたは取り消すあるいはその両方のためのハードウェア装置入力ユニットを含む。

ハードウェア装置入力ユニットは、例えば、１つ以上のボタンによって、例えば、確定ボタンまたは取り消しボタンあるいはその両方によって確立することができる。

本発明の第５の態様によれば、第１のインタフェースを介して通信ネットワークと、第２のインタフェースを介してハードウェア装置に接続可能なクライアント・コンピュータであって、
−通信ネットワークを閲覧するためのブラウザ・アプリケーションと、プロキシ・アプリケーションと、
を含み、プロキシ・アプリケーションが、
−クライアント要求をブラウザ・アプリケーションからハードウェア装置へ、さらに通信ネットワークを介してハードウェア装置からサーバ・コンピュータへ機密保護動作モードで転送し、
−サーバ・コンピュータから受信されるサーバ応答をハードウェア装置へ、さらにハードウェア装置からブラウザ・アプリケーションへ機密保護動作モードで転送する、
ように適合され、クライアント・コンピュータが、ハードウェア装置および通信ネットワークを介してサーバ・コンピュータと電子取引を機密保護動作モードで実施するように適合されるクライアント・コンピュータが提供される。

このようなクライアント・コンピュータは、効率的な方法で実施することができる。プロキシ・アプリケーションは、一般的なクライアント・コンピュータの性能を向上させることができ、ハードウェア装置と相互運用可能にする。

本発明の第５の態様の実施形態によれば、プロキシ・アプリケーションは、
−クライアント・コンピュータのブラウザ・アプリケーションから受信されるクライアント要求を、通信ネットワークのサーバ・コンピュータへ通常動作モードで転送し、
−サーバ・コンピュータから受信されるサーバ応答をクライアント・コンピュータのブラウザ・アプリケーションへ通常動作モードで転送し、
−クライアント要求を所定の一連のクライアント要求について解析し、
−所定のクライアント要求を検出すると機密保護動作モードを起動する、
ように適合される。

これは、機密保護モードを自動化された方法でトリガする効率的な方法である。ユーザは、機密保護モードを能動的に開始させる必要はなくて、所定のクライアント要求の１つを送る場合には必ず機密保護モードが自動的に開始されると確信することができる。

本発明の第５の態様の実施形態によれば、機密保護モードは、プロキシ・アプリケーションからハードウェア装置へ機密保護モード有効信号を送ることによって起動される。

機密保護モード有効信号は、ハードウェア装置に対して機密保護モードを開始するべきであることを示す。

本発明の第６の態様によれば、コンピュータ・プログラムであって、クライアント・コンピュータ上で実行される場合に、
−クライアント・コンピュータのブラウザ・アプリケーションから受信されるクライアント要求をハードウェア装置へ、さらにハードウェア装置から通信ネットワークを介してサーバ・コンピュータへ機密保護動作モードで転送するステップと、
−サーバ・コンピュータから受信されるサーバ応答をハードウェア装置へ、さらにハードウェア装置からブラウザ・アプリケーションへ機密保護動作モードで転送するステップと、
を実行する命令を含むコンピュータ・プログラムが提供される。

このようなコンピュータ・プログラムは、プロキシ・アプリケーションを具体化し、ブラウザ・アプリケーションとハードウェア装置との間で効率的で柔軟性のあるインタフェースを確立する。このようなコンピュータ・プログラムは、ブラウザ・アプリケーションを効率的な方法でハードウェア装置と相互運用可能にする。

本発明の第６の態様の実施形態によれば、コンピュータ・プログラムは、クライアント・コンピュータ上で実行される場合に、
−クライアント・コンピュータのブラウザ・アプリケーションから受信されるクライアント要求を通信ネットワークのサーバ・コンピュータへ通常動作モードで転送するステップと、
−サーバ・コンピュータから受信されるサーバ応答をクライアント・コンピュータのブラウザ・アプリケーションへ通常動作モードで転送するステップと、
−クライアント要求を所定の一連のクライアント要求について解析するステップと、
−所定のクライアント要求を検出すると機密保護モードを起動するステップと、
を実行する命令をさらに含む。

本発明の第７の態様によれば、ハードウェア装置を用いてサーバ・コンピュータとクライアント・コンピュータとの間の電子取引を制御する方法であって、ハードウェア装置内に、
−サーバ・コンピュータとの暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行するステップと、
−サーバ・コンピュータから受信される暗号化されたサーバ応答の復号を実施するステップと、
−サーバ応答を所定の取引情報について解析するステップと、
−何も所定の取引情報を含まないサーバ応答をクライアント・コンピュータへ転送するステップと、
−サーバ応答を検出すると所定の取引情報をユーザに提示するステップと、
−ユーザ確定が受信される場合に、所定の取引情報を含むサーバ応答をクライアント・コンピュータへ転送するステップと、
を含む方法が提供される。

本発明のこの態様は、そのサーバ応答が解析されることによる方法に関する。サーバ応答の所定の取引情報は、例えば、ユーザへのサーバ・チャレンジまたはサーバ・コンピュータからユーザへのセキュリティ高感度情報であってもよい。

一例として、この方法は、ソフトウェアのダウンロードを強化されたセキュリティで実施するために使用されてもよい。ハードウェア装置がソフトウェアをクライアント・コンピュータへ転送する前に、ハードウェア装置はメッセージを表示して、ユーザはダウンロードに合意するかどうかについて質問される。さらに、サーバは、ソフトウェアの整合性に関するあるユーザ検証可能情報をハードウェア装置へ送ることもできる。その後、ハードウェア装置は、ハードウェア装置ディスプレイ上にユーザ検証可能情報を表示することになり、ユーザはダウンロードする前にソフトウェアの整合性を検証することもできる。これは、不正ソフトウェアのダウンロードを回避するのに特に役立つ。

本発明の第８の態様によれば、電子取引を制御するハードウェア装置であって、
−ハードウェア装置ディスプレイと、ハードウェア装置をクライアント・コンピュータに接続するために提供されるハードウェア装置インタフェース・ユニットと、
を含み、
−サーバ・コンピュータとの暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
−サーバ・コンピュータから受信される暗号化されたサーバ応答の復号を実施し、
−サーバ応答を所定の取引情報について解析し、
−何も所定の取引情報を含まないサーバ応答をクライアント・コンピュータへ転送し、
−クライアント要求を検出すると所定の取引情報をハードウェア装置ディスプレイ上に表示し、
−ユーザ確定が受信される場合に、所定の取引情報を含むサーバ応答をクライアント・コンピュータへ転送する、
ように適合されるハードウェア装置が提供される。

本発明の第８の態様は、本発明の第７の態様の方法が実施されてもよいハードウェア装置に対応する。

本発明の第９の態様によれば、電子取引を制御するハードウェア装置であって、ユーザに情報を提示する提示手段と、ハードウェア装置をクライアント・コンピュータに接続するために提供されるハードウェア装置インタフェース・ユニットとを含み、
−サーバ・コンピュータとの暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
−サーバ・コンピュータから受信される暗号化されたサーバ応答の復号を実施し、
−復号されたサーバ応答をクライアント・コンピュータへ転送し、
−クライアント・コンピュータからサーバ・コンピュータに送られるクライアント要求を受信し、
−クライアント要求を所定の取引情報について解析し、
−何も所定の取引情報を含まないクライアント要求を暗号化してサーバ・コンピュータへ転送し、
−クライアント要求を検出すると所定の取引情報を提示手段によって提示し、
−ユーザ確定が受信される場合に、所定の取引情報を含むクライアント要求を暗号化してサーバ・コンピュータへ転送する、
ように適合されるハードウェア装置が提供される。

本発明のこの態様によれば、提示手段は、所定の取引情報をユーザに提示するために提供される。本発明のこの態様によれば、提示手段は、ディスプレイであってもよい。

本発明の第１０の態様によれば、電子取引を制御するハードウェア装置であって、ユーザ・インタフェースと、ハードウェア装置をクライアント・コンピュータに接続するために提供されるハードウェア装置インタフェース・ユニットとを含み、
−サーバ・コンピュータとの暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
−サーバ・コンピュータから受信される暗号化されたサーバ応答の復号を実施し、
−復号されたサーバ応答をクライアント・コンピュータへ転送し、
−クライアント・コンピュータからサーバ・コンピュータに送られるクライアント要求を受信し、
−クライアント要求を所定の取引情報について解析し、
−何も所定の取引情報を含まないクライアント要求を暗号化してサーバ・コンピュータへ転送し、
−クライアント要求を検出すると所定の取引情報をユーザ・インタフェースによって提示し、
−ユーザ確定が受信される場合に、所定の取引情報を含むクライアント要求を暗号化してサーバ・コンピュータへ転送する、
ように適合されるハードウェア装置が提供される。

本発明のこの態様によれば、汎用ユーザ・インタフェースは、所定の取引情報をユーザに提示するために提供される。この汎用ユーザ・インタフェースは、取引情報を様々な方法でユーザに提示してもよい。本発明の実施形態によれば、ユーザ・インタフェースは、ディスプレイであってもよい。本発明の別の実施形態によれば、ユーザ・インタフェースは、ラウドスピーカなどの音響インタフェースであってもよい。

本発明の様々な態様のステップは、異なる順序で実施することができる。さらに、ステップは組み合わされてもよい。すなわち、例えば、２つ以上のステップが同時に実施される。

装置の特徴は、どれも本発明の方法の態様に当てはめることもでき、その逆も同様である。装置の特徴の利点は、対応する方法の特徴にも当てはまり、その逆も同様である。

本発明の好適な実施形態は、以下の概略図を参照しながらほんの一例として以下に詳細に説明される。

図面は、説明のためだけに提供されるものであり、本発明の実例を必ずしも縮尺どおりに表すものではない。図面において、類似の参照記号は、同一または類似の部品を示すのに使用される。

本発明の実施形態によるシステムを示すブロック図である。 本発明の実施形態によるハードウェア装置を示すブロック図である。 本発明の別の実施形態によるハードウェア装置を示すブロック図である。 本発明の実施形態によるブラウザ・アプリケーションと、プロキシ・アプリケーションと、ハードウェア装置と、サーバ・コンピュータとの間の通信の流れを示す図である。 通常動作モードの本発明の実施形態による方法のメッセージの流れを示す概略図である。 機密保護動作モードの本発明の実施形態による方法のメッセージの流れを示す概略図である。 機密保護動作モードの本発明の実施形態による方法のメッセージの流れを示す概略図である。 機密保護動作モードの本発明の実施形態による方法のメッセージの流れを示す概略図である。

図１は、本発明の実施形態によるシステム１００を示す。システム１００は、サーバ・コンピュータ１１０と、クライアント・コンピュータ１２０と、ハードウェア装置１３０とを含む。クライアント・コンピュータ１２０は、クライアント・コンピュータ・ディスプレイ１２１と、クライアント・コンピュータ入力ユニット１２２とを含む。クライアント・コンピュータ入力ユニット１２２は、キーボード１２３と、マウス１２４とを含む。クライアント・コンピュータ１２０は、バス・システム１５３を用いて接続されコンピュータ・ケース１５４に配置される、処理ユニット１５０と、メモリ１５１（例えば、揮発性メモリ・デバイス）と、ストレージ１５２とを含む。ストレージ１５２は、不揮発性メモリ・デバイス（例えば、ＥＥＰＲＯＭ、ＲＯＭ、ＰＲＯＭ、ＲＡＭ、ＤＲＡＭ、ＳＲＡＭ、フラッシュ、ファームウェア、プログラマブル・ロジックなど）、磁気ディスク・ドライブ、光ディスク・ドライブ、テープ・ドライブなどを含んでもよい。ストレージ１５２は、内部ストレージ・デバイス、付属ストレージ・デバイスまたはネットワーク・アクセス可能ストレージ・デバイスあるいはその全部を含んでもよい。クライアント・コンピュータ１２０は、メモリ１５１内にロードされ処理ユニット１５０によって実行されてもよいプログラム・コード１５８を含むプログラム・ロジック１５７を含んでもよい。特定の実施形態では、プログラム・コード１５８を含むプログラム・ロジック１５７は、ストレージ１５２に格納されてもよい。したがって、図１は、他の要素とは別のプログラム・ロジック１５７を示すが、プログラム・ロジック１５７は、ストレージ１５２内に実施されてもよい。

クライアント・コンピュータ１２０は、第１のインタフェース１５６を介して通信ネットワーク１６０に接続される。第１のインタフェース１５６は、無線インタフェースまたは有線インタフェース、特に、ユニバーサル・シリアル・バス（ＵＳＢ）インタフェースであってもよい。通信ネットワーク１６０は、インターネットであってもよい。クライアント・コンピュータ１２０は、第２のインタフェース１５５を介してハードウェア装置１３０に接続される。第２のインタフェース１５５は、無線または有線インタフェース、特に、ＵＳＢインタフェースであってもよい。クライアント・コンピュータ１２０は、パーソナル・コンピュータ（ＰＣ）であってもよい。サーバ・コンピュータ１１０は、通信ネットワーク１６０にも接続される。サーバ・コンピュータ１１０は、例えば、銀行、保険会社、または通信ネットワーク１６０、特に、インターネットを介して電子取引を提供する団体のサーバ・コンピュータとすることができる。

図２は、図１のハードウェア装置１３０の実施形態をさらに詳細に示す。ハードウェア装置１３０は、処理ユニット２００と、ハードウェア装置ディスプレイ２１０と、メモリ２２０（例えば、揮発性メモリ・デバイス）と、ストレージ２３０とを含む。ストレージ２３０は、不揮発性メモリ・デバイス（例えば、ＥＥＰＲＯＭ、ＲＯＭ、ＰＲＯＭ、ＲＡＭ、ＤＲＡＭ、ＳＲＡＭ、フラッシュ、ファームウェア、プログラマブル・ロジックなど）を含んでもよい。ハードウェア装置１３０は、メモリ２２０内にロードされ処理ユニット２００によって実行されてもよいプログラム・コード２４１を含むプログラム・ロジック２４０を含んでもよい。特定の実施形態では、プログラム・コード２４１を含むプログラム・ロジック２４０は、ストレージ２３０に格納されてもよい。したがって、図２は、他の要素とは別のプログラム・ロジック２４０を示すが、プログラム・ロジック２４０は、ストレージ２３０内に実施されてもよい。ハードウェア装置１３０は、スマート・カード読み取り機２５０と、Ｉ／Ｏユニット２７０とも称されるハードウェア装置インタフェース・ユニット２７０と、ハードウェア装置入力ユニット２８０とをさらに含む。ハードウェア装置インタフェース・ユニット２７０は、無線インタフェースまたは有線インタフェース、特に、ユニバーサル・シリアル・バス（ＵＳＢ）インタフェースであってもよい。ハードウェア装置インタフェース・ユニット２７０は、ハードウェア装置１３０をクライアント・コンピュータ１２０に接続または結合するために使用されてもよい。ハードウェア装置入力ユニット２８０は、ユーザによる入力のために提供され、１つ以上のボタンまたは完全なキーボードを含んでもよい。一例として、ハードウェア装置入力ユニット２８０は、取引を取り消すための１つの取り消しボタンと、取引を確定するための１つの確定ボタンとの２つのボタンだけから構成することもできる。ハードウェア装置１３０は、ハウジング２９０、例えば、プラスチック製ハウジングによって覆われている。

スマート・カード読み取り機２５０は、スマート・カード２６０から、セキュリティ高感度データ、特に、秘密鍵および信頼されるルート情報などのセキュリティ高感度ユーザ・データを読み取ることができる。

図３は、図１のハードウェア装置１３０の別の実施形態をさらに詳細に示す。図３の実施形態によるハードウェア装置１３０は、図２を参照して説明されるように、処理ユニット２００と、ハードウェア装置ディスプレイ２１０と、メモリ２２０と、ストレージ２３０と、プログラム・コード２４１を含むプログラム・ロジック２４０と、ハードウェア装置インタフェース・ユニット２７０と、ハードウェア装置入力ユニット２８０と、ハウジング２９０とを含む。

さらに、ハードウェア装置１３０は、秘密鍵および信頼されるルート情報などのセキュリティ高感度データを格納する内蔵セキュリティ・トークン３１０を含む。セキュリティ・トークン３１０は、例えば、スマート・カード・チップであってもよい。

ハードウェア装置１３０は、信頼される機密保護環境、例えば、銀行のセキュア・サイトで初期化されるのが好ましい。この初期化は、例えば、セキュリティ・トークン３１０またはスマート・カード２６０にセキュリティ高感度情報をロードすることを含む。

ハードウェア装置１３０は、例えば、ＵＳＢスティックとして実施されてもよい。

図４は、クライアント・コンピュータ１２０上で動作するブラウザ・アプリケーション４１０と、クライアント・コンピュータ１２０上で動作するプロキシ・アプリケーション４２０と、ハードウェア装置１３０と、通信ネットワーク１６０と、サーバ・コンピュータ１１０との間の通信の流れを示す。

本発明の実施形態によれば、図１を参照して説明されるように、ブラウザ・アプリケーション４１０およびプロキシ・アプリケーション４２０は、クライアント・コンピュータ１２０のプログラム・ロジック１５７のプログラム・コード１５８として実施される。ブラウザ・アプリケーション４２０は、特に、インターネットのウェブ・ページまたはウェブサイト上に位置してもよいテキスト、画像、ビデオ、音楽および他の情報をユーザが表示およびやりとりすることができるウェブ・ブラウザであってもよい。特に、ブラウザ・アプリケーション４２０によって、ユーザは通信ネットワーク１６０を介してサーバ・コンピュータ１１０からアクセスできるテキスト、画像、ビデオ、音楽および他の情報を表示およびやりとりすることができる。ブラウザ・アプリケーション４１０は、例えば、アプリケーション層のＨＴＴＰプロトコルおよびネットワーク層のトランスミッション・コントロール・プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）を用いて、プロキシ・アプリケーション４２０および通信ネットワーク１６０を介してサーバ・コンピュータ１１０と通信してもよい。

通常動作モードでは、ブラウザ・アプリケーション４１０は、プロキシ・アプリケーション４２０を介して通信ネットワーク１６０に接続する。通常動作モードでは、ブラウザ・アプリケーション４１０は、第２の通信プロトコルを実行し、クライアント要求、例えば、ＨＴＴＰ取得要求などをプロキシ・アプリケーション４２０および通信ネットワーク１６０を介してサーバ・コンピュータ１１０に送ることができる。反対方向については、サーバ・コンピュータ１１０は、サーバ応答、例えば、ＨＴＴＰ応答などを通信ネットワーク１６０およびプロキシ・アプリケーション４２０を介してブラウザ・アプリケーション４１０に通常動作モードで送ることができる。通常動作モードでは、プロキシ・アプリケーション４２０は、ブラウザ・アプリケーション４１０と通信ネットワーク１６０との間のフォワーダ（ｆｏｒｗａｒｄｅｒ）として働くと同時に、クライアント要求を所定の一連のクライアント要求について１つ１つ監視して解析する。所定の一連のクライアント要求は、例えば、一連の統一資源位置指定子（ＵＲＬｓ）であってもよい。所定の一連のクライアント要求は、クライアント・コンピュータ１２０のユーザが、この資源との通信はハードウェア装置１３０によって制御されるべきと事前に定義した一連の資源を表す。一例として、クライアント・コンピュータ１２０のユーザは、所定の要求として自分の銀行のＵＲＬをプロキシ・アプリケーション４２０に定義することもできる。その後、プロキシ・アプリケーション４２０は、ユーザがこの銀行の対応するＵＲＬをブラウザ・アプリケーション４１０に入力するかどうかを監視することになる。言い換えれば、プロキシ・アプリケーション４２０は、ユーザが所定のＵＲＬにアクセスするためのクライアント要求を通信ネットワーク１６０を介してサーバ・コンピュータ１１０へ送るかどうかを監視する。所定のクライアント要求のうちの１つを検出すると、プロキシ・アプリケーション４２０は、機密保護動作モードに切り換えてこれを起動する。機密保護動作モードでは、プロキシ・アプリケーション４２０は、データの流れを変更して、ブラウザ・アプリケーション４１０から受信されるクライアント要求をハードウェア装置１３０にルートする。さらに、プロキシ・アプリケーション４２０は、適切な信号、例えば、機密保護モード有効信号をハードウェア装置１３０に送ることによって機密保護動作モードを起動する。次いで、ハードウェア装置１３０は、サーバ・コンピュータ１１０とハードウェア装置１３０との間の暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを起動して実行する。以下では、ハードウェア装置１３０は、サーバ・コンピュータ１１０とクライアント・コンピュータ１２０のブラウザ・アプリケーション４１０との間の知的インタフェースとして働く。言い換えれば、ハードウェア装置１３０は、サーバ・コンピュータ１１０とブラウザ・アプリケーション４１０との間のデータ通信を制御および監視する。機密保護動作モードでは、プロキシ・アプリケーション４２０は、一種のスイッチとして動作する。一方では、プロキシ・アプリケーション４２０は、ハードウェア装置１３０から受信されるクライアント要求を通信ネットワーク１６０へ機密保護動作モードで転送するとともに、通信ネットワーク１６０から受信されるサーバ応答をハードウェア装置１３０へ機密保護動作モードで転送する。他方では、プロキシ・アプリケーション４２０は、ブラウザ・アプリケーション４１０から受信されるクライアント要求をハードウェア装置１３０へ機密保護動作モードで転送するとともに、ハードウェア装置１３０から受信されるサーバ応答をブラウザ・アプリケーション４１０へ機密保護動作モードで転送する。

第１の通信プロトコルが確立された後で、ハードウェア装置１３０は、クライアント・コンピュータ１２０から受信されるクライアント要求またはブラウザ・アプリケーション４１０から受信されるクライアント要求をそれぞれ所定の取引情報について解析する。言い換えれば、ハードウェア装置１３０は、クライアント・コンピュータ１２０から受信するデータ・トラフィックが何か所定の取引情報を含むかどうかを監視する。この所定の取引情報は、例えば、支払い明細、支払い金額などのセキュリティ高感度情報であってもよい。所定の取引情報は、例えば、各ＵＲＬのオーナによって、例えば、ユーザが取引を実施したい銀行によって事前に定義されてもよい。所定の取引情報は、例えば、ＨＴＴＰポスト要求を用いて送られてもよい。所定の取引情報を検出すると、ハードウェア装置１３０は、対応するクライアント要求に割り込み、ハードウェア装置１３０のハードウェア装置ディスプレイ２１０上に検出された所定の取引情報を表示する。その結果、その取引を実施したいユーザは、各取引情報が正しいかどうかをハードウェア装置ディスプレイ２１０上でチェックすることができる。一例として、所定の取引情報が電子決済の送金金額に関する場合、ハードウェア装置１３０は、各送金金額をハードウェア装置ディスプレイ２１０上に表示することになる。ユーザは、各送金金額が正しいかどうかをハードウェア装置ディスプレイ２１０上でチェックすることができる。ハードウェア装置入力ユニット２８０を介して、例えば、ユーザが確定ボタンを押してその取引を確定する場合は、ハードウェア装置１３０はその取引を継続するだけである。ハードウェア装置１３０がこの確定を受信する場合、ハードウェア装置１３０はその取引を継続し、プロキシ・アプリケーション４２０および通信ネットワーク１６０を介してその取引情報をサーバ・コンピュータ１１０へ転送する。ハードウェア装置１３０が確定を受信しないあるいは取り消し信号を受信する場合には、ハードウェア装置１３０はその取引を取り消し、その取引情報をプロキシ・アプリケーション４２０へ転送しない。

ハードウェア装置１３０は、所定の取引情報を検出すると、確定要求メッセージとも称される割り込みメッセージをブラウザ・アプリケーション４１０に送り返すのが好ましい。この割り込みメッセージは、ハードウェア装置１３０が所定の取引情報を特定したところであり、取引を継続する前にユーザによる確定を待っていることをブラウザ・アプリケーション４１０に示してもよい。ブラウザ・アプリケーション４１０は、クライアント・コンピュータ・ディスプレイ１２１上で、確定要求メッセージとも称される対応する割り込みメッセージをユーザに表示するのが好ましい。この割り込みメッセージは、例えば、その取引情報が正しいかどうかをハードウェア装置ディスプレイ２１０上で２重にチェックするとともに、ハードウェア装置入力ユニット２８０を介してこれを確定するほうがよいことをユーザに知らせることもできる。

ハードウェア装置１３０は、クライアント要求を解析する解析プログラムを含む。解析プログラムは、所定の取引情報を含み、アプリケーション固有とすることができる。一例として、銀行は、銀行専用解析プログラムがロードされる銀行専用ハードウェア装置１３０を発行することもできる。各銀行は、解析プログラムをその専用オンライン・バンキング・プロセスおよびその専用セキュリティ要求および要件に適合させることもできる。解析プログラムは、信頼される機密保護環境、例えば、銀行のセキュア・サイトで初期化されるのが好ましい。解析プログラムは、ロードされてハードウェア装置１３０のセキュリティ・トークン３１０またはスマート・カード２６０内に格納されるのが好ましい。しかしながら、本発明の別の実施形態によれば、解析プログラムは、ハードウェア装置１３０のストレージ２３０内に格納することもできる。

本発明の実施形態によれば、ハードウェア装置１３０は、サーバ・コンピュータ１１０から受信されるサーバ応答を所定の取引情報について解析する。言い換えれば、ハードウェア装置１３０は、クライアント要求を解析するだけでなくサーバ応答についても所定の取引情報について解析する。

クライアント要求およびサーバ応答に対してハードウェア装置１３０によって実施される解析プロセスは、図４で点線を用いて示される。

図５、図６、図７および図８は、本発明の実施形態による方法のメッセージの流れに関する概略図を示す。その中で、サーバ・コンピュータ１１０と、プロキシ・アプリケーション４２０と、ブラウザ・アプリケーション４１０と、ハードウェア装置１３０との間のメッセージの流れが、各参照番号が与えられるラベル付き矢印で示される。追加のステップまたはサブステップは、円で囲まれる参照番号で示される。流れは、増加する参照番号によって示されるように上方から下方に順に実施されるように理解される。

図５は、通常動作モードのメッセージの流れを示す。

ステップ５１０で、クライアント・コンピュータ１２０のユーザは、クライアント要求、例えば、ウェブサイトのＵＲＬをクライアント・コンピュータ入力ユニット１２２を用いて入力する。ステップ５２０で、ブラウザ・アプリケーション４１０は、クライアント要求、例えば、ウェブサイトのＵＲＬを含むＨＴＴＰ取得要求をプロキシ・アプリケーション４２０に送る。ステップ５３０で、プロキシ・アプリケーション４２０は、所定の一連の要求、例えば、所定の一連のＵＲＬについてクライアント要求を解析する。この例では、ステップ５２０で送られるクライアント要求は、所定の一連のクライアント要求に属したり対応したりしていないと仮定する。したがって、プロキシ・アプリケーション４２０は、ステップ５４０で、クライアント要求を通信ネットワーク１６０を介してサーバ・コンピュータ１１０へ転送する。ステップ５５０で、サーバ・コンピュータ１１０は、サーバ応答、例えば、要求されるＵＲＬのＨＴＭＬファイルを含むＨＴＴＰサーバ応答を送り返すことによって応答する。次いで、ステップ５６０で、サーバ応答、例えば、要求されるＵＲＬのＨＴＭＬファイルが、クライアント・コンピュータ・ディスプレイ１２１上に表示される。

ステップ５１０、ステップ５２０、ステップ５３０、ステップ５４０、ステップ５５０およびステップ５６０は、ブラウザ・アプリケーション４１０およびプロキシ・アプリケーション４２０の通常動作モードを示す。通常動作モードは、ハードウェア装置１３０なしでも実施することができる。通常動作モードでは、ブラウザ・アプリケーション４１０とサーバ・コンピュータ１１０との間で第２の通信プロトコルが実行される。

ステップ５７０で、クライアント・コンピュータ１２０のユーザは、別のクライアント要求、例えば、ウェブサイトのＵＲＬをクライアント・コンピュータ入力ユニット１２２を用いて入力する。ステップ５８０で、ブラウザ・アプリケーション４１０は、対応するクライアント要求をプロキシ・アプリケーション４２０に送る。この例では、ステップ５８０で送られるクライアント要求は、所定の一連のクライアント要求に属するあるいは対応すると仮定する。一例として、ステップ５８０で送られるクライアント要求は、所定の一連のＵＲＬに属するＵＲＬに対するＨＴＴＰ取得要求であってもよい。これは、例えば、ユーザが利用する銀行のウェブサイトのＵＲＬであってもよい。ステップ５９０で、プロキシ・アプリケーション４２０は、クライアント要求を所定の一連の要求について解析し、ステップ５８０で送られるクライアント要求が所定の一連のクライアント要求に属するか対応することを検出する。その結果、プロキシ・アプリケーション４２０は、機密保護動作モードに切り換えて、ステップ５９５で、機密保護モード有効信号をハードウェア装置１３０に送ることによって、ハードウェア装置１３０で機密保護動作モードを起動する。機密保護モード有効信号は、例えば、ハードウェア装置１３０に理解される「機密保護モード起動」コマンドとして実施することもできる。機密保護モード有効信号は、ブラウザ・アプリケーション４１０とサーバ・コンピュータ１１０との間の以降の通信に対して機密保護動作モードを開始するべきであることをハードウェア装置１３０に示す。

図６、図７および図８を参照して、機密保護動作モードのメッセージの流れが示される。

ステップ５９５で機密保護動作モードを受信した後で、ハードウェア装置１３０は、ステップ６０５で、確定要求メッセージ（ＣＲＭ：ｃｏｎｆｉｒｍａｔｉｏｎ ｒｅｑｕｅｓｔ ｍｅｓｓａｇｅ）をプロキシ・アプリケーション４２０を介してブラウザ・アプリケーション４１０へ送る。次に、ステップ６１０で、ブラウザ・アプリケーション４１０は、確定要求メッセージをクライアント・コンピュータ・ディスプレイ１２１上でユーザに表示する。確定要求メッセージは、ユーザに対して機密保護動作モードが実施されることを確定するように求める。これは、例えば以下のように書くこともできる。「ご希望のウェブサイトには、機密保護動作モードの初期化が必要です。お客様のハードウェア装置の確定ボタンを押して同意したことを確認してください。」。ステップ６１５で、特に、「機密保護モードを確定しますか？」などの短い形態の対応するメッセージが、ハードウェア装置１３０のハードウェア装置ディスプレイ２１０上に表示される。ユーザの確定応答は、ステップ６２０でハードウェア装置入力ユニット２８０を介して受信することができる。

ステップ６２０でユーザが確定すると、ハードウェア装置１３０は、ステップ６２５で、ハロー・メッセージをプロキシ・アプリケーション４２０および通信ネットワーク１６０を介してサーバ・コンピュータ１１０へ送る。ステップ６３０で、サーバ・コンピュータ１１０は、ハロー・メッセージを通信ネットワーク１６０およびプロキシ・アプリケーション４２０を介してハードウェア装置１３０へ送り返す。ステップ６３５で、サーバ・コンピュータ１１０は、ハードウェア装置１３０に対してそれ自体を認証する。この認証は、サーバ証明書（公開鍵証明書）をハードウェア装置１３０へ送ることを含んでもよい。さらに、クライアント証明書を求める証明書要求を含んでもよい。ステップ６４０で、クライアント・コンピュータ１２０は、サーバ・コンピュータ１１０に対してそれ自体を認証する。この認証は、クライアント証明書（公開鍵証明書）をサーバ・コンピュータ１１０へ送ることを含んでもよい。要約すれば、サーバ・コンピュータ１１０およびハードウェア装置１３０は、ステップ６３５およびステップ６４０で、相互認証を実施する。

ステップ６４５およびステップ６５０で、サーバ・コンピュータ１１０およびハードウェア装置１３０は、セッション鍵とも称される対称暗号鍵ＳＫを交換する。

ステップ６２５〜ステップ６５０は、例えば、ＳＳＬ／ＴＬＳハンドシェイク・プロトコルを用いて実施されてもよい。

以下では、ハードウェア装置１３０とサーバ・コンピュータ１１０との間のデータ送信は、セッション鍵ＳＫを用いて暗号化された方法で実施される。これは、例えば、ＳＳＬ／ＴＬＳレコード・プロトコルを用いて実施することができる。

ステップ６５５で、サーバ・コンピュータ１１０は、ユーザ認証応答をハードウェア装置１３０へ送る。このユーザ認証応答は、例えば、ユーザが自分の名前およびパスワードを入力するべきユーザ・フィールドおよびパスワード・フィールドを有するＨＴＭＬ形態を含むこともできる。

ユーザ認証応答は、ステップ６５７で、ハードウェア装置１３０によって復号された後、ステップ６６０でプロキシ・アプリケーション４２０を介してブラウザ・アプリケーション４１０へ転送される。ステップ６６２で、ユーザ認証応答は、クライアント・コンピュータ・ディスプレイ１２１上に表示される。ステップ６６５で、ユーザは、自分の個人認証データ、例えば、自分のユーザ名およびパスワードをクライアント・コンピュータ入力ユニット１２２を用いて対応するＨＴＭＬ形態に入力する。次いで、ステップ６７０で、ブラウザ・アプリケーション４１０は、ユーザの認証データを含むＨＴＴＰポスト要求をハードウェア装置１３０へ送る。ステップ６７５で、ハードウェア装置１３０は、ＨＴＴＰポスト要求を所定の取引情報について解析する。この例では、ユーザ認証の情報を含むＨＴＴＰポスト要求は、所定の取引情報ではないと仮定する。したがって、ステップ６７７で、ＨＴＴＰポスト要求は、対称セッション鍵ＳＫを用いて暗号化され、ステップ６８０でサーバ・コンピュータ１１０へ送られる。サーバ・コンピュータ１１０は、対称セッション鍵ＳＫを用いてＨＴＴＰポスト要求を復号し、ユーザ認証データが有効な場合に、ステップ６９５でユーザを認証する。有効でない場合には、サーバ・コンピュータ１１０は、その取引を取り消してもよい。

ステップ６５５からステップ６９５は、ハードウェア装置１３０が盗まれたり失われたりする場合のセキュリティを強化するために実施されてもよいサーバ・コンピュータ１１０による追加のユーザ認証について示す。別の例示的な実施形態によれば、ステップ６５５からステップ６９５を参照して説明される追加のユーザ認証は、ハードウェア装置１３０によって実施されるユーザ認証に置き換えられる。

図７を参照すると、ユーザ認証後の機密保護動作モードにおけるメッセージの流れを説明する図が続く。

ステップ７０５で、サーバ・コンピュータ１１０は、サーバ応答として取引応答をプロキシ・アプリケーション４２０を介してハードウェア装置１３０へ送る。この取引応答は、例えば、以前のステップで認証されたユーザの銀行口座を有するＨＴＭＬファイルを含むこともできる。ステップ７１０で、ハードウェア装置１３０は、対称セッション鍵ＳＫを用いてサーバ応答を復号する。ステップ７１５では、ハードウェア装置１３０は、サーバ応答を所定の取引情報について解析してもよい。この例では、ステップ７０５で受信されるサーバ応答は、所定の取引情報を含まないと仮定する。次いで、ステップ７２０で、復号されたサーバ応答は、プロキシ・アプリケーション４２０を介してハードウェア装置１３０からブラウザ・アプリケーション４１０へ送られる。ステップ７２５で、ブラウザ・アプリケーション４１０は、クライアント・コンピュータ１２０のクライアント・コンピュータ・ディスプレイ１２１上にサーバ応答を表示する。

別の例によれば、点線で示されるように、ステップ７０５で受信されるサーバ応答は、所定の取引情報を含むと仮定する。次いで、ハードウェア装置１３０は、解析ステップ７１５で、サーバ応答が所定の取引情報を含むことを検出する。したがって、ハードウェア装置１３０は、ステップ７１７で、サーバ応答の所定の取引情報をハードウェア装置ディスプレイ２１０上に表示する。ステップ７１８で、ユーザがハードウェア装置ディスプレイ２１０上に表示されるサーバ応答の取引情報をハードウェア装置入力ユニット２８０を用いて確定する場合、本方法は、ステップ７２０から継続される。ユーザがサーバ応答の取引情報を確定しない場合には、ハードウェア装置１３０は、その取引を取り消す。

ステップ７３０で、ユーザは、所定の取引情報を含まないクライアント要求を入力する。この要求は、例えば、ユーザの銀行口座の特定データを取得するための、銀行口座のさらに詳細を示すための、または計画される電子取引、例えば、送金の初期チェックを実施するためのクライアント要求であってもよい。ステップ７３５で、ブラウザ・アプリケーション４１０は、クライアント要求をプロキシ・アプリケーション４２０を介してハードウェア装置１３０へ送る。ステップ７４０で、ハードウェア装置１３０は、受信されるクライアント要求を所定の取引情報について解析し、所定の取引情報を含まないクライアント要求を検出する。次いで、ステップ７４５で、ハードウェア装置１３０は、対称セッション鍵ＳＫを用いてクライアント要求を暗号化し、ステップ７５０で、暗号化されたクライアント要求をプロキシ・アプリケーション４２０へ送る。プロキシ・アプリケーション４２０は、ステップ７５０で、暗号化されえたクライアント要求を通信ネットワーク１６０を介してサーバ・コンピュータ１１０へ転送する。ステップ７５５で、サーバ・コンピュータ１１０は、対称セッション鍵ＳＫを用いて受信される暗号化されたクライアント要求を復号し、復号されたクライアント要求を処理する。

ステップ７６０で、サーバ・コンピュータ１１０は、受信されるクライアント要求に関するサーバ応答をプロキシ・アプリケーション４２０を介してハードウェア装置１３０へ送り返す。ステップ７６５で、ハードウェア装置１３０は、対称セッション鍵ＳＫを用いてサーバ応答を復号する。ステップ７７０で、ハードウェア装置１３０は、サーバ応答を所定の取引情報について解析してもよい。この例では、ステップ７６０で受信されるサーバ応答は、所定の取引情報を含まないと仮定する。したがって、ステップ７７５で、復号されたサーバ応答は、プロキシ・アプリケーション４２０を介してハードウェア装置１３０からブラウザ・アプリケーション４１０へ送られ、ステップ７８０で、ブラウザ・アプリケーション４１０は、クライアント・コンピュータ１２０のクライアント・コンピュータ・ディスプレイ１２１上にサーバ応答を表示する。

図８は、所定の取引情報を含むクライアント要求に関する機密保護動作モードのメッセージの流れを示す。

ステップ８０５で、ユーザは、所定の取引情報を含むクライアント要求を入力する。所定の取引情報は、例えば、電子取引を実施する最終注文であってもよい。この最終注文は、例えば、送金金額などの支払い明細を有する送金注文であってもよい。所定の取引情報は、例えば、クライアント・コンピュータ入力ユニット１２２を用いて対応するＨＴＭＬ形態にユーザによって入力されてもよい。ステップ８１０で、ブラウザ・アプリケーション４１０は、所定の取引情報を含むクライアント要求をプロキシ・アプリケーション４２０を介してハードウェア装置１３０に送る。この要求は、例えば、ＨＴＴＰポスト要求とすることもできる。ステップ８１５で、ハードウェア装置１３０は、受信されるクライアント要求を所定の取引情報について解析し、クライアント要求が所定の取引情報、例えば、前述の送金の最終支払い明細などを含むことを検出する。次いで、ステップ８２０で、ハードウェア装置１３０は、確定要求メッセージ（ＣＲＭ）をプロキシ・アプリケーション４２０を介してブラウザ・アプリケーション４１０へ送る。ブラウザ・アプリケーション４１０は、ステップ８２５で、確定要求メッセージをクライアント・コンピュータ１２０のクライアント・コンピュータ・ディスプレイ１２１上に表示する。確定要求メッセージは、ハードウェア装置１３０が所定の取引情報を検出したところであり、ユーザがその取引情報が正しいことをハードウェア装置１３０のハードウェア装置ディスプレイ２１０上でチェックして確定するべきであることをユーザに示す。確定要求メッセージは、例えば、以下のように書くこともできる。「お客様のセキュリティ・トークンのディスプレイ上の送金金額をチェックしてください。送金金額が正しければ、セキュリティ・トークンの確定ボタンを押して取引を確定してください。」

ステップ８３０で、ハードウェア装置１３０は、ハードウェア装置ディスプレイ２１０上に、所定の取引情報（ＰＴＩ：ｐｒｅｄｅｆｉｎｅｄ ｔｒａｎｓａｃｔｉｏｎ ｉｎｆｏｒｍａｔｉｏｎ）、例えば、送金金額および送金先口座などを表示する。さらに、ハードウェア装置ディスプレイ２１０上に何らかの確定メッセージを表示することもできる。ハードウェア装置ディスプレイ２１０は、やや小さいこともあるので、このような確定メッセージは、「金額Ｘの口座Ｙへの送金を確定してください。」のようにある程度短いほうが好ましい。その後、ユーザは、ハードウェア装置ディスプレイ２１０上でその取引情報が正しいかどうかをチェックすることができる。さらに、ユーザは、ハードウェア装置ディスプレイ２１０上に表示される取引情報をクライアント・コンピュータ・ディスプレイ１２１上に表示される取引情報と比較することができる。確定ステップ８３５で、ユーザが、ハードウェア装置入力ユニット２８０の確定ボタンを押すことによって、ハードウェア装置ディスプレイ２１０上に表示される取引情報が正しいことを確認すれば、取引は継続される。次いで、ステップ８４０で、ハードウェア装置１３０は、取引情報を含むクライアント要求を対称セッション鍵ＳＫを用いて暗号化し、ステップ８４５で、暗号化されたクライアント要求をプロキシ・アプリケーション４２０へ送る。プロキシ・アプリケーション４２０は、暗号化されたクライアント要求を通信ネットワーク１６０を介してサーバ・コンピュータ１１０へ転送する。サーバ・コンピュータ１１０は、ステップ８５０で、受信される暗号化されたクライアント要求を対称セッション鍵ＳＫによって復号する。次いで、ステップ８５５で、サーバ・コンピュータ１１０は、取引を実施する。送金の例では、サーバ・コンピュータ１１０は、ステップ８５５で、送金先口座に送金することになる。

ハードウェア装置ディスプレイ２１０上に表示される取引情報は正しいものであるとユーザが確定しない場合には、本方法は、ステップ８７０から継続される。この部分は点線で示される。ユーザによって能動的に、例えば、ハードウェア装置入力ユニット２８０の取り消しボタンを押すことによって、あるいは、受動的に、例えば、ハードウェア装置１３０が所定のタイムアウト期間内に確定を受信しない場合に、取引を確定しないようにしてもよい。次いで、ステップ８７５で、ハードウェア装置１３０は、その取引を取り消して、その取引情報をサーバ・コンピュータ１１０へ転送しないようにする。さらに、ステップ８８０で、ハードウェア装置１３０は、取り消しメッセージ（ＣＭ：ｃａｎｃｅｌｌａｔｉｏｎ ｍｅｓｓａｇｅ）をプロキシ・アプリケーション４２０を介してブラウザ・アプリケーション４１０へ送ってもよい。ブラウザ・アプリケーション４１０は、ステップ８８５で、クライアント・コンピュータ１２０のクライアント・コンピュータ・ディスプレイ１２１上に取り消しメッセージを表示する。取り消しメッセージは、ハードウェア装置１３０が取引を取り消したことをユーザに示す。取り消しメッセージは、例えば、以下のように書くこともできる。「確定されないので、この取引は取り消されました。お客様のＰＣのキーボードから入力した取引情報とお客様のセキュリティ・トークンのディスプレイ上に表示される取引情報とが一致しないことに気づいた場合には、お客様のＰＣは不正なソフトウェアによって危害を受けているかも知れません。」。さらに、取り消しメッセージは、ステップ８９０で、ハードウェア装置ディスプレイ２１０上にも表示することもできる。

開示されるどの実施形態も、図示または説明あるいはその両方がされる他の実施形態の１つまたは幾つかと組み合わせることもできる。これは、実施形態の１つ以上の特徴についても可能である。

追加の実施形態についての詳細
前述の技術は、ソフトウェア、ファームウェア、マイクロコード、ハードウェアまたはその任意の組み合わせあるいはその全部を含む方法、装置または製造品として実施されてもよい。本明細で使用される用語の「製造品」は、媒体で実施されるコードまたはロジックを指し、この媒体は、ハードウェア・ロジック［例えば、集積回路チップ、プログラマブル・ゲート・アレイ（ＰＧＡ：Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、特定用途向け集積回路（ＡＳＩＣ：Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）など］、または、磁気記憶媒体（例えば、ハード・ディスク・ドライブ、フレキシブル・ディスク、テープなど）、光学式記憶（ＣＤ−ＲＯＭ、光ディスクなど）、揮発性および不揮発性メモリ・デバイス［電気的消去可能プログラマブル読み出し専用メモリ（ＥＥＰＲＯＭ：Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、読み出し専用メモリ（ＲＯＭ：Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、プログラマブル読み出し専用メモリ（ＰＲＯＭ：Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ランダム・アクセス・メモリ（ＲＡＭ：Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ダイナミック・ランダム・アクセス・メモリ（ＤＲＡＭ：Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、フラッシュ、ファームウェア、プログラマブル・ロジックなど］などのコンピュータ可読媒体を含んでもよい。コンピュータ可読媒体内のコードは、プロセッサによってアクセスされて実行される。コードまたはロジックが符号化されている媒体は、空間または光ファイバ、銅線などの伝送媒体を介して伝播する伝送信号をさらに含んでもよい。コードまたはロジックが符号化されている伝送信号は、無線信号、衛星伝送、電波、赤外線信号、Ｂｌｕｅｔｏｏｔｈ（Ｒ）などをさらに含んでもよい。コードまたはロジックが符号化されている伝送信号は、送信所によって送信することおよび受信所によって受信することが可能であり、伝送信号で符号化されるコードまたはロジックは復号されて、送受信所または送受信装置のハードウェアまたはコンピュータ可読媒体に格納されてもよい。さらに、「製造品」は、コードが具体化、処置および実行されるハードウェア・コンポーネントとソフトウェア・コンポーネントとの組み合わせを含んでもよい。当然のことながら、当業者であれば、実施形態の範囲から逸脱することなしに多くの改変が成されてもよく、製造品は、任意の情報担持媒体を含んでもよいことを認識するであろう。例えば、製造品は、マシンによって実行されるとオペレーションが行われる命令を内部に格納した記憶媒体を含む。

特定の実施形態は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態またはハードウェア要素とソフトウェア要素との両方を含む実施形態の形態をとることができる。特定の実施形態では、本発明は、これに限定されないが、ファームウェア、常駐ソフトウェア、マイクロコードなどを含むソフトウェアに実施される。

さらに、特定の実施形態は、コンピュータまたは任意の命令実行システムによってあるいはこれらに関連して使用されるプログラム・コードを提供するコンピュータ使用可能またはコンピュータ可読媒体からアクセス可能なコンピュータ・プログラム製品の形態をとることができる。この説明のために、コンピュータ使用可能またはコンピュータ可読媒体は、命令実行システム、装置またはデバイスによってあるいはこれらに関連して使用されるプログラムを含有、格納、伝達、伝播または搬送することができる任意の装置とすることができる。媒体は、電子、磁気、光、電磁気、赤外線もしくは半導体システム（または装置またはデバイス）あるいは伝播媒体とすることができる。コンピュータ可読媒体の例としては、半導体またはソリッド・ステート・メモリ、磁気テープ、着脱可能コンピュータ・ディスケット、ランダム・アクセス・メモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、硬質磁気ディスクおよび光ディスクが挙げられる。光ディスクの現在の例としては、コンパクト・ディスク読み出し専用メモリ（ＣＤ−ＲＯＭ）、コンパクト・ディスク読み出し／書き込み（ＣＤ−Ｒ／Ｗ）およびＤＶＤが挙げられる。

用語の「特定の実施形態（ｃｅｒｔａｉｎ ｅｍｂｏｄｉｍｅｎｔ）」、「１つの実施形態（ａｎ ｅｍｂｏｄｉｍｅｎｔ）」、「実施形態（単数）（ｅｍｂｏｄｉｍｅｎｔ）」「実施形態（複数）（ｅｍｂｏｄｉｍｅｎｔｓ）」、「前記実施形態（単数）（ｔｈｅ ｅｍｂｏｄｉｍｅｎｔ）」、「前記実施形態（複数）（ｔｈｅ ｅｍｂｏｄｉｍｅｎｔｓ）」、「１つ以上の実施形態（ｏｎｅ ｏｒ ｍｏｒｅ ｅｍｂｏｄｉｍｅｎｔｓ）」、「幾つかの実施形態（ｓｏｍｅ ｅｍｂｏｄｉｍｅｎｔｓ）」、「１つの実施形態（ｏｎｅ ｅｍｂｏｄｉｍｅｎｔ）」は、明示的に別段の規定がない限り、１つ以上の（しかしすべてとは限らない）実施形態を意味する。用語の「を含む（ｉｎｃｌｕｄｉｎｇ）」、「を含む（ｃｏｍｐｒｉｓｉｎｇ）」、「を有する（ｈａｖｉｎｇ）」およびその変化形は、明示的に別段の規定がない限り、「を含むが、これに限定されない」を意味する。項目の列挙されるリストは、明示的に別段の規定がない限り、項目の一部または全部が相互に排他的であることを意味するものではない。用語の「１つの（ａ）」、「１つの（ａｎ）」および「前記（ｔｈｅ）」は、明示的に別段の規定がない限り、「１つ以上の」を意味する。

互いに通信している装置は、明示的に別段の規定がない限り、互いに継続的に通信している必要はない。さらに、互いに通信している装置は、１つ以上の中間物を介して直接的または間接的に通信してもよい。さらに、互いに通信している幾つかのコンポーネントを有する実施形態についての説明は、これらのコンポーネントがすべて必要とされることを意味するものではない。一方、幅広い種類の可能な実施形態を説明するために、様々な任意のコンポーネントが説明される。さらに、プロセス・ステップ、方法ステップ、アルゴリズムなどは順番に説明されてもよいが、このプロセス、方法およびアルゴリズムは別の順序で動作するように構成されてもよい。言い換えれば、説明されるステップのどのシーケンスまたは順序もそのステップがその順序で実施されるという要件を必ずしも示すとは限らない。本明細書で説明されるプロセスのステップは、実際には任意の順序で実施されてもよい。さらに、幾つかのステップは、同時に並列にまたは一斉に実施されてもよい。

本明細書で単一のデバイスまたは製品が説明される場合、単一の装置／製品の代わりに、２つ以上の装置／製品（協働するか否かにかかわらず）が使用されてもよいことは明白である。同様に、本明細書で２つ以上の装置または製品（協働するか否かにかかわらず）が説明される場合、２つ以上の装置または製品の代わりに、単一の装置／製品が使用されてもよいことは明白である。装置の機能または特徴あるいはその両方は、このような機能／特徴を有するものとして明確には説明されていない他の１つ以上の装置によって選択的に具体化されてもよい。したがって、他の実施形態は、その装置自体を含む必要はない。

本文脈におけるコンピュータ・プログラム手段またはコンピュータ・プログラムは、情報処理能力を有するシステムに、直接に、あるいは、ａ）別の言語、符号または記号と、ｂ）異なる物質形式での再生とのどちらか一方または両方を実行した後で特定の機能を実行させることが意図される一連の命令の任意の言語、符号または記号での任意の表現を意味する。

Claims (29)

1. サーバ・コンピュータ（１１０）とクライアント・コンピュータ（１２０）との間で電子取引を実施する方法であって、
   −通信ネットワーク（１６０）を介して前記サーバ・コンピュータ（１１０）と前記ハードウェア装置（１３０）との間で暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行するステップと、
   −前記ハードウェア装置（１３０）で前記サーバ・コンピュータ（１１０）から受信される暗号化されたサーバ応答の復号を実施するステップと、
   −前記復号されたサーバ応答を前記ハードウェア装置（１３０）から前記クライアント・コンピュータ（１２０）へ転送するステップと、
   −前記復号されたサーバ応答を前記クライアント・コンピュータ（１２０）のクライアント・コンピュータ・ディスプレイ（１２１）上に表示するステップと、
   −前記クライアント・コンピュータ（１２０）から前記サーバ・コンピュータ（１１０）に送られるクライアント要求を前記ハードウェア装置（１３０）によって受信するステップと、
   −前記クライアント要求を所定の取引情報について前記ハードウェア装置（１３０）によって解析するステップと、
   −所定の取引情報を何も含まないクライアント要求を前記ハードウェア装置（１３０）によって暗号化して前記サーバ・コンピュータ（１１０）へ転送するステップと、
   −クライアント要求を検出すると前記所定の取引情報を前記ハードウェア装置（１３０）のハードウェア装置ディスプレイ（２１０）上に表示するステップと、
   −ユーザ確定が受信される場合に、前記所定の取引情報を含む前記クライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送するステップと、
   −ユーザ確定が受信されない場合に、前記電子取引を取り消すステップと、
   を含む方法。
2. −前記クライアント・コンピュータ（１２０）のブラウザ・アプリケーション（４１０）と前記サーバ・コンピュータ（１１０）との間で第２の通信プロトコルを通常動作モードで実行するステップと、
   −前記サーバ・コンピュータ（１１０）と前記ハードウェア装置（１３０）との間で前記第１の通信プロトコルを機密保護動作モードで実行するステップと、
   −プロキシ・アプリケーション（４２０）を介して前記ブラウザ・アプリケーション（４１０）から前記ハードウェア装置（１３０）に、さらに前記プロキシ・アプリケーション（４２０）を介して前記ハードウェア装置（１３０）から前記サーバ・コンピュータ（１１０）に、クライアント要求を前記機密保護動作モードでルートするステップと、
   −前記プロキシ・アプリケーション（４２０）を介して前記サーバ・コンピュータ（１１０）から前記ハードウェア装置（１３０）に、さらに前記プロキシ・アプリケーション（４２０）を介して前記ハードウェア装置（１３０）から前記ブラウザ・アプリケーション（４１０）に、サーバ応答を前記機密保護動作モードでルートするステップと、
   をさらに含む、請求項１に記載の方法。
3. −前記クライアント・コンピュータ（１２０）の前記ブラウザ・アプリケーション（４１０）と前記サーバ・コンピュータ（１１０）との間で前記クライアント・コンピュータ（１２０）の前記プロキシ・アプリケーション（４２０）を介して前記第２の通信プロトコルを前記通常動作モードで実行するステップと、
   −クライアント要求を所定の一連のクライアント要求について前記プロキシ・アプリケーション（４２０）によって解析するステップと、
   −所定のクライアント要求を検出すると、前記プロキシ・アプリケーション（４２０）によって前記機密保護動作モードを起動するステップと、
   をさらに含む、請求項２に記載の方法。
4. 前記復号されたサーバ応答を前記ハードウェア装置（１３０）から前記クライアント・コンピュータ（１２０）へ転送する前に、
   −前記サーバ応答を所定の取引情報について前記ハードウェア装置（１３０）によって解析するステップと、
   −何も所定の取引情報を含まないサーバ応答を前記クライアント・コンピュータ（１２０）へ前記ハードウェア装置（１３０）によって転送するステップと、
   −サーバ応答を検出すると前記所定の取引情報を前記ハードウェア装置（１３０）のハードウェア装置ディスプレイ（２１０）上に表示するステップと、
   −ユーザ確定が受信される場合に、前記所定の取引情報を含む前記サーバ応答を前記クライアント・コンピュータ（１２０）へ転送するステップと、
   −ユーザ確定が受信されない場合に、前記電子取引を取り消すステップと、
   をさらに含む、請求項１〜３のいずれか１項に記載の方法。
5. 前記第１の通信プロトコルが、セキュア・ソケット・レイヤ（ＳＳＬ）規格またはトランスポート・レイヤ・セキュリティ（ＴＬＳ）規格に従うプロトコルと、トランスミッション・コントロール・プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）規格に従うプロトコルとを含むネットワーク層を含む、請求項１〜４のいずれか１項に記載の方法。
6. 前記第１の通信プロトコルが、ハイパ・テキスト転送プロトコル（ＨＴＴＰ）を含むアプリケーション層を含む、請求項１〜５のいずれか１項に記載の方法。
7. 前記第２の通信プロトコルが、トランスミッション・コントロール・プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）を含むネットワーク層と、ハイパ・テキスト転送プロトコル（ＨＴＴＰ）を含むアプリケーション層とを含む、請求項１〜６のいずれか１項に記載の方法。
8. −前記サーバ・コンピュータ（１１０）によって、ユーザ認証を実施するステップ、
   をさらに含む、請求項１〜７のいずれか１項に記載の方法。
9. −前記ハードウェア装置（１３０）によってユーザ認証を実施するステップ、
   をさらに含む、請求項１〜８のいずれか１項に記載の方法。
10. 電子取引を実施するシステム（１００）であって、
    −サーバ・コンピュータ（１１０）と、
    −クライアント・コンピュータ・ディスプレイ（１２１）およびクライアント・コンピュータ入力ユニット（１２２）を含むクライアント・コンピュータ（１２０）と、
    −ハードウェア装置ディスプレイ（２１０）を含むハードウェア装置（１３０）と、
    −前記ハードウェア装置（１３０）と前記サーバ・コンピュータ（１１０）との間の通信ネットワーク（１６０）と、
    を含み、
    −前記サーバ・コンピュータ（１１０）と前記ハードウェア装置（１３０）との間で暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
    −前記ハードウェア装置（１３０）で前記サーバ・コンピュータ（１１０）から受信される暗号化されたサーバ応答の復号を実施し、
    −前記ハードウェア装置（１３０）から前記クライアント・コンピュータ（１２０）へ前記復号されたサーバ応答を転送し、
    −前記クライアント・コンピュータ・ディスプレイ（１２１）上に前記復号されたサーバ応答を提示し、
    −前記クライアント・コンピュータ（１２０）から前記サーバ・コンピュータ（１１０）に送られるクライアント要求を前記ハードウェア装置（１３０）によって受信し、
    −前記クライアント要求を所定の取引情報について前記ハードウェア装置（１３０）によって解析し、
    −所定の取引情報を何も含まないクライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送し、
    −クライアント要求を検出すると前記所定の取引情報を前記ハードウェア装置ディスプレイ（２１０）上に表示し、
    −ユーザ確定が受信される場合に、前記所定の取引情報を含む前記クライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送し、
    −ユーザ確定が受信されない場合に、前記電子取引を取り消す、
    ように適合されるシステム（１００）。
11. ハードウェア装置（１３０）を用いてサーバ・コンピュータ（１１０）とクライアント・コンピュータ（１２０）との間の電子取引を制御する方法であって、前記ハードウェア装置（１３０）内に、
    −前記サーバ・コンピュータ（１１０）との暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行するステップと、
    −前記サーバ・コンピュータ（１１０）から受信される暗号化されたサーバ応答の復号を実施するステップと、
    −前記復号されたサーバ応答を前記クライアント・コンピュータ（１２０）へ転送するステップと、
    −前記サーバ・コンピュータ（１１０）に送られるクライアント要求を前記クライアント・コンピュータ（１２０）から受信するステップと、
    −前記クライアント要求を所定の取引情報について解析するステップと、
    −何も所定の取引情報を含まないクライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送するステップと、
    −クライアント要求を検出すると前記所定の取引情報をユーザに提示するステップと、
    −ユーザ確定が受信される場合に、前記所定の取引情報を含む前記クライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送するステップと、
    を含む方法。
12. 電子取引を制御するハードウェア装置（１３０）であって、ハードウェア装置ディスプレイ（２１０）と、前記ハードウェア装置（１３０）をクライアント・コンピュータ（１２０）に接続するために提供されるハードウェア装置インタフェース・ユニット（２７０）とを含み、
    −サーバ・コンピュータ（１１０）との暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
    −前記サーバ・コンピュータ（１１０）から受信される暗号化されたサーバ応答の復号を実施し、
    −前記復号されたサーバ応答を前記クライアント・コンピュータ（１２０）へ転送し、
    −前記クライアント・コンピュータ（１２０）から前記サーバ・コンピュータ（１１０）に送られるクライアント要求を受信し、
    −前記クライアント要求を所定の取引情報について解析し、
    −何も所定の取引情報を含まないクライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送し、
    −クライアント要求を検出すると前記所定の取引情報を前記ハードウェア装置ディスプレイ（２１０）上に表示し、
    −ユーザ確定が受信される場合に、前記所定の取引情報を含む前記クライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送する、
    ように適合されるハードウェア装置（１３０）。
13. 前記ハードウェア装置（１３０）が、セキュリティ高感度データを格納するセキュリティ・トークン（３１０）を含む、請求項１２に記載のハードウェア装置（１３０）。
14. 前記ハードウェア装置（１３０）が、セキュリティ高感度データをスマート・カード（２６０）から読み出すスマート・カード読み取り機（２５０）を含む、請求項１２に記載のハードウェア装置（１３０）。
15. 前記ハードウェア装置（１３０）が、所定レベルの耐タンパ性を有する、請求項１２〜１４のいずれか１項に記載のハードウェア装置（１３０）。
16. 前記ハードウェア装置（１３０）の前記耐タンパ性の所定レベルが、前記クライアント・コンピュータ（１２０）の前記耐タンパ性レベルよりも高い、請求項１５に記載のハードウェア装置（１３０）。
17. 前記ハードウェア装置（１３０）が、ソフトウェア・アプリケーションを前記ハードウェア装置（１３０）にロードすることができないように設計される、請求項１２〜１６のいずれか１項に記載のハードウェア装置（１３０）。
18. 前記セキュリティ高感度データが、秘密鍵と、信頼されるルート情報とを含む、請求項１３〜１７のいずれか１項に記載のハードウェア装置（１３０）。
19. 前記ハードウェア装置（１３０）が、取引を確定するまたは取り消すあるいはその両方のためのハードウェア装置入力ユニット（２８０）を含む、請求項１２〜１８のいずれか１項に記載のハードウェア装置（１３０）。
20. 電子取引を制御するハードウェア装置（１３０）であって、ユーザに情報を提示する提示手段（２１０）と、前記ハードウェア装置（１３０）をクライアント・コンピュータ（１２０）に接続するために提供されるハードウェア装置インタフェース・ユニット（２７０）とを含み、
    −サーバ・コンピュータ（１１０）との暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
    −前記サーバ・コンピュータ（１１０）から受信される暗号化されたサーバ応答の復号を実施し、
    −前記復号されたサーバ応答を前記クライアント・コンピュータ（１２０）へ転送し、
    −前記クライアント・コンピュータ（１２０）から前記サーバ・コンピュータ（１１０）に送られるクライアント要求を受信し、
    −前記クライアント要求を所定の取引情報について解析し、
    −何も所定の取引情報を含まないクライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送し、
    −クライアント要求を検出すると前記所定の取引情報を前記提示手段（２１０）によって提示し、
    −ユーザ確定が受信される場合に、前記所定の取引情報を含む前記クライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送する、
    ように適合されるハードウェア装置（１３０）。
21. 第１のインタフェース（１５６）を介して通信ネットワーク（１６０）と、第２のインタフェース（１５５）を介してハードウェア装置（１３０）に接続可能なクライアント・コンピュータ（１２０）であって、
    −前記通信ネットワーク（１６０）を閲覧するためのブラウザ・アプリケーション（４１０）と、プロキシ・アプリケーション（４２０）と、
    を含み、前記プロキシ・アプリケーション（４２０）が、
    −クライアント要求を前記ブラウザ・アプリケーション（４１０）から前記ハードウェア装置（１３０）へ、さらに前記通信ネットワーク（１６０）を介して前記ハードウェア装置（１３０）からサーバ・コンピュータ（１１０）へ機密保護動作モードで転送し、
    −前記サーバ・コンピュータ（１１０）から受信されるサーバ応答を前記ハードウェア装置（１３０）へ、さらに前記ハードウェア装置（１３０）から前記ブラウザ・アプリケーション（４１０）へ前記機密保護動作モードで転送する、
    ように適合され、前記クライアント・コンピュータ（１２０）が、前記ハードウェア装置（１３０）および前記通信ネットワーク（１６０）を介して前記サーバ・コンピュータ（１１０）と電子取引を前記機密保護動作モードで実施するように適合されるクライアント・コンピュータ（１２０）。
22. 前記プロキシ・アプリケーション（４２０）が、
    −前記クライアント・コンピュータ（１２０）の前記ブラウザ・アプリケーション（４１０）から受信されるクライアント要求を、前記サーバ・コンピュータ（１１０）へ通常動作モードで転送し、
    −前記サーバ・コンピュータ（１１０）から受信されるサーバ応答を前記クライアント・コンピュータ（１２０）の前記ブラウザ・アプリケーション（４１０）へ通常動作モードで転送し、
    −前記クライアント要求を所定の一連のクライアント要求について解析し、
    −所定のクライアント要求を検出すると前記機密保護動作モードを起動する、
    ように適合される、請求項２１に記載のクライアント・コンピュータ（１２０）。
23. 前記機密保護モードが、前記プロキシ・アプリケーション（４２０）から前記ハードウェア装置（１３０）へ機密保護モード有効信号を送ることによって起動される、請求項２２に記載のクライアント・コンピュータ（１２０）。
24. コンピュータ・プログラム（４２０）であって、クライアント・コンピュータ（１２０）上で実行される場合に、
    −前記クライアント・コンピュータ（１２０）のブラウザ・アプリケーション（４１０）から受信されるクライアント要求をハードウェア装置（１３０）へ、さらに前記ハードウェア装置（１３０）から通信ネットワーク（１６０）を介してサーバ・コンピュータ（１１０）へ機密保護動作モードで転送するステップと、
    −前記サーバ・コンピュータ（１１０）から受信されるサーバ応答を前記ハードウェア装置（１３０）へ、さらに前記ハードウェア装置（１３０）から前記ブラウザ・アプリケーション（４１０）へ前記機密保護動作モードで転送するステップと、
    を実行する命令を含むコンピュータ・プログラム（４２０）。
25. 前記コンピュータ・プログラム（４２０）が、前記クライアント・コンピュータ（１２０）上で実行される場合に、
    −前記クライアント・コンピュータ（１２０）の前記ブラウザ・アプリケーション（４１０）から受信されるクライアント要求を前記通信ネットワーク（１６０）を介して前記サーバ・コンピュータ（１１０）へ通常動作モードで転送するステップと、
    −前記サーバ・コンピュータ（１１０）から受信されるサーバ応答を前記クライアント・コンピュータ（１２０）の前記ブラウザ・アプリケーション（４１０）へ前記通常動作モードで転送するステップと、
    −前記クライアント要求を所定の一連のクライアント要求について解析するステップと、
    −所定のクライアント要求を検出すると前記機密保護モードを起動するステップと、
    を実行する命令をさらに含む、請求項２４に記載のコンピュータ・プログラム（４２０）。
26. ハードウェア装置（１３０）を用いてサーバ・コンピュータ（１１０）とクライアント・コンピュータ（１２０）との間の電子取引を制御する方法であって、前記ハードウェア装置（１３０）内に、
    −前記サーバ・コンピュータ（１１０）との暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行するステップと、
    −前記サーバ・コンピュータ（１１０）から受信される暗号化されたサーバ応答の復号を実施するステップと、
    −前記サーバ応答を所定の取引情報について解析するステップと、
    −何も所定の取引情報を含まないサーバ応答を前記クライアント・コンピュータ（１２０）へ転送するステップと、
    −サーバ応答を検出すると前記所定の取引情報をユーザに提示するステップと、
    −ユーザ確定が受信される場合に、前記所定の取引情報を含む前記サーバ応答を前記クライアント・コンピュータ（１２０）へ転送するステップと、
    を含む方法。
27. 電子取引を制御するハードウェア装置（１３０）であって、ハードウェア装置ディスプレイ（２１０）と、前記ハードウェア装置（１３０）をクライアント・コンピュータ（１２０）に接続するために提供されるハードウェア装置インタフェース・ユニット（２７０）と、
    を含み、
    −サーバ・コンピュータ（１１０）との暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
    −前記サーバ・コンピュータ（１１０）から受信される暗号化されたサーバ応答の復号を実施し、
    −前記サーバ応答を所定の取引情報について解析し、
    −何も所定の取引情報を含まないサーバ応答を前記クライアント・コンピュータ（１２０）へ転送し、
    −クライアント要求を検出すると前記所定の取引情報を前記ハードウェア装置ディスプレイ（２１０）上に表示し、
    −ユーザ確定が受信される場合に、前記所定の取引情報を含むサーバ応答を前記クライアント・コンピュータ（１２０）へ転送する、
    ように適合されるハードウェア装置（１３０）。
28. 電子取引を制御するハードウェア装置（１３０）であって、ユーザ・インタフェース（２１０）と、前記ハードウェア装置（１３０）をクライアント・コンピュータ（１２０）に接続するために提供されるハードウェア装置インタフェース・ユニット（２７０）とを含み、
    −前記サーバ・コンピュータ（１１０）との暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
    −前記サーバ・コンピュータ（１１０）から受信される暗号化されたサーバ応答の復号を実施し、
    −前記復号されたサーバ応答を前記クライアント・コンピュータ（１２０）へ転送し、
    −前記クライアント・コンピュータ（１２０）から前記サーバ・コンピュータ（１１０）に送られるクライアント要求を受信し、
    −前記クライアント要求を所定の取引情報について解析し、
    −何も所定の取引情報を含まないクライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送し、
    −クライアント要求を検出すると前記所定の取引情報を前記ユーザ・インタフェースによって提示し、
    −ユーザ確定が受信される場合に、前記所定の取引情報を含む前記クライアント要求を暗号化して前記サーバ・コンピュータ（１１０）へ転送する、
    ように適合されるハードウェア装置（１３０）。
29. サーバ・コンピュータ（１１０）であって、
    −請求項１２〜２０、２７および２８のいずれか１項に記載のハードウェア装置（１３０）との暗号化されたデータ送信および相互認証を有する第１の通信プロトコルを実行し、
    −通信ネットワーク（１６０）および前記ハードウェア装置（１３０）を介してクライアント・コンピュータ（１２０）と電子取引を実施する、
    ように適合されるサーバ・コンピュータ（１１０）。

Images