JP2012123807A - 携帯端末用小型回路カードに埋め込まれた保護された内部機能及びアプリケーションの実行制御方法及び実行制御装置 - Google Patents

Abstract

【課題】本発明は、携帯端末の小型回路に埋め込まれた保護された内部機能及びアプリケーションの実行の制御に関する。
【解決手段】保護された内部機能の制御は、小型回路カード上で直接的に実行される。当該カードを待機状態に置くための命令を検出した後（４００）、当該カードが接続されている携帯端末から受信した情報項目に従って、保護された内部機能の実行に関する少なくとも１つの指示を解析する（４１５）。保護された内部機能が待機状態に置くための命令によって影響を受けそうな場合は、待機状態に置くための命令の実行を保留する（４１０）。
【選択図】図４

Description

本発明は、小型回路カード内の機能を実行する方法に関し、特に携帯端末用小型回路カード、特にＩＤカードに埋め込まれた保護された内部機能の実行制御方法及び実行制御装置に関する。

携帯電話等の携帯端末の開発により、それ自体は必ずしも携帯電話のアプリケーションではない、多くのアプリケーションが開発されている。それらのアプリケーションには、具体的には、ゲームアプリケーション、個人情報管理用アプリケーション、時間管理用アプリケーション、電子財布アプリケーション、支払いアプリケーション等がある。支払いアプリケーションまたは電子財布アプリケーションにより、個人の携帯電話を介して製品やサービスの支払いを行うことができる。

それらの種類によって、これらのアプリケーションへのアクセスまたはそれらの機能へのアクセスが規制される場合がある。それゆえ、例えば、支払いアプリケーションは一般に、かなりの金額の支払いの場合は特に、ユーザの本人確認を必要とする。そのアプリケーションを実行する携帯端末がＩＤカードを備えている場合は、そのような本人確認はＩＤカードに基づいて行われる場合がある。

具体的には、ＳＩＭ (SIM ：Subscriber Identity Module)カード、USIM (USIM：Universal Subscriber Identity Module)カード 、UICC (UICC：UMTS Integrated Circuit Card、UMTS： standing for Universal Mobile Telecommunications System) カード、及びRUIM (RUIM：Removable Universal Identity Module)カードの名称のＩＤカードが知られている。

これらのカードは一般的に、データ処理手段と、携帯電話ネットワークのユーザ固有の情報を保存するためのデータ保存手段とを備えている。携帯端末、具体的には携帯電話内にはそのようなカードが存在しているため、ＩＤカードに含まれる情報によって、安全な方法で、端末がネットワークに接続することができ、ネットワークの他の端末とデータを交換することができる（そのカードは例えば、ネットワークへのユーザの認証やデータ交換の暗号化を可能とする暗号化キーを有している）。

ＩＤカードは、メモリ、例えばこれらのカードの保存手段に保存された認証キーによって、これらのカードのユーザの認証を可能とする携帯端末の安全な要素を形成している。

さらに、いくつかの携帯端末は、例えば近距離無線通信（ＮＦＣ：Near Field Communication）タイプの短距離無線通信手段を備えている。そのような携帯端末は近距離通信アンテナを備えている。このアンテナは端末から着脱可能なカードと一体化することもできる。これにより、携帯端末と、支払い所などの外部の設備との間でデータ交換が可能となる。

したがって、携帯端末を用いることにより、非接触通信による支払いを行うことが可能となる。そのような通信は、ＩＤカードのフォーマットや関連する通信プロトコルを対象とするISO国際標準規格１４４４３に準拠している。

この種のサービスを利用するため、あるいは情報を交換するために、近距離通信によるトランザクションが実行されるように、ユーザは自身の携帯端末を支払い所近くに持って行く。

さらに、例えばＳＩＭカードのマイクロコントローラによって使用される、携帯端末のＩＤカード内で銀行用アプリケーションが選択される場合もある。アプリケーションの選択の起動は、例えばＩＳＯ国際標準規格７８１６に従ってＩＤカードと接触して携帯端末により指示される。その結果、ユーザは、選択した銀行のアプリケーションのうちの一つを選ぶことができる。

上述したように、選択したアプリケーションの操作を安全に実行するために、ユーザの認証が行われる。これは、具体的には、携帯端末のグラフィカルインターフェースを介した、例えば、彼又は彼女の個人識別番号（ＰＩＮ：Personal Identification Number）といったユーザからのパスワードの要求である。ここで使用されるＰＩＮコードは、一般的には、電話機能にアクセスするために使用されるＰＩＮコードとは異なっている。ユーザが、例えば、現実のまたは（例えばタッチスクリーンを用いて）仮想のキーボードを利用してＰＩＮコードを入力した後に、例えばＩＳＯ国際標準規格７８１６に従って、パスワードはＩＤカードに送られ、ＩＤカードの不揮発性メモリに保存されているコードと比較される。パスワードとそのコードが一致すれば操作は認証され、そうでなければ、拒絶される。

セキュリティー上の理由から、ユーザにより入力されるパスワードは持続時間が制限されている。そのため、関連する操作が設定時間内に実行されなかった場合は、そのコードは失効する。一般的にそのような時間は予め決められており、典型的には１分である。時間切れとなったにも関わらず、ユーザが関連する操作の実行を希望する場合、ユーザはパスワードを再入力しなければならない。

このようなシステムにより不正のリスクを抑制することができるが、携帯端末からの特定の操作、具体的にはトランザクションの実行に関するセキュリティーを改善するための一定のニーズが存在している。

本発明は上記の問題のうちの少なくとも１つを解決することができる。

本発明は、携帯端末と協働して使用されるように構成された小型回路装置に埋め込まれた、少なくとも１つの保護された内部機能を制御する方法に関し、本方法は、小型回路装置内で実行され、小型回路装置が接続された携帯端末から受信した情報項目に基づいて、小型回路を待機状態に置くための命令を検出するステップと、少なくとも１つの保護された内部機能の実行に関する少なくとも１つの指示を解析するステップと、少なくとも１つの保護された内部機能が、待機状態に置くための命令の実行によって影響を受けやすい場合は、待機状態に置くための命令の実行を保留するステップと、を有する。

これにより、本発明による方法は、必要に応じて当該装置を待機状態に置くための命令の実行を保留することにより、小型回路カードのような小型回路装置の安全性を保護し、当該装置によって実行される保護されたアプリケーションの保護を確実にすることができる。これらの目的のために、保護された内部機能の実行機能、例えば、パスワードの有効性を決定するために使用されるカウントダウン機能あるいは小型回路装置のメモリ管理機能に応じて、待機状態に置くための命令が保留される。

ある実施形態においては、本発明はさらに、少なくとも１つの保護された内部機能を起動する際に状態変数を第１の値に設定するステップと、少なくとも１つの保護された内部機能の実行が終了した場合、または、保護された内部機能が再初期化された場合に、状態変数を第２の値に設定するステップと、を含み、解析ステップは、状態変数の値を解析するステップを含む。

本実施例によれば、状態変数は、保護された内部機能と、当該装置を待機状態に置くことを管理するモジュールとの間で情報を交換するための手段として用いられ、当該変数の値に応じて、即ち、保護された内部機能の実行に応じて、待機状態に置くための命令を保留することもでき、あるいは保留しないこともできる。

他の実施例によれば、待機状態に置くための命令の実行は、少なくとも１つの保護された内部機能によって直接的に制御される。そのため、これらの目的のためには如何なる状態変数をも用いる必要がない。

好適には、本発明は、さらに、待機状態に置くための命令に関連する要求された待機のレベルと、小型回路装置の待機状態とを比較するステップをさらに有する。そのため、要求された待機のレベルと実際の待機のレベルとの相対的な値に従って、待機状態に置くための命令の実行を保留すべきか否かを検証する必要があるか否かを決定することができる。

さらに他の実施例によれば、小型回路装置または携帯端末には短距離無線通信手段が備えられており、小型回路装置は、短距離無線通信手段と保護された内部機能とを利用する埋め込まれた保護されたアプリケーションを有しており、本発明はさらに、携帯端末から、保護されたアプリケーションを実行するための認証データ項目を受信するステップと、受信した認証データ項目を小型回路装置内に保存された少なくとも１つのデータ項目と比較するステップと、受信した認証データ項目が少なくとも１つの保存されたデータ項目と一致し、保護されたアプリケーションが起動された場合、小型回路装置において動的に定義された少なくとも１つの基準に従って、受信した認証データ項目の有効性を検証するステップと、受信した認証データ項目が有効である場合、保護されたアプリケーションを実行するステップと、を含む。

このため、本発明によれば、小型回路装置が用いられている携帯端末の手段によらずに、ユーザにより入力されたパスワードの有効性を決定することができる。それゆえ、本発明によればパスワードの使用に関連した安全性を向上することができる。

好適には、保護された内部機能はカウントダウン機能であって、本方法は、さらに、受信した認証データ項目が保存された少なくとも１つのデータ項目と一致した場合、カウントダウン機能を所定の時間において起動するステップをさらに含み、検証を行うステップは、時間が満了していないことを検証するステップを含む。そのため、パスワードの有効性は時間が限られており、時間のカウントダウンは、小型回路装置内で安全な方法で実行される。カウントダウン機能は、好適には、小型回路装置のハードウエアクロックに基づく。

さらに他の実施例によれば、本発明はさらに、小型回路装置が接続された携帯端末から、少なくとも１つの非接触アクセスステーションが短距離無線通信手段を介してアクセス可能であることを示す少なくとも１つの情報項目を受信するステップと、受信した少なくとも１つの情報項目に応じて、小型回路装置に埋め込まれた少なくとも保護されたアプリケーションを選択し、少なくとも１つの選択されたアプリケーションへの参照を携帯端末に送付するステップと、埋め込まれた保護されたアプリケーションへの参照に対応する、少なくとも１つのアプリケーションの識別子を受信するステップと、を含む。

このため、本発明は、支払いアプリケーションなどのアプリケーションの簡易かつ安全な実行を可能とする。

本発明は、また、上記の方法の各ステップをコンピュータ上で実行するのに適した命令を含むコンピュータプログラムに関する。

本発明は、また、装置及び当該装置を一体化した携帯端末を含む携帯電話ネットワークの加入者のＩＤカードはもちろん、上記の方法の各ステップを実行するのに適したマイクロコントローラのような手段を含む装置に関する。

他の実施例によれば、本装置は、さらに、少なくとも１つの保護された内部機能に関連した少なくとも１つのデータ項目を保存するように構成された少なくとも１つのメモリを有する。さらに他の実施例によれば、マイクロコントローラは、さらに、少なくとも１つの内部機能の保護を改善するために、少なくとも１つの保護された内部機能に関連する少なくとも１つのデータ項目を保護する暗号アルゴリズムを実行し、及び／または、装置の少なくとも１つのコンポーネントのハードウエア上の保護のためのアルゴリズムを実行するように構成されている。

本コンピュータプログラム、本装置及び本ＩＤカードによって得られる利点は、上記と同様である。

本発明の他の利点、目的及び特徴は、関連する図面と共に、以下の詳細な説明により明らかにされるが、それらには限定されない。

本発明を実施する携帯端末と関連する小型回路カードを示す図である。 本発明により携帯端末で実施されるステップを示す図である。 本発明により小型回路カードで実施されるステップを示す図である。 本発明により待機状態に置くことを管理するモジュールの例示的なアルゴリズムのステップを示す図である。

携帯端末により小型回路カードと共に実行されるある操作の実行に関連した安全性が、セキュリティー対策が携帯端末内で実行されているという点で弱点を有しており、後者は安全な実行領域とは考えられないとの報告がなされている。

特に、携帯電話事業者と銀行事業者の仕様に起因して、携帯端末が仲介アプリケーションを実行することが報告されている。具体的には、これらのアプリケーションは、ユーザにより入力されたパスワードの有効期限を計算するために使用される。それらは、MIDlet形式、即ち端末インターフェースと接続された携帯端末に挿入されたカード内で実行される方法を定義する、１組のJava（登録商標）応用プログラムインターフェース（ＡＰＩ：Application Program Interface）において実行されるようにしてもよい。同様に、パスワードを所定の人数のユーザに有効とすることもできる。

換言すれば、携帯端末を介して実行される保護されたアプリケーションの安全性は完全ではない。例として、有効期限の満了時点におけるパスワードの無効化命令は、携帯端末上で実行され、それゆえ、その結果は、典型的には、例えばＳＩＭカードといった小型回路カードに安全ではない方法で送られる。これらの機能を実行するMIDletは、とりわけ銀行当局によって保証されていない。そのため、これらの機能は、不正な攻撃の標的となる場合があり、それらの結果が傍受される場合もある。

さらに、MIDletは不完全である場合があり、長期間に渡ってパスワードを有効にする場合がある。そのため、例えば、ユーザが所定の金額以上のトランザクションを実行するためのパスワードを入力する必要がある場合、そのパスワード失効方法に欠陥があることに気づかずに、その所定の金額以上のトランザクションを実行する場合がある。

さらに、一般的に、小型回路カードには、それらのカードの機能を部分的にあるいは全体的に抑制することができる、待機モードと呼ばれるモードがあることが知られている。そのようなモードは、小型回路カードが使用されている携帯端末の充電を節約するために、小型回路カードの消費電力を削減することを目的としている（小型回路カードは、典型的には、接続されている携帯端末により電力が供給されている）。従って、換言すれば、小型回路カードが「通常に」使用されるアクティブ状態、カードの所定の機能のみが使用されている１つ以上の待機状態及び機能が使用されていない停止状態がある。停止状態からアクティブ状態または待機状態へ移行するために、一般的に、カードを起動する必要があり、一般的に無視できない時間を要する。現在の標準規格によれば、小型回路カードの状態は、当該カードが使用される携帯端末によって制御される。それ故、例えば、ＩＳＯ国際標準規格７８１６に従えば、小型回路カードを待機状態に置くための、より具体的には内部クロックを停止するための携帯端末の機能は「クロックストップ」であり、その効果は、携帯端末によって小型回路カードに送信されるクロック信号を停止することである。小型回路カードがクロック信号の停止を検出した場合、待機状態となる。

本発明は、携帯端末と協働して使用されるように構成された、ＳＩＭ、ＵＩＣＣ、ＵＭＴＳまたはＲＵＩＭカードなどの小型回路カードにおいて、パスワード、あるいはより具体的にはユーザにより入力された認証データ項目の失効期限を計算する機能などの保護機能といった、保護された内部機能の実行に関する。従って、本発明によれば、ユーザの認証データ項目の有効化は、ＩＤカードで動的に定義された基準に従って実行される。この基準は典型的には有効期限、及び／または使用回数である。また、本発明は、メモリ管理機能などの他の保護された機能の実行に関する。

図１に本発明を実施するのに適した携帯端末１００を示す。図示するように、携帯端末１００は、好適にはスピーカ１１０及びマイク１１５につながれた携帯電話モジュール１０５を備えている。携帯電話モジュールは、携帯電話ネットワークと通信するための、携帯端末１００のアンテナ（図示せず）に接続されている。携帯端末１００は、さらに、ＣＰＵとも呼ばれる中央処理装置１２０を備え、好ましくはスクリーン１２５を備えている。

携帯端末１００は、さらに、短距離通信用モジュール１３０、好適には短距離無線通信モジュールを備えている。モジュール１３０は、例えば、ＮＦＣタイプである。モジュール１３０は、例えば集積回路及びアンテナの形で携帯端末１００に直接埋め込まれてもよく、集積型アンテナを備えた小型回路カードの形で携帯端末１００に挿入されてもよい。

携帯端末は、さらに、文字や数値、及び／または命令を入力するためのキーボードまたはこれと同等の装置などの入力装置１３５を備えている。入力装置１３５は、スクリーン１２５と協働してユーザインターフェースを構成する。入力装置１３５は、タッチスクリーンの形でスクリーン１２５と一体化するようにしてもよい。

携帯端末１００は、さらに、少なくともアプリケーションを保存するのに適したメモリモジュール１４０、及び／または、携帯端末１００とモジュール１３０などの、固定され、あるいは着脱可能なコンポーネントとの間で使用されるソフトウエアインターフェース１４５と、ＩＤカード１５０などの当該携帯端末に接続された小型回路カードを備えている。

ここで、ＩＤカード１５０は、マイクロコントローラ１５５と、第１メモリ１６０と、第２メモリ１７０とを備えたＳＩＭカードである。第１メモリ１６０は、ユーザのアプリケーション、ユーザのオペレータのアプリケーション、及び銀行用アプリケーションなどのアプリケーションを保存するために使用される。さらに、当該メモリの部分１６５は、情報、パラメータ、及び／またはユーザが携帯電話ネットワークにアクセスするためのユーザ情報、具体的にはＰＩＮ型コードを保存するために使用される。第１メモリ１６０は、典型的にはフラッシュ型メモリである。第２メモリ１７０はＲＯＭ（Read Only Memory）である。具体的には、インターフェース機能の他に、ＩＤカードのオペレーティングシステムの保存に使用される。

特定の実施例に従えば、短距離通信モジュール１３０は、一部または全部がＩＤカード１５０と一体化することができる。

ＩＤカード１５０は、好ましくは着脱可能とし、安全対策がなされている。

本発明は、カードの状態に関連して、保護された内部機能の実行を制御するため、具体的には保護されたアプリケーションによって呼び出された内部機能の実行を制御するために、ＳＩＭカード１５０などの小型回路カード、即ち、一般的に言えば小型回路装置に直接的に埋め込まれたメカニズムに関する。小型回路装置は、例えばマイクロコントローラ１５５及びメモリ１６０、１７０を備え、携帯端末と一体化することができる。

本実施例によれば、本発明はキーボード１３５などの入力装置を用いてユーザにより入力されたパスワードの有効性を動的に管理するメカニズムに関する。具体的には本メカニズムは、パスワードの有効期間の検証、及び／または入力された同一のパスワードを用いて保護されたアプリケーションの実行回数の検証からなる。小型回路カードの環境は一般的に携帯端末の環境よりも安全であるため、小型回路カード内のメカニズムは、携帯端末内に埋め込まれた同様のメカニズムに比べて攻撃に対する感受性が低い。さらに、そのようなメカニズムは、例えば銀行当局によって認証されやすいといえる。

好適には、本メカニズムは、一般的にはタイマーと呼ばれる小型回路カードの内部機能を利用する。典型的には、タイマーは、主としてソフトウエアコードの他の機能を起動または実行するために多くのクロックパルスの後の割り込みを管理する役割が与えられた、ハードウエアまたはソフトウエアの機能と定義される。クロックパルスの数及び使用されるクロック（例えば、小型回路カードのクロック）はパラメータとして当該機能に供給される。

本発明によれば、カードが接続された携帯端末から受信したパスワードの有効性を検証する内部機能を提供するために、例えばインターフェース（ＡＰＩ）が、小型回路カード内で使用されるオペレーティングシステムに追加される。具体的には、これらの機能により、予め設定されたパスワードの有効期間のカウントダウンを行うことができる。ここで追加されるインターフェースは、例えば、カードレット（Cardlet）タイプのアプリケーションなどの銀行用アプリケーションへ、ＳＩＭカードのオペレーティングシステムによって供給されるサービスからなる。そのようなサービスは、例えば、受信したパスワードが正しいと認められると、即ち、パスワードがメモリに予め保存されていた認証データ項目と一致したときに直ちに起動される。

パスワードの所定の有効時間を検証するために、好ましくは、小型回路カードのハードウエアであるクロックが使用される。クロックなどを用いたタイマー機能は、ハードウエアタイマーとも呼ばれ、一般にはソフトウエアである、小型回路カードのオペレーティングシステムのハードウエアの拡張機能とみなすことができる。一般的にはＳＩＭカード内に、より具体的にはマイクロコントローラ内に存在するハードウエアタイマー機能は、保証レベル４＋（ＥＡＬ４＋、ＥＡＬ：Evaluation Assurance Level）として知られている共通の基準に従って、メーカーによって一般に認証されるという利点をもたらす。

変形例として、ソフトウエアタイマーとして知られているソフトウエアのタイマー機能を用いることもできる。これらの目的で使用されるクロックは、小型回路カードのハードウエアクロック、あるいは携帯端末のクロックから生成することができる。ソフトウエアタイマーは、一般的にはメーカーによって保証されてはいない。

好適な実施例によれば、小型回路カードは、少なくとも２つの待機レベルを有する。第１レベルは、全てのコンポーネントが待機状態である完全待機に相当する（これは標準的な待機モードである）。第２レベルは、いくつかの機能は動作している部分的待機に相当する。従って、例えば、パスワードの所定の有効時間のカウントダウン機能はこの待機レベルでは動作したままとすることができる。換言すれば、部分的待機モードでは、タイマー機能（ソフトウエアタイマーまたはハードウエアタイマーであろうとも）は動作している。

図２は、本発明に従って携帯端末で実行されるいくつかのステップを示している。

第１ステップ（ステップ２００）において、例えば、物品や、博物館へのアクセスなどのサービスに対して支払いを行うための支払い所などのステーションを検出する。短距離無線通信モジュールを使用することにより、本ステップは、使用される携帯端末のインターフェースを介してユーザが生成した信号を検出することにより、あるいは命令に応答して自動的に実行することができる。

続くステップ（ステップ２０５）において、携帯端末と以前に検出されたステーションとの間に通信チャネルが構成される。この通信チャネルは、標準プロトコルに従って、例えば、ＩＳＯ国際標準規格１４４４３に従って構成される。これと並行して、同時にあるいは予め、使用される携帯端末と、これに埋め込まれた小型回路カードとの間で通信チャネルが構成される（ステップ２１０）。さらに、この通信チャネルは、好ましくは、標準プロトコル、例えば、ＩＳＯ国際標準規格７８１６に準拠したプロトコルに従って構成される。

次に、当該カードに含まれ、実行されるべきアプリケーションを選択することができるように、検出されたステーションに関する情報項目が小型回路カードへ送信される。好ましくは、アプリケーションの選択は、検出されたステーションのタイプに基づく。これらの選択されたアプリケーションへの参照が携帯端末へ、例えばリスト形式で送信される（ステップ２１５）。それらは、例えば、銀行用アプリケーションである。

選択されたアプリケーションのリストは、ユーザがそれらの中から１つを選択することができるようにするために携帯端末上に表示されるようにしてもよい（ステップ２２０）。選択されたアプリケーションの参照は、該当する場合は、ユーザがパスワードを入力する必要がある旨を携帯端末に表示する小型回路カードへ送信される。この場合、ユーザは、例えばキーボードや携帯端末につなげられた同様の装置を用いて、パスワードを入力する（ステップ２２５）。その後、パスワードは、例えばＩＳＯ国際標準規格７８１６に従って小型回路カードに送信され、小型回路カードは、パスワードを検証し、選択されたアプリケーション、即ち、アプリケーションの機能を起動する。これらの機能は、選択されたアプリケーションそれ自身によって認定されてもよいし、ユーザによって選択されてもよい。具体的には、携帯端末とステーションとの間の通信が構成されると、ユーザが入力したか、ステーションによって送信された支払額の支払命令である。

これらの機能の実行（ステップ２３０）において、一般的に携帯端末が、小型回路カードと携帯端末の短距離無線通信モジュールとの間のインターフェースに用いられる。

図示するように、本方法は、（自動的に、あるいはユーザによって）終了となるまで繰り返される。

図３は、本発明に従って、例えばＳＩＭカードなどの小型回路カードにおいて実行されるいくつかのステップを示す。

第１ステップ（ステップ３００）において、ＩＤカードに含まれたアプリケーションの選択が行われる。上述したように、好ましくは、この選択は、小型回路カードを含む携帯端末との間で通信チャネルを構成するステーションの特性に従って行われる。そのような特性は、支払い金額や、電子財布や通信クレジットの再チャージに関連する表示と関係する。

その後、選択されたアプリケーションの参照は、携帯端末へ、例えばリスト形式で送信される。携帯端末によってそのようなリストが受信された場合、ユーザがアプリケーションの１つを選択できるように表示されることが好ましい。アプリケーションが選択された場合、対応するアプリケーションが起動できるように、小型回路カード、より具体的には、小型回路カードのマイクロコントローラへ、それへの参照が送信される。

もう一つの方法として、実行可能なアプリケーションが１つのみの場合、あるいは設定パラメータによっては、ユーザが明示的に選択することなくアプリケーションを直接的に起動することができる。

アプリケーションが起動すると、当該アプリケーションが保護されているか否か、即ち、当該アプリケーションの実行あるいはその機能のいくつかの実行にユーザの認証が必要であるか否かを決定するためにテストが実行される。否定された場合、当該アプリケーションは、小型回路カードのマイクロコントローラによって、従来の方法で実行される。

その逆の場合、当該アプリケーションが保護されているならば、認証によりアプリケーションのロックを解除するパスワードを取得するために、指示が携帯端末に送信される。好ましくは、パスワードは、キーボードや、携帯端末につながれた同様の装置を用いてユーザにより入力され、小型回路カードに送信される。

保護された機能、あるいは図１に示すように、例えばメモリ１６０及び／またはメモリ１７０などの小型回路カードのメモリに保存された機能に関連付けられたデータは、連邦情報処理標準（ＦＩＰＳ：Federal Information Processing Standards）に従った暗号アルゴリズムを用いて保護されるようにしてもよい。

同様に、保護された機能に関連するデータが保存されている、図１に示すようなマイクロコントローラ１５５やメモリ１６０、１７０などの小型回路カードのコンポーネントに、いわゆる非侵襲的攻撃（例えば、時間分析、消費量分析及び電磁気解析による攻撃やクロックベースの攻撃）、侵襲的攻撃あるいは半侵襲的攻撃に対するハードウエアによる保護を提供するようにしてもよい。

パスワードを取得した後（ステップ３１５）、受信したパスワードが正しいか否かを決定するためにテストが実行される（ステップ３２０）。これらの目的のために、小型回路カードのマイクロコントローラあるいはマイクロコントローラに関連付けられた暗号モジュールが受信したパスワードと予め保存されているデータ項目とを比較する。このような比較は、具体的には、標準的な暗号アルゴリズム及び認証アルゴリズムを用いて行うことができる。

その代わりに、指紋認証などの他の認証モードを用いることもできる。

パスワードが正しくない場合、処理を終了するか、（点線の矢印で示すように）ユーザがパスワードを再入力するように誘導するために指示が携帯端末に送信される。

これと反対に、パスワードが正しい場合、時間のカウントダウン機能、即ち、保護された内部機能が動作する（ステップ３２５）。上述の通り、この機能の目的は、受信したパスワードが有効と考えられる時間を認識することである。この時間の長さは予め決められていることが好ましい。カウントダウン機能は小型回路カードのクロックか、あるいは携帯端末のクロックに基づく。

その代わりに、カウントダウン機能をパスワードの認証前から起動してもよく、パスワードが正しくない場合は、カウントダウン機能が停止する。

カウントダウン機能は、典型的には上述したタイマー機能（好ましくは、ハードウエアタイマー機能）に基づく。この機能は、パスワードの有効期間及び使用されるクロックをパラメータとして呼び出す。タイマーが時間切れのとき、即ち、タイマー機能の実行の終了時点で、割り込みが発生する。このことは、後者が終了したことをカウントダウン機能に通知する。カウントダウン機能はタイマー機能と同化するようにしてもよい。

特定の実施例によれば、カウントダウン機能が動作した場合、第１の指示が、小型回路カードのオペレーティングシステム、あるいはより一般的には待機状態に置くことを管理するモジュールに送信される。同様に、カウントダウン機能が再初期化された場合、あるいはカウントダウンが終了した場合、第２の指示が、ＩＤカードのオペレーティングシステム、あるいはより一般的には待機状態に置くことを管理するモジュールに送信される。それ故、カウントダウン機能の状態を知ることにより、カウントダウン機能が動作している場合、オペレーティングシステム、あるいはより一般的には待機状態に置くことを管理するモジュールは、ＩＤカードが完全な待機状態となるのを禁止することができる。換言すれば、カウントダウン機能が動作している場合（ＩＤカードのクロックが使用されている場合）、アクティブ状態または小型回路カードのクロックが動作している部分的待機状態が用いられるようにしてもよい。カウントダウン機能が携帯端末のクロックに基づいている場合、部分的待機状態は、ＩＤカードのクロックが必ずしも動作していなくてもカウントダウン機能が動作可能な状態である。

あるいは、カウントダウン機能が動作している場合は、ＩＤカードの状態の変更を禁止するようにしてもよい。従って、好適には、好ましくは揮発性メモリに保存された状態変数、例えばPIN_OKなどの状態変数が第１の値に設定される（例えば、PIN_OK=1）。カウントダウン機能が再初期化された場合、あるいはカウントダウン機能が終了した場合、この状態変数は第２の値に設定される（例えば、PIN_OK=0）。あるいは、タイマー機能が割り込みを発した場合（タイマーが時間切れの場合）、この状態変数を第２の値に直接的に設定してもよく、状態変数が第２の値に設定された場合、その後カウントダウン機能は動作を停止する。この場合、状態変数PIN_OKを更新するために、タイマー機能によって生成された割り込みは好ましくはソフトウエア機能などの機能を起動する。

次に、小型回路カードのマイクロコントローラによって、実行された保護されたアプリケーションの機能に対してなされた指示が処理された場合、受信したパスワードが有効か否かを決定するためにテストが実行される（ステップ３３５）。実行された保護されたアプリケーションの機能に対してなされた指示は、後者に直接的に関連付けるようにしてもよく（この場合、自動的に受信される）、ユーザによる選択に由来してもよく（点線の矢印で示すように、命令は、携帯端末からの指示を仲介して中央処理装置１２０を介して受信される。）、携帯端末が接続されたステーションからもたらされるようにしてもよい（点線の矢印で示すように、命令はモジュール１３０を介して受信される。）。

パスワードが有効か否かを決定するために、小型回路カードのマイクロコントローラは、以前に起動された時間カウントダウン機能を使用する。それ故、時間切れとなった場合、パスワードは有効ではないとみなされる。さらに、特定の実施例によれば、パスワードを入力してから、保護されたアプリケーション（あるいは当該アプリケーションの機能）を実行した回数を所定の使用回数と比較するようにしてもよい。それ故、パスワードの使用を１回の命令、２回の命令等に制限することができる。

パスワードが有効ではない場合、ユーザがパスワードを再入力するように誘導する指示が携帯端末に送信される（アルゴリズムは上述のステップ３１５に戻る）。

これとは逆に、パスワードは有効と考えられる場合、考慮された指令が処理され、対応する機能が実行される（ステップ３４０）。既に述べたように、この機能の実行により、携帯端末は短距離無線通信モジュールの使用を要求される。特定の実施例によれば、パスワードは１つの機能の実行にのみ使用され、時間カウントダウン機能が（停止のために）再初期化される。このように、新たな保護された命令を実行する必要がある場合、パスワードを受信してから実行された命令の回数を所定の使用回数と比較する必要なしに、パスワードは有効ではないものとみなすことができる。

上記の通り、いくつかの機能、具体的にはユーザの認証の実行はいくらか制限されるという点で、アプリケーションが保護されていることがわかる。しかしながら、アプリケーションは包括的にも保護されていることが好ましく、即ち、アプリケーションの実行が認証された場合（ユーザの認証後）、その機能を実行するためにユーザを認証する必要はない。それにもかかわらず、本アプリケーションが他の保護されたアプリケーションを使用する場合、当該他のアプリケーションを実行するためにユーザを再認証する必要がある場合がある。

小型回路カードが待機状態に置くための命令を検出し、待機状態に置くレベルが、保護されたアプリケーション、具体的には内部のカウントダウン機能に影響を及ぼしそうな場合、待機状態に置くための命令が実行可能か否か、及びその実行を保留すべきか否かを決定するためにテストが実行される。これらの目的のために、好ましくは、待機状態に置くことを管理するためのモジュールが小型回路カードに実装される。これは、ハードウエアモジュールであってもよいし、ソフトウエアモジュールであってもよい。具体的には、小型回路カードのオペレーティングシステムと一体化されるようにしてもよい。状態変数、例えば、好適には揮発性メモリに保存された状態変数PIN_OKが使用される場合、待機状態に置くことを管理するためのモジュールは、状態変数の値を決定し、その値に応じて待機状態を要求された状態に置くことを認証し、あるいは認証しない。

図４は、本発明に従って、待機状態に置くことを管理するためのモジュールの例示的なアルゴリズムのいくつかのステップを示している。図示するように、第１のステップ（ステップ４００）において、モジュールを含む小型回路カードを待機状態に置くための命令を検出する。ＩＳＯ国際標準規格７８１６に従って、この命令は、クロック信号が停止した場合に、小型回路カードが使用されている携帯端末から送られるクロック信号に基づいて検出される。

続くステップにおいて、待機状態に置くことを管理するためのモジュールは、要求された待機状態が、待機状態に置くための命令に関連して、現在の待機状態よりも低いか否かを決定し（ステップ４０５）、即ち、要求された待機状態が小型回路カードのいくつかの機能の起動を指示しているか否かを決定し（この場合、要求された待機状態は現在の待機状態以下である）、あるいは、これとは逆に、要求された待機状態が小型回路カードのいくつかの機能の禁止に関連しているか否かを決定する（この場合、要求された待機状態は、現在の待機状態よりも高い）。

要求された待機状態が現在の待機状態以下である場合、待機状態に置くために受信された命令が実行される（ステップ４１０).

これとは逆に、要求された待機状態が現在の待機状態よりも大きい場合、保護された内部機能が待機状態に置くことによって現在の待機状態よりも高いレベルで影響を受けそうであることを示すために使用される状態変数の値を決定するためのテストが実行される（ステップ４１５）。上述した例に従えば、このステップにおいて、変数PIN_OKの値が決定される。

保護された内部機能が待機状態に置くことによって現在の待機状態よりも高いレベルで影響を受けそうにない場合は、待機状態に置くために受信された命令が実行される（ステップ４１０）。

これとは逆に、保護された内部機能が待機状態に置くことによって現在の待機状態よりも高いレベルで影響を受けそうである場合、例えば要求された待機状態がカウントダウン機能あるいは（両者が異なる場合は）タイマー機能を禁止することを指示している場合、要求された待機のレベルが保護された内部機能の実行に影響を与えるか否かを決定するための他のテストが実行される（ステップ４２０）。肯定的な場合、最後の２つのステップ（ステップ４１５及び４２０）は、検出された待機状態に置くための命令の実行を保留するために繰り返される。

変形例として、タイマー機能によって生成された割り込みは、状態変数PIN_OKを更新するために、好ましくはソフトウエア機能を起動するために使用することができ、この更新機能は待機管理機能を含む。それ故、待機状態に置くための命令が既に検出されている場合、即ち、待機が用意されている場合、割り込みが生じると小型回路カードは待機状態となり、さらに状態変数PIN_OKが更新される。

これとは逆に、要求された待機のレベルが保護された内部機能の実行に影響を与えない場合、検出された待機状態に置くための命令が実行される（ステップ４１０）。

使用される状態変数の値は、その値が、保護された内部機能が実行されうる待機状態の最高値に近づくように、小型回路カードの待機のレベルに従って、揮発性または不揮発性メモリに保存される。状態変数の値を変えるために待機状態を（１つの待機状態からより低いレベルへ）変更することが可能であることが分かる。

特定の実施例によれば、待機状態に置くための命令の実行は、それらに関連した状態変数を管理する保護された内部機能により、あるいは、それらの保護された内部機能を利用する保護されたアプリケーションにより、制御されるようにしてもよい。本実施例に従って、保護された内部機能または保護されたアプリケーションは、待機状態に置くための命令が検出されたとの指示を受信した後に、待機状態に置くことを管理するためのモジュールに、待機状態に置くための命令が実行されうる時間を指示する。

他の実施例に従えば、小型回路カードに埋め込まれた保護された内部機能は、当該カードのメモリを管理するための機能に関連する。具体的には、これは「ウェアレベリング」と呼ばれる機能であってもよい。

小型回路カードで使用されるメモリは一般的には、書き込み回数が典型的には例えば２０００万回から１億回に制限されるＥＥＰＲＯＭ（Electrically-Erasable Programmable Read-Only Memory）型のメモリを含むことを思い起こすべきである。しかしながら、あるメモリ領域は、書き込みのために他の領域よりもより頻繁にアクセスされる。従って、小型回路カードの寿命の短縮を避けるために（メモリの特定の領域に書き込むことは不可能であることと関連して）、書き込み動作をできるだけ均一に分布させるように、メモリ領域間のデータの移動のための機能が実行される。このメモリ管理機能は、一般にウェアレベリングと呼ばれる。

そのような内部機能は、ユーザにより呼び出されたアプリケーションの実行と並行して、実行される場合があり、小型回路カードのパフォーマンスが低下することとなりうる。小型回路カードが使用されていない場合にもその内部機能が実行される場合もある。この場合、小型回路カードのいくつかのコンポーネント、具体的には読み込み動作及び書き込み動作のタスクを有するコンポーネントを後に待機状態に置くことは例えばデータの消失につながる場合がある。従って、小型回路カードを待機状態に置くことによるデータの消失を避けるためのメカニズムを提供することが必要である。

この問題は、本発明によって好適に解決される。特定の実施例に従って、ウェアレベリング機能が動作している場合、第１の指示が、ＩＤカードのオペレーティングシステムまたは、より具体的には、待機状態に置くことを管理するモジュールに送信される。同様に、ウェアレベリング機能の実行が終了した場合、第２の指示が、ＩＤカードのオペレーティングシステムまたは、より具体的には、待機状態に置くことを管理するモジュールに送信される。従って、ウェアレベリング機能の状態を知ることによって、オペレーティングシステム、またはより具体的には待機状態に置くことを管理するためのモジュールは、ウェアレベリング機能が動作している場合、小型回路カードを完全な待機状態にするのを回避することができる。その代わりに、ウェアレベリング機能が動作している場合、小型回路カードの状態の変更を禁止するようにしてもよい。この目的のために、ウェアレベリング機能が動作している場合、状態変数、例えば状態変数WL_OKを第１の値に設定する（例えば、WL_OK=1）。ウェアレベリング機能の実行が終了している場合、この状態変数を第２の値に設定する（例えば、WL_OK=0）。

それ故、待機状態に置くことを管理するモジュールは、状態変数PIN_OKを状態変数WL_OKに置き換えることにより、図４を参照した記載と同様となる。好適には、同一の状態変数、例えば、状態変数STANDBY_OKは、必要に応じて、待機状態に置くための命令を保留するために、保護された内部機能の実行の制御に使用される。

上述したように、上記のアルゴリズム、具体的には図３及び４を参照して記載したアルゴリズムは、好適には、小型回路カード、例えば、ＳＩＭカードなどの携帯電話ネットワークの加入者のＩＤカードにおいて実行することができる。

当然ながら、特定の要求を満足するために、当業者は上記記載の変更を行うことができる。

１００ 携帯端末
１０５ 携帯電話モジュール
１１０ スピーカ
１１５ マイク
１２０ 中央処理装置
１２５ スクリーン
１３０ 短距離通信用モジュール
１３５ キーボード
１４０ メモリモジュール
１４５ ソフトウエアインターフェース
１５０ ＩＤカード
１５５ マイクロコントローラ
１６０ 第１メモリ
１６５ メモリの部分
１７０ 第２メモリ

Claims (17)

1. 携帯端末と協働して使用されるのに適した小型回路装置に埋め込まれた少なくとも１つの保護された機能の実行を制御する方法であって、前記小型回路装置で実行され、
   前記小型回路装置が接続された携帯端末から受信された情報項目に基づいて、前記小型回路装置を待機状態に置くための命令を検出するステップと、
   少なくとも１つの前記保護された内部機能の実行に関する少なくとも１つの指示を解析するステップと、
   少なくとも１つの前記保護された内部機能が前記待機状態に置くための命令の実行によって影響を受けやすい場合は、前記待機状態に置くための命令の実行を保留するステップと、
   を有することを特徴とする保護された内部機能の実行制御方法。
2. 少なくとも１つの前記保護された内部機能を起動する際に状態変数を第１の値に設定するステップと、
   少なくとも１つの前記保護された内部機能の実行が終了した場合、または、前記保護された内部機能が再初期化された場合に、前記状態変数を第２の値に設定するステップと、をさらに含み、
   前記解析ステップは、前記状態変数の値を解析するステップを含む、請求項１に記載の保護された内部機能の実行制御方法。
3. 前記待機状態に置くための命令の実行は、少なくとも１つの前記保護された内部機能によって制御される、請求項１に記載の保護された内部機能の実行制御方法。
4. 前記待機状態に置くための命令に関連する要求された待機レベルと、前記小型回路装置の待機状態とを比較するステップをさらに有する、請求項１乃至３のいずれか一項に記載の保護された内部機能の実行制御方法。
5. 前記小型回路装置または前記携帯端末には短距離無線通信手段が備えられ、前記小型回路装置は、前記短距離無線通信手段と前記保護された内部機能とを利用する埋め込まれた保護されたアプリケーションを有し、
   前記携帯端末から、前記保護されたアプリケーションを実行するための認証データ項目を受信するステップと、
   受信した前記認証データ項目を前記小型回路装置に保存された少なくとも１つのデータ項目と比較するステップと、
   受信した前記認証データ項目が少なくとも１つの前記データ項目と一致し、前記保護されたアプリケーションが起動された場合、前記小型回路装置において動的に定義された少なくとも１つの基準に従って、受信した前記認証データ項目の有効性を検証するステップと、
   受信した前記認証データ項目が有効である場合、前記保護されたアプリケーションを実行するステップと、
   を含む、請求項１乃至４のうちのいずれか一項に記載の保護された内部機能の実行制御方法。
6. 前記保護された内部機能はカウントダウン機能であって、受信した前記認証データ項目が保存された少なくとも１つの前記データ項目と一致した場合、前記カウントダウン機能を所定の時間において起動するステップをさらに含み、前記検証を行うステップは、前記時間が満了していないこと検証するステップを含む、請求項５に記載の保護された内部機能の実行制御方法。
7. 前記カウントダウン機能は、前記小型回路装置のハードウエアクロックに基づく、請求項６に記載の保護された内部機能の実行制御方法。
8. 前記小型回路装置が接続されている前記携帯端末から、少なくとも１つの非接触アクセスステーションが前記短距離無線通信手段を介してアクセス可能であることを示す少なくとも１つの情報項目を受信するステップと、
   受信した少なくとも１つの前記情報項目に応じて、前記小型回路装置に埋め込まれた少なくとも前記保護されたアプリケーションを選択し、少なくとも１つの前記選択されたアプリケーションへの少なくとも１つの参照を前記携帯端末に送信するステップと、
   埋め込まれた前記保護されたアプリケーションへの参照に対応する、少なくとも１つのアプリケーションの識別子を受信するステップと、
   をさらに含む、請求項５乃至７のうちのいずれか一項に記載の保護された内部機能の実行制御方法。
9. 前記小型回路装置は小型回路カードである、請求項１乃至８のうちのいずれか一項に記載の保護された内部機能の実行制御方法。
10. 請求項１乃至９のうちのいずれか一項に記載の保護された内部機能の実行制御方法の各ステップをコンピュータ上で実行するのに適した命令を含むコンピュータプログラム。
11. 請求項１乃至９のうちのいずれか一項に記載の保護された内部機能の実行制御方法の各ステップを実行するように構成された手段を備えた装置。
12. 携帯端末と協働して使用されるのに適した小型回路装置に埋め込まれた少なくとも１つの保護された機能の実行を制御する小型回路装置であって、マイクロコントローラを含み、前記マイクロコントローラは、
    前記小型回路装置が接続された携帯端末から受信された情報項目に基づいて、前記小型回路装置を待機状態に置くための命令を検出するステップと、
    少なくとも１つの前記保護された内部機能の実行に関する少なくとも１つの指示を分析するステップと、
    少なくとも１つの前記保護された内部機能が前記待機状態に置くための命令の実行によって影響を受けそうである場合は、前記待機状態に置くための命令を保留するステップと、を実行するように構成されていることを特徴とする保護された内部機能の実行制御装置。
13. 少なくとも１つの前記保護された内部機能に関する少なくとも１つの情報項目を保存するように構成された少なくとも１つのメモリをさらに有する、請求項１２に記載の保護された内部機能の実行制御装置。
14. 前記マイクロコントローラは、少なくとも１つの前記保護された内部機能に関する少なくとも１つの前記情報項目を保護する暗号アルゴリズムを実行するようにさらに構成されている、請求項１３に記載の保護された内部機能の実行制御装置。
15. 前記マイクロコントローラは、前記装置の少なくとも１つのコンポーネントのハードウエア上の保護のためのアルゴリズムを実行するようにさらに構成されている、請求項１２乃至１４のうちのいずれか一項に記載の保護された内部機能の実行制御装置。
16. 請求項１１乃至１５のうちのいずれか一項に記載の前記装置を有する、携帯電話ネットワークの加入者のＩＤカード。
17. 請求項１１乃至１５のうちのいずれか一項に記載の前記装置を一体化した、携帯端末。

Images