JP2012524326A

JP2012524326A - セキュアエレメントと通信するための方法、サーバ、コンピュータプログラム、およびコンピュータプログラム製品

Info

Publication number: JP2012524326A
Application number: JP2012505852A
Authority: JP
Inventors: ピーターアルビドソン，; マティアスエルド，; セバスチャンピエール，
Original assignee: テレフオンアクチーボラゲットエルエムエリクソン（パブル）
Priority date: 2009-04-16
Filing date: 2009-05-08
Publication date: 2012-10-11
Anticipated expiration: 2029-05-08
Also published as: JP5547803B2; US20120047237A1; WO2010120222A1; US9572025B2; EP2419888A4; EP2419888A1

Abstract

移動機器に接続されたセキュアエレメントにメッセージを送信する方法が提示される。この場合、セキュアエレメントは移動機器のユーザにつながっている。本方法は、アプリケーション管理サーバ内で実行される：アプリケーションサーバからアプリケーションメッセージおよび送信先セキュアエレメントの識別子を受信するステップと；アプリケーションメッセージからセキュアエレメントメッセージを生成するステップと；複数の接続プロバイダから、送信先セキュアエレメントと通信可能な接続プロバイダを選択するステップと；送信先セキュアエレメントに転送するために、選択された接続プロバイダにセキュアエレメントメッセージを送信するステップとを含む。対応するアプリケーション管理サーバ、コンピュータプログラム、およびコンピュータプログラム製品も提示される。

Description

本発明は主に、１つ以上のセキュアエレメントとの通信に関する。

近距離無線通信（ＮＦＣ）は、多くの異なる種類の有益なサービスを可能にする技術である。特に、支払い、発券、物理的アクセス、およびクーポンなどの、価値に基づくサービスが議論されてきた。このタイプのサービスには、安全な方法でアプリケーションを実行したいという当然の願望がある。

ＮＦＣアプリケーションを安全に実行する解決法の１つは、アプリケーションをセキュアエレメントにインストールすることである。このようなセキュアエレメントの一例は、移動機器のＵＩＣＣ（汎用ＩＣカード）であろうが、しかし移動機器に埋め込まれたセキュアエレメント、またはセキュアデジタルカードの形態のセキュアエレメントなど、別の選択も可能である。

セキュアエレメントは、通常は、エンドユーザ自身によってではなく、エンドユーザが課金関係（オペレータ）またはその他の関係（端末製造元）を有するなんらかの実体によって、管理される。

セキュアエレメントを利用するサービスプロバイダとセキュアエレメントを管理する実体との間には仲介実体の必要性があることが提案されてきた。この仲介実体は、トラステッドサービスマネージャ（ＴＳＭ）と称される。

今日では、アプリケーションは、製造時にＳＥに実装される（これはＳＩＭ（加入者識別モジュール）およびユーロカード−マスターカード−ＶＩＳＡ（ＥＭＶ）アプリケーションの一般的な管理方法である）。しかしながら、いくつかのＳＥは、グローバルプラットフォームカード管理システムを利用している。これらのＳＥは、マルチアプリケーションＳＥと称される。グローバルプラットフォーム（ＧＰ）カード管理システムは、いずれのＳＥに固有の接続プロトコルにも依存しないが、しかし大抵は製造時に使用される。しかしながら、携帯電話の出現とともに別の手段が現れ、最近では、ＳＩＭアプリケーションツールキットと併せてＧＰを使用する方法が記載されている。しかしながら、これは、ＴＳＭが、様々な異なるタイプの低レベル通信および異なるタイプのアプリケーションロジックを扱う非常に複雑な実体でなければならないような、システムをもたらす。

結果的に生じるＴＳＭは、ＴＳＭを仲介役に適応させるために必要とされる柔軟性の多くが欠落している。

本発明の目的は、アプリケーションサーバとセキュアエレメントとの間の通信を簡素化することである。

本発明の第一の態様によれば、移動機器に接続されたセキュアエレメントにメッセージを送信する方法が提示され、ここでセキュアエレメントは移動機器のユーザにつながっている。方法は、アプリケーション管理サーバ内で実行される：アプリケーションサーバから、アプリケーションメッセージおよび送信先セキュアエレメントの識別子を受信するステップと；アプリケーションメッセージからセキュアエレメントメッセージを生成するステップと；複数の接続プロバイダから、送信先セキュアエレメントと通信可能な接続プロバイダを選択するステップと；送信先セキュアエレメントに転送するために、選択された接続プロバイダにセキュアエレメントメッセージを送信するステップとを含む。

これは、移動機器およびセキュアエレメントとの通信からアプリケーション管理サーバを分離して、新たな機会を提供する。このためアプリケーション管理サーバは、アプリケーションサーバの代理として機能して、送信先セキュアエレメントとの通信を可能にするのに適した適切な接続プロバイダを選択することができる。このため各接続プロバイダは、ひいてはセキュアエレメントとの通信を可能にするために必要な程度に特化され得る。すべての接続プロバイダは、随意的に、アプリケーション管理サーバと同じインターフェースを有することができる。

方法は、選択された接続プロバイダから、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を受信するステップと；アプリケーションサーバに、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を送信するステップと、をさらに含んでもよい。

これは、アプリケーションサーバとセキュアエレメントとの間のリアルタイム通信の一態様であり、先行技術の著しい改善である。

セキュアエレメントメッセージを生成するステップは、アプリケーションメッセージをセキュアエレメントメッセージとして使用することを含んでもよい。言い換えると、メッセージは、アプリケーションメッセージからセキュアエレメントメッセージになるときに、随意的に変換されない。

方法は、セキュアチャネルをセキュアエレメントに設定するステップをさらに含んでもよく、ここで送信先セキュアエレメントに転送するためにセキュアエレメントメッセージを送信するステップは、セキュアチャネルを通じてセキュアエレメントメッセージを送信することを含む。このようなセキュアチャネルは、アプリケーションサーバがアプリケーション管理サーバを信頼している場合に、アプリケーション管理サーバとセキュアエレメントとの間の通信を可能にし、そのためアプリケーションサーバはセキュアエレメントとの安全な通信を管理する必要がない。

方法は、セキュアエレメントメッセージを送信するステップに先立って：セキュアエレメント管理サーバに、セキュアエレメントメッセージを送信するステップと；セキュアエレメント管理サーバから、セキュアエレメントメッセージの署名を受信するステップと、をさらに含んでもよく、ここでセキュアエレメントメッセージを接続プロバイダに送信することは、署名を送信することを含む。これは、セキュアエレメント管理サーバが、セキュアエレメントと通信しながらどのメッセージが署名されているかについて完全な制御を維持することを、可能にする。随意的に、暗号化も同様に機能することができる。

署名は、署名されるメッセージに添付されてもよい。

方法は、セキュアエレメントメッセージをセキュアエレメント管理サーバに送信するステップに先立って：複数のセキュアエレメント管理サーバから、送信先セキュアエレメントに結びつけられているセキュアエレメント管理サーバを選択するステップをさらに含んでもよく、ここでセキュアエレメントメッセージをセキュアエレメント管理サーバに送信するステップは、セキュアエレメントメッセージを選択されたセキュアエレメント管理サーバに送信することを含む。言い換えると、アプリケーション管理サーバは、送信先セキュアエレメントに対応するセキュアエレメント管理サーバを選択する。

署名されるいくつかのセキュアエレメントメッセージはまとめて送信されてもよく、対応する署名はまとめて受信されてもよい。これは、アプリケーション管理サーバとセキュアエレメント管理サーバとの間のより効率的な通信を可能にする。

本発明の第二の態様は、移動機器に接続されたセキュアエレメントにメッセージを送信するためのアプリケーション管理サーバであり、ここでセキュアエレメントは移動機器のユーザにつながっている。アプリケーション管理サーバは：アプリケーションサーバから、アプリケーションメッセージおよび送信先セキュアエレメントの識別子を受信するように構成されている受信器と；アプリケーションメッセージからセキュアエレメントメッセージを生成するように構成されているコントローラと；複数の接続プロバイダから、送信先セキュアエレメントと通信可能な接続プロバイダを選択するように構成されている接続セレクタと；送信先セキュアエレメントに転送するために、選択された接続プロバイダにセキュアエレメントメッセージを送信するように構成されている送信器とを含む。

接続セレクタは、第二アプリケーション管理サーバを選択するように構成されてもよく、ここで第二アプリケーション管理サーバは、送信先セキュアエレメントと通信可能である。

アプリケーション管理サーバはさらに、選択された接続プロバイダから、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を受信するように；およびアプリケーションサーバに、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を送信するように、構成されることが可能である。

アプリケーションメッセージは、セキュアエレメントメッセージとして使用されることが可能である。

アプリケーション管理サーバはさらに、セキュアチャネルをセキュアエレメントに設定し、かつセキュアチャネルを通じてセキュアエレメントメッセージを送信するように、構成されることが可能である。

アプリケーション管理サーバは、セキュアエレメント管理サーバに、セキュアエレメントメッセージを送信し、かつセキュアエレメント管理サーバから、セキュアエレメントメッセージの署名を受信するように構成されたセキュアエレメント管理インターフェースを含んでもよい。そして送信器は、選択された接続プロバイダに署名を送信するように構成される。署名は、署名されるメッセージに添付されることが可能である。

アプリケーション管理サーバは、複数のセキュアエレメント管理サーバから、送信先セキュアエレメントに結びつけられているセキュアエレメント管理サーバを選択するように構成されたセキュアエレメント管理サーバセレクタを含んでもよい。

署名されるいくつかのセキュアエレメントメッセージはまとめて送信されることが可能であり、対応する署名はまとめて受信されることが可能である。

本発明の第三の態様は、移動機器に接続されたセキュアエレメントにメッセージを送信するためのコンピュータプログラムであり、ここでセキュアエレメントは移動機器のユーザにつながっている。コンピュータプログラムは、アプリケーション管理サーバ上で実行されたときに、サーバに：アプリケーションサーバから、アプリケーションメッセージおよび送信先セキュアエレメントの識別子を受信させ；アプリケーションメッセージからセキュアエレメントメッセージを生成させ；複数の接続プロバイダから、送信先セキュアエレメントと通信可能な接続プロバイダを選択させ；送信先セキュアエレメントに転送するために、選択された接続プロバイダにセキュアエレメントメッセージを送信させる、コンピュータプログラムコードを含む。

コンピュータプログラムは、選択された接続プロバイダから、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を受信し；アプリケーションサーバに、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を送信するための、コンピュータプログラムコードを、さらに含んでもよい。

コンピュータプログラムコードは、アプリケーションメッセージをセキュアエレメントメッセージとして使用するためのコードを、さらに含んでもよい。

コンピュータプログラムは、セキュアチャネルをセキュアエレメントに設定するためのコンピュータプログラムコードをさらに含んでもよく、ここで送信先セキュアエレメントに転送するためにセキュアエレメントを送信するためのコンピュータプログラムコードは、セキュアチャネルを通じてセキュアエレメントを送信するためのコンピュータプログラムコードを含む。

コンピュータプログラムは、セキュアエレメント管理サーバに、セキュアエレメントメッセージを送信し；セキュアエレメント管理サーバから、セキュアエレメントメッセージの署名を受信するための、コンピュータプログラムコードをさらに含んでもよく、ここでセキュアエレメントメッセージを接続プロバイダに送信するためのコンピュータプログラムコードは、署名を送信するためのコンピュータプログラムコードを含む。

コンピュータプログラムは、複数のセキュアエレメント管理サーバから、送信先セキュアエレメントに結びつけられているセキュアエレメント管理サーバを選択するためのコンピュータプログラムコードをさらに含んでもよく、ここでセキュアエレメントメッセージをセキュアエレメント管理サーバに送信するためのコンピュータプログラムコードは、セキュアエレメントメッセージを選択されたセキュアエレメント管理サーバに送信するためのコンピュータプログラムコードを含む。

署名されるいくつかのセキュアエレメントメッセージはまとめて送信されてもよく、対応する署名はまとめて受信されてもよい。

本発明の第四の態様は、第三の態様によるコンピュータプログラム、およびコンピュータプログラムが格納されているコンピュータ読み取り可能手段を含む、コンピュータプログラム製品である。

第一、第二、第三、および第四の態様のいずれの特徴も、適切であれば、いずれか別の態様に適用されてもよいことに注意されたい。

「複数」という語が明細書および請求項において使用される場合はいつでも、「１つより多い」ことを意味すると理解される。

一般的に、請求項において使用されるすべての用語は、本明細書において別途明確に定義されない限り、当該技術分野におけるその一般的な意味に従って解釈されるべきである。「１つの／その要素、装置、部品、手段、ステップなど」という表現はすべて、別途明確に提示されない限り、その要素、装置、部品、手段、ステップなどの少なくとも１つの例を示すものとして、非限定的に解釈される。本明細書に開示されるいずれの方法のステップも、明確に提示されない限り、開示された順序のとおりに実行される必要はない。

本発明はここで、以下の添付図面を参照して、例示によって記載される。

本発明の実施形態が適用され得る環境を示す模式図である。セキュアエレメントへのアプリケーションのインストールのための、図１の実体の間の通信を示すシーケンス図である。アプリケーションサーバとセキュアエレメントとの間のリアルタイム通信のための、図１の実体の間の通信を示すシーケンス図である。図１のアプリケーションマネージャの内部モジュールを示す模式図である。図１のセキュアエレメントマネージャ４の内部モジュールを示す模式図である。別の視点からの、図１のアプリケーションマネージャの内部モジュールを示す模式図である。図１のアプリケーションマネージャにおいて実行される方法を示すフローチャートである。コンピュータ読み取り可能手段を含むコンピュータプログラム製品の一例を示す図である。図１のセキュアエレメントとの通信を示す模式図である。

本発明はここで、本発明の特定の実施形態が示される添付図を参照して、以下により詳細に記載される。しかしながら、本発明は、多くの異なる形態で実現されてもよく、本明細書内に提示される実施形態に限定されると解釈されるべきではない；むしろ、これらの実施形態は、本開示が徹底的かつ完璧になるように、および本発明の範囲を当業者に完全に伝えるように、一例として提供される。類似の番号は、明細書を通じて類似の要素を示す。

トラステッドサービスマネージャを使用する既存の解決法は、ＴＳＭと、たとえばＯＴＡ（無線）サーバなど、セキュアエレメントと通信するために使用される実際の通信チャネルとの間に、緊密な結合を有する。これらは、ＴＳＭと、使用されるアプリケーションロジックとの間にも緊密な結合を有する。これは、ＴＳＭが、すべての異なるタイプの低レベル通信およびすべての異なるタイプのアプリケーションロジックを扱う非常に複雑な実体でなければならないような、システムにつながる。これはまた、サービスプロバイダと、セキュアエレメント上のサービスプロバイダのアプリケーションとの間にエンドツーエンドの信頼関係がある信頼モデルを妨害する。代わりに、サービスプロバイダは、安全性を提供するので、強制的にＴＳＭを信頼させられる。

また、セキュアエレメントによって要求された場合に、サービスプロバイダに代わって、ＴＳＭとセキュアエレメントとの間で送信されたコマンドに署名することが可能な、セキュアエレメントマネージャの包含もない。これはたとえば、アプリケーションマネージャが管理コマンド（たとえば新たなアプリケーションのインストールまたはセキュアエレメント上のアプリケーションのアンインストールなど）を実行したいが、しかし承認された管理権を有していない場合に、必要とされる。

これらの能力の欠落は、ＴＳＭを仲介役に適応させるために必要とされる柔軟性の多くが欠落しているシステムをもたらす。

ここで、図１に示されるシステムを参照して説明を続ける。本システムは、ＡからＧの７つのインターフェース、および１、３〜５、７〜９の７つの機能ブロックからなる。以下に、機能ブロックの説明を続ける。

アプリケーションサーバ３は、特定用途向けロジックおよびエンドユーザ管理を担っている。エンドユーザは、たとえば移動機器７のブラウザアプリケーション、外部コンピュータのブラウザから、またはアプリケーションサーバ３と接続する特定のソフトウェアを通じて、アプリケーションサーバと個別に接続することができる。アプリケーションサーバ３は、たとえば銀行、輸送業者、イベントチケット販売業者、クーポン発行サービスなどの、サービスプロバイダの責任の下にあってもよい。

アプリケーション管理サーバ１は、セキュアエレメント８上のアプリケーションのインストールおよび管理に関与するサーバである。したがって、アプリケーション管理サーバ１は、（セキュアエレメントマネージャからの承認を必要とする操作のため）管理トークンを獲得するためにセキュアエレメントマネージャと、セキュアエレメントへのリンクを設定するためにセキュアエレメント接続プロバイダと、および実際のアプリケーション管理を実行するためにセキュアエレメント自体と、交流する。アプリケーション管理サーバ１はまた、いつおよびどこに特定のアプリケーションをインストールすべきか、またはアプリケーションサーバ３がどのアプリケーションまたはセキュリティドメインと通信しようとしているかを知るために、アプリケーションサーバ３とも交流する。アプリケーション管理サーバ１は、アプリケーションサーバ３との接続を簡素化し、それによってアプリケーションサーバ３はアプリケーション管理サーバ１の範囲内のいずれのセキュアエレメントとのいかなる通信（リアルタイムであってもなくても）のためにも、アプリケーション管理サーバ１に接続することが可能となる。

セキュアエレメント接続プロバイダ５は、セキュアエレメントへのリンクの設定に関与するサーバである。セキュアエレメント接続プロバイダ５は、ＳＩＭＯＴＡ、ＯＭＡＤＭサーバ、またはセキュアエレメントと通信可能なその他いずれかの実体であってもよい。

セキュアエレメントマネージャ４は、セキュアエレメント上に承認された管理権を備える安全領域を有するサーバである。アプリケーション管理サーバ１は、管理トークンを作成するために、セキュアエレメントマネージャ４と交流する。

移動機器７。移動機器７は、アプリケーション管理サーバ１とセキュアエレメントとの間にリンクを設定するために、セキュアエレメント接続プロバイダ５と交流する。移動機器７は、たとえば携帯（セルラー）電話であってもよい。

セキュアエレメント８は、アプリケーションサーバ３によって発行されたアプリケーションを収容し、アプリケーションを管理するためにアプリケーション管理サーバ１と交流する。

図１に見られるインターフェースは７つあり、これらは以下に示される。

インターフェースＡは、以下のタスクを実行するために、アプリケーションサーバ３とアプリケーション管理サーバ１との交流を可能にする：
−セキュアエレメントに向けられたアプリケーションをアプリケーション管理サーバ１にアップロードする。
−グローバルプラットフォームに基づくセキュアチャネルプロトコルを使用して、特定の身元（特定用途向けエイリアスまたはＭＳＩＳＤＮに拘束されている）に属するセキュアエレメント８上にアプリケーションをロード、アンインストール、またはカスタマイズする。
−セキュアエレメント８上のインストール済みアプリケーションまたはセキュリティドメインとのリアルタイム通信を有する。
−セキュリティドメインを作成／削除する。
−特定の要素または実体（上記のように定義される）が空間などによって特定用途を実行できるか否かに関する情報を要求する。

インターフェースＢは、セキュアエレメントマネージャ４の秘密鍵で署名されるＡＰＤＵ（アプリケーションプロトコルデータ単位）を送信するために、アプリケーション管理サーバ１がセキュアエレメントマネージャ４と交流できるようにする。

インターフェースＣは、セキュアエレメントとリアルタイム通信を有するために、アプリケーション管理サーバ１がセキュアエレメント８へのＷＡＮリンクを設定できるようにする。

インターフェースＤは、セキュアエレメントへのリンクを設定するために、セキュアエレメント接続プロバイダ５によって使用される。このインターフェースは、ＳＩＭＯＴＡ、ＯＭＡＤＭ、ＨＴＴＰＳ、またはいずれかの形式でＡＰＤＵを送信することが可能なその他のプロトコルに基づくことが、可能である。

インターフェースＥは、セキュアエレメント８と交流するためにアプリケーション管理サーバ１によって使用され、グローバルプラットフォーム仕様に基づくことが可能である。

インターフェースＦは、セキュアエレメント８と交流するためにアプリケーションサーバ３によって使用され、たとえばＡＰＤＵを使用することが可能である。

インターフェースＧは、当該技術分野そのものにおいて周知のように、セキュアエレメント８と販売時点管理（ＰｏＳ）端末９との間のインターフェースである。このインターフェースを通じての通信を可能にするために、ＡＰＤＵが利用され得る。

アプリケーション管理サーバ１の恩恵の多くは、一般的に、完全なシステムは複数のセキュアエレメント接続プロバイダ５および複数のセキュアエレメントマネージャ４を含むという事実に起因する。この事実は、アプリケーション管理サーバ１によって、アプリケーションサーバ３から隠されている。

図２は、図１および図２の要素を使用して、まずアプリケーションをアプリケーション管理サーバ１にどのようにアップロードするか、次にこのアプリケーションをセキュアエレメント８にどのようにインストールするかを示す、シーケンス図である。

まず、アプリケーションサーバ３とアプリケーション管理サーバ１との間にのみ、交流がある。アプリケーションサーバ３は、アプリケーション管理サーバ１にアプリケーションを格納するように依頼１０し、それによってアプリケーションマネージャは、アプリケーションがアプリケーション管理サーバ１に格納されたときに、確認メッセージをもって応答１１する。このシーケンスは一度実行され、その後アプリケーション管理サーバ１はこのアプリケーションを、多くの異なるセキュアエレメント８に対して再利用することができる。アプリケーション管理サーバ１がこのアプリケーションを、アップロードされたもの以外のアプリケーションサーバ３に対して再利用するようにすることも可能である。

続いて、アプリケーションサーバ３は、アプリケーション管理サーバ１にこのアプリケーションを特定のエンドユーザにインストールするように依頼１２し、それによってアプリケーション管理サーバ１は確認応答をもって応答１３する。するとアプリケーション管理サーバ１は、エンドユーザ装置内で利用可能な複数のセキュアエレメントの中から選択することができる。１つを選択した後、これはグローバルプラットフォーム仕様に応じて署名されたロードおよびインストールコマンドを取得するために、そのセキュアエレメント８のセキュアエレメントマネージャ４（たとえばセキュアエレメント８に対応するオペレータまたは端末製造元）に接触１４する。署名されたこれらのコマンドを受信１５した後、アプリケーション管理サーバ１は、セキュアエレメント接続プロバイダ５と通信１６することによって、セキュアエレメント８へのチャネルを開放する。セキュアエレメント接続プロバイダ５はその後、ひいてはセキュアエレメント８とのチャネルを開放１８する移動機器にこれを要求１７することによって、セキュアエレメント８へのチャネルを開放する。セキュアエレメントは移動機器７への開放チャネルを確認１９し、これがひいては接続プロバイダ５を確認２０し、これが最終的にアプリケーションマネージャ１への開放チャネルを確認２１する。このチャネルを通じて、グローバルプラットフォーム標準化セキュアチャネルが最初に設定され、次に実際のロードおよびインストールコマンドが送信される。コマンドは、アプリケーションマネージャ１から接続プロバイダ５に送信２９され、これが、セキュアエレメントへのさらなる転送３１のため、コマンドを移動機器７へ転送３０する。コマンドは、セキュアエレメント８から移動機器７へ、そしてアプリケーションマネージャ１へ、通知３２、３３、３４される。コマンドはいくつでも送信可能であり、必要に応じて通信２９〜３４を繰り返す。すべての準備が整ったら、確認応答はアプリケーションサーバ３へ送信３５される。

図３は、図１の要素を使用して、アプリケーションサーバ３がインストール済みアプリケーションとのリアルタイム通信をどのように実行するかを示す、シーケンス図である。

アプリケーションサーバ３がそのインストール済みアプリケーション（またはセキュリティドメイン）とリアルタイムのデータをやりとりしたい場合、アプリケーションサーバ３はアプリケーション管理サーバ１に、特定のアプリケーション（またはセキュリティドメイン）へのチャネルを開放するように要求４０する。アプリケーション管理サーバ１は、セキュアエレメント接続プロバイダ５と通信４１することによって、セキュアエレメント８へのチャネルを開放する。セキュアエレメント接続プロバイダ５はその後、ひいてはセキュアエレメント８とのチャネルを開放４３する移動機器７に、これを要求４２することによって、セキュアエレメント８へのチャネルを開放する。セキュアエレメントは移動機器７への開放チャネルを確認４４し、ひいてはこれが接続プロバイダ５を確認４５し、これが最終的にアプリケーションマネージャ１への開放チャネルを確認４６する。アプリケーション管理サーバ１がチャネルの開放に成功した場合、これはその後に、アプリケーション管理サーバ１およびセキュアエレメント接続プロバイダ５を経由して、アプリケーションまたはセキュリティドメインにＡＰＤＵを直接転送するために、アプリケーションサーバ３によって使用されることが可能である。これは、ＡＰＤＵがアプリケーションサーバ３からアプリケーション管理サーバ１へ、そして接続プロバイダ５を経由してセキュアエレメント８へ転送５１、５２、５３することによって実行される。応答ＡＰＤＵは、セキュアエレメント８から接続プロバイダ５およびアプリケーション管理サーバ１を経由してアプリケーションサーバ３へ、逆の順序で送信５４、５５、５６される。複数のＡＰＤＵは、アプリケーションサーバ３によって望まれるように転送されることが可能であり、それによって通信５１〜５６が繰り返される。

アプリケーションサーバ３は、通信を終了すると、アプリケーション管理サーバ１にチャネルを閉鎖するように要求５８することによってこれを示す。チャネルが開放されたときと類似の方法で、アプリケーション管理サーバ１は、接続プロバイダ５および移動機器７を経由する通信５９〜６１を使用して、チャネルを閉鎖する。閉鎖チャネルの確認応答は、セキュアエレメント８から接続プロバイダ５およびアプリケーション管理サーバ１を経由してアプリケーションサーバ３へ、逆の順序で送信される。

この例のチャネルは、変更のないＡＰＤＵ、またはいずれかのセキュアチャネルプロトコルを使用して暗号化および／または署名されたＡＰＤＵを搬送してもよい。この場合、セキュアエレメントマネージャ４を包含する必要があるかもしれない。これは図４には示されていないが、しかし図２に示されるのと同じ方法で実現可能である。言い換えると、暗号化される必要のあるいずれのコマンドも、署名または暗号化のために、アプリケーション管理サーバ１からセキュアエレメントマネージャ４に送信される。

図４は、図１および図２のアプリケーション管理サーバ１の内部を示す。アプリケーション管理サーバ１は、異なる要素との関係を取り扱う一組のデータベース７５〜８０を含む。具体的には、アプリケーションサーバ３の動きを記録するための記憶装置７５、アプリケーションの動きを記録するための記憶装置７６、セキュアエレメント８の動きを記録するための記憶装置７７、エンドユーザの動きを記録するための記憶装置７８、セキュアエレメントマネージャ４の動きを記録するための記憶装置７９、およびセキュアエレメント接続プロバイダ５の動きを記録するための記憶装置８０がある。これに加えて、アプリケーション管理サーバ１は、異なるタスクを実行するために、多数のエンジンを含む。インターフェースＡエンジン７０、インターフェースＢエンジン７２、およびインターフェースＣエンジン７４など、異なるインターフェースを通じて通信を制御するためのエンジン７０、７２、７４が存在する。さらに、これらの要素をまとめる中央エンジン７３が存在する。グローバルプラットフォームプロトコルを実行し、ＡＰＤＵを作成するためのエンジン７１も存在する。

通常、フローは、アプリケーション管理サーバ１がセキュアエレメント８へのチャネルを開放し、次にこのチャネルを通るべきＡＰＤＵがセキュアエレメントマネージャ４によって署名されるべきか否かに応じて、署名のためにＡＰＤＵをセキュアエレメントマネージャ４に転送し、新たに開放されたチャネルを通じて署名されたＡＰＤＵを転送するか、あるいは単にチャネルを通じて署名されていないＡＰＤＵを転送するものである。

図５は、図１および図２のセキュアエレメントマネージャ４ノードの構成要素を示す。セキュアエレメントマネージャ４は、会計目的のための記憶装置１１２（任意）およびトークンを作成するためのキー記憶装置１１３を含む。これはまた、それを通じてアプリケーション管理サーバ１および署名エンジン１１１と通信することが可能な、インターフェースＢエンジン１１０も含む。

セキュアエレメントマネージャノード４の主要な目的は、コマンドがカードに向かうセキュアチャネルに入力される前に、アプリケーション管理サーバ１からの管理コマンドに署名することである。これは、セキュアエレメントマネージャ４が、承認された管理権限およびトークン照合権限を有するカード上の安全領域を有することを前提とする。以下のコマンドにおいて、委任された管理権限を有するのみである場合、アプリケーション管理サーバ１にとってトークンが必要とされる：
・実装；
・インストールおよび選択可能とすること；
・引き渡し；
・グローバルプラットフォームレジストリへのアップデート；
・削除。

トークン生成は、パッケージごとに実行される。

図６は、図１のアプリケーション管理サーバ１の別の視点におけるモジュールを示す。モジュール９３、９４、９６、９８、８８は、ソフトウェアおよび／またはハードウェアを使用して、実現されることが可能である。モジュールが、コントローラおよびメモリなどのいくつかのハードウェア構成要素を共有してもよいことも特筆されるべきである。アプリケーション管理サーバ１は、そこに送信される適切なメッセージに対して機能するように構成されたサーバである。

アプリケーション管理サーバ１は、アプリケーションサーバ３から、アプリケーションメッセージおよび送信先セキュアエレメント８の識別子を、インターフェースＡを通じて受信するように構成された、受信器９３を含む。受信器９３は、インターフェースＡを使用し、図４のインターフェースＡエンジンに対応している。受信器はまた、インターフェースＡを通じて双方向通信を実現するために、送信器を含むことも可能である。

コントローラ９４は、アプリケーションメッセージからセキュアエレメントメッセージを生成するように構成されている。コントローラは、たとえばサーバの中央処理装置（ＣＰＵ）であってもよい。

接続セレクタ９８は、複数の接続プロバイダから、送信先セキュアエレメント８と通信可能な接続プロバイダを選択するように構成されている。第二アプリケーション管理サーバ１が送信先セキュアエレメント８と通信可能である場合、接続セレクタ９８は、この第二アプリケーション管理サーバ１を選択することができる。

送信器９９は、送信先セキュアエレメント８に転送するために、選択された接続プロバイダにセキュアエレメントメッセージを送信するように構成されている。送信器９９はインターフェースＣを使用し、図４のインターフェースＣエンジン７４に対応している。送信器はまた、インターフェースＣを通じて双方向通信を実現するために、インターフェースＣ受信器を含むことも可能である。

セキュアエレメント管理インターフェース９５（図４参照）は：セキュアエレメント管理サーバに、セキュアエレメントメッセージを送信し；セキュアエレメント管理サーバから、セキュアエレメントメッセージの署名を受信するように、構成されている要素を含む。セキュアエレメント管理インターフェース９５は、図４のインターフェースＢエンジン７２に対応する。

セキュアエレメント管理サーバセレクタ９２は、複数のセキュアエレメント管理サーバから、送信先セキュアエレメントに結びつけられているセキュアエレメント管理サーバを選択するように構成されている。選択されたセキュアエレメント管理サーバは、セキュアエレメント管理インターフェース７２を使用する通信に使用される。

ここではメモリ９６の形態の、コンピュータプログラム製品が提供され、これはＲＡＭなどの一時メモリであり、磁気記憶装置、固体記憶装置、光学記憶装置、またはこれらのいずれかの組合せなどの永続性記憶装置および／またはそれに対するアクセスを有する。メモリ９６は、アプリケーション管理サーバ１上で実行されたときに、図７を参照して以下に記載される方法をアプリケーション管理サーバ１に実行させるソフトウェアコードを含むコンピュータプログラムを含むことができる。

図７は、本発明による方法を示すフローチャートである。方法は、図１のその他の要素と併せて、図１のアプリケーション管理サーバ１において実行される。

最初の受信アプリケーションメッセージステップ８０において、アプリケーションメッセージがアプリケーションサーバ３から受信される。アプリケーションメッセージは、アプリケーションメッセージの一部として、または別途に、アプリケーションメッセージの内容をどこに送信すべきかの識別子を含む。この識別子はたとえば、ＭＳＩＳＤＮ番号（すなわち電話番号）、および随意的にＭＳＩＳＤＮ番号に結びつけられた移動機器７のセキュアエレメント８に格納されたアプリケーションのアプリケーション識別子であってもよい。

アプリケーションメッセージからセキュアエレメントメッセージを生成するステップ８１において、セキュアエレメントメッセージが生成される。これは、単にアプリケーションメッセージを転送すること、またはアプリケーションメッセージのカプセル化と同じくらい単純であり得る。

署名のためにセキュアエレメントメッセージを送信する随意的ステップ８２において、セキュアエレメントメッセージは、署名のためにセキュアエレメント管理サーバ４に送信される。これはたとえば、セキュアエレメントマネージャ４の制御の下にあってもよく、それによってセキュアエレメント８に対する特定の操作の制御を維持することが可能な、アプリケーションインストール、アプリケーション削除などの、セキュアエレメント８における承認された操作を実行するために、必要となり得る。随意的に、一群のセキュアエレメントメッセージが、効率化のため署名のために送信される。随意的に、セキュアエレメントマネージャ４は、送信先セキュアエレメント８に応じて選択される。たとえば、送信先セキュアエレメント８がオペレータＡに属している場合、オペレータＡに属しているセキュアエレメントマネージャ４がこのステップにおいて選択される。通常、アプリケーション管理サーバ１は、各々がその制御の下にある一群のセキュアエレメント８を備える、たとえば複数のオペレータに属している、そこから選択すべき複数のセキュアエレメントマネージャ４を有している。

ステップ８２が実行された場合、セキュアエレメントメッセージのための署名を受信するために、ステップ８３が実行される。署名はセキュアエレメントメッセージに添付されることが可能であるか、またはこれはそれ自体で送信されることが可能である。一群のセキュアエレメントメッセージがステップ８２において送信される場合、一群の署名（元のセキュアエレメントメッセージに添付されるかまたはそれ自体で）がこのステップにおいて受信される。

接続プロバイダを選択するステップ８４において、送信先セキュアエレメント８と通信可能な接続プロバイダが選択される。たとえば、接続プロバイダは、移動機器７のホームネットワークの移動体通信事業者であってもよい。アプリケーション管理サーバ１は、適切な接続プロバイダを選択する際に、そこから選択すべき複数の接続プロバイダを有している。したがって、アプリケーションサーバ３から複雑さが遮蔽され、これは単純にアプリケーションメッセージをアプリケーション管理サーバ１に送信し、適切な接続プロバイダの選択およびこれとの通信をアプリケーション管理サーバ１に担当させることが可能である。

セキュアチャネルを設定する随意的なステップ８６において、セキュアエレメント８にセキュアチャネルが設定される。これは、アプリケーションサーバ３がセキュアエレメント８との安全な通信をアプリケーションサーバ３に委ねる場合に、使用されることが可能である。あるいは、アプリケーションサーバ３自体が安全な接続を行う場合には、アプリケーションサーバ３とセキュアエレメント８上のアプリケーションとの間のエンドツーエンドセキュリティはアプリケーションサーバ３の支援なしに維持されるので、通常このステップは省略される。このステップ８６において、安全領域が選択され、セキュアエレメント８上の安全領域と、ひいてはその領域におけるいずれかのアプリケーションと、安全に通信するために暗号鍵などの必要なセキュリティ対策が使用される。

セキュアエレメントメッセージを送信するステップ８７において、送信先セキュアエレメント８に転送するために、セキュアエレメント８は、選択された接続プロバイダに送信される。当然ながら、署名が取得されれば、これらもまた選択された接続プロバイダを経由してセキュアエレメント８に送信される。セキュアチャネルが事前に設定されている場合には、このセキュアチャネルは、明白にまたは暗黙的に、送信において使用される。

確認応答を扱う随意的なステップ８８において、アプリケーション管理サーバ１は、選択された接続プロバイダから、送信先セキュアエレメント８がセキュアエレメントメッセージを受信したという確認応答を受信する。続いて、送信先セキュアエレメント８がセキュアエレメントメッセージを受信したという確認応答は、アプリケーションサーバ３に送信される。

図８は、コンピュータ読み取り可能手段１００を含むコンピュータプログラム製品の一例を示す。このコンピュータ読み取り可能手段１００上に、コンピュータプログラムが格納可能であり、コンピュータプログラムはコンピュータに、本明細書に記載の実施形態による方法を実行させることが可能である。本例において、コンピュータプログラム製品は、ＣＤ（コンパクトディスク）またはＤＶＤ（デジタル多用途ディスク）などの、光ディスクである。コンピュータ読み取り可能手段はまた、フラッシュメモリなどの固体メモリ、またはインターネットなどのネットワークを通じて配布されるソフトウェアパッケージであってもよい。

図９は、セキュアエレメント８の環境を示す。セキュアエレメント８は、本質的に、安全な実行の可能性を伴うかまたは伴わない、セキュアメモリである。セキュアメモリは、書き込みおよび／または読み取り操作が承認されている、記憶装置である。安全な実行環境は、これらが安全に分離されるようなやり方でアプリケーションを実行する方法である。対象とするアプリケーションのために割り当てられた、実装済みセキュアメモリの部分にアクセスするために、安全な実行環境からの統合された支援が存在する場合も多い。セキュアエレメント８の例は、グローバルプラットフォーム仕様に準拠しているセキュアエレメント、ＴＣＧ仕様に準拠しているＴＰＭ／ＭＴＭモジュール、およびセキュアメモリを備えるかまたは備えないＡＲＭＴｒｕｓｔＺｏｎｅで起動されるＣＰＵであるが、これらに限定されない。セキュアエレメントは、個別のメモリ、または別の目的にも使用される物理的メモリ内の論理メモリ空間であってもよい。

通常、セキュアエレメント８との通信の必要もある。この通信は、セキュアエレメント８の安全な実行環境において動作するアプリケーションによって、および／またはセキュアメモリによって直接的に、行われることが可能である。このような通信プロトコル１０２の一例は、ＩＳＯ７８１６で定義されるＡＰＤＵに基づくプロトコルであるが、これに限定されない。このような通信は一般的に、接続装置１０１を使用して実行される。

本発明は、トラステッドサービスマネージャ、この場合にはアプリケーション管理サーバ１から、低レベルセキュアエレメント信号を分離することを可能にする。これはまた、転送されたデータがセキュアエレメントマネージャ４などの第三者によって照合／署名される可能性も提供する。これは、セキュアエレメント接続プロバイダ５とサービスプロバイダのアプリケーションサーバ３との間の仲介者の役割において、アプリケーション管理サーバ１に大いに貢献することが可能な、複数の新たな信頼モデルを可能にする。これはまた、サービスプロバイダのアプリケーションサーバ３が、セキュアエレメント８上のそのアプリケーションおよび／またはセキュリティドメインとの直接的な、リアルタイムの、非特定用途向けの、インターフェースを有することも可能にする。これはサービスプロバイダに、今日セキュアエレメント８がサービスプロバイダのシステムと物理的に接触しているときにすでに有しているのと同じタイプの、セキュアエレメント８に対するインターフェースを与える。これは、サービスプロバイダが、ＴＳＭを使用しているときに、セキュアエレメント８と通信するために既存のプロトコルを再利用できるようにする。

本明細書においてサーバという用語が使用されるときはいつでも、記載されるようなタスクを実行可能な、いずれかの適切なコンピュータが使用され得る。たとえば、Ｌｉｎｕｘ、ＭＳＷｉｎｄｏｗｓ、ＡｐｐｌｅＭａｃＯＳ、ＵＮＩＸ系ＯＳなどのオペレーティングシステムを実行するコンピュータが、使用され得る。いずれのサーバも、プロセッサ（たとえばＣＰＵなど）、ＲＡＭなどの一時メモリを含み、磁気記憶装置、固体記憶装置、光学記憶装置、またはこれらのいずれかの組合せなどの永続性記憶装置へのアクセスを有する。

本発明について、主に、幾つかの実施形態を参照して上記に説明した。しかしながら、当業者によって容易に理解されるように、先に開示された以外の実施形態も、本発明の範囲内において同様に可能である。

Claims

移動機器に接続されたセキュアエレメントにメッセージを送信する方法であって、セキュアエレメントが移動機器のユーザにつながっているもので、アプリケーション管理サーバ内で実行される、
アプリケーションサーバから、アプリケーションメッセージおよび送信先セキュアエレメントの識別子を受信するステップと、
アプリケーションメッセージからセキュアエレメントメッセージを生成するステップと、
複数の接続プロバイダから、送信先セキュアエレメントと通信可能な接続プロバイダを選択するステップと、
送信先セキュアエレメントに転送するために、選択された接続プロバイダにセキュアエレメントメッセージを送信するステップと
を含む方法。
選択された接続プロバイダから、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を受信するステップと、
アプリケーションサーバに、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を送信するステップと
をさらに含む、請求項１に記載の方法。
前記セキュアエレメントメッセージを生成するステップが、アプリケーションメッセージをセキュアエレメントメッセージとして使用することを含む、請求項１または２に記載の方法。
セキュアチャネルをセキュアエレメントに設定するステップ
をさらに含み、
送信先セキュアエレメントに転送するためにセキュアエレメントメッセージを送信するステップが、セキュアチャネルを通じてセキュアエレメントメッセージを送信することを含む、請求項１ないし３のいずれか１項に記載の方法。
セキュアエレメントメッセージを送信するステップに先立って、
セキュアエレメント管理サーバにセキュアエレメントメッセージを送信するステップと、
セキュアエレメント管理サーバからセキュアエレメントメッセージの署名を受信するステップと
をさらに含み、
セキュアエレメントメッセージを接続プロバイダに送信することが、署名を送信することを含む、請求項１ないし４のいずれか１項に記載の方法。
署名が、署名されるメッセージに添付される、請求項５に記載の方法。
セキュアエレメントメッセージをセキュアエレメント管理サーバに送信するステップに先立って、
複数のセキュアエレメント管理サーバから、送信先セキュアエレメントに結びつけられているセキュアエレメント管理サーバを選択するステップ
をさらに含み、
セキュアエレメントメッセージをセキュアエレメント管理サーバに送信するステップが、セキュアエレメントメッセージを選択されたセキュアエレメント管理サーバに送信することを含む、請求項５または６に記載の方法。
署名される複数のセキュアエレメントメッセージがまとめて送信され、対応する署名がまとめて受信される、請求項５ないし７のいずれか１項に記載の方法。
移動機器に接続されたセキュアエレメントにメッセージを送信するためのアプリケーション管理サーバであって、セキュアエレメントが移動機器のユーザにつながっているもので、
アプリケーションサーバから、アプリケーションメッセージおよび送信先セキュアエレメントの識別子を受信するように構成されている受信器と、
アプリケーションメッセージからセキュアエレメントメッセージを生成するように構成されているコントローラと、
複数の接続プロバイダから、送信先セキュアエレメントと通信可能な接続プロバイダを選択するように構成されている接続セレクタと、
送信先セキュアエレメントに転送するために、選択された接続プロバイダにセキュアエレメントメッセージを送信するように構成されている送信器と
を含むアプリケーション管理サーバ。
接続セレクタが、請求項９による第二アプリケーション管理サーバを選択するように構成されており、第二アプリケーション管理サーバが送信先セキュアエレメントと通信可能である、請求項９に記載のアプリケーション管理サーバ。
選択された接続プロバイダから、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を受信し、かつアプリケーションサーバに、送信先セキュアエレメントがセキュアエレメントメッセージを受信したという確認応答を送信するように構成されている、請求項９または１０に記載のアプリケーション管理サーバ。
セキュアエレメント管理サーバにセキュアエレメントメッセージを送信し、かつセキュアエレメント管理サーバからセキュアエレメントメッセージの署名を受信するように構成されたセキュアエレメント管理インターフェースを含む、請求項９ないし１１のいずれか１項に記載のアプリケーション管理サーバ。
複数のセキュアエレメント管理サーバから、送信先セキュアエレメントに結びつけられているセキュアエレメント管理サーバを選択するように構成されたセキュアエレメント管理サーバセレクタを含む、請求項９ないし１２のいずれか１項に記載のアプリケーション管理サーバ。
移動機器に接続されたセキュアエレメントにメッセージを送信するためのコンピュータプログラムであって、セキュアエレメントは移動機器のユーザにつながっているもので、コンピュータプログラムは、アプリケーション管理サーバ上で実行されると、サーバに、
アプリケーションサーバから、アプリケーションメッセージおよび送信先セキュアエレメントの識別子を受信させ、
アプリケーションメッセージからセキュアエレメントメッセージを生成させ、
複数の接続プロバイダから、送信先セキュアエレメントと通信可能な接続プロバイダを選択させ、かつ
送信先セキュアエレメントに転送するために、選択された接続プロバイダへセキュアエレメントメッセージを送信させる
コンピュータプログラムコードを含む、コンピュータプログラム。
請求項１４に記載のコンピュータプログラム、およびコンピュータプログラムが格納されているコンピュータ読み取り可能手段を含む、コンピュータプログラム製品。