JP2013546108A - 非接触型スマートカードのためのローカルのトラステッドサービスマネージャ - Google Patents

Abstract

ローカルのトラステッドサービスマネージャを非接触型スマートカード装置のセキュアエレメント（ｓｅｃｕｒｅ ｅｌｅｍｅｎｔ、ＳＥ）内に配備するためのシステム、方法、コンピュータプログラム、および装置が本明細書で開示される。セキュアエレメントは、非接触型スマートカード装置に組み込まれた非接触型スマートカードの構成要素である。公開鍵−秘密鍵の対を生成するために非対称暗号化アルゴリズムが使用される。秘密鍵は、セキュアエレメント内に格納され、セキュアエレメント内のトラステッドサービスマネージャ（ＴＳＭ）ソフトウェアアプリケーションまたは制御ソフトウェアアプリケーションによってアクセス可能である。公開鍵にアクセスできる非ＴＳＭコンピュータはアプリケーションデータまたはソフトウェアアプリケーションを暗号化し、次いで、暗号化されたアプリケーションデータまたはソフトウェアアプリケーションをセキュアエレメントに送信し、そこで、ＴＳＭソフトウェアアプリケーションはそのソフトウェアアプリケーションを解読し、トランザクション目的で、そのソフトウェアアプリケーションをセキュアエレメントにインストールする。

Description

〔関連出願〕
本願は、２０１０年１２月１７日に出願された、「Ｓｙｓｔｅｍ Ａｎｄ Ｍｅｔｈｏｄｓ Ｆｏｒ Ｄｅｐｌｏｙｉｎｇ Ａ Ｔｒｕｓｔｅｄ Ｓｅｒｖｉｃｅ Ｍａｎａｇｅｒ Ｌｏｃａｌｌｙ Ｉｎ Ａ Ｃｏｎｔａｃｔｌｅｓｓ Ｐａｙｍｅｎｔ Ｄｅｖｉｃｅ」という名称の米国仮特許出願第６１／４２４，６０４号に対する優先権を主張する、２０１１年９月１７日に出願された、「Ｌｏｃａｌ Ｔｒｕｓｔｅｄ Ｓｅｒｖｉｃｅｓ Ｍａｎａｇｅｒ ｆｏｒ ａ Ｃｏｎｔａｃｔｌｅｓｓ Ｓｍａｒｔ Ｃａｒｄ」という名称の米国特許出願第１３／２３５，３７５号の継続出願であり、かつ、それに対する優先権を主張する、２０１１年９月２６日に出願された、「Ｌｏｃａｌ Ｔｒｕｓｔｅｄ Ｓｅｒｖｉｃｅｓ Ｍａｎａｇｅｒ ｆｏｒ ａ Ｃｏｎｔａｃｔｌｅｓｓ Ｓｍａｒｔ Ｃａｒｄ」という名称の米国特許出願第１３／２４４，７１５号に対する優先権を主張する。上で特定される優先出願の各々の内容は、その全体が参照によって本明細書に組み込まれる。

本開示は、一般に、非接触型スマートカード装置内のセキュアエレメント（ｓｅｃｕｒｅ ｅｌｅｍｅｎｔ、ＳＥ）の名前空間を分割するため、および、セキュアエレメントの外部のソフトウェアアプリケーションからの要求を使用して、アプリケーションデータをセキュアエレメントに書き込むための、コンピュータ実装システム、方法、および装置に関する。

非接触型トランザクションシステムは、トランザクション目的のためにセキュア非接触型スマートカードを使用する。いくつかの例となるトランザクションシステムには、交通−乗車カード、認証および身分証明カード、駐車カード、およびテレフォンカードが含まれる。例となるセキュア非接触型スマートカードは、ＮＸＰ Ｓｅｍｉｃｏｎｄｕｃｔｏｒｓ製のＭＩＦＡＲＥ（登録商標）カードまたはＨＩＤ Ｇｌｏｂａｌ製のｉＣｌａｓｓ（登録商標）カードである。ある種の従来型のスマートカードは、カードリーダー装置に対して情報を送受信するために無線自動識別（ＲＦＩＤ）規格を使用する。ＲＦＩＤベースの非接触型スマートカード装置は、スマートカードおよびカードリーダーに対する国際標準化機構および国際電気標準会議規格（ＩＳＯ／ＩＥＣ）１４４４３によってサポートされる。ある種の非接触型カード型装置は、アンテナおよびセキュアメモリなどの電子部品の使用、ならびにメモリ管理装置、プロセッサ、および暗号生成装置などの半導体部品のサポートで可能にされる。

異なるタイプのソフトウェアアプリケーションまたはアプリケーションデータメモリ領域は、ランダムアクセスメモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）、および不揮発性フラッシュメモリを含む。これらのメモリ領域は、通常、セキュアメモリ領域であり、アクセス、メンバシップ、または支払目的のためにソフトウェアアプリケーションを動作するのに要とされる全てのセキュア情報を格納する。ある種の低価格の非接触型スマートカードは、重要な処理機能を提供しない可能性があり、これらのスマートカードはしばしば受動的であり、パッシブメモリからの情報を含む無線周波を送信する。さらに、セキュアメモリ領域のぞれぞれは、特定のアプリケーション機能を割り当てられ、それらは、非接触型スマートカード内のセキュアエレメント領域に含まれる。

ある種の非接触型スマートカードは、ＥＭＶ（電子クレジットカード規格）およびＭＩＦＡＲＥ（登録商標）動作機能の両方をサポートするハードウェアおよびソフトウェアのためのプラットフォームを含む。かかるカードは、非接触型スマートカード装置の結合または分離されたセキュアエレメント内の異なる領域を保持するためのプロセッサをさらに含む。非接触型スマートカードは、異なるメモリサイズ、例えば、４ＫＢのＥＥＰＲＯＭ（フラッシュメモリ）または１ＫＢのＥＥＰＲＯＭパッケージ、で利用可能である。しかし、ある種の広く使用されているスマートカードは、いかなるインテリジェント処理機能も有せず、あるメモリ領域だけがあるカードリーダーのみによって読むことができるように、ソフトウェアコード化される。ＭＩＦＡＲＥ Ｃｌａｓｓｉｃ（登録商標）などの、多くの広く使用されている非接触型トランザクションカードでは、さらなる開発を可能にするためにスマートカード内で利用できるリソースの量が限られている。例えば、４ＫＢカード上では、４ＫＢの全てを、カード内でいつでもアクティブにすべきであるという要求が存在する。

非接触型カード内の「メモリ領域」とも呼ばれる、いくつかのセキュアエレメント名前空間では、利用可能なメモリは、静的にパーティションに分割され、パーティションはさらにカードリーダー内でコード化される。最終的に、カードリーダーは事前に定義されたパーティションからのみ読み取る。既に予約超過の名前空間のこの分割は、頻繁な衝突をもたらし、従って、利用可能なメモリ空間をさらに減らす衝突防止プロトコルを用いるという結果となる。さらに、限定されたセキュリティプロトコルが、いかなるプロセッサ機能も有していないカードに対して実施される。この実施は、例えば、クレジットカード用途に対して一般に使用されるＥＭＶタイプのカードと比較して、カードおよびカードリーダー内でのセキュリティ選択肢を減らし得る。

いくつかのソフトウェアアプリケーションは、カード内に格納される情報、ならびにセキュアキーの所有者に対する情報の制御を制限し得る。複数のアプリケーションを含む非接触型スマートカード上では、共有メモリの結果として競合およびエラーが生じる。さらに、第２の会社がカード上のデータの一部を保護する必要がある場合、１つの鍵は、別の鍵をセキュリティオーバーライドすることを提供しないので、この保護は可能ではない。限定されたアプリケーション空間、データ空間、および多者間の利害を備えたセキュリティが、現在のアプリケーションで不十分である。さらに、カード上のアクセス鍵は、鍵「Ｂ」の所有者の許可なしでは更新できない。

ある例となる実施形態では、非接触型スマートカード装置のセキュアエレメント内でトラステッドサービスマネージャ（ＴＳＭ）をローカルに実装するためのコンピュータ実装方法は、非接触型スマートカード装置のセキュアエレメント内に、ＴＳＭソフトウェアアプリケーションをインストールすることであって、ＴＳＭソフトウェアアプリケーションは、アプリケーションデータを要求する送信機能および、受信した暗号化された形式のアプリケーションデータを解読するための暗号解読機能を実行するためのコンピュータコードを含み、受信するアプリケーションデータは、送信機能からの要求に応答して、非接触型スマートカード装置で受信される、ＴＳＭソフトウェアアプリケーションをインストールすることと；セキュアエレメント内に、そのＴＳＭソフトウェアアプリケーションに割り当てられた秘密鍵を格納することであって、その秘密鍵は、非対称暗号アルゴリズムを使用して、対応する公開鍵と一緒に生成される、秘密鍵を格納することと；ＴＳＭソフトウェアアプリケーションの送信機能によって、複数の登録されたリモートの非ＴＳＭコンピュータのうちの１つに、アプリケーションデータに対する要求を送信することであって、そのリモートの非ＴＳＭコンピュータは公開鍵にアクセスするように構成され、かつ、そのリモートの非ＴＳＭコンピュータは要求されたアプリケーションデータをその公開鍵で暗号化する、アプリケーションデータに対する要求を送信することと；非接触型スマートカード装置内で、送信された要求に応答して暗号化されたアプリケーションデータを受信することと；ならびに、ＴＳＭソフトウェアアプリケーションの暗号解読機能によって、上記秘密鍵を使用して、暗号化されたアプリケーションデータを解読すること、を含む。

ある特定の例となる実施形態に従った、非接触型スマートカード装置内のセキュアエレメントの名前空間を分割するため、およびセキュアエレメントの外部のソフトウェアアプリケーションからの要求を使用して、セキュアエレメント内にアプリケーションデータを書き込むための、コンピュータ実装システムおよび装置を示す。 ある特定の例となる実施形態に従った、非接触型スマートカード装置内のセキュアエレメントの名前空間を分割するため、およびセキュアエレメントの外部のソフトウェアアプリケーションからの要求を使用して、セキュアエレメント内にアプリケーションデータを書き込むための、コンピュータ実装システムおよび装置を示す。 ある特定の例となる実施形態に従った、非接触型スマートカード装置内のセキュアエレメントの名前空間のデータ構造、ならびにセキュアエレメント名前空間内のアプリケーションデータの分割および格納を制御する制御ソフトウェアアプリケーションに関連したアプリケーションデータを示す。 ある特定の例となる実施形態に従った、セキュアエレメントの名前空間を、セキュアエレメント内の制御ソフトウェアアプリケーションによって、少なくとも２つの記憶タイプに分割するためのコンピュータ実装方法を示す。 ある特定の例となる実施形態に従った、セキュアエレメントの外部に存在するユーザーインタフェースソフトウェアアプリケーションからの要求を使用して、アプリケーションデータをセキュアエレメント名前空間内に書き込むためのコンピュータ実装方法を示す。 ある特定の例となる実施形態に従った、トラステッドサービスマネージャ（ＴＳＭ）を非接触型スマートカード装置のセキュアエレメント内でローカルに実装するためのコンピュータ実装方法を示す。 ある特定の例となる実施形態に従った、分割およびプロビジョニング目的のために、セキュアエレメント名前空間へのアクセスを制御するコンピュータ実装方法を示す。

アプリケーションディレクトリテーブルは、セキュアエレメント名前空間内に特別なブロックをメタデータブロックとして予約する。これらのブロックは、外部のカードリーダー装置に対して提示されるべきソフトウェアアプリケーションを含む、スロット／ブロックへのアプリケーション識別子（ＡＩＤ）の論理マッピングを含む。外部のカードリーダー装置が非接触型スマートカードに遭遇すると、そのカードリーダー装置は、そのカードリーダーおよびソフトウェアアプリケーションにとって既知である定義されたアクセス鍵を用いて、ディレクトリ内で特定された特別なメタデータブロックに対して認証を試みる。そのブロックが有効な場合、カードリーダーは、割り当てられたブロック内のアプリケーションディレクトリテーブルの内容を読み取り、どのセクター／ブロックにアプリケーションＩＤがマッピングされているかを見つけるために検索を実行する。一例として、小売業者のポイントカードが「１０」のＡＩＤを有する場合、対象のカードリーダー装置は、セキュアエレメント名前空間のデータメモリブロック内のアプリケーションディレクトリテーブルを読み取り、ＡＩＤ「１０」を検索する。ディレクトリサービスは有用なサービスであるが、ブロックおよびそのＡＩＤ名前空間の完全な使用が必要となり、第３者によって外部から管理される。

非接触型スマートカード内のアプリケーション識別子（ＡＩＤ）は、それぞれが８ビット長の機能クラスタおよびアプリケーションコードに分割された１６ビットのコードである。セクター０の鍵「Ａ」または「Ａ鍵」は、６バイトコードの公開セクターであり、セクター０の鍵「Ｂ」または「Ｂ鍵」は、非接触型スマートカード発行者またはカード所有者によって決定され、カード発行者が、あるアクセス鍵および制御ソフトウェアアプリケーションまたは非接触型スマートカード上の他のソフトウェアアプリケーションのある特定のアスペクトを制御する。

「カード発行者」または「カード所有者」は本明細書では区別しないで使用される用語であり、一般に、セキュアエレメントおよびアプリケーションディレクトリを非接触型スマートカード内に配置するエンティティを指す。ＮＦＣサービスプロバイダは、カード発行者タイプのエンティティの例であり得る。

Ｂ鍵は、関連するメモリブロック内のソフトウェアアプリケーションまたはアプリケーションデータに対して変更を行うために、秘密にしておかれる、６バイトコードであり得る。

「アプリケーションデータ」は、本明細書では、データを拡大するか、更新するか、またはソフトウェアアプリケーションに提供するデータを定義する。「ソフトウェアアプリケーション」は、本明細書では、非接触型スマートカードのセキュアエレメント内にインストールおよび実行できる、外部コンピュータから任意の形式で取得される任意のソフトウェアアプリケーションを指す。さらに、「ソフトウェアアプリケーション」および「アプリケーションデータ」は、本明細書では、外部コンピュータからセキュアエレメント内に格納されたデータのタイプを指すために区別しないで使用される。「ソフトウェアアプリケーション」という用語は、特に記載のない限り、ダウンロードされた形式から、任意の中間形式、および最終の実行された形式に至る、ソフトウェアアプリケーションの全ての形式をも含む。

セキュアエレメント名前空間内のアプリケーションディレクトリテーブルのためのデータメモリブロックでは、ソフトウェアアプリケーションが、その２バイトのアプリケーション識別子（ＡＩＤ）を使用してマッピングされるが、１バイトのクラスタコードをアクセス制御のために使用し、もう１バイトはソフトウェアアプリケーションコードまたは最小有効ビット（ＬＳＢ）として使用する。

ある特定の例となる実施形態において、ある非接触型スマートカード、または非接触型スマートカードの実現形態では、セキュアエレメント名前空間は、例えば、Ｊａｖａ（登録商標）Ｃａｒｄプラットフォーム上のＥＭＶＣｏ、近接検出のための近距離無線通信（ＮＦＣ）、またはＭＩＦＡＲＥなど、異なるカードプロトコルまたはプラットフォームを含む、異なるカードタイプのために異なるパーティションに分割できる。一実施形態では、セキュアエレメント名前空間は、仮想的にセクターに分割され、各セクターは、各々が１６バイト長の４つのメモリブロックを含むが、デフォルトの１６バイトと異なるサイズのセクターに対する選択肢を有する。各セクターの末尾のブロックは、残りのメモリブロックに対するアクセス情報を格納するため、３つのメモリセクションに分割された、専用のアクセスメモリブロックである。アクセス情報は、Ａ鍵、アクセスメモリブロック内のアクセスビット、およびＢ鍵を含む。アクセスメモリブロックは、メモリブロックにアクセスするために使用される個々のアクセス鍵またはアクセス鍵の組合せに応じて、セクター内の他のブロックへのアクセスを制御する。セクター内の残りのメモリブロックは、アプリケーションデータまたはソフトウェアアプリケーションを含むデータメモリブロックである。ソフトウェアアプリケーションは、前のセクター内のソフトウェアアプリケーションの終了バイトに、ポインタまたは連続情報を提供することにより、セクターにわたって格納もできる。ポインタは、ソフトウェアアプリケーションのＡＩＤならびにソフトウェアアプリケーションの続きのセクションのブロック位置およびセクター位置を含み得る。

ある特定の例となる実施形態では、アクセスメモリブロック内のアクセス鍵は、セクター０内のアプリケーションデータおよびアプリケーションディレクトリテーブル用のデータメモリブロック用のデータメモリブロックに対する異なるアクセスタイプをサポートする。アクセス制御ブロックは、鍵Ａの許可を記述するように構成され得、鍵Ｂは、制御ブロック内で鍵をローテーションさせ、アクセス制御ブロック内のアクセスビットを上書きする能力を保持する。アプリケーションディレクトリテーブルを含む、セクター０のデータメモリブロックでは、鍵Ｂが、セキュアエレメント名前空間内でアクセスタイプを変更することにより、ディレクトリを編集するため、ＡＩＤのセクターおよびメモリブロック位置へのマッピングを変更するため、およびメモリブロックを再割り当てするために使用され得る。これらの機能は、非接触型スマートカードが、アクセスメモリブロック内のアクセス鍵およびアクセスビットに応じて、複数のアプリケーションおよびアクセスタイプを機能的にサポートできるようにする。非接触型スマートカードが利用可能であり得るアクセスタイプには、書込みアクセス、読取りアクセス、インクリメント（増分）アクセス、デクリメント（減分）アクセス、または、読取り、書込み、インクリメント、およびデクリメントアクセスの各々の２つ以上の組合せを含む。書込みアクセスは、セキュアエレメント名前空間内のデータメモリブロックに、ソフトウェアアプリケーションまたはアプリケーションデータの書込みまたはインストールを行う能力を含む。

セキュアエレメント名前空間内の各セクターには、装置の鍵セットが導出される一意の識別子が割り当てられ、その一意の識別子は、製造時またはカード所有者によって非接触型スマートカードに割り当てられ得る。カード所有者は、セキュアエレメントおよびアプリケーションディレクトリ構造を非接触型スマートカード上に配備するエンティティを指し得る。一例として、サービスアイデンティティモジュール（ＳＩＭ）、セキュアデジタル（ＳＤ）メモリカード、またはユニバーサル集積回路カード（ＵＩＣＣ）の製造業者は、ＳＩＭ、ＵＩＣＣ、またはＳＤカードを、スマートフォン内に配備するために無線サービスプロバイダに販売する前に、セキュアエレメントおよびアプリケーションディレクトリ構造をＳＩＭ、ＵＩＣＣ、またはＳＤカードに埋め込むことにより、カード所有者であり得る。あるいは、汎ヨーロッパデジタル移動通信システム（Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ、ＧＳＭ（登録商標））、万国移動通信システム（Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｙｓｔｅｍ、ＵＭＴＳ）、または符号分割多元接続（Ｃｏｄｅ Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ、ＣＤＭＡ）に対する無線サービスプロバイダは、モバイル通信を可能にするため、カードを販売する前に、セキュアエレメントを埋め込み、アプリケーションディレクトリを作成し得る。

「カード製造業者」、「カード所有者」、または「無線サービスプロバイダ」の各々は、非接触型スマートカード内にセキュアエレメントおよびサポートアプリケーションディレクトリを提供するため、「カード発行者」と呼ばれ得る。例となる実施形態では、「カード発行者」という用語は、非接触型スマートカードのセキュアエレメント内に制御ソフトウェアアプリケーションを作成および配備するサービスプロバイダも指し得、制御ソフトウェアアプリケーションは、セキュアエレメント名前空間を制御、開始、および分割するために使用できる。アプリケーションディレクトリは、埋込み段階において組込みソフトウェアアプリケーションと見なされ得る。

ある特定の例となる実施形態では、非接触型スマートカード装置製造業者または非接触型スマートカード装置オペレーティングシステム開発者が、カード発行者と見なされ得る。カード発行者は、独立して、またはカード所有者と協力して、セキュアエレメントまたは外部のセキュアエレメントを通じて、１つまたは複数の追加のソフトウェアアプリケーションを非接触型スマートカード内に提供し得る。追加のソフトウェアアプリケーションは、単一のＮＦＣコントローラおよびアンテナを使用して、非接触型スマートカード装置内でいくつかのカードプロトコル間での管理的役割を実行し得るか、または非接触型スマートカードのセキュアエレメント名前空間を制御し得る。さらに、ソフトウェアアプリケーションプロバイダは、無線方法を介して、カード発行者のサービスを使用して、または８０２．１１規格を使用する通常の無線インターネットを通じて、ソフトウェアアプリケーションを提供する。

セキュアエレメントの各セクターは、アプリケーションディレクトリ構造の一部として、単一のアプリケーションをアプリケーション識別子（ＡＩＤ）と共に格納でき、それにより、複数のソフトウェアアプリケーションが非接触型スマートカード内に共存できるようにする。セクターアドレス０における１つのメモリブロックは、製造業者のデータのみを含み得、他方、他のメモリブロックは、カード上の一意のアプリケーションのＡＩＤおよびアプリケーションディレクトリテーブルへのアクセスを提供するアクセスメモリブロックを含むデータメモリブロックである。製造業者のデータは、品質問題が生じた場合に備えて、集積回路（ＩＣ）の細部を突き止めるために使用される。そのため、セキュアエレメント名前空間のセクター０は、各々が１６バイトの２つのデータブロックを含むが、それは、一般に、非接触型スマートカード内の他のメモリブロックに配置されているアプリケーションのＡＩＤ情報である。

ある特定の例となる実施形態では、非接触型スマートカード装置は、非接触型スマートカードを組み込み、非接触型スマートカードへのユーザーインタフェースソフトウェアアプリケーションアクセスを提供する。例となる非接触型スマートカード装置には、スマートフォン、携帯電話、ＰＤＡ、ネットブックおよびｉＰａｄ（登録商標）などのモバイルコンピューティング装置、電子的に使用可能なキーフォブ、電子的に使用可能なカード型装置、および他の電子的に使用可能な装置を含み、各装置は、金融取引、クーポン券、チケット発行、安全認証、および関連用途を含むが、それらに限定されない、複数の目的のために使用できる。

ある特定の例となる実施形態では、乗車環境アプリケーションという状況での非接触型スマートカード上のソフトウェアアプリケーションは、交通システムにどこで入場または退場したかを記録するため、初期値を設定するため、およびカード上の額面を減少させるために、カードリーダーがあるセクターのメモリブロックにアクセスできるようにする。自動改札機は、鍵Ａへのアクセスに限定され得るが、それはより低いセキュリティの鍵であり、カードリーダーの自動改札機が、カード上のアクセスメモリブロック割当てに応じて、カードの額面を読み取り、退場または入場地点を非接触型スマートカードのあるブロック内に書き込むことを認証する。従って、乗車ソフトウェアアプリケーションは、額面について（インクリメント／デクリメント）、および駅について（退場／入場）、他のセクターに関連して、あるブロック内に格納され得、そこでは、デクリメント値は、対応するデータメモリブロック内の駅値割当て（ｓｔａｔｉｏｎ ｖａｌｕｅ ａｌｌｏｃａｔｉｏｎ）から計算され得る。各セクターは、適切な場合には、鍵Ａおよび鍵Ｂの異なる組を含み得る。

例えば、運輸事務所など、ソフトウェアアプリケーションのプロバイダは、非接触型スマートカードの異なるセクターおよびメモリブロック内の初期値設定のために、鍵Ｂにアクセスでき、セクターは、鍵Ｂを使用しての、書込みを許可する。その結果、カードは、鍵Ｂにアクセス可能な装置が、非接触型スマートカードの事前に定義された「初期値」データメモリブロックまたはセクターに初期値を書き込むことができるように構成され得る。「駅情報」を格納するためのセクターの異なるデータメモリブロックは、鍵Ａおよび鍵Ｂの異なるアクセス鍵の組を含み、それにより、駅情報の入場および退場が登録できるようにする。料金の値は、入場駅と退場駅との間で計算され、次いで、カードユーザーが駅を出るときに、非接触型スマートカードの「初期値」データメモリブロックまたはセクターに適用される。交通システムは、入場を許可する前に、残りの額面を読み取るために、「初期値」データメモリブロックまたはセクターに対する鍵Ａを検証する。異なる鍵Ｂは、鍵Ｂによって割り当てられ、保護される駅情報データメモリブロックに入場位置を書き込む。自動改札機を出ると、カードが通知され、入場地点および退場地点から運賃が計算されて、初期値から減額され、初期位置を消去する。あるいは、減額値が初期値より大きい場合、退場を防ぐために、カードは自動改札機に信号通知する。券売機を介して、または切符売り場で、アクセスのために鍵Ｂを使用してカードに額面を追加すると、この問題が是正される。

非接触型スマートカードは、初期化目的のため、既知のデフォルト鍵（例えば、０ｘＦＦが標準的なデフォルト鍵である）で製造できる。デフォルト鍵は既知であるので、非接触型スマートカード上または非接触型スマートカード装置内に埋め込まれたセキュアエレメントは無効であると考えられ得、それは、アプリケーションプログラミングインタフェース（ＡＰＩ）またはセキュアエレメント内の異なるソフトウェアアプリケーションなどの、非接触インタフェース（外部のカードリーダー）または接触インタフェースを介して、アクセスが阻止され得ることを意味する。ＡＰＩは、セキュアエレメントの実行時環境またはセキュアエレメントをホストする非接触型スマートカード装置によってサポートされ得る。セクター内の鍵が、カード製造業者の位置またはカード発行者（所有者）の位置で、アクセス鍵の組を使用して、初期設定装置によって指定されると、主たるアクセス鍵である鍵Ｂが、オーバーライドのための任意の選択肢とともに、セクターに対する排他的管理アクセスを有する。従って、鍵のローテーションまたは変更が、メモリブロックの制御を維持するために、既知の状態に設定される。メモリブロック内のメッセージ、ソフトウェアアプリケーション、またはアプリケーションデータは一般に、プレーンテキスト形式であるが、暗号化メッセージ（適用可能な鍵、すなわち鍵Ａまたは鍵Ｂによる暗号化）は、暗号化テキスト形式である。鍵Ｂは、ある特定のセクター内の鍵Ａを変更するために使用され得、ならびに、鍵に関連したアクセスビットが、あるセクターに対して変更され得る。

ある特定の例となる実施形態では、カードリーダー端末または装置は、適切なアプリケーションディレクトリについてセキュアエレメントメモリ全体をブラウズし、次いで、カードリーダーに指定されているように、事前に定義されたソフトウェアアプリケーションＡＩＤまたは事前に定義されたセクターについてＡＩＤをスキャンすることにより非接触型スマートカードを読み取る。アプリケーションディレクトリ（ＡＤ）は、ディレクトリおよびアプリケーションエントリのためのデータ構造テーブルを確立でき、それにより、リーダーが、トランザクションに伴う正しいソフトウェアアプリケーションを特定できるようにする。非接触型スマートカードは、カードリーダーが、かかる支払いまたはさらに乗車などのアプリケーションを処理するために、そのメモリ記憶領域からアプリケーションデータを要求するので、メモリ記憶領域として見ることができる。非接触型スマートカードは、通常、乱数チャレンジ（ｒａｎｄｏｍ ｎｕｍｂｅｒ ｃｈａｌｌｅｎｇｅ）をカードリーダーに提供し、カードリーダーは、相互秘密鍵（ｍｕｔｕａｌ ｓｅｃｒｅｔ ｋｅｙ）を使用して、それ自身の応答を非接触型スマートカードに提供する。非接触型スマートカードは、次いで、その乱数を比較することによってカードリーダーからの応答を検証し、同じ秘密鍵を確実なものとする。その後、実際のトランザクションが、相互で一致した暗号化秘密鍵を使用して、処理される。

ある特定の例となる実施形態では、非接触型スマートカード内の乗車ソフトウェアアプリケーションは、異なる地域または目的のための複数のソフトウェアアプリケーションを含み得る。一例として、ニューヨークの交通システムおよびロサンゼルスの交通システムは、非接触型スマートカード装置内の単一の非接触型スマートカードに、異なるソフトウェアアプリケーションを提供し得る。対応するカードリーダーが、ＡＤを確認することにより、どのディレクトリにアクセスすべきかを自動的に判断できるので、２つのソフトウェアアプリケーションが対応する場所における端末上で使用できる。データメモリブロックのディレクトリ部分内の情報、すなわちアプリケーションディレクトリデータは、ＡＤの参照セクションを提供し、また、ソフトウェアアプリケーションが割り当てられる、残りの使用されていないカードセクターの分配に関する情報のための、カード発行者または製造業者のセクターへのポインタを含む。

ある特定の例となる実施形態では、セキュアエレメント名前空間は、セキュアエレメント名前空間内にインストールされた制御ソフトウェアアプリケーションによって、２つの記憶タイプに分割される。制御ソフトウェアアプリケーションは、物理的または仮想的に、異なるセキュアエレメント名前空間内にインストールされ得、物理的に異なるセキュアエレメント名前空間は、本明細書で開示されるメモリブロックおよびセクター構造のセキュアエレメント名前空間との安全な通信路を含み得る。一例として、制御ソフトウェアアプリケーションは、非接触型スマートカードを組み込んだ非接触型スマートカード装置における異なるセキュアエレメント名前空間内のＪａｖａ（登録商標）Ｃａｒｄ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ上で実行するＪａｖａ（登録商標）Ｃａｒｄアプレットであり得る。従って、Ｊａｖａ（登録商標）Ｃａｒｄアプレットは、ＡＰＩを使用し、安全な通信路を介して非接触型スマートカードのセキュアエレメントとやり取りして、アクセス鍵、ソフトウェアアプリケーション、アプリケーションデータ、アプリケーションディレクトリ、およびアクセスビットのアクセスメモリブロック内での配備を制御し得る。

ある特定の例となる実施形態では、セキュアエレメント名前空間が、販売された（ｓｏｌｄ）メモリブロックまたは販売されたスロット（ＳＳＬＯＴ）およびレンタルされた（ｒｅｎｔｅｄ）メモリブロックまたはレンタルされたスロット（ＲＳＬＯＴ）に分割される。さらに、ＳＳＬＯＴまたはＲＳＬＯＴは、セクターを形成するメモリブロックのグループ、または複数のセクターにわたるメモリブロックのグループであり得る。ＳＳＬＯＴは、販売されたスロットであり、非接触型スマートカード製造業者によってカード発行者に契約により販売され得る。カード発行者は、次いで、ソフトウェアアプリケーションプロバイダによって所有されているソフトウェアアプリケーションを、エンドユーザーが使用するために、カードに配備する。一例として、電話サービスプロバイダは、ＳＩＭまたはＵＩＣＣカードを発行して、非接触型スマートカード製造業者の役割を実行し得、この場合、ＳＩＭまたはＵＩＣＣはセキュアエレメントを含む。ＲＳＬＯＴは、第２者のカードユーザーにレンタルされ得るスロットである。ソフトウェアアプリケーションプロバイダは、金融取引、安全認証、チケット発行、およびクーポン券などの運用のために、カード内でカスタムアプリケーションを利用する組織である。カード発行者は、割り当てられたレンタルまたは販売されたＳＬＯＴ内にアプリケーションおよび値を設定し、カード内のアプリケーション内の値を変更するためのカードリーダーを割り当てる。

ある特定の例となる実施形態では、スロットの割当てが、セクター、アクセスビット、およびアクセス鍵の割当てによって決定される。例えば、ＲＳＬＯＴは、セキュアエレメント名前空間内のレンタルされるセクターおよびメモリブロックを含むことができ、そのレンタルされるセクターおよびメモリブロックに対する鍵Ａの認証および関連するアクセスビットと共に、ソフトウェアアプリケーションプロバイダにレンタルされる。あるいは、複数のソフトウェアアプリケーションプロバイダが、一緒に提携して、または個々に、それらのデータならびにそれらのソフトウェアアプリケーションおよびアプリケーションデータに関するライフサイクル制御機構の完全な制御を維持することを好み得、この場合、ダウンロードおよびインストールから使用および更新に至る、ライフサイクルの完全な制御が、カード発行者によって提供された鍵Ｂを使用して制御される。かかる状況での例示的なアプリケーションは、乗車カードに対してカード額面を追加するための切断された補充ステーションであり、この処理は、非接触型スマートカードのある特定のセクター内の機密データのメモリブロックにアクセスするために鍵Ｂを必要とし得る。これらソフトウェアアプリケーションプロバイダの要求を満足するため、カード発行者はＳＳＬＯＴアクセス鍵もソフトウェアアプリケーションプロバイダと共有できる。

ある特定の例となる実施形態では、名前空間のＳＳＬＯＴ（販売されたスロット）部分は、第２者に完全に引き渡され得、その場合、そのＳＳＬＯＴ部分は、セキュアエレメント名前空間内の選択されたセクターに対する鍵Ｂを含む。さらに、セキュアエレメント名前空間全体に対するＳＳＬＯＴが、非接触型スマートカード内の全てのセクターに対して同じアクセス鍵を提供することにより、ソフトウェアアプリケーションプロバイダに提供され得る。ＳＳＬＯＴの制御を譲渡して、カード発行者はサービスプロバイダがそのＳＬＯＴに対する鍵Ｂおよび鍵Ａの両方にアクセスできるようにする。ＳＳＬＯＴ契約の一部として、第２者は、セキュアエレメント内に配置されている制御ソフトウェアアプリケーション（または、Ｊａｖａ（登録商標）Ｃａｒｄベースの制御アプレット）の明示的な同意なしで、鍵Ｂをローテーションし得ない。制御ソフトウェアアプリケーションは、カード発行者によって所有され、セキュアエレメント内に配備される。この取決めの意図は、ソフトウェアアプリケーションプロバイダの要求ごとに、制御アプレットが、ＳＳＬＯＴをセクターの内外に動的に入れ替えできるようにすることである。さらに、エンドユーザーが、非接触型スマートカードを組み込んでいる非接触型スマートカード装置に複数のソフトウェアアプリケーションをインストールする場合、エンドユーザーは、セキュアエレメント名前空間がいっぱいの場合でさえ、あるソフトウェアアプリケーションをトランザクション目的で起動する選択肢を提供される。例となる実施形態では、外部のセキュアメモリが、有効となっていないソフトウェアアプリケーションをロードするために、一時メモリとして使用され得る。外部のセキュアメモリは、外部のカードリーダー装置がアクセスできない、異なるディレクトリ構造で既存のセキュアエレメント内にも組み込まれ得る。

ある特定の例となる実施形態では、カード発行者と、カード発行者の第２者パートナーであり得るソフトウェアアプリケーションプロバイダとの間の契約は、サービス品質保証契約（ＳＬＡ）およびビジネスルールに基づくカード発行者とソフトウェアアプリケーションプロバイダとの間の契約である。ＳＬＡは、ＳＬＯＴの自動または手動での転送を可能にするためのアクセス鍵の共有から生じる制限、取引、およびプロセスを定義する。ブロック内での鍵Ｂの外部ローテーション（言い換えれば、非接触のやりとり）は、ＳＬＡ内の規定に基づき得る。ＳＬＡのいかなる違反も、名前空間の販売された部分を取り戻す技術手段の欠如を意味するであろう。この機能は、ＳＳＬＯＴおよびＲＳＬＯＴを区別する。ＳＳＬＯＴは、重要な制御を第２者パートナーに引き渡すので、共有は、ＳＬＡによって、極めて高く評価され、信頼されるパートナーに対して実施され得る。

限られたセキュアエレメント名前空間を最大限に活用するため、カード発行者は、できるだけ多くの名前空間をＲＳＬＯＴ用に予約しながら、できるだけ少ないスロットを「販売する」ことができる。予約されたＲＳＬＯＴを最もうまく利用するために、ある特定の例となる実施形態では、カード発行者は、ＲＳＬＯＴの（静的に分割する代わりに）動的マッピングを可能にするシステムを使用する。カード発行者の意図は、ＲＳＬＯＴ名前空間を、非接触型スマートカード装置内に組み込まれた非接触型スマートカードのセキュアエレメント内の制御ソフトウェアアプリケーションとやり取りする非接触型スマートカード装置上の財布ソフトウェアアプリケーションまたはユーザーインタフェースソフトウェアアプリケーションによって直接管理可能にすることである。一例として、非接触型ＮＦＣ対応携帯電話上のエンドユーザーが、財布ソフトウェアアプリケーションを使用してスマートカード内の制御アプレットとやり取りし、それによって、エンドユーザーが、混み合ったセキュアエレメント名前空間内の複数アプリケーション環境内で、あるアスペクトを制御できるようにする。

名前空間を管理する際に、制御アプレットは、その名前空間にアクセスできるＡ鍵およびＢ鍵の組全体のコピーを保持する。全てのセクターに対するＡ鍵およびＢ鍵を保持することは、カード発行者に名前空間を動的に管理する柔軟性を提供する。動的な管理は、リモートサーバー内のトラステッドサービスマネージャ（ＴＳＭ）、カード発行者によって所有または制御されるＴＳＭなどの、リモートコンピュータ上に存在するリモートソフトウェアアプリケーションを介して適用可能であり得る。財布ソフトウェアアプリケーションも、ユーザー動作および／またはユーザー位置などの様々なパラメータに基づき、制御アプレットによって提供されるアクセス鍵を使用して、名前空間領域の内外で、ソフトウェアアプリケーションおよびアプリケーションデータを動的に入れ替えするために使用され得る。例えば、交通システムでは、非接触型スマートカード装置のエンドユーザーがある場所から別の場所に移動する場合、第１の場所の交通システムに適用可能なスマートカード認証情報が、第２の場所の交通認証情報と入れ替え、そのカードが第２の場所で使用可能になる。

アプリケーションディレクトリ（ＡＤ）を活用するため、一例となる実施形態では、カード発行者は、カードブロックの特定の部分を占め、セキュアエレメント内でカード発行者が定義した名前空間を使用する、アプリケーションディレクトリの修正されたバージョンを使用する。さらに、カード発行者のアプリケーションディレクトリの実現形態は、財布ソフトウェアアプリケーション（ユーザーインタフェースソフトウェアアプリケーション）から直接プロビジョニングする能力をサポートでき、それにより、追加の外部の許可なしで、セキュアエレメント名前空間の内容を動的な方法で入れ替える。

ある特定の例となる実施形態では、財布ソフトウェアアプリケーションは、カード発行者またはソフトウェアアプリケーションプロバイダによって配備され得、セキュアエレメント内のソフトウェアアプリケーションおよび制御アプレットは、外部認証について、中間のトラステッドサービスマネージャ（ＴＳＭ）を使用することなく、名前空間にアクセスするため、互いに協力できるか、またはやり取りできる。機密データのプロビジョニングを安全にサポートするため、制御アプレットは、非対称の公開鍵／秘密鍵の暗号化をサポートする。制御アプレットは、セキュアエレメント内、またはセキュアエレメントの外側のセキュアメモリ内の両方に鍵を含み、公開鍵のみをセキュアエレメントの外部で利用可能にする。

制御アプレットは、セキュアエレメント上で財布ソフトウェアアプリケーションの拡張として動作し、セキュアエレメント内でＥＭＶＣｏ準拠のような機能をサポートする。制御アプレットは、財布ソフトウェアアプリケーションから直接コマンドを受け取ることができ、それによって、２つのタイプの記憶（ＳＳＬＯＴおよびＲＳＬＯＴ）のサポート；ＲＳＬＯＴおよびＳＳＬＯＴに対するアクセス鍵の管理；ＳＳＬＯＴに対して、アクセス鍵の第２者パートナーまたはソフトウェアアプリケーションプロバイダへのエクスポート／ローテーション；暗号化された命令が第２者装置から受信され得るように公開鍵／秘密鍵ペアのサポート；プロビジョニングが、アプリケーションデータ、ソフトウェアアプリケーション、またはアクセス鍵のセキュアエレメントへのプロビジョニングのためのＴＳＭまたはトラステッドサービスエージェント（ＴＳＡ）なしで行われる場合の、スロットへのデータのプロビジョニング；名前空間の超過申込みをサポートするため、ＳＳＬＯＴおよびＲＳＬＯＴの両方に対するアクセス鍵およびデータの動的な入れ替え；ならびにルートＡＤブロックをカード発行者の指定位置に配置するＡＤの所有者バージョン（ｐｒｏｐｒｉｅｔａｒｙ ｖｅｒｓｉｏｎ）の実装、を行う。ある特定の例となる実施形態では、これは、スマートカードの第１キロバイトのメモリ（セクター１６）の直後の位置に定義できる。

名前空間内のカード発行者のアプリケーションディレクトリは、カード発行者によって完全に管理できる。制御ソフトウェアアプリケーションは、名前空間内の全てのスロット（またはセクター）に対するＡ鍵およびＢ鍵のコピーを常に保持しながら、ブロックに対する鍵を初期化することもできる。ＳＳＬＯＴの場合、有効なＢ鍵の保持が、技術的にではなく、契約により実施され得る。一例では、非ＴＳＭサーバーまたはエージェントからのＳＬＡおよび事業方針を通じた自動実施がなされ得る。財布ソフトウェアアプリケーションは、非接触型スマートカード装置への全ての器具のプロビジョニングを開始するが、これは、「プルプロビジョニング（ｐｕｌｌ ｐｒｏｖｉｓｉｏｎｉｎｇ）」の一例である。さらに、財布ソフトウェアアプリケーションは、非接触以外のすべてのトランザクションを開始し、既にプロビジョニングされたソフトウェアアプリケーションに対するプッシュ通知を行うことができるが、その場合、財布ソフトウェアアプリケーションは、続いて、要求されたトランザクションを開始し得る。

制御ソフトウェアアプリケーションをセキュアエレメント上にインストールすると、制御ソフトウェアアプリケーションは、通常、導出された鍵の組をブロック内にローテーションさせ、その鍵を保存し、それにより、セキュアエレメント名前空間内のセキュアメモリを定義する。アクセス鍵は、各々がカード発行者または製造業者によって提供される、マスター鍵、一意の識別子（ＵＩＤ）、およびセキュアエレメントＣＰＬＣ（カード製造ライフサイクルデータ）の組合せを使用して導出できる。セクターは、次いで、アクセス鍵の設定および各セクターに割り当てられたアクセスビットに従って、分割される。ブロックの最初の１キロバイトが乗車のために予約でき、これらのセクターがＳＳＬＯＴとして分配され得るか、またはＲＳＬＯＴとしてレンタルされ得る。いずれにしても、ブロックの予約された部分は乗車のために予約される。４ＫＢカード上のブロックの次の３キロバイトは、カード発行者のアプリケーションディレクトリテーブルのために予約できる。ＡＤルートブロックは、アプリケーションディレクトリ用に予約されたブロックの最初のセクター内に存在することとなる。

ある特定の例となる実施形態では、鍵のローテーションは制御ソフトウェアアプリケーションによって実施され得る。制御ソフトウェアアプリケーションは、非接触型スマートカード装置内に組み込む前に、ＴＳＭを通じて、またはカード発行者の製造施設において、セキュアエレメント内に最初にインストールされ得る。しかし、鍵のローテーションは、装置の最初の使用時に、制御ソフトウェアアプリケーションのインスタンス化において起こり得る。アクセス鍵のローテーションは、非接触型スマートカード装置がオンにされた時に起動される制御ソフトウェアアプレットのインスタンス化コードの一部として開始され得る。いくつかの例となる実施形態では、制御アプレットは、カード製造業者の製造工程を通じて事前にインストールできるが、それによって、半導体ダイが製造業者のウェハー加工から（検査の後に）離れる時に、ＲＯＭまたはＥＥＰＲＯＭメモリセクション内にインストールされる。その工程の一部として、制御アプレットのためのインスタンス化コードは、その後は実行されない。この理由のため、制御アプレットがアクセス鍵をローテーションすることなしには使用できない（または選択できない）ことを確実にするため、制御アプレットがインスタンス化のために選択されると、「まだローテーションされていない」かどうかの確認を含めることができる。その確認はいかなる時でもアクセス鍵のローテーションを１回だけ実行するので、無効化を必要とする特別なコマンドは必要ない。この場合、アクセス鍵のローテーション機能が装置に対して無効にされる前に、制御アプレットは、全ての鍵が少なくとも一度はローテーションされていることを確実にするため、アクセス鍵のローテーションの考えられる停止を保護することを確実にする必要がある。

ある特定の例となる実施形態では、アクセス鍵のローテーションは、早ければ、非接触型スマートカードの製造工程として、また遅ければ、例えば、携帯電話などの、非接触型スマートカード装置内の非接触型スマートカードを含む、各構成部分に対する様々なドライバソフトウェアの組込みおよび開始時に実行できる。スマートカードの組込みおよび開始は、埋め込まれたセキュアエレメント（ｅＳＥ）を確保する（または無効にする）工程がそれ以後必要でないことを確実にする。さらに、カードの製造時または検査時に、鍵のローテーションが、相手先商標製造会社（ＯＥＭ）で実行される工程は、ＮＦＣコントローラ、ＰＮ５４４、およびＪＣＯＰを含む、ＮＦＣモジュールが正しく動作しているかを検証するの有用である。この工程は、いずれかのはんだ付けおよびダイ作業もチップにひびを入れたり損傷させたりしていないことを確実にする。ＯＥＭは、この検査工程を半導体ダイの機能試験として実行できる。結果として、ＯＥＭは配送前に、装置の品質を向上させるために、品質検査を実施でき、また、カード発行者は、カード発行者の組込みソフトウェアを実装する前に、鍵のローテーションが実行されているという利点を有する。

制御ソフトウェアアプリケーションまたは制御アプレット、および財布ソフトウェアアプリケーション（ユーザーインタフェースソフトウェアアプリケーション）は、セキュアエレメント名前空間のサービスおよびプロビジョニングを実行し、ソフトウェアアプリケーションプロバイダまたはカード発行者が、正しいアプリケーションＩＤ（ＡＩＤ）を使用してメモリのプロビジョニングを行うことを確実にするための、便利なインタフェースを提供する。この動作は、新しいソフトウェアアプリケーションが、セキュアエレメント名前空間内のアプリケーションソフトウェアまたは他のソフトウェアアプリケーションのアプリケーションデータを上書きしないことを確実にする。ソフトウェアアプリケーションプロバイダが制御ソフトウェアアプリケーションとやり取りするため、カード発行者はプロトコルを公開するが、それは、メッセージ形式および関連したトランザクションモデルであり得る。プロビジョニングの開始は、ユーザーによって、財布ソフトウェアアプリケーションから駆動できる。パートナー（いくつかのソフトウェアアプリケーションプロバイダのうちの１つ）に対して認証情報がプロビジョニングされると、ソリューションは、ソフトウェアアプリケーションプロバイダがプッシュ通知を装置に配信するために使用できる、コールバック識別子を提供する。

ある特定の例となる実施形態では、プッシュされたイベント通知の結果としてトランザクションが発生した場合でさえ、全ての制御アプレットのトランザクションが、財布ソフトウェアアプリケーションによって開始できる。財布ソフトウェアアプリケーションは、トランザクションのイニシエータであり得る。この方法では、制御ソフトウェアアプリケーションのソリューションは、制御ソフトウェアアプリケーションでは、財布ソフトウェアアプリケーションがトランザクションのマスターであり、ソフトウェアアプリケーションがスレーブであるという点において、従来型のＥＭＶＣｏプロビジョニングとは異なり得る。逆に、ＥＭＶＣｏプロビジョニングでは、ソフトウェアアプリケーションプロバイダ（例えば、金融機関または交通システム）が、トランザクションのマスターであり、財布ソフトウェアアプリケーションは、ＴＳＭを通して、ソフトウェアアプリケーションプロバイダによって何の動作がそれに対して実行されているかさえ知らない、スレーブである。この設計は、財布ソフトウェアアプリケーションと連携した制御アプレット、および非対称の鍵ペア暗号化アルゴリズムが、信頼された中立で安全なソフトウェアアプリケーションプロバイダの役割を果たすので、ＴＳＭの必要性を軽減できる。制御ソフトウェアアプリケーションは、追加として、セキュア通信路（少なくともセキュアソケットレイヤーまたはＳＳＬによって実施される）を介して駆動され得る全てのやり取りを定義し得る。

ある特定の例となる実施形態では、ＴＳＭソフトウェアアプリケーション（または、Ｊａｖａ（登録商標）Ｃａｒｄ ＶＭ環境ではＴＳＭアプレット）は、独立して、または制御ソフトウェアアプリケーションの一部として、非ＴＳＭコンピュータが公開鍵暗号化ソフトウェアアプリケーションおよびアプリケーションデータ、ならびにセキュアエレメント内のＴＳＭソフトウェアアプリケーションに対するライフサイクル制御とともに提供できるようにする、公開−秘密鍵の非対称暗号化アルゴリズムを通じて、ＴＳＭ実装をセキュアエレメント内に提供する。ＴＳＭソフトウェアアプリケーションは、制御ソフトウェアアプリケーションまたはインストールされたソフトウェアアプリケーションに、インストール、インスタンス化、開始、停止、破壊（ｄｅｓｔｒｏｙｉｎｇ）、更新、有効化、無効化、セクターおよびメモリブロックの入れ替え、アクセス鍵の変更、およびアクセス条件に対するアクセスビットの変更を含む、ある特定のソフトウェアアプリケーションのライフサイクル機能を実行するために必要な許可を提供し、各機能は、外部のＴＳＭコンピュータ装置からの介入とともに実行される。ソフトウェアアプリケーションまたはアプリケーションデータを含む、いくつかの非ＴＳＭコンピュータの各々は、ＴＳＭソフトウェアアプリケーションまたは制御ソフトウェアアプリケーションを通じてカード発行者に登録され、その登録プロセスで、非ＴＳＭコンピュータに、アプリケーションデータを非接触型スマートカードのセキュアエレメントに提供するための公開鍵が提供される。さらに、ＴＳＭソフトウェアアプリケーションは、次いで、登録プロセスの一部として、ＴＳＭソフトウェアアプリケーションに与えられた許可を使用して、セキュアエレメント内のアプリケーションデータのライフサイクルを制御し得る。

ある特定の例となる実施形態では、制御ソフトウェアアプリケーションの実装は、Ｒｅｐｒｅｓｅｎｔａｔｉｖｅ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ（ＲＥＳＴｆｕｌ）インタフェースを通じて実行されるが、それは、定義されたＪａｖａＳｃｒｉｐｔ（登録商標） Ｏｂｊｅｃｔ ＮｏｔｉｆｉｃａｔｉｏｎまたはＪＳＯＮフォーマットのメッセージを使用する、ステートレスなクライアントサーバーアーキテクチャである。制御ソフトウェアアプリケーションは、プロビジョニング開始メッセージをパートナー装置に送信する、財布ソフトウェアアプリケーションから始まる一連のイベント内のトランザクションを伴い、パートナー装置は、複数のソフトウェアアプリケーションに対するリモートサーバーホストとして動作する非ＴＳＭコンピュータまたはＴＳＭコンピュータであり得る。開始メッセージは、非ＴＳＭコンピュータが、財布ソフトウェアアプリケーションに安全に返される「トランザクション管理」応答をコード化するために必要な情報を含む。パートナーは、応答メッセージ内のデータをコード化するためにトランザクション開始メッセージ内の情報を使用する。例えば、開始メッセージは、非接触型スマートカード装置内に格納されている秘密鍵と一致させるための、制御アプレットに対する公開鍵を含み得る。

ある特定の例となる実施形態では、非ＴＳＭコンピュータは、次いで、公開鍵を使用して、非ＴＳＭコンピュータが名前空間にプロビジョニングすることを望む、アプリケーションデータまたはソフトウェアアプリケーションをコード化する。パートナー装置も、複数のソフトウェアアプリケーションプロバイダからのソフトウェアアプリケーションを含む、一般的な非ＴＳＭコンピュータであり得る。制御アプレットトランザクションの概念は狭く、プロビジョニング開始メッセージの設計によって制御され得るが、それは、セキュアエレメント内の財布ソフトウェアアプリケーションと他のソフトウェアアプリケーションとの間の多数の可能性のある共有ＡＰＩのうちの１つでもあり得る。例となる実施形態では、交通システムソフトウェアアプリケーションの残高照会インタフェースおよび他の機能は、ソフトウェアアプリケーション機能の一部として含むことができる。制御ソフトウェアアプリケーションのメッセージトランザクションは、ソフトウェアアプリケーションプロバイダがそれによって、非ＴＳＭコンピュータからセキュアエレメントにデータをコミットし得る１つの機構であり得る。非ＴＳＭサーバーからのソフトウェアアプリケーションまたはアプリケーションデータが、一時的記憶のために、割り当てられたセキュアエレメントの一部に、または、セキュアエレメント内の制御ソフトウェアアプリケーションに対する安全なチャネル通信を備えた外部のセキュアメモリ領域に格納され得る。

ある特定の例となる実施形態では、非接触型スマートカード装置内のＳＳＬＯＴにアクセスする機能を備えた外部のカードリーダー装置は、適切に公開−秘密鍵ペアの暗号化を備えた、ＴＳＭコンピュータまたは非ＴＳＭコンピュータとして機能するためのプロビジョニングを含み得る。ＴＳＭまたは非ＴＳＭタイプのカードリーダーは、カードリーダーの制御内にあると識別されるか、またはセキュアエレメント内のカードリーダーおよびあるソフトウェアアプリケーションの両方に対する制御を有するソフトウェアアプリケーションプロバイダによって発行された、常駐の制御ソフトウェアアプリケーションを制御できる。ソフトウェアアプリケーションプロバイダが、カードリーダー装置を介してソフトウェアアプリケーション関連トランザクションを開始したい場合、適切な非ＴＳＭコンピュータが、プッシュ通知を財布ソフトウェアアプリケーションに送信し得る。次いで、財布ソフトウェアアプリケーションは、要求が有効であると判断されるかを検証するため、セキュア通信路を使用して、制御ソフトウェアアプリケーションのトランザクションを開始する。

ある特定の例となる実施形態では、財布ソフトウェアアプリケーションは、任意の特定の時間フレーム内で、通知の受信または通知への応答のための強い保証を提供しない可能性がある。制御アプレット（またはＴＳＭアプレット）とパートナー装置との間のプロビジョニング開始メッセージ構造は、暗号化のためのＴＳＭソフトウェアアプリケーションまたは制御ソフトウェアアプリケーションの公開鍵、セキュアエレメントに対する一意のＩＤ、プロトコルのバージョン番号、トランザクション識別子、ならびに、パートナーリーダーがＡＤへアクセスすることを可能にするＡＤのＡ鍵、プッシュ通知を通じてトランザクションを要求したのがパートナーであるかどうかをパートナーが参照できるイベント通知、後日にパートナーが財布に通知をプッシュできるようにする、財布ソフトウェアアプリケーションのコールバック識別子を含み得る。プロビジョニング応答メッセージは、応答ステータス（つまり、ＳＵＣＣＥＳＳ、ＥＲＲＯＲ、ＲＥＴＲＹなど）；応答の詳細（つまり、応答ステータスがＲＥＴＲＹの場合、詳細文字列は、例えば、サーバーがダウンしている、後でもう一度試す、であり得る）；ＲＳＬＯＴ／ＳＳＬＯＴのブール情報（ＲＳＬＯＴである場合にはＡＩＤが必要とされ、ＡＩＤがソフトウェアアプリケーションサービスプロバイダに割り当てられたカード発行者アプリケーションディレクトリＩＤであらねばならない）を含むことができる。

さらに、ある特定の例となる実施形態では、プロビジョニング開始メッセージの応答において、ソフトウェアアプリケーションに割り当てられるＳＬＯＴがＳＳＬＯＴである場合、ＡＤのＩＤは、パートナーソフトウェアアプリケーションに割り当てられた有効なＳＳＬＯＴアプリケーションＩＤである。カードリーダーまたはＴＳＭコンピュータを通じたソフトウェアアプリケーションプロバイダからの応答は、選択されたＳＬＯＴのアプリケーションデータまたはソフトウェアアプリケーションに割り当てられたライフサイクル機能へのアクセスを保護するために使用されるべきＡ鍵をさらに含むが、その各々は、制御アプレット公開鍵を使用して暗号化される。プロビジョニングされるデータがそこから来る、ＴＳＭコンピュータ、ＴＳＭソフトウェアアプリケーション、またはカードリーダー装置において、正しい鍵が既にある場合、公開鍵に対する応答領域は、ブランクである。同様に、ローテーションコードに対する応答領域は、トランザクションがキーローテーションタイプのトランザクションであり、既存のデータが有効である場合、ブランクであり得、その際、ＳＬＯＴがＳＳＬＯＴである場合、Ｂ鍵が応答で使用される。ＳＳＬＯＴは、鍵のローテーションのために制御アプレット公開鍵を使用して暗号化されるが、ＲＳＬＯＴパートナーはＢ鍵をローテーションさせることができない。カードリーダーまたはＴＳＭコンピュータでのトランザクションが完了すると、パートナーがユーザーと共有したいトランザクションメッセージが、非接触型スマートカードに適用され、ユーザーインタフェースソフトウェアアプリケーション（財布ソフトウェアアプリケーション）上に表示され、例えば、トランザクションがギフトカードの金額追加（ｔｏｐ−ｕｐ）であった場合、「ギフトカードのトップアップをありがとうございます」のようなメッセージを示す。

ある特定の例となる実施形態では、ＳＳＬＯＴのプロビジョニングは以下のように進行する：ソフトウェアアプリケーションプロバイダおよびカード発行者が、Ｂ鍵の保護を確実にする契約を締結し、ユーザーインタフェースソフトウェアアプリケーションを、制御ソフトウェアアプリケーションとやり取りするために財布ソフトウェアアプリケーションを通じて実装することに同意しそれにより、ソフトウェアアプリケーションプロバイダからのソフトウェアアプリケーションのあるアスペクトを制御するときに開始する。全ての合意が成立した時、制御ソフトウェアアプリケーションが（ＴＳＭソフトウェアアプリケーションと共に）非接触型スマートカード装置のセキュアエレメント内にインストールされる。ＳＳＬＯＴのプロビジョニングは、制御アプレットトランザクションをトリガーするためのユーザーインタラクションまたはプッシュ通知を確保することによって開始し；財布ソフトウェアアプリケーションがソフトウェアアプリケーションパートナー（ソフトウェアアプリケーション非ＴＳＭまたはＴＳＭコンピュータ）へ安全な接続チャネルを形成し；プロビジョニング開始要求がＲＥＳＴを介してＪＳＯＮとしてコード化されたパートナーに送信され；パートナーが、要求内のデータを使用して、データおよびＡ＋Ｂ鍵を応答内で可能性としてコード化し：財布ソフトウェアアプリケーションが応答メッセージの有効性を正確性および正当性（例えば、「ＳｔｏｒｅＡ」は「ＳｔｏｒｅＢ」アプリケーションを上書きできない）についてチェックし；応答が正当かつ正確である場合、財布ソフトウェアアプリケーションがアプリケーションデータのペイロードを制御アプレットコマンドにパッケージ化し；コマンドは次いで、ローカルで保護された通信路（セッションＩＤ、ＳＳＬ、およびバイナリアプリケーション署名＋カードＯＳセキュリティを使用して保護された）を通じて制御アプレットに送信され；制御アプレットが秘密鍵を使用して、着信制御アプレットコマンド内のデータペイロードおよび鍵を解読し；制御アプレットが、必要に応じて、Ａ＋Ｂ鍵を分散および保存する鍵管理を実行し；そして、制御アプレットがデータペイロードを、ＳＳＬＯＴアプリケーションＩＤ（ＡＩＤ）によって指定された正しい位置に書き込む。

ＲＳＬＯＴのプロビジョニングは、以下を除いて、前述したＳＳＬＯＴのプロビジョニングと同様に進む：ＲＳＬＯＴパートナーは、分散されるＡ鍵のみを指定でき、ＲＳＬＯＴパートナーは、それらのアプリケーションのためにＲＳＬＯＴまたはカード発行者ディレクトリアプリケーションＩＤを使用する必要がある。制御アプレットは常に、名前空間に対する全ての鍵の知識を保持するので、ブロックへのアクセスの超過予約ををすることができる。例えば、制御アプレットは、１ＫＢのＳＳＬＯＴ空間全体を使用する２つの交通局がブロック内に共存できるようにし得る。この動作は、第１の市の乗車カードおよび第２の市の乗車カードの両方に対する、それらの財布内へのユーザープロビジョニング領域を使用することによりに実現される。制御アプレットは、ユーザーの要求に応じて、または非接触型カードをホストする装置のＧＰＳ位置に基づき動的に、異なるアプレットをセキュアエレメント内に、また、セキュアエレメントからコピーする。一つの交通機関に対するデータがブロックから外へローテーションされると、制御アプレットは、「待機」のデータをセキュアエレメント内に保存する。待機のカードを再度有効にする必要がある場合、制御アプレットは、予備のデータをライブ（ｌｉｖｅ）ブロックに入れ替え、置き換えられたデータを保存する。このプロセスは、ＲＳＬＯＴにも適用できる。

ある特定の例となる実施形態では、ローカルのトラステッドサービスマネージャ（ＴＳＭ）は非対称暗号化方法を使用して実装でき、この場合、ＴＳＭアプレットはスマートカードのセキュアエレメント内に存在し、ＴＳＭアプレットは、非ＴＳＭサーバーからのアプリケーションデータセットを暗号化した公開鍵を解読するための秘密鍵を格納する。対応する公開鍵は、同じ署名された証明書を有するカード発行者またはソフトウェアアプリケーションプロバイダによって署名および認可される。このプロセスは、非接触型スマートカードが、外部のカードリーダー装置とやり取りし、ＴＳＭまたはＴＳＡの要求なしで、ソフトウェアアプリケーションのためのスクリプトおよびアプリケーションデータを確保できるようにする。一例として、この実現態様は財布ソフトウェアアプリケーションを使用し、財布ソフトウェアアプリケーションは、証明書をアプリケーションデータの所有者（ソフトウェアアプリケーションプロバイダ）に送信する。財布ソフトウェアアプリケーションおよびアプリケーションデータは、アカウント情報をセキュアエレメント内にプロビジョニングしようとする銀行、残高情報をプロビジョニングもしくは変更しようとする交通機関、またはギフトカード、ポイントカード、クーポン券、もしくは他の情報をプロビジョニングもしくは変更したい小売業者を含み得る。アプリケーションデータ発行者は、証明書を調べ、財布ソフトウェアアプリケーションからの署名を認証し、そのアプリケーションデータを要求したエンドユーザーの非接触型スマートカード装置に特定した公開鍵でアプリケーションデータを暗号化する。アプリケーションプロバイダ（ソフトウェアアプリケーションプロバイダ）は、次いで、非接触型スマートカードを組み込むエンドユーザーの非接触型スマートカード装置のセキュアエレメント内で、暗号化データをローカルのＴＳＭアプレット（または、併用される場合は、制御アプレット）に送信する。

ある特定の例となる実施形態では、アプリケーションデータを含むこの暗号化メッセージのためのデータ経路は、セキュア通信路を使用して、財布ソフトウェアアプリケーション（制御アプレットに類似した）を通したもの、または直接、制御アプレットに至り得る。ローカルＴＳＭアプレットは要求したデータを受信し、フォーマットを検証し、許可を検証し、アプリケーションデータを認証するための任意の他の検査を実行する。その後、ローカルＴＳＭアプレットは、アプリケーションデータを解読し、それをセキュアエレメントにインストールする。ローカルＴＳＭを実装する制御アプレットの場合、受信したデータは、非接触型カードのＡＰＩを使用して直接、解読され、検証され、インストールされる。ある特定の例となる実施形態では、ローカルＴＳＭアプレットは、アプリケーションデータをインストールするために、非接触型スマートカード装置のアクセス鍵を使用するセキュアスクリプトを作成する。ダウンロードした暗号化された形式のアプリケーションデータは、セキュアエレメント内の一時メモリ内、またはセキュアエレメントへのセキュアチャネル接続を有する外部のセキュアエレメント内に格納され得る。さらに、セキュアスクリプトがセキュアエレメントからエクスポートされ、ホストオペレーティングシステム内で実行するネイティブのソフトウェアアプリケーションによって非接触型スマートカード装置内で実行される。ある特定の例となる実施形態では、ソフトウェアアプリケーションプロバイダからのアプリケーションデータは、ＴＳＭソフトウェアアプリケーションおよび非接触型スマートカード装置の外部に決して公開されず、ＴＳＭコンピュータと同様に、外部のＴＳＭコンピュータとやり取りすることなく、安全である。

ＴＳＭアプレットおよび制御アプレットを使用するＲＳＬＯＴ実施態様を併用すると、非接触型スマートカード装置がカード情報を非ＴＳＭコンピュータから安全に受信およびインストールできるようになる。このプロセスは、ソフトウェアアプリケーションプロバイダがこのデータのライフサイクルを能動的に管理するのを防ぐことができる。データは、セキュア通信路を使用することにより、非接触型スマートカードのセキュアエレメント内で入れ替え、有効化、および表示され得、財布ソフトウェアアプリケーションからのユーザー選択が、外部のＴＳＭコンピュータに連絡することなく、ＴＳＭアプレットからの許可を得て配備できる。

図１は、ある特定の例となる実施形態に従った、非接触型スマートカード装置内のセキュアエレメントの名前空間を分割するため、およびセキュアエレメントの外部のソフトウェアアプリケーションからの要求を使用して、セキュアエレメント内にアプリケーションデータを書き込むための、コンピュータ実装システム１００および装置１４４を示す。非接触型スマートカード装置１４４は、セキュアエレメント１５６を含み、そのセキュアエレメントは、非接触型スマートカードの内部構成部分、または他の構成部分の各々とセキュアチャネル接続を有する、外部構成部分のいずれかとして、非接触型スマートカードの一部である。非接触型スマートカードの他の構成部分には、ＮＦＣコントローラ１７６およびアンテナ１８０が含まれる。セキュアエレメント１５６は、ＳＩＭカード、ＵＩＣＣカード、ＣＤＭＡ非接触型支払い装置の集積回路チップ、またはＳＤカードの一部であり得る。外部のセキュアエレメントおよびセキュアメモリ１８４は、インストール前、または無効化中に、セキュアエレメントセクター内の空き領域に一時的に配置されるソフトウェアアプリケーションに対する、一時的であるが、セキュアエレメントに接続されたセキュアメモリの一例を提供するために示される。

セキュアエレメント１５６は、制御ソフトウェアアプリケーション１６０、トランザクション目的で、アプリケーションデータおよびソフトウェアアプリケーションを保持する、セキュアエレメント名前空間１６４を含む。一時メモリ１６８は、セキュアエレメント名前空間の既存のセクターのセクション、またはセキュアエレメント名前空間の異なるパーティション内に組み込まれ得る。一時メモリ１６８は、外部のセキュアエレメント１８４の代わりにも使用され得る。ダウンロードされたアプリケーションデータまたはソフトウェアアプリケーション１７２、ならびに無効化されたソフトウェアアプリケーションは、一時メモリ１６８内に存在し得る。ＮＦＣコントローラ１７６は、制御ソフトウェアアプリケーションにおいて、またはセキュアエレメント名前空間のセクター内で行われた変更によって起動される。あるいは、非接触型スマートカード装置が、リーダー端末１８８に対する無線信号を受動的に送信するように設定されている場合、ＮＦＣコントローラは、非接触型スマートカード装置１４４のこの受動アプリケーションを有効にするために電話のスイッチがオフにされる場合、有効なままであり得る。

ある特定の例となる実施形態では、ユーザーインタフェースソフトウェアアプリケーション１５２は、非接触型スマートカード装置１４４のオペレーティングシステムまたは仮想マシン環境１４８内で実行する財布ソフトウェアアプリケーションである。ユーザーインタフェースソフトウェアアプリケーション１５２は、エンドユーザーに情報を提供し、キーパッド、音声、タッチセンサー方法を介して、エンドユーザーから情報を受け取る。非接触型スマートカードの構成部分の各々は、セキュアエレメントまたは外部のセキュアエレメントと通信し得る。非接触型スマートカード装置１４４は、無線通信方法１４０または無線インターネット網（Ｗｉ−Ｆｉ）１９６のうちの１つを使用して、カード発行者１０４およびソフトウェアアプリケーションプロバイダ１１２と通信する。ある特定の例となる実施形態では、カード発行者１０４は、無線サービスプロバイダ１３６であり得る。図１に示す２つの構成部分１０４および１３６は、次いで、トラステッドサービスマネージャ１０８をホストするために組み合わされ得るが、それは、カード発行者１０４側上に常駐しているとして示されている。ソフトウェアアプリケーションプロバイダ１１２には、クレジットカード会社１１６、発券会社（交通システム）１２０、クーポン券会社１２４、認証会社（ポイント、メンバシップ、およびセキュリティ認証）１２８、および、特定のカードをインスタンス化するために使用され得る、機密情報もしくは他の保護された情報（例えば、アカウント情報）を提供するための、銀行、小売業者、または他の金融サービスプロバイダなどの保護情報提供業者１２１を含み得る。各構成部分１１６〜１２８は、接続１９６を使用して直接に、または１３６および１４０を通じて間接的に、非接触型スマートカード装置１４４に提供され得るアプリケーションデータおよびソフトウェアアプリケーションをホストする独立したセキュアコンピュータを含み得る。

ある特定の例となる実施形態では、ソフトウェアアプリケーションプロバイダ１１２は、ＴＳＭコンピュータ１０８をホストするために、トランザクション目的のソフトウェアアプリケーションをカード発行者１０４に提供する。ソフトウェアアプリケーションは、セキュアＷｉ−Ｆｉ接続１９６を介してセキュアダウンロード機能を提供し得るが、無線モバイル通信のセキュリティ機能を利用するため、ＴＳＭ１０８がソフトウェアアプリケーションを配備するために使用される。あるセキュアエレメントの用途では、アプリケーションデータまたはソフトウェアアプリケーションのインストールのプロセスは、ＴＳＭ１０８からセキュアエレメント１５６まで追跡される署名された証明書を使用し；従って、セキュアエレメントへのインストールは、Ｗｉ−Ｆｉチャネル１９６に適用されない可能性があり、かかる状況では、ＧＳＭ（登録商標）／ＣＤＭＡ無線チャネル１４０を使用することが好まれ得る。

図２は、ある特定の例となる実施形態に従った、非接触型スマートカード装置内のセキュアエレメントの名前空間を分割するため、およびセキュアエレメントの外部のソフトウェアアプリケーションからの要求を使用して、セキュアエレメント内にアプリケーションデータを書き込むための、コンピュータ実装システム２００および装置２４４を示す。非接触型スマートカード装置２４４は、セキュアエレメント２５６を含み、そのセキュアエレメントは、非接触型スマートカードの内部構成部分、または他の構成部分の各々とセキュアチャネル接続を有する外部構成部分のいずれかとして、非接触型スマートカードの一部である。非接触型スマートカードの他の構成部分には、ＮＦＣコントローラ２７６およびアンテナ２８０が含まれる。セキュアエレメント２５６は、ＳＩＭカード、ＵＩＣＣカード、ＣＤＭＡ非接触型支払い装置の集積回路チップ、またはＳＤカードの一部であり得る。外部のセキュアエレメントおよびセキュアメモリ２８４は、インストール前、または無効化中に、セキュアエレメントセクター内の空き領域に一時的に配置されるソフトウェアアプリケーションに対して、一時的であるが、セキュアエレメントに接続されたセキュアメモリの一例を提供するために示されている。

セキュアエレメント２５６は、制御ソフトウェアアプリケーションまたはＴＳＭソフトウェアアプリケーション２６０、ならびに、トランザクション目的で、アプリケーションデータおよびソフトウェアアプリケーションを保持する、セキュアエレメント名前空間２６４を含む。一時メモリ２６８は、セキュアエレメント名前空間の既存のセクターのセクション、またはセキュアエレメント名前空間の異なるパーティション内に組み込まれ得る。一時メモリ２６８は、外部のセキュアエレメント２８４の代わりにも使用され得る。ダウンロードされたアプリケーションデータまたはソフトウェアアプリケーション２７２、ならびに無効化されたソフトウェアアプリケーションは、一時メモリ２６８内に存在し得る。ＮＦＣコントローラ２７６は、制御ソフトウェアアプリケーションにおいて、またはセキュアエレメント名前空間のセクター内で行われた変更によって起動される。あるいは、非接触型スマートカード装置が、リーダー端末２９２に対する無線信号を受動的に送信するように設定されている場合、ＮＦＣコントローラは、非接触型スマートカード装置２４４のこの受動アプリケーションを有効にするために電話のスイッチがオフにされる場合、アクティブなままであり得る。

ある特定の例となる実施形態では、ユーザーインタフェースソフトウェアアプリケーション２５２は、非接触型スマートカード装置２４４のオペレーティングシステムまたは仮想マシン環境２４８内で実行する財布ソフトウェアアプリケーションである。ユーザーインタフェースソフトウェアアプリケーション２５２は、エンドユーザーに情報を提供し、キーパッド、音声、タッチセンサー方法を用いて、エンドユーザーから情報を受け取る。非接触型スマートカード構成部分の各々は、セキュアエレメントまたは外部のセキュアエレメントと通信し得る。非接触型スマートカード装置２４４は、無線通信方法２４０または無線インターネット網（Ｗｉ−Ｆｉ）２９６のうちの１つを使用して、カード発行者２０４およびソフトウェアアプリケーションプロバイダ２１２と通信する。ある特定の例となる実施形態では、カード発行者２０４は、無線サービスプロバイダ２３６であり得る。図２に示す２つの構成部分２０４および２３６は、次いで、公開鍵を用いてソフトウェアアプリケーションを配備可能なコンピュータをホストするために組み合わされ得るが、そのコンピュータは非ＴＳＭコンピュータ２０８であり、それは、カード発行者２０４側上に常駐しているとして示されている。ソフトウェアアプリケーションプロバイダ２１２には、クレジットカード会社２１６、発券会社（交通システム）２２０、クーポン券会社２２４、認証会社（ポイント、メンバシップ、およびセキュリティ認証）２２８、および、特定のカードをインスタンス化するために使用され得る、機密情報もしくは他の保護された情報（例えば、アカウント情報）を提供するための、銀行、小売業者、または他の金融サービスプロバイダなどの保護情報提供業者２２１を含み得る。各構成部分２１６〜２２８は、接続２９６を使用して直接に、または２３６および２４０を通じて間接的に、非接触型スマートカード装置２４４に提供され得るアプリケーションデータおよびソフトウェアアプリケーションをホストする独立したセキュアコンピュータを含み得る。

ある特定の例となる実施形態では、制御ソフトウェアアプリケーションまたはＴＳＭソフトウェアアプリケーションは、一時メモリ２６８に保存された秘密鍵にアクセスする。例となる実施形態では、秘密鍵は、非対称暗号化アルゴリズムを使用してカード発行者によって生成される。秘密鍵がローテーションされて安全性が保たれるように、秘密鍵は、事前に定義された間隔で変更され、カード発行者２０４からセキュアエレメント２５６にプッシュされ得る。さらに、ＴＳＭソフトウェアアプリケーションは、制御ソフトウェアアプリケーションに統合され得、それにより、２つのソフトウェアアプリケーションが、ソフトウェアアプリケーションプロバイダからのトランザクションソフトウェアアプリケーションを制御できるようにする。暗号化アルゴリズムによって生成された公開鍵は、次いで、プロバイダ２１６〜２２８、および非ＴＳＭコンピュータ２０８によってホストされるソフトウェアアプリケーションを含む、様々な合法的なソフトウェアアプリケーションプロバイダに配信される。この非対称暗号化アルゴリズムの使用は、システム２００に利益をもたらし、ここで、リモートＴＳＭは、ソフトウェアのインスタンス化、停止、開始、および破壊を含め、ソフトウェアアプリケーションに対するマイナー許可に必要とされない。

許可は、ＴＳＭソフトウェアアプリケーション２６０を通じて付与され得、それは、非ＴＳＭコンピュータ２０８および２１６〜２２８からのソフトウェアアプリケーションを解読および認証するための秘密鍵を含む。さらに、ＴＳＭソフトウェアアプリケーションは、セキュアエレメント内にインストールされたソフトウェアアプリケーション上で実行される変更に対する要求を認証し得、それにより、セキュアエレメント実行時環境がライフサイクル機能に関して、ソフトウェアアプリケーションに対する許可を探すため、ＡＰＩを呼出すことをさせないようになる。

図３は、ある特定の例となる実施形態に従った、非接触型スマートカード装置内のセキュアエレメント３０４の名前空間のデータ構造３００Ａならびに、セキュアエレメント名前空間内のアプリケーションデータの分割および格納を制御する制御ソフトウェアアプリケーション３００に関連したアプリケーションデータ３００Ｂを示す。セキュアエレメント名前空間が図３にテーブルとして示されており、それは、メモリブロック３１６につき１６バイト、およびセクター３０８につき４つのブロック３１２を含む。各メモリブロックは、アクセスメモリブロック３２８Ａ〜Ｚ、およびデータメモリブロック３３２を含む。各アクセスメモリブロック３２８Ａ〜Ｚは、アクセス鍵３２０および３２４をさらに含み、Ａ鍵３２０Ａ〜ＺおよびＢ鍵３２４Ａ〜Ｚの各々は、ブロック全体に対する１つ、または２つ以上のアクセスタイプの組合せを提供する。アクセスメモリブロック３２８は、セクター内のブロックに割り当てられたアクセスタイプを記述するアクセスビットを含む。製造業者のブロック３３６は、デフォルトのアクセス鍵ＡおよびＢを導出するためのバージョン情報および一意の識別子情報を含む。セクター０のデータメモリブロックは、セクター０のブロック１およびブロック２内にアプリケーションディレクトリも含む。アプリケーションディレクトリ３３２Ａは、ＡＩＤ情報、およびＡＩＤの基礎となるソフトウェアアプリケーションまたはアプリケーションデータを含むセクターへのポインタを含むテーブルである。

制御ソフトウェアアプリケーション３４０は、例示の目的で、アプリケーションデータを含むとして示されているが、ある特定の例となる実施形態では、アプリケーションデータは、同じセキュアエレメント名前空間３０４、またはセキュアエレメント３０４の外部の物理的もしくは仮想的に異なるセキュアエレメントのデータメモリブロック内に格納される。制御ソフトウェアアプリケーション３４０は、Ｂ鍵を変更するためのアクセス鍵、およびセキュアエレメント名前空間３０４内のセクターの各々に対するアクセスビット３４８を含む、全てのアクセス鍵３４４を格納する。セクタータイプ３５２は、制御ソフトウェアアプリケーションに格納されたアクセスビットに従って定義され、セクタータイプは、単一のソフトウェアアプリケーションがセクター内で、ある機能、例えば、書込み、読取り、インクリメント、デクリメント、およびディレクトリセクタータイプ、を実行できるようにする。さらに、セクタータイプは、制御ソフトウェアアプリケーションを通じてカード発行者によって行われたスロット選択および分配を関連つける。読取り／書込みブロックは、割り当てられたＳＳＬＯＴセクターであり得るが、セクター１５内の初期値は、トランザクションタイプのソフトウェアアプリケーションがセクターを制御している、従って、ＳＳＬＯＴの所有者である場合にのみ書き込まれ得る。ソフトウェアアプリケーションが複数のセクターにわたって格納される場合、セクターごとのＡＩＤが、非接触型スマートカード内のソフトウェアアプリケーションの構造に従うため、制御ソフトウェアアプリケーション内に格納される（３５６）。変更ログは、エンドユーザーの要求、外部のＴＳＭコンピュータによって行われた変更、およびセキュアエレメント内のソフトウェアアプリケーションのライフサイクル中に外部のカードリーダーによって作成されたアクセス鍵に対する要求のログを取る。

図４は、ある特定の例となる実施形態に従った、セキュアエレメントの名前空間を、セキュアエレメント内の制御ソフトウェアアプリケーションによって、少なくとも２つの記憶タイプに分割するためのコンピュータ実装方法４００を示す。ブロック４０５で、カード発行者または非接触型スマートカード装置エンドユーザーがアクセスタイプを定義するが、例えば、セキュアエレメント名前空間内のいくつかのメモリブロックに対する、第１のアクセスタイプ、第２のアクセスタイプ、第１のアクセス鍵、および第２のアクセス鍵などである。第１のアクセス鍵および第２のアクセス鍵の各々は、セキュアエレメント名前空間内の複数のメモリブロックに対する、第１のアクセスタイプ、第２のアクセスタイプ、または第１および第２のアクセスタイプの組合せのうちの１つを提供する。制御ソフトウェアアプリケーションが、アクセスタイプおよびアクセス鍵を定義するために使用され得、代替実施形態では、その定義は、前述のように、アクセス鍵の生成後、ローテーション中に実行され得る。アクセス鍵は、Ａ鍵およびＢ鍵を含み、アクセスタイプは、書込み、読取り、インクリメント、デクリメント、およびリストアまたはデフォルトを含む。

ブロック４１０は、制御ソフトウェアアプリケーションを使用して選択プロセスを実行し、セキュアエレメント名前空間内のメモリブロックから、少なくとも第１のメモリブロックのグループ、第２のメモリブロックのグループ、および選択されたメモリブロックのグループの各々に対するアクセスタイプを選択する。各選択されたメモリブロックのグループ内の少なくとも１つのメモリブロックが、選択されたメモリブロックのグループのデータメモリブロック内のソフトウェアアプリケーションまたはアプリケーションデータに対する選択されたアクセスタイプを外部のデータを要求している装置に提供するためのアクセスメモリブロックである。

ブロック４１５は、送信機能を実行し、制御ソフトウェアアプリケーションから、選択されたメモリブロックのグループの各々に対するアクセスメモリブロック内に、第１のアクセス鍵、第２のアクセス鍵、および各それぞれの選択されたメモリブロックのグループに対する選択されたアクセスタイプを格納するために送信し、それにより、セキュアエレメントの名前空間を少なくとも２つの記憶タイプに分割する。

図５は、ある特定の例となる実施形態に従った、セキュアエレメントの外部に常駐するユーザーインタフェースソフトウェアアプリケーションからの要求を使用して、アプリケーションデータをセキュアエレメント名前空間内に書き込むためのコンピュータ実装方法５００を示す。ブロック５０５は、初期送信機能を実行し、ユーザーインタフェースソフトウェアアプリケーションまたは財布ソフトウェアアプリケーションから、リモートのトラステッドサービスマネージャ（ＴＳＭ）コンピュータに、アプリケーションデータ、および少なくとも書込みアクセスタイプに対するアクセス鍵に対する要求を送信する。ブロック５０５を通じて要求されたアプリケーションデータは、セキュアエレメント名前空間に書き込まれることとなる。

ブロック５１０は受信ステップを実行し、要求されたアプリケーションデータ、および要求されたアクセス鍵を、セキュアエレメントの一時メモリで、リモートＴＳＭコンピュータから受信する。上述のように、一時メモリは、トランザクション目的でアプリケーションデータおよびソフトウェアアプリケーションを格納するために使用されるセキュアエレメントとは物理的または仮想的に異なり得る。例えば、一時メモリは、外部のセキュアメモリ１８４、２８４、または一時メモリ１６８、２６８であり得る。ブロック５１５は、セキュアエレメント内の制御ソフトウェアアプリケーションを使用して、要求されたアプリケーションデータを、セキュアエレメントの一時メモリからセキュアエレメント名前空間のデータメモリブロックに書き込む。データメモリブロックは、制御ソフトウェアアプリケーションによって事前に定義されるか、または割り当てられる。さらに、セキュアエレメント名前空間のデータメモリブロックは、ＴＳＭコンピュータから受信した要求されたアクセス鍵を使用して、制御ソフトウェアアプリケーションによってアクセスされる。

図６は、ある特定の例となる実施形態に従った、トラステッドサービスマネージャ（ＴＳＭ）を非接触型スマートカード装置のセキュアエレメント内にローカルに実装するためのコンピュータ実装方法６００を示す。ＴＳＭソフトウェアアプリケーションは、ブロック６０５で、非接触型スマートカード装置のセキュアエレメント内にインストールされる。ブロック６０５は、非接触型スマートカードの製造時における鍵のローテーション直後、または非接触型スマートカードの非接触型スマートカード装置内への配備前のステップを表し得る。ＴＳＭソフトウェアアプリケーションは、セキュアエレメントの制御ソフトウェアアプリケーション内に組み込まれ得るか、または独立して実行され得る。ＴＳＭソフトウェアアプリケーションは、アプリケーションデータを要求する送信機能および受信したアプリケーションデータの暗号化された形式を解読するための暗号解読機能を実行するためのコンピュータコードを含み、受信したアプリケーションデータは、送信機能からの要求に応答して、非接触型スマートカード装置で受信される。

ブロック６１０は、秘密鍵をセキュアエレメントに格納するが、秘密鍵はＴＳＭソフトウェアアプリケーションに割り当てられ、秘密鍵は、例えば、非対称暗号化アルゴリズムを使用して、公開鍵と一緒に生成される。

送信ステップは、ＴＳＭソフトウェアアプリケーションによって、いくつかの登録されたリモートの非ＴＳＭコンピュータのうちの１つに、アプリケーションデータに対する要求を送信するためのブロック６１５を介して進行する。これらの非ＴＳＭコンピュータは、図２の装置２０８および２１６〜２２８を含む。リモートの非ＴＳＭコンピュータは、要求に応答して、アプリケーションデータを暗号化するため、公開鍵にアクセスするよう構成される。ＴＳＭソフトウェアアプリケーションは、アプリケーションデータに対する要求をＴＳＭコンピュータに送信することもでき、それは、データを装置２４４に返すために公開鍵を使用し得る。

ブロック６２０は、非接触型スマートカード装置内で受信機能を実行し、そこでは、暗号化されたアプリケーションデータが受信および格納される。暗号化されたアプリケーションデータは、その目的のために割り当てられたセキュアエレメントセクター内の一時メモリ内に、または、非接触型スマートカード装置に付属する外部のセキュアメモリを用いて、格納され得、その場合、外部のセキュアメモリは、セキュア通信路を介してセキュアエレメントに接続されている。アプリケーションデータプロバイダは、要求されたアプリケーションデータを、公開鍵を使用して暗号化し、次いで、暗号化されたデータをブロック６２０で受信するために、装置２４４に伝達する。

ブロック６２５は、ＴＳＭソフトウェアアプリケーションに割り当てられた秘密鍵を使用して、アプリケーションデータを解読する。解読されたアプリケーションデータは、セキュアエレメントの事前に定義されたデータメモリブロック内へのインストールの準備が整っており、そこで、データメモリブロック割当ては、メモリブロックの現在の状況、メモリブロックに割り当てられたアクセスビット、およびセクターＳＳＬＯＴまたはＲＳＬＯＴの状態に基づき、制御ソフトウェアアプリケーションによって決定される。

例となる実施形態では、セキュアエレメント２５６は、それに割り当てられた一意の秘密鍵および対応する公開鍵をもつことができる。ＴＳＭソフトウェアアプリケーションが最初にインストールされる場合、それは２つの公開鍵／秘密鍵の対を生成し、これらの鍵の対を内部に保存できる。１つの鍵の対は、図６に関連して説明したように、暗号化通信を受信するために使用され、もう一方の鍵の対は、ＴＳＭソフトウェアアプリケーションがメッセージに署名できるようにするために使用される。

リモートのトラステッドサービスマネージャなどの信頼されたエンティティは、ＴＳＭソフトウェアアプリケーションに連絡して、公開鍵を取得し、第３者が、これらの公開鍵が本当のセキュアエレメント内のＴＳＭソフトウェアアプリケーションに本当に関連していることを検証できるようにする証明書を作成できる。これらの第３者は、例えば、図２の装置２０８および２１６〜２２８であるが、次いで、暗号化のために公開鍵を使用してメッセージを暗号化し、暗号化したメッセージをセキュアエレメント２５６に送信し、そして、それらが受信するメッセージがセキュアエレメント２５６内で生じたことを検証できる。

暗号解読のための秘密鍵を使用した、ＴＳＭソフトウェアアプリケーションの暗号解読機能の呼出しは、セキュアエレメント２５６内にインストールされた他のアプリケーションによってのみ呼び出され得る。証明書は、公開鍵の安全性を保証するため、公開鍵／秘密鍵の対に基づき作成され得る。

図７は、ある特定の例となる実施形態に従った、分割およびプロビジョニング目的のために、セキュアエレメント名前空間へのアクセスを制御するコンピュータ実装方法７００、アクセス条件７０４、アクセスタイプ７０８〜７１２、ならびに、例えば、非接触型スマートカードの様々なセクター内のメモリブロックに割り当てられ得る７２０および７２４のアクセス鍵を示す。列７１６に列挙されたセクターまたはメモリブロックに対して、制御ソフトウェアアプリケーションで実施され得る変更のタイプがアクセス条件７０４によって定義される。制御ソフトウェアアプリケーションは、図３に示すテーブル３００Ｂと共に、アクセス条件情報を格納する。１行目の読取りアクセスタイプは鍵Ａ_１に設定され、これは、関連するセクター７２８が、同じ鍵Ａ_１を非接触型スマートカードに表示できる外部のカードリーダー装置によって読み取られ得ることを意味する。同様に、７２８のアクセス条件によって定義されるセクターへの書込み機能にアクセスするために、鍵Ａ_１またはＢ_１が使用され得る。一例として、交通システムを使用すると、退場および入場データ入力を可能にするアクセスメモリブロック内で、アクセスビットを有するセクターに対し、外部のカードリーダーは、駅からの退場および駅への入場を書き込むため、特定のセクターに対するＢ鍵をスマートカードに提供する。初期値の変更は、鍵Ｂ_１とは異なり得る鍵Ｂ_２を使用して、セクター７４０で行われ得る。カードリーダーは、自動改札機でこのセクターにアクセスし得ず、特別なリーダーが交通局で、非接触型スマートカードに額面を追加するため、このセクターへのアクセスを提供し得る。

アクセス鍵自体は、ある特定の状況で変更され得るが、本明細書で説明する実施形態では、制御ソフトウェアアプリケーションが、カード発行者とソフトウェアアプリケーションプロバイダとの間の契約上の義務に基づき、Ｂ鍵に対する変更のログを取り、許可する。従って、図７に示すように、最初にセクターのアクセスメモリブロック内のアクセス鍵にアクセスし、変更するため、鍵Ａ_２ ７５２が、同じ鍵Ａ_２または高い特権を持つ鍵Ｂ_２を使用して変更され得る。鍵Ｂ_２は、常により高いセキュリティー鍵であり、７４４〜７６４で示すように、選択されたセクターの鍵Ａ_２および鍵Ｂ_２に対するアクセス鍵変更を実行するために使用できる。Ｂ鍵はＡ鍵では変更され得ない（逆は選択されたセクターでは可能であり得る）。最後に、アクセスメモリブロック内のアクセスビットが変更され得（７７６）、それにより、ＲＳＬＯＴおよびＳＳＬＯＴ目的のため、メモリブロックに異なる特権を割り当てる。さらに、アクセス鍵またはアクセスビットを変更する前に、メモリブロック内のソフトウェアアプリケーションが読み出され、異なるメモリブロック内に格納され得る。アプリケーションデータまたはソフトウェアアプリケーションは、次いで、アクセス鍵およびアクセスビットが変更された後、新しいメモリブロックまたは元のメモリブロックに書き戻され得る。ＲＳＬＯＴについて、一例として、メモリセクター７２８および７４０は、交通局が、これらのスロット内のデータに額面を追加できるようにするために、ＳＳＬＯＴである必要があり得る。しかし、アクセスメモリブロック内のアクセスビットは、ＳＳＬＯＴではない可能性があり、代わりにＲＳＬＯＴであり得、それにより、交通局が、ブロック内の鍵を変更することなく、インクリメントからデクリメントまで、アクセス条件を変更できるようにする。

本開示の１つまたは複数の態様は、本明細書で説明および例示する機能を実施するコンピュータプログラムを含み得、コンピュータプログラムは、機械可読媒体に格納された命令およびその命令を実行するプロセッサを含むコンピュータシステムで実装される。しかし、本開示をコンピュータプログラミングで実装する多くの異なる方法があり得、開示は、任意の１つの組のコンピュータプログラム命令に限定されると解釈されるべきでないことが明らかであろう。さらに、熟練したプログラマであれば、添付した流れ図および出願文内の関連した説明に基づき、開示された開示の実施形態を実装するためにかかるコンピュータプログラムを書くことができるであろう。従って、特定の組のプログラムコード命令の開示は、本開示をどのように作成および使用するかについて十分に理解するために必要であるとは考えられない。本開示の発明に関する機能は、プログラムの流れを示す図とともに読まれる、例となる実施形態の以下の説明でさらに詳細に説明される。

前に提示した実施形態で説明した例となる方法および動作は例証であり、代替実施形態では、本開示の範囲および精神から逸脱することなく、ある特定の動作が、異なる順序で、互いに並行して、完全に省略して、および／もしくは異なる例となる実施形態間で組み合わせて実行でき、かつ／または、ある追加の動作が実行できる。従って、かかる代替実施形態は、本明細書で説明する開示に含まれる。

例となる実施形態は、上述の方法および処理機能を実行するコンピュータハードウェアおよびソフトウェアで使用できる。当業者であれば理解されるように、本明細書で説明するシステム、方法、および手順は、プログラム可能コンピュータ、コンピュータ実行可能ソフトウェア、またはデジタル回路で実施することができる。ソフトウェアは、コンピュータ可読媒体上に格納できる。例えば、コンピュータ可読媒体には、フロッピィディスク、ＲＡＭ、ＲＯＭ、ハードディスク、取り外し可能媒体、フラッシュメモリ、メモリスティック、光媒体、光磁気媒体、ＣＤ−ＲＯＭなどを含むことができる。デジタル回路には、集積回路、ゲートアレイ、ビルディングブロックロジック、フィールドプログラマブルゲートアレイ（「ＦＰＧＡ」）などを含むことができる。

特定の実施形態を上で詳細に説明してきたが、この説明は例示説明のために過ぎない。それ故、前述した多くの態様は、特に明記しない限り、必須または本質的要素として意図されないことが理解されるべきある。例となる実施形態の開示された態様の様々な修正、およびそれに対応する同等な動作は、前述したものに加えて、以下の特許請求項で定義される本開示の精神および範囲から逸脱することなく、本開示の恩恵を受ける当業者によって行われ得、特許請求項の範囲は、かかる修正および等価構成を包含するように、最も広い解釈と一致される。

１００… コンピュータ実装システム
１４４… 非接触型スマートカード装置
２００… コンピュータ実装システム
２４４… 非接触型スマートカード装置

Claims (19)

1. トラステッドサービスマネージャ（ＴＳＭ）を非接触型スマートカード装置のセキュアエレメント内でローカルに実装するためのコンピュータ実装方法であって、
   前記非接触型スマートカード装置内に、ＴＳＭソフトウェアアプリケーションをインストールすることであって、前記ＴＳＭソフトウェアアプリケーションは、アプリケーションデータを要求するための送信機能および受信したアプリケーションデータの暗号化された形式を解読するための暗号解読機能を実行するためのコンピュータコードを含み、前記受信したアプリケーションデータが、前記送信機能からの前記要求に応答して、前記非接触型スマートカード装置で受信される、ＴＳＭソフトウェアアプリケーションをインストールすることと、
   前記セキュアエレメント内に、前記ＴＳＭソフトウェアアプリケーションに割り当てられた秘密の暗号化鍵および対応する公開の暗号化鍵を格納することと、
   前記ＴＳＭソフトウェアアプリケーションの前記送信機能によって、アプリケーションデータに対する要求を登録されたリモートコンピュータに送信することであって、前記リモートコンピュータが、前記公開鍵にアクセスするように構成され、かつ、前記リモートコンピュータが前記公開鍵を使用して前記要求されたアプリケーションデータを暗号化する、アプリケーションデータに対する要求を送信することと、
   前記非接触型スマートカード装置内で、前記送信された要求に応答して、前記暗号化されたアプリケーションデータを受信することと、
   前記ＴＳＭソフトウェアアプリケーションの前記暗号解読機能により、前記秘密鍵を使用して前記暗号化されたアプリケーションデータを解読することと
   を含む方法。
2. 前記セキュアエレメント内の前記ＴＳＭソフトウェアアプリケーションまたは制御ソフトウェアアプリケーションによって、前記解読されたアプリケーションデータを、前記セキュアエレメント内の少なくとも１つのメモリブロックに書き込むこと
   をさらに含む、請求項１に記載の方法。
3. 前記非接触型スマートカード装置上にあり、かつ前記セキュアエレメントの外部に常駐するユーザーインタフェースソフトウェアアプリケーションによって、前記セキュアエレメント内の前記ＴＳＭソフトウェアアプリケーションを管理することであって、それにより、アプリケーションデータに対する要求を前記リモートコンピュータに送信するために、前記ユーザーインタフェースソフトウェアアプリケーションで入力を実行することと、前記暗号化されたアプリケーションデータを受信することと、前記受信されたアプリケーションデータの前記暗号化された形式を解読することとをさらに含む、請求項１に記載の方法。
4. 前記ユーザーインタフェースソフトウェアアプリケーションが、ユーザー入力を、前記非接触型スマートカード装置のディスプレイまたはキーパッドから、前記セキュアエレメント内の前記ＴＳＭソフトウェアアプリケーションに、セキュア通信路を通じて送信する、請求項３に記載の方法。
5. 前記暗号化されたアプリケーションデータが、前記セキュアエレメントまたは前記非接触型スマートカード装置の前記セキュアエレメントの外部のセキュアメモリ内で受信され、前記セキュアメモリが前記セキュアエレメントにセキュア通信路を介して接続されている、請求項１に記載の方法。
6. 前記リモートコンピュータが前記公開鍵を保持している場合に限り、前記リモートコンピュータが、アプリケーションデータを前記非接触型スマートカード装置に配備するために登録される、請求項１に記載の方法。
7. アプリケーションデータが、前記セキュアエレメント内で実行可能なソフトウェアアプリケーションまたは前記セキュアエレメント内の既存のソフトウェアアプリケーションをサポートするためのデータのうちの少なくとも１つを含む、請求項１に記載の方法。
8. 前記ＴＳＭソフトウェアアプリケーションが、前記非接触型スマートカード装置内で受信した前記暗号化されたアプリケーションデータについて様々なライフサイクル機能を実行するための許可を提供するためのコンピュータコードをさらに含み、前記ライフサイクル機能が、初期化機能、インストール機能、開始機能、停止機能、および破壊機能のうちの少なくとも１つを含む、請求項１に記載の方法。
9. トラステッドサービスマネージャ（ＴＳＭ）を非接触型スマートカード装置の前記セキュアエレメント内でローカルに実装するためのコンピュータ実装システムであって、
   非接触型スマートカード装置と、
   前記装置上に存在するセキュアエレメントであって、前記セキュアエレメントに割り当てられた秘密の暗号化鍵および対応する公開の暗号化鍵を格納するセキュアエレメントと、
   前記セキュアエレメント上に常駐するＴＳＭソフトウェアアプリケーションであって、前記ＴＳＭソフトウェアアプリケーションが、アプリケーションデータを要求するための送信機能および受信したアプリケーションデータの暗号化された形式を解読するための暗号解読機能を実行するためのコンピュータコードを含み、前記受信したアプリケーションデータが、前記送信機能からの前記要求に応答して、前記非接触型スマートカード装置で受信される、ＴＳＭソフトウェアアプリケーションとを備え、
   前記ＴＳＭソフトウェアアプリケーションの前記送信機能が、複数のリモートコンピュータのうちの１つに、アプリケーションデータに対して要求を送信し、前記リモートコンピュータが前記公開鍵にアクセスするように構成され、かつ、前記リモートコンピュータが前記公開鍵を使用して前記要求されたアプリケーションデータを暗号化し、
   前記装置が、前記送信された要求に応答して、前記暗号化されたアプリケーションデータを受信し、
   前記ＴＳＭソフトウェアアプリケーションの前記暗号解読機能が、前記秘密鍵を使用して前記暗号化されたアプリケーションデータを解読する、
   システム。
10. 前記セキュアエレメントが、前記解読されたアプリケーションデータを前記セキュアエレメント内の少なくとも１つのメモリブロックに書き込む制御ソフトウェアアプリケーションをさらに含む、請求項１０に記載のシステム。
11. 前記セキュアエレメント内の前記ＴＳＭソフトウェアアプリケーションを管理する、前記装置上にあり、かつ前記セキュアエレメントの外部に常駐するユーザーインタフェースソフトウェアアプリケーションをさらに含み、それによって、アプリケーションデータに対する要求を前記リモートコンピュータに送信するために、前記ユーザーインタフェースソフトウェアアプリケーションで入力を実行し、前記暗号化されたアプリケーションデータを受信し、かつ、前記受信したアプリケーションデータの前記暗号化された形式を解読する、請求項１０に記載のシステム。
12. 前記ユーザーインタフェースソフトウェアアプリケーションが、ユーザー入力を、前記非接触型スマートカード装置のディスプレイまたはキーパッドから、前記セキュアエレメント内の前記ＴＳＭソフトウェアアプリケーションに、セキュア通信路を通じて送信する、請求項１１に記載のシステム。
13. 前記暗号化されたアプリケーションデータが、前記セキュアエレメントまたは前記非接触型スマートカード装置の前記セキュアエレメントの外部のセキュアメモリ内で受信され、前記セキュアメモリが前記セキュアエレメントにセキュア通信路を介して接続されている、請求項１０に記載のシステム。
14. 前記リモートコンピュータが前記公開鍵を保持している場合に限り、前記複数の登録されたリモートコンピュータの各々が、アプリケーションデータを前記非接触型スマートカード装置に配備するために登録される、請求項１０に記載のシステム。
15. アプリケーションデータが、前記セキュアエレメント内で実行可能なソフトウェアアプリケーションまたは前記セキュアエレメント内の既存のソフトウェアアプリケーションをサポートするためのデータのうちの少なくとも１つを含む、請求項１０に記載のシステム。
16. 前記ＴＳＭソフトウェアアプリケーションが、前記非接触型スマートカード装置内で受信した前記暗号化されたアプリケーションデータについて様々なライフサイクル機能を実行するための許可を提供するためのコンピュータコードをさらに含み、前記ライフサイクル機能が、初期化機能、インストール機能、開始機能、停止機能、および破壊機能のうちの少なくとも１つを含む、請求項１０に記載のシステム。
17. トラステッドサービスマネージャ（ＴＳＭ）を非接触型スマートカード装置の前記セキュアエレメント内でローカルに実装するためのコンピュータ実装方法であって、
    非ＴＳＭコンピュータを登録することであって、それにより、前記非ＴＳＭコンピュータのために、前記暗号化されたデータを前記非接触型スマートカード装置に送信する前にアプリケーションデータを暗号化するための公開鍵に対するアクセスを取得し、前記公開鍵が前記非接触型スマートカード装置に割り当てられた秘密の暗号化鍵に対応する、非ＴＳＭコンピュータを登録することと、
    前記非ＴＳＭコンピュータで非接触型スマートカード装置から、アプリケーションデータに対する要求を受信することであって、前記アプリケーションデータが前記リモートの非ＴＳＭコンピュータに常駐し、前記要求が前記公開鍵を含む、アプリケーションデータに対する要求を受信することと、
    非ＴＳＭコンピュータで、前記要求されたアプリケーションデータを、前記公開鍵を使用して暗号化することと、
    前記非接触型スマートカード装置に、前記暗号化されたアプリケーションデータを送信することと
    を含む方法。
18. アプリケーションデータが、前記セキュアエレメント内で実行可能なソフトウェアアプリケーションまたは前記セキュアエレメント内の既存のソフトウェアアプリケーションをサポートするために必要なデータのうちの少なくとも１つを含む、請求項１７に記載の方法。
19. 暗号化されたアプリケーションデータが、前記非ＴＳＭコンピュータから前記非接触型スマートカードのセキュアエレメントに送信される、請求項１７に記載の方法。