JP2014505305A - 電子取引リスク管理 - Google Patents

Abstract

複数のデバイスで構成される電子メッセージ転送システムにおいて権限のない活動を検出する。それぞれのデバイスは、該システムの他のデバイスとコンテントを交換するために暗号で保護された転送メッセージを生成し受け取るよう構成されている。それぞれのデバイスは、メモリに監査情報を蓄積し、蓄積された監査情報の少なくとも一部を定期的にセキュア・サーバに転送する。

Description

この発明は電子取引システムに関し、具体的には信頼のない環境での電子取引に関連するリスクを管理するシステムおよび方法に関する。

この発明の目的では、「信頼のない環境」とは、攻撃者がメッセージを改変したり、削除したり、さらにはメッセージを追加したり再生することができることができる任意の通信環境、ネットワーク環境を意味する。公共のインターネットは、攻撃者がメッセージを改変し、削除し、追加し、複写するのを禁止することができないので、信頼のない環境の普通の例である。

ここでの記述において、「センシティブ取引」とは、２以上の関係者の間のメッセージ交換セッションまたはメッセージ通信セッションで、メッセージの内容（コンテンツ）が関係者間で信頼性をもって転送されることが望まれ、権限なく閲覧されたり操作されたりしないよう安全（セキュア）であることが望まれるものをいう。「センシティブ取引」の例には、電子的ファンド転送およびイーコマース(eCommerce)のような経済上の取引、遠隔センシングおよびテレメトリデータ転送メッセージング(telemetry data transfer messaging)、および電子投票手法などがあるが、これに限られるわけではない。

インターネットをベースとする電子取引システムはこの分野でよく知られている。インターネットのような信頼のない環境でのセンシティブ取引に関連するリスクを緩和するため、それらのシステムは、電子取引の関係者間の仲介者として作用するセキュア・サーバを典型的には使用する。場合によっては、セキュア・サーバは、当事者を認証するためだけの働きをする。より一般的には、セキュア・サーバは当事者の認証と、実際のファンド転送の制御との両方を行う。その結果、セキュア・サーバは、両当事者に取引が適正に完了したことの確信を与え、また詳細な監査記録（audit trail）を生成することもでき、これによりサービスプロバイダは、誰かによる詐欺的その他不正なシステム使用を検出することができる。この手法の制約要素は、取引を行うため、ユーザが中央システムにログインしなければならないことが不便であり、ユーザによるこのシステムの受け入れが限られることである。

ファンドの転送を仲介する中央サーバが使われない点で全くの現金取引に酷似するような形態で人と人の間の電子的な経済上の(financial)取引を可能にする種々の手法が提案されている。そのようなシステムの中心的なテーマは、従来の中央サーバをベースとするシステムによって得られたのと少なくとも同じレベルのセキュリティおよび信頼性を備えながら、関係者が中央サーバにログインする不便さを含まない、セキュリティメカニズムを提供することである。しかし、これらのシステムは、ユーザが中央サーバにログインする頻度が低下する（またはゼロになる）ので、詐欺的または不正な活動の検出を可能にする監査記録を、サービスプロバイダが生成することができる信頼性のあるメカニズムがないという制約を受ける。

したがって、この発明は、上述の従来技術の制約を克服しようとするものである。

よって、一面においてこの発明は、それぞれがこのシステムの他のデバイスと金額値を交換するための暗号的に保護された値転送メッセージを生成し受け取る、複数のデバイスからなる、電子メッセージ転送システムにおける権限のない活動を検出する手法を提供する。各デバイスにおいて監査情報がそのデバイスのメモリに蓄積される。デバイスは、蓄積した監査情報の少なくとも一部を定期的にセキュア・サーバに送る。

この発明のさらなる特徴および利点が図面および以下の説明から明らかになるであろう。図において、同様の事項は同様の参照番号で示されている。

この発明の一実施例のセキュアメッセージ交換システムを示すブロック図。 図１のシステムで使用することができる加入者の通信デバイスを示すブロック図。 図１のシステムで使用することができる加入者の通信デバイスを示すブロック図。

センシティブな取引を可能にするオンライン上のユーザ（加入者）は、そのシステムを使用する条件として、公開されている一組の条件を受諾することを表明することが求められるとされている。とりわけ、これらの条件は、たとえばユーザがそのサービスを違法または非倫理的な目的に使用しないことに同意することなど、サービスの適正な使用に制限を課す。

この条件を受諾すると、ユーザは電子的な記憶・転送デバイスを与えられ、そのデバイスの例は、本願の出願人による2010年3月30日出願の国際特許出願PCT/CA2010/000435、および2010年9月17日出願のPCT/CA2010/001434に記載されており、これらの出願は米国を指定しており、その内容はここに取り込まれる。

図２を参照すると、PCT/CA2010/001434に記載されるように、記憶・転送デバイス４は、デバイス４が通信メディア６を介してメッセージを送受信することができるよう構成された入出力（I/O）インターフェイス８、受信したメッセージに応答してデバイス４へのコンテントの転送を記録し、デバイス４からコンテントを転送するコントローラ１０、およびデバイス４のそれぞれ特異な識別子１４、プライベート（または秘密）キー１６、デバイス１４に特異に割り当てられた許可証(certificate)１８、デバイス４との間のコンテント転送のログ２０、およびデバイス４の現在のコンテント(Cur. Val)２２、を格納するメモリ１２を備える。

秘密キー１６および許可証１８は、たとえば周知の公開キーインフラストラクチャ（PKI）技術を使用するメッセージ暗号化およびデジタル署名機能の実現を助ける。この目的のために、秘密キー１６は記憶・転送デバイス４によってセキュアに生成することができ、許可証１８は、典型的にはたとえばベリサイン(Verisign 商標)のような信頼性のある発行機関によって生成される。

PCT/CA2010/001434に記載されるように、「転送出力プロセス」において、デバイス４は、転送すべきコンテント、重複メッセージの検出および適切な取り扱いを可能にするための臨時語(ナンス、nonce)、秘密キー１６を使って生成されたデジタル署名、および許可証１８を内包する暗号保護されたコンテント（アセット値）転送メッセージを生成する。この情報で受信デバイス４は、「転送入力」プロセスを実行することができ、許可証を使ってデジタル証明を検証し、ネットワーク移送中にメッセージに生じた破損を検出することができ、メッセージ中の保護されたシーケンス情報または同等の識別情報を使って重複メッセージを検出（または破棄）し、最後に現在のコンテントをメッセージで運ばれたコンテントで更新することができる。さらに、プロセッサ１０は、それぞれの転送入力および転送出力をログ２０に記録することができる。とりわけ、このログはユーザがアクセスして取引の記録を得ることができる。

デバイス４は２つの異形で作ることができる。第１の形では、デバイス４は個人に分配され、個人で使用されるに適した物理デバイスとして構成される。第２の形では、デバイス４は個々のユーザに割り当てられる所望の数の物理的記憶デバイスをエミュレートするよう設定されたサーバとして構成される。後者のケースでは、ユーザは通信デバイスに格納された適切なアプリケーション・ソフトウェアによって彼らのデバイスをアクセスすることができる。基本的にログは監査記録を構築するのに使用することができ、したがってデバイス４の不適切な使用を検出するのに使用することができる。しかし、実際にはユーザは、ログ２０をアクセスし必要な取引情報を得る中央サーバにログインすることなく、彼らのデバイス４を使って個人対個人の経済上の取引をすることができる。この状況では、サービスプロバイダは、確実にシステムに不正使用がないようにすることなどできないかもしれない。

この問題に関して次の３つの方策を採用することができる。

１． 利用制限をプロセッサ１０のファームウェアにコード化する。そのような利用制限は、メモリ１２に格納されるデータの対応により、ログ２０においてまたはその目的でメモリ１２に提供される他のデータ格納フィールド（図示しない）において、種々の異なる形をとることができる。たとえば、転送されたアセット値の累積値または取引の合計数に基づく利用制限を容易に規定することができる。その他の利用制限も所望により規定することができる。動作中に利用制限に達したならば、プロセッサ１０は、ユーザが中央サーバにログインし彼らのデバイス４をリセットするか、サービスプロバイダにコンタクトして彼らのデバイス４を新しいものと交換するまで、コンテントをデバイス４に転送入力または転送出力することを拒否することができる。いずれのシナリオでも、サービスプロバイダはデバイス４のメモリ１２をアクセスすることを許されており、デバイス４の不適正な使用を検出することができる。

２． 取引制限をプロセッサ１０のファームウェアにコード化する。代表的な取引制限は、たとえば所与の転送メッセージで転送することができる最大のコンテント量（たとえば、金額のような）の形をとることができる。取引制限を超過するときは、プロセッサ１０は、ユーザに中央サーバにログインしてこの取引についての権限を得ることを求める通知を発行することができる。ここでも、ユーザがログオン手順を完了すると、セキュア・サーバがメモリ１２に格納されているデータの全部または一部にアクセスして分析することができ、デバイス４の不適正な使用を検出することができる。

３． プロセッサ１０のファームウェアを設定して、それぞれのコンテント転送メッセージの、たとえばメッセージの予め決められたフィールドに、暗号化した監査情報を埋め込む。この監査情報は、メモリ１２に格納されたデータ（またはそのようなデータから導出される）であってよく、このデータが分析されてデバイス４の無権限その他不正な使用を検出することができる。この監査情報は、転送されたアセット値の累積値または取引の合計数を含むことができ、動作中にプロセッサ１０によって生成されることができる種々の不良コードであってもよい。そのような不良コードは、たとえば必ずしも完了していない転送入力または転送出力の合計数であることができる。このほかの監査情報も所望により規定することができ、コンテント転送メッセージに含めるためメモリ１２に蓄積することができる。監査情報のセキュアな暗号化を確実にするために、サービスプロバイダだけが知っているプロバイダの秘密キー（PSK）２４（図３参照）をデバイス４にインストールすることができる。

それぞれの転送出力プロセス中にプロセッサ１０は、メモリ１２から監査情報を抽出し、PSK２４を使ってそれを暗号化し、デジタル署名（ユーザの秘密キー１６に基づく）および許可証１８を適用する前に、暗号化された監査情報をコンテント転送メッセージに添付する。これにより、デジタル署名は暗号化された監査情報を包含するので、暗号化監査情報を詐欺的に操作する試みは検出されることができる（そして取引の失敗に終わる）。ユーザの秘密キー１６とは別にプロバイダの秘密キー（PSK）２４を使った監査情報の暗号化は、コンテント転送メッセージの受信者（サービスプロバイダ自信を除く）が監査情報にアクセスするも読むこともできなくする。

それぞれのコンテント転送メッセージに暗号化監査情報を埋め込むと、サービスプロバイダが選ばれた当事者（たとえば、オンライン商店(商人、merchant)）と具体的なサービス契約に入ることができるようになり、この契約により各当事者は、受信したコンテント転送メッセージのいくつか（またはすべて）のコピーをサービスプロバイダに提供することに同意する。これらのコピーされたメッセージを受信すると、サービスプロバイダは、埋め込まれた監査情報を解読し分析することができる。オンライン商店（および多数の個々のユーザとの対話を期待する他の当事者）と適切な契約を締結することによって、サービスプロバイダは、システムのすべてのユーザの間で交換されるアセット転送メッセージの相当部分（すべてではないことが多い）のコピーを受け取る。したがって、サービスプロバイダは、解読した監査情報を分析して権限のない活動を検出することができ、システム全体としての状態に関する統計的に有効な測定（メトリックス）を導出することもできる。

この発明の上述の実施例は、説明だけを意図したものである。この発明の範囲は、特許請求の範囲の記載だけで規定されることを意図している。

Claims (8)

1. 複数のデバイスで構成される電子メッセージ転送システムにおいて権限のない活動を検出する方法であって、それぞれのデバイスは、該システムの他のデバイスとコンテントを交換するために暗号で保護された転送メッセージを生成し受け取るよう構成されており、
   前記方法は、それぞれのデバイスにおいて、
   該デバイスのメモリに監査情報を蓄積することと、
   蓄積された監査情報の少なくとも一部を定期的にセキュア・サーバに転送することと、
   を含む、前記方法。
2. 少なくとも一つのデバイスは、
   予め定めた状態を検出し、
   前記検出した状態に応じて、前記デバイスのユーザに該デバイスをリセットするためサービスプロバイダにコンタクトするよう通知するよう構成されており、後続のリセット動作中に前記蓄積された監査情報の少なくとも一部が前記セキュア・サーバに転送される、
   請求項１に記載の方法。
3. 前記予め定めた状態は、取引の累積数、他のデバイスとの間で交換されたファンドの累積値、一つの取引で転送されるファンドの制限値、前記デバイスに格納されるファンドの制限値、の中から選ばれる、請求項２に記載の方法。
4. 少なくとも一つのデバイスが、該デバイスによって生成されるそれぞれの転送メッセージに暗号化監査情報を埋め込むよう構成されており、少なくともいくつかの転送メッセージのコピーがセキュア・サーバに転送される、請求項１に記載の方法。
5. 複数のデバイスで構成される電子メッセージ転送システムであって、
   それぞれのデバイスは、前記システムの他のデバイスとコンテントを交換するために暗号で保護された転送メッセージを生成し受け取るよう構成されており、
   それぞれのデバイスは、
   監査情報を蓄積するためのメモリと、
   蓄積された監査情報の少なくとも一部を定期的にセキュア・サーバに転送する手段と、
   を備える、前記システム。
6. 少なくとも一つのデバイスは、
   予め定めた状態を検出し、
   前記検出した状態に応じて、前記デバイスのユーザに該デバイスをリセットするためサービスプロバイダにコンタクトするよう通知するよう構成されており、
   後続のリセット動作中に前記蓄積された監査情報の少なくとも一部が前記セキュア・サーバに転送される、請求項５に記載のシステム。
7. 前記予め定めた状態は、取引の累積数、他のデバイスとの間で交換されたファンドの累積値、一つの取引で転送されるファンドの制限値、前記デバイスに格納されるファンドの制限値、の中から選ばれる、請求項６に記載のシステム。
8. 少なくとも一つのデバイスが、該デバイスによって生成されるそれぞれの転送メッセージに暗号化監査情報を埋め込むよう構成されており、少なくともいくつかの転送メッセージのコピーがセキュア・サーバに転送される、請求項５に記載の方法。

Images