JP2014513498A - 移動体装置上の個人情報およびサービスプロバイダ情報の安全なリセット - Google Patents

Abstract

本発明は、移動体装置のエンドユーザーによる当該通信装置と関連づけられたセキュアエレメントのリセットを支援するシステムである。そのリセットプロセスは、セキュアエレメント、関連メモリをクリアするとともに、当該ユーザーと関連づけられたユーザー固有の情報またはパーソナライズされた情報の記憶装置をクリアする。そのリセットプロセスは、当該移動体装置を特定のセキュアサービスプロバイダと関連づけるセキュアエレメント内部のキーまたはその他の識別情報を削除またはリセットする。本発明のコンピュータ実行方法には、前記セキュアエレメントにおいて暗号化リセット要求メッセージを受け取るステップ、通信キーを使用してその暗号化リセット要求メッセージを復号化するステップ、そのリセット要求メッセージの認証を検証するステップ、パラメータをアトミックにクリアする。

Description

関連出願
本願は、２０１２年７月１１日に出願された「移動体装置上の個人情報およびサービスプロバイダ情報の安全なリセット」という名称の米国出願第１３／５４７，０２９号に対する優先権を主張する。同出願は、２０１２年４月６日に出願された「移動体装置上の個人情報およびサービスプロバイダ情報の安全なリセット」という名称の米国仮特許出願第６１／６２１，０８１号に対する優先権を主張したものであり、上記優先出願の内容全体を本明細書に援用する。

本開示は、移動体通信装置と関連づけられたセキュアエレメントの内容を移動体装置ユーザーがリセットまたはクリアすることを可能にするシステムおよび方法に関する。

現在の近距離無線通信（「ＮＦＣ」）エコシステムは、金融取引、交通発券、物理的セキュリティアクセス、およびその他の機能のためのセキュアな運用環境を提供する目的で通信装置に組み込まれた、一般に「セキュアエレメント」と呼ばれるハードウェア部品に依拠している。セキュアエレメントは、通常、タンパープルーフ仕様のマイクロプロセッサ、メモリ、およびオペレーティングシステムを含む独自の動作環境を有する。トラステッドサービスマネージャー（ＴＳＭ）は、主要な機能として、セキュアエレメントの組み込み、プロビジョン、パーソナライズなどを実行する。セキュアエレメントは、典型的には製造時に組み込まれる、１つ以上のキーを有する。対応キーがＴＳＭによって共有されることにより、ＴＳＭは、セキュアエレメントに対する暗号学的に安全なチャネルを確立することができ、セキュアエレメントを有する装置がエンドユーザーによって保有されている状態で、そのチャネルがセキュアエレメントの組み込み、プロビジョン、およびパーソナライズに利用される。このようにして、セキュアエレメントは、当該装置内のホストＣＰＵがセキュリティ侵害された場合でさえも、セキュア性を維持することができる。

現在のＮＦＣシステムに関する問題は、セキュアエレメントとＴＳＭの間に密接な結合が存在することである。現行の配置では、特定セキュアエレメントのキーに対して１つのＴＳＭのみがアクセス可能とされる。したがって、エンドユーザーが選択できるのは、１つのＴＳＭのみによって供給されるセキュアエレメント機能のプロビジョニングである。通常は、当該装置のメーカーがこのＴＳＭを選択する。たとえば、スマートフォンメーカーは、エンドユーザーではなく、スマートフォンを購入するＳＰＲＩＮＴまたはＶＥＲＩＺＯＮなどの移動体通信事業者（「ＭＮＯ」）の指導の下でスマートフォン用のＴＳＭを選択する。したがって、エンドユーザーにとって利用可能なＴＳＭ機能は必ずしもエンドユーザーの利益と合致しない。一例として、ＭＮＯは、ＭＡＳＴＥＲＣＡＲＤまたはＢＡＮＫ ｏｆ ＡＭＥＲＩＣＡなどの決済プロバイダ１社のみとのビジネス上の関係を有していることがある。当該ＴＳＭは、その決済プロバイダ１社からの支払指示のみに対応するようにセキュアエレメントを設定することができる。したがって、エンドユーザーは、ＶＩＳＡなど、他の決済プロバイダからのサービスにアクセスできないことになる。

セキュアエレメント内のキーとＴＳＭの組み合わせを変更できないだけでなく、エンドユーザーは、自分のプライベートデータおよびキーをセキュアエレメントからクリアすることもできない。これは、装置の販売、譲渡、返品、または交換時に利用できることが望ましい機能である。たとえば、エンドユーザーが個人情報を削除したいと考えるのはプライバシーおよびセキュリティを確保するためであるが、新しいユーザーが当該装置上で利用する独自のセキュアサービスを選択できるように装置をセットアップするためにも削除機能が必要とされる。

本明細書に説明する特定の実施例における方法およびシステムは、携帯電話などの移動体装置のエンドユーザーが当該通信装置と関連づけられたセキュアエレメントをリセットできるように支援することができる。このリセットプロセスには、セキュアエレメントおよび関連メモリをクリアするとともに、当該ユーザーと関連づけられたユーザー固有の情報またはパーソナライズされた情報の記憶装置をクリアすることを含めることができる。また、このリセットプロセスには、移動体装置を特定のセキュアサービスプロバイダと関連づけるセキュアエレメント内部のキーまたはその他の識別情報の削除またはリセットも含めることができる。

各種の実施形態によれば、ネットワーク装置内部のセキュアエレメントをリセットするためのコンピュータ実装の方法には、暗号化されたリセット要求メッセージをセキュアエレメントで受け取ること、通信キーを使用してその暗号化リセット要求メッセージを復号化すること、そのリセット要求メッセージの認証を検証すること、およびセキュアエレメントと関連づけられたパラメータをアトミック（不可分）にクリアすることが含まれうる。

当業者にとっては、以下に示す具体的な実施例の詳細説明を検討することにより、これらを含む当該実施例の各種の態様、目的、特徴、および利点が明らかになるはずである。その説明には、現時点で確認されている本発明の最良の実施態様が含まれる。

特定の実施例による、近距離無線通信（「ＮＦＣ」）システムを示す図である。 特定の実施例による、図１のＮＦＣシステム内のセキュアサービスプロバイダを変更する方法を示すブロックフローチャートである。 特定の実施例による、別のＮＦＣシステムを示す図である。 特定の実施例による、図３のＮＦＣシステム内のセキュアサービスプロバイダを変更する方法を示すブロックフローチャートである。 特定の実施例による、セキュアなエンドユーザー装置の動作環境を示す図である。 特定の実施例による、エンドユーザー装置からのセキュアエレメントを示す図である。 特定の実施例による、セキュアエレメントの製造方法を示すブロックフローチャートである。 特定の実施例による、セキュアエレメントのリセット方法を示すブロックフローチャートである。

全般
本明細書に説明する方法およびシステムは、携帯電話などの移動体装置のエンドユーザーが当該通信装置と関連づけられたセキュアエレメントをリセットすることを可能にする。このリセットプロセスには、セキュアエレメントおよび関連メモリをクリアするとともに、当該ユーザーと関連づけられたユーザー固有の情報またはパーソナライズされた情報の記憶装置をクリアすることを含めることができる。また、このリセットプロセスには、移動体装置を特定のセキュアサービスプロバイダと関連づけるセキュアエレメント内部のキーまたはその他の識別情報の削除またはリセットも含めることができる。各種の実施形態において、セキュアな装置からの既存データの安全な消去またはリセットをサポートするようなリセット機構が提供され、その機構には、当該装置をリセットするための適切な機関を検証するセキュアな識別手法を組み込むことができる。そのプロセスを使用して、当該装置をクリアされた状態に保つことができ、あるいは新規のキー、新しい識別情報、または新しいプロバイダの関連づけを組み込むことができる。

本明細書に説明する、通信装置と関連づけられたセキュアエレメントを安全にリセットまたはクリアする技術は、携帯電話などの通信装置のエンドユーザーがその通信装置に内蔵されたセキュアエレメントと組み合わされるセキュアサービスプロバイダを選択または変更することを可能にする。一実施形態において、システムはキーエスクローサービスを含む。その役割は、１人以上のユーザーおよび１つ以上のセキュアサービスプロバイダに対する暗号キーを管理することである。典型的には、セキュアエレメントおよびそのセキュアエレメントのための１つ以上の暗号キーが製造時に各ユーザー通信装置に組み込まれる。これらのキーまたは対応するキーがキーエスクローサービスに与えられる。各ユーザー装置は、利用可能なセキュアサービスプロバイダからのユーザー選択を可能にするサービスプロバイダセレクタ（「ＳＰＳ」）モジュールまたはソフトウェアアプリケーションも備える。ＳＰＳは、ユーザー選択に応答して、その選択されたサービスプロバイダの識別情報をセキュアチャネル経由でキーエスクローサービスに送信する。キーエスクローサービスは、選択されたセキュアサービスプロバイダのトラステッドサービスマネージャー（「ＴＳＭ」）にユーザーのセキュアエレメントのためのキーを与える。キーエスクローサービスはまた、ユーザーのセキュアエレメントのためのキーをそのユーザーの以前のセキュアサービスプロバイダのＴＳＭから取り消す。さらに、ＳＰＳは、以前のセキュアサービスプロバイダなど、権限のないセキュアサービスプロバイダがセキュアエレメントにアクセスするのを防止することができる。

別の実施形態において、中央ＴＳＭは、他のセキュアサービスプロバイダに代わってビジネスロジックおよびアプリケーションのプロビジョニングを実行する。選択されたセキュアサービスプロバイダに暗号キーを配布するのではなく、中央ＴＳＭは、その選択されたセキュアサービスプロバイダと通信装置上のセキュアエレメント間の代理機能を果たす。

本明細書に説明する例示システムおよび方法は、従来のＮＦＣシステムの欠点を克服し、セキュアな識別情報および関連づけをユーザーがリセットまたは消去することを可能にする。この機能により、セキュアな装置の再割り当てとともに複数のセキュアサービスプロバイダのサービスに対する単純化されたアクセスがサポートされる。ユーザーは、１つのセキュアサービスプロバイダによって提供される機能およびサービスに限定されることなく、現プロバイダとの関係を解消して、複数のセキュアサービスプロバイダから新たに選択することができる。たとえば、特定ブランドのクレジットカードによる支払いなど、所望のサービスをセキュアサービスプロバイダが提供していない場合、ユーザーは、当該サービスを提供するセキュアサービスプロバイダを選択することができる。

実施例の１つ以上の態様には、本明細書に説明および例示する機能を具現化するコンピュータプログラムが含まれる。そのコンピュータプログラムは、機械可読媒体に格納された命令およびそれらの命令を実行するプロセッサを備えたコンピュータシステム内に実装される。しかし、当然明らかであるように、それらの実施例をコンピュータプログラミング内に実装する方法には多くの種類がありえる。また、それらの実施例をコンピュータプログラム命令の１つのセットに限定されるものとして解釈されるべきではない。さらに、熟練プログラマであれば、出願文書の添付フローチャートおよび関連説明に基づいて、１つの実施形態を実現するようなコンピュータプログラムを書くことができるはずである。したがって、プログラムコード命令の特定セットの開示は、実施例の実現および使用方法に関する十分な理解に必要とはみなされない。さらに、コンピュータによって実行される機能へのいかなる言及も、単一コンピュータによって実行されるという意味に解釈されるべきではない。当該機能を複数のコンピュータで実行することが可能でありえるためである。プログラムフローを示した図とともに、実施例の機能について以下により詳しく説明する。

参照する図面では、一連の図を通じて類似の数字は類似の（ただし必ずしも同一ではない）要素を示し、実施例が詳しく説明されている。
システムアーキテクチャ

図１は、特定の実施例による近距離無線通信（「ＮＦＣ」）システム１００を示す。図１に示すように、システム１００は、１つ以上のエンドユーザーネットワーク装置１１０、１つ以上のアプリケーションプロバイダ１８０、キーエスクローサービス１５０、移動体通信事業者（「ＭＮＯ」）１３０、および複数のセキュアサービスプロバイダ１６０を含む。アプリケーションプロバイダ１８０、キーエスクローサービス１５０、およびセキュアサービスプロバイダ１６０の各々は、インターネット１４０を介して通信するように構成されたネットワーク装置を備える。たとえば、アプリケーションプロバイダ１８０、キーエスクローサービス１５０、およびセキュアサービスプロバイダ１６０の各々は、サーバー、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、スマートフォン、ハンドヘルド型コンピュータ、携帯情報端末（「ＰＤＡ」）、その他任意の有線または無線のプロセッサ駆動型装置を備えることができる。一実施形態において、キーエスクローサービス１５０は、利用可能なセキュアサービスプロバイダ１６０から変更（または選択）要求を受け取る第一のネットワーク通信モジュールおよびセキュアサービスプロバイダ１６０に暗号キー１２０を送る第二のネットワーク通信モジュールを備える（または通信可能に結合される）。第一および第二のネットワーク通信モジュールは、同一または異なるネットワーク通信モジュールであってよい。

エンドユーザーネットワーク装置１１０は、携帯電話、スマートフォン、ＰＤＡ、ネットブックコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、その他任意の有線または無線のプロセッサ駆動型装置であってよい。図１に示すように、エンドユーザーネットワーク装置１１０は、ＭＮＯ１３０を介してインターネット１４０にアクセスする。例示ＭＮＯには、ＶＥＲＩＺＯＮ、ＳＰＲＩＮＴ、およびＡＴ＆Ｔが含まれる。ＭＮＯは、３Ｇまたは４Ｇ移動体通信ネットワークなどの移動体通信ネットワーク（図示せず）を介してエンドユーザーネットワーク装置１１０にインターネットアクセスを提供する。当然ながら、エンドユーザーネットワーク装置１１０は、インターネットプロバイダに接続するＷｉ−Ｆｉなど、他の機構を介してインターネット１４０にアクセスすることができる。

各エンドユーザーネットワーク装置１１０は、１つ以上の暗号キー１２０を有するセキュアエレメント１１１、ＮＦＣコントローラ１１２、ＮＦＣアンテナ１１３、ホストＣＰＵ１１４、およびＳＰＳ１１５を備える。ＮＦＣコントローラ１１２およびＮＦＣアンテナ１１３は、エンドユーザーネットワーク装置１１０が他のＮＦＣ対応装置（図示せず）と通信することを可能にする。たとえば、エンドユーザーネットワーク装置１１０は、ＮＦＣに対応した商業者の店舗販売時点（「ＰＯＳ」）装置、発券装置、セキュリティ装置、および他のエンドユーザーネットワーク装置１１０と通信することができる。

ホストＣＰＵ１１４は、エンドユーザーネットワーク装置１１０上に格納されたアプリケーションを実行する。たとえば、ホストＣＰＵ１１４は、エンドユーザーネットワーク装置１１０を操作するユーザーがＮＦＣ対応ＰＯＳを介して購入を完了できるようにするＮＦＣ決済アプリケーションまたはユーザーがＮＦＣ対応の発券ＰＯＳを介して交通機関の施設もしくはイベントに入場できるようにする交通機関もしくはイベント発券アプリケーションなど、ＮＦＣコントローラ１１２と情報をやりとりするアプリケーションを実行することができる。識別、認証、セキュリティ、およびクーポンクリッピング／引換アプリケーションを含むその他のアプリケーションもエンドユーザーネットワーク装置１１０に格納することができ、ＮＦＣコントローラ１１２およびＮＦＣアンテナ１１３に接続したホストＣＰＵ１１４によって実行される。

各アプリケーションは、個別アプリケーションプロバイダ１８０によって提供されうる。たとえば、クレジットカード会社はクレジットカード決済アプリケーションを提供し、交通機関またはその他の発券会社はチケット購入および精算アプリケーションを提供し、製造業者、小売業者または製品／サービスを販売するその他のエンティティはクーポンアプリケーションを提供し、認証会社はユーザー認証アプリケーションを提供することができる。

典型的には、ＮＦＣアプリケーションは、セキュリティの目的でエンドユーザーネットワーク装置１１０のセキュアエレメント１１１に格納される。セキュアエレメント１１１は、ＮＦＣ（またはその他の）アプリケーションのためのセキュアな動作環境を提供する。典型的には、セキュアエレメント１１１は、タンパープルーフのマイクロプロセッサ、オペレーティングシステム、および決済認証データなどの情報を格納するメモリを含む自らの動作環境を備える。セキュアエレメント１１１は、エンドユーザーネットワーク装置１１０の固定チップ、加入者識別モジュール（「ＳＩＭ」）カード、汎用集積回路カード（「ＵＩＣＣ」）、着脱式スマートチップ、またはマイクロＳＤカードなどのメモリカード内に配置することができる。セキュアエレメント１１１は、セキュアエレメント１１１が組み込まれたカードまたはチップの読み出し専用メモリ（「ＲＯＭ」）、レディアクセスメモリ（「ＲＡＭ」）、およびＥＥＰＲＯＭフラッシュメモリを管理するためのメモリコントローラも備えることができる。

一般に、セキュアサービスプロバイダ１６０は、アプリケーションプロバイダ１８０およびその他のサービスプロバイダがＮＦＣ非接触型アプリケーションサービスなどのアプリケーションおよびサービスを安全に配信および管理するのを助ける仲介者としての役割を果たす。典型的には、セキュアサービスプロバイダ１６０のＴＳＭ１７０は、アプリケーションのホストとなり、セキュアエレメント１１１上にそのアプリケーションをインストールするとともにプロビジョニングする。図１に示すように、各ＴＳＭ１７０は、ユーザーのセキュアエレメント１１１に対するキー１２０を受信、保存、および利用することができる。キー１２０を有することにより、ＴＳＭ１７０は、セキュアな暗号化通信チャネルを介してセキュアエレメント１１１にアクセスし、セキュアエレメント１１１内部のアプリケーションのインストール、プロビジョニング、およびカスタマイズを実行することができる。例示セキュアサービスプロバイダ１６０には、ＧＥＭＡＬＴＯおよびＦＩＲＳＴ ＤＡＴＡが含まれる。

特定の実施例において、セキュアサービスプロバイダ１６０は、セキュアエレメント１１１との通信時にホストＣＰＵ１１４およびＮＦＣコントローラ１１２をバイパスする。たとえば、特定のＵＩＣＣ／ＳＩＭセキュアエレメント内で、セキュアサービスプロバイダ１６０は、エンドユーザーネットワーク装置１１０に組み込まれた無線ＣＰＵ（図示せず）を介してセキュアエレメント１１１と通信する。したがって、特定の実施例においてセキュアエレメント１１１上のアプリケーションのプロビジョニング中のＮＦＣコントローラ１１２およびホストＣＰＵ１１４の関与は任意とすることができる。特定の実施例において、ホストＣＰＵ１１４と無線ＣＰＵは、相互に情報をやりとりして、セキュアエレメント１１１に対するアクセス制御を調整する。

キーエスクローサービス１５０は、セキュアエレメント１１１に対するキー１２０を保持する。キーエスクローサービス１５０はまた、たとえばユーザー選択に応答して、各ＴＳＭ１７０にキーを配布する。たとえば、ユーザーが第一のセキュアサービスプロバイダ１６０Ａから第二のセキュアサービスプロバイダ１６０Ｂに切り替えることを決めた場合、キーエスクローサービス１５０は、第一のＴＳＭ１７０Ａからキー１２０を取り消し、第二のＴＳＭ１７０Ｂにキー１２０を与える。これにより、第二のＴＳＭ１７０は、ユーザーのネットワーク装置１１０のセキュアエレメント１１１にアクセス可能になる。

ＳＰＳ１１５は、ソフトウェアおよび／またはハードウェア内に実装され、エンドユーザーネットワーク装置１１０のユーザーがキーエスクローサービス１５０を介してセキュアサービスプロバイダ１６０を選択または変更することを可能にする。ＳＰＳ１１５は、ユーザーがセキュアサービスプロバイダ１６０の選択を行うためのユーザーインタフェースを提供する。ユーザー選択に応答して、ＳＰＳ１１５は、選択されたセキュアサービスプロバイダ１６０に関する情報をキーエスクローサービス１５０に送信する。キーエスクローサービス１５０は、１つ以上のオフパス機構を介してユーザー選択を確認することもできる。例示システム１００のＳＰＳ１１５、キーエスクローサービス１５０、およびその他のコンポーネントについて、図２に示す方法を参照して、以下により詳しく説明する。

図３は、特定の代替的実施例による別のＮＦＣシステム３００を示す。例示システム３００は、１つ以上のエンドユーザーネットワーク装置１１０、１つ以上のアプリケーションプロバイダ１８０、ＭＮＯ１３０、および複数のセキュアサービスプロバイダ１６０など、多数のシステム１００と共通のコンポーネントを備える。しかし、システム３００は、キーエスクローサービス１５０の代わりに中央管理型（マネージド）ＴＳＭ３５０を備える。マネージドＴＳＭ３５０は、サーバー、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、スマートフォン、ハンドヘルド型コンピュータ、ＰＤＡ、その他の有線または無線のプロセッサ駆動型装置など、インターネット１４０と通信するように構成されたネットワーク装置を含む。キーエスクローサービス１５０と同様、マネージドＴＳＭ３５０は、セキュアエレメント１１１に対するキー１２０を保持し、エンドユーザーネットワーク装置１１０を操作するユーザーが複数のセキュアサービスプロバイダ１６０から選択することを可能にする。選択されたＴＳＭ１７０にキー１２０を配布するのではなく、マネージドＴＳＭ３５０は、選択されたセキュアサービスプロバイダ１６０に代わってセキュアエレメント１１１と情報をやりとりすることができる。すなわち、マネージドＴＳＭ３５０は、セキュアエレメント１１１上にアプリケーションをインストールするとともにプロビジョニングし、そのインストールされたアプリケーションと情報をやりとりすることができる。あるいは、マネージドＴＳＭ１７０は、選択されたＴＳＭ１７０がセキュアエレメント１１１と情報をやりとりできるようにするため、選択されたＴＳＭ１７０とセキュアエレメント１１１間のセキュア通信チャネルを確立（および終了）することができる。このセキュア通信チャネルは、セキュアエレメント１１１と関連づけられていない異なるキーを用いて暗号化することができ、各セキュアサービスプロバイダ１６０に対する固有チャネルとすることができる。マネージドＴＳＭ３５０はまた、セキュアサービスプロバイダ１６０に代わってビジネスロジックを実行することもできる。図３のマネージドＴＳＭ３５０およびその他のコンポーネントについて、図４に示す方法を参照して、以下により詳しく説明する。

図５は、特定の実施例による、セキュアなエンドユーザー装置１１０のための動作環境５００を示す。図５に示すように、動作環境５００には、１つ以上のエンドユーザー装置１１０、１つ以上のアプリケーションプロバイダ１８０、移動体通信事業者（「ＭＮＯ」）１３０、および１つ以上のセキュアサービスプロバイダ１６０が含まれる。アプリケーションプロバイダ１８０およびセキュアサービスプロバイダ１６０の各々は、ネットワーク１４０を介して通信するように構成されたネットワーク装置を備える。たとえば、アプリケーションプロバイダ１８０およびセキュアサービスプロバイダ１６０の各々は、サーバー、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、スマートフォン、ハンドヘルド型コンピュータ、携帯情報端末（「ＰＤＡ」）、その他任意の有線または無線のプロセッサ駆動型装置を備えることができる。

エンドユーザー装置１１０は、携帯電話、スマートフォン、ＰＤＡ、ネットブックコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、その他任意の有線または無線のプロセッサ駆動型装置であってよい。エンドユーザー装置１１０は、ＭＮＯ１３０を介してネットワーク１４０にアクセスすることができる。例示ＭＮＯ１３０には、ＶＥＲＩＺＯＮ、ＳＰＲＩＮＴ、およびＡＴ＆Ｔが含まれる。これらのＭＮＯ１３０は、エンドユーザー装置１１０のためにネットワーク１４０に対するアクセスを提供することができる。ネットワーク１４０は、有線、無線、光学式、無線周波数、移動体、セルラー式、その他任意のデータもしくは音声ネットワーク、またはそれらの任意の組み合わせでありえる。たとえば、ネットワーク１４０は、相互通信網またはインターネットであってよい。ＭＮＯ１３０は、３Ｇまたは４Ｇ移動体通信ネットワークのようなネットワーク１４０の部分のための接続性を提供することができる。当然ながら、エンドユーザーネットワーク装置１１０は、Ｗｉ−ＦｉまたはＷｉ−Ｍａｘなどの他の機構を介して、あるいはインターネットプロバイダと接続して、インターネット１４０にアクセスすることができる。

各エンドユーザー装置１１０は、セキュアエレメント（「ＳＥ」）識別（「ＩＤ」）モジュール１９０および１つ以上のカードキー１２０Ａを有するセキュアエレメント１１１を備える。各エンドユーザー装置１１０は、ＮＦＣコントローラ１１２、ＮＦＣアンテナ１１３、およびホストＣＰＵ１１４を備えることもできる。ＮＦＣコントローラ１１２およびＮＦＣアンテナ１１３は、エンドユーザー装置１１０が他のＮＦＣ対応装置（図示せず）と通信することを可能にする。たとえば、エンドユーザー装置１１０は、ＮＦＣ対応の商業者の店舗販売時点（「ＰＯＳ」）装置、発券装置、セキュリティ装置、および他のエンドユーザー装置１１０と通信することができる。

カードキー１２０Ａには、セキュアエレメント１１１のアプリケーションまたはプロセスの安全を確保するための任意のキーが含まれうる。各種の実施形態により、カードキー１２０Ａには、カードマネージャーキー、運賃キー、金融取引キー、銀行取引キーなどが含まれうる。カードキー１２０Ａは、セキュアサービスプロバイダ１６０、トラステッドサービスマネージャー１７０、アプリケーションプロバイダ１８０など、エンドユーザー装置１１０およびそのセキュアエレメント１１１と安全にインタフェースする任意のエンティティまたはシステムとの関連づけ、共有、または分割が可能である。カードキー１２０Ａは、以下により詳しく説明するように、ＳＥ ＩＤモジュール１９０と関連づけられた他のキーと組み合わせて動作させることができ、またはそれらのキーによって保護することができる。

ホストＣＰＵ１１４は、エンドユーザーネットワーク装置１１０上に格納されたアプリケーションを実行することができる。たとえば、ホストＣＰＵ１１４は、エンドユーザーネットワーク装置１１０がＮＦＣ対応ＰＯＳを介して購入を完了できるようにするＮＦＣ決済アプリケーションまたはユーザーがＮＦＣ対応の発券ＰＯＳを介して交通機関の施設もしくはイベントに入場できるようにする交通機関もしくはイベント発券アプリケーションなど、ＮＦＣコントローラ１１２と情報をやりとりするアプリケーションを実行することができる。識別、認証、セキュリティ、およびクーポンクリッピング／引換アプリケーションを含むその他のアプリケーションもエンドユーザーネットワーク装置１１０に格納することができ、ＮＦＣコントローラ１１２およびＮＦＣアンテナ１１３に接続したホストＣＰＵ１１４によって実行される。

エンドユーザー装置１１０と関連づけられたアプリケーションをアプリケーションプロバイダ１８０と関連づけることもできる。たとえば、クレジットカード会社はクレジットカード決済アプリケーションを提供することができ、交通機関またはその他の発券会社はチケット購入および精算アプリケーションを提供することができ、製造業者、小売業者または製品／サービスを販売するその他のエンティティはクーポンアプリケーションを提供することができ、認証会社はユーザー認証アプリケーションを提供することができる。

典型的には、ＮＦＣアプリケーションは、セキュリティを目的としてエンドユーザー装置１１０のセキュアエレメント１１１に格納される。セキュアエレメント１１１は、ＮＦＣ（またはその他の）アプリケーションのためのセキュアな動作環境を提供する。典型的には、セキュアエレメント１１１は、タンパープルーフのマイクロプロセッサ、オペレーティングシステム、および決済認証データなどの情報を格納するメモリを含む独自の動作環境を有する。セキュアエレメント１１１は、エンドユーザー装置１１０の固定チップ、加入者識別モジュール（「ＳＩＭ」）カード、汎用集積回路カード（「ＵＩＣＣ」）、着脱式スマートチップなどに内蔵され、またはマイクロＳＤカードなどのメモリカード内に配置される。セキュアエレメント１１１が組み込まれたカードまたはチップの読み出し専用メモリ（「ＲＯＭ」）、レディアクセスメモリ（「ＲＡＭ」）、およびＥＥＰＲＯＭフラッシュメモリについて、セキュアエレメント１１１は、それらのメモリを管理するためのメモリコントローラも備えることができる。

一般に、セキュアサービスプロバイダ１６０は、アプリケーションプロバイダ１８０およびその他のサービスプロバイダがＮＦＣ非接触型アプリケーションサービスなどのアプリケーションおよびサービスを安全に配信および管理するのを助ける仲介者としての役割を果たす。典型的には、セキュアサービスプロバイダ１６０のＴＳＭ１７０は、アプリケーションのホストとして、セキュアエレメント１１１上にそのアプリケーションをインストールするとともにプロビジョニングする。各ＴＳＭ１７０は、関連づけられたセキュアエレメント１１１に対するカードキー１２０Ａを受信、保存、および利用することができる。ＴＳＭ１７０は、当該セキュアエレメントに対するカードキー１２０Ａを使用して、セキュアエレメント１１１にアクセスすることができる。例示セキュアサービスプロバイダ１６０には、ＧＥＭＡＬＴＯおよびＦＩＲＳＴ ＤＡＴＡが含まれる。

特定の実施例において、セキュアサービスプロバイダ１６０は、セキュアエレメント１１１との通信時にホストＣＰＵ１１４およびＮＦＣコントローラ１１２をバイパスする。たとえば、特定のＵＩＣＣ／ＳＩＭセキュアエレメント内で、セキュアサービスプロバイダ１６０は、エンドユーザー装置１１０に組み込まれた無線ＣＰＵ（図示せず）を介してセキュアエレメント１１１と通信する。そのため、特定の実施例において、セキュアエレメント１１１上のアプリケーションのプロビジョニング過程でのＮＦＣコントローラ１１２およびホストＣＰＵ１１４の関与は任意とすることができる。特定の実施例において、ホストＣＰＵ１１４と無線ＣＰＵは、相互に情報をやりとりして、セキュアエレメント１１１に対するアクセス制御を調整する。

エンドユーザー装置１１０のユーザーは、カードキー１２０Ａなどのセキュアエレメント１１１と関連づけられたセキュリティ機能を削除またはリセットしたいと考えることがある。たとえば、ユーザーがエンドユーザー装置１１０を別のユーザーに安全に譲渡できるようにするため、エンドユーザー装置１１０とセキュアサービスプロバイダ１６０の関係を解消しようとする場合である。同様に、ユーザーが別のプロバイダを利用できるようにする目的でエンドユーザー装置１１０とセキュアサービスプロバイダ１６０の関係を解消したいということもありえる。たとえば、ユーザーがエンドユーザー装置１１０によるＮＦＣ決済または資金移動と関連づけられた金融機関を変更しようとする場合、キーのリセット／削除が必要になる。ＳＥ ＩＤモジュール１９０は、以下により詳しく説明するように、セキュアエレメント１１１に関する安全な削除またはリセットプロセスをサポートすることができる。

図６は、特定の実施例による、エンドユーザー装置１１０からのセキュアエレメント１１１を示す。図６に示すように、セキュアエレメント１１１は、カードキー１２０Ａおよびセキュアエレメント識別モジュール１９０を内蔵することができる。セキュアエレメント識別モジュール１９０には、セキュアエレメント識別通信キー６１０、セキュアエレメント識別署名キー６２０、およびセキュアエレメント識別証明書６３０が含まれうる。セキュアエレメント識別モジュール１９０を使用して、アプリケーションまたはサービスが特定のセキュアエレメント１１１と情報をやりとりしていることを検証するとともに、セキュアエレメント１１１との間で送信されるメッセージの安全を確保することができる。たとえば、エレメント識別通信キー６１０を使用して、セキュアエレメント１１１との通信を暗号化し、意図されたセキュアエレメント１１１によってのみ送受信されるようにすることができる。同様に、セキュアエレメント識別署名キー６２０を使用して、どのセキュアエレメント１１１と通信しているか確認することができる。後述のように、これらの機構によってセキュアエレメント１１１を安全にリセットすることができ、たとえばカードキー１２０Ａのクリアまたはリセットがこれに含まれる。セキュアエレメント識別証明書６３０は、セキュアエレメント識別通信キー６１０およびセキュアエレメント識別署名キー６２０などの各種キーの交換および譲渡を認証するために使用することができる。

セキュアエレメント識別通信キー６１０およびセキュアエレメント識別署名キー６２０は、キー分割またはパブリック／プライベートのキーペア構成で動作することができる。たとえば、セキュアエレメント識別通信キー６１０は、パブリックキー６１２およびプライベートキー６１４で構成されうる。同様に、セキュアエレメント識別署名キー６２０は、パブリックキー６２２およびプライベートキー６２４で構成されうる。

セキュアエレメント識別モジュール１９０は、セキュアな識別機能を提供することができる。この機能には、以下により詳しく説明するように、セキュアエレメント１１１のリセット手順をサポートするためにセキュアエレメント１１１によって、またはセキュアエレメント１１１と連携して提供される機能が含まれる。そのような機能の１つは、セキュアアプリケーション、アプリケーションプロバイダ１８０、またはセキュアサービスプロバイダ１６０からのセキュアエレメント識別モジュール１９０を用いたセキュア通信およびセキュア認証をサポートするものである。もう１つの特徴は、セキュアエレメント識別モジュール１９０と連携してリセット動作をサポートするものである。そのリセット動作は、セキュアエレメント１１１をアトミックにクリアすることができる。これには、セキュアエレメント１１１から１つ以上のカードキー１２０Ａをクリアまたはリセットすることが含まれる。リセット動作の不可分性により、機能的に分割したり、部分的に実行することができないオールオアナッシングのリセットが提供される。別の特徴には、当該リセット動作が信頼できるソースからの指示によるものであることを検証する機構が含まれる。たとえば、その検証により、当該リセットが実際にエンドユーザー装置１１０の保有者または他の承認された個人、プロバイダ、もしくはアプリケーションのために実行中であることが確認される。セキュアエレメント識別モジュール１９０のこれらの機能をオペレーティングシステム、スマートカードオペレーティングシステム、またはアプレット（カードマネージャアプレットなど）と関連づけることもできる。
システムプロセス

図２は、図１のＮＦＣシステム１００内のセキュアサービスプロバイダを変更する方法２００を示すブロックフローチャートである。この方法２００を図１のコンポーネントと関連させて説明する。

ブロック２０５では、セキュアエレメント１１１に対して１つ以上のセキュア暗号キー１２０が与えられる。特定の実施例において、セキュアエレメント１１１およびそのキー１２０は、製造時にエンドユーザーネットワーク装置１１０に組み込まれる。特定の実施例において、セキュアエレメント１１１およびそのキー１２０は、ＳＩＭカードまたはマイクロＳＤカードなどの着脱式カードまたはチップに組み込まれ、そのカードまたはチップがエンドユーザーネットワーク装置１１０に取り付けられる。

ブロック２１０では、セキュアエレメント１１１のキー１２０または対応するキーがキーエスクローサービス１５０に与えられる。これらのキー１２０は、キーエスクローサービス１５０（またはキー１２０を受け取る別のエンティティ）がセキュアエレメント１１１とのセキュア通信チャネルを作成してアクセスを得ることを可能にする。任意的に、キー１２０はセキュアサービスプロバイダ１６０のＴＳＭ１７０にも与えられる。従来、セキュアエレメント１１１に対するセキュアサービスプロバイダ１６０およびＴＳＭ１７０は、エンドユーザーネットワーク装置１１０の製造業者により、典型的にはエンドユーザーネットワーク装置１１０を購入するＭＮＯ１３０からの指導の下で選択される。この場合、キー１２０は当該のＴＳＭ１７０に与えられる。これに代わるものとして、キー１２０がキーエスクローサービス１５０のみに与えられる。この場合、エンドユーザーネットワーク装置１１０を操作するユーザー（またはＭＮＯ１３０などの別のエンティティ）は、ＳＰＳ１１５を使用してセキュアサービスプロバイダ１６０の初期選択を行うことができる。

ブロック２１５において、ユーザーは、ＳＰＳ１１５を使用してセキュアサービスプロバイダ１６０を選択し、それに伴ってＴＳＭ１７０を選択する。たとえば、ユーザーは、エンドユーザーネットワーク装置１１０を使用してＳＰＳ１１５にアクセスすることができる。ＳＰＳ１１５は、利用可能なセキュアサービスプロバイダ１６０を一覧したユーザーインタフェースを提示することができる。任意的に、その一覧にはセキュアサービスプロバイダ１６０によってサポートされるサービスが含まれる。たとえば、ＳＰＳ１１５は、各セキュアサービスプロバイダ１６０によって非接触型トランザクションがサポートされている金融機関を表示することができる。別の例において、ＳＰＳ１１５は、利用可能な各セキュアサービスプロバイダ１６０によってプロビジョニングおよびサポートされるアプリケーションを表示することができる。さらに別の例において、ＳＰＳ１１５は、利用可能な機能およびサービスに基づいてユーザーがセキュアサービスプロバイダ１６０を検索できるようにする検索機能を提供することができる。ユーザーは、適切なセキュアサービスプロバイダ１６０が見つかると、ＳＰＳ１１５を使用してそのセキュアサービスプロバイダ１６０を選択することができる。

ブロック２２０では、ＳＰＳ１１５がユーザー選択に応答し、その選択されたサービスプロバイダ１６０を使用する要求をキーエスクローサービス１５０に送信する。典型的には、その要求は、選択されたセキュアサービスプロバイダ１６０の識別情報を含む。キーエスクローサービス１５０は、受け取った要求に応答して、その要求を処理する。

ブロック２２５において、キーエスクローサービス１５０は、上記の選択セキュアサービスプロバイダ１６０を使用する要求が当該ユーザーによって送出されたことを確認するためのオフパス確認手順を実行する。このブロック２２５は任意的であり、ＳＰＳ１１５／キーエスクローサービス１５０システムのための追加セキュリティレベルを提供して、たとえば、エンドユーザーネットワーク装置１１０の紛失または盗難が発生した場合に他者がこの機能にアクセスすることを防止する。

一実施形態において、オフパス確認手順は、当該要求がエンドユーザーネットワーク装置１１０経由でなく異なる通信チャネルを介して行われたことをユーザーに通知するキーエスクローサービス１５０を含む。たとえば、キーエスクローサービス１５０は、当該要求が行われたことを示すＳＭＳテキストメッセージをユーザーの携帯電話に送信することができる。あるいは、キーエスクローサービス１５０からユーザーに電話をかけて、当該要求が行われたというメッセージを伝えることができる。テキストメッセージまたは音声メッセージにより、自分が当該要求を行っていなかった場合には特定の電話番号に電話をするようユーザーに指示することができる。キーエスクローサービス１５０は、ユーザーによる当該要求の確認を求めることもできる。たとえば、テキストメッセージにより、ユーザーがそのテキストメッセージに応答して、キーエスクローサービス１５０のＷｅｂサイトにアクセスするか、またはキーエスクローサービス１５０に電話して当該要求を確認するように指示することができる。また、ユーザーに対するメッセージにコードを記載し、ユーザーが当該要求を確認する際、そのコードを通話時に、またはＷｅｂサイトを介して入力するように求めることができる。

ブロック２３０では、セキュアエレメント１１５に対するキー１２０を別のＴＳＭ１７０が所有していた場合、キーエスクローサービス１５０は、その前ＴＳＭ１７０からキー１２０を取り消す。一実施形態において、キーエスクローサービス１５０は、前ＴＳＭ１７０にメッセージ（たとえばＳＭＳテキストメッセージ）を送信して、そのＴＳＭがキー１２０を破棄するように求める。そのような要求に応答してキー１２０を破棄することを契約に基づいてセキュアサービスプロバイダ１６０に義務づけることができる。

別の実施形態において、キーエスクローサービス１５０は、前ＴＳＭ１７０をブロックするようにセキュアエレメント１１１に指示することによって、そのＴＳＭ１７０からキー１２０を取り消す。セキュアエレメント１１１には、セキュアエレメント１１１にアクセスしようとするＴＳＭ１７０を識別するプログラムコードとともに、許可および／またはブロックされたＴＳＭ１７０のリストを入れることができる。１つのＴＳＭ１７０がセキュアエレメント１１１にアクセスしようとした時点で、セキュアエレメント１１１は、そのＴＳＭ１７０の識別情報を上記リストと比較して、アクセスを許可すべきか判断することができる。キーエスクローサービス１５０は、前ＴＳＭ１７０にキー１２０を破棄するように求める要求を送信することもできる。当然ながら、そのＴＳＭ１７０のセキュアサービスプロバイダ１６０をユーザーが再選択した場合には、ブロックされたＴＳＭ１６０をブロック解除することができる。たとえば、キーエスクローサービス１５０は、ＴＳＭ１７０をブロック解除するように求めるメッセージをセキュアエレメント１１０に送信することができる。

さらに別の実施形態において、キーエスクローサービス１５０は、マスターキーおよびＴＳＭ固有キーを使用して、前ＴＳＭ１７０からキー１２０を取り消す。ＴＳＭ固有キーは、利用可能な各ＴＳＭについて、または選択されたＴＳＭ１７０について、セキュアエレメント１１１に与えられる。個々のＴＳＭ１７０にもＴＳＭ固有キーが配布される。ＴＳＭ固有キーを製造時にセキュアエレメント１１１に付加しておき、後日、キーエスクローサービス１５０がそれを組み込むか、またはユーザーによるＴＳＭ１７０の選択に応答してキーエスクローサービス１５０が組み込むようにすることができる。セキュアエレメント１１１は、どのＴＳＭ固有キーをアクティブにし、どのＴＳＭ固有キーを非アクティブにするかを制御することができる。たとえば、セキュアサービスプロバイダ１６０Ａからセキュアサービスプロバイダ１６０Ｂに切り替えるようにユーザーが要求した場合、ＳＰＳ１１５は、その要求（および選択されたＴＳＭ１７０Ｂの識別情報）をセキュアエレメント１１１のキー管理アプレットまたはモジュール（図示せず）に伝達する。キー管理アプレットは、その要求に応答して、ＴＳＭ１７０Ｂに対するＴＳＭ固有キーをアクティブ化し、ＴＳＭ１７０Ａに対するＴＳＭ固有キーを非アクティブ化する。この時点で、セキュアエレメント１１１は、ＴＳＭ１７０Ｂに対してアクセスを許可する一方、ＴＳＭ１７０Ａからのアクセスをブロックする。

ブロック２３５では、前ＴＳＭ１７０および／または前セキュアサービスプロバイダ１６０に関係したセキュアエレメント１１１上の格納情報がセキュアエレメント１１１から削除される。たとえば、セキュアエレメント１１１とともに前ＴＳＭ１７０が使用されている間、そのＴＳＭ１７０と関連づけられたペイメントカード認証情報がセキュアエレメント１１１に保存されている可能性がある。別のＴＳＭ１７０によるセキュアエレメント１１１のアクセスを許可する前に、それらの認証情報がセキュアエレメント１１１から削除される。さらに、前ＴＳＭ１７０に対してセキュアエレメント１１１上にアプリケーションがインストールされていれば、それらのアプリケーションがアンインストールされる。特定の実施例において、キーエスクローサービス１５０は、カードマネージャアプレットなど、セキュアエレメント１１１のアプレットまたはモジュールに対してコマンドを送信し、前ＴＳＭ１７０に関係した情報を削除する。

ブロック２４０において、キーエスクローサービス１５０は、選択されたセキュアサービスプロバイダ１６０のＴＳＭ１７０にキー１２０を送信する。この送信は、典型的にはセキュア通信チャネルを介して行われる。たとえば、キーエスクローサービス１５０は、選択されたＴＳＭ１７０に暗号化通信チャネル経由でキー１２０を送信することができる。ブロック２４５では、選択されたＴＳＭ１７０がキー１２０を受信する。

特定の実施例において、キーエスクローサービス１５０は、前ＴＳＭ１７０に関係した情報およびアプリケーションがセキュアエレメント１１１から削除されたという確認を受け取るまで、選択セキュアサービスプロバイダ１６０のＴＳＭ１７０に対するキー１２０の送信を遅らせる。いくつかの実施形態において、キーエスクローサービス１５０は、選択セキュアサービスプロバイダ１６０の使用を自分が要求したというユーザーからのオフパス確認を受け取らなければ、選択セキュアサービスプロバイダ１６０のＴＳＭ１７０に対してキー１２０を送信することができない。

ブロック２５０において、選択セキュアサービスプロバイダ１６０のＴＳＭ１７０は、受け取ったキー１２０を使用してセキュアエレメント１１１とのセキュア通信チャネルを作成しようとする。一実施形態において、ＴＳＭ１７０は、セキュアエレメント１１１へのアクセスを要求する暗号化メッセージをセキュアエレメント１１１に送信する。ＴＳＭ１７０は、受け取ったキー１２０を使用してそのメッセージに暗号アルゴリズムを適用することにより、そのメッセージを暗号化する。

ブロック２５５において、セキュアエレメント１１１は、ＴＳＭ１７０に対するアクセスを許可すべきか判断する。一実施形態において、セキュアエレメント１１１のプロセッサは、セキュアエレメント１１１に格納されたキー１２０を使用して受信メッセージに暗号アルゴリズムを適用することにより、ＴＳＭ１７０に対するアクセスを許可すべきか判断する。

特定の実施例において、ＳＰＳ１１５は、セキュアエレメント１１１がＴＳＭ１７０を有効確認する前に、ＴＳＭ１７０に対するアクセスを許可すべきかどうかの初期判断を行う。たとえば、エンドユーザーネットワーク装置１１０がセキュアエレメント１１１に対するアクセス要求を受け取ると、ＳＰＳ１１５は、その要求を評価して、その要求を発行したＴＳＭ１７０がセキュアエレメント１１１への要求転送前にユーザーが選択したＴＳＭ１７０であるか判断することができる。その要求を発行したＴＳＭ１７０と選択されたＴＳＭ１７０が一致するとＳＰＳ１１５が判断すれば、セキュアエレメント１１１は、ブロック２５５の結果に従って、その要求を有効確認することができる。

セキュアエレメント１１１がＴＳＭ１７０に対するアクセスを許可すれば、方法２００は「Ｙｅｓ」分岐してブロック２６５に進む。あるいは、ＴＳＭ１７０をブロックすべきとセキュアエレメント１１１が判断した場合には、方法２００は「Ｎｏ」分岐してブロック２６０に進む。

ブロック２６０において、セキュアエレメント１１１は、ＴＳＭ１７０がセキュアエレメント１１１にアクセスできないようにブロックする。セキュアエレメント１１１は、ＴＳＭ１７０にメッセージを送信して、ＴＳＭ１７０がアクセス許可されなかったことをＴＳＭ１７０に通知することもできる。

ブロック２６５では、ＴＳＭ１７０がセキュアエレメント１１１においてサービスをプロビジョニングする。ＴＳＭ１７０は、１つ以上のアプリケーションとともに、それらのアプリケーションに必要とされる認証情報をセキュアエレメント１１１に送信することができる。それらのアプリケーションは、ユーザーによる選択が可能である。たとえば、ユーザーは、アプリケーションプロバイダ１８０からの１つのアプリケーションを要求することができる。これに応答して、アプリケーションプロバイダ１８０は、ユーザーのセキュアエレメント１１１上にそのアプリケーションをインストールするようＴＳＭ１７０に求める。アプリケーションプロバイダ１８０は、ユーザーに関する情報またはユーザーの口座情報をＴＳＭ１７０に提供することもでき、その情報がセキュアエレメント１１１に格納される。たとえば、クレジットカード会社は、決済アプリケーションおよびユーザーの決済口座に関する情報をＴＳＭ１７０に提供することができ、その情報がセキュアエレメント１１１に内蔵／保存される。特定の実施例において、ユーザーは、キーエスクローサービス１５０またはセキュアサービスプロバイダ１６０からのアプリケーションを要求することができる。

ブロック２７０において、ユーザーは、１つ以上のアプリケーションプロバイダ１８０と連携して選択セキュアサービスプロバイダ１６０によって提供されるサービスにアクセスする。たとえば、アプリケーションプロバイダ１８０がクレジットカード会社である場合、ユーザーは、ＮＦＣ対応ＰＯＳにおいてエンドユーザーネットワーク装置１１０を使用して購入を完了することができる。ＮＦＣコントローラ１１２は、セキュアエレメント１１１と安全に情報をやりとりし、セキュアエレメント１１１から決済認証情報を取得した後、ＮＦＣアンテナ１１３を介してそれらの認証情報をＮＦＣ対応ＰＯＳに提供することができる。

方法２００はブロック２７０の後に終了する。当然ながら、ユーザーは、選択セキュアサービスプロバイダ１６０によって提供されるサービスに引き続きアクセスするか、または別のセキュアサービスプロバイダ１６０に切り替えることができる。

図４は、特定の実施例による、図３のＮＦＣシステム３００内のセキュアサービスプロバイダを変更する方法４００を示したブロックフローチャートである。この方法４００を図３のコンポーネントと関連させて説明する。

ブロック４０５では、セキュアエレメント１１１に対して１つ以上のセキュア暗号キー１２０が与えられる。特定の実施例において、セキュアエレメント１１１およびそのキー１２０は、製造時にエンドユーザーネットワーク装置１１０に組み込まれる。特定の実施例において、セキュアエレメント１１１およびそのキー１２０は、ＳＩＭカードまたはマイクロＳＤカードなどの着脱式カードまたはチップに組み込まれ、そのカードまたはチップがエンドユーザーネットワーク装置１１０に取り付けられる。

ブロック４１０では、セキュアエレメント１１１のキー１２０または対応するキーがマネージドＴＳＭ３５０に与えられる。これらのキー１２０は、マネージドＴＳＭ３５０（またはキー１２０を受け取る別のエンティティ）がセキュアエレメント１１１を用いてセキュア通信チャネルを作成するとともにセキュアエレメント１１１に対するアクセスを得ることを可能にする。

ブロック４１５において、ユーザーは、ＳＰＳ１１５を使用してセキュアサービスプロバイダ１６０を選択する。このブロック４１５は、図２に示した上述のブロック２１５と同一または同様のものであってよい。ブロック４２０において、ＳＰＳ１１５は、ユーザー選択に応答して、選択サービスプロバイダ１６０を使用する要求をマネージドＴＳＭ３５０に送信する。典型的には、その要求は、選択セキュアサービスプロバイダ１６０の識別情報を含む。マネージドＴＳＭ３５０は、受け取った要求に応答して、その要求を処理する。

ブロック４２５において、マネージドＴＳＭ３５０は、選択セキュアサービスプロバイダ１６０を使用する要求がユーザーによって送出されたことを確認するためのオフパス確認手順を実行する。このブロックは任意的であり、上述の図２のブロック２２５とほぼ同様である。しかし、キーエスクローサービス１５０ではなくマネージドＴＳＭ３５０がブロック４２５でオフパス確認を実行する。

ブロック４３０では、前ＴＳＭ１７０および／または前セキュアサービスプロバイダ１６０に関係したセキュアエレメント１１１上の格納情報がセキュアエレメント１１１から削除される。たとえば、セキュアエレメント１１１とともに前ＴＳＭ１７０が使用されている間、そのＴＳＭ１７０と関連づけられたペイメントカード認証情報がセキュアエレメント１１１に保存されている可能性がある。別のＴＳＭ１７０によるセキュアエレメント１１１のアクセスを許可する前に、それらの認証情報がセキュアエレメント１１１から削除される。さらに、前ＴＳＭ１７０に対してセキュアエレメント１１１上にアプリケーションがインストールされていれば、それらのアプリケーションがアンインストールされる。特定の実施例において、マネージドＴＳＭ３５０は、カードマネージャアプレットなど、セキュアエレメント１１１のアプレットまたはモジュールに対してコマンドを送信し、前ＴＳＭ１７０に関係した情報を削除する。

ブロック４３５において、マネージドＴＳＭ３５０は、ユーザーが選択したセキュアサービスプロバイダ１６０とのセキュア通信チャネルを作成する。たとえば、キー１２０とは異なる１つ以上の暗号キーを使用して、このセキュア通信チャネルを暗号化することができる。本開示の利益を受ける当業者によって理解されるように、他の暗号化手法を使用することも可能である。

ブロック４４０において、マネージドＴＳＭ３５０は、選択セキュアサービスプロバイダ１６０に対し、ユーザーがそのセキュアサービスプロバイダ１６０のサービスに対するアクセス要求を出したことを通知する。マネージドＴＳＭ３５０は、ユーザーに代わってセキュアサービスプロバイダ１６０からの１つ以上のアプリケーションを要求することもできる。あるいは、ユーザーがアプリケーションプロバイダ１８０からの１つ以上のアプリケーションを要求することもでき、次いでアプリケーションプロバイダ１８０は、ユーザーのセキュアエレメント１１１に１つ以上のアプリケーションを提供するようセキュアサービスプロバイダ１６０に要求を送信する。ブロック４４５において、選択セキュアサービスプロバイダ１６０は、要求されたアプリケーションおよびその他任意の適切な情報をマネージドＴＳＭ３５０に送信する。たとえば、この適切な情報には、ペイメントカード認証情報など、セキュアサービスにアクセスするための認証情報が含まれる。

ブロック４５０において、マネージドＴＳＭ３５０は、１つ以上のキー１２０を使用してセキュアエレメント１１１とのセキュア通信チャネルを作成する。ブロック４５５では、マネージドＴＳＭ３５０は、セキュアエレメント１１１においてサービスをプロビジョニングする。マネージドＴＳＭ３５０は、１つ以上のアプリケーションおよびそれらのアプリケーションに必要とされる認証情報をセキュアエレメント１１１に送信することができる。マネージドＴＳＭ３５０は、ユーザーまたはユーザーの口座に関する情報をセキュアエレメント１１１に提供することもできる。たとえば、クレジットカード会社は、決済アプリケーションおよびユーザーの決済口座に関する情報をマネージドＴＳＭ３５０に提供することができ、その情報がセキュアエレメント１１１に内蔵／保存される。

ブロック４６０は任意的であり、ここでマネージドＴＳＭ３５０は、選択セキュアサービスプロバイダ１６０のためにビジネスロジックを実行し、選択された各セキュアサービスプロバイダ１６０間の代理または仲介者としての役割を果たす。マネージドＴＳＭ３５０によって実行されるビジネスロジックの例には、提携金融機関があるペイメントカードをユーザーが所有しているか確認すること、ユーザーから与えられたクレジットカード認証情報を検証し、セキュアエレメント１１１に対する当該クレジットカードのプロビジョニングを可能にすること、エンドユーザーネットワーク装置１５０と通信するＭＮＯ１３０上の所与のエンドユーザーネットワーク装置１５０のために選択セキュアサービスプロバイダ１６０が要求されたサービスを提供するか確認すること、およびユーザーからプロビジョニング要求を受け取り、セキュアエレメント１１１のためにプロビジョニング命令を変換することが含まれる。

ブロック４６５において、ユーザーは、１つ以上のアプリケーションプロバイダ１８０と連携して選択セキュアサービスプロバイダ１６０によって提供されるサービスにアクセスする。たとえば、アプリケーションプロバイダ１８０がクレジットカード会社である場合、ユーザーは、ＮＦＣ対応ＰＯＳにおいてエンドユーザーネットワーク装置１１０を使用して乗車券を引き換えることができる。ＮＦＣコントローラ１１２は、セキュアエレメント１１１と安全に情報をやりとりし、セキュアエレメント１１１から乗車券認証情報を取得した後、ＮＦＣアンテナ１１３を介してそれらの認証情報をＮＦＣ対応ＰＯＳに提供することができる。

方法４００はブロック４６５の後に終了する。当然ながら、ユーザーは、選択セキュアサービスプロバイダ１６０によって提供されるサービスに引き続きアクセスするか、または別のセキュアサービスプロバイダ１６０に切り替えることができる。

図７は、特定の実施例による、セキュアエレメント１１１を製造する方法７００を示すブロックフローチャートである。この方法７００を図５および図６のコンポーネントと関連させて説明する。

ブロック７１０において、エンドユーザー装置１１０のハードウェアが製造される。このエンドユーザー装置１１０の製造にセキュアエレメント１１１の製造を含めることができる。あるいは、以前に製造されたセキュアエレメント１１１をエンドユーザー装置１１０に組み込むか、または組み合わせてもよい。

ブロック７２０において、ハードウェア製造ブロック６１０で説明したセキュアエレメント１１１に対する初期カードキー１２０Ａが構成される。使用可能な状態の初期キーまたは単なるプレースホルダーであるキーを用いてカードキー１２０Ａを構成することができる。１つまたは複数のカードキー１２０Ａを将来的な組み込みのために未使用状態または初期化されていない状態のままにしておくことができる。

ブロック７３０において、セキュアエレメント識別モジュール１９０と関連づけられたキーが初期化される。これらのキーには、セキュアエレメント識別通信キー６１０およびセキュアエレメント識別署名キー６２０が含まれうる。セキュアエレメント識別通信キー６１０の初期化にパブリックキー６１２およびプライベートキー６１４の作成を含めることができる。同様に、セキュアエレメント識別署名キー６２０の初期化にパブリックキー６２２およびプライベートキー６２４の作成を含めることができる。これらのキーは、メッセージの真正性を証明するための署名およびメッセージを保護するための暗号化／復号化を目的として、セキュアエレメント識別モジュール１９０によって、またはセキュアエレメント識別モジュール１９０と組み合わせて使用される。

ブロック７４０では、ブロック７３０で作成されたセキュアエレメント識別キーからパブリックキーが抽出される。たとえば、セキュアエレメント識別通信キー６１０からパブリックキー６１２を抽出することができる。同様に、セキュアエレメント識別署名キー６２０からパブリックキー６２２を抽出することができる。これらのパブリックキーを他のシステムが使用してメッセージの署名または暗号化を行うことができ、セキュアエレメント識別モジュール１９０において、対応するプライベートキーを使用してそれらのメッセージが受信または検証される。

ブロック７５０では、ブロック３１０で説明したセキュアエレメント１１１のためにセキュアエレメント識別証明書６３０が作成される。このセキュアエレメント識別証明書６３０にブロック７４０で抽出されたパブリックキーを含めることができる。セキュアエレメント識別証明書６３０を使用してセキュアエレメント識別モジュール１９０を真正確認することができる。セキュアエレメント識別モジュール１９０とのセキュア通信を確立するためにセキュアエレメント識別証明書６３０を使用することもできる。これらの機能は、セキュアエレメント識別証明書６３０に組み込まれたパブリックキーの使用を通じてサポートされる。

ブロック７６０では、製造業者のプライベートキーなどのキーを用いてセキュアエレメント識別証明書６３０が署名される。セキュアエレメント識別証明書６３０の使用以前に、この署名を検証して、セキュアエレメント識別証明書６３０が真正かつ適正であることを確認することができる。

ブロック７７０において、セキュアエレメント識別証明書６３０がエンドユーザー装置１１０に組み込まれる。セキュアエレメント識別証明書６３０は、エンドユーザー装置１１０のセキュアエレメント１１１内部のセキュアエレメント識別モジュール１９０に内蔵するか、またはセキュアエレメント識別モジュール１９０と関連させて組み込むことができる。

ブロック７８０において、初回リセット動作に関する初期要件がセキュアエレメント識別モジュール１９０内部で設定される。その要件には、方法８００のブロック８７０に関して後述するような初回リセット動作のための認証の種類を含めることができる。たとえば、セキュアエレメント識別証明書６３０に入っている特定のキーまたは他の何らかのキーによって署名されていることが初回リセット動作の要件とされる。

方法７００はブロック７８０の後に終了する。当然ながら、引き続き方法７００によって追加セキュアエレメントを製造することができる。

図８は、特定の実施例による、セキュアエレメント１１１をリセットする方法８００を示すブロックフローチャートである。この方法８００を図５および図６のコンポーネントと関連させて説明する。

ブロック８１０において、セキュアエレメント１１１からセキュアエレメント識別証明書６３０が取得される。セキュアエレメント１１１に対してセキュアエレメント識別証明書６３０を要求することができ、セキュアエレメント１１１はこれに応答して、セキュアエレメント１１１内部に格納されたセキュアエレメント識別証明書６３０を返す。

ブロック８２０では、ブロック８１０で取得したセキュアエレメント識別証明書６３０が真正確認される。セキュアエレメント識別証明書６３０に適用された署名を検証することにより、セキュアエレメント識別証明書６３０を真正確認することができる。その署名は、セキュアエレメント１１１またはエンドユーザー装置１１０の製造業者と関連づけられたキーに基づくものであってよい。

ブロック８３０では、ブロック８２０で真正確認されたセキュアエレメント識別証明書６３０からパブリックキーが抽出される。最初にセキュアエレメント識別通信キー６１０から抽出されたパブリックキー６１２をセキュアエレメント１１１との間でセキュアメッセージをやりとりするためのパブリックキーとすることができる。同様に、最初にセキュアエレメント識別署名キー６２０から抽出されたパブリックキー６２２を署名のためのパブリックキーとすることができる。これらのパブリックキーを使用してメッセージの署名または暗号化を行うことができ、セキュアエレメント識別モジュール１９０において、対応するプライベートキーを使用してそれらのメッセージが受信または検証される。

ブロック８４０において、リセット要求メッセージが作成される。このメッセージは、セキュアエレメント１１１に対し、格納されたカードキー１２０Ａなどのキーをリセットまたはクリアすることを求めて送信されるリセット要求である。このリセット要求メッセージには、新しいカードマネージャーキー、新しい運賃キーなど、新規に組み込まれるキーを含めることができる。このリセット要求メッセージには、その要求をエンドユーザー装置１１０の保有者などの承認済みの個人からのものとして真正確認する方法を指定した認証情報とともに、構成情報も含めることができる。その構成情報には、次回リセットを真正確認する方法についての仕様またはクリアされたキーその他のデフォルトキーパターンなど、それ以外の構成パラメータを含めることができる。

ブロック８５０では、ブロック８４０で作成されたリセット要求メッセージがセキュア通信のために暗号化される。そのリセット要求メッセージは、セキュアエレメント識別通信キー６１０を使用して暗号化することができる。この暗号化により、セキュアエレメント識別モジュール１９０は、そのリセット要求メッセージを安全に受信するとともに、そのメッセージが悪意をもって、または誤って送信されたものではなく、あるいは別のセキュアエレメント１１１を対象としたものではないことを確認することができる。

ブロック８６０では、ブロック８４０で作成され、ブロック８５０で暗号化されたリセット要求メッセージがエンドユーザー装置のセキュアエレメント１１１に対して発行され、セキュアエレメント識別モジュール１９０がそのメッセージを受け取って検証し、処理を適用する。

ブロック８７０では、ブロック８６０においてセキュアエレメント１１１で受信されたリセット要求メッセージが認証され、リセット動作が続行される。もしもセキュアエレメント１１１がリセット動作に対する無制限アクセスを許可すれば、攻撃者がその機能を悪用し、別のユーザーのセキュアエレメント１１１上の情報を故意に破壊する恐れがある。そのため、認証または確認機構をリセット動作の不正アクセスから保護することが望ましい。この認証保護を与えるさまざまな方法のいくつかの例を以下に説明する。

リセット動作を真正確認する第一の例によれば、既知の、または信頼された機関がリセット要求メッセージに対して暗号学的に署名することができる。このシナリオにおいて、セキュアエレメント識別モジュール１９０には、既知の機関と関連づけられたパブリックキーが与えられる。当該リセット要求を実行する前に、このキーを使用して、リセット要求メッセージに付加された署名を検証することができる。したがって、正当な当事者によってのみリセット要求が発行されるという検証が対応プライベートキーを所有するエンティティに委ねられる。

リセット動作を真正確認する第二の例によれば、リセット要求メッセージを認証するために非接触型インタフェースを介した認証コードの提示がセキュアエレメント１１１の内部で要求される。これにより、セキュアエレメント１１１をリセットしようとする遠隔攻撃者からユーザーが保護される。ユーザーが読取装置に認証コードを意図的に入力し、関連の認証コマンドを無線でセキュアエレメント１１１に送信しない限り、リセット要求メッセージが実行されることはない。

リセット動作を真正確認する第三の例によれば、リセット要求メッセージは、エンドユーザー装置１１０またはセキュアエレメント１１１との所定の物理的通信を要件とする。たとえば、エンドユーザー装置１１０上に高信頼オペレーティングシステムが存在すれば、その高信頼オペレーティングシステムは、当該リセット要求がエンドユーザー装置１１０上の信頼できるユーザー入力によって認証されたことをセキュアエレメント１１１に通知できる。あるいは、エンドユーザー装置１１０上に専用のセキュリティボタンまたは入力装置が存在すれば、セキュアエレメント１１１がリセット動作を発生させる前に、このボタンまたは入力装置を押下または作動することが要求される。この要件は、セキュアエレメント１１１をリセットしようとしているのがエンドユーザー装置１１０の保有者またはその他の有権限者であり、権限のない他者のなりすましである可能性は低いということの物理的検証になる。

ブロック８８０において、セキュアエレメント１１１がクリアまたはリセットされる。これはアトミックな動作であり、リセットの発生が全部かゼロのいずれかになる。そのリセット動作により、セキュアエレメント１１１の内容がリセット、削除、または消去される。このリセット動作には、既存のすべてのアプリケーション、アプレット、キー、およびデータの削除が含まれる。リセット動作の一部として、新しいカードキー１２０Ａを組み込むことができる。これには、すべてのアプレットおよび実行インスタンスの削除が含まれる。すべてのカードマネージャーキー、運賃キー、およびその他任意のキーまたは証明書とともに、すべてのセキュリティドメインを削除することもできる。このリセット動作により、すべての永続ヒープおよびその他のメモリがクリアされる。また、セキュアチャネルシーケンスカウンタまたは周波数セットなど、すべての通信制御関連データもリセットされる。このリセット動作によって、カードマネージャーキーなどの新しいカードキー１２０Ａを組み込むとともに、次回リセットの認証要件を制御するための構成情報を保存することもできる。

特定の実施形態によれば、セキュアエレメント識別モジュール１９０と関連づけられたキーおよび証明書は、リセットおよび初期化をサポートすることを部分的な目的として特定のセキュアエレメント１１１と結び付けられており、そのためリセット動作のクリア対象から除外される。

方法８００はブロック８８０の後に終了する。当然ながら、セキュアエレメント１１１は、エンドユーザー装置１１０内部の将来的なセキュアエレメント１１１のリセット動作を可能にするため、引き続きリセット要求メッセージを受け取ることができる。
全般

先に提示した実施形態における例示的方法およびブロックは説明を目的としたものであり、代替的な実施形態において、本発明の範囲および趣旨から逸脱することなく、特定のブロックを異なる順序で実行し、互いに並列に実行し、完全に省略し、かつ／または異なる例示的方法と組み合わせ、あるいは特定の追加ブロックを実行することができる。したがって、それらの代替的実施形態は本明細書に説明する本発明に含まれる。

本発明は、上述の方法および処理機能を実行するコンピュータハードウェアおよびソフトウェアと組み合わせることができる。当業者によって理解されるように、本明細書に説明するシステム、方法、および手順は、プログラム可能なコンピュータ、コンピュータ実行可能ソフトウェア、またはデジタル回路内で具現化することができる。そのソフトウェアは、コンピュータ可読媒体に格納することができる。たとえば、コンピュータ可読媒体には、フロッピー（登録商標）ディスク、ＲＡＭ、ＲＯＭ、ハードディスク、リムーバブルメディア、フラッシュメモリ、メモリスティック、光メディア、光磁気メディア、ＣＤ−ＲＯＭなどが含まれる。デジタル回路には、集積回路、ゲートアレイ、ビルディングブロックロジック、フィールドプログラマブルゲートアレイ（「ＦＰＧＡ」）などが含まれる。

以上、本発明の具体的な実施形態について詳述したが、その説明は単に例示を目的とする。上述の内容に加えて、実施例の開示された態様のさまざまな改変およびそれらの態様に対応する等価ブロックが、下記の請求項に定義された本発明の趣旨および範囲から逸脱することなく、当業者によって実現されうる。その特許請求の範囲には、それらの改変および等価構造を包含するように、もっとも広い解釈が与えられるべきものとする。

１００ 近距離無線通信（「ＮＦＣ」）システム
１１０ エンドユーザーネットワーク装置
１１１ セキュアエレメント
１１２ コントローラ
１１３ アンテナ
１１４ ホストＣＰＵ
１２０ キー
１３０ 移動体通信事業者
１４０ インターネット
１５０ キーエスクローサービス
１６０Ａ・１６０Ｂ セキュアサービスプロバイダ
１６０ 例示セキュアサービスプロバイダ
１７０Ａ・１７０Ｂ トラステッドサービスマネージャー
１８０ アプリケーションプロバイダ
１９０ ＳＦ識別モジュール
６１０ ＩＤ通信キー
６１２ ＩＤ通信パブリックキー
６１４ ＩＤ通信プライベートキー
６２０ ＩＤ署名キー
６２２ ＩＤ署名パブリックキー
６２４ ＩＤ署名プライベートキー
６３０ ＩＤ証明書

Claims (25)

1. 非接触型ネットワーク決済装置の内部のセキュアエレメントをリセットするコンピュータ実行方法において、
   前記非接触型ネットワーク決済装置の前記セキュアエレメントにおいて暗号化リセット要求メッセージを受け取るステップであって、該暗号化リセット要求メッセージは、前記セキュアエレメントと関連づけられた第一のトラステッドサービスマネージャーから第二のトラステッドサービスマネージャーに変更する要求と関連づけられるステップと、
   前記セキュアエレメントの内部の通信キーを与えるステップと、
   前記通信キーを使用して、前記セキュアエレメントの内部の前記暗号化リセット要求メッセージを復号化するステップと、
   前記リセット要求メッセージの認証を検証するステップと、
   前記セキュアエレメントと関連づけられたパラメータをクリアするステップとを含む、コンピュータ実行方法。
2. 前記第一のトラステッドサービスマネージャーから前記第二のトラステッドサービスマネージャーに変更する前記要求に関連して、前記非接触型ネットワーク決済装置の前記セキュアエレメントにアクセスするための前記第一のＴＳＭのアクセスキーを無効化するステップをさらに含む、請求項１のコンピュータ実行方法。
3. 証明書要求を受け取り、該証明書要求の受け取りに応答して、前記通信キーと関連づけられた証明書を与えるステップをさらに含む、請求項１のコンピュータ実行方法。
4. 前記セキュアエレメントと関連づけられたパラメータをクリアするステップは、前記セキュアエレメントの内部の１つ以上のカードキーをリセットするステップを含む、請求項１のコンピュータ実行方法。
5. 前記リセット要求メッセージの認証を検証するステップは、信頼された機関からの前記リセット要求メッセージに対する署名を検証するステップを含む、請求項１のコンピュータ実行方法。
6. 前記リセット要求メッセージの認証を検証するステップは、無線インタフェースを介して認証コードを受け取るステップを含む、請求項１のコンピュータ実行方法。
7. 前記通信キーはプライベート／パブリックキーのペアを含む、請求項１のコンピュータ実行方法。
8. 前記セキュアエレメント内部の署名キーを与えるステップをさらに含む、請求項１のコンピュータ実行方法。
9. 前記セキュアエレメントは近距離無線通信インタフェースと関連づけられる、請求項１のコンピュータ実行方法。
10. 前記セキュアエレメントと関連づけられたパラメータをクリアするステップは、アトミックな動作からなる、請求項１のコンピュータ実行方法。
11. コンピュータプログラム製品であって、
    内蔵のコンピュータ可読プログラムコードを有する非一時的コンピュータ可読媒体と、
    非接触型ネットワーク決済装置のセキュアエレメントと関連づけられたセキュア証明書を与えるステップと、
    前記非接触型ネットワーク決済装置の前記セキュアエレメントにおいて暗号化リセット要求メッセージを受け取るステップと、
    前記セキュア証明書の内部の通信キーをサポートするステップと、
    前記通信キーを使用して前記セキュアエレメントの内部の前記暗号化リセット要求メッセージを復号化するステップと、
    前記リセット要求メッセージの認証を検証するステップと、
    前記セキュアエレメントと関連づけられたパラメータをクリアするステップとを含む、コンピュータプログラム製品。
12. 前記暗号化リセット要求メッセージは、前記セキュアエレメントと関連づけられた第一のトラステッドサービスマネージャーを第二のトラステッドサービスマネージャーに更新する要求と関連づけられる、請求項１１のコンピュータプログラム製品。
13. 前記コンピュータ可読媒体は、前記第一のトラステッドサービスマネージャーから前記第二のトラステッドサービスマネージャーに変更する前記要求に関連して、前記非接触型ネットワーク決済装置の前記セキュアエレメントにアクセスするための前記第一のＴＳＭのアクセスキーを無効化する、内蔵のコンピュータ可読プログラムコードをさらに含む、請求項１２のコンピュータプログラム製品。
14. 前記セキュアエレメントと関連づけられたパラメータをクリアするステップは、前記セキュアエレメントと関連づけられたカードキーをリセットするステップを含む、請求項１１のコンピュータプログラム製品。
15. 前記セキュアエレメントは近距離無線通信インタフェースと関連づけられる、請求項１１のコンピュータプログラム製品。
16. 前記リセット要求メッセージの認証を検証するステップは、信頼された機関からの前記リセット要求メッセージの署名を検証するステップを含む、請求項１１のコンピュータプログラム製品。
17. 前記リセット要求メッセージの認証を検証するステップは、無線インタフェースを介して認証コードを受け取るステップを含む、請求項１１のコンピュータプログラム製品。
18. 前記リセット要求メッセージの認証を検証するステップは、近距離無線通信インタフェースを介して認証コードを受け取るステップを含む、請求項１１のコンピュータプログラム製品。
19. 前記セキュアエレメントと関連づけられたパラメータをクリアするステップは、アトミックな動作からなる、請求項１１のコンピュータプログラム製品。
20. 前記セキュア証明書は、前記セキュアエレメントと関連づけられたメッセージに署名するためのパブリックキーを含む、請求項１１のコンピュータプログラム製品。
21. 非接触型ネットワーク決済装置内部のリセット可能なセキュアエレメントを与えるシステムであって、
    前記リセット可能なセキュアエレメントと関連づけられた１つ以上のカードキーと、
    セキュアエレメント識別モジュールとを備え、該セキュアエレメント識別モジュールは、
    セキュアエレメント識別証明書と、
    セキュアエレメント識別通信キーと、
    セキュアエレメント識別署名キーと、
    前記セキュアエレメント識別モジュールの内部のリセット要求メッセージを受け取り、該リセット要求メッセージを復号化し、該リセット要求メッセージの認証を検証するとともに、該リセット要求メッセージの認証の検証に応答して１つ以上のカードキーをリセットする、コンピュータ実行可能なプログラムとを含む、システム。
22. 前記リセット要求メッセージは、前記リセット可能なセキュアエレメントと関連づけられた第一のトラステッドサービスマネージャーを第二のトラステッドサービスマネージャーに更新する要求と関連づけられる、請求項２１のシステム。
23. 前記リセット要求メッセージは、第二の電子エンティティに対するアクセスを与えるために、前記リセット可能なセキュアエレメントに対するアクセスを有する第一の電子エンティティからのアクセスを更新する要求と関連づけられる、請求項２１のシステム。
24. 前記リセット可能なセキュアエレメントは、近距離無線通信と関連づけられる、請求項２１のシステム。
25. 前記カードキーは、カードマネージャーキーまたは運賃キーを含む、請求項２１のシステム。

Images