JP2014529964A

JP2014529964A - モバイル機器経由の安全なトランザクション処理のシステムおよび方法

Info

Publication number: JP2014529964A
Application number: JP2014527810A
Authority: JP
Inventors: ヤコブワイナー、アビシュ; ネマン、ラン; ベン・シェメン、シュムエル
Original assignee: ピングアイデンティティコーポレーション
Priority date: 2011-08-31
Filing date: 2012-08-26
Publication date: 2014-11-13
Also published as: WO2013030832A1; AU2012303620B2; AU2012303620A1; US9886688B2; EP2751756A1; CA2883318A1; US20140214688A1; WO2013030832A8

Abstract

ユーザセキュリティドメインを持つセキュアエレメントにおいて、このユーザセキュリティドメインはセキュリティドメイン制御回路と、セキュリティドメイン制御回路に対応するエンコーダ／デコーダ機能と、セキュリティドメイン制御回路と通信する安全が保証された鍵保管庫から構成され、前記エンコーダ／デコーダ機能は安全が保証された鍵保管庫に格納されている少なくとも１つの第１鍵に対応してデータをエンコードし、エンコードされたデータを出力し、安全が保証された鍵保管庫に格納されている少なくとも１つの第２鍵に対応して受け取ったデータをデコードし、デコードされたデータを出力するように構成される。【選択図】図１Ａ

Description

この出願は、“ＭＥＴＨＯＤＡＮＤＡＰＰＡＲＡＴＵＳＦＯＲＳＥＣＵＲＥＴＲＡＮＳＡＣＴＩＯＮＳＷＩＴＨＡＭＯＢＩＬＥＤＥＶＩＣＥ”と題する２０１１年８月３１日に提出された米国仮特許出願Ｓ／Ｎ第６１／５２９，２５８号明細書および“ＳＹＳＴＥＭＡＮＤＭＥＴＨＯＤＦＯＲＳＥＣＵＲＥＴＲＡＮＳＡＣＴＩＯＮＰＲＯＣＥＳＳＶＩＡＭＯＢＩＬＥＤＥＶＩＣＥ”と題する２０１１年１２月４日に提出された米国仮特許出願Ｓ／Ｎ第６１／５６６，６６０号明細書の優先権を主張する（これらはいずれも参照により本出願に全面的に含まれている）。

本開示は、一般的にはトランザクションシステムの分野に関し、より具体的にはモバイル機器およびトランザクションサーバを利用して安全なトランザクションを行うためのシステムおよび方法に関する。

クレジットカードまたはデビットカードによる支払いは、消費者支出の大きな部分を占めている。歴史的には、クレジットカードまたはデビットカードは、磁気ストライブによりエンコードされた。これらのカードは、磁気ストライブ上にエンコードされた情報を読み取るように構成されたトランザクションデバイスに対応し、安全な方法によるトランザクションを可能にする。磁気ストライプを読み取るデバイスは、一般的にトランザクションネットワーク経由でクレジット発行者と通信し、クレジット発行者が最終的にトランザクションを承認する。不幸なことにクレジットカードまたはデビットカードは盗難に遭いやすく、また、ユーザがかなり長い期間その盗難に気づかないことがある。

技術の進歩は、ＩＳＯ／ＩＥＣ７８１０およびＩＳＯ／ＩＥＣ１４４４３において定義されているような非接触型スマートカードの開発をもたらしたが、これは近距離無線通信（ＮＦＣ）とも呼ばれている。一般的に無線自動識別（ＲＦＩＤ）と称されるその他の規格またはプロトコルを満たす同様な技術が利用可能であるが、ＲＦＩＤの範囲は一般的にＮＦＣの範囲と同程度に限られている。この文書全体を通じて使用される用語、非接触素子（ＣＥ）は、ＮＦＣ、ＲＦＩＤまたはその他のいずれかの短距離通信規格に準拠して動作するＮＦＣの距離と同程度の距離の短距離通信機器を指す。この場合、一般的に、ＣＥをリーダと並置する必要がある。光学的に読み取り可能なコードの使用は、ＣＥの定義により本出願に明確に包含される。このようなＣＥスマートカードはトランザクションのために使用できるが、しかしそれは約４ｃｍ以内に存在する任意のリーダにより読み取り可能であるので、高いセキュリティは提供しない。したがって、ＣＥスマートカードは、一般的に低額のトランザクションについてのみ使用されている。この場合、少額の金額がＣＥスマートカードにあらかじめチャージされ、そして限度に達するまでトランザクションごとに少額の金額が減価される。

モバイル機器（ＭＤ）は、その遍在性、画面および入力機器の利用可能性のために、ますます広く金融トランザクションのために使用されている。本出願において使用されるＭＤは、マルチメディア再生、ネットワーク経由のデータ通信または音声通信のような個人機能のために使用される任意の電子ＭＤを含む。ＭＤの１つの実施形態は移動局であり、それは、モバイル通信機器、移動電話機、携帯電話機、手持ち電話機、無線電話機、セル式無線携帯電話、セルラー電話機、セルラー電話、モバイル電話機またはセル電話機などと呼ばれる。

ＩＥＥＥ８０２．１１の制定およびその結果の無線ネットワークの広範な定着に伴い、携帯電話機能に加えて、利用可能な無線ネットワーク経由で通信する種々のＭＤが開発された。さらに、無線ネットワークおよび／またはセルラーネットワークの両方経由でインターネットにアクセスする機能をもつ種々のＭＤが開発された。

ユーザ識別および代金徴収のための関連機能をもつユビキタスモバイル機器によりＭＤを電子財布として利用する機会が提供されている。サービスまたは製品、特に、電話利用または通信時間以外の製品またはサービスに対する支払い手段を携帯電話の利用により提供するいくつかの既知の方法が存在する。

ＭＤと連携するＣＥは、次の２つの主要なグループに発展してきた。ＭＤのＣＰＵなどのＭＤのコントローラと通信するデバイス、およびＭＤのＣＰＵと通信しないデバイスである。ＭＤのＣＰＵと通信するＣＥの場合、「ＳＩＭ非接触素子」（ＳＣＥ）とも呼ばれるＳＩＭカード上のＮＦＣデバイス、ＮＦＣデバイスを備えるＳＤカードなどの外部カード、ＳＩＭアドオン非接触素子（ＳＣＣＥ）、ＭＤのハードウェア内に見出されるＮＦＣデバイスのような種々の装置が存在する。本出願において「組み込みＣＥ」（ＥＣＥ）デバイスとして記述される上記グループのデバイスは、アプリケーションのためにＭＤのＣＰＵと接続されないＣＥデバイスと同じ方法で使用することができる。この場合、ＣＥリーダはＣＥデバイスと直接通信するが、その通信はＭＤのＣＰＵの動作に依存しない。ＣＥがＭＤのディスプレイに表示される光学的に読み取り可能なコードを含む場合、このＭＤは本質的にＥＣＥデバイスであることに注意するべきである。

ＭＤＣＰＵに接続されないＣＥのグループは、ＭＤに貼り付けられるＮＦＣまたはＲＦＩＤのタグ、ステッカー、キーフォブ、光学的に読み取り可能なコードおよびその他の形式の要素を含むであろう。このようなＣＥは、ＭＤに関連して安全が保証される場合、ＣＥの近傍に存在するリーダにより読み取られる識別番号を与えるために利用することができる。

安全に関する懸念が高まり、ＣＥ利用可能なＭＤ、すなわち、ＣＥがＭＤのコントローラと通信するようになっているＭＤには、いまやセキュアエレメント（ＳＥ）を設けることが好ましい。セキュアエレメントは、本出願においては、要求されるレベルのセキュリティおよび機能をもつアプリケーションを組み込むために構成される耐タンパ性エレメントとして定義される。さらに詳しくは、ＳＥは、ＳＥに格納されるデータまたは機能に対するアクセスがセキュリティレベルにより制御され、それにより、許可された当事者のみ、そのデータまたは機能にアクセスできるようになっているエレメントである。したがって、ＳＥの内容は、アクセスが管理されている所定の安全鍵なしに、そのコピー、書込または読み出しができない。用語、安全鍵は、この出願においては、具体的には、暗号生成法において知られている鍵を指し、物理的または機械的な鍵を意味しない。一般的に、セキュリティは、ＳＥ発行者により管理される１つ以上の鍵との連携により与えられる。ＳＥは、ＣＥの一部として、ＭＤの一部として、またはＭＤから取り外し可能な追加エレメントとして供給され得る。ＭＤ上のＳＥの個数に制限はなく、具体的には複数のＳＥが１個のＭＤ上に共存できる。ＳＥの１つは、１個の加入者識別モジュール（ＳＩＭ）として無制限に実現できる。

有利な点として、ＳＥは、安全が保証された保管庫を提供するように構成され、その結果、個人情報をそこに保管することができる。不利な点として、ＳＥは、一般的にサイズにおいて、すなわちメモリ空間的に制限され、したがって全種類の個人情報を格納することはできない。

トランザクションシステムはますます複雑となり、また、その使用はますます普及してきたので、不正トランザクションの発生も増加している。ポータブルコンピュータなどのユーザデバイスが巧妙な侵入を被るようになってきたために、バンキングおよびショッピングサイトのような安全なウェブサイトへのアクセスが問題になっている。パスワードおよび／または任意のその他の入力情報が不正なハッカーにより不正に取得される可能性があるからである。同様に、インターネットカフェのような共用コンピュータからの安全なウェブサイトへのアクセスは、無防備なユーザのユーザネームとパスワードの両方を危険にさらす恐れがある。

ＭＤが種々のトランザクションのためにますます利用されるようになり、また、それにセキュリティ機能が適切に配備されるので、それにさらなる機能を追加すれば便利であるが、それはときおり更新を要する情報を含むであろう。ＳＥ発行者により管理が維持されているＳＥ製造の現状では、この提案の実現を困難にしている。

必要なことおよび先行技術により提供されていないものは、ＭＤと連携して安全なトランザクションを提供し、それにより高度のセキュリティをユーザに与えるシステムおよび方法である。

上述の検討およびその他の考察を考慮して、本開示は、安全なトランザクションを遂行する従来および現在の方法の不都合な点の一部またはすべてを克服する方法および装置を提供する。この方法および装置のその他の新しくかつ有用な長所についても本出願において記述する。それは、当業者により正しく理解され得る。

有利な点として、相異なるセキュリティレベルをもつ複数の識別子を出力するように構成されるセキュアエレメントが提供される。また、セキュアエレメントは、好ましくはモバイル機器アプリケーションプロセッサに関連するメモリ上に、暗号化方法により情報の格納を可能にする暗号化および暗号解読のような追加セキュリティ機能を、さらに提供する。

１つの独立実施形態では、ユーザセキュリティドメインを持つセキュアエレメントを提供する。このユーザセキュリティドメインは、セキュリティドメイン制御回路、セキュリティ制御回路に対応するエンコーダ／デコーダ機能およびセキュリティドメイン制御回路と通信する安全が保証された鍵保管庫を含む。エンコード／デコーダ機能は、安全が保証された鍵保管庫に格納された少なくとも１つの第１鍵に対応してデータをエンコードし、エンコードされたデータを出力し、安全が保証された鍵保管庫に格納された少なくとも１つの第２鍵に対応して受け取ったデータをデコードし、およびデコードされたデータを出力するように構成される。

１つの実施形態では、セキュアエレメントはセキュリティドメイン制御回路と通信するメモリをさらに含み、エンコーダ／デコーダ機能はセキュリティドメイン制御回路に対応したメモリ上に出力エンコードデータを格納するように構成される。さらなる一つの実施形態では、エンコーダ／デコーダ機能は、セキュリティドメイン制御回路に対応したメモリから出力エンコードデータを受け取ったデータとして読み出すように構成される。別の実施形態では、ユーザセキュリティドメインは、セキュリティドメイン制御回路に対応するファイヤーウォール機能をさらに含む。このファイヤーウォール機能は、データをカプセル化するように構成される。

１つの実施形態では、ユーザセキュリティドメインは、セキュリティドメイン制御回路に対応するファイヤーウォール機能をさらに含み、このファイヤーウォール機能は、近距離無線通信機器から受け取ったデータをカプセル化し、カプセル化されたデータをモバイル機器プロセッサに送るように構成される。別の実施形態では、ユーザセキュリティドメインはセキュリティドメイン制御回路に対応する検証機能をさらに含み、この検証機能は少なくとも１つの検証暗証番号を検証し、検証に対応する状態の検証信号を出力する。

別の実施形態では、セキュアエレメントは検証機能と通信するメモリをさらに含み、このメモリはＰＩＮ検証値を保管庫として構成されるものであり、この検証暗証番号がＰＩＮである場合、検証機能はＰＩＮ検証値に対応してＰＩＮを検証するように構成される。さらに別の実施形態では、検証機能は安全が保証された鍵保管庫と通信し、検証暗証番号は安全が保証された鍵保管庫に格納されている少なくとも１つの第３鍵と連携して検証される。

１つの実施態様では、ユーザセキュリティドメインはセキュリティドメイン制御回路に対応し、かつ、安全が保証された鍵保管庫と通信するデジタル署名機能をさらに含み、このデジタル署名機能はデータを受け取り、安全が保証された鍵保管庫に格納されている少なくとも１つの第４鍵に対応してデジタル的に署名してその受け取ったデータを返すように構成される。他の実施形態では、ユーザセキュリティドメインは、安全が保証された第１識別子保管機能と、第１疑似乱数生成機能と連携してエンコードされた第２識別子を出力するように構成される、安全が保証された第２識別子と、をさらに含む。

さらに別の実施形態では、安全が保証された第２識別子は、別々にエンコードされた第２識別子をモバイル機器プロセッサおよび近距離通信コントローラのそれぞれに出力するように構成される。さらに別の実施形態では、安全が保証された第２識別子は、安全が保証された鍵保管庫と通信し、この第２識別子は第１疑似乱数生成機能と連携し安全が保証された鍵保管庫に格納されている少なくとも１つの第４鍵に対応してエンコードされる。

さらに別の実施形態では、識別子は、第２疑似乱数生成機能と連携してエンコードされた第３識別子を出力するように構成される。さらに別の実施形態では、安全が保証された第３識別子は、別々にエンコードされた第３識別子をモバイル機器プロセッサおよび近距離通信コントローラのそれぞれに出力するように構成される。さらに別の実施形態では、安全が保証された第３識別子は安全が保証された鍵保管庫と通信し、この第３識別子は第２疑似乱数生成機能と連携し安全が保証された鍵保管庫に格納されている少なくとも１つの第５鍵に対応してエンコードされる。

もう１つの独立実施形態では、モバイル機器が設けられ、このモバイル機器は、モバイル機器プロセッサと、データ入力機器と、ユーザセキュリティドメインを持ち、モバイル機器プロセッサと通信するセキュアエレメントと、第１モードにおいてデータ入力機器からの情報をモバイル機器プロセッサに提供し、第２モードにおいてデータ入力機器からの情報をユーザセキュリティドメインに提供するように構成されるセキュリティ管理と、を含む。

１つの実施形態では、セキュリティ管理は、第１モードにおいてデータ入力機器からの情報をモバイル機器プロセッサに差し向け、第２モードにおいてデータ入力機器からの情報をセキュアエレメントに差し向けるように切り替え可能に構成される。別の実施形態では、セキュリティ管理は、安全が保証された暗号化鍵を含み、このセキュリティ管理は第１モードにおいてデータ入力機器からの情報をモバイル機器プロセッサに非暗号化形態で渡すように構成され、第２モードにおいてセキュリティ管理はデータ入力機器からの情報をモバイル機器プロセッサに暗号化形態で渡すように構成され、このモバイル機器プロセッサは暗号化情報をユーザセキュリティドメインに送るように構成される。

１つの実施形態では、モバイル機器は周辺機器をさらに含み、セキュリティ管理は、第１モードにおいて周辺機器からの情報をモバイル機器プロセッサに提供し、第２モードにおいて周辺機器からの情報をセキュアエレメントに提供するように構成される。別の実施形態では、モバイル機器は、モバイル機器プロセッサと通信する周辺機器をさらに含み、セキュリティ管理は第２モードにおいて周辺機器からの情報を暗号化し、暗号化された周辺機器からの情報をモバイル機器プロセッサに提供するように構成される。

１つの実施形態では、モバイル機器は、セキュリティ管理が第２モードにあるときに、表示するためのインジケータをさらに含む。もう１つの実施形態では、モバイル機器は、セキュアエレメントと通信し、かつ、モバイル機器プロセッサと通信しない安全なキーパッドをさらに含む。

１つの実施形態では、セキュアエレメントのユーザセキュリティドメインは、セキュリティドメイン制御回路と、セキュリティドメイン制御回路に対応するエンコーダ／デコーダ機能と、セキュリティドメイン制御回路と通信する安全が保証された鍵保管庫と、を含む。もう１つの実施形態では、セキュアエレメントのユーザセキュリティドメインは、セキュリティドメイン制御回路と、第２モードにおいてデータ入力機器から受け取った検証暗証番号を検証し、検証に対応する状態の検証信号をセキュリティドメイン制御回路に出力するように構成される、セキュリティドメイン制御回路に対応する検証機能と、を含む。

１つの独立実施形態では、モバイル機器が設けられ、このモバイル機器は、モバイル機器プロセッサと、モバイル機器プロセッサと通信するセキュアエレメントと、モバイル機器プロセッサおよびセキュアエレメントと通信するセキュリティ管理と、セキュリティ管理と通信するデータ入力機器と、を含み、セキュリティ管理は、第１モードにおいてデータ入力機器からの情報をモバイル機器プロセッサに提供し、第２モードにおいて情報をセキュアエレメントに提供するように構成され、セキュアエレメントは、提供された情報を暗号化し、暗号化された情報をモバイル機器プロセッサに提供するように構成される。

１つの実施形態では、モバイル機器はモバイル機器プロセッサおよびセキュリティ管理と通信する周辺機器をさらに含み、周辺機器からの情報はモバイル機器プロセッサおよびセキュリティ管理に同時に送られる。さらに別の実施形態では、セキュリティ管理は、周辺機器からの情報を暗号化し、暗号化された周辺機器からの情報をモバイル機器プロセッサに提供するようにさらに構成される。さらに別の実施形態では、モバイル機器プロセッサは、提供された周辺機器から暗号化情報をモバイル機器と通信するリモートサーバに伝送するように構成される。

本発明のさらなる機能および優れた点は、以下の図面および記述から明らかとなるであろう。

本発明のより良き理解のため、および本発明の実現方法を示すために、純粋に例示としてこれから添付図面を参照する。以下の図面において同様な番号は、全体を通じて対応する要素または部分を指す。

これから行う詳細図面に対する個々の参照において、示されている詳細は、例示であり、本発明の好ましい実施形態の実例的考察のみを目的としており、本発明の原理および概念的態様の最も有益にしてかつ容易に理解できる記述と考えられるものの提供を目的としていることを強調する。この点に関して、本発明の構造的詳細について、本発明の基本的理解のために必要な範囲を超えて説明することは試みない。図面とともに与えられる記述は、本発明のいくつかの形態を実際に具体化する方法を当業者にとって明らかにする。

図１Ａは、トランザクションシステムの実施形態のハイレベルブロック図である。このシステムは、統合サーバと連携して有利なパーティション分割を提供し、それによりプロバイダシステムで使用される帯域外認証を可能にする。図１Ｂは、トランザクションシステムの実施形態のハイレベルブロック図である。このシステムは、有利なパーティション分割を提供し、それにより金融サービスプロバイダなどのプロバイダで使用されるウェブ帯域外ログイン（ＯＯＢＬ）を可能にする。図１Ｃは、図１Ｂのトランザクションシステムの動作の例示的実施形態のハイレベルフローチャートを示す。これは、プロバイダ帯域において個人ユーザネームまたはパスワードを渡さない安全が保証されたログイン機能をユーザデバイスに提供する。図１Ｄは、図１Ｃのログイン承認の伝送前に任意選択的に行われるワンタイムパスワード（ＯＴＰ）を利用する追加セキュリティ強化を示す。図１Ｅは、画像選択を利用する追加セキュリティ強化を示す。図１Ｆは、パターン選択を利用し、かつ、さらに任意選択的にセキュリティシステム妥当性確認のための相互識別を提供する追加セキュリティ強化を示す。図１Ｇは、複数の画像を利用する追加セキュリティ強化を示す。図１Ｈは、モバイル機器情報クエリー同期方法を利用する追加セキュリティ強化を示す。図１Ｉは、モバイル機器トランザクション同期方法を利用する追加セキュリティ強化を示す。図２Ａは、トランザクションシステムの実施形態のハイレベルブロック図である。このシステムは、有利なパーティション分割を提供し、それによりウェブＯＯＢＬを可能にする。この場合、ユーザＭＤには、ＳＥ内に疑似乱数生成機能が設けられる図２Ｂは、図２Ａのトランザクションシステムの動作の例示的実施形態のハイレベルフローチャートを示す。このシステムは、プロバイダ帯域において個人ユーザネームまたはパスワードを渡さない安全なログイン機能をユーザデバイスに提供する。図３Ａは、トランザクションシステムの実施形態のハイレベルブロック図である。このシステムは、ウェブベーストランザクションシステムのために有利なパーティション分割を提供し、それによりウェブ帯域外ログイン（ＯＯＢＬ）を可能にする。図３Ｂは、図３Ａのトランザクションシステムの動作の典型的実施形態のハイレベルフローチャートを示す。これは、プロバイダ帯域においてユーザ資格情報を渡さない安全なサポートをユーザ認証に提供する。図３Ｃは、図３Ａのトランザクションシステムの動作の典型的実施形態のハイレベルフローチャートを示す。これは、プロバイダ帯域においてユーザ資格情報を渡さない安全なサポートをユーザ認証に提供する。図４Ａは、トランザクションシステムの実施形態のハイレベルブロック図である。このシステムは、有利なパーティション分割を提供し、それにより現金自動預け払い機（ＡＴＭ）で使用する帯域外ログイン（ＯＯＢＬ）を可能にする。図４Ｂは、図４Ａのトランザクションシステムの動作の例示的実施形態のハイレベルフローチャートを示す。このシステムは、ＡＴＭのキーパッドにおいて物理的カードまたはＰＩＮを提示しないＡＴＭに対する安全なアクセスを提供する。図５Ａは、図示のようにチェックポイントと通信するユーザセキュリティドメインをもつユーザＭＤのハイレベルアーキテクチャを示す。図５Ｂは、安全が保証された高度な入力をＳＥに提供するＭＤの種々の実施形態のハイレベルブロック図を示す。図５Ｃは、安全が保証された高度な入力をＳＥに提供するＭＤの種々の実施形態のハイレベルブロック図を示す。図５Ｄは、安全が保証された高度な入力をＳＥに提供するＭＤの種々の実施形態のハイレベルブロック図を示す。図６Ａは、キーパッドおよびセキュリティ管理と連携して安全が保証された金融トランザクションを提供するＭＤの動作の例示的実施形態のハイレベルフローチャートを示す。図６Ｂは、ＭＤのセキュリティ管理に対応して高度のセキュリティを提供するユーザＭＤの動作のハイレベルフローチャートを示す。図６Ｃは、種々の実施形態においてＭＤのセキュリティ管理に対応して高度のセキュリティを提供するユーザＭＤの動作のハイレベルフローチャートを示す。図６Ｄは、種々の実施形態においてＭＤのセキュリティ管理に対応して高度のセキュリティを提供するユーザＭＤの動作のハイレベルフローチャートを示す。図６Ｅは、種々の実施形態においてＭＤのセキュリティ管理に対応して高度のセキュリティを提供するユーザＭＤの動作のハイレベルフローチャートを示す。図７Ａは、ＵＳＤと連携してたとえばホテルの客室に入るためのデジタル鍵の安全が保証された受領および保管を提供するＭＤアプリケーションの動作のハイレベルフローチャートを示す。図７Ｂは、ＵＳＤと連携してたとえばホテルの客室に入るためのデジタル鍵の安全が保証された読み出しおよびデコードを提供するＭＤアプリケーションの動作のハイレベルフローチャートを示す。図７Ｃは、ＵＳＤと連携して公共輸送機関などのためのアクセス管理用のチケットの安全が保証された保管を提供するＭＤアプリケーションの動作のハイレベルフローチャートを示す。

少なくとも１つの実施形態について詳しく説明する前置きとして、当然のことながら本発明は、その適用において以下の記述において示されるかまたは図面において描かれる構成要素の構造および構成に制限されない。本発明は、種々の方法により、他の実施形態に適用されるか、または実現されるか、または実行される。また、当然のことながら、本出願において使用された表現および用語は記述のためであり、制限するものと解するべきではない。特に、本出願において使用された用語、接続されるは、直接接続に限定されず、任意の種類の通信を含み、かつ、無制限に中間のデバイスまたは構成要素を考慮している。

以下の説明において、用語、モバイル機器（ＭＤ）は、移動局（ＭＳ）を含むがそれらに限られないマルチメディア再生、ネットワーク上のデータ通信または音声通信などの個人機能のために使用される任意の電子モバイル機器を含む。明確にするために、用語、ＭＳは、基地局のネットワーク経由のモバイル音声またはデータ通信のために使用される任意のモバイル通信機器、モバイル電話、モバイル電話機、手持ち電話機、無線電話機、セルホン、セルラーホン、セルラー電話機、セル電話機、またはその他の電子デバイスを指す。以下の記述において、通信は、一例として、セルラー通信、具体的には、グローバルシステムフォーモバイルコミュニケーションズ（ＧＳＭ）を使用する一定の実施形態において記述されるが、当然のことながら、本発明の範囲はこの点に関して制限されず、また、使用される通信方法は、ユニバーサルモバイルテレコミュニケーションシステム（ＵＭＴＳ）、ＩＥＥＥ８０２．１１、ＩＥＥＥ８０２．１６ｘおよびＣＤＭＡを無制限に含む任意の適切な通信プロトコルに基づき得る。用語、「解読される」および「デコードされる」は、この文書全体を通じて互換的に使用され、同じ意味を持つ。同様に、この明細書全体において、用語「暗号化される」および「エンコードされる」は互換的に使用され、同じ意味をもつ。

図１Ａは、先行技術の認証方法の有利なパーティション分割を提供するトランザクションシステム１の実施形態のハイレベルのブロック図を示す。このシステムは、支払い手段認証方法および／またはユーザ認証方法を無制限に含み、それにより高度の柔軟性を提供する。トランザクションシステム１は、５０Ａ、５０Ｂおよび５０Ｃ（まとめてデバイス５０）のようなデバイスのいずれかまたはすべてを含み得るデバイスとプロバイダ帯域７０経由で通信するプロバイダサーバ２０、統合サーバ（ＩＳ）３０、ＩＳ３０と通信する優待サービス８、ＭＤサーバ４０、および関連ＳＥ６４をもち、かつ、ＭＤ６０に関連するメモリ上でアプリケーション６２をオンボード実行し得るＭＤ６０、ＭＤ６０のプロセッサ上で実行し得るアプリケーション６２を含む。別のアプリケーションもＳＥ６４に関連するメモリ上に格納することができ、ＳＥ６４のコントローラ上で実行され得る。ＭＤサーバ４０とＭＤ６０間の通信は、顧客帯域８０経由で提供される。この帯域は、一般的にプロバイダ帯域７０とは別の異なる帯域である。プロバイダサーバ２０、ＩＳ３０およびＭＤサーバ４０のそれぞれは、必要に応じてデータおよび動作命令を格納するメモリ９０を備えており、また、それぞれは、さらに、本出願において記載される方法を実行し、サービスを提供するためにプロセッサを備えている。メモリ９０は、無制限に関連デバイスの内蔵または外付けとすることができる。

プロバイダサーバ２０は、先行技術において既知のプロバイダシステムを実現する。このシステムは、コンピュータ５０Ａ、ＡＴＭ５０Ｂおよびゲート５０Ｃなどのデバイス５０経由でユーザにサービスを提供するように構成されている。ＭＤサーバ４０は、先行技術の既知のＭＤ認証システムを実現する。このシステムは、アプリケーション６２および好ましくはＳＥ６４と連携してログインおよび購入などの金融サービスをＭＤ経由で提供する。以下においてさらに詳しく説明するように、プロバイダサーバ２０は、さらに、ＩＳ３０と連携して拡張機能を提供する。

先行技術によるプロバイダサーバ２０と種々のデバイス５０の間の認証は、独占所有権技術であり、不正を防止するために継続的努力が尽くされなければならない。プロバイダ帯域７０を経由するプロバイダサーバ２０および種々のデバイス５０の構成は、プロバイダシステムとして知られている。プロバイダサーバ２０は、水平ハッチの施されている両方向矢印により示されているプロバイダ帯域７０経由で各ユーザデバイス５０と両方向通信を行う。この帯域は、インターネット経由で実現され得る。さらに、水平ハッチの施されている両方向矢印は、両方向通信セッションも表している。

先行技術によるＭＤサーバ４０とＭＤ６０間の認証は、独占所有権技術であり、不正を防止するために継続的努力が尽くされなければならない。ＭＤ６０は、一般的に限定個数のＭＤサーバ４０に拘束される。先行技術によるＭＤ６０は、それぞれ、ＭＤ６０に格納されたそれらのそれぞれのアプリケーションをもっており、したがって、セキュリティ対策を含む独占所有権技術の煩雑なインストールプロセスなしにＭＤサーバ４０を自由に選択することはできない。顧客帯域８０を経由するＭＤサーバ４０およびＭＤ６０の構成は、ＭＤ認証システムとして知られている。アプリケーション６２は、一般的に「モバイル財布」として知られている。網目模様の両方向矢印で示されている顧客帯域８０は、無線ＬＡＮまたはＩＥＥＥ８０２．１１互換接続などのＭＤ６０とＭＤサーバ４０の間のデータ接続経由で実現することができる。さらに、網目模様の両方向矢印は、両方向通信セッションを表している。本出願においてさらに説明するように、ＭＤサーバ４０は、以下においてさらに述べるようにＩＳ３０と連携して拡張機能を提供する。

本出願において後にさらに述べるように、ＩＳ３０は、有利に、かつ、革新的にプロバイダシステムとＭＤ認証システム間の連携を与える。具体的には、ＩＳ３０は、プロバイダサーバ２０およびＭＤサーバ４０のそれぞれと両方向通信して高度なサービスを提供しつつ、先行技術のパーティション分割を維持する。

かかるパーティション分割は、ＩＳ３０と連携して、有利に、先行技術の認証プロトコルとの統合をし、かつ、ＭＤ６０利用ユーザの経験を強化するとともに、プロバイダのサービス遍在性を向上させつつ、セキュリティを強化し、かつ、コスト節減に貢献する。トランザクションシステム１は、１つまたは複数の認証システム４０をサポートできるので、オープンシステムである。したがって、プロバイダシステム２０は、あらかじめ定義され、かつ、あらかじめ統合された認証ベンダの集まりに依存しない。さらに、トランザクションシステム１は、複数のプロバイダシステムをサポートし、かつ、少なくとも１つのＭＤサーバ４０により複数のユーザＭＤ６０をサポートすることができる。ＭＤサーバ４０は、好ましくはすべてのプロバイダのシステム２０にシングルサインオンを与える。したがって、トランザクションシステム１は、複数のプロバイダのシステム２０向けに１個のＭＤサーバ４０をもつことができる。

動作において、ＩＳ３０は、プロバイダサーバ２０とＭＤサーバ４０間の統合を提供する。具体的には、また後述するように、ＩＳ３０は、プロバイダサーバ２０がデバイス５０にサービスを提供するために、ＭＤサーバ４０が認証を与えることを可能にする。

幾分より詳細に説明すると、プロバイダサーバ２０は、プロバイダ帯域７０経由でユーザデバイス５０と両方向通信するが、それはインターネット経由で実現され得る。また、そのような通信は、オンラインバンキングシステムなどの多数のシステムの１つにおいて具現化され得る。その場合、デバイス５０は、ユーザＰＣ５０ＡまたはＡＴＭ５０Ｂにより具現化され、また自動販売機システムおよび／またはアクセス制御システムにおけるゲート５０Ｃのように実現される。先行技術によるプロバイダサーバ２０は、一般的に磁気クレジットカード受理装置のようなデバイス５０におけるユーザによる資格情報の提示に基づく内部認証方法を含んでいる。さらに、デバイス５０のデータ入力装置においてユーザ識別またはパスワードの入力が要求され得る。しかし、上述したように、資格情報、具体的にはユーザＩＤおよびパスワードの提示の要求は、デバイス５０に不正にロードされるキーロガーソフトウェアのような不正な攻撃にユーザをさらす。以下においてさらに詳しく述べるように、ＩＳ３０の動作は、デバイス５０における高度の秘密資格情報の提供の必要がないプロバイダサーバ２０からデバイス５０へのサービスの安全な提供を可能にする。

その代わりに、かなり低いレベルの情報を利用する。すなわち、侵害された場合に高度の秘密資格情報の侵害よりもかなり少ない損害を引き起こすレベルの情報である。たとえば、侵害された場合に迷惑を被るような損害のみが生じ得るが、直接的な金銭的損害は生じ得ない。安全対策未実施識別情報の侵害は最小限の損害を引き起こすので、このような識別情報は、安全対策未実施識別情報と呼ぶ。さらに詳しく述べるように、安全対策未実施識別情報はトランザクションシステム１に安全なユーザ認証をもたらす。１つの実施形態において、プロバイダサーバ２０は、無制限に複数のＩＳ３０と通信することができる。ある実施形態では、デバイス５０を通じてのプロバイダサーバ２０に対する安全対策未実施ＩＤの提示は、キーパッド上のデータの１回以上のエントリ、音声識別経由、またはＲＦＩＤ、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ、Ｉ．Ｒなどの短距離無線利用情報の読み取りまたはＢａｒｃｏｄｅの読み取りにより無制限に行われる。

ＭＤサーバ４０は、少なくともＭＤ６０のユーザに対する認証要求および任意の受け取った応答の認証を含む認証サービスを提供する。ＭＤサーバ４０および／またはＩＳ３０による認証は、ユーザのＭＤ６０と連携して行われるが、それは、１つ以上の認証要素および帯域外認証を含み得る。ＭＤ６０は、好ましくは、インストールされたセキュリティソフトウェアをもつＳＥ６４を含む。それは、以下において詳述するようにトランザクションシステム１０により達成される高いセキュリティレベルに貢献する。

ＩＳ３０は、トランザクションシステム１がオープンシステムとして稼働することを可能にする。オープンシステムは、ユーザが一つより多いＭＤサーバ４０により認証されることを無制限に可能にする。各ＭＤサーバ４０を固有のアプリケーション６２と関連付けることは可能であり、または複数のＭＤサーバ４０が単一のアプリケーション６２を無制限に共用することできる。トランザクションシステム１は、１つ以上のＭＤサーバ４０と連携して補助ユーザ認証サービスをプロバイダ２０に提供する。ＩＳ３０と通信する優待サービス８は、クーポンまたは広告サービスのような高度なサービスをＩＳ３０のために供給する。１つの実施形態では、ＩＳ３０はＭＤサーバ４０に組み込まれ、他の実施形態ではプロバイダサーバ２０とＩＳ３０の両方がＭＤサーバ４０に組み込まれる。トランザクションシステム１は、好ましくは、プロバイダサーバ２０により使用されるプロトコルに関係なく、ユーザの安全対策未実施識別情報を捕捉するデバイス５０と連携して高度のトランザクションセキュリティを実現するように構成される。統合サーバ３０は、ユーザ事前設定、ユーザアプリケーション６２から生ずるプレトランザクション時間指示およびプロバイダサーバ２０の選択を含む複数のパラメータの１つに対応して複数のＭＤサーバ４０の１つを選択するようにプログラムすることができる。

プロバイダサーバ２０から生ずるＩＳ３０に対する認証要求は、所望認証タイプおよび認証プロセスを支援するトランザクション情報を含み得る。かかるトランザクション情報は、デバイス５０に関する位置情報を有利に含み得る。この情報は、好ましくは、ＭＤサーバ４０によりＭＤ６０の物理的位置に関する位置情報と照合して確認される。認証タイプは、ユーザ真正性表示のいずれかまたはすべてを含み得る。ユーザ真正性表示は、ユーザの所有している何か、ユーザの知っている何かおよびユーザの位置、認証リスク点数、支払い認証、ユーザ詳細、ＭＤサーバ４０詳細を無制限に含み得る。１つの実施形態では、認証プロセスは、複数の中間ステップを含む。それらは、少なくとも１つの画像をＭＤ６０のディスプレイ上に表示すること（それは、以下の図１Ｆにおいて詳述されるように、デバイス５０のディスプレイに表示される一つより多い画像とともに動作することが好ましい）など、ＩＳ３０とＭＤサーバ４０間の相互作用を含む。別の実施形態では、認証プロセスの一環として、プロバイダサーバ２０は、ユーザに対しＭＤ６０上でプロバイダサーバ２０に関するパスワードの入力を要求し得る。

１つの実施形態では、ユーザの安全対策未実施識別情報の捕捉は、ユーザのキーパッド入力ではなく、ユーザＭＤ６０からＮＦＣまたはその他の短距離通信経由で与えられる自動プロトコルにより行われ得る。このような場合、安全対策未実施識別情報を捕捉するステージ中に、さらなる情報がデバイス５０からユーザＭＤ６０に伝送され得る。かかる情報は、デバイス５０に格納されているアドレスのようなプロバイダサーバ２０関連のアドレスを有利に含み得る。かかる情報は、期待される情報値と対比して検証されたときに、中間者攻撃のような不正の検知を支援し得る。

上述したように、プロバイダサーバ２０、ＩＳ３０およびＭＤサーバ４０のそれぞれは、プロセッサを備え、かつ、上述したように、範囲を超えることなく内蔵または外付けとすることができるメモリ９０と通信する。メモリ９０は、一時的でないコンピュータ読み取り可能媒体を備えており、以下で述べるように、この媒体にプロバイダサーバ２０、ＩＳ３０およびＭＤサーバ４０のそれぞれの動作のための命令が格納される。メモリ９０は、さらに、必要に応じてデータの格納のために利用され得る。種々のメモリ９０が物理的に別個のものでなければならない要求はなく、種々のメモリ９０は、範囲を超えることなく、単一のクラウドサーバ上に実現し得る。

図１Ｂは、トランザクションシステム１０の実施形態のハイレベルブロック図である。このシステムは、有利なパーティション分割を提供し、それにより金融サービスプロバイダなどのプロバイダで使用されるウェブ帯域外ログイン（ＯＯＢＬ）を可能にする。システムは、図１Ａに関連して説明したトランザクションシステム１の特定の例であり、したがって、プロバイダサーバ２０がウェブサーバ２０Ａにおいて実現される特定の実施形態に関連して、このシステムの動作のより深い理解を可能にする。具体的には、トランザクションシステム１０は、ウェブサーバ２０Ａ、ＩＳ３０、およびＭＤサーバ４０を含んでいる。これらのそれぞれは、それと通信するメモリ９０をもっている。ウェブサーバ２０ＡおよびＭＤサーバ４０は、単一のサービスプロバイダと関係づけられることが好ましい。明確にするために、携帯コンピュータとして無制限に図示されているユーザデバイス５０ＡおよびユーザＭＤ６０がさらに示されている。ユーザＭＤ６０は、その上にアプリケーション６２を実装しており、さらに好ましくはＳＥ６４を含む。サービスプロバイダウェブサーバ２０は、水平方向ハッチの施されている両方向矢印で示されているプロバイダ帯域７０経由でユーザデバイス５０Ａと両方向通信する。この帯域は、インターネット経由で実現できる。さらに、水平方向ハッチの施されている両方向矢印は、両方向通信セッションを示している。サービス提供ＭＤサーバ４０は、網目模様の両方向矢印で示されている顧客帯域８０経由でユーザＭＤ６０と両方向通信する。この帯域は、無線ＬＡＮまたはＩＥＥＥ８０２．１１互換接続などのＭＤデータ接続により実現できる。さらに、網目模様の両方向矢印は、両方向通信セッションを表している。セキュリティ情報は、不正を防止するために有利なようにコンパートメント化される。

ウェブサーバ２０Ａ、ＩＳ３０およびＭＤサーバ４０のそれぞれはプロセッサを備えており、また、上述のように、内蔵または範囲を超えずに外付けとすることができるメモリ９０と通信する。メモリ９０は、一時的でないコンピュータ読み取り可能媒体を備えており、以下で述べるように、この媒体にウェブサーバ２０Ａ、ＩＳ３０およびＭＤサーバ４０のそれぞれの動作のための命令が格納される。メモリ９０は、さらに、必要に応じてデータの格納のために利用される。種々のメモリ９０が物理的に別個のものでなければならない要求はなく、種々のメモリ９０は、範囲を超えることなく、単一のクラウドサーバ上に実現し得る。

図１Ｃは、図１Ｂのトランザクションシステム１０の動作の例示的実施形態のハイレベルフローチャートを示す。これは、プロバイダ帯域７０において個人ユーザネームまたはパスワードを渡さない安全が保証されたログイン機能をユーザデバイス５０Ａに提供する。かかる実施形態は、ユーザデバイス５０Ａが、インターネットカフェのパソコン（ＰＣ）のように単なる個人資産ではない場合に特に有益である。しかし、これは、決して制限を意味するものではない。明確にするために、ステージ間の流れは、図１Ａと同様に表示されており、したがってプロバイダ帯域７０内の流れは水平方向ハッチの矢印として、顧客帯域８０内の流れは網目模様の矢印として、ＩＳ３０とウェブサーバ２０またはＭＤサーバ４０間の流れは実線として示されている。個々のステージは、上述したように、それぞれのメモリ９０に格納されている命令に対応して実行される。この流れおよび図１Ｄ〜１Ｇにおける流れは、さらに初期ログイン後に行われるトランザクションのためのトランザクション認証のような別の例示的実施形態にしかるべき適合を伴って適用できることに注意するべきである。

ステージ１０００において、ユーザデバイス５０Ａは、プロバイダ帯域７０経由でウェブサーバ２０Ａの特定のページまたはサイトにアクセスし、ユーザＭＤ６０経由のログインを要求する。任意選択的に、ウェブサーバ２０Ａによりユーザデバイス５０Ａに与えられる初期ログインページは、クイックＯＯＢＬロゴ５２を表示する。これは、選択後にユーザＭＤ６０経由でログインが完了することをユーザに通知する。ＯＯＢＬロゴ５２は、ユーザデバイス５０Ａの表示部に明確に表示される。代替案として、ログインは、一定のトランザクションに関してＯＯＢＬ経由に限定される。ユーザデバイス５０Ａは、ローカルメモリに格納されているユーザデバイス５０Ａを識別するクッキー情報を提供することが好ましい。任意選択的に、提供されるクッキー情報は、シリアルナンバーまたはその他のコンフィギュレーションデータなどのコンピュータ識別情報を含む。ウェブサーバ２０Ａは、任意選択的にユーザデバイス５０のインターネットプロトコルアドレスに対応して、ユーザデバイス５０の位置情報を決定することが好ましい。ウェブサーバ２０Ａの特定のページまたはサイトは、無制限に金融機関、マーチャントまたはサービス供給者に関連づけられ得る。

ステージ１０１０において、ウェブサーバ２０は、ユーザデバイス５０ＡにユーザＩＤ、好ましくはユーザ安全対策未実施ＩＤを要求する。それは、無制限にユーザが選択する任意のＩＤとすることができ、少なくともＩＳ３０またはＭＤサーバ４０に登録される。１つの例示的実施形態では、ｅメールアドレスがユーザ安全対策未実施ＩＤとして利用され、別の実施形態では、ユーザＭＤ６０のＭＳＩＳＤＮなどの電話番号がユーザ安全対策未実施ＩＤとして利用される。当然のことながら、ユーザ安全対策未実施ＩＤを少なくとも１つのＭＤサーバ４０に関連付けるＩＳ３０への事前登録（ＭＤサーバ４０は、さらにユーザＭＤ６０に関連付けられる）は、好ましくは事前登録ステージにおいて行われる。この場合、好ましくはユーザ安全対策未実施ＩＤとは異なるユーザネームおよびパスワードが定義され、ユーザ安全対策未実施ＩＤに関連付けられているＭＤサーバ４０からアクセス可能なメモリ９０の一部に格納される。

ステージ１０２０において、ステージ１０１０の要求に対応して、ユーザは、ユーザデバイス５０Ａ経由でユーザ安全対策未実施ＩＤを提示する。任意選択のステージ１０３０において、提示されたユーザ安全対策未実施ＩＤは、上述したウェブサーバ２０Ａによりアクセス可能なメモリ中に格納されている事前定義ユーザ安全対策未実施ＩＤと対比して妥当性が確認される。提示されたユーザ安全対策未実施ＩＤの妥当性が確認されない場合、ステージ１１８０においてログイン失敗メッセージが生成され、ユーザデバイス５０Ａのディスプレイデバイスに表示される。

ステージ１０４０において、「ＭＤ経由ログイン」メッセージがウェブサーバ２０によりユーザデバイス５０Ａに伝送され、ユーザデバイス５０Ａのディスプレイデバイスに表示される。それによりユーザＭＤ６０上でログインを継続するようユーザに促す。ＭＤ６０は、ステージ１０７０においてさらなるログイン指示を自動的に表示することが好ましい。

ステージ１０５０において、ステージ１０２０のユーザ安全対策未実施ＩＤおよびステージ１０００の任意選択的に決定された位置情報が認証要求としてウェブサーバ２０ＡからＩＳ３０に送られる。

ステージ１０６０において、ＩＳ３０は、ステージ１０２０のユーザ安全対策未実施ＩＤおよびステージ１０００で任意選択的に決定された位置情報を含むＭＤ経由ログイン要求をＭＤサーバ４０に送る。

ステージ１０７０において、ＭＤサーバ４０は、ログイン認証要求をＭＤ６０に伝送する。ＭＤ６０は、さらなるログイン指示を自動的に表示するＭＤアプリケーション６２を起動することが好ましい。代替案として、ユーザは、さらなるログイン指示を表示するＭＤアプリケーション６２を起動することができる。

ステージ１０８０において、ステージ１０７０のＭＤサーバ４０からの認証要求に対応して、ＭＤ６０は、ＭＤサーバ４０にユーザＭＤ６０の位置情報および識別子を与える。これらは、無制限にクッキー、ＩＭＳＩ、ＩＭＥＩ、ＢＴＩＤなどのユーザＭＤ６０に固有のＭＳＩＳＤＮまたはその他の識別子または識別子のその他のグループとすることができ、かつ、ＭＤサーバ４０により検証可能である。好ましくは、ユーザＭＤ６０のローカルメモリ上に格納されており、ユーザＭＤ６０上で実行されるアプリケーション６２がＭＤサーバ４０へのアクセスを行い、かつ、上述のデータを提供する。さらに好ましくは、ユーザＭＤ６０とＭＤサーバ４０間の情報伝送は、セキュアソケットレイヤ（ＳＳＬ）リンク経由である。

ステージ１０９０において、ＭＤサーバ４０は、受信したユーザＭＤ６０識別子および位置情報をすべての未解決のログイン認証要求トランザクションと対比して、ステージ１０４０〜１０６０に関連して上述した一致未解決ログイントランザクションを発見する。当然のことながら、上述したように、ＭＤサーバ４０のメモリ９０は、未解決トランザクションの任意のユーザＩＤが受信したユーザＭＤ６０識別子と一致するか否か、すなわち、相互参照されているか否か決定するために、ステージ１０１０に関連して上述したユーザＩＤの相互参照およびユーザＭＤ６０の識別子を含んでいる。不正を防止するために、さらに位置情報が一致するか否か対比されることが好ましい。位置情報一致が正確でなければならないという要求条件は存在しない。特に、ユーザＭＤ６０の位置情報は、非常に高い精度を与えない三角測量により与えられ、また、ユーザデバイス５０の位置情報も同様に非常に高い精度を与えないＩＰアドレスにより与えられることがあるからである。したがって、好ましくは位置一致の大まかな定義を利用し、物理的に不可能な位置不一致のみ不一致結果を導くように設定する。任意選択的に、範囲を超えることなく位置フィルタを無視することもできる。

ステージ１０９０においてユーザＭＤ６０識別子および位置情報が未解決ログイントランザクションと一致した場合、ＭＤサーバ４０は、後述するように、次のステップに進んでユーザＭＤ６０にログイン情報を要求する。具体的には、任意選択のステージ１１００において、セキュリティ要素強化の一環として、ＭＤサーバ４０は、ユーザＭＤ６０に対しＳＭＳチャレンジを行う。より詳しくは、ＭＤサーバ４０は、任意選択的に英数字コードを含むＳＭＳメッセージをユーザＭＤ６０に伝送する。ステージ１１１０において、ユーザＭＤ６０上で実行する上述のアプリケーションは、好ましくは受信した英数字コードを返すことにより、ＳＭＳチャレンジに対応する。上述のＳＭＳチャレンジおよび対応は、モバイル金融トランザクションの当業者にとって周知であり、したがって簡潔性のために、ここでは、これ以上触れない。

任意選択のステージ１１００〜１１１０におけるＳＭＳチャレンジおよび対応が成功した場合、または任意選択のステージ１１００〜１１１０が実行されない場合、ステージ１１２０においてＭＤサーバ４０は、ステージ１０００の未解決ログイントランザクションに関して利用されるユーザネームおよびパスワードの要求をユーザＭＤ６０に伝送する。

ステージ１１３０において、ユーザＭＤ６０は、ユーザ入力ジェスチャに対応して、ユーザネームおよびパスワードをＭＤサーバ４０に伝送する。ユーザネームおよびパスワードは、１つの実施形態では、ＭＤサーバ４０に事前登録されるので、ウェブサーバ２０Ａとの通信なしにＭＤサーバ４０により妥当性確認され得る。代替的実施形態では、ユーザネームおよびパスワードは、ＩＳ３０またはウェブサーバ２０Ａに無制限に登録され、そして妥当性確認は該当サーバにより行われる。代替的実施形態では、ユーザネームは要求されず、パスワードのみユーザに対し要求される。１つの実施形態では、ユーザネームおよびパスワードは、任意選択のステージ１１００のＳＭＳチャレンジの一部に対応する情報に対応してエンコードされてユーザＭＤ６０から伝送される。ユーザＭＤ６０からの他の情報も同様に無制限にエンコードされ得る。

ステージ１１４０において、受信されたユーザネームおよびパスワードは、それらがＭＤサーバ４０上に格納されているユーザネームおよびパスワードに一致することを確認するため妥当性確認される。受信されたユーザネームおよびパスワードの妥当性が確認された場合、ステージ１１４０においてＭＤサーバ４０は、「ログイン完了、ユーザデバイス経由で続けてください」のようなメッセージをユーザＭＤ６０に伝送する。

ステージ１１５０において、ステージ１１４０のユーザネームおよびパスワードの妥当性確認に対応して、ＭＤサーバ４０は、認証をＩＳ３０に送り、ステージ１１３０の伝送されたユーザネームおよびパスワードに対応してウェブサーバ２０Ａへのログインを許可する。

ステージ１１６０において、ＩＳ３０は、ユーザ、ユーザＭＤ６０の識別子および妥当性確認のための確認コードを識別するために利用される認証方法の表示を含む認証メッセージをウェブサーバ２０Ａに送る。

ステージ１１７０において、ウェブサーバ２０Ａは、ステージ１１６０の受け取った認証メッセージに対応して、要望されたユーザページをユーザデバイス５０Ａに伝送する。ユーザネームおよびパスワード情報は、プロバイダ帯域７０において伝送されず、顧客帯域８０内においてのみ伝送され、それによりセキュリティが強化されたことに注意するべきである。

ステージ１０３０において安全対策未実施ＩＤの妥当性確認ができなかった場合、またはステージ１０９０においてユーザＭＤ６０および位置の一致が失敗した場合、またはステージ１１４０においてユーザネームおよびパスワードの妥当性確認ができなかった場合、ステージ１１８０においてログイン試行は失敗となる。好ましくは、ログイン失敗の通知は、ユーザＭＤ６０とユーザデバイス５０Ａの両方に伝送される。

１つの実施形態では、ＭＤ６０経由のユーザデバイス５０Ａに関するログイン認証は、ステージ１０２０に先立ち、自発的に起動するユーザによりまたはＭＤアプリケーション６２によるＭＤサーバ４０へのログインにより開始され得る。

図１Ｄは、図１Ｃのステージ１１５０のＩＳ３０に対する許可の送出に先立って任意選択的に行われるワンタイムパスワード（ＯＴＰ）を利用する追加セキュリティ強化を示す。ステージ１３００において、好ましくはステージ１１４０の妥当性確認の正常完了に対応して、かつ、好ましくはステージ１１５０の許可メッセージの送出に先立ち、ＭＤサーバ４０がＯＴＰを生成する。ステージ１３２０において、ＭＤサーバ４０は、好ましくは有効期限をもつ受け取ったＯＴＰをユーザＭＤ６０に顧客帯域８０経由で伝送する。受信されたＯＴＰは、ユーザＭＤ６０のディスプレイデバイスに表示される。

ステージ１３３０において、ＭＤサーバ４０は、ＩＳ３０経由でウェブサーバ２０Ａに対してＯＴＰログイン画面をユーザデバイス５０Ａに提示するよう指示する。ユーザは、ステージ１３２０の受け取ったＯＴＰに対応して、受け取ったＯＴＰをユーザデバイス５０Ａの入力機器上で入力する。ステージ１３４０において、入力されたＯＴＰは、ユーザデバイス５０Ａからウェブサーバ２０Ａに伝送され、かつ、ステージ１３５０においてＯＴＰは、ウェブサーバ２０ＡからＭＤサーバ４０へＩＳ３０経由で転送される。

ステージ１３６０において、ウェブサーバ２０Ａから受け取られたＯＴＰは、ステージ１３２０のＭＤサーバ４０により送られたＯＴＰと対比される。受け取られたＯＴＰが伝送されてきたＯＴＰと一致し、かつ、任意選択の有効期間内である場合、ステージ１３７０においてＭＤサーバ４０は、ＩＳ３０経由でログイン承認をウェブサーバ２０Ａに送る。このログイン承認メッセージの中には、ステージ１１５０〜１１６０に関連して上述したステージ１０１０のユーザＩＤが含まれている。ステージ１３８０において、ステージ１３７０のメッセージに対応して、ウェブサーバ２０Ａは、要望されたユーザページをユーザデバイス５０Ａに伝送する。ユーザネームおよびパスワード情報は、プロバイダ帯域７０において伝送されず、顧客帯域８０内においてのみ伝送され、それによりセキュリティが強化されたが、それがコンピュータチャネル窃取を防止する有効期限付きＯＴＰの使用によりさらに強化されたことに注意するべきである。１つの実施形態では、ＯＴＰは、範囲を超えることなく、ステージ１３２０においてウェブサーバ２０Ａに伝送され、ユーザデバイス５０Ａ上に表示され、かつ、ユーザによりＭＤ６０に入力される。かかる実施形態は、ユーザによる生産性の向上を可能にし得る。

ステージ１３６０においてＯＴＰの妥当性確認ができなかった場合、ステージ１１９０において、ログイン試行は上述のように失敗となる。

図１Ｅは、図１Ｃのステージ１１５０の許可メッセージの送出に先立って任意選択的に行われる画像選択を利用する追加セキュリティ強化を示す。ステージ１５００において、好ましくはステージ１１４０の妥当性確認の正常完了に対応して、かつ、好ましくはステージ１１５０の許可メッセージの送出に先立ち、ＭＤサーバ４０は、セキュリティエレメントとして使用される画像を選択する。このセキュリティ画像は、関連メモリ９０上に格納されている画像の事前格納選択対象から選択される。ステージ１５２０において、ＭＤサーバ４０は、好ましくは有効期限付きの受信したセキュリティ画像を顧客帯域８０経由でユーザＭＤ６０に伝送する。受信されたセキュリティ画像は、ユーザＭＤ６０のディスプレイデバイス上に表示される。

ステージ１５３０においてＭＤサーバ４０は、ユーザデバイス５０のディスプレイデバイスに表示するために、ＩＳ３０経由でウェブサーバ２０Ａにステージ１５００のセキュリティ画像を含む複数の画像を送る。ステージ１５４０において、ユーザは、ユーザＭＤ６０上の表示に対応して、ユーザデバイス５０Ａ上に表示された複数の画像からセキュリティ画像をユーザデバイス５０Ａの入力機器経由で選択する。ステージ１５５０において、選択された画像またはそれのエンコードされた識別子がユーザデバイス５０ＡからＭＤサーバ４０へウェブサーバ２０ＡおよびＩＳ３０経由で伝送される。

ステージ１５６０において、ＭＤサーバ４０は、受け取った被選択画像をステージ１５００の選択したセキュリティ画像と対比する。受け取った被選択画像が伝送されたセキュリティ画像と一致し、かつ、任意選択の有効期間内である場合、ステージ１５７０においてＭＤサーバ４０は、ログイン承認をウェブサーバ２０ＡにＩＳ３０経由で送る。このログイン承認メッセージの中にはステージ１１５０〜１１６０に関連して上述したステージ１０１０のユーザＩＤが含まれている。ステージ１５８０において、ステージ１５７０のメッセージに対応して、ウェブサーバ２０Ａは、要望されたユーザページをユーザデバイス５０Ａに伝送する。ユーザネームおよびパスワード情報は、プロバイダ帯域７０において伝送されず、顧客帯域８０内においてのみ伝送され、それによりセキュリティが強化されたが、それがコンピュータチャネル窃取を防止する有効期限付きセキュリティ画像の使用によりさらに強化されたことに注意するべきである。セキュリティ画像の使用は、その使用が容易であることからユーザによる望ましいセキュリティ措置である。

ステージ１５６０においてセキュリティ画像の妥当性確認ができなかった場合、ステージ１１９０においてログイン試行は、上述したように失敗に帰する。１つの実施形態では、範囲を超えることなく、複数のセキュリティ画像がステージ１５００において選択され、ユーザＭＤ６０のディスプレイに表示され、かつ、以下の図において示されるようにユーザデバイス５０Ａ上においてユーザにより指摘される必要がある。他の実施形態では、ステージ１５００において選択された１つまたは複数の画像がユーザデバイス５０Ａ上に表示され、かつ、ＭＤ６０上においてユーザにより選択される。

図１Ｆは、パターン選択を利用し、かつ、さらに任意選択的にセキュリティシステムの妥当性確認のための相互識別を提供する追加セキュリティ強化を示す。これは、図１Ｃのステージ１１５０のログイン許可メッセージの伝送に先立って任意選択的に行われる。図１Ｇは、図１Ｆの流れをさらに示すために、パターンおよび組み込まれた画像の例を示す。

ステージ１７００において、好ましくはステージ１１４０の妥当性確認の正常完了に対応して、かつ、好ましくはステージ１１５０の許可メッセージの送出に先立ち、ＭＤサーバ４０は、セキュリティエレメントとして使用されるパターンを選択する。このパターンは、関連メモリ９０に格納されているパターンまたは代替案として無作為に生成されるパターンの事前格納選択対象から選択される。さらに任意選択的に、ＭＤサーバ４０は、ステージ１０２０のユーザＩＤに関連付けられている事前選択画像を読み出す。事前選択されている画像は、許可システムが認定されている真正のシステムであることの確認をユーザに与えるために、ＭＤ６０のユーザにより選択される。

ステージ１７２０において、ＭＤサーバ４０は、他の要素中に組み込まれている強調表示される要素の選択されたパターンを、ステージ１７００の任意選択の事前選択画像とともに、好ましくは有効時間を付して、顧客帯域８０経由でユーザＭＤ６０に伝送する。他の要素中に組み込まれている要素の受信された被選択パターンが任意選択の画像とともに、図１Ｇに示すように、ユーザＭＤ６０のディスプレイデバイス上に表示される。ここでは、要素の選択されたパターンが強調表示されている。特に、一定の実施形態では、要素のランダムパターンが表示される。その場合、一部の要素（それらは数個実施され得る）が強調表示される。

ステージ１７３０において、ＭＤサーバ４０は、ステージ１７００の他の要素中に埋め込まれる要素の選択されるパターンを強調表示なしでユーザデバイス５０Ａのディスプレイデバイス上に表示するためにＩＳ３０経由でウェブサーバ２０Ａに伝送する。１つの実施形態では、ＭＤサーバ４０は、範囲を超えることなく、強調表示された要素をＩＳ３０経由でウェブサーバ２０に送り、また、強調表示されていない要素をＭＤ６０に伝送する。かかる実施形態では、選択は、ユーザによりＭＤ６０の入力経由で行われ得る。ステージ１７４０において、ユーザは、ユーザＭＤ６０上の強調表示された要素に応じて、ユーザデバイス５０Ａ上に表示された複数の要素の中から特定の要素をデバイス５０Ａの入力機器経由で選択する。当然のことながら、ステージ１７２０においてユーザＭＤ６０上に表示された任意選択の事前選択された画像がユーザにより呼び戻された事前選択画像と一致しない場合、ユーザは、セキュリティ侵害を認識し、ステージ１７４０に進まない。

ステージ１７５０において、選択された要素、またはそれのエンコードされた識別子がユーザデバイス５０ＡからＭＤサーバ４０にウェブサーバ２０ＡおよびＩＳ３０経由で伝送される。

ステージ１７６０において、受信された被選択要素がステージ１７００の強調表示される要素の伝送された被選択パターンと対比される。受信された被選択要素が強調表示される要素の伝送された被選択パターンと一致し、かつ、任意選択の有効期間内である場合、ステージ１７７０においてＭＤサーバ４０は、ログイン承認をウェブサーバ２０ＡにＩＳ３０経由で送る。ステージ１１５０〜１１６０に関して上述したようにログイン承認メッセージの中にはステージ１０１０のユーザＩＤが含まれている。ステージ１７８０において、ステージ１７７０のメッセージに対応して、ウェブサーバ２０Ａは、要望されたユーザページをユーザデバイス５０Ａに伝送する。ユーザネームおよびパスワード情報は、プロバイダ帯域７０において伝送されず、顧客帯域８０内においてのみ伝送され、それによりセキュリティが強化されたが、それがコンピュータチャネル窃取を防止する有効期限付きセキュリティ多数画像の使用によりさらに強化されたことに注意するべきである。

ステージ１７６０においてセキュリティ画像の妥当性確認ができなかった場合、ステージ１１９０においてログイン試行は、上述したように失敗となる。

図１Ｈ、１Ｉは、進行中ウェブセッション検証のためにリアルタイム、同期化、モバイル監視を利用する追加セキュリティ強化を示す。ＭＤ６０を使用してユーザは、ウェブの１セッションまたは複数のセッションのすべての活動を絶え間なく監視できる。それにより、フィッシング、セッションハイジャック、クロスサイトスクリプティング、中間者または同様な不正によりもたらされる損害を低減する。ＭＤ６０は、ユーザデバイス５０Ａの進行中ウェブセッション活動を表示する画像またはアイコンを表示することが好ましい。

ステージ１８００において、ユーザは、好ましくは図１Ｂ〜１Ｆに関連して上述したＯＯＢＬにより、ユーザデバイス５０Ａからウェブサーバ２０Ａへのログインを行う。ステージ１８１０において、ユーザデバイス５０Ａは、ウェブサーバ２０Ａに対し情報検索動作を要求する。代替案として、明示的なユーザ認証を必要としないトランザクションまたは構成変更を要求する。ステージ１８２０において、ウェブサーバ２０Ａは、要求された情報をユーザデバイス５０Ａに与える。好ましくは、ユーザデバイスは、それをユーザに表示する。ステージ１８３０において、ウェブサーバ２０Ａは、情報要求動作の表示をＭＤサーバ４０にＩＳ３０経由で、好ましくはユーザデバイス５０Ａへの情報応答と同時に送る。この表示は、好ましくは要求された情報の種類を含み、かつ、その他の詳細を含み得る。ステージ１８４０において、ＭＤサーバ４０は、情報要求表示をＭＤ６０に伝送する。ＭＤ６０は、これをそのディスプレイ部においてユーザに表示する。この表示は、ウェブセッションの冒頭から行われたその他の動作との関係において好ましくは時間的順序に従って、好ましくはユーザから見やすいようにグラフィック的に記号化して、表示される。任意選択のステージ１８５０において、ユーザは、ユーザＭＤ６０上のディスプレイにより反映された情報要求動作がユーザデバイス５０Ａ上で要求された適切な動作であること、および不適切なステップによる置き換えが行われていないことの妥当性を確認する。ステージ１８５０において行われた妥当性確認プロセスが正常に完了した場合、ステージ１８６０においてユーザは、ユーザデバイス５０Ａ上のウェブセッションを継続する。好ましくは、ＭＤ６０ウェブセッション監視は、ユーザがユーザデバイス５０ＡによりまたはＭＤ６０によりウェブサーバ２０Ａからログオフするまで、動作を継続する。ステージ１８５０において行われた一致の妥当性確認プロセスが失敗した場合、ステージ１８７０においてユーザは、この失敗に応答して、任意選択的にさらなる動作情報をＭＤ６０経由で要求するか、または不正の疑いがあるため、このウェブセッションを終了することができる。別の実施形態では、ユーザは、ユーザデバイス５０Ａのユーザにより実際に行われなかった動作の表示が監視ＭＤ６０上に表示されていないことを検証する。これらの表示は、不正な攻撃の兆候であり得るからである。

図１Ｉは、図１Ｈと同様な流れを示しているが、相違は動作の種類である。図１Ｉでは、動作は、明示的なユーザ認証を要求している。この動作も動作時系列表示として提示されるので、ユーザは、望ましくはウェブセッションにおいて行われたすべての動作の包括的な、しかし分かりやすい一覧を与えられる。見慣れない動作表示または期待していた表示と実際のＭＤ６０表示の不一致の場合、ユーザは、任意選択的にユーザＭＤ６０経由でさらなる情報を要求するか、セッションを終了するか、またはセッション異常をウェブサーバ２０Ａに通知することができる。

図２Ａは、有利なパーティション分割を実現し、それによりウェブＯＯＢＬを可能にするトランザクションシステム２００の実施形態のハイレベルブロック図を示している。この場合、ユーザＭＤ２１０のＳＥ２４０内に疑似乱数生成機能を設ける。具体的には、トランザクションシステム２００は、ウェブサーバ２０Ａ、ＩＳ３０、およびＭＤサーバ４０を含み、これらのそれぞれは、それと通信するメモリ９０をもっている。ウェブサーバ２０ＡおよびＭＤサーバ４０は、それぞれ、好ましくは本出願において記述されるＩＳ３０に対応するサービスのほかに単一のサービスプロバイダに関連付けられる先行技術のサービスをサポートする。無制限に携帯コンピュータとして示されているユーザデバイス５０ＡおよびユーザＭＤ２１０がさらに示されている。ユーザＭＤ２１０は、ディスプレイ２２０、コントローラ２３０、およびＳＥ２４０を含んでいる。ＳＥ２４０は、安全なＩＤ保管場所２５０、疑似乱数生成器（ＰＲＮＧ）２６０および安全な鍵保管場所２７０を含んでいる。ＩＤ保管場所２５０に格納されたＩＤはＩＤ１として表示され、そしてＩＤ１はコントローラ２３０により読み取り可能である。ＰＲＮＧ２６０は、鍵保管場所２７０およびコントローラ２３０と通信する。ＩＤ保管場所２５０は、コントローラ２３０と通信する。ＳＥ２４０は、以下において詳述するように第１レベルのユーザセキュリティドメイン（ＵＳＤ）を提供する。アプリケーション６２はＭＤ２１０のプロセッサ上で実行され、かつ、好ましくはそのローカルメモリに格納される。

トランザクションシステム１０に関連して上述したように、サービスプロバイダウェブサーバ２０Ａは、水平方向ハッチの施されている両方向矢印として示されているプロバイダ帯域７０経由でユーザデバイス５０Ａと両方向通信する。この帯域は、インターネット経由で実現することができる。サービスプロバイダＭＤサーバ４０は、網目模様の両方向矢印として示されている顧客帯域８０経由でユーザＭＤ２１０と両方向通信する。この帯域は、無線ＬＡＮまたはＩＥＥＥ８０２．１１互換接続などのＭＤデータ接続経由で実現することができる。セキュリティ情報は、不正を防止するために有利なようにコンパートメント化される。

ウェブサーバ２０Ａ、ＩＳ３０およびＭＤサーバ４０のそれぞれは、プロセッサを備え、かつ、上で示したように、範囲を超えることなく内蔵でも外付けでもよいメモリ９０と通信する。メモリ９０は、非一時的コンピュータ読み取り可能媒体を備えており、その上にそれぞれのウェブサーバ２０Ａ、ＩＳ３０およびＭＤサーバ４０の動作のための命令が下記で説明するように格納される。メモリ９０は、さらに、必要に応じてデータの保管場所として利用することもできる。種々のメモリ９０が物理的に別個のものでなければならない要求はなく、種々のメモリ９０は、範囲を超えることなく、単一のクラウドサーバ上に実現し得る。

ＰＲＮＧ２６０は、コントローラ２３０から受け取った要求に対応してＰＲＮを生成し、生成した疑似乱数をコントローラ２３０に返す。ＰＲＮＧ２６０により生成されたＰＲＮは、鍵保管場所２７０に格納されている１つ以上の鍵に対応しており、したがって鍵保管場所２７０に格納されている１つ以上の鍵に関する情報をもっているデバイスにより一意に識別可能である。妥当性確認のために必要な情報は、無制限に、共用鍵、またはＭＤサーバ４０に関連付けられているメモリ９０上に格納されている非対称鍵アルゴリズムの一部として生成される鍵とすることができる。追加ＳＥ２４０の機能および能力について以下においてさらに詳しく説明する。

図２Ｂは、図２Ａのトランザクションシステム２００の動作の例示的実施形態のハイレベルフローチャートを示している。これは、個人ユーザネームまたはパスワードをプロバイダ帯域７０上で渡さない安全なログイン便益をユーザデバイス５０に与える。かかる実施形態は、ユーザデバイス５０Ａが、インターネットカフェのパソコン（ＰＣ）のように単なる個人資産ではない場合に特に有益である。しかし、これは、決して制限を意味するものではない。明確にするために、ステージ間の流れは、図２Ａの帯域情報と同じ方法で示されており、したがってプロバイダ帯域７０内の流れは水平方向ハッチの矢印として、顧客帯域８０内の流れは網目模様の矢印として、ＩＳ３０とウェブサーバ２０ＡまたはＭＤサーバ４０間の流れは実線として示されている。個々のステージは、上述したように、それぞれのメモリ９０に格納されている命令に対応して実行される。

ステージ２０００において、ユーザデバイス５０Ａは、提供された帯域７０経由でウェブサーバ２０Ａの特定のページまたはサイトにアクセスし、そしてユーザＭＤ２１０経由のログインを要求する。ユーザデバイス５０Ａは、好ましくは、ローカルメモリ上に格納された、ユーザデバイス５０Ａを識別するクッキー情報を提供する。任意選択的に、提示されるクッキー情報は、シリアルナンバーまたはその他のコンフィグレーションデータなどのコンピュータ識別情報を含む。ウェブサーバ２０Ａは、任意選択的にユーザデバイス５０Ａのインターネットプロトコルアドレスに対応するユーザデバイス５０Ａの位置情報を決定することが好ましい。ウェブサーバ２０Ａの特定のページまたはサイトは、無制限に金融機関、マーチャントまたはサービス供給者に関係づけられ得る。

ステージ２０１０において、ウェブサーバ２０Ａは、ユーザＩＤ、好ましくは上述したユーザ安全対策未実施ＩＤをユーザデバイス５０Ａに要求する。例示的実施形態では、ｅメールアドレスがユーザ安全対策未実施ＩＤとして利用され、別の典型的実施形態ではユーザのモバイル番号（ＭＳＩＳＤＮ）がユーザ安全対策未実施ＩＤとして利用される。当然のことであるが、ユーザＭＤサーバ４０をユーザの安全対策未実施ＩＤに関連付けるＩＳ３０への事前登録は、事前登録ステージで行われることが好ましい。この場合、好ましくはユーザの安全対策未実施ＩＤと異なるユーザネームおよびパスワードが定義され、ユーザの安全対策未実施ＩＤおよびＭＤ２１０に関連付けられるＭＤサーバ４０によりアクセス可能なメモリ９０の一部に格納される。

ステージ２０２０において、ステージ２０１０の要求に対応して、ユーザは、ユーザデバイス５０Ａ経由でユーザの安全対策未実施ＩＤを提示する。任意選択のステージ２０３０において、提示されたユーザの安全対策未実施ＩＤは、未登録ユーザ認証によるＩＳ３０およびＭＤサーバ４０の過負荷を回避するために、上述したようにウェブサーバ２０Ａによりアクセス可能なメモリ９０に格納されている事前定義ユーザＩＤと対比して妥当性確認される。ユーザの安全対策未実施ＩＤの妥当性が確認されなかった場合、ステージ２１６０において、ログイン失敗メッセージが生成され、ユーザデバイス５０Ａのディスプレイデバイス上に表示される。

ステージ２０４０において、「ＭＤ経由ログイン」などのメッセージがウェブサーバ２０Ａからユーザデバイス５０Ａに伝送され、ユーザデバイス５０Ａのディスプレイデバイス上に表示される。これによりユーザは、ＭＤ２１０にアクセスしてトランザクションを続けるよう促される。ＭＤ２１０は、好ましくは、ステージ２０８０において記述されているようにトランザクションを続けるためのさらなるログイン指示を自動的に表示する。

ステージ２０５０において、ステージ２０２０のユーザＩＤおよび任意選択的に決定されたステージ２０００の位置情報がウェブサーバ２０ＡによりＩＳ３０に送られる。

任意選択のステージ２０６０において、提示されたユーザの安全対策未実施ＩＤが、前述のようにＩＳ３０によりアクセス可能なメモリ９０に格納されている事前定義のユーザＩＤと対比して妥当性確認される。ユーザの安全対策未実施ＩＤの妥当性が確認されなかった場合、ステージ２１６０においてログイン失敗メッセージが生成され、ユーザデバイス５０Ａのディスプレイデバイスに表示される。

ステージ２０７０において、ＩＳ３０は、ログイン認証要求をＭＤサーバ４０に送る。

ステージ２０８０において、ＭＤサーバ４０は、ログイン認証要求をＭＤ２１０に伝送する。それにより起動されたＭＤアプリケーション６２は、さらなるログイン指示を自動的に表示する。

ステージ２０９０において、ステージ２０８０のＭＤサーバ４０からの認証要求に対応して、ＭＤ２１０は、ユーザＭＤ２１０の位置情報、ＰＲＮおよび識別子をＭＤサーバ４０に与える。与えられる識別子は、無制限に、クッキー、ＩＭＳＩ、ＩＭＥＩ、またはＢＴＩＤなどのユーザＭＤ２１０に固有のＭＳＩＳＤＮまたはその他の識別子または識別子の集まりとすることができ、かつ、ＭＤサーバ４０により検証可能である。好ましくは、ユーザＭＤ２１０上で実行されるアプリケーション６２は、ＭＤサーバ４０にアクセスし、上述のデータを提供する。具体的には、コントローラ２３０は、ＩＤ保管場所２５０からＩＤ１を読み出し、さらにＰＲＮＧ２６０にＰＲＮの生成を要求する（このＰＲＮはＭＰＲＮ２として表示される）。このＰＲＮは、ＭＤサーバ４０に関連付けられた鍵保管場所２７０に格納されている鍵と連携して生成するよう要求される。アプリケーション６２は、ＭＤサーバ４０のページまたはサーバまたはサイトにアクセスする。また、アプリケーション６２は、ＭＤサーバ４０にアクセスするプロセスの一環として、ＭＤ２１０の位置情報、読み出したＩＤ１、生成されたＰＲＮおよび周辺機器識別子などのその他の識別情報を提供する。１つの実施形態では、ＳＥ２４０のシリアルナンバーなどのユーザＭＤ２１０の固有の識別子も無制限に提供される。好ましくは、ユーザＭＤ２１０とＭＤサーバ４０間の情報伝送は、ＳＳＬリンク経由とする。

有利なように、要求に応じて、格納されている鍵に対応するＰＲＮを提供し、さらにＩＤ１を提供するＳＥ２４０の能力は、以下においてさらに説明するように第１レベルのＵＳＤを表している。

ステージ２１００において、ＭＤサーバ４０は、受信したユーザＭＤ２１０のＩＤ１および好ましくは位置情報をステージ２０５０の与えられた情報（前述したように事前登録情報により相互参照されている）と対比してＭＤ２１０の真正性を検証する。ＰＲＮは、ＭＤサーバ４０のメモリ９０上に格納されている鍵に対応して、さらに検証されることが好ましい。当然のことながら、上述したように、ＭＤサーバ４０のメモリ９０は、ステージ２０７０に関連して上述したユーザＩＤの相互参照を含んでおり、また、ユーザＭＤ２１０は、ユーザデバイス５０Ａから受け取った任意のユーザＩＤが受け取ったユーザＭＤ２１０識別子ＩＤ１と一致するか、すなわち相互参照されているか否か決定するためにＩＤ１を識別する。位置情報は、不正を防止するために、さらに一致対比することが好ましい。位置情報一致が正確でなければならないという要求条件は存在しない。特に、ユーザＭＤ２１０の位置情報は、非常に高い精度を与えない三角測量により与えられ、また、ユーザデバイス５０Ａの位置情報も同様に非常に高い精度を与えないＩＰアドレスにより与えられ得るからである。したがって、好ましくは位置一致の大まかな定義を利用し、物理的に不可能な位置不一致のみ不一致結果を導くように設定する。任意選択的に、範囲を超えることなく位置フィルタを無視することもできる。

ステージ２１００においてユーザＭＤ２１０識別子ＩＤ１および位置情報がログイン認証要求トランザクションと一致し、かつ、および受け取ったＭＰＲＮ２が格納されていた鍵に対応して妥当性が確認された場合、ＭＤサーバ４０は、次に進んでログイン情報を受け取る。

ステージ２１１０において、ＭＤサーバ４０は、ステージ２０００の未解決ログイントランザクションに関して利用するためにユーザネームおよびパスワードの要求をユーザＭＤ２１０に伝送する。ステージ２１２０において、ユーザの入力ジェスチャに対応して、ユーザＭＤ２１０は、ユーザネームおよびパスワードをＭＤサーバ４０に伝送する。ユーザネームおよびパスワードは、ＭＤサーバ４０に事前登録されており、それによりＭＤサーバ４０によりウェブサーバ２０ＡまたはＩＳ３０と通信することなく妥当性確認できることが好ましい。代替的実施形態では、ユーザネームおよびパスワードはＩＳ３０またはウェブサーバ２０Ａに無制限に登録され、妥当性確認は該当サーバにより行われる。他の代替的実施形態では、パスワードまたはＰＩＮコードはＳＥ２４０により妥当性確認され、かつ、ＰＰＲＮ２が妥当性確認のためにＭＤサーバ４０に送られる。

ステージ２１３０において、受け取られたユーザネームおよびパスワードは、それらがＭＤサーバ４０上に格納されているユーザネームおよびパスワードと一致するか否か、確認される。ユーザネームおよびパスワードがＩＳ３０またはウェブサーバ２０Ａに無制限に事前登録される代替的実施形態では、ユーザネームおよびパスワードは、該当サーバに送られ、そこで妥当性確認される。ＰＰＲＮ２がＭＤサーバ４０に送られる実施形態では、ＭＤサーバ４０がＰＰＲＮ２の妥当性を確認する。

受け取ったユーザネームおよびパスワードがＭＤサーバ４０において妥当性確認された場合、ステージ２１４０においてＭＤサーバ４０は、ステージ２０１０のユーザＩＤの識別子および妥当性確認のための確認コードを含む認証メッセージをＩＳ３０経由でウェブサーバ２０Ａに送る。

ステージ２１５０において、ステージ２１４０のメッセージに対応して、ウェブサーバ２０Ａは、要望されたユーザページをユーザデバイス５０Ａに伝送する。ユーザネーム、パスワードおよびハードウェア生成コードＰＲＮ情報は、プロバイダ帯域７０において伝送されず、顧客帯域８０内においてのみ伝送され、それによりセキュリティが強化されたことに注意するべきである。ユーザデバイス５０ＡとＭＤ６０は、ユーザがおそらくユーザデバイス５０Ａ上で上述したようにログオフを促すまで、ユーザウェブセッション中、同期を保つことが好ましい。ＭＤ６０は、ユーザデバイス５０Ａ上に表示される活動を表す画像を表示することが好ましい。

ステージ２０３０または２０６０においてＩＤの妥当性が確認できなかった場合、またはステージ２１００においてユーザＭＤ２１０識別子ＩＤ１の妥当性が確認できなかった場合、またはＰＲＮ妥当性確認または位置一致ができなかった場合、またはステージ２１３０においてユーザネームおよびパスワードの妥当性が確認できなかった場合、ステージ２１６０において、ログイン試行は失敗となる。ログイン失敗の通知は、ユーザＭＤ２１０とユーザデバイス５０Ａの両方に伝送することが好ましい。

図１Ｄ〜１Ｉに関連して上述した代替案の追加セキュリティ方法は、範囲を超えることなく、トランザクションシステム２００により同様に実現され得る。

図３Ａは、トランザクションシステム３００の実施形態のハイレベルブロック図を示している。このシステムは、ウェブベースのトランザクションシステムの有利なパーティション分割を提供し、それによりウェブ帯域外ログイン（ＯＯＢＬ）を可能にする。具体的には、トランザクションシステム３００は、ウェブサーバ３２０、ＩＳ３０、および発行者ＭＤアクセスポイントサーバ３４０を含み、これらのそれぞれは、それと通信するメモリ９０を備えている。ウェブサーバ３２０は、好ましくはマーチャントまたはサービスプロバイダと関連付けられ、また、発行者ウェブまたはＭＤアクセスポイントサーバ３４０は、無制限にクレジットまたはデビットカード発行者またはその他の金融トランザクション許可手段と関連付けられる。明確にするために、無制限に携帯コンピュータとして示されているユーザデバイス５０ＡおよびユーザＭＤ６０がさらに示されている。上述したように任意のユーザデバイス５０が利用され得る。ウェブサーバ３２０は、インターネット経由で実現でき、水平のハッチの施されている両方向矢印として示されているプロバイダ帯域７０経由でユーザデバイス５０Ａと両方向通信する。発行者ウェブまたはＭＤアクセスポイントサーバ３４０は、網目模様の両方向矢印として示されている顧客帯域８０経由でユーザＭＤ６０と両方向通信する。この帯域は、無線ＬＡＮまたはＩＥＥＥ８０２．１１互換接続などのＭＤデータ接続経由で実現できる。不正を防止するためにセキュリティ情報は、有利にコンパートメント化される。

ウェブサーバ３２０、ＩＳ３０および発行者ウェブまたはＭＤアクセスポイントサーバ３４０は、プロセッサを備えており、また、上述したように、範囲を超えることなく内蔵または外付けとすることができるメモリ９０と通信する。メモリ９０は、非一時的コンピュータ読み取り可能媒体を備えている。この媒体上にウェブサーバ３２０、ＩＳ３０および発行者ＭＤアクセスポイントサーバ３４０それぞれの動作のための命令が、以下に述べるように、格納される。メモリ９０は、さらに必要に応じて、それぞれに見合った顧客の記録、ユーザネームおよびＩＤなどのデータの格納のために利用することができる。種々のメモリ９０が物理的に別個のものでなければならないという要求はなく、種々のメモリ９０は、範囲を超えることなく、単一のクラウドサーバ上に実現し得る。

図３Ｂ〜３Ｃは、図３Ａのトランザクションシステム３００の動作の例示的実施形態のハイレベルフローチャートを示している。このシステムは、個人のユーザネームまたはパスワードをプロバイダ帯域７０上で渡さない安全な金融サポートをユーザデバイス５０Ａに提供する。この場合、好ましくは、ウェブサーバ３２０はユーザの機密に関わる金融細目にタッチせず、また、任意選択的にユーザ手動によるチェックアウト詳細入力を行わない。かかる実施形態は、ユーザデバイス５０が、インターネットカフェのＰＣのように単なる個人資産ではない場合に特に有益である。しかし、これは、決して制限を意味するものではない。同様に、ユーザは、ウェブサービスプロバイダまたはマーチャントのセキュリティに不安を抱く場合がある。明確にするために、ステージ間の流れは、図３Ａの帯域情報と同じ方法で表示されており、したがってプロバイダ帯域７０内の流れは水平方向ハッチの矢印として、顧客帯域８０内の流れは網目模様の矢印として、ＩＳ３０とウェブサーバ３２０または発行者ＭＤアクセスポイントサーバ３４０間の流れは実線として示されている。それぞれのメモリ９０上に格納されている命令に対応して、上述のように、個々のステージが実行される。

ステージ３０００において、ユーザデバイス５０Ａは、プロバイダ帯域７０経由でウェブサーバ３２０の特定のページまたはサイトにアクセスし、これから行う買い物のようなトランザクションを選択する。チェックアウトにおいて、ＯＯＢＬチェックアウトを含む多数の任意選択がウェブサーバ３２０により無制限に提供され得る。ステージ３０００においてＯＯＢＬチェックアウト、すなわちユーザＭＤ６０経由のチェックアウトが要求された場合。代替案として、一定のトランザクションについては、チェックアウトはＯＯＢＬ経由とするように制約される。

ステージ３０１０において、ウェブサーバ３２０は、ユーザの安全対策未実施ＩＤをユーザデバイス５０Ａに要求する。例示的実施形態では、ｅメールアドレスをユーザの安全対策未実施ＩＤとして利用する。当然のことながら、ＭＤアクセスポイントサーバ３４０（それは、さらにユーザＭＤ６０に関連付けられる）をユーザの安全対策未実施ＩＤに関連付けるＩＳ３０への事前登録は、事前登録ステージにおいて行われることが好ましい。好ましくは安全対策未実施ＩＤとは相異なるユーザネームおよびパスワードが定義され、ＭＤアクセスポイントサーバ３４０によりアクセス可能なメモリ９０の一部に格納される。

ステージ３０２０において、ステージ３０１０の要求に対応して、ユーザは、ユーザデバイス５０Ａ経由で安全対策未実施ＩＤを提示する。任意選択のステージ３０３０において、提示された安全対策未実施ＩＤは、前述のようにウェブサーバ３２０によりアクセス可能なメモリに格納されている事前に定義されている安全対策未実施ＩＤと対比して妥当性確認される。安全対策未実施ＩＤの妥当性が確認されなかった場合、ステージ３２９０においてチェックアウト失敗メッセージが生成され、ユーザデバイス５０Ａのディスプレイデバイスに表示される。

ステージ３０４０において、「ＭＤ経由チェックアウト」を示すメッセージがウェブサーバ３２０よりユーザデバイス５０Ａに伝送され、ユーザデバイス５０Ａのディスプレイデバイス上に表示される。これによりユーザは、ユーザのＭＤ６０によるチェックアウトプロセスを続けるよう促される。これに続いて、ステージ３０８０に関連して以下において詳述するように、ＭＤ６０は、さらなるＯＯＢＬチェックアウト指示を自動的に表示することが好ましい。

ステージ３０５０において、ステージ３０２０の安全対策未実施ＩＤおよび任意選択のトランザクションの情報または決定された位置の情報がウェブサーバ３２０によりＩＳ３０に送られる。追加セキュリティのための位置の使用は、トランザクションシステム１０に関連してすでに述べたので、簡潔を尊ぶためにここではこれ以上説明しない。しかし、当然のことながら、有効性を確認し、かつ、不正トランザクションを回避するための地理的一致の利用は、トランザクションシステム３００においても等しく適用できる。トランザクションの情報は、好ましくは、マーチャント名、マーチャントＩＤ、価格、任意選択的に要求されるユーザの入力するチェックアウト詳細、および任意選択的にの購入品目の一覧表などのさらなる詳細を含む。

ステージ３０６０において、安全対策未実施ＩＤは、上述したようにＩＳ３０によりアクセス可能なメモリに格納されている事前に定義されているユーザの安全対策未実施ＩＤまたはその他の規則と対比して妥当性確認される。ユーザの安全対策未実施ＩＤの妥当性が確認されなかった場合、メッセージがウェブサーバ３２０に送られ、また、ステージ３２９０においてチェックアウト失敗メッセージが生成され、ユーザデバイス５０Ａのディスプレイデバイス上に表示される。

ステージ３０７０において、ステージ３０２０の安全対策未実施ＩＤおよび任意選択のトランザクションの情報または決定された位置の情報がＩＳ３０により発行者ＭＤアクセスポイントサーバ３４０に送られる。

ステージ３０８０において、発行者ＭＤアクセスポイントサーバ３４０は、チェックアウトトランザクション認証要求をＭＤ６０に伝送する。これによりＭＤアプリケーション６２が起動されてさらなるチェックアウト指示を自動的に表示する。

ステージ３０９０において、発行者ＭＤアクセスポイントサーバ３４０にアクセスするプロセスの一環として、ユーザＭＤ６０は、任意選択的にＭＤ６０の位置情報および識別子を提示する。これは、ユーザＭＤ６０に固有のＭＳＩＳＤＮまたはその他の識別子とすることができる。好ましくは、上述したように、アプリケーション６２は、ユーザＭＤ６０上で実行され発行者ＭＤアクセスポイントサーバ３４０にアクセスする。ユーザＭＤ６０のローカルメモリ上に格納されているアプリケーション６２は、発行者ＭＤアクセスポイントサーバ３４０に対するアクセスを行い、かつ、上述のデータを提示することが好ましい。さらに好ましくは、ユーザＭＤ６０と発行者ＭＤアクセスポイントサーバ３４０間の情報伝送は、セキュアソケットレイヤ（ＳＳＬ）リンク経由である。

ステージ３１００において、ステージ３０９０において受け取られたユーザＭＤ６０の識別子が発行者ＭＤアクセスポイントサーバ３４０により妥当性確認され、また、任意選択的に、図１Ｃに関連して上述したように、ユーザＭＤ６０から受け取られた任意の位置情報が発行者ＭＤアクセスポイントサーバ３４０により、プロバイダウェブサーバ３２０からＩＳ３０経由で受け取られた任意選択の位置情報と対比される。上述したあらゆる重要な不一致は、発行者ＭＤアクセスポイントサーバ３４０による無効メッセージの発行をもたらし、それによりあらゆる疑わしい不正トランザクションを防止することができる。

任意選択のステージ３１１０において、発行者ＭＤアクセスポイントサーバ３４０は、ユーザＭＤ６０に対しＳＭＳチャレンジを行う。さらに詳しくは、発行者ＭＤアクセスポイントサーバ３４０は、任意選択的に英数字コードを含むＳＭＳメッセージをユーザＭＤ６０に伝送する。ステージ３１２０において、上述したようにユーザＭＤ６０上で実行されるアプリケーション６２は、好ましくは受け取った英数字コードを返すことによりＳＭＳチャレンジに応答する。上述のＳＭＳチャレンジおよび応答は、モバイル金融トランザクション技術の当業者により既知であるので、簡潔を尊ぶためにここではこれ以上触れないこととする。チャレンジの結果は、発行者ＭＤアクセスポイントサーバ３４０またはＩＳ３０に無制限に報告され得る。

任意選択のステージ３１１０〜３１２０のＳＭＳチャレンジおよび応答が正常に完了した場合、または任意選択のステージ３１１０〜３１２０が行われない場合、ステージ３１３０において発行者ＭＤアクセスポイントサーバ３４０は、発送先として使用される自宅の住所および連絡情報として使用されるモバイル電話番号（ＭＳＩＳＤＮ）などのユーザの既存の必要なチェックアウト詳細を発行者ＭＤアクセスポイントサーバ３４０のメモリ９０から読み出す。発行者ＭＤアクセスポイントサーバ３４０は、さらに、購入トランザクション承認の要求をユーザＭＤ６０に伝送する。これは、好ましくは、ユーザネームおよびパスワードならびにステージ３０００の未解決チェックアウトトランザクションに関して発行者ＭＤアクセスポイントサーバ３４０により記入された詳細の確認（これは、後にウェブサーバ３２０に送られる）を含む。任意選択的に、クーポンまたは掛け売り条件などの支払い協定の選択をユーザＭＤ６０に無制限に提供することができる。さらにオープンクレジット残額などのその他の金融情報も範囲を超えることなく提供することができる。一定の基準を満たすトランザクションの場合、ＰＩＮの再入力および／または１つ以上のセキュリティ質問に対する対応も行うことができる。

ステージ３１４０において、ユーザＭＤ６０は、ユーザ入力ジェスチャに対応して、ユーザネームおよびパスワードならびにトランザクション確認および好ましくは発行者ＭＤアクセスポイントサーバ３４０により記入された詳細の確認を発行者ＭＤアクセスポイントサーバ３４０に伝送する。発行者ＭＤアクセスポイントサーバ３４０は、登録ステージにおいてすでにユーザＭＤ６０のユーザネームおよびパスワードを与えられているので、発行者ＭＤアクセスポイントサーバ３４０は、ウェブサーバ３２０を参照することなく、その真正性を検証できることに注意するべきである。１つの実施形態では、ユーザは、記入されているチェックアウト詳細をＭＤ６０上で削除、修正または追加することができ、したがって、たとえば別の発送先アドレスを入力することができる。

ステージ３１５０において、受け取られたユーザネームおよびパスワードを妥当性確認し、それが発行者ＭＤアクセスポイントサーバ３４０上に格納されているユーザネームおよびパスワードと一致するか確認する。妥当性確認は、さらに、範囲を超えることなく、受け取られたユーザネームおよび／またはパスワードの解読を要求し得る。

ステージ３１６０において、発行者ＭＤアクセスポイントサーバ３４０は、安全対策未実施ＩＤ、ユーザの確認したチェックアウト詳細およびこれが「ユーザデバイス経由チェックアウト」トランザクションであることの表示を含むトランザクション許可をＩＳ３０に送る。ステージ３１７０において、ＩＳ３０は、安全対策未実施ＩＤ、ユーザの確認したチェックアウト詳細およびこれが「ユーザデバイス経由チェックアウト」トランザクションであることの表示を含むトランザクション許可をウェブサーバ３２０に送る。

ステージ３１８０において、ステージ３１７０の受け取ったトランザクション許可メッセージに対応して、ウェブサーバ３２０は、顧客データベースを含み得る関連メモリ９０から該当する顧客関連情報を読み出し、かつ、好ましくはさらに特定のウェブサーバ３２０ページにふさわしいフォーマット情報を読み出し、次に請求情報、出荷情報およびトランザクションチェックアウトが発行者ＭＤアクセスポイントサーバ３４０によりユーザＭＤ６０経由で受け取られた入力に対応してすでに承認されていることの表示を含むすべてのトランザクション詳細を含むすぐ署名できる書式を作成する。ウェブサーバ３２０は、さらに詳細の記入されたチェックアウトページを表示する。次にステージ３１９０においてユーザデバイス５０Ａのユーザは、その中の情報を受け入れるかまたは調整することができる。ユーザの承認ジェスチャに対応してこのトランザクションは最終決定される。

ステージ３２００において、ウェブサーバ３２０は、好ましくは金融トランザクション決済を含めてユーザの確認した購入トランザクションを実行する。さらに、ウェブサーバ３２０は、トランザクション承認メッセージをＩＳ３０に送る。ステージ３２１０において、ＩＳ３０は、トランザクション承認メッセージを決済監査のためのトランザクション識別子とともに発行者ＭＤアクセスポイントサーバ３４０に送る。

ステージ３２２０において、発行者ＭＤアクセスポイントサーバ３４０は、承認されたトランザクションの確認をユーザＭＤ６０に送る。後者は、その結果、アプリケーション６２を背景処理モードに設定できる。１つの実施形態では、ＩＳ３０は、このトランザクションをユーザの口座により決済する。他の実施形態では、発行者ＭＤアクセスポイントサーバ３４０がこのトランザクションをユーザの口座により決済する。

ステージ３０３０においてＩＤの妥当性が確認されなかった場合、またはステージ３０６０においてＩＤ妥当性が確認されなかった場合、またはステージ３１００においてユーザの安全対策未実施ＩＤがユーザのＭＤ識別子と一致しなかった場合、または位置の妥当性が確認されなかった場合、またはステージ３１５０においてユーザネームおよびパスワードの妥当性が確認されなかった場合、ステージ３２９０においてチェックアウト試行は失敗となる。好ましくは、チェックアウト失敗の通知は、ユーザＭＤ６０とユーザデバイス５０Ａの両方に伝送する。

図１Ｄ〜１Ｉに関連して上述した代替案の追加セキュリティ方法は、範囲を超えることなく、トランザクションシステム３００により同様に実現することができる。ユーザＭＤ６０の代わりにユーザＭＤ２１０を使用することは、その追加セキュリティ利得を保持しつつ、範囲を超えることなく、トランザクションシステム３００においても利用できる。

図４Ａは、トランザクションシステム４００の１つの実施形態のハイレベルブロック図を示している。このシステムは、有利なパーティション分割を提供し、それにより現金自動預け払い機（ＡＴＭ）で使用する帯域外ログイン（ＯＯＢＬ）を可能にする。具体的には、トランザクションシステム４００は、ＡＴＭサーバ４１０、キーパッド４３０を備えるＡＴＭデバイス４２０、ＩＳ３０、および発行者ＭＤアクセスポイントサーバ３４０を含む。ＡＴＭサーバ４１０、ＩＳ３０および発行者ＭＤアクセスポイントサーバ３４０のそれぞれは、それらと通信するメモリ９０を備えている。上述したように無制限にユーザＭＤ２１０として実現できるユーザＭＤ６０がさらに示されている。発行者ＭＤアクセスポイントサーバ３４０は、網目模様の両方向矢印で示されている顧客帯域８０経由でユーザＭＤ６０と両方向通信する。この帯域は、無線ＬＡＮまたはＩＥＥＥ８０２．１１互換接続などのＭＤデータ接続により実現できる。セキュリティ情報は、不正を防止するために有利にコンパートメント化される。

ＡＴＭサーバ４１０、ＩＳ３０および発行者ＭＤアクセスポイントサーバ３４０のそれぞれは、プロセッサを備え、かつ、上で示したように範囲を超えずに内蔵または外付けとすることができるメモリ９０と通信する。メモリ９０は、非一時的コンピュータ読み取り可能媒体を備えており、その上にＡＴＭサーバサーバ４１０、ＩＳ３０および発行者ＭＤアクセスポイントサーバサーバ３４０のそれぞれの動作のための命令が下記で説明するように格納される。メモリ９０は、さらに、必要に応じてデータの保管場所として利用することもできる。種々のメモリ９０が物理的に別個のものでなければならない要求はなく、種々のメモリ９０は、範囲を超えることなく、単一のクラウドサーバ上に実現し得る。

図４Ｂは、図４Ａのトランザクションシステム４００の動作の例示的実施形態のハイレベルフローチャートを示している。このシステムは、キーパッド４３０において物理的なカードまたはＰＩＮを提示することのないＡＴＭ４２０への安全なアクセスを提供する。かかる実施形態は、ユーザがカードの携帯を好まない場合に特に有益であり、かつ、安全でない場所で使用する場合にＰＩＮの窃取を回避するために有利である。明確にするために、ステージ間の流れは、図４Ａの帯域情報と同じ方法で表示されており、したがって顧客帯域８０内の流れは網目模様の矢印として、ＩＳ３０と発行者ＭＤアクセスポイントサーバ３４０またはＡＴＭサーバ４１０の間の流れは実線として示されている。個々のステージは、上述したように、それぞれのメモリ９０に格納されている命令に対応して実行される。１つの実施形態では、デバイス５０がＡＴＭ４２０の中に組み込まれ、かつ、プロバイダサーバ２０がウェブサーバ２０ＡではなくＡＴＭサーバ４１０に組み込まれるトランザクションシステム４００に対し、上述した図１Ｃの流れが適用できることに注意するべきである。図４Ｂのフローは、好ましくはアプリケーション６２を使用するユーザのアクティブログインを含み、かつ、そのときのみ認証が実行される（ＭＤ６０上において自動的に開始される認証ではなく）代替案フローを示している。別の実施形態では、図４Ｂのフローチャートは、システム１、１０、２００、および３００に適用される。

ステージ４０００において、ユーザは、ユーザＭＤ６０を利用して、好ましくは登録プロセスの一環としてロードされているオンボードアプリケーション６２経由で発行者ＭＤアクセスポイントサーバ３４０にアクセスする。ユーザＭＤ６０のローカルメモリ上に格納されているアプリケーション６２は、発行者ＭＤアクセスポイントサーバ３４０に対するアクセスを実行する。ログインプロセスの一環として、ユーザＭＤ６０に固有のＭＳＩＳＤＮまたはその他の識別子とすることができるユーザＭＤ６０の識別子が提供され、かつ、好ましくは位置情報およびその他の周辺機器情報がユーザＭＤ６０により提供される。ユーザＭＤ６０にリアルタイム位置識別装置が設けられていない場合、位置情報は、好ましくは三角測量によるネットワークアクセスまたは信号時間遅延計算から入手する。好ましくは、ユーザＭＤ６０と発行者ＭＤアクセスポイントサーバ３４０間の情報伝送は、セキュアソケットレイヤ（ＳＳＬ）経由である。

任意選択のステージ４０１０において、発行者ＭＤアクセスポイントサーバ３４０は、ユーザＭＤ６０に対しＳＭＳチャレンジを行う。さらに詳しくは、発行者ＭＤアクセスポイントサーバ３４０は、任意選択的に英数字コードを含むＳＭＳメッセージをユーザＭＤ６０に伝送する。任意選択のステージ４０２０において、上述したようにユーザＭＤ６０上で実行されるアプリケーションが好ましくは受け取った英数字コードを返すことよりＳＭＳチャレンジに応答する。上述のＳＭＳチャレンジおよび応答は、モバイル金融トランザクション技術の当業者により既知であるので、簡潔を尊ぶためにここではこれ以上触れないこととする。

任意選択のステージ４０１０〜４０２０におけるＳＭＳチャレンジおよび応答の正常完了の場合、または任意選択のステージ４０１０〜４０２０が行われない場合、ステージ４０３０において発行者ＭＤアクセスポイントサーバ３４０は、ユーザネームおよびパスワードの要求をユーザＭＤ６０に伝送する。ステージ４０４０において、ユーザの入力ジェスチャに対応して、ユーザＭＤ６０は、ユーザネームおよびパスワードを発行者ＭＤアクセスポイントサーバ３４０に伝送する。ユーザネームおよびパスワードは発行者ＭＤアクセスポイントサーバ３４０にすでに事前登録されているので、ステージ４０５０において受け取られたユーザネームおよびパスワードは妥当性確認され、それが発行者ＭＤアクセスポイントサーバ３４０に格納されているユーザネームおよびパスワードと一致するか確認される。

受け取られたユーザネームおよびパスワードの妥当性が確認された場合、ステージ４０６０において発行者ＭＤアクセスポイントサーバ３４０は、選択可能なトランザクションの選択範囲をユーザＭＤ６０に伝送する。１つの実施形態では、トランザクションの選択範囲の伝送および表示は、上述したユーザＭＤ６０でオンボード実行されるアプリケーション６２との連携で表示される。

ステージ４０７０において、「ＡＴＭアクセス」を選択するユーザのジェスチャに対応して、ユーザＭＤ６０は、その選択を発行者ＭＤアクセスポイントサーバ３４０に伝送する。任意選択のステージ４０８０において、ステージ４０００の位置情報に対応して、発行者ＭＤアクセスポイントサーバ３４０は、ユーザ位置および好ましくはユーザネームを含むＡＴＭ位置トランザクション要求をＩＳ３０に送るか、またはＩＳ３０経由でＡＴＭサーバ４１０に送る。

任意選択のステージ４０９０において、受け取った位置情報に対応して、ＩＳ３０は、関連ＡＴＭ識別子および好ましくはそれらの位置の一覧表を発行者ＭＤアクセスポイントサーバ３４０に送る。次にこれらは、任意選択的に発行者ＭＤアクセスポイントサーバ３４０により管理されるフォーマットでユーザＭＤ６０に転送される。別の実施形態では、ＡＴＭサーバ４１０は、関連ＡＴＭ識別子および好ましくはそれらの位置の前記一覧表をＩＳ３０経由で伝送する。

ステージ４１００において、関連ＡＴＭ識別子の任意選択の一覧表に対応して、またはＡＴＭの識別子の走査に対応して、またはユーザＭＤ６０のＣＥリーダを特定のＡＴＭに関連付けられているトランスミッタに並置することにより、特定のＡＴＭが選択される。具体的には、任意選択のステージ４０８０〜４０９０に関連して上述したように関連ＡＴＭの選択範囲がユーザＭＤ６０にすでに送られている場合、ユーザＭＤ６０の入力機器上で行われたユーザのジェスチャに対応して特定のＡＴＭが識別される。選択されたＡＴＭの識別子は、発行者ＭＤアクセスポイントサーバ３４０に伝送される。

ステージ４１１０において、選択されたＡＴＭの識別子および許可されたトランザクションの金融限度が発行者ＭＤアクセスポイントサーバ３４０によりＩＳ３０に送られる。ステージ４１２０において、ＩＳ３０は、任意選択的にワンタイムパスワード（ＯＴＰ）を生成し、次にステージ４１３０においてこの生成されたＯＴＰを、ステージ４１２０の有効期限を付して、発行者ＭＤアクセスポイントサーバ３４０経由でユーザＭＤ６０に送る。次にそれは、ユーザＭＤ６０のディスプレイデバイス上に表示される。１つの実施形態では、ＩＳ３０による生成の代わりに、発行者ＭＤアクセスポイントサーバ３４０がＯＴＰを生成し、次に、それをステージ４１１０内においてＩＳ３０に、ステージ４１３０内においてＭＤ６０に送る。ステージ４１４０において、ユーザＩＤ、ステージ４１２０の有効期限付きで任意選択的に生成されたＯＴＰおよびステージ４１１０の金融限度を含むＡＴＭアクセス要求が、許可された特定のＡＴＭの識別とともに、ＡＴＭサーバ４１０に送られる。

ステージ４１５０において、ユーザＭＤ６０のユーザは、ステージ４１３０の表示されたＯＴＰを特定のＡＴＭ４２０の入力機器４３０に入力し、次にさらに現金引き出しのような要求トランザクションに関するデータを入力する。ステージ４１６０において、特定のＡＴＭ４２０は、受け取ったＯＴＰおよびトランザクションデータをＡＴＭサービス４１０に伝送する。次にＡＴＭサーバ４１０は、ＯＴＰおよびトランザクションデータをステージ４１４０の受け取ったＯＴＰおよび金融限度と対比する。ＯＴＰの妥当性が確認された場合、すなわち、有効期間内であり、かつ、特定のＡＴＭ４２０に関連付けられており、かつ、当該トランザクションが受け取った金融限度以内である場合、ステージ４１７０において、トランザクションが許可され、かつ、ＡＴＭサーバ４１０によるユーザＭＤ６０の口座からの引き落としなどにより決済される。続いて確認がＡＴＭ４２０に伝送される。ステージ４１８０において、ＡＴＭサーバ４１０は、ＡＴＭ４２０によるトランザクションの実行の確認に対応して、トランザクション確認、すなわち、トランザクションが発生したことの確認をＩＳ３０に送る。

ステージ４１４０〜４１８０は、１つの実施形態において説明されている。この実施形態では、トランザクション承認は、ＡＴＭサーバ４１０により、受け取られたＯＴＰ、期限および金融限度に対応して行われるが、しかし、これは決して制限を意味するものではない。代替的実施形態（図示せず）では、トランザクション承認は、ＩＳ３０によりＡＴＭサーバ４１０により転送されたトランザクション情報およびＯＴＰ情報に対応して行われる。

ステージ４１９０において、ＩＳ３０は、トランザクション確認を発行者ＭＤアクセスポイントサーバ３４０に送る。次にステージ４２００において、発行者ＭＤアクセスポイントサーバ３４０は、ユーザＭＤ６０の口座からの引き落としなどにより金融トランザクションを決済する。さらに、発行者ＭＤアクセスポイントサーバ３４０は、確認メッセージをユーザＭＤ６０に伝送する。１つの実施形態では、発行者ＭＤアクセスポイントサーバ３４０は、ＡＴＭサーバ４１０の代わりに金融トランザクションをユーザＭＤ６０の口座からの引き落としなどにより決済する。他の実施形態では、ＩＳ３０が金融トランザクションを決済する。

ステージ４０５０において、受け取られたユーザネームおよびパスワードの妥当性が確認されなかった場合、またはステージ４１６０においてＯＴＰのいずれかが無効であるか、特定のＡＴＭ４２０に関連付けられていないか、またはトランザクションが受け取られた金融限度以内である場合、ステージ４２５０においてこのトランザクションは失敗に帰する。好ましくは、ＡＴＭアクセス失敗の通知は、ユーザＭＤ６０に伝送される。

上記は、ＯＴＰがＩＳ３０により生成され、ユーザＭＤ６０のユーザによりＡＴＭ４２０の識別目的のために利用される実施形態において説明された。しかし、これは、決して制限を意味するものではない。別の方法として、範囲を超えることなく、画像検証も図１Ｄに関連して上述したように、または図１Ｆ〜１Ｇに関連して上述したように、利用することができる。

図５Ａは、チェックポイント５１０と通信するように示されているユーザＭＤ５００のハイレベルアーキテクチャを示している。具体的には、ＭＤ５００は、ＭＤアプリケーションプロセッサ５２０、ＭＤメモリ５３０、ＮＦＣコントローラ５６０、およびＵＳＤ５４０をもつＳＥ５５０を含んでいる。ＵＳＤ５４０は、ＳＥ５５０の一部であり、したがって以下において詳述するようにアクセスは安全な鍵を必要とする。１つの例示的実施形態では、ＵＳＤ５４０は、ＳＥ５５０上の複数のセキュリティドメインの１つである。別の実施形態では、複数のＳＥ５５０が設けられ、それらの複数のＳＥ５５０の１つがＵＳＤ５４０を含んでいる。アプリケーションプロセッサ５２０は、以下において詳述するように、ＵＳＤ５４０、ＮＦＣコントローラ５６０およびメモリ５３０のそれぞれと両方向通信する。

ＵＳＤ５４０は、安全が保証されたＩＤ１保管機能５７０、安全が保証されたＩＤ２ＰＲＮ生成機能５８０、安全が保証されたＩＤ３ＰＲＮ生成機能５９０、安全が保証された鍵保管庫６００、ＵＳＤ制御回路６２０、メモリ６３０、エンコーダ／デコーダ機能６４０、検証機能６５０、デジタル署名機能６６０、およびファイヤーウォール機能６７０を含む。メモリ６３０はＵＳＤ５４０内に存在するものとして示されているが、しかし、これは決して制限を意味するものではない。別の実施形態では、メモリ６３０は、ＳＥ５５０上に存在し、ＵＳＤ制御回路６２０と通信する。この場合、暗号化されたデータのみメモリ６３０に格納されるように構成される。

安全が保証されたＩＤ２ＰＲＮ生成機能５８０は、ＮＦＣ関連ＩＤ２ＰＲＮ生成機能５８２およびＭＤ関連ＩＤ２ＰＲＮ生成機能５８６を含んでいる（これらは、単一のＰＲＮ生成機能の２つの機能として実現してもよい）。安全が保証されたＩＤ３保管機能５９０は、ＮＦＣ関連ＩＤ３ＰＲＮ生成機能５９２およびＭＤ関連ＩＤ３ＰＲＮ生成機能５９６を含んでいる（これらは、単一のＰＲＮ生成機能の２つの機能として実現してもよい）。ＮＦＣ関連ＩＤ２ＰＲＮ生成機能５８２、ＭＤ関連ＩＤ２ＰＲＮ生成機能５８６、ＮＦＣ関連ＩＤ３ＰＲＮ生成機能５９２およびＭＤ関連ＩＤ３ＰＲＮ生成機能５９６のそれぞれは、安全が保証された鍵保管庫６００に安全に格納されている１つ以上の鍵に対応して疑似乱数を生成するように構成されている。

ＩＤ１機能５７０、ＩＤ２機能５８０、ＩＤ３機能５９０、安全が保証された鍵保管庫６００、メモリ６３０、エンコーダ／デコーダ機能６４０、検証機能６５０、デジタル署名機能６６０およびファイヤーウォール機能６７０は、ＵＳＤ制御回路６２０と通信し、かつ、それに対応する。ＵＳＤ５４０、具体的にはＵＳＤ制御回路６２０は、以下においてさらに詳しく述べるようにＭＤアプリケーションプロセッサ５２０およびＮＦＣコントローラ５６０のそれぞれと両方向通信する。有利なように、ＵＳＤ制御回路６２０およびその他のＵＳＤ５４０機能は、本出願において述べる場合を除き、ＭＤアプリケーションプロセッサ５２０からのコマンドに一般的に対応せず、それによりＵＳＤ５４０がＳＥアプリケーションの定義を満たすようにしている。

チェックポイント５１０は、ＮＦＣ通信インターフェース５１５を含み、かつ、ＮＦＣコントローラ５６０に並置されたとき、それと短波電波通信するように構成されている。

エンコーダ／デコーダ機能６４０は、安全が保証された鍵保管庫６００に格納されている１つ以上の鍵に対応し、かつ、制御６２０から受け取ったコマンドに対応して、データをエンコードし、かつ、ＵＳＤ制御回路６２０から受け取ったデータをデコードするように構成されている。エンコーダ／デコーダ機能６４０は、さらに、暗号化されたデータをＵＳＤ制御回路６２０に返すように構成されている。ＵＳＤ制御回路６２０は、ＭＤアプリケーションプロセッサ５２０およびＮＦＣコントローラ５６０からデータを受け取り、かつ、受け取ったデータを必要に対応してエンコードまたはデコードのためにエンコーダ／デコーダ機能６４０に送ることができる。したがって、１つの実施形態では、データは、ＭＤアプリケーションプロセッサ５２０から読み取られ、エンコーダ／デコーダ機能６４０によりエンコードされ、送出またはＭＤメモリ５３０における格納のためにＭＤアプリケーションプロセッサ５２０に返される。別の実施形態では、チェックポイント５１０がＮＦＣコントローラ５６０に並置されたとき、暗号化されたデータはチェックポイント５１０などへのＮＦＣ応用通信のためＮＦＣコントローラ５６０に差し向けられる。

エンコーダ／デコーダ機能６４０は、さらに、ＵＳＤ制御回路６２０に対応し、安全が保証された鍵保管庫６００に安全に格納されている１つ以上の鍵に対応してデータをデコードするように構成される。デコードされたデータは、ＵＳＤ制御回路６２０によりメモリ６３０に格納され、安全が保証された鍵保管庫６００に格納されているキーを更新するために利用され、好ましくはＭＤメモリ５３０における保管のため、またはＮＦＣコントローラ５６０経由の出力送信のためにＭＤアプリケーションプロセッサ５２０に送られ得る。

検証機能６５０は、無制限に、ＰＩＮ、パスワード、ユーザ質問、ユーザジェスチャ、絵柄または音響の１つ以上を含む１つ以上の検証暗証番号のいずれかを検証するように構成されている。検証機能６５０は、任意選択的に検証情報の格納のためにメモリ６３０を利用する。また、検証機能は、任意選択的に安全が保証された鍵保管庫６００と通信する。それは、この保管庫に格納された１つ以上の鍵に対応して検証を行い得る。１つの実施形態では、ＰＩＮ検証値（ＰＶＶ）をメモリ６３０に格納することが好ましい。かかる実施形態では、検証機能６５０は、格納されているＰＶＶに対応して受け取ったＰＩＮを検証するように構成される。１つの例示的実施形態では、受け取られたＰＩＮ入力に対応して、ＵＳＤ制御回路６２０は、受け取ったＰＩＮ入力を検証機能６５０に送る。検証機能は、さらに、検証情報、好ましくはＰＶＶを読み出す。検証機能６５０は、受け取ったＰＩＮの真正性を受け取った検証情報に対応して検証し、検証に対応する値をもつＰＩＮ検証結果を出力するように構成される。ＰＩＮが検証された場合、ＵＳＤ制御回路６２０は、検証機能６５０から受け取ったＰＩＮ検証信号の正値に対応してＰＩＮ検証表示をＭＤアプリケーションプロセッサ５２０に出力するように構成される。ＵＳＤ制御回路６２０は、さらに、検証機能６５０から受け取ったＰＩＮ検証信号の負値に対応してＰＩＮ非検証表示をＭＤアプリケーションプロセッサ５２０に出力するように構成される。任意選択的に、ＵＳＤ制御回路６２０は、さらに、所定期間内の複数の連続負値ＰＩＮ検証信号に対応するさらなるＰＩＮ入力要求を無視するように構成される。

デジタル署名機能６６０は、ＵＳＤ制御回路６２０に対応し、データを受け取り、かつ、安全が保証された鍵保管庫６００に安全に格納されている１つ以上の鍵に対応してデジタル的に署名したその受け取ったデータを返すように構成される。好ましくはユーザにより否定されないであろうトランザクションに関して、デジタル署名がユーザまたはサービスプロバイダにより要求される場合に、デジタル署名機能６６０は有利である。１つの実施形態では、デジタル署名機能６６０は、安全が保証された鍵保管庫６００に格納されている鍵をもつ秘密／公開鍵署名システムと連携してデジタル署名を与えるように構成される。

ファイヤーウォール機能６７０は、受け取ったデータをＵＳＤ制御回路６２０に対応して検査し、かつ、各メッセージの以降の取り扱いを決定するように構成される。１つの実施形態では、以下においてさらに説明するように、ＮＦＣコントローラ５６０から受け取られるデータはファイヤーウォール機能６７０によりカプセル化され、ＭＤアプリケーションプロセッサ５２０による無線送信のためにカプセル化された形態でＭＤアプリケーションプロセッサ５２０に転送される。かかる実施形態は、上述したＩＳ３０またはＭＤサーバ４０などのサーバへの送信のためのデータのＮＦＣコントローラ５６０による受領を感染の危険なしに可能にする。かかる実施形態では、ＩＳ３０またはＭＤサーバ４０は、ＭＤアプリケーションプロセッサ５２０をＮＦＣコントローラ５６０経由で受け取られるワーム、ウィルスまたはその他の好ましくないコードの危険にさらすことなく、データをカプセルから取り出し、その真正性を検証するように構成される。別の実施形態では、ファイヤーウォール機能６７０は、受け取ったデータまたはその特定の部分をエンコーダ／デコーダ機能６４０の利用によりエンコードするように構成される。ＵＳＤ制御回路６２０は、次に部分的に暗号化されたデータをＭＤアプリケーションプロセッサ５２０に送る。かかる実施形態は、チケットまたはクーポンなどのユーザ資格情報のＮＦＣコントローラ５６０によるチェックポイント５１０からの読み取りおよびそれらのＭＤアプリケーションプロセッサ５２０のメモリ５３０への安全な格納のために有益である。これにより、エンコードされた資格情報は、後にデコードされ、安全に商品と引き換えられ得る。格納された資格情報、チケットまたはクーポンのデコードは、ＵＳＤ５４０により安全が保証されたそれの鍵保管庫６００に格納されている特定の鍵に対応して行われ得るのみであるからである。別の実施形態では、ファイヤーウォール機能６７０は、受け取ったデータをメモリ６３０に格納することができる。別の実施形態では、ファイヤーウォール機能６７０は、以下で述べるように、ＩＤ２またはＩＤ３の要求に対し、対応するＭＰＲＮ１またはＰＰＲＮ１により応答することができる。別の実施形態では、ファイヤーウォール機能６７０は、一定のデータパラメータに対応して、どのようなデータであれ受け取ったデータを修正せず、それを以降の取り扱いのためにＭＤアプリケーションプロセッサ５２０に転送することができる。

動作において、以下においてさらに詳しく説明するように、安全が保証されたＩＤ１保管機能５７０は、ＭＤアプリケーションプロセッサ５２０からまたはＮＦＣ通信インターフェース５６０経由でチェックポイント５１０から受け取った識別要求に、本出願においてＩＤ１として表記される識別情報により応答するように構成される。要求に応じてＭＤアプリケーションプロセッサ５２０に送られるＩＤ１は、ＩＤ１−２として表示される。要求に応じてチェックポイント５１０に送られ、ＮＦＣ通信インターフェース５６０経由で受け取られるＩＤ１は、ＩＤ１−１として表示される。ＩＤ１−１またはＩＤ１−２は、それぞれ、ユーザの安全対策未実施ＩＤとして使用されるように構成され、好ましくはＭＳＩＳＤＮまたはＩＳ３０のようなトランザクションサーバによりアドレスに変換可能なその他の識別子などのユーザＭＤ５００のアドレスを含む。安全が保証されたＩＤ１保管機能５７０は、ＭＤアプリケーションプロセッサ５２０により読み取られるように構成される。安全が保証されたＩＤ１保管機能５７０は、任意選択的に独立に動作するように構成される。または代替案として安全が保証されたＩＤ１保管機能５７０は、無制限にＵＳＤ制御回路６２０に対応するように構成することもできる。したがって図示のように、ＭＤアプリケーションプロセッサ５２０またはＮＦＣコントローラ５６０は、要求ＩＤ１を安全が保証されたＩＤ１保管機能５７０に送り、かつ、それに応じて、対応するＩＤ１を含む応答を受信し得る。

ＮＦＣ関連ＩＤ２ＰＲＮ生成機能５８２は、ＮＦＣコントローラ５６０と通信し、かつ、ＩＤ２すなわちマシン生成ＰＲＮ（ＭＰＲＮ１として表示される）の要求に応じて安全が保証された鍵保管庫６００に格納されている１つ以上の鍵に対応するＰＲＮを生成し、かつ、生成されたＭＰＲＮで応答するように構成される。有利に、安全が保証された鍵保管庫６００に保管される鍵は、ＩＳ３０またはＭＤサーバ４０に事前登録され、かつ、ＭＰＲＮ１の真正性を検証するためにＩＳ３０またはＭＤサーバ４０としてのサーバにより解読可能である。ＭＤアプリケーションプロセッサ５２０は、ＮＦＣ関連ＩＤ２ＰＲＮ生成機能５８２からＭＰＲＮ１を取得できないことが好ましいことに注意する。任意選択的に、ＮＦＣ関連ＩＤ２ＰＲＮ生成機能５８２は、無許可のＭＰＲＮ１の発行を防止するためにＭＤアプリケーションプロセッサ５２０に対応して機能停止させることができる。ＮＦＣ関連ＩＤ２ＰＲＮ生成機能５８２は、任意選択的に独立して動作するように構成される。または代替案として、ＮＦＣ関連ＩＤ２ＰＲＮ生成機能５８２は、無制限にＵＳＤ制御回路６２０に対応するように構成することもできる。

ＭＤ関連ＩＤ２ＰＲＮ生成機能５８６は、ＭＤアプリケーションプロセッサ５２０と通信し、かつ、かつ、マシン生成ＰＲＮ（ＭＰＲＮ２として表示される）の要求に対応して安全が保証された鍵保管庫６００に格納されている１つ以上の鍵に対応するＰＲＮを生成し、かつ、生成されたＭＰＲＮ２で応答するように構成される。１つの実施形態では、かかる要求は、安全にエンコードされた要求を必要とする。有利に、安全が保証された鍵保管庫６００に保管される鍵は、ＩＳ３０またはＭＤサーバ４０としてのサーバに事前登録され、かつ、ＭＰＲＮ２の真正性を検証するためにＩＳ３０またはＭＤサーバ４０により解読可能である。ＭＰＲＮ２はＭＰＲＮ１から区別されることが好ましい。それらは、範囲を超えることなく、安全が保証された鍵保管庫６００に保管されている異なる鍵によりエンコードされ得る。ＭＤ関連ＩＤ２ＰＲＮ生成機能５８６は、任意選択的に独立して動作するように構成される。または代替案として、ＭＤ関連ＩＤ２ＰＲＮ生成機能５８６は、無制限にＵＳＤ制御回路６２０に対応するように構成することもできる。ＭＰＲＮ１およびＭＰＲＮ２は、ともにＩＤ２として表記されることに注意する

ＮＦＣ関連ＩＤ３ＰＲＮ生成機能５９２は、ＮＦＣコントローラ５６０と通信し、かつ、以下においてさらに説明するようにＭＤアプリケーションプロセッサ５２０または安全が保証されたキーパッドから提供されるＰＩＮに対応して、安全が保証された鍵保管庫６００に格納されている１つ以上の鍵に対応するＰＲＮを生成し、かつ、ＰＰＲＮ１として表示される生成されたＰＩＮサポートＰＲＮにより応答するように構成される。１つの実施形態では、ＰＩＮが検証機能６５０により最初に検証される。この検証機能は、１つの実施形態では、ＰＶＶを決定するように構成される。また、ＰＰＲＮ１の生成および／または出力は、該当ＰＩＮ検証の成否に対応する。この実施形態では、そのような適切なＰＶＶまたは期待されるＰＩＮ値が存在しない場合、ＰＰＲＮ１は、ＮＦＣコントローラ５６０に出力されない。別の実施形態では、ユーザの入力したＰＩＮは、ＵＳＤ５４０によりエンコードされ、かつ、ＰＰＲＮ１の一部である。また、この実施形態では検証機能６５０は利用されない。有利に、かつ、上述したように、安全が保証された鍵保管庫６００に格納されている鍵は、ＩＳ３０またはＭＤサーバ４０のようなサーバに事前登録され、かつ、ＰＰＲＮ１の真正性を検証するためにＩＳ３０またはＭＤサーバ４０により解読可能である。ＭＤアプリケーションプロセッサ５２０は、ＮＦＣ関連ＩＤ３ＰＲＮ生成機能５９２からＰＰＲＮ１を取得できないことが好ましいことに注意する。ＭＤアプリケーションプロセッサ５２０または安全が保証されたキーパッド５２５、またはその他の安全が保証された周辺機器から与えられたＰＩＮが存在しない場合、以下の図５Ｂにおいて述べるように、ＮＦＣ関連ＩＤ３ＰＲＮ生成機能５９２は、ＰＰＲＮ１を生成しないこと、およびエラー応答がＮＦＣコントローラ５６０に返され得ることに注意する。ＩＤ３は、さらに、ＰＰＲＮ１をチェックポイント５１０にＮＦＣコントローラ５６０経由で出力するように動作する。ＮＦＣ関連ＩＤ３ＰＲＮ生成機能５９２は、任意選択的に独立に動作するように構成される。または代替案としてＮＦＣ関連ＩＤ３ＰＲＮ生成機能５９２は、無制限にＵＳＤ制御回路６２０に対応するように構成され得る。

ＭＤ関連ＩＤ３ＰＲＮ生成機能５９６は、ＭＤアプリケーションプロセッサ５２０と通信し、かつ、ＰＩＮサポートＰＲＮ（ＰＰＲＮ２として表示される）の要求に対応して、安全が保証された鍵保管庫６００に格納されている１つ以上の鍵およびＭＤアプリケーションプロセッサ５２０から、または安全が保証されたキーパッド５２５から、または以下において述べるようにその他の周辺機器から受け取ったＰＩＮに対応するＰＲＮを生成し、かつ、生成されたＰＰＲＮ２により応答するように構成される。１つの実施形態では、かかる要求は、安全にエンコードされた要求を必要とする。有利に、かつ、上述したように、安全が保証された鍵保管庫６００に格納されている鍵は、ＩＳ３０またはＭＤサーバ４０のようなサーバに事前登録され、かつ、ＰＰＲＮ２の真正性を検証するためにＩＳ３０またはＭＤサーバ４０により解読可能である。ＰＰＲＮ２はＰＰＲＮ１から区別されることが好ましい。それらは、範囲を超えることなく、安全が保証された鍵保管庫６００に保管されている異なる鍵によりエンコードされ得る。ＭＤ関連ＩＤ３ＰＲＮ生成機能５９６は、任意選択的に独立に動作するように構成される。または代替案としてＭＤ関連ＩＤ３ＰＲＮ生成機能５９６は、無制限にＵＳＤ制御回路６２０に対応するように構成することもできる。１つの実施形態では、ユーザの入力したＰＩＮは、ＵＳＤ５４０によりエンコードされ、かつ、ＰＰＲＮ２の一部であり、また、検証機能６５０は利用されない。ＰＰＲＮ１およびＰＰＲＮ２は、ともにＩＤ３として表記される。

図５Ｂは、ユーザＭＤ５００の実施形態のハイレベルブロック図であり、さらなる詳細を示している。具体的には、ユーザＭＤ５００は、ディスプレイデバイス７９０、ディスプレイデバイス７９０と通信するＭＤアプリケーションプロセッサ５２０、任意選択的にディスプレイデバイス７９０と通信するＳＥ５５０、ＮＦＣコントローラ５６０、周辺機器５２８、安全が保証されたキーパッド５２５、キーパッド５２６、セキュリティ管理５２７、およびインジケータ５３１を含む。周辺機器５２８の第１の出力は、アプリケーションプロセッサ５２０に接続され、また、周辺機器５２８の第２の出力は、セキュリティ管理５２７の入力に接続される。キーパッド５２６は、セキュリティ管理５２７の入力に接続されている。セキュリティ管理５２７の第１の出力は、ＵＳＤ５４０に接続され、セキュリティ管理５２７の第２の出力は、アプリケーションプロセッサ５２０に接続され、また、セキュリティ管理５２７の第３の出力は、インジケータ５３１に接続される。安全が保証されたキーパッド５２５の出力は、ＵＳＤ５４０に接続される。用語、キーパッドは、物理的キーパッドに限られない。具体的には、無制限にタッチ画面を含む任意のデータ入力機器を意味する。

ＭＤアプリケーションプロセッサ５２０は、ブラウザ機能、マン／マシンインターフェース（ＭＭＩ）、モデム７８２、ｍｉｄｌｅｔ７８５、ＪＳＲ２５７などの非接触通信アプリケーションプログラムインターフェース（ＡＰＩ）およびＪＳＲ１７７などのセキュリティ信頼サービスＡＰＩを含んでいる。モデムはＭＤアプリケーションプロセッサ５２０の一部として示されているが、これは決して制限を意味するものではなく、モデムは、範囲を超えることなくＭＤアプリケーションプロセッサの外付けとすることができる。

ＳＥ５５０は、任意選択のセキュアカードウェブサーバ（ＳＣＷＳ）、任意選択のＳＩＭツールキット（ＳＴＫ）プロアクティブ通信機能、任意選択のＭＮＯ安全保証ドメインアプリケーション、および任意選択のその他の安全保証ドメインアプリケーション（それは、１つ以上のクレジットまたはデビットカードの安全保証ドメインを表し得る）、上述のＵＳＤ５４０、およびＮＦＣＡＰＩを含む。

ＮＦＣコントローラ５６０は、他のＮＦＣデバイス（図示せず）との通信のためのピアツーピア通信インターフェース、ＮＦＣポスタ／タグ（図示せず）などのデバイスと連携して使用するための読取／書込インターフェースおよびチェックポイント５１０（図示せず）を併用するためのカードエミュレーションインターフェース（店頭システムで実現され得る）を含む。

ブラウザ機能は、ＭＭＩおよびＳＣＷＳと通信する。ｍｉｄｌｅｔ７８５は、モデム７８２、ＭＭＩ、ＪＳＲ１７７およびＪＳＲ２５７のそれぞれと通信する。ＪＳＲ２５７は、ＮＦＣコントローラ５６０と通信する。ＳＴＫプロアクティブ通信機能は、モデム７８２と通信する。ＮＦＣＡＰＩは、ＮＦＣコントローラ５６０と通信する。

周辺機器５２８は、無制限にＢｌｕｅｔｏｏｔｈ受信器／送信器、ＧＰＳ受信器またはＭＤアプリケーションプロセッサ５２０の外付けモデム７８２とすることができる。１つの実施形態では、周辺機器５２８は、ＭＤ５００に関するリアルタイム位置情報などの情報を与える。周辺機器５２８は、ＭＤアプリケーションプロセッサ５２０およびセキュリティ管理５２７と通信する。

キーパッド５２６は、無制限に物理的キーパッドまたはタッチ画面またはその他の画面に現れる仮想キーパッドとすることができ、かつ、セキュリティ管理５２７と通信する。１つの実施形態では、示されていないが、安全が保証されたキーパッド５２６は、ＭＤアプリケーションプロセッサ５２０と直接通信する。それは、安全対策未実施入力として一般的に利用できる。１つの実施形態では、安全が保証されたキーパッド５２５またはキーパッド５２６は、無制限に、その入力が「あなたが知っていること」または「あなたがだれであるか」認証要因要素として使用できる指紋読取器などの任意の周辺機器である。安全が保証されたキーパッド５２５は、ＳＥ５５０と直接通信し、かつ、具体的にはＵＳＤ５４０に、好ましくは図５Ａに関連して上述したようにＵＳＤ制御回路６２０に接続される。インジケータは、無制限に、セキュリティ管理５２７の状態をユーザに表示するように構成されたＬＥＤなどの視覚インジケータとすることができる。具体的には、キーパッド５２６がＵＳＤ５４０に接続されていること、すなわちキーパッド５２６がセキュリティモードにあることをインジケータ５３１が表示しているときのみ、安全が保証されたユーザ入力が実行されるようにしている。インジケータ５３１は、セキュリティ管理５２７と通信するように示されているが、しかし、これは決して制限を意味せず、代替的実施形態では表示５３１はＳＥ５５０と通信する。

周辺機器５２８、キーパッド５２６および安全が保証されたキーパッド５２５は、すべて、ＩＤをもつ周辺機器であり、トランザクションまたは接続認証の流れの一部とすることができるその他の有益なセキュリティ情報を入力し得る。悪意あるソフトウェアを含む恐れのあるＭＤプロセッサ５２０による修正を許容することなく、周辺機器５２８および／またはキーパッド５２６からＵＳＤ５４０へ入力を送ることは、トランザクションのセキュリティを高める。上述したように、ＳＥ５５０および具体的にはＵＳＤ５４０は、前記周辺機器５２８およびキーパッド５２６からの改ざんされていない入力をもつ受け取った情報をＭＤサーバ４０またはＩＳ３０のようなサーバのみにより正常に解読され得るメッセージに暗号化するように構成される。好ましくは次の安全が保証された３つの認証要因、「あなたがもっているもの」、「あなたが知っていること」、「あなたがいる場所」から結果を得ることにより、高いセキュリティが達成される。図６Ｂ〜６Ｄは、安全が保証された情報を周辺機器５２８およびキーパッド５２６からＳＥ５５０へ安全な方法により送出することを含む方法の実施形態のハイレベルフローチャートである。

動作において、範囲を超えることなくハードウェアまたはソフトウェアのスイッチとして実現できるセキュリティ管理５２７は、キーパッド５２６の出力をＭＤアプリケーションプロセッサ５２０（接続５３２経由）およびＳＥ５５０（接続５３３経由）のいずれかに結合するように構成される。キーパッド５２６がＳＥ５５０に結合されている場合（セキュリティ管理５２７はセキュリティモードとして表示されている）、ＭＤアプリケーションプロセッサ５２０上に常駐するキーロギングソフトウェアまたはその他の悪意あるソフトウェアは、ＰＩＮまたはセキュリティ質問応答のようなユーザの知っている安全な情報のコピーまたは改ざんに失敗する。これらの情報は、ＳＥ５５０に差し向けられ、ＭＤアプリケーションプロセッサ５２０により見られないからである。セキュリティ管理５２７は、ＳＥ５５０によりまたはＭＤアプリケーションプロセッサ５２０によりセキュリティモードに設定され得る（簡明を期するために接続は図示せず）。周辺機器５２８は、ＭＤアプリケーションプロセッサ５２０と直接接続するように示されている。セキュリティ管理５２７がセキュリティモードに設定されている場合、周辺機器５２８の出力は、セキュリティ管理５２７によりＳＥ５５０に対し、ＭＤアプリケーションプロセッサ５２０への上記直接接続と同時に与えられる。代替案では（図示せず）、周辺機器５２８とＭＤアプリケーションプロセッサ５２０間の直接接続は設けず、かつ、キーパッド５２６に関連して上述したように、セキュリティ管理５２７は、周辺機器５２８による情報出力をＭＤアプリケーションプロセッサ５２０とＳＥ５５０のいずれかに与えるように構成する。

接続５３２は、無制限に物理的接続ラインにより実現できる両方向接続とすることが好ましい。接続５３２は、セキュリティ管理５２７からの安全対策未実施情報（それは、無制限に、直接ユーザ入力、アスタリスクのような入力されたユーザ入力の表示またはその他の安全対策未実施情報でよい）をＭＤアプリケーションプロセッサ５２０に送る。

接続５３３は、無制限に物理的接続ラインにより実現できる両方向接続である。接続５３３は、セキュリティ管理５２７からの情報をＳＥ５５０に、具体的にはＵＳＤ５４０に送り、それにより情報の安全が確保され、かつ、ＭＤアプリケーションプロセッサ５２０の悪意あるソフトウェアに漏れないようにする。送られる情報は、無制限にキーパッド５２６からの直接ユーザ入力、周辺機器５２８により生成された情報またはその他の安全が保証された情報とすることができる。

１つの実施形態では、安全が保証されたキーパッド５２５は、ＳＥ５５０に接続されるハードウェア入力として設けられる。かかる安全が保証されたキーパッド５２５は、セキュリティ管理５２７と無関係に、ＰＩＮまたはその他のセキュリティ情報のＳＥ５５０への直接入力を可能にする。

別の実施形態では、ＳＥ５５０にディスプレイ７９０への接続が設けられ、任意選択的にビデオオーバレイを使用する。かかる接続は、現在のトランザクションまたはＳＥ５５０の状態を、ＭＤアプリケーションプロセッサ５２０による操作を受けることなく、安全にユーザに提示するために使用され得る。表示５３１は、さらに、ＳＥ５５０の出力に対応して、表示された情報の真正性をユーザに表示するように構成し得る。

ｍｉｄｌｅｔ機能７８５は、ＭＤアプリケーションプロセッサ５２０上で実行されるアプリケーションに、ＳＥ５５０および具体的にはＵＳＤ５４０への格納およびアクセスを与えるために、ＩＳ３０との通信を制御する機能を与える。ｍｉｄｌｅｔ７８５は、無制限に任意の種類のアプリケーションまたはソフトウェア要素として実現し得る。信頼できる第三者サーバ（図示せず）およびＭＮＯサーバ（図示せず）のそれぞれは、当業者に知られているように、それら自身のｍｉｄｌｅｔ又はＡＰＩを利用してＳＥ５５０のそれぞれの部分にアクセスするか、または単一のｍｉｄｌｅｔ７８５をＵＳＤ５４０と共用することができる。ｍｉｄｌｅｔ７８５は、さらに、以下においてさらに説明するように、オフライン動作で使用する一定の鍵を格納する。これらの鍵は、メモリ５３０に格納される。ｍｉｄｌｅｔ７８５は、さらにＩＳ３０またはＭＤサーバ４０により使用されるハードウェア指紋（ＨＦＰ）およびアプリケーション指紋（ＡＦＰ）を含むクッキーも格納することが好ましい。通信に先立ち、ｍｉｄｌｅｔ７８５は、任意選択的に、さらにユーザＭＤ５００のオンボードＧＰＳアプリケーション（図示せず）から、または周辺機器５２８から読み出した現在の位置情報および上述したＩＤ１を追加することができる。

モデム７８２は、ＭＤアプリケーションプロセッサ５２０との間の両方向無線通信および／またはＳＥ５５０からＩＳ３０、信用できる第三者サーバ（図示せず）またはＭＮＯサーバ（図示せず）などのサーバへのＳＴＫプロアクティブ通信を与える。ＩＳ３０、信用できる第三者サーバおよびＭＮＯサーバのすべてが設けられなければならないという要求条件はない。

システム周辺機器セキュリティがセキュリティ管理５２７により得られるので、ＭＤ５００は、既存の安全対策未実施の周辺機器５２８およびキーパッド５２６を有利に利用することができる。

図５ＣはユーザＭＤ５００の代替的実施形態のハイレベルブロック図であるが、ある程度の詳細を示している。図５ＣのＭＤ５００は、すべての点に関して、以下の記述を除き、図５Ｂと同様である。

具体的には、セキュリティ管理５２７は、それぞれ周辺機器５２８およびキーパッド５２６から構成される別々のコントローラとして実現される。したがって、キーパッド５２６および各周辺機器５２８に関連付けられるセキュリティ管理５２７は、上述のように、ＭＤアプリケーションプロセッサ５２０およびＳＥ５５０のそれぞれへの出力接続を備えている。インジケータ５３１は、キーパッド５２６に接続され、それにより起動されるが、多数のキーパッド５２６が存在する場合には、種々のキーパッド５２６のいずれか１つのセキュリティ管理５２７により起動され得ることが好ましい。接続５３２は、各周辺機器５２８および各キーパッド５２６をＭＤアプリケーションプロセッサ５２０に接続するが、安全対策未実施情報のみを運ぶことが好ましい。接続５３３は、各周辺機器５２８および各キーパッド５２６をＳＥ５５０に接続するが、好ましくは、それぞれのセキュリティ管理５２７の設定に対応して安全な情報を転送する。したがって、安全は、セキュリティ管理５２７がセキュリティ起動設定に設定されている場合にＭＤアプリケーションプロセッサの入力情報へのアクセスを阻止するセキュリティ管理５２７の具備により確保される。セキュリティ管理５２７のそれぞれは、ＭＤアプリケーションプロセッサ５２０により、または１つの実施形態ではＳＥ５５０により個別にセキュリティモードに設定することができる。

図５ＣのＭＤ５００の設計は、既存周辺機器５２８およびキーパッド５２６を利用することができ、新しい構成要素を必要としないので、ＭＤ５００のオンボード構成要素の個数および空間に関して経済的である。既存先行技術周辺機器５２８およびキーパッド５２６の一部は、セキュリティ管理５２７ならびにＳＥ５５０への接続５３３およびＭＤアプリケーションプロセッサ５２０への接続５３２という二重の接続をサポートするためにアップグレードを必要とするであろう。

１つの代替的実施形態では、周辺機器５２８は、セキュリティ管理５２７の設定に関係なく、接続５３２経由で出力情報をＭＤアプリケーションプロセッサ５２０に与える。セキュリティ管理５２７は、起動されている場合、周辺機器５２８から出力される情報をＳＥ５５０に同時に与える。

図５ＤはユーザＭＤ５００の代替的実施形態のハイレベルブロック図であるが、ある程度の詳細を示している。図５ＤのＭＤ５００は、すべての点に関して、以下の記述を除き、図５Ｂと同様である。

具体的には、セキュリティ管理５２７は、安全が保証された暗号化鍵５２３を含み、かつ、周辺機器５２８、キーパッド５２６、ＭＤアプリケーションプロセッサ５２０、インジケータ５３１および安全保証モード起動鍵５２９と通信する。キーパッド５２６の出力は、セキュリティ管理５２７がセキュリティモードに設定されている場合、安全が保証された暗号化鍵５２３に対応して暗号化される。セキュリティ管理５２７がセキュリティモードに設定されていない場合には、キーパッド５２６の出力は暗号化されない。同様に、周辺機器５２８の出力は、セキュリティ管理５２７がセキュリティモードに設定されている場合、安全が保証された暗号化鍵５２３に対応して暗号化される。セキュリティ管理５２７がセキュリティモードに設定されていない場合には、周辺機器５２８の出力は暗号化されない。任意選択的に、図示のように、周辺機器５２８の出力は、さらに、セキュリティ管理５２７の設定に関係なく、暗号化されない方法でＭＤアプリケーションプロセッサ５２０に与えられる。したがって、セキュリティ管理５２７がセキュリティモードにある場合、ＭＤアプリケーションプロセッサ５２０は、周辺機器５２８から出力情報を暗号化されない方法により受け取る。これと同時に、周辺機器５２８からの出力情報は、セキュリティ管理５２７に供給される。セキュリティ管理５２７は与えられた情報を暗号化し、周辺機器５２８からの暗号化情報を、暗号化されていない情報と並列に、ＭＤアプリケーションプロセッサ５２０に与える。セキュリティ管理５２７の出力は、ＭＤアプリケーションプロセッサ５２０の入力に接続され、ＳＥ５５０への接続は設けられない。暗号化のために、ＭＤアプリケーションプロセッサ５２０は、受け取った入力を解読できず、受け取った入力を解読および任意選択の検証のためにＳＥ５５０、具体的にはＵＳＤ５４０に転送する。ＳＥ５５０への安全が保証された代替入力は、上述したように安全が保証されたキーパッド５２５により与えられる。

安全が保証された暗号化鍵５２３は、無制限に、ＭＤサーバ４０のようなサーバまたはＳＥ５５０と、または両方と同期する。セキュリティ管理５２７は、リプレイ攻撃から保護するために、任意選択的にクロック入力または受け取ったトークンを使用することにより時間依存の安全が保証された情報を与えるように構成することが好ましい。キーパッド５２６からの安全が保証された暗号化情報は、ユーザがＰＩＮコードの入力を完了したときなどの入力ステージ終了後に、ＭＤアプリケーションプロセッサ５２０に送ることが好ましい。ＭＤアプリケーションプロセッサ５２０は、要求されたＰＩＮの開始時にセキュリティ管理５２７をセキュリティモードに設定し（インジケータ５３１により検証される）、セキュリティ入力の終了時にセキュリティ管理５２７を安全対策非実施モードに設定する。代替的に、安全保証モード起動鍵５２９を利用してＭＤアプリケーションプロセッサ５２０を無視し、それによりユーザがＭＤアプリケーションプロセッサ５２０の状態に関係なく安全が保証された入力を強制することを可能にすることもできる。

安全保証モード起動鍵５２９は、さらに、無制限に図５Ｂおよび図５Ｃの実施形態に適用できる。安全保証モード起動鍵５２９は、設けられている場合に図５Ｂおよび図５Ｃの実施形態と連携して、図５ＤのＭＤアプリケーションプロセッサ５２０経由または直接のＵＳＤ５４０への安全が保証されたキーパッド５２６安全保証情報送出を開始する。セキュリティモード起動鍵５２９は、さらにＵＳＤ５４０への安全が保証されたキーパッド５２６安全情報転送を終了するように構成することが好ましい。安全保証モード起動鍵５２９の押し下げまたは起動は、キーパッド５２６からの受け取った安全が保証されたデータがセキュリティ管理５２７により暗号鍵５２３を使用して暗号化され、それにより暗号化された入力のみＭＤアプリケーションプロセッサ５２０において受け取れられることを保証する。

セキュリティ管理５２７によりシステム周辺セキュリティが達成されるので、ＭＤ５００は、先行技術の安全対策未実施の周辺機器５２８およびキーパッド５２６を利用することができる。さらに、ＭＤ５００は、特に安全が保証されたキーパッド５２５およびディスプレイデバイス７９０への直接接続が実現されない場合、既存ＳＥ５５０の構成要素を利用することができる。ＳＥ５５０のハードウェア接続は、すべての点に関して、先行技術のＳＥ５５０の設計と同様であるからである。ＵＳＤ５４０を実現するＳＥ５５０の内部パーティション分割は、ソフトウェア設計により達成することができるので、ＳＥ５５０に対するハードウェア変更は必ずしも要求されない。

図６Ａは、セキュリティ管理５２７と連携する安全が保証されたキーパッド５２５およびキーパッド５２６などの安全が保証されたＭＤ周辺機器と連携して安全が保証された金融トランザクションを提供するＭＤ５００の動作の例示的実施形態のハイレベルフローチャートを示している。ステージ５０００において、ディスプレイデバイス７９０と結合されるタッチ画面上に無制限に具現化され得る安全が保証されたキーパッド５２５またはキーパッド５２６上のユーザジェスチャに対応して、メモリ５３０上に格納されているｍｉｄｌｅｔ７８５のようなアプリケーションがＭＤアプリケーションプロセッサ５２０上で起動されて実行される。ステージ５０１０において、ステージ５０００のアプリケーションは、安全が保証されたＩＤ１保管機能５７０からＵＳＤ５４０経由でＩＤ１を読み出し、かつ、好ましくはユーザＭＤ５００上で実行されるＧＰＳアプリケーションのようなリアルタイム位置情報機能から現在の位置情報をさらに読み出す。リアルタイム位置情報が周辺機器５２８によりハードウェア的に有効化される１つの実施形態では、ＵＳＤ５４０がリアルタイム位置情報を安全に読み出し、それをエンコードし、そしてそれをステージ５０００のアプリケーションに与える。

１つの実施形態では、ステージ５０００のアプリケーションは、それにチャレンジ情報を与えるようＵＳＤ５４０に要求する。この情報は、以下においてさらに説明するように、後に応答サーバのＵＳＤ５４０認証のために使用される。ｍｉｄｌｅｔ７８５は、上述したようにＨＦＰおよびＡＦＰ情報をさらに読み出し、１つの実施形態ではモデム７８２経由でＭＤサーバ４０に接続し、次に読み出したデータ、すなわちＨＦＰ、ＡＦＰ、ＩＤ１、チャレンジおよび位置情報を含むトランザクション要求を送る。ＨＦＰ情報が周辺機器５２８によりハードウェア的に有効化され、かつ、その安全がセキュリティ管理５２７との連携により確保される１つの実施形態では、ＵＳＤ５４０は、ＨＦＰ情報を安全に読み出し、それをＭＤ伝送のためにエンコードし、次にそれをステージ５０００のアプリケーションに与える。ローカルクッキーに格納されているその他の情報もさらに供給される。別の実施形態では、無制限に、上述のｍｉｄｌｅｔ７８５がモデム７８２経由でＩＳ３０に接続する。ｍｉｄｌｅｔ７８５とＭＤサーバ４０間のすべての通信が暗号化され、さらに、ＵＳＤ５４０とＭＤサーバ４０間のすべての通信または情報交換がｍｉｄｌｅｔ７８５により使用されたものと異なる鍵により暗号化され、それによりｍｉｄｌｅｔ７８５に対して通信が秘密にされることが好ましい。

ステージ５０２０において、ＭＤサーバ４０は、ｍｉｄｌｅｔ７８５にモデム７８２経由でＭＰＲＮ２要求を伝送する。チャレンジ要求がＳＥ５５０により送られた１つの実施形態では、ＭＰＲＮ２要求は、さらにチャレンジ応答を含む。ＭＰＲＮ２要求は、ｍｉｄｌｅｔ７８５によりＳＥ５５０に送られる。

ステージ５０３０において、ＳＥ５５０、具体的にはＵＳＤ５４０は、具体的にはチャレンジ応答の妥当性を確認することにより、受け取ったデータの妥当性を確認する。任意選択的に、制御６２０は、安全が保証されたＩＤ２ＰＲＮ生成機能５８０と通信し、かつ、その要求のデコードおよび妥当性確認をエンコーダ／デコーダ機能６４０経由で行う。受け取った要求の正常な妥当性確認は、ＭＤサーバ４０がＵＳＤ５４０のＳＥ５５０内での動作の許可を、具体的にはＵＳＤ制御回路６２０から取得することを可能にする。かかる許可は、ｍｉｄｌｅｔ７８５の許可とは異なり得る。ＭＤサーバ４０の信頼度は、一般的により高いからである。要求の妥当性確認に対応して、ＭＤ関連ＩＤ２ＰＲＮ生成機能５８６がＭＰＲＮ２を生成する。生成されたＭＰＲＮ２は、ＳＥ５５０によりｍｉｄｌｅｔ７８５に送られ、かつ、好ましくはモデム７８２経由でＭＤサーバ４０に伝送される。

ステージ５０４０において、ステージ５０３０の受け取られたＭＰＲＮ２は妥当性確認され、妥当性確認された受け取られたＭＰＲＮ２に対応して、ＭＤサーバ４０は、ｍｉｄｌｅｔ７８５にＰＰＲＮ２要求を送る。受け取られたＰＰＲＮ２要求は、ｍｉｄｌｅｔ７８５によりＵＳＤ５４０および安全が保証されたＩＤ３ＰＲＮ生成機能５９０に転送される。ＰＩＮの要求は、さらにディスプレイデバイス７９０上に表示される。任意選択的に、ユーザのカーソルがＰＩＮ入力位置にある場合、セキュリティ管理５２７は、キーパッド５２６から受け取った入力をＳＥ５５０に差し向けるように切り換えられる。好ましくは、インジケータ５３１を起動してキーパッド５２６における入力が安全が保証された入力モードにあることをユーザに表示する。１つの実施形態では、ＰＩＮ妥当性確認の代わりに顔認識用カメラまたは指紋読取器などの非キーパッド入力構成要素をユーザの妥当性確認のために使用する。別の実施形態では、非キーパッド入力構成要素を周辺機器５２８として設ける。

ステージ５０５０において、キーパッド５２６または安全が保証されたキーパッド５２５経由のＰＩＮのユーザ入力に対応して、無制限に、入力されたＰＩＮは、ＳＥ５５０のＵＳＤ５４０、具体的には検証機能６５０および安全が保証されたＩＤ３ＰＲＮ生成機能５９０に与えられる。セキュリティ管理５２７がハードウェア的に有効化されない実施形態では、ｍｉｄｌｅｔ７８５が、入力されたＰＩＮをＳＥ５５０に与えるが、これは、キーロガー不正プログラムによるユーザパスワードの取得を可能とすることによりセキュリティレベルの低下という不利な結果を招くことがある。安全が保証されたＩＤ３ＰＲＮ生成機能５９０は、１つの実施形態では、受け取ったＰＩＮを検証できるように構成するためにＰＶＶを与えられ、また、別の実施形態では、安全が保証されたＩＤ３ＰＲＮ生成機能５９０は、ＵＳＤ制御回路６２０と通信し、そのＵＳＤ制御回路６２０は検証機能６５０と連携してＰＩＮ検証を行う。ＰＩＮが検証されたとき、ＭＤ関連ＩＤ３ＰＲＮ生成機能５９６は、ＰＰＲＮ２を生成する。安全保証モードインジケータ５３１がステージ５０４０において起動されていた場合、それは停止される。生成されたＰＰＲＮ２は、ＳＥ５５０によりｍｉｄｌｅｔ７８５に送られ、ｍｉｄｌｅｔ７８５は受け取ったＰＰＲＮ２をモデム７８２経由でＭＤサーバ４０に送る。セキュリティ管理５２７が設けられているが、起動されていない場合、キーパッド５２６の出力は、非安全保証モードでＭＤアプリケーションプロセッサ５２０にリダイレクトされる。

「あなたがもっているもの」、「あなたが知っていること」および「あなたがいる場所」が与えられたステージ５０１０、５０３０および５０５０の各通信に対応して、ＭＤサーバ４０はユーザＭＤ５００の有効性を強力に検証したことに注意する。ユーザＭＤ５００は、ステージ５０２０の受け取ったチャレンジ応答に対応しＭＤサーバ４０をさらに検証した。１つの実施形態では、上述のようにＭＤ５００とＩＳ３０間の、手動での妥当性確認が行われる。

ステージ５０６０において、ｍｉｄｌｅｔ７８５は、アイドルモードにあり、ＭＤサーバ４０から伝送されるトランザクションを待機している。

ステージ５０７０において、ＭＤサーバ４０は、好ましくはＵＳＤ５４０のための暗号化されたトランザクション詳細および任意選択の暗号化鍵を含むトランザクション詳細をｍｉｄｌｅｔ７８５に与える。ｍｉｄｌｅｔ７８５解読可能トランザクション詳細がさらに与えられる。１つの実施形態では、ユーザのジェスチャまたはキーパッド５２６上の入力に対応して、ユーザは、行われるべき特定のトランザクションをｍｉｄｌｅｔ７８５により用意される選択対象（任意選択的にディスプレイデバイス７９０上に表示される）から選択する。

ステージ５０８０において、ｍｉｄｌｅｔ７８５は、好ましくは暗号化されたトランザクション詳細および任意選択的に暗号化された鍵をＵＳＤ５４０に与える。それは、続いて、好ましくはメモリ６３０に格納されているナレッジベースチャレンジ質問または暗証番号を無制限に要求することができる。上述したように、ＭＤサーバ４０により供給される暗号化鍵は、ｍｉｄｌｅｔ７８５上で利用できる暗号化鍵と同じである必要はないことに注意するべきである。

ステージ５０９０において、ＵＳＤ５４０は、拡張許可表示として働く受け取った暗号化鍵および受け取った暗号化トランザクション詳細を、任意選択的にエンコーダ／デコーダ機能６４０経由で妥当性確認する。要求された場合、ＵＳＤ５４０は、１つ以上のナレッジベース質問をメモリ６３０からｍｉｄｌｅｔ７８５に与える。ステージ５１００において、ｍｉｄｌｅｔ７８５は、受け取った１つ以上のナレッジベース質問をディスプレイデバイス７９０上に表示し、トランザクションを完了するために必要な場合、不足情報をさらに要求する。完全なトランザクション詳細がＭＤサーバ４０により既に提供されていた場合、トランザクション情報はユーザに要求されず、受け取られたトランザクション上のユーザ署名として利用されるナレッジベース質問のみ要求される。１つの実施形態では、ＵＳＤ５４０は、１つ以上のナレッジベース質問をディスプレイデバイス７９０上に表示し、かつ、受け取ったトランザクション情報を表示するか、またはトランザクションの金額に関する情報および特定の口座情報をさらに要求する。ユーザは、要求された情報を好ましくは安全が保証されたキーパッド５２６または安全が保証されたキーパッド５２５を使用して入力する。任意選択的に、ユーザのカーソルがナレッジベース回答入力位置にある場合、セキュリティ管理５２７は、安全が保証されたキーパッド５２６から受け取った入力をＳＥ５５０に差し向けるように切り換えられる。ユーザのカーソルがナレッジベース回答入力位置にあるとき、インジケータ５３１は起動されてユーザに安全が保証され入力モードの状態を表示し、かつ、ユーザがナレッジベース回答の入力を終了したときに停止することが好ましい。ナレッジベースチャレンジ質問に対するユーザ回答は、ディスプレイデバイス７９０上にエコー表示しないか、またはアスタリスクまたはその他のコードに置換することが好ましい。

ステージ５１１０において、キーパッド５２６のようなユーザ入力機器経由のユーザ入力に対応して、トランザクション詳細に関する任意選択のユーザ回答が暗号化のためにＵＳＤ５４０に転送され、かつ、任意選択的にナレッジベースチャレンジ質問に対するユーザ回答が検証のためにＵＳＤ５４０に転送される。

ステージ５１２０において、制御６２０および検証機能６５０は、ステージ５１００および５１１０において受け取ったナレッジベース質問回答をメモリ６３０に格納されている情報に対応して妥当性確認するように構成される。制御６２０は、さらに、正常完了妥当性確認に対応して、ステージ５１１０またはステージ５０８０において受け取ったトランザクション詳細を含むトランザクション確認（好ましくはエンコーダ／デコーダ６４０と連携して暗号化した）を生成するように構成される。デジタル署名機能６６０との連携により、このメッセージ全体がデジタル的に署名されることが好ましい。

ステージ５１３０において、ステージ５１２０の好ましくはデジタル的に署名されたトランザクション確認がＵＳＤ５４０によりｍｉｄｌｅｔ７８５に送られ、そのｍｉｄｌｅｔ７８５はトランザクション確認をＭＤサーバ４０に伝送する。ステージ５１４０において、ＭＤサーバ４０は、ステージ５１２０の好ましくはデジタル的に署名されている受け取ったトランザクションの妥当性を確認し、かつ、正常に妥当性が確認された場合に、任意選択として必要に応じてＩＳ３０およびその他のサービスプロバイダを使用して金融トランザクションを実行する。任意選択的に、確認メッセージがディスプレイデバイス７９０上に表示されるためにｍｉｄｌｅｔ７８５に転送される。したがって、図６Ａの方法は、ＭＤサーバ４０とＵＳＤ５４０間の相互の妥当性確認により金融トランザクションのための高いセキュリティを与える。確認メッセージは、任意選択的にｍｉｄｌｅｔ７８５によりＵＳＤ５４０に転送され得る。

図６Ｂは、セキュリティ管理５２７に対応してセキュリティを強化する図５Ｂ〜５ＣのＭＤ５００の第１の方法のハイレベルフローチャートを示している。ステージ５３００において、ＭＤアプリケーションプロセッサ５２０上で実行されるｍｉｄｌｅｔ７８５のようなアプリケーションは、セキュリティ管理５２７をセキュリティモードに設定する。図示の実施形態では、セキュリティ管理５２７はＵＳＤ５４０に対応するが、これは、決して限定を意味するものではない。セキュリティ管理５２７をセキュリティモードに設定すると、セキュリティ管理５２７が切り換わり、キーパッド５２６に入力されたデータは通信チャネル５３３経由でＵＳＤ５４０に渡され、かつ、好ましくは、キーパッド５２６に入力されたデータが通信チャネル５３２を経由してＭＤアプリケーションプロセッサ５２０に到達することを阻止する。入力されるデータは、金融金額、口座番号またはセキュリティ情報を無制限に含み得る。インジケータ５３１は安全モードの視覚的表示を与えるように設定される。

ステージ５３１０において、ＵＳＤ５４０は、ＭＤアプリケーションプロセッサ５２０に対し金額および口座番号の要求をディスプレイデバイス７９０に表示することによりそれらを要求するよう促す。代替案として、ＭＤアプリケーションプロセッサ５２０は、トランザクションフォームをディスプレイデバイス７９０上に表示する。代替案として、上述したように、一部の実施形態では、要求の表示を可能にするためにＵＳＤ５４０またはＳＥ５５０の別の部分にディスプレイデバイス７９０への直接入力を設ける。

ステージ５３２０において、キーパッド５２６において受け取った入力をＵＳＤ５４０に渡す。１つの実施形態では、キーパッド５２６において受け取った入力データは、ＵＳＤ５４０に直接渡されるが、別の実施形態では、この入力データは鍵５２３により暗号化され、ＭＤアプリケーションプロセッサ５２０は、このように暗号化されたデータを処理のためにＵＳＤ５４０に渡すように構成される。ＵＳＤ５４０は、ディスプレイ７９０上にデータ入力、金額および口座番号をエコー表示する。代替案として、ＭＤアプリケーションプロセッサ５２０は、アスタリスク表示のような入力に対する視覚フィードバックを表示する。受け取られたデータは、ＵＳＤ５４０により暗号化される。ステージ５３３０において、キーパッド５２６経由の入力データは、任意選択的に検証され、かつ、暗号化された金額および口座番号がｍｉｄｌｅｔ７８５またはその他のアプリケーションに転送される。ｍｉｄｌｅｔ７８５は上述のアプリケーション６２のより詳細な記述であるが、これは決して限定する意味ではないことに注意するべきである。

ステージ５３４０において、ｍｉｄｌｅｔ７８５は、ＵＳＤ制御回路６２０経由でセキュリティ管理５２７を設定して周辺機器５２８からの情報を暗号化のためにＵＳＤ５４０に渡す。どのような範囲の周辺機器５２８もサポートされるが、この方法は、分かりやすくするために、特にＧＰＳ受信器のようなリアルタイム位置決め装置に関して説明する。ステージ５３５０において、ステージ５３４０に対応して、周辺機器５２８からのＧＰＳデータは、ＵＳＤ５４０に直接転送され、また、これと並列してＭＤアプリケーションプロセッサ５２０に渡され、ｍｉｄｌｅｔ７８５により受け取られる。ステージ５３６０において、受け取られたデータは、ＵＳＤ５４０によりエンコーダ／デコーダ機能６４０に対応して暗号化され、この暗号化されたデータがｍｉｄｌｅｔ７８５に転送される。

ステージ５３７０において、ｍｉｄｌｅｔ７８５は、さらにセキュリティ管理５２７を設定してキーパッド５２６から受け取った入力をＵＳＤ５４０に渡し、かつ、その入力をＭＤアプリケーションプロセッサ５２０に与えない。インジケータ５３１が起動されて視覚表示を提供する。かかるモードでは、ＰＩＮ情報は、ＵＳＤ５４０に直接渡される。代替案では、上述したように、キーパッド５２６から受け取られた入力は、ｍｉｄｌｅｔ７８５により受け取られ、鍵５２３に対応して暗号化され、この暗号化されたデータがｍｉｄｌｅｔ７８５によりＵＳＤ５４０に渡される。ｍｉｄｌｅｔ７８５は、ＵＳＤ５４０に対しＰＩＮ情報を検証するようさらに指示する。

ステージ５３８０において、ｍｉｄｌｅｔ７８５は、ユーザＰＩＮの要求をディスプレイ７９０に出力する。ステージ５３７０と５３８０の順序は交換可能であり、かつ、両方ともステージ５３９０のユーザＰＩＮ入力の前に行うことが好ましい。ステージ５３９０において、ユーザ入力またはジェスチャに対応してユーザＰＩＮがＵＳＤ５４０において受け取られる。ＵＳＤ５４０は、好ましくは、受け取った各入力鍵に対応してアスタリスクのようなダミー文字をディスプレイ７９０にｍｉｄｌｅｔ７８５経由で送り返す。

ステージ５４００において、ＰＩＮなどの安全な情報の入力の完了後、ＵＳＤ５４０は、セキュリティ管理５２７を非セキュリティモードに設定し、したがってインジケータ５３１を停止する。ステージ５４１０において、ＵＳＤ５４０は、受け取った情報を好ましくは検証機能６５０と連携して検証し、かつ、受け取ったＰＩＮなどの情報の妥当性が確認された場合、確認をｍｉｄｌｅｔ７８５に返す。

図６Ｃは、図５ＤのＭＤ５００の第２の方法のハイレベルフローチャートを示している。これは、特に図５Ｄの実施形態に関して説明したセキュリティ管理５２７に対応してセキュリティを強化する。ステージ６２００において、アプリケーション６２、すなわちｍｉｄｌｅｔ７８５は、キーパッドおよび周辺機器からの安全保証モード情報読み取りが必要であると決定する。これは、主としてこのアプリケーションの当該ステージのセキュリティ設定の機能であり、したがって、受け取ったパラメータに対応してｍｉｄｌｅｔ７８５の初期プログラミングにより設定される。

ステージ６２１０において、ｍｉｄｌｅｔ７８５は、セキュリティ管理５２７を設定してキーパッド５２６上で受け取られた入力を鍵５２３に対応して暗号化して渡す。好ましくはインジケータ５３１を起動する。ステージ６２２０において、ユーザＰＩＮの要求がディスプレイ７９０上に表示され、それによりユーザにキーパッド５２６経由の入力を促す。ステージ６２３０において、キーパッド５２６上のユーザ入力に対応して、受け取った各入力に対しアスタリスクなどのダミー鍵情報がディスプレイ７９０上に視覚フィードバックとして表示される。セキュリティ管理５２７は、入力されたデータキーストロークをローカルメモリに格納する。ステージ６２４０において、入力の完了がセキュリティ管理５２７により、代替案ではｍｉｄｌｅｔ７８５により検出される。セキュリティ管理５２７は、受け取ったデータを安全が保証された鍵５２３に対応して暗号化し、その暗号化したデータをｍｉｄｌｅｔ７８５に送るように構成されている。

ステージ６２５０において、インジケータ５３１が好ましくはセキュリティ管理５２７により停止される。任意選択のステージ６２６０において、ｍｉｄｌｅｔ７８５は、暗号化されたＰＩＮまたはその他のセキュリティデータを解読および妥当性確認のためにＩＳ３０またはＭＤサーバ４０またはＵＳＤ５４０に送る。

したがって、ｍｉｄｌｅｔ７８５は、暗号化されていないＰＩＮまたはその他のセキュリティ情報を一切受け取らず、よって不正ソフトウェアは不正なトランザクションに参加することができない。

図６Ｄは、図５ＤのＭＤ５００の第３の方法のハイレベルフローチャートを示している。これは、特に周辺機器５２８に関してセキュリティ管理５２７に対応してセキュリティを強化する。ステージ６２７０において、ｍｉｄｌｅｔ７８５またはアプリケーション６２は、セキュリティ管理５２７を設定して周辺機器５２８からのデータのセキュリティを与える。周辺機器５２８からのデータは、非暗号化フォーマットでＭＤアプリケーションプロセッサ５２０により受け取られる。同時に、セキュリティ管理５２７は、周辺機器５２８から受け取ったデータフローを安全が保証された鍵５２３に対応して暗号化し、その暗号化したデータをｍｉｄｌｅｔ７８５に送る。代替案では、図５Ｂおよび５Ｃの実施形態に関連して上述したように、ＵＳＤ５４０は、セキュリティ管理５２７がアクティブであるとき周辺機器５２８からのデータを暗号化し、以下において述べるようにその暗号化されたデータをｍｉｄｌｅｔ７８５に送出から与えることができる。ＵＳＤ５４０による暗号化は、好ましくは、上述のようにエンコーダ／デコーダ機能６４０により行われる。

ステージ６２８０において、周辺機器５２８からの暗号化データは、安全が保証された鍵５２３を用いてエンコードされるので、強化されたセキュリティをもち、「信頼できるデータ」である。ｍｉｄｌｅｔ７８５は、したがって周辺機器５２０からの暗号化されたデータを位置検証のためにＩＳ３０またはＭＤサーバ４０またはＵＳＤ５４０に送り得る。

図６Ｅは、セキュリティ管理５２７に対応してセキュリティを強化する図５ＤのＭＤ５００の第４の方法のハイレベルフローチャートを示している。ステージ６３００において、アプリケーション６２またはｍｉｄｌｅｔ７８５は、セキュリティ管理５２７を設定してキーパッド入力を暗号化方法により通過させる一方、同時にそのキーパッド入力をＭＤ画面７９０に表示する。かかる設定は、金額および口座番号の入力について好ましい。それは、ユーザがデータ入力を視覚的に検証することを可能にしつつ、詐欺師として知られている詐欺ソフトウェアのようなデータを操作する不正なソフトウェア攻撃に対してセキュリティを維持するからである。インジケータ５３１が起動され、モードの視覚的表示をユーザに与える。

ステージ６３１０において、ｍｉｄｌｅｔ７８５は、金額または口座番号の要求をディスプレイ７９０上に表示することによりユーザからの安全が保証された入力を要求する。ステージ６３２０において、キーパッド５２６経由で受け取られたユーザ入力はディスプレイ７９０上に表示され、したがってユーザはデータ入力を視覚的に検証することができる。同時にこのユーザ入力は、セキュリティ管理５２７のローカルメモリに格納される。入力が完了した後に、セキュリティ管理５２７がキーパッド５２６から受け取ったデータを安全が保証された鍵５２３に対応して暗号化し、その暗号化されたデータをｍｉｄｌｅｔ７８５に送ることが好ましい。代替案として、範囲を超えることなく、個々のキーストロークを暗号化してｍｉｄｌｅｔ７８５に送ることもできる。

ステージ６３３０において、キーパッド５２６から受け取られた暗号化データは、安全が保証された鍵５３０を用いてエンコードされているので、強化されたセキュリティをもつ「信頼できるデータ」である。したがって、ｍｉｄｌｅｔ７８５は、周辺機器５２８からの暗号化データを妥当性確認のためにＩＳ３０、ＭＤサーバ４０、またはＵＳＤ５４０に送ることができる。

図７Ａは、ＵＳＤ５４０と連携してたとえばホテルの客室に入室するためのデジタル鍵の安全が保証された受領および保管を提供するｍｉｄｌｅｔ７８５の動作のハイレベルフローチャートを示す。ステージ６５００において、暗号化されたアクセス鍵がユーザＭＤ５００に伝送される。暗号化されたアクセス鍵は、ｅメール、ＳＭＳによりまたはＭＤサーバ４０またはＩＳ３０からの無線送信により送ることができる。ステージ６５１０において、ｍｉｄｌｅｔ７８５は、ＰＩＮを要求する。ｍｉｄｌｅｔ７８５は、ユーザに対しナレッジベース質問を要求することができる。このナレッジベース質問は、ＵＳＤ５４０のメモリ６３０から読み出すことができる。上述したように、ＰＩＮおよびナレッジベース質問に対する回答は、好ましくはディスプレイデバイス７９０上にエコー表示されない。ステージ６５２０において、受け取られたＰＩＮおよび１つ以上のナレッジベース質問に対する回答は、ＵＳＤ５４０、具体的には検証機能６５０により妥当性確認される。ＰＩＮおよびナレッジベース質問の妥当性確認に応答して、ステージ６５３０において、鍵がダウンロードされ、エンコーダ／デコーダ機能６４０によりエンコードされ、エンコードされたフォーマットでメモリ５３０に格納される。

別の実施形態では、ＰＩＮおよびナレッジベース質問の妥当性確認に応答して、鍵がＵＳＤ５４０にダウンロードされ、エンコーダ／デコーダ機能６４０によりエンコードされ、ｍｉｄｌｅｔ７８５のようなＭＤアプリケーションに送られ、そしてそれによりエンコードされたフォーマットでメモリ５３０上に格納される。

図７Ｂは、ＵＳＤ５４０と連携してたとえばホテルの客室に入室するためのデジタル鍵の安全が保証された読み出しおよびデコードを提供するｍｉｄｌｅｔ７８５の動作のハイレベルフローチャートを示す。ステージ６７００において、ｍｉｄｌｅｔ７８５の財布アプリケーションがアクセスされる。ステージ６７１０において、格納された鍵の読み出しがステージ６７００の財布アプリケーション中の利用可能なサービスのメニューから選択され、かつ、具体的には要望された鍵が選択される。

ステージ６７２０において、ＰＩＮがユーザに対して要求され、ｍｉｄｌｅｔ７８５からの要求に対応してＵＳＤ５４０により検証される。好ましくは、上述したように、ＰＩＮは、検証機能６５０と連携して検証される。また、ユーザに要求したナレッジベース質問は、検証機能６５０により検証され得る。ステージ６７３０において、検証されたＰＩＮおよび検証されたナレッジベース質問に対応して、ｍｉｄｌｅｔ７８５は、暗号化鍵をそのデコードおよびＮＦＣコントローラ５６０への出力指示とともにＵＳＤ５４０に送る。この鍵は、エンコーダ／デコーダ機能６４０と連携してデコードされ、このデコードされた鍵がＮＦＣコントローラ５６０に出力される。ＮＦＣコントローラ５６０が該当ドアまたはチェックポイント５１０などのその他のチェックポイントのＮＦＣデバイスと並置されたとき、ドアの機構が受け取られてデコードされた鍵に対応して開く。

上記は、ドアアクセスに関して説明したが、これは、決して限定を意味するものではなく、同様な機能はどのような制御デバイスについて利用できる。

図７Ｃは、ＵＳＤ５４０と連携して公共輸送機関などに関するアクセス管理のためのチケットの安全が保証された保管を提供するするｍｉｄｌｅｔ７８５の動作のハイレベルフローチャートを示す。ステージ６８００において、ｍｉｄｌｅｔ７８５が起動され、設定されてＮＦＣコントローラ５６０経由でチケットを読み出し、格納し、かつ提示する。任意選択的に、ＰＩＮが与えられ、かつ、ＵＳＤ５４０により、具体的には上述したように検証機能６５０により検証される。ステージ６８１０において、チケットが自動販売機などから購入され、購入されたチケットが自動販売機のチェックポイント５１０と並置されたときに、ＮＦＣコントローラ５６０により受け取られる。ステージ６８２０において、購入されたチケットは、エンコーダ／デコーダ機能６４０により暗号化され、ｍｉｄｌｅｔ７８５に保管のために渡され、暗号化されたチケットがそのメモリ５３０に格納される。別の実施形態では、チケットは自動販売機により暗号化され、自動販売機のチェックポイント５１０に並置されたときＮＦＣコントローラ５６０により受け取られる。

ステージ６８３０において、ｍｉｄｌｅｔ７８５の財布アプリケーションがアクセスされ、かつ、ステージ６８４０においてチケットアクセスが選択される。ステージ６８５０において、ｍｉｄｌｅｔ７８５は、ユーザに対するナレッジベース質問の一例であるＰＩＮを要求する。他のナレッジベース質問を追加すること、あるいはそれをＰＩＮ要求に代えることができる。また、ＰＩＮに対する回答は、ディスプレイデバイス７９０にエコー表示しないことが好ましい。受け取られたＰＩＮは、ＵＳＤ５４０により妥当性確認される。具体的には、受け取られたＰＩＮは、検証機能６５０により妥当性確認される。ＰＩＮの妥当性確認に対応して、暗号化鍵が任意選択的にメモリ５３０から読み出され、エンコーダ／デコーダ機能鍵６４０と連携して解読され、解読された鍵がＮＦＣコントローラ５６０に出力される。ＮＦＣコントローラ５６０が発券ゲートのような該当アクセスデバイスのＮＦＣデバイスに並置されたとき、ゲートが開いて受け取られ解読された鍵へのアクセスを許容する。

高く評価されることであるが、明確を期するために別々の実施形態を用いて記述された本発明の一定の特徴は単一の実施形態において組み合わせて実現することもできる。反対に、明確を期するために単一の実施形態を用いて記述された本発明の種々の特徴は、別々に、または任意の適切な部分的組み合わせとして実現することもできる。

別段の定義がなされていない限り、本出願において使用された技術的および科学的用語は、この発明の属する技術における当業者により一般的に理解されるものと同じ意味を持っている。本発明の実施または試験において、本出願において記述されたものと類似または等価の方法を使用することができるが、本出願においては適切な方法について説明した。

本出願において言及されたすべての刊行物、特許出願、特許、およびその他の参考文献は、参照により本出願に全面的に含まれる。矛盾する場合、定義を含む特許明細書が優先する。さらに、材料、方法、および例はもっぱら説明のためであり、限定を意図していない。

本出願において使用された用語、「含む」、「包含する」および「もつ」ならびにその活用形は、「含むが必ずしもそれに限られない」を意味する。用語、「接続される」は直接接続に限定されず、かつ、具体的に言うと中間デバイス経由の接続を含む。

本発明は、本出願において具体的に図示され、かつ、説明された内容に限定されないことが当業者により正しく評価されるであろう。むしろ、本発明の範囲は、添付請求項により定義され、かつ、上述された種々の特徴の組み合わせと部分的組み合わせの両方および前記記述を読了した当業者に着想されるそれらのバリエーションおよび変更を含む。

Claims

ユーザセキュリティドメインを持つセキュアエレメントにおいて、前記ユーザセキュリティドメインは、
セキュリティドメイン制御回路と、
前記セキュリティドメイン制御回路に対応するエンコーダ／デコーダ機能と、
前記セキュリティドメイン制御回路と通信する安全が保証された鍵保管庫と、
を含み、
前記エンコーダ／デコーダ機能は、
前記安全が保証された鍵保管庫に格納されている少なくとも１つの第１鍵に対応してデータをエンコードし、エンコードデータを出力すること、および
前記安全が保証された鍵保管庫に格納されている少なくとも１つの第２鍵に対応して受け取ったデータをデコードし、デコードデータを出力すること
を行うように構成される
セキュアエレメント。
前記セキュリティドメイン制御回路と通信するメモリをさらに含み、前記エンコーダ／デコーダ機能は前記セキュリティドメイン制御回路に対応した前記メモリ上に前記エンコードデータを格納するように構成される、請求項１に記載のセキュアエレメント。
前記エンコーダ／デコーダ機能は、前記出力エンコードデータを前記受け取ったデータとして、前記セキュリティドメイン制御回路に対応した前記メモリから読み出すように構成される、請求項２に記載のセキュアエレメント。
前記ユーザセキュリティドメインは前記セキュリティドメイン制御回路に対応するファイヤーウォール機能をさらに含み、前記ファイヤーウォール機能はデータをカプセル化するように構成される、請求項１に記載のセキュアエレメント。
前記ユーザセキュリティドメインは前記セキュリティドメイン制御回路に対応するファイヤーウォール機能をさらに含み、前記ファイヤーウォール機能は近距離無線通信機器から受け取ったデータをカプセル化し、前記カプセル化したデータをモバイル機器プロセッサに送るように構成される、請求項１に記載のセキュアエレメント。
前記ユーザセキュリティドメインは前記セキュリティドメイン制御回路に対応する検証機能をさらに含み、前記検証機能は少なくとも１つの検証暗証番号を検証し、その検証に対応する状態の検証信号を出力するように構成される、請求項１に記載のセキュアエレメント。
前記検証機能と通信するメモリをさらに含み、前記メモリはＰＩＮ検証値の保管庫として構成されるものであり、
前記検証暗証番号がＰＩＮである場合、前記検証機能はＰＩＮ検証値に対応してＰＩＮを検証するように構成される、請求項６に記載のセキュアエレメント。
前記検証機能は前記安全が保証された鍵保管庫と通信し、前記検証暗証番号は前記安全が保証された鍵保管庫に格納されている少なくとも１つの第３鍵と連携して検証される、請求項６または７に記載のセキュアエレメント。
前記ユーザセキュリティドメインは、前記セキュリティドメイン制御回路に対応し、かつ、前記安全の保証された鍵保管庫と通信するデジタル署名機能をさらに含み、前記デジタル署名機能は、
データを受け取り、
前記安全が保証された鍵保管庫に格納されている少なくとも１つの第４鍵に対応してデジタル的に署名してその受け取ったデータを返すように構成される、請求項１に記載のセキュアエレメント。
前記ユーザセキュリティドメインは、
安全が保証された第１識別子保管機能と、
第１疑似乱数生成機能と連携してエンコードされた第２識別子を出力するように構成される、安全が保証された第２識別子と、
をさらに含む、請求項１に記載のセキュアエレメント。
前記安全が保証された第２識別子は別々にエンコードされた第２識別子をモバイル機器プロセッサおよび近距離無線通信コントローラのそれぞれに出力するように構成される、請求項１０に記載のセキュアエレメント。
前記安全が保証された第２識別子は前記安全が保証された鍵保管庫と通信し、前記第２識別子は前記第１疑似乱数生成機能と連携し前記安全が保証された鍵保管庫に格納されている少なくとも１つの第４鍵に対応してエンコードされる、請求項１０または１１のいずれか一項に記載のセキュアエレメント。
安全が保証された第３識別子をさらに含み、前記識別子は第２疑似乱数生成機能と連携してエンコードされた第３識別子を出力するように構成される、請求項１０に記載のセキュアエレメント。
前記安全が保証された第３識別子は別々にエンコードされた第３識別子をモバイル機器プロセッサおよび近距離無線通信コントローラのそれぞれに出力するように構成される、請求項１３に記載のセキュアエレメント。
前記安全が保証された第３識別子は前記安全が保証された鍵保管庫と通信し、前記第３識別子は前記第２疑似乱数生成機能と連携し前記安全が保証された鍵保管庫に格納されている少なくとも１つの第５鍵に対応してエンコードされる、請求項１３または１４のいずれか一項に記載のセキュアエレメント。
モバイル機器プロセッサと、
データ入力機器と、
ユーザセキュリティドメインを持ち、前記モバイル機器プロセッサと通信するセキュアエレメントと、
第１モードにおいて前記データ入力機器からの情報を前記モバイル機器プロセッサに提供し、第２モードにおいて前記データ入力機器からの情報を前記ユーザセキュリティドメインに提供するように構成されるセキュリティ管理と、
を含むモバイル機器。
前記セキュリティ管理は、前記第１モードにおいて前記データ入力機器からの情報を前記モバイル機器プロセッサに差し向け、前記第２モードにおいて前記データ入力機器からの前記情報をセキュアエレメントに差し向けるように切り換え可能に構成される、請求項１６に記載のモバイル機器。
前記セキュリティ管理は、安全が保証された暗号化鍵を含み、前記セキュリティ管理は前記第１モードにおいて前記データ入力機器からの情報を前記モバイル機器プロセッサに非暗号化形態で渡すように構成され、また、前記第２モードにおいて前記セキュリティ管理は前記データ入力機器からの情報を前記モバイル機器プロセッサに暗号化形態で渡すように構成され、前記のモバイル機器プロセッサは前記暗号化情報を前記ユーザセキュリティドメインに送るように構成される、請求項１６に記載のモバイル機器。
周辺機器をさらに含み、前記セキュリティ管理は、前記第１モードにおいて前記周辺機器からの情報を前記モバイル機器プロセッサに提供し、第２モードにおいて前記周辺機器からの情報を前記セキュアエレメントに提供するように構成される、請求項１６に記載のモバイル機器。
前記モバイル機器プロセッサと通信する周辺機器をさらに含み、前記セキュリティ管理は前記第２モードにおいて、
前記周辺機器からの情報を暗号化することと、
前記暗号化された前記周辺機器からの情報を前記モバイル機器プロセッサに提供することと、
を行うように構成される、
請求項１６に記載のモバイル機器。
前記セキュリティ管理が前記第２モードにあるときに、表示するためのインジケータをさらに含む、請求項１６に記載のモバイル機器。
前記セキュアエレメントと通信し、かつ、前記モバイル機器プロセッサと通信しない安全なキーパッドをさらに含む、請求項１６に記載のモバイル機器。
前記セキュアエレメントの前記ユーザセキュリティドメインは、
セキュリティドメイン制御回路と、
前記セキュリティドメイン制御回路に対応するエンコーダ／デコーダ機能と、
前記セキュリティドメイン制御回路と通信する安全が保証された鍵保管庫と、
を含む、請求項１６に記載のモバイル機器。
前記セキュアエレメントの前記ユーザセキュリティドメインは、
セキュリティドメイン制御回路と
前記第２モードにおいて前記データ入力機器から受け取った検証暗証番号を検証し、前記検証に対応する状態の検証信号を前記セキュリティドメイン制御回路に出力するように構成される、前記セキュリティドメイン制御回路に対応する検証機能と、
を含む、請求項１６に記載のモバイル機器。
モバイル機器プロセッサと、
前記モバイル機器プロセッサと通信するセキュアエレメントと、
前記モバイル機器プロセッサおよび前記セキュアエレメントと通信するセキュリティ管理と、
前記セキュリティ管理と通信するデータ入力機器と、
を含み、
前記セキュリティ管理は、第１モードにおいて前記データ入力機器からの情報を前記モバイル機器プロセッサに提供し、第２モードにおいて情報を前記セキュアエレメントに提供するように構成され、
前記セキュアエレメントは、前記提供された情報を暗号化し、前記暗号化された情報を前記モバイル機器プロセッサに提供するように構成される、モバイル機器。
前記モバイル機器プロセッサおよび前記セキュリティ管理と通信する周辺機器をさらに含み、前記周辺機器からの情報は前記モバイル機器プロセッサおよび前記セキュリティ管理に同時に送られる、請求項２５に記載のモバイル機器。
前記セキュリティ管理は、前記周辺機器からの前記情報を暗号化し、前記暗号化された前記周辺機器からの前記情報を前記モバイル機器プロセッサに提供するようにさらに構成される、請求項２６に記載のモバイル機器。
前記モバイル機器プロセッサは、前記提供された前記周辺機器からの暗号化情報をこのモバイル機器と通信するリモートサーバに伝送するように構成される、請求項２７に記載のモバイル機器。