JP2015181051A - 電子機器及びプログラム - Google Patents

Abstract

【課題】セキュリティを高めるとともに、生体情報の入力の手間を軽減する。
【解決手段】決済システム１は、通信ネットワークＮを介して接続された電子機器１０とセンタサーバ３０を備える。電子機器１０は、指紋情報を入力する読取部と、読取部により入力された指紋情報を識別するための情報を監査証跡として記録するフラッシュメモリを備える。電子機器１０及びセンタサーバ３０は、フラッシュメモリにより記録された監査証跡を分析してリスクがあるか否かを判別する。電子機器１０又はセンタサーバ３０によりリスクがあると判別された場合、電子機器１０は、リスクを回避するための処理を行う。
【選択図】図１

Description

本発明は電子機器及びプログラムに関する。

従来から、操作者（ユーザ）の認証機能を有する電子機器が知られている。当該電子機器では、利用開始時に、ユーザ（又は、ユーザグループ）を特定するためのＩＤ（Identification）と、当該ＩＤに対応付けられたパスワードや暗証番号（以下、暗証情報）と、がユーザにより設定される。そして、設定されたＩＤ及び暗証情報によりユーザ認証が行われる。

上述のユーザ認証は、ユーザ本人しか暗証情報を知らないという前提に立っている。この場合、第三者に暗証情報が知られてしまうと、セキュリティが保障できなくなるという問題があった。

上記問題を解決するために、指紋などの生体情報を用いてユーザ認証を行う技術が知られている（例えば、特許文献１参照）。当該技術では、暗証情報を用いる必要はない。このため、暗証情報が第三者に知られることはなく、セキュリティを保障することができる。また、ユーザは暗証情報を暗記しておく必要がない。さらに、ユーザは暗証情報を入力する必要がないので操作性が向上する。

しかし、指紋などの生体情報を用いてユーザ認証を行う技術では、ユーザが指を怪我している場合は、生体情報を用いてユーザ認証を行うことができない。また、生体情報の識別率が１００％でないため、ユーザ認証に失敗する場合がある。このような場合に対応するため、暗証情報による認証機能及び生体情報による認証機能の両方の機能を有した電子機器が知られている。

特開２００６−１５５２６１号公報

しかしながら、暗証情報及び生体情報による認証機能を注した電子機器では、セキュリティを保障できないという問題があった。

本発明の課題は、セキュリティを高めることである。

請求項１は、認証処理機能を有する電子機器であって、当該電子機器に対する過去の認証処理時での処理状況履歴を記憶手段に記憶制御する記憶制御手段と、ユーザにより新たな認証処理が行われた際は、前記記憶手段に記憶された過去の認証処理時の処理状況履歴を参照することで、今回の認証処理時での処理状況がリスクの可能性のある処理状況か否かを判別する判別手段と、今回の認証処理時での前記処理状況を外部装置で検証チェックすべく、当該外部装置に対して前記処理状況の検証チェックの依頼情報を送信するチェック依頼手段と、前記外部装置での検証チェックのチェック結果を取得し、そのチェック結果に基づいて当該電子機器での動作を制御する動作制御手段と、を具備したことを特徴とする。

本発明によれば、セキュリティを高めることができる。

本発明に係る決済システム１を示す概略図である。 電子機器１０の内部構成を示すブロック図である。 センタサーバ３０の内部構成を示すブロック図である。 セキュリティポリシーテーブル４０を示す図である。 電子機器処理、リスクレベル通知処理を示すフローチャートである。 図５の電子機器処理、リスクレベル通知処理の続きを示すフローチャートである。 監査処理を示すフローチャートである。 監査証跡抽出処理を示すフローチャートである。 電子機器１０Ａの内部構成を示すブロック図である。

以下、添付図面を参照して本発明に係る実施の形態の一例を詳細に説明する。ただし、発明の範囲は、図示例に限定されない。

図１〜図９を参照して、本発明に係る実施の形態の一例を説明する。先ず、図１〜図３を参照して、本実施の形態の装置構成を説明する。図１に決済システム１の構成を示す。

図１に示すように、決済システム１は、電子機器１０と、センタサーバ３０と、を備えて構成される。電子機器１０は、通信ネットワークＮを介してセンタサーバ３０と通信接続されている。
なお、図１では、１台の電子機器１０が通信ネットワークＮを介してセンタサーバ３０と通信接続される例を示しているが、電子機器１０の台数は、これに限定されるものではなく、電子機器１０の台数は任意であり、複数の電子機器１０がセンタサーバ３０と通信接続されるように構成してもよい。

次いで、電子機器１０の内部構成を説明する。図２に示すように電子機器１０は、制御手段、通知手段としてのＣＰＵ（Central Processing Unit）１１と、設定手段としての入力部１２と、ＲＡＭ（Random Access Memory）１３と、表示部１４と、記録手段としてのフラッシュメモリ１５と、通信手段としての通信部１６と、カードリーダ１７と、入力手段としての読取部１８と、警報手段としての警報部１９と、計時部１９ａと、を備えて構成され、各部がバス１９ｂを介して接続される。

ＣＰＵ１１は、フラッシュメモリ１５に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ１３に展開し、ＲＡＭ１３に展開されたプログラムとの協働で、各種処理を実行する。

ＣＰＵ１１は、電子機器プログラムとの協働により、監査証跡にリスクがあると判別された場合に、当該リスクを回避するための処理を行う。
監査証跡とは、読取部１８により入力された生体情報を識別するための情報であり、生体情報の入力が正当なものであるかどうかを監査できるようにするための記録である。具体的には、監査証跡は、ＩＤ、登録時刻、及び認証時刻のことをいう。ＩＤとは、生体情報を識別するための情報である。登録時刻とは、生体情報が登録された時刻のことをいう。認証時刻とは、ユーザ認証がされた時刻のことをいう。リスクとは、例えば、第三者による電子機器１０の不正使用又は転用、第三者による廃棄された電子機器１０の再利用、解析の試み等のことをいう。リスクを回避するための処理とは、警報部１９による警報（アラーム）の発生、電子機器１０の動作停止等の動作を行うことをいう。なお、リスクを回避するための処理は、このような動作に限定されるものではなく、どのような処理を行うかは任意に構成してよい。

入力部１２は、数字入力キー及び各種機能キーなどを備えたキーパッドを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ１１に出力する。また、入力部１２は、監査証跡にリスクがあるか否かを判定するためのリスクレベルの設定入力を受け付ける。

ＲＡＭ１３は、揮発性のメモリであり、実行される各種プログラムやこれら各種プログラムに係るデータ等を格納するワークエリアを有し、その情報を一時的に格納する。

表示部１４は、ＬＣＤ（Liquid Crystal Display）等で構成され、ＣＰＵ１１からの表示信号に従って画面表示を行う。また、入力部１２は、表示部１４と一体的にタッチパネルを構成することとしてもよい。

フラッシュメモリ１５は、各種プログラム及び各種データを読み出し及び書き込み可能に記憶する。フラッシュメモリ１５は、電子機器プログラム、監査証跡を記憶する。

通信部１６は、通信制御部により構成され、通信ネットワークＮを介してセンタサーバ３０と情報を送受信する。

カードリーダ１７は、図示しないＣＰＵ、ＲＡＭ、ＲＯＭ、フラッシュメモリ、接続部等を備える。カードリーダ１７において、ＲＯＭから読み出されたＲＡＭに展開されたプログラムとＣＰＵとの協働で各種処理を実行する。また、接続部は、接続されたＩＣカード１７Ａの情報を読み取る。また、フラッシュメモリには、暗号鍵（図示省略）が記憶されている。暗号鍵は、例えば、カードリーダ１７が電子機器１０を認証するための鍵である。電子機器１０を認証するとは、電子機器１０の動作（例えば、決済処理等の動作）を許可することをいう。

ＩＣカード１７Ａは、各顧客が有する決済用の記録媒体としてのカードである。ＩＣカード１７Ａは、接触式又は非接触式のカードであり、各ＩＣカードでユニークなカード情報（例えば、暗証番号等）を記憶するＩＣチップを備える。

読取部１８は、認証対象者（ユーザ）の生体情報(指紋情報)を光学的に読み取り、読み取った生体情報をＣＰＵ１１に出力する。ここで、生体情報とは、指紋情報，声紋情報，眼球の虹彩情報，手の平や手首の静脈情報等の情報をいう。本実施の形態では、生体情報は、指紋情報として説明する。
なお、生体情報として、声紋情報を入力する場合は、声紋情報を音声入力する音声入力部を備えるように構成してもよい。

警報部１９は、ＣＰＵ１１からの指示に基づいて、警報を示す音(アラーム音)を発生する。なお、警報としては、音の発生に限定されず、警報を表わす音声メッセージを発生させたり、あるいは、表示部１４に警報メッセージを表示したり、ＬＥＤライトを点滅させたりする光学的な警報としてもよい。

次いで、センタサーバ３０の構成を説明する。図３にセンタサーバ３０の内部構成を示す。

図３に示すようにセンタサーバ３０は、判別手段としてのＣＰＵ３１と、入力部３２と、ＲＡＭ３３と、表示部３４と、記憶部３５と、通信部３６と、計時部３７と、を備えて構成され、各部がバス３８を介して接続される。ＣＰＵ３１、入力部３２、ＲＡＭ３３、計時部３７については、電子機器１０のＣＰＵ１１、入力部１２、ＲＡＭ１３、計時部１９ａの構成と同様であり、異なる部分を主として説明する。

ＣＰＵ３１は、リスクレベル通知プログラムとの協働により、フラッシュメモリ１５に記録された監査証跡を分析してリスクがあるか否かを判別する。監査証跡を分析してリスクがあるか否かを判別するとは、入力部１２を介して設定されたリスクレベルを参照して監査証跡にリスクがあるか否かを判別することをいう。具体的には、入力部１２を介して設定された警報発生レベルとしてのアラーム生成レベル、又は動作停止レベルとしての機器動作停止レベルを参照して、監査証跡にリスクがあるか否かを判別することをいう。

本実施の形態では、ＣＰＵ３１とリスクレベル通知プログラムとの協働でリスクレベル通知処理を実行することとして説明するが、電子機器１０のＣＰＵ１１とリスクレベル通知プログラムとの協働でリスクレベル通知処理を実行することとしてもよい。この場合、ＣＰＵ１１は、判別手段に該当することとなる。

入力部３２は、カーソルキー、文字、数字入力キー及び各種機能キーなどを備えたキーボードを含む構成とし、操作者により各キーが押下された操作信号をＣＰＵ３１に出力する。また、入力部３２は、マウス等のポインティングデバイスを含み、位置入力信号を受け付けてＣＰＵ３１に送信することとしてもよい。

表示部３４は、ＬＣＤ、ＣＲＴ（Cathode Ray Tube）等で構成され、ＣＰＵ３１からの表示信号に従って画面表示を行う。

記憶部３５は、ＨＤＤ（Hard Disk Drive）等により構成され、各種プログラム及び各種データを記憶する。

通信部３６は、モデム、ＴＡ（Terminal Adapter）、ルータ、ネットワークカード等により構成され、接続されるネットワークＮ上の電子機器１０と情報を送受信する。

次に、図４を参照して、セキュリティポリシーテーブル４０について説明する。セキュリティポリシーテーブル４０は、監査証跡を扱うポリシーレベルを定めたテーブルである。監査証跡を扱うポリシーレベルとは、リスクレベルがアラーム生成レベルであると判断するための各監査項目の判断基準、リスクレベルが機器動作停止レベルであると判断するための各監査項目の判断基準、指紋情報を保全するための判断基準のことをいう。セキュリティポリシーテーブル４０は、電子機器１０のフラッシュメモリ１５又はセンタサーバ３０の記憶部３５に記憶される。

監査項目は、監査証跡にリスクがあるか否かを判別するための項目である。監査項目には、「機器の使用頻度」、「認証の頻度」、「操作者の同一性」が含まれる。機器の使用頻度は、電子機器１０の使用頻度を判別するための項目である。認証の頻度は、ユーザが認証された頻度を監査する項目である。操作者の同一性は、ユーザが同一人であるか否かを監査する項目である。

アラーム生成事象（アラーム生成レベル）は、警報部１９にアラーム（警報）を発生させるリスクレベルを示している。アラーム生成レベルは、ユーザにより入力部１２を介して設定される。例えば、入力部１２を介して、機器の使用頻度が「３日以上、機器の使用がない」と設定される。また、入力部１２を介して、認証の頻度が「同一人物による１日に１０回以上の認証」と設定される。また、入力部１２を介して、操作者の同一性が「直近２日の使用者が全員２日以内の登録である」と設定される。

機器動作停止事象（機器動作停止レベル）は、電子機器１０の動作を停止するリスクレベルを示している。機器動作停止レベルは、ユーザにより入力部１２を介して設定される。例えば、入力部１２を介して、機器の使用頻度が「１ヶ月以上、機器の使用がない」と設定される。また、入力部１２を介して、認証の頻度が「５分以内に５回以上の認証」と設定される。また、入力部１２を介して、操作者の同一性が「直近７日の使用者が全員７日以内の登録である（新規利用を除く）」と設定される。

証拠保全が必要と判断される条件は、監査証跡にリスクがあると判断された場合に、当該リスクがあると判断された監査証跡に対応する指紋情報をフラッシュメモリ１５に記憶するための条件を示している。証拠保全が必要と判断される条件は、ユーザにより入力部１２を介して設定される。例えば、入力部１２を介して、機器の使用頻度が「３日以上、機器の使用が開いた後の最初の認証者」と設定される。また、入力部１２を介して、認証の頻度が「同一人物による５分以内に３回の認証」と設定される。また、入力部１２を介して、操作者の同一性が「２日以内に登録された使用者のみの認証」と設定される。

想定しているリスクは、監査証跡にリスクがあると判別された場合に、想定されるリスクのことをいう。例えば、アラーム生成レベルにおいて、「３日以上、機器の使用がない」、又は機器動作停止レベルにおいて、「１ヶ月以上、機器の使用がない」と判別された場合は、「機器の不正使用、転用、廃棄された機器の再利用、解析の試み」がリスクとして想定される。また、アラーム生成レベルにおいて、「同一人物による１日に１０回以上の認証」、又は機器動作停止レベルにおいて、「５分以内に５回以上の認証」と判別された場合は、「不正な機器の解析の試み」がリスクとして想定される。また、アラーム生成レベルにおいて、「直近２日の使用者が全員２日以内の登録である」、機器動作停止レベルにおいて、「直近７日の使用者が全員７日以内の登録である」と判別された場合は、「機器の不正流用、転用、盗難」がリスクとして想定される。

次に、図５〜図８を参照して、決済システム１の動作を説明する。図５に電子機器処理、リスクレベル通知処理の流れを示す。図６に電子機器処理、リスクレベル通知処理の続きの流れを示す。図７に監査証跡抽出処理の流れを示す。図８に監査処理の流れを示す。

電子機器１０で実行される電子機器処理を説明する。電子機器１０において、例えば、
入力部１２を介して電子機器処理の実行指示が入力されたことをトリガとして、フラッシュメモリ１５から読み出されて適宜ＲＡＭ１３に展開された電子機器プログラムとＣＰＵ１１との協働で、電子機器処理が実行される。

先ず、指紋情報の入力が待機される（ステップＳ１１）。そして、読取部１８を介して指紋情報が入力された（読み取られた）か否かが判別される（ステップＳ１２）。指紋情報が読み取られていないと判別された場合（ステップＳ１２；ＮＯ）、ステップＳ１１に移行される。

ステップＳ１２において、指紋情報が入力されたと判別された場合（ステップＳ１２；ＹＥＳ）、入力された指紋情報と、フラッシュメモリ１５に記憶されている登録済みの指紋情報と、が比較される（ステップＳ１３）。このとき、指紋情報の比較は、読み取った指紋情報の生データを比較しても、指紋情報の特徴点を抽出したデータを比較してもよい。そして、入力された指紋情報と、フラッシュメモリ１５に記憶されている登録済みの指紋情報と、が一致するか否かが判別される（ステップＳ１４）。具体的には、入力された指紋情報と、フラッシュメモリ１５に記憶されている複数の指紋情報と、が一致するか否かが判別される。

ステップＳ１４において、入力された指紋情報と、フラッシュメモリ１５に記憶されている指紋情報と、が一致しないと判別された場合（ステップＳ１４；ＮＯ）、次の指紋情報がフラッシュメモリ１５から読み出される（ステップＳ１５）。ステップＳ１５の実行後、ステップＳ１３に移行される。

ステップＳ１４において、入力された指紋情報と、フラッシュメモリ１５に記憶されている指紋情報（全ての指紋情報）と、が一致しないと判別された場合（ステップＳ１４；全件不一致）、入力された指紋情報にＩＤが割り付けられる（ステップＳ１６）。例えば、フラッシュメモリ１５に５人分の指紋情報が既に登録されている場合、ＩＤ「６」が指紋情報に割り付けられる。そして、ＩＤが割り付けられた指紋情報がフラッシュメモリ１５に登録される（ステップＳ１７）。ステップＳ１７の実行後、登録時刻及び認証時刻がフラッシュメモリ１５に登録される（ステップＳ１８）。登録時刻とは、ステップＳ１７において、指紋情報がフラッシュメモリ１５に登録された時刻のことをいう。また、認証時刻は、登録時刻と同様の時刻に該当する。ステップＳ１８の実行後、後述するステップＳ２１に移行される。

ステップＳ１４において、入力された指紋情報と、フラッシュメモリ１５に記憶されている指紋情報と、が一致すると判別された場合（ステップＳ１４；ＹＥＳ）、一致した指紋情報のＩＤがフラッシュメモリ１５から読み出される（ステップＳ１９）。そして、認証時刻が更新される（ステップＳ２０）。本ステップにおける認証時刻とは、ステップＳ１４；ＹＥＳと判別された時刻のことをいう。

ステップＳ２０の実行後、通信部１６を介してＩＤ及び時刻情報が監査証跡としてセンタサーバ３０に送出（送信）される（ステップＳ２１）。時刻情報とは、登録時刻及び認証時刻のことをいう。そして、監査証跡抽出処理が実行される（ステップＳ２２）。監査証跡抽出処理は、リスクがある監査証跡を抽出する処理である。図７を参照して監査証跡抽出処理を説明する。

先ず、最新の監査証跡が内部記憶される（ステップＳ２２１）。すなわち、受信されたＩＤ、登録時刻及び認証時刻が紐付けられてフラッシュメモリ１５に記憶される。そして、最新の監査証跡の１件前にフラッシュメモリ１５に記憶された監査証跡のチェックが行われる（ステップＳ２２２）。ステップＳ２２２の実行後、チェックした監査証跡が３日前に記録された監査証跡であるか否かが判別される（ステップＳ２２３）。具体的には、チェックした監査証跡に含まれる認証時刻と計時部３７で計時された現在時刻とを比較して、現在時刻が監査証跡に含まれる認証時刻から３日以上経過しているか否かが判別される。チェックした監査証跡が３日前以上に記録されたと判別された場合（ステップＳ２２３；以上）、処理結果が「該当」として返される（ステップＳ２２４）。ステップＳ２２４の実行後、監査証跡抽出処理が終了され、ステップＳ２３に移行される。

ステップＳ２２３において、チェックした監査証跡が３日前未満に記憶されたと判別された場合（ステップＳ２２３；未満）、３件前までさかのぼって監査証跡がチェックされる（ステップＳ２２５）。すなわち、ステップ２２１で記録された監査証跡の３件前の監査証跡までさかのぼってチェックが行われる。

そして、同一人物により５分以内に３回の認証があったか否かが判別される（ステップＳ２２６）。同一人物であるか否かの判別は、監査証跡に含まれるＩＤに基づいて行われる。５分以内に３回の認証があったか否かの判別は、監査証跡に含まれる認証時刻に基づいて行われる。すなわち、本ステップは、３件前までの監査証跡に含まれるＩＤ及び認証時刻に基づいて、同一人物により５分以内に３回の認証があったか否かが判別される。

ステップＳ２２６において、同一人物により５分以内に３回の認証があったと判別された場合（ステップＳ２２６；あり）、ステップＳ２２４に移行される。同一人物により５分以内に３回の認証がないと判別された場合（ステップＳ２２６；なし）、２日前までさかのぼって監査証跡のチェックが行われる（ステップＳ２２７）。そして、全員が登録２日以内であるか否かが判別される（ステップＳ２２８）。すなわち、直近２日の登録ユーザが全員２日以内の登録であるか否かが判別される。具体的には、直近２日間の監査証跡に含まれるＩＤ及び登録時刻に基づいて、２日以内に登録したユーザが全て同一人であるか否かが判別される。

ステップＳ２２８において、全員が登録２日以内であると判別された場合（ステップＳ２２８；ＹＥＳ）、ステップＳ２２４に移行される。全員が登録２日以内でないと判別された場合（ステップＳ２２８；ＮＯ）、処理結果が「非該当」として返される（ステップＳ２２９）。ステップＳ２２９の実行後、監査証跡抽出処理が終了され、ステップＳ２３に移行される。

そして、処理結果が該当か非該当かが判別される（ステップＳ２３）。処理結果が該当と判別された場合（ステップＳ２３；該当）、認証時に読み込まれた指紋情報とＩＤとが暗号鍵により暗号化される（ステップＳ２４）。指紋情報とＩＤとが暗号化されることにより、第三者による指紋情報の改ざんを防ぐことができる。このとき、指紋情報とＩＤとをまとめた署名を付与してもよい。

ステップＳ２４の実行後、暗号化された指紋情報とＩＤとが通信部１６を介してセンタサーバ３０へ送出（送信）、又は暗号化された指紋情報とＩＤとがフラッシュメモリ１５に記憶される（ステップＳ２５）。ここで、署名が付与されている場合は、署名とともに、暗号化された指紋情報及びＩＤがセンタサーバ３０へ送信される。ステップＳ２５の実行後、後述するステップＳ２６に移行される。

ステップＳ２３において、処理結果が非該当と判別された場合（ステップＳ２３；非該当）、電子機器１０が本来目的とする機能が実施される（ステップＳ２６）。電子機器１０が本来目的とする機能とは、例えば、決済処理のことをいう。そして、再認証の条件がチェックされる（ステップＳ２７）。例えば、セキュリティを向上させるためにユーザが３時間に１回の割合で再認証を行うように予め設定していたとする。この場合、認証時刻（例えば、ステップＳ１４；ＹＥＳの場合の認証時刻、又はステップＳ１７の認証時刻）からの経過時刻を参照することにより、再認証の条件のチェックが行われる。

ステップＳ２７の実行後、再認証の条件に基づいて、再認証を行うか否かが判別される（ステップＳ２８）。再認証を行うと判別された場合（ステップＳ２８；該当）、ステップＳ１１に移行される。再認証を行わないと判別された場合（ステップＳ２８；非該当）、通信部１６を介してセンタサーバ３０から通知情報が受信される（ステップＳ２９）。ステップＳ２８；非該当の場合、ステップＳ２６の処理（例えば、次の決済処理）を行う必要がある場合は、ステップＳ２６に移行される。

ステップＳ２９の実行後、チェック結果の判別が行われる（ステップＳ３０）。具体的には、センタサーバ３０から受信した情報に基づいて、チェック結果の判別が行われる。チェック結果がアラームであった場合（ステップＳ３０；アラーム）、警告が実行される（ステップＳ３１）。警告とは、例えば、警報部１９の警報が発生されることをいう。また、警告は、通信部１６を介してセンササーバ３０に警告を通知（送信）することとしてもよい。ステップＳ３０において、チェック結果が動作停止であった場合（ステップＳ３０；動作停止）、安全処置が実行される（ステップＳ３２）。例えば、暗号鍵の消去などの安全処置が実行される。チェック結果が動作終了であった場合、電子機器処理は終了される。

次に、センタサーバ３０で実行されるリスクレベル通知処理を説明する。例えば、通信部３６を介して電子機器１０から監査証跡が受信開始されたことをトリガとして、記憶部３５から読み出されて適宜ＲＡＭ３３に展開されたリスクレベル通知プログラムとＣＰＵ３１との協働で、リスクレベル通知処理が実行される。

先ず、監査証跡が通信部３６を介して電子機器１０から受信完了される（ステップＳ５１）。そして、監査証跡が記憶部３５に記憶される（ステップＳ５２）。ステップＳ５２の実行後、記憶部３５に一定量の監査証跡が記憶されたか否かが判別される（ステップＳ５３）。記憶部３５に一定量の監査証跡が記憶されていないと判別された場合（ステップＳ５３；ＮＯ）、ステップＳ５１に移行される。

ステップＳ５３において、記憶部３５に一定量の監査証跡が記憶されていると判別された場合（ステップＳ５３；ＹＥＳ）、監査処理が実行される（ステップＳ５４）。監査処理は、監査証跡を参照して、アラームレベル又は動作停止レベルを判別するための処理である。図８を参照して、監査処理について説明する。

先ず、直近に記録された監査証跡のチェックが行われる（ステップＳ５４１）。直近に記録された監査証跡とは、受信された監査証跡の１件前の監査証跡のことをいう。そして、３日間認証動作がないか否かが判別される（ステップＳ５４２）。具体的には、直近に記録された監査証跡に含まれる認証時刻を参照することにより、３日間認証動作がないか否かが判別される。３日間認証動作がないと判別された場合（ステップＳ５４２；ＹＥＳ）、「アラーム」が返される（ステップＳ５４３）。すなわち、リスクレベルがアラーム生成レベルであると判別される。

ステップＳ５４２において、３日の間に認証動作があると判別された場合（ステップＳ５４２；ＮＯ）、１ヶ月間認証動作がないか否かが判別される（ステップＳ５４４）。具体的には、直近に記録された監査証跡に含まれる認証時刻を参照することにより、１ヶ月間認証動作がないか否かが判別される。１ヶ月間認証動作がないと判別された場合（ステップＳ５４４；ＹＥＳ）、電子機器１０を設置してから１ヶ月経過しているか否かが判別される（ステップＳ５４５）。電子機器１０を設置してから１ヶ月経過していると判別された場合（ステップＳ５４５；以上）、後述するステップＳ５４８に移行される。電子機器１０を設置してから１ヶ月経過していないと判別された場合（ステップＳ５４５；未満）、監査処理は終了され、ステップＳ５５に移行される。

ステップＳ５４４において、１ヶ月間認証動作があると判別された場合（ステップＳ５４４；ＮＯ）、同一人物により５分以内に３回の認証があったか否かが判別される（ステップＳ５４６）。

ステップＳ５４６において、同一人物により５分以内に３回以上の認証があったと判別された場合（ステップＳ５４６；あり）、ステップＳ５４３に移行される。ステップＳ５４６において、同一人物により５分以内に３回以上の認証がないと判別された場合（ステップＳ５４６；なし）、同一人物により５分以内に５回以上の認証があったか否かが判別される（ステップＳ５４７）。

ステップＳ５４７において、同一人物により５分以内に５回以上の認証があったと判別された場合（ステップＳ５４７；あり）、「動作停止」が返される（ステップＳ５４８）。すなわち、リスクレベルが機器動作停止レベルと判別される。ステップＳ５４８の実行後、監査処理は終了される。

ステップＳ５４７において、同一人物により５分以内に５回以上の認証がないと判別された場合（ステップＳ５４７；なし）、２日分の監査証跡がチェックされる（ステップＳ５４８）。そして、２日分の監査証跡に含まれるＩＤ及び登録時刻が参照され、全員が登録２日以内であるか否かが判別される（ステップＳ５５０）。

ステップＳ５５０において、全員が登録２日以内であると判別された場合（ステップＳ５５０；ＹＥＳ）、ステップＳ５４３に移行される。全員が登録２日以内でないと判別された場合（ステップＳ５５０；ＮＯ）、７日分の監査証跡がチェックされる（ステップＳ５５１）。そして、７日分の監査証跡に含まれるＩＤ及び登録時刻が参照され、全員が登録７日以内であるか否かが判別される（ステップＳ５５２）。

ステップＳ５５２において、全員が登録７日以内であると判別された場合（ステップＳ５５２；ＹＥＳ）、ステップＳ５４５に移行される。全員が登録７日以内でないと判別された場合（ステップＳ５５２；ＮＯ）、「事象なし」が返される（ステップＳ５５３）。すなわち、監査証跡にリスクはないと判別される。ステップＳ５５３の実行後、監査処理は終了され、ステップ５５に移行される

ステップＳ５４の実行後、事象が発生したか否かが判別される（ステップＳ５５）。すなわち、監査証跡はリスクがあるか否かが判別される。事象が発生しないと判別された場合（ステップＳ５５；なし）、リスクレベル通知処理は終了される。事象が発生したと判別された場合（ステップＳ５５；発生）、事象は何かが判別される（ステップＳ５６）。すなわち、リスクレベルは、アラーム生成レベルであるのか機器動作停止レベルであるのかが判別される。

ステップＳ５６において、事象がアラーム（リスクレベルがアラーム生成レベル）であると判別された場合（ステップＳ５６；アラーム）、アラームメッセージが通知される（ステップＳ５７）。アラームメッセージとは、リスクレベルがアラームレベルであることを示すメッセージのことをいう。具体的には、本ステップは、通信部３６を介して電子機器１０にアラームメッセージが送信される。ステップＳ５７の実行後、リスクレベル通知処理は終了される。

ここで、電子機器処理のステップＳ３１において、電子機器１０から警告がセンタサーバ３０に通知された場合は、例えば、ステップＳ５７の実行後にアラームメッセージが表示部３４に表示され、センタサーバ３０側の管理者に通知される。

ステップＳ５６において、事象が停止（リスクレベルが機器動作停止レベル）であると判別された場合（ステップＳ５６；停止）、緊急メッセージが通知される（ステップＳ５８）。緊急メッセージとは、リスクレベルが機器動作停止レベルであることを示すメッセージのことをいう。具体的には、本ステップは、通信部３６を介して電子機器１０に緊急メッセージが送信される。ステップＳ５８の実行後、リスクレベル通知処理は終了される。

以上、本実施の形態によれば、監査証跡にリスクがあるか否かを判別し、リスクがある場合に、リスクを回避するための処理を行う。これにより、ユーザは、暗証情報を入力して認証を行う必要がないので、セキュリティを高めることができる。また、指紋情報を誤認識した場合であっても、再度、指紋情報を入力する必要がないので、指紋情報の入力の手間を軽減することができる。

また、ユーザはパスワードや暗証番号等の暗証情報を記憶する必要がないので、記憶に頼った運用を行う必要がない。また、暗証情報を入力する構成を必要としないので、暗証情報による認証機能及び指紋による認証機能を有した電子機器と比べて、余分なコストの発生を抑えることができる。

また、電子機器処理のステップＳ２４において、暗号化された指紋情報及びＩＤをセンタサーバ３０へ送信、又はフラッシュメモリ１５に記憶する。これにより、記憶された指紋情報及びＩＤを参照することにより、不正を企図した者を特定することができる。

また、ユーザは、指紋情報の識別率を考慮してリスクレベルを設定することができる。これにより、例えば、指紋情報を誤認識した場合であっても、指紋情報を再入力する必要がないので、指紋情報の入力の手間を軽減することができる。

また、警報発生レベルを参照して、監査証跡にリスクがあるか否かを判別し、リスクがあると判別された場合に、警報手段に警報を発生させる。これにより、ユーザは、予期しないリスクを発見する（予期しないリスクに気付く）ことができる。また、不要な電子機器１０の動作停止の回避措置を取ることができる。

また、動作停止レベルを参照して、監査証跡にリスクがあるか否かを判別し、リスクがあると判別された場合に、機器（電子機器）の動作を停止させる。これにより、第三者による不正使用等の被害の広がりを阻止することができる。

また、電子機器処理のステップＳ３１において、監査証跡にアラームレベルのリスクがあると判別された場合に、アラームメッセージを通信部１６を介してセンタサーバ３０に通知する。これにより、センタサーバ３０の管理者は、アラームレベルのリスクに対する防護措置を取ることができる。

なお、上記実施の形態における記述は、本発明に係る電子機器及びプログラムの一例であり、これに限定されるものではない。

例えば、上記実施の形態では、ＩＣカード１７Ａは、カード情報を記憶する構成としたが、これに限定されるものではない。例えば、指紋情報を識別する機能を有することとしてもよい。具体的に、図９を参照して、ＩＣカードが指紋情報を識別する機能を有する電子機器１０Ａを説明する。図９に電子機器１０Ａの内部構成を示す。以下、電子機器１０と同様な部分には同一の符号を付し、その詳細な説明を援用し、異なる部分について説明する。

電子機器１０ＡのＩＣカード１７Ｂは、記憶部１７Ｃと、識別部１７Ｄと、を備える。記憶部１７Ｃは、指紋情報及び指紋情報を暗号化するための暗号鍵を記憶する。識別部１７Ｄは、読取部１８により読み取られた指紋情報と、記憶部１７Ｃに記憶された指紋情報と、が一致するか否かを識別する。すなわち、ＩＣカード１７Ｂによりユーザの認証が行われる。これにより、ＩＣカード１７Ｂでユーザの認証を行うことのできる決済システム１を構築することができる。

このとき、電子機器１０Ａにおいて、指紋情報から電子機器１０Ａの認証（電子機器１０Ａの動作許可）を行う構成としてもよい。この場合、指紋情報から電子機器１０Ａの認証を行うための認証部（図示省略）により、電子機器１０Ａの認証が行われることとなる。

また、電子機器処理のステップＳ２２において、監査証跡抽出処理を行うこととしたが、監査証跡抽出処理を行わない構成としてもよい。すなわち、ステップＳ２１の実行後、監査証跡抽出処理を行うことなく、ステップＳ２３に移行することとしてもよい。

また、リスクレベル通知処理において、ステップＳ５５で事象が発生したと判別された場合、事象（アラームレベル又は機器停止レベルである旨の情報）を表示部３４に表示させ、表示された事象をセンタサーバ３０側の管理者が参照することにより、管理者が事象の判断（リスクレベルがアラームレベルであるのか機器動作停止レベルであるのかの判断）を行う構成としてもよい。

また、図４に示したセキュリティポリシーテーブル４０は一例である。セキュリティポリシーテーブル４０の各項目は、入力部１２を介して入力されることにより、電子機器１０の利用目的に応じて適正に作成される。

また、端末処理及びリスクレベル判定処理において、指紋情報の読取（入力）のみを電子機器１０で行い、指紋情報の入力以降の処理は、全てセンタサーバ３０で行う構成としてもよい。

また、上記実施の形態では、生体情報を指紋情報として説明したが、これに限定されるものではない。例えば、生体情報を声紋情報としてもよい。

その他、上記の実施の形態における決済システムの細部構成及び詳細動作に関しても、本発明の趣旨を逸脱しない範囲で適宜変更可能である。

１ 決済システム
１０，１０Ａ 電子機器
１１，３１ ＣＰＵ
１２，３２ 入力部
１３，３３ ＲＡＭ
１４，３４ 表示部
１５ フラッシュメモリ
１６，３６ 通信部
１７ カードリーダ
１７Ａ，１７Ｂ カード
１７Ｃ，３５ 記憶部
１７Ｄ 識別部
１８ 読取部
１９ 警報部
１９ａ 計時部
３０ センタサーバ
４０ セキュリティポリシーテーブル

本発明は、認証処理機能を有する電子機器及びプログラムに関する。

請求項１は、認証処理機能を有する電子機器であって、ユーザによる認証処理時に、今回の認証処理時での処理状況がリスクのある状況か否かを当該電子機器に記憶された記憶内容に基づいて自己チェックするチェック手段と、今回の認証処理時での前記処理状況を外部装置において検証チェックするためのチェック依頼情報を送信するチェック依頼手段と、を具備したことを特徴とすることを特徴とする。
請求項４は、認証処理機能を有する電子機器であって、当該電子機器に対する過去の認証処理時での処理状況履歴を記憶する記憶手段と、ユーザにより認証処理が行われた際は、前記記憶手段に記憶された処理状況履歴を参照することで、今回の認証処理時での処理状況がリスクのある処理状況か否かを自己チェックするチェック手段と、を具備したことを特徴とする。

Claims (7)

1. 認証処理機能を有する電子機器であって、
   当該電子機器に対する過去の認証処理時での処理状況履歴を記憶手段に記憶制御する記憶制御手段と、
   ユーザにより新たな認証処理が行われた際は、前記記憶手段に記憶された過去の認証処理時の処理状況履歴を参照することで、今回の認証処理時での処理状況がリスクの可能性のある処理状況か否かを判別する判別手段と、
   今回の認証処理時での前記処理状況を外部装置で検証チェックすべく、当該外部装置に対して前記処理状況の検証チェックの依頼情報を送信するチェック依頼手段と、
   前記外部装置での検証チェックのチェック結果を取得し、そのチェック結果に基づいて当該電子機器での動作を制御する動作制御手段と、
   を具備したことを特徴とする電子機器。
2. 前記判別手段は、当該電子機器に対する今回の認証処理が、前回の認証処理時から所定時間経過後における認証処理か否か、あるいは同一ユーザによる短時間における複数回の認証処理か否か、あるいは新たなユーザによる認証処理時での認証登録処理が短期間に複数回行われたか否か、を判定することで、今回の認証処理時での処理状況が不正ユーザによる不正認証処理のリスクの可能性のある処理状況か否かを判別する、
   ことを特徴とする請求項１に記載の電子機器。
3. 前記判別手段は、前記記憶手段に記憶された過去の認証処理時の処理状況履歴を参照することで、当該電子機器の使用頻度、あるいは認証処理の頻度、あるいは操作ユーザの同一性を判定し、その判定結果に基づいて、今回の認証処理の処理状況が、不正ユーザによる不正認証処理のリスクの可能性ある処理状況か否かを判別する、
   ことを特徴とする請求項１に記載の電子機器。
4. 前記記憶制御手段は、過去の認証処理時での処理状況履歴を、生体情報によるユーザ認証処理の認証結果の有無に拘わらず前記記憶手段に記憶制御する、
   ことを特徴とする請求項１〜３の何れかに記載の電子機器。
5. 前記チェック依頼手段は、今回の認証処理時での処理状況を前記外部装置に対して送信することで、今回の認証処理時での処理状況の検証チェックの依頼を行う、
   ことを特徴とする請求項１〜４の何れかに記載の電子機器。
6. 前記動作制御手段は、ユーザによる新たな認証処理時に前記外部装置から取得したチェック結果に基づいて、当該電子機器でのアラーム報知あるいは動作停止を制御する、
   ことを特徴とする請求項１〜５の何れかに記載の電子機器。
7. 認証処理機能を有する電子機器のコンピュータを制御するためのプログラムであって、
   前記コンピュータを、
   当該電子機器に対する過去の認証処理時での処理状況履歴を記憶手段に記憶制御する記憶制御手段、
   ユーザにより新たな認証処理が行われた際は、前記記憶手段に記憶された過去の認証処理時の処理状況履歴を参照することで、今回の認証処理時での処理状況がリスクの可能性のある処理状況か否かを判別する判別手段、
   今回の認証処理時での前記処理状況を外部装置で検証チェックすべく、当該外部装置に対して前記処理状況の検証チェックの依頼情報を送信するチェック依頼手段、
   前記外部装置での検証チェックのチェック結果を取得し、そのチェック結果に基づいて当該電子機器での動作を制御する動作制御手段、
   として機能させるようにしたコンピュータ読み取り可能なプログラム。

Images