JP2016163214A

JP2016163214A - セキュア化パケットのセキュリティ確認方法，ｕｉｃｃおよびコンピュータプログラム

Info

Publication number: JP2016163214A
Application number: JP2015041143A
Authority: JP
Inventors: 直登船津; Naoto Funatsu
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2015-03-03
Filing date: 2015-03-03
Publication date: 2016-09-05
Anticipated expiration: 2035-03-03
Also published as: JP6421648B2

Abstract

【課題】データの宛先となるＳＤ（セキュリティドメイン）に暗号サービスを提供するＳＤ側で，セキュア化パケットにセキュリティレベルを指定する方法、装置及びプログラムを提供する。
【解決手段】ＵＩＣＣ（ＵｎｉｖｅｒｓａｌＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔＣａｒｄ）１のセキュリティ確認手段１０は，データの宛先となるＳＤに設定された最小セキュリティレベルと，このＳＤに暗号サービスを提供するＳＤに設定された最小セキュリティレベルを比較し，高い方の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルとして決定し，このセキュリティ確認用の最小セキュリティレベルを用いて，セキュア化パケットに設定されたセキュリティレベルを確認する。
【選択図】図１

Description

本発明は，移動体通信端末に搭載されたＵＩＣＣが，ＯＴＡサーバから受信したセキュア化パケットに設定されたセキュリティを確認する技術に関する。

ＯＴＡ（Over The Air）サービスとは，無線通信を経由して，ユーザから要求されたＯＴＡデータを含ませたパケットを，ユーザが所持する移動体通信端末（例えば，携帯電話やスマートフォン）へ送信するサービスで，ＯＴＡサービスを利用することで，例えば，特許文献１のように，移動体通信端末に搭載されているＵＩＣＣ（Universal Integrated Circuit Card）に，クレジットサービス等で必要となるアプレットをリモートで発行できる。

移動体通信端末に搭載されているＵＩＣＣは，ＵＳＳＤ（Unstructured Supplementary Service Data）やＳＭＳ(short message service)などを用いて，ＯＴＡサーバとパケット交換できるように構成され，更に，ＵＩＣＣは，ＯＴＡサーバとＵＩＣＣ間にセキュアチャネルを確立し，ＯＴＡデータの暗号文を含むセキュア化パケット（Secured Packet）をＯＴＡサーバと交換できるように構成されている。

移動体通信端末に搭載されているＵＩＣＣには，非特許文献１に記載があるように，ＯＴＡサーバとパケット交換するためのアプレットとしてＴｏｏｌｋｉｔアプレットが実装される。また，ＯＴＡサーバとＵＩＣＣ間にセキュアチャネルを確立し，アプレット（アプリケーションも含む）のロード（LOAD）,インストール（INSTALL）および削除（DELETE）する機能はＲＡＭ (Remote Application Management)機能と呼ばれ，このＲＡＭ機能を有するＴｏｏｌｋｉｔアプレットをＲＡＭアプリケーションと呼んでいる。なお，このＲＡＭアプリケーションの動作およびセキュリティに関しては，非特許文献２にその仕様が定義されている。

非特許文献２によると，Ｔｏｏｌｋｉｔアプレットをインストールする際，Ｔｏｏｌｋｉｔアプレットを実行させる際に，最低限満たさなければならない最小セキュリティレベルを示すセキュリティパラメータ(非特許文献２では，「Minimum SPI1」)がＴｏｏｌｋｉｔアプレットに設定される。

非特許文献３に記載があるように，ＯＴＡサーバが送信するセキュア化パケットのヘッダーは，セキュア化パケットに設定したセキュリティレベルを示すセキュリティパラメータ（非特許文献３では，「SPI1」）を含み，ＲＡＭアプリケーションがＲＡＭ機能を実行する際，ＯＴＡデータを受信したＵＩＣＣは，ＲＡＭアプリケーションを実行させる前に，ＯＴＡサーバから受信したセキュア化パケットのヘッダーに含まれるセキュリティパラメータで示されるセキュリティレベルが，ＲＡＭアプリケーションに設定されている最小セキュリティレベルを満たしているか確認する。

一方で，暗号鍵を用いたセキュアチャネルを確立し，マルチアプリケーションＩＣカードにアプリケーションを安全にロード,インストールおよび削除する仕組みが，非特許文献４で定義されている。非特許文献４では，アプレット（アプリケーションも含む）を安全にロード,インストールおよび削除するためのアプリケーションとしてセキュリティドメイン（以下，「ＳＤ」と略す。ＳＤは，「Security Domain」の略。）が定義されており，カード発行者のＳＤは，ＩＳＤ（Issuer Security Domain）と呼ばれている。また，非特許文献４では，ＩＳＤに加え，アプリケーションプロバイダーなどが用いる補助的なＳＤであるＳＳＤ（supplementary security domain）も定義されている。

複数のＳＤを一つのＵＩＣＣに実装するとき，複数のＳＤは階層化されてＵＩＣＣに実装される。セキュアチャネルに用いる暗号鍵を有するＳＤは，セキュアチャネルに用いる暗号鍵を有さない下位のＳＤに対して，暗号鍵を用いた暗号サービス提供することが可能になっている。

図６は，ＳＤの階層構造の一例で，図６において，矢印は２つのＳＤ５ａ，ｂが関連していることを示しており，ＳＤ５ａはＳＤ５ｂの上位になっている。この場合，ＳＤ５ａは下位のＳＤ５ｂに対して暗号サービスの提供が可能である。

非特許文献２で定義されているＲＡＭアプリケーションおよび非特許文献４で定義されているＳＤは，いずれも，暗号鍵を用いてセキュアチャネルを確立する機能と，アプレット（アプリケーションも含む）をロード,インストールおよび削除するためのコマンドを有するため，非特許文献４で定義されているＳＤを非特許文献２で定義されているＲＡＭアプリケーションとして機能させるための仕様が非特許文献５で定義され，非特許文献５によれば，図６のＳＤａがＲＡＭアプリケーションとして機能する場合であっても，下位のＳＤ５ｂに暗号サービスを提供できる。

特開２０１４−９９１１８号公報

ETSI TS 102.241, "Smart Cards; UICC Application Programming Interface (UICC API)" ETSI TS 102.226, "Remote APDU structure for UICC based applications" ETSI TS 102 225, "Secured Packet structure for UICC based applications" Global Platform Card Specification v2.2 Global Platform UICC Configuration v1.0.1

しかしながら，階層構造において上位となるＳＤ（図６では，ＳＤ５ａ）から暗号サービスの提供を受けるＳＤ（図６では，ＳＤ５ｂ）がＯＴＡデータの宛先となる場合，ＯＴＡデータの暗号文を含むセキュア化パケットに設定されたセキュリティレベルの確認に用いる最小セキュリティレベルは，暗号サービスの提供を受けるＳＤ（図６では，ＳＤ５ｂ）に設定されている最小セキュリティレベルで，この最小セキュリティレベルは，暗号サービスを提供するＳＤ（図６では，ＳＤ５ａ）に設定された最小セキュリティレベルを満たしていない場合があった。

そこで，本発明は，階層構造において上位となるＳＤから暗号サービスの提供を受けるＳＤがＯＴＡデータの宛先となる場合，ＯＴＡデータの宛先となるＳＤに暗号サービスを提供するＳＤ側で，セキュア化パケットに設定されたセキュリティレベルを指定できるようにすることを課題とする。

上述した課題を解決する第１の発明は，ＲＡＭ(Remote Application Management)アプリケーションとして機能する複数のセキュリティドメイン（SD: Security Domain）を階層化して実装したＵＩＣＣ（Universal Integrated Circuit Card）が実行する方法であって，前記ＵＩＣＣが備えたセキュリティ確認手段が，前記ＵＩＣＣに実装されている前記ＳＤの階層構造を参照し，ＯＴＡ（Over The Air）サービスを利用して受信したセキュア化パケットに含まれるＯＴＡデータの宛先となる前記ＳＤに暗号サービスを提供する前記ＳＤを探索するステップａ，前記セキュリティ確認手段が，前記暗号サービスを提供するＳＤに設定されている最小セキュリティレベルと，前記ＯＴＡデータの宛先となるＳＤに設定されている最小セキュリティレベルを比較し，レベルが高い方の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルとして決定するステップｂ，前記セキュリティ確認手段が，前記セキュア化パケットに設定されているセキュリティレベルと前記セキュリティ確認用の最小セキュリティレベルを比較し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしているか確認し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしている場合，前記ＯＴＡデータの宛先となる前記ＳＤに前記セキュア化パケットに含まれるＯＴＡデータの暗号文を受け渡すステップｃを含むことを特徴とするセキュア化パケットのセキュリティ確認方法である。

更に，上述した課題を解決する第２の発明は，ＲＡＭ(Remote Application Management)アプリケーションとして機能する複数のセキュリティドメイン（SD: Security Domain）を階層化して実装したＵＩＣＣ（Universal Integrated Circuit Card）であって，前記ＵＩＣＣに実装されている前記ＳＤの階層構造を参照し，ＯＴＡ（Over The Air）サービスを利用して受信したセキュア化パケットに含まれるＯＴＡデータの宛先となる前記ＳＤに暗号サービスを提供する前記ＳＤを探索するステップａ，前記暗号サービスを提供するＳＤに設定されている最小セキュリティレベルと，前記ＯＴＡデータの宛先となるＳＤに設定されている最小セキュリティレベルを比較し，レベルが高い方の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルとして決定するステップｂ，前記セキュア化パケットに設定されているセキュリティレベルと前記セキュリティ確認用の最小セキュリティレベルを比較し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしているか確認し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしている場合，前記ＯＴＡデータの宛先となる前記ＳＤに前記セキュア化パケットに含まれるＯＴＡデータの暗号文を受け渡すステップｃ，を実行するセキュリティ確認手段を備えたことを特徴とするＵＩＣＣである。

更に，上述した課題を解決する第３の発明は，ＲＡＭ(Remote Application Management)アプリケーションとして機能する複数のセキュリティドメイン（SD: Security Domain）を階層化して実装したＵＩＣＣ（Universal Integrated Circuit Card）を動作させるコンピュータプログラムであって，前記ＵＩＣＣに実装されている前記ＳＤの階層構造を参照し，ＯＴＡ（Over The Air）サービスを利用して受信したセキュア化パケットに含まれるＯＴＡデータの宛先となる前記ＳＤに暗号サービスを提供する前記ＳＤを探索するステップａ，前記暗号サービスを提供するＳＤに設定されている最小セキュリティレベルと，前記ＯＴＡデータの宛先となるＳＤに設定されている最小セキュリティレベルを比較し，レベルが高い方の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルとして決定するステップｂ，前記セキュア化パケットに設定されているセキュリティレベルと前記セキュリティ確認用の最小セキュリティレベルを比較し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしているか確認し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしている場合，前記ＯＴＡデータの宛先となる前記ＳＤに前記セキュア化パケットに含まれるＯＴＡデータの暗号文を受け渡すステップｃを実行するセキュリティ確認手段として，ＵＩＣＣを機能させるためのコンピュータプログラムである。

上述した本発明によれば，階層構造において上位となるＳＤから暗号サービスの提供を受けるＳＤに設定された最小セキュリティレベルよりも，このＳＤに暗号サービスを提供するＳＤに設定された最小セキュリティレベルが高い場合，ＵＩＣＣのセキュリティ確認手段は，後者の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルとして決定するため，セキュリティ確認用の最小セキュリティレベルは，暗号サービスを提供するＳＤに設定された最小セキュリティレベルを必ず満たすことになり，階層構造において上位となるＳＤから暗号サービスの提供を受けるＳＤがＯＴＡデータの宛先となる場合，ＯＴＡデータの宛先となるＳＤに暗号サービスを提供するＳＤ側で，セキュア化パケットに設定されたセキュリティレベルを指定できるようになる。

ＯＴＡサービスの概要を説明する図。ＵＩＣＣのアーキテクチャを説明する図。ＳＤの階層構造を説明する図。ＯＴＡサービスで実行される処理を説明する図。ＵＩＣＣが備えるセキュリティ確認手段の動作を説明する図。ＳＤの階層構造の一例。

ここから，本発明の好適な実施形態を記載する。なお，以下の記載は本発明の範囲を束縛するものでなく，理解を助けるために記述するものである。

図１は，ＯＴＡサービスの概要を説明する図である。ＯＴＡサービスとは，移動体通信網を含むネットワーク４を経由して，ユーザから要求されたＯＴＡデータを含ませたパケットを，ユーザが所持する移動体通信端末２（ここでは，スマートフォン）へ送信するサービスで，図１に図示したように，ＯＴＡサービスを実行するシステムは，ネットワーク４を経由して，ユーザから要求されたＯＴＡデータを暗号化して含ませたセキュア化パケットを移動体通信端末２へ送信するＯＴＡサーバ３と，ＯＴＡサーバ３が送信したセキュア化パケットを受信する移動体通信端末２を含む。移動体通信端末２はＵＩＣＣ１を搭載し，ＵＩＣＣ１は，コンピュータプログラムにより実現される機能として，セキュア化パケットに設定されたセキュリティレベルを確認するセキュリティ確認手段１０を備えている。

移動体通信端末２に搭載されるＵＩＣＣ１について説明する。図２は，移動体通信端末２に搭載されるＵＩＣＣ１のアーキテクチャを説明する図である。移動体通信端末２に搭載されるＵＩＣＣ１は，上述の非特許文献４に準拠したＩＣカードで，そのアーキテクチャは，図２のようになっている。

図２に図示したように，ＵＩＣＣ１のアーキテクチャは，ＣＰＵ（Central Processing Unit），ＲＡＭ（Random Access Memory），ＲＯＭ（ReadOnly Memory），ＮＶＭ（Non-Volatile Memory），暗号演算コプロセッサなどを有するＵＩＣＣ１のＩＣチップ１１で動作する複数のソフトウェアで構成される。

図２では，ＵＩＣＣ１のアーキテクチャを構成するソフトウェアとして，実行環境１２（Runtime Environment），グローバルプラットフォームＡＰＩ１３（GlobalPlatform API），ＳＤ１４およびアプリケーション１５を図示している。なお，本実施形態において，ＵＩＣＣ１に備えられるセキュリティ確認手段１０として機能するコンピュータプログラムは実行環境１２に実装されている。

図２の実行環境１２は，Ｊａｖａ（登録商標）の言語で記述されたアプリケーション１５が動作する環境を提供するソフトウェアである。図２のグローバルプラットフォームＡＰＩ１３は，ＵＩＣＣ１に実装されているアプリケーション１５に対して，アプリケーション１５が必要とする機能を提供するためのＡＰＩである。

図２のＳＤ１４は，実行環境１２上で動作するソフトウェアで，暗号鍵を用いたセキュアチャネルを確立し，ＵＩＣＣ１にアプリケーション１５を安全にロード,インストールおよび削除する機能を有し，本実施形態において，ＵＩＣＣ１に実装されるＳＤ１４は，非特許文献２のＲＡＭアプリケーションとして機能できるように設計されている。図３では，カード発行者のＳＤ１４であるＩＳＤ１４ａに加え，ＳＳＤとして，ＳＳＤ１４ｂとＳＳＤ１４ｃがＵＩＣＣ１に実装されている。

図２のアプリケーション１５は，実行環境１２上で動作するソフトウェアで，その機能は特定分野（例えば，テレコムや金融）に特化している。図２では，アプリケーション１５として，ＩＳＤ１４ａによって管理されるカード発行者のアプリケーション１５ａに加え，ＳＳＤ１４ｂによって管理されるアプリケーション１５ｂと，ＳＳＤ１４ｃによって管理されるアプリケーション１５ｃがＵＩＣＣ１に実装されている。

図３は，本実施形態におけるＳＤ１４の階層構造を説明する図である。ＳＤ１４は階層化されてＵＩＣＣ１に実装される。本実施形態において，ＳＤ１４の階層構造は３層構造で，最上位になるＳＤ１４はＩＳＤ１４ａで，２番目に上位になるＳＤ１４はＳＳＤ１４ｂで，そして，最下位になるＳＤ１４はＳＳＤ１４ｃである。図３において，３つのＳＤ１４はそれぞれＲＡＭアプリケーションとして機能できるように設計されているが，セキュアチャネルに用いる暗号鍵を有しているＳＤ１４は最上位になるＩＳＤ１４ａのみで，その下位になるＳＤ１４（ＳＳＤ１４ｂおよびＳＳＤ１４ｃ）は，最上位になるＩＳＤ１４ａから暗号サービスが提供されるように構成されている。

ここから，ＯＴＡサービスで実行される処理の概要について説明してから，本実施形態に係るＵＩＣＣ１が備えるセキュリティ確認手段１０の動作について説明する。

図４は，ＯＴＡサービスで実行される処理を説明する図である。ＯＴＡサーバ３は，所定の手順に従い，ＯＴＡサーバ３とＵＩＣＣ１間にセキュアチャネルを確立した後，移動体通信端末２からＯＴＡデータの送信要求を受けると，送信要求を受けたＯＴＡデータを記憶しているサーバからこのＯＴＡデータを取得し，セキュアチャネルに用いる暗号鍵によりＯＴＡデータを暗号化する（Ｓ１）。

次に，ＯＴＡサーバ３は，ＯＴＡデータの暗号文を含ませたセキュア化パケットを生成し（Ｓ２），ＵＳＳＤ（Unstructured Supplementary Service Data）やＳＭＳ(short message service)などを用いて，送信要求した移動体通信端末２へこのセキュア化パケットを送信する（Ｓ３）。なお，移動体通信端末２へ送信するセキュア化パケットは，ＯＴＡデータの暗号文に加え，セキュア化パケットに適用したセキュリティレベルを示すセキュリティパラメータ（具体的には，非特許文献３の「SPI1」になる）を含むヘッダーを含む。

移動体通信端末２は，ＯＴＡサーバ３が送信したセキュア化パケットを受信すると，ＯＴＡサーバ３から受信したセキュア化パケットをＵＩＣＣ１へ転送し（Ｓ４），移動体通信端末２に搭載されたＵＩＣＣ１は，ＯＴＡサーバ３が送信したセキュア化パケットに含まれるＯＴＡデータの暗号文を復号し，ＯＴＡデータを処理して（Ｓ５），この手順は終了する。

図５は，ＵＩＣＣ１が備えるセキュリティ確認手段１０の動作を説明する図である。ＵＩＣＣ１がＯＴＡサーバ３からセキュア化パケットを受信すると，ＵＩＣＣ１のセキュリティ確認手段１０は，まず，セキュア化パケットを用いて送信されるＯＴＡデータを受け渡しするＳＤ１４に対して暗号サービスを提供するＳＤ１４を探索する（Ｓ１０）。ＯＴＡデータを受け渡しするＳＤ１４に暗号サービスを提供するＳＤ１４は，ＳＤ１４の階層構造において，ＯＴＡデータを受け渡しするＳＤ１４の上位になるＳＤ１４の中から，セキュアチャネルに用いる暗号鍵を有し，かつ，ＯＴＡデータを受け渡しするＳＤ１４に最も近いＳＤ１４になる。図４を例に挙げて説明すると，ＯＴＡデータを受け渡しするＳＤ１４がＳＳＤ１４ｃの場合，暗号サービスを提供するＳＤ１４はＩＳＤ１４ａになる。なお，ＯＴＡデータを受け渡しするＳＤ１４がセキュアチャネルに用いる暗号鍵を有している場合，暗号サービスを提供するＳＤ１４は，ＯＴＡデータを受け渡しするＳＤ１４になる。例えば，ＯＴＡデータを受け渡しするＳＤ１４がＩＳＤ１４ａの場合，暗号サービスを提供するＳＤ１４はＩＳＤ１４ａ自身になる。

次に，ＵＩＣＣ１のセキュリティ確認手段１０は，暗号サービスを提供するＳＤ１４に最小セキュリティレベルが設定されているか確認する（Ｓ１１）。非特許文献２によれば，「Minimum SPI1」によって最小セキュリティレベルが示されるため，ＵＩＣＣ１のセキュリティ確認手段１０は，暗号サービスを提供するＳＤ１４の「Minimum SPI1」を確認することになる。

暗号サービスを提供するＳＤ１４に最小セキュリティレベルが設定されていなければ，ＵＩＣＣ１のセキュリティ確認手段１０は，ＯＴＡデータを受け渡しするＳＤ１４に設定されている最小セキュリティレベルを，セキュア化パケットに設定されているセキュリティレベルと比較するセキュリティ確認用の最小セキュリティレベルに決定する（Ｓ１４）。

また，暗号サービスを提供するＳＤ１４に最小セキュリティレベルが設定されていれば，ＵＩＣＣ１のセキュリティ確認手段１０は，暗号サービスを提供するＳＤ１４に設定されている最小セキュリティレベルとＯＴＡデータの宛先となるＳＤ１４に設定されている最小セキュリティレベルを比較し（Ｓ１２），レベルが高い方の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルに決定する（Ｓ１３）。「Minimum SPI1」によって最小セキュリティレベルが示されるため，ＵＩＣＣ１のセキュリティ確認手段１０は，暗号サービスを提供するＳＤ１４の「Minimum SPI1」，または，ＯＴＡデータの宛先となるＳＤ１４の「Minimum SPI1」のいずれかをセキュリティ確認用の最小セキュリティレベルとして決定することになる。

次に，ＵＩＣＣ１のセキュリティ確認手段１０は，セキュア化パケットに設定されたセキュリティレベルがセキュリティ確認用の最小セキュリティレベルを満たしているか確認する（Ｓ１５）。上述の「SPI1」および「Minimum SPI1」では，一つのビットまたは複数のビットで，一つのセキュリティ条件が示されるため，ＵＩＣＣ１のセキュリティ確認手段１０は，「SPI1」および「Minimum SPI1」をビット単位で比較することで，セキュア化パケットに設定されたセキュリティレベルがセキュリティ確認用の最小セキュリティレベルよりも高いかまたは同等であるか確認する。

ＵＩＣＣ１のセキュリティ確認手段１０は，セキュア化パケットに設定されたセキュリティレベルがセキュリティ確認用の最小セキュリティレベルを満たしていれば，セキュア化パケットに含まれるＯＴＡデータの暗号文を，ＯＴＡデータの宛先となるＳＤ１４に引き渡す（Ｓ１６）。

ＯＴＡデータの宛先となるＳＤ１４は，暗号サービスを提供するＳＤ１４が保持する暗号鍵を用いて，セキュア化パケットに含まれるＯＴＡデータの暗号文を復号し，ＯＴＡデータで示される処理を実行して（Ｓ１７），この手順は終了する。

なお，セキュア化パケットに設定されたセキュリティレベルがセキュリティ確認用の最小セキュリティレベルを満たしていなければ，ＵＩＣＣ１のセキュリティ確認手段１０は，セキュリティエラーと判断して，セキュア化パケットに含まれるＯＴＡデータの暗号文を，ＯＴＡデータの宛先となるＳＤ１４に引き渡すことなく（Ｓ１８），この手順を終了する。

非特許文献２に従えば，ＯＴＡデータの宛先となるＳＤ１４がＲＡＭ機能を実行する際，セキュア化パケットに設定されているセキュリティレベルと比較する最小セキュリティレベルは，ＯＴＡデータの宛先となるＳＤ１４に設定されている最小セキュリティレベルになる。例えば，ＯＴＡデータの宛先となるＳＤ１４が図３のＳＳＤ１４ｃの場合，セキュア化パケットに設定されているセキュリティレベルと比較する最小セキュリティレベルは，図３のＳＳＤ１４ｃに設定されている最小セキュリティレベルになる。

これに対し，本実施形態に係るＵＩＣＣ１では，ＯＴＡデータの宛先となるＳＤ１４が，上位となるＳＤ１４から暗号サービスの提供を受けるように構成されている場合，暗号サービスを提供するＳＤ１４に設定されている最小セキュリティレベルが，ＯＴＡデータの宛先となるＳＤ１４に設定されている最小セキュリティレベルよりも高ければ，セキュア化パケットに設定されているセキュリティレベルと比較するセキュリティ確認用の最小セキュリティレベルは，暗号サービスを提供するＳＤ１４に設定されている最小セキュリティレベルになる。この場合，暗号サービスを提供するＳＤ１４に設定されている最小セキュリティレベルは，ＯＴＡデータの宛先となるＳＤ１４に設定されている最小セキュリティレベルを満たすため，ＵＩＣＣ１のセキュリティ確認手段１０が決定するセキュリティ確認用の最小セキュリティレベルは，暗号サービスを提供するＳＤ１４に設定されている最小セキュリティレベルも，ＯＴＡデータの宛先となるＳＤ１４に設定されている最小セキュリティレベルも満たすことになる。

暗号サービスを提供するＳＤ１４に設定されている最小セキュリティレベルが，ＯＴＡデータの宛先となるＳＤ１４に設定されている最小セキュリティレベルよりも低ければ，セキュア化パケットに設定されているセキュリティレベルと比較するセキュリティ確認用の最小セキュリティレベルは，ＯＴＡデータの宛先となるＳＤ１４に設定されている最小セキュリティレベルになる。この場合，ＯＴＡデータの宛先となるＳＤ１４に設定されている最小セキュリティレベルは，暗号サービスを提供するＳＤ１４に設定されている最小セキュリティレベルを満たすため，ＵＩＣＣ１のセキュリティ確認手段１０が決定するセキュリティ確認用の最小セキュリティレベルは，暗号サービスを提供するＳＤ１４に設定されている最小セキュリティレベルも，ＯＴＡデータの宛先となるＳＤ１４に設定されている最小セキュリティレベルも満たすことになる。

このように，階層構造において上位となるＳＤ１４から暗号サービスの提供を受けるＳＤ１４に設定された最小セキュリティレベルよりも，このＳＤ１４に暗号サービスを提供するＳＤ１４に設定された最小セキュリティレベルが高い場合，ＵＩＣＣ１のセキュリティ確認手段１０は，後者の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルとして決定するため，セキュリティ確認用の最小セキュリティレベルは，暗号サービスを提供するＳＤ１４に設定された最小セキュリティレベルを必ず満たすことになり，階層構造において上位となるＳＤ１４から暗号サービスの提供を受けるＳＤ１４がＯＴＡデータの宛先となる場合，ＯＴＡデータの宛先となるＳＤ１４に暗号サービスを提供するＳＤ１４側で，セキュア化パケットに設定されたセキュリティレベルを指定できるようになる。

１ＵＩＣＣ
１０セキュリティ確認手段
１４ＳＤ（Security Domain）
２移動体通信端末
３ＯＴＡサーバ

Claims

ＲＡＭ(Remote Application Management)アプリケーションとして機能する複数のセキュリティドメイン（SD: Security Domain）を階層化して実装したＵＩＣＣ（Universal Integrated Circuit Card）が実行する方法であって，
前記ＵＩＣＣが備えたセキュリティ確認手段が，前記ＵＩＣＣに実装されている前記ＳＤの階層構造を参照し，ＯＴＡ（Over The Air）サービスを利用して受信したセキュア化パケットに含まれるＯＴＡデータの宛先となる前記ＳＤに暗号サービスを提供する前記ＳＤを探索するステップａ，前記セキュリティ確認手段が，前記暗号サービスを提供するＳＤに設定されている最小セキュリティレベルと，前記ＯＴＡデータの宛先となるＳＤに設定されている最小セキュリティレベルを比較し，レベルが高い方の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルとして決定するステップｂ，前記セキュリティ確認手段が，前記セキュア化パケットに設定されているセキュリティレベルと前記セキュリティ確認用の最小セキュリティレベルを比較し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしているか確認し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしている場合，前記ＯＴＡデータの宛先となる前記ＳＤに前記セキュア化パケットに含まれるＯＴＡデータの暗号文を受け渡すステップｃ，
を含む，
ことを特徴とするセキュア化パケットのセキュリティ確認方法。
ＲＡＭ(Remote Application Management)アプリケーションとして機能する複数のセキュリティドメイン（SD: Security Domain）を階層化して実装したＵＩＣＣ（Universal Integrated Circuit Card）であって，
前記ＵＩＣＣに実装されている前記ＳＤの階層構造を参照し，ＯＴＡ（Over The Air）サービスを利用して受信したセキュア化パケットに含まれるＯＴＡデータの宛先となる前記ＳＤに暗号サービスを提供する前記ＳＤを探索するステップａ，前記暗号サービスを提供するＳＤに設定されている最小セキュリティレベルと，前記ＯＴＡデータの宛先となるＳＤに設定されている最小セキュリティレベルを比較し，レベルが高い方の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルとして決定するステップｂ，前記セキュア化パケットに設定されているセキュリティレベルと前記セキュリティ確認用の最小セキュリティレベルを比較し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしているか確認し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしている場合，前記ＯＴＡデータの宛先となる前記ＳＤに前記セキュア化パケットに含まれるＯＴＡデータの暗号文を受け渡すステップｃ，を実行するセキュリティ確認手段を備えた，ことを特徴とするＵＩＣＣ。
ＲＡＭ(Remote Application Management)アプリケーションとして機能する複数のセキュリティドメイン（SD: Security Domain）を階層化して実装したＵＩＣＣ（Universal Integrated Circuit Card）を動作させるコンピュータプログラムであって，
前記ＵＩＣＣに実装されている前記ＳＤの階層構造を参照し，ＯＴＡ（Over The Air）サービスを利用して受信したセキュア化パケットに含まれるＯＴＡデータの宛先となる前記ＳＤに暗号サービスを提供する前記ＳＤを探索するステップａ，前記暗号サービスを提供するＳＤに設定されている最小セキュリティレベルと，前記ＯＴＡデータの宛先となるＳＤに設定されている最小セキュリティレベルを比較し，レベルが高い方の最小セキュリティレベルをセキュリティ確認用の最小セキュリティレベルとして決定するステップｂ，前記セキュア化パケットに設定されているセキュリティレベルと前記セキュリティ確認用の最小セキュリティレベルを比較し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしているか確認し，前記セキュア化パケットに設定されているセキュリティレベルが，前記セキュリティ確認用の最小セキュリティレベルを満たしている場合，前記ＯＴＡデータの宛先となる前記ＳＤに前記セキュア化パケットに含まれるＯＴＡデータの暗号文を受け渡すステップｃ，を実行するセキュリティ確認手段として，ＵＩＣＣを機能させるためのコンピュータプログラム。