JP2017016428A - セキュリティシステム、端末装置、及びプログラム - Google Patents

Abstract

【課題】セキュリティを確保しつつ、利便性を向上させることができるセキュリティシステム、端末装置、及びプログラムを提供する。
【解決手段】セキュリティシステム１ａは、端末装置２ａと、携帯可能電子装置（ＵＩＭ３ａ)を持つ。端末装置２ａは、機密情報記憶部（トークン記憶部４１ａ)と、取得部６１ａと、第１の処理部とを持つ。機密情報記憶部は、機密情報を記憶する。取得部６１ａは、送信要求に応じて、機密情報を機密情報記憶部から取得するとともに、制限情報をＵＩＭ３ａから取得する。第１の処理部は、取得した制限情報に基づいて、機密情報を有効にすると判定された場合に、機密情報を送信要求の要求元に送信する。ＵＩＭ３ａは、制限情報記憶部７１ａと、第２の処理部を持つ。制限情報記憶部７１ａは、制限情報を記憶する。第２の処理部は、制限情報記憶部７１ａが記憶する制限情報を端末装置２ａに送信する。
【選択図】図１５

Description

本発明の実施形態は、セキュリティシステム、端末装置、及びプログラムに関する。

スマートフォンを含む携帯電話などの端末装置では、ＵＩＭ（User Identity Module）などのＳＥ（Secure Element）を利用したサービスの提供が行われている。このようなサービスが提供される場合、セキュリティを確保するために、端末装置のオペレーティングシステム（ＯＳ）から独立した専用デバイス（例えば、ＮＦＣコントローラなど）を経由して、ＳＥにアクセスがなされる。このように、ＳＥへのアクセス手段が限定されるため、サービス提供者は、専用デバイスを経由して、例えば、ＳＥにサービスの提供に必要な機密情報を記憶させるための専用システム（例えば、ＴＳＭ（Trusted Service Manager））を構築する必要がある。

また、近年、ＨＣＥ（Host-based Card Emulation）という技術を利用して、ＳＥに記憶されていた機密情報を、専用デバイスを経由せずに、ネットワーク上のクラウド環境に記憶させることが行われている。ＨＣＥには、専用システムを構築する必要がなく、サービス提供者が機密情報を直接管理できるといった利点がある。さらに、端末装置がネットワークに接続できないオフライン環境では、クラウド環境にアクセスできないため、トークンと呼ばれる形式のデータをクラウド環境から端末装置に転送しておき、オフライン環境において当該トークンを利用してサービスを提供するトークナイゼーションという技術が知られている。ここで、トークンとは、機密情報を一時的にパッケージ化したデータである。しかしながら、トークンを利用する場合には、セキュリティを確保するために、利用回数や利用期限などを付加して、オフライン環境での利用を制限する必要があり、利便性が低下する場合があった。

特開２００９−２５９１３３号公報

本発明が解決しようとする課題は、セキュリティを確保しつつ、利便性を向上させることができるセキュリティシステム、端末装置、及びプログラムを提供することである。

実施形態のセキュリティシステムは、端末装置と、携帯可能電子装置とを持つ。端末装置は、機密情報記憶部と、取得部と、第１の処理部とを持つ。機密情報記憶部は、提供されるサービスに関する機密情報を記憶する。取得部は、前記機密情報の送信を要求する送信要求に応じて、前記機密情報を前記機密情報記憶部から取得するとともに、前記機密情報の使用を制限する制限情報を、携帯可能電子装置から取得する。第１の処理部は、前記取得部が前記携帯可能電子装置から取得した前記制限情報に基づいて、前記機密情報を有効にするか否かを判定し、前記機密情報を有効にすると判定された場合に、当該機密情報を前記送信要求の要求元に送信する。前記携帯可能電子装置は、制限情報記憶部と、第２の処理部とを持つ。制限情報記憶部は、前記制限情報を記憶する。第２の処理部は、前記制限情報記憶部が記憶する前記制限情報を前記端末装置に送信する。

第１の実施形態のセキュリティシステムの一例を示す図。 第１の実施形態のセキュリティシステムのハードウェア構成例を示す図。 第１の実施形態のセキュリティシステムの機能構成例を示すブロック図。 第１の実施形態のトークン記憶部のデータ例を示す図。 第１の実施形態の拡張情報記憶部のデータ例を示す図。 第１の実施形態のトークンオプション設定コマンドのデータ形式例を示す図。 第１の実施形態のトークンオプション設定コマンドのモード・オプション設定の一例を示す図。 第１の実施形態のトークンオプション設定コマンドの動作の一例を示すフローチャート。 第１の実施形態のトークンオプション設定コマンドの初期登録処理の一例を示すフローチャート。 第１の実施形態のトークンオプション設定コマンドの確認処理の一例を示すフローチャート。 第１の実施形態のトークンオプション設定コマンドの変更処理の一例を示すフローチャート。 第１の実施形態のセキュリティシステムのオプション情報の登録動作の一例を示す図。 第１の実施形態のセキュリティシステムのトークンの確認動作の一例を示す図。 第１の実施形態のセキュリティシステムのオプション情報の変更動作の一例を示す図。 第２の実施形態のセキュリティシステムの機能構成例を示すブロック図。 第２の実施形態のトークン記憶部のデータ例を示す図。 第２の実施形態の制限情報記憶部のデータ例を示す図。 第２の実施形態のセキュリティシステムのトークンの確認動作の一例を示す図。 第３の実施形態のセキュリティシステムの機能構成例を示すブロック図。 第３の実施形態のトークンオプション設定コマンドの変更処理の一例を示すフローチャート。 第３の実施形態のセキュリティシステムのオプション情報の変更動作の一例を示す図。

以下、実施形態のセキュリティシステム、端末装置、及びプログラムを、図面を参照して説明する。

（第１の実施形態）
図１は、第１の実施形態のセキュリティシステム１の一例を示す図である。
図１に示すように、セキュリティシステム１は、携帯端末２と、ＵＩＭ３と、端末４と、サーバ装置５とを備えている。
携帯端末２（端末装置の一例）は、例えば、スマートフォンなどの携帯電話である。携帯端末２は、例えば、ＮＦＣ（Near field radio communication：近距離無線通信）インターフェースによって、端末４と通信し、使用者にサービスを提供する。また、携帯端末２は、ネットワークＮＷに接続された基地局装置など（図示せず）と例えば、移動体通信などの無線により通信することで、ネットワークＮＷと接続される。また、携帯端末２は、例えば、ＵＩＭ３を内蔵している。なお、携帯端末２の構成の詳細については、後述する。

ＵＩＭ３（携帯可能電子装置の一例）は、例えば、ＳＩＭ（Subscriber Identity Module Card）カードなどのＩＣ（Integrated Circuit）カードである。ＵＩＭ３は、携帯端末２が提供するサービスに利用する機密情報を記憶する。ＵＩＭ３は、例えば、プラスチックのカード基材ＰＴ（カード本体の一例）に、コンタクト部３１に接続されたＩＣチップ３０（後述の図２参照）を実装して形成されている。

また、ＵＩＭ３は、コンタクト部３１を介して、外部装置（例えば、携帯端末２など）と通信可能である。ＵＩＭ３は、例えば、外部装置が送信したコマンド（処理要求）を、コンタクト部３１を介して受信し、受信したコマンドに応じた処理（コマンド処理）を実行する。そして、ＵＩＭ３は、コマンド処理の実行結果であるレスポンス（処理応答）を外部装置にコンタクト部３１を介して送信する。なお、ＵＩＭ３の構成の詳細については、後述する。

端末４（外部装置の一例）は、例えば、ＮＦＣインターフェースによって携帯端末２と通信するリーダライタ（Ｒ／Ｗ）である。また、端末４は、ネットワークＮＷに接続されていてもよい。
サーバ装置５は、ネットワークＮＷに接続された（クラウド環境にある）コンピュータ装置であり、サービスを提供する提供元が所有する。サーバ装置５は、例えば、使用者にサービスを提供するための機密情報を記憶する。

なお、図１に示す例では、携帯端末２がネットワークＮＷに接続している状態におけるサービスを提供する処理を、オンライン処理と呼ぶ。このオンライン処理の場合には、携帯端末２は、ネットワークＮＷを介して、サーバ装置５から機密情報を取得し、取得した機密情報を端末４に送信する。これにより、セキュリティシステム１は、使用者にサービスを提供する。

また、携帯端末２がネットワークＮＷに接続していない状態におけるサービスを提供する処理を、オフライン処理と呼ぶ。このオフライン処理の場合には、携帯端末２は、端末装置に記憶されているトークン（機密情報の一例）を端末４に送信する。これにより、セキュリティシステム１は、使用者にサービスを提供する。

次に、図２を参照して、実施形態の携帯端末２、及びＵＩＭ３のハードウェア構成について説明する。
図２は、本実施形態のセキュリティシステム１のハードウェア構成例を示す図である。
図２に示すように、セキュリティシステム１は、携帯端末２と、ＵＩＭ３とを備えている。

携帯端末２は、ＣＰＵ（Central Processing Unit）２１と、ＲＡＭ２２（Random Access Memory）と、不揮発性メモリ２３と、入力部２４と、表示部２５と、カードＩ／Ｆ（インターフェース）部２６と、ＮＷ（ネットワーク）通信部２７と、ＮＦＣコントローラ２８と、コイル２９とを備えている。なお、ＣＰＵ２１と、ＲＡＭ２２と、不揮発性メモリ２３と、入力部２４と、表示部２５と、カードＩ／Ｆ部２６と、ＮＷ通信部２７と、ＮＦＣコントローラ２８とは、システムバスＢＳ１を介して接続されている。

ＣＰＵ２１は、例えば、ＲＡＭ２２又は不揮発性メモリ２３に記憶されているプログラムを実行して、携帯端末２の各種処理を行う。なお、本実施形態において、ＣＰＵ２１は、通常ＯＳ（Operating System：オペレーティングシステム）を動作させる通常モードと、各種セキュリティ機能を備え、セキュアＯＳを動作させるセキュアモードとを有している。なお、ここで、通常ＯＳは、例えば、ＡＮＤＲＯＩＤ（登録商標）のＯＳなどであり、サービスを提供するアプリケーションを実行するＯＳである。また、セキュアＯＳは、通常ＯＳとは異なる独立したＯＳであり、通常ＯＳから直接アクセスすることが不可能な記憶領域（例えば、セキュリティ領域）にアクセス可能である。また、本実施形態において、「アプリケーション」とは、携帯端末２の通常ＯＳにおいて実行されるアプリケーションプログラムのことであり、ＵＩＭ３において実行されるアプリケーションとは異なる。

ＲＡＭ２２は、例えば、ＤＲＡＭ（Dynamic RAM）やＳＲＡＭ（Static RAM）などの揮発性メモリであり、携帯端末２の各種処理を行う際に利用されるデータ及びプログラムを一時記憶する。
不揮発性メモリ２３は、例えば、マスクＲＯＭ（Read Only Memory）やフラッシュＲＯＭなどのメモリであり、携帯端末２の各種処理を実行するためのプログラムなどを記憶する。

入力部２４は、例えば、キースイッチやタッチパネルであり、使用者から入力された情報を受け付ける。入力部２４は、例えば、使用者の正当性を確認する認証情報であるＰＩＮ（Personal Identification Number）を受け付ける。
表示部２５は、例えば、液晶ディスプレイなどの表示装置であり、各種情報を表示する。表示部２５は、例えば、サービスを提供する際の各種メッセージ（例えば、ＰＩＮの入力を促すメッセージなど）を表示させる。

カードＩ／Ｆ部２６は、ＵＩＭ３用（例えば、ＩＣカード用）のコンタクト部３１を介した接触インターフェースである。カードＩ／Ｆ部２６は、携帯端末２がＵＩＭ３と通信する際に使用される。
ＮＷ通信部２７は、例えば、３Ｇ移動体通信（第３世代移動通信）などの無線通信により通信する通信モジュールである。ＮＷ通信部２７は、無線通信によりネットワークＮＷと接続可能であり、当該ネットワークＮＷを介して、サーバ装置５と通信する。

ＮＦＣコントローラ２８は、非接触インターフェースにより端末４と通信する非接触Ｉ／Ｆ部である。ＮＦＣコントローラ２８は、コイル２９を介して、端末４と通信する。
コイル２９は、端末４との間のデータ通信に用いられるアンテナコイルである。

また、携帯端末２は、ＵＩＭ３を内蔵しており、ＵＩＭ３は、ＩＣチップ３０と、コンタクト部３１とを備えている。そして、ＩＣチップ３０は、通信Ｉ／Ｆ部３２と、ＣＰＵ３３と、ＲＯＭ３４と、ＲＡＭ３５と、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）３６とを備えている。

通信Ｉ／Ｆ部３２は、コンタクト部３１を介した接触インターフェースであり、ＵＩＭ３と携帯端末２との間の通信（コマンド／レスポンスの送受信）を、コンタクト部３１を介して行う。
ＣＰＵ３３は、ＲＯＭ３４又はＥＥＰＲＯＭ３６に記憶されているプログラムを実行して、ＵＩＭ３の各種処理を行う。ＣＰＵ３３は、例えば、コンタクト部３１を介して、通信Ｉ／Ｆ部３２が受信したコマンドに応じたコマンド処理を実行する。

ＲＯＭ３４は、例えば、マスクＲＯＭなどの不揮発性メモリであり、ＵＩＭ３の各種処理を実行するためのプログラム、及びコマンドテーブルなどのデータを記憶する。
ＲＡＭ３５は、例えば、ＳＲＡＭ（Static RAM）などの揮発性メモリであり、ＵＩＭ３の各種処理を行う際に利用されるデータを一時記憶する。

ＥＥＰＲＯＭ３６は、例えば、電気的に書き換え可能な不揮発性メモリである。ＥＥＰＲＯＭ３６は、ＵＩＭ３が利用する各種データを記憶する。ＥＥＰＲＯＭ３６は、例えば、ＵＩＭ３の処理の制限が解除されているか否かを示す情報などを記憶する。

次に、図３を参照して、本実施形態によるセキュリティシステム１の機能構成例について説明する。
本実施形態によるセキュリティシステム１は、トークン本体（後述するトークン及び制限情報など）と、後述する拡張情報（例えば、トークンのオプション情報）とを分けて記憶する。すなわち、携帯端末２が、トークン本体を記憶し、ＵＩＭ３が、拡張情報を記憶する。

図３は、本実施形態のセキュリティシステム１の機能構成例を示すブロック図である。ここでは、まず、携帯端末２の機能構成について説明する。
図３に示すように、携帯端末２は、カード通信部１１と、ＮＦＣ通信部１２と、ＮＷ通信部２７と、入力部２４と、表示部２５と、記憶部４０と、制御部６０とを備えている。
ここで、図３に示される携帯端末２の各部は、図２に示される携帯端末２のハードウェアを用いて実現される。また、図２に示す構成と同一の構成については同一の符号を付し、その説明を省略する。

カード通信部１１（第２の通信部の一例）は、カードＩ／Ｆ部２６を用いて実現され、接触インターフェースを利用して、ＵＩＭ３の通信部１４と通信する。
ＮＦＣ通信部１２（第１の通信部の一例）は、ＮＦＣコントローラ２８及びコイル２９を用いて実現され、非接触インターフェースを利用して、端末４と通信する。

記憶部４０は、例えば、不揮発性メモリ２３を用いて実現され、携帯端末２の各種処理に利用する情報を記憶する。記憶部４０は、例えば、トークン記憶部４１を備えている。

トークン記憶部４１（機密情報記憶部の一例）は、トークン、及びトークンの利用を制限する制限情報を記憶する。ここで、トークンとは、セキュリティシステム１により提供されるサービスに関する機密情報の一例である。トークンは、ＮＷ通信部２７がネットワークＮＷに接続不可能な場合（オフライン環境）において、例えば、クラウド環境のサーバ装置５が記憶する機密情報の代わりに利用される。また、制限情報は、例えば、トークンの有効期限や有効回数（利用可能回数）である。
なお、トークン記憶部４１が記憶するトークン及び制限情報は、定期的（例えば、１日に１回など）に、サーバ装置５からネットワークＮＷを介して取得され、更新される。また、トークン記憶部４１は、例えば、トークンを利用した回数情報をさらに記憶するようにしてもよい。

トークン記憶部４１は、例えば、図４に示すように、「アプリケーションＩＤ」と、「トークンＩＤ」と、「トークン」と、「制限情報」とを対応付けて記憶する。
図４は、本実施形態のトークン記憶部４１のデータ例を示す図である。
この図において、「アプリケーションＩＤ」は、アプリケーションを識別する識別情報を示し、「トークンＩＤ」は、トークンを識別する識別子（機密情報識別子の一例）を示している。また、「トークン」及び「制限情報」は、上述したトークン及び制限情報を示している。

図４に示す例では、「アプリケーションＩＤ」が“Ａ１”に対応する「トークンＩＤ」が“０１”であり、「トークン」が“ＸＸＸＸＸＸＸＸＸＸＸ”であることを示している。また、この場合、「制限情報」が有効回数“１回”であることを示している。
また、「アプリケーションＩＤ」が“Ａ２”に対応する「トークンＩＤ」が“０２”であり、「トークン」が“ＹＹＹＹＹＹＹＹＹＹＹＹ”であることを示している。また、この場合、「制限情報」が有効期限“２０１５／０４／１３”であることを示している。
このように、本実施形態において、携帯端末２が、「トークン」及び「制限情報」を含むトークン本体を記憶する。

図３の説明に戻り、制御部６０は、例えば、ＣＰＵ２１と、ＲＡＭ２２と、不揮発性メモリ２３とにより実現され、携帯端末２を統括的に制御する。なお、制御部６０は、上述した通常ＯＳ６０Ａと、セキュリティ領域５０にアクセス可能なセキュアＯＳ６０Ｂとにより動作するものとする。また、制御部６０は、取得部６１と、サービス処理部６２とを備えている。
ここで、上述したトークン記憶部４１は、セキュリティ領域５０に割り当てられているものとする。すなわち、セキュリティ領域５０は、トークン記憶部４１を備え、トークン記憶部４１は、通常ＯＳ６０Ａとは異なるセキュアＯＳ６０Ｂによってアクセスが制限されている。セキュリティ領域５０は、セキュアＯＳ６０Ｂによってセキュリティが担保された領域である。

取得部６１は、機密情報（例えば、トークン）の送信を要求する送信要求に応じて、トークンをトークン記憶部４１から取得する。そして、取得部６１は、トークン記憶部４１から取得したトークンが無効である場合に、トークンを使用する制限を拡張する拡張情報を、ＵＩＭ３から取得する。

例えば、取得部６１は、ＮＦＣ通信部１２を介して端末４から機密情報の送信要求を受信した場合に、当該送信要求に応じて、まず、ＮＷ通信部２７によりネットワークＮＷに接続可能か否かを判定する。取得部６１は、ＮＷ通信部２７によりネットワークＮＷに接続可能である場合（オンライン環境である場合）に、サーバ装置５が記憶する機密情報を、ＮＷ通信部２７を介して取得する。また、取得部６１は、ＮＷ通信部２７によりネットワークＮＷに接続不可能である場合（オフライン環境である場合）に、サーバ装置５が記憶する機密情報の代わりに、トークンをトークン記憶部４１から取得する。また、取得部６１は、取得したトークンに対応する制限情報をトークン記憶部４１から取得し、制限情報に基づいて、当該トークンが有効（無効）か否かを判定する。取得部６１は、当該トークンが無効である場合に、カード通信部１１を介して、拡張情報（例えば、オプション情報）をＵＩＭ３から取得する。

なお、取得部６１は、アプリケーションに対応する機密情報を取得するために、アプリケーションＩＤに対応するトークンＩＤ、トークン、及び制限情報をトークン記憶部４１から取得する。そして、取得部６１は、取得したトークンＩＤに対応する拡張情報を、ＵＩＭ３から取得する。
また、上述したように、トークン記憶部４１がセキュリティ領域５０であるため、取得部６１は、セキュアＯＳ６０Ｂを介して（セキュアＯＳ６０Ｂを起動して）、トークンＩＤ、トークン、及び制限情報をトークン記憶部４１から取得する。また、取得部６１は、トークン記憶部４１から取得したトークンが無効である場合に、例えば、セキュアＯＳ６０Ｂを介して、拡張情報を、ＵＩＭ３から取得する。

サービス処理部６２（第１の処理部の一例）は、まず、オンライン環境である場合に、取得部６１がサーバ装置５から取得した機密情報を、送信要求の応答として、ＮＦＣ通信部１２を介して、端末４（送信要求の要求元）に送信する。
また、サービス処理部６２は、オフライン環境である場合に、次の処理を実行する。サービス処理部６２は、取得部６１がトークン記憶部４１から取得したトークンが有効である場合に、取得したトークンを、ＮＦＣ通信部１２を介して、端末４に送信する。また、サービス処理部６２は、取得部６１がトークン記憶部４１から取得したトークンが無効である場合に、取得部６１がＵＩＭ３から取得した拡張情報に基づいて、トークンを有効にするか否かを判定する。なお、サービス処理部６２は、例えば、セキュアＯＳ６０Ｂを介して、トークンを有効にするか否かを判定する。そして、サービス処理部６２は、拡張情報に基づいてトークンを有効にすると判定された場合に、当該トークンを端末４（送信要求の要求元）に送信する。

次に、ＵＩＭ３の機能構成について説明する。
図３に示すように、ＵＩＭ３は、通信部１４と、データ記憶部７０と、カード制御部８０とを備えている。ここで、図３に示されるＵＩＭ３の各部は、図２に示されるＵＩＭ３のハードウェアを用いて実現される。

通信部１４（第３の通信部の一例）は、コンタクト部３１及び通信Ｉ／Ｆ部３２を用いて実現され、接触インターフェースを利用して、携帯端末２のカード通信部１１と通信する。

データ記憶部７０は、例えば、ＥＥＰＲＯＭ３６により構成される記憶部である。データ記憶部７０は、例えば、拡張情報記憶部７１と、ＰＩＮ記憶部７２とを備えている。
拡張情報記憶部７１は、上述した拡張情報（例えば、オプション情報）を記憶する。なお、拡張情報には、例えば、トークンの有効期限を拡張する期限拡張情報と、トークンの有効回数を拡張する回数拡張情報とが含まれる。拡張情報記憶部７１は、例えば、図５に示すように、「トークンＩＤ」と、「オプション情報」とを対応付けて記憶する。

図５は、本実施形態の拡張情報記憶部７１のデータ例を示す図である。
図５において、「トークンＩＤ」は、図４と同様に、トークンを識別する識別子を示し、「オプション情報」は、期限拡張情報又は回数拡張情報を示す。
図５に示す例では、「トークンＩＤ」が“０１”に対応する「オプション情報」は、“追加２回”であることを示している。すなわち、この場合、トークンの有効回数を２回拡張することを示している。また、「トークンＩＤ」が“０２”に対応する「オプション情報」は、“追加１日”であることを示している。すなわち、この場合、トークンの有効期限を１日拡張することを示している。

なお、図５に示す例では、期限拡張情報は、拡張する期間（日数）を示す例を説明したが、例えば、“○月○日まで拡張”のように、有効期限日を指定するようにしてもよい。
また、図５に示す例では、１つのトークンに対して、「オプション情報」として、期限拡張情報又は回数拡張情報を記憶する例を説明したが、１つのトークンに対して、期限拡張情報と回数拡張情報との両方を記憶するようにしてもよい。この場合、トークンは、有効期限と、有効回数とを組み合わせて制限することになる。
このように、本実施形態において、ＵＩＭ３が、トークンの「オプション情報」（拡張情報）を記憶する。

再び図３に戻り、ＰＩＮ記憶部７２は、ＵＩＭ３の内部でＰＩＮ照合を行うための比較対象となるＰＩＮを記憶する。ここで、ＰＩＮは、使用者を識別する使用者識別情報の一例である。

カード制御部８０は、例えば、ＣＰＵ３３と、ＲＡＭ３５と、ＲＯＭ３４又はＥＥＰＲＯＭ３６とにより実現され、ＵＩＭ３を統括的に制御する。カード制御部８０は、例えば、携帯端末２からＵＩＭ３に送信された各種コマンドの処理（コマンド処理）を実行する。また、カード制御部８０は、例えば、認証処理部８１と、拡張情報処理部８２とを備えている。

認証処理部８１は、通信部１４を介して受信したＰＩＮをＰＩＮ記憶部７２に記憶させる処理（例えば、“CHANGE REFERENCE DATA”コマンド処理）を実行する。また、認証処理部８１は、通信部１４を介して受信したＰＩＮと、ＰＩＮ記憶部７２が記憶するＰＩＮとを照合して、使用者の正当性を確認する処理（例えば、“VERIFY PIN”コマンド処理）を実行する。

拡張情報処理部８２（第２の処理部の一例）は、オプション情報（拡張情報）に関する処理を実行する。拡張情報処理部８２は、通信部１４を介して受信したオプション情報を拡張情報記憶部７１に記憶させる初期登録処理を実行する。また、拡張情報処理部８２は、拡張情報記憶部７１が記憶するオプション情報を読み出し、通信部１４を介して携帯端末２に送信する確認処理を実行する。すなわち、拡張情報処理部８２は、例えば、携帯端末２（取得部６１）によって送信されたトークンＩＤに応じて、拡張情報記憶部７１が記憶するオプション情報のうち、当該トークンＩＤに対応するオプション情報を携帯端末２に送信する。

また、拡張情報処理部８２は、拡張情報記憶部７１が記憶するオプション情報を変更する変更処理を実行する。すなわち、拡張情報処理部８２は、認証処理部８１によって、ＰＩＮに基づいて使用者の正当性が確認された場合に、オプション情報の変更を要求する変更要求に応じて、拡張情報記憶部７１が記憶する拡張情報を変更する。ここで、変更要求は、例えば、後述するトークンオプション設定コマンドである。なお、本実施形態において、拡張情報処理部８２は、このトークンオプション設定コマンドに応じて、上述した初期登録処理、確認処理、及び変更処理を実行する。

次に、図６及び図７を参照して、ＵＩＭ３のトークンオプション設定コマンドの詳細について説明する。
図６は、実施形態のトークンオプション設定コマンドのデータ形式例を示す図である。また、図７は、本実施形態のトークンオプション設定コマンドのモード・オプション設定の一例を示す図である。

図６に示すように、トークンオプション設定コマンドのＡＰＤＵ（Application Protocol Data Unit）は、「ＣＬＡ」及び「ＩＮＳ」が所定の値であり、「Ｐ１」がモード・オプション設定である。また、トークンオプション設定コマンドのＡＰＤＵは、「Ｐ２」がトークンＩＤを指定し、「Command Data」に有効期限又は有効回数を指定する形式である。なお、トークンオプション設定コマンドのＡＰＤＵにおいて、「ＣＬＡ」は、クラスバイトを示し、「ＩＮＳ」は、命令バイトを示す。また、「Ｐ１」及び「Ｐ２」は、トークンオプション設定コマンドのパラメータを示す。また、「Ｌｃ」は、有効期限又は有効回数のデータサイズを示し、「Ｌｅ」は、出力データ数を示し、「Ｌｅ」は未使用となっている。

また、図７に示すように、「Ｐ１」（モード・オプション設定）の仕様は、最上位の３ビット（ｂ８〜ｂ６）により、モード（初期設定、変更、又は確認）が指定され、次の２ビット（ｂ５、ｂ４）により、オプション（有効期限、又は有効回数）が指定される。また、最下位の３ビット（ｂ３〜ｂ１）は、未使用となっている。

このように、トークンオプション設定コマンドでは、「Ｐ１」により、初期設定（初期登録処理）、変更（変更処理）、及び確認（確認処理）のいずれかのモードが指定されるとともに、オプション情報（有効期限又は有効回数）を指定する。これにより、１つのコマンドにより、上述した初期登録処理、確認処理、及び変更処理を実行するとともに、期限拡張情報及び回数拡張情報に対応する。

次に、図面を参照して、本実施形態のセキュリティシステム１の動作について説明する。ここでは、まず、図８〜図１１を参照して、上述したＵＩＭ３によるトークンオプション設定コマンドの動作について説明する。

図８は、本実施形態のトークンオプション設定コマンドの動作の一例を示すフローチャートである。
この図に示すように、まず、ＵＩＭ３は、トークンオプション設定コマンドを受信したか否かを判定する（ステップＳ１０１）。すなわち、ＵＩＭ３のカード制御部８０は、通信部１４を介して、トークンオプション設定コマンド（「ＣＬＡ」、「ＩＮＳ」が所定の値のコマンド）を受信したか否かを判定する。カード制御部８０は、トークンオプション設定コマンドを受信した場合（ステップＳ１０１：ＹＥＳ）に、処理をステップＳ１０２に進める。また、カード制御部８０は、トークンオプション設定コマンドを受信していない場合（ステップＳ１０１：ＮＯ）に、処理をステップＳ１０１に戻す。

ステップＳ１０２において、カード制御部８０の拡張情報処理部８２は、トークンオプション設定コマンドの「Ｐ１」に基づいて、各モードの処理に、モード分岐させる。すなわち、拡張情報処理部８２は、「Ｐ１」の最上位の３ビット（ｂ８〜ｂ６）により、各モードの処理に、モード分岐させる。

拡張情報処理部８２は、「Ｐ１」に“初期設定”が指定されている場合に、処理をステップＳ１０３に進めて、初期登録処理を実行する。
また、拡張情報処理部８２は、「Ｐ１」に“確認”が指定されている場合に、処理をステップＳ１０４に進めて、確認処理を実行する。
また、拡張情報処理部８２は、「Ｐ１」に“変更”が指定されている場合に、処理をステップＳ１０５に進めて、変更処理（更新処理）を実行する。
拡張情報処理部８２は、各モードの処理（ステップＳ１０１からステップＳ１０３のいずれかの処理）を実行後に、処理をステップＳ１０１に戻す。

次に、図９を参照して、上述した図８のステップＳ１０３の初期登録処理について説明する。
図９は、本実施形態のトークンオプション設定コマンドの初期登録処理の一例を示すフローチャートである。
この図に示すように、拡張情報処理部８２は、まず、トークンＩＤが未登録であるか否かを判定する（ステップＳ２０１）。すなわち、拡張情報処理部８２は、トークンオプション設定コマンドの「Ｐ２」によって指定されたトークンＩＤが、拡張情報記憶部７１に記憶されているかによって、トークンＩＤが未登録であるか否かを判定する。拡張情報処理部８２は、トークンＩＤが未登録である場合（ステップＳ２０１：ＹＥＳ）に、処理をステップＳ２０２に進める。また、拡張情報処理部８２は、トークンＩＤが未登録でない（登録済みである）場合（ステップＳ２０１：ＮＯ）に、処理をステップＳ２０５に進める。

ステップＳ２０２において、拡張情報処理部８２は、トークンオプション設定コマンドの「Ｐ１」に基づいて、各オプションの登録処理に、オプション分岐させる。すなわち、拡張情報処理部８２は、「Ｐ１」の２ビット（ｂ５、ｂ４）により、各オプションの登録処理に、オプション分岐させる。

拡張情報処理部８２は、「Ｐ１」に“有効期限”が指定されている場合に、処理をステップＳ２０３に進めて、有効期限の登録処理を実行する。すなわち、拡張情報処理部８２は、「Ｐ２」によって指定されたトークンＩＤと、「Command Data」として受信したオプション情報である有効期限とを対応付けて、拡張情報記憶部７１に記憶させる。そして、拡張情報処理部８２は、通信部１４を介して、有効期限の登録処理を正常に実行した旨を示すレスポンスを、携帯端末２に送信する。拡張情報処理部８２は、ステップＳ２０３の処理後に、処理を図８のステップＳ１０１に戻す。

また、拡張情報処理部８２は、「Ｐ１」に“有効回数”が指定されている場合に、処理をステップＳ２０４に進めて、有効回数の登録処理を実行する。すなわち、拡張情報処理部８２は、「Ｐ２」によって指定されたトークンＩＤと、「Command Data」として受信したオプション情報である有効回数とを対応付けて、拡張情報記憶部７１に記憶させる。そして、拡張情報処理部８２は、通信部１４を介して、有効回数の登録処理を正常に実行した旨を示すレスポンスを、携帯端末２に送信する。拡張情報処理部８２は、ステップＳ２０４の処理後に、処理を図８のステップＳ１０１に戻す。

また、拡張情報処理部８２は、「Ｐ１」にその他（“有効期限”及び“有効回数”以外）が指定されている場合に、処理をステップＳ２０５に進めて、エラー処理を実行する。すなわち、ステップＳ２０５において、拡張情報処理部８２は、通信部１４を介して、初期登録処理がエラーである旨を示すレスポンスを、携帯端末２に送信する。拡張情報処理部８２は、ステップＳ２０５の処理後に、処理を図８のステップＳ１０１に戻す。

次に、図１０を参照して、上述した図８のステップＳ１０４の初期登録処理について説明する。
図１０は、本実施形態のトークンオプション設定コマンドの確認処理の一例を示すフローチャートである。
この図に示すように、拡張情報処理部８２は、まず、トークンＩＤが登録済であるか否かを判定する（ステップＳ３０１）。すなわち、拡張情報処理部８２は、トークンオプション設定コマンドの「Ｐ２」によって指定されたトークンＩＤが、拡張情報記憶部７１に記憶されているかによって、トークンＩＤが登録済であるか否かを判定する。拡張情報処理部８２は、トークンＩＤが登録済である場合（ステップＳ３０１：ＹＥＳ）に、処理をステップＳ３０２に進める。また、拡張情報処理部８２は、トークンＩＤが登録済でない（未登録である）場合（ステップＳ３０１：ＮＯ）に、処理をステップＳ３０５に進める。

ステップＳ３０２において、拡張情報処理部８２は、トークンＩＤに対応するオプション情報を通知する。すなわち、拡張情報処理部８２は、拡張情報記憶部７１が記憶するオプション情報のうち、当該トークンＩＤに対応するオプション情報を読み出し、読み出したオプション情報を、通信部１４を介して、携帯端末２に送信する。拡張情報処理部８２は、ステップＳ３０２の処理後に、処理を図８のステップＳ１０１に戻す。

また、ステップｓ３０３において、拡張情報処理部８２は、エラー処理を実行する。すなわち、拡張情報処理部８２は、通信部１４を介して、確認処理がエラーである旨（トークンＩＤが未登録である旨）を示すレスポンスを、携帯端末２に送信する。拡張情報処理部８２は、ステップＳ３０３の処理後に、処理を図８のステップＳ１０１に戻す。

次に、図１１を参照して、上述した図８のステップＳ１０５の変更処理について説明する。
図１１は、本実施形態のトークンオプション設定コマンドの変更処理の一例を示すフローチャートである。
この図に示すように、拡張情報処理部８２は、まず、正当なＰＩＮにより照合済であるか否かを判定する（ステップＳ４０１）。拡張情報処理部８２は、例えば、上述した“VERIFY PIN”コマンド処理により、ＰＩＮ記憶部７２が記憶するＰＩＮにより、使用者の正当性が確認済であるか否かを判定する。拡張情報処理部８２は、正当なＰＩＮにより照合済である場合（ステップＳ４０１：ＹＥＳ）に、処理をステップＳ４０２に進める。また、拡張情報処理部８２は、正当なＰＩＮにより照合済でない場合（ステップＳ４０１：ＮＯ）に、処理をステップＳ４０６に進める。

ステップＳ４０２において、拡張情報処理部８２は、トークンＩＤが登録済であるか否かを判定する。すなわち、拡張情報処理部８２は、トークンオプション設定コマンドの「Ｐ２」によって指定されたトークンＩＤが、拡張情報記憶部７１に記憶されているかによって、トークンＩＤが登録済であるか否かを判定する。拡張情報処理部８２は、トークンＩＤが登録済である場合（ステップＳ４０２：ＹＥＳ）に、処理をステップＳ４０３に進める。また、拡張情報処理部８２は、トークンＩＤが登録済でない（未登録である）場合（ステップＳ４０２：ＮＯ）に、処理をステップＳ４０６に進める。

ステップＳ４０３において、拡張情報処理部８２は、トークンオプション設定コマンドの「Ｐ１」に基づいて、各オプションの変更処理に、オプション分岐させる。すなわち、拡張情報処理部８２は、「Ｐ１」の２ビット（ｂ５、ｂ４）により、各オプションの変更処理に、オプション分岐させる。

拡張情報処理部８２は、「Ｐ１」に“有効期限”が指定されている場合に、処理をステップＳ４０４に進めて、オプション情報である有効期限の変更処理を実行する。すなわち、拡張情報処理部８２は、拡張情報記憶部７１が記憶するオプション情報のうち、「Ｐ２」によって指定されたトークンＩＤに対応するオプション情報に、「Command Data」として受信したオプション情報である有効期限を記憶させる。そして、拡張情報処理部８２は、通信部１４を介して、有効期限の変更処理（更新処理）を正常に実行した旨を示すレスポンスを、携帯端末２に送信する。拡張情報処理部８２は、ステップＳ４０４の処理後に、処理を図８のステップＳ１０１に戻す。

拡張情報処理部８２は、「Ｐ１」に“有効回数”が指定されている場合に、処理をステップＳ４０５に進めて、オプション情報である有効回数の変更処理を実行する。すなわち、拡張情報処理部８２は、拡張情報記憶部７１が記憶するオプション情報のうち、「Ｐ２」によって指定されたトークンＩＤに対応するオプション情報に、「Command Data」として受信したオプション情報である有効回数を記憶させる。そして、拡張情報処理部８２は、通信部１４を介して、有効回数の変更処理（更新処理）を正常に実行した旨を示すレスポンスを、携帯端末２に送信する。拡張情報処理部８２は、ステップＳ４０５の処理後に、処理を図８のステップＳ１０１に戻す。

また、拡張情報処理部８２は、「Ｐ１」にその他（“有効期限”及び“有効回数”以外）が指定されている場合に、処理をステップＳ４０６に進めて、エラー処理を実行する。すなわち、ステップＳ４０６において、拡張情報処理部８２は、通信部１４を介して、変更処理がエラーである旨を示すレスポンスを、携帯端末２に送信する。拡張情報処理部８２は、ステップＳ４０６の処理後に、処理を図８のステップＳ１０１に戻す。

次に、図１２〜図１４を参照して、本実施形態によるセキュリティシステム１の動作について説明する。
図１２は、本実施形態のセキュリティシステム１のオプション情報の登録動作の一例を示す図である。この図に示す例は、サービスを提供するアプリケーションを登録する際に、ＵＩＭ３に使用者のＰＩＮと、トークンのオプション情報を登録する場合の一例を示している。また、ＵＩＭ３は、オプション情報を記憶させる領域（拡張情報記憶部７１の領域）が、ＡＤＦ（Application dedicated file）として設定されているものとし、当該ＤＦがすでに選択されている状態における動作を説明する。
なお、この図において、制御部６０は、上述したように通常ＯＳ６０Ａと、セキュアＯＳ６０Ｂとによって動作する。

図１２において、制御部６０のサービス処理部６２は、通常ＯＳ６０Ａにおいて、ＰＩＮ登録要求をセキュアＯＳ６０Ｂに行う（ステップＳ５０１）。
セキュアＯＳ６０Ｂは、通常ＯＳ６０ＡからのＰＩＮ登録要求に応じて、ＰＩＮ更新コマンド（例えば、“CHANGE REFERENCE DATA”コマンド）を、カード通信部１１を介して、ＵＩＭ３に送信する（ステップＳ５０２）。すなわち、サービス処理部６２は、セキュアＯＳ６０Ｂを介して、例えば、ＰＩＮ更新コマンドを、カード通信部１１経由でＵＩＭ３に送信する。なお、以下の通常ＯＳ６０Ａ及びセキュアＯＳ６０Ｂによって実行される処理は、サービス処理部６２によって実行される処理である。

ＵＩＭ３は、ＰＩＮ更新コマンド（例えば、“CHANGE REFERENCE DATA”コマンド）に応じて、ＰＩＮ更新処理を実行する（ステップＳ５０３）。すなわち、カード制御部８０が、新しいＰＩＮをＰＩＮ記憶部７２に記憶させる処理を実行する。

次に、ＵＩＭ３のカード制御部８０は、ＰＩＮ更新処理の実行結果であるレスポンスを、携帯端末２に送信する（ステップＳ５０４）。すなわち、カード制御部８０は、通信部１４及びカード通信部１１を介して、セキュアＯＳ６０Ｂ（サービス処理部６２）にレスポンスを送信する。
また、セキュアＯＳ６０Ｂ（サービス処理部６２）は、受信したレスポンスを通常ＯＳ６０Ａに返答する（ステップＳ５０５）。

次に、通常ＯＳ６０Ａ（サービス処理部６２）は、オプション情報の登録要求を、セキュアＯＳ６０Ｂに行う（ステップＳ５０６）。なお、オプション情報の登録要求には、少なくともトークンＩＤと、登録情報（オプション情報）とが含まれる。
セキュアＯＳ６０Ｂ（サービス処理部６２）は、通常ＯＳ６０Ａからのオプション情報の登録要求に応じて、トークンオプション設定コマンド（モード＝初期設定）を、ＵＩＭ３に送信する（ステップＳ５０７）。ここで、セキュアＯＳ６０Ｂ（サービス処理部６２）は、トークンＩＤ及び登録情報（オプション情報）を含むトークンオプション設定コマンド（モード＝初期設定）を、カード通信部１１を介して、ＵＩＭ３に送信する。

ＵＩＭ３の拡張情報処理部８２は、トークンオプション設定コマンド（モード＝初期設定）に応じて、初期登録処理を実行する（ステップＳ５０８）。すなわち、拡張情報処理部８２は、上述した図８及び図９に示す初期登録処理を実行する。

次に、ＵＩＭ３の拡張情報処理部８２は、初期登録処理の実行結果であるレスポンスを、携帯端末２に送信する（ステップＳ５０９）。すなわち、拡張情報処理部８２は、通信部１４及びカード通信部１１を介して、セキュアＯＳ６０Ｂ（サービス処理部６２）にレスポンスを送信する。
また、セキュアＯＳ６０Ｂ（サービス処理部６２）は、受信したレスポンスを通常ＯＳ６０Ａに返答する（ステップＳ５１０）。

図１３は、本実施形態のセキュリティシステム１のトークンの確認動作の一例を示す図である。この図に示す例は、サービスを提供する際に、トークンを確認する場合の一例を示している。
なお、この図において、上述した図１２と同様に、制御部６０は、上述したように通常ＯＳ６０Ａと、セキュアＯＳ６０Ｂとによって動作する。

図１３において、まず、携帯端末２が、端末４に近づけられて、端末４が、サービスの開始（機密情報の送信要求）を行う（ステップＳ６０１）。すなわち、端末４は、サービスの提供を開始するために、ＮＦＣ通信部１２を介して、携帯端末２に機密情報の送信要求を行う。

次に、携帯端末２の取得部６１は、通常ＯＳ６０Ａにおいて、オフライン確認を行う（ステップＳ６０２）。通常ＯＳ６０Ａ（取得部６１）は、ＮＷ通信部２７がネットワークＮＷに接続可能であるか否かを判定する。なお、ここで示す例では、ＮＷ通信部２７がネットワークＮＷに接続可能でないオフライン環境であるものとして説明する。
なお、ＮＷ通信部２７がネットワークＮＷに接続可能である場合には、通常ＯＳ６０Ａ（取得部６１）は、ＮＷ通信部２７を介して、サーバ装置５から機密情報を取得し、取得した機密情報を、ＮＦＣ通信部１２を介して、端末４に送信する。

次に、通常ＯＳ６０Ａ（取得部６１）は、トークン取得要求をセキュアＯＳ６０Ｂに行う（ステップＳ６０３）。なお、トークン取得要求には、少なくともアプリケーションＩＤが含まれる。
セキュアＯＳ６０Ｂ（取得部６１）は、通常ＯＳ６０Ａからのトークン取得要求に応じて、まず、トークンＩＤと、トークンとを取得し、当該トークンが有効であるかを確認する（ステップＳ６０４）。すなわち、セキュアＯＳ６０Ｂ（取得部６１）は、セキュリティ領域５０であるトークン記憶部４１から、アプリケーションＩＤに対応するトークンＩＤと、トークンと、制限情報を取得する。セキュアＯＳ６０Ｂ（取得部６１）は、取得した制限情報に基づいて、当該トークンが有効であるかを確認する。なお、ここで示す例では、取得したトークンは、無効であるものとして説明する。

なお、取得したトークンが有効である場合には、セキュアＯＳ６０Ｂ（取得部６１）は、トークンを通常ＯＳ６０Ａに返答し、通常ＯＳ６０Ａ（取得部６１）は、取得したトークンを、ＮＦＣ通信部１２を介して、端末４に送信する。

次に、セキュアＯＳ６０Ｂ（取得部６１）は、トークンオプション設定コマンド（モード＝確認）を、ＵＩＭ３に送信する（ステップＳ６０５）。ここで、セキュアＯＳ６０Ｂ（取得部６１）は、トークンＩＤを含むトークンオプション設定コマンド（モード＝確認）を、カード通信部１１を介して、ＵＩＭ３に送信する。

ＵＩＭ３の拡張情報処理部８２は、トークンオプション設定コマンド（モード＝確認）に応じて、確認処理を実行し、レスポンス（オプション情報）をセキュアＯＳ６０Ｂに送信する（ステップＳ６０６）。すなわち、拡張情報処理部８２は、上述した図８及び図１０に示す確認処理を実行する。拡張情報処理部８２は、通信部１４及びカード通信部１１を介して、セキュアＯＳ６０Ｂ（取得部６１）にオプション情報を含むレスポンスを送信する。

次に、セキュアＯＳ６０Ｂ（サービス処理部６２）は、オプション情報を確認する（ステップＳ６０７）。例えば、オプション情報が期限拡張情報である場合には、セキュアＯＳ６０Ｂ（サービス処理部６２）は、オプション情報として取得した期限拡張情報に基づいて、トークンを有効にするか否かを判定する。また、例えば、オプション情報が回数拡張情報である場合には、セキュアＯＳ６０Ｂ（サービス処理部６２）は、オプション情報として取得した回数拡張情報に基づいて、トークンを有効にするか否かを判定する。

次に、セキュアＯＳ６０Ｂ（サービス処理部６２）は、トークンを有効にすると判定した場合に、通常ＯＳ６０Ａに、トークンをレスポンスとして返答する（ステップＳ６０８）。
次に、通常ＯＳ６０Ａ（サービス処理部６２）は、ＮＦＣ通信部１２を介して、トークンを端末４に送信する（ステップＳ６０９）。

このように、本実施形態のセキュリティシステム１では、ＵＩＭ３に記憶されているオプション情報（拡張情報）を利用して、トークンの利用（利用回数又は利用期限）を拡張する。

次に、図１４を参照して、本実施形態のセキュリティシステム１において、さらにトークンの利用を拡張する場合の動作について説明する。
図１４は、本実施形態のセキュリティシステム１のオプション情報の変更動作の一例を示す図である。この図に示す例は、トークンの利用を拡張する際に、ＵＩＭ３に使用者のＰＩＮを照合して、トークンのオプション情報を変更する場合の一例を示している。また、ＵＩＭ３は、該当するＤＦがすでに選択されている状態における動作を説明する。
なお、この図において、制御部６０は、上述したように通常ＯＳ６０Ａと、セキュアＯＳ６０Ｂとによって動作する。

図１４において、制御部６０のサービス処理部６２は、通常ＯＳ６０Ａにおいて、ＰＩＮ照合要求をセキュアＯＳ６０Ｂに行う（ステップＳ７０１）。
セキュアＯＳ６０Ｂは、通常ＯＳ６０ＡからのＰＩＮ照合要求に応じて、ＰＩＮ照合コマンド（例えば、“VERIFY PIN”コマンド）を、カード通信部１１を介して、ＵＩＭ３に送信する（ステップＳ７０２）。すなわち、サービス処理部６２は、セキュアＯＳ６０Ｂを介して、例えば、ＰＩＮ照合コマンドを、カード通信部１１経由でＵＩＭ３に送信する。なお、ＰＩＮ照合コマンドに含まれるＰＩＮは、使用者によって、入力部２４を介して、受付けられる。また、以下の通常ＯＳ６０Ａ及びセキュアＯＳ６０Ｂによって実行される処理は、サービス処理部６２によって実行される処理である。

ＵＩＭ３は、ＰＩＮ照合コマンド（例えば、“VERIFY PIN”コマンド）に応じて、ＰＩＮ照合処理を実行する（ステップＳ７０３）。すなわち、カード制御部８０の認証処理部８１が、ＰＩＮ照合コマンドに含まれるＰＩＮと、ＰＩＮ記憶部７２が記憶するＰＩＮとを照合し、２つのＰＩＮが一致するか否かを判定する。なお、ここでは、２つのＰＩＮが一致するもの（使用者が正当であると確認されたもの）として説明する。

次に、ＵＩＭ３の認証処理部８１は、ＰＩＮ照合処理の実行結果であるレスポンスを、携帯端末２に送信する（ステップＳ７０４）。すなわち、認証処理部８１は、通信部１４及びカード通信部１１を介して、セキュアＯＳ６０Ｂ（サービス処理部６２）にレスポンスを送信する。
また、セキュアＯＳ６０Ｂ（サービス処理部６２）は、受信したレスポンスを通常ＯＳ６０Ａに返答する（ステップＳ７０５）。

次に、通常ＯＳ６０Ａ（サービス処理部６２）は、オプション情報の変更要求を、セキュアＯＳ６０Ｂに行う（ステップＳ７０６）。なお、オプション情報の変更要求には、少なくともトークンＩＤと、変更情報（オプション情報）とが含まれる。
セキュアＯＳ６０Ｂ（サービス処理部６２）は、通常ＯＳ６０Ａからのオプション情報の変更要求に応じて、トークンオプション設定コマンド（モード＝変更）を、ＵＩＭ３に送信する（ステップＳ７０７）。ここで、セキュアＯＳ６０Ｂ（サービス処理部６２）は、トークンＩＤ及び変更情報（オプション情報）を含むトークンオプション設定コマンド（モード＝変更）を、カード通信部１１を介して、ＵＩＭ３に送信する。

ＵＩＭ３の拡張情報処理部８２は、トークンオプション設定コマンド（モード＝変更）に応じて、変更処理を実行する（ステップＳ７０８）。すなわち、拡張情報処理部８２は、上述した図８及び図１１に示す変更処理を実行する。

次に、ＵＩＭ３の拡張情報処理部８２は、変更処理の実行結果であるレスポンスを、携帯端末２に送信する（ステップＳ７０９）。すなわち、拡張情報処理部８２は、通信部１４及びカード通信部１１を介して、セキュアＯＳ６０Ｂ（サービス処理部６２）にレスポンスを送信する。
また、セキュアＯＳ６０Ｂ（サービス処理部６２）は、受信したレスポンスを通常ＯＳ６０Ａに返答する（ステップＳ７１０）。

このように、本実施形態のセキュリティシステム１では、使用者の正当性が確認された場合に、ＵＩＭ３に記憶されているオプション情報（拡張情報）を変更して、トークンの利用（利用回数又は利用期限）をさらに拡張する。

以上説明したように、本実施形態によるセキュリティシステム１は、携帯端末２（端末装置の一例）と、ＵＩＭ３（携帯可能電子装置の一例）とを備えている。また、携帯端末２は、トークン記憶部４１（機密情報記憶部の一例）と、取得部６１と、サービス処理部６２（第１の処理部の一例）とを備える。トークン記憶部４１は、提供されるサービスに関する機密情報（例えば、トークン）を記憶する。取得部６１は、トークンの送信を要求する送信要求に応じて、トークンをトークン記憶部４１から取得するとともに、トークン記憶部４１から取得したトークンが無効である場合に、トークンを使用する制限を拡張する拡張情報（例えば、オプション情報）を、ＵＩＭ３から取得する。サービス処理部６２は、取得部６１がトークン記憶部４１から取得したトークンが無効である場合に、取得部６１がＵＩＭ３から取得した拡張情報に基づいて、トークンを有効にするか否かを判定する。そして、サービス処理部６２は、トークンを有効にすると判定された場合に、当該トークンを送信要求の要求元に送信する。また、ＵＩＭ３は、拡張情報記憶部７１と、拡張情報処理部８２（第２の処理部の一例）とを備えている。拡張情報記憶部７１は、拡張情報（例えば、オプション情報）を記憶する。拡張情報処理部８２は、トークンに対応する拡張情報であって、拡張情報記憶部７１が記憶する拡張情報を携帯端末２に送信する。

これにより、本実施形態によるセキュリティシステム１は、ＵＩＭ３が記憶する拡張情報（オプション情報）によって、トークンの利用制限を拡張することができるので、セキュリティを確保しつつ、利便性を向上させることができる。なお、本実施形態によるセキュリティシステム１は、有効期限又は有効回数というトークンの中で機密性の高い情報を耐タンパー性が高いＵＩＭ３に格納する。そのため、本実施形態によるセキュリティシステム１は、ＮＦＣ通信にＳＥを使わないというＨＣＥの利点を活かしたまま、従来のＨＣＥとトークナイゼーションとを組み合わせた仕組みよりも高いセキュリティを確保することができる。

また、本実施形態では、拡張情報処理部８２は、使用者を識別する使用者識別情報に基づいて使用者の正当性が確認された場合に、オプション情報の変更を要求する変更要求に応じて、拡張情報記憶部７１が記憶するオプション情報を変更する。
これにより、本実施形態によるセキュリティシステム１は、さらに、トークンの利用制限を拡張することができる。よって、本実施形態によるセキュリティシステム１は、セキュリティを確保しつつ、さらに利便性を向上させることができる。

例えば、携帯端末２を車両の鍵とするようなアプリケーションがあった場合、山中などオフライン環境にしばらく車両が置かれる可能性がある。このような場合、本実施形態によるセキュリティシステム１は、トークンの有効期限又は有効回数が切れた場合であっても、ＰＩＮ照合を行うことで、オプション情報を変更することができるので、車両の鍵を適切に解除することができる。また、携帯端末２を盗まれた場合には、オプション情報を変更することができないため、有効期限又は有効回数以上の不正に車両を利用されることができない。

また、本実施形態では、拡張情報には、トークンの有効期限を拡張する期限拡張情報が含まれる。サービス処理部６２は、期限拡張情報に基づいて、トークンを有効にするか否かを判定する。
これにより、本実施形態によるセキュリティシステム１は、トークンに有効期限という制限を付加するとともに、有効期限を必要に応じて拡張することができる。

また、本実施形態では、拡張情報には、トークンの有効回数を拡張する回数拡張情報が含まれる。サービス処理部６２は、回数拡張情報に基づいて、トークンを有効にするか否かを判定する。
これにより、本実施形態によるセキュリティシステム１は、トークンに有効回数という制限を付加するとともに、有効回数を必要に応じて拡張することができる。

また、本実施形態では、トークン記憶部４１は、サービスを提供するアプリケーションを実行する通常ＯＳ（Operating System）６０Ａとは異なるセキュアＯＳ６０Ｂによってアクセスが制限される。取得部６１は、セキュアＯＳ６０Ｂを介して、トークンをトークン記憶部４１から取得するとともに、トークン記憶部４１から取得したトークンが無効である場合に、拡張情報を、ＵＩＭ３から取得する。また、サービス処理部６２は、セキュアＯＳを介して、トークンを有効にするか否かを判定する。
これにより、セキュリティが担保されたセキュアＯＳを介して、トークン及び拡張情報を取得するとともに、トークンを有効にするか否かを判定するので、本実施形態によるセキュリティシステム１は、さらにセキュリティを向上させることができる。

なお、トークン記憶部４１がセキュアＯＳ６０Ｂによってセキュリティが担保されたセキュリティ領域５０であるので、本実施形態によるセキュリティシステム１は、セキュリティを向上させることができる。

また、本実施形態では、トークン記憶部４１は、トークンと、当該トークンを識別するトークンＩＤ（機密情報識別子）とを少なくとも対応付けて記憶する。取得部６１は、送信要求に応じて、トークンと、当該トークンに対応するトークンＩＤとをトークン記憶部４１から取得するとともに、トークンが無効である場合に、取得したトークンＩＤをＵＩＭ３に送信して、トークンＩＤに対応する拡張情報を、ＵＩＭ３から取得する。また、拡張情報記憶部７１は、トークンＩＤと、拡張情報とを対応付けて記憶する。拡張情報処理部８２は、取得部６１によって送信されたトークンＩＤに応じて、拡張情報記憶部７１が記憶する拡張情報のうち、当該トークンＩＤに対応する拡張情報を携帯端末２に送信する。
これにより、本実施形態によるセキュリティシステム１は、例えば、トークンＩＤによって、複数のトークンの利用制限を拡張することができるので、例えば、複数のアプリケーションに適切に対応させることができる。

また、本実施形態では、サービス処理部６２は、取得部６１がトークン記憶部４１から取得したトークンが有効である場合に、当該トークンを送信要求の要求元に送信する。なお、サービス処理部６２は、例えば、トークンの使用（利用）を制限する制限情報に基づいて、トークンが有効であるか否かを判定する。
これにより、本実施形態によるセキュリティシステム１は、例えば、携帯端末２がネットワークＮＷに接続できない状態であるオフライン環境において、トークンを利用してセキュリティを確保することができる。また、本実施形態によるセキュリティシステム１は、トークンの利用に制限を付加することで、携帯端末２が盗まれて盗難にあった場合に、不正に利用される可能性を低減させることができる。

また、本実施形態による携帯端末２は、トークン記憶部４１と、取得部６１と、サービス処理部６２とを備える。トークン記憶部４１は、提供されるサービスに関するトークンを記憶する。取得部６１は、トークンの送信を要求する送信要求に応じて、トークンをトークン記憶部４１から取得するとともに、トークン記憶部４１から取得したトークンが無効である場合に、トークンを使用する制限を拡張する拡張情報を、自装置と通信可能なＵＩＭ３から取得する。サービス処理部６２は、取得部６１がトークン記憶部４１から取得したトークンが無効である場合に、取得部６１がＵＩＭ３から取得した拡張情報に基づいて、トークンを有効にするか否かを判定する。そして、サービス処理部６２は、トークンを有効にすると判定された場合に、当該トークンを送信要求の要求元に送信する。
これにより、本実施形態による携帯端末２は、上述したセキュリティシステム１と同様に、セキュリティを確保しつつ、利便性を向上させることができる。

（第２の実施形態）
次に、図面を参照して、第２の実施形態によるセキュリティシステム１ａについて説明する。
本実施形態では、上述した拡張情報の代わりに、トークンの使用を制限する制限情報をＵＩＭ３ａに記憶させる場合の一例について説明する。

図１５は、本実施形態のセキュリティシステム１ａの機能構成例を示すブロック図である。
図１５に示すように、本実施形態によるセキュリティシステム１ａは、携帯端末２ａと、ＵＩＭ３ａとを備えている。
なお、本実施形態によるセキュリティシステム１ａは、トークン本体（例えば、トークン）と、トークンの使用を制限する制限情報（例えば、トークンのオプション情報）とを分けて記憶する。すなわち、携帯端末２ａが、トークン本体を記憶し、ＵＩＭ３ａが、制限情報を記憶する。

なお、本実施形態によるセキュリティシステム１ａの全体の構成は、図１に示す構成と基本的には同様であり、図１５では、携帯端末２ａ及びＵＩＭ３ａの機能構成例を示している。また、本実施形態のセキュリティシステム１ａのハード構成は、図２に示す第１の実施形態と同様であるのでその説明を省略する。また、図１５において、図３に示す構成と同一の構成については同一の符号を付し、その説明を省略する。
図１５に示すように、携帯端末２ａは、カード通信部１１と、ＮＦＣ通信部１２と、ＮＷ通信部２７と、入力部２４と、表示部２５と、記憶部４０ａと、制御部６０ａとを備えている。
ここで、図１５に示される携帯端末２ａ及びＵＩＭ３ａの各部は、図２に示されるハードウェアを用いて実現される。

記憶部４０ａは、例えば、不揮発性メモリ２３を用いて実現され、携帯端末２ａの各種処理に利用する情報を記憶する。記憶部４０ａは、例えば、トークン記憶部４１ａを備えている。

トークン記憶部４１ａ（機密情報記憶部の一例）は、トークンを記憶する。
なお、トークン記憶部４１ａが記憶するトークンは、定期的（例えば、１日に１回など）に、サーバ装置５からネットワークＮＷを介して取得され、更新される。また、トークン記憶部４１ａは、例えば、トークンを利用した回数情報をさらに記憶するようにしてもよい。トークン記憶部４１ａは、例えば、図１６に示すように、「アプリケーションＩＤ」と、「トークンＩＤ」と、「トークン」とを対応付けて記憶する。

図１６は、本実施形態のトークン記憶部４１ａのデータ例を示す図である。
この図において、「アプリケーションＩＤ」、「トークンＩＤ」、及び「トークン」は、上述した図４と同様である。本実施形態では、制限情報は、トークン記憶部４１ａに記憶されずに、ＵＩＭ３ａに記憶される。
図１６に示す例では、「アプリケーションＩＤ」が“Ａ１”に対応する「トークンＩＤ」が“０１”であり、「トークン」が“ＸＸＸＸＸＸＸＸＸＸＸ”であることを示している。

図１５の説明に戻り、制御部６０ａは、例えば、ＣＰＵ２１と、ＲＡＭ２２と、不揮発性メモリ２３とにより実現され、携帯端末２ａを統括的に制御する。なお、制御部６０ａは、上述した通常ＯＳ６０Ａと、セキュリティ領域５０にアクセス可能なセキュアＯＳ６０Ｂとにより動作するものとする。また、制御部６０ａは、取得部６１ａと、サービス処理部６２ａとを備えている。
ここで、上述したトークン記憶部４１ａは、セキュリティ領域５０に割り当てられているものとする。

取得部６１ａは、機密情報（例えば、トークン）の送信を要求する送信要求に応じて、トークンをトークン記憶部４１ａから取得するとともに、機密情報（例えば、トークン）の使用を制限する制限情報（例えば、オプション情報）を、ＵＩＭ３ａから取得する。
例えば、取得部６１ａは、ＮＦＣ通信部１２を介して端末４から機密情報の送信要求を受信した場合に、当該送信要求に応じて、まず、ＮＷ通信部２７によりネットワークＮＷに接続可能か否かを判定する。取得部６１ａは、ＮＷ通信部２７によりネットワークＮＷに接続可能である場合（オンライン環境である場合）に、サーバ装置５が記憶する機密情報を、ＮＷ通信部２７を介して取得する。また、取得部６１ａは、ＮＷ通信部２７によりネットワークＮＷに接続不可能である場合（オフライン環境である場合）に、サーバ装置５が記憶する機密情報の代わりに、トークンをトークン記憶部４１ａから取得する。そして、取得部６１ａは、カード通信部１１を介して、制限情報（例えば、オプション情報）をＵＩＭ３ａから取得する。

なお、取得部６１ａは、アプリケーションに対応する機密情報を取得するために、アプリケーションＩＤに対応するトークンＩＤ、及びトークンをトークン記憶部４１ａから取得する。そして、取得部６１ａは、取得したトークンＩＤに対応する制限情報を、ＵＩＭ３ａから取得する。
また、上述したように、トークン記憶部４１ａがセキュリティ領域５０であるため、取得部６１ａは、セキュアＯＳ６０Ｂを介して（セキュアＯＳ６０Ｂを起動して）、トークンＩＤ、及びトークンをトークン記憶部４１ａから取得する。また、取得部６１ａは、例えば、セキュアＯＳ６０Ｂを介して、制限情報を、ＵＩＭ３ａから取得する。

サービス処理部６２ａ（第１の処理部の一例）は、まず、オンライン環境である場合に、取得部６１ａがサーバ装置５から取得した機密情報を、送信要求の応答として、ＮＦＣ通信部１２を介して、端末４（送信要求の要求元）に送信する。
また、サービス処理部６２ａは、オフライン環境である場合に、次の処理を実行する。サービス処理部６２ａは、取得部６１ａがＵＩＭ３ａから取得した制限情報に基づいて、トークンを有効にするか否かを判定する。なお、サービス処理部６２ａは、例えば、セキュアＯＳ６０Ｂを介して、トークンを有効にするか否かを判定する。そして、サービス処理部６２ａは、制限情報に基づいてトークンを有効にすると判定された場合に、当該トークンを端末４（送信要求の要求元）に送信する。

ＵＩＭ３ａは、通信部１４と、データ記憶部７０ａと、カード制御部８０ａとを備えている。
データ記憶部７０ａは、例えば、ＥＥＰＲＯＭ３６により構成される記憶部である。データ記憶部７０ａは、例えば、制限情報記憶部７１ａと、ＰＩＮ記憶部７２とを備えている。
制限情報記憶部７１ａは、上述した制限情報（例えば、オプション情報）を記憶する。なお、制限情報には、例えば、トークンの有効期限を制限する期限制限情報と、トークンの有効回数を制限する回数制限情報とが含まれる。制限情報記憶部７１ａは、例えば、図１７に示すように、「トークンＩＤ」と、「オプション情報」とを対応付けて記憶する。
なお、本実施形態において「オプション情報」は、上述した第１の実施形態の「制限情報」に対応する。

図１７は、本実施形態の制限情報記憶部７１ａのデータ例を示す図である。
図１７において、「トークンＩＤ」は、図１６と同様に、トークンを識別する識別子を示し、「オプション情報」は、期限制限情報又は回数制限情報を示す。
図１７に示す例では、「トークンＩＤ」が“０１”に対応する「オプション情報」は、“１回”であることを示している。すなわち、この場合、トークンの有効回数を１回に制限されることを示している。また、「トークンＩＤ」が“０２”に対応する「オプション情報」は、“２０１５／０４／１３”であることを示している。すなわち、この場合、トークンの有効期限を“２０１５／０４／１３”に制限することを示している。

なお、図１７に示す例では、１つのトークンに対して、「オプション情報」として、期限制限情報又は回数制限情報を記憶する例を説明したが、１つのトークンに対して、期限制限情報と回数制限情報との両方を記憶するようにしてもよい。この場合、トークンは、有効期限と、有効回数とを組み合わせて制限することになる。
このように、本実施形態において、ＵＩＭ３ａが、トークンの「オプション情報」（制限情報）を記憶する。

再び図１５に戻り、カード制御部８０ａは、例えば、ＣＰＵ３３と、ＲＡＭ３５と、ＲＯＭ３４又はＥＥＰＲＯＭ３６とにより実現され、ＵＩＭ３ａを統括的に制御する。カード制御部８０ａは、例えば、携帯端末２ａからＵＩＭ３ａに送信された各種コマンドの処理（コマンド処理）を実行する。また、カード制御部８０ａは、例えば、認証処理部８１と、制限情報処理部８２ａとを備えている。

制限情報処理部８２ａ（第２の処理部の一例）は、オプション情報（制限情報）に関する処理を実行する。制限情報処理部８２ａは、通信部１４を介して受信したオプション情報を制限情報記憶部７１ａに記憶させる初期登録処理を実行する。また、制限情報処理部８２ａは、制限情報記憶部７１ａが記憶するオプション情報を読み出し、通信部１４を介して携帯端末２ａに送信する確認処理を実行する。すなわち、制限情報処理部８２ａは、例えば、携帯端末２ａ（取得部６１ａ）によって送信されたトークンＩＤに応じて、制限情報記憶部７１ａが記憶するオプション情報のうち、当該トークンＩＤに対応するオプション情報を携帯端末２ａに送信する。

また、制限情報処理部８２ａは、制限情報記憶部７１ａが記憶するオプション情報を変更する変更処理を実行する。すなわち、制限情報処理部８２ａは、認証処理部８１によって、ＰＩＮに基づいて使用者の正当性が確認された場合に、オプション情報の変更を要求する変更要求に応じて、制限情報記憶部７１ａが記憶する制限情報を変更する。ここで、変更要求は、例えば、上述したトークンオプション設定コマンドである。なお、本実施形態において、制限情報処理部８２ａは、このトークンオプション設定コマンドに応じて、上述した初期登録処理、確認処理、及び変更処理を実行する。

次に、図面を参照して、本実施形態のセキュリティシステム１ａの動作について説明する。
なお、本実施形態のＵＩＭ３ａによるトークンオプション設定コマンドの動作は、制限情報処理部８２ａが、制限情報記憶部７１ａのオプション情報に対して実行する点を除いて、上述した図８〜図１１に示す第１の実施形態と同様であるので、ここではその説明を省略する。
また、本実施形態のセキュリティシステム１ａのオプション情報の登録動作、及びオプション情報の変更動作は、上述した図１２、及び図１４に示す第１の実施形態と同様であるので、ここではその説明を省略する。

図１８は、本実施形態のセキュリティシステム１ａのトークンの確認動作の一例を示す図である。この図に示す例は、サービスを提供する際に、トークンを確認する場合の一例を示している。
なお、この図において、制御部６０ａは、上述したように通常ＯＳ６０Ａと、セキュアＯＳ６０Ｂとによって動作する。

図１８において、まず、携帯端末２ａが、端末４に近づけられて、端末４が、サービスの開始（機密情報の送信要求）を行う（ステップＳ８０１）。なお、ステップＳ８０１からステップＳ８０３までの処理は、上述した図１３に示すステップＳ６０１からステップＳ６０３までの処理と同様であるので、ここではその説明を省略する。

ステップＳ８０４において、セキュアＯＳ６０Ｂ（取得部６１ａ）は、通常ＯＳ６０Ａからのトークン取得要求に応じて、セキュリティ領域５０であるトークン記憶部４１ａから、アプリケーションＩＤに対応するトークンＩＤと、トークンとを取得する。

次に、セキュアＯＳ６０Ｂ（取得部６１ａ）は、トークンオプション設定コマンド（モード＝確認）を、ＵＩＭ３ａに送信する（ステップＳ８０５）。ここで、セキュアＯＳ６０Ｂ（取得部６１ａ）は、トークンＩＤを含むトークンオプション設定コマンド（モード＝確認）を、カード通信部１１を介して、ＵＩＭ３ａに送信する。

ＵＩＭ３ａの制限情報処理部８２ａは、トークンオプション設定コマンド（モード＝確認）に応じて、確認処理を実行し、レスポンス（オプション情報）をセキュアＯＳ６０Ｂに送信する（ステップＳ８０６）。すなわち、制限情報処理部８２ａは、上述した図８及び図１０に示す確認処理を実行する。制限情報処理部８２ａは、通信部１４及びカード通信部１１を介して、セキュアＯＳ６０Ｂ（取得部６１ａ）に、制限情報記憶部７１ａが記憶するオプション情報を含むレスポンスを送信する。

次に、セキュアＯＳ６０Ｂ（サービス処理部６２ａ）は、オプション情報を確認する（ステップＳ８０７）。例えば、オプション情報が期限制限情報である場合には、セキュアＯＳ６０Ｂ（サービス処理部６２ａ）は、オプション情報として取得した期限制限情報に基づいて、トークンを有効にするか否かを判定する。また、例えば、オプション情報が回数制限情報である場合には、セキュアＯＳ６０Ｂ（サービス処理部６２ａ）は、オプション情報として取得した回数制限情報に基づいて、トークンを有効にするか否かを判定する。

次に、セキュアＯＳ６０Ｂ（サービス処理部６２ａ）は、トークンを有効にすると判定した場合に、通常ＯＳ６０Ａに、トークンをレスポンスとして返答する（ステップＳ８０８）。
次に、通常ＯＳ６０Ａ（サービス処理部６２ａ）は、ＮＦＣ通信部１２を介して、トークンを端末４に送信する（ステップＳ８０９）。

このように、本実施形態のセキュリティシステム１ａでは、ＵＩＭ３ａに記憶されているオプション情報（制限情報）を利用して、トークンの利用（利用回数又は利用期限）を制限する。

以上説明したように、本実施形態によるセキュリティシステム１ａは、携帯端末２ａ（端末装置の一例）と、ＵＩＭ３ａ（携帯可能電子装置の一例）とを備えている。また、携帯端末２ａは、トークン記憶部４１ａ（機密情報記憶部の一例）と、取得部６１ａと、サービス処理部６２ａ（第１の処理部の一例）とを備える。トークン記憶部４１ａは、提供されるサービスに関する機密情報（例えば、トークン）を記憶する。取得部６１ａは、トークンの送信を要求する送信要求に応じて、トークンをトークン記憶部４１ａから取得するとともに、トークンの使用を制限する制限情報（例えば、オプション情報）を、ＵＩＭ３ａから取得する。サービス処理部６２ａは、取得部６１ａがＵＩＭ３ａから取得した制限情報に基づいて、トークンを有効にするか否かを判定する。そして、サービス処理部６２ａは、トークンを有効にすると判定された場合に、当該トークンを送信要求の要求元に送信する。また、ＵＩＭ３ａは、制限情報記憶部７１ａと、制限情報処理部８２ａ（第２の処理部の一例）とを備えている。制限情報記憶部７１ａは、制限情報（例えば、オプション情報）を記憶する。制限情報処理部８２ａは、トークンに対応する制限情報であって、制限情報記憶部７１ａが記憶する制限情報を携帯端末２ａに送信する。

これにより、本実施形態によるセキュリティシステム１ａは、ＵＩＭ３ａが記憶する制限情報（オプション情報）によって、トークンの利用を制限することができるので、セキュリティを確保しつつ、利便性を向上させることができる。なお、本実施形態によるセキュリティシステム１ａは、有効期限又は有効回数というトークンの中で機密性の高い情報を耐タンパー性が高いＵＩＭ３ａに格納する。そのため、本実施形態によるセキュリティシステム１ａは、ＮＦＣ通信にＳＥを使わないというＨＣＥの利点を活かしたまま、従来のＨＣＥとトークナイゼーションとを組み合わせた仕組みよりも高いセキュリティを確保することができる。

また、本実施形態では、制限情報処理部８２ａは、使用者を識別する使用者識別情報に基づいて使用者の正当性が確認された場合に、オプション情報の変更を要求する変更要求に応じて、制限情報記憶部７１ａが記憶するオプション情報を変更する。
これにより、本実施形態によるセキュリティシステム１ａは、トークンの利用制限を拡張することができる。よって、本実施形態によるセキュリティシステム１ａは、セキュリティを確保しつつ、さらに利便性を向上させることができる。

また、本実施形態では、制限情報には、トークンの有効期限を制限する期限制限情報が含まれる。サービス処理部６２ａは、期限制限情報に基づいて、トークンを有効にするか否かを判定する。
これにより、本実施形態によるセキュリティシステム１ａは、トークンに有効期限という制限を付加するとともに、有効期限を必要に応じて拡張することができる。

また、本実施形態では、制限情報には、トークンの有効回数を制限する回数制限情報が含まれる。サービス処理部６２ａは、回数制限情報に基づいて、トークンを有効にするか否かを判定する。
これにより、本実施形態によるセキュリティシステム１ａは、トークンに有効回数という制限を付加するとともに、有効回数を必要に応じて拡張することができる。

また、本実施形態では、トークン記憶部４１ａは、サービスを提供するアプリケーションを実行する通常ＯＳ６０Ａとは異なるセキュアＯＳ６０Ｂによってアクセスが制限される。取得部６１ａは、セキュアＯＳ６０Ｂを介して、トークンをトークン記憶部４１ａから取得するとともに、制限情報をＵＩＭ３ａから取得する。また、サービス処理部６２ａは、セキュアＯＳを介して、トークンを有効にするか否かを判定する。
これにより、セキュリティが担保されたセキュアＯＳ６０Ｂを介して、トークン及び制限情報を取得するとともに、トークンを有効にするか否かを判定するので、本実施形態によるセキュリティシステム１ａは、さらにセキュリティを向上させることができる。

また、本実施形態では、トークン記憶部４１ａは、トークンと、当該トークンを識別するトークンＩＤ（機密情報識別子）とを少なくとも対応付けて記憶する。取得部６１ａは、送信要求に応じて、トークンと、当該トークンに対応するトークンＩＤとをトークン記憶部４１ａから取得するとともに、取得したトークンＩＤをＵＩＭ３ａに送信して、トークンＩＤに対応する制限情報を、ＵＩＭ３ａから取得する。また、制限情報記憶部７１ａは、トークンＩＤと、制限情報とを対応付けて記憶する。制限情報処理部８２ａは、取得部６１ａによって送信されたトークンＩＤに応じて、制限情報記憶部７１ａが記憶する制限情報のうち、当該トークンＩＤに対応する制限情報を携帯端末２ａに送信する。
これにより、本実施形態によるセキュリティシステム１ａは、例えば、トークンＩＤによって、複数のトークンの利用制限を制限することができるので、例えば、複数のアプリケーションに適切に対応させることができる。

また、本実施形態による携帯端末２ａは、トークン記憶部４１ａと、取得部６１ａと、サービス処理部６２ａとを備える。トークン記憶部４１ａは、提供されるサービスに関するトークンを記憶する。取得部６１ａは、トークンの送信を要求する送信要求に応じて、トークンをトークン記憶部４１ａから取得するとともに、トークンの使用を制限する制限情報を、自装置と通信可能なＵＩＭ３ａから取得する。サービス処理部６２ａは、取得部６１ａがＵＩＭ３ａから取得した制限情報に基づいて、トークンを有効にするか否かを判定する。そして、サービス処理部６２ａは、トークンを有効にすると判定された場合に、当該トークンを送信要求の要求元に送信する。
これにより、本実施形態による携帯端末２ａは、上述したセキュリティシステム１ａと同様に、セキュリティを確保しつつ、利便性を向上させることができる。

（第３の実施形態）
次に、図面を参照して、第３の実施形態によるセキュリティシステム１ｂについて説明する。
上述した第２の実施形態において、制限情報に期限制限情報を採用した場合に、例えば、１日に１回などトークンが更新された際に、ＵＩＭ３ａが記憶する期限制限情報が更新されないため、トークンが更新された時点で期限切れである可能性がある。このような場合には、使用者は、トークンを利用する前に、制限情報を変更する必要が生じる。そこで、本実施形態では、トークンの更新の際に、制限情報の更新を可能にする一例について説明する。

図１９は、本実施形態のセキュリティシステム１ｂの機能構成例を示すブロック図である。
図１９に示すように、本実施形態によるセキュリティシステム１ｂは、携帯端末２ｂと、ＵＩＭ３ｂとを備えている。
なお、本実施形態によるセキュリティシステム１ｂの全体の構成は、図１に示す構成と基本的には同様であり、図１９では、携帯端末２ｂ及びＵＩＭ３ｂの機能構成例を示している。また、本実施形態のセキュリティシステム１ｂのハード構成は、図２に示す第１の実施形態と同様であるのでその説明を省略する。また、図１９において、図１５に示す構成と同一の構成については同一の符号を付し、その説明を省略する。

図１９に示すように、携帯端末２ｂは、カード通信部１１と、ＮＦＣ通信部１２と、ＮＷ通信部２７と、入力部２４と、表示部２５と、記憶部４０ｂと、制御部６０ｂとを備えている。
記憶部４０ｂは、例えば、不揮発性メモリ２３を用いて実現され、携帯端末２ｂの各種処理に利用する情報を記憶する。記憶部４０ｂは、例えば、トークン記憶部４１ａと、ＫＥＹ（キー）記憶部４２とを備えている。

ＫＥＹ記憶部４２は、トークンの更新の際に、制限情報の更新するための認証ＫＥＹ（認証キー）を記憶する。なお、認証ＫＥＹは、例えば、上述したセキュアＯＳ６０Ｂ又はサービスを提供するサービス提供者によって予め定められて、ＫＥＹ記憶部４２に記憶されているものとする。また、ＫＥＹ記憶部４２は、セキュリティ領域５０に割り当てられているものとする。

制御部６０ｂは、例えば、ＣＰＵ２１と、ＲＡＭ２２と、不揮発性メモリ２３とにより実現され、携帯端末２ｂを統括的に制御する。なお、制御部６０ｂは、上述した通常ＯＳ６０Ａと、セキュリティ領域５０にアクセス可能なセキュアＯＳ６０Ｂとにより動作するものとする。また、制御部６０ｂは、取得部６１ａと、サービス処理部６２ｂとを備えている。

サービス処理部６２ｂ（第１の処理部の一例）の基本的な機能は、上述した第２の実施形態のサービス処理部６２ａと同様である。なお、サービス処理部６２ｂは、トークンが更新された際に、ＵＩＭ３ｂのオプション情報（制限情報）を更新する。まず、サービス処理部６２ｂは、例えば、ＫＥＹ記憶部４２が記憶する認証ＫＥＹをＵＩＭ３ｂに送信して、認証ＫＥＹによる認証を行う。そして、サービス処理部６２ｂは、例えば、トークンオプション設定コマンドを送信して、オプション情報（例えば、期限制限情報）を変更させる。

ＵＩＭ３ｂは、通信部１４と、データ記憶部７０ｂと、カード制御部８０ｂとを備えている。
データ記憶部７０ｂは、例えば、ＥＥＰＲＯＭ３６により構成される記憶部である。データ記憶部７０ｂは、例えば、制限情報記憶部７１ａと、ＰＩＮ記憶部７２と、ＫＥＹ記憶部７３とを備えている。

ＫＥＹ記憶部７３は、ＵＩＭ３ｂの内部でＫＥＹ照合を行うための比較対象となる認証ＫＥＹを記憶する。ここで、認証ＫＥＹは、セキュアＯＳ６０Ｂ又はサービス提供者によって予め定められたＫＥＹである。

カード制御部８０ｂは、例えば、ＣＰＵ３３と、ＲＡＭ３５と、ＲＯＭ３４又はＥＥＰＲＯＭ３６とにより実現され、ＵＩＭ３ｂを統括的に制御する。カード制御部８０ｂは、例えば、携帯端末２ｂからＵＩＭ３ｂに送信された各種コマンドの処理（コマンド処理）を実行する。また、カード制御部８０ｂは、例えば、認証処理部８１ａと、制限情報処理部８２ｂとを備えている。

認証処理部８１ａの機能は、基本的には、上述した第１の実施形態の認証処理部８１と同様であるが、認証ＫＥＹに対する照合処理を実行する点が異なる。認証処理部８１ａは、通信部１４を介して受信した認証ＫＥＹと、ＫＥＹ記憶部７３が記憶する認証ＫＥＹとを照合して、例えば、携帯端末２ｂの正当性を確認する処理（例えば、“VERIFY PIN”コマンド処理）を実行する。

制限情報処理部８２ｂ（第２の処理部の一例）は、オプション情報（制限情報）に関する処理を実行する。制限情報処理部８２ｂの機能は、基本的には、上述した第２の実施形態の制限情報処理部８２ａと同様である。制限情報処理部８２ｂは、オプション情報の更新の際に、認証ＫＥＹの認証結果を利用する点が、上述した第２の実施形態の制限情報処理部８２ａと異なる。制限情報処理部８２ｂは、認証ＫＥＹに基づいて携帯端末２ｂの正当性を確認された場合に、制限情報（オプション情報）の変更を要求する変更要求に応じて、制限情報記憶部７１ａが記憶する制限情報（オプション情報）を変更する。

次に、図面を参照して、本実施形態のセキュリティシステム１ｂの動作について説明する。
なお、本実施形態のＵＩＭ３ｂによるトークンオプション設定コマンドの動作は、基本的には、第２の実施形態と同様であるが、変更処理において認証ＫＥＹの照合結果を利用する点が異なる。

図２０は、本実施形態のトークンオプション設定コマンドの変更処理の一例を示すフローチャートである。
この図に示すように、制限情報処理部８２ｂは、まず、正当な認証ＫＥＹにより照合済であるか否かを判定する（ステップＳ９０１）。制限情報処理部８２ｂは、例えば、上述した“VERIFY PIN”コマンド処理により、ＫＥＹ記憶部７３が記憶する認証ＫＥＹにより、携帯端末２ｂの正当性が確認済であるか否かを判定する。制限情報処理部８２ｂは、正当な認証ＫＥＹにより照合済である場合（ステップＳ９０１：ＹＥＳ）に、処理をステップＳ９０３に進める。また、制限情報処理部８２ｂは、正当な認証ＫＥＹにより照合済でない場合（ステップＳ９０１：ＮＯ）に、処理をステップＳ９０２に進める。

続く制限情報処理部８２ｂによるステップＳ９０２からステップＳ９０７の処理は、上述した図１１に示すステップＳ４０１からステップＳ４０６の処理と同様であるのでここではその説明を省略する。

また、本実施形態のセキュリティシステム１ｂのオプション情報の登録動作、及びトークンの確認動作は、上述した第２の実施形態と同様であるので、ここではその説明を省略する。
また、オプション情報（制限情報）を拡張する場合における本実施形態のセキュリティシステム１ｂのオプション情報の変更動作は、上述した第２の実施形態と同様であるので、ここではその説明を省略する。

図２１は、本実施形態のセキュリティシステム１ｂのオプション情報の変更動作の一例を示す図である。この図に示す例は、オプション情報（制限情報）を更新する際に、オプション情報を変更する場合の一例を示している。
なお、この図において、制御部６０ｂは、上述したように通常ＯＳ６０Ａと、セキュアＯＳ６０Ｂとによって動作する。

図２１において、制御部６０ｂのサービス処理部６２ｂは、通常ＯＳ６０Ａにおいて、ＫＥＹ照合要求をセキュアＯＳ６０Ｂに行う（ステップＳ１００１）。
セキュアＯＳ６０Ｂは、通常ＯＳ６０ＡからのＫＥＹ照合要求に応じて、ＫＥＹ照合コマンド（例えば、“VERIFY PIN”コマンド）を、カード通信部１１を介して、ＵＩＭ３ｂに送信する（ステップＳ１００２）。すなわち、サービス処理部６２ｂは、セキュアＯＳ６０Ｂを介して、例えば、ＫＥＹ照合コマンドを、カード通信部１１経由でＵＩＭ３ｂに送信する。なお、ＫＥＹ照合コマンドに含まれる認証ＫＥＹは、ＫＥＹ記憶部４２に予め記憶されている。また、以下の通常ＯＳ６０Ａ及びセキュアＯＳ６０Ｂによって実行される処理は、サービス処理部６２ｂによって実行される処理である。

ＵＩＭ３ｂは、ＫＥＹ照合コマンド（例えば、“VERIFY PIN”コマンド）に応じて、ＫＥＹ照合処理を実行する（ステップＳ１００３）。すなわち、カード制御部８０ｂの認証処理部８１ａが、ＫＥＹ照合コマンドに含まれる認証ＫＥＹと、ＫＥＹ記憶部７３が記憶する認証ＫＥＹとを照合し、２つの認証ＫＥＹが一致するか否かを判定する。なお、ここでは、２つの認証ＫＥＹが一致するもの（携帯端末２ｂが正当であると確認されたもの）として説明する。

次に、ＵＩＭ３ｂの認証処理部８１ａは、ＫＥＹ照合処理の実行結果であるレスポンスを、携帯端末２ｂに送信する（ステップＳ１００４）。すなわち、認証処理部８１ａは、通信部１４及びカード通信部１１を介して、セキュアＯＳ６０Ｂ（サービス処理部６２ｂ）にレスポンスを送信する。
また、セキュアＯＳ６０Ｂ（サービス処理部６２ｂ）は、受信したレスポンスを通常ＯＳ６０Ａに返答する（ステップＳ１００５）。

続くステップＳ１００６からステップＳ１０１０の処理は、上述した図１４に示すステップＳ７０６からステップＳ７１０の処理と同様であるので、ここではその説明を省略する。
このように、本実施形態のセキュリティシステム１ｂでは、トークンを更新する際に、認証ＫＥＹによる正当性が確認された場合に、ＵＩＭ３ｂに記憶されているオプション情報（制限情報）を変更して、トークンの利用（利用回数又は利用期限）を更新する。

以上説明したように、本実施形態によるセキュリティシステム１ｂでは、制限情報処理部８２ｂは、認証ＫＥＹに基づいて、例えば、携帯端末２ｂの正当性が確認された場合に、オプション情報の変更を要求する変更要求に応じて、制限情報記憶部７１ａが記憶するオプション情報を変更する。
これにより、本実施形態によるセキュリティシステム１ｂは、トークンを更新する際に、使用者の確認なしにＵＩＭ３ｂが記憶する制限情報の更新を安全に行うことができる。よって、本実施形態によるセキュリティシステム１ｂは、セキュリティを確保しつつ、さらに利便性を向上させることができる。

なお、上記の各実施形態において、ＣＰＵ２１が、セキュアＯＳ６０Ｂを動作させるセキュアモードを有している例を説明したが、ＣＰＵ２１とは別に、セキュアＯＳ６０Ｂを動作させるコプロセッサを備えるようにしてもよい。
また、上記の各実施形態において、制御部６０（６０ａ、６０ｂ）が、通常ＯＳ６０Ａと、セキュリティ領域５０にアクセス可能なセキュアＯＳ６０Ｂとにより動作する例を説明したが、セキュアＯＳ６０Ｂを有さずに通常ＯＳ６０Ａにより動作するようにしてもよい。また、この場合、トークン記憶部４１（４１ａ）は、セキュリティ領域５０でなくてもよいし、取得部６１（６１ａ）及びサービス処理部６２（６２ａ、６２ｂ）による全ての処理は、通常ＯＳ６０Ａで実行されるようにしてもよい。

また、上記の各実施形態において、携帯端末２（２ａ、２ｂ）が、携帯電話である例を説明したが、これに限定されるものではなく、例えば、ＰＤＡ（Personal Digital Assistant）、タブレット端末などの携帯情報端末であってもよい。
また、上記の実施形態において、ＮＷ通信部２７は、３Ｇ移動体通信（第３世代移動通信）などの無線通信によりネットワークＮＷに接続する例を説明したが、これに限定されるものではない。ＮＷ通信部２７は、例えば、無線ＬＡＮ（Local Area Network）、有線ＬＡＮなどの他の通信方式によりネットワークＮＷに接続するようにしてもよい。

また、上記の各実施形態において、携帯端末２が、ＵＩＭ３（３ａ、３ｂ）を内蔵する例を説明したが、これに限定されるものではなく、セキュリティシステム１（１ａ、１ｂ）は、ＵＩＭ３（３ａ、３ｂ）を携帯端末２（２ａ、２ｂ）とは別体として備えるようにしてもよい。また、ＵＩＭ３（３ａ、３ｂ）は、ＳＩＭカードなどのＩＣカードに限定されるものではなく、セキュリティ機能付きのＳＤカードなどの他の携帯可能電子装置であってもよい。

また、上記の各実施形態において、携帯端末２（２ａ、２ｂ）が、オプション情報（拡張情報又は制限情報）の初期設定、確認、及び変更を１つのコマンド（トークンオプション設定コマンド）により実行する例を説明したが、これに限定されるものではない。携帯端末２（２ａ、２ｂ）は、複数のコマンドを組み合わせて、オプション情報（拡張情報又は制限情報）の初期設定、確認、及び変更を実現するようにしてもよい。例えば、トークンオプション設定コマンドの代わりに、“SELECT”コマンド、“WRITE BINARY/RECORD”コマンド、及び“READ BINARY/RECORD”コマンドなどを組み合わせて実現してもよい。

また、上記の第２及び第３の実施形態において、ＵＩＭ３ａ（３ｂ）に制限情報を記憶させる例を説明したが、制限情報の他に第１の実施形態のように、制限情報を拡張する拡張情報をＵＩＭ３ａ（３ｂ）に記憶するようにしてもよい。
また、上記の第３の実施形態において、携帯端末２ｂが、認証ＫＥＹをＫＥＹ記憶部４２に記憶する例を説明したが、トークンの更新の際に、携帯端末２ｂが、サーバ装置５から認証キーを取得するようにしてもよい。

以上説明した少なくともひとつの実施形態によれば、携帯端末２ａが、提供されるサービスに関するトークンを記憶するトークン記憶部４１ａと、トークンの送信を要求する送信要求に応じて、トークンをトークン記憶部４１ａから取得するとともに、トークンの使用を制限する制限情報を、自装置と通信可能なＵＩＭ３ａから取得する取得部６１ａと、ＵＩＭ３ａから取得した制限情報に基づいて、トークンを有効にするか否かを判定し、トークンを有効にすると判定された場合に、当該トークンを送信要求の要求元に送信するサービス処理部６２ａとを持つことにより、セキュリティを確保しつつ、利便性を向上させることができる。

上記実施形態は、以下のように表現することができる。
外部装置と第１のインターフェースで通信する第１の通信部と、
携帯可能電子装置と第２のインターフェースで通信する第２の通信部と、
提供されるサービスに関する機密情報を記憶する機密情報記憶部と、
前記第１の通信部を介して前記外部装置から受信した、前記機密情報の送信を要求する送信要求に応じて、前記機密情報を前記機密情報記憶部から取得するとともに、前記機密情報の使用を制限する制限情報を、前記第２の通信部を介して携帯可能電子装置から取得する取得部と、
前記取得部が前記携帯可能電子装置から取得した前記制限情報に基づいて、前記機密情報を有効にするか否かを判定し、前記機密情報を有効にすると判定された場合に、当該機密情報を前記送信要求の要求元である前記外部装置に前記第１の通信部を介して送信する第１の処理部と
を備える端末装置と、
前記端末装置と前記第２のインターフェースで通信する第３の通信部と、
前記制限情報を記憶する制限情報記憶部と、
前記制限情報記憶部が記憶する前記制限情報を、前記第３の通信部を介して前記端末装置に送信する第２の処理部と
を備える前記携帯可能電子装置と
を備えるセキュリティシステム。

なお、上述したセキュリティシステム１（１ａ、１ｂ）は、内部に、コンピュータシステムを有している。そして、上述したセキュリティシステム１（１ａ、１ｂ）が備える各構成の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述したセキュリティシステム１（１ａ、１ｂ）が備える各構成における処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、セキュリティシステム１（１ａ、１ｂ）に内蔵されたコンピュータシステムであって、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含んでもよい。また上記プログラムは、前述した機能の一部を実現するためのものであってもよく、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。
また、上述した機能の一部又は全部を、ＬＳＩ（Large Scale Integration）等の集積回路として実現してもよい。上述した各機能は個別にプロセッサ化してもよいし、一部、又は全部を集積してプロセッサ化してもよい。また、集積回路化の手法はＬＳＩに限らず専用回路、又は汎用プロセッサで実現してもよい。また、半導体技術の進歩によりＬＳＩに代替する集積回路化の技術が出現した場合、当該技術による集積回路を用いてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１，１ａ，１ｂ…セキュリティシステム、２，２ａ，２ｂ…携帯端末、３，３ａ，３ｂ…ＵＩＭ、４…端末、５…サーバ装置、１１…カード通信部、１２…ＮＦＣ通信部、１４…通信部、２１，３３…ＣＰＵ、２２，３５…ＲＡＭ、２３…不揮発性メモリ、２４…入力部、２５…表示部、２６…カードＩ／Ｆ部、２７…ＮＷ通信部、２８…ＮＦＣコントローラ、２９…コイル、３０…ＩＣチップ、３１…コンタクト部、３２…通信Ｉ／Ｆ部、３４…ＲＯＭ、３６…ＥＥＰＲＯＭ、４０，４０ａ，４０ｂ…記憶部、４１，４１ａ…トークン記憶部、４２，７３…ＫＥＹ記憶部、５０…セキュリティ領域、６０，６０ａ，６０ｂ…制御部、６０Ａ…通常ＯＳ、６０Ｂ…セキュアＯＳ、６１，６１ａ…取得部、６２，６２ａ，６２ｂ…サービス処理部、７０，７０ａ，７０ｂ…データ記憶部、７１…拡張情報記憶部、７１ａ…制限情報記憶部、７２…ＰＩＮ記憶部、８０，８０ａ，８０ｂ…カード制御部、８１，８１ａ…認証処理部、８２…拡張情報処理部、８２ａ，８２ｂ…制限情報処理部、ＢＳ１…システムバス、ＮＷ…ネットワーク、ＰＴ…カード基材

Claims (8)

1. 提供されるサービスに関する機密情報を記憶する機密情報記憶部と、
   前記機密情報の送信を要求する送信要求に応じて、前記機密情報を前記機密情報記憶部から取得するとともに、前記機密情報の使用を制限する制限情報を、携帯可能電子装置から取得する取得部と、
   前記取得部が前記携帯可能電子装置から取得した前記制限情報に基づいて、前記機密情報を有効にするか否かを判定し、前記機密情報を有効にすると判定された場合に、当該機密情報を前記送信要求の要求元に送信する第１の処理部と
   を備える端末装置と、
   前記制限情報を記憶する制限情報記憶部と、
   前記制限情報記憶部が記憶する前記制限情報を前記端末装置に送信する第２の処理部と
   を備える前記携帯可能電子装置と
   を備えるセキュリティシステム。
2. 前記第２の処理部は、使用者を識別する使用者識別情報に基づいて前記使用者の正当性が確認された場合に、前記制限情報の変更を要求する変更要求に応じて、前記制限情報記憶部が記憶する前記制限情報を変更する
   請求項１に記載のセキュリティシステム。
3. 前記制限情報には、前記機密情報の有効期限を制限する期限制限情報が含まれ、
   前記第１の処理部は、前記期限制限情報に基づいて、前記機密情報を有効にするか否かを判定する
   請求項１又は請求項２に記載のセキュリティシステム。
4. 前記制限情報には、前記機密情報の有効回数を制限する回数制限情報が含まれ、
   前記第１の処理部は、前記回数制限情報に基づいて、前記機密情報を有効にするか否かを判定する
   請求項１から請求項３のいずれか一項に記載のセキュリティシステム。
5. 前記機密情報記憶部は、前記サービスを提供するアプリケーションを実行する端末ＯＳ（Operating System）とは異なるセキュアＯＳによってアクセスが制限され、
   前記取得部は、前記セキュアＯＳを介して、前記機密情報を前記機密情報記憶部から取得するとともに、前記制限情報を前記携帯可能電子装置から取得し、
   前記第１の処理部は、前記セキュアＯＳを介して、前記機密情報を有効にするか否かを判定する
   請求項１から請求項４のいずれか一項に記載のセキュリティシステム。
6. 前記機密情報記憶部は、前記機密情報と、当該機密情報を識別する機密情報識別子とを少なくとも対応付けて記憶し、
   前記取得部は、前記送信要求に応じて、前記機密情報と、当該機密情報に対応する前記機密情報識別子とを前記機密情報記憶部から取得するとともに、取得した前記機密情報識別子を前記携帯可能電子装置に送信して、前記機密情報識別子に対応する前記制限情報を、前記携帯可能電子装置から取得し、
   前記制限情報記憶部は、前記機密情報識別子と、前記制限情報とを対応付けて記憶し、
   前記第２の処理部は、前記取得部によって送信された前記機密情報識別子に応じて、前記制限情報記憶部が記憶する前記制限情報のうち、当該機密情報識別子に対応する前記制限情報を前記端末装置に送信する
   請求項１から請求項５のいずれか一項に記載のセキュリティシステム。
7. 提供されるサービスに関する機密情報を記憶する機密情報記憶部と、
   前記機密情報の送信を要求する送信要求に応じて、前記機密情報を前記機密情報記憶部から取得するとともに、前記機密情報の使用を制限する制限情報を、自装置と通信可能な携帯可能電子装置から取得する取得部と、
   前記取得部が前記携帯可能電子装置から取得した前記制限情報に基づいて、前記機密情報を有効にするか否かを判定し、前記機密情報を有効にすると判定された場合に、当該機密情報を前記送信要求の要求元に送信する処理部と
   を備える端末装置。
8. 提供されるサービスに関する機密情報を記憶する機密情報記憶部を備える端末装置としてのコンピュータに、
   前記機密情報の送信を要求する送信要求に応じて、前記機密情報を前記機密情報記憶部から取得するとともに、前記機密情報の使用を制限する制限情報を、前記端末装置と通信可能な携帯可能電子装置から取得する取得ステップと、
   前記取得ステップにより前記携帯可能電子装置から取得した前記制限情報に基づいて、前記機密情報を有効にするか否かを判定し、前記機密情報を有効にすると判定された場合に、当該機密情報を前記送信要求の要求元に送信する処理ステップと
   を実行させるためのプログラム。

Images