JP2019029680A - 処理装置、個人情報保護システム、トークン生成方法、およびトークン生成プログラム - Google Patents

Abstract

【課題】個人を識別することができるカード番号等の識別コードの漏洩に対するセキュリティを向上させる技術を提供する。
【解決手段】決済端末１は、設定コードを記憶部１３に記憶している。カードデータ読取／書込部１１は、受け付けたクレジットカード４に記録されているカード番号を読み取る。暗号化機能部１０ａは、カードデータ読取／書込部１１が読み取ったカード番号を暗号鍵にし、記憶部１３に記憶している設定コードを暗号化したトークンを生成する。
【選択図】図２

Description

この発明は、対象者の識別コードの漏洩に対するセキュリティ技術に関する。

従来、取引金額の決済を現金ではなく、クレジットカード（以下、単にカードと言う。）で決済するカード取引が店舗等で行われている。カード番号は、カードを識別する固有の番号であることから、カード所有者の個人情報である。カード番号の漏洩は、カード所有者の個人情報の漏洩である。また、悪意を持った第３者が、漏洩したカード番号を不正に使用することもある。このため、カード取引を処理する店舗のＰＯＳシステム等に対して、カード番号の漏洩を防止する高度なセキュリティ対策が要望されている。

例えば、特許文献１には、暗号化によって、セキュリティを確保することが記載されている。具体的には、カード（耐タンパ装置）と、ＰＯＳ端末と（データ授受端末）の間において、暗号化したカード番号（識別情報）を伝送することが記載されている。したがって、カード番号は、伝送路において、悪意のある第３者に抜き取られても、暗号化されているので漏洩しない。

また、この特許文献１には、共通識別情報を記憶したカードで、複数のサービス提供者によるサービスの提供が受けられるシステムが記載されている。このシステムでは、カードがデータ鍵を用いて暗号化した共通識別情報を、ＰＯＳ端末を介してサーバ（識別情報変換装置）に伝送する。データ鍵は、カードおよびサーバで共有されている。ＰＯＳ端末は、カードから送られてきた暗号化された共通識別情報をサーバに転送するとき、サービス提供者識別情報を付与する。サーバは、暗号化されている共通識別情報を復号化するとともに、サービス提供者識別情報に基づきサービス提供者を特定する。そして、サーバは、共通識別情報に基づき、特定したサービス提供者に対する個別識別情報を取得し、これをＰＯＳ端末に通知する。この場合も、共通識別情報は、伝送路において、悪意のある第３者に抜き取られても、暗号化されているので漏洩しない。

特開２００７−１９７５４号公報

ところで、セキュリティが比較的低い店舗側の機器（ＰＯＳシステムにかかる機器）や機器間の伝送路において、カード番号が抜き取られて漏洩しているケースが多い。言い換えれば、セキュリティが比較的高いカード会社の認証サーバ、ＰＳＰ（Payment Service Provider）の認証サーバ等からカード番号が抜き取られて漏洩するケースは稀である。これらのことから、悪意のある第３者によって、店舗側の機器、および伝送路からカード番号が抜き取られることに対するセキュリティの向上が要望されている。

なお、特許文献１では、ＰＯＳ端末が、暗号鍵（公開鍵、秘密鍵）を記憶する構成であるため、暗号鍵がＰＯＳ端末から漏洩することに対するセキュリティ対策が必要である。

この発明の目的は、個人を識別することができるカード番号等の識別コードの漏洩に対するセキュリティを向上させる技術を提供することにある。

この発明の処理装置は、上記目的を達するために、以下のように構成している。

記憶部には、特定のコードが記憶されている。特定のコードは、例えば、１６バイトで示される１６桁のコードである。

識別コード取得部は、対象者にかかる識別コードを取得する。この識別コードは、対象者個人を特定することができる番号であれば、どのような種類の番号であってもよい。例えば、クレジットカード、デビットカード、ポイントカード、マイナンバーカード等のカードを識別するカード番号であってもよいし、さらには、健康保険証番号、運転免許証番号等であってもよい。また、識別コード取得部は、受け付けたカード等の媒体に記録されている識別コードを読み取って取得する構成であってもよいし、キー入力操作によって入力された識別コードを取得する構成であってもよい。

暗号化部は、記憶部に記憶している特定のコードを、識別コード取得部が取得した識別コードを暗号鍵にして暗号化したトークンを生成する。すなわち、トークンは、特定のコードを暗号化したものである。一般的な暗号化技術では、暗号化された暗号化データから、暗号化に用いた暗号鍵を推定することは不可能である。したがって、暗号化部が生成したトークン、および記憶部に記憶している特定のコードが漏洩したとしても、これらから、識別コードを推定することはできない。

したがって、識別コードの漏洩に対するセキュリティを向上させることができる。また、暗号化部が生成したトークン、および記憶部に記憶している特定のコードの漏洩に対するセキュリティについては、特に向上させる必要がないので、システム構築にかかるコストアップも抑えられる。

また、暗号化部がトークンを生成すると、当該トークンの生成に用いた識別コードを破棄する識別コード破棄部を備える構成にするのが好ましい。識別コードを破棄するタイミングは、生成したトークンを用いた処理が完了した時点であってもよいが、より好ましくは、トークンを生成したタイミングで破棄するのがよい。このようにすれば、識別コード取得部が取得した識別コードが漏洩するのを一層確実に防止できる。

また、暗号化部が生成したトークンは、管理装置に出力すればよい。識別コードと、トークンとは、１対１で対応するので、管理装置では、識別コードではなく、トークンで対象者を管理すればよい。これにより、管理装置においても、識別コードを記憶する必要がなくなるので、識別コード取得部が取得した識別コードが漏洩するのをより一層確実に防止できる。

なお、対象者を識別コードで管理する必要がある装置には、識別コードとトークンとの対応を示すデータを記憶させておけばよい。

この発明によれば、個人を識別することができるカード番号等の識別コードの漏洩に対するセキュリティの向上が図れる。

この例にかかる取引処理システムの概略図である。 決済端末の主要部の構成を示す図である。 ＰＯＳ端末の主要部の構成を示す図である。 サーバの主要部の構成を示す図である。 顧客管理テーブルを示す図である。 カード番号管理テーブルを示す図である。 決済端末の動作を示すフローチャートである。 ＰＯＳ端末の動作を示すフローチャートである。 サーバの動作を示すフローチャートである。

以下、この発明の実施形態について説明する。

図１は、この例にかかる取引処理システムの概略図である。この例にかかる取引処理システムは、決済端末１と、ＰＯＳ端末２と、サーバ３とを備えている。サーバ３には、複数のＰＯＳ端末２がネットワーク５を介してデータ通信可能に接続されている。また、各ＰＯＳ端末２には、決済端末１がデータ通信可能に接続されている。決済端末１が、この発明で言う処理装置に相当する。また、サーバ３が、この発明で言う管理装置に相当する。

ＰＯＳ端末２は、商品の登録、取引金額の精算等を行い、取引を処理する取引処理を行う。決済端末１は、ＰＯＳ端末２で処理される取引で使用するクレジットカード４に対して、カードデータの読み取り、カードデータの書き込み等を含むカード決済処理を行う。サーバ３は、ＰＯＳ端末２での取引処理で、クレジットカード４を利用した顧客（クレジットカード４の所有者）の顧客管理処理を行う。

なお、決済端末１は、図１に示すように、有線でＰＯＳ端末２に接続される構成であってもよいし、無線でＰＯＳ端末２に接続される構成であってもよい。また、決済端末１は、ＰＯＳ端末２に一体化された構成であってもよい。

図２は、決済端末の主要部の構成を示すブロック図である。決済端末１は、制御部１０と、カードデータ読取／書込部１１と、操作／表示部１２と、記憶部１３と、通信部１４とを備えている。

制御部１０は、決済端末１本体各部を制御する。制御部１０は、暗号化機能部１０ａ、およびカード番号破棄機能部１０ｂを有している。暗号化機能部１０ａ、およびカード番号破棄機能部１０ｂの詳細については後述する。

カードデータ読取／書込部１１は、決済端末１において受け付けたクレジットカード４に記憶されているカードデータの読み取りやカードデータの書き込みを行う。クレジットカード４には、そのカードを識別する識別コードであるカード番号や、そのカードの有効期限を示す有効期限データ等がカードデータとして記録されている。クレジットカード４は、磁気カードであってもよいし、接触式ＩＣカードであってもよいし、非接触式のＩＣカードであってもよいし、これらの複合カードであってもよい。

カード番号は、クレジットカード４を識別する識別コードであることから、特定の個人（クレジットカード４の所有者）を識別することができる個人情報である。クレジットカード４の所有者が、この発明で言う対象者に相当し、カード番号が、この発明で言う識別コードに相当する。また、カードデータ読取／書込部１１が、この発明で言う識別コード取得部に相当する。

操作／表示部１２は、１０個の数字キー（０〜９のそれぞれに対応する数字キー）と、「＊」、および「＃」の２つの記号キーとを有する。操作／表示部１２は、押下されたキーに応じたキーコードを制御部１０に通知する。操作／表示部１２においては、本人確認に用いる認証コード（所謂、暗証番号）等の入力操作が行われる。操作／表示部１２は、制御部１０からの指示にしたがって表示器（不図示）の表示を制御する。

記憶部１３は、この例にかかる取引処理システムにおいて、予め定めた設定コードを記憶している。この設定コードは、例えば１６バイトで示される１６桁のコードである。この設定コードが、この発明で言う特定のコードに相当する。記憶部１３が、この発明で言う記憶部に相当する。

通信部１４は、ＰＯＳ端末２との間におけるデータの入出力を制御するインタフェースである。通信部１４が、この発明で言う出力部に相当する。

次に、制御部１０が有する、暗号化機能部１０ａ、およびカード番号破棄機能部１０ｂについて説明する。暗号化機能部１０ａは、カードデータ読取／書込部１１が決済端末１本体において受け付けたクレジットカード４から読み取ったカード番号を暗号鍵とし、記憶部１３に記憶している設定コードを暗号化する。暗号化機能部１０ａが、この発明で言う暗号化部に相当する。暗号化機能部１０ａが、カード番号を暗号鍵にして設定コードを暗号化したものを、ここではトークンと言う。設定コードの暗号化は、共通鍵方式であってもよいし、公開鍵方式であってもよい。また、暗号化にかかるアルゴリズムも、特定の手法のアルゴリズムに限定されない。

また、カード番号破棄機能部１０ｂは、暗号化機能部１０ａが設定コードの暗号化に用いた暗号鍵であるカード番号をメモリ等の記憶素子から消去する。カード番号破棄機能部１０ｂが、この発明で言う識別コード破棄部に相当する。

なお、決済端末１は、通信部１４において、暗号化機能部１０ａが生成したトークンをＰＯＳ端末２に出力する。決済端末１は、カードデータ読取／書込部１１がクレジットカード４から読み取ったカード番号を、ＰＯＳ端末２を含めた外部機器に出力しない。

図３は、ＰＯＳ端末の主要部の構成を示す図である。ＰＯＳ端末２は、制御部２０と、貨幣処理部２１と、操作／表示部２２と、印字部２３と、第１通信部２４と、第２通信部２５とを備えている。

制御部２０は、ＰＯＳ端末２本体各部の動作を制御する。また、制御部２０は、商品登録機能部２０ａ、および精算機能部２０ｂを有している。商品登録機能部２０ａは、取引する商品やサービス等を登録する処理を行う。精算機能部２０ｂは、商品登録機能部２０ａにおいて登録された商品の販売やサービスの提供にかかる取引金額を精算する精算処理を行う。

貨幣処理部２１は、取引金額の精算に用いる貨幣（硬貨、および紙幣）の入出金を処理する。操作／表示部２２は、オペレータが取引する商品の商品コードや、サービスのサービスコード等を入力する入力デバイスを有している。入力デバイスは、表示器の画面上に貼付されたタッチパネル、バーコードを読み取るバーコードリーダ等である。操作／表示部２２は、制御部２０からの指示にしたがって、表示器における画面表示を制御する。印字部２３は、取引金額の精算後に、取引内容を印字したレシートを発行する。第１通信部２４は、決済端末１との間におけるデータ通信を制御するインタフェースである。第２通信部２５は、ネットワーク５を介したサーバ３との間におけるデータ通信を制御するインタフェースである。

このＰＯＳ端末２のハードウェアは、公知のものとほぼ同じ構成であるので、各部の詳細な説明については省略する。

図４は、サーバの主要部の構成を示すブロック図である。サーバ３は、制御部３０と、通信部３１と、顧客管理データベース３２（顧客管理ＤＢ３２）とを備える。この例では、サーバ３は、クレジットカード４毎に、そのクレジットカード４の所有者のポイントを管理するポイント管理サーバであり、クレジット取引の認証等を行うカード会社の認証サーバ、ＰＳＰ（Payment Service Provider）の認証サーバ等でないものとして説明する。すなわち、この例では、サーバ３は、外部からの攻撃に対して、比較的高度なセキュリティを要求されない。

制御部３０は、サーバ３本体各部の動作を制御する。制御部３０は、顧客管理機能部３０ａを有する。顧客管理機能部３０ａは、後述する顧客管理テーブル３２ａを管理する。

通信部３１は、ネットワーク５を介したＰＯＳ端末２との間におけるデータ通信を制御するインテフェースである。顧客管理ＤＢ３２は、図５に示す顧客管理テーブル３２ａを記憶する。顧客管理テーブル３２ａは、上述した決済端末１の暗号化機能部１０ａが生成したトークンと、そのトークンに付与されているポイントとを対応付けて登録したものである。上述したように、トークンは、カード番号を暗号鍵にして設定コードを暗号化したものである。このため、カード番号と、トークンとは、１対１で対応する。すなわち、サーバ３は、顧客管理テーブル３２ａにおいて、クレジットカード４のカード番号を用いずに、そのクレジットカード４に付与されているポイントを管理することができる。

なお、この例では、クレジット取引の認証等を行うカード会社の認証サーバ、ＰＳＰの認証サーバ等、カード番号による管理を必要とするサーバについては、特に図示していないが、これらのサーバでは、図６に示す、カード番号とトークンとを対応付けたカード番号管理テーブル３２ｂを記憶すればよい。また、サーバ３が、顧客管理テーブル３２ａ、およびカード番号管理テーブル３２ｂをともに顧客管理ＤＢ３２に記憶している構成であれば、サーバ３においてカード番号による管理も行える。この場合、サーバ３については、悪意のある第３者によるカード番号の抜き取りに対する高度なセキュリティが求められる。

次に、このＰＯＳシステムにおける取引処理について説明する。

図７は、決済端末のカード決済処理にかかる動作を示すフローチャートである。図８は、ＰＯＳ端末の取引処理にかかる動作を示すフローチャートである。図９は、サーバの顧客管理処理にかかる動作を示すフローチャートである。

このＰＯＳシステムでは、オペレータが、ＰＯＳ端末２において、取引する商品やサービスの登録にかかる操作を行う。図８に示すように、ＰＯＳ端末２は、操作／表示部２２におけるオペレータの操作に応じて、商品登録機能部２０ａが取引する商品やサービスを登録する（ｓ１１）。ＰＯＳ端末２は、取引する商品やサービスの登録が完了すると、取引金額をクレジットカード４で決済するカード取引であるかどうかを判定する（ｓ１２）。ｓ１２では、オペレータが操作／表示部２２においてカード取引を選択する操作を行うと、カード取引であると判定する。また、オペレータが操作／表示部２２において現金取引を選択する操作を行うと、カード取引でない（現金取引である）と判定する。

ＰＯＳ端末２は、ｓ１２でカード取引でない（現金取引である）と判定すると、取引金額を現金で精算する取引処理（現金による取引処理）を実行し（ｓ１６）、本処理を終了する。

また、ＰＯＳ端末２は、ｓ１２でカード取引であると判定すると、決済端末１からトークンを受信するのを待つ（ｓ１３）。

図７に示すように、決済端末１は、クレジットカード４を受け付けると、カードデータ読取／書込部１１で受け付けたクレジットカード４に記録されているカード番号を含むカードデータを読み取る（ｓ１、ｓ２）。決済端末１は、暗号化機能部１０ａが、ｓ２で読み取ったカード番号を暗号鍵にして、トークンを生成する（ｓ３）。暗号化機能部１０ａは、記憶部１３に記憶している設定コードを暗号化したものをトークンとして生成する。また、決済端末１は、ｓ３でトークンを生成すると、ｓ２で読み取ったカード番号を破棄する（ｓ４）。すなわち、ｓ２で読み取ったカード番号は、トークンが生成されるまでのわずかな時間だけ、決済端末１に保持される。このため、決済端末１は、カード番号の漏洩に対するセキュリティを向上できる。

決済端末１は、通信部１４において、ｓ３で生成したトークンをＰＯＳ端末２に送信する（ｓ５）。このため、決済端末１とＰＯＳ端末２との伝送路においては、カード番号ではなく、トークンが伝送される。また、決済端末１が記憶部１３に記憶している設定コードが漏洩し、且つ決済端末１とＰＯＳ端末２との伝送路において伝送されているトークンが漏洩しても、漏洩した設定コードとトークンから暗号鍵（すなわち、カード番号）を得ることはできない。したがって、決済端末１とＰＯＳ端末２との伝送路において、抜き取られたトークンによって、カード番号が漏洩することはない。

図８に戻って、ＰＯＳ端末２は、第１通信部２４で決済端末１から送信されてきたトークンを受信すると、第２通信部２５において取引データをサーバ３に送信する（ｓ１４）。 ＰＯＳ端末２がｓ１４で送信する取引データには、ｓ１３で受信したトークン、今回の取引にかかる取引金額等が含まれている。また、ＰＯＳ端末２は、取引データとともに、サーバ３に対する処理要求を送信している。この処理要求には、ポイントの参照要求、取引の認証要求等がある。

図９に示すように、サーバ３は、ＰＯＳ端末２からの処理要求を受信すると、要求された処理を実行する（ｓ２１、ｓ２２）。サーバ３は、ポイントの参照要求を受信すると、顧客管理ＤＢ３２に記憶している顧客管理テーブル３２ａを参照し、該当するトークンコードに対応付けられているポイントを読み出し、これをＰＯＳ端末２に返信する。また、サーバ３は、取引の認証要求を受信すると、この取引の認証要求を図示していないカード会社の認証サーバ、ＰＳＰの認証サーバ等に転送する。サーバ３は、取引の認証要求を転送した認証サーバから、取引可否の認証結果を取得し、これをＰＯＳ端末２に返信する。ＰＳＰの認証サーバにおける取引の認証処理は、オフライン処理であってもよいし、オンライン処理であってもよい。サーバ３は、ｓ２１、ｓ２２にかかる処理を繰り返す。

なお、サーバ３が、図６に示したカード番号管理テーブル３２ｂを記憶し、取引の認証処理が行える構成であってもよい。この場合、サーバ３は、ＰＯＳ端末２から送信されてきた認証要求を転送することなく、自装置において取引可否の認証を行う。

また、サーバ３は、ＰＯＳ端末２から後述するポイントの更新要求を受信すると、顧客管理ＤＢ３２に記憶している顧客管理テーブル３２ａを参照し、該当するトークンに対応付けられているポイントを更新する。

ＰＯＳ端末２は、カード取引にかかる取引処理を行い（ｓ１５）、本処理を終了する。ｓ１５にかかる取引処理では、ＰＯＳ端末２からサーバ３に対する処理要求が必要に応じて繰り返し行われる。この処理要求には、上述したポイントの参照要求、ポイントの更新要求が含まれる。ＰＯＳ端末２とサーバ３との間における処理要求の通信は、１つの取引で１回であるとは限らない（ＰＯＳ端末２とサーバ３との間における処理要求の通信が複数回行われる取引もある。）。

また、ＰＯＳ端末２は、ｓ１５にかかる取引処理で決済端末１に対して、カードデータの書き込みの要否を通知する。ＰＯＳ端末２は、決済端末１に対して、カードデータの書き込み要を通知する場合、クレジットカード４に書き込むカードデータを通知する。ＰＯＳ端末２は、ｓ１１〜ｓ１６にかかる処理を繰り返す。

図７に戻って、決済端末１は、ＰＯＳ端末２からカードデータの書き込み要が通知されると、通知されたカードデータをクレジットカード４に書き込み（ｓ６、ｓ７）、本処理を終了する。決済端末１は、ｓ１〜ｓ７にかかる処理を繰り返す。

このように、この例にかかるＰＯＳシステムでは、決済端末１とＰＯＳ端末２との伝送路、およびＰＯＳ端末２とサーバ３との伝送路においてクレジットカード４のカード番号が伝送されることはない。また、暗号化に用いる暗号鍵がカード番号であるため、決済端末１、ＰＯＳ端末２、およびサーバ３の全ての装置が、暗号鍵や復号鍵を記憶しない。このため、暗号鍵や復号鍵が、決済端末１、ＰＯＳ端末２、およびサーバ３のいずれの装置からも漏洩しない。したがって、カード番号の漏洩に対するセキュリティを向上させることができるとともに、システムの構築にかかるコストアップも抑えられる。

また、上記の実施形態では、ＰＯＳシステムを例にして、クレジットカード４のカード番号（個人情報）の漏洩に対するセキュリティを説明したが、個人情報にかかる識別コードであれば、この発明は、どのようなシステムにも適用できる。例えば、デビットカード、ポイントカード、マイナンバーカード等のカードを識別するカード番号で対象者を管理するシステム、さらには、健康保険証番号、運転免許証番号等によって対象者を管理するシステムにも、本願発明は適用できる。

１…決済端末
２…ＰＯＳ端末
３…サーバ
４…クレジットカード
５…ネットワーク
１０…制御部
１０ａ…暗号化機能部
１０ｂ…カード番号破棄機能部
１１…書込部
１２…表示部
１３…記憶部
１４…通信部
２０…制御部
２０ａ…商品登録機能部
２０ｂ…精算機能部
２１…貨幣処理部
２２…表示部
２３…印字部
２４…第１通信部
２５…第２通信部
３０…制御部
３０ａ…顧客管理機能部
３１…通信部
３２…顧客管理データベース
３２ａ…顧客管理テーブル
３２ｂ…カード番号管理テーブル

Claims (8)

1. 特定のコードを記憶する記憶部と、
   対象者にかかる識別コードを取得する識別コード取得部と、
   前記記憶部に記憶している特定のコードを、前記識別コード取得部が取得した前記識別コードを暗号鍵にして暗号化したトークンを生成する暗号化部と、を備えた処理装置。
2. 前記暗号化部が前記トークンを生成すると、当該トークンの生成に用いた前記識別コードを破棄する識別コード破棄部を備えた、請求項１に記載の処理装置。
3. 前記暗号化部が生成した前記トークンを出力する出力部を備えた、請求項１、または２に記載の処理装置。
4. 前記識別コード取得部は、受け付けたカードに記録されているカード番号を、前記識別コードとして取得する、請求項１〜３のいずれかに記載の処理装置。
5. 前記識別コードは、取引に使用するクレジットカードのカード番号である、請求項１〜４のいずれかに記載の処理装置。
6. 請求項１〜５のいずれかに記載の処理装置と、
   前記処理装置の前記暗号化部によって生成された前記トークンによって、対象者を管理する管理部を有する管理装置と、を備える個人情報保護システム。
7. 対象者にかかる識別コードを取得する識別コード取得ステップと、
   記憶部に記憶している特定のコードを、前記識別コード取得ステップで取得した前記識別コードを暗号鍵にして暗号化したトークンを生成する暗号化ステップと、をコンピュータが実行するトークン生成方法。
8. 対象者にかかる識別コードを取得する識別コード取得ステップと、
   記憶部に記憶している特定のコードを、前記識別コード取得ステップで取得した前記識別コードを暗号鍵にして暗号化したトークンを生成する暗号化ステップと、をコンピュータに実行させるトークン生成プログラム。

Images