JP2019101596A - 入出金システム - Google Patents

Abstract

【課題】従来型ＡＴＭ接続を介することなく、高いセキュリティを実現した入出金システムを提供する。【解決手段】入出金装置は、取引サーバの識別コードを受け付ける受付部と、当該入出金装置の識別コードを含む鍵取得要求を取引サーバの識別コードと共にゲートウェイ装置に送信する暗号鍵取得部であって、応答として、取引サーバが保有する公開鍵で暗号化された暗号鍵を受信して、公開鍵に対応する秘密鍵を記憶部から取得して、暗号化された暗号鍵を復号して暗号鍵を取得する、暗号鍵取得部と、当該入出金装置の識別コード及び取引情報を含む取引要求のうち、取引情報の少なくとも一部を暗号鍵で暗号化した暗号化取引要求を生成し、取引サーバの識別コードと共にゲートウェイ装置に送信する取引要求送信部と、ゲートウェイ装置から暗号化取引要求に対する応答として処理結果を受信する処理結果受信部とを備える。【選択図】図５

Description

本発明は、入出金システムに関する。

ＡＴＭを用いた入出金サービスが普及している（例えば、特許文献１）。顧客は金融機関において口座を開設することで、ＡＴＭを利用して口座への入出金を行うことができる。ＡＴＭでの入出金は、金融機関が発行したキャッシュカードを使用して行うこともできるし、キャッシュカードを使用せずに行うこともできる。金融機関は、新たに設立されることもある。

金融機関の口座における金融資産に加えて、あるいは口座における金融資産に代えて、顧客は、電子マネーやプリペイドカード、クレジットカード、証券等、様々な形で金融資産を保有している。

ＡＴＭによる入出金サービスを提供する提携先機関とＡＴＭとの間は閉域網を通じた金融標準の接続手順（従来型のＡＴＭ接続）により接続されており、ＡＴＭによるサービスを新たに開始する提携先機関は、従来型ＡＴＭ接続に対応するシステムを構築する必要がある。

特開平７−２３９８９０号公報

しかし、従来型ＡＴＭ接続に対応するシステム構築は、提携先機関に対して一定の開発コストを課すものであり、これはＡＴＭによるサービス参入への壁の１つとなっている。顧客の重要な情報を取り扱うために、入出金システムには、従来型ＡＴＭ接続と同等又はそれ以上のセキュリティが求められる。

顧客は、クレジットカードや電子マネーを用いて支払いを行うことができる一方で、現金が必要となる場面もある。口座からの出金が出来ない場合、プリペイドカードや証券等、例え他の金融資産を保有していたとしても、顧客は現金を得ることはできない。

また、顧客は、現金を持ち歩きたくない場合もある。口座への入金が出来ない場合、顧客は現金を信頼できる機関に預けることはできない。

そこで、本発明は、入出金サービスを提供する提携先の顧客が、提携先が発行したカードを使用して又は提携先が発行したカードを使用せずに要求した取引を、従来型のＡＴＭ接続網を介することなく、高いセキュリティを確保しながら実行可能な入出金システムを提供することを目的とする。

本発明の一態様に係る、取引サーバと通信可能に接続されるゲートウェイ装置と通信可能に接続される入出金装置は、取引サーバに関連付けられた秘密鍵を記憶する記憶部と、取引サーバの識別コードを受け付ける受付部と、当該入出金装置の識別コードを含む鍵取得要求を、受け付けた取引サーバの識別コードと共にゲートウェイ装置に送信する暗号鍵取得部であって、鍵取得要求の応答として、取引サーバが保有する公開鍵で暗号化された暗号鍵を受信して、公開鍵に対応する秘密鍵を記憶部から取得して、暗号化された暗号鍵を取得した秘密鍵で復号して暗号鍵を取得する、暗号鍵取得部と、当該入出金装置の識別コード及び取引情報を含む取引要求のうち、取引情報の少なくとも一部を暗号鍵で暗号化した暗号化取引要求を生成し、受け付けた取引サーバの識別コードと共にゲートウェイ装置に送信する取引要求送信部と、ゲートウェイ装置から暗号化取引要求に対する応答として処理結果を受信する処理結果受信部とを備える。

この態様によれば、入出金装置とゲートウェイ装置との間は第１のネットワークにより接続され、ゲートウェイ装置と取引サーバとの間は第２のネットワークにより接続される環境において、秘匿性の高い情報を１取引でのみ有効な暗号鍵で暗号化することで、従来型ＡＴＭ接続を介さずとも、高いセキュリティを確保することができる。仮に、ゲートウェイ装置と取引サーバとの間の通信が第３者に傍受されたとしても、秘匿性の高い情報は暗号鍵により暗号化されているので、秘匿性の高い情報が不正に取得されることを抑制することができる。また、仮に、入出金装置に記憶されている秘密鍵が不正に取得されたとしても、秘匿性の高い情報を暗号化する暗号鍵は１取引毎に変わるので、秘匿性の高い情報が不正に取得されることを抑制することができる。

上記入出金装置において、暗号鍵は、入出金装置に一時的に保持され、処理結果を受信した後に完全に削除されてもよい。この態様によれば、秘匿性の高い情報の暗号化に用いる暗号鍵が保持される期間を最小限とすることができるので、秘匿性の高い情報が不正に取得されることを抑制することができる。

上記入出金装置において、受信した処理結果は暗号鍵で暗号化された暗号化処理結果であり、処理結果受信部は、暗号化処理結果を取得した暗号鍵で復号してもよい。この態様によれば、処理結果においても秘匿性の高い情報を取り扱うことができる。

上記入出金装置において、当該入出金装置の識別コードに基づく二次元コードを生成する二次元コード生成部と、二次元コードから読み取られる二次元コード情報を含む予約照会を受け付けた取引サーバの識別コードと共にゲートウェイ装置に送信する予約照会部と、ゲートウェイ装置から予約照会に対する応答として照会結果を受信する照会結果受信部とをさらに備えてもよい。

この態様によれば、顧客が取引サーバに対して要求した入出金取引に基づいて、ゲートウェイ装置と連携する入出金装置において、高いセキュリティを確保しながら入出金取引を実行することができる。

本発明の他の態様に係る、取引サーバと通信可能に接続されるゲートウェイ装置と通信可能に接続されるコンピュータが実行する方法は、取引サーバに関連付けられた秘密鍵を記憶部に記憶する工程と、取引サーバの識別コードを受け付ける工程と、当該コンピュータの識別コードを含む鍵取得要求を、受け付けた取引サーバの識別コードと共にゲートウェイ装置に送信する工程と、鍵取得要求の応答として、取引サーバが保有する公開鍵で暗号化された暗号鍵を受信する工程と、公開鍵に対応する秘密鍵を記憶部から取得して、暗号化された暗号鍵を取得した秘密鍵で復号して暗号鍵を取得する工程と、当該コンピュータの識別コード及び取引情報を含む取引要求のうち、取引情報の少なくとも一部を暗号鍵で暗号化した暗号化取引要求を生成し、受け付けた取引サーバの識別コードと共にゲートウェイ装置に送信する工程と、ゲートウェイ装置から暗号化取引要求に対する応答として処理結果を受信する工程とを含む。

本発明の他の態様に係るプログラムは、取引サーバと通信可能に接続されるゲートウェイ装置と通信可能に接続されるコンピュータに、取引サーバに関連付けられた秘密鍵を記憶部に記憶する処理と、取引サーバの識別コードを受け付ける処理と、当該コンピュータの識別コードを含む鍵取得要求を、受け付けた取引サーバの識別コードと共にゲートウェイ装置に送信する処理と、鍵取得要求の応答として、取引サーバが保有する公開鍵で暗号化された暗号鍵を受信する処理と、公開鍵に対応する秘密鍵を記憶部から取得して、暗号化された暗号鍵を取得した秘密鍵で復号して暗号鍵を取得する処理と、当該コンピュータの識別コード及び取引情報を含む取引要求のうち、取引情報の少なくとも一部を暗号鍵で暗号化した暗号化取引要求を生成し、受け付けた取引サーバの識別コードと共にゲートウェイ装置に送信する処理と、ゲートウェイ装置から暗号化取引要求に対する応答として処理結果を受信する処理とを実行させる。

本発明の他の態様に係る、ゲートウェイ装置と通信可能に接続される取引サーバは、公開鍵を記憶する記憶部と、入出金装置と暗号鍵とを関連付ける暗号鍵記憶部と、ゲートウェイ装置から、入出金装置の識別コードを含む鍵取得要求を受信する鍵取得要求通信部と、暗号鍵を生成して、鍵取得要求通信部が受信した入出金装置の識別コードと関連付けて暗号鍵を暗号鍵記憶部に保存する暗号鍵生成部であって、暗号鍵を公開鍵で暗号化した、公開鍵で暗号化された暗号鍵を生成する、暗号鍵生成部と、ゲートウェイ装置から暗号鍵で暗号された暗号化取引要求を受信する取引要求通信部であって、暗号化取引要求は、入出金装置の識別コードを含む、取引要求通信部と、取引要求通信部が受信した入出金装置の識別コードに関連付けられた暗号鍵を暗号鍵記憶部から取得して、暗号化取引要求を復号し、及び当該復号した取引要求を処理した処理結果を生成する取引要求処理部とを備え、鍵取得要求通信部は、鍵取得要求の応答として、暗号鍵生成部が生成した、公開鍵で暗号化された暗号鍵をゲートウェイ装置に送信し、取引要求通信部は、暗号化取引要求の応答として、取引要求処理部が生成した処理結果をゲートウェイ装置に送信する。

この態様によれば、入出金装置とゲートウェイ装置との間は第１のネットワークにより接続され、ゲートウェイ装置と取引サーバとの間は第２のネットワークにより接続される環境において、秘匿性の高い情報を１取引でのみ有効な暗号鍵で暗号化することで、従来型ＡＴＭ接続を介さずとも、高いセキュリティを確保することができる。仮に、ゲートウェイ装置と取引サーバとの間の通信が第３者に傍受されたとしても、秘匿性の高い情報は暗号鍵により暗号化されているので、秘匿性の高い情報が不正に取得されることを抑制することができる。また、仮に、入出金装置に記憶されている秘密鍵が不正に取得されたとしても、秘匿性の高い情報を暗号化する暗号鍵は１取引毎に変わるので、秘匿性の高い情報が不正に取得されることを抑制することができる。

上記取引サーバにおいて、鍵取得要求通信部及び取引要求通信部は、ゲートウェイ装置との間でセキュアなチャネルを確立し、確立したセキュアなチャネルを用いてゲートウェイ装置と通信してもよい。この態様によれば、仮に、入出金装置に記憶されている秘密鍵が不正に取得されたとしても、ゲートウェイ装置と取引サーバとの間はセキュアなチャネルを用いて通信されるので、秘匿性の高い情報が不正に取得されることを抑制することができる。

上記取引サーバにおいて、暗号鍵は暗号鍵記憶部に一時的に保持され、処理結果を送信した後に完全に削除されてもよい。この態様によれば、秘匿性の高い情報の暗号化に用いる暗号鍵が保持される期間を最小限とすることができるので、秘匿性の高い情報が不正に取得されることを抑制することができる。

上記取引サーバにおいて、取引要求処理部は、暗号鍵で処理結果の少なくとも一部を暗号化した暗号化処理結果を生成してもよい。この態様によれば、処理結果においても秘匿性の高い情報を取り扱うことができる。

上記取引サーバにおいて、顧客の端末から、取引に関する情報及び入出金装置の識別コードを含む二次元コード情報を受信する予約管理部と、ゲートウェイ装置から予約照会を受信する予約照会通信部であって、予約照会は、入出金装置が生成した二次元コードから読み取られた二次元コード情報を含む、予約照会通信部と、予約照会に基づいて、取引に関する情報を照会して照会結果を生成する予約照会処理部とをさらに備え、予約照会通信部は、予約照会の応答として、予約照会処理部が生成した照会結果をゲートウェイ装置に送信してもよい。

この態様によれば、顧客が取引サーバに対して要求した入出金取引に基づいて、ゲートウェイ装置と連携する入出金装置において、高いセキュリティを確保しながら入出金取引を実行することができる。

本発明によれば、出金サービスを提供する提携先の顧客が、提携先が発行したカードを使用して又は提携先が発行したカードを使用せずに要求した取引を、従来型ＡＴＭ接続を介することなく、高いセキュリティを確保しながら実行可能な入出金システムを提供することができる。

本発明の一実施形態に係る入出金システムの構成例を示す図である。 本発明の一実施形態に係るＡＴＭの構成図である。 本発明の一実施形態に係るゲートウェイ装置の構成図である。 本発明の一実施形態に係る提携先サーバの構成図である。 本発明の一実施形態に係る入出金処理の一例を示すフローチャートである。 本発明の一実施形態に係る入出金システムの構成例を示す図である。 本発明の一実施形態に係る顧客端末の構成図である。 本発明の一実施形態に係る入出金処理の一例を示すフローチャートである。

添付図面を参照して、本発明の実施形態について説明する。なお、以下の実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。また、本発明は、その要旨を逸脱しない限り、さまざまな変形が可能である。さらに、当業者であれば、以下に述べる各要素を均等なものに置換した実施形態を採用することが可能であり、係る実施形態も本発明の範囲に含まれる。

（システム構成）
図１は、本発明の一実施形態に係る入出金システムの構成例を示す。入出金システム１は、現金自動預払装置（以下、ＡＴＭという。）１０、ゲートウェイ装置２０及び提携先サーバ３０を備える。ＡＴＭ１０は、専用回線ＰＮを介してゲートウェイ装置２０と通信を行うよう構成されている。さらに、ゲートウェイ装置２０は、ネットワークＮを介して提携先サーバ３０と通信を行うよう構成されている。ＡＴＭ１０は、ゲートウェイ装置２０及び提携先サーバ３０と協働して、入出金サービスを提供する提携先の顧客から要求される入出金取引を行う。

図１では、１台のＡＴＭ１０が図示されているが、複数のＡＴＭ１０（１０１〜１０Ｎ）を有する入出金システム１において本発明を実装することができる。また、図１では、１台の提携先サーバ３０が図示されているが、入出金サービスを提供する複数の提携先に対応する、複数の提携先サーバ３０（３０１〜３０Ｎ）を有する入手金システム１において本発明を実装することができる。

ＡＴＭ１０は、顧客からの取引開始指示を受け付けると、当該取引でのみ有効な暗号鍵Ｘをゲートウェイ装置２０経由で提携先サーバ３０から取得することができる。取引開始指示には、複数の提携先サーバ３０の中から１の提携先サーバ３０を特定可能な提携先コードが含まれる。続いて、ＡＴＭ１０は、顧客によるユーザ入力から得た当該取引に関するデータに基づいて暗号化取引要求を生成して、提携先コードと共にゲートウェイ装置２０に送信する。

本明細書におけるコードは、漢字、ひらがな、カタカナ、英数字、記号等の１又は複数からなる情報である。また、本明細書における「暗号化取引要求」は、取引要求に含まれる少なくとも一部の情報を暗号化した情報である。ＡＴＭ１０は、取引に関するデータの少なくとも一部を、提携先サーバ３０から取得した暗号鍵Ｘで暗号化して、暗号化取引要求を生成する。例えば、ＡＴＭ１０は、取引要求に含まれる複数の情報のうち、資産情報、暗証番号等、秘匿性の高い情報を暗号鍵Ｘで暗号化することができる。

ゲートウェイ装置２０は、ＡＴＭ１０から提携先コードと共に鍵取得要求又は暗号化取引要求を受信して、提携先コードで特定される提携先サーバ３０との間で、例えばＳＳＬ等の標準的なインターネットベースのセキュリティプロトコルを用いたセキュアなチャネルを確立し、当該セキュアなチャネルを用いて鍵取得要求又は暗号化取引要求の送信を行う。提携先サーバ３０から応答を受信すると、ゲートウェイ装置２０は、当該鍵取得要求又は暗号化取引要求の送信元であるＡＴＭ１０に応答を送信する。

提携先サーバ３０は、ゲートウェイ装置２０経由でＡＴＭ１０からの鍵取得要求を受け付け、１取引でのみ有効な暗号鍵Ｘを生成して、ＡＴＭ１０に戻す。提携先サーバ３０もまた、生成した暗号鍵Ｘを保持し、ゲートウェイ装置２０から当該取引に関する暗号化取引要求を受信した際に、暗号鍵Ｘで復号して取引要求を取得する。さらに、提携先サーバ３０は、復号した取引要求に基づいて取引に関する処理を行い、処理結果をゲートウェイ装置２０に送信する。

ＡＴＭ１０とゲートウェイ装置２０との間は専用回線ＰＮにより接続され、ゲートウェイ装置２０と提携先サーバ３０との間は標準的なインターネットにより接続される環境において、ゲートウェイ装置２０と提携先サーバ３０との間はセキュアなチャネルを確立して通信を行い、さらに、秘匿性の高い情報を１取引でのみ有効な暗号鍵Ｘで暗号化することで、従来型ＡＴＭ接続を介さずとも、高いセキュリティを実現した入出金システム１を提供することができる。

（ＡＴＭ構成）
図２は、本発明の一実施形態に係るＡＴＭ１０の構成を示す。ＡＴＭ１０は、専用回線ＰＮを介してゲートウェイ装置２０と通信を行うよう構成されている。ＡＴＭ１０は、ユーザからの入力を受け付けるタッチパネル等の入力部１１、ディスプレイ等の表示部１２、制御部１３、記憶部１４、現金の受取及び引き渡しを行うための入出金部１５、専用回線ＰＮと接続するための通信部１６並びに識別情報を有する媒体から識別情報を読み取るキャッシュカードリーダ１７を備えている。

制御部１３は、ＣＰＵやＭＰＵ等の演算処理部１３０及びＲＡＭ等のメモリ１３１を備えている。演算処理部１３０は、各種入力に基づき、記憶部１４に記憶されているプログラムを実行することで、各種機能部を動作させるものである。このプログラムは、ＣＤ−ＲＯＭ等の記録媒体に記憶され、若しくはネットワークＮを介して配布され、コンピュータにインストールされるものであってもよい。メモリ１３１は、ＡＴＭ用プログラムにおいて処理の実行中、演算等に必要な各種データを、一時的に記憶するためのものである。

記憶部１４は、ハードディスク等の記憶装置によって構成され、制御部１３における処理の実行に必要な各種プログラムや、各種プログラムの実行に必要なデータ等を記録しておくものである。本実施形態では、記憶部１４は、ＡＴＭコード１４１、秘密鍵データベース（ＤＢ）１４２及び暗号鍵１４３を有していることが望ましい。ＡＴＭコード１４１には、当該ＡＴＭを一意に識別するコードが保存されている。

秘密鍵ＤＢ１４２には、提携先サーバ３０から暗号鍵Ｘを取得するために用いる秘密鍵ａが提携先サーバ３０毎に保存されている。一実施形態では、秘密鍵ＤＢ１４２には、提携先コード、秘密鍵ａ等が登録されていることが望ましい。秘密鍵ａは、公開鍵暗号方式で用いられるものであって、秘密鍵ａに対応する公開鍵Ａは、関連付けられた提携先コードで特定される提携先サーバ３０が保持している。

暗号鍵１４３には、当該ＡＴＭ１０で実行される取引に関するデータの暗号化に用いる暗号鍵Ｘが保存されている。本実施形態では、暗号鍵Ｘは、共通鍵暗号方式で用いられる共通鍵である。

通信部１６は、ＡＴＭ１０を専用回線ＰＮに接続するための通信インタフェースを有する。例えば、通信部１６は、ＬＡＮカード、アナログモデム、ＩＳＤＮモデム等、及びこれらをシステムバス等の伝送路を介して処理部と接続するためのインタフェースから実現することができる。

さらに、図２に示すように、演算処理部１３０は、機能部として、フロー制御部１３２、暗号鍵取得部１３３、キャッシュカード識別部１３４、取引要求送信部１３５、処理結果受信部１３６、入出金処理部１３７、二次元コード生成部１３８、予約照会部１３９及び照会結果受信部１４０を備えている。

フロー制御部１３２は、入出金取引のフローを制御し、フローに応じた画面を表示部１２に表示する。フロー制御部１３２は、入力部１１を介して提携先コードを含む取引開始指示を受信することに応答して、取引種別、暗証番号及び金額を取得するための入力画面を生成して表示部１２に表示する。フロー制御部１３２は、また、ＡＴＭ１０での取引完了時に取引の結果を表示する取引完了画面等を生成して表示部１２に表示する。

暗号鍵取得部１３３は、入力部１１を介して提携先コードを含む取引開始指示を受信することに応答して、暗号鍵Ｘを取得するための鍵取得要求を、提携先コードと共にゲートウェイ装置２０に送信する。本実施形態では、鍵取得要求の応答として、公開鍵Ａで暗号化された暗号鍵Ｘ（以下、Ｅ（Ａ、Ｘ）ともいう。）を得るものとし、暗号鍵取得部１３３は、Ｅ（Ａ、Ｘ）を公開鍵Ａに対応する秘密鍵ａで復号して暗号鍵Ｘを取得する。暗号鍵取得部１３３は、取得した暗号鍵Ｘを暗号鍵１４３に保存する。

キャッシュカード識別部１３４は、キャッシュカードリーダ１７からキャッシュカード識別情報を受信する。一実施形態では、キャッシュカード識別情報には、提携先コード、資産コードが含まれる。資産コードは、顧客が保有する金融資産を一意に識別するコードである。例えば、金融資産が口座である場合には、支店番号と口座番号との組み合わせを資産コードとして用いてもよいし、金融資産がプリペイドカードである場合には、プリペイドカード番号を資産コードとして用いてもよい。キャッシュカード識別部１３４は、受信したキャッシュカード識別情報が当該ＡＴＭ１０で取扱い可能であるか否かを判定することができる。

取引要求送信部１３５は、取引要求の一部を暗号鍵Ｘで暗号化した、暗号化取引要求を提携先コードと共にゲートウェイ装置２０に送信する。一実施形態では、取引要求には、取引コード、処理日時、ＡＴＭコード、資産コード、暗証番号、取引種別及び金額が含まれ、取引要求送信部１３５は、取引要求に含まれる複数の情報のうち、資産コード、暗証番号等の重要情報を暗号鍵Ｘで暗号化する。

取引コードは、当該取引を一意に識別するために用いる情報の一部であり、例えば、提携先がＡＴＭコード、処理日と組み合わせて取引を識別できるよう、当該ＡＴＭ１０において日毎の通番としてもよい。ＡＴＭコードは、ＡＴＭを一意に識別するコードであり、ＡＴＭコード１４１から取得することができる。

処理結果受信部１３６は、取引要求送信部１３５からのデータ送信に対する応答としてゲートウェイ装置２０から処理結果を受信する。一実施形態では、処理結果の一部が暗号鍵Ｘで暗号化された、暗号化処理結果を受信する。処理結果に秘匿性の高い情報が含まれない実施形態では、暗号鍵Ｘで暗号化していない処理結果を受信してもよい。暗号化処理結果を受信すると、処理結果受信部１３６は、暗号鍵１４３の暗号鍵Ｘを用いて、暗号化処理結果を復号する。また、処理結果受信部１３６は、暗号化処理結果を復号した後、暗号鍵１４３の暗号鍵Ｘを削除する。暗号化されていない処理結果を受信した場合も、処理結果受信部１３６は、暗号鍵１４３の暗号鍵Ｘを削除する。

入出金処理部１３７は、入金取引時に、入出金部１５に顧客が投入した紙幣及び／又は硬貨を集計して取引要求の金額と照合し、取引要求の金額に相当する紙幣及び／又は硬貨を収納庫に収納する。また、入出金処理部１３７は、出金取引時に、取引要求の金額に相当する紙幣及び／又は硬貨を収納庫から繰り出して入出金部１５から放出する。入出金処理部１３７は、紙幣又は硬貨の一方を取り扱ってもよいし、紙幣と硬貨との両方を取り扱ってもよい。

二次元コード生成部１３８は、カードレス取引の際に、提携先サーバ３０で事前に予約された取引の情報を取得するために用いる二次元コードを生成する。一実施形態では、二次元コード生成部１３８は、取引コード、ＡＴＭコード１４１及び生成日時に基づいて二次元コードを生成する。

予約照会部１３９は、予約照会を提携先コードと共にゲートウェイ装置２０に送信する。一実施形態では、予約照会には、取引コード、処理日時、ＡＴＭコード、提携先コード及び二次元コード情報が含まれる。二次元コード情報は、二次元コード生成部１３８が生成した二次元コードから読み取られる情報である。本実施形態は、暗号鍵Ｘで暗号化していない予約照会を送信しているが、別の実施形態では、予約照会を暗号鍵Ｘで暗号化してもよい。

照会結果受信部１４０は、予約照会部１３９からのデータ送信に対する応答としてゲートウェイ装置２０から暗号化照会結果を受信する。一実施形態では、照会結果には、照会フラグ（０：失敗、１：成功）、資産コード、取引種別及び金額が含まれ、そのうち、秘匿性の高い資産コード等の重要情報は、暗号鍵Ｘにより暗号化されている。照会結果受信部１４０は、暗号鍵１４３の暗号鍵Ｘを用いて、暗号化照会結果を復号する。

（ゲートウェイ装置構成）
図３は、本発明の一実施形態に係るゲートウェイ装置２０の構成を示す。ゲートウェイ装置２０は、ネットワークＮを介して提携先サーバ３０と通信し、専用回線ＰＮを介してＡＴＭ１０と通信する機能を備えた情報処理装置である。図３に示すように、ゲートウェイ装置２０は、ＣＰＵ及びメモリを含む制御部２１、記憶部２２及び通信部２３を備えている。

制御部２２は、記憶部２３に記憶されているプログラムがＲＡＭに読み出され、ＣＰＵによって実行されることで、データ転送部２１１として機能する。

データ転送部２１１は、提携先サーバ３０の鍵取得要求通信部３２０との間で、例えばＳＳＬにより暗号化されたセキュアなチャネルを確立し、確立したセキュアなチャネルを用いて提携先サーバ３０と通信する。なお、ＳＳＬはセキュアなチャネルの一例であり、ＳＳＬ以外のセキュアなチャネルを用いてもよい。データ転送部２１１は、提携先コード及び鍵取得要求を受信して、提携先コードで特定される提携先サーバと通信し、鍵取得要求を転送することができる。さらに、データ転送部２１１は、提携先サーバ３０から鍵取得要求に対する応答を受信すると、当該鍵取得要求の送信元であるＡＴＭ１０に応答を送信する。

データ転送部２１１は、提携先サーバ３０の取引要求通信部３２２との間で、例えばＳＳＬにより暗号化されたセキュアなチャネルを確立し、確立したセキュアなチャネルを用いて提携先サーバ３０と通信する。上述したように、ＳＳＬはセキュアなチャネルの一例であり、ＳＳＬ以外のセキュアなチャネルを用いてもよい。データ転送部２１１は、提携先コード及び暗号化取引要求を受信して、提携先コードで特定される提携先サーバと通信し、暗号化取引要求を転送することができる。さらに、データ転送部２１１は、提携先サーバ３０から暗号化取引要求に対する応答を受信すると、当該暗号化取引要求の送信元であるＡＴＭ１０に応答を送信する。

また、データ転送部２１１は、提携先サーバ３０の予約照会通信部３２５との間で、例えばＳＳＬにより暗号化されたセキュアなチャネルを確立し、確立したセキュアなチャネルを用いて提携先サーバ３０と通信する。上述したように、ＳＳＬはセキュアなチャネルの一例であり、ＳＳＬ以外のセキュアなチャネルを用いてもよい。データ転送部２１１は、提携先コード及び予約照会を受信して、提携先コードで特定される提携先サーバと通信し、予約照会を転送することができる。さらに、データ転送部２１１は、提携先サーバ３０から予約照会に対する応答を受信すると、当該予約照会の送信元であるＡＴＭ１０に応答を送信する。

通信部１４は、ゲートウェイ装置２０を専用回線ＰＮ及びネットワークＮに接続するための通信インタフェースを有する。例えば、通信部１４は、ＬＡＮカード、アナログモデム、ＩＳＤＮモデム等、及びこれらをシステムバス等の伝送路を介して処理部と接続するためのインタフェースから実現することができる。

（提携先サーバ構成）
図４は、本発明の一実施形態に係る提携先サーバ３０の構成を示す。なお、図４では、単一の提携先サーバ３０を想定し、必要な機能構成だけを示しているが、提携先サーバ３０を、複数のコンピュータシステムによる多機能の分散システムの一部として構成することもできる。

提携先サーバ３０は、ネットワークＮを介してゲートウェイ装置２０と通信する機能を備えたサーバ装置である。図４に示すように、提携先サーバ３０は、入力部３１、ＣＰＵ及びメモリを含む制御部３２、記憶部３３及びネットワークＮと接続するための通信部３４を備えている。

制御部３２は、記憶部３３に記憶されているプログラムがＲＡＭに読み出され、ＣＰＵによって実行されることで、鍵取得要求通信部３２０、暗号鍵生成部３２１、取引要求通信部３２２、取引要求処理部３２３、予約管理部３２４、予約照会通信部３２５及び予約照会処理部３２６として機能する。また、記憶部３３は、公開鍵３３１、暗号鍵ＤＢ３３２、顧客ＤＢ３３３、口座ＤＢ３３４及び取引予約ＤＢ３３５を有していることが望ましい。

公開鍵３３１には、ＡＴＭ１０に暗号鍵Ｘを送信するために用いる公開鍵Ａが保存されている。上述したように、公開鍵Ａは、公開鍵暗号方式で用いられるものであって、公開鍵Ａに対応する秘密鍵ａは、ＡＴＭ１０が保持している。

暗号鍵ＤＢ３３２には、ＡＴＭ１０で実行される取引に関するデータの暗号化に用いる暗号鍵Ｘが保存されている。一実施形態では、暗号鍵ＤＢ３３２には、ＡＴＭコード、暗号鍵Ｘ等が登録されていることが望ましい。本実施形態では、暗号鍵Ｘは、共通鍵暗号方式で用いられる共通鍵である。

顧客ＤＢ３３３には、提携先が提供するサービスの顧客に関する情報が保存されている。一実施形態では、顧客ＤＢ３３３には、顧客コード、顧客名、暗証番号、資産コード等が登録されていることが望ましい。資産コードは、顧客が保有する金融資産を一意に識別するコードである。例えば、金融資産が口座である場合には、支店番号と口座番号との組み合わせを資産コードとして用いてもよいし、金融資産がプリペイドカードである場合には、プリペイドカード番号を資産コードとして用いてもよい。

資産ＤＢ３３４には、顧客が保有する金融資産に関する情報が保存されている。一実施形態では、資産ＤＢ３３４には、資産コード、資産残高等が登録されていることが望ましい。

取引予約ＤＢ３３５には、後述の顧客端末４０から送信される情報に基づいて取引を実行するための情報が保存されている。一実施形態では、取引予約ＤＢ３３５には、取引コード、二次元コード情報、資産コード、取引種別、金額、取引有効期限等が登録されていることが望ましい。

鍵取得要求通信部３２０は、ゲートウェイ装置２０のデータ転送部２１１との間で、例えばＳＳＬにより暗号化されたセキュアなチャネルを確立し、確立したセキュアなチャネルを用いてゲートウェイ装置２０と通信する。上述したように、ＳＳＬはセキュアなチャネルの一例であり、ＳＳＬ以外のセキュアなチャネルを用いてもよい。一実施形態では、鍵取得要求通信部３２０は、ゲートウェイ装置２０から鍵取得要求を受信して、その応答として、後述の暗号鍵生成部３２１が生成したＥ（Ａ、Ｘ）を送信する。

暗号鍵生成部３２１は、鍵取得要求通信部３２０が鍵取得要求を受信すると、暗号鍵Ｘを生成し、暗号鍵ＤＢ３３２に保存する。一実施形態では、ＡＴＭコードを含む鍵取得要求が受信され、暗号鍵生成部３２１は、鍵取得要求に含まれるＡＴＭコードに関連付けて、暗号鍵Ｘを暗号鍵ＤＢ３３２に保存する。さらに、暗号鍵生成部３２１は、公開鍵３３１の公開鍵Ａを用いて暗号鍵Ｘを暗号化して、Ｅ（Ａ、Ｘ）を生成する。

取引要求通信部３２２は、ゲートウェイ装置２０のデータ転送部２１１との間で、例えばＳＳＬにより暗号化されたセキュアなチャネルを確立し、確立したセキュアなチャネルを用いてゲートウェイ装置２０と通信する。上述したように、ＳＳＬはセキュアなチャネルの一例であり、ＳＳＬ以外のセキュアなチャネルを用いてもよい。一実施形態では、取引要求通信部３２２は、ゲートウェイ装置２０から暗号化取引要求を受信して、その応答として、後述の取引要求処理部３２３が生成した処理結果を送信する。

取引要求処理部３２３は、取引要求通信部３２２が受信した暗号化取引要求を、暗号鍵ＤＢ３３２の暗号鍵Ｘを用いて復号する。一実施形態では、暗号化取引要求には、取引コード、処理日時、ＡＴＭコード、暗号化資産コード、暗号化暗証番号、取引種別及び金額が含まれ、取引要求処理部３２３は、暗号化取引要求のＡＴＭコードに関連付けられた暗号鍵Ｘを暗号鍵ＤＢ３３２から取得して、暗号化資産コード及び暗号化暗証番号を復号する。

続いて、取引要求処理部３２３は、顧客ＤＢ３３３に基づいて、取引要求に含まれる資産コードと暗証番号とを認証する。認証に成功する場合、取引要求処理部３２３は、資産ＤＢ３３４と取引要求に含まれる取引種別及び金額とに基づいて、取引を許可することができるか否かを判定する。取引が許可される場合、取引要求処理部３２３は、資産ＤＢ３３４の資産残高を更新する。

最後に、取引要求処理部３２３は、取引要求通信部３２２が受信した暗号化取引要求の応答として処理結果を生成する。一実施形態では、取引要求処理部３２３は、処理結果の一部を暗号鍵ＤＢ３３２の暗号鍵Ｘで暗号化して、暗号化処理結果を生成する。一実施形態では、処理結果には、結果フラグ（０：失敗、１：成功）及び資産残高が含まれ、取引要求処理部３２３は、処理結果に含まれる情報のうち、秘匿性の高い資産残高を暗号鍵Ｘで暗号化することができる。なお、取引要求処理部３２３は、処理結果を暗号化した後、暗号鍵ＤＢ３３２から暗号鍵Ｘを削除する。処理結果を暗号化しない場合、例えば処理結果を生成した後等、暗号鍵Ｘを使用しないと決定されるタイミングで暗号鍵Ｘを削除することが望ましい。

予約管理部３２４は、後述の顧客端末４０から取引予約を受信すると、取引予約ＤＢ３３５に取引予約レコードを登録する。一実施形態では、取引予約には、顧客コード、取引種別、及び金額が含まれる。上述したように、一実施形態では、取引予約ＤＢ３３５には、取引コード、二次元コード情報、資産コード、取引種別、金額、取引有効期限等が含まれ、予約管理部３２４は、受信した顧客コードに基づいて顧客ＤＢ３３３から資産コードを取得して、取得した資産コード、取引種別及び金額を含む取引予約レコードを登録する。一実施形態では、二次元コード情報には、取引コード、ＡＴＭコード及び生成日時が含まれる。

また、予約管理部３２４は、顧客端末４０から顧客コード及び二次元コード情報を受信すると、受信した顧客コードに関連付けられた資産コードにより特定される取引予約レコードを、受信した二次元コード情報に基づいて更新する。

予約照会通信部３２５は、ゲートウェイ装置２０のデータ転送部２１１との間で、例えばＳＳＬにより暗号化されたセキュアなチャネルを確立し、確立したセキュアなチャネルを用いてゲートウェイ装置２０と通信する。上述したように、ＳＳＬはセキュアなチャネルの一例であり、ＳＳＬ以外のセキュアなチャネルを用いてもよい。一実施形態では、予約照会通信部３２５は、ゲートウェイ装置２０から予約照会を受信して、その応答として、後述の予約照会処理部３２６が生成した照会結果を送信する。

予約照会処理部３２６は、予約照会通信部３２５が受信した予約照会に基づいて、取引予約ＤＢ３３５から資産コード、取引種別及び金額を取得して、暗号化照会結果を生成する。一実施形態では、予約照会処理部３２６は、照会結果の一部を暗号鍵ＤＢ３３２の暗号鍵Ｘで暗号化して、暗号化照会結果を生成する。一実施形態では、処理結果送信部３２４は、照会フラグ、資産コード、取引種別及び金額を含む照会結果のうち、秘匿性の高い資産コードを暗号鍵Ｘ２で暗号化した暗号化照会結果を生成する。暗号鍵Ｘ２は、予約照会のＡＴＭコードに基づいて暗号鍵ＤＢ３３２から取得されたものである。

（第１実施形態）
図５を参照して、本発明の一実施形態に係る入出金処理について説明する。本実施形態では、ゲートウェイ装置２０を管理する銀行１と提携先サーバ３０１を管理するプリペイドカード発行会社１とが、ＡＴＭ１０を介した入出金サービスを提供する契約を結び、銀行１の管理下で公開鍵Ａ１及び秘密鍵ａ１の鍵ペアが生成されたものとする。入出金サービス開始前に、公開鍵Ａ１は提携先サーバ３０１の公開鍵３３１に保存され、秘密鍵ａ１は、複数のＡＴＭ１０（１０１〜１０Ｎ）の各秘密鍵ＤＢ１４２に、プリペイドカード発行会社１を一意に識別する提携先コード「０００１」と関連付けて保存されたものとする。

顧客Ａは、プリペイドカード発行会社１が発行したプリペイドカードの利用者であり、顧客Ａについて、プリペイドカード発行会社１が管理する提携先サーバ３０１の顧客ＤＢ３３３では、顧客コード「ＡＡＡ」、顧客名「顧客Ａ」、暗証番号「ＸＸＸ」、資産コード「ＡＡＡ００１」のレコードが登録されている。さらに、提携先サーバ３０１の資産ＤＢ３３４には、資産コード「ＡＡＡ００１」、資産残高「１０，０００」のレコードが登録されている。

本実施形態では、提携先コード「０００１」及び資産コード「ＡＡＡ００１」が埋め込まれたキャッシュカードを所持する顧客ＡがＡＴＭ１０を操作して出金処理を開始したものとする。

顧客がＡＴＭ１０のキャッシュカードリーダ１７にキャッシュカードを挿入すると、ＡＴＭ１０のキャッシュカード識別部１３４は、キャッシュカードリーダ１７からキャッシュカード識別情報を受信する（Ｓ５０１）。一実施形態では、キャッシュカード識別部１３４は、受信したキャッシュカード識別情報が当該ＡＴＭ１０で取扱い可能であるか否かを判定する。本実施形態では、提携先コード「０００１」、資産コード「ＡＡＡ００１」を含むキャッシュカード識別情報を受信して、キャッシュカード識別部１３４は、当該ＡＴＭ１０で取扱い可能であると判定したものとする。

次に、ＡＴＭ１０の暗号鍵取得部１３３は、暗号鍵Ｘを取得するための鍵取得要求を、キャッシュカード識別部１３４が受信した提携先コードと共にゲートウェイ装置２０に送信する（Ｓ５０２）。本実施形態では、暗号鍵取得部１３３は、ＡＴＭコード１４１の「ａｔｍ１」を含む鍵取得要求を、提携先コード「０００１」と共にゲートウェイ装置２０に送信する。

ゲートウェイ装置２０が提携先コード及び鍵取得要求を受信すると、ゲートウェイ装置２０のデータ転送部２１１は、提携先コードで特定される提携先サーバ３０の鍵取得要求通信部３２０との間で、ＳＳＬにより暗号化されたセキュアなチャネルを確立し、確立したセキュアなチャネルを用いて鍵取得要求を提携先サーバ３０に転送する（Ｓ５０３）。本実施形態では、データ転送部２１１は、提携先コード「０００１」で特定される提携先サーバ３０１との間でＳＳＬにより暗号化されたセキュアなチャネルを確立し、鍵取得要求を転送する。

提携先サーバ３０の鍵取得要求通信部３２０が鍵取得要求を受信すると（Ｓ５０４）、提携先サーバ３０の暗号鍵生成部３２１は、暗号鍵Ｘを生成し、暗号鍵ＤＢ３３２に保存する（Ｓ５０５）。本実施形態では、ＡＴＭコード「ａｔｍ１」を含む鍵取得要求が受信され、暗号鍵生成部３２１は、暗号鍵Ｘ１を生成し、受信したＡＴＭコード「ａｔｍ１」に関連付けて、暗号鍵Ｘ１を暗号鍵ＤＢ３３２に保存する。さらに、暗号鍵生成部３２１は、公開鍵３３１の公開鍵Ａを用いて暗号鍵Ｘを暗号化して、Ｅ（Ａ、Ｘ）を生成して、取引要求通信部３２２からゲートウェイ装置２０に戻す（Ｓ５０６）。本実施形態では、公開鍵３３１の公開鍵Ａ１を用いて暗号鍵Ｘ１を暗号化して、Ｅ（Ａ１、Ｘ１）を生成して、ゲートウェイ装置２０に送信したものとする。

ゲートウェイ装置２０のデータ転送部２１１は、提携先サーバ３０から鍵取得要求に対する応答を受信すると、当該鍵取得要求の送信元であるＡＴＭ１０に応答を送信する（Ｓ５０７）。

鍵取得要求の応答として、Ｅ（Ａ、Ｘ）を受信すると（Ｓ５０８）、暗号鍵取得部１３３は、Ｅ（Ａ、Ｘ）を公開鍵Ａに対応する秘密鍵ａで復号して暗号鍵Ｘを取得し、暗号鍵１４３に保存する。本実施形態では、暗号鍵取得部１３３は、受信したＥ（Ａ１、Ｘ１）を公開鍵Ａ１に対応する秘密鍵ａ１で復号して、取得した暗号鍵Ｘ１を暗号鍵１４３に保存する。

一方、ＡＴＭ１０のフロー制御部１３２は、キャッシュカード識別部１３４が提携先コードを含むキャッシュカード識別情報を受信することに応答して、取引種別、暗証番号及び金額を取得するための入力画面を生成して表示部１２に表示する（Ｓ５０９）。

顧客Ａが、画面に沿って取引種別、暗証番号及び金額を入力すると（Ｓ５１０）、ＡＴＭ１０の取引要求送信部１３５は、暗号化取引要求を生成して、提携先コードと共にゲートウェイ装置２０に送信する（Ｓ５１１）。一実施形態では、取引要求には、取引コード、処理日時、ＡＴＭコード、資産コード、暗証番号、取引種別及び金額が含まれる。本実施形態では、ユーザ入力として受信した暗証番号「ＸＸＸ」、取引種別「出金」、金額「３，０００」及びＡＴＭコード１４１の「ａｔｍ１」に基づいて、取引要求送信部１３５は取引要求を生成し、取引要求に含まれる複数の情報のうち、資産コード「ＡＡＡ００１」、暗証番号「ＸＸＸ」を暗号鍵Ｘ１で暗号化した暗号化取引要求を、提携先コード「０００１」と共にゲートウェイ装置２０に送信したものとする。

ゲートウェイ装置２０が提携先コード及び暗号化取引要求を受信すると、ゲートウェイ装置２０のデータ転送部２１１は、提携先コードで特定される提携先サーバ３０の取引要求通信部３２２との間で、ＳＳＬにより暗号化されたセキュアなチャネルを確立し、確立したセキュアなチャネルを用いて暗号化取引要求を提携先サーバ３０に転送する（Ｓ５１２）。本実施形態では、データ転送部２１１は、提携先コード「０００１」で特定される提携先サーバ３０１との間でＳＳＬにより暗号化されたセキュアなチャネルを確立し、暗号化取引要求を転送する。

提携先サーバ３０の取引要求通信部３２２が暗号化取引要求を受信すると、提携先サーバ３０の取引要求処理部３２３は、暗号鍵ＤＢ３３２の暗号鍵Ｘを用いて暗号化取引要求を復号する（Ｓ５１３）。本実施形態では、暗号化取引要求には、取引コード、処理日時、ＡＴＭコード、暗号化資産コード、暗号化暗証番号、取引種別及び金額が含まれ、取引要求処理部３２３は、暗号化取引要求のＡＴＭコード「ａｔｍ１」に関連付けられた暗号鍵Ｘ１を暗号鍵ＤＢ３３２から取得して、暗号化資産コード、暗号化暗証番号を復号する。

続いて、取引要求処理部３２３は、顧客ＤＢ３３３に基づいて、取引要求に含まれる資産コードと暗証番号とを認証する（Ｓ５１４）。認証に成功する場合、取引要求処理部３２３は、資産ＤＢ３３４と取引要求に含まれる取引種別及び金額とに基づいて、取引を許可することができるか否かを判定する（Ｓ５１４）。取引が許可される場合、取引要求処理部３２３は、資産ＤＢ３３４の資産残高を更新する（Ｓ５１４）。本実施形態では、取引要求処理部３２３による認証に成功し、取引が許可され、資産コード「ＡＡＡ００１」で特定される資産ＤＢ３３４のレコードの資産残高「１０，０００」が、「７，０００」に更新されたものとする。

さらに、取引要求処理部３２３は、取引要求通信部３２２が受信した暗号化取引要求の応答として処理結果を生成して、取引要求通信部３２２からゲートウェイ装置２０に戻す（Ｓ５１５）。一実施形態では、取引要求処理部３２３は、処理結果の一部を暗号鍵ＤＢ３３２の暗号鍵Ｘで暗号化して、暗号化処理結果を生成する。本実施形態では、取引要求処理部３２３は、結果フラグ「１：成功」及び資産残高「７，０００」を含む処理結果のうち、秘匿性の高い資産残高を暗号鍵Ｘで暗号化した暗号化処理結果を生成して、取引要求通信部３２２からゲートウェイ装置２０に送信したものとする。なお、取引要求処理部３２３は、処理結果を暗号化した後、暗号鍵ＤＢ３３２から暗号鍵Ｘを削除する。

ゲートウェイ装置２０のデータ転送部２１１は、提携先サーバ３０から暗号化取引要求に対する応答を受信すると、当該暗号化取引要求の送信元であるＡＴＭ１０に応答を送信する（Ｓ５１６）。

ＡＴＭ１０が暗号化処理結果を受信すると、ＡＴＭ１０の処理結果受信部１３６は、暗号鍵１４３の暗号鍵Ｘを用いて、暗号化処理結果を復号する（Ｓ５１７）。また、処理結果受信部１３６は、暗号化処理結果を復号した後、暗号鍵１４３の暗号鍵Ｘを削除する。

出金取引時に処理結果の結果フラグが「１：成功」である場合、入出金処理部１３７は、取引要求の金額に相当する紙幣及び／又は硬貨を収納庫から繰り出して入出金部１５から放出する（Ｓ５１８）。本実施形態では、取引要求に基づいて３，０００円に相当する紙幣及び／又は硬貨が入出金部１５から放出される。

入出金処理部１３７による出金処理が完了すると、フロー制御部１３２は、処理結果に基づいて、取引完了画面を生成して表示部１２に表示する（Ｓ５１９）。

（第２実施形態）
上記した実施形態では、顧客が出金取引を行う例について説明してきた。顧客が入金取引を行う実施形態についても、図５と同様の処理が、入出金システム１によって実行される。ただし、出金取引では、Ｓ５１８で出金処理が実行されるのに対して、顧客が入金取引を行う実施形態では、Ｓ５１８での出金処理の実行に代えて、Ｓ５１０とＳ５１１との間で入金処理が実行される。また、出金取引では、Ｓ５０９で取引種別、暗証番号、金額の入力を顧客に要求するのに対して、入金取引では、暗証番号及び金額の入力は顧客に要求することなく、Ｓ５１１では、暗証番号を含まない暗号化取引要求を生成する。

以上、第１及び第２実施形態によれば、ＡＴＭ１０とゲートウェイ装置２０との間は専用回線ＰＮにより接続され、ゲートウェイ装置２０と提携先サーバ３０との間は標準的なインターネットにより接続される環境において、ゲートウェイ装置２０と提携先サーバ３０との間はセキュアなチャネルを確立して通信を行い、さらに、秘匿性の高い情報を１取引でのみ有効な暗号鍵Ｘで暗号化することで、従来型ＡＴＭ接続を介さずとも、高いセキュリティを実現した入出金システム１を提供することができる。

仮に、ゲートウェイ装置２０と提携先サーバ３０との間の通信が第３者に傍受されたとしても、秘匿性の高い情報は暗号鍵Ｘにより暗号化されているので、秘匿性の高い情報が不正に取得されることを抑制することができる。

仮に、ＡＴＭ１０に記憶されている秘密鍵が不正に取得されたとしても、秘匿性の高い情報を暗号化する暗号鍵Ｘは１取引毎に変わり、さらに、ゲートウェイ装置２０と提携先サーバ３０との間はセキュアなチャネルを用いて通信されるので、秘匿性の高い情報が不正に取得されることを抑制することができる。

（第３実施形態）
第１及び第２実施形態では、顧客がキャッシュカードを用いて入出金取引を行う例について説明してきた。第３及び第４実施形態では、キャッシュカードに代えて顧客が保有する顧客端末４０を用いて入出金取引を行う例について説明する。図６に示されるように、入出金システム１は顧客端末４０をさらに備え、顧客端末４０は、ネットワークＮを介して少なくとも提携先サーバ３０と通信を行うよう構成されている。顧客端末４０は、具体的には、携帯電話やスマートフォン、ＰＤＡ、タブレット等が挙げられるが、これに限られない。

（顧客端末構成）
図７は、本発明の一実施形態に係る顧客端末４０の構成を示す。図７に示すように、顧客端末４０は、ユーザからの操作を受け付けるタッチパネル等の入力部４１、ディスプレイ等の表示部４２、ＣＰＵ及びメモリを含む制御部４３、記憶部４４、ネットワークＮと接続するための通信部４５、二次元コードの画像を取得する撮像部４６等を備えている。制御部４３は、記憶部４４に記憶されている提携先アプリ４４１のプログラムがＲＡＭに読み出され、ＣＰＵによって実行されることで、ＵＩ表示部４３１、取引予約送信部４３２及び二次元コード情報読取部４３３として機能する。

ＵＩ表示部４３１は、取引予約を送信するための取引予約画面等を表示する。

取引予約送信部４３２は、提携先サーバ３０に取引予約を送信する。一実施形態では、取引予約には、顧客コード、取引種別及び金額が含まれる。顧客コードは、例えば提携先アプリ４４１を起動した後に表示されるログイン画面において取得してもよいし、提携先アプリ４４１が任意のタイミングで記憶部４４に記憶した顧客コードを当該記憶部４４から読み出してもよい。

二次元コード情報読取部４３３は、撮像部４６で取得した二次元コードの画像から二次元コード情報を読み取り、顧客コードと共に提携先サーバ３０に送信する。上述したように、一実施形態では、二次元コード情報には、取引コード、ＡＴＭコード及び生成日時が含まれる。

図６に戻り、第３実施形態では、入出金サービスを提供するネット銀行１の顧客が、ネット銀行１の提携先サーバ３０２に対して予約した出金取引に基づいて、ゲートウェイ装置２０と連携するＡＴＭ１０において出金取引を実行する例について説明する。本実施形態では、ゲートウェイ装置２０を管理する銀行１と提携先サーバ３０２を管理するネット銀行１とが、ＡＴＭ１０を介した入出金サービスを提供する契約を結び、銀行１の管理下で公開鍵Ａ２及び秘密鍵ａ２の鍵ペアが生成されたものとする。入出金サービス開始前に、公開鍵Ａ２は提携先サーバ３０２の公開鍵３３１に保存され、秘密鍵ａ２は、複数のＡＴＭ１０（１０１〜１０Ｎ）の各秘密鍵ＤＢ１４２に、ネット銀行１を一意に識別する提携先コード「０００２」と関連付けて保存されたものとする。

顧客Ｂは、ネット銀行１の利用者であり、顧客Ｂについて、ネット銀行１が管理する提携先サーバ３０２の顧客ＤＢ３３３では、顧客コード「ＢＢＢ」、顧客名「顧客Ｂ」、暗証番号「ＸＸＸ」、資産コード「ＢＢＢ００１」のレコードが登録されている。さらに、提携先サーバ３０１の資産ＤＢ３３４には、資産コード「ＢＢＢ００１」、資産残高「２０，０００」のレコードが登録されている。

顧客Ｂが顧客端末４０にインストールされた提携先アプリ４４１を起動すると、提携先アプリ４４１のＵＩ表示部４３１は、取引予約を送信するための取引予約画面を表示する。取引予約画面において、顧客Ｂが取引種別及び金額を指定して、例えば取引予約ボタンを押下することにより、提携先アプリ４４１の取引予約送信部４３２は、提携先サーバ３０に顧客コード、取引種別及び金額を含む取引予約を送信する（Ｓ８０１）。本実施形態では、取引予約送信部４３２は、顧客コード「ＢＢＢ」、取引種別「出金」及び金額「１０，０００」を含む取引予約を送信する。顧客コードは、例えば提携先アプリ４４１を起動した後に表示されるログイン画面において取得してもよいし、提携先アプリ４４１が任意のタイミングで記憶部４４に記憶した顧客コードを当該記憶部４４から読み出してもよい。

提携先サーバ３０が顧客端末４０から取引予約を受信すると、提携先サーバ３０の予約管理部３２４は、取引予約ＤＢ３３５に取引予約レコードを登録する（Ｓ８０２）。本実施形態では、取引予約ＤＢ３３５には、取引コード、二次元コード情報、資産コード、取引種別、金額、取引有効期限等が含まれ、予約管理部３２４は、受信した顧客コード「ＢＢＢ」に基づいて顧客ＤＢ３３３から資産コードを取得して、資産コード「ＢＢＢ００１」、取引種別「出金」及び金額「１０，０００」を含む取引予約レコードを登録する。

その後、顧客ＢがＡＴＭ１０の入力部１１を介して、例えばカードレス取引開始ボタンを押下すると、ＡＴＭ１０の二次元コード生成部１３８は、取引コード、ＡＴＭコード１４１及び生成日時に基づいて二次元コードを生成して、フロー制御部１３２が、二次元コードを含む画面を生成して表示部１２に表示する（Ｓ８０３）。本実施形態では、二次元コード生成部１３８は、取引コード「００１」を設定して、設定した取引コード「００１」、ＡＴＭコード「ａｔｍ２」及び生成日時に基づいて二次元コード１を生成したものとする。

顧客Ｂが顧客端末４０の撮像部４６をＡＴＭ１０の表示部１２に向けることにより、撮像部４６が二次元コードの画像を取得すると、提携先アプリ４４１の二次元コード情報読取部４３３は、二次元コードから二次元コード情報を読み取り（Ｓ８０４）、顧客コードと共に提携先サーバ３０に送信する（Ｓ８０５）。本実施形態では、二次元コード情報には、二次元コード１に対応する、取引コード「００１」、ＡＴＭコード「ａｔｍ２」及び生成日時が含まれる。

提携先サーバ３０が顧客端末４０から顧客コード及び二次元コード情報を受信すると、提携先サーバ３０の予約管理部３２４は、受信した顧客コードに関連付けられた資産コードにより特定される取引予約レコードを、二次元コード情報に基づいて更新する（Ｓ８０６）。本実施形態では、顧客コード「ＢＢＢ」に関連付けられた資産コード「ＢＢＢ００１」により特定される取引予約レコードの取引コード及び二次元コード情報に、それぞれ「００１」及び受信した二次元コード情報を保存する。

二次元コード情報の送信後、顧客端末４０のＵＩ表示部４３１は、提携先アプリ４４１に関連付けられた提携先コードを表示部４２に表示する（Ｓ８０７）。本実施形態では、ＵＩ表示部４３１は、提携先コード「０００２」を表示する。

一方、ＡＴＭ１０のフロー制御部１３２は、ユーザ入力に応答して、提携先コードを取得するための入力画面を生成して表示部１２に表示する（Ｓ８０８）。顧客Ｂが、顧客端末４０表示部４２に表示された提携先コードを入力すると、ＡＴＭ１０は、入力部１１を介して提携先コードを含む取引開始指示を受け付ける（Ｓ８０９）。本実施形態では、提携先コード「０００２」を含む取引開始指示を受け付ける。

入力部１１を介して提携先コードを含む取引開始指示を受信することに応答して、図５で説明したＳ５０２〜Ｓ５０８と同様に、ＡＴＭ１０は、ゲートウェイ装置２０を経由して提携先サーバ３０から暗号鍵を取得する。本実施形態では、Ｓ５０２において、暗号鍵取得部１３３は、提携先コード「０００２」で特定される提携先サーバ３０２にＡＴＭコード１４１の「ａｔｍ２」を含む鍵取得要求を送信し、Ｓ５０８において、暗号鍵Ｘ２を取得して、暗号鍵１４３に保存したものとする。提携先サーバ３０２では、Ｓ５０５において、受信したＡＴＭコード「ａｔｍ２」に関連付けて、暗号鍵Ｘ２が暗号鍵ＤＢ３３２に保存されたものとする。

次に、ＡＴＭ１０の予約照会部１３９は、ＡＴＭ１０で取引の実行を開始した顧客が、顧客端末４０を用いて提携先サーバ３０に対して事前に予約した取引の情報を取得するために、予約照会を送信する（Ｓ８１０）。一実施形態では、予約照会には、取引コード、処理日時、ＡＴＭコード、提携先コード及び二次元コード情報が含まれる。本実施形態では、Ｓ８０３で設定した取引コード「００１」、処理日時、ＡＴＭコード１４１の「ａｔｍ２」、Ｓ８０９で受け付けた提携先コード「０００２」及びＳ８０４で生成した二次元コード１に対応する二次元コード情報を含む予約照会を、Ｓ８０９で受付けた提携先コード「０００２」と共にゲートウェイ装置２０に送信したものとする。

ゲートウェイ装置２０のデータ転送部２１１は、提携先コードで特定される提携先サーバ３０の予約照会通信部３２５との間で、ＳＳＬにより暗号化されたセキュアなチャネルを確立し、確立したセキュアなチャネルを用いて予約照会を提携先サーバ３０に転送する（Ｓ８１１）。

提携先サーバ３０の予約照会通信部３２５が予約照会を受信すると（Ｓ８１２）、提携先サーバ３０の予約照会処理部３２６は、予約照会に基づいて、取引予約ＤＢ３３５から資産コード、取引種別及び金額を取得して、暗号化照会結果を生成する。一実施形態では、予約照会処理部３２６は、照会結果の一部を暗号鍵ＤＢ３３２の暗号鍵Ｘで暗号化して、暗号化照会結果を生成する。本実施形態では、予約照会処理部３２６は、照会フラグ「１：成功」、資産コード「ＢＢＢ００１」、取引種別「出金」及び金額「１０，０００」を含む照会結果のうち、秘匿性の高い資産コードを暗号鍵Ｘ２で暗号化した暗号化照会結果を生成したものとする。暗号鍵Ｘ２は、予約照会のＡＴＭコード「ａｔｍ２」に基づいて暗号鍵ＤＢ３３２から取得されたものである。

予約照会処理部３２６が生成した照会結果は、予約照会通信部３２５からゲートウェイ装置２０に送信され（Ｓ８１３）、これに応答して、データ転送部２１１は、予約照会の送信元であるＡＴＭ１０に応答を送信する（Ｓ８１４）。

ＡＴＭ１０が暗号化照会結果を受信すると、ＡＴＭ１０の照会結果受信部１４０は、暗号鍵１４３の暗号鍵Ｘを用いて、暗号化照会結果を復号する（Ｓ８１５）。事前に予約した取引の情報の照会に成功した場合、フロー制御部１３２は、暗証番号を取得するための入力画面を生成して表示部１２に表示する（Ｓ８１６）。顧客Ｂが、暗証番号を入力すると（Ｓ８１７）、フロー制御部１３２は、復号された照会結果に基づいて、予約取引確認画面を表示部１２に表示する（Ｓ８１８）。

顧客Ｂが、例えば予約取引確認画面で確認ボタンを押下することにより、予約した取引の実行を指示すると、ＡＴＭ１０の取引要求送信部１３５は、暗号化取引要求を生成して、提携先コードと共にゲートウェイ装置２０に送信する（Ｓ５１１）。Ｓ５１１からＳ５１９については、第１実施形態と同様であるので、説明を省略する。ただし、第１実施形態では、Ｓ５０９で取引コードが設定されるのに対して、第３実施形態では、Ｓ８０３で設定された取引コードを用いて暗号化取引要求が生成される。

（第４実施形態）
上記した実施形態では、顧客が出金取引を行う例について説明してきた。顧客が入金取引を行う実施形態についても、図８と同様の処理が、入出金システム１によって実行される。ただし、出金取引では、Ｓ５１８で出金処理が実行されるのに対して、顧客が入金取引を行う実施形態では、Ｓ５１８での出金処理の実行に代えて、Ｓ８１８とＳ５１１との間で入金処理が実行される。また、出金取引では、Ｓ８１６で暗証番号の入力を顧客に要求するのに対して、入金取引では、暗証番号の入力を顧客に要求することなく、Ｓ５１１では、暗証番号を含まない暗号化取引要求を生成する。

以上、第３及び第４実施形態によれば、キャッシュカードを保持しない顧客についても、提携先サーバ３０に対して要求した入出金取引に基づいて、ゲートウェイ装置２０と連携するＡＴＭ１０において、高いセキュリティを確保しながら入出金取引を実行することができる。なお、第３及び第４実施形態では、キャッシュカードの代わりに二次元コードを利用した例について説明したが、別の実施形態では、キャッシュカードの代わりに、資産情報等の取引に必要な情報をＡＴＭ１０において直接入力させてもよい。

１…入出金システム、１０…ＡＴＭ（入出金装置）、１１…入力部、１２…表示部、１３…制御部、１３０…演算処理部、１３１…メモリ、１３２…フロー制御部、１３３…暗号鍵取得部、１３４…キャッシュカード識別部、１３５…取引要求送信部、１３６…処理結果受信部、１３７…入出金処理部、１３８…二次元コード生成部、１３９…予約照会部、１４０…照会結果受信部、１４…記憶部、１４１…ＡＴＭコード、１４２…秘密鍵ＤＢ、１４３…暗号鍵、１５…入出金部、１６…通信部、１７…キャッシュカードリーダ、２０…ゲートウェイ装置、２１…制御部、２１１…データ転送部、２２…記憶部、２３…通信部、３０…提携先サーバ（取引サーバ）、３１…入力部、３２…制御部、３２０…鍵取得要求通信部、３２１…暗号鍵生成部、３２２…取引要求通信部３２３…取引要求処理部、３２４…予約管理部、３２５…予約照会通信部、３２６…予約照会処理部、３３…記憶部、３３１…公開鍵、３３２…暗号鍵ＤＢ、３３３…顧客ＤＢ、３３４…資産ＤＢ、３４…通信部、４０…顧客端末、４１…入力部、４２…表示部、４３…制御部、４３１…ＵＩ表示部、４３２…取引予約送信部、４３３…二次元コード情報読取部、４４…記憶部、４４１…提携先アプリ、４５…通信部、４６…撮像部、Ｎ…ネットワーク、ＰＮ…専用回線

Claims (11)

1. 取引サーバと通信可能に接続されるゲートウェイ装置と通信可能に接続される入出金装置であって、
   前記取引サーバに関連付けられた秘密鍵を記憶する記憶部と、
   前記取引サーバの識別コードを受け付ける受付部と、
   当該入出金装置の識別コードを含む鍵取得要求を、前記受け付けた取引サーバの識別コードと共に前記ゲートウェイ装置に送信する暗号鍵取得部であって、前記鍵取得要求の応答として、前記取引サーバが保有する公開鍵で暗号化された暗号鍵を受信して、前記公開鍵に対応する秘密鍵を前記記憶部から取得して、前記暗号化された暗号鍵を前記取得した秘密鍵で復号して暗号鍵を取得する、暗号鍵取得部と、
   当該入出金装置の識別コード及び取引情報を含む取引要求のうち、前記取引情報の少なくとも一部を前記暗号鍵で暗号化した暗号化取引要求を生成し、前記受け付けた取引サーバの識別コードと共に前記ゲートウェイ装置に送信する取引要求送信部と、
   前記ゲートウェイ装置から前記暗号化取引要求に対する応答として処理結果を受信する処理結果受信部と
   を備えた入出金装置。
2. 前記暗号鍵は、前記入出金装置に一時的に保持され、前記処理結果を受信した後に完全に削除される、請求項１に記載の入出金装置。
3. 前記受信した処理結果は前記暗号鍵で暗号化された暗号化処理結果であり、前記処理結果受信部は、前記暗号化処理結果を前記取得した暗号鍵で復号する、請求項１に記載の入出金装置。
4. 当該入出金装置の識別コードに基づく二次元コードを生成する二次元コード生成部と、
   前記二次元コードから読み取られる二次元コード情報を含む予約照会を前記受け付けた取引サーバの識別コードと共に前記ゲートウェイ装置に送信する予約照会部と、
   前記ゲートウェイ装置から前記予約照会に対する応答として照会結果を受信する照会結果受信部と
   をさらに備えた請求項１に記載の入出金装置。
5. 取引サーバと通信可能に接続されるゲートウェイ装置と通信可能に接続されるコンピュータが実行する方法であって、
   前記取引サーバに関連付けられた秘密鍵を記憶部に記憶する工程と、
   前記取引サーバの識別コードを受け付ける工程と、
   当該コンピュータの識別コードを含む鍵取得要求を、前記受け付けた取引サーバの識別コードと共に前記ゲートウェイ装置に送信する工程と、
   前記鍵取得要求の応答として、前記取引サーバが保有する公開鍵で暗号化された暗号鍵を受信する工程と、
   前記公開鍵に対応する秘密鍵を前記記憶部から取得して、前記暗号化された暗号鍵を前記取得した秘密鍵で復号して暗号鍵を取得する工程と、
   当該コンピュータの識別コード及び取引情報を含む取引要求のうち、前記取引情報の少なくとも一部を前記暗号鍵で暗号化した暗号化取引要求を生成し、前記受け付けた取引サーバの識別コードと共に前記ゲートウェイ装置に送信する工程と、
   前記ゲートウェイ装置から前記暗号化取引要求に対する応答として処理結果を受信する工程と
   を含む方法。
6. 取引サーバと通信可能に接続されるゲートウェイ装置と通信可能に接続されるコンピュータに、
   前記取引サーバに関連付けられた秘密鍵を記憶部に記憶する処理と、
   前記取引サーバの識別コードを受け付ける処理と、
   当該コンピュータの識別コードを含む鍵取得要求を、前記受け付けた取引サーバの識別コードと共に前記ゲートウェイ装置に送信する処理と、
   前記鍵取得要求の応答として、前記取引サーバが保有する公開鍵で暗号化された暗号鍵を受信する処理と、
   前記公開鍵に対応する秘密鍵を前記記憶部から取得して、前記暗号化された暗号鍵を前記取得した秘密鍵で復号して暗号鍵を取得する処理と、
   当該コンピュータの識別コード及び取引情報を含む取引要求のうち、前記取引情報の少なくとも一部を前記暗号鍵で暗号化した暗号化取引要求を生成し、前記受け付けた取引サーバの識別コードと共に前記ゲートウェイ装置に送信する処理と、
   前記ゲートウェイ装置から前記暗号化取引要求に対する応答として処理結果を受信する処理と
   を実行させるプログラム。
7. ゲートウェイ装置と通信可能に接続される取引サーバであって、
   公開鍵を記憶する記憶部と、
   入出金装置と暗号鍵とを関連付ける暗号鍵記憶部と、
   前記ゲートウェイ装置から、入出金装置の識別コードを含む鍵取得要求を受信する鍵取得要求通信部と、
   暗号鍵を生成して、前記鍵取得要求通信部が受信した入出金装置の識別コードと関連付けて前記暗号鍵を前記暗号鍵記憶部に保存する暗号鍵生成部であって、前記暗号鍵を前記公開鍵で暗号化した、前記公開鍵で暗号化された暗号鍵を生成する、暗号鍵生成部と、
   前記ゲートウェイ装置から前記暗号鍵で暗号された暗号化取引要求を受信する取引要求通信部であって、前記暗号化取引要求は、前記入出金装置の識別コードを含む、取引要求通信部と、
   前記取引要求通信部が受信した前記入出金装置の識別コードに関連付けられた暗号鍵を前記暗号鍵記憶部から取得して、前記暗号化取引要求を復号し、及び当該復号した取引要求を処理した処理結果を生成する取引要求処理部と
   を備え、
   前記鍵取得要求通信部は、鍵取得要求の応答として、前記暗号鍵生成部が生成した、前記公開鍵で暗号化された暗号鍵を前記ゲートウェイ装置に送信し、
   前記取引要求通信部は、前記暗号化取引要求の応答として、前記取引要求処理部が生成した前記処理結果を前記ゲートウェイ装置に送信する、取引サーバ。
8. 前記鍵取得要求通信部及び前記取引要求通信部は、前記ゲートウェイ装置との間でセキュアなチャネルを確立し、前記確立したセキュアなチャネルを用いて前記ゲートウェイ装置と通信する、請求項７に記載の取引サーバ。
9. 前記暗号鍵は前記暗号鍵記憶部に一時的に保持され、前記処理結果を送信した後に完全に削除される、請求項７に記載の取引サーバ。
10. 前記取引要求処理部は、前記暗号鍵で前記処理結果の少なくとも一部を暗号化した暗号化処理結果を生成する、請求項７に記載の取引サーバ。
11. 顧客の端末から、取引に関する情報及び前記入出金装置の識別コードを含む二次元コード情報を受信する予約管理部と、
    前記ゲートウェイ装置から予約照会を受信する予約照会通信部であって、前記予約照会は、前記入出金装置が生成した二次元コードから読み取られた二次元コード情報を含む、予約照会通信部と、
    前記予約照会に基づいて、前記取引に関する情報を照会して照会結果を生成する予約照会処理部と
    をさらに備え、前記予約照会通信部は、前記予約照会の応答として、前記予約照会処理部が生成した前記照会結果を前記ゲートウェイ装置に送信する、請求項７に記載の取引サーバ。

Images