JP2020053054A - デジタル資格情報無効化 - Google Patents

Abstract

【課題】デジタルキーを無効化し、無効化されたデジタルキーを受け付けないように管理する。【解決手段】有効デジタル資格情報リスト、無効化リスト及び同期カウンタ値を維持するように構成された電子デバイスは、有効デジタル資格情報リストを電子デバイスと同期させるリクエストを送信する。このリクエストは、有効デジタル資格情報リスト及び無効化リストを含む。電子デバイスからの更新済み有効デジタル資格情報リストの受信に応じて、無効化リストをクリアし、有効デジタル資格情報リストを更新済み有効デジタル資格情報リストと置き換え、同期カウンタ値をインクリメントする。受信済み資格情報維持リクエストが、インクリメント済み同期カウンタ値以上の他の同期カウンタ値を含む場合、受信済み資格情報維持リクエストを満たし、そうでない場合、受信済み資格情報維持リクエストを拒否する。【選択図】図４

Description

関連出願の相互参照
本出願は、その開示の全体が本明細書に組み込まれた、２０１８年９月２７日出願の「Ｄｉｇｉｔａｌ Ｃｒｅｄｅｎｔｉａｌ Ｒｅｖｏｃａｔｉｏｎ」と題する米国仮特許出願第６２／７３７，８２０号の優先権の利益を主張する。
本明細書は、一般に、デバイス及び／又はサーバを介して、無効及び有効デジタル資格情報を同期させることを含む、デジタル資格情報の無効化に関する。

個々のユーザは、電話、タブレット、腕時計、及びコンピュータなどの複数の電子デバイスを所有する場合がある。ユーザが各デバイスをユーザアカウントと関連付けた場合、異なるデバイス間に暗黙的に確立された信頼関係が存在し得る。従って、ユーザは、信頼できるデバイス（例えば、同じユーザアカウントに関連付けられた別のデバイス）と情報共有されているという比較的高い確信の下、全デバイスで情報を共有することができる。しかしながら、そのような信頼関係は、他のユーザアカウントに関連付けられたデバイスに対して暗黙的に確立されない場合がある。

主題の技術のある特徴を、添付の特許請求の範囲に示す。しかしながら、説明の目的のため、主題の技術のいくつかの実施形態を、以下の図に示す。
１つ以上の実装形態に係る、デジタル資格情報無効化システムが実装され得る例示的なネットワーク環境を示す図である。 １つ以上の実装形態に係る、デジタル資格情報無効化システムにおいて使用され得る例示的な電子デバイスを示す図である。 １つ以上の実装形態に係る、デジタル資格情報無効化システムにおいて使用され得る例示的なセキュアエレメントを含む例示的な電子デバイスを示す図である。 １つ以上の実装形態に係る、デジタル資格情報無効化システムのセキュアデバイスの例示的なプロセスのフロー図である。 １つ以上の実装形態に係る、デジタル資格情報無効化システムの電子デバイスの例示的なプロセスのフロー図である。 １つ以上の実装形態に係る、デジタル資格情報無効化システムの異なる状態におけるセキュアデバイス及び電子デバイス内の例示的なデータ値を示す図である。 １つ以上の実装形態に係る、デジタル資格情報無効化システムの異なる状態におけるセキュアデバイス及び電子デバイス内の例示的なデータ値を示す図である。 １つ以上の実装形態に係る、デジタル資格情報無効化システムの異なる状態におけるセキュアデバイス及び電子デバイス内の例示的なデータ値を示す図である。 １つ以上の実装形態に係る、アクセス者の電子デバイスからセキュアデバイス用のアクセス者のデジタル資格情報を無効にする例示的なデータフローである。 １つ以上の実装形態に係る、セキュアデバイスからセキュアデバイス用のアクセス者のデジタル資格情報を無効にするための例示的なデータフローである。 １つ以上の実装形態に係る、セキュアデバイスに関連付けられたサービスプロバイダサーバからセキュアデバイス用のアクセス者のデジタル資格情報を無効にするための例示的なデータフローである。 １つ以上の実装形態に係る、セキュアデバイスに関連付けられた電子デバイスからの、セキュアデバイス用のアクセス者のデジタル資格情報を、無効にするための例示的なデータフローである。 １つ以上の実装形態に係る、フェードアウト期間なしで、アクセス者の電子デバイスからセキュアデバイス用のアクセス者のデジタル資格情報を無効にする例示的なデータフローである。 １つ以上の実装形態に係る、フェードアウト期間ありで、アクセス者の電子デバイスからセキュアデバイス用のアクセス者のデジタル資格情報を無効にする例示的なデータフローである。 １つ以上の実装形態に係る、主題の技術の態様が実施され得る例示的な電子システムを示す図である。

以下に述べる詳細な説明は、主題の技術の様々な構成の説明として意図されており、主題の技術を実践できる唯一の構成を表すことを意図するものではない。添付の図面は、本明細書に組み込まれ、詳細な説明の一部を構成する。詳細な説明は、主題の技術の完全な理解を提供するために特定の詳細を含む。しかしながら、主題の技術は、本明細書で示された特定の詳細には限定されず、１つ以上の実装形態を使用して実践することができる。１つ以上の実装形態では、主題の技術の概念を不明瞭にすることを避けるために、構造及び構成要素がブロック図形式で示されている。

スマートデバイスが家や車両内に増えるにつれて、家や車両などにアクセスする物理的キーの使用は、腕時計、電話、タブレットなどの電子デバイスに記憶されたデジタルキーの使用に取って代わられるであろう。例えば、ユーザは、（例えば、物理的キーの代わりに）電話を使用して自身の家及び／又は車のドアを解錠することができる。物理的キーの衰退に伴い、他の人物による家及び／又は車両へのアクセスを無効にする従来の方法、例えば、家及び／又は車両にアクセスする物理的キーのコピーを引き渡すようにその人に頼むなどの方法も旧式化するであろう。

多くの場合、デジタルキーはかなり簡単にコピーし、（デジタルキーが期限切れでないと仮定して）オリジナルの有効デジタルキーとして家又は車両に提供することができるため、電子デバイスからのデジタルキーの除去又は削除は、人からキーの物理的コピーを受け取ることと同じようなセキュリティ効果を発揮し得ない。従って、主題のシステムは、他の人物及び／又はデバイスに付与されたデジタルキーを無効にするための各種機構と、家又は車両などのセキュアデバイスが、オリジナルの有効デジタルキーとして無効にされた（しかし、期限切れではない）デジタルキーを受理しないように確保する同期システムと、を提供する。

図１は、１つ以上の実装形態に係る、デジタル資格情報無効化システムが実施され得る例示的なネットワーク環境１００を示す。しかしながら、描写された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。本明細書で示された特許請求の範囲の趣旨又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。追加の構成要素、異なる構成要素、又はより少ない構成要素が提供されてもよい。

ネットワーク環境１００は、１つ以上の電子デバイス１０２Ａ〜Ｃ、１つ以上のセキュアデバイス１０４Ａ及びＢ、ネットワーク１０６、１つ以上のサービスプロバイダサーバ１２０を含む。ネットワーク１０６は、例えば、１つ以上のセキュアデバイス１０４Ａ及びＢを１つ以上のサービスプロバイダサーバ１２０及び／又は１つ以上の電子デバイス１０２Ａ〜Ｃに通信可能に結合することができ、電子デバイス１０２Ａ〜Ｃのうちの１つ以上を１つ以上のサービスプロバイダサーバ１２０及び／又は１つ以上のセキュアデバイス１０４Ａ及びＢに通信可能に結合することができる。

電子デバイス１０２Ａ〜Ｃのうちの１つ以上は、ネットワーク１０６をバイパスする近距離通信（ＮＦＣ）などの直接通信を介して、セキュアデバイス１０４Ａ〜Ｂのうちの１つ以上と通信することができる。１つ以上の実装形態では、電子デバイス１０２Ａ〜Ｃのうちの１つ以上は、ネットワーク１０６を介してセキュアデバイス１０４Ａ及びＢのうちの１つ以上と通信してもよく、及び／又はセキュアデバイス１０４Ａ及びＢのうちの１つ以上は、図１のセキュアデバイス１０４Ａのように、ネットワーク１０６に通信可能に結合されなくてもよい。１つ以上の実装形態では、ネットワーク１０６は、インターネットを含むか、又はインターネットに通信可能に結合されている、相互接続されたデバイスのネットワークであってもよい。

セキュアデバイス１０４Ａ及びＢは、例えば、ドアやロックなどのアクセスデバイスに含まれる及び／又は結合されるセキュアデバイス、自動車／車両デバイスに含まれる及び／又は結合されるセキュアデバイス、及び／又はＮＦＣ無線通信、無線ローカルエリアネットワーク（ＷＬＡＮ）無線通信、Ｂｌｕｅｔｏｏｔｈ（登録商標）無線通信、Ｚｉｇｂｅｅ無線通信、セルラ無線通信、及び／又は他の無線通信など、１つ以上のアクセス権を付与するために使用され得る１つ以上の無線インタフェースを含む任意のデバイスであってもよい。図１では、例として、セキュアデバイス１０４Ａ及びＢは、ドアロックなどのアクセスデバイスに含まれる及び／又は結合されるデバイスとして示されている。セキュアデバイス１０４Ａ及びＢのうちの１つ以上は、図１３を参照して後述する電子システムであってもよく、及び／又はそれらの全部又は一部を含んでもよい。

１つ以上のサービスプロバイダサーバ１２０は、セキュアデバイス１０４Ａ及びＢのうちの１つ以上及び／又は電子デバイス１０２Ａ〜Ｃのうちの１つ以上に対してデジタルキーの管理及び／又はデジタルキーの無効化を容易にする１つ以上のサーバを含むことができる。例えば、１つ以上のサービスプロバイダサーバ１２０は、１つ以上のトラストサービスマネージャ（ＴＳＭ）サーバ、１つ以上のブローカサーバ、１つ以上のアプリケーションサーバ、１つ以上のビジネスバックエンドサーバ、及び／又は同様のものを含むことができる。

１つ以上のサービスプロバイダサーバ１２０は、セキュアデバイス１０４Ａ及びＢに対応する及び／又はセキュアデバイス１０４Ａ及びＢのそれぞれの製造業者に対応するサービスプロバイダなどの１つ以上のサービスプロバイダなどの１つ以上のサービスプロバイダに関連付けることができるサーバデバイスを含むことができる。例えば、１つ以上のサービスプロバイダサーバ１２０は、電子デバイス１０２Ａ〜Ｃに提供される及び／又は電子デバイス１０２Ａ〜Ｃによって共有される、セキュアデバイス１０４Ａ及びＢのうちの１つ以上にアクセスするためのデジタルキーの記録を記憶するように構成された１つ以上のキー追跡サーバを更に含むことができる。１つ以上の実装形態では、１つ以上のサービスプロバイダサーバ１２０は、ネットワーク１０６の全て又は一部をバイパスするテレマティクス通信リンクなどの直接及び／又は独自の通信リンクを介して、セキュアデバイス１０４Ａ及びＢのうちの１つ以上に通信可能に接続されてもよい。

１つ以上の実装形態では、電子デバイス１０２Ａ〜Ｃの許可ユーザは、１つ以上のサービスプロバイダサーバ１２０に相当する１つ以上のサービスプロバイダで各自のユーザアカウントを有することができる。ユーザアカウントは、デバイス及び／又はデジタル資格情報（例えば、デジタルキー）を確立及び／又は管理するために使用することができる。１つ以上のサービスプロバイダサーバ１２０は、図１３を参照して後述する電子システムであってもよく、及び／又はそれらの全部又は一部を含んでもよい。

電子デバイス１０２Ａ〜Ｃは、例えば、ラップトップコンピュータ、スマートフォン、周辺デバイス（例えば、デジタルカメラ、ヘッドホン）、タブレットデバイス、ウェアラブルデバイス（例えば、時計、バンドなど）などのポータブルコンピューティングデバイス、又は、１つ以上のＮＦＣ無線通信、ＷＬＡＮ無線通信、Ｂｌｕｅｔｏｏｔｈ（登録商標）無線通信、Ｚｉｇｂｅｅ無線通信、セルラ無線通信、及び／若しくは他の無線通信などの、１つ以上の無線インタフェースを含む他の好適なデバイスであってもよい。図１では、一例として、電子デバイス１０２Ａ〜Ｃはモバイルデバイスとして示されている。電子デバイス１０２Ａ〜Ｃのうちの１つ以上は、図２及び図３を参照して後述する電子デバイス、及び／又は図１３を参照して後述する説明する電子システムであってもよく、及び／又はそれらの全部若しくは一部を含んでもよい。

１つ以上の実装形態では、電子デバイス１０２Ａなどの電子デバイス１０２Ａ〜Ｃのうちの１つ以上は、セキュアデバイス１０４Ａ及びＢのうちの１つ以上とペアリングする、及び／又は関連付けることができる。例えば、セキュアデバイス１０４Ａ及びＢの所有者（又は主な許可ユーザ）は、電子デバイス、例えば所有者電子デバイス１０２Ａ（又は所有者デバイス）を、セキュアデバイス１０４Ａ及びＢとペアリングすることができる。ペアリングプロセスは、セキュアデバイス１０４Ａ及びＢ（及び／又はサービスプロバイダサーバ１２０の１つ以上）が１つ以上の秘密キーを電子デバイス１０２Ａに提供し、電子デバイス１０２Ａがその秘密キーを使用して、セキュアデバイス１０４Ａ及びＢに提供されるアクセスコマンドに署名することを含むことができる。このようにして、セキュアデバイス１０４Ａ及びＢは、アクセスコマンドが電子デバイス１０２Ａによって発行されたことを確認することができる。

電子デバイス１０２Ａはまた、セキュアデバイス１０４Ａ及びＢ（及び／又はサービスプロバイダサーバ１２０の１つ以上）によって提供される秘密キーを使用して、１つ以上のデジタル資格情報（例えば、デジタルキー）を電子デバイス１０２Ｂ及びＣのうちの１つ以上（以下、１つ以上のアクセス者電子デバイス１０２Ｂ及びＣと称され得る）と共有することができる。電子デバイス１０２Ａは、例えば、デジタル資格情報に関連付けられた失効時刻の前に、電子デバイス１０２Ｂ及びＣのうちの１つ以上と共有されている１つ以上のデジタル資格情報（例えば、デジタルキー）を無効にすることもできる。デジタル資格情報は、例えば、所有者電子デバイス１０２Ａから、アクセス者電子デバイス１０２Ｂ及びＣのうち１つ以上から、セキュアデバイス１０４Ａ及びＢのうちの１つ以上から、及び／又はサービスプロバイダサーバ１２０のうちの１つ以上から無効にすることができる。デジタル資格情報を無効にする例示的なデータフローは、図７〜１２を参照して更に後述する。

デジタル資格情報は、失効前に、電子デバイス１０２Ａ〜Ｃのうちの１つ以上から、及び／又はサービスプロバイダサーバ１２０のうちの１つ以上から無効化することができるため、このような無効化のインジケーションは、例えば、無効化済みデジタル資格情報（及び／又は対応する識別子）を含まない更新済み有効デジタル資格情報リストの形態で、セキュアデバイス１０４Ａ及びＢに伝えられるべきである。この点に関して、セキュアデバイス１０４Ａ及びＢは、無効化済みデジタル資格情報（又はそのコピー）がセキュアデバイス１０４Ａ及びＢにアクセスするために使用されないように確保するため、無効化済みデジタル資格情報（及び／又は対応する識別子）の無効化リストを維持することもできる。しかしながら、デジタル資格情報は失効時刻の前に無効にすることができるため、セキュアデバイス１０４Ａ及びＢは、有効デジタル資格情報と、失効時刻前に無効にされたデジタル資格情報とを区別することができない場合がある。従って、電子デバイス１０２Ａがデジタル資格情報のコピーを保持している場合（デジタル資格情報は無効化されているが（デジタル資格情報の失効時刻の前）、電子デバイス１０２Ａは、デジタル資格情報を使用して、セキュアデバイス１０４Ａ及びＢのうちの１つ以上に不適切にアクセスすることができる。

よって、主題のシステムは、所有者電子デバイス１０２Ａ及び対応するセキュアデバイス１０４Ａ及びＢによって個別に維持される同期カウンタ値を実装する。同期カウンタ値は、セキュアデバイス１０４Ａ及びＢが所有者電子デバイス１０２Ａと同期する（例えば、更新済み有効デジタル資格情報リストを受信する）毎にインクリメントされる。次いで、所有者電子デバイス１０２Ａは、新たに共有された（又は発行された）デジタル資格情報と併せて同期カウンタ値を提供することができ、この同期カウンタ値は、デジタル資格情報が最初にセキュアデバイス１０４Ａ及びＢに提示される時にセキュアデバイス１０４Ａ及びＢに提供されてもよい。セキュアデバイス１０４Ａ及びＢは、受信した同期カウンタ値を自身のローカル同期カウンタ値と比較し、その比較に少なくとも部分的に基づいて、デジタル資格情報を受理するか否かを判定することができる。このようにして、直近の同期の前に発行されたデジタル資格情報は、（例えば、ローカル同期カウンタ値よりも）低い同期カウンタ値を有するため、受理されない。

主題のシステムにおけるセキュアデバイスの例示的なプロセスは図４を参照して更に後述し、主題のシステムの所有者電子デバイス１０２Ａの例示的なプロセスは図５を参照して更に後述する。主題のシステムの異なる状態における同期カウンタ値の例は、図６を参照して更に後述する。

図２は、１つ以上の実装形態に係る、デジタル資格情報無効化システムで使用され得る例示的な電子デバイス１０２Ａを示す。しかしながら、描写された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。本明細書で示された特許請求の範囲の趣旨又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。追加の構成要素、異なる構成要素、又はより少ない構成要素が提供されてもよい。１つ以上の実装形態では、例示的な電子デバイス１０２Ａの１つ以上の構成要素は、電子デバイス１０２Ｂ及びＣ及び／又はセキュアデバイス１０４Ａ及びＢのうちの１つ以上によって実装されてもよい。

電子デバイス１０２Ａは、ホストプロセッサ２０２、メモリ２０４、無線インタフェース２０６、及びセキュアエレメント２０８を含むことができる。説明のため、電子デバイス１０２Ａは、セキュアエレメント２０８を含むものとして示す。電子デバイス１０２Ａは、セキュアエレメント２０８の代わりに、又はそれに加えて、セキュアエンクレーブプロセッサを含んでもよい。

セキュアエレメント２０８は、１つ以上のシングルワイヤプロトコル（ＳＷＰ）接続及び／又は任意の他のデータ接続などを介して、無線インタフェース２０６及び／又はホストプロセッサ２０２に通信可能に（直接的又は間接的に）結合するための１つ以上のインタフェースを含んでもよい。セキュアエレメント２０８は、アプレット２１０Ａ〜Ｎと称され得る１つ以上のサービスプロバイダアプレット２１０Ａ〜Ｎを含むことができる。１つ以上の実装形態では、セキュアエレメント２０８のオペレーティングシステム及び／又は実行環境はＪＡＶＡ（登録商標）ベースのオペレーティングシステム及び／又はＪＡＶＡ（登録商標）ベースの実行環境であってもよく、アプレット２１０Ａ〜ＮはＪＡＶＡ（登録商標）ベースのアプレットであってもよい。他の実装形態では、他のオペレーティングシステム、言語、及び／又は環境を実施することができる。１つ以上のアプレット２１０Ａ〜Ｎに加えて、セキュアエレメント２０８は、セキュリティアプレットやレジストリアプレットなどの他の動作を実行するための１つ以上の追加のアプレットを更に含むことができる。

アプレット２１０Ａ〜Ｎは、トラストサービスマネージャサーバ及び／又はブローカサーバなどのサービスプロバイダサーバ１２０のうちの１つ以上によって、セキュアエレメント２０８に一部プロビジョニングさせることができる。例えば、トラストサービスマネージャサーバ及び／又はブローカサーバは、ネットワーク１０６を介して、電子デバイス１０２Ａにプロビジョニングスクリプトを送信することができる。いくつかの実装形態では、電子デバイス１０２Ａのホストプロセッサ２０２がスクリプトを受信してもよく、例えば、無線インタフェース２０６を介して、及び／又は直接セキュアエレメント２０８にスクリプトを提供してもよい。セキュアエレメント２０８は、ＧｌｏｂａｌＰｌａｔｆｏｒｍフレームワークに固有の１つ以上のセキュリティメカニズムなどの１つ以上のセキュリティメカニズムを実行して、受信スクリプトを検証し、次いで、受信スクリプトを実行することができる。セキュアエレメント２０８によるスクリプトの実行により、アプレット２１０Ａ〜Ｎのうちの１つ以上をセキュアエレメント２０８にプロビジョニングさせることができる。

１つ以上の実装形態では、アプレット２１０Ａ〜Ｎのうちの１つ以上は、セキュアデバイス１０４Ａ及びＢのうちの１つ以上に関連付けられたサービスプロバイダに対応させることができる。例えば、アプレット２１０Ａは、ドアロック又は車両の製造業者など、セキュアデバイス１０４Ａに関連付けられたサービスプロバイダに対応させることができる。この場合、セキュアデバイス１０４Ａに関連付けられた同期カウンタ、有効デジタル資格情報リスト、秘密キー、公開キー、及び／又は証明データ項目は、アプレット２１０Ａと共にセキュアエレメント２０８に記憶されてもよい。加えて、セキュアデバイス１０４Ａは、セキュアデバイス同期カウンタ、セキュアデバイス有効デジタル資格情報リスト、セキュアデバイス無効化リスト、及び／又はセキュアデバイスの最後の同期時刻を記憶するセキュアエレメントを含むことができる。

無線インタフェース２０６は、無線通信を送信／受信するための１つ以上のアンテナ及び１つ以上のトランシーバを含むことができる。無線インタフェース２０６は、ホストプロセッサ２０２及び／又はセキュアエレメント２０８に接続するために、シングルワイヤプロトコルインタフェースなどの１つ以上のインタフェースを更に含むことができる。

１つ以上の実装形態では、無線インタフェース２０６は、ＮＦＣ−Ａ（又はタイプＡ）、ＮＦＣ−Ｂ（又はタイプＢ）、ＮＦＣ−Ｆ（又はタイプＦ若しくはＦｅｌｉＣＡ）及び／又は国際標準化機構（ＩＳＯ）／国際電気標準会議（ＩＥＣ）１５６９３などの１つ以上の異なるＮＦＣ通信プロトコルを介して通信可能なＮＦＣコントローラであってもよい。ＮＦＣ−Ａプロトコルは、ＩＳＯ／ＩＥＣ １４４４３Ａに基づいてもよく、例えば、１００パーセント振幅変調を有するＭｉｌｌｅｒビットコーディングを使用することができる。ＮＦＣ−Ｂプロトコルは、ＩＳＯ／ＩＥＣ １４４４３Ｂに基づいてもよく、例えば、１０％変調と共にマンチェスタエンコーディングの変形を使用することができる。ＮＦＣ−Ｆプロトコルは、ＦｅｌｉＣＡ ＪＩＳ Ｘ６３１９−４に基づいてもよく、例えば、ＮＦＣ−Ｂプロトコルとは少し異なるマンチェスタコーディングの変形を使用することができる。

セキュアデバイス１０４Ａ及びＢのうちの１つ以上は、電子デバイス１０２Ａと同様の無線通信能力を有していてもよい。例えば、セキュアデバイス１０４Ａは、ＮＦＣ−Ａプロトコル、ＮＦＣ−Ｂプロトコル、ＮＦＣ−Ｆプロトコル、Ｂｌｕｅｔｏｏｔｈ（登録商標）プロトコル、Ｂｌｕｅｔｏｏｔｈ（登録商標）低エネルギープロトコル、Ｚｉｇｂｅｅプロトコル、Ｗｉ−Ｆｉプロトコル、又は略任意の通信プロトコルのうちの１つ以上を介して、電子デバイス１０２Ａ及びＢのうちの１つ以上と通信するための１つ以上のアンテナ及び／又は送受信機を含んでもよい。１つ以上の実装形態では、セキュアデバイス１０４Ａ及びＢのうちの１つ以上は、ＮＦＣリーダなどの無線リーダを含んでもよい。

ホストプロセッサ２０２は、データを処理し、及び／又は電子デバイス１０２Ａの動作を制御することを可能にする、好適なロジック、回路、及び／又はコードを含むことができる。これに関しては、ホストプロセッサ２０２が、電子デバイス１０２Ａの様々な他の構成要素に制御信号を提供することを可能にしてもよい。ホストプロセッサ２０２はまた、電子デバイス１０２Ａの様々な部分間でのデータ転送を制御してもよい。加えて、ホストプロセッサ２０２は、電子デバイス１０２Ａの動作を管理するために、オペレーティングシステムの実施を可能にするか、又はコードを実行してもよい。メモリ２０４は、受信データ、生成データ、コード、及び／又は構成情報などの様々なタイプの情報の記憶を可能にする適切なロジック、回路、及び／又はコードを含むことができる。メモリ２０４は、例えば、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、フラッシュ、及び／又は磁気記憶装置を含むことができる。

１つ以上の実装形態では、ホストプロセッサ２０２、メモリ２０４、無線インタフェース２０６、セキュアエレメント２０８のうちの１つ以上、及び／又はそれらの１つ以上の部分は、ソフトウェア（例えば、サブルーチン及びコード）で実装されてもよく、ハードウェア（例えば、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、プログラマブルロジックデバイス（ＰＬＤ）、コントローラ、ステートマシン、ゲートロジック、ディスクリートハードウェア構成要素、又は任意の他の好適なデバイス）、及び／又はその両方の組み合わせで実装されてもよい。

図３は、１つ以上の実装形態に係る、デジタル資格情報無効化システムにおいて使用され得る例示的なセキュアエレメント２０８を含む例示的な電子デバイス１０２Ａを示す。しかしながら、描写された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。本明細書で示された特許請求の範囲の趣旨又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。追加の構成要素、異なる構成要素、又はより少ない構成要素が提供されてもよい。説明のために、セキュアエレメント２０８は、電子デバイス１０２Ａに実装されているものとして示されているが、しかしながら、セキュアエレメント２０８は、任意の他の電子デバイス上に実装されてもよい。

セキュアエレメント２０８は、他の構成要素に、セキュアプロセッサ３０２、ＲＡＭ３０４、セキュリティエンジン３０６、インタフェース３０８、及び不揮発性メモリ３１０を含んでもよい。ＲＡＭ３０４は、スタティックＲＡＭ（ＳＲＡＭ）、及び／又はダイナミックＲＡＭ（ＤＲＡＭ）のうちの１つ以上を含むことができる。インタフェース３０８は、セキュリティエレメント２０８を、無線インタフェース２０６及び／又はホストプロセッサ２０２などのデバイス内の１つ以上の他のチップに通信可能に結合することができる。インタフェース３０８は、例えば、ＳＷＰインタフェース、ユニバーサルシリアルバス（ＵＳＢ）インタフェース、又は一般的に任意のデータインタフェースであってもよい。セキュアプロセッサ３０２は、例えば、縮小命令セットコンピューティング（ＲＩＳＣ）プロセッサ、アドバンスドＲＩＳＣマシン（ＡＲＭ）プロセッサ、又は一般的に任意の処理回路であってもよい。

セキュリティエンジン３０６は、セキュアエレメント２０８のための１つ以上のセキュリティ動作を実行することができる。例えば、セキュリティエンジン３０６は、暗号動作を実行してもよく、並びに／又は暗号キー及び／若しくは証明書を管理してもよい。１つ以上の実装形態では、セキュアエレメント２０８とセキュアデバイス１０４Ａなどの外部デバイスとの間の通信は暗号化することができる。例えば、ＮＦＣ−Ｆ通信の場合、相互認証が実行されるたびに暗号キーが動的に生成されてもよい。これらの１つ以上の実装形態では、暗号化／復号化及び／又はキー生成／管理が、セキュリティエンジン３０６によって全て又は部分的に実行されてもよい。

不揮発性メモリ３１０は、例えば、フラッシュメモリであってもよく、及び／又はフラッシュメモリを含んでもよい。不揮発性メモリ３１０は、アプレット２１０Ａ〜Ｎに関連付けられた実行可能コード、例えば、セキュアデバイス１０４Ａ及びＢに関連付けられた及び／又はセキュアデバイス１０４Ａ及びＢへのアクセスを共有するための同期カウンタ、有効デジタル資格情報リスト、無効化資格情報リスト、秘密キー、公開キー、及び／又は証明データ項目を記憶してもよい。１つ以上の実装形態では、不揮発性メモリ３１０はまた、セキュアプロセッサ３０２によって実行されて、ＪＡＶＡ（登録商標）実行環境などのアプレット２１０Ａ〜Ｎの実行環境を提供するファームウェア及び／又はオペレーティングシステム実行可能コードを記憶してもよい。１つ以上の実装形態では、不揮発性メモリ３１０及び／又はＲＡＭ３０４は、電子デバイス１０２Ａのセキュアメモリ領域及び／又はセキュアドメイン、及び／又はセキュアエレメント２０８のセキュアメモリ領域及び／又はセキュアドメインとみなすことができる。

１つ以上の実装形態では、セキュアプロセッサ３０２、ＲＡＭ３０４、セキュリティエンジン３０６、インタフェース３０８、不揮発性メモリ３１０、及び／又はそれらの１つ以上の部分、のうちの１つ以上は、ソフトウェア（例えば、サブルーチン及びコード）、ハードウェア（例えば、ＡＳＩＣ、ＦＰＧＡ、ＰＬＤ、コントローラ、ステートマシン、ゲートロジック、ディスクリートハードウェア構成要素、又は任意の他の好適なデバイス）、及び／又はその両方の組み合わせで実装されてもよい。

図４は、１つ以上の実装形態に係る、デジタル資格情報無効化システムのセキュアデバイス１０４Ａの例示的なプロセス４００のフロー図である。説明のために、プロセス４００は、本明細書では主に図１のセキュアデバイス１０４Ａを参照して説明する。ただし、セキュアデバイス１０４Ａは、例示的なデバイスとして提示されたものであり、本明細書で説明された動作はいかなる適切なデバイスによって実行されてもよい。例えば、プロセス４００は、セキュアデバイス１０４Ｂ又は略任意の電子デバイスによっても実行され得る。更に、説明のために、プロセス４００の動作は、本明細書では逐次的に又は直線的に発生するものとして記載されている。しかしながら、プロセス４００の複数の動作は並行して発生してもよい。加えて、プロセス４００の動作は、図示された順序で実行される必要はなく、及び／又は、プロセス４００の１つ以上の動作は、実行される必要はなく、及び／又は他の動作によって置き換えることができる。

主題のシステムでは、セキュアデバイス１０４Ａは、セキュアデバイス有効デジタル資格情報リストと称され得る有効デジタル資格情報リスト、セキュアデバイス無効化リストと称され得る無効化リスト、及びセキュアデバイス同期カウンタ値（４０２）と称され得るローカル同期カウンタ値を維持する。有効デジタル資格情報リストは、デジタル資格情報、例えば、デジタル資格情報に割り当てられた１つ以上の資格（例えば、１つ以上のアクセス権）と共にセキュアデバイス１０４Ａにアクセスするために有効であるデジタルキー（及び／又は対応する識別子）などのデジタル資格情報と、デジタル資格情報に関連付けられた失効時刻と、を含む。無効化リストは、例えば、セキュアデバイス１０４Ａのユーザインタフェースを介して無効にされているデジタルキーなどのデジタル資格情報の識別子と、デジタル資格情報に関連付けられたそれぞれの失効時刻と、を含む。１つ以上の実装態様では、デジタル資格情報のうちの１つ以上は、１回しか登録することができず、従って、失効時刻を有さない。よって、そのようなデジタル資格情報が削除された及び／又は無効にされた場合、新しいデジタル資格情報を発行する必要がある。同期カウンタ値は、セキュアデバイス１０４Ａが電子デバイス１０２Ａなどの、セキュアデバイス１０４Ａの所有者（又は主な許可ユーザ）の電子デバイスと同期するたびにインクリメントされるカウンタ値である。

従って、セキュアデバイス１０４Ａが、例えば電子デバイス１０２Ｂから、有効デジタル資格情報リストに含まれており、期限切れでなく、無効化リストに識別子が記憶されていないデジタル資格情報を受信すると、セキュアデバイス１０４Ａは、デジタル資格情報に割り当てられた１つ以上の資格に従ってアクセスが可能になる。しかしながら、セキュアデバイス１０４Ａが、例えば電子デバイス１０２Ｂから、有効デジタル資格情報リストに含まれておらず、期限切れであり、無効化リストに識別子が記憶されているデジタル資格情報を受信すると、電子デバイス１０２Ｂはアクセスを許可しない。加えて、有効デジタル資格情報リストに記憶されたデジタル資格情報が無効になると、デジタル資格情報は無効化リストに移される。１つ以上の実装形態では、いずれかのリストに記憶されたデジタル資格情報が期限切れになると、デジタル資格情報はリストから除去される。例示的な有効デジタル資格情報及び無効化リスト、並びに例示的な同期カウンタ値は、図６Ａ〜６Ｃを参照して更に後述する。

セキュアデバイス１０４Ａは、有効デジタル資格情報リストを、セキュアデバイス１０４Ａの対応する所有者（又は、主な許可ユーザ）の電子デバイス１０２Ａと同期させるリクエストを送信する（４０４）。同期リクエストは、セキュアデバイス１０４Ａの有効デジタル資格情報リスト及び無効化リストを含んでもよい。セキュアデバイス１０４Ａは、デジタル資格情報がセキュアデバイス１０４Ａ、例えば、セキュアデバイス１０４Ａのユーザインタフェースを介して無効にされると、同期リクエストを開始することができる。１つ以上の実装形態では、同期は、例えば、デジタル資格情報が電子デバイス１０２Ａ及び／又はサービスプロバイダサーバ１２０を介して無効にされる場合、電子デバイス１０２Ａ及び／又はサービスプロバイダサーバ１２０によって開始されてもよい。

１つ以上の実装態様では、同期リクエストは、直接（例えば、ＮＦＣやＢｌｕｅｔｏｏｔｈ（登録商標）などを介して）送信することができる、又は所有者の電子デバイス１０２Ａ（又は、主な許可ユーザ）に間接的に送信することができる、及び／又はリクエストは、サービスプロバイダサーバ１２０に送信され、サービスプロバイダサーバがリクエストを処理する、及び／又はリクエストを所有者（又は、主な許可ユーザ）の電子デバイス１０２Ａに転送することができる。

リクエストの送信に応答して（４０４）、セキュアデバイス１０４Ａは、電子デバイス１０２Ａ及び／又はサービスプロバイダサーバ１２０において有効であるデジタル資格情報を列挙した更新済み有効デジタル資格情報リストを受信する（４０６）。セキュアデバイス１０４Ａは、有効デジタル資格情報リストを、受信した更新済み有効デジタル資格情報リストと置き換え、無効化リストをクリアし、ローカル同期カウンタ値をインクリメントする（４０８）。１つ以上の実装形態では、セキュアデバイス１０４Ａは、更新、クリア、及びインクリメント（４０８）を単一のアトミックトランザクションで実行することができるため、更新、クリア、及びインクリメントのそれぞれが正常に完了しない場合には、トランザクション全体がロールバックされる。

セキュアデバイス１０４Ａは、同期カウンタ値を含む資格情報維持リクエストを受信することができる（４１０）。資格情報維持リクエストは、例えば、デジタル資格情報を有効デジタル資格情報リストに追加するリクエストであってもよい、及び／又はデジタル資格情報を無効にする、例えば、デジタル資格情報を有効デジタル資格情報リストから除去し、無効化リストにデジタル資格情報の識別子を追加するリクエストであってもよい。例えば、セキュアデバイス１０４Ａの所有者（又は主な許可ユーザ）は、電子デバイス１０２Ａを使用して、電子デバイス１０２Ｂの他のユーザとデジタル資格情報を共有することができ、このユーザは以後、セキュアデバイス１０４Ａのアクセス者と称され得る。デジタル資格情報は、所有者の電子デバイス１０２Ａにおいて、現在の同期カウンタ値と共に電子デバイス１０２Ｂに提供することができる。アクセス者は、電子デバイス１０２Ｂを使用して、セキュアデバイス１０４Ａにアクセスするために、デジタルキー及び同期カウンタ値をセキュアデバイス１０４Ａに提示することができる。

セキュアデバイス１０４Ａは、受信済み同期カウンタ値が、セキュアデバイス１０４Ａにおけるローカル同期カウンタ値以上であるか否かを判定する（４１２）。受信済み同期カウンタ値がローカル同期カウンタ値よりも小さい場合（受信済みデジタル資格情報が直近の同期前に発行されたことを意味する）、セキュアデバイス１０４Ａは、資格情報維持リクエストを拒否し、リクエストを実行しない（４１４）。受信済み同期カウンタ値がローカル同期カウンタ値以上である場合（受信デジタル資格情報が直近の同期後に発行されたことを意味する）、セキュアデバイス１０４Ａは、デジタル資格情報を追加する、又は無効にすることによって、資格情報維持リクエストを満たす（４１６）。

１つ以上の実装形態では、所与のセキュアデバイス１０４Ａに対して発行されたデジタル資格情報が一般的に、時間、日、週、月、又は年などの比較的短期間内で失効するように設定される場合、セキュアデバイス１０４Ａが資格情報リストを記憶するのに十分なメモリを有するならば、同期カウンタ値は使用されなくてもよい。この例では、デジタル資格情報は、期限切れとなった時に無効化リストから除去されてもよい。しかしながら、デジタル資格情報が典型的には、比較的長い有効期間で発行される場合、同期カウンタ値を使用して、無効化済み資格情報をブロックすることができる。１つ以上の実装形態では、同期カウンタ値はロールオーバーせず、最高値でブロックすることができる。従って、同期カウンタ値が最高値に達すると、その後、無効化はもはやクリアされ得ない無効化リストで管理されるだけなので、セキュアデバイス１０４Ａに対して追加のデジタル資格情報を発行することができない。

図５は、１つ以上の実装形態に係る、デジタル資格情報無効化システムの電子デバイス１０２Ａの例示的なプロセス５００のフロー図である。説明のために、プロセス５００は、本明細書では主に図１〜３の電子デバイス１０２Ａを参照して説明する。ただし、電子デバイス１０２Ａは、例示的なデバイスとして提示されたものであり、本明細書で説明された動作はいかなる適切なデバイスによって実行されてもよい。例えば、プロセス５００は、電子デバイス１０２Ｂ及びＣのうちの１つ以上又は略任意の電子デバイスによって実行されてもよい。更に、説明のために、プロセス５００の動作は、本明細書では逐次的に又は直線的に発生するものとして記載されている。しかしながら、プロセス５００の複数の動作が並行して発生してもよい。加えて、プロセス５００の動作は、図示された順序で実行される必要はなく、及び／又は、プロセス５００の１つ以上の動作は、実行される必要はなく、及び／又は他の動作によって置き換えることができる。

プロセス５００は、セキュアデバイス１０４Ａの所有者（又は主に許可ユーザ）の電子デバイス１０２Ａが、セキュアデバイス有効資格情報リスト及びセキュアデバイス無効化リストを含む同期リクエストをセキュアデバイス１０４Ａから受信する時に開始される（５０２）。１つ以上の実装形態では、同期は、電子デバイス１０２Ａによって開始されてもよく、この場合、電子デバイス１０２Ａは、リクエストに応答して、セキュアデバイス有効デジタル資格情報リスト及びセキュアデバイス無効化リストを受信することができる。

電子デバイス１０２Ａは、受信済みリストに基づいて、１次有効デジタル資格情報リストを更新する（５０４）。例えば、電子デバイス１０２Ａは、電子デバイス１０２Ａによって共有されており、現在有効であるデジタル資格情報の識別子を含む１次有効デジタル資格情報リストを維持することができる。従って、電子デバイス１０２Ａが、セキュアデバイス１０４Ａから無効化リストを受信すると、電子デバイス１０２Ａは（１次有効デジタル資格情報リストから）セキュアデバイス無効化リストに含まれるデジタル資格情報の識別子を除去する。電子デバイス１０２Ａは、１次有効デジタル資格情報リストに含まれていない（従って、無効にされていない）、セキュアデバイス有効デジタル資格情報リストに含まれるデジタル資格情報の識別子を追加する。

１つ以上の実装態様では、同期が実行されると、電子デバイス１０２Ａは、サービスプロバイダサーバ１２０などのデジタル資格情報を発行する及び／又は無効にすることができる１つ以上の他のソースから、有効デジタル資格情報リスト及び／又は無効化リストを受信することができる。この例では、電子デバイス１０２Ａは、セキュアデバイス１０４Ａから受信したリストを処理するのと同様の方法で、様々なソースから受信したリストを処理することができる。電子デバイス１０２Ａは、同期カウンタ値をインクリメントし（５０６）、更新済み１次有効デジタル資格情報リストをセキュアデバイス１０４Ａに提供する（５０８）。

図６Ａ〜図６Ｃは、１つ以上の実装形態に係る、デジタル資格情報無効化システムの様々な状態におけるセキュアデバイス及び電子デバイス内の例示的なデータ値を示す。しかしながら、示された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。追加の値、異なる値、又はより少ない値が提供されてもよい。

図６Ａ〜図６Ｃは、セキュアデバイス１０４Ａの所有者（又は主な許可ユーザ）のセキュアデバイス１０４Ａ及び電子デバイス１０２Ａを含む。電子デバイス１０２Ａは、同期カウンタ値６０２Ａ〜Ｃ、及び有効キーリスト６０４Ａ（１次有効デジタル資格情報リストと称され得る）を記憶する。セキュアデバイス１０４Ａは、同期カウンタ値６１２Ａ〜Ｃ（セキュアデバイス同期カウンタ値と称され得る）、有効キーリスト６１４Ａ〜Ｃ（セキュアデバイス有効デジタル資格情報リストと称され得る）、無効キーリスト６１６Ａ〜Ｃ（セキュアデバイス無効化リストと称され得る）、及び最後に同期化された日時６１８Ａ〜Ｃを記憶する。図６Ａ〜６Ｃに示されるように、無効キーリスト６１６Ａ〜Ｃは、無効にされたデジタルキーのハッシュを記憶し、無効キーリスト６１６Ａ〜Ｃを記憶するのに必要なメモリの量を低減することができる。加えて、セキュアデバイス１０４Ａは、例えば、ＮＦＣ又はＢｌｕｅｔｏｏｔｈ（登録商標）などを介して頻繁に電子デバイス１０２Ａと同期して、無効キーリスト６１６Ａ〜Ｃを小さく保つことができる。

図６Ａでは、電子デバイス１０２Ａの有効キーリスト６０４Ａ及び同期カウンタ値６０２Ａは、セキュアデバイス１０４Ａの有効キーリスト６１４Ａ及び同期カウンタ値６１２Ａと一致し、セキュアデバイス１０４Ａの無効キーリスト６１６Ａは空である。よって、図６Ａは、例えば、同期が生じた直後の状態を表すことができる。

図６Ｂでは、電子デバイス１０２Ａの同期カウンタ値６０２Ａは、セキュアデバイス１０４Ａの同期カウンタ値６１２Ａと一致する。しかしながら、電子デバイス１０２Ａの有効キーリスト６０４Ｂとセキュアデバイス１０４Ａの有効キーリスト６１４Ｂとに追加のデジタル資格情報が追加されている。また、複数のデジタル資格情報がセキュアデバイス１０４Ａから無効にされている。よって、図６Ｂは、例えば、セキュアデバイス１０４Ａ、電子デバイス１０２Ａ及び／又はサービスプロバイダサーバ１２０によって同期がトリガされるべき状態を表すことができる。

図６Ｃでは、電子デバイス１０２Ａの有効キーリスト６０４Ａ及び同期カウンタ値６０２Ａは、セキュアデバイス１０４Ａの有効キーリスト６１４Ａ及び同期カウンタ値６１２Ａと一致し、セキュアデバイス１０４Ａの無効キーリスト６１６Ａは空である。従って、図６Ｃは、同期が行われ、同期カウンタ値６０２Ｃ、６１２Ｃがインクリメントされた後の状態を表す。図６Ｃに示すように、アクセス者２及び３に対応するデジタルキー（図６Ｂの無効キーリスト６１６Ｂに示されるようにセキュアデバイス１０４Ａで無効にされている）は、電子デバイス１０２Ａの有効キーリスト６０４Ｃから除去され、その後、このリストは同期中にセキュアデバイス１０４Ａに提供され、有効キーリスト６１４Ｃとして使用される。

図７は、１つ以上の実装形態に係る、アクセス者の電子デバイスからセキュアデバイス用のアクセス者のデジタル資格情報を無効にする例示的なデータフロー７００を示す。しかしながら、描写された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。本明細書で示された特許請求の範囲の趣旨又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。追加の構成要素、異なる構成要素、又はより少ない構成要素が提供されてもよい。

データフロー７００は、サービスプロバイダサーバ１２０と、デジタルキーが無効にされる電子デバイス１０２Ａとを含む。データフロー７００では、サービスプロバイダサーバ１２０は、無効にされるデジタルキーを含む電子デバイス１０２Ａに、無効化済みデジタルキーコマンドを送信する。電子デバイス１０２Ａは、例えば、デジタルキーを無効にするようにマーキングし、それによりデジタルキーを使用できない状態にすることによって、セキュアエレメント２０８内のデジタルキーを凍結させる。電子デバイス１０２Ａのセキュアエレメント２０８上の対応するアプレット２１０Ａは、関連付けられたメールボックス（例えば、秘密及び公開）をクリアし、電子デバイス１０２Ａは、キーが凍結された／無効にされたことを証明する無効化証明を提供するようにセキュアエレメント２０８にリクエストする。１つ以上の実装態様では、無効化証明は、無効キー及び／又は無効キーに対応する秘密キーを使用して署名されてもよい。

電子デバイス１０２Ａは、無効化証明をサービスプロバイダサーバに送信する１２０。サービスプロバイダサーバ１２０は、例えば、無効キーを使用することによって、無効化証明署名の認証を検証し、サービスプロバイダサーバ１２０は、例えばキー追跡サーバ（ＫＴＳ）にキー無効化を記録する。サービスプロバイダサーバ１２０は、その後、デジタルキーを削除するコマンドを電子デバイス１０２Ａに送信する。電子デバイス１０２Ａは、コマンドを受信し、セキュアエレメント２０８からデジタルキーを除去し、サービスプロバイダサーバ１２０に削除確認を送信する。

図８は、１つ以上の実装形態に係る、セキュアデバイスからセキュアデバイス用のアクセス者のデジタル資格情報を無効にする例示的なデータフロー８００を示す。しかしながら、描写された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。本明細書で示された特許請求の範囲の趣旨又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。追加の構成要素、異なる構成要素、又はより少ない構成要素が提供されてもよい。

データフロー８００は、電子デバイス１０２Ａ及びＢと、セキュアデバイス１０４Ａと、キー追跡サーバ８２０Ａ及びビジネスバックエンドサーバ８２０Ｂを含む１つ以上のサービスプロバイダサーバ１２０と、を含む。データフロー８００では、アクセス者のデジタル資格情報は、セキュアデバイス１０４Ａから無効にされる。例えば、セキュアデバイス１０４Ａの所有者及び／又は主な許可ユーザは、セキュアデバイス１０４Ａのユーザインタフェースを介して、アクセス者のデジタルキーを無効にすることができ、セキュアデバイス１０４Ａからデジタルキーを除去する。１つ以上の実装形態では、デジタルキーが、直ちに削除されるのではなく複数のステップで徐々に操作性を下げていく安全フェードアウトポリシーを実装する場合、デジタルキーがセキュアデバイス１０４Ａから除去される前にフェードアウトポリシーが完了する。

セキュアデバイス１０４Ａは、デジタルキーが無効にされたことを、１つ以上のサービスプロバイダサーバ１２０に通知する。例えば、セキュアデバイス１０４Ａは、セルラデータ接続、専有リンク（例えば、テレマティクスリンク）を介して、及び／又は電子デバイス１０２Ａなどの電子デバイスに通信可能に結合し、電子デバイスのネットワーク接続を利用することによって、１つ以上のサービスプロバイダサーバ１２０に通知を行うことができる。ビジネスバックエンドサーバ８２０Ｂは、通知を受信し、セキュアデバイス１０４Ａ内で除去されたデジタルキーをマークするコマンドをキー追跡サーバ８２０Ａに送信する。ビジネスバックエンドサーバ８２０Ｂは、所有者の電子デバイス１０２Ａに通知し、電子デバイス１０２Ａはユーザインタフェースからデジタルキーを除去し、（例えば、図７で上述した方法で）アクセス者の電子デバイス１０２Ｂに無効化証明リクエストを送信する。

アクセス者の電子デバイス１０２Ｂは、デジタルキーを凍結し、かつ無効化し、（例えば、図７で上述した方法で）所有者の電子デバイス１０２Ａに無効化証明を送信する。所有者の電子デバイス１０２Ａは、無効化証明をビジネスバックエンドサーバ８２０Ｂに送信し、ビジネスバックエンドサーバ８２０Ｂは、アクセス者の電子デバイス１０２Ｂ内で削除されたデジタルキーをマークするコマンドをキー追跡サーバ８２０Ａに送信する。次いで、ビジネスバックエンドサーバ８２０Ｂは、電子デバイス１０２Ｂから削除されたデジタルキーが（キー追跡サーバ８２０Ａに）にマークされたことを、所有者の電子デバイス１０２Ａに通知する。次に、電子デバイス１０２Ａは、セキュアエレメントから凍結済みのデジタルキーを除去する除去コマンドを電子デバイス１０２Ｂに送信する。

図９は、１つ以上の実装形態に係る、セキュアデバイスに関連付けられたサービスプロバイダサーバからセキュアデバイス用のアクセス者のデジタル資格情報を無効にする例示的なデータフロー９００を示す。しかしながら、描写された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。本明細書で示された特許請求の範囲の趣旨又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。追加の構成要素、異なる構成要素、又はより少ない構成要素が提供されてもよい。

データフロー９００は、コンピューティングデバイス９０２と、電子デバイス１０２Ａ及びＢと、セキュアデバイス１０４Ａと、キー追跡サーバ８２０Ａ及びビジネスバックエンドサーバ８２０Ｂを含む１つ以上のサービスプロバイダサーバ１２０と、を含む。データフロー９００では、セキュアデバイス１０４Ａの所有者又は主な許可ユーザは、コンピューティングデバイス９０２を使用して、サービスプロバイダでのアカウントにログインし、例えばウェブブラウザを使用して特定のアクセス者のデジタルキーを除去する。ビジネスバックエンドサーバ８２０Ｂは、セルラ接続、専有リンク（例えば、テレマティクスリンク）などを介して、又はネットワーク接続デバイスを通じて通信可能に結合することによって、デジタルキーを除去するコマンドをセキュアデバイス１０４Ａに送信する。データフロー９００の残りのステップは、データフロー８００に関して上述したとおりである。

図１０は、１つ以上の実装形態に係る、セキュアデバイスに関連付けられた電子デバイスからセキュアデバイス用のアクセス者のデジタル資格情報を無効にする例示的なデータフロー１０００を示す。しかしながら、描写された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。本明細書で示された特許請求の範囲の趣旨又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。追加の構成要素、異なる構成要素、又はより少ない構成要素が提供されてもよい。

データフロー１０００は、電子デバイス１０２Ａ及びＢと、セキュアデバイス１０４Ａと、キー追跡サーバ８２０Ａ及びビジネスバックエンドサーバ８２０Ｂを含む１つ以上のサービスプロバイダサーバ１２０と、を含む。データフロー１０００では、セキュアデバイス１０４Ａの所有者又は主な許可ユーザは、電子デバイス１０２Ａを使用して、アクセス者の電子デバイス１０２Ｂ内のデジタルキーの除去をトリガする。電子デバイス１０２Ａは、キー削除リクエストをビジネスバックエンドサーバ８２０Ｂに通知し、データフロー１０００の残りのステップは、データフロー８００に関して上述したとおりである。

図１１は、１つ以上の実装形態に係る、フェードアウト期間を伴わずに、アクセス者の電子デバイスからセキュアデバイス用のアクセス者のデジタル資格情報を無効にする例示的なデータフロー１１００を示す。しかしながら、描写された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。本明細書で示された特許請求の範囲の趣旨又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。追加の構成要素、異なる構成要素、又はより少ない構成要素が提供されてもよい。

データフロー１１００は、電子デバイス１０２Ａ及びＢと、セキュアデバイス１０４Ａと、キー追跡サーバ８２０Ａ及びビジネスバックエンドサーバ８２０Ｂを含む１つ以上のサービスプロバイダサーバ１２０と、を含む。データフロー１１００では、セキュアデバイス１０４Ａのアクセス者のデジタル資格情報は、アクセス者の電子デバイス１０２Ｂから無効にされる。例えば、アクセス者は、電子デバイス１０２Ｂのユーザインタフェースを使用してデジタルキーを無効にすることができる。電子デバイス１０２Ｂは、デジタルキーを凍結して無効化し、セキュアデバイス１０４Ａの所有者（又は、主な許可ユーザ）の電子デバイス１０２Ａに無効化証明を送信する。

所有者の電子デバイス１０２Ａは、無効化証明をビジネスバックエンドサーバ８２０Ｂに送信し、ビジネスバックエンドサーバ８２０Ｂは、アクセス者の電子デバイス１０２Ｂ内で削除されたとしてデジタルキーをマークするコマンドをキー追跡サーバ８２０Ａに送信する。ビジネスバックエンドサーバ８２０Ｂはまた、セキュアデバイス１０４Ａからデジタルキーを除去するコマンドを送信し、セキュアデバイス１０４Ａから除去されたデジタルキーをマークするコマンドをキー追跡サーバに送信する。ビジネスバックエンドサーバ８２０Ｂは、デジタルキーがキー追跡サーバ８２０Ａ内の電子デバイス１０２Ｂから除去されたとマークされたことを、所有者の電子デバイス１０２Ａに通知する。電子デバイス１０２Ａは、電子デバイス１０２Ｂに、セキュアエレメントから凍結済みのデジタルキーを削除するように指示する削除コマンドを電子デバイス１０２Ｂに送信する。プロセスは取消可能ではないため、アクセス者の電子デバイス１０２Ｂは、デジタルキーを除去する前にアクセス者に警告することができる。

図１２は、１つ以上の実装形態に係る、アクセス者の電子デバイスからセキュアデバイス用のアクセス者のデジタル資格情報を無効にする例示的なデータフロー１２００を示す。しかしながら、描写された構成要素の全てが全ての実装形態において使用され得るわけではなく、１つ以上の実装形態は、図に示されたものに追加の又は異なる構成要素を含むことができる。本明細書で示された特許請求の範囲の趣旨又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。追加の構成要素、異なる構成要素、又はより少ない構成要素が提供されてもよい。

データフロー１２００は、電子デバイス１０２Ａ及びＢと、セキュアデバイス１０４Ａと、キー追跡サーバ８２０Ａ及びビジネスバックエンドサーバ８２０Ｂを含む１つ以上のサービスプロバイダサーバ１２０と、を含む。データフロー１２００では、セキュアデバイス１０４Ａのアクセス者のデジタル資格情報は、実装されたフェードアウトポリシーを用いて、アクセス者の電子デバイス１０２Ｂから除去されるようにリクエストされる。例えば、アクセス者は、電子デバイス１０２Ｂのユーザインタフェースを使用してデジタルキーを無効にすることができる。電子デバイス１０２Ｂは、セキュアデバイス１０４Ａの所有者の電子デバイス１０２Ａに無効化リクエストを送信し、電子デバイス１０２Ａは、無効化リクエストをビジネスバックエンドサーバ８２０Ｂに送信する。ビジネスバックエンドサーバ８２０Ｂは、フェードアウトが開始されたデジタルキーをマークするコマンドをキー追跡サーバ８２０Ａに送信する。ビジネスバックエンドサーバ８２０Ｂはまた、フェードアウトプロセスを開始するコマンドをセキュアデバイス１０４Ａに送信する。セキュアデバイス１０４Ａは、フェードアウトプロセスを完了し、次に、図８に関して上述したようにセキュアデバイス１０４Ａからキーを除去するプロセスを開始する。

図１３は、１つ以上の実装形態に係る、主題の技術の態様が実施され得る例示的な電子システム１３００を示す。電子システム１３００は、図１に示す電子デバイス１０２Ａ〜Ｃのうちの１つ以上、セキュアデバイス１０４Ａ及びＢのうちの１つ以上、及び／又はサービスプロバイダサーバ１２０のうちの１つ以上であり得る、及び／又はそれらの一部であり得る。電子システム１３００は、各種コンピュータ可読媒体及び、他の各種コンピュータ可読媒体用のインタフェースを含むことができる。電子システム１３００は、バス１３０８、１つ以上の処理ユニット１３１２、システムメモリ１３０４（及び／又はバッファ）、ＲＯＭ１３１０、永久記憶デバイス１３０２、入力デバイスインタフェース１３１４、出力デバイスインタフェース１３０６、及び１つ以上のネットワークインタフェース１３１６、又はそれらのサブセット及び変形を含む。

バス１３０８は、電子システム１３００の多数の内部デバイスを通信可能に接続する全てのシステム、周辺機器、及びチップセットバスを集合的に表す。１つ以上の実装形態では、バス１３０８は、１つ以上の処理ユニット１３１２を、ＲＯＭ１３１０、システムメモリ１３０４、及び永久記憶デバイス１３０２と通信可能に接続する。これらの様々なメモリユニットから、１つ以上の処理ユニット１３１２は、本願の開示のプロセスを実行するために、実行すべき命令及び処理すべきデータを取り出す。１つ以上の処理ユニット１３１２を、異なる実装形態においては、シングルプロセッサ又はマルチコアプロセッサとすることができる。

ＲＯＭ１３１０は、１つ以上の処理ユニット１３１２及び電子システム１３００の他のモジュールによって必要とされる静的データ及び命令を記憶する。一方、永久記憶デバイス１３０２は、読み出し及び書き込みメモリデバイスであってもよい。永久記憶デバイス１３０２は、たとえ電子システム１３００がオフであっても、命令及びデータを記憶する不揮発性メモリユニットであってもよい。１つ以上の実装形態では、永久記憶デバイス１３０２として、大容量記憶デバイス（磁気ディスク又は光ディスク、及びそれに対応するディスクドライブなど）を使用することができる。

１つ以上の実装形態では、永久記憶デバイス１３０２として、脱着可能記憶デバイス（フロッピーディスク、フラッシュドライブ、及びそれに対応するディスクドライブなど）を使用することができる。永久記憶デバイス１３０２と同様に、システムメモリ１３０４は、読み出し及び書き込みメモリデバイスであってもよい。しかしながら、永久記憶デバイス１３０２とは異なり、システムメモリ１３０４は、ランダムアクセスメモリなどの、揮発性の読み出し及び書き込みメモリであってもよい。システムメモリ１３０４は、実行時に１つ以上の処理ユニット１３１２が必要とし得る命令及びデータのいずれかを記憶してもよい。１つ以上の実装形態では、本願の開示のプロセスは、システムメモリ１３０４、永久記憶デバイス１３０２、及び／又はＲＯＭ１３１０に記憶される。これらの様々なメモリユニットから、１つ以上の処理ユニット１３１２は、１つ以上の実装形態のプロセスを実行するために、実行すべき命令及び処理すべきデータを取り出す。

バス１３０８は、入力デバイスインタフェース１３１４及び出力デバイスインタフェース１３０６にも接続する。入力デバイスインタフェース１３１４により、ユーザは、電子システム１３００に対して、情報を伝送し、コマンドを選択することができる。入力デバイスインタフェース１３１４と共に使用され得る入力デバイスは、例えば、英数字キーボード及びポインティングデバイス（「カーソル制御デバイス」とも称される）を含むことができる。出力デバイスインタフェース１３０６は、例えば、電子システム１３００によって生成された画像を表示することができる。出力デバイスインタフェース１３０６と共に使用され得る出力デバイスは、例えば、液晶ディスプレイ（ＬＣＤ）、発光ダイオード（ＬＥＤ）ディスプレイ、有機発光ダイオード（ＯＬＥＤ）ディスプレイ、フレキシブルディスプレイ、フラットパネルディスプレイ、ソリッドステートディスプレイ、プロジェクタ、又は情報を出力するための任意の他のデバイスなどのプリンタ及び表示デバイスを含むことができる。１つ以上の実装形態は、タッチスクリーンなどの、入力及び出力デバイスの両方として機能するデバイスを含むことができる。これらの実装形態では、ユーザに提供されるフィードバックは、視覚フィードバック、聴覚フィードバック、触知フィードバックなどの任意の形態の感覚フィードバックであることができ、ユーザからの入力は、音響入力、音声入力、又は触知入力を含む任意の形態で受け取ることができる。

最後に、図１３に示すように、バス１３０８はまた、１つ以上のネットワークインタフェース（単数又は複数）１３１６を通じて、電子システム１３００を、１つ以上のネットワーク、及び／又は図１に示す電子デバイス１０２Ａ〜Ｆなどの１つ以上のネットワークノードに結合する。このようにして、電子システム１３００は、コンピュータのネットワーク（ＬＡＮや広域ネットワーク（「ＷＡＮ」）など）、若しくはイントラネット、又はインターネットなどの複数のネットワーク中のネットワークとすることができる。電子システム１３００のいずれか又は全ての構成要素は、本願の開示と併せて使用することができる。

上述のように、本技術の態様は、ユーザが求める内容又はユーザが関心を持つ可能性のある任意の他の内容に関するユーザへの配信を改善するために、種々のソースから入手可能なデータを収集及び使用することを含み得る。本開示は、いくつかの例において、この収集されたデータは、特定の人物を一意に特定する個人情報データ、又は特定の人物に連絡する若しくはその所在を突き止めるために使用できる個人情報データを含み得ることを想到している。そのような個人情報データは、財務データ、人口統計データ、位置ベースのデータ、電話番号、電子メールアドレス、ツイッター（登録商標）ＩＤ、住所、ユーザの健康又はフィットネスレベル（例えば、バイタルサイン測定、服薬情報、運動情報）に関するデータ若しくは記録、誕生日、又は任意の他の識別情報若しくは個人情報を含むことができる。

本開示は、本技術におけるそのような個人情報データの使用がユーザの利益になる使用であり得る点を認識するものである。例えば、よりユーザの興味を引く対象のコンテンツを配信するために、個人情報データが使用されてもよい。従って、そのような個人情報データの使用は、配信されるコンテンツの計算された制御をユーザができるようにする。更には、ユーザに利益をもたらす、個人情報データに関する他の使用もまた、本開示によって想到される。例えば、健康データ及びフィットネスデータは、ユーザの全般的なウェルネスについての洞察を提供するために使用することができ、或いは、ウェルネスの目標を追求するための技術を使用している個人への、積極的なフィードバックとして使用することもできる。

本開示は、そのような個人情報データの収集、分析、開示、伝送、記憶、又は他の使用に関与するエンティティが、確固たるプライバシーポリシー及び／又はプライバシー慣行を遵守するものとなることを想到する。具体的には、そのようなエンティティは、個人情報データを秘密として厳重に保守するための、業界又は政府の要件を満たしているか又は上回るものとして一般に認識されている、プライバシーのポリシー及び慣行を実施し、一貫して使用するべきである。そのようなポリシーは、ユーザによって容易にアクセス可能とするべきであり、データの収集及び／又は使用が変化するにつれて更新されるべきである。ユーザからの個人情報は、そのエンティティの合法的かつ正当な使用のために収集されるべきであり、それらの合法的使用を除いては、共有又は販売されるべきではない。更には、そのような収集／共有は、ユーザに告知して同意を得た後に実施されるべきである。更には、そのようなエンティティは、そのような個人情報データへのアクセスを保護して安全化し、その個人情報データへのアクセスを有する他者が、それらのプライバシーポリシー及び手順を遵守することを保証するための、あらゆる必要な措置を講じることを考慮するべきである。更には、そのようなエンティティは、広く受け入れられているプライバシーのポリシー及び慣行に対する自身の遵守を証明するために、第三者による評価を自らが受けることができる。更には、ポリシー及び慣行は、収集及び／又はアクセスされる具体的な個人情報データのタイプに適合されるべきであり、また、管轄権固有の考慮事項を含めた、適用可能な法令及び規格に適合されるべきである。例えば、米国では、特定の健康データの収集又はアクセスは、医療保険の相互運用性と説明責任に関する法律（Health Insurance Portability and Accountability Act；ＨＩＰＡＡ）などの、連邦法及び／又は州法によって管理することができ、その一方で、他国における健康データは、他の規制及びポリシーの対象となり得るものであり、それに従って対処されるべきである。それゆえ、各国の異なる個人データのタイプに関して、異なるプライバシー慣行が保たれるべきである。

前述のことがらにも関わらず、本開示はまた、個人情報データの使用又は個人情報データへのアクセスを、ユーザが選択的に阻止する実施形態も想到する。すなわち、本開示は、そのような個人情報データへのアクセスを防止又は阻止するように、ハードウェア要素及び／又はソフトウェア要素を提供することができると想到する。例えば、広告配信サービスの場合において、本技術は、ユーザが、サービスの登録中又はその後のいつでも、個人情報データの収集への参加の「オプトイン」又は「オプトアウト」を選択できるように構成され得る。別の実施例では、ユーザは、ターゲットコンテンツ配信サービスにムード関連データを提供しないように選択することができる。更に別の実施例では、ユーザは、ムード関連データが維持される期間を制限するか、又は基準ムードプロファイルの展開を完全に禁止することを選択することができる。「オプトイン」及び「オプトアウト」の選択肢を提供することに加えて、本開示は、個人情報のアクセス又は使用に関する通知を提供することを想到する。例えば、ユーザの個人情報データにアクセスすることとなるアプリのダウンロード時にユーザに通知され、その後、個人情報データがアプリによってアクセスされる直前に再びユーザに注意してもよい。

更には、本開示の意図は、個人情報データを、非意図的若しくは非認可アクセス又は使用の危険性を最小限に抑える方法で、管理及び処理するべきであるという点である。データの収集を制限し、データがもはや必要とされなくなった時点で削除することによって、危険性を最小限に抑えることができる。更には、適用可能な場合、特定の健康関連アプリケーションにおいて、ユーザのプライバシーを保護するために、データの非特定化を使用することができる。非特定化は、適切な場合には、特定の識別子（例えば、生年月日など）を除去すること、記憶されたデータの量又は特異性を制御すること（例えば、位置データを住所レベルよりも都市レベルで収集すること）、データがどのように記憶されるかを制御すること（例えば、データをユーザ全体にわたって情報集約すること）及び／又は他の方法によって、容易にすることができる。

それゆえ、本開示は、１つ以上の様々な開示された実施形態を実施するための、個人情報データの使用を広範に網羅するものではあるが、本開示はまた、そのような個人情報データにアクセスすることを必要とせずに、それらの様々な実施形態を実施することもまた可能であることを想到している。すなわち、本技術の様々な実施形態は、そのような個人情報データの全て又は一部分が欠如することにより、実施不可能となるものではない。例えば、コンテンツは、ユーザに関連付けられたデバイスによりリクエストされたコンテンツ、コンテンツ配信サービスで使用可能な他の非個人情報、若しくは公的に使用可能な情報などの、非個人情報データ又は個人情報の最小限の量のみに基づいて嗜好を推測することにより、選択してユーザに配信することができる。

本開示の範囲内の実装形態は、１つ以上の命令を符号化する有形のコンピュータ可読記憶媒体（又は１つ以上のタイプの、複数の有形のコンピュータ可読記憶媒体）を使用して、部分的に又は完全に実現することができる。有形のコンピュータ可読記憶媒体はまた、事実上、非一時的なものであってもよい。

コンピュータ可読記憶媒体は、命令を実行することができる任意の処理電子機器及び／又は処理回路を含む、汎用又は専用コンピューティングデバイスによって読み取られ、書き込まれ、又は他の方法でアクセスされ得る任意の記憶媒体とすることができる。例えば、限定はしないが、コンピュータ可読媒体は、ＲＡＭ、ＤＲＡＭ、ＳＲＡＭ、Ｔ−ＲＡＭ、Ｚ−ＲＡＭ、及びＴＴＲＡＭなどの任意の揮発性半導体メモリを含むことができる。コンピュータ可読媒体はまた、ＲＯＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、ＮＶＲＡＭ、フラッシュ、ｎｖＳＲＡＭ、ＦｅＲＡＭ、ＦｅＴＲＡＭ、ＭＲＡＭ、ＰＲＡＭ、ＣＢＲＡＭ、ＳＯＮＯＳ、ＲＲＡＭ（登録商標）、ＮＲＡＭ、レーストラックメモリ、ＦＪＧ、及びミリピードメモリなどの任意の不揮発性半導体メモリを含むことができる。

更に、コンピュータ可読記憶媒体は、光ディスク記憶装置、磁気ディスク記憶装置、磁気テープ、他の磁気記憶デバイス、又は１つ以上の命令を記憶できる任意の他の媒体などの、任意の非半導体メモリを含むことができる。１つ以上の実装形態では、有形のコンピュータ可読記憶媒体はコンピューティングデバイスに直接的に結合することができ、他の実装形態では、有形のコンピュータ可読記憶媒体は、例えば、１つ以上の有線接続、１つ以上の無線接続、又はそれらの任意の組み合わせを介して、コンピューティングデバイスに間接的に結合することができる。

命令は直接実行可能とすることができ、又は実行可能命令を開発するために使用することができる。例えば、命令は、実行可能又は非実行可能なマシンコードとして、又は実行可能又は非実行可能なマシンコードを生成するようにコンパイルされ得る高級言語の命令として、実現することができる。更に、命令はまた、データとして実現され又はデータを含むこともできる。コンピュータ実行可能命令はまた、ルーチン、サブルーチン、プログラム、データ構造、オブジェクト、モジュール、アプリケーション、アプレット、関数などを含む任意のフォーマットで構造化することができる。当業者によって認識されるように、命令の数、構造、順序、及び構造を含むがこれに限定はされない詳細は、基本的なロジック、機能、処理、及び出力を変更することなく大幅に変えることができる。

上記の検討は、主として、ソフトウェアを実行するマイクロプロセッサ又はマルチコアプロセッサに言及しているが、１つ以上の実装形態は、ＡＳＩＣ又はＦＰＧＡ（単数又は複数）などの、１つ以上の集積回路によって実行される。１つ以上の実装形態では、そのような集積回路は、その回路自体に記憶されている命令を実行する。

当業者であれば、本明細書で説明される様々の例示的なブロック、モジュール、エレメント、構成要素、方法、及びアルゴリズムが、電子ハードウェア、コンピュータソフトウェア、又はそれら両方の組み合わせとして実装され得ることを理解するであろう。ハードウェアとソフトウェアのこの互換性を示すために、様々の例示的なブロック、モジュール、エレメント、構成要素、方法、及びアルゴリズムを、それらの機能性の点から一般的に上述してきた。そのような機能性がハードウェア又はソフトウェアとして実装されるかは、特定のアプリケーション及びシステム全体に課される設計上の制約に依存する。当業者であれば、特定のアプリケーション毎に様々な方法で説明した機能性を実装することができるであろう。様々な構成要素及びブロックは、主題の技術の範囲から全く逸脱することなく、異なるように（例えば、異なる順序で配置されるか、又は異なる方法で分割されて）配置されてもよい。

開示されたプロセスにおけるブロックのいかなる特定の順序又は階層も、例示的なアプローチの一例であることが理解されよう。設計選択に基づいて、プロセス内のブロックの特定の順序又は階層は並び替えられてもよいこと、又は例示されているブロックが全て実行されてもよいことが理解される。いずれのブロックも、同時に実行されてよい。１つ以上の実装形態では、マルチタスク及び並列処理が有利であり得る。そのうえ、上述した実施形態における様々なシステム構成要素の分離は、あらゆる実施形態においてそのような分離が要求されるものとして理解されるべきではなく、説明したプログラム構成要素及びシステムを概してまとめて単一のソフトウェア製品に一体化してもよいし、又は複数のソフトウェア製品にパッケージ化してもよいことは理解されるべきである。

本出願の本明細書及びいずれかの特許請求の範囲で使用される時、用語「基地局」、「受信機」、「コンピュータ」、「サーバ」、「プロセッサ」、及び「メモリ」は全て、電子的又は他の技術的デバイスを指す。これらの用語は、人又は人のグループを除外する。本明細書の目的上、「表示する（display）」又は「表示すること（displaying）」という用語は、電子デバイス上に表示することを意味する。

本明細書で使用する、一連の項目に先行する「少なくとも１つ」というフレーズは、項目のいずれかを分離する「及び」又は「又は」という用語と共に、リストの各要素（すなわち、各項目）ではなく、全体としてリストを修飾する。「少なくとも１つ」というフレーズは、リスト化された各項目の少なくとも１つの選択を必要とはせず、むしろ、そのフレーズは、項目のうちのいずれか１つの少なくとも１つ、及び／又は項目の任意の組み合わせのうちの少なくとも１つ、及び／又は項目のそれぞれのうちの少なくとも１つ、を含む意味を可能にする。例として、「Ａ、Ｂ、及びＣのうちの少なくとも１つ」又は「Ａ、Ｂ、又はＣのうちの少なくとも１つ」というフレーズは、それぞれが、Ａのみ、Ｂのみ、又はＣのみ、Ａ、Ｂ、及びＣの任意の組み合わせ、並びに／又は、Ａ、Ｂ、及びＣのそれぞれのうちの少なくとも１つを指す。

「〜ように構成された（configured to）」、「〜ように動作可能な（operable to）」、及び「〜ようにプログラムされた（programmed to）」という述語は、対象物の特有の有形又は無形の改変を意味するものではなく、むしろ交換可能に使用されることを意図している。１つ以上の実装形態では、動作若しくは構成要素を監視及び制御するように構成されたプロセッサとは、プロセッサが、動作を監視及び制御するようにプログラムされていること、又はプロセッサが、動作を監視及び制御するように動作可能であることも意味し得る。同様に、コードを実行するように構成されたプロセッサは、コードを実行するようにプログラムされた、又はコードを実行するように動作可能なプロセッサ、として解釈することができる。

１つの態様、その態様、別の態様、いくつかの態様、１つ以上の態様、１つの実装形態、その実装形態、別の実装形態、いくつかの実装形態、１つ以上の実装形態、１つの実施形態、その実施形態、別の実施形態、いくつかの実施形態、１つ以上の実施形態、１つの構成、その構成、別の構成、いくつかの構成、１つ以上の構成、主題の技術、開示、本開示、それらの他の変形、及び同様のフレーズは、便宜上のものであり、そのようなフレーズ（単数又は複数）に関する開示が主題の技術に不可欠であること、又はそのような開示が主題の技術の全ての構成に適用されること、の意味を含むものではない。そのようなフレーズ（単数又は複数）に関する開示は、全ての構成、又は１つ以上の構成に適用することができる。そのようなフレーズ（単数又は複数）に関する開示は、１つ以上の例を提供することができる。態様又はいくつかの態様などのフレーズは、１つ以上の態様を指すことができ、その逆も同様であり、これは他の前述のフレーズと同様に適用される。

単語「例示的（exemplary）」は、本明細書において、「例、事例、又は実例の役割を果たすこと」を意味するために使用される。「例示的」又は「例」として本明細書で説明されたいかなる実施形態も、必ずしも他の実施形態を超えて好ましい又は有利であると解釈されるべきではない。更に、「含む」、「有する」などの用語が明細書又は特許請求の範囲で使用される限りにおいて、そのような用語は、「備える」が特許請求の範囲において移行語として使用される時に解釈されるように、「備える」という用語と同様の方法で包括的であることを意図する。

当業者に知られているか又は後に知られるようになる、本開示を通じて説明される様々な態様のエレメントに対する全ての構造的及び機能的な均等物は、参照により明示的に本明細書に組み込まれ、かつ、特許請求の範囲に包含されるものと意図する。更に、本明細書で開示されたいかなるものも、そのような開示が特許請求の範囲に明白に列挙されているかどうかにかかわらず、公共に捧げられることを意図しない。いかなる特許請求の範囲のエレメントも、エレメントがフレーズ「手段（means for）」を使用して明示的に列挙するか、又は方法の請求項の場合には、エレメントがフレーズ「ステップ（step for）」を使用して列挙しない限り、米国特許法第１１２条第６パラグラフの規定に基づいて解釈されるべきではない。

前述の説明は、当業者が本明細書で説明した様々な態様を実施することを可能にするために提供される。これらの態様に対する様々な変更は、当業者には容易に明らかであり、本明細書で定義される一般的な原理は、他の態様にも適用することができる。それゆえ、請求項は、本明細書に示される態様に限定されること意図されておらず、文言による請求項に合致した全範囲を認められるべきであり、単数形によるエレメントへの言及は、特に断りのない限り、「唯一の（one and only one）」を意味することを意図されておらず、むしろ、「１つ以上の（one or more）」を意味することを意図されている。特記しない限り、「いくつかの（some）」という用語は、１つ以上のものを指す。男性系（例えば、彼）の代名詞は、女性及び中性の性別（例えば、彼女及びその）を含み、並びにその逆である。もしあれば、見出し及び小見出しは、便宜上のみに使用され、本願の開示を限定するものではない。

Claims (20)

1. セキュアデバイスであって、
   メモリと、
   少なくとも１つのプロセッサであって、
   有効デジタル資格情報リスト、無効化リスト、及び同期カウンタ値を維持し、
   前記有効デジタル資格情報リストを電子デバイスと同期させるリクエストであって、前記リクエストが、前記有効デジタル資格情報リスト及び前記無効化リストを含む、リクエストを送信し
   前記電子デバイスから、更新済み有効デジタル資格情報リストを受信し、
   前記更新済み有効デジタル資格情報リストの受信に応じて、前記無効化リストをクリアし、前記有効デジタル資格情報リストを前記更新済み有効デジタル資格情報リストと置き換え、前記同期カウンタ値をインクリメントし、
   受信済み資格情報維持リクエストが、前記インクリメント済み同期カウンタ値以上である他の同期カウンタ値を含む場合、前記受信済み資格情報維持リクエストを満たす、
   ように構成されている、プロセッサと、
   を備える、セキュアデバイス。
2. 前記有効デジタル資格情報リストが、前記セキュアデバイスにアクセスすることを許可された１つ以上のデジタル資格情報の１つ以上の識別子を含み、前記無効化リストが、前記セキュアデバイスへのアクセスが無効にされた１つ以上のデジタル資格情報の１つ以上の識別子を含む、請求項１に記載のセキュアデバイス。
3. 失効時刻が前記無効化リスト内の前記１つ以上のデジタル資格情報の前記１つ以上の識別子の少なくとも１つに関連付けられており、前記少なくとも１つのプロセッサが、
   現在時刻が前記失効時刻以上の時に、前記無効化リスト内の前記１つ以上のデジタル資格情報の前記１つ以上の識別子の前記少なくとも１つを除去するように更に構成されている、請求項２に記載のセキュアデバイス。
4. 前記少なくとも１つのプロセッサが、
   前記セキュアデバイスに対するアクセス権を伝送するための秘密キーを前記電子デバイスに与えることを容易にするように更に構成されている、請求項２に記載のセキュアデバイス。
5. 前記少なくとも１つのプロセッサが、単一のアトミックトランザクションで、前記無効化リストをクリアし、前記有効デジタル資格情報リストを前記更新済み有効デジタル資格情報リストと置き換え、前記同期カウンタ値をインクリメントするように更に構成されている、請求項１に記載のセキュアデバイス。
6. 前記少なくとも１つのプロセッサが、デジタル資格情報識別子に関連付けられた１つ以上のアクセス権のインジケーションと共に、前記デジタル資格情報識別子を前記有効デジタル資格情報リストに追加することによって、前記受信済み資格情報維持リクエストを満たすように構成されている、請求項１に記載のセキュアデバイス。
7. 前記少なくとも１つのプロセッサが、前記有効デジタル資格情報リストからデジタル資格情報識別子を除去し、前記無効化リストに前記デジタル資格情報に関連付けられた識別子を追加することによって、前記受信済み資格情報維持リクエストを満たすように構成されている、請求項１に記載のセキュアデバイス。
8. 前記少なくとも１つのプロセッサが、
   前記有効デジタル資格情報リストを同期する前記リクエストを送信する前に、第２の他の同期カウンタ値を有する他の資格情報維持リクエストを受信し、
   前記有効デジタル資格情報リストを同期する前記リクエストを送信する前に、前記第２の他の同期カウンタ値が前記インクリメント済み同期カウンタ値以上である場合、前記他の資格情報維持リクエストを満たす、
   ように更に構成されている、請求項１に記載のセキュアデバイス。
9. 前記少なくとも１つのプロセッサが、
   前記セキュアデバイスにアクセスするリクエストであって、前記リクエストがデジタル資格情報識別子を含む、リクエストを受信し、
   前記デジタル資格情報識別子が前記有効デジタル資格情報リストに記憶され、前記デジタル資格情報の識別子が前記無効化リストに記憶されていない場合、前記リクエストを承諾する、
   ように更に構成されている、請求項１に記載のセキュアデバイス。
10. 前記少なくとも１つのプロセッサが、ピアツーピア接続を介して、前記更新済み有効デジタル資格情報リストを直接前記電子デバイスから受信するように構成されている、請求項１に記載のセキュアデバイス。
11. 前記少なくとも１つのプロセッサが、サーバを介して前記更新済み有効デジタル資格情報リストを前記電子デバイスから受信するように構成されている、請求項１に記載のセキュアデバイス。
12. 前記セキュアデバイスが、車両である、又は車両に含まれる、請求項１に記載のセキュアデバイス。
13. セキュアデバイスから同期リクエストを受信することであって、前記同期リクエストが、セキュアデバイス有効資格情報リスト及びセキュアデバイス無効化リストを含む、ことと、
    前記セキュアデバイス無効化リストに少なくとも部分的に基づいて、１次有効資格情報リストを更新することと、
    同期カウンタ値をインクリメントすることと、
    前記更新済み１次有効資格情報リストを前記セキュアデバイスに提供することと、
    を含む、方法。
14. 前記セキュアデバイスにアクセスするために他のデバイスによって使用されるデジタル資格情報を無効にするリクエストを受信することと、
    前記デジタル資格情報に対応する無効化リクエストを前記セキュアデバイスに送信することであって、前記無効化リクエストが前記同期カウンタ値を含む、ことと、
    を更に含む、請求項１３に記載の方法。
15. 前記無効化リクエストが、サーバを介して前記セキュアデバイスに中継される、請求項１４に記載の方法。
16. 失効時刻が前記デジタル資格情報と関連付けられ、前記デジタル資格情報を無効にする前記リクエストが、前記失効時刻の前に受信される、請求項１４に記載の方法。
17. 対象デジタル資格情報を示す他の無効化リクエストを前記他のデバイスに送信することと、
    前記他の無効化リクエストに応じて、前記他のデバイスから、前記対象デジタル資格情報が前記他のデバイスから除去されたことを確認する無効化証明データ項目を受信することと、
    を更に含む、請求項１４に記載の方法。
18. 電子デバイスによって、前記セキュアデバイスに対する１つ以上のアクセス権をデジタル資格情報に割り当てるリクエストを受信することと、
    前記電子デバイスによって、前記同期カウンタ値及び前記１つ以上のアクセス権のインジケーションと共に前記デジタル資格情報を特定する証明データ項目を前記セキュアデバイスに提供することと、
    を更に含む、請求項１３に記載の方法。
19. 前記証明データ項目が、前記電子デバイスの秘密キーで署名されている、請求項１８に記載の方法。
20. システムであって、
    電子デバイスであって、
    １つ以上の資格情報識別子と、１次同期カウンタ値と、を含む１次有効資格情報リストを記憶するように構成されているメモリと、
    少なくとも１つのプロセッサであって、
    セキュアデバイスから無線で、前記１次有効資格情報リストをセキュアデバイス有効資格情報リストに同期させるリクエストであって、前記リクエストが、前記セキュアデバイス有効資格情報リスト及びセキュアデバイス無効化リストを含む、リクエストを受信し、
    前記セキュアデバイス無効化リストに特定される資格情報を除去することによって、かつ前記セキュアデバイス有効資格情報リストに含まれる資格情報識別子を追加することによって、前記１次有効資格情報リストを更新し、
    前記更新済み１次有効資格情報リストを前記セキュアデバイスに送信する、
    ように構成されている、プロセッサと、
    を含む、電子デバイスと、
    前記電子デバイスから物理的に接続解除された前記セキュアデバイスであって、
    前記セキュアデバイス有効資格情報リスト、前記セキュアデバイス無効化リスト、及びセキュアデバイス同期カウンタ値を記憶するように構成されているメモリと、
    少なくとも１つのプロセッサであって、
    前記更新済み１次有効資格情報リストを前記セキュアデバイスから受信し、
    前記更新済み１次有効資格情報リストの受信に応じて、単一のアトミックトランザクションで、前記セキュアデバイス有効資格情報リストを前記更新済み１次有効資格情報リストに置き換え、前記セキュアデバイス無効化リストをクリアし、前記セキュアデバイス同期カウンタ値をインクリメントし、
    受信済み資格情報維持リクエストが、前記セキュアデバイス同期カウンタ値以上の他の同期カウンタ値を含む場合、前記受信済み資格情報維持リクエストを満たす、
    ように構成されている、プロセッサと、
    を含む、前記セキュアデバイスと、
    を備える、システム。

Images