JP2022011693A - 決済装置及び鍵注入プログラム - Google Patents

Abstract

【課題】カード決済用の決済機器との機器認証が可能な決済装置を提供する。【解決手段】決済装置１は、カード決済用の決済装置である。中継基板１０は、上位装置２に接続される。決済機器は、中継基板１０に接続された、カード決済用のデバイスである。機器鍵生成部１００は、決済機器から取得された機器情報４０２、４０３に応じた機器暗号鍵４２２、４２３を生成する。機器鍵登録部１１０は、生成された機器暗号鍵４２２、４２３を決済機器に登録させる。機器認証部１２０は、決済機器に登録された機器暗号鍵４２２、４２３により機器の認証を行う。情報取得部１３０は、認証された決済機器から決済用情報を取得する。決済通知部１４０は、取得された決済用情報を、決済処理用の決済鍵４４０により暗号化して上位装置２に通知する。【選択図】図２

Description

本発明は、決済装置及び鍵注入プログラムに係り、特にカード決済用の決済装置及び鍵注入プログラムに関する。

従来から、様々な種類のカード状の記録媒体（以下、単に「カード」という。）を用いて決済処理を行う際に用いられる決済装置が存在する。
このような従来の決済装置の一例として、特許文献１を参照すると、受け付けたカードである受付済カードの処理を行う自動取引装置が記載されている。特許文献１の自動取引装置は、受付済カードに記憶されているカード情報を取得するカード情報取得部と、カード情報から受付済カードの種別を特定する特定部と、受け付けるべきカードの種別を示す種別情報を取得する種別情報取得部と、処理設定部で切り替えられた処理情報に基づいて、カード情報に対する処理を実行する処理部とを備えている。

ここで、従来の決済装置には、決済用の機器（payment device、以下、「決済機器」という。）として、実際にカードの読み取りを行うカードリーダと、暗証番号を入力するためのピンパッドとが、別々に、ホストＰＣ（Personal Computer）等の上位装置に接続されるようなものも存在する。

このような従来の決済装置では、上位装置と各決済機器との間で、共通鍵暗号を用いて機器認証を行っていた。そして、この機器認証が行われた状態で、各決済機器からは、当該共通鍵暗号を用いて暗号化されたカード番号及びピン（Personal Identification Number、PIN）情報等の決済用情報が、上位装置に送信されていた。
そして、これを受信した上位装置では、この共通鍵暗号で、一旦、決済用情報を復号化した上で、決済用の上位サーバ等に再度暗号化して送信していた。

特開２０１９－１０９７２３号公報

しかしながら、近年、セキュリティ上及び法令上の要請から、カード情報の保護が義務化されたのに伴い、上位装置と各決済機器間との間で、共通鍵暗号を用いた機器認証を行うことができなくなっていた。これは、上位装置に、平文のカード情報及びピンが存在すること、カード情報及びピンの暗号文を復号できる共通鍵が存在することが、問題視されたためであった。

本発明は、このような状況に鑑みてなされたものであり、決済機器間で機器認証を行うことが可能な決済装置を提供し、上述の問題を解消することを目的とする。

本発明の決済装置は、カード決済用の決済装置であって、上位装置に接続された中継基板と、前記中継基板に接続された、前記カード決済用の決済機器とを備え、前記中継基板は、前記決済機器から取得された機器情報に応じた機器暗号鍵を生成する機器鍵生成部と、前記機器鍵生成部により生成された前記機器暗号鍵を前記決済機器に登録させる機器鍵登録部と、前記機器鍵登録部により前記決済機器に登録された前記機器暗号鍵により前記決済機器の認証を行う機器認証部と、前記機器認証部により認証された前記決済機器から決済用情報を取得する情報取得部と、前記情報取得部により取得された前記決済用情報を、決済処理用の決済鍵により暗号化して前記上位装置に通知する決済通知部とを含むことを特徴とする。
このように構成することで、決済機器と中継基板との間で機器認証を行うことができる。

本発明の決済装置は、前記決済機器は、カードに関する情報を前記決済用情報として取得するカードリーダ、及び認証情報を前記決済用情報として取得する認証デバイスの少なくともいずれかを含むことを特徴とする。
このように構成することで、決済用情報が中継基板とカードリーダや認証デバイス間でだけ送受信され、セキュリティ性を高めることができる。

本発明の決済装置は、前記機器鍵生成部は、前記カードリーダ及び前記認証デバイスのそれぞれについて、異なる前記機器情報を用いて、異なる前記機器暗号鍵を生成して保持することを特徴とする。
このように構成することで、デバイスユニークな機器暗号鍵を提供することができる。

本発明の決済装置は、前記決済鍵を、ネットワーク経由の前記決済鍵の配布用に規定されたのと同様の暗号化方式で取得する決済鍵取得部を更に備えることを特徴とする。
このように構成することで、セキュリティエリアに指定されていない場所でも決済鍵の注入を行うことができる。

本発明の鍵注入プログラムは、カード決済用の決済装置と、該決済装置に接続された鍵注入装置とにより実行される鍵注入プログラムであって、前記鍵注入装置により、前記決済装置に接続された決済機器の機器情報を取得し、該機器情報に対応づけられた決済鍵を前記決済装置に、ネットワーク経由の前記決済鍵の配布用に規定されたのと同様の暗号化方式で送信し、前記決済装置により、前記暗号化方式で前記決済鍵を取得し、前記鍵注入装置により、送信された前記決済鍵と対応する前記機器情報とをログとして記録することを特徴とする。
このように構成することで、セキュリティエリアに指定されていない場所でも鍵注入を行うことができ、更に作業者の不注意等による暗号鍵の誤注入を防止できる。

本発明によれば、決済機器が接続された中継基板において、決済機器から取得された機器情報に応じた機器暗号鍵を生成し、生成された機器暗号鍵を決済機器に登録させ、この登録された機器暗号鍵により機器の認証を行うことで、決済機器間で機器認証を行うことが可能な決済装置を提供することができる。

本発明の実施の形態に係る決済システムのシステム構成図である。 図１に示す決済装置の機能構成図である。 図１に示す鍵注入装置の機能構成図である。 本発明の実施の形態に係る機器鍵登録処理のフローチャートである。 本発明の実施の形態に係る決済処理のフローチャートである。 本発明の実施の形態に係る決済鍵注入処理のフローチャートである。 図６に示す決済鍵注入処理の画面例である。

＜実施の形態＞
〔決済システムＸのシステム構成〕
図１を参照して、本発明の実施の形態に係る決済システムＸの構成について説明する。 決済システムＸは、決済装置１、上位装置２、サーバ３、及び鍵注入装置５を含んで構成される。
本実施形態において、決済装置１、上位装置２、及び鍵注入装置５の間は、ＵＳＢ（Universal Serial Bus）、ＲＳ－２３２Ｃ、イーサネット（登録商標）（Ethernet）等のＬＡＮ（Local Area Network）等で接続される。
さらに、本実施形態においては、決済システムＸの上位装置２は、クレジットカードの決済を行うためのサーバ３と、専用線やインターネット等のＷＡＮ（Wide Area Network）を介して接続される。

決済装置１は、上位装置２の制御対象であり、クレジットカードやその他の種類のカード４にて支払い（決済）を行うカード決済用の決済装置である。
本実施形態における決済装置１の構成については、後述する。

上位装置２は、例えば、決済用のＰＣ（Personal Computer）、ＰＯＳ（Point Of Sales）端末、ＡＴＭ（Automated Teller Machine）、病院等の決済端末、その他の精算（決済）のための端末、キオスク（Kiosk）の端末、交通機関のチケット発行システム、コンビニエンスストア等のポイントカード決済システム、小売店のメンバーカード発行システム、遊技機のカード発行支払システム、入退場管理システム等（以下、単に「ＡＴＭ等」と省略して記載する。）である。

サーバ３は、クレジットカードの支払いを行うためのサービスを提供するセキュア（安全）なサーバや汎用機等である。
なお、サーバ３は、他の銀行やカード会社のサーバ等と接続されていてもよい。また、サーバ３及び他のサーバから、決済における他の各種情報も取得可能である。

カード４は、厚さが０．７～０．８ｍｍ程度の矩形状の塩化ビニール製のカード等のカード状の磁気記録媒体、ＩＣカード、非接触型のＩＣカード等である。磁気記録媒体の場合、カード４の一面には、磁気信号が記憶される磁気ストライプが形成されている。ＩＣカードの場合、カード４は、例えば、接点、電磁誘導アンテナと、ＲＯＭ（Read Only Memory）及びＭＰＵ（Micro Processing Unit）等を含むＩＣチップとを含んでいてもよい。非接触型のＩＣカードの場合、近距離無線用のＲ／Ｗ（Read / Write）アンテナが内蔵される。カード４は、これらのいずれか又は全てを組み合わせた記録媒体であってもよい。さらに、カード４は、厚さが０．１８～０．３６ｍｍ程度のＰＥＴ（ポリエチレンテレフタレート）カードや、所定の厚さの紙カード等であってもよい。加えて、カード４として、ユーザが用いる携帯電話やスマートフォン等の携帯端末も、取引に用いることが可能である。
本実施形態においては、カード４が磁気ストライプとＩＣチップとを含む磁気ＩＣカードである例について説明する。

鍵注入装置５は、決済装置１の工場での製造出荷時やメンテナンス時等（以下、単に「工場出荷時等」という。）に決済装置１に接続される専用のＰＣやその他の端末等である。鍵注入装置５は、後述する決済鍵４４０を決済装置１の中継基板１０に格納させる（以下、決済鍵４４０の「注入」ともいう。）。このため、実際に決済装置１と上位装置２とが接続されて決済を行う際には、この鍵注入装置５は、接続されていなくてもよい。

これに加え、本実施形態においては、上位装置２は、図示しない精算用の業務サーバと接続されていてもよい。この業務サーバは、交通機関、病院、小売店、サービス提供店等の業務用のサーバである。

ここで、本実施形態における決済装置１の詳細な構成について説明する。
決済装置１は、上位装置２に接続された中継基板１０と、カード決済用の決済機器とから構成される。本実施形態においては、決済機器として、カードリーダ２０及びピンパッド３０を用いる例を示す。

中継基板１０は、上位装置２と、カードリーダ２０及びピンパッド３０と接続される基板である。中継基板１０は、ＥＭＶ（Europay, MasterCard, VISA protocol）の決済を行う専用のデバイス（device）を含む。中継基板１０は、カード４に関する決済用情報を取得して決済処理の制御を行う。また、中継基板１０は、セキュリティ上や法令上のカード情報保護に対応した処理を行って、後述する決済鍵４４０により決済用情報を暗号化して上位装置２に送信する。

カードリーダ２０は、カード４に関する情報を決済用情報として取得するデバイスの一例である。具体的には、カードリーダ２０は、例えば、磁気ＩＣカードであるカード４の情報を読み取り（リード）又は書き込み（ライト）する、手動式又はモータ搬送式のカードリーダ２０／ライタデバイスである。手動式の場合、ユーザが手動で装置内部にカード４を挿入し、又、装置内部からカード４を引き抜くことで、カード４に記録されたデータの再生を行う。モータ搬送式の場合、カードリーダ２０は、中継基板１０を介した指令（コマンド）によりカード４の搬送及び読み書きを実行する。
本実施形態においては、カードリーダ２０は、カード４のカード情報４３２（図２）を決済用情報として取得し、中継基板１０との間で送受信する。この際に、中継基板１０との間で機器認証を行う。

ピンパッド３０は、ピン（Personal Identification Number、ＰＩＮ）や暗証番号等の認証情報を決済用情報として取得する認証デバイスの一例である。すなわち、ピンパッド３０は、決済においてカード４の情報が読み取られる際に、認証情報を入力するためのテンキー等を含むデバイスである。または、ピンパッド３０に加え又は換えて、指紋、静脈パターン、虹彩パターン、顔認証用カメラ等の生体情報を入力する認証デバイス（以下、「生体認証デバイス」という。）を用いることも可能である。

（決済装置１の制御構成）
次に、図２により、決済装置１の制御構成について説明する。
中継基板１０は、制御部１１、及び記憶部１２を備える。
カードリーダ２０は、制御部２１、記憶部２２、及び読取部２３を備える。
ピンパッド３０は、制御部３１、記憶部３２、入力部３３、及び表示部３４を備える。

制御部１１、２１、３１は、それぞれ、中継基板１０、カードリーダ２０、ピンパッド３０の制御を行う制御演算手段である。制御部１１、２１、３１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＧＰＵ（Graphics Processing Unit）等を含む。制御部１１、２１、３１は、暗号の符号化及び復号化を高速に行うためのアクセレレーター回路等を備えていてもよい。

記憶部１２、２２、３２は、それぞれ、中継基板１０、カードリーダ２０、ピンパッド３０の各種設定値、制御プログラム、鍵情報、決済用情報、及び一時データ等を記憶する記録媒体である。制御プログラムは、各デバイスを制御し、カード４の読み取りや書き込みを行うためのファームウェア等である。この制御プログラムは、ＯＳ（Operating System）、各種アプリケーションソフトウェア（Application Software、以下、単に「アプリ」という。）、決済装置１と上位装置２とを中継するミドルウェア等も含む。

記憶部１２、２２、３２は、ＲＡＭのような揮発性の記録媒体、及びＲＯＭのような不揮発性の記録媒体を含む。
このうち、ＲＯＭとしては、例えば、フラッシュメモリ、ＥＥＰＲＯＭ、ＲｅＲＡＭ、ＦｅＲＡＭ等の記録媒体を含んでいる。

読取部２３は、カード４の記録情報を読み取る読み取り手段である。本実施形態においては、読取部２３は、磁気ヘッド及びＩＣ接点を含む。これに加え、読取部２３は、ＮＦＣ（Near-Field Communications、近距離無線）の受信回路やアンテナ等も備えられていてもよい。
読取部２３は、磁気ヘッドにて、カード４の磁気ストライプに書き込まれた記録情報を磁気信号として読み出して再生する。これに加えて、読取部２３は、カード４の磁気ストライプに、記録情報を書き込むことも可能であってもよい。読取部２３で読み取られたカード４の磁気ストライプ等の磁気信号は、アナログ信号として出力され、図示しない磁気情報処理回路によりデジタル信号の記録情報に変換されて出力される。ここで、読取部２３は、この記録情報を暗号化する暗号化回路やＭＰＵを内蔵した暗号化磁気ヘッドであってもよい。読取部２３は、ＩＣ接点及びＮＦＣの場合、カード４のＩＣチップを起動して通信し、カード４の記録情報を読み取り、書き込むことが可能である。

入力部３３は、例えば、囲いの付いたタッチパネルやテンキー等のボタンを含む操作入力手段である。

表示部３４は、取引の状態、入力された番号等の表示用のディスプレイである。表示部３４は、例えば、ＬＥＤ（Light Emitting Diode）、液晶ディスプレイ、有機ＥＬディスプレイ、蛍光表示管（Vacuum fluorescent display）等であってもよい。
入力部３３と表示部３４とは、タッチパネルディスプレイのように、一体的に形成されていてもよい。または、ピンパッド３０は、表示部３４はＬＥＤのみ備えるか、表示部３４自体を備えていなくてもよい。

これらの他に、決済装置１は、設定を行うための各種ボタンやディップスイッチ、上位装置２と接続するためのＵＳＢやＲＳ－２３２Ｃ等のインターフェイス等も含む。さらに、決済装置１は、感熱方式、ドットインパクト方式、インクジェット方式等の印刷デバイスを含んでいてもよい。この印刷デバイスは、インクリボンや液体インク等を用いてレシートや領収書等の記録紙に、決済についての情報を記録してもよい。

決済装置１において、各決済機器は、中継基板１０と一体的に構成されても、別途、ケーブル等で接続されてもよい。

（決済装置１の機能構成）
次に、図２により、決済装置１の機能的な構成について説明する。
中継基板１０の制御部１１は、機器鍵生成部１００、機器鍵登録部１１０、機器認証部１２０、情報取得部１３０、決済通知部１４０、及び決済鍵取得部１５０を含む。
記憶部１２は、機器情報４０１、固有鍵４１０、機器暗号鍵４２２、機器暗号鍵４２３、及び決済鍵４４０を格納する。
カードリーダ２０の制御部２１は、鍵決済制御部２００を含む。
記憶部２２は、機器情報４０２、固有鍵４１０、機器暗号鍵４２２、及びカード情報４３２を格納する。
ピンパッド３０の制御部３１は、鍵決済制御部３００を含む。
記憶部３２は、機器情報４０３、固有鍵４１０、機器暗号鍵４２３、及びピン情報４３３を格納する。

機器鍵生成部１００は、決済機器から取得された機器情報４０２、４０３に応じた機器暗号鍵４２２、４２３を生成する。本実施形態においては、機器鍵生成部１００は、カードリーダ２０及びピンパッド３０のそれぞれについて、異なる機器情報４０２、４０３を用いて、異なる機器暗号鍵４２２、４２３をそれぞれ生成する。機器鍵生成部１００は、生成された機器暗号鍵４２２、４２３を、記憶部１２に、カードリーダ２０及びピンパッド３０のそれぞれ対応付けて格納する。

機器鍵登録部１１０は、機器鍵生成部１００により生成された機器暗号鍵４２２、４２３を決済機器に登録させる。本実施形態においては、機器鍵登録部１１０は、機器暗号鍵４２２をカードリーダ２０の記憶部２２へ、機器暗号鍵４２３をピンパッド３０の記憶部３２へ、それぞれ格納させる。

機器認証部１２０は、機器鍵登録部１１０により決済機器に登録された機器暗号鍵４２２、４２３により決済機器の認証を行う。本実施形態においては、機器認証部１２０は、記憶部１２に格納された機器暗号鍵４２２と、カードリーダ２０から取得した機器暗号鍵４２２とを比較して認証する。または、機器認証部１２０は、記憶部１２に格納された機器暗号鍵４２３と、ピンパッド３０から取得した機器暗号鍵４２３とを比較して認証する。

情報取得部１３０は、機器認証部１２０により認証された決済機器から決済用情報を取得する。本実施形態においては、情報取得部１３０は、カードリーダ２０からカード情報４３２を、ピンパッド３０からピン情報４３３を、それぞれ取得する。

決済通知部１４０は、情報取得部１３０により取得された決済用情報を、決済処理用の決済鍵４４０により暗号化して上位装置に通知する。さらに、決済通知部１４０は、決済の結果である決済結果データを、上位装置２を介してサーバ３から取得し、ピンパッド３０の表示部３４に表示させることも可能である。このようにして、決済通知部１４０は、決済に関する処理を実行する。

決済鍵取得部１５０は、決済鍵４４０を、ネットワーク経由の決済鍵４４０の配布用に規定されたのと同様の暗号化方式で取得する。本実施形態においては、決済鍵取得部１５０は、固有鍵４１０に基づいてＴＲ３１方式で暗号化された決済鍵４４０を、鍵注入装置５から取得して、記憶部１２に格納する。

機器情報４０１、４０２、４０３は、それぞれ、中継基板１０、カードリーダ２０、及びピンパッド３０の機器固有の情報である。機器情報４０１、４０２、４０３は、例えば、機種名、デバイス種別、シリアルナンバー、仕向け地、その他の機器を特定するための情報を含んでいてもよい。

固有鍵４１０は、決済装置１で工場出荷時等や初期設定等において、鍵情報を交換や注入する際に使用される鍵情報である。固有鍵４１０は、例えば、機種、仕向け地等で異なる鍵情報が設定されていてもよい。本実施形態においては、固有鍵４１０は、生成された機器暗号鍵４２２、４２３の格納の際、又は、決済鍵４４０の注入の際に用いられる例を示す。

機器暗号鍵４２２、４２３は、決済機器毎に設定される、機器認証用の鍵情報である。本実施形態においては、機器暗号鍵４２２は、カードリーダ２０の機器情報４０２に基づいてハッシュ演算で生成されたユニークな共通暗号鍵の鍵情報である。また、機器暗号鍵４２３は、同様に、ピンパッド３０の機器情報４０３に基づいて生成されたユニークな共通暗号鍵の鍵情報である。

カード情報４３２は、本実施形態の決済用情報の一例である。カード情報４３２は、カード４の記録情報である。この記録情報は、例えば、カード番号の値等を含んでいてもよい。

ピン情報４３３は、本実施形態の決済用情報の一例である。ピン情報４３３は、例えば、ユーザにより入力された、カード４のピンや暗証番号等の値であってもよい。または、生体認証デバイスの場合、ピン情報４３３は、生体情報又はこれが加工された情報であってもよい。

決済鍵４４０は、カードの決済用情報を送信するためのセキュリティ性が高い暗号化鍵の鍵情報である。この決済鍵４４０は、例えば、ＤＵＫＰＴ（Delivered Unique Key Per Transaction）プロトコルにてカードの決済用情報を送信する際の規定に対応した暗号化鍵（ＤＵＫＰＴ暗号鍵）であってもよい。
本実施形態においては、決済鍵４４０は、工場出荷時等に、鍵注入装置５により注入される例について説明する。なお、決済鍵４４０は、図示しない決済鍵サーバ等から、ＴＲ３１方式の暗号化等により取得されてもよい。

ここで、中継基盤の制御部１１は、記憶部１２に格納されたファームウェア等を含む制御プログラムを実行することで、機器鍵生成部１００、機器鍵登録部１１０、機器認証部１２０、情報取得部１３０、決済通知部１４０、及び決済鍵取得部１５０として機能する。
カードリーダ２０の制御部２１は、記憶部２２に格納されたファームウェア等を含む制御プログラムを実行することで、鍵決済制御部２００として機能する。
ピンパッド３０の制御部３１は、記憶部３２に格納されたファームウェア等を含む制御プログラムを実行することで、鍵決済制御部３００として機能する。

（鍵注入装置５の制御構成）
次に、図３により、鍵注入装置５の制御構成について説明する。図３において、図２と同じ符号は、同様の機能構成を示すため、説明を省略する。

鍵注入装置５は、制御部５１及び記憶部５２を備える。

制御部５１は、鍵注入装置５の全体を制御する制御演算手段である。制御部５１は、例えば、ＣＰＵ、ＭＰＵ、ＤＳＰ、ＡＳＩＣ、ＧＰＵ等を含む。制御部５１は、暗号の符号化及び復号化を高速に行うためのアクセレレーター回路等を備えていてもよい。

記憶部５２は、各種設定値や制御プログラム、鍵データ、決済用情報、一時データ等を記憶する記録媒体である。制御プログラムは、ＯＳと、決済装置１用のデバイスドライバー、ミドルウェア、後述する鍵注入プログラム４６０等も含む。

記憶部５２は、ＲＡＭのような揮発性の記録媒体、及びＲＯＭのような不揮発性の記録媒体を含む。このうち、ＲＯＭとしては、例えば、フラッシュメモリ、ＥＥＰＲＯＭ、ＲｅＲＡＭ、ＦｅＲＡＭ等の記録媒体を含んでいる。

（鍵注入装置５の機能構成）
次に、鍵注入装置５の機能的な構成について説明する。
制御部５１は、決済鍵送信部５００及びログ記録部５１０を含む。
記憶部５２は、決済鍵４４０、固有鍵４１０、ログ情報４５０、及び鍵注入プログラム４６０を含む。

決済鍵送信部５００は、決済機器である中継基板１０の機器情報４０１を取得し、機器情報４０１に対応づけられた決済鍵４４０を、所定の暗号化方式で暗号化して、決済装置に送信する。この所定の暗号化方式は、セキュリティ上及び法令上適する、ネットワーク経由の決済鍵４４０の配布用に規定されたのと同様の暗号化方式を用いる。本実施形態においては、この暗号化方式として、ＴＲ３１方式を用いる例について説明する。

ログ記録部５１０は、送信された決済鍵４４０と対応する機器情報４０１とをログとしてログ情報４５０に記録する。このログは、決済鍵４４０の注入の際に参照される。

本実施形態においては、決済鍵４４０は、例えば、仕向け地毎の固有鍵４１０に基づいてＤＵＫＰＴの運営会社が設置した鍵提供サーバ（図示せず）から提供されたＤＵＫＰＴの鍵群である。この鍵群は、例えば、主にテキストファイルであるＣＳＶ（コンマ区切り、タブ区切り）ファイルのような形式で提供される初期ＰＩＮ暗号鍵（Initial PIN Encryption Key、ＩＰＥＫ）ファイルであってもよい。

ログ情報４５０は、ログ記録部５１０により記録されるログ（履歴）の情報である。本実施形態においては、ログ情報４５０は、例えば、上述の決済鍵４４０のＣＳＶファイルに対応して設定される。

鍵注入プログラム４６０は、ＯＳ上でインストールされた、鍵データを決済装置１に注入するためのアプリである。

ここで、鍵注入装置５の制御部５１は、記憶部５２に格納された鍵注入プログラム４６０を含む制御プログラムを実行することで、決済鍵送信部５００及びログ記録部５１０として機能する。

なお、記憶部１２、２２、３２、５２に格納されるデータは、処理の状態や手順等により可変であってもよい。
また、各機能部の一部又は全てについて、ＦＰＧＡ（Field-Programmable Gate Array）等のプログラマブルロジックを用いて、ハードウェア的に構成することも可能である。

以下で、まず、決済装置１の電源投入時や初期化後等の初回起動時に実行する機器鍵登録処理、実際に決済を行う際の決済処理の順に各処理の説明を行う。その後、工場出荷時等にのみ行われる決済鍵注入処理についても説明する。

〔機器鍵登録処理〕
まず、図４により、本発明の実施の形態に係る機器鍵登録処理の説明を行う。
本実施形態の処理では、決済機器であるカードリーダ２０及びピンパッド３０から取得された機器情報４０２、４０３に応じた機器暗号鍵４２２、４２３をそれぞれ生成する。そして、生成された機器暗号鍵４２２、４２３を、カードリーダ２０及びピンパッド３０のそれぞれに登録させ、確認する。
本実施形態の機器鍵登録処理は、主に制御部１１、２１、３１が、それぞれ、記憶部１２、２２、３２に記憶された制御プログラム（図示せず）を、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図４のフローチャートにより、機器鍵登録処理の詳細について、ステップ毎に説明する。

（ステップＳ１０１）
まず、中継基板１０の機器鍵生成部１００が、機器情報要求処理を行う。
決済装置１が上位装置２に接続されて初回起動された際等、初期設定を行う必要がある場合、上位装置２は、中継基板１０に対し共通暗号鍵の生成登録のコマンドを送信する。
これを受信した中継基板１０の機器鍵生成部１００は、カードリーダ２０及びピンパッド３０の接続を確認し、機器情報４０２、４０３を送信するよう指示するコマンドをぞれぞれのデバイスに送信する。

（ステップＳ２０１）
次に、カードリーダ２０の鍵決済制御部２００、又はピンパッド３０の鍵決済制御部３００が機器情報送信処理を行う。
カードリーダ２０の鍵決済制御部２００は、機器情報４０２を中継基板１０へ送信する。
ピンパッド３０の鍵決済制御部３００は、機器情報４０３を中継基板１０へ送信する。

（ステップＳ１０２）
次に、中継基板１０の機器鍵生成部１００が、機器鍵生成処理を行う。
機器鍵生成部１００は、機器情報４０２、４０３について、ハッシュ演算を行って、機器情報４０２、４０３に応じたユニークな共通暗号鍵である機器暗号鍵４２２、４２３を生成する。具体的には、機器鍵生成部１００は、機器情報４０２、４０３のビット列から、規則性のない固定長のビット列を生成するような、各種のハッシュ関数（Hash Function）で、機器情報４０２、４０３を算出可能である。機器鍵生成部１００は、算出された機器情報４０２、４０３を記憶部１２に格納する。

（ステップＳ１０３）
次に、機器鍵登録部１１０が、機器鍵登録処理を行う。
機器鍵登録部１１０は、生成され、記憶部１２に格納された機器暗号鍵４２２、４２３を、固有鍵４１０で暗号化して、カードリーダ２０とピンパッド３０にそれぞれ送信し、登録させる。
この際、機器鍵登録部１１０は、鍵登録の確認用の乱数も生成し、この乱数も固有鍵４１０で符号化して、カードリーダ２０とピンパッド３０にそれぞれ送信する。

（ステップＳ２０２）
次に、カードリーダ２０の鍵決済制御部２００、又はピンパッド３０の鍵決済制御部３００が機器鍵格納処理を行う。
カードリーダ２０の鍵決済制御部２００は、機器暗号鍵４２２を取得し、記憶部２２に格納することで登録する。この際に、鍵決済制御部２００は、乱数についても取得し、記憶部２２に、一時的に格納する。
ピンパッド３０の鍵決済制御部３００は、同様に、機器暗号鍵４２３を取得し、記憶部３２に格納することで登録する。この際に、鍵決済制御部３００は、同様に、乱数についても取得し、記憶部３２に、一時的に格納する。

（ステップＳ２０３）
次に、カードリーダ２０の鍵決済制御部２００、又はピンパッド３０の鍵決済制御部３００が、乱数符号化処理を行う。
カードリーダ２０の鍵決済制御部２００は、取得した乱数を機器暗号鍵４２２にて符号化し、中継基板１０へ送信する。
ピンパッド３０の鍵決済制御部３００は、同様に、取得した乱数を機器暗号鍵４２３にて符号化し、中継基板１０へ送信する。

（ステップＳ１０４）
次に、中継基板１０の機器鍵登録部１１０が、乱数確認処理を行う。
機器鍵登録部１１０は、カードリーダ２０及びピンパッド３０から送信された乱数を、それぞれ、機器暗号鍵４２２、４２３で復号化し、生成した乱数と同じになることを確認する。この確認により、機器暗号鍵４２２、４２３の登録と、接続されたのが不正な決済機器でないことを確認することが可能である。
以上により、本発明の実施の形態に係る機器鍵登録処理を終了する。

〔決済処理〕
次に図５により、本発明の実施の形態に係る決済処理の説明を行う。
本実施形態の決済処理では、決済装置１にて、決済機器であるカードリーダ２０及びピンパッド３０に登録された機器暗号鍵４２２、４２３により機器の認証を行う。そして、認証されたカードリーダ２０及びピンパッド３０から、カード情報４３２及びピン情報４３３を取得する。この上で、カード情報４３２及びピン情報４３３を決済鍵４４０により暗号化して上位装置２に通知し、決済処理を行わせる。
本実施形態の決済処理は、決済装置１においては、制御部１１、２１、３１が記憶部１２、２２、３２に記憶された制御プログラム（図示せず）を、各部と協働し、ハードウェア資源を用いて実行する。上位装置２及びサーバ３においても、制御部が記憶部に記憶された制御プログラムを、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図５のフローチャートにより、本実施形態の決済処理をステップ毎に説明する。

（ステップＳ１１１）
まず、機器認証部１２０が、機器認証処理を行う。
決済が開始された後、上位装置２は、機器認証のコマンドを送信する。
これを受信した中継基板１０の機器認証部１２０は、例えば、乱数を発生させ、カードリーダ２０及びピンパッド３０に対して、登録された機器暗号鍵４２２、４２３のそれぞれを用いて、この乱数をハッシュ関数等により暗号化して送信するよう指示する。
これに応答したカードリーダ２０及びピンパッド３０は、機器暗号鍵４２２、４２３のそれぞれで、乱数を暗号化して送信する。

機器認証部１２０は、記憶部１２に格納された機器暗号鍵４２２、４２３で、発生させた乱数をハッシュ関数等により暗号化して値を算出する。そして、機器認証部１２０は、これらの値と、カードリーダ２０及びピンパッド３０のそれぞれから取得した機器暗号鍵４２２、４２３により暗号化された値と比較する。すなわち、決済機器に登録した機器暗号鍵４２２、４２３と、実際に決済機器から取得た値のペアがそれぞれ同じであるかが比較される。機器認証部１２０は、それぞれの値のペアが同じであったら、認証成功とする。一方、いずれかのペアの値が同じでなかったら、正常な決済機器でないため、ＴＡＭＰＥＲ等の不正行為が発生したとして、認証失敗とする。
なお、この機器認証処理は、正しいカードリーダ２０及びピンパッド３０が接続されているか否かを確認するため起動時に一回実行すればよく、決済毎に毎回実行しなくてもよい。

（ステップＳ１１２）
次に、機器認証部１２０が、認証成功か否かを判定する。機器認証部１２０は、全ての決済機器において認証が成功した場合に、Ｙｅｓと判定する。本実施形態で、機器認証部１２０は、カードリーダ２０及びピンパッド３０の両方について認証成功であれば、Ｙｅｓと判定する。機器認証部１２０は、それ以外の場合には、Ｎｏと判定する。
Ｙｅｓの場合、機器認証部１２０は、認証成功し正常な決済機器が接続されている旨の情報を上位装置２に送信し、その後、下記のステップＳ２１１の決済開始処理となる。この処理後、下記で説明するように、機器認証部１２０は、処理をステップＳ１１３に進める。
Ｎｏの場合、機器認証部１２０は、上位装置２にエラーを送信し、決済処理を終了する。その後、所定のメンテナンスを行うまで、決済装置１を用いた決済はできないようにしてもよい。

（ステップＳ２１１）
認証成功した場合、上位装置２が、決済開始処理を行う。
上位装置２は、クレジットカードを挿入してピン情報４３３を入力させる指示を、ピンパッド３０の表示部３４に表示させる。
この上で、上位装置２は、決済装置１へ、クレジットカードのカード情報４３２及びピン情報４３３を取得するコマンドを送信する。これにより、上位装置２は、クレジットカードの読み取りやピンの入力を待機する。

（ステップＳ１１３）
ここで、決済装置１の情報取得部１３０が情報取得処理を行う。
上位装置２からのコマンドを受信した情報取得部１３０は、認証された決済機器から決済用情報を取得する。
具体的には、カードリーダ２０は、クレジットカードの読み取り待ち状態に設定される。情報取得部１３０は、カード４が挿入されると読取部２３により読み取られたカード情報４３２を、決済用情報として取得する。
また、ピンパッド３０は、ピン情報４３３の入力待ちとなる。情報取得部１３０は、入力部３３で入力されたピン情報４３３を、決済用情報として取得する。

（ステップＳ１１４）
次に、決済装置１の決済通知部１４０が、決済通知処理を行う。
決済通知部１４０は、決済用情報を、決済鍵４４０により暗号化して上位装置２に通知する。
具体的には、決済通知部１４０は、カードリーダ２０から取得されたカード情報４３２、及び、ピンパッド３０から取得されたピン情報４３３を、決済鍵４４０群の一つを使って暗号化し、上位装置２へ暗号化データとして送信する。すなわち、決済装置１は、一時的に保持した決済用情報を、例えば、ＤＵＫＰＴ暗号化して通信する。
この暗号化データを受信した上位装置２では、これをそのままサーバ３に転送する。

（ステップＳ３１１）
次に、サーバ３が、決済実行処理を行う。
サーバ３は、上位装置２を介して、決済装置１で取得され、暗号化された決済用情報（暗号化データ）を取得して、決済を行う。この際、セキュリティ上及び法令上の要求から、上位装置２では、平文のカード情報、又は、上位装置２で復号可能な鍵を保持している暗号文のカード情報は、保持、通過させることはできない。逆にいうと、上述のように、ＤＵＫＰＴ暗号化されたカード情報は、上位装置２では復号化できないために通過させてもよく、セキュリティ上及び法令上の要求に適用して、決済することが可能となる。
サーバ３は、この決済の結果を、決済結果データとして、上位装置２へ返信する。

（ステップＳ２１２）
次に、上位装置２が、結果通知処理を行う。
上位装置２及び決済装置１は、決済結果データを取得すると、決済結果をピンパッド３０の表示部３４に表示させ、プリンター等にて、レシートや領収書等を印刷させる。これにより、カード決済が完了する。
以上により、本発明の実施の形態に係る決済処理を終了する。

〔決済鍵注入処理〕
次に、図６及び図７により、本発明の実施の形態に係る鍵注入処理の説明を行う。
本実施形態の鍵注入処理は、上述したように、工場出荷時等に、鍵注入装置により、決済機器の機器情報４０２、４０３のいずれかを取得し、該機器情報４０２、４０３のいずれかに対応づけられた決済鍵４４０を決済装置に、ＴＲ３１方式で暗号化して送信する。これを決済装置により、ＴＲ３１方式で決済鍵４４０を取得して登録する。そして、鍵注入装置により、送信された決済鍵４４０と対応する機器情報４０２、４０３とをログ情報４５０に記録する。
本実施形態の機器鍵登録処理は、主に決済装置１の制御部１１、及び鍵注入装置５の制御部５１が、記憶部１２及び記憶部５２に記憶された制御プログラム（図示せず）を、それぞれ、各部と協働し、ハードウェア資源を用いて実行する。
以下で、図６のフローチャートにより、本実施形態の決済鍵注入処理をステップ毎に説明する。

（ステップＳ５２１）
まず、鍵注入装置５の決済鍵送信部５００が、機器情報要求処理を行う。
図７の画面例６００により説明すると、決済装置１の工場出荷時等に、製造スタッフやメンテナンス要員等の作業者が、鍵送信プログラムを起動する。本実施形態においては、この鍵注入プログラム４６０は、特別なセキュリティルーム等で起動されなくてもよい。
ここで、作業者が図７のボタンＢ１を押下すると、記憶部５２に格納された決済鍵４４０のＩＰＥＫファイル等を選択可能となる。
そして、作業者が図７のボタンＢ２を押下すると、決済鍵送信部５００が、接続された決済装置１へ、機器情報４０１を送信するよう指示するコマンドを送信する。

（ステップＳ１２１）
次に、決済装置１の中継基板１０の決済鍵取得部１５０が、機器情報送信処理を行う。
中継基板１０は、鍵注入装置５からのコマンドを受信すると、機器情報４０１を送信する。

（ステップＳ５２２）
次に、鍵注入装置５の決済鍵送信部５００が、決済鍵送信処理を行う。
決済鍵送信部５００は、決済装置１の機器情報４０１を取得する。これにより、本実施形態においては、決済鍵送信部５００は、機器情報４０１に対応づけられた固有鍵４１０に基づいた決済鍵４４０を、ＩＰＥＫファイルの鍵群から選択する。
この際、決済鍵送信部５００は、ログ情報４５０を照会して、この機器情報４０１に対応した決済鍵４４０が既に送信されているか否かを判断する。具体的には、決済鍵送信部５００は、当該機器情報４０１がログ情報４５０の記録にない場合は、未使用の鍵を選択する。決済鍵送信部５００は、ログ情報４５０の記録にあり、既に送信されている鍵があった場合には、その鍵をもう一度、選択する。

送信される決済鍵４４０が選択されると、図７のボタンＢ３が選択可能な状態となる。この上で、作業者が図７のボタンＢ１を押下すると、決済鍵４４０が送信される。
具体的には、決済鍵送信部５００は、ＤＵＫＰＴで遠隔鍵ローディング（Remote Key Loading）としてネットワーク経由の決済鍵４４０の配布用に規定されたのと同様の暗号化方式で暗号化する。本実施形態においては、決済鍵送信部５００は、例えば、決済装置１の記憶部１２等に格納されたのと同じ固有鍵４１０を用いてＴＲ３１の暗号化を行う。この上で、決済鍵送信部５００は、暗号化した決済鍵４４０を、決済装置に送信する。

（ステップＳ１２２）
次に、中継基板１０の決済鍵取得部１５０が、決済鍵４４０取得処理を行う。
本実施形態においては、決済鍵取得部１５０は、ＴＲ３１方式で暗号化された決済鍵４４０を取得する。そして、決済鍵取得部１５０は、これを固有鍵４１０で復号化し、記憶部１２に格納する。その後、決済鍵取得部１５０は、格納完了した旨を、鍵注入装置５に返信する。
なお、この固有鍵４１０は、例えば、仕向け地毎に異なるため、異なる仕向け地の決済装置１の決済鍵４４０が間違って取得されても、復号化できずにエラーとなる。これにより、決済装置１への誤注入を防ぐことができる。

（ステップＳ５２３）
次に、鍵注入装置５のログ記録部５１０が、ログ記録処理を行う。
ログ記録部５１０は、決済装置１から決済鍵４４０を格納完了した旨の返信を取得すると、鍵注入装置５により送信された決済鍵４４０と対応する機器情報４０１とをログとしてログ情報４５０に記録する。
本実施形態においては、決済鍵送信部５００は、ログ情報４５０として、ＩＰＥＫファイルの送信した鍵に対応した行又は列の欄に「使用済み」「使用した機器情報４０１」の値を設定する。この際、決済鍵４４０を注入した作業者のＩＤや注入時間や注入場所等も記録されてもよい。
以上により、本発明の実施の形態に係る決済鍵注入処理を終了する。

〔本実施形態の主な効果〕
以上のように構成することで、以下のような効果を得ることができる。
従来、特許文献１に記載されたような技術では、上位装置とカードリーダ間で共通鍵暗号を用いて機器認証を行っていた。この上で、上位装置側で、共通鍵暗号で暗号化されたカード情報や入力したピン情報を取得して、決済を行っていた。
しかしながら、割賦販売法の改正により、磁気ＩＣカードとの決済を行う場合、カード情報の保護が義務化された。これにより、上位装置側でカード情報や入力されたピン情報を暗号化せずに保持、通過させることは許されなくなった。すなわち、上位装置では、カード情報やピン情報を復号化するための鍵を保持することができなくなった。
このため、従来の技術では、上位装置にて、上位装置とカードリーダとの間の機器認証をすることができなくなってしまっていた。

これに対して、本発明の決済装置１は、カード決済用の決済装置であって、上位装置に接続された中継基板１０と、中継基板１０に接続された、カード決済用の決済機器とを備え、中継基板１０は、決済機器から取得された機器情報４０２、４０３のいずれかに応じた機器暗号鍵４２２、４２３を生成する機器鍵生成部１００と、機器鍵生成部１００により生成された機器暗号鍵４２２、４２３を決済機器に登録させる機器鍵登録部１１０と、機器鍵登録部１１０により決済機器に登録された機器暗号鍵４２２、４２３により決済機器の認証を行う機器認証部１２０と、機器認証部１２０により認証された決済機器から決済用情報を取得する情報取得部１３０と、情報取得部１３０により取得された決済用情報を、決済処理用の決済鍵４４０により暗号化して上位装置に通知する決済通知部１４０とを含むことを特徴とする。

このように構成することで、機器暗号鍵４２２、４２３として、カードリーダ２０やピンパッド３０から取得したシリアル番号等の機器情報４０２、４０３から、ハッシュ演算で生成したデバイスユニークな機器暗号鍵４２２、４２３を用いて、各決済機器と中継基板１０との間で機器認証を行うことが可能となる。これにより、割賦販売法の改正等、セキュリティ上及び法令上の要請に対応した決済装置１を提供することが可能となる。

さらに、上述したように、各カードリーダ２０及びピンパッド３０と上位装置２との間で機器認証を行う必要がなくなり、上位装置側は、中継基板１０に対して、機器暗号鍵４２２、４２３の生成と登録を行い、又は、機器認証を行うコマンドを送信するだけでよくなる。このため、上位装置２のアプリを開発したり実行したりする際に、暗号仕様の理解、暗号化のアルゴリズムの実装、鍵の管理等をしなくてもよくなり、開発やメンテナンスのコストも削減できる。

本発明の決済装置１は、決済機器は、カードに関する情報を決済用情報として取得するカードリーダ２０、及び認証情報を決済用情報として取得するピンパッド３０等のいずれかを含む認証デバイスであることを特徴とする。
このように構成することで、決済用情報であるカード情報４３２やピン情報４３３は、中継基板１０、カードリーダ２０、及びピンパッド３０等の間だけで送受信されるようになる。この上で、カード情報４３２保護対象となる決済情報は、全て決済鍵４４０で暗号化されて上位装置側へ通知される。よって、セキュリティ性を高めることができ、法令上の要請も満たすことができる。

さらに加えて、また、悪意のある者が、カードリーダ２０やピンパッド３０を交換し、共通暗号鍵を登録していない状態で決済処理を行うと、機器暗号鍵４２２、４２３が登録されていない旨のエラーを通知可能となる。このため、悪意あるスキミング等のデバイスを検出可能となる。

本発明の決済装置１は、機器鍵生成部１００は、カードリーダ２０及びピンパッド３０のそれぞれについて、異なる機器情報４０２、４０３を用いて、異なる機器暗号鍵４２２、４２３を生成して保持することを特徴とする。
このように構成することで、各決済機器に対応したデバイスユニークな機器暗号鍵４２２、４２３を提供することが可能となる。これにより、個別に決済機器について認証可能となる。さらに、中継基板１０に複数の決済機器が取り付けられたり、取り外されたりして構成を変化させた場合でも対応可能となり、ユーザや管理者の利便性を高められる。また、スキミング等された際であっても、どの決済機器に問題が生じたのか判断可能となるため、セキュリティ性を高めることができる。

従来から、ＩＣカードによるＥＭＶのクレジットカードによる決済を行うカードリーダ２０では、ＤＵＫＰＴの暗号化方式を使用している。このＤＵＫＰＴの暗号化方式で端末を初期化するためには、端末ごとに異なるＤＵＫＰＴ暗号鍵を注入する必要がある。しかしながら、運営会社が生成したＤＵＫＰＴ暗号鍵（決済鍵４４０）は、何らかの手段で運搬し、鍵が漏洩しないよう厳密に設定された工場内のセキュリティエリア等で注入しなければならないという手間がかかっていた。

これに対して、本発明の決済装置１は、決済鍵４４０を、ネットワーク経由の決済鍵４４０の配布用に規定されたのと同様の暗号化方式で取得する決済鍵取得部１５０を更に備えることを特徴とする。
このように構成することで、ネットワークを通じたＤＵＫＰＴ暗号鍵の配布に用いられるＴＲ３１の暗号化方式等で、決済装置１に決済鍵４４０を注入可能となる。よって、セキュリティエリアに指定されていない場所でも鍵注入を行うことができる。このため、決済装置１の製造コストや労力を削減可能となる。

本発明の鍵注入プログラム４６０は、カード決済用の決済装置１と、当該決済装置に接続された鍵注入装置５とにより実行される鍵注入プログラムであって、鍵注入装置５により、決済装置１に接続された中継基板１０等の機器情報４０１を取得し、ネットワーク経由の決済鍵４４０の配布用に規定されたのと同様の暗号化方式で、機器情報４０１に対応づけられた決済鍵４４０を決済装置１に送信し、決済装置１により、暗号化方式で決済鍵４４０を取得し、鍵注入装置５により、送信された決済鍵４４０と対応する機器情報４０１とをログとして記録することを特徴とする。
このように構成することで、セキュリティエリアに指定されていない場所でも鍵注入を行うことができる。さらに、鍵注入の履歴（ログ）を管理することが可能となり、作業者の不注意等による暗号鍵の誤注入を防止できる。

〔他の実施の形態〕
なお、上述の実施形態においては、デバイスユニークな機器暗号鍵４２２、４２３の生成のためにハッシュ演算を利用する例について説明した。
しかしながら、機器暗号鍵４２２、４２３は、機器情報４０２、４０３から任意に生成した鍵で暗号化して生成してもよい。この際に用いられる暗号化方式についても、ＴｒｉｐｌｅＤＥＳ、ＡＥＳ、ＴＲ－３１等、任意の共通鍵暗号の暗号化方式を用いることが可能である。
このように構成することで、さらに安全な共通鍵暗号の機器暗号鍵４２２、４２３を用意することが可能となる。

上述の実施形態においては、機器暗号鍵４２２、４２３として共通鍵暗号（対称鍵）を用いる例について説明した。
しかしながら、決済機器と中継基板１０との認証に非対称アルゴリズムの鍵を用いることも可能である。すなわち、ＲＳＡ等の非対象鍵暗号で、事前に中継基板１０で鍵ペア等を生成し、公開鍵をカードリーダ２０やピンパッド３０に送信して登録させることも可能である。
このように構成することで、例えば、デバイスユニークな鍵を、中継基板１０及び決済機器の両方が保持する必要がなくなる。このため、さらにセキュリティ性を高めることができる。

上述の実施形態においては、鍵注入装置５において、決済鍵４４０を暗号化して注入する例について記載した。
しかしながら、既にＴＲ３１方式で暗号化されたＤＵＫＰＴ暗号鍵のファイルを読み込み、選択された決済鍵４４０を送信するような構成も可能である。すなわち、先に暗号化された決済鍵４４０を、そのまま決済装置１に注入してもよい。
また、上述の実施形態では、ログ情報４５０を、ＩＰＥＫファイルの欄に設定する例について記載した。
しかしながら、ログ情報４５０は、別ファイルでもよい。
さらに、上述の実施形態においては、決済鍵４４０としてＤＵＫＰＴの暗号鍵を用いる例について記載したものの、これ以外の暗号化方式の鍵情報であってもよい。
このように構成することで、柔軟な機器構成に対応可能となる。

上述の実施形態においては、仕向け地毎に異なる決済鍵４４０の鍵群を用いる例について説明した。
しかしながら、ＩＰＥＫファイルに、キーチェックバリュー（ＫＣＶ）を設定したり、リビジョンの違いやファームウェアの違いによるチェック項目を設定したりすることも可能である。この場合、中継基板１０の機器情報４０１を取得せずに、ユーザの選択により決済鍵４４０を注入してもよい。
さらに、中継基板１０上のシリアル番号や二次元バーコード等に決済鍵４４０やファームウェアの設定用の情報を印刷、貼り付け等しておき、これを鍵注入装置５で読み取って、決済鍵４４０を注入することも可能である。
このように構成することで、柔軟な構成に対応可能となる。

上述の実施形態においては、表示部３４が含まれる構成のピンパッド３０について説明した。
しかしながら、テンキー等の入力部３３は備えているものの表示部３４が備えられていないピンパッドを用いることも可能である。この場合は、表示部３４に対する上述の表示は、上位装置２の表示画面として表示されてもよい。たとえば、テンキーを押下すると、上位装置２へ、この押下したキーの情報が通知され、上位装置２の表示画面に「＊」等が表示され、入力桁数が確認可能となる。

上述の実施形態においては、鍵注入装置５において、カードリーダ２０を含む決済装置１に決済鍵４４０を注入する例について説明した。
しかしながら、決済鍵４４０以外の設定を同様に行うことも可能である。たとえば、装置の性能秘匿を目的とした別の設定情報の注入として、ファームウェアの設定、通信パラメータの設定等も可能である。

なお、上記実施の形態の構成及び動作は例であって、本発明の趣旨を逸脱しない範囲で適宜変更して実行することができることは言うまでもない。

１ 決済装置
２ 上位装置
３ サーバ
４ カード
５ 鍵注入装置
１０ 中継基板
１１、２１、３１、５１ 制御部
１２、２２、３２、５２ 記憶部
２０ カードリーダ
２３ 読取部
３０ ピンパッド
３３ 入力部
３４ 表示部
１００ 機器鍵生成部
１１０ 機器鍵登録部
１２０ 機器認証部
１３０ 情報取得部
１４０ 決済通知部
１５０ 決済鍵取得部
２００、３００ 鍵決済制御部
４０１、４０２、４０３ 機器情報
４１０ 固有鍵
４２２、４２３ 機器暗号鍵
４３２ カード情報
４３３ ピン情報
４４０ 決済鍵
４５０ ログ情報
４６０ 鍵注入プログラム
５００ 決済鍵送信部
５１０ ログ記録部
６００ 画面例
Ｂ１、Ｂ２、Ｂ３ ボタン
Ｘ 決済システム

Claims (5)

1. カード決済用の決済装置であって、
   上位装置に接続された中継基板と、
   前記中継基板に接続された、前記カード決済用の決済機器とを備え、
   前記中継基板は、
   前記決済機器から取得された機器情報に応じた機器暗号鍵を生成する機器鍵生成部と、
   前記機器鍵生成部により生成された前記機器暗号鍵を前記決済機器に登録させる機器鍵登録部と、
   前記機器鍵登録部により前記決済機器に登録された前記機器暗号鍵により前記決済機器の認証を行う機器認証部と、
   前記機器認証部により認証された前記決済機器から決済用情報を取得する情報取得部と、
   前記情報取得部により取得された前記決済用情報を、決済処理用の決済鍵により暗号化して前記上位装置に通知する決済通知部とを含む
   ことを特徴とする決済装置。
2. 前記決済機器は、
   カードに関する情報を前記決済用情報として取得するカードリーダ、及び認証情報を前記決済用情報として取得する認証デバイスの少なくともいずれかを含む
   ことを特徴とする請求項１に記載の決済装置。
3. 前記機器鍵生成部は、
   前記カードリーダ及び前記認証デバイスのそれぞれについて、異なる前記機器情報を用いて、異なる前記機器暗号鍵を生成して保持する
   ことを特徴とする請求項２に記載の決済装置。
4. 前記決済鍵を、ネットワーク経由の前記決済鍵の配布用に規定されたのと同様の暗号化方式で取得する決済鍵取得部を更に備える
   ことを特徴とする請求項１乃至３のいずれか１項に記載の決済装置。
5. カード決済用の決済装置と、該決済装置に接続された鍵注入装置とにより実行される鍵注入プログラムであって、
   前記鍵注入装置により、前記決済装置に接続された決済機器の機器情報を取得し、該機器情報に対応づけられた決済鍵を前記決済装置に、ネットワーク経由の前記決済鍵の配布用に規定されたのと同様の暗号化方式で送信し、
   前記決済装置により、前記暗号化方式で前記決済鍵を取得し、
   前記鍵注入装置により、送信された前記決済鍵と対応する前記機器情報とをログとして記録する
   ことを特徴とする鍵注入プログラム。

Images