JP2023176240A

JP2023176240A - 電子情報記憶媒体、プロファイル変更方法、及びプログラム

Info

Publication number: JP2023176240A
Application number: JP2022088413A
Authority: JP
Inventors: 直也梶原; Naoya Kajiwara
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2022-05-31
Filing date: 2022-05-31
Publication date: 2023-12-13
Anticipated expiration: 2042-05-31
Also published as: JP7452577B2

Abstract

【課題】オフラインデータ認証に用いられる公開鍵証明書の有効期限が切れた場合に端末側で取引不可と判定されるように設定されている場合であっても、オンライン取引を利用することが可能な電子情報記憶媒体、プロファイル変更方法、及びプログラムを提供する。【解決手段】ＩＣチップ１は、端末２からＧＰＯコマンドを受信すると、当該ＧＰＯコマンドに含まれる日付と、イシュア公開鍵証明書の有効期限とに基づいて、イシュア公開鍵証明書が有効期限切れであるか否かを判定し、イシュア公開鍵証明書が有効期限切れであると判定された場合、ＡＩＰにおいてオフラインデータ認証をサポートすることを示す第１の値を、オフラインデータ認証をサポートしないことを示す第２の値に変更し、当該第１の値が第２の値に変更されたＡＩＰを含むレスポンスを端末２へ送信する。【選択図】図４

Description

本発明は、オフラインデータ認証をサポートするＩＣ（Integrated Circuit）チップ等の技術分野に関する。

従来から、カードシステムのデファクトスタンダード仕様として、例えば特許文献１に開示されているように、ＥＭＶ（登録商標）仕様が知られている。かかる仕様に準拠する処理において、端末（Terminal）は、ＧＰＯ（Get Processing Options）コマンドをＩＣカードに送信することでＩＣカードからＡＩＰ（Application Interchange Profile）及びＡＦＬ（Application File Locator）を取得する。そして、端末は、Read RecordコマンドをＩＣカードに送信することでＩＣカードからオフラインデータ認証に用いられる情報を取得（つまり、ＡＦＬが示す格納場所から取得）する。オフラインデータ認証に用いられる情報には、イシュア公開鍵証明書等の公開鍵証明書が含まれる。

特開2007-328481号公報

ところで、端末は、ＩＣカードからオフラインデータ認証に用いられる情報を取得すると、当該情報を用いてＩＣカードの正当性の検証を実行するとともに、イシュア公開鍵証明書の有効期限のチェックを行う。しかし、有効期限のチェックにおいて有効期限が切れていると判定された場合、一般的には端末側で取引不可と判定される。つまり、イシュア公開鍵証明書の有効期限が切れたＩＣカードではオフライン取引不可となるばかりでなく、オンライン取引もできない状態となってしまうという問題がある。

そこで、本発明は、このような問題等に鑑みてなされたものであり、オフラインデータ認証に用いられる公開鍵証明書の有効期限が切れた場合に端末側で取引不可と判定されるように設定されている場合であっても、オンライン取引を利用することが可能な電子情報記憶媒体、プロファイル変更方法、及びプログラムを提供することを目的とする。

上記課題を解決するために、請求項１に記載の発明は、端末との間で通信可能な電子情報記憶媒体であって、前記電子情報記憶媒体が所定のオフラインデータ認証をサポートすることを示す第１の値を含むプロファイル、及び前記オフラインデータ認証に用いられる公開鍵証明書を含むアプリケーションデータを記憶する電子情報記憶媒体において、前記端末から前記プロファイル及び前記アプリケーションデータの格納場所を示す情報を要求するためのコマンドを受信する受信手段と、前記コマンドに含まれる日付と、前記公開鍵証明書の有効期限とに基づいて、前記公開鍵証明書が有効期限切れであるか否かを判定する判定手段と、前記判定手段により前記公開鍵証明書が有効期限切れであると判定された場合、前記プロファイルにおいて前記第１の値を、前記オフラインデータ認証をサポートしないことを示す第２の値に変更する変更手段と、前記第１の値が前記第２の値に変更された前記プロファイルを含むレスポンスを前記端末へ送信する送信手段と、を備えることを特徴とする。

請求項２に記載の発明は、請求項１に記載の電子情報記憶媒体において、前記レスポンスには、前記第１の値が前記第２の値に変更された前記プロファイルとともに、前記アプリケーションデータのうち前記公開鍵証明書の格納場所を除外した格納場所を示す情報が含まれることを特徴とする。

請求項３に記載の発明は、端末との間で通信可能な電子情報記憶媒体であって、前記電子情報記憶媒体が所定のオフラインデータ認証をサポートすることを示す第１の値を含むプロファイル、及び前記オフラインデータ認証に用いられる公開鍵証明書を含むアプリケーションデータを記憶する電子情報記憶媒体により実行されるプロファイル変更方法において、前記端末から前記プロファイル及び前記アプリケーションデータの格納場所を示す情報を要求するためのコマンドを受信するステップと、前記コマンドに含まれる日付と、前記公開鍵証明書の有効期限とに基づいて、前記公開鍵証明書が有効期限切れであるか否かを判定するステップと、前記判定手段により前記公開鍵証明書が有効期限切れであると判定された場合、前記プロファイルに含まれる前記第１の値を、前記オフラインデータ認証をサポートしないことを示す第２の値に変更するステップと、前記第１の値が前記第２の値に変更された前記プロファイルを含むレスポンスを前記端末へ送信するステップと、を含むことを特徴とする。

請求項４に記載の発明は、端末との間で通信可能な電子情報記憶媒体であって、前記電子情報記憶媒体が所定のオフラインデータ認証をサポートすることを示す第１の値を含むプロファイル、及び前記オフラインデータ認証に用いられる公開鍵証明書を含むアプリケーションデータを記憶する電子情報記憶媒体に含まれるコンピュータを、前記端末から前記プロファイル及び前記アプリケーションデータの格納場所を示す情報を要求するためのコマンドを受信する受信手段と、前記コマンドに含まれる日付と、前記公開鍵証明書の有効期限とに基づいて、前記公開鍵証明書が有効期限切れであるか否かを判定する判定手段と、前記判定手段により前記公開鍵証明書が有効期限切れであると判定された場合、前記プロファイルに含まれる前記第１の値を、前記オフラインデータ認証をサポートしないことを示す第２の値に変更する変更手段と、前記第１の値が前記第２の値に変更された前記プロファイルを含むレスポンスを前記端末へ送信する送信手段として機能させることを特徴とする。

本発明によれば、オフラインデータ認証に用いられる公開鍵証明書の有効期限が切れた場合に端末側で取引不可と判定されるように設定されている場合であっても、オンライン取引を利用することがきる。

取引システムＳの概要構成の一例を示す図である。ＩＣチップ１の概要構成例を示す図である。ＡＩＰのデータ構造例を示す図である。取引システムＳにおいて実施される取引処理の一例を示すシーケンス図である。取引システムＳにおいて実施される取引処理の一例を示すシーケンス図である。

以下、図面を参照して本発明の実施形態について詳細に説明する。以下に説明する実施形態は、取引システムで用いられるＩＣチップに対して本発明を適用した場合の実施の形態である。

［１．取引システムＳの構成及び機能］
先ず、図１を参照して、本実施形態に係る取引システムＳの構成及び機能について説明する。図１は、取引システムＳの概要構成の一例を示す図である。図１に示すように、取引システムＳは、ＩＣチップ１、端末２、及びイシュアホスト３を備えて構成される。ＩＣチップ１は、本発明の電子情報記憶媒体の一例である。ＩＣチップ１は、例えば、クレジットカードやキャッシュカードなどのＩＣカード、または、スマートフォンなどのモバイルデバイスに搭載される。ＩＣカードもまた、電子情報記憶媒体の一例である。スマートフォンなどのモバイルデバイスの場合、ＩＣチップ１は、モバイルデバイスに着脱可能な小型ＩＣカードに搭載されてもよいし、ｅＵＩＣＣ（Embedded Universal Integrated Circuit Card）としてモバイルデバイスから容易に取り外しや取り換えができないように組み込み基板上に搭載されてもよい。

端末２は、例えば、リーダライタを備える決済端末であり、ＩＣチップ１との間で通信を行いつつ、ＥＭＶ仕様に準じた取引（オフライン取引、またはオンライン取引）に係る処理を実行することが可能になっている。端末２は、当該取引に係る処理においてＲＳＡ（Rivest-Shamir-Adleman）暗号演算方式または楕円曲線暗号（ＥＣＣ（Elliptic Curve Cryptography））演算方式の暗号演算を実行することが可能になっている。また、端末２には、ＣＡ（Certificate Authority）公開鍵が記憶されている。

なお、端末２に記憶されている“Terminal Action - Denial”（つまり、取引不可と判定する条件）にオフラインデータ認証（Offline Data Authentication）の失敗が設定（つまり、SDA failed, CDA failed, DDA failedがセットされた状態である）されてもよいし、端末２に記憶されている“Terminal Action Code-Online”（つまり、オンライン取引を実行するための条件）にオフラインデータ認証の失敗が設定されてもよい。また、端末２に記憶されている“Terminal Action Code-Online”に“Offline data authentication was not performed”が設定されている（つまり、“Offline data authentication was not performed”=1bに設定されている）とよい。ただし、“Issuer Action Code-Online”（つまり、オンライン取引を実行するための条件）に“Offline data authentication was not performed”が設定されていれば、“Terminal Action Code-Online”に“Offline data authentication was not performed”が設定されていなくても、オンライン取引を実行するために条件に該当することになる。

さらに、端末２は、ネットワークＷを介してイシュアホスト３との間で通信可能になっている。イシュアホスト３は、イシュア（発行者）のホストコンピュータである。イシュアホスト３は、ＩＣチップ１が搭載されたＩＣカードまたはモバイルデバイスのホルダ（所有者）の個人情報を管理しており、オンライン取引に係る処理を実行することが可能になっている。

図２は、ＩＣチップ１の概要構成例を示す図である。図２に示すように、ＩＣチップ１は、Ｉ／Ｏ回路１１、ＲＡＭ（Random Access Memory）１２、ＮＶＭ（Nonvolatile Memory）１３、ＲＯＭ（Read Only Memory）１４、及びＣＰＵ（Central Processing Unit）１５（コンピュータの一例）等を備える。Ｉ／Ｏ回路１１は、端末２との間のインターフェースを担う。ＩＣチップ１と端末２との間の通信は、非接触通信であってもよいし、接触通信であってもよい。非接触通信の場合、例えばＩＣカードに搭載されたアンテナ（図示せず）を介してＩＣチップ１と端末２との通信が行われる。

ＮＶＭ１３は、フラッシュメモリ、または、Electrically Erasable Programmable Read-Only Memoryなどの不揮発性メモリである。ＮＶＭ１３またはＲＯＭ１４には、オペレーティングシステム（以下、「ＯＳ」という）、及び取引用アプリケーション等のプログラム（本発明のプログラムを含む）が記憶される。ここで、取引用アプリケーションは、上記仕様に準じた取引に係る処理を実行するためのアプリケーションである。なお、ＮＶＭ１３には、複数のブランドそれぞれに対応する取引用アプリケーションが記憶されてもよい。また、ＮＶＭ１３には、上記仕様に準じた取引に係る処理に用いられる各種データが記憶される。各種データには、ＡＩＰ（Application Interchange Profile）、ＡＦＬ（Application File Locator）、イシュア公開鍵証明書、ＩＣＣ公開鍵証明書、及び“Issuer Action Code-Online”等が含まれる。“Issuer Action Code-Online”（つまり、オンライン取引を実行するための条件）には“Offline data authentication was not performed”が設定されている（つまり、“Offline data authentication was not performed”=1bに設定されている）。

ＡＩＰは、ＩＣチップ１がサポートするオフラインデータ認証などの機能を示す。オフライン取引を行うために必要なオフラインデータ認証のタイプには、ＳＤＡ（Static Data Authentication）、ＤＤＡ（Dynamic Data Authentication）、及びＣＤＡ（Combined Dynamic Data Authentication）がある。図３は、ＡＩＰのデータ構造例を示す図である。図３に示すＡＩＰは、２バイトからなり、そのうち、第１バイトのビット７（b7）にＳＤＡが割り当てられ、第１バイトのビット６（b6）にＤＤＡが割り当てられ、第１バイトのビット１（b1）にＣＤＡが割り当てられている。そして、ビット７が“1”（第１の値の一例）である場合、ＩＣチップ１がＳＤＡをサポートすることを示し、ビット７が“0”（第２の値の一例）である場合、ＩＣチップ１がＳＤＡをサポートしないことを示す。また、ビット６が“1”である場合、ＩＣチップ１がＤＤＡをサポートすることを示し、ビット６が“0”である場合、ＩＣチップ１がＤＤＡをサポートしないことを示す。また、ビット１が“1”である場合、ＩＣチップ１がＣＤＡをサポートすることを示し、ビット１が“0”である場合、ＩＣチップ１がＣＤＡをサポートしないことを示す。なお、ＳＤＡ、ＤＤＡ、及びＣＤＡ用として割り当てられたビットは、オフラインデータ認証サポートビット（SDA/DDA/CDA supported bit）という。ＩＣチップ１がＳＤＡ、ＤＤＡ、及びＣＤＡのいずれもサポートしない場合、端末２によるオフラインデータ認証は実行されない。

ＡＦＬは、オフラインデータ認証などで用いられるアプリケーションデータの格納場所（例えば、レコード番号）を示す。ＡＦＬで格納場所が示されるアプリケーションデータには、ホルダの氏名、ホルダの会員番号、イシュア公開鍵証明書、ＩＣＣ公開鍵証明書、及び“Issuer Action Code-Online”などが含まれる。イシュア公開鍵証明書、及びＩＣＣ公開鍵証明書は、オフラインデータ認証に用いられる。イシュア公開鍵証明書は、ＣＡ秘密鍵でイシュア公開鍵及びイシュア公開鍵証明書の有効期限（Certificate Expiration Date）を含むデータが暗号化（署名）されることで生成される。イシュア公開鍵証明書の有効期限は、オフラインデータ認証時に端末２によりチェックされるものである。一方、ＩＣＣ公開鍵証明書は、イシュア秘密鍵でＩＣＣ公開鍵などが暗号化されることで生成される。

なお、イシュア公開鍵証明書の有効期限は証明書自身に埋め込まれた状態で暗号化されているが、本実施形態では、イシュア公開鍵証明書の有効期限を示す期限情報を単体のデータとしてＮＶＭ１３の所定の格納場所に保存されるとよい。この場合、イシュア公開鍵証明書の有効期限は、例えば、イシュアからＩＣチップ１の製造業者へ事前に通知される。

ＣＰＵ１５は、ＮＶＭ１３またはＲＯＭ１４に記憶されたプログラムにしたがって、ＥＭＶ仕様に準じた取引に係る処理を実行するとともに、本発明における受信手段、判定手段、変更手段、送信手段等として機能しプロファイル（ＡＩＰ）変更処理を実行する。かかるプロファイル変更処理は、ＥＭＶ仕様に準じた取引に係る処理において、ＣＰＵ１５が端末２からＡＩＰ及びＡＦＬを要求するためのＧＰＯコマンドを受信することにより開始される。なお、ＧＰＯコマンド（後述するコマンドも同様）は、例えば、ISO/IEC 7816-4に規定されたコマンドＡＰＤＵ（Application Protocol Data Unit）である。ＧＰＯコマンドは、ヘッダ部及びボディ部を含む。ヘッダ部は、ＣＬＡ（命令クラス）、ＩＮＳ（命令コード）、Ｐ１及びＰ２（パラメータ）からなる。ボディ部には、日付（Transaction Date）が含まれる。

ＣＰＵ１５は、ＧＰＯコマンドを受信すると、ＧＰＯコマンドに含まれる日付（Transaction Date）と、ＮＶＭ１３に記憶されている「イシュア公開鍵証明書の有効期限」とに基づいて、イシュア公開鍵証明書が有効期限切れであるか否かを判定する。そして、ＣＰＵ１５は、イシュア公開鍵証明書が有効期限切れであると判定した場合、ＡＩＰにおいてオフラインデータ認証をサポートすることを示す第１の値を、オフラインデータ認証をサポートしないことを示す第２の値に変更（例えば、オフラインデータ認証サポートビットを“0”にクリア）し、当該第１の値が第２の値に変更されたＡＩＰ、及びＡＦＬを含むレスポンスを端末２へ送信する。かかるＡＩＰにより、ＩＣチップ１は、オフラインデータ認証非サポートの取引用媒体として振る舞うことができる。これにより、端末２は、ＩＣチップ１がオフラインデータ認証をサポートしていないことをＡＩＰから認識しオフラインデータ認証を実行しない（イシュア公開鍵証明書の有効期限チェックも実行しない）。そのため、端末２は、その後のリスク管理及びアクション分析において、後述するように、取引不可と判定することなく、オフライン取引の承認要求を選択することになる。従って、イシュア公開鍵証明書の有効期限切れが確認された場合であっても、ＩＣチップ１が搭載されたＩＣカードまたはモバイルデバイスは、オンライン取引専用の取引用媒体として利用を継続することが可能となる。

なお、ＧＰＯコマンドに応じて送信されるレスポンスに含まれるＡＦＬは、アプリケーションデータの格納場所（例えば、レコードＡ１及びＡ２）のうち、イシュア公開鍵証明書の格納場所（例えば、レコードＡ２）を除外した格納場所（例えば、レコードＡ１）を示すように変更されるとよい。これにより、ＡＦＬが示す格納場所から取得されるアプリケーションデータには公開鍵証明書は含まれない（つまり、公開鍵証明書はＩＣチップ１から出力されない）ので、ＮＶＭ１３からのデータ読み出し処理負荷を低減することができる。

［２．取引システムＳの動作］
次に、図４及び図５を参照して、ＩＣチップ１を用いて取引が行われる際の取引システムＳの動作について説明する。図４及び図５は、取引システムＳにおいて実施される取引処理の一例を示すシーケンス図である。図４において、ＩＣチップ１が搭載されたＩＣカードが端末２に挿入されるか、ＩＣチップ１が搭載されたＩＣカードまたはモバイルデバイスが端末２に翳されることによりＩＣチップ１が電力供給を受けると、ＩＣチップ１のＣＰＵ１５は、端末２との間で初期化処理をＯＳにより実施する（ステップＳ１）。

初期化処理においては、例えば、端末２からＩＣチップ１へ送信されるリセット信号に応じて、ＩＣチップ１から端末２へ初期応答がなされる。初期化処理が終了すると、端末２は、取引用アプリケーションを選択するためのSELECTコマンドをＩＣチップ１へ送信する（ステップＳ２）。SELECTコマンドには、使用されるブランドに対応する取引用アプリケーションのアプリケーション識別子が含まれる。

次いで、ＩＣチップ１のＣＰＵ１５は、端末２からのSELECTコマンドを受信すると、SELECTコマンドに含まれているアプリケーション識別子により識別される取引用アプリケーションを選択し（ステップＳ３）、ＦＣＩ（File Control Information）を含むレスポンスを端末２へ送信する（ステップＳ４）。ここで、ＦＣＩには、ＰＤＯＬ（Processing Options Data Object List）が含まれる。ＰＤＯＬは、上記仕様に準じた取引に係る処理に必要なデータを端末２に要求するために利用するリスト（データ）である。本実施形態におけるＰＤＯＬには、Transaction DateのTag(=9A)が含まれている。そのため、端末２は、ＩＣチップ１に対してＧＰＯコマンドでTransaction Dateを送信する必要がある。以降のＩＣチップ１における処理は、当該選択された取引用アプリケーションにより実行される。次いで、端末２は、ＩＣチップ１からステップＳ４で送信されたレスポンスを受信すると、ＧＰＯコマンドをＩＣチップ１へ送信する（ステップＳ５）。

次いで、ＩＣチップ１のＣＰＵ１５は、端末２からのＧＰＯコマンドを受信すると、当該ＧＰＯコマンドから日付を取得するとともに、ＮＶＭ１３から期限情報を取得する（ステップＳ６）。次いで、ＩＣチップ１のＣＰＵ１５は、ステップＳ６で取得された日付と期限情報に示される有効期限とを比較し、イシュア公開鍵証明書が有効期限切れである（つまり、当該日付を基準として有効期限が経過している）か否かを判定する（ステップＳ７）。イシュア公開鍵証明書が有効期限切れでないと判定された場合（ステップＳ７：ＮＯ）、処理はステップＳ８へ進む。一方、イシュア公開鍵証明書が有効期限切れであると判定された場合（ステップＳ７：ＹＥＳ）、処理はステップＳ１０へ進む。

ステップＳ８では、ＩＣチップ１のＣＰＵ１５は、ＡＩＰ及びＡＦＬをＮＶＭ１３から取得する。次いで、ＩＣチップ１のＣＰＵ１５は、ステップＳ８で取得されたＡＩＰ及びＡＦＬを含むレスポンスを端末２へ送信する（ステップＳ９）。一方、ステップＳ１０では、ＩＣチップ１のＣＰＵ１５は、ＡＩＰ及びＡＦＬをＮＶＭ１３から取得する。次いで、ＩＣチップ１のＣＰＵ１５は、ステップＳ１０で取得されたＡＩＰにおいてオフラインデータ認証サポートビットの値を変更（ＡＩＰの内容を変更）する（ステップＳ１１）。次いで、ＩＣチップ１のＣＰＵ１５は、ステップＳ１０で取得されたＡＦＬにおいてアプリケーションデータの格納場所のうち、オフラインデータ認証に用いられる情報（つまり、イシュア公開鍵証明書及びＩＣＣ公開鍵証明書）の格納場所を除外した格納場所を示すように変更（ＡＦＬの内容を変更）する（ステップＳ１２）。次いで、ＩＣチップ１のＣＰＵ１５は、ステップＳ１１で変更されたＡＩＰ及びステップＳ１２で変更されたＡＦＬを含むレスポンスを端末２へ送信する（ステップＳ１３）。

次いで、端末２は、ＩＣチップ１からステップＳ９またはＳ１３で送信されたレスポンスを受信すると、当該レスポンスに含まれるＡＩＰにおけるオフラインデータ認証サポートビットからオフラインデータ認証のサポート有無をチェックする（ステップＳ１４）。次いで、端末２は、Read RecordコマンドをＩＣチップ１へ送信する（ステップＳ１５）。Read Recordコマンドは、当該レスポンスに含まれるＡＦＬで格納場所が示されるアプリケーションデータを読み出すためのコマンドＡＰＤＵである。Read Recordコマンドのヘッダ部内のＰ１には、当該アプリケーションデータの格納場所であるレコード番号がセットされる。

図５において、ＩＣチップ１のＣＰＵ１５は、端末２からのRead Recordコマンドを受信すると、Read Recordコマンドで示される格納場所からアプリケーションデータを取得する（ステップＳ１６）。イシュア公開鍵証明書が有効期限切れでない場合のアプリケーションデータには、ホルダの氏名、ホルダの会員番号、イシュア公開鍵証明書、ＩＣＣ公開鍵証明書、及び“Issuer Action Code-Online”が含まれる。一方、イシュア公開鍵証明書が有効期限切れである場合のアプリケーションデータには、ホルダの氏名、ホルダの会員番号、及び“Issuer Action Code-Online”が含まれる。次いで、ＩＣチップ１のＣＰＵ１５は、ステップＳ１６で取得されたアプリケーションデータを含むレスポンスを端末２へ送信する（ステップＳ１７）。

次いで、端末２は、ＩＣチップ１からステップＳ１７で送信されたレスポンスを受信すると、当該レスポンスからアプリケーションデータを取得する（ステップＳ１８）。次いで、端末２は、ＩＣチップ１がオフラインデータ認証をサポートしているか否かを判定する（ステップＳ１９）。ＩＣチップ１がオフラインデータ認証をサポートしていると判定された場合（ステップＳ１９：ＹＥＳ）、処理はステップＳ２０へ進む。一方、ＩＣチップ１がオフラインデータ認証をサポートしていないと判定された場合（ステップＳ１９：ＮＯ）、オフラインデータ認証は行われず、処理はステップＳ２１へ進む。なお、オフラインデータ認証が行われなかった場合、端末２に記憶されるＴＶＲ（Terminal Verification Result）における“Offline data authentication was not performed”ビットが“1”にセットされる。

ステップＳ２０では、端末２は、ステップＳ１８で取得されたアプリケーションデータに基づいてオフラインデータ認証を実行し、処理をステップＳ２１へ進める。オフラインデータ認証では、端末２とＩＣチップ１とのサポート状況に応じてＳＤＡ、ＤＤＡ、及びＣＤＡの何れかが実行される。なお、オフラインデータ認証が行われた場合、端末２に記憶されるＴＶＲにおける“Offline data authentication was not performed”ビットが“0”（初期値）のまま変更されない。かかるオフラインデータ認証において、ＣＡ公開鍵によりイシュア公開鍵証明書が復号され、当該復号されたイシュア公開鍵証明書に含まれる情報（イシュア公開鍵及び有効期限を含む）が取り出され、当該取り出された情報が検証される。かかる検証において、イシュア公開鍵によるＩＣＣ公開鍵証明書の復号、及びイシュア公開鍵証明書の有効期限のチェックが行われる。なお、オフラインデータ認証の結果に応じて、端末２に記憶されるＴＶＲにおける“SDA failed”ビット、“DDA failed”ビット、または“CDA failed”ビットが、“0”（オフラインデータ認証の成功）または“1”（オフラインデータ認証の失敗）にセットされる。

ステップＳ２１では、端末２は、リスクチェック及びアクション分析を実行する。かかるリスクチェックにおいて、端末２は、“Issuer Action Code-Denial”の条件に該当するか否かのチェックを行い、該当しなければ、“Issuer Action Code-Online”、及び“Terminal Action Code-Online”を解析する。例えば、オフラインデータ認証が行われなかった場合、ＴＶＲにおける“SDA failed”ビット、“DDA failed”ビット、及び“CDA failed”ビットの何れも“1”にセットされていないので、“Issuer Action Code-Denial”で設定されている条件に該当せず、取引不可と判定されない。また、オフラインデータ認証が行われなかった場合、ＴＶＲにおける“Offline data authentication was not performed”ビットが“1”にセットされているので、少なくとも“Issuer Action Code-Online”で設定されている条件に該当する。そのため、端末２は、アクション分析においてオンライン取引の承認要求を選択し、選択したオンライン取引の承認要求を示すGENERATE ＡＣコマンドをＩＣチップ１へ送信する（ステップＳ２２）。なお、オフラインデータ認証が行われた場合の処理については説明を省略する。

次いで、ＩＣチップ１のＣＰＵ１５は、端末２からのGENERATE ＡＣコマンドを受信すると、リスクチェック及びアクション分析を実行する（ステップＳ２３）。かかるリスクチェックにおいて、ＩＣチップ１のＣＰＵ１５は、公知の条件（例えば、取引の累積金額に関する条件、前回のオンライン取引成否に関する条件など）に基づいて、オンライン取引を承認するか否かを判定する。ここで、ＩＣチップ１のＣＰＵ１５は、オンライン取引を承認すると判定した場合、オンライン取引の承認要求（ＡＲＱＣ（Authorisation Request Cryptogram））を含むレスポンスを端末２へ送信する（ステップＳ２４）。なお、オンライン取引を承認しないと判定された場合の処理については説明を省略する。

次いで、端末２は、ＩＣチップ１からステップＳ２４で送信されたレスポンスを受信すると、オンライン検証を実施する（ステップＳ２５）。オンライン検証は、取引関連データ（取引額など）及びＡＲＱＣ等が端末２からイシュアホスト３に送信されることで、端末２を介してイシュアホスト３とＩＣチップ１との間で行われる。次いで、端末２は、オンライン検証の結果を含むGENERATE ＡＣコマンドをＩＣチップ１へ送信する（ステップＳ２６）。

次いで、ＩＣチップ１のＣＰＵ１５は、端末２からのGENERATE ＡＣコマンドを受信すると、オンライン検証の結果を検証し、取引許可または取引拒否を決定する（ステップＳ２７）。次いで、ＩＣチップ１のＣＰＵ１５は、ステップＳ２７で決定された結果に応じたデータ（ＴＣ（Transaction Certificate）またはＡＡＣ（Application Authentication Cryptogram））を含むレスポンスを端末２へ送信する（ステップＳ２８）。

なお、端末２は、上記処理において、リスクチェック及びアクション分析の前に、ホルダ検証方法に応じた本人確認処理を行ってもよい。例えば、端末２は、キーパットなどの入力装置からホルダによって入力された暗証番号であるＰＩＮ（Personal Identification Number）を暗号化し、暗号化されたＰＩＮを含むVERIFYコマンドをＩＣチップ１へ送信する。ＩＣチップ１は、端末２からのVERIFYコマンドを受信すると、当該VERIFYコマンドに含まれる暗号化されたＰＩＮを復号し、復号されたＰＩＮと、予めＮＶＭ１３に記録されているＰＩＮとを照合し、照合結果を含むレスポンスを端末２へ送信する。

以上説明したように、上記実施形態によれば、ＩＣチップ１は、端末２からＧＰＯコマンドを受信すると、当該ＧＰＯコマンドに含まれる日付と、イシュア公開鍵証明書の有効期限とに基づいて、イシュア公開鍵証明書が有効期限切れであるか否かを判定し、イシュア公開鍵証明書が有効期限切れであると判定された場合、ＡＩＰにおいてオフラインデータ認証をサポートすることを示す第１の値を、オフラインデータ認証をサポートしないことを示す第２の値に変更し、当該第１の値が第２の値に変更されたＡＩＰを含むレスポンスを端末２へ送信するように構成したので、オフラインデータ認証に用いられるイシュア公開鍵証明書の有効期限が切れた場合に端末２側で取引不可と判定されるように設定されている場合であっても、オンライン取引を利用することができる。

なお、上記実施形態においては、イシュア公開鍵証明書が有効期限切れであるか否かを判定するように構成したが、これ以外にも、本発明は有効期限が設定されている公開鍵証明書にも適用することができる。

１ＩＣチップ
２端末
１１Ｉ／Ｏ回路
１２ＲＡＭ
１３ＮＶＭ
１４ＲＯＭ
１５ＣＰＵ

Claims

端末との間で通信可能な電子情報記憶媒体であって、前記電子情報記憶媒体が所定のオフラインデータ認証をサポートすることを示す第１の値を含むプロファイル、及び前記オフラインデータ認証に用いられる公開鍵証明書を含むアプリケーションデータを記憶する電子情報記憶媒体において、
前記端末から前記プロファイル及び前記アプリケーションデータの格納場所を示す情報を要求するためのコマンドを受信する受信手段と、
前記コマンドに含まれる日付と、前記公開鍵証明書の有効期限とに基づいて、前記公開鍵証明書が有効期限切れであるか否かを判定する判定手段と、
前記判定手段により前記公開鍵証明書が有効期限切れであると判定された場合、前記プロファイルにおいて前記第１の値を、前記オフラインデータ認証をサポートしないことを示す第２の値に変更する変更手段と、
前記第１の値が前記第２の値に変更された前記プロファイルを含むレスポンスを前記端末へ送信する送信手段と、
を備えることを特徴とする電子情報記憶媒体。
前記レスポンスには、前記第１の値が前記第２の値に変更された前記プロファイルとともに、前記アプリケーションデータのうち前記公開鍵証明書の格納場所を除外した格納場所を示す情報が含まれることを特徴とする請求項１に記載の電子情報記憶媒体。
端末との間で通信可能な電子情報記憶媒体であって、前記電子情報記憶媒体が所定のオフラインデータ認証をサポートすることを示す第１の値を含むプロファイル、及び前記オフラインデータ認証に用いられる公開鍵証明書を含むアプリケーションデータを記憶する電子情報記憶媒体により実行されるプロファイル変更方法において、
前記端末から前記プロファイル及び前記アプリケーションデータの格納場所を示す情報を要求するためのコマンドを受信するステップと、
前記コマンドに含まれる日付と、前記公開鍵証明書の有効期限とに基づいて、前記公開鍵証明書が有効期限切れであるか否かを判定するステップと、
前記判定手段により前記公開鍵証明書が有効期限切れであると判定された場合、前記プロファイルに含まれる前記第１の値を、前記オフラインデータ認証をサポートしないことを示す第２の値に変更するステップと、
前記第１の値が前記第２の値に変更された前記プロファイルを含むレスポンスを前記端末へ送信するステップと、
を含むことを特徴とするプロファイル変更方法。
端末との間で通信可能な電子情報記憶媒体であって、前記電子情報記憶媒体が所定のオフラインデータ認証をサポートすることを示す第１の値を含むプロファイル、及び前記オフラインデータ認証に用いられる公開鍵証明書を含むアプリケーションデータを記憶する電子情報記憶媒体に含まれるコンピュータを、
前記端末から前記プロファイル及び前記アプリケーションデータの格納場所を示す情報を要求するためのコマンドを受信する受信手段と、
前記コマンドに含まれる日付と、前記公開鍵証明書の有効期限とに基づいて、前記公開鍵証明書が有効期限切れであるか否かを判定する判定手段と、
前記判定手段により前記公開鍵証明書が有効期限切れであると判定された場合、前記プロファイルに含まれる前記第１の値を、前記オフラインデータ認証をサポートしないことを示す第２の値に変更する変更手段と、
前記第１の値が前記第２の値に変更された前記プロファイルを含むレスポンスを前記端末へ送信する送信手段として機能させることを特徴とするプログラム。