JP3067179B2

JP3067179B2 - Ｉｃカードの秘密鍵制御方法

Info

Publication number: JP3067179B2
Application number: JP2219553A
Authority: JP
Inventors: 隆竹内; 一哉平野
Original assignee: NTT Data Corp
Current assignee: NTT Data Corp
Priority date: 1990-08-21
Filing date: 1990-08-21
Publication date: 2000-07-17
Anticipated expiration: 2015-07-17
Also published as: JPH04102185A

Description

【発明の詳細な説明】〔産業上の利用分野〕本発明は、ICカードのセキュリティ機能に係り、特
に、ICカードの秘密鍵によるセキュリティ機能を安全に
運用するのに好適なICカードの秘密鍵制御方法に関する
ものである。

〔従来の技術〕

現在、パソコン（パーソナルコンピュータ）の小型化
や、いわゆる電子手帳などの開発により、ICカードが普
及している。

例えば、ノート型のパソコンでは、その軽量化のため
に、外部記憶媒体に、ICカードを用いたり、電子手帳に
おいては、英和辞典や、情報管理カード等のICカードが
用いられている。

このようなICカードには、例えば、「日経エレクトロ
ニクス 1989 ９−18 no.482」（1989年、日経BP社発
行）のpp.120〜141に記載のように、メモリ機能だけを
備えるICメモリカードと、マイクロプロセッサを内蔵し
たICカードなどがある。

以下、ICカードとは、EEPROM（Electrically Erasab
le Programable Read Only Memory;電気的消去・電
気的書き込み可能な読みだし専用メモリ）や、RAM（Ran
dom Access Memory;随時読み書き可能メモリ）などの
メモリを含み、マイクロプロセッサを内蔵したものとす
る。

また、このようなICカードは、電子情報通信学会編
「電子情報通信ハンドブック」（1988年、オーム社発
行）のpp.603〜604に記載されているように、通常の磁
気カードと異なり、暗号化機能と復号化機能を有し、偽
造や不正読み出しを防ぐためのセキュリティ機能を持た
せることが出来る。

例えば、ID（IDentifier）カードや、クレジットカー
ドとして用いらる場合には、これらに埋め込まれた秘密
鍵（暗号化鍵、復号化鍵）により、情報の暗号化、およ
び、復号化を行ない、個人の情報の保護を行なったり、
装置を正常に起動出来る者を、ICカードを所持する者に
限定し、装置の悪用に対処することを可能とする。

すなわち、店舗のレジなどで、あるサービスの決済処
理を行なう場合、その端末は、正規のオペレータが、正
しい手順で操作される必要がある。この場合、ICカード
を用いて、システムセキュリティを高める方法として、
以下のような方法がある。

例えば、オペレータにICカードを持たせ、そのICカー
ド内の外部からは絶対に読みだしのできないメモリエリ
アに書かれている秘密鍵を用いて、オペレータとICカー
ド間で、暗証番号照合を行なう。または、端末や業務AP
（Application Program;アプリケーション・プログラ
ム、例えば、ワープロソフトなど、サービスを提供する
端末内にロードされるプログラム）と、ICカードとの間
の相互認証などにより、その起動や実行制御を行なう。

このような方法で、ICカードは、システムセキュリテ
ィを高めるものとして、一般的に用いられている。

〔発明が解決しようとする課題〕

従来、ICカードの秘密鍵に基づくセキュリティ機能を
用いて、オペレータの正当性を確認し、システム端末の
不法な操作を防止し、システムの安全性を高める方法が
あった。

しかし、従来のICカードの秘密鍵の値は、一度設定さ
れると、半永久的にICカード内に保存される。そのた
め、ICカードとその秘密鍵、あるいは、端末や業務APと
ICカードというペアを、同時に盗まれた場合には、セキ
ュリティ機能の効力が無くなってしまう。

本発明の目的は、これら従来技術の課題を解決し、IC
カードの使用後には、自動的に、格納した秘密鍵を消滅
して、秘密鍵の漏洩による不正なシステムの使用を防止
し、ICカードのセキュリティ機能を向上させるICカード
の秘密鍵制御方法を提供することである。

〔課題を解決するための手段〕

上記目的を達成するための、本発明のICカードの秘密
鍵制御方法は、第１の上位システム（ICカード発行装
置）からのEEPROMへの秘密鍵の設定時、この秘密鍵を設
定したEEPROMのエリアにフラグをセットしておき、第２
の上位システム（業務端末装置）との接続時、フラグが
セットされているか否かを判別し、フラグがセットされ
ていれば、このフラグがセットされているEEPROMのエリ
アに設定された秘密鍵をRAMに転送した後、EEPROMから
秘密鍵を消去し、かつ、フラグのセットを解除し、業務
端末装置の実行制御をRAMに転送された秘密鍵に基づく
セキュリティ機能により行なうことにより、秘密鍵を、
ICカード発行装置による設定後、最初に業務端末装置で
活性化され非活性化されるまでの間のみ有効とすること
を特徴とする。

〔作用〕

本発明において、ICカードに内臓するEEPROMには、一
般に、外部から読みだしのできないエリアを設けてあ
る。そして、この外部から読みだしのできないエリア
に、上位システムの業務APの実行制御用の秘密鍵を設定
する。

このエリアに、秘密鍵を設定するための秘密鍵設定装
置には、例えば、予め設定されたキーワードにより、ア
クセス権を解除することのできるICカード発行装置を用
いる。

そして、このICカード発行装置による発行処理後、最
初の秘密鍵の照合時のみ、この秘密鍵は有効に働き、IC
カードは、業務APの実行を制御することができる。

すなわち、ICカードが、上位システムである業務端末
に挿入され、活性化されてから、次に、非活性化される
までの間のみ、この秘密鍵は有効に働く。

尚、ここで、活性化とは、ICカードに電源、および、
クロックを供給し、リセットを解除し、動作開始させる
ことである。また、非活性化とは、ICカードをリセット
し、電源、および、クロックの供給を止め、動作を終了
させることである。

ICカードが一旦非活性化されると、秘密鍵情報は、強
制的に消去される。

そして、もう一度、ICカード発行装置により、ICカー
ド発行処理を行なわないかぎり、秘密鍵の設定は不可能
である。

このように、ICカード発行機により、ICカードに秘密
鍵を格納した秘密鍵は、ICカードが、その次に、初めて
活性化されてから、非活性化されるまでの間だけ、この
ICカードの外部から絶対に読み取ることのできない形態
で保存されつつ実行制御に利用される。そして、一度で
も、このICカードを非活性化してしまうと、秘密鍵は、
消滅してしまう。このことにより、秘密鍵は、安全に運
用される。

〔実施例〕

以下、本発明の実施例を、図面により詳細に説明す
る。

第１図は、本発明を施したICカードの本発明に係る構
成の一実施例を示す構成図である。

第１図（ａ）は、秘密鍵の設定状況を示している。

第１図（ｂ）は、秘密鍵の消去状況を示している。

まず、第１図（ａ）における、秘密鍵の設定状況に関
して説明する。

ICカード１は、ICカード１の各機能を制御するマイク
ロプロセッサ２、マイクロプロセッサ２の処理実行時に
用いるデータを格納するRAM3、ICカード１の各機能制御
に関するデータを格納するEEPROM4から構成されてい
る。

そして、マイクロプロセッサ２は、本発明に係る秘密
鍵の設定と、消去を行なう秘密鍵制御部５を有し、さら
に、EEPROM4は、本発明に係る秘密鍵６を登録するエリ
ア７を有し、また、エリア７には、このエリア７に登録
された秘密鍵６の読み書きの可否を制御するフラグ８が
付与されている。

このように、ICカード１は、秘密鍵制御部５により、
外部からの読みだしや、照合のできなくしたエリア７
を、EEPROM4の特定部分に有する。

このような構成により、本実施例のICカード１には、
接続された秘密鍵設定装置としてのICカード発行装置10
により、秘密鍵６が登録される。

すなわち、ICカード１をICカード発行装置10に挿入
し、ICカード１に電源を与えて、活性化する。そして、
秘密鍵制御部５を介し、外部から読みだしのできないEE
PROM4のエリア７に、業務端末装置の起動などの実行制
御用に用いる秘密鍵６を設定する。

ここで、ICカード発行装置10は、ハード的、または、
ソフト的に、特殊な方法を用いて、例えば、特殊なキー
を用いて、秘密鍵制御部５により設定されたエリア７へ
のアクセス権を解除するなどして、エリア７へアクセス
が可能な端末であり、秘密鍵６の設定を行なう。

また、エリア７の属性を示す図示されないディレクト
リには、秘密鍵６の設定と同時に、フラグ８が立つ。

このようにして、ICカード１に、上位システムである
業務端末装置11のAPの実行制御用の秘密鍵６を設定す
る。

そして、ICカード１を、ICカード発行装置10から抜取
り、ICカード発行装置10との接続を断ち、電源の供給を
止めて、ICカード１を非活性化する。

次に、この秘密鍵６を有するICカード１を用いて、業
務端末装置の制御を行なう場合に関して説明する。

第１図（ｂ）は、秘密鍵の消去状況を示しており、第
１図（ａ）において、秘密鍵６を設定したICカード１
を、業務端末装置11に使用した状況を示している。

ここで、業務端末装置11は、サービス開始時に、ICカ
ード１を挿入することにより、ICカード１と業務端末装
置11間で、正当性の確認を行なった後、実際のサービス
提供を行なう装置である。

さて、第１図（ａ）におけるICカード１の非活性化
後、もう一度、ICカード１を活性化したとき、すなわ
ち、ICカード１を、業務端末装置11の内部の業務APの実
行制御モジュールとして使用する場合には、秘密鍵制御
部５は、フラグ８が立っているEEPROM4のエリア７の内
容を、全て、RAM3に転送する。

それと同時に、秘密鍵制御部５は、フラグ８を下げ、
EEPROM4の秘密鍵６も消去してしまう。

このようにすることにより、秘密鍵６は、ICカード発
行装置10による発行処理後、最初に、ICカード１が、業
務端末装置11に挿入され、活性化されてから、非活性化
されるまでの間のみ、有効に働く。

すなわち、秘密鍵６の照合などにより、業務APの実行
を制御する。

そして、ICカード１が、この業務端末装置11から、抜
き取られるなどして、非活性化されると、秘密鍵６の情
報は、強制的に消去される。

もう一度、特別なICカード発行装置10により、ICカー
ド発行処理を行なわないかぎり、秘密鍵６の設定はでき
ない。

このことにより、ICカードとその秘密鍵、あるいは、
端末や業務APとICカードというペアを、同時に盗まれた
場合でも、セキュリティ機能の効力が継続し、秘密鍵
は、安全に運用される。

尚、本実施例においては、一つの秘密鍵の制御に関し
て説明したが、複数個の秘密鍵に対して、同様な制御を
行なっても良く、また、複数個の秘密鍵の一つに対し
て、本実施例の制御を行なっても、その効果は同じであ
る。

さらに、本実施例では、秘密鍵６を、EEPROMからRAM3
にロードして、業務端末装置の実行制御を行なっている
が、これは、RAM3を用いず、マイクロプロセッサ２によ
り、直接、EEPROM4の秘密鍵６を消去する方法に比べ
て、秘密鍵の消去の処理制御を容易にするためである。

次に、第１図におけるICカード１を用いたセキュリテ
ィ動作を、具体的な例に基づき、説明する。

第２図は、第１図におけるICカードを用いたセキュリ
ティ動作の一実施例を示すフローチャートである。

第１図のICカード１を、タクシーのドライバーの一人
一人が持っていて、課金メータのオペカードとして使用
する場合の実施例である。

尚、タクシー利用者は、磁気カード等のプリペイドカ
ードで料金を支払う場合を想定する。

まず、ドライバーは、一日の業務開始時に、各自の所
属する営業所内の秘密鍵設定装置を用いて、自身のICカ
ード、すなわち、オペカードに、課金メータ実行用の第
１の秘密鍵を、EEPROMに設定する（ステップ201）。

その後、そのオペカードを、ドライバー各自の車の課
金メータに挿入し、APを起動する（ステップ202）。

この時、オペカードに設定された第１の秘密鍵は、EE
PROMからRAMに転送され（ステップ203）、かつ、EEPROM
の特定のエリアに設定された第１の秘密鍵は、消却され
る（ステップ204）。

課金メータ内のAPは、BBM（Battery Backup Memor
y;バッテリー・バックアップ・メモリ、主電源を切って
も、内容保持用のバッテリー、例えば、リチウム電池に
より、内容が保存される記憶装置）内に、ある特定部分
が暗号化され、保存されている。

ドライバーにより、例えば、オペカード内の第１の秘
密鍵の照合が正しく行なわれると（ステップ205）、本
オペカードにより、BBM内のAPの特定部分が、第２の秘
密鍵で復号化され（ステップ206）、メインメモリ、す
なわちRAMにロードされる（ステップ207）。

ここで、オペカード内の復号化部は、第１の秘密鍵の
照合が正常終了することをきっかけとして、動作を開始
する。また、第２の秘密鍵は、第１の秘密鍵の格納エリ
アとは異なり、かつ、消去されない。

タクシー利用者による料金支払時（ステップ208）、
プリペイドカードに書かれている暗号化された金額は、
オペカードの第３の秘密鍵で復号化されてから（ステッ
プ209）、減額され（ステップ210）、その残高が、再
び、第３の秘密鍵で暗号化されて（ステップ211）、書
き込まれる（ステップ212）。

この時、オペカードによるプリペイドカードに書かれ
ている金額の暗号／復号化作業は、ステップ203におけ
る第１の秘密鍵の照合が、正常終了しないかぎり実行不
可能である。また、第３の秘密鍵は、第２の秘密鍵と同
様に、第１の秘密鍵の格納エリアとは異なるエリアに設
定され、かつ、消去されない。

一日の業務終了時に（ステップ213）、ドライバー
は、オペカードを、各自の車の課金メータから抜取り
（ステップ214）、APを停止する。このことにより、オ
ペカードのRAMに転送され登録されていた秘密鍵は、消
滅する。

このように、第１の秘密鍵を用いて、業務APの実行制
御、並びに、プリペイド残高の減額処理など行なえば、
端末盗難によるAP解読等の問題を回避でき、従来になか
った安全性を、サービス提供側に保証できる。

以上、第１図と第２図を用いて説明したように、本実
施例によれば、特定のICカード発行装置により、ICカー
ドに秘密鍵を格納すると、その秘密鍵は、このICカード
の外部から絶対に読み取ることのできない形態で保存さ
れる。そして、このICカードが、その次に、初めて活性
化されてから、非活性化されるまでの間だけ、実行制御
に利用され、一度でも、このICカードを非活性化してし
まうと、秘密鍵は、消滅してしまう。

このようにして、本実施例によれば、業務端末、並び
に、ICカードが、電源オンのまま盗難されないかぎり、
秘密鍵は、安全に運用され、従来のICカードを用いた業
務APの実行制御方式には無かったシステムセキュリティ
を実現できる。

〔発明の効果〕

本発明によれば、ICカードの使用後には、自動的に、
格納した秘密鍵を消滅して、秘密鍵の漏洩による不正な
システムの使用を防止し、ICカードのセキュリティ機能
を向上させることが可能である。

【図面の簡単な説明】

図面は本発明の実施例を示し、第１図は本発明を施した
ICカードの本発明に係る構成の一実施例を示す構成図、
第２図は第１図におけるICカードを用いたセキュリティ
動作の一実施例を示すフローチャートである。 1:ICカード,2:マイクロプロセッサ,3:RAM,4:EEPROM,5:
秘密鍵制御部,6:秘密鍵,7:エリア,8:フラグ,10:ICカー
ド発行装置,11:業務端末装置。

フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06K 19/00 G06K 17/00 B42D 15/10 521 G06F 12/14

Claims

(57)【特許請求の範囲】

【請求項１】電気的消去・電気的書込み可能なEEPROM
と、該EEPROMに設定した秘密鍵に基づくセキュリティ機能に
より、電気的に接続された上位システムの実行制御を行
なうマイクロプロセッサと、該マイクロプロセッサの実行制御に用いるデータを格納
するRAMとを有するICカードの秘密鍵制御方法におい
て、第１の上位システムからの上記EEPROMへの上記秘密鍵の
設定時、該秘密鍵を格納した上記EEPROMのエリアにフラ
グをセットするステップと、第２の上位システムとの接続時、上記フラグがセットさ
れているか否かを判別するステップと、上記フラグがセットされていれば、該フラグがセットさ
れている上記EEPROMのエリアに設定された上記秘密鍵を
上記RAMに転送するステップと、該転送後、上記EEPROMに設定した上記秘密鍵を消去して
上記フラグのセットを解除するステップと、上記RAMに転送された秘密鍵に基づくセキュリティ機能
により上記第２の上位システムの実行制御を行なうステ
ップとを有し、上記秘密鍵を、上記第１の上位システムによる設定後、
最初に上記第２の上位システムで活性化され非活性化さ
れるまでの間のみ有効とすることを特徴とするICカード
の秘密鍵制御方法。