JP3555796B2 - Ｉｃカード、情報処理端末、および情報通信システム - Google Patents
Ｉｃカード、情報処理端末、および情報通信システム Download PDFInfo
- Publication number
- JP3555796B2 JP3555796B2 JP00437196A JP437196A JP3555796B2 JP 3555796 B2 JP3555796 B2 JP 3555796B2 JP 00437196 A JP00437196 A JP 00437196A JP 437196 A JP437196 A JP 437196A JP 3555796 B2 JP3555796 B2 JP 3555796B2
- Authority
- JP
- Japan
- Prior art keywords
- card
- message
- information
- fraud
- terminal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Landscapes
- Credit Cards Or The Like (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ＩＣカードを利用した情報通信システムに係り、特にＩＣカードを通じて行われる不正操作への対策制御技術に関する。
【０００２】
【従来の技術】
従来より、ネットワークにより上位情報処理端末（上位装置、以下、センタと称する）と下位情報処理端末（下位装置、以下、単に端末と称する）とを接続して情報の授受を行う情報通信システムが、種々の産業界において開発され、利用されている。一般に、この種の情報通信システムでは、センタから多数の端末の動作を常時監視あるいは制御するオンライン方式と、センタと端末との間で、監視項目のデータ，監視結果，評価データ等の監視情報、あるいは監視プログラムを定期的に授受することで、基本的に端末側だけで動作の監視あるいは制御するオフライン方式とが採用されている。
このような情報通信システムにおいては、運用上のセキュリティの確保や、不正操作に対する管理体制の強化が重要な課題となっている。この対応策として、従来よりＩＣカードの利用が有効であると考えられている。すなわち、ＩＣカードにユーザＩＤ情報や暗号鍵等の送受信機能を持たせ、このＩＣカードを端末に装着したときにユーザＩＤ情報等の認証を行い、正当であることが確認できたときにのみシステムの利用を可能とする。
【０００３】
【発明が解決しようとする課題】
上記のようにＩＣカードを利用する情報通信システムにおいては、暗号化／復号化、認証手段などのセキュリティが施されているが、暗号鍵や認証手順などが知られてしまうと、容易に不正操作が行われてしまう。特に、オフラインの状態でＩＣカードに対して種々の不正操作の試みがなされ、ＩＣカード自身に改ざんが施された場合、ＩＣカードの認証を行う端末、あるいはこの端末に接続されたセンタ側では、不正操作の状況やＩＣカードのセキュリティがどこまで破られたかを知ることができない問題があった。
【０００４】
また、センタ側で端末の監視を常時オンラインで行うか、時間や処理回数等を基準に定期的に監視情報を交換するようにして端末側でオフラインの状態で監視するかは、システム構築時にしか選択することができない。そのため、この種の情報通信システムでは、センタに設けられるホストコンピュータ（以下、ホスト）と端末との間の通信を減らして効率的に端末の動作監視を行ったり、ホストでのリアルタイムな動作監視を行ったりすることなどを、運用中に変更することができなかった。
【０００５】
本発明の主たる課題は、ＩＣカードを用いた情報通信システムにおいて、オフラインで行われた不正操作の状況やＩＣカードのセキュリティが破られた過程を検知することができ、不正操作を検知したときは速やかに対策制御処理を行って、不正操作に起因する被害を最小限に抑える技術を提供することにある。
本発明の他の課題は、ＩＣカードを利用する端末とホストとを結んで構成される情報通信システムにおいて、稼働状況に応じて端末の運用形態をリアルタイムに変更できるようにすることにある。
【０００６】
【課題を解決するための手段】
上記の主たる課題を解決するため、本発明は、まず、不正操作ないし不正操作の可能性を検知し得る機能を備えたＩＣカードを提供する。
第１構成のＩＣカードは、情報処理端末から送られる電文が正常か否かを判定する手段と、前記電文が異常で且つ該異常が不正操作に基づくと判定した場合に、操作者が判らないような見せかけの偽電文を前記判定の度に生成して前記情報処理端末に返信する手段と、前記生成した偽電文の返信情報を蓄積する手段と、を有することを特徴とする。
【０００７】
また、第２構成のＩＣカードは、情報処理端末から送られる電文が正常か否かを判定する手段と、前記電文が異常で且つ該異常が不明の場合に、その旨を表す対応電文を生成して前記情報処理端末に返信する手段と、前記生成した対応電文の返信情報を蓄積する手段と、を有することを特徴とする。
上記偽電文または対応電文を返信する場合、受信した情報処理端末側では直ちに必要な対策制御処理を行ってもよく、そのまま自端末の運用を継続させておいて、必要な時点で対策制御処理を行うようにしてもよい。
【０００８】
本発明は、また、前述の情報通信システムの下位装置としての利用に適した情報処理端末を提供する。この情報処理端末は、装着されるＩＣカードとの間で電文の送受を行う手段と、前記ＩＣカードから送られる電文が正常か否かを判定する手段と、前記電文が異常で且つ前記ＩＣカードに対する不正操作ないし不正操作の可能性があると判定した場合に、前記ＩＣカードに正常時と異なる電文を生成して返信する手段と、前記生成した電文の返信情報を蓄積する手段と、を有することを特徴とする。
【０００９】
他の形態の情報処理端末として、前記自端末に蓄積した返信情報または上記本発明のＩＣカードより取得した返信情報から前記ＩＣカードを通じて行われた不正操作ないし不正操作の可能性を検知する不正検知手段と、この不正検知手段が不正操作ないし不正操作の可能性を検知したときに予め検知内容毎に定めた対策制御処理を実行する不正対策処理手段と、を備える構成も可能である。
このような構成において、不正対策処理手段は、前記不正検知手段で検知した不正の状況に応じて対策制御処理の内容を動的に更新することができるように構成することが好ましい。
【００１０】
本発明は、さらに、ＩＣカードと情報処理端末とを利用した、改良された情報通信システムを提供する。この情報通信システムは、上位情報処理端末（上位装置）と、オンラインまたはオフラインで上位装置に接続される下位情報処理端末（下位装置）と、下位装置との間で電文の送受を行うＩＣカードとから成る。
下位装置には、前記ＩＣカードのアクセスに起因する異常現象の出現率と該ＩＣカードのアクセス状況とを含む監視情報を蓄積する手段を備える。
また、上位装置には、前記下位装置から前記監視情報を取得する手段と、前記取得した監視情報に基づき前記ＩＣカードまたは下位装置に対する不正操作ないし不正操作の可能性を検知する不正検知手段と、前記不正検出手段が不正操作ないし不正操作の可能性を検知したときに予め不正内容毎に定めた対策制御処理を実行する不正対策処理手段と、を備える。ここにいう監視情報とは、ＩＣカードのアクセスに起因して生じる、システムの安全性の程度を表す情報をいう。必要に応じて上述の各返信情報を含ませることができる。
このような情報通信システムにおいて、前記不正検知手段は、前記ＩＣカードのアクセス時における異常現象の出現率と接続状況とを計測することで前記不正を検知し、前記不正対策処理手段は、前記不正検知手段で検知した不正の状況に応じて前記対策制御処理の内容を動的に更新するように構成することが好ましい。
【００１１】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を詳細に説明する。
本発明の一実施形態による情報通信システムの全体構成例を図１に示す。
図１を参照すると、上位装置として機能するセンタは、ホストコンピュータ（以下、単にホストと称する）１１を備えている。ホスト１１には、通信回線２１を通じて、複数のサイト（ビル、店舗などの単位の総称、以下同じ）内のサイト内制御装置３１が接続されている。各サイト内制御装置３１には、ＬＡＮ（ローカルエリアネットワーク）等を通じて、多数の下位装置である端末（図１では端末Ａを代表して示す）４１が接続されている。端末４１は、ＩＣカード５１によってアクセス（データその他の情報の書込／読出、以下同じ）可能となっている。
【００１２】
ホスト１１は、サイト内制御装置３１や各端末４１の動作、不正発生状況等を収集して管理者に知らせ、管理者からの指示により必要な対策、管理限界値等の変更等の処理を行う端末監視処理装置１１１と、ブラックリストの作成／参照、詳細なチェック機能、ホストキー照合等を行うオンライン処理装置１１２と、端末毎の動作，不正発生の内容や回数，それぞれの不正内容への対策制御処理，管理限界値をまとめた危機管理表１１３ａを格納する危機管理表格納部１１３と、サイト内制御装置３１や端末４１との通信を行うための通信装置１１４とを備えている。危機管理表１１３ａには、後述の端末４１の危機管理表４３３ａと対応した設定情報が格納されている。
【００１３】
サイト内制御装置３１は、例えば電子現金情報を扱う場合のカードマスタ情報（ＩＤ、利用残高、その他の管理情報）を格納するカードマスタ情報格納部３１１や、カードマスタ情報の読み出し、あるいは書き込みを制御する手段（図示省略）が備えられている。
【００１４】
端末４１は、サイト内制御装置３１やホスト１１と通信を行うための通信装置４２と、データの正当性確認、データ照合、取引傾向の集計、不正発生状況の集計、動作時間の測定のほか、ＩＣカード５１を通じて行われる不正操作その他の異常処理状態を検出して必要な対策制御処理を実行する主制御装置４３と、操作者が入力するデータを入力するとともに主制御装置４３の処理結果を出力する入出力装置４４と、ＩＣカード５１を離脱自在に装着するとともに、カード情報の読み書きを行うカードリーダライタ４５と、警報ブザー４６とを備えて構成される。
【００１５】
図２に、主制御装置４３の詳細なブロック構成例を示す。
主制御装置４３は、装置全体の制御を統括する主制御部４３１と、危機管理表格納部４３３に格納された危機管理表４３３ａに基づいて必要な対策制御処理を行う対策制御処理部４３２とを備えて、不正対策処理手段を実現している。
危機管理表４３３ａは、対策制御処理部４３２が認識可能なテーブル形式の構造を有し、自端末についての不正発生の内容やその回数，各不正内容への対策制御処理，管理限界値とその統計値の情報が格納されている。
【００１６】
主制御部４３１は、サイト内制御装置３１のカードマスタ情報格納部３１１との間で所要の情報を交換し合い、あるいはＩＣカード５１からのメモリ情報を読み取り、それにより得た情報を危機管理表４３３ａに書き込む。また、ホスト１１からの要求に応じて危機管理表４３３ａを更新する。この更新は、オンライン中、あるいはオフラインのいずれの場合も可能になっている。つまり、実行中の対策制御処理の部分の更新が動的に可能になっている。
対策制御処理の内容としては、例えばＩＣカード５１とホスト１１とを直接結ぶ完全オンライン処理の要求、統計値の報告要求、カードを排出しない、警告を鳴らす、データを受けない等の処理がある。
対策制御処理部４３２は、統計値の報告要求の際には、各項目の統計値をホスト１１の端末監視処理装置１１１に送る。また、オンライン処理要求の際には、カードリーダライタ４５とホスト１１のオンライン処理装置１１２とを接続し、ＩＣカード５１との情報の授受がホスト１１により直接に制御されるようにする。
【００１７】
主制御部４３１と対策制御処理部４３２には、デバイス管理部４３４を介して通信制御部４３５，カード制御部４３６，および警報制御部４３７が接続されている。デバイス管理部４３４は、対策制御処理部４３２が必要な処理を実行する際に、デバイスのアドレス割当等を行うものである。このアドレス割当等を受けて、通信制御部４３５は通信装置４２を制御し、カード制御部４３６はカードリーダライタ４５のカード装着／離脱機構やカード情報のアクセスを制御し、警報制御部４３７はカードリーダライタ４５，警報ブザー４６の制御を行う。
【００１８】
主制御装置４３は、また、カウンタ処理部４３８、カウンタ格納部４３９、不正検知部４４０、および動作時間間隔等を計測するための時間計測部（タイマおよびその附属装置）４４１を備えている。
カウンタ処理部４３８は、不正発生回数を集計する第１カウンタＡと，不正操作の可能性のある回数を集計する第２カウンタＢを備えており、それぞれのカウンタ値をカウンタ格納部４３９のテーブル４３９ｂに格納する。カウンタ格納部４３９は、例えばＥＥＰＲＯＭ（書換可能なＲＯＭ）で構成され、取引データがあるときはそれを格納する取引データ格納部４３９ａが形成される。なお、カウンタ格納部４３９は、ホスト１１が任意の時点でその内容を参照可能なように構成されている。
【００１９】
不正検知部４４０は、ＩＣカード５１の正当性を確認するための認証処理部４４０ａと、不正検知に必要な演算処理を行う演算処理部４４０ｂとから構成されている。不正検知処理については後述する。
【００２０】
以上の構成の端末４１において利用されるＩＣカード５１の詳細ブロック構成を図３に示す。
この種のＩＣカードは、一般にＣＰＵ、ＲＯＭ、ＲＡＭ、ＥＥＰＲＯＭを備えている。そこで、本実施形態は、図３に示すように、ＣＰＵ５１２に、通信制御部５１２ａ、実行制御部５１２ｂ、数値演算処理部５１２ｃを形成し、ＲＯＭ５１３に、処理プログラム格納部５１３ａ、カウンタ処理部５１３ｂ、認証処理部５１３ｃを形成する。
カウンタ処理部５１３ｂは、不正発生回数を計測する第１カウンタＡ、および不正操作の可能性のある回数を計測する第２カウンタＢの機能を備えている。ＥＥＰＲＯＭ５１４には、端末４１が備えるものと同一内容のカウンタ格納部５１４を形成しておく。ＲＡＭ５１５はワークエリア５１５ａとして用いる。なお、ＣＰＵ５１２には、外部インタフェース５１１が接続される。
【００２１】
本実施形態では、上記構成のＩＣカード５１を通じて端末４１の不正操作ないし不正操作の可能性があることを検知する不正検知機能をＩＣカード５１自体にも持たせる。この不正検知機能の概要を、端末４１との間で電文を送受信する場合の実行制御部５１２ｂでの処理手順例を示す図４、および電文の流れを示した図５にしたがって説明する。
【００２２】
図４を参照すると、まず、電文番号であるｎ＝１を設定して（ステップ（以下、Ｓ）１）、電文ｎの受信待ちとする（Ｓ２）。電文ｎが受信されたか否かを判断し（Ｓ３）、受信された場合には（Ｓ３：Ｙｅｓ）、第２カウンタＢ−（ｎー１） をカウントダウンして（Ｓ４）、誤り訂正符号をチェックする（Ｓ５）。誤り訂正符号が正しければ（Ｓ５：ＯＫ）、電文の正当性をチェックする（Ｓ６）。正当ならば（Ｓ６：ＯＫ）、正しいレスポンス電文ｎを作成し（Ｓ７）、そのレスポンス電文ｎを相手方に送信する（Ｓ８）。図５（ａ）はこの様子を示すものである。その後、その電文ｎについての通信が終了したか否かを判断し（Ｓ９）、通信終了ならば（Ｓ９：Ｙｅｓ）、そのまま処理を終了する。
【００２３】
上記Ｓ３の処理において、電文ｎが受信されない場合には（Ｓ３：Ｎｏ）、電文ｎの受信待ちがタイムアウトか否かを判断し（Ｓ１０）、タイムアウトでなければ（Ｓ１０：Ｎｏ）、Ｓ２の処理に戻り、タイムアウトであれば（Ｓ１０：Ｙｅｓ）タイムアウトに対応した電文ｎを作成し（Ｓ１１）、Ｓ８の処理に移行する。また、上記Ｓ５において、誤り訂正符号に誤りがあった場合には（Ｓ５：ＮＧ）、伝送エラーに対応した電文ｎを作成して（Ｓ１２）、Ｓ８に移行する。図５（ｂ），（ｄ）は、この様子を示すものである。
【００２４】
一方、上記Ｓ６の処理において、電文ｎが正当でない場合には、第１カウンタＡ−ｎをカウントアップするとともに（Ｓ１３）、操作者が判らないような見せかけの偽電文を作成して（Ｓ１４）、Ｓ８に移行する。この偽電文は電文毎に異なるものとする。図５（ｃ）は、この様子を示すものである。
また、上記Ｓ９において、通信終了でない場合には（Ｓ９：Ｎｏ）、図５（ｄ）に示すように第２カウンタＢ−ｎをカウントアップするとともに（Ｓ１５）、電文番号をｎ＝ｎ＋１として（Ｓ１６）、Ｓ２の処理に戻る。
【００２５】
以上のように、上記Ｓ６の処理では、暗号化・復号化・電子署名を用いた認証技術、コマンド／レスポンスのフォーマットチェックなどにより電文の正当性をチェックする。そして、正当でないと判断した場合には第１カウンタＡをカウントアップし、見せかけの偽電文を作成して送信する。正当な場合は正当なレスポンス電文を作成し、送信する。後続電文を受信する予定がある場合は、第２カウンタＢをカウントアップしておいて、受信待ちする。次の電文を受信した場合は、カウンタＢがカウントダウンして元に戻るが、不正や伝送エラーにより次の電文が待ち時間内に受信できなかった場合は、第２カウンタＢはカウントアップされたままの状態となり、決められた伝送手順に従って、電文を送信する。不正操作を検知した場合にも正常な場合と同じ回数だけ電文のやりとりを続けて行う。また、偽電文は毎回異なるものにする。これにより、操作者に気づかれずに、不正操作による伝送エラーの場合には第１カウンタＡ、不正操作でも伝送エラーでも起こり得るエラー（不正操作の可能性がある）の場合には第２カウンタＢをカウントアップしてカウンタ格納部５１４に蓄積することができる。
【００２６】
ＩＣカード５１の実行制御部５１２ｂは、また、端末４１と通信を行うときに、カウンタ格納部５１４の蓄積情報を端末４１のカウンタ格納部４３９に送信する機能を有する。これにより端末４１では、図６に示すように、ＩＣカード５１側の電文番号に対応するカウンタ値Ａーｎ，Ｂ−ｎと同一のカウンタ値Ａ’ーｎ，Ｂ’−ｎをカウンタ格納部４３９に蓄積することができる。これにより、端末４１において、ＩＣカード５１に対して行われた不正操作、ないし異常が発生した状況を知ることができ、必要な対策制御処理を行うことができる。これは、ＩＣカード５１を通じて端末４１に不正アクセスを行おうとする者（以下、攻撃者）がどこまでアクセスに成功したかという情報を知ることができないうちに、端末４１側で必要な対策を採り得ることを意味する。また、攻撃者にとって完全に不正アクセスを成功させることが著しく困難になることを意味する。
【００２７】
次に、上記ＩＣカード５１、端末４１、サイト内制御装置３１、およびホスト１１を接続した場合のシステム運用例を具体的に説明する。
【００２８】
通常、端末４１は、ＩＣカード５１が利用されたとき、上述のように、端末４１のカウンタ格納部４３９内に、不正発生（不正操作）ないし不正発生の可能性がある状況を蓄積し、所定の時間帯や不正回数のうちはホスト１１と通信し、情報交換を行う「集計処理モード」、すなわちオフラインで動作する。しかし、「不正の発生状況が異常」と判断した場合には、ホスト１１とカードリーダライタ４５とを接続して、ホスト１１が直接ＩＣカード５１のチェックを行う「オンラインモード」に切り換える。また、利用されたカード５１が不正（不正操作がある）、または利用状況が不正と判断された場合には利用の制限を行う。これらの制御処理は、端末４１内の危機管理表４３３ａに基づいて対策制御処理部４３２が自動実行する。
【００２９】
ここで用いる端末４１の危機管理表４３３ａの一例を図７に示す。
この危機管理表４３３ａは、電子現金、プリペイド、電子小切手等の額面をデータとして、これらのデータを扱う情報通信システムを想定した場合の例である。ここでは、管理項目毎に管理限界値を持ち、管理限界値に対応して対策制御処理の内容が設定される。管理項目としては以下のようなものを設定する。
【００３０】
（データ利用間隔）
データ利用間隔ｔを管理項目とする。システムの性質上、ある時間間隔を超えるように利用が考えられない場合、その時間間隔を管理限界値とする。この場合の対策制御処理部４３２が実行する内容としては、管理限界値を超える利用間隔であることを検知したとき、次のデータ利用を不可能にしてサービスを行わない、あるいは利用データ量に制限を加えるようにする。これにより、暗号化／復号化、認証などによって検知できなかった不正操作による損害を格段に低減させることができる。
【００３１】
（データＩＤ、カードＩＤ）
データ毎にＩＤ情報が付されている場合、またはＩＣカード５１毎にＩＤ情報が付されている場合に、これらＩＤ情報を管理項目として設定する。対策制御処理部４３２は、特定のＩＤ情報が付されたデータやＩＣカード５１に正当なものと不正なものがあることが判っている場合、カードリーダライタ４５に装着されたＩＣカードを排出しないようにする。あるいは、不正なデータやＩＣカード、取引、年月日に対する処理を再現しないようにする。これにより、システム運用の安全性が低下することを防ぐことができる。
【００３２】
（センタと通信不可（オフライン）時のデータ利用量）
センタ（ホスト１１）との通信不可時に利用されるデータ量ｃを管理項目とする。センタでのみ検出できる不正や移動動作がある場合に設定する。通常は無条件で利用可能とする。対策制御処理部４３２は、この値が、ある値（ｃ＝１，０００）以上では当日に同じサイトで発行・提供されたデータのように、信頼性の高いデータのみ利用できるようし、より厳しい値（ｃ＝１０，０００）以上になった場合にはデータ利用動作を停止させる。これにより、オフライン時に検出できない不正操作による損害を低減することができる。
【００３３】
（不正検知カウンタ、不正らしさ検知カウンタ）
ＩＣカード５１や端末４１の不正検知カウンタ（第１カウンタＡ）、不正らしさカウンタ（第２カウンタＢ）をそれぞれ管理項目とする。通常は無条件で利用可能とする。対策制御処理部４３２は、カウンタ値が各管理限界値以上の場合、管理限界値の大きさに対応した対策制御処理を行う。つまり、管理限界値が厳しくなるに応じて、使用履歴管理と利用制限を厳しくする。この場合の対策制御処理の具体例として以下のようなものが挙げられる。
（１）端末４１内にＩＤとカウンタ値を蓄積するとともに、蓄積情報を一定のタイミングでサイト内制御装置３１に送信する。
（２）ＩＣカード５１の利用時にサイト内制御装置３１に所要データを送信する。
（３）操作者が利用できるサービスを制限する。
（４）ＩＣカード５１をロックし、ホスト１１にカードＩＤを送信する。
これにより不正状況の情報を上位装置に必要最低限だけ送ることができ、通信量の節減を図ることができる。
【００３４】
（カードマスタ検索時のデータ利用量）
ＩＣカード５１を電子財布として使用し、その利用残高や管理情報を含むカードマスタ情報を同サイトや他サイトのサイト内制御装置から検索する場合、検索を行っている時間内のデータ利用量を管理項目とする。
対策制御処理部４３２は、データ利用量が管理限界値以上の場合、そのカードアクセスを停止させる。これにより、カードマスタ情報を参照する時間が長い場合でも、不正による損害を一定に抑えて、サービスを停止せずに運用することができる。
【００３５】
対策制御処理部４３２が行う上記処理の概略的な流れを図８に示す。
動作間隔を管理項目としている場合は、動作を行う前に時間計測部４４１で計測した時刻を読み出し（Ｓ２１）、前の処理との動作間隔を算出する（Ｓ２２）。続いて、通信ないしカードアクセスを行った後（Ｓ２３）、集計処理モード（オフライン）か否かを判断する（Ｓ２４）。
集計処理モードの場合（Ｓ２４：Ｙｅｓ）は、装置内の危機管理表４３３ａに従って処理を行う。集計処理モードでない場合（Ｓ２４：Ｎｏ）にはオンラインモードで動作し、ホスト１１の指示に従って処理を行う。
【００３６】
集計処理モードの場合は、管理項目ｋに１を代入し（Ｓ２５）、計測値・統計値Ｃｋの収集・算出を行う（Ｓ２６）。次に、限界値の数ｉを設定し（Ｓ２７）、上記Ｃｋの値と管理限界値Ｌｋｉとを比較する（Ｓ２８）。Ｃｋ ＜Ｌｋｉならば、ｉが１か否かを判断し（Ｓ２９）、ｉ＝１ならば、ｋの値が管理項目数ｋに等しいか否かを判断する（Ｓ３０）。等しければそのモードの処理を終了する。
一方、Ｓ２８の処理において、Ｃｋ ≧Ｌｋｉならば、対策（ｋｉ）を実行し（Ｓ３１）、Ｓ２９の処理において、ｉ＝１でなければｉ＝ｉ−１として（Ｓ３２）、Ｓ２８の処理に戻る。Ｓ３０において、ｋが管理項目数ｋに達していない場合は、ｋ＝ｋ＋１として（Ｓ３３）、Ｓ２６の処理に戻る。
【００３７】
すなわち、集計処理モードでは、通信動作あるいはカードアクセスによって得られた情報や前の処理との時間間隔等から、各管理項目に従って「統計値・計測値」を算出する。次に「統計値・計測値」を管理限界値と比較し、「管理限界値」以上の場合には対応する「対策制御処理」を行う。複数の管理限界値がある場合には、条件を満たす最も厳しい管理限界値に対応する「対策制御処理」を行う。全ての管理項目に対し管理限界値との比較を行い、そのモードを終了する。
【００３８】
一方、オンラインモードの場合は、ホスト１１にカードアクセスにより得た情報を送信する（Ｓ３４）。そして、ホスト１１からの返信情報を受信し（Ｓ３５）、その返信情報に含まれる指示に従ってサービス実施や動作停止等の処理を実行して（Ｓ３６）、そのモードを終了する。
【００３９】
このように、端末４１に危機管理表４３３ａを備えることで不正操作ないし不正操作の可能性がある場合に、端末４１が、主導的に、あるいはホスト１１からの指示を受けて直ちに必要な対策制御処理を施すことが可能になる。また、端末４１における現在の監視情報、例えばカウンタ格納部４３９に蓄積されている情報等をホスト１１が随時収集することで、システム全体の安全性がどこまで低下したかを知ることができ、システム更新の時期や次の対策の指標を得ることができる。また、収集した監視情報に基づき危機管理表４３３ａの内容を随時更新することで、不正操作に基づくサービス実施その他の処理を未然に防止することができ、安全にシステムを維持することができる。
【００４０】
なお、以上は、危機管理表を端末４１に備えた場合の例であるが、ホスト１１、サイト内制御装置３１、端末４１に各々自端末固有の危機管理表を持たせることが好ましい。特に、システムが階層構造の場合、各階層毎に危機管理表を備えることが好ましい。
【００４１】
図９に、ホスト１１−サイト内制御装置３１−端末４１の３階層に、各目的に応じた危機管理表を備える例を示す。この場合、ホスト１１およびサイト内制御装置３１は、端末４１における対策制御処理部４３２と同様のデータ処理手段を備えている。
【００４２】
ホスト用危機管理表は、例えば、通信不可時の処理・対策、サイト間の使用データの管理、システム全体のデータ量の把握・管理（出力−入力）、システム全体の不正状況の管理、管理者への通知管理を目的とする。
サイト内制御装置用危機管理表は、例えば、通信不可時の処理・対策、サイト内でのデータ量の管理・把握（出力−入力）、入出力の傾向管理、サイト内の不正状況の管理、センタへの通知管理を目的とする。
端末用危機管理表は、図７に示したような管理項目、対策・処理を設定する。
【００４３】
このような目的で備えられるサイト内制御装置３１内の危機管理表では、ホスト１１との通信不可時に利用されたデータの量や、通常時のサイト内のデータ量、不正の傾向が管理項目となる。通常時のサイト内のデータ量としては、下記計算式に示される、発行・提供したデータ（出力データ）と利用されたデータ（入力データ）の差・割合や、利用されたデータにおける「他サイトで発行・提供したデータ」の量・割合が管理される。この場合の対策制御処理としては、ホスト１１への通知や、利用データの制限、利用可能な装置の制限が挙げられる。
（計算式）
＜出力データと入力データの差＞＝（出力データ）−（入力データ）
＜出力データと入力データの割合＞＝（出力データ）／（入力データ）
＜他サイト発行・提供データの割合＞＝（他サイト出力データ）／（入力データ）
【００４４】
ホスト１１内の危機管理表では、サイト間のデータの移動量や、システム全体における出力データと入力データの差・割合、不正発生回数、サイト内制御装置３１との通信不可時の不正発生回数、通信不正時間が管理項目となる。この場合の対策制御処理としては、管理者への通知、利用データの制限、サイト内制御装置３１や端末４１内の危機管理表の更新等が挙げられる。
【００４５】
このように、本実施形態の情報通信システムでは、暗号方法の変更等のシステム更新時期の指標を容易且つ少ない負荷で得ることができる。しかも、高いセキュリティを維持できることから、電子現金等の財貨を扱うシステムを安全に構築することができる。また、大規模なシステムで細かな危機管理を行いたい場合に、該危機管理に必要な負荷を分散させ、利用に要する時間を短縮できる点で有効となる。
【００４６】
【発明の効果】
以上詳述したように、本発明によれば、オフラインでＩＣカードに不正操作がなされた場合であっても、それを利用する情報処理端末あるいは上位装置で不正操作の状況を確実に収集することができる効果がある。また、不正操作を検知した場合には、ＩＣカードが攻撃者が判らないような偽電文を送るため、複数の電文をやりとりする処理では、攻撃者に対して必要な情報を与えることがない。よって、全ての暗号鍵や認証処理の手順を完全に知られない限り、セキュリティを破られにくく、高いセキュリティを確保できる効果がある。
【００４７】
さらに、不正操作と断定できない異常動作については、監視情報に基づいて詳細な状況を得ることができ、不正操作や不正操作らしい動作の検知・対策制御処理によるセンタの負荷も少なく、不正操作と断定できない不正操作が発生した場合にも、損害を抑えることができる効果がある。
【００４８】
加えて、必要時だけオンラインチェックに切り換わるようにすることができるため、安全性を高めた場合にも回線使用のコストを削減できる効果がある。また、回線の不具合でホスト等と通信できなくなった場合に、情報処理端末を動作させ続けても、不正に基づく損害を抑えることができる。
【００４９】
さらに、危機管理表の内容を運用中に動的に更新することにより、システム設計時に予測されなかった不正状況が発生しても、それに起因する損害を削減できるという効果がある。
【図面の簡単な説明】
【図１】本発明の一実施形態に係る情報通信システムの全体構成を示すブロック図。
【図２】この実施形態による端末の詳細ブロック構成図。
【図３】この実施形態によるＩＣカードの内部ブロック構成図。
【図４】ＩＣカードにおける、不正ないし不正らしき電文の検知・対策・発生状況の収集の手順を示すフローチャート。
【図５】ＩＣカードに不正検知機能をもたせる場合の、端末間の電文の流れを示す図。
【図６】端末とＩＣカードに備えられるカウンタ格納部の関係説明図。
【図７】この実施形態における危機管理表の一例を示す説明図。
【図８】危機管理表を用いた端末装置での対策制御処理の手順説明図。
【図９】ホスト−サイト内制御装置−端末の３階層に危機管理表を備えた情報通信システムの接続状態説明図。
【符号の説明】
１１ ホストコンピュータ
１１１ 端末監視処理装置
１１２ オンライン処理装置
１１３ 危機管理表格納部
１１３ａ ホストの危機管理表
２１ 通信回線
３１ サイト内制御装置
４１ 端末（情報処理端末）
４３ 主制御装置
４３１ 主制御部
４３２ 対策制御処理部
４３３ 危機管理表格納部
４３３ａ 危機管理表
４３４ デバイス管理部
４３５ 通信制御部
４３６ カード制御部
４３７ 警報制御部
４３８ カウンタ処理部
４３９ カウンタ格納部
４４０ 不正検知部
４４１ 時間計測部
５１ ＩＣカード
５１２ ＩＣカードのＣＰＵ
５１２ｂ 実行制御部
５１３ ＩＣカードのＲＯＭ
５１３ｂ カウンタ処理部
５１４ ＩＣカードのＥＥＰＲＯＭ内に構成されるカウンタ格納部
５１５ ＩＣカードのＲＡＭ
【発明の属する技術分野】
本発明は、ＩＣカードを利用した情報通信システムに係り、特にＩＣカードを通じて行われる不正操作への対策制御技術に関する。
【０００２】
【従来の技術】
従来より、ネットワークにより上位情報処理端末（上位装置、以下、センタと称する）と下位情報処理端末（下位装置、以下、単に端末と称する）とを接続して情報の授受を行う情報通信システムが、種々の産業界において開発され、利用されている。一般に、この種の情報通信システムでは、センタから多数の端末の動作を常時監視あるいは制御するオンライン方式と、センタと端末との間で、監視項目のデータ，監視結果，評価データ等の監視情報、あるいは監視プログラムを定期的に授受することで、基本的に端末側だけで動作の監視あるいは制御するオフライン方式とが採用されている。
このような情報通信システムにおいては、運用上のセキュリティの確保や、不正操作に対する管理体制の強化が重要な課題となっている。この対応策として、従来よりＩＣカードの利用が有効であると考えられている。すなわち、ＩＣカードにユーザＩＤ情報や暗号鍵等の送受信機能を持たせ、このＩＣカードを端末に装着したときにユーザＩＤ情報等の認証を行い、正当であることが確認できたときにのみシステムの利用を可能とする。
【０００３】
【発明が解決しようとする課題】
上記のようにＩＣカードを利用する情報通信システムにおいては、暗号化／復号化、認証手段などのセキュリティが施されているが、暗号鍵や認証手順などが知られてしまうと、容易に不正操作が行われてしまう。特に、オフラインの状態でＩＣカードに対して種々の不正操作の試みがなされ、ＩＣカード自身に改ざんが施された場合、ＩＣカードの認証を行う端末、あるいはこの端末に接続されたセンタ側では、不正操作の状況やＩＣカードのセキュリティがどこまで破られたかを知ることができない問題があった。
【０００４】
また、センタ側で端末の監視を常時オンラインで行うか、時間や処理回数等を基準に定期的に監視情報を交換するようにして端末側でオフラインの状態で監視するかは、システム構築時にしか選択することができない。そのため、この種の情報通信システムでは、センタに設けられるホストコンピュータ（以下、ホスト）と端末との間の通信を減らして効率的に端末の動作監視を行ったり、ホストでのリアルタイムな動作監視を行ったりすることなどを、運用中に変更することができなかった。
【０００５】
本発明の主たる課題は、ＩＣカードを用いた情報通信システムにおいて、オフラインで行われた不正操作の状況やＩＣカードのセキュリティが破られた過程を検知することができ、不正操作を検知したときは速やかに対策制御処理を行って、不正操作に起因する被害を最小限に抑える技術を提供することにある。
本発明の他の課題は、ＩＣカードを利用する端末とホストとを結んで構成される情報通信システムにおいて、稼働状況に応じて端末の運用形態をリアルタイムに変更できるようにすることにある。
【０００６】
【課題を解決するための手段】
上記の主たる課題を解決するため、本発明は、まず、不正操作ないし不正操作の可能性を検知し得る機能を備えたＩＣカードを提供する。
第１構成のＩＣカードは、情報処理端末から送られる電文が正常か否かを判定する手段と、前記電文が異常で且つ該異常が不正操作に基づくと判定した場合に、操作者が判らないような見せかけの偽電文を前記判定の度に生成して前記情報処理端末に返信する手段と、前記生成した偽電文の返信情報を蓄積する手段と、を有することを特徴とする。
【０００７】
また、第２構成のＩＣカードは、情報処理端末から送られる電文が正常か否かを判定する手段と、前記電文が異常で且つ該異常が不明の場合に、その旨を表す対応電文を生成して前記情報処理端末に返信する手段と、前記生成した対応電文の返信情報を蓄積する手段と、を有することを特徴とする。
上記偽電文または対応電文を返信する場合、受信した情報処理端末側では直ちに必要な対策制御処理を行ってもよく、そのまま自端末の運用を継続させておいて、必要な時点で対策制御処理を行うようにしてもよい。
【０００８】
本発明は、また、前述の情報通信システムの下位装置としての利用に適した情報処理端末を提供する。この情報処理端末は、装着されるＩＣカードとの間で電文の送受を行う手段と、前記ＩＣカードから送られる電文が正常か否かを判定する手段と、前記電文が異常で且つ前記ＩＣカードに対する不正操作ないし不正操作の可能性があると判定した場合に、前記ＩＣカードに正常時と異なる電文を生成して返信する手段と、前記生成した電文の返信情報を蓄積する手段と、を有することを特徴とする。
【０００９】
他の形態の情報処理端末として、前記自端末に蓄積した返信情報または上記本発明のＩＣカードより取得した返信情報から前記ＩＣカードを通じて行われた不正操作ないし不正操作の可能性を検知する不正検知手段と、この不正検知手段が不正操作ないし不正操作の可能性を検知したときに予め検知内容毎に定めた対策制御処理を実行する不正対策処理手段と、を備える構成も可能である。
このような構成において、不正対策処理手段は、前記不正検知手段で検知した不正の状況に応じて対策制御処理の内容を動的に更新することができるように構成することが好ましい。
【００１０】
本発明は、さらに、ＩＣカードと情報処理端末とを利用した、改良された情報通信システムを提供する。この情報通信システムは、上位情報処理端末（上位装置）と、オンラインまたはオフラインで上位装置に接続される下位情報処理端末（下位装置）と、下位装置との間で電文の送受を行うＩＣカードとから成る。
下位装置には、前記ＩＣカードのアクセスに起因する異常現象の出現率と該ＩＣカードのアクセス状況とを含む監視情報を蓄積する手段を備える。
また、上位装置には、前記下位装置から前記監視情報を取得する手段と、前記取得した監視情報に基づき前記ＩＣカードまたは下位装置に対する不正操作ないし不正操作の可能性を検知する不正検知手段と、前記不正検出手段が不正操作ないし不正操作の可能性を検知したときに予め不正内容毎に定めた対策制御処理を実行する不正対策処理手段と、を備える。ここにいう監視情報とは、ＩＣカードのアクセスに起因して生じる、システムの安全性の程度を表す情報をいう。必要に応じて上述の各返信情報を含ませることができる。
このような情報通信システムにおいて、前記不正検知手段は、前記ＩＣカードのアクセス時における異常現象の出現率と接続状況とを計測することで前記不正を検知し、前記不正対策処理手段は、前記不正検知手段で検知した不正の状況に応じて前記対策制御処理の内容を動的に更新するように構成することが好ましい。
【００１１】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を詳細に説明する。
本発明の一実施形態による情報通信システムの全体構成例を図１に示す。
図１を参照すると、上位装置として機能するセンタは、ホストコンピュータ（以下、単にホストと称する）１１を備えている。ホスト１１には、通信回線２１を通じて、複数のサイト（ビル、店舗などの単位の総称、以下同じ）内のサイト内制御装置３１が接続されている。各サイト内制御装置３１には、ＬＡＮ（ローカルエリアネットワーク）等を通じて、多数の下位装置である端末（図１では端末Ａを代表して示す）４１が接続されている。端末４１は、ＩＣカード５１によってアクセス（データその他の情報の書込／読出、以下同じ）可能となっている。
【００１２】
ホスト１１は、サイト内制御装置３１や各端末４１の動作、不正発生状況等を収集して管理者に知らせ、管理者からの指示により必要な対策、管理限界値等の変更等の処理を行う端末監視処理装置１１１と、ブラックリストの作成／参照、詳細なチェック機能、ホストキー照合等を行うオンライン処理装置１１２と、端末毎の動作，不正発生の内容や回数，それぞれの不正内容への対策制御処理，管理限界値をまとめた危機管理表１１３ａを格納する危機管理表格納部１１３と、サイト内制御装置３１や端末４１との通信を行うための通信装置１１４とを備えている。危機管理表１１３ａには、後述の端末４１の危機管理表４３３ａと対応した設定情報が格納されている。
【００１３】
サイト内制御装置３１は、例えば電子現金情報を扱う場合のカードマスタ情報（ＩＤ、利用残高、その他の管理情報）を格納するカードマスタ情報格納部３１１や、カードマスタ情報の読み出し、あるいは書き込みを制御する手段（図示省略）が備えられている。
【００１４】
端末４１は、サイト内制御装置３１やホスト１１と通信を行うための通信装置４２と、データの正当性確認、データ照合、取引傾向の集計、不正発生状況の集計、動作時間の測定のほか、ＩＣカード５１を通じて行われる不正操作その他の異常処理状態を検出して必要な対策制御処理を実行する主制御装置４３と、操作者が入力するデータを入力するとともに主制御装置４３の処理結果を出力する入出力装置４４と、ＩＣカード５１を離脱自在に装着するとともに、カード情報の読み書きを行うカードリーダライタ４５と、警報ブザー４６とを備えて構成される。
【００１５】
図２に、主制御装置４３の詳細なブロック構成例を示す。
主制御装置４３は、装置全体の制御を統括する主制御部４３１と、危機管理表格納部４３３に格納された危機管理表４３３ａに基づいて必要な対策制御処理を行う対策制御処理部４３２とを備えて、不正対策処理手段を実現している。
危機管理表４３３ａは、対策制御処理部４３２が認識可能なテーブル形式の構造を有し、自端末についての不正発生の内容やその回数，各不正内容への対策制御処理，管理限界値とその統計値の情報が格納されている。
【００１６】
主制御部４３１は、サイト内制御装置３１のカードマスタ情報格納部３１１との間で所要の情報を交換し合い、あるいはＩＣカード５１からのメモリ情報を読み取り、それにより得た情報を危機管理表４３３ａに書き込む。また、ホスト１１からの要求に応じて危機管理表４３３ａを更新する。この更新は、オンライン中、あるいはオフラインのいずれの場合も可能になっている。つまり、実行中の対策制御処理の部分の更新が動的に可能になっている。
対策制御処理の内容としては、例えばＩＣカード５１とホスト１１とを直接結ぶ完全オンライン処理の要求、統計値の報告要求、カードを排出しない、警告を鳴らす、データを受けない等の処理がある。
対策制御処理部４３２は、統計値の報告要求の際には、各項目の統計値をホスト１１の端末監視処理装置１１１に送る。また、オンライン処理要求の際には、カードリーダライタ４５とホスト１１のオンライン処理装置１１２とを接続し、ＩＣカード５１との情報の授受がホスト１１により直接に制御されるようにする。
【００１７】
主制御部４３１と対策制御処理部４３２には、デバイス管理部４３４を介して通信制御部４３５，カード制御部４３６，および警報制御部４３７が接続されている。デバイス管理部４３４は、対策制御処理部４３２が必要な処理を実行する際に、デバイスのアドレス割当等を行うものである。このアドレス割当等を受けて、通信制御部４３５は通信装置４２を制御し、カード制御部４３６はカードリーダライタ４５のカード装着／離脱機構やカード情報のアクセスを制御し、警報制御部４３７はカードリーダライタ４５，警報ブザー４６の制御を行う。
【００１８】
主制御装置４３は、また、カウンタ処理部４３８、カウンタ格納部４３９、不正検知部４４０、および動作時間間隔等を計測するための時間計測部（タイマおよびその附属装置）４４１を備えている。
カウンタ処理部４３８は、不正発生回数を集計する第１カウンタＡと，不正操作の可能性のある回数を集計する第２カウンタＢを備えており、それぞれのカウンタ値をカウンタ格納部４３９のテーブル４３９ｂに格納する。カウンタ格納部４３９は、例えばＥＥＰＲＯＭ（書換可能なＲＯＭ）で構成され、取引データがあるときはそれを格納する取引データ格納部４３９ａが形成される。なお、カウンタ格納部４３９は、ホスト１１が任意の時点でその内容を参照可能なように構成されている。
【００１９】
不正検知部４４０は、ＩＣカード５１の正当性を確認するための認証処理部４４０ａと、不正検知に必要な演算処理を行う演算処理部４４０ｂとから構成されている。不正検知処理については後述する。
【００２０】
以上の構成の端末４１において利用されるＩＣカード５１の詳細ブロック構成を図３に示す。
この種のＩＣカードは、一般にＣＰＵ、ＲＯＭ、ＲＡＭ、ＥＥＰＲＯＭを備えている。そこで、本実施形態は、図３に示すように、ＣＰＵ５１２に、通信制御部５１２ａ、実行制御部５１２ｂ、数値演算処理部５１２ｃを形成し、ＲＯＭ５１３に、処理プログラム格納部５１３ａ、カウンタ処理部５１３ｂ、認証処理部５１３ｃを形成する。
カウンタ処理部５１３ｂは、不正発生回数を計測する第１カウンタＡ、および不正操作の可能性のある回数を計測する第２カウンタＢの機能を備えている。ＥＥＰＲＯＭ５１４には、端末４１が備えるものと同一内容のカウンタ格納部５１４を形成しておく。ＲＡＭ５１５はワークエリア５１５ａとして用いる。なお、ＣＰＵ５１２には、外部インタフェース５１１が接続される。
【００２１】
本実施形態では、上記構成のＩＣカード５１を通じて端末４１の不正操作ないし不正操作の可能性があることを検知する不正検知機能をＩＣカード５１自体にも持たせる。この不正検知機能の概要を、端末４１との間で電文を送受信する場合の実行制御部５１２ｂでの処理手順例を示す図４、および電文の流れを示した図５にしたがって説明する。
【００２２】
図４を参照すると、まず、電文番号であるｎ＝１を設定して（ステップ（以下、Ｓ）１）、電文ｎの受信待ちとする（Ｓ２）。電文ｎが受信されたか否かを判断し（Ｓ３）、受信された場合には（Ｓ３：Ｙｅｓ）、第２カウンタＢ−（ｎー１） をカウントダウンして（Ｓ４）、誤り訂正符号をチェックする（Ｓ５）。誤り訂正符号が正しければ（Ｓ５：ＯＫ）、電文の正当性をチェックする（Ｓ６）。正当ならば（Ｓ６：ＯＫ）、正しいレスポンス電文ｎを作成し（Ｓ７）、そのレスポンス電文ｎを相手方に送信する（Ｓ８）。図５（ａ）はこの様子を示すものである。その後、その電文ｎについての通信が終了したか否かを判断し（Ｓ９）、通信終了ならば（Ｓ９：Ｙｅｓ）、そのまま処理を終了する。
【００２３】
上記Ｓ３の処理において、電文ｎが受信されない場合には（Ｓ３：Ｎｏ）、電文ｎの受信待ちがタイムアウトか否かを判断し（Ｓ１０）、タイムアウトでなければ（Ｓ１０：Ｎｏ）、Ｓ２の処理に戻り、タイムアウトであれば（Ｓ１０：Ｙｅｓ）タイムアウトに対応した電文ｎを作成し（Ｓ１１）、Ｓ８の処理に移行する。また、上記Ｓ５において、誤り訂正符号に誤りがあった場合には（Ｓ５：ＮＧ）、伝送エラーに対応した電文ｎを作成して（Ｓ１２）、Ｓ８に移行する。図５（ｂ），（ｄ）は、この様子を示すものである。
【００２４】
一方、上記Ｓ６の処理において、電文ｎが正当でない場合には、第１カウンタＡ−ｎをカウントアップするとともに（Ｓ１３）、操作者が判らないような見せかけの偽電文を作成して（Ｓ１４）、Ｓ８に移行する。この偽電文は電文毎に異なるものとする。図５（ｃ）は、この様子を示すものである。
また、上記Ｓ９において、通信終了でない場合には（Ｓ９：Ｎｏ）、図５（ｄ）に示すように第２カウンタＢ−ｎをカウントアップするとともに（Ｓ１５）、電文番号をｎ＝ｎ＋１として（Ｓ１６）、Ｓ２の処理に戻る。
【００２５】
以上のように、上記Ｓ６の処理では、暗号化・復号化・電子署名を用いた認証技術、コマンド／レスポンスのフォーマットチェックなどにより電文の正当性をチェックする。そして、正当でないと判断した場合には第１カウンタＡをカウントアップし、見せかけの偽電文を作成して送信する。正当な場合は正当なレスポンス電文を作成し、送信する。後続電文を受信する予定がある場合は、第２カウンタＢをカウントアップしておいて、受信待ちする。次の電文を受信した場合は、カウンタＢがカウントダウンして元に戻るが、不正や伝送エラーにより次の電文が待ち時間内に受信できなかった場合は、第２カウンタＢはカウントアップされたままの状態となり、決められた伝送手順に従って、電文を送信する。不正操作を検知した場合にも正常な場合と同じ回数だけ電文のやりとりを続けて行う。また、偽電文は毎回異なるものにする。これにより、操作者に気づかれずに、不正操作による伝送エラーの場合には第１カウンタＡ、不正操作でも伝送エラーでも起こり得るエラー（不正操作の可能性がある）の場合には第２カウンタＢをカウントアップしてカウンタ格納部５１４に蓄積することができる。
【００２６】
ＩＣカード５１の実行制御部５１２ｂは、また、端末４１と通信を行うときに、カウンタ格納部５１４の蓄積情報を端末４１のカウンタ格納部４３９に送信する機能を有する。これにより端末４１では、図６に示すように、ＩＣカード５１側の電文番号に対応するカウンタ値Ａーｎ，Ｂ−ｎと同一のカウンタ値Ａ’ーｎ，Ｂ’−ｎをカウンタ格納部４３９に蓄積することができる。これにより、端末４１において、ＩＣカード５１に対して行われた不正操作、ないし異常が発生した状況を知ることができ、必要な対策制御処理を行うことができる。これは、ＩＣカード５１を通じて端末４１に不正アクセスを行おうとする者（以下、攻撃者）がどこまでアクセスに成功したかという情報を知ることができないうちに、端末４１側で必要な対策を採り得ることを意味する。また、攻撃者にとって完全に不正アクセスを成功させることが著しく困難になることを意味する。
【００２７】
次に、上記ＩＣカード５１、端末４１、サイト内制御装置３１、およびホスト１１を接続した場合のシステム運用例を具体的に説明する。
【００２８】
通常、端末４１は、ＩＣカード５１が利用されたとき、上述のように、端末４１のカウンタ格納部４３９内に、不正発生（不正操作）ないし不正発生の可能性がある状況を蓄積し、所定の時間帯や不正回数のうちはホスト１１と通信し、情報交換を行う「集計処理モード」、すなわちオフラインで動作する。しかし、「不正の発生状況が異常」と判断した場合には、ホスト１１とカードリーダライタ４５とを接続して、ホスト１１が直接ＩＣカード５１のチェックを行う「オンラインモード」に切り換える。また、利用されたカード５１が不正（不正操作がある）、または利用状況が不正と判断された場合には利用の制限を行う。これらの制御処理は、端末４１内の危機管理表４３３ａに基づいて対策制御処理部４３２が自動実行する。
【００２９】
ここで用いる端末４１の危機管理表４３３ａの一例を図７に示す。
この危機管理表４３３ａは、電子現金、プリペイド、電子小切手等の額面をデータとして、これらのデータを扱う情報通信システムを想定した場合の例である。ここでは、管理項目毎に管理限界値を持ち、管理限界値に対応して対策制御処理の内容が設定される。管理項目としては以下のようなものを設定する。
【００３０】
（データ利用間隔）
データ利用間隔ｔを管理項目とする。システムの性質上、ある時間間隔を超えるように利用が考えられない場合、その時間間隔を管理限界値とする。この場合の対策制御処理部４３２が実行する内容としては、管理限界値を超える利用間隔であることを検知したとき、次のデータ利用を不可能にしてサービスを行わない、あるいは利用データ量に制限を加えるようにする。これにより、暗号化／復号化、認証などによって検知できなかった不正操作による損害を格段に低減させることができる。
【００３１】
（データＩＤ、カードＩＤ）
データ毎にＩＤ情報が付されている場合、またはＩＣカード５１毎にＩＤ情報が付されている場合に、これらＩＤ情報を管理項目として設定する。対策制御処理部４３２は、特定のＩＤ情報が付されたデータやＩＣカード５１に正当なものと不正なものがあることが判っている場合、カードリーダライタ４５に装着されたＩＣカードを排出しないようにする。あるいは、不正なデータやＩＣカード、取引、年月日に対する処理を再現しないようにする。これにより、システム運用の安全性が低下することを防ぐことができる。
【００３２】
（センタと通信不可（オフライン）時のデータ利用量）
センタ（ホスト１１）との通信不可時に利用されるデータ量ｃを管理項目とする。センタでのみ検出できる不正や移動動作がある場合に設定する。通常は無条件で利用可能とする。対策制御処理部４３２は、この値が、ある値（ｃ＝１，０００）以上では当日に同じサイトで発行・提供されたデータのように、信頼性の高いデータのみ利用できるようし、より厳しい値（ｃ＝１０，０００）以上になった場合にはデータ利用動作を停止させる。これにより、オフライン時に検出できない不正操作による損害を低減することができる。
【００３３】
（不正検知カウンタ、不正らしさ検知カウンタ）
ＩＣカード５１や端末４１の不正検知カウンタ（第１カウンタＡ）、不正らしさカウンタ（第２カウンタＢ）をそれぞれ管理項目とする。通常は無条件で利用可能とする。対策制御処理部４３２は、カウンタ値が各管理限界値以上の場合、管理限界値の大きさに対応した対策制御処理を行う。つまり、管理限界値が厳しくなるに応じて、使用履歴管理と利用制限を厳しくする。この場合の対策制御処理の具体例として以下のようなものが挙げられる。
（１）端末４１内にＩＤとカウンタ値を蓄積するとともに、蓄積情報を一定のタイミングでサイト内制御装置３１に送信する。
（２）ＩＣカード５１の利用時にサイト内制御装置３１に所要データを送信する。
（３）操作者が利用できるサービスを制限する。
（４）ＩＣカード５１をロックし、ホスト１１にカードＩＤを送信する。
これにより不正状況の情報を上位装置に必要最低限だけ送ることができ、通信量の節減を図ることができる。
【００３４】
（カードマスタ検索時のデータ利用量）
ＩＣカード５１を電子財布として使用し、その利用残高や管理情報を含むカードマスタ情報を同サイトや他サイトのサイト内制御装置から検索する場合、検索を行っている時間内のデータ利用量を管理項目とする。
対策制御処理部４３２は、データ利用量が管理限界値以上の場合、そのカードアクセスを停止させる。これにより、カードマスタ情報を参照する時間が長い場合でも、不正による損害を一定に抑えて、サービスを停止せずに運用することができる。
【００３５】
対策制御処理部４３２が行う上記処理の概略的な流れを図８に示す。
動作間隔を管理項目としている場合は、動作を行う前に時間計測部４４１で計測した時刻を読み出し（Ｓ２１）、前の処理との動作間隔を算出する（Ｓ２２）。続いて、通信ないしカードアクセスを行った後（Ｓ２３）、集計処理モード（オフライン）か否かを判断する（Ｓ２４）。
集計処理モードの場合（Ｓ２４：Ｙｅｓ）は、装置内の危機管理表４３３ａに従って処理を行う。集計処理モードでない場合（Ｓ２４：Ｎｏ）にはオンラインモードで動作し、ホスト１１の指示に従って処理を行う。
【００３６】
集計処理モードの場合は、管理項目ｋに１を代入し（Ｓ２５）、計測値・統計値Ｃｋの収集・算出を行う（Ｓ２６）。次に、限界値の数ｉを設定し（Ｓ２７）、上記Ｃｋの値と管理限界値Ｌｋｉとを比較する（Ｓ２８）。Ｃｋ ＜Ｌｋｉならば、ｉが１か否かを判断し（Ｓ２９）、ｉ＝１ならば、ｋの値が管理項目数ｋに等しいか否かを判断する（Ｓ３０）。等しければそのモードの処理を終了する。
一方、Ｓ２８の処理において、Ｃｋ ≧Ｌｋｉならば、対策（ｋｉ）を実行し（Ｓ３１）、Ｓ２９の処理において、ｉ＝１でなければｉ＝ｉ−１として（Ｓ３２）、Ｓ２８の処理に戻る。Ｓ３０において、ｋが管理項目数ｋに達していない場合は、ｋ＝ｋ＋１として（Ｓ３３）、Ｓ２６の処理に戻る。
【００３７】
すなわち、集計処理モードでは、通信動作あるいはカードアクセスによって得られた情報や前の処理との時間間隔等から、各管理項目に従って「統計値・計測値」を算出する。次に「統計値・計測値」を管理限界値と比較し、「管理限界値」以上の場合には対応する「対策制御処理」を行う。複数の管理限界値がある場合には、条件を満たす最も厳しい管理限界値に対応する「対策制御処理」を行う。全ての管理項目に対し管理限界値との比較を行い、そのモードを終了する。
【００３８】
一方、オンラインモードの場合は、ホスト１１にカードアクセスにより得た情報を送信する（Ｓ３４）。そして、ホスト１１からの返信情報を受信し（Ｓ３５）、その返信情報に含まれる指示に従ってサービス実施や動作停止等の処理を実行して（Ｓ３６）、そのモードを終了する。
【００３９】
このように、端末４１に危機管理表４３３ａを備えることで不正操作ないし不正操作の可能性がある場合に、端末４１が、主導的に、あるいはホスト１１からの指示を受けて直ちに必要な対策制御処理を施すことが可能になる。また、端末４１における現在の監視情報、例えばカウンタ格納部４３９に蓄積されている情報等をホスト１１が随時収集することで、システム全体の安全性がどこまで低下したかを知ることができ、システム更新の時期や次の対策の指標を得ることができる。また、収集した監視情報に基づき危機管理表４３３ａの内容を随時更新することで、不正操作に基づくサービス実施その他の処理を未然に防止することができ、安全にシステムを維持することができる。
【００４０】
なお、以上は、危機管理表を端末４１に備えた場合の例であるが、ホスト１１、サイト内制御装置３１、端末４１に各々自端末固有の危機管理表を持たせることが好ましい。特に、システムが階層構造の場合、各階層毎に危機管理表を備えることが好ましい。
【００４１】
図９に、ホスト１１−サイト内制御装置３１−端末４１の３階層に、各目的に応じた危機管理表を備える例を示す。この場合、ホスト１１およびサイト内制御装置３１は、端末４１における対策制御処理部４３２と同様のデータ処理手段を備えている。
【００４２】
ホスト用危機管理表は、例えば、通信不可時の処理・対策、サイト間の使用データの管理、システム全体のデータ量の把握・管理（出力−入力）、システム全体の不正状況の管理、管理者への通知管理を目的とする。
サイト内制御装置用危機管理表は、例えば、通信不可時の処理・対策、サイト内でのデータ量の管理・把握（出力−入力）、入出力の傾向管理、サイト内の不正状況の管理、センタへの通知管理を目的とする。
端末用危機管理表は、図７に示したような管理項目、対策・処理を設定する。
【００４３】
このような目的で備えられるサイト内制御装置３１内の危機管理表では、ホスト１１との通信不可時に利用されたデータの量や、通常時のサイト内のデータ量、不正の傾向が管理項目となる。通常時のサイト内のデータ量としては、下記計算式に示される、発行・提供したデータ（出力データ）と利用されたデータ（入力データ）の差・割合や、利用されたデータにおける「他サイトで発行・提供したデータ」の量・割合が管理される。この場合の対策制御処理としては、ホスト１１への通知や、利用データの制限、利用可能な装置の制限が挙げられる。
（計算式）
＜出力データと入力データの差＞＝（出力データ）−（入力データ）
＜出力データと入力データの割合＞＝（出力データ）／（入力データ）
＜他サイト発行・提供データの割合＞＝（他サイト出力データ）／（入力データ）
【００４４】
ホスト１１内の危機管理表では、サイト間のデータの移動量や、システム全体における出力データと入力データの差・割合、不正発生回数、サイト内制御装置３１との通信不可時の不正発生回数、通信不正時間が管理項目となる。この場合の対策制御処理としては、管理者への通知、利用データの制限、サイト内制御装置３１や端末４１内の危機管理表の更新等が挙げられる。
【００４５】
このように、本実施形態の情報通信システムでは、暗号方法の変更等のシステム更新時期の指標を容易且つ少ない負荷で得ることができる。しかも、高いセキュリティを維持できることから、電子現金等の財貨を扱うシステムを安全に構築することができる。また、大規模なシステムで細かな危機管理を行いたい場合に、該危機管理に必要な負荷を分散させ、利用に要する時間を短縮できる点で有効となる。
【００４６】
【発明の効果】
以上詳述したように、本発明によれば、オフラインでＩＣカードに不正操作がなされた場合であっても、それを利用する情報処理端末あるいは上位装置で不正操作の状況を確実に収集することができる効果がある。また、不正操作を検知した場合には、ＩＣカードが攻撃者が判らないような偽電文を送るため、複数の電文をやりとりする処理では、攻撃者に対して必要な情報を与えることがない。よって、全ての暗号鍵や認証処理の手順を完全に知られない限り、セキュリティを破られにくく、高いセキュリティを確保できる効果がある。
【００４７】
さらに、不正操作と断定できない異常動作については、監視情報に基づいて詳細な状況を得ることができ、不正操作や不正操作らしい動作の検知・対策制御処理によるセンタの負荷も少なく、不正操作と断定できない不正操作が発生した場合にも、損害を抑えることができる効果がある。
【００４８】
加えて、必要時だけオンラインチェックに切り換わるようにすることができるため、安全性を高めた場合にも回線使用のコストを削減できる効果がある。また、回線の不具合でホスト等と通信できなくなった場合に、情報処理端末を動作させ続けても、不正に基づく損害を抑えることができる。
【００４９】
さらに、危機管理表の内容を運用中に動的に更新することにより、システム設計時に予測されなかった不正状況が発生しても、それに起因する損害を削減できるという効果がある。
【図面の簡単な説明】
【図１】本発明の一実施形態に係る情報通信システムの全体構成を示すブロック図。
【図２】この実施形態による端末の詳細ブロック構成図。
【図３】この実施形態によるＩＣカードの内部ブロック構成図。
【図４】ＩＣカードにおける、不正ないし不正らしき電文の検知・対策・発生状況の収集の手順を示すフローチャート。
【図５】ＩＣカードに不正検知機能をもたせる場合の、端末間の電文の流れを示す図。
【図６】端末とＩＣカードに備えられるカウンタ格納部の関係説明図。
【図７】この実施形態における危機管理表の一例を示す説明図。
【図８】危機管理表を用いた端末装置での対策制御処理の手順説明図。
【図９】ホスト−サイト内制御装置−端末の３階層に危機管理表を備えた情報通信システムの接続状態説明図。
【符号の説明】
１１ ホストコンピュータ
１１１ 端末監視処理装置
１１２ オンライン処理装置
１１３ 危機管理表格納部
１１３ａ ホストの危機管理表
２１ 通信回線
３１ サイト内制御装置
４１ 端末（情報処理端末）
４３ 主制御装置
４３１ 主制御部
４３２ 対策制御処理部
４３３ 危機管理表格納部
４３３ａ 危機管理表
４３４ デバイス管理部
４３５ 通信制御部
４３６ カード制御部
４３７ 警報制御部
４３８ カウンタ処理部
４３９ カウンタ格納部
４４０ 不正検知部
４４１ 時間計測部
５１ ＩＣカード
５１２ ＩＣカードのＣＰＵ
５１２ｂ 実行制御部
５１３ ＩＣカードのＲＯＭ
５１３ｂ カウンタ処理部
５１４ ＩＣカードのＥＥＰＲＯＭ内に構成されるカウンタ格納部
５１５ ＩＣカードのＲＡＭ
Claims (7)
- 情報処理端末との間で電文の送受を行うＩＣカードであって、前記情報処理端末から送られる電文が正常か否かを判定する手段と、
前記電文が不正であると判断された場合に、操作者が判らないような見せかけの偽電文を前記判定の度に生成して前記情報処理端末に返信する手段と、
前記不正の発生回数を計測して蓄積する手段と、を有することを特徴とするＩＣカード。 - 情報処理端末との間で電文の送受を行うＩＣカードであって、不正操作でも伝送エラーでも起こりえるエラーが生じた場合に、その旨を表す対応電文を生成して前記情報処理端末に返信する手段と、
前記不正操作でも伝送エラーでも起こりえるエラーの発生回数を蓄積する手段と、
を有することを特徴とするＩＣカード。 - 装着されるＩＣカードとの間で電文の送受を行う手段と、
前記ＩＣカードから送られる電文が正常か否かを判定する手段と、
前記電文が不正であると判断された場合、ないし不正操作でも伝送エラーでも起こりえるエラーが生じた場合に、それぞれ電文を生成して返信する手段と、
前記不正の発生回数と不正操作でも伝送エラーでも起こりえるエラーの発生回数とを蓄積する手段と、
を有することを特徴とする情報処理端末。 - 請求項１記載のＩＣカードに蓄積された偽電文の返信情報と請求項２記載のＩＣカードに蓄積された対応電文の返信情報の少なくとも一方を取得する手段と、
前記自端末に蓄積した返信情報または前記ＩＣカードより取得した返信情報から、前記電文が正常でないことを検知するかまたは不正操作でも伝送エラーでも起こりえるエラーを検知する不正検知手段と、
この不正検知手段で電文が正常でないことを検知したときまたは不正操作でも伝送エラーでも起こりえるエラーを検知したときに予め検知内容毎に定めた対策制御処理を実行する不正対策処理手段と、
を有することを特徴とする請求項３記載の情報処理端末。 - 前記不正対策処理手段は、前記対策制御処理の内容をオンライン中、あるいはオフラインのいずれの場合でも更新可能であり、動的に更新可能となっていることを特徴とする請求項４記載の情報処理端末。
- 上位情報処理端末（以下、上位装置）と、オンラインまたはオフラインで前記上位装置に接続される下位情報処理端末（以下、下位装置）と、前記下位装置との間で電文の送受を行うＩＣカードとから成る情報通信システムにおいて、
前記下位装置は、装着されるＩＣカードとの間で電文の送受を行う手段と、
前記ＩＣカードから送られる電文が正常か否かを判定する手段と、
前記電文が不正であると判断された場合、ないし不正操作でも伝送エラーでも起こりえるエラーが生じた場合に、それぞれ電文を生成して返信する手段と、
前記不正の発生回数、ないし前記不正操作でも伝送エラーでも起こりえるエラーの発生回数を蓄積する手段と、を有するとともに、
前記上位装置に、前記下位装置から送信される不正の発生回数、ないし前記不正操作でも伝送エラーでも起こりえるエラーの発生回数の検知手段と、
この検知手段で前記不正の発生回数、ないし前記不正操作でも伝送エラーでも起こりえるエラーの発生回数を検知したときに予め検知内容毎に定めた対策制御処理を実行する不正対策処理手段と、
を備えたことを特徴とする情報通信システム。 - 前記不正対策処理手段は、前記対策制御処理の内容をオンライン中、あるいはオフラインのいずれの場合でも更新可能であり、動的に更新可能となっていることを特徴とする請求項６記載の情報通信システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP00437196A JP3555796B2 (ja) | 1996-01-12 | 1996-01-12 | Ｉｃカード、情報処理端末、および情報通信システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP00437196A JP3555796B2 (ja) | 1996-01-12 | 1996-01-12 | Ｉｃカード、情報処理端末、および情報通信システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH09193577A JPH09193577A (ja) | 1997-07-29 |
| JP3555796B2 true JP3555796B2 (ja) | 2004-08-18 |
Family
ID=11582518
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP00437196A Expired - Lifetime JP3555796B2 (ja) | 1996-01-12 | 1996-01-12 | Ｉｃカード、情報処理端末、および情報通信システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3555796B2 (ja) |
Families Citing this family (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FI981902A (fi) * | 1998-09-04 | 2000-03-05 | Sonera Oyj | Turvamoduuli, turvajärjestelmä ja matkaviestin |
| JP2001118042A (ja) * | 1999-10-19 | 2001-04-27 | Hitachi Ltd | カード監視方法 |
| US7783572B2 (en) * | 2001-11-27 | 2010-08-24 | Heartland Payment Systems, Inc. | Apparatus and method for downloading configuration data to card terminals and for viewing activity at card terminals |
| JP2004295271A (ja) * | 2003-03-26 | 2004-10-21 | Renesas Technology Corp | カード及びパスコード生成器 |
| US8225375B2 (en) | 2006-12-28 | 2012-07-17 | Canon Kabushiki Kaisha | Information processing system, information processing apparatus and method and program therefor |
| JP4294069B2 (ja) * | 2006-12-28 | 2009-07-08 | キヤノンマーケティングジャパン株式会社 | 情報処理システム、情報処理装置、認証サーバ、認証方法、認証プログラム、情報処理方法、情報処理プログラム |
| JP5051188B2 (ja) * | 2008-07-16 | 2012-10-17 | 株式会社デンソーウェーブ | セキュリティ機能を有する携帯端末 |
| JP2011076272A (ja) * | 2009-09-30 | 2011-04-14 | Dainippon Printing Co Ltd | 不正使用管理システム |
| JP6226373B2 (ja) * | 2013-11-21 | 2017-11-08 | 株式会社東芝 | Ｉｃカード |
-
1996
- 1996-01-12 JP JP00437196A patent/JP3555796B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JPH09193577A (ja) | 1997-07-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN102257536B (zh) | 人员输送机控制系统的访问控制系统和访问控制方法 | |
| US4890323A (en) | Data communication systems and methods | |
| EP3941014B1 (en) | Digital key-based identity authentication method, terminal apparatus, and medium | |
| US5612884A (en) | Remote meter operation | |
| US20120005297A1 (en) | System and method for controlling devices | |
| US20070034691A1 (en) | Using promiscuous and non-promiscuous data to verify card and reader identity | |
| CN107705206A (zh) | 一种交易风险评估方法和装置 | |
| US7357329B2 (en) | IC card, terminal device, and data communication method | |
| CN110427785A (zh) | 设备指纹的获取方法和装置、存储介质及电子装置 | |
| JP3555796B2 (ja) | Ｉｃカード、情報処理端末、および情報通信システム | |
| EP3866082A1 (en) | Method and apparatus for leasing measurement device based on blockchain | |
| US6246967B1 (en) | Weight verification device | |
| CN101246538A (zh) | 射频识别系统和方法 | |
| CN109660529B (zh) | 用于售卖机的安全风控方法、装置、售卖机和系统 | |
| ZA200500721B (en) | System and method to provide supply chain integrity | |
| EP3136356A1 (en) | Automatic transaction device and automatic transaction system | |
| AU2020104272A4 (en) | Blockchain-based industrial internet data security monitoring method and system | |
| US6810355B1 (en) | Balance and a method for operating a balance | |
| CN101122988B (zh) | 一种网络税控系统中的安全处理方法 | |
| CN110310108A (zh) | 一种带拆机自毁的新型硬件钱包 | |
| JP4810098B2 (ja) | 紙葉類処理装置における処理データ転送方法および紙葉類処理装置 | |
| KR100785356B1 (ko) | 게임매장 통합관리 시스템 | |
| JP2000242749A (ja) | Ｉｄ管理方法 | |
| EP1286314B1 (en) | Bank note evaluation apparatus and bank note evaluation result data processing method | |
| JPH11169547A (ja) | 遊技装置の監視装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20040506 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20040507 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090521 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090521 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100521 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110521 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110521 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120521 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130521 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140521 Year of fee payment: 10 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |