JP3633686B2 - 機密操作を情報処理装置により実行する方法及び装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、情報処理手段と、メモリと、第１携帯端末との協働手段と、情報処理手段及び不揮発メモリを有するモジュールとを備え、前記不揮発性メモリが、読み出し及び書き込み時に処理手段からアクセス可能ではあるが少なくとも書き込み時にはモジュールの外部からのアクセスが不可能なプロテクトエリアを有する、情報処理装置であって、第１携帯端末が、情報処理手段及び不揮発メモリを有し、前記不揮発メモリが、読み出し及び書き込み時にアクセス可能ではあるが少なくとも書き込み時には携帯端末の外部からのアクセスが不可能なプロテクトエリアを有し、第１携帯端末のプロテクトエリアがデータ及び／またはプログラムを有する情報処理装置のロード方法に関する。
【０００２】
このような情報処理装置のロード手順においては、とくにモジュールのローディングが注目されている。というのは、モジュールはその構造から、そのメモリのプロテクトエリア内に機密データまたはプログラムを格納するのにきわめて適しているからである。
【０００３】
【従来の技術】
この種の装置は公知である。この装置においては、モジュール自身が携帯端末（携帯オブジェクト）リーダーを介して装置と協働する携帯端末となっている。この場合、モジュールのローディングは、有資格機関において行われるモジュールのカスタマイズ化の初期段階において、装置とは無関係に行われる。有資格機関の安全が確保された環境下においては、モジュールのローディングによってとくに問題は発生しない。
【０００４】
これに対し、モジュールが既に情報処理装置に搭載されている時にプロテクトエリアにモジュールをロードする場合、とくに情報処理装置そのものが、有資格機関の施設の、安全が確保されていない環境下に設置されている時には、より慎重に行わなければならない。
【０００５】
【発明が解決しようとする課題】
本発明が解決しようとする第１の課題は、モジュールが取り外し可能であるか否かに関わらず、また情報処理装置の全耐用期間中、ローディングを行う環境が安全が確保されたものであるか否かに関わらず、安全な方法でプロテクトエリアにモジュールをロードするための方法を提案することである。
【０００６】
この目的のため本発明は、本明細書の冒頭に記載した方法であって、情報処理装置を第１携帯端末と協働させることと、第１携帯端末のプロテクトエリアからのデータ及び／またはプログラムをモジュールのプロテクトエリアに転送することとを特徴とする方法に関する。
【０００７】
【課題を解決するための手段】
したがって本発明によれば、モジュールと、モジュールと同じ安全構造を有する外部携帯端末との間で対話を確立し、各々のプロテクトエリア間で機密情報の転送を行うことにより、モジュールの安全なローディングが得られる。
【０００８】
本発明の第２の側面では、第１携帯端末と、情報処理手段及び不揮発性メモリを有し、前記不揮発性メモリが、読み出し及び書き込み時に処理手段からアクセス可能ではあるが少なくとも書き込み時には携帯端末の外部からのアクセスが不可能なプロテクトエリアを有する第２携帯端末とを必要とする、所定のサービスの提供を行う方法であって、プロテクトエリアがデータ及び／またはプログラムを有し、第１及び第２携帯端末のプロテクトエリア内に含まれるデータ及び／またはプログラムが、前記サービスの提供に対する各々の権利及び義務を決定する方法に関する。
【０００９】
たとえば、携帯端末の認証機能、データの暗号化機能、携帯端末内での情報の証明または署名機能の場合、主な携帯端末の機密に相関された機密を有する二次携帯端末を使用しなければならない。
【００１０】
上記のことがらは、２つの端末に乱数を送り、プロテクトキー及び適当な暗号アルゴリズムに基いて各端末で行われた計算の結果を比較することが可能な支払いのアプリケーションに特に該当する。２つの結果が同一な時には、二次携帯端末により主携帯端末が認証されたと推定することができる。この過程は、相互認証を行うため双方向に実行することができる。
【００１１】
したがってそのような場合、２つの電子携帯端末を所有する必要があり、２つの端末間のインタフェースを実現することのできる機械または機器が必要となる。これら機器は、２つの端末用の２つの通信路と、とくに、設備の費用及び所要寸法を押し上げ、信頼性を下げることになる２つの自動接続システムとを必要とする。したがって、本発明が解決しようとする追加的課題は、機器内に携帯端末の読み取り装置が２つ同時に存在することを避けることである。
【００１２】
本発明によれば、データ及び／またはプログラムを第１携帯端末のプロテクトエリアからモジュールのプロテクトエリアに転送するため、情報処理装置を第１携帯端末と協働させ、次に情報処理装置を第２携帯端末と協働させ、モジュールに転送された前記データ及び／またはプログラム及び第２携帯端末に含まれているデータ及び／またはプログラムを使用して、前記サービスの提供を行う。本発明はまた、前記方法を実施するために構成された情報処理装置にも関する。
【００１３】
本発明のその他の詳細と利点とは、添付の図を参照しながら、非限定的な好ましい実施様態についての以下の説明を読むことにより理解されよう。
【００１４】
【発明の実施の形態】
図１に例示する情報処理装置１は当然のことながら、ＲＯＭ３と、ＲＡＭ４と、該装置が別の同様の装置と直接または通信網を介して通信できるようにする伝送インタフェース５とが接続されているマイクロプロセッサ２を有する。この装置はまた、たとえば本出願人名義のフランス特許第２．４６１．３０１号及び第２．４０１．４５９号に記載されているような超小型回路カード型携帯端末を受け入れるよう構成された携帯端末読み取り装置６も有する。この読み取り装置は伝送線７によりマイクロプロセッサに接続されている。
【００１５】
さらに装置１は、ディスケット、リムーバブルまたは非リムーバブルディスクなどの記憶手段と、（キーボード及び／またはマウス型の位置指定装置などの）入力手段と、表示手段とを具備することが可能であるが、これら手段は図１には図示されていない。
【００１６】
さらに装置１は電気モジュール８を有する。以下これを転送モジュールと呼ぶことにするが、この装置は情報処理手段９と、これに接続された不揮発メモリ１０とを有する。このモジュールは、情報が一旦記録されるとモジュールの外部からはアクセスできず情報処理手段９からのみアクセスが可能な機密エリア１１と、情報の読み出し及び／または書き込みのためモジュールの外部からアクセス可能な自由エリア１２とをメモリ１０中で規定するように構成されている。各メモリエリアは、消去不可能な部分ＲＯＭと消去可能な部分ＥＰＲＯＭ、ＥＥＰＲＯＭを有することができるか、「フラッシュ」型ＲＡＭ、すなわちＥＥＰＲＯＭの特性をもちさらにアクセス時間が従来のＲＡＭのそれと同一なＲＡＭで構成されることが可能である。図示しないが、揮発性ＲＡＭも設けられている。
【００１７】
モジュール８としてとくに、本出願人名義のフランス特許第２．４６１．３０１号に記載されているような、自動プログラミングが可能な不揮発メモリマイクロプロセッサを使用することができる。上記特許の１ページの５行目から１７行目に説明したように、自動プログラミングが可能であるというメモリの特性は、このメモリ内にあるプログラムｆ１が、プログラムｇｊという状態でやはりこのメモリ内にある別のプログラムｆｊを変更できるという可能性に対応する。同自動プログラミングを実現するために使用する手段は、情報処理手段９を設計するのに使われる技術によって変更されることはあるものの、前記特許により、該情報処理手段が不揮発メモリに接続されたマイクロプロセッサで構成される場合には、これら手段は、
− メモリに接続された、データ及びアドレスのバッファメモリと、
− 充分な時間、メモリ内のプログラミング電圧と書き込むデータそのアドレスとを維持することができる命令を有する、メモリ内にロードされたメモリ内書き込みプログラムと、（ただしこの書き込みプログラムは論理回路書き込みコントローラに置き換えることも可能）
を有することができる。
【００１８】
変形例においては、モジュール８のマイクロプロセッサが、半導体チップ内に実装された論理回路に置き換えられている。実際そのような回路は、マイクロプログラムされた回路ではなく配線された電子部品により、とくに認証及び署名などの計算を行うのに適している。たとえば、ＳＬＥ４４３６という品番でＳＩＥＭＥＮＳ社から販売されている部品や、ＳＴ１３３５という品番でＳＧＳ−ＴＨＯＭＳＯＮ社から販売されている部品を挙げることができる。
【００１９】
モジュールは、１つのチップ上に単体で設計するのが好ましい。モジュールは、直接マイクロプロセッサ２につながっている伝送線１３か、図１の点線で示すように携帯端末読み取り装置６の伝送線７につながっている伝送線１３’によりマイクロプロセッサに接続されている。
【００２０】
ハードウエアに関しては、モジュール８は種々の方法で情報処理装置１に接続することが可能である。第一に、電子部品アセンブリを支持する装置の内部台上さらには情報処理装置と同じチップ上に配設するなど、装置に直接組み込むよう設計することができる。また、付加された部品であって取り外し可能な部品として設計することも可能である。モジュールはたとえば、情報処理装置１側のコネクタであって、たとえばマイクロプロセッサ２と伝送線７、１３’（点線１４）間の接続点との間に位置するコネクタに差し込まれたＰＣＭＣＩＡ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ Ｍｅｍｏｒｙ Ｃａｒｄ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ａｓｓｏｃｉａｔｉｏｎ）規格のコネクタを具備したマスメモリカード上に、取り外し可能な方法で取り付ける。
【００２１】
情報処理装置１は、携帯端末読み取り装置６に関し、上記したような２つの携帯端末２１、２２と協働するようになっている。各携帯端末は、情報処理装置１に接続されたモジュール８と同じ構造をもつ電子モジュールを具備し、したがって情報処理手段２３、２４と、プロテクトエリア２７、２８、自由エリア２９、３０を有する不揮発メモリ２５、２６と、自動プログラミング手段とを有する。
【００２２】
変形例においては、転送モジュール８及び／または２つの携帯端末の機密エリアに、安全レベルが機密エリアの安全レベルよりも低いエリアを付加するか、前者を後者に置き換える。より詳細には同エリアは、情報の読み出し及び／または書き込みについては転送モジュールまたは携帯端末の情報処理手段からアクセスが可能であるばかりでなく、モジュールまたは端末の外部から読み出しのアクセスが可能である（書き込みのアクセスは不可）。本文書においては「プロテクトエリア」は、外部からアクセスができない機密エリアか、外部から読み出しのアクセスのみが可能なエリアのいずれかを意味する。外部から読み出しのアクセスのみが可能なエリアには、とくに公開キーアルゴリズムの公開キー、あるいは種々のデータまたはプログラムが格納される。機密エリアには、特にシークレットキーが格納される。
【００２３】
本発明による方法はまず、有資格機関によって行われる、情報処理装置１と２つの携帯端末２１、２２の転送モジュール８のカスタマイズ化の段階を設ける。たとえば以下のような手順を実施することができる。転送モジュール８と第１携帯端末２１の各々のプロテクトエリア１１、２７に、とくに携帯端末が転送モジュールを認証できるようにする同一のプロテクトキーＳを配置する。さらに、第１携帯端末のプロテクトエリア２７にマスタプロテクトキーＫを、第２携帯端末のプロテクトエリア２８にキーＫを基にして変化させたプロテクトキーＫｄを配置する。この２つのキーによりとくに、第１携帯端末が第２携帯端末を認証することが可能となる。たとえば、変化キーＫｄは、マスタキーＫと第２携帯端末の特徴となる変化パラメータを考慮しつつ一定の暗号アルゴリズムを用いて計算を行うことにより得られる。必要に応じ、前記プロテクトキーＳについても変化手順を実施することができる。２つの携帯端末のプロテクトエリア２７、２８の各々の中にはさらに、想定されるアプリケーションに関連し、とくにあるサービス提供の付与規定を画定するそれぞれ２つのプログラムＰ１及びＰ２が存在する。
【００２４】
本発明は、想定されるサービスに関連する手順であって、２つの携帯端末２１、２２が同時に存在することを要求する手順の実行に応用することができる。この目的のため、携帯端末２１に登録された少なくともいくつかの権利は転送モジュール８に再度コピーされる。
【００２５】
第１段階では、携帯端末２１が携帯端末読み取り装置６に挿入され、想定されるサービスの提供において同端末と装置とが介入する資格を実際にもっていることを確認するため、同携帯端末は転送モジュール８とともに相互認証手順を実行する。たとえば携帯端末は乱数Ｅを発生し転送モジュールに送る。転送モジュールは自らのプロテクトキーＳと乱数Ｅとに基いた計算を実行し計算結果Ｒを携帯端末２１に送る。携帯端末も自らのプロテクトキーＳと乱数Ｅとに基いた計算を実行し、結果Ｒ’を得、２つの結果Ｒ、Ｒ’を比較する。同一であれば、携帯端末は転送モジュールは本物であるとみなす。この種の手順は、出願人名のフランス特許第２．６０１．７９５号に詳しく記載されている。
【００２６】
前記に記載の手順は、携帯端末２１による転送モジュール８の認証に関する。反対方向の場合、同様な手順により転送モジュール８は携帯端末２１を認証することができる。ただしその場合、結果Ｒ、Ｒ’の比較は転送モジュール内で行われる。
【００２７】
相互認証が確認された後は、転送モジュール８と携帯端末２１は、非暗号状態で、あるいは数字化キーＳｃを使用した数字の状態で、情報を交換することができる。後者の場合、暗号化キーは、転送モジュールと携帯端末のプロテクトメモリエリア１１、２７に含まれているアルゴリズムＦと、共通プロテクトキーＳと、モジュールまたは端末によって発生されその装置の相手側に送信された乱数Ｅｃとを基にして、既知の方法により転送モジュールと携帯端末が計算することができる。前記装置のうちの片方による情報の暗号化の際には、暗号化キーＳｃと暗号化アルゴリズムＧが使われ、もう一方の装置は、同じパラメータまたはキーとそれに相関した暗号化アルゴリズムを用いて受信情報を解読する。当然のことながら、手順上、携帯端末２１の保持者は、情報処理装置１のキーボードを介して暗証コードを携帯端末に示し自分自身を確認しなければならない場合がある。同コードは、端末のプロテクトメモリ２７のエリアに含まれる基準コードと比較される。
【００２８】
本発明による方法の第２段階は、想定されるサービスの提供に必要なパラメータを全て携帯端末２１から転送モジュール８に転送することを内容とする。とくに、プロテクトキーＫとプログラムＰ１は転送モジュール８のプロテクトメモリエリア１１に転送され、同キーと同プログラムにより、転送モジュールは第２携帯端末２２とともに、同キーと同プログラムの使用を必要とするあらゆる作業を行うことができる。
【００２９】
第１携帯端末２１によって転送モジュール８に伝送されてくる権利を該転送モジュールが行使する時間は、場合によっては制限しなければならない。この目的のため、転送モジュール８はそのプロテクトエリア１１内に、第１携帯端末２１によって伝送された所定の制限時間に達した時、該モジュールの作動を停止するよう設計したプログラムを内蔵するものとする。権利の転送が実行された瞬間からの作動時間またはトランザクションの数がとくに問題となり得る。トランザクションの定義はシステムによりあらかじめ決められており、ある一定のサービス提供の単位、または第２携帯端末２２が情報処理装置１に挿入された瞬間から同装置から取り出されるまでの時間であるセッションに対応することができる。許可使用時間が終了すると、転送モジュールは停止し、第１携帯端末２１など転送モジュールをアンラッチするのに適した携帯端末を読み取り装置６に挿入しない限り、再始動できない。
【００３０】
図２は、本発明の可能な応用例であって、情報処理装置１の入力手段で作成したメッセージＭが第１携帯端末２１で署名され、メッセージＭとその署名ＳＧとが第２携帯端末２２に入力される応用例を示す図である。
【００３１】
第１ステップ３１では、第１携帯端末２１が情報処理装置１の携帯端末読み取り装置６に挿入される。次のステップ３２では、第１携帯端末２１は前記の方法で転送モジュール８を認証する。認証が確認されると、第１携帯端末２１はプロテクトキーＫとプログラムＰ１とを転送モジュール８のプロテクトエリア１１にロードする（ステップ３３）。次に、第１携帯端末２１が情報処理装置１から取り出され（ステップ３４）、今度は第２携帯端末２２が挿入される（ステップ３５）。
【００３２】
転送モジュールにより第２携帯端末２２が認証されると、転送モジュールが受け取ったキーＫと携帯端末のキーＫｄとが始動する。始動は前記に記載の方法で行われる。この目的のため、転送モジュールは、携帯端末から送られてくる変化パラメータを受信した時点で、マスタキーＫを基にした携帯端末の変化キーＫｄを再計算する。したがって、メッセージＭが情報処理装置１のメモリ上または第１携帯端末２１のメモリ上にすでに存在する場合を除き、このメッセージはたとえば情報処理装置の入力手段により、第１携帯端末２１の所持者によって同情報処理装置に入力される（ステップ３７）。メッセージＭの形成にあたっては、プログラムＰ１及びＰ２を介入させることができる。
【００３３】
ステップ３８では、転送モジュール８がメッセージＭの署名ＳＧの計算を行う。この署名とはメッセージの内容と同メッセージの発信者のＩＤとを切り離せないように結び付けるもの、すなわちここでは第１携帯端末２１のプロテクトキーＫである。実際には、転送モジュール８はプロテクトメモリエリア１１に、常駐のあるいは第１携帯端末２１によって転送されてきた署名計算アルゴリズムＨを内蔵している。アルゴリズムＨは、好ましくは縮約された形のメッセージＭと第１携帯端末２１のプロテクトキーＫとを計算して、前記署名ＳＧとなる計算結果を生成する。
【００３４】
ステップ３９では、メッセージＭとその署名ＳＧとが第２携帯端末２２のメモリ２６に転送される。第２携帯端末は次に情報処理装置１から取り出される（ステップ４０）。
【００３５】
したがって結論としては、本発明による方法により、共通の手順で２つの携帯端末２１、２２を情報処理装置１と協働させることができたと思われる。しかもこれは、携帯端末読み取り装置６を情報処理装置のマイクロプロセッサ２に接続している唯１本の伝送線７しか使用しない状態で実現される。
【００３６】
なお、変化キーＫｄまたは暗号化キーＳｃと、情報の暗号化と、署名の計算とを行う前記アルゴリズムは、同一のアルゴリズムによって構成することが可能であることに留意されたい。
【００３７】
前記においてはプロテクトキー対称アルゴリズムについて説明したが、当然のことながら公開キー非対称アルゴリズムを使用することも可能であり、その場合は、携帯端末の少なくとも１つか転送モジュールがシークレットキーの代りに公開キーを内蔵する。たとえば機関が当初、第２携帯端末２２内に同端末とシークレットキーのＩＤデータに応じてアルゴリズムによって作られた署名を用意し、転送モジュール８による同端末の認証時には、同署名を確認するための対応する公開キーを使用し、同公開キーは当初、第１携帯端末２１のメモリ内に置く。
【００３８】
本発明による種々の応用例の中で、厚生の分野における応用を取り上げることができよう。この応用例においては、プロテクトキーＫにより医者の権利が画定され、プロテクトキーＫｄにより患者の権利が画定され、本発明による方法により、医者は患者の携帯端末２２に、医者の署名を結び付けた処方からなるメッセージを入力することができ、該署名は、シークレットキーＫ、Ｋｄに相関させた公開キーをもつあらゆる機関が確認することができる。
【００３９】
第２携帯端末２２との対話を行うにあたり、複数の第１携帯端末２１の権利を同時に使用する必要がある場合には、読み取り装置６にこれら第１携帯端末を順次挿入して、これら第１携帯端末２１の必要な権利を次々に転送モジュール８にロードする。その次に、転送モジュール８と第２携帯端末２２との間の対話が確立される。
【００４０】
本発明は、第１携帯端末２１が携帯端末読み取り装置６により局所的に交信する場合ではなく、伝送インタフェースに接続されたデータ通信路または電話通信路を介して遠隔地から情報処理装置１と交信する場合にも応用される。本発明による方法により、第１携帯端末と情報処理装置との間で情報の転送が実行され次第すぐに同伝送線が解放されるので、２つの携帯端末２１、２２が対話している間は、同伝送線を別の作業に充てることができる。
【００４１】
さらに本発明は、情報処理装置１がオフラインの時の２つの携帯端末間の対話の場合だけでなく、要求されたサービスを提供するあるいはその提供に介入する遠隔装置と対話するため情報処理装置がオンラインの状態にある場合にも応用される。
【図面の簡単な説明】
【図１】本発明による情報処理装置と、相前後して協働するための２つの携帯端末とを示す図である。
【図２】本発明によるある特定のアプリケーションに関する作業のアセンブリ画定をする図である。

Claims (12)

1. 情報処理装置、及び第１携帯オブジェクトを用いて機密操作を実行する方法であって、
   該情報処理装置は、一般的な非機密操作を実行するための装置処理手段及び装置記憶手段を備え、更に特定の機密操作を実行するためのモジュール処理手段及びモジュール記憶手段を含む、前記装置処理手段から異なる機密モジュールを含み、前記モジュール記憶手段は不揮発性であり前記モジュール処理手段への読み取り−書込みアクセスは可能であるが少なくとも該モジュール外部からの書込みから保護されており、
   前記第１携帯オブジェクトは、特定の機密操作を実行するための第１オブジェクト処理手段と第１オブジェクト記憶手段とを備え、該第１オブジェクト記憶手段は不揮発性であり前記第１オブジェクト処理手段への読み取り−書込みアクセスは可能であるが少なくとも該第１携帯オブジェクトの外部から書込みからは保護されており、機密情報が前記第１オブジェクト記憶手段に格納されており、
   該方法は、
   前記第１携帯オブジェクトと前記情報処理装置との間の通信を確立するステップと、
   前記モジュール処理手段の制御下で、前記機密情報を前記第１オブジェクト記憶手段から前記モジュール記憶手段にコピーするステップと、
   前記第１携帯オブジェクトと前記情報処理装置との間の通信を停止するステップと、
   前記モジュール記憶手段の前記機密情報を読み取ることにより、所定の使用限度内において前記機密操作を実行することを前記情報処理装置に要求するステップと、
   前記所定の使用限度に達したときに、前記機密モジュール処理手段の制御下で該モジュールの操作を禁止するステップ、
   とを含む機密操作を情報処理装置により実行する方法。
2. 前記第１携帯オブジェクト記憶手段がオブジェクトキーを格納し、前記モジュール記憶手段が該オブジェクトキーに対応する第１モジュールキーを格納し、前記第１オブジェクト記憶手段から前記モジュール記憶手段に機密情報をコピーするステップは、前記オブジェクトキー及び第１モジュールキーに基づく相互暗号手順の実行が成功した時にのみ実施される請求項１に記載の方法。
3. 前記第１オブジェクト記憶手段が暗号化キーと暗号化プログラムとを格納し、前記モジュール記憶手段が前記暗号化キー及び暗号化プログラムにそれぞれ対応する暗号解読キーと解読プログラムとを格納し、更に
   コピーを行う前に、前記暗号化キーと暗号化プログラムとを用いて前記第１携帯オブジェクト内で該第１携帯オブジェクトの前記機密情報を暗号化するステップと、
   コピーを行った後に前記暗号解読キーと暗号解読プログラムとを用いてモジュール内で前記第１携帯オブジェクトの前記機密情報を解読するステップと、
   を更に含む請求項１に記載の方法。
4. 情報処理装置、及び第１、第２携帯オブジェクトを用いて機密操作を実行する方法であって、
   該情報処理装置は、一般的な非機密操作を実行するための装置処理手段及び装置記憶手段を備え、更に特定の機密操作を実行するためのモジュール処理手段及びモジュール記憶手段を含む、前記装置処理手段から異なる機密モジュールを含み、前記モジュール記憶手段は不揮発性であり前記モジュール処理手段への読み取り−書込みアクセスは可能であるが少なくとも該モジュール外部からの書込みから保護されており、
   前記第１及び第２携帯オブジェクトは、それぞれ特定の機密操作を実行するための第１及び第２オブジェクト処理手段と第１及び第２オブジェクト記憶手段とを備え、該第１及び第２オブジェクト記憶手段は不揮発性でありそれぞれ前記第１及び第２オブジェクト処理手段への読み取り−書込みアクセスは可能であるが少なくとも該第１及び第２携帯オブジェクトの外部からの書込みからそれぞれ保護されており、機密情報は前記第１及び第２オブジェクト記憶手段にそれぞれ格納されており、
   該方法は、
   前記第１携帯オブジェクトと前記情報処理装置との間の通信を確立するステップと、
   前記モジュール処理手段の制御下で、前記機密情報を前記第１オブジェクト記憶手段から前記モジュール記憶手段にコピーするステップと、
   前記第１携帯オブジェクトと前記情報処理装置との間の通信を停止するステップと、
   前記第２携帯オブジェクトと前記情報処理装置との間の通信を確立するステップと、
   前記モジュール記憶手段の前記機密情報を読み取ることにより、且つ前記第２オブジェクト記憶手段の前記機密情報を使用することにより、前記機密操作を実行することを前記情報処理装置に要求するステップ、
   とを含む機密操作を実行するための方法。
5. 前記第１オブジェクト記憶手段がオブジェクトキーを格納し、前記モジュール記憶手段が該オブジェクトキーに対応する第１モジュールキーを格納し、前記第１オブジェクト記憶手段から前記モジュール記憶手段に機密情報をコピーするステップは、前記オブジェクトキー及び第１モジュールキーに基づく相互暗号手順の実行が成功した時にのみ実施される請求項４に記載の方法。
6. 前記第１オブジェクト記憶手段が暗号化キーと暗号化プログラムとを格納し、前記モジュール記憶手段が前記暗号化キー及び暗号化プログラムにそれぞれ対応する暗号解読キーと解読プログラムとを格納し、更に
   コピーを行う前に、前記暗号化キーと暗号化プログラムとを用いて前記第１携帯オブジェクト内で前記第１携帯オブジェクトの前記機密情報を暗号化するステップと、
   コピーを行った後に前記暗号解読キーと暗号解読プログラムとを用いて該モジュール内で前記第１携帯オブジェクトの前記機密情報を解読するステップ、
   を更に含む請求項４に記載の方法。
7. 前記第１携帯オブジェクトと前記情報処理装置との通信の停止後に、前記第１及び第２携帯オブジェクトの前記機密情報を使用して、前記モジュールと前記第２携帯オブジェクトとが接続される、第１及び第２の携帯オブジェクト間の対話を確立するための請求項４に記載の方法。
8. 前記第１携帯オブジェクトから前記モジュールにコピーされた前記機密情報が第１オブジェクトキーを含み、前記第２携帯オブジェクトの前記機密情報は該第１オブジェクトキーに対応する第２オブジェクトキーを含み、該第１オブジェクトキーがマザーキーであり、該第２オブジェクトキーは、該第２の携帯オブジェクトに固有の変形パラメータ及びプログラムを使用して該マザーキーを変化させることにより得られ、前記対話は、前記２つのオブジェクトキーに基づいて相互暗号手順を実行することからなる請求項７に記載の方法。
9. 機密操作を実行する情報処理システムであって、
   該情報処理システムは、情報処理装置と第１携帯オブジェクトを備え、
   該情報処理装置は、一般的な非機密操作を実行するための装置処理手段及び装置記憶手段と携帯オブジェクトと協動するための読み取り手段とを備え、更に特定の機密操作を実行するためのモジュール処理手段及びモジュール記憶手段を含む、前記装置処理手段から異なる機密モジュールを含み、前記モジュール記憶手段は、不揮発性であり前記モジュール処理手段への読み取り−書込みアクセスは可能であるが少なくとも該モジュール外部からの書込みから保護されており、
   前記第１携帯オブジェクトは、特定の機密操作を実行するための第１オブジェクト処理手段と第１オブジェクト記憶手段とを備え、該第１オブジェクト記憶手段は不揮発性であり前記第１オブジェクト処理手段への読み取り−書込みアクセスは可能であるが少なくとも前記第１携帯オブジェクトの外部からの書込みから保護されており、機密情報は前記第１オブジェクト記憶手段に格納されており、
   前記装置処理手段は、
   前記読み取り手段を介して前記モジュールと前記第１携帯オブジェクトとの間の通信を開始し制御する手段と、
   前記モジュール処理手段の制御下で、前記機密情報を前記第１オブジェクト記憶手段から前記モジュール記憶手段にコピーする手段と、
   前記第１携帯オブジェクトと前記情報処理装置との間の通信を停止する手段と、
   前記モジュール記憶手段の前記機密情報を読み取ることにより、所定の使用限度内において前記機密操作を実行する手段と、
   前記所定の使用限度に達したときに、前記モジュール処理手段の制御下で前記モジュールの操作を禁止する手段、
   とを含む機密操作を実行するための情報処理システム。
10. 前記装置処理手段が前記装置記憶手段に格納されたプログラムを含む請求項９に記載のシステム。
11. 情報処理装置、及び第１及び第２携帯オブジェクトを備え、前記第１及び第２携帯オブジェクト間の機密操作を実行するための情報処理システムであって、
    該情報処理装置は、一般的な非機密操作を実行するための装置処理手段及び装置記憶手段と携帯オブジェクトと協動するための読み取り手段とを備え、更に特定の機密操作を実行するためのモジュール処理手段及びモジュール記憶手段を含む、前記装置処理手段から異なる機密モジュールを含み、前記モジュール記憶手段は、不揮発性であり前記モジュール処理手段への読み取り−書込みアクセスは可能であるが少なくとも該モジュール外部からの書込みから保護されており、
    前記第１及び第２携帯オブジェクトは、それぞれ特定の機密操作を実行するための第１及び第２オブジェクト処理手段と第１及び第２オブジェクト記憶手段とを備え、該第１及び第２オブジェクト記憶手段は不揮発性でありそれぞれ前記第１及び第２オブジェクト処理手段への読み取り−書込みアクセスは可能であるが少なくとも該第１及び第２携帯オブジェクトの外部からの書込みからそれぞれ保護されており、機密情報は前記第１及び第２オブジェクト記憶手段にそれぞれ格納されており、
    前記装置処理手段は、
    前記読み取り手段を介して前記モジュールと前記第１携帯オブジェクトとの間の通信と、前記モジュールと前記第２の携帯オブジェクトの間の通信を、それぞれ、開始し制御する手段と、
    前記モジュール処理手段の制御下で、前記機密情報を前記第１オブジェクト記憶手段から前記モジュール記憶手段にコピーする手段と、
    前記第１携帯オブジェクトと前記情報処理装置との間の通信を停止する手段と、
    前記モジュール記憶手段の前記機密情報を読み取ることにより、且つと前記第２オブジェクト記憶手段の前記機密情報を使用することにより、前記機密操作を実行する手段、
    とを含む機密操作を実行するための情報処理システム。
12. 前記装置処理手段が、前記装置記憶手段に格納されるプログラムを含む請求項１１に記載のシステム。

Images