JP3845106B2 - 携帯端末、及び、認証方法 - Google Patents

Description

本発明は、携帯端末の備えるＩＣカードにアクセス可能なプログラムの認証技術に関する。

近年、ユビキタスコンピューティングを実現する手段の一つとして、ＴＲＯＮ（The Real-time Operating system Nucleus）の開発が進めらている。ｅ-ＴＲＯＮカード等のＩＣ（IntegratedCircuit）カードを内蔵した携帯端末では、電子チケットを始めとする電子的な権利価値（以下、「電子価値」と記す。）を端末間で授受する際に、双方のＩＣカード間で直接的に電子価値の送受信を行う技術が提案されている。かかる技術を、不足した電子価値のチャージに応用したシステムの例として、特許文献１には、高い安全性と簡易性とを両立する電子価値チャージシステムが開示されている。

このようなシステムを実現するために、携帯端末に内蔵されているＩＣカードと、同じく携帯端末に格納されたプログラム（以下、「端末プログラム」と記す。）とが、相互にメッセージの送受信を行うことで、連携して動作する方式が提案されている。かかる方式では、端末プログラムは、携帯端末上に設置されたライブラリに対して、所定のメッセージを与えることにより、ＩＣカードや他の端末プログラムにメッセージを送信する。所定のメッセージとは、例えば、送信元ＩＤ（src）、送信先ＩＤ（dst）、メッセージの種別（mtype）、メッセージの内容（param）である。

上記の方式では、端末プログラムにおいて、メッセージの受信を通知するためのプログラム（ハンドラ）を、受信を希望するメッセージの条件とともに事前に設定しておく。これにより、端末プログラムは、上記条件に合致したメッセージを受信したときに、ハンドラの呼出しに伴ってメッセージの受信を行うことができる。メッセージは、公衆回線などの外部ネットワークを介して、遠隔の端末装置からも送信され得るため、不正な遠隔メッセージが携帯端末宛に送信されることもある。しかし、端末プログラムが、メッセージの受信に上記の条件を設定することで、不正なメッセージを排除することができる。
特開２００３−３３７８８７号公報

上記方式によれば、携帯端末の外部から送信された不正なメッセージを排除することはできるが、一旦受信されたメッセージに関して、その送信元を、端末プログラム自体がＩＣカードに詐称する懸念は、未だ解消されない。すなわち、従来は、端末プログラムは、メッセージの送信元ＩＤとして任意のＩＤを与えることができるため、不正な端末プログラム（若しくはそのユーザ）が、正規の端末プログラムのＩＤを送信元としたメッセージを送信すること（送信元ＩＤの詐称）も可能である。

さらに、不正な端末プログラムを宛先としたメッセージの送信が行われなくとも、正規の端末プログラムが一旦受信したメッセージが、不正な端末プログラムによって横取りされる懸念もある。
これらの理由により、携帯端末のＩＣカードが、本来所望しない相手との間でメッセージの受渡しを行ってしまう可能性があり、このことが、ＩＣカード、ひいては携帯端末のセキュリティを阻害する要因となっていた。

そこで、本発明の課題は、ＩＣカードと端末プログラムとの間でメッセージの送受信を行う携帯端末において、メッセージ送信元の詐称、または、メッセージの横取りを防止することで、携帯端末のセキュリティを向上することである。

本発明に係る携帯端末は、認証装置と送信元との間でメッセージの送受信を行う携帯端末において、前記送信元は、前記認証装置の識別子のうちドメイン情報を保持する接続情報保持手段と、前記認証装置に対するメッセージの要求に先立ち、前記接続情報保持手段に保持されている前記認証装置のドメイン情報を用いて、前記送信元を示す送信元識別子を生成する識別子生成手段と、前記識別子生成手段により生成された前記送信元識別子を送信元とし、前記認証装置のドメイン情報を含んだ識別子を送信先とするメッセージを生成するメッセージ生成手段と、前記認証装置の識別子が保持手段に保持されている場合に、生成された前記メッセージを前記認証装置宛に送信する送信手段とを備え、前記認証装置は、前記送信手段により送信された前記メッセージの前記送信元識別子におけるドメイン情報と、前記認証装置のドメイン情報とが一致するか否かを判定する認証手段と、前記認証手段により前記一致が判定された場合に、前記メッセージに応じた処理を実行する処理実行手段とを備え、公衆回線を経由して送信されたメッセージを受信する遠隔接続手段と、前記遠隔接続手段により、携帯端末の遠隔から送信されたメッセージを受信した際に、当該メッセージの送信元識別子のドメイン情報が、当該携帯端末の保持するドメイン情報の中に含まれるか否かを判定する遠隔認証手段と、当該遠隔認証手段による判定の結果、前記送信元識別子のドメイン情報が前記ドメイン情報の中に含まれない場合に、前記メッセージを、その送信先にしたがって前記送信元または前記認証装置に転送する転送手段とを備える。

本発明に係る認証方法は、認証装置と送信元との間でメッセージの送受信を行う携帯端末における前記送信元において、識別子生成手段が、前記認証装置に対するメッセージの要求に先立ち、前記認証装置の識別子のうちドメイン情報を保持する接続情報保持手段に記憶されている前記認証装置のドメイン情報を用いて、前記送信元を示す送信元識別子を生成するステップと、メッセージ生成手段が、生成された前記送信元識別子を送信元とし、前記認証装置のドメイン情報を含んだ識別子を送信先とするメッセージを生成するステップと、送信手段が、前記認証装置の識別子が保持手段に保持されている場合に、生成された前記メッセージを前記認証装置宛に送信するステップとを含み、前記認証装置において、認証手段が、送信された前記メッセージの前記送信元識別子におけるドメイン情報と、前記認証装置のドメイン情報とが一致するか否かを判定するステップと、処理実行手段が、前記一致が判定された場合に、前記メッセージに応じた処理を実行するステップとを含み、遠隔接続手段が、公衆回線を経由して送信されたメッセージを受信する遠隔接続ステップと、遠隔認証手段が、前記遠隔接続ステップにより、携帯端末の遠隔から送信されたメッセージを受信した際に、当該メッセージの送信元識別子のドメイン情報が、当該携帯端末の保持するドメイン情報の中に含まれるか否かを判定する遠隔認証ステップと、転送手段が、当該遠隔認証ステップによる判定の結果、前記送信元識別子のドメイン情報が前記ドメイン情報の中に含まれない場合に、前記メッセージを、その送信先にしたがって前記送信元または前記認証装置に転送する転送ステップとを含む。

送信元の識別子が、他の送信元（端末プログラムやＩＣカード）によって知り得る状態にある場合には、その送信元による送信元識別子の詐称（例えば、成りすまし）によって、正規の識別子を有する上記送信元が危害を被る可能性がある。本発明に係る携帯端末によれば、送信元識別子は、ドメイン情報を少なくとも含んで構成され、これら双方の一致が図られた場合に限り、メッセージの指示する処理の実行を許可する。すなわち、詐称の可能性を判断する情報として、メッセージの送信先である認証装置から得られた固有の情報が使用されるため、送信元が自発的に他の送信元に該情報を漏らさない限り、他の送信元によって識別子が詐称されることはない。これにより、例えば、認証装置とは異なるドメイン情報を有する送信元からのメッセージ送信は排除され、メッセージ送信元の正当性が担保される。その結果、送信元の詐称は防止され、携帯端末のセキュリティは向上する。
また、通常、ドメインは、距離的に近接する端末群を単位として形成されるため、携帯端末が、当該携帯端末の遠隔に形成されたドメインに属することは本来あり得ない。したがって、携帯端末の遠隔から受信されたメッセージにも関わらず、携帯端末の保持するドメイン情報と同一のドメイン情報が含まれている場合には、このメッセージは送信元を詐称しているものと判断することが、より高い安全性を確保する上で有効である。本発明によれば、遠隔から送信されたメッセージの送信元識別子のドメイン情報が、携帯端末に保持されていない場合に限り、メッセージが送信先に転送される。換言すれば、遠隔から送信されたメッセージが送信元を詐称している可能性が高い場合には、携帯端末は、このメッセージを転送せずに破棄する。その結果、遠隔端末からのメッセージに関しても、送信元の詐称を防止することが可能となる。

また、本発明に係る携帯端末は、認証装置と送信元との間でメッセージの送受信を行う携帯端末において、前記送信元は、前記認証装置から送信されるメッセージの受信に先立ち、前記認証装置から取得されたポート情報と前記認証装置のドメイン情報とを含んで構成される送信元識別子を、前記メッセージの受信に伴って実行される通知プログラム（いわゆるコールバックハンドラ）に対応付けて保持する保持手段と、前記メッセージが受信された際に、当該メッセージの送信先識別子（認証装置からみた送信先である前記送信元の識別子）と、前記保持手段に保持されている前記送信元識別子とが一致するか否かを判定する判定手段と、前記判定手段により前記一致が判定された場合に、前記送信元識別子に対応する通知プログラムを、前記メッセージを用いて実行する処理実行手段とを備える。

本発明に係る認証方法は、認証装置と送信元との間でメッセージの送受信を行う携帯端末が、前記送信元において、前記認証装置から送信されるメッセージの受信に先立ち、前記認証装置から取得されたポート情報と前記認証装置のドメイン情報とを含んで構成される送信元識別子を、前記メッセージの受信に伴って実行される通知プログラムに対応付けて保持手段に保持するステップと、前記メッセージが受信された際に、当該メッセージの送信先識別子（認証装置からみた送信先である前記送信元の識別子）と、前記保持手段に保持されている前記送信元識別子とが一致するか否かを判定するステップと、前記一致が判定された場合に、前記送信元識別子に対応する通知プログラムを、前記メッセージを用いて実行するステップとを含む。

メッセージが正規の送信元から要求されたとしても、そのメッセージが当該送信元によって使用されるとは限らない。すなわち、正規の送信元へのメッセージの到達前あるいは、メッセージが一旦到達した後に、何らかの理由により、不正な送信元によってそのメッセージが入手（横取り）されてしまう可能性は依然として残る。この場合、その送信元によるメッセージの不正使用によって、正規の送信元が危害を被る可能性がある。かかる懸念は、正規の送信元において上記メッセージが受信されたのみでは解消されず、不正な送信元における上記メッセージの使用を不許可とする手段をさらに講じる必要がある。

そこで、本発明に係る携帯端末においては、正規の送信元が自識別子を生成する際に、当該識別子に対応付けて通知プログラムを保持しておく。識別子の生成には、上記メッセージの送信元である認証装置から得られた固有の情報が使用されるため、送信元が自発的に他の送信元に該情報を漏らさない限り、上記識別子に別の通知プログラムが対応付けられることはない。すなわち、受信されたメッセージの送信先識別子（認証装置からみた送信先である前記送信元の識別子）に前記送信元の識別子が指定されている限り、当該メッセージが、当該識別子に対応する通知プログラム以外の通知プログラムを実行させることはない。したがって、メッセージの受信前にその送信先が登録されている送信元以外の送信元（例えば、不正の送信元）が、このメッセージを入手したとしても無意味である。より具体的には、メッセージを横取りした送信元は、識別子の一致する通知プログラムをもたないために、メッセージの受信は認識されず、通知プログラムが実行されることもないことから、横取りは意味を為さない。その結果、メッセージの横取りは抑制され、携帯端末のセキュリティレベルは向上する。

さらに、本発明に係る携帯端末においては、前記認証装置が、遠隔送信されたメッセージの種別に関して、その種別と、遠隔送信が許可されているメッセージ種別とが一致するか否かを判定する検証手段を更に備え、前記処理実行手段は、前記ドメイン情報、前記メッセージ種別のうち、少なくとも一方が一致する場合に、前記メッセージに応じた処理を実行するものとしもよい。

本発明によれば、メッセージが遠隔送信された場合に、処理の実行に先立ち、当該メッセージの送信元と送信先のドメイン情報の照合に加えて、そのメッセージの遠隔送信が許可されているか否かの判定が為される。そして、双方のドメイン情報が一致しない場合であっても、遠隔送信が許可されていれば、メッセージに応じた処理は実行される。反対に、遠隔送信が許可されていなくとも、ドメイン情報が一致する場合には、メッセージに応じた処理は実行される。
メッセージを排除するための条件は、送信元（例えば、端末プログラム）によって任意に設定可能である。このため、不正な送信元が携帯端末に侵入した場合には、正常に設定されていた遠隔メッセージの排除条件が不正に書き換えられる可能性がある。したがって、携帯端末が、セキュリティレベルを維持するためには、遠隔から送信されたメッセージに対する安全性も考慮しなければならない。本発明によれば、遠隔から携帯端末に送信されたメッセージに関して、不正なメッセージ（例えば、送信元が詐称されているメッセージや遠隔送信が許可されていないメッセージ）を排除しつつ、認証の成功条件を緩和することも可能となる。

本発明に係る携帯端末において、より好ましくは、前記送信元の識別子生成手段は、前記認証装置に対するメッセージの要求に先立ち、前記認証装置において更新されたポート情報を取得する。

本発明によれば、送信元識別子は、認証装置のドメイン情報のみならず、認証装置において更新されたポート情報をこれに併せて生成される。そして、これら双方の情報が一致しない限り、前記メッセージに応じた処理は実行されない。このため、認証装置とは異なるドメイン情報を有する送信元からのメッセージ送信はもとより、認証装置からポート情報の付与を受けていない送信元によるメッセージの送信を排除することも可能となり、メッセージ送信元の正当性はより確実に担保される。その結果、送信元の詐称は防止され、携帯端末のセキュリティは一層向上する。
なお、送信元詐称防止の確実性をより高める観点から好ましくは、一度設定されたポート情報と同一のポート情報は、一の携帯端末内で複数回設定されることはない。これにより、同一の携帯端末内におけるポート情報の重複を回避する。

上記認証装置はＩＣカードであり、上記送信元は端末プログラムであることができる。ＩＣカードと端末プログラムとは、同一の携帯端末が、メッセージの相互通信を可能に備えることができる。当該携帯端末の備えるＩＣカード、端末プログラムはそれぞれ複数でもよいが、単数のとき、携帯端末は、以下のような構成を採ることができる。すなわち、本発明に係る携帯端末は、前記認証装置としてＩＣカードを備え、前記送信元として端末プログラムを更に備え、前記ＩＣカードと前記端末プログラムとの間で、前記メッセージの送受信を行う。かかる構成を有する携帯端末によっても、メッセージの送信元詐称、または、メッセージの横取りを同様に防止できることから、不正プログラムを排除したセキュリティの向上が実現される。

本発明によれば、認証装置（例えば、ＩＣカード）と送信元（例えば、端末プログラム）との間でメッセージの送受信を行う携帯端末において、メッセージ送信元の詐称、または、メッセージの横取りを防止することで、携帯端末のセキュリティを向上することが可能となる。

以下、例示の為に添付された図面を参照しながら、本発明の一実施形態について説明する。
本実施の形態における携帯端末１は、図１に示すように、ＩＣカード２（認証装置に対応）と端末プログラム３（送信元に対応）とを少なくとも備える。携帯端末１は、例えば携帯電話やＰＤＡ（Personal Digital Assistance）であるが、通信機能を有する端末装置であれば、その機能や用途による限定を受けるものではない。また、ＩＣカードと端末プログラムは、複数あってもよい。

携帯端末１は、遠隔端末４から送信されたメッセージ（遠隔メッセージ）による送信元詐称を防止するために、遠隔接続部１１と、遠隔送信元認証部１２（遠隔認証手段に対応）と、データ転送部１３（転送手段に対応）とを備える。これら各構成要素は、図示しないバスを介して相互に信号の入出力が可能なように接続されている。

遠隔接続部１１は、基地局Ｂとの間で無線回線による接続が可能であり、遠隔端末４から送信されたメッセージを、公衆回線網Ｎと基地局Ｂ経由で受信する。
遠隔送信元認証部１２は、ドメインマップ１２ａを有する。ドメインマップ１２ａには、携帯端末１の備えるＩＣカードの属するドメインの識別子として、ドメインＩＤ（ドメイン情報に対応）が登録されている。本実施の形態では、携帯端末１の備えるＩＣカードはＩＣカード２のみであるので、ドメインマップ１２ａには“ｉ１”が保持されている。遠隔送信元認証部１２は、受信されたメッセージに含まれる送信元ＩＤのドメイン部分（上記ドメインＩＤ）がドメインマップ１２ａに登録済であるか否かに基づいて、当該メッセージが送信元を詐称したものでないか否かの判定を行う。詐称と判定された場合には、メッセージを破棄し、詐称でないと判定された場合には、後段のデータ転送部１３に当該メッセージを出力する。

データ転送部１３は、遠隔送信元認証部１２より入力されたメッセージに含まれる送信先ＩＤから、その送信先を特定し転送する。送信先ＩＤがＩＣカードの識別子であれば、上記メッセージをＩＣカード２に転送し、端末プログラムの識別子であれば、これを端末プログラム３宛に転送する。

ＩＣカード２は、データ送受信部２１と、ポート番号生成部２２と、送信元認証部２３（認証手段に対応）と、メッセージ処理部２４（処理実行手段に対応）と、ＩＣカード識別子保持部２５と、メッセージ種別検証部２６（検証手段に対応）とを備えて構成される。これら各構成要素は、図示しないバスを介して相互に信号の入出力が可能なように接続されている。ＩＣカード２は、外部のプログラムや装置からの高い秘匿性や耐性を確保する観点から、耐タンパー性を有することが望ましい。

データ送受信部２１は、端末プログラム３１との間で、バスを介したデータの送受信を行う。データには、メッセージはもとより、ＩＣカード２の識別子やポート番号（ポート情報に対応）を含む。
本実施の形態において受信または送信されるメッセージは、添付図面を含めて、＜送信元ＩＤ、送信先ＩＤ、メッセージ種別、メッセージ内容＞の形式で表記する。また、メッセージ種別における“Ｅｎ（ｎは自然数）”は、ＩＣカード２における処理が異常終了したことを示す。

ポート番号生成部２２は、端末プログラム３からのポート番号の要求に伴い、既存のポート番号を取得し、その値に所定数を追加することで、新たなポート番号を生成する。例えば、既存のポート番号が“０”である場合には、所定数として“１”を増加させることで、ポート番号は“１”に更新される。

送信元認証部２３は、データ送受信部２１により受信されたメッセージの送信元ＩＤに関して、そのドメインＩＤと、ＩＣカード２の識別子のドメイン部分とを照合する。照合の結果、双方の値が一致した場合にのみ、認証を成功とする。成功の認証結果は、メッセージ処理部２４に通知される。失敗の認証結果は、メッセージの送信元に通知される。かかる認証処理は、本発明に係る携帯端末１の要諦をなす機能であるため、動作説明において詳述する。

メッセージ処理部２４は、送信元認証部２３による認証処理に成功した旨の通知を契機として、上記メッセージの種別及び内容に応じた処理を実行する。
ＩＣカード識別子保持部２５には、ＩＣカード２の識別子が格納されている。本実施の形態では、この識別子は、表記上のセパレータ“：”を用いて［Ｄ：Ｐ］の形式で表記する。ＩＣカード２には、識別子［ｉ１：０］が割り当てられている。Ｄに相当する“ｉ１”は、ＩＣカード２の属するドメインのＩＤであり、Ｐに相当する“０”は、対応するドメイン内でのポート番号を表す。

メッセージ種別検証部２６は、遠隔送信許否テーブル２６１を事前に有する。遠隔送信許否テーブル２６１には、図３（ｂ）に示すように、遠隔送信の許否がメッセージ種別ごとに保持されている。メッセージ種別検証部２６は、データ送受信部２１により受信されたメッセージがデータ転送部１３から入力されたものである場合に、遠隔からのものであると判断し、上記テーブル２６１を参照して、遠隔送信の許否を判定する。判定の結果、受信されたメッセージの遠隔送信が許可されている場合には、認証を成功とする。成功の認証結果は、メッセージ処理部２４に通知される。失敗の認証結果は、メッセージの送信元に通知される。

端末プログラム３は、所定のデータを処理するためのアプリケーションプログラムであるが、初期状態では識別子をもたない。端末プログラム３は、データ送受信部３１（送信手段に対応）と、ＩＣカード識別子管理部３２と、接続情報保持部３３と、プログラム識別子生成部３４（識別子生成手段に対応）と、プログラム識別子保持部３５と、ハンドラ登録部３６（保持手段に対応）と、送信メッセージ生成部３７（メッセージ生成手段に対応）と、送信先認証部３８（判定手段に対応）と、プログラム実行部３９（処理実行手段に対応）とを備える。これら各構成要素は、図示しないバスを介して相互に信号の入出力が可能なように接続されている。

データ送受信部３１は、ＩＣカード２との間で、バスを介したデータの送受信を行う。データには、メッセージはもとより、ポート番号の生成を依頼する信号を含む。
ＩＣカード識別子管理部３２は、ＩＣカード２からその識別子を取得し、これを保持する。上述のように、本実施の形態では、［ｉ１：０］が取得および保持される。

接続情報保持部３３は、プログラム識別子生成部３４によるアクセスが可能であり、端末プログラム３の属するドメインを識別するための情報として、“ｉ１”を保持する。
プログラム識別子生成部３４は、接続情報保持部３３に保持されているドメインＩＤと、ＩＣカード２から受信されたポート番号とを組み合わせて、プログラム識別子（送信元識別子に対応）を生成する。すなわち、プログラム識別子は、端末プログラム３の識別子のみならず、ＩＣカード２により端末プログラム毎に個別に割り当てられるポート番号を含む。したがって、端末プログラム３以外の端末プログラムは、このポート番号を得ない限り、端末プログラム３と同一の識別子を生成することはできず、これにより、識別子の詐称は排除される。

プログラム識別子保持部３５には、プログラム識別子生成部３４により接続情報保持部３３から取得されたドメインＩＤが一時的に保持される。また、当該ドメインＩＤとポート番号とから成るプログラム識別子を、端末プログラム３のハンドラ（通知プログラムに対応）に対応付けて保持する。さらに、プログラム識別子保持部３５は、ハンドラにプログラム識別子を割り当てる際にユーザに通知される情報（参照情報）を併せて保持する。これにより、端末プログラム３内に不正なハンドラが存在していても、プログラム識別子の割当ての際に、それを検知することができる。

ハンドラ登録部３６は、メッセージの受信を通知するプログラムとして、コールバックハンドラを予め有する。そして、このハンドラに、上述のプログラム識別子と参照情報とを対応付けて、プログラム識別子保持部３５にこれらの情報を保持させる。

送信メッセージ生成部３７は、ＩＣカード２宛のメッセージを生成する。生成に際して、送信元ＩＤとしては、プログラム識別子保持部３５から取得されたプログラム識別子（本実施の形態では“ｉ１：１”）を使用する。送信先ＩＤとしては、ＩＣカード識別子管理部３２に保持されている識別子（本実施の形態では“ｉ１：０”）を使用する。さらに、その目的や機能に応じて、メッセージの種別“ｔｎ”や内容“ｍｎ”を（ｎは自然数）これらに対応付けることで、例えば、メッセージ＜ｉ１：１，ｉ１：０，ｔｎ，ｍｎ＞を生成する。

送信先認証部３８は、データ送受信部３１により受信されたメッセージの送信先ＩＤと、プログラム識別子保持部３５に保持されているプログラム識別子とを照合し、それらの一致・不一致を判定する。一致する場合には、後段のプログラム実行部３９に対し、上記識別子に対応するハンドラと併せて、認証成功の旨を通知する。不一致の場合には、「横取りの可能性あり」とのエラーメッセージを出力する。

プログラム実行部３９は、送信先認証部３８より認証成功の旨の通知を受けると、受信メッセージを引数として、併せて通知されたハンドラを実行する。このハンドラは、送信先認証部３８による認証の結果、プログラム識別子の一致したハンドラである。

次に、添付図面を参照しながら、本実施の形態における携帯端末１の動作、併せて、本発明に係る認証方法を構成する各ステップについて説明する。

携帯端末１は、内蔵の端末プログラム３を起動中である。携帯端末１は、端末プログラム３とのメッセージ送受信に先立ち、図２のフローチャートに沿った処理を実行する。
まず、ＩＣカード２は、データ送受信部２１により、ＩＣカード識別子保持部２５に保持する自識別子［ｉ１：０］を、メッセージの送信相手となる端末プログラム３宛に送信する（図２のＳ１）。識別子の送信は、ＩＣカード２が自発的に行ってもよいし、端末プログラム３からの送信要求に応じて実行してもよい。
端末プログラム３は、データ送受信部３１により上記識別子を受信すると、ＩＣカード識別子管理部３２にこれを保持する（Ｓ１）。

現時点で、接続情報保持部３３には、上記識別子のドメイン部分にあたる“ｉ１”が、端末プログラム３のドメインＩＤとして唯一格納されており、プログラム識別子生成部３４は、当該ドメインＩＤを取得する（Ｓ２）。取得されたドメインＩＤは、プログラム識別子保持部３５に一時的に保持される（Ｓ３）。その後、プログラム識別子生成部３４は、データ送受信部３１を介して、Ｓ３で保持されたドメインＩＤ“ｉ１”に対応するＩＣカード２にポート番号を要求する（Ｓ４）。

端末プログラム３からポート番号を要求されたＩＣカード２は、ポート番号生成部２２により、既存のポート番号である“０”を取得し、現在の値に１を追加することで、新たなポート番号“１”を生成する（Ｓ５）。同時に、従前のポート番号“０”は“１”に更新される。ポート番号の更新に関しては、１の増加を例示したが、従前のポート番号と重複しない値であれば、減少やランダムであってもよい。増加や減少の幅に関しても、２ずつ等、任意である。
生成されたポート番号“１”は、Ｓ４の要求に対する応答として、データ送受信部２１により端末プログラム３に送信される（Ｓ６）。

端末プログラム３は、ポート番号の受信を契機として、プログラム識別子を生成する。すなわち、プログラム識別子生成部３４は、Ｓ１でＩＣカード２から受信された“ｉ１”と、Ｓ６で受信されたポート番号“１”とから、これらを組み合わせたプログラム識別子（ｉ１：１）を生成する（Ｓ７）。さらに、プログラム識別子生成部３４は、このプログラム識別子を、そのオブジェクトリファレンスである参照情報“ｐ１”とともに、プログラム識別子保持部３５に格納させる（Ｓ８）。なお、参照情報“ｐ１”は、プログラム識別子と同一の値であってもよい。

Ｓ９では、ハンドラ登録部３６は、通知プログラムとしてのハンドラ“listener”に、上記参照情報との対応関係を与え、プログラム識別子保持部３５に登録する。この結果、プログラム識別子保持部３５は、図３（ａ）に示すデータ格納状態となる。
なお、上記参照情報は、端末プログラム３に対してプログラム識別子の割当てを行う際にユーザに通知される。このように、ハンドラの登録に参照情報を用いることにより、他の端末プログラムが「横取り」のためのハンドラを登録することを防止する。

図２に示したメッセージ送受信の準備処理が完了すると、送信元の詐称を防止する処理が実行される。以下、図４を参照しながら、この処理を説明する。
まず、端末プログラム３からＩＣカード２へのメッセージ送信をユーザが指示すると、送信メッセージ生成部３７は、送信すべきメッセージの生成を行う。
本実施の形態では、メッセージの生成に際して、参照情報“ｐ１”と、ＩＣカード２の識別子［ｉ１：０］と、メッセージ種別“ｔ１”と、メッセージ内容“ｍ１”とが与えられた場合を想定する（図４のＳ１１）。

送信メッセージ生成部３７は、参照情報“ｐ１”に対応するプログラム識別子（ｉ１：１）をプログラム識別子保持部３５から取得し、これらの情報を、指定されたメッセージ種別と内容に組み合わせることで、メッセージ＜ｉ１：１，ｉ１：０，ｔ１，ｍ１＞を生成する（Ｓ１２）。送信メッセージ生成部３７は、メッセージの送信先“ｉ１：０”が、Ｓ１で保持されたＩＣカード２の識別子である［ｉ１：０］と同一であることを確認した後（Ｓ１３）、データ送受信部３１に対して、上記メッセージの送信を指示する。

Ｓ１４では、Ｓ１２で生成されたメッセージが、ＩＣカード２を宛先として、端末プログラム３から送信される。
ＩＣカード２は、データ送受信部２１により当該メッセージを受信すると、送信元認証部２３により、送信元が詐称されていないかを確認する。送信元の確認は、送信元ＩＤを構成するドメインＩＤが、ＩＣカード２が現在保持する情報と同一であるか否かに基づいて行われる。すなわち、送信元認証部２３は、Ｓ１４にて受信されたメッセージの送信元ＩＤである“ｉ１：１”に関して、そのドメインＩＤ“ｉ１”と、自ＩＣカード２の識別子のドメイン部分（ドメインＩＤ）とを照合する。そして、これらの一致・不一致を判定する（Ｓ１５）。

本実施の形態では、自ＩＣカード２の識別子は［ｉ１：０］であり、ドメインＩＤはともに“ｉ１”である（Ｓ１５；ＹＥＳ）。したがって、ＩＣカード２のメッセージ処理部２４は、メッセージの種別“ｔ１”とその内容“ｍ１”に応じた所定の処理を実行する（Ｓ１６）。処理結果は、出力メッセージとして出力される。
また、両ドメインＩＤが一致しない場合には（Ｓ１５；ＮＯ）、端末プログラム３を送信先としたエラーメッセージ（例えば、＜ｉ１：０，ｉ１：１，“Ｅ１”，ｅｒｒ＞）が返信され（Ｓ１７）、一連の処理は中断する。
なお、上述のＳ１５では、ドメインＩＤに併せて、ポート番号の同一性を判定してもよい。この場合、ドメインＩＤとポート番号の双方が一致した場合に限り、Ｓ１６の処理が実行される。

次いで、図５を参照し、受信メッセージの横取りを防止する処理を説明する。
Ｓ１６の処理の実行が完了すると、その旨が、メッセージ＜ｉ１：０，ｉ１：１，ｔ２，ｍ２＞により、端末プログラム３に通知される（図５のＳ２１）。
端末プログラム３は、データ送受信部３１により上記メッセージを受信すると、当該メッセージから送信先ＩＤを抽出し、プログラム識別子保持部３５を検索する。すなわち、送信先認証部３８は、Ｓ２１で受信されたメッセージの送信先ＩＤである“ｉ１：１”がプログラム識別子としてプログラム識別子保持部３５に保持されているか否かを判定する（Ｓ２２）。

再び図３（ａ）を参照すると、本実施の形態では、領域３５ｂに、プログラム識別子としての（ｉ１：１）が登録されているため（Ｓ２２；ＹＥＳ）、この時点で認証に成功する。したがって、プログラム実行部３９は、上記メッセージを引数として、対応するハンドラ“listener”を実行する（Ｓ２３）。
なお、Ｓ２２において、プログラム識別子保持部３５内に、対応するプログラム識別子が存在しない場合には（Ｓ２２；ＮＯ）、受信したメッセージは、プログラムの実行に使用されず、その旨を伝えるメッセージがユーザに対して出力される（Ｓ２４）。

Ｓ２１で受信されたメッセージは、その送信先として指定されているプログラム識別子（ｉ１：１）に対応付けられたハンドラ（本実施の形態では“listener”）によってのみ通知される。換言すれば、“listener”をもたない端末プログラム（すなわち、端末プログラム３以外のプログラム）に対して通知されることはない。このため、他の端末プログラムが、上記メッセージ＜ｉ１：０，ｉ１：１，ｔ２，ｍ２＞を引数として“listener”を実行することはできず、他の端末プログラムにおいて上記メッセージが取得されることはない。よって、そのユーザに対して出力されることもなく、これにより、メッセージの横取りは防止される。

次に、図６と図７のフローチャートを参照し、携帯端末１の外部からのメッセージ送信を想定した場合における、送信元詐称の防止処理を説明する。
遠隔端末４から携帯端末１宛にメッセージ＜ｉ２：０，ｉ１：０，ｔ３，ｍ３＞が送信されると（図６のＳ３１）、携帯端末１は、遠隔接続部１１の受信したメッセージが送信元を詐称したものでないか否かの判定を行う。この判定は、遠隔送信元認証部１２が、受信されたメッセージから送信元ＩＤ“ｉ２：０”を抽出し、この送信元ＩＤのドメインＩＤがドメインマップ１２ａに登録されているか否かに基づいて行われる（Ｓ３２）。この時点では、遠隔送信元認証部１２のドメインマップに保持されているドメインＩＤは“ｉ１”のみである。

登録されている場合には（Ｓ３２；ＹＥＳ）、遠隔から届いたメッセージにも関わらず、同一のドメインＩＤが携帯端末１に保持されていることは通常あり得ないため、遠隔送信元認証部１２は、メッセージの送信元が詐称されているものと判断する。例えば、遠隔接続部１１により受信されたメッセージの送信元ＩＤが“ｉ１：０”の場合には、そのドメインＩＤである“ｉ１”が上述のドメインマップ１２ａに登録されていることから、遠隔端末４が、携帯端末１内の何れかのプログラムを送信元として詐称しているものと判断することができる。その結果、Ｓ３１で受信された上記メッセージは破棄される（Ｓ３３）。このとき、携帯端末１は、ユーザに異常を通知したり、異常の発生をログに記録してもよい。

Ｓ３２における判定の結果、送信元ＩＤのドメインＩＤがドメインマップ１２ａに登録されていない場合（Ｓ３２；ＮＯ）、すなわち、携帯端末１に未登録のドメインからメッセージが送信されてきた場合には、遠隔送信であればドメインが異なるのが通常であるところ、上記メッセージの送信元が、携帯端末１内のプログラム（例えば、端末プログラム３）に成りすましていることはない。このため、現時点では、少なくともドメインＩＤからは、当該メッセージが送信元を詐称しているとの判断はできない。したがって、次のステップであるＳ３３に移行する。

Ｓ３３では、データ転送部１３は、上記メッセージの送信先ＩＤから送信先を特定する。本実施の形態では、送信先ＩＤは“ｉ１：０”であるので、データ転送部１３は、識別子［ｉ１：０］を有するＩＣカード２に上記メッセージを転送する（Ｓ３５）。
送信先ＩＤとして、端末プログラム３の識別子（ｉ１：１）が指定されている場合にはＳ３６に移行し、受信されたメッセージは、端末プログラム３に転送される。以降は、図５に示したＳ２２に移行し、同様の処理が実行される。

なお、Ｓ３３で特定された送信先が、ＩＣカード２、端末プログラム３の何れでもない場合には、転送先が携帯端末１内に存在しないことから、宛先不明として異常終了する。その旨は、Ｓ３７に示すように、エラーメッセージ＜ｉ１：０，ｉ２：０，“Ｅ２”，ｅｒｒ＞を介して、メッセージの本来の送信元である遠隔端末４に通知されるものとしてもよい。

図７に移り、Ｓ３５でデータ転送部１３から転送されたＩＣカード２宛のメッセージは、データ送受信部２１により受信される（Ｓ３８）。
Ｓ３９では、送信元認証部２３は、上記メッセージに関して、図４に示したＳ１５の処理と同様に、送信元の認証を行う。すなわち、送信元認証部２３は、送信元の詐称を検知すべく、Ｓ３１で受信されたメッセージの送信元ＩＤである“ｉ２：０”について、そのドメインＩＤが自識別子のものと同じであるか否かを判定する。ドメインＩＤが一致すればＳ４０に移行し、不一致であればＳ４１に移行する。このとき、ドメインＩＤに併せて、ポート番号の同一性を判定してもよい。

Ｓ３９における認証の結果、受信メッセージのドメインＩＤが自識別子のものと同じである場合には（Ｓ３９；ＹＥＳ）、送信元認証部２３は、当該メッセージが遠隔から送信されていないものと判断し、その旨をメッセージ処理部２４に通知する。通知を受けたメッセージ処理部２４は、メッセージの種別“ｔ３”とその内容“ｍ３”に応じた処理を実行する（Ｓ４０）。

但し、本実施の形態では、ＩＣカード２の識別子が［ｉ１：０］であるのに対して、受信メッセージの送信元ＩＤは“ｉ２：０”であり、ドメインＩＤが異なる。このため、ドメインＩＤを基にした認証処理は失敗する。
Ｓ３９の認証処理に失敗すると、メッセージ種別検証部２６による認証処理、すなわち、受信されたメッセージの遠隔送信の許否判定が実行される（Ｓ４１）。この判定は、メッセージ種別検証部２６が、受信メッセージの種別を基にして行う。本実施の形態では、メッセージ種別は“ｔ３”である。図３（ｂ）を参照すると、遠隔送信許否テーブル２６１において、種別“ｔ３”を有するメッセージは、遠隔送信が許可されている（Ｓ４１；ＹＥＳ）。このため、上述のＳ４０に移行する。

一方、上記メッセージの種別から遠隔送信が拒否されていると判定された場合には（Ｓ４１；ＮＯ）、Ｓ３９にて送信元の認証にも失敗していることから、受信メッセージは送信元が詐称されているものと判断され、処理は異常終了する。このとき、遠隔接続部１１は、送信元の遠隔端末４宛に、エラーメッセージ＜ｉ１：０，ｉ２：０，“Ｅ３”，ｅｒｒ＞を返信することができる（Ｓ４２）。

以上説明したように、ＩＣカード２を備える携帯端末１によれば、ＩＣカード２と端末プログラム３とがそれぞれ保持する情報、少なくともドメインＩＤが一致しない限りは、メッセージに基づく処理は実行されない。これにより、メッセージの送信元が携帯端末１の内部であるか否かを問わず、送信元ＩＤを詐称したプログラムによる処理の実行を排除する。また、メッセージの送信先ＩＤに対応するハンドラがプログラムに登録されていない限り、そのプログラムによって当該メッセージが受信されることはない。このため、メッセージの横取りは防止される。

なお、上記実施の形態に記載の態様は、本発明に係る携帯端末の好適な一例であり、本発明は、かかる態様に限定されるものではない。
例えば、上記実施の形態において、携帯端末１は、メッセージ送信元の詐称を防止するための機能（第一の機能：図４、図６、図７参照）と、メッセージの横取りを防止するための機能（第二の機能：図５参照）とを併せもつものとしたが、これらのうち何れか一方の機能のみをもつものとしてもよい。かかる態様においても、携帯端末１は、自機の有する何れかの機能により、個別の作用効果を奏する。具体的には、第一の機能によれば、本来は端末プログラム３が指示すべきメッセージ内容が、送信元を偽った別のプログラムによって指示された結果、正規の端末プログラム３に不利益が生じたり、不正なプログラムに不当な利益がもたらされたりする、といった不都合を回避することができる。また、第二の機能によれば、本来は端末プログラム３が受け取るべきメッセージを、別のプログラムが横取りした結果、当該メッセージが不正に使用（改竄など）されたり、盗み見されたりする、といった事態を回避することができる。よって、携帯端末１において、メッセージの送受信に関するセキュリティは向上する。

また、携帯端末１の各構成要素の配置に関しても、上述の記載及び図示の態様に限らず、所定の構成要素を、ＩＣカード２あるいは端末プログラム３の外部に配設するなど、上記第一または第二の機能を奏する範囲内で適宜変更可能である。例えば、送信元認証部２３をＩＣカード２の外部に配置して遠隔送信元認証部１２に統合してもよいし、接続情報保持部３３とハンドラ登録部３６を端末プログラム３の外部に配置することもできる。さらに、遠隔接続部１１、遠隔送信元認証部１２、データ転送部１３のうち、一または複数の構成要素を、ＩＣカード２または端末プログラム３にもたせてもよい。

本発明に係る携帯端末の機能的構成を示す図である。 携帯端末により実行される、詐称防止処理及び横取り防止処理の準備処理を説明するための図である。 図３（ａ）は、プログラム識別子保持部におけるデータ格納例を示す図である。図３（ｂ）は、遠隔送信許否テーブルにおけるデータ格納例を示す図である。 携帯端末の内部から送信されたメッセージに関する詐称防止処理を説明するための図である。 携帯端末により実行される横取り防止処理を説明するための図である。 携帯端末の外部から送信されたメッセージに関する詐称防止処理の前半部分を説明するための図である。 携帯端末の外部から送信されたメッセージに関する詐称防止処理の後半部分（送信先がＩＣカードの場合）を説明するための図である。

符号の説明

１…携帯端末、１１…遠隔接続部、１２…遠隔送信元認証部、１３…データ転送部、２…ＩＣカード、２１…データ送受信部、２２…ポート番号生成部、２３…送信元認証部、２４…メッセージ処理部、２５…ＩＣカード識別子保持部、２６…メッセージ種別検証部、２６１…遠隔送信許否テーブル、３…端末プログラム、３１…データ送受信部、３２…ＩＣカード識別子管理部、３３…接続情報保持部、３４…プログラム識別子生成部、３５…プログラム識別子保持部、３６…ハンドラ登録部、３７…送信メッセージ生成部、３８…送信先認証部、３９…プログラム実行部、４…遠隔端末、Ｂ…基地局、Ｄ…ドメインＩＤ、Ｎ…公衆回線網、Ｐ…ポート番号

Claims (7)

1. 認証装置と送信元との間でメッセージの送受信を行う携帯端末において、
   前記送信元は、
   前記認証装置の識別子のうちドメイン情報を保持する接続情報保持手段と、
   前記認証装置に対するメッセージの要求に先立ち、前記接続情報保持手段に保持されている前記認証装置のドメイン情報を用いて、前記送信元を示す送信元識別子を生成する識別子生成手段と、
   前記識別子生成手段により生成された前記送信元識別子を送信元とし、前記認証装置のドメイン情報を含んだ識別子を送信先とするメッセージを生成するメッセージ生成手段と、
   前記認証装置の識別子が保持手段に保持されている場合に、生成された前記メッセージを前記認証装置宛に送信する送信手段とを備え、
   前記認証装置は、
   前記送信手段により送信された前記メッセージの前記送信元識別子におけるドメイン情報と、前記認証装置のドメイン情報とが一致するか否かを判定する認証手段と、
   前記認証手段により前記一致が判定された場合に、前記メッセージに応じた処理を実行する処理実行手段とを備え、
   公衆回線を経由して送信されたメッセージを受信する遠隔接続手段と、
   前記遠隔接続手段により、携帯端末の遠隔から送信されたメッセージを受信した際に、当該メッセージの送信元識別子のドメイン情報が、当該携帯端末の保持するドメイン情報の中に含まれるか否かを判定する遠隔認証手段と、
   当該遠隔認証手段による判定の結果、前記送信元識別子のドメイン情報が前記ドメイン情報の中に含まれない場合に、前記メッセージを、その送信先にしたがって前記送信元または前記認証装置に転送する転送手段と
   を備えることを特徴とする携帯端末。
2. 認証装置と送信元との間でメッセージの送受信を行う携帯端末において、
   前記送信元は、
   前記認証装置から送信されるメッセージの送受信に先立ち、前記認証装置から取得されたポート情報と前記認証装置のドメイン情報とを含んで構成される送信元識別子を、前記メッセージの受信に伴って実行される通知プログラムに対応付けて保持する保持手段と、
   前記メッセージが受信された際に、当該メッセージの送信先識別子と、前記保持手段に保持されている前記送信元識別子とが一致するか否かを判定する判定手段と、
   前記判定手段により前記一致が判定された場合に、前記送信元識別子に対応する通知プログラムを、前記メッセージを用いて実行する処理実行手段と
   を備えることを特徴とする携帯端末。
3. 前記認証装置は、
   遠隔送信されたメッセージの種別に関して、その種別と、遠隔送信が許可されているメ
   ッセージ種別とが一致するか否かを判定する検証手段を更に備え、
   前記処理実行手段は、前記ドメイン情報、前記メッセージ種別のうち、少なくとも一方
   が一致する場合に、前記メッセージに応じた処理を実行することを特徴とする請求項１に
   記載の携帯端末。
4. 前記送信元の識別子生成手段は、前記認証装置に対するメッセージの要求に先立ち、前
   記認証装置において更新されたポート情報を取得するとともに、当該ポート情報と前記認
   証装置のドメイン情報とから、前記送信元の識別子を生成することを特徴とする請求項１
   に記載の携帯端末。
5. 前記認証装置としてＩＣカードを備え、
   前記送信元として端末プログラムを更に備え、
   前記ＩＣカードと前記端末プログラムとの間で、前記メッセージの送受信を行うことを
   特徴とする請求項１または２に記載の携帯端末。
6. 認証装置と送信元との間でメッセージの送受信を行う携帯端末における前記送信元において、
   識別子生成手段が、前記認証装置に対するメッセージの要求に先立ち、前記認証装置の識別子のうちドメイン情報を保持する接続情報保持手段に記憶されている前記認証装置のドメイン情報を用いて、前記送信元を示す送信元識別子を生成するステップと、
   メッセージ生成手段が、生成された前記送信元識別子を送信元とし、前記認証装置のドメイン情報を含んだ識別子を送信先とするメッセージを生成するステップと、
   送信手段が、前記認証装置の識別子が保持手段に保持されている場合に、生成された前記メッセージを前記認証装置宛に送信するステップとを含み、
   前記認証装置において、
   認証手段が、送信された前記メッセージの前記送信元識別子におけるドメイン情報と、前記認証装置のドメイン情報とが一致するか否かを判定するステップと、
   処理実行手段が、前記一致が判定された場合に、前記メッセージに応じた処理を実行するステップと
   を含み、
   遠隔接続手段が、公衆回線を経由して送信されたメッセージを受信する遠隔接続ステップと、
   遠隔認証手段が、前記遠隔接続ステップにより、携帯端末の遠隔から送信されたメッセージを受信した際に、当該メッセージの送信元識別子のドメイン情報が、当該携帯端末の保持するドメイン情報の中に含まれるか否かを判定する遠隔認証ステップと、
   転送手段が、当該遠隔認証ステップによる判定の結果、前記送信元識別子のドメイン情報が前記ドメイン情報の中に含まれない場合に、前記メッセージを、その送信先にしたがって前記送信元または前記認証装置に転送する転送ステップと
   を含むことを特徴とする認証方法。
7. 認証装置と送信元との間でメッセージの送受信を行う携帯端末における前記送信元において、
   保持手段が、前記認証装置から送信されるメッセージの送受信に先立ち、前記認証装置から取得されたポート情報と前記認証装置のドメイン情報とを含んで構成される送信元識別子を、前記メッセージの受信に伴って実行される通知プログラムに対応付けて保持手段に保持するステップと、
   判定手段が、前記メッセージが受信された際に、当該メッセージの送信先識別子と、前記保持手段に保持されている前記送信元識別子とが一致するか否かを判定するステップと、
   処理実行手段が、前記一致が判定された場合に、前記送信元識別子に対応する通知プログラムを、前記メッセージを用いて実行するステップと
   を含むことを特徴とする認証方法。

Images