JP4509931B2 - トランザクションの容易化および認証 - Google Patents

Description

本発明は、トランザクションの容易化および認証に関する。

例としてのみ下で詳細に説明する本発明の実施形態で、データ処理装置（パーソナルコンピュータなど）またはそのユーザと、（多分リモートの）第三者との間のトランザクションが、容易にされ、認証され、そのような容易化および認証に、ユーザによってまたはユーザの代わりに行われる第三者への支払いまたはデータ転送の容易化および認証も含めることができる。

本発明によれば、
データ処理装置とのトランザクションを認証する方法であって、前記データ処理装置は、所定の認証情報を保管する認証記憶手段に機能的に関連付けられ、前記トランザクションを認証するために通信リンクを介して認証処理を実行する前記ステップを含み、前記認証処理は、前記所定の認証情報の前記使用を含む、方法
が提供される。

本発明によれば、
前記データ処理装置とのトランザクションの前記認証に関する所定の情報を保管する認証記憶手段と組み合わされるデータ処理装置であって、前記認証記憶手段が、前記データ処理装置に機能的に関連する時に、前記トランザクションを認証するために通信リンクを介して実行される認証処理に応答し、前記認証処理が、前記所定の情報の前記使用を含む、データ処理装置
も提供される。

本発明によれば、さらに、
データ処理装置内でこれによって使用されるデータを担持するデータキャリアであって、前記データキャリアは、前記データキャリアによって担持される前記データの使用を伴うトランザクションを認証するためにリモート動作する認証プロセスで使用される前記入力メッセージおよび前記認証情報に依存する応答を導出するために入力メッセージに応答する所定の認証情報を保管する認証記憶手段も組み込む、データキャリア
が提供される。

パーソナルコンピュータなどのデータ処理装置を含むトランザクションの容易化および認証の本発明による方法および本発明を実施するデータ処理装置（パーソナルコンピュータなど）に接続する装置を、例としてのみ、添付図面を参照してこれから説明する。

図面では、同一の要素が、一般に同一の符号によって示される。
データ処理装置の使用を伴うトランザクションが認証を必要とする、多数の例がある。たとえば、データ処理装置が、それとの通信が遠隔通信リンクを介して（インターネット経由を含む）行われなければならないリモートの第三者など、第三者との、情報の交換などのトランザクションを実行することを要求される場合がある。第三者は、トランザクションを行う前に、データ処理装置またはその当座のユーザが、第三者の満足のいくように認証されることを要求することができる。

上で述べたように、トランザクションは、単に情報の交換を用いる場合がある。たとえば、データ処理装置のユーザは、単に、第三者から情報をダウンロードするために認証されることを必要とする場合がある。そのような情報は、データ処理装置のユーザのために第三者によって保たれる情報とすることができる（たとえば、ユーザの銀行口座に関する情報）。その代わりに、情報を、ユーザが接続されるか雇用される組織または商業的実体に属するデータネットワークなどの他のデータ処理装置で保持され、したがってユーザが旅行している時にユーザによるそのネットワークへのアクセスを容易にする情報とすることができる。もう１つの可能なトランザクションに、データ処理装置による、リモート位置からのソフトウェアのダウンロードを含めることができる。

さらに、トランザクションは、トランザクションを行うために、提供される情報の返礼の第三者への支払いなど、支払いがユーザによって行われることを必要とすることができる。明らかに、そのような支払いが伴う時に、ユーザが、第三者の満足がゆくように認証されることと、支払いが、安全で単純な保護された形で行われることが重要である。

前述の議論では、データ処理装置の「ユーザ」に言及したが、上述のトランザクションの少なくとも一部は、実際に人間のユーザにかかわらない場合があり、データ処理装置が、自動的に動作する（たとえば、情報収集または監視の役割で間欠的に動作し、その結果を第三者に報告する）ことを要求される場合がある。その場合に、代替としてまたは追加して、データ処理装置が、第三者の満足のゆくようにそれ自体を認証する必要がある場合がある。

データ処理装置は、装置またはその特定のユーザを認証する所定の認証情報を保管する手段（認証記憶手段）を備えるか、これに関連する。一実施形態で、所定の情報を保管する手段は、取り外し可能であり、したがって、ユーザが持ち運び、それを受けるように適合された任意のデータ処理装置（またはコンピュータ）に挿入できて、そのコンピュータを用いてそのユーザによって実行されるトランザクションに関してユーザを認証することが可能になる。有利なことに、その場合に、所定の情報を保管する手段が、スマートカードの形である。

より具体的な例で、スマートカードは、ＧＳＭ（Ｇｒｏｕｐ Ｓｐｅｃｉａｌ Ｍｏｂｉｌｅ）または３Ｇ（第３世代）網などの携帯電話網またはセル遠隔通信網で受話器の使用の認証に使用されるタイプのＳＩＭ（ＳｕｂｓｃｒｉｂｅｒＩｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）である。そのようなネットワークは、そのユーザ（加入者）のＳＩＭの詳細を保管する。ネットワークの動作で、ユーザの受話器は、ネットワークがそのＳＩＭを組み込んだ受話器にチャレンジを送信し、それに応答して、ＳＩＭが応答（ＳＩＭに保持される所定の情報（通常は認証アルゴリズムおよび一意の鍵Ｋｉ）に依存する）を計算し、ネットワークに送り返し、ネットワークが、その情報を、認証処理を完了するためにそのユーザまたは加入者に関するネットワーク自体の情報に対して検査することによって、認証される（たとえば、ユーザが発呼または着呼のためにネットワークで受話器をアクティブ化する時に）。したがって、同一の形で、ＳＩＭを、データ処理装置またはコンピュータでまたはそれに関連して使用することができ、その結果、同一の形の認証処理を実行できるようになる。ＳＩＭが、特定のセル遠隔通信網の加入者のＳＩＭである場合に、認証処理は、その網が実行することができる。

説明される認証処理が、必ずしもユーザの人間としての身元を認証しないことに留意されたい。たとえば、セル遠隔通信網は、前払いと引き換えに、その網での発呼を可能にするＳＩＭを発行された前払い加入者を有する。しかし、そのような前払い加入者の身元は、網に未知である（または必ずしも既知でない）。それでも、そのようなユーザは、網がそのユーザのＳＩＭを認証するまで、すなわち、そのユーザがその網の特定の前払いアカウントを有する特定のユーザであることを確認するまで、その網を利用することができない。そのような前払いユーザまたは加入者のＳＩＭは、ユーザを認証するために、データ処理装置またはコンピュータでまたはこれに関連して同等に使用することができる（説明する形で）。
ＳＩＭは、物理的な（取外し可能の）スマートカードの形である必要はなく、その代わりに、たとえばソフトウェアの形でまたはチップとしての表現で、データ処理装置またはコンピュータに組み込むことによってシミュレートすることができる。

変化する状況を考慮に入れるために、ＳＩＭ（またはシミュレートされたＳＩＭ）の認証情報を変更できることが望ましい場合がある。たとえば、ＳＩＭは、特定のセル遠隔通信網（データ処理装置またはコンピュータが使用される国または地域にあてはまる網）に登録されたＳＩＭとすることができる。しかし、異なるセル遠隔通信網にＳＩＭを再登録することが望ましいか必要である状況が生じる可能性がある（たとえば、装置またはコンピュータが、異なる国または地域に物理的に移動される）。これを行う形は、本出願人の同時係属の英国特許公報第２３７８０９４号明細書、英国特許公報第２３７８０９６号明細書、および英国特許公報第２３７８０９７号明細書と、対応するＰＣＴ公報ＷＯ０３／０１３１７４、ＰＣＴ公報ＷＯ０３／０１３１７３、およびＰＣＴ公報ＷＯ０３／０１３１７２に開示されている。本明細書で詳細に説明するように、ＳＩＭは（および、したがって、シミュレートされたＳＩＭも）、当初は、複数のネットワークのそれぞれに関する認証（および他の）情報を与えられ、異なるネットワークに関する情報が、選択的にアクティブ化される。

しかし、ユーザが、遠隔通信網の加入者である必要はない。その代わりに、ユーザを、遠隔通信網と同一の形で認証処理を実行することができる他の集中システムに登録された加入者とすることができる。その場合に、ＳＩＭ（またはシミュレートされたＳＩＭ）の登録を、１つのそのような集中システムから別の集中システムに、上で説明したものと同一の形で転送することができる。

上で説明したように、認証処理の目的は、データ処理装置またはコンピュータと第三者の間のトランザクションを容易にすることである。認証処理が、遠隔通信網によって、またはＳＩＭのユーザがその加入者である他のシステムによって実行される場合に、認証処理の満足な完了が、そのネットワークまたはシステムによって第三者に通信されて、トランザクションを進行できるようになる。

説明するタイプのトランザクションの多くについて、第三者に対するユーザによる支払いが含まれる場合がある。ユーザがその加入者である遠隔通信網または他の集中システムによって認証処理が実行される、上で説明した配置は、そのような支払いを行うことを有利に容易にし、（しばしばそうであるように）支払いが小額である（たとえば、気象情報または交通情報などの情報の受け取りに対する、または特定のソフトウェアの一時的使用に対する返礼の支払い）場合に特に有利である；その場合に、支払いを、遠隔通信網または他の集中システムによって保持される加入者の口座の借方に記入することができ、その後、もちろん、多分取扱手数料の差し引きの後に、第三者に渡すことができる。

図１のブロック図に、上で説明した方法を動作させる形の１つを概略的に示す。
ＷｉｎｄｏｗｓベースのパーソナルコンピュータまたはＰＣ １０が示されている（「Ｗｉｎｄｏｗｓ」は商標である）。ＰＣ １０は、１２に概略的に示されているＳＩＭを受けるように適合される。ＳＩＭは、ユーザ（すなわち、ＳＩＭの所有者）を識別するのに使用するためにＰＣに取り外し可能にはめ込むことができれ、あるいは、ＰＣ内に固定することができる（ＰＣ自体を識別するために）。ＰＣ１０に、ＳＩＭと相互作用し、ＳＩＭの機能の一部を制御するトランザクション管理ソフトウェア１４が組み込まれる。

ＰＣ １０がＳＩＭを受けるように適合された配置を説明したが、ＳＩＭ以外のスマートカードを使用することができ、これが本発明によるものであることを諒解されたい。さらに、ＰＣによって受けられるＳＩＭ（またはスマートカード）（ＰＣに取り外し可能にはめられるかＰＣ内に固定されることによって）ではなく、ＳＩＭ（またはスマートカード）を、ＳＩＭ（またはスマートカード）とＰＣ１０の間の通信を可能にする形でＰＣに関連付けることができる。たとえば、ＳＩＭ（またはスマートカード）を、ＰＣ１０との有線通信または無線通信を可能にする「ドングル」（その例を下で詳細に説明する）と共に提供することができる。ＳＩＭ（またはスマートカード）とＰＣ１０の間の通信が、保護されることが好ましい。通信を暗号化することができ、あるいはセキュア通信の他の手段を使用することができる。

図１には、Ｖｏｄａｆｏｎｅ（商標）ネットワークなどのセル電話網１６も示されており、ＳＩＭ１２がネットワーク１６に登録されると仮定する。

図１に示されたシステムの動作を、図２の流れ図に関して説明する。

ステップＡで、ＰＣ １０のユーザが、ＰＣ上の特定のアプリケーション１７の使用を要求する。たとえば、ユーザが、暗号化され、したがって一般に使用可能ではない、特殊化された情報を含むウェブページを見ることを望む場合がある。これを行うために、ユーザは、「セッション鍵」すなわち、たとえば、特定のアプリケーションの時間を制限された使用を伴うトランザクションを実行する許可を要求する。セッション鍵の要求は、トランザクションマネージャ１４にアドレッシングされる。トランザクションマネージャ１４は、ＳＩＭ１２から導出される識別情報（「Ｉ ａｍｈｅｒｅ」メッセージ）を、ネットワーク１６のセキュリティサービス部分１８に送信する（ステップＢ）。この「Ｉａｍ ｈｅｒｅ」メッセージに応答して、ネットワークは、トランザクションマネージャ１４にランダムチャレンジを送信し（ステップＣ）、このチャレンジは、ネットワークに既知の、ＳＩＭ１２に関する情報に基づく。

図１の両方向の矢印１９は、ＰＣ １０とネットワーク１６の間の両方向データ通信を概略的に示すものである。このデータ通信は、適当な通信媒体を介するものとすることができる。たとえば、通信媒体は、固定電話網（ＰＳＴＮなど）または無線ネットワークとすることができる。たとえば、無線ネットワークは、セキュリティサービス１８を提供するネットワーク１６と同一とすることができ、あるいは、別のネットワークとすることができる。データ通信は、インターネットを介して実行することができる。データ通信は、保護され暗号化された形であることが好ましい。

ステップＤで、トランザクションマネージャ１４が、チャレンジおよびＳＩＭで保持される鍵から導出される回答を供給することによって、チャレンジに対するＳＩＭ１２からの応答を送信する。この応答が、ネットワーク１６のセキュリティサービス部分１８によって検査される。応答が満足であると仮定すると、セキュリティサービス部分１８は、ユーザを認証し、多分移植セキュリティトークンを供給することによって、これをトランザクションマネージャ１４に確認する（ステップＥ）。それと同時に、ネットワーク内のセキュリティサービス部分１８が、ネットワーク１６のアプリケーションサービス部分２２にセッション鍵を送信する（ステップＦ）。

トランザクションマネージャ１４は、このセッション鍵をアプリケーション１７にも送信する（ステップＧ）。

説明する実施形態では、トランザクションマネージャが、ＳＩＭ １２との間のデータの転送を容易にする。トランザクションマネージャが、このデータを理解できまたは解釈できることに関する要件はない。説明される実施形態のトランザクションマネージャの機能は、ＳＩＭ１２との間で渡されるデータの導管として働くことである。

ユーザは、特定のアプリケーションに関する要求を行うことができ（ステップＨ）、このアプリケーション要求に、ステップＧで受け取ったセッション鍵を付随させる。ステップＨのアプリケーション要求は、アプリケーションサービス部分２２に送信され、アプリケーションサービス部分２２は、ネットワーク１６の一部とすることができ（図示の通り）、あるいは、別々で第三者によって制御されるものとすることができる。ステップＩで、アプリケーションサービス部分が、アプリケーション要求と共に受信した（ステップＨ）セッション鍵を、ステップＦで受信したセッション鍵と比較する。この検査の結果が満足であると仮定すると、アプリケーションサービス部分２２は、アプリケーション要求の受入をＰＣ１０に送信し（ステップＪ）、アプリケーションが進行する。セッション鍵は、状況に応じて、アプリケーションサーバ２２の時間を限られた使用、単一の使用、または無期限の使用を許可することができる。ネットワークは、そのセッションの料金をユーザの口座の借方に記入することができる。アプリケーションサービス部分２２とセキュリティサービス部分１８の間にリンクを設けて、これらの部分の間でのデータ交換を可能にすることができ、たとえば、セキュリティサービス部分１８が、ネットワーク１６のユーザの口座に借方記入するように配置することができる。

前述は、もちろん、説明されるものの実施形態の１つの単純な例にすぎない。

代替実施形態では、データキャリアは、上で説明した形の１つなど、すなわちＳＩＭまたは（多分）ＳＩＭをシミュレートするソフトウェアなどの所定の情報を保管する手段を備えることができる。シミュレートされたＳＩＭは、データキャリアに保管されるデータに関連する。データキャリアは、たとえば、ＤＶＤ、ＣＤＲＯＭ、または他の類似するデータキャリアとすることができ、その上のデータは、ソフトウェアまたはソフトウェアの組とすることができる。

シミュレートされたＳＩＭは、データキャリア上のデータ（ソフトウェアなど）の識別および認証に使用することができる。シミュレートされたＳＩＭは、上で説明したものと同一の形で、遠隔通信網または他の集中システムに登録することができる。データキャリアが、その中での使用のために、コンピュータなどのデータ処理装置に置かれる時に、ＳＩＭを使用して、データキャリアおよびそれに保管されたデータを識別し、認証することができ、（たとえば）コンピュータでの使用のためのソフトウェアのダウンロードを可能にすることができる。この形で、ＳＩＭを後に使用して、ソフトウェアのさらなる使用（たとえば別のコンピュータでの）を阻止し、または所定の回数だけデータを使用することを許可する（同一のコンピュータ内または異なるコンピュータ内のいずれであれ）ことができる。たとえば、データキャリア（ＳＩＭを有する）が、特定のユーザのＳＩＭも受け取ったコンピュータに置かれる場合に、（ａ）データキャリア上のＳＩＭを使用して、ソフトウェアを識別し、認証することができ、（ｂ）コンピュータ内のまたはコンピュータに関連するＳＩＭを使用して、ユーザを認証することができ、その後に、ソフトウェアの使用に関する支払いとしてそのユーザの借方に料金を記入できるようにするのに使用することができる。

ＳＩＭと共にデータキャリアに保管されるデータを、たとえば暗号化されたデータとすることができる。その暗号化されたデータは、データキャリア上のＳＩＭによって提供される情報を使用して暗号化することだけができる。この形で、データキャリア上のＳＩＭが、データキャリアに保管されたデータの使用を制御することができる。たとえば、データキャリアを、データキャリア上のデータを使用する制限付きの権利をユーザに与える特定のライセンスと共に販売することができる。ユーザは、所定の時間期間または所定の回数だけそのデータを使用することを許可されることができる。データが使用されるたびに、そのデータが、ＳＩＭに保管されたデータを使用して暗号化解除される。データが暗号化解除された回数のレコードが、ＳＩＭ（または他所）内で維持される。データが暗号化解除された回数が、データキャリアと共に販売されたライセンスで提供される回数と等しい時に、ＳＩＭは、データを暗号化解除しないことによって、そのデータのそれ以上の使用を防ぐ。データが、所定の時まで有効なライセンスと共に提供される場合に、ＳＩＭがデータを暗号化解除するたびに、ＳＩＭは、現在時刻（たとえばＳＩＭ、ＰＣ１０で提供される適当なクロックに関して、またはネットワーク１６に関して）を検査し、その結果、データの暗号化が、データキャリアと共に販売されたライセンスで指定される時までに限って実行されるようになる。

シミュレートされたＳＩＭを上で説明したが、ＳＩＭは、より安全なのでハードウェアで実施されることが、現在は好ましい。ハードウェアＳＩＭ上の秘密の認証データは、許可されない人がアクセス不能である。

ＳＩＭ １２を受けるようにＰＣ１０を適合させるか、ＳＩＭまたはＳＩＭをシミュレートするソフトウェアを組み込むようにデータキャリアを変更するのではなく、ＳＩＭ１２を受けるためにまたはＳＩＭ １２をシミュレートするソフトウェアを組み込むために、別々のデバイスまたは「ドングル」３０を設けることができる。

図３に、トランザクションの認証（または他の適当な目的）のためにデータをドングル３０とＰＣ１０の間でおよびネットワーク１６との間で前に渡せるようにするドングル３０を示す。

ドングル３０に、ＳＩＭ １２を受けるスロットを有するハウジング３２が含まれる。ハウジング３２は、適当な材料から作ることができる。この材料は、電気的に絶縁性であることが好ましい。たとえば、ハウジングに、レーザ硬化型の樹脂またはプラスティックを含めることができる。

適当なコネクタ（図示せず）が、ＳＩＭ １２とドングル３０の間のデータの電子交換を可能にするためにハウジング３２内に設けられる。ドングル３０に、さらに、ＰＣ １０とのデータ通信目的の接続を可能にする適当なコネクタ３４が含まれる。たとえば、このコネクタは、ＵＳＢコネクタ、Ｆｉｒｅｗｉｒｅ１３９４コネクタ、または他の適当なコネクタとすることができる。もちろん、ドングルの異なる構成も、設けることができる。たとえば、ＳＩＭ１２を、ドングル３０に完全に収納することができ、ハウジング３２を開くことによってドングル３０から取外し可能とすることができ、あるいは、ＳＩＭ１２を、ドングルケーシング３２内に永久的に密封またはカプセル化することができる。後者の配置が設けられる場合に、遠隔通信システムのユーザに、たとえば携帯電話受話器で使用される第１ＳＩＭを与えることができ、ＰＣ１０を介してトランザクションを実行するのに使用される別々のＳＩＭを収納したドングル３０を与えることができる。望まれる場合に、遠隔通信網に、ユーザの携帯受話器内のＳＩＭおよびユーザのドングル内のＳＩＭが同一所有者によって所有されることを示すレコードが含まれ、この情報を使用して、ユーザに、両方のＳＩＭの使用に関してこうむる料金の単一の口座を便利に提供することができる。

ドングル３０は、ＰＣ １０との通信を制御するドングルインターフェースドライバ３６を備える。ＰＣ １０からのすべての通信が、ドングルインターフェースドライバ３６を介してルーティングされ、ＳＩＭ１２に保管されたデータには、ドングルインターフェースドライバ３６を使用することによらなければアクセスできない。対応するＰＣインターフェースドライバ３８が、ＰＣ１０に設けられる。ＰＣインターフェースドライバ３８に、たとえば、ＰＣ １０にロードされ、これによって実行されるコンピュータプログラムの形の一連のコマンドを含めることができる。ＰＣインターフェースドライバ３８は、たとえば、ネットワーク１６によってまたはこれによる制御の下で供給することができる。したがって、ＰＣインターフェースドライバ３８は、ネットワーク１６によって「信頼」され、ＳＩＭ１２に存在するセキュリティ情報を危険にさらすことを許容しない承認された形でのドングル３０へのアクセスを可能にし、その結果としてＳＩＭ１２へのアクセスを可能にするように構成される。

ＰＣインターフェースドライバ３８が代替ドライバに置換されるかバイパスされること（ＳＩＭ１２のデータのセキュリティを危険にさらす可能性がある）を防ぐかその可能性を減らすために、ＰＣインターフェースドライバ３８およびドングルインターフェースドライバ３６に、めいめいの共有される秘密鍵４０および４２が与えられる。ＰＣインターフェースドライバ３８からドングル３０への通信のそれぞれが、共有される秘密鍵４０を使用して暗号化される。ＰＣ１０からドングル３０へのすべての通信が、ドングルインターフェースドライバ３６によって受け取られる。ドングルインターフェースドライバ３６に、その秘密鍵４２を使用して、受け取られた通信を暗号化解除する処理手段が含まれる。セキュリティを高めるために、ドングルインターフェースドライバ３６は、共有される秘密鍵４０を使用して暗号化されていないすべての通信が、ＳＩＭ１２にデータを送るかＳＩＭ １２からデータを受け取ることを防ぐ。

したがって、ＰＣインターフェースドライバ３８は、ＳＩＭ １２へのアクセスの許可されない試みによってＳＩＭ １２に保管されたデータが危険にさらされる可能性を減らすために、ドングル３０およびＳＩＭ１２へのアクセスを制御し、監督する。

ＳＩＭ １２のデータへのアクセスの要求が、ＰＣインターフェースドライバによって承認され（たとえば、ネットワーク１６によって設定される判断基準に従って）、したがって、適当な鍵４０を用いてドングルインターフェースドライバ３６に通信されるならば、図１および２に関して説明した形で、ＳＩＭ１２を使用するトランザクションを認証することができる。

共有される秘密鍵４０および４２の提供は、有利であるが、秘密鍵４０および４２の提供が、本発明に必須ではないことを諒解されたい。

代替の配置では、ＰＣインターフェースドライバ３８が、特定の秘密鍵４０を備えない。しかし、ドングルインターフェースドライバ３６は、鍵４２を備える。ドングル３０が、ＰＣ１０に結合される時に、ＰＣインターフェースドライバ３８は、そのドングルインターフェースドライバに鍵４２が設けられていることを検出する。ＰＣインターフェースドライバ３８は、ＰＣインターフェースドライバ１３とドングルインターフェースドライバ３６の間のデータ交換を鍵４２を使用して暗号化できるようにする鍵を、通信リンク１９を介してネットワーク１６から入手することができる。たとえば、ドングルインターフェースドライバ３６の鍵４２を、秘密鍵とすることができ、ネットワーク１６によってＰＣインターフェースドライバに供給される鍵４０を、公開鍵とすることができる（この２つの鍵は、公開鍵／秘密鍵対である）。ネットワーク１６によって供給される鍵は、アプリケーションによる要求の際に供給されないことが好ましい。たとえば、ネットワーク１６を、信頼されるＰＣインターフェースドライバだけにおよび／またはある認証処理の後に限って、これらの鍵を供給するように構成することができる。

代替案では、ドングルインターフェースドライバ３６とＰＣインターフェースドライバ３８の間のデータ転送を、暗号化しないことができ、あるいは、異なる機器で提供される多数のドングルインターフェースドライバおよびＰＣインターフェースドライバに共通する形で暗号化することができ、これは、ドングル３０を複数の異なるＰＣと共に使用できるようになるという長所を有する。

追加のセキュリティ手段として、ＰＣインターフェースドライバ３８とトランザクションマネージャ１４の間の通信を暗号化することができる。たとえば、これらの部分のそれぞれが、共有される秘密鍵を有することができ、これらの間の通信を、その共有される秘密鍵を使用して暗号化することができる。

本発明のもう１つの実施形態を、図４に関して説明する。図４によれば、ドングル３０が、そのハウジング３２内に完全に収納されたＳＩＭ１２を有し、したがって、ＳＩＭは、この図では見ることができない。ドングル３０は、図３の実施形態に似た形の、ＰＣ１０に接続するコネクタ３４を有する。ケーシング３２の反対の端に、任意選択のループコネクタ４４を設けて、それをユーザの鍵輪に取り付けることによって、ドングル３０を持ち運ぶ便利な手段を提供することができる。

ハウジング３２の１面は、さまざまな押しボタン４６を取り付けられ、押しボタン４６のうちの１０個が、それぞれの数０から９を表示されている。この実施形態では、ドングル３０に、適当に指定された押しボタン４６を操作することによってユーザからのＰＩＮ番号の入力を受け取る手段（ソフトウェアなど）が含まれ、このＰＩＮ番号は、ＳＩＭ１２のために供給され、ＳＩＭ １２に保管されたＰＩＮ番号と比較される。ＧＳＭ遠隔通信網で使用されるＳＩＭは、便利にそのようなＰＩＮを備える。

ハウジング３２は、さらに、任意選択として、ＰＩＮ番号を入力するようにユーザに促し、かつ／または望まれる場合に入力されたＰＩＮ番号を表示するディスプレイ４８を備えることができる。押しボタン４６を使用するＰＩＮ番号の入力時に、入力されたＰＩＮ番号が、ＳＩＭに保管されたＰＩＮ番号と比較される。ＰＩＮが一致するとわかった場合に、ＳＩＭとＰＣ１０の間の通信が許可されて、１つまたは複数のトランザクションが認証される。入力されたＰＩＮ番号とＳＩＭ１２に保管されたＰＩＮ番号の間の比較は、ドングル３０内で実行され、入力されたＰＩＮ番号またはＳＩＮに保管されたＰＩＮ番号の両方が、ＰＣ１０に通信されない。これによって、許可された当事者への開示によってＰＩＮが危険にさらされる可能性が、なくなるか減る。

ＰＩＮの入力を可能にするために、ドングル３０は、電源を必要とする。電力は、ＰＣ１０によって供給することができる。有利なことに、ＰＩＮは、それ自体の一時的電源を有し、これによって、ＰＩＮを入力し、検証することが可能になる。その後、電源が切られ、ＰＩＮデータが失われる。これは、追加のセキュリティ機能であり、下で詳細に説明する。

図４のＰＩＮ入力比較配置は、図３に示された配置のインターフェースドライバ３６および３８ならびに共有される秘密鍵４０および４２に加えてまたはその代替として提供することができる。

押しボタン４６の代替として、ＰＩＮ入力を可能にする他の手段を設けることができることを諒解されたい。代替案では、ユーザからある他のセキュリティ情報を入手し、これをＳＩＭ１２に保管されたデータと比較することによって、ユーザが、ＳＩＭを使用することを認証されることができる。たとえば、入手されるデータは、ユーザの指紋または、たとえば適当なバイオメトリックデータなど、別の人で再び生じる可能性が低い他の特性とすることができる。指紋（または他の情報）の詳細は、その特性を表す入力データとの比較のためにＳＩＭに保管される。

図４の実施形態の追加のセキュリティ特徴として、ＳＩＭ １２からの情報を要求するアプリケーションまたは組織の名前を表示するディスプレイを設けることができる。これによって、ユーザが、自分のＳＩＭ１２に対して行われる要求を監視できるようになる。

図３に関して説明しためいめいのインターフェースドライバ３６および３８ならびに共有される秘密鍵４０および４２が、追加のレベルのセキュリティを提供するために、図４に関して説明したＰＩＮ入力比較配置も含むシステムで使用される場合に、ドングル３０を、ＳＩＭ１２にデータを要求するアプリケーションまたは組織の名前を表示するようにプログラムすることができ、その後、キーパッド４６を使用してユーザのＰＩＮを入力することによって各または選択されたアプリケーション／組織に関するデータの供給を承認するようにユーザに促すことができる。ＰＩＮ入力の代替案として、ユーザに、「トランザクション確認」ボタンまたは類似物をアクティブ化するように促すことができる。

ドングル３０を使用して、ＰＣ以外のデータ処理装置とのトランザクションを容易にすることができる。たとえば、ネットワーク１６のアカウントを有し、ドングル３０を与えられたユーザは、ネットワーク１６に接続可能なパーキングメーターの適当に構成されたスロットにコネクタ３４を挿入することができる。そのドングル３０に含まれるＳＩＭ１２は、パーキングメーター内に設けられるトランザクションマネージャを使用して、上で説明した形で認証される。この手段によって、駐車料金支払いを、ネットワーク１６のユーザの口座から適当な額を差し引くことによって行うことができる。有利なことに、ドングル３０に、押しボタン４６を設けることができ、ドングルは、ＰＩＮを入力するようにユーザに促し、このＰＩＮが、ＳＩＭに保管されたＰＩＮと比較され、その結果、ドングル３０を、許可されない当事者が使用できなくなる。ドングルは、パーキングメーターの制御下で、トランザクションに関連するデータ、たとえば駐車スペースが必要な時間の長さを入力することを押しボタン４６が可能にすることを可能にするようにプログラムすることができる。

ドングル３０は、たとえば、類似する形で、適当に構成されたＤＶＤプレイヤと共に使用して、ネットワーク１６のユーザの口座から差し引かれる料金の支払いに対してフィルムを見られるようにすることもできる。本願と同一の日付に出願された「ＤａｔａＰｒｏｃｅｓｓｉｎｇ」と称する同時係属の特許出願に記載されているように、ディジタル権利管理方式の鍵としてドングル３０が動作できるようにシステムを配置することができる。ドングルは、適当に構成された自動販売機から製品を購入できるようにするか、適当に構成された券売機から切符を購入できるようにすることもできる。そのような機械に、ＰＣ１０のトランザクションマネージャ１４によって実行される機能に対応する機能をその機械が実行できるようにするプロセッサが含まれる。

上の説明では、トランザクションの認証に使用されるＳＩＭが、ＰＣ １０内の適当なスロットに挿入されるかドングル３０（設けられる場合）内のいずれかの普通のＳＩＭの形を有することを示した。これは、単に、モバイルネットワークの加入者が普通の携帯端末で発呼および着呼に使用するＳＩＭとすることができる。代替案では、ＳＩＭ１２を、ＰＣ １０またはドングル３０内に組み込むことができる（簡単に取り外せないか全く取り外せないように）。もう１つの代替案では、ＳＩＭが、別々の物理的な形を有するのではなく、ＰＣ１０またはドングル３０内のソフトウェアおよび／またはハードウェアによってシミュレートされるものとすることができる。ＳＩＭは、シミュレートするか、ＰＣ１０のチップセットに組み込むことができる。たとえば、ＳＩＭを、ＰＣ １０の中央処理装置内に組み込むか、中央処理装置でシミュレートすることができる。そのような配置では、ＳＩＭ（またはシミュレートされたＳＩＭ）をＰＣ１０から除去できなくなる（ＰＣ １０を役に立たなくしない限り）。

ＳＩＭが、ＰＣ １０またはドングル３０から簡単に除去可能でない形の場合に、遠隔通信システムの加入者に、たとえば彼の携帯受話器内での使用のために第２のＳＩＭを与えることができる。

しかし、同一のＳＩＭ（ＰＣ １０内またはドングル３０内）が、トランザクションの認証に使用され、遠隔通信網で普通の形で使用される（たとえば、携帯電話機を使用する発呼および着呼に）場合に、呼が行われる時に携帯電話網でＳＩＭを認証するのに使用されるのと同一のデータを使用して、トランザクションの認証を提供することができる。代替案では、ＳＩＭが、各認証タイプを実行する別々のレコードを有することができる。トランザクションの認証に使用されるデータおよび／またはアルゴリズムを含む第１レコードと、遠隔通信網で端末を認証するのに普通の形で使用される第２の別々のレコードを設けることができる。第１および第２のレコードは、めいめいの認証鍵、遠隔通信網への一意の識別子、および／または独自の認証アルゴリズムを有することができる。

第１のレコード自体に、それぞれが遠隔通信網に登録された、認識され別々に請求される別々のレコードの制御の下でトランザクションを認証できるようにする、一連の別々のレコードを含めることができる。これを、図５に関して詳細に説明する。図５では、ドングル３０に、複数のＳＩＭ１２を含めることができ、あるいは、ドングル内でシミュレートされる複数のＳＩＭを有することができる。代替案では、複数の完全なＳＩＭを設けるかシミュレートするのではなく、複数の異なるレコードをドングル３０に保管することができる。複数のＳＩＭが設けられるか、複数のシミュレートされたＳＩＭが提供されるか、複数の代替のレコードが設けられるのどれであれ、これらを、遠隔通信網に識別可能なめいめいの一意のデータレコードとみなすことができる。

そのような配置は、たとえば、ユーザまたは加入者が複数の環境でドングル３０を使用することを望む時に望ましい可能性がある。ユーザまたは加入者が、雇用者に対する義務を実行している時に、ドングル３０は、雇用者に関連するデータレコードをアクティブ化する。そのデータレコードを使用して許可されるトランザクションは、適当な場合に、雇用者の口座に対する請求をもたらす。ユーザまたは加入者が、雇用者に対する義務を実行していない時には、個人データレコードがアクティブ化される。ドングル３０を使用して認証されるトランザクションは、そのユーザの個人口座から差し引かれる料金をもたらす。これによって、雇用者の代わりに実行されるものと別々の個人の立場でユーザまたは加入者によって実行されるトランザクションが可能になる。ドングル３０のモード（すなわち、雇用者のデータレコードと個人データレコードのどちらがアクティブ化されるか）は、ドングル３０に設けられるモードスイッチ５０によって制御することができ、あるいは、ＰＣ１０で動作するトランザクションマネージャ１４またはＰＣインターフェースドライバ３８内に設けられるソフトウェアを使用してモードを変更することができる。ユーザによって指示される時に、このソフトウェアは、適当な信号をドングル３０に送らせて、アクティブなＳＩＭ、アクティブなシミュレートされたＳＩＭ、またはアクティブなデータレコードを変更する。

追加のセキュリティ手段として、ドングルは、ＳＩＭの異なるモード（たとえば「従業員」モードまたは「個人」モード）をアクティブ化するために、加入者がＰＩＮを入力する（または他のデータを提供する）ことを要求することができる。各モードをアクティブ化するのに、異なるＰＩＮを要求することができる。

これまでに説明したドングル３０は、ＰＣ １０とのデータ通信を可能にする物理的なコネクタ３４（ＵＳＢコネクタなど）を有する。物理的なコネクタ３４の代替案として、ドングル３０とＰＣ１０の間の無線リンクを設けることができる。データ交換は、たとえば、Ｂｌｕｅｔｏｏｔｈ技術を使用するニアフィールド技法を使用することによって、赤外線シグナリングによって、または他の適当な手段によって行うことができる。

別々のドングル３０を設けるのではなく、ユーザのＳＩＭを、便利な形で携帯端末（携帯電話受話器など）に配置することができる。ＳＩＭは、携帯端末とＰＣ１０の間の適当なデータ交換によって、ＰＣ １０を用いるトランザクションを認証することができる。これは、トランザクションの認証が要求される時にＰＣ １０に接続するための物理的コネクタ（ＵＳＢコネクタなど）を携帯端末に設けることによって達成することができ、あるいは、上で説明した無線技法のいずれかによって行うことができる。この通信が、暗号化されるか、他の形で保護されることが好ましい。ＳＩＭが、普通の携帯遠隔通信用とトランザクション認証用の別々のデータレコードを設けられる場合に、たとえば遠隔通信網との電話呼とＰＣ１０を用いるトランザクションの認証を同時に行うことを可能にすることができる。携帯端末は、ＰＣ１０とネットワーク１６の間の通信リンクを便利に提供することができる。したがって、この配置でのＰＣ１０への携帯端末の結合は、トランザクションの認証を可能にするだけではなく、ＰＣ １０とネットワーク１６の間の通信媒体も便利に提供する。代替の配置では、携帯端末が、携帯遠隔通信網を介する通信を提供するが、これがネットワーク１６と異なる。

ドングル３０は、ＰＣ（または他のコンピューティングデバイス）と共に使用される普通のデータカードの機能も実行することができる。この配置では、ドングルが、適当なサイズになり、ドングルに、上で説明した機能を有するほかに、データカードとして動作できるようにするのに適するコネクタが含まれる。

トランザクションを認証する配置のもう１つの機能強化された実施形態を、図６と、図７Ａ、７Ｂ、および７Ｃに示された流れ図とを参照して説明する。

ＰＣ １０などのクライアントプラットフォームに、トランザクションマネージャ１４が含まれる。その中にＳＩＭ１２を有するドングル３０が、設けられ、ドングル３０とトランザクションマネージャ１４の間の通信が、接続３４（有線接続または無線接続とすることができる）を介して実行される。この実施形態では、トランザクションマネージャ１４に、図３に示されたＰＣインターフェースドライバ３８が組み込まれ、したがって、ＰＣインターフェースドライバは、図６では別々の項目として示されていない。同様に、ドングル３０に、図３の３６に示されたドングルインターフェースドライバが組み込まれ、したがって、別々のドングルインターフェースドライバは、図６に示されていない。

ＰＣ １０は、たとえば、Ｗｉｎｄｏｗｓ（登録商標）オペレーティングシステムを使用することができる。

複数のクライアントアプリケーション１７が、ＰＣ １０で供給され、これによって、ユーザが、めいめいのリモートサービスプロバイダ２２からサービスを入手できるようになる。「リモート」は、ＰＣ１０とサービスプロバイダ２２の間に特定の地理的距離が存在しなければならないことを暗示することを意図されていないことを理解されたい。しかし、一般に、サービスプロバイダ２２は、ＰＣ１０と独立に制御される（これは必須ではない）。

この実施形態で、携帯遠隔通信網１６は、ＳＭＳ、ＭＭＳ、ロケーションベースサービスなどのネットワークサービス１００を提供する。ネットワーク１６は、認証サービス１０２および支払いサービス１０４も提供する。しかし、このネットワークを、任意のタイプのネットワークとすることができ、本発明が携帯遠隔通信網に制限されないことを理解されたい。たとえば、認証サービス１０２および支払いサービス１０４を、ローカルエリアネットワーク、広域ネットワーク、および／またはインターネットによってＰＣ１０にリンクされたコンピュータで提供することができる。

加入者が、リモートサービスプロバイダ２２によって提供されるサービスを使用することを望む時に（図７Ａの流れ図のステップＡ）、加入者は、ＳＩＭ１２を含むドングル３０をＰＣ １２の適当な接続スロットに挿入するか無線リンクを使用することによって、ＰＣ１０にＳＩＭ １２を結合する（ステップＢ）。次に、加入者は、ＰＣ１０で関連するクライアントアプリケーション１７をアクティブ化して、必要なサービスを得る（ステップＣ）。たとえば、クライアントアプリケーション１７は、加入者のＰＣ１０でのインストールのためにサービスプロバイダ２２によってまたはその制御の下で供給される特殊なソフトウェアとすることができる。代替案では、クライアントアプリケーション１７を、サービスプロバイダ２２の適当なウェブサイトを訪れるためのウェブブラウザとすることができる。

図６に示されたシステムの動作を示すために、サービスプロバイダ２２である売り手から特定のＣＤを購入することを望む加入者に関する例を示す。ＰＣ１０で提示されるグラフィカルユーザインターフェースを使用して、加入者は、ＰＣ １０で提供されるウェブブラウザソフトウェアを起動し、インターネットを介して、サービスプロバイダ２２のウェブサイトにアクセスする。ウェブブラウザソフトウェアは、クライアントアプリケーション１７を構成し、ＣＤを配布するサービスプロバイダ２２に関連するウェブサイトへのアクセスを可能にする。

クライアントアプリケーション１７とサービスプロバイダ２２の間のデータ通信は、固定網（たとえばＰＳＴＮ）または無線ネットワーク（ネットワーク１６または別の携帯遠隔通信網など）によるものとすることができる。

加入者がウェブサイトにログインする機能を提供することができる。有利なことに、ネットワーク１６によって承認されたサービスプロバイダは、加入者がサービスプロバイダに「偽名」を登録することを許可することができる。偽名は、サービスプロバイダからサービスを得る時に使用することを加入者が望む可能性があるデータを関連付けられる。このデータは、ネットワーク１６によって保管される。このデータは、たとえば加入者のＳＩＭ識別子に関して、サービスプロバイダによって永久的には保管されない（もちろん、サービスプロバイダは、ネットワーク１６の加入者に関連する偽名のリストを維持するが）。

認証サービスは、サービスプロバイダが、加入者の許可を得て、ＳＩＭに対して偽名データを保管することを許可することができる。偽名データは、中央で保管され、認証サービス提供者によってＳＩＭに配布することができる。

ネットワーク１６が加入者（加入者Ａ）に関して保持する情報の例を、下に示す。
加入者Ａのデータ
・ＳＩＭ識別子
・ＭＳＩＳＤＮ
・偽名
○サービスプロバイダＡに関して
■氏名
■住所
■プリファレンス
■銀行口座の詳細
○サービスプロバイダＢに関して
■氏名
■住所
■プリファレンス
■銀行口座の詳細
○サービスプロバイダＣに関して
■氏名
■住所
■プリファレンス
■銀行口座の詳細
ネットワーク１６は、加入者のＳＩＭおよびそのＭＳＩＳＤＮに関するデータを保管するのと同様に、加入者がさまざまなサービスプロバイダ（サービスプロバイダＡ、Ｂ、Ｃ、…）について確立した偽名のリストも含む。特定のサービスプロバイダについて保管される情報は、異なる場合があり、サービスプロバイダが加入者に有用に要求する情報および加入者が喜んでサービスプロバイダに供給する情報に依存する。示された例では、偽名に、加入者の氏名および住所の詳細と、特定のサービスに関して加入者が有する可能性があるプリファレンスを含めることができる。加入者がサービスプロバイダ２２からＣＤを購入することを望む例では、これに、加入者の特定のタイプの音楽に関する好みを含めることができ、これによって、サービスプロバイダは、多分加入者が好むタイプの音楽に関するＣＤを加入者に提供するように、そのサービスを調整できるようになる。

ユーザがウェブサイトにアクセスする時に、サービスプロバイダ２２は、ログイン手順の一部として、ウェブブラウザを使用して、加入者が前にそのサービスプロバイダ２２に登録した可能性がある「偽名」を入力するように加入者に促させる（ステップＤ）。偽名が、その加入者によってそのサービスプロバイダ２２に前に登録された場合に、加入者は、自分の偽名を入力し、これが、クライアントアプリケーション１７によってサービスプロバイダ２２送られる（ステップＥ）。次に、サービスプロバイダ２２は、リンク１０６（図６）によって、この偽名をネットワーク１６の認証サービス１０２に送信する。認証サービス１０２は、ネットワーク１６に関してその偽名が有効であるかどうかを判定し、有効と判定される場合に、ネットワークは、その偽名に関連してネットワークによって保管された詳細をサービスプロバイダ２２に送信する（ステップＦ）。

偽名が存在しない場合に、加入者は、サービスプロバイダ２２が要求する詳細（氏名および住所など）を入力する（ステップＧ）。

この時点で、サービスプロバイダ２２は、加入者にプロンプトを出して、そのサービスプロバイダについて使用される偽名をセットアップしたいかどうかを尋ねることができる。加入者が、そのサービスプロバイダについて偽名をセットアップすることを望む場合に、サービスプロバイダは、氏名、住所、音楽の好みの詳細、および類似物などの関連情報を加入者に要求する。この情報の一部は、偽名のセットアップに必須である可能性がある（加入者の氏名および住所など）が、他のデータは、任意選択とすることができる（加入者の音楽の好みなど）。加入者が、偽名での使用についてサービスプロバイダに供給される情報を選択できることが有利と考えられ、偽名が特定のサービスプロバイダだけについて使用されることも有利と考えられる。偽名を確立するデータが入力された時に、この情報が、リンク１０６を介してネットワーク１６の認証サービス１０２に渡される。偽名は、サービスプロバイダ２２によって保管されるが、その偽名に関連するデータは、サービスプロバイダ２２によって永久的には保管されない（その情報は、要求時にネットワーク１６の認証サービス１０２によってサービスプロバイダ２２に供給される）。

サービスプロバイダ２２が、加入者がそのサービスプロバイダに関して使用する特定の偽名に関連するデータへのアクセスだけを有することに留意することが重要である。他のサービスプロバイダに関する偽名に関連する別々のレコードが、ネットワーク１６によって別々に保管される。これが有利であるのは、たとえば加入者が、医者からサービスを得る時に使用する偽名に個人医療データを関連付けたいが、この情報を他のサービスプロバイダから使用可能にしたくない場合があるからである。

加入者は、ウェブサイトを検索して、購入したいＣＤを識別する。加入者によって要求されるＣＤが識別された時に、加入者は、たとえばウェブサイトによって供給される「ＣＤ購入」ボタンをマウスでクリックすることによって、クライアントアプリケーション１７に、サービスプロバイダ２２にサービス要求メッセージを送信させる（ステップＨ）。このメッセージには、要求されるＣＤを識別するデータ、加入者を識別するデータ（加入者のＳＩＭ識別子など）（加入者が加入者のＳＩＭ１２によってトランザクションを認証できるトランザクションマネージャ１４をＰＣにインストールしたことを示すフィールドを含む）が含まれる。

トランザクションのこの段階で、サービスプロバイダ２２は、加入者の氏名、住所、および加入者が注文したいＣＤを含む、加入者のある詳細を与えられている。この情報は、実際には加入者でない誰かによって供給された可能性がある。このトランザクションを認証するために、サービスプロバイダ２２は、サービスコンテキストＳ_Ｃを構成する（ステップＩ）。サービスコンテキストは、次のフィールドを含むデータパケットである。

○サービスプロバイダ２２の識別子
○加入者の氏名（または、ＳＩＭ識別子などの他の識別子）
○認証されるトランザクションの詳細（この場合にはＣＤの購入）
もちろん、追加のまたは代替の情報も提供することができる。

サービスコンテキストＳ_Ｃは、インターネットを介してクライアントアプリケーション１７に送信される。クライアントアプリケーション１７は、サービスコンテキストＳ_Ｃをトランザクションマネージャ１４に渡す（ステップＪ）。クライアントアプリケーション１７は、サービスコンテキストＳ_Ｃにそれ自体の識別子を追加して、ネットワーク１６が、どのクライアントアプリケーションからそのトランザクションが導出されたかを識別できるようにすることができる。

トランザクションマネージャ１４は、サービスコンテキストを分析し、ネットワーク１６によるトランザクションの認証の要求が必要であることを確立する。トランザクションマネージャは、ＳＩＭ１２を含む加入者のドングル３０が存在するかどうかを検出する（ステップＫ）。ドングル３０が存在しない場合に、ユーザは、ドングルを使用可能にするように促される。トランザクションマネージャ１４は、認証されるトランザクションの説明も表示することができ、加入者に、トランザクションを承認するか不認可とする選択肢を提供することができる。ドングルが存在し、トランザクションが加入者によって承認されたと仮定すると、トランザクションマネージャ１４は、セキュリティトークンＳ_Ｘに関する要求をネットワーク１６の認証サービス１０２に送信する（ステップＬ）。認証サービス１０２に送られる要求に、サービスコンテキストＳ_Ｃが含まれる。そのデータは、適当なネットワークを介して送信することができる。そのデータを、インターネットを介して送信することができる。そのデータを、固定電話網を介して、または遠隔通信網１６の携帯インフラストラクチャもしくはセルインフラストラクチャを介して送信することができる。

ドングル３０に、図４に関して上で説明したようにＰＩＮまたはバイオメトリックデータを入力できるようにする手段を含めることができる。加入者が、トランザクションの認証の前に、ＰＩＮを入力するか他のデータを供給するように促される場合に、これによって、追加のレベルのセキュリティが提供される。トランザクションマネージャ１４および／またはＳＩＭ１２は、信頼されるクライアントアプリケーション１７のリストを保管することができる。これらのアプリケーションに、鍵（または他の識別データ）を与えることができる。信頼されるアプリケーションについて、加入者にＰＩＮを入力するように要求するのではなく、この鍵を受け入れるようにトランザクションマネージャおよびＳＩＭを構成することができる。

追加のセキュリティ特徴として、ドングルに、図３および４の実施形態に関して説明したように、ＳＩＭ１２に情報を要求するアプリケーションまたは組織の名前を表示する画面を設けることができる。これによって、ユーザが、自分のＳＩＭ１２に対して行われる要求を監視できるようになる。ドングル３０は、ＳＩＭ １２にデータを要求するアプリケーションまたは組織の名前を表示するようにプログラムすることができ、その後、キーパッドを使用してユーザのＰＩＮを入力するか他の識別データを供給することによって各または選択されたアプリケーション／組織に関するデータの供給を承認するようにユーザに促すことができる。

その後、加入者は、認証サービス１０２がＳＩＭとのチャレンジレスポンスセッションを実行することによって（トランザクションマネージャ１４を介してデータを送信することによって）認証される（ステップＭ）。たとえば、認証サービス１０２は、ランダムチャレンジをトランザクションマネージャ１４に送り、これがＳＩＭに送られる。ＳＩＭは、そのＳＩＭ内にあり、その特定の加入者に割り当てられた認証アルゴリズムおよび一意の鍵Ｋｉの両方を使用してランダムチャレンジを暗号化解除することによって応答する。この応答は、トランザクションマネージャによって認証サービス１０２に送られる。認証サービス１０２は、この応答を分析して、その加入者のＳＩＭから期待される応答であるかどうかを判定する。応答が期待通りである場合に、認証サービス１０６は、セキュリティトークンＳ_Ｘを発行し、これをトランザクションマネージャに送る（ステップＮ）。トランザクションマネージャ１４自体は、チャレンジレスポンス手順中に交換されるデータを理解する必要はなく、単にこのデータの導管として働く。

図３に関して説明したように、トランザクションマネージャ１４が代替アプリケーション（ＳＩＭ１２のデータのセキュリティを危険にさらすことができる）に置換されるかバイパスされることを防ぐかその可能性を減らすために、トランザクションマネージャ１４およびドングルインターフェースドライバに、めいめいの共有される秘密鍵を設けることができる。トランザクションマネージャ１４からドングル３０への通信のそれぞれが、共有される秘密鍵４０を使用して暗号化される。ＰＣ１０からドングル３０へのすべての通信が、ドングルインターフェースドライバによって受け取られる。ドングルインターフェースドライバに、その秘密鍵を使用して、受け取った通信を暗号化解除する処理手段が含まれる。セキュリティを高めるために、ドングルインターフェースドライバは、共有される秘密鍵を使用して暗号化されたもの以外のすべての通信が、ＳＩＭ１２にデータを送るかこれからデータを受け取ることを防ぐ。

したがって、トランザクションマネージャ１４は、ドングル３０およびＳＩＭ１２へのアクセスを制御し、監視して、ＳＩＭ １２へのアクセスの許可されない試みによってＳＩＭ １２に保管されたデータが危険にさらされる可能性を減らす。

しかし、そのような共有される秘密鍵の使用が、必須でないことを諒解されたい。
トランザクションの支払いが必要な場合に、必要な支払いの詳細が、サービスコンテキストＳ_Ｃに含まれる。この情報は、認証サービス１０２によってセキュリティコンテキストＳ_Ｃから抽出される。認証サービス１０２は、リンク１０５を介して支払いサービス１０４にメッセージを送り、支払いサービス１０４は、ネットワーク１６の加入者の口座の資金を予約する。この段階で、支払いが行われず、許可されないことに留意することが重要である。しかし、支払いサービス１０４は、支払いがすぐに要求される可能性が高いことを知っており、適当な資金が、そのトランザクションに関してユーザの口座で予約される。

セキュリティトークンは、セキュリティトークンＳ_Ｘおよび次のフィールドを含むデータパケットである。

○加入者の識別−ＳＩＭ識別子など
○サービスプロバイダ２２の識別の表示
○認証されるサービスの表示−この例では特定のＣＤの注文
○認証サービス１０２の識別の表示
○支払いサービスを使用しなければならないかどうかの表示（支払いが必要な場合に）
状況に応じて、これに追加してまたはこれの代わりに他のフィールドを設けることができる。

セキュリティトークンＳ_Ｘが、クライアントアプリケーション１７に渡される（ステップＯ）。

クライアントアプリケーション１７は、セキュリティトークンをサービスプロバイダ２２に渡す（ステップＰ）。

セキュリティトークンＳ_Ｘには、特定の加入者およびサービスプロバイダ２２による件に関するトランザクションに固有のデータが含まれる。多数のトランザクションを、ネットワーク１６、トランザクションマネージャ１４、およびサービスプロバイダ２２によって並列に処理することができる。これらは、セキュリティトークンＳ_Ｘ内のサービスプロバイダ２２による件に関する特定のトランザクションに固有のデータのおかげで、互いに区別可能である。

セキュリティトークンＳ_Ｘが、ネットワーク１６とトランザクションマネージャ１４の間、またはクライアントアプリケーション１７とサービスプロバイダ２２の間で渡される時に傍受される場合に、そのセキュリティトークンは、傍受者に対する価値を有しない。セキュリティトークンＳ_Ｘは、サービスプロバイダ２２による件に関する特定のトランザクションおよび特定の加入者に対するサービスの提供に固有である。

サービスプロバイダ２２がセキュリティトークンＳ_Ｘを受け取る時に、その内容が分析され、それがサービスプロバイダ２２によって発行されたサービスコンテキストＳ_Ｃに対応することが確立される場合に、サービスプロバイダ２２は、サービスの要求（ＣＤの注文）が、加入者によって正当に行われたと仮定することができる。サービスプロバイダ２２は、セキュリティトークンＳ_Ｘを認証サービス１０２に提示して、そのトークンの有効性を検査することができる。認証サービス１０２は、セキュリティトークンＳ_Ｘの保全性を検査し、セキュリティトークンＳ_Ｘの内容を検証する。次に、認証サービス１０２は、セキュリティトークンＳ_Ｘが有効であることを示す応答をサービスプロバイダ２２に送る。代替案では、認証サービス１０２は、サービスプロバイダ２２自体がセキュリティトークンＳ_Ｘの保全性および有効性を判定できるようにするデータをサービスプロバイダ２２に送ることができる。

次に、サービスプロバイダ２２は、支払いを行う必要があるかどうかを判定する（ステップＱ）。支払いが必要でない場合には、ＣＤを発送することができる。しかし、支払いが必要な場合には、サービスプロバイダ２２は、次のフィールドを含む支払いコンテキストＰ_Ｃを生成する。

○セキュリティトークンＳ_Ｘ
○要求された支払いの額
もちろん、状況に従って、さらなるまたは追加のフィールドが必要になる場合がある。

支払いコンテキストＰ_Ｃが、クライアントアプリケーション１７に送られる（ステップＲ）。クライアントアプリケーションは、支払いコンテキストＰ_Ｃをトランザクションマネージャ１４に送る（ステップＳ）。

トランザクションマネージャ１７は、ネットワーク１６の支払いサービス１０４に支払いコンテキストＰ_Ｃを送る（ステップＴ）。支払いコンテキストＰ_Ｃは、支払いサービス１０６によって分析される。支払いコンテキスト内のセキュリティトークンＳ_Ｘの存在は、これがセキュリティトークンＳ_Ｘによって示される加入者に関連する支払いに関する真正の要求であることを支払いサービスに示し、支払いサービスは、ネットワーク１６のその加入者の口座に問い合わせて、支払いを許可できる（加入者の信用レーティングおよび／またはネットワーク１６に関する支払い履歴および／または前払い額の状況に依存する可能性がある）かどうかを判定し、適当である場合に、支払いトークンＰ_Ｘを発行することによって、その支払いを許可する（ステップＵ）。

次に、トランザクションマネージャ１４が、支払いトークンＰ_Ｘをクライアントアプリケーション１７に送る（ステップＶ）。クライアントアプリケーション１７は、支払いトークンＰ_Ｘをサービスプロバイダ２２に送る（ステップＷ）。サービスプロバイダ２２は、支払いトークンＰ_Ｘを使用して、ネットワーク１６の支払いサービス１０６からの支払いを得る（ステップＸ）。これを行うために、サービスプロバイダ２２は、リンク１０８を介して支払いサービス１０４に支払いトークンＰ_Ｘを送る。支払いサービスは、支払いトークンＰ_Ｘを分析し、これが、支払いサービスによってトランザクションマネージャ１４に正当に発行された支払いトークンであることを認識し、次に、ネットワーク１６に関する加入者の口座に対する適当な調整を行う。

有利なことに、ユーザが、サービスプロバイダ２２に関連する偽名を有する場合に、サービスプロバイダ２２は、そのトランザクションから加入者について知られたすべての新しい情報（たとえば音楽の趣味の変化）に基づいて、偽名を更新することができる。

ＰＣ １０とネットワーク１６の間の通信は、上で説明したように、暗号化されることが好ましい。ＰＣ１０内およびネットワーク１６内の構成要素間の通信が、たとえば共有される鍵の使用によって、暗号化されることも好ましい。

上で説明した配置では、加入者は、ＣＤの購入を望む時に限って認証される。代替配置では、加入者がウェブサイトにログオンする時に、加入者を認証することができる。その場合に、サービスプロバイダは、ウェブサイトとのその加入者のセッションに関するセキュリティトークンＳ_Ｘを有する。加入者が購入を行うことを望む時に、このセキュリティトークンＳ_Ｘが、認証サービス１０２に送られる。認証サービス２２は、購入の価格に応じて、たとえば、セキュリティトークンＳ_Ｘを検証するか、クライアントアプリケーション１７およびトランザクションマネージャ１４を介して、上で説明した形でさらなるセキュリティトークンを入手するようにサービスプロバイダ２２に要求することができる。その加入者およびそのサービスプロバイダ２２に関するすべての偽名データを、加入者の認証時にサービスプロバイダ２２に供給することができる。

セキュリティトークンＳ_Ｘは、限られた時間期間の間だけ有効とすることができる。ＳＩＭは、有利なことに、真の時刻を正確に判定する手段、たとえば、耐タンパ内部クロック、ＰＣ１０によって供給されるクロック、またはネットワーク１６からの時刻表示（「信頼される」時間になる）を備えることができる。

加入者は、サービスをサービスプロバイダ２２から入手する形に似た形でネットワーク１６からネットワークサービス１００を入手することができる。すなわち、ネットワークサービスプロバイダ１００は、サービスに関する要求がクライアントアプリケーション１７から受け取られる時に、サービスコンテキストＳ_Ｃを発行する。セキュリティトークンＳ_Ｃは、ＳＩＭ１２を使用する認証に続いて、トランザクションマネージャ１４を介して認証サービス１０２から入手される。ネットワークサービスに関する加入者による支払いは、サービスプロバイダ２２に関して説明した形で実行することができる（支払いコンテキストＰ_Ｃの発行および支払いトークンＰ_Ｘの生成による）。

リンク１０７によって示されるように、リモートサービスプロバイダ２２とネットワークサービスプロバイダ１００の間に直接リンクを設けることも可能である。これによって、サービスプロバイダ２２に対して行われるリモートサービス要求によって、加入者にネットワークサービスを提供できるようになる。

リモートサービスプロバイダ２２がネットワークサービスプロバイダ１００からサービスを入手するために、リモートサービスプロバイダ２２に、ネットワークサービスプロバイダ１００と共に使用される一意識別子が与えられる。リモートサービスプロバイダ２２が、加入者の代わりにネットワークサービスプロバイダ１００からネットワークサービスを入手することを望む時に、この一意識別子が、ネットワークサービスに関する要求と共にネットワークサービスプロバイダに送信される。次に、ネットワークサービスが、要求された通りに提供され、料金が、ネットワークサービスプロバイダ１００によって、ネットワーク１６に関するサービスプロバイダ２２の口座に対して請求される。リモートサービスプロバイダ２２は、通常、関連するネットワークサービスの使用について加入者に対して料金を請求することを望み（リモートサービスプロバイダ２２がこうむるコストおよびリモートサービスプロバイダ２２によって提供される追加サービスの料金を含めるために）、この支払いは、上で説明した形で、支払いコンテキストＰ_Ｃを発行し、支払いトークンＰ_Ｘを入手することによって得られる。

上で、トランザクションマネージャ１４およびクライアントアプリケーション１７を、ＰＣ１０以外の装置（たとえば、パーキングメーターまたは自動販売機または券売機）で提供できることを既に説明した。

このシステムの使用のもう１つの例を、乗物のレンタルに関して説明する。ネットワーク１６への加入者は、乗物レンタル会社のオフィスにあるＰＣ１０（または他の処理装置）にドングルを結合する。ＰＣ １０には、乗物レンタルサービスプロバイダ２２へのアクセスを提供するトランザクションマネージャ１４およびクライアントアプリケーション１７が含まれる。

加入者が、サービスプロバイダ２２と共に使用される偽名を有する場合に、その加入者は、これをサービスプロバイダ２２に供給し、サービスプロバイダ２２は、ネットワーク１６の認証サービス１０２から、その加入者に関する関連データにアクセスすることができる。加入者が、サービスプロバイダ２２に関連する偽名を有しない場合には、そのユーザは、サービスプロバイダ２２によって促された時に、加入者の氏名、住所、借りたい乗物のタイプ、およびレンタル期間の持続時間などの関連する詳細を供給する。

次に、サービスプロバイダ２２は、適当なサービスコンテキストＳ_Ｃを作成し、これをクライアントアプリケーション１７に送信する。トランザクションマネージャ１４が、そのサービスコンテキストＳ_Ｃを受け取り、これをネットワーク１６の認証サービス１０２に渡して、認証サービス１０２とＳＩＭ１２の間でトランザクションマネージャ１４を介して上で説明した形で行われるチャレンジレスポンプ手順によるトランザクションの認証の後に、セキュリティトークンＳ_Ｘを探す。ＳＩＭ１２が、ネットワーク１６の認証サービス１０２によって認証される場合に、セキュリティトークンＳ_Ｘが、トランザクションマネージャ１４に発行される。セキュリティトークンＳ_Ｓが、クライアントアプリケーション１７に渡され、そこからサービスプロバイダ２２に渡されて、トランザクションが認証される。

認証サービス１０２と支払いサービス１０４の間のリンク１０５によって、適当な資金が、ネットワーク１６に関連する加入者の口座から予約される。たとえば、資金を予約して、期待されるレンタル料および多分預かり金を含めることができる。

自動車レンタルの料金総額は、既知でない場合がある（加入者が移動した距離、加入者が乗物を運転して過ごした時間の長さ、および乗物が実際に返却された日付に依存する可能性がある）ので、支払いコンテキストＰ_Ｃは、この段階ではサービスプロバイダ２２によって発行されない場合がある。

これまでで、加入者が、乗物レンタル会社とのトランザクションを認証された。次に、乗物レンタル会社は、自動車を割り当てる。この実施形態の任意選択の特徴によれば、ドングルを用いると、ユーザが、車に乗り込み、運転できるようになる、すなわち、ドングルは、乗物の普通の鍵の代用品として働く。これは、乗物に、加入者のドングルのＳＩＭを認証する手段を設けることによって達成することができ、あるいはその代わりに、ドングルに、乗物レンタル会社に固有のセキュリティ情報を保管する記憶位置を設けることによって実行することができる。このセキュリティ情報が、乗物によって問い合わされ、検証される場合に、乗物の使用が可能になる。

ドングルが、乗物へのアクセスを得るのに実際に使用され、乗物を運転できるようにするか否かにかかわらず、乗物にドングルを結合することによって、モバイルネットワーク１６へのアクセスを、乗物に組み込まれた携帯電話トランシーバを使用して普通の形で提供することができる。乗物の遠隔通信システムへのドングルの結合は、加入者のＳＩＭを乗物に設けられた固定電話機に挿入することに類似する。乗物が位置する区域がネットワーク１６によってカバーされない場合に、それでも、加入者のネットワーク１６と、乗物の近くで動作するネットワークとの間のローミング契約が存在する場合に、電話をかけることができる。

乗物システムへのドングルの結合によって、加入者が乗物を使用して過ごした時間の長さを乗物レンタル会社が計算できるようにすることもでき、乗物レンタル会社は、これに基づいてユーザに請求することを望むことができる。

乗物がレンタル会社に返される時に、適当な料金が、乗物レンタル会社のサービスプロバイダ２２によって（多分上で説明した乗物システムからの情報を使用して）計算され、適当な支払いコンテキストＰ_Ｃが、生成され、ＰＣ１０（乗物レンタル会社とのトランザクションを開始するのに使用されたＰＣ １０と異なるＰＣとすることができる）に存在するクライアントアプリケーション１７に送信される。ＰＣ １０のトランザクションマネージャ１４は、支払いコンテキストＰ_Ｃを受け取り、ネットワーク１６の支払いサービス１０４から支払いトークンＰ_Ｘを入手する。これが、トランザクションマネージャ１４およびクライアントアプリケーション１７を介してサービスプロバイダ２２に渡され、このサービスプロバイダ２２は、ネットワーク１６の支払いサービス１０４から適当な支払いを集金することができる。

もう１つの例で、トランザクションマネージャ１４およびクライアントアプリケーション１７は、乗物の中で、乗物のオンボード遠隔通信システムの一部として設けられる。乗物には、たとえばダッシュボードの便利な位置に、加入者のドングル３０を受けるコネクタが含まれる（もちろん、その代わりに無線接続を使用することができる）。加入者がドングル３０を挿入する時に、サービスプロバイダ２２によって提供されるリモートサービスへのアクセスを、上で図６および７に関して説明した形で、トランザクションマネージャ１４およびクライアントアプリケーション１７を使用して入手することができる。

乗物は、もちろん移動するので、クライアントアプリケーション１７とサービスプロバイダ２２の間の通信およびトランザクションマネージャ１４と認証サービス１０２および支払いサービス１０４の間の通信（またはクライアントアプリケーション１７とネットワークサービス１００の間の通信）は、乗物に既に存在する電話トランシーバを使用する移動ラジオネットワークまたはセルラジオネットワークの使用によるなど、無線リンクによって提供される。これらの通信を実行するのに使用されるネットワークは、認証サービス１０２および支払いサービス１０４を提供するネットワーク１６と同一とすることができ、あるいは、異なるネットワークとすることができる。

乗物のコネクタにドングル３０が挿入されている間に、ユーザは、ＳＩＭカードを乗物の固定された携帯電話システムに挿入したかのように、普通の形で電話をかけ、受け取ることもできる。しかし、トランザクションマネージャ１４およびクライアントアプリケーション１７が存在するので、加入者は、リモートサービスプロバイダ２２から他のサービスを入手することもできる。たとえば、加入者は、ＭＰ３ファイルの形で音楽を自動車オーディオシステムにダウンロードすることを望むことができ、あるいは、ナビゲーション情報または交通情報を得ることができる。

上で図６および７に関して説明した認証および支払いの手順は、ステップＮから変更することができる。認証サービス１０２が、サービスコンテキストＳ_Ｃを受け取り、加入者を認証した時に、支払いサービス１０４への要求が、リンク１０５を介して行われて、適当な資金が予約される。この要求には、セキュリティトークンＳ_Ｘが含まれ、このセキュリティトークンＳ_Ｘによって、支払いサービス１０４が要求を検証できるようになる。次に、支払いサービス１０４が、支払いトークンＰ_Ｘを発行する。次に、トランザクションマネージャ１４が、セキュリティトークンＳ_Ｘと共に支払いトークンＰ_Ｘをクライアントアプリケーション１７に渡す。クライアントアプリケーション１７は、セキュリティトークンＳ_Ｘと共に支払いトークンＰ_Ｘをサービスプロバイダ２２に渡す。サービスプロバイダ２２は、リンク１０８を介して支払いサービス１０４に支払いトークンＰ_Ｘを送ることによって支払いトークンＰ_Ｘの有効性を確認し、リンク１０６を介して認証サービス１０２にセキュリティトークンＳ_Ｘを送ることによって、セキュリティトークンＳ_Ｘの有効性を確認する。

上で説明した形で加入者偽名を入手することの代替案として、サービスプロバイダ２２は、ＳＩＭ１２およびサービスプロバイダ２２に関連する偽名に関する要求と共に、認証サービス１０２にセキュリティトークンＳ_Ｘを提示することができる。認証サービス１０２は、そのトークンを検証し、適当な偽名（または関連データ）をサービスプロバイダ２２に返す。

システムのセキュリティを高めるために、サービスプロバイダ２２に、サービスプロバイダ２２から認証サービス１０２へのすべての要求をエンコードするのに使用される証明書（共有される鍵）を与えることができる。したがって、認証サービス２２は、偽名および関連するＳＩＭデータに関する要求を誰が行っているかに関するある度合の信頼を有することができる。

サービスプロバイダは、加入者または支払いが認証されることを確信して、ＣＤを加入者に発送することができる。
支払いを得るために、サービスプロバイダ２２は、１つまたは２つの形で進行することができる。

第１の手順では、サービスプロバイダ２２は、支払いトークンＰ_Ｘ（およびセキュリティトークンＳ_Ｘ）を含むデータパケットをクライアントアプリケーション１７に送信することによって、支払い清算の要求を発行する。クライアントアプリケーション１７は、この支払い清算要求をトランザクションマネージャ１４に渡し、トランザクションマネージャ１４は、その支払い清算要求を（支払いトークンＰ_Ｘと共に）支払いサービス１０４に渡す。この時点で、任意選択のステップであるが、支払いサービスは、ＳＩＭ１２と交換されるチャレンジレスポンスデータによって（トランザクションマネージャ１４を介して）加入者を認証するように、リンク１０５を介して認証サービス１０２に指示する。どの場合でも、支払いサービス１０４は、支払いトークンＰ_ＸおよびセキュリティトークンＳ_Ｘ（同一のパケットに含まれる）を検査し、次に、ネットワーク１６に関する加入者の口座の資金を清算する。支払いサービス１０４は、変更された支払いトークンＰ_ｘ１をトランザクションマネージャ１４に送る。トランザクションマネージャ１４は、クライアントアプリケーション１７を介してサービスプロバイダ２２に変更された支払いトークンＰ_ｘ１を渡す。次に、サービスプロバイダ２２が、支払いサービス１０４との直接のリンク１０８によって、支払いトークンを検証することができる。

上で説明した手順の代替案として、サービスプロバイダ２２が、適当な支払いトークンＰ_Ｘを送信することによって、リンク１０８を介して支払いサービス１０４に支払い清算を要求することができる。次に、支払いサービス１０４が、支払いトークンを検証し、資金を清算する。支払いサービス１０４は、サービスプロバイダ２２に応答して、支払いが清算されたことを確認する。

図８から１１に、図４に示された第１構成および図５に示された第２構成の代替案として、図１または６に関して説明したシステムと共に使用することができるドングル構成のさらなる例を示す。

図８Ａから８Ｄに、全般的に２５０に示されたドングルの第３構成を示す。ドングル２５０には、ディスプレイまたは押しボタンが含まれない。ドングル５０は、全般的に楕円形の断面を有し、その上端に形成された全般的に長方形の開口２５２を含み、この開口によって、全般的に長方形の断面を有する電気コネクタ２５４がそこから突き出ることができる。開口２５２は、クロージャ部材２５６によって閉じられ、このクロージャ部材２５６は、全般的にＣ字形の断面を有し、ドングル２５０の頂部から各側面２５８に沿って延び、中央に取り付けられたピボット点２６０の回りでピボット回転する。ドングルのクロージャ部材２５６と側壁２５８の間の、ピボット点６０での接続によって、矢印２６２によって示されるように、クロージャ部材２５６をピボット点２６０の回りで回転できるようになる。

図８Ｃは、図８Ｂの線Ｘ−Ｘに沿った断面であり、電気コネクタ２５４を、図８Ａおよび８Ｂに示された、コネクタ５４が完全にドングル２５０のケーシング内に含まれる第１位置と、図８Ｃおよび８Ｄに示された、電気コネクタ２５４がドングル２５０のケーシングから突き出す第２位置との間で移動できる機構を概略的に示す。電気コネクタ２５４のこの移動を提供する機構に、コネクタ２５４に結合されたラック２６４と、ピボット点２６０に取り付けられ、その歯がラック２６４と係合する協力するピニオン２６６が含まれる。ピニオン２６６は、クロージャ部材２５６に関して固定される。クロージャ部材２５６の回転が、ピニオン２６６の回転を引き起こし、これが、矢印２６８によって示される、ラック２６４の直線変位を引き起こす。もちろん、電気コネクタ２５４およびラック２６４を滑り可能に指示する機構が、当業者に理解される形で設けられるが、ここでさらに説明はせず、図示しない。

図９Ａから９Ｄに、ドングルの第４構成を示す。図８Ａから８Ｄに関して説明したドングルの第３構成と同様に、電気コネクタ２５４は、図９Ａおよび９Ｂに示された、コネクタがドングル２７０のケーシング内に完全に含まれる第１位置と、図９Ｃおよび９Ｄに示された、コネクタ２５４がドングル２７０から突き出す第２位置との間で移動可能である。しかし、第３構成では、矢印２６８の方向での電気コネクタ２５４の直線移動が、矢印２７４によって示される、ドングル２７０のケーシングに関してノブ２７２を回転することによってもたらされる。１方向へのノブ２７２の回転が、コネクタ２５４をドングル２７０のケーシングから出させ、反対方向への回転が、コネクタ２５４をドングル２７０のケーシング内に引っ込める。ノブ２７２の回転運動をコネクタ２５４の直線運動に変換する、任意の適当な機構を設けることができる。たとえば、口紅スイベル機構に関する、米国特許第５８１３４２１号明細書（参照によって本明細書に組み込まれる）に記載の機構を使用することができる。他の適切な機構が、関連技術の技量を有するものに既知である。

ドングル２７０に、ＰＩＮ番号を入力するようにユーザに促すための、および／または入力時にＰＩＮ番号を表示するためのディスプレイ２４８が含まれる。ドングル２７０は、一連の押しボタン（数字キーパッドなど）を有するのではなく、データ入力ノブ２７６を含み、このデータ入力ノブ２７６は、矢印２７８によって示されるように回転し、矢印２８０によって示されるように、ドングルに関して直線移動するようにドングルに取り付けられる。ＰＩＮ番号の各数字は、ユーザが２７６をつかみ、ドングル２７０のケーシングから離れる方向（矢印２８０の方向）に引っ張ることによって入力される。点滅するカーソルなどの表示が、ディスプレイ２４８に現れ、ＰＩＮ番号の最初の数字が期待されることを示す。数字は、ノブ２７６の回転（矢印２７８）によって入力され、表示される数字は、ノブ２７６のさらなる回転に伴って値が増える。必要な番号がディスプレイ２４８に現れた時に、ユーザは、ノブ２７６を矢印２８０と反対の方向に押すことによって、それが入力したい数字であることを確認する。ＰＩＮ番号の次の数字を入力するために、ノブ２７６をもう一度持ち上げ（矢印２８０）、ノブを回転することによって正しい数字を選択する。矢印２８０と反対の方向に移動することによってノブ２７６を元の位置に戻すことによって、必要な数字を入力する。ＰＩＮ番号の数字のすべてが入力されるまで、この手順を繰り返す。ＰＩＮ番号の各数字は、入力される時にディスプレイ２４８に表示される。

ドングル２７０の図９Ａから９Ｄの実施形態では、圧電セル２８２が、ノブ２８０に関連する。圧電セル２８２は、ノブ２７６の移動によって電力を生成できるようにする。この電力は、一体のコンデンサにたくわえるか、圧電セル２８２に電気的に結合される任意選択の電池２８４にたくわえることができる。そのような配置は、ドングル２７０がそれ自体の交換可能な電源を有するという要件を無くすと同時に、ＰＣ１０に接続されていない時でもドングルが動作できるようにする。圧電セルによって生成される電荷は、過渡的であり、ある時間（たとえば５分）の後に、電荷が、散逸し、ノブ２７６によって入力されたＰＩＮ番号が、ドングル２７０のメモリから失われ、その後には、電力が供給された時であっても取り出すことができない。これは、ドングル２７０の追加のセキュリティ特徴を提供する。もちろん、ドングル２７０が、電荷がまだ存在する間（上の例では、ＰＩＮの入力から５分以内）にＰＣ１０に接続される場合に、そのＰＩＮを検証でき、ドングルは、コネクタ２５４を介してＰＣ１０から電力を得ることができ、これによって、圧電セル２８２からの電力の過渡的な性質にかかわらず、上で説明した認証動作を実行できるようになる。

図１０Ａから１０Ｄに、ドングル２９０の第５構成を示す。この実施形態では、ドングル２９０に、コネクタ２５４が固定された位置に取り付けられる本体部分２９２と、定位置にある時に本体２９２およびコネクタ２５４を覆って、これらの構成要素を保護し、ドングル２９０に魅力的な外見を与える取り外し可能な保護キャップ２９４が含まれる。

本体２９２の上端で、環状ノブ２９６が、矢印２９８によって示されるように本体２９２に関して回転するように本体２９２に取り付けられる。ノブ２９６には、ドングル２９０のユーザに可視の一連のマーキング３００が含まれ、たとえば、各マーク３００が、０から９までの異なる数字を示す。マーキング３０２が、ケーシング２９２の頂部に設けられる。この実施形態では、ユーザのＰＩＮ番号の最初の数字が、ＰＩＮ番号の正しい数字（３００に示される）がマーク３０２とそろうまでノブ９６を回転することによって入力される。関連する数字とマーク３０２がそろった時に、ユーザは、ノブ２９６の回転を止める。ノブ２９６の移動が停止した時に、ノブ２９６の位置が、ドングル２９０によって記録され、その結果、ＰＩＮ番号の数字を検出することができる。ＰＩＮ番号の次の数字は、ＰＩＮ番号の関連する数字がマーキング３０２とそろうまで、反時計方向（矢印２９８と反対）にノブ２９６を回転することによって入力される。やはり、ノブの回転が停止した時に、ノブの位置が記録され、その結果、ＰＩＮ番号をドングル２９０によって記録することができる。ＰＩＮ番号の次の数字は、２９６の時計回りの回転によって入力され、以下同様にして、ＰＩＮ番号のすべての数字が入力される。ノブ２９６およびマーキング３０２を使用するデータ入力の形は、金庫の番号の入力に使用されるものに似る。

ドングル２９０に、さらに、ノブ２９６の回転軸に取り付けられた（本体２９２に関して固定される）任意選択のディジタルカメラ３０４が含まれる。ドングル２９０に、処理手段およびカメラ３０４によって取り込まれた１つまたは複数の画像を保管するメモリが含まれ、これらの画像を、コネクタ２５４を使用してＰＣ１０に転送することができる。

図１１Ａから１１Ｃに、ドングル３１０の第６構成を示す。ドングル３１０に、その一方に開口部３１４を有するケーシング３１２が含まれる。ケーシング３１２内に、コネクタ２５４が固定される結合部分３１６が含まれる。結合部分３１６は、結合部分３１６が破線３１８によって示される軸の回りに回転可能になる形でケーシング３１２に接続される。

ループコネクタ２４４に接続されているのが、リング３２０であり、このリング３２０は、ケーシング３１２に関して滑るように取り付けられた滑り可能部分３２２を矢印３２４の向きでケーシング３１２に関して移動できる便利な手段を提供する。ラックアンドピニオンまたは他の適切な機構（図示せず）によって、滑り可能部分３２２の、矢印３２４の向きでのケーシング３１２に関する移動を、軸３１８の回りの結合部分３１６の回転運動に変換する。滑り可能部分３２２がケーシング３１２に関して移動される際に結合部分３１６が移動する異なる位置を、図１１Ｃのゴーストラインによって示す。

滑り可能部分３２２が、矢印３２４の方向の最大移動量に達した時に、結合部分３１６が、ケーシング３１２に関して１８０°回転する。結合部分３１６は、滑り可能部分３２２を矢印３２４と反対の方向に滑らせることによって、図１１Ａおよび１１Ｂに示された位置に戻される。結合部分３１６が、図１１Ａおよび１１Ｂに示された位置にある時に、コネクタ２５４は、滑り可能部分３２２によって保護される。

図８、９、１０、および１１に示された実施形態は、必要でない時に電気コネクタ２５４を隠し、保護することができるさまざまな形を提供する。
図９の実施形態では、ドングルの電源が、圧電セル２８２である。

類似する電源を、図８、１０、および１１に示されたドングルに設けることができ、電力は、図８のドングル２５０のクロージャ部材２５６の移動、図１０７のドングル２９０のノブ２９６の移動、または図１１の滑り可能部分３２２の移動によって生成される。その代わりにまたはそれに加えて、これらのドングルに、交換可能な電池、あるいはドングル２５０、２８０、２９０、または３１０がＰＣ１０に接続された時に再充電される再充電可能な電池を含めることができる。

説明したドングルに、ＵＳＢコネクタとして図示された電気コネクタ２５４が含まれるが、他の適切なタイプの電気コネクタを設けられることを諒解されたい。たとえば、コネクタ２５４を、ＳｍａｒｔＭｅｄｉａ（商標）デバイスとすることができる。その代わりに、データおよび／または電力を、たとえばＮＦＣＩＰ−１（ＮｅａｒＦｉｅｌｄ ＣｏｍｍｕｎｉｃａｔｉｏｎＩｎｔｅｒｆａｃｅ ａｎｄ Ｐｒｏｔｏｃｏｌ）プロトコルによる「ニアフィールド」技術によってドングルとＰＣ １０の間で伝送することができる。ニアフィールド技術が使用される場合に、移動可能な電気コネクタ２５４を設けることは、必要でなくなる。

図８から１１のドングルに、図３および４に関して説明したドングルインターフェースドライバ３６を含めても含めなくてもよい。

図９および１０のドングルは、検証のためにＰＣ １０にＰＩＮを渡すことができるものとすることができ、あるいは、セキュリティを改善するために、そのような検証をドングル内で実行することができる。

もちろん、必要な場合に、図８および１１のドングルにＰＩＮ入力手段を設けることができる。

データ処理装置に関する本発明の動作を説明するブロック図である。 図１のブロック図を理解するのに使用される流れ図である。 本発明による「ドングル」が使用される、図１に対応するブロック図である。 ドングルの１構成を示す透視図である。 ドングルのもう１つの構成を示す側面図である。 データ処理装置を使用するトランザクションを認証する方法の動作を説明するブロック図である。 図６のデータ処理装置によって実行される認証処理を理解するのに使用される流れ図である。 図６のデータ処理装置によって実行される認証処理を理解するのに使用される流れ図である。 図６のデータ処理装置によって実行される認証処理を理解するのに使用される流れ図である。 図８Ａは、ドングルの第３の構成を示す正面図である。図８Ｂは、図８Ａのドングルの側面図である。図８Ｃは、図８Ｂの線ｘ−ｘに沿った、ドングルコネクタが延長された状態の断面図である。図８Ｄは、図８Ｂに対応するがドングルコネクタが延長された状態の側面図である。 図９Ａは、ドングルの第４の構成を示す正面図である。図９Ｂは、図９Ａのドングルの側面図である。図９Ｃは、図９Ａに対応するが、ドングルコネクタが延長された状態の正面図である。図９Ｄは、図９Ｂに対応するが、ドングルコネクタが延長された状態の側面図である。 図１０Ａは、ドングルの第５の構成を示す正面図である。図１０Ｂは、図１０Ａのドングルの側面図である。図１０Ｃは、図１０Ａに対応するが、ドングルコネクタが延長された状態の正面図である。図１０Ｄは、図１０Ｂに対応するが、ドングルコネクタが延長された状態の側面図である。 図１１Ａは、ドングルの第６の構成を示す正面図である。図１１Ｂは、図１１Ａのドングルの側面図である。図１１Ｃは、電気コネクタがドングルのケーシングからどのように出るかを示す図である。

Claims (24)

1. 複数のユーザのうちのいずれか１人によるデータ処理装置（１０）を用いた後続のトランザクションを認証する認証処理を実行する方法であって、
   前記認証処理中に、前記ユーザのめいめいの複数の認証記憶手段（１２）の選択された１つを前記データ処理装置（１０）に機能的に関連付けるステップであって、各認証記憶手段（１２）が、所定の認証情報を保管し、前記ユーザがそれに関するめいめいの携帯端末を有する共通遠隔通信システム（１６）に登録可能である、ステップと、
   前記共通遠隔通信システム（１６）との通信リンク（１９）を介して認証処理を実行するステップとを含み、
   前記認証処理が、前記共通遠隔通信システム（１６）に組み込まれた認証手段（１８；１０２）によって実行され、前記選択された１つの認証記憶手段（１２）によって保管される前記所定の認証情報の使用を必要とし、
   各認証記憶手段（１２）によって保管される前記所定の認証情報が、前記共通遠隔通信システム（１６）に関してそのユーザの携帯端末を認証するのに使用される情報に対応し、
   前記データ処理装置（１０）を用いたそのユーザによる前記トランザクションを認証する前記認証処理が、そのユーザの携帯端末の使用を必要とせず、前記共通遠隔通信システム（１６）に関してその情報によって前記携帯端末が実際に認証されることを必要としない、
   方法。
2. 前記認証記憶手段（１２）が、前記データ処理装置（１０）による使用のためのデータまたはソフトウェアに関連付けられることによって、前記データ処理装置（１０）に関連する、請求項１に記載の方法。
3. 前記認証記憶手段（１２）が、前記データまたはソフトウェア用のデータキャリアに組み込まれる、請求項２に記載の方法。
4. 各ユーザが、スマートカードまたはサブスクライバ・アイデンティティ・モジュール（たとえばＳＩＭ）の使用によって前記共通遠隔通信システム（１６）内で認証され、そのユーザのめいめいの前記認証記憶手段（１２）が、そのユーザの前記スマートカードに対応するかこれをシミュレートする、請求項１に記載の方法。
5. 前記認証処理が、メッセージの前記送信ならびに前記メッセージおよび前記所定の情報に依存する応答の生成を必要とする、請求項１乃至４のいずれか一項に記載の方法。
6. 認証される時に前記トランザクションに関する料金を徴収するステップを含む、請求項１乃至５のいずれか一項に記載の方法。
7. 前記料金を徴収する前記ステップが、前記システム（１６）によって実行される、請求項６に記載の方法。
8. 前記データ処理装置（１０）が、パーソナルコンピュータである、請求項１乃至７のいずれか一項に記載の方法。
9. 前記認証記憶手段（１２）が、前記トランザクションを認証するために無線で通信する、請求項１乃至８のいずれか一項に記載の方法。
10. 前記認証記憶手段（１２）が、前記システム（１６）内で使用される前記ユーザの携帯端末を認証するように動作可能であるスマートカードまたはＳＩＭである、請求項４に記載の方法。
11. 前記認証記憶手段（１２）が、前記データ処理装置（１０）に結合可能なキャリア（３２）を提供される、請求項１乃至１０のいずれか一項に記載の方法。
12. 複数の認証記憶手段（１２）の選択された１つと組み合わされるデータ処理装置（１０）であって、該認証記憶手段は、ユーザに対してそれぞれ存在し、ユーザが前記データ処理装置（１０）を用いて後続トランザクションを認証するための認証処理の実行に関する所定の認証情報をそれぞれが保管し、
    前記認証記憶手段（１２）のすべてが、前記ユーザがそれに関するめいめいの携帯端末を有する共通遠隔通信システムに登録可能であり、
    前記認証記憶手段（１２）は、前記データ処理装置（１０）に機能的に関連付けられる時に、前記共通遠隔通信システム（１６）との通信リンク（１９）を介して前記認証処理を実行するように動作し、
    前記認証処理は、前記共通遠隔通信システム（１６）に組み込まれた認証手段（１８；１０２）によって実行され、前記選択された１つの認証記憶手段（１２）によって保管される前記所定の情報の使用を必要とし、
    各認証記憶手段（１２）によって保管される前記所定の認証情報が、前記共通遠隔通信システム（１６）に関してそのユーザの携帯端末を認証するのに使用される情報に対応し、
    前記データ処理装置（１０）を用いたそのユーザによる前記トランザクションを認証する前記認証処理が、そのユーザの携帯端末の使用を必要とせず、前記共通遠隔通信システム（１６）に関してその情報によって前記携帯端末が実際に認証されることを必要としない、データ処理装置。
13. 各ユーザが、スマートカードまたはサブスクライバ・アイデンティティ・モジュール（たとえばＳＩＭ）の前記使用によって前記共通遠隔通信システム（１６）内で認証され、そのユーザのめいめいの前記認証記憶手段（１６）が、そのユーザの前記スマートカードに対応するかこれをシミュレートする、請求項１２に記載の装置。
14. 前記認証処理が、メッセージの前記送信ならびに前記メッセージおよび前記所定の情報に依存する応答の前記生成を含む、請求項１２または１３に記載の装置。
15. 許可される時に前記トランザクションに関する料金を徴収する手段を含む、請求項１２乃至１４のいずれか一項に記載の装置。
16. 前記料金を徴収する前記手段が、前記共通システム（１６）の一部である、請求項１５に記載の装置。
17. 前記認証記憶手段（１２）が、前記トランザクションを認証するために無線で通信する、請求項１２乃至１６のいずれか一項に記載の装置。
18. 前記認証記憶手段（１２）が、前記システム内で使用される前記ユーザの携帯端末を認証するようにさらに動作可能である前記スマートカードまたはＳＩＭである、請求項１３に記載の装置。
19. 前記認証記憶手段（１２）が、前記データ処理装置（１０）に結合可能なキャリア（３２）を提供される、請求項１２乃至１８のいずれか一項に記載の装置。
20. データ処理装置（１０）および別々の認証手段（１８；１０２）の使用を必要とする認証処理に関して、前記データ処理装置（１０）内で前記データ処理装置（１０）によって使用されるデータを担持するデータキャリアであって、
    前記データキャリアは、めいめいのユーザの所定の認証情報を保管する認証記憶手段（１２）も組み込み、
    前記認証記憶手段（１２）は、遠隔通信システム（１６）に登録され、前記遠隔通信システム（１６）は、認証手段（１８；１０２）を含み、該遠隔通信システム（１６）に関して前記ユーザが携帯端末を有するものであり、
    前記認証記憶手段（１２）は、入力メッセージに応答して前記入力メッセージおよび前記認証情報に依存する応答を導出し、前記認証手段（１８；１０２）が前記遠隔通信システム（１６）内で前記認証手段（１８；１０２）との通信リンク（１９）を介して認証処理を実行できるようにし、これによって、前記ユーザによる前記データ処理装置（１０）を用いた後続トランザクションの認証を行い、該認証が、前記データキャリアによって保管される前記所定の認証情報の使用を必要とするものであり、
    前記認証記憶手段（１２）によって保管される前記所定の認証情報は、前記遠隔通信システム（１６）内での前記ユーザの携帯端末の使用に関して前記遠隔通信システム（１６）に登録された前記ユーザを認証するのに使用される情報に対応し、
    前記ユーザによる前記データ処理装置（１０）を用いた後続トランザクションの認証を行うための前記認証処理は、ユーザの携帯端末の使用を必要とせず、前記携帯端末が遠隔通信システム（１６）に関してその情報により実際に認証されることも必要としない、
    データキャリア。
21. 前記認証記憶手段が、スマートカードの前記形のめいめいのｓｕｂｓｃｒｉｂｅｒ ｉｄｅｎｔｉｔｙ ｍｏｄｕｌｅｓ（ＳＩＭ）に対応するかこれをシミュレートする、請求項２０に記載のデータキャリア。
22. 前記データキャリアによって担持される前記データが、ソフトウェアを含む、請求項２０または２１に記載のデータキャリア。
23. 前記認証記憶手段（１２）が、前記トランザクションを認証するために無線で通信する、請求項２０乃至２２のいずれか一項に記載のデータキャリア。
24. 前記認証記憶手段（１２）が、前記システムでの使用のために前記ユーザの携帯端末を認証するようにさらに動作する前記スマートカードまたはＳＩＭである、請求項２１に記載のデータキャリア。

Images