JP4522098B2

JP4522098B2 - アプリケーションパーソナライズシステム

Info

Publication number: JP4522098B2
Application number: JP2004005669A
Authority: JP
Inventors: 徹飯野; 智久中村
Original assignee: NTT Data Corp
Current assignee: NTT Data Group Corp
Priority date: 2004-01-13
Filing date: 2004-01-13
Publication date: 2010-08-11
Anticipated expiration: 2024-01-13
Also published as: JP2005202497A

Description

この発明は、携帯端末にダウンロードしたアプリケーションを利用するために、ユーザの個人情報を用いてアプリケーションのパーソナライズ（個別化）を行うシステムに関する。

近年、携帯端末に個人情報を格納し、携帯端末からＰＯＳ端末に個人情報を送信する等して決済を行うことができるサービスが考案されている。
このようなシステムでは、携帯端末にサービスを利用するためのアプリケーションをダウンロードし、ダウンロードしたアプリケーションにユーザの個人情報を設定（パーソナライズ）して使用する。

例えば、ＩＣカードがアプリケーションをダウンロードし、オンラインでパーソナライズするシステムもある（特許文献１参照）。
特開２００２−３１４５２４号公報（第４、５頁、第２図）

しかし、従来のアプリケーションパーソナライズシステムでは、ユーザがダウンロードしたアプリケーションを他者が別の端末装置に不正にコピーしてパーソナライズを行ったり、また、不正にコピーした個人情報でアプリケーションをパーソナライズして本人になりすましたりする行為を防止することができなかった。
また、個人情報を用いてパーソナライズしたアプリケーションを携帯端末側で保有するシステムの場合には、ユーザが個人情報を安全に管理できる仕組みであることが望ましい。

本発明は、上記実状に鑑みてなされたものであり、携帯端末で使用するアプリケーションを安全にパーソナライズすることができるアプリケーションパーソナライズシステムを提供することを目的とする。

上記目的を達成するため、この発明の第１の観点に係るアプリケーションパーソナライズシステムは、
ＩＣカードが装着された携帯端末と、前記携帯端末とネットワークを介して接続されるサーバ装置と、を備えるアプリケーションパーソナライズシステムであって、
前記サーバ装置は、
アプリケーションを記憶するアプリケーション記憶手段と、
ＩＣカードの保有者の個人情報をＩＣカード毎に記憶する個人情報記憶手段と、
ＩＣカードが装着された携帯端末から、前記ＩＣカードが生成した公開鍵を受信する手段と、
ＩＣカード毎にユニークなパーソナライズ用の共通鍵を生成し、当該共通鍵を前記アプリケーション記憶手段から読み出したアプリケーションに組み込む手段と、
前記受信した公開鍵を用いて、前記生成した共通鍵を暗号化する手段と、
前記ＩＣカードに対応する個人情報を前記個人記憶手段から読み出し、読み出した個人情報と、前記暗号化された共通鍵と、を前記ＩＣカードが装着された携帯端末に送信する手段と、
前記共通鍵が組み込まれたアプリケーションを前記携帯端末に送信する手段と、を備え、
前記ＩＣカードは、
一対の秘密鍵と前記公開鍵を生成する手段と、
前記公開鍵を当該ＩＣカードが装着された携帯端末を介して前記サーバ装置に送信する手段と、
前記暗号化された共通鍵と、前記個人情報と、を前記サーバ装置から受信する手段と、
前記秘密鍵を用いて、前記暗号化された共通鍵を復号化する手段と、
前記復号化された共通鍵を用いて、前記個人情報を暗号化する暗号化手段と、
前記共通鍵を用いて暗号化された個人情報を前記携帯端末に送信する手段と、を備え、
前記携帯端末は、
前記共通鍵が組み込まれたアプリケーションを前記サーバ装置から受信して記憶する手段と、
当該携帯端末に装着されている前記ＩＣカードから、前記共通鍵を用いて暗号化された個人情報を受信する手段と、
前記暗号化された個人情報を、前記アプリケーションに組み込まれている共通鍵を用いて復号する手段と、
前記復号した個人情報を前記アプリケーションに設定する手段と、を備える、
ことを特徴とする。

このような構成によれば、ＩＣカードと携帯端末の組み合わせが正しい場合にのみ、個人情報が適正にアプリケーションに設定されるため、安全にアプリケーションのパーソナライズを行うことができる。例えば、ダウンロードされたアプリケーションを他の携帯端末に不正にコピーしても、対応する共通鍵（パーソナライズ用鍵）が記憶されたＩＣカードがないとパーソナライズすることができないため、不正なパーソナライズを防止することができる。また、鍵や個人情報等の重要な情報をセキュリティが比較的低い携帯端末側に固定的な情報として記憶せずに、アプリケーション内に保持させているため、アプリケーション側で暗号化が可能という意味で安全性が高い。例えば、不正にアプリケーションプログラムを書き換えた場合には、ＩＣカードとの関連性がなくなり、パーソナライズが不可能になる。また、不要になったアプリケーションについては、それを削除することで、アプリケーション内に設定された情報も併せて削除されることから、鍵や個人情報等の重要な情報をユーザが安全に管理することができる。

前記ＩＣカードは、
前記共通鍵の暗号処理における使用回数の上限値と、各共通鍵の使用回数値と、を記憶する手段をさらに備えてもよく、
前記ＩＣカードにおける前記暗号化手段は、
使用対象の共通鍵の使用回数値と、使用回数の上限値と、を比較し、比較結果に基づいて、当該共通鍵を用いた個人情報の暗号化の回数を制限する手段をさらに備えてもよい。
これにより、不正利用を目的として個人情報の暗号化を繰り返す行為を防止することができる。

本発明によれば、携帯端末で使用するアプリケーションを安全にパーソナライズすることができる。

以下、本発明の実施の形態を、各携帯端末に共通のアプリケーションを携帯端末においてダウンロードし、ダウンロードしたアプリケーションをユーザの個人情報（パーソナライズ情報）を用いてパーソナライズするためのアプリケーションパーソナライズシステムを例に図面を参照して説明する。また、本実施例では、アプリケーションはサービスの提供を受けるためのものであり、ユーザはサービス毎にアプリケーションを自己の携帯端末２にダウンロードし、ダウンロードしたアプリケーションをパーソナライズして実行することにより、個別的にサービスの提供を受けることができるものである。

本発明の実施形態に係るアプリケーションパーソナライズシステムの構成例を図１に示す。このアプリケーションパーソナライズシステムは、ＩＣカード１と、携帯端末２と、アプリケーション提供サーバ３と、サービス端末４と、を備える。携帯端末２とアプリケーション提供サーバ３は、ネットワーク１０を介して接続され、ネットワーク１０は、例えば、インターネット、専用線、公衆回線網、移動体通信網、無線通信網等を含む。

ＩＣカード１と携帯端末２の構成例を図２に、アプリケーション提供サーバ３の構成例を図３に示す。また、ＩＣカード１と携帯端末２とアプリケーション提供サーバ３の機能ブロック図を図４に示す。

ＩＣカード１は、例えばＵＩＭ（User Identity Module）カード、ＳＩＭ（Subscriber Identity Module）カード等を含み、携帯端末２に装着して使用される。ＩＣカード１は、ＣＰＵ１１と、メモリ１２と、入出力Ｉ／Ｆ（インタフェース）１３と、を備える。

ＣＰＵ１１は、メモリ１２に記憶される動作プログラムを実行することにより、鍵生成部１１１、パーソナライズ情報設定部１１２等を論理的に実現する。

鍵生成部１１１は、例えばアプリケーション提供サーバ３からの鍵生成要求等に応答して、一対の秘密鍵及び公開鍵を生成し、生成した公開鍵とメモリ１２に記憶されているカードＩＤを、要求元のアプリケーション提供サーバ３に対して携帯端末２を介して送信する。また、生成した秘密鍵及び公開鍵を、例えば受信した鍵生成要求に含まれるアプリケーション名と関連付けてメモリ１２に記憶する。

パーソナライズ情報設定部１１２は、アプリケーション提供サーバ３から暗号化されたパーソナライズ用鍵、個人情報（パーソナライズ情報）等を受信し、アプリケーションをパーソナライズするために、パーソナライズ用鍵で暗号化した個人情報を、アプリケーションがダウンロードされた携帯端末２へ供給する処理を行う。なお、個人情報の内容は任意であり、例えば、ユーザの氏名、住所、電話番号、クレジット番号等のデータを含む。

具体的には、パーソナライズ情報設定部１１２は、アプリケーション提供サーバ３の公開鍵の検証を行う証明書（サーバ公開鍵検証証明書）と、アプリケーション提供サーバ３の公開鍵（サーバ公開鍵）と、ＩＣカード１の公開鍵で暗号化されたパーソナライズ用鍵（共通鍵）と、暗号化されたパーソナライズ用鍵をアプリケーション提供サーバ３の秘密鍵でデジタル署名したデータと、アプリケーションのパーソナライズに使用する個人情報、アプリケーション名等のデータを、携帯端末２を介してアプリケーション提供サーバ３から受信すると、公開鍵証明書を用いてサーバ公開鍵の正当性を確認した後、サーバ公開鍵と、暗号化されたパーソナライズ用鍵と、を用いて、デジタル署名の正当性を確認する。そして、デジタル署名の正当性が確認されると、メモリ１２から秘密鍵を取り出し、暗号化されたパーソナライズ用鍵を復号する。そして、サーバ公開鍵検証証明書、サーバ公開鍵、パーソナライズ用鍵、アプリケーション格納ディレクトリ情報、個人情報等の受信データをアプリケーション名に関連付けてメモリ１２に記憶する。
次に、ダウンロードされたアプリケーションが実行された携帯端末２からの要求に応じて、メモリ１２に記憶されているパーソナライズ用鍵と、個人情報と、を読み出し、パーソナライズ用鍵を用いて個人情報を暗号化し、暗号化された個人情報を携帯端末２に送信する。

メモリ１２は、ＲＯＭ、ＲＡＭ等から構成され、ＣＰＵ１１が実行するための動作プログラム及び処理に必要な各種データ、ＩＣカード１を識別するためのカードＩＤ等が記憶される。また、メモリ１２には、例えば図５に示すように、ＩＣカード１が生成した秘密鍵及び公開鍵、サーバ公開鍵検証証明書、サーバ公開鍵、パーソナライズ用鍵、個人情報（パーソナライズ情報）等のデータがアプリケーション名に関連付けられて、アプリケーション（サービス）毎に記憶されている。
入出力Ｉ／Ｆ１３は、そのＩＣカード１が装着された携帯端末２とのデータ通信を制御する。

携帯端末２は、例えば、ＣＰＵ２１と、メモリ２２と、入力部２３と、表示部２４と、通信部２５と、入出力Ｉ／Ｆ２６と、を備える。また、携帯端末２は、ＩＣカード１が装着されるカード装着部をその外面に備える。

ＣＰＵ２１は、メモリ２２に記憶されるプログラムを実行することにより、ダウンロード部２１１、アプリケーション設定・実行部２１２等を論理的に実現する。

ダウンロード部２１１は、アプリケーションをアプリケーション提供サーバ３からダウンロードするための処理を行う。
具体的には、ユーザにより指定されたアプリケーション提供サーバ３に接続して、アプリケーション提供サーバ３から供給されるユーザＩＤ、パスワード等の入力画面を受信して表示し、入力されたデータと、メモリ２２に登録されている端末ＩＤと、をアプリケーション提供サーバ３に送信する。そして、アプリケーション提供サーバ３からアプリケーションが格納されているディレクトリ名等の情報を受信すると、そのディレクトリ名の指定と、端末ＩＤと、を含むダウンロード要求をアプリケーション提供サーバ３に送信する。そして、アプリケーション提供サーバ３から、アプリケーションのプログラムデータ、アプリケーション名等のデータを受信し、受信したデータを関連付けてメモリ２２に記憶する。

アプリケーション設定・実行部２１２は、アプリケーションのパーソナライズを含むアプリケーションの実行等を行う。
具体的には、アプリケーションを指定した実行要求に応じて、指定されたアプリケーションを実行する。
このアプリケーションの実行開始時に、アプリケーション設定・実行部２１２は、このアプリケーションについて個人情報（パーソナライズ情報）が設定されているかを判定し、設定されていなければ、パーソナライズ情報を設定するためのパーソナライズ情報設定処理を行う。
このパーソナライズ情報設定処理において、アプリケーション設定・実行部２１２は、まず、個人情報の要求信号をＩＣカード１に送信して、パーソナライズ用鍵で暗号化された個人情報をＩＣカード１から受信する。そして、実行対象のアプリケーションに組み込まれている（例えば、アプリケーションプログラム内に記述されている）パーソナライズ用鍵を取り出し、そのパーソナライズ用鍵を用いて、暗号化された個人情報を復号化する。そして、復号化されたデータが適正であるかをチェックする等して、個人情報（パーソナライズ情報）の復号化が正しく行われたことを確認した後、実行対象のアプリケーションに復号した個人情報を設定し、設定終了後、設定結果を示す設定結果データをアプリケーション提供サーバ３に送信する。なお、アプリケーションへ個人情報を設定する処理は、例えば、復号した個人情報のデータをアプリケーション名に関連付けてメモリ２２に記憶してアプリケーション実行時に個人情報を参照可能にする処理を含み、個人情報をアプリケーションのプログラムデータと同一のディレクトリに記憶してもよく、また、アプリケーションのプログラムデータ内に個人情報を記述してもよい。
また、実行対象のアプリケーションに既に個人情報が設定されている場合には、そのままアプリケーションを実行する。また、個人情報が設定されたことを確認してアプリケーションに組み込まれたパーソナライズ鍵を利用できなくさせてもよい。この場合、アプリケーション設定・実行部２１２は、サービス端末４と赤外線通信等によりデータの送受信を行い、サービスの提供を受けるための処理を行う。

また、ＣＰＵ２１は、通信部２５と入出力Ｉ／Ｆ２６を制御して、ＩＣカード１からアプリケーション提供サーバ３宛のデータを受信してアプリケーション提供サーバ３に送信し、アプリケーション提供サーバ３からＩＣカード１宛のデータを受信してＩＣカード１に送信する。

メモリ２２は、ＲＯＭ、ＲＡＭ等から構成され、ＣＰＵ２１が実行するための動作プログラム及び処理に必要な各種データ等が記憶される。また、メモリ２２には、パーソナライズ用鍵が組み込まれたアプリケーションと、そのアプリケーションで使用される個人情報パーソナライズ情報と、がアプリケーション毎（サービス毎）に記憶される。

入力部２３は、例えばキーボードやポインティングデバイスを含む入力装置から構成され、入力されたデータをＣＰＵ２１に通知する。
表示部２４は、液晶ディスプレイ等から構成され、各種画面表示を行う。
通信部２５は、ネットワーク１０を介したアプリケーション提供サーバ３とのデータ通信を行う。また、通信部２５は、赤外線通信等の近距離無線通信によりサービス端末４とのデータ通信を行う。
入出力Ｉ／Ｆ２６は、携帯端末２のカード装着部に装着されたＩＣカード１とのデータ通信を制御する。

アプリケーション提供サーバ３は、ユーザがサービスを利用するために必要なアプリケーションを提供するサービス提供元のサーバであり、制御部３１と、記憶部３２と、通信制御部３３と、を備えるコンピュータから構成される。
制御部３１は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等から構成され、記憶部３２に予め記憶された動作プログラム等を読み出して実行することにより、パーソナライズ用鍵生成部３１１、個人情報供給部３１２、アプリケーション供給部３１３等を論理的に実現する。

パーソナライズ用鍵生成部３１１は、ＩＣカード１が装着された携帯端末２から、アプリケーションの取得要求とともに、ユーザＩＤ、パスワード、端末ＩＤ等のデータを受信すると、メモリ２２においてユーザＩＤとパスワードが関連付けて登録されている認証テーブルから、受信したユーザＩＤに対応するパスワードを読み出し、読み出したパスワードと受信したパスワードと照合し、一致する場合には、認証ＯＫとする。そして、認証ＯＫの場合には、携帯端末２に装着されているＩＣカード１に対する鍵の生成要求を携帯端末２に送信し、ＩＣカード１により生成された公開鍵をカードＩＤとともに受信する。そして、所定の鍵生成方式に従ってＩＣカード１毎にユニークなパーソナライズ用鍵（共通鍵）をそのＩＣカード１について生成する。

個人情報供給部３１２は、ＩＣカード１から受信したカードＩＤに対応する個人情報を個人情報テーブルから読み出す。個人情報テーブルの一例を図６に示す。また、パーソナライズ用鍵生成部３１１により生成されたパーソナライズ用鍵をＩＣカード１から受信した公開鍵で暗号化する。また、その暗号化されたパーソナライズ用鍵についてアプリケーション提供サーバ３の秘密鍵を用いてデジタル署名を生成する。そして、記憶部３２からサーバ公開鍵検証証明書とアプリケーション提供サーバ３のサーバ公開鍵を読み出し、個人情報テーブルから読み出した個人情報と、暗号化されたパーソナライズ用鍵等とともに、ＩＣカード１に対する送信データとして携帯端末２に送信する。

アプリケーション供給部３１３は、パーソナライズ用鍵生成部３１１によりパーソナライズ用鍵が生成された後、そのパーソナライズ用鍵をアプリケーションに組み込む（例えば、プログラム内に記述したりアプリケーションと共に利用されるアプリケーションプロファイルに記述する等）。そして、記憶部３２においてディレクトリをランダムに生成し（例えば、ディレクトリ名をランダムに生成する、ディレクトリの場所をランダムに生成する等）、そのディレクトリに、パーソナライズ用鍵が組み込まれたアプリケーションを記憶する。そして、ＩＣカード１が装着された携帯端末２から受信した端末ＩＤとディレクトリ名とを関連付けて記憶部３２のディレクトリ管理テーブルに記憶し、その格納先のディレクトリ名を携帯端末２に対して送信する。ディレクトリ管理テーブルの一例を図７に示す。そして、ディレクトリ名の指定と端末ＩＤとともにプログラムのダウンロード要求を携帯端末２から受信すると、受信した端末ＩＤに対応するディレクトリ名を記憶部３２のディレクトリ管理テーブルから読み出し、そのディレクトリに格納されているアプリケーションのプログラムデータを読み出して、要求元の携帯端末２に送信する。

記憶部３２は、例えば、ハードディスク装置等から構成され、制御部３１が実行するための動作プログラム及び処理に必要な各種データ等が記憶される。また、記憶部３２には、ユーザＩＤとパスワードが関連付けて登録されている認証テーブル、カードＩＤと個人情報とが関連付けて登録されている個人情報テーブル（図６参照）、端末ＩＤとディレクトリ名とが関連付けて登録されているディレクトリ管理テーブル（図７参照）等を記憶する。なお、ここでの端末ＩＤは携帯端末２にひもづけられた加入者ＩＤや電話番号等で代用してもよい。
通信制御部３３は、ネットワーク１０を介して携帯端末２とのデータ通信を行う。

サービス端末４は、制御部、記憶部、通信部、入力部、表示部等を備えるコンピュータから構成され、制御部は記憶部に記憶される動作プログラムを実行することにより、携帯端末２と赤外線通信等の近距離無線通信方式によるデータの送受信を行い、ユーザに対してサービスを提供するための処理を行う。サービスの内容は任意であり、例えば、クレジット決済等の電子決済や、個人認証した後に情報を提供するサービス、携帯端末２を定期券として使用するサービス等を含む。サービス端末４が提供するサービスの種類の数は任意である。例えば、１つのサービスを提供する端末として実現してもよく、複数のサービスを提供する端末として実現してもよい。例えば、複数のサービスを提供する端末の場合には、複数のサービスの中から一のサービスを選択する入力操作等に応じて、制御部が、選択されたサービスに対応するサービス提供用プログラムを記憶部から読み出して実行する。

次に、この発明の実施形態に係るアプリケーションパーソナライズシステムのシステム動作について図８、図９を参照して説明する。
まず、携帯端末２が、ユーザの入力操作に従ってブラウザを起動して、ユーザが所望するサービスの提供元のアプリケーション提供サーバ３にアクセスする（ステップＳ１）。
これに応じて、アプリケーション提供サーバ３は、ユーザＩＤ、パスワード等の入力画面を送信する。携帯端末２は、入力画面に対する入力を受け付けて、入力されたユーザＩＤ及びパスワードと、メモリ２２に記憶されている端末ＩＤ等をアプリケーション提供サーバ３に送信する。
アプリケーション提供サーバ３は、ユーザＩＤ、パスワード、端末ＩＤ等のデータを受信すると（ステップＳ２）、受信データを記憶部３２のワーク領域に記憶するとともに、受信したユーザＩＤとパスワードを用いて、記憶部３２の認証テーブルに予め登録されているユーザＩＤ及びパスワードと照合するユーザ認証を行う（ステップＳ３）。
照合したユーザＩＤ及びパスワードが一致しない場合には、再入力要求を携帯端末２に送信し（ステップＳ４）、再度パスワード等の入力を受け付けて照合する。
また、照合したパスワードが一致する場合には認証ＯＫとして、鍵の生成要求を携帯端末２に装着されたＩＣカード１に対して送信する（ステップＳ５）。例えば、鍵生成要求は、そのアプリケーション提供サーバ３が提供するアプリケーションのアプリケーション名、アプリケーション提供サーバ３のＩＰアドレス等のデータを含む。

ＩＣカード１は、アプリケーション提供サーバ３からの鍵生成要求を携帯端末２を介して受信すると、一対の秘密鍵及び公開鍵を生成し（ステップＳ６）、生成した秘密鍵及び公開鍵を、受信したアプリケーション名とともにメモリ１２に記憶し、公開鍵をカードＩＤとともにアプリケーション提供サーバ３に送信する（ステップＳ７）。

アプリケーション提供サーバ３は、ＩＣカード１により生成された公開鍵等を受信すると、そのＩＣカード１について、ユニークなパーソナライズ鍵を生成する（ステップＳ８）。そして、ＩＣカード１から受信したカードＩＤに対応する個人情報と、生成したパーソナライズ用鍵を公開鍵で暗号化したデータと、暗号化されたパーソナライズ用鍵についてアプリケーション提供サーバ３の秘密鍵を用いてデジタル署名したデータ、アプリケーション提供サーバ３の公開鍵及び公開鍵証明書、アプリケーション名等をＩＣカード１に対して送信する（ステップＳ９）。

ＩＣカード１は、アプリケーション提供サーバ３からの個人情報、暗号化されたパーソナライズ用鍵、デジタル署名、アプリケーション提供サーバ３の公開鍵、公開鍵証明書、アプリケーション名等のデータを受信すると、アプリケーション提供サーバ３の公開鍵やデジタル署名の検証を行い（ステップＳ１０）、その正当性を確認すると、暗号化されたパーソナライズ用鍵をＩＣカード１の秘密鍵で復号し、メモリ１２に記憶（設定）し（ステップＳ１１）、設定結果をアプリケーション提供サーバ３に送信する。なお、アプリケーション提供サーバ３の公開鍵やデジタル署名について正当性を確認できなかった場合には、メモリ１２に記憶されているＩＣカード１の秘密鍵及び公開鍵をクリアするエラー処理を行い終了する（ステップＳ１２）。

アプリケーション提供サーバ３は、ＩＣカード１から設定結果のデータを受信し、設定結果がＯＫを示す場合には（ステップＳ１３：ＹＥＳ）、ステップＳ９で生成されたパーソナライズ用鍵をアプリケーションに組み込むとともに、ランダムなディレクトリ（ダウンロードフォルダ）を生成し、そのディレクトリに、パーソナライズ用鍵が組み込まれたアプリケーションを格納する（ステップＳ１４）。そして、アプリケーションが格納されたディレクトリの情報を携帯端末２に送信する（ステップＳ１５）。また、設定結果がＮＧの場合には（ステップＳ１３：ＮＯ）、ＩＣカード１に対してＮＧ信号を送信し、これに応じてＩＣカード１は秘密鍵及び公開鍵を廃棄する（ステップＳ１２）。

携帯端末２は、アプリケーションのディレクトリの情報を受信すると、端末ＩＤとディレクトリの指定とを含むダウンロード要求をアプリケーション提供サーバ３に送信する（ステップＳ１６）。
アプリケーション提供サーバ３は、携帯端末２からダウンロード要求を受信すると、受信した端末ＩＤと、ステップＳ２で受信した端末ＩＤと、を照合し、同一の携帯端末２からの要求であるかを判別する（ステップＳ１７）。
そして、同一の携帯端末２からの要求であると判別した場合、ダウンロード要求が示すディレクトリからアプリケーションを読み出して、要求元の携帯端末２に送信する（ステップＳ１８）。携帯端末２は、アプリケーション提供サーバ３からアプリケーションプログラムをダウンロードし、プログラムとともに受信したアプリケーション名等と関連付けてメモリ２２に格納する（ステップＳ１９）。
また、同一の携帯端末２からの要求ではないと判別した場合、アプリケーション提供サーバ３は、ダウンロード要求元の携帯端末２にエラーメッセージを送信し、携帯端末２はエラーメッセージを受信して表示する（ステップＳ２０）。なお、一定期間経過後に携帯端末２からアプリケーション提供サーバ３に対してダウンロード要求がない場合は、格納しているアプリケーションを削除し、その後ダウンロード要求があったときに携帯端末２にエラーを返しても良い。

次に、携帯端末２は、ユーザによる入力操作に従って、ダウンロードされたアプリケーションを実行する（ステップＳ２１）。この場合、アプリケーションは個人情報が未設定であるため、携帯端末２は、個人情報の要求信号をＩＣカード１に送信する（ステップＳ２２）。
これに応じて、ＩＣカード１は、メモリ１２に記憶されているパーソナライズ用鍵で個人情報を暗号化して携帯端末２に送信する（ステップＳ２３）。
携帯端末２は、暗号化された個人情報を、アプリケーションに組み込まれているパーソナライズ用鍵で復号化し、個人情報の復号化が正しく行われたことを確認した場合、個人情報が正しく暗号化されていたと判別し（ステップＳ２４：ＹＥＳ）、アプリケーションに個人情報を設定し（ステップＳ２５）、設定結果をアプリケーション提供サーバ３に送信する（ステップＳ２６）。また、復号化が正しく行われなかった場合、個人情報が正しく暗号化されていなかったと判別し（ステップＳ２４：ＮＯ）、その旨の通知をアプリケーション提供サーバ３に送信する（ステップＳ２６）。

アプリケーション提供サーバ３は、携帯端末２から受信した設定結果がＯＫを示す場合には（ステップＳ２７：ＹＥＳ）、アプリケーション提供サーバ３においてアプリケーションが記憶されているディレクトリを削除し、ディレクトリ管理テーブルから該当するデータを削除する（ステップＳ２８）。そして、アプリケーション提供サーバ３は、パーソナライズが成功した旨のメッセージのデータを携帯端末２に送信し、携帯端末２はアプリケーション提供サーバ３からのメッセージのデータを受信して表示する（ステップＳ２９）。
また、ステップＳ２７において、携帯端末２から受信した設定結果がＮＧを示す場合には、ＮＧ信号を携帯端末２に送信し、これに応じて携帯端末２は、アプリケーションを削除し（ステップＳ３０）、ステップＳ１６に戻ってダウンロード要求する処理を実行する。

以上説明したように、本発明によれば、ＩＣカード１と携帯端末２の組み合わせが正しい場合にのみ、個人情報が適正にアプリケーションに設定されるため、安全にアプリケーションのパーソナライズを行うことができる。例えば、ダウンロードされたアプリケーションを他の携帯端末に不正にコピーしても、対応する共通鍵（パーソナライズ用鍵）が記憶されたＩＣカード１がないとパーソナライズすることができないため、不正なパーソナライズを防止することができる。また、鍵や個人情報等の重要な情報をセキュリティが比較的低い携帯端末２側に固定的な情報として記憶せずに、アプリケーション内に保持させているため、アプリケーション側で暗号化なども可能という意味で、安全性が高い。例えば、不正にアプリケーションプログラムを書き換えた場合には、ＩＣカード１との関連性がなくなり、パーソナライズが不可能になる。また、不要になったアプリケーションについては、それを削除することで、アプリケーション内に設定された情報も併せて削除されることから、鍵や個人情報等の重要な情報をユーザが安全に管理することができる。

なお、本発明は種々の変形及び応用が可能である。
例えば、ＩＣカード１において、パーソナライズ用鍵を用いて個人情報を暗号化できる回数を制限してもよい。この場合、例えば、ＩＣカード１は、パーソナライズ用鍵の暗号化処理における使用回数の上限値と、各パーソナライズ用鍵の暗号処理における使用回数値と、をメモリ１２に記憶し、個人情報の暗号化処理を行う際に、使用するパーソナライズ鍵の使用回数が上限値以下であるかを判別する。使用回数が上限値以下の場合には、そのパーソナライズ用鍵を用いた暗号化処理を行って、そのパーソナライズ用鍵の使用回数に１だけ加算する。また、使用回数が上限値を超えている場合には、そのパーソナライズ用鍵を用いた暗号化処理を禁止する。
これにより、不正利用を目的として個人情報の暗号化を繰り返す行為を防止することができる。

また、本発明ではＩＣカード１内で動的に一対の秘密鍵と公開鍵を生成しているが、事前に生成・登録した鍵ペアを順に使うといった方法でも実現可能である。さらに、パーソナライズ鍵のみをＩＣカード１内で生成した公開鍵で暗号化するのではなく、個人情報も暗号化してＩＣカード１に送信してもよい。また、ＩＣカード１で生成される鍵のアルゴリズムは公開鍵暗号だけでなく共通鍵暗号等でもよく、その場合はＩＣカード１とアプリケーション提供サーバ３間で事前に鍵が共有されているものとする。
また、個人情報のセキュリティの必要度等に応じて個人情報の設定先を決定してもよい。例えば、各個人情報にその重要度等に基づいてセキュリティの必要度を示すセキュリティレベルを付与し、また、ＩＣカード１のメモリ１２に、セキュリティの必要度と、個人情報の設定先（例えば、「携帯端末のメモリ」、「アプリケーション内」、「ＩＣカードのメモリ」等）と、が関連付けられているテーブルを記憶しておき、ＩＣカード１が、受信した個人情報に付与されているセキュリティレベルに基づいて、その設定先を決定して記憶するようにしてもよい。また、セキュリティだけでなく、他の情報に基づいて、個人情報の設定先を決定してもよい。例えば、携帯端末における利用頻度のレベルに応じて、その設定先を決定してもよい。

ＩＣカード１は接触型Ｉ／Ｆを有するものでもよく、また、非接触型Ｉ／Ｆを有するものでもよく、また、双方のＩ／Ｆを有するものでもよい。

また、アプリケーション提供サーバ３が提供するアプリケーションはユーザ毎に異なるものでもよい。この場合、ＩＣカード１毎にアプリケーションの格納先ディレクトリを設定しておく。例えば、ＩＣカード１のメモリ１２に設定した場合には、アプリケーション提供サーバ３がＩＣカード１から格納先ディレクトリの情報を受信して、そのディレクトリに更新後のアプリケーションを格納し、携帯端末２にダウンロードさせてもよい。

また、ＩＣカード１を管理する事業者とサービス提供元とが連携して携帯端末用のアプリケーションをパーソナライズすることもできる。例えば、個人情報（パーソナライズ情報）をＩＣカード１に設定する処理をＩＣカード１を管理する事業者のコンピュータ等が行い、携帯端末２におけるアプリケーションのパーソナライズをそのアプリケーションの提供元（サービス提供元）のコンピュータが行ってもよい。この場合には、ＩＣカード１自身が生成した一時的な秘密鍵（または、ＩＣカード１とアプリケーション提供サーバ３で共有するセッション鍵）をＩＣカード１の管理する事業者のコンピュータが取得して、サービス提供元側のコンピュータ（アプリケーション提供サーバ３でもよい）に送信することで、ＩＣカード１を管理する事業者とサービス提供元とが連携して携帯端末用のアプリケーションをパーソナライズすることもできる。

なお、上記実施例では、アプリケーション毎に提供するサーバが異なっているが、これに限定されず、１台のアプリケーション提供サーバ３が複数のアプリケーションを提供するようにしてもよい。この場合、アプリケーション提供サーバ３は、上述した各テーブルをアプリケーション毎（サービス毎）に記憶部３２に記憶し、指定されたアプリケーションについて、上述の処理を実行する。
また、上記実施例ではＩＣカード１が携帯端末２のアプリケーションに個人情報を設定するための処理を行っているが、このＩＣカード１の機能を携帯端末２に搭載されたＯＳや他のソフトウェア、携帯端末２に装着されたＩＣチップ等で実現してもよい。
なお、上記実施例では、アプリケーションを提供する場所がサーバとなっているが、キオスク端末などのローカル端末でもよく、その場合の携帯端末２とキオスク端末間の通信インタフェースは無線、有線、光などを用いてもよい。

なお、この発明のシステムは、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体（ＦＤ、ＣＤ−ＲＯＭ、ＤＶＤ等）に格納して配布し、該プログラムをコンピュータにインストールすることにより、上述の処理を実行する携帯端末２、アプリケーション提供サーバ３等を構成してもよい。また、インターネット等のネットワーク１０上のサーバ装置が有するディスク装置に格納しておき、例えばコンピュータにダウンロード等するようにしてもよい。
また、上述の機能を、ＯＳが分担又はＯＳとアプリケーションの共同により実現する場合等には、ＯＳ以外の部分のみを媒体に格納して配布してもよく、また、コンピュータにダウンロード等してもよい。

本発明の実施形態のアプリケーションパーソナライズシステムの構成を示す図である。ＩＣカードと携帯端末の構成例を示す図である。アプリケーション提供サーバの構成例を示す図である。ＩＣカードと携帯端末とアプリケーション提供サーバの機能ブロック図である。ＩＣカードのメモリに記憶されるデータを説明するための図である。個人情報テーブルの一例を示す図である。ディレクトリ管理テーブルの一例を示す図である。図１のアプリケーションパーソナライズシステムのシステム動作を説明するための図である。図１のアプリケーションパーソナライズシステムのシステム動作を説明するための図である。

符号の説明

１ＩＣカード
２携帯端末
３アプリケーション提供サーバ
１０ネットワーク
１１、２１ＣＰＵ
１２、２２メモリ
１３、２６入出力Ｉ／Ｆ
２３入力部
２４表示部
２５通信部
１１１鍵生成部
１１２パーソナライズ情報設定部
２１１ダウンロード部
２１２アプリケーション設定・実行部
３１１パーソナライズ用鍵生成部
３１２個人情報供給部
３１３アプリケーション供給部

Claims

ＩＣカードが装着された携帯端末と、前記携帯端末とネットワークを介して接続されるサーバ装置と、を備えるアプリケーションパーソナライズシステムであって、
前記サーバ装置は、
アプリケーションを記憶するアプリケーション記憶手段と、
ＩＣカードの保有者の個人情報をＩＣカード毎に記憶する個人情報記憶手段と、
ＩＣカードが装着された携帯端末から、前記ＩＣカードが生成した公開鍵を受信する手段と、
ＩＣカード毎にユニークなパーソナライズ用の共通鍵を生成し、当該共通鍵を前記アプリケーション記憶手段から読み出したアプリケーションに組み込む手段と、
前記受信した公開鍵を用いて、前記生成した共通鍵を暗号化する手段と、
前記ＩＣカードに対応する個人情報を前記個人記憶手段から読み出し、読み出した個人情報と、前記暗号化された共通鍵と、を前記ＩＣカードが装着された携帯端末に送信する手段と、
前記共通鍵が組み込まれたアプリケーションを前記携帯端末に送信する手段と、を備え、
前記ＩＣカードは、
一対の秘密鍵と前記公開鍵を生成する手段と、
前記公開鍵を当該ＩＣカードが装着された携帯端末を介して前記サーバ装置に送信する手段と、
前記暗号化された共通鍵と、前記個人情報と、を前記サーバ装置から受信する手段と、
前記秘密鍵を用いて、前記暗号化された共通鍵を復号化する手段と、
前記復号化された共通鍵を用いて、前記個人情報を暗号化する暗号化手段と、
前記共通鍵を用いて暗号化された個人情報を前記携帯端末に送信する手段と、を備え、
前記携帯端末は、
前記共通鍵が組み込まれたアプリケーションを前記サーバ装置から受信して記憶する手段と、
当該携帯端末に装着されている前記ＩＣカードから、前記共通鍵を用いて暗号化された個人情報を受信する手段と、
前記暗号化された個人情報を、前記アプリケーションに組み込まれている共通鍵を用いて復号する手段と、
前記復号した個人情報を前記アプリケーションに設定する手段と、を備える、
ことを特徴とするアプリケーションパーソナライズシステム。
前記ＩＣカードは、
前記共通鍵の暗号処理における使用回数の上限値と、各共通鍵の使用回数値と、を記憶する手段をさらに備え、
前記ＩＣカードにおける前記暗号化手段は、
使用対象の共通鍵の使用回数値と、使用回数の上限値と、を比較し、比較結果に基づいて、当該共通鍵を用いた個人情報の暗号化の回数を制限する手段をさらに備える、
ことを特徴とする請求項１に記載のアプリケーションパーソナライズシステム。