JP4557969B2 - スマートカードに関する変更権を付与する方法 - Google Patents

Description

本発明は、データキャリアのアプリケーションを変更する変更権を変更装置に付与する付与方法に関する。

本発明は、更に、少なくとも１つのアプリケーションを実行するためのデータキャリアに関する。

本発明は、更に、データキャリアのアプリケーションを変更するための変更装置に関する。

このようなデータキャリアは、欧州特許出願公開第０ ９３５ ２１４号明細書に開示されている。この場合、データキャリアは、スマートカードによって形成される。データキャリアのコンピュータ手段は、複数のアプリケーション又はソフトウェアプログラムを実行するように設計される。既知のデータキャリアは、例えば、バンキングアプリケーションを実行することができ、この実行は、ある金額が、キャッシュマシンにおいてデータキャリアにロードされ、店で支払うために使用されることを可能にする。更に、既知のデータキャリアは、患者アプリケーションを実行することができ、この実行は、患者データが、医師及び医療保険会社によって読み取られ、訂正されることを可能にする。例えばクレジットカードアプリケーション又は駐車場チケットアプリケーションのような多数の他のアプリケーションが、当業者に知られている。

クレジットカードアプリケーションを実行するタイプのデータキャリアを用いて、支払いがクレジットカード端末にて行われる場合、データキャリアの有効性を検証するために、データキャリアを識別するデータキャリア識別情報項目が、クレジットカード端末によって、トラストセンタとして知られるものに電子的に伝送される。トラストセンタは、データキャリア識別情報項目の有効性をチェックし、チェックの結果が肯定的である場合、クレジットカード端末に有効性情報項目を電子的に出力する。

既知のデータキャリアにおいて、アプリケーションは、データキャリアの製造時に、又はいかなる場合もそれらがデータキャリアのユーザに発行される前に、データキャリアの記憶手段にインストールされ、又は記憶される。複数のアプリケーションが、データキャリアにインストールされている場合、アプリケーションが、互いから明確に分離した態様で実行されるとともに、おそらく秘密の又はセキュリティ関連のデータ（例えば金額、患者データ）への不所望の相互のアクセスが防止されることが確実にされなければならない。適当な対応策は、欧州特許出願公開第０
９３５ ２１４号明細書に開示されている。更に、データキャリアにおいて実行される又は実行されるべきアプリケーションを変更するとき、データキャリアによって実行される他のアプリケーションが、悪影響を受けないことも確実にされなければならない。更に、アプリケーションを変更する許可を与えられている者又は装置のみが、データキャリアの記憶手段へのアクセスを得ることが確実にされなければならない。更に、アプリケーションが第三者によって使用される異なるデータキャリアに記憶されないようにするために、データキャリアのアイデンティティは、アプリケーションをインストールする前に間違いなく検証されなければならない。

本発明の目的は、上述の対応策が講じられている、最初の段落に述べたタイプの付与方法、第２の段落に述べたタイプのデータキャリア、及び第３の段落に述べたタイプの変更装置を提供することである。

上述の目的を達成するために、以下の方法ステップが、このような付与方法において提供される。方法は、データキャリア識別情報項目によって識別される１又は複数のデータキャリアについて、第１のキー情報項目及び関連する第２のキー情報項目を生成するステップと、データキャリア識別情報項目及び関連する第２のキー情報項目を変更装置に出力することによって、データキャリア識別情報項目によって識別されるデータキャリアについて変更権を付与するステップと、データキャリアに記憶される第１のキー情報項目と、変更装置によってデータキャリアに出力されたデータキャリアの第２のキー情報項目との関連をチェックするステップと、チェックの結果が肯定的である場合、変更装置によるデータキャリアのアプリケーションの変更を可能にするステップと、を含む。

上述の目的を達成するために、このようなデータキャリアは、以下の特徴によって特徴付けられる。データキャリアは、少なくとも１つのアプリケーションを実行するためのコンピュータ手段であって、インタフェースを介して通信される情報項目又はデータキャリアに記憶される情報項目が処理される、コンピュータ手段と、第１のキー情報項目及びデータキャリアを識別する関連するデータキャリア識別情報項目を記憶するための記憶手段と、インタフェースを介してデータキャリアのアプリケーションを変更するための、変更装置の変更権をチェックするためのチェック手段であって、記憶手段に記憶される第１のキー情報項目と、変更装置によってデータキャリアに出力される第２のキー情報項目と、の関連をチェックするように設計されるチェック手段と、チェック手段による変更装置の変更権の確認に続いて、変更装置によるデータキャリアのアプリケーションの変更を可能にするように設計される変更手段と、を有する。

上述の目的を達成するために、このような変更装置は、以下の特徴によって特徴付けられる。変更装置は、データキャリア識別情報項目によって識別されるデータキャリアと情報項目を非接触通信及び／又は接触通信するための少なくとも１つのインタフェースと、データキャリアを識別する少なくとも１つのデータキャリア識別情報項目及び関連する第２のキー情報項目を記憶するための記憶手段と、インタフェースを介してデータキャリアのアプリケーションを変更するためのコンピュータ手段であって、記憶されるデータキャリア識別情報項目によって識別されるデータキャリアとの通信中、変更装置の変更権が、このデータキャリア識別情報項目に関連する第２のキー情報項目の通信によってデータキャリアに出力され、データキャリアによる変更権の確認に続いて、変更装置が、データキャリアのアプリケーションを変更する許可を与えられ、変更を行うように設計される、コンピュータ手段と、を有する。

本発明による特徴によれば、データキャリア識別情報項目によって識別されるデータキャリアについて、個々の関連する第１及び第２のキー情報項目が生成されることができるという状況が達成される。第１のキー情報項目及びデータキャリア識別情報項目は、データキャリアに記憶され、第２のキー情報項目及びデータキャリア識別情報項目は、変更装置に出力される。結果として、変更装置は、データキャリア識別情報項目によって識別される１又は複数のデータキャリアの１又は複数のアプリケーションを変更する変更権を得る。データキャリアのアプリケーションの変更とは、この場合、データキャリアへのアプリケーションの初期インストール、データキャリアに既にインストールされているアプリケーションの更新（例えば新しいバージョン）、及びデータキャリアからのアプリケーションの削除も意味する。

こうして、有利には、データキャリアが既にユーザに発行されているときに、変更装置は、データキャリア識別情報項目及び関連する第２のキー情報項目を得ることによって、データキャリアのアプリケーションに関する変更権を取得して、該アプリケーションを変更することができる。変更権の取得は、変更権に対する料金の支払いと関係付けられることができ、これによって、興味深いビジネス方法が得られる。この場合、データキャリアのアプリケーションの変更は、変更権を確認するためにトラストセンタと連絡をとる必要なく、データキャリアの変更装置との通信中に行われることができることが特に有利である。

請求項２及び請求項１１の方策により、変更権は、変更装置に、例えば、アプリケーションを更新し又は削除する許可を与えず、新しいアプリケーションをインストールする許可のみを与えることができるという利点が得られる。同様に、変更権は、変更装置に、アプリケーションを削除するとともに、しかるべき場合はそれと同時に、削除の結果として空きとなったデータキャリア内の記憶手段の記憶領域に、新しいアプリケーションをインストールする許可のみを与えることができる。アプリケーションの新しいバージョンが、既にユーザに発行されているすべてのデータキャリア上のアプリケーションの古いバージョンに代わって、インストールされるべきである場合、対応する変更権が、アプリケーション（例えばバンキングアプリケーション）のオペレータによって、変更装置（例えばキャッシュマシン）のオペレータに発行されることができる。多くのこのような有利な用途が可能にされるとともに、変更権の取得は、それぞれの場合にサービスと関係付けられることが可能であり、それによって、興味深いビジネス方法が得られる。

請求項３及び請求項１２の方策により、変更権によって、すなわちデータキャリア識別情報項目及び関連する第２のキー情報項目によって、変更されうるアプリケーションが識別されるという利点が得られる。従って、有利には、２つのアプリケーションを実行するデータキャリアの場合、上述のさまざまな異なる変更権（インストール、更新、削除）が、２つのアプリケーションの各々について付与されることが可能である。

請求項４及び請求項１３の方策により、新しいアプリケーションが、記憶手段の記憶空間の最大量（例えば１ｋビット）より多くを要求しない場合、変更権が、データキャリアにその新しいアプリケーションをインストールするために付与されることができるという利点が得られる。結果として、ユーザに既に発行されているデータキャリアの記憶空間が販売されることができるという特に興味深いビジネスモデルが得られる。従って、クレジットカード製造業者は、そのクレジットカードの記憶手段に、将来のアプリケーション用の記憶空間を確保し、多数のクレジットカードが既にユーザに発行されている場合、１又は複数の会社にこの記憶空間を対応する変更権の形で販売して、クレジットカードを使用してそれらのアプリケーション（例えば顧客ロイヤルティカード、電子駐車場チケット）が実行されるようにすることもできる。

請求項５の方策により、ただ１つのデータキャリア識別情報項目及びただ１つの第２のキー情報項目によって形成されるただ１つの変更権を使用して、アプリケーションが、データキャリアのグループにおいて変更されることができ、データキャリアのすべてが、同じデータキャリア識別情報項目によって識別されるという利点が得られる。

請求項６及び請求項１４の方策により、変更権は、変更されるべきアプリケーションの特定のアクセス権を識別するという利点が得られる。例えば、変更権は、クレジットカードに付与されることができ、この変更権は、非接触インタフェースを使用せずに、接触インタフェースのみを使用することができるアプリケーションをインストールする許可を与え、クレジットカードのすべてのアプリケーションに共通する特定の記憶領域の読み取り権をもっぱら許可する。

請求項７の方策により、変更権が、データキャリアに記憶される第１のマスターキー情報項目に関連する第２のマスターキー情報項目によって、データキャリアにより実行されるアプリケーションの一部又はすべての、インタフェース又は記憶領域へのアクセス権を変更することができるという利点が得られる。同様に、別のアプリケーションを変更することができるようにするため、マスターキー情報項目を使用して、新しい第１のキー情報項目が、生成され、データキャリアに記憶されることができ、新しい第２のキー情報項目が、生成され、変更装置に記憶されることができる。

請求項８の方策により、マスターキー情報項目を使用して、アクセス権の変更及び／又はキー情報項目の生成が、ただ１つの特定のアプリケーションに制限されることができるという利点が得られる。

請求項９の方策により、データキャリアによるキー情報項目のチェックに加えて、変更されるべきアプリケーションの特定の特性が、アプリケーションの変更が可能にされる前にチェックされるという利点が得られる。この場合、例えば、アプリケーションのオペレータは、アプリケーションに第３のキー情報項目を記憶することができ、その正確さが、データキャリアによるアプリケーションの変更の前にチェックされる。

請求項１５の方策により、ＪＡＶＡ(登録商標)アプレットとして知られるものが、特に有利に、データキャリアによって実行されるという利点が得られる。

請求項１６の方策により、変更装置が、データネットワーク（例えばインターネット、社内ネットワーク、電話網、その他）を通じて互いに接続される、アプリケーションのオペレータのオペレータコンピュータ及び読み取り装置（例えばキャッシュマシン）によって、形成されることができるという利点が得られる。このようにして、多数の有利な用途が可能にされる。

本発明は、図面に示した実施例を参照してより詳しく記述されるが、本発明は、それらの実施例に限定されるものではない。

図１は、データキャリアを形成するとともに、製造プロセスＨが終了したのち、端末１との非接触通信及び読み取り装置２との接触通信を行うように設計されるスマートカードＳ用の製造プロセスＨをシンボリックに示している。製造プロセスＨの間、集積回路は、プラスチックカードに組み込まれ、非接触通信用のアンテナ３及び接触通信用の接点バンク４に接続される。このような製造プロセスＨは、長い間知られており、従って更に詳しくはここで議論されない。

図２は、スマートカードＳのアプリケーションを変更するための変更権を変更装置５に付与するための付与方法Ｅを示している。この文脈において、アプリケーションは、スマートカードＳの用途（例えば、クレジットカード、博物館入場チケット、その他として）の性質を意味すると理解され、従って、スマートカードＳのコンピュータ手段６は、この用途を可能にするためにソフトウェアプログラムを実行するものを意味すると理解される。

スマートカードＳの製造プロセスＨにおいて、１若しくは複数のアプリケーション又は対応するソフトウェアプログラムが、スマートカードＳの記憶手段７に記憶される。更に、製造プロセスＨの間、それぞれのスマートカードＳは、データキャリア識別情報項目、すなわちこの実施例によれば、連続的な一連番号ＩＤを与えられる。一連番号ＩＤは、スマートカードＳのセキュリティ記憶手段８に記憶され、それぞれのスマートカードＳを明白に識別するために使用される。一連番号ＩＤは、この場合、６４桁を有する２進ビットの組み合わせによって形成され、セキュリティ記憶手段８は、ハッカー攻撃に対して特に良好に保護される記憶手段７の或る領域によって形成される。

付与方法ＥのブロックＢ１により、製造プロセスＨの間、コンピュータＣは、その一連番号ＩＤによって識別されるそれぞれのスマートカードＳについて、第１のキー情報項目Ｋ１及び関連する第２のキー情報項目Ｋ２を生成する。更に、後に詳しく述べるように、一連番号ＩＤによって識別されるスマートカードＳの幾つか又はすべてについて、第１のマスターキー情報項目ＭＫＩ１及び第２のマスターキー情報項目ＭＫＩ２が生成される。この場合、キー情報項目Ｋ１及びＫ２、更にはマスターキー情報項目ＭＫＩ１及びＭＫＩ２は、当業者に長く知られているように、対称の２進キーとして知られるもの又は非対称の２進キーとして知られるものによって、形成されることができる。当業者であれば、それぞれの場合に２つのキー情報項目を有する他の暗号方法も知っており、それらが、この点について同様に使用されることができる。

コンピュータＣによって生成される第１のキー情報項目Ｋ１及び同様に生成されることができる第１のマスターキー情報項目ＭＫＩ１は、後に詳しく述べるように、スマートカードＳの一連番号ＩＤに関連づけられる態様で、スマートカードＳのセキュリティ記憶手段８に記憶され、スマートカードＳによって実行されるセキュリティアプリケーションＡＳによって処理される。可能性として、コンピュータＣによって生成されるすべての情報項目、しかしながら、いかなる場合も、一連番号ＩＤ、第２のキー情報項目Ｋ２及び同様に生成されうる第２のマスターキー情報項目ＭＫＩ２が、スマートカードＳの製造業者のセキュリティ記憶手段９に記憶される。実施例を参照して詳しく後述するように、セキュリティ記憶手段９に記憶される情報項目は、そののち、スマートカードＳのアプリケーションを変更するための変更権を付与するために使用されることができる。

アプリケーションの第１の例によれば、スマートカードＳの製造業者は、クレジットカード会社用に１００万のスマートカードＳを製造するものとする。このために、スマートカードＳの製造中、クレジットカードソフトウェアの項目が、記憶手段７に記憶され、第１のアプリケーションＡ１としてコンピュータ手段６によって実行される。製造中、一連番号ＩＤ＝「１２３．．．８４」、第１のキー情報項目Ｋ１＝「２．．．４」及び第１のマスターキー情報項目ＭＫＩ１＝「８８．．．３」が、スマートカードＳのセキュリティ記憶手段８に記憶される。一連番号ＩＤ＝「１２３．．．８４」、第１のキー情報項目Ｋ１に関連する第２のキー情報項目Ｋ２＝「３．．．５」、及び第１のマスターキー情報項目ＭＫＩ１に関連する第２のマスターキー情報項目ＭＫＩ２＝「９９．．．４」が、関連する態様で、製造業者のセキュリティ記憶手段９に記憶される。効果的な接続Ｗは、生成されるすべてのスマートカードＳが、クレジットカード会社の顧客に発行されることを示す。そののち、スマートカードＳは、一般に知られているように、店での取引の支払いのために使用される。

スマートカードＳを製造するとき、記憶手段７が、クレジットカードソフトウェアの書き込み後でもなお十分な付加の記憶空間を有することを確実にするために注意が払われなければならない。例えば、クレジットカードソフトウェアは、記憶手段７の記憶空間の３ｋビットを占めることができ、セキュリティ記憶手段８は、４ｋビットを占めることができ、記憶手段７の１７ｋビットが、なお空いたままでありうる。前記記憶手段７は、全体で２４ｋビットであり、ＥＥＰＲＯＭによって形成される。更に、コンピュータ手段６は、４つまでのアプリケーションＡ１、Ａ２、Ａ３及びＡ４が、時間的に並行に又はずれた態様で実行されることがきるように、それらの計算パワーに関して設計される。

アプリケーションの例により、大きなデパートチェーンが、ここで、特定の販売又はリファンド条件をその顧客に提供するために、顧客ロイヤルティカードを顧客に発行したいと思うものとする。デパートチェーンの多くの顧客は、クレジットカード会社のスマートカードＳを使用してそれらの購入品の支払いをし、顧客が顧客ロイヤルティカードとして更に別のカードを携帯する必要が無いことが一層便利であるので、デパートチェーンは、それらの顧客ロイヤルティカードソフトウェアを第２のアプリケーションＡ２としてスマートカードＳにインストールするための変更権を、クレジットカード会社から取得する。

付与方法ＥのブロックＢ２において、デパートチェーンは、アプリケーションＡ２の将来のオペレータとして、クレジットカード会社又はスマートカードＳの製造業者に変更権を求め、このために必要な購入価格を支払う。この場合、デパートチェーンは、本質的に、記憶手段７に顧客ロイヤルティソフトウェアを記憶するために、既に顧客に発行されているすべてのスマートカードＳの記憶手段７の記憶空間を購入している。この場合、購入価格は、記憶空間の要求と、顧客に発行されたスマートカードＳの数と、に依存する。更に、購入価格は、第２のアプリケーションＡ２によってどのインタフェースが必要とされるか、すなわち非接触インタフェースのみ、接触インタフェースのみ又は両方のインタフェースが必要とされるかに依存し、更には、第２のアプリケーションＡ２を実行するために必要な計算パワーにも依存するようにされうる。更に、購入価格は、マスターキー情報項目がスマートカードＳについて同様に生成されているか、及び第２のマスターキー情報項目ＭＫＩ２が同時に購入されるか、に依存する。こうして、興味深いビジネスモデルが、変更権の購入によって得られる。

クレジットカード会社又はスマートカードＳの製造業者が、第２のアプリケーションＡ２のオペレータ、すなわちデパートチェーンとの合意に達すると、ブロックＢ３において、変更権、すなわちそれぞれのスマートカードＳについて一連番号ＩＤ及び関連する第２のキー情報項目Ｋ２並びに必要に応じて第２のマスターキー情報項目ＭＫＩ２が、第２のアプリケーションＡ２のオペレータのオペレータコンピュータ１０に伝送される。この伝送は、図１に示すように、データネットワークＮＥＴを通じて行われることができる。この場合、最も厳しいセキュリティ対応策が、例えば、トラストセンタと連絡をとることによって、変更権が許可を与えられていない者によって取得されることを防ぐために、講じられなければならない。しかしながら、変更権は、対応する情報が記憶されているＣＤ−ＲＯＭ、ハードディスク又はＤＶＤをアプリケーションＡ２のオペレータに手渡すことによって、手作業で伝送されることもできる。変更権は、オペレータコンピュータ１０に利用可能になる。

アプリケーションの例によれば、セキュリティの理由のため、スマートカードＳの接触インタフェースのみが、第２のアプリケーションをインストールする目的で使用されることができるものとする。このために、第２のアプリケーションをインストールするための変更装置５は、オペレータコンピュータ１０とデータネットワークネットを通じてオペレータコンピュータ１０に接続される多数の読み取り装置２と、によって形成される。顧客がスマートカードＳのクレジットカードアプリケーションを使用して商品の支払いをしたいと思い、販売員が、スマートカードＳを読み取り装置２に挿入するとすぐに、スマートカードＳに第２のアプリケーションをインストールするプロセスが、ブロックＢ４において始める。

インストールプロセスの開始時、スマートカードＳは、インタフェース手段１１、接点バンク４及び読み取り装置２の接点バンク１２を介して、その一連番号ＩＤを伝送する。読み取り装置２のコンピュータ段１３は、オペレータコンピュータ１０に、一連番号ＩＤを伝送する。オペレータコンピュータ１０は、スマートカードＳが、有効なスマートカードＳであるかどうかをチェックする。必要に応じて、スマートカードＳは、その第１のキー情報項目Ｋ１を使用してコードワードを暗号化することができ、読み取り装置２を介して、オペレータコンピュータ１０にそれを伝送することができる。暗号化されたコードワードは、オペレータコンピュータ１０において、関連する第２のキー情報項目Ｋ２によってしか解読されることができない。スマートカードＳの有効性のこのチェックは、第２のアプリケーションＡ２が無効なスマートカードＳにインストールされることを防ぐ役目を果たす。

スマートカードＳの有効性が、ブロックＢ４において決定されると、第２のアプリケーションＡ２のインストールが、ブロックＢ５において続けられ、他の場合には終了される。ブロックＢ５において、オペレータコンピュータ１０において、スマートカードＳの一連番号ＩＤに関連する第２のキー情報項目Ｋ２が決定され、読み取り装置２を介してスマートカードＳのセキュリティアプリケーションＡＳに出力される。必要に応じて、第２のキー情報項目Ｋ２は、セキュリティの理由のために暗号化されることもできる。セキュリティアプリケーションＡＳは、ブロックＢ６において、セキュリティ記憶手段８に記憶された第１のキー情報項目Ｋ１が、変更装置５によって出力された第２のキー情報項目Ｋ２に関連するかどうかをチェックし、変更装置５が、第２のアプリケーションＡ２を変更し又はインストールする変更権を有するかどうかが決定される。

ブロックＢ６におけるチェックの結果が、変更装置５が、第２のアプリケーションＡ２をインストールする許可を与えられていることを示す場合、ブロックＢ７において、第２のアプリケーションＡ２が、スマートカードＳの記憶手段７に記憶される。これを行うために、オペレータコンピュータ１０は、読み取り装置２を介して、第２のアプリケーションＡ２を伝送し、スマートカードＳは、読み取り装置２が記憶手段７にアクセスすることをある程度可能にする。この場合、変更装置５による第２のアプリケーションＡ２の変更の程度又は性質は、変更権の性質によって、すなわち第２のキー情報項目Ｋ２によって、決定され、スマートカードＳのセキュリティアプリケーションによって確かめられる。

変更権は、第２のアプリケーションＡ２のオペレータに対し、記憶空間に関して制限される（例えば最高５ｋビット）記憶手段７の一部に、第２のアプリケーションＡ２をインストールする許可を与えることができる。これは、実際に、４つのアプリケーションＡ１乃至Ａ４に関して十分な記憶空間が記憶手段７にあることを確実にする。

更に、アプリケーションに共通する記憶手段７の記憶領域及びスマートカードＳのインタフェースに対する、第２のアプリケーションＡ２のアクセス権は、変更権によって決定されることができる。この場合、顧客ロイヤルティカードアプリケーションは、例えば、顧客データ及びリファンドの通信のために非接触インタフェースだけを使用することができる。

更に、変更権は、アプリケーションのどのタイプの変更が、変更装置５によって実行されることができるかを決定することができる。この場合、変更装置５は、第２のアプリケーションＡ２を、顧客ロイヤルティカードアプリケーションのより新しいバージョンと交換し、又はそれを全く異なる第２のアプリケーションＡ２と置き換える許可のみを与えられることが可能である。同様に、変更権は、もっぱら第２のアプリケーションの削除を可能にすることができる。同様に、これらの可能性又はすべてのこれらの可能性の組み合わせが、第２のキー情報項目Ｋ２のみによって可能にされうる。

更に、変更権は、例えば間違ったアプリケーションがスマートカードＳの記憶手段７から削除されることを防ぐために、変更されうるアプリケーションを識別することができ、又は識別しなければならない。しかしながら、変更権は、更に、記憶手段７の特定の記憶領域のみを識別することもでき、当該記憶領域において、任意の変更又は規定された変更が実行されうる。

第１のマスターキー情報項目ＭＫＩ１が、スマートカードＳに記憶されており、スマートカードＳについて関連する第２のマスターキー情報項目ＭＫＩ２が、変更装置５に出力される場合、変更装置５は、スマートカードＳのアクセス権を変更することができ、及び／又はスマートカードＳの他の第１のキー情報項目Ｋ１及びオペレータコンピュータ１０の他の第２のキー情報項目Ｋ２を生成することができる。デパートチェーンは、顧客データを伝送するために非接触通信を行う端末１のみを使用することをもはや望まず、接触を必要とする態様で通信する読み取り装置２をも使用することを望むものとする。しかしながら、第２のアプリケーションＡ２は、インストール時に、非接触インタフェース（インタフェース１１及びアンテナ３）へのアクセス権のみを与えられているので、これは可能でない。変更装置５が、第２のマスターキー情報項目ＭＫＩ２を使用して、アクセス権変更コマンドを暗号化し、暗号化されたコードをスマートカードＳに伝送する結果として、セキュリティアプリケーションＡＳは、セキュリティ記憶手段８に記憶された第１のマスターキー情報項目ＭＫＩ１を使用して、受け取られたコードを解読することにより、変更装置５の変更権を確かめ、アクセス権変更コマンドを実行するようになる。結果として、第２のアプリケーションＡ２は、スマートカードＳの非接触インタフェース及び接触インタフェースへの両方のアクセスを得る。従って、有利には、すでに顧客に発行されているスマートカードＳによって実行されるアプリケーションの場合であっても、インタフェースと、同様に記憶手段７の記憶領域と、へのアクセス権が、変更されることが可能になる。

更に、セキュリティ記憶手段８に記憶された第１のキー情報項目Ｋ１が、アプリケーションを変更するために既に使用されており、又はハッカーによって発見され、従っておそらくもはや使用されることができないという場合が起こりうる。この場合、新しい第１及び第２のキー情報項目が、オペレータコンピュータ１０によって生成されることができ、新しい第１のキー情報項目は、第１のマスターキー情報項目ＭＫＩ１を使用して暗号化された態様で、スマートカードＳにコードとして伝送されることができる。スマートカードＳのセキュリティアプリケーションＡＳは、第２のマスターキー情報項目ＭＫＩ２を使用して、受け取られたコードを解読することができ、新しい第１のキー情報項目は、別のアプリケーションを変更するために、スマートカードＳのセキュリティ記憶手段８に有利に記憶されることができる。

更に、第１のマスターキー情報項目ＭＫＩ１及び第２のマスターキー情報項目ＭＫＩ２は、全体としてスマートカードＳに関する変更を行うことは可能ではないが、ただ１つのアプリケーションに関するアクセス権を変更し、又はこのただ１つのアプリケーションについて、新しいキー情報項目を生成することのみが可能であるように生成されることができる。マスターキー情報項目の権利は、他のアプリケーションに対して制約されるので、特定の重要なアプリケーション（例えば、クレジットカードアプリケーション、バンキングアプリケーション、その他）が、決して、すなわちマスターキー情報項目によってさえ、変更されえないことが確実にされうる。

他のセキュリティ対応策として、スマートカードＳの変更装置５によるスマートカードＳのアプリケーションの変更が、変更されるべきアプリケーションの特定の特性が決定される場合のみ許可されることが規定されうる。例えば、スマートカードの製造業者にさえおそらく知られない他のキー情報項目が、アプリケーションのオペレータによってアプリケーションに挿入されることができ、この隠された他のキー情報項目が、アプリケーションの特性を形成する。変更装置５が、スマートカードＳに、他のキー情報項目に関連するキー情報項目を伝送する場合のみ、スマートカードＳは、変更装置５によって、スマートカードＳに記憶されたアプリケーションを変更（例えば削除）することを許可する。これによって、アプリケーションのオペレータが、当該アプリケーションについて他のセキュリティ対応策を講じることができるという利点が得られる。

図示しない第２の実施例によれば、スマートカードＳのユーザは、接続された非接触通信端末をもつコンピュータを所有することができ、この場合、コンピュータが、変更装置を形成する。第２の実施例によれば、コンピュータは、インターネットを介して、メッセージ送信器のサーバに接続される。メッセージ送信器によって、メッセージが呼び出されることができ、メッセージ送信器によって、メッセージ購読が提供される。ユーザは、電子的に、メッセージ購読のための登録フォームに記入し、メッセージ購読の支払いをするために自分のクレジットカード番号を入力する（ブロックＢ２）。変更権（ＩＤ及びＫ１）は、インターネットを介して、ユーザのコンピュータに記憶され、その変更権によって、メッセージアプリケーションが、スマートカードにインストールされることができる。上述したインストールプロセスにより、メッセージアプリケーションが、第３のアプリケーションとしてスマートカードに記憶される。ユーザは、スマートカードを使用して、非接触通信端末をもつ任意のコンピュータにおいてメッセージ購読の現在メッセージの呼び出しをする可能性を有する。更に、映画館に行くための映画館チケットも、メッセージ購読に含められた。ユーザは、映画館のチケットポイントの端末に自分のスマートカードを提示することができ、スマートカードのメッセージアプリケーションは、非接触通信中、一度だけ映画館チケットを確認する。このサービスは、映画館のオペレータがメッセージ送信器のオペレータと協力しているので可能になる。

トランスポンダ、パーソナルディジタルアシスタント、移動電話又は同様の別の装置が、データキャリアとして使用されることもできる。非接触通信は、例えば公表されている規格ＩＳＯ１４．４４３、ＩＳＯ１５．６９３、ＩＳＯ１８．０００、ＥＣＭＡ ３４０の１つに従って又は電話規格ＧＳＭ又はＵＭＴＳの１つに従って、行われることができる。

本発明による付与方法、本発明によるデータキャリア及び本発明による変更装置によって、上述した利点に加えて、顧客に既に発行されているデータキャリアのアプリケーションが変更されることができ、従って付加のサービスが、このためにトラストセンタを含める必要なく、データキャリアに関して実現可能にされることができるという基本的な利点が得られる。トラストセンタの必要を回避することによって、アプリケーションは、「オフライン」で動作する変更装置によっても変更されることができ、トラストセンタのための費用が節約されることができる。興味深いビジネス方法が、変更権を販売することによって得られる。

変更装置が別のアプリケーションをインストールしているデータキャリアを示す図。 図１に示されるデータキャリアのアプリケーションを変更するための変更方法を示す図。

Claims (17)

1. データキャリアのアプリケーションを変更するための変更権を変更装置に付与する付与方法であって、
   コンピュータが、データキャリア識別情報項目によって識別される１又は複数のデータキャリアについて、第１のキー情報項目と、暗号化及び復号化の点で前記第１のキー情報項目と関連のある第２のキー情報項目とを生成するステップと、
   前記コンピュータが、前記変更装置に、前記データキャリア識別情報項目及び当該データキャリア識別情報項目によって識別されるデータキャリアのために生成された第２のキー情報項目を出力することによって、前記データキャリア識別情報項目によって識別される前記データキャリアについて変更権を付与するステップと、
   前記データキャリアが、前記データキャリアに記憶される前記第１のキー情報項目と、前記変更装置によって前記データキャリアに出力される前記第２のキー情報項目との関連をチェックするステップと、
   前記チェックの結果が肯定的である場合、前記変更装置が、前記データキャリアのアプリケーションを変更するステップと、
   が実行される付与方法。
2. 前記変更権は、前記データキャリアにアプリケーションをインストールし、及び／又は前記データキャリア内のアプリケーションを更新し、及び／又は削除する権利である、請求項１に記載の付与方法。
3. 前記変更権は、前記データキャリアの特定のアプリケーションを変更する権利のみである、請求項１に記載の付与方法。
4. 前記変更権は、前記データキャリアの記憶空間の予め規定された最大量を必要とするアプリケーションをインストールする権利のみである、請求項１に記載の付与方法。
5. 前記データキャリア識別情報項目は、データキャリアのグループを識別する、請求項１に記載の付与方法。
6. 前記変更権は、更に、前記データキャリアの変更されるべきアプリケーションの、前記データキャリアの記憶領域とインタフェースとへのアクセス権を決定する、請求項１に記載の付与方法。
7. 前記コンピュータが、データキャリア識別情報項目によって識別される１又は複数のデータキャリアについて、第１のマスターキー情報項目と暗号化及び復号化の点で前記第１のマスターキー情報項目と関連のある第２のマスターキー情報項目とを生成するステップが実行され、
   前記データキャリアにおけるアクセス権の変更、及び／又は前記データキャリア及び前記変更装置の他のキー情報項目の生成は、前記データキャリアに記憶される前記第１のマスターキー情報項目と、前記変更装置に記憶される前記第２のマスターキー情報項目とによってのみ、可能である、請求項１に記載の付与方法。
8. 前記第１のマスターキー情報項目及び前記第２のマスターキー情報項目のみが、特定のアプリケーションを変更するために、前記データキャリアの特定のアプリケーションのアクセス権を変更し、及び／又は前記データキャリア及び前記変更装置の他のキー情報項目を生成することを可能にする、請求項７に記載の付与方法。
9. 前記データキャリアの前記変更装置による前記データキャリアの前記アプリケーションの変更は、変更されるべき前記アプリケーションの特定の特性が決定される場合にのみ、許可される、請求項１に記載の付与方法。
10. 少なくとも１つのアプリケーションを実行するためのデータキャリアであって、
    情報項目を非接触通信及び／又は接触通信するための少なくとも１つのインタフェースと、
    少なくとも１つのアプリケーションを実行するコンピュータ手段であって、前記インタフェースを介して通信される情報項目、又は前記データキャリアに記憶される情報項目が処理される、コンピュータ手段と、
    前記データキャリアのために生成される第１のキー情報項目及び前記データキャリアを識別するデータキャリア識別情報項目を記憶する記憶手段と、
    前記インタフェースを介して、前記データキャリアのアプリケーションを変更するための、変更装置の変更権をチェックするチェック手段であって、前記記憶手段に記憶される前記第１のキー情報項目と、前記変更装置によって前記データキャリアに出力される第２のキー情報項目であって、前記データキャリアのために生成された第２のキー情報項目と、の関連をチェックするように設計されるチェック手段と、
    前記チェック手段による前記変更装置の前記変更権の確認に続いて、前記変更装置による前記データキャリアのアプリケーションの変更を可能にするように設計される変更手段と、
    を有するデータキャリア。
11. 前記チェック手段は、前記データキャリアにアプリケーションをインストールし、及び／又は前記データキャリアのアプリケーションを更新し、及び／又は削除する権利のみを与える制限された変更権を確認するように設計される、請求項１０に記載のデータキャリア。
12. 前記チェック手段は、前記データキャリアの特定のアプリケーションを変更する権利のみを与える制限された変更権を確認するように設計される、請求項１０に記載のデータキャリア。
13. 前記チェック手段は、前記データキャリアの記憶空間の予め規定された最大量を必要とするアプリケーションをインストールする権利のみを与える制限された変更権を確認するように設計される、請求項１０に記載のデータキャリア。
14. 前記チェック手段は、前記データキャリアの変更されるべきアプリケーションの、前記データキャリアの前記記憶手段の記憶領域とインタフェースとへのアクセス権を決める変更権を確認するように設計される、請求項１０に記載のデータキャリア。
15. 前記コンピュータ手段が、ＪＡＶＡ（登録商標）アプレットによって形成されるアプリケーションを実行するように設計される、請求項１０に記載のデータキャリア。
16. データキャリアのアプリケーションを変更するための変更装置であって、
    データキャリア識別情報項目によって識別されるデータキャリアと情報項目を非接触通信及び／又は接触通信するための少なくとも１つのインタフェースと、
    前記データキャリアを識別する少なくとも１つのデータキャリア識別情報項目及び前記データキャリアのために生成される第２のキー情報項目を記憶するための記憶手段と、
    前記インタフェースを介して、前記データキャリアのアプリケーションを変更するためのコンピュータ手段であって、記憶される前記データキャリア識別情報項目によって識別される前記データキャリアとの通信中、前記変更装置の変更権が、前記第２のキー情報項目の通信によって、前記データキャリアに出力され、前記データキャリアによる前記変更権の確認に続いて、前記変更装置が、前記データキャリアの前記アプリケーションを変更する許可を与えられ、当該変更を行うように設計される、コンピュータ手段と、
    を有する変更装置。
17. 前記変更装置が、前記記憶手段を有するオペレータコンピュータと、データネットワークを通じて前記オペレータコンピュータに接続される読み取り装置と、によって形成され、前記読み取り装置が、前記変更装置の、前記少なくとも１つのインタフェースと、前記コンピュータ手段の少なくとも一部と、を有する、請求項１６に記載の変更装置。

Images