JP4610651B2 - 装置管理におけるブートストラップメッセージ保安送信方法及び装置 - Google Patents

Description

本発明は装置管理（Ｄｅｖｉｃｅ Ｍａｎａｇｅｍｅｎｔ：ＤＭ）に関し、特に、ＤＭシステムでブートストラップメッセージを保安送信する方法及び装置に関する。

一般的に、ＤＭシステムは、特定装置に保存された変数又はオブジェクトの値を第３者が効果的な方法で遠隔制御することによって、その装置の設定を変更することができる。

従来のＤＭシステムは、ＤＭサーバが装置の内部に存在する特定管理オブジェクト（Ｍａｎａｇｅｍｅｎｔ Ｏｂｊｅｃｔ：ＭＯ）に関する命令を送信し、前記命令を受信したＤＭクライアントが該当命令を実行して実現される。ここで、前記ＭＯは、主に前記装置のデータベースに存在し、前記装置の内部に存在するＤＭツリー上のノードに論理的に接続されている。すなわち、前記ＤＭサーバは、アクセスしようとするＭＯに論理的に接続されたノードにＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｎｄｉｃａｔｏｒ）でアクセスすることにより、前記ＭＯに関する管理命令を送信することができる。

前記ＤＭサーバは、前記命令を受信したＤＭクライアントが該当命令を行う過程により、特定ＭＯの値を読み出し、変更、削除、及び生成するＤＭ動作を行う。

一方、ＤＭ動作は、大きく２つの手順、すなわちブートストラップ手順とプロビジョニング手順とに区分することができる。

まず、ブートストラップ手順を説明する。

ブートストラップとは、所定の装置をＤＭサーバと管理セッションが開始できる状態にする動作をいう。また、（所定の装置内にインストールされている）ＤＭクライアントが既にブートストラップされている場合、前記装置が新しいＤＭサーバと管理セッションを開始するように、ブートストラップを再び実行することもできる。ブートストラップが実行される間、前記装置及びユーザアプリケーションの設定が構成される。前記ＤＭサーバと前記装置間で実行されるブートストラップ手順は、異なる２つのプロファイル、すなわちＤＭプロファイルとＣＰプロファイルを使用する。すなわち、ＤＭプロファイルの場合、前記ＤＭサーバが前記装置に所定のＭＯを直接送信する。ＣＰプロファイルの場合、前記ＤＭサーバが前記装置に所定のＭＯを送信し、その後にそのＭＯにマッピングできる。一方、前記ブートストラップ手順は、前記ＤＭサーバが前記装置にブートストラップメッセージを送信することで実行される。

次に、ＤＭプロビジョニング手順を説明する。

ＤＭプロビジョニング手順とは、前記装置がブートストラップされた後、前記ＤＭサーバが後続情報を前記装置に提供することをいう。

以上のように、所定の装置が所定のＤＭサーバからＤＭサービスを受信するためには、前記所定の装置と前記所定のＤＭサーバ間でブートストラップ手順が先行しなければならない。

しかし、従来のＤＭシステムにおいて、ブートストラップメッセージの送信は保安送信ではない。すなわち、ＤＭプロビジョニングのための先行手順として、特定装置がブートストラップされなければならないが、特定ＤＭサーバが特定ターゲット装置にブートストラップメッセージを保安送信できる方法が提案されていない。

つまり、ブートストラップ手順が実行される特定装置と特定ＤＭサーバ間でのみブートストラップ情報を利用できるように、ブートストラップ情報の他人への露出を心配することなくブートストラップメッセージを保安送信できる技術が要求されている。

そこで、本発明の目的は、ＤＭシステムでＤＭサーバが装置にブートストラップメッセージを保安送信する方法及び装置を提供することにある。

上記の目的を達成するために、本発明は、装置が第１情報を取得する段階と、前記装置がサーバからブートストラップメッセージを受信する段階と、前記装置が前記受信したブートストラップメッセージから第２情報を取得する段階と、前記装置が前記ブートストラップメッセージを検証する段階とを含む、装置管理におけるブートストラップメッセージ保安送信方法を提供する。

前記方法は、前記ブートストラップメッセージを検証する段階で、前記第１情報と前記第２情報が一致する場合、前記装置がブートストラップする段階をさらに含むことが好ましい。

上記の目的を達成するために、本発明による装置は、スマートカードから第１情報を取得し、ブートストラップメッセージを受信し、前記第１情報を利用して前記ブートストラップメッセージを検証することを特徴とする。

本発明の他の実施形態による装置管理におけるブートストラップメッセージ保安送信方法は、スマートカードが第１情報を取得する段階と、前記スマートカードが装置から送信されたブートストラップメッセージから第２情報を取得する段階と、前記スマートカードが前記第１情報と前記第２情報を比較することにより前記ブートストラップメッセージを検証する段階とを含む。

上記の目的を達成するために、本発明による装置管理におけるブートストラップメッセージ保安送信方法は、装置が装置管理サーバから送信されたブートストラップメッセージをスマートカードの認証情報に基づいて検証することを特徴とする。

上記の目的を達成するために、本発明による装置は、ブートストラップメッセージを保安送信する装置管理における装置であって、装置管理サーバから送信されたブートストラップメッセージをスマートカードの認証情報に基づいて検証することを特徴とする。

本発明は、特定ＤＭサーバがブートストラップメッセージ（又は、パケット）と共に送信した暗号化された署名（すなわち、第２署名）を抽出し、その抽出した署名とユーザ装置が有する署名（すなわち、スマートカードから取得した第１署名）とが一致するか否かを判断することにより、前記ブートストラップメッセージが前記特定ＤＭサーバ及び特定装置のためのものであるか否かを検証できるという効果がある。

さらに、前記の検証に基づいて前記ブートストラップメッセージが前記特定ＤＭサーバ及び特定装置に関して真であるか否かを知ることができるため、特定装置のためのブートストラップメッセージを保安送信できるという効果があり、このような本発明によりブートストラップメッセージ送信のセキュリティを維持できるという効果がある。

以下、本発明の好ましい実施形態の構成及び動作を添付の図面を参照して説明する。

本発明の基本概念は、所定のＤＭサーバが所定の装置にブートストラップメッセージを送信するとき、前記ＤＭサーバとユーザの集積回路（ＩＣ）カード（例えば、スマートカード（ＳＣ））が共有する暗号化された特定署名（又は認証書）を使用して、前記ブートストラップメッセージを保安送信するというものである。本発明の他の基本概念は、所定の装置が所定のＤＭサーバから受信したブートストラップメッセージ（例えば、暗号化された署名及びブートストラップ情報を含むパケットタイプのメッセージ）をスマートカードの認証情報（例えば、暗号化された署名又は認証書）に基づいて検証することにより、所定の装置がブートストラップされるようにするというものである。

ここで、前記署名は、前記装置が前記ＤＭサーバの認証のために使用し、かつ前記ＤＭサーバが前記装置の認証のために使用する。すなわち、前記装置は、前記署名及び認証書に基づいて前記ＤＭサーバの情報を信頼できるか否かを確認するが、前記ＤＭサーバは、前記署名に基づいて前記装置が前記ブートストラップメッセージを送信しようとするターゲット装置であるか否かを確認する。

図１は本発明の第１実施形態による装置管理におけるブートストラップメッセージ保安送信方法を示す信号フロー図である。

図１に示すように、本発明は、ＤＭシステムを構成する物理的エンティティとして、スマートカード２０、装置３０、ＤＭサーバ４０、及びネットワークオペレータ５０を少なくとも含む。また、スマートカード２０は、装置３０と一体に構成することもできる。さらに、ＤＭサーバ４０とネットワークオペレータ５０とは、その機能によって区分されるもので、１つの統合したエンティティとして存在することもできる。

以下、このように構成された本発明のエンティティ間に実行される、本発明によるブートストラップメッセージ保安送信方法を説明する。

ユーザ１０は装置３０にスマートカード２０を挿入する（Ｓ１）。ここで、ユーザ１０は、スマートカード２０を新しく購入した装置に挿入することにより、所望のネットワーク、又は異なるアプリケーションもしくはサービスに接続できる。このためには、ＤＭプロビジョニングが実行されなければならない（図示せず）。すなわち、ユーザ１０が顧客サービスセンタに電話をかけてＤＭプロビジョニングを要求するか、又は装置３０が自動的にＤＭプロビジョニングを要求する。

ネットワークオペレータ５０は、ネットワークオペレータ５０のネットワークに新しい装置（現在ＤＭプロビジョニングが実行されていない装置）、すなわち装置３０が存在するか否かを追跡する（Ｓ２）。ここで、ネットワークオペレータ５０は、ＤＭサーバ４０が加入者（例えば、装置３０）にブートストラップ情報を提供するように、トラフィックを増加させてＤＭサーバ４０に所定の信号を送信する（図示せず）。これにより、ＤＭサーバ４０は装置３０にブートストラップメッセージを送信する（Ｓ３）。ここで、前記ブートストラップメッセージはパケットフォーマットを有し、このパケットは全てのブートストラップ情報及び署名（すなわち、いわゆるパケット署名）を含む。一方、前記署名は共有化暗号体系（ｓｈａｒｅｄ ｃｒｙｐｔｏｇｒａｐｈｉｃ ｍｅｃｈａｎｉｓｍ）により暗号化されたものである。

装置３０は、段階Ｓ３で前記パケットを受信した後、スマートカード２０に存在する署名（すなわち、いわゆるＳＣ署名）と前記パケットに含まれている署名（すなわち、前記パケット署名）とを比較する（Ｓ４）。ここで、前記ＳＣ署名は、前記パケット署名と同様に、共有化暗号体系により暗号化されたものである。

段階Ｓ４で前記ＳＣ署名と前記パケット署名が一致すると、ＤＭサーバ４０側においては、装置３０がブートストラップされるターゲット装置であることが検証されたこととなり、装置３０側においては、ＤＭサーバ４０が送信するブートストラップメッセージが装置３０のためのメッセージとして信頼できることが検証されたこととなる。

従って、装置３０はユーザ１０にブートストラップの実行に対する承認を要求する（Ｓ５）。その後、ユーザ１０が前記要求を承認すると（Ｓ６）、前記ブートストラップパケット（メッセージ）に含まれているブートストラップ情報を利用して装置３０がブートストラップされる（Ｓ７）。

一方、段階Ｓ４で前記ＳＣ署名と前記パケット署名が一致しないと、前記ブートストラップパケットが誤って送信されたものと判断され、装置３０は前記ブートストラップパケットを廃棄する。

図２は本発明の第２実施形態による装置管理におけるブートストラップメッセージ保安送信方法を示す信号フロー図である。

図２に示すように、本発明は、ＤＭシステムを構成する物理的エンティティとして、スマートカード２０、装置３０、ＤＭサーバ４０、及びネットワークオペレータ５０を少なくとも含む。ただし、図２の実施形態を図１の実施形態と比較すると、図２の実施形態は、スマートカード２０が独立したエンティティとして装置３０から分離されて構成されるという点で、図１の実施形態と異なる。

以下、図２を参照して本発明の第２実施形態を説明する。

ユーザ１０が装置３０にスマートカード２０を挿入すると、装置３０はスマートカード２０に含まれているＳＣ署名を取得し（又は、取り出し）、所定の保存部（例えば、装置３０のメモリ）に保存する（Ｓ１１）。

ネットワークオペレータ５０は、ネットワークオペレータ５０のネットワークに現在ＤＭプロビジョニングが実行されていない装置が存在するか否かを追跡した後、装置３０にブートストラップ情報を提供するようにＤＭサーバ４０に所定の信号を送信する（Ｓ１２）。ＤＭサーバ４０はパケットタイプのブートストラップメッセージ（すなわち、いわゆるブートストラップパケット）を装置３０に送信する（Ｓ１３）。ここで、前記ブートストラップパケットは、全てのブートストラップ情報及び署名（すなわち、パケット署名）を含む。

装置３０は、段階Ｓ１３で前記パケットを受信した後、前記所定の保存部に保存されているＳＣ署名（すなわち、スマートカード２０から取得した署名）と前記パケット署名（すなわち、前記パケットに含まれている署名）とを比較して、これらの署名が一致するか否かを確認することにより、前記ブートストラップメッセージを検証する（Ｓ１４）。

段階Ｓ１４で前記ＳＣ署名と前記パケット署名が一致すると、装置３０が前記ブートストラップメッセージを受信するターゲット装置であることが検証されたこととなり、ＤＭサーバ４０が送信するブートストラップメッセージが信頼できることが検証されたことともなる。従って、装置３０はユーザ１０にブートストラップの実行に対する承認を要求する（Ｓ１５）。その後、ユーザ１０が前記要求を承認すると（Ｓ１６）、装置３０がブートストラップされる（Ｓ１７）。一方、前記ＳＣ署名及び前記パケット署名は共有化暗号体系により暗号化されたものである。

一方、段階Ｓ１４で前記ＳＣ署名と前記パケット署名が一致しないと、前記ブートストラップメッセージが誤って送信されたものと判断され、装置３０は前記ブートストラップメッセージを廃棄する。

図３は本発明の第３実施形態による装置管理におけるブートストラップメッセージ保安送信方法を示す信号フロー図である。ただし、図３に示す本発明の第３実施形態は、図１に示す実施形態と比較すると、検証段階（すなわち、Ｓ４’）を除いては全て同様の動作である。従って、本発明の説明を簡潔にするために、図１に示す本発明の第１実施形態と同様の動作の説明は省略し、以下では本発明の第３実施形態の検証段階（すなわち、Ｓ４’）のみを説明する。

図３に示すように、スマートカード２０を装置３０と一体化することもでき、新しく購入したスマートカード２０を別個に装置３０に挿入することもできる。ただし、図３の実施形態において、スマートカード２０は、自らブートストラップメッセージ（例えば、パケットタイプのメッセージ）から署名を抽出した後、スマートカード２０自身が有する署名（すなわち、ＳＣ署名）と比較することができる。

以下、スマートカード２０で実行される署名の比較によるブートストラップメッセージ（例えば、パケットタイプのメッセージ）の検証（Ｓ４’）について説明する。すなわち、装置３０が段階Ｓ３で受信したブートストラップパケットをスマートカード２０に送信すると、スマートカード２０は、前記ブートストラップパケットに含まれている署名を抽出し、その抽出した署名とスマートカード２０が有するＳＣ署名とを比較することにより、前記ブートストラップパケットが装置３０のための信頼できるメッセージ（すなわち、パケット）であるか否かを検証する。前記ブートストラップパケットに含まれている署名と前記ＳＣ署名が一致すると（すなわち、これらの署名が対応していると）、スマートカード２０は、前記ブートストラップパケットを装置３０に再び送信する。その後、前記ブートストラップのための後続手順が実行される（Ｓ４’）。ただし、前記ブートストラップパケットに含まれている署名と前記ＳＣ署名が一致しないと（すなわち、これらの署名が対応していないと）、前記ブートストラップパケットは、装置３０のための信頼できるメッセージ（すなわち、パケット）ではないため廃棄され、これにより、前記ブートストラップパケットに基づくブートストラップは実行されない（図示せず）。

以下、図４を参照して、装置３０の側面から前述した本発明の実施形態を説明し、本発明による装置３０の構成及び動作を説明する。

図４は本発明による装置の構成を概略的に示すブロック図である。

前述した本発明の実施形態による装置３０は、スマートカード２０と結合されるコネクタ３１と、スマートカード２０から第１署名（すなわち、ＳＣ署名）を取得し、ブートストラップメッセージから第２署名（すなわち、パケット署名）を抽出し、前記第１署名と前記第２署名が一致する場合、ブートストラップを実行するか否かをユーザに通知するために、これらの署名が一致することがディスプレイ３４に表示されるように制御する制御部３２と、前記ブートストラップメッセージを受信する送受信部３３と、ブートストラップを実行するか否かをユーザに通知するために、テキスト（又は、アイコン、アニメーション、サウンドなど）を表示するディスプレイ３４とを少なくとも含む。また、装置３０は、スマートカード２０から取得した第１署名を保存する保存部３５をさらに含むことができる。図４には示していないが、装置３０は、通信サービスを利用するための基本的なハードウェア構成をさらに含む。すなわち、装置３０は、入力部としてキーパッド、出力部としてスピーカなどを含むが、このようなハードウェアベースの構成及び動作は、本発明の技術分野における通常の知識を有する者にとっては自明である。従って、本発明の明確かつ簡潔な記載のために、図４に示していない前記装置の基本的なハードウェアの構成及び動作に関する説明を省略する。

ただし、装置３０は、ＤＭサービスを受けることができる包括的な意味の装置を示すものである。従って、装置３０は、所定の移動通信ネットワークを介してＤＭサービスを使用することのできる全ての移動通信端末機を含む。例えば、装置３０は、音声及び／又はデータ通信用移動通信端末機、データ通信専用端末機を含む。さらに、装置３０は、ＤＭサービスを使用することのできるラップトップコンピュータ、ＰＤＡ、ＰＣＭＣＩＡカード、自動販売機などの非データ型装置（ｕｎａｔｔｅｎｄｅｄ ｄａｔａ−ｏｎｌｙ ｄｅｖｉｃｅ）、スマートカードなどをさらに含むことができる。

以下、このように構成された装置３０の機能及び動作を説明する。

装置３０は送受信部３３を介してＤＭサーバ４０からブートストラップメッセージを受信する。制御部３２が前記受信したブートストラップメッセージが装置３０のためのブートストラップメッセージであるか否かを検証した後、制御部３２の所定の制御によってブートストラップが実行される。前記ブートストラップメッセージの検証は、暗号化された署名が一致するか否かを確認（又は、比較もしくは判断）することにより行われる。すなわち、装置３０の制御部３２は、スマートカード２０から暗号化された前記第１署名（すなわち、ＳＣ署名）を取得（すなわち、暗号化を解読して取得）する。また、制御部３２は、前記受信したブートストラップメッセージ（例えば、パケットタイプのメッセージ）から暗号化された前記第２署名（すなわち、パケット署名）を抽出（すなわち、暗号化を解読して取得）した後、前記第１署名と前記第２署名が一致するか否かを確認する。ここで、前記第１署名と前記第２署名が一致するか否かは一種の演算過程が行われることによって判断されるが、本発明の記載を簡潔にするためにその説明は省略する。また、前記第１署名及び第２署名の暗号化解読体系は従来の公知技術が用いられるが、本発明の記載を簡潔にするためにその説明は省略する。

装置３０の制御部３２により前記第１署名と前記第２署名が一致すると判断されると、前記受信したブートストラップメッセージが装置３０とＤＭサーバ４０間の信頼できるメッセージに検証されたこととなる。

前述したように、前記第１署名と前記第２署名が一致する場合、制御部３２の所定の制御によって、装置３０にブートストラップを実行するか否かが、例えば、テキスト、アイコン、又はアニメーションなどでディスプレイ３４に表示される。例えば前記アイコンを確認したユーザ１０がブートストラップを承認すると、制御部３２の所定の制御によって装置３０がブートストラップされる。ここで、ブートストラップを実行するためのブートストラップ情報は前記ブートストラップメッセージに含まれている。

スマートカード２０が所定の電子チップタイプである場合、装置３０のコネクタ３１は、スマートカード２０と一体に結合できる形態（いわゆる一体型コネクタ）にすることができる。また、スマートカード２０がプラスチックカード（例えば、クレジットカードの形態）である場合、装置３０のコネクタ３１は、スマートカード２０の情報を読み出すための所定のリーダを含む形態（いわゆる分離型コネクタ）にすることができる。装置３０のコネクタ３１が分離型コネクタである場合、装置３０は、スマートカード２０から前記第１署名を取得（すなわち、抽出）し、その取得した第１署名を保存する所定の保存部３５をさらに含まなければならない。

以上、本発明は、図面に示す実施形態を参照して説明したが、これは例示にすぎず、本発明の技術分野における通常の知識を有する者であれば、これから多様な変形及び均等な他の実施形態が可能であることは理解するであろう。例えば、本発明で使用された用語、すなわちスマートカードは、一種の集積回路（ＩＣ）カードを便宜上表現するためのもので、一般的に称するスマートカードのみに限定されるものではない。さらに、本発明におけるスマートカードとは、メモリ及び／又はマイクロプロセッサを備えることで所定の動作を行えるカードの形態及びそれと類似した形態を全て含む包括的な装置を意味する。従って、本発明の権利範囲は、添付した特許請求の範囲の技術的思想により決定されるべきである。

本発明の第１実施形態による装置管理におけるブートストラップメッセージ保安送信方法を示す信号フロー図である。 本発明の第２実施形態による装置管理におけるブートストラップメッセージ保安送信方法を示す信号フロー図である。 本発明の第３実施形態による装置管理におけるブートストラップメッセージ保安送信方法を示す信号フロー図である。 本発明による装置の構成を概略的に示すブロック図である。

Claims (6)

1. 装置管理においてブートストラップメッセージを安全に送信する方法であって、
   前記方法は、
   スマートカードが、装置管理動作を実行する際に用いられる装置管理（ＤＭ）プロトコルをサポートしている装置を介して装置管理（ＤＭ)サーバからブートストラップメッセージを受信することであって、前記ブートストラップメッセージは、前記装置と前記ＤＭサーバとの間でブートストラップ手順を開始するために用いられる、ことと、
   前記スマートカードに格納された第１の情報を取得することであって、前記スマートカードもまた、装置管理動作を実行する際に用いられる装置管理（ＤＭ)プロトコルをサポートしている、ことと、
   前記スマートカードが、前記ブートストラップメッセージから第２の情報を取得することであって、前記ブートストラップメッセージは、前記第２の情報と、前記装置を前記装置管理（ＤＭ）サーバとの管理セッションを開始することができる状態にするために必要とされるブートストラップ情報とを含む、ことと、
   前記スマートカードが、前記第１の情報と前記第２の情報を比較することにより、前記ブートストラップメッセージを検証することであって、前記第１の情報および前記第２の情報は、暗号化された署名である、ことと、
   前記スマートカードが、前記ブートストラップメッセージを前記装置に送達することであって、前記装置が、前記ブートストラップ手順を実行し、前記ブートストラップ手順において、前記第１の情報が前記第２の情報に一致する場合には、前記装置管理（ＤＭ)プロトコルを用いて、前記装置を前記装置管理（ＤＭ）サーバとの管理セッションを介して装置管理動作を開始することができる状態にするための動作が実行され、前記装置管理動作は、前記サーバが前記装置内の特定の管理オブジェクト（ＭＯ）の値の読み出し、変更、削除、生成のうちの少なくとも１つを実行することを可能にする、ことと
   を含む、方法。
2. 前記ブートストラップメッセージを検証する際に、前記第１の情報と前記第２の情報とが一致しない場合には、前記スマートカードが前記ブートストラップメッセージを廃棄することをさらに含む、請求項１に記載の方法。
3. 前記ブートストラップメッセージは、パケットである、請求項１に記載の方法。
4. 第１の暗号化された署名を格納するように構成されたメモリと、
   装置管理動作を実行する際に用いられる装置管理（ＤＭ）プロトコルをサポートしている装置を介して装置管理（ＤＭ）サーバからブートストラップメッセージを受信するように構成されたコネクタであって、前記ブートストラップメッセージは、前記装置と前記ＤＭサーバとの間で管理セッションを開始するために用いられる、コネクタと、
   前記メモリおよび前記コネクタと協働するマイクロプロセッサであって、前記ブートストラップメッセージから第２の暗号化された署名を抽出し、前記第１の暗号化された署名と前記第２の暗号化された署名とを比較し、前記ブートストラップメッセージを検証するように構成されているマイクロプロセッサと
   を含むスマートカードであって、
   前記ブートストラップメッセージは、前記第２の暗号化された署名と、前記装置を前記装置管理（ＤＭ）サーバとの管理セッションを開始することができる状態にするために必要とされるブートストラップ情報とを含み、
   前記比較の結果として前記第１の情報が前記第２の情報に一致する場合には、前記コネクタは、前記ブートストラップメッセージを前記装置に送達し、前記装置は、ブートストラップ手順を実行し、前記ブートストラップ手順において、前記装置管理（ＤＭ)プロトコルを用いて、前記装置を前記装置管理（ＤＭ）サーバとの前記管理セッションを開始することができる状態にするための動作が実行され、前記装置管理動作は、前記サーバが前記装置内の特定の管理オブジェクト（ＭＯ）の値の読み出し、変更、削除、生成のうちの少なくとも１つを実行することを可能にする、スマートカード。
5. 前記マイクロプロセッサは、前記比較の結果として前記第１の暗号化された署名と前記第２の暗号化された署名とが一致しないことが発見された場合には、前記第２の暗号化された認証書を廃棄するように前記装置と協働する、請求項４に記載のスマートカード。
6. 前記第１の暗号化された署名は、スマートカード署名であり、前記第２の暗号化された署名は、パケット署名である、請求項４に記載のスマートカード。

Images