JP5148098B2

JP5148098B2 - 携帯可能電子装置、ｉｃカード、データ処理装置及びデータ処理システム

Info

Publication number: JP5148098B2
Application number: JP2006297070A
Authority: JP
Inventors: 誠鴨井
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2005-11-02
Filing date: 2006-10-31
Publication date: 2013-02-20
Anticipated expiration: 2026-10-31
Also published as: JP2007149078A

Description

この発明は、カード型の本体にＩＣチップなどから構成されるモジュールを埋め込んだＩＣカード、冊子型、ブロック形、タグ型の本体にＩＣチップなどから構成されるモジュールを埋め込んだ小型の電子装置、携帯情報端末装置、携帯電話機などの携帯可能電子装置、上記携帯可能電子装置からのデータに基づいて所定の処理を行うデータ処理装置、および、上記携帯可能電子装置と上記データ処理装置とを有するデータ処理システムなどに関する。

従来、ＩＣカードなどの携帯可能電子装置では、内部のメモリに記憶しているデータに対してアクセス権が設定されているものがある。しかし、アクセス権が設定されているデータであっても、その読出し回数については制限が設けられていない。このため、データへのアクセス権限を有する外部装置では、ＩＣカードから所望のデータを無限回の読出しが可能となっている。

また、ＩＣカードなどの携帯可能電子装置に記憶している認証情報を用いて認証処理をシステムでは、ＩＣカード内部で認証処理を実施する形態（ＭＯＣ：ＭａｔｃｈＯｎＣａｒｄ）とＩＣカードに記憶されている生体情報を用いて外部装置が認証処理を実施する形態（ＳＴＯＣ：ＳｔｏｒａｇｅＯｎＣａｒｄ）とがある。

上記ＭＯＣによる認証処理では、ＩＣカードに記憶されている認証情報を外部へ出力する必要がない。また、ＭＯＣによる認証処理では、ＩＣカードが、認証処理の回数等を制限することが容易である。このため、ＭＯＣによる認証処理では、ＩＣカード内のメモリに記憶されている認証情報の安全性が高い。しかし、ＭＯＣによる認証処理は、ＩＣカード内の処理能力に依存する。このため、複雑な認証処理あるいは高度な処理をＩＣカードに実行させるのは、運用上、困難であることがある。たとえば、生体情報による認証処理では、処理内容が複雑で、かつ、認証情報としてのデータ量も多い。このような場合、現状のＩＣカード内での認証処理（ＭＯＣによる認証処理）は、運用上、現実的に、困難である。このような認証処理は、ＳＴＯＣにより実施せざる得ない。

上記ＳＴＯＣによる認証処理では、ＩＣカードに記憶されている認証情報を認証処理を実行する外部装置へ出力する必要がある。また、上記ＳＴＯＣによる認証処理では、ＩＣカードが外部装置による認証処理の回数等を制限するのが難しい。すなわち、従来のＳＴＯＣによる認証処理では、外部装置がＩＣカードから認証情報を無制限に読み出すことができ、外部装置が無制限に認証処理を行うことが可能となっている。従って、従来のＳＴＯＣによる認証処理では、認証処理のセキュリティ性およびＩＣカードに記憶されている認証情報自体のセキュリティ性が問題となる可能性がある。
特開２０００−２１５２９４号公報特開２００３−２５６７８７号公報

この発明の一形態では、セキュリティ性が高い携帯可能電子装置、ＩＣカード、データ処理装置、および、データ処理システムを提供することを目的とする。

この発明の一形態としての携帯可能電子装置は、外部装置とのデータ通信を行うためのインターフェースと、読出し回数が制限され、前記外部装置が実行する人物の認証処理に用いられる認証情報を記憶しているメモリと、前記メモリからの前記認証情報に対する読出し回数をカウントするためのカウンタと、前記インターフェースにより前記外部装置からチャレンジ情報を含む前記データの読出しを要求するコマンドを受信した場合、前記カウンタの値が所定の上限値未満か否かを判断する判断手段と、前記判断手段により前記カウンタの値が所定の上限値未満であると判断した場合、前記カウンタの値をカウントアップし、前記チャレンジ情報を用いて生成した正当性を確認するための情報と前記メモリから読み出した前記認証情報とを前記インターフェースにより前記外部装置へ送信する第１の処理手段と、前記判断手段によりカウンタの値が所定の上限値未満でないと判断した場合、前記メモリからの前記認証情報の読出しを禁止する第２の処理手段とを有する。

この発明の一形態としてのＩＣカードは、外部装置とのデータ通信を行うためのインターフェースと、読出し回数が制限され、前記外部装置が実行する人物の認証処理に用いられる認証情報を記憶しているメモリと、前記メモリからの前記認証情報に対する読出し回数をカウントするためのカウンタと、前記インターフェースにより前記外部装置からチャレンジ情報を含む前記認証情報の読出しを要求するコマンドを受信した場合、前記カウンタの値が所定の上限値未満か否かを判断する判断手段と、前記判断手段により前記カウンタの値が所定の上限値未満であると判断した場合、前記カウンタの値をカウントアップし、前記チャレンジ情報を用いて生成した正当性を確認するための情報と前記メモリから読み出した前記認証情報とを前記インターフェースにより前記外部装置へ送信する第１の処理手段と、前記判断手段によりカウンタの値が所定の上限値未満でないと判断した場合、前記メモリからの前記認証情報の読出しを禁止する第２の処理手段と有するモジュールと、前記モジュールが内蔵される本体とを有する。

この発明の一形態としてのデータ処理装置は、携帯可能電子装置のメモリに記憶されているデータに基づいて所定の処理を行うものであって、前記携帯可能電子装置とのデータ通信を行うためのインターフェースと、認証対象者の認証情報を取得する認証情報取得部と、前記携帯可能電子装置のメモリに記憶されている読出し回数が制限されている人物の認証処理に用いる認証情報の読出しを要求するコマンドにチャレンジ情報を含めて送信する送信手段と、前記コマンドに対して前記携帯可能電子装置から前記認証情報と正当性を確認するための情報とを受信した場合、前記正当性を確認するための情報を検証する検証手段と、前記検証手段により前記正当性を確認するための情報が正当であると判断した場合、前記携帯可能電子装置から受信した前記認証情報と前記認証情報取得部により取得した認証情報とに基づいて人物の認証処理を実行し、その処理結果を前記携帯可能電子装置へ送信する処理手段とを有する。

この発明の一形態としてのデータ処理システムは、携帯可能電子装置とデータ処理装置とを有するシステムであって、前記携帯可能電子装置は、前記データ処理装置とのデータ通信を行うための第１のインターフェースと、読出し回数が制限され、前記データ処理装置が実行する人物の認証処理に用いられる認証情報を記憶しているメモリと、前記メモリからの前記データに対する読出し回数をカウントするためのカウンタと、前記データ処理装置からチャレンジ情報を含む前記データの読出しを要求するコマンドを受信した場合、前記カウンタの値が所定の上限値未満か否かを判断する判断手段と、前記判断手段により前記カウンタの値が所定の上限値未満であると判断した場合、前記カウンタの値をカウントアップし、前記チャレンジ情報を用いて生成した正当性を確認するための情報と前記メモリから読み出した認証情報とを前記第１のインターフェースにより前記データ処理装置へ送信する第１の処理手段と、前記判断手段によりカウンタの値が所定の上限値未満でないと判断した場合、前記メモリからの前記認証情報の読出しを禁止する第２の処理手段とを有し、前記データ処理装置は、前記携帯可能電子装置とのデータ通信を行うための第２のインターフェースと、認証対象者の認証情報を取得する認証情報取得部と、前記認証情報の読出しを要求するコマンドにチャレンジ情報を含めて前記携帯可能電子装置へ送信する送信手段と、前記コマンドに対して前記携帯可能電子装置から前記認証情報と正当性を確認するための情報とを受信した場合、前記正当性を確認するための情報を検証する検証手段と、前記検証手段により前記正当性を確認するための情報が正当であると判断した場合、前記携帯可能電子装置から受信した前記認証情報と前記認証情報取得部により取得した認証情報とに基づいて認証処理を実行し、その処理結果を前記携帯可能電子装置へ送信する第３の処理手段とを有する。

この発明の一形態では、セキュリティ性が高い携帯可能電子装置、ＩＣカード、データ処理装置、および、データ処理システムを提供することができる。

以下、本発明の実施の形態について図面を参照して説明する。
図１は、携帯可能電子装置としてのＩＣカード１とデータ処理装置としての外部装置（認証処理装置）２との構成例を概略的に示すものである。また、図１に示すＩＣカード１と外部装置２とは、データ処理システムとしての認証処理システムを構成している。図１に示す認証処理システムでは、認証対象者が取得する認証情報とＩＣカード１に記憶されている認証情報とによる認証処理を行うものである。

また、本実施の形態では、人物の生体情報（バイオメトリクス）としての人物の顔画像による認証処理を行う認証処理システムを想定して説明するものとする。但し、上記認証処理システムは、人物の顔画像だけでなく、虹彩、静脈、指紋、声、サインなどの生体情報による認証処理を行うシステムにも同様に適用できる。さらには、上記認証処理システムは、生体情報以外の他の認証情報を用いて認証処理を行うシステムにも同様に適用できるものである。つまり、図１に示す認証処理システムは、ＩＣカード１に記憶されているデータを用いて外部装置２が所定の処理を行うシステムに適用可能である。

また、本実施の形態では、外部装置２が、上記ＩＣカード１に記憶している人物の顔画像情報と認識対象者から取得した顔画像情報とによる認証処理を行うことを想定している。このような顔画像情報による認証処理は、大きな処理能力が必要となる。このような顔画像情報による認証処理は、ＩＣカード１内では高速に実行することができない。このため、本実施の形態で説明する認証処理システムでは、外部装置２が、上記ＩＣカード１に記憶している人物の顔画像と認識対象者から取得した顔画像とによる認証処理を行うようにしている。すなわち、本実施の形態で説明する認証処理システムは、上記ＩＣカード１内の処理能力では、高速には処理できないような処理を外部装置に実行させるような運用形態に適しているものである。

次に、上記ＩＣカード１の構成例について説明する。
図１に示すように、上記ＩＣカード１は、主制御部１１、メモリ部１２、外部インターフェース１３などを有している。上記主制御部１１、上記メモリ部１２、および、上記外部インターフェース１３は、ＩＣカード１の本体１ａ内に埋め込まれているモジュール１ｂにより構成されている。上記モジュール１ｂは、１つ又は複数のＩＣチップとアンテナあるいは外部接続用のコンタクト部などにより構成される。

上記主制御部１１は、ＩＣカード１全体の種々の制御やデータ処理を行なうものである。上記主制御部１１は、たとえば、ＣＰＵ１７、ＲＡＭなどにより構成されるワーキングメモリ１８、ＲＯＭなどにより構成されるプログラムメモリ１９などにより構成される。上記主制御部１１では、上記ＣＰＵ１７が上記ワーキングメモリ１８を用いて上記プログラムメモリ１９あるいは上記メモリ部１２に記憶されているプログラムを実行することにより種々の機能を実現している。また、上記プログラムメモリ１９には、上記外部装置２との相互認証に用いられる鍵情報を記憶するようにしても良い。

上記メモリ部１２は、種々のデータを記憶するための不揮発性メモリにより構成される。また、上記メモリ部１２には、ＥＥＰＲＯＭあるいはフラッシュＲＯＭなどの書換え可能な不揮発性メモリにより構成される。上記メモリ部１２には、上記主制御部１１により実行されるプログラムや各種データ、および、当該ＩＣカード１の運用形態に応じた種々のデータが記憶される。たとえば、上記メモリ部１２には、人物の認証処理を行なうための認証情報として、当該ＩＣカード１の所持者の顔画像情報（生体情報）が記憶されている。さらに、上記メモリ部１２には、上記外部装置２との相互認証に用いられる鍵情報を記憶するようにしても良い。また、上記メモリ部１２には、上記主制御部１１による制御に応じてカウント値がカウントアップあるいはクリアされるカウンタ１４が設けられている。上記カウンタ１４には、メモリ部１２に記憶している認証情報としての顔画像（生体情報）に対するアクセス回数（読出し回数）を示すカウント値が記憶されるようになっている。

上記外部インターフェース１３は、外部装置２とデータ通信を行なうためのインターフェースである。上記外部インターフェース１３は、当該ＩＣカード１のデータ通信形態に応じたものにより構成される。
たとえば、当該ＩＣカード１が非接触式（無線式）のＩＣカードである場合、上記外部インターフェース１３は、電波の送信及び受信を行うアンテナ部、および、データの変調及び復調を行う通信制御部などにより構成される。上記外部インターフェース１３は、外部装置へ送信するデータを変調して電波（変調波）として発信したり、外部装置２からの変調波を受信して復調したりするようになっている。さらに、当該ＩＣカードが非接触のＩＣカードである場合、上記外部インターフェース１３により外部装置２から受信した変調波から内部の各部に供給するための電源および動作クロックを図示しない電源部が生成する。この場合、当該ＩＣカード１内の各部には、上記電源部が生成した電源および動作クロックが供給されるようになっている。

また、当該ＩＣカード１が接触式のＩＣカードである場合、上記外部インターフェース１３は、外部装置２と物理的に接触するためのコンタクト部などにより構成される。また、当該ＩＣカード１がＩＣカードである場合、上記外部インターフェース１３としてのコンタクト部が外部装置２に設けられたＩＣカード用の端子部と接触する。この場合、当該ＩＣカード１内の各部には、上記外部インターフェース１３を介して上記外部装置２からの電源および動作クロックが供給されるようになっている。

次に、上記外部装置２の構成例について説明する。
上記外部装置２は、主制御部２１、メモリ部２２、外部インターフェース２３、ＩＣカード制御部２４、顔画像取得部２５などにより構成されている。
上記主制御部２１は、当該外部装置２全体の制御を司るものである。上記主制御部２１は、各種の制御あるいはデータ処理などを行なう。上記主制御部２１は、たとえば、ＣＰＵ２７、ＲＡＭなどにより構成されるワーキングメモリ２８、ＲＯＭなどにより構成されるプログラムメモリ２９などにより構成される。上記主制御部２１では、上記ＣＰＵ２７が上記ワーキングメモリ２８を用いて上記プログラムメモリ２９あるいは上記メモリ部２２に記憶されているの動作プログラムを実行することにより種々の機能を実現している。上記プログラムメモリ２９には、上記ＩＣカード１との相互認証に用いられる鍵情報を記憶するようにしても良い。

上記メモリ部２２は、各種のデータを記憶するための書換え可能な不揮発性メモリなどにより構成される。たとえば、上記メモリ部２２は、ハードディスクドライブ、ＥＥＰＲＯＭ、あるいはフラッシュＲＯＭなどにより構成される。また、上記メモリ部２２には、制御プログラムや制御データなども記憶されるようになっている。また、上記メモリ部２２には、上記ＩＣカード１との相互認証に用いられる鍵情報を記憶するようにしても良い。

上記外部インターフェース２３は、上記ＩＣカード１とデータ通信を行なうためのインターフェースである。上記外部インターフェース２３は、上記外部インターフェース１３と同様に、当該ＩＣカード１のデータ通信の形態に応じたものにより構成される。

たとえば、上記ＩＣカード１が非接触式（無線式）のＩＣカードである場合、上記外部インターフェース２３は、電波の送信及び受信を行うアンテナ部、および、データの変調及び復調を行う通信制御部などにより構成される。上記外部インターフェース２３は、ＩＣカード１へ送信するデータを変調して電波（変調波）として発信したり、ＩＣカード１からの変調波を受信して復調したりするようになっている。さらに、上記ＩＣカードが非接触のＩＣカードである場合、上記外部インターフェース２３は、上記ＩＣカード１が動作するための電源および動作クロックを変調波として、上記ＩＣカード１へ供給するようになっている。

また、上記ＩＣカード１が接触式のＩＣカードである場合、上記外部インターフェース２３は、ＩＣカード１の外部インターフェース１３としてのコンタクト部と物理的に接触するための端子部などにより構成される。また、上記ＩＣカード１がＩＣカードである場合、上記外部インターフェース２３は、上記外部インターフェース１３としてのコンタクト部と物理的に接触した状態において、上記ＩＣカード１が動作するための電源および動作クロックを供給するようになっている。

上記ＩＣカード制御部２４は、上記外部インターフェース２３を介して上記ＩＣカード１とのデータ通信を制御するものである。
上記顔画像取得部２５は、認識対象者から認証情報としての顔画像（生体情報）を取得するためのものである。上記顔画像取得部２５は、たとえば、カメラなどにより構成される。

次に、上記のように構成される認証処理システムの動作例について説明する。
図２は、ＩＣカードに記憶されている認証情報（生体情報）としての顔画像情報を用いた認証処理における上記外部装置２の動作例を説明するためのフローチャートである。図３は、上記外部装置での認証処理に応じた上記ＩＣカード１の動作例を説明するためのフローチャートである。

まず、上記外部装置２において、上記主制御部２１は、上記顔画像取得部２５により認証対象者の生体情報（認証情報）としての顔画像情報を取得する（ステップＳ１１）。上記顔画像取得部２５により認証対象者の顔画像情報を取得すると、上記主制御部２１は、１回の認識処理を識別するための固有情報としてチャレンジ情報（たとえば、乱数）を生成する（ステップＳ１２）。つまり、上記チャレンジ情報は、一連の認証情報による認証処理（各セッション）ごとに変更される情報である。上記外部装置２および上記ＩＣカード１では、上記チャレンジ情報により各セッションが識別（確認）される。

上記チャレンジ情報を生成すると、上記主制御部２１は、上記ＩＣカード制御部２４及び上記外部インターフェース２３を介して、生成したチャレンジ情報とともに、上記ＩＣカード１に記憶されている認証情報としての顔画像情報の読出しを要求するデータ読出し要求（リードコマンド）を上記ＩＣカード１へ送信する（ステップＳ１３）。上記リードコマンドを送信した外部装置２は、上記ＩＣカード１からの応答を待ちの状態となる。

また、上記チャレンジ情報とともに顔画像情報の読出し要求を受けたＩＣカード１では、後述する処理が正常に実行すれば、上記チャレンジ情報と読み出した顔画像情報と電子署名Ａとを当該外部装置２へ転送するようになっている。ここで、上記外部装置２が、上記ＩＣカード１からチャレンジ情報と読み出された顔画像情報と電子署名Ａとを受信したものとする（ステップＳ１４）。すると、上記外部装置２の上記主制御部２１は、ＩＣカード１から受信した電子署名Ａの検証処理を行う（ステップＳ１５）。

なお、電子署名には、種々の手法がある。本認証処理システムには、種々の手法で実施される電子署名が適用可能である。この実施の形態では、本認証処理システムは、ＩＣカードと外部装置とが相互に受信したデータの正当性を確認するために、電子署名（電子署名Ａ、Ｂ）を用いているものとする。また、後述する電子署名の作成および検証の処理は、ＩＣカードと外部装置とに、予め設定されている電子署名の作成の鍵と電子署名の検証用の鍵とに基づいて行われるものとしている。但し、ＩＣカードおよび外部装置が相互に受信したデータの正当性を確認できる処理は、電子署名に限定されるものではない。たとえば、単に暗号化とその復号化によって、ＩＣカードと外部装置とは、相互に受信したデータの正当性を確認するようにしても良い。

すなわち、上記ステップＳ１５では、上記主制御部２１は、上記ＩＣカード１から受信した電子署名Ａについて、電子署名Ａを検証するための鍵情報(電子署名の検証用の鍵)を用いて検証する。上記電子署名Ａは、後述するＩＣカード１の処理において、認証情報（顔画像情報）および上記チャレンジ情報の圧縮情報（ハッシュ情報）と、電子署名Ａを作成するための鍵情報（電子署名Ａの作成用の鍵）とに基づいて作成されるである。このため、上記外部装置２の主制御部２１では、ＩＣカード１から受信した電子署名Ａを電子署名Ａを検証するための鍵情報(電子署名Ａの検証用の鍵)を用いて復号化し、その復号化したデータが正当なものであるか否かを検証するものとする。なお、上記電子署名Ａの検証用の鍵は、予めメモリ部２２あるいはプログラムメモリ２９にＩＣカード１に対応づけて記憶されているものとする。

上記電子署名Ａの検証処理により上記ＩＣカード１から受信した電子署名Ａが正当でないと判定した場合（ステップＳ１６、ＮＯ）、上記主制御部２１は、上記ステップＳ１２に戻って上記同様な動作を繰り返す。

また、上記ＩＣカード１から受信した電子署名Ａが正当なものであると判定した場合（ステップＳ１６、ＹＥＳ）、上記主制御部２１は、当該電子署名ＡとともにＩＣカード１から受信したチャレンジ情報が正当なものであるか否かを検証する処理を行う（ステップＳ１７）。ここで、上記主制御部２１は、上記ステップＳ１２で作成したチャレンジ情報とＩＣカード１から受信したチャレンジ情報とが一致するか否かにより検証する。なお、上記外部装置２では、ＩＣカード１から受信した電子署名Ａの正当性の検証により上記ＩＣカード１が正当であるか否かは判定できる。さらに、上記チャレンジ情報は外部装置２内に保持しておくことが可能である。このため、チャレンジ情報の正当性を検証する処理（ステップＳ１７およびＳ１８）は、省略するようにしても良い。

上記ＩＣカード１から受信したチャレンジ情報が正当なものでないと判断した場合、つまり、上記ステップＳ１２で生成したチャレンジ情報と上記ＩＣカード１から受信したチャレンジ情報とが不一致である場合（ステップＳ１８、ＮＯ）、主制御部２１は、上記ステップＳ１２に戻って上記同様な動作を繰り返す。

上記ＩＣカード１から受信したチャレンジ情報が正当なものであると判断した場合、つまり、上記ステップＳ１２で生成したチャレンジ情報と上記ＩＣカード１から受信したチャレンジ情報とが一致する場合（ステップＳ１８、ＹＥＳ）、上記主制御部２１は、上記ＩＣカード１から受信した顔画像情報と上記ステップＳ１１で認証対象者から取得した顔画像情報とに基づいて認証処理を行う（ステップＳ１９）。上記ステップＳ１９の認証処理では、上記ＩＣカード１から受信した認証情報と上記ステップＳ１１で認証対象者から取得した認証情報とに、所定の関係が成立するか否かにより認証の成否を判定するようになっている。

また、本実施の形態では、認証情報として顔画像情報を想定している。この場合、上記ステップＳ１９の認証処理では、上記ＩＣカード１から受信した顔画像情報と上記ステップＳ１１で認証対象者から取得した顔画像情報との類似度を算出し、その類似度が所定の閾値以上であるか否かにより同一人物であるか否かを判定する。つまり、上記ステップＳ１９の認証処理において、上記ＩＣカード１から受信した顔画像情報と上記ステップＳ１１で認証対象者から取得した顔画像情報とが同一人物らしいと判定した場合（類似度が所定の閾値以上であると判定した場合）、上記主制御部２１は、当該認証処理が成功したものと判定する。上記ステップＳ１９の認証処理において、上記ＩＣカード１から受信した顔画像情報と上記ステップＳ１１で認証対象者から取得した顔画像情報とが同一人物らしくないと判定した場合（類似度が所定の閾値未満であると判定した場合）、上記主制御部２１は、当該認証処理が失敗したものと判定する。

上記認証処理により認証が失敗した場合、つまり、認証対象者から取得した顔画像と顔画像との類似度が所定の閾値未満であると判定した場合（ステップＳ２０、ＹＥＳ）、上記主制御部２１は、認証処理が失敗したものとし、上記ステップＳ１２に戻って上記同様な動作を繰り返す。なお、上記外部装置２は、上記認証処理により認証が失敗した場合であっても、その認証処理の結果をＩＣカード１へ通知するようにしても良い。この場合、上記主制御部２１は、ステップＳ２１へ進み、認証処理が失敗した旨を認証結果としてＩＣカード１へ通知する処理を行うようにすれば良い。

上記認証処理により認証が成功した場合、つまり、認証対象者から取得した顔画像と顔画像との類似度が所定の閾値以上である場合（ステップＳ２０、ＹＥＳ）、上記主制御部２１は、認証対象者から取得した顔画像と上記ＩＣカード１から受信した顔画像情報とが同一人物の顔画像であると判定する。また、上記認証処理により認証が成功した場合、上記主制御部２１は、上記認証処理の結果および上記ステップＳ１２で作成したチャレンジ情報の圧縮情報（ハッシュ情報）と、所定の電子署名Ｂを作成するための鍵情報（電子署名Ｂの作成用の鍵）とに基づいて、当該認証処理の結果およびチャレンジ情報の正当性を証明する電子署名Ｂを作成する（ステップＳ２１）。なお、上記電子署名Ｂの作成の鍵は、予めプログラムメモリ２９あるいはメモリ部２２に記憶されているものとする。

上記電子署名Ｂを作成すると、上記主制御部２１は、上記ステップＳ２１で作成した電子署名Ｂと上記認証結果とチャレンジ情報とをＩＣカード１へ送信する（ステップＳ２２）。この場合、上記主制御部２１は、当該ＩＣカード１からのレスポンスを受信することにより当該認証処理を終了する（ステップＳ２３）。

次に、上記ＩＣカード１における処理について説明する。
上記ＩＣカード１は、上記のような外部装置２の動作に応じて種々の処理を実行するようになっている。
すなわち、上記ＩＣカード１では、まず、上記外部インターフェース１３により上記外部装置２から送信された認証情報の読出しを要求するリードコマンドとチャレンジ情報とを受信する（ステップＳ３１）。上記外部装置２から送信されたチャレンジ情報およびデータ読出し要求を受信すると、上記主制御部１１は、メモリ部１２内のカウンタ１４の値が所定の上限値未満であるか否かを判断する（ステップＳ３２）。なお、所定の上限値は、上記メモリ部１２あるいは上記プログラムメモリ１９に予め記憶されているものとする。

上記カウンタ１４の値が上限値以上であると判断した場合（ステップＳ３２、ＮＯ）、上記主制御部１１は、上記コマンドにより読出しが要求された認証情報（生体情報）としての顔画像情報の読出しを禁止する禁止処理を行う（ステップＳ３３）。この場合、上記ＩＣカード１の主制御部１１は、上記認証情報の読出しが禁止状態となったことを外部装置２へ応答して処理を終了する。
なお、上記禁止処理は、上記メモリ部１２に記憶されている認証情報をロックする処理であっても良いし、当該ＩＣカード１の動作を禁止（動作を停止）する処理であっても良い。このような禁止処理を行ったＩＣカード１では、たとえば、特定の管理用のコマンドによってのみ、上記認証情報を読み出せるように回復させるようにしても良い。

上記カウンタ１４の値が所定の上限値未満であると判断した場合（ステップＳ３２、ＹＥＳ）、上記主制御部１１は、上記カウンタ１４をカウントアップ（カウンタ１４の値に「１」を加算）する（ステップＳ３４）。上記カウンタ１４をカウントアップさせると、上記主制御部１１は、上記メモリ部１２から認証情報としての顔画像情報を読出す処理を行う（ステップＳ３５）。この読出処理では、上記主制御部１１のＣＰＵ１７が、上記メモリ部１２に記憶されている認証情報としての顔画像情報を上記主制御部１１内の上記ワーキングメモリ１８に格納するものとする。

また、上記ステップＳ３４およびＳ３５の手順では、上記ＩＣカード１は、カウンタ１４の値をカウントアップしてから認証情報としての顔画像情報の読出しを行うようになっている。言い換えると、上記のような処理手順によれば、メモリ部１２からの認証情報の読出しを開始する時点で、カウンタ１４の値がカウントアップされる。この場合、繰り返して読出しコマンドを与えてメモリ部１２からワーキングメモリ１８へ流れる認証情報をタッピングなどにより不正に取得しようとしても、当該認証情報は、所定回数で読出しが禁止される。この結果、上記認証情報のセキュリティ性が向上する。

上記メモリ部１２から認証情報（顔画像情報）を読み出すと、上記主制御部１１は、読出した顔画像および上記受信したチャレンジ情報の圧縮情報（ハッシュ情報）と電子署名Ａを作成するための鍵情報（電子署名Ａの作成用の鍵）とに基づいて、当該顔画像情報およびチャレンジ情報の正当性を証明するための電子署名Ａを作成する（ステップＳ３６）。なお、上記電子署名Ａの作成の鍵は、予めメモリ部１２あるいはプログラムメモリ１９に記憶されているものとする。なお、上記外部装置２へは、チャレンジ情報を送信しなくとも良い。この場合、上記主制御部１１は、たとえば、読み出した認証情報（顔画像情報）と電子署名Ａの作成用の鍵とに基づいて電子署名Ａを作成するようにすれば良い。

上記電子署名Ａを作成すると、上記主制御部１１は、読出した顔画像情報とチャレンジ情報と電子署名Ａとを上記外部インターフェース１３により上記外部装置２へ送信する（ステップＳ３７）。これらのデータを送信したＩＣカード１では、上記外部装置２から送信される上記顔画像情報による認証結果の受信待ち状態となる。一方、読出した顔画像情報とチャレンジ情報と電子署名Ａとを受信した外部装置２では、上述した処理手順により、認証結果とチャレンジ情報と電子署名Ｂとを送信するようになっている。

上記外部装置２からの認証結果の受信待ちの状態において、上記外部インターフェース１３により上記外部装置２から認証結果とチャレンジ情報と電子署名Ｂとを受信すると、上記ＩＣカード１の制御部１１は、受信した電子署名Ｂの正当性を電子署名Ｂを検証するための鍵情報（電子署名Ｂの検証用の鍵）を用いて検証する処理を行う（ステップＳ３９）。上記電子署名Ｂの検証の鍵は、予めメモリ部１２あるいはプログラムメモリ１９に上記外部装置２に対応づけて記憶されているものとする。

上記外部装置２から受信した電子署名Ｂが正当なものでないと判定した場合（ステップＳ４０、ＮＯ）、上記主制御部１１は、エラーステータスを上記外部装置２へ送信し（ステップＳ４１）、当該認証処理を終了する。

また、上記外部装置２から受信した電子署名Ｂが正当なものであると判定した場合（ステップＳ４０、ＹＥＳ）、上記主制御部１１は、さらに、上記外部装置２から受信したチャレンジ情報の正当性を検証する処理を行う（ステップＳ４２）。上記チャレンジ情報の検証は、上記ステップＳ３７で送信したチャレンジ情報（上記ステップＳ３１で受信したチャレンジ情報）と上記ステップＳ３８で外部装置２から受信したチャレンジ情報とが一致するか否かを検証する。上記チャレンジ情報は、１回の認証処理ごとに外部装置で生成されるものである。このため、上記ステップＳ４２では、チャレンジ情報により一連の処理が同一のセッションでの認証処理であるかを検証している。たとえば、チャレンジ情報が異なっている場合、受信した認証結果は、異なるセッションで実行された認証処理であると判定される。

上記チャレンジ情報の検証により上記ステップＳ３８で受信したチャレンジ情報が正当なものでないと判定した場合、つまり、上記ステップＳ３７で送信したチャレンジ情報と上記ステップＳ３８で受信したチャレンジ情報とが不一致である場合（ステップＳ４３、ＮＯ）、上記主制御部１１は、エラーステータスを上記外部装置２へ送信し（ステップＳ４１）、当該認証処理を終了する。

上記ステップＳ３８で受信したチャレンジ情報が正当なものであると判定した場合、上記ステップＳ３７で送信したチャレンジ情報と上記ステップＳ３８で受信したチャレンジ情報とが一致する場合（ステップＳ４３、ＹＥＳ）、上記主制御部１１は、上記外部装置２から受信した認証処理の結果に基づいて上記外部装置２での顔画像による認証処理が成功したか否かを確認する（ステップＳ４４）。上記外部装置２での顔画像による認証処理が失敗したと判定した場合、上記主制御部１１は、エラーステータスを外部装置２へ送信し（ステップＳ４４、ＮＯ）、当該認証処理を終了する。

上記外部装置２での顔画像による認証処理が成功したと判定した場合（ステップＳ４４、ＹＥＳ）、上記主制御部１１は、上記カウンタ１４の値をクリアする（ステップＳ４５）。上記カウンタ１４の値をクリアすると、上記主制御部１１は、カウンタ１４のクリア完了（認証処理完了）の通知を外部装置２へ送信し（ステップＳ４６）、当該認証処理を終了する。

上記のように、上記ＩＣカードでは、外部装置での認証処理に用いられる認証情報としての顔画像情報の読出し実行回数をカウントするカウンタを設け、当該カウンタの値が所定の上限値に達した場合、前記認証情報としての顔画像情報の読出しを禁止するようにしたものである。これにより、上記ＩＣカードでは、外部装置での処理に必要な認証情報などのデータに対して読出し回数を制限する機能を設けることができる。この結果、外部装置での処理のために、外部へ出力する必要があるデータについて、読出し回数を制限することができる。また、上記上限値を無限回に設定すれば、前記認証情報に対する読出し回数に制限を解除することも可能となる。つまり、上限値の設定によって上記メモリに記憶している認証情報に対するセキュリティレベルを切替えることが可能となる。

また、上記外部装置では、ＩＣカードから取得した顔画像情報と利用者から取得した顔画像との認証結果に電子署名を施してＩＣカードへ通知する。上記外部装置から認証結果と電子署名とを受信すると、上記ＩＣカードでは、上記外部装置から受信した電子署名を検証する。上記外部装置から受信した電子署名が正当で、かつ、認証結果が認証成功である場合、上記ＩＣカードは、カウンタ部をクリアする。また、上記外部装置から受信した電子署名の正当性が確認できない場合、あるいは、認証結果が認証失敗である場合、上記ＩＣカードは、カウンタの値をクリアしない。

このため、上記ＩＣカードでは、外部装置からの不正な応答、あるいは、外部装置での認証処理の失敗に対して、認証情報の読出し回数を有限回とすることが可能となる。つまり、外部装置がＩＣカードのメモリに記憶されている認証情報を用いて認証処理を実行するシステム（ＳＴＯＣ；Storage On Card）で用いられるＩＣカードあっても、ＩＣカードに記憶されている認証情報の読出しを制限することができる。この結果、上記ＩＣカードでは、認証情報に対するセキュリティ性を向上させることができる。

また、上記外部装置では、ＩＣカードによる認証情報の１回の読出しに対して、１回のみ照合処理を許容するようにしている。このようにすれば、ＩＣカードによる認証情報の読出し回数の制限により上記外部装置が実行する認証処理の回数を制限できる。この場合、上記ＩＣカードが、認証情報の読出し回数としてカウントする値が認証処理の回数となる。言い換えれば、ＩＣカードによる認証情報の１回の読出しに対して外部装置が認証処理を１回のみ実行するようにすれば、上記ＩＣカードが、外部装置での認証処理の回数を制限することが可能となる。

次に、上記認証処理システムの変形例について説明する。
図４は、上記認証処理システムの変形例としての構成例を示すブロック図である。なお、図４に示す認証処理システムでは、ＩＣカード１の構成は図１と同様である。したがって、図４は、上記外部装置１０２の変形例としての構成例を示している。

図１に示す構成例の外部装置２では、主制御部２１にて上述した処理を実現している。これに対して、図４に示す構成例の外部装置１０２では、上述した処理のうち、特に、セキュリティ性が要求される処理を、専用のモジュールに実行させるようにしている。図４に示す構成例の外部装置１０２では、専用のモジュールとして、所定のセキュリティレベルを確保した状態でデータを処理する周知のＳＡＭ（ＳｅｃｕｒｅＡｐｐｉｃａｔｉｏｎＭｏｄｕｌｅ）を有している。

すなわち、上記外部装置１０２は、図４に示すように、主制御部２１、メモリ部２２、外部インターフェース２３、ＩＣカード制御部２４、顔画像取得部２５、ＳＡＭ３１、ＳＡＭインターフェース３２、ＳＡＭ制御部３３などを有している。図４に示す外部装置１０２は、図１に示す外部装置２に、ＳＡＭ３１、ＳＡＭインターフェース３２およびＳＡＭ制御部３３を追加した構成となっている。このため、ＳＡＭ３１、ＳＡＭインターフェース３２およびＳＡＭ制御部３３以外の構成については、図１に示す外部装置２の構成と同様であるので、詳細な説明を省略するものとする。

上記ＳＡＭ３１は、所定のセキュリティレベルを確保した状態でデータ処理を行うものである。上記ＳＡＭインターフェース３２は、ＳＡＭ３１と通信を行なうためのインターフェースである。上記ＳＡＭ制御部３３は、ＳＡＭインターフェース３２を介してＳＡＭ３１との間の通信を制御するものである。したがって、上記主制御部２１は、上記ＳＡＭ制御部３３に対して種々の処理を要求することにより上記ＳＡＭ３１に種々の処理を実行させるようになっている。

また、上記ＳＡＭ３１は、耐ダンパー性を有している。これにより、上記ＳＡＭ３１内での処理に対しては、外部から不正に関与ができないようになっている。たとえば、上述した処理手順（図２参照）において、上記ＳＡＭ３１は、外部装置でのチャレンジ情報の生成（ステップＳ１２）、電子署名Ａの検証処理（ステップＳ１５）、チャレンジ情報の検証処理（ステップＳ１７）、認証処理（ステップＳ１９）、電子署名Ｂの生成処理（ステップＳ２１）などを実行するようになっている。また、上記ＳＡＭ３１では、上記ステップＳ１９の認証処理として、ＩＣカード１から受信した認証情報（ＩＣカード１がメモリ部１２から読み出した認証情報）に対して、認証処理を１回のみ実行するように設定されている。

また、上記した実施の形態では、携帯可能電子装置がＩＣカードである場合について説明した。しかしながら、上記携帯可能電子装置は、ＩＣカードに限定されるものではない。たとえば、携帯可能電子装置としては、携帯情報端末装置、あるいは、携帯電話機などにも適用できる。さらには、携帯可能電子装置は、上記ＩＣカードのように、カード型の本体にＩＣチップなどから構成されるモジュールを埋め込んだものに限らない。たとえば、上記携帯可能電子装置は、冊子型、ブロック形あるいはタグ型の本体に上述したような機能を有するモジュールを埋め込んだ電子装置にも適用可能である。

携帯可能電子装置としてのＩＣカードとデータ処理装置としての外部装置（認証処理装置）との構成例を概略的に示すブロック図である。外部装置における生体情報による認証処理の流れを説明するためのフローチャートである。ＩＣカードにおける生体情報による認証処理の流れを説明するためのフローチャートである。データ処理装置としての外部装置の変形例を概略的に示すブロック図。

符号の説明

１…ＩＣカード、１ａ…本体、１ｂ…モジュール、２…外部装置、１１…主制御部、１２…メモリ部、１３…外部インターフェース、１４…カウンタ、１７…ＣＰＵ、１８…ワーキングメモリ、１９…プログラムメモリ、２１…主制御部、２２…メモリ部、２３…外部インターフェース、２４…ＩＣカード制御部、２５…顔画像取得部、２７…ＣＰＵ、２８…ワーキングメモリ、２９…プログラムメモリ、３１…ＳＡＭ、３２…ＳＡＭインターフェース、３３…ＳＡＭ制御部、１０２…外部装置

Claims

外部装置とのデータ通信を行うためのインターフェースと、
読出し回数が制限され、前記外部装置が実行する人物の認証処理に用いられる認証情報を記憶しているメモリと、
前記メモリからの前記認証情報に対する読出し回数をカウントするためのカウンタと、
前記インターフェースにより前記外部装置からチャレンジ情報を含む前記データの読出しを要求するコマンドを受信した場合、前記カウンタの値が所定の上限値未満か否かを判断する判断手段と、
前記判断手段により前記カウンタの値が所定の上限値未満であると判断した場合、前記カウンタの値をカウントアップし、前記チャレンジ情報を用いて生成した正当性を確認するための情報と前記メモリから読み出した前記認証情報とを前記インターフェースにより前記外部装置へ送信する第１の処理手段と、
前記判断手段によりカウンタの値が所定の上限値未満でないと判断した場合、前記メモリからの前記認証情報の読出しを禁止する第２の処理手段と、
を有することを特徴とする携帯可能電子装置。
前記読出し回数が制限され、前記外部装置が実行する人物の認証処理に用いられる認証情報は、生体情報である、
ことを特徴とする前記請求項１に記載の携帯可能電子装置。
前記チャレンジ情報は、乱数である、
ことを特徴とする前記請求項１又は２の何れか１項に記載の携帯可能電子装置。
前記正当性を確認するための情報は、電子署名である、
ことを特徴とする前記請求項１乃至３の何れか１項に記載の携帯可能電子装置。
外部装置とのデータ通信を行うためのインターフェースと、読出し回数が制限され、前記外部装置が実行する人物の認証処理に用いられる認証情報を記憶しているメモリと、前記メモリからの前記認証情報に対する読出し回数をカウントするためのカウンタと、前記インターフェースにより前記外部装置からチャレンジ情報を含む前記認証情報の読出しを要求するコマンドを受信した場合、前記カウンタの値が所定の上限値未満か否かを判断する判断手段と、前記判断手段により前記カウンタの値が所定の上限値未満であると判断した場合、前記カウンタの値をカウントアップし、前記チャレンジ情報を用いて生成した正当性を確認するための情報と前記メモリから読み出した前記認証情報とを前記インターフェースにより前記外部装置へ送信する第１の処理手段と、前記判断手段によりカウンタの値が所定の上限値未満でないと判断した場合、前記メモリからの前記認証情報の読出しを禁止する第２の処理手段と有するモジュールと、
前記モジュールが内蔵される本体と、
を有することを特徴とするＩＣカード。
前記読出し回数が制限され、前記外部装置が実行する人物の認証処理に用いられる認証情報は、生体情報である、
ことを特徴とする前記請求項５に記載のＩＣカード。
前記チャレンジ情報は、乱数である、
ことを特徴とする前記請求項５又は６の何れか１項に記載のＩＣカード。
前記正当性を確認するための情報は、電子署名である、
ことを特徴とする前記請求項５乃至７の何れか１項に記載のＩＣカード。
携帯可能電子装置のメモリに記憶されているデータに基づいて所定の処理を行うデータ処理装置であって、
前記携帯可能電子装置とのデータ通信を行うためのインターフェースと、
認証対象者の認証情報を取得する認証情報取得部と、
前記携帯可能電子装置のメモリに記憶されている読出し回数が制限されている人物の認証処理に用いる認証情報の読出しを要求するコマンドにチャレンジ情報を含めて送信する送信手段と、
前記コマンドに対して前記携帯可能電子装置から前記認証情報と正当性を確認するための情報とを受信した場合、前記正当性を確認するための情報を検証する検証手段と、
前記検証手段により前記正当性を確認するための情報が正当であると判断した場合、前記携帯可能電子装置から受信した前記認証情報と前記認証情報取得部により取得した認証情報とに基づいて人物の認証処理を実行し、その処理結果を前記携帯可能電子装置へ送信する処理手段と、
を有することを特徴とするデータ処理装置。
前記読出し回数が制限されている前記人物の認証情報は、人物の生体情報であり、
前記認証情報取得部は、認証対象者から認証情報としての生体情報を取得し、
前記処理手段は、前記検証手段により前記正当性を確認するための情報が正当であると判断した場合、前記認証情報取得部により取得した生体情報と前記携帯可能電子装置から受信した生体情報とが同一人物の生体情報であるか否かを認証する認証処理を行い、その認証処理の結果を前記携帯可能電子装置へ送信する、
ことを特徴とする前記請求項９に記載のデータ処理装置。
前記制御部は、前記携帯可能電子装置から受信した前記認証情報を用いて認証処理を１回のみ実行し、その処理結果を前記携帯可能電子装置へ送信する、
ことを特徴とする前記請求項９又は１０の何れか１項に記載のデータ処理装置。
さらに、所定のセキュリティレベルを確保した状態でデータを処理するセキュアアプリケーションモジュールを有し、
前記処理手段は、セキュアアプリケーションモジュールに前記所定の認証処理を実行させる、
ことを特徴とする前記請求項９乃至１１の何れか１項に記載のデータ処理装置。
携帯可能電子装置とデータ処理装置とを有するデータ処理システムであって、
前記携帯可能電子装置は、
前記データ処理装置とのデータ通信を行うための第１のインターフェースと、
読出し回数が制限され、前記データ処理装置が実行する人物の認証処理に用いられる認証情報を記憶しているメモリと、
前記メモリからの前記データに対する読出し回数をカウントするためのカウンタと、
前記データ処理装置からチャレンジ情報を含む前記データの読出しを要求するコマンドを受信した場合、前記カウンタの値が所定の上限値未満か否かを判断する判断手段と、
前記判断手段により前記カウンタの値が所定の上限値未満であると判断した場合、前記カウンタの値をカウントアップし、前記チャレンジ情報を用いて生成した正当性を確認するための情報と前記メモリから読み出した認証情報とを前記第１のインターフェースにより前記データ処理装置へ送信する第１の処理手段と、
前記判断手段によりカウンタの値が所定の上限値未満でないと判断した場合、前記メモリからの前記認証情報の読出しを禁止する第２の処理手段と、を有し、
前記データ処理装置は、
前記携帯可能電子装置とのデータ通信を行うための第２のインターフェースと、
認証対象者の認証情報を取得する認証情報取得部と、
前記読出し回数が制限されている前記認証情報の読出しを要求するコマンドにチャレンジ情報を含めて前記携帯可能電子装置へ送信する送信手段と、
前記コマンドに対して前記携帯可能電子装置から前記認証情報と正当性を確認するための情報とを受信した場合、前記正当性を確認するための情報を検証する検証手段と、
前記検証手段により前記正当性を確認するための情報が正当であると判断した場合、前記携帯可能電子装置から受信した前記認証情報と前記認証情報取得部により取得した認証情報とに基づいて認証処理を実行し、その処理結果を前記携帯可能電子装置へ送信する第３の処理手段と、を有する、
ことを特徴とするデータ処理システム。
前記読出し回数が制限され、前記データ処理装置が実行する人物の認証処理に用いられる認証情報は、人物の生体情報であり、
前記データ処理装置の認証情報取得部は、認証対象者から認証情報としての生体情報を取得し、
前記データ処理装置の前記第３の処理手段は、前記検証手段により前記正当性を確認するための情報が正当であると判断した場合、前記認証情報取得部により取得した生体情報と前記携帯可能電子装置から受信した生体情報とが同一人物の生体情報であるか否かを認証する認証処理を行い、その認証処理の結果を前記携帯可能電子装置へ送信する、
ことを特徴とする前記請求項１３に記載のデータ処理システム。
前記チャレンジ情報は、乱数である、
ことを特徴とする前記請求項１３又は１４の何れか１項に記載のデータ処理システム。
前記正当性を確認するための情報は、電子署名である、
ことを特徴とする前記請求項１３乃至１５の何れか１項に記載のデータ処理システム。
前記データ処理装置の前記第３の処理手段は、前記携帯可能電子装置から受信した前記認証情報を用いて認証処理を１回のみ実行し、その処理結果を前記携帯可能電子装置へ送信する、
ことを特徴とする前記請求項１３乃至１６の何れか１項に記載のデータ処理システム。
前記データ処理装置は、さらに、所定のセキュリティレベルを確保した状態でデータを処理するセキュアアプリケーションモジュールを有し、
前記データ処理装置の前記第３の処理手段は、前記セキュアアプリケーションモジュールにより前記認証処理を実行させる、
ことを特徴とする前記請求項１３乃至１７の何れか１項に記載のデータ処理システム。