JP5217706B2 - 決済作業の端末装置 - Google Patents

Description

本発明は、セキュリティを確保しながら一般的なソフトウエアも実行可能な汎用性を有する端末装置に関するものである。

近年、物流業者が配送と同時にクレジット決済を行なう端末装置を持参し、代引き決済を行なうことが一般化している。また、荷物の積み込み、配送、配達の完了を、荷物に付けたバーコードを読み取り物流の荷物管理を行なう端末装置も同時に携行して管理することが盛んに行なわれている。

このような、物流を管理するために携帯する専用の物流端末装置は特許文献１に、また決済処理を行なう専用の決済端末装置は特許文献２にそれぞれ示されている。
このような機能を特化した専用の携帯端末装置を使用する場合は物流端末と決済端末装置との２つを携帯しなくてはいけないが物品の積み下ろしをおこなうドライバーにとっては携帯する機器は少しでも少ないほうが好ましい。このような要望から物流端末装置と物流端末装置の両方の機能を持った端末装置も存在する。また物流端末装置の情報と決済端末装置の情報を共有して入力の手間を省くものも存在する。
図９に示す従来例は物流端末８１と決済端末８３とをＵＳＢ等の信号ケーブル８２でつなぎ、キーパットからの入力を共有する場合の構成である。
また、キーパッド８３からの入力は共有しない場合、決済端末（キーパッド）８３、物流端末８１の双方に必要となるが、全く別の端末がケーブルでつながって、物流端末８１からは金額データーのみが決済端末８３に送られ、決済処理は決済端末８３が行うことも可能である。
このときアプリ端末８１はパッケージが多く出回っているウインドウズＣＥで動くものであり、決済端末はセキュリティを保つために専用のＯＳ（たとえばマイクロアイトロン）で動く。

また、図１０は物流機能のアプリケーションと決済機能のアプリケーションの両方を有する端末装置である。この場合決済機能にはセキュリティが要求されるため、この双方のアプリケーションソフトとそれを動作させるＯＳは必然的に専用となる。
特開２００６−３１０７０号公報 特開２００６−３５２３２５号公報

しかしながら、上記従来例に示す端末の場合、図９に示す場合は物流端末装置にはパッケージ等が豊富で開発環境が整い、変更修正が容易なウインドウズＣＥを使用し、セキュリティが要求される決済端末装置には専用ＯＳを用いることができるが、使用者は2つの携帯端末を持ち歩く必要があり、しかもこの２台が有線でつながっている場合にはことさら取り扱いが悪く、２台が無線で接続される場合も、２つの携帯端末機を持ち歩く必要があることに変わりがない。一方、図１０に示す一体型の場合にはＯＳが専用であるため使用者が自由にアプリケーションを搭載し、あるいは改造することが事実上困難である。

また、決済時にキー入力される暗証番号等を盗み取る悪意の有るアプリケーションが搭載されるのを防止する必要から、一般に出回り、改造が容易であるウインドウズ等をＯＳに採用することは難しい。特に決済を行なう機器から暗証番号の要求があれば、使用者は何の疑問もなく暗証番号を入力するであろうことから、このような端末においてはことさら一般的なＯＳを用いて使用者が所望するアプリケーションを自由に搭載することは難しい。

本発明の携帯端末装置は、専用プログラムと一般的なプログラムの双方が使用可能であり、カード挿入口を有し、前記カード挿入口にはカードの挿入を阻止するシャッターが設けられ、前記一般的なプログラムが使用されるときには前記カードの挿入を前記シャッターにより阻止する構成を有している。

この構成により、一般的なプログラム、一般的なＯＳ上で書かれたプログラムが動作しているときはシャッターによりカードを端末装置内に挿入できない。このため、操作者はカードと関連のないところで暗証番号の入力を要求していることが明確に理解できる。

また、本発明の端末装置は、前記専用プログラムを実行する専用処理部と、前記一般的なプログラムを実行するアプリ処理部と、前記カードと通信するＩＣカードリーダ部と、入力部と、表示部と、をさらに備え、前記専用処理部は、前記ＩＣカードリーダ部と、前記シャッターと、前記入力部と、前記表示部と、を制御するものである。この構成により、安全に表示部、シャッターの制御ができる。

本発明は、カードの入り口に使用するソフトウエアに連動して開閉を制御するシャッターを設けることにより、使用者が望むアプリケーションを搭載しながらも悪意のあるアプリケーションが使用者を騙して暗証番号を盗むことを阻止することができるものである。

以下、本発明の端末装置について、図面を用いて説明する。ここでは、まず、図１および図２を参照して、装置の構成について説明する。

図１は本発明に係る端末装置の外観および動作の様子を示す図である。より具体的には個々の家庭に荷物を配送する運送業者のドライバーが携帯し、荷物の配送代金、代金と引き替えに品物を配送する代金をクレジットカード、プリペイドカードあるいはデビットカードで精算する際に用いる携帯端末装置である。携帯端末装置１は、支払い金額、カード情報、入力情報、センターとの照合結果、入力の指示等を表示する液晶表示（ＬＣＤ）である表示部２とテンキーと機能キー（ファンクションキー）とで構成する入力手段であるキーパット３を端末装置の上面に設けてあり、側面にカード６を挿入するカード挿入口４を有する。
カード挿入口の内部にはカードと通信するＩＣカードリーダ、ライタ２８が設けてあり挿入されたカードから情報を読み取る。このカードリーダは必要によってはカードに情報を書き込む機能も有する。このカード挿入口４の入り口にはカードの挿入を阻止することが出来るシャッター５が設けてあり必要な場合はカードが挿入されるのを阻止する。図１においては外側へ開くタイプのシャッターを示しているが、カード挿入口に鉄格子のように棒が突出してカードの挿入を阻止するものの方が破損、損傷を生じにくく、好適である。
本実施例で示す携帯端末装置は、前述のアプリ端末（物流端末）とクレジットカード端末（決済端末）を一体化しつつ、決済時のセキュリティを担保するが、アプリ端末の機能の部分には汎用のＯＳを採用することによりアプリケーション開発を容易とする。 また決済端末の機能の部分においては決済機能に加えてＩＣカードリーダ、ライタ、シャッター、ＬＣＤ、キーパットをも同時に制御することにより、アプリ開発の容易性とセキュリティという２つの要望を同時に実現するものであるが、ここで担保すべきセキュリティとは「物理的な攻撃（開封や穿孔）による解析や改造」、「悪意のあるアプリソフトにより本人認証のためのPINを盗むことに対する対応」をさし、本実施例では汎用ＯＳを採用した一体型決済端末において、ユーザーが自由にアプリソフトを作成できる環境を担保しつつ、汎用ソフトに仕込まれた悪意のあるソフトによる攻撃、たとえば暗証番号、ＰＩＮ番号（個人の識別番号）の盗難を防ぐために、このようなアプリケーションソフトがインストールされ、クレジットカード保持人（カードホルダ）をだまして、ＰＩＮを盗み取ることを防止する。
より詳細には
（１） 悪意のあるアプリケーションソフトがタッチパネルの画面にキーを表示し、それにてＰＩＮ番号を入力させ、ＰＩＮ番号を盗むこと。
（２） キーパットが搭載されている機器の場合には、悪意のあるアプリケーションがキーパットを使用してＰＩＮ番号を入力をさせ、番号を盗むこと。
を防止する。

図２、図３に決済端末のＣＰＵの構成を示す。図２、図３に示すように汎用ＯＳを搭載したアプリ処理部３２は保守、開発の容易性から汎用のＣＰＵを用いている。本携帯端末は図２に示すようにアプリケーションＣＰＵ２１とセキュアＣＰＵ２５の２つのＣＰＵ構成としている。アプリケーションＣＰＵは通常の構成のＣＰＵであり、セキュアＣＰＵとは外部からの電磁気的、物理的な攻撃から内部の情報を守る構成を有するＣＰＵである。
より具体的には電気的、物理的な外部からのアクセスに対応できるセキュアＣＰＵが、ＩＣカードリーダ、ライタ２８、ＬＣＤ２、キーパッド３、ＩＣカード挿入口に設けたシャッター５はセキュアＣＰＵ２５が支配するファームウエアでコントロールする。
シャッター５は、セキュアＣＰＵと連動していて、
（１）シャッターが開いた状態、つまりＩＣカード゛が挿入できる、あるいは挿入された状態では、アプリケーションＣＰＵが自由に画面表示をすることができず、セキュアＣＰＵは定型画面を表示する。またアプリケーションＣＰＵがキーを自由に受け付けることが出来ないようにセキュアＣＰＵが制限をする。
（２）シャッターが閉じた状態、つまりＩＣカードが挿入できない状態では、アプリケーションＣＰＵよりアプリケーションが自由に画面表示し、キー入力を受け付けることができるようにセキュアＣＰＵが制御する。
（３）シャッターを物理的に無理に開けようとすると、シャッターからの信号、あるいはＩＣカード挿入口からの検知信号（シャターの開閉を検知するマイクロスイッチ、光検知器、シャター部材そのものの抵抗値の変化などの電気的変化検出器からの信号）がセキュアＣＰＵに通知され、表示部に警告を表示するか端末の動作を停止させ、キーパット３からの入力を制限する。あるいはシャッターからの無理にあけようとした信号を受ける前の状態でロックをしてしまう等の処置をおこなう。
という制御を行う。
また図２に示すように、アプリケーションＣＰＵとセキュアＣＰＵとはそれぞれのファームウエアとを、またアプリケーションＣＰＵ内のアプリケーションとセキュアＣＰＵ内のファームウエアとを接続している。
図3は決済処理とサードパーティのアプリケーションの双方を実行する携帯端末の構成を示すブロック図である。図３に示すアプリケーション処理部とは図２に示すアプリケーション処理部２１とＣＰＵに必須の周辺装置とで構成されるものであり、決済処理部３１とはセキュアＣＰＵとセキュアＣＰＵに必須の周辺装置で構成される。表示部２、ＩＣカードへの書込み機能も有するＩＣカードリーダ、ライタ２８、キーパット３、こじ開けを感知する機能を有するシャッター５は図２にセキュアＣＰＵとして示したブロックと同一である。
図３に示すＬＣＤ２、ＩＣカードリーダ、ライタ２８、キーパット３、シャッター５は決済処理部専用ＣＰＵと専用ソフト３１がコントロールを行い、決裁処理専用ＣＰＵ３１が許可した場合のみアプリ制御部３２がサードパーティアプリを使用することができる。このためサードパーティアプリケーションはキーパット、ＬＣＤ、に使用が制限され、ＩＣカードリーダ、ライタ゛２８はシャッター５によりカードの挿入を阻止されるためこれを使用することはできない。
さらに詳細を述べるとアプリ処理部３２がサードパーティアプリ３２の使用を許可されるのは、シャッター５が閉じたときのみである。このためシャッター５が閉じてさえいれば、アプリケーションの動作は制限されない。
図４、図５にこの状態を模式的に示す。ユーザーがＩＣカード決済を実施するときには、アプリケーションから決済処理専用ソフト３１に処理依頼を行い、専用ソフト３１が決済処理を実行する。この間汎用ＣＰＵ、汎用ＯＳ３２アプリケーションの動作が制限され、ＬＣＤは決済処理専用ソフト３１により定型画面が表示され、キー入力受付も決済処理専用ソフトのみが行える。
また、図４に示すようにシャッター５に対し物理的な破壊が実施されるとシャッターの開閉を感知するセンサーが動作し決済処理部３１は、アプリ処理部３２が管理するアプリケーションにキーパット等のデバイスの使用権を与えない。よって、シャッターが開いた状態（カードが差し込める）ではアプリケーションが制限されてこれらのデバイスは動作することはできない。シャッターの開閉センサーは外光を検知する光センサー、シャッターの存在を検知する静電容量、渦電流、反射光を検知する各種のセンサー、あるいはマイクロスイッチ等を用いる。ここで決済専用ソフト３１はユーザーが変更することはできないが、サードパーティアプリ３３はユーザーが自由に変更できるものである。あるいは在庫管理、商品広告への連動等のパッケージ販売のソフトをサードパーティアプリ部に組み込んでも良い。
図６、図７には、セキュリティを担保し、かつインターフェースの入力、出力を制限することなく決済以外にキーパットを使用できる場合を示す。汎用ＯＳ搭載の決済端末は、シャッターが“開いた”状態でアプリケーションがキー入力を求める際には、セキュアＣＰＵが表示部２に定型画面表示して動作を制限するので、クレジットカード等のＩＣカードを挿入した状態で、汎用ＣＰＵであるアプリ処理部に忍び込まされた悪意のあるアプリケーションが、カードの処理を偽装して不正に暗証番号等をキーパットから入力させて、そのキー入力を盗むような表示を行なうことができないことを模式的に示している。
一方、シャッターが“閉じた”状態では、アプリケーションの動作は制限されない。これは、シャッターが閉じているため、悪意のあるアプリケーションが暗証番号の入力を求めたとしても、ＩＣカードはＩＣカード挿入口に差し込もことは出来ず、カード挿入後に暗証番号入力を行う通常処理とは明らかに異なる動作となるため、使用者が異常にきずき容易に異変を察知することができる。
さらに無理やりシャッターを破壊した状態にすると、シャッターの破壊を決済処理部３１が認識して汎用ＯＳの動作が制限される。たとえば端末自体の動作を一時的に停止させる。キーパット３からの入力を一切受け付けない等の処理を決済処理部３１が行なえば、不正な暗証番号取得等に対応することができる。

図８にセキュアＣＰＵ内での処理を示す。図８においてＳＴ１からＳＴ１０までの処理は正常な場合の処理であり、ＳＴ１１からＳＴ１４までの処理はシャッター５が破壊された場合の異常時の処理である。
まず端末１が起動され（ＳＴ１）、サードパーティアプリを動作させる場合を示す。サードパーティアプリとしては物流物品の管理、代引き処理等の決済を伴わない処理である。
セキュアＣＰＵ部２５はシャッター５のクローズを確認する（ＳＴ２）。具体的にはシャッターの開閉を感知するセンサー（図２ではシャッターの一部としてあるためシャッター５として表示するものの一部となる）からの信号をソフトウエアが確認する。
ここでシャターが閉でありＩＣカードが挿入されていない状態であり且つＩＣカードが挿入さていない状態であれば正常な状態であるのでサードパーティアプリ３２を動作させる（ＳＴ３）。必要に応じてカード挿入口４にカードの有無を検出するセンサーを設けても良いが、カード挿入口４にカードがある場合、シャッター５が閉じることが出来ないためシャッター５の開閉センサーで挿入口内のカードの有無を確かめることができる。
次に述べるＳＴ４からＳＴ１０までは決済にかかわるフローである。まず決済操作であるか否かを確認する。これはキーパットに設けた決済ボタンを押し下げることで判別する（ＳＴ４）。
セキュアＣＰＵは表示部２に表示される情報を制限し、定まった形式の画面のみを表示可能とする。これは暗証番号等を入力する可能性があるからである（ＳＴ５）。ＳＴ５の後ＩＣカードが挿入できるようにシャッター５をあける。
セキュアＣＰＵは挿入されたカードで特定されるＩＣカードとキーパットから入力される暗証番号を照合し（ＳＴ７）、一致すれば決済センタとの通信、又は入力されている支払い不可カードのリストとの照合を行い、決裁可能なカードである場合にのみ決済処理を完了する（ＳＴ８）。
決済が完了しカードが抜かれるとシャッター５を閉じロックしてしまう（ＳＴ９）。
シャター５の閉をセキュアＣＰＵ２５が確認するとアプリケーションの動作の制限を解除し（ＳＴ１０）シャッター閉確認のルーチンに戻る。
またシャター閉の確認時にシャターが空いていたときは、シャッターをこじ開ける等の不正なアタック（ＳＴ１１）が行なわれたのであるから異常処理（ＳＴ１１からＳＴ１４）を行なう。
セキュアＣＰＵシャッター開をＳＴ２で検出した場合、表示部２に警告を表示するとともにアプリケーションを制限又は停止を行なう（ＳＴ１２）。
制限としては表示部３への表示を「警告」「ＷＯＲＮＩＮＧ」等に制限し、キーパット３からの入力を無視するとともにＩＣカードリーダ、ライタからの信号を無視し（ＳＴ１３）、携帯端末装置の処理を終了する（ＳＴ１４）。

このような本発明の実施の形態によれば、上述の処理をすることにより、シャター閉の状態でなければサードパーティのアプリケ―ション、ユーザーのアプリケーションは動作させることが出来ず、その結果、悪意の有るアプリケーションもシャターが閉の状態でなければ動作することが出来ない。もしも、暗証番号を盗み取るアプリケーションがインストールされてしまったとしてもこのようなアプリケーションはアプリ処理部３２にしか格納できないため、シャターが閉じた状態でしか動作できず。暗証番号の入力を要求しているにもかかわらず端末装置内にカードが入っていないという不自然な状況にあるため、使用者は容易に異常に気がつくことができる。

以上のように、本発明にかかる端末装置ではセキュリティを確保しながら“サードベンダーによるアプリケーション開発”を可能にすることができ、専用ＯＳ以外の、端末機器メーカ自社開発によらないアプリケーションも安全に搭載することが可能となる。
この結果、一般に認知されている汎用ＯＳ（たとえば商品名ウインドウズＣＥのソフト）上で動作するアプリケーションも決済動作に関して安全に搭載することが出来る。

本発明の実施の形態における携帯端末装置の外観を示す図 本発明の端末装置の内部構成を示す図 本発明の実施の形態における決済処理を行なう啓太端末装置の構成を示す図 本発明の実施の形態における異常時の動作の説明図 本発明の実施の形態における正常時の動作の説明図 本発明の実施の形態における異常時の動作の外観図 本発明の実施の形態における悪意のあるソフトに対する時の動作の外観図 動作説明のためのフロー図 従来例の構成を示す図 従来例である一体機の構成を示す図

符号の説明

１ 端末装置
２ 表示部
３ 入力部
４ カード挿入口
５ シャッター
６ カード
２１ アプリケーションＣＰＵ部
２２ アプリケーション
２３ ファームウエア
２４ その他のデバイス
２５ セキュアＣＰＵ部
２８ ＩＣカードリーダ、ライタ
３１ 決済処理部
３２ アプリ処理部
８１ アプリ端末
８２ 信号ケーブル
８３ 決済端末
９３ 物流機能アプリ
９４ 決済機能アプリ

Claims (4)

1. 専用プログラムと一般的なプログラムの双方が使用可能であり、カード挿入口を有し、前記カード挿入口にはカードの挿入を阻止するシャッターが設けられ、前記一般的なプログラムが使用されるときには前記シャッターにより前記カードの挿入を阻止するものである端末装置。
2. 前記専用プログラムを実行する専用処理部と、前記一般的なプログラムを実行するアプリ処理部と、前記カードと通信するＩＣカードリーダ部と、入力部と、表示部と、をさらに備え、前記専用処理部は、前記ＩＣカードリーダ部と、前記シャッターと、前記入力部と、前記表示部と、を制御するものである請求項１に記載の端末装置。
3. 前記専用処理部は前記端末装置内に設けたセキュアな回路に格納するものである請求項２に記載の端末装置。
4. 前記専用プログラムは決済を行うものである請求項１ないし請求項３に記載の端末装置。

Images