JP5378182B2

JP5378182B2 - 通信装置および処理システム

Info

Publication number: JP5378182B2
Application number: JP2009277143A
Authority: JP
Inventors: 裕紀山▲崎▼; 慎相川; 和久小林; 利久伊藤
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2009-12-07
Filing date: 2009-12-07
Publication date: 2013-12-25
Anticipated expiration: 2029-12-07
Also published as: JP2011118789A

Description

本発明は、サーバを介して処理を行う通信装置および処理システムに関する。

近年、非接触通信によるクレジット決済の規格等が定められつつあり、近接通信による決済はより高額な支払いにも利用されようとしている。また、ＮＦＣ（Near Field Communication）などの近接通信機能を有する２台の通信端末を用いたＰ２Ｐ通信についても検討が進められており、これら２台の端末間で電子マネー等の金銭のやりとりを伴う決済処理を行うことが可能となっていきている。一般にＰ２Ｐ通信による取引では、端末間のみで電子マネーをやりとりせず、ネットワーク通信などを介してサーバ等で金銭情報を管理する。一方、周囲の状況次第で通信端末がネットワークに接続できないといった場合がある。特に通信端末として携帯電話等を用いる場合、建造物内や地下で使用されると、サーバに接続できずに決済完了できないといった場面が生じる可能性があると考えられる。

特許文献１には、他の端末との間で電子マネーの受渡しを行う際に携帯端末が圏外にある場合に、近距離無線通信により他の端末の識別情報とともに電子マネー譲渡金額の情報を受信し、受信した情報保存しておき、携帯端末が、店舗決済端末などＰＯＳシステムでサーバと接続されている端末で決済を行う際に、他の端末との間の電子マネーの受渡しを考慮して決済処理を行うシステムが開示されている。

特開２００８−１８６２９７号公報

電子マネー譲渡金額の情報等を保存しておき、後でサーバに接続して決済処理を行う場合、電子マネーの受渡しを行う際には相手の通信端末についてサーバを介した認証ができないため、例えば悪意のある相手と取引してしまったことが後になって初めてわかるといった可能性が考えられる。また、相手が悪意のない相手であるとしても、サーバで管理している金額情報は銀行口座等と結び付けられており、通信端末を介した決済以外にも用いられることが多いため、決済処理の遅延を抑制することが求められる。

また、決済処理に限らず、自装置がサーバに接続できないために、サーバへの処理要求が行われず、処理が遅延することは望ましくない。

そこで、本発明は、サーバに接続できない場合であっても、サーバに処理を求めるとともに、その処理結果を取得することが可能な通信装置及び処理システムを提供することを目的とする。

本発明にかかる通信装置は、ネットワークを介してサーバと通信を行う第１の通信手段と、他の通信装置と近接通信を行う第２の通信手段と、前記サーバに保存された認証鍵と対応した認証鍵を取得する取得手段と、これら手段を制御する制御手段とを備える。前記制御手段は、前記サーバとの間で通信を行うことができない場合に、前記サーバでの所定の処理に用いられる処理情報データを前記取得手段により取得された認証鍵で暗号化し、前記暗号化したデータを含めた処理要求コマンドに前記コマンドの代理送信を求めるデータを付加し、前記第２の通信手段により前記他の通信装置に送付する。前記サーバでの処理の結果を示す処理結果データを含む結果転送コマンドを前記他の通信装置から受信すると、前記認証鍵を用いて復号化することにより前記処理結果データを抽出する。

本発明によれば、サーバに接続できない場合であっても、サーバに処理を求めるとともに、その処理結果を取得することが可能な通信装置および処理システムを提供することができる。

決済システムの構成例を示す図である。通信装置間でＰ２Ｐ通信による決済を行う際の処理フロー例を示す図である。代理送信要求コマンドの構成例を示す図である。決済代理要求コマンドの構成例を示す図である。サーバが決済代理要求コマンドを受信した場合に実行する決済処理フローの一例を示す図である。結果代理通知コマンドの構成例を示す図である。

図１は、決済システムの構成例を示す図である。

通信装置１Ａおよび通信装置１Ｂは、例えば携帯電話やＰＤＡ、モバイルＰＣなどの移動端末である。本例では、ネットワーク通信部１３Ａ及びネットワーク通信部１３Ｂは、異なる種類の方式による通信を実行する通信モジュールであるとする。ここで、異なる種類の方式による通信とは、例えば、ＣＤＭＡとＧＳＭなどの別々の携帯電話通信を行う場合に限らず、別々の通信キャリアを介して同じ方式の携帯電話通信を用いている場合も含むものとする。また、一方が携帯電話通信と無線ＬＡＮ通信などの他の通信を行うことができる通信部であり、もう一方が携帯電話通信のみを行うことができる通信部である場合など、一方あるいは双方が複数の通信方式により通信を行うものについても含むものとする。なお、本発明の適用を限定するものではなく、ネットワーク通信部１３Ａ及びネットワーク通信部１３Ｂが同じ種類の方式による通信を実行する通信モジュールである場合にも、本発明を適用しても良い。

以下、通信装置１Ａと通信装置１Ｂの通信機能を区別しない場合は、通信装置１と呼称する。

セキュリティ装置２Ａおよびセキュリティ装置２Ｂは、ＩＣカードやＳＩＭカード、組み込みセキュリティチップ等、決済処理を安全に行うための秘密情報を格納しておくための装置である。例えば、電子マネーに関する情報が記憶されている。以下、セキュリティ装置２Ａとセキュリティ装置２Ｂを機能的に区別しない場合は、セキュリティ装置２と呼称する。

また、図１の例では、セキュリティ装置２は通信端末１の外部装置として接続されて用いられるように記載しているが、これに限定するものではない。セキュリティ装置２は、通信端末１の内部に差し込んで使用するものであっても良いし、通信端末１と一体とし、通信端末１の構成の一部として設けるようにしても良い。構成の一部として設ける場合には、ハードウェアとして設けずにソフトウェアとして所定のモジュールに記憶するようにしてもよい。

サーバ３は、例えば電子マネーの運営会社のサーバであり、インターネットなどのネットワーク９３を介して、通信装置１Ａ及び１Ｂとネットワーク通信を行う機能を有する。具体的には、サーバ３と通信装置１は、ネットワーク９０Ａあるいは９０Ｂと、ネットワーク９３を経由して通信を行う。９１Ａは、ネットワーク９０Ａを介して通信装置１Ａとサーバ３がやり取りを行うデータを模式的に示している。同様に、９１Ｂはネットワーク９０Ｂを介して通信装置１Ｂとサーバ３がやり取りを行うデータを示している。９２は、通信端末１Ａと通信端末１ＢがＰ２Ｐ通信によってやり取りを行うコマンドデータを示している。

なお、図１の例では、ネットワーク９０Ａとネットワーク９０Ｂは異なるネットワークとして記載しているが、同一のネットワークであってもよい。以下、ネットワーク９０Ａとネットワーク９０Ｂを区別しない場合はネットワーク９０と呼称する。同様に、以下、データ９１Ａとデータ９１Ｂを区別しない場合はデータ９１と呼称する。

ネットワーク９０とネットワーク９３は、例えばルータや中継サーバなどのゲートウェイで接続されている。また、ネットワーク９３は、ネットワーク９０と同一のネットワークであってもよい。

通信装置１は、データ格納メモリ１０と、プログラム格納メモリ１１と、演算処理部１２と、ネットワーク通信部１３と、近接通信部１４と、セキュリティ装置通信部１５とを有しており、これらが通信用バスなどで相互に接続されている。

データ格納メモリ１０は、通信装置１が処理を行うために必要なデータを格納するためのメモリであり、半導体メモリやハードディスク等から構成される。プログラム格納メモリ１１は、通信装置1が処理を行うための制御プログラムを格納し、半導体メモリやハードディスク等から構成される。演算処理部１２は、通信装置1全体の制御を司り、プログラム格納メモリ１１に格納しているプログラムを実行して処理を行う。演算処理部１２としては、例えばマイクロプロセッサを用いる。なお、データ格納メモリ１０は、個別の構成に限らず、構成の一部または全部が、プログラム格納メモリ１１、あるいは演算処理部１２などの、他のモジュールの中に含まれていてもよい。プログラム格納メモリ１１も同様に、個別の構成に限らず、構成の一部または全部が、データ格納メモリ１０、あるいは演算処理部１２などの、他のモジュールの中に含まれていてもよい。

ネットワーク通信部１３は、通信装置１がサーバ３などの外部機器と、ネットワーク９０を介してネットワーク通信を行うためのモジュールである。具体的には、ネットワーク通信部１３は、携帯電話網や、無線通信・有線通信を介したインターネット、電話回線網、光通信網などを介して通信を行うモジュールであり、ここでは、近接通信を除いた広義での通信手段を意味するものとする。

近接通信部１４は、通信装置１が近距離のデータ通信を行うためのモジュールである。近接通信とは、例えばＮＦＣやＦｅｌｉＣａ（登録商標）、ＢｒｕｅＴｏｏｔｈ（登録商標）、ＴｒａｎｓｆｅｒＪＥＴ（登録商標）、赤外線などである。しかし、これらの例に限定するものではなく、近接通信部１４は、Ｐ２Ｐ通信あるいは機器間通信を行うためのモジュールであれば良い。なお。近接通信部１４は１つのみに限らず、通信装置の内部に複数種類存在してもよい。

セキュリティ装置通信部１５は、通信装置１がセキュリティ装置２とデータのやりとりを行うためのものであり、例えば接触ＩＣカード用の通信規格であるＩＳＯ／ＩＥＣ７８１６に則った通信を行うモジュールなどが用いられる。なお、セキュリティ装置２が通信装置１の内部に備えられ、データバス等で他のモジュールと接続されている場合等においては、この構成を省略することができる。

セキュリティ装置２は、データ格納メモリ２０と、通信部２１とを有しており、これらが通信用バスなどで相互に接続されている。なお、セキュリティ装置２の構成要素を図１に記載の構成のみに限定するものではなく、例えばセキュリティ装置２全体の制御を司るためのモジュールなどが存在しても良い。

データ格納メモリ２０は、セキュリティ装置１が処理を行うために必要なデータを格納するためのメモリであり、半導体メモリやハードディスク等から構成される。通信部２１は、セキュリティ装置２が通信装置１などの外部装置とデータのやりとりを行うためのモジュールであり、例えば接触ＩＣカード用の通信規格であるＩＳＯ／ＩＥＣ７８１６に則った通信を行う。なお、セキュリティ装置２が通信装置１の内部備えられ、データバス等で他のモジュールと接続されている場合等においては、通信部２１は省略することができる。また、このような場合、データ格納メモリ２０を別体として設けずに、データ格納メモリ１０等の他の構成に含まれるようにしても良い。

データ格納メモリ２０は、固有ＩＤ２００と、サーバ認証鍵２０１と、Ｐ２Ｐ認証鍵２０２を有する。なお、これらデータに加えて他のデータを格納してもよい。

固有ＩＤ２００は、セキュリティ装置２ごとに重複することなく割り振られたＩＤ情報である。よって、セキュリティ装置２Ａの固有ＩＤ２００Ａと、セキュリティ装置２Ｂの固有ＩＤ２００Ｂは、異なるものとなる。

サーバ認証鍵２０１は、通信装置１を介してセキュリティ装置２とサーバ３とが、互いに認証を行うための鍵情報である。このサーバ認証鍵２０１は、共通鍵暗号方式に則った鍵情報でもよいし、公開鍵暗号方式に則った鍵情報でもよい。また、サーバ認証鍵２０１は、例えば処理や機能ごとに認証鍵を設けたり、所定の通信のみに有効なセッション鍵を設けたりと、複数種類の認証鍵をデータ格納メモリ２０に格納するようにしてもよい。このような場合、公開鍵と秘密鍵を含む複数の認証鍵を格納し、処理や機能、所定の通信ごとに複数の認証鍵のうちの１つあるいは２つ以上を組み合わせて用いるようにしてもよい。

Ｐ２Ｐ認証鍵２０２は、通信装置１を介してセキュリティ装置２と他のセキュリティ装置２との間で認証を行うための鍵情報である。Ｐ２Ｐ認証鍵２０２は、共通鍵暗号方式に則った鍵情報でもよいし、公開鍵暗号方式に則った鍵情報でもよい。例えば共通鍵暗号方式であれば、セキュリティ装置２ＡのＰ２Ｐ認証鍵２０２Ａと、セキュリティ装置２ＢのＰ２Ｐ認証鍵２０２Ｂは、同一の値になる。Ｐ２Ｐ認証鍵２０２は、サーバ認証鍵２０１と同様、複数種類の認証鍵をデータ格納メモリ２０に格納し、処理や機能、所定の通信ごとに複数の認証鍵のうちの１つあるいは２つ以上を組み合わせて用いるようにしても良い。

次に、サーバ３について説明を行う。図１の例にはデータ格納メモリ３０のみを記載しているが、サーバ３の構成をこれに限定するものではなく、例えばネットワーク通信によりデータを受信するためのモジュールや、サーバ３全体の制御を司るためのモジュールなどを有しているものとする。

データ格納メモリ３０は、サーバ３が処理を行うために必要なデータを格納するためのメモリであり、半導体メモリやハードディスク等から構成される。データ格納メモリ３０には、固有ＩＤ３００と、サーバ認証鍵３０１と、管理情報３０３を有する。

固有ＩＤ３００は、セキュリティ装置２の固有ＩＤ２００と対応した情報である。サーバ認証鍵３０１は、サーバ３とセキュリティ装置２とが、互いに認証するための鍵情報である。このサーバ認証鍵３０１とセキュリティ装置２に記憶されたサーバ認証鍵２０１を用いて認証が行われ、サーバ認証鍵２０１と同様、共通鍵暗号方式や公開鍵暗号方式に則った鍵情報であり、処理等に応じて複数格納されていてよい。例えば共通鍵暗号方式を用いる場合、サーバ認証鍵３０１Ａとセキュリティ装置２Ａのサーバ認証鍵２０１Ａ、サーバ認証鍵３０１Ｂとセキュリティ装置２Ａのサーバ認証鍵２０１Ｂは、それぞれ同じものになる。

管理情報３０３は、例えば電子マネーの金額の情報や、取引上限額、セキュリティ装置２の有効期限など、決済に必要な情報であり、決済や認証の結果に応じて適宜書き換えられるものとする。

データ格納メモリ３０は、固有ＩＤ３００とサーバ認証鍵３０１と管理情報３０３とを、セキュリティ装置ごとに対応付けて記憶する。図１の例では、セキュリティ装置２Ａとセキュリティ装置２Ｂに対応した２組の情報が記憶されているが、これに限定するものではなく、３組以上の情報を記憶するようにしても良い。また、記憶する情報の種類を固有ＩＤ３００等に限定するものではなく、セキュリティ装置２が接続される通信装置１の電話番号やアドレス等の識別情報やその他の情報を追加して記憶するようにしても良い。

図２に、通信装置間でＰ２Ｐ通信による決済を行う際の処理フローの一例を示す。図２では、通信装置１Ａから通信装置１Ｂに金銭の支払いを行う場合を例にしている。すなわち、通信装置１Ａが金銭を支払うＩＣカード側の役割をし、通信装置１Ｂが金銭を支払われるＩＣカードリーダライタ（以下Ｒ／Ｗ）側の役割をし、近接通信部１４Ａと近接通信部１４Ｂを介してコマンドの送受信を行うことにより決済処理を実行する。なお、コマンドの送受信は、Ｒ／Ｗ側となる通信装置１Ｂが主導となってもよいし、相互に半二重通信等で送りあってもよいし、ＩＣカード側となる通信装置１Ａが主導となっても良い。

この処理フローは、例えば通信装置１Ａ及び１Ｂのユーザインタフェースがそれぞれのユーザにより操作され、決済処理のためのアプリケーションが起動されることにより、スタートする。

なお、図２の例では、フローの簡略化のため、通信装置１Ａとセキュリティ装置２Ａ、通信装置１Ｂとセキュリティ装置２Ｂとの間の通信についての図示を省略している。また、サーバ３における処理についても省略し、別途、図５に処理フローを示す。

通信装置１Ａと通信装置１Ｂは、セキュリティ装置２Ａとセキュリティ装置２ＢからＰ２Ｐ認証鍵２０２ＡとＰ２Ｐ認証鍵２０２Ｂを読み出し、これら認証鍵を用いて相互認証処理を行う（Ｓ１００）。このとき、後の通信を保護するためのセッション鍵などを生成する処理などを合わせて行ってもよい。

Ｓ１００において認証が成功した場合、通信装置１Ｂは通信装置１Ａに対して支払いを要求する支払い要求コマンドを送信する（Ｓ１０１）。なお、図示を省略しているが、コマンドを送出する前に、通信装置１Ｂのユーザにより、ユーザインタフェースを介して金額情報等が入力されており、支払い要求コマンドには金額情報が含まれているものとする。

通信装置１Ａは、支払い要求コマンドを受信すると、支払い要求を受諾するか判定を行い、支払い要求を受諾する場合、その旨を示す受諾コマンドを通信装置１Ｂに送信する（Ｓ１０２）。受諾コマンドは支払い要求コマンドに対するコマンドレスポンスとして返されてもよいし、改めて通信装置１Ａの主導で送出されてもよい。

支払い要求を受諾するか否かの判定は、例えば、支払い要求コマンドに含まれる金額情報と、通信装置１Ａのユーザによりユーザインタフェースを介して予め設定された金額とを比較し、相違ないかを確認することにより判定を行う。あるいは、支払い要求コマンドに含まれる金額情報とともに支払いを受諾するか否かの選択を求めるメッセージを通信装置１Ａの表示画面（図示せず）に表示し、ユーザにより受諾が選択されたか否かにより判定を行うようにしても良い。
通信装置１Ｂは受諾コマンドを受信すると、決済処理を開始する。具体的には、まず通信装置１Ｂはネットワーク通信部１３Ｂによりネットワーク９０Ｂを介してサーバ３に接続可能かどうかを判定する（Ｓ１０００）。この判定処理は、ネットワーク９０Ｂへの接続状況以外に、通信装置１Ｂに通信を行うに十分な電池残量があるか否かや、契約されている通信料金など、複数の条件を組み合わせて判定を行っても良い。

接続可能と判定した場合、ネットワーク９０Ｂに接続し、サーバ３での決済処理を要求する決済処理コマンドをサーバ３に送信し、サーバ３から決済処理結果コマンドを受信する（Ｓ１０１０）。一方、接続できないと判定した場合、通信装置１Ｂは、通信装置１Ａに対して、決済要求コマンドをサーバ３に代理送信するよう要求する代理送信要求コマンドを送信する（Ｓ１０２０）。決済要求コマンドおよび代理送信要求コマンドの構成については、図３を用いて後述する。

ネットワーク通信部１３Ａ及びネットワーク通信部１３Ｂは、異なる種類の方式による通信を実行する通信モジュールであるため、通信装置１Ｂがサーバ３に接続できない場合にも、通信装置１Ａは接続できる場合がある。本例のように、通信装置１Ａに対して代理送信要求コマンドを送信することにより、決済処理の遅延が発生することを抑制することができる。なお、ネットワーク通信部１３Ａ及びネットワーク通信部１３Ｂが同じ種類の通信方式を用いており、同じ建物内に通信装置１Ａと通信装置１Ｂが存在する場合であっても、位置が少しずれたりすることにより通信環境に差が出る場合がある。そのため、ネットワーク通信部１３Ａ及びネットワーク通信部１３Ｂが同じ通信方式を用いている場合にも、本例のように処理するようにしても良い。

通信装置１Ａは代理送信要求コマンドを受信すると、ネットワーク通信部１３Ａによりネットワーク９０Ａを介してサーバ３に接続可能かどうかを判定し、接続可能と判定すると、決済代理要求コマンドをサーバ３に送信する（Ｓ１０３０）。決済代理要求コマンドの構成については、図４を用いて後述する。なお、Ｓ１０２０において代理送信要求コマンドを送信する前に、通信装置１Ａに対し、通信装置１Ａのネットワーク接続状況を問い合わせるコマンドを送出し、接続が可能であることを示すコマンドを受信した後に送信するようにしてもよい。

通信装置１Ａは、サーバ３から結果代理通知コマンドを受信すると、サーバ３における決済結果を示す決済結果データを抽出し、決済結果データを含めた結果転送コマンドを通信装置１Ａに送信する（Ｓ１０４０）。なお、結果代理通知コマンドの構成については図６を用いて後述する。

通信装置１Ｂは結果転送コマンドを受信すると、決済結果データを抽出し（Ｓ１０５０）、決済結果を通知する通知コマンドを通信装置１Ａに送出する。

図３に代理送信要求コマンドの構成の一例を示す。

代理送信要求コマンドは、Ｐ２Ｐ通信用データ４００と、決済要求コマンド４０１から構成される。Ｐ２Ｐ通信用データ４００は、例えば通信装置１Ｂが通信装置１Ａとの間でＰ２Ｐ通信を行うための接続情報や、通信装置１Ｂが通信装置１Ａに対してサーバ３への決済情報データの代理送信を要求していることを示す情報などが含まれている。なお、このＰ２Ｐ通信用データは、例えばヘッダやトレーラとして決済処理コマンド４０１に付加される。

決済処理コマンド４０１は、サーバ３に接続するためのネットワーク通信用データ４０２、セキュリティ装置２Ｂの固有ＩＤ２００Ｂに対応したＩＤデータ４０３、暗号化された決済情報データ４０５、改竄防止用の署名データ４０６などを含む。Ｓ１０１０では、このコマンドが通信装置１Ｂからサーバ３に送信される。

ネットワーク通信用データ４０２は、通信装置１Ｂがサーバ３に接続するための接続情報や、決済処理を要求していることを示す情報などが含まれている。

暗号化された決済情報データ４０５は、決済情報データ４０４を、サーバ認証鍵２０１Ｂで暗号化されたものである。このように、サーバ認証鍵２０１Ｂで暗号化することにより、通信装置１Ａと通信装置１Ｂ間のＰ２Ｐ通信が盗聴された場合であっても、決済情報データが第三者により読取られることを防止することができる。また、仮に通信装置１Ａのユーザーが金額等を変更しようとした場合であっても、通信装置１Ａでは復号化することができないため、データの改竄を防止することができる。

署名データ４０６は、ネットワーク通信用データ４０２、ＩＤデータ４０３、暗号化された決済情報データ４０４などの情報が改竄されていないかどうか検出するために用いられるデータである。署名データ４０６は、例えばネットワーク通信用データ４０２等からハッシュ値を取得し、サーバ認証鍵２０１Ｂにより暗号処理を施したものである。このように、署名データ４０６を付加することにより、たとえ暗号化された決済情報データ４０４が復号化されて改竄が行われたり、ＩＤデータ４０３等が変更されてしまった場合でも、改竄があったことを検出することができるため、不正な決済処理が行われることを防止することができる。

決済情報データ４０４は、通信装置１Ａから通信装置１Ｂに支払われる決済金額を示す金額データ４０７と、セキュリティ装置１Ａの固有ＩＤ２００Ａに対応するＩＤデータ４０８、セキュリティ装置２Ｂの固有ＩＤ２００Ｂに対応するＩＤデータ４０９、通信端末１Ａが決済を承諾したことを証明する証明データ４１０を有する。証明データ４１０は、Ｓ１０２において送信された受諾コマンドから抽出されたものであり、支払いを承諾した金額を示す情報も含まれる。なお、証明データ４１０は、セキュリティ装置２Ａにより作成される際に、サーバ認証鍵２０１Ａで暗号化されている。このようにすることにより、通信装置１Ａと通信装置１Ｂ間のＰ２Ｐ通信が傍受され、受諾コマンドが第三者により取得されてしまった場合でも、データの悪用を防止することができる。また、通信装置１Ｂにおいて、証明データ４１０の内容が書き換えられたりするなどの問題発生を防止することができる。

なお、図３は一例であり、代理送信要求コマンドや決済要求コマンドに、誤り検出をするためのデータなど他のデータを付加しても良いし、追加の暗号処理を施しても良い。また、決済情報データ４０４の暗号化や署名データ４０６の作成に、サーバ認証鍵２０１を用いる代わりに、サーバ認証鍵２０１を用いて作成されたセッション鍵などの派生鍵を用いてもよい。

図４は、決済代理要求コマンドの構成の一例を示す。

決済代理要求コマンドは、サーバ３に接続するためのネットワーク通信用データ５００、セキュリティ装置２Ａの固有ＩＤ２００Ａに対応したデータ５０１、決済要求コマンド４０１、改竄防止用の署名データ５０３などから構成される。

ネットワーク通信用データ５００は、サーバ３の接続用宛先を示すデータなど、通信装置１Ａがサーバ３に接続するため接続情報や、決済要求コマンドを代理送信することを示す情報などが含まれている。

署名データ５０３は、例えばネットワーク通信用データ５００等からハッシュ値を取得し、サーバ認証鍵２０１Ａで暗号化することにより作成される。また、決済処理コマンド４０１は、決済代理要求コマンドに含められる際に、サーバ認証鍵２０１Ａにより暗号化されるようにしても良い。このように、サーバ認証鍵２０１Ａで暗号化し、署名データ５０３を付加することにより、通信装置１Ａとサーバ３との通信が傍受された場合であっても、ＩＤデータ４０３等が第三者に取得されることを防止するとともに、仮にデータが変更されてしまった場合にも改竄に気がつくことができるため、不正な決済処理を防止することができる。

なお、図４は一例であり、決済代理要求コマンドに、誤り検出をするためのデータなど他のデータを付加しても良いし、追加の暗号処理を施しても良い。また、暗号化等にサーバ認証鍵２０１を用いる代わりに、サーバ認証鍵２０１を用いて作成されたセッション鍵などの派生鍵を用いてもよい。

図５に、サーバ３が通信装置１Ａから送信された決済代理要求コマンドを受信した場合に実行する決済処理の一例を示す。

サーバ３は、通信装置１Ａから決済代理要求コマンドを受信すると（Ｓ２０００）、コマンドに含まれるＩＤデータ５０１とデータ格納メモリ３０に格納された固有ＩＤ３００と照合し、対応する固有ＩＤ３００Ａを抽出し、固有ＩＤ３００Ａと対応付けられたサーバ認証鍵３０１Ａを選択する（Ｓ２０１０）。ＩＤデータ５０１に対応する固有ＩＤ３００、サーバ認証鍵３０１がデータ格納メモリ３０に記憶されていない場合には、決済処理を停止する。なお、受信した決済代理要求コマンドが暗号化されている場合には、選択したサーバ認証鍵３０１Ａを用いて復号化する。

続いて、サーバ３は、署名データ５０３を用いて決済代理要求コマンドが改竄されていないかどうかを検証する（Ｓ２０２０）。サーバ３は、例えば、決済代理要求コマンドに含まれるネットワーク通信用データ５００等と選択したサーバ認証鍵３０１Ａを用いて新たに署名データを生成し、生成した署名データを署名データ５０３を照合し、一致することを確認することで、改竄されていないかどうかの検証を行う。署名データが一致しないなど、改竄が行われている可能性があると判断した場合は、決済処理を中止する。これにより、不正な決済が行われることを防止することができる。

決済代理要求コマンドに含まれる情報が改竄されていないと判断すると、サーバ３は、決済処理コマンド４０１に含まれるＩＤデータ４０３を、データ格納メモリ３０に格納された固有ＩＤ３００と照合し、対応する固有ＩＤ３００Ｂを抽出し、固有ＩＤ３００Ｂと対応付けられたサーバ認証鍵３０１Ｂを選択する（Ｓ２０３０）。

署名４０６データを用いて決済処理コマンドが改竄されていないかどうかを検証した後、暗号化された決済情報データ４０５をサーバ認証鍵３０１Ｂを用いて決済情報データ４０４に復号化する（Ｓ２０４０）。なお、改竄検証は、前述のように、例えばネットワーク通信用データ４０２等と選択したサーバ認証鍵３０１Ｂを用いて新たに署名データを生成し、生成した署名データを署名データ４０６を照合することにより行う。

サーバ３は、決済情報データ４０４に含まれるＩＤデータ４０８とＩＤデータ４０９を読出し、これらデータがＩＤデータ４０３およびＩＤデータ５０１と一致するかどうかを確認する（Ｓ２０５０）。仮に、ＩＤデータが一致しない場合には、データ改竄が行われている可能性あるとして、決済処理を停止する。なお、Ｓ２０３０においてＩＤデータ４０３に対応する固有ＩＤ３００及びサーバ認証鍵３０１がデータ格納メモリ３０に記憶されていない場合、Ｓ２０４０において改竄が行われている可能性があると判断した場合にも、決済処理を停止する。

サーバ３は、決済情報データ４０４に含まれる証明データ４１０を、サーバ認証鍵３０１Ａで復号化し、セキュリティ装置２Ａがセキュリティ装置２Ｂによる支払い要求を受諾したことを確認する（Ｓ２０６０）。そして、金額データ４０７に基づき決済処理を行い、管理情報３０３Ａと管理情報３０３Ｂをそれぞれ更新する。例えば、管理情報３０３Ａに含まれる電子マネー情報から、金額データ４０７に示された所定の額を差し引くと共に、管理情報３０３Ｂに含まれる電子マネーの情報に所定の額を足す、といった処理を行うことにより管理情報３００の更新を行う。なお、電子マネー情報に限らず、取引の履歴など各種情報を更新するようにしても良い。

サーバ３は、決済処理を行うと、通信装置１Ａから通信装置１Ｂへの支払いが完了したことを示す決済結果データを含む結果代理通知コマンドを作成し、通信装置１Ａに送信する（Ｓ２０８０）。

なお、サーバ３が、図２のＳ１０１０において通信装置１Ｂから送信された決済要求コマンドを受信した場合には、図５のＳ２０３０〜Ｓ２０７０を実行した後、結果通知コマンドを作成し、通信装置１Ｂに送信する。この場合、通信装置１Ａを介さずに、通信装置１Ｂとサーバ３との間で直接通信を行っており、改竄の可能性が低いため、Ｓ２０５０を省略しても良い。また、Ｓ２０５０を実行する場合には、ＩＤデータ４０３とＩＤデータ４０９との比較を行う。

図６に、結果代理通知コマンドの構成の一例を示す。

サーバ３は、固有ＩＤ３００Ｂに対応したＩＤデータ６０８と、決済が行われたか否かや決済した金額を示す結果データ６０９とを有する決済結果データ６０７を作成し、サーバ認証鍵３０１Ｂで暗号化する。そして、暗号化された決済結果データ６０５に、サーバ認証鍵３０１Ｂにより生成された改竄防止用の署名データ６０６を付加したデータ６０３を生成する。なお、決済要求コマンドを受信した場合には、このデータ６０３にネットワーク通信用データを付加し、結果通知コマンドとして通信装置１Ｂに送信する。

このように、サーバ認証鍵３０１Ｂによる暗号化や、署名データ６０６の付加を行うことにより、第三者や通信装置１により決済結果データ６０７が読取られたり、改竄されたりすることを防止するとともに、たとえ改竄されてしまった場合にも、それに気がつくことができるため、サーバ３に決済処理の修正を要求するなど、早急に対処することができる。

サーバ３は、生成したデータ６０３をサーバ認証鍵３０１Ａで暗号化し、暗号化データ６０１に、通信装置１Ａに接続するためのネットワーク通信用データ６００と、サーバ認証鍵３０１Ａにより生成された改竄防止用の署名データ６０２を付加し、結果代理通知コマンドを生成する。なお、ネットワーク通信用データ６００には、通信装置１Ａの宛先などの情報を示す接続情報や、決済代理要求コマンドへのレスポンスであることを示す情報などが含まれている。

このように、サーバ認証鍵３０１Ａによる暗号化や、署名データ６０２の付加を行うことにより、ネットワーク通信中に第三者によりデータ６０３が読取られたり、改竄されたりすることを防止するとともに、たとえ改竄されてしまった場合には、それに気がつくことができるため、サーバ３や通信装置１Ｂに通知するなど、早急に対処することができる。

通信装置１Ａは、結果代理通知コマンドを受信すると、署名データ６０２を用いて改竄されていないことを検証した後、セキュリティ装置２Ａから取得したサーバ認証鍵２０１Ａを用いて、暗号化されたデータ６０１をデータ６０３に復号化する。

通信装置１Ａは、データ６０３にＰ２Ｐ通信用データを付加し、決済結果を転送する決済転送コマンドを生成し、通信装置１Ｂに送信する。

通信装置１Ｂは、決済転送コマンドを受信すると、署名データ６０６を用いて改竄されていないことを検証した後、セキュリティ装置２Ｂから読み出したサーバ認証鍵２０１Ｂを用いて、暗号化された決済結果データ６０５を決済結果データ６０７に復号化する。

そして、通信装置１Ｂは、セキュリティ装置２Ｂから読み出した固有ＩＤ２００ＢとＩＤデータ６０８とを照合し、一致することを確認する。一致確認ができた場合、決済結果データ６０９を用いて、通信装置１Ａに決済結果を通知する通知コマンドを生成する。以上説明したように、本例によれば、Ｒ／Ｗ側となる通信装置がサーバと接続できない場合であっても、セキュリティを保ちつつ、決済処理の遅延を防止することができる。なお、以上、セキュリティ装置２からサーバ認証鍵２０１を読み出し、通信装置１においてデータの暗号化や復号化を行う場合を例に説明をしたが、これに限定するものではない。セキュリティ装置２から通信装置１へサーバ認証鍵２０１を送信する際に第三者に読取られることを防止するために、セキュリティ装置２の演算処理部（図示せず）において暗号化処理および復号化処理を行い、処理結果を通信装置１に送信するようにしても良い。

また、サーバ３に決済処理を求めるコマンドを送信できない場合に、他の装置により代理で送信する場合について説明したが、決済処理以外の処理をサーバに求める場合にも、本発明を適用しても良い。

例えば、セキュリティ装置２にＰ２Ｐ認証鍵２０２が保存されていない場合に、通信装置１間で相互認証を行うために、固有ＩＤ２００に対応するＩＤデータを交換し、受信したＩＤデータを用いてサーバ３に相手装置が信用できるか否かの判定を求める認証要求コマンドを送信することが考えられる。なお、ＩＤデータを相手装置に送信する際、改竄防止用の署名データを付けて送付することが望ましい。

通信装置１Ｂがサーバ３に接続できる場合、受信したＩＤデータや署名データをサーバ認証鍵２０１Ｂで暗号化する。そして、図３に示した決済要求コマンドと同様、暗号化された情報に、ネットワーク通信用データ４０２とＩＤデータ４０３と署名データ４０６を付加し、認証要求コマンドを生成し、サーバ３に送信する。

一方、通信装置１Ｂがサーバ３に接続できない場合、認証要求コマンドにＰ２Ｐ通信用データを付加した代理送信要求コマンドを生成し、通信装置１Ａに送信する。通信装置１Ａは、代理送信要求コマンドから認証要求コマンドを抽出し、図４に示した決済代理要求コマンドと同様に、ネットワーク通信用データ５００とＩＤデータ５０１と署名データ５０３を付加し、認証代理要求コマンドを生成し、サーバ３に送信する。

サーバ３は、図５に示した処理フローと同様、サーバ認証鍵による復号化や署名データを用いた改竄検証を行った上で、通信装置１Ａが信用できるか否かの判定結果を示した認証結果データを作成する。図６の例と同様、認証結果データをサーバ認証鍵３０１Ｂで暗号化し、ＩＤデータ６０４と署名データ６０６を付加したデータ６０３を生成する。そして、データ６０３をサーバ認証鍵３０１Ａで暗号化し、ネットワーク通信用データ６００と署名データ６０２を付加した結果代理通知コマンドを生成し、通信装置１Ａに送信する。

通信装置１Ａは、結果代理通知コマンドを受信すると、復号化および改竄検証をし、データ６０３を抽出し、Ｐ２Ｐ通信用データ等を付加して通信装置１Ｂに送信する。

このように、サーバ認証鍵による暗号化や署名データによる改竄検証を行うことにより、通信装置１Ｂはサーバ３に接続できない場合であっても、セキュリティを保持しつつ、認証結果データを取得することができる。なお、この場合、ネットワーク通信用データ４０２には、決済処理を求めることを示す情報の代わりに認証を求めることを示す情報が含まれ、ネットワーク通信用データ５００には、決済要求コマンドを代理送信することを示す情報の代わりに認証要求コマンドを代理送信することを示す情報が含まれ、ネットワーク通信用データ６００には決済代理要求コマンドへのレスポンスであることを示す情報の代わりに認証代理要求コマンドへのレスポンスであることを示す情報が含まれる。また、ハッシュ値を取得するもととなる情報が異なるため、署名データ４０６、署名データ５０３、署名データ６０６及び署名データ６０２の値も異なるものとなる。

このように、本例によれば、サーバに接続できない場合であっても、セキュリティを保持しつつ、サーバに処理を求めるとともに、その処理結果を取得することができる。これにより、サーバに接続できないことによる処理の遅延が発生することを抑制することができる。

１…通信装置、２…セキュリティ装置、３…サーバ、１０…データ格納メモリ、１１…プログラム格納メモリ、１２…演算処理部、１３…ネットワーク通信部、１４…近接通信部、１５…セキュリティ装置通信部、２０…データ格納メモリ、２１…通信部、３０…データ格納メモリ

Claims

金銭を支払われるカードリーダライタ側の役割をし、金銭を支払うカード側の役割をする他の通信装置との間で通信を行い、決済処理を行うサーバに決済を要求する通信装置であって、
前記サーバとネットワークを介して通信を行う第１の通信手段と、
前記他の通信装置と近接通信を行う第２の通信手段と、
前記サーバに保存された認証鍵と対応した認証鍵を取得する取得手段と、
前記第１の通信手段と前記第２の通信手段と前記取得手段とを制御する制御手段と、を備え、
前記第２の通信手段により前記他の通信装置に支払いを求める支払要求を送信し、前記他の通信装置から前記支払要求を受諾することを示す受諾情報を受信した場合に、前記第１の通信手段により前記サーバとの間で通信を行うことができないとき、前記制御手段は、
前記受諾情報および前記他の通信装置から支払われる金額を示す金額情報を含めた決済情報データを前記取得手段により取得された認証鍵で暗号化し、前記暗号化された決済情報データを含めた決済要求コマンドに前記決済要求コマンドの代理送信を求めるデータを付加し、前記第２の通信手段により前記他の通信装置に送付するように制御することを特徴とする通信装置。
前記制御手段は、前記サーバでの決済処理の結果を示す決済結果データを含む結果転送コマンドを前記他の通信装置から受信すると、前記認証鍵を用いて復号化することにより前記決済結果データを抽出し、前記決済結果データを用いて前記他の通信装置に決済結果を通知する通知情報を作成し、前記通知情報を前記第２の通信手段により送信するように制御することを特徴とする請求項１に記載の通信装置。
前記取得手段はセキュリティ装置から前記認証鍵を取得し、
前記セキュリティ装置は前記認証鍵とともに前記セキュリティ装置を識別する固有ＩＤを格納し、
前記決済要求コマンドは、前記暗号化された決済情報データとともに、前記取得手段により取得した前記固有ＩＤと、前記決済要求コマンドに含まれるデータが改竄されていないかどうかを検出するための署名データとを含み、
前記署名データは、前記暗号化された決済情報データと前記固有ＩＤからハッシュ値を取得し、前記認証鍵により暗号化されたものであることを特徴とする請求項１又は２に記載の通信装置。
ネットワークを介してサーバと通信を行う第１の通信手段と、
他の通信装置と近接通信を行う第２の通信手段と、
前記サーバに保存された認証鍵と対応した認証鍵を取得する取得手段と、
前記第１の通信手段と前記第２の通信手段と前記取得手段とを制御する制御手段と、を備え、
前記制御手段は、前記第１の通信手段により前記サーバとの間で通信を行うことができない場合、前記サーバでの所定の処理に用いられる処理情報データを前記取得手段により取得された認証鍵で暗号化し、前記暗号化したデータを含めた処理要求コマンドに前記処理要求コマンドの代理送信を求めるデータを付加し、前記第２の通信手段により前記他の通信装置に送付し、前記サーバでの処理の結果を示す処理結果データを含む結果転送コマンドを前記他の通信装置から受信すると、前記認証鍵を用いて復号化することにより前記処理結果データを抽出することを特徴とする通信装置。
金銭を支払われるカードリーダライタ側の役割をする第１の通信装置と、金銭を支払うカード側の役割をする第２の通信装置と、決済処理を行うサーバとを備えた処理システムであって、
前記第１の通信装置は、前記サーバとネットワークを介して通信を行う手段と、前記第２の通信装置と近接通信を行う手段と、前記サーバに保存された第１の認証鍵と対応した認証鍵を第１のセキュリティ装置から取得する手段とを備え、前記第２の通信装置に支払いを求める支払要求を送信した後に前記第２の通信装置から前記支払要求を受諾することを示す受諾情報を受信した場合に、前記サーバとの間で通信を行うことができないとき、前記受諾情報と前記第２の通信装置から支払われる金額を示す金額情報と前記第１のセキュリティ装置を識別する第１の識別情報とを含む決済情報データを前記第１のセキュリティ装置から取得された認証鍵で暗号化し、前記暗号化された決済情報データを含めた決済要求コマンドに前記決済要求コマンドの代理送信を求めるデータを付加した代理送信要求コマンドを前記第２の通信装置に送付するように制御し、
前記第２の通信装置は、前記サーバとネットワークを介して通信を行う手段と、前記第１の通信装置と近接通信を行う手段と、前記サーバに保存された第２の認証鍵と対応した認証鍵を第２のセキュリティ装置から取得する手段とを備え、前記代理送信要求コマンドを受信すると、前記代理送信要求コマンドに含まれる前記決済要求コマンドを前記第２のセキュリティ装置から取得された認証鍵で暗号化し、前記暗号化したデータに前記第２のセキュリティ装置を識別する第２の識別情報を付加した代理決済要求コマンドを前記サーバに送信し、
前記サーバは、前記第１の識別情報に対応する情報に前記第１の認証鍵と前記第１の通信装置のユーザーが所持する金額に関する第１の金額管理情報とを関連付けて記憶し、前記第２の識別情報に対応する情報に前記第２の認証鍵と前記第２の通信装置のユーザーが所持する金額に関する第２の金額管理情報とを関連付けて記憶するメモリを備え、前記代理決済要求コマンドを受信すると、前記代理決済要求コマンドに含まれる前記第２の識別情報に関連付けて記憶された前記第２の認証鍵を前記メモリから読み出し、前記第２の認証鍵を用いて前記決済要求コマンドを復号化し、前記決済要求コマンドに含まれる前記第１の識別情報に関連付けて記憶された前記第１の認証鍵を前記メモリから読み出し、前記第１の認証鍵を用いて前記決済情報データを復号化し、復号化された前記決済情報データを用いて前記メモリに記憶された前記第１の金額管理情報と前記第２の金額管理情報を変更することにより決済処理を行うことを特徴とする処理システム。
第１の通信装置と第２の通信装置とサーバとを備えた処理システムであって、
前記第１の通信装置は、前記サーバとネットワークを介して通信を行う手段と、前記第２の通信装置と近接通信を行う手段と、前記サーバに保存された第１の認証鍵と対応した認証鍵を第１のセキュリティ装置から取得する手段とを備え、前記サーバとの間で通信を行うことができない場合に前記サーバでの所定の処理に用いられる処理情報と前記第１のセキュリティ装置を識別する第１の識別情報とを含む処理情報データを前記第１のセキュリティ装置から取得された認証鍵で暗号化し、前記暗号化したデータを含めた処理要求コマンドに前記処理要求コマンドの代理送信を求めるデータを付加した代理送信要求コマンドを前記第２の通信装置に送付するように制御し、
前記第２の通信装置は、前記サーバとネットワークを介して通信を行う手段と、前記第１の通信装置と近接通信を行う手段と、前記サーバに保存された第２の認証鍵と対応した認証鍵を第２のセキュリティ装置から取得する手段とを備え、前記代理送信要求コマンドを受信すると、前記代理送信要求コマンドに含まれる前記処理要求コマンドを前記第２のセキュリティ装置から取得された認証鍵で暗号化し、前記暗号化したデータに前記第２のセキュリティ装置を識別する第２の識別情報を付加した代理処理要求コマンドを前記サーバに送信し、
前記サーバは、前記第１の識別情報に対応する情報に前記第１の認証鍵を関連付けて記憶し、前記第２の識別情報に対応する情報に前記第２の認証鍵を関連付けて記憶するメモリを備え、前記代理処理要求コマンドを受信すると、前記代理処理要求コマンドに含まれる前記第２の識別情報に関連付けて記憶された前記第２の認証鍵を前記メモリから読み出し、前記第２の認証鍵を用いて前記処理要求コマンドを復号化し、前記処理要求コマンドに含まれる前記第１の識別情報に関連付けて記憶された前記第１の認証鍵を前記メモリから読み出し、前記第１の認証鍵を用いて前記処理情報データを復号化し、復号化された前記処理情報データを用いて処理を行うことを特徴とする処理システム。