JP5397917B2 - Ｉｄトークンから属性を読み込む方法とプログラム、ｉｄトークン、およびコンピュータシステム - Google Patents

Description

本願発明は、IDトークンから少なくとも１つの属性を読む方法、コンピュータプログラム製品、IDトークン、およびコンピュータシステムに関する。

従来技術は、ユーザのディジタルアイデンティティとして公知のものを管理する種々の方法を開示する。

マイクロソフトWindows（登録商標） CardSpace（登録商標）は、インターネットユーザが自己のディジタルアイデンティティをオンラインサービスに伝達することを可能にすることを意図するクライアントベースのディジタルアイデンティティシステムである。この状況における１つの欠点は、とりわけ、ユーザが自己のディジタルアイデンティティを操作できることである。

これに対して、OPENID（登録商標）は、サーバベースのシステムである。アイデンティティサーバとして公知のものは、登録済みユーザのディジタルアイデンティティを有するデータベースを格納する。これの１つの欠点は、とりわけ、不十分なデータ保護である、なぜなら、ユーザのディジタルアイデンティティは中央に格納されており、かつユーザの振る舞いが記録されうるからである。

米国出願公開２００７／０２９４４３１号明細書は、同様にユーザ登録を必要とするディジタルアイデンティティを管理する他の方法を開示する。

これに対して、本願発明は、少なくとも１つの属性を読み込む改善された方法と、また適切なコンピュータプログラム製品と、IDトークンと、コンピュータシステムを提供する目的に基づく。

本願発明が基づく目的は、独立請求項の特徴によってそれぞれ達成される。本願発明の実施形態は、従属請求項で特定される。

本願発明は、IDトークンに格納された少なくとも１つの属性を読み込む方法を構成し、ここで、IDトークンは、ユーザに関連付けられている。方法は、次のステップを備える：ユーザがIDトークンに対して認証され、第１コンピュータシステムはIDトークンに対して認証され、ユーザおよび第１コンピュータシステムのIDトークンに対する認証成功に続いて、第１コンピュータシステムは、少なくとも１つの属性を第２のコンピュータシステムに送信するために、IDトークンに格納された少なくとも１つの属性に対して読み込みアクセスを生じさせる。このことは、「信頼アンカー（confidence anchor）」が提供されることを可能にする。

本願発明によって、１つ以上の属性を第１コンピュータシステムによってIDトークンに格納することが可能になり、IDトークンおよび第１コンピュータシステムの間の接続は、ネットワーク、とりわけインターネットを介してセットアップされてもよい。上記の１つ以上の属性は、IDトークンに関連付けられたユーザの身分の指示、特にユーザの「ディジタルアイデンティティ」であってもよい。一例として、第１コンピュータシステムは、苗字、名前、住所の属性を読み込み、例えばオンラインサービスのような、第２コンピュータシステムにこれらの属性を転送する。

しかしながら、一例として、ユーザの身分を確立するためではなく、むしろ、例えば特定のオンラインサービスを使用するユーザの権限をチェックするために、特定の年齢グループに対して予約されたオンラインサービスの使用を欲しているユーザの年齢や、オンラインサービスを使用する権限のある特定のグループに対するユーザの関連付けを記述するその他の属性のような、単一の属性のみを読み込むことも可能である。

IDトークンは、USBスティックとして公知のもののような、携帯電子機器であってもよく、文書、特に重要文書またはセキュリティ文書であってもよい。

本願発明においては、「文書」は、身分証明文書、特にパスポート、身分証明カード、ビザ、および運転免許証、車両登録証明書、車両登録文書、社員身分証明書、健康カードまたは他のID文書のような、紙ベースおよび／またはプラスチックベースの文書、および、少なくとも１つの属性を格納するデータメモリを組み込んだ、チップカード、支払手段、特に銀行カードおよびクレジットカード、貨物運送証、または他の委任状を意味するものと理解する。

少なくとも１つの属性が、特に信頼できる文書、例えば公式文書から読み込まれるので、本願発明の実施形態は、このように特に有利である。属性の中央ストレージが不要であることも、特に有利である。本願発明は、このように、非常に便利な取り扱いとともに最適なデータ保護を伴う、ディジタルアイデンティティに関連付けられた属性の通信に対して、特に高レベルな信頼性をもたらす。

本願発明の一実施形態によると、第１コンピュータシステムは、第１コンピュータシステムをIDトークンに対して認証するために使用される少なくとも１つの証明書を有する。証明書は、第１コンピュータシステムが読み込み権を有する属性の指示を含む。IDトークンは、第１コンピュータシステムによって読み込みアクセスが実行される前に、第１コンピュータシステムが属性に対する読み込みアクセスに必要な読み込み権を有するかどうかをチェックするために、上記の証明書を使用する。

本願発明の一実施形態によると、第１のコンピュータシステムは、IDトークンから読み込まれた少なくとも１つの属性を、直接第２コンピュータシステムに送信する。一例として、第２コンピュータシステムは、銀行サービスのようなオンラインサービスまたは他のサービスを提供するための、または商品を注文するためのサーバであってもよい。一例として、ユーザは、ユーザの身分を含む属性が、第１コンピュータシステムから銀行の第２コンピュータシステムに送信されるアカウントをオンラインで開くことができる。

本願発明の一実施形態によると、IDトークンから読み込まれた属性は、まず第１コンピュータシステムからユーザの第３コンピュータシステムに転送される。一例として、第３コンピュータシステムは、ユーザが第２コンピュータシステム上でwebページを開くのに使用できる通常のインターネットブラウザを有する。ユーザは、サービスまたは製品の要求または注文をwebページに入力できる。

第２コンピュータシステムは、次いで、サービスを提供するまたは注文を取るために必要とする、例えばユーザの、またはユーザのIDトークンの属性を指定する。それらの属性の仕様を含む、対応する属性仕様は、次いで、第２コンピュータシステムから第１コンピュータシステムに送信される。これは、第３コンピュータシステムの介在を伴い、または伴わずになされうる。伴わない場合においては、ユーザは、例えば第３コンピュータシステムからの第２コンピュータシステム上のwebページに第１コンピュータシステムのURLを入力することによって、第２コンピュータシステムに対して好ましい第１コンピュータシステムを指定できる。

本願発明の一実施形態によると、ユーザから第２コンピュータシステムへのサービス要求は、識別子の指示を含み、識別子は、第１コンピュータシステムを特定する。一例として、識別子は、例えば第１コンピュータシステム上のURLのようなリンクである。

本願発明の一実施形態によると、属性仕様は、第２コンピュータシステムから第１コンピュータシステムに直接送信されるのではなく、むしろ、先ず第２コンピュータシステムから第３コンピュータシステムに送信される。第３コンピュータシステムは、複数の予め定められた構成データレコードを有し、ここで、第３コンピュータは、複数の予め定められた構成データレコードを有し、複数の構成データレコードは、それぞれ、属性の部分セット、少なくとも１つのデータソース、および第１コンピュータシステムのセットからの第１コンピュータシステムを指定し、属性仕様は、第３コンピュータシステムが、属性仕様において指定された少なくとも１つの属性を含む属性の部分セットを指定する少なくとも１つの構成データレコードを選択するのに使用されるように、まず第２コンピュータシステムから第３コンピュータシステムに送信されるとともに、第３コンピュータは、属性仕様を第１コンピュータシステムに転送するとともに、選択された構成データレコードのデータソースの指示によって指定されるIDトークンへの接続がセットアップされる。

本願発明の一実施形態によると、IDトークンから読み込まれた属性は、第１コンピュータシステムによって署名されるとともに、次いで、第３コンピュータシステムに転送される。第３コンピュータシステムのユーザは、このように、属性を読み込むことはできるが、それらを更新することはできない。ユーザによって発行された後にのみ、属性は、第３コンピュータシステムから第２コンピュータシステムに転送される。

本願発明の一実施形態によると、ユーザは、属性が転送される前に、属性にさらなるデータを追加できる。

本願発明の一実施形態によると、第１コンピュータシステムは、異なる読み込み権を伴う複数の証明書を有する。属性仕様の受信に基づき、第１コンピュータシステムは、IDトークンまたは複数の異なるIDトークンから関連する属性を読み込むために、１つ以上のこれらの証明書を選択する。

一実施形態によると、第３コンピュータシステムは、ネットワークを介して第３コンピュータシステムからさらなる属性を要求する外部データソースを指定する少なくとも１つの構成データレコードを有する。

本願発明の一実施形態によると、少なくとも１つの属性がIDトークンから読み込まれた後に、かつ第３のコンピュータシステムが第１コンピュータシステムから少なくとも１つの属性を受信した後に、さらなる属性が要求され、要求は、少なくとも１つの属性を含む。

さらなる構成において、本願発明は、コンピュータプログラム製品、特に、本願発明による方法を実行するための実行可能プログラム命令を伴う、ディジタル格納媒体に関する。

さらなる構成において、本願発明は、少なくとも１つの属性を格納するための保護メモリ領域、IDトークンに関連付けられたユーザをIDトークンに対して認証する手段、第１コンピュータシステムをIDトークンに対して認証する手段、および第１コンピュータシステムが少なくとも１つの属性を読み込むのに使用しうる保護された接続を第１コンピュータシステムに対してセットアップする手段を備えるIDトークンに関し、第１コンピュータシステムによってIDトークンから少なくとも１つの属性を読み込む為に必要な前提条件は、IDトークンに対するユーザおよび第１コンピュータシステムの認証成功である。

第１コンピュータシステムのIDトークンに対する認証に加えて、それ自体が例えば機械可読旅行文書（MRTD）に対する「拡張アクセス制御」として公知であるとともに、国際民間航空機関ICAOによって指定されるように、ユーザは、このように、自己をIDトークンに対して認証する必要がある。一例として、ユーザのIDトークンに対する認証成功は、さらなるステップ、即ち第１コンピュータシステムのIDトークンに対する認証および／または属性を読み込むための保護された接続のセットアップが発生しうるように、IDトークンをロック解除する。

本願発明の一実施形態によると、IDトークンは、エンドツーエンドの暗号化手段を有する。このことは、IDトークンおよび第１コンピュータシステムの間の接続を、ユーザの第３コンピュータシステムを介してセットアップすることを可能にする、なぜなら、ユーザは、エンドツーエンドの暗号化のために、通信を介して送信されるデータにいかなる変更も行えないからである。

さらなる構成において、本願発明は、ネットワークを介して属性仕様を受信するための手段を有するコンピュータシステムを伴う第１コンピュータシステムに関し、属性仕様は、少なくとも１つの属性、IDトークンに対する認証手段、保護された接続を介してIDトークンから少なくとも１つの属性を読み込む手段を指定し、少なくとも１つの属性を読み込む為の前提条件は、IDトークンに関連付けられたユーザが、IDトークンに対して自己を認証されていることである。

本願発明の一実施形態によると、第１コンピュータシステムは、ユーザに対して要求を生成する手段を含んでもよい。第１コンピュータシステムが第２コンピュータシステムから属性仕様を受信した場合、例えば、第１コンピュータシステムは、ユーザがIDトークンに対して自己の認証を求められるように、次いで、ユーザの第３コンピュータシステムに要求を送信する。IDトークンに対するユーザの認証が実行に成功した場合、第１コンピュータシステムは、第３コンピュータシステムから確認を受信する。第１コンピュータシステムは、次いでIDトークンに対して自己を認証するとともに、エンドツーエンドの暗号化を使用して、IDトークンおよび第１コンピュータシステムの間にセキュアな接続をセットアップする。

本願発明の一実施形態によると、第１のコンピュータシステムは、それぞれが異なる読み込み権を指定する複数の証明書をもっている。属性仕様の受信に続いて、第１のコンピュータシステムは、指定された属性を読み込むのに十分な読み込み権を伴う上記の証明書の少なくとも１つを選択する。

ユーザのIDトークンに対する認証の要求と組み合わせて、改ざんされていないユーザのディジタルアイデンティティに対する信頼アンカーを形成するので、本願発明による第１コンピュータシステムの実施形態は、特に有利である。この状況における固有の利点は、これにより、コンピュータシステムまたはディジタルアイデンティティを形成するユーザの属性の中央ストレージに、ユーザを予め登録することが必要とされないことである。

本願発明の一実施形態によると、第１コンピュータシステムは、第２コンピュータシステムの識別子を、属性仕様とともに受信する。識別子を使用して、コンピュータシステムは、第２コンピュータシステムにこのサービスに対する課金をするために、識別サービスの使用を希望する第２コンピュータシステムを特定する。本願発明の一実施形態によると、コンピュータシステムは、公式に認可された信頼センター、特に、署名法を遵守する信頼センターである。

本願発明の実施形態は、図面を参照して、以降においてより詳細に説明される。

図１は、本願発明によるコンピュータシステムの第１実施形態のブロック図を示す。 図２は、本願発明による方法の実施形態のフローチャートを示す。 図３ａは、本願発明によるコンピュータシステムのさらなる実施形態のブロック図を示す。 図３ｂは、本願発明によるコンピュータシステムのさらなる実施形態のブロック図を示す。 図３ｃは、本願発明によるコンピュータシステムのさらなる実施形態のブロック図を示す。 図４は、本願発明による方法のさらなる実施形態のUMLダイアグラムを示す。

互いに対応する以降の実施形態の構成要素は、同一の参照符号によって特定される。

図１は、ユーザ１０２のユーザのコンピュータシステム１００を示す。ユーザのコンピュータシステム１００は、パーソナルコンピュータ、ラップトップまたはパームトップコンピュータのようなポータブルコンピュータ、携帯情報端末（PDA）、特にスマートフォンやそれに類するもののような携帯遠隔通信機器であってもよい。ユーザのコンピュータシステム１００は、適切なインターフェース１０８を有する、IDトークン１０６と通信するためのインターフェース１０４を有する。

ユーザのコンピュータシステム１００は、プログラム命令１１２を実行するための少なくとも１つのプロセッサ１１０、およびネットワーク１１６を介して通信するためのネットワークインターフェース１１４を有する。ネットワークは、インターネットのようなコンピュータネットワークであってもよい。

IDトークン１０６は、保護メモリ領域１２０、１２２、および１２４を伴う電子メモリ１１８を有する。保護メモリ領域１２０は、ユーザ１０２をIDトークン１０６に対して認証するのに必要な基準値を格納するのに使用される。上記の基準値は、例えば、特に個人認証番号（PIN）として公知である識別子、またはユーザをIDトークン１０６に対して認証するのに使用されうる、ユーザ１０２の生体測定の特徴に対する基準データである。

保護された領域１２２は、秘密鍵を格納するのに使用されるとともに、保護メモリ領域１２４は、例えば、ユーザ１０２の名前、居住地、誕生日、性別、および／または、IDトークンを作成または発行した団体、IDトークンの有効期限、或いは、パスポート番号またはクレジットカード番号のようなIDトークンの識別子のような、IDトークン自体に関連する属性である属性を格納するのに使用される。

電子メモリ１１８は、証明書を格納するためのメモリ領域１２６を有してもよい。証明書は、保護メモリ領域１２２内に格納された秘密鍵に関連付けられた公開鍵を含む。証明書は、例えば、X.509規格に基づいて、公開鍵基盤（PKI）規格に基づいて生成されてもよい。

証明書は、必ずしもIDトークン１０６の電子メモリ１１８内に格納される必要はない。これに代えて、またはこれに加えて、証明書は、公開ディレクトリサーバ内に格納されてもよい。

IDトークン１０６は、プロセッサ１２８を有する。プロセッサ１２８は、プログラム命令１３０、１３２、および１３４を実行するのに使用される。プログラム命令１３０は、ユーザ認証のため、即ち、IDトークンに対するユーザ１０２の認証のために使用される。

PINを使用する実施形態において、ユーザ１０２は、例えばユーザのコンピュータシステム１００を介して、IDトークン１０６に対して自己を認証するために、自己のPINを入力する。プログラム命令１３０の実行は、次いで、入力PINと、PINに対して格納された基準値とを比較するために、保護メモリ領域１２０にアクセスする。入力PINが、PINの基準値と一致した場合、ユーザ１０２は認証されたとみなされる。

それに代えて、ユーザ１０２の生体認証の特徴が取得される。一例として、IDトークン１０６はこの目的のために指紋センサーを有する、または指紋センサーがユーザのコンピュータシステム１００に接続される。ユーザ１０２から取得された生体認証データは、この実施形態におけるプログラム命令１３０を実行することによって、保護メモリ領域１２０に格納された生体認証基準データと比較される。ユーザ１０２から取得された生体認証データおよび生体認証基準データの間に十分な一致がある場合、次いで、ユーザ１０２は認証されたものとみなされる。

プログラム命令１３４は、IDプロバイダのコンピュータシステム１３６をIDトークン１０６に対して認証するために、IDトークン１０６に関連する暗号化プロトコルのステップを実行するために使用される。暗号化プロトコルは、対称鍵または非対称鍵対に基づくチャレンジ／応答プロトコルであってもよい。

一例として、暗号化プロトコルは、国際民間航空機関(ICAO)によって機械可読旅行文書（MRTD）に対して指定されるような、拡張アクセス制御方法を実施する。暗号化プロトコルの実行成功により、IDプロバイダのコンピュータシステム１３６がIDトークンに対して認証され、こうして保護メモリ領域１２４に格納された属性を読み込むためのその読み込み権が証明される。認証はまた、相互的、即ち、IDトークン１０６は次いで、同じまたは異なる暗号化プロトコルに基づいてIDプロバイダのコンピュータシステム１３６に対して自己を認証する必要があってもよい。

プログラム命令１３２は、IDトークン１０６およびIDプロバイダのコンピュータシステム１３６の間で送信されるデータのエンドツーエンド暗号化のために使用されるが、少なくともIDプロバイダのコンピュータシステム１３６によって保護メモリ領域１２４から読み込まれる属性のエンドツーエンド暗号化のために使用される。例えば、暗号化プロトコルが実行される場合、エンドツーエンドの暗号化のために、IDトークン１０６およびIDプロバイダのコンピュータシステム１３６の間で合意された対称鍵を使用できる。

図１に示された実施形態の代替として、ユーザのコンピュータシステム１００は、直接ではなく、むしろ自己のインターフェース１０４に接続されたIDトークン１０６のための読み取り機を介してインターフェース１０８と通信するために、自己のインターフェース１０４を使用してもよい。例えばクラス２のチップカード端末として公知のものである、この読み取り機は、PINを入力するのに使用されてもよい。

IDプロバイダのコンピュータシステム１３６は、ネットワーク１１６を介した通信のためのネットワークインターフェース１３８を有する。IDプロバイダのコンピュータシステム１３６は、また、IDプロバイダのコンピュータシステム１３６のための秘密鍵１４２を格納するメモリ１４０および適切な証明書１４４を有する。この証明書は、例えばX.509のような、PKI規格に基づく証明書であってもよい。

IDプロバイダのコンピュータシステム１３６は、また、プログラム命令１４６および１４８を実行するための少なくとも１つのプロセッサ１４５を有する。プログラム命令１４６を実行することによって、IDプロバイダのコンピュータシステム１３６に関連する暗号化プロトコルのステップが実行される。全体として、暗号化プロトコルは、このように、IDトークン１０６のプロセッサ１２８によるプログラム命令１３４の実行を通して、およびIDプロバイダのコンピュータシステム１３６のプロセッサ１４５によるプログラム命令１４６の実行を通して実施される。

プログラム命令１４８は、暗号化プロトコルが実行される場合に，例えばIDトークン１０６およびIDプロバイダコンピュータシステム１３６の間で合意された対称鍵に基づいて、IDプロバイダのコンピュータシステム１３６上でエンドツーエンドの暗号化を実施するのに使用されてもよい。原則として、Diffie-Hallman鍵交換のような、事実上既知のエンドツーエンド暗号化のための対称鍵について合意するいかなる方法も使用できる。

IDプロバイダコンピュータシステム１３６が、ユーザ１０２のIDトークン１０６に対する認証の必要性と組み合わせてIDトークン１０６から読み込まれる属性の正当性に対する信頼アンカーを形成するように、IDプロバイダコンピュータシステム１３６は、特に保護された環境、特に信頼センターとして公知であるものに置かれるのが好ましい。

サービスコンピュータシステム１５０は、サービスまたは製品、特にオンラインサービスの注文または発注を取るように設計されてもよい。一例として、ユーザ１０２は、銀行に口座を開設でき、また、ネットワーク１１６を介して接続される他の金融または銀行サービスを使用できる。 サービスコンピュータシステム１５０は、また、例えば、ユーザ１０２が携帯電話またはそれに類するものをオンラインで購入できるように、オンライン問屋の形式であってもよい。これに加えて、サービスコンピュータシステム１５０は、また、例えば音楽データおよび／または動画データのダウンロードのためにデジタルコンテンツを配信するように設計されてもよい。

この目的のために、サービスコンピュータシステム１５０は、ネットワーク１１６に接続するためのネットワークインターフェース１５２を有する。これに加えて、サービスコンピュータシステム１５０は、プログラム命令１５６を実行するための少なくとも１つのプロセッサ１５４を有する。プログラム命令１５６の実行によって、例えば、ユーザ１０２が自己の発注または自己の注文を入力するのに使用できる、動的HTMLページが生成される。

発注されたまたは注文された製品またはサービスの性質によって、サービスコンピュータシステム１５０は、規定された基準を使用して、ユーザ１０２および／またはユーザのIDトークン１０６の１以上の属性をチェックする必要がある。このチェックが合格した場合にのみ、ユーザ１０２からの注文または発注は、引き受けられ、および／または実行される。

一例として、銀行口座を開設する、または携帯電話を関連付けられた契約をもって購入するのに、ユーザ１０２は、サービスコンピュータシステム１５０に対する自己の身分を開示する必要があるとともに、この身分がチェックされる必要がある。従来技術においては、ユーザ１０２は、例えば自己の身分証明カードを提示することによって、これを行わなければならない。この処理は、ユーザ１０２のディジタルアイデンティティを、ユーザのIDトークン１０６から読み込むことによって置き換えられる。

しかしながら、アプリケーションのインスタンスによっては、ユーザ１０２は、サービスコンピュータシステム１５０に自分の身分を開示する必要がなく、むしろ例えば１つの属性のみを通信すれば足りる。一例として、ユーザ１０２は、ダウンロードのためにサービスコンピュータシステム１５０上で保持されるデータにアクセスする権限がある特定の人々のグループに自己が属する証拠を提供するための属性の１つを使用してもよい。一例として、そのような基準はユーザ１０２の最低年齢、または特定の機密データに対するアクセス権限を有する人々のグループとユーザ１０２との関連であってもよい。

サービスコンピュータシステム１５０によって提供されるサービスを使用するための手順は次のようである。

１．ユーザ１０２のIDトークン１０６に対する認証

ユーザ１０２は、IDトークン１０６に対して自己を認証する。PINを使用する実施において、ユーザ１０２は、例えば、ユーザのコンピュータシステム１００、またはそれに接続されたチップカード端末を使用して自分のPINを入力することによってこれを行う。プログラム命令１３０を実行することによって、IDトークン１０６は、次いで、入力PINの正確性をチェックする。入力PINが、保護メモリ領域１２０に格納されたPIN基準値に一致した場合、ユーザ１０２は認証されたものとみなされる。ユーザ１０２を認証するために、彼の生体測定の特徴が使用される場合、手順は上記と同様であってもよい。

２．IDプロバイダコンピュータシステム１３６のIDトークン１０６に対する認証

この目的のために、ユーザのコンピュータシステム１００およびネットワーク１１６を介して、IDトークン１０６およびIDプロバイダのコンピュータシステム１３６の間の接続がセットアップされる。一例として、IDプロバイダのコンピュータシステム１３６は、この接続を介して、自己の証明書１４４をIDトークン１０６に対して送信する。プログラム命令１３４は、次いで、チャレンジとして公知であるもの、即ち、例えば乱数を生成する。この乱数は、証明書１４４に含まれる、IDプロバイダのコンピュータシステム１３６の公開鍵を使用して暗号化される。結果として生じる暗号は、接続を介して、IDトークン１０６からIDプロバイダのコンピュータシステム１３６に送信される。IDプロバイダのコンピュータシステム１３６は、自己の秘密鍵１４２を使用して暗号を復号するとともに、このようにして乱数を取得する。乱数は、IDプロバイダのコンピュータシステム１３６によって接続を介してIDトークン１０６に返却される。プログラム命令１３４を実行することによって、IDトークンは、IDプロバイダのコンピュータシステム１３６から受信された乱数が、元々生成された乱数、即ちチャレンジに一致するかどうかをチェックする。一致した場合、IDプロバイダのコンピュータシステム１３６は、IDトークン１０６に対して認証されたものとみなされる。この乱数は、エンドツーエンドの暗号化のための対称鍵として使用されうる。

３．ユーザ１０２が、IDトークン１０６に対して自己の認証を成功させた場合、かつプロバイダのコンピュータシステム１３６がIDトークン１０６に対して自己の認証を成功させた場合、IDプロバイダのコンピュータシステム１３６は、保護メモリ領域１２４に格納された属性、複数の属性、または全ての属性を読み込むための読み込み権を提供される。IDプロバイダのコンピュータシステム１３６が接続を介してIDトークン１０６に送信する、関連する読み込みコマンドに基づいて、プログラム命令１３２を実行することによって、要求された属性が、保護メモリ領域１２４から読み込まれるとともに暗号化される。暗号化された属性は、接続を介してIDプロバイダのコンピュータシステム１３６に送信され、暗号化された属性はそこでプログラム命令１４８を実行することによって復号化される。これにより、IDプロバイダのコンピュータシステム１３６に、IDトークン１０６から読み込まれた属性の情報が提供される。

これらの属性は、IDプロバイダのコンピュータシステムによって、IDプロバイダのコンピュータシステムの証明書１４４を使用して署名されるとともに、ユーザのコンピュータシステム１００を介して、または直接に、サービスコンピュータシステム１５０に送信される。これにより、おそらくは次いでユーザ１０２によって要求されたサービスを提供するために、規定された１以上の基準を使用して、サービスコンピュータシステム１５０はこれらの属性をチェックできるように、サービスコンピュータシステム１５０にIDトークン１０６から読み込まれた属性を通知する。

IDプロバイダのコンピュータシステム１３６によりサービスコンピュータシステム１５０に伝えられたユーザ１０２の属性が正当であるとともに、改ざんされていないことを、サービスコンピュータシステムが確認できるように、IDトークン１０６に対するユーザ１０２の認証およびIDトークン１０６に対するIDプロバイダのコンピュータシステム１３６の認証の要求は、必要な信頼アンカーを提供する。

実施形態によっては、認証の順序は異なってもよい。一例として、最初に、ユーザ１０２がIDトークン１０６に自己の認証をしなくてはならず、IDプロバイダコンピュータシステム１３６が続くように準備されてもよい。しかしながら、原則として、最初にIDプロバイダのコンピュータシステム１３６がIDトークン１０６に対して自己の認証をしなくてはならず、その後にのみユーザ１０２が続くことも可能である。

１つ目の場合においては、IDトークン１０６は、一例として、ユーザ１０２による正しいPINの入力または正しい生体測定の特徴を通じてのみロック解除されるように設計される。このロック解除によってのみ、プログラム命令１３２および１３４が開始して、それ故にIDプロバイダのコンピュータシステム１３６が認証されることが可能になる。２つ目の場合においては、ユーザ１０２がIDトークン１０６に対して自己の認証をしていない場合であっても，プログラム命令１３２および１３４が開始可能である。この場合、一例として、プログラム命令１３４は、プログラム命令１３０がユーザ１０２も認証成功したことを通知するまで、IDプロバイダのコンピュータシステム１３６が１つ以上の属性を読み込むことを目的として保護メモリ領域１２４に読み込みアクセスを実行できないような形式であってもよい。

特に有利であるのは、例えばメディアの途絶なし（zwar medienbruchfrei）に、かつ、法的にIDトークン１０６に対してユーザ１０２およびIDプロバイダのコンピュータシステム１３６が認証される必要によって形成された信頼アンカーに基づく、eコマースおよび電子政府のアプリケーションにおけるIDトークン１０６の利用である。また、特に有利であるのは、様々なユーザ１０２の属性の中央ストレージが不要であるという事実であり、このことは、従来技術において存在したデータ保護問題が、ここでは解決されていることを意味する。本願方法を適用することの利便性に関する限り、プロバイダのコンピュータシステム１３６を使用するためのユーザ１０２の事前登録は不要であることが、特に有利である。

図２は、本願発明による方法の一実施形態を示す。ステップ２００において、サービス要求が、ユーザのコンピュータシステムからサービスコンピュータシステムに送信される。一例として、ユーザは、ユーザのコンピュータシステム上でインターネットブラウザを開始するとともに、サービスコンピュータシステム上のwebページを呼び出すためのURLを入力することによって、これを行う。ユーザは、次いで、例えば、サービスまたは製品を注文または発注するために、呼び出されたwebページに自分のサービス要求を入力する。

ステップ２０２において、サービスコンピュータシステム１５０は、次いで、サービス要求に対するユーザの権限をチェックするために、自己が必要とする１以上の属性を指定する。特に、サービスコンピュータシステムは、ユーザ１０２のディジタルアイデンティティを決定する属性を指定できる。このサービスコンピュータシステム１５０による属性の指定は、固定的に規定されてもよく、または規定の規則を使用して、サービス要求に依存して、サービスコンピュータシステム１５０によって個別に決定されてもよい。

ステップ２０４において、属性仕様、即ち、１以上の属性に対してステップ２０２において実行される属性は、特に、直接またはユーザのコンピュータシステムを介して、サービスコンピュータシステムからIDプロバイダコンピュータシステムに送信される。

IDプロバイダのコンピュータシステムに、ユーザのIDトークンから属性を読み込む機会を提供するために、ステップ２０６において、ユーザはIDトークンに対して自己を認証する。

ステップ２０８において、IDトークンおよびIDプロバイダのコンピュータシステムの間で接続がセットアップされる。これは、例えば、セキュアなメッセージング方法として公知であるものに基づく、保護された接続であるのが好ましい。

ステップ２１０において、IDプロバイダのコンピュータシステムは、ステップ２０８においてセットアップされている通信を介して、少なくともIDトークンに対して認証される。それに加えて、IDトークンが、IDプロバイダのコンピュータシステムに対して認証されるための準備があってもよい。

ユーザおよびIDプロバイダのコンピュータシステムが、IDトークンに対して認証成功した場合、IDプロバイダのコンピュータシステムは、IDトークンによって、属性を読み込むアクセス権限が提供される。ステップ２１２において、IDプロバイダのコンピュータシステムは、属性仕様により必要とされる属性をIDトークンから読み込む１つ以上の読み込みコマンドを送信する。属性は、次いで、保護された接続を介してIDプロバイダのコンピュータシステムに、エンドツーエンドの暗号化を使用して転送され、そこで属性は復号化される。

ステップ２１４において、読み込まれた属性値はIDプロバイダのコンピュータシステムによって署名される。ステップ２１６において、IDプロバイダのコンピュータシステムは、ネットワークを介して、署名済みの属性値を送信する。署名済みの属性値は、直接またはユーザのコンピュータシステムを介して、サービスコンピュータシステムに到達する。ユーザのコンピュータシステムを介する場合には、ユーザは、署名済みの属性値の記録を取る、および／または署名済みの属性値にさらなるデータを追加する機会を有してもよい。ユーザによって発行された後にのみ、ユーザのコンピュータシステムからサービスコンピュータシステムに、おそらくは追加データを伴った、署名済み属性値が転送されるように準備がなされてもよい。これにより、IDプロバイダのコンピュータシステムからサービスコンピュータシステムに送信される属性の観点からは、ユーザに対して最大限可能な透過性が提供される。

図３は、本願発明によるIDトークンおよび本願発明によるコンピュータシステムのさらなる実施形態を示す。図３内の実施形態において、IDトークン１０６は、インターフェース１０８、メモリ１１８、およびプロセッサ１２８を形成する集積電子回路を伴う、紙ベースおよび／またはプラスチックベースの文書のような、文書の形式である。一例として、集積電子回路は、RFIDタグまたはRFIDラベルとも呼ばれる、無線タグとして公知であるものであってもよい。これに代えて、インターフェース１０８は、接触部を備えても、デュアルモードインターフェースの形式であってもよい。

特に、文書１０６は、電子パスポートまたは電子身分証明カードのような、機械可読旅行文書（MRTD）のような重要文書またはセキュリティ文書であってもよく、クレジットカードのような支払手段であってもよい。

本ケースで考察下の実施形態において、保護メモリ領域１２４は、属性iを格納し、ここで、1≦i≦nである。続いて、一般性を限定することなく、図３の例を使用して示されるIDトークン１０６は、電子身分証明カードであると仮定される。一例として、属性i=1は苗字であり、属性i=2は名前であり、属性i=3は住所であり、かつ属性i=4は誕生日等である。

考察下の実施形態においては、ユーザのコンピュータシステム１００のインターフェース１０４は、RFIDリーダーの形式であってもよく、ユーザのコンピュータシステムの一体化部分を形成してもよく、または別個の構成要素としてそれに接続されてもよい。

ユーザ１０２は、クレジットカードであるIDトークン１０６'と基本的に同一設計の１つまたは複数のさらなるIDトークンを有する。

ユーザのコンピュータシステム１００は、複数の構成データレコード１５８、１６０、…を格納してもよい。各構成データレコードは、特定の属性のセットに対して、データソースおよび指定されたデータソースから読み込み可能なIDプロバイダのコンピュータシステムを指示する。この実施形態において、ユーザのコンピュータシステム１００は、異なる「信頼センター」にそれぞれが関連付けられてもよい、異なるIDプロバイダのコンピュータシステム１３６、１３６'、…を指定するために、ネットワーク１１６を使用しうる。一例として、IDプロバイダのコンピュータシステム１３６は、信頼センターAに関連付けられるとともに、原則として同じ設計であるIDプロバイダのコンピュータシステム１３６'は、他の信頼センターBに関連付けられてもよい。

IDコンテナとも呼ばれる構成データレコード１５８は、自己において定義された属性i=1からi=4に対する属性のセットを有する。これらの属性は、それぞれこれらの属性に関連付けられたデータソース「身分証明カード」即ちIDトークン１０６と、信頼センターA、即ちIDプロバイダのコンピュータシステム１３６を有する。信頼センターAは、そのURLの形式で、例えば構成データレコード１５８において指定されてもよい。

これに対して、構成データレコード１１６は、そこで定義された属性のセットI、II、およびIIIを有する。これらの属性に対して指示されるデータソースは、個々のクレジットカード、即ちIDトークン１０６'である。IDトークン１０６'は、属性I、II、IIIを格納する保護メモリ領域１２４'を有する。例えば、属性Iはクレジットカードの保有者の名前であってもよく、例えば、属性IIはクレジットカード番号であってもよく、かつ属性IIIはクレジットカードの有効性等であってもよい。

構成データレコード１６０内で指示されたIDプロバイダのコンピュータシステムは、信頼センターBのIDプロバイダコンピュータシステム１３６'である。

図３に示された実施形態の代替として、異なる属性に対して、同じ構成データレコードにおいて異なるデータソースおよび／または異なるIDプロバイダのコンピュータシステムが指示されることも可能である。

図３の実施形態においては、IDプロバイダのコンピュータシステム１３６、１３６'、…のそれぞれは、個々の複数の証明書を有していてもよい。

一例として、図３内の例によって示されたIDプロバイダのコンピュータシステム１３６のメモリ１４０は、それぞれに関連付けられた秘密鍵１４２．１および１４２．２を伴う証明書１４４．１および１４４．２のような、複数の証明書を格納する。証明書１４４．１において、i=1からi=4までの属性に対してIDプロバイダのコンピュータシステム１３６に対する読み込み権が定義される一方で、証明書１４４．２では、属性IからIIIまでに対して読み込み権が定義される。

サービスコンピュータシステム１５０によって提供されるサービスを使用するために、ユーザ１０２は、先ず、ユーザのコンピュータシステム１００に、例えば、サービスコンピュータシステム１５０上のwebページに自分の望ましいサービスの要求を入力するために、ユーザ入力１６２を生成する。サービス要求１６４は、ネットワーク１１６を介して、ユーザのコンピュータシステム１００からサービスコンピュータシステム１５０に送信される。サービスコンピュータシステム１５０は、次いで、例えばユーザ１０２からのサービス要求１６４を処理するためにサービスコンピュータシステム１５０が要求する属性を指定することによって、属性仕様１６６を伴って応答する。一例として、属性仕様は、「苗字」、「名前」、「住所」、「クレジットカード番号」のような属性名の形式で作成される。

属性仕様１６６の受信は、ユーザのコンピュータシステム１００によってユーザ１０２に通知される。ユーザ１０２は、次いで、属性仕様１６６により、少なくとも部分セットとして属性を含む、属性のセットをそれぞれ定義する、１つ、または必要であれば複数の、構成データレコード１５８、１６０、…を選択できる。

属性仕様１６６が単にユーザ１０２の苗字、名前、および住所の通知を要求する場合、例えば、ユーザ１０２は構成データレコード１５８を選択できる。それに対して、属性仕様１６６においてクレジットカード番号が追加的に指定されている場合、ユーザ１０２は、構成データレコード１６０を追加的に選択できる。この処理は、また、ユーザのコンピュータシステム１００によって、例えばプログラム命令１１２を実行することによって、完全に自動的に実行されてもよい。

続いて、まず、構成データレコード１５８のような構成データレコードの１つのみが、属性仕様１６６に基づいて選択されていると仮定する。

ユーザのコンピュータシステム１００は、次いで、選択された構成データレコード内で指示されたIDプロバイダのコンピュータシステムに、考察下の本実施例においては、信頼センターAのIDプロバイダのコンピュータシステム１３６に、要求１６８を送信する。上記要求１６８は、構成データレコード１５８において指示されるデータソースからIDプロバイダのコンピュータシステム１３６によって読み込まれる必要のある、属性仕様１６６による、属性の指示を含む。

IDプロバイダのコンピュータシステム１３６は、次いで、これらの属性を読み込むのに必要な読み込み権を有する１つ以上の自己の証明書を選択する。一例として、身分証明カードから属性i=1から3が読み込まれるならば、IDプロバイダのコンピュータシステム１３６は、そこで必要とされる読み込み権を定義する自己の証明書１４４．１を選択する。この証明書の選択は、プログラム命令１４９を実行することによって行われる。

次いで、暗号化プロトコルの実行が開始される。一例として、この目的のためにIDプロバイダのコンピュータシステム１３６は、ユーザのコンピュータシステム１００に応答を送信する。ユーザのコンピュータシステム１００は、次いで、ユーザ１０２に、指定されたデータソースに対して、即ちこの場合は身分証明カードに対して、自己を認証するように依頼する。

ユーザ１０２は、次いで、自分の身分証明カード、即ちIDトークン１０６を、RFID読み取り機１０４の範囲にかざすとともに、例えば自己を認証するために自分のPINを入力する。IDトークン１０６に対するユーザ１０２の認証成功により、暗号化プロトコルの実行、即ちプログラム命令１３４の実行に対してIDトークン１０６がロック解除される。続いて、IDプロバイダのコンピュータシステム１３６は、選択された証明書１４４．１を使用して、例えばチャレンジ／応答方法を使用して、IDトークン１０６に対して自己を認証する。認証は、相互的であってもよい。IDトークン１０６に対するIDプロバイダのコンピュータシステム１３６の認証成功に続いて、IDプロバイダのコンピュータシステムは、必要な属性を読み込むための読み込み要求をユーザのコンピュータシステム１００に送信するとともに、ユーザのコンピュータシステム１００は、この読み込み要求を、RFID読み取り機１０４を介してIDトークン１０６に転送する。IDトークン１０６は、IDプロバイダのコンピュータシステム１３６が必要な読み込み権を有しているかどうかをチェックするために証明書１４４．１を使用する。もし有している場合、望ましい属性が保護メモリ領域１２４から読み込まれるとともに、エンドツーエンドの暗号化を使用して、ユーザのコンピュータシステム１００を介してIDプロバイダのコンピュータシステムに送信される。

IDプロバイダのコンピュータシステム１３６は、次いで、読み込まれた属性を含む応答１７０を、ネットワーク１１６を介してサービスコンピュータシステム１５０に送信する。応答１７０は、証明書１４４．１をもって電子署名される。

それに代えて、IDプロバイダのコンピュータシステム１３６は、ユーザのコンピュータシステム１００に応答１７０を送信する。ユーザ１０２は、次いで、応答１７０に含まれる属性を読み込むとともに、これらの属性をサービスコンピュータシステム１５０に転送することを実際に欲しているか否かを判定するための機会を提供される。ユーザ１０２からの開放コマンドがユーザのコンピュータシステム１００に入力された場合にのみ、次いで、応答１７０はサービスコンピュータシステム１５０に転送される。この実施形態において、ユーザ１０２は、応答１７０にさらなるデータを追加することも可能である。

複数のIDプロバイダのコンピュータシステム１３６、１３６'、…が関係する場合、IDプロバイダのコンピュータシステムからの個々の応答は、ユーザのコンピュータシステム１００によって、属性仕様１６６による属性の全てを含む単一の応答に結合されてもよく、この単一の応答は、次いでユーザのコンピュータシステム１００からサービスコンピュータシステム１５０に送信される。

本願発明の一実施形態によると、ユーザ１０２は、サービス要求１６４の発生時に、例えば、サービス要求１６４の一部としてネットワーク１１６を介してユーザの属性をサービスコンピュータシステムに送信することによって、１以上の自分の属性をサービスコンピュータシステム１５０に開示できる。特に、ユーザ１０２は、サービスコンピュータシステム１５０上のwebページに属性を入力できる。これらの属性の正当性は、次いで、応答１７０によって確認される、即ち、サービスコンピュータシステム１５０は、IDプロバイダのコンピュータ１３６によってIDトークン１０６から読み込まれた属性と、ユーザ１０２から受信した属性とを比較でき、かつ属性が一致することをチェックできる。

本願発明のさらなる実施形態によると、ユーザ１０２のIDトークンの１つに格納されていないが、なお外部データソースから要求されうる属性である、少なくとも１つのさらなる属性を、属性仕様１６６において指示することが可能である。一例として、このことは、ユーザ１０２の信用力に関連する属性を含みうる。この目的のために、ユーザのコンピュータシステム１００は、データソースおよびIDプロバイダのコンピュータシステムの属性A−例えば信用力に対する指示を含む、さらなる構成データレコード１６１を有してもよい。データソースは、信用調査所、Dun&Bradstreetまたはこれに類するもののような、オンライン信用調査機関であってもよい。一例として、指示されるIDプロバイダのコンピュータシステムは、図３の実施形態のように、信頼センターCである。この場合において、データソースは、信頼センターCに配置されてもよい。

属性Aを要求するために、ユーザのコンピュータシステム１００は、このように、信頼センターC、即ちIDプロバイダのコンピュータシステム１３６''に（図３に図示されていない）適切な要求を送信する。IDプロバイダのコンピュータシステム１３６''は、次いで、ユーザのコンピュータシステム１００がユーザ１０２のIDトークンから読み込まれたさらなる属性と共にサービスコンピュータシステム１５０に転送する属性Aを配信する。

属性Aは、例えば、ユーザ１０２のディジタルアイデンティティに関する属性がユーザ１０２のIDトークンの１つから既に要求されており、かつユーザのコンピュータシステム１００によって署名済み応答１７０として受信された後に要求されるのが好ましい。ユーザのコンピュータシステム１００によるIDプロバイダのコンピュータシステム１３６''からの属性Aの要求は、次いで、IDプロバイダのコンピュータシステム１３６''がユーザ１０２の身分に関する信頼できる情報を有するように、署名済み応答１７０を含む。

図４は、本願発明による方法のさらなる実施形態を示す。ユーザ１０２からのユーザのコンピュータシステム１００へのユーザ入力は、ユーザ１０２によって、彼または彼女が仕様を欲しているサービスコンピュータシステム上のサービスを指定するのに使用される。一例として、このことは、サービスコンピュータシステム上のインターネットページを呼び出すとともに、そこで提供されるサービスの１つを選択することによって行われる。ユーザ１０２からのサービス要求は、ユーザのコンピュータシステム１００からサービスコンピュータシステム１５０に転送される。

サービスコンピュータシステム１５０は、属性仕様、即ち、例えば、属性名のリストを伴って、サービス要求に応答する。属性仕様が受信された場合、ユーザのコンピュータシステム１００は、例えば入力要求により、IDトークン１０６への自己の認証をユーザ１０２に依頼する。

ユーザ１０２は、次いで、例えば自分のPINを入力することによって、IDトークン１０６に対して自己を認証する。認証成功に続いて、属性仕様が、ユーザのコンピュータシステム１００からIDプロバイダのコンピュータシステム１３６に転送される。IDプロバイダのコンピュータシステム１３６は、次いで、IDトークン１０６に対して自己の認証を行なうとともに、IDトークン１０６に対する属性仕様により、属性を読む読み込み要求を送信する。

従来の、ユーザ１０２の、およびIDプロバイダのコンピュータシステム１３６の認証成功を仮定して、IDトークン１０６は、望ましい属性を伴う読み込み要求に応答する。IDプロバイダのコンピュータシステム１３６は、属性に署名するとともに、署名済みの属性をユーザのコンピュータシステム１００に送信する。ユーザ１０２による発行に続いて、署名済みの属性は、次いで必要に応じて望ましいサービスを提供しうるサービスコンピュータシステム１５０に、次いで転送される。

100 ユーザのコンピュータシステム
102 ユーザ
104 インターフェース
106 IDトークン
108 インターフェース
110 プロセッサ
112 プログラム命令
114 ネットワークインターフェース
116 ネットワーク
118 電子メモリ
120 保護メモリ領域
122 保護メモリ領域
124 保護メモリ領域
126 メモリ領域
128 プロセッサ
130 プログラム命令
132 プログラム命令
134 プログラム命令
136 IDプロバイダのコンピュータシステム
138 ネットワークインターフェース
140 メモリ
142 秘密鍵
144 証明書
145 プロセッサ
146 プログラム命令
148 プログラム命令
149 プログラム命令
150 サービスコンピュータシステム
152 ネットワークインターフェース
154 プロセッサ
156 プログラム命令
158 構成データレコード
160 構成データレコード
161 構成データレコード
162 ユーザ入力
164 サービス要求
166 属性仕様
168 要求
170 応答

Claims (18)

1. IDトークンに格納される少なくとも１つの属性を読み込む方法であって、前記IDトークンはユーザに関連付けられ、前記方法は、
   前記ユーザが、前記IDトークンに対して認証されるステップと、
   前記IDトークンと第１コンピュータシステムとの間で保護された接続がセットアップされるステップと、
   第１コンピュータシステムが、前記IDトークンに対して前記保護された接続を介して認証されるステップと、
   前記IDトークンに対する前記ユーザおよび前記第１コンピュータシステムの認証成功に続いて、前記第１コンピュータシステムは、前記少なくとも１つの属性を、署名された場合に第２コンピュータシステムに送信することを目的として、１またはそれ以上の読み込みコマンドを送信し、前記IDトークンからの前記少なくとも１つの属性をエンドツーエンドの暗号化を使用して前記保護された接続を介して当該第１のコンピュータシステムへと転送し、そして暗号化された前記少なくとも１つの属性を前記第１のコンピュータによって復号化することにより、前記IDトークンに格納された前記少なくとも１つの属性に対する読み込みアクセスを生じさせるステップと、
   前記IDトークンから読み込まれた前記少なくとも１つの属性に、前記第１コンピュータシステムが署名するステップと、
   署名された前記属性を、前記第１コンピュータシステムから前記第２コンピュータシステムに送信するステップと、
   を備え、
   前記第１コンピュータシステムは前記第１コンピュータシステムの証明書を使用して前記IDトークンに対して認証され、
   当該証明書は、前記IDトークンに格納された前記第１コンピュータシステムが読み込みアクセスのために認証を受けるべき前記属性、についての指示を含み、
   前記IDトークンは、前記証明書を使用して、前記第１コンピュータシステムの前記少なくとも１つの属性に対する前記読み込みアクセスのための読み込み権をチェックする、方法。
2. 第３コンピュータシステムから前記第２コンピュータシステムに要求が送信されるステップと、
   前記第２コンピュータシステムが、１つ以上の属性を指定するステップと、
   属性仕様が、前記第２コンピュータシステムから前記第１コンピュータシステムに送信されるステップと、
   をさらに備え、
   前記属性仕様において指定される前記１以上の属性を前記IDトークンから読み込むことを目的として、前記第１コンピュータシステムによる前記読み込みアクセスが発生する、請求項１に記載の方法。
3. 前記要求は、前記第２コンピュータシステムによって前記第１コンピュータシステムを特定するための識別子を含むとともに、前記属性仕様は、前記第３コンピュータシステムの介在なしに前記第２コンピュータシステムから前記第１コンピュータシステムに送信される、請求項２に記載の方法。
4. 前記第３コンピュータシステムは、複数の予め定められた構成データレコードを有し、
   前記構成データレコードは、それぞれ前記属性の部分セット、少なくとも１つのデータソース、および第１コンピュータシステムのセットのうちの第１コンピュータシステムを指定し、
   前記第３コンピュータシステムが、前記属性仕様において指定された前記少なくとも１つの属性を含む前記属性の部分セットを指定する前記少なくとも１つの前記構成データレコードを選択するのに使用されるように、前記属性仕様は、先ず、前記第２コンピュータシステムから前記第３コンピュータシステムに送信され、かつ
   前記第３コンピュータシステムは、前記属性仕様を前記第１コンピュータシステムに転送し、かつ
   選択された前記構成データレコード内の前記データソースの指示によって指定される前記第１コンピュータシステムおよび前記IDトークンの間の接続は、前記第３コンピュータシステムを介してセットアップされる、請求項２に記載の方法。
5. 前記第１コンピュータシステムによって前記IDトークンから読み込まれた前記少なくとも１つの属性は、前記第３コンピュータシステムに送信され、前記少なくとも１つの属性は、前記ユーザによる発行に続いて、前記第３コンピュータシステムから前記第２コンピュータシステムに転送される請求項２から４のいずれか一項に記載の方法。
6. 前記ユーザは、前記第２コンピュータシステムに前記属性が転送される前に、前記属性にさらなるデータを追加する請求項５に記載の方法。
7. 前記第１コンピュータシステムは、異なる読み込み権を伴う複数の証明書を有し、前記第１コンピュータシステムは、前記属性仕様において指定される前記属性を読み込むために十分である前記読み込み権を有する少なくとも１つの前記証明書を選択するための基準として、前記属性仕様の受信を行う請求項２から６のいずれか一項に記載の方法。
8. 前記第３コンピュータシステムは、ネットワークを介して前記第３コンピュータシステムからさらなる属性を要求するための外部データソースを指定する少なくとも１つの構成データレコードを有する、請求項２から７のいずれか一項に記載の方法。
9. 前記少なくとも１つの属性が前記IDトークンから読み込まれた後であり、かつ前記第３コンピュータシステムが前記第１コンピュータシステムから少なくとも１つの署名済み属性を受信した後に、前記さらなる属性が要求され、前記要求は、前記少なくとも１つの署名済み属性を含む、請求項８に記載の方法。
10. コンピュータシステムに、請求項１から９のいずれか一項に記載の方法を実行させるためのプログラム。
11. IDトークンであって、
    少なくとも１つの属性を格納する保護メモリ領域と、
    前記IDトークンに関連付けられたユーザを、前記IDトークンに対して認証する手段と、
    第１コンピュータシステムを前記IDトークンに対して認証する手段と、
    前記第１コンピュータシステムが前記少なくとも１つの属性を読み込むのに使用できる、前記第１コンピュータシステムへの保護された接続をセットアップする手段と、
    前記IDトークンに対する前記ユーザおよび前記第１コンピュータシステムの認証成功に続いて前記第１コンピュータシステムからの１またはそれ以上の読み込みコマンドを受信すると、前記少なくとも１つの属性を暗号化する手段と、
    暗号化した前記少なくとも１つの属性を前記保護された接続を介して前記第１コンピュータへ送信する手段と、
    を備え、
    前記第１コンピュータシステムを認証する手段は、
    当該IDトークンに格納された、前記第１コンピュータシステムが読み込みアクセスのために認証を受けるべき前記少なくとも１つの属性、についての指示を含んだ前記第１コンピュータシステムの証明書を使用して当該第１コンピュータを認証し、かつ、
    前記証明書を使用して、前記第１コンピュータシステムの前記少なくとも１つの属性に対する前記読み込みアクセスのための読み込み権をチェックする、IDトークン。
12. 前記IDトークンは、電子機器、または集積回路を有する文書である、請求項１１に記載のIDトークン。
13. 前記電子機器はUSBスティックであり、前記文書は紙ベースまたはプラスチックベースの文書である、請求項１２に記載のIDトークン。
14. 証明書を有するコンピュータシステムであって、
    ネットワークを介して属性仕様を受信する手段と、
    保護された接続を介してIDトークンに対して認証する手段と、
    前記IDトークンに対する前記認証の成功に続いて、前記保護された接続を介して１またはそれ以上の読み込みコマンドを前記IDトークンへ送信する手段と、
    前記IDトークンからエンドツーエンドの暗号化を使用して暗号化された少なくとも１つの属性を受信すると当該暗号化された前記少なくとも１つの属性を復号化する手段と、
    復号化した前記少なくとも１つの属性を署名する手段と、
    署名された前記少なくとも１つの属性を他のコンピュータシステムに送信する手段と
    を備え、
    前記属性仕様は、前記少なくとも１つの属性を指定し、
    前記認証する手段は、前記証明書を使用することにより前記IDトークンに対して当該コンピュータシステムを認証させ、
    当該証明書は、当該コンピュータシステムが読み込みアクセスのために認証を受けるべき、前記IDトークンに格納された前記少なくとも１つの属性についての指示を含む、コンピュータシステム。
15. 前記少なくとも１つの属性を受信するための前提条件は、前記IDトークンに関連付けられたユーザおよび前記コンピュータシステムが、前記IDトークンに対して自己を認証したことであり、
    前記属性仕様の前記受信に基づいて、前記IDトークンに対する認証の前記ユーザに対する要求を生成する手段を備える請求項１４に記載のコンピュータシステム。
16. 前記手段は、第２コンピュータシステムから前記属性仕様を受信するように設計されるとともに、前記第２コンピュータシステムに転送する目的で、前記IDトークンから読み込まれた前記少なくとも１つの属性を、第３コンピュータシステムに送信する手段を有する、請求項１４または１５に記載のコンピュータシステム。
17. 前記少なくとも１つの属性を署名する手段を有し、署名された前記属性は送信される、請求項１４から１６のいずれか一項に記載のコンピュータシステム。
18. 異なる読み込み権を伴う複数の証明書を備えるコンピュータシステムであって、
    前記コンピュータシステムは、前記属性仕様において指定された前記属性を読み込むのに十分な前記読み込み権を有する前記証明書の少なくとも１つを選択する基準として、前記属性仕様の前記受信を行うように設計される、請求項１４から１７のいずれか一項に記載のコンピュータシステム。

Images