JP5421679B2 - 不正行為を検知する検知方法 - Google Patents

Description

本発明は、利用者が操作を行うための利用者操作端末機の筐体に取り付けられた電子機器装置等に対する不正行為を検知する検知方法に関する。

利用者が操作を行うための利用者操作端末機の筐体に取り付けられた電子機器装置においては、機密データ（例えば、暗号処理に使用する鍵データ）を、二次電源によりバックアップされている揮発性メモリに保持しておき、必要に応じてその都度、揮発性メモリから作業用メモリに機密データが読み出され、各種処理が実行される。機密データは、各種処理の実行に際して必要なものであることから、通常は消失することがないように保持されている。ただし、電子機器装置の不正取り外しなど何らかの異常を検知した際には、揮発性メモリに対する二次電源及び主電源からの電源供給を遮断して、その機密データが消去されるようになっている。なお、機密データを内部で監視しておき、これが消去されたら即座に通常動作できない状態に遷移させる機能を具備している電子機器装置もある。

ところで、場に設置された電子機器装置を保守・整備する整備作業者は、その電子機器装置を利用者端末機の筐体から取り外さなければならない場合がある。

このような整備作業者が保守・整備するために筐体から取り外す行為は不正行為ではないため、通常動作への復帰が必要になる。しかし、上述したように揮発性メモリに保持された機密データが消去された後、何らかの救済機能がなければ通常動作への復帰ができない。そこで、消去される機密データを分割し、取外しを検知したら消去されるデータと、その他の不正行為を検知したら消去されるデータの２種類を用意しておき、通常動作不能なセキュリティエラー状態になった場合、双方のデータを確認することで、取り外されたのか、それとも不正に分解される等の不正行為が行われたのかを区別する技術がある（例えば特許文献１では、機密データを第１の情報と第２の情報に分割している）。そして、特許文献１に示す装置では、データ消失状況から取り外し検知が要因で通常動作不能状態になっていると判断した場合には、適正な処理手続を踏むことで、通常動作可能な状態に復帰できるような仕組みを組み込んでおく。このような仕組みにより、不正行為によって取り外された場合でも、この適正な処理手続を知らなければ通常動作状態に復帰させることはできないので、高いセキュリティを確保することができる。

特開２００４−３１０４０５号公報

しかしながら、特許文献１に示す装置では、取り外し検知が要因で通常動作不能状態になっていると判断した場合、取り外し検知データ（取り外されたことによって消去されたデータ）を再注入する必要があるところ、これを簡単に再注入できるような構成にしてしまうと、整備作業者以外の者によって不正に取り外された場合でも、不正を組み込んだ後で通常動作可能な状態に戻すことができる可能性があるので、セキュリティ性に欠ける。一方で、セキュリティ性を確保しながら取り外し検知用のメモリに取り外し検知用データを再注入するためには、一般に複雑な手続が必要になることが多い。

本発明は、このような点に鑑みてなされたものであり、その目的は、整備作業等によって機密データが消去されても、高いセキュリティ性を確保しつつ、簡易に通常動作状態に復帰可能な、不正行為を検知する検知方法を提供することにある。

以上のような課題を解決するために、本発明は、以下のものを提供する。

（１） 利用者が操作を行うための利用者操作端末機の筐体に取り付けられた電子機器装置に対する不正行為を検知する検知方法であって、前記電子機器装置は、前記筐体から取り外されたことを検知する第１の検知手段と、前記第１の検知手段からの出力信号に基づいて、格納されている取り外し検知認識用データを消去可能な第１のメモリと、前記第１のメモリとは別個独立であって、認証用鍵データが格納される第２のメモリと、を有し、前記電子機器装置が前記筐体から取り外された場合には、前記取り外し検知認識用データが消去され、その後、前記電子機器装置が前記筐体に取り付けられ、所定の認証手続きが完了後、前記認証用鍵データを変更し、変更された認証用鍵データが前記第２のメモリ内に格納されるとともに、前記第１のメモリに取り外し検知認識用データが格納されることを特徴とする不正行為を検知する検知方法。

本発明によれば、利用者操作端末機の筐体から取り外されたことを検知する第１の検知手段が設けられた電子機器装置に、その第１の検知手段からの出力信号に基づき取り外し検知認識用データが消去される第１のメモリと、この第１のメモリとは別個独立であって認証用鍵データが格納される第２のメモリとが設けられ、電子機器装置が上位装置から取り外された場合、上述した取り外し検知認識用データが消去され、その後、電子機器装置が上位装置に取り付けられ、所定の認証手続きが完了後、上述した認証用鍵データを変更し、変更された認証用鍵データが第２のメモリ内に格納されるとともに、第１のメモリに取り外し検知認識用データが格納されることとしたので、整備作業者等による所定の認証手続きが完了するたびに、第２のメモリ内に格納される認証用鍵データが変更されることになる。

したがって、例えば、メンテナンス（保守・整備）のために、整備作業者が電子機器装置を取り外した場合であっても、上述した所定の認証手続き（例えば整備作業者が持つ所定カードを下位装置に挿入する等）を行い、第２のメモリ内に格納される認証用鍵データを変更することで、（例えばＣＰＵの内蔵ＲＯＭ等から）第１のメモリに取り外し検知認識用データが（自動的に）再注入されるので、簡易に通常動作状態に復帰させることができる。一方で、整備作業者以外の者が不正に電子機器装置を取り外した場合には、所定の認証手続きが行われないので、通常動作状態に復帰させることができない。また、その者が第２のメモリ内の認証用鍵データを何らかの手段により解読・入手した場合であっても、整備作業者が所定の認証手続きを行って通常動作状態に復帰させたときには、第２のメモリ内の認証用鍵データは変更されており、解読・入手した認証用鍵データは使用不可能になっている。このように、本発明によれば、高いセキュリティ性を確保しつつ、簡易に通常動作状態に復帰させることができる。

なお、「第１のメモリ」及び／又は「第２のメモリ」については、その種類の如何を問わない。例えば、ＲＡＭのような揮発性メモリであってもよいし、ＥＥＰＲＯＭやＦＲＯＭのような不揮発性メモリであってもよい。前者の場合、消去時間を短縮することができる。後者の場合、不揮発性メモリ内の機密データを能動的に消去するプログラム等が別途必要になる。

また、ここで「消去」とは、電源供給を遮断しデータを消失させる方法もあるし、「all 0xFF」や「all 0x00」に書き換える方法もある。さらに、別の特定のデータ等に書き換えてもよい。その他、乱数で書き換えてもよい。さらには、全データ領域について書き換えるのではなく、予め指定された又はランダムに選択された特定のデータ領域のみについて、データを書き換えてもよい。

（２） 前記電子機器装置自体に不正な行為が発生した場合、前記第２のメモリに格納されている認証用鍵データが消去されることを特徴とする不正行為を検知する検知方法。

本発明によれば、上述した電子機器装置自体に不正な行為が発生した場合、第２のメモリに格納されている認証用鍵データが消去されるので、例えば電子機器装置のカバーを取り外したり、電子機器装置に穴を開けたりするような不正な行為が発生した場合に、通常動作可能な状態に戻すことは一切できない。したがって、より高いセキュリティ性を確保することができる。

（３） 前記第一のメモリ及び前記第２のメモリに電力供給を行う電源と、当該電源からの電力供給を制御する電源制御手段とを備え、前記第１のメモリから前記取り外し検知認識用データを消去する際、または、前記第２のメモリから前記認証用鍵データを消去する際、前記電源制御手段による電力供給の遮断によって行うことを特徴とする不正行為を検知する検知方法。

本発明によれば、上述した第１のメモリから取り外し検知認識用データを消去する際、または、上述した第２のメモリから認証用鍵データを消去する際、電源制御手段による電力供給の遮断によって行われることとしたので、データ消去プログラム等が必要なく、より簡易なハードウェア構成で高いセキュリティ性を確保することができる。

ここで、「電源」と「電源制御手段」については、第１のメモリ用と第２のメモリ用とそれぞれ別個に設けてもよいし、或いは、一の電源及び一の電源制御手段で両方のメモリをコントロールするようにしてもよい。また、電力供給の遮断によってデータ消去を行うので、本発明では、第１のメモリも第２のメモリも揮発性メモリとする。

（４） 前記電子機器装置自体に不正行為が発生した場合に、当該不正行為を検知する第２の検知手段を備えることを特徴とする不正行為を検知する検知方法。

本発明によれば、電子機器装置自体に不正行為が発生した場合に、その不正行為を検知する第２の検知手段を備えるので、例えば電子機器装置のカバーを取り外したり、電子機器装置に穴を開けたりするような不正な行為が発生した場合であっても、第２の検知手段からの検知信号に基づいて、第２のメモリに格納されている認証用鍵データを消去し、通常運用可能な状態に戻せないようにすることができる。

（５） 前記所定の認証手続きは、前記電子機器装置にメンテナンスツールが接続され、または、メンテナンスカードが挿入されることによって、行われることを特徴とする不正行為を検知する検知方法。

本発明によれば、上述した所定の認証手続きは、電子機器装置にメンテナンスツールが接続され、または、メンテナンスカードが挿入されることによって、行われることとしたので、整備作業者は簡易な手続きによって、通常運用可能な状態に戻すことができる。特に、メンテナンスカード挿入による認証手続きであれば、メンテナンスカード自体は軽く持ち運び容易であるので、高い利便性を確保することができる。

本発明に係る不正行為を検知する検知方法によれば、整備作業者によって電子機器装置が利用者操作端末機等の筺体から取り外された後、その電子機器装置を通常運用状態に復帰させる際に、高いセキュリティ性と簡便性の両方を満たしつつ、復帰させることができる。

（第一の実施の形態）
［電子機器装置の構成］

以下、本発明を実施するための最良の形態について、図面を参照しながら説明する。

図１は、本発明の実施の形態に係る不正行為を検知する検知方法で使用する利用者操作端末機２０の構成を示す図である。図２は、本発明の実施の形態に係る不正行為を検知する検知方法で使用するカードリーダ１の電気的構成を示すブロック図である。なお、本実施形態では、「電子機器装置」の一例としてカードリーダ１を採用している。

この利用者操作端末機２０は、利用者が操作する、例えば、ガソリンスタンドに設置された端末機や銀行のＡＴＭ等である。利用者操作端末機２０の筺体４内には、図１に示すように、カードリーダ１及び上位装置２が設けられ、カードリーダ１は、ユーザがカードを挿入するためのカード挿入口１３が筐体４の前面に取り付けられている。そして、カードリーダ１と上位装置２とはＲＳ２３２Ｃ等の通信ケーブル５によって接続されている。

さらに、カードリーダ１には、筐体４から不正に取り外されるタンパ行為（不正行為）を検知する第１の検知手段としての取り外し検知スイッチ１６、および、カードリーダ１のカバーが取り外される（開放される）不正行為が発生した場合にその不正行為を検知する第２の検知手段としてのカバー開放検知スイッチ１７が備えられている。

なお、図１において、上位装置２は利用者操作端末機２０の筺体４内に備えられているが、利用者操作端末機２０とは別の場所にあってもよい。

カードリーダ１は、ＩＣカードや磁気カード等のカード状媒体に記録されている情報を再生し、また、更新情報等をカード媒体に記録する電子機器装置である。このカードリーダ１には、ＣＰＵ１０と、第１のメモリとしての第１のＲＡＭ１１と、第２のメモリとしての第２のＲＡＭ１２と、電源制御としての第一電源制御ＩＣ１８及び第二電源制御ＩＣ１９と、電源としてのバックアップ電源（電池）（Ｂａｃｋ Ｕｐ Ｂａｔｔｅｒｙ）１４と、（利用者操作端末機２０の筐体４からの）取り外し検知スイッチ１６と、カバー開放検知スイッチ１７とを有している。なお、各構成要素は、少なくとも図中の実線（又は実線矢印）で示すバス等によって、電気的に接続されている。

ＣＰＵ１０は、カードリーダ１の全体の制御を司る。すなわち、図２では図示しないＲＯＭ等から初期化プログラムや基本プログラムを呼び出し、これらを実行してカードリーダ１の全体の制御を司る。また、上位装置２からのコマンドを受信して、そのコマンドに従って各種処理（アプリケーションプログラム等）を実行する。また、ＣＰＵ１０は、図示しないが、自身に内蔵ＲＡＭ及びＲＯＭを備えている。内蔵ＲＯＭは、ＣＰＵ１０の制御動作を実行させるプログラムを予め格納したものであり、内臓ＲＡＭは、ＣＰＵ１０が演算処理に使用する各種のメモリエリアを形成するものである。

第１の、第２の電源制御ＩＣ１８，１９は、主電源（Ｍａｉｎ Ｐｏｗｅｒ Ｓｕｐｐｌｙ）３やバックアップ電源１４からの電力を、それぞれ第１のＲＡＭ１１，第２のＲＡＭ１２に供給する。通常動作時は、主電源３からの電力を第１のＲＡＭ１１，第２のＲＡＭ１２に供給するが、電源ＯＦＦ時には、バックアップ電源１４からの電力を第１のＲＡＭ１１，第２のＲＡＭ１２に供給する。第１の、第２の電源制御ＩＣ１８，１９は、主電源３またはバックアップ電源１４からの電力供給を制御（例えば遮断）する「電源制御手段」の一例として機能する。

取り外し検知スイッチ１６は、カードリーダ１が利用者操作端末機１００の筐体４から取り外されたことを検知する「第１の検知手段」の一例として機能する。レバーやボタン、シートスイッチ等の（機械的な）取り外し検知スイッチ１６が閉状態から開状態になると、所定の信号が第１の電源制御ＩＣ１８に送られる（例えば、非０であった電流が０になったりする）。第１の電源制御ＩＣ１８は、この信号に基づいて、第１のＲＡＭ１１への電源供給を遮断する。

なお、取り外し検知スイッチ１６は、機械的なもの以外にも、フォトセンサ等の光学的なものであってもよいし、磁気センサ等の磁気的なものであってもよい。

カバー開放検知スイッチ１７は、カードリーダ１のカバーが取り外される（開放される）不正行為が発生した場合に（カバー開放検知時は）、その不正行為を検知する「第２の検知手段」の一例として機能する。

具体的には、カードリーダ１は、図１に示すように密閉された状態で構成されている。より詳細には、例えば、カードを挿入するカード挿入口１３が形成された収納ケースとこの収納ケースの開口を覆うカバーとで密閉された状態で構成されている。この収納ケース内には、カードリーダ１の動作を制御する回路やプログラムまたはデータが格納される揮発性メモリなどが実装された回路基板、カード搬送手段や読み取り／書き込み手段などが収納されている。この収納ケースの開口をカバーが覆っている。そして、機密性の高いデータを扱うカードリーダ１では、カバーが第三者によって開けられた後、装置そのものが破壊されたり、あるいは内部に記憶されたデータが改ざんされるようなことを防ぐ必要がある。従来、このような行為を防止するために、機密性の高いデータを扱う装置において、機械的なスイッチや光学センサを設け、カバーが不正に開けられたことが検出されると、この検出信号によって内部にあるメモリのデータを破壊するという措置が講じられている。上記スイッチとしてのカバー開放検知スイッチ１７は、例えば、マイクロスイッチであり、マイクロスイッチのＯＮ・ＯＦＦの切り替わりによって検知することができる。さらに、マイクロスイッチのようなカバー開放検知スイッチ１７が閉状態から開状態になると、所定の信号が第２の電源制御ＩＣ１９に送られる。第２の電源制御ＩＣ１９は、この信号に基づいて、第２のＲＡＭ１２への電源供給を遮断する。なお、カバー開放検知スイッチ１７はマイクロスイッチに限定されるものではなく、これ以外のものであってもよい。

このように、第１のＲＡＭ１１から取り外し検知認識用データを消去する際、または、第２のＲＡＭ１２から認証用鍵データを消去する際、それぞれ第１の、第２の電源制御ＩＣ１８，１９による電力供給の遮断によって行う。なお、図２では図示しないが、カードリーダ１には、ＥＥＰＲＯＭやフラッシュメモリなどがあってもよく、そこには機密データ、実行プログラム、誤り検知符号（ＣＲＣ，チェックＳＵＭ，ＢＣＣ）等の電子情報が格納されていてもよい。

また、ここで消去とは、電源供給を遮断しデータを消失させる方法もあるし、「all 0xFF」や「all 0x00」に書き換える方法もある。さらに、別の特定のデータ（例えば「all 0x11」や「all 0x22」や「0x00，0x01，0x02，0x03，・・・，0x0Fの羅列の繰り返し」など）に書き換えてもよい。その他、乱数で書き換えてもよい。さらには、全データ領域について書き換えるのではなく、予め指定された又はランダムに選択された特定のデータ領域のみについて、データを書き換えてもよい。

ここで、第１のＲＡＭ１１と第２のＲＡＭ１２について詳述すると、揮発性の第１のＲＡＭ１１は、取り外し検知スイッチ１６からの出力信号に基づいて、格納されている取り外し検知認識用データを消去可能な「第１のメモリ」の一例となり、また、揮発性の第２のＲＡＭ１２は、第１のＲＡＭ１１とは別個独立であって、認証用鍵データが格納される「第２のメモリ」の一例となる。

このような第１のＲＡＭ１１と第２のＲＡＭ１２を有するカードリーダ１によれば、例えば、メンテナンス（保守・整備）のために、整備作業者が利用者操作端末機２０の筐体４からカードリーダ１を取り外した後、それを元に戻し、通常動作状態に復帰させる際、高いセキュリティ性を確保しつつ、簡易に復帰させることができる。この点を、図３（Ａ）、（Ｂ）を用いて詳述する。

（復旧作業）
図３（Ａ）、（Ｂ）は、第１のＲＡＭ１１に取り外し検知認識用データを再注入するまでの概要を示すブロック図である。

図３（Ａ）において、整備作業者は、メンテナンス（保守・整備）のためにカードリーダ１を利用者操作端末機２０の筐体４からとり外した後、メンテナンスが完了したら、まず、整備作業者が保有するメンテナンスツール（専用ツール）２１と上位装置２を有線または無線により接続する。そして、上位装置２からそのメンテナンスツール２１に、現行の現認証用鍵データと、上位装置２内部で生成された新認証用鍵データとを注入する。これら現認証用、新認証用鍵データを注入後、メンテナンスツール２１を、上位装置２から切り離す。なお、このメンテナンスツール２１は、整備作業者が有するもので、後述する相互認証コマンドを実行するデータを記憶している。このメンテナンスツール２１は、例えばノートＰＣなどであってもよい。

続いて、メンテナンスが完了しているカードリーダ１を、利用者操作端末機２０の筐体４にマウントする。そのときは、上述したように取り外し検知スイッチ１６の機能により、カードリーダ１が筐体４から取り外されるまで第１のＲＡＭ１１に格納されていた取り外し検知認識用データは消去されている。この時点では、カードリーダ１は、上位装置２からの全てのコマンドに対してセキュリティエラーを返し、通常動作は全くできない状態である。

次に、図３（Ｂ）に示すように、メンテナンスツール２１とカードリーダ１とを接続する。この時点では、カードリーダ１が実行可能なコマンドは、整備作業者が保有するメンテナンスツール２１に実装された、メンテナンスモード専用の相互認証コマンドのみである。

そこで、メンテナンスツール２１とカードリーダ１とにそれぞれ格納されている現認証用鍵データを使って、両者の正当性を判断する相互認証が行なわれる。相互認証コマンドが正常に完了したら、認証用鍵データ変更コマンドのみ実行可能とする。

相互認証を実行後、カードリーダ１の第２のＲＡＭ１２に格納されている現認証用鍵データを、先に上位装置２から取得した新認証用鍵データに書き換える処理を実行する。この処理により、新認証用鍵データは第２のＲＡＭ１２に格納される。新認証用鍵データへの変更が完了すると、カードリーダ１は自動的に、例えばＣＰＵ１０の内蔵ＲＯＭなど、カードリーダ１内部で生成された取り外し検知認識用データを、取り外し検知用のメモリ（第１のＲＡＭ１１）に注入する。

［不正行為を検知する検知方法の流れ］
図４及び図５は、本発明の実施の形態に係る不正行為を検知する検知方法の流れを示すフローチャートであり、図４はカードリーダ１の、通常動作モードからメンテナンスモードへ遷移するフローチャート、図５はカードリーダ１のセキュリティメンテナンスモードでのフローチャートである。

図４、５に示すフローチャートでは、メンテナンス（保守・整備）のために、整備作業者が利用者操作端末機２０の筐体４からカードリーダ１を取り外した後、それを元に戻し、通常動作状態に復帰させる場合について説明する。そのため、カードリーダ１は、図３（Ｂ）に示すように、メンテナンスツール２１に接続された状態となっている。

なお、図４に示すステップＳ１からステップＳ７は、カードリーダ１の通常動作モードでのフローチャートであり、この状態は、カードリーダ１が、上位装置２と通信ケーブル５により接続され、利用者操作端末機２０の筐体４に取り付けられている。そして、カードリーダ１は、通信ケーブル５を通じて上位装置２からのコマンドを受信し、コマンドにより要求された処理を（上述したＣＰＵ１０で）実行し、処理結果を上位装置２に返信するようになっている。

図４において、カードリーダ１はメンテナンスツール２１から送信されるコマンドを待つコマンド待ち状態である（ステップＳ１）。

この状態では、ＣＰＵ１０によって、コマンドを受信したか否かが判断される（ステップＳ２）。コマンドが受信されたら（ステップＳ２：ＹＥＳ）、タンパ行為が検知されたか否かが判断される（ステップＳ３）。取り外しやスキミング等のタンパ行為が検知された場合、エラーレスポンス（セキュリティエラー）を上位装置２へ送信する（ステップＳ４）。メンテナンスツール２１へエラーレスポンス（セキュリティエラー）を送信後、カードリーダ１は上位装置２から送信されるコマンドを待つコマンド待ち状態（ステップＳ１）に戻る。

ステップＳ３に戻り、タンパ行為が検知されない場合（ステップＳ３：ＮＯ）、次に、取り外し検知スイッチ１６を用いて取り外しが検知されたか否かが判断される（ステップＳ５）。取り外しが検知されなければ（ステップＳ５：ＮＯ）、通常動作モードのままコマンドを実行し（ステップＳ６）、実行結果に応じてメンテナンスツール２１にレスポンスを送信する（ステップＳ７）。

一方で、取り外しが検知されたら、すなわち、取り外し検知スイッチ１６が動作し、カードリーダ１が筐体４から取り外されたことが検知された場合（ステップＳ５：ＹＥＳ）、上述したメンテナンスツール２１からメンテナンス用の相互認証コマンド（１）が受信されたか否かが判断される（ステップＳ８）。相互認証コマンド（１）が受信されなければ（ステップＳ８ＮＯ）、エラーレスポンスがメンテナンスツール２１に送信され（ステップＳ９）、メンテナンスツーツ２１へエラーレスポンス（セキュリティエラー）を送信後、カードリーダ１は上位装置２から送信されるコマンドを待つコマンド待ち状態（ステップＳ１）に戻る。ステップＳ８に戻り、相互認証コマンド（１）が受信されれば（ステップＳ８：ＹＥＳ），ＣＰＵ１０によって相互認証コマンド（１）が実行される（ステップＳ１０）。

そして、相互認証コマンド（１）が正常終了しなければ（ステップＳ１１：ＮＯ）、エラーレスポンスがメンテナンスツール２１に送信され（ステップＳ１２）、メンテナンスツール２１へエラーレスポンス（セキュリティエラー）を送信後、カードリーダ１はメンテナンスツーツ２１から送信されるコマンドを待つコマンド待ち状態（ステップＳ１）に戻る。

ステップＳ１０に戻り、相互認証コマンド（１）が正常終了すれば（ステップＳ１１：ＹＥＳ）、肯定レスポンスがメンテナンスツール２１に送信される（ステップＳ１３）。その後、図５に示すセキュリティメンテナンスモードに入る（ステップＳ１４）。

図５において、セキュリティメンテナンスモードでは、まず、コマンド受信待ちの状態が続き（ステップＳ２１）、メンテナンスツール２１から送信されるコマンドの受信があれば（ステップＳ２２：ＹＥＳ）、それがメンテナンス用の相互認証コマンド（２）か否かが判断される（ステップＳ２３）。そして、相互認証コマンド（２）であれば（ステップＳ２３：ＹＥＳ）、相互認証コマンド（２）が実行され（ステップＳ２４）、正常終了したか否かが判断される（ステップＳ２５）。正常終了しなかった場合には（ステップＳ２５：ＮＯ）、メンテナンスツール２１にエラーレスポンスを送信し、セキュリティメンテナンスモードを離脱する（ステップＳ２６）。すなわち、カードリーダ１は図４に示すステップＳ１のコマンド待ち状態に戻る。

なお、相互認証コマンド（１）、（２）は、メンテナンスツール２１がカードリーダ１に各種の動作を指示する際、指示されたカードリーダ１が正当であるかどうかを確認するためのコマンドであるが、本実施の形態では、相互認証コマンド（１）と相互認証コマンド（２）とは別のコマンドとして、セキュリティ性を高めている。また、本実施の形態では、相互認証コマンド（２）しか考えていないが、セキュリティ性を更に高めるのであれば、これら相互認証コマンド（１）、（２）とは別の相互認証コマンド（３）や相互認証コマンド（４）など、順次３重４重の相互認証を行ってもよい。

一方、正常終了した場合には（ステップＳ２５：ＹＥＳ）、相互認証が確立するため、すなわち、カードリーダ１の正当性が認められるため（ステップＳ２７）、カードリーダ１はメンテナンスツール２１からコマンド受信待ちとなる（ステップＳ２８）。

カードリーダ１は、メンテナンスツール２１から送信されるコマンドを受信し（ステップＳ２９）、そのコマンドが認証用鍵データ変更コマンドである場合には（ステップＳ３０：ＹＥＳ）、ＣＰＵ１０によって認証用鍵データ変更コマンドが実行される。すなわち、メンテナンスツール２１を介して、メンテナンスツール２１から取得した新認証用鍵データが第２のＲＡＭ１２に格納される（ステップＳ３１）。

正常終了した場合、すなわち、メンテナンスツール２１から取得した新認証用鍵データが第２のＲＡＭ１２に格納された場合には（ステップＳ３２：ＹＥＳ）、ＣＰＵ１０は、（カードリーダ１内部）ＣＰＵ１０で生成した新取り外し検知認識用データを、第１のＲＡＭ１１に書き込む（ステップＳ３４）。最後に、新認証用鍵データ及び新取り外し検知認識用データを収納したことを示す肯定レスポンスをメンテナンスツーツ２１に送信し、セキュリティメンテナンスモードを離脱し、通常動作モードに入り、カードリーダ１はメンテナンスツール２１から送信されるコマンドを待つコマンド待ち状態に戻る（ステップＳ３５）。

ステップＳ３２に戻り、正常終了しなかった場合には（ステップＳ３２：ＮＯ）、メンテナンスツール２１にエラーレスポンスを送信し、セキュリティメンテナンスモードを離脱し、カードリーダ１はメンテナンスツール２１から送信されるコマンドを待つコマンド待ち状態になる（ステップＳ３３）。これにより、カードリーダ１は通常動作状態に復帰したことになり、メンテナンスツール２１との接続が切り離され、上位装置２と接続される。図４に示すコマンド待ち（ステップＳ１）の状態になる。

［実施形態の主な効果］
以上説明したように、本実施形態に係る不正行為を検知する検知方法によれば、カードリーダ１が利用者操作端末機２０の筐体４から取り外された場合には、取り外し検知スイッチ１６により取り外し検知認識用データが消去され、その後、カードリーダ１が利用者操作端末機２０の筐体４に取り付けられ、所定の認証手続きが完了後（上述したステップＳ８，Ｓ１０，Ｓ２３，Ｓ２４）、認証用鍵データを変更し（ステップＳ３１）、変更された認証用鍵データが第２のＲＡＭ１２内に格納されるとともに（ステップＳ３４）、第１のＲＡＭ１１に取り外し検知認識用データが格納される。一方、カードリーダ１自体に不正な行為（タンパ行為）が発生した場合（ステップＳ３：ＹＥＳ）、第２のＲＡＭ１２に格納されている認証用鍵データが消去される。したがって、簡易に（機器認証と鍵データ変更のみという比較的シンプルな処理手続で）通常運用状態に復帰させつつ、高いセキュリティ性を確保することができる。たとえば、犯罪者が何らかの手段により現在格納されている認証用鍵データを解読・入手できたとしても、ひとたび不正機能を組み込もうとして取り外したら、次回取り付け時にはその認証用鍵データは無効であり、通信回線を盗聴しても暗号を解読することができず、顧客情報の入手などを防ぐことができる。その結果、高いセキュリティ性を保ちつつ通常動作への復旧が可能となる。

［他の実施形態］
（第二の実施の形態）
電子機器装置としてのカードリーダ１が上位装置２からの新認証用鍵データを取得する方法は、セキュリティの確保を条件として、どのような形態であっても構わない。上述した第一の実施形態では、例えばノートＰＣなどの専用のメンテナンスツール２１を用いた構成としたが、セキュリティの確保を条件として、この形態に限るものではない。たとえば、上位装置２から直接メンテナンス専用相互認証・認証用鍵データ変更コマンドを実行する形態としてもよい。このとき、上位装置２とカードリーダ１がメンテナンスモードに入らないと、この処理が実行できないものとし、整備作業者が保有するメンテナンスカードを用意する。そして、そのメンテナンスカードをカードリーダ１に挿入することで、上位装置２とカードリーダ１がメンテナンスモードに入ることができるような仕組みを組み込んでもよい。このように、メンテナンスカードが挿入されることによって、所定の認証手続き（相互認証など）が行われるようにしてもよい。

（第三の実施の形態）
通常の相互認証もメンテナンスモードでの相互認証も、その他のタンパ検知用メモリ（第２のＲＡＭ１２）に格納された認証用鍵データのみを利用していると、通常運用中に何らかの手段で認証用鍵データを解読・入手されたとしたら、メンテナンスモードで認証用鍵データを変更する際の一連の処理も解読されてしまう虞がある。そこで、次のような方法を採用することで、セキュリティ性をより向上させることができる。

たとえば、複数の鍵データを組み合わせたキーコンポーネント（Ｋｅｙ Ｃｏｍｐｏｎｅｎｔ）を生成して、取り外しを検知する第１のＲＡＭ１１に注入するようにし、通常の相互認証は組み合わせたものを使用する。一方、取り外し検知状態でのメンテナンスモードでは、もう一方の「タンパを検知する第２のＲＡＭ１２」に残されたキーコンポーネントで相互認証を行う。取り外しを検知する第１のＲＡＭ１１に格納するキーコンポーネントとしては、全号機固定値、新認証用鍵データを所定方法（スクランブル等）で変形させたもの、各号機ごと異なるが固定値（シリアルナンバー等）、ランダム値（ＣＰＵ１０により生成）などが挙げられる。最後のランダム値については、何らかの手段でそのランダム値を上位装置２とカードリーダ１に共有させる必要がある。

このように、通常動作の際には、カードリーダ１と上位装置２との通信は、第１のＲＡＭ１１のキーコンポーネントと第２のＲＡＭ１２の認証用鍵データとの両方を使って（例えばＥＸＯＲなど）行う。このようにすれば、カードリーダ１の取り外しによって第１のＲＡＭ１１のデータが消去された場合であっても、整備作業者以外は通常運用に復旧できないことになり、セキュリティ性をより向上させることができる。

また、本実施形態では、カードリーダ１のカバーが取り外される（開放される）不正行為が発生した場合に、カバー開放検知スイッチ１７からの検知信号に基づいて、第２のＲＡＭ１２への電源供給を遮断するようにしたが、これに限定されるわけではない。たとえば、カバー開放検知スイッチ１７からの検知信号に基づいて適切な緊急停止処置を施し、通常運用可能な状態に戻せないようにするようにしてもよい。

なお、本実施形態では、「電子機器装置」の一例としてカードリーダ１を採用しているが、本発明はこれに限られず、不正な取り外し操作等に対して機密データを保護する必要がある全ての電子機器装置に適用可能である。また、単純な不正取り外しに限らず、メンテナンスのために有効化／無効化を切り替える機能を有する装置についても適用可能である。

本発明に係る不正行為を検知する検知方法は、高いセキュリティ性を確保しつつ、簡易に通常運用への復旧が可能なものとして有用である。

本発明の実施の形態に係る不正行為を検知する検知方法で使用する利用者操作端末機の構成を示す図である。 本発明の実施の形態に係る不正行為を検知する検知方法で使用するカードリーダの電気的構成を示すブロック図である。 ＲＡＭに取り外し検知認識用データを再注入するまでの概要を示すブロック図である。 本発明の実施の形態に係る不正行為を検知する検知方法の流れを示すフローチャートである。 本発明の実施の形態に係る不正行為を検知する検知方法の流れを示すフローチャートである。

１ カードリーダ
２ 上位装置
４ 筺体
１０ ＣＰＵ
１４ バックアップ電源
１６ 取り外し検知スイッチ
１７ カバー開放検知スイッチ
１８ 第１の電源制御ＩＣ
１９ 第２の電源制御ＩＣ
２０ 利用者操作端末機

Claims (5)

1. 利用者が操作を行うための利用者操作端末機の筐体に取り付けられた電子機器装置に対する不正行為を検知する検知方法であって、
   前記電子機器装置は、
   前記筐体から取り外されたことを検知する第１の検知手段と、
   前記第１の検知手段からの出力信号に基づいて、格納されている取り外し検知認識用データを消去可能な第１のメモリと、
   前記第１のメモリとは別個独立であって、認証用鍵データが格納される第２のメモリと、を有し、
   前記電子機器装置が前記筐体から取り外された場合には、前記取り外し検知認識用データが消去され、その後、前記電子機器装置が前記筐体に取り付けられ、所定の認証手続きが完了後、前記認証用鍵データを変更し、変更された認証用鍵データが前記第２のメモリ内に格納されるとともに、前記第１のメモリに取り外し検知認識用データが格納されることを特徴とする、不正行為を検知する検知方法。
2. 前記電子機器装置自体に不正な行為が発生した場合、前記第２のメモリに格納されている認証用鍵データが消去されることを特徴とする請求項１記載の不正行為を検知する検知方法。
3. 前記第１のメモリ及び前記第２のメモリに電力供給を行う電源と、当該電源からの電力供給を制御する電源制御手段とを備え、
   前記第１のメモリから前記取り外し検知認識用データを消去する際、または、前記第２のメモリから前記認証用鍵データを消去する際、前記電源制御手段による電力供給の遮断によって行うことを特徴とする請求項１又は２記載の不正行為を検知する検知方法。
4. 前記電子機器装置自体に不正行為が発生した場合に、当該不正行為を検知する第２の検知手段を備えることを特徴とする請求項１から３のいずれか記載の不正行為を検知する検知方法。
5. 前記所定の認証手続きは、前記電子機器装置にメンテナンスツールが接続され、または、メンテナンスカードが挿入されることによって、行われることを特徴とする請求項１から４のいずれか記載の不正行為を検知する検知方法。

Images