JP5507811B2 - 無線通信のための向上したセキュリティ - Google Patents

Description

本発明は、移動遠隔通信ネットワークに対してスマートカード手段を認証するために、そのネットワークに関連可能なスマートカード手段を含む近距離通信デバイスの使用を制御するための装置、近距離通信デバイスの使用を制御する方法、および近距離通信手段を含む通信デバイスに関する。

近距離タグまたはＲＦＩＤタグが、知られている。そのようなタグは、建物への立ち入りを得る際に使用するために、あるいは公共交通機関または使用料支払いの使用のための電子チケットとして、スマートカード、または他のデバイスに組み込まれることが可能である。そのようなタグは、通常、読み取り装置の極めて近くに（２０センチメートル未満に）持ってこられなければならないが、読み取り装置が、所有者の許可なしに、タグと情報を交換することが可能である。タグ上に格納された機微なデータは、盗まれる、または変更される可能性がある。したがって、タグは、所有者が知らずに、機微なトランザクションまたは高価なトランザクションに参加する可能性がある。

そのようなタグを組み込んだ既知のデバイスは、そのような濫用からの何らかの保護を備えていることが可能である。例えば、カードと読み取り装置の間のＲＦリンクは、前述したとおり、限られた範囲のものである。そのことは、タグを組み込んだデバイスの保持者が、読み取り装置を見ることができることを意味するはずである。しかし、専用の無線機器が、タグと読み取り装置の間の通信が行われることが可能な、意図される範囲を拡張して、所有者の許可なしに、タグと情報を交換することが可能である。

また、タグと読み取り装置の間の通信を暗号化することも知られている。暗号化は、効果的であり得るが、盗まれた本物の読み取り装置、または暗号化アルゴリズムを破った読み取り装置などの、不正な読み取り装置との許可のない通信からは保護しない。

別の、知られているが、広くは使用されていないセキュリティ対策は、タグを含むデバイスを、カードへのＲＦアクセスを防止する遮蔽を提供する金属またはその他のエンクロージャの中に入れることである。遮蔽は、効果的であるが、ユーザが、忘れずに、カードをシールドの中に入れることを要求するので、ユーザに好都合ではない。さらに、ユーザが、そのようなタグを組み込んだ、いくつかのデバイスを有する場合、そのようにすることは、さらに不都合になる可能性がある。

本発明は、一態様では、さらなるセキュリティ、または向上したセキュリティを提供しようと努める。

本発明の第１の態様によれば、移動遠隔通信ネットワークに対してスマートカード手段を認証するために、そのネットワークに関連可能なスマートカード手段を含む近距離通信デバイスの使用を制御するための装置が提供され、スマートカード手段は、移動遠隔通信ネットワークから、近距離通信デバイスの使用を制御するためのデータを受信するように動作可能であり、そのデータに応じて、近距離通信デバイスを選択的にイネーブルにするように動作可能である。

また、本発明は、そのような装置を含む移動遠隔通信ネットワークにも関する。
本発明の別の態様によれば、移動遠隔通信ネットワークに対してスマートカード手段を認証するために、スマートカード手段を、そのネットワークに関連付けること、移動遠隔通信ネットワークからスマートカード手段に、近距離通信デバイスの使用を制御するためのデータを伝送すること、およびそのデータに応じて、近距離通信デバイスを選択的にイネーブルにすることを含む、近距離通信デバイスの使用を制御する方法が提供される。

本発明のさらなる態様によれば、近距離通信手段と、移動遠隔通信ネットワークに対してデバイスを認証するためのスマートカード手段と、移動遠隔通信ネットワークから、デバイスを認証するデータを受信するよう、スマートカードをイネーブルするための手段と、スマートカードによって受信されたデータに応じて、近距離通信手段を選択的にイネーブルにするための手段とを含む通信デバイスが提供される。

本発明のさらなる態様によれば、移動遠隔通信ネットワークで使用するための、近距離デバイスを含む移動遠隔通信デバイスが提供され、移動遠隔通信デバイスは、近距離通信デバイスを選択的にイネーブルにするように動作可能である。

本発明のよりよい理解のため、諸実施形態を添付の図面に関連して、例として、以下に説明する。

図面では、同様の要素は全体的に同一の符号で示される。
図１は、本発明が使用されることが可能なネットワークを概略で示す。移動端末装置１が、ＧＳＭ／ＧＰＲＳの、またはＵＭＴＳ（３Ｇ）の移動遠隔通信ネットワーク３またはセルラー遠隔通信ネットワーク３に登録される。移動端末装置１は、ハンドヘルド移動電話機、ＰＤＡ（パーソナルデジタルアシスタント：携帯情報端末）、またはデータカードを備えたラップトップコンピュータであることが可能である。移動端末装置１は、ＵＭＴＳネットワークのケースでは、基地局（ノードＢ）５と、ＲＮＣ（無線ネットワークコントローラ）７とを含む移動遠隔通信ネットワーク３のＲＡＮ（無線アクセスネットワーク）を介して、移動遠隔通信ネットワーク３と無線で通信する。移動端末装置１と移動遠隔通信ネットワーク３の間の通信は、固定（ケーブル）リンクによって移動遠隔通信ネットワーク３に接続されることが可能なＧＰＲＳサポートノード（ＳＧＳＮ）９を介して、無線アクセスネットワークからルーティングされる。

従来の形では、複数の他の移動端末装置が、移動遠隔通信ネットワーク３に登録される。それらの移動端末装置には、移動端末装置１１および１３が含まれる。端末装置１１および１３は、端末装置１と同様の形で、つまり、適切なノードＢ５、ＲＮＣ７、およびＳＧＳＮ９を介して、移動遠隔通信ネットワーク３と通信する。

移動遠隔通信ネットワーク３は、適切なリンク２１を介して、インターネット１９などの他のネットワークとのＩＰベースの通信を可能にするＧＧＳＮ（ゲートウェイＧＰＲＳサポートノード）１７を含む。複数の端末装置が、インターネットに接続され（固定リンクまたは無線リンクによって）、ＰＣ端末装置２３およびＰＤＡ端末装置２５が、例として示されている。

移動端末装置１、１１、および１３のそれぞれは、それぞれのスマートカードまたはＳＩＭ（サブスクライバＩＤモジュール）１５を備える。各ＳＩＭの製造プロセス中、認証情報が、移動遠隔通信ネットワーク３の管理下で、そのＳＩＭ上に格納される。移動遠隔通信ネットワーク３自体、ネットワーク３の管理下で発行されたＳＩＭ群の各ＳＩＭの詳細を格納する。移動遠隔通信ネットワーク３の動作の際、端末装置１、１１、１３は、ネットワークが、ＳＩＭ１５を組み込んだ端末装置１、１１、１３に、チャレンジを送信することによって認証され（例えば、ユーザが呼を生成または受信するためにネットワーク中の端末を活動化したとき）、それに応答して、ＳＩＭ１５が、応答を計算し（ＳＩＭ上に保持される所定の情報、通常は、認証アルゴリズムおよび一意キーＫｉに応じて）、その応答を移動遠隔通信ネットワーク３に送り返す。移動遠隔通信ネットワーク３は、チャレンジを生成し、端末装置１、１１、１３から応答を受信する認証プロセッサ１７を含む。関係のあるＳＩＭ１５のコンテンツに関する、あらかじめ格納されている情報を使用して、認証プロセッサは、移動端末装置１、１１、１３からの応答の予期される値を計算する。受信された応答が、予期される、計算された応答と合致した場合、ＳＩＭ１５、および関連する移動端末装置は、認証されたと見なされる。

そのような認証プロセスは、移動遠隔通信ネットワーク３の管理下で、ＳＩＭ１５を備えた任意の端末装置に関して実行されることが可能であることを理解されたい。この実施形態では、端末装置は、移動遠隔通信ネットワーク３と、ネットワークの無線アクセスネットワークを介して、無線で通信するが、そうすることは、不可欠ではない。例えば、端末装置は、固定電話ネットワーク（ＰＳＴＮ）を介して、ＵＭＡ「アクセスポイント」を介して、かつ／またはインターネットを介して、ネットワークと通信してもよい。また、ＰＣ２３およびＰＤＡ２５が、ネットワークの管理下で、ＳＩＭ１５を備えることも可能である。

端末装置１、１１、１３、２３、２５によって使用されるＳＩＭ１５は、ＧＳＭ標準規格またはＵＭＴＳ標準規格において定義されたタイプのＳＩＭであることが可能であり、あるいはＳＩＭのシミュレーション、つまり、ＳＩＭの機能に相当する機能を実行するソフトウェアまたはハードウェアであってもよい。ＳＩＭは、ＷＯ−Ａ−２００４ ０３６５１３で説明される構成に従うことが可能である。

説明される認証プロセスは、必ずしも、ユーザの身元を認証しないことに留意されたい。例えば、移動遠隔通信ネットワークは、前払いと引き換えに、ネットワークサービスをサブスクライバが使用できるようにするＳＩＭカードを発行されている前払いのサブスクライバを有する。しかし、そのような前払いのサブスクライバの身元は、ネットワークによって知られていない可能性がある。それでも、そのようなユーザは、ネットワークが、そのユーザのＳＩＭを認証すれば、つまり、そのようなユーザが、ネットワークに対して、ある特定の前払いのアカウントを有する特定のユーザであることを確認すれば、ネットワークを利用することができる。

図１に示されるネットワークは、移動遠隔通信ネットワーク３と、インターネット１９（それ自体、複数の他のネットワークを含む）とを含む。
認証機能を実行することに加えて、ＳＩＭ１５は、他の様々な機能も実行することができる。例えば、ＳＩＭは、移動端末装置１のユーザによって頻繁に呼び出される人々の名前および電話番号のディレクトリを格納することができる。さらに、ＳＩＭは、移動端末装置１がどのように、移動遠隔通信ネットワーク３と対話することを許されるかを管理する情報も格納することができる。例えば、ＳＩＭは、訪問先の移動遠隔通信ネットワークにおける移動端末装置１の「ローミング」が許されるか否かを、決定することができる。

移動遠隔通信ネットワーク３事業者は、例えば、新たなサービスを導入するように、ＳＩＭ１５上の情報を変更することを所望する可能性がある。迅速で、費用対効果の大きい形でＳＩＭ１５のそのような更新を可能にするため、ＯＴＡ（無線）更新技術が開発された。

移動遠隔通信ネットワーク３は、ネットワーク３からの更新メッセージを、ＳＩＭ１５に送信されるべきＳＭＳメッセージ（ショートメッセージ）に変換するＯＴＡゲートウェイ３０を含む。ＯＴＡゲートウェイ３０は、ＳＭＳメッセージをＳＭＳＣ（ショートメッセージサービスセンタ）３２に送信し、次に、ＳＭＳＣ３２が、そのショートメッセージを、無線アクセスネットワークを介して、関係のあるＳＩＭ１５に伝送する。

前述したとおり、ＯＴＡ更新は、現行では、ＳＭＳベアラを使用して実行される。しかし、トランスポートベアラが、ＣＳＤまたはＧＰＲＳであることも可能である。ＣＴＳベアラまたはＧＰＲＳベアラでＯＴＡを実行するのに、ＣＡＴ−ＴＰ／ＢＩＰ機構またはＪ２ＭＥ／ＪＳＲ＃１７７機構が、使用されることが可能である。本明細書における無線更新についての言及には、以上のベアラ、または他の任意の同様なベアラによる更新への言及が含まれる。

ＯＴＡゲートウェイ３０は、更新を要求するＳＩＭを示すゲートウェイＡＰＩを介して、サービス要求を受信する。ＯＴＡゲートウェイ３０は、カード製造業者、カードのＩＤ番号、ＩＭＳＩ、およびＭＳＩＳＤＮを含め、ネットワーク３に関連する各ＳＩＭカードについての情報を含むデータベースを含む。カードＩＤデータが、ＯＴＡゲートウェイ３０によって受信されると、そのデータベースを使用して、ＯＴＡメッセージが、関係のあるＳＩＭに向けられる。ＯＴＡゲートウェイ３０は、サービス要求情報を、ターゲットＳＩＭによって処理されることが可能なフォーマットに変換する。フォーマットされたメッセージは、例えば、標準規格ＧＳＭ０３．４８またはＴＳ２３．０４８において説明されるように、ＳＭＳＣ３２に送信される。要求される更新を実行するのに、現行のＳＭＳメッセージは、１６０文字に制限されているので、複数のＳＭＳメッセージが要求される可能性がある。ＯＴＡゲートウェイ３０は、更新プロセスの完全性およびセキュリティを担う。

ＳＭＳによってＯＴＡ更新メッセージを受信することに加えて、移動端末装置１は、移動端末装置１のユーザによって読み取られるべきテキストメッセージなどの、従来のＳＭＳメッセージを受信することもできる。ＯＴＡ更新ＳＭＳを従来のＳＭＳメッセージと区別するため、ＯＴＡ更新ＳＭＳメッセージは、そのメッセージのプロトコル識別子が、「ＳＩＭデータダウンロード」に設定される。メッセージは、ＥＮＶＥＬＯＰＥコマンドまたはＵＰＤＡＴＥ ＲＥＣＯＲＤコマンドを含む。移動端末装置１上で実行されているＧＳＭアプリケーションまたは３Ｇアプリケーションが、それらのコマンドを受け取り、ＯＴＡ層を呼び出す。ＯＴＡ層は、標準規格ＧＳＭ０３．４８またはＴＳ２３．０４に従って、それらのメッセージを調べる。それらのメッセージの中のセキュリティで保護された各パケットが、リモートファイル管理、またはリモートアプレット管理、またはＳＩＭツールキットに専用の、１つまたは複数のＡＰＤＵコマンドを含むことが可能である。

図２に示されるとおり、この実施形態による移動端末装置１は、ＳＩＭ１５に加えて、ディスプレイ３４と、キーパッド３７と、移動遠隔通信ネットワーク３と無線で通信するためのアンテナ３９とを含む。さらに、移動端末装置１は、近距離タグ４１またはＲＦＩＤタグ４１を含む。近距離タグ４１は、この実施形態では、１３．５６ＭＨｚという規制されていないＲＦ帯域で動作するが、他の周波数が、使用されることも可能である。そのＲＦ帯域で近距離デバイスを使用するのに、ライセンスは、全く要求されない。しかし、各国は、そのＲＦ帯域における電磁放射に、いくつかの制限を課す。制限は、近距離タグ４１が、別のデバイスと通信することができる距離は、実際には、通常、２０センチメートル未満であることを意味する。しばしば、通信の距離は、ＲＦタグ４１が、タグ４１が通信すべき相手のデバイスと接触しなければならない、またはほとんど接触しなければならないようになる。通信は、近距離通信インタフェースおよびプロトコル（ＮＦＣＩＰ−１）を使用していることが可能である。

近距離タグ４１は、ＩＳＯ−ＩＥＣ１４４４３標準およびＩＳＯ−ＩＥＣ１５６９３標準に従って動作することができる。タグ４１は、カードとタグ読み取り装置が、前述したとおり、極めて近くに持ってこられた際に、カードが、タグ読み取り装置と情報を交換することを可能にする内蔵の誘導アンテナを含む。読み取り装置は、タグが、「受動型」である場合、タグに電力を供給するＲＦ信号を放射して、タグと通信することができる。タグが、「能動型」である場合、タグは、電源を有し、タグの動作は、読み取り装置とは独立である。近距離タグ４１は、ＩＤ番号（ＧＵ ＩＤ）などの、選択された情報を送信することができる。

近距離タグのセキュリティを向上させるため、この実施形態では、移動端末装置１のＳＩＭ１５を使用して、近距離タグ４１の動作を、ある程度、制御することが、提案される。ネットワークの認証プロセッサ１７を使用する、移動遠隔通信ネットワークに対するＳＩＭ１５の認証プロセスは、極めてセキュリティが強固であると考えられる。この実施形態では、ＳＩＭ１５の認証を使用して、近距離タグ４１のメモリによって保持されるデータが、許可のないアクセスから保護される。

この実施形態の重要な特徴によれば、近距離タグ４１は、通信リンク４３を使用して、ＳＩＭ１５の制御下で、読み取り装置との通信に関して、選択的にイネーブルまたはディセーブルにされる。リンク４３を使用して、ＳＩＭは、近距離タグ４１を、例えばタグ４１のアンテナが機能しないようにすることにより、イネーブルまたはディセーブルにすることができる。ディセーブルにされた状態では、読み取り装置は、近距離タグ４１の極めて近くに（通常の状況において、近距離通信が可能な距離内）持ってこられた場合でさえ、タグ４１から全く情報を得ることができない。

好都合なことに、ＳＩＭ１５には、移動遠隔通信ネットワーク３から（ＯＴＡゲートウェイ３０およびＳＭＳＣ３２を介して）移動端末装置１に送信される、ＯＴＡメッセージを受信することにより、近距離タグ４１の動作を制御するデータが与えられる。前述したとおり、ＯＴＡ更新メッセージは、移動端末装置１によって受信され、そのメッセージが、従来のＳＭＳメッセージではなく、更新を行うＯＴＡ更新メッセージであると判定される。次に、メッセージは、処理のためにＳＩＭ１５に送られる。メッセージが処理されると、そのメッセージ内に含まれるコマンドが実行されて、リンク４３を介して、ＲＦタグ４１の所望される制御が生じるようにされる。

第１の例では、近距離タグ４１が、ユーザのオフィス（立ち入りが、近距離タグ４１を使用して得られる）の付近にある場合に、読み取り装置と通信するようにタグ４１をイネーブルにすることだけが、所望される。ＳＭＳＣ３２は、ユーザのオフィスが位置するセルまたはセルグループに関連するノードＢ５に、ＯＴＡ更新メッセージを送信することができる。移動端末装置１が、グループの中のあるセルに入ると、ノードＢは、ＯＴＡメッセージを移動端末装置１に伝送する。前述した手続きが適用され、ＯＴＡメッセージがＳＩＭ１５に送られ、ＳＩＭ１５内で命令が処理される。コマンドが、リンク４３を介して近距離タグ４１に送信されて、近距離タグが活動化される（例えば、タグ４１のアンテナが、読み取り装置と通信することを可能にすることにより）。移動端末装置１が異なるセルに移動すると、コマンドが、ＳＩＭ１５から、リンク４３を介して送信されて、近距離タグ４１が、ディセーブルにされる。このコマンドは、移動端末装置１が、異なるセルに移動した際に、ネットワーク３から受信される、さらなるＯＴＡメッセージに応答して発行されることが可能であり、あるいは異なるセルへの移動が、ＳＩＭ（または移動端末装置１）によって自動的に検出されて、近距離タグ４１に送信するための適切なコマンドを生成するのに使用されてもよい。

近距離タグ４１は、ユーザのオフィスのセルのロケーションに入っていない場合、全く動作不能にされることが可能である。代替として、近距離タグ４１は、部分的にディセーブルにされてもよい（例えば、アンテナが機能しないようにすることにより）。その部分的にディセーブルにされたモードでは、タグ４１は、タグ４１のコード、またはその他のデータが再プログラミングされることを可能にするなどの、いくつかの機能を実行することができる。

第２の例では、ユーザは、移動端末装置１の近距離タグ４１を使用して、入口の仕切りが、適切な近距離タグ読み取り装置を備えた、公共交通機関（例えば、ロンドン地下鉄道）による移動の代金を支払うことを所望する。通勤者は、特定の一定した時間帯に移動するため、より向上したセキュリティを提供するために、それらの時間帯においてだけ、近距離タグ４１をイネーブルにすることが望ましい。そのように構成されると、近距離タグ４１を組み込んだ移動端末装置１が、盗まれた場合、窃盗犯人は、指定された時間帯外に近距離タグ４１を使用して、公共交通機関の利用の代金を支払うことができない。

移動遠隔通信ネットワーク３は、通勤者が、通常の移動を始める時間の始めに、ＯＴＡメッセージを移動端末装置１に伝送するように構成される。前述の場合と同様に、このメッセージが、ＳＩＭによって受信されて、解釈され、ＳＩＭは、リンク４３を介して、近距離タグ４１をイネーブルにする命令を送信する。すると、近距離タグ４１は、読み取り装置と通信することができ、公共交通機関の利用が可能にされる。通勤者が、通常の移動を済ませる時間の終わりに、第２のＯＴＡメッセージが、ネットワーク３によって移動端末装置１に送信される。そのＯＴＡメッセージが、ＳＩＭ１５によって受信されて、解釈され、リンク４３を介して、適切な非活動化命令をＲＦタグ４１に送信する。その後、近距離タグ４１は、ユーザが、公共交通機関へのアクセスを得ることを可能にすることができない。

同様の構成が、例えば、学童が、近距離タグ４１を使用して、昼食の代金を支払うことができるようにするのに、使用されることも可能である。ＯＴＡメッセージは、給食時間の始めと終わりに送信されて、近距離タグ４１が、適切な時間中に支払いを行うことにしか使用されることが可能でないようにされる。

ＯＴＡメッセージが、移動遠隔通信ネットワーク３によってユーザのＳＩＭカード１５に送信される時刻、および状況は、移動端末装置１のユーザによって設定されてもよい。例えば、移動端末装置１のユーザは、移動遠隔通信ネットワーク１との通信セッション（ＳＩＰ通信セッションなどの）を開始して、ＲＦタグ４１がイネーブルにされるべき時間帯または場所を構成することができる。この更新プロセスは、パスワードの入力を要求する、または他の何らかのセキュリティ機構を使用して、近距離タグが動作可能または動作不能にされる時間帯および／またはロケーションを、許可のない個人が、再構成するのを防止することが可能である。代替として、ユーザは、他の何らかの機構によって、例えば、移動電話呼び出しまたはＰＳＴＮ電話呼び出しによって、移動遠隔通信ネットワーク３の事業者に口頭の指示を与えることにより、または移動遠隔通信ネットワーク事業者のウェブサイトを訪問することにより（移動端末装置１を使用して、または端末装置１とは無関係に、インターネットに接続されたＰＣを使用して）、ＯＴＡメッセージが、送信される時刻および／またはロケーションを構成してもよい。

移動端末装置１のユーザが、ＲＦタグ４１がいつ／どこで、活動化されるかを決定するのではなく、そのことは、移動遠隔通信ネットワーク３、または他の何らかのエンティティによって決定されてもよい。例えば、給食の代金の支払いと関係する、前段で与えられた例では、学童の親が、学童が、学童のＲＦタグを使用して、支払いを行うことができる時間帯を設定してもよい。公共交通機関の代金の支払いと関係する、前段で与えられた例では、公共交通機関当局は、代替として、またはさらに、ＯＴＡメッセージがいつ、送信されるかを管理して、近距離タグ４１を組み込んだ移動端末装置１が、盗まれたことが通知された場合、その当局は、近距離タグ４１を永久に、または一時的に非活動化することができる。

代替の実施形態では、ＳＩＭ１５は、ＳＩＭが、移動遠隔通信ネットワークに対して認証されるかどうか（前述したように、認証アルゴリズムおよび一意のＫｉを使用して）に応じて、タグの活動化および非活動化を行う。

通常、移動端末装置１が、移動遠隔通信ネットワーク３のサービスエリア内で起動されると、ネットワーク３のＳＩＭ１５と認証プロセッサ１７との間の認証プロセスが、自動的に行われる。その認証が完了すると、タグの動作をイネーブルにするメッセージが、リンク４３を介して、近距離タグ４１に送信される。ＳＩＭ１５が、もはや認証されなくなると（例えば、移動端末装置１の電源が切られた際に）、近距離タグ４１を非活動化する、さらなるメッセージが、ＳＩＭ１５から、リンク４３を介して近距離タグ４１に送信される。

以上の構成の変形として、移動端末装置１は、タグ４１がイネーブルにされるのに、ネットワーク３に対して必ずしも認証されなくてもよい。しかし、タグ４１は、所定の時点で、または所定のイベント時に、例えば、１日に１回、または移動端末装置１の電源オン／オフ時に、ＳＩＭ１５が認証されていることを示すメッセージを、ＳＩＭ１５から受信した場合にだけ、イネーブルにされるように構成される。そのような実施形態は、移動端末装置１が、盗まれた場合、単一のＯＴＡメッセージを送信することにより、ＳＩＭ１５と近距離タグ４１がともに、一緒にディセーブルにされることが可能であるため、有利である。

本発明の別の実施形態では、移動端末装置および／または近距離タグ４１は、移動端末装置１と移動遠隔通信ネットワーク３との間の通信を要求することなしに（したがって、ＯＴＡメッセージの受信を要求することなしに）、タグ４１をディセーブルにするための手段を備える。

近距離タグ４１は、許可のない読み取り装置による近距離タグ４１から情報を得る機会を減らすために、イネーブルおよびディセーブルにすることが選択的に行われることが可能である。

以下の構成は、近距離タグ４１が、相当に長い時間にわたってイネーブルおよびディセーブルにされるべき場合、有用である。
（１）ＰＩＮ（ｐｅｒｓｏｎａｌ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｎｕｍｂｅｒ）入力 移動端末装置１のキーパッド３７を使用して、近距離タグ４１をイネーブルにするＰＩＮ（または他の秘密のパスワード）が入力される。ユーザのＰＩＮは、移動端末装置１内、またはＳＩＭ１５内のセキュリティで保護されたロケーションの中に格納されることが可能である。ユーザが、キーパッド３７を使用してユーザのＰＩＮを入力すると、入力されたＰＩＮは、格納されているＰＩＮと比較される。それらのＰＩＮが合致した場合、ＳＩＭは、近距離タグ４１を活動化するメッセージを、リンク４３を介して、近距離タグに伝送する。
（２）バイオメトリックデータ入力 移動端末装置１は、指紋読み取り装置４５を組み込むことが可能である。指紋読み取り装置４５は、ユーザの指が、読み取り装置４５上に置かれると、ユーザの指紋を走査し、その指紋を、移動端末装置１またはＳＩＭ１５のメモリの中に格納されたユーザの指紋と比較する。それらの指紋が合致すると判定された場合、メッセージが、ＳＩＭ１５から、リンク４３を介してＲＦタグ４１に送信される。指紋の代替として、他のバイオメトリックデータが、例えば、音声認識（移動端末装置の内蔵のマイク、および移動端末装置１内、またはＳＩＭカード１５内の音声認識アルゴリズムを使用する）、または網膜走査（移動端末装置の内蔵のカメラを使用する）が、使用されることも可能である。

以上の構成（１）および（２）は、有利には、読み取り装置によって読み取られた後、自動的に非活動化するＲＦタグ４１と組み合わされることが可能である。つまり、ユーザは、移動端末装置１を読み取り装置の近くに持ってくることに先立って、ユーザのＰＩＮまたはバイオメトリックデータを入力することにより、ＲＦタグを活動化する。ＲＦタグ４１の読み取りが成功した後、ＲＦタグは、自らを自動的にディセーブルして、ＰＩＮまたはバイオメトリックデータが、再入力されることなしに、さらなる読み取りが行われ得ないようにする。移動端末装置１が、紛失した、または盗まれた場合、許可のない個人は、ＲＦタグ４１を使用することができない。

前述の構成（１）および構成（２）は、ユーザが、かなり頻繁に、ユーザのＲＦタグ４１を活動化することを所望する場合、相当に不便である。以下の構成は、ＲＦタグ４１の比較的頻繁な活動化が要求される場合、より好都合である。
（１）光センサ 例えば、フォトダイオード（光源にさらされると、電流を変化させるセンサ）が、移動端末装置１のケーシングに組み込まれて、ＲＦタグ４１を活動化または非活動化するスイッチの役割をすることが可能である。ＲＦタグ４１は、移動端末装置１が、光にさらされた場合にだけ、ＲＦタグ４１がイネーブルにされるように、フォトダイオードによって制御される。したがって、移動端末装置１が、不透明なケース、またはユーザのポケットの中に入っていた場合、ＲＦタグ４１は、ディセーブルにされる。フォトダイオードは、ある特定の周波数、例えば、可視光線、赤外線、または紫外線に対する感度が高いことが可能である。タグ読み取り装置は、タグを活動化するために、その周波数で光を放出する発光器を備えることが可能である。
（２）圧力センサ 移動端末装置１のケーシング上の圧力センサが、スイッチの役割をする。ＲＦタグ４１は、ユーザが、圧力センサを物理的に押した場合にだけ、イネーブルにされる。したがって、移動端末装置が、ケース、またはユーザのポケットの中に入っていると、圧力センサは、ディセーブルにされる。圧力センサ自体、例えば、移動端末装置１のある機能が、キーパッド３７が機能しないようになるように選択された場合、ユーザによって非活動化されることが可能である。圧力センサは、指紋スキャナ４５と組み合わされることが可能である。組み合わされたセンサは、圧力が印加されたことだけでなく、許可された個人が、センサを押していることも検出する。代替として、圧力センサは、電気抵抗メータと組み合わされて、圧力センサを押しているのが、他の何らかの物体ではなく、人間の手であることを検出するのに使用されることも可能である。
（３）熱センサ 移動端末装置１のケーシング上の適切な位置に組み込まれた、そのようなセンサが、手からの熱を検出することにより、移動端末装置がユーザの手の中にあることを検出して、手からの熱が、そのように検出された場合にだけ、近距離タグ４１をイネーブルにするように構成されることが可能である。
（４）表皮抵抗センサ 表皮抵抗センサが、前述した圧力センサの存在に応じて、移動端末装置１のケーシング上に備えられることが可能である。近距離タグ４１は、ユーザの手がそのセンサと接触していることを示す適切な抵抗、キャパシタンス、またはインダクタンスが検出された場合にだけ、動作させられる。
（５）慣性センサ 移動端末装置に組み込まれた慣性センサを使用して、ユーザが、端末装置（およびタグ４１）を、端末装置（およびタグ４１）が使用されるべきことを示す十分な速度で動かしていることが、検出されることが可能である。慣性センサは、例えば、ゲームシステムおよびバーチャルリアリティ／リモコンシステムにおける、動き検出器において一般的に使用される、マイクロアクセラレータに基づくことが可能である。

以上の構成（１）ないし（５）は、カードが、格納されている時点から、カードが、活動中であることが要求される時点まで変化する環境状況（光、圧力、熱、動きなど）に依存して、無線周波数タグ４１を活動化する。その他のタイプの環境センサが、使用されることも可能であり、本発明の範囲に含まれる。前述した構成（１）ないし（５）は、近距離タグ４１が、１回、読み取られた後、タグ４１を自動的に非活動化するための構成と組み合わされることも可能であり、あるいは、代替として、タグ４１は、環境条件が変化すると（例えば、光／圧力／熱／動きが、もはや印加されない）、非活動化してもよい。

近距離タグ４１に関連するデータを保護するための代替の構成が、以下に明らかにされ、単一のＲＦタグ、または複数のＲＦタグに関して、またはＲＦタグをユーザが所有していない場合に（タグ付けシステムにおけるように）、有用である。すなわち、
（１）妨害デバイス 近距離タグ４１および／または移動端末装置１１が、妨害デバイスの範囲内の他のすべてのＲＦタグの低レベル通信を妨害／阻害するように設計される。近距離タグ技術において一般的に使用される衝突防止プロトコルに従うのではなく、デバイスは、衝突、およびその他の形態の干渉を生じさせようと試みる。妨害デバイスは、カードの許可された使用が要求されると、ディセーブルにされる、または近距離タグ４１が、妨害デバイスの付近から離される。
（２）ラウンドトリップ検出器 大きく拡張されたＲＦ電磁場からのアクセスから保護するのに、移動端末装置または近距離タグ４１は、ラウンドトリップ遅延テスタ（信号が、近距離タグ４１から読み取り装置に行き、タグ４１に戻るのにかかる時間を測定する）を有する。ラウンドトリップ遅延テスタは、近距離タグ４１に読み取り／プローブが行われている際に、試験信号を送信し、あるラウンドトリップ遅延内で応答を予期する。応答が、所定の遅延後に受信されていない場合、近距離タグは、永久に、または一時的にディセーブルにされる。
（３）遮蔽 移動端末装置１のケースは、近距離タグ４１を都合よく遮蔽するために、ケースの布地に縫い込まれた（または別の形で、そこに組み込まれた）薄い金属プレートを有することが可能である。

移動端末装置１は、任意の組み合わせで実施された以上の構成のいずれを有することも可能である。例えば、手動入力システムおよび自動入力システムが、それぞれ、短い使用時間、および長い使用時間にわたってカードをイネーブルにするように提供されることが可能である。代替として、それらの構成は、並列に機能してもよく、近距離タグ４１は、（例えば）光センサが活動化され、かつ正しいＰＩＮが入力された場合にだけ、イネーブルにされる。さらに、以上の構成は、直列に機能してもよく、例えば、近距離タグ４１は、光センサが活動化され、かつ正しいＰＩＮが、その後に入力された場合に、イネーブルにされる。

前述した構成では、タグ４１、および近距離タグ４１を活動化／非活動化するための機構は、移動端末装置に組み込まれる。代替として、タグを活動化／非活動化するための機構は、スマートカードまたはＳＩＭ１５自体に直接に組み込まれてもよい。また、タグ４１、またはタグ４１の一部分が、ＳＩＭ１５に組み込まれてもよい。

スマートカードまたはＳＩＭを使用して近距離タグの動作を制御する原理は、ＳＩＭが、移動端末装置１に関連付けられる、または常に関連付けられている構成に限定されない。例えば、ＳＩＭは、ＷＯ−Ａ−２００４ ０３６５１３で開示されるタイプの「ドングル」に関連付けられてもよい。

図３は、そのようなドングルを示す。図３によれば、ドングル５０は、ドングル５０のハウジング５２内に完全に収容されるＳＩＭを有し、したがって、ＳＩＭを、この図では見ることができない。ドングル５０は、ＰＣに接続するためのコネクタ５４を有する。ケーシング５２の反対端で、ドングル５０をユーザの鍵輪に取り付けることにより、ドングル５０を携帯するための便利な手段をもたらすように、オプションのループコネクタ５４が、設けられることが可能である。

ハウジング５２の１つの面には、様々な押しボタン５６が組み付けられており、ボタン５６の１０個の上には、それぞれ、０から９までの番号がある。この実施形態では、ドングル５０は、適切に設計された押しボタン４６を操作することにより、ユーザからのＰＩＮ番号の入力を受け取るための手段（ソフトウェアなどの）を含み、そのＰＩＮ番号が、ＳＩＭに提供され、ＳＩＭ上に格納されたＰＩＮ番号と比較される。移動遠隔通信ネットワークにおいて使用されるＳＩＭは、従来、そのようなＰＩＮを提供されている。

ハウジング５２は、オプションとして、所望される場合、ユーザのＰＩＮ番号を入力するよう、ユーザに促すため、および／またはＰＩＮ番号が入力されると、そのＰＩＮ番号を表示するためのディスプレイ５８をさらに含んでもよい。押しボタン５６を使用してＰＩＮ番号が入力されると、入力されたＰＩＮ番号は、ＳＩＭ上に格納されたＰＩＮ番号と比較される。それらのＰＩＮが、合致することが分かった場合、１つまたは複数のトランザクションを認証するＳＩＭとＰＣとの間の通信が、許される。入力されたＰＩＮ番号と、ＳＩＭ１５上に格納されたＰＩＮ番号との比較は、ドングル５０内部で実行され、入力されたＰＩＮ番号も、ＳＩＭ上に格納されたＰＩＮ番号も、ＰＣに通信されない。これにより、ＰＩＮが、許可された関係者への開示によって危うくなる可能性が阻止される、または低減される。

ＰＩＮの入力を可能にするのに、ドングル５０は、電源を要する。電力は、ＰＣによって供給されることが可能である。有利には、ＰＩＮは、ＰＩＮが入力され、検証されることを可能にする独自の一時的な電源を有する。その後、その電源は遮断され、ＰＩＮデータは失われる。これは、さらなるセキュリティフィーチャであり、以下により詳細に説明する。

図３のＰＩＮ入力比較構成は、本明細書で説明する、その他のセキュリティ対策に加えて、またはそれらの代替として、提供されることが可能である。
また、ドングルは、近距離タグ４１も組み込むことができる。ドングル内部のＳＩＭは、インターネットを介して移動遠隔通信ネットワーク３に接続された移動端末装置またはＰＣなどの、別のデバイスに接続されている場合にだけ、移動遠隔通信ネットワーク３と通信することができる。ＳＩＭと移動遠隔通信ネットワーク３との間の、その接続が行われた際、ＳＩＭのためのＯＴＡ更新メッセージが、受信され、ドングル内部のＳＩＭにダウンロードされることが可能である。次に、それらのメッセージ内のコマンドが、ＳＩＭによって実行され、タグを制御するのに使用されることが可能である。コマンドは、タイムテーブルまたはイベントセットに応じて、タグを活動化／非活動化することが可能であり、ＳＩＭは、ＳＩＭが移動遠隔通信ネットワークにもはや接続されていない場合でも、それらのコマンドに従って、タグの活動化／非活動化を制御する。

別の実施形態では、ＳＩＭおよび近距離タグは、データカードに組み込まれることが可能であり、データカードは、ノートブックコンピュータ、またはその他のデバイスが、移動遠隔通信ネットワーク３と無線で通信することを可能にする。

図４ａは、誘導アンテナ２００を含む内蔵の近距離タグと、ＰＩＮ入力システムとを有するＳＩＭまたはスマートカード１００を示す。スマートカード１００のサイズのため、ＰＩＮ入力システムは、現在の番号を示す小型ディスプレイ１１０から成る。「アップ」−「ダウン」ボタン１１１により、ユーザが、番号を巡ることが可能になり、「エンタ」ボタン１１２により、ユーザが、ある番号を選択することが可能になる。

図４ｂは、スマートカード１００上のボタン１１３の上に印刷された記号を使用する、別のＰＩＮ入力システムを示し、ユーザは、タグを活動化するのに、記号を正しい順序で入力しなければならない。

図５は、誘導アンテナ２００を含む内蔵の近距離タグと、指紋を読み取るためのバイオメトリックシステム１２０とを有するスマートカード１００を示す。指紋は、理想的には、スマートカード１００のメモリ１３０の中に格納された、以前にとられた指紋と比較され、あるいは単に、不特定の指紋の特性を有すると判定されることが可能である。

図６は、誘導アンテナ２００を含む内蔵の近距離タグと、フォトダイオード１４０が光にさらされた際に、カードをイネーブルにするダイオード１４０とを有するスマートカード１００を示す。スマートカード１００は、単一のフォトダイオード１４０、または複数のフォトダイオード１４０を含むことが可能である。不慮の活動化を防止するため、スマートカード１００をイネーブルにするのに、複数のフォトダイオード１４０が活動化されることが、必要とされてもよい。

図７は、内蔵の誘導アンテナ２００と、カードが保持されている際に、カードをイネーブルにする圧力センサ１５０とを有するスマートカード１００を示す。不慮の活動化を防止するため、スマートカード１００をイネーブルにするのに、複数の圧力センサ１５０が活動化されることが、必要とされてもよい。カードは、複数の圧力センサ１５０を、スマートカード１００の同一の面上に含んでも、スマートカード１００の反対の面上に含んでもよい。スマートカード１００は、操作するのに片手を要しても、操作するのに両手を要してもよい。

図８は、内蔵の誘導アンテナ２００と、カードが、十分な速度で揺り動かされた際に、カードをイネーブルにする慣性センサ１６０とを有するスマートカード１００を示す。
図９は、ＲＦ信号が、ウォレット／パース１７０の中に保持されるスマートカード１００に到達するのを防止する金属シールド１８０を有するウォレット／パースを示す。タグは、ウォレット／パース１７０の中に入っている間、読み取られることが可能でない。

図４ａないし図９と関係して説明されるフィーチャは、移動端末装置、データカード、またはドングルなどの、ＳＩＭを組み込むデバイスに適用されることが可能である。
近距離タグ４１を組み込む移動端末装置１は、他のセキュリティフィーチャを組み込むことが可能である。例えば、移動端末装置（またはＳＩＭ）は、タグの使用を制限することができる。例えば、移動端末装置（またはＳＩＭ）が、所定の期間内に行われたタグの使用の回数のレコードを保持することが可能である。指定の期間内の使用の回数が、ある閾値を超えた場合、さらなる使用は、許可されないことが可能である。代替的に、またはさらに、移動端末装置（またはＳＩＭ）は、タグが使用されているという標識を提供することができる。例えば、タグが読み取られている際、移動端末装置は、視覚的指示（端末装置のディスプレイ３４上でアイコンを示すなどの、を提供することができ、端末装置の内蔵スピーカを使用して、サウンドを生成することができ、あるいは、振動などの、他の何らかの物理的指示を生成することができる。そのような標識は、タグの使用をユーザに知らせる。すると、ユーザは、タグの使用が、正当である可能性が高いか、または不正である可能性が高いかを評価することができる。

近距離タグにシールドが適用された場合、これにより、有利には、所定の方向からの読み取りの試みを除き、すべての読み取りの試みが遮蔽されることが可能である。例えば、シールドは、近距離タグ（またはタグのアンテナ）が、読み取り装置にまっすぐに向き合わなければならないように、構成されることが可能である。これは、端末装置１ケーシングにおけるシールド、またはハンドセットによって生成される信号妨害をシールドすることによってもたらされることが可能である。そのようなシールドは、ランダムな読み取り要求を伝送する不正な読み取り装置が、タグをうまく読み取ることができる可能性を小さくする。

説明した諸実施形態は、単一の近距離タグを使用するが、複数の近距離タグが、単一のＳＩＭまたは移動端末装置に組み込まれてもよいことを理解されたい。ＳＩＭは、それぞれのタグに関して受信されるＯＴＡ更新命令に応じて、それらのタグのそれぞれを別々に制御してもよい。

本発明は、ＲＦ通信を使用し、動作のために読み取り装置が極めて近接していることに依拠する、任意のデバイスに適用可能である。

通信ネットワークの諸要素を概略で示す図である。 本発明の実施形態による移動端末装置を概略で示す図である。 本発明の実施形態によるドングルを概略で示す図である。 本発明の諸実施形態による変更されたスマートカードを示す図である。 本発明の諸実施形態による変更されたスマートカードを示す図である。 本発明の諸実施形態による変更されたスマートカードを示す図である。 本発明の諸実施形態による変更されたスマートカードを示す図である。 本発明の諸実施形態による変更されたスマートカードを示す図である。 本発明によるスマートカードを格納するためのウォレットを示す図である。

Claims (12)

1. 近距離通信デバイスの使用を制御するための装置であって、
   前記近距離通信デバイスと、移動通信ネットワークに結合可能なスマートカード手段と、前記近距離通信デバイスおよび前記スマートカード手段の間のリンクとを備えており、
   前記スマートカード手段が、該スマートカード手段を前記移動通信ネットワークと認証するために、前記移動通信ネットワークによって使用可能な認証情報を、前記移動通信ネットワークが格納する対応の認証情報に関連付けられて含んでおり、
   前記スマートカード手段が、前記移動通信ネットワークによって認証されたときに、前記近距離通信デバイスの使用を制御するためのデータを、前記移動通信ネットワークから受信するように動作可能であり、
   前記スマートカード手段が、前記データを処理して前記近距離通信デバイスで実行されるコマンドを発行し、該コマンドを含む制御信号を、前記近距離通信デバイスに前記リンクを介して送信して、前記近距離通信デバイスの通信を選択的に制御するように動作可能であり、
   前記スマートカード手段は前記移動通信ネットワークによる認証の後にセキュアとなり、且つ、前記制御信号が前記移動通信ネットワークから受信した前記データに基づくものとなることにより、前記スマートカード手段が発出する前記制御信号はセキュアな供給源からのものとなり、前記近距離通信デバイスに対して前記通信の選択的制御を通じて提供されるように構成したことを特徴とする、装置。
2. 近距離無線妨害デバイスまたは近距離無線阻害デバイスを含む請求項１に記載の装置。
3. 前記近距離通信デバイスと、そのデバイスのための読み取り装置との間の前記距離を検出するための手段を含む請求項１または２に記載の装置。
4. 前記検出する手段が、前記近距離通信デバイスと、そのデバイスのための前記読み取り装置との間で信号を伝送するのにかかる前記時間を測定するように動作可能である請求項３に記載の装置。
5. 近距離無線シールドを含み、シールドにより、前記近距離通信デバイスが、所定の方向だけから近距離無線を受信することを可能にする請求項１から４のいずれか一項に記載の装置。
6. 前記スマートカード手段が、ＳＩＭを含む請求項１から５のいずれか一項に記載の装置。
7. 前記データが、前記スマートカード手段をプログラミングするためのものである請求項１から６のいずれか一項に記載の装置。
8. 前記データが、無線更新メッセージを含む請求項７に記載の装置。
9. 前記データが、ＳＭＳメッセージを含む請求項７または８に記載の装置。
10. 前記移動通信ネットワークからロケーションデータを受信し、前記ロケーションデータに応じて、前記近距離通信デバイスをイネーブルにする請求項１から９のいずれか一項に記載の装置。
11. 前記データが、前記近距離通信デバイスがイネーブルにされる時刻を制御する請求項１から１０のいずれか一項に記載の装置。
12. 近距離通信デバイスの使用を制御する方法であって、移動通信デバイスが、前記近距離通信デバイスと、スマートカード手段と、前記近距離通信デバイスおよび前記スマートカード手段の間のリンクとを備えており、
    移動通信ネットワークに対して前記スマートカード手段を認証するために、前記スマートカード手段を前記ネットワークに結合するステップと、
    前記スマートカード手段が前記ネットワークによって認証されたときに、前記ネットワークが、該移動通信ネットワークから前記スマートカード手段に、前記近距離通信デバイスの使用を制御するためのデータを伝送するステップと、
    前記スマートカード手段が、前記データを処理して前記近距離通信デバイスで実行されるコマンドを発行すると共に、該コマンドを含む制御信号を、前記近距離通信デバイスに前記リンクを介して送信するステップと、
    前記制御信号を用いて、前記近距離通信デバイスの通信を選択的に制御するステップであって、前記スマートカード手段は前記移動通信ネットワークに認証されたときにセキュアとなり、且つ、前記制御信号が前記移動通信ネットワークから受信した前記データに基づくものとなることにより、前記スマートカード手段が発出する前記制御信号はセキュアな供給源からのものとなり、前記近距離通信デバイスに対して前記通信の選択的制御を通じて提供されるように構成される、ステップと、
    を含む方法。

Images