JP5641589B2 - 耐タンパ回路、耐タンパ回路を備える装置及び耐タンパ方法 - Google Patents

Description

本発明は、タンパ行為に対処するための、耐タンパ回路、耐タンパ回路を備えた装置及び耐タンパ方法に関する。

クレジットカードの決済に使用する端末やＰＯＳ（point of sales）端末といった金融端末、或いは、機密情報を取り扱う情報処理端末等には、耐タンパ性を高めるために種々の技術が用いられている。

ここで、耐タンパ性とはタンパ行為に対する耐性のことである。また、タンパ行為とは、端末の異常動作を引き起こすことや機密情報を取得すること等を目的とした不正行為である。より具体的には、タンパ行為とは、端末を構成する筐体に対しての開封行為や、半導体が正常動作できないような異常な温度下での端末への攻撃行為等であり、複数の手法が存在する。

この点、耐タンパ装置の一例が特許文献１に記載されている。

特許文献１に記載の耐タンパ装置は、パッケージでパッケージングされた秘密情報記憶装置であって、秘密情報を記憶する秘密情報記憶部と、前記パッケージの外部の所定の箇所に配置される外部センサに接続するとともに、前記外部センサから前記外部センサの検知した検知信号を入力すると、前記秘密情報記憶部に記憶されている秘密情報を消去する秘密情報消去部とを備えている。

そして、かかる秘密情報記憶装置は、複数の外部センサ及び内部センサの何れかからタンパ行為を検知した旨の検知信号を入力すると、予め格納している耐タンパポリシに従って、複数の秘密情報の中から消去するべき秘密情報を選択して消去する。

これにより、タンパ行為を受けたことにより秘密情報が漏洩してしまうことを防止することが可能となる。

国際公開第２００８／１１７４６７号

上述したように、特許文献１のような技術を利用することにより秘密情報の漏洩が防止可能となる。また、上述した特許文献１のような機能をマイクロプロセッサにより実現したセキュアＩＣ（integrated circuit）といった名称で呼ばれるＩＣも存在する。

ここで、セキュアＩＣはタンパ行為を検知するためのピンを複数有しており、各ピンにはタンパ行為を検出するためのトラップが接続される。そして、トラップはタンパ行為を検知するとこのピンの何れかに対して信号を入力する。セキュアＩＣは、トラップによってピンの何れかに信号が入力されたことによりタンパ行為を検知すると、内部で保持している機密情報を消去する。また、セキュアＩＣはどのピンでタンパ行為を検出したか、という情報を記録する機能を更に有している。例えば、開封検知用の信号や異常温度検出用の信号をそれぞれ異なるピンに入力することで、どういったタンパ行為がなされたのか要因の切り分けが可能となる。

しかしながら、セキュアＩＣを制御ＩＣとしているような装置において、仮に内部で保持している機密情報を消去したとしても、セキュアＩＣの動作が継続したままでは、更なるタンパ行為が有った場合にセキュリィティ上問題となることがある。

例えば、クレジットカードの決済を行う金融端末であれば、既に読み込み済みの機密情報は消去できるかもしれないが、セキュアＩＣが動作することにより装置としての機能が失われない。そのため再度クレジットカードを読み取られることにより、いわゆるスキミングが行われる場合がある。また、既に読み込み済みの機密情報を消去したとしても、セキュアＩＣが動作することにより装置としての機能が失われないのであれば、その後の動作状態を解析され、物理的或いは論理的に装置の動作状況を把握されてしまうようなこともあり得る。

このような問題に対処するため、セキュアＩＣの中には、タンパ行為を検出すると、内部で保持している機密情報を消去するといった検出したタンパ行為に応じた処理を行うに止まらず、更に、タンパ行為の検出状態が継続している間はセキュアＩＣ自身の動作を停止する種類のものもある。このようなタンパ行為の検出状態が継続している間は動作を停止するセキュアＩＣを情報処理装置の制御用ＩＣとして使用する場合には以下に説明するような２つの課題が有った。

まず、第１の課題について説明する。このようなタンパ行為の検出状態が継続している間は動作を停止する種類のセキュアＩＣは、タンパ行為を検出して、その検出したタンパ行為に応じた処理を行った後には、それに続くタンパ行為に応じた処理をすることができない。従って、このような種類のセキュアＩＣを用いると、タンパ行為が連続して複数回行われるような場合に、２度目以降のタンパ行為に対して無防備になってしまう、という第１の課題が有った。

また、このような種類のセキュアＩＣの場合、動作を停止している間は外部からのアクセスを受け付けない。そうすると、外部からは、どういったタンパ行為がなされたかの確認ができない。また、それに加え、そもそもタンパ行為を検知したため停止しているのか、それとも人為的なタンパ行為は行われておらず電源の異常等の他の要因によって停止しているかも分からない。このように外部からのアクセスができないことからタンパ行為等についての要因の切り分けができないという第２の課題があった。

そして、これら第１の課題及び第２の課題を考慮すると、セキュアＩＣタンパ行為の検出が継続している間はセキュアＩＣの動作を一律に停止するという構成よりも、タンパ行為の検出が継続中であってもセキュアＩＣの動作を可能とする構成が望まれる状況も生じていた。

そこで本発明は、タンパ行為の検出状態が継続している間は動作を停止するセキュアＩＣを制御用ＩＣとして使用する装置においてタンパ行為の検出が継続している場合であっても、セキュアＩＣの動作を可能とすることが可能な、耐タンパ回路、耐タンパ回路を備えた装置及び耐タンパ方法を提供することを目的とする。

本発明の第１の観点によれば、監視対象の装置に対してのタンパ行為の検出を表す信号である入力検出信号を受け付ける受付手段と、制御手段自身の動作停止と、必要に応じて前記動作停止の前に行う前記監視対象の装置に対する所定の処理と、を含む耐タンパ処理を、前記入力検出信号に対応して発生した出力検出信号を入力している期間に行う制御手段に対して、前記出力検出信号を出力する出力手段と、前記受付手段が前記入力検出信号を受け付けたことを契機として前記出力検出信号を発生させ、遅くともそれから所定時間が経過した後に前記出力検出信号の発生を終了させ、前記所定時間経過後に前記受付手段による前記入力検出信号の受け付けが継続していたとしても前記出力検出信号を発生させない出力検出信号発生手段と、を備え、前記制御手段は、前記出力検出信号を入力されている間は前記耐タンパ処理を継続する制御手段であることを特徴とする耐タンパ回路が提供される。

本発明の第２の観点によれば、本発明の第１の観点により提供される耐タンパ回路と、前記制御手段と、前記監視対象の装置とを備えた情報処理装置であって、前記制御手段は前記出力検出信号を入力されると、前記制御手段が動作することによってアクセス可能な情報であって前記制御手段及び／又は他の手段が記憶する情報、を消去することにより該情報が漏洩しない状態となってから前記動作の停止を行うことを特徴とする情報処理装置が提供される。

本発明の第３の観点によれば、本発明の第１の観点により提供される耐タンパ回路と、前記制御手段と、前記監視対象の装置とを備えた情報処理装置であって、前記制御手段は前記出力検出信号を入力されると、前記制御手段が動作することによってアクセス可能な情報であって前記制御手段及び／又は他の手段が記憶する情報、を消去することにより該情報が漏洩しない状態となってから前記動作の停止を行い、前記出力手段が出力する前記出力検出信号は、前記制御手段の異なる箇所であって前記検出したタンパ行為の種別に対応する箇所に対して出力され、前記制御手段は、前記箇所の内の何れの箇所に前記出力検出信号が入力されたかに基づいて前記タンパ行為の種別を判別すると共に判別結果を記憶することを特徴とする情報処理装置が提供される。

本発明の第４の観点によれば、耐タンパ回路が行う、耐タンパ方法であって、前記耐タンパ回路が備える受付手段が、監視対象の装置に対してのタンパ行為の検出を表す信号である入力検出信号を受け付ける受付ステップと、制御手段自身の動作停止と、必要に応じて前記動作停止の前に行う前記監視対象の装置に対する所定の処理と、を含む耐タンパ処理を、前記入力検出信号に対応して発生した出力検出信号を入力している期間に行う制御手段に対して、前記耐タンパ回路が備える出力手段が前記出力検出信号を出力する出力ステップと、前記耐タンパ回路が備える出力検出信号発生手段が、前記受付手段が前記入力検出信号を受け付けたことを契機として前記出力検出信号を発生させ、遅くともそれから所定時間が経過した後に前記出力検出信号の発生を終了させるステップと、を有し、前記制御手段は、前記出力検出信号を入力されている間は前記耐タンパ処理を継続する制御手段であり、前記出力検出信号発生手段は、前記所定時間経過後に前記受付手段による前記入力検出信号の受け付けが継続していたとしても前記出力検出信号を発生させない、ことを特徴とする耐タンパ方法が提供される。

本発明の第５の観点によれば、監視対象の装置に対してのタンパ行為の検出を表す信号である入力検出信号を受け付ける受付手段と、制御手段自身の動作停止と、必要に応じて前記動作停止の前に行う前記監視対象の装置に対する所定の処理と、を含む耐タンパ処理を、前記入力検出信号に対応して発生した出力検出信号を入力している期間に行い、前記出力検出信号を入力されている間は前記耐タンパ処理を継続する制御手段に対して、前記出力検出信号を出力する出力手段と、前記受付手段が前記入力検出信号を受け付けたことを契機として前記出力検出信号を発生させ、遅くともそれから所定時間が経過した後に前記出力検出信号の発生を終了させ、前記所定時間経過後に前記受付手段による前記入力検出信号の受け付けが継続していたとしても前記出力検出信号を発生させない出力検出信号発生手段と、を備える耐タンパ回路としてコンピュータを機能させることを特徴とする耐タンパプログラムが提供される。

本発明によれば、タンパ行為の検出状態が継続している間は動作を停止するセキュアＩＣを制御用ＩＣとして使用する装置においてタンパ行為の検出が継続している場合であっても、セキュアＩＣの動作を可能とすることが可能となる。

本発明の実施形態である情報処理端末装置の基本的構成を表す図である。 本発明の実施形態におけるタンパ行為検出部、ワンショットパルス生成回路及びセキュアＩＣに含まれる機能ブロックを表す図である。 本発明の実施形態の基本的動作を表すフローチャートである。 本発明の実施形態におけるワンショットパルス生成回路内での信号の状態を表すタイミングチャートの一例である。 本発明の実施形態におけるワンショットパルス生成回路内での信号の状態を表すタイミングチャートの他の一例である。

まず、本発明の実施形態の概略を説明する。本発明の実施形態は、概略、タンパ行為を検知する機能を有し、タンパ行為を検知した場合に全ての動作をストップしてしまう仕様であるセキュアＩＣ（マイクロプロセッサ）を使用する情報処理端末装置に関し、タンパ行為を検知した後タンパ行為を検出した状態のままでもセキュアＩＣの動作を可能とすることを特徴としている。また、このようにセキュアＩＣの動作を可能として、外部からのアクセスができるようにすることによってタンパ行為の検出が継続している場合であっても、外部から動作停止の要因の切り分けを行うことが可能となることも特徴としている。以上が本発明の実施形態の概略である。

続いて、本発明の実施形態の詳細について図面を参照して説明する。

図１は、本発明の実施形態である情報処理端末装置１０００に含まれる機能ブロックを表すブロック図である。情報処理端末装置１０００は任意の装置により実現できるが、本説明においてはユーザがクレジットカードの決済に使用する端末装置である信用照会端末（ＣＡＴ：Credit Authorization Terminal）により実現することを想定する。

もっとも情報処理端末装置１０００は他にも例えば、店舗等に設置されるＰＯＳシステム内のＰＯＳ端末や、銀行やコンビニエンスストアに設置される現金自動預け払い機（ＡＴＭ：Automated teller machine）等により実現することができる。すなわち、情報処理端末装置１０００は、耐タンパ性が要求される任意の装置により実現することができる。

ここで、情報処理端末装置１０００は、タンパ行為検出部１００、ワンショットパルス生成回路２００、制御部３００、表示部３１０、出力部３２０、入力部３３０、カード情報読取部３４０及び通信部３５０を含む。

タンパ行為検出部１００は、情報処理端末装置１０００に対するタンパ行為を検出する部分である。タンパ行為検出部１００は、タンパ行為を検出するためのタンパ行為検出用トラップを含む。このタンパ行為検出用トラップは、制御部３００が設けられている基板上や情報処理端末装置１０００の筐体の内部及び／又は外部に仕掛けられ密閉されている。

具体的にはタンパ行為検出用トラップは、例えば、筐体開封検出用のメカスイッチや温度異常を検出する温度センサや、装置の筐体に対しての加振を検出する振感センサ、といった種々のトラップにより実現される。また、図２を参照して説明を行う際に後述するが本実施形態ではタンパ行為検出部１００は７つのタンパ行為検出用トラップを含んでいるものとする。また、これら７つのタンパ行為検出トラップは全て又は一部が異なる種類のものであっても良いが、異なる位置に設置されている同種のタンパ行為検出用トラップが含まれていても良い。

ワンショットパルス生成回路２００は、制御部３００に含まれるタンパ行為検知用ピンとタンパ行為検出部１００の間に設けられている回路である。

一般的な技術であれば、制御部３００に含まれるタンパ行為検知用ピンに対して、タンパ行為検出部１００が出力したタンパ行為の検出を表す信号を直接入力する。しかしながら、本実施形態では、制御部３００に含まれるタンパ行為検知用ピンに対してタンパ行為検出の信号を直接入力するのではなく、ワンショットパルス生成回路２００を間に入れる。そして、こうすることによりタンパ行為を検出した状態のまま、すなわち、タンパ行為検出部１００によるタンパ行為検出の信号の入力が継続している状態であったとしても検知用ピンが検出状態を検知したままとはならないようにする。

ワンショットパルス生成回路２００の詳細な構成及び制御部３００に含まれるタンパ行為検知用ピンについては図２を参照して説明を行う際に後述する。

制御部３００は、情報処理端末装置１０００全体の制御を行う部分である。そして、制御部３００は上述したセキュアＩＣに相当するものである。

また、制御部３００は制御部３００内部に記憶部３０１を含んでいる。そして、タンパ行為がなされた際に消去しなければならない機密情報は、記憶部３０１に格納される。

制御部３００は耐タンパ性を有し、タンパ行為検知用のピンを複数有している。そして、タンパ行為検知用のピンにタンパ行為検出の信号が入力されると制御部３００が動作を停止する仕様となっており、停止する際には、どのピンで検知したかといった情報を保持する。情報は記憶部３０１に保持されても良いが図示されていない他の記憶部に保持されても良く、記憶部３０１と他の記憶部の双方に保持されても良い。また、図２を参照して説明を行う際に後述するが本実施形態ではタンパ行為検知用のピンは、７つのタンパ行為検出用トラップに対応して７つ設けられている。

タンパ行為検出の信号がタンパ行為検知用のピンに入力されている間、制御部３００は動作しない（外部からのアクセスを受け付けない）。情報処理端末装置１０００は、通常、ＰＯＳ端末やクレジットカードの信用照会を行うためのクレジットセンターターミナル等の上位装置から電源が供給されている。しかし、タンパ行為の検知機能は装置の電源ＯＦＦ時、即ち、ＰＯＳ端末やクレジットセンターターミナル等の上位装置から電源が供給されなくなった状態であっても機能する必要がある。そのため、タンパ行為検出部１００（タンパ行為検出用トラップ）、ワンショットパルス生成回路２００、及び制御部３００は、装置の電源ＯＦＦ時、タンパ行為を検知できるようバッテリによって電源が供給される。

上述した、タンパ行為検出部１００、ワンショットパルス生成回路２００及び制御部３００が本実施形態で特に要旨となる箇所である。なお、タンパ行為検出部１００は、本発明の「タンパ行為検出トラップ」に対応するものである。更に、ワンショットパルス生成回路２００は本発明の「ワンショットパルス生成回路」に対応するものである。更に、制御部３００は本発明の「制御部」に対応するものである。更に、タンパ行為検出部１００（タンパ行為検出用トラップ）が監視する情報処理端末装置１０００の一部又は全部は、本発明の「監視対象の装置」に対応するものである。更に、情報処理端末装置１０００は、本発明の「情報処理装置」に対応するものである。

続いて、情報処理端末装置１０００をクレジットカードの決済用端末として機能させるための機能ブロックについて説明する。

表示部３１０は、ユーザに対してクレジットカードの決済処理に関する情報を表示する表示部である。また、タンパ行為が検出された際に、タンパ行為が検出された旨や検出されたタンパ行為の種別が表示部３１０に表示されるようにしても良い。表示部３１０は、液晶ディスプレイ（Liquid Crystal Display）や、有機ＥＬディスプレイ（Organic Electro-Luminescence Display）により実現される。

出力部３２０は、スピーカやブザー等により実現され、クレジットカードの決済処理に伴う音を出力する。また、タンパ行為が検出された際に、出力部３２０が音を出力するようにしても良い。

入力部３３０は、ボタンやキー等により実現され、ユーザからの暗証番号等の入力を受け付ける。なお、表示部３１０と出力部３２０タッチパネルとして一体にして実現しても良い。

カード情報読取部３４０は、クレジットカード等に記録されているカード情報の読取を行う。

通信部３５０は、ＲＳ２３２Ｃ（Recommended Standard 232 version C）やＵＳＢ（Universal Serial Bus）等の規格に準拠したインターフェースである。

情報処理端末装置１０００は、通信部３５０を利用して上位装置（ＰＯＳ端末やクレジットセンターターミナル等）との通信を行う。なお、通信部３５０と上位装置の接続は、例えば、ＲＳ２３２ＣやＵＳＢ等の規格に準拠したケーブルを介して行われる。このケーブルは専用線であることが好ましい。なお、タンパ行為が検出された際に、タンパ行為が検出された旨や検出されたタンパ行為の種別を通信部３５０を利用して上位装置に通知するようにしても良い。

続いて、図２を参照してワンショットパルス生成回路２００の詳細な回路構成について説明する。なお、図２に表す回路構成は図１の機能ブロックと同様にあくまで一例に過ぎず、本実施形態の回路構成を限定するものではない。

図２を参照するとタンパ行為検出部１００は、第１のタンパ行為検出トラップ〜第７のタンパ行為検出トラップ（図中ではタンパ行為検出トラップ群１０１と表記する。）を含む。タンパ行為検出トラップの詳細は図１を参照して上述した通りである。

また、制御部３００は、第１のタンパ行為検知用ピン〜第７のタンパ行為検知用ピン（図中ではタンパ行為検知用ピン群３０２と表記する。）を含む。タンパ行為検知用ピンの詳細は図１を参照して上述した通りである。なお、図２においては記憶部３０１の図示を省略する。

更に、ワンショットパルス生成回路２００は、８つのＮ型電界効果トランジスタ（図中ではＮ型電界効果トランジスタ群２０１及びＮ型電界効果トランジスタ２０６と表記する）、抵抗２０２、Ｐ型電界効果トランジスタ２０３、ＯＲ回路２０４、電源ＯＮ時に所定のパルスを出力するリセットＩＣ２０５、抵抗２０７、抵抗２０８及びスリーステートバッファ（２４４）２０９を含む。

続いて図３のフローチャートを参照して本実施形態全体の動作について説明する。その後に、図４及び図５のタイミングチャートを参照してワンショットパルス生成回路２００の動作についてより詳細に説明する。

図３を参照すると、情報処理端末装置１０００に対して何者かがタンパ行為を働くと、タンパ行為検出部１００（タンパ検出用トラップ）がこれを検出する（ステップＡ１１）。

これによりバッテリによって保持されている、タンパ行為検出部１００（タンパ検出用トラップ）のタンパ検知用信号線の信号レベルが変化する（ステップＡ１２）。

ワンショットパルス生成回路２００は、タンパ検知用信号線の信号レベルが変化したことを検知し、ワンショットパルス生成回路２００から制御部３００のタンパ行為検知用ピンに対して信号を出力する（ステップＡ１３）。

制御部３００はタンパ行為検知用ピンの入力レベルが変化していることを検知し、タンパ検出の処理を実行し、動作を停止する（ステップＡ１４）。

しかしながら、本実施形態では、タンパ行為を検出した後タンパ行為検出の信号の入力が仮に継続していても、後述するワンショットパルス生成回路２００の働きにより制御部３００はタンパ行為を検出し続ける状態にはならない。そのため、タンパ行為検知用ピンに入力された信号レベルは戻ることとなる。これにより制御部３００は再起動し、タンパ要因の確認が可能な状態となる（ステップＡ１５）。

続いて、図４及び図５のタイミングチャートを参照して、図２におけるＳ１〜Ｓ６のポイントについて説明する。Ｓ１は、７つのタンパ行為検出用トラップの内の何れか１つのタンパ行為検出用トラップの出力であり、今回タンパ行為を検出したタンパ行為検出用トラップの出力である。

Ｓ６は、７つのタンパ行為検知用ピンの内、今回タンパ行為を検出したタンパ行為検出用トラップに対応する１つのタンパ行為検知用ピンの入力である。

図４において、Ａの時点でタンパ行為検出用トラップがタンパ行為を検出すると、タンパ行為を検出したタンパ行為検出用トラップはタンパ行為検出信号を出力する。

タンパ行為検出用トラップが出力するタンパ行為検出信号は、タンパ行為を検出したタンパ行為検出用トラップ自身に対応する、スリーステートバッファ（２４４）２０９の入力端子に入力される。

他方、タンパ行為を検出したタンパ行為検出用トラップ自身に対応する、Ｎ型電界効果トランジスタ群２０１内のＮ型電界効果トランジスタに対してもタンパ行為検出信号は入力される。これによりＮ型電界効果トランジスタ群２０１内の、タンパ行為を検出したタンパ行為検出用トラップに対応するＮ型電界効果トランジスタのゲートにＨｉの電圧がかかる。これによりタンパ行為を検出したタンパ行為検出用トラップに対応するＮ型電界効果トランジスタのドレイン−ソース間に電流が流れる（図２及び図４のＳ１：Ａの時点）。

これにより、Ｐ型電界効果トランジスタ２０３のゲートにＬｏｗの電圧がかかる。これによりＰ型電界効果トランジスタ２０３のドレイン−ソース間に電流が流れる（図２及び図４のＳ２：Ａの時点）。

Ｐ型電界効果トランジスタ２０３の出力信号はＯＲ回路２０４に入力され、これに伴いＯＲ回路２０４は信号を出力する（図２及び図４のＳ３：Ａの時点）。

リセットＩＣ２０５は、ＯＲ回路２０４からの信号の入力をトリガとして、所定のパルスを送出する（図２及び図４のＳ４：Ａの時点）。この所定のパルスは、そのパルスの所定の間隔である時間ｔの間送出される（図２及び図４のＳ４：Ａの時点〜Ｂの時点）。
リセットＩＣ２０５が所定のパルスを送出している間スリーステートバッファ（２４４）２０９のイネーブル端子の入力はＬｏｗとなる（図２及び図４のＳ５：Ａの時点〜Ｂの時点）。そのためリセットＩＣ２０５が所定のパルスを送出している間スリーステートバッファ（２４４）２０９から、タンパ行為検出信号が出力され、制御部３００のタンパ行為検知用ピンに入力される。スリーステートバッファ（２４４）２０９から出力されるタンパ行為検出信号はタンパ行為を検出したタンパ行為検出用トラップに対応するものである。また、スリーステートバッファ（２４４）２０９から出力されるタンパ行為検出信号はタンパ行為を検出したタンパ行為検出用トラップに対応するタンパ行為検知用ピンに対して入力される。

そのため、制御部３００は単にタンパ行為の検出を検知するだけではなく、どのタンパ行為検出用トラップでタンパ行為を検出したか、すなわちどのようなタンパ行為が行われたのかを把握することが可能となる。

そして、制御部３００は、タンパ行為検出信号が制御部３００のタンパ行為検知用ピンに入力されると記憶部３０１に記憶されている機密情報を消去する一方で、どのタンパ行為検知用ピンでタンパ行為を検出したかという情報を記録する。更に制御部３００は、Ａの時点からＢの時点の間、停止状態（外部からのアクセスを受け付けない状態）となる。

なお図４に表される例では、Ｓ１を参照すると分かるようにＢの時点経過後もタンパ行為を検出が継続している。すなわち、タンパ行為検出用トラップからタンパ行為検出信号が出力され続けている。従って、ワンショットパルス生成回路２００を設けない一般的な技術を仮に利用しているのであれば制御部３００の、停止状態（外部からのアクセスを受け付けない状態）も継続し続けてしまう。そのため、外部からタンパ行為が有ったのか否か、及び有ったとするならばどのようなタンパ行為であったのかを把握することができない。

しかしながら、本実施形態では、リセットＩＣ２０５による所定のパルスの送出は時間ｔ経過後に終了するので、タンパ行為検出信号の制御部３００のタンパ行為検知用ピンへの入力も時間ｔ経過に伴い終了する。つまり、Ｂの時点でタンパ行為検出信号はセキュアＩＣのタンパ行為検知用ピンに入力されなくなるので、セキュアＩＣの停止状態は解除され、外部からのアクセスが可能となる。これにより本実施形態であれば、タンパ行為検出用トラップからタンパ行為検出信号が出力され続けていたとしても、外部からタンパ行為が有ったのか否か、及び有ったとするならばどのようなタンパ行為であったのかを把握することが可能となる、という有利な効果を奏する。

続いて図５を参照して、他の状況を例に取って説明する。

図５は図４と異なり、リセットＩＣ２０５の所定のパルスの間隔である時間ｔよりも短い間、タンパ行為検出用トラップがタンパ行為を検出した場合のタイミングチャートである。

図５ではＣの時点でタンパ行為検出用トラップがタンパ行為を検出したものとする。図４同様にこれを契機として時間ｔの間リセットＩＣ２０５による所定のパルスの送出が継続する（図２及び図５のＳ４：Ｃの時点〜Ｅの時点）。そのため、時間ｔが経過するまではスリーステートバッファ（２４４）２０９のイネーブル端子の入力はＬｏｗとなる（図２及び図５のＳ５：Ｃの時点〜Ｅの時点）。

もっとも図５のＳ１を参照すると分かるように、時間ｔ経過前のＤの時点でタンパ行為検出用トラップのタンパ行為の検出が終了している。これにより、スリーステートバッファ（２４４）２０９の入力端子への、タンパ行為検出用トラップからのタンパ行為検出信号の入力はＤの時点で終了する。そのため、スリーステートバッファ（２４４）２０９からのタンパ行為検出信号の出力もＤの時点で終了する。

以上より、制御部３００はＣの時点からＤの時点の間、停止状態であるが、Ｄの時点で停止状態は解除され、外部からのアクセスが可能となる。従って、本実施形態を使用した場合、タンパ行為の検出が終了した時点で速やかに外部からのアクセスが可能となる。

以上説明した本実施形態を使用することにより、タンパ行為検知用ピンを有し、タンパ行為検出の信号の入力が継続している間は外部からのアクセスを受け付けない仕様であるセキュアＩＣ（マイクロプロセッサ）を情報処理端末装置の制御用ＩＣとして使用する場合であって、且つ、タンパ行為検出後、タンパ行為検出の信号の入力が継続している場合でも外部からのアクセスが可能となる。

以上、本発明の実施形態について説明した。もっとも、上述した実施形態は、本発明の好適な実施形態ではあるが、上記実施形態のみに本発明の範囲を限定するものではなく、本発明の要旨を逸脱しない範囲において種々の変更を施した形態での実施が可能である。

例えば、図１では、制御部３００が機密情報を格納するメモリとして記憶部３０１を内蔵しているが、機密情報を格納するメモリは外付けであってもよい。すなわち記憶部３０１は制御部３００に含まれていなくても良い。また、記憶部３０１は複数存在していても良い。例えば制御部３００の内部と外部の双方に記憶部３０１が設けられていても良い。

また、タンパ行為検出トラップ及びタンパ行為検知用ピンの数は７つには限定されず任意の数であって良い。

更に、上述した本実施形態では、７つのタンパ行為検出用トラップに対して１つのワンショットパルス生成回路２００を設けた。もっともこれは１つの実現例に過ぎず、１つのタンパ行為検出用トラップに対して１つのワンショットパルス生成回路２００を設けるようにしてもよい。この場合、１つのタンパ行為検出用トラップがタンパ行為検出中に、他のタンパ行為検出用トラップでタンパ行為を検出したとき、制御部３００でこれを検知して記憶することが可能である。つまり同時に複数のタンパ行為を検知した場合であっても、そのタンパ行為それぞれについて記憶することが可能となる。

また、例えばワンショットパルス生成回路２００をハードウェア、ソフトウェア又はこれらの組み合わせにより実現することができる。この場合には制御部３００を実現するセキュアＩＣ以外の演算処理装置を更に情報処理端末装置１０００内部に設置する。そして、この演算処理装置が制御部３００に内蔵されている記憶部３０１以外の記憶部に格納されている本実施形態特有のソフトウェアを読み込む。そして、演算処理装置がこのソフトウェアに基づいて情報処理端末装置１０００に含まれるハードウェアを制御することによりワンショットパルス生成回路２００を実現する。

なお、このように演算処理装置及び記憶部を、制御部３００及び記憶部３０１以外に設ける必要があるのは、本実施形態ではタンパ行為発生時に制御部３００及び記憶部３０１が動作を一時停止してしまうからである。また、この演算処理装置及び記憶部はタンパ行為が発生した場合であっても外部からアクセス困難なように、本実施形態特有の機能を実現するためだけに独立して設けることが望ましい。

なお、上記の情報処理端末装置も、ハードウェア、ソフトウェア又はこれらの組み合わせにより実現することができる。また、上記の情報処理端末装置により行なわれる耐タンパ方法も、ハードウェア、ソフトウェア又はこれらの組み合わせにより実現することができる。

ここで、ソフトウェアによって実現されるとは、コンピュータがプログラムを読み込んで実行することにより実現されることを意味する。

プログラムは、様々なタイプの非一時的なコンピュータ可読媒体(non-transitory computer readable medium)を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体(tangible storage medium)を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば、光磁気ディスク）、ＣＤ−ＲＯＭ(Read Only Memory)、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ(Programmable ROM)、ＥＰＲＯＭ(Erasable PROM)、フラッシュＲＯＭ、ＲＡＭ(random access memory）)を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体(transitory computer readable medium)によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１) 監視対象の装置に対してのタンパ行為の検出を表す信号である入力検出信号を受け付ける受付手段と、
制御手段自身の動作停止と、必要に応じて前記動作停止の前に行う前記監視対象の装置に対する所定の処理と、を含む耐タンパ処理を、前記入力検出信号に対応して発生した出力検出信号を入力している期間に行う制御手段に対して、前記出力検出信号を出力する出力手段と、
前記受付手段が前記入力検出信号を受け付けたことを契機として前記出力検出信号を発生させ、遅くともそれから所定時間が経過した後に前記出力検出信号の発生を終了させる手段と、
を備えることを特徴とする耐タンパ回路。

（付記２) 付記１に記載の耐タンパ回路であって、
前記受付手段による前記入力検出信号の受け付けが終了した場合には前記出力を開始してから前記所定の時間経過前であっても前記出力検出信号の出力を終了することを特徴とする耐タンパ回路。

（付記３) 付記１又は２に記載の耐タンパ回路であって、
前記受付手段が受け付ける前記入力検出信号に基づいて、検出したタンパ行為の種別を判別する判別手段を更に備え、
前記出力手段が出力する前記出力検出信号は、前記制御手段の異なる箇所であって前記検出したタンパ行為の種別に対応する箇所に対して出力されることを特徴とする耐タンパ回路。

（付記４) 付記３に記載の耐タンパ回路であって、
当該耐タンパ回路は、タンパ行為を検出すると前記入力検出信号を前記受付手段に出力する複数のタンパ行為検出トラップと接続されており、前記複数のタンパ行為検出トラップの何れから前記検出信号を入力されたのかに基づいて前記判別手段が前記判別を行うことを特徴とする耐タンパ回路。

（付記５) 付記４に記載の耐タンパ回路であって、
前記複数のタンパ行為検出トラップ各々に対応して前記受付手段及び前記出力手段の組を複数備えており、前記複数の組が同時に動作することにより、前記制御手段の複数の箇所であって前記検出したタンパ行為に対応する複数の箇所に対して同時に前記出力検出信号を出力することを特徴とする耐タンパ回路。

（付記６) 付記１乃至５の何れか１に記載の耐タンパ回路と、前記制御手段と、前記監視対象の装置とを備えた情報処理装置であって、
前記制御手段は前記出力検出信号を入力されると、前記制御手段が動作することによってアクセス可能な情報であって前記制御手段及び／又は他の手段が記憶する情報、を消去することにより該情報が漏洩しない状態となってから前記動作の停止を行うことを特徴とする情報処理装置。

（付記７) 付記３乃至５の何れか１に記載の耐タンパ回路と、前記制御手段と、前記監視対象の装置とを備えた情報処理装置であって、
前記制御手段は前記出力検出信号を入力されると、前記制御手段が動作することによってアクセス可能な情報であって前記制御手段及び／又は他の手段が記憶する情報、を消去することにより該情報が漏洩しない状態となってから前記動作の停止を行い、
前記出力手段が出力する前記出力検出信号は、前記制御手段の異なる箇所であって前記検出したタンパ行為の種別に対応する箇所に対して出力され、
前記制御手段は、前記箇所の内の何れの箇所に前記出力検出信号が入力されたかに基づいて前記タンパ行為の種別を判別すると共に判別結果を記憶することを特徴とする情報処理装置。

（付記８) 付記６又は７に記載の装置であって、
前記耐タンパ回路及び前記制御手段はバッテリにより動作することから、前記情報処理装置に対する給電が行われていない状態であっても動作可能であることを特徴とする情報処理装置。

（付記９) 監視対象の装置に対してのタンパ行為の検出を表す信号である入力検出信号を受け付ける受付ステップと、
制御手段自身の動作停止と、必要に応じて前記動作停止の前に行う前記監視対象の装置に対する所定の処理と、を含む耐タンパ処理を、前記入力検出信号に対応して発生した出力検出信号を入力している期間に行う制御手段に対して、前記出力検出信号を出力する出力ステップと、
前記受付手段が前記入力検出信号を受け付けたことを契機として前記出力検出信号を発生させ、遅くともそれから所定時間が経過した後に前記出力検出信号の発生を終了させるステップと、
を有することを特徴とする耐タンパ方法。

（付記１０) 監視対象の装置に対してのタンパ行為の検出を表す信号である入力検出信号を受け付ける受付手段と、
制御手段自身の動作停止と、必要に応じて前記動作停止の前に行う前記監視対象の装置に対する所定の処理と、を含む耐タンパ処理を、前記入力検出信号に対応して発生した出力検出信号を入力している期間に行う制御手段に対して、前記出力検出信号を出力する出力手段と、
前記受付手段が前記入力検出信号を受け付けたことを契機として前記出力検出信号を発生させ、遅くともそれから所定時間が経過した後に前記出力検出信号の発生を終了させる手段と、
としてコンピュータを機能させることを特徴とする耐タンパプログラム。

本発明は、耐タンパ性を有し、タンパ行為検出の信号の入力が継続している間は動作を停止（外部からのアクセスを受け付けない）する仕様のセキュアＩＣを使用した情報処理端末装置に好適である。

１００ タンパ行為検出部
１０１ タンパ行為検出トラップ群
２００ ワンショットパルス生成回路
２０１ Ｎ型電界効果トランジスタ群
２０２、２０７、２０８ 抵抗
２０３ Ｐ型電界効果トランジスタ
２０４ ＯＲ回路
２０５ リセットＩＣ
２０６ Ｎ型電界効果トランジスタ
２０９ スリーステートバッファ（２４４）
３００ 制御部
３０１ 記憶部
３０２ タンパ行為検知用ピン群
３１０ 表示部
３２０ 出力部
３３０ 入力部
３４０ カード情報読取部
３５０ 通信部
１０００ 情報処理端末装置

Claims (10)

1. 監視対象の装置に対してのタンパ行為の検出を表す信号である入力検出信号を受け付ける受付手段と、
   制御手段自身の動作停止と、必要に応じて前記動作停止の前に行う前記監視対象の装置に対する所定の処理と、を含む耐タンパ処理を、前記入力検出信号に対応して発生した出力検出信号を入力している期間に行う制御手段に対して、前記出力検出信号を出力する出力手段と、
   前記受付手段が前記入力検出信号を受け付けたことを契機として前記出力検出信号を発生させ、遅くともそれから所定時間が経過した後に前記出力検出信号の発生を終了させ、前記所定時間経過後に前記受付手段による前記入力検出信号の受け付けが継続していたとしても前記出力検出信号を発生させない出力検出信号発生手段と、
   を備え、
   前記制御手段は、前記出力検出信号を入力されている間は前記耐タンパ処理を継続する制御手段であることを特徴とする耐タンパ回路。
2. 請求項１に記載の耐タンパ回路であって、
   前記受付手段による前記入力検出信号の受け付けが終了した場合には前記出力を開始してから前記所定の時間経過前であっても前記出力検出信号の出力を終了することを特徴とする耐タンパ回路。
3. 請求項１又は２に記載の耐タンパ回路であって、
   前記受付手段が受け付ける前記入力検出信号に基づいて、検出したタンパ行為の種別を判別する判別手段を更に備え、
   前記出力手段が出力する前記出力検出信号は、前記制御手段の異なる箇所であって前記検出したタンパ行為の種別に対応する箇所に対して出力されることを特徴とする耐タンパ回路。
4. 請求項３に記載の耐タンパ回路であって、
   当該耐タンパ回路は、タンパ行為を検出すると前記入力検出信号を前記受付手段に出力する複数のタンパ行為検出トラップと接続されており、前記複数のタンパ行為検出トラップの何れから前記検出信号を入力されたのかに基づいて前記判別手段が前記判別を行うことを特徴とする耐タンパ回路。
5. 請求項４に記載の耐タンパ回路であって、
   前記複数のタンパ行為検出トラップ各々に対応して前記受付手段及び前記出力手段の組を複数備えており、前記複数の組が同時に動作することにより、前記制御手段の複数の箇所であって前記検出したタンパ行為に対応する複数の箇所に対して同時に前記出力検出信号を出力することを特徴とする耐タンパ回路。
6. 請求項１乃至５の何れか１項に記載の耐タンパ回路と、前記制御手段と、前記監視対象の装置とを備えた情報処理装置であって、
   前記制御手段は前記出力検出信号を入力されると、前記制御手段が動作することによってアクセス可能な情報であって前記制御手段及び／又は他の手段が記憶する情報、を消去することにより該情報が漏洩しない状態となってから前記動作の停止を行うことを特徴とする情報処理装置。
7. 請求項３乃至５の何れか１項に記載の耐タンパ回路と、前記制御手段と、前記監視対象の装置とを備えた情報処理装置であって、
   前記制御手段は前記出力検出信号を入力されると、前記制御手段が動作することによってアクセス可能な情報であって前記制御手段及び／又は他の手段が記憶する情報、を消去することにより該情報が漏洩しない状態となってから前記動作の停止を行い、
   前記出力手段が出力する前記出力検出信号は、前記制御手段の異なる箇所であって前記検出したタンパ行為の種別に対応する箇所に対して出力され、
   前記制御手段は、前記箇所の内の何れの箇所に前記出力検出信号が入力されたかに基づいて前記タンパ行為の種別を判別すると共に判別結果を記憶することを特徴とする情報処理装置。
8. 請求項６又は７に記載の装置であって、
   前記耐タンパ回路及び前記制御手段はバッテリにより動作することから、前記情報処理装置に対する給電が行われていない状態であっても動作可能であることを特徴とする情報処理装置。
9. 耐タンパ回路が行う、耐タンパ方法であって、
   前記耐タンパ回路が備える受付手段が、監視対象の装置に対してのタンパ行為の検出を表す信号である入力検出信号を受け付ける受付ステップと、
   制御手段自身の動作停止と、必要に応じて前記動作停止の前に行う前記監視対象の装置に対する所定の処理と、を含む耐タンパ処理を、前記入力検出信号に対応して発生した出力検出信号を入力している期間に行う制御手段に対して、前記耐タンパ回路が備える出力手段が前記出力検出信号を出力する出力ステップと、
   前記耐タンパ回路が備える出力検出信号発生手段が、前記受付手段が前記入力検出信号を受け付けたことを契機として前記出力検出信号を発生させ、遅くともそれから所定時間が経過した後に前記出力検出信号の発生を終了させるステップと、
   を有し、
   前記制御手段は、前記出力検出信号を入力されている間は前記耐タンパ処理を継続する制御手段であり、
   前記出力検出信号発生手段は、前記所定時間経過後に前記受付手段による前記入力検出信号の受け付けが継続していたとしても前記出力検出信号を発生させない、
   ことを特徴とする耐タンパ方法。
10. 監視対象の装置に対してのタンパ行為の検出を表す信号である入力検出信号を受け付ける受付手段と、
    制御手段自身の動作停止と、必要に応じて前記動作停止の前に行う前記監視対象の装置に対する所定の処理と、を含む耐タンパ処理を、前記入力検出信号に対応して発生した出力検出信号を入力している期間に行い、前記出力検出信号を入力されている間は前記耐タンパ処理を継続する制御手段に対して、前記出力検出信号を出力する出力手段と、
    前記受付手段が前記入力検出信号を受け付けたことを契機として前記出力検出信号を発生させ、遅くともそれから所定時間が経過した後に前記出力検出信号の発生を終了させ、前記所定時間経過後に前記受付手段による前記入力検出信号の受け付けが継続していたとしても前記出力検出信号を発生させない出力検出信号発生手段と、
    を備える耐タンパ回路としてコンピュータを機能させることを特徴とする耐タンパプログラム。

Images