JP5736549B1 - 情報処理装置及び情報処理方法 - Google Patents

Abstract

【課題】取引の決済処理において、決済処理に関する情報のセキュリティを担保し、適正な決済処理を行う。【解決手段】セキュア入力アプリケーションＳＷ１８及びコマンドインタプリタＳＷ３４は、相互認証が成立した場合、セキュアなＶＰＮ（仮想専用通信路）６１を形成する（Ｓ２）。ＶＰＮ６１を介して、暗号化ＰＩＮ情報などの決済関連情報の伝送が開始される（Ｓ３）。コマンドインタプリタＳＷ３４及び決済センタ５０は、セキュアなＶＰＮ（仮想専用通信路）６３を形成する（Ｓ４）。ＶＰＮ６３を介して、決済関連情報の伝送が開始される（Ｓ５）。セキュア入力マネージャＳＷ１９及び端末ＵＩ決済アプリケーションＳＷ３１は、ＶＰＮ６１，６３を用いた伝送が正常である場合、コマンドインタプリタＳＷ３４を中継させたカード決済処理を行う。【選択図】図３

Description

本発明は、取引における決済処理の手続を行うために使用される情報処理装置及び情報処理方法に関する。

例えば、クレジットカードを使用した物品又は役務の（信用）取引においては、取引を行う人物と取引に使用されるクレジットカードの所有者とが同一人物であるかどうかを確認（本人確認）することにより、取引の安全性（セキュリティ）が確保されている。この本人確認は、取引の決済処理時に取引内容の印字された取引伝票に顧客がサインし、このサインとクレジットカードに記載されているサインとを店員が目視により対比することにより行われている。

近年、このような署名の入力及び表示が可能な端末装置は、スマートフォンやタブレット端末を用いて実現されている。スマートフォンやタブレット端末は民生用機器として多数流通しており、安価に調達して決済端末装置を構築することが可能となる。即ち、このような決済端末装置は、スマートフォンやタブレット端末等のように民生用機器として多数流通している情報端末を用いて構成できれば、決済端末装置自体を安価に調達可能である。また、決済処理その他の業務に用いられるアプリケーション（ソフトウェア）の開発プラットフォームの汎用化が可能となるので、開発資産の再利用や流用が容易となる。

しかしながら、民生用機器として使用されることを想定して設計された情報端末には、顧客の情報を保護して取引を安全に行うために必要な「耐タンパ性」が備わっていない。「耐タンパ性」とは、情報端末から情報を盗み出そうとする攻撃に対する耐性である。情報端末から情報を盗み出そうとする攻撃の対策として耐タンパ性を確保するため、決済処理に用いられるカードの認証情報に関わる部分、つまり、決済端末装置として必要な耐タンパ性を備える部分が汎用部分から分離された移動体装置が提案されている（例えば特許文献１参照）。

また、汎用な端末装置であっても、特に、暗証番号等のＰＩＮ(Personal Identification Number)を入力する場合の情報セキュリティを確保することは必要であり、この種の耐タンパ性を確保するために、決済処理においてユーザにより入力されるＰＩＮを暗号化するＰＩＮＰＡＤを含むバンキングシステム（Banking System）が知られている（例えば特許文献２参照）。また、タッチスクリーン上で入力された情報を暗号化して送信するタッチスクリーン装置も知られている（例えば特許文献３参照）。

米国特許出願公開第２０１０／０１４５８５４号明細書 米国特許第８３７６２１９号明細書 特開２００６−１８５４４９号公報

しかし、上述した特許文献１〜３を含む従来の情報処理装置では、ＰＩＮやカード情報を暗号化しただけでは、カード保有者の情報の保護にしかならない。

情報処理装置には、外部の決済先装置との間で決済処理を中継するコマンドインタプリタが設けられているが、悪意ある第三者によって、コマンドインタプリタが不正なアプリケーションに置き換えられたり不正なアプリケーションによって攻撃を受けると、不正な売りが立つ等、店舗側に不測の不利益が生じる可能性がある。つまり、店舗側が本来なら与信しない相手に商品を売ったり役務を提供しても、商品や役務の対価としての代金の回収ができないという損失が生じることがある。

一方、例えば店舗側とアクワイアラ（特定のクレジットカードの取引を取扱う加盟店契約を募集し、そのクレジット売上を統括する会社）側との間で損失に対してアクワイヤラが店舗の損失を補償するというような契約が結ばれている場合には、結果的には、アクワイアラ側に損失が生じることになってしまう。

本発明は、上述した従来の事情に鑑みて案出されたものであり、取引の決済処理において、決済処理に関する情報のセキュリティを担保し、適正な決済処理を行う情報処理装置及び情報処理方法を提供することを目的とする。

本発明は、認証情報の入力を受け付ける認証情報入力部と、耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない非セキュアな実行環境とを別個に提供する実行環境提供部と、前記セキュアな実行環境に設けられ、前記認証情報入力部に入力された前記認証情報を管理する入力情報管理部と、前記非セキュアな実行環境に設けられ、外部の決済先装置との間の決済処理を中継する中継部と、前記入力情報管理部及び前記中継部に対して相互認証を指示する制御部と、を備え、前記入力情報管理部及び前記中継部は、前記相互認証が成立した場合、前記入力情報管理部と前記中継部との間に第１のセキュア通信路を形成し、前記中継部は、前記第１のセキュア通信路が形成され前記決済先装置との間に第２のセキュア通信路を形成した後に、前記第１のセキュア通信路及び前記第２のセキュア通信路を介して前記入力情報管理部と前記決済先装置とを中継して前記決済処理に関する決済処理情報の伝送を行う、情報処理装置である。

この構成では、認証情報入力部に入力された認証情報は、セキュアな実行環境に設けられた入力情報管理部において管理される。この認証情報は、非セキュアな実行環境に設けられた中継部と入力情報管理部との間に形成される第１のセキュア通信路を介して中継部に伝送される。中継部は、中継部と外部の決済先装置との間に形成される第２のセキュア通信路を介して決済先装置との間で決済処理を中継する。入力情報管理部と中継部との間における相互認証が成立した場合に、入力情報管理部と中継部との間に、セキュアな第１のセキュア通信路が形成され、中継部は第１のセキュア通信路が形成され決済先装置との間に第２のセキュア通信路を形成した後に、第１のセキュア通信路及び第２のセキュア通信路を介して入力情報管理部と決済先装置とを中継して決済処理に関する決済処理情報の伝送を行う。

これにより、情報処理装置は、入力情報管理部と中継部との間のセキュアな第１のセキュア通信路と、中継部と決済先装置との間のセキュアな第２のセキュア通信路とを用いて、入力された認証情報を用いた決済処理を円滑に行うことができるので、認証情報のセキュリティを担保することができ、取引において正しい決済処理を行うことができる。

これにより、情報処理装置は、入力情報管理部と中継部との間の相互認証が成立した場合に、セキュアな第１のセキュア通信路を形成できるので、例えば中継部が不正なアプリケーションによって置き換えられた場合でも、相互認証が失敗するとセキュアな第１のセキュア通信路を形成できず、決済処理の手続きは失敗することになり、結果的に認証情報のセキュリティを担保することができる。

更に、本発明は、認証情報入力部を有する情報処理装置における情報処理方法であって、耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない非セキュアな実行環境とを別個に提供するステップと、前記認証情報入力部において認証情報の入力を受け付けるステップと、前記セキュアな実行環境に設けられた入力情報管理部において、入力された前記認証情報を管理するステップと、前記非セキュアな実行環境に設けられた中継部と前記入力情報管理部との間で相互認証を行うステップと、前記相互認証が成立した場合、前記入力情報管理部と前記中継部との間に第１のセキュア通信路を形成するステップと、前記中継部と外部の決済先装置との間に第２のセキュア通信路を形成するステップと、前記中継部において、前記第１のセキュア通信路が形成され前記第２のセキュア通信路を形成した後に、前記第１のセキュア通信路及び前記第２のセキュア通信路を介して前記情報処理装置と前記決済先装置とを中継して決済処理に関する決済処理情報の伝送を行うステップと、を有する、情報処理方法である。

この方法では、認証情報入力部に入力された認証情報は、セキュアな実行環境に設けられた入力情報管理部において管理される。この認証情報は、非セキュアな実行環境に設けられた中継部と入力情報管理部との間に形成される第１のセキュア通信路を介して中継部に伝送される。中継部は、中継部と外部の決済先装置との間に形成される第２のセキュア通信路を介して決済先装置との間で決済処理を中継する。入力情報管理部と中継部との間における相互認証が成立した場合に、入力情報管理部と中継部との間に、セキュアな第１のセキュア通信路が形成され、中継部は第１のセキュア通信路が形成され決済先装置との間に第２のセキュア通信路を形成した後に、第１のセキュア通信路及び第２のセキュア通信路を介して入力情報管理部と決済先装置とを中継して決済処理に関する決済処理情報の伝送を行う。

これにより、情報処理装置は、入力情報管理部と中継部との間のセキュアな第１のセキュア通信路と、中継部と決済先装置との間のセキュアなセキュア通信路とを用いて、入力された認証情報を用いた決済処理を円滑に行うことができるので、認証情報のセキュリティを担保することができ、取引において正しい決済処理を行うことができる。

本発明によれば、取引の決済処理において、決済処理に関する情報のセキュリティを担保し、適正な決済処理を行うことができる。

（Ａ）本実施形態の決済端末装置の外観を示す正面図、（Ｂ）図１（Ａ）に示す決済端末装置の外観を示す側面図 本実施形態の決済端末装置のハードウェア構成の一例を具体的に示すブロック図 本実施形態の決済端末装置のソフトウェア機能を主としたシステム構成の一例を具体的に示すブロック図 本実施形態の決済端末装置の決済処理時における動作手順を詳細に説明するフローチャート 本変形例の決済端末装置の決済処理時における動作手順を詳細に説明するフローチャート

以下、本発明に係る情報処理装置及び情報処理方法の実施形態（以下、「本実施形態」という）について、図面を参照して説明する。以下の本実施形態では、本発明に係る情報処理装置の一例として、商品又は役務の取引における決済処理の際に用いられる決済端末装置を例示して説明する。なお、本発明は、情報処理装置及び情報処理方法に限らず、情報処理装置に対して情報処理方法の動作を実行させるためのコンピュータ読み取り可能な記録媒体や、情報処理装置に対して情報処理方法の動作を実行させるためのプログラムとして表現しても良い。

図１（Ａ）は、本実施形態の決済端末装置１の外観を示す正面図である。図１（Ｂ）は、図１（Ａ）に示す決済端末装置１の外観を示す側面図である。本実施形態の決済端末装置１は、可搬型であり、例えば商品又は役務の取引における決済処理を含む各種情報処理を行う情報処理部２を備える構成である。

以下の説明において、「セキュア」とは、決済端末装置として、第三者（悪意のある第三者や、マルウェア等のウイルス若しくは不正アプリケーション）からの情報に対する中間者攻撃に対して必要な耐タンパ性を備えることを意味し、「非セキュア」とは、そのような耐タンパ性を備えていないことを意味する。

図１（Ａ）に示す決済端末装置１は、例えば磁気カードに記録されたカード情報を読み取るために磁気カードのスライド用のパスとなるスリット５を、情報処理部２の上側面６に備える。決済端末装置１は、例えば接触型ＩＣカードに記録されたカード情報を読み取るために接触型ＩＣカードが挿入される挿入口７を、情報処理部２の下側面８に備える。決済端末装置１は、例えば非接触型ＩＣカードに記録されたカード情報を読み取るためのループアンテナ３８を決済端末装置１の内部に備える。

また、決済端末装置１は、入力部及び表示部の一例として機能するタッチパネル１０を、情報処理部２の前面９に備える（図１（Ａ）参照）。

（決済端末装置のハードウェア構成）
図２は、本実施形態の決済端末装置１のハードウェア構成の一例を具体的に示すブロック図である。図２に示す決済端末装置１は、ＣＰＵ２１と、局所無線通信アンテナ２３が接続された局所無線通信部２２と、広域無線通信アンテナ２５が接続された広域無線通信部２４と、マイクロホン２７及びスピーカ２８が接続された音声Ｉ／Ｆ（Interface）部２６と、表示部２９と、タッチ入力検出部３０と、フラッシュＲＯＭ３２と、ＲＡＭ３３と、磁気カードリーダ部３５と、キーパッド部３４と、暗号化部ＨＷ２と、電源部３６と、バッテリ３７と、ループアンテナ３８が接続された非接触型ＩＣカードリーダライタ部４３と、接触型ＩＣカードリーダ部４４とを含む構成である。

また、決済端末装置１は、図３に示すように、例えばＣＰＵ２１を用いて実現可能なＯＳ（Operating System：オペレーティングシステム）ＳＷ０において、仮想的にセキュアな実行環境と仮想的に非セキュアな実行環境とを、それぞれが独立して並列に動作するよう別個に提供する。オペレーティングシステム（ＯＳ）ＳＷ０は、例えばセキュアな実行環境と非セキュアな実行環境とを、例えば仮想マシン（ＶＭ：Virtual Machine）を用いて提供する。

決済端末装置１の情報処理部２は、図２に示す決済端末装置１の各部の処理を全体的に司るＣＰＵ（Central Processing Unit）２１を備える。図２では、決済端末装置１の各部がＣＰＵ２１に接続されている。

局所無線通信部２２は、局所無線通信アンテナ２３と接続されており、不図示の局所無線通信路を用いて、例えば無線ＬＡＮ（Local Area Network）による無線通信を行う。局所無線通信は、例えば無線ＬＡＮに限定されず、Ｂｌｕｅｔｏｏｔｈ（登録商標）その他でも良い。

広域無線通信部２４は、広域無線通信アンテナ２５と接続されており、不図示の広域無線通信路（ＷＡＮ：Wide Area Network）を介して、広域無線通信を行う。広域無線通信は、例えばＷ−ＣＤＭＡ（Wideband Code Division Multiple Access）、ＵＭＴＳ（Universal Mobile Telecommunications System）、ＣＤＭＡ（Code Division Multiple Access）２０００、ＬＴＥ（Long Term Evolution）等の携帯電話回線による通信を用いることができる。

局所無線通信部２２及び広域無線通信部２４は、それぞれ決済センタ５０である外部サーバと無線通信可能である。

音声Ｉ／Ｆ部２６は、マイクロホン２７及びスピーカ２８と接続され、音声の入出力を制御する。なお、マイクロホン２７、スピーカ２８及び音声Ｉ／Ｆ部２６と、広域無線通信部２４とにより、他の携帯電話や固定電話との通話が可能となる。また、スピーカ２８は、ＣＰＵ２１からの指示に応じて、後述するセキュアモードの状態或いは非セキュアモードの状態であることをユーザに対して明示的に報知し、又はユーザが決済端末装置１を操作する際に、ユーザへの注意を喚起するアラーム音や操作エラーを示すアラーム音を出力しても良い。

表示部２９は、例えばＬＣＤ（Liquid Crystal Display）又は有機ＥＬ（Electroluminescence）を用いて構成され、ＣＰＵ２１が表示を指示した情報又はデータを図１に示すタッチパネル１０に対して表示する。タッチ入力検出部３０は、タッチパネル１０に対するユーザ（例えばクレジットカード取引を取扱うクレジットカード加盟店（例えば店舗；以下では加盟店という）の店員、商品を購入した顧客）のタッチ入力を検出する。

フラッシュＲＯＭ（Read Only Memory）３２は、各種のデータを記憶する。記憶されるデータは、例えば業務に関わるデータでも良いし、決済端末装置１（主に情報処理部２）の動作を制御するためのプログラムでも良い。また、プログラムには、決済処理用のアプリケーション（ソフトウェア）等、決済端末装置１の動作に係る各種プログラムが含まれる。このため、フラッシュＲＯＭ３２は、プログラムを記録する記録媒体としての機能を有する。

ＲＡＭ（Random Access Memory）３３は、決済端末装置１（主に情報処理部２）の動作に伴う演算処理等の際に、その途中において発生する処理データを一時的に記憶する等のために用いられるワークメモリである。また、ＲＡＭ３３の特定領域には、後述するセキュアモードの状態の有無を示すセキュアフラグ（例えば、True又はFalse）や非セキュアモードの状態の有無を示す非セキュアフラグ（例えば、True又はFalse）が割り当てられる。

ＰＩＮ入力部ＨＷ１は、キーパッド部３４と暗号化部ＨＷ２とを含む構成である。キーパッド部３４は、図３に示すハードウェアＨＷ０に設けられた認証情報入力部の一例としてのＰＩＮ（Personal Identification Number）入力部ＨＷ１のキーパッド部３４に対応し、ユーザからのキー入力を受け付ける。暗号化部ＨＷ２は、キーパッド部３４により入力されたＰＩＮ情報を暗号化する。暗号化部ＨＷ２の暗号化において用いられる暗号鍵は、例えば暗号化解除部ＳＷ１６と共有する共通鍵である。但し、暗号鍵は共通鍵に限定されない

磁気カードリーダ部３５は、図１に示すスリット５の内部に配置され、磁気カードに印字されたカード情報としての磁気ストライプを読み取る。磁気カードリーダ部３５により読み取られたカード情報はＣＰＵ２１に入力される。

非接触型ＩＣカードリーダライタ部４３は、ループアンテナ３８と接続されており、非接触型ＩＣカードに記録されたカード情報を読み取る。非接触型ＩＣカードリーダライタ部４３により読み取られたカード情報はＣＰＵ２１に入力される。

接触型ＩＣカードリーダ部４４は、図１に示す挿入口７の内部に配置され、挿入口７に挿入された接触型ＩＣカードの電極を介して、接触型ＩＣカードに記録されたカード情報を読み取る。接触型ＩＣカードリーダ部４４により読み取られたカード情報はＣＰＵ２１に入力される。

電源部３６は、主に情報処理部２の電源であり、バッテリ３７に蓄積された電力の供給を受けて、ＣＰＵ２１を含む情報処理部２の各部へ電源を供給する。ＣＰＵ２１は、電源部３６を制御することで、情報処理部２を構成する一部又は全体の回路に対して電源供給を行ったり停止したりすることが可能である。電源部３６の電源供給先としては、ＣＰＵ２１以外に、局所無線通信部２２、広域無線通信部２４、表示部２９、タッチ入力検出部３０、非接触型ＩＣカードリーダライタ部４３、接触型ＩＣカードリーダ部４４、キーパッド部３４、暗号化部ＨＷ２及び磁気カードリーダ部３５の各部である。

上述した構成を有する決済端末装置１は、更に、以下のような特徴を有する。本実施形態では、情報処理部２は、表示部２９とタッチ入力検出部３０とにより構成されるタッチパネル１０（図１及び図２参照）と、外部の接続先機器（例えば決済センタ５０）との通信が可能な局所無線通信部２２或いは広域無線通信部２４とを含む。

近年、カードを用いた取引の決済として従来から使用されてきた磁気カードに、接触型ＩＣカード、非接触型ＩＣカード、電子マネーが加わり、カードを用いた取引の決済のスキームは多様化している。新たな決済のスキームの追加に伴って、決済端末装置１の開発費や価格は上昇する一方である。ここで、情報処理部２がスマートフォンやタブレット端末等の多数流通している民生用機器であれば、決済端末装置１自体の価格を安価にすることが可能となるので、決済端末装置１としての開発費の上昇は、最小限に抑えられる。

この場合、情報処理部２には、汎用ＯＳ（例えば図３に示すオペレーティングシステム（ＯＳ）ＳＷ０参照）がソフトウェアプラットフォームとして採用されている。従って、決済用のアプリケーション（決済アプリケーション）及びその他の業務に用いられるアプリケーション（以下、「業務アプリケーション」という）の開発プラットフォームが汎用化されるので、開発資産の再利用や流用は容易となる。また、情報処理部２の構成に民生用機器を用いることができれば、情報処理部２は、動画の録画及び再生がストレスなく可能な程度に高い演算処理能力を備えるため、決済アプリケーションと業務アプリケーションとを、ストレスなく柔軟に動作させることができる。

（決済端末装置のソフトウェア機能を主としたシステム構成）
図３は、本実施形態の決済端末装置１のソフトウェア機能を主としたシステム構成の一例を具体的に示すブロック図である。図３では、決済端末装置１の情報処理部２のＣＰＵ２１において実行される各動作がソフトウェア機能を主としたブロックとして示されている。具体的には、オペレーティングシステム（ＯＳ）ＳＷ０と、セキュア画面ＵＩアプリケーションＳＷ１１と、キーパッド入出力／実行制御部ＳＷ１２と、暗号化処理部ＳＷ１３と、キーパッドドライバＳＷ１４と、ディスプレイドライバＳＷ１５と、暗号化解除部ＳＷ１６と、ＩＣカード入出力ドライバＳＷ２０と、ＩＣカードリーダドライバＳＷ１７と、セキュア入力アプリケーションＳＷ１８と、セキュア入力マネージャＳＷ１９と、端末ＵＩ決済アプリケーションＳＷ３１と、ディスプレイドライバＳＷ３２と、センタ接続アプリケーションＳＷ３３と、コマンドインタプリタＳＷ３４との各機能がＣＰＵ２１において実行（実装）される。なお、図３において、符号ＳＴ１〜ＳＴ７は、セキュアな実行環境において、ＰＩＮ入力部ＨＷ１により入力されたＰＩＮ情報に関する処理の手順を示す。

本実施形態の決済端末装置１は、オペレーティングシステム（ＯＳ）ＳＷ０において、仮想化アプリケーションを用いることで、決済端末装置１のハードウェアＨＷ０に対し、セキュアな実行環境ＳＷ１と非セキュアな実行環境ＳＷ３とを、それぞれが独立して並列に動作するよう別個に提供する。

セキュアな実行環境ＳＷ１には、セキュア画面ＵＩアプリケーションＳＷ１１と、キーパッド入出力／実行制御部ＳＷ１２と、暗号化処理部ＳＷ１３と、キーパッドドライバＳＷ１４と、ディスプレイドライバＳＷ１５と、ＩＣカード入出力ドライバＳＷ２０と、ＩＣカードリーダドライバＳＷ１７と、セキュア入力アプリケーションＳＷ１８と、セキュア入力マネージャＳＷ１９と、オペレーティングシステム（ＯＳ）ＳＷ０とが含まれる。

実行環境提供部の一例としてのオペレーティングシステム（ＯＳ）ＳＷ０は、セキュアな実行環境及び非セキュアな実行環境を管理する基本ソフトウェアであり、例えばＷｉｎｄｏｗｓ（登録商標）又はＬｉｎｕｘ（登録商標）である。

キーパッドドライバＳＷ１４は、キーパッド部３４の動作を制御し、セキュアな通信路５３を介してＰＩＮ入力部ＨＷ１から暗号化ＰＩＮを入力し、暗号化解除部ＳＷ１６を介してキーパッド入出力／実行制御部ＳＷ１２に出力する。ここで、セキュアな通信路５３は、ＰＩＮ入力部ＨＷ１とキーパッドドライバＳＷ１４とによって、それらの間における専用通信路として形成される。

暗号化解除部ＳＷ１６は、ＰＩＮ入力部ＨＷ１の暗号化部ＨＷ２との間で共通鍵を共有しており、キーパッドドライバＳＷ１４から出力された暗号化ＰＩＮを復号する。暗号化解除部ＳＷ１６は、復号により得られたＰＩＮ情報をキーパッド入出力／実行制御部ＳＷ１２に出力する。ちなみに、ＰＩＮ入力部ＨＷ１と暗号化部ＨＷ２との間における暗号化ＰＩＮの受け渡しについては、共通鍵の代わりに、公開鍵暗号方式による暗号化／復号が行われてもよい。

キーパッド入出力／実行制御部ＳＷ１２は、暗号化解除部ＳＷ１６を介してキーパッドドライバＳＷ１４から出力された認証情報の入出力の管理、及び当該ＰＩＮ情報の入出力に関する動作の実行を制御する。

キーパッド入出力／実行制御部ＳＷ１２は、キーパッドドライバＳＷ１４から出力されたＰＩＮ情報とＩＣカードに登録されたＰＩＮ情報とを照合し、照合の結果、両者が一致すると判断した場合に、ＰＩＮ情報を暗号化処理部ＳＷ１３へ出力し、ＰＩＮ情報を暗号化処理部ＳＷ１３に暗号化させる。

暗号化部の一例としての暗号化処理部ＳＷ１３は、決済センタ５０において復号可能な暗号鍵を所持しており、この暗号鍵を用いて、キーパッド入出力／実行制御部ＳＷ１２から出力されたＰＩＮ情報を暗号化してキーパッド入出力／実行制御部ＳＷ１２に出力する。なお、暗号化処理には、決済センタ５０と同じ鍵を用いた共通鍵方式による暗号化でも良いし、暗号化処理部ＳＷ１３及び決済センタ５０が各自の秘密鍵を所持し、かつ相手の公開鍵を所持する公開鍵暗号方式による暗号化でも良い。

セキュア画面ＵＩアプリケーションＳＷ１１は、キーパッド入出力／実行制御部ＳＷ１２からの指示に応じて、セキュアな情報が入力される表示画面をタッチパネル１０に表示する。具体的には、セキュア画面ＵＩアプリケーションＳＷ１１は、ＰＩＮ情報の入力をユーザに対して促すためのメッセージを表示し、入力されるＰＩＮ情報を隠すためにアスタリスク（＊）を桁単位で表示する。

ディスプレイドライバＳＷ１５は、タッチパネル１０を構成する表示部２９の動作を制御し、例えばキーパッド入出力／実行制御部ＳＷ１２やセキュア画面ＵＩアプリケーションＳＷ１１から出力された文字若しくは画像のデータを取得して表示部２９に表示させる。

ＩＣカードリーダドライバＳＷ１７は、接触型ＩＣカードリーダ部４４や非接触型ＩＣカードリーダライタ部４３の動作を制御し、読み取られたカード情報をＩＣカード入出力ドライバＳＷ２０に渡す。このＩＣカードリーダドライバＳＷ１７は、非接触型ＩＣカードリーダライタ部４３及び接触型ＩＣカードリーダ部４４のそれぞれに対して、独立した個別のカードリーダドライバが実装されてもよい。

ＩＣカード入出力ドライバＳＷ２０は、ＩＣカードリーダドライバＳＷ１７から出力されたカード情報をキーパッド入出力／実行制御部ＳＷ１２に出力する。

入力情報管理部の一例としてのセキュア入力アプリケーションＳＷ１８は、コマンドインタプリタＳＷ３４からの指示を受けて、キーパッド入出力／実行制御部ＳＷ１２から暗号化ＰＩＮ情報を受け取って管理する。そして、セキュア入力アプリケーションＳＷ１８は、非セキュアな実行環境ＳＷ３に設けられたコマンドインタプリタＳＷ３４との間で相互認証を行う。相互認証が成立した場合、セキュア入力アプリケーションＳＷ１８は、コマンドインタプリタＳＷ３４との間でセキュアな仮想専用通信路（ＶＰＮ：Virtual Private Network、以下「ＶＰＮ」という）６１を形成し、暗号化ＰＩＮ情報を含む決済関連情報を伝送（入出力）する。

なお、セキュア入力アプリケーションＳＷ１８とコマンドインタプリタＳＷ３４との間の相互認証が行われずに、セキュア入力アプリケーションＳＷ１８とコマンドインタプリタＳＷ３４との間にＶＰＮ６１が形成されてもよい。

制御部の一例としてのセキュア入力マネージャＳＷ１９は、セキュア入力アプリケーションＳＷ１８がコマンドインタプリタＳＷ３４との間における相互認証が出来ているか、セキュア入力アプリケーションＳＷ１８がセキュアな状態で動作可能か、などを監視する。

次に、非セキュアな実行環境ＳＷ３には、端末ＵＩ決済アプリケーションＳＷ３１と、ディスプレイドライバＳＷ３２と、センタ接続アプリケーションＳＷ３３と、コマンドインタプリタＳＷ３４と、オペレーティングシステム（ＯＳ）ＳＷ０とが設けられる。

端末ＵＩ決済アプリケーションＳＷ３１は、非セキュアな情報が入力される表示画面をタッチパネル１０に表示する。例えば、端末ＵＩ決済アプリケーションＳＷ３１は、決済処理における各種の情報を表示させ、各種の入力操作を受け付ける。そして、端末ＵＩ決済アプリケーションＳＷ３１は、コマンドインタプリタＳＷ３４に対して、決済関連情報（後述）の伝送開始を指示する。決済関連情報の伝送開始については、決済センタ５０がコマンドインタプリタＳＷ３４に対して指示してもよい。

ディスプレイドライバＳＷ３２は、タッチパネル１０を構成する表示部２９の動作を制御し、例えばキーパッド入出力／実行制御部ＳＷ１２や端末ＵＩ決済アプリケーションＳＷ３１から出力された決済画面、文字若しくは画像のデータを取得して表示部２９に表示させる。

センタ接続アプリケーションＳＷ３３は、コマンドインタプリタＳＷ３４から出力された暗号化ＰＩＮ情報、カード情報（例えばＩＣカードのカード発行会社、対応するブランド、カード番号）、売上処理情報（例えば決済金額、支払い方法）などの決済関連情報を、接続先機器である決済センタ５０等に送信するように、局所無線通信部２２又は広域無線通信部２４に指示する。

中継部の一例としてのコマンドインタプリタＳＷ３４は、セキュア実行環境に設けられたセキュア入力アプリケーションＳＷ１８との間で相互認証を行い、相互認証が成立した場合に、セキュアなＶＰＮ（仮想専用通信路）６１を形成し、暗号化ＰＩＮ情報を含む決済関連情報を伝送する。また、コマンドインタプリタＳＷ３４は、決済先装置である外部の決済センタ（外部サーバ）５０との間で、セキュアなＶＰＮ（仮想専用通信路）６３を形成し、このＶＰＮ６３を介して決済関連情報を伝送する。この決済関連情報には、決済金額、支払い方法、暗号化ＰＩＮ情報等が含まれる。

（決済端末装置１の決済処理時における動作手順）
次に、本実施形態の決済端末装置１の決済処理時における動作について、図４を参照して説明する。図４は、本実施形態の決済端末装置１の決済処理時における動作手順を詳細に説明するフローチャートである。決済端末装置１の情報処理部２（図１及び図２参照）にインストールされた端末ＵＩ決済アプリケーションＳＷ３１（図３参照）が起動されると、端末ＵＩ決済アプリケーションＳＷ３１は、コマンドインタプリタＳＷ３４を実行させて、決済処理の手続を開始する。

図４において、まず、セキュア入力アプリケーションＳＷ１８及びコマンドインタプリタＳＷ３４は、セキュア入力マネージャＳＷ１９からの指示に応じて、相互認証を開始する（Ｓ１）。なお、相互認証の方法は公知技術であるため、説明を割愛する。

ステップＳ１の相互認証が成立した場合には、セキュア入力アプリケーションＳＷ１８及びコマンドインタプリタＳＷ３４は、セキュア入力アプリケーションＳＷ１８とコマンドインタプリタＳＷ３４との間に、セキュアな仮想専用通信路（ＶＰＮ：Virtual Private Network、以下「ＶＰＮ」という）６１を形成する（Ｓ２）。

コマンドインタプリタＳＷ３４は、セキュア入力アプリケーションＳＷ１８に対し、セキュア入力アプリケーションＳＷ１８が管理している暗号化ＰＩＮ情報、カード情報（例えばＩＣカードのカード発行会社、対応するブランド、カード番号などの情報）などの決済関連情報の伝送開始を指示する。この指示に従って、セキュア入力アプリケーションＳＷ１８とコマンドインタプリタＳＷ３４との間では、ＶＰＮ６１を介して、暗号化ＰＩＮ情報を含む決済関連情報の伝送がセキュアに実行される（Ｓ３）。

ステップＳ１〜Ｓ３の動作と並行して、セキュア入力マネージャＳＷ１９からの指示に応じて、コマンドインタプリタＳＷ３４は、コマンドインタプリタＳＷ３４と決済センタ（外部サーバ）５０との間に、セキュアな仮想専用通信路（ＶＰＮ：Virtual Private Network、以下「ＶＰＮ」という）６３を形成する（Ｓ４）。

端末ＵＩ決済アプリケーションＳＷ３１は、コマンドインタプリタＳＷ３４に対し、決済関連情報の伝送開始を指示する。この指示に従って、コマンドインタプリタＳＷ３４と決済センタ（外部サーバ）５０との間では、ＶＰＮ６３を介して、決済関連情報の伝送がセキュアに実行される（Ｓ５）。

ステップＳ３，Ｓ５で伝送が開始されると、セキュア入力マネージャＳＷ１９は、ＶＰＮ６１、６３を用いた伝送が正常（ＯＫ）であるか否かを判別する（Ｓ６）。伝送が異常（ＮＧ）である場合、セキュア入力マネージャＳＷ１９は、セキュア入力アプリケーションＳＷ１８に対して、再度、伝送を試みさせる（Ｓ７）。所定回数試みさせても、伝送が異常である場合、本動作は強制的に終了する。

一方、伝送が正常である場合、コマンドインタプリタＳＷ３４を中継させた、点線枠ＡＡで示すカード決済処理が行われる。

端末ＵＩ決済アプリケーションＳＷ３１は、決済金額情報及び支払方法の入力を受け付けると、カードの読取り操作を促すためのメッセージをタッチパネル１０の画面に表示させる（図３のＳＴ１、ＳＴ２参照）。

ＩＣカード入出力ドライバＳＷ２０は、接触型ＩＣカードの挿入口７への挿入又は非接触型ＩＣカードの決済端末装置１の前面９への近接のいずれかの操作により、ＩＣカードを読み取る（Ｓ８）。

セキュア画面ＵＩアプリケーションＳＷ１１は、タッチパネル１０に対し、ＰＩＮ情報の入力をユーザに対して促すためのメッセージを表示する。

キーパッド入出力／実行制御部ＳＷ１２は、キーパッドドライバＳＷ１４及び暗号化解除部ＳＷ１６を介して、ＰＩＮ入力部ＨＷ１により入力されたＰＩＮ情報を入力する（Ｓ９、図３のＳＴ３、ＳＴ４参照）。ＰＩＮ情報がキーパッド入出力／実行制御部ＳＷ１２に入力される。

ＰＩＮ照合が必要な決済処理における第一の動作手順として、キーパッド入出力／実行制御部ＳＷ１２は、ステップＳ９において入力されたＰＩＮ情報を暗号化処理部ＳＷ１３に出力し、その情報を暗号化処理部ＳＷ１３に暗号化させる（Ｓ１０、図３のＳＴ５も参照）。

暗号化処理部ＳＷ１３は、決済センタ５０において復号可能な暗号鍵を用いて、キーパッド入出力／実行制御部ＳＷ１２から出力されたＰＩＮ情報を暗号化してキーパッド入出力／実行制御部ＳＷ１２に出力する（図３のＳＴ６参照）。

セキュア入力マネージャＳＷ１９は、セキュア入力アプリケーションＳＷ１８に対し、暗号化処理部ＳＷ１３による暗号化により生成された暗号化ＰＩＮ情報と、ステップＳ８において読み取られたＩＣカードの情報とをキーパッド入出力／実行制御部ＳＷ１２から取得させ（図３のＳＴ７参照）、ＶＰＮ６１を介して非セキュアな実行環境にあるコマンドインタプリタＳＷ３４に暗号化ＰＩＮ情報とＩＣカードの情報とを伝送させる。ステップＳ８において読み取られたＩＣカードの情報（例えばカード発行会社、対応するブランド、カード番号など）については暗号化されてもよいし、そうでなくてもよい。ＩＣカードの情報の暗号化は、暗号化処理部ＳＷ１３によりなされてもよいし、図示しない別の暗号化処理部によりなされてもよい。

コマンドインタプリタＳＷ３４は、暗号化ＰＩＮ情報とＩＣカードの情報とを受け取って、セキュアなＶＰＮ６３を介した外部の決済センタ５０（若しくはアクワイアラ、以下同じ）との伝送を行う。（Ｓ１０）。決済センタ５０は、決済端末装置１のコマンドインタプリタＳＷ３４から受信したＰＩＮ情報を復号し、決済センタ５０において管理されているＰＩＮ情報と復号されたＰＩＮとを照合する。これら２つのＰＩＮ情報が一致し、かつ照合対象のカードが取引上問題無いと確認された（例えばブラックリストに載っていない）場合、決済センタ５０は、決済端末装置１のセンタ接続アプリケーションＳＷ３３を介して、コマンドインタプリタＳＷ３４に対して与信を行う。決済端末装置１のコマンドインタプリタＳＷ３４は、決済センタ５０の与信を受けて、その後の決済処理としての売上処理を行い、決済センタ５０との通信を終了する。

決済端末装置１のコマンドインタプリタＳＷ３４は、その売上処理データの決済センタ５０への送信を、売上処理の完了後から決済センタ５０との通信を終了する前までの間に行ってもよいし、他の決済の売上処理データと併せて後ほど行ってもよい。売上処理データの送信は、ＶＰＮ６３を介して行われる。ＶＰＮ６３の形成は、ステップＳ８においてＩＣカードの読み取りが行われ、そしてステップＳ９においてＰＩＮ情報が入力された後に行われてもよい。なおかつ、ＶＰＮ６３の形成は、ステップＳ９において入力されたＰＩＮ情報とステップＳ８において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果が得られた後でもよい。２つのＰＩＮ情報が一致しない場合、又は照合対象のカードが取引上問題無いと確認された（例えばブラックリストに載っていない）場合、決済センタ５０は、決済端末装置１のコマンドインタプリタＳＷ３４に対して与信できない旨の通知を行う。その通知を受けて、決済端末装置１のコマンドインタプリタＳＷ３４は売上処理を行わず、決済処理を中止する。

以上により、決済処理における第一の動作手順において、本実施形態の決済端末装置１の非セキュアな実行環境に設けられたコマンドインタプリタＳＷ３４は、相互認証が行われたＶＰＮ６１によってセキュア入力アプリケーションＳＷ１８とセキュアに接続され、かつ、外部の決済センタ５０とＶＰＮ６３によってセキュアに接続される。

従って、決済端末装置１は、例えばコマンドインタプリタＳＷ３４が、悪意のある第三者の攻撃によって不正アプリケーションに置き換えられた場合には、セキュア入力アプリケーションＳＷ１８とコマンドインタプリタＳＷ３４との間の相互認証が失敗するので、決済処理の手続きが失敗する。このように、決済端末装置１は、コマンドインタプリタＳＷ３４が不正なアプリケーションによって置き換えられて決済処理されることがなくなるので、取引において正しい決済処理を行うことができる。

この結果、本実施形態の決済端末装置１によれば、店舗が本来的には与信しない相手に対し、商品を売ったり役務を提供することは起きず、代金を回収できないという損失は発生しなくなる。また、店舗側とアクワイアラ側との間で店舗の損失を補償する契約が結ばれている場合でも、アクワイアラ側に損失が発生しなくなる。

また、本実施形態の決済端末装置１は、セキュア入力アプリケーションＳＷ１８とコマンドインタプリタＳＷ３４との間では、相互認証が成立した場合に形成されるＶＰＮ（仮想専用通信路）６１を介して、暗号化ＰＩＮ情報をセキュアに伝送するので、ＰＩＮ情報のセキュリティを担保できる。

一方、ＰＩＮ照合が必要な決済処理における第二の動作手順として、ＩＣカード入出力ドライバＳＷ２０は、接触型ＩＣカードの挿入口７への挿入又は又は決済端末装置１の前面９への近接のいずれかの操作により、ＩＣカードを読み取る（Ｓ８）。

セキュア画面ＵＩアプリケーションＳＷ１１は、タッチパネル１０に対し、ＰＩＮ情報の入力をユーザに対して促すためのメッセージを表示する。

キーパッド入出力／実行制御部ＳＷ１２は、キーパッドドライバＳＷ１４及び暗号化解除部ＳＷ１６を介して、ＰＩＮ入力部ＨＷ１により入力されたＰＩＮ情報を入力する（Ｓ９、図３のＳＴ３、ＳＴ４参照）。

キーパッド入出力／実行制御部ＳＷ１２は、ステップＳ９において入力されたＰＩＮ情報を、セキュア入力アプリケーションＳＷ１８に出力する。セキュア入力アプリケーションＳＷ１８は、キーパッド入出力／実行制御部ＳＷ１２から入力されたＰＩＮ情報を、ＩＣカード入出力ドライバＳＷ２０およびＩＣカードリーダドライバＳＷ１７を介してＩＣカード（不図示）に出力する。ステップＳ９において入力されたＰＩＮ情報は、キーパッド入出力／実行制御部ＳＷ１２からセキュア入力アプリケーションＳＷ１８への出力時において、ステップＳ８において読み取りを行ったＩＣカードが復号可能な鍵によって暗号化されてもよい。

ＩＣカードは、ＩＣカードに登録されたＰＩＮ情報と、ステップＳ９において入力されたＰＩＮ情報とを照合し、それらのＰＩＮの照合結果を出力する。ステップＳ８において読み取りを行ったＩＣカードが非接触型である場合、決済端末装置１は、入力されたＰＩＮ情報の出力時において、使用者がＩＣカードをループアンテナ３８との通信が可能な位置に再びかざすよう、タッチパネル１０の表示部２９に表示する。あるいは決済端末装置１は、ステップＳ８におけるＩＣカードの読み取り時から、ステップＳ９におけるＰＩＮ情報の入力を経て、ＰＩＮ情報の照合結果をＩＣカードから得るまで、ループアンテナ３８との通信が可能な位置にＩＣカードが載置され続ける構造と処理を備える。

セキュア入力アプリケーションＳＷ１８は、ＩＣカードから出力されたＰＩＮの照合結果を、ＩＣカード入出力ドライバＳＷ２０およびＩＣカードリーダドライバＳＷ１７を介して入力する。セキュア入力アプリケーションＳＷ１８は、ステップＳ９において入力されたＰＩＮ情報とステップＳ８において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果がＩＣカードから得られれば、コマンドインタプリタＳＷ３４に対してその後の決済処理としての売上処理を指示する。売上処理の指示と同時に、セキュア入力アプリケーションＳＷ１８は、売上処理に必要な情報を、コマンドインタプリタＳＷ３４へ送信してもよい。売上処理の指示と売上処理に必要な情報の送信は、先ほどオンライン決済において説明した相互認証により形成された、ＶＰＮ６１を介して行われる。ＶＰＮ６１を形成する際の相互認証が失敗した場合、又は２つのＰＩＮが一致しないという照合結果をセキュア入力アプリケーションＳＷ１８が得た場合、セキュア入力アプリケーションＳＷ１８は、コマンドインタプリタＳＷ３４に対して売上処理を指示しない。コマンドインタプリタＳＷ３４は売上処理を行わず、その後の決済処理の手続は中止される。

決済端末装置１のコマンドインタプリタＳＷ３４は、ステップＳ９において入力されたＰＩＮ情報とステップＳ８において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果が得られれば、その後の決済処理としての売上処理を行う。コマンドインタプリタＳＷ３４は、その売上処理データの決済センタ５０への送信を、売上処理の完了後から決済センタ５０との通信を終了する前までの間に行ってもよいし、他の決済の売上処理データと併せて後ほど行ってもよい。売上処理データの送信は、ＶＰＮ６３を介して行われる。ＶＰＮ６３の形成は、ステップＳ８においてＩＣカードの読み取りが行われ、そしてステップＳ９においてＰＩＮ情報が入力された後に行われてもよい。なおかつ、ＶＰＮ６３の形成は、ステップＳ９において入力されたＰＩＮ情報とステップＳ８において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果が得られた後でもよい。

以上により、決済処理における第二の動作手順においても、本実施形態の決済端末装置１では、非セキュアな実行環境ＳＷ３に設けられたコマンドインタプリタＳＷ３４は、相互認証が行われたＶＰＮ６１によってセキュア入力アプリケーションＳＷ１８とセキュアに接続され、かつ、外部の決済センタ５０とＶＰＮ６３によってセキュアに接続される。

従って、決済端末装置１は、例えばコマンドインタプリタＳＷ３４が、悪意のある第三者の攻撃によって不正アプリケーションに置き換えられた場合には、セキュア入力アプリケーションＳＷ１８とコマンドインタプリタＳＷ３４との間の相互認証が失敗するので、決済処理の手続きが失敗する。このように、決済端末装置１は、コマンドインタプリタＳＷ３４が不正なアプリケーションによって置き換えられて決済処理されることがなくなるので、取引において正しい決済処理を行うことができる。

この結果、本実施形態の決済端末装置１によれば、店舗が本来的には与信しない相手に対し、商品を売ったり役務を提供することは起きず、代金を回収できないという損失は発生しなくなる。また、店舗側とアクワイアラ側との間で店舗の損失を補償する契約が結ばれている場合でも、アクワイアラ側に損失が発生しなくなる。

また、本実施形態の決済端末装置１は、セキュア入力アプリケーションＳＷ１８とコマンドインタプリタＳＷ３４との間では、相互認証が成立した場合に形成されるＶＰＮ６１を介して、売上処理の指示をセキュアに行うので、売上処理のセキュリティを担保できる。

（本実施形態の変形例）
上述した本実施形態では、セキュア入力アプリケーションＳＷ１８及びコマンドインタプリタＳＷ３４間のＶＰＮ（仮想専用通信路）６１と、コマンドインタプリタＳＷ３４及び外部の決済センタ５０間のＶＰＮ（仮想専用通信路）６３とは、並行した動作で形成された。

本実施形態の変形例（以下、「本変形例」という）では、セキュア入力アプリケーションＳＷ１８及びコマンドインタプリタＳＷ３４間のＶＰＮ６１と、コマンドインタプリタＳＷ３４及び外部の決済センタ５０間のＶＰＮ６３とは、時系列に形成される例を説明する。

図５は、本変形例の決済端末装置１の決済処理時における動作手順を詳細に説明するフローチャートである。図４のステップ処理と同一のステップ処理については、同一のステップ番号を付すことで、その説明を省略する。

図５では、セキュア入力マネージャＳＷ１９は、ステップＳ１〜Ｓ３の処理の終了後、セキュア入力アプリケーションＳＷ１８とコマンドインタプリタＳＷ３４との間のＶＰＮ６１を形成させた後、ステップＳ４，Ｓ５の処理の終了後に、コマンドインタプリタＳＷ３４と外部の決済センタ５０との間のＶＰＮ６３を形成させる。

以上により、本変形例では、決済端末装置１は、セキュア入力アプリケーションＳＷ１８及びコマンドインタプリタＳＷ３４間のＶＰＮ６１と、コマンドインタプリタＳＷ３４及び外部の決済センタ５０間のＶＰＮ６３との形成を時系列に実行することで、ＶＰＮの形成時における処理負荷を軽減でき、比較的廉価なハードウェアで実現可能である。

以上、図面を参照しながら各種の実施形態について説明したが、本発明はかかる例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

例えば、本実施形態およびその変形例は、一つのオペレーティングシステム（ＯＳ）ＳＷ０において、仮想化アプリケーションを用いることで、決済端末装置１のハードウェアＨＷ０に対し、セキュアな実行環境ＳＷ１と非セキュアな実行環境ＳＷ３とが、それぞれが独立して並列に動作するよう別個に提供される。

本発明の決済端末装置１においては、仮想化ハイパーバイザが、決済端末装置１のハードウェアＨＷ０に対し、セキュアな実行環境ＳＷ１を提供するセキュア仮想マシン（Secure VM）と、非セキュアな実行環境ＳＷ３を提供する非セキュア仮想マシン（Non-Secure VM）とが別個に提供され、セキュア仮想マシンを制御する第１のゲストＯＳ（Operating System）がセキュア仮想マシンに含まれ、非セキュア仮想マシンを制御する第２のゲストＯＳが非セキュア仮想マシンに含まれていてもよい。

そして上記実施形態では、セキュアな実行環境及び非セキュア実行環境を同じＣＰＵで実現していたが、別々のＣＰＵで実現させてもよい。

本発明は、決済端末装置の他、銀行のＡＴＭ装置等、各種のセキュアな入力を必要とする装置に適用可能である。

本発明は、例えば決済処理において使用され、取引の決済処理において、決済処理に関する情報のセキュリティを担保し、適正な決済処理を行う情報端末装置及び情報処理方法として有用である。

１ 決済端末装置
２ 情報処理部
１０ タッチパネル
２１ ＣＰＵ
２２ 局所無線通信部
２３ 局所無線通信アンテナ
２４ 広域無線通信部
２５ 広域無線通信アンテナ
２６ 音声入出力部
２７ マイク
２８ スピーカ
２９ 表示部
３０ タッチ入力検出部
３２ フラッシュＲＯＭ
３３ ＲＡＭ
３４ キーパッド部
３５ 磁気カードリーダ部
３６ 電源部
３７ バッテリ
３８ ループアンテナ
４３ 非接触型ＩＣカードリーダライタ部
４４ 接触型ＩＣカードリーダ部
５０ 決済センタ（外部サーバ）
６１、６３ ＶＰＮ（仮想専用通信路）
ＨＷ１ ＰＩＮ入力部
ＨＷ２ 暗号化部
ＳＷ０ オペレーティングシステム（ＯＳ）
ＳＷ１ セキュアな実行環境
ＳＷ３ 非セキュアな実行環境
ＳＷ１１ セキュア画面ＵＩアプリケーション
ＳＷ１２ キーパッド入出力／実行制御部
ＳＷ１３ 暗号化処理部
ＳＷ１４ キーパッドドライバ
ＳＷ１５ ディスプレイドライバ
ＳＷ１６ 暗号化解除部
ＳＷ１７ ＩＣカードリーダドライバ
ＳＷ１８ セキュア入力アプリケーション
ＳＷ１９ セキュア入力マネージャ
ＳＷ２０ ＩＣカード入出力ドライバ
ＳＷ３１ 端末ＵＩ決済アプリケーション
ＳＷ３２ ディスプレイドライバ
ＳＷ３３ センタ接続アプリケーション
ＳＷ３４ コマンドインタプリタ

Claims (2)

1. 認証情報の入力を受け付ける認証情報入力部と、
   耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない非セキュアな実行環境とを別個に提供する実行環境提供部と、
   前記セキュアな実行環境に設けられ、前記認証情報入力部に入力された前記認証情報を管理する入力情報管理部と、
   前記非セキュアな実行環境に設けられ、外部の決済先装置との間の決済処理を中継する中継部と、
   前記入力情報管理部及び前記中継部に対して相互認証を指示する制御部と、を備え、
   前記入力情報管理部及び前記中継部は、前記相互認証が成立した場合、前記入力情報管理部と前記中継部との間に第１のセキュア通信路を形成し、
   前記中継部は、前記第１のセキュア通信路が形成され前記決済先装置との間に第２のセキュア通信路を形成した後に、前記第１のセキュア通信路及び前記第２のセキュア通信路を介して前記入力情報管理部と前記決済先装置とを中継して前記決済処理に関する決済処理情報の伝送を行う、
   情報処理装置。
2. 認証情報入力部を有する情報処理装置における情報処理方法であって、
   耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない非セキュアな実行環境とを別個に提供するステップと、
   前記認証情報入力部において認証情報の入力を受け付けるステップと、
   前記セキュアな実行環境に設けられた入力情報管理部において、入力された前記認証情報を管理するステップと、
   前記非セキュアな実行環境に設けられた中継部と前記入力情報管理部との間で相互認証を行うステップと、
   前記相互認証が成立した場合、前記入力情報管理部と前記中継部との間に第１のセキュア通信路を形成するステップと、
   前記中継部と外部の決済先装置との間に第２のセキュア通信路を形成するステップと、
   前記中継部において、前記第１のセキュア通信路が形成され前記第２のセキュア通信路を形成した後に、前記第１のセキュア通信路及び前記第２のセキュア通信路を介して前記情報処理装置と前記決済先装置とを中継して決済処理に関する決済処理情報の伝送を行うステップと、を有する、
   情報処理方法。

Images