JP5924851B2 - Ｎｆｃ対応装置に関するマルチ発行者のセキュアエレメント区画アーキテクチャ - Google Patents

Description

本発明は、情報技術セキュリティ（ＩＴＳ）の分野に関し、具体的には、モバイルスマートフォンなどのＮＦＣ対応装置内で、各カード発行者に割り当てられるセキュアエレメント区画の共存を可能にするマルチ発行者のアーキテクチャに関するが、それには限定されない。

近距離無線通信（ＮＦＣ）の規格（ＩＳＯ／ＩＥＣ１８０００−３）では、ＮＦＣアィティブディバイス間の同等な通信プロトコル、およびＮＦＣアィティブディバイスとＮＦＣパッシブ「タグ」との間の通信プロトコルは、フロー制御、メッセージフォーマット、速度（１０６Ｋｂｓ／ミラー符号化の１００％変調から、４２４Ｋｂｓ／マンチェスタ符号の化の１％変調まで）、および周波数（１３．５６ＭＨｚ）に関して規定されているが、複数のセキュアエレメント（ＳＥ）区画を管理する方法に関しては何も規定されていない。

ＳＥとは、スマートカードグレードのアプリケーション（例えば、支払、発券、アクセス制御など）セキュリティ機能を埋め込み可能な、改ざん防止機能付きの（ＰＣＩ／ＰＥＤのような）集積回路を組み込んだカード（ＩＣＣ）チップ／ＳＩＭカード／マイクロＳＤ（セキュアーデジタル）モジュールである。ＳＥはＮＦＣチップに接続し、このＮＦＣチップが、非接触のフロントエンド無線周波数（ＲＦＩＤ：Ｆｒｏｎｔ Ｅｎｄ Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ）インターフェースとして機能し、カード発行者のセキュリティ領域のアクセス制御データ（アプリケーションの開発者のセキュリティ領域のアクセス制御データを含む複数のアプリケーションのセキュリティ領域を管理するために使用される）などのデータを含む。

ＮＦＣ技術により、データ信号速度を上げ、通信プロトコルを簡単にし、コストを下げることができるが、その一方で、このＮＦＣ技術により、セキュリティの脆弱性がもたらされ、例えば、：ｉ）無許可の者による傍受（「詮索」）、データ改ざん、または挿入、ｉｉ）扮装者によるデータ操作、破壊、および挿入（「フィッシング」）、ｉｉｉ）表向きは信用されている者による、サービス拒否（「ジャミング」）およびウイルス攻撃などが可能になってしまう。

ＮＦＣのデータ交換、処理、および格納されているプライバシーおよび保全性を保護するために、主要なカード発行者は、モバイルオペレーティングシステムの開発者、またはＮＦＣ装置の製造業者のどちらかと提携を組み、公開キー署名と、メッセージの暗号化および認証を用いて、エンドポイントでの所有者証明プロトコルを実施してきた。

しかし、ＮＦＣ対応装置（スマートフォンなどの）は、一般には、個人の消費者が所有しているもの、あるいは、少なくとも個人の消費者が専用で使用しているものである。そのような消費者は、複数の金融機関、またはその他の機関から供給される複数のクレジットカード、電子財布などを所有している可能性があるが、現在の専用セキュリティ対策およびＳＥ管理方法では、同一のＮＦＣ対応装置上で複数のＳＥが存在することは認められていない。

本発明の第１の広い様態に従うと、複数のカード発行者に関するＮＦＣ対応装置のためのセキュアエレメント区画を供給する方法が提供される。この方法には、ＮＦＣ対応装置のセキュアエレメント（および、いくつかのケースでは、複数のセキュアエレメント）内に複数のセキュアエレメント区画を作成する工程と、セキュアエレメント（または、複数のセキュアエレメント）のこれらのセキュアエレメント区画を各カード発行者に割り当てる工程と、
複数の前記セキュアエレメント区画のための前記セキュアエレメント内に少なくとも１つのアプリケーションセキュリティ領域をそれぞれ提供する工程と、
が含まれ、
前記セキュアエレメント区画にそれぞれ対応する前記少なくとも１つのアプリケーションセキュリティ領域がそれぞれアプリケーション、一連のアクセスルールおよび制御データを有するアクセスルールアプリケーションクライアント、前記各セキュアエレメント区画が割り当てられた前記カード発行者と、前記アプリケーションを共有する前記カード発行者のＩＤを含むアプリケーションレジスタを有する方法。

この方法は、ＮＦＣ対応装置のメモリ内にセキュアエレメント（または複数のセキュアエレメント）を作成する、あるいは見つける工程を含むことができる。

場合によっては、ＮＦＣ対応装置内にセキュアエレメント、または複数のセキュアエレメントが既に作成されており、そのため、この方法ではセキュアエレメント（複数可）内にセキュアエレメント区画を作成するために、そのセキュアエレメントを見つければよいだけであることは理解されよう。

この方法は、セキュアエレメントデータ、およびプログラム（承認することができる／認定し、署名することができる）を、カード発行者のうちの１社以上により、各カード発行者に割り当てられた各セキュアエレメント区画内に書き込む工程を含むことができる。

例えば、これらのカード発行者のデータは、全てのＮＦＣ対応装置上に、取得グループの電子財布の一部として書き込むことができ、それぞれの取引取得者／プロセッサまたは信用のあるサービス管理者（ＴＳＭ）により管理される。

この方法は、セキュアエレメントのうちの少なくとも１つの中に、８個、１６個、または３２個（またはそれより多くの）セキュアエレメント区画を作成する工程を含むことができる。

この方法は、これらのセキュアエレメント区画を各カード発行者の各カードに割り当てる工程を含むことができる。

この方法は、２個、４個、または８個（あるいは、それより多くの）の、カード発行者のうちの１社以上のための、アプリケーションセキュリティ領域を作成する工程を含むことができる。

この方法は、これらのセキュアエレメント区画内に１セット以上の暗号キーのセットをそれぞれ、供給する工程を含むことができ、暗号キーのセットはそれぞれ、カード発行者のうちの１社に対して一意である。

ある実施形態では、暗号キーのセットには、それぞれ２５６ランダムバイトのキーが含まれる。これらの各暗号キーには８ビットが含まれる。実際には、各暗号キーにはＡＳＣＩＩ文字が含まれ得る。

メモリは、ＮＦＣ対応装置のＳＩＭカード、ＮＦＣ対応装置のマイクロＳＤ、またはＮＦＣ対応装置のキャッシュ内に設けることができる。

この方法は、この方法を実施するために、前記ＮＦＣ対応装置内に、セキュアエレメント区画ローダ、セキュアエレメント区画マネージャ、およびセキュアエレメント区画暗号モジュールを供給する工程を備え、前記セキュアエレメント区画の前記各アプリケーションセキュリティ領域へのアクセスを制御する工程を含むことができる。

この本発明の様態に従うと、上記の方法によるセキュアエレメント区画を設けたＮＦＣ対応装置も供給される。

本発明の第２の広い様態に従うと、ＮＦＣ対応装置が供給される。このＮＦＣ対応装置は、複数のセキュアエレメント区画を含むセキュアエレメントと、実行コードおよびデータを各セキュアエレメント区画内に更新する、または書き込むセキュアエレメント区画ローダと、特定のカード発行者に割り当てられたセキュアエレメント区画のうちの１つを特定し、選択するセキュアエレメント区画マネージャと、を含み、各セキュアエレメント区画が、アクセスルールおよび暗号キーを有するアクセスルール適用マスターを含むセキュリティ領域を有し、このＮＦＣ対応装置は、セキュアエレメント区画の各セキュリティ領域へのアクセスを制御するセキュアエレメント区画の暗号モジュールをさらに含む。

本発明の第３の広い様態に従うと、コンピュータプログラムが提供される。このコンピュータプログラムは、プロセッサ上で実行されると、ＮＦＣ対応装置のセキュアエレメント（および、場合によっては、複数のセキュアエレメント）内に少なくとも一つのセキュアエレメント区画を作成し、セキュアエレメントのこれらのセキュアエレメント区画を各カード発行者に割り当てる。

このコンピュータプログラムは、ＮＦＣ対応装置のメモリ内に、少なくとも１つのセキュアエレメントを作成すること、または見つけることもできる。

このコンピュータプログラムは、セキュアエレメント区画のうちの少なくとも１つの中に、各ソフトウェア・アプリケーション、またはデータ、あるいはソフトウェア・アプリケーションとデータの両方を格納するための、複数のセキュリティ領域を作成することもできる。

本発明の第４の広い様態に従うと、第３の広い様態に、コンピュータプログラムを格納したコンピュータ可読記憶媒体が提供される。

尚、上記の本発明の各様態の多様な特徴の全て、および請求項を含む本明細書に記載される実施形態の各様態の多様な特徴の全ては、好適に、かつ所望の通り、に組合せることが可能である。

次に、本発明をより明確に理解できるよう、例として、下記の添付図面を参照して実施形態を説明する。
図１は、本発明の実施形態に従った、ＮＦＣ対応スマートフォンの概略ブロック図である。 図２は、図１のスマートフォンのオペレーティングシステム、およびマイクロＳＤの動作コンポーネントの一部を示す概略ブロック図である。 図３は、図１のスマートフォンのオペレーティングシステム、およびマイクロＳＤと、様々な外部当事者のシステムとのそれらの関係と、を示す概略ブロック図である。 図４は、図１のスマートフォンのアーキテクチャを示す概略ブロック図である。 図５Ａは、本発明を具現化するプログラムモジュールを図１のスマートフォンにインストールする処理を示すフローチャートである。 図５Ｂは、本発明を具現化するプログラムモジュールを図１のスマートフォン内で使用する処理を示すフローチャートである。 図６は、図１のスマートフォンのオペレーティングシステムのマルチ発行者のＳＥ区画マネージャのアーキテクチャを示す概略ブロック図である。

図１には、本発明の実施形態に従った、ＮＦＣ対応スマートフォン１０の概略ブロック図が示されている。分かりやすくするために、本発明を理解するために特に関連のある特徴だけを図面で示し下記に説明する。

スマートフォン１０は、プロセッサ１２、オペレーティングシステム１４（例えば、アンドロイド（商標）、ｉＯＳ（商標）、シンビアン（商標）、ブラックベリーＯＳ（商標）、またはウィンドウズ８（商標））、および２つの形態のメモリ：装置メモリ１６および取り外し可能マイクロＳＤ（セキュアーデジタル）メモリカード１８（以後、「マイクロＳＤ１８」と呼ぶ）を含む。それに加えて、スマートフォン１０は、ＳＩＭカード２０、およびユーザインターフェース２２を含み、ＳＩＭカード２０は、いくつかのオンボードメモリを含み、ユーザインターフェース（概略的に２２で示されているが）は、タッチスクリーン２４、マイクロフォン２６、およびスピーカー２８も含む。また、スマートフォン１０は、ＮＦＣチップ３０も含む。

図２には、本実施形態に従った、オペレーティングシステム１４、およびマイクロＳＤ１８の動作コンポーネントの一部の概略ブロック図が示されている。オペレーティングシステム１４は、オペレーティングシステム（ＯＳ）カーネル３０、アプリケーションマネージャ３４、ユーティリティサービスモジュール３６、通信サービスモジュールモジュール３８、およびセキュアエレメント（ＳＥ）アクセスＡＰＩ４０を含む。このオペレーティングシステム（ＯＳ）カーネル３０は、１つ以上の装置アプリケーション３２を含む（これらの装置アプリケーション３２のうちの第１の例示的な装置アプリケーションだけが図示されている）。各装置アプリケーション３２は、デジタル署名４２とデジタル証明４４を含み、アプリケーションマネージャ３４、ユーティリティサービスモジュール３６、および通信サービスモジュールモジュール３８とデータ通信を行う。ＳＥアクセスＡＰＩ４０は、アクセス制御エンフォーサ４６（グローバルプラットフォーム（商標）により既定されるＡＰＩ）、およびプログラムモジュールを含む。これらのプログラムモジュールが、様々な本実施形態の機能を実行する。これらのプログラムモジュールには、ＳＥ区画マネージャ４８、ＳＥ区画ローダ５０、およびＳＥ区画暗号モジュール５２が含まれる。ＳＥ区画マネージャ４８の主な役割は、特定なカード発行者の特定なカードに割り当てられたＳＥ区画を特定し選択することである。ＳＥ区画ローダ５０の主な役割は、この選択されたＳＥ区画に、実行コードおよびデータ（ルール、ＳＣＳＴなど）を、更新（または、置換え）、あるいは書き込むことである。ＳＥ区画暗号モジュール５２の主な役割は、選択されたカード発行者の特定なＳＥ区画のＡＲＡ−Ｍに書き込まれたセキュリティ領域（ＳＤ）のアクセスルール、およびＳＣＳＴに対する承認されたアクセスのみを確保することである。

マイクロＳＤ１８は、１つ以上のマルチ区画のセキュアエレメント（ＳＥ）６０を含む（それらのマルチ区画ＳＥのうちの第１の例示的なマルチ区画ＳＥが図示されている）。各マルチ区画ＳＥ６０は、複数のセキュアエレメント（ＳＥ）区画６２（１）、６２（２）、・・・６２（ｎ）に分割され、各ＳＥ区画６２（１），６２（２）、・・・６２（ｎ）は、各カード発行者１、２，・・・ｎに割り当てられる。この実施形態では、各ＳＥ６０は、８個、１６個、または３２個のＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）を有する。各ＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）は、アクセスルール適用マスター（ＡＲＡ−Ｍ）６４を有し、このアクセスルール適用マスター（ＡＲＡ−Ｍ）６４は、このＳＥ区画６２（１）の例では、各カード発行者のアクセスルール、および制御データを格納する第１のレジスタ６６と、そのカード発行者のＮＦＣカードを保護するために、各カード発行者により生成されたランダムキーの一意のスマートカードセキュリティテーブル（ＳＣＳＴ）を格納する第２のレジスタ６８と、を含む。

各ＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）は、ＳＣＳＴバージョンの番号のレジスタも有し（ＳＥ区画６２（１）に関して６９で図示されている）、これらのＳＣＳＴバージョン番号は各カード発行者により使用される。カード発行者により発行される各ＮＦＣカードは、そのカード発行者の第２のレジスタ内で一意のＳＣＳＴを用いて初期化される。したがって、各ＮＦＣ装置にはそれぞれＳＣＳＴが読み込まれ、ＮＦＣカードに関連付けられたＳＣＳＴバージョン番号が、その装置（この例では、スマートフォン１０）と共に用いられるようになる。

したがって、各カード発行者が、マルチ区画ＳＥ６０内のそのカード発行者の専用のＳＥ区画内の管理およびデータの制御に関するアクセスルールの独自のセットを、その各アクセスルールおよび制御データと共に規定することができる。オペレーティングシステム１４のアクセス制御エンフォーサ（ＡＣＥ）４６が、ＡＲＡ−Ｍ６４へのアクセスを制御する。

各ＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）内のＳＣＳＴは、各ＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）内のデータのセキュリティを保護するために、異なるセットのセキュリティキーを保持する。あらゆる好適な技術を用いて、セキュリティキーを生成することができるが、この実施形態各では、ＳＣＳＴは各カード発行者により生成され、そして、ＩＫＭ方法による暗黙的キー管理（ＩＫＭ）モジュール７０を用いて利用される。このＩＫＭ方法は、２０１２年３月２２日出願の豪州特許出願第２０１２９０１１４９号明細書、および２０１３年３月２２出願の国際特許出願第ＰＣＴ／ＡＵ２０１３／０００２９９号明細書で開示され、これらの両方の内容は、ここに引用することにより全て組み込まれるものとする。したがって、ＳＥ区画６２（１）内のＳＣＳＴは、それぞれが８ビットの２５６ランダムバイトのキーを含み、これらのキーを用いて、上記の特許出願に記載される通り、ＩＫＭモジュール７０により、各ＳＥ区画内に格納されたデータの暗号化／復号化を実行して、その他のアクティブ装置（同等のスマートフォン、ＥＦＴＰＯＳ、およびその他の装置）またはパッシブ装置（接触式スマートカード、および非接触式スマートカード、およびＴＡＧなどの）とやり取りされたメッセージに関するデータの保全性、プライバシーおよび非否認を提供する。その他のＳＥ区画は、異なるキーのセットを有する同様のＳＣＳＴを含む。

さらに、各ＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）は、１つ以上のアプリケーションセキュリティ領域（ＳＤ）を用いることができる。特定のＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）上の各アプリケーションＳＤは、対応するＳＥ区画が割り当てられたカード発行者により承認されたアプリケーションを含むことができ、それらの各アプリケーションは、各アプリケーションプロバイダーにより供給されている。

図２には、カード発行者１のＳＥ区画６２（１）に関連するアプリケーションＳＤ７２（１）、７２（２）、・・・７２（ｉ）の例が示されているが、各ＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）には、アプリケーションＳＤが無い場合、１つの場合、複数の場合があり得ることは理解されよう。この実施形態では、各ＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）には、２個、４個、または８個のアプリケーションＳＤ７２（１）、７２（２）、・・・７２（ｉ）が含まれ、それに伴って、一般に２個、４個、または８個のアプリケーションも含まれる（他の実施形態では、ＳＥ区画ごとにもっと多くのアプリケーションＳＤが含まれ得、それに応じて、もっと多くのアプリケーションが含まれ得る）。ＳＥごとのカード発行者のＳＥ区画の数と同様に、カード発行者のＳＥ区画ごとのアプリケーションＳＤの数も、ＳＥを格納するために用いられる媒体（この例では、マイクロＳＤ１８）のメモリのサイズにより制限され、使用可能な媒体のメモリサイズが増えれば、ＳＥごとのカード発行者のＳＥ区画、およびカード発行者のＳＥ区画ごとのアプリケーションＳＤの数を多くすることが可能であることが予想される。

以下、ＳＥ区画６２（１）のアプリケーションＳＤ７２（１）を例として説明するが、ＳＥ区画６２（１）のその他のアプリケーションＳＤも同様の機能を有する（異なる各アプリケーションを通して）。この例では、アプリケーションＳＤ７２（１）内に格納されたアプリケーションは、サイバー・セキュリティ・シールド（ＣＳＳ）７４であり、これは、ＮＦＣおよびその他のスマートカードの内容、およびそのようなスマートカードとＮＦＣ対応装置との間の通信をデータの保全性、プライバシーおよび非否認に関して保護するアプリケーションである。また、アプリケーションＳＤ７２（１）は、アクセスルールアプリケーションクライアント（ＡＲＡ−Ｃ）７６、およびアプリケーションレジスタ７７を含み、アクセスルールアプリケーションクライアント（ＡＲＡ−Ｃ）７６は、カード発行者のＳＥ区画６２（１）のＡＲＡ−Ｍ６４により管理され、アプリケーションレジスタ７７には、ＳＥ区画６２（１）が割り当てられたカード発行者と、このアプリケーション（ＣＳＳ７４）を共有する全ての他のカード発行者のＩＤが含まれる。ＡＡ−Ｃ７６は、一連のアクセスルールおよび制御データ７８を含む。

共有されるアプリケーションのアプリケーションレジスタ７７（および、その他のアプリケーションＳＤ内の対応するアプリケーションレジスタ）は、ＳＥ区画マネージャ４８により管理される。上述した通り、これらのアプリケーションレジスタは、その他の承認されたカード発行者を示すデータを含んで、上記に示す通り、ＳＥ区画６２（１）のＡＲＡ−Ｍ６４、およびその他のカード発行者のＳＥ区画のＡＲＡ−Ｍへのアクセスを制御するアクセス制御エンフォーサ４６が、承認された（その他の）発行者だけがこのようなアプリケーションを利用可能であることを保証できるようにする。

この例では、ＳＥ区画６２（１）のアプリケーションＳＤ７２（２）は、ＥＭＶ（「Ｅｕｒｏｐａｙ， ＭａｓｔｅｒＣａｒｄ， Ｖｉｓａ」の略）、すなわちクレジット、および／または、デビット支払スマートカードに関する向上したセキュリティを提供するアプリケーションを含む。アプリケーションＳＤ７２（２）は、その独自のアクセスルールアプリケーションクライアント（アプリケーションＳＤ７２（１）のＡＲＡ−Ｃ７６を参照）、およびアプリケーションレジスタ（アプリケーションＳＤ７２（１）のアプリケーションレジスタを参照）を含む。アクセスルールアプリケーションクライアントは、一連のアクセスルール、および制御データを含み、このアクセスルールアプリケーションクライアントも、カード発行者のＳＥ区画６２（１）のＡＲＡ−Ｍ６４により管理されている。アプリケーションレジスタは、ＳＥ区画６２（１）が割り当てられたカード発行者と、このアプリケーションを共有するカード発行者のＩＤを含む。

希望すれば、さらなるアプリケーションのために、１つ以上の付加的なアプリケーションＳＤを作成することが可能である。

この実施形態では、ＳＥ６０はマイクロＳＤ１８の中に含まれるが、その他の実施形態では、ＳＥ６０は、ＳＩＭカード２０、装置のキャッシュ内（装置メモリ１６内などの）、またはその他のいくつかのＰＣＩＰＥＤセキュリティモジュール上に書き込まれてもよい。

図３は、オペレーティングシステム１４、およびマイクロＳＤ１８と、カード発行者、および本実施形態によるプログラムモジュールなどの様々な当事者のシステムとのそれらの関係と、を示す概略ブロック図であり、これらのプログラムモジュールには、ＳＥ区画マネージャ４８、ＳＥ区画ローダ５０、およびＳＥ区画暗号モジュール５２が含まれる（図面ではＡＰＰで示されている）。尚、図３を参照すると、制御オーソリティ（ＣＡ）８０が、証明をＮＦＣアプリケーションプロバイダー８２に発行し、このＮＦＣアプリケーションプロバイダー８２（および、ＮＦＣアプリケーションの開発者またはオーナ８４からそれらを受け取る者）が、プログラムモジュールを提供する。ＮＦＣカード発行者８８の制御の元、このＮＦＣアプリケーションプロバイダー８２は、装置の処理管理者（ＳＳＤの管理を行う）またはカードイネーブラ８６を介して、ＮＦＣ対応装置にプログラムモジュール、証明書、および暗号キー（第２のレジスタ６８では、ＳＣＳＴに関する）を供給する（プログラムモジュールのＮＦＣアプリケーション開発者またはオーナ８４にも権限を与える）。

図４には、カード発行者により生成されたＳＥ６０をオペレーティングシステム１４に組み込んだ、スマートフォン１０のソフトウェア・アーキテクチャの概略ブロック図９０が示されている。種々のＮＦＣセキュリティ機能を実行する様子は、スマートフォン１０のユーザ、およびカードのユーザからは透明である。所有者のＮＦＣセキュリティＡＰＩにより、スマートフォン１０内に駐在するビジネスアプリケーション９２などのアプリケーションが、データの保全性、プライバシー、および非否認を提供するために必要となる暗号化機能を実行することが可能である。

図５Ａおよび図５Ｂは、図１から図３の実施形態を構成するプログラムモジュールをそれぞれインストールし、使用する処理を、スマートフォン１０を参照することにより示したフローチャート１００および１０２である。これらのフローチャート１００および１０２には、ＳＥ６０内の新しいＳＥ区画が、どのように新しいカード発行者に割り当てられるか、または既存のカード発行者と交換されるか、およびＳＥ区画の項目（データ、プログラムなど）を用いて、第３の者のアクティブ装置、またはパッシブ装置とのメッセージのやりとりをどのように保護するかについて、記載されている。

図５Ａのフローチャート１００には、カード発行者ごとに一意のＳＣＳＴと、およびセキュリティ攻撃からスマートフォン１０を保護するためのＮＦＣセキュリティソフトウェア製品を構成する図１から図３の実施形態を実施するプログラムモジュールと、をスマートフォン１０などのＮＦＣ装置どのように書き込むか、およびカード発行者に割り当てられた各ＳＥ区画６２（１）、６２（２）、・・・６２（ｎ）をどのように用いて、スマートフォン１０と、ＮＦＣカードまたはその他のＮＦＣ対応装置のどちらかと、の間で交わされた着信メッセージおよび送信メッセージをどのように処理するか、が示されている。図５Ｂのフローチャート１０２には、カード発行者のＳＥ区画（すなわち、ＳＥ区画６２（１）、６２（２）、・・・６２（ｎ））の使用について示されている。

図５Ａのフローチャート１００を参照すると、ＳＣＳＴおよび上述のプログラムモジュールがインハウスで装置製造業者（スマートフォン１０、マイクロＳＤ１８、あるいはＳＥ６０がマイクロＳＤではなくＳＩＭカード内にインストールされる場合、ＳＩＭカード２０の製造業者）によりダウンロードされ、カード発行者により監視される、あるいは、選択される処理管理者（プロセッサ）により遠隔的にダウンロードされる。したがって、工程１０４で、カード発行者「ｍ」のカード発行者のＳＥ区画を作成し管理するためのプログラムモジュール（この図面では、集合的に、概念的なカード発行者「ｍ」に関する「ＳＥ ＡＰＰ」と呼ぶ）がマイクロＳＤ１８上に読み込まれ、工程１０６で、カード発行者「ｍ」の「ＳＥ ＡＰＰ」の署名および証明が有効になる。送信元（エンドポイントの証明）を有効にし、全ての種類のインターフェース（例えば、Ｗｉ−Ｆｉ、ＮＦＣ、ＷＡＮ、ＬＡＮ）を介して、あるいは全ての媒体（例えば、ＳＩＭ、ＳＡＭ、マイクロＳＤ、メモリキャッシュ）から、この装置に読み込まれる全てのアプリケーションを証明できるよう、適用した全てのＮＦＣ対応装置の標準機能により、これらの２つの動作は実行可能である。

工程１０８で、ＳＥ６０のカード発行者のＳＥ区画に関する秘匿機能を提供するために、カード発行者「ｍ」の「ＳＥ ＡＰＰ」がインストールされる。工程１１０で、ＳＥ区画ローダ５０が、カード発行者のＩＤを確認して、そのカード発行者が、既存のカード発行者か（すなわち、ＳＥ区画が既にＳＥ６０内でカード発行者「ｍ」に割り当てられているか）、あるいは新しいカード発行者かを判定する。

ＳＥ区画ローダ５０により、カード発行者のＩＤが既存のカード発行者を示していると判定された場合、処理は工程１１２に進み、そこで「ＳＥ ＡＰＰ」が、カード発行者「ｍ」の古いＳＥの内容（アプリケーション、ルール、ＳＣＳＴなど）を新しいものに書き換える。この工程では、新しいバージョンにはバージョン番号のより大きな数字を付けなければならないよう、厳しいバージョン制御を適用し、現在のバージョンはカード発行者「ｍ」に割り当てられたＳＥ区画の第２のレジスタ６８内に格納される。次いで、処理は工程１１４に進み、そこでは、行動報告プログラムにより、ジョブ完了メッセージが表示され、処理が終了する。

工程１１０で、ＳＥ区画ローダ５０により、カード発行者のＩＤが新しいカード発行者を示していると判定された場合、処理は工程１１６に進み、ＳＥ区画ローダ５０により、ＳＥ６０には、新しいＳＥ区画をカード発行者「ｍ」に割り当てるための十分なメモリ空間があるかどうかが判定される。十分なメモリ空間が無いと判定された場合、処理は工程１１４に進み、行動報告プログラムにより、ジョブ完了メッセージが表示され（空間が十分に無いことが示される）、処理は終了する。工程１１６で、ＳＥ区画ローダにより、ＳＥ６０には、十分なメモリ空間があると判定された場合、処理は工程１１８に進み、そこで、ＳＥ区画ローダ５０により、ＳＥ６０内の新しいＳＥ区画がカード発行者「ｍ」に割り当てられる。第２のレジスタ６８は、カード発行者のＳＣＳＴのバージョン制御番号により更新される。その後、工程１２０で、それぞれのケースでその新しいカード発行者に関して十分なメモリ空間が有効な場合、１社以上の新しいカード発行者に承認され有効になったアプリケーションを、カード発行者「ｍ」に割り当てられたＳＥ６０のＳＥ区画に読み込ませることができる。次いで、処理は工程１１４に進み、そこでは、行動報告プログラムにより、ジョブ完了メッセージが表示され、処理は終了する。

図５Ｂのフローチャート１０２には、ＮＦＣコマンドを発行するよう設定された、例示的な読み出し／書き込みアプリケーションの動作が示されている。工程１３０で、ＮＦＣカードデータが読み込まれ、ＳＥ区画マネージャ４８が、ＮＦＣカードの個人アカウント番号（ＰＡＮ）のカードプレフィックス（ｃａｒｄ ｐｒｅｆｉｘ）からカード発行者のＩＤを判定する。工程１３２で、ＳＥ区画マネージャ４８は、読み出し／書き込みアプリケーションを起動させ、この読み出し／書き込みアプリケーションが、工程１３４で、通過させたのは、読み出しコマンドか、または書き込みコマンドかを判定する。

書き込みコマンドが検知された場合、処理は工程１３６に進み、そこで読み出し／書き込みアプリケーションにより、特定されたカード発行者に割り当てられた、対応するＳＥ区画が選択される。ＮＦＣのカードの書き込み機能では、書き込まれるデータがＮＦＣカードへ送信される前に、承認されかつ暗号化されていることが必要である。第２のレジスタ６８内のカード発行者のＳＣＳＴを用いて、工程１３８で、プログラムモジュールにより、暗黙的キーとそれに関連するベクトルのセットが生成される。工程１４０で、新しく生成された暗号化キー１によりメッセージが暗号化され、工程１４２で、承認キー２により承認される。工程１４４で、暗号化キーと認証キーが破壊され、工程１４６で、暗黙的キーに関連するベクトルを、暗号化され承認されたメッセージの頭に付けることにより、このメッセージをビルドする。工程１４８で、このビルドされたメッセージは、マイクロＳＤ１８に送信される（すなわち、書き込まれる）（または、その他の例では、その他のＮＦＣカードまたは記憶装置、あるいは同等のＮＦＣ対応装置に送信される（書き込まれる））。次いで、処理は終了する。

工程１３４で、読み出し／書き込みアプリケーションにより、読出しコマンドが通過したと判定された場合、処理は工程１５０に進み、そこでは読み出し／書き込みアプリケーションにより、特定されたカード発行者に割り当てられた、対応するＳＥ領域が選択される。次に、工程１５２で、ＮＦＣカードの読み込み機能により、メッセージ／記録に添付されたベクトルを用いて、このメッセージを暗号化し承認するために用いられた暗黙的キーを再生する。ＤＥＳ／３ＤＥＳキー（暗号化および承認）が再生されると、工程１５４で、暗号化キー１を用いて、このメッセージが復号化され、工程１５６で承認キー２を用いて、その保全性のために、メッセージが証明される。工程１５８で、これらのメッセージの内容が処理され（すなわち、読み込まれ）、工程１６０で、これらのキーとベクトルが破壊される。次いで、処理は終了する。

したがって、有効なＰＡＮが提示されたとき、またはユーザによりカード／支払の方法のメニューから仮想カードが選択されたときに、ＮＦＣ対応装置は、常駐するＡＣＥ４６の制御のもとで、正確なカード発行者の区画を選択することが可能であり、その手順は次の通りである。：
ＰＡＮのプレフィックスを確認する（カード発行者のプレフィックス表）。
ＰＡＮのプレフィックスの範囲を照合する。
｛イエス｝カード発行者のＳＥ領域（すなわち、区画）にアクセスする。
｛ノー｝ＰＡＮを無効にし、終了する。

送信者の身元が確認され、受け取ったデータの内容の売上金額が認証されると、署名され認定されたデータおよびプログラムをカード発行者の区画に書き込み、保存することが可能であり、その手順は次の通りである。：
ＰＯＥＰの署名を削除する（署名されたカード発行者のＩＤ）。
カード発行者のＩＤ値を照合する（カード発行者のプレフィックス表）。
｛イエス｝証明書を承認する（ＣＡ）。
｛イエス｝メッセージを承認する（ＭＡＣ）。
｛イエス｝メッセージを復号化する（データ、プログラム）。
データ、および／または、プログラムをカード発行者のＳＥ内に格納し終了する。
｛ノー｝カード発行者のＩＤ、あるいはＣＡまたはＭＡＣを無効にし、終了する。

特定なカード発行者の情報を使用する前に、カード発行者の区画の内容を復号化し、データを暗号化しカード発行者の区画に書き込み直すことができ、手順は次の通りである。:
カード／記録の処理を書き込む。
暗黙的キーの管理を用いて、カード発行者のＳＥの内容を復号化する。
ランダム＃を生成して、ＣＣＦキーを用いて、カードコードファクター（ＣＣＦ）暗号化データメッセージを作成する。
ＮＦＣカードに書き込み、終了する。
カード／記録の処理を読み出す。
暗黙的キーの管理を用いて、カード発行者ＳＥの内容を復号化する
ランダム＃（チャレンジ）を取得して、カードコードファクター（ＣＣＦ）を作成する。
ＣＣＦキーを用いて、データのメッセージを復号化し、終了する。

図６には、本実施形態に従った、オペレーティングシステム１４のマルチ発行者のＳＥ区画マネージャ４８のアーキテクチャの概略ブロック図１７０が示されている。アクセス制御エンフォーサ４６が、ＳＥ区画マネージャ４８のサービスを利用して、スマートフォン１０内の各個別のカード発行者のＳＥ区画の書き込み、メンテナンス、アクセス、および使用を管理する。

この実施形態では、ＳＥ区画６２（１）の第２のレジスタ６８内のＳＣＳＴのサイズは、たった２５６バイトであり、本発明を実施する、この実施形態のソフトウェアの構成要素は、（１ＫＢ程度の）実行可能な形態の中でも小さいサイズであり、全てのＳＥ区画で共有されている。上記の通り、アプリケーションレジスタ７７は、単にカード発行者のＩＤおよびアプリケーションＳＤ７２（１）内の特定なアプリケーションの共有に関する権限のレベル（実行、更新、削除）のリストを保持しているだけである。したがって、マイクロＳＤ１０のメモリ空間（すなわち、３２ＧＢ）またはスマートフォン１０の装置メモリ１６のメモリ空間（すなわち１６ＧＢ）と比べて、あるいはＮＦＣアクティブカード（一般に少なくとも８ＫＢを有する）と比べてさえも、本実施形態で必要とされるメモリ空間は非常に小さい。

本発明の範囲内における修正は、当業者により容易に実行することが可能である。

例えば、本発明の実施形態には、データの安全な格納、および２つのＮＦＣ装置間の安全な通信が必要である多くの例において用途があり、上記の実施形態の機密保持の方法およびアーキテクチャに対して、数多くの変更例および修正例が本発明の基本的な概念から逸脱することなし行われ得るということは当業者には明らかであり、これらの変更例および修正例も本発明の範囲内にあると見なされるものとする。したがって、本明細書で、例として、説明した特定の実施形態には、本発明は限定されないことは理解されよう。

本発明の以下の請求項、および上記の明細書では、言語または必要な含意を表現するために文脈上、他の意味に解釈する場合を除き、用語「含む（ｃｏｍｐｒｉｓｅ）」あるいは「含む（ｃｏｍｐｒｉｓｅｓ）」または「含んでいる（ｃｏｍｐｒｉｓｉｎｇ）」などのその変化形は、包含するという意味で使用される、すなわち述べられた特徴の存在を規定するが、本発明の種々の実施形態でのさらなる特徴の存在または追加を排除しないということを意味する。

さらに、本明細書における全ての従来技術の参照は、そのような従来技術が、いかなる国においても、技術常識の一部を形成する、あるいは形成したことを意図するものではない。

（関連出願の相互参照）
本出願は、２０１２年４月１７日出願の豪州出願第２０１２９０１４９５号明細書に基づき、かつ同明細書の利益を主張し、当該出願の内容は全てここに引用することにより組み込まれているものとする。

Claims (19)

1. 複数のカード発行者用のＮＦＣ対応装置のためのセキュアエレメント区画を供給する方法であって、
   前記ＮＦＣ対応装置の少なくとも１つセキュアエレメント内に複数のセキュアエレメント区画を作成する工程と、
   前記セキュアエレメントの前記セキュアエレメント区画を前記各カード発行者に割り当てる工程と、
   複数の前記セキュアエレメント区画のための前記セキュアエレメント内に少なくとも１つのアプリケーションセキュリティ領域をそれぞれ提供する工程と、
   を備え、
   前記セキュアエレメント区画にそれぞれ対応する前記少なくとも１つのアプリケーションセキュリティ領域が、それぞれアプリケーション、一連のアクセスルールおよび制御データを有するアクセスルールアプリケーションクライアント、前記各セキュアエレメント区画が割り当てられた前記カード発行者と、前記アプリケーションを共有する前記カード発行者のＩＤを含むアプリケーションレジスタを有する方法。
2. 請求項１に記載の方法であって、
   前記ＮＦＣ対応装置のメモリ内に前記セキュアエレメントを作成し、あるいは見つける工程を備える方法。
3. 請求項１又は２に記載の方法であって、
   前記カード発行者のうちの少なくとも１社により、前記各カード発行者に割り当てられた前記各セキュアエレメント区画内にセキュアエレメントデータおよびプログラムを書き込む工程を備える方法。
4. 請求項１乃至３のいずれか一項に記載の方法であって、
   前記セキュアエレメントの前記少なくとも１つの中に、８個、１６個、または３２個の前記セキュアエレメント区画を作成する工程を備える方法。
5. 請求項１乃至４のいずれか一項に記載の方法であって、
   前記セキュアエレメント区画を前記各カード発行者の各カードに割り当てる工程を備える方法。
6. 請求項１に記載の方法であって、
   第１の前記少なくとも１つのアプリケーションセキュリティ領域にセキュリティアプリケーションおよびセキュリティデータ供給する工程を含む方法。
7. 請求項１乃至６のいずれか一項に記載の方法であって、
   前記カード発行者のうちの１社以上に関する２個、４個、または８個の前記アプリケーションセキュリティ領域を作成する工程を備える方法。
8. 請求項１乃至７のいずれか一項に記載の方法であって、
   前記セキュアエレメント区画内に１つ以上の暗号キーのセットをそれぞれ供給する工程であって、前記暗号キーの各セットが前記カード発行者のうちの１社に対して一意である工程を備える方法。
9. 請求項８に記載の方法であって、
   前記暗号キーの各セットには、２５６ランダムバイトのキーが含まれる方法。
10. 請求項８又は９に記載の方法であって、
    前記暗号キーには、それぞれ８ビットが含まれる方法。
11. 請求項８ないし１０のいずれか１項に記載の方法であって、
    前記暗号キーには、それぞれＡＳＣＩＩ文字が含まれる方法。
12. 請求項２に記載の方法であって、
    前記メモリは、前記ＮＦＣ対応装置のＳＩＭカード、前記ＮＦＣ対応装置のマイクロＳＤ、または前記ＮＦＣ対応装置のキャッシュ内に設ける方法。
13. 請求項１乃至１２のいずれか一項に記載の方法であって、
    前記方法を実施するために、前記ＮＦＣ対応装置内に、セキュアエレメント区画ローダ、セキュアエレメント区画マネージャ、およびセキュアエレメント区画暗号モジュールを供給する工程を備え、前記セキュアエレメント区画の前記各アプリケーションセキュリティ領域へのアクセスを制御する方法。
14. 請求項１乃至１３のうちのいずれか一項の前記方法により作成されたセキュアエレメント区画が設けられたＮＦＣ対応装置。
15. ＮＦＣ対応装置であって、
    複数のセキュアエレメント区画を含むセキュアエレメントと、
    実行コードおよびデータを前記各セキュアエレメント区画内に更新する、または書き込むセキュアエレメント区画ローダと、
    特定のカード発行者に割り当てられた前記セキュアエレメント区画のうちの１個を特定し選択するセキュアエレメント区画マネージャと、
    を備え、
    前記セキュアエレメントは、複数の前記セキュアエレメント区画のための、少なくとも１つのアプリケーションセキュリティ領域をそれぞれ有し、
    前記セキュアエレメント区画にそれぞれ対応する前記少なくとも１つのアプリケーションセキュリティ領域がそれぞれアプリケーション、一連のアクセスルールおよび制御データを有するアクセスルールアプリケーションクライアント、前記各セキュアエレメント区画が割り当てられた前記カード発行者と、前記アプリケーションを共有する前記カード発行者のＩＤを含むアプリケーションレジスタを有し、
    前記ＮＦＣ対応装置が、前記セキュアエレメント区画の前記各アプリケーションセキュリティ領域へのアクセスを制御するセキュアエレメント区画の暗号モジュールを含む、ＮＦＣ対応装置。
16. コンピュータプログラムであって、
    プロセッサ上で実行されると、ＮＦＣ対応装置の少なくとも１つのセキュアエレメント内に複数のセキュアエレメント区画を作成し、
    前記セキュアエレメントの前記セキュアエレメント区画を各カード発行者に割り当て、
    複数の前記セキュアエレメント区画のための前記セキュアエレメント内に少なくとも１つのアプリケーションセキュリティ領域をそれぞれ提供し、
    前記セキュアエレメント区画にそれぞれ対応する前記少なくとも１つのアプリケーションセキュリティ領域が、それぞれアプリケーション、一連のアクセスルールおよび制御データを有するアクセスルールアプリケーションクライアント、前記各セキュアエレメント区画が割り当てられた前記カード発行者と、前記アプリケーションを共有する前記カード発行者のＩＤを含むアプリケーションレジスタを有するコンピュータプログラム。
17. 請求項１６に記載のコンピュータプログラムであって、
    前記プロセッサ上で実行されると、前記コンピュータプログラムが、前記ＮＦＣ対応装置のメモリ内に、前記少なくとも１つのセキュアエレメントを作成する、または見つけるコンピュータプログラム。
18. コンピュータプログラムを格納したコンピュータ可読記憶媒体であって、前記コンピュータプログラムがプロセッサによって実行されると、
    ＮＦＣ対応装置の少なくとも１つセキュアエレメントの中に複数のセキュアエレメント区画を作成し、
    前記セキュアエレメントの前記セキュアエレメント区画を各カード発行者に割り当て、
    複数の前記セキュアエレメント区画のための前記セキュアエレメント内に少なくとも１つのアプリケーションセキュリティ領域をそれぞれ提供し、
    前記セキュアエレメント区画にそれぞれ対応する前記少なくとも１つのアプリケーションセキュリティ領域がそれぞれアプリケーション、一連のアクセスルールおよび制御データを有するアクセスルールアプリケーションクライアント、前記各セキュアエレメント区画が割り当てられた前記カード発行者と、前記アプリケーションを共有する前記カード発行者のＩＤを含むアプリケーションレジスタを有するコンピュータ可読記憶媒体。
19. 請求項１８に記載のコンピュータプログラムを格納したコンピュータ可読記憶媒体であって、前記コンピュータプログラムがプロセッサによって実行されると、前記ＮＦＣ対応装置のメモリ内に前記少なくとも１つのセキュアエレメントを作成する、または見つけるコンピュータ可読記憶媒体。