JP6025534B2 - 鍵データ要求処理システム - Google Patents

Description

本発明は、非接触通信機能を有する携帯端末（例えば、非接触ＩＣ付き携帯電話、スマートフォンなど）を鍵として用いた電気錠システムに適用され、リーダから携帯端末に鍵データの要求があった際に、そのリーダの正当性を検証する鍵データ要求処理システムに関するものである。

例えば磁気カードやＩＣカードなどの接触式のカードを利用するポイントカードやクレジットカードでは、カード毎にサービスの内容も異なるため、利用者が必要とするサービスに合ったカードを選択し、この選択したカードの情報をリーダに読み取らせる必要があった。

これに対し、非接触通信機能を有する携帯端末（例えば、非接触ＩＣ付き携帯電話、スマートフォンなど）を利用する場合には、１台の携帯端末に対し、利用するサービスに応じて複数のカードデータを保持できるため、携帯端末をリーダにかざすだけで必要なデータをリーダに読み取らせることができる。

ところで、近年では、特定のゲートを開閉するために必要な鍵データを予め携帯端末に登録しておき、携帯端末を鍵として利用するシステムの提案がなされている。下記特許文献１には、携帯端末を鍵として利用するシステムの一例が開示されている。

特開２００５−１３９６４４号公報

ところが、携帯端末を鍵として利用する電気錠システムの場合、本人確認、偽造・改竄の防止のために鍵データに対して電子署名を用いているが、この電子署名は、リバースエンジニアリングや総当たり方式により鍵値を推定される可能性があるため、長期的に稼動する製品の鍵値を定期的に更新する必要があった。

そして、リーダからの要求に対して携帯端末から非接触通信により鍵データをリーダに送信する場合、悪意のある第三者により設置されたリーダによる鍵データの詐取を防止するためには、携帯端末においてリーダの正当性を検証する必要があった。

なお、前述した通信手段を持たない磁気カードやＩＣカードなどを鍵として用いた電気錠システムでは、リーダの鍵値を変更した場合、カード自体を再発行しなければならず、鍵値の変更が実質不可能であった。

そこで、本発明は上記問題点に鑑みてなされたものであり、リーダの正当性を検証して正当なリーダのみに鍵データを送信することができる鍵データ要求処理システムを提供することを目的とするものである。

上記した目的を達成するために、請求項１に記載された鍵データ要求処理システムは、鍵データと該鍵データの配信を許可するリーダの署名検証用鍵が記憶される携帯端末と、
署名生成用鍵の更新登録が可能とされ、該署名生成用鍵を用いた署名付き鍵データ要求信号を前記携帯端末と非接触通信して送信し、この署名付き鍵データ要求信号の送信に伴う前記携帯端末からの鍵データを取得して処理するリーダと、
前記署名生成用鍵と対をなす署名検証用鍵の更新登録が可能とされるとともに、前記携帯端末に前記鍵データを配信する鍵配信サーバとを備え、
前記携帯端末は、前記リーダから前記署名付き鍵データ要求信号を受信したときに、該署名付き鍵データ要求信号を送信した前記リーダが登録済みか否かを該リーダの署名生成用鍵と対をなす署名検証用鍵により判別し、登録済みでないと判断したリーダの署名生成用鍵と対をなす署名検証用鍵が登録済みか否かを前記鍵配信サーバに問い合わせする問い合わせ信号を送信し、
前記鍵配信サーバは、前記携帯端末から問い合わせ信号を受信したときに、該当するリーダの署名検証用鍵が登録済みか否かを判別し、登録済みと判断したときの署名検証用鍵を前記携帯端末に配信することを特徴とする。

請求項２に記載された鍵データ要求処理システムは、請求項１の鍵データ要求処理システムにおいて、
前記署名生成用鍵と、該署名生成用鍵と対をなす署名検証用鍵とを前記リーダ毎に生成するリーダ管理サーバを備えたことを特徴とする。

本発明によれば、鍵として利用される携帯端末は、リーダから鍵データ要求信号を受信すると、そのリーダが登録済みか否かを署名検証用鍵により判別し、登録済みでないと判断したときには鍵配信サーバに問い合わせ信号を送信する。そして、鍵配信サーバは、携帯端末から問い合わせ信号を受信すると、該当するリーダの署名検証用鍵が登録済みか否かを判別し、登録済みと判断したときに署名検証用鍵を携帯端末に送信する。これにより、携帯端末は、署名検証用鍵を用いてリーダの正当性を検証し、正当なリーダのみに鍵データを送信するので、悪意のある第三者により設置されたリーダによる鍵データの詐取を防止でき、セキュリティの向上を図ることができる。

また、署名検証用鍵が登録済みのリーダから携帯端末に送信要求があった場合には、携帯端末からリーダに対して即座に鍵データを送信し、鍵データを用いた処理動作（例えば、特定のゲートの開閉動作）に移行することができる。

本発明に係る鍵データ要求処理システムの概略構成を示すブロック図である。 本発明に係る鍵データ要求処理システムの動作を示すフローチャートである。

以下、本発明を実施するための形態について、添付した図面を参照しながら詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではなく、この形態に基づいて当業者などによりなされる実施可能な他の形態、実施例及び運用技術などはすべて本発明の範疇に含まれる。

本発明に係る鍵データ要求処理システム１は、図１に示すように、鍵として用いられる携帯端末２と、携帯端末２との非接触通信（近距離無線通信）により鍵データを取得して処理するリーダ３と、リーダ３を管理するリーダ管理サーバ４と、リーダ３に署名生成用鍵を更新登録するための署名用鍵登録手段５と、携帯端末２に鍵データや署名検証用鍵を配信する鍵配信サーバ６とから構築される。

なお、本例では、本発明の要部である鍵データや署名用鍵（署名生成用鍵、署名検証用鍵）の処理に関する構成要素のみを図示して説明している。また、携帯端末２は、特定のゲート（例えば、各種施設の扉、自動改札機など）を開閉するための鍵として用いられる他、鍵データを必要とする対象物（例えば、エレベータの呼出や指定階のボタン操作など）に利用することができる。さらに、図１の例では、リーダ３を１つのみ図示しているが、鍵データが必要な各ゲート毎にリーダ３が配置されている。

携帯端末２は、システムの利用者が所有するもので、非接触通信機能を有する非接触ＩＣ付きの携帯電話、スマートフォンなどの携帯型の情報端末で構成され、操作部２ａ、記憶部２ｂ、通信部２ｃ、表示部２ｄ、制御部２ｅを有している。

操作部２ａは、携帯端末２の本体に設けられるボタン、表示部２ｄの表示画面上のソフトキーなどで構成される。

記憶部２ｂは、鍵配信サーバ６から配信される鍵データを記憶している。また、記憶部２ｂは、鍵データの送信を許可するリーダ３の情報を更新登録して記憶している。更新登録されるリーダ３の情報は、リーダ３を特定する装置特定情報（リーダ番号など）とリーダ３の正当性を検証するための署名検証用鍵（リーダ３の署名生成用鍵と対をなす鍵）である。さらに、記憶部２ｂは、リーダ３や鍵配信サーバ６との間で通信を行った際の履歴情報を記憶している。

なお、記憶部２ｂには、リーダ３との間の鍵データや署名用鍵の一連の処理を実行するための鍵アプリケーション、異なる複数のサービス（例えば、駅での切符の購入、小売店舗での商品の購入、自動販売機での商品の購入など）を利用する際に必要な各サービス毎に必要なデータやアプリケーションが記憶されている。

通信部２ｃは、リーダ３との間で無線通信するハードウェアと、鍵配信サーバ６との間で無線通信するハードウェアとから構成される。さらに説明すると、通信部２ｃは、通信可能領域内においてリーダ３との間で例えばＮＦＣ(Near Field Communication)等の近距離無線通信による非接触通信として、携帯端末２をリーダ３に翳して非接触通信することにより、リーダ３からの署名付き鍵データ要求信号（装置特定情報を含む）の受信、正常認証したリーダ３への鍵データの送信を行っている。また、通信部２ｃは、別のハードウェア構成において、例えば３ＧやＬＴＥ(Long Term Evolution) 、Ｗｉ−Ｆｉ(Wireless Fidelity) 等による鍵配信サーバ６との間の無線通信により、鍵配信サーバ６からの鍵データの受信、鍵配信サーバ６への問い合わせ信号の送信を行っている。

表示部２ｄは、携帯端末２の本体に設けられる液晶表示器で構成される。表示部２ｄは、通信部２ｃが未登録のリーダ３から署名付き鍵データ要求信号を受信したときに、そのリーダ３の署名生成用鍵と対をなす署名検証用鍵が登録済みか否かを鍵配信サーバ６に問い合わせるための操作画面を制御部２ｅの制御により表示することができる。

また、表示部２ｄは、携帯端末２から鍵配信サーバ６への問い合わせ信号の送信に伴い、鍵配信サーバ６から該当する署名検証用鍵が登録されていない旨の応答信号を受信したときに、鍵データの送信要求があったリーダ３が未登録である旨を表示することができる。

なお、表示部２ｄは、記憶部２ｂに記憶された履歴情報を、操作部２ａの操作に基づく制御部２ｅの制御により表示することもできる。

制御部２ｅは、操作部２ａの操作に基づき、記憶部２ｂ、通信部２ｃ、表示部２ｄを統括制御している。

さらに説明すると、制御部２ｅは、通信部２ｃがリーダ３から署名付き鍵データ要求信号を受信としたときに、その鍵データ要求信号に含まれる装置特定情報（リーダ番号など）及びリーダ３の正当性を検証するための署名検証用鍵が記憶部２ｂに登録されていれば、署名を検証し、リーダ３の正当性を判別している。なお、装置特定情報には署名が施され、偽装不可能なデータとなっており、この装置特定情報の署名の検証により、リーダ３の偽装が分かった場合は、表示部２ｄを用いて利用者に通知することができる。

また、制御部２ｅは、リーダ３から受信した鍵データ要求信号に含まれる装置特定情報（リーダ番号など）に対応する署名検証用鍵が記憶部２ｂに登録記憶されており、署名を検証してリーダ３を正常認証したときに、リーダ３に鍵データを送信するべく通信部２ｃを制御している。これに対し、制御部２ｅは、リーダ３から受信した鍵データ要求信号に含まれる装置特定情報（リーダ番号など）に対応する署名検証用鍵が記憶部２ａに登録記憶されていなければ、未知のリーダ３からの鍵データの送信要求であると判断し、そのリーダ３の署名生成用鍵と対をなす署名検証用鍵が登録済みか否かを鍵配信サーバ５に問い合わせるための問い合わせ信号を自動送信している。

なお、制御部２ｅは、問い合わせ信号を自動送信せず、問い合わせ信号の送信の有無を決定するための操作画面を表示部２ｄに表示し、問い合わせ信号の送信を携帯端末２の利用者の操作に委ねることもできる。また、制御部２ｅは、記憶部２ｂに記憶された履歴情報を選択的に表示するべく、操作部２ａの操作により表示部２ｄの表示を制御することができる。

リーダ３は、非接触通信機能を有するスタンドアローンな構成であり、非接触通信が可能な通信領域内に存在する携帯端末２に鍵データを送信要求し、この送信要求に伴って特定のゲートの開閉を行うための鍵データを携帯端末２から取得して処理しており、非接触通信部３ａ、記憶部３ｂ、制御部３ｃを有している。

なお、リーダ３は、各リーダ３毎に別々の署名生成用鍵を持っており、携帯端末２に鍵データ要求信号（自身を特定するリーダ番号などの装置特定情報を含む）を送信する際、署名生成用鍵を用いて署名を付加している。

非接触通信部３ａは、通信可能領域内に存在する携帯端末２との間で非接触通信を行っている。具体的には、携帯端末２がリーダ３に翳されて非接触通信することにより、携帯端末２からの鍵データの受信、携帯端末２への署名付き鍵データ要求信号（装置特定情報を含む）の送信を行っている。

記憶部３ｂは、リーダ３を特定する装置特定情報（リーダ番号など）、署名生成用鍵を記憶している。

制御部３ｃは、通信可能領域内に存在する携帯端末２との間で非接触通信を行うべく、非接触通信部３ａを制御している。さらに説明すると、制御部３ｃは、署名付き鍵データ要求信号を非接触通信部３ａから所定周期で送信出力している。また、制御部３ｃは、携帯端末２から送信される鍵データを非接触通信部３ａで受信している。

リーダ管理サーバ４は、予め決められた所定数のリーダ３を管理するサーバであり、各リーダ３毎の署名用鍵を生成している。この署名用鍵は、リーダ３毎に異なるのが好ましく、署名生成用鍵と、この署名生成用鍵と対をなす署名検証用鍵からなる。

署名用鍵登録手段５は、リーダ管理サーバ４にて生成される各リーダ３毎の署名用鍵のうち、署名生成用鍵を該当するリーダ３に適宜更新登録している。具体的には、管理者が例えば操作器、ＵＳＢ、ＩＣカードなどを操作し、各リーダ毎に署名生成用鍵を更新登録している。

鍵配信サーバ６は、リーダ管理サーバ４との間で通信可能であり、リーダ管理サーバ４にて生成される各リーダ３毎の署名用鍵のうち、各リーダ３の署名検証用鍵を該当するリーダ３の装置特定情報（リーダ番号など）と紐付けて適宜更新登録している。

また、鍵配信サーバ６は、携帯端末２との間でも通信可能であり、携帯端末２にシステムを利用する際に必要な鍵データを配信している。

さらに、鍵配信サーバ６は、携帯端末２から問い合わせ信号を受信したときに、問い合わせ信号によるリーダ３の署名生成用鍵と対をなす署名検証用鍵が登録済みか否かを判別している。鍵配信サーバ６は、署名検証用鍵が登録済みと判断すると、その登録済みの署名検証用鍵を携帯端末２に送信している。これに対し、署名検証用鍵が未登録と判断すると、問い合わせ信号によるリーダ３の署名生成用鍵と対をなす署名検証用鍵が未登録である旨の応答信号を携帯端末２に送信している。

次に、上記のように構成された鍵データ要求処理システム１の動作として、リーダ３の署名用鍵を生成して更新登録するまでの処理について図３を参照しながら説明する。

まず、リーダ管理サーバ４は、更新が必要なリーダ３用の署名用鍵（署名生成用鍵、署名検証用鍵）を生成する（ＳＴ１）。そして、リーダ管理サーバ４にて生成されるリーダ３毎の署名用鍵のうち、各リーダ３の署名生成用鍵を、署名用鍵登録手段５により該当するリーダ３に更新登録する（ＳＴ２）。また、リーダ管理サーバ４にて生成されるリーダ３毎の署名用鍵のうち、各リーダ３の署名検証用鍵を、リーダ管理サーバ４からオンラインにて鍵配信サーバ６に送信し、リーダ３の装置特定情報（リーダ番号など）と紐付けして鍵配信サーバ６に更新登録する（ＳＴ３）。鍵配信サーバ６は、署名検証用鍵が更新登録されると、その署名検証用鍵を携帯端末２を配信し（ＳＴ４）、携帯端末２に署名検証用鍵を更新登録する。

次に、上記のように署名用鍵（署名生成用鍵、署名検証用鍵）が更新登録された状態で、携帯端末２がリーダ３と非接触通信が可能な通信領域内に存在するときの動作について図３を参照しながら説明する。

リーダ３は、制御部３ｂの制御により、非接触通信部３ａから署名付き鍵データ要求信号を通信領域内に存在する携帯端末２に対して周期的に送信する（ＳＴ５）。このとき、リーダ３は、自身を特定する装置特定情報（リーダ番号など）も一緒に携帯端末２に通知する。なお、携帯端末２の要求により通信を開始しても良い。この場合、通信開始側である携帯端末２から乱数をリーダ３に送信して相互認証を行った後、リーダ３と携帯端末２との間で通信を開始する。

携帯端末２は、リーダ３から署名付き鍵データ要求信号を受信すると、そのリーダ３が登録済みであるか否かを判別する（ＳＴ６）。具体的には、リーダ３から受信した署名付きデータ要求信号に含まれる装置特定情報（リーダ番号など）と、そのリーダ３の署名検証用鍵とを記憶部２ｂに保持していれば、その署名を検証してリーダ３の正当性を確認する。そして、携帯端末２は、リーダ３が登録済みであると判断すると、予め記憶部２ｂに記憶されている鍵データをリーダ３に送信する（ＳＴ７）。これに対し、携帯端末２は、リーダ３が登録済みでないと判断すると、未知のリーダ３の署名生成用鍵と対をなす署名検証用鍵が登録済みか否かを問い合わせるべく問い合わせ信号を鍵配信サーバ６に送信する（ＳＴ８）。

鍵配信サーバ６は、携帯端末２から問い合わせ信号を受信すると、この問い合わせ信号によるリーダ３の署名生成用鍵と対をなす署名検証用鍵が登録済みか否かを判別する（ＳＴ９）。鍵配信サーバ６は、該当する署名検証用鍵が登録済みであると判断すると、その登録済みの署名検証用鍵を携帯端末２に配信し（ＳＴ１０）、署名検証用鍵を携帯端末２に更新登録する。そして、携帯端末２は、鍵配信サーバ６から署名検証用鍵を受信して更新登録されると、その署名検証用鍵を用いて署名付きデータ要求信号を受信したリーダ３の署名を検証して正当性を確認し、署名が正常認証されると、そのリーダ３に鍵データを送信する（ＳＴ７）。

これに対し、鍵配信サーバ６は、該当する署名検証用鍵が登録済みではないと判断すると、該当する署名検証用鍵が登録済みではない旨の応答信号を携帯端末２に送信する。携帯端末２は、鍵配信サーバ６から応答信号を受信すると、鍵データの送信要求があったリーダ３が未登録である旨を表示部２ｄに表示する。

ところで、上述した動作において、携帯端末２がリーダ３と非接触通信可能な通信領域から外れた場合やタイムアウトした場合は、再度携帯端末２をリーダ３にかざし、リーダ３と非接触通信可能な通信領域内に存在させる。

このように、本例の鍵データ要求処理システム１において、携帯端末２は、未登録のリーダ３から鍵データの送信要求があると、この送信要求があったリーダ３の署名生成用鍵と対をなす署名検証用鍵が登録済みであるか否かを鍵配信サーバ６に問い合わせるべく問い合わせ信号を送信する。そして、鍵配信サーバ６は、携帯端末２から問い合わせ信号を受信し、問い合わせ信号のリーダ３の署名検証用鍵が登録済みであると判断すると、その署名検証用鍵を携帯端末２に送信して更新登録する。そして、携帯端末２は、鍵配信サーバ６からの署名検証用鍵を用いて鍵データの送信要求があったリーダ３の署名を検証し、署名を正常認証したときに限って鍵データをリーダ３に送信する。これにより、携帯端末２を鍵として利用する際、悪意のある第三者により設置されたリーダによる鍵データの詐取を防止でき、セキュリティの向上を図ることができる。

また、携帯端末２は、署名検証用鍵が登録済みのリーダ３から送信要求があった場合、既知のリーダ３からの鍵データの送信要求として、携帯端末２が保持している鍵データのうち、送信要求元のリーダ３を対象にしている鍵データを選択して送信する。これにより、既に登録済みのリーダ３から鍵データの送信要求があった場合には、即座に鍵データをリーダ３に送信し、鍵データを用いた処理動作（例えば、特定のゲートの開閉動作）に移行することができる。

１ 鍵データ要求処理システム
２ 携帯端末
２ａ 操作部
２ｂ 記憶部
２ｃ 非接触通信部
２ｄ 表示部
２ｅ 制御部
３ リーダ
３ａ 非接触通信部
３ｂ 記憶部
３ｃ 制御部
４ リーダ管理サーバ
５ 署名用鍵登録手段
６ 鍵配信サーバ

Claims (2)

1. 鍵データと該鍵データの配信を許可するリーダの署名検証用鍵が記憶される携帯端末と、
   署名生成用鍵の更新登録が可能とされ、該署名生成用鍵を用いた署名付き鍵データ要求信号を前記携帯端末と非接触通信して送信し、この署名付き鍵データ要求信号の送信に伴う前記携帯端末からの鍵データを取得して処理するリーダと、
   前記署名生成用鍵と対をなす署名検証用鍵の更新登録が可能とされるとともに、前記携帯端末に前記鍵データを配信する鍵配信サーバとを備え、
   前記携帯端末は、前記リーダから前記署名付き鍵データ要求信号を受信したときに、該署名付き鍵データ要求信号を送信した前記リーダが登録済みか否かを該リーダの署名生成用鍵と対をなす署名検証用鍵により判別し、登録済みでないと判断したリーダの署名生成用鍵と対をなす署名検証用鍵が登録済みか否かを前記鍵配信サーバに問い合わせする問い合わせ信号を送信し、
   前記鍵配信サーバは、前記携帯端末から問い合わせ信号を受信したときに、該当するリーダの署名検証用鍵が登録済みか否かを判別し、登録済みと判断したときの署名検証用鍵を前記携帯端末に配信することを特徴とする鍵データ要求処理システム。
2. 前記署名生成用鍵と、該署名生成用鍵と対をなす署名検証用鍵とを前記リーダ毎に生成するリーダ管理サーバを備えたことを特徴とする請求項１記載の鍵データ要求処理システム。

Images