JP6070152B2

JP6070152B2 - 暗号トークンおよび暗号処理システム

Info

Publication number: JP6070152B2
Application number: JP2012275441A
Authority: JP
Inventors: 正徳浅野
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2012-12-18
Filing date: 2012-12-18
Publication date: 2017-02-01
Anticipated expiration: 2032-12-18
Also published as: JP2014120974A

Description

本発明は、暗号演算機能を備えた暗号トークンに、暗号解読攻撃に対する耐タンパー性を持たせるための技術に関する。

従来から、半導体集積回路（ＩＣチップ）が実装された暗号トークンは耐タンパー性を有するデバイスとして、様々な分野で広く用いられている。例えば、暗号トークンの一つである接触型ＩＣカードは金融決済の分野で用いられ、暗号トークンの一つであるＵＩＭ（UIM: User Identity Module）は移動体通信の分野で用いられている。

暗号トークンは、外部のエンティティと暗号文を授受することが広く行われ、暗号トークンには、データを暗号化／復号する機能が備えられる。

暗号トークンに実装するＩＣチップの高機能化により、一つの暗号トークンが複数の暗号エンジンに対応することも珍しくなくなったが、複数の暗号エンジンに対応した暗号トークンであっても、表１のように、暗号エンジンは用途ごとに固定して割り当てられる。

これは、主として以下の理由によるものである。
（理由１）セキュリティレベルと暗号処理時間はトレードオフの関係にあるため、用途に応じて暗号エンジンを選択する必要がある。
（理由２）暗号エンジンによって処理単位は異なるため、一つの暗号エンジンに固定するとプログラムの実装がシンプルになる。

高セキュリティが求められる用途(金融取引、個人認証等)では、機密情報（例えば、暗号演算に用いる鍵）が暗号トークンに記憶されるため、暗号トークンは、外部攻撃者による暗号解読攻撃の対象となる。暗号トークンに対する暗号解読攻撃には、いくつかの手法が存在し、表２にその幾つかを列挙する。

表２に記した手法は、暗号演算に用いる鍵（暗号鍵や復号鍵）等を特定する手法であるが、ＳＰＡ／ＥＭＡを除き、原則として複数の暗号演算を行わなければならない点に注意が必要である。また、近来のＩＣチップはＳＰＡ／ＥＭＡに対する耐タンパー性をハードウェア的に備えており、単一の波形による暗号鍵の特定は現実的ではないことから、暗号トークンに対する暗号解読攻撃では、同一の鍵および暗号エンジンで、複数回の暗号演算を暗号トークンに行わせることが一般的になっている。

このような暗号解読攻撃に対して暗号トークンに耐タンパー性を持たせる手法として、暗号演算中に乱数処理を加え、暗号演算時にサイドチャネルから得られる信号を攪拌する手法（例えば、特許文献１）、雑音を発生させるなどのハードウェア的な対策でサイドチャネルから得られる信号を攪拌する手法（例えば、特許文献２）等、さまざまな手法が講じられている。

しかし、暗号解読攻撃に対して暗号トークンに耐タンパー性を持たせるこれまでの手法は、暗号演算時にサイドチャネルから得られる信号を攪拌するなどして、サイドチャネルから得られる信号を暗号解読攻撃に利用できないようにすることに着目した手法で、暗号トークンの内部状態に応じて、暗号演算時に用いる暗号エンジンを動的に切り替えることにより、攻撃者にとって予測困難な暗号演算を行うことに着目した手法ではなかった。

暗号トークンの一つであるＩＣカードの分野では、暗号トークンの内部状態として、コマンドの実行状況が、セキュリティや性能向上目的で広く活用されている。例えば、非特許文献１には、コマンドの実行状況として、コマンド(例えば、ＰＩＮを照合するベリファイコマンド)の失敗回数をカウントし、失敗回数が上限を超えた場合、一部の処理をブロックして実行不可能にする旨が記載されている。また、特許文献３には、コマンドの実行状況として、アプリケーションの実行回数をカウントし、実行回数の多いアプリケーションを優先的に実行させる旨が記載されている。

しかしながら、これまで、暗号トークン内におけるコマンドの実行状況は、暗号演算に用いる暗号エンジンを動的に切り替える用途で用いられていなかった。

特開２００９−５１６４号公報特開２００７−１１６２１５号公報特許第４１６２７８６号公報

ETSI TS 102.221 Smart Cards;UICC-Terminal interface;Physical and logical characteristics

そこで、本発明は、暗号トークン内におけるコマンドの実行状況に応じて、暗号演算に用いる暗号エンジンを動的に切り替える暗号トークン、および、該暗号トークンを用いる暗号処理システムを提供することを目的とする。

上述した課題を解決する第１の発明は、暗号トークン内におけるコマンドの実行状況に応じて、暗号演算に用いる暗号エンジンを動的に切り替えることができるようにした暗号トークンで、前記暗号トークンは、それぞれ異なる暗号アルゴリズムに対応した複数の暗号エンジンと、コマンドの実行結果として、コマンド処理した回数を記録するコマンド実行回数が含まれる実行記録情報を有し、外部のエンティティからコマンドを受信すると、外部のエンティティから受信したコマンドをコマンド処理した後、前記コマンド実行回数をインクリメントすることで、コマンド処理の結果に基づいて前記実行記録情報を更新するトークン制御手段と、前記トークン制御手段から暗号演算の指示を受けると、この時の前記実行記録情報に含まれる前記コマンド実行回数に基づいて前記暗号エンジンを選択することで、この時の前記実行記録情報を用いて一つの前記暗号エンジンを選択し、前記トークン制御手段から指示された暗号演算を選択した前記暗号エンジンに実行させる暗号エンジン選択手段とを備える。外部のエンティティから受信したコマンドデータの暗号文を復号できるように、前記暗号トークンの前記トークン制御手段は、外部のエンティティから受信したコマンドのコマンドデータが暗号化されている際、暗号化されているコマンドデータの復号を前記暗号エンジン選択手段に指示し、前記暗号エンジン選択手段が、外部のエンティティから受信したコマンドのコマンドデータの暗号文を復号すると、外部のエンティティから受信したコマンドに対応するコマンド処理を実行して前記コマンド実行回数をインクリメントする。また、外部のエンティティへ送信するレスポンスデータを暗号化できるように、前記暗号トークンの前記トークン制御手段は、外部のエンティティに送信するレスポンスデータを暗号化する際、外部のエンティティから受信したコマンドに対応するコマンド処理を実行し前記コマンド実行回数をインクリメントしてから、レスポンスデータの暗号化を前記暗号エンジン選択手段に指示する。

更に、第２の発明は、第１の発明に記載の暗号トークンにおいて、前記暗号エンジン選択手段は、前記コマンド実行回数をパラメータとする数式を用いて前記暗号エンジンを選択する発明である。

更に、第３の発明は、第１の発明に記載の暗号トークンにおいて、前記暗号エンジン選択手段は、前記コマンド実行回数に対応する前記暗号エンジンを記した乱数表を用いて前記暗号エンジンを選択する発明である。

更に、第４の発明は、暗号トークンとサーバ間で暗号文を授受する暗号処理システムであって、前記暗号トークンは、第１の発明と同様に、それぞれ異なる暗号アルゴリズムに対応した複数の暗号エンジンと、コマンドの実行結果として、コマンド処理した回数を記録するコマンド実行回数が含まれる実行記録情報を有し、前記サーバからコマンドを受信すると、前記サーバから受信したコマンドをコマンド処理した後、前記実行記録情報のコマンド実行回数をインクリメントすることで、コマンド処理の結果に基づいて前記実行記録情報を更新するトークン制御手段と、前記トークン制御手段から暗号演算の指示を受けると、前記実行記録情報の前記コマンド実行回数に基づいて前記暗号エンジンを選択することで、この時の前記実行記録情報を用いて一つの前記暗号エンジンを選択し、前記トークン制御手段から指示された暗号演算を選択した前記暗号エンジンに実行させる暗号エンジン選択手段を備え、前記トークン制御手段は、前記サーバから受信したコマンドのコマンドデータが暗号化されている際、暗号化されているコマンドデータの復号を前記暗号エンジン選択手段に指示し、前記暗号エンジン選択手段が、前記サーバから受信したコマンドのコマンドデータの暗号文を復号すると、前記サーバから受信したコマンドに対応するコマンド処理を実行して前記コマンド実行回数をインクリメントし、前記サーバに送信するレスポンスデータを暗号化する際、前記サーバから受信したコマンドに対応するコマンド処理を実行し前記実行記録情報のコマンド実行回数をインクリメントしてから、レスポンスデータの暗号化を前記暗号エンジン選択手段に指示する。

また、第４の発明にかかる前記サーバは、前記暗号トークンが有する前記暗号エンジンにそれぞれ対応した複数のサーバ暗号エンジンと、前記暗号トークン内におけるコマンドの実行結果として、前記暗号トークンがコマンド処理を実行すると一つインクリメントされるコマンド実行回数を含むサーバ実行記録情報を有し、前記暗号トークンへコマンドを送信した後、レスポンスを前記暗号トークンから受信すると、前記サーバ実行記録情報のコマンド実行回数をインクリメントすることで、前記レスポンスの内容に基づいて前記サーバ実行記録情報を更新するサーバ制御手段と、前記サーバ制御手段から暗号演算の指示を受けると、前記サーバ実行記録情報のコマンド実行回数に基づいて前記暗号エンジンを選択することで、この時の前記サーバ実行記録情報を用いて一つの前記サーバ暗号エンジンを選択し、前記サーバ制御手段から指示された暗号演算を選択した前記サーバ暗号エンジンに実行させるサーバ暗号エンジン選択手段を備え、前記サーバ制御手段は、前記暗号トークンに送信するコマンドのコマンドデータを暗号化する際、コマンドデータの暗号化を前記暗号エンジン選択手段に指示し、コマンドデータが暗号文のコマンドを前記暗号トークンへ送信した後、レスポンスを前記暗号トークンから受信すると、前記サーバ実行記録情報のコマンド実行回数をインクリメントし、前記暗号トークンから受信したレスポンスデータを復号する際、レスポンスを前記暗号トークンから受信し前記サーバ実行記録情報のコマンド実行回数をインクリメントしてから、レスポンスデータの復号を前記サーバ暗号エンジン選択手段に指示する。

更に、第５の発明は、第４の発明に記載した暗号処理システムにおいて、前記実行記録情報と前記サーバ実行記録情報の同期がずれたときに対処できるようにした発明で、前記暗号トークンは、前記暗号トークン内の前記実行記録情報を読み出す同期コマンドを前記サーバから受信すると、前記実行記録情報を更新することなく、レスポンスデータに前記実行記録情報を含ませた前記同期コマンドのレスポンスを送信する同期コマンド処理手段を備え、前記サーバは、前記同期コマンドを前記暗号トークンへ送信し、前記同期コマンドのレスポンスを受信すると、レスポンスデータに含まれる前記実行記録情報を用いて、前記サーバ実行記録情報を更新する同期制御手段を備えていることを特徴とする。

更に、第６の発明は、第５の発明に記載した暗号処理システムにおいて、前記暗号トークンから前記サーバへ送信する前記実行記録情報を暗号文にした発明で、前記暗号トークンの前記同期コマンド処理手段は、前記暗号エンジンの一つを用いて生成した前記実行記録情報の暗号文と前記実行記録情報から演算したチェックコードを前記同期コマンドのレスポンスデータに含ませ、前記サーバの前記同期制御手段は、前記サーバ暗号エンジンを用いて、レスポンスデータに含まれる前記実行記録情報の暗号文を復号し、前記実行記録情報の暗号文を復号して得られた平文から演算したチェックコードとレスポンスデータに含まれるチェックコードを照合する処理を、前記サーバ暗号エンジンを変更しながらチェックコードの照合に成功するまで行い、チェックコードの照合に成功した時の前記平文を用いて前記サーバ実行記録情報を更新することを特徴とする。

上述した本発明によれば、暗号トークン内におけるコマンドの実行状況に応じて、暗号演算に用いる暗号エンジンを動的に切り替える暗号トークン、および、該暗号トークンを用いる暗号処理システムを提供できる。

本実施形態にかかる暗号処理システムを説明する図。暗号トークンの動作を説明する図。暗号エンジン選択の実施例１を説明する図。暗号エンジン選択の実施例２を説明する図。暗号エンジン選択の実施例３を説明する図。サーバの動作を説明する図。暗号トークンとサーバ間で情報の同期を取るための機能を説明する図。暗号トークンとサーバ間で情報の同期を取るときの動作を説明する図。

以下、本発明の好適な実施形態を記載する。なお、以下記載は本発明の範囲を束縛するものでなく、理解を助けるために記述するものである。

図１は、本実施形態にかかる暗号処理システム１を説明する図である。図１で図示した暗号処理システム１は、暗号トークン２とサーバ３間において暗号文を授受するシステムで、暗号トークン２は、暗号解読攻撃に対する耐タンパー性を持たせるために、暗号トークン２内におけるコマンドの実行状況に応じて、暗号トークン２に実装されている暗号エンジン２３を動的に切り替えるように設計されている。

図１で図示した暗号トークン２について説明する。暗号トークン２とは、ＩＣチップが実装された記録担体を意味し、本実施形態では、暗号トークン２の一例として接触型ＩＣカードを記載しているが、暗号トークン２の形態は接触型ＩＣカードに限らず、非接触型ＩＣカードやＳＩＭ（Subcarrier Identify Module）であってもよい。

また、暗号トークン２の他の形態としては、ＩＣカード用のＩＣチップが実装されたメモリカードであるセキュアメモリカードや、ＮＦＣ（Near Field Communication）に対応した移動体通信端末に実装されるＣＬＦ（ContactLess Front-end）チップも想定できる。

暗号トークン２の形態によって、暗号トークン２のハードウェア構成は異なるため、暗号トークン２のハードウェア構成について詳細に説明しないが、暗号トークン２を接触型ＩＣカードとする際、暗号トークン２のＩＣチップには、ＩＣチップ全体を制御するＣＰＵ（Central Processing Unit）と、一時的なデータを保存するためのメモリであるＲＡＭ（Random Access Memory）と、読み出し専用のメモリであるＲＯＭ（Read-Only Memory）と、データやプログラムコードを保存するための書き換え可能な不揮発性メモリと、サーバ３に接続されたターミナル３ａと電気的に接続するインターフェースを備えている。

なお、本実施形態の暗号トークン２は暗号演算機能を有していることが前提となるため、暗号トークン２は、暗号演算の機能に特化したコプロセッサを備えていることが好適であるが、暗号演算機能の全てをソフトウェアで実現してもよい。

暗号トークン２に備えられた機能について説明する。図１に図示したように、本実施形態の暗号トークン２は、それぞれ異なる暗号アルゴリズムに対応した複数の暗号エンジン２３（ここでは、暗号エンジン２３ａからｃの３つ）と、コマンドの実行結果を記録する実行記録情報２２を有し、外部のエンティティ（ここでは、サーバ３）からコマンドを受信すると、サーバ３から受信したコマンドをコマンド処理した後、コマンド処理の結果に基づいて実行記録情報２２を更新するトークン制御手段２０と、トークン制御手段２０から暗号演算の指示を受けると、この時の実行記録情報２２を用いて一つの暗号エンジン２３を選択し、トークン制御手段２０から指示された暗号演算を選択した暗号エンジン２３に実行させる暗号エンジン選択手段２１を備える。

実行記録情報２２は、暗号トークン２のトークン制御手段２０によって更新され、暗号エンジン選択手段２１が暗号演算に用いる暗号エンジン２３を選択する際に参照する情報で、本実施形態において実行記録情報２２には、コマンド処理を実行すると一つインクリメントされるコマンド実行回数２２ａと、コマンド処理が異常終了すると一つインクリメントされるコマンド異常終了回数２２ｂが含まれる。

なお、実行記録情報２２には、コマンド成功回数など上述した以外の情報を含ませることができ、実行記録情報２２に複数の情報を含ませる場合であっても、実行記録情報２２に含ませる全ての情報を暗号エンジン２３の選択に用いる必要はない。

本実施形態の暗号トークン２が、複数（図１では３つ）の暗号エンジン２３を有しているのは、暗号演算に用いる暗号エンジン２３を動的に切り替えることができるようにするためで、暗号トークン２は、暗号エンジン２３に加え、暗号エンジン２３に対応するトークン鍵２４を有している。

暗号エンジン２３に対応するトークン鍵２４とは、暗号エンジン２３を実行する時のパラメータとなる鍵で、該鍵としては、データを暗号化する際に用いる暗号鍵と、暗号文を復号する際に用いる復号鍵があるが、本実施形態では、暗号鍵と復号鍵を区別せずにトークン鍵２４として記載する。なお、暗号鍵と復号鍵のいずれかを利用するかは文脈から明らかである。

図２は、暗号トークン２の動作を説明する図である。サーバ３が送信したコマンドを暗号トークン２が受信すると（Ｓ１）、暗号トークン２のトークン制御手段２０は、サーバ３が送信したコマンドのコマンドデータが暗号文であるか確認する（Ｓ２）。なお、サーバ３が送信したコマンドのコマンドデータが暗号文であるか否かは、サーバ３が送信したコマンドのコマンドヘッダによって示されるのが一般的である。

コマンドデータが暗号文でない場合、図２のＳ５に進み、暗号トークン２のトークン制御手段２０は、サーバ３が送信したコマンドに対応するコマンド処理を実行する。

コマンドデータが暗号文の場合、暗号トークン２のトークン制御手段２０は、コマンドデータの暗号文の復号を暗号エンジン選択手段２１に指示し、暗号エンジン選択手段２１は、この時点の実行記録情報２２を参照し、予め設定されているアルゴリズムに基づいて暗号エンジン２３を選択する暗号エンジン選択処理（Ｓ３）を行う。

例えば、暗号エンジン選択処理（Ｓ３）において、コマンド実行回数２２ａに基づいて暗号エンジン２３を選択する場合、この時点におけるコマンド実行回数２２ａが「ｎ」ならば、この暗号エンジン選択処理（Ｓ３）では、この時点におけるコマンド実行回数２２ａの値「ｎ」に基づいて暗号エンジン２３は選択されることになる。

暗号エンジン選択処理（Ｓ３）において暗号エンジン２３を選択すると、暗号トークン２の暗号エンジン選択手段２１は、暗号エンジン選択手段２１が選択した暗号エンジン２３と該暗号エンジン２３のトークン鍵２４を用いて、トークン制御手段２０から指示された暗号演算（ここでは、コマンドデータの暗号文の復号）を実行する（Ｓ４）。

暗号エンジン選択手段２１が、コマンドのコマンドデータを復号する処理を実行すると、図２のＳ５に進み、暗号トークン２のトークン制御手段２０は、サーバ３が送信したコマンドに対応したコマンド処理を実行する。

本実施形態では、コマンド実行回数２２ａを実行記録情報２２に含ませているため、暗号トークン２のトークン制御手段２０は、サーバ３が送信したコマンドに対応した処理を実行すると、実行記録情報２２に含まれるコマンド実行回数２２ａを一つだけインクリメントする（Ｓ６）。例えば、コマンド処理する前のコマンド実行回数２２ａが「ｎ」ならば、コマンド処理した後のコマンド実行回数２２ａは「ｎ＋１」になる。

また、本実施形態では、コマンド異常終了回数２２ｂを実行記録情報２２に含ませているため、暗号トークン２のトークン制御手段２０は、サーバ３が送信したコマンドに対応した処理の結果を確認し（Ｓ６）、コマンド処理が異常終了の場合、実行記録情報２２に含まれるコマンド異常終了回数２２ｂを一つだけインクリメントする（Ｓ８）。例えば、コマンド処理する前のコマンド異常終了回数２２ｂが「ｍ」ならば、コマンド処理が異常終了の場合、コマンド異常終了回数２２ｂは「ｍ＋１」にインクリメントされる。

次に、暗号トークン２のトークン制御手段２０は、サーバ３へ送信するレスポンスにレスポンスデータがあるか確認し（Ｓ９）、レスポンスデータがない場合、暗号トークン２は、コマンド処理の処理結果を示すＳＷ（ＳｔａｔｕｓＷｏｒｄ）のみのレスポンスをサーバ３に送信して（Ｓ１４）、この手順は終了する。

サーバ３へ送信するレスポスにレスポンスデータがある場合、暗号トークン２のトークン制御手段２０は、サーバ３に送信するレスポンスのレスポンスデータを暗号化するか確認する（Ｓ１０）。なお、サーバ３に送信するレスポンスのレスポンスデータを暗号化するか否かは、サーバ３が送信したコマンドのコマンドヘッダによって示されるのが一般的である。

サーバ３に送信するレスポンスのレスポンスデータを暗号化しない場合、暗号トークン２は、レスポンスデータの平文とＳＷを含むレスポンスをサーバ３に送信して（Ｓ１５）、この手順は終了する。

サーバ３に送信するレスポンスのレスポンスデータを暗号化する場合、トークン制御手段２０は、レスポンスデータの暗号化を暗号エンジン選択手段２１に指示し、暗号エンジン選択手段２１は、この時点の実行記録情報２２を参照し、予め設定されているアルゴリズムに基づいて暗号エンジン２３を選択する暗号エンジン選択処理（Ｓ１１）を行う。

例えば、暗号エンジン選択処理（Ｓ１１）において、コマンド実行回数２２ａに基づいて暗号エンジン２３を選択する場合、コマンド処理する前のコマンド実行回数２２ａが「ｎ」ならば、この暗号エンジン選択処理（Ｓ１１）では、この時点におけるコマンド実行回数２２ａの値「ｎ＋１」に基づいて暗号エンジン２３は選択されることになる。

暗号エンジン選択処理（Ｓ１１）において暗号エンジン２３を選択すると、暗号トークン２の暗号エンジン選択手段２１は、暗号エンジン選択手段２１が選択した暗号エンジン２３と該暗号エンジン２３に対応するトークン鍵２４を用いて、トークン制御手段２０から指示された暗号演算（ここでは、レスポンスデータの暗号化）を実行する（Ｓ１２）。

暗号トークン２の暗号エンジン選択手段２１が、トークン制御手段２０から指示されたレスポンスのレスポンスデータを暗号化すると、暗号トークン２は、レスポンスデータの暗号文とＳＷを含むレスポンスをサーバ３に送信して（Ｓ１３）、この手順は終了する。

本実施形態では、暗号トークン２の暗号エンジン選択手段２１が実行する暗号エンジン選択処理の内容は任意に決定でき、これにより、暗号トークン２のセキュリティポリシーを柔軟に設定することができる。ここから、暗号エンジン選択の実施例につき記載する。

（暗号エンジン選択の実施例１）
暗号エンジン選択の実施例１は、最も基本的な方式で、暗号トークン２が有する暗号エンジン２３それぞれに予め番号を付与し、実行記録情報２２のコマンド実行回数２２ａをパラメータとする数式を用いて、コマンド実行回数２２ａから暗号エンジン２３の番号を演算する実施例である。

例えば、暗号エンジン２３を選択する時に利用する数式を数式１とすることで、暗号演算に用いる暗号エンジン２３が順番に切り替わるようになる。

図３は、暗号エンジン選択の実施例１を説明する図である。暗号エンジン選択の実施例１において、暗号トークン２の暗号エンジン選択手段２１は、まず、コマンド実行回数２２ａを実行記録情報２２から取得する（Ｓ２０）。

次に、暗号トークン２の暗号エンジン選択手段２１は、コマンド実行回数２２ａをパラメータとする数式を用いて暗号エンジン２３の番号を演算する（Ｓ２１）。例えば、上述の数式１を用いて、コマンド実行回数２２ａから暗号エンジン２３の番号が演算される。

そして、暗号トークン２の暗号エンジン選択手段２１は、演算した番号に対応する暗号エンジン２３と該暗号エンジン２３に対応するトークン鍵２４を選択して（Ｓ２２）、この手順は終了する。

（暗号エンジン選択の実施例２）
次に、暗号エンジン選択の実施例２について説明する。上述の実施例１の場合、コマンド実行回数２２ａをパラメータとする数式により暗号エンジン２３の番号を演算するため、暗号エンジン２３が順番に切り替わるなど、暗号エンジン２３の選択結果に規則性が生じるため、暗号エンジン選択の実施例２では、コマンド実行回数２２ａに基づいて暗号エンジン２３をランダムに選択するようにしている。

コマンド実行回数２２ａに基づいて暗号エンジン２３をランダムに選択するためには、表３のような乱数表をあらかじめ用意しておき、該乱数表を参照し、コマンド実行回数２２ａ（ここでは、下二桁）に対応する暗号エンジン２３の番号を選択する。

図４は、暗号エンジン選択の実施例２を説明する図である。暗号エンジン選択の実施例２において、暗号トークン２の暗号エンジン選択手段２１は、まず、実行記録情報２２からコマンド実行回数２２ａを取得する（Ｓ３０）。

次に、暗号トークン２の暗号エンジン選択手段２１は、乱数表を参照して、コマンド実行回数２２ａに対応する暗号エンジン２３の番号を求め（Ｓ３１）、求めた番号に対応する暗号エンジン２３と該暗号エンジン２３に対応するトークン鍵２４を選択して（Ｓ３２）、この手順は終了する。

（暗号エンジン選択の実施例３）
暗号エンジン選択の実施３について説明する。上記の実施例１、２は、コマンド処理が実行される毎に暗号エンジン２３が動的に切り替わることになるが、暗号解読攻撃を受けてコマンド処理が異常終了する回数が増えた場合に、暗号エンジン２３が切り替わるようにすることも可能である。

暗号エンジン選択の実施例３では、暗号エンジン２３の選択にコマンド異常終了回数２２ｂが用いられ、少なくとも、コマンド異常終了回数２２ｂが上限値を超えた時に用いる暗号エンジン２３が暗号トークン２に設定される。

コマンド異常終了回数２２ｂが上限値を超えた時に用いる暗号エンジン２３を堅牢なもの（例えば、公開鍵暗号方式）にしておけば、コマンド異常終了回数２２ｂが上限値を超えると、堅牢な暗号エンジン２３に切り替えることができる。

図５は、暗号エンジン選択の実施例３を説明する図である。暗号エンジン選択の実施例３において、暗号トークン２の暗号エンジン選択手段２１は、まず、実行記録情報２２からコマンド異常終了回数２２ｂを取得する（Ｓ４０）。

次に、暗号トークン２の暗号エンジン選択手段２１は、コマンド異常終了回数２２ｂが、予め設定されている上限値を超えているか確認し（Ｓ４１）、コマンド異常終了回数２２ｂが上限値を超えていなければ、上限値以下の時に用いる暗号エンジン２３と該暗号エンジン２３に対応したトークン鍵２４を選択して（Ｓ４３）、この手順は終了する。

また、暗号トークン２の暗号エンジン選択手段２１は、コマンド異常終了回数２２ｂが上限値を超えていれば、コマンド異常終了回数２２ｂが上限値を超えた時に用いる暗号エンジン２３と該暗号エンジン２３に対応したトークン鍵２４を選択して（Ｓ４２）、この手順は終了する。

このように、本実施形態の暗号トークン２によれば、暗号トークン２が記憶している実行記録情報２２は、暗号トークン２のトークン制御手段２０が、サーバ３から受信したコマンドを処理すると更新され、更に、暗号トークン２の暗号エンジン選択手段２１は、実行記録情報２２に基づいて暗号演算に用いる暗号エンジン２３を選択するため、暗号演算に用いる暗号エンジン２３は、暗号トークン２内におけるコマンドの実行状況に応じて、動的に切り替わることになる。

次に、図１で図示したサーバ３について説明する。サーバ３とは、ターミナル３ａを介して、暗号トークン２とデータ通信する装置である。サーバ３と接続されたターミナル３ａの形態は暗号トークン２の形態に依存する。例えば、暗号トークン２が接触型ＩＣカードの場合、該ターミナル３ａはクレジット端末の形態になり、また、暗号トークン２がＳＩＭの形態ならば、該ターミナル３ａは移動体通信端末の形態になる。

サーバ３に備えられた機能について説明する。上述したように、暗号トークン２は、暗号トークン２内におけるコマンドの実行状況に応じて、暗号演算に用いる暗号エンジン２３を動的に切り替えるため、暗号トークン２とデータ通信するサーバ３にも同様の機能が必要になる。

図１に図示したように、本実施形態のサーバ３は、暗号トークン２が有する暗号エンジン２３にそれぞれ対応した複数のサーバ暗号エンジン３３と、暗号トークン２内におけるコマンドの実行結果を記録するサーバ実行記録情報３２を有し、暗号トークン２へコマンドを送信した後、コマンドのレスポンスを受信すると、レスポンスの内容に基づいてサーバ実行記録情報３２を更新するサーバ制御手段３０と、サーバ制御手段３０から暗号演算の指示を受けると、この時のサーバ実行記録情報３２を用いて一つのサーバ暗号エンジン３３を選択し、サーバ制御手段３０から指示された暗号演算を選択したサーバ暗号エンジン３３に実行させるサーバ暗号エンジン選択手段３１を備える。

本実施形態のサーバ３が有するサーバ実行記録情報３２は、暗号トークン２の実行記録情報２２と同期が取られる情報で、本実施形態において、サーバ実行記録情報３２には、暗号トークン２の実行記録情報２２と同様に、暗号トークン２がコマンド処理を実行すると一つインクリメントされるコマンド実行回数３２ａと、暗号トークン２におけるコマンド処理が異常終了すると一つインクリメントされる異常終了回数３２ｂが含まれる。

また、サーバ暗号エンジン３３を動的に切り替えることができるように、本実施形態のサーバ３は、複数のサーバ暗号エンジン３３とそれぞれのサーバ暗号エンジン３３に対応したサーバ鍵３４を有し、これらは暗号トークン２が有するものと対になるものになる。

例えば、図１では、暗号トークン２は、暗号エンジン２３ａからｃとトークン鍵２４ａからｃを有しているため、図１のサーバ３は、サーバ暗号エンジン３３として、暗号エンジン２３ａと対になるサーバ暗号エンジン３３ａと、暗号エンジン２３ｂと対になるサーバ暗号エンジン３３ｂと、暗号エンジン２３ｃと対になるサーバ暗号エンジン３３ｃを有している。更に、図１のサーバは、サーバ鍵３４として、トークン鍵２４ａと対になるサーバ鍵３４ａと、トークン鍵２４ｂと対になるサーバ鍵３４ｂと、トークン鍵２４ｃと対になるサーバ鍵３４ｃを有している。

図６は、サーバ３の動作を説明する図である。サーバ３のサーバ制御手段３０には、予め、暗号トークン２を利用するトランザクションのフローが設定され、暗号トークン２にコマンドを送信する際、該トランザクションの進捗状況に対応したコマンドを選択する（Ｓ５０）。

サーバ３のサーバ制御手段３０は、選択したコマンドが、コマンドデータがあるコマンドであるか確認し（Ｓ５１）、コマンドデータがないコマンドであれば、図６のＳ５７に進み、サーバ３は、コマンドデータがないコマンドを暗号トークン２へ送信する。

コマンドデータがあるコマンドであれば、サーバ３のサーバ制御手段３０は、コマンドデータを暗号化するコマンドであるか確認し（Ｓ５２）、コマンドデータを暗号化するコマンドでない場合、図６のＳ５６に進み、サーバ３は、コマンドデータが平文のコマンドを暗号トークン２へ送信する。

コマンドデータを暗号化するコマンドであれば、サーバ３のサーバ制御手段３０は、コマンドデータの暗号化をサーバ暗号エンジン選択手段３１に指示し、サーバ暗号エンジン選択手段３１は、この時点のサーバ実行記録情報３２を参照し、予め設定されているアルゴリズムに基づいてサーバ暗号エンジン３３を選択するサーバ暗号エンジン選択処理（Ｓ５３）を行う。

例えば、サーバ暗号エンジン選択処理（Ｓ５３）において、コマンド実行回数３２ａに基づいてサーバ暗号エンジン３３を選択する場合、この時のコマンド実行回数３２ａが「ｎ」ならば、サーバ暗号エンジン選択処理（Ｓ５３）では、この時点におけるコマンド実行回数３２ａの値である」ｎ」に基づいて、コマンドデータを暗号化するサーバ暗号エンジン３３は選択されることになる。

サーバ暗号エンジン選択処理（Ｓ５３）においてサーバ暗号エンジン３３が選択されると、サーバ３のサーバ暗号エンジン選択手段３１は、サーバ暗号エンジン選択手段３１が選択したサーバ暗号エンジンと該サーバ暗号エンジンに対応するサーバ鍵３４を用いて、サーバ暗号エンジン選択手段３１から指示された暗号演算（ここでは、コマンドデータの暗号化）を実行する（Ｓ５４）。

そして、サーバ３のサーバ暗号エンジン選択手段３１がコマンドデータを暗号化すると、サーバ３は、コマンドデータが暗号文のコマンドを暗号トークン２へ送信する（Ｓ５５）。

図６のＳ５５〜５７のいずれかにおいて、サーバ３から暗号トークン２に対してコマンドが送信されると、暗号トークン２側で図２の手順が実行されて、暗号トークン２からサーバ３に対してレスポンスが送信され、サーバ３は、暗号トークン２からレスポンスを受信する（Ｓ５８）。

暗号トークン２では、サーバ３が送信したコマンドが処理されると、レスポンスを送信する前にコマンド実行回数３２ａが一つだけインクリメントされるため、サーバ３のサーバ制御手段３０は、暗号トークン２内のコマンド実行回数３２ａとサーバ３内のコマンド実行回数３２ａの同期を取るために、暗号トークン２からレスポンスが送信されると、サーバ実行記録情報３２に含まれるコマンド実行回数３２ａを一つだけインクリメントする（Ｓ５９）。

例えば、コマンドを送信する前のコマンド実行回数３２ａが「ｎ」ならば、レスポンスを受信した後のコマンド実行回数３２ａは「ｎ＋１」になり、暗号トークン２内の第１のコマンド実行回数２２ａとサーバ３内のコマンド実行回数３２ａの同期が取られる。

次に、サーバ３のサーバ制御手段３０は、暗号トークン２から受信したレスポンスのＳＷによって正常終了が示されているか確認し（Ｓ６０）、ＳＷによって正常終了が示されていない場合のみ、サーバ実行記録情報３２に含まれる異常終了回数３２ｂを一つだけインクリメントする（Ｓ６１）。

例えば、コマンドを送信する前の異常終了回数３２ｂが「ｍ」ならば、レスポンスのＳＷによって正常終了が示されていない場合、異常終了回数３２ｂは「ｍ＋１」になり、暗号トークン２内の第１のコマンド異常終了回数２２ｂとサーバ３内の異常終了回数３２ｂの同期が取られる。

次に、サーバ３のサーバ制御手段３０は、暗号トークン２から受信したレスポンスにレスポンスデータがあるか確認し（Ｓ６２）、レスポンスデータがない場合、図６のＳ６６に進み、レスポンスに対応する処理を実行して、この手順は終了する。

また、暗号トークン２から受信したレスポンスにレスポンスデータがある場合、サーバ３のサーバ制御手段３０は、暗号トークン２から受信したレスポンスのレスポンスデータが暗号文であるか確認する（Ｓ６３）。

暗号トークン２から受信したレスポンスのレスポンスデータが暗号文でない場合、サーバ３のサーバ制御手段３０は、図６のＳ６６に進み、レスポンスに対応する処理を実行して、この手順は終了する。

暗号トークン２から受信したレスポンスのレスポンスデータが暗号文の場合、サーバ３のサーバ制御手段３０は、レスポンスデータの復号をサーバ暗号エンジン選択手段３１に指示し、サーバ暗号エンジン選択手段３１は、この時点のサーバ実行記録情報３２を参照し、予め設定されているエンジンに基づいてサーバ暗号エンジン３３を選択するサーバ暗号エンジン選択処理（Ｓ６４）を行う。

例えば、サーバ暗号エンジン選択処理（Ｓ６４）において、コマンド実行回数３２ａに基づいてサーバ暗号エンジン３３を選択する場合、レスポンスを受信する前のコマンド実行回数３２ａが「ｎ」ならば、サーバ暗号エンジン選択処理（Ｓ６４）では、この時点におけるコマンド実行回数３２ａの値「ｎ＋１」に基づいて、レスポンスデータを復号するサーバ暗号エンジン３３は選択されることになる。

サーバ暗号エンジン選択処理（Ｓ６４）においてサーバ暗号エンジン３３を選択すると、サーバ３のサーバ暗号エンジン選択手段３１は、選択したサーバ暗号エンジン３３と該サーバ暗号エンジン３３に対応するサーバ鍵３４を用いて、サーバ制御手段３０から指示された暗号演算（ここでは、レスポンスデータの復号）を実行する（Ｓ６５）。

そして、サーバ３のサーバ暗号エンジン選択手段３１がレスポンスデータを復号すると、サーバ制御手段３０は、図６のＳ６６に進み、レスポンスに対応する処理を実行して、この手順は終了する。

なお、サーバ３のサーバ暗号エンジン選択手段３１が実行するサーバ暗号エンジン選択処理の内容は、サーバ３とデータ通信する暗号トークン２の暗号エンジン選択手段２１が実行する内容と同じになる。例えば、暗号トークン２の暗号エンジン選択手段２１が上述の実施例１を実行する場合、サーバ３のサーバ暗号エンジン選択手段３１が実行するサーバ暗号エンジン選択処理の内容は上述の実施例１になる。

このように、本実施形態のサーバ３によれば、サーバ３が記憶しているサーバ実行記録情報３２は、暗号トークン２からレスポンスを受信すると更新され、更に、サーバ３のサーバ暗号エンジン選択手段３１は、暗号トークン２内の実行記録情報２２と同期するサーバ実行記録情報３２に基づいて暗号演算に用いるサーバ暗号エンジン３３を選択するため、暗号トークン２側で、暗号トークン２内におけるコマンドの実行状況に応じて、暗号演算に用いるサーバ暗号エンジン３３が動的に切り替わる場合であっても、サーバ３側で暗号トークン２との暗号文の授受が可能になる。

しかし、本実施形態の暗号処理システム１において暗号トークン２とサーバ３間で暗号文の授受が可能になる条件として、暗号トークン２内の実行記録情報２２とサーバ３内のサーバ実行記録情報３２が同期していることが前提になるが、暗号トークン２が送信したレスポンスをサーバ３が受信できなかった場合、暗号トークン２内の実行記録情報２２とサーバ３内のサーバ実行記録情報３２の同期がずれるため、暗号トークン２内の実行記録情報２２とサーバ３内のサーバ実行記録情報３２の同期を取れる仕組みを設けることが望ましい。

図７は、暗号トークン２とサーバ３間で情報の同期を取るための機能を説明する図で、図７では、図１で図示したトークン制御手段２０やサーバ制御手段３０などの機能を省略し、同期を取るために備えられる手段以外は、図１と同じ符号を付している。

図７に図示したように、サーバ３は、暗号トークン２内の実行記録情報２２とサーバ３内のサーバ実行記録情報３２の同期を取る機能として、暗号トークン２に記憶されている実行記録情報２２を読み取り、サーバ３内のサーバ実行記録情報３２を更新する同期制御手段３５を備える。また、暗号トークン２は、サーバ３から同期コマンドを受信すると、暗号トークン２内の実行記録情報２２を含むレスポンスをサーバ３へ送信する同期コマンド処理手段２５を備える。

図８は、暗号トークン２とサーバ３間で情報の同期を取るときの動作を説明する図である。サーバ３のサーバ制御手段３０は、暗号トークン２からレスポンスを受信できなかった時など、実行記録情報２２とサーバ実行記録情報３２の同期が必要と判断すると、サーバ３の同期制御手段３５を作動させ、サーバ３の同期制御手段３５は同期コマンドを暗号トークン２へ送信する（Ｓ７０）。

暗号トークン２は同期コマンドをサーバ３から受信すると（Ｓ７１）、同期コマンド処理手段２５を作動させ、同期コマンド処理手段２５は、この時点の実行記録情報２２を読み取り（Ｓ７２）、読み取った実行記録情報２２のチェックコードを演算する（Ｓ７３）。

次に、暗号トークン２の同期コマンド処理手段２５は、実行記録情報２２の暗号化を暗号エンジン選択手段２１に指示し、暗号エンジン選択手段２１は、この時の実行記録情報２２（例えば、コマンド実行回数２２ａ）を用いて暗号エンジン２３を選択する（Ｓ７４）。

そして、暗号トークン２の暗号エンジン選択手段２１は、選択した暗号エンジン２３と該暗号エンジン２３に対応したトークン鍵２４を用いて実行記録情報２２を暗号化する（Ｓ７５）。

暗号トークン２の暗号エンジン選択手段２１が実行記録情報２２を暗号化すると、暗号トークン２の同期コマンド処理手段２５は、実行記録情報２２の暗号文とチェックコードの平文をレスポンスデータとするレスポンスをサーバ３へ送信する（Ｓ７６）。

サーバ３の同期制御手段３５は、同期コマンドのレスポンスを暗号トークン２から受信すると（Ｓ７７）、予め定められたサーバ暗号エンジン３３を選択して（Ｓ７８）、レスポンスデータに含まれる実行記録情報２２の暗号文を復号する（Ｓ７９）。

サーバ３の同期制御手段３５は、レスポンスデータに含まれる実行記録情報２２の暗号文を復号すると、実行記録情報２２の暗号文を復号して得られた平文からチェックコードを演算し、演算したチェックコードとレスポンスデータに含まれるチェックコードを照合する（Ｓ８０）。

そして、チェックコードの照合に失敗した場合、サーバ３の同期制御手段３５は、サーバ暗号エンジン３３を変更して（Ｓ８１）、図７のＳ７９に戻る。また、チェックコードの照合に成功すると、サーバ３の同期制御手段３５は、チェックコードの照合に成功にした時の該平文をサーバ実行記録情報３２に上書きするなどして、サーバ３が記憶しているサーバ実行記録情報３２を更新し、暗号トークン２内の実行記録情報２２とサーバ３内のサーバ実行記録情報３２を同期させて（Ｓ８２）、この手順は終了する。

１暗号処理システム
２暗号トークン
２０トークン制御手段
２１暗号エンジン選択手段
２２実行記録情報
２２ａ実行記録情報に含まれるコマンド実行回数
２２ｂ実行記録情報に含まれるコマンド異常終了回数
２３暗号エンジン
２４トークン鍵
３サーバ
３０サーバ制御手段
３１サーバ暗号エンジン選択手段
３２サーバ実行記録情報
３２ａサーバ実行記録情報に含まれるコマンド実行回数
３２ｂサーバ実行記録情報に含まれるコマンド異常終了回数
３３サーバ暗号エンジン
３４サーバ鍵

Claims

それぞれ異なる暗号アルゴリズムに対応した複数の暗号エンジンと、
コマンドの実行結果として、コマンド処理した回数を記録するコマンド実行回数が含まれる実行記録情報を有し、外部のエンティティからコマンドを受信すると、外部のエンティティから受信したコマンドをコマンド処理した後、前記コマンド実行回数をインクリメントすることで、コマンド処理の結果に基づいて前記実行記録情報を更新するトークン制御手段と、
前記トークン制御手段から暗号演算の指示を受けると、この時の前記実行記録情報に含まれる前記コマンド実行回数に基づいて前記暗号エンジンを選択することで、この時の前記実行記録情報を用いて一つの前記暗号エンジンを選択し、前記トークン制御手段から指示された暗号演算を選択した前記暗号エンジンに実行させる暗号エンジン選択手段と、
を備え、
前記トークン制御手段は、外部のエンティティから受信したコマンドのコマンドデータが暗号化されている際、暗号化されているコマンドデータの復号を前記暗号エンジン選択手段に指示し、前記暗号エンジン選択手段が、外部のエンティティから受信したコマンドのコマンドデータの暗号文を復号すると、外部のエンティティから受信したコマンドに対応するコマンド処理を実行して前記コマンド実行回数をインクリメントし、外部のエンティティに送信するレスポンスデータを暗号化する際、外部のエンティティから受信したコマンドに対応するコマンド処理を実行し前記コマンド実行回数をインクリメントしてから、レスポンスデータの暗号化を前記暗号エンジン選択手段に指示する、
ことを特徴とする暗号トークン。
前記暗号エンジン選択手段は、前記コマンド実行回数をパラメータとする数式を用いて前記暗号エンジンを選択することを特徴とする、請求項１に記載した暗号トークン。
前記暗号エンジン選択手段は、前記コマンド実行回数に対応する前記暗号エンジンを記した乱数表を用いて前記暗号エンジンを選択することを特徴とする、請求項１に記載した暗号トークン。
暗号トークンとサーバ間で暗号文を授受する暗号処理システムであって、
前記暗号トークンは、それぞれ異なる暗号アルゴリズムに対応した複数の暗号エンジンと、コマンドの実行結果として、コマンド処理した回数を記録するコマンド実行回数が含まれる実行記録情報を有し、前記サーバからコマンドを受信すると、前記サーバから受信したコマンドをコマンド処理した後、前記実行記録情報のコマンド実行回数をインクリメントすることで、コマンド処理の結果に基づいて前記実行記録情報を更新するトークン制御手段と、前記トークン制御手段から暗号演算の指示を受けると、前記実行記録情報の前記コマンド実行回数に基づいて前記暗号エンジンを選択することで、この時の前記実行記録情報を用いて一つの前記暗号エンジンを選択し、前記トークン制御手段から指示された暗号演算を選択した前記暗号エンジンに実行させる暗号エンジン選択手段を備え、前記トークン制御手段は、前記サーバから受信したコマンドのコマンドデータが暗号化されている際、暗号化されているコマンドデータの復号を前記暗号エンジン選択手段に指示し、前記暗号エンジン選択手段が、前記サーバから受信したコマンドのコマンドデータの暗号文を復号すると、前記サーバから受信したコマンドに対応するコマンド処理を実行して前記コマンド実行回数をインクリメントし、前記サーバに送信するレスポンスデータを暗号化する際、前記サーバから受信したコマンドに対応するコマンド処理を実行し前記実行記録情報のコマンド実行回数をインクリメントしてから、レスポンスデータの暗号化を前記暗号エンジン選択手段に指示し、
前記サーバは、前記暗号トークンが有する前記暗号エンジンにそれぞれ対応した複数のサーバ暗号エンジンと、前記暗号トークン内におけるコマンドの実行結果として、前記暗号トークンがコマンド処理を実行すると一つインクリメントされるコマンド実行回数を含むサーバ実行記録情報を有し、前記暗号トークンへコマンドを送信した後、レスポンスを前記暗号トークンから受信すると、前記サーバ実行記録情報のコマンド実行回数をインクリメントすることで、前記レスポンスの内容に基づいて前記サーバ実行記録情報を更新するサーバ制御手段と、前記サーバ制御手段から暗号演算の指示を受けると、前記サーバ実行記録情報のコマンド実行回数に基づいて前記暗号エンジンを選択することで、この時の前記サーバ実行記録情報を用いて一つの前記サーバ暗号エンジンを選択し、前記サーバ制御手段から指示された暗号演算を選択した前記サーバ暗号エンジンに実行させるサーバ暗号エンジン選択手段を備え、前記サーバ制御手段は、前記暗号トークンに送信するコマンドのコマンドデータを暗号化する際、コマンドデータの暗号化を前記暗号エンジン選択手段に指示し、コマンドデータが暗号文のコマンドを前記暗号トークンへ送信した後、レスポンスを前記暗号トークンから受信すると、前記サーバ実行記録情報のコマンド実行回数をインクリメントし、前記暗号トークンから受信したレスポンスデータを復号する際、レスポンスを前記暗号トークンから受信し前記サーバ実行記録情報のコマンド実行回数をインクリメントしてから、レスポンスデータの復号を前記サーバ暗号エンジン選択手段に指示する、
ことを特徴とする暗号処理システム。
前記暗号トークンは、前記暗号トークン内の前記実行記録情報を読み出す同期コマンドを前記サーバから受信すると、前記実行記録情報を更新することなく、前記同期コマンドのレスポンスデータに前記実行記録情報を含ませた前記同期コマンドのレスポンスを送信する同期コマンド処理手段を備え、
前記サーバは、前記同期コマンドを前記暗号トークンへ送信し、前記同期コマンドのレスポンスを受信すると、レスポンスデータに含まれる前記実行記録情報を用いて、前記サーバ実行記録情報を更新する同期制御手段を備え、
ていることを特徴とする、請求項４に記載した暗号処理システム。
前記暗号トークンの前記同期コマンド処理手段は、前記暗号エンジンの一つを用いて生成した前記実行記録情報の暗号文と前記実行記録情報から演算したチェックコードを前記同期コマンドのレスポンスデータに含ませ、前記サーバの前記同期制御手段は、前記サーバ暗号エンジンを用いて、レスポンスデータに含まれる前記実行記録情報の暗号文を復号し、前記実行記録情報の暗号文を復号して得られた平文から演算したチェックコードとレスポンスデータに含まれるチェックコードを照合する処理を、前記サーバ暗号エンジンを変更しながらチェックコードの照合に成功するまで行い、チェックコードの照合に成功した時の前記平文を用いて前記サーバ実行記録情報を更新することを特徴とする、請求項５に記載した暗号処理システム。