JP6313520B2 - カードリーダとモバイルデバイスとの間のセキュアなセッションの確立 - Google Patents

Description

関連出願の相互参照
本出願は、２０１４年５月８日出願の米国特許出願第１４／２７３，４４７号に対する優先権を主張し、参照によりその全体が本明細書に組み込まれる。

本出願は、２０１４年５月８日出願の米国特許出願第１４／２７３，４４９号に対する優先権を主張し、参照によりその全体が本明細書に組み込まれる。

本出願は、２０１５年２月４日出願の米国特許出願第１４／６１４，３５０号に対する優先権を主張し、参照によりその全体が本明細書に組み込まれる。

発明の分野
本発明の少なくとも１つの実施形態は、支払処理システムにおいてセキュアなセッションを確立することに関し、より詳細には、モバイル支払処理システムにおいてカードリーダとモバイルデバイスとの間のセキュアなセッションを確立することに関する。

スマートフォン又はタブレットコンピュータ（例えば、アップルのｉＰａｄなど）などのモバイルデバイスを使用することによって、マーチャントが顧客とのクレジットカード取引を開始することができる技術が開発されている。例えば、現在の技術は、マーチャントのスマートフォン又はタブレットのオーディオジャックに差し込まれる小さなカードリーダと、モバイルデバイスで実行する販売時点（ＰＯＳ）ソフトウェアとを含み、クレジットカード支払取引を容易にする。マーチャントは顧客のクレジットカードをカードリーダに通してスワイプし、カードリーダはカードのデータをモバイルデバイス内のＰＯＳソフトウェアに通信する。続いて、ＰＯＳソフトウェアは、カードの真正性を確認し、リモートの金融取引処理システムと通信して、取引のための認可を得る。

このタイプの支払モデルは、従来のＰＯＳシステムよりもはるかに便利で使い易いが、対処が必要な特定のセキュリティ関連問題が存在する。例えば、カードから読み取られたデータは、モバイルデバイスに存在し得るマルウェアのような認可されていないパーティ又はエンティティによって発見されないよう保護される必要がある。加えて、顧客は、顧客のクレジットカードからのデータがカードリーダによって読み取られることができる又はＰＯＳソフトウェアによって解読されることができる前に、セキュリティ手段としてモバイルデバイスに個人識別番号（ＰＩＮ）を入力する必要があり得る。ＰＩＮは、デビットカードベースの取引や、Ｅｕｒｏｐａｙ、ＭａｓｔｅｒＣａｒｄ及びＶｉｓａ（ＥＭＶ）標準に関する取引のようないくつかのクレジットカードベースの取引で必要とされる。これらの場合では、ＰＩＮもまた、認可されていないパーティ又はエンティティに発見されないよう保護される必要がある。

本発明の１つ以上の実施形態は、添付の図面の図中に例として示されているが、限定するものとして示されているものではない。これらの図では、類似の参照符号は、類似の要素を示している。

図１は、カードリーダがモバイルデバイスに結合されている構成の例を示す。 図２は、モバイルデバイスに結合されたカードリーダが、検証及び支払取引を実行するように動作することが可能なネットワーク環境を示す。 図３は、カードリーダとモバイルデバイス内の販売時点（ＰＯＳ）アプリケーションとの間のセキュアなセッションを確立するプロセスの例を示す。 図４は、ＰＯＳアプリケーションとカードリーダとの間で支払取引の認可をリクエストするようにデータを通信するプロセスを示す。 図５は、セキュアなセッションの確立のためにカードリーダ及びＰＯＳアプリケーションを検証するプロセスの例を概略的に示す。 図６Ａは、セキュアなセッションの確立のためにカードリーダ及びＰＯＳアプリケーションを検証するプロセスの例を表すフロー図である。 図６Ｂは、セキュアなセッションの確立のためにカードリーダ及びＰＯＳアプリケーションを検証するプロセスの例を表すフロー図である。 図７は、検証システム又はモバイルデバイスを実装するために使用可能な処理システムのハードウェアアーキテクチャのハイレベルブロック図である。 図８は、カードリーダのハードウェアアーキテクチャのハイレベルブロック図である。

本明細書において、「実施形態」「一実施形態」等への参照は、記載された特定の特徴、機能、構造又は特性が、本明細書で提示される技術の少なくとも１つの実施形態に含まれていることを意味する。本明細書に見られるこのような語句は、必ずしも全てが同じ実施形態を参照するものではない。一方、参照される実施形態もまた、必ずしも相互に排他的ではない。

モバイルデバイスに接続されたカードリーダに関与する支払取引では、秘密又は機密データがカードリーダとモバイルデバイスとの間で通信され得る。例えば、顧客は自分のＰＩＮをモバイルデバイスにインプットすることがある。このようなＰＩＮは、カードリーダがクレジットカード番号、有効期限及びカード検証値（ＣＶＶ）のようなカードに記憶された他の秘密又は機密データにアクセスすることを可能にするために、モバイルデバイスからカードリーダへと通信され得る。したがって、顧客のＰＩＮ及びカードデータは、認可されていないパーティ又はエンティティに開示されないよう保護されることが望ましい。そのような保護は、とりわけ、カードリーダとモバイルデバイスとの間にセキュアな（例えば、暗号化された）通信セッションを確立することによって提供され得る。しかしながら、セキュアな通信セッションは、まずカードリーダ及びモバイルデバイスの両方が信頼できることが確認された場合、すなわち、それらがマルウェア又は他の悪意のある活動による影響を受けていないことが確認された場合にのみ確立されるべきである。

したがって、本明細書では、モバイルデバイスとカードリーダとの間のセキュアな通信セッションを確立するための技術を提示する。いくつかの実施形態における技術は、カードリーダ及びＰＯＳモジュールが相互間のセキュアな通信セッションを確立する前に、かつその前提条件として、カードリーダ及びモバイルデバイス内のＰＯＳモジュールの両方のセキュリティ情報を検証するための信頼されたリモート検証システムを用いることに関する。ＰＯＳモジュールは、以後本明細書において説明を容易にするために想定されるように、ＰＯＳアプリケーションのようなソフトウェアであり得る。もっとも、ＰＯＳモジュールは、モバイルデバイス内の集積回路（ＩＣ）チップ又はチップセットのような専用ハードウェアであってもよく、ソフトウェアと専用ハードウェアとの組み合わせであってもよいことに留意されたい。

本明細書で提示される本技術の特定の実施形態では、ＰＯＳモジュールは、カードリーダ及びＰＯＳモジュールの両方のセキュリティ情報を、リモートの検証サーバに送信する。セキュリティ情報は、ＰＯＳモジュール及びカードリーダの暗号鍵と、ＰＯＳモジュール及びそのソフトウェア環境に関する追加のセキュリティ情報とを含み得る。なお、本明細書で用いられる用語「送信（"send"又は"sends"）」とは、情報が送信側エンティティと受信側エンティティとの間で直接的又は関接的に通信されることを意味することに留意されたい。換言すれば、送信側エンティティは、受信側エンティティへの配信のための（すなわち、受信側エンティティへ送られることになっている）情報を送信又は伝送するが、送信側エンティティと受信側エンティティとの間の通信経路には１つ以上の中間エンティティが存在していてもよい。

特定の実施形態では、カードリーダ及びＰＯＳアプリケーションは、それぞれ別個の公開暗号鍵（以下、単に「公開鍵」）を生成し、これらの両公開鍵は、ＰＯＳアプリケーションによってリモートの検証サーバに送信されてもよい。また、ＰＯＳアプリケーションは、モバイルデバイス内のソフトウェア環境の「フィンガープリント」が含まれ得る追加のセキュリティ情報を収集及び／又は生成し、この追加のセキュリティ情報もまた、ＰＯＳアプリケーションによって検証サーバに送信される。次に、検証サーバは、そのセキュリティ情報の全てを検証する。なお、エンティティの「検証」とは、該用語が本明細書にて用いられているように、エンティティの認証（すなわち、エンティティが誰であるか／それが何であるかを判定すること）若しくはエンティティがセキュリティ侵害を受けていないと判定すること、又はその両方を含むことに留意されたい。特定の実施形態では、検証サーバは、ＰＯＳアプリケーションの追加のセキュリティ情報を、モバイルデバイスの「ジェイルブレイク（jailbreaking）」（すなわち、認可されていない機能又は機構の使用可能化又はセキュリティ機能の無効化）、モバイルデバイス上におけるデバッガの動作、モバイルデバイス内における認可されていないソフトウェアの存在又はＰＯＳアプリケーション自体の認可されていない改変の可能性のエビデンスについて分析する。

セキュリティ関連情報のすべてが正当である（すなわち、いかなるセキュリティ侵害をも示さない）と検証サーバが判定した場合、検証サーバは、ＰＯＳアプリケーションの公開鍵に検証サーバのデジタル署名により署名して、署名された公開鍵をモバイルデバイスに返信する。その後、モバイルデバイス内のＰＯＳアプリケーションは、検証サーバによって署名されたＰＯＳアプリケーションの公開鍵を、カードリーダに転送する。

サーバにより署名されたＰＯＳアプリケーションの公開鍵を受信すると、カードリーダは、ＰＯＳアプリケーションが信頼できることを認識し、それによってセキュアな通信セッションをＰＯＳアプリケーションと確立できることを認識する。同様に、この時点におけるＰＯＳアプリケーションもまた、カードリーダが信頼できることを認識している。したがって、この場合には、カードリーダ及びＰＯＳアプリケーションは、続いて相互間のセキュアな通信セッションを確立する。セキュアな通信セッションの確立は、カードリーダ及びモバイルデバイスがセキュアな対称セッション鍵をそれぞれ生成することを伴っていてもよく、このセキュアな対称セッション鍵は、後ほどカードリーダ及びモバイルデバイスによって、顧客のＰＩＮやカードデータのような両者の間で通信されるデータを暗号化及び復号するために使用される。

クレジットカードの例は、本明細書を通して説明の目的で用いられているが、本明細書で提示される本技術は、デビットカード、現金自動預け払い機（ＡＴＭ）カード、プリペイドギフトカード等のような他の種類の支払カードを読み取るシステム及びデバイスにも適用され得る。同様に、本明細書で提示される本技術は、支払取引を取り扱うシステムに限定されず、例えば、本技術は、運転免許証、身分証明書、セキュリティアクセスカード等のような秘密又は機密の情報を備えた他の種類のカードを読み取るシステム及びデバイスに適用され得る。加えて、「販売時点」（ＰＯＳ）に含まれるような用語「販売（"sale"）」とは、例えば、リース、レンタル又はサービスに対する支払を含む任意の種類の支払指向の取引をいい、実際の所有権の購入又は移転に限定されない。

ここで、図１及び図２を参照する。図１は、支払カード（例えば、クレジットカード、デビットカードなど）との取引を容易にするために、カードリーダがマーチャントに属するモバイルデバイス（図示の例では、スマートフォン）に結合されている構成の例を示す。図２は、これらのデバイスが動作し得るネットワーク環境を示す。カードリーダ１は、モバイルデバイス２のオーディオジャック又はマイクロＵＳＢポートなどの、モバイルデバイス２の標準コネクタに差し込まれ得る。支払カード３は、カードリーダ１を通してスワイプすることにより、読み取ることができる。本明細書で用いられる用語「スワイプ」とは、カードからのカードデータを読み取るようにカードリーダをトリガする任意の方法をいい、このような方法は、例えば、磁気ストライプカードリーダ、光スキャナ、スマートカード（ＩＣチップ内蔵カード）リーダ、無線周波数識別（ＲＦＩＤ）リーダ等を通して又はその中にカードを通すことなどによって行われる。

新たな支払取引を開始する場合、マーチャントは、その事実を示すためにモバイルデバイス２のユーザインタフェースにインプットを提供する。これに応じて、モバイルデバイス２内で実行されるＰＯＳアプリケーション２１（図２）は、モバイルデバイス２のディスプレイに、取引の開始を可能にするための画面４を表示させる。特定の実施態様では、カード３からデータが読み取られる前に、ユーザインタフェースはマーチャントに対して、図示されるように、顧客に自身のＰＩＮを入力させるように指示する。ユーザは、モバイルデバイス２のタッチスクリーンディスプレイ上でＰＩＮをタイピングすることによって自身のＰＩＮを入力し得る。次に、ＰＯＳアプリケーション２１は、このＰＩＮをカードリーダ１に通信し、該カードリーダ１は、カード３からデータを読み取る（又は復号する）ために、このＰＩＮを使用して顧客のカードを「ロック解除」する。カードデータがカード３から読み取られると、該カードデータは、カードリーダ１によってＰＯＳアプリケーション２１に渡され、次にＰＯＳアプリケーション２１は、該カードデータを取引情報に関する情報（例えば、取引額、日付及び時間、並びにマーチャント識別情報）と共にリモート支払認証システム２３に送信して、支払の認可をリクエストする。支払認可システム２３の詳細は、本明細書で提示される本技術とは関係がない。しかしながら、支払認可システム２３は、複数のビジネスエンティティ並びに複数のコンピュータ及び／又は他のデバイスを含んでいてもよいことに留意されたい。例えば、支払認可システム２３は、カードイシュア、アクワイヤラ、クレジットカードネットワーク（例えば、VISA又はMASTERCARD）等を含む１つ以上の銀行及び／又は他の金融機関を含んでいてもよい。

上述のように、ユーザのＰＩＮとカードデータとの機密性を保護することが望ましい。したがって、本明細書で提示される本技術は、カードリーダ１及びＰＯＳアプリケーション２１の両方が別個の信頼された検証システムによって検証された後でのみ、カードリーダ１とＰＯＳアプリケーション２１との間にセキュアなセッションを確立することを可能にする。特定の実施形態では、検証は、図２に示すように、ネットワーク２４を介してモバイルデバイス２に結合された１つ以上のサーバコンピュータである又は該１つ以上のサーバコンピュータを含むリモート検証システム２２によって、少なくとも部分的に実行される。ネットワーク２４は、２つ以上のネットワークの組み合わせであることが可能であり、それらは異なるタイプのネットワークであってもよい。例えば、図示の実施形態では、ネットワーク２４は、無線部分と有線部分とを含む。無線部分は、例えば、セルラー通信ネットワーク、ＷｉＦｉ／ＩＥＥＥ８０２．１１互換ネットワーク若しくはブルートゥース接続など、又はそのようなネットワーク／接続の組み合わせであり得る又はそれらを含み得る。有線部分は、例えば、インターネット、メトロポリタンエリアネットワーク（ＭＡＮ）、企業のワイドエリアネットワーク（ＷＡＮ）若しくは有線ローカルエリアネットワーク（ＬＡＮ）など、又はそのようなネットワークの組み合わせであり得る又はそれらを含み得る。

図３は、本明細書で提示される本技術の特定の実施形態に係る、カードリーダ１とＰＯＳアプリケーション２１との間のセキュアなセッションを確立するプロセスの例を示す。図示のように、カードリーダ１及びＰＯＳアプリケーション２１は独立して、カードリーダセッションが開始されたことを検出する（ステップ３０１Ａ及び３０１Ｂ）。例えば、カードリーダ１及びＰＯＳアプリケーション２１はそれぞれ独立して、カードリーダ１がモバイルデバイス２に接続されたことを検出する。この検出に応じて、カードリーダ１、ＰＯＳアプリケーション２１及び検証システム２２は、協働して検証プロセス３０２を実行する。検証プロセス３０２が正常に完了すると、カードリーダ１及びＰＯＳアプリケーション２１は、共有セキュアセッション鍵（暗号化鍵）を生成することによって、相互間のセキュアな通信セッションを協働して確立する（ステップ３０３）。続いて、カードリーダ１及びＰＯＳアプリケーション２１は、この共有セキュアセッション鍵を、暗号化されたデータ（例えば、ＰＩＮ及びカードデータ）を相互に通信するために使用する。特定の実施形態では、カードリーダ２及びＰＯＳアプリケーション２１は、共有セキュアセッション鍵を生成するために、ディフィー・ヘルマン技術を使用する。

図４は、ＰＯＳアプリケーション２１とカードリーダ１との間にセキュアなセッションが確立された後に、支払取引の認可をリクエストするためにＰＯＳアプリケーション２１とカードリーダ１との間でデータを通信するプロセスを示す。まず、ＰＯＳアプリケーション２１は、顧客によってマーチャントのモバイルデバイス２上に入力されたＰＩＮを受信する（ステップ４０１）。次に、ＰＯＳアプリケーション２１は、検証プロセス３０２の直後に確立された共有セキュアセッション鍵でＰＩＮを暗号化し（ステップ４０２）、暗号化されたＰＩＮをカードリーダ１に送信する。カードリーダ１は、暗号化されたＰＩＮを受信し（ステップ４２１）、その共有セキュアセッション鍵のコピーを用いてＰＩＮを復号した後（ステップ４２２）、ＰＩＮを使用して顧客のカード３に記憶されたカードデータ（例えば、カード番号、有効期限及びＣＶＶ）にアクセスする（ステップ４２３）。

続いて、カードリーダ１は、共有セキュアセッション鍵を用いてカードデータを暗号化し（ステップ４２４）、暗号化されたカードデータをＰＯＳアプリケーション２１に送信する（ステップ４２５）。ＰＯＳアプリケーション２１は、暗号化されたカードデータをカードリーダ１から受信し（ステップ４０４）、その共有セキュアセッション鍵のコピーを用いてカードデータを復号した後（ステップ４０５）、カードデータを使用して、カードデータ及び取引データを含む認可リクエストメッセージを支払認証システム２３に送信することにより取引の認可をリクエストする（ステップ４０６）。

以下、少なくとも１つの実施形態に係る検証プロセス３０２（図３）について、図５及び図６を参照してより詳細に説明する。まず、カードリーダ１は、カードリーダ１がモバイルデバイス２に接続されたことを検出し（ステップ６０１）、その動作と同時に、ＰＯＳ端末２１は、モバイルデバイス２がカードリーダ１に接続されたことを検出する（ステップ６２１）。ここでは、２つのデバイス間の接続を検出するための既知の又は簡便な技術が使用され得る。次に、カードリーダ１は、公開暗号鍵Ｐｕｂ_Reader５０を生成する（ステップ６０２）。特定の実施形態では、カードリーダの公開鍵Ｐｕｂ_Reader５０は、カードリーダの製造元によってカードリーダ２内の不揮発性メモリ５２に記憶された鍵ツリー５１に基づいて生成される。次に、カードリーダ２は、カードリーダ１と一義的に関連付けられたデジタル署名により、公開鍵Ｐｕｂ_Reader５０に署名する（ステップ６０３）。

前述の２つのステップ（６０２及び６０３）と同時に、ＰＯＳアプリケーション２１は、ＰＯＳアプリケーション２１自体の公開暗号鍵Ｐｕｂ_POS５４を生成する（ステップ６２２）。加えて、ＰＯＳアプリケーション２１は、追加のセキュリティデータＤａｔａ_POS５５を生成する（ステップ６２３）。追加のセキュリティデータＤａｔａ_POS５５は、ＰＯＳアプリケーション自体に関する情報を含み、さらにモバイルデバイス２において動作するサンドボックス環境５６に関する情報（例えば、モバイルデバイス２のオペレーティングシステム及び／又は他のソフトウェア）も含んでいてよい。続いて、検証システム２２は、この追加のセキュリティデータＤａｔａ_POS５５を使用して、以下に説明するように、ＰＯＳアプリケーション２１がセキュリティ侵害を受けているかどうかを判定する（ステップ６４４，６４５）。

追加のセキュリティデータＤａｔａ_POS５５を生成及び使用する理由は、少なくともいくつかの実装では、ＰＯＳアプリケーション２１がカードリーダ１よりも信頼性が低いと見られることがあるためである。例えば、カードリーダ１は、その性質上プログラム可能である必要もなく、エンドユーザによって構成可能である必要もない。実際に、セキュリティ上の理由から、カードリーダ１は、ひとたび工場を出ると、全くプログラム可能又は構成可能でなくなることが望ましいと思われる。したがって、カードリーダ１は、製造後のプログラム可能性又は構成可能性を有さず、かつ、非常に堅牢な改ざん保護を備えて設計され得る。これに対し、モバイルデバイス２（例えば、スマートフォン又はタブレットであり得る）は、高度にプログラム可能であり、エンドユーザによって構成可能であるように設計される。したがって、モバイルデバイス２及びその内部のＰＯＳアプリケーション２１は、カードリーダ１よりもマルウェア及びジェイルブレイク（jailbreaking）に対して脆弱であると考えられ得る。加えて、カードリーダ１の製造元は、検証システム２２を運営する主体と同一の主体であってもよく、そのような主体と提携していてもよい。該検証システム２２は、以下に説明するように、カードリーダ１の検証を容易にし得るものである。

再び図５及び図６を参照すると、カードリーダ１がその公開鍵Ｐｕｂ_Reader５０を生成して公開鍵Ｐｕｂ_Reader５０に署名した後（ステップ６０２及び６０３）、署名された公開鍵Ｐｕｂ_Reader５０Ａを（カードリーダ１とモバイルデバイス２との間の物理接続を介して）ＰＯＳアプリケーション２１に送信する（ステップ６０４）。ＰＯＳアプリケーション２１は、ＰＯＳアプリケーション２１自体の公開鍵５４及び追加のセキュリティデータＤａｔａ_POS５５を生成した後、カードリーダ１の署名された公開鍵Ｐｕｂ_Reader５０の受信を待機する（ステップ６２４）。カードリーダ１の署名された公開鍵Ｐｕｂ_Reader５０を受信した後（ステップ６２５）、ＰＯＳアプリケーション２１は、リモート検証システム２２にこれらの３つのデータセットを送信する（又は、より正確には、モバイルデバイス２に送信させる）（ステップ６２６）。特定の実施形態では、これらのデータセットをリモート検証システム２２に送信する前に、ＰＯＳアプリケーション２１はまた、ＰＯＳアプリケーション２１自体の公開鍵Ｐｕｂ_POS５４及び／又は追加のセキュリティデータＤａｔａ_POS５５を認証及び／又はデジタル署名する。例えば、一実施形態では、ＰＯＳアプリケーション２１は、（非対称動作であるデジタル署名とは対照的に）対称暗号化動作を使用することによって、その公開鍵Ｐｕｂ_POS５４及び追加のセキュリティデータＤａｔａ_POS５５を認証する。この認証動作は、ＰＯＳアプリケーションの公開鍵Ｐｕｂ_POS５４及び追加のセキュリティデータＤａｔａ_POS５５を、図５の破線ボックスによって表されるように、共通のコンテナ内にカプセル化してもよい。他の実施形態では、ＰＯＳアプリケーション２１は代わりに、その公開鍵Ｐｕｂ_POS５４を認証するが追加のセキュリティデータＤａｔａ_POS５５は認証しなくてもよく、その公開鍵Ｐｕｂ_POS５４にデジタル署名するが追加のセキュリティデータＤａｔａ_POS５５にはデジタル署名しなくてもよく、その公開鍵Ｐｕｂ_POS５４及び追加のセキュリティデータＤａｔａ_POS５５にデジタル署名してもよい。

前述のデータの全ては、例えば、標準のセルラー通信ネットワーク（例えば、３Ｇ又はＬＴＥ／４Ｇネットワーク）を介してモバイルデバイス２によって送信された後、インターネットを介して検証システム２２にルーティングされてもよい。他の実施形態では、ＷｉＦｉネットワーク、ブルートゥース又はブルートゥース低エネルギー（ＢＬＥ）接続等のような複数の異なるタイプのネットワーク及び接続を使用して、この情報をモバイルデバイスから検証システム２２に伝達してもよい。

検証システム２２は、これらのデータ項目を受信した後（ステップ６４１）、カードリーダ１の署名された公開鍵Ｐｕｂ_Reader５０のデジタル署名を検査する（ステップ６４２）。検証システム２２は、カードリーダ１のデジタル署名の正当性を判定することができるように、情報をその内部メモリ内に記憶させるものと仮定され得る。特定の実施形態では、カードリーダ１の製造元は検証システム２２を運営する主体であり、さらにＰＯＳアプリケーション２１の製造元であってもよい。この場合には、受信したセキュリティ情報が正当であるか否かの判定が容易になる。例えば、製造元は、製造時に鍵ツリー５１及びデジタル署名情報をカードリーダ１内に記憶させておいてもよく、さらにその情報を検証システム２２内に記憶させておいてもよい（またそれ以外には、その情報を検証システム２２にアクセス可能としておいてもよい）。

検証システム２２は、署名が正当でないと判定した場合（ステップ６４３）、カードリーダ１がセキュリティ侵害を受けていると仮定する。その場合、認証サーバは、検証失敗メッセージを（例えば、上述とは逆のルートを介して）ＰＯＳモジュールへと送信させることにより（ステップ６４９）、適切なエラーメッセージをモバイルデバイス２にアウトプットさせる（ステップ６２８）。その場合、検証プロセスは終了し、それによってカードリーダ１とＰＯＳモジュールとの間のセキュアなセッションの確立が許可されないようになる。より実際的な点では、その場合その特定のカードリーダは、その特定のモバイルデバイスと共に使用することができない。加えて、検証システム２２は、この失敗の認識を維持することができ、それによって、後の別のモバイルデバイスとの試みにてカードリーダ１の公開鍵Ｐｕｂ_Reader５０の正当な署名が含まれていても、カードリーダ１が他の任意のものと共に用いられることを防止することができる。

検証システム２２は、カードリーダ１の署名が正当であると判定した場合（ステップ６４３）、続いてＰＯＳアプリケーション２１により提供される追加のセキュリティデータＤａｔａ_POS５５を分析して（ステップ６４４）、ＰＯＳアプリケーション２１（又はモバイルデバイス内の他のソフトウェア）におけるセキュリティ侵害の任意の示標を検査する。

追加のセキュリティデータＤａｔａ_POS５５は、ＰＯＳアプリケーション２１に関する情報を含み、さらにＰＯＳアプリケーション２１が動作するサンドボックス環境５６に関する情報も含んでいてもよい。したがって、検証システム２２は、追加のセキュリティデータＤａｔａ_POS５５を使用することによって、ＰＯＳアプリケーション２１がセキュリティ侵害を受けているかどうかを判定することができる。いくつかの実施形態では、追加のセキュリティデータＤａｔａ_POS５５は、ＰＯＳアプリケーション２１の「フィンガープリント」である又は該「フィンガープリント」を含んでいる。フィンガープリントは、ＰＯＳアプリケーション２１が動作するサンドボックス（ソフトウェア）環境５６にも基づき得る。フィンガープリントは、例えば、検査サム、巡回冗長検査（ＣＲＣ）関数の結果、暗号ハッシュ関数の結果、又はＰＯＳアプリケーション及び／又はそのサンドボックス環境５６のサンプリングであり得る。

検証システム２２は、フィンガープリントの正当性を、該フィンガープリントと１つ以上の記憶されているフィンガープリントとを比較することによって判定することができる。例えば、検証システム２２は、受信したフィンガープリントを、改ざんを受けていないことがわかっている（モバイルデバイス２内のＰＯＳアプリケーション２１と同じバージョンの）ＰＯＳアプリケーションの別個のコピーから以前に生成された、記憶されているフィンガープリントと比較してもよい。そのようなコピーを得ることは、例えば、ＰＯＳアプリケーション２１の製造元が、検証システム２２を運営する主体であるか、そのような主体と提携している主体である場合には、特に簡単である。

加えて、又は代わりに、検証システム２２は、モバイルデバイス２からのフィンガープリントを検査するために、１つ以上の「クラウドソースの」フィンガープリントを使用してもよい。例えば、検証システム２２は、他の複数のユーザデバイスから受信したフィンガープリントを記憶し得ると共に、モバイルデバイス２から受信したフィンガープリントを記憶されたフィンガープリントのセットと比較し得る。記憶された複数のフィンガープリントは、様々なオペレーティングシステムを実行している他の複数のユーザデバイスから受信した、ＰＯＳアプリケーション及びサンドボックス環境に関連する複数のフィンガープリントを含み得る。例えば、記憶された複数のフィンガープリントは、特定のバージョンの特定のモバイルオペレーティングシステム及び対応する特定のバージョンのＰＯＳアプリケーションを実行している特定のスマートフォンモデルの種々の異なる組み合わせのそれぞれから受信したフィンガープリントを含んでいてもよい（例えば、第１のバージョンのＡｎｄｒｏｉｄオペレーティングシステム及び第１のバージョンのＡｎｄｒｏｉｄオペレーティングシステムに関連するバージョンのＰＯＳアプリケーションを実行しているSamsung Galaxy phone、第２のバージョンのＡｎｄｒｏｉｄオペレーティングシステム及び第２のバージョンのＡｎｄｒｏｉｄオペレーティングシステムに関連するバージョンのソフトウェアアプリケーションを実行している第２のSamsung Galaxy phone、など）。

一実施形態では、検証システム２２は、各ユーザデバイスの識別コードとそのモバイルデバイスから受信したフィンガープリントとの間の関連付けを（例えば、関係データベース内に）記憶する。検証システム２２は、任意の特定のフィンガープリントのための相対度数、例えば、特定のフィンガープリントと同一のフィンガープリントを有するユーザデバイスの数又はパーセンテージを計算することができる。フィンガープリントはサンドボックス化された環境のコンテンツに基づいて生成されるため、同一のユーザデバイスであって、同一のオペレーティングシステム及び同一バージョンのＰＯＳアプリケーションを実行しているユーザデバイスから生成されたフィンガープリントは、マッチしているべきである（例えば、フィンガープリントは類似又は同一であるべきである）。例えば、２つのユーザデバイスが両方ともｉＰｈｏｎｅであり、同一のバージョンのｉＯＳオペレーティングシステム及び同一のバージョンのＰＯＳアプリケーションを実行している場合、２つのユーザデバイスに関連するフィンガープリントは同一であるべきである。危殆化したデバイスは総デバイス数に対して非常に小さい（又はゼロ）パーセンテージを表すため、正常に動作しているデバイスに関連するフィンガープリントは、より高い相対度数を有するべきである。

したがって、検証システム２２は、モバイルデバイス２からフィンガープリントを受信すると、任意の異常を検出するために、受信したフィンガープリントを記憶されたフィンガープリントの該セットと比較し得る。例えば、検証システム２２は、受信したフィンガープリントの相対度数であって、インストールベースから複数のモバイルデバイスから（例えば、同一のオペレーティングシステム及び同一のバージョンのＰＯＳアプリケーションを実行している複数の同一のユーザデバイスから）受信したフィンガープリントと比較した相対度数を判定し得ると共に、該相対度数を閾値と比較し得る。相対度数が閾値を超える場合、検証システム２２は、受信したフィンガープリントが正当であると判定し得る。相対度数が閾値未満である場合、検証システム２２は、該フィンガープリントが正当でないと判定し得る。所定の閾値は、例えば、記憶されたフィンガープリントの数に基づくものであり得る。

特定の実施形態では、追加のセキュリティデータＤａｔａ_POS５５を分析するステップ（６４４）は、以下のタイプのセキュリティ侵害の任意の１つ以上のエビデンスを検査することを含む。１）モバイルデバイスのジェイルブレイク。２）モバイルデバイス上でのデバッガの動作。３）モバイルデバイス内における認可されていないソフトウェアの存在又はＰＯＳアプリケーション２１の認可されていない変更。いくつかの実施形態では、検証システムによる追加のセキュリティデータの分析（ステップ６４４）は、主に又は完全に、サンドボックス環境５６内で発生したセキュリティ侵害のエビデンスについて探知し得る。しかしながら、該分析はまた、モバイルデバイス２内においてサンドボックス環境５６の外部で発生した特定のタイプのセキュリティ侵害を検出可能であってもよい。例えば、検証システム２２は、ＰＯＳアプリケーション２１がサンドボックス環境５６内で動作していることを認識している。したがって、追加のセキュリティデータＤａｔａ_POS５５の分析が、サンドボックスの存在と相反するパーミッションをＰＯＳアプリケーション２１が有していることを示す場合には、このことはジェイルブレイクのエビデンスとして解釈されることがある。

さらに、ＰＯＳアプリケーション２１は、通常、サンドボックス環境５６の外部にある任意のものについての可視性を制限する。しかしながら、典型的なモバイルデバイスのオペレーティングシステムは、モバイルデバイス内で動作する全てのアプリケーションに影響を及ぼす特定のグローバルな変更を行い得るため、そのような変更によって、ＰＯＳアプリケーション２１は可視化され得る。ほとんどの実施形態では、ＰＯＳアプリケーション２１がサンドボックス環境５６の外部で読み取り可能なデータ項目が比較的少ないことになり、ＰＯＳアプリケーション２１が外部に書き込み可能であるべきであるデータ項目はさらに少ないことになる。したがって、ＰＯＳアプリケーション２１がサンドボックス環境５６の外部に予期されない方法でデータを書き込み可能であることを追加のセキュリティデータＤａｔａ_POS５５の分析が示す場合には、このことはセキュリティ侵害のエビデンスとして解釈されることがある。

図５及び図６をさらに参照すると、検証システム２２がセキュリティ侵害の何らかの示標を追加のセキュリティデータＤａｔａ_POS５５から検出した場合には（ステップ６４５）、検証システム２２は検証失敗メッセージをＰＯＳアプリケーション２１に送信する（ステップ６４８）。上述したように、この動作は事実上、カードリーダ１とＰＯＳアプリケーション２１との間のセキュアなセッションの確立を妨げる。この場合、検証システム２２は、ＰＯＳアプリケーション２１が疑わしいという認識を維持し得る。

検証システム２２が追加のセキュリティデータ内のセキュリティ侵害の示標を何ら検出しない場合には（ステップ６４５）、検証システム２２はＰＯＳアプリケーション２１の公開鍵Ｐｕｂ_POS５４にデジタル署名し（ステップ６４６）、その署名された公開鍵Ｐｕｂ_POS５４Ａを検証成功メッセージ中にてＰＯＳアプリケーション２１に送信する（ステップ６４７）。いくつかの実施形態（図示しない）では、検証システム２２はまた、カードリーダの公開鍵Ｐｕｂ_Reader５０も（例えば、対称暗号化動作を使用して）認証及び／又はデジタル署名し、ステップ６４７にて該公開鍵Ｐｕｂ_Reader５０をＰＯＳアプリケーション２１に送信する。

ＰＯＳアプリケーション２１は、検証システム２２の応答を受信する（ステップ６２６）。その応答が検証失敗メッセージである場合には、上述のように、ＰＯＳアプリケーション２１は、モバイルデバイス２上にエラーメッセージを表示させて（ステップ６２８）、プロセスを終了する。一方、検証システム２２からの応答が検証成功メッセージである場合には、ＰＯＳアプリケーション２１は、検証システム２２によって署名されたＰＯＳアプリケーション２１の公開鍵Ｐｕｂ_POS５４Ａを抽出し、ＰＯＳアプリケーション２１の署名された公開鍵Ｐｕｂ_POS５４Ａをカードリーダ１に送信する（ステップ６２９）。カードリーダ１は、その署名された鍵Ｐｕｂ_POS５４Ａを受信し（ステップ６０５）、検証システム２２のデジタル署名を検査する（ステップ６０６）。カードリーダ１は、検証システム２２のデジタル署名の正当性を判定できるようにするため、カードリーダ１の内部メモリに情報を記憶すると仮定され得る。特定の実施形態では、カードリーダ１の製造元はまた、上述したように、検証システム２２を運営する主体であってもよく、ＰＯＳアプリケーション２１の製造元であってもよい。

カードリーダ１は、検証システム２２の電子署名が正当でないと判定した場合には（ステップ６０７）、検証失敗メッセージをＰＯＳアプリケーション２１に送信する（ステップ６０８）。一方、カードリーダ１は、検証システム２２の電子署名が正当であると判定した場合には、検証成功メッセージをＰＯＳアプリケーション２１に送信する（ステップ６０９）。次に、カードリーダ１は、上述したように、ＰＯＳアプリケーション２１と協働してセキュアセッション鍵を生成する（ステップ３０３、図３も参照のこと）。特定の実施形態では、セキュアセッション鍵は、カードリーダ１とＰＯＳアプリケーション２１とにより共有される対称暗号鍵である。すなわち、同一のセキュアセッション鍵値が、カードリーダ１とＰＯＳアプリケーション２１との間の通信のシーケンスに基づき、カードリーダ１とＰＯＳアプリケーション２１とにより別々に計算される。特定の実施形態では、カードリーダ１及びＰＯＳアプリケーション２１は、ディフィー・ヘルマン技術を使用して共有セキュアセッション鍵を生成する。

したがって、ＰＯＳアプリケーション２１は、カードリーダ１からの検証失敗メッセージ又は成功メッセージを（場合に応じて）受信し、該メッセージが検証失敗メッセージであれば、モバイルデバイス２がユーザに対してエラーメッセージをアウトプットするようにさせる（ステップ６２８）。しかしながら、該メッセージが検証成功メッセージであれば（ステップ６３０）、ＰＯＳアプリケーション２１は、上述したように、カードリーダ１と協働して共有セキュアセッション鍵を生成する（ステップ３０３）。

図７は、検証システム２２又はモバイルデバイス２を実装するために使用可能な処理システムのハードウェアアーキテクチャの例を示すハイレベルブロック図である（いずれの場合であっても、実装は異なる場合がある）。検証システム２２は、図７に示すアーキテクチャの複数のインスタンスを含むことができ、それらのインスタンスは、１つのネットワーク又は複数のネットワークを介して互いに結合されていてもよいことに留意されたい。さらに、検証システム２２を実装するコンピュータシステムは、検証以外の機能を実施してもよい。

図示の実施形態では、アーキテクチャ７００は、１つ以上のプロセッサ７１０、メモリ７１１、１つ以上の通信デバイス７１２及び１つ以上のインプット／アウトプット（Ｉ／Ｏ）デバイス７１３を含んでおり、これらは全てインターコネクト７１４を通じて互いに結合されている。インターコネクト７１４は、導電性トレース、バス、ポイントツーポイント接続、コントローラ、アダプタ、及び／又は他の従来の接続デバイスの１つ以上であってもよく、それらの１つ以上を含んでいてもよい。プロセッサ７１０は、例えば、汎用プログラマブルマイクロプロセッサ、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）、プログラマブルゲートアレイ等の１つ以上、又はそのようなデバイスの組合せであってもよく、それらの１つ以上又はそのようなデバイスの組合せを含んでいてもよい。プロセッサ７１０は、処理デバイス７００の全体の動作を制御する。

メモリ７１１は、１つ以上の物理ストレージデバイスであってもよく、１つ以上の物理ストレージデバイスを含んでいてもよい。該物理ストレージデバイスは、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）（消去可能及びプログラム可能である）、フラッシュメモリ、小型ハードディスクドライブ又は他の適切なタイプのストレージデバイスの形態であってもよく、そのようなデバイスの組合せであってもよい。メモリ７１１は、プロセッサ７１０を上述の該技術に従う動作を実行するように構成するデータ及び命令を記憶していてもよい。通信デバイス７１２は、例えば、イーサネットアダプタ、ケーブルモデム、Ｗｉ−Ｆｉアダプタ、セルラートランシーバ、ブルートゥース又はＢＬＥトランシーバ等、又はそれらの組み合わせであってもよく、それらを含んでいてもよい。処理デバイス７００の特定の性質及び目的に応じて、Ｉ／Ｏデバイス７１３は、ディスプレイ（タッチスクリーンディスプレイであってもよい）、オーディオスピーカ、キーボード、マウス又は他のポインティングデバイス、マイク、カメラ等のようなデバイスを含み得る。

モバイルデバイス２の場合には、通信デバイス７１２は、例えば、セルラー通信トランシーバ（例えば、３Ｇ又は４Ｇ／ＬＴＥ）、Ｗｉ−Ｆｉトランシーバ、ブルートゥース又はＢＬＥトランシーバ等、又はそれらの組み合わせであり得るか、それらを含み得る。検証システム２２の場合には、通信デバイス７１２は、例えば、前述のタイプの通信デバイス、有線イーサネットアダプタ、ケーブルモデム、ＤＳＬモデム等、又はそのようなデバイスの組み合わせであり得るか、それらを含み得る。加えて、モバイルデバイス２は、上述のようにカードリーダ１に接続するためのコネクタ（図示しない）を含む。該コネクタは、例えば、標準オーディオジャック、マイクロＵＳＢコネクタ又は任意の他の既知の又は簡便なタイプのコネクタであり得る。

図８は、カードリーダ１のハードウェアアーキテクチャの例を示すハイレベルブロック図である。図示の実施形態では、アーキテクチャ８００は、１つ以上のプロセッサ８１０、メモリ８１１、カードインタフェース８１２、通信デバイス８１３及びコネクタ８１４を含んでおり、これらは全てインターコネクト８１５を通じて互いに結合されている。インターコネクト８１５は、導電性トレース、バス、ポイントツーポイント接続、コントローラ、アダプタ、及び／又は他の従来の接続デバイスの１つ以上であってもよく、それらの１つ以上を含んでいてもよい。プロセッサ８１０は、例えば、汎用プログラマブルマイクロプロセッサ、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）、プログラマブルゲートアレイ等の１つ以上、又はそのようなデバイスの組合せであってもよく、それらの１つ以上又はそのようなデバイスの組合せを含んでいてもよい。プロセッサ８１０は、処理デバイス８００の全体の動作を制御する。

メモリ８１１は、１つ以上の物理記憶デバイスであってもよく、１つ以上の物理記憶デバイスを含んでいてもよい。そのような記憶デバイスは、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）（消去可能及びプログラム可能である）、フラッシュメモリ、小型ハードディスクドライブ又は他の適切なタイプのストレージデバイスの形態であってもよく、そのようなデバイスの組合せであってもよい。メモリ８１１は、プロセッサ８１０を上述の該技術に従う動作を実行するように構成するデータ及び命令を記憶していてもよい。

カードインタフェース８１２は、支払カードからデータを読み取る機構であり、例えば、磁気ストライプリーダ、スマートカードＩＣチップリーダ、光学コードリーダ、無線周波数識別（ＲＦＩＤ）タグリーダ、又は他の類似のデバイスであってもよい。コネクタ８１４は、カードリーダ１をモバイルデバイスに接続するためのものであり、例えば、標準オーディオプラグ、マイクロＵＳＢコネクタ、又は任意の他の既知の又は簡便なタイプのコネクタであり得る。

物理的な可能性に反しない限り、（ｉ）本明細書に記載された方法／ステップは、任意の順序で、及び／又は任意の組み合わせで実行されてもよいこと、及び（ｉｉ）の各実施形態の構成要素は、任意の方法で組み合わせてもよいことが想定される。

上述の機械に実装される動作は、ソフトウェア及び／又はファームウェアによってプログラムされた／構成されたプログラマブル回路により、又は完全に専用回路により、又はそのような形態の組み合わせにより、実装され得る。このような専用回路（もしあれば）は、例えば、１つ以上の特定用途向け集積回路（ＡＳＩＣ）、プログラマブルロジックデバイス（ＰＬＤ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）等の形態であり得る。

本明細書で提示される本技術を実施するためのソフトウェアは、機械可読記憶媒体に記憶されてもよく、１つ以上の汎用又は専用のプログラム可能なマイクロプロセッサによって実行されてもよい。本明細書で使用される用語としての「機械可読媒体」は、機械によってアクセス可能な形態で情報を記憶し得る任意の機構を含む（該機械は、例えば、コンピュータ、ネットワークデバイス、携帯電話、パーソナルデジタルアシスタント（ＰＤＡ）、製造ツール、１つ以上のプロセッサを有する任意のデバイス等であってもよい）。例えば、機械がアクセス可能な媒体は、記録可能／記録不可能な媒体（例えば、読み出し専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）；磁気ディスク記憶媒体；光記憶媒体；フラッシュメモリデバイス等）などを含んでいる。

なお、上述の実施形態の任意かつ全てのものは、互いに組み合わせられ得ることに留意されたい。ただし、上記にて別段の記載がある場合や、任意のそのような実施形態が機能及び／又は構造において相互に排他的である可能性がある場合には、この限りではない。

本発明は、特定の例示的な実施形態を参照して記載されているが、本発明は記載の実施形態に限定されず、添付の特許請求の範囲の趣旨及び範囲内で修正及び変更して実施され得ることが認識されるであろう。したがって、本明細書及び図面は、限定的な意味ではなく、例示的な意味において考慮されるべきである。

例
したがって、要約すると、上述の開示は以下の例を含む。
１．モバイルデバイス内で実行される販売時点（ＰＯＳ）ソフトウェアモジュールによって、前記ＰＯＳソフトウェアモジュールと前記モバイルデバイスに結合されたカードリーダとの間のセッションの開始を検出するステップと、
前記ＰＯＳソフトウェアモジュールにて、前記カードリーダから前記カードリーダのセキュリティ関連情報を受信するステップと、
リモートコンピュータシステムによる検証のため、カードリーダのセキュリティ関連情報及び前記ＰＯＳソフトウェアモジュールのセキュリティ関連情報を、前記リモートコンピュータシステムに配信するために前記モバイルデバイスから送信させるステップであって、前記ＰＯＳソフトウェアモジュールの前記セキュリティ関連情報は、前記ＰＯＳソフトウェアモジュールのソフトウェア環境を示すデータを含んでいるステップと、
前記ＰＯＳソフトウェアモジュールにて、前記ＰＯＳソフトウェアモジュールの前記セキュリティ関連情報及び前記カードリーダの前記セキュリティ関連情報が前記リモートコンピュータシステムによって検証されたことの示標を受信するステップであって、前記示標は、前記リモートコンピュータによって署名された前記ＰＯＳソフトウェアモジュールの暗号鍵を含んでいるステップと、
前記リモートコンピュータによって署名された前記ＰＯＳソフトウェアモジュールの前記暗号鍵を、前記ＰＯＳソフトウェアモジュールから前記カードリーダへ送信するステップと、
前記カードリーダと協働して、前記ＰＯＳソフトウェアモジュールと前記カードリーダとの間で暗号化通信を行うためのセキュアセッション鍵を生成するステップと
を含む、方法。
２．顧客の支払カードに関与する金融取引の間に、
前記顧客の個人識別番号（ＰＩＮ）を暗号化するために、前記ＰＯＳソフトウェアモジュール内の前記セキュアセッション鍵を使用するステップと、そして
前記暗号化されたＰＩＮを、前記ＰＯＳソフトウェアモジュールから前記カードリーダに送信するステップとをさらに含む、例１に記載の方法。
３．前記セキュアセッション鍵を生成する前記ステップは、前記セキュアセッション鍵を生成するためにディフィー・ヘルマンメッセージ交換を使用することを含む、例１に記載の方法。
４．モバイルデバイス内の機能ソフトウェアモジュールによって、前記機能モジュールのセキュリティ関連情報を、ネットワークを介してコンピュータシステムに配信するために送信するステップと、
前記機能モジュールによって、前記コンピュータシステムにより前記機能モジュールの前記セキュリティ関連情報に基づいて実施される検証プロセスの結果を受信するステップと、
前記機能モジュールの前記セキュリティ関連情報が前記コンピュータシステムによって正当であると判定されたことを前記検証プロセスの結果が示す場合にのみ、前記機能モジュールと前記モバイルデバイスに結合されたカードリーダとの間のセキュアな通信セッションを確立するステップと
を含む、方法。
５．前記機能モジュールは、販売時点（ＰＯＳ）ソフトウェアモジュールである、例４に記載の方法。
６．前記機能モジュールと前記カードリーダとの間の前記セキュアな通信セッションを確立する前に、かつその前提条件として、前記機能モジュールからの前記検証プロセスの結果を前記カードリーダに送信するステップをさらに含む、例４に記載の方法。
７．前記機能モジュールの前記セキュリティ関連情報がコンピュータシステムによって正当であると判定されたことを前記検証プロセスの結果が示す場合、前記結果は、前記コンピュータシステムによって署名された前記機能モジュールの暗号鍵を含んでいる、例６に記載の方法。
８．前記機能モジュールの前記セキュリティ関連情報は、前記機能モジュールの暗号鍵と、前記機能モジュールのソフトウェア環境を示す情報とを含む、例４に記載の方法。
９．前記機能モジュールのソフトウェア環境を示す情報が、前記モバイルデバイス内のデータのフィンガープリントを含む、例８に記載の方法。
１０．前記機能モジュールと前記カードリーダとの間の前記セキュアな通信セッションを確立する前に、前記機能モジュールによって、前記カードリーダのセキュリティ関連情報を、ネットワークを介して前記コンピュータシステムに配信するために送信するステップをさらに含む、例４に記載の方法。
１１．複数の命令を記憶した非一時的な機械可読記憶媒体であって、前記命令は、販売時点（ＰＯＳ）モジュールの少なくとも一部を構成すると共に、モバイルデバイスにおいて実行された際に、
カードリーダと前記ＰＯＳモジュールとの間のセッションの開始に応じて、前記ＰＯＳモジュールに関するセキュリティ関連情報を、リモートコンピュータシステムによる検証のため、前記リモートコンピュータシステムへの配信のためにモバイルデバイスから送信させる動作と、
前記ＰＯＳモジュールにて、前記セキュリティ関連情報が前記リモートコンピュータシステムによって検証されたことの示標を受信する動作と、
前記セキュリティ関連情報が前記リモートコンピュータシステムによって検証されたことの前記示標を受信したことに応じて、
前記ＰＯＳモジュールから、前記ＰＯＳモジュールが前記リモートコンピュータシステムによって検証されたことの示標を前記カードリーダに送信する動作、及び、
前記ＰＯＳモジュールと前記カードリーダとの間で暗号化通信を行うためのセキュアセッション鍵を生成する動作と
を含む複数の動作を行わせる、非一時的な機械可読記憶媒体。
１２．前記ＰＯＳモジュールが前記リモートコンピュータシステムによって検証されたことの示標は、リモートコンピュータによって署名された前記ＰＯＳモジュールの暗号鍵を含む、例１１に記載の非一時的な機械可読記憶媒体。
１３．前記複数の動作は、顧客の支払いカードに関与する金融取引中に、
前記顧客の個人識別番号（ＰＩＮ）を暗号化するために、前記ＰＯＳモジュール内の前記セキュアセッション鍵を使用する動作と、
前記暗号化されたＰＩＮを、前記ＰＯＳモジュールから前記カードリーダに送信する動作と
をさらに含む、例１１に記載の非一時的な機械可読記憶媒体。
１４．前記セキュアセッション鍵を生成する動作は、ディフィー・ヘルマンメッセージ交換を使用して前記セキュアセッション鍵を生成する動作を含む、例１１に記載の非一時的な機械可読記憶媒体。
１５．前記セキュリティ関連情報は、前記モバイルデバイスのソフトウェア環境を示すデータを含む、例１１に記載の非一時的な機械可読記憶媒体。
１６．前記複数の動作は、
前記ＰＯＳモジュールにて前記カードリーダから、前記カードリーダに関する前記セキュリティ関連情報を受信する動作と、
前記カードリーダに関する前記セキュリティ関連情報を、前記リモートコンピュータシステムによる検証のため、前記リモートコンピュータシステムへの配信のために前記モバイルデバイスから送信させる動作と、
前記ＰＯＳモジュールにて、前記カードリーダが前記リモートコンピュータシステムによって検証されたことの示標を受信する動作と
をさらに含む、例１１に記載の非一時的な機械可読記憶媒体。
１７．カードリーダであって、
カードから情報を読み取るためのカードインタフェースと、
前記カードインタフェースに結合されたプロセッサと、
前記カードリーダをモバイルデバイスに結合することを可能にするコネクタと、
コードを記憶したメモリであって、前記コードは、前記プロセッサによって実行された際に、前記カードリーダが前記モバイルデバイスに結合されている場合において、
前記カードリーダのセキュリティ関連情報を前記モバイルデバイス内で動作する販売時点（ＰＯＳ）モジュールに送信するステップであって、前記セキュリティ関連情報は、前記モバイルデバイスによってリモートサーバシステムに送信されるためのものであるステップと、
前記リモートサーバシステムが前記カードリーダの前記セキュリティ関連情報及び前記ＰＯＳモジュールのセキュリティ関連情報を検証した後、前記ＰＯＳモジュールが前記リモートサーバシステムによって検証されたことの示標を前記ＰＯＳモジュールから受信するステップと、
前記ＰＯＳモジュールが前記リモートサーバシステムによって検証されたことの示標を受信したことに応じて、前記ＰＯＳモジュールと前記カードリーダとの間で暗号化通信を行うためのセキュアセッション鍵を生成するステップと
を含む複数のステップを前記カードリーダに行わせる、メモリと、
を備えているカードリーダ。
１８．前記ＰＯＳモジュールが前記リモートサーバシステムによって検証されたことの示標が、前記リモートサーバによって署名された前記ＰＯＳモジュールの暗号鍵を含む、例１７に記載のカードリーダ。
１９．前記複数のステップは、顧客の支払カードに関与する金融取引の間に、
前記ＰＯＳモジュールから前記顧客の暗号化された個人識別番号（ＰＩＮ）を受信するステップと、
前記ＰＩＮを解読するために前記カードリーダ内の前記セキュアセッション鍵を使用するステップと、
前記支払カードのデータにアクセスするために前記ＰＩＮを使用するステップとをさらに含む、例１７に記載のカードリーダ。
２０．前記セキュアセッション鍵を生成するステップは、前記セキュアセッション鍵を生成するために前記ＰＯＳモジュールとのディフィー・ヘルマンメッセージ交換を使用することを含む、例１７に記載のカードリーダ。
２１．サーバに実装される方法であって、
カードリーダと、前記カードリーダに結合されたモバイルデバイスにおいて実行される販売時点（ＰＯＳ）ソフトウェアモジュールとの間のセッションの開始に応じて、サーバシステムにて、前記カードリーダに関する第１暗号鍵と、前記ＰＯＳソフトウェアモジュールに関する第２暗号鍵と、前記ＰＯＳソフトウェアモジュールに関するセキュリティ関連データとを、前記モバイルデバイスからネットワークを介して受信するステップであって、前記セキュリティ関連データは、前記セキュリティ関連データを前記サーバシステムに送信する前に、前記ＰＯＳソフトウェアモジュールによって生成又は取得されているステップと、
前記サーバシステムによって、前記第１暗号鍵が正当であるかどうかを判定するステップと、
前記第１暗号鍵が正当であると判定されたことに応じて、前記サーバシステムによって、第１暗号鍵のための、第１署名を生成するステップと、
前記サーバシステムによって、前記ＰＯＳソフトウェアモジュールに関する前記セキュリティ関連データを、前記ＰＯＳソフトウェアモジュールのセキュリティ侵害の可能性のエビデンスについて分析するステップと、
前記分析するステップが、セキュリティ侵害の可能性のエビデンスを検出しなかった場合において、
前記第２暗号鍵のための第２署名を生成するステップと、
前記ＰＯＳソフトウェアモジュールに前記第２署名を前記カードリーダに送信させるため、かつ、前記ＰＯＳソフトウェアモジュール及び前記カードリーダにセキュアセッション共有鍵を協働して生成させるように、前記第１署名及び前記第２署名を、前記モバイルデバイスへの配信のために前記サーバシステムからネットワーク上に送信するステップであって、前記セキュアセッション共有鍵は、顧客の個人識別番号（ＰＩＮ）を前記顧客に関する支払カードに関与する金融取引の間に前記モバイルデバイスから前記カードリーダへ暗号化された方式で通信するために、前記ＰＯＳソフトウェアモジュール及び前記カードリーダによって使用されるステップと
を含む、方法。
２２．前記セキュリティデータは、前記モバイルデバイス内のデータのハッシュを含む、例２１に記載の方法。
２３．前記セキュリティ情報を分析するステップは、
前記モバイルデバイスのジェイルブレイク、
前記モバイルデバイス上でのデバッガの動作、
前記モバイルデバイス内の認可されていないソフトウェアの存在、又は、
前記ソフトウェアモジュールの認可されていない変更
のうち任意の１つ以上の検出を試みることを含む、例２１に記載の方法。
２４．コンピュータシステムにてネットワークを介して、カードリーダに結合されたモバイルデバイスに配置された機能モジュールのセキュリティ関連情報を受信するステップと、
前記カードリーダと前記機能モジュールとが相互間のセキュアな通信セッションを確立する前提条件として、前記コンピュータシステムにおいて前記セキュリティ関連情報を検証するステップと、
前記検証するステップの結果を、前記機能モジュールへの配信のために前記コンピュータシステムから前記ネットワーク上に送信するステップと
を含む方法。
２５．前記機能モジュールは、販売時点（ＰＯＳ）ソフトウェアモジュールである、例２４に記載の方法。
２６．前記検証するステップの結果を前記コンピュータシステムから送信するステップが、前記機能モジュール及び前記カードリーダに、共有暗号鍵の作成によって相互間のセキュアな通信セッションを確立させることである、例２４に記載の方法。
２７．前記検証するステップの結果は、前記コンピュータシステムが前記機能モジュールを検証したことの示標を含み、前記結果を前記機能モジュールへの配信のために前記コンピュータシステムから送信するステップが、前記機能モジュールに、前記コンピュータシステムが前記機能モジュールを検証したことの前記示標を前記カードリーダへ提供させることである、例２６に記載の方法。
２８．前記コンピュータシステムが前記機能モジュールを検証したことの前記示標が、前記コンピュータシステムによって署名された前記機能モジュールの暗号鍵を含む、例２７に記載の方法。
２９．前記セキュリティ関連情報が、前記機能モジュールの暗号鍵と、前記モバイルデバイス内のソフトウェア環境を示す情報とを含む、例２４に記載の方法。
３０．前記セキュリティ関連情報は、前記カードリーダの暗号鍵をさらに含む、例２９に記載の方法。
３１．前記モバイルデバイス内の前記ソフトウェア環境を示す前記情報は、前記モバイルデバイス内の前記ソフトウェア環境を示すデータのハッシュを含む、例２９に記載の方法。
３２．前記検証するステップは、前記セキュリティ関連情報を、
前記モバイルデバイスのジェイルブレイク、
前記モバイルデバイス上でのデバッガの使用、
前記モバイルデバイス内の認可されていないソフトウェアの存在、又は、
前記機能モジュールの認可されていない変更
のうち１つ以上の示標について検査することを含む、例２９に記載の方法。
３３．前記検証するステップの結果を送信するステップは、前記カードリーダの署名された暗号鍵と前記機能モジュールの署名された暗号鍵とを前記モバイルデバイスに送信することを含む、例２４に記載の方法。
３４．プロセッサと、
前記プロセッサに結合され、ネットワークを介して通信するためのネットワークインタフェースと、
複数の命令を記憶したメモリであって、前記複数の命令は、前記プロセッサによって実行された際に、
カードリーダに結合されたモバイルデバイスから、前記モバイルデバイス内で動作する販売時点（ＰＯＳ）ソフトウェアモジュールのセキュリティ関連情報を受信する動作であって、前記セキュリティ関連情報が、ＰＯＳソフトウェアモジュールの暗号鍵と、追加のセキュリティ関連情報を含む、動作と、
前記ＰＯＳソフトウェアモジュールの前記セキュリティ関連情報を検証する動作と、
前記ＰＯＳソフトウェアモジュール及び前記カードリーダに相互間のセキュアな通信セッションを確立させるように、前記コンピュータシステムが前記機能モジュールを検証したことの示標を前記モバイルデバイスへの配信のために前記ネットワークを介して送信する動作と
を含む複数の動作を前記コンピュータシステムに行わせる、メモリと、
を備えているコンピュータシステム。
３５．前記セキュリティ関連情報を検証する動作が、前記コンピュータシステムによって前記ＰＯＳソフトウェアモジュールの前記暗号鍵を署名することを含み、前記コンピュータシステムが前記機能モジュールを検証したことの示標が、前記コンピュータシステムによって署名された前記ＰＯＳソフトウェアモジュールの前記暗号鍵を含む、例３４に記載のコンピュータシステム。

３６．前記追加のセキュリティ関連情報が、前記モバイルデバイス内の前記ソフトウェア環境を示すデータのハッシュを含む、例３４に記載のコンピュータシステム。
３７．前記検証する動作は、前記追加のセキュリティ関連情報を、
前記モバイルデバイスのジェイルブレイク、
前記モバイルデバイス上でのデバッガの動作、
前記モバイルデバイス内の認可されていないソフトウェアの存在、又は、
前記機能モジュールの認可されていない変更
のうち任意の１つ以上の示標について検査することを含む、例３６に記載のコンピュータシステム。
３８．前記複数の動作は、
前記カードリーダのセキュリティ関連情報を受信する動作と、
前記カードリーダの前記セキュリティ関連情報を検証する動作と、
前記コンピュータシステムが前記カードリーダを検証したことの示標を、前記モバイルデバイスへの配信のために前記ネットワークを介して送信する動作と
をさらに含む、例３４に記載のコンピュータシステム。

Claims (20)

1. モバイルデバイス内で実行される販売時点（ＰＯＳ）ソフトウェアモジュールによって、前記ＰＯＳソフトウェアモジュールと前記モバイルデバイスに結合されたカードリーダとの間のセッションの開始を検出するステップと、
   前記ＰＯＳソフトウェアモジュールにて、前記カードリーダから前記カードリーダのセキュリティ関連情報を受信するステップと、
   リモートコンピュータシステムによる検証のため、カードリーダのセキュリティ関連情報及び前記ＰＯＳソフトウェアモジュールのセキュリティ関連情報を、前記リモートコンピュータシステムに配信するために前記モバイルデバイスから送信させるステップであって、前記ＰＯＳソフトウェアモジュールの前記セキュリティ関連情報は、前記ＰＯＳソフトウェアモジュールのソフトウェア環境を示すデータを含んでいるステップと、
   前記ＰＯＳソフトウェアモジュールにて、前記ＰＯＳソフトウェアモジュールの前記セキュリティ関連情報及び前記カードリーダの前記セキュリティ関連情報が前記リモートコンピュータシステムによって検証されたことの示標を受信するステップであって、前記示標は、前記リモートコンピュータによって署名された前記ＰＯＳソフトウェアモジュールの暗号鍵を含んでいるステップと、
   前記リモートコンピュータによって署名された前記ＰＯＳソフトウェアモジュールの前記暗号鍵を、前記ＰＯＳソフトウェアモジュールから前記カードリーダへ送信するステップと、
   前記カードリーダと協働して、前記ＰＯＳソフトウェアモジュールと前記カードリーダとの間で暗号化通信を行うためのセキュアセッション鍵を生成するステップと
   を含む、方法。
2. 顧客の支払カードに関与する金融取引の間に、
   前記顧客の個人識別番号（ＰＩＮ）を暗号化するために、前記ＰＯＳソフトウェアモジュール内の前記セキュアセッション鍵を使用するステップと、そして
   前記暗号化されたＰＩＮを、前記ＰＯＳソフトウェアモジュールから前記カードリーダに送信するステップとをさらに含む、請求項１に記載の方法。
3. 前記セキュアセッション鍵を生成する前記ステップは、前記セキュアセッション鍵を生成するためにディフィー・ヘルマンメッセージ交換を使用することを含む、請求項１に記載の方法。
4. モバイルデバイス内の機能ソフトウェアモジュールによって、前記機能モジュールのセキュリティ関連情報を、ネットワークを介してコンピュータシステムに配信するために送信するステップと、
   前記機能モジュールによって、前記コンピュータシステムにより前記機能モジュールの前記セキュリティ関連情報に基づいて実施される検証プロセスの結果を受信するステップと、
   前記機能モジュールの前記セキュリティ関連情報が前記コンピュータシステムによって正当であると判定されたことを前記検証プロセスの結果が示す場合にのみ、前記機能モジュールと前記モバイルデバイスに結合されたカードリーダとの間のセキュアな通信セッションを確立するステップと
   を含む、方法。
5. 前記機能モジュールは、販売時点（ＰＯＳ）ソフトウェアモジュールである、請求項４に記載の方法。
6. 前記機能モジュールと前記カードリーダとの間の前記セキュアな通信セッションを確立する前に、かつその前提条件として、前記機能モジュールからの前記検証プロセスの結果を前記カードリーダに送信するステップをさらに含む、請求項４に記載の方法。
7. 前記機能モジュールの前記セキュリティ関連情報がコンピュータシステムによって正当であると判定されたことを前記検証プロセスの結果が示す場合、前記結果は、前記コンピュータシステムによって署名された前記機能モジュールの暗号鍵を含んでいる、請求項６に記載の方法。
8. 前記機能モジュールの前記セキュリティ関連情報は、前記機能モジュールの暗号鍵と、前記機能モジュールのソフトウェア環境を示す情報とを含む、請求項４に記載の方法。
9. 前記機能モジュールのソフトウェア環境を示す情報が、前記モバイルデバイス内のデータのフィンガープリントを含む、請求項８に記載の方法。
10. 前記機能モジュールと前記カードリーダとの間の前記セキュアな通信セッションを確立する前に、前記機能モジュールによって、前記カードリーダのセキュリティ関連情報を、ネットワークを介して前記コンピュータシステムに配信するために送信するステップをさらに含む、請求項４に記載の方法。
11. 複数の命令を記憶した非一時的な機械可読記憶媒体であって、前記命令は、販売時点（ＰＯＳ）モジュールの少なくとも一部を構成すると共に、モバイルデバイスにおいて実行された際に、
    カードリーダと前記ＰＯＳモジュールとの間のセッションの開始に応じて、前記ＰＯＳモジュールに関するセキュリティ関連情報を、リモートコンピュータシステムによる検証のため、前記リモートコンピュータシステムへの配信のためにモバイルデバイスから送信させる動作と、
    前記ＰＯＳモジュールにて、前記セキュリティ関連情報が前記リモートコンピュータシステムによって検証されたことの示標を受信する動作と、
    前記セキュリティ関連情報が前記リモートコンピュータシステムによって検証されたことの前記示標を受信したことに応じて、
    前記ＰＯＳモジュールから、前記ＰＯＳモジュールが前記リモートコンピュータシステムによって検証されたことの示標を前記カードリーダに送信する動作、及び、
    前記ＰＯＳモジュールと前記カードリーダとの間で暗号化通信を行うためのセキュアセッション鍵を生成する動作と
    を含む複数の動作を行わせる、非一時的な機械可読記憶媒体。
12. 前記ＰＯＳモジュールが前記リモートコンピュータシステムによって検証されたことの示標は、リモートコンピュータによって署名された前記ＰＯＳモジュールの暗号鍵を含む、請求項１１に記載の非一時的な機械可読記憶媒体。
13. 前記複数の動作は、顧客の支払いカードに関与する金融取引中に、
    前記顧客の個人識別番号（ＰＩＮ）を暗号化するために、前記ＰＯＳモジュール内の前記セキュアセッション鍵を使用する動作と、
    前記暗号化されたＰＩＮを、前記ＰＯＳモジュールから前記カードリーダに送信する動作と
    をさらに含む、請求項１１に記載の非一時的な機械可読記憶媒体。
14. 前記セキュアセッション鍵を生成する動作は、ディフィー・ヘルマンメッセージ交換を使用して前記セキュアセッション鍵を生成する動作を含む、請求項１１に記載の非一時的な機械可読記憶媒体。
15. 前記セキュリティ関連情報は、前記モバイルデバイスのソフトウェア環境を示すデータを含む、請求項１１に記載の非一時的な機械可読記憶媒体。
16. 前記複数の動作は、
    前記ＰＯＳモジュールにて前記カードリーダから、前記カードリーダに関する前記セキュリティ関連情報を受信する動作と、
    前記カードリーダに関する前記セキュリティ関連情報を、前記リモートコンピュータシステムによる検証のため、前記リモートコンピュータシステムへの配信のために前記モバイルデバイスから送信させる動作と、
    前記ＰＯＳモジュールにて、前記カードリーダが前記リモートコンピュータシステムによって検証されたことの示標を受信する動作と
    をさらに含む、請求項１１に記載の非一時的な機械可読記憶媒体。
17. カードリーダであって、
    カードから情報を読み取るためのカードインタフェースと、
    前記カードインタフェースに結合されたプロセッサと、
    前記カードリーダをモバイルデバイスに結合することを可能にするコネクタと、
    コードを記憶したメモリであって、前記コードは、前記プロセッサによって実行された際に、前記カードリーダが前記モバイルデバイスに結合されている場合において、
    前記カードリーダのセキュリティ関連情報を前記モバイルデバイス内で動作する販売時点（ＰＯＳ）モジュールに送信するステップであって、前記セキュリティ関連情報は、前記モバイルデバイスによってリモートサーバシステムに送信されるためのものであるステップと、
    前記リモートサーバシステムが前記カードリーダの前記セキュリティ関連情報及び前記ＰＯＳモジュールのセキュリティ関連情報を検証した後、前記ＰＯＳモジュールが前記リモートサーバシステムによって検証されたことの示標を前記ＰＯＳモジュールから受信するステップと、
    前記ＰＯＳモジュールが前記リモートサーバシステムによって検証されたことの示標を受信したことに応じて、前記ＰＯＳモジュールと前記カードリーダとの間で暗号化通信を行うためのセキュアセッション鍵を生成するステップと
    を含む複数のステップを前記カードリーダに行わせる、メモリと、
    を備えているカードリーダ。
18. 前記ＰＯＳモジュールが前記リモートサーバシステムによって検証されたことの示標が、前記リモートサーバによって署名された前記ＰＯＳモジュールの暗号鍵を含む、請求項１７に記載のカードリーダ。
19. 前記複数のステップは、顧客の支払カードに関与する金融取引の間に、
    前記ＰＯＳモジュールから前記顧客の暗号化された個人識別番号（ＰＩＮ）を受信するステップと、
    前記ＰＩＮを解読するために前記カードリーダ内の前記セキュアセッション鍵を使用するステップと、
    前記支払カードのデータにアクセスするために前記ＰＩＮを使用するステップとをさらに含む、請求項１７に記載のカードリーダ。
20. 前記セキュアセッション鍵を生成するステップは、前記セキュアセッション鍵を生成するために前記ＰＯＳモジュールとのディフィー・ヘルマンメッセージ交換を使用することを含む、請求項１７に記載のカードリーダ。

Images