JP6746771B2 - セキュアエレメントを管理する方法 - Google Patents

Description

本発明は装置に埋設されたセキュアエレメントを管理する方法に関する。本発明は特にセキュアエレメントの内容をセキュアに管理する方法に関する。

セキュアエレメントは、計算処理のためのメモリ、マイクロプロセッサ及びオペレーティングシステムを備えた小型デバイスである。このようなセキュアエレメントは、不揮発性メモリや揮発性メモリといった異なるタイプの複数のメモリを備える場合がある。セキュアエレメントは、これらに含まれるデータへのアクセスを制御し、他のマシンによるデータの使用を許可する又は許可しないことができるために「セキュア」と呼ばれる。セキュアエレメントは、暗号化コンポーネントをベースとした計算サービスを提供することもできる。一般にセキュアエレメントは、限られたコンピュータ資源及びメモリ資源を有し、電力提供を行うホストマシンに接続されることが意図されている。セキュアエレメントは、ホストマシンに対して取外し可能であっても固定式であってもよい。例えば、グローバルプラットフォームカード規範ｖ２．３又はＪａｖａ（登録商標）Ｃａｒｄ ｖ３．０．５によって定義されたスマートカード及び埋設型セキュアエレメントがセキュアエレメントの一種である。

セキュアエレメントは、攻撃の検知を目的とするセキュリティ機構を有することができる。このようなセキュリティ機構は、一般に、検知した異常なイベントの数を反映するカウンタをデクリメントする。装置の製造段階において行われる検査中に、いくつかのイベント（ホスティング端末又は他のハードウェアコンポーネントの電源オンオフなど）が、疑わしいイベントと考えられる予想外の電圧値を生成する可能性がある。この場合、セキュリティ機構はそのカウンタをデクリメントする可能性があり、セキュアエレメントは、カウンタが所定の閾値に達したときに永久的にロックされる可能性がある。

装置の製造段階において、ロック閾値に達する前にセキュアエレメントのセキュリティカウンタをセキュアにリセットできる必要性がある。

本発明の目的は、上述の技術的問題を解決することである。

本発明の目的は、ＮＦＣコントローラを備えた装置に埋設されたセキュアエレメントを管理する方法である。セキュアエレメントはセキュリティインジケータを備える。この方法は、以下のステップを含む。
−ＮＦＣコントローラが送信したトリガコマンドを受信すると、セキュアエレメントが検査コンテキストに切り替わるステップ、
−アプリケーションが送信した回復コマンドを受信すると、セキュアエレメントが検査コンテキストにある場合にのみ、セキュアエレメントがセキュリティインジケータを所定の値に設定するステップ、
−ＮＦＣコントローラが送信した終了コマンドを受信すると、セキュアエレメントがライブコンテキストに切り替わるステップ。セキュアエレメントは、検査コンテキストへの切り替わりを記録し、さらなるいずれのトリガコマンドも拒否する。

有利には、セキュアエレメントは、アプリケーションのセキュアエレメントに対する認証が成功した場合にのみセキュリティインジケータを所定の値に設定することができる。

有利には、セキュアエレメントは、セキュリティインジケータが所定の値に設定されたときに特定メッセージをＮＦＣコントローラに送信することができ、ＮＦＣコントローラは、特定メッセージの受信に応答して終了コマンドを送信することができる。

有利には、管理装置が送信した切り替えコマンドを受信すると、ＮＦＣコントローラは、検査モードに切り替わり、セキュアエレメントにトリガコマンドを送信することができる。ＮＦＣコントローラは、終了コマンドの送信後、自動的にライブモードに切り替わることができる。

有利には、アプリケーションは、装置又は外部コンピュータ（すなわち装置と異なる）のいずれかによってホストされてよい。

本発明の別の目的は、上記セキュアエレメントが検査コンテキストに切り替わることを要求するために、トリガコマンドをセキュアエレメントに送信するように構成されたＮＦＣコントローラである。ＮＦＣコントローラは、上記セキュアエレメントが永久的にライブコンテキストに切り替わることを要求するために、終了コマンドをセキュアエレメントに送信するように構成される。

有利には、ＮＦＣコントローラは、セキュアエレメントから受信した特定メッセージの受信に応答して終了コマンドを送信するように構成されてよい。

有利には、ＮＦＣコントローラは、検査モードに切り替わり、管理装置が送信した切り替えコマンドを受信すると、トリガコマンドをセキュアエレメントに送信するように構成されてよい。ＮＦＣコントローラは、終了コマンドの送信後、自動的にライブモードに切り替わるように構成されてよい。

有利には、ＮＦＣコントローラは、ライブモードへの切り替わりを記録し、さらなるいずれのトリガコマンドも拒否するように構成されてよい。

本発明の別の目的は、セキュリティインジケータを備え、ＮＦＣコントローラから受信したトリガコマンドを受信すると検査コンテキストに切り替わるように構成されたセキュアエレメントである。セキュアエレメントは、アプリケーションから受信した回復コマンドを受信すると、セキュアエレメントが検査コンテキストにある場合にのみセキュリティインジケータを所定の値に設定するように構成される。セキュアエレメントは、ＮＦＣコントローラから受信した終了コマンドを受信すると、ライブコンテキストに切り替わるように構成される。セキュアエレメントは、検査コンテキストへの切り替わりを記録し、さらなるいずれのトリガコマンドも拒否するように構成される。

有利には、セキュアエレメントは、アプリケーションのセキュアエレメントに対する認証が成功した場合にのみ、セキュリティインジケータを所定の値に設定するように構成されてよい。

本発明の別の目的は、本発明に係るＮＦＣコントローラと、本発明に係るセキュアエレメントとを備えた装置である。この装置は、セキュアエレメントに対する認証と、セキュアエレメントがセキュリティインジケータを所定の値に設定することを要求するための、回復コマンドのセキュアエレメントへの送信とを共に行うように構成されたアプリケーションを備える。

有利には、この装置は、携帯電話、接続されたウォッチ、パーソナルコンピュータやタブレットに埋設されたデバイスであってよい。

本発明の他の特徴及び利点は、対応する添付の図面を参照しながら本発明の複数の好適な実施形態の以下の説明を読めばより明らかになるだろう。

本発明に係るＮＦＣコントローラとセキュアエレメントとを備えた装置のアーキテクチャの一例を示す模式図。 本発明に係る埋設されたセキュアエレメントに格納されているセキュリティインジケータをリセットできるようにするメッセージ交換の一例を示す模式図。

ＮＦＣ（近距離無線通信）技術は、磁界を介したデータ交換を基礎にする。例えば、ＩＳＯ１４４４３及びＩＳＯ１８０９２規格は、ＮＦＣドメインで用いられ得る変調技術及び通信プロトコルを規定している。

ＮＦＣコントローラは、非接触フロントエンドチップ又は非接触フロントエンド（ＣＬＦ）とも呼ばれるハードウェアモジュールである。典型的には非接触フロントエンドは、非接触通信のアナログ部分を処理し、非接触伝送リンクの通信プロトコル層を処理し、ＵＩＣＣ又はセキュアエレメントとデータ交換を行う回路である。本発明は、セキュアエレメントと通信可能ないずれのタイプのＮＦＣコントローラにも適用可能である。

本発明は、ＮＦＣコントローラ及びセキュアエレメントが埋設されるいずれのタイプの装置にも適用される。本発明はいずれの種類のＮＦＣ対応装置にも適用される。本発明は例えば、携帯電話、タブレット、接続されたウォッチ、パーソナルコンピュータ、ゲーム機又は電子決済支払端末といった端末装置又は携帯デバイスに適用される。本発明はコンピュータに埋設されたデバイス又はボックスに適用される。本発明はまた、ＮＦＣコントローラ及びセキュアエレメントを備えた自動車などの乗り物並びに任意のコンピュータマシンに適用される。

本発明は、ＮＦＣコントローラはセキュアエレメントの現在のコンテキストを制御するように適合されているという事実に依拠している。第１のコンテキスト（動作コンテキスト、ライブコンテキスト又はフィールドコンテキストと呼ばれる）において、セキュアエレメントに格納されているセキュリティインジケータはリセットすることができない。第２のコンテキスト（検査コンテキストと呼ばれる）において、セキュアエレメントに格納されているセキュリティインジケータはリセットすることができる。

図１は、本発明に係るＮＦＣコントローラとセキュアエレメントとを備えた装置のアーキテクチャの一例を示す。

装置２０は携帯電話機であってよい。ＮＦＣコントローラ３０は、アンテナ（図示せず）とセキュアエレメント１０の両方に接続される。

セキュアエレメント１０は、セキュリティインジケータ４０とレジストリ４５とを備える。

本明細書において、レジストリという言葉は、アイテムを記録するためのシステムを意味する。例えば、レジストリは、データベース、１又は複数のファイル、１又は複数のレジスタとして、又は１又は複数のソフトウェアコンテナとして実装されてよい。

セキュリティインジケータ４０は、例えばエラーカウンタ、検出された敵対的イベントの数を反映するセキュリティカウンタ、又は認証フラグであってよい。セキュリティインジケータ４０は、複数のカウンタ、フラグ、ファイル又はレジスタとして実装されてもよい。セキュリティインジケータ４０は、セキュアエレメントの寿命中のある種のイベントを反映するように変化することが意図された値を有する。

装置２０は、ＮＦＣコントローラ３０と、セキュアエレメント１０と、埋設されたセキュアエレメント１０と通信するように設計されたソフトウェアアプリケーション５０とを備える。

好ましい実施形態において、セキュアエレメント１０は、プロセッサと、不揮発性メモリと、オペレーティングシステムとを含む埋め込みセキュアエレメント（ｅＳＥ）である。

代替的に、セキュアエレメント１０は、セキュアデジタル（ＳＤ）カード、ミニＳＤカード、マイクロＳＤカード、埋め込み汎用集積回路カード（ｅＵＩＣＣ）、スマートカード、統合セキュアエレメント（ｉＳＥ）あるいはソフトウェアセキュアエレメントであってもよい。

ＮＦＣコントローラ３０とセキュアエレメント１０は、ＮＦＣコントローラ３０とセキュアエレメント１０の間の接触モード通信を可能にする直接的シングルワイヤリンクにより繋がれている。好ましい実施形態では、ＮＦＣコントローラ３０及びセキュアエレメント１０はＴＳ １０２．６１３が定義するシングルワイヤプロトコル（ＳＷＰ）を使用する。

セキュアエレメント１０は、セキュリティインジケータ４０の更新を管理するソフトウェアアプリケーション４９を含む。ソフトウェアアプリケーション４９は、例えばＪａｖａ（登録商標）ｃａｒｄ言語のアプレットとして実装可能である。代替的に、ソフトウェアアプリケーション４９はセキュアエレメント１０のオペレーティングシステムの一部であってもよい。

セキュアエレメント１０は、少なくとも２つの異なるコンテキスト、すなわちライブコンテキストと検査コンテキストで動作するように設計される。セキュアエレメントは、ライブコンテキストで動作する際、セキュリティインジケータ４０をリセットしようとする全ての試みを拒絶する。セキュアエレメントは、検査コンテキストで動作する際、追加のセキュリティ条件が満たされればセキュリティインジケータ４０をリセットすることを認めることができる。セキュアエレメント１０は、検査コンテキストに１回切り替わり、検査コンテキストに切り替わろうとするさらなる全ての試みを拒絶するように設計される。

ＮＦＣコントローラ３０は、セキュアエレメント１０が検査コンテキストに切り替わることを要求するために、セキュアエレメント１０にトリガコマンド６０を送信するように適合される。例えば、トリガコマンド６０は、検査コンテキストへの切り替え要求に専用の特定のパラメータ値を有する、ＴＳ＿１０２ ６２２ ｖ１２０１００が定義するＡＮＹ＿ＳＥＴ＿ＰＡＲＡＭＥＴＥＲ（）コマンドであってよい。

ＮＦＣコントローラ３０はまた、セキュアエレメント１０が永久的にライブコンテキストに切り替わることを要求するために、セキュアエレメント１０に終了コマンド６５を送信するように適合される。例えば、終了コマンド６５は、ライブコンテキストへの切り替え要求に専用の特定のパラメータ値を有する、ＡＮＹ＿ＳＥＴ＿ＰＡＲＡＭＥＴＥＲ（）コマンドであってよい。

ＮＦＣコントローラ３０は、セキュアエレメント１０からの特定メッセージ６４の受信に応答して、終了コマンド６５をセキュアエレメント１０に送信するように適合されてよい。例えば、特定メッセージ６４は、ライブコンテキストへの切り替えが必要であることをＣＬＦ３０に通知することに専用の特定のパラメータ値を有する、ｔｓ＿１０２ ６２２ ｖ１２０１００が定義するＥＶＥＮＴ＿ＴＲＡＮＳＡＣＴＩＯＮ（）コマンドであってよい。

ＮＦＣコントローラ３０は、少なくとも２つの異なるモード、すなわちライブモードと検査モードで動作するように設計されてよい。ライブモードは、動作モード又はフィールドモードとも呼ばれる。ＮＦＣコントローラ３０は、ライブモードで動作する際、セキュアエレメント１０のコンテキストの変更を要求するいずれのコマンドも送信することができない。ＮＦＣコントローラ３０は、検査モードで動作する際、セキュアエレメント１０の現在のコンテキストを監視する。

ＮＦＣコントローラ３０は、管理装置８０から受信した切り替えコマンド６６を受信すると、検査モードに切り替わるとともに、トリガコマンド６０をセキュアエレメント１０に自動的に送信するように適合されてよい。例えば、ＣＬＦ３０に検査モードに切り替わらなければならないことを通知することに専用の特定のパラメータ値を有する切り替えコマンド６６は、ＵＳＢ接続又はＴＣＰ／ＩＰ接続（専用ソケットを使用する）で伝送可能である。

管理装置８０は、生産コンピュータ、又は少なくとも１つのコンピュータを含む検査プラットフォームであってよい。また、ＮＦＣコントローラ３０は、終了コマンド６５をセキュアエレメント１０に送信した後に自動的にライブモードに再度切り替わるように適合されてよい。

任意選択的に、ＮＦＣコントローラ３０は検査モードに一度だけ切り替わるように構成されてよい。

セキュアエレメント１０は、ＮＦＣコントローラ３０が送信したトリガコマンド６０を受信すると、検査コンテキストに切り替わるように構成される。セキュアエレメント１０は、このコマンドがＣＬＦとの通信に専用の物理インターフェイスを通じて受信される場合にのみトリガコマンド６０を受け入れることに留意すべきである。

セキュアエレメント１０は、アプリケーション５０が送信した回復コマンド６３に応答して、セキュアエレメント１０が現在検査コンテキストにある場合にのみ、セキュリティインジケータ４０を所定の値に設定するように構成される。セキュアエレメント１０は、このコマンドがアプリケーション５０との通信に専用の物理インターフェイスを通じて受信される場合にのみ回復コマンド６３を受け入れることに留意すべきである。

回復コマンド６３は、ＩＳＯ ７８１６−３／４が定義するＡＰＤＵの形で送信される専用コマンドであってよい。

ソフトウェアアプリケーション４９は、現在のコンテキストが検査コンテキストであることを確認するために、レジストリ４５の内容をチェックするように設計される。ソフトウェアアプリケーション４９は、レジストリ４５を読み取るアクセス権限を有することに留意されたい。トリガコマンド６０を実行する権限があるエンティティ（すなわちセキュアエレメント１０のオペレーティングシステム）、及びセキュリティインジケータ４０をリセットする権限があるエンティティ（すなわちアプリケーション４９）は、レジストリ４５を通じて現在のコンテキストを反映する１つの情報を共有する。

セキュアエレメント１０は、ＮＦＣコントローラ３０が送信した終了コマンド６５を受信すると、ライブコンテキストに切り替わるように構成される。

セキュアエレメント１０は、検査コンテキストへの切り替わりを記録し、さらなるいずれのトリガコマンドも拒絶するように構成される。換言すれば、セキュアエレメント１０は一度だけ検査コンテキストに切り替わることができる。セキュアエレメント１０は、レジストリ４５にコンテキストインジケータを格納するように適合されてよい。

好ましくは、セキュアエレメント１０は、アプリケーション５０がセキュアエレメント１０への認証に成功した場合にのみ、セキュリティインジケータ４０を所定の値に設定するように構成される。認証は、静的認証又は相互認証のような公知のメカニズムを使用して行うことができる。

所定の値は、セキュリティインジケータ４０のデフォルト値であってよい。

任意選択的に、セキュアエレメント１０は、セキュリティインジケータ４０が所定の値に回復するとすぐにＮＦＣコントローラに特定メッセージ６４を送信するように適合されてよい。

任意選択的に、（現在のコンテキストを反映する）コンテキストインジケータ及び（検査コンテキストへの切り替えが生じたことを反映する）スイッチインジケータは、２つの異なるレジストリに格納することができる。

有利には、セキュアエレメント１０は、電源が投入されると、最後の現在のコンテキストが何であったかに関係なくライブコンテキストで始まるように構成される。したがって、現在のコンテキストのインジケータは、セキュアエレメント１０の始動段階中に上書きされ得る。

アプリケーション５０は、Ａｎｄｒｏｉｄ（登録商標）環境、ｉＯＳ（登録商標）環境で、又は装置２０上で動く任意のオペレーティングシステムと共に動作するように設計されてよい。

任意選択的に、アプリケーション５０は、ＮＦＣコントローラ３０にコマンドを転送するスタンドアロンソフトウェアアプリケーション又はプロキシアプリケーションであってよい。

別の実施形態において、アプリケーション５０は、別のコンピュータ（すなわち装置２０の外部）に位置してよい。例えば、アプリケーション５０は、ＣＬＦ３０を介してセキュアエレメント１０に非接触コマンドを送信できるＮＦＣ対応コンピュータ又はＮＦＣリーダによりホストされてよい。

ソフトウェアアプリケーション４９は、（ハードコードされた）それ自体のコードに所定の値を含んでよい、又はセキュアエレメント１０の不揮発性メモリの別の領域から所定の値を取得してもよい。

図２は、本発明に係る埋設されたセキュアエレメントに格納されたセキュリティインジケータをリセットできるメッセージシーケンスの一例を示している。

ＮＦＣコントローラ３０、セキュアエレメント１０、アプリケーション５０、装置２０及び管理装置８０は、図１で説明したものと同様であると仮定される。

第１の実施形態において、セキュアエレメント１０は、ライブコンテキストにあると仮定され、検査コンテキストに切り替わったことがない。ＮＦＣコントローラ３０は、トリガコマンド６０をセキュアエレメント１０に送信する。セキュアエレメント１０はトリガコマンド６０を実行し、その結果、検査コンテキストに切り替わり、新しい現在のコンテキスト、及び検査コンテキストがアクティブ化されたという事実を記録するためにレジストリ４５を更新する。

次にセキュアエレメント１０は、アプリケーション５０が送信した回復コマンド６３を受信する。セキュアエレメントは、現在のコンテキストが検査コンテキストであることを（レジストリ４５をチェックすることによって）確認し、セキュアエレメント１０が現在検査コンテキストにあるためにセキュリティインジケータ４０を所定の値に設定する。現在のコンテキストがライブコンテキストである場合は、セキュアエレメント１０は、セキュリティインジケータ４０の更新を拒否する。セキュアエレメント１０は、アプリケーション５０が実行結果を認識するように、回復コマンド６３に対する応答を送信することができる。任意選択的に、この応答の受信によって、アプリケーション５０の装置２０からのアンインストールが誘発されてよい。

次にＮＦＣコントローラ３０は、永久的にライブコンテキストに切り替わるセキュアエレメントに終了コマンド６５を送信する。

有利には、アプリケーション５０及びソフトウェアアプリケーション４９は、その間でコマンドが送信されるたびにインクリメントされ、セキュアエレメントによる機密コマンドのリプレイを回避するコマンドカウンタを更新することができる。

第２の実施形態において、セキュアエレメント１０は、第１の実施形態で行われた動作に加えて、セキュリティインジケータ４０の更新後、ＮＦＣコントローラ３０に特定メッセージ６４を自動的に送信する。この特定メッセージ６４は、セキュアエレメント１０が検査コンテキストで実行する動作がもうないことをＣＬＦ３０に通知することが意図されている。ＣＬＦ３０による特定メッセージ６４の受信によって、ＮＦＣコントローラ３０による終了コマンド６５の送信が誘発される。このように、ＮＦＣコントローラ３０はセキュアエレメント１０の現在のコンテキストを完全に監視する。

第３の実施形態において、アプリケーション５０は、第１及び第２の実施形態で行われた動作に加えて、セキュアエレメント１０に認証コマンド６２を送信する。例えば、アプリケーション５０は、ＡＵＴＨＥＮＴＩＣＡＴＥコマンドを送信することができる。

この実施形態において、セキュアエレメントは、セキュリティインジケータ４０を更新する前にアプリケーション５０の認証が成功したかどうかをチェックし、認証不足の場合にセキュリティインジケータ４０のリセットを拒絶する。

有利には、アプリケーション５０は、ソフトウェアアプリケーション４９を選択するために、セキュアエレメント１０に（グローバルプラットフォームカード規範ｖ２．３が定義する）選択コマンドを送信することができる。この場合、認証コマンド６２はアプリケーション４９によって処理することができる。

任意選択的に、アプリケーション５０は、ソフトウェアアプリケーション４９にリードコマンドを送信してセキュリティインジケータ４０の現在値を入手する。

第４の実施形態において、管理装置８０は、これまでに提示した実施形態のいずれかで行われた動作に加えて、ＣＦＬが検査モードに切り替わることを要求するための切り替えコマンド６６をＮＦＣコントローラ３０に送信することができる。ＮＦＣコントローラ３０は、検査モードに切り替わり、トリガコマンド６０をセキュアエレメント１０に自動的に送信する。

ＮＦＣコントローラ３０が切り替えコマンド６６を処理する能力は、ＣＬＦ３０がライブモードに切り替わるときに損なわれる。したがって、切り替えコマンド６６は、検査モードがＣＬＦ側で一度使用された後に使用できなくなる。

好ましくは、管理装置８０は、接触通信インターフェイスを通じて切り替えコマンド６６をＮＦＣコントローラ３０に送信することができる。代替的に、管理装置８０は、ＣＬＦ３０の非接触通信インターフェイスを通じて切り替えコマンド６６を送信してもよい。

管理装置８０はまた、別の切り替えコマンドをアプリケーション５０に送信して、セキュリティインジケータをリセットするプロセスを同期化することができる。

この実施形態において、ＮＦＣコントローラ３０は、終了コマンド６５をセキュアエレメントに送信したときに（好ましくはコマンドを送信した直後に）自動的に再度切り替わる。

本発明は、ＣＬＦが監視する１つのセキュアエレメントに限定されない。ＮＦＣコントローラ３０は、装置２０がホストするいくつかのセキュアエレメントのコンテキストを管理することができる。例えば、ＮＦＣコントローラは、同数のセキュアエレメントに接続された２つ又は３つのＳＷＰリンクを有してよい。

本発明によると、セキュアエレメントの寿命は変化がなく、グローバルプラットフォームカード規範ｖ２．３に準拠し続ける可能性がある。

本発明は、フィールドでのセキュリティインジケータへの不正アクセスを防止することができる。

本発明によると、セキュアエレメントのコンテキストを監視するＮＦＣコントローラと、セキュリティインジケータの更新を要求する権限があるアプリケーション５０との協働が、強化されたセキュリティフレームワークをもたらす。ＮＦＣコントローラ及びアプリケーション５０は独自の論理チャネルを使用してセキュアエレメントと通信することに留意されたい。

一実施形において、アプリケーション５０は、セキュアエレメント１０と通信するためにＣＬＦ３０をパススルーとして使用することができる。この場合、ＮＦＣコントローラ３０は、メッセージをアプリケーション５０とセキュアエレメント１０の間で双方向に転送する。

本発明の範囲内において、上記の実施形態は非限定的な例として提供されていることが理解されなければならない。特に装置は、本発明に従って管理される任意の数のセキュアエレメントを備えてよい。

本発明は、説明された実施形態又は実施例に限定されない。特に、提示した実施形態及び実施例において説明した特徴を組み合わせてよい。

装置２０のアーキテクチャ、及び図１に示したセキュアエレメントのアーキテクチャは、単なる例として提供されている。これらのアーキテクチャは異なってもよい。

本発明は、取り外せないセキュアエレメントを管理することに適している。

Claims (9)

1. ＮＦＣコントローラ（３０）を備えた装置（２０）に埋設され、セキュリティインジケータ（４０）を備えたセキュアエレメント（１０）を管理する方法であって、
   前記方法が、
   −前記セキュアエレメント（１０）が、前記ＮＦＣコントローラ（３０）が送信したトリガコマンド（６０）を受信すると、前記セキュアエレメント（１０）が前記セキュリティインジケータ（４０）をリセットすることを認めることができる検査コンテキストに切り替わるステップと、
   −前記セキュアエレメント（１０）が、アプリケーション（５０）が送信した回復コマンド（６３）を受信すると、前記セキュアエレメント（１０）が前記検査コンテキストにある場合にのみ前記セキュリティインジケータ（４０）を所定の値に設定するステップと、
   −前記セキュアエレメント（１０）が、前記ＮＦＣコントローラ（３０）が送信した終了コマンド（６５）を受信すると、前記セキュアエレメント（１０）が前記セキュリティインジケータ（４０）をリセットしようとするいずれの試みも拒否するライブコンテキストに切り替わるステップであって、前記セキュアエレメント（１０）が前記検査コンテキストへの前記切り替わりを記録し、さらなるいずれのトリガコマンドも拒否するステップと、
   −前記ＮＦＣコントローラ（３０）が、管理装置（８０）が送信した切り替えコマンド（６６）を受信すると、検査モードに切り替わり、前記トリガコマンド（６０）を前記セキュアエレメント（１０）に送信するステップと、
   −前記ＮＦＣコントローラ（３０）が、前記終了コマンド（６５）を送信した後にライブモードに自動的に切り替わるステップと、
   を含むことを特徴とする方法。
2. 前記セキュアエレメント（１０）が、前記アプリケーション（５０）の前記セキュアエレメント（１０）に対する認証が成功した場合にのみ、前記セキュリティインジケータ（４０）を前記所定の値に設定する、請求項１に記載の方法。
3. 前記セキュアエレメント（１０）が、前記セキュリティインジケータ（４０）が前記所定の値に設定されたときに、前記ＮＦＣコントローラ（３０）に特定メッセージ（６４）を送信し、前記ＮＦＣコントローラ（３０）が、前記特定メッセージ（６４）の受信に応答して前記終了コマンド（６５）を送信する、請求項１に記載の方法。
4. 前記アプリケーション（５０）が、前記装置（２０）又は外部コンピュータのいずれかによりホストされる、請求項１に記載の方法。
5. 請求項１に記載の方法で動作するセキュアエレメント（１０）を備えた装置（２０）であって、前記ＮＦＣコントローラ（３０）が、前記セキュアエレメント（１０）が前記検査コンテキストに切り替わることを要求するために、前記トリガコマンド（６０）を前記セキュアエレメント（１０）に送信するように構成され、前記ＮＦＣコントローラ（３０）が、前記セキュアエレメント（１０）が前記ライブコンテキストに永久的に切り替わることを要求するために、前記終了コマンド（６５）を前記セキュアエレメント（１０）に送信するように構成される装置（２０）。
6. 前記装置（２０）が、前記セキュアエレメント（１０）に対する認証と、前記セキュアエレメント（１０）が前記セキュリティインジケータ（４０）を所定の値に設定することを要求するための、回復コマンド（６３）の前記セキュアエレメント（１０）への送信とを共に行うように構成されたアプリケーション（５０）を備える、請求項５に記載の装置（２０）。
7. 前記ＮＦＣコントローラ（３０）が、前記セキュアエレメント（１０）から受信した特定メッセージ（６４）の受信に応答して前記終了コマンド（６５）を送信するように構成される、請求項５に記載の装置（２０）。
8. 前記ＮＦＣコントローラ（３０）が、管理装置（８０）が送信した切り替えコマンド（６６）を受信すると検査モードに切り替わり、前記トリガコマンド（６０）を前記セキュアエレメント（１０）に送信するように構成され、前記ＮＦＣコントローラ（３０）が、前記終了コマンド（６５）を送信した後に自動的にライブモードに切り替わるように構成される、請求項５に記載の装置（２０）。
9. 前記装置が、携帯電話機、接続されたウォッチ、タブレット、又はコンピュータに埋設された電子デバイスである、請求項５に記載の装置（２０）。

Images