JP7363844B2 - セキュアエレメントおよびデータオブジェクトへのアクセス管理方法 - Google Patents

Description

本発明は，外部からの解析攻撃に対して強固な耐タンパー性を持つ半導体製品であるセキュアエレメントに関する。

外部からの解析攻撃に対して強固な耐タンパー性を持つ半導体製品であるセキュアエレメントを搭載したデバイスが増えている。セキュアエレメントを搭載したデバイスとしては，ＳＩＭカード（Subscriber Identity Module Card）などのＩＣカード，スマートフォンおよびＩｏＴ（Internet Of Things）機器などがある。

セキュアエレメントは，ＴＬＶ形式でデータオブジェクト化した様々なデータを格納する。ＴＬＶ形式のデータオブジェクトは，２つまたは３つの連続したフィールドで構成される。ＴａｇおよびＬｅｎｇｔｈは必須のフィールドで，Ｖａｌｕｅは条件付きのフィールドになる。Ｔａｇは，データオブジェクトの種別（クラス）の識別に利用される情報である。Ｌｅｎｇｔｈは，Ｖａｌｕｅのデータ長を示す情報である。Ｖａｌｕｅは，データオブジェクトのデータ本体である。これ以降，データオブジェクトとは，ＴＬＶ形式のデータオブジェクトを意味する。

非特許文献１などの規格では２種類のデータオブジェクトを規定している。簡易符号化データオブジェクトとＢＥＲ－ＴＬＶデータオブジェクトである。簡易符号化データオブジェクトの場合，他のデータオブジェクトをＶａｌｕｅに格納できないが，ＢＥＲ－ＴＬＶデータオブジェクトの場合，他のデータオブジェクトをＶａｌｕｅに格納できる。Ｖａｌｕｅにデータオブジェクトを格納した構造のＢＥＲ－ＴＬＶデータオブジェクトは構造化ＢＥＲ－ＴＬＶデータオブジェクトと呼ばれる。

セキュアエレメントは高いセキュリティが要求される用途で使用される。セキュアエレメントに格納するデータオブジェクトのＶａｌｕｅには，個人識別に用いる番号，暗号鍵および電子証明証など，機密性の高いデータが格納される。

機密性の高いデータオブジェクトを格納するセキュアエレメントでは，データオブジェクトに係るアクセス権を満たす場合のみ，データオブジェクトの使用が許可される。非特許文献１などの規格で記載されているように，従来のセキュリティエレメントでは，データオブジェクトのアクセス権は，データオブジェクトそのものに定義されておらず，データオブジェクトを格納する基礎ファイルによって定義される。

基礎ファイルに格納するデータオブジェクトの数が一つの場合，または，基礎ファイルに格納するデータオブジェクトの数が複数であっても，データオブジェクトのアクセス権が同じの場合，基礎ファイルに設定するアクセス権を一意に決定できる。しかし，複数のデータオブジェクトを基礎ファイルに格納する場合，または，構造化ＢＥＲ－ＴＬＶデータオブジェクトを基礎ファイルに格納する場合，基礎ファイルに設定するアクセス権を一意に決定できないことがある。

簡易符号化データオブジェクトのＶａｌｕｅの数は１つであるのに対し，構造化ＢＥＲ－ＴＬＶデータオブジェクトに含まれるＶａｌｕｅの数は１つではない。よって，構造化ＢＥＲ－ＴＬＶデータオブジェクトの場合，Ｖａｌｕｅに格納するデータで重要性が異なると，構造化ＢＥＲ－ＴＬＶデータオブジェクトのアクセス権は一意に定まらない。

このことを鑑みると，基礎ファイルにデータオブジェクトを格納する場合，データオブジェクトの単位でアクセス権を設定できることが望ましいと言える。しかし，特許文献１で開示された発明のように，構造化ＢＥＲ－ＴＬＶデータオブジェクトに係る従来の技術は，構造化ＢＥＲ－ＴＬＶデータオブジェクトに効率よくアクセスできることに主眼を置いており，上述したことについては考慮されていない。

特開２０１８－６７１８７号公報

ＪＩＳ規格 Ｘ ６３２０－４：２０１７

そこで，本発明は，データオブジェクトを格納するセキュアエレメントにおいて，データオブジェクトの単位でアクセス権を設定できるようにすることを目的とする。

本発明の課題を解決する第１発明は，データオブジェクトを格納するメモリに設定されたアクセス管理領域ごとに，前記アクセス管理領域の範囲と前記アクセス管理領域に設定されたアクセス権を記したアクセス権テーブルと，アクセス対象になるデータオブジェクトの領域を含む前記アクセス管理領域を前記アクセス権テーブルから検索し，この前記アクセス管理領域に設定されたアクセス権に従い実行を管理するコマンドを備え，前記コマンドは，アクセス対象になるデータオブジェクトの領域を含む複数の前記アクセス管理領域を前記アクセス権テーブルから検索すると，複数の前記アクセス管理領域において最下位領域になる前記アクセス管理領域に設定されたアクセス権に従いコマンドの実行を管理することを特徴とするセキュアエレメントである。

第２発明は，第１発明に記載したセキュアエレメントにおいて，アプリケーションを格納するアプリケーション格納領域ごとに前記アクセス管理領域が設定され，アプリケーションに対応する前記アクセス権テーブルは前記アプリケーション格納領域に格納されており，前記コマンドは，カレントになっているアプリケーションに対応する前記アプリケーション格納領域に格納された前記アクセス権テーブルから前記アクセス管理領域を検索することを特徴とする。

第３発明は，第１発明または第２発明に記載したセキュアエレメントにおいて，アクセス対象になるデータオブジェクトがＢＥＲ－ＴＬＶデータオブジェクトの場合，前記コマンドは，Ｖａｌｕｅに含まれるデータオブジェクトについては，このデータオブジェクトを範囲とする前記アクセス管理領域に設定されたアクセス権を優先して，前記コマンドの動作に係る処理を実行することを特徴とする。

本発明の課題を解決する第４発明は，セキュアエレメントに格納されたデータオブジェクトへのアクセスを管理する方法であって，データオブジェクトを格納するメモリに設定されたアクセス管理領域ごとに，前記アクセス管理領域の範囲と前記アクセス管理領域に設定されたアクセス権を記したアクセス権テーブルをメモリに設け，データオブジェクトにアクセスするコマンドが，アクセス対象になるデータオブジェクトの領域を含む前記アクセス管理領域を前記アクセス権テーブルから検索し，この前記アクセス管理領域に設定されたアクセス権に従い実行を管理するステップを含み，前記コマンドは，アクセス対象となるデータオブジェクトの領域を含む複数の前記アクセス管理領域を前記アクセス権テーブルから検索すると，複数の前記アクセス管理領域において最下位領域になる前記アクセス管理領域に設定されたアクセス権に従い実行を管理することを特徴とするデータオブジェクトへのアクセス管理方法である。

第５発明は，第４発明に記載したデータオブジェクトへのアクセス管理方法において，アプリケーションごとに前記アクセス管理領域を設定し，アプリケーションに対応する前記アクセス権テーブルをアプリケーション格納領域に格納し，前記コマンドは，カレントになっているアプリケーションに対応する前記アプリケーション格納領域に格納された前記アクセス権テーブルから前記アクセス管理領域を検索することを特徴とする。

第６発明は，第４発明または第５発明に記載したセキュアエレメントにおいて，アクセス対象になるデータオブジェクトがＢＥＲ－ＴＬＶデータオブジェクトの場合，前記コマンドが，Ｖａｌｕｅに含まれるデータオブジェクトについては，このデータオブジェクトを範囲とする前記アクセス管理領域に設定されたアクセス権を優先して，前記コマンドの動作に係る処理を実行するステップを含むことを特徴とする。

第７発明は，第１発明から第３発明のいずれか一つに記載したセキュアエレメントを実装したデバイスである。

本発明は，アクセス管理領域の単位でアクセス権を設定できるように構成されている。アクセス管理領域の単位でアクセス権を設定できれば，ファイルの単位，構造化ＢＥＲ－ＴＬＶデータオブジェクトの単位などの区切りを意識することなく，データオブジェクトの単位でアクセス権の設定が行える。

セキュアエレメント（ＳＥ）の構成を説明する図。 ＳＥに実装するアプリケーションの論理構造を説明する図。 アプリケーション格納領域を説明する図 アクセス管理領域を説明する第１図。 アクセス管理領域を説明する第２図。 アクセス管理領域を説明する第３図。 アクセス権テーブルを説明する図。 ＳＥが備えるコマンドの動作を説明する図。 ＳＥを実装したデバイスを説明する図。

ここから，本発明に係る実施形態について記載する。本実施形態は，本発明の理解を容易にするためのものである。本発明は，本実施形態に限定されるものではない。また，特に断りのない限り，図面は，本発明の理解を容易にするために描かれた模式的な図である。

図１は，本実施形態に係るセキュアエレメント１（以下，「ＳＥ」と記す。ＳＥは，Secure Elementの略。）の構成を説明する図である。図２は，ＳＥ１に実装するアプリケーション１２のファイル構造１３を説明する図である。

図１を参照すると，ＳＥ１は，ＳＥ１を構成するコンポーネントとして，ＩＣチップ１０，オペレーティングシステム１１（以下，「ＯＳ」と記す。ＯＳは，Operating Systemの略）および一つまたは複数のアプリケーション１２を含んでいる。

ＩＣチップ１０は，ＳＥ１のハードウェアである。ＩＣチップ１０には，ＳＥ１で必要となる様々な回路が集積される。図１では，ＩＣチップ１０に集積された回路として，様々な演算を行うＣＰＵ１００（CPU: Central Processing Unit），揮発性のメモリであるＲＡＭ１０２（RAM: Random Access Memory），読取り専用の不揮発性メモリであるＲＯＭ１０１（ROM: Read Only Memory），電気的な書き換え可能な不揮発性メモリであるＮＶＲＡＭ１０３（NVMRA: Non-Volatile Random Access Memory），および，特殊な演算（例えば，暗号演算）に特化したコプロセッサ１０４を図示している。当然のことながら，ＩＣチップ１０に集積する回路は，これらの回路に限定されない。

ＯＳ１１は，ＩＣチップ１０に実装された回路（例えば，ＮＶＲＡＭ１０３などのメモリ）の管理，および，ＳＥ１で実行される処理の管理など，ＳＥ１の基本動作を制御するコンピュータプログラムである。ＯＳ１１は，アプリケーション１２が動作するために必要な様々な機能を提供する。図１を参照すると，ＯＳ１１は，アプリケーション１２に提供する機能として，データオブジェクトにアクセスするコマンド１１０とファイルシステム１１１を有している。

本実施形態において，ＯＳ１１が提供するファイルシステム１１１はＩＳＯ７８１６に準じている。データオブジェクトにアクセスするコマンド１１０は，外部の端末からの要求によって実行される。コマンド１１０には，読み出し系コマンドおよび更新系コマンドなどが含まれる。

本実施形態において，アプリケーション１２のファイル構造１３は，ＩＳＯ７８１６に準じている。図２で図示した通り，アプリケーション１２のファイル構造１３は，ＭＦ１３０（MF: Master File），ＡＤＦ１３２（ADF: Application Dedicated File），基礎ファイルであるＥＦ１３３（EF: Elementary File）などのファイルを階層的に配置した構造になっている。

ＭＦ１３０は，図２で図示した階層構造の根幹となるＤＦ（DF: Dedicated File）である。ＡＤＦ１３２は，一つのアプリケーション１２を格納するＤＦである。図２では，２つのＡＤＦ１３２がＭＦ１３０の直下に配置されている。ＥＦ＿Ｄｉｒ１３１（EF_Dir: Elementary File DIRectory）は，ＡＤＦ１３２のエントリー情報を格納するＥＦ１３３である。図２のＥＦ＿Ｄｉｒ１３１は，ＡＤＦ１３２ａのエントリー情報とＡＤＦ１３２ｂのエントリー情報を格納する。ＳＥ１を利用する端末は，ＥＦ＿Ｄｉｒ１３１を利用することでＡＤＦ１３２にアクセスできる。

ＡＤＦ１３２は，ＡＤＦ１３２に対応するアプリケーション１２で使用される一つまたは複数のＥＦ１３３を格納する。例えば，図２を参照すると，ＡＤＦ１３２ａは，ＥＦ１３３ａ～ＥＦ１３３ｎを格納する。ＥＦ１３３は，ＡＤＦ１３２に対応するアプリケーション１２が使用するデータオブジェクトを格納する。従来，データオブジェクトに対するアクセス権は，データオブジェクトを格納するＥＦ１３３で定義されていた。これに対し，本発明に従うＳＥ１は，データオブジェクトを格納する不揮発性メモリ（例えば，ＮＶＲＡＭ１０３）の領域にアクセス管理領域を設定し，アクセス管理領域にアクセス権を設定できるように構成されている。

これは，複数のデータオブジェクトを一つのＥＦ１３３に格納する場合，または，構造化ＢＥＲ－ＴＬＶデータオブジェクトをＥＦ１３３に格納する場合など，データオブジェクトごとにアクセス権の設定を求められるケースがあるからである。アクセス管理領域の単位でアクセス権を設定することで，ＥＦ１３３の単位，構造化ＢＥＲ－ＴＬＶデータオブジェクトの単位などの区切りを意識することなく，データオブジェクトの単位でアクセス権の設定が行える。

本実施形態に係るＳＥ１は，複数のアプリケーション１２を実装できるマルチアプリケーションに対応する。このため，本実施形態に係るＳＥ１では，アプリケーション１２ごとにアクセス管理領域を設定できる。アクセス管理領域は，アプリケーション１２を格納させた不揮発性メモリの領域（ここで，一つのＡＤＦ１３２の領域になる）であるアプリケーション格納領域に設定される。アクセス管理領域に設定したアクセス権は，アクセス管理領域が設定されたアプリケーション格納領域に対応するアプリケーション１２に適用される。なお，一つのアプリケーション１２しか実装できないシングルアプリケーションに対応したＳＥ１の場合，アクセス管理領域に設定したアクセス権はＳＥ１の全体に適用されることになる。

図２では，ＡＤＦ１３２ａとＡＤＦ１３２ｂが配置されている。ＡＤＦ１３２ａに対応するアプリケーション格納領域には，ＡＤＦ１３２ａに対応するアプリケーション１２のアクセス管理領域が設定される。ＡＤＦ１３２ｂに対応するアプリケーション格納領域には，ＡＤＦ１３２ｂに対応するアプリケーション１２のアクセス管理領域が設定される。なお，アクセス管理領域は，アプリケーション格納領域の全体，または，このアプリケーション格納領域の一部領域になる。

図３は，ＡＤＦ１３２ａに係るアプリケーション格納領域１４を説明する図である。図４は，ＡＤＦ１３２ａに係るアプリケーション格納領域１４に設定されたアクセス管理領域１８を説明する第１図である。図５は，ＡＤＦ１３２ａに係るアプリケーション格納領域１４に設定されたアクセス管理領域１８を説明する第２図である。図６は，ＡＤＦ１３２ａに係るアプリケーション格納領域１４に設定されたアクセス管理領域１８を説明する第３図である。

図３で図示した通り，ＡＤＦ１３２ａに係るアプリケーション格納領域１４の先頭には，ＡＤＦ１３２ａの下に配置されたＥＦ１３３を管理する情報であるＥＦ管理情報１５が格納される。図２を参照すると，ＡＤＦ１３２ａの下にはＥＦ１３３ａ～ＥＦ１３３ｎが配置されているため，ＡＤＦ１３２ａに係るアプリケーション格納領域１４の先頭から順に，ＥＦ１３３ａ～ＥＦ１３３ｎそれぞれのＥＦ管理情報１５が格納される。ＥＦ管理情報１５は，ＥＦ管理情報１５に対応するＥＦ１３３が格納するデータオブジェクトへの参照先を示すデータオブジェクト参照先１５０を含んでいるが，アクセス権に係る情報を含んでいない。

図３で図示した通り，ＡＤＦ１３２ａに係るアプリケーション格納領域１４には，ＥＦ管理情報１５の後に，ＡＤＦ１３２ａの下に配置したＥＦ１３３に格納するデータオブジェクト１６が格納される。Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａは，ＥＦ１３３ａに格納されたデータオブジェクト１６である。図３を参照すると，Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａは，構造化ＢＥＲ－ＴＬＶデータオブジェクトの構造になっている。Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａは，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂとＴａｇが「５Ｆ２Ｅ」であるデータオブジェクト１６ｃを含んでいる。図３において，Ｔａｇが「９Ｆ１８」であるデータオブジェクト１６ｄは，ＥＦ１３３ｂに格納されたデータオブジェクトである。ＥＦ１３３ｂに格納されたデータオブジェクト１６ｄは，単純なＢＥＲ－ＴＬＶデータオブジェクトの構造になっている。

図３で図示した通り，ＡＤＦ１３２ａに係るアプリケーション格納領域１４には，ＡＤＦ１３２ａに係るＥＦ１３３が格納するデータオブジェクトの後に，ＡＤＦ１３２ａに対応するアプリケーション１２のアクセス権テーブル１７が格納される。アクセス権テーブルとは，アプリケーション格納領域に設定されたアクセス管理領域ごとに，アクセス管理領域の範囲情報とアクセス管理領域に設定されたアクセス権を格納するデータテーブルである。

本実施形態では，ＡＤＦ１３２ａに係るアプリケーション格納領域１４には３つのアクセス管理領域１８が設定される。それぞれのアクセス管理領域１８は領域番号により識別される。図４では，領域番号が「０１」であるアクセス管理領域１８ａを太線で図示している。アクセス管理領域１８ａは，アクセス権テーブル１７を除くアプリケーション格納領域１４を範囲としている。図５では，領域番号が「０２」であるアクセス管理領域１８ｂを太線で図示している。アクセス管理領域１８ｂは，Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａの領域を範囲としている。図６では，領域番号が「０３」であるアクセス管理領域１８ｃを太線で図示している。アクセス管理領域１８ｃは，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂの領域を範囲としている。Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂは，Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａのＶａｌｕｅに含まれる。

図７は，アクセス権テーブル１７を説明する図である。図７で図示したアクセス権テーブル１７はレコード構造になっている。アクセス権テーブル１７のレコードは，一つのアクセス管理領域１８に対応する。アクセス権テーブル１７のレコードには，アクセス管理領域１８の識別に用いる領域番号，アクセス管理領域１８の範囲，アクセス管理領域１８に設定されたアクセス権が格納される。

領域番号は，アクセス管理領域に振られたシリアル番号である。アクセス権テーブル１７のレコード番号を領域番号として利用できる。アクセス管理領域１８の範囲は，アクセス管理領域１８の先頭アドレスとアクセス管理領域１８のサイズを含む。

アクセス管理領域に設定するアクセス権は，アクセス管理領域に対して許可されている動作を示すアクセスモードごとに，アクセスモードとアクセスモードに対するセキュリティ条件を含む情報である。図７においてアクセスモードは「読出し」と「更新」である。図４で図示したアクセス管理領域１８ａの場合，「読出し」に対するセキュリティ条件と「更新」に対するセキュリティ条件は共に「不可」である。図５で図示したアクセス管理領域１８ｂの場合，「読出し」に対するセキュリティ条件は「可」で，「更新」に対するセキュリティ条件も「可」である。図６で図示したアクセス管理領域１８ｃの場合，「読出し」に対するセキュリティ条件と「更新」に対するセキュリティ条件は共に「要認証」である。なお，「要認証」とは，定められた認証の成功が必要であることを意味する。

データオブジェクトの単位でアクセス権を設定することを考慮すると，アクセス管理領域が他のアクセス管理領域を包含することが考えられる。この場合，下位領域となるアクセス管理領域については，下位領域となるアクセス管理領域に設定されたアクセス権が優先される。なお，下位領域とは，包含される側のアクセス管理領域を意味する。

図４から図６を参照すれば，図４で図示したアクセス管理領域１８ａは，図５で図示したアクセス管理領域１８ｂを包含する。アクセス管理領域１８ｂはアクセス管理領域１８ａの下位領域となる。アクセス管理領域１８ｂを除くアクセス管理領域１８ａの領域へのアクセスには，アクセス管理領域１８ａに設定されたアクセス権が用いられる。アクセス管理領域１８ｂへのアクセスには，アクセス管理領域１８ａに設定されたアクセス権ではなく，アクセス管理領域１８ｂに設定されたアクセス権が用いられる。

図５で図示したアクセス管理領域１８ｂは，図６で図示したアクセス管理領域１８ｃを包含する。アクセス管理領域１８ｂはアクセス管理領域１８ｂの下位領域となる。アクセス管理領域１８ｃの領域を除くアクセス管理領域１８ｂの領域へのアクセスには，アクセス管理領域１８ｂに設定されたアクセス権が用いられる。アクセス管理領域１８ｃへのアクセスには，アクセス管理領域１８ｂに設定されたアクセス権ではなく，アクセス管理領域１８ｃに設定されたアクセス権が用いられる。

図７で図示したアクセス権テーブル１７は，アクセス管理領域１８の階層順に沿う内容になっている。アクセス管理領域１８ａからアクセス管理領域１８ｃにおいて最上位領域となるアクセス管理領域１８はアクセス管理領域１８ａになる。図７で図示したアクセス権テーブル１７において，アクセス管理領域１８ａに対応するレコードは先頭に配置されている。アクセス管理領域１８ａからアクセス管理領域１８ｃにおいて２番目の上位領域となるアクセス管理領域１８はアクセス管理領域１８ｂになる。図７で図示したアクセス権テーブル１７において，アクセス管理領域１８ｂに対応するレコードは２番目に配置されている。アクセス管理領域１８ａからアクセス管理領域１８ｃにおいて最下位領域となるアクセス管理領域１８はアクセス管理領域１８ｃになる。図７で図示したアクセス権テーブル１７において，アクセス管理領域１８ｃに対応するレコードは３番目に配置されている。

ここから，ＳＥ１が備えるコマンド１１０について説明する。ＳＥ１が備えるコマンド１１０は，アクセス権テーブルを参照して，コマンドの実行を管理するセキュリティ機能を有している。ＳＥ１は，コマンドの実行を管理するためのセキュリティステータスをＲＡＭ１０２に保持している。非特許文献１に記載がある通り，セキュリティステータスは，リセット応答後に実行した認証の実行結果を示す情報である。認証としては，パスワードの照合，または，暗号鍵を用いた暗号文の照合などがある。

ＳＥ１が備えるコマンド１１０は，アクセス権テーブルを参照して，アクセス対象となるデータオブジェクトの領域を含むアクセス管理領域に設定されたアクセス権から，コマンド１１０の動作に対応するセキュリティ条件を読み取り，セキュリティステータスがこのセキュリティ条件を満たす場合のみ，コマンド１１０に係る処理を実行する。

図８は，ＳＥ１が備えるコマンド１１０の動作を説明する図である。図８の説明は，方法のカテゴリーに係る発明であるデータオブジェクトへのアクセス管理方法の説明を兼ねている。

コマンド１１０の実行を管理する際，コマンド１１０は，コマンド１１０がアクセスするデータオブジェクトを，この時点でカレントになっているＡＤＦ１３２に対応するアプリケーション格納領域から検索し（Ｓ１），アクセス対象となるデータオブジェクトの領域を特定する（Ｓ２）。カレントになっているＡＤＦ１３２とは，この時点で選択されたＡＤＦ１３２を意味する。データオブジェクトの検索にはＴａｇが少なくとも利用される。

次に，コマンド１１０は，アクセス対象となるデータオブジェクトの領域を含む全てのアクセス管理領域を，カレントになっているアクセス権テーブルから検索する（Ｓ３）。カレントになっているアクセス権テーブルとは，カレントになっているＡＤＦ１３２に対応するアプリケーション格納領域に格納されているアクセス権テーブルである。

次に，コマンド１１０は，アクセス対象となるデータオブジェクトの領域を含む全てのアクセス管理領域の中から最下位領域になるアクセス管理領域を，コマンド１１０の実行管理に用いるアクセス管理領域として特定する（Ｓ４）。コマンド１１０が最下位領域になるアクセス管理領域を容易に識別できるように，アクセス権テーブルのレコード順をアクセス管理領域の階層順に沿うようにすることが望ましい。なお，データオブジェクトの領域を含むアクセス管理領域が一つの場合，これが最下位領域のアクセス管理領域になる。

次に，コマンド１１０は，コマンド１１０の実行管理に用いるアクセス管理領域に対応するレコード（アクセス権テーブルのレコード）で記されたアクセス権から，コマンド１１０の動作に対応するセキュリティ条件を読み取る（Ｓ５）。次に，コマンド１１０は，コマンド１１０の動作に対応するセキュリティ条件とこの時点のセキュリティステータスを照合する（Ｓ６）。コマンド１１０は，セキュリティステータスがコマンド１１０の動作に対応するセキュリティ条件を満たす場合，コマンド１１０の動作に係る処理を実行する（Ｓ７）。コマンド１１０は，セキュリティステータスがコマンド１１０の動作に対応するセキュリティ条件を満たさない場合，コマンド１１０を実行しない（Ｓ８）。これで，図８の説明は終了する。

図３で図示したアプリケーション格納領域１４において，Ｔａｇが「９Ｆ１８」であるデータオブジェクト１６ｄにアクセスする場合について考える。図８のステップＳ３において，コマンド１１０がデータオブジェクトを検索するアプリケーション格納領域は，ＡＤＦ１３２ａに対応するアプリケーション格納領域１４になる。また，図８のステップＳ２において，コマンド１１０が特定するデータオブジェクトの領域は，図６の太線で示した領域になる。

図８のＳ３において，コマンド１１０が検索するアクセス管理領域は，Ｔａｇが「９Ｆ１８」であるデータオブジェクト１６ｄを包含するアクセス管理領域になる。Ｔａｇが「９Ｆ１８」であるデータオブジェクト１６ｄを包含するアクセス管理領域は，図４の太線で図示したアクセス管理領域１８ａになる。よって，Ｔａｇが「９Ｆ１８」であるデータオブジェクト１６ｄへのアクセスには，アクセス管理領域１８ａに設定されたアクセス権が適用される。

図７においては，アクセス管理領域１８ａに対応するレコードは１行目のレコードになる。図７で図示したアクセス権テーブル１７の１行目のレコードで記されたアクセス権は「読出し:不可，更新:要不可」である。よって，読出し系および更新系のいずれの場合でも，コマンド１１０は，コマンド１１０に動作に係る処理を中止する。

次に，図３で図示したアプリケーション格納領域１４において，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂにアクセスする場合について考える。図８のステップＳ３において，コマンド１１０がデータオブジェクトを検索するアプリケーション格納領域は，ＡＤＦ１３２ａに対応するアプリケーション格納領域１４になる。また，図８のステップＳ２において，コマンド１１０が特定するデータオブジェクトの範囲は，図６の太線で示した領域になる。

図８のＳ３において，コマンド１１０が検索するアクセス管理領域は，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂを包含するアクセス管理領域になる。Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂを包含するアクセス管理領域は，図４の太線で図示したアクセス管理領域１８ａと，図５の太線で図示したアクセス管理領域１８ｂと，図６の太線で図示したアクセス管理領域１８ｃになる。図８のＳ４において，コマンド１１０が特定するアクセス管理領域は，アクセス管理領域１８ａ，アクセス管理領域１８ｂおよびアクセス管理領域１８ｃにおいて最下位領域となるアクセス管理領域１８ｃになる。

図８のＳ５において，コマンド１１０がセキュリティ条件を読み取るアクセス権テーブルのレコードは，図７においては，アクセス管理領域１８ｃに対応する３行目のレコードになる。図７で図示したアクセス権テーブル１７の３行目のレコードで記されたアクセス権は「読出し:要認証，更新:要認証」である。このアクセス権によれば，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂに許可されているコマンド１１０の動作は，読出し系と更新系になり，読出し系と更新系のいずれでもセキュリティ条件は要認証である。

図８のＳ６において，コマンド１１０は，この時点におけるセキュリティステータスを参照し，セキュリティ条件で定められた認証に成功しているか否かを判断し，セキュリティ条件で定められた認証に成功している場合のみ，コマンド１１０の動作に係る処理を実行する。

アクセス対象となるデータオブジェクトがＢＥＲ－ＴＬＶデータオブジェクトの場合について，コマンド１１０が実行する処理を説明する。

ＢＥＲ－ＴＬＶデータオブジェクトのＶａｌｕｅは他のデータオブジェクトを含む。本実施形態に係るＳＥ１では，データオブジェクトごとにアクセス権を設定できるため，コマンド１１０がアクセスするデータオブジェクトがＢＥＲ－ＴＬＶデータオブジェクトの場合，コマンド１１０のアクセス対象となるデータオブジェクト（ＢＥＲ－ＴＬＶデータオブジェクトになる）に適用するアクセス権と，Ｖａｌｕｅに含まれるデータオブジェクトに適用するアクセス権が異なる場合がある。

このことを解決するため，アクセス対象になるデータオブジェクトがＢＥＲ－ＴＬＶデータオブジェクトの場合，本実施形態に係るコマンド１１０は，Ｖａｌｕｅに含まれるデータオブジェクトについては，このデータオブジェクトを範囲とするアクセス管理領域に設定されたアクセス権を優先して，コマンドの動作に係る処理を実行する。

コマンド１１０がアクセスするデータオブジェクトがＢＥＲ－ＴＬＶデータオブジェクトであるか否かはＴａｇによって示される。非特許文献１の場合，Ｔａｇの先頭バイトのビットｂ６によってＶａｌｕｅの符号化が示される。非特許文献１に従えば，ＢＥＲ－ＴＬＶデータオブジェクトの場合，Ｔａｇの先頭バイトのビットｂ６は「１」になる。

ＢＥＲ－ＴＬＶデータオブジェクトのＶａｌｕｅに含まれるデータオブジェクトについて，このデータオブジェクトを範囲とするアクセス管理領域に設定されたアクセス権を優先するとは，セキュリティ条件が満たされているデータオブジェクトをコマンドの動作に係る処理の対象とし，セキュリティ条件が満たされていないデータオブジェクトをコマンドの動作に係る処理の対象としないことを意味する。

セキュリティ条件が満たされていないデータオブジェクトに対する具体的な措置はコマンドの種別に応じて異なる。コマンドの動作が読み出し系の場合，セキュリティ条件が満たされていないデータオブジェクトに対する措置として，セキュリティ条件が満たされていないデータオブジェクトの読み出しデータをマスク処理（例えば，「ＦＦ」の値で埋める）することが考えられる。また，コマンドの動作が更新系の場合，セキュリティ条件が満たされていないデータオブジェクトに対する措置として，セキュリティ条件が満たされていないデータオブジェクトの更新を禁止する。

図３で図示したアプリケーション格納領域１４において，Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａを読み出す場合について考える。Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａは，Ｔａｇの１バイト目の値である「７Ｆ」によって，ＢＥＲ－ＴＬＶデータオブジェクトであることが示されている。図３を参照すると，Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａは，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂとＴａｇが「５Ｆ２Ｅ」であるデータオブジェクト１６ｃを含んでいる。

図４から図６を参照すれば，Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａのＶａｌｕｅに含まれ，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂの領域にはアクセス管理領域１８ｃが設定されている。Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂの領域を除き，Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａの領域には，アクセス管理領域１８ｂに設定されたアクセス権が適用される。Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂの領域には，アクセス管理領域１８ｃに設定されたアクセス権が適用される。

図７においては，アクセス管理領域１８ｂに対応するレコードは２行目のレコードになる。図７で図示したアクセス権テーブル１７の２行目のレコードで記されたアクセス権は「読出し:可，更新:可」である。図７においては，アクセス管理領域１８ｃに対応するレコードは３行目のレコードになる。図７で図示したアクセス権テーブル１７の３行目のレコードで記されたアクセス権は「読出し:要認証，更新: 要認証」である。よって，読取り系のセキュリティ条件で定められた認証に成功している場合のみ，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂは読出しの対象になる。読取り系のセキュリティ条件で定められた認証に成功していない場合，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂは読出しの対象にならず，データオブジェクト１６ｂに係る読出し内容はマスク処理されたデータになる。また，読取り系のセキュリティ条件で定められた認証に成功している場合，Ｔａｇが「７Ｆ１２」であるデータオブジェクト１６ａの読取りデータにおいて，Ｔａｇが「５Ｆ２Ｄ」であるデータオブジェクト１６ｂは読出しの対象になる。

これまで説明したＳＥ１は、様々なデバイスに実装可能である。図９は、ＳＥ１を実装したデバイス２を説明する図である。図９では、ＳＥ１を実装したデバイス２を、スマートフォンなどに装着されるＳＩＭカードとして図示している。図９で図示したデバイス２では、デバイス２の表面に設けた外部端子２ａの裏面に、これまで説明したＳＥ１が実装されている。なお、ＳＥ１を実装したデバイス２としては、ＳＩＭカード以外に、スマートフォンやＩｏＴ機器などの機器も想定できる。

１ セキュアエレメント（SE: Secure Element）
１２ アプリケーション
１１０ コマンド
１３２ ＡＤＦ（ADF: Application Dedicated File）
１３３ ＥＦ（EF: Elementary File）
１４ アプリケーション格納領域
１６ データオブジェクト
１７ アクセス権テーブル
１８ アクセス管理領域
２ デバイス

Claims (7)

1. データオブジェクトを格納するメモリに設定されたアクセス管理領域ごとに，前記アクセス管理領域の範囲と前記アクセス管理領域に設定されたアクセス権を記したアクセス権テーブルと，アクセス対象になるデータオブジェクトの領域を含む前記アクセス管理領域を前記アクセス権テーブルから検索し，この前記アクセス管理領域に設定されたアクセス権に従い実行を管理するコマンドを備え，
   前記コマンドは，アクセス対象になるデータオブジェクトの領域を含む複数の前記アクセス管理領域を前記アクセス権テーブルから検索すると，複数の前記アクセス管理領域において最下位領域になる前記アクセス管理領域に設定されたアクセス権に従いコマンドの実行を管理することを特徴とするセキュアエレメント。
2. アプリケーションを格納するアプリケーション格納領域ごとに前記アクセス管理領域が設定され，アプリケーションに対応する前記アクセス権テーブルは前記アプリケーション格納領域に格納されており，前記コマンドは，カレントになっているアプリケーションに対応する前記アプリケーション格納領域に格納された前記アクセス権テーブルから前記アクセス管理領域を検索することを特徴とする，請求項１に記載したセキュアエレメント。
3. アクセス対象になるデータオブジェクトがＢＥＲ－ＴＬＶデータオブジェクトの場合，前記コマンドは，Ｖａｌｕｅに含まれるデータオブジェクトについては，このデータオブジェクトを範囲とする前記アクセス管理領域に設定されたアクセス権を優先して，前記コマンドの動作に係る処理を実行することを特徴とする，請求項１または請求項２に記載したセキュアエレメント。
4. セキュアエレメントに格納されたデータオブジェクトへのアクセスを管理する方法であって，データオブジェクトを格納するメモリに設定されたアクセス管理領域ごとに，前記アクセス管理領域の範囲と前記アクセス管理領域に設定されたアクセス権を記したアクセス権テーブルをメモリに設け，データオブジェクトにアクセスするコマンドが，アクセス対象になるデータオブジェクトの領域を含む前記アクセス管理領域を前記アクセス権テーブルから検索し，この前記アクセス管理領域に設定されたアクセス権に従い実行を管理するステップを含み，
   前記コマンドは，アクセス対象となるデータオブジェクトの領域を含む複数の前記アクセス管理領域を前記アクセス権テーブルから検索すると，複数の前記アクセス管理領域において最下位領域になる前記アクセス管理領域に設定されたアクセス権に従い実行を管理することを特徴とするデータオブジェクトへのアクセス管理方法。
5. アプリケーションごとに前記アクセス管理領域を設定し， アプリケーションに対応する前記アクセス権テーブルをアプリケーション格納領域に格納し，前記コマンドは，カレントになっているアプリケーションに対応する前記アプリケーション格納領域に格納された前記アクセス権テーブルから前記アクセス管理領域を検索することを特徴とする，請求項４に記載したデータオブジェクトへのアクセス管理方法。
6. アクセス対象になるデータオブジェクトがＢＥＲ－ＴＬＶデータオブジェクトの場合，前記コマンドが，Ｖａｌｕｅに含まれるデータオブジェクトについては，このデータオブジェクトを範囲とする前記アクセス管理領域に設定されたアクセス権を優先して，前記コマンドの動作に係る処理を実行するステップを含むことを特徴とする，請求項４または請求項５に記載したデータオブジェクトへのアクセス管理方法。
7. 請求項１から請求項３のいずれか一つに記載したセキュアエレメントを実装したデバイス。

Images