JP7380603B2

JP7380603B2 - セキュアデバイス，コマンド実行管理方法およびｉｃチップ

Info

Publication number: JP7380603B2
Application number: JP2021002564A
Authority: JP
Inventors: 雄介橋村
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2021-01-12
Filing date: 2021-01-12
Publication date: 2023-11-15
Anticipated expiration: 2041-01-12
Also published as: JP2022107893A

Description

本発明は，耐タンパー性の高いＩＣチップを実装したセキュアデバイスに関する発明である。

耐タンパー性の高いＩＣチップを実装したセキュアデバイスが普及している。代表的なセキュアデバイスには，ＩＣカード，ＳＩＭ（Subscriber Identity Module），ｅＳＩＭ（Embedded SIM）およびＵＳＢトークンなどがある。

セキュアデバイスには，秘匿性の高い情報がメモリに保存される。秘匿性の高い情報としては，所有者の個人情報または所有者の認証情報などがある。従来，セキュアデバイスは，パスワード認証など認証情報を用いた個人認証用途に用いられているが，近年，セキュアデバイスは，年齢照合など個人照合用途にも用いられている。

セキュアデバイスを利用して個人照合を行う場合，例えば，特許文献１に記載があるように，セキュアデバイスと通信する外部装置が，生年月日などの個人情報をセキュアデバイスから読み出し，外部装置側で，年齢などの個人情報を照合していた。

個人照合を行う際，生年月日などの個人情報をセキュアデバイスから読み出すと，個人情報が不正に取得される危険性がある。よって，個人情報保護の観点からすると，セキュアデバイスが，年齢などの個人情報を照合することが好ましい。

年齢などの個人情報を照合する機能を備えたセキュアデバイスは既に開示されている。例えば，特許文献２で開示されたセキュアデバイスは，外部装置が送信した生年月日などの個人情報とセキュアデバイスが格納している個人情報を比較照合する。

しかし，個人照合をセキュアデバイスに行わせると，個人照合が連続して繰り返し実行されることで，生年月日などの個人情報が特定されてしまう危険性がある。所有者の個人情報が個人照合の判定基準を満たさない場合，正当な外部装置が正しい個人情報をセキュアデバイスに入力しても，個人照合の結果は照合失敗になる。よって，パスワード（または，ＰＩＮ（Personal Identification Number））の照合とは異なり，個人照合の失敗に再試行回数を設けることができない。

このことを防ぐために，特許文献２で開示されたセキュアデバイス（電子情報記憶媒体）は，個人照合を行う際，外部装置から入力された値が比較処理制限範囲内であるかを判定するように構成されている。特許文献２で開示されたセキュアデバイスは，当該比較処理制限範囲内であると判定した場合，当該比較処理制限範囲内にアクセス済であるかを判定し，当該比較処理制限範囲内にアクセス済であると判定した場合，比較失敗を示す情報を外部装置へ応答することで，個人照合が連続して繰り返し実行されることを防止する。

特開２０１５－１４９２３号公報特開２０１６－１８１０３８号公報

特許文献２で開示された発明は，セキュアデバイスにおいて個人照合が連続して繰り返し実行されることを防止する一つの手法にしか過ぎない。本発明では，セキュアデバイスにおいて個人照合が連続して繰り返し実行されることを防止する新たな手法を提案する。

上述した課題を解決する第１発明は，コマンドとして，外部装置から受信した個人情報と不揮発性メモリに記憶した個人情報を比較照合する個人照合コマンドと，前記個人照合コマンドではないその他コマンドを備え，外部装置から受信したコマンドメッセージに対応するコマンドの実行を管理する手段として，前記個人照合コマンドの実行許可属性が実行可な場合のみ前記個人照合コマンドの実行を許可し，前記個人照合コマンドを実行すると前記個人照合コマンドの実行許可属性を実行不可に設定し，前記個人照合コマンドを実行した後に実行した前記その他コマンドの実行回数が事前に設定した所定回数に達すると，前記個人照合コマンドの実行許可属性を実行可に設定するコマンド管理手段を備えたセキュアデバイスである。

上述した課題を解決する第２発明は，セキュアデバイスが備えたコマンドの実行を管理する方法であって，外部装置から受信したコマンドメッセージに対応するコマンドの実行を管理するコマンド管理手段が，外部装置から受信した個人情報と不揮発性メモリに記憶した個人情報を比較照合する個人照合コマンドの実行許可属性を確認するステップ，前記個人照合コマンドの実行許可属性が実行可の場合，前記コマンド管理手段が，前記個人照合コマンドを実行するステップ，前記コマンド管理手段が，前記個人照合コマンドの実行許可属性を実行不可に設定するステップ，前記コマンド管理手段が，前記個人照合コマンドではないその他コマンドを実行するステップ，前記コマンド管理手段が，前記個人照合コマンドを実行した後に実行した前記その他コマンドの実行回数が事前に設定した所定回数に達すると，前記個人照合コマンドの実行許可属性を実行可に設定するステップを含むコマンドの実行管理方法である。

上述した課題を解決する第３発明は，コマンドとして，外部装置から受信した個人情報と不揮発性メモリに記憶した個人情報を比較照合する個人照合コマンドと，前記個人照合コマンドではないその他コマンドを備え，外部装置から受信したコマンドメッセージに対応するコマンドの実行を管理する手段として，前記個人照合コマンドの実行許可属性が実行可な場合のみ前記個人照合コマンドの実行を許可し，前記個人照合コマンドを実行すると前記個人照合コマンドの実行許可属性を実行不可に設定し，前記個人照合コマンドを実行した後に実行した前記その他コマンドの実行回数が事前に設定した所定回数に達すると，前記個人照合コマンドの実行許可属性を実行可に設定するコマンド管理手段を備えたＩＣチップである。

本発明では，個人照合コマンドの実行と次の個人照合コマンドの実行の間にその他コマンドの実行を必要とすることで，個人情報を照合する個人照合コマンドの連続実行を防止している。

セキュアデバイスのアーキテクチャを説明する図。セキュアデバイスが備えるコマンド管理手段の動作を説明する図。

ここから，本発明に係る実施形態について記載する。本実施形態は，本発明の理解を容易にするためのものであり，本発明は，本実施形態に限定されるものではない。また，特に断りのない限り，図面は，本発明の理解を容易にするために描かれた模式的な図である。

図１は，本実施形態に係るセキュアデバイス１のアーキテクチャを説明する図である。本実施形態において，セキュアデバイス１は，耐タンパー性の高いＩＣチップ１３を実装したデバイスを意味する。セキュアデバイス１には，ＩＣカード，ＳＩＭ（Subscriber Identity Module），ｅＳＩＭ（Embedded SIM）およびＵＳＢトークンなどが含まれる。なお，セキュアデバイス１の具体的なアーキテクチャは，セキュアデバイス１の形態によって変わる。図１で図示したアーキテクチャは，セキュアデバイス１の例示的なアーキテクチャにしか過ぎない。

図１で図示したセキュアデバイス１のアーキテクチャは，ハードウェアとしてＩＣチップ１３を含んでいる。図１で図示したＩＣチップ１３は，バス１３７を介してＣＰＵ１３０（Central Processing Unit）に，ＲＡＭ１３２（Random Access Memory），ＲＯＭ１３１（Read Only Memory)，ＮＶＭ１３４(Non-volatile memory)，ＵＡＲＴ１３６（Universal Asynchronous Receiver/Transmitter），タイマー１３５およびアクセラレータ１３３が接続された構成になっている。

ＲＡＭ１３２は，セキュアデバイス１のメインメモリとなる揮発性メモリである。ＲＯＭ１３１は，電気的に書き換え不可能な不揮発性メモリである。ＮＶＭ１３４は，電気的に書き換え可能な不揮発性メモリである。ＵＡＲＴ１３６は，セキュアデバイス１の通信を制御する回路である。タイマー１３５は，時間を計測する回路である。アクセラレータ１３３は，暗号演算の処理速度を速くするための回路である。

また，図１で図示したセキュアデバイス１のアーキテクチャは，ソフトウェアとして，ハードウェアを制御する機能を少なくとも有するソフトウェアであるオペレーティングシステム１２（Operating System(OS)）を含む。更に，図１で図示したセキュアデバイス１のアーキテクチャは，ソフトウェアとして，複数のコマンド１０と，外部装置から受信したコマンドメッセージに対応するコマンド１０の実行を管理する手段であるコマンド管理手段１１を含んでいる。

セキュアデバイス１が備えるコマンド１０は，ＯＳ１２を基盤（プラットフォーム）として動作するソフトウェアである。本実施形態のセキュアデバイス１は，コマンド１０として，外部装置が送信した個人情報とセキュアデバイス１が記憶している個人情報を比較照合する個人照合コマンド１００を備える。

セキュアデバイス１が実装する個人照合コマンド１００は，比較演算処理を伴うコマンド１０である。比較演算処理とは，比較演算子（「＝」,「＞」,「＜」,「＞＝」,「＜＝」など）に係る処理を意味する。

セキュアデバイス１が実装する個人照合コマンド１００の一例として，セキュアデバイス１の所有者の年齢を照合するコマンド１０が挙げられる。セキュアデバイス１の所有者の年齢が２０歳以上であるか判定する場合，セキュアデバイス１の所有者の年齢を照合するときの日付で２０歳になる生年月日を含む個人照合コマンド１００のコマンドメッセージが，外部装置からセキュアデバイス１に送信される。セキュアデバイス１の個人照合コマンド１００は，外部装置が送信した生年月日とＮＶＭ１３４に記憶した生年月日を比較照合する。個人照合コマンド１００は，ＮＶＭ１３４に記憶した生年月日が，外部装置から受信した生年月日と同じかまたはこれより前の場合，個人照合の照合結果を成功とする。なお，ＮＶＭ１３４に記憶した生年月日が，外部装置から受信した生年月日と同じかまたはこれより前であるとは，セキュアデバイス１の所有者の年齢が２０歳以上であることを意味する。

本実施形態のセキュアデバイス１は，上述した個人照合コマンド１００ではないコマンド１０を備える。本実施形態では，個人照合コマンド１００ではないコマンド１０をその他コマンド１０１と呼んでいる。選択系コマンド，認証系コマンド，読み出し系コマンドまたは書き込み系コマンドなど，個人照合コマンド１００ではないコマンド１０はすべてその他コマンド１０１になる。

コマンド管理手段１１は，ＯＳ１２の一部機能としてセキュアデバイス１に実装することもできる。また，セキュアデバイス１が備えるコマンド管理手段１１は，セキュリティドメインと称され，コマンド１０の管理機能を有するアプリケーションとしてセキュアデバイス１に実装することもできる。

ＯＳ１２の一部機能としてコマンド管理手段１１をセキュアデバイス１に実装する場合，ＵＡＲＴ１３６を制御して外部装置と通信する機能をコマンド管理手段１１に持たせることができる。本実施形態では，ＵＡＲＴ１３６を制御して外部装置と通信する機能はＯＳ１２が有しており，コマンド管理手段１１は，ＯＳ１２とコマンド１０を仲介する役割を果たす。

コマンド管理手段１１は，ＯＳ１２が外部装置からコマンドメッセージを受信すると，このコマンドメッセージをこれに対応するコマンド１０に引き渡して，このコマンドメッセージに対応するコマンド１０を実行する。コマンドメッセージに対応するコマンド１０の処理が完了すると，コマンド管理手段１１は，このコマンド１０が生成したレスポンスメッセージの送信をＯＳ１２に依頼して，レスポンスメッセージを外部装置へ送信する。

外部装置が送信するコマンドメッセージはコマンド識別情報とコマンドデータを含む。セキュアデバイス１をＩＣカードとする場合，コマンドメッセージの構造は，ＩＳＯ７８１６で定義されたコマンドＡＰＤＵ（Application Protocol Data Unit）に準拠する。コマンドＡＰＤＵに含まれるＣＬＳおよびＩＮＳがコマンド識別情報になる。

更に，セキュアデバイス１が備えるコマンド管理手段１１は，個人照合コマンド１００の実行を管理する機能を備えている。コマンド管理手段１１は，個人照合コマンド１００の連続実行を防止するため，個人照合コマンド１００を実行した後にその他コマンド１０１が実行されることを条件として，次の個人照合コマンド１００の実行を許可する。個人照合コマンド１００を実行した後に次の個人照合コマンド１００を実行するまでの間に実行しなければならないその他コマンド１０１の数は１回でもよいが，本実施形態では，この数を任意に設定できるようにしている。

このことを実現するために，コマンド管理手段１１は，個人照合コマンド１００の実行許可属性１１０とその他コマンド１０１の実行回数１１１を管理する。コマンド管理手段１１は，個人照合コマンド１００を実行すると，個人照合コマンド１００の成功または個人照合コマンド１００の失敗にかかわらず，個人照合コマンド１００の実行許可属性１１０を「実行不可」（実行不可を示す値になる）に設定する。

コマンド管理手段１１は，個人照合コマンド１００を実行した後に実行されたその他コマンド１０１の実行回数１１１を管理（カウント）する。コマンド管理手段１１は，個人照合コマンド１００を実行した後に実行されたその他コマンド１０１の実行回数１１１が事前に設定された所定回数に達すると，個人照合コマンド１００の実行許可属性１１０を「実行不可」から「実行可」に変更する。なお，その他コマンド１０１の実行回数１１１の最小値は「１」である。

個人照合コマンド１００を実行した後に実行されたその他コマンド１０１の実行回数１１１の格納に用いるメモリはＲＡＭ１３２でもよいが，本実施形態では，このメモリをＮＶＭ１３４にしている。その他コマンド１０１の実行回数１１１の格納に用いるメモリをＮＶＭ１３４にすることで，セキュアデバイス１がリセットされても，その他コマンド１０１の実行回数１１１はリセットされず，セキュアデバイス１をリセットしても，個人照合コマンド１００を連続実行できない。

図２は，セキュアデバイス１が備えるコマンド管理手段１１の動作を説明する図である。なお，図２の説明は，セキュアデバイス１が備えたコマンド１０の実行を管理する方法の説明，すなわち，コマンド１０の実行管理方法の説明を兼ねている。

開始ブロック（Ｓ１）の後に最初に実行されるステップ（Ｓ２）において，コマンド管理手段１１は，外部装置が送信したコマンドメッセージをＯＳ１２から取得する。本実施形態のセキュアデバイス１において，ＵＡＲＴ１３６を制御して外部装置と通信する機能はＯＳ１２が有している。ＯＳ１２は，外部装置から受信したコマンドメッセージをＲＡＭ１３１に格納し，コマンド管理手段１１は，外部装置から受信したコマンドメッセージをＲＡＭ１３１から取得する。

次に実行されるステップ（Ｓ３）において，コマンド管理手段１１は，外部装置から受信したコマンドメッセージに対応するコマンド１０が個人照合コマンド１００であるか否かを判定する。コマンドメッセージに対応するコマンド１０が個人照合コマンド１００であるか否かを判定するため，コマンド管理手段１１は，外部装置から受信したコマンドメッセージに含まれるコマンド識別情報を参照する。コマンド管理手段１１は，外部装置から受信したコマンドメッセージに含まれるコマンド識別情報が，コマンド管理手段１１が記憶している個人照合コマンド１００のコマンド識別情報に適合する場合，外部装置から受信したコマンドメッセージに対応するコマンド１０が個人照合コマンド１００であると判定する。

外部装置から受信したコマンドメッセージに対応するコマンド１０が個人照合コマンド１００ではない場合，ステップ（Ｓ３）の次の手順はステップ（Ｓ９）になる。ステップ（Ｓ９）において，コマンド管理手段１１は，外部装置から受信したコマンドメッセージに対応するコマンド１０としてその他コマンド１０１を実行する。コマンド管理手段１１は，コマンドメッセージに含まれるコマンド識別情報により特定されるその他コマンド１０１を呼び出すことで，コマンドメッセージに対応するその他コマンド１０１を実行する。

ステップ（Ｓ９）で実行したその他コマンド１０１から処理完了が通知されると，ステップ（Ｓ１０）において，コマンド管理手段１１は，個人照合コマンド１００の実行許可属性１１０を確認する。個人照合コマンド１００の実行許可属性１１０が「実行可」の場合，ステップ（Ｓ１０）の次の手順はステップ（Ｓ１４）になる。個人照合コマンド１００の実行許可属性１１０が「実行不可」の場合，ステップ（Ｓ１０）の次の手順はステップ（Ｓ１１）になる。なお，ステップ（Ｓ１０）で実行したその他コマンド１０１が生成したレスポンスメッセージは，このその他コマンド１０１によりＲＡＭ１３１に格納されている。

ステップ（Ｓ１１）において，コマンド管理手段１１は，個人照合コマンド１００ではないその他コマンド１０１の実行回数１１１を一つだけ増やす。ステップ（Ｓ１１）の次の手順になるステップ（Ｓ１２）において，コマンド管理手段１１は，その他コマンド１０１の実行回数１１１が所定回数に達したか確認する。ステップ（Ｓ１２）において，コマンド管理手段１１が参照する所定回数は，個人照合コマンド１００の実行と次の個人照合コマンド１００の実行の間に実行しなければならないその他コマンド１０１の実行回数１１１になる。

その他コマンド１０１の実行回数１１１が所定回数に達していない場合，ステップ（Ｓ１２）の次の手順はステップ（Ｓ１４）になる。その他コマンド１０１の実行回数１１１が所定回数に達している場合，ステップ（Ｓ１２）の次の手順はステップ（Ｓ１３）になる。ステップ（Ｓ１３）において，コマンド管理手段１１は，個人照合コマンド１００の実行許可属性１１０を「実行可」に設定する。ステップ（Ｓ１３）の次の手順はステップ（Ｓ１４）になる。

ステップ（Ｓ３）において，外部装置から受信したコマンドメッセージに対応するコマンド１０が個人照合コマンド１００の場合，ステップ（Ｓ３）の次の手順はステップ（Ｓ４）になる。ステップ（Ｓ４）において，コマンド管理手段１１は，個人照合コマンド１００の実行許可属性１１０を確認する。

個人照合コマンド１００の実行許可属性１１０が「実行可」の場合，ステップ（Ｓ４）の次の手順はステップ（Ｓ５）になる。ステップ（Ｓ５）において，コマンド管理手段１１は，ステップ（Ｓ２）において取得したコマンドメッセージに対応するコマンド１０として個人照合コマンド１００を実行する。個人照合コマンド１００が生成した個人照合コマンド１００のレスポンスメッセージは，個人照合コマンド１００によりＲＡＭ１３１に格納される。

ステップ（Ｓ５）の次の手順はステップ（Ｓ６）になる。ステップ（Ｓ６）において，コマンド管理手段１１は，個人照合コマンド１００の実行結果（成功または失敗）にかかわらず，個人照合コマンド１００の実行許可属性１１０を「実行不可」に設定する。ステップ（Ｓ６）の次の手順はステップ（Ｓ７）になる。ステップ（Ｓ７）において，コマンド管理手段１１は，その他コマンド１０１の実行回数１１１を０回にすることで，その他コマンド１０１の実行回数１１１を初期化する。ステップ（Ｓ７）の次の手順はステップ（Ｓ１４）になる。

ステップ（Ｓ４）において，個人照合コマンド１００の実行許可属性１１０が「実行不可」の場合，ステップ（Ｓ４）の次の手順はステップ（Ｓ８）になる。ステップ（Ｓ８）において，コマンド管理手段１１は，個人照合コマンド１００の実行が許可されていないことを示す個人照合コマンド１００のレスポンスメッセージをＲＡＭ１３１に格納する。ステップ（Ｓ８）の次の手順はステップ（Ｓ１４）になる。

ステップ（Ｓ１４）において，コマンド管理手段１１は，コマンド１０のレスポンスメッセージの送信をＯＳ１２に依頼して，コマンド１０のレスポンスメッセージを外部装置へ送信する。ステップ（Ｓ９）を経由した場合，コマンド１０のレスポンスメッセージは，その他コマンド１０１が生成したレスポンスメッセージになる。ステップ（Ｓ５）を経由した場合，コマンド１０のレスポンスメッセージは，個人照合コマンド１００が生成したレスポンスメッセージになる。ステップ（Ｓ８）を経由した場合，コマンド１０のレスポンスメッセージは，コマンド管理手段１１が生成したレスポンスメッセージになり，このレスポンスメッセージは，個人照合コマンド１００の実行が許可されていないことを示すメッセージになる。なお，ステップ（Ｓ１４）の次の手順は終了ブロック（Ｓ１５）になる。

これまで説明した通り，本実施形態では，個人情報を照合する個人照合コマンド１００を連続実行できないようにするため，個人照合コマンド１００の実行と次の個人照合コマンド１００の実行の間にその他コマンド１０１の実行を必要とする。

個人照合コマンド１００の実行と次の個人照合コマンド１００の実行の間にその他コマンド１０１の実行を必要とすることを知らない者は，個人照合コマンド１００を連続して繰り返し実行することになる。このことにより，本実施形態では，個人照合コマンド１００の連続実行を防ぐことができる。個人照合コマンド１００の連続実行を防ぐことができれば，セキュアデバイス１のＮＶＭ１５４に記憶させた個人情報が特定されるリスクを低減できる。

１セキュアデバイス
１０コマンド
１００個人照合コマンド
１０１その他コマンド
１１コマンド管理手段
１１０個人照合コマンドの実行許可属性
１１１その他コマンドの実行回数
１２オペレーティングシステム（ＯＳ）
１３ＩＣチップ

Claims

コマンドとして，外部装置から受信した個人情報と不揮発性メモリに記憶した個人情報を比較照合する個人照合コマンドと，前記個人照合コマンドではないその他コマンドを備え，外部装置から受信したコマンドメッセージに対応するコマンドの実行を管理する手段として，前記個人照合コマンドの実行許可属性が実行可な場合のみ前記個人照合コマンドの実行を許可し，前記個人照合コマンドを実行すると前記個人照合コマンドの実行許可属性を実行不可に設定し，前記個人照合コマンドを実行した後に実行した前記その他コマンドの実行回数が事前に設定した所定回数に達すると，前記個人照合コマンドの実行許可属性を実行可に設定するコマンド管理手段を備えたセキュアデバイス。
セキュアデバイスが備えたコマンドの実行を管理する方法であって，外部装置から受信したコマンドメッセージに対応するコマンドの実行を管理するコマンド管理手段が，外部装置から受信した個人情報と不揮発性メモリに記憶した個人情報を比較照合する個人照合コマンドの実行許可属性を確認するステップ，前記個人照合コマンドの実行許可属性が実行可の場合，前記コマンド管理手段が，前記個人照合コマンドを実行するステップ，前記コマンド管理手段が，前記個人照合コマンドの実行許可属性を実行不可に設定するステップ，前記コマンド管理手段が，前記個人照合コマンドではないその他コマンドを実行するステップ，前記コマンド管理手段が，前記個人照合コマンドを実行した後に実行した前記その他コマンドの実行回数が事前に設定した所定回数に達すると，前記個人照合コマンドの実行許可属性を実行可に設定するステップを含むコマンドの実行管理方法。
コマンドとして，外部装置から受信した個人情報と不揮発性メモリに記憶した個人情報を比較照合する個人照合コマンドと，前記個人照合コマンドではないその他コマンドを備え，外部装置から受信したコマンドメッセージに対応するコマンドの実行を管理する手段として，前記個人照合コマンドの実行許可属性が実行可な場合のみ前記個人照合コマンドの実行を許可し，前記個人照合コマンドを実行すると前記個人照合コマンドの実行許可属性を実行不可に設定し，前記個人照合コマンドを実行した後に実行した前記その他コマンドの実行回数が事前に設定した所定回数に達すると，前記個人照合コマンドの実行許可属性を実行可に設定するコマンド管理手段を備えたＩＣチップ。