JPH0352092A - Ｉｃカード - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は、発行者とは独立に管理されるファイルを有す
るＩＣカードに関するものである。

従来の技術 従来、アプリケー・シッン別に独立したファイルを設定
で含る、所謂多目的ＩＣカードは、例えば第２図に示す
ような構戊であった。１２図において、３１はカード内
に保持したい情報を格納するためのデータメモリ、３２
はマイクロプロセッサやプログラムメモリなどで構威さ
れる処理手段である。４１はカードの発行者により管理
され、複数のアプリケーシ５ンからアクセスすること（
一般には読出し）が許されている共通ファイル、４２は
共通ファイル４１内に設定されているキーであり、アク
セス権情報５２、キーデータ５３、属性情報５４から構
或される。ここでアクセス権情報５２には、当該キー４
２のキーデータ５３を更新するために照合が必要となる
キーの属性情報（本例では、当該キー４２自身の属性情
報ａ）が設定される。５１は共通ファイル４１のアクセ
ス権情報であり、共通ファイル４１内に新規にキーやエ
リアを生成するために照合が必要となるキーの属性情報
（本例では、キー４２の馬性情報ａ）が設定される。４
４はあるアプリケーシ璽ン向けに独立に設定された個別
ファイル、５７は個別ファイル４４のアクセス権情報で
あり、個別ファイル４４内に新規にキーやエリアを生成
するために照合が必要となるキーの属性情報（本例では
、キー４２の属性情報ａ）が設定される。４５，４６．
４７は個別ファイル４４内に設けられる第１，第２のキ
ーおよびデータエリアであり、キー４５．４６もキー４
２と同様、アクセス権情報５８，６１，キーデータ５９
．６２、膚性情報６０．６３で構成される。データエリ
ア４７は、データ６５と、このデータをアクセスするた
めに照合が必要となるキーの属性情報を格納するための
アクセス権情報６４（本例では、キー４５の属性情報ｂ
が設定される）を有している。４３はデータエリア４７
に対応するリンクエリアであり、リンク先のデータエリ
ア４７内のデータ６５をアクセスするために照合が必要
となるキーの属性情報を格納するためのアクセス権情報
５５（本例では、キー４２の属性情報ａが設定される）
と、リンク先のデータエリア４７がカードのメモリ内の
どの位置に存在するかを示す情報５６を有している。ま
た、処理手段３２は、アクセス権情報読取り手段３３、
キー照合手段３４、アクセス許可手段３５を有している
。

以上のように構威されたＩＣカードについて、以下その
動作を説明する。まず、製造者は、製造者のみが使用で
きる製造者コマンドを用いて、共通ファイル４ｌとキー
４２のみをカード内に設定して発行者に発送する。原理
は省略するが、この時点で前記製造者コマンドは使用不
可となる。製造者は発送されるカードとは別のルートを
用いて、製造者により設定されたキーデータ５３の値を
紙に記録し、発行者に送る。発行者は、この値によりキ
ー４２を照合した後、キー４２を製造者が知らない新規
のキーデータに更新する。これは発行者のみが知る値で
あり、これにより以降、製造者によるカードへの不当な
アクセスは禁止される。

次に発行者は、ＩＣカード内に個別ファイル４４を生成
する。その後、発行者は、個別ファイル４４内にキーや
データエリアを生戒するわけであるが、この実行権を得
るためのキーとしては、既に設定されている唯一のキー
、即ちキー４２しか有り得ない。よって、アクセス権情
報５７にはキー４２の属性情報ａが設定されることにな
る。ここで注目すべきことは、キー４２が個別ファイル
４４内のキーではなく、共通ファイル４１内のキーであ
るという点である。

発行者はキー４２を照合した後、キー４５とデータエリ
ア４７を生或する。その際、各アクセス権情報５８，６
４εして、キー４５の属性情報ｂを設定する。発行者は
、このように設定されたカードと、発行者により設定さ
れたキーデータ５９の値とを別々のルートで、個別ファ
イル４４のサービス提供者に送る。このサービス提供者
は、個別ファイル４４を用いたアブリケーシｊンにより
、カード所持者に対して、あるサービスを提供する主体
である。サービス提供者は、送られてきたキーデータ５
９の値によりキー４５を照合した後、キー４５をサービ
ス提供者自身が設定するキーデータに更新する。この状
態では、アクセス権情報に属性情報ｂが設定されている
データエリア４７へのアクセスが可能となるのは、属性
情報ｂを有するキー４５のキーデータ５９の値を知って
いる個別ファイル４４の前記サービス提供者だけとなり
、データエリア４７のセキュリティが確保される。以上
の説明において、各アクセス権の許可は、処理手段３２
内のアクセス権情報読取り手段３３、キー照合手段３４
、アクセス許可手段３５によって制御される。

（尚、このような構成は、例えば特開昭６０−１６０４
９１号公報や特開昭６０−２０５６９０号公報に示され
るようなＩＣカードで実現される。） 発明が解決しようとする課題 このような従来の構成では、サービス提供者が発行者の
下位に位置付けられている、即ち、サービス提供者が管
理するデータエリア（本例では、データエリア４７）に
対して発行者がアクセスすることが許きれているシステ
ムにおいては十分なセキュリティが確保される。しかし
、発行者に対してさえもデータエリアへのアクセスを禁
止したい場合には、七キ具リティ上問題がある。この理
由を第２図を用いて以下に説明する。

前述したとおり、個別ファイル４４内に新規にキーやデ
ータエリアを生成するためのアクセス権情報５７には共
通ファイル４１内のキー４２の属性情報ａが設定されて
いる。これは発行者が設定したキーであり、したがって
発行者であれば、個別ファイル４４内に新規にキーを設
定することができる。そこで、発行者が個別ファイル４
４内に、キー４５の属性情報ｂε同じ属性情報を有する
キー４６を新たに設定した場合を考える。キー４６は発
行者が自ら設定したキーであるため、発行者はキー４６
の照合が可能であり、この結果、属性情報ｂが設定され
ているアクセス権情報６４を有するデータエリア４７へ
のアクセスが可能となる。

同じ属性情報を有する複数のキーを設定できるようにす
ることは運用上有用であるが、たεえこれを禁止したた
しても、やはり発行者はデータエリア４７へのアクセス
が可能となる。この理由を同じ《第２図を用いて以下に
説明する。

発行者は、例えば共通ファイル４１内に、データエリア
４７に対するリンクエリア４３を生成することができる
。リンクエリア４３は、それ自身データを持たずに、リ
ンク先のエリア、即ちデータエリア４７のデータ６５を
共用するためのものである。リンクエリア４３は、リン
ク先の位置情報５６を有し、リンクエリア４３に対する
アクセスが実際上データエリア４７へのアクセスとなる
。このリンクエリア４３を生成するためには、エリアが
生威されるファイル、即ち共通ファイル４１のアクセス
権情報５１と、リンク先のデータエリア４７が格納され
ているファイル、即ち個別ファイル４４のアクセス権情
報５７が参照される。これらは共に発行者にとって既知
のキー４２の属性情報ムが設定されているため、発行者
はこのリンクエリア４３の生成が可能となる。したがっ
て、発行者はこのリンクエリア４３をアクセスするため
のアクセス権情報５５に発行者自身が知るキー４２の属
性情報ａを設定することにより、リンクエリア４３への
アクセス、即ち結局はデータエリア４７へのアクセスが
可能となる。このような従来の構或では、サービス提供
者用のファイルを発行者から独立して設けることができ
ないというセキュリティ上の問題点があった。

本発明はこのような課題を解決するためのものであり、
極めて容易な構威で、サービス提供者用のファイルを発
行者から独立して設けることができるＩＣカードを提供
することを目的とするものである。

課題を解決するための手段 この課題を解決するために本発明のＩＣカードは、少な
くεも第１の領域と第２の領域を有するメモリ手段と、
前記メモリ手段を制御するための処理手段とを備え、前
記処理手段は、前記第１の領域内に第１の秘密番号が書
き込まれているか否かを判断する第１の手段ε、前記第
１の手段の判断結果が「未書込み」を示す場合に、無条
件に、または前記第２の領域内に書き込まれている第２
の秘密番号を正しく照合した後に、前記第１の領域内に
前記第１の秘密番号を書き込む第２の手段と、前記第１
の手段の判断結果が「書込み済み」を示す場合に、前記
第１の秘密番号を正しく照合した後のみ、外部からの前
記第１の領域へのアクセスを可能化させる第３の手段ε
を有する構成としたものである。

作用 この構成により、第１の秘密番号（サービス提供者キー
）は、無条件に、あるいは第２の領域（共通ファイル）
に既に書き込まれている第２の秘密番号（発行者キー）
の照合後、書込みが可能であり、第１の秘密番号（サー
ビス提供者キー）が書き込まれた後は、第１の領域（個
別ファイル）をアクセスするために第１の秘密番号（サ
ービス提供者キー）が必要となる。したがって、第コの
秘密番号（サービス提供者キー）をサービス提供者のみ
が知る値に設定、または更新することにより、発行者で
さえも第１の領域（個別ファイル）をアクセスすること
が禁止されるため、高度なセキュリティを確保するここ
ができる。

実施例 第１図は本発明の一実施例によるＩＣカードのブロック
図である。第１図において、１はデータメモリ、２は処
理手段、１１は共通ファイル、１２は共通ファイル１１
内に設定されているキーであり、アクセス権情報２２、
キーデータ２３、馬性情報２４から構成される。ここで
アクセス権情報２２には、当該キー１２のキーデータ２
３を更新するために照合が必要となるキーの属性情報（
本例では、当該キー１２自身の属性情報ａ）が設定され
る。２１は共通ファイル１１のアクセス権情報であり、
共通ファイル１１内に新規にキーやヱリアを生成するた
めに照合が必要εなるキーの属性情報（本例では、キー
１２の属性情報ａ）が設定される。尚、このキーは共通
ファイル１１内のキーのみを対象としている。１３はあ
るアブリケーシ讃ン向けに独立に設定された個別ファイ
ル、１４．１５は個別ファイル１３内に設けられるキー
およびデータエリアであり、キー１４もキー１２と同様
、アクセス権情報２６、キーデータ２７、属性情報２８
で構威される。データエリア１５は、データ３０ε、こ
のデータをアクセスするために照合が必要となるキーの
属性情報を格納するためのアク々ス権情報２９（本例で
は、キー１４の属性情報ｂが設定される）を有している
。２５は個別ファイル１３のアクセス権情報で、個別フ
ァイル１３内に新規にキーやエリアを生成するために照
合が必要となるキーの属性情報が設定される。尚、この
キーは個別ファイル１３内のキーのみを対象こしている
。また、処理手段２は、アクセス権情報読取り手段３、
キー照合手段４、アクセス許可手段５、および判断手段
６を有している。

以生のように構成さ゜れたＩＣカードについて、以下そ
の動作を説明する。．まず、製造者は、製造者のみが使
用できる製造者コマ゛ンドを用いて、共通ファイル１１
とキー１２のみをカード内に設定して発行者に発送する
。原理は省略するが、この時点で前記製造者コマンドは
使用不可εなる。製造者は発送されるカードとは別のル
ートを用いて、製造者により設定されたキーデータ２３
の値を紙に記録し、発行者に送る。発行者は、この鎧に
よりキー１２を照合した後、キー１２を製遼者が知らな
い新規゛のキーデータに更新する。これは発行者のみが
知る値であり、これにより以降、製造者によるカードへ
の不当なアクセスは禁止される。

次に発行者は、ＩＣカード内に個別ファイル１３を生或
する。この時点において、個別ファイル１３のアクセス
権情報２５は初期状態である″０”が設定されている。

このことは、個別ファイル１３内に新しいキーを設定す
ることが無条件に実行可能であることを示す。即ち、Ｉ
Ｃカードが個別ファイル１３内にキー１４を新規に設定
するための指令を受取ると、アクセス権情報読取り手段
３はアクセス権情報２５を読取り、判断手段６に制御を
移す。判断手段６は、アクセス権情報２５に″０”が設
定されていることを検知すると、キー照合手段４を介す
るこεなく、直接アクセス許可手段５に制御を移す。こ
れにより、個別ファイル１３内にキー１４が設定される
。その際、アクセス権情報２５は処理手段２により自動
的に、初期状態“０”からキー１４の属性情報２８に等
しい属性情報ｂに変更される。これにより、以降、個別
ファイル１３内に新規にキーやデータエリアを設定する
際には、キー１４の照合が必要となる。

発行者は、上記のように設定されたカードと、発行者に
より設定されたキーデータ２７の値とを別々のルートで
、個別ファイル１３のサービス提供者に送る。サービス
提供者は、送られてきたキーデータ２７の値によりキー
１４を照合した後、キー１４をサービス提供者自身が設
定するキーデータに更新する。この更新された値は発行
者にも知らされない。サービス提供者は、更新されたキ
ーデータでキー１４を照合することにより、個別ファイ
ル１３内にデータエリア１５を設けることが許可される
。その馬性情報２９はサービス提供者のみが知るキー１
４の属性情報ｂが設定される。

このデータエリア１５が発行者でさえもアクセスできな
い理由を以下に説明する。まず、ＩＣカードがデータエ
リア１５をアクセスする指令（例えば読出し指令）を受
け取った場合は、アクセス権情報読取り手段３がデータ
エリア１５のアクセス権情報２９を読出し、キー照合手
段４に制御を移す。キー照合手段４は読出された鎧がｂ
であるため、個別ファイル１３内で属性情報ｂを有する
キー、即ちキー１４の照合を要求し、これが満たされな
い限り、アクセス許可手段５には制御を移さない。よっ
て、キー１４のキーデータを知るサービス提供者以外の
者が、このデータエリア１５をアクセスすることはでき
ない。次に、発行者が個別ファイル１３内にキー１４と
同じ属性情報を持つキーを新たに設定することにより、
データエリア１５へのアクセスを試みようとした場合を
考える。ＩＣカードが個別ファイル１３内にキーを新規
に設定する指令を受け取った場合、アクセス権情報読取
り手段３はアクセス権情報２５を読出し、判断手段６に
制御を移す。判断手段はアクセス権情報２５が初期状態
でないことを検知すると、キー照合手段４に制御を移す
。キー照合手段４はアクセス権情報２５から読出された
値がｂであるため、個別ファイル１３内で属性情報ｂを
有するキー、即ちキー１４の照合を要求し、これが満た
されない限り、アクセス許可手段５には制御を移きない
。よって、キー１４のキーデータを知るサービス提供者
以外の者が、この個別ファイル１３内に新規にキーを設
定するこεはできない。共通ファイル１１内に、データ
エリア１５に対するリンクエリアを生成しようとした場
合も、同様にしてアクセス権情報２５の状態が判断され
、発行者はサービス提供者の許可を得ることなく、リン
クエリアを生戒することはできない。このようにして、
個別ファイル１３内のデータエリア１５は、発行者でさ
えも不当なアクセスが禁止されるこことなり、高度たセ
キュリティが実現できる。

尚、本実施例では、アクセス権情報２５が初期状態であ
る時の実行条件を無条件としたが、既に設定されている
キー１２の照合後という条件としてもよい。この他、本
実施例に限らず、本発明の範囲から逸脱することなく、
同じ効果を生み出すＩＣカードは容易に構威するここが
できる。

発明の効果 以上のように本発明によれば、サービス提供者キーが既
に設定されているか否かに応じて、サービス提供者用の
ファイル内に新規にキーを設定することを許可する条件
を違えることにより、極めて容易な構成で、サービス提
供者用のファイルを発行者から独立して設けることがで
きることとなり、そのセキュリティ上の効果は大なるも
のである。

【図面の簡単な説明】

第１図は本発明の一実施例によるＩＣカードの構成を示
すブロック図、第２図は従来のＩＣカードの構戊を示す
ブロック図である。 ｌ・・・・・・データメモリ、２・・・・・・処理手段
、３・・・・・・アクセス権情報読取り手段、４・・・
・・・キー照合手段、５・・・・・・アクセス許可手段
、６・・・・・・判断手段、１１・・゛・・・・共通フ
ァイル、１３・・・・・・個別ファイル、１２．１４・
・・・・・キー　ｌ５・・・・・・データエリア、２１
．２５・・・・・・アクセス権情報。

Claims (1)

【特許請求の範囲】
1. 少なくとも第１の領域と第２の領域を有するメモリ手段
   と、前記メモリ手段を制御するための処理手段とを備え
   、前記処理手段は、前記第１の領域内に第１の秘密番号
   が書き込まれているか否かを判断する第１の手段と、前
   記第１の手段の判断結果が「未書込み」を示す場合に、
   無条件に、または前記第２の領域内に書き込まれている
   第２の秘密番号を正しく照合した後に、前記第１の領域
   内に前記第１の秘密番号を書き込む第２の手段と、前記
   第１の手段の判断結果が「書込み済み」を示す場合に、
   前記第１の秘密番号を正しく照合した後のみ、外部から
   の前記第１の領域へのアクセスを可能化させる第３の手
   段とを有するＩＣカード。