JPH049355B2 - - Google Patents

Description

【発明の詳細な説明】 〔技術分野〕 本発明は通信ネツトワークに接続されたロケー
シヨンで入力された識別コードの妥当性検査の方
法、特に小売POSシステムでの電子式資金振替
（EFT）における個人識別番号（PIN）の妥当性
検査の方法に関するものである。

電子式資金振替とは、取引の確認の時間に顧客
およびサービス提供業者の口座を直接借方および
貸方に記入するシステムの名称である。各口座
は、銀行またはクレジツトカード会社の中央演算
処理システムに保持され、そのシステムが小売業
者またはサービス提供業者のデータ処理装置の専
用ネツトワークに接続されている。こうして、取
引きに現金や小切手の処理が不必要となる。

〔先行技術〕

簡単なアプリケーシヨンでは、各銀行またはク
レジツトカード会社が自前のネツトワークを持
ち、各銀行顧客は、そのネツトワークだけで使用
できるクレジツトカードを持つている。かかるネ
ツトワークは、欧州特許公告第32193号に記載さ
れている。

欧州特許公告第32193号（IBM社）では、各ユ
ーザーと小売業者がキー番号−小売業者はキー
Kr、ユーザーはキーKp−を持ち、それがユーザ
ーの識別番号および小売業者の営業番号と共に上
位中央演算処理装置（CPU）のデータ記憶装置
に記憶されるシステムが記載されている。明らか
に、その識別番号と暗号キーが上位CPUに記憶
されているユーザーまたは顧客だけが、システム
を利用できる。ユーザーの数が拡大するにつれ
て、それを超えると当該のキーおよび識別番号を
探すのにかかる時間がオンライン・トランザクシ
ヨン処理に適さなくなる最適数というものが存在
する。

欧州特許公告第18129号（モトローラ社）には、
通信路上でのデータの安全保護を確保する方法が
記載されている。ダイアルアツプ式通信ネツトワ
ークのプライバシーと安全保護は、ユーザーまた
は端末の識別コードと一次暗号キーの併用によつ
て実現される。妥当性識別コードと一次暗号コー
ドの対のリストが中央演算処理装置で維持されて
いる。識別コードと暗号キーの対が、CPUに送
られて、記憶されているコード対と比較される。
CPUが端末から送られるコード化データを受諾
する前に正確な比較が必要である。ネツトワーク
を介して送られるすべてのデータは、当該のユー
ザーまたは端末のキーを使用した許可なしのアク
セスを防止するために、暗号化されている。

英国特許出願第2020513A号（アタラ・テクノ
ベーシヨンズ社）には、上述の２件の欧州特許公
告に記載されている如き、ネツトワークにおい
て、ステーシヨン間で個人識別番号（PIN）な
ど、ユーザーを識別する情報を平文の形で伝送す
る必要のない方法と装置が記載されている。PIN
は、ユーザー・ステーシヨンで乱数を用いてコー
ド化され、コード化されたPINと乱数が処理ステ
ーシヨンに送られる。処理ステーシヨンでは、総
称アプリケーシヨンをもつ第２のPINが、受け取
つた乱数を用いてコード化され、受け取つたコー
ド化PINと総称コード化されたPINが比較され、
受け取つたPINが妥当かどうか決定される。

かかるシステムでは、総称PINは多数のユーザ
ーのPINとの妥当な比較を与えるコード化値をも
ち、ランダムに生成されるPINとの妥当な比較を
もたらすようなものであり、不正使用を防止でき
ないと思われる。

上記特許出願に記載されたシステムによつて可
能となるEFTシステムは、小売業者と顧客を含
むすべてのユーザーの口座を保護する単一の上位
CPUに限られている。

多数のカード発行機関（銀行、クレジツト会社
など）が接続され、何百もの小売機関が電話交換
などの切換えノードを通じて接続されている
EFTシステムでは、ずつと多くの安全保護問題
が生じる。

PCT公告WO81／02655（マーヴイン・センドロ
ー）には、PINが入力端末で１度以上暗号化され
る複数上位、複数ユーザーシステムが記載されて
いる。トランザクシヨンを妥当性検査し許可する
のに必要なデータが、上位コンピユータに伝送さ
れ、上位コンピユータによつてそのトランザクシ
ヨンを解読し妥当性検査するのに必要な暗号化さ
れたPINを含むデータが、その記憶データベース
からアクセスされる。秘密端末マスター・キーを
各端末で維持しなければならない。これらのマス
ター・キーのリストも上位コンピユータに維持さ
れている。

各カード発行機関の上位コンピユータで端末マ
スターのリストを維持することは、EFTネツト
ワーク、毎日新しい小売業者の端末に接続するこ
とのある場合には、明らかに、困難なタスクであ
る。

欧州特許公告第55580号（ハネウエル・インフ
オメーシヨン・システムズ）は、ネツトワーク中
でPIN情報を伝送する必要をなくすことを試みた
わけである。このことは、磁気条片中に銀行識別
番号（BIN）、ユーザー口座番号（ACCN）およ
びPINオフセツト番号をコード化したカードを、
各ユーザーに発行することによつて実現される。
PINオフセツトは、PIN、BIN、ACCNから計算
される。ユーザーが、端末に付属のキーボードで
PINを入力し、端末がカードからPINオフセツ
ト、BIN、ACCNも読み取れる。次に端末は入
力されたユーザーのPIN、BIN、ACCNからPIN
オフセツトを再計算する。再結算されたPINオフ
セツトが、カードから読み取られたPINオフセツ
トと同じ場合には、PINの妥当性が約束される。

このシステムは、カード発行者が妥当性検査に
関与せず、またPINオフセツトがPIN、BIN、
ACCNから計算されることを知れば、不正を働
こうとする者がだれでも妥当なPINをもつ偽造カ
ードを作成できるという欠点をもつている。

〔本発明〕

上記に述べた先行技術に付随する欠点を除き、
コードを伝送する必要がなく発行者が妥当性検査
に関与できる識別コードを妥当性検査するための
方法をもたらすことが、本発明の目的である。

本発明によれば、 (a) ロケーシヨンで秘密の識別コード（例えば個
人識別番号PIN）及び取引に関する指標番号
（例えば口座番号PAN及びカード発行機関識別
番号CIAID）を受け取ること、 (b) 識別コードを用いて指標番号を暗号化するこ
とにより誘導許可パラメータを生成すること、 (c) 個々の試験のための変数（例えば乱数）を生
成し、指標番号とともにデータ処理センターに
伝送すること、 (d) データ処理センターで指標番号をそれに対応
する識別コードを用いて暗号化した妥当許可パ
ラメータを生成すること、 (e) データ処理センターで妥当許可パラメータを
暗号キーとして変数を暗号化することにより妥
当メツセージ確認コードを生成すること、 (f) ロケーシヨンで誘導許可パラメータを暗号キ
ーとして変数を暗号化することにより誘導メツ
セージ確認コードを生成すること、 (g) 妥当メツセージ確認コード及び誘導メツセー
ジ確認コードを比較して、識別コードの妥当性
を試験すること、 の各ステツプを含む、通信ネツトワークを介して
識別コードが記憶されるデータ処理センターに接
続されたロケーシヨンで、識別コードの妥当性を
試験する方法がもたらされる。

いくつかのカード発行機関、銀行、クレジツト
カード会社などおよび大規模の百貨店から単一の
個別店やガレージに至るまで多数の卸売出口によ
つて使用されるEFTネツトワークは、広い地理
的領域に及ぶことがある。英国のような国では、
カード発行者の中央演算処理位置と各小売店が、
市内交換への直接回線によつて電話網などの遠隔
通信ネツトワークに接続される。かかるシステム
では、カード発行機関が取引の許可およびカード
使用者識別の確認に関与することが是非必要であ
る。

小売POSロケーシヨンの数は、数10万個所に
及び、100以上のカード発行機関があることもあ
る。この状況の下で、カード発行者およびPOS
ロケーシヨンのすべてに知られている暗号キーを
使用すると管理不能になるので、PINがネツトワ
ークを通じて伝送されないようにすることが望ま
しい。

本発明が完全に理解できるようにするために、
次に添付の図面を参照しながら良好な実施例につ
いて説明する。

本発明の本質は、ロケーシヨンで入力された数
と上位システムに記憶されている妥当数の両方か
らPINに関する許可パラメータを生成し、この許
可パラメータを使用して、PINと直接の関係をも
たない変数をコード化することである。この変数
は、開始ロケーシヨンと上位処理センターのどち
らかまたは両方で生成することができる。受け取
つたコード化された変数は、メツセージ確認コー
ドと呼ばれ、局所で誘導されたコード化変数と比
較され、比較の結果が正しければ、入力された
PINが妥当なことが示される。

１つの実施例では、変数は２つの部分に分けて
生成され、第１の部分はロケーシヨンで生成され
て中央演算処理装置に伝送され、第２の部分は中
央演算処理装置で生成され、この２つの部分が各
ロケーシヨンで論理的に組み合わされて完全な変
数を与える。良好な実施例では、変数部分は２つ
のロケーシヨン間で送られるメツセージであり、
これは個人口座番号（PAN）や上位システム識
別番号（CIAID）などの指標番号および各ロケ
ーシヨンで生成された乱数を含むことができる。
PANとCIAIDは、不正取得したユーザー・カー
ドから推測できるので、乱数の使用がより望まし
く、システムの安全保護がより確保される。

最も簡単な形では、変数は端末で生成された真
の乱数でよく、指標情報と一緒に上位処理センタ
ーに送られる。上位処理センターで、妥当許可パ
ラメータを使用してこの変数がコード化され、妥
当メツセージ確認コード（MAC）が誘導される。
端末では局所で誘導された許可パラメータ、すな
わち誘導許可パラメータ（DAP）を使用してこ
の変数がコード化されて、誘導メツセージ確認コ
ード（DMAC）が生成され、DMACとMACが
比較される。この比較は、各ロケーシヨンの処理
能力及び安全性に応じて、上位処理センターが端
末のどちらかで行うことができる。上位中央処理
センターで比較が行われる場合、DMACがメツ
セージの一部として送られ、MACを端末に伝送
する必要はない。

〔実施例〕

次に、図面を参照しながら、良好な実施例につ
いてより詳しく説明する。第１図は、POS端末
またはトランザクシヨン端末のブロツク概略図で
あり、共通母線１３に接続されたキーボード１
０、カード読み取り装置１１および表示装置１２
を含んでいる。またランダム・アクセス記憶装置
（RAM）１４、マイクロプロセツサ１５、回線
アダプタ１６、暗号化装置１７、読み取り専用記
憶装置（ROM）１８も、母線１３に接続されい
る。回線アダプタ１６は、EFTネツトワークに
直接接続された変復調装置１９に接続されてい
る。

第２図は、カード発行機関の処理システムを概
略的に示したもので、プロセツサ２０が母線２４
を介して暗号化装置２１、主作業用記憶装置２
２、入出力チヤンネル制御装置２３に接続されて
いる。主作業用記憶装置２２は、大容量バツクア
ツプ記憶装置２５に接続されているが、このバツ
クアツプ記憶装置は大容量磁気デイスク装置また
は類似の装置とすることができる。

カード発行機関（CIA）がカードを発行すると
き、カードにユーザーの口座番号（PAN）と発
行機関の識別番号（CIAID）を磁気的にコード
化する。顧客はこのコードと共に秘密の個人番号
（PIN）を受け取るが、この番号はカードには記
載せず暗記しなければならない。CIAはそのデー
タバンク２５中に、すべてのPANのリストを当
該の妥当許可パラメータ（VAP）と共に維持す
る。もちろんPANは関連する財務情報にも使用
されるが、その態様は本発明に直接関係するもの
ではない。

ユーザーまたは小売機関の店員がカードをカー
ド読み取り装置１１に入れると、その端末でトラ
ンザクシヨンが開始される。制御装置１８が、カ
ードを読み取るべきことを検出し、PANと
CIAIDのRAM記憶装置１４への伝送を制御す
る。

次に、制御装置が回線アダプタ１６と変復調装
置１９を介して、CIAIDによつて識別される当
該の上位処理装置に送るべきメツセージ（メツセ
ージＡ）を作成する。このメツセージは、PAN
または指標番号と経路指定情報を含んでいる。ま
た乱数を含むことができるが、この乱数は再生成
されてはならないので、既知のシードのない真の
乱数とすることができる。メツセージＡは、
RAM記憶装置１４中のメツセージ・バツフアに
記憶される。乱数は標準的方法により、特別の装
置またはプロセツサ１５中で生成することができ
る。

メツセージＡを上位処理装置が受け取ると、
PANまたは指標番号を使用して記憶装置２５中
に保持されているユーザーのPINが識別される。
もちろん、PIN自体を記憶するかわりに、PIN、
PAN及び他の静的カードデータの組み合わせで
ある妥当許可パラメータ（VAP）を記憶しても
よい。排他的OR機能を用いて、他のカードデー
タ（個人キーと総称する）をPINと組み合わせ
る。得られたデータを暗号キーとして使用して、
PANを暗号化し、VAPを生成する。

プロセツサ２０は、戻りメツセージＢを作成す
るが、このメツセージは良好な実施例では変数の
第２の半分とみなされ、メツセージＡと同様にこ
れは真の乱数を含むことができる。次に、メツセ
ージＡおよびＢがプロセツサ２０によつて連結さ
れ、その結果（VAR）が主記憶装置２２に記憶
される。次にVAPを暗号キーとして使用して、
VARが暗号化装置２１によつてコード化される。
その結果が、メツセージ確認コード（MAC）で
ある。次に、MACがメツセージＢに加えられ、
入出力チヤンネル制御装置２３とFETネツトワ
ークを介して起点端末に伝送される。

端末でメツセージＢをMACと共に受け取ると、
それらはRAM１４のメツセージ・バツフアに記
憶される。次に制御装置によつて表示装置１２上
に命令が現われ、カード・ユーザにそのPINをキ
ーボード１０から入力するように告げる。その端
末をカード・ユーザが現金引出し専用に使用する
場合には、カード読取り装置１１、キーボード１
０および表示装置１２を互いに近づけることがで
きるが、端末がPOS取引きに使用される場合に
は、PINが入力されるキーボードを小売業者の従
業員から保護しなければならない。ユーザーが
PINを入力すると、それはRAM１４に記憶され
る。端末での次のステツプは、局所で誘導された
許可パラメータ（DAP）を生成するものである。
これは、プロセツサ１５を使用して、VAPを誘
導するのに使用されるのと同じ機能を実施するこ
とによつて行われる。次に、DAPがRAM１４に
記憶される。このとき、制御装置とプロセツサ
は、メツセージＡおよびメツセージＢに関して上
位プロセツサが実施するのと同じ連結操作を実施
する。その結果は、上位プロセツサで生成された
変数、VARと同一でなければならない。次に暗
号化装置１７が以前に生成されたDAPを暗号キ
ーとして使用して、VARを暗号化し、その結果
は局所で生成されたMAC（DMAC）である。こ
のDMACがRAM１４に記憶され、次にプロセツ
サ１５が受け取つたMACと比較する。比較の結
果が正しくなければ、当該端末で入力され、
DAPを生成するために使用されたPINが正しく
なかつたことが示され、そのトランザクシヨンは
廃棄される。制御装置１８によつて適当なメツセ
ージが表示装置上に現われる。

比較の結果が満足できる場合、入力されたPIN
は正しく制御装置１８によつてトランザクシヨン
は進行可能となる。

上記操作のどの点でも、安全でない通信回線上
でPINが使用可能となることはない。

EFTシステムでは、トランザクシヨン端末で
PINを記憶する必要はない。MACを上位システ
ムから受け取つたときにPINをキーボードに入力
するだけでよく、DAPの計算がその時点で開始
できる。

乱数は、連続的に走行するマイクロ秒クロツク
およびキーボードのキーストローク間の時間間隔
をシード数として使用することによつて生成でき
る。

良好な実施例では、トランザクシヨン端末の操
作は、制御装置中の読み取り専用記憶装置に記憶
されているマイクロコードによつて制御される。
端末の操作は、固体論理装置の形で具体化された
論理切換え回路によつても制御できる。

【図面の簡単な説明】

第１図は、良好な実施例で使用される販売端末
点の構成要素のブロツク概略図である。第２図
は、良好な実施例で使用される中央計算処理装置
の構成要素のブロツク概略図である。 １０……キーボード、１１……カード読取り装
置、１２……表示装置、１３……共通母線、１４
……ランダム・アクセス記憶装置（RAM）、１
５……マイクロプロセツサ、１６……回線アダプ
タ、１７……暗号化装置、１８……読み取り専用
記憶装置（ROM）、１９……変復調装置、２０
……プロセツサ、２１……暗号化装置、２２……
主作業用記憶装置、２３……入出力チヤンネル制
御装置、２４……母線、２５……大容量バツクア
ツプ記憶装置。

Claims (1)

1. 【特許請求の範囲】 １ データ処理センター及び該センターに通信ネ
   ツトワークを介して接続されたロケーシヨンを含
   むシステムにおいて、該ロケーシヨンで入力され
   た秘密の識別コードの妥当性を試験する方法であ
   つて、 (a) 上記ロケーシヨンで上記識別コード及び取引
   に関する指標番号を受け取り、 (b) 上記識別コードを用いて上記指標番号を暗号
   化することにより誘導許可パラメータを生成
   し、 (c) 個々の試験のための変数を生成し、上記指標
   番号とともに上記データ処理センターに伝送
   し、 (d) 上記データ処理センターで受け取つた指標番
   号を該番号に対応するに識別コードを用いて暗
   号化した妥当許可パラメータを生成し、 (e) 上記データ処理センターで上記妥当許可パラ
   メータを暗号キーとして上記変数を暗号化する
   ことにより妥当メツセージ確認コードを生成
   し、 (f) 上記ロケーシヨンで上記誘導許可パラメータ
   を暗号キーとして上記変数を暗号化することに
   より誘導メツセージ確認コードを生成し、 (g) 上記妥当メツセージ確認コード及び上記誘導
   メツセージ確認コードを比較して、上記識別コ
   ードの妥当性を試験する、 各ステツプを含む識別コードの妥当性を試験する
   方法。 ２ 上記変数が乱数を含む、特許請求の範囲第１
   項記載の方法。 ３ 上記変数及び上記指標番号を含む第１メツセ
   ージに対し、データ処理センターで第２メツセー
   ジを生成し、上記第１メツセージ及び上記第２メ
   ツセージを組み合せたものを暗号化することによ
   り上記妥当メツセージ確認コード及び上記誘導メ
   ツセージ確認コードを生成する、特許請求の範囲
   第１項または第２項記載の方法。