JPS62251945A - Ｉｃカ−ドの不正アクセス防止方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔目　次〕 概要 産業上の利用分野 従来の技術 発明が解決しようとする問題点 問題点を解決するための手段（第１図）作用 実施例 （ａ）　　一実施例の説明 （第２図、第３図、第４図、第５図） （ｂｌ　　他の実施例の説明 発明の効果 〔概　要〕 プロセッサとメモリとを有するＩＣカードがアクセス装
置から与えられる認証コマンドに従ってカード認証デー
タを生成してアクセス装置のカード正当性チェックのた
めに送信するものにおいて。

アクセス装置との交信可状態での認証コマンドの受信回
数チェックを行って、少なくとも認証データ生成処理禁
止を行なうとともに係る状態をコマンドで見れるように
することによって、認証データ生成過程の不正解読防止
とこれの外部での検知を可能とするもの。

〔産業上の利用分野〕

本発明は、プロセッサとメモリとを内蔵したＩＣカード
において、カードの正当性確認のためＩＣカードが生成
するカード認証データの生成過程を不正に解読されるこ
とを防止するだめの不正アクセス防止方式に関する。

銀行カード、クレジットカード等のカードとして、広く
磁気ストライプ付カードが用いられている０ このような磁気ストライプ付カードは、情報格納量が少
なく多彩な用途に使用困難であシ、又安食性の面でも十
分でないことから、近年ＩＣカードが注目を浴びている
。

ＩＣカードは第６図に示す如く、カード１内にプロセッ
サ（ＣＰＵ）とメモリを備え、メモリに充分な情報を格
納でき且つＣＰＵでおる程度の処理ができる。このＩＣ
カード１は端末等のアクセス装置にセットされ、コンタ
クト１４を介し、アクセス装置から電源供給及びデータ
の交信が行なわれるが、安全性の高いことが要求されて
いる。

〔従来の技術〕

このようなＩＣカード１を用いた取引においては、従来
第７図に示す如く、アクセス装置２として、ＩＣカード
リーダ／ライタを含む端末装置２ａとセンタ２ｂが設け
られ、ＩＣカード１にはＣＰＵｌ０とメモリ１１とが設
けられている。

メモリ１１には、予め従来の暗証番号等に相当する個人
識別情報Ｐ　Ｉ　Ｎ　（Ｐｅｒｓｏｎａｌ　Ｉｄｅｎｔ
ｉｆｉｃａｔｉｏｎ　Ｎｕｍｂｅｒ　）と、そのカード
所有者の口座番号ＡＣＣ＃等と、システムがカードの不
正使用をチェックするために、各カードまたは個人別に
、秘密に付したシークレットコード（キーデータ）８０
等が記憶される。

ＩＣカード１の利用の条件として、ＩＣカード１が端末
装置２ａのＩＣカードリーダ／ライタにセットされると
、端末装置２ａから個人識別番号ＰＩＮが入力され、Ｉ
Ｃカード１ＯＣＰＵｉＯは入力ＰＩＮとメモリ１１の格
納ＰＩＮとの照合を取シ１本人確認を行なう。この方法
はＩＣカード１のメモリ１１内のＰＩＮが外部へ出力さ
れないので、ＰＩＮの不正知得を防止する意味で安全性
が高い。

ＰＩＮ照合の一致が得られると、ＩＣカード１のＣＰＵ
ｌ０は口座番号ＡＣＣ＠を端末装置２ａに送信し、端末
装置２ａは、この口座番号ＡＣＣ＃を１回線を介してセ
ンタ２ｂへ送る。これに対し、センタ２ｂは、暗号化用
の乱数Ｅを発生させ。

端末装置２ａを経由して、ＩＣカード１に認証コマンド
と乱数Ｅを出力する。ＣＰＵｌ０は、受信した乱数Ｅと
１口座番号ＡＣＣ＃と、シークレットコードＳＣとから
、所定の関数（アルゴリズム）によシ認証コードＡ　Ｃ
（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ　）を生成
し、センタ２ｂへ送る。乱数Ｂは、取引毎に異なるので
、認証コードＡＣも各取引毎に異なる。これによシ９ロ
座番号ＡＣＣ＄やシークレットコードＳＣに関する回線
上における盗用を防止している。

一方、センタ２ｂ側においても、同じ関数によシ、同じ
乱数Ｅやシークレットコード８Ｃ等をパラメータとして
認証コードＡＣを生成し、ＩＣカード１が生成した認証
コードＡＣとの照合を行う。

これらが一致するとき、ＩＣカード１が正当であるとし
て、取引を開始する。

このようにして、従来は９本人確認をＩＣカード内で行
ない、ＰＩＮの不正知得を防止し、且つカードの正当性
確認は、アクセス装置２から乱数を送ってＩＣカード内
の認証データを生成させ。

これをアクセス装置に送ってチェックさせることによっ
て安全性を確保していた。

〔発明が解決しようとする問題点〕

一方、　近年のコンピュータ技術の進展により。

バーンナルコンピュータ等の手軽に利用できるコンピュ
ータが盛んに利用されておシ且つその処理能力も高くな
っている。

このような観点から、パーソナルコンピュータにＩＣカ
ードリーダ／ライタを接続し、自己又は他人のＩＣカー
ドを用いて、ＩＣカードの偽造を行なう可能性がある。

このような場合、ＰＩＮは自己の又は適当に付すること
によって比較的簡単に偽造できる。

一方、前述の認証データは、ＩＣカード内の認証データ
生成過程を知る必要がアシ、このため。

パーソナルコンピュータから正当なＩＣカード１に対し
認証コマンドと乱数を送り、認証データをＩＣカード１
内で生成させ、認証データを受信することを、乱数を変
えて何回も繰返していくと。

キーデータや認証データ生成のアルゴリズムが解読され
てしまうおそれがおる。

このような認証データ生成過程の仕組みが知られてしま
うと、偽造ＩＣカードの作成が可能となり１犯罪につな
がるという問題が生じる。

本発明は、係る認証データ作成の仕組みを不正に知ろう
としてＩＣカードにアクセスすることを防止することの
でき且つ係る不正アクセスされたＩＣカードを検知しう
るＩＣカードの不正アクセス防止方式を提供することを
目的とする。

〔問題点を解決するだめの手段〕

第１図は本発明の原理説明図である。

図中、第６図及び第７図で示したものと同一のものは同
一の記号で示してあり、ＣＰＵｌ０はＡＣ（認証）コマ
ンド受信回数チェック機能１０ａと、認証データを作成
するＡＣ生成機能１０ｂと。

処理禁止機能１０Ｃとを備えており、且つメモリ１１に
処理禁止情報をセットするようにしている。

又、特定の検証コマンドに応じてメモリ１１の禁止情報
を見れるようにしている。

〔作　用〕

本発明では、正常のＩＣカード１へのアクセスにおいて
は、ＡＣコマンドは１回又は２回程度であり、ＡＣコマ
ンドの受信回数がこれ以上ということは、正常アクセス
ではあシ得ない。

従って、ＡＣコマンドの受信回数をチェックすることに
よって前述のＡＣ生成過程の解読のだめの不正アクセス
であるとしてメモリ１１に情報をセットし、コマンド処
理の禁止を行なうものである。

更に、係るＩＣカードは使用不可となるが、使用不可と
なったＩＣカードが、ＩＣカード自体の障害によるもの
か、不正アクセスによるものかをカード発行元で検証す
るため、禁止情報を見れるようにしたものである。

〔実施例〕

（ａ）　　一実施例の説明 第２図は９本発明の一実施例構成図である。

図中、第１図で示したものと同一のものは同一の記号で
示してあシ、１２はプログラムメモリであ！７．ＣＰＵ
Ｉが処理すべきプログラムを格納しておくものであり、
第４図にて後述するコマンド全体処理プログラムと、コ
マンド全体処理プログラムによって解析されたコマンド
に対応する各種のコマンド処理プログラム、即ち、リセ
ット処理プログラム、ＰＩＮ照合処理プログラム、検証
処理プログラム、カードＡＣ処理プログラム（第５図）
、ファイルオーブン処理プログラム、リード処理プログ
ラム、ライト処理プログラムを格納しておくもの、１３
はバスであり、ＣＰＵｌ０とメモリ１１．プログラムメ
モリ１２．アクセス装置２との間でコマンド／データの
やシとりを行なうためのものである。

メモリ１１は、ワークエリアＷＯＲＫと、システムゾー
ンｚＳと、ディレクトリゾーンＺＤと。

業務ゾーンＺＡで構成されている。

ワークエリアＷＯＲＫには、ＡＣコマンド受信回数ｍが
格納されており、システムゾーンｚＳには、ＰＩＮ照合
のための本人ＰＩＮ、発行者ＰＩＮと、シークレットコ
ードＳＣと２発行者の識別番号である発行者ＩＤと、Ａ
Ｃコマンドの受信制限値であるリミット値ｎと、アクセ
ス禁止フラグｆとが格納されている。

一方、ディレクトリゾーンＺＤは、業務ゾーンＺＡの各
ファイルの領域管理のためのディレクトリ情報が格納さ
れており、業務ゾーンＺＡには業務情報ファイルや履歴
情報ファイル等の各穫ファイルが格納される。

ＩＣカード１とアクセス装置２との通常取引のためのプ
ロトコルを第３図プロ［・コル説明図によシ説明する。

■　先づ、ＩＣカード１がＩＣカードリーダ／ライタ２
Ｃに挿入されると、ＩＣカードリーダ／ライタ２Ｃより
リセットコマンドがＩＣカード１に発行される。これに
よって、ＣＰＵｌ０は前述のリセット処理を実行し、メ
モリ１１の受信回数ｍをリセットする。

そして、ＣＰＵｌ０はリセットレスポンスを端末装置２
ａに返送する。

■　端末装置２ａは、リセットレスポンスヲ受けると、
利用者の入力したＰＩＮを本人ＰＩＮ照合コマンドと共
にＩＣカード１に発行する。

ＩＣカード１では、ＣＰＵｌ０が、ＰＩＮ照合コマンド
によってＰＩＮ照合処理を実行し、与えられた入力ＰＩ
Ｎとメモリ１１のシステムゾーンｚＳの本人ＰＩＮとを
照合して、照合結果を端末装置２８に返送する。

■　端末装置２ａは照合結果が良好で１本人確認ＯＫと
判定すると、カード正当性確認のため。

カードＡＣコマンドと乱数ＥをＩＣカード１に発行する
。

ＩＣカード１では、ＣＰＵｌ０がカードＡＣ処理を実行
し、乱数ＥとキーデータＳＣとを所定の関数（アルゴリ
ズム）で演算し、ＡＣデータを生成し、端末装置２ａに
カード発行者ＩＤとＡＣデータとを端末装置２ａに返送
する。

■　端末装置２ａでは、第７図で説明した如くセンタ２
ｂと同様にＡＣ生成を行い、ＩＣカード１からのＡＣデ
ータと生成したＡＣデータとを照合し、カードＡＣチェ
ックを行い、カード正当性確認を行なう。

カード正当性確認が良好であれば、ＩＣカード１のファ
イル利用のため、ＩＣカードｌにファイルオープンコマ
ンドを発行し、ＩＣカード１では。

ＣＰＵｌ０がファイルオーブンコマンドに応シてファイ
ルオープン処理を行ない、メモリ１１の業務ゾーンＺＡ
のファイルへのアクセスを可能とし。

オープン結果を端末装置２ａに通知する。

■　端末装置２ａでは、ファイルオープンによって、フ
ァイル内のレコードのリードなら、リードコマンドを発
行し、ＩＣカード１のＣＰＴＪＩＯＫリード処理を行な
わしめる。即ち、ＣＰＵｌ０はメモリ１１のディレクト
リゾーンＺＤのディレクトリ情報を参照して業務ゾーン
ＺＡの指定されたファイルの指定されたレコードを読出
し、リード結果とり・−ドデータを端末装置２ａに返送
する。

又、ファイル内へのレコードのライトなら、端末装置２
ａは、ライトコマンドとライトデータをＩＣカード１に
発行し、ＩＣカード１のＣＰＵ１０にライト処理を行な
わしめる。即ち、ＣＰＵｌ０はメモリ１１のディレクト
リゾーンＺＤのディレクトリ情報を参照して業務ゾーン
ＺＡの指定されたファイルの空きエリアにライトデータ
を書込み１ライト結果を端末装置２ａに返送する。

■　端末装置２ａは、必要なリード／ライトを繰返すと
、ＩＣカード１にファイルクローズコマンドを与え、こ
れに応じてＣＰＵｌ０がクローズ結果をＩＣカードリー
ダ／ライタ２ｃに返送することによって、ＩＣカードリ
ーダ／ライタ２ｃはＩＣカード１を排出せしめ、終了す
る。

第４図は、第２図のコマンド全体処理フロー図。

第５図は第４図のカードＡＣ処理フロー図である。

■　ＣＰＵＩ　Ｏは、バス１３を介しアクセス装置２か
らコマンドメツセージを受信すると、受信コマンドの有
効性をチェックする。コマンドの有効性チェックは１例
えば規定されたコマンドであるか否か、前述のプロトコ
ルシーケンス順にコマンドが与えられているかを調べる
。コマンド有効性なしくＮｏ）であればエラーとしてレ
スポンス処理でエラーレスポンスを返送して、コマンド
メツセージ受信待ちに戻る。

＠　次に、ＣＰＵｌ０は、メモリ１１のシステムゾーン
ＺＳのアクセス禁止フラグｆを調べ、フラグｆがオンな
ら、受信コマンドが特定コマンドかを調べる。特定コマ
ンドは、この場合リセットコマンド、ＰＩＮ照合コマン
ド、検証コマンド等であり、カードＡＣコマンド、リー
ドコマンド。

ライトコマンド以外のものである。受信コマンドが特定
コマンドでなければ、無応答とし、何の返送もしない。

このアクセス禁止フラグｆは、後述する第５図のカード
ＡＣ処理で不正アクセス検出時にセットされる。

■　一方、ＣＰＵｌ０は、フラグｆがオフなら。

受信コマンドを解析し、対応する処理（リセット処理等
）を実行するため振分けを行なう。

そして、これらの処理の実行後、ＣＰＵｌ０はレスポン
ス処理によってレスポンスを返送し、コマンドメツセー
ジ受信待ちに戻る。

次に、カードＡＣ処理について第５図によシ説明する。

■　前述のコマンド解析／振分によって、受信コマンド
がカードＡＣコマンドと判定されると。

ＣＰＵｌ０は、メモリ１１のワークエリアＶＯＲＫの受
信回数ｍを（ｍ＋１）に更新する。

■　次に、ＣＰＵｌ０は、メモリ１１のシステムゾーン
ｚＳのリミット値ｎと係る受信回数ｍとを比較し、受信
回数ｍかリキッド値ｎを越えていない、ｍ＜ｎなら、前
述のＡＣ生成を行い、　ＡＣデータを生成し、終了する
。

■　逆に、ＣＰＵｌ０は２ｍ≧ｎの受信回数ｍがリミッ
ト値ｎ以上なら、システムゾーンＺＳのアクセス禁止フ
ラグｆをオンとし、無応答を指示して終了する。

このようにして、アクセス装置との交信可能状態で、Ａ
Ｃ（認証）コマンドを制限回数以上受信すると、ＡＣコ
マンドに対する処理を第５図に示す如く禁止し、無応答
としてしまう。

従って、以降ＡＣコマンドを与えても、レスポンスが得
られないから、ＡＣデータを複数得てＡＣ生成アルゴリ
ズムの不正解読を防止できる。

更に、第５図に示した如く、アクセス禁止フラグｆをオ
ンとすることによって、第４図のコマンド受信後のアク
セス禁止フラグチェックによって。

特定コマンド以外の処理を禁止し、これによって全（Ｉ
Ｃカード１を使用できないようにしている。

即ち、ＩＣカード１に対するリード／ライト等も禁止さ
れ、不正者によるメモリ１１のファイルアクセスをも禁
止し、いかなる不正も行なわれないようにしている。

このような不正の行なわれたＩＣカードは使用不可とな
るため、所有者がアクセス装置２を利用してカード取引
しても使用不可となるｏＩＣカードの使用不可となるの
は、ＩＣカード自体の障害か、係る゛不正アクセスが行
なわれた場合のいずれかである。

このため、使用不可となったＩＣカードを発行元に持っ
ていき、検査させる。

この場合１発行元では、アクセス装置２にＩＣカード１
をセットし、ＣＰＵｌ０に第４図処理を実行させる。即
ち、第３図と同様、リセットコマンドを発行し、リセッ
ト処理した後９発行者ＰＩＮ及びＰＩＮ照合コマンドを
発行し、ＩＣカード１でメモリ１１の発行者ＰＩＮとの
照合を行なわしめる。これによって発行者確認が行なわ
れ１発行者のみが実行できるコマンド入力が可能となる
。

このコマンドに検証コマンドがアシ、検証コマンドの入
力によってＣＰＵｌ０に検証処理を実行せしめる。即ち
、メモリ１１のシステムゾーンｚＳの内容を呼出し、ア
クセス装置２へ送信する。

アクセス装置２では、この内容を表示等することによっ
て、係るアクセス禁止フラグを見て、不正アクセスによ
って使用不可となったＩＣカードであることを検証でき
る。

尚、障害のＩＣカードなら、係るコマンドを与えても実
行しない等でこれを検知できる。

（ｂ）　　他の実施例の説明 上述の実施例では５％定コマンド以外のアクセスをアク
セス禁止フラグｆによって禁止しているが、ＡＣコマン
ドの実行のみをアクセス禁止フラグｆによって禁止して
もよ（、ＡＣコマンドを受信時に受信フラグを立ててお
き、受信フラグが立っている時に再度ＡＣコマンドを受
信した時に無応答とするようにしてもよい。

又、アクセス装置は、端末装置のみでおっても。

端末装置とホストコンピュータ（センタ）とで構成して
もよい。

以上本発明を実施例により説明したが９本発明は本発明
の主旨に従い攬々の変形が可能であシ。

本発明からこれらを排除するものではない。

〔発明の効果〕

以上説明した様に９本発明によれば、ＡＣコマンドを交
信可状態で、パーソナルコンピュータ等によって複数与
え、ＩＣカード内でＡＣデータを生成させて、これらに
よってＡＣ生成アルゴリズムを解読する不正を防止する
ことができるという効果を奏し、ＩＣカードの偽造防止
に貢献するところが犬きく、ＩＣカードの安全性を保つ
ことが可能となる。

又１発行元において、使用不可となったＩＣカードが不
正アクセスによるものか、障害によるものかを検証でき
るという効果を奏し、カード発行元等において、不正ア
クセスのあったカード及び所持者を特定することができ
る。

【図面の簡単な説明】

第１図は本発明の原理説明図。 第２図は本発明の一実施例構成図。 第３図は第２図実施例のプロトコル説明図。 第４図は第２図実施例のコマンド全体処理フロー図。 第５図は第４図におけるカードＡＣコマンド処理フロー
図。 第６図はＸＣカードの外観図。 第７図は従来技術の説明図である〇 図中、１・・・ＩＣカード。 ２・・・アクセス装置。 １０・・・プロセッサ。 １１・・・メモリ。

Claims (1)

1. 【特許請求の範囲】 プロセツサ（１０）とメモリ（１１）とを内蔵し，アク
   セス装置（２）と交信を行なうとともに， 該アクセス装置（２）から与えられる認証コマンドと乱
   数データを受信し，該プロセツサ（１０）が該メモリ（
   １１）のキーデータと該乱数データとを元にカード認証
   データを作成して， 該アクセス装置（２）へカード正当性チエツクのため送
   信するＩＣカードにおいて， 該プロセツサ（１０）は，該アクセス装置（２）との交
   信可能状態で該認証コマンドを所定回数受信したことに
   応じて， 少なくとも該認証コマンドに対する処理を禁止する情報
   を該メモリ（１１）にセツトし， 且つ検証コマンドに応じて該メモリ（１１）の情報を該
   アクセス装置（２）へ送信することを特徴とするＩＣカ
   ードの不正アクセス防止方式。