JP2001034729A - Ｉｃカード - Google Patents

Abstract

(57)【要約】 【課題】カード発行後は、設定により、いかなることが
あっても、ファイルのアクセス権属性を変更させないセ
キュリティ機構を実現することを課題とする。 【解決手段】上記課題を解決するために、ＩＣカードの
不揮発性記憶部の各ファイルの管理領域に、当該ファイ
ルのアクセス権属性を変更可能か否かを表すフラグビッ
トを設け、セキュリティ属性変更禁止コマンドを定義
し、外部からセキュリティ属性変更禁止コマンドを受け
付けると、前記フラグビットを変更不可として、以後の
当該データファイルのアクセス権属性変更を、いかなる
場合も恒久的に受け付けないようにセキュリティ機構を
実現する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＥＥＰＲＯＭ（El
ectrically Erasable and Programable Read Only Memo
ry）等の不揮発性メモリを有する携帯可能な情報記録媒
体、いわゆるＩＣカードについて、データファイルのア
クセス権を不正に変更することを防止するセキュリティ
機構に関する。

【０００２】

【従来技術】ＩＣカードは、磁気カードに代わる携帯可
能情報記録媒体として近年利用が広がっている。特に、
ＣＰＵを内蔵したＩＣカードは、単なる情報記録媒体と
しての機能だけではなく、情報処理機能を組み込むこと
ができるため、高度なセキュリティを必要とする情報処
理システムへの利用が期待されている。このようなＩＣ
カードでは、通常、カードが使用可能な状態となった後
でも、所定の認証条件が満たされファイル属性の変更権
が認められると、ＩＣカード内のファイルのアクセス権
属性を変更できるようになっている。

【０００３】

【発明が解決しようとする課題】従来のカードでは、カ
ードが使用可能な状態となった後でも、必要な認証条件
が満たされさえすれば、どんなに重要なファイルでもそ
のアクセス属性を変更できるようになっていたため、カ
ード発行後に、書き込み禁止と属性設定されているファ
イルのアクセス属性を変更して、重要なデータの改竄を
行う余地が残されていた。

【０００４】例えば、ＩＣカードに適した利用形態とし
て、第１の発行主体（通常のカード発行者）がカードを
利用するために必要な基本データをカードに記録した後
で、第２、第３の発行主体（第１の発行主体と業務提携
しているサービス業者等）が、それぞれのサービスに必
要なデータを書き込んで、多目的なカードとして利用者
に発行する場合がある。このような場合に、従来のカー
ドでは、第２、第３の発行者が既に記録されたデータの
改竄をする余地が残されていた。

【０００５】本発明はこのような問題点を考慮してなさ
れたものであり、利用フェーズ、すなわち、第１の発行
主体が必要な基本データをカードに設定して、カードの
制御プログラムが正しく機能できる状態、になった後
で、いかなることがあっても、ファイルのアクセス権属
性を変更させないセキュリティ機構を実現することを課
題とする。

【０００６】尚、以下の説明では、単にファイルと言う
ときにはＩＳＯ７８１６−４で規定しているＤＦ（Dedi
cated File）およびＥＦ（Elementary File）の両方を
指し、フォルダまたはフォルダファイルというときはＤ
Ｆだけを意味するものとする。

【０００７】

【課題を解決するための手段】上記課題を解決するため
に、本発明では、ＩＣカードの不揮発性記憶部の各ファ
イルの管理領域に、当該ファイルのアクセス権属性を変
更可能か否かを表すフラグビットを設けるとともに、セ
キュリティ属性変更禁止コマンドを定義し、外部からセ
キュリティ属性変更禁止コマンドを受け付けると、前記
フラグビットを変更不可として、以後の当該データファ
イルのアクセス権属性変更を、いかなる場合も恒久的に
受け付けないようにセキュリティ機構を実現することを
要旨とする。

【０００８】従来は、認証条件さえ満たせば、利用フェ
ーズにおいてもファイルのアクセス属性を変更できた
が、前記フラグビットを設けることにより、認証条件を
満たしてもアクセス権を変更させないようにできる。

【０００９】カード発行時にフラグビットを適切に設定
することにより、ＩＣカードの用途により、カード発行
後にファイルのアクセス属性を変更する必要がある場合
にも対応可能である。その場合でも、ある時点で、セキ
ュリティ属性変更禁止コマンドを一度受け付けると、そ
れ以降のアクセス属性変更は不可能となる。このフラグ
ビットはファイル毎に設定されるので柔軟に利用でき
る。

【００１０】また、前記フラグビットが設けられるファ
イルの管理領域は、ＩＣカードの制御部のみがアクセス
可能な領域であり、外部からアクセスすることはできな
い。カード発行者が、セキュリティ属性変更禁止コマン
ド以外の方法で、カード発行後に前記フラグビットを操
作することは不可能である。前記フラグビットを、変更
禁止から変更可能に変えることは全く不可能である。

【００１１】また、本発明の第２の態様は、セキュリテ
ィ属性変更禁止コマンドを受け付けたフォルダファイル
の下位に位置するファイルはすべて、前記フォルダファ
イルとともに、以後の当該ファイルへのアクセス権属性
変更を、いかなる場合も恒久的に受け付けないようにセ
キュリティ機構を実現することを要旨とする。

【００１２】複数のサービスや複雑な機能を提供するた
めに、ＩＣカードの中に、複数のファイルをまとめて格
納する入れ物としてフォルダを定義し、階層構造を持つ
ファイルシステムを実現して情報を記憶管理する場合が
ある。このような場合には、入れ物であるフォルダのア
クセス権属性変更を不可能にした場合に、下位に位置す
るファイルのアクセス権属性変更も同時に不可能となる
ように構成した方が都合の良い場合がある。尚、フォル
ダはファイルの一種である。

【００１３】さらに、本発明の第３の態様は、セキュリ
ティ属性変更禁止コマンドを受け付けたフォルダファイ
ルに含まれる、フォルダでないファイルはすべて、前記
フォルダファイルとともに、以後の当該ファイルへのア
クセス権属性変更を、いかなる場合も恒久的に受け付け
ないようにセキュリティ機構を実現することを要旨とす
る。

【００１４】第３の態様では、セキュリティ属性変更禁
止コマンドの影響をそのフォルダに直接含まれる、フォ
ルダでないファイル（ＩＳＯ７８１６−４で規定してい
るＥＦ）だけに限定することができる。ＩＣカードにの
せるサービスアプリケーションによっては、このような
態様が適したものもある。

【００１５】

【発明の実施の形態】以下に本発明に係る実施形態につ
いて詳しく説明する。図１は、本実施形態に係るＩＣカ
ード１０がリーダー・ライター装置２０に接続されてい
る様子を示すブロック図である。ＩＣカード１０には、
Ｉ／Ｏインターフェイス１１、ＣＰＵ１２、ＲＯＭ１
３、ＲＡＭ１４、ＥＥＰＲＯＭ１５が内蔵されている。
Ｉ／Ｏインターフェイス１１は、Ｉ／Ｏライン３０を介
してデータを送受するための入出力回路であり、ＣＰＵ
１２はこのＩ／Ｏインターフェイス１１を通して、リー
ダ・ライタ装置２０とデータのやりとりを行う。ＲＯＭ
１３内には、ＣＰＵ１２によって実行されるべきプログ
ラムが記憶されており、ＣＰＵ１２はこのプログラムに
基づいてＩＣカード１０を統括制御する。ＲＡＭ１４は
一時的な作業用領域であり、ＥＥＰＲＯＭの内容をこの
作業領域に読み出す。ＣＰＵはこの作業領域に対してデ
ータ参照やデータ書き込みを行う。ＥＥＰＲＯＭ１５
は、このＩＣカード１０に記録すべき本来のデータが格
納されるメモリである。

【００１６】ＩＣカード１０内のメモリ１３、１４、１
５へのアクセスは、すべてＣＰＵ１２を介して行われ、
外部からこれらのメモリを直接アクセスすることはでき
ない。そのかわりに、リーダ・ライタ装置２０からＩＣ
カード１０に対してあらかじめ決められたフォーマット
の「コマンド」を与えると、ＣＰＵ１２がこの「コマン
ド」を解釈実行することでＩＣカード１０内のデータメ
モリ１５にアクセスする。その結果をリーダ・ライタ装
置２０に対して「レスポンス」として返送する。

【００１７】図６は、ＩＣカードの制御プログラムの働
きを示すフローチャートである。カードがカード端末に
挿入されると、ＩＣカードはカード端末から電源を供給
され、まず必要な初期化動作を行い（Ｓ１）、その後は
カード端末からのコマンドを待ち（Ｓ３）、もしコマン
ドが来れば、そのコマンドに対応したコマンド処理を行
う（Ｓ５）。そしてステップＳ３に戻り、再び次のコマ
ンドが来るのを待つ。

【００１８】図３はＥＥＰＲＯＭ領域１５を更に詳しく
説明する図である。ＥＥＰＲＯＭ領域１５は論理的にデ
ータ領域と管理領域に分けられる。データ領域は、定め
られたＩＣカードコマンドを利用して、外部からアクセ
ス可能な領域である。データはファイルという論理的な
単位にまとめられて記憶され、制御プログラムによって
管理される。一方管理領域は、ＩＣカードのＣＰＵ１２
のみが制御プログラムの制御によってアクセスする領域
である。管理領域は、ディレクトリと呼ばれるファイル
の管理情報を保持している。図３では前記データ領域の
ファイル１、２、３のそれぞれに対応したディレクトリ
が管理領域に存在している。このように、データ領域に
１つのファイルが生成されると、そのファイルの管理情
報を記憶する１つのディレクトリが管理領域に形成され
る。

【００１９】図４は、管理領域の中のディレクトリのフ
ォーマットを説明する図である。ディレクトリは当該フ
ァイルの先頭アドレス、当該ファイルのサイズ、セキュ
リティ属性、ファイル種類、チェックコードなどの属性
値の他に、変更禁止フラグを含んでいる。セキュリティ
属性は、当該ファイルに対するアクセスが可能かどうか
を決める鍵の開錠状態を表すビットパターンが格納され
る。これについての詳細は後述する。ファイルの種類は
通常のデータファイルか、パスワード（鍵情報）を記録
したファイルかなどの区別を示す。チェックコードはデ
ィレクトリ情報が誤りなく記録されたか、読み出された
かをチェックするためのチェックコードである。

【００２０】図５はＩＣカードのセキュリティ管理の仕
組みを表す図である。以下図５により、本発明に係る実
施形態におけるＩＣカードのセキュリティ管理の仕組み
を説明する。

【００２１】図５（Ａ）はＩＣカードのある時点の鍵の
開錠状態を示している。図では８ビットのビットパター
ンが示されているが、この各ビットは１つの特定の鍵の
開錠状態を示す。１であればそのビットに対応する鍵は
閉じられている。０であれば開錠されていることを示
す。ここでいう鍵とは論理的な鍵の意味であり、カード
に対して特定の鍵の要求するパスワードを与えることが
できれば、その鍵を開けることができる。この例では８
ビットなので、８つの鍵を使用していることとなる。鍵
を開くことは、当該カードがカード端末に挿入されカー
ドの認証チェックが行われる際に、制御プログラムの処
理によりあらかじめ定められた幾つかのパスワードファ
イルを調べることにより、または、カード端末のアプリ
ケーションプログラムに応じて利用者がその場で打ち込
んだパスワードを制御プログラムがチェックすることな
どにより行われる。その結果が図５（Ａ）のビットパタ
ーンとしてＲＡＭ領域１４の特定のアドレスに保持され
る。図５では第１鍵、第２鍵、第３鍵は開錠されたが、
第４〜第８の鍵は閉じられたままであることが分かる。

【００２２】図５（Ｂ）はディレクトリの中のセキュリ
ティ属性の詳細を示している。セキュリティ属性は、当
該ファイルに対して、読み込み、書き込み、更新の各動
作が可能であることを認める鍵の開錠状態を示す３つの
ビットパターンの集合で表される。尚、アクセスを認め
る開錠状態を示すビットパターンを認証条件情報ともい
うことにする。図５の場合では、読み込みアクセスは第
１の鍵が開けられていれば認められる。書き込みアクセ
スは、第１と第３の鍵が開かれていれば認められる。

【００２３】そして制御プログラムは、あるファイルへ
のアクセス要求が来たときに、先ず現在の鍵の開錠状態
ビットパターンと、そのアクセス要求を認める鍵の開錠
状態ビットパターンを比較して、そのアクセス要求の可
否を決定する。図５の場合では読み込み、書き込みアク
セスは認められるが更新アクセスは認められないことと
なる。

【００２４】以上がセキュリティ管理の仕組みの基本で
あるが、更新アクセス可能な開錠状態を一度作れば、カ
ード発行後においても、書き込み・更新アクセスの認証
条件情報を書き換えることにより以後の当該ファイルへ
の書き込み・更新がどこでも容易に可能となるように設
定してしまうことができる。これを防ぐために、ディレ
クトリの中に属性変更禁止フラグを設定する。もし属性
変更禁止フラグが１にセットされていると、更新アクセ
スの認証条件が満たされても当該ファイルのセキュリテ
ィ属性を変更することはできない。

【００２５】図２は、属性変更禁止フラグの働きを説明
するために、属性変更コマンドを受けたときのコマンド
処理フローを示したフローチャートである。属性変更コ
マンドを受けると、まず当該ファイルのディレクトリを
読み出す（Ｓ１３）。次にディレクトリの中のセキュリ
ティ属性をチェックし、現在の開錠状態が当該ファイル
の更新アクセスの認証条件を満たしているか判定する
（Ｓ１７）。もし更新アクセスの認証条件を満たしてい
る場合は、ステップＳ１９で、属性変更禁止フラグがセ
ットされているかどうかを調べる。同フラグが０なら
ば、変更可能と言うことなのでセキュリティ属性の変更
を行う（Ｓ２３）。その結果、属性変更がリクエスト通
り正常に行われた旨のレスポンスをカード端末に返して
コマンド処理を終了する（Ｓ２９）。属性変更禁止フラ
グがセットされていた場合、または更新アクセスの認証
条件が満たされていない場合はステップ２３を行わず
に、ステップ２９にジャンプして、属性変更はしかるべ
き理由により拒否された旨のレスポンスをカード端末に
返してコマンド処理を終了する。

【００２６】この属性禁止フラグを適切に使用すれば、
多目的カードとして発行する場合に、第１の発行者は金
銭情報を記憶したファイルのアクセス権属性変更禁止フ
ラグを１にセットしておけば、その後いかなることがあ
ってもその金銭情報ファイルのアクセス属性を変えるこ
とができないので高い安全性が維持できる。しかも、他
のファイルについては当該ファイルのアクセス権属性変
更禁止フラグを０としておくことにより、従来技術によ
り発行する場合の利便性が損なわれることはない。

【００２７】図７は、ＩＣカードがセキュリティ属性変
更禁止コマンドを受けたときの動作を示すフローチャー
トである。ＩＣカードがセキュリティ属性変更禁止コマ
ンドを受けると、まず当該ファイルのディレクトリを読
み出す（Ｓ３１）。次にディレクトリの中のセキュリテ
ィ属性をチェックし、現在の開錠状態が当該ファイルへ
の更新アクセスの認証条件を満たしているか判定する
（Ｓ３７）。もし更新アクセスの認証条件を満たしてい
る場合は、ステップＳ４３で、属性変更禁止フラグを１
にセットする。その結果、禁止コマンドがリクエスト通
り正常に行われた旨のレスポンスをカード端末に返して
コマンド処理を終了する（Ｓ５３）。ステップＳ３７で
更新アクセスの認証条件を満たしていない場合は、ステ
ップＳ５３にジャンプして属性変更禁止設定はしかるべ
き理由により拒否された旨のレスポンスをカード端末に
返してコマンド処理を終了する。

【００２８】図７は、ファイル毎に全く独立にセキュリ
ティ属性変更禁止コマンドを制御するＩＣカードの場合
のフローであるが、フォルダファイルを設けて、ファイ
ルを階層的に管理できるタイプのＩＣカードの場合は、
図８のように、フォルダファイルがセキュリティ属性変
更禁止コマンドにより設定されると、そのフォルダの下
位に位置するファイルがすべて影響されるようにセキュ
リティ属性変更禁止コマンドを受けたときの動作を定め
ることもできる。両者はＳ４７のステップ、すなわち、
「当該フォルダに含まれるファイルのディレクトリの変
更禁止フラグを１にセットする、それらの中にフォルダ
ファイルがある場合には、その中に含まれるファイルの
ディレクトリの変更禁止フラグも１にセットする」、が
あるかないかが異なるだけで他は同じである。

【００２９】図８のフローでは、セキュリティ属性変更
禁止コマンドを受けるファイルがフォルダファイルの場
合には、そのコマンドを受けたことの影響が、下位のフ
ォルダファイルを中継して、下位のファイルすべてに影
響する。これとは別に、セキュリティ属性変更禁止コマ
ンドを受けたことの影響が、下位のフォルダファイルに
は及ばない（従ってその下位に位置するファイルに及ば
ない）ようにＩＣカードのセキュリティ機構を実現する
ことが可能である。図９はそのようなＩＣカードのセキ
ュリティ属性変更禁止コマンド受信時の動作フローであ
る。図９では、図８のステップＳ４７がステップＳ４８
に差し替わっている。Ｓ４８では、セキュリティ属性変
更禁止コマンドを受けるファイルがフォルダファイルの
場合には、その中に直接含まれるファイルでフォルダで
ないものだけについて、変更禁止フラグを１にセットす
る。フォルダファイルかそうでないファイルかはそのフ
ァイルのディレクトリ情報を参照して識別できる。

【００３０】以上、セキュリティ属性変更禁止コマンド
を受けた時の動作フローの相違により、３通りの実現形
態があることを述べた。また、これまでの説明では、図
３および図４によって、すべてのファイルに等しくディ
レクトリ情報が設けられる構成を前提にして説明した。
これらとは異なる実施形態として、図４で示した構成の
ディレクトリ情報はフォルダファイルだけが持ち、フォ
ルダでないファイルは、変更禁止フラグ、または変更禁
止フラグとセキュリティ属性の両方、を持たずに、自分
を含むフォルダ（親フォルダ）のディレクトリにある属
性値で代用するという形態も実現可能である。すなわ
ち、この場合には、セキュリティ属性変更禁止コマンド
はフォルダファイルに対して発行されることになる。そ
して図７と図９の区別はなくなる。図８のＳ４７は「下
位に位置するすべてのフォルダファイルのディレクトリ
の変更禁止フラグを１にセットする」と読み替える。ま
た、フォルダでないファイルがセキュリティ属性変更コ
マンドを受けた時（この場合は当該ファイルは固有のセ
キュリティ属性情報を持っている）は、図２のＳ１９の
ステップは「親フォルダの属性変更禁止フラグをチェッ
クする」に読み替える。

【００３１】

【発明の効果】以上詳述したように、本発明によるセキ
ュリティ管理の仕組みにより、利用フェーズになった後
で、いかなることがあっても、ファイルのアクセス権属
性を変更させないセキュリティ機構が実現できる。

【００３２】このセキュリティ機構によれば、例えば、
多目的ＩＣカードとして、第１のカード発行者以外のサ
ービス事業者がサービスに関する設定を行うような場合
に懸念されるカードデータの改竄を防ぐことができる。
また、鍵データ（パスワード等）が漏洩しても、不正に
セキュリティ属性を変更されて不正使用されることは万
が一にもなくなり、非常にセキュリティの高いＩＣカー
ドを実現することができる。

【図面の簡単な説明】

【図１】本実施形態に係るＩＣカード１０がリーダー・
ライター装置２０に接続されている様子を示すブロック
図である。

【図２】属性変更禁止フラグの働きを説明するために、
属性変更コマンドを受けたときのコマンド処理フローを
示したフローチャートである。

【図３】ＥＥＰＲＯＭ領域１５を更に詳しく説明する図
である。

【図４】管理領域の中のディレクトリのフォーマットを
説明する図である。

【図５】ＩＣカードのセキュリティ管理の仕組みを表す
図である。

【図６】ＩＣカードの制御プログラムの働きを示すフロ
ーチャートである。

【図７】、

【図８】、

【図９】セキュリティ属性変更禁止コマンドを受けたと
きのＩＣカードの動作を示すフローチャートである。

【符号の説明】

１０ ＩＣカード １１ Ｉ／０インターフェイス １２ ＣＰＵ １３ ＲＯＭ １４ ＲＡＭ １５ ＥＥＰＲＯＭ ２０ リーダ・ライタ装置 ３０ ＩＯライン

Claims (3)

【特許請求の範囲】
1. 【請求項１】 不揮発性のデータ記憶部と前記記憶部に
   対して情報の書き込み又は読み出しを行う制御部とを有
   し、定められたプロトコルにより外部接続装置との間で
   情報の授受を行うＩＣカードであって、前記記憶部の各
   ファイルの管理領域に、当該ファイルのアクセス権属性
   を変更可能か否かを表すフラグビットを設け、外部から
   セキュリティ属性変更禁止コマンドを受け付けると、前
   記フラグビットを変更不可として、以後の当該ファイル
   のアクセス権属性変更を、いかなる場合も恒久的に受け
   付けないようにできることを特徴としたＩＣカード。
2. 【請求項２】 請求項１に記載のＩＣカードであって、
   セキュリティ属性変更禁止コマンドを受け付けたフォル
   ダファイルの下位に位置するファイルはすべて、前記フ
   ォルダファイルとともに、以後の当該ファイルへのアク
   セス権属性変更を、いかなる場合も恒久的に受け付けな
   いようにできることを特徴としたＩＣカード。
3. 【請求項３】 請求項１に記載のＩＣカードであって、
   セキュリティ属性変更禁止コマンドを受け付けたフォル
   ダファイルに含まれる、フォルダでないファイルはすべ
   て、前記フォルダファイルとともに、以後の当該ファイ
   ルへのアクセス権属性変更を、いかなる場合も恒久的に
   受け付けないようにできることを特徴としたＩＣカー
   ド。