JP2006072565A - セキュリティ端末活性化システム及び活性化端末装置 - Google Patents

Abstract

【課題】 セキュリティ情報を安全に認証してセキュリティ端末装置に設定すること。
【解決手段】 活性化端末装置２２が、非接触ＩＣタグ通信用リーダ／ライタ２２ｊによってセキュリティ端末装置２１に備えられた非接触ＩＣタグ２１ａと交信することで、セキュリティ端末装置２１の認証を行う。この認証後にセキュリティ端末装置２１に対してセキュリティ情報の生成及び暗号化によって活性化を許可するための公開鍵を発行する。この発行後にセキュリティ端末装置２１から返信されてきたセキュリティ情報を記憶する。そして、このセキュリティ情報が非接触ＩＣタグ２１ａへ設定される活性化が行われ、この活性化時に活性化ログ情報がセキュリティ情報と共に非接触ＩＣタグ２１ａに記憶されるようにする。
【選択図】 図１

Description

本発明は、ＩＣカード決済事業等のセキュリティ事業に用いられるセキュリティ端末装置に対して、セキュリティ情報を秘密鍵により安全に設定する活性化を行うセキュリティ端末活性化システム及び活性化端末装置に関する。

セキュリティ端末活性化システムにおけるセキュリティ端末装置は、秘密鍵によって安全にセキュリティ情報を保持する機能を備えるものであり、従来のセキュリティ端末装置は例えば図１０に示すように構成されている。このセキュリティ端末装置１１は、セキュリティインフラストラクチャにおける他のコンポーネントと協調して認証を実行する端末認証部１１ａと、セキュリティ端末装置を識別するための識別情報を記憶する識別情報記憶部１１ｂと、セキュリティ端末装置を認証するための認証情報を記憶する認証情報記憶部１１ｃと、セキュリティ端末装置のセキュリティ情報を記憶するセキュリティ情報記憶部１１ｄとを備えて構成されている。但し、各記憶部１１ｂ、１１ｃ、１１ｄは、セキュリティ端末装置の外部からの攻撃をガードするための耐タンパ構造とされている。

このような構成のセキュリティ端末装置１１は、セキュリティシステムでのセキュリティインフラストラクチャを構成するセキュリティコンポーネントである。
セキュリティインフラストラクチャとは、組織内のセキュリティに関する基本的な方針や行動指針であるセキュリティポリシの目的を達成するためのセキュリティコンポーネントの構成の包括的な概念である。

セキュリティコンポーネントは、セキュリティインフラストラクチャの中にあって協調動作することで全体的なセキュリティを保証する。更に説明すると、セキュリティコンポーネントは、セキュリティインフラストラクチャの構成要素であり、ＩＣカード、端末装置、サーバ、ネットワーク等を示す。
図１１に、従来のセキュリティインフラストラクチャの構成を示す。但し、セキュリティインフラストラクチャを構築するセキュリティシステムの事業者をＡ事業者とする。

Ａ事業者のセキュリティインフラストラクチャ１２は、Ａ事業者のセキュリティポリシ１２ａを基にセキュリティコンポーネントが他のセキュリティコンポーネントと協調動作することで一貫したセキュリティを実現するために構築されている。Ａ事業者のセキュリティポリシ１２ａは、セキュリティシステム事業を運営するセキュリティシステム事業者が規定する。
Ａ事業者のセキュリティコンポーネントとしては、センタサーバ１２ｂと、上位端末装置１２ｃと、セキュリティ端末装置１１と、ネットワーク１２ｅと、ＩＣカード１２ｆとがある。

セキュリティシステム事業者Ａが構築したセキュリティインフラストラクチャ１２の中でセキュリティ端末装置１１が協調動作を行うためには、セキュリティインフラストラクチャ１２で管理されるセキュリティ情報を、セキュリティ端末装置１１内の安全な記憶領域に保持しなければならない。ここでは、各記憶部１１ｂ、１１ｃ、１１ｄに保持するようになっている。セキュリティインフラストラクチャ１２で管理されるセキュリティ情報とは、セキュリティコンポーネント１２ｂ〜１２ｆ間での認証に必要な情報やセキュリティコンポーネント１２ｂ〜１２ｆの識別情報等である。

セキュリティ端末装置１１には、端末装置として、製造、輸送、設置、運用、廃棄といった製品ライフサイクルがある。図１２に従来のセキュリティ端末装置１１のライフサイクルを示し、その説明を行う。
セキュリティ端末装置１１は、ステップＳ１において、製造直後にデータが何も設定されていない初期状態となっており、この状態で、データを秘密鍵を用いて設定する活性化が行われる第１の活性化待ち状態となっている。

ステップＳ２において出荷が行われ、ステップＳ３において、最初のデータ（初期データ）が秘密鍵を用いて設定される活性化が行われると、セキュリティ端末装置１１は第２の活性化待ち状態となる。
次に、ステップＳ４において、セキュリティ端末装置に運用するために必要な情報が設定される活性化が行われると、ステップＳ５において、セキュリティ端末装置１１が実際に運用を行う場所に移動された後、運用される。

この運用において、ステップＳ６にて、セキュリティ端末装置１１に、寿命、故障、タンパが生じると、ステップＳ７にてセキュリティ端末装置１１が廃棄されて、セキュリティ端末装置としてのライフサイクルが完結する。
また、セキュリティ端末装置１１が、セキュリティシステム事業者が構築したセキュリティインフラストラクチャのセキュリティコンポーネントとして動作できるようになるためには、上記のライフサイクルでセキュリティ端末装置１１に設定しなければならないセキュリティ情報がセキュリティシステム事業者のセキュリティポリシに基づいて管理されている必要がある。

この種の従来の装置として、例えば特許文献１に記載のものがある。
特開２０００−１１１１４号公報

ところで、従来のセキュリティ端末活性化システムにおいては、上述したようにライフサイクルにおいて製造現場や保管場所等の異なった場所に存在したり、運送中であったり、運用現場に設置されていたりする場合があるので、セキュリティ端末装置のライフサイクルに関わる全ての参加者や事象をセキュリティ事業者自らが直接監視する事は事実上不可能である。
このため、セキュリティシステム事業者は自分達のセキュリティポリシに従ったライフサイクル運用規程を定めて、セキュリティ端末装置のライフサイクルに関わる参加者にその規定を守らせているが、これは参加者個人のモラル等に委ねられるので換言すれば、ただ単に参加者に規定を順守させているにすぎないということが言える。

セキュリティ端末装置をセキュリティインフラストラクチャ内のコンポーネントとして動作させるための基本となるベースシークレットは、セキュリティ端末装置のライフサイクルのどこかで設定しなければならい。ベースシークレットを安全に設定するための認証に必要な情報もやはり安全に設定されなければならないが、従来の方法ではセキュリティシステム事業者が定めたライフサイクル運用規程を遵守することで実現するしかない。また、従来方法では、ライフサイクル運用規程が実際に守られていたかどうかをチェックする事も難しい。

このような理由から、セキュリティ端末装置にセキュリティ情報を安全に認証して設定することができないという問題がある。
本発明は、このような課題に鑑みてなされたものであり、セキュリティ情報を安全に認証してセキュリティ端末装置に設定することができるセキュリティ端末活性化システム及び活性化端末装置を提供することを目的としている。

上記目的を達成するために、本発明の請求項１によるセキュリティ端末活性化システムは、他の通信装置と非接触状態で電波にて情報の交信を行う非接触ＩＣタグを有するセキュリティ端末装置と、このセキュリティ端末装置に対して秘密鍵によりセキュリティ情報を設定する活性化を行う活性化端末装置とを有するセキュリティ端末活性化システムにおいて、前記活性化端末装置に、前記非接触ＩＣタグと電波にて通信を行い情報の読み書きを行う通信手段と、前記通信手段にて前記非接触ＩＣタグと交信し、この非接触ＩＣタグに予め設定された相互認証情報を用いて活性化対象のセキュリティ端末装置との相互認証を行う認証手段と、前記認証手段で認証されたセキュリティ端末装置へ公開鍵を発行し、この公開鍵にてセキュリティ端末装置で生成後に暗号化されたセキュリティ情報を受信して記憶する発行記憶手段とを備え、前記通信手段は、前記発行記憶手段に記憶されたセキュリティ情報を、当該セキュリティ情報がセキュリティ端末装置に設定される活性化が行われ、この活性化時に活性化履歴情報がセキュリティ情報と共に非接触ＩＣタグに記憶されるように送信することを特徴とする。

この構成によれば、活性化端末装置が、通信手段によってセキュリティ端末装置に備えられた非接触ＩＣタグと交信することでセキュリティ端末装置の認証を行う。この認証後にセキュリティ端末装置に対してセキュリティ情報の生成及び暗号化によって活性化を許可するための公開鍵を発行する。この発行後にセキュリティ端末装置から返信されてきたセキュリティ情報を記憶し、このセキュリティ情報が非接触ＩＣタグへ設定される活性化が行われ、この活性化時に活性化履歴情報がセキュリティ情報と共に非接触ＩＣタグに記憶されるようにした。

つまり、従来のようにセキュリティシステム事業者が定めたライフサイクル運用規程を遵守することでセキュリティ情報の活性化の安全性を実現するといった曖昧な方法でなく、活性化端末装置にてセキュリティ端末装置との認証を実行して活性化を行い、この活性化履歴を管理することもできるので、セキュリティ情報を安全に認証してセキュリティ端末装置に設定することができる。

また、本発明の請求項２によるセキュリティ端末活性化システムは、請求項１において、前記活性化履歴情報が前記活性化端末装置を介して登録される第１のサーバを更に備え、前記認証手段は、前記相互認証によって認証された非接触ＩＣタグ内の活性化履歴情報と前記第１のサーバに記憶された活性化履歴情報とが一致する際に、前記非接触ＩＣタグに予め記憶されたセキュリティ端末認証情報を用いて、当該非接触ＩＣタグを有するセキュリティ端末装置の活性化を行うための当該セキュリティ端末装置との相互認証を行う手段を更に備えたことを特徴とする。

この構成によれば、セキュリティ端末装置が活性化された後に移設された場合でも、他の活性化端末装置が非接触ＩＣタグと第１のサーバとの双方の活性化履歴情報の照合に応じて認証を行い、この後、活性化を行うことができる。従って、セキュリティ端末装置が移設されても、従来のような曖昧な方法でなく、セキュリティ情報を安全に認証してセキュリティ端末装置に設定することができる。

また、本発明の請求項３によるセキュリティ端末活性化システムは、請求項２において、前記第１のサーバは、前記セキュリティ端末装置が活性化終了後に次の状態に遷移した状態をセキュリティ端末装置個別に管理するセキュリティ端末個別管理情報として記憶する手段を更に備え、前記セキュリティ端末装置からセキュリティ端末認証情報にて認証要求があった際に、当該セキュリティ端末認証情報と前記第１のサーバに記憶されたセキュリティ端末個別管理情報とを照合し、この照合結果が一致の際に当該セキュリティ端末装置の活性化が正常に実行されたと認証し、この認証されたセキュリティ端末装置へセキュリティ情報を送信する第２のサーバを更に備えたことを特徴とする。

この構成によれば、セキュリティ端末装置からセキュリティ情報の送信要求があった場合に、そのセキュリティ端末装置のセキュリティ端末認証情報にて認証を行うと共に、当該セキュリティ端末装置にて活性化が正常に実行されたかどうかを判断し、正常である場合にのみセキュリティ情報を送信するので、適正にセキュリティ情報を送信することができる。

また、本発明の請求項４による活性化端末装置は、他の通信装置と非接触状態で電波にて情報の交信を行う非接触ＩＣタグを有するセキュリティ端末装置に接続され、このセキュリティ端末装置に対して秘密鍵によりセキュリティ情報を設定する活性化を行う活性化端末装置において、前記非接触ＩＣタグと電波にて通信を行い情報の読み書きを行う通信手段と、前記通信手段にて前記非接触ＩＣタグと交信し、この非接触ＩＣタグに予め設定された相互認証情報を用いて活性化対象のセキュリティ端末装置との相互認証を行う認証手段と、前記認証手段で認証されたセキュリティ端末装置へ公開鍵を発行し、この公開鍵にてセキュリティ端末装置で生成後に暗号化されたセキュリティ情報を受信して記憶する発行記憶手段とを備え、前記通信手段は、前記発行記憶手段に記憶されたセキュリティ情報を、当該セキュリティ情報がセキュリティ端末装置に設定される活性化が行われるように送信することを特徴とする。

この構成によれば、活性化端末装置が、通信手段によってセキュリティ端末装置に備えられた非接触ＩＣタグと交信することでセキュリティ端末装置の認証を行う。この認証後にセキュリティ端末装置に対してセキュリティ情報の生成及び暗号化によって活性化を許可するための公開鍵を発行する。この発行後にセキュリティ端末装置から返信されてきたセキュリティ情報を記憶し、このセキュリティ情報が非接触ＩＣタグへ設定される活性化が行われようにした。つまり、従来のようにセキュリティシステム事業者が定めたライフサイクル運用規程を遵守することでセキュリティ情報の活性化の安全性を実現するといった曖昧な方法でなく、活性化端末装置にてセキュリティ端末装置との認証を実行して活性化を行うことができるので、セキュリティ情報を安全に認証してセキュリティ端末装置に設定することができる。

以上説明したように本発明によれば、セキュリティ情報を安全に認証してセキュリティ端末装置に設定することができるという効果がある。

以下、本発明の実施の形態を、図面を参照して説明する。但し、本明細書中の全図において相互に対応する部分には同一符号を付し、重複部分においては後述での説明を適時省略する。
（実施の形態）
図１は、本発明の実施の形態に係るセキュリティ端末活性化システムの構成を示し、（ａ）はセキュリティ端末装置の構成を示し、（ｂ）は活性化端末装置の構成を示すブロック図である。

（ａ）に示すセキュリティ端末装置２１は、非接触ＩＣタグ２１ａを内蔵しており、この非接触ＩＣタグ２１ａは、非接触ＩＣタグアンテナ２１ｂと、非接触ＩＣタグＩＣチップ２１ｃとから構成され、非接触ＩＣタグＩＣチップ２１ｃは、非接触ＩＣタグ識別子記憶部２１ｄと、非接触ＩＣタグ認証情報記憶部２１ｅと、非接触ＩＣタグ活性化ログ情報記憶部２１ｆとを備えて構成されている。
また、セキュリティ端末装置２１は、セキュリティ端末認証部２１ｇを備えると共に、耐タンパ構造内に、セキュリティ端末識別情報記憶部２１ｈと、活性化端末認証情報記憶部２１ｉと、セキュリティ端末セキュリティ情報記憶部２１ｊとを備えて構成されている。

（ｂ）に示す活性化端末装置２２は、耐タンパ領域２２ａに、セキュリティ事業者のセキュリティインフラストラクチャ管理相互認証情報記憶部２２ｂと、非接触ＩＣタグ間認証ログ情報記憶部２２ｃと、非接触ＩＣタグ内セキュリティ情報記憶部２２ｄと、セキュリティ端末情報記憶部２２ｅと、セキュリティ端末設定セキュリティ情報記憶部２２ｆと、セキュリティ端末認証情報記憶部２２ｇと、活性化端末秘密鍵２２ｈと、活性化端末認証部２２ｉを備え、耐タンパ領域２２ａ以外に非接触ＩＣタグ通信用リーダ／ライタ２２ｊを備えて構成されている。

なお、上記構成要素において情報等を記憶する手段は、単に記憶部とも称す。
セキュリティ端末装置２１の非接触ＩＣタグＩＣチップ２１ｃにおいて、セキュリティシステムの事業者によって、非接触ＩＣタグ識別子記憶部２１ｄには非接触ＩＣタグ識別子が設定されて記憶され、非接触ＩＣタグ認証情報記憶部２１ｅには非接触ＩＣタグ認証情報が設定されて記憶される。

また、非接触ＩＣタグ活性化ログ情報記憶部２１ｆには、セキュリティ端末装置２１の活性化で得られた情報やログ情報が記憶される。
セキュリティ端末認証部２１ｇは、セキュリティ端末装置２１の本体と活性化端末装置２２や他のセキュリティシステム内の装置との認証を行なう。
セキュリティ端末識別情報記憶部２１ｈには、セキュリティ端末装置２１のライフサイクルの中でセキュリティシステムでユニークな値が設定される。

活性化端末認証情報記憶部２１ｉには、ライフサイクルの中で次状態に移った後で行われる認証に使用される情報が格納される。
セキュリティ端末セキュリティ情報記憶部２１ｊには、セキュリティ端末装置２１の活性化時に設定されるセキュリティ情報が格納される。
活性化端末装置２２は、セキュリティ端末装置２１の非接触ＩＣタグ２１ａと相互認証をとるために記憶部２２ｂに、セキュリティ事業者のセキュリティインフラストラクチャ管理相互認証情報を記憶している。

非接触ＩＣタグ間認証ログ情報記憶部２２ｃは、活性化端末装置２２とセキュリティ端末装置２１の非接触ＩＣタグ２１ａとの相互認証の結果、及び認証実行年月日時分、非接触ＩＣタグ識別子、状態情報を記憶する。
非接触ＩＣタグ内セキュリティ情報記憶部２２ｄは、セキュリティ端末装置２１の非接触ＩＣタグ２１ａからリードした情報を記憶する。

セキュリティ端末情報記憶部２２ｅは、後述で説明する図２に示すセキュリティ端末管理サーバ２３ｍから送られた当該サーバ２３ｍで管理されるセキュリティ端末情報を記憶する。
セキュリティ端末設定セキュリティ情報記憶部２２ｆは、活性化端末装置２２がセキュリティ端末装置２１に設定するための情報を記憶する。

セキュリティ端末認証情報記憶部２２ｇは、セキュリティ端末装置２１を認証するための情報を記憶する。
活性化端末秘密鍵２２ｈは、活性化端末装置２２が保持する個別の秘密鍵であってセキュリティ端末装置２１からのデータの隠蔽に使用する。
活性化端末認証部２２ｉは、セキュリティ端末装置２１との認証及び、非接触ＩＣタグ２１ａとの認証を行なう。
非接触ＩＣタグ通信用リーダ／ライタ２２ｊは、非接触ＩＣタグ２１ａが通信を行う際に使用する。

このような構成のセキュリティ端末装置２１及び活性化端末装置２２を適用したセキュリティインフラストラクチャの構成を図２に示す。但し、セキュリティインフラストラクチャを構築するセキュリティシステムの事業者をＡ事業者とする。
Ａ事業者セキュリティインフラストラクチャ２３は、Ａ事業者のセキュリティポリシ２３ａを基にセキュリティコンポーネントが他のセキュリティコンポーネントと協調動作することで一貫したセキュリティを実現するために構築されている。

セキュリティポリシ２３ａは、セキュリティシステム事業を運営するセキュリティシステム事業者Ａが規定するものであり、Ａ事業者のセキュリティの方針が纏められている。つまり、そのセキュリティポリシ２３ａを実現するためにＡ事業者セキュリティインフラストラクチャ２３が包括的概念として構築されている。
このセキュリティポリシ２３ａに従った協調動作を行なうＡ事業者のセキュリティコンポーネントとしては、センタサーバ２３ｂと、上位端末装置２３ｃと、ネットワーク２３ｄと、ＩＣカード２３ｅと、非接触ＩＣタグ２３ｆ，２３ｇ，２３ｈ，２３ｉと、上述したセキュリティ端末装置２１及び活性化端末装置２２とがある。

また、Ａ事業者のセキュリティ端末装置２１は、製造直後からＡ事業者のセキュリティコンポーネントとなっている訳ではなく、活性化を通し、セキュリティ情報が設定された結果、Ａ事業者セキュリティコンポーネントとして動作可能となる。
一方、セキュリティ端末装置２１の非接触ＩＣタグ２１ａと活性化端末装置２２とは、セキュリティ端末装置２１が製造された時点で既に必要なＡ事業者管理のセキュリティ情報が設定され、セキュリティ端末装置２１のライフサイクルの管理に使用される状態となっている。

次に、図３に本実施の形態のセキュリティ端末装置２１のライフサイクルを示し、その説明を行う。
セキュリティ端末装置２１は、ステップＳ１１において、製造直後にデータが何も設定されていない初期状態となっており、この状態で、データを秘密鍵を用いて設定する活性化が行われる第１の活性化待ち状態となっている。
ステップＳ１２において、初期データが秘密鍵を用いて設定される活性化が行われると、セキュリティ端末装置２１は、ステップＳ１３において第２の活性化待ち状態となる。即ち、事業者Ａが管理する次のセキュリティ情報が設定されるのを待つ状態となる。

ステップＳ１４において、セキュリティ情報が秘密鍵を用いて設定される活性化が行われると、セキュリティ端末装置２１は、ステップＳ１５において第３の活性化待ち状態となる。
このようにセキュリティ事業者Ａが管理するセキュリティ情報を設定するためにＮ回活性化が行われる。実際の運用現場に設置されたセキュリティ端末装置２１においては、ステップＳ１６において、Ｎ回目の活性化にてセンタサーバ２３ｂから実際の運用で使用されるセキュリティ事業者管理のセキュリティ情報（非接触ＩＣカードアクセス鍵のような情報）が送られて設定される。

この時点で始めて、セキュリティ端末装置２１は、Ａ事業者セキュリティインフラストラクチャ２３のセキュリティコンポーネントとして動作可能となり、ステップＳ１７において、運用に遷移する。
この運用において、ステップＳ１８にて、セキュリティ端末装置２１に、寿命、故障、タンパが生じると、ステップＳ１９にてセキュリティ端末装置２１が廃棄されて、セキュリティ端末装置としてのライフサイクルが終了する。

次に、セキュリティシステム事業者Ａによってセキュリティ端末装置２１が３回の活性化（第１〜第３の活性化）で運用に遷移するライフサイクルが規定されている場合において、第１の活性化について図４を参照して説明する。
図４に示すように、セキュリティ端末装置２１は活性化端末装置２２にシリアル通信路３１で接続されており、活性化端末装置２２はセキュリティ端末管理サーバ２３ｍにネットワーク２３ｄで接続されているものとする。また、活性化端末装置２２の非接触ＩＣタグ通信用リーダ／ライタ２２ｊとセキュリティ端末装置２１の非接触ＩＣタグ２１ａとは、無線通信回線３４によって通信可能となっている。

第１の活性化は、活性化端末装置２２がセキュリティ端末装置２１に対して初期データ３２を秘密鍵を用いて設定することによって当該セキュリティ端末装置２１を活性化し、この活性化の結果３３をセキュリティ端末管理サーバ２３ｍに登録することで行われる。セキュリティ端末管理サーバ２３ｍには、セキュリティ端末管理情報３３−１及びセキュリティ端末個別管理情報３３−２が登録される。

この第１の活性化の詳細な説明を、図５に示すシーケンス図を参照して説明する。
セキュリティ端末装置２１には、製造直後は何の情報も設定されていないが、内蔵された非接触ＩＣタグ２１ａには、セキュリティシステム事業者Ａが管理するセキュリティ情報（この場合、活性化端末装置２２とセキュリティ端末装置２１間の相互認証鍵）が予め設定されている。また、活性化端末装置２２には、事業者Ａの管理するセキュリティ情報が予め設定されている。

このような初期状態においてステップＳ２１にて、活性化端末装置２２と非接触ＩＣタグ２１ａとが予め設定されたセキュリティ情報を用いて相互認証を行う。
この相互認証が成功すると、ステップＳ２２において、活性化端末装置２２が活性化端末秘密鍵２２ｈの公開鍵を、セキュリティ端末装置２１の本体に配布する。ステップＳ２３において、セキュリティ端末装置２１は、その配布された公開鍵を用い、製造後一度だけ、当該セキュリティ端末装置２１のセキュリティ情報（図にはセキュリティ端末セキュリティ情報と記載）を生成する。この生成されたセキュリティ情報は、ステップＳ２４において、先の公開鍵により暗号化され、活性化端末装置２２へ送信される。

ステップＳ２５において、その送信されたセキュリティ情報が活性化端末装置２２で受信され、セキュリティ端末情報記憶部２２ｅに記憶される。この記憶されたセキュリティ情報は、ステップＳ２６において、非接触ＩＣタグ通信用リーダ／ライタ２２ｊから非接触ＩＣタグ２１ａへ送信される。
そして、ステップＳ２７において、そのセキュリティ情報が活性化ログ情報と共に、非接触ＩＣタグ２１ａの非接触ＩＣタグ活性化ログ情報記憶部２１ｆに書き込まれて保管される。

この保管後、ステップＳ２８において、活性化端末装置２２は、第１の活性化が完了したと認識し、この結果である活性化ログ情報を、セキュリティ端末管理サーバ２３ｍへ送信して登録する。
これによって、セキュリティ端末装置２１は、第２の活性化待ち状態に遷移する。この遷移の記録は、活性化端末装置２２によってセキュリティ端末管理サーバ２３ｍのセキュリティ端末個別管理情報３３−２として登録される。

次に、第２の活性化について、図６及び図７を参照して説明する。
第２の活性化待ち状態においては、上記の第１の活性化時とは図６に示すセキュリティ端末装置２１が存在する場所が異なる。更に、第１の活性化を行った活性化端末装置２２とは別の活性化端末装置２２−１が備えられおり、この活性化端末装置２２−１でセキュリティ端末装置２１を活性化し、この第２の活性化の結果３３をセキュリティ端末管理サーバ２３ｍに登録する。

また、図６において、矢印３６は、活性化端末装置２２−１による非接触ＩＣタグ２１ａの非接触ＩＣタグ活性化ログ情報記憶部２１ｆからの非接触ＩＣタグ活性化ログ情報の読み出しを示す。矢印Ｙ３７は、活性化端末装置２２−１によるセキュリティ端末管理サーバ２３ｍからのセキュリティ端末個別管理情報３３−２の取得を示す。
第２の活性化の詳細な説明を、図７に示すシーケンス図を参照して説明する。

活性化端末装置２２−１は、セキュリティ端末装置２１が第２の活性化待ち状態となっている場合、最初にセキュリティ端末装置２１において第１の活性化が適正に行われたかどうかを判定する。
この判定のために、ステップＳ３１において、活性化端末装置２２−１とセキュリティ端末装置２１とが予め設定されたセキュリティ情報を用いて相互認証を行う。

この認証が取れた後、ステップＳ３２において、活性化端末装置２２−１は、セキュアな通信によって非接触ＩＣタグ２１ａから非接触ＩＣタグ活性化ログ情報を読み出して取得する。
また、ステップＳ３３において、活性化端末装置２２−１は、セキュリティ端末管理サーバ２３ｍからセキュリティ端末活性化ログ情報を取得し、ステップＳ３４にて、その活性化ログ情報と先に取得した非接触ＩＣタグ活性化ログ情報とを照合する。この照合結果がＯＫであれば、規定通りライフサイクルが守られ、第１の活性化が正しく行われたことを意味する。

ステップＳ３５において、活性化端末装置２２−１は、非接触ＩＣタグ２１ａに設定されたセキュリティ端末認証情報を読み出して取得する。そして、ステップＳ３６において、活性化端末装置２２−１は、その取得したセキュリティ端末認証情報を用いてセキュリティ端末装置２１との相互認証を行う。
この認証が取れた後、ステップＳ３７にて、活性化端末装置２２−１及びセキュリティ端末装置２１においてセッション鍵設立を行い、ステップＳ３８において、活性化端末装置２２−１が保持しているセキュリティ事業者Ａの管理のセキュリティ情報をセキュリティ端末装置２１へ送信する。

但し、セキュリティ事業者Ａの管理のセキュリティ情報とは、次の活性化で認証に使う情報であり、ここで扱っているセキュリティ事業者Ａのライフサイクルでは、運用に入るための情報をセンタサーバ２３ｂから取得する際に、セキュリティ端末装置２１とセンタサーバ２３ｂとの間の認証に必要な情報となる。
ステップＳ３９において、セキュリティ端末装置２１は、活性化端末装置２２−１から送信されてきたセキュリティ情報を記憶して保存する。

ここで、セキュリティ端末装置２１のライフサイクルで活性化端末装置２２−１による活性化が更に続く場合は、ステップＳ４０において、活性化端末装置２２−１がセキュリティ端末装置２１のセキュリティ情報を非接触ＩＣタグ２１ａに書き込む。
更に、ステップＳ４１において、活性化端末装置２２−１は、セキュリティ端末管理サーバ２３ｍに対して、セキュリティ端末活性化ログ情報を送信して登録する。その後、ステップＳ４２において、セキュリティ端末装置２１は、非接触ＩＣタグ２１ａにセキュリティ情報と活性化ログ情報とを保管して第３の活性化待ち状態に遷移する。

次に、第３の活性化について、図８及び図９を参照して説明する。
第３の活性化待ち状態においては、この状態にある図８に示すセキュリティ端末装置２１が、ネットワーク２３ｄを介してセンタサーバ２３ｂに接続される。そのセンタサーバ２３ｂは、ネットワーク２３ｄを介してセキュリティ端末管理サーバ２３ｍに接続される。

また、図８において、矢印４１はセキュリティ端末装置２１からセンタサーバ２３ｂへのセキュリティ情報の取得の要求を示し、矢印Ｙ４２はその要求に応じたセンタサーバ２３ｂからセキュリティ端末装置２１へのセキュリティ情報の送信を示す。矢印４４はセンタサーバ２３ｂからセキュリティ端末管理サーバ２３ｍへのセキュリティ端末個別管理情報３３−２の取得の要求を示し、矢印Ｙ４５はその要求に応じたセキュリティ端末管理サーバ２３ｍからセンタサーバ２３ｂへのセキュリティ端末個別管理情報３３−２の送信を示す。

この第３の活性化待ち状態において、セキュリティ端末装置２１は、センタサーバ２３ｂに認証されると、センタサーバ２３ｂから運用に必要なセキュリティ情報を配信してもらう。セキュリティ端末装置２１が、セキュリティ事業者Ａが規定するライフサイクルに従い活性化されてきたかどうかを判定する場合、センタサーバ２３ｂがセキュリティ端末管理サーバ２３ｍからセキュリティ端末個別管理情報３３−２を受け取って判定する。この判定がＯＫの場合に、センタサーバ２３ｂがセキュリティ端末装置２１に対して運用に必要なセキュリティ事業者Ａの管理のセキュリティ情報４７を配信するようになっている。

第３の活性化の詳細な説明を、図９に示すシーケンス図を参照して説明する。
ステップＳ５１において、セキュリティ端末装置２１が、セキュリティ端末セキュリティ情報記憶部２１ｊに記憶されたセキュリティ情報でセンタサーバ２３ｂに対して認証要求を行う。そのセキュリティ情報は、上記の第２の活性化において活性化端末装置２２−１から取得したセキュリティ情報である。このセキュリティ情報には、セキュリティ端末識別情報と、センタサーバ２３ｂとの間の認証に必要な情報とが含まれている。

ステップＳ５２において、センタサーバ２３ｂはセキュリティ端末管理サーバ２３ｍに対してセキュリティ端末個別管理情報３３−２の取得を要求する。なお、セキュリティ端末個別管理情報３３−２を図９には端末管理情報と記載している。ステップＳ５３において、セキュリティ端末管理サーバ２３ｍは、その要求に応じたセキュリティ端末個別管理情報３３−２をセンタサーバ２３ｂへ送信する。

ステップＳ５４において、センタサーバ２３ｂは、その送信されてきたセキュリティ端末個別管理情報３３−２とセキュリティ情報４７に含まれるセキュリティ端末認証情報とを照合する。この照合によって、セキュリティ端末装置２１がライフサイクルの規定に従い正しく活性化されたことを認証する。
ここで、正しく活性化されたことが認証されると、センタサーバ２３ｂは、ステップＳ５５において、その認証結果とセキュリティ端末個別管理情報３３−２のデータを送信する。

ステップＳ５６において、セキュリティ端末装置２１は、その送信されてきたデータによってセンタサーバ２３ｂが正しいセンタサーバ２３ｂである事を認証する。この認証後、ステップＳ５７において、セキュリティ端末装置２１はセンタサーバ２３ｂに対して運用に必要なセキュリティ情報の送信要求を行う。この要求するセキュリティ情報は、例えばＩＣカードシステムの場合はＩＣカードアクセス鍵に相当する。

ステップＳ５８において、センタサーバ２３ｂは、その要求に応じたセキュリティ情報をセキュリティ端末装置２１へ送信する。ステップＳ５９において、セキュリティ端末装置２１は、その送信されてきたセキュリティ情報をセキュリティ端末セキュリティ情報記憶部２１ｊに記憶して保存する。この保存されたセキュリティ情報が運用に用いられる。

以上説明したように本実施の形態のセキュリティ端末活性化システムによれば、活性化端末装置２２が、非接触ＩＣタグ通信用リーダ／ライタ２２ｊによってセキュリティ端末装置２１に備えられた非接触ＩＣタグ２１ａと交信することで、セキュリティ端末装置２１の認証を行う。この認証後にセキュリティ端末装置２１に対してセキュリティ情報の生成及び暗号化によって活性化を許可するための公開鍵を発行する。この発行後にセキュリティ端末装置２１から返信されてきたセキュリティ情報を記憶し、このセキュリティ情報が非接触ＩＣタグ２１ａへ設定される第１の活性化が行われ、この活性化時に活性化ログ情報がセキュリティ情報と共に非接触ＩＣタグ２１ａに記憶されるようにした。

従って、従来のようにセキュリティシステム事業者が定めたライフサイクル運用規程を遵守することでセキュリティ情報の活性化の安全性を実現するといった曖昧な方法でなく、活性化端末装置２２にてセキュリティ端末装置２１との認証を実行して活性化を行い、この活性化履歴を管理することもできるので、セキュリティ情報を安全に認証してセキュリティ端末装置２１に設定することができる。

また、セキュリティ端末装置２１が活性化された後に移設された場合でも、他の活性化端末装置２２が非接触ＩＣタグとセキュリティ端末管理サーバ２３ｍとの双方の活性化履歴情報の照合に応じて認証を行い、この後、活性化を行うことができる。従って、セキュリティ端末装置２１が移設されても、従来のような曖昧な方法でなく、セキュリティ情報を安全に認証してセキュリティ端末装置２１に設定することができる。

また、セキュリティ端末装置２１からセンタサーバ２３ｂに対してセキュリティ情報の送信要求があった場合、センタサーバ２３ｂにて、そのセキュリティ端末装置２１のセキュリティ端末認証情報にて認証を行うと共に、当該セキュリティ端末装置２１にて活性化が正常に実行されたかどうかを判断し、正常である場合にのみセキュリティ情報を送信するので、適正にセキュリティ情報を送信することができる。
従って、セキュリティ端末装置２１の製造から運用までの過程においてセキュリティシステム事業者の規定するライフサイクルが実行される事を、適正に監視することで不正を防止することができる。

本発明の実施の形態に係るセキュリティ端末活性化システムの構成を示し、（ａ）はセキュリティ端末装置の構成を示し、（ｂ）は活性化端末装置の構成を示すブロック図である。 上記実施の形態に係るセキュリティ端末装置の活性化端末装置を適用したセキュリティインフラストラクチャの構成を示す図である。 上記実施の形態におけるセキュリティ端末装置のライフサイクルを示す図である。 上記実施の形態におけるセキュリティ端末装置のライフサイクル中の活性化が３回に規定されている際の第１の活性化を説明するためのブロック図である。 上記実施の形態におけるセキュリティ端末装置のライフサイクル中の活性化が３回に規定されている際の第１の活性化を説明するためのシーケンス図である。 上記実施の形態におけるセキュリティ端末装置のライフサイクル中の活性化が３回に規定されている際の第２の活性化を説明するためのブロック図である。 上記実施の形態におけるセキュリティ端末装置のライフサイクル中の活性化が３回に規定されている際の第２の活性化を説明するためのシーケンス図である。 上記実施の形態におけるセキュリティ端末装置のライフサイクル中の活性化が３回に規定されている際の第３の活性化を説明するためのブロック図である。 上記実施の形態におけるセキュリティ端末装置のライフサイクル中の活性化が３回に規定されている際の第３の活性化を説明するためのシーケンス図である。 従来のセキュリティ端末装置の構成を示すブロック図である。 従来のセキュリティ端末装置を適用したセキュリティインフラストラクチャの構成を示す図である。 従来のセキュリティ端末装置のライフサイクルを示す図である。

符号の説明

２１ セキュリティ端末装置
２１ａ 非接触ＩＣタグ
２１ｂ 非接触ＩＣタグアンテナ
２１ｃ 非接触ＩＣタグＩＣチップ
２１ｄ 非接触ＩＣタグ識別子記憶部
２１ｅ 非接触ＩＣタグ認証情報記憶部
２１ｆ 非接触ＩＣタグ活性化ログ情報記憶部
２１ｇ セキュリティ端末認証部
２１ｈ セキュリティ端末識別情報記憶部
２１ｉ 活性化端末認証情報記憶部
２１ｊ セキュリティ端末セキュリティ情報記憶部
２２，２２−１ 活性化端末装置
２１ａ 耐タンパ領域
２２ｂ セキュリティインフラストラクチャ管理相互認証情報記憶部
２２ｃ 非接触ＩＣタグ間認証ログ情報記憶部
２２ｄ 非接触ＩＣタグ内セキュリティ情報記憶部
２２ｅ セキュリティ端末情報記憶部
２２ｆ セキュリティ端末設定セキュリティ情報記憶部
２２ｇ セキュリティ端末認証情報記憶部
２２ｈ 活性化端末秘密鍵
２２ｉ 活性化端末認証部
２２ｊ 非接触ＩＣタグ通信用リーダ／ライタ
２３ Ａ事業者セキュリティインフラストラクチャ
２３ａ Ａ事業者のセキュリティポリシ
２３ｂ Ａ事業者のセンタサーバ
２３ｃ Ａ事業者の上位端末装置
２３ｄ Ａ事業者のネットワーク
２３ｅ Ａ事業者のＩＣカード
２３ｆ，２３ｇ，２３ｈ，２３ｉ Ａ事業者の非接触ＩＣタグ
２３ｍ セキュリティ端末管理サーバ
３１ シリアル通信路
３２ 初期データ
３３ セキュリティ端末装置の活性化の結果
３３−１ セキュリティ端末管理情報
３３−２ セキュリティ端末個別管理情報
３４ 無線通信回線
３６ 非接触ＩＣタグ活性化ログ情報の読み出し
３７ セキュリティ端末個別管理情報の取得
４１ セキュリティ情報の取得の要求
４２ セキュリティ情報の送信
４４ セキュリティ端末個別管理情報の取得の要求
４５ セキュリティ端末個別管理情報の送信
４７ セキュリティ情報

Claims (4)

1. 他の通信装置と非接触状態で電波にて情報の交信を行う非接触ＩＣタグを有するセキュリティ端末装置と、このセキュリティ端末装置に対して秘密鍵によりセキュリティ情報を設定する活性化を行う活性化端末装置とを有するセキュリティ端末活性化システムにおいて、
   前記活性化端末装置に、
   前記非接触ＩＣタグと電波にて通信を行い情報の読み書きを行う通信手段と、
   前記通信手段にて前記非接触ＩＣタグと交信し、この非接触ＩＣタグに予め設定された相互認証情報を用いて活性化対象のセキュリティ端末装置との相互認証を行う認証手段と、
   前記認証手段で認証されたセキュリティ端末装置へ公開鍵を発行し、この公開鍵にてセキュリティ端末装置で生成後に暗号化されたセキュリティ情報を受信して記憶する発行記憶手段とを備え、
   前記通信手段は、前記発行記憶手段に記憶されたセキュリティ情報を、当該セキュリティ情報がセキュリティ端末装置に設定される活性化が行われ、この活性化時に活性化履歴情報がセキュリティ情報と共に非接触ＩＣタグに記憶されるように送信する
   ことを特徴とするセキュリティ端末活性化システム。
2. 前記活性化履歴情報が前記活性化端末装置を介して登録される第１のサーバを更に備え、
   前記認証手段は、前記相互認証によって認証された非接触ＩＣタグ内の活性化履歴情報と前記第１のサーバに記憶された活性化履歴情報とが一致する際に、前記非接触ＩＣタグに予め記憶されたセキュリティ端末認証情報を用いて、当該非接触ＩＣタグを有するセキュリティ端末装置の活性化を行うための当該セキュリティ端末装置との相互認証を行う手段を更に備えた
   ことを特徴とする請求項１に記載のセキュリティ端末活性化システム。
3. 前記第１のサーバは、前記セキュリティ端末装置が活性化終了後に次の状態に遷移した状態をセキュリティ端末装置個別に管理するセキュリティ端末個別管理情報として記憶する手段を更に備え、
   前記セキュリティ端末装置からセキュリティ端末認証情報にて認証要求があった際に、当該セキュリティ端末認証情報と前記第１のサーバに記憶されたセキュリティ端末個別管理情報とを照合し、この照合結果が一致の際に当該セキュリティ端末装置の活性化が正常に実行されたと認証し、この認証されたセキュリティ端末装置へセキュリティ情報を送信する第２のサーバを更に備えた
   ことを特徴とする請求項２に記載のセキュリティ端末活性化システム。
4. 他の通信装置と非接触状態で電波にて情報の交信を行う非接触ＩＣタグを有するセキュリティ端末装置に接続され、このセキュリティ端末装置に対して秘密鍵によりセキュリティ情報を設定する活性化を行う活性化端末装置において、
   前記非接触ＩＣタグと電波にて通信を行い情報の読み書きを行う通信手段と、
   前記通信手段にて前記非接触ＩＣタグと交信し、この非接触ＩＣタグに予め設定された相互認証情報を用いて活性化対象のセキュリティ端末装置との相互認証を行う認証手段と、
   前記認証手段で認証されたセキュリティ端末装置へ公開鍵を発行し、この公開鍵にてセキュリティ端末装置で生成後に暗号化されたセキュリティ情報を受信して記憶する発行記憶手段とを備え、
   前記通信手段は、前記発行記憶手段に記憶されたセキュリティ情報を、当該セキュリティ情報がセキュリティ端末装置に設定される活性化が行われるように送信する
   ことを特徴とする活性化端末装置。

Images