JP2006190222A - 情報媒体、及びセキュリティーシステム - Google Patents

Abstract

【課題】 少なくとも２つの装置間で通信可能な通信路を、セキュリティを確保して確立すると共に、セキュリティに関わる異常発生を検出して速やかにシステム復旧ができるようにする。
【解決手段】 全体を制御すると共にタンパ処理を実行するＣＰＵ１１と、異なる４つのセキュア情報（鍵情報、価値情報等のデータ、及びセキュアプロトコルを含むプログラム）の各々に対応して暗号処理を行う暗号処理部１２と、前記異なる４つのセキュア情報をそれぞれ記憶する記憶部１３と、耐タンパ機能により重点的に保護すべき領域１４と、外部機器とのインターフェースを備えて通信を行う通信部１５と、保護すべき状態の成立を検出するタンパ検出部１６と、を備えて構成される。
【選択図】図１

Description

本発明はネットワークシステムのセキュリティを高めるためのセキュア情報を有する情報媒体、及び該情報媒体を利用したセキュリティーシステムに関する。

今日、クレジット情報や電子マネー、電子チケット販売等のサービスが、ネットワークを介して行われている。この際、クレジット番号や電子バリュー等の電子的価値のセキュリティを確保するために、暗号処理や認証処理が行われている。しかし、上記暗号処理や認証処理以外に、電子的価値を保護するセキュアな環境を、物理的手段や、電子的手段によって確保することも必要である。

例えば、特許文献１にはセキュリティ機能付きのカードリーダ装置が開示され、装置の筐体に対して開梱が行われた場合、装置の動作を不能にすると共に、開梱後に修復がなされた場合でも、この不能状態を継続することで、カードを偽造するためのデータを取り出せなくする耐タンパ機能が開示されている。

また、ＩＣカードとリーダライタ装置間で認証を行う暗号鍵を安全な手法で端末装置に格納するシステムが提案されている（例えば、特許文献２参照。）。
この特許文献２に開示されたシステムは、周期的にマスター装置からデータの暗号化、解読方法を端末装置に送り、端末装置側において送信される都度、暗号化、解読方法を記憶手段に格納する認証システムである。

一方、特許文献３には、１つの端末上で複数のアプリケーションを実現する際に、ＩＣカードにアプリケーションを配信するサーバを共通に構築し、それぞれのアプリケーションに関する情報を一元管理する発明が開示されている。

さらに、近年インターネット等のオープンな環境を利用し、セキュアな環境を実現する方式が提案され、例えば特許文献４には、ＩＣカードを利用し、価値情報を安全に流通させるための広域分散型のセキュリティアーキテクチャとして、自律型ＩＣカードの発明が提案されている。この発明は、ＩＣカードに、ＩＣカード端末を介して接続される他の通信装置を自ら認識し、かつ当該他の通信装置と直接的に通信を行う機能を付与し、ＩＣカード端末等の装置を見掛け上介在させることなく、当該他の通信装置と直接に通信を行えるようにし、これにより、通信の信頼性を保証することを意図している。
特開２００１−２９１０５０号公報 特開平１０−６３８００号公報 特開２００１−２３６２３２号公報 特開２００４−１３７４８号公報

しかしながら、上記従来技術の場合、以下の問題点がある。例えば、特許文献２に開示された発明の場合、少なくとも端末装置には鍵配信サーバと初回に認証を行うための暗号鍵が格納されている必要がある。これらの暗号鍵は、一般的にサービスを提供する事業者によって定義、管理されるものであり、端末装置のメーカに対してこの暗号鍵を公開する場合の安全確保の工夫や、公開しない場合の実装上の工夫等を検討する必要があり、鍵管理が複雑になる。

また、特許文献３に開示された発明の場合、セキュリティーポリシーが異なる事業者が、共通のサーバを使用して情報を共有化することは実際上は困難である。
さらに、特許文献４に開示された発明の場合、セキュアプロトコルは、通信対象によって変更することが可能ではあるが、異なるセキュリティーポリシーによる複数のアプリケーション（マルチアプリケーション）の実現、及びセキュリティを担保するための鍵の管理に関するメカニズムについては言及されていない。

一般に、予め強固なセキュリティシステムとして提案されているシステムにあっても、不正な第三者（攻撃者）により、セキュアプロトコルに異常が発生する可能性を想定し、このような場合にも速やかにシステムの復旧がなされるようにシステム設計しておくことは重要な課題である。

そこで、本発明に際しては、何らかの不正手段を利用する不正な第三者が、セキュアプロトコルを盗み見た場合、特に、鍵情報が盗まれるなどの異常事態が発生した場合には、このようなトラブルを、ネットワーク全体でカバーすることにより、システムを維持運用させることが可能なセキュリティシステムを構築することが課題とされた。

また、このような場合に、一般的には異常を示す端末装置を、事業者または事業者の代理者が回収して、鍵情報を書き換えるなどのシステム復旧対策が行われることになるが、この際、従来のように、煩雑な作業が必要となってシステムを長期に渡って停止させるような事態は回避し、素早い復旧を可能にすることも課題とされた。

本発明は、上記従来の問題点に鑑みてなされたものであって、少なくとも２つの装置間で通信可能な通信路を、セキュリティを確保して確立すると共に、セキュリティに関わる異常発生を検出して速やかにシステム復旧ができるようにする情報媒体を提供することを目的としている。

本発明の他の目的は、複数の業者が提供する複数のアプリケーションサービスを、複数地点の各々に設置された１台のサービス提供端末装置で提供できるように構成されたネットワークシステムを、セキュリティを確保して構築すると共に、該ネットワークシステムのセキュリティに関わる異常発生を検出して速やかにシステム復旧ができるようにするセキュリティ管理用の情報媒体を提供することにある。

本発明の他の目的は、ネットワークシステムのセキュリティを確保すると共に、該ネットワークシステムのセキュリティに関わる異常発生を検出して速やかにシステム復旧ができるようにするセキュリティーシステムを提供することにある。

本発明の他の目的は、複数の業者が提供する複数のアプリケーションサービスを、複数地点の各々に設置された１台のサービス提供端末装置で提供できるように構成されたネットワークシステムのセキュリティを確保すると共に、該ネットワークシステムのセキュリティに関わる異常発生を検出して速やかにシステム復旧ができるようにするセキュリティーシステムを提供することにある。

本発明は、上記した従来の情報媒体の課題に鑑みてなされたものであり、耐タンパ手段と、異なるｎ個（ｎは３以上の自然数）のセキュア情報をそれぞれ記憶するｎ個の記憶手段と、前記記憶手段に記憶されたセキュア情報を使用し、前記セキュア情報と対応するセキュア情報を有する他の情報媒体との間で通信経路を確立して情報の伝達を可能にする、前記セキュア情報にそれぞれ対応したｎ個の制御手段とを備えたことを特徴とする情報媒体を提供するものである。

このように構成することで、本発明に係る情報媒体は、ネットワークの構成要素とされることで安全な通信路を構築することを可能にし、これにより、電子価値及び鍵情報を安全に配信することが可能となる。より具体的には、本発明に係る情報媒体は、耐タンパ機能によって保護されたｎ個の異なるセキュア情報を有し、これらのいずれか１つと同じセキュア情報を有する他の情報媒体との間に通信可能な通信路を確立することにより、セキュアな通信を可能にする。つまり、本発明に係る情報媒体は、あたかも3本以上の手を有していて、ペアとなる相手の情報媒体（他の情報媒体）とハンドシェイクを行うようなイメージで、安全な通信路を構築することができる。また、これらのセキュア情報が実装される部分は、耐タンパ機能により、物理的にも論理的にも強固に保護することができる。

ここで、前記記憶媒体は、前記セキュア情報の１つを記憶する前記１つの記憶手段と、前記セキュア情報に対応する前記１つの制御手段とから成る組を、前記セキュア情報に対応してｎ組備えると共に、前記ｎ組の各々を、媒体領域の異なる場所に配設したものとしてよい。

このように構成することで、セキュア情報に対応した領域単位で、設計やメンテナンスを行うことができるので、設計やメンテナンスの際の労力負担が軽減される。
また、前記記憶媒体において、前記セキュア情報には、認証処理用または暗号処理用の鍵情報及び／またはセキュアプロトコルが含まれていることを特徴とする。
さらに、前記情報媒体は、ＩＣカードのリーダライタと、情報処理手段とを有する装置に配設されて使用されることを特徴とする。

また、本発明に係るセキュリティーシステムは、上記した従来のセキュリティーシステムの課題に鑑みてなされたものであり、耐タンパ手段と、異なるｎ個（ｎは３以上の自然数）のセキュア情報をそれぞれ記憶するｎ個の記憶手段と、前記記憶手段に記憶されたセキュア情報を使用し、前記セキュア情報と対応するセキュア情報を有する他の情報媒体との間で通信経路を確立して情報の伝達を可能にする、前記セキュア情報にそれぞれ対応したｎ個の制御手段とを有する情報媒体を、ネットワークの構成要素として備え、前記セキュア情報に基づいて、前記ネットワーク上に、前記情報媒体を配設した少なくとも２つの装置間を通信可能にする通信経路を確立すると共に、前記通信経路を介した情報伝送を行うことを特徴とするセキュリティーシステムを提供するものである。

このように構成することで、本発明に係るセキュリティーシステムは、耐タンパ機能によって保護されたｎ個の異なるセキュア情報を有する情報媒体を備え、これらｎ個の異なるセキュア情報のいずれか１つと同じセキュア情報を有する他の情報媒体との間に通信可能な通信路を確立し、セキュアな通信を行うことができる。また、この情報媒体を利用することで、ネットワーク構成を、従来のような縦列型によるポイントツーポイント型の接続とする構成以外にも、スター型またはメッシュ型の構成とし、しかも、ネットワーク内の通信路を、安全な通信路として構築することが可能となる。

ここで、前記セキュリティーシステムにおいて、前記情報媒体は、前記セキュア情報の１つを記憶する前記１つの記憶手段と、前記セキュア情報に対応する前記１つの制御手段とから成る組を、前記セキュア情報に対応してｎ組備えると共に、前記ｎ組を、それぞれ媒体領域の異なる場所に配設することができる。

また、前記セキュリティーシステムにおいて、前記セキュア情報には、認証処理用または暗号処理用の鍵情報及び／またはセキュアプロトコルが含まれていることを特徴とする。

また、前記セキュリティーシステムにおいて、前記情報媒体を配設した前記装置の各々は、ＩＣカードのリーダライタと、情報処理手段とを、さらに備えていることを特徴とする。

また、前記セキュリティーシステムにおいて、前記耐タンパ手段により、前記情報媒体に記憶された少なくとも１つの前記セキュア情報の漏洩が検出されて、前記セキュア情報に対応する前記通信経路が使用不可となった時に、前記情報媒体に記憶された前記セキュア情報とは異なる他のセキュア情報に基づいて、前記通信路とは異なる新たな通信経路を確立すると共に、前記新たに確立された通信経路を介した情報伝送を行うことを特徴とする。

このように構成することで、セキュア情報の漏洩が検出され、このセキュア情報を用いて確立された通信路の使用が不可能となった時にも、前記セキュア情報を記憶する情報媒体に記憶されている他のセキュア情報を用いて新たな通信路を確立し、この新たな通信路を介して情報伝送を行うことで、システムの迅速な復旧を可能にしている。

また、前記セキュリティーシステムにおいて、前記耐タンパ手段により、前記情報媒体に記憶された少なくとも１つの前記セキュア情報の漏洩が検出されて、前記セキュア情報に対応する前記通信経路が使用不可となった時に、前記情報媒体に記憶された前記セキュア情報とは異なる他のセキュア情報に基づいて、前記通信路とは異なる新たな通信経路を確立すると共に、前記新たに確立された通信経路を介して前記漏洩されたセキュア情報に代わる新たなセキュア情報を受信し、前記新たなセキュア情報に基づいて、前記使用不可となった通信経路を再確立すると共に、前記再確立された通信経路を使用して情報伝送を再開することを特徴とする。

このように構成することで、セキュア情報の漏洩が検出され、このセキュア情報を用いて確立された通信路の使用が不可能となった時にも、前記セキュア情報を記憶する情報媒体に記憶されている他のセキュア情報を用いて新たな通信路を確立し、この新たな通信路を介して前記使用不可となった通信路の確立に使用されたセキュア情報に代わる新たなセキュア情報を用いて前記使用不可となった通信路を再確立することで、システムの迅速な復旧を可能にしている。

また、前記セキュリティーシステムにおいて、前記他のセキュア情報に基づいて確立される新たな通信経路は、１以上の候補ルートから選ばれた最適ルートであることを特徴とする。

このように構成することで、異常から復帰したシステムを、復帰後も最適な構成とすることができる。
さらに、前記セキュリティーシステムは、複数のアプリケーションを備え、前記複数のアプリケーションの各々に対応した処理を実行することを特徴とする。

このように構成することで、例えば、セキュリティーポリシーが異なる複数のアプリケーションサービスを同時に提供する１つのセキュリティーシステムを、いずれのアプリケーションについてもセキュリティを確保しながら容易に構築することができる。

以上説明したように、本発明の情報媒体によれば、情報媒体に記憶されたセキュア情報を用いて、異なる情報媒体間を通信可能にする通信路を確立していくことで、複数のセキュリティプロトコルペアがセキュリティを確保してスター型やメッシュ型に接続されることか可能となり、これにより、仮に１つのセキュリティペアにおいて悪意の第三者への漏洩等のトラブルが生じても、代わりのセキュリティペアを確保できるので、システムを迅速に復旧させることが可能となり、かつシステム全体のセキュリティ性を維持することができる。

また、メッシュ型に接続されたセキュリティープロトコルペアの下位にセキュア情報の漏洩等が生じた場合には、新たなセキュリティープロトコルペアを確保して、システムを迅速に復旧させることができる。さらに、前記新たに確保されたセキュリティープロトコルペアを用いて、新たなセキュア情報を送信し、当該下位のセキュア情報のみを新たなセキュア情報に置き換えさせることでシステムを迅速に復旧させることができる。

また、本発明のセキュリティーシステムによれば、上記情報媒体の配置をネットワーク化させてセキュリティを確保し、これにより、電子価値の伝達、及び鍵情報の配信を安全に行うことが可能となる。

また、セキュリティーポリシーが異なる複数のアプリケーションサービスを同時に提供する１つのセキュリティーシステムを、いずれのアプリケーションについてもセキュリティを確保しながら容易に構築することができる。

以下、本発明の最良の実施形態について、図面を参照しながら説明する。
〔第１の実施形態〕
図１は、本発明の第１の実施形態に係る情報媒体の構成を示す構成図である。

同図において、本実施形態に係る情報媒体１は、本媒体の構成要素全体を制御すると共にタンパ処理を実行するＣＰＵ１１と、異なる４つのセキュア情報（鍵情報、価値情報等のデータ、及びセキュアプロトコルを含むプログラム）の各々に対応して暗号処理を行う暗号処理部１２と、前記異なる４つのセキュア情報をそれぞれ記憶する記憶部１３と、耐タンパ機能により重点的に保護すべき領域１４と、外部機器とのインターフェースを備えて通信を行う通信部１５と、不正なタンパ手段の行使を検出するタンパ検出部１６と、を備えて構成される。

タンパ検出部１６は、例えば、光センサや温度センサで構成することができる。また、内部配線（信号線）の周波数や電源異常を検出する等の公知の機能を備えるものであってもよい。

以下、本実施形態に係る情報媒体１の機能を説明する。
ＣＰＵ１１は、本情報媒体の構成要素全体を制御すると共に、タンパ検出部１６からの通知を受けて耐タンパ処理を実行する。より具体的には、この耐タンパ処理の実行により、例えば、記憶部１３に記憶されている情報を消去する。

暗号処理部１２は、ＣＰＵ１１の制御に従って、記憶部１３から読み出したセキュアプロトコル（セキュリティープログラム）に基づいた暗号処理を行う。
この暗号処理としては、各種の暗号処理アルゴリズムを使用することができ、例えば、ＤＥＳ（Data Encryption Standard）や、トリプルＤＥＳ、ハッシュ関数等を使用するアルゴリズム等の、公知のアルゴリズムを使用してもよい。

暗号処理部１２における第１〜第４の処理は、それぞれ異なるセキュア情報を使用し、また、それぞれ異なる暗号処理アルゴリズムを実行することができる。
記憶部１３は、鍵情報、価値情報等のデータ、及びセキュアプロトコルを含むプログラム等のセキュア情報を記憶する。

記憶部１３における第１〜第４の記憶部は、それぞれ異なるセキュア情報（鍵情報、価値情報等のデータ、及びセキュアプロトコルを含むプログラム等）を記憶することができる。これらの各記憶部は、後述するセキュリティペアに対応し、それぞれ対応するセキュリティペアの確立に必要なセキュア情報を記憶している。

領域１４は、情報媒体１の主要部が形成された物理的な領域であり、耐タンパ機能により重点的に保護すべき領域である。
通信部１５は、本情報媒体（情報媒体１）を装填または配設する端末装置内のリーダライタや、実質的な情報処理部及びＣＰＵとの通信インターフェイスを備える。

タンパ検出部１６は、外部からの攻撃等を検出してＣＰＵ１１に通知する。例えば、光センサや温度センサで構成される場合は、情報媒体１のカバーやシールが剥がされたことを検出することができる。

なお、前述の外部からの攻撃の範疇には、例えば、カバーやシールを剥がすなどの物理的なものや、周波数や電源異常の検出により不安定領域における信号出力などの変動からデータ解析を行うものなどを含むものとする。

前述のとおり、タンパ検出部１６からの通知を受けたＣＰＵ１１によって、情報媒体単体の耐タンパ機能が発揮されるが、とりわけ、本情報媒体（情報媒体１）内の物理的な領域１４（点線内の領域）については、高いレベルのタンパ検出がなされることにより、強固な耐タンパ機能が発揮され、厳重に保護される。

暗号処理部１２は、後述する４つのセキュリティペアに関する暗号処理方法を実行し、記憶部１３には、そのためのプロトコルや鍵情報などを記憶する。
なお、暗号処理部１２における暗号処理方法などは、例えば、後述するセキュリティペアの各々で、同じ処理方法が採用されてもよいが、少なくとも鍵情報だけは異なるものが使用されるものとする。

図２は、本発明の第１の実施形態に係る情報媒体の他の構成を示す構成図である。
同図に示す情報媒体２は、本媒体の構成要素全体を制御すると共にタンパ処理を実行するＣＰＵ２１と、第４のセキュアプロトコル部２２と、第３のセキュアプロトコル部２３と、第２のセキュアプロトコル部２４と、第１のセキュアプロトコル部２５と、保護すべき状態の成立を検出するタンパ検出部２６と、耐タンパ機能により重点的に保護すべき領域２８と、外部機器とのインターフェースを備えて通信を行う通信部２７と、を備える。

第４のセキュアプロトコル部２２、第３のセキュアプロトコル部２３、第２のセキュアプロトコル部２４、及び第１のセキュアプロトコル部２５は、それぞれ１つの暗号処理部と１つの記憶部とを含む。

情報媒体２と、前述の情報媒体１とを比較すると、構成上の違いだけであり、情報媒体２の機能は、前述の情報媒体１の機能と同じである。
よって、例えば、第１のセキュアプロトコル部２５の暗号処理部を情報媒体１の暗号処理部１２の第１の処理に、第２のセキュアプロトコル部２４の暗号処理部を情報媒体１の暗号処理部１２の第２の処理に、第１のセキュアプロトコル部２３の暗号処理部を情報媒体１の暗号処理部１２の第３の処理に、第１のセキュアプロトコル部２２の暗号処理部を、情報媒体１の記憶部１２の第４の処理に、それぞれ対応させることができる。

また、例えば、第１のセキュアプロトコル部２５の記憶部を、情報媒体１の暗号処理部１３の第１記憶部に、第２のセキュアプロトコル部２４の記憶部を、情報媒体１の暗号処理部１３の第２記憶部に、第１のセキュアプロトコル部２３の記憶部を、情報媒体１の記憶部１３の第３記憶部に、第１のセキュアプロトコル部２２の記憶部を、情報媒体１の記憶部１３の第４記憶部に、それぞれ対応させることができる。

図２に示す情報媒体は、セキュア情報を記憶する１つの記憶部と、このセキュア情報を使用する１つの暗号処理部とを１組に纏めた構成としているので、図１に示す情報媒体に比べて、設計やメンテナンスを系統的に実施して労力負担を軽減できる利点が有り、よって、より実用性を有する構成となっている。

なお、この実施形態に係る情報媒体１（及び情報媒体２）では、セキュリティペアを確立するためのセキュア情報を記憶するために、セキュア情報に対応した記憶部を４つ備える構成としたが、一般に、本発明では、セキュリティペアを確立するためのセキュア情報をセキュア情報に対応して記憶する記憶部を、任意の複数備えることができる。

さらに、セキュリティペアを確立するためのセキュア情報をセキュア情報に対応して記憶する前記記憶部は、２つではなく、３つ以上備える構成とすることが好ましい。
その理由は、セキュア情報をセキュア情報に対応して記憶する記憶部が２つだけであると、情報媒体１（または情報媒体２）のリーダーを備えた端末装置をノードとするネットワークを構成する場合、多くの端末装置は、このネットワークの端点に位置するノードとはならず、少なくとも他の２つのノードとの接続を有するノードとなるからである。より具体的には、殆ど大部分の端末は、他の端末からデータを受け取って参照や加工等の処理を行った後、他の端末にデータを出力するか、他の若しくは複数の端末からのデータの授受を行うといった形態の端末となり、よって、これだけで２つの異なったセキュア情報が使用されてしまうので、セキュア情報をセキュア情報に対応して記憶する記憶部が２つだけの場合は、異常発生時の復旧に必要な冗長性（ここでは予備のセキュア情報）が確保されないからである。

〔第２の実施形態〕
図３は、本発明の第２の実施形態に係るセキュリティーシステムの情報媒体を主体とするネットワーク概念を示す構成図である。

同図に示すセキュリティーシステムは、本発明の第１の実施形態に係る情報媒体（情報媒体１または情報媒体２）を利用したセキュリティーネットワークを構成するものである。

符号１ａ，１ｂ，１ｃ，１ｄは、情報媒体を示し、この情報媒体は、本発明の第１の実施形態に係る情報媒体（情報媒体１または情報媒体２）を使用するものとする。また、符号Ａ，Ｂ，Ｃ，Ｄは、それぞれ情報媒体１ａ，１ｂ，１ｃ，１ｄの設置地点を示す（但し、図３では、情報媒体を主体とする構成を示しているので、前記の各設置地点では、情報媒体リーダーを備えた端末装置等の図示については省略している）。

また、符号Ｒ１は地点Ａ（情報媒体１ａ）と地点Ｂ（情報媒体１ｂ）とを結ぶセキュア通信区間（電気的な通信路施設）、符号Ｒ２は地点Ｂ（情報媒体１ｂ）と地点Ｄ（情報媒体１ｄ）とを結ぶセキュア通信区間、符号Ｒ３は地点Ａ（情報媒体１ａ）と地点Ｃ（情報媒体１ｂ）とを結ぶセキュア通信区間、符号Ｒ４は地点Ｃ（情報媒体１ｃ）と地点Ｄ（情報媒体１ｄ）とを結ぶセキュア通信区間を、それぞれ示す。

さらに、符号Ｃ１はセキュア通信区間Ｒ１に確立されるシステム通信路、符号Ｃ２はセキュア通信区間Ｒ２に確立されるシステム通信路を、それぞれ示す。
なお、セキュア通信区間Ｒ３，Ｒ４，Ｒ５には、後述するように、システム通信路が確立されていない。

一般に、このようなシステム通信路が確立されたセキュア通信区間では、電子的な価値情報（電子マネーやポイント数等）の伝送（双方向通信）を、安全に行うことができる。
図３に示すセキュリティーシステムの場合、情報媒体１ａ，１ｂ，１ｃ，１ｄの各々は、それぞれ異なる論理的な４つの鍵情報及びセキュアプロトコル（暗号処理方法、認証処理方法等）を備える。図３では、これらを、それぞれKab、Kbc、Kef、Kgh（ab、bc、ef、ghは、それぞれ数字）として表現している。この４つの鍵情報及びセキュアプロトコルを用いて、４つのセキュリティペア（セキュアプロトコルを使用したシステム通信路）を確立することができる。

なお、情報媒体１ａ，１ｂ，１ｃ，１ｄの各々は、備えている前記４つの鍵情報及びセキュアプロトコルの内、セキュア通信区間で結ばれた他の情報媒体と同じ鍵情報及びセキュアプロトコルを、セキュア通信区間の１区間につき、１つだけ備えている。

同図に示す例では、地点Ａ（情報媒体１ａ）と地点Ｂ（情報媒体１ｂ）とを結ぶセキュア通信区間Ｒ１に確立されるシステム通信路Ｃ１の確立に際しては、鍵情報及びセキュアプロトコルK11が使用され、また、地点Ｂ（情報媒体１ｂ）と地点Ｄ（情報媒体１ｄ）とを結ぶセキュア通信区間Ｒ２に確立されるシステム通信路Ｃ２の確立に際しては、鍵情報及びセキュアプロトコルK31が使用される。地点Ａ（情報媒体１ａ）と地点Ｃ（情報媒体１ｃ）とを結ぶセキュア通信区間Ｒ３、地点Ｃ（情報媒体１ｃ）と地点Ｄ（情報媒体１ｄ）とを結ぶセキュア通信区間Ｒ４、及び地点Ｃ（情報媒体１ｃ）と地点Ｂ（情報媒体１ｂ）とを結ぶセキュア通信区間Ｒ５については、それぞれシステム通信路を確立することが可能であっても、未だ確立されていない。

図４は、図３に示すセキュリティーシステムのシステム通信路に異常が発生した時に、この異常から復旧させるためのシステムの構成を示す構成図である。
同図に示すように、図３に示すセキュリティーシステムにおいて、例えば、地点Ｂ（情報媒体１ｂ）と地点Ｄ（情報媒体１ｄ）とを結ぶセキュア通信区間Ｒ２に確立されるシステム通信路Ｃ２に異常が発生した場合、セキュア通信区間Ｒ２における通信は不可能となる（システム通信路Ｃ２は利用できなくなる）。

このような異常発生の具体的な場合としては、例えば、前記情報媒体に記憶されている前記鍵情報またはセキュアプロトコルが、悪意の第三者によって露見されてしまったような場合が該当する。

なお、本発明の目的からは外れるが、例えば、電気的な通信施設であるセキュア通信区間Ｒ２に異常が発生する場合についても、同様にセキュア通信区間Ｒ２における通信は不可能となる（システム通信路Ｃ２は利用できなくなる）。

このような場合、本システムでは、鍵情報及びセキュアプロトコルK12を利用して、地点Ａ（情報媒体１ａ）と地点Ｃ（情報媒体１ｂ）とを結ぶセキュア通信区間Ｒ３にシステム通信路Ｃ２を確立する。同時に、鍵情報及びセキュアプロトコルK32を利用して、地点Ｃ（情報媒体１ｃ）と地点Ｄ（情報媒体１ｄ）とを結ぶセキュア通信区間Ｒ４にシステム通信路Ｃ４を確立する。さらに、必要に応じて、鍵情報及びセキュアプロトコルk21を利用し、地点Ｃ（情報媒体１ｃ）と地点Ｂ（情報媒体１ｂ）とを結ぶセキュア通信区間Ｒ５にシステム通信路Ｃ５を確立することができる（図４では確立した状態を示している）。

これにより、地点Ａ（情報媒体１ａ）と地点Ｄ（情報媒体１ｄ）との間に、システム通信路が確保され、双方向通信が可能となるので、本システムは、セキュリティシステムとして継続して利用できる状態に復旧する。

図５は、本発明の第２の実施形態に係るセキュリティーシステムの１構成例を示す構成図である。
同図に例示するセキュリティーシステムは、マルチアプリケーションサービスを実現するためのネットワークシステムであり、最上位のノード（管理センタＭＣ）は、アプリケーションＡ１を実行するサーバＡと、アプリケーションＢ１を実行するサーバＢとを備えた管理センタＭＣである。

この管理センタＭＣは、媒体情報１ａｋに接続される端末装置（図示は省略）を備える。
管理センタＭＣは、別の事業主体が異なるセキュリティーポリシに基づく２つのサービス（アプリケーションＡ１によるサービスと、アプリケーションＢ１によるサービス）を、顧客が、最下位ノード（ＳＰＭ１及びＳＰＭ２）にそれぞれ設置された１台の端末を使用して同時に受けられるマルチアプリケーションを構築している。

なお、この管理センタＭＣは、情報媒体ではなく、一般的なＳＡＭモジュールなどを複数利用してセキュア情報を守る形態であってもよいものとする。
また、管理センタＭＣが提供するサービスは、この実施形態では２つのアプリケーションによるサービスとしたが、一般に、本発明では、２つのアプリケーションとは限らず、任意の数のアプリケーションによるサービスが可能である。

このセキュリティーネットワークの具体的な通信網としては、インターネット網５０を使用しているが、この他に、電話回線網などの公衆回線や、イントラネット網などを使用してもよい。また、インターネット網５０と、電話回線網などの公衆回線や、イントラネット網などを併用してもよい。

アプリケーションＡ１を提供するために利用されるサービス提供管理装置ＳＰＭＥ１（サービス提供端末管理装置）と、サービス提供端末装置ＳＰＭ１（サービス提供端末）には、それぞれ、情報媒体１ｂｋと、情報媒体１ｄｋが接続される。

また、アプリケーションＢ１を提供するために利用されるサービス提供管理装置ＳＰＭＥ２と、サービス提供端末装置ＳＰＭ２には、それぞれ、情報媒体１ｃｋと、情報媒体１ｅｋが接続される。

さらに、管理センタＭＣ、前記の各サービス提供管理装置、及び前記の各サービス提供装置には、それぞれ複数の情報媒体を配設することが可能である。
なお、各情報媒体が接続している装置（符号ＳＰＭＥ１，ＳＰＭ１，ＳＰＭＥ２，ＳＰＭ２の装置）は、セキュア通信区間として、物理的には電気回線網（ここではインターネット網５０）を介して互いに接続されている。しかし、前記セキュア通信区間に対して、必ずしもシステム通信路（即ち、通信可能な環境が確立された通信路）が常に確立されているとは限らない。

ここで、情報媒体１ａｋは、少なくとも２つの異なるセキュアプロトコルK11及びK12によって規定される第１の認証用鍵Key＿11及び第２の認証用鍵Key＿12を記憶する。また、情報媒体１ｂｋは、少なくとも３つの異なるセキュアプロトコルK11、K21、K31によって規定される認証用鍵Key＿11、Key＿21、Key＿31を記憶する。また、情報媒体１ｄｋは、少なくとも３つの異なるセキュアプロトコルK31、K32、K42によって規定される認証用鍵Key＿31、Key＿32、Key＿42を記憶する。さらに、カード５１はKey＿42とペアとなる認証用鍵を記憶する。

また、情報媒体１ｃｋは、少なくとも３つの異なるセキュアプロトコルK12、K32、K22によって規定される認証用鍵Key＿12、Key＿32、Key＿22を記憶し、情報媒体１ｅｋは、少なくとも３つの異なるセキュアプロトコルK22、K33、K43によって規定される認証用鍵Key＿22、Key＿33、Key＿43を記憶し、さらに、カード５２は認証用鍵Key＿43とペアとなる認証用鍵を記憶する。

なお、ここで、これらの認証用鍵には認証用だけではなく暗号用途の鍵なども含まれるものとする。
以下、このセキュリティーネットワークのシステム通信路の構築について説明する。

例えば、管理センタＭＣと、サービス提供端末管理装置ＳＰＭＥ１との間のセキュア通信区間では、これらの装置間で同じ認証用鍵Key＿11を利用したセキュアプロトコルK11により、セキュアな通信路（即ち、システム通信路）を構築する。同様に、サービス提供端末管理装置ＳＰＭＥ１と、サービス提供端末装置ＳＰＥ１との間のセキュア通信区間では、これらの装置間で同じ認証用鍵Key＿31を利用したセキュアプロトコルK31により、セキュアな通信路（即ち、システム通信路）を構築する。

このようにして、カード５１を使用する顧客に対して、アプリケーションＡ１を提供するサービスとしては、セキュアな通信路としてシステム通信路Ｃ６と、システム通信路Ｃ７とを構築して、このマルチアプリケーションサービスを提供するシステムを運用する。

図６は、図５に例示するセキュリティーシステムのシステム通信路に異常が発生した時に、この異常から復旧させるためのシステムの構成を示す構成図である。
同図に示すように、サービス提供端末管理装置ＳＰＭＥ１及びサービス提供端末装置ＳＰＭ１が備える同一の認証用鍵Key＿31または同一の認証用鍵Key＿31を利用したセキュアプロトコルK31に、悪意の第三者への露見が生じ、このため、サービス提供端末管理装置ＳＰＭＥ１と、サービス提供端末装置ＳＰＭ１との間のシステム通信路Ｃ７が使用できなくなる事態が生じた時に、この状態において本システムを復旧させるために、管理センタＭＣとサービス提供端末管理装置ＳＰＭＥ２との間にセキュアプロトコルK12を使用してシステム通信路Ｃ８を確立し、同時に、サービス提供端末管理装置ＳＰＭＥ２とサービス提供端末装置ＳＰＭ１との間にセキュアプロトコルK22を使用してシステム通信路Ｃ９を確立する。これにより、サービス提供端末装置ＳＰＭ１では、アプリケーションＡ１によるサービス業務を再開することができる。

なお、ここでは、セキュアプロトコルを露見するための手段や、この露見を検出する手段に関しては、本発明の本質とは関係しないため、特に例示しない。
認証用鍵Key＿31が露見したことを検出した管理センタ及びサービス提供端末管理装置、サービス提供端末装置は、後述の図８に示す手順によりシステムを復旧させる。

図７は、図５に例示するセキュリティーシステムの情報媒体に接続される端末装置の１構成例を示す構成図である。
同図に例示する端末装置３は、全体を制御するＣＰＵ３１と、プログラム及びデータを記憶するメモリであるＭｅｍｏｒｙ３２と、実質的な情報処理部である決済部３３と、ＩＣカード等と情報のやり取りをするＲＷ部３４と、通信インタフェース部３５と、ＣＰＵ３１に接続される情報媒体（１ａｋまたは１ｂｋまたは１ｃｋまたは１ｄｋまたは１ｅｋ）と、を備えて構成される。

なお、この他に、操作者の指令やデータを入力するための操作部（図示は省略）を備えることができる。
端末装置３は、管理センタＭＣとし使用される場合は情報媒体（１ａｋ）を、サービス提供端末管理装置ＳＰＭＥ１として使用される場合は情報媒体（１ｂｋ）を、サービス提供端末管理装置ＳＰＭＥ２として使用される場合は情報媒体（１ｃｋ）を、それぞれ備え、また、サービス提供端末装置ＳＰＭ１として使用される場合は情報媒体（１ｄｋ）を、サービス提供端末装置ＳＰＭ２として使用される場合は情報媒体（１ｄｅ）を、をそれぞれ備える。

ＣＰＵ３１は、Ｍｅｍｏｒｙ３２に記憶されたプログラムに基づいて端末装置３の各構成要素を制御する。
決済部３３は、実質的な情報処理部であり、例えば、ポイントの集計や、チケット購入時の処理等を行い、決済情報等をＭｅｍｏｒｙ３２に記憶させる。

ＲＷ部３４は、ＩＣカード等からのデータの読み出し、及びＩＣカード等へのデータの書き込みを行う。
通信インターフェース部は、インターネット網等の通信施設との通信インターフェースを備え、ネットワーク通信を行う。

なお、決済部３３及びＲＷ部３４はオプショナルであり、取り外された構成であってもよいものとする。
以下、図５に例示するセキュリティーシステムのシステム通信路に異常が発生した時の復旧手続きについて、フローチャートを使用して説明する。

図８は、図５に例示するセキュリティーシステムのシステム通信路に異常が発生した時の復旧手続きを示すフローチャートである。
以下、図５〜７を参照しながら、図８に示すフローチャートを使用して、図５に例示するセキュリティーシステムのシステム通信路に異常が発生した時のＣＰＵ３１における復旧手続きを説明する。

なお、以下に示す復旧手続きは、このセキュリティーシステムに属する各端末装置（のＣＰＵ３１）が、通信処理を介して協調し、実行する復旧手続きであるものとする。
まず、耐タンパ機能を備えた情報媒体（１ｂｋまたは１ｄｋ）を介して、認証用鍵Key＿31または同一の認証用鍵Key＿31を利用したセキュアプロトコルK31が露見したことを検出する（ステップＳ１）。

これにより、一旦システムの運用を停止させる（ステップＳ２）。
次に、アプリケーションＡ１に関するシステムの運用が継続できるか否かを判断し、システムの運用が継続困難であると判断した場合は、システム運用を停止したままで処理を終了する。また、システムの運用が可能と判断した場合は、ステップＳ４に進む。

ステップＳ４では、システムルート（以下、前述の「システム通信路」の別称とする）を変更するためのサブルーチンの処理を実行する。
次に、ステップＳ４の処理によってシステムルートの変更が可能であったか否かを検証し、新たなシステムルートが設立されず、システムルートの変更が不可能である場合は、直ちに処理を終了する。また、新たなシステムルートが設立されてシステムルートの変更が可能である場合は、ステップＳ６に進む（ステップＳ５）。

ステップＳ６では、このシステムルートの変更を確定する。
次に、新たに確立されたシステムルートに基づいて、アプリケーションＡ１に関するシステムの運用が継続できるようにシステムを復旧させ、その後、処理を終了する（ステップＳ６）。

次に、前述のステップＳ４で実行されるサブルーチンの処理、即ち、システムルートの変更処理について説明する。
図９は、システムルートの変更処理手順を示すフローチャートである。

まず、確立可能なｎ番目の最適システムルートの選択処理として、管理センタＭＣからサービス提供端末装置ＳＰＭ１に至る確立可能なシステムルートＲｎ’の候補を選択する（この数ｎの初期値は１とする）。ここでは、ｎ＝１の場合、Key＿31が露見しているので、まず、Key＿12を利用したセキュアプロトコルK12により確立されるシステムルート（即ち、システム通信路Ｃ８）が、最適システムルートの候補として選択される（ステップＳ１０）。

次に、管理センタＭＣが備える情報媒体１ａｋと、サービス提供端末管理装置ＳＰＭＥ２が備える情報媒体１ｃｋとの間で、実際にKey＿12を利用したセキュアプロトコルK12セキュアプロトコルに従って認証処理を試み、この認証処理により認証が得られない場合は、その旨をメインルーチンに引き渡すパラメータとして処理を終了する（メインルーチンに復帰する）。また、この認証処理により認証が得られた場合は、ステップＳ１２に進む（ステップＳ１１）。

ステップＳ１２では、Key＿12を利用したセキュアプロトコルK12に従って通信処理を試みる。
次に、この通信処理が成功したか否か、即ち、前記の新たなシステムルートが確立されたか否かを検証し、前記の新たなシステムルートが確立されていない場合はステップＳ１５に移り、新たなシステムルートが確立された場合はステップＳ１４に進む（ステップＳ１３）。

ステップＳ１４では、新たなシステムルートが確立されたことと、この新たなシステムルート（システム通信路Ｃ８）とをメインルーチンに引き渡すパラメータとして処理を終了する（図８に示すメインルーチンに復帰する）。

ステップＳ１５では、ｎ＝ｎ＋１とし、その後、ステップＳ１０に戻る。
この一連の処理は、ルート変更処理が適切に完了するまで、つまりｎは、安全な通信路が形成されるまで、ステップＳ１５において１が加算され続ける。

これにより、サービス提供端末装置ＳＰＭ１は、新たな通信先を、サービス提供端末管理装置ＳＰＭＥ２とすることができる。
なお、サービス提供端末管理装置ＳＰＭＥ２と、サービス提供端末装置ＳＰＭ１との間の最適システムルートの選択に際しても、図９に示すフローチャートと同様の処理手順を使用することができる。

より具体的には、サービス提供端末管理装置ＳＰＭＥ１及びサービス提供端末装置ＳＰＭ１のシステムルートも変更する際の処理手順として、まず、図９に示すフローチャートのステップＳ１０からステップＳ１２と同様の処理を行う。

つまり、サービス提供端末管理装置ＳＰＭＥ２からサービス提供端末端末ＳＰＭＥ１に至る最適なシステムルートを確立するために、情報媒体１ｃｋ及び情報媒体１ｄｋ間でKey＿32を利用したセキュアプロトコルK32に従って認証処理を試み、この認証が得られれば、ステップＳ１２の通信処理を試み、この通信に成功したことでもって、安全なシステム通信路Ｃ９が確立されたものとして、ステップＳ１４の処理により、新たなシステムルートが確立されたことと、この新たなシステムルート（システム通信路Ｃ９）とをメインルーチンへ引き渡すパラメータとして処理を終了する（図８に示すメインルーチンに復帰する）。

新たなシステムルートの確立に成功した上で図８に示すメインルーチンへ復帰した後は、図８に示すフローチャートのステップＳ６では、アプリケーションＡを提供するシステムとして、異常発生時のシステム通信路Ｃ６，Ｃ７の利用から、新たに確立された安全なシステム通信路Ｃ８，Ｃ９の利用へとシステム通信路の変更を確定するので、これにより、本システムの継続運用を行うことができる。

次に、認証用鍵の変更を行うことで、本システムを復旧する場合の処理手順をフローチャートを使用して説明する。
図１０は、図５に例示するセキュリティーシステムのシステム通信路に異常が発生した時に認証用鍵の変更を行って復旧させる場合の復旧手続きを示すフローチャートである。

以下、図５〜７を参照しながら、図１０に示すフローチャートを使用して、図５に例示するセキュリティーシステムのシステム通信路に異常が発生した時に鍵の変更を行って復旧させる場合の復旧手続きを説明する。

なお、以下に示す復旧手続きも、このセキュリティーシステムに属する各端末装置（のＣＰＵ３１）が、通信処理を介して協調し、実行する復旧手続きであるものとする。
まず、耐タンパ機能を備えた情報媒体（１ｂｋまたは１ｄｋ）を介して、認証用鍵Key＿31が露見されたことを検出する（ステップＳ２０）。

これにより、一旦システムの運用を停止させる（ステップＳ２１）。
次に、盗まれた認証用鍵Key＿31に代わる新たな認証用鍵Key＿31(ver2)を生成する。なお、この例では、この認証用鍵Key＿31(ver2)の配送先が、情報媒体１ｂｋと、情報媒体１ｄｋとの２箇所であるため、システムルートの変更回数を示すＮ（初期値は１）の上限値Ｎｍは、Ｎｍ＝２としておく（ステップＳ２２）。

次に、認証用鍵Key＿31(ver2)を情報媒体１ｂｋへ配送するための最適な認証用鍵配送ルートを選択して、Ｎ回目の認証用鍵配送ルートの変更処理を行う。Ｎの初期値である１回目では、セキュアプロトコルK11を利用するシステム通信路Ｃ６を認証用鍵配送ルートの候補とする（ステップＳ２３）。

次に、このＮ回目の認証用鍵配送ルートの候補でもって、実際に鍵配送のルート変更が可能であるか否かを検証し、認証用鍵配送のルート変更が可能でなければ、ステップＳ２６に移る。また、認証用鍵配送のルート変更が可能であれば、ステップＳ２５に進む。

ステップＳ２５では、この認証用鍵配送ルートの変更を確定する。
次に、変更された認証用鍵配送ルートを介して認証用鍵Key31＿(ver2)を、Ｎに対応する配送先の情報媒体に配信する（ステップＳ２７）。

次に、露見した情報媒体の認証用鍵の変更処理は全て完了したか否か、即ち、Ｎ＝Ｎｍに達したか否かを検証し、Ｎ＜Ｎｍの場合はステップＳ２９に移り、Ｎ＝Ｎｍの場合はステップＳ３０に進む。

ステップＳ３０では、変更されたＮ個の情報媒体の各々を使用して確立されるシステムルートの各々の変更を確定する。
次に、この変更されたシステムルートを使用して、本システムの運用を継続させ、その後、処理を終了する（ステップＳ３１）。

ステップＳ２９では、Ｎに１を加算する。
ステップＳ２６では、システムの運用を停止し、その後、処理を終了する。
なお、ステップＳ２３におけるルート変更処理の処理手順は、基本的に図９のフローチャートで示した処理手順と同じである。

図１０のフローチャートに示す処理手順では、ステップＳ２３のルート変更処理から、ステップＳ２７の認証用鍵配信処理に至るまでの一連の処理をＮ回繰り返すことにより、前述の図８のフローチャートで示す処理と同様、システム通信路Ｃ８及びシステム通信路Ｃ９を、認証用鍵鍵配送ルートとして確定し、情報媒体１ｂｋ及び情報媒体１ｄｋへ認証用鍵の配信を行って、システムを復旧させている。

上記の処理手順により、異常発生時の情報媒体１ｂｋ及び情報媒体１ｄｋにおける認証用鍵Key＿31は、露見されていない新たなKey＿31(ver2)へと変更されるので、この新たなセキュアプロトコルK31(ver2) により、情報媒体１ｂｋと情報媒体１ｄｋとの間を、安全なシステム通信路として確立し、再利用することができる。

本発明によれば、ＩＣカードまたはＩＣカードと同等の機能を有するチップを内蔵する、携帯型情報端末、携帯電話装置等の装置間における電子的価値の授受を、オンラインまたはオフラインで、セキュアに実施することができる情報媒体、及びセキュリティーシステムを提供することができる。

本発明の第１の実施形態に係る情報媒体の構成を示す構成図である。 本発明の第１の実施形態に係る情報媒体の他の構成を示す構成図である。 本発明の第２の実施形態に係るセキュリティーシステムの情報媒体を主体とするネットワーク概念を示す構成図である。 図３に示すセキュリティーシステムのシステム通信路に異常が発生した時に、この異常から復旧させるためのシステムの構成を示す構成図である。 本発明の第２の実施形態に係るセキュリティーシステムの１構成例を示す構成図である。 図５に例示するセキュリティーシステムのシステム通信路に異常が発生した時に、この異常から復旧させるためのシステムの構成を示す構成図である。 図５に例示するセキュリティーシステムの情報媒体に接続される端末装置の１構成例を示す構成図である。 図５に例示するセキュリティーシステムのシステム通信路に異常が発生した時の復旧手続きを示すフローチャートである。 システムルート（システム通信路）の変更処理手順を示すフローチャートである。 図５に例示するセキュリティーシステムのシステム通信路に異常が発生した時に認証用鍵の変更を行って復旧させる場合の復旧手続きを示すフローチャートである。

符号の説明

１ 情報媒体（第１の実施形態に係る情報媒体）
２ 情報媒体（他の構成）
３ 端末装置
１１，２１，３１ ＣＰＵ
１２ 暗号処理部
１３ 記憶部
１４，２８ 重点的に保護すべき領域
１５，２７ 通信部
１６，２６ タンパ検出部
２２ 第４のセキュアプロトコル部
２３ 第３のセキュアプロトコル部
２４ 第１のセキュアプロトコル部
２５ 第１のセキュアプロトコル部
３２ メモリ
３３ 決済部
３５ 通信インタフェース部

Claims (12)

1. 耐タンパ手段と、
   異なるｎ個（ｎは３以上の自然数）のセキュア情報をそれぞれ記憶するｎ個の記憶手段と、
   前記記憶手段に記憶されたセキュア情報を使用し、前記セキュア情報と対応するセキュア情報を有する他の情報媒体との間で通信経路を確立して情報の伝達を可能にする、前記セキュア情報にそれぞれ対応したｎ個の制御手段と、
   を備えたことを特徴とする情報媒体。
2. 前記セキュア情報の１つを記憶する前記１つの記憶手段と、前記セキュア情報に対応する前記１つの制御手段とから成る組を、前記セキュア情報に対応してｎ組備えると共に、前記ｎ組の各々を、媒体領域の異なる場所に配設したことを特徴とする請求項１記載の情報媒体。
3. 前記セキュア情報には、認証処理用または暗号処理用の鍵情報及び／またはセキュアプロトコルが含まれていることを特徴とする請求項１または請求項２記載の情報媒体。
4. ＩＣカードのリーダライタと、情報処理手段とを有する装置に配設されて使用されることを特徴とする請求項１乃至３のいずれか１項に記載の情報媒体。
5. 耐タンパ手段と、
   異なるｎ個（ｎは３以上の自然数）のセキュア情報をそれぞれ記憶するｎ個の記憶手段と、
   前記記憶手段に記憶されたセキュア情報を使用し、前記セキュア情報と対応するセキュア情報を有する他の情報媒体との間で通信経路を確立して情報の伝達を可能にする、前記セキュア情報にそれぞれ対応したｎ個の制御手段とを有する情報媒体を、ネットワークの構成要素として備え、
   前記セキュア情報に基づいて、前記ネットワーク上に、前記情報媒体を配設した少なくとも２つの装置間を通信可能にする通信経路を確立すると共に、前記通信経路を介した情報伝送を行うことを特徴とするセキュリティーシステム。
6. 前記情報媒体は、前記セキュア情報の１つを記憶する前記１つの記憶手段と、前記セキュア情報に対応する前記１つの制御手段とから成る組を、前記セキュア情報に対応してｎ組備えると共に、前記ｎ組を、それぞれ媒体領域の異なる場所に配設したことを特徴とする請求項５記載のセキュリティーシステム。
7. 前記セキュア情報には、認証処理用または暗号処理用の鍵情報及び／またはセキュアプロトコルが含まれていることを特徴とする請求項５または請求項６記載のセキュリティーシステム。
8. 前記情報媒体を配設した前記装置の各々は、ＩＣカードのリーダライタと、情報処理手段とを、さらに備えていることを特徴とする請求項５乃至７のいずれか１項に記載のセキュリティーシステム。
9. 前記耐タンパ手段により、前記情報媒体に記憶された少なくとも１つの前記セキュア情報の漏洩が検出されて、前記セキュア情報に対応する前記通信経路が使用不可となった時に、前記情報媒体に記憶された前記セキュア情報とは異なる他のセキュア情報に基づいて、前記通信路とは異なる新たな通信経路を確立すると共に、前記新たに確立された通信経路を介した情報伝送を行うことを特徴とする請求項５乃至８のいずれか１項に記載のセキュリティーシステム。
10. 前記耐タンパ手段により、前記情報媒体に記憶された少なくとも１つの前記セキュア情報の漏洩が検出されて、前記セキュア情報に対応する前記通信経路が使用不可となった時に、前記情報媒体に記憶された前記セキュア情報とは異なる他のセキュア情報に基づいて、前記通信路とは異なる新たな通信経路を確立すると共に、前記新たに確立された通信経路を介して前記漏洩されたセキュア情報に代わる新たなセキュア情報を受信し、前記新たなセキュア情報に基づいて、前記使用不可となった通信経路を再確立すると共に、前記再確立された通信経路を使用して情報伝送を再開することを特徴とする請求項５乃至８のいずれか１項に記載のセキュリティーシステム。
11. 前記他のセキュア情報に基づいて確立される新たな通信経路は、１以上の候補ルートから選ばれた最適ルートであることを特徴とする請求項５乃至１０のいずれか１項に記載のセキュリティーシステム。
12. 複数のアプリケーションを備え、前記複数のアプリケーションの各々に対応した処理を実行することを特徴とする請求項５乃至１１のいずれか１項に記載のセキュリティーシステム。

Images