JP2006504167A - 携帯型データ記憶媒体を使って安全な電子取引を実行する方法 - Google Patents

Abstract

携帯型データ記憶媒体を使用して端末で安全な電子取引を実行するための方法が提案される。本発明によれば、ユーザー（３０）が携帯型データ記憶媒体（２０）に対して本人認証を行う。同時に携帯型データ記憶媒体（２０）は、本人認証がどのように行われたかに関する品質情報を作成する。端末（１４）に対して認証の証明が行われる。その後、携帯型データ記憶媒体（２０）が取引中に、例えばデジタル署名作成などのセキュリティ確立処理を実施し、セキュリティ確立処理の結果に品質情報を添付する。

Description

本発明は電子取引を実行する方法に関し、特に、携帯型データ記憶媒体を使って安全な電子取引を実行する方法に関する。

本発明は、主請求項の各構成要素にしたがう方法を起端とするものである。そのような方法は、例えば、非特許文献１により周知となっている。法的拘束性のある電子署名を行う場合は、秘密の署名キーを含むデジタル署名カードがしかるべく使用されるべきである。署名は、カードが署名対象の文書を電子形態で受け取るのに適した端末で行われる。署名を実施できるようにするために、カードのユーザーは端末を通じて自分の身元を証明しなくてはならない。通常、この証明はＰＩＮ（暗証番号）の入力によって行われ、入力されたＰＩＮはカードに記憶されている参照用ＰＩＮと比較される。将来的にはユーザー認証を、例えば指紋などの生物測定学的な特徴をチェックすることによって行うことが計画されている。ユーザーの認証合格後に署名カードを用いて電子文書に署名がなされると、次いでいずれかの方法で文書を次に送ることができる。電子署名により、例えばコストを伴うサービスオーダーの発注など、電子通信路による特にセキュリティが重視される取引を実行することが可能となる。

ユーザー認証のために生物測定学的特徴を意図的に導入することにより、署名資格を与えられた本人の立会いのもとでしか署名カードを使えなくなるため、従来の一般的なＰＩＮ認証と比較して電子署名の信頼性がさらに向上する。

しかしながら、これまでは、このようにして明らかとなったユーザー認証に関する品質差が、作成される特定の電子署名の使用適性に反映されることはなかった。
Ｗ．ランケルおよびＷ．エフィング共著"Ｈａｎｄｂｕｃｈ ｄｅｒ Ｃｈｉｐｋａｒｔｅｎ"第３版、１９９９年、ｐ．６９２〜７０３、"Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ（デジタル署名）"

本発明の課題は、実行されたユーザー認証の品質を考慮する、携帯型データ記憶媒体を使った安全な電子取引を実行する方法を明記することである。

この課題は、主請求項の構成を有する方法によって達成される。この課題は、独立請求項１０、１３および１４にしたがう安全な電子取引を実行する携帯型データ記憶媒体、端末およびシステムによって達成される。

本発明によれば、ユーザー認証が行われるときに、認証を行うデータ記憶媒体が、使用認証方法に関する品質情報を作成する。この証明は、後から携帯型データ記憶媒体によって実施されるセキュリティ確立処理の結果に添付される。したがって、そのように形成されたメッセージの受取人は、セキュリティ確立処理を実行する前にユーザーがどのような本人認証を行ったか確実に把握できる。これにより、ユーザー認証品質に基づく安全な取引を行う可能性が受取人にもたらされる。例えば、財布用途の場合、ＰＩＮ認証後は口座から限界値未満の金額を引き出すことしかできないが、生物測定学的特徴による認証後は限界値を上回る金額を引き出すことができる。

本発明の方法は、電子署名と関連付けて使用することが特に有利である。

好ましい実施形態では、考えられるさまざまなユーザー認証方法の実施は、より低い品質の方法の途中実行結果が、より高い品質の方法の途中実行結果に簡単に変換できないように考案されている。これにより、権限のないユーザーが携帯型データ記憶媒体および低品質の関係認証情報の両方にアクセスした場合でも、すなわち、権限のないユーザーが、例えば、携帯型データ記憶媒体と関係ＰＩＮを一緒に有している場合でも、認証証明を用いて不正をすることはできない、という結果が達成される。

ユーザー認証実行時に不使用の特定認証方法については、認証の続行を不可能とすることがさらに有利である。

図面を参照しながら本発明の実施形態を以下に詳述する。

図１は安全な電子取引を実行するための取引システムの基本構造を示す。本発明に関する構造の主要構成要素は、データネットワーク１２を介して端末１４に接続されるバックグラウンドシステム１０、ユーザー３０に携行され、取引でセキュリティ確立処理を実施するように設定された携帯型データ記憶媒体２０、実行される取引で安全に取り扱われるべきデータレコード４０である。

以下、「安全な電子取引」とは、ユーザー３０側のデジタル署名の生成を要求する取引とする。そのような取引は、例えば、ユーザー３０の口座から即時決済する銀行取引を実行することなどにできる。しかしながら、前述の解決策は、デジタル署名を要求する取引に限定されるものではなく、基本的には、端末１４から提供されるデータレコード４０を処理し、処理結果を端末１４に戻す用途であれば、どのような用途にも使用できる。

バックグラウンドシステム１０は、例えば、２つの口座間の金銭の移動または注文後の商品配送開始など、実際の取引を行う装置を表す。したがって、バックグラウンドシステム１０は複数の個別コンポーネントを含む複雑なシステムとすることもできるし、極端な場合には、完全に除外することもできる。取引が口座移動用途の場合、バックグラウンドシステム１０は一般に中央銀行によって形成される。

データネットワーク１２は、端末１４とバックグラウンドシステム１０との間のデータ交換に用いられる。データネットワーク１２はどのような物理形態であってもよく、例えば、インターネットまたは携帯電話ネットワークで具現化することも可能である。

端末１４は取引システムのユーザー側インタフェースを構成し、この目的のために、一般に表示画面の形態の表示手段１６と、例えばキーボードの形態の入力手段１８を有している。端末１４は、例えば銀行に設置されている装置などの公的にアクセス可能な端末、または例えばＰＣや携帯電話などのユーザー３０のプライベートエリアにある装置とすることができる。データネットワーク１２、よってバックグラウンドシステム１０には、１つ以上の端末１４が接続されていてもよく、各端末はデザインの異なるものとすることも可能である。端末１４は、携帯型データ記憶媒体２０と通信できるインタフェース１９を有する。このインタフェース１９は、特に接触式または非接触式など、どのような物理的デザインのものとすることもできる。

端末１４は、ユーザー３０の生物測定学的特徴を検出するための、以後「センサ」と呼ぶセンサ装置１５をさらに有する。センサ１５は、顔面の特徴、目または指紋の特徴、あるいは声または筆記動作によって表されるひと続きのスピーチまたはライティングといった挙動ベースの特徴など、物理的な特徴を検出できる。図１では、センサ１５として指紋センサが示されている。センサ１５は複数の異なる生物測定学的特徴を感知するように形成できる。センサ１５は、感知された生物測定学的特徴を予備評価する手段をさらに備えている。これによって、感知された情報は、ある固有の主特徴に絞られる。種々のタイプの生物測定学的認証方法およびその実施例は、例えば前述の非特許文献１の第８．１．２章に記載されている。

携帯型データ記憶媒体２０は、例えば、非特許文献１に詳細に記載されているのと同様にスマートカードとする。図１は、携帯型データ記憶媒体２０、特に端末側インタフェース１９に対応するインタフェースを構成する接触パッド２２を備えた接触式スマートカードを示す。これらのインタフェース２２、１９を介してスマートカード２０と端末の間の通信が行われる。携帯型データ記憶媒体２０は、スマートカードの形状から離れて、どのような形状とすることもでき、例えば、ユーザー３０が着用する衣類またはユーザー３０が携行する日用品として具現化することも可能である。

携帯型データ記憶媒体２０は、特にマイクロプロセッサ２５および記憶手段２６をはじめとする、普通のコンピュータのあらゆる構成要素を有する集積回路２４を有する。マイクロプロセッサ２５はセキュリティ確立処理を実行するように設定される。例えば、マイクロプロセッサ２５は、以後「電子文書４０」と呼ぶ、供給されたデータレコード４０を暗号アルゴリズムに送り込むように設定され、それによって、記憶手段２６に格納されている少なくとも１つの秘密鍵を使用する。マイクロプロセッサ２５は、記憶手段２６に記憶されているプログラムにしたがって別の機能を実現するようにも設定されている。

携帯型データ記憶媒体２０は、少なくとも１つ、しかし便宜的には複数の異なるユーザー認証方法を実行するようにさらに設定されている。また、携帯型データ記憶媒体２０は、認証品質のレベルが異なる少なくとも２種類の認証方法をサポートすることが好ましい。携帯型データ記憶媒体２０は、少なくとも１つの知識ベースの認証方法、例えばＰＩＮチェックと、端末１４にいるはずのユーザー３０の生物測定学的特徴をチェックする少なくとも１つの生物測定学的方法とをサポートすることが適切である。この生物測定学的方法は、ユーザー３０の本人存在を前提とするものであるので、ここでは、より質の高い認証方法を構成する。知識ベースの場合、権限のないユーザーでも知識を取得できるので、高品質は保証されない。したがって、記憶手段２６は、例えばユーザー３０に割り当てられた参照ＰＩＮなど、ユーザー３０によって示されるべき少なくとも１つの秘密と、ユーザー３０に割り当てられた少なくとも１つの生物測定学的参照データレコードとを記憶する。携帯型データ記憶媒体２０が３種類以上の認証方法、詳細には別の生物測定学的方法、に対応できることが便利である。したがって、この場合、記憶手段２６は別の秘密および／または参照データレコードを記憶し、集積回路２４は別の認証方法を実行するように設定される。

図１記載の構成を使用した安全な取引の実行法を、図２および３を参照しながら以下に説明する。セキュリティ確立処理は電子文書４０の署名となろう。

上記構成の使用は、電子文書４０をバックグラウンドシステム１０または端末１４内に作成することから開始される（ステップ１００）。一般に、前記文書作成に先行して、端末１４を介したユーザー３０とバックグラウンドシステム１０の間の開始ダイアログが行われる。遅くとも電子文書４０が端末１４に提供されるまでに署名適用が開始される（ステップ１０２）。この開始は、端末１４またはバックグラウンドシステム１０によって自動的に生じさせることも可能であるし、表示装置１６上の適切な表示によって端末１４がユーザー３０にそうするように要求した後でユーザー３０が開始することも可能である。

署名適用が開始した後、ユーザー３０は適切な携帯型データ記憶媒体２０を端末１４に提供し（ステップ１０４）する。以後、携帯型データ記憶媒体２０は接触式スマートカードの形態をしているものとする。また、以後、スマートカード２０は２種類の認証方法、すなわち知識ベースの低品質の方法としてのＰＩＮチェックおよび生物測定学的な高品質の方法としての指紋チェック、をサポートするものと仮定する。

端末１４がスマートカード２０の存在を認識すると、最初にスマートカード２０との相互認識を実行し（ステップ１０６）、それによって最初にスマートカード２０が自己の真正性を端末１４に対して示し、その後、端末１４が自己の真正性をスマートカード２０に対して示す。

認証に問題がなければ、端末１４およびスマートカード２０はダイナミックセッションキーを取り決めて、いわゆる安全なメッセージングモードで安全に行われるべき別の通信を許可する（ステップ１０８）。安全なメッセージングモードおよびダイナミックセッションキーの概念に関する詳細は、再び非特許文献１を参照されたい。

その後、スマートカード２０に対するユーザー３０の認証が行われる。最初に、端末１４が、知識ベース、すなわちＰＩＮの入力によって行われたか、生物測定学的、すなわち指紋提示によって行われたか、認証方法をチェックする（ステップ１１０）。認証方法の指定は、電子文書４０と一緒に送られる情報に基づいて端末が自動的に実行することができるが、表示装置１６を介した決定要求としてユーザー３０に指定させることも可能である。後者の場合、ユーザー３０は入力手段１８によって決定を行う。

ユーザー３０の認証が知識ベースとなる場合、すなわちＰＩＮの入力によって行われる場合、スマートカード２０は、他の可能認証方法、すなわち指紋チェックを無効とし（ステップ１１２）、表示装置１６を介してユーザー３０に、入力手段１８からユーザーのＰＩＮを入力するように指示する。

ユーザー３０は、入力手段１８を介してＰＩＮを入力し、端末１４は入力データを直接または変更形態で、インタフェース１９、２２を介してスマートカード２０に供給する（ステップ１１４）。ＰＩＮまたはＰＩＮから派生した情報の送信およびスマートカードとのその後の通信は、取り決められたセッションキーを使ってさらに保護される。端末１４とスマートカード２０の間のすべての通信は、安全なメッセージングモードで行われることが適切である。

スマートカードは、送信されたＰＩＮをチェックし、エラーがない場合には端末１４に対して正当性を示し、ＰＩＮが無効とチェックされた場合には処理を終了させる（ステップ１１６）。

エラーが無い場合、端末１４は対応する命令によってスマートカード２０にセキュリティ確立処理、すなわちデジタル署名、を実行させ、署名対象の電子文書４０をスマートカード２０に送る（ステップ１１８）。

スマートカード２０は、供給された電子文書４０に、記憶手段２６に格納された秘密鍵を使って署名し（ステップ１２０）、署名された電子文書４０を端末１４に送り戻し（ステップ１２２）、端末１４は、これを使って、開始された電子取引を継続する。

ステップ１１０のチェックにより、ユーザー３０の認証が知識ベースではなく生物測定学的なものであることが判明すると、端末１４は、生物測定学的特徴の提示に対する認証を開始し、相当する報告をスマートカード２０に行う（ステップ１３０）。これと同時に、スマートカード２０は、不使用の他の認証方法、すなわち知識ベースのＰＩＮチェック、の使用を無効とする（ステップ１３２）。

その後、ユーザー３０は使用認証方法による生物測定学的特徴、すなわち指紋、を端末１４に示す（ステップ１３４）。端末１４の表示装置１６上の相当する表示によって、指紋提示要求が行われることが好ましい。指紋は、端末１４に設けられたセンサ１５によって検出される。

検出された生物測定学的特徴、すなわちユーザー３０の指紋は、端末１４によって、センサ１５が取得した信号からある識別的な特徴を抽出する前処理にかけられる（ステップ１３６）。指紋が使用される場合、「ヘンリー分類法」の主特徴に対し、例えば非特許文献１に記載されているような判断がなされる。

抽出された特徴は、端末１４によって、インタフェース１９、２２を介して携帯型データ記憶媒体２０に送られる（ステップ１３８）。

携帯型データ記憶媒体は、抽出特徴を受け取ると、その検証を実施する（ステップ１４０）。それによって集積回路２４は、受け取った抽出特徴と、記憶手段に格納された参照用の特徴とを比較し、十分な一致が認められるかチェックする。十分な一致が認められた場合、携帯型データ記憶媒体２０は端末１４に対して、送られてきた生物測定学的特徴が有効であることを証明する（ステップ１４２）。また、携帯型データ記憶媒体２０は、目的のセキュリティ確立処理を実行するように、すなわちデジタル署名を実行するように、速やかに切り換わる。

認証の確認が合格であるとの証明を受け取った後、端末１４は、相当する命令によって、携帯型データ記憶媒体２０にデジタル署名を実施させる（ステップ１４４）。端末１４は、この命令と一緒に、署名対象の電子文書４０または少なくともその一部を携帯型データ記憶媒体２０に送る。

それと同時に、携帯型データ記憶媒体２０の集積回路２４は、デジタル署名作成に必要な処理を実施する（ステップ１４６）。集積回路２４は、一般に、電子署名４０の受信部分を超えるハッシュ値を形成し、記憶手段２６に格納されている、秘密鍵と公開鍵から成る非対称の鍵ペアのうちの秘密鍵を使ってこれを暗号化する。

また、集積回路２４は、ユーザー３０の認証が生物測定学的特徴を使って行われたことを知らせる品質情報を生成する（ステップ１４８）。これと同時に、前記品質情報は、生成されたデジタル署名にしっかりと結びつけられて秘密メッセージを形成する。これは、前述の取り決められたセッションキーを使用する安全なメッセージング機構と結びつけることが適切である。

このようにして形成された、デジタル署名および品質情報から成る秘密メッセージは、携帯型データ記憶媒体２０によって端末１４に返送される（ステップ１５０）。送られた秘密メッセージは、ここから、実行される安全な電子取引内で、この取引にかかわる受取人、例えばバックグラウンドシステム１０へ渡される。

携帯型データ記憶媒体２０によって実行されるセキュリティ確立処理に加え、秘密メッセージの受取人は、同時に、秘密メッセージに含まれる品質情報から、実行されたユーザー３０の認証の品質に関する説明を受け取る。

前述の例では、品質情報は、知識ベースの方法使用時には生成されず、生物測定学的認証方法の使用時のみ作成された。したがって、品質情報が無いということは、より品質の低い方法が使用されていることを既に知らせている。しかしながら、常に、すなわち、認証のために知識ベースの方法が選択されたか、生物測定学的方法が選択されたかとは無関係に、品質情報を形成するようにもできるのは勿論である。

前述の概念によれば、前もって実施されるユーザー認証の品質に関する品質情報を、携帯型データ記憶媒体によって実行されるセキュリティ確立処理結果に添付するという基本思想を保持しながら、別の実施形態および変更形態も可能となる。これは、より多くのコンポーネントおよび別のタイプのコンポーネントを備えることができる、取引実行に使用できるシステムの設計に応用できる。前述の手順は別のステップ、例えば途中のステップを含むことも可能である。

デジタル署名を実施するためのシステムの構成を示す図である。 デジタル署名を実施するプロセスを示すフローチャートである。 デジタル署名を実施するプロセスを示すフローチャートである。

符号の説明

１０ バックグラウンドシステム
１２ データネットワーク
１４ 端末
１５ センサ
１６ 表示手段
１８ 入力手段
１９ インタフェース
２０ 携帯型データ記憶媒体
２２ インタフェース
２４ 集積回路
２５ マイクロプロセッサ
２６ 記憶手段
３０ ユーザー
４０ データレコード

Claims (14)

1. ユーザーが携帯型データ記憶媒体に対して本人認証を行い、前記携帯型データ記憶媒体が認証の証拠を端末に証明し、その後、前記携帯型データ記憶媒体が電子取引内でセキュリティ確立処理を実行する、携帯型データ記憶媒体を使用して端末で安全な電子取引を実行する方法において、
   前記携帯型データ記憶媒体（２０）が、前記ユーザー（３０）の認証がどのように行われたかに関する品質情報を生成し、前記品質情報が前記セキュリティ確立処理の結果に添付されることを特徴とする方法。
2. 前記携帯型データ記憶媒体（２０）によって行われる前記セキュリティ確立処理がデジタル署名の作成であることを特徴とする請求項１に記載の方法。
3. 前記ユーザー（３０）の認証を生物測定学的特徴の提示によって行うことを特徴とする請求項１に記載の方法。
4. 前記ユーザー（３０）の認証を前記ユーザー（３０）特有の生理的すなわち挙動ベースの特徴の提示によって行うことを特徴とする請求項３に記載の方法。
5. 前記ユーザー（３０）の認証を秘密知識の証明によって行うことを特徴とする請求項１に記載の方法。
6. 品質の異なる少なくとも２種類の認証方法を前記ユーザー（３０）の認証用に提案することを特徴とする請求項１に記載の方法。
7. 不使用の特定認証方法を無効とすることを特徴とする請求項６に記載の方法。
8. 認証方法に関する品質情報をまったく生成しないことを特徴とする請求項６に記載の方法。
9. ユーザー（３０）に認証方法を選択するように要求することを特徴とする請求項１に記載の方法。
10. 安全な電子取引内でセキュリティ確立処理を実行するための携帯型データ記憶媒体であって、それによってユーザーが本人認証を前記携帯型データ記憶媒体に対して行い、前記携帯型データ記憶媒体が前記認証を端末に対して証明する携帯型データ記憶媒体において、
    前記ユーザー（３０）の認証がどのように行われたかを示す品質情報を生成するように設定されていることを特徴とする携帯型データ記憶媒体。
11. 前記携帯型データ記憶媒体（２０）がデジタル署名を生成するように設定されていることを特徴とする請求項１０に記載のデータ記憶媒体。
12. 品質の異なる少なくとも２種類の認証方法に対応することを特徴とする請求項１０に記載のデータ記憶媒体。
13. 請求項９にしたがって携帯型データ記憶媒体と一緒に使用するための端末において、少なくとも２種類の可能認証方法のうちの１つをユーザー（３０）選択させる手段（１６、１８）を有することを特徴とする端末。
14. 安全な電子取引を実行するシステムであって、請求項１０に記載の携帯型データ記憶媒体および請求項１３に記載の端末を備え、前記システムに対するユーザー認証の品質を前記取引内で確認することを特徴とするシステム。

Images