JP2008097157A

JP2008097157A - Ｉｃカード、端末機のデータ盗難防止法

Info

Publication number: JP2008097157A
Application number: JP2006275860A
Authority: JP
Inventors: Kazutaka Hayashi; 和孝林
Original assignee: APURIKO SYSTEM KK
Current assignee: APURIKO SYSTEM KK
Priority date: 2006-10-06
Filing date: 2006-10-06
Publication date: 2008-04-24

Abstract

【課題】
ＩＣカード、端末機、特に無線で通信できるものでは、通信が無線で行われるために知らないうちにスキミングされＩＤを読み取られて使用されてしまうという点があった。その解決のためサーバの正当性を確認しないとＩＣカードや端末機が正当なデータを出さないようする。
【解決手段】
サービスを受けるためのサービス用ＩＤとサーバが本物であるか確認するための照合用ＩＤを設ける。端末機等とサーバが最後に通信した際に照合用ＩＤと照合データをそれぞれの記憶装置に記録する。次回通信する際に端末機が照合用ＩＤを送信し、サーバが照合データを送り返し、端末機等が記録されている照合データと照合し一致するか確認する。確認後サービス用ＩＤを送信する。
盗難の疑いがある場合は端末機等が自身を使用不可能にして被害を未然に防ぐ。
【選択図】図２

Description

本発明は、電子マネーや許可証などに使用されるＩＣカードや端末機のデータの盗聴を予防する方策に関するものである。

安全性が高いといわれているＩＣカードやＩＣチップを組み込んだ携帯端末機でも特に無線通信機能を持ったもので容易にデータを盗まれ（スキミング）てしまう。暗号されているいないにかかわらず通信で外部に出たデータをコピーされる模倣されることが問題である。どんなにすぐれた暗号化でもサーバと通信する際の信号を盗聴され、その信号をエミュレート（模倣、成りすまし）することによりどんなサーバでも騙されてしまう。

特開平１０−１７１７１７号公報 Peter Wayner著「ディジタルキャッシュテクノロジー」ソフトバンク（株）１９９７年

ＩＣカード、端末機、特に無線で通信できるものでは、通信が無線で行われるために知らないうちにスキミングされＩＤを読み取られて使用されてしまうという点があった。その解決のためサーバの正当性を確認しないとＩＣカードや端末機が正当なデータを出さないようする。

サービスを受けるためのサービス用ＩＤとサーバが本物であるか確認するための照合用ＩＤを設ける。端末機等とサーバが最後に通信した際に照合用ＩＤと照合データをそれぞれの記憶装置に記録する。次回通信する際に端末機が照合用ＩＤを送信し、サーバが照合データを送り返し、端末機等が記録されている照合データと照合し一致するか確認する。確認後サービス用ＩＤを送信する。
盗難の疑いがある場合は端末機等が自身を使用不可能にして被害を未然に防ぐ。

盗難者がサーバをエミュレートして端末機等からの信号をコピーしようとしても端末機等が応答しないので正当なコピーが出来なくなる。
有効な通信が行われないと、外部へのデータの通信を遮断し盗難を未然に防ぐ。

発明の実施の形態を実施例に基づき図面を参照して説明する。
図１を参照してハードウェア及び機能構成について説明する。なお各装置は外部記憶装置、通信装置を除いて、ＣＰＵ（中央演算装置）にプログラムが読み込まれて実現する、いわゆるプログラムからなるシステムである。
なおデータの主要な流れを矢印で示した。また本構成は請求項２を構成するものであり、その他の請求項では不要なものを含んでいるが詳細は各請求項の構成を参照されたい。

１．機器構成、機能構成、主なデータ
サービス執行者のサーバ（Ａ）の機器構成、機能構成、主なデータは次の通りである。
まず通信回線を介して他の機器に接続する通信装置（Ｍ１）がある。サービス用ＩＤ（Ｉ１）やサービス情報（Ｚ１）、照合データ（Ｒ１）、照合用ＩＤ（Ｆ１）を記録する記憶装置（Ｓ１）と照合用ＩＤ（Ｆ１＝Ｆ４）と対応付けられた該照合データ（Ｒ２）を取り出す該照合データ取り出し装置（Ｏ）からなる。

端末機等（Ｔ）の構成及び主なデータは次の通りである。
まず通信回線を介して他の機器に接続する通信装置（Ｍ２）がある。サービス用ＩＤ（Ｉ４）や照合データ（Ｒ４）、照合用ＩＤ（Ｆ４）を記録する記憶装置（Ｓ２）と照合データ（Ｒ４）とサーバが送信した照合データ（Ｒ３）を照合する照合装置（Ｃ１）からなる。

なお要求するサービス（Ｋ）は端末機等（Ｔ）よりは外部の自動販売機、電子マネー端末機、入室チェック端末などの中継端末機（Ｕ）から送信される場合が多いので図では端末機等の外部に図示した。ＩＤ（Ｉ４）も端末機等から上記中継端末機（Ｕ）が一旦受信して上記サーバ（Ａ）が受信する場合もあるが、照合用ＩＤ（Ｆ４）及びサービス用ＩＤ（Ｉ４）の出所は端末機等（Ｔ）であるので図では端末機等（Ｔ）から上記サーバ（Ａ）に照合用ＩＤ（Ｆ４）及びサービス用ＩＤ（Ｉ４）が送信されるように図示した。

一般的にＩＤは端末機等毎にユニークであればよいが、通常は類推できるような連番などを使用しないで乱数を使用し、提示されたＩＤに合致するＩＤが記録されているか調べ正当な使用者か確認する割符の役割を果たすように使われることが多い。以下の説明でもそのようなＩＤとして説明している。

ＩＤであるサービス用ＩＤ（Ｉ１、Ｉ４）、照合用ＩＤ（Ｆ１、Ｆ４）を始め照合データ（Ｒ１、Ｒ４）も送信されたデータが記録されているものと一致するか照合してお互いの正当性を確認する割符の役目を果たす。

サービス用ＩＤ（Ｉ１、Ｉ４）、照合用ＩＤ（Ｆ１、Ｆ４）、照合データ（Ｒ１、Ｒ４）はよく設計された乱数発生器からの乱数で十分である。６４ビット（＝８バイト）程度あれば、十分なセキュリティーが保たれる。よりセキュリティーを高めたいのならばもっとも有効な方法は各データ長を２倍にすることである。それでも全てあわせて高々３×８×２＝４８バイトである。今の端末機等の技術において問題となるコストではない。

２．照合用ＩＤと照合データを用い正当なサーバを識別する方法
次に図２を参照してサービスの内容として電子マネーを例に取り、照合用ＩＤと照合データを用い正当なサーバを識別する方法を説明する。
ａ１．）利用者のＩＣカード又は端末機（以下両者を端末機等）（Ｔ）の記憶装置（Ｓ２）に端末機等（Ｔ）毎に異なるサービス用ＩＤ（Ｉ４）が記録され、ａ２．）サービス実行者のサーバ（Ａ）の記憶装置（Ｓ１）に上記サービス用ＩＤ（Ｉ４）と同じ値のサービス用ＩＤ（Ｉ１）とそのサービス情報（Ｚ１）が対応付けて記録されている。

ｂ１．）さらに上記端末機等（Ｔ）の記憶装置（Ｓ２）には照合用ＩＤ（Ｆ４）と照合データ（Ｒ４）が記録され、ｂ２．）それぞれ同じ値の照合用ＩＤ（Ｆ１）と照合データ（Ｒ１）が上記サーバ（Ａ）の記憶装置（Ｓ１）に対応付けて記録されている。

ここでデータの値（文字列も含む、デジタルデータの世界では文字も値である）としてＩ１＝Ｉ４、Ｆ１＝Ｆ４、Ｒ１＝Ｒ４であり、記録されている場所が異なる。
サーバ（Ａ）の記憶装置（Ｓ１）にはサービス用ＩＤ（Ｉ１）とサービス情報（Ｚ１）、照合用ＩＤ（Ｆ１）と照合データ（Ｒ１）を１セットとして端末機毎に異なる複数のセットのデータが記録されている。

ｃ．）サービス実行者のサーバ（Ａ）とサービスの利用者の端末機等（Ｔ）が通信回線を介して接続され、上記端末機等（Ｔ）がその記憶装置（Ｓ２）に記録されているサービス用ＩＤ（Ｉ４）を送信しサービスを要求する前に、上記端末機等（Ｔ）は上記照合用ＩＤ（Ｒ４）を上記サーバ（Ａ）に送信する。

ｄ１．）上記サーバ（Ａ）は上記送信された照合用ＩＤ（Ｆ２）に対応する該照合データ（Ｒ２）を取り出し、ｄ２．）そのデータ（Ｒ２）を上記端末機等（Ｔ）に送信し、ｄ３．）上記端末機等（Ｔ）がその記憶装置（Ｓ２）に記録された照合データ（Ｒ４）と、上記送信された照合データ（Ｒ３）を照合し一致するか確認する。

ｅ．）上記端末機等（Ｔ）は上記ｄ３．）の確認ができた場合に上記端末機等（Ｔ）が記憶装置（Ｓ２）に記録しているサービス用ＩＤ（Ｉ４）を送信しサービスを要求する。

窃盗団がサーバ（Ａ）をエミュレートしてデータを盗もうとしても上記ｄ．）の照合データ（Ｒ４）の送信が出来ないので、その応答としてのサービス要求のためのサービス用ＩＤ（Ｉ４）は端末機等（Ｔ）から送信されずに取得に失敗する。

サービス情報（Ｚ１）は、例えばサービスが電子マネーの場合は残高、入退室許可なら許可時間、回数など、サービスを執行する際に必要な情報である。サーバ（Ａ）はサービスを執行する際はそのサービス情報を参照更新して、多くの場合は中継端末機に通知する。電子マネーの場合は残高を更新し電子マネー端末に支払いができたことを通知し、入退室許可の場合はドアロックを開けるなどのサービスを執行する。

サービス用ＩＤ（Ｉ１）は上記のようにサービスを執行するために必要な情報であるサービス情報（Ｚ１）に対応して記録されたＩＤである。サーバは端末機等（Ｔ）毎のサービス情報（Ｚ１）を参照更新しなければサービスは執行できない。

一方照合用ＩＤ（Ｆ１）は端末機等（Ｔ）毎の照合データ（Ｒ１）を該当端末機等に送信するために必要なものである。こちらはサーバ（Ａ）の正当性の証明に使用される。

従ってサーバ（Ａ）の中でサービス用ＩＤ（Ｉ１）とサービス情報（Ｚ１）は対応付けて記録され、照合用ＩＤ（Ｆ１）と照合データ（Ｒ１）も対応付けて記録されなければならない。

しかしサービス用ＩＤ（Ｉ１）と照合用ＩＤ（Ｆ１）は対応付けられてもよいが、対応付けられていなくともよい。もしサービス用ＩＤ（Ｉ１）と照合用ＩＤ（Ｆ１）が上記条件にプラスして対応付けられると、サービス用ＩＤ（Ｉ１）、照合用ＩＤ（Ｆ１）、サービス情報（Ｚ１）、照合データ（Ｒ１）の４者すべてが対応付けられている（いずれのデータからも他の３者の対応付けられているデータを知ることができる）こととなる。

その時点でサービス用ＩＤ（Ｉ１）、照合用ＩＤ（Ｆ１）はどちらからでも照合データ（Ｒ１）、サービス情報（Ｚ１）が分かるためＩＤとして等価となり、サービス用ＩＤ（Ｉ１）、照合用ＩＤ（Ｆ４）の２者のＩＤをサービス用、照合用と言葉として分ける意味は無くなる。

上記のようにサービス用ＩＤ（Ｉ１）と照合用ＩＤ（Ｆ１）がプラスして対応付けられた場合はサービス用ＩＤ（Ｉ１）と照合用ＩＤ（Ｆ１）のどちらでも最初に送信するＩＤが照合データ（Ｒ１）の送信を要求する照合用ＩＤ（Ｆ１）の役割を果たすこととなり、後から送信するデータがサービスの執行を要求するサービス用ＩＤ（Ｉ１）の役割を果たすことになる。

３．サービス用ＩＤ又は照合用ＩＤを入れ替えて正当な端末機等を識別する方法
次に図３を参照してサービス用ＩＤ又は照合用ＩＤを入れ替えて正当な端末機等を識別する方法を説明する。
ｆ１．）上記ｅ．）に引き続き上記サーバ（Ａ）と上記端末機等（Ｔ）は、上記サーバ（Ａ）又は上記端末機（Ｔ）が発行するか、あらかじめ用意され記録されたデータから取り出し、ｆ２．）相手側に通信回線を介して送信して両者の間で新たなサービス用ＩＤ（Ｉ１、Ｉ４）及び照合用ＩＤ（Ｆ１、Ｆ４）の内少なくとも一つを準備する。

図３では上記サーバ（Ａ）が照合用ＩＤ準備装置（Ｐ）で照合用ＩＤ（Ｆ５）を発行して、端末機等（Ｔ）に送信することにより両者（Ａ及びＴ）の間で照合用ＩＤ（Ｆ５、Ｆ６）準備する。

ｆ３．）上記サーバ（Ａ）と上記端末機等（Ｔ）は上記準備された新たなサービス用ＩＤ又は／及び照合用ＩＤ（Ｆ５、Ｆ６）をそれぞれの記憶装置（Ｓ１、Ｓ２）に入れ替えて記録し上記ｃ．）以降を繰り返す

図３ではサービス用ＩＤ（Ｉ１、Ｉ４）及び照合用ＩＤ（Ｆ１、Ｆ４）の内準備された新たなＩＤは照合用ＩＤ（Ｆ５、Ｆ６）である。従って照合用ＩＤ（Ｆ１、Ｆ４）を入れ替えて記憶する。

サービス用ＩＤ（Ｉ１、Ｉ４）又は／及び照合用ＩＤ（Ｆ１、Ｆ４）を毎回入れ替えることにより盗難をさらに難しくする。前述したようにＩＤは通常類推できるような連番などを使用しないで乱数を使用し、提示されたＩＤに合致するＩＤが記録されているか調べ正当な使用者か確認する割符の役割を果たすように使われることが多い。

一旦何らかの手段でサービス用ＩＤ（Ｉ１、Ｉ４）と照合用ＩＤ（Ｆ１、Ｆ４）を盗まれた場合でも、端末機等（Ｔ）を使用してサービスを受けるたびにサービス用ＩＤ（Ｉ１、Ｉ４）又は／及び照合用ＩＤ（Ｆ１、Ｆ４）が変わるので、盗まれた照合用ＩＤ（Ｆ４）と照合データ（Ｒ４）が記録された端末機等（Ｔ）では正当な端末機（Ｔ）と見なさずサーバ（Ａ）が応答しない。
４．照合データを入れ替えて正当なサーバを識別する方法
次に図４を参照して照合データを入れ替えて正当なサーバを識別する方法を説明する。
ｇ１．）上記ｅ．）に引き続き上記サーバ（Ａ）と上記端末機等（Ｔ）は、上記サーバ（Ａ）又は上記端末機（Ｔ）が発行するか、あらかじめ用意され記録されたデータから取り出し、ｇ２．）相手側に通信回線を介して送信して両者の間で新たな照合データ（Ｒ５、Ｒ６）を準備する。

図４では上記サーバ（Ａ）が照合データ準備装置（Ｐ）で照合データ（Ｒ５）を発行して、端末機等（Ｔ）に送信することにより両者（Ａ及びＴ）の間で照合データ（Ｒ５、Ｒ６）を準備する。

ｇ３．）上記サーバ（Ａ）と上記端末機等（Ｔ）は上記準備された新たな照合データ（Ｒ５、Ｒ６）をそれぞれの記憶装置（Ｓ１、Ｓ２）に入れ替えて記録し上記ｃ．）以降を繰り返す

照合データ（Ｒ１、Ｒ４）を毎回入れ替えることにより盗難をさらに難しくする。
一旦何らかの手段で照合データ（Ｒ１、Ｒ４）を盗まれた場合でも、端末機等（Ｔ）を使用してサービスを受けるたびに照合データ（Ｒ１、Ｒ４）が変わるので、窃盗団が盗まれた照合データ（Ｒ１、Ｒ４）を記録された正当でないサーバでだまそうとしても端末機等（Ｔ）は見破ることが出来る。

５．使用不能にして盗難から守る方法
次に図５を参照して使用不能にして盗難から守る方法を説明する。
ｈ１．）上記ｄ３．）において上記端末機等（Ｔ）が照合データ（Ｒ３、Ｒ４）を照合し一致するか確認する際に照合データ（Ｒ３）が送信されないか照合データ（Ｒ３、Ｒ４）が一致しないかで確認されなかった場合は、ｈ２．）上記端末機等（Ｔ）は上記端末機等（Ｔ）の照合用ＩＤ（Ｆ４）やサービス用ＩＤ（Ｉ４）の送信をそれ以降行わないか、正当に処理されないデータを送信するなどして自身を使用不能にする。

上記端末機等（Ｔ）が照合用ＩＤ（Ｆ４）やサービス用ＩＤ（Ｉ４）を送信しないか正当でないデータを送信するので上記端末機等（Ｔ）は上記サーバ（Ａ）が正当な端末機等と見なさず使用不能となる。端末機等（Ｔ）が照合用ＩＤ（Ｆ４）やサービス用ＩＤ（Ｉ４）を送信しないか、正当でないデータを送信するので盗難を試みることが出来なくなる。正当な保持者であれば窓口に届けてリセットをしてもらう。

機器構成、機能構成、主なデータ照合用ＩＤと照合データを用い正当なサーバを識別する方法サービス用ＩＤ又は照合用ＩＤを入れ替えて正当な端末機等を識別する方法照合データを入れ替えて正当なサーバを識別する方法使用不能にして盗難から守る方法

符号の説明

（図１）
Ａ．サーバ；Ｓ１．Ａの記憶装置；Ｉ１．サービス用ＩＤ；Ｚ１．サービス情報；Ｆ１．照合用ID；Ｒ１．照合データ；Ｏ．該照合データ取り出し装置；Ｉ２．サービス用ＩＤ；Ｒ２．該照合データ；Ｍ１．通信装置；Ｆ４．照合用ＩＤ；Ｉ１´．別の端末機等用のサービス用ＩＤ；Ｚ１´．別の端末機等用のサービス情報；Ｆ１´．別の端末機等用の照合用ID；Ｒ１´．別の端末機等用の照合データ；
Ｔ．端末機等；Ｓ２．Ｔの記憶装置；Ｉ４．サービス用ＩＤ；Ｆ４．照合用ＩＤ；Ｒ４．照合データ；Ｃ１．照合装置；Ｒ３．照合データ；Ｍ２．通信装置；
Ｕ．中継端末機；Ｋ．要求サービス；
（図２）
Ａ．サーバ；Ｓ１．Ａの記憶装置；Ｉ１．サービス用ＩＤ；Ｚ１．サービス情報；Ｆ１．照合用ID；Ｒ１．照合データ；Ｏ．該照合データ取り出し装置；Ｉ２．サービス用ＩＤ；Ｒ２．該照合データ；Ｍ１．通信装置；Ｆ２．照合用ＩＤ；Ｉ１´．別の端末機等用のサービス用ＩＤ；Ｚ１´．別の端末機等用のサービス情報；Ｆ１´．別の端末機等用の照合用ID；Ｒ１´．別の端末機等用の照合データ；
Ｔ．端末機等；Ｓ２．Ｔの記憶装置；Ｉ４．サービス用ＩＤ；Ｆ４．照合用ＩＤ；Ｒ４．照合データ；Ｃ１．照合装置；Ｒ３．照合データ；Ｍ２．通信装置；
Ｕ．中継端末機；Ｋ．要求サービス；
（図３）
Ａ．サーバ；Ｓ１．Ａの記憶装置；Ｉ１．サービス用ＩＤ；Ｚ１．サービス情報；Ｆ１．照合用ID；Ｒ１．照合データ；Ｐ．照合用ＩＤ準備装置；Ｆ５．照合用ＩＤ；Ｍ１．通信装置；Ｉ１´．別の端末機等用のサービス用ＩＤ；Ｚ１´．別の端末機等用のサービス情報；Ｆ１´．別の端末機等用の照合用ID；Ｒ１´．別の端末機等用の照合データ；
Ｔ．端末機等；Ｓ２．Ｔの記憶装置；Ｉ４．サービス用ＩＤ；Ｆ４．照合用ＩＤ；Ｒ４．照合データ；Ｆ６．照合用ＩＤ；Ｍ２．通信装置；
Ｕ．中継端末機；Ｋ．要求サービス；
（図４）
Ａ．サーバ；Ｓ１．Ａの記憶装置；Ｉ１．サービス用ＩＤ；Ｚ１．サービス情報；Ｆ１．照合用ID；Ｒ１．照合データ；Ｐ．照合データ準備装置；Ｒ５．照合データ；Ｍ１．通信装置；Ｉ１´．別の端末機等用のサービス用ＩＤ；Ｚ１´．別の端末機等用のサービス情報；Ｆ１´．別の端末機等用の照合用ID；Ｒ１´．別の端末機等用の照合データ；
Ｔ．端末機等；Ｓ２．Ｔの記憶装置；Ｉ４．サービス用ＩＤ；Ｆ４．照合用ＩＤ；Ｒ４．照合データ；Ｆ６．照合データ；Ｍ２．通信装置；
Ｕ．中継端末機；Ｋ．要求サービス；
（図５）
Ａ．サーバ；Ｓ１．Ａの記憶装置；Ｉ１．サービス用ＩＤ；Ｚ１．サービス情報；Ｆ１．照合用ID；Ｒ１．照合データ；Ｏ．該照合データ取り出し装置；Ｉ２．サービス用ＩＤ；Ｆ２．照合用ＩＤ；Ｒ２．該照合データ；Ｍ１．通信装置；Ｉ１´．別の端末機等用のサービス用ＩＤ；Ｚ１´．別の端末機等用のサービス情報；Ｆ１´．別の端末機等用の照合用ID；Ｒ１´．別の端末機等用の照合データ；
Ｔ．端末機等；Ｓ２．Ｔの記憶装置；Ｉ４．サービス用ＩＤ；Ｆ４．照合用ＩＤ；Ｒ４．照合データ；Ｃ１．照合装置；Ｒ３．照合データ；Ｍ２．通信装置；
Ｕ．中継端末機；Ｋ．要求サービス；

Claims

下記のａ乃至ｅから成るＩＣカード及び端末機のデータ盗難防止法
ａ．利用者のＩＣカード又は端末機（以下両者を端末機等）の記憶装置にサービス用ＩＤが記録され、サービス実行者のサーバの記憶装置に上記サービス用ＩＤと同じ値のサービス用ＩＤとそのサービス情報が対応付けて記録されている。
ｂ．さらに上記端末機等の記憶装置には照合用ＩＤと照合データが記録され、それぞれ同じ値の照合用ＩＤと照合データが上記サーバの記憶装置に対応付けて記録されている。
ｃ．サービスの利用者の端末機等が通信回線を介してサービス実行者のサーバに接続してサービスを要求する前に、上記端末機等は上記照合用ＩＤを上記サーバに送信する。
ｄ．上記サーバは上記照合用ＩＤに対応する該照合データを上記端末機等に送信し、上記端末機等がその記憶装置に記録された照合データと、上記送信された照合データを照合し一致するか確認する。
ｅ．上記端末機等は上記ｄ．の確認ができた場合に上記端末機等が記憶装置に記録しているサービス用ＩＤを送信しサービスを要求する。
請求項１のｅ．に引き続き上記サーバと上記端末機等は両者の間でサービス用ＩＤ及び照合用ＩＤの内少なくとも一つを準備し、上記サーバと上記端末機等は上記準備されたサービス用ＩＤ又は／及び照合用ＩＤをそれぞれの記憶装置に入れ替えて記録し請求項１のｃ．以降を繰り返す請求項１の端末機等のデータ盗難防止法。
請求項１のｅ．に引き続き上記サーバと上記端末機等は両者の間で照合データを準備し、上記サーバと上記端末機等は上記準備された照合データをそれぞれの記憶装置に入れ替えて記録し請求項１のｃ．以降を繰り返す請求項１の端末機等のデータ盗難防止法。
請求項１のｄ．において上記端末機等が照合データを照合し一致するか確認する際に確認されなかった場合は、上記端末機等は自身を使用不能にする請求項１の端末機等のデータ盗難防止法。