(57)【要約】      （修正有）【課題】セキュリティ性が低い条件下でプログラムファイルが取り扱われる場合があっても、セキュリティデータの不正な取得等を抑制することのできる情報処理装置における不正防止方法を提供する。【解決手段】プログラムがインストールされるプログラムエリア１６、およびセキュリティデータが格納されたデータエリア１７を備えた情報処理装置のデバッグ作業を行う際、量産用の情報処理装置と略同一構成のテスト用情報処理装置１ａを用いる。但し、テスト用情報処理装置１ａのデータエリア１７には、量産用の情報処理装置に対して格納位置を変更してセキュリティデータを格納しておき、テスト用情報処理装置１ａのプログラムエリア１６には、セキュリティデータの格納位置の変更に対応したテスト用プログラムＰ２を格納する。【選択図】図３
2020052614.tif 000002
【特許請求の範囲】
【請求項１】
プログラムがインストールされるプログラムエリア、およびセキュリティデータが格納されたデータエリアを備えた情報処理装置における不正防止方法であって、
実際に稼働させる以外の状況で動作させる情報処理装置では、前記データエリアにおける前記セキュリティデータの格納位置を実際に稼働させる場合と相違させ、前記プログラムについては、前記セキュリティデータの格納位置の変更に対応したテスト用プログラムとすることを特徴とする情報処理装置における不正防止方法。
【請求項２】
請求項１における情報処理装置における不正防止方法において、
実際に稼働させる以外の状況で動作させる前記情報処理装置は、テスト用の情報処理装置であることを特徴とする情報処理装置における不正防止方法。
【請求項３】
請求項２における情報処理装置における不正防止方法において、
前記テスト用プログラムは、デバッグ用の内部データ参照機能を有することを特徴とする情報処理装置における不正防止方法。
【請求項４】
請求項３における情報処理装置における不正防止方法であって、
前記テスト用プログラムでは、機器認証が正常に終了していない場合には前記内部データ参照機能を実行できないことを特徴とする情報処理装置における不正防止方法。
【請求項５】
請求項２における情報処理装置における不正防止方法であって、
前記情報処理装置では、前記プログラムを前記プログラムエリアにインストールした後、前記プログラムを更新する際には機器認証を行うことを特徴とする情報処理装置における不正防止方法。
【請求項６】
請求項２に記載の情報処理装置における不正防止方法であって、
前記情報処理装置では、前記プログラムを前記プログラムエリアにインストールした後、セキュリティ機能を動作させるためには機器認証を行うことを特徴とする情報処理装置における不正防止方法。
【請求項７】
請求項２に記載の情報処理装置における不正防止方法であって、
前記情報処理装置では、前記プログラムエリアに前記テスト用プログラムがインストールされた際には、前記情報処理装置の動作を停止させることを特徴とする情報処理装置における不正防止方法。
【請求項８】
請求項１から７の何れか一項に記載の情報処理装置における不正防止方法であって、
前記セキュリティデータには、機器認証に利用されるキーおよび認証データのうちの少なくとも一方が含まれていることを特徴とする情報処理装置における不正防止方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置における不正防止方法に関するものである。
【背景技術】
【０００２】
ＡＴＭ等の金融端末では、高いセキュリティが要求される。このため、金融端末に設置されるカードリーダ等の情報処理装置（デバイス）では、ファームウェアによってセキュリティが確保される（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１６−１８６７４４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
一般的に、デバイス製造メーカが、データ保護等のセキュリティ機能が搭載されたカードリーダ等のデバイスを金融端末メーカ等の顧客に提供する際には、以下の２段階の製品提供ステップを踏むことが多い。まず初期段階として、デバイス製造メーカは、デバッグ用に内部データ参照機能を実装したファームウェアを搭載したテスト機を提供する。顧客は、数か月から長いところでは１年以上かけてそのテスト機で各種デバッグや試験を実施する。そして、顧客の評価が完了したところで、デバイス製造メーカは、市場設置用の本番用のファームウェアが搭載された量産用のデバイスを顧客に提供する。デバッグ・試験の段階で、顧客がカードリーダの不具合を発見した場合や、上位システムとの整合が必要な点等を発見した場合、顧客はデバイス製造メーカに修正を依頼する。デバイス製造メーカは、顧客からの依頼に基づいてカードリーダのファームウェアを修正して、修正版のダウンロードファイルを顧客に提供する。提供手段は、電子メールでの送付や、ＵＳＢメモリ等での直接引き渡し等が想定されることから、その際のセキュリティ性が低いと、電子メールでの送信の過程でのファイル詐取や、顧客のパソコンの中に保存された修正版のダウンロードファイルの詐取等の危険性がある。従って、悪意ある者が、詐取した修正版のダウンロードファイルを市場に設置された金融端末のデバイスにインストールすると、セキュリティデータが不正に取得されてしまう。
【０００５】
そこで、量産機へのテスト用のファームウェアに不正なダウンロードを禁止するコマンドを組み込む対策や、テスト用情報処理装置に電子署名用鍵を組み込む対策が行われるが、このような対策では、不正行為が失敗しても何度でも実行可能であるため、セキュリティデータを十分に保護できないという問題点がある。
【０００６】
以上の問題点に鑑みて、本発明の課題は、セキュリティ性が低い条件下でプログラムファイルが取り扱われる場合があっても、セキュリティデータの不正な取得等を抑制することのできる情報処理装置における不正防止方法を提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明は、プログラムがインストールされるプログラムエリア、およびセキュリティデータが格納されたデータエリアを備えた情報処理装置における不正防止方法であって、実際に稼働させる以外の状況で動作させる情報処理装置では、前記データエリアにおける前記セキュリティデータの格納位置を実際に稼働させる場合と相違させ、前記プログラムについては、前記セキュリティデータの格納位置の変更に対応したテスト用プログラムとすることを特徴とする。
【０００８】
本発明において、実際に稼働させる以外の状況で動作させる情報処理装置では、データエリアにおけるセキュリティデータの格納位置を変更しておき、プログラムとして、セキュリティデータの格納位置の変更に対応したテスト用プログラムを用いる。このため、テスト用プログラムが詐取され、実際に稼働させる情報処理装置に詐取されたテスト用プログラムがインストールされるという事態が発生しても、セキュリティデータの格納位置がテスト用プログラムと相違しているため、セキュリティデータが不正に取得される等の問題が発生しにくい。
【０００９】
本発明において、実際に稼働させる以外の状況で動作させる前記情報処理装置は、例えば、テスト用の情報処理装置である。
【００１０】
本発明において、前記テスト用プログラムは、デバッグ用の内部データ参照機能を有している態様を採用することができる。この場合、前記テスト用プログラムでは、機器認証が正常に終了していない場合には前記内部データ参照機能を実行できない態様を採用することができる。
【００１１】
本発明において、前記情報処理装置では、前記プログラムを前記プログラムエリアにインストールした後、前記プログラムを更新する際には機器認証を行う態様を採用することができる。
【００１２】
本発明において、前記情報処理装置では、前記プログラムを前記プログラムエリアにインストールした後、セキュリティ機能を動作させるためには機器認証を行う態様を採用してもよい。
【００１３】
本発明において、前記情報処理装置では、前記プログラムエリアに前記テスト用プログラムがインストールされた際には、前記情報処理装置の動作を停止させる態様を採用してもよい。
【００１４】
本発明において、前記セキュリティデータには、機器認証に利用されるキーおよび認証データのうちの少なくとも一方が含まれている態様を採用することができる。
【発明の効果】
【００１５】
本発明において、実際に稼働させる以外の状況で動作させる情報処理装置では、データエリアにおけるセキュリティデータの格納位置を変更しておき、プログラムとして、セキュリティデータの格納位置の変更に対応したテスト用プログラムを用いる。このため、テスト用プログラムが詐取され、実際に稼働させる情報処理装置に詐取されたテスト用プログラムがインストールされるという事態が発生しても、セキュリティデータの格納位置がテスト用プログラムと相違しているため、セキュリティデータが不正に取得される等の問題が発生しにくい。
【図面の簡単な説明】
【００１６】
【図１】本発明が適用される情報処理装置の説明図である。
【図２】図１に示す情報処理装置のファームウェア部の構成を模式的に示す説明図である。
【図３】図１に示す情報処理装置がテスト用である場合のファームウェア部の構成を模式的に示す説明図である。
【図４】テスト用プログラムを量産用の情報処理装置にインストールしたときの説明図である。
【発明を実施するための形態】
【００１７】
図面を参照しながら、本発明の実施形態を説明する。なお、以下の説明では、情報処理装置１がカードリーダ１０である場合を中心に説明する。
【００１８】
（全体構成）
図１は、本発明が適用される情報処理装置１の説明図である。図１に示す情報処理装置１は、ＡＴＭ等の金融端末に用いられるカードリーダ１０（デバイス）であり、カードリーダ１０は、磁気ストライプ５１に磁気情報が記録されたカード５０から情報の読み取り等を行う。このため、カードリーダ１０は、磁気ストライプ５１から磁気データを検出する磁気ヘッド１１と、磁気ヘッド１１で検出した結果を磁気復調データに復調するデコード部１２と、上位の装置との通信を行うＵＳＢコントローラ１３と、カードリーダ１０の制御を行う制御部１４とを有しており、制御部１４は、予めインストールされたファームウェア等を記憶しておくファームウェア部１５を有している。
【００１９】
ファームウェア部１５は、上位の装置からカードリーダ１０に入力されたコマンドに応じて必要な処理を行い、カード５０のデータ等を暗号化して上位の装置に出力する。
【００２０】
（ファームウェア部１５の構成）
図２は、図１に示す情報処理装置１のファームウェア部１５の構成を模式的に示す説明図であり、図２には、ＡＴＭ等の金融端末で実際に稼働する量産用の情報処理装置１の構成を模式的に示してある。
【００２１】
図２に示すように、情報処理装置１のファームウェア部１５は、プログラムがインストールされるプログラムエリア１６と、セキュリティデータが格納されたデータエリア１７とを備えており、プログラムエリア１６には、情報処理装置１を金融機関の金融端末等で実際に稼働させるための量産用プログラムＰ１がインストールされている。従って、プログラムエリア１６には、各処理（第１処理ＰＡ、第２処理ＰＢ、第３処理ＰＣ、および第４処理ＰＤ）を行うための量産用プログラムＰ１が格納され、データエリア１７には、各処理を行う際に用いられる複数のセキュリティデータ（第１セキュリティデータＳＡ、第２セキュリティデータＳＢ、第３セキュリティデータＳＣ、および第４セキュリティデータＳＤ）が格納されている。従って、量産用プログラムＰ１は、データエリア１７に格納されたセキュリティデータを参照して動作する。複数のセキュリティデータ（第１セキュリティデータＳＡ、第２セキュリティデータＳＢ、第３セキュリティデータＳＣ、および第４セキュリティデータＳＤ）は各々、機器認証に利用されるキーおよび認証データのうちの少なくとも一方が含まれている。本実施形態において、第１セキュリティデータＳＡ、第２セキュリティデータＳＢ、第３セキュリティデータＳＣ、および第４セキュリティデータＳＤは各々、機器認証に利用されるキーまたは認証データである。但し、複数のセキュリティデータは、機器認証に利用されるキーや認証データ以外であってもよい。
【００２２】
第１セキュリティデータＳＡ、第２セキュリティデータＳＢ、第３セキュリティデータＳＣ、および第４セキュリティデータＳＤは各々、データエリア１７の各アドレス（第１アドレスＥ１、第４アドレスＥ４、第６アドレスＥ６、および第２アドレスＥ２）に格納されている。従って、プログラムエリア１６には、セキュリティデータが格納されているアドレスを示す参照アドレステーブル１６０が設けられており、参照アドレステーブル１６０の内容は以下の通りである。
参照アドレステーブル１６０の内容
第１アドレスＥ１・・第１セキュリティデータＳＡ
第２アドレスＥ２・・第４セキュリティデータＳＤ
第４アドレスＥ４・・第２セキュリティデータＳＢ
第６アドレスＥ６・・第３セキュリティデータＳＣ
【００２３】
従って、図２に示すように、情報処理装置１において、例えば、第１処理ＰＡが実行される際、参照アドレステーブル１６０に基づいて、データエリア１７の第１アドレスＥ１から第１処理ＰＡに用いられる第１セキュリティデータＳＡが取得される。他の処理を行う場合も同様である。
【００２４】
（セキュリティ性が低い条件下の説明）
図３は、図１に示す情報処理装置１がテスト用である場合のファームウェア部１５の構成を模式的に示す説明図である。本実施形態では、図１に示す情報処理装置１を、実際に稼働させる以外の状況で動作させる情報処理装置（テスト用情報処理装置）として用いる際、図３に示すように、データエリア１７における複数のセキュリティデータの格納位置を変更しておき、プログラムとして、セキュリティデータの格納位置の変更に対応したテスト用プログラムＰ２を用いる。
【００２５】
例えば、図２に示す構成の情報処理装置１を製造するデバイス製造メーカが、情報処理装置１を金融端末メーカ等の顧客に提供する際には、まず、デバイス製造メーカは、デバッグ用に内部データ参照機能を実装したファームウェアを搭載したテスト用情報処理装置１ａ（図３参照）を提供する。顧客は、テスト用情報処理装置で各種デバッグや試験を実施する。そして、顧客の評価が完了したところで、デバイス製造メーカは、市場設置用の本番用のファームウェアが搭載された量産用（稼働用）の情報処理装置１を提供する。かかる過程において、顧客が不具合を発見した場合や、上位システムとの整合が必要な点等を発見した場合、顧客はデバイス製造メーカに修正を依頼する。デバイス製造メーカは、顧客からの依頼に基づいてファームウェアを修正して、電子メールでの送付や、ＵＳＢメモリ等での直接引き渡し、クラウドなどを介した受け渡し等によって、修正版のダウンロードファイルを顧客に提供する。その際のセキュリティ性が低いと、電子メールでの送信の過程でのファイル詐取や、顧客のパソコンの中に保存された修正版のダウンロードファイルの詐取等の危険性がある。
【００２６】
そこで、本形態では、図３に示すように、テスト用情報処理装置１ａでは、データエリア１７における複数のセキュリティデータの格納位置を変更しておき、テスト用プログラムＰ２では、セキュリティデータの格納位置の変更に対応させておく。
【００２７】
より具体的には、テスト用情報処理装置１ａのプログラムエリア１６には、図２を参照して説明した構成と同様、各処理（第１処理ＰＡ、第２処理ＰＢ、第３処理ＰＣ、および第４処理ＰＤ）を行うためのプログラムが格納される。また、データエリア１７には、複数のセキュリティデータ（第１セキュリティデータＳＡ、第２セキュリティデータＳＢ、第３セキュリティデータＳＣ、および第４セキュリティデータＳＤ）が格納されている。
【００２８】
但し、テスト用情報処理装置１ａでは、データエリア１７における複数のセキュリティデータの格納位置が変更されている。例えば、第１アドレスＥ１、第３アドレスＥ３、第４アドレスＥ４、および第６アドレスＥ６に第４セキュリティデータＳＤ、第３セキュリティデータＳＣ、第２セキュリティデータＳＢ、および第１セキュリティデータＳＡが順に配置されている。従って、テスト用プログラムＰ２では、参照アドレステーブル１６１の内容が以下の通りである。
参照アドレステーブル１６１の内容
第１アドレスＥ１・・第４セキュリティデータＳＤ
第３アドレスＥ３・・第３セキュリティデータＳＣ
第４アドレスＥ４・・第２セキュリティデータＳＢ
第６アドレスＥ６・・第１セキュリティデータＳＡ
【００２９】
なお、図２に示すデータエリア１７と図３に示すデータエリア１７とでは、キー登録済みフラグや、認証データ登録済みフラグについては同一のアドレスに格納されている。
【００３０】
従って、テスト用情報処理装置１ａにおいて、第１処理ＰＡが実行される際、参照アドレステーブル１６１に基づいて、データエリア１７の第６アドレスＥ６から第１処理ＰＡに用いられる第１セキュリティデータＳＡが取得される。他の処理を行う場合を行う場合も同様である。
【００３１】
（本形態の作用および効果）
図４は、テスト用プログラムを量産用の情報処理装置１にインストールしたときの説明図である。悪意ある者が、詐取した修正版のダウンロードファイル（テスト用プログラムＰ２）を、市場に設置された金融端末の情報処理装置１にインストールすると、情報処理装置１は、図４に示す構成となる。
【００３２】
図４に示す構成では、プログラムエリア１６にテスト用プログラムＰ２がインストールされているため、参照アドレステーブル１６１の内容が以下の通りである。
参照アドレステーブル１６１の内容
第１アドレスＥ１・・第４セキュリティデータＳＤ
第３アドレスＥ３・・第３セキュリティデータＳＣ
第４アドレスＥ４・・第２セキュリティデータＳＢ
第６アドレスＥ６・・第１セキュリティデータＳＡ
【００３３】
しかしながら、量産用の情報処理装置１では、セキュリティデータが、データエリア１７に以下のように格納されている。
データエリア１７の内容
第１アドレスＥ１・・第１セキュリティデータＳＡ
第２アドレスＥ２・・第４セキュリティデータＳＤ
第４アドレスＥ４・・第２セキュリティデータＳＢ
第６アドレスＥ６・・第３セキュリティデータＳＣ
【００３４】
従って、図４に示すように、テスト用プログラムＰ２が量産用の情報処理装置１にインストールされた場合に、第１処理ＰＡが実行される際、参照アドレステーブル１６１に基づいて、データエリア１７の第６アドレスＥ６からセキュリティデータを取得しても、取得されるセキュリティデータは、第３処理ＰＣに必要な第３セキュリティデータＳＣである。従って、テスト用プログラムＰ２がインストールされた量産用の情報処理装置１は、正常な動作が行われない。
【００３５】
このように本形態では、量産用の情報処理装置１とテスト用情報処理装置１ａとでは、セキュリティデータの配置を変えてあるため、テスト用プログラムＰ２のデバッグ用の内部データ参照機能を用いても、正しいセキュリティデータを取得できない。また、テスト用プログラムがインストールされた量産用の情報処理装置１からは各種データが正常に出力されないので、テスト用プログラムがインストールされた量産用の情報処理装置１をＡＴＭ等に不法に設置しても、カード５０の情報を不法に取得することができない。それ故、情報処理装置１でのセキュリティを確保することができる。
【００３６】
［他の実施形態］
上記のテスト用プログラムＰ２では、機器認証が正常に終了していない場合には内部データ参照機能を実行できない態様としてもよい。かかる態様によれば、テスト用プログラムＰ２がインストールされた量産用の情報処理装置１では、機器認証が正常に終了していないので、内部データ参照機能が実行できない。
【００３７】
上記の情報処理装置１では、量産用プログラムＰ１をプログラムエリア１６にインストールした後、プログラムを更新する際には機器認証を行う態様を採用してもよい。かかる態様によれば、機器認証を回避する措置を講じない限り、テスト用プログラムＰ２を量産用の情報処理装置１にインストールすることが困難となる。それ故、テスト用プログラムＰ２をインストールした量産用の情報処理装置１を用いた不正を容易には行えなくなる。
【００３８】
上記の情報処理装置１では、量産用プログラムＰ１をプログラムエリア１６にインストールした後、セキュリティ機能を動作させる際や、データエリア１７にアクセスする際には機器認証を行う態様を採用してもよい。かかる態様によれば、テスト用プログラムＰ２がインストールされた量産用の情報処理装置１では、機器認証を回避する措置を講じない限り、セキュリティ機能を動作させることができず、データエリア１７へのアクセスも行えなくなる。それ故、テスト用プログラムＰ２をインストールした量産用の情報処理装置１を用いた不正を容易には行えなくなる。
【００３９】
上記の情報処理装置１では、プログラムエリア１６にテスト用プログラムＰ２がインストールされた際には、情報処理装置１の動作を停止させる態様を採用してもよい。かかる構成によれば、テスト用プログラムＰ２がインストールされたことに起因する情報処理装置１の動作停止を回避する措置を講じない限り、テスト用プログラムＰ２をインストールした量産用の情報処理装置１を用いた不正が行えなくなる。それ故、テスト用プログラムＰ２をインストールした量産用の情報処理装置１を用いた不正を容易には行えなくなる。
【符号の説明】
【００４０】
１…情報処理装置、１ａ…テスト用情報処理装置、１０…カードリーダ、１１…磁気ヘッド、１２…デコード部、１３…ＵＳＢコントローラ、１４…制御部、１５…ファームウェア部、１６…プログラムエリア、１７…データエリア、５０…カード、５１…磁気ストライプ、１６０、１６１…参照アドレステーブル、Ｅ１…第１アドレス、Ｅ２…第２アドレス、Ｅ３…第３アドレス、Ｅ４…第４アドレス、Ｅ６…第６アドレス、Ｐ１…量産用プログラム、Ｐ２…テスト用プログラム、ＰＡ…第１処理、ＰＢ…第２処理、ＰＣ…第３処理、ＳＡ…第１セキュリティデータ、ＰＤ…第４処理、ＳＢ…第２セキュリティデータ、ＳＣ…第３セキュリティデータ、ＳＤ…第４セキュリティデータ。
【図１】
2020052614.tif 000003
【図２】
2020052614.tif 000004
【図３】
2020052614.tif 000005
【図４】
2020052614.tif 000006