(57)【要約】【課題】セキュリティ攻撃を受けたときに実施されるTermination機能を、適切に複数のアプリケーションに対して実施することのできる携帯可能電子装置及びターミネーション方法を提供する。【解決手段】メモリ及びＣＰＵを有するモジュールＣａを内蔵し、外部装置２との間で情報授受を行う携帯可能電子機器１において、モジュール内に格納された携帯可能電子機器の各処理を実行する各アプリケーションをグループ化する機能と、アプリケーションに対応する鍵データ及び暗証番号データを破壊する機能と、外部装置からのコマンドを受信した際、アプリケーションとの情報授受が不可を示すステータスを外部装置に返信する機能とを実行するターミネーション機能と、携帯可能電子機器がセキュリティ攻撃を受けた際、所定のグループに属する各アプリケーションについてターミネーション機能を実行させる機能とを備えた携帯可能電子機器である。【選択図】図５
2010257122.tif 000002
【特許請求の範囲】
【請求項１】
メモリ及びＣＰＵを有するモジュールを内蔵し、外部装置との間で情報授受を行う携帯可能電子機器において、
前記モジュール内に格納された前記携帯可能電子機器の各処理を実行する各アプリケーションをグループ化する機能と、
前記アプリケーションに対応する鍵データ及び暗証番号データを破壊する機能と、前記外部装置からのコマンドを受信した際、前記アプリケーションとの情報授受が不可を示すステータスを前記外部装置に返信する機能とを実行するターミネーション機能と、
前記携帯可能電子機器がセキュリティ攻撃を受けた際、所定のグループに属する各アプリケーションについて前記ターミネーション機能を実行させる機能と
を備えたことを特徴とする携帯可能電子機器。
【請求項２】
前記グループ化する機能は、
前記鍵データを共有するアプリケーション、又は前記暗証番号データを共有するアプリケーション、又は計数データを共有するアプリケーションを同じグループにグループ化することを特徴とする請求項１に記載の携帯可能電子機器。
【請求項３】
前記ターミネーション機能を実行させる機能は、
セキュリティ攻撃の種類によって実行するターミネーション機能の内容と対象とするグループを決定することを特徴とする請求項１に記載の携帯可能電子機器。
【請求項４】
前記ターミネーション機能を実行させる機能は、
まず前記ステータスを前記外部装置に返信する機能を実行させることを特徴とする請求項１乃至３の内のいずれか１項に記載の携帯可能電子機器。
【請求項５】
メモリ及びＣＰＵを有するモジュールを内蔵し、外部装置との間で情報授受を行う携帯可能電子機器のターミネーション方法において、
前記モジュール内に格納された前記携帯可能電子機器の各処理を実行する各アプリケーションをグループ化し、
前記携帯可能電子機器がセキュリティ攻撃を受けた際、所定のグループに属する各アプリケーションについて、前記アプリケーションに対応する鍵データ及び暗証番号データを破壊し、
前記外部装置からのコマンドを受信した際、前記アプリケーションとの情報授受が不可を示すステータスを前記外部装置に返信する
ことを特徴とするターミネーション方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、たとえば、データの書込み、書換え可能な不揮発性メモリおよびＣＰＵなどの制御素子を有したモジュールを内蔵し、外部から入力されるコマンドに対応した処理を実行するＩＣカードなどの携帯可能電子装置に関する。
【背景技術】
【０００２】
従来、携帯可能電子装置としては、たとえば、メモリやＣＰＵなどの機能を有したＩＣモジュールがプラスチック板などで構成される筐体内に埋設されているＩＣカードが知られている。
【０００３】
ＩＣカードは、クレジットカード、定期券、その他の商取引の決済に使われるだけでなく、社員証、会員証、保険証などのＩＤカードとしても様々な分野で使われるようになっている。この理由として、ＩＣカードは、従来の磁気カードに比べ、ＣＰＵ、ＲＯＭ、ＲＡＭ、ＥＥＰＲＯＭなどの制御素子を有するＩＣを備えることにより、様々な機能が実現可能となり、さらには偽造が難しいためセキュリティの面でも大きく向上していることが挙げられる。
【０００４】
特許文献１には、リーダ／ライタなどの外部装置（端末）が設置されている環境属性に応じて、ＩＣカードが制限された範囲内で処理を行うことでセキュリティ性を向上させる技術が開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−４９９５７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
一般に、ＩＣカードと外部装置（端末）とのデータの送受信は、ＩＣカードと端末とが１対１で通信を行うことが多いが、近年では、１つのＩＣカードと複数の端末とで通信を行うケースも増えてきている。即ち、ＩＣカードの基本性能が向上したこと、あるいは、外部との複数のインターフェース（接触型、非接触型、あるいは、高速タイプの接触型など）を有するＩＣカードが多くなってきていることなどを要因として、１つのＩＣカードを様々な用途で利用するために、複数のアプリケーションを動作させる運用形態が広まってきている。従って、上述のセキュリティ性の向上についても複数のアプリケーションに対応できるようになされていることが望まれる。
【０００７】
ところで、このセキュリティ対策の中で、ＩＣカードがセキュリティ攻撃を受けた場合にＩＣカード側で取る手段の一つにTermination機能が知られている。Termination機能では、カード内の鍵データ、ＰＩＮを破壊し、以後コマンドを受け付けた場合はTerminationを示すＳＷ（Status Word）を返信し、カードが使用不可であることが端末に通知される。
【０００８】
しかしながら、現在１アプリケーションに対するTermination機能に関しては、いくつか仕様が定義されているが、複数のアプリケーションに対してどのようなTermination機能を実装するかについての明確な見解はみられない。
【０００９】
本願発明は係る事情に鑑みてなされたものであって、セキュリティ攻撃を受けたときに実施されるTermination機能を、適切に複数のアプリケーションに対して実施することのできる携帯可能電子装置及びターミネーション方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
課題を解決するための本発明は、メモリ及びＣＰＵを有するモジュールを内蔵し、外部装置との間で情報授受を行う携帯可能電子機器において、前記モジュール内に格納された前記携帯可能電子機器の各処理を実行する各アプリケーションをグループ化する機能と、前記アプリケーションに対応する鍵データ及び暗証番号データを破壊する機能と、前記外部装置からのコマンドを受信した際、前記アプリケーションとの情報授受が不可を示すステータスを前記外部装置に返信する機能とを実行するターミネーション機能と、前記携帯可能電子機器がセキュリティ攻撃を受けた際、所定のグループに属する各アプリケーションについて前記ターミネーション機能を実行させる機能とを備えた携帯可能電子機器である。
【００１１】
また本発明は、メモリ及びＣＰＵを有するモジュールを内蔵し、外部装置との間で情報授受を行う携帯可能電子機器のターミネーション方法において、前記モジュール内に格納された前記携帯可能電子機器の各処理を実行する各アプリケーションをグループ化し、前記携帯可能電子機器がセキュリティ攻撃を受けた際、所定のグループに属する各アプリケーションについて、前記アプリケーションに対応する鍵データ及び暗証番号データを破壊し、前記外部装置からのコマンドを受信した際前記アプリケーションとの情報授受が不可を示すステータスを前記外部装置に返信するターミネーション方法である。
【発明の効果】
【００１２】
この発明の携帯可能電子装置及びターミネーション方法によれば、セキュリティ攻撃を受けたときに実施されるTermination機能を、適切に複数のアプリケーションに対して実施することができる。
【図面の簡単な説明】
【００１３】
【図１】この実施の形態に係る携帯可能電子装置としてのＩＣカードの外観を示す図。
【図２】ＩＣカードのハードウエア構成を概略的に示す図。
【図３】第１の実施の形態に係るＩＣカード上に実装されるアプリケーションをグループ分けした図。
【図４】不揮発性メモリに記憶されているファイル構造の例を示す図。
【図５】ＩＣカードとリーダライタとの信号の送受信を示す図。
【図６】ＩＣカードにおけるソフトウエア構成を模式的に示す図。
【図７】第２の実施の形態に係るＩＣカード上に実装されるアプリケーションをグループ分けした図。
【発明を実施するための形態】
【００１４】
[第１の実施の形態]  
図１はこの実施の形態に係る携帯可能電子装置としてのＩＣカード１の外観を示す図である。  
ＩＣカード１はカード本体（プラスチックカード）により構成され、カード本体はＩＣチップ（モジュールＣａ）を備えている。
【００１５】
図２は、ＩＣカード１のハードウエア構成を概略的に示す図である。  
ＩＣカード１は、ＣＰＵ（セントラル・プロセッシング・ユニット）１１、ＲＯＭ（リード・オンリ・メモリ）１２、ＲＡＭ（ランダム・アクセス・メモリ）１３、通信ユニット（ＵＡＲＴ）１４、コプロセッサ（Ｃｏ−Ｐｒｏｃｅｓｓｏｒ）１５、および、不揮発性メモリ（ＮＶ（ＥＥＰＲＯＭ））１６を有している。
【００１６】
ＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、通信ユニット１４、コプロセッサ１５および不揮発性メモリ１６は、ＩＣチップなどにより一体的に形成されたモジュールＣａにより構成される。このモジュールＣａは、当該ＩＣカード１を形成する筐体Ｃの内部に埋設される。すなわち、ＩＣカード１は、モジュールＣａが埋設された筐体Ｃにより構成されている。  
また、ＩＣカード１は、上位装置としてのリーダライタ２から電力などの供給を受けた際、活性化し（動作可能な状態となり）、リーダライタ２からのコマンドに応じて動作する。
【００１７】
ＣＰＵ１１は、全体的な管理および制御を司る。ＣＰＵ１１は、処理手段や判断手段として機能する。ＣＰＵ１１は、制御プログラム等に基づいて動作することにより種々の処理を行う。ＲＯＭ１２は、制御用プログラムや制御データなどが予め格納されている不揮発性メモリである。ＲＡＭ１３は、ワーキングメモリとして機能する揮発性のメモリである。
【００１８】
通信ユニット１４は、通信手段として機能し、上位装置としてのリーダライタ２とのデータ通信を制御する。また、通信ユニット１４は、ＩＣカード１が動作するための電源を受給する手段としても機能する。コプロセッサ１５は、暗号化あるいは復号化などの演算の補助を行う。不揮発性メモリ１６は、各種データやアプリケーション（アプリケーションプログラム）などを記憶する書き換え可能な不揮発性メモリである。
【００１９】
また、通信ユニット１４は、ＩＣカード１の通信方式に応じた構成を有している。たとえば、ＩＣカード１の通信方式が接触式の通信方式である場合、通信ユニット１４は、上位装置としてのリーダライタ２のコンタクト部と物理的に接触するためのコンタクト部などにより構成される。この場合、ＩＣカード１は、リーダライタ２と物理的に接触している通信ユニット１４によりリーダライタ２からの電源を受給する。即ち、ＩＣカード１が接触式ＩＣカードである場合、ＩＣカード１は、通信ユニット１４としてのコンタクト部を介してリーダライタ２からの動作電源および動作クロックの供給を受けて活性化される。
【００２０】
また、ＩＣカード１の通信方式が非接触式（無線式）の通信方式である場合、通信ユニット１４は、電波の送受信を行うアンテナおよび通信を制御する通信制御部等により構成される。この場合、ＩＣカード１は、通信ユニット１４により受信した電波から図示しない電源部により動作電源および動作クロックを生成する。即ち、ＩＣカード２が非接触式ＩＣカードである場合、ＩＣカード１は、通信ユニット１４としてのアンテナおよび通信制御部等を介してリーダライタ２からの電波を受信し、その電波から図示しない電源部により動作電源および動作クロックを生成して活性化する。
【００２１】
図３は、第１の実施の形態に係るＩＣカード上に実装されるアプリケーションをグループ分けした図である。  
本実施の形態では、アプリケーションＡ〜Ｉを３つのグループに分類している。交通系アプリケーションは、例えば、鉄道各社の車両に乗降等する際の自動改札に関する情報授受を行う。金融系アプリケーションは、例えば、金融各社のＡＴＭとの間で入出金に関する情報授受を行う。ＩＤ系アプリケーションは、例えば、所定の法人あるいは機関に対して所有者個人を識別するための情報授受を行う。
【００２２】
図４は、不揮発性メモリ１６に記憶されているファイル構造の例を示す図である。図４には、交通系アプリケーショングループに属するファイル構造を示している。  
図４に示す例では、最上位がマスタファイルとしてのファイルＭＦ（Master File）２１である。ＭＦ２１の配下には、フォルダとしてのＤＦ（Dedicated File）（アプリケーションＡ）２２Ａ、フォルダとしてのＤＦ（アプリケーションＢ）２２Ｂ、及びフォルダとしてのＤＦ（アプリケーションＣ）２２Ｃが設けられている。
【００２３】
さらに、ＤＦ（アプリケーションＡ）２２Ａの配下には、データの格納などに使用されるＥＦ（Elementary File）２３Ａ１、ＥＦ２３Ａ２、及びＥＦ２３Ａ３が設けられている。  
ＤＦ２２Ｂの配下には、データの格納などに使用されるＥＦ２３Ｂ１、及びＥＦ２３Ｂ２が設けられている。  
ＤＦ２２Ｃの配下には、データの格納などに使用されるＥＦ２３Ｃ１、及びＥＦ２３Ｃ２が設けられている。
【００２４】
ＥＦ２３Ａ１、ＥＦ２３Ｂ１、ＥＦ２３Ｃ１には、リーダライタ２で読出し不可のデータ、例えば、鍵データ、ＰＩＮ（暗証番号）などが格納されている。ＥＦ２３Ａ２、ＥＦ２３Ｂ２、ＥＦ２３Ｃ２には、リーダライタ２で読出し可能なデータ、例えばＩＣカードの所有者に関するデータ、有効期限に関するデータなどが格納されている。  
また、ＥＦ２３Ａ３には、この金融系アプリケーショングループに関するデータ、例えばグループが共有するデータ、グループのリンク情報などが格納されている。このように、グループに関するデータは、グループ内のいずれか１つのアプリケーションの支配下にあるＥＦファイルに格納されている。
【００２５】
続いて、ＩＣカード１がセキュリティ攻撃を受けた場合の動作について説明する。  
図５は、ＩＣカード１とリーダライタ２との信号の送受信を示す図である。
【００２６】
ステップＳ０１において、例えばＩＣカード１が起動後、リーダライタ２はＳＥＬＥＣＴコマンドを送信してアプリケーションＡを選択する。ステップＳ０２において、ＩＣカード１から正常なＳＷ（Status Word）が送信される。これによって、ＩＣカード１とリーダライタ２との間で情報授受が行われる。
【００２７】
ステップＳ０３において、例えばリーダライタ２がＩＣカード内部のレコードを読み出すパラメータを指定したインタプリタコマンドをＩＣカード１に送信すると、ステップＳ０４において、ＩＣカード１はこのパラメータに応じて対応するレコード情報をリーダライタ２に返信する。
【００２８】
このようにＩＣカード１上のアプリケーションＡで処理が行われている際に、ＬＳＩあるいは、アプリケーションＡがセキュリティ攻撃を検出した場合を説明する。
【００２９】
図６は、ＩＣカード１におけるソフトウエア構成を模式的に示す図である。  
ＩＣカード１におけるソフトウエアは、ハードウエア（Ｈ／Ｗ）層３１、ＯＳ（オペレーティングシステム）層３２、および、アプリケーション層３３から構成される。図６に示すように、ＩＣカード１では、アプリケーション層３３が最上位に位置し、ＯＳ層３２がＨ／Ｗ層３１の上位に位置するような構造となっている。
【００３０】
Ｈ／Ｗ層３１は、ＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、ＵＡＲＴ１４、コプロセッサ１５、不揮発性メモリ１６などのハードウエアから構成される。
【００３１】
ＯＳ層３２は、当該ＩＣカード１における基本的な制御を実行するためのプログラムとしてのカードＯＳ（オペレーティングシステム）を有する。カードＯＳとしてのソフトウエアは、当該ＩＣカードの基本的な動作を司るプログラムであり、Ｈ／Ｗ層３１の各ハードウエアを制御したり、各ハードウエアからの処理結果などの情報を受けて動作したりするプログラムである。
【００３２】
アプリケーション層３３は、各種の処理を実現するための各種のアプリケーション（アプリケーションＡ、アプリケーションＢ、…）から構成される。
【００３３】
図６に示すように、ハードウエア層３１においてセキュリティ攻撃を検知した場合は、その情報はＯＳ層３２において処理され、ＯＳを介してその時動作しているアプリケーションＡに通知される。  
またアプリケーションＡが自らのソースコードを実行している際においても、当該アプリケーションＡはセキュリティ攻撃を検知するように構成することができる。
【００３４】
ステップＳ０５において、アプリケーションＡは自身をｔｅｒｍｉｎａｔｅすると共に、アプリケーションＡの属するアプリケーショングループをｔｅｒｍｉｎａｔｅする。  
即ち、図３に示されるようにアプリケーションのグループ分けが行われていた場合、アプリケーションＡをｔｅｒｍｉｎａｔｅすると共にアプリケーションＢおよびアプリケーションＣもｔｅｒｍｉｎａｔｅさせる。
【００３５】
例えば、アプリケーションＡは、図４のＥＦ２３Ａ１内にある鍵データ、ＰＩＮを破壊する。そして、ＥＦ２３Ａ３内にあるグループに関する情報から、このグループに属するアプリケーションＢ、Ｃを特定し、アプリケーションＢ，Ｃに対して、それぞれＥＦ２３Ｂ１、２３Ｃ１内にある鍵データ、ＰＩＮを破壊させる。
【００３６】
その後、このグループ内の各アプリケーションは、ステップＳ０６において、リーダライタ２よりコマンドを受付けた場合は、ステップＳ０７において、当該リーダライタ２にｔｅｒｍｉｎａｔｅを示すＳＷ（Status Word）を返信してカードの使用を不可とする。
【００３７】
なお、アプリケーション、ＯＳの構造上、複数のアプリケーションで同時に鍵データの破壊、ＰＩＮの破壊、ｔｅｒｍｉｎａｔｅを示すＳＷの返信のフェーズへ移行することが難しい可能性もある。従って、セキュリティ攻撃を検知したときは、まずｔｅｒｍｉｎａｔｅを示すＳＷを返信する動作フェーズに移行する。
【００３８】
なお、このグルーピングについては、図３に示す例に限定されず、使用者が任意に取り決めるものであっても良い。
【００３９】
[第２の実施の形態]  
第２の実施の形態では、グルーピングの方法が第１の実施の形態と異なっている。従って、第１の実施の形態と同一の部位には同一の符号を付してその詳細の説明は省略する。
【００４０】
図７は、第２の実施の形態に係るＩＣカード上に実装されるアプリケーションをグループ分けした図である。  
本実施の形態では、アプリケーションＡ’〜Ｆ’を２つのグループに分類している。アプリケーションＡ’〜Ｆ’はいずれも金融系のアプリケーションであるが、アプリケーションＡ’〜Ｃ’は鍵１を共有し、アプリケーションＤ’〜Ｆ’は鍵２を共有している。
【００４１】
アプリケーションＡ’上で処理が行われていた場合に、セキュリティ攻撃を検出した場合、アプリケーションＡ’が属する金融系アプリケーショングループ１では鍵１を共有している。従って、アプリケーションＡ’〜Ｃ’のセキュリティレベルは同等と考えられるため、金融系アプリケーショングループ１に属するアプリケーションＡ’〜Ｃ’をすべてｔｅｒｍｉｎａｔｅする。即ち、鍵１、ＰＩＮを破壊し、その後、ｔｅｒｍｉｎａｔｅを示すＳＷを返信する。
【００４２】
なお、第２の実施の形態においても、複数のアプリケーションで同時に鍵データの破壊、ＰＩＮの破壊、ｔｅｒｍｉｎａｔｅを示すＳＷの返信のフェーズへ移行することが難しい可能性もある。従って、セキュリティ攻撃を検知したときは、まず各アプリケーションのｔｅｒｍｉｎａｔｅを示すＳＷを返信する動作フェーズに移行する。
【００４３】
なお、上述のグループ分けは鍵データを共有するアプリケーションを同一グループに分類したが、この例に限定されず、ＰＩＮを共有するアプリケーションを同一グループとしても良く、有効期限等の計数データ（カウンタ）を共有するアプリケーションを同一グループとしても良い。
【００４４】
[第３の実施の形態]  
第３の実施の形態では、セキュリティ攻撃のレベルに応じてｔｅｒｍｉｎａｔｅする内容が異なる点が第１の実施の形態と異なっている。従って、第１の実施の形態と同一の部位には同一の符号を付してその詳細の説明は省略する。
【００４５】
例えば、図６に示すように、アプリケーションがソフトウェア上でセキュリティ攻撃を検出した場合はセキュリティ攻撃のレベルを１とし、ハードウエア層３１上でセキュリティ攻撃を検出した場合はセキュリティ攻撃レベルを２とする。
【００４６】
ここで、セキュリティ攻撃の内容を例示する。ソフトウエア上でのセキュリティ攻撃としては、ＲＳＡ、Ｄｅｓの検算が失敗する、あるいはモジュール（ＡＰＩ）がスキップされる等が挙げられる。ハードウエア上でのセキュリティ攻撃としては、電源異常、周波数異常、光検知グリッジ等が挙げられる。
【００４７】
そして、このセキュリティ攻撃レベルに応じて、どのような内容のセキュリティ動作（セキュリティレベル）を実行するかを設定する。
【００４８】
例えば、アプリケーションＡで処理が行われていたときに、セキュリティ攻撃レベル１の攻撃を受けた場合は、図３で示される金融系アプリケーショングループをｔｅｒｍｉｎａｔｅし、セキュリティ攻撃レベル２の攻撃を受けた場合は、図３で示される金融系アプリケーショングループおよびＩＤ系アプリケーショングループをｔｅｒｍｉｎａｔｅする。
【００４９】
本実施の形態では、このようにアプリケーショングループごとにセキュリティポリシーを決め、どのようなセキュリティ攻撃レベルの攻撃があったときに、どのようなレベルのｔｅｒｍｉｎａｔｉｏｎ機能（セキュリティレベル）を実行するかを使用者がＩＣカード１に設定することが可能である。
【００５０】
以上説明した各実施の形態によれば、複数のアプリケーションに対してｔｅｒｍｉｎａｔｉｏｎ機能を効率的に適用することができる。
【００５１】
なお、上述の各実施の形態では、プラスチックのＩＣカードを例として説明したが、本願発明は、この実施の形態に限定されずＳＩＭ形状のＩＣカードにも適用することができ、一般に携帯可能電子装置に対して適用することができる。
【００５２】
尚、本発明は、実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。  
また、実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組み合せてもよい。
【符号の説明】
【００５３】
Ｃａ…モジュール、１…携帯可能電子機器、２…リーダライタ、１１…ＣＰＵ、１２…ＲＯＭ、１３…ＲＡＭ、１４…通信ユニット、１５…コプロセッサ、１６…不揮発性メモリ、３１…ハードウエア層、３２…ＯＳ層、３３…アプリケーション層。
【図１】
2010257122.tif 000003
【図２】
2010257122.tif 000004
【図３】
2010257122.tif 000005
【図４】
2010257122.tif 000006
【図５】
2010257122.tif 000007
【図６】
2010257122.tif 000008
【図７】
2010257122.tif 000009