(57)【特許請求の範囲】
【請求項１】
販売者デバイスと顧客支払アプリケーションとの間の通信をセットアップするように構成されているセキュリティサーバであって、
第１のメッセージとして、顧客識別子、前記顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、前記販売者デバイスから受信するように構成されている受信部と、
前記セキュリティトークンを使用して、前記販売者デバイスが前記顧客支払アプリケーションのスキームプロバイダによって認可されるかどうかを判定するように構成されている判定部と、
前記販売者デバイスが前記スキームプロバイダによって認可されると判定される場合のみ、第２のメッセージとして、前記顧客支払アプリケーションを使用して支払を行うことを前記販売者デバイスが認可されていることを示す第２のメッセージを、前記販売者デバイスへ送信するように構成されている送信部と、
前記販売者デバイスが前記スキームプロバイダによって認可されると判定される場合、移動通信端末に備わるように構成されているセキュア要素内の前記顧客支払アプリケーションと前記販売者デバイスとの間にセキュアチャネルをセットアップするように構成されているチャネル確立部とを備え、
前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信は前記セキュリティサーバによって制御される
ことを特徴とするセキュリティサーバ。
【請求項２】
前記チャネル確立部は、前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信が前記セキュリティサーバを介在させてセットアップされるように構成されている
ことを特徴とする請求項１に記載のセキュリティサーバ。
【請求項３】
前記セキュリティトークンは、販売者の信用証明書を含み、
前記判定部は、前記販売者の信用証明書が前記スキームプロバイダによって発行されているかどうかを判定することによって前記販売者デバイスが認可されるかどうかを判定するように構成されていて、
前記スキームプロバイダは、認証機関として動作する
ことを特徴とする請求項１または２に記載のセキュリティサーバ。
【請求項４】
前記顧客識別子は、電話番号、電子メールアドレス、あるいはネットワークアクセス識別子を含んでいる
ことを特徴とする請求項１乃至３のいずれか１項に記載のセキュリティサーバ。
【請求項５】
前記アプリケーション識別子は、アプリケーションを示すテキスト文字列、アプリケーションのプレフィックス、あるいは固有のアプリケーション識別子を含んでいる
ことを特徴とする請求項１乃至４のいずれか１項に記載のセキュリティサーバ。
【請求項６】
前記判定部は、前記第１のメッセージが前記販売者デバイスによってデジタル署名されていて、かつ前記販売者の識別子と、前記セキュリティトークンの識別子とが一致する場合にのみ、前記販売者デバイスが認可されると判定するように構成されている
ことを特徴とする請求項１乃至５のいずれか１項に記載のセキュリティサーバ。
【請求項７】
前記判定部は、前記第１のメッセージが受信される際の日時を含む有効日時範囲を前記セキュリティトークンが有している場合にのみ、前記販売者デバイスが認可されると判定するように構成されている
ことを特徴とする請求項１乃至６のいずれか１項に記載のセキュリティサーバ。
【請求項８】
前記第１のメッセージは、複数のアプリケーション識別子を含み、それぞれのアプリケーション識別子は、複数の顧客支払アプリケーションのそれぞれを示し、
前記判定部は、更に、前記複数の顧客支払アプリケーションの内、支払を行うために使用する顧客支払アプリケーションを判定するように構成されていて、
前記第２のメッセージは、前記使用する顧客支払アプリケーションの識別子を含んでいる
ことを特徴とする請求項１乃至７のいずれか１項に記載のセキュリティサーバ。
【請求項９】
前記顧客識別子に対応する移動端末へ、プロンプトメッセージを送信し、どの顧客支払アプリケーションが使用されるべきかをプロンプトし、前記複数の顧客支払アプリケーションの内、使用する顧客支払アプリケーションを示すメッセージを、前記移動端末から受信するように構成されているプロンプターを更に備える
ことを特徴とする請求項８に記載のセキュリティサーバ。
【請求項１０】
前記第１のメッセージは、テキストメッセージを含み、
前記プロンプトメッセージは、前記テキストメッセージを含んでいる
ことを特徴とする請求項９に記載のセキュリティサーバ。
【請求項１１】
前記判定部は、更に、前記複数の顧客支払アプリケーションの内、使用する顧客支払アプリケーションを示すデータベースを読み出すように構成されている
ことを特徴とする請求項８に記載のセキュリティサーバ。
【請求項１２】
セキュリティサーバで実行される、販売者デバイスと顧客支払アプリケーションとの間の通信をセットアップするための方法であって、
前記セキュリティサーバが、
第１のメッセージとして、顧客識別子、前記顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、前記販売者デバイスから受信するステップと、
前記セキュリティトークンを使用して、前記販売者デバイスが前記顧客支払アプリケーションのスキームプロバイダによって認可されるかどうかを判定するステップと、
前記販売者デバイスが前記スキームプロバイダによって認可されると判定される場合のみ、第２のメッセージとして、前記顧客支払アプリケーションを使用して支払を行うことを前記販売者デバイスが認可されていることを示す第２のメッセージを、前記販売者デバイスへ送信するステップと、
移動通信端末に備わるように構成されているセキュア要素内の前記顧客支払アプリケーションと前記販売者デバイスとの間にセキュアチャネルをセットアップするステップと
を実行し、
前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信は前記セキュリティサーバによって制御される
ことを特徴とする方法。
【請求項１３】
前記セキュアチャネルをセットアップするステップは、前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信を前記セキュリティサーバを介在させることを含んでいる
ことを特徴とする請求項１２に記載の方法。
【請求項１４】
セキュリティサーバのコントローラで実行可能なコンピュータプログラムコードを備えるコンピュータプログラムであって、
前記コンピュータプログラムコードは、前記コントローラ上で実行する場合に、前記セキュリティサーバに、
第１のメッセージとして、顧客識別子、顧客支払アプリケーションを示すアプリケーション識別子、及び販売者デバイス用のセキュリティトークンを含む第１のメッセージを、前記販売者デバイスから受信するステップと、
前記セキュリティトークンを使用して、前記販売者デバイスが前記顧客支払アプリケーションのスキームプロバイダによって認可されるかどうかを判定するステップと、
前記販売者デバイスが前記スキームプロバイダによって認可されると判定される場合のみ、第２のメッセージとして、前記顧客支払アプリケーションを使用して支払を行うことを前記販売者デバイスが認可されていることを示す第２のメッセージを、前記販売者デバイスへ送信するステップと、
移動通信端末に備わるように構成されているセキュア要素内の前記顧客支払アプリケーションと前記販売者デバイスとの間にセキュアチャネルをセットアップするステップと
を実行させ、
前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信は前記セキュリティサーバによって制御される
ことを特徴とするコンピュータプログラム。
【請求項１５】
請求項１４に記載のコンピュータプログラムが記憶されているコンピュータ可読媒体。
【請求項１６】
販売者デバイスの認可を受信し、購入の実行の希望を示す入力の受信とともに使用されるように構成されている販売者デバイスであって、
顧客識別子を取得するように構成されている顧客識別子取得部と、
第１のメッセージとして、前記顧客識別子、顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、セキュリティサーバへ送信するように構成されている送信部と、
第２のメッセージとして、前記販売者デバイスがスキームプロバイダによって認可されると判定される場合のみ受信される第２のメッセージを、前記セキュリティサーバから受信するように構成されている受信部であって、前記顧客支払アプリケーションは、移動通信端末に備わるように構成されているセキュア要素内に備えられている、受信部と、
前記顧客支払アプリケーションを使用して支払を行うために、前記移動通信端末の前記セキュア要素とのセキュアチャネルをセットアップするように構成されているチャネル確立部と
を備えることを特徴とする販売者デバイス。
【請求項１７】
前記第１のメッセージ内の前記アプリケーション識別子は、前記第２のメッセージ内の前記アプリケーション識別子と同一である
ことを特徴とする請求項１６に記載の販売者デバイス。
【請求項１８】
前記第１のメッセージは、複数のアプリケーション識別子を含み、それぞれのアプリケーション識別子は、それぞれの顧客支払アプリケーションを示す
ことを特徴とする請求項１６または１７に記載の販売者デバイス。
【請求項１９】
前記第２のメッセージは、前記第１のメッセージの前記複数のアプリケーション識別子の一部あるいはすべてに対するアプリケーション識別子を含み、
前記販売者デバイスは、前記第２のメッセージの前記アプリケーション識別子に関連付けられている前記顧客支払アプリケーションの１つを使用して、支払を行うように構成されている
ことを特徴とする請求項１８に記載の販売者デバイス。
【請求項２０】
前記販売者デバイスは、更に、前記複数のアプリケーション識別子の一部あるいはすべてが、２つ以上のアプリケーション識別子からなる場合、前記第１のメッセージの前記複数のアプリケーション識別子の一部あるいはすべての内、支払を行うために使用するアプリケーション識別子を示す入力を受信するように構成されている
ことを特徴とする請求項１８に記載の販売者デバイス。
【請求項２１】
前記チャネル確立部は、前記移動通信端末の前記セキュア要素とのワイドエリアネットワークを介するセキュアチャネルをセットアップするように構成されている
ことを特徴とする請求項１６乃至２０のいずれか１項に記載の販売者デバイス。
【請求項２２】
販売者デバイスの認可を受信し、購入の実行の希望を示す入力を受信する、前記販売者デバイスで実行される方法であって、
前記販売者デバイスが、
顧客識別子を取得するステップと、
第１のメッセージとして、前記顧客識別子、顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、セキュリティサーバへ送信するステップと、
第２のメッセージとして、前記販売者デバイスがスキームプロバイダによって認可されると判定される場合のみ受信される第２のメッセージを、前記セキュリティサーバから受信するステップであって、前記顧客支払アプリケーションは、移動通信端末に備わるように構成されているセキュア要素内に備えられている、受信するステップと、
前記顧客支払アプリケーションを使用して支払を行うために、前記移動通信端末の前記セキュア要素とのセキュアチャネルをセットアップするステップと
を実行する
ことを特徴とする方法。
【請求項２３】
購入の実行の希望を示す入力を受信するとともに、販売者デバイスのコントローラで実行可能なコンピュータプログラムコードを備えるコンピュータプログラムであって、
前記コンピュータプログラムコードは、前記コントローラ上で実行する場合に、前記販売者デバイスに、
顧客識別子を取得するステップと、
第１のメッセージとして、前記顧客識別子、顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、セキュリティサーバへ送信するステップと、
第２のメッセージとして、前記販売者デバイスがスキームプロバイダによって認可されると判定される場合のみ受信される第２のメッセージを、前記セキュリティサーバから受信するステップであって、前記顧客支払アプリケーションは、移動通信端末に備わるように構成されているセキュア要素内に備えられている、受信するステップと、
前記顧客支払アプリケーションを使用して支払を行うために、前記移動通信端末の前記セキュア要素とのセキュアチャネルをセットアップするステップと
を実行させる
ことを特徴とするコンピュータプログラム。
【請求項２４】
請求項２３に記載のコンピュータプログラムが記憶されているコンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、販売者デバイスと、移動通信端末に備わるように構成されているセキュア要素内の顧客（カスタマ）支払アプリケーションとの間のセットアップを行う通信に関するものである。
【背景技術】
【０００２】
いくつかの移動通信規格では、例えば、ＧＳＭ（登録商標）及ＵＭＴＳでは、各移動通信端末は、スマートカードとの接点を有している。このスマートカードには、例えば、加入者アイデンティティモジュール（ＳＩＭ）カードあるいはユニバーサル統合交換カード（ＵＩＣＣ）がある。スマートカードは、移動通信端末自身の一般的な実行環境よりもよりセキュアな（安全な）実行環境を提供する。実際にも、移動通信端末に搭載されているメモリカード内で、あるいは移動通信端末内の埋込メモリ内でさえも、セキュアな実行環境を可能にする同等の構成が開発されている。つまり、このような環境は、セキュア要素として機能することができる。
【０００３】
本願の出願時における、グローバルプラットホームは、ｈｔｔｐ：／／ｗｗｗ．ｇｌｏｂａｌｐｌａｔｆｏｒｍ．ｏｒｇを参照、セキュア要素の規格と構造を提供し、また、セキュア要素上のアプリケーションを提供する。セキュア要素には、例えば、支払用のアプリケーションのような１つ以上のアプリケーションをインストールすることを許容する。例えば、ユーザは、ＶＩＳＡデビットカードアプリケーションと同時に、マスタカードアプリケーションをインストールすることができる。ユーザは、ユーロペイ−マスタカード−ビザ（ＥＭＶ）プロトコルと呼ばれるプロトコルを使用して、また、リーダーを備える近接場通信（ＮＦＣ）を使用して、また、オプションとして、移動通信端末のユーザインタフェースを使用して、支払を行うことができる。近接場通信（ＮＦＣ）機能付きの移動電話を使用することで、例えば、セキュア要素内のカードアプリケーションと、ポイントオブセールス端末との間のＥＭＶプロトコルを使用して、ポイントオブセールス（ＰｏＳ）デバイスでの非接触の支払を実現することができる。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来技術では、取引が発生している販売者の権限をユーザに検証させることを可能にする構成は存在していない。結果として、不正な販売者が、セキュア要素上の情報を取得し続けることができるばかりか、不正な取引を実行することですら可能となってしまう。
【０００５】
本発明の目的は、セキュア要素上の顧客支払アプリケーションへの未認可アクセスを防止することを可能にすることである。
【課題を解決するための手段】
【０００６】
本発明の第１の態様に従えば、販売者デバイスと顧客支払アプリケーションとの間の通信をセットアップするように構成されているセキュリティサーバが提示される。前記セキュリティサーバは、第１のメッセージとして、顧客識別子、前記顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、前記販売者デバイスから受信するように構成されている受信部と、前記セキュリティトークンを使用して、前記販売者デバイスが前記顧客支払アプリケーションのスキームプロバイダによって認可されるかどうかを判定するように構成されている判定部と、前記販売者デバイスが前記スキームプロバイダによって認可されると判定される場合のみ、第２のメッセージとして、前記顧客支払アプリケーションを使用して支払を行うことを前記販売者デバイスが認可されていることを示す第２のメッセージを、前記販売者デバイスへ送信するように構成されている送信部と、前記販売者デバイスが前記スキームプロバイダによって認可されると判定される場合、移動通信端末に備わるように構成されているセキュア要素内の前記顧客支払アプリケーションと前記販売者デバイスとの間にセキュアチャネルをセットアップするように構成されているチャネル確立部とを備え、前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信は前記セキュリティサーバによって制御される。
【０００７】
換言すれば、販売者デバイスは、前記セキュリティトークンを使用することによって認可される対象であることが判定される。前記販売者デバイスが認可される対象であることが判定される場合のみ、支払プロセスが継続される。これは、未認可の販売者デバイスが取引を開始することを防止し、これによって、支払アプリケーションへのアクセスを防止する。
【０００８】
前記チャネル確立部は、前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信が前記セキュリティサーバを介在するようにセットアップされるように構成されていても良い。これは、より強力なセキュリティを提供する。これは、販売者デバイスが顧客支払アプリケーションと直接通信することを防止することができるからである。
【０００９】
前記セキュリティトークンは、販売者の信用証明書を含んでいても良く、前記判定部は、前記販売者の信用証明書が前記スキームプロバイダによって発行されているかどうかを判定することによって前記販売者デバイスが認可されるかどうかを判定するように構成されていても良く、前記スキームプロバイダは、認証機関として動作する。販売者は、スキームプロバイダによって発行されている信用証明書を自身で有している中間パーティによって発行することもできる。選択的には、いくつかの中間パーティが存在し得る。
【００１０】
前記顧客識別子は、電話番号、電子メールアドレス、あるいはネットワークアクセス識別子を含んでいても良い。
【００１１】
前記アプリケーション識別子は、アプリケーションを示すテキスト文字列、アプリケーションのプレフィックス、あるいは固有のアプリケーション識別子を含んでいても良い。
【００１２】
前記判定部は、前記第１のメッセージが前記販売者デバイスによってデジタル署名されていて、かつ前記販売者の識別子と、前記セキュリティトークンの識別子とが一致する場合にのみ、前記販売者デバイスが認可されると判定するように構成されていても良い。
【００１３】
前記判定部は、前記第１のメッセージが受信される際の日時を含む有効日時範囲を前記セキュリティトークンが有している場合にのみ、前記販売者デバイスが認可されると判定するように構成されていても良い。
【００１４】
前記第１のメッセージは、複数のアプリケーション識別子を含んでいても良く、それぞれのアプリケーション識別子は、複数の顧客支払アプリケーションのそれぞれを示し、前記判定部は、更に、前記複数の顧客支払アプリケーションの内、支払を行うために使用する顧客支払アプリケーションを判定するように構成されていても良く、前記第２のメッセージは、前記使用する顧客支払アプリケーションの識別子を含んでいても良い。換言すれば、セキュリティサーバは、複数の顧客支払アプリケーションの内、使用する顧客支払アプリケーションを判定する。
【００１５】
前記セキュリティサーバは、前記顧客識別子に対応する移動端末へ、プロンプトメッセージを送信し、どの顧客支払アプリケーションが使用されるべきかをプロンプトし、前記複数の顧客支払アプリケーションの内、使用する顧客支払アプリケーションを示すメッセージを前記移動端末から受信するように構成されているプロンプターを更に備えても良い。これは、ユーザに対して、各取引に対して、どの顧客支払アプリケーションを使用するかを選択することを可能にする。
【００１６】
前記第１のメッセージは、テキストメッセージを含んでいても良く、また、前記プロンプトメッセージは、前記テキストメッセージを含んでいても良い。つまり、このテキストメッセージは、例えば、ベンダー、量及び項目の詳細の少なくとも１つを指示するために、顧客支払アプリケーションを選択する場合に、顧客に提示することができる。
【００１７】
前記判定部は、更に、前記複数の顧客支払アプリケーションの内、使用する顧客支払アプリケーションを示すデータベースを読み出すように構成されていても良い。顧客は、例えば、優先度あるいは指定の顧客支払アプリケーションのリストを示すことができ、これによって、顧客は、各取引に対して顧客支払アプリケーションを選択する必要がない。
【００１８】
本発明の第２の態様は、セキュリティサーバで実行される、販売者デバイスと顧客支払アプリケーションとの間の通信をセットアップするための方法である。この方法は、前記セキュリティサーバが、第１のメッセージとして、顧客識別子、前記顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、前記販売者デバイスから受信するステップと、前記セキュリティトークンを使用して、前記販売者デバイスが前記顧客支払アプリケーションのスキームプロバイダによって認可されるかどうかを判定するステップと、前記販売者デバイスが前記スキームプロバイダによって認可されると判定される場合のみ、第２のメッセージとして、前記顧客支払アプリケーションを使用して支払を行うことを前記販売者デバイスが認可されていることを示す第２のメッセージを、前記販売者デバイスへ送信するステップと、移動通信端末に備わるように構成されているセキュア要素内の前記顧客支払アプリケーションと前記販売者デバイスとの間にセキュアチャネルをセットアップするステップとを実行し、前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信は前記セキュリティサーバによって制御される。
【００１９】
前記セキュアチャネルをセットアップするステップは、前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信を前記セキュリティサーバを介在させることを含んでいても良い。
【００２０】
前記セキュリティトークンは、販売者の信用証明書を含んでいても良く、前記判定するステップは、前記販売者の信用証明書が前記スキームプロバイダによって発行されているかどうかを判定することによって前記販売者デバイスが認可されるかどうかを判定するように構成されていても良く、前記スキームプロバイダは、認証機関として動作する。
【００２１】
前記顧客識別子は、電話番号、電子メールアドレス、あるいはネットワークアクセス識別子を含んでいても良い。
【００２２】
前記アプリケーション識別子は、アプリケーションを示すテキスト文字列、アプリケーションのプレフィックス、あるいは固有のアプリケーション識別子を含んでいても良い。
【００２３】
前記判定するステップは、前記第１のメッセージが前記販売者デバイスによってデジタル署名されていて、かつ前記販売者の識別子と、前記セキュリティトークンの識別子とが一致する場合にのみ、前記販売者デバイスが認可されると判定することを含んでいても良い。
【００２４】
前記判定するステップは、前記第１のメッセージが受信される際の日時を含む有効日時範囲を前記セキュリティトークンが有している場合にのみ、前記販売者デバイスが認可されると判定することを含んでいても良い。
【００２５】
前記第１のメッセージは、複数のアプリケーション識別子を含んでいても良く、それぞれのアプリケーション識別子は、複数の顧客支払アプリケーション（５ａ、５ｂ）のそれぞれを示し、前記判定するステップは、更に、前記複数の顧客支払アプリケーション（５ａ、５ｂ）の内、支払を行うために使用する顧客支払アプリケーションを判定することを含んでいて、前記第２のメッセージは、前記使用する顧客支払アプリケーション（５ａ、５ｂ）の識別子を含んでいる。
【００２６】
この方法は、前記顧客識別子に対応する移動端末（１０）へ、プロンプトメッセージを送信すること、どの顧客支払アプリケーションが使用されるべきかをプロンプトすること、前記複数の顧客支払アプリケーション（５ａ、５ｂ）の内、使用する顧客支払アプリケーションを示すメッセージを、前記移動端末（１０）から受信することを含むプロンプターするステップを備えても良い。
【００２７】
前記第１のメッセージは、テキストメッセージを含んでいても良く、また、前記プロンプトメッセージは、前記テキストメッセージを含んでいても良い。
【００２８】
前記判定するステップは、前記複数の顧客支払アプリケーション（５ａ、５ｂ）の内、使用する顧客支払アプリケーションを示すデータベースを読み出すことを含んでいても良い。
【００２９】
本発明の第３の態様は、セキュリティサーバのコントローラで実行可能なコンピュータプログラムコードを備えるコンピュータプログラムである。このコンピュータプログラムコードは、前記コントローラ上で実行する場合に、前記セキュリティサーバに、第１のメッセージとして、顧客識別子、顧客支払アプリケーションを示すアプリケーション識別子、及び販売者デバイス用のセキュリティトークンを含む第１のメッセージを、前記販売者デバイスから受信するステップと、前記セキュリティトークンを使用して、前記販売者デバイスが前記顧客支払アプリケーションのスキームプロバイダによって認可されるかどうかを判定するステップと、前記販売者デバイスが前記スキームプロバイダによって認可されると判定される場合のみ、第２のメッセージとして、前記顧客支払アプリケーションを使用して支払を行うことを前記販売者デバイスが認可されていることを示す第２のメッセージを、前記販売者デバイスへ送信するステップと、移動通信端末に備わるように構成されているセキュア要素内の前記顧客支払アプリケーションと前記販売者デバイスとの間にセキュアチャネルをセットアップするステップとを実行させ、前記販売者デバイスと前記顧客支払アプリケーションとの間のあらゆる通信は前記セキュリティサーバによって制御される。
【００３０】
本発明の第４の態様は、第３の態様に従うコンピュータプログラムと、前記コンピュータプログラムが記憶されているコンピュータ可読媒体を備えるコンピュータプログラム製品である。
【００３１】
本発明の第５の態様は、販売者デバイスの認可を受信し、購入の実行の希望を示す入力の受信とともに使用されるように構成されている販売者デバイスである。この販売者デバイスは、顧客識別子を取得するように構成されている顧客識別子取得部と、第１のメッセージとして、前記顧客識別子、顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、セキュリティサーバへ送信するように構成されている送信部と、第２のメッセージとして、前記販売者デバイスがスキームプロバイダによって認可されると判定される場合のみ受信される第２のメッセージを、前記セキュリティサーバから受信するように構成されている受信部であって、前記顧客支払アプリケーションは、移動通信端末に備わるように構成されているセキュア要素内に備えられている、受信部と、前記顧客支払アプリケーションを使用して支払を行うために、前記移動通信端末の前記セキュア要素とのセキュアチャネルをセットアップするように構成されているチャネル確立部とを備える。
【００３２】
前記第１のメッセージ内の前記アプリケーション識別子は、前記第２のメッセージ内の前記アプリケーション識別子と同一である。
【００３３】
前記第１のメッセージは、複数のアプリケーション識別子を含むことができ、それぞれのアプリケーション識別子は、それぞれの顧客支払アプリケーションを示している。
【００３４】
前記第２のメッセージは、前記第１のメッセージの前記複数のアプリケーション識別子の一部あるいはすべてに対するアプリケーション識別子を含んでいても良く、前記販売者デバイスは、前記第２のメッセージの前記アプリケーション識別子に関連付けられている前記顧客支払アプリケーションの１つを使用して、支払を行うように構成されていても良い。
【００３５】
前記販売者デバイスは、更に、前記複数のアプリケーション識別子の一部あるいはすべてが、２つ以上のアプリケーション識別子からなる場合、前記第１のメッセージの前記複数のアプリケーション識別子の一部あるいはすべての内、支払を行うために使用するアプリケーション識別子を示す入力を受信するように構成されていても良い。
【００３６】
前記チャネル確立部は、前記移動通信端末の前記セキュア要素とのワイドエリアネットワークを介するセキュアチャネルをセットアップするように構成されていても良い。
【００３７】
本発明の第６の態様は、販売者デバイスの認可を受信し、購入の実行の希望を示す入力を受信する、前記販売者デバイスで実行される方法である。この方法は、前記販売者デバイスが、顧客識別子を取得するステップと、第１のメッセージとして、前記顧客識別子、顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、セキュリティサーバへ送信するステップと、第２のメッセージとして、前記販売者デバイスがスキームプロバイダによって認可されると判定される場合のみ受信される第２のメッセージを、前記セキュリティサーバから受信するステップであって、前記顧客支払アプリケーションは、移動通信端末に備わるように構成されているセキュア要素内に備えられている、受信するステップと、前記顧客支払アプリケーションを使用して支払を行うために、前記移動通信端末の前記セキュア要素とのセキュアチャネルをセットアップするステップとを実行する。
【００３８】
前記第１のメッセージ内の前記アプリケーション識別子は、前記第２のメッセージ内の前記アプリケーション識別子と同一である。
【００３９】
前記第１のメッセージは、複数のアプリケーション識別子を含むことができ、それぞれのアプリケーション識別子は、それぞれの顧客支払アプリケーションを示している。
【００４０】
前記第２のメッセージは、前記第１のメッセージの前記複数のアプリケーション識別子の一部あるいはすべてに対するアプリケーション識別子を含んでいても良く、前記販売者デバイスは、前記第２のメッセージの前記アプリケーション識別子に関連付けられている前記顧客支払アプリケーションの１つを使用して、支払を行うように構成されていても良い。
【００４１】
この方法は、更に、前記複数のアプリケーション識別子の一部あるいはすべてが、２つ以上のアプリケーション識別子からなる場合、前記第１のメッセージの前記複数のアプリケーション識別子の一部あるいはすべての内、支払を行うために使用するアプリケーション識別子を示す入力を受信するステップを備えていても良い。
【００４２】
前記セキュアチャネルをセットアップするステップは、前記移動通信端末の前記セキュア要素とのワイドエリアネットワークを介するセキュアチャネルをセットアップすることを含んでいても良い。
【００４３】
本発明の第７の態様は、購入の実行の希望を示す入力を受信するとともに、販売者デバイスのコントローラで実行可能なコンピュータプログラムコードを備えるコンピュータプログラムである。このコンピュータプログラムコードは、前記コントローラ上で実行する場合に、前記販売者デバイスに、顧客識別子を取得するステップと、第１のメッセージとして、前記顧客識別子、前記顧客支払アプリケーションを示すアプリケーション識別子、及び前記販売者デバイス用のセキュリティトークンを含む第１のメッセージを、セキュリティサーバへ送信するステップと、第２のメッセージとして、前記販売者デバイスがスキームプロバイダによって認可されると判定される場合のみ受信される第２のメッセージを、前記セキュリティサーバから受信するステップであって、前記顧客支払アプリケーションは、移動通信端末に備わるように構成されているセキュア要素内に備えられている、受信するステップと、前記顧客支払アプリケーションを使用して支払を行うために、前記移動通信端末の前記セキュア要素とのセキュアチャネルをセットアップするステップとを実行させる。
【００４４】
本発明の第８の態様は、第７の態様に従うコンピュータプログラムと、前記コンピュータプログラムが記憶されているコンピュータ可読媒体を備えるコンピュータプログラム製品である。
【００４５】
第１、第２、第３及び第４の態様の任意の特徴は、必要に応じて、これらの態様の任意の他の態様に適用されても良いことに注意するべきである。同様に、第５、第６、第７及び第８の態様の任意の特徴は、必要に応じて、これらの態様の任意の他の態様に適用されても良い。
【００４６】
用語の複数形が使用されるときはいつでも、それが２つ以上であると解釈されるべきであることに注意すべきである。
【００４７】
一般的には、請求項で使用されるあらゆる用語は、本明細書で明示的に定義されていない限り、技術分野での通常の意味に従って解釈されるべきである。
【００４８】
「ａ（１つの）／ａｎ（１つの）／ｔｈｅ（その）の要素、装置、コンポーネント、手段、ステップ等」へのあらゆる参照は、明示して言及していない限り、要素、装置、コンポーネント、手段、ステップ等の少なくとも１つのインスタンス（例）を率直に参照しているものと解釈されるべきである。本明細書で開示される任意の方法のステップ群は、明示して言及されていない限り、開示されている順序で必ずしも実行されるものではない。
【図面の簡単な説明】
【００４９】
【図１ａ】本発明の実施形態を適用することができる第１の環境を示す図である。
【図１ｂ】本発明の実施形態を適用することができる第２の環境を示す図である。
【図２ａ】図１ａ−ｂのコンポーネントを使用して、顧客が購入を実行する場合の第１の実施形態での通信を示すシーケンス図である。
【図２ｂ】図１ａ−ｂのコンポーネントを使用して、顧客が購入を実行する場合の第２の実施形態での通信を示すシーケンス図である。
【図３ａ】図１ａ−ｂの販売者デバイスのハードウェアコンポーネントを示す図である。
【図３ｂ】図１ａ−ｂの販売者デバイスの機能モジュールを示す図である。
【図４ａ】図１ａ−ｂのセキュリティサーバのハードウェアコンポーネントを示す図である。
【図４ｂ】図１ａ−ｂのセキュリティサーバの機能モジュールを示す図である。
【図５】図１ａ−ｂの販売者デバイスで実行される方法を示すフローチャートである。
【図６】図１ａ−ｂのセキュリティサーバで実行される方法を示すフローチャートである。
【図７】コンピュータ可読媒体を備えるコンピュータプログラム製品１００の一例を示す図である。
【図８】図１ａ−ｂの移動通信端末、図１ａ−ｂのセキュア要素及びセキュア要素上のアプリケーションとの間の関係を示す図である。
【発明を実施するための形態】
【００５０】
本発明は、本発明の一実施形態が示される図面を参照してより完全に説明する。しかしながら、本発明は、様々な形態で実施することができ、また、本明細書で説明される実施形態に限定されるものと解釈されるべきでない。むしろ、これらの実施形態は、例示として提供されるものであって、そうすることで、本開示は、完全かつ完璧なものとなり、当業者に本発明の範囲を完全に伝えることになる。記載全体を通して、同様の番号は、同様の要素を参照する。
【００５１】
図１ａは、本発明の実施形態を適用することができる、第１の環境を示す図である。
【００５２】
顧客（カスタマ）１５は、例えば、インターネットのようなワイドエリアネットワーク１４を介して、販売者デバイス１６と接続している。このように、顧客１５は、例えば、コンピュータ１３あるいは移動通信端末１０を使用して、販売者デバイス１６に対応する販売者との購入を行うことを希望していることを示している。購入を行うためのこの希望は、例えば、ウェブショップを使用して、通信販売員を使用して、あるいは、物理的なお店を使用して、何かを購入することである。物理的なお店の場合、顧客１５は、例えば、ＮＦＣあるいは２次元バーコードを使用して、購入を実行するためのＵＲＩ（ユニフォームリソースインジケータ）を受信することができる。ここで、ＮＦＣタグあるいは２次元バーコードは、購入対象の製品に付けることができる。移動通信端末１０は、次に、例えば、ワイドエリアネットワークを使用して、提供されるＵＲＩによって示される、販売者デバイス１６と通信して、対象の製品を購入することの希望を示すことができる。
【００５３】
移動通信端末１０は、埋込セキュア要素１２を備える。移動通信端末１０は、任意の適切なポータブル移動端末とすることができ、これには、例えば、任意の１つ以上の規格に従う移動（セルラー）電話がある。この規格には、ＧＳＭ（移動通信用グローバルシステム）、ＵＭＴＳ（ユニバーサル移動電気通信システム）、Ｗ−ＣＤＭＡ（ワイドバンド符号分割多元アクセス）、ＣＤＭＡ−２０００（符号分割多元アクセス−２０００）、ＦＯＭＡ（フリーダム移動マルチメディアアクセス）、ＷｉＭａｘ／ＩＥＥＥ８０２．１６、及びＬＴＥ（ロングタームエボリューション）がある。選択的には、あるいは追加的に、移動通信端末は、任意の適切なＷｉ−Ｆｉプロトコルを使用して、例えば、任意のＩＥＥＥ８０２．１１ｘプロトコルを使用して、ワイドエリアネットワーク１４に接続される。この状況でのワイドエリアネットワーク１４も、移動通信端末１０にワイドエリアネットワークとの通信を可能にするコンポーネントを含んでいる。
【００５４】
販売者デバイス１６は、以下で後述する方法を実行するために最適な任意のサーバである。セキュリティサーバ１８は、販売者デバイス１６に接続されている。典型的には、セキュリティサーバ１８は、複数の販売者デバイス１６に接続されていて、ここで、各販売者あるいは販売店は、少なくとも１つの販売者デバイス１６を有している。販売者デバイス１６とセキュリティサーバは、ワイドエリアネットワーク１４を介して、及び／あるいは、ダイレクト（直結）ローカルエリアネットワーク接続のようないくつかの他の方法（不図示）を通じて、接続することができる。スキームプロバイダ１９は、取引を全体的に監視するパーティである。例えば、スキームプロバイダ１９は、マスタカード、あるいはＶＩＳＡ、あるいは任意の他のクレジットカード会社とすることができる。
【００５５】
販売者デバイス１６とセキュア要素１２とを通信状態にする必要がある場合、この通信は、セキュアチャネル１７ａ−ｂを介してのみ発生する。ここで、このセキュアチャネルを介するあらゆる通信がセキュリティサーバ１８によって制御される。セキュリティサーバ１８は、移動通信端末１０と埋込セキュア要素１２と接続している。換言すれば、販売者デバイス１６とセキュア要素１２との間の通信を制御するセキュリティサーバによって、販売者デバイス１６とセキュア要素１２との通信は、セキュリティサーバ１８の承認なしでは発生することはない。
【００５６】
図１ｂは、本発明の実施形態を適用することができる、第２の環境を示す図である。ここでの主な違いは、移動通信端末１０が、ワイドエリアネットワーク１４ではなく、他の方法で、例えば、移動通信ネットワークを介して、セキュリティサーバ１８と接続していることである。
【００５７】
図１ａと図１ｂの両方を参照すると、本実施形態は、販売者デバイス１６を動作させる販売者への、顧客１５による支払に関連する。この実施形態は、上述のように、移動電話にバンドルされているセキュア要素１２上で動作する支払カードアプリケーションを使用することによって達成される。セキュア要素１２は、加入者アイデンティティモジュール（ＳＩＭ）カード、あるいはユニバーサル統合回線カード（ＵＩＣＣ）、移動通信端末に挿入されているメモリカード（例えば、ＳＤ）を使用して実現することができる。あるいは、セキュア要素１２は、移動通信端末のメモリに直接埋め込まれていても良い。
【００５８】
セキュア要素１２とそのアプリケーションは、通常は、顧客１５によって単独で管理されるものでなく、その顧客１５が課金関係（ネットワークオペレータ、銀行等）あるいは他の関係（例えば、端末製造者）を有している、いくつかのアプリケーション所有エンティティによって管理される。グローバルプラットホームフォーラムは、リモート管理用のスマートカードの一連の仕様書を発行していて、これは、アプリケーション所有エンティティに、セキュア要素１２上のアプリケーションを管理することを可能にする。
【００５９】
一般的には、複数のアプリケーションはセキュア要素内に共存し、そして、異なるパーティ（当事者）によって管理される。例えば、ネットワークオペレータは、ＵＳＩＭ（ユニバーサル加入者アイデンティティモジュール）アプリケーションを制御することができ、銀行は、１つ以上の支払アプリケーション、及び／あるいはアイデンティティアプリケーションを管理することができ、また、他のパーティは、自身のアクセス／支払／ロイヤルティアプリケーションを管理する。これは、ＧＳＭＡ（ＧＳＭ［移動通信用グローバルシステム］アソシエーション）及びそれ以外のものによって、セキュア要素とインタフェースするエンティティ間に仲介エンティティの必要性があることが提案されている。ここでは、この仲介エンティティの部分は、セキュリティサーバ１８内で実現される。
【００６０】
図２ａは、図１ａ−図１ｂのコンポーネントを使用して、顧客が購入を実行する場合の第１の実施形態における通信を示すシーケンス図である。
【００６１】
顧客１５は、まず、販売者デバイス１６に対して支払を行うための希望を指示する２０。これは、例えば、ウェブショップを閲覧し、支払の希望を指示することによって、あるいは通信販売員にサービスあるいは商品に対する支払を同意することによって行うことができる。このステップでは、顧客識別子、例えば、電話番号、ＭＳＩＳＤＮ（移動加入者統合サービスデジタルネットワーク番号）、電子メールアドレスあるいは任意の他のアクセス識別子が、顧客１５から販売者デバイス１６へ通信される。
【００６２】
次に、販売者デバイス１６は、顧客識別子と、販売者デバイス１６の販売者が使用したい１つ以上の顧客支払アプリケーション（例えば、ＶＩＳＡ、マスタカード、アメリカンエクスプレス、ダイナーズクラブ等）に対するアプリケーション識別子とを含むメッセージ２２を、セキュリティサーバ１８へ送信する。このアプリケーション識別子は、アプリケーションを示すテキスト文字列、アプリケーションのプレフィックス、あるいは、ＥＭＶに従う固有のアプリケーション識別子を含むことができる。また、販売者デバイスが、１つ以上の顧客支払アプリケーションへアクセスすることが許容されることの証拠として、販売者デバイス１６に対しては、セキュリティトークンが含まれる。セキュリティトークンは、スキームプロバイダ１９あるいは中間パーティによって販売者デバイス１６に対して発行されている信用証明書であって、１つ以上の顧客支払アプリケーションに対して販売者デバイス１６を認可する信用証明書を含んでいる。ここで、１つのトークンが各スキームプロバイダ、例えば、ＶＩＳＡあるいはマスタカードに対して提供されている。例えば、セキュリティトークンは、公開鍵基盤に準拠する電子署名を含むことができる。この方法では、販売者デバイスは、自身の秘密鍵を使用して署名を生成し、これによって、セキュリティサーバ１８は、（１）セキュリティトークンに記述されている、販売者デバイスの公開鍵と照合し、これによって、販売者を認証し、また、（２）そのセキュリティトークンあるいは信用証明書が有効であることを検証する。この検証は、そのセキュリティトークンのデジタル署名を検証し、有効期限をチェックし、取消リストと、他の標準ＰＫＩ処理を有効にすることによって行い、そうすることによって、顧客支払アプリケーションに接続するための、販売者デバイスの権限を検証する。
【００６３】
セキュリティトークンを使用することによって、販売者の販売者デバイス１６が認証されていることが顧客１５に保証され、これによって、認可済の販売者だけが、対応する支払アプリケーションを使用することができるとともに、顧客１５を脅かす販売者による不正取引のリスクを著しく削減することができる。
【００６４】
セキュリティサーバ１８は、セキュリティトークンを使用して、販売者デバイス１６が顧客支払アプリケーションへアクセスすることが認可されていることを検証する２３。
【００６５】
オプションとしては、セキュリティサーバは、販売者デバイス１６によって提供されている顧客支払アプリケーションのリストをフィルタにかけることができる。例えば、対象のセキュア要素上で利用できない顧客支払アプリケーション、あるいは検証されていない顧客支払アプリケーションは、そのリストから除去される。
【００６６】
次に、セキュリティサーバ１８による任意のフィルタ処理が実行された後、セキュリティサーバ１８は、販売者デバイス１６が接続することが許可されている１つ以上の顧客支払アプリケーションに対する識別子を含むメッセージ２４を販売者へ送信する。オプションとしては、セキュリティサーバ１８は、この段階では、セキュア要素１２との１つ以上のセキュア支払チャネルを確立して、そのようなセキュア支払チャネルへのハンドルを、販売者デバイスへのメッセージ２４に含めることができる。
【００６７】
異なる顧客支払アプリケーションに対するいくつかのトークンが送信されている場合、販売者デバイス１６は、従来の販売チャネルを使用して、顧客１５が、どの顧客支払アプリケーションを使用するかを問い合わせる２６。例えば、これは、ウェブショップ用のウェイブインタフェースを通じて、あるいは、通信販売員が電話を通じて顧客に問い合わせることによって行うことができる。次に、顧客１５は、どの顧客支払アプリケーションを使用するかを選択する２８。但し、この問い合わせ２６は、セキュア要素１２を使用するものでないことに注意されたい。
【００６８】
上述のように、支払チャネルが既に確立されている限り、販売者デバイス１６は、メッセージ３０をセキュリティサーバ１８へ送信して、セキュア要素１２とのセキュア支払チャネルを確立する。次に、セキュリティサーバは、セキュアチャネルをセットアップして、販売者デバイス１６に対して応答する３２ことで、販売者デバイスが、セキュア要素１２上の顧客支払アプリケーションと通信することを許可する。テキスト文字列あるいはアプリケーションプレフィックスが先のアプリケーション識別子として使用される場合、セキュリティサーバは、顧客支払アプリケーションと更に通信する場合に、販売者デバイスが使用することができるアプリケーション識別子を通信する。
【００６９】
次に、販売者デバイス１６は、例えば、（ＥＭＶ）プロトコルを使用して、支払を行うために、セキュア要素１２上の判定された顧客支払アプリケーションと通信する３４。ＥＭＶプロトコル自体は周知である一方で、これは、今までは、販売者デバイスとセキュア要素の間での直接通信のために使用されている。特に、これは、セキュア要素が、ポイントオブセールス（販売場所）で導入されている、あるいはＮＦＣ通信を使用することによる物理的な近場で導入されている場合である。これに対して、販売者デバイス１６とセキュア要素１２との間のあらゆる通信は、セキュリティサーバ１０の制御下にある。これは、販売者デバイス１６は、セキュリティサーバ１８の制御下でセキュア要素１２と通信するだけであり、また、判定された顧客支払アプリケーションに対して認可されている販売者デバイスだけが権限を獲得するので、不正な販売者デバイス１６が、セキュア要素１２内のアプリケーションにアクセスすることは回避される。また、販売者デバイスに認可されていないアプリケーションに対してその販売者デバイスが問い合わせることも回避される。例えば、販売者デバイスと顧客アプリケーションとの間で直接通信が許可されていた場合は、販売者デバイスは、顧客のプライバシーを危険にさらすような、様々な顧客アプリケーションへの接続を試行する可能性があろう。事実、販売者デバイスとセキュア要素との間で直接通信が許可されていた場合には、一定の顧客アプリケーションの存在自体が、顧客のプライバシーを危険にさらすことになろう。
【００７０】
例えば、セキュアチャネルは、ＳＳＬである、セキュアソケットレイヤ、及びＳＣＰ８０であるセキュアチャネルプロトコル８０を使用して実現することができる。これは、販売者デバイス１６に、判定された顧客支払アプリケーションと通信することによって支払を行うためにＡＰＤＵ（アプリケーションプロトコルデータユニット）を使用することを可能にする。
【００７１】
図２ｂは、図１ａ−図１ｂのコンポーネントを使用して、顧客が購入を実行する場合の第２の実施形態における通信を示すシーケンス図である。図２ａの実施形態との主な違いは、セキュリティサーバ１８が、どんな顧客支払アプリケーションを使用するかを判定することである。通信信号２０、２２、２４、３４及び処理２３は、図２ａのそれぞれに対応する。
【００７２】
しかしながら、この実施形態において、販売者デバイスからのメッセージ２２が複数の顧客支払アプリケーションを含んでいる場合、セキュリティサーバ１８は、この段階２３で、残りの取引に対して使用するための、複数の顧客支払アプリケーションの内の１つを判定する。これは、例えば、セキュリティサーバがメッセージ３５をセキュア要素１２へ送信して、Ｊａｖａ  ＭｉｄＬｅｔ、ウェブアプリケーションあるいはセキュア要素１２上で動作する別のアプリケーションによって、使用する顧客支払アプリケーションを顧客１５に問い合わせる３６ことによって実行することができる。次に、顧客１５は、使用する顧客支払アプリケーションを選択し３７、その後、この選択は、セキュリティサーバ１８へ通信される３８。
【００７３】
例として、販売者デバイス１６は、支払に対して、ＶＩＳＡ、マスタカードあるいはアメリカンエクスプレスを使用することができることを指示する２２。次に、セキュリティサーバ１８は、データベースへ問い合わせて、あるいは、顧客１５の移動通信端末上のロジックをトリガーして、そのユーザがＶＩＳＡ及びマスタカードの顧客支払アプリケーションだけを有していることを判定する。顧客には、ＶＩＳＡあるいはマスタカードで支払を行うことのオプションが提示され（即ち、ＶＩＳＡの顧客支払アプリケーションあるいはマスタカードの顧客支払アプリケーションを使用して）、そうすることによって、ユーザは、移動通信端末１０のユーザインタフェースを使用して、セキュア要素１２上のＶＩＳＡの顧客支払アプリケーションを使用して支払を行うことを選択する。
【００７４】
次に、販売者デバイス１６は、メッセージ３０をセキュリティサーバ１８へ送信して、セキュア要素１２に対するセキュア支払チャネルを確立する。セキュリティサーバはセキュアチャネルをセットアップして、販売者デバイス１６に応答する３２ことで、販売者デバイスが、セキュア要素１２上の顧客支払アプリケーションと通信することを許可する。
【００７５】
セキュリティサーバ１８を介する販売者デバイス１６とセキュア要素１２との間の通信３４は、図２ａで示される実施形態のように達成される。
【００７６】
一実施形態において、販売者デバイス１６からのメッセージ２２が複数の顧客支払アプリケーションを含んでいる場合は、セキュリティサーバ１８は、例えば、メッセージ３５及び３８を使用して、セキュア要素１２から、利用可能な顧客支払アプリケーションのリストを取得する。一実施形態では、セキュリティサーバ１８は、そのような利用可能な顧客支払アプリケーションのリストが記憶されているセキュア要素１２上の、例えば、グロバールプラットホームカード仕様書補遺Ｃで定義されるような、コンタクトレスレジストリサービス（ＣＲＳ）に問い合わせる。顧客１５は、利用可能な顧客支払アプリケーションンのリストを従前に定義している。セキュリティサーバ１８は、販売者デバイス１６からの顧客支払アプリケーションのリストと、セキュア要素１２からの利用可能な顧客支払アプリケーションのリストの間で共通するセット（intersecting set）を判定する。この共通するセットは、販売者デバイスが要求していて、かつ顧客１５が承認している顧客支払アプリケーションのすべてを含むものとなる。この共通のリスト（ゼロ、あるいは１つ以上の項目を含む場合がある）は、販売者デバイス１６へ送信され２４、そして、続いて、上述のように使用される。
【００７７】
図３ａは、図１ａ−図１ｂの販売者デバイス１６のハードウェアコンポーネントを示す図である。コントローラ４６は、例えば、メモリの形態である、コンピュータプログラム製品４５に記憶されるソフトウェア命令を実行することができる、任意の適切な中央処理ユニット（ＣＰＵ）、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）等を使用して提供される。コンピュータプログラム製品４５は、メモリ、あるいは、リードライトメモリ（ＲＡＭ）及びリードオンリーメモリ（ＲＯＭ）の任意の組み合わせとすることができる。このメモリは、また、永久記憶装置も含み、これは、例えば、磁気メモリ、光学メモリ、あるいはソリッドステートメモリ、あるいは遠隔の据付メモリの内の任意の１つあるいはその組み合わせとすることができる。
【００７８】
入力／出力（Ｉ／Ｏ）インタフェース４０は、販売者デバイス１６に、セキュリティサーバ１８のような他のコンポーネントとの対話を可能にするように提供される。Ｉ／Ｏインタフェース４０は、例えば、イーサネット（登録商標）インタフェースのようなネットワークインタフェースとすることができる。
【００７９】
販売者デバイス１６は、ウェブショップのために使用される同一のウェブサーバ内で実現することもできるし、別のサーバであっても良い。
【００８０】
図３ｂは、図１ａ−図１ｂの販売者デバイスの機能モジュールを示す図である。この機能モジュールは、コンピュータプログラムのような、販売者デバイスのソフトウェアを使用して実現することができる。すべてのモジュールが実行環境４１に依存し、この実行環境４１は、コントローラ４６と、オプションで、図３ａのコンピュータプログラム製品４５とＩ／Ｏインタフェース４０を利用する。
【００８１】
顧客識別子取得部４２は、顧客識別子を取得するように構成されている。顧客識別子用のソースは、例えば、ウェブショップトランザクションからのものとすることができ、あるいは、移動通信端末からのｈｔｔｐリクエストとすることができる。
【００８２】
送信部４３は、第１のメッセージをセキュリティサーバ１８へ送信するように構成されていて、ここで、第１のメッセージは、顧客識別子取得部によって取得される顧客識別子、顧客支払アプリケーションを示すアプリケーション識別子、及び販売者デバイス用のセキュリティトークンを含むことができる。これは、セキュリティサーバに、販売者デバイス１６を認証させることを可能にする。
【００８３】
受信部４７は、第１のメッセージに対する応答として、セキュリティサーバ１８から第２のメッセージを受信するように構成されている。この第２のメッセージは、スキームプロバイダによって顧客支払アプリケーションに対して認可されるべきセキュリティトークンが、その顧客支払アプリケーションのアプリケーション識別子と一致すると判定される場合にのみ受信されるであろう。
【００８４】
販売者デバイスは、更に、チャネル推定部４４を備え、これは、顧客支払アプリケーションを使用して支払を行うための、移動通信端末のセキュア要素とのセキュアチャネルをセットアップするように構成される。セキュアチャネルは、第２のメッセージが受信部４７によって受信された後にのみセットアップされる。こうして、セキュアチャネルを使用して、販売者デバイスと顧客支払アプリケーションとの間で支払を達成することとができる。
【００８５】
図４ａは、図１ａ−図１ｂのセキュリティサーバ１８の実施形態を示している。コントローラ５０は、例えば、メモリの形態である、コンピュータプログラム製品５２に記憶されるソフトウェア命令を実行することができる、任意の適切な中央処理ユニット（ＣＰＵ）、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）等を使用して提供される。コンピュータプログラム製品５２は、メモリ、あるいは、リードライトメモリ（ＲＡＭ）及びリードオンリーメモリ（ＲＯＭ）の任意の組み合わせとすることができる。このメモリは、また、永久記憶装置も含み、これは、例えば、磁気メモリ、光学メモリ、あるいはソリッドステートメモリ、あるいは遠隔の据付メモリの内の任意の１つあるいはその組み合わせとすることができる。
【００８６】
入力／出力（Ｉ／Ｏ）インタフェース５４は、セキュリティサーバ１８に、販売者デバイス１６のような他のコンポーネントとの対話を可能にするように提供される。Ｉ／Ｏインタフェース５４は、例えば、イーサネットインタフェースのようなネットワークインタフェースとすることができる。
【００８７】
オプションとしては、ユーザインタフェース（不図示）は、セキュリティサーバ１８のオペレータが使用するために提供される。加えて、あるいは選択的には、セキュリティサーバ１８は、受信部／送信部５４を使用して遠隔からあるいは局所で制御することができる。
【００８８】
セキュリティサーバ１８は、１つのユニットに統合することもできるし、あるいは、例えば、アップグレード、実装の容易性、あるいは冗長性のために、いくつかの別ユニットに分けることもできる。セキュリティサーバ１８を構成するいくつかのユニットが存在する場合には、いくつかのコンポーネントが２つ以上のユニット、例えば、コントローラ５０、受信部／送信部５４、及びコンピュータプログラム製品５２に存在していても良い。
【００８９】
図４ｂは、図１ａ−図１ｂのセキュリティサーバの機能モジュールを示す図である。この機能モジュールは、セキュリティサーバのハードウェア及びソフトウェアの少なくとも一方を使用して実現することができる。すべてのモジュールが実行環境５１に依存し、この実行環境５１は、コントローラ５０と、オプションで、図４ａのコンピュータプログラム製品５２とＩ／Ｏインタフェース５４を利用する。
【００９０】
受信部５１は、上述のように、販売者デバイスから第１のメッセージを受信するように構成されている。
【００９１】
判定部５３は、販売者デバイスが、顧客支払アプリケーションのスキームプロバイダによって認可されているかどうかを判定するように構成されている。これは、セキュリティトークンが、スキームプロバイダあるいは中間パーティによって発行されている信用証明書を含んでいることを検証することによって実行することができる。換言すれば、この適合性は、公開鍵基盤を使用して判定することができる。
【００９２】
送信部５５は、セキュリティトークンが顧客支払アプリケーションのアプリケーション識別子と照合する場合に、第２のメッセージを販売者デバイスへ送信するように構成されている。この第２のメッセージは、図３ｂを参照して上述した第２のメッセージと同一である。
【００９３】
また、セキュリティサーバは、チャネル確立部５７を備えている。販売者デバイスが顧客支払アプリケーションのスキームプロバイダによって認可される場合のみ、チャネル確立部は、販売者デバイスと顧客支払アプリケーションとの間にセキュアチャネルをセットアップすることができる。チャネル確立部は、販売者デバイスと顧客支払アプリケーションとの間の通信を制御することによってこのセキュアチャネルのセットアップを達成することができる。選択的には、あるいはこれに加えて、チャネル確立部は、販売者デバイスと顧客支払アプリケーションとの間のあらゆる通信が、セキュリティサーバを介して通信することを保障することができる。これは、販売者デバイスのチャネル確立部４４と協働して実行される。この方法では、販売者デバイスと顧客支払アプリケーションとの間のあらゆる通信は、セキュリティサーバによって制御される。
【００９４】
図５は、図１ａ−図１ｂの販売者デバイス１６で実行される方法を示すフローチャートである。この方法は、図３ｂのモジュールを使用して実現することができる。このフローチャートは、図２ａ−図２ｂのシーケンス図に対応する。
【００９５】
最初の顧客識別子を取得するステップ６０では、販売者デバイスは、購入の実行の要望を示す入力を受信し（受け付け）、顧客の識別子を取得する。これは、例えば、ウェブショップにおける顧客の入力を通じて、あるいは、顧客が識別子を販売員へ伝えて、その販売員が販売者デバイス１６に識別子を入力することによって行われる。
【００９６】
第１のメッセージをセキュリティサーバへ送信するステップ６２では、販売者デバイス１６は、顧客識別子、１つ以上の顧客支払アプリケーションの識別子、及びセキュリティトークンを含むメッセージを、セキュリティサーバへ送信する。
【００９７】
セキュリティサーバ６４から第２のメッセージを受信するステップ６４では、販売者デバイス１６はセキュリティサーバからメッセージを受信する。このメッセージは、販売者デバイス１６が接続することが許可されている、１つ以上の顧客支払アプリケーションの識別子を含んでいる。
【００９８】
オプションのアプリケーションの入力を受信するステップ６５では、販売者デバイスは、複数の顧客支払アプリケーションの内、支払を行うために使用する顧客支払アプリケーションはどれであるかを顧客に問い合わせる。
【００９９】
そして、セキュア要素とのセキュアチャネルをセットアップするステップ６６では、販売者デバイスはセキュリティサーバ１８と接続して、支払を行うために、セキュア要素とのセキュアチャネルをセットアップする。このセキュアチャネル上でのあらゆる通信は、セキュリティサーバ１８の制御下で発生する。
【０１００】
図６は、図１ａ−図１ｂのセキュリティサーバで実行される方法を示すフローチャートである。この方法は、図４ｂのモジュールを使用して実現することができる。このフローチャートは、図２ａ−図２ｂのシーケンス図に対応する。
【０１０１】
最初の販売者デバイスから第１のメッセージを受信するステップ７０では、セキュリティサーバは、販売者デバイスからメッセージを受信する。第１のメッセージは、顧客識別子、１つ以上の顧客支払アプリケーションの識別子、及びセキュリティトークンを含んでいる。
【０１０２】
セキュリティトークンを照合するかどうかを条件判定するステップ７２では、セキュリティサーバは、販売者デバイスが顧客支払アプリケーションのスキームプロバイダによって認可されているかどうかをチェックし、また、あるのであれば、第１のメッセージの顧客支払アプリケーションの内のどれがセキュリティトークンと一致するかをチェックする。一致するものがない場合、この方法は終了する。そうでなければ、この方法は、オプションのアプリケーションを判定するステップ７４を継続する、あるいは、第２のメッセージを販売者デバイスへ送信するステップ７６を直接継続する。
【０１０３】
オプションのアプリケーションを判定するステップ７４では、セキュリティサーバ１８は、どの顧客支払アプリケーションが支払取引に対して使用されるべきかを判定する。検証された顧客支払アプリケーションが１つだけしか存在しない場合、その顧客支払アプリケーションが使用される。しかしながら、２つ以上の顧客支払アプリケーションが存在する場合、セキュリティサーバ１８は、オプションで、例えば、メモリに記憶されているデータベーステーブルを問い合わせて、その特定の顧客がインストールしている顧客支払アプリケーションがどれであるかを検出することができる。選択的には、あるいはこれに加えて、セキュリティサーバ１８は、セキュア要素、及び顧客支払アプリケーションを使用する移動通信端末の少なくとも一方を介して、ユーザへ問い合わせる。
【０１０４】
使用する顧客支払アプリケーションが一旦確定すると、セキュリティサーバ１８は、使用する顧客支払アプリケーションを示す第２のメッセージを販売者デバイスへ送信する。オプションとして、アプリケーションを判定するステップ７４が実行されない場合、セキュリティサーバ１８は、このステップでは、複数の顧客支払アプリケーションの識別子を販売者デバイスへ送信し、販売者デバイスに、それらの顧客支払アプリケーションの内、どの顧客支払アプリケーションを使用するかを判定させる。
【０１０５】
セキュアチャネルをセットアップするステップ７８では、セキュリティサーバ１８は、販売者デバイス１６からの命令で、販売者デバイス１６とセキュア要素１２との間でセキュアチャネルをセットアップする。
【０１０６】
図７は、コンピュータ可読媒体を含むコンピュータプログラム製品の一例を示している。このコンピュータ可読媒体上に、コンピュータプログラム１０１を記憶することができ、ここで、コンピュータプログラムは、コントローラに、本明細書で記載される実施形態に従う方法を実行させることができる。この例では、コンピュータプログラム製品は、ＣＤ（コンパクトディスク）、あるいはＤＶＤ（デジタル多用途ディスク）、あるいはブルーレイディスクのような光ディスクである。上述のように、コンピュータプログラム製品は、販売者デバイス１６のメモリ４５、あるいはセキュリティサーバ１８のメモリ５２のようなデバイスのメモリとして実現することができる。コンピュータプログラム１０１は、図示の光ディスク上のトラックとして示されているが、コンピュータプログラムは、コンピュータプログラム製品に対して適切な任意の方法で記憶することができる。
【０１０７】
図８は、図１ａ−図１ｂの移動通信端末と、図１ａ−図１ｂのセキュア要素１２と、セキュア要素上のアプリケーション５ａ−ｂとの間の関係を示している。移動通信端末１０は、例えば、ディスプレイ５とユーザ入力手段を備えるユーザインタフェースを備え、これは、例えば、タッチセンシティブディスプレイのようなディスプレイ５を提供することによって、あるいはキーパッドを使用することによって実現される。
【０１０８】
上述のように、セキュア要素１２は、加入者アイデンティティモジュール（ＳＩＭ）カード、あるいはユニバーサル統合回線カード（ＵＩＣＣ）、あるいは移動通信端末に挿入されるメモリカード（例えば、ＳＤ）を使用して実現することができ、あるいは、セキュア要素１２は、移動通信端末のメモリに直接埋め込まれていても良い。セキュア要素１２は、１つ以上の顧客支払アプリケーション５ａ−ｂを備える。例えば、アクセスプログラムあるいはロイヤリティプログラムのような他のアプリケーション（不図示）は、セキュア要素１２上に存在させることができる。
【０１０９】
本発明は、主に、いくつかの実施形態を参照して説明している。しかしながら、当業者に容易に理解されるように、上述の開示されるもの以外の他の実施形態を、本発明の範囲内で等しく実現可能である。
【図１ａ】
0005396568.tif 000002
【図１ｂ】
0005396568.tif 000003
【図２ａ】
0005396568.tif 000004
【図２ｂ】
0005396568.tif 000005
【図３ａ】
0005396568.tif 000006
【図３ｂ】
0005396568.tif 000007
【図４ａ】
0005396568.tif 000008
【図４ｂ】
0005396568.tif 000009
【図５】
0005396568.tif 000010
【図６】
0005396568.tif 000011
【図７】
0005396568.tif 000012
【図８】
0005396568.tif 000013