(57)【要約】【課題】カードIDに対応付けられたICカード業務処理は、カードIDの追跡により個人の取引内容の秘匿性を保持できない。【解決手段】ID動的付番サーバ（１０１）は予めICカード（１１０）と暗号鍵を共有する。業務加盟端末は、まずICカードからID動的付番サーバ証明書（１１２）を取り出し、特定したID動的付番サーバから派生データを取得し、ICカードに送信する。ICカードは派生データを元にセッション鍵を生成し、カードIDを暗号化する。業務加盟店端末はこの暗号化したカードIDと派生データと業務関連データを合わせて業務運用サーバ（１２１）へ送信する。業務運用サーバはID動的付番サーバが復元した元のカードIDを用いて以降の業務処理を行う。【効果】上記課題を解決し、ICカードが毎回異なるカードIDを応答し、かつ、権限のあるシステムのみ復元可能とする。【選択図】図1
2006031640.tif 000002
【特許請求の範囲】
【請求項１】
ICカードリーダライタを介しICカードに接続し、
ネットワークまたは専用線を介し、ICカードがカードIDを毎回動的に変更するために必要な派生データを生成し、かつ、動的に変更されたカードIDの復号化処理を行うID動的付番サーバシステムに接続し、
前記ネットワークまたは前記専用線を介し、ICカードを利用して所定の業務を運用する業務運用サーバシステムに接続する業務加盟店端末システムにおける前記ICカード識別番号の動的生成方法であって、
前記ICカードから前記ID動的付番サーバシステムを特定する証明書を取得し、
前記証明書から特定されたID動的付番サーバシステムに、カードIDを動的に変更するために必要な前記派生データを要求、取得し、
前記派生データを前記ICカードに送信し、該派生データを基に変更された動的カードIDを取得し、
前記動的カードIDと、前記派生データと、所定の業務を遂行するにあたって必要となる業務関連データを合わせて前記業務運用サーバに送信することを特徴とするICカード識別番号の動的生成方法。
【請求項２】
ICカードリーダライタを介しICカードに接続し、
ネットワークまたは専用線を介し、ICカードがカードIDを毎回動的に変更するために必要な派生データを生成し、かつ、動的に変更されたカードIDの復号化処理を行うID動的付番サーバシステムに接続し、
前記ネットワークまたは前記専用線を介し、ICカードを利用して所定の業務を運用する業務運用サーバシステムに接続する業務加盟店端末システムであって、
前記ICカードから前記ID動的付番サーバシステムを特定する証明書を取得し、
前記証明書から特定されたID動的付番サーバシステムに、カードIDを動的に変更するために必要な前記派生データを要求、取得し、
前記派生データを前記ICカードに送信し、該派生データを基に変更された動的カードIDを取得し、
前記動的カードIDと、前記派生データと、所定の業務を遂行するにあたって必要となる業務関連データを合わせて前記業務運用サーバに送信することを特徴とする業務加盟店端末システム。
【請求項３】
ICカードがカードIDを毎回動的に変更するために必要な派生データを生成し、かつ、動的に変更されたカードIDの復号化処理を行うID動的付番サービスシステムが、
ICカードに接続しID動的付番サーバ証明書を取得し、かつ毎回動的に変更するカードIDを取得する業務加盟店端末システムに、ネットワークまたは専用線を介し接続し、
前記業務加盟店端末からの派生データ生成要求に応じ、前記ICカードと共有する暗号鍵を用いて前記派生データを生成し前記業務加盟店端末に送信し、
ICカードを利用して所定の業務を運用する業務運用サーバシステムに、前記ネットワークまたは前記専用線を介し接続し、
前記業務運用サーバシステムからの、動的に変更されたカードIDの復元処理要求に応じ、前記動的に変更されたカードIDと前記派生データと、予め前記ICカードと共有している暗号鍵を用いて元のカードIDを復号し前記業務運用サーバシステムに送信することを特徴とするID動的付番サーバシステム。
【請求項４】
請求項３に記載のID動的付番サーバシステムであって、
前記派生データが、動的に変更されたカードIDを生成するための暗号セッション鍵であることを特徴とするID動的付番サーバシステム。
【請求項５】
ICカードを利用して所定の業務を運用する業務運用サーバシステムが、
ICカードに接続しID動的付番サーバ証明書を取得し、かつ毎回動的に変更するカードIDを取得する業務加盟店端末システムに、ネットワークまたは専用線を介し接続し、
前記業務加盟店端末から、動的に変更されたカードIDと、所定の業務を遂行するにあたって必要となる業務関連データを受信し、
ICカードがカードIDを毎回動的に変更するために必要な派生データを生成し、動的に変更されたカードIDの復号化処理をID動的付番サーバシステムに、前記ネットワークまたは前記専用線を介し接続し、
前記ID動的付番サーバシステムに、動的に変更されたカードIDの復元処理を要求し、前記復元化されたカードIDを取得し、該カードIDを用いて所定の業務を遂行することを特徴とする業務運用サーバシステム。
【請求項６】
ICカードリーダライタを介し、外部システムに接続するICカードであって、
前記外部システムからの要求に応じ、前記ID動的付番サーバシステムを特定するID動的付番サーバ証明書を送信し、
前記外部システムから、前記ID動的付番サーバシステムが生成した前記派生データを受信し、
前記派生データを用いて前記ID動的付番サーバシステムと共有する暗号鍵を暗号化処理して暗号セッション鍵を生成し、
前記暗号セッション鍵を用いてカードIDから動的に変更されたカードIDを生成し、前記外部システムに送信することを特徴とするICカード。
【請求項７】
請求項６に記載のICカードであって、
前記派生データが、動的に変更されたカードIDを生成するための暗号セッション鍵であることを特徴とするICカード。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセスするたびに動的にカード識別番号を変更することが可能なICカードとそのシステムに関わる。
【背景技術】
【０００２】
従来、ICカードの識別番号（カードID）は、ICカードにアクセスする外部に対して常にオープンであり、かつ同一の値を応答する。ICカードを用いた業務処理を行う場合、まずICカードからカードIDを読みとり、各業務内容やデータに対応づけて処理を進める。例えばクレジット決済業務の場合、非特許文献１に記載されているように、業務加盟店端末に設置されたICカードリーダライタ（R/W）がICカードのカードIDを読みとり、利用金額や内容、支払い方法、利用店舗名など業務処理に必要なデータを合わせてクレジットカード会社のサーバへ送信する。
【０００３】
またクレジット決済では、現状ICカードではなく磁気カードを利用する場合も多いが、この場合も磁気ストライプからクレジットカード番号を読みとり、関連業務データをこの番号に対応づけるといった点で同様な処理方法をとっている。
図2は従来のICカードシステム構成を表している。まず、システムの構成要素について概要を説明する。
【０００４】
符号１１０はいわゆるICカードであり、それぞれユニークに同定可能な識別番号（カードID）を有する。カードID送信処理部（１１４）はICカード外部からの要求に応じてカードIDを送信する。
符号１２１は業務運用サーバであり、業務処理部（１２３）でICカードを用いた業務を行う。例えばクレジット決済業務の場合、該サーバはクレジットカード会社が所有するサーバであり、業務処理部（１２３）は、顧客情報やクレジットカード情報の管理、クレジット利用時の与信チェック、決済処理などのクレジットサービス業務を行う。
【０００５】
符号１３１は業務加盟店端末であり、各店舗に設置され、業務を実行する際にICカードに直接アクセスし、データのやり取りをする端末である。基本処理としては、まずカードID送信要求処理部（１３５）がICカードにアクセスしカードIDを取得してICカードを同定する。業務処理部（１３４）が各業務の実行に必要な業務関連データを用意し、業務運用サーバ（１２１）にカードIDと対応づけて送信する。例えばクレジット決済業務の場合は、クレジットカード会社と契約をした加盟店端末に設置されたPOS端末などがこれにあたり、カードID（磁気カードの場合はクレジットカード番号）をカードから取得し、決済額や支払い方法などの業務関連データを合わせてクレジットカード会社のサーバに送信する。
【０００６】
業務加盟店端末と業務運用サーバ間は公衆網などのネットワークあるいは専用線によるネットワークにより情報のやり取りを実現する。業務加盟店端末とICカード間は、業務加盟店端末に備えられたICカードリーダ・ライタ（R/W）などを用いて直接データのやり取りを実現する。
また、上述の業務運用サーバ（１２１）と業務加盟店端末（１３１）は、各々の処理部（１２３、１３４、１３５）に、カードID送信要求機能や業務処理機能を有している。これらの各処理機能は、コンピュータ・プログラムとして実現され、動作する。ICカード（１１０）内のカードID送信処理部（１１４）もコンピュータ・プログラムとして実現されることが多いが、一部ICカードではファイルシステムとして実現する場合もある。
【０００７】
次に、上記システムにおける業務処理の動作手順を例にとり、従来システムの課題を説明する。
業務加盟店端末（１３１）はカードID送信要求処理部（１３５）を用いてICカードにアクセスし、カードID送信を要求する（２０１）。ICカード（１１０）はカードID送信処理部（１１４）を用いて自身の有するカードIDを応答する（２０２）。業務加盟店端末（１３１）は業務処理部（１３４）を用いて、受信したカードIDと業務に関連するデータを対応付けて業務運用サーバ（１２１）に送信する（２０３）。業務運用サーバ（１２１）は業務処理部（１２３）を用いて受信した上記データを分析し業務処理を進める。
【０００８】
【非特許文献１】「ICカード総覧」株式会社  シーメディア出版  2001年
【発明の開示】
【発明が解決しようとする課題】
【０００９】
上記従来技術において、ICカードを使用した業務処理はカードIDに対応づけられているため、カードIDを追跡されると個人の取引内容に関する情報の秘匿性を保持できないという課題が生じる。ICカードは外部からのどのアクセスに対しても常に同一のカードIDを応答するため、異なる時間、異なる場所での取引内容がカードIDをキーとして追跡可能となる。カードIDは直接利用者個人を特定するものではないが、一度カードIDと利用者個人との間の関連を知られてしまうと、それまでの取引履歴を全て知られてしまうという脅威が存在する。また、利用者を特定できないまでも、購入内容や訪問場所などのパターンから消費行動を把握されてしまうという問題も存在する。
【００１０】
上記課題はICカードが常に同一のカードIDを応答することに起因する。しかし、だからといって乱数などの常にランダムな値がICカードから応答される場合は、業務運用サーバ（１２１）がICカードを同定することができなくなるため、業務処理を進めることができない。クレジット決済処理の場合であれば、誰のクレジットカードによる決済で、どの口座から引き落とすべきかを同定できなくなる。そのため、ICカードは同一のカードIDを応答せず、しかし、業務運用サーバ（１２１）はICカードを同定可能であるようなシステムが必要である。
以上で、従来システムにおける課題についての説明を終える。
【課題を解決するための手段】
【００１１】
上記課題を解決するために、本発明は「ID動的付番サーバ」を導入し、該サーバが生成した派生データを基に、ICカードが動的にカードIDを生成し応答する方法を提供する。また、この動的カードIDはID動的付番サーバによって元のカードIDに復号化可能であり、業務運用サーバはID動的付番サーバと連携することでICカードを同定することが可能である。
【発明の効果】
【００１２】
本発明が提供するICカード識別番号動的生成方法により、ICカードが応答するカードIDを毎回動的に変更し、かつ権限のあるシステムにおいてのみ、元のカードIDを復元することが可能でなる。
また、上記権限あるシステムは、業務関連データに関知しないため、業務運用者は具体的な業務内容を上記権限あるシステムに知られることなくカードIDの暗号化・復号化処理が可能である。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の実施の形態を説明する。
まず、ICカードが常に同一のカードIDを応答するため、カードIDに対応づけられた取引内容に関する情報が秘匿できないという課題に対して、本発明の実施例ではICカード内部に動的カードID生成処理部を設置することで、外部に対して応答するカードIDを毎回動的に変更することで解決する。同一の利用者がICカードを用いた処理を行っても、毎回異なるカードIDを応答するため、業務加盟店端末は以前の処理履歴と対応づけることが不可能となる。
【００１４】
また、カードIDが動的だと業務運用サーバにおいてICカードを同定できないという課題に対して、本発明では「ID動的付番サーバ」というICカードと暗号鍵を共有する権限のあるシステムを導入することで解決する。まず動的カードIDはカードIDを暗号化することで得られる値とする。動的カードIDが毎回異なる値を応答するために、暗号化は毎回異なるセッション鍵により行われるべきであるが、このセッション鍵を作成するためのキーとなるデータ（派生データ）をID動的付番サーバが作成することとする。ID動的付番サーバはICカードとの共有鍵を有するため、派生データがあれば両者は同じセッション鍵を生成することが可能であり、ひいてはセッション鍵と動的カードIDがあれば元のカードIDを復号化することが可能となる。業務運用サーバは、ID動的付番サーバと連携し動的カードIDからカードIDの復号化処理をID動的付番サーバに代行してもらうことで、ICカードを同定できる。また、本解決方法では派生データをID動的付番サーバからICカードに送信する必要があるが、その際派生データの改竄が行われると動的カードIDの復号化ができなくなるため、通信路における暗号化処理を行う必要が生じる。
【００１５】
具体的な処理手順に従って発明方法について説明する。まず、業務加盟店端末はICカードにアクセスし「ID動的付番サーバ証明書」を抽出する。この証明書はICカードの発行時などに設定されたものであり、ID動的付番サーバを特定する情報を有する。次に業務加盟店端末は、上記証明書が特定したID動的付番サーバに派生データ生成を要求する。ID動的付番サーバは乱数などのランダムデータを、ICカードと共有している共有鍵で暗号化し派生データとして業務加盟店端末に送信する。この共有鍵はID動的付番サーバとICカードの間で予め共有している共有鍵である。業務加盟店端末は、この派生データをICカードに送信し対応する動的カードIDを要求する。ICカードは共有鍵で派生データを復号化し、これを基に共有鍵からセッション鍵を派生させる。
【００１６】
カードIDをこのセッション鍵で暗号化し、これを動的カードIDとして業務加盟店端末に応答する。業務加盟店端末は受信した動的カードIDと派生データと業務に関連するデータを対応付けて業務運用サーバに送信する。業務運用サーバは、動的カードIDと派生データをID動的付番サーバに送信しカードIDの復号化を要求する。ID動的付番サーバは派生データを共有鍵で復号化し、その値を基に共有鍵からセッション鍵を生成する。このセッション鍵を用いて動的カードIDを復号化することで元のカードIDを抽出し、業務運用サーバに送信する。業務運用サーバは、受信したカードIDと業務関連データを対応付けて業務処理を進める。
【００１７】
次に、図面を用いて説明する。本発明に係わるシステムの基本構成は、図1に示される。符号１１０はいわゆるICカードであり、ID動的付番サーバ（１０１）を特定するID動的付番サーバ証明書（１１２）と、動的カードID生成処理部（１１３）を有する。動的カードID生成処理部（１１３）はICカード外部から派生データを受信し、このデータを基にカードIDを暗号化して、動的カードIDとして外部に応答する。
【００１８】
符号１０１はID動的付番サーバであり、派生データ生成処理部（１０２）と動的カードID検証処理部（１０３）を有する。派生データ生成処理部（１０２）はICカードが動的カードIDを生成するためのキーとなる派生データを生成する。派生データは乱数などのランダムデータをベースとするが、データの完全性や秘匿性を保持するために、ICカードと共有する共有鍵により暗号化処理を行って外部に送信する。動的カードID検証処理部（１０３）は外部からの要求に応じて動的カードIDを元のカードIDに復号化し応答する。復号化処理を行うためには、対応する派生データが必要となる。また、要求を行う外部に元のカードIDを知る権限があるかどうかの正当性検証を行う必要もある。
【００１９】
符号１２１は業務運用サーバであり、動的カードID検証要求処理部（１２２）と業務処理部（１２３）を有する。動的カードID検証要求処理部（１２２）は業務加盟店端末から受信した動的カードIDと対応する派生データをID動的付番サーバ（１０１）に送信し、元のカードIDの復号化を要求する。復号化された後はカードIDと業務関連データを対応づけて業務処理部（１２３）に処理を転送する。業務処理部（１２３）は従来と同様にクレジット決済業務などのICカードを用いた業務を行う。
【００２０】
符号１３１は業務加盟店端末であり、各店舗に設置され、業務を実行する際にICカードに直接アクセスしデータのやり取りをする端末である。ICカード認証処理部（１３２）と動的カードID振出要求処理部（１３３）と業務処理部（１３４）を有する。ICカード認証処理部（１３２）がまずICカードにアクセスし、ID動的付番サーバ証明書（１１２）を取得して、ID動的付番サーバ（１０１）を特定する。次に動的カードID振出要求処理部（１３３）がID動的付番サーバ（１０１）に派生データを要求し、受信したデータをICカードに送信する。最後に業務処理部（１３４）が各業務の実行に必要な業務関連データを用意し、ICカードから受信した動的カードIDと対応付けて業務運用サーバ（１２１）に送信する。
【００２１】
業務加盟店端末と業務運用サーバ、ID動的付番サーバ間は公衆網などのネットワークあるいは専用線によるネットワークにより情報のやり取りを実現する。業務加盟店端末とICカード間は、業務加盟店端末に備えられたICカードリーダ・ライタ（R/W）などを用いて直接データのやり取りを実現する。
【００２２】
また、上述のID動的付番サーバ（１０１）、業務運用サーバ（１２１）と業務加盟店端末（１３１）は、各々の処理部（１０２、１０３、１２２，１２３、１３２，１３３，１３４）に、動的カードID生成機能や業務処理機能を有している。これらの各処理機能は、コンピュータ・プログラムとして実現され、動作する。ICカード（１１０）内のカードID送信処理部（１１３）もコンピュータ・プログラムとして実現されることが多いが、一部ICカードではファイルシステムとして実現する場合もある。ID動的付番サーバ証明書（１１２）はいわゆる電子的な証明書でありデータとしてICカード内に存在する。
【００２３】
次に本発明の実施例の提案方式によりICカード識別番号を動的に生成する場合の大まかな手順を説明する。
まず前処理として、ICカードには発行時などにID動的付番サーバ証明書（１１２）を設定する。この証明書はID動的付番サーバ（１０１）を特定する情報を有している。また、ID動的付番サーバ（１０１）とICカード間で共有鍵を共有しておく。
【００２４】
次に提案方式の処理を開始する。始めに派生データ生成処理を説明する。まず、業務加盟店端末（１３１）はICカード認証処理部（１３２）を用いてICカード（１１０）にアクセスしID動的付番サーバ証明書（１１２）を抽出する（１５１）。次に業務加盟店端末（１３１）は動的カードID振出要求処理部（１３３）を用いて、上記証明書が特定したID動的付番サーバに派生データ生成を要求する（１５２）。ID動的付番サーバ（１０１）は派生データ生成処理部（１０２）を用いて、乱数などのランダムデータを、ICカードと共有している共有鍵で暗号化し、派生データとして業務加盟店端末に送信する（１５２）。
【００２５】
次に動的カードID生成処理に移る。業務加盟店端末（１３１）は動的カードID振出要求処理部（１３３）を用いて、上記派生データをICカードに（１１０）送信し、対応する動的カードIDを要求する（１５３）。ICカード（１１０）は動的カードID生成処理部（１１３）を用いて共有鍵で派生データを復号化し、これを基に共有鍵からセッション鍵を派生させる。ICカード（１１０）は、カードIDをこのセッション鍵で暗号化することで動的カードIDを生成し、業務加盟店端末に応答する（１５４）。
【００２６】
最後に動的カードID検証処理に移る。業務加盟店端末（１３１）は業務処理部（１３４）を用いて、受信した動的カードIDと派生データと業務に関連するデータを対応付けて業務運用サーバに送信する（１５５）。業務運用サーバ（１２１）は動的カードID検証要求処理部（１２２）を用いて、動的カードIDと派生データをID動的付番サーバ（１０１）に送信しカードIDの復号化を要求する（１５６）。ID動的付番サーバ（１０１）は動的カードID検証処理部（１０３）を用いて、派生データを共有鍵で復号化し、その値を基に共有鍵からセッション鍵を生成する。このセッション鍵を用いて動的カードIDを復号化し元のカードIDを抽出し、業務運用サーバ（１２１）に送信する（１５６）。業務運用サーバ（１２１）は受信したカードIDと業務関連データを対応付け、業務処理部（１２３）にて業務処理を進める。
【００２７】
以上が本発明に係わるシステムの基本構成と処理である。次にシステムの各構成要素について説明を行う。
図3はICカード・システムの例の概要を示す図である。ICカード１１０の中には
チップ３０２があって、リーダライタ（もしくはリーダライタを有する端末）３０３とデータのやりとりを行う例を示している。リーダライタの中にはコントロール・プロセッサ３０４やデータベースとなる磁気ディスク３０５などが存在する。ICカード１１０には、通例通り、例えば、Vcc（供給電源）、GND（グランド）、RST（リセット）、I/O（入出力）、及びCLK（クロック）などの諸端子が示されている。また、図中、符号３０６はリーダライタ３０３からICカード１１０に対しての、例えばカードIDなどの各種問合せを示す。符号３０７はICカードが前述の問合せに対して行った返答を示す。こうした、諸情報の伝達は通例のシステムで十分である。
【００２８】
なお、ICカード内のICチップにおいて、具体的には前述のアプリケーションはメモリ領域に搭載される。一般に、メモリとしては、RAM（Random Access Memory）、EEPROM（Electrical Erasable Programmable Read Only Memory）あるいはROM（Read Only Memory）などが用いられる。
【００２９】
次に図4にこのようなICカード（１１０）内に搭載されているIC内部の基本的な
領域の論理的な構成を示す。当該ICは、通例のマイクロ・コンピュータと同様に、ハードウェア層（４０３）とOSが搭載される領域、即ちOS層（４０２）とアプリケーションが搭載される領域、即ちアプリケーション層（４０１）とを有する。ここで、マルチアプリケーション搭載可能とは、アプリケーション層（４０１）に複数のアプリケーション（４０４−４０６）が搭載できるということである。また、アプリケーションの初期搭載とはこのアプリケーション（４０４−４０６）をICカード発行時に既に搭載された状態で利用申請者のもとに配布することであり、ダイナミックローディング可能とはこのアプリケーション（４０４−４０６）をカード発行後に、搭載あるいは削除が可能であることを示す。OS層（４０２）は通信処理部（４０７）、インタープリタ（４０８）、セキュリティ機構（４０９）などを有し、外部端末からのコマンド受信やアプリケーションのコマンド転送などを行っている。当然、アプリケーション層（４０１）とOS層（４０２）との間にはアプリケーション・インターフェイス、OS層（４０２）とハードウェア層（４０３）との間にはハードウェア・インターフェイスが設置されている。
【００３０】
次に本発明の実施例に係わる、ICカード識別番号動的生成処理の具体的方法を説明する。まず図5のシーケンスを用いて派生データ生成処理、動的カードID生成処理、動的カードID検証処理を説明する。まず業務加盟店端末（５０１）がICカード（５０２）にカード認証要求を行う（ステップ５１１）。ICカードはID動的付番サーバ証明書を応答する（ステップ５１２）。業務加盟店端末は証明書を分析し対応するID動的付番サーバ（５０３）を特定し、派生データを要求する（ステップ５１３）。ID動的付番サーバはICカードに対応する暗号化処理を行い、派生データを生成し送信する（ステップ５１４）。業務加盟店端末はこの派生データをICカードに送信し動的カードID生成を要求する（ステップ５１５）。ICカードは派生データを基に動的カードIDを生成し応答する（ステップ５１６）。業務加盟店端末は動的カードIDと派生データ、そして関連する業務データを合わせて業務運用サーバ（５０４）に送付する（ステップ５１７）。業務運用サーバは動的カードIDの検証をID動的付番サーバに要求する（ステップ５１８）。ID動的付番サーバは動的カードIDの復号化処理を行い元のカードIDを抽出し送付する（ステップ５１９）。以降は業務運用サーバが従来の業務処理を続行する。
【００３１】
以上で説明した本発明の実施例におけるICカード識別番号動的生成方法の詳細について、業務加盟店端末、ICカード、ID動的付番サーバ、そして業務運用サーバのそれぞれの動作フローチャート（図６〜図13）を用いて説明する。これらは図5のシーケンスを詳細化したものである。図６〜図8は本発明の実施例における業務加盟店端末の動作フローチャートである。
【００３２】
まず図6において業務加盟店端末のICカード認証処理について説明する。業務加盟店端末はICカードにアクセスしてID動的付番サーバ証明書を取得する（ステップ６０１）。次に証明書の正当性を検証する（ステップ６０２）。証明書が失効している場合など正当性を検証できない場合は処理を中止する（ステップ６０４）。正当性を検証できた場合は、証明書を分析し対応するID動的付番サーバを特定する（ステップ６０３）。
【００３３】
次に図7において業務加盟店端末の動的カードID振出要求処理について説明する。業務加盟店端末は、ID動的付番サーバにアクセスし、業務処理を行う対象のICカードに対応する派生データを要求する（ステップ７０１）。対応する派生データが受信できない場合は処理を中止する（ステップ７０４）。対応する派生データを受信できた場合、この派生データをICカードに送信し動的カードIDの生成を要求する（ステップ７０３）。
【００３４】
次に図8において業務加盟店端末の業務処理について説明する。業務加盟店端末はICカードから毎回異なる値である動的カードIDを受信する（ステップ８０１）。次に、この動的カードIDを生成するためにICカードに送信した派生データと、業務処理を進めるために必要な関連データを用意する（ステップ８０２）。動的カードID、派生データ、そして業務関連データを合わせて業務運用サーバに送信する（ステップ８０３）。
【００３５】
図9は本発明の実施例におけるICカードの動作フローチャートである。ICカード内で実施される動的カードID生成処理について説明する。ICカードは業務加盟店端末から動的カードIDを生成するために必要な派生データを受信する（ステップ９０１）。次に派生データを生成したID動的付番サーバと、ICカードの間で共有している共有鍵（Kaと呼ぶ）を用いて派生データを復号化処理しランダムデータをとりだす（ステップ９０２）。対応する共有鍵Kaが存在しないなどの理由で、この復号化処理に失敗した場合は処理を中止する（ステップ９０６）。復号化処理に成功した場合、取り出したランダムデータを用いて共有鍵Kaを派生してセッション鍵（Ksと呼ぶ）を生成する（ステップ９０４）。次にカードIDをセッション鍵Ksで暗号化し動的カードIDとして業務加盟店端末に送信する（ステップ９０５）。
【００３６】
図10〜図11は本発明の実施例におけるID動的付番サーバの動作フローチャートである。
まず図10においてID動的付番サーバの派生データ生成処理について説明する。ID動的付番サーバは業務加盟店端末からの派生データ要求を受付ける（ステップ１００１）。次に乱数などのランダムデータを生成する（ステップ１００２）。そしてICカードとID動的付番サーバの間で予め共有している共有鍵Kaを検索する（ステップ１００３）。対応する共有鍵Kaが存在しない場合、処理を中止する（ステップ１００６）。共有鍵Kaが存在する場合、上記ランダムデータを共有鍵Kaで暗号化し、派生データとして業務加盟店端末に送信する（ステップ１００５）。
【００３７】
次に図11においてID動的付番サーバの動的ID検証処理について説明する。ID動的付番サーバは業務運用サーバから動的カードID検証要求を受付け、動的カードIDと派生データを受信する（ステップ１１０１）。共有鍵Kaを用いて派生データを復号化しランダムデータを取り出す（ステップ１１０２）。対応する共有鍵Kaが存在しないなどの理由で、この復号化処理に失敗した場合は処理を中止する（ステップ１１０６）。復号化処理に成功した場合、取り出したランダムデータを用いて共有鍵Kaを派生してセッション鍵Ksを生成する（ステップ１１０４）。動的カードIDを生成したセッション鍵Ksを用いて復号化し元のカードIDを取り出し、業務運用サーバに送信する（ステップ１１０５）。
【００３８】
図12〜図13は本発明の実施例における業務運用サーバの動作フローチャートである。
まず図12において業務運用サーバの動的カードID検証要求処理について説明する。業務運用サーバは業務加盟店端末から動的カードID、派生データ、そして業務関連データを受信する（ステップ１２０１）。動的カードIDと派生データをID動的付番サーバに送信し動的カードIDの検証を要求する（ステップ１２０２）。ID動的付番サーバから元のカードIDが送信されなかった場合、処理を中止する（ステップ１２０６）。ID動的付番サーバから元のカードIDが送信されてきた場合（ステップ１２０４）、このカードIDと業務関連データを対応づけて、業務処理部に送信する（ステップ１２０５）。
【００３９】
次に図13において業務運用サーバの業務処理について説明する。業務運用サーバは動的ID検証要求処理部からカードIDと対応づけられた業務関連データを受信する（ステップ１３０１）。必要な業務処理を行う（ステップ１３０２）。本処理は、基本的に従来の業務運用サーバで行っていた処理とほぼ同じである。
以上が本発明の実施の形態である。ICカードには接触型ICカード、非接触型ICカードなどがあるが、本発明の実施例ではこうしたICカードの構成自体によらず適用することが可能である。ただし、ICカードにはデータの暗号化・復号化処理及び鍵の派生処理を行う機能を有する必要がある。
【００４０】
以上の処理の流れをまとめて、鍵の暗号化・復号化なども合わせた図が図14である。共有鍵KaはID動的付番サーバとICカードの間で予め共有されている鍵であるが、もしID動的付番サーバが1枚のICカードに対して1つの共有鍵を割り当てている場合は、この共有鍵をキーに取引内容の追跡をされるというセキュリティ上の脅威がある。そのため、ID動的付番サーバは複数のICカードと同じ共有鍵を共有していることが望ましく、ID動的付番サーバが関連する全てのICカードに同一の鍵が設定されていてもよい。
【００４１】
また、ID動的付番サーバは乱数を基に派生データを生成し業務加盟店端末を通してICカードに送信するが、派生データの代わりに直接セッション鍵Ksを渡してもよい。その場合、ICカード内でセッション鍵を生成する処理は必要ない。ただし、セッション鍵KsをID動的付番サーバからICカードに送信する間は、暗号処理などによりデータの秘匿性・完全性を保持する必要がある。
【００４２】
ID動的付番サーバは業務運用サーバからの要求に応えて元のカードIDを送信するが誰からの要求にも応えていては、カードIDを暗号化した意味がない。ID動的付番サーバはサーバ間認証や公開鍵証明書の検証、契約関係の有無などの運用上の制約などを基に業務運用サーバがカードIDを復元する権限があるかを確認しなければならない。
また、本発明の実施例における暗号化や復号化のアルゴリズムや鍵の派生方式は特定しない。
【００４３】
以上説明したように、本発明の実施例によれば次のようなことが可能である。
（１）ICカードは外部からのアクセスに対して毎回異なる値をカードIDとして応答する。これにより、カードIDによる対応付けで利用者の取引内容履歴を追跡することが不可能となり、セキュリティ上の脅威が軽減する。
（２）また、上記（１）でICカードがランダムにカードIDを応答しているだけでは、業務サーバ側がICカードを認識することができなくなる。業務サーバが業務関連データを安全に受信した後は、対象がどのICカードなのかを同定できなくてはならない。本発明の実施例によれば、動的に変更されたカードIDはID動的付番サーバが生成した派生データを基に生成されている値であるため、ID動的付番サーバは動的カードIDから元のカードIDを復元することが可能である。業務サーバはID動的付番サーバに依頼して元のカードIDを取り出し、その後の業務処理を従来通りカードIDをキーとして進めることが可能である。
（３）業務運用サーバは動的カードIDの検証要求を行う際、動的カードIDと派生データのみをID動的付番サーバに送信し、業務関連データは外部に出さない。そのため、ID動的付番サーバはカードIDを復号化する機能を有するが業務データに関知しないため、利用者の取引内容などの情報がID動的付番サーバに知られることがない。
【００４４】
以上の説明では、主として本発明者によってなされた発明をその背景となった技術分野であるＩＣカードに適用した場合について説明したがそれに限定されるものはなく、例えば本発明のＩＣカードと同様の機能を持つＰＤＡ等の携帯端末、携帯電話などでも代用できる。
【図面の簡単な説明】
【００４５】
【図１】本発明の実施形態に係るICカード識別番号動的生成方法を実施するICカードシステム構成を示す図。
【図２】本発明の実施形態に係わる従来システム構成を示す図。
【図３】カードシステムの概要を示す図。
【図４】ICカードの基本構成を示す図。
【図５】ICカードが、ICカード識別番号を動的に毎回異なる値に変更し外部に応答し、権限のあるID動的付番サーバでのみ元のカードIDを復元するための本発明に係るシーケンスを示す図。
【図６】業務加盟店端末が、ICカードからID動的付番サーバ証明書を取り出し、ID動的付番サーバを同定するための本発明に係るシーケンスを示す図。
【図７】業務加盟店端末が、ID動的付番サーバに派生データ生成を要求し、派生データ取得しICカードに送信するための本発明に係るシーケンスを示す図。
【図８】業務加盟店端末が、ICカードから動的カードIDを受信し、派生データた業務関連データを合わせて業務運用サーバに送信するための本発明に係るシーケンスを示す図。
【図９】ICカードが、業務加盟店端末から派生データを受信し、動的カードIDを生成し業務加盟店端末に送信するための本発明に係るシーケンスを示す図。
【図１０】ID動的付番サーバが、業務加盟店端末から派生データ生成要求を受け付け、派生データを生成し、送信するための本発明に係るシーケンスを示す図。
【図１１】ID動的付番サーバが、業務運用サーバから動的カードID検証要求を受け付け、元のカードIDを復号化し、送信するための本発明に係るシーケンスを示す図。
【図１２】業務運用サーバが、業務加盟店端末から受信したデータを元に、ID動的付番サーバに動的カードID検証を要求し、元のカードIDを取得するための本発明に係わるシーケンスを示す図。
【図１３】業務運用サーバが、ID動的付番サーバから受信したカードIDをと、業務に関連するデータを合わせて処理を進めるための本発明に係わるシーケンスを示す図。
【図１４】本発明の処理内容を詳細に示した図である。
【符号の説明】
【００４６】
１０１：  ID動的付番サーバ
１０２：  派生データ生成処理部
１０３：  動的カードID検証処理部
１１０：  ICカード
１１２：  ID動的付番サーバ証明書
１１３：  動的カードID生成処理部
１１４：  カードID送信処理部
１２１：  業務運用サーバ
１２２：  動的カードID検証要求処理部
１２３：  業務処理部
１３１：  業務加盟店端末
１３２：  ICカード認証処理部
１３３：  動的カードID振出要求処理部
１３４：  業務処理部
１３５：  カードID送信要求処理部
１５１：  ICカード認証処理
１５２：  派生データ生成要求処理
１５３：  動的カードID要求処理
１５４：  動的カードID応答処理
１５５：  業務データ送信処理
１５６：  動的カードID検証要求処理
１５７：  業務データ送信処理
２０１：  カードID要求処理
２０２：  カードID応答処理
２０３：  業務データ送信処理
３０２：  ICチップ
３０３：  ICカード処理端末
３０４：  ICカードシステム処理部
３０５：  ICカードシステムデータベース
３０６：  ICカードコマンド要求
３０７：  ICカードコマンド応答
４０１：  アプリケーション層
４０２：  OS層
４０３：  ハードウェア層
４０４、４０５、４０６：  ICカードアプリケーション
４０７：  通信処理部
４０８：  インタープリタ
４０９：  セキュリティ機構
５０１：  業務加盟店端末
５０２：  ICカード
５０３：  ID動的付番サーバ
５０４：  業務運用サーバ。
【図１】
2006031640.tif 000003
【図２】
2006031640.tif 000004
【図３】
2006031640.tif 000005
【図４】
2006031640.tif 000006
【図５】
2006031640.tif 000007
【図６】
2006031640.tif 000008
【図７】
2006031640.tif 000009
【図８】
2006031640.tif 000010
【図９】
2006031640.tif 000011
【図１０】
2006031640.tif 000012
【図１１】
2006031640.tif 000013
【図１２】
2006031640.tif 000014
【図１３】
2006031640.tif 000015
【図１４】
2006031640.tif 000016