(57)【要約】【課題】端末装置の設計コストや装置コストを抑制しつつ安全性を向上させることができる端末装置を提供する。【解決手段】相互に通信する第１機能部と第２機能部との間に接続可能なセキュアエレメントであって、前記第１機能部から前記第２機能部に対して通知する通知データを取得する取得部と、前記取得部により取得されたデータの正当性を検証する検証部と、前記検証部により検証された検証結果に基づいて、前記通知データが正当であると判定される場合には前記通知データを前記第２機能部に対して出力し、前記通知データが正当でないと判定される場合には前記通知データを破棄するデータ処理部とを有する。【選択図】図１
2019097034.tif 000002
【特許請求の範囲】
【請求項１】
相互に通信する第１機能部と第２機能部との間に接続可能なセキュアエレメントであって、
前記第１機能部から前記第２機能部に対して通知する通知データを取得する取得部と、
前記取得部により取得されたデータの正当性を検証する検証部と、
前記検証部により検証された検証結果に基づいて、前記通知データが正当であると判定される場合には前記通知データを前記第２機能部に対して出力し、前記通知データが正当でないと判定される場合には前記通知データを破棄するデータ処理部と
を有することを特徴とするセキュアエレメント。
【請求項２】
外部装置と相互に通信可能な端末装置の通信モジュールと制御チップとの間に接続可能なセキュアエレメントであって、
前記取得部は、前記外部装置から前記端末装置に送信された受信データを前記通知データとして取得する
ことを特徴とする請求項１に記載のセキュアエレメント。
【請求項３】
前記検証部は、前記取得部により取得されたデータのハッシュ値、電子署名、及びメッセージ認証のうち少なくとも一つを算出する前記データが正当であるか否かを判定する
を更に備えることを特徴とする請求項１又は請求項２に記載のセキュアエレメント。
【請求項４】
前記検証部は、前記受信データに前記外部装置からの相互認証の要求を示すデータが含まれる場合、前記外部装置との間で相互認証を行い、前記外部装置が正当であるか否かを判定する
ことを特徴とする請求項２に記載のセキュアエレメント。
【請求項５】
前記検証部は、前記相互認証の認証結果により前記外部装置が正当でないと判定した場合、前記制御チップに対して判定結果を出力する
ことを特徴とする請求項４に記載のセキュアエレメント。
【請求項６】
前記検証部は、前記相互認証の認証結果により前記外部装置が正当であると判定した場合、前記受信データのうち、前記正当であると判定した前記外部装置から送信されたデータについて、その正当性を検証することなく前記制御チップに出力する
ことを特徴とする請求項４又は請求項５に記載のセキュアエレメント。
【請求項７】
前記検証部は、前記受信データに、データの正当性の検証を要求するデータが含まれていた場合、前記外部装置が正当であると判定したか否かに関わらず、前記受信データの正当性を検証し、前記受信データが正当であると判定した場合に前記受信データを前記制御チップに出力する
ことを特徴とする請求項６に記載のセキュアエレメント。
【請求項８】
外部装置と相互に通信可能な端末装置であって、
請求項１から請求項７のいずれかに記載のセキュアエレメントと、
前記セキュアエレメントに対してデータを出力し、前記セキュアエレメントにより正当であると判定された前記データを前記セキュアエレメントから取得する制御チップと、
を備えることを特徴とする端末装置。
【請求項９】
前記端末装置は、通信ネットワークを介して前記外部装置と相互に通信する
ことを特徴とする請求項８に記載の端末装置。
【請求項１０】
請求項８又は請求項９に記載の端末装置と、
前記端末装置に対し、前記端末装置との相互認証を要求するデータ、又は前記端末装置が受信した受信データの正当性を検証させるか否かを命令するデータの少なくとも一方を含むデータを送信する外部装置と
を備えることを特徴とする検証システム。
【請求項１１】
前記外部装置は、通信ネットワークを介して前記端末装置にデータを送信する
ことを特徴とする請求項１０に記載の検証システム。
【請求項１２】
相互に通信する第１機能部と第２機能部との間に接続可能なセキュアエレメントの検証方法であって、
取得部が、前記第１機能部から前記第２機能部に対して通知する通知データを取得する取得工程と、
検証部が、前記取得工程により取得されたデータの正当性を検証する検証工程と、
データ処理部が、前記検証工程により検証された検証結果に基づいて、前記通知データが正当であると判定される場合には前記通知データを前記第２機能部に対して出力し、前記通知データが正当でないと判定される場合には前記通知データを破棄する工程と
を有する検証方法。
【請求項１３】
相互に通信する第１機能部と第２機能部との間に接続可能なセキュアエレメントのコンピュータに、
前記第１機能部から前記第２機能部に対して通知する通知データを取得する取得工程と、
前記取得工程により取得されたデータの正当性を検証する検証工程と、
前記検証工程により検証された検証結果に基づいて、前記通知データが正当であると判定される場合には前記通知データを前記第２機能部に対して出力し、前記通知データが正当でないと判定される場合には前記通知データを破棄する工程と
を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュアエレメント、端末装置、検証システム、検証方法、及びプログラムに関する。
【背景技術】
【０００２】
近年、センサなどを様々な場所に設置して、それぞれの場所の環境データや撮像データを取得するシステムが普及している。このようなシステムでは、端末装置からサーバ装置に対してデータが送信され、サーバ装置から端末装置に対して制御データが送信される。これらのデータの送受信がネットワークを介して行われる場合、悪意ある攻撃者がサーバ装置になりすまして端末装置からのセンシングデータを不正に取得したり、端末装置に対して不正な制御データを送信したりすることが起こり得る。このような不正を抑制するため、受信したデータを端末装置が検証する技術が開示されている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第６１８３６２９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、このようなシステムでは、端末装置のＣＰＵ（Central Processing Unit）は主にセンサを制御することを想定して設計されており、受信データを検証する処理能力を備えていない場合がほとんどである。このような場合に、端末装置に受信データを検証させようとすると、端末装置のＣＰＵを高い処理能力を有するものにして設計し直したり、メモリを増設したりする必要があり端末装置の設計コストや装置コストが増大してしまう。
【０００５】
本発明は、このような状況に鑑みてなされたもので、その目的は、端末装置の設計コストや装置コストを抑制しつつ安全性を向上させることができるセキュアエレメント、端末装置、検証システム、検証方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【０００６】
上述した課題を解決するために、本発明の一態様は、相互に通信する第１機能部と第２機能部との間に接続可能なセキュアエレメントであって、前記第１機能部から前記第２機能部に対して通知する通知データを取得する取得部と、前記取得部により取得されたデータの正当性を検証する検証部と、前記検証部により検証された検証結果に基づいて、前記通知データが正当であると判定される場合には前記通知データを前記第２機能部に対して出力し、前記通知データが正当でないと判定される場合には前記通知データを破棄するデータ処理部とを有することを特徴とする。
【発明の効果】
【０００７】
本発明によれば、端末装置の設計コストや装置コストを抑制しつつ安全性を向上させることができる。
【図面の簡単な説明】
【０００８】
【図１】第１の実施形態の検証システム１の構成例を示すシステム構成図である。
【図２】第１の実施形態のセキュアエレメント４０の構成例を示すプロック図である。
【図３】第１の実施形態のセキュアエレメント４０のレイヤ構成例を示す図である。
【図４】第１の実施形態のＳＥ４０の動作例を示すフローチャートである。
【図５】第１の実施形態のＳＥ４０の受信データ取得処理の動作例を示すフローチャートである。
【図６】第１の実施形態のＳＥ４０の受信データ検証処理の動作例を示すフローチャートである。
【図７】第１の実施形態のＳＥ４０の受信データ処理の動作例を示すフローチャートである。
【図８】第１の実施形態の検証システム１の動作例を示すシーケンスチャートである。
【図９】第１の実施形態の検証システム１の比較例として検証機能を有しないシステムの動作例を示すシーケンスチャートである。
【図１０】第２の実施形態のＳＥ４０Ａの機能構成例を示すプロック図である。
【図１１】第２の実施形態のＳＥ４０Ａの動作例を示すフローチャートである。
【図１２】第２の実施形態のＳＥ４０Ａの相互認証の処理の動作例を示すフローチャートである。
【図１３】第２の実施形態の検証システム１Ａの動作例を示すシーケンスチャートである。
【図１４】第２の実施形態の検証システム１Ａの検証を再開させる動作例を示すシーケンスチャートである。
【発明を実施するための形態】
【０００９】
以下、実施形態のセキュアエレメント、端末装置、検証システム、検証方法、及びプログラムを、図面を参照して説明する。
【００１０】
＜第１の実施形態＞
まず、第１の実施形態について説明する。
【００１１】
図１は、第１の実施形態の検証システム１の構成例を示すシステム構成図である。検証システム１は、例えば、サーバ装置１０と端末装置３０とを備える。サーバ装置１０と端末装置３０とは、通信ネットワーク２０を介して互いに通信可能に接続される。端末装置３０には検証機能を有するＩＣチップ（以下、ＳＥ（セキュアエレメント、Secure Element）という）ＳＥ４０が接続される。検証システム１では、端末装置３０が送受信するデータの正当性をＳＥ４０により検証させることで、悪意ある不正なデータを排除し端末装置３０の安全性を維持する。なお、ＳＥ４０は、ＳＥ４０が組み込まれたＩＣカードと端末装置３０とが着脱可能に接続されることにより、端末装置３０と接続されていてもよい。ここで、サーバ装置１０は、「外部装置」の一例である。
【００１２】
サーバ装置１０は、端末装置３０から送信されたデータを蓄積する。サーバ装置１０は、蓄積したデータに基づいて様々なサービスをユーザに提供する。また、サーバ装置１０は、端末装置３０に対して端末装置３０の各機能部を制御する制御データを送信する。
サーバ装置１０は単数あるいは複数のクラウドサーバであってもよい。サーバ装置１０が複数のクラウドサーバである場合、例えば、サーバ装置１０はネットワーク上に設けられた複数のクラウドサーバを互いに連携させることにより実現される。
【００１３】
端末装置３０は、通信ネットワーク２０を介してデータを送信するＩｏＴ（Internet of Things）機器である。端末装置３０は、例えば端末装置３０が設けられた場所の周囲の映像を撮像してサーバ装置１０に撮像データを送信するネットワークカメラである。
以下の説明において、端末装置３０がネットワークカメラである場合を例示して説明するが、これに限定されることはない。端末装置３０は、端末装置３０が設けられた場所の温度や湿度などの環境データを取得するネットワークセンサであってもよいし、今いる場所の位置データを通知する携帯端末等であってもよい。端末装置３０は、ネットワークを介してエアコンなどの電化製品の稼働の状況をユーザに通知したり、ユーザの操作により電化製品を起動又は停止させたりするスマート家電等であってもよい。
【００１４】
端末装置３０は、例えば通信モジュール３１と制御チップ３２とセンサモジュール３４（センサモジュール３４−１、３４−２、…３４−Ｎ）（但し、Ｎは任意の自然数）とを備える。制御チップ３２とセンサモジュール３４の各々との間は、例えばシリアル通信によりデータの授受が行われる。シリアル通信には、例えばＵＡＲＴ（Universal Asynchronous Receiver/Transmitter）、ＳＰＩ（Serial Peripheral Interface）、Ｉ２Ｃ（I-squared-C、Inter-Integrated Circuit）等が用いられる。
【００１５】
通信モジュール３１は、例えばネットワーク通信モジュールである。
通信モジュール３１は、サーバ装置１０、その他の通信装置により端末装置３０に対して送信されたデータを、通信ネットワーク２０を介して受信する。通信モジュール３１は、受信したデータを、ＳＥ４０に出力する。
また、通信モジュール３１は、センサモジュール３４により検知されたセンシングデータを、制御チップ３２を介して取得し、取得したセンシングデータをサーバ装置１０に送信する。
【００１６】
制御チップ３２は、センサモジュール３４を制御する。
制御チップ３２は、ＳＥ４０から、検証済みの正当なデータを取得する。制御チップ３２は、ＳＥ４０から取得したデータに基づいて、複数のセンサモジュール３４のうち何れのセンサモジュール３４でセンシングさせるか、あるいは何れの時間間隔によりセンシングさせるか等を制御する。
また、制御チップ３２は、センサモジュール３４の各々により検知されたセンシングデータを、センサモジュール３４の各々から取得する。制御チップ３２は取得したセンシングデータを、通信モジュール３１を介してサーバ装置１０に送信する。
【００１７】
センサモジュール３４は、例えば撮像機能を備えた撮像モジュールである。この場合、センサモジュール３４は、周囲の光景を撮像し、撮像データを制御チップに出力する。また、センサモジュール３４は、温度や湿度を検知する環境センサであってもよい。この場合、センサモジュール３４は、周囲の温度や湿度を取得し、取得したデータを制御チップに出力する。
また、センサモジュール３４は周囲の状況を取得するだけでなく、周囲に対し出力する機能を備えていてもよい。センサモジュール３４は例えば、画像を表示するディスプレイ、音を出力するスピーカ等であってもよい。また、端末装置３０がスマート家電である場合には、センサモジュール３４は、制御チップ３２の指示により家電を起動又は停止させたり、あるいは稼働状況を変更させたりする信号を出力してもよい。
【００１８】
ＳＥ４０は、例えば、検証機能又は暗号化機能を備える検証チップである。ＳＥ４０は、例えば、セキュアＩＣチップ、セキュアチップ、セキュアＩＣ等と称される。ＳＥ４０は、外部からの悪意ある攻撃から情報を守る堅牢な構造を持ち耐タンパ性を備えてもよい。ただし、ＳＥ４０は、検証機能又は暗号化機能を有していればよく、耐タンパ性を備えたセキュアＩＣチップに限定されることはない。例えば、ＳＥ４０は、暗号ライブラリを備えたＩＣチップであってもよい。
また、ＳＥ４０は、例えばプラスチック等のカード機材に、ＳＥ４０が実装されたＩＣカード、又はＳＩＭカード（Subscriber Identity Module Card）であってもよい。この場合、ＳＥ４０は、ＩＣカード、又はＳＩＭカードのコンタクト部を介して端末装置３０と通信を行う。コンタクト部は、ＩＣカード又はＳＩＭカードが動作するために必要な各種信号の端子を有している。各種信号の端子は、端末装置３０から電源電圧、クロック信号、リセット信号の供給を受ける端子、及び端末装置３０と通信を行うシリアルデ―タ入出力端子である。
【００１９】
図２は、第１の実施形態のＳＥ４０の構成例を示すプロック図である。ＳＥ４０は、通信部４００と制御部４１０と記憶部４２０とを備える。図２に示す各部は、ＳＥ４０のハードウェアを用いて実現される。
ＳＥ４０のハードウェアは、例えば、ＵＡＲＴ（Universal Asynchronous Receiver Transmitter）、ＣＰＵ、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、及びＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）の各構成を備え、各構成は、内部バスを介して接続されている。
【００２０】
通信部４００は、例えば、ＵＡＲＴと、ＣＰＵと、ＲＯＭに記憶されているプログラムとにより実現され、端末装置３０の間で通信を行う。通信部４００は、コマンドを端末装置３０から受信するとともに、コマンドに対するレスポンスを端末装置３０に送信する。通信部４００は、端末装置３０から受信した受信データを記憶部４２０に記憶させる。また、通信部４００は、記憶部４２０に記憶されている送信データを、端末装置３０に送信する。
【００２１】
制御部４１０は、例えば、ＣＰＵと、ＲＡＭと、ＲＯＭ又はＥＥＰＲＯＭとにより実現され、ＳＥ４０を統括的に制御する。制御部４１０は、コマンド処理部４１１と、取得部４１２と、検証部４１３と、データ処理部４１４とを備える。
コマンド処理部４１１は、端末装置３０の受信データに含まれるコマンドを解釈し、ＳＥ４０における種々の処理に対応する各部の制御を行う。
取得部４１２は端末装置３０の受信データを取得する。取得部４１２は取得した受信データを検証部４１３に出力する。
【００２２】
検証部４１３は、受信データの正当性を検証する。検証部４１３は、サーバ装置１０から端末装置３０に対して送信されたデータが、端末装置３０により受信されるまでに改ざんされていない場合に受信データが正当であると判定する。検証部４１３は、端末装置３０により受信されたデータが、サーバ装置１０等の通信先として想定された装置からのデータである場合に受信データが正当であると判定する。
検証部４１３は、例えば一方向性のハッシュ関数（ＭＤ５、ＳＨＡ１、ＳＨＡ２等）や、共通鍵、公開鍵等の暗号鍵などを用いて受信データの正当性を検証する。検証部４１３は、受信データの正当性を検証した検証結果をデータ処理部４１４に出力する。
なお、検証部４１３は、受信データの正当性を検証すればよく、上述したハッシュ関数の他、電子署名、及びメッセージ認証などを算出することにより受信データの正当性を検証してもよい。検証部４１３が電子署名、及びメッセージ認証を用いて受信データの正当性を検証する場合、検証部４１３は、受信データから電子署名、及びメッセージ認証を算出し、算出した値と、端末装置３０により付加（付随）される電子署名、及びメッセージ認証に相当する値とを、比較、検証することにより、受信データが正当であるか否かを検証する。
データ処理部４１４は、検証部４１３の検証結果に基づいて受信データを処理する。データ処理部４１４は、受信データが正当であると判定された場合には受信データを制御チップ３２に出力する。受信データが正当でないと判定された場合には受信データを破棄する。
【００２３】
記憶部４２０は、例えば、ＥＥＰＲＯＭにより構成された記憶部であり、制御部４１０が動作するための基本のプログラムを記憶する。記憶部４２０は、検証の処理に必要な各種のプログラムを記憶する。記憶部４２０は、制御部４１０が動作するために一時的に使用するワークエリアとしての記憶領域を備える。記憶部４２０は、受信データ記憶部４２１と、検証情報記憶部４２２と、送信データ記憶部４２３とを備える。受信データ記憶部４２１は、ＳＥ４０により受信されたデータを記憶する。検証情報記憶部４２２は、ハッシュ値、共通鍵、公開鍵等の暗号鍵など検証の処理で用いる情報を記憶する。送信データ記憶部４２３は、ＳＥ４０から送信されるデータが記憶される。
【００２４】
図３は、第１の実施形態のＳＥ４０のレイヤ構成例を示す図である。図３に示すように、ＳＥ４０は、アプリケーションレイヤ４５０と、ソフトウェア制御レイヤ４６０と、ハードウェア制御レイヤ４７０とに分類される。
アプリケーションレイヤ４５０には、ＳＥ４０の検証機能部（取得部４１２、検証部４１３、及びデータ処理部４１４）に相当する通信データ検証アプリ４５１、ＳＥ４０のその他の機能を実現する、その他のアプリ４５２が実装される。
ソフトウェア制御レイヤ４６０には、アプリケーションレイヤ４５０からハードウェア制御レイヤ４７０に実装されている機能を呼び出すための各種ライブラリ（暗号ライブラリ４６１、ＩＯライブラリ４６２）と、アプリケーションレイヤ４５０に実装された各種アプリケーションを管理するための機能（アプリ管理４６３、及びその他のＡＰＩ４６４）が実装される。
ハードウェア制御レイヤ４７０には、ハードウェア回路として実装された暗号プロセッサ４７１や、ＳＥ４０の記憶機能部（記憶部４２０）に相当する種々のプログラムが記憶される記憶領域を制御するメモリ制御４７２、その他の制御４７３が実装される。また、ハードウェア制御レイヤ４７０には、ＳＥ４０の通信機能部（通信部４００）に相当する外部との通信を担うインターフェース４７４が実装される。
検証システム１では、ＳＥ４０は、インターフェース４７４を介したシリアル通信により、端末装置３０の各部（通信モジュール３１、制御チップ３２）との間でデータを送受信する。
インターフェース４７４に受信されたデータは、アプリ管理４６３を介して通信データ検証アプリ４５１に出力される。
通信データ検証アプリ４５１は、暗号ライブラリ４６１等を用いて受信データのハッシュ値を算出することで受信データの正当性を検証する。通信データ検証アプリ４５１は、受信データが正当であると判定された場合、インターフェース４７４を介して制御チップ３２に受信データを端末装置３０に出力する。
【００２５】
ここで、ＳＥ４０の動作について図４から図７を用いて説明する。
図４は、第１の実施形態のＳＥ４０の動作例を示すフローチャートである。
図４に示すように、まず、ＳＥ４０は、取得部４１２により受信データを取得する受信データ取得処理を行う（ステップＳ１１０）。次に、ＳＥ４０は、検証部４１３により受信データを検証する受信データ検証処理を行う（ステップＳ１２０）。そして、ＳＥ４０は、データ処理部４１４により受信データを破棄又は出力する受信データ処理を行う（ステップＳ１３０）。以下、ステップＳ１１０、Ｓ１２０、Ｓ１３０の各処理について詳細を説明する。
【００２６】
（ステップＳ１１０について）
図５は、第１の実施形態のＳＥ４０の受信データ取得処理の動作例を示すフローチャートである。
図５に示すように、取得部４１２は、受信データの受信を待機する（ステップＳ１１１）。受信データは、通信モジュール３１により、通信部４００を介して、受信データ記憶部４２１に書込まれる。
取得部４１２は、定期的に受信データ記憶部４２１を参照し、受信データ記憶部４２１に受信データが書き込まれたか否かを判定する（ステップＳ１１２）。
取得部４１２は、受信データ記憶部４２１に受信データが書き込まれた場合、検証部４１３に受信データを出力する（ステップＳ１１３）。
一方、取得部４１２は、受信データ記憶部４２１に受信データが書き込まれていない場合、ステップＳ１１１に戻り受信データの受信を待機する。
【００２７】
（ステップＳ１２０について）
図６は、第１の実施形態のＳＥ４０の受信データ検証処理の動作例を示すフローチャートである。
図６に示すように、検証部４１３は、取得部４１２により出力された受信データのハッシュ値を算出する（ステップＳ１２１）。受信データのハッシュ値は受信データの特徴を表す情報である。このため、受信データが改ざんされている場合、改ざんされた受信データのハッシュ値は、改ざんされていない正当な受信データのハッシュ値とは異なる情報となる。一方、検証情報記憶部４２２には、正当な受信データのハッシュ値が記憶されている。
検証部４１３は、算出したハッシュ値（算出結果）が検証情報記憶部４２２に記憶されたハッシュ値と一致するか否かを判定する（ステップＳ１２２）。
検証部４１３は、算出結果が検証情報記憶部４２２に記憶されたハッシュ値と一致する場合、受信データが正当であると判定する（ステップＳ１２３）。
一方、検証部４１３は、算出結果が検証情報記憶部４２２に記憶されたハッシュ値と一致しない場合、受信データが正当でないと判定する（ステップＳ１２４）。
検証部４１３は、受信データを判定結果とともにデータ処理部４１４に出力する（ステップＳ１２５）。
【００２８】
なお、データからハッシュ値を算出することができるが、ハッシュ値から元のデータを復元することはできない。つまり、検証情報記憶部４２２に記憶されたハッシュ値から、正当な受信データを得ることはできない。このため、検証情報記憶部４２２にハッシュ値が記憶されている場合でも、端末装置３０は受信データを受信する必要がある。
【００２９】
上述した図６のフローチャートでは、検証部４１３がハッシュ値を算出することにより受信データを検証する場合を例示して説明したが、これに限定されることはない。検証部４１３は、例えば、サーバ装置１０と端末装置３０とに共通する共通鍵を用いた共通鍵暗号方式（例えば、暗号アルゴリズム情報であるＤＥＳや、ＡＥＳ等を用いた暗号方式）、公開鍵暗号による証明書による検証等を行うことにより、受信データの正当性を検証するようにしてもよい。
【００３０】
（ステップＳ１３０について）
図７は、第１の実施形態のＳＥ４０のデータ処理の動作例を示すフローチャートである。
図７に示すように、データ処理部４１４は、検証部４１３により出力された受信データが正当であるか否かを判定する（ステップＳ１３１）。データ処理部４１４は、検証部４１３により受信データとともに出力された判定結果に従い、判定結果が正当であることを示す場合に受信データが正当であると判定し、判定結果が正当でないことを示す場合に受信データが正当でないと判定する。
データ処理部４１４は、受信データが正当である場合、受信データを送信データ記憶部４２３に記憶させる（ステップＳ１３２）。
ＳＥ４０の通信部４００は、受信データを送信する命令（送信命令）を待機する（ステップＳ１３３）。送信命令は、制御チップ３２により、通信部４００を介して、コマンド処理部４１１に取得される。コマンド処理部４１１は、取得した送信命令に基づいて、通信部４００に送信データ記憶部４２３に記憶された受信データを端末装置３０に送信する指示を示す信号を出力する。
通信部４００は、コマンド処理部４１１からの信号に基づいて、送信データ記憶部４２３に記憶された受信データを端末装置３０に送信する（ステップＳ１３５）。
一方、ステップＳ１３１において、データ処理部４１４は、受信データが正当でない場合、受信データを破棄する（ステップＳ１３６）。
【００３１】
図８は、第１の実施形態の検証システム１の動作例を示すシーケンスチャートである。
図８に示すように、まず、端末装置３０が起動する（ステップＳ２０１）。端末装置３０は、サーバ装置１０からの起動を命じる信号に基づいて、各部（通信モジュール３１、制御チップ３２、センサモジュール３４、及びＳＥ４０）が起動する。
サーバ装置１０は、端末装置３０に送信するデータを生成する（ステップＳ２０２）。サーバ装置１０は、生成したデータを、通信ネットワーク２０の通信プロトコルに従って端末装置３０に送信する（ステップＳ２０３）。
通信モジュール３１は、サーバ装置１０により送信されたデータを受信する（ステップＳ２０４）。通信モジュール３１は、受信したデータからデータ領域を抽出し、抽出したデータを、シリアル通信の通信プロトコルに従ってＳＥ４０に出力する（ステップＳ２０５）。
【００３２】
ＳＥ４０は、通信モジュール３１により送信されたデータを受信し、受信したデータの正当性を検証する（ステップＳ２０６）。ＳＥ４０は、上述したステップＳ１１０、Ｓ１２０、及びＳ１３０の各々の処理を実行することにより、データの正当性を検証する。以下、ステップＳ２０７〜Ｓ２１３までの各々では、データが正当であった場合の処理である。ステップＳ２０６において、データの正当性が確認できない場合はデータが破棄され、ステップＳ２０７〜Ｓ２１３までの処理は実行されない。
ＳＥ４０は、データの正当性が確認できた場合、データを制御チップ３２に出力する（ステップＳ２０７）。
制御チップ３２は、ＳＥ４０から受け取ったデータの内容に基づいて、処理を実行する（ステップＳ２０８）。制御チップ３２は、サーバ装置１０に対して実行した処理の結果として通知する処理結果データを作成する。制御チップ３２は、作成した処理結果データをＳＥ４０に出力する（ステップＳ２０９）。
【００３３】
ＳＥ４０は、制御チップ３２により送信された処理結果データを受信し、データの正当性を検証する（ステップＳ２１０）。ＳＥ４０は、上述したステップＳ１１０、Ｓ１２０、及びＳ１３０の各々の処理を実行することにより、データの正当性を検証する。これにより、例えば、端末装置３０のＩＤやパスワードを不正に入手した者により制御チップ３２が作成した処理結果データが不正に書き換えられた場合であっても、不正な処理結果データがサーバ装置１０に対して送信されてしまうことを抑制する。
ＳＥ４０は、データの正当性が確認できた場合、処理結果データを通信モジュール３１に出力する（ステップＳ２１１）。
通信モジュール３１は、ＳＥ４０により出力されたデータを受信する（ステップＳ２１２）。通信モジュール３１は、受信したデータを、通信ネットワーク２０の通信プロトコルに従ってサーバ装置１０に送信する（ステップＳ２１３）。
【００３４】
以上説明したように、第１の実施形態のＳＥ４０は、相互に通信する通信モジュール３１（第１機能部）と制御チップ３２（第２機能部）との間に接続可能なＳＥ４０（セキュアエレメント）であって通信モジュール３１から制御チップ３２に対して通知する通知データを取得する取得部４１２と、取得部４１２により取得されたデータの正当性を検証する検証部４１３と、検証部４１３により検証された検証結果に基づいて、データが正当であると判定される場合にはデータを制御チップ３２に対して出力し、データが正当でないと判定される場合にはデータを破棄するデータ処理部４１４とを有する。
これにより、第１の実施形態のＳＥ４０は、検証部４１３によりデータの正当性を検証し、正当であると判定したデータのみを制御チップ３２に出力することができ、正当でないと判定したデータを破棄することができる。このため、第１の実施形態のＳＥ４０は、端末装置３０の通信モジュール３１と制御チップ３２との間で正当でないデータが送受信されることを抑制することができ、端末装置３０の安全性を向上させることができる。また、ＳＥ４０によりデータの正当性が検証されることから、制御チップ３２の処理負担が増大することがないため、制御チップ３２の処理能力を高めるために高価なチップを用いる必要がない。つまり、端末装置３０の装置コストを抑制させることができる。
また、第１の実施形態のＳＥ４０は、通信ネットワーク２０を介してサーバ装置１０と相互に通信可能な端末装置３０の通信モジュール３１と制御チップ３２との間に接続可能なＳＥ４０であって、取得部４１２は、サーバ装置１０から端末装置３０に送信されたデータを取得する。これにより、第１の実施形態のＳＥ４０は、通信ネットワーク２０を介して通知されたデータの正当性を検証することができるためデータがネットワーク上で改ざんされてしまった場合など、正当でないと判定したデータを破棄することができ、通信ネットワーク２０を介して端末装置３０に悪意ある攻撃が行われることを抑制し、その安全性を向上させることができる。
また、第１の実施形態のＳＥ４０では、検証部４１３は、受信データのハッシュ値を算出することにより受信データが正当であるか否かを判定する。これにより、検証部４１３は、算出したハッシュ値を、受信データが改ざんされていない正当な受信データのハッシュ値と比較するという簡単な方法で受信データの正当性を検証することができる。
【００３５】
ここで、第１の実施形態の端末装置３０の効果について図９を用いて説明する。
図９は、検証機能を有しないシステムの動作例を示すシーケンスチャートである。検証機能を有しないシステムでは、端末装置がＳＥ４０を備えていない。
図９に示すように、検証機能を有しないシステムにおいても、まず、端末装置３０が起動する（ステップＳ３０１）。端末装置３０の起動は、上述したステップＳ２０１と同様な処理が行われる。ただし、端末装置がＳＥ４０を備えていないため、ＳＥ４０が起動することはない。不正なサーバ装置１００は、端末装置に送信する不正なデータを生成する（ステップＳ３０２）。不正なサーバ装置１００は、生成したデータを端末装置に送信する（ステップＳ３０３）。通信モジュール３１は、不正なサーバ装置１００により送信された不正なデータを受信する（ステップＳ３０４）。通信モジュール３１は、受信した不正なデータからデータ領域を抽出し、抽出した不正なデータを制御チップ３２に出力する（ステップＳ３０５）。
制御チップ３２は、通信モジュール３１から受け取った不正なデータの内容に基づいて、不正な処理を実行する（ステップＳ３０６）。この結果、検証機能を有しない端末装置は、センサモジュール３４の動作が不正に変更される等、不正な処理が行われてしまう。
その後、サーバ装置１０は、端末装置に送信するデータを生成する（ステップＳ３０７）。サーバ装置１０は、生成したデータを端末装置３０に送信する（ステップＳ３０８）。
通信モジュール３１は、サーバ装置１０により送信されたデータを受信する（ステップＳ３０９）。通信モジュール３１は、受信したデータからデータ領域を抽出し、抽出したデータを制御チップ３２に出力する（ステップＳ３１０）。
制御チップ３２は、通信モジュール３１から受け取ったデータの内容に基づいて処理を実行する（ステップＳ３１１）。しかしながら、上述したステップＳ３０６で、端末装置には不正な処理が行われた後であるため、制御チップ３２がステップＳ３１１により行った処理は不正な結果となる。制御チップ３２は、不正な処理結果データをＳＥ４０に出力する（ステップＳ３１２）。通信モジュール３１は、制御チップ３２から不正なデータを受信し、不正なデータをサーバ装置１０に送信してしまう（ステップＳ３１４）。
【００３６】
このように、検証機能を有しないシステムでは、不正なサーバ装置１００などにより送信された不正なデータに基づいた処理が実行されてしまい、不正なデータがサーバ装置１０に送信されてしまう。不正なデータがサーバ装置１０に送信されてしまうことで、サービスの停止などの事態に繋がる可能性がある。
これに対し、実施形態１の検証システム１においては、端末装置３０が不正なデータを受信した場合であっても、ＳＥ４０が不正なデータを破棄するため、制御チップ３２が不正なデータを取得することはない。このため、センサモジュール３４に対し不正な処理が行われることがない。
【００３７】
＜第２の実施形態＞
次に、第２の実施形態について説明する。
第２の実施形態では、サーバ装置１０Ａが端末装置３０Ａに対して相互認証を要求する点において上記第１の実施形態の構成と相違する。ここで、相互認証とは、相互に通信を行う装置の双方が互いに相手の正当性を認証することである。例えば、サーバ装置１０Ａと端末装置３０Ａとが相互に通信を行う場合、サーバ装置１０Ａは端末装置３０Ａの正当性を認証し、端末装置３０Ａはサーバ装置１０Ａの正当性を認証する。
【００３８】
また、第２の実施形態では、端末装置３０Ａに対してデータを送信してきた装置との間で相互認証が行われる点、及びＳＥ４０Ａがサーバ装置１０Ａと相互認証済みの場合にサーバ装置１０Ａからのデータの検証を一時的に停止して制御チップ３２にデータを出力する点において上記第１の実施形態の構成と相違する。
第２の実施形態では、ＳＥ４０Ａが、相互認証済みの装置から送信されたデータに対してその正当性の検証を省略することで、システムの安全性を維持しつつ、検証にかかる処理負荷の増加を抑制する。
【００３９】
また、第２の実施形態では、データの検証が一時的に停止されている場合に、相互認証済みのサーバ装置１０Ａが検証の再開を要求する点において上記第１の実施形態の構成と相違する。相互認証済みのサーバ装置１０Ａの要求に応じて、検証を再開させることでシステムの安全性を向上させることが可能となる。
【００４０】
図１０は、第２の実施形態のＳＥ４０Ａの機能構成例を示すプロック図である。図１０に示すように、第２の実施形態では、ＳＥ４０Ａの検証部４１３Ａが第１の実施形態と異なる処理を行う。また、ＳＥ４０Ａは、検証停止情報記憶部４２４を備える。
検証停止情報記憶部４２４は、検証済みフラグを記憶する。検証済みフラグは、相互認証済みか否かを示す変数であり、端末装置３０Ａに対してデータを送信してきた装置ごとに記憶される変数である。相互認証が行われていない初期状態か、又は相互認証を行ったが通信先の正当性が検証されなかった場合、検証済みフラグには「０」が記憶される。相互認証を行った結果、通信先の正当性が検証された場合、当該通信先に対応する証済みフラグは「１」が記憶される。
【００４１】
検証部４１３Ａは、端末装置３０Ａに対してデータを送信してきた装置と、相互認証を行う。以下、サーバ装置１０Ａが端末装置３０Ａに対してデータを送信した場合を例示して説明する。
検証部４１３Ａは、サーバ装置１０Ａから送信されたデータに相互認証を要求するデータが含まれていた場合、サーバ装置１０Ａの正当性を検証する。検証部４１３Ａは、例えば、サーバ装置１０Ａから送信されたデータからサーバ証明書を取得し、取得したサーバ証明書と検証情報記憶部４２２に予め記憶させた正当なサーバの証明書とを比較することによりサーバ装置１０Ａの正当性を検証する。検証部４１３Ａは、サーバ装置１０Ａが正当であると判定した場合、検証済みフラグに「１」を書込んで記憶させる。
検証部４１３Ａは、検証済みフラグに「１」が記憶されている場合、サーバ装置１０Ａから送信されたデータを、検証することなく制御チップ３２に出力する。
【００４２】
検証部４１３Ａは、サーバ装置１０Ａが正当でないと判定した場合、サーバ装置１０Ａが正当でないこと（不正接続）を、通信部４００を介して制御チップ３２に報告する。
【００４３】
また、検証部４１３Ａは、検証済みフラグに「１」が記憶されている場合であって、サーバ装置１０Ａから送信されたデータに検証の再開を要求するデータが含まれていた場合、検証済みフラグに「０」を書込んで記憶させる。
検証部４１３Ａは、検証済みフラグに「０」が記憶されている場合、上記第１の実施形態と同様に、サーバ装置１０Ａから送信されたデータを検証し、データが正当であると判定する場合に当該データを制御チップ３２に出力する。
【００４４】
第２の実施形態のＳＥ４０Ａの動作について図１１、図１２を用いて説明する。
図１１は、第２の実施形態のＳＥ４０Ａの動作例を示すフローチャートである。
図１１に示すように、まず、ＳＥ４０Ａは、上記第１の実施形態と同様に、取得部４１２により受信データを取得する受信データ取得処理を行う（ステップＳ１１０）。
次に、検証部４１３Ａは、受信データが相互認証を要求するものであるか否かを判定する（ステップＳ４００）。検証部４１３Ａは、受信データの所定箇所に相互認証を要求することが示されていた場合、受信データが相互認証を要求するものであると判定する。
検証部４１３Ａは、受信データが相互認証を要求するものであると判定する場合、サーバ装置１０Ａとの間で相互認証を行う相互認証処理を行う（ステップＳ４０１）。
検証部４１３Ａは、相互認証が正常に終了したか否かを判定する（ステップＳ４０２）。検証部４１３Ａは、相互認証が正常に終了した場合、相互認証済みフラグに「１」を書込んで記憶させる（ステップＳ４０３）。
一方、検証部４１３Ａは、相互認証が正常に終了なかった場合、相互認証済みフラグに「０」を書込んで記憶させる（ステップＳ４０４）。そして、検証部４１３Ａは、相互認証が正常に終了しない不正接続があったことを、制御チップ３２に報告する（ステップＳ４０５）。
【００４５】
検証部４１３Ａは、ステップＳ４００において、受信データが相互認証を要求するものでない場合、受信データが検証の再開を要求するものか否かを判定する（ステップＳ４０６）。検証部４１３Ａは、受信データが検証の再開を要求するものである場合、相互認証済みフラグに「０」を書込んで記憶させる（ステップＳ４０７）。
【００４６】
検証部４１３Ａは、ステップＳ４０６において、受信データが検証の再開を要求するものでない場合、相互認証済みフラグが「１」であるか否かを判定する（ステップＳ４０８）。受信データが相互認証を要求するものでなく、且つ検証の再開を要求するものでない場合、受信データは、端末装置３０Ａの各機能部（例えば、センサモジュール３４）を制御する制御データである。
検証部４１３Ａは、相互認証済みフラグが「１」である場合、受信データを検証することなく制御チップ３２に出力する。
一方、検証部４１３Ａは、相互認証済みフラグが「０」である場合、上記第１の実施形態のステップＳ１２０の検証処理を行い、受信データの正当性を検証する。
【００４７】
図１２は、第２の実施形態のＳＥ４０Ａの相互認証の処理の動作例を示すフローチャートである。
図１２に示すように、相互認証を行う場合、検証部４１３Ａは、まず、受信データに含まれるサーバ装置１０Ａの相互認証データを検証する（ステップＳ５００）。検証部４１３Ａは、サーバ装置１０Ａの相互認証データに施された暗号を共通鍵で復号してサーバ証明書を取得し、取得したサーバ証明書が、検証情報記憶部４２２に記憶させたサーバ証明書と一致した場合にサーバ装置１０Ａが正当な通信先であると判定し、相互認証データの検証が正常に終了したと判定する。また、乱数を用いて相互認証を行ってもよい。
【００４８】
検証部４１３Ａは、相互認証データの検証が正常に終了した場合、サーバ装置１０Ａに対して送信する端末装置３０Ａ側の相互認証データを作成し、作成した相互認証データを通信部４００、及び通信モジュール３１を介してサーバ装置１０Ａに送信する（ステップＳ５０２）。
検証部４１３Ａは、サーバ装置１０Ａに対して端末装置３０Ａ側の相互認証データを送信した後、サーバ装置１０Ａから送信されたデータを、通信モジュール３１等を介して受信する（ステップＳ５０３）。
検証部４１３Ａは、受信データがサーバ装置１０Ａに対して送信した相互認証データに対する応答であるか否かを判定する（ステップＳ５０４）。検証部４１３Ａは、受信データが送信した相互認証データに対する応答である場合、応答が正常終了を示すものであるか否かを判定する（ステップＳ５０５）。そして、検証部４１３Ａは、応答が正常に終了したことを示すものである場合、相互認証は正常に終了したと判定する（ステップＳ５０６）。
【００４９】
一方、検証部４１３Ａは、ステップＳ５０１においてサーバ装置１０Ａからの相互認証データの検証が正常に終了しない場合、及びステップＳ５０５においてサーバ装置１０Ａからの応答が正常に終了しないことを示す場合、相互認証は正常に終了しなかったと判定する（ステップＳ５０７）。
【００５０】
また、検証部４１３Ａは、ステップＳ５０４において、受信データが送信した相互認証データに対する応答でない場合、受信データが端末装置３０Ａの各機能部（例えば、センサモジュール３４）を制御する制御データであるとみなし、上記第１の実施形態のステップＳ１２０の検証処理を行い、受信データの正当性を検証する。
【００５１】
図１３は、第２の実施形態の検証システム１Ａの動作例を示すシーケンスチャートである。
図１３に示すように、まず、サーバ装置１０ＡとＳＥ４０Ａとの間で上述した相互認証が行われる（ステップＳ６０１）。相互認証が正常に終了した後、サーバ装置１０Ａは、端末装置３０Ａに送信するデータを生成する（ステップＳ６０２）。サーバ装置１０Ａは、生成したデータを端末装置３０Ａに送信する（ステップＳ６０３）。
通信モジュール３１は、サーバ装置１０Ａにより送信されたデータを受信する（ステップＳ６０４）。通信モジュール３１は、受信したデータからデータ領域を抽出し、抽出したデータをＳＥ４０Ａに出力する（ステップＳ６０５）。
ＳＥ４０Ａは、通信モジュール３１により送信されたデータを受信し、受信したデータの正当性を検証することなく（ステップＳ６０６）、制御チップ３２に出力する（ステップＳ６０７）。
制御チップ３２は、ＳＥ４０Ａから受け取ったデータの内容に基づいて、処理を実行する（ステップＳ６０８）。制御チップ３２は、サーバ装置１０Ａに対して実行した処理の結果として通知する処理結果データを作成する。制御チップ３２は、作成した処理結果データをＳＥ４０Ａに出力する（ステップＳ６０９）。
【００５２】
ＳＥ４０Ａは、制御チップ３２により送信された処理結果データを受信し、データの正当性を検証することなく（ステップＳ６１０）、通信モジュール３１に出力する（ステップＳ６１１）。
通信モジュール３１は、ＳＥ４０Ａにより出力されたデータを受信する（ステップＳ６１２）。通信モジュール３１は、受信したデータを、通信ネットワーク２０の通信プロトコルに従ってサーバ装置１０Ａに送信する（ステップＳ６１３）。
【００５３】
図１４は、第２の実施形態の検証システム１Ａの検証を再開させる処理の動作例を示すシーケンスチャートである。
図１４に示すように、まず、サーバ装置１０ＡとＳＥ４０Ａとの間で上述した相互認証が行われる（ステップＳ６０１）。
相互認証が正常に終了した後、サーバ装置１０Ａは、端末装置３０Ａに対し検証の再開を要求するデータを生成する（ステップＳ７０２）。サーバ装置１０Ａは、生成したデータを端末装置３０Ａに送信する（ステップＳ７０３）。
通信モジュール３１は、サーバ装置１０Ａにより送信されたデータを受信する（ステップＳ６０４）。通信モジュール３１は、受信したデータからデータ領域を抽出し、抽出したデータをＳＥ４０Ａに出力する（ステップＳ６０５）。
ＳＥ４０Ａは、通信モジュール３１により送信されたデータを受信し、受信した検証の再開を要求するデータに基づいて、相互認証済みフラグを「０」とする（ステップＳ７０６）。ＳＥ４０Ａは、受信した検証の再開を要求するデータに対する応答データを作成する（ステップＳ７０８）。ＳＥ４０Ａは、作成した応答データを通信モジュール３１に出力する（ステップＳ７０９）。
通信モジュール３１は、ＳＥ４０Ａにより出力されたデータを受信する（ステップＳ７１０）。通信モジュール３１は、受信したデータをサーバ装置１０Ａに送信する（ステップＳ７１１）。
【００５４】
以上説明したように、第２の実施形態のＳＥ４０Ａでは、検証部４１３Ａは、受信データにサーバ装置１０Ａからの相互認証の要求を示すデータが含まれる場合、サーバ装置１０Ａとの間で相互認証を行い、サーバ装置１０Ａが正当であるか否かを判定する。これにより、第２の実施形態のＳＥ４０Ａでは、サーバ装置１０Ａが正当な通信先か否かを判定することができる。
また、第２の実施形態の端末装置３０Ａでは、検証部４１３Ａは、相互認証によりサーバ装置１０Ａが正当でないと判定した場合、端末装置３０Ａに対して判定結果を出力する。これにより、第２の実施形態のＳＥ４０Ａはでは、自身が正当な通信先として想定されていない装置、つまり不正なサーバ装置から攻撃を受けている可能性があることを端末装置３０Ａに認識させることができる。
また、第２の実施形態のＳＥ４０Ａでは、検証部４１３Ａは、相互認証の認証結果によりサーバ装置１０Ａが正当であると判定した場合、端末装置３０Ａに受信された受信データのうち、正当であると判定したサーバ装置１０Ａから端末装置３０Ａに対して送信されたデータについて、その正当性を検証することなく端末装置３０Ａに出力する。
これにより、第２の実施形態のＳＥ４０Ａでは、検証部４１３Ａが、通信相手が正当な装置であるか否かを判定し、通信相手が正当な装置である場合に検証処理を省略できるため、検証処理の処理負荷を低減させることができる。
【００５５】
また、第２の実施形態の端末装置３０Ａでは、検証部４１３Ａは、サーバ装置１０Ａから端末装置３０Ａに対して送信されたデータに、データの正当性の検証を要求するデータが含まれていた場合、受信データの正当性を検証し、受信データが正当であると判定した場合に受信データを端末装置３０Ａに出力する。これにより、第２の実施形態のＳＥ４０Ａでは、サーバ装置１０Ａから要求により、通信相手が正当な装置であるか否かを判定した後に検証処理を省略した場合であっても、検証を再開させることができ、より安全性を向上させることが可能となる。
【００５６】
上述した実施形態においては、通信ネットワーク２０を介して、サーバ装置１０（１０Ａ）と端末装置３０（３０Ａ）とが相互に通信する場合を例示して説明したが、これに限定されることはない。サーバ装置１０（１０Ａ）は、端末装置３０（３０Ａ）と通信する外部機器であればよく、端末装置３０（３０Ａ）と同等構成を有する他の端末装置３０（３０Ａ）であってもよいし、その他の汎用コンピュータ端末、スマートフォン、タブレット等であってもよい。
また、通信ネットワーク２０は、３Ｇ(3rd Generation)、４Ｇ(4th Generation)、ＬＴＥ(Long Term Evolution)などの携帯電話網、Ｗｉ−Ｆｉ、ブルートゥース（登録商標）などの無線通信の伝送路、及びＵＳＢ（Universal Serial Bus）、ＬＡＮ（Local Area Network）ケーブル等による接続等、有線通信の伝送路であってもよく、上記無線通信の伝送路と上記有線通信の組み合わせであってもよい。
【００５７】
なお、本発明における検証システム１の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませて実行することにより処理を行なってもよい。
なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００５８】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【００５９】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
【符号の説明】
【００６０】
１…検証システム、１０…サーバ装置、２０…通信ネットワーク、３０…端末装置、４０…ＳＥ、４１２…取得部、４１３…検証部、４１４…データ処理部。
【図１】
2019097034.tif 000003
【図２】
2019097034.tif 000004
【図３】
2019097034.tif 000005
【図４】
2019097034.tif 000006
【図５】
2019097034.tif 000007
【図６】
2019097034.tif 000008
【図７】
2019097034.tif 000009
【図８】
2019097034.tif 000010
【図９】
2019097034.tif 000011
【図１０】
2019097034.tif 000012
【図１１】
2019097034.tif 000013
【図１２】
2019097034.tif 000014
【図１３】
2019097034.tif 000015
【図１４】
2019097034.tif 000016