(57)【要約】      （修正有）【課題】端末の製造コストを増やさずに、信頼できるユーザインタフェースを用いて、端末上での機密データの機密入力をさらに改善する。【解決手段】機密データの入力１０７の前に適用される、信頼できるプログラムが入力手段の排他制御を行うステップ１０１と、排他制御１０１が行われたことを示すために、端末ユーザにとって既知の信頼できる画像を画面上に表示するステップ１０５と、排他制御１０１が行われた後で、かつ、信頼できる画像の表示１０５の前に、ユーザによって予め定められた基準画像の一部として、信頼できる画像が、異なる入力には異なるように選択されるステップ１０４と、を含む。【選択図】図３
2015133116.tif 000002
【特許請求の範囲】
【請求項１】
入力手段（１４）と、信頼できるプログラム（Ｐ）を実行するための手段（１０）と、表示画面（１２）とを含む端末（１）上で機密データを入力する方法であって、方法は、入力（１０７）の前に適用される、
信頼できるプログラム（Ｐ）が、入力手段（１４）の排他制御（１０１）を行うステップと、
端末（１）のユーザにとって既知の信頼できる画像（ＩＣ）が、制御（１０１）が行われたことを示すために、画面（１２）上に表示（１０５）されるステップと
を含み、
制御（１０１）が行われた後で且つ表示（１０５）の前に、ユーザによって予め定められた基準画像（ＩＲ）の一部として、信頼できる画像（ＩＣ）が、異なる入力には異なるように選択（１０４）されるステップ（１０４）を含む
ことを特徴とする方法。
【請求項２】
信頼できる画像は、ユーザによって選択された選択データから選択され、制御（１０１）を行った後に入力手段（１４）によって取得（１０３）される請求項１に記載の方法。
【請求項３】
信頼できるプログラム（Ｐ）は、遠隔サーバ（２）から信頼できる画像を受信する請求項１または請求項２に記載の方法。
【請求項４】
信頼できる画像（ＩＣ）の受信（４０３）は、遠隔サーバに対してリクエストを送信（４０１）することによって制御され、リクエストは、取得される選択データ（１０３）から信頼できるプログラム（Ｐ）によって生成（４００）され、信頼できる画像は、遠隔サーバ（２）によって選択（４０２）される、請求項３に組み合わせた請求項２に記載の方法。
【請求項５】
信頼できる画像（ＩＣ）が表示（１０５）される前に、Ｎ個の領域（Ｒ）を有するパーティションパターン（Ｇ）を画面上に表示（１０２）するステップをさらに備え、各々の領域（Ｒ）は、基準画像（ＩＲ）の対応部分に関連づけられ、入力手段（１４）によって取得（１０３）された選択データは、ユーザによって選択されたパーティションパターン（Ｇ）のＮ未満の数の領域（Ｒ）を表現する請求項２から４のいずれか１項に記載の方法。
【請求項６】
入力手段（１４）は、タッチセンサ式素子を含み、選択データは、ユーザによって接触された少なくとも１つのゾーンを表現する請求項２から５のいずれか１項に記載の方法。
【請求項７】
タッチセンサ式素子は、表示画面（１２）内に含まれ、接触されたゾーンは、外部の物体がタブレットに接触するときから前記外部の物体と画面（１２）との間の接触が中断されるまでの間に接触された画面（１２）上の連続したポイントのセットを表現する請求項６に記載の方法。
【請求項８】
ステップは、第１の入力と第１の入力に続く第２の入力とにより数回繰り返され、方法は、
第１の入力に対して表示された第１の信頼できる画像を格納（１０６）するステップと、
第２の入力に対して表示された第２の信頼できる画像を、第１の格納された信頼できる画像と比較（４０４）するステップと
を含み、
第２の信頼できる画像は、第１の画像と異なる場合のみ表示（１０５）される請求項１から７のいずれか１項に記載の方法。
【請求項９】
機密データが入力（１０７）される前に、入力手段（１４）と表示画面（１２）とを含む端末（１）によって実行される場合に、
入力手段の排他制御（１０１）を行うステップと、
制御が行われたことを示すために、信頼できる画像（ＩＣ）の画面（１２）上への表示（１０５）を制御するステップと
を実行するためのプログラムコード命令を備え、
コンピュータプログラム（Ｐ）は、また、ユーザによって予め定められた基準画像（ＩＲ）の一部として、信頼できる画像（ＩＣ）が、選択（１０４）が入力ごとに変化可能なように選択（１０４）されるのを制御するように構成されることを特徴とする信頼できるコンピュータプログラム（Ｐ）。
【請求項１０】
請求項９に記載の、入力手段（１４）と、表示画面（１２）と、信頼できるプログラム（Ｐ）を実行する手段（１０）とを備える端末（１）。
【請求項１１】
入力手段（１４）は、タッチセンサ式画面を含む請求項１０に記載の端末（１）。
【請求項１２】
遠隔サーバ（２）と通信する手段をさらに備え、
コンピュータプログラム（Ｐ）は、
制御（１０１）を行った後にユーザによって選択され、入力手段（１４）によって取得（１０３）された選択データを備える遠隔サーバ（２）に対して選択リクエスト（Ｍ１）を送信し、
リクエストに応答して、遠隔サーバから、選択された信頼できる画像（ＩＣ）を受信するように構成される請求項１０または請求項１１に記載の端末（１）。
【請求項１３】
請求項１２に記載の端末（１）と、データ（２０）を処理するための手段を備えるサーバ（２）と、請求項１２に記載の少なくとも１つの端末（１）のと通信する手段（２４）とを備え、
データ処理手段は、
通信手段（２４）によって受信された選択リクエスト（Ｍ１）を発端として、予め定められた基準画像（ＩＲ）の一部として、信頼できる画像（ＩＣ）を選択し、
端末（１）に対して、選択された信頼できる画像（ＩＣ）を送信するように構成されるシステム（Ｓ）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人の端末上での機密情報の入力および表示の分野に関する。
【０００２】
本発明は、特に、機密情報のこのような入力をセキュア化する方法に関する。
【背景技術】
【０００３】
入力手段および表示画面が備えられた端末上でユーザが自分の個人的な機密情報（特に認証情報）をセキュアに入力することができる方法は、以前から知られている。
【０００４】
例えば、端末の画面を覗く悪意のある第三者による入力コードの傍受を防止するために、番号の代わりに画面上にマスキング記号（例えば星印）を表示することによって、ＰＩＮコードのような暗証コードのいくつかの番号を有するコードの入力を保護することができることは、よく知られている。
【０００５】
増えつつあるユーザ端末からのオンラインでの機密データ取引に応じるために、ユーザが自身の端末上に機密データを入力する前に、端末が「セキュアな」状態に構成されるセキュアな「信頼できる実行環境」（ＴＥＥ：Ｔｒｕｓｔｅｄ  Ｅｘｅｃｕｔｉｏｎ  Ｅｎｖｉｒｏｎｍｅｎｔ）プログラムが提案されている（信頼できるユーザインタフェース（Ｔｒｕｓｔｅｄ  Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ））。
【０００６】
信頼できる実行環境は、通常、日常的な使用が専門のオペレーティングシステムには依存せず、且つ端末の入力手段およびその画面にアクセスするセキュア化プログラムである。セキュアな状態において、セキュア化プログラムは、端末入力手段を通じたユーザによるデータ入力を選択的に処理する。
【０００７】
このようなインタフェースは、ユーザが信頼できる情報（取引の量および取引の関係者）を表示して確認し、信頼できる実行環境においてユーザが個人データまたは機密データ（例えばＰＩＮコード）を入力していることを、ユーザに対して保証する。
【０００８】
そのため、ユーザが機密データを入力する前に、信頼できるユーザインタフェースが端末をセキュアな状態に実際に構成したことをユーザに通知する、ということは重要である。
【０００９】
このようなイベントをユーザに通知するために、文書ＵＳ７３０２５８５は、信頼できるユーザインタフェースが端末のセキュアな状態を示すために、ユーザにとって既知の信頼できる画像をどのように定義することができるかを開示した。ユーザが機密情報を入力する前に、このセキュアな状態が実際にアクティブであることをユーザに通知するために、信頼できる画像の単一のコピーが画面上に表示されるか、または、いくつかのコピーがモザイクで表示される。
【００１０】
但し、この解決手段は、フィッシング攻撃に対する、ユーザのための絶対的な保護を備えない。ユーザ環境内に存在する悪意のある第三者、またはこの環境内にカメラを上手く配置した人間は、画面上に表示される信頼できる画像を傍受することができるだろうし、ユーザは、機密情報を入力する準備ができていることをそれが意味すると理解し得る。その後、この第三者は、ユーザを誤解させて、それにより、ユーザの機密情報を引き出すために、信頼できる画像を端末上に表示することによって信頼できるプログラムの動作を模倣する、悪意のあるプログラムにおいて、信頼できる画像を再生することができるだろう。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】米国特許第７３０２５８５号明細書
【発明の概要】
【発明が解決しようとする課題】
【００１２】
したがって、本発明は、端末の製造コストを増やさずに、信頼できるユーザインタフェースを用いて、端末上での機密データの機密入力をさらに改善することを目的とする。
【課題を解決するための手段】
【００１３】
そのため、入力手段と、信頼できるプログラムを実行する手段と、表示画面とを含む端末上で機密データを入力する方法を開示する。方法は、入力の前に適用される以下のステップ、すなわち、信頼できるプログラムが、入力手段の排他制御を行うステップと、端末ユーザにとって既知の信頼できる画像が、制御が行われたことを示すために、画面上に表示されるステップとを含み、制御が行われた後で且つ表示の前に、ユーザによって予め定められた基準画像の一部として、信頼できる画像が、異なる入力には異なるように選択されるステップが続く。
【００１４】
予め定められた信頼できる画像の一部のみが入力手続きの間に画面上に表示され、この一部は機密データの各々の新規の入力ごとに異なるので、悪意のある第三者は、端末ユーザを誤解させるように企てられたフィッシングプログラム内の完全な信頼できる画像を再生することができないだろう。
【００１５】
言うまでもなく、基準画像は、いかなるタイプの情報、すなわち、図案、文字、フレーズまたはテキストのすべて若しくは一部などの文字列など、を表現してもよい。
【００１６】
信頼できる画像は、ユーザによって選択された選択データから選択され、制御を行った後に入力手段によって取得されてもよい。変形として、信頼できる画像は、ランダムで選択される。
【００１７】
信頼できるプログラムは、遠隔サーバから信頼できる画像を受信してもよい。信頼できる画像の受信は、また、遠隔サーバに対してリクエストを送信することによって制御されることもでき、リクエストは、取得される選択データから、信頼できるプログラムによって生成され、信頼できる画像は、遠隔サーバによって選択される。
【００１８】
開示される方法は、また、信頼できる画像が表示される前に、Ｎ個の領域を有するパーティションパターンを画面上に表示するステップを含んでもよく、各領域は、基準画像の対応部分に関連づけられ、入力手段によって取得された選択データは、ユーザによって選択されたパーティションパターン内のＮ未満の数の領域を表現する。
【００１９】
入力手段は、タッチセンサ式素子を含んでもよく、選択データは、その後、ユーザによって接触された少なくとも１つのゾーンを表現する。
【００２０】
タッチセンサ式素子が表示画面に含まれるのであれば、接触されたゾーンは、外部の物体がタブレットに接触するときから前記外部の物体と画面との間の後続の接触が中断するまでの間に接触された画面上の連続したポイントのセットを表現してもよい。
【００２１】
方法におけるステップは、第１の入力と第１の入力に続く第２の入力とにより数回繰り返されてもよく、方法は、また、第１の入力に対して表示された第１の信頼できる画像を格納するステップと、第２の入力に対して表示された第２の信頼できる画像を、第１の格納された信頼できる画像と比較するステップを含み、第２の信頼できる画像は、第１の画像と異なる場合のみ表示される。
【００２２】
本発明の第２の態様は、機密データが入力される前に、入力手段と表示画面とを含む端末によって実行される場合に、以下のステップ、すなわち、入力手段の排他制御を行うステップと、制御が行われたことを示すために、信頼できる画像の画面上への表示を制御するステップとを実行するためのプログラムコード命令を備える信頼できるコンピュータプログラムプロダクトに関する。コンピュータプログラムは、また、ユーザによって予め定められた基準画像の一部として、信頼できる画像が、選択が入力ごとに変化可能なように選択されるのを制御するように構成されることを特徴とする。
【００２３】
第３の態様によれば、入力手段と、表示画面と、第２の態様による信頼できるプログラムを実行する手段とを備える端末を、さらに開示する。
【００２４】
本発明の他の特性、目的、および効果は、純粋に例示的且つ非制限的であり、且つ添付された図面を参照しながら読まれなければならない以下の明細書から明らかになるだろう。
【図面の簡単な説明】
【００２５】
【図１】本発明の１つの実施形態によるシステムを図解的に示す。
【図２】本発明の１つの実施形態によるシステムを図解的に示す。
【図３】本発明の１つの実施形態による機密データを入力する方法におけるステップを示すフローチャートである。
【図４】本発明の１つの実施形態による、図３のフローチャート内の１つのステップのサブステップの詳細を示す。
【図５】第１の実施形態による入力方法の実施の間の端末の画面の様々な状態を示す。
【図６】第２の実施形態による入力方法の実施の間の端末の画面の様々な状態を示す。
【発明を実施するための形態】
【００２６】
全図において同様の構成要素には同一の参照符号を付す。
【００２７】
図１および図２は、少なくとも１つの端末１と、遠隔サーバ２とを備えるシステムＳを示す。
【００２８】
端末１は、通信手段１６と、データ処理手段（処理装置１０）と、メモリ１８と、表示画面１２と、入力手段１４とを備える。
【００２９】
入力手段１４は、キーボードおよび／またはタッチセンサ式素子（より概論的には、任意のマン／マシンインタフェース）を備えてもよい。タッチセンサ式素子は、タッチセンサ式素子によるタッチセンサ式画面を形成するために、表示画面１２に含まれてもよい。
【００３０】
処理装置１０は、オペレーティングシステムＯＳと、オペレーティングシステムＯＳには依存しない信頼できるプログラムＰとを実行するように設計されている。
【００３１】
信頼できるプログラムＰは、様々なタスクを実行するプログラムコード命令を含む。
【００３２】
信頼できるプログラムＰは、読み取りにおける入力手段１４に対するアクセスを排他的に開放するように第１に構成されており、言いかえれば、このアクセスの開放の後に入力手段によって取得されるあらゆるデータは、端末１にインストールされたオペレーティングシステムまたは他のプログラムを除く信頼できるプログラムによってのみ処理することができる。このようなアクセスの開放は、この本文の残りにおいて「排他制御を行う」として限定される。
【００３３】
信頼できるプログラムＰは、また、画面１２上への画像の表示を制御し、且つ通信手段１６を通じて遠隔サーバ１２と通信するように構成される。
【００３４】
信頼できるプログラムＰは、また、入力手段１２によって取得される機密データを処理するように構成される。この処理は、例えば、端末それ自体または通信手段１６を通じて端末によってアクセスされたリモートサイトによるユーザの認証から構成されてもよく、この処理は、また、銀行取引の一部を形成してもよい。
【００３５】
通信手段１６は、無線（Ｗｉ−Ｆｉ、携帯電話、など）または有線であってもよい。
【００３６】
メモリ１８は、ハードディスク型式、フラッシュメモリ、ＥＥＰＲＯＭ、またはリムーバブルＵＳＢキーであってもよい。
【００３７】
さらに、サーバ２は、端末１の通信手段１６と通信するように構成された通信手段２４を備える。
【００３８】
サーバ２は、また、データ処理手段２０と、１つまたはいくつかの信頼できる画像を含むデータベースＢを格納するメモリ２８とを含み、各信頼できる画像は、特定ユーザに関連づけられる。
【００３９】
我々は、ここで、図３に示される方法におけるステップの詳細を記載することになる。
【００４０】
事前の登録ステップ１００において、ユーザは、端末１を通じて、できる限りしかし必ずではなく自分にのみ知られている基準画像ＩＲを決定する。登録ステップ１００は、例えば、信頼できるプログラムＰが予めユーザによって選択された基準画像を遠隔サーバ２に送信することを含んでもよく、遠隔サーバ２は、この基準画像を遠隔サーバ２のデータベースＢに格納する。信頼できる画像が端末１に格納されないので、悪意のある第三者は、端末１の窃盗の間に、信頼できる画像をリカバーすることができない。変形として、この基準画像は、端末のメモリゾーン１８内に格納され、このゾーンは、好適には、端末１上にインストールされ、且つ典型的にはオペレーティングシステムＯＳによって実行される悪意のあるプログラムによってこの基準画像が読み取られることを防止するために、プログラムＰによってのみアクセス可能である。
【００４１】
基準ステップ１０１において、信頼できるプログラムＰは、入力手段１４の排他制御を行う。排他制御を行った後、入力手段１４によって取得されるあらゆるデータは、信頼できるプログラムＰによって（およびオペレーティングシステムＯＳによってではなく）排他的に処理されることになる。
【００４２】
ステップ１０４において、信頼できる画像ＩＣは、制御を行った後に基準画像ＩＲから生成される。信頼できる画像ＩＣは、そこで選択された基準画像ＩＲの一部であり、言いかえれば、基準画像ＩＲは、画素のセットによって表現されるので、そのため、信頼できる画像ＩＣは、この画素のセットのサブセットによって表現される。以下に開示される実施形態において、サーバ２は、信頼できる画像ＩＣを生成（１０４）するが、但し、変形として、信頼できる画像ＩＣは、信頼できるプログラムＰそれ自体によって生成されてもよい。
【００４３】
制御１０１を行った後に実施される先のステップ１０３の間に入力手段によって取得された選択データに応じて、信頼できる画像ＩＣは、基準画像内で選択されてもよく、ユーザは、その後、基準画像内のこの信頼できる画像の判定に関与する。変形として、信頼できる画像ＩＣは、基準画像ＩＲ内でランダムに選択される。
【００４４】
信頼できる画像ＩＣは、その後、基準ステップ１０５において、画面１２上に表示される。端末１のユーザは、その後、画面１２上に実際に表示された信頼できる画像ＩＣが予め登録ステップ１００の間で選択した基準画像ＩＲの一部に対応するか否かを確認することができる。ユーザは、その後、信頼できるプログラムが入力手段１４に対する排除アクセスを取得した、ということを確信することができる。
【００４５】
ユーザは、その後、入力手段１２を用いて、端末１上に機密データを入力することができ、機密データは、その後、基準ステップ１０７において、信頼できるプログラムＰによって排他的に処理されることになる。
【００４６】
ステップ１０６において、信頼できる画像ＩＣは、（例えば、端末１上のメモリ１８または遠隔サーバ２内に）格納される。信頼できる画像が表示される前若しくは後に、この格納ステップが実施されてもよい。
【００４７】
機密データが入力（１０７）されて、処理された後、信頼できるプログラムは、入力手段１４に対するアクセスを解除（１０８）する。解除（１０８）の後、入力手段１４は、オペレーティングシステムＯＳによって用いられることができる。
【００４８】
信頼できるプログラムＰが処理する必要があるかもしれないステップ１０１〜１０８は、機密データの各々の入力ごとに繰り返されてもよい。
【００４９】
登録ステップ１００も、また、基準画像ＩＲを変更するために、ステップ１０１〜１０８のいくつかのシーケンスの間で繰り返されてもよい。
【００５０】
図４を参照して、信頼できる画像が生成されるステップ１０４は、遠隔サーバ２が用いられる１つの実施形態において、以下のサブステップを含んでもよい。
【００５１】
信頼できるプログラムＰは、サブステップ４００において、選択リクエストＭ１を生成し、このリクエストＭ１が通信手段１６を通じて遠隔サーバ２に送信（４０１）されるように命じる。選択リクエストＭ１は、典型的には、送信する信頼できるプログラムＰ（例えばプログラム番号）、端末（型番またはシリアル番号により）、または端末がマルチユーザであればユーザ自身を、識別することになる識別子を含むことができる。
【００５２】
サーバの通信手段２４は、クエリＭ１を受信し、その後、遠隔サーバ２の処理手段２０に対してクエリＭ１を送信する。ステップ４０２において、処理手段２０は、クエリＭ１内に含まれる識別子に関連づけられた基準画像ＩＲをデータベースＢ内で検索するためにデータベースＢにアクセスする。一旦基準画像ＩＲが見つかれば、処理手段２０は、信頼できる画像ＩＣを基準画像ＩＲの一部として選択する。
【００５３】
処理手段２０は、その後、選択された信頼できる画像ＩＣを含み、リクエストＭ１を作成した端末１に対して送信（４０３）される応答Ｍ２を生成する。
【００５４】
応答Ｍ２が受信された後、端末１は、機密データの先の入力の間（ステップ１０６）に格納された信頼できる画像を、受信された信頼できる画像と比較（４０４）する。
【００５５】
比較された画像が同一であれば、（ステップ１０３の新規のアプリケーションにおいて）新規の選択データを入力するようにユーザに促す、エラーメッセージが画面１２上に表示（４０５）される。これは、ユーザが、いくつかの連続的な入力のために基準画像内で同一の信頼できる画像を選択してしまうのを防止する。基準画像内の同一の信頼できる画像を常に選択することに慣れたユーザは、この同一の信頼できる画像を表示する以外には何もしない悪意のあるプログラムによって加えられるフィッシング攻撃の犠牲者になるかもしれないので、この禁止は、このような状況を防止する。
【００５６】
比較された画像が異なるのであれば、信頼できる画像ＩＣは、画面１２上に表示（１０５）される。
【００５７】
信頼できる画像は、好ましくは、基準画像をカバーし過ぎない（好ましくはその領域の５０％未満）ようにすることで、基準画像をリカバーするという企てをさらに困難にする。
【００５８】
方法は、また、信頼できる画像が選択されることができる基準画像の領域の制限（基準画像の一部の選択を効果的に防止する）を含んでもよく、それにより、基準画像は、基準画像によっても再製することはできない。
【００５９】
方法は、また、所定の期間または所定の回数の入力の後に、基準画像を変更するようにユーザに促すメッセージの画面上への表示を含んでもよい。この期間の後、基準画像が完全に人目にさらされており、新規の基準画像が登録されるべきであると、見なしてもよい。
【００６０】
グリッド生成方法
図５は、いわゆる「グリッド」の第１の実施形態による、入力方法の実行の間の端末１の画面の様々な状態を示す。
【００６１】
このグリッドの実施形態において、入力手段１４は、表示画面１２内に含まれるタッチセンサ式素子から構成される。さらに、信頼できるプログラムＰは、選択データの取得（１０３）の前に行われたステップ１０２において、予め定められたパーティションパターンＧの表示（１０２）を制御する。パーティションパターンＧは、いくつかの領域Ｒを備え、各領域は、基準画像の対応する領域の境界を定める。
【００６２】
パーティションパターンＧ内の領域の総数未満の数Ｎの領域Ｒを選択するように、ユーザに促すメッセージが、ステップ１０２の間に表示されてもよい。
【００６３】
ユーザが画面１２上の領域Ｒの１つに接触するたびに、タッチセンサ式素子は、接触された領域を表現する選択データを取得（１０３）し、信頼できるプログラムに対してこれらの選択データを送信し、これらの選択データに対応する領域は、その後、基準画像内で選択される（ステップ１０４）。
【００６４】
Ｎ回繰り返されたステップ１０３は、その後、ユーザによって接触されたＮ個の領域を表現するＮ個の選択データを生成する。
【００６５】
ステップ１０４の後に生成された信頼できる画像ＩＣは、タッチスクリーン上でユーザによって接触されたパーティションパターン内の領域Ｒに対応する基準画像ＩＲ内の（隣接する若しくは隣接しない）Ｎ個の領域の結合である。
【００６６】
このグリッドの実施形態において、選択データがグリッドＧ内の簡単な領域インデックスＲであってもよい、ということは注目されるべきである。サーバ２に対して送信されたリクエストＭ１は、したがって、少数のビットを用いた、表示されたグリッド内のＮ個の領域インデックスを含んでもよく、少数のビットを用いた領域インデックスは、画素座標のセットのような複雑な選択データを含むリクエストと比較して、端末１とサーバ２との間で伝送されるリクエストＭ１のサイズを低減する。
【００６７】
図５に示される例において、パーティションパターンＧは、同一の寸法を有する３×４の四角形のボックスのグリッドであり、予め定められた同一の色により着色されており、グリッドは、基準画像上に重ね合わせることができる寸法を有する。グリッドを作成する１２個のボックスのうちの３個に接触するように、ユーザに促すメッセージが画面の最上部に表示される。
【００６８】
ユーザがボックスのうちの１つに接触するごとに、信頼できるプログラムは、ユーザが既に選択したボックスの数や、まだこれから選択することができるボックスの数を、ユーザが認識することができるように、画面（図５内の右上における画像）上に表示されたパーティションパターン内の接触されていないボックスの色とは異なる色で、各々の接触されたボックスを着色することができる。
【００６９】
右上の画像において、３つのグリッド領域がユーザによって接触されている。
【００７０】
以前に接触したボックスにユーザが接触すれば、信頼できるプログラムは、また、接触されたボックスを「選択解除する」ことができる。
【００７１】
図５の右下の画像に図示するように、グリッドＧの「上に」表示された半透明ウィンドウの表示は、機密データを入力するステップ１０７に先行してもよく、半透明ウィンドウは、表示された信頼できる画像ＩＣが実際に基準画像の一部か否かを確認し、その一部であれば、自分の機密データ（図示された例ではＰＩＮコード）を入力するようにユーザに促す。
【００７２】
自由なプロットの実施形態
図６は、第２の「自由なプロット」実施形態による入力方法の実行の間のターミナルスクリーンの異なる状態を示す。
【００７３】
グリッドの変形のように、選択データは、ユーザによって接触されたタッチスクリーンのゾーンに対応する。但し、自由なプロットの変形において、このゾーンは、所定の寸法を有する領域のセットではなく、むしろユーザによって描画された、自由に選択されたゾーンＴである。
【００７４】
より正確には、ユーザによってタッチスクリーン上で接触されたゾーンは、外部の物体がタッチスクリーンに接触されたときから、外部の物体とタッチスクリーンとの間の接触が中断されるときまでの間に接触された画面上の連続したポイントのセットから構成される（外部の物体は、典型的には、ユーザの１本またはいくつかの指、スタイラスペン、などである）。
【００７５】
この自由なプロットの実施形態による方法は、したがって、基準画像上に重ね合わせることができる既定の色を有する画像が表示されるステップと、ユーザによって自由に選択されるゾーンをプロットするようにメッセージがユーザに促すステップとを含むことができる。
【００７６】
自由なプロットの実施形態は、タッチスクリーン上でのユーザの簡単なプロットによって、選択データを取得するステップ１０３の極めて高速の実行を可能にし、さらに、ユーザが２つの連続的な入力の間に同一の画素を選択するという可能性は、統計的に非常に小さいので、近くの第三者によって基準画像ＩＲを再製する際の複雑性を増大することに寄与する。
【００７７】
自由なプロットの実施形態による方法は、グリッドの実施形態のために開示された半透明ウィンドウの表示を含んでもよい。
【００７８】
他の実施形態
図示しない他の実施形態を想定することもできる。
【００７９】
基準画像ＩＲが端末１内のメモリ１８内に格納されるので、以上に記載されたステップは、遠隔サーバ２の支援を伴わずに、信頼できるプログラムＰによってローカルに用いられてもよい。ステップ１０４の間、信頼できるプログラムＰは、その後、後で表示される信頼できる画像を生成するために、端末１のメモリ１８内に格納された基準画像ＩＲにアクセスする。
【００８０】
信頼できる画像が格納されるステップ１０６も、また、端末のメモリ１８内の代わりに、ステップ４０３の前でサーバ２のメモリ２８内で行われてもよい。
【００８１】
他のタイプの入力手段１４も、また、端末において用いることができる（例えばキーボード）。グリッド変形において、キーボードの方向キーは、パーティションパターンにおいてナビゲートし、且つパーティションパターンにおいて領域Ｒを選択するために用いられることができる。
【００８２】
本発明による方法は、ＰＩＮコードを入力する状況に限定されず、他のタイプの確認コードの入力をセキュア化するためにも用いることができる（例えば、ウェブサイト若しくは信頼できるプログラムによって提供される特定のサービスに対するアクセスコード、またはより概論的に他のタイプの機密データ、など）。
【符号の説明】
【００８３】
１  端末
２  遠隔サーバ
１０  処理装置
１２  表示画面
１４  入力手段
１６、２４  通信手段
１８、２８  メモリ
２０  データ処理手段
Ｂ  データベース
Ｇ  グリッド
ＩＣ  信頼できる画像
ＩＲ  基準画像
Ｍ１  選択リクエスト、クエリ
ＯＳ  オペレーティングシステム
Ｐ  プログラム
Ｒ  領域、領域インデックス
Ｓ  システム
【図１】
2015133116.tif 000003
【図２】
2015133116.tif 000004
【図３】
2015133116.tif 000005
【図４】
2015133116.tif 000006
【図５】
2015133116.tif 000007
【図６】
2015133116.tif 000008
【外国語明細書】
2015133116000001.pdf