(57)【要約】【課題】構造の複雑化を最小限に抑制し、情報セキュリティを担保するための耐タンパ性を確保する。【解決手段】端末ＵＩアプリケーションＳＷ３１は、決済金額情報入力を受け付けると（Ｓ１）、カードの読取り操作を促すメッセージをタッチパネル１０の画面に表示させる（Ｓ２）。仮想ＰＩＮパッドＳＷ４は、ＰＩＮを入力する（Ｓ４）。キーパッド入出力／実行制御部ＳＷ１５は、入力されたＰＩＮとＩＣカードに登録されたＰＩＮとを照合する（Ｓ６）。両者が一致する場合、暗号化処理部ＳＷ１４は、入力されたＰＩＮを共通鍵で暗号化する（Ｓ７、ＳＴ５、ＳＴ６）。仮想化ハイパーバイザＳＷ５は、暗号化されたＰＩＮを非セキュア仮想マシンＳＷ３に送信し、決済アプリケーションＳＷ３２に決済処理を実行させる（Ｓ８、ＳＴ７）。【選択図】図３
2015171104.tif 000002
【特許請求の範囲】
【請求項１】
認証情報の入力を受け付ける認証情報入力部と、
耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない決済処理部を含む非セキュアな実行環境とを別個に提供する実行環境提供部と、
前記実行環境提供部により提供された前記セキュアな実行環境に設けられ、前記認証情報入力部に入力された前記認証情報を、前記決済処理部の決済先装置において復号可能な暗号鍵を用いて暗号化する第１の暗号化部と、を備え、
前記実行環境提供部は、
前記第１の暗号化部により提供された第１の暗号化認証情報を用いた前記決済先装置に対する決済処理を前記決済処理部に実行させる、
情報処理装置。
【請求項２】
請求項１に記載の情報処理装置であって、
前記認証情報入力部に入力された前記認証情報を暗号化する第２の暗号化部と、
前記セキュアな実行環境に設けられ、前記第２の暗号化部により生成された第２の暗号化認証情報を復号する暗号化解除部と、
前記暗号化解除部により復号された前記認証情報を、前記第１の暗号化部に暗号化させる制御部と、を更に備える、
情報処理装置。
【請求項３】
請求項２に記載の情報処理装置であって、
表示部、を更に備え、
前記制御部は、
前記認証情報の入力を促す旨を前記表示部に表示させる、
情報処理装置。
【請求項４】
決済処理部を含む情報処理装置における情報処理方法であって、
耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない前記決済処理部を含む非セキュアな実行環境とを別個に提供するステップと、
認証情報の入力を受け付けるステップと、
前記セキュアな実行環境において、入力された前記認証情報を、前記決済処理部の決済先装置において復号可能な暗号鍵を用いて暗号化するステップと、
前記暗号化により生成された暗号化認証情報を用いた前記決済先装置に対する決済処理を前記決済処理部に実行させるステップと、を有する、
情報処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、取引における決済処理を行うために使用される情報処理装置及び情報処理方法に関する。
【背景技術】
【０００２】
例えば、クレジットカードを使用した物品又は役務の（信用）取引においては、取引を行う人物と取引に使用されるクレジットカードの所有者とが同一人物であるかどうかを確認（本人確認）することにより、取引の安全性（セキュリティ）が確保されている。この本人確認は、取引の決済処理時に取引内容の印字された取引伝票に顧客がサインし、このサインとクレジットカードに記載されているサインとを店員が目視により対比することにより行われている。
【０００３】
近年、このような署名の入力及び表示が可能な端末装置は、スマートフォンやタブレット端末を用いて実現されている。スマートフォンやタブレット端末は民生用機器として多数流通しており、安価に調達して決済端末装置を構築することが可能となる。即ち、このような決済端末装置は、スマートフォンやタブレット端末等のように民生用機器として多数流通している情報端末を用いて構成できれば、決済端末装置自体を安価に調達可能である。また、決済処理その他の業務に用いられるアプリケーション（ソフトウェア）の開発プラットフォームの汎用化が可能となるので、開発資産の再利用や流用が容易となる。
【０００４】
しかしながら、民生用機器として使用されることを想定して設計された情報端末には、顧客の情報を保護して取引を安全に行うために必要な「耐タンパ性」が備わっていない。「耐タンパ性」とは、情報端末から情報を盗み出そうとする攻撃に対する耐性である。情報端末から情報を盗み出そうとする攻撃の対策として耐タンパ性を確保するため、決済処理に用いられるカードの認証情報に関わる部分（特許文献１では「セキュア部」と称されている。決済端末装置として必要な耐タンパ性を備える部分。）が汎用部分から分離された移動体装置が提案されている（例えば特許文献１参照）。
【０００５】
また、汎用な情報端末であっても、例えば暗証番号等のＰＩＮ（Personal Identification Number）を入力する際の情報セキュリティを確保することは必要であり、この種の耐タンパ性を確保するために、決済処理においてユーザにより入力されるＰＩＮを暗号化するＰＩＮＰＡＤを含むバンキングシステム（Banking System）が知られている（例えば特許文献２参照）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】米国特許出願公開第２０１０／０１４５８５４号明細書
【特許文献２】米国特許第８３７６２１９号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上述した特許文献１及び特許文献２を含む従来の情報処理装置では、耐タンパ性を確保しようとすると、ＰＩＮＰＡＤやタッチパネル等の入力装置の構成が複雑であるという課題があった。
【０００８】
本発明は、上述した従来の問題を解決するために、構造の複雑化を最小限に抑制し、情報セキュリティを担保するための耐タンパ性を確保する情報処理装置及び情報処理方法を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明は、認証情報の入力を受け付ける認証情報入力部と、耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない決済処理部を含む非セキュアな実行環境とを別個に提供する実行環境提供部と、前記実行環境提供部により提供された前記セキュアな実行環境に設けられ、前記認証情報入力部に入力された前記認証情報を、前記決済処理部の決済先装置において復号可能な暗号鍵を用いて暗号化する第１の暗号化部と、を備え、前記実行環境提供部は、前記第１の暗号化部により生成された第１の暗号化認証情報を用いた前記決済先装置に対する決済処理を前記決済処理部に実行させる、情報処理装置である。
【００１０】
この構成では、情報処理装置は、入力された認証情報を決済先装置において復号可能な暗号鍵を用いて暗号化し、この暗号化により生成された暗号化認証情報を、セキュアな実行環境、実行環境提供部、非セキュアな実行環境の決済処理部の順に渡して、決済処理部に決済先装置との間の決済処理を実行させる。
【００１１】
これにより、情報処理装置は、例えばハードウェア資源を用いて構成される認証情報入力部（例えばキーパッド部）を特許文献２のような特別な仕様にしなくても、セキュアな実行環境において入力された認証情報（例えばＰＩＮ）を決済先装置において復号可能な暗号鍵を用いて暗号化するので、認証情報のセキュリティを的確に担保することができる。言い換えると、情報処理装置は、構造の複雑化を最小限に抑制することができ、情報セキュリティを担保するための耐タンパ性を確保することができる。
【００１２】
また、本発明は、前記認証情報入力部に入力された前記認証情報を暗号化する第２の暗号化部と、前記セキュアな実行環境に設けられ、前記第２の暗号化部により生成された第２の暗号化認証情報を復号する暗号化解除部と、前記暗号化解除部により復号された前記認証情報を、前記第１の暗号化部に暗号化させる制御部と、を更に備える、情報処理装置である。
【００１３】
この構成では、情報処理装置は、入力された認証情報を暗号化し、更に、暗号化された認証情報をセキュアな実行環境において復号し、この復号された認証情報を再度、決済先装置において復号可能な暗号鍵を用いて暗号化する。
【００１４】
これにより、情報処理装置は、例えばハードウェア資源を用いて構成される認証情報入力部（例えばキーパッド部）と、仮想化ハイパーバイザにより提供されたセキュアな実行環境との間の通信路において、入力された暗証情報を通過させてセキュアな実行環境において復号するので、入力された認証情報の情報セキュリティを的確に担保することができる。
【００１５】
また、本発明は、表示部を備え、前記制御部は、前記認証情報の入力を促す旨を前記表示部に表示させる、情報処理装置である。
【００１６】
この構成では、情報処理装置は、認証情報の入力を促す旨を表示部に表示する。
【００１７】
これにより、情報処理装置は、例えば仮想化ハイパーバイザがセキュアな実行環境を提供した後に認証情報の入力をユーザに促すためのメッセージを表示部の画面に表示するので、ユーザに対する認証情報の入力に関する利便性を向上でき、更に、入力された認証情報のセキュリティを向上できる。
【００１８】
本発明は、決済処理部を含む情報処理装置における情報処理方法であって、耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない前記決済処理部を含む非セキュアな実行環境とを別個に提供するステップと、認証情報の入力を受け付けるステップと、前記セキュアな実行環境において、入力された前記認証情報を、前記決済処理部の決済先装置において復号可能な暗号鍵を用いて暗号化するステップと、前記暗号化により生成された暗号化認証情報を用いた前記決済先装置に対する決済処理を前記決済処理部に実行させるステップと、を有する、情報処理方法である。
【００１９】
この構成では、情報処理装置は、入力された認証情報を決済先装置において復号可能な暗号鍵を用いて暗号化し、この暗号化により生成された暗号化認証情報を、セキュアな実行環境、実行環境提供部、非セキュアな実行環境の決済処理部の順に渡して、決済処理部に決済先装置との間の決済処理を実行させる。
【００２０】
これにより、情報処理装置は、例えばハードウェア資源を用いて構成される認証情報入力部（例えばキーパッド部）を特許文献２のような特別な仕様にしなくても、セキュアな実行環境において入力された認証情報（例えばＰＩＮ）を決済先装置において復号可能な暗号鍵を用いて暗号化するので、認証情報のセキュリティを的確に担保することができる。言い換えると、情報処理装置は、構造の複雑化を最小限に抑制することができ、情報セキュリティを担保するための耐タンパ性を確保することができる。
【発明の効果】
【００２１】
本発明によれば、構造の複雑化を最小限に抑制し、情報セキュリティを担保するための耐タンパ性を確保することができる。
【図面の簡単な説明】
【００２２】
【図１】（Ａ）本実施形態における決済端末装置１の外観を示す正面図、（Ｂ）図１（Ａ）に示す決済端末装置の外観を示す側面図
【図２】本実施形態の決済端末装置のハードウェア構成の一例を具体的に示すブロック図
【図３】本実施形態の決済端末装置のソフトウェア機能を主としたシステム構成の一例を具体的に示すブロック図
【図４】仮想化ハイパーバイザを介した仮想ＰＩＮパッドとＰＩＮ入力部との間の通信動作を説明するシーケンス図
【図５】本実施形態の決済端末装置の決済処理時における第一の動作手順を詳細に説明するフローチャート
【図６】本実施形態の決済端末装置の決済処理時における第二の動作手順を詳細に説明するフローチャート
【図７】図５に示すステップＳ４の仮想ＰＩＮパッドにおけるＰＩＮ入力の動作手順を詳細に説明するフローチャート
【図８】（Ａ）決済端末装置における決済金額情報及びカードの読取り操作を促すメッセージが表示されたタッチパネルの画面を示す図、（Ｂ）ＰＩＮの入力を促すメッセージが表示されたタッチパネルの画面を示す図
【図９】（Ａ）キーパッド部に対するユーザのＰＩＮ情報の入力操作によりＰＩＮが１桁入力された状態を示すボックスの画面を示す図、（Ｂ）ＰＩＮが４桁全て入力された状態を示すボックスの画面を示す図
【図１０】本実施形態の変形例における決済端末装置の外観を示す正面図
【図１１】本実施形態の変形例における決済端末装置のソフトウェア機能を主としたシステム構成の一例を具体的に示すブロック図
【発明を実施するための形態】
【００２３】
以下、本発明に係る情報処理装置及び情報処理方法の実施形態（以下、「本実施形態」という）について、図面を参照して説明する。以下の本実施形態では、本発明に係る情報処理装置の一例として、商品又は役務の取引における決済処理の際に用いられる決済端末装置を例示して説明する。なお、本発明は、情報処理装置及び情報処理方法に限らず、情報処理装置に対して情報処理方法の動作を実行させるためのコンピュータ読み取り可能な記録媒体や、情報処理装置に対して情報処理方法の動作を実行させるためのプログラムとして表現しても良い。
【００２４】
図１（Ａ）は、本実施形態の決済端末装置１の外観を示す正面図である。図１（Ｂ）は、図１（Ａ）に示す決済端末装置１の外観を示す側面図である。本実施形態の決済端末装置１は、可搬型であり、例えば商品又は役務の取引における決済処理を含む各種情報処理を行う情報処理部２を備える構成である。
【００２５】
以下の説明において、「セキュア」とは、決済端末装置として、第三者（悪意のある第三者や、マルウェア等のウイルス若しくは不正アプリケーション）からの情報に対する中間者攻撃に対して必要な耐タンパ性を備えることを意味し、「非セキュア」とは、そのような耐タンパ性を備えていないことを意味する。
【００２６】
図１（Ａ）に示す決済端末装置１は、例えば磁気カードに記録されたカード情報を読み取るために磁気カードのスライド用のパスとなるスリット５を、情報処理部２の上側面６に備える。決済端末装置１は、例えば接触型ＩＣカードに記録されたカード情報を読み取るために接触型ＩＣカードが挿入される挿入口７を、情報処理部２の下側面８に備える。決済端末装置１は、例えば非接触型ＩＣカードに記録されたカード情報を読み取るためのループアンテナ３８を決済端末装置１の内部に備える。
【００２７】
また、決済端末装置１は、入力部及び表示部の一例として機能するタッチパネル１０を、情報処理部２の前面９に備える（図１（Ａ）参照）。
【００２８】
（決済端末装置のハードウェア構成）
図２は、本実施形態の決済端末装置１のハードウェア構成の一例を具体的に示すブロック図である。図２に示す決済端末装置１は、ＣＰＵ２１と、局所無線通信アンテナ２３が接続された局所無線通信部２２と、広域無線通信アンテナ２５が接続された広域無線通信部２４と、表示部２９と、タッチ入力検出部３０と、フラッシュＲＯＭ３２と、ＲＡＭ３３と、キーパッド部３４と、磁気カードリーダ部３５と、電源部３６と、バッテリ３７と、ループアンテナ３８が接続された非接触型ＩＣカードリーダライタ部４３と、接触型ＩＣカードリーダ部４４とを含む構成である。
【００２９】
また、決済端末装置１は、図３に示すように、例えばＣＰＵ２１を用いて実現可能な仮想化ハイパーバイザＳＷ５において、仮想的にセキュアな実行環境と仮想的に非セキュアな実行環境とを提供する。仮想化ハイパーバイザＳＷ５は、セキュアな実行環境と非セキュアな実行環境とを、例えば仮想マシン（ＶＭ：Virtual Machine）にて提供する。
【００３０】
決済端末装置１の情報処理部２は、図２に示す決済端末装置１の各部の処理を全体的に司るＣＰＵ（Central Processing Unit）２１を備える。図２では、決済端末装置１の各部がＣＰＵ２１に接続されている。
【００３１】
局所無線通信部２２は、局所無線通信アンテナ２３と接続されており、不図示の局所無線通信路を介して、例えば無線ＬＡＮ（Local Area Network）による無線通信を行う。局所無線通信は、例えば無線ＬＡＮに限定されず、Ｂｌｕｅｔｏｏｔｈ（登録商標）その他でも良い。
【００３２】
広域無線通信部２４は、広域無線通信アンテナ２５と接続されており、不図示の広域無線通信路（ＷＡＮ：Wide Area Network）を介して、広域無線通信を行う。広域無線通信は、例えばＷ−ＣＤＭＡ（Wideband Code Division Multiple Access）、ＵＭＴＳ（Universal Mobile Telecommunications System）、ＣＤＭＡ（Code Division Multiple Access）２０００、ＬＴＥ（Long Term Evolution）等の携帯電話回線による通信を用いることができる。
【００３３】
表示部２９は、例えばＬＣＤ（Liquid Crystal Display）又は有機ＥＬ（Electroluminescence）を用いて構成され、ＣＰＵ２１が表示を指示した情報又はデータを図１に示すタッチパネル１０に対して表示する。タッチ入力検出部３０は、タッチパネル１０に対するユーザ（例えばクレジットカードの登録加盟店の店員、商品を購入した顧客）のタッチ入力を検出する。
【００３４】
フラッシュＲＯＭ（Read Only Memory）３２は、各種のデータを記憶する。記憶されるデータは、例えば業務に関わるデータでも良いし、決済端末装置１（主に情報処理部２）の動作を制御するためのプログラムでも良い。また、プログラムには、決済処理用のアプリケーション（ソフトウェア）等、決済端末装置１の動作に係る各種プログラムが含まれる。このため、フラッシュＲＯＭ３２は、プログラムを記録する記録媒体としての機能を有する。
【００３５】
ＲＡＭ（Random Access Memory）３３は、決済端末装置１（主に情報処理部２）の動作に伴う演算処理等の際に、その途中において発生する処理データを一時的に記憶する等のために用いられるワークメモリである。
【００３６】
キーパッド部３４は、図３に示すハードウェアＨＷ０に設けられた認証情報入力部の一例としてのＰＩＮ（Personal Identification Number）入力部ＨＷ１のキーパッド部３４に対応し、ユーザからのキー入力を受け付ける。
【００３７】
磁気カードリーダ部３５は、図１に示すスリット５の内部に配置され、磁気カードに印字されたカード情報としての磁気ストライプを読み取る。磁気カードリーダ部３５により読み取られたカード情報はＣＰＵ２１に入力される。
【００３８】
非接触型ＩＣカードリーダライタ部４３は、ループアンテナ３８と接続されており、非接触型ＩＣカードに記録されたカード情報を読み取る。非接触型ＩＣカードリーダライタ部４３により読み取られたカード情報はＣＰＵ２１に入力される。
【００３９】
接触型ＩＣカードリーダ部４４は、図１に示す挿入口７の内部に配置され、挿入口７に挿入された接触型ＩＣカードの電極を介して、接触型ＩＣカードに記録されたカード情報を読み取る。接触型ＩＣカードリーダ部４４により読み取られたカード情報はＣＰＵ２１に入力される。
【００４０】
電源部３６は、主に情報処理部２の電源であり、バッテリ３７に蓄積された電力の供給を受けて、ＣＰＵ２１を含む情報処理部２の各部へ電源を供給する。ＣＰＵ２１は、電源部３６を制御することで、情報処理部２を構成する一部又は全体の回路に対して電源供給を行ったり停止したりすることが可能である。電源部３６の電源供給先としては、ＣＰＵ２１以外に、局所無線通信部２２、広域無線通信部２４、表示部２９、タッチ入力検出部３０、非接触型ＩＣカードリーダライタ部４３、接触型ＩＣカードリーダ部４４、キーパッド部３４、磁気カードリーダ部３５等の各部である。
【００４１】
以上の構成を含む決済端末装置１は、以下のような特徴を有する。
【００４２】
本実施形態では、情報処理部２は、表示部２９とタッチ入力検出部３０とにより構成されるタッチパネル１０（図１及び図２参照）と、外部の接続先機器（例えば決済センタ５０）との通信が可能な局所無線通信部２２或いは広域無線通信部２４とを含む。
【００４３】
近年、カードを用いた取引の決済として従来から使用されてきた磁気カードに、接触型ＩＣカード、非接触型ＩＣカード、電子マネーが加わり、カードを用いた取引の決済のスキームは多様化している。新たな決済のスキームの追加に伴って、決済端末装置１の開発費や価格は上昇する一方である。ここで、情報処理部２がスマートフォンやタブレット端末等の多数流通している民生用機器であれば、決済端末装置１自体の価格を安価にすることが可能となるので、決済端末装置１としての開発費の上昇は、最小限に抑えられる。
【００４４】
この場合、情報処理部２には、汎用ＯＳ（例えば図３に示す仮想化ハイパーバイザＳＷ５参照）がソフトウェアプラットフォームとして採用されている。従って、決済用のアプリケーション（決済アプリケーション）及びその他の業務に用いられるアプリケーション（以下、「業務アプリケーション」という）の開発プラットフォームが汎用化されるので、開発資産の再利用や流用は容易となる。また、情報処理部２の構成に民生用機器を用いることができれば、情報処理部２は、動画の録画及び再生がストレスなく可能な程度に高い演算処理能力を備えるため、決済アプリケーションと業務アプリケーションとを、ストレスなく柔軟に動作させることができる。
【００４５】
（決済端末装置のソフトウェア機能を主としたシステム構成）
図３は、本実施形態の決済端末装置１のソフトウェア機能を主としたシステム構成の一例を具体的に示すブロック図である。図３では、決済端末装置１の情報処理部２のＣＰＵ２１において実行される各動作がソフトウェアの機能ブロックとして示されている。具体的には、仮想化ハイパーバイザＳＷ５と、セキュア画面ＵＩアプリケーションＳＷ１１と、ＬＥＤ表示アプリケーションＳＷ１２と、ＩＣカード入出力ドライバＳＷ１３と、暗号化処理部ＳＷ１４と、キーパッド入出力／実行制御部ＳＷ１５と、暗号化解除部ＳＷ１６と、キーパッドドライバＳＷ１７と。ディスプレイドライバＳＷ１８と、ＩＣカードリーダドライバＳＷ１９と、ＬＥＤドライバＳＷ２０と、ゲストＯＳ１ＳＷ２１と、端末ＵＩアプリケーションＳＷ３１と、決済アプリケーションＳＷ３２と、センタ接続アプリケーションＳＷ３３と、ディスプレイドライバＳＷ３４と、ゲストＯＳ２ＳＷ３５との各機能がＣＰＵ２１において実行（実装）される。なお、図３において、符号ＳＴ１〜ＳＴ７は、セキュアな実行環境において認証情報の一例としてのＰＩＮ情報に関する処理の手順を示す。
【００４６】
仮想化ハイパーバイザＳＷ５は、決済端末装置１のハードウェアＨＷ０に対し、セキュアな実行環境を提供するセキュア仮想マシン（Secure VM）ＳＷ１と、非セキュアな実行環境を提供する非セキュア仮想マシン（Non-Secure VM）ＳＷ３とを別個に提供する。
【００４７】
セキュア仮想マシンＳＷ１は、セキュア画面ＵＩアプリケーションＳＷ１１と、ＬＥＤ表示アプリケーションＳＷ１２と、ＩＣカード入出力ドライバＳＷ１３と、暗号化処理部ＳＷ１４と、キーパッド入出力／実行制御部ＳＷ１５と、暗号化解除部ＳＷ１６と、キーパッドドライバＳＷ１７と、ディスプレイドライバＳＷ１８と、ＩＣカードリーダドライバＳＷ１９と、ＬＥＤドライバＳＷ２０と、ゲストＯＳ１＿ＳＷ２１とを含む構成である。
【００４８】
ゲストＯＳ（Operating System）１ＳＷ２１は、セキュアな実行環境を実現するためのセキュア仮想マシンＳＷ１を制御する基本ソフトウェアであり、例えばＷｉｎｄｏｗｓ（登録商標）又はＬｉｎｕｘ（登録商標）である。
【００４９】
キーパッドドライバＳＷ１７は、キーパッド部３４の動作を制御し、後述するセキュアな通信路５３を介してＰＩＮ入力部ＨＷ１から暗号化ＰＩＮを入力し、暗号化解除部ＳＷ１６を介してキーパッド入出力／実行制御部ＳＷ１５に出力する。
【００５０】
暗号化解除部ＳＷ１６は、ＰＩＮ入力部ＨＷ１の暗号化部ＨＷ２との間で共通鍵を共有しており、キーパッドドライバＳＷ１７から出力された暗号化ＰＩＮを復号する。暗号化解除部ＳＷ１６は、復号により得られたＰＩＮ情報をキーパッド入出力／実行制御部ＳＷ１５に出力する。ちなみに、ＰＩＮ入力部ＨＷ１と暗号化部ＨＷ２との間における暗号化ＰＩＮの受け渡しについては、共通鍵の代わりに、公開鍵暗号方式による暗号化／複合化が行われてもよい。
【００５１】
制御部の一例としてのキーパッド入出力／実行制御部ＳＷ１５は、認証情報（例えば暗証番号）であるＰＩＮ情報の入出力の管理、及び当該ＰＩＮ情報の入出力に関する動作の実行を制御する。キーパッド入出力／実行制御部ＳＷ１５は、ＰＩＮ情報とＩＣカードに登録されたＰＩＮ情報とを照合し、照合の結果、両者が一致すると判断した場合に、ＰＩＮ情報を暗号化処理部ＳＷ１４に出力し、ＰＩＮ情報を暗号化処理部ＳＷ１４に暗号化させる。キーパッド入出力／実行制御部ＳＷ１５は、ＰＩＮ情報をユーザに対して入力を促す旨のメッセージの表示をセキュア画面ＵＩアプリケーションＳＷ１１に指示する。
【００５２】
第１の暗号化部の一例としての暗号化処理部ＳＷ１４は、決済センタ５０において復号可能な暗号鍵を所持しており、この暗号鍵を用いて、キーパッド入出力／実行制御部ＳＷ１５から出力されたＰＩＮ情報を暗号化してキーパッド入出力／実行制御部ＳＷ１５に出力する。なお、暗号化処理には、決済センタ５０と同じ鍵を用いた共通鍵方式による暗号化でも良いし、暗号化処理部ＳＷ１４及び決済センタ５０が各自の秘密鍵を所持し、かつ相手の公開鍵を所持する公開鍵暗号方式による暗号化でも良い。
【００５３】
セキュア画面ＵＩアプリケーションＳＷ１１は、キーパッド入出力／実行制御部ＳＷ１５からの指示に応じて、セキュアな情報が入力される表示画面をタッチパネル１０に表示する。具体的には、セキュア画面ＵＩアプリケーションＳＷ１１は、ＰＩＮ情報の入力をユーザに対して促すためのメッセージを表示し、入力されるＰＩＮ情報を隠すためにアスタリスク（＊）を桁単位で表示し、又は決済処理を中止した旨のメッセージを表示する。
【００５４】
ディスプレイドライバＳＷ１８は、タッチパネル１０を構成する表示部２９の動作を制御し、例えばキーパッド入出力／実行制御部ＳＷ１５やセキュア画面ＵＩアプリケーションＳＷ１１から出力された文字若しくは画像のデータを取得して表示部２９に表示させる。
【００５５】
ＬＥＤ表示アプリケーションＳＷ１２は、不図示のＬＥＤ（Light Emitting Diode）の表示データを生成してＬＥＤドライバＳＷ２０に出力する。
【００５６】
ＬＥＤドライバＳＷ２０は、ＬＥＤ表示アプリケーションＳＷ１２から出力された表示データに従って、ＬＥＤの点灯又は消灯の動作を制御する。
【００５７】
ＩＣカードリーダドライバＳＷ１９は、接触型ＩＣカードリーダ部４４や非接触型ＩＣカードリーダライタ部４３の動作を制御し、読み取られたカード情報をＩＣカード入出力ドライバＳＷ１３に渡す。このＩＣカードリーダドライバＳＷ１９は、磁気カードリーダ部３５、非接触型ＩＣカードリーダライタ部４３及び接触型ＩＣカードリーダ部４４のそれぞれに対して、独立した個別のカードリーダドライバが実装されてもよい。
【００５８】
ＩＣカード入出力ドライバＳＷ１３は、ＩＣカードリーダドライバＳＷ１９から出力されたカード情報をキーパッド入出力／実行制御部ＳＷ１５に出力する。
【００５９】
図３に示す仮想ＰＩＮパッド（ＶＭ＿ＰＩＮＰＡＤ）ＳＷ４は、ＰＩＮ入力部ＨＷ１のキーパッド部３４から入力されたＰＩＮ情報を、決済センタ５０において復号可能に暗号化された暗号化ＰＩＮ情報に変換する。仮想ＰＩＮパッドＳＷ４は、セキュア仮想マシンＳＷ１において設けられ、キーパッドドライバＳＷ１７と、暗号化解除部ＳＷ１６と、キーパッド入出力／実行制御部ＳＷ１５と、暗号化処理部ＳＷ１４と、セキュア画面ＵＩアプリケーションＳＷ１１の一部と、ディスプレイドライバＳＷ１８の一部とを含む構成である。
【００６０】
非セキュアな仮想マシンＳＷ３は、端末ＵＩアプリケーションＳＷ３１と、決済アプリケーションＳＷ３２と、センタ接続アプリケーションＳＷ３３と、ディスプレイドライバＳＷ３４と、ゲストＯＳ２＿ＳＷ３５とを含む構成である。
【００６１】
ゲストＯＳ２ＳＷ３５は、非セキュアな実行環境を実現するための非セキュア仮想マシンＳＷ３を制御するための基本ソフトウェアであり、例えばＷｉｎｄｏｗｓ（登録商標）又はＬｉｎｕｘ（登録商標）である。
【００６２】
端末ＵＩアプリケーションＳＷ３１は、決済アプリケーションＳＷ３２からの指示に応じて、非セキュアな情報が入力される表示画面をタッチパネル１０に表示する。例えば、端末ＵＩアプリケーションＳＷ３１は、決済アプリケーションＳＷ３２が起動している状態において、決済処理における各種の情報を表示させ、各種の入力操作を受け付ける。
【００６３】
決済アプリケーションＳＷ３２は、センタ接続アプリケーションＳＷ３３によって接続される外部の決済先装置の一例としての決済センタ５０との間で通信を行う汎用的なアプリケーションである。また、決済アプリケーションＳＷ３２は、セキュア仮想マシンＳＷ１の仮想ＰＩＮパッドＳＷ４により生成された暗号化ＰＩＮ情報を、仮想化ハイパーバイザＳＷ５から取得し、この暗号化ＰＩＮ情報を含む決済処理を、決済センタ５０との間で行う。
【００６４】
ディスプレイドライバＳＷ３４は、タッチパネル１０を構成する表示部２９の動作を制御し、例えばキーパッド入出力／実行制御部ＳＷ１５や決済アプリケーションＳＷ３２から出力された決済画面、又は、端末ＵＩアプリケーションＳＷ３１から出力された文字若しくは画像のデータを取得して表示部２９に表示させる。
【００６５】
センタ接続アプリケーションＳＷ３３は、決済アプリケーションＳＷ３２から出力されたデータを用いた決済処理の申請を決済アプリケーションＳＷ３２により決定された接続先機器である決済センタ５０等に送信するように、局所無線通信部２２又は広域無線通信部２４に指示する。
【００６６】
実行環境提供部の一例としての仮想化ハイパーバイザＳＷ５は、図３に示すハードウェアＨＷ０をエミュレートするためのプログラムであり、複数のＯＳが独立して並列に動作するような複数の実行環境を別個に提供する。ＰＩＮ入力部ＨＷ１の暗号化部ＨＷ２と、セキュアなＶＭ  ＰＩＮパッド内にあるキーパッドドライバＳＷ１７は、それらの間に専用のセキュアな通信路５３を生成する。ＰＩＮ入力部ＨＷ１のキーパッド部に入力されたＰＩＮ情報は、暗号化部ＨＷ２によって暗号化される。暗号化部ＨＷ２により生成された暗号化ＰＩＮ情報は、通信路５３を介してキーパッドドライバＳＷ１７に出力される。仮想化ハイパーバイザＳＷ５は、暗号化処理部ＳＷ１４により生成された暗号化ＰＩＮ情報をキーパッド入出力／実行制御部ＳＷ１５から取得し、非セキュア仮想マシンＳＷ３の決済アプリケーションＳＷ３２に渡す。
【００６７】
ＰＩＮ入力部ＨＷ１は、キーパッド部３４とキーパッド部３４により入力されたＰＩＮ情報を暗号化する第２の暗号化部の一例としての暗号化部ＨＷ２とを含む構成である。暗号化部ＨＷ２の暗号化において用いられる暗号鍵は、例えば暗号化解除部ＳＷ１６と共有する共通鍵である。但し、暗号鍵は共通鍵に限定されない。
【００６８】
次に、仮想化ハイパーバイザＳＷ５を介した仮想ＰＩＮパッドＳＷ４とＰＩＮ入力部ＨＷ１との間の通信動作について、図４を参照して説明する。図４は、仮想化ハイパーバイザＳＷ５を介した仮想ＰＩＮパッドＳＷ４とＰＩＮ入力部ＨＷ１との間の通信動作を説明するシーケンス図である。
【００６９】
図４において、まず、ＰＩＮ入力部ＨＷ１の暗号化部ＨＷ２と仮想ＰＩＮパッドＳＷ４の暗号化解除部ＳＷ１６との間で、例えば共通鍵暗号方式が用いられる場合には、仮想ＰＩＮパッドＳＷ４とＰＩＮ入力部ＳＷ７との間で共通鍵の交換（KEY EXCHANGE）が行われる（Ｔ１）。
【００７０】
共通鍵の交換が終了した後、仮想ＰＩＮパッドＳＷ４とＰＩＮ入力部ＳＷ７との間で、暗号化通信のためのセキュアな通信路５３が形成される（Ｔ２）。ステップＴ２の後、ユーザによりＰＩＮ情報が入力された場合に、仮想ＰＩＮパッドＳＷ４とＰＩＮ入力部ＳＷ７との間で、ＰＩＮ入力部ＨＷ１により生成された暗号化ＰＩＮ情報が送受信される（Ｔ３）。
【００７１】
更に、仮想ＰＩＮパッドＳＷ４とＰＩＮ入力部ＳＷ７との間で、暗号化ＰＩＮ情報の確定或いは取消のための操作指示の送受信が行われる（Ｔ４）。
【００７２】
（決済端末装置１の決済処理時における動作手順）
次に、本実施形態の決済端末装置１の決済処理時における動作について、図５を参照して説明する。図５は、本実施形態の決済端末装置１の決済処理時における第一の動作手順を詳細に説明するフローチャートである。図６は、本実施形態の決済端末装置１の決済処理時における第二の動作手順を詳細に説明するフローチャートである。決済端末装置１は、情報処理部２（図１及び図２参照）にインストールされた決済アプリケーションＳＷ３２（図３参照）を実行させて、決済処理の手続を開始する。
【００７３】
図５において、端末ＵＩアプリケーションＳＷ３１は、決済金額情報及び支払方法の入力を受け付けると（Ｓ１）、カードの読取り操作を促すためのメッセージをタッチパネル１０の画面（図８（Ａ）参照）に表示させる（Ｓ２）。
【００７４】
セキュア仮想マシンＳＷ１（セキュアＶＭ）により提供されるセキュアな実行環境において、ＩＣカード入出力ドライバＳＷ１３は、ユーザのＩＣカードのスリット５へのスライド、挿入口７への挿入又は決済端末装置１の前面９への近接のいずれかの操作により、ＩＣカードを読み取れるまで待機する（Ｓ３）。ＩＣカードが読み取られると（Ｓ３、ＹＥＳ）、仮想ＰＩＮパッドＳＷ４は、暗号化ＰＩＮ情報の入力を受け付ける（Ｓ４）。ステップＳ４の暗号化ＰＩＮ情報の入力手順の詳細については、図７を参照して後述する。
【００７５】
ステップＳ４の後、セキュア仮想マシンＳＷ１（セキュアＶＭ）により提供されるセキュアな実行環境内にある仮想ＰＩＮパッドＳＷ４は、ＰＩＮ入力部ＨＷ１から出力された暗号化ＰＩＮ情報の入力の受け付けが完了したか否か判別し（Ｓ５）、完了していない場合には（Ｓ５、ＮＯ）、仮想ＰＩＮパッドＳＷ４の動作はステップＳ４に戻り、再度、仮想ＰＩＮパッドＳＷ４は、暗号化ＰＩＮ情報の入力を受け付ける。
【００７６】
キーパッド入出力／実行制御部ＳＷ１５は、ステップＳ４（特に図７に示すステップＳ１５）において復号されたＰＩＮ情報とステップＳ３において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するか否かを照合する（Ｓ６）。図５に示すＰＩＮ照合が必要な決済処理時における第一の動作手順において、ステップＳ４において入力されたＰＩＮ情報は、ステップＳ３において読み取りを行ったＩＣカード（不図示）が復号可能な鍵によって暗号化されてもよい。ステップＳ４においてタッチパネル１０により入力されたＰＩＮ情報は、暗号化処理部ＳＷ１４に出力され、暗号化処理部ＳＷ１４により暗号化されてもよい。又は、このようなＰＩＮ情報の暗号化は、暗号化処理部ＳＷ１４とは別に設けられた不図示の暗号化処理部により行われてもよい。そして、暗号化処理部ＳＷ１４又は不図示の暗号化処理部により暗号化されたＰＩＮ情報（暗号化ＰＩＮ情報）は、キーパッド入出力／実行制御部ＳＷ１５に出力されてもよい。
【００７７】
キーパッド入出力／実行制御部ＳＷ１５は、ＰＩＮ情報又は暗号化ＰＩＮ情報を、ＩＣカード入出力ドライバＳＷ１３及びＩＣカードリーダドライバＳＷ１９を介して、ＩＣカードに渡す。ＩＣカードは、キーパッド入出力／実行制御部ＳＷ１５より得られたＰＩＮ情報又は暗号化ＰＩＮ情報を復号したデータとＩＣカードに予め登録されているＰＩＮ情報とを照合し、それらのＰＩＮの照合結果を出力する（Ｓ８Ａ）。キーパッド入出力／実行制御部ＳＷ１５は、ＩＣカードから出力されたＰＩＮの照合結果を、ＩＣカードリーダドライバＳＷ１９及びＩＣカード入出力ドライバＳＷ１３を介して入力する。キーパッド入出力／実行制御部ＳＷ１５は、ＩＣカードから出力されたＰＩＮの照合結果を、ＩＣカードリーダドライバＳＷ１９及びＩＣカード入出力ドライバＳＷ１３を介して入力する。
【００７８】
キーパッド入出力／実行制御部ＳＷ１５は、ステップＳ４において入力されたＰＩＮ情報とステップＳ３において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果がＩＣカードから得られれば、ゲストＯＳ１（ＳＷ２１）、仮想化ハイパーバイザＳＷ５およびゲストＯＳ２（ＳＷ３５）を介して、非セキュア仮想マシンＳＷ３の決済アプリケーションＳＷ３２に対して、その後の決済処理としての売上処理を指示する（Ｓ７、図３のＳＴ７参照）。
【００７９】
非セキュア仮想マシンＳＷ３上において、決済アプリケーションＳＷ３２は、ステップＳ４において入力されたＰＩＮ情報とステップＳ３において読み取られたＩＣカードに登録されたＰＩＮ情報とが一致するという照合結果が得られれば（Ｓ６、ＹＥＳ）、その後の決済処理としての売上処理を行う（Ｓ７）。売上処理後の売上処理データは、センタ接続アプリケーションＳＷ３３を介して、決済センタ５０へと送信される。なお、ステップＳ７に示す売上処理データの売上処理は、顧客が商品を購入した場合又は役務の提供を受けた場合に都度、実行されても良いし、決済端末装置１と決済センタ５０との通信が所定のタイミング（例えば１週間に１回）において行われ、その際に他の売上処理データとともに一括で処理されても良い。
【００８０】
一方、キーパッド入出力／実行制御部ＳＷ１５は、ステップＳ６における照合の結果、両者が一致しないと判断した場合（Ｓ６、ＮＯ）には、セキュア画面ＵＩアプリケーションＳＷ１１に対し、タッチパネル１０に決済処理を中止する旨のメッセージの表示を実行させる（Ｓ８）。キーパッド入出力／実行制御部ＳＷ１５は決済アプリケーションＳＷ３２に対して売上処理を指示せず、その後の決済処理の手続は中止される。
【００８１】
図６に示すＰＩＮ照合が必要な決済処理時における第二の動作手順において、キーパッド入出力／実行制御部ＳＷ１５は、ＰＩＮ情報を暗号化処理部ＳＷ１４に出力し、ＰＩＮ情報を暗号化処理部ＳＷ１４に暗号化させる。
【００８２】
暗号化処理部ＳＷ１４は、決済センタ５０において復号可能な暗号鍵を用いて、キーパッド入出力／実行制御部ＳＷ１５から出力されたＰＩＮ情報を暗号化してキーパッド入出力／実行制御部ＳＷ１５に出力する（Ｓ６Ａ、図３のＳＴ５、ＳＴ６参照）。
【００８３】
キーパッド入出力／実行制御部ＳＷ１５は、暗号化ＰＩＮ情報（暗号化入力ＰＩＮ）を、ゲストＯＳ１（ＳＷ２１）、仮想化ハイパーバイザＳＷ５およびゲストＯＳ２（ＳＷ３５）を介して、非セキュア仮想マシン（非セキュアＶＭ）により提供される非セキュア仮想マシンＳＷ３上の決済アプリケーションＳＷ３２に渡す。仮想化ハイパーバイザＳＷ５は、暗号化処理部ＳＷ１４により生成された暗号化ＰＩＮ情報をキーパッド入出力／実行制御部ＳＷ１５から取得して非セキュア仮想マシンＳＷ３の決済アプリケーションＳＷ３２に渡す（Ｓ７Ａ、図３のＳＴ７参照）。非セキュア仮想マシンＳＷ３上において、決済アプリケーションＳＷ３２は、センタ接続アプリケーションＳＷ３３を介して決済センタ５０と通信を行い、ステップＳ６Ａにおいて生成された暗号化ＰＩＮ情報を送信し、ステップＳ４において読み取られたカードのカード情報を用いた与信照会を行う。
【００８４】
決済センタ５０は、決済端末装置１の決済アプリケーションＳＷ３２から受信したＰＩＮ情報を復号し、決済センタ５０において管理されているＰＩＮ情報と復号されたＰＩＮとを照合する（Ｓ８Ａ）。これら２つのＰＩＮ情報が一致し、かつ照合対象のカードが取引上問題無いと確認された（例えばブラックリストに載っていない）場合（Ｓ８Ａ、ＹＥＳ）、決済センタ５０は、決済端末装置１のセンタ接続アプリケーションＳＷ３３を介して、決済アプリケーションＳＷ３２に対して与信を行う。
【００８５】
決済端末装置１の決済アプリケーションＳＷ３２は、ステップＳ１１Ａにおける決済センタ５０の与信を受けて、その後の決済処理としての売上処理を行い（Ｓ９Ａ）、決済センタ５０との通信を終了する。なお、ステップＳ９Ａに示す売上処理データの売上処理は、顧客が商品を購入した場合又は役務の提供を受けた場合に都度実行されても良いし、決済端末装置１と決済センタ５０との通信が所定のタイミング（例えば１週間に１回）において行われ、その際に他の売上処理データとともに一括で処理されても良い。
【００８６】
一方、キーパッド入出力／実行制御部ＳＷ１５は、ステップＳ８Ａにおける照合の結果、両者が一致しないと判断した場合（Ｓ８Ａ、ＮＯ）には、セキュア画面ＵＩアプリケーションＳＷ１１に対し、タッチパネル１０に決済処理を中止する旨のメッセージの表示を実行させる（Ｓ１０）。キーパッド入出力／実行制御部ＳＷ１５は決済アプリケーションＳＷ３２に対して売上処理を指示せず、その後の決済処理の手続は中止される。
【００８７】
次に、仮想ＰＩＮパッドＳＷ４におけるＰＩＮ入力の動作手順について、図７を参照して説明する。図７は、図５に示すステップＳ４の仮想ＰＩＮパッドＳＷ４におけるＰＩＮ入力の動作手順を詳細に説明するフローチャートである。
【００８８】
図７において、ＰＩＮ入力部ＨＷ１の暗号化部ＨＷ２と仮想ＰＩＮパッドＳＷ４の暗号化解除部ＳＷ１６との間で、例えば共通鍵暗号方式が用いられる場合には、仮想ＰＩＮパッドＳＷ４とＰＩＮ入力部ＳＷ７との間で共通鍵の交換（KEY EXCHANGE）が行われる（Ｓ１１、図４のＴ１参照）。
【００８９】
共通鍵の交換が終了した後、仮想化ハイパーバイザＳＷ５は、仮想ＰＩＮパッドＳＷ４とＰＩＮ入力部ＳＷ７との間でセキュアな通信路５３を確立する。即ち、仮想ＰＩＮパッドＳＷ４とＰＩＮ入力部ＳＷ７との間で、暗号化通信のためのセキュアな通信路５３が形成される（Ｓ１２、図４のＴ２参照）。
【００９０】
ステップＳ１２の後、セキュア画面ＵＩアプリケーションＳＷ１１は、ＰＩＮの入力をユーザに対して促すためのメッセージをタッチパネル１０に表示する（Ｓ１３、図３のＳＴ１、ＳＴ２、図８（Ｂ）参照）。ユーザは、タッチパネル１０に表示されたメッセージを確認して、ＰＩＮ入力部ＨＷ１のキーパッド部３４に対し、ユーザ個人の認証情報（例えば暗証番号）としてのＰＩＮを入力したとする。
【００９１】
暗号化部ＨＷ２は、ユーザのキーパッド部３４に対する入力により、得られたＰＩＮ情報を暗号化して仮想化ハイパーバイザＳＷ５に出力する。仮想化ハイパーバイザＳＷ５は、暗号化ＰＩＮ情報を、通信路５３を介してキーパッドドライバＳＷ１７に出力する。キーパッドドライバＳＷ１７は、暗号化ＰＩＮ情報を暗号化解除部ＳＷ１６に出力する。
【００９２】
暗号化解除部ＳＷ１６は、キーパッドドライバＳＷ１７から出力された暗号化ＰＩＮを入力する（Ｓ１４、図３のＳＴ３、図９（Ｃ）、（Ｄ）参照）。暗号化解除部ＳＷ１６は、ステップＳ１１において交換した共通鍵を用いて、入力された暗号化ＰＩＮを復号することにより、ＰＩＮ情報の暗号化を解除する（Ｓ１５、図３のＳＴ４参照）。この後、図５に示すフローチャートの処理に復帰して、同図のステップＳ５に進む。
【００９３】
図８（Ａ）は、決済端末装置１における決済金額情報（図５に示すステップＳ１参照）及びカードの読取り操作を促すメッセージ（図５に示すステップＳ２参照）が表示されたタッチパネル１０の画面を示す図である。具体的には、図８（Ａ）では、決済端末装置１のタッチパネル１０には、「購入金額合計  ￥１２８，０００（税込）」及び「カードの読取りを行って下さい。」の文字が画面に表示されている。
【００９４】
図８（Ｂ）は、ＰＩＮの入力を促すメッセージ（図７に示すステップＳ１３参照）が表示されたタッチパネル１０の画面を示す図である。具体的に、ＰＩＮが入力されるボックス６１、「暗証番号を入力して下さい」の文字、及びキーパッド部３４を指し示す矢印６３が画面に表示される。
【００９５】
図９（Ａ）は、キーパッド部３４に対するユーザのＰＩＮ情報の入力操作によりＰＩＮが１桁入力された状態（図７に示すステップＳ１３及びＳ１４参照）を示すボックス６１の画面を示す図である。入力された数字はアスタリスク「＊」で表示される。図９（Ｂ）は、ＰＩＮが４桁全て入力された状態を示すボックス６１の画面を示す図である。本実施形態におけるＰＩＮは４桁であるが、もっと多くの桁数（例えば１２桁）であってもよい。
【００９６】
以上により、本実施形態の決済端末装置１は、ＰＩＮ入力部ＨＷ１により入力された認証情報（例えば暗証番号としてのＰＩＮ）を、決済センタ５０において復号可能な暗号鍵を用いて暗号化し、この暗号化により生成された暗号化ＰＩＮ情報を、セキュア仮想マシンＳＷ１、仮想化ハイパーバイザＳＷ５、非セキュア仮想マシンＳＷ３の順に渡して、決済アプリケーションＳＷ３２に決済センタ５０との間の決済処理を実行させる。
【００９７】
これにより、決済端末装置１は、例えばハードウェア資源を用いて構成されるＰＩＮ入力部ＨＷ１（例えばキーパッド部３４）を特許文献２のような特別な仕様にしなくても、仮想化ハイパーバイザＳＷ５により提供されたセキュアな実行環境において入力されたＰＩＮを決済センタ５０において復号可能な暗号鍵を用いて暗号化するので、ユーザにより入力されたＰＩＮ情報のセキュリティを的確に担保することができる。言い換えると、決済端末装置１は、構造の複雑化を最小限に抑制することができ、情報セキュリティを担保するための耐タンパ性を確保することができる。
【００９８】
また、決済端末装置１は、クレジットカードの登録加盟店が契約しているアクワイヤラ、決済センタ及び登録加盟店が非セキュアな実行環境において実行可能なアプリケーション（例えば決済アプリケーションやユーザアプリケーション）が複数インストールされていても、入力されたＰＩＮ情報のセキュリティの完全性を担保でき、耐タンパ性を確保できる。
【００９９】
また、決済端末装置１は、仮想化ハイパーバイザＳＷ５がセキュアな実行環境と非セキュアな実行環境とを単一のハードウェア資源を用いて共用するので、決済端末装置１自身のハードウェア資源の回路規模を低減することができる。
【０１００】
また、決済端末装置１は、ＰＩＮ入力部ＨＷ１により入力されたＰＩＮ情報を暗号化部ＨＷ２において暗号化し、セキュアな通信路５３を介して、暗号化ＰＩＮ情報をセキュアな実行環境に設けられた仮想ＰＩＮパッドＳＷ４に渡すので、ＰＩＮ入力部ＨＷ１により入力されたＰＩＮ情報のセキュリティを確保できる。
【０１０１】
また、決済端末装置１は、ユーザに対してＰＩＮの入力を促すためのメッセージを表示するので、ユーザに対するＰＩＮ情報の入力に関する利便性を向上することができる。
【０１０２】
（本実施形態の変形例）
図１０は、本実施形態の変形例（以下、「本変形例」という）」における決済端末装置の外観を示す正面図である。本変形例の決済端末装置１Ａは、タブレット端末型の外観を有する。決済端末装置１Ａのハードウェア構成及びソフトウェア構成の主要部分は、上述した本実施形態の決済端末装置１と共通した部分が多いので、異なる部分について説明する。
【０１０３】
上述した本実施形態の決済端末装置１では、ＰＩＮ情報の入力に使用されるキーパッド部３４が設けられていたが、本変形例の決済端末装置１Ａでは、大きなタッチパネル１０Ａの画面下方に、入力操作が可能なソフトウェアキーボードとして表示されたキーパッド部３４Ａが表示される。なお、タッチパネル１０Ａの下部には、各種の入力キー９１、及び接触型ＩＣカードが挿入される挿入口９３が配置される。
【０１０４】
決済端末装置１Ａの決済処理時における動作手順は、上述した本実施形態の決済端末装置１とほぼ同様である。すなわち図３と同様に、決済端末装置１Ａのセキュア仮想マシンＳＷ１にあるキーパッド入出力／実行制御部ＳＷ１５は、タッチパネル１０Ａに入力されたＰＩＮ（認証情報）を、同じ実行環境内にある暗号化処理部ＳＷ１４（第１の暗号化部）に暗号化させる。ＰＩＮの暗号化は、決済センタ５０（非セキュア仮想マシンＳＷ３にある決済アプリケーションＳＷ３２（決済処理部）の決済先装置）において復号可能な暗号鍵を用いて行われる。そして非セキュア仮想マシンＳＷ３にある決済アプリケーションＳＷ３２（決済処理部）は、暗号化されたＰＩＮ（第１の暗号化認証情報）を用いて、決済センタ５０に対する決済処理を実行する。
【０１０５】
図１１は、本実施形態の変形例における決済端末装置１Ａのソフトウェア機能を主としたシステム構成の一例を具体的に示すブロック図である。図１１では、特に本実施形態の変形例の決済端末装置１ＡにおけるディスプレイドライバＳＷ１８，ＳＷ３４の実装例が示されており、具体的には、図３に対する差分のみが図示されている。図１１において、タッチパネル１０Ａ（図１０参照）の表示部２９は、セキュア仮想マシンＳＷ１にあるディスプレイドライバＳＷ１８と接続される。セキュア仮想マシンＳＷ１にあるディスプレイドライバＳＷ１８と非セキュア仮想マシンＳＷ３にあるディスプレイドライバＳＷ３４は、物理的に耐タンパ性が確保された状態で接続される。
【０１０６】
非セキュア仮想マシンＳＷ３にあるディスプレイドライバＳＷ３４による表示部２９への表示は、セキュア仮想マシンＳＷ１にあるディスプレイドライバＳＷ１８の制御の下で行われる。図１０において、ＰＩＮ入力の進捗を示すボックス６１，矢印６３，ＰＩＮ入力に用いられるキーパッド部３４Ａの表示は、セキュア仮想マシンＳＷ１にあるディスプレイドライバＳＷ１８によって行われる。これらについては、非セキュア仮想マシンＳＷ３にあるディスプレイドライバＳＷ３４による表示は遮断される。したがって、非セキュア仮想マシンＳＷ３に不正なアプリケーションがインストールされることにより、ＰＩＮを入力するための正規な入力領域が不正に隠される、あるいは不正なアプリケーションにより別の不正な入力領域が表示されることを防止する。その結果として、決済端末装置１Ａの使用者が不正な入力領域を正規なものと錯誤してＰＩＮを入力し、ＰＩＮを奪取（フィッシング）される、という可能性は低減される。
【０１０７】
このような決済端末装置１Ａでは、ハードウェアであるキーパッド部を省くことができ、ハードウェアの回路規模を簡素化することができる。また、決済端末装置１Ａは、キーパッド部３４とタッチパネル１０Ａとが同一の画面上に存在することにより、矢印６３によって示されるキーパッド部３４Ａに対するユーザの入力操作を一層簡易化できる。
【０１０８】
以上、図面を参照しながら各種の実施形態について説明したが、本発明はかかる例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。
【０１０９】
例えば、上記実施形態では、セキュアな実行環境及び非セキュア実行環境を同じＣＰＵで実現していたが、別々のＣＰＵで実現させてもよい。
【０１１０】
また、仮想化ハイパーバイザを用いる代わりに、ホストＯＳと仮想化アプリケーションを組み合わせた構成を用いても、同様の動作が可能である。
【０１１１】
本発明は、決済端末装置の他、銀行のＡＴＭ装置等、各種のセキュアな入力を必要とする装置に適用可能である。
【産業上の利用可能性】
【０１１２】
本発明は、例えば決済処理において使用され、構造の複雑化を最小限に抑制し、情報セキュリティを担保するための耐タンパ性を確保する情報端末装置及び情報処理方法として有用である。
【符号の説明】
【０１１３】
１、１Ａ  決済端末装置
２  情報処理部
１０、１０Ａ  タッチパネル
２１  ＣＰＵ
２２  局所無線通信部
２３  局所無線通信アンテナ
２４  広域無線通信部
２５  広域無線通信アンテナ
２９  表示部
３０  タッチ入力検出部
３２  フラッシュＲＯＭ
３３  ＲＡＭ
３４、３４Ａ  キーパッド部
３５  磁気カードリーダ部
３６  電源部
３７  バッテリ
３８  ループアンテナ
４３  非接触型ＩＣカードリーダライタ部
４４  接触型ＩＣカードリーダ部
５０  決済センタ
ＳＷ１  セキュア仮想化マシン（Ｓｅｃｕｒｅ＿ＶＭ）
ＳＷ３  非セキュア仮想化マシン（Ｎｏｎ−Ｓｅｃｕｒｅ＿ＶＭ）
ＳＷ４  仮想ＰＩＮパッド
ＳＷ５  仮想化ハイパーバイザ
ＳＷ１３  ＩＣカード入出力ドライバ
ＳＷ１４  暗号化処理部
ＳＷ１５  キーパッド入出力／実行制御部
ＳＷ１６  暗号化解除部
ＳＷ１７  キーパッドドライバ
ＳＷ１８  ディスプレイドライバ
ＳＷ１９  ＩＣカードリーダドライバ
ＳＷ２０  ＬＥＤドライバ
ＳＷ２１  ゲストＯＳ１
ＳＷ３１  端末ＵＩアプリケーション
ＳＷ３２  決済アプリケーション
ＳＷ３３  センタ接続アプリケーション
ＳＷ３４  ディスプレイドライバ
ＳＷ３５  ゲストＯＳ２
ＳＷ４１  暗号化部
【図１】
2015171104.tif 000003
【図２】
2015171104.tif 000004
【図３】
2015171104.tif 000005
【図４】
2015171104.tif 000006
【図５】
2015171104.tif 000007
【図６】
2015171104.tif 000008
【図７】
2015171104.tif 000009
【図８】
2015171104.tif 000010
【図９】
2015171104.tif 000011
【図１０】
2015171104.tif 000012
【図１１】
2015171104.tif 000013
【手続補正書】
【提出日】平成26年12月4日(2014.12.4)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない決済処理部を含む非セキュアな実行環境とを別個に提供する実行環境提供部と、
前記セキュアな実行環境外に設けられ、認証情報の入力を受け付ける認証情報入力部と、
前記セキュアな実行環境外に設けられ、前記認証情報入力部に入力された前記認証情報を暗号化する第１の暗号化部と、
前記セキュアな実行環境に設けられ、前記第１の暗号化部により暗号化された前記認証情報を復号する暗号化解除部と、
前記セキュアな実行環境に設けられ、前記暗号化解除部により復号された前記認証情報を、前記決済処理部の決済先装置において復号可能な暗号鍵を用いて暗号化する第２の暗号化部と、を備え、
前記実行環境提供部は、
前記第２の暗号化部により暗号化された前記認証情報を用いた前記決済先装置に対する決済処理を前記決済処理部に実行させる、
情報処理装置。
【請求項２】
請求項１に記載の情報処理装置であって、
表示部と、
前記認証情報の入力を促す旨を前記表示部に表示させる制御部と、を更に備える、
情報処理装置。
【請求項３】
請求項１に記載の情報処理装置であって、
前記認証情報は、ユーザの暗証番号である、
情報処理装置。
【請求項４】
決済処理部を含む情報処理装置における情報処理方法であって、
耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない前記決済処理部を含
む非セキュアな実行環境とを別個に提供するステップと、
前記セキュアな実行環境外において、認証情報の入力を受け付けるステップと、
前記セキュアな実行環境外において、入力された前記認証情報を暗号化する第１暗号化ステップと、
前記セキュアな実行環境において、前記第１暗号化ステップにて暗号化された前記認証情報を復号するステップと、
前記セキュアな実行環境において、復号された前記認証情報を、前記決済処理部の決済先装置において復号可能な暗号鍵を用いて暗号化する第２暗号化ステップと、
前記第２暗号化ステップにより暗号化された前記認証情報を用いた前記決済先装置に対する決済処理を前記決済処理部に実行させるステップと、を有する、
情報処理方法。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００９
【補正方法】変更
【補正の内容】
【０００９】
本発明は、耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない決済処理部を含む非セキュアな実行環境とを別個に提供する実行環境提供部と、前記セキュアな実行環境外に設けられ、認証情報の入力を受け付ける認証情報入力部と、前記セキュアな実行環境外に設けられ、前記認証情報入力部に入力された前記認証情報を暗号化する第１の暗号化部と、前記セキュアな実行環境に設けられ、前記第１の暗号化部により暗号化された前記認証情報を復号する暗号化解除部と、前記セキュアな実行環境に設けられ、前記暗号化解除部により復号された前記認証情報を、前記決済処理部の決済先装置において復号可能な暗号鍵を用いて暗号化する第２の暗号化部と、を備え、前記実行環境提供部は、前記第２の暗号化部により暗号化された前記認証情報を用いた前記決済先装置に対する決済処理を前記決済処理部に実行させる、情報処理装置である。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００１２
【補正方法】削除
【補正の内容】
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１５
【補正方法】変更
【補正の内容】
【００１５】
また、本発明は、表示部と、前記認証情報の入力を促す旨を前記表示部に表示させる制御部と、を更に備える、情報処理装置である。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１８
【補正方法】変更
【補正の内容】
【００１８】
本発明は、決済処理部を含む情報処理装置における情報処理方法であって、耐タンパ性を有するセキュアな実行環境と、耐タンパ性を有しない前記決済処理部を含む非セキュアな実行環境とを別個に提供するステップと、前記セキュアな実行環境外において、認証情報の入力を受け付けるステップと、前記セキュアな実行環境外において、入力された前記認証情報を暗号化する第１暗号化ステップと、前記セキュアな実行環境において、前記第１暗号化ステップにて暗号化された前記認証情報を復号するステップと、前記セキュアな実行環境において、復号された前記認証情報を、前記決済処理部の決済先装置において復号可能な暗号鍵を用いて暗号化する第２暗号化ステップと、前記第２暗号化ステップにより暗号化された前記認証情報を用いた前記決済先装置に対する決済処理を前記決済処理部に実行させるステップと、を有する、情報処理方法である。