(57)【要約】【課題】盗難や盗聴の脅威のある悪環境にリーダ／ライタ端末を設置した場合でも、セキュリティを確保して運用できるようにする。【解決手段】中央管理装置（２）にネットワーク接続され、中央管理装置から配信されるアクセス鍵（４）によりＩＣ媒体（１０）との間でセキュア通信をするリーダ／ライタ端末（３）を備え、前記リーダ／ライタ端末はアクセス鍵を一時的に保管する記憶エリア（８）を有し、電源断若しくは外部からの攻撃を検出したとき、前記記憶エリアに保管されているアクセス鍵を消去する制御手段を備えたものである。【選択図】        図３
2004295502.tif 000002
【特許請求の範囲】
【請求項１】
中央管理装置にネットワーク接続され、中央管理装置から配信されるアクセス鍵によりＩＣ媒体との間でセキュア通信をするリーダ／ライタ端末を備え、前記リーダ／ライタ端末はアクセス鍵を一時的に保管する記憶エリアを有し、電源断若しくは外部からの攻撃を検出したとき、前記記憶エリアに保管されているアクセス鍵を消去する制御手段を備えたことを特徴とするＩＣ媒体を用いたセキュリティシステム。
【請求項２】
前記中央管理装置とリーダ／ライタ端末は、暗号鍵と共通の暗復号手段によりセキュア通信を行い、前記中央管理装置はセキュア通信によりリーダ／ライタ端末へアクセス鍵を配信してリーダ／ライタ端末のスクラッチエリアへ送信することを特徴とする請求項１記載のＩＣ媒体を用いたセキュリティシステム。
【請求項３】
前記中央管理装置とリーダ／ライタ端末は暗復号手段をもたない中間装置を通してセキュア通信を行うことを特徴とする請求項２記載のＩＣ媒体を用いたセキュリティシステム。
【請求項４】
前記中央管理装置に複数のリーダ／ライタ端末が接続され、各リーダ／ライタ端末は異なる暗号鍵で中央管理装置とセキュア通信を行うことを特徴とする請求項２記載のＩＣ媒体を用いたセキュリティシステム。
【請求項５】
前記リーダ／ライタ端末は、アクセス鍵受信後、オフライン処理を行うことを特徴とする請求項２記載のＩＣ媒体を用いたセキュリティシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、交通料金の決裁や小額取引決済等のサービスにおけるＩＣ媒体を用いたセキュリティシステムに関する。
【０００２】
【従来の技術】
近年、接触／非接触ＩＣ媒体を用いて、交通料金の決済や小額決済のサービスを行うシステムが普及しているが、ＩＣ媒体に価値情報のチャージや引き去り等を行うリーダ／ライタ端末には、ＩＣ媒体にアクセスするための鍵を保持させ、ＩＣ媒体に格納されたデータが不正に書き換えられないようにしている。しかし、小額決済用などのリーダ／ライタ端末は、通常、店頭に置かれることが多いため、盗難などによりリーダ／ライタ端末が外部からの攻撃を受けてアクセス鍵が漏洩し、ＩＣ媒体のデータが不正に書き換えられる恐れがある。このようなことが起きないように、従来、リーダ／ライタ端末と中央管理装置を常時オンラインで接続し、実質的な処理を中央管理装置で行うことで安全性を確保するシステムが知られている。
【０００３】
また、無線端末が盗難にあったとき、最後に使用された電子鍵と同じ電子鍵が使用された場合には認証不成立とし、異なる電子鍵が使用されるまで無線端末装置を使用できなくする無線端末セキュリティシステムも提案されている（特許文献１）。
【０００４】
【特許文献１】特開平１１−２７５６６１号公報
【０００５】
【発明が解決しようとする課題】
しかし、リーダ／ライタ端末と中央管理装置を常時オンラインで接続し、実質的な処理を中央管理装置で行うシステムでは、端末の処理時間はネットワークの通信速度に依存し、さらに端末運用はネットワーク障害の影響を常に意識する必要がある。
また、特許文献１のシステムでは異なる電子鍵を持たせるようにしているものの、これらの電子鍵の漏洩を防止する手だては考慮されていない。
【０００６】
【課題を解決するための手段】
本発明は上記課題を解決しようとするもので、盗難や盗聴の脅威のある悪環境にリーダ／ライタ端末を設置した場合でも、セキュリティを確保して運用できるようにすることを目的とする。
そのために本発明は、中央管理装置にネットワーク接続され、中央管理装置から配信されるアクセス鍵によりＩＣ媒体との間でセキュア通信をするリーダ／ライタ端末を備え、前記リーダ／ライタ端末はアクセス鍵を一時的に保管する記憶エリアを有し、電源断若しくは外部からの攻撃を検出したとき、前記記憶エリアに保管されているアクセス鍵を消去する制御手段を備えたことを特徴とする。
また、本発明は、前記中央管理装置とリーダ／ライタ端末が、暗号鍵と共通の暗復号手段によりセキュア通信を行い、前記中央管理装置はセキュア通信によりリーダ／ライタ端末へアクセス鍵を配信してリーダ／ライタ端末のスクラッチエリアへ送信することを特徴とする。
また、本発明は、前記中央管理装置とリーダ／ライタ端末が暗復号手段をもたない中間装置を通してセキュア通信を行うことを特徴とする。
また、本発明は、前記中央管理装置に複数のリーダ／ライタ端末が接続され、各リーダ／ライタ端末が異なる暗号鍵で中央管理装置とセキュア通信を行うことを特徴とする。
また、本発明は、前記リーダ／ライタ端末が、アクセス鍵受信後、オフライン処理を行うことを特徴とする。
【０００７】
【発明の実施の形態】
以下、本発明の実施の形態について説明する。
図１は本実施形態のシステムの概要構成を説明する図である。
システムの概要構成は、有線または無線のネットワーク１で接続された中央管理装置２とリーダ／ライタ端末３から構成される。リーダ／ライタ端末３は、電源が入っている間はアクセス鍵４を保持することができるが、電源が切れた状態ではアクセス鍵を保持できない（消去する）仕組みをもっている。また、外部からの攻撃、例えば端末装置の蓋が開けられたり、所定電圧より高い電圧が加えられたことが検出された場合も、アクセス鍵を消去し、動作不能となる。
【０００８】
電源投入時、リーダ／ライタ端末は中央管理装置２に対してアクセス鍵の配信要求を行い、それを受けて中央管理装置２はアクセス鍵４を暗号化し、暗号化した鍵データ５をリーダ／ライタ端末３に配信する。リーダ／ライタ端末３は、受信した暗号化鍵データ５を復号化してアクセス鍵４をセットし、ＩＣ媒体との相互認証・セキュア通信が可能となる。
【０００９】
図２は中央管理装置とリーダ／ライタ端末の接続関係を説明する図である。
実際のシステムでは、中央管理装置２、中間装置６（例えば、ＰＯＳ端末、クレジット端末、店舗端末、駅務機器、ゲート装置、自動販売機等）、接触式／非接触式リーダ／ライタ端末３、ＩＣ媒体（例えば接触／非接触ＩＣカード、ＩＣカード搭載携帯電話、ＩＣカード搭載時計、その他ＩＣカード搭載機器等）から構成され、それぞれの接続形態は有線または無線である。なお、各リーダ／ライタ端末は、中央管理装置２との間でそれぞれ異なる暗号鍵を用いたユニークなセキュア通信層を形成してアクセス鍵が漏洩しないようにする。
【００１０】
図３は本実施形態のセキュリティシステムの構成を説明する図、図４は中央管理装置とリーダ／ライタ端末との間のセキュア通信を説明する図である。
図３において、リーダ／ライタ端末３は、記憶装置７にアクセス鍵を一時的に保管するスクラッチエリア８と、アクセス鍵を用いてＩＣ媒体１０との間でセキュア通信をするための暗復号手段としての暗復号ロジック（Ａ）９を持ち、また、ＩＣ媒体１０は、リーダ／ライタ端末３と同じアクセス鍵４、暗復号手段としての暗復号ロジック（Ａ）９をもち、これにより両者間で暗号通信が可能に構成されている。また、リーダ／ライタ端末３は、電源断や外部からの攻撃を検出する検出手段（図示せず）を有し、この検出手段により電源断や外部からの攻撃を検出するとスクラッチエリア内のアクセス鍵を含む情報を消去する制御手段（図示せず）を有しており、これにより盗難による端末の不正利用を防止し、且つ第３者への機密情報漏洩を防いでいる。
【００１１】
中央管理装置とリーダ／ライタ端末には、予め隠蔽した暗号鍵１１と暗復号手段としての暗復号ロジック（Ｂ）１２が設定され、エンド・トゥ・エンドで十分を安全強度をもつセキュア通信層を持つことで、より安全な通信層を形成している。
すなわち、図４に示すように、通信プロトコル層１３上のセキュア通信層１４の上に鍵配信層１５を置くことで、中央管理装置２からリーダ／ライタ端末内のスクラッチエリアへ安全にアクセス鍵を送信する。各種サービスを提供するためのアプリケーション層１６は鍵配信層上に置かれる。リーダ／ライタ端末３は、受信したアクセス鍵を展開し、セットすることでＩＣ媒体との間でセキュア通信が可能となる。このとき、中間装置６をもつネットワークの場合、中間装置６は配信されるデータを通信プロトコル上で中継するのみで暗復号はできない。
【００１２】
【発明の効果】
従来のリーダ／ライタ端末では、端末内に固定でアクセス鍵を保持するため、悪意の第３者に盗難され、攻撃によりＬＳＩの動作が解析されてデータが改ざん・偽造されるという脅威がある。
これに対して本発明では、端末が盗難されてもアクセス鍵が消去されるため、第３者に漏洩する危険はない。通信経路上で盗聴されてもアクセス鍵は暗号化されており、且つリーダ／ライタ端末毎にセキュア通信層をユニークとすることで、アクセス鍵が漏洩する可能性は極めて低い。この方式により、悪環境と想定される店舗のリーダ／ライタ端末へ安全にアクセス鍵を届けることができるとともに、中央管理装置をセキュアな堅牢な屋社内に設置することで重要情報の一元管理ができる。
また、本発明では、アクセス鍵配信後のリーダ／ライタ端末はオフライン処理が可能となり、ネットワークに依存しないため、高速かつ安定な運用が可能となり、迅速な対応が求められる交通及び小額決済サービス等に適している。
【図面の簡単な説明】
【図１】本実施形態のシステムの概要構成を説明する図である。
【図２】中央管理装置とリーダ／ライタ端末の接続関係の説明図である。
【図３】本実施形態のセキュリティシステムの構成を説明する図である。
【図４】中央管理装置とリーダ／ライタ端末とのセキュア通信を説明する図である。
【符号の説明】
１…ネットワーク、２…中央管理装置、３…リーダ／ライタ端末、４…アクセス鍵、５…暗号化した鍵データ、６…中間装置、７…記憶装置、８…スクラッチエリア、９，１２…暗復号ロジック、１０…ＩＣ媒体、１１…暗号鍵、１３…通信プロトコル層、１４…セキュア通信層、１５…鍵配信層、１６…アプリケーション層。
【図１】
2004295502.tif 000003
【図２】
2004295502.tif 000004
【図３】
2004295502.tif 000005
【図４】
2004295502.tif 000006