(57)【要約】【課題】オンラインでＩＣカードの権限者を変更することができる方法及びシステムを提供することにある。【解決手段】ＩＣカードの権限者をオンライン変更する方法において、カードの発行や管理運用等の権限を持つ権限者装置に加えて、複数の権限者候補装置を用意し、各権限者候補装置には実行権限鍵を候補装置の数で分割してなる分割鍵を付与し、権限者装置から権限を剥奪する必要が発生した場合に、権限者候補装置の合議により権限者候補装置の中から新たな権限者装置を決定し、新たな権限者装置は他の権限候補装置からそれぞれの分割鍵を受け取り、組み合わせて実行権限鍵を作成して保持し、新たな権限者装置は権限者の変更を認証局に要求し、前権限者装置の登録を廃止し、自分を新権限者として登録し、新権限者装置は権限者が自分に変更したことをＩＣカードや実行者装置に通知し、ＩＣカードや実行者装置は新権限者装置の署名がなければ全てのコマンドまたは一部のコマンドを実行できないようにアクセス権を設定する。【選択図】　　　図１
2004015598.tif 000002
【特許請求の範囲】
【請求項１】
ＩＣカードの権限者をオンライン変更する方法において、カードの発行や管理運用等の権限を持つ権限者装置に加えて、複数の権限者候補装置を用意し、各権限者候補装置には実行権限鍵を候補装置の数で分割し、且つ２以上の任意に決められた数が揃うと実行権限鍵を生成することが可能である分割鍵を付与し、
権限者装置から権限を剥奪する必要が発生した場合に、権限者候補装置の合議により権限者候補装置の中から新たな権限者装置を決定し、
新たな権限者装置は他の権限候補装置からそれぞれの分割鍵を受け取り、組み合わせて実行権限鍵を作成し、保持し、
新たな権限者装置は権限者の変更を認証局に要求し、前権限者装置の登録を廃止し、自分を新権限者装置として登録し、
新権限者装置は権限者が自分に変更したことをＩＣカードや実行者装置に通知し、
ＩＣカードや実行者装置は新権限者装置の署名がなければ全てのコマンドまたは一部のコマンドを実行できないようにアクセス権を設定することを特徴とするＩＣカードの権限者変更方法。
【請求項２】
権限者候補装置は各自が保持する分割鍵を各自の署名とともに新権限者装置に送り、新権限者装置は前記権限者変更要求と一緒に、自分の署名に加えて、任意に決められた数の権限者候補装置の署名も認証局に送り、認証局は全ての署名を検証し、すべてが正しければ権限者の変更登録を行なうことを特徴とする請求項１記載の方法。
【請求項３】
新権限者装置は、前記権限者変更通知のために、権限者変更要求と一緒に、自分の署名に加えて、任意に決められた数の権限者候補装置の署名もＩＣカードや実行者装置に送り、ＩＣカードや実行者装置はすべての署名を検証し、すべてが正しければ新権限者装置を権限者として登録することを特徴とする請求項２記載の方法。
【請求項４】
ＩＣカードの発行や管理運用等の権限を持つ権限者装置と、実行権限鍵の分割鍵を保持する複数の権限者候補装置と、認証局と、ＩＣカードと、実行者装置が通信回線で相互接続されたＩＣカードの権限者変更システムにおいて、
各権限者候補装置は、権限者装置から権限を剥奪する必要が発生した場合に、通信回線を介して他の権限者候補装置と合議して権限者候補装置の中から新たな権限者装置を決定するための通信手段と、新たな権限者装置に決定された候補装置に、自分が保持する分割鍵を送る手段と、自分が新たな権限者装置に決定されたとき、他の補者装置からそれぞれの分割鍵を受け取り、組み合わせて実行権限鍵を作成し、保持する手段と、権限者の変更を認証局に要求する手段と、権限者が自分に変更したことをＩＣカードや実行者装置に通知する手段とを有し、
認証局は新たな権限者装置からの権限者変更要求に対し、前権限者装置の登録を廃止し、新権限者装置を登録する手段を有し
ＩＣカードや実行者装置は新権限者装置からの権限者変更通知に対し、新権限者装置の署名がなければすべてのコマンドまたは一部のコマンドを実行できないようにアクセス権を設定する手段を具えることを特徴とするＩＣカードの権限者変更システム。
【請求項５】
各候補装置は、他の候補装置が新たな権限者装置に決定されたとき、分割鍵とともに自分の署名を新たな権限者装置に決定された候補装置に送る手段と、自分が新たな権限者装置に決定されたとき、前記権限者変更要求と一緒に自分の署名に加えて他の任意に決められた数の候補装置の署名も認証局に送る手段を有し、認証局は全ての署名を検証し、すべてが正しければ権限者の変更登録を行なう手段を有することを特徴とする請求項４記載のシステム。
【請求項６】
各候補装置は、自分が新たな権限者装置に決定されたとき、前記権限者変更通知のために、権限者変更要求と一緒に自分の署名に加えて他の任意に決められた数の候補装置の署名もＩＣカードや実行者装置に送る手段を有し、ＩＣカードや実行者装置はすべての署名を検証し、すべてが正しければ新権限者装置を権限者として登録する手段を有することを特徴とする請求項５記載のシステム。
【請求項７】
請求項１に記載された方法を実行させるためのコンピュータプログラムであって、権限者装置から権限を剥奪する必要が発生した場合に、権限者候補装置の合議により権限者候補装置の中から新たな権限者装置が決定されたとき、
新たな権限者装置に、他の権限候補装置からそれぞれの分割鍵を受け取り、組み合わせて実行権限鍵を作成し、保持する手順と、
権限者の変更を認証局に要求し、前権限者装置の登録を廃止し、自分を新権限者装置として登録する手順と、
権限者装置が自分に変更したことをＩＣカードや実行者装置に通知する手順を実行させ、
ＩＣカードや実行者装置に、新権限者装置の署名がなければ全てのコマンドまたは一部のコマンドを実行できないようにアクセス権を設定する手順を実行させることを特徴とするコンピュータプログラム。
【請求項８】
権限者候補装置に、各自が保持する分割鍵を各自の署名とともに新権限者装置に送る手順を実行させ、
新権限者装置に、前記権限者変更要求と一緒に、自分の署名に加えて、任意に決められた数の権限者候補装置の署名も認証局に送る手順を実行させ、
認証局に、全ての署名を検証し、すべてが正しければ権限者の変更登録を行なう手順を実行させることを特徴とする請求項７記載のコンピュータプログラム。
【請求項９】
新権限者装置に、前記権限者変更通知のために、権限者変更要求と一緒に、自分の署名に加えて、任意に決められた数の権限者候補装置の署名もＩＣカードや実行者装置に送る手順を実行させ、
ＩＣカードや実行者装置に、すべての署名を検証し、すべてが正しければ新権限者装置を権限者として登録する手順を実行させることを特徴とする請求項８記載のコンピュータプログラム。
【請求項１０】
請求項７−９のいずれかに記載のコンピュータプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【０００１】
【発明が属する技術分野】
本発明は、ＩＣカードの権限者をオンラインで変更する権限者変更方法及びシステムに関するものである。
【０００２】
【従来の技術】
近年、公共、金融、通信、交通、医療の分野、そしてインターネット上の電子商取引等において、セキュリティ上安全で大きな記憶容量を有するＩＣカードの利用が広まりつつある。一枚のＩＣカードに複数のアプリケーションを搭載し、複数のサービスを利用することができるようにしたマルチアプリケーションＩＣカードシステムも出現している。斯種のＩＣカードシステムでは、カード発行者のようなカードの発行や管理運用の権限を持つ権限者のみが実行権限鍵を持ち、その公開鍵を発行するＩＣカードに格納し、ＩＣカードは実行権限鍵で署名された実行許可証がなければコマンドを実行できないようにしている。
【０００３】
【発明が解決しようとする課題】
しかし、従来のＩＣカードシステムでは、カードの発行や管理運用の権限を持つ権限者が不正なカードの発行や運用管理を行なった場合、あるいは、権限者装置がウイルス感染等により正常に動作しない場合、あるいは、地震などの天災により権限者装置が使用不能になった場合に、権限者の実行権権限鍵の秘密鍵は何人も知ることはできないので、その権限を剥奪することができなかった。従って、権限者の不正行為の発覚時やウイルスなどによるトラブル発生時に、他の者が代わってサービスを続行することができなかった。
本発明の目的は、ＩＣカードの権限者をオンラインで変更することができる権限者変更方法及びシステムを提供することにある。
【０００４】
【課題を解決する手段】
本発明は、ＩＣカードの権限者をオンライン変更する方法において、カードの発行や管理運用等の権限を持つ権限者装置に加えて、複数の権限者候補装置を用意し、各権限者候補装置には実行権限鍵を候補装置の数で分割し、且つ２以上の任意に決められた数が揃うと実行権限鍵を生成することが可能である分割鍵を付与し、
権限者装置から権限を剥奪する必要が発生した場合に、権限者候補装置の合議により権限者候補装置の中から新たな権限者装置を決定し、
新たな権限者装置は、他の権限候補装置からそれぞれの分割鍵を受け取り、組み合わせて実行権限鍵を作成して保持し、
新たな権限者装置は、権限者の変更を認証局に要求し、前権限者装置の登録を廃止し、自分を新権限者装置として登録し、
新権限者装置は、権限者が自分に変更したことをＩＣカードや実行者装置に通知し、
ＩＣカードや実行者装置は、新権限者装置の署名がなければ全てのコマンドまたは一部のコマンドを実行できないようにアクセス権を設定することを特徴とする。
【０００５】
本発明の権限者変更方法の好適例では、権限者候補装置は各自が保持する分割鍵を各自の署名とともに新権限者装置に送り、新権限者装置は前記権限者変更要求と一緒に、自分の署名に加えて、任意に決められた数の権限者候補装置の署名も認証局に送り、　認証局は全ての署名を検証し、すべてが正しければ権限者の変更登録を行なうようにする。
【０００６】
本発明の権限者変更方法の好適例では、新権限者装置は、前記権限者変更通知のために、権限者変更要求と一緒に、自分の署名に加えて、任意に決められた数の権限者候補装置の署名もＩＣカードや実行者装置に送り、ＩＣカードや実行者装置はすべての署名を検証し、すべてが正しければ新権限者装置を権限者として登録するようにする。
【０００７】
本発明は、ＩＣカードの発行や管理運用等の権限を持つ権限者装置と、実行権限鍵の分割鍵を保持する複数の権限者候補装置と、認証局と、ＩＣカードと、実行者装置が通信回線で相互接続されたＩＣカードの権限者変更システムにおいて、
各権限者候補装置は、権限者装置から権限を剥奪する必要が発生した場合に、通信回線を介して他の権限者候補装置と合議して権限者候補装置の中から新たな権限者装置を決定するための通信手段と、新たな権限者装置に決定された候補装置に、自分が保持する分割鍵を送る手段と、自分が新たな権限者装置に決定されたとき、他の補者装置からそれぞれの分割鍵を受け取り、組み合わせて実行権限鍵を作成し、保持する手段と、権限者の変更を認証局に要求する手段と、権限者が自分に変更したことをＩＣカードや実行者装置に通知する手段とを有し、
認証局は新たな権限者装置からの権限者変更要求に対し、前権限者装置の登録を廃止し、新権限者装置を登録する手段を有し
ＩＣカードや実行者装置は新権限者装置からの権限者変更通知に対し、新権限者装置の署名がなければすべてのコマンドまたは一部のコマンドを実行できないようにアクセス権を設定する手段を具えることを特徴とする。
【０００８】
本発明の権限者変更システムの好適例では、各候補装置は、他の候補装置が新たな権限者装置に決定されたとき、分割鍵とともに自分の署名を新たな権限者装置に決定された候補装置に送る手段と、自分が新たな権限者装置に決定されたとき、前記権限者変更要求と一緒に自分の署名に加えて他の任意に決められた数の候補装置の署名も認証局に送る手段を有し、認証局は全ての署名を検証し、すべてが正しければ権限者の変更登録を行なう手段を有するものとする
【０００９】
本発明の権限者変更システムの好適例では、各候補装置は、自分が新たな権限者装置に決定されたとき、前記権限者変更通知のために、権限者変更要求と一緒に自分の署名に加えて他の任意に決められた数の候補装置の署名もＩＣカードや実行者装置に送る手段を有し、ＩＣカードや実行者装置はすべての署名を検証し、すべてが正しければ新権限者装置を権限者として登録する手段を有するものとする。
【００１０】
【発明の実施の形態】
以下、図面を参照して本発明の権限者変更方法及びシステムを具体的に説明する。
図１は本発明に係るＩＣカードの権限者のオンライン変更システムの一実施例の構成図である。１は権限者グループであって、本例ではＩＣカードの発行や管理運用の権限を持つ権限者装置Ａと、権限者の不正の発覚時やウイルスなどのトラブル発生時に権限者装置Ａの代わり権限者装置となってカードの発行や管理運用を行なう２つの権限者候補装置Ｂ及びＣを含んでいる。権限者装置Ａは権限者Ａの秘密鍵と公開鍵を保持するとともに実行権限の秘密鍵と公開鍵を保持し、権限者候補装置Ｂ及びＣは、それぞれの秘密鍵と公開鍵を保持するとともに実行権限鍵の秘密鍵を候補装置の数（本例では２）で分割した分割鍵１及び２をそれぞれ保持している。２は権限者装置Ａにより発行されたＩＣカードであり、３は権限者装置Ａから権限を委託され、例えばアプリケーションのダウンロードを許可するコマンドをＩＣカード２に対し実行するサービス提供者のような実行者装置であり、ＩＣカード２及び実行者装置３には、権限者装置Ａが保持する実行権限の公開鍵と、権限者装置Ａ及び候補装置Ｂ，Ｃの公開鍵が格納される。４は認証局であって、権限者装置及び候補装置Ａ，Ｂ，Ｃの公開鍵や実行権限の公開鍵を登録し、それぞれの公開鍵証明書を発行する。これらの装置は通常コンピュータを用いる情報処理端末であり、これらの装置間は、データやコマンドのやり取りが行なえる任意の通信手段、例えばインターネットなどの通信回線５を介して接続される。図では、候補装置は２つであるがもっと多くすることができ、また実行者装置は１つしか示されていないが、実際には多数存在する。
【００１１】
このシステムでは、権限者装置の不正行為の発覚時やウイルスなどのトラブル発生時に、権限者装置の変更が図２及び図３に示す手順で実行される。
【００１２】
最初に、権限者候補装置ＢまたはＣが、例えば権限者装置Ａの不正行為あるいはウイルスによるトラブルの発生を検出した場合、通信回線を介して合議して、権限者装置Ａの権限剥奪を決定し、権限者候補装置Ｂが権限者になることを決定したとする。この選定は、例えば権限者候補装置に優先順位を付けておき、優先順位に従って自動的に決定することができる。
【００１３】
候補装置Ｂが権限者装置になることが決まったら、候補装置Ｃは候補装置Ｂが権限者になる証明書をＣの秘密鍵で署名して発行し、自分が保持する実行権限鍵の分割鍵２とともに候補装置Ｂに送る。
候補装置Ｂは自分が保持する分割鍵１と候補装置Ｃから受け取った分割鍵２を結合して実行権限鍵（秘密鍵）を作成する。候補装置Ｂは更に自分が権限者になる証明書を自分の秘密鍵で署名して発行し、権限者変更要求をこの証明書と候補装置Ｃが発行した証明書とともに認証局４に送る。
認証局４は、候補装置Ｂ及びＣから発行された、候補装置Ｂを権限者とする証明書をそれぞれの公開鍵で検証し、全候補装置からの証明書が正しければ、権限者装置Ａの登録を廃止し、候補装置Ｂを新たな権限者装置として登録し、その結果を候補装置Ｂに返答する。
【００１４】
次に、候補装置Ｂは、図３に示すように、権限者がＡからＢに代わったことを通知する権限者変更要求を候補装置ＢとＣから発行された証明書とともにＩＣカード２と実行者装置３に送る。
ＩＣカード２及び実行者装置３では、候補装置Ｂ及びＣから発行された候補装置Ｂを権限者とする証明書をそれぞれの公開鍵で検証し、全候補者からの証明書が正しければ、候補装置Ｂを新たな権限者装置として登録し、今後Ｂの署名がなければコマンドの実行はできないようにアクセス権を設定する。その結果を候補装置Ｂに返答して処理を終了する。
【００１５】
従って、このシステムでは、権限者装置の不正の発覚時やウイルスなどのトラブル発生時に、全候補者の合議で決定された新権限者は、全候補者からの分割鍵が揃わないと正しい実行権限鍵を得られず、また、全候補装置からの証明書が揃わないと、認証局で前権限者を廃止し、新権限者を登録することができないとともにＩＣカードや実行者装置で権限者の変更をすることができないので、このシステムによれば、権限者の変更をオンラインで安全に行なうことができる。
【００１６】
従って、全候補装置の合議で決定された新権限者装置Ｂのみが実行権限鍵を持ち、新しいＩＣカードを発行し、これらのＩＣカードを管理運用することができる。
また、新権限者装置Ｂは前権限者装置が発行したＩＣカードに対しコマンドの実行を許可して、前権限者装置に代わってサービスを続行することができる。
【００１７】
図４は、新権限者装置Ｂが前権限者装置Ａが発行したＩＣカード２にコマンドを実行する場合の手順を示す。
最初に、新権限者装置ＢとＩＣカード２との間で、それぞれが保持する実行権限秘密鍵及び公開鍵とＩＣカード秘密鍵及び公開鍵を使って相互認証を行なう。相互認証後に、新権限者装置Ｂは、Ｂの秘密鍵で署名を作成するとともに、実行権限秘密鍵で実行許可証を作成し、実行許可するコマンドを、作成した署名と実行許可証とともにＩＣカード２に送る。
ＩＣカード２は受信したＢの署名をカード内に格納されているＢの公開鍵で検証するとともに、受信した実行許可証をカード内に格納されている実行権限公開鍵で検証し、両検証が正しければ、コマンドを実行し、その結果を権限者装置Ｂに返答して処理を終了する。
【００１８】
このように、ＩＣカード２はＢの署名がなければコマンドを実行できないので、旧権限者装置Ａが相互認証後にコマンドと実行許可証を送っても、Ｂの署名がないので、そのコマンドをＩＣカード２に実行させることはできない。
【００１９】
尚、上述の実施例では、新権限者は、全候補者からの分割鍵が揃わないと正しい実行権限鍵を生成できず、また、全候補者からの証明書が揃わないと、認証局で前権限者を廃止し、新権限者を登録することができないが、実際には、候補者の数で分割された実行権限鍵の分割鍵のうちの２以上の任意の決められた数の分割鍵が揃えば実行権限鍵の生成を可能とすることができ、例えば候補者の数が５の場合には５分割された実行権限鍵のうち３つが揃えば実行権限鍵を生成することができるので、この場合には新権限者は５つの候補者の５つの分割鍵のうちの３つが揃えば実行権限鍵を生成することができ、また３つの候補者からの証明書が揃えば新権限者を登録するとともに、ＩＣカードや実行者装置へ通知することができる。
また、上述の実施例では、新権限者Ｂの登録後に、Ｂの署名がなければすべてのコマンドを実行はできないようにアクセス権を設定したが、一部のコマンド、例えばカード発行用のコマンドのみが実行できないようにアクセス権を設定することができる。この場合には、旧権限者はカード発行はできないが、他のコマンドは実行することができることになる。
尚、地震などの天災により権限者装置が一時的に使用不能になった場合には、権限者装置の不正行為やウイルスなどによるトラブル発生時の場合のように権限者装置の権限を剥奪する必要がないので、権限者の変更処理は図２に示す手順（認証局への新権限者の登録）までとし、図３に示す手順（ＩＣカードや実行者装置への権限者変更通知）は省略することができる。この場合、旧権限者装置は復旧と同時にサービスを再開することができる。
【００２０】
以上、本発明によるＩＣカードの権限者オンライン変更方法の処理手順を説明したが、これらの処理手順は権限者候補装置、認証局、実行者装置、ＩＣカードに含まれるコンピュータにより実行され、本発明はこれらの処理手順を実行させるためのコンピュータプログラム及び該コンピュータプログラムを記録した記録媒体も本発明の範囲に含むものである。
【００２１】
【発明の効果】
本発明によれば、オンラインでＩＣカードの権限者の変更を安全に行なうことができる。
【図面の簡単な説明】
【図１】本発明によるＩＣカードの権限者変更システムの一実施例の構成図である。
【図２】本発明によるＩＣカードの権限者変更方法の一実施例の手順の前半を示す図である。
【図３】本発明によるＩＣカードの権限者変更方法の一実施例の手順の後半を示す図である。
【図４】新権限者装置が旧権限者装置により発行されたＩＣカードに対しコマンド実行する手順を示す図である。
【符号の説明】
１　権限者グループ
Ａ　権限者装置
Ｂ，Ｃ　権限者候補装置
２　ＩＣカード
３　実行者装置
４　認証局
５　通信回線
【図１】
2004015598.tif 000003
【図２】
2004015598.tif 000004
【図３】
2004015598.tif 000005
【図４】
2004015598.tif 000006