(57)【特許請求の範囲】
【請求項１】
汎用の第１アプリケーションを実行しうる第１情報処理部と、
入力情報の安全および保護を要する第２アプリケーションを実行しうる第２情報処理部と、
上記の第１および第２情報処理部とは別体に構成されるとともに、上記第２情報処理部を起動するためのトリガ操作を検出しその旨を出力するトリガ検出部を有し、上記第２アプリケーションの実行における前記入力情報の安全および保護を暗号化処理によって図るための保護部と、
該トリガ検出部で上記トリガ操作を検出した場合に、上記第１アプリケーションの実行を制限するとともに上記第２アプリケーションを実行すべく上記の第１，第２情報処理部を制御する実行管理部とを、そなえて構成されたことを特徴とする、情報処理端末。
【請求項２】
該トリガ検出部が、上記外部からのトリガ操作として、データを記憶しうる外部記憶媒体が接続されたことを検出する接続検出部をそなえて構成されたことを特徴とする、請求項１記載の情報処理端末。
【請求項３】
上記の第１および第２アプリケーションにおける処理においてデータの入出力を行なう入出力装置と上記の第１および第２情報処理部との間でのインターフェイス処理を行なう入出力インターフェイスをそなえ、
該実行管理部が、上記トリガ操作を検出した場合に、該入出力インターフェイスを、該第１情報処理部とリンクさせる動作モードから、該第２情報処理部と直接リンクさせる動作モードに切り替える動作モード切り替え部を、そなえて構成されたことを特徴とする、請求項１記載の情報処理端末。
【請求項４】
汎用の第１アプリケーションを実行しうる第１情報処理部と、
入力情報の安全および保護を要する第２アプリケーションを実行しうる第２情報処理部と、
上記の第１および第２情報処理部とは別体に構成されるとともに、上記第２情報処理部を起動するためのトリガ操作を検出しその旨を出力するトリガ検出部を有し、上記第２アプリケーションの実行における前記入力情報の安全および保護を暗号化処理によって図るための保護部と、
該トリガ検出部で上記トリガ操作を検出した場合に、上記第１アプリケーションの実行を制限するとともに上記第２アプリケーションを実行すべく上記の第１，第２情報処理部を制御する実行管理部を有する管理部と、をそなえ、
該第２情報処理部が、
上記第２アプリケーションのためのプログラムデータと、上記プログラムデータから作られた暗証情報と、を記憶する第２アプリケーション用記憶部をそなえるとともに、
該保護部が、
鍵情報を記憶する鍵情報記憶部と、
該第２アプリケーション用記憶部に記憶された暗証情報を入力されるとともに、該入力された暗証情報と、該鍵情報記憶部に記憶された鍵情報と、を用いることにより、第１照合用情報を生成しうる第１照合用情報生成部と、をそなえ、
かつ、該管理部が、
該トリガ検出部で上記トリガ操作を検出すると、該第２アプリケーション用記憶部から、上記のプログラムデータおよび暗証情報を読み出す読み出し部と、
該読み出し部で読み出された上記のプログラムデータと暗証情報とを分離する分離部と、
該分離部で分離された上記プログラムデータから第２照合用情報を生成しうる第２照合用情報生成部と、
上記の第１および第２照合用情報生成部でそれぞれ生成された第１および第２照合用情報を比較することにより、該第２アプリケーションのためのプログラムデータを認証可否を判定する判定部と、をそなえ、
かつ、上記の実行管理部が、該判定部において上記プログラムデータが認証可とされた後に、該第２情報処理部による上記第２アプリケーションを実行させるべく構成されたことを特徴とする、情報処理端末。
【請求項５】
汎用の第１アプリケーションを行ないうる第１情報処理部と、外部からのトリガ操作によって起動され、入力情報の安全および保護を図りながら第２アプリケーションを行ないうる第２情報処理部と、上記の第１，第２情報処理部を制御する管理部と、上記の第１および第２情報処理部とは別体に構成されるとともに、上記第２アプリケーションにおける前記入力情報の安全および保護を暗号化処理によって図るための保護部と、をそなえてなる情報処理端末の情報安全保護方法であって、
該保護部が、該外部からのトリガ操作を検出するトリガ検出ステップと、
該トリガ検出ステップにおいて上記トリガ操作を検出すると、該管理部が、該第２アプリケーション用記憶部から、上記のプログラムデータおよび暗証情報を読み出す読み出しステップと、
該管理部が、該読み出しステップにおいて読み出されたプログラムデータを、当該プログラムデータとともに読み出された暗証情報を用いて認証を行なう認証ステップと、
該認証ステップにおいて認証されたプログラムデータを用いることにより、該管理部が、該第２情報処理部に上記第２アプリケーションを実行させる一方、該第１情報処理部に上記第１アプリケーションの実行を制限させる制御ステップと、をそなえて構成されたことを特徴とする、情報処理端末の情報安全保護方法。
【請求項６】
該認証ステップが、
該読み出しステップで読み出された上記のプログラムデータから第２照合用情報を生成しうる第２照合用情報生成ステップと、
該読み出しステップで読み出された暗証情報を該保護部に出力する暗証情報出力ステップと、
該保護部において、該暗証情報出力ステップで出力された暗証情報と、当該保護部において記憶している鍵情報と、を用いることにより、第１照合用情報を生成する第１照合用情報生成ステップと、
上記の第１および第２照合用情報生成ステップでそれぞれ生成された第１および第２照合用情報を比較して、これらの第１および第２照合用情報が一致している場合に認証成功と判定し、一致しない場合に認証失敗と判定する判定ステップと、をそなえて構成されたことを特徴とする、請求項５記載の情報処理端末の情報安全保護方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理端末およびその情報安全保護方法、特に、登録された購入商品の決済を行なう際に用いて好適の、情報処理端末およびその情報安全保護方法に関するものである。
【背景技術】
【０００２】
近年、ハンドヘルド端末，ＰＤＡ（Personal Digital Assistant）等の携帯端末を用いることにより、商品の発注処理とともにクレジット等により決済処理を行なうような取引システムが開発されている。このような携帯端末を用いた取引形態は、その利便性から注目を集めているが、特に決済処理等に伴う利用者に関する情報の安全保護（セキュリティ）、即ち利用者に関する秘密情報の漏洩を防止する策をどのように確保するかが極めて重要である。
【０００３】
通常、このような利用者に関する情報を入力するに当たっては、暗証番号の入力を通じた本人の認証を行なって、他人になりすました決済処理等を防止することが行なわれている。従って、自身の暗証番号が他人に知られないようにすることが重要であり、従来においても、自身の暗証番号の安全保護を図る手法が種々開発されている。
たとえば、汎用ＯＳ（Operating System）上においてアプリケーションが動作する環境を有する端末では、暗証番号を入力するような成りすましアプリケーションを容易に作成，運用することができる可能性があるため、このような成りすましアプリケーションを通じて暗証番号が漏洩することが考えられる。これに対しては、暗証番号を扱う場合にのみ動作する非公開の特殊なＯＳを使用することで、上述のごとき成りすましアプリケーションの作成，運用の可能性を封じ、暗証番号の漏洩を防止することが行なわれていた。
【０００４】
また、暗証番号を入力するためのキーボードを、通常他の目的としても使用するので、暗証番号も他の目的のデータも共通のキーボードドライバを通じて入力されることになる。従って、この共通のキーボードドライバで変換された暗証番号のキーコードは、ＯＳを通じて他のアプリケーションへ漏洩する可能性がある。これに対しては、暗証番号入力専用のキーボードを別途そなえることで、暗証番号の漏洩を防止することが行なわれていた。
【０００５】
なお、本願発明の関連技術として、以下に示す特許文献１に記載された技術もある。この特許文献１に記載された技術においては、携帯電話を通じて暗証番号を入力するとともに、決済端末において携帯端末と送受信を行ない暗証番号を解析するようにして、決済端末と対になっている専用のピンパッドを不要として、ピンパッドに取り付けられうる読取装置を通じた暗証番号の漏洩を防止できるようになっている。
【特許文献１】特開２００３−１５７２３９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、このような従来の暗証番号の漏洩の防止のための技術においては、以下に示すような課題がある。
まず、暗証番号を扱う場合にのみ動作する非公開の特殊なＯＳを使用する場合においては、暗証番号を扱うアプリケーションプログラムの開発できる者が、非公開の特殊なＯＳを知る者に限定されるので、アプリケーションプログラムの開発環境や人材が限定されるという課題がある。
【０００７】
また、暗証番号入力専用のキーボードを別途そなえる場合には、装置規模が増大するため、携帯端末としての利便性を低下させるという課題もある。
なお、上述の特許文献１に記載された技術においても、携帯電話から入力する暗証番号を、当該携帯電話自身に組み込まれた成りすましアプリケーションを通じて漏洩する可能性もあるため、この成りすましアプリケーションを防止するため特殊ＯＳを使用することとすれば、上述の場合と同様、アプリケーションプログラムの開発環境や人材が限定されるという課題がある。
【０００８】
本発明は、このような課題に鑑み創案されたもので、汎用ＯＳを採用して自由なアプリケーションソフトの開発環境を提供しつつ、暗証情報入力と他の情報の入力とで共通のキーボードを使用しながら、暗証情報の漏洩を防止できるようにした、情報処理端末およびその情報安全保護方法を提供することを目的とする。
【課題を解決するための手段】
【０００９】
このため、本発明の情報処理端末は、汎用の第１アプリケーションを実行しうる第１情報処理部と、入力情報の安全および保護を要する第２アプリケーションを実行しうる第２情報処理部と、上記の第１および第２情報処理部とは別体に構成されるとともに、上記第２情報処理部を起動するためのトリガ操作を検出しその旨を出力するトリガ検出部を有し、上記第２アプリケーションの実行における前記入力情報の安全および保護を暗号化処理によって図るための保護部と、該トリガ検出部で上記トリガ操作を検出した場合に、上記第１アプリケーションの実行を制限するとともに上記第２アプリケーションを実行すべく上記の第１，第２情報処理部を制御する実行管理部とを、そなえて構成されたことを特徴としている。
【００１０】
この場合において、好ましくは、該トリガ検出部を、上記外部からのトリガ操作として、データを記憶しうる外部記憶媒体が接続されたことを検出する接続検出部をそなえて構成する。
また、上記の第１および第２アプリケーションにおける処理においてデータの入出力を行なう入出力装置と上記の第１および第２情報処理部との間でのインターフェイス処理を行なう入出力インターフェイスをそなえ、該実行管理部が、上記トリガ操作を検出した場合に、該入出力インターフェイスを、該第１情報処理部とリンクさせる動作モードから、該第２情報処理部と直接リンクさせる動作モードに切り替える動作モード切り替え部を、そなえて構成することもできる。
【００１１】
また、本発明の情報処理端末は、汎用の第１アプリケーションを実行しうる第１情報処理部と、入力情報の安全および保護を要する第２アプリケーションを実行しうる第２情報処理部と、上記の第１および第２情報処理部とは別体に構成されるとともに、上記第２情報処理部を起動するためのトリガ操作を検出しその旨を出力するトリガ検出部を有し、上記第２アプリケーションの実行における前記入力情報の安全および保護を暗号化処理によって図るための保護部と、該トリガ検出部で上記トリガ操作を検出した場合に、上記第１アプリケーションの実行を制限するとともに上記第２アプリケーションを実行すべく上記の第１，第２情報処理部を制御する実行管理部を有する管理部と、をそなえ、該第２情報処理部が、上記第２アプリケーションのためのプログラムデータと、上記プログラムデータから作られた暗証情報と、を記憶する第２アプリケーション用記憶部をそなえるとともに、該保護部が、鍵情報を記憶する鍵情報記憶部と、該第２アプリケーション用記憶部に記憶された暗証情報を入力されるとともに、該入力された暗証情報と、該鍵情報記憶部に記憶された鍵情報と、を用いることにより、第１照合用情報を生成しうる第１照合用情報生成部と、をそなえ、かつ、該管理部が、該トリガ検出部で上記トリガ操作を検出すると、該第２アプリケーション用記憶部から、上記のプログラムデータおよび暗証情報を読み出す読み出し部と、該読み出し部で読み出された上記のプログラムデータと暗証情報とを分離する分離部と、該分離部で分離された上記プログラムデータから第２照合用情報を生成しうる第２照合用情報生成部と、上記の第１および第２照合用情報生成部でそれぞれ生成された第１および第２照合用情報を比較することにより、該第２アプリケーションのためのプログラムデータを認証可否を判定する判定部と、をそなえ、かつ、上記の実行管理部が、該判定部において上記プログラムデータが認証可とされた後に、該第２情報処理部による上記第２アプリケーションを実行させるべく構成されたことを特徴としている。
【００１２】
さらに、本発明の情報処理端末の情報安全保護方法は、汎用の第１アプリケーションを行ないうる第１情報処理部と、外部からのトリガ操作によって起動され、入力情報の安全および保護を図りながら第２アプリケーションを行ないうる第２情報処理部と、上記の第１，第２情報処理部を制御する管理部と、上記の第１および第２情報処理部とは別体に構成されるとともに、上記第２アプリケーションにおける前記入力情報の安全および保護を暗号化処理によって図るための保護部と、をそなえてなる情報処理端末の情報安全保護方法であって、該保護部が、該外部からのトリガ操作を検出するトリガ検出ステップと、該トリガ検出ステップにおいて上記トリガ操作を検出すると、該管理部が、該第２アプリケーション用記憶部から、上記のプログラムデータおよび暗証情報を読み出す読み出しステップと、該管理部が、該読み出しステップにおいて読み出されたプログラムデータを、当該プログラムデータとともに読み出された暗証情報を用いて認証を行なう認証ステップと、該認証ステップにおいて認証されたプログラムデータを用いることにより、該管理部が、該第２情報処理部に上記第２アプリケーションを実行させる一方、該第１情報処理部に上記第１アプリケーションの実行を制限させる制御ステップ（以下、実行ステップともいう）と、をそなえて構成されたことを特徴としている。
また、該認証ステップが、該読み出しステップで読み出された上記のプログラムデータから第２照合用情報を生成しうる第２照合用情報生成ステップと、該読み出しステップで読み出された暗証情報を該保護部に出力する暗証情報出力ステップと、該保護部において、該暗証情報出力ステップで出力された暗証情報と、当該保護部において記憶している鍵情報と、を用いることにより、第１照合用情報を生成する第１照合用情報生成ステップと、上記の第１および第２照合用情報生成ステップでそれぞれ生成された第１および第２照合用情報を比較して、これらの第１および第２照合用情報が一致している場合に認証成功と判定し、一致しない場合に認証失敗と判定する判定ステップと、をそなえていてもよい。
【発明の効果】
【００１３】
このように、本発明によれば、第２情報処理部の動作自体は汎用ＯＳの管理下で動作させる一方、機密性保持のため必要な情報の入出力は他のアプリケーションに情報を漏洩させないようにすることができるので、汎用ＯＳを採用して自由なアプリケーションソフトの開発環境を提供しつつ、暗証情報入力と他の情報の入力とで共通のキーボードを使用しながら、暗証情報の漏洩を防止できるようにした利点がある。
【発明を実施するための最良の形態】
【００１４】
以下、図面を参照することにより、本発明の実施の形態について説明する。
〔Ａ〕本発明の一実施形態の説明
図１は本発明の一実施形態にかかる情報処理端末１を、回線４０を介して接続されたセンタ３０とともに示すブロック図である。この図１に示す情報処理端末１は、例えばＰＤＡ等の携帯型の情報処理端末であって、コンピュータ２，ディスプレイ６，タッチパネル７および回線接続部８をそなえるとともに、本願発明の特徴的構成である保護部１０が一の筐体に組み込まれて構成されている。
【００１５】
ここで、コンピュータ２は、ＣＰＵ（Central Processing Unit）３，ＲＯＭ（Read Only Memory）４およびＲＡＭ（Random Access Memory）５その他ドライバ等のファームウェアをそなえてなるものであって、ＲＯＭ４に記憶されたプログラムをＲＡＭ５に展開し、ＣＰＵ３で実行することにより、各種アプリケーションを行なうことができるようになっている。
【００１６】
具体的には、ＰＯＳ（Point Of Sales：販売時点情報管理）アプリケーションを実行することにより、顧客や端末１の操作者自身が購入すべき商品について登録し代金の計算処理（小計を求める処理）を行なうＰＯＳオペレーションを実行することができるほか、決済アプリケーションを行なうことにより、ＰＯＳアプリケーションによって登録された商品についてクレジットやデビット等を用いた決済を行なうことができる。
【００１７】
また、ディスプレイ６は、コンピュータ２における各種アプリケーションに伴う表示処理を行なうためのもので、タッチパネル７は、ディスプレイ６の画面上の表示に触れることにより入力操作を行なうためのもので、回線接続部８は、ネットワーク４０に接続するためのものである。
特に、情報処理端末１において上述のＰＯＳオペレーションを行なう際には、回線接続部８によりネットワーク４０を介してセンタ３０と通信を行なうことを通じて、購入を希望する商品の在庫情報等をセンタ３０から取得することもできるようになっている。
【００１８】
さらに、保護部１０は、アプリケーションに求められる情報の安全および保護を図るためのものである。例えば、上述の決済アプリケーションは、決済のための個人情報等、秘密にすべき情報が扱われるアプリケーションであり、取り扱われる情報に対する安全および保護のレベルは特に高いものが求められている。本実施形態における保護部１０により、決済アプリケーションにおいて扱われる情報の保護および安全を確実ならしめることができるようになっている。
【００１９】
また、この保護部１０は、暗号処理回路１１，キーボード１２，カードリーダ／ライタ１３および耐タンパ機能部１４をそなえて構成されている。暗号処理回路１１は、第２アプリケーション実行開始前および実行中における情報セキュリティ確保のための暗号処理を行なうものであって、図３に示すように、カード挿抜管理部１１ａおよび保護ドライバ１１ｄをそなえるとともに、決済アプリケーションを起動する際に動作するように構成された鍵情報記憶部１１ｂおよび第１照合用情報生成部１１ｃをそなえて構成されている。
【００２０】
また、キーボード１２は情報処理端末１におけるキー入力部として構成されるものであって、ＰＯＳアプリケーションや決済アプリケーションの実行時におけるＰＩＮ（Personal Identification Number）即ち暗証番号の入力等、必要な入力操作を行なうものであり、このキーボード１２で入力されたキー入力情報は、保護ドライバ１１ｄを通じてコンピュータ２に渡される。尚、後述するように、暗号処理回路１１は、決済アプリケーションの実行中においては保護ドライバ１１ｄの動作モードが切り替わって、他のアプリケーションにキー入力情報が漏洩しないように構成されている。
【００２１】
カードリーダ／ライタ１３は、例えば上述の決済アプリケーションにおいて、ＩＣカード等の外部記憶媒体を用いた決済を行なうために、ＩＣカードに記憶された内容を読み出したり、ＩＣカードに情報を書き込んだりするものであり、加えて、接続検出部として、外部記憶媒体が接続されたこと、具体的にはＩＣカードのカード挿入口への挿入を検出することもできる。
【００２２】
なお、上述のカード挿入口へのＩＣカードの挿抜（挿入および取り外し）については、暗号処理回路１１のカード挿抜管理部１１ａで管理しており、コンピュータ２においては、このＩＣカードの挿抜状態について、カード挿抜管理部１１ａを通じて認識することができるようになっている。
さらに、耐タンパ機能部１４は、筐体のこじ開けなどの不正アクセスから、鍵情報記憶部１１ｂに記憶された内容等の秘密情報の漏洩を防ぐためのものであって、図３に示すように、上述の不正アクセスを検知する不正アクセス検知部１４ａをそなえるとともに、不正アクセス検知部１４ａで不正アクセスが検知された場合に、鍵情報記憶部１１ｂに記憶された鍵情報その他秘密とすべき情報を、不正アクセスによって取り出されないように消去する消去部１４ｂをそなえて構成されている。
【００２３】
図２は上述のコンピュータ２について、そのファームウェア，ソフトウェア構成に着目して示すブロック図であり、この図２に示すように、コンピュータ２においては、汎用ＯＳをベースにして、ＰＯＳアプリケーション２ａを実行するとともに、決済アプリケーション２ｂを実行することができるようになっている。
また、２ｄはディスプレイ６に対する表示制御のためのビデオドライバ、２ｅはタッチパネル７による入出力制御のためのタッチパネルドライバ、２ｆはキーボード１２による入力のためのキーボードドライバ、２ｇは保護部１０とコンピュータ２との間のインターフェイス処理を行なうためのシリアルドライバ、２ｃは上述の２つのアプリケーション２ａ，２ｂや各ドライバ２ｄ〜２ｆを統括制御するための汎用ＯＳのカーネル（以下、単にＯＳカーネルと記載する）である。
【００２４】
上述のドライバ２ｄ〜２ｆは、ＰＯＳアプリケーション２ａおよび決済アプリケーション２ｂにおける処理においてデータの入出力を行なう入出力装置としてのディスプレイ６，タッチパネル７およびキーボード１２と、第１および第２情報処理部２１，２２との間でのインターフェイス処理を行なう入出力インターフェイスとして機能する。
また、ドライバ２ｄ〜２ｆは、ＯＳカーネル２ｃからの指示に基づいて、アプリケーションごとに実行の動作モードを切り替えることができるようになっている。即ち、上述のごときＰＯＳアプリケーション２ａを実行する際には、ドライバ２ｄ〜２ｆは、ＯＳカーネル２ｃを通じてＰＯＳアプリケーション２ａとリンクする通常動作モードとなるが、決済アプリケーション２ｂを実行する際には、当該決済アプリケーション２ｂのみがドライバ２ｄ〜２ｆと直接リンクできるような保護動作モードとなる。
【００２５】
ところで、上述のＰＯＳアプリケーション２ａの実行および決済アプリケーション２ｂの実行に当たっては、コンピュータ２の動作状態が切り替えられて、情報の漏洩を防止することができるようになっている。図３は、本実施形態にかかる情報処理端末１について、上述のごとき決済アプリケーション２ｂの実行に伴う機能に着目して示すブロック図である。
【００２６】
この図３に示すように、コンピュータ２は、汎用のアプリケーションであるＰＯＳアプリケーション２ａの処理（第１アプリケーション）を行ないうる第１情報処理部２１と、決済アプリケーション２ｂの処理（第２アプリケーション）を行ないうる第２情報処理部２２と、上記の第１および第２情報処理部２１，２２における処理を管理する管理部２３と、を構成する。
【００２７】
すなわち、第１，第２情報処理部２１，２２および管理部２３は、いずれも図１に示すコンピュータ２によるハードウェア資源を共用して実現するものであるが、保護部１０は、シリアルドライバ２ｇを介してコンピュータ２に接続されて、コンピュータ２としてのハードウェア資源は共有せずに別モジュールとして構成される。
具体的には、第１情報処理部２１は、コンピュータ２によるＰＯＳアプリケーション２ａの実行とともに通常動作モードのドライバ２ｄ〜２ｆの動作によって実現し、第２情報処理部２２は、コンピュータ２による決済アプリケーション２ｂの実行とともに保護動作モードのドライバ２ｄ〜２ｆの動作によって実現し、管理部２３は、主としてＯＳカーネル２ｃやシリアルドライバ２ｇの動作によって実現するようになっている。
【００２８】
なお、第２情報処理部２２は、決済（第２）アプリケーション用記憶部２２ａをそなえているが、この決済アプリケーション用記憶部２２ａは、決済アプリケーション２ｂの処理のためのプログラムデータと、このプログラムデータから作成された暗証情報としての電子署名情報とを記憶するものであり、図１に示すＲＯＭ４で構成される。
この電子署名情報は、当該決済アプリケーション２ｂのプログラムの正当性（当該端末１の製造段階で適正に組み込まれたものかどうか）を後述の管理部２３で認証するためのものであって、図４に示すように、情報処理端末１の製造段階で（例えばクリーンルームにおいて）作成して、決済アプリケーション２ｂとともにコンピュータ２のＲＯＭ４（図１参照）に記憶しておく。
【００２９】
すなわち、決済アプリケーション２ｂのプログラムデータ（Ｄ１）から所定のアルゴリズムでハッシュＡ（Ｄ２）を作成し、このハッシュＡを例えば３−ＤＥＳ（Triple-Data Encryption Standard）の方式で暗号鍵（Ｄ３）を用いて暗号化することにより、得られた暗号文（Cryptogram）を電子署名（Digital Signature）の情報（Ｄ４）とする。そして、この電子署名情報（Ｄ４）を、プログラムデータ（Ｄ１）に付加して、ＲＯＭ４に書き込むことでおくのである。
【００３０】
また、図３に示す管理部２３は、実行管理部２３ａ，読み出し部２３ｂ，分離部２３ｃ，第２照合用情報生成部２３ｄおよび判定部２３ｅをそなえて構成される。
実行管理部２３ａは、ＩＣカードリーダ／ライタ１３で、ＩＣカード挿入を検出した場合には、ＰＯＳアプリケーション２ａの実行を制限するとともに決済アプリケーション２ｂに実行を移行すべく第１，第２情報処理部２１，２２を動作させるものであり、これにより、決済アプリケーションを行なう際には、当該決済アプリケーション以外のアプリケーションに対して入力情報等が漏洩しないようにすることができる。
【００３１】
なお、読み出し部２３ｂ，暗証情報分離・出力部２３ｃ，第２照合用情報生成部２３ｄおよび判定部２３ｅは、決済アプリケーション２ｂの起動時に動作すべく構成されているが、これらの構成要素については、以下の情報処理端末１の決済アプリケーション２ｂの起動時の動作説明の際に併せて説明する。
上述の構成による、本発明の一実施形態にかかる情報処理端末１においては、管理部２３と上述の保護部１０とが協働することにより、図５のフローチャートに示すように決済アプリケーションにおける情報の安全および保護を図っている。
【００３２】
まず、通常のＰＯＳアプリケーション２ａの動作中においては、コンピュータ２は第１情報処理部２１として動作する。このとき、各ドライバ２ｄ〜２ｆにおいては、ＯＳカーネル２ｃを通じてＰＯＳアプリケーション２ａとリンクする通常動作モードとして動作している。そして、キーボード１２から入力されたキー入力情報は、保護ドライバ１１ｄ，シリアルドライバ２ｇ，キーボードドライバ２ｆおよびＯＳカーネル２ｃを通じ、ＰＯＳアプリケーション２ａで処理される。
【００３３】
上述のＰＯＳアプリケーション２ａの実行に続き決済アプリケーション２ｂによる決済処理を行なう場合には、保護部１０のカードリーダ／ライタ１３において、決済用のＩＣカードが図示しないカード挿入口に挿入されたことをトリガとして、決済アプリケーション２ｂが起動する。
このとき、カードリーダ／ライタ１３で、ＩＣカードがカード挿入口に挿入され、情報処理端末１にＩＣカードが接続されたことを検出すると（ステップＡ１）、暗号処理回路１１のカード挿抜管理部１１ｄでは、マスク不可能な割り込みを発生させて、管理部２３をなすＯＳカーネル２ｃにその旨を出力する［ステップＡ２，トリガ検出ステップ，図２の（１）参照］。従って、上述のカードリーダ／ライタ１３およびカード挿抜管理部１１ａにより、第２情報処理部２２を起動させるためのトリガ検出部を構成する。
【００３４】
管理部２３の実行管理部２３ａ（ＯＳカーネル２ｃ）では、カードリーダ／ライタ１３およびカード挿抜管理部１１ａで検出されたＩＣカード挿入を認識すると、ＰＯＳアプリケーション２ａの実行を制限するとともに決済アプリケーション２ｂに実行を移行させて、第１，第２情報処理部２１，２２を動作させて、決済アプリケーション２ｂの処理における情報の安全および保護を図る。
【００３５】
ここで、実行管理部２３ａ（ＯＳカーネル２ｃ）は、各ドライバ２ｄ〜２ｆに対しても動作モードを通常動作モードから保護動作モードに切り替えて、決済アプリケーション２ｂのみがドライバ２ｄ〜２ｆと直接リンクできるようにしている［ステップＡ３，図２の（２）参照]。
換言すれば、実行管理部２３ａは、カードリーダ／ライタ１３およびカード挿抜管理部１１ａで検出されたトリガ操作としてのＩＣカード挿入を認識すると、入出力インターフェイスとしてのドライバ２ｄ〜２ｆを、管理部２３を通じて第１情報処理部２１とリンクさせる動作モードから、第２情報処理部２２と直接リンクさせる動作モードに切り替える動作モード切り替え部を構成する。
【００３６】
そして、カード挿抜管理部１１ａは、カード挿入を上述のごとく検出した場合、暗号処理回路１１の保護ドライバ１１ｄの動作モードについても、決済アプリケーションを行なう際のキーボード１２からの入力を、第２情報処理部２２でのみ識別可能な形式で第２情報処理部２２に出力するようにしている。
すなわち、カード挿抜管理部１１ａでＩＣカード挿入を検出すると、以後、このＩＣカードが取り外されるまでは、キーボード１２からの入力情報を、第２情報処理部２２でのみ識別可能なキーコードで出力するのである。換言すれば、第２情報処理部２２においては、保護動作モードで動作するキーボードドライバ２ｆを通じ、決済アプリケーション２ｂのみでキー入力情報を受け取ることができ、ＯＳカーネル２ｃではキー入力情報を受け取ることがなくなる［図２の（３）参照］。
【００３７】
決済処理においては、通常、ＩＣカードの挿入後、機密性の高い暗証番号等がキーボード１２から入力されることになるので、ＩＣカードが取り外されるまでは、暗証番号等を適正に扱いうる決済アプリケーションのみでキー入力情報を処理できるようにしているのである。
上述のごとくＩＣカードが挿入され、ドライバ２ｄ〜２ｆが保護動作モードに切り替わると、以後、当該ＩＣカードが取り外されるまでは、キーボード１２やタッチパネル７を通じて入力される情報、および、ディスプレイ６等を通じて表示される情報については、ドライバ２ｄ〜２ｆおよび保護ドライバ１１ｄの作用により、決済アプリケーション以外に漏洩することがない。
【００３８】
そして、管理部２３の読み出し部２３ｂでは、図６の（１）に示すように、決済アプリケーション用記憶部２２ａから、決済アプリケーション２ｂのためのプログラムデータおよび電子署名情報を読み出す（ステップＡ４，読み出しステップ）。
そして、読み出し部２３ｂで上述のプログラムデータおよび電子署名情報を受けると、この管理部２３および保護部１０が協働することにより、読み出し部２３ｂにおいて読み出されたプログラムデータを、当該プログラムデータとともに読み出された電子署名情報を用いて認証を行なう（ステップＡ５，認証ステップ）。
【００３９】
具体的には、図６の（２）に示すように、管理部２３の分離部２３ｃにおいて、読み出し部２３ｂで読み出された電子署名情報とプログラムデータとを分離するとともに、図６の（３）に示すように、第２照合用情報生成部２３ｄにおいて、分離部２３ｃで分離されたプログラムデータ（Ｄ５）から、前述の図４の場合と同様のアルゴリズムにより、第２照合用情報としてのハッシュＡ’（Ｄ７）を生成する（第２照合用情報生成ステップ）。
【００４０】
さらに、上述の分離部２３ｃでは、図６の（４）に示すように、分離された電子署名情報（Ｄ６）を保護部１０の第１照合用情報生成部１１ｃに出力する（暗証情報出力ステップ）。そして、図６の（５）に示すように、第１照合用情報生成部１１ｃでは、分離部２３ｃからの電子署名情報（Ｄ８）と、鍵情報記憶部１１ｂにおいて記憶している鍵情報（Ｄ９）と、を用いることにより、前述の図４の場合と同様の手法で、第１照合用情報としてのハッシュＡ”（Ｄ１０）を生成し（第１照合用情報生成ステップ）、得られたハッシュＡ”を管理部２２に出力する[図６の（６）参照]。
【００４１】
ここで、上述の鍵情報記憶部１１ｂで記憶する鍵情報（Ｄ９）は、前述の図４に示す電子署名情報（Ｄ４）を生成する際に使用した鍵情報（Ｄ３）と同一のものである。従って、上述の保護部１０における第１照合用情報生成部１１ｃで得られたハッシュＡ”と、管理部２３における第２照合用情報生成部２３ｄで得られたハッシュＡ’とが同一であれば、管理部２３の読み出し部２３ｂで読み出したプログラムデータは正当なものとなる。
【００４２】
すなわち、管理部２３の判定部２３ｅでは、図６の（７）に示すように、上述の第１照合用情報生成部１１ｃで得られたハッシュＡ” （Ｄ１０）と、第２照合用情報生成部２３ｄで得られたハッシュＡ’ （Ｄ７）とを比較することにより、読み出し部２３ｂで読み出されたプログラムの認証可否を判定する。この場合においては、これらハッシュＡ”およびハッシュＡ’が一致している場合に認証可（認証成功）と判定し、一致しない場合に認証否（認証失敗）と判定する（判定ステップ）。
【００４３】
そして、上述のごとき認証ステップ（図５のステップＡ５）において認証が成功した場合に、管理部２３の実行管理部２３ａにより、当該認証が成功したプログラムデータを用いることにより、第２情報処理部２２に決済アプリケーションを実行させる（図５のステップＡ６，実行ステップ）。
このとき、第２情報処理部２２で実行する決済アプリケーションにおいて、カード挿入口に挿入されているＩＣカードが、決済アプリケーションで使用できるＩＣカードであることを確認して、このＩＣカードを用いた実際の決済処理に移ることとなる（ステップＡ７のＹＥＳルートからステップＡ８）。
【００４４】
そして、上述のＩＣカードを用いた実際の決済処理が終了した場合は第２情報処理部２２において、ＩＣカードの取り外し要求をディスプレイ等の表示機能を通じて行なう（ステップＡ９）。なお、決済アプリケーションで使用できないＩＣカードが挿入されている場合にも、実際の決済処理を行なうことはせずに、同様の取り外し要求をディスプレイ６等の表示機能を通じて行なう（ステップＡ７のＮＯルートからステップＡ９）。
【００４５】
その後、カード挿入口に挿入されていたＩＣカードの取り外し操作を行なうことで、第２情報処理部２２による決済アプリケーション処理は終了し、保護ドライバ１１ｄとともにドライバ２ｄ〜２ｆについても通常動作モードに切り替わって、第１情報処理部２１によるＰＯＳアプリケーションを実行することができるようになる。
すなわち、カード挿抜管理部１１ａにおいて、ＩＣカードの取り外しが検出されると、保護ドライバ１１ｄの動作モードを保護動作モードから通常動作モードに切り替える。また、実行管理部２３ａ（ＯＳカーネル２ｃ）において、上述のＩＣカード取り外しをカード挿抜管理部１１ａからシリアルドライバ２ｇを通じて認識すると、ドライバ２ｄ〜２ｆを保護動作モードから通常動作モードに切り替えるとともに、ＰＯＳアプリケーション２ａを実行させる［図２の（４）参照］。
【００４６】
このように、本発明の一実施形態にかかる情報処理端末１によれば、保護部１０および実行管理部２３ａにより、第２情報処理部２２の動作自体は汎用ＯＳの管理下で動作させる一方、機密性保持のため必要な情報の入出力は他のアプリケーションに情報を漏洩させないようにすることができるので、汎用ＯＳを採用して自由なアプリケーションソフトの開発環境を提供しつつ、暗証情報入力と他の情報の入力とで共通のキーボードを使用しながら、暗証情報の漏洩を防止できるようにした利点がある。
【００４７】
〔Ｂ〕その他
本発明によれば、上述の本実施形態にかかわらず、本発明の趣旨を逸脱しない範囲において種々変形して実施することができる。
上述の本実施形態にかかる情報処理端末１においては、情報の安全および保護を要し、機密性を保持すべき第２アプリーションを決済アプリケーションとし、汎用の第１アプリケーションをＰＯＳアプリケーションとして構成されているが、本発明によればこれに限定されず、これ以外のアプリケーションの組み合わせとすることも、もちろん可能である。
【００４８】
また、上述した本実施形態により、本発明の装置を製造することは可能である。
〔Ｃ〕付記
（付記１）  汎用の第１アプリケーションを実行しうる第１情報処理機構と、
情報の安全および保護を要する第２アプリケーションを実行しうる第２情報処理機構と、
上記の第１および第２情報処理機構における処理を管理する管理機構と、
上記の第１および第２情報処理機構並びに管理機構とは別体に構成されるとともに、上記第２情報処理機構を起動するためのトリガ操作を検出しその旨を該管理機構に出力するトリガ検出部を有し、上記第２アプリケーションの実行における情報の安全および保護を図るための保護機構とをそなえ、
該管理機構が、該トリガ検出部で上記トリガ操作を検出した場合に、上記第１アプリケーションの実行を制限するとともに上記第２アプリケーションに実行を移行すべく上記の第１，第２情報処理機構を動作させる実行管理部を、そなえて構成されたことを特徴とする、情報処理端末。
【００４９】
（付記２）  該トリガ検出部が、上記外部からのトリガ操作として、データを記憶しうる外部記憶媒体が接続されたことを検出する接続検出部をそなえて構成されたことを特徴とする、付記１記載の情報処理端末。
（付記３）  上記の第１および第２アプリケーションにおける処理においてデータの入出力を行なう入出力装置と上記の第１および第２情報処理機構との間でのインターフェイス処理を行なう入出力インターフェイスをそなえ、
該実行管理部が、上記トリガ操作を検出した場合に、該入出力インターフェイスを、該管理機構を通じて該第１情報処理機構とリンクさせる動作モードから、該第２情報処理機構と直接リンクさせる動作モードに切り替える動作モード切り替え部を、そなえて構成されたことを特徴とする、付記１記載の情報処理端末。
【００５０】
（付記４）  該第２情報処理機構が、
上記第２アプリケーションのためのプログラムデータと、上記プログラムデータから作られた暗証情報と、を記憶する第２アプリケーション用記憶部をそなえるとともに、
該保護機構が、
鍵情報を記憶する鍵情報記憶部と、
該第２アプリケーション用記憶部に記憶された暗証情報を該管理機構から入力されるとともに、該入力された暗証情報と、該鍵情報記憶部に記憶された鍵情報と、を用いることにより、第１照合用情報を生成しうる第１照合用情報生成部をそなえ、
かつ、上記の管理機構が、該トリガ検出部で上記トリガ操作を検出すると、該第２アプリケーション用記憶部から、上記のプログラムデータおよび暗証情報を読み出す読み出し部と、
該読み出し部で読み出された上記のプログラムデータと暗証情報とを分離する分離部と、
該分離部で分離された上記プログラムデータから第２照合用情報を生成しうる第２照合用情報生成部と、
上記の第１および第２照合用情報生成部でそれぞれ生成された第１および第２照合用情報を比較することにより、該第２アプリケーションのためのプログラムデータの認証可否を判定する判定部と、をそなえ、
かつ、上記の管理機構の実行管理部が、該認証部において上記プログラムデータが認証可とされた後に、該第２情報処理機構による上記第２アプリケーションを実行させるべく構成されたことを特徴とする、付記１記載の情報処理端末。
【００５１】
（付記５）  該保護機構が、当該保護機構の不正アクセスを検知する不正アクセス検知部と、該不正アクセス検知部で上記不正アクセスが検知されると、該第１鍵情報記憶部に記憶される鍵情報を消去する鍵情報消去部と、をそなえて構成されたことを特徴とする、付記４記載の情報処理端末。
（付記６）  該保護機構が、キー入力部をそなえるとともに、該トリガ検出部で上記トリガ操作を検出した場合に、上記第２アプリケーションを行なう際の該キー入力部からの入力を、該第２情報処理機構でのみ識別可能な形式で該第２情報処理機構に出力するための保護ドライバと、をそなえて構成されたことを特徴とする、付記１〜５のいずれか１項記載の情報処理端末。
【００５２】
（付記７）  該第１アプリケーションとして、購入すべき商品を登録する処理を行なうとともに、該第２アプリケーションとして、上記登録された購入すべき商品についての代金決済処理を行なうように構成されたことを特徴とする、付記１〜５のいずれか１項記載の情報処理端末。
（付記８）  上記の第１および第２情報処理機構並びに管理機構が、共用化されたコンピュータにより構成され、かつ、該保護機構が上記共用化されたコンピュータとともに一の筐体に組み込まれたことを特徴とする、付記１〜７のいずれか１項記載の情報処理端末。
【００５３】
（付記９）  汎用の第１アプリケーションを行ないうる第１情報処理機構と、外部からのトリガ操作によって起動され、情報の安全および保護を図りながら第２アプリケーションを行ないうる第２情報処理機構と、上記の第１および第２情報処理機構における処理を管理する管理機構と、上記の第１および第２情報処理機構並びに管理機構とは別体に構成されるとともに、上記第２アプリケーションにおける情報の安全および保護を図るための保護機構と、をそなえてなる情報処理端末の情報安全保護方法であって、
該保護機構が、該外部からのトリガ操作を検出すると、その旨を該管理機構に通知するトリガ検出ステップと、
該トリガ検出ステップにおいて上記トリガ操作の検出の通知を受けると、該第２アプリケーション用記憶部から、上記のプログラムデータおよび暗証情報を読み出す読み出しステップと、
上記の管理機構および保護機構が協働することにより、該読み出しステップにおいて読み出されたプログラムデータを、当該プログラムデータとともに読み出された暗証情報を用いて認証を行なう認証ステップと、
該認証ステップにおいて認証されたプログラムデータを用いることにより、該管理機構が、該第２情報処理機構に上記第２アプリケーションを実行させる実行ステップと、をそなえて構成されたことを特徴とする、情報処理端末の情報安全保護方法。
【００５４】
（付記１０）  該認証ステップが、
該管理機構において、該読み出しステップで読み出された上記のプログラムデータから第２照合用情報を生成しうる第２照合用情報生成ステップと、
該管理機構において、該読み出しステップで読み出された暗証情報を該保護機構に出力する暗証情報出力ステップと、
該保護機構において、該暗証情報出力ステップで出力された暗証情報と、当該保護機構において記憶している鍵情報と、を用いることにより、第１照合用情報を生成する第１照合用情報生成ステップと、
該管理機構において、上記の第１および第２照合用情報生成ステップでそれぞれ生成された第１および第２照合用情報を比較して、これらの第１および第２照合用情報が一致している場合に認証成功と判定し、一致しない場合に認証失敗と判定する判定ステップと、をそなえて構成されたことを特徴とする、付記９記載の情報処理端末の情報安全保護方法。
【図面の簡単な説明】
【００５５】
【図１】本発明の一実施形態にかかる情報処理端末を、回線を介して接続されたセンタとともに示すブロック図である。
【図２】本発明の一実施形態にかかる情報処理端末の要部を示すブロック図である。
【図３】本実施形態にかかる情報処理端末について、決済アプリケーションの実行に伴う機能に着目して示すブロック図である。
【図４】本実施形態における電子署名情報の作成について説明するための図である。
【図５】本実施形態の動作を説明するためのフローチャートである。
【図６】本実施形態における電子署名情報を用いた認証手順について説明するための図である。
【符号の説明】
【００５６】
１ 情報処理端末
２ コンピュータ
２ａ ＰＯＳアプリケーション
２ｂ 決済アプリケーション
２ｃ ＯＳカーネル
２ｄ ビデオドライバ（入出力インターフェイス）
２ｅ タッチパネルドライバ（入出力インターフェイス）
２ｆ キーボードドライバ（入出力インターフェイス）
２ｇ シリアルドライバ
３ ＣＰＵ
４ ＲＯＭ
５ ＲＡＭ
６ ディスプレイ（入出力装置）
７ タッチパネル（入出力装置）
８ 回線接続部
１０ 保護部
１１ 暗号処理回路
１１ａ カード挿抜管理部（トリガ検出部）
１１ｂ 鍵情報記憶部
１１ｃ 第１照合用情報生成部
１１ｄ 保護ドライバ
１２ キーボード（入出力装置）
１３ カードリーダ／ライタ（トリガ検出部，接続検出部）
１４ 耐タンパ機能部
１４ａ 不正アクセス検知部
１４ｂ 消去部
２１ 第１情報処理部
２２ 第２情報処理部
２２ａ 決済アプリケーション用記憶部（第２アプリケーション用記憶部）
２３ 管理部
２３ａ 実行管理部（動作モード切り替え部）
２３ｂ 読み出し部
２３ｃ 分離部
２３ｄ 第２照合用情報生成部
２３ｅ 判定部
３０ センタ
４０ 回線
【図１】
0004636809.tif 000002
【図２】
0004636809.tif 000003
【図３】
0004636809.tif 000004
【図４】
0004636809.tif 000005
【図５】
0004636809.tif 000006
【図６】
0004636809.tif 000007