(57)【特許請求の範囲】
【請求項１】
サーバと電子デバイスとから成るシステムにおいて実施されるコンピュータ実施の検証方法であって、前記電子デバイスは、ｉ）画面と、ｉｉ）前記画面のキーパッドゾーン内に備えられ、且つ複数のキーを含む操作可能なキーパッドとを有し、前記複数のキーの各キーは、前記キーと関連する少なくとも１つの印を有し、前記コンピュータ実施の検証方法は、前記サーバが複数のスクランブルキーパッドを生成する工程と、前記サーバが前記複数のスクランブルキーパッドから、標準キーパッドに位置的に一致するキーを有するスクランブルキーパッドを取り除く工程と、前記サーバが前記で取り除いて残されたスクランブルキーパッドから任意のスクランブルキーパッドを選択する工程と、前記サーバが前記で選択されたスクランブルキーパッドを前記電子デバイスに送信する工程と、前記電子デバイスが、前記の受信したスクランブルキーパッドを自身が生成した前記の操作可能なキーパッドに重ね合わせて表示する工程とを含み、これらの工程によって、ユーザが、前記電子デバイス上で、前記スクランブルキーパッドを介して前記操作可能なキーパッドを操作すると、前記操作可能なキーパッドのキーが前記電子デバイスに入力されることによって前記ユーザの入力の符号化バーションが生成されて前記電子デバイスに識別名を入力することを可能にし、また、前記コンピュータ実施の検証方法は、前記キーパッドゾーン内に少なくとも部分的に表示される前記スクランブルキーパッドの少なくとも一部の画像を介して、前記キーパッドの少なくとも１つのキーを操作することによって行われ、前記スクランブルキーパッドの少なくとも一部の画像は、前記キーパッドに重ね合わせられるカバーとして機能し、前記ユーザが前記画像内の位置を特定すると、前記キーパッドゾーン内の当該位置に配置されているキーパッドのキーが操作されて前記ユーザの入力の符号化バージョンを提供し、前記電子デバイス上に表示された画像は、前記スクランブルキーパッドの複数の画像から選択され、前記複数の画像は、前記画像を選択する前に、フィルタリングされて前記複数の画像のいずれの画像も前記キーパッド内の対応する前記キーと同じ位置にあるキーを描写したものではないことを保証するようにするコンピュータ実施の検証方法。
【請求項２】
前記画像が、グラフィック画像、光学像、ビデオ、又は何か他の形の可視表現を含めて、電子的に形成される請求項１に記載の方法。
【請求項３】
前記キーパッドゾーンが前記画面の全体又は一部分を覆う画定された画面の領域又は部分である請求項１又は２のいずれかに記載の方法。
【請求項４】
前記画像は、前記ユーザには前記画像が、前記電子デバイスの前記キーパッドに対して、スクランブルされた配列又は構成のキーを有する操作可能なキーパッドに見えるように表示される請求項１乃至３のいずれかに記載の方法。
【請求項５】
前記キーパッドゾーンは、前記ユーザが前記識別名を入力する前に、キーパッド表示領域として特定される前記画面の一部分である請求項１乃至４のいずれかに記載の方法。
【請求項６】
前記キーパッドゾーン及び／又は前記画像が、前記ユーザの識別名の入力中に前記画面上の固定位置にとどまる請求項１乃至５のいずれかに記載の方法。
【請求項７】
前記識別名が個人識別コード又は個人識別番号である請求項１乃至６のいずれかに記載の方法。
【請求項８】
前記画像は、前記キーパッド内の前記キーのレイアウトに対して位置的に再配列又は再構成される少なくとも１つのキーを有するスクランブルキーパッドを表現し又は描写する請求項１乃至７のいずれかに記載の方法。
【請求項９】
前記画像内に描写された前記キーのすべてが、前記キーパッド内の前記キーに対して再配置又は再配列される請求項８に記載の方法。
【請求項１０】
前記ユーザは、マウス又はトラッカボール等のポインティングデバイスを使用して前記画面の一部分に触れ、且つ／又は前記画面のある領域を選択することによって、前記画面との対話により前記識別名を入力できる請求項１乃至９のいずれかに記載の方法。
【請求項１１】
遠隔に設置されたコンピュータベースの資源から前記電子デバイスへ前記画像を送信するステップを更に含む請求項１乃至１０のいずれかに記載の方法。
【請求項１２】
前記キーパッドゾーンは、複数のサブゾーン又は「ホットスポット」を備え、それぞれのサブゾーンは、キーパッドのキーに対応している請求項１乃至１１のいずれかに記載の方法。
【請求項１３】
前記スクランブルキーパッドの前記画像は、前記画像内に描写された少なくとも１つのキーの位置がサブゾーンの位置に対応するように前記ユーザに提示され、それによって、前記画像内に描写された前記スクランブルキーパッドの前記キーと前記複数のサブゾーンとの間のマッピングが行われる請求項１２に記載の方法。
【請求項１４】
前記キーパッド内の前記キーの構成又は配列は、前記ユーザの識別名の少なくとも一部が入力された後に変更される請求項１乃至１３のいずれかに記載の方法。
【請求項１５】
前記ユーザの識別名の符号化バージョンは、前記画面上の前記画像に対して前記ユーザによって行われたクリック、接触又は他の指示に応じて前記キーパッド上で活性化された複数のキーストロークにより、前記電子デバイス内で構築される請求項１乃至１４のいずれかに記載の方法。
【請求項１６】
前記デバイスに入力された前記識別名は、前記電子デバイスから遠隔のコンピュータベースの資源へ送信される請求項１乃至１５のいずれかに記載の方法。
【請求項１７】
前記遠隔のコンピュータベースの資源は、前記ユーザの識別名を受信し、それを復号化する請求項１６に記載の方法。
【請求項１８】
前記識別名は、前記スクランブルキーパッドの前記画像内に描写された前記キーの前記構成の保管形式又は保管バージョンを使用して復号化される請求項１７に記載の方法。
【請求項１９】
前記キーの前記構成の前記保管形式又は保管バージョンは、ファイル名である請求項１８に記載の方法。
【請求項２０】
処理は、前記キーの前記構成の前記保管形式又は保管バージョンを使用して、前記ユーザの入力識別名の復号化バージョンを得ることを含む請求項１９に記載の方法。
【請求項２１】
前記処理された識別名は、前記ユーザの識別名の保管バージョンと比較され、前記処理された識別名が前記識別名の前記保管バージョンと一致した場合に、前記ユーザの入力が確認されたと判断される請求項１８乃至２０のいずれかに記載の方法。
【請求項２２】
スクランブルキーパッドの複数の画像を生成するステップと、
前記複数の画像から１つの画像を選択するステップと、
前記選択された画像のコピーを前記電子デバイスへ送信するステップと
を更に含む請求項１乃至２１のいずれかに記載の方法。
【請求項２３】
前記選択を行う前に少なくとも１つのスクランブルキーパッド画像を前記複数の画像から除去するステップ
を更に含む請求項２２に記載の方法。
【請求項２４】
前記コピーを前記電子デバイスへ送信した後に、前記選択された画像を前記複数の画像から除去するステップ
を更に含む請求項２２又は２３に記載の方法。
【請求項２５】
前記キーパッド内の前記それぞれのキーと同じ位置にある少なくとも１つのキーを有するスクランブルキーパッドを表すいずれの画像も、前記複数の画像から除去するステップ
を更に含む請求項２２乃至２４のいずれかに記載の方法。
【請求項２６】
前記画像内に描写されたすべてのキーの位置が、前記ユーザの識別名の入力中に相互に対して変わらないままである請求項１乃至２５のいずれかに記載の方法。
【請求項２７】
前記スクランブルキーパッドの前記画像は、前記電子デバイスから遠隔に設置されたコンピュータベースの資源から前記電子デバイスによって受信される請求項１乃至２６のいずれかに記載の方法。
【請求項２８】
前記スクランブルキーパッドの前記画像内の少なくとも１つのキーの記号は、少なくとも部分的に見えにくくされるか、又は難読化されるが、ユーザには判読可能なままである請求項１乃至２７のいずれかに記載の方法。
【請求項２９】
前記電子デバイスは、モバイル電話、パーソナルコンピュータ、タブレット型コンピュータ、ラップトップ、携帯情報端末、カード読取り端末又はカード読取りデバイス若しくは電子ＰＯＳデバイスに似るようにハウジング内にあるモバイル電話又は通信機能を有するある種の他の電子デバイスである請求項１乃至２８のいずれかに記載の方法。
【請求項３０】
前記画像は、ウェブブラウザ、又はブラウザの中に埋め込まれたアプリケーション、若しくは独立型ソフトウェアアプリケーションを介して、且つ／又は前記ユーザが前記画面と対話できるようにするグラフィカルユーザインターフェースを提供するアプリケーションを介して表示される請求項１乃至２９のいずれかに記載の方法。
【請求項３１】
前記ユーザにインジケータを配信して、前記スクランブルキーパッドの前記画像が正当な送信元から供給されたことを確認するステップを更に含む請求項１乃至３０のいずれかに記載の方法。
【請求項３２】
前記インジケータは、可聴表示、可視表示、テキストメッセージ、画像、ビデオ、音声、透かし、振動又は他の触覚表示である請求項３１に記載の方法。
【請求項３３】
前記インジケータは、前記ユーザによって選択される請求項３１又は３２に記載の方法。
【請求項３４】
前記画面上の前記キーパッドゾーンの位置及び／又はその寸法は、手続き呼出し又は方法呼出しによって特定される請求項１乃至３３のいずれかに記載の方法。
【請求項３５】
前記画像は、前記ユーザの入力の後又は指定期間の後に、前記電子デバイスから消去される請求項１乃至３４のいずれかに記載の方法。
【請求項３６】
前記ユーザの入力識別名は、金融資源、デバイス、建物、電子的資源、医学的資源、情報若しくはデータ資源又はコンピュータベースの資源等の資源へのアクセスを管理するために確認される請求項１乃至３５のいずれかに記載の方法。
【請求項３７】
遠隔に設置されたコンピュータベースの資源から前記電子デバイスへ前記画像を送信するステップと、
少なくとも１つの指令を前記電子デバイスへ送信するステップを更に含み、
前記少なくとも１つの指令は、前記デバイスの実行時に前記操作可能なキーパッドを生成するように構成されている請求項１乃至３６のいずれかに記載の方法。
【請求項３８】
請求項１乃至３７のいずれかに記載の方法を実施するように配置して構成されたコンピュータ実施のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的には、ユーザ認証の分野に関し、更に詳細に述べると、ＰＩＮによる検証の分野に関する。本発明は、ある操作を完了する前に確認される個人識別番号（ＰＩＮ）等のコードを入力することがユーザに要求される状況で使用するのに適している。この操作は、どんな種類の操作であってもよい。
【背景技術】
【０００２】
認証は、ある行為を実行すること、又はデバイス、建物、コンピュータシステム、金融口座、サービス等の何らかの管理又は運用されている資源にアクセスすることが許可される前に、個人の同一性及び／又は許可が確認される必要がある種々の状況で使用される技法である。
【０００３】
認証の１つの一般的な手法は、事前選択され、その後は安全な場所に、かつ許可された者だけが使用できるように秘密に維持される、何らかの識別名（コード、又は記号の組合せ等）を記録することである。識別名は、特定のユーザ又はユーザ群と関連づけられて保管され、ときには、例えばユーザ名等の事前に決められた他の識別名と組み合わせて保管及び／又は使用されることもある。識別名は、ユーザ自身で選択することが多いが、識別名を決めるのが資源管理者又は所有者であることもときにはある。ユーザは、多くの場合、以前に選択した自分の識別名を変更することができる。識別名は多くの場合、ある組織にユーザが加わる最初のとき、例えば、ユーザが特定の会社で勤務を始めるとき、又は特定のサービスについてプロバイダに登録するときに選択される。識別名が選択され、許可された個人に割り当てられた後、ユーザは、管理された動作を行うための許可、又は資源若しくはサービスにアクセスするための認可を要求するごとに、事前に決められた識別名を与えることが要求される。ユーザの入力識別名は、保管されているバージョンと比較される。ユーザが正しい識別名を与えることができた場合、ユーザの同一性が確認されたと考えられ、アクセスが認められる。一方で、正しい識別名が与えられなかった場合には、アクセスが拒否される。
【０００４】
本明細書では、このような識別名を個人識別コード（ＰＩＣ）と呼ぶことがある。
【０００５】
ＰＩＣの１つの一般的な例は、典型的には、個人識別番号（ＰＩＮ）と呼ばれる４桁の数字コードである。「ＰＩＣ」という用語は、「ＰＩＮ」（個人識別番号）という用語を含むものである。しかし、長さが異なる、また種類の異なる文字又は記号を含む他のコードを使用することもできる。本発明は、使用される識別名の長さ、又はそれに含まれる文字の種類に関して限定されるものではない。例えば、識別名は、数字、英字、ピクチャ、句読点若しくは他の種類の記号、又はこれらが混合したものを含むことができる。「ＰＩＮ」又は「ＰＩＣ」という用語は、便宜上、ユーザの識別名を指すために以下で用いられることがあるが、識別名の長さ、種類又はフォーマットに関して何らか限定するものと解釈されるべきではない。
【０００６】
ＰＩＮによる検証システムは、典型的には、ユーザが事前選択した自分のＰＩＮを入力できるようにするキーパッドを備えている。当技術分野で知られている典型的なキーパッドレイアウトが図１４Ａに示されている。キーパッドは、ブロック又は「パッド」として配置された１組のボタン又は「キー」である。キーは、互いに隣接した格子の形に並べられてパッドを形成する。キーは、その上に印刷、刻印、エンボス、又は他の方法で表示された印（識別名）を有する。キー上の印は、典型的には１つの記号（例えば「６」）から成っているが、１つより多い記号（例えば「ＡＢ」）を含むこともできる。キー上の印は通常、連続した系列等に順序よく配置される。例えば数字は、典型的には昇順で配列される。本明細書では、「キーパッド」という用語は、「ｐｉｎパッド」という用語と交換可能に使用することがある。
【０００７】
キーパッドは、計算デバイスに接続された英数字キーボード上にしばしば見られる。計算機、押しボタン電話機、組合せ錠、及びデジタルドア錠等の他のデバイスもまた、キーパッドを備えることで知られている。携帯型電気通信デバイス及び計算デバイスの出現により、モバイル（セルラー）電話、タブレットコンピュータ、携帯情報端末（ＰＤＡ）等のモバイルデバイスに導入されたキーパッドもまた見られる。
【０００８】
多くの電子デバイスは、今では、コンピュータ処理機能、及びキーパッドを表示できるタッチ画面インターフェースを含んでいる。これらは、事前に選択された記号の組合せを含むパスコードを入力することによって、許可されたユーザがデバイスを「ロック解除」できるようにすること、又は電話番号を入力して電話をかけることを含め、種々の目的のために使用することができる。金融取引に使用されるカード読取り端末もまた、ユーザが自分のＰＩＮをキーパッドを介して入力できるようにするキーパッドを有する。
【０００９】
各種のスマートフォン（例えば、ブランド及び／又はモデル）は、その「初期設定」キーパッドとして付随する特定の様式のキーパッドを有することがある。例えば、特定のフォーマット又はレイアウトでキーを配置することができ、又は特定のフォントをその印として使用することができる。従って、電子デバイスのユーザは、そのデバイス上のキーパッドに関して、ある特定の「ルック・アンド・フィール（外観及び操作感）」に慣れ親しむことができる。広く知られているスマートフォン上に生成され表示される典型的なキーパッドの一例が、図１４Ｂに示されている。初期設定キーパッドは、電話内で手続き呼出しを実行することによって生成される。
【００１０】
押し下げ可能な（物理的に可動の）キーを有する従来のキーパッドとは対照的に、番号が付されるかそれとは別の表示がされた、従来の対応するものの物理的キーに相当する「ホットスポット」を有するキーパッドの画像を表示するために、タッチ画面を使用することができる。ユーザは、可動キーを押す代わりに、自分の選択キーに対応するホットスポットに触れる。画面の表面の下に配置されたセンサが、どの領域がユーザによって選択されたかを検知し、それによってユーザの入力が「読み取られる」。
【００１１】
おそらくキーパッド及びＰＩＮによる技術の最も一般的な用途は、金融取引に関連しており、例えば、現金自動預け払い機（「ＡＴＭ」又は「現金自動支払機」として知られる）であり、銀行カード（すなわち、デビットカード及びクレジットカード）用の販売時点デバイスである。
【００１２】
ＰＩＮによる認証を導入する前には、顧客が商品又はサービスを購入したい場合は、顧客は署名することを求められ、この署名がカード裏面の署名と比較されていた。しかし、署名は、比較的簡単に偽造することができる。
【００１３】
この問題に対処するために、スマートカード技術が多くの国でクレジットカード、デビットカード、ＡＴＭカード用に導入された。この支払システム（「チップ・アンド・ピン」システムとして知られていることもある）は、ＥＭＶ標準規格として知られている国際標準規格に基づいている。この手法を使用して、クレジットカード及びデビットカードには、埋込みマイクロチップが備えられる。顧客がこのシステムを用いて商品の支払いをしたいとき、カードは、カード上のチップにアクセスする「販売時点」端末、又は修正されたスワイプカードリーダに入れられる。カードが真正と確認されると、顧客は４桁のＰＩＮを入力し、このＰＩＮはスマートカード上のチップに提示され、２つが一致した場合、チップは端末にＰＩＮが正しかったことを告げ、そうでなければ、ＰＩＮが正しくなかったことを知らせる。入力ＰＩＮは、入力中のそれぞれの記号が、保管バージョン内で見出され、且つそれが同じ順序及び数字である場合に、保管ＰＩＮに一致する。
【００１４】
ある状況では、金融取引は、カード上の磁気ストライプを、カードのデータを読み取るように機械に通すことによって、又は、カードを専用のカード読取りデバイスに挿入するのではなくカードの詳細を手入力することによって、実行することができる。
【００１５】
ＰＩＮが検証のためにホストに返送されると、伝送処理中にＰＩＮが傍受される可能性があるので、セキュリティ考慮事項が問題とされるようになることに留意されたい。
【００１６】
ＰＩＮによる検証の導入以来、ＰＩＮを不正に入手又は推測することは、署名を偽造するよりも著しく困難であるので、対面取引（カード及び顧客が、取引が行われる小売現場に物理的に存在する）から生じる詐欺が激減した。
【００１７】
その上、ＰＩＮによる認証が出現する前には、顧客の署名が偽造された場合、カード提供者は、通常、その後のいずれの詐欺に対しても法的に責任があるとみなされ、顧客に弁償することを強いられた。しかし、スマートカード技術の導入により、顧客が自分のＰＩＮを保全するために「妥当な注意」を払って行動したことを証明する責任は、取引時に提示された署名がカード上のものに一致したことを証明しなければならないカード提供者にではなく、通常では顧客に移されている。この責任の移転により、カード提供者には非常に大きい財務上の利益がもたらされる。
【００１８】
署名による検証の別の欠点は、それが、取引が行われるときに小売り場にカード（及び顧客）が存在しない取引（例えば電話又はインターネットを介して行われる取引）には向いていないことである。このような取引は、通常、「カード不在」（ＣＮＰ）取引として知られている。
【００１９】
ＣＮＰ取引は、今や、多くの顧客が小売りの場所に居合わせずに金銭上の活動を行うことを選ぶ今日の小売環境では珍しくない。しかし、「カード介在」対面取引ではＰＩＮによる技術が比較的安全な認証解決法を提供するのに対して、ＣＮＰ取引から生じる詐欺が出現している。
【００２０】
その上、モバイル（セルラー）電話技術が、小売業者と消費者に同様に新しい機会を与えている。高度な計算能力を備えるいわゆる「スマート」フォンが非常に普及して、ウェブをサーフィンしたり、小売業者のウェブサイトを見たりすることができる機能がユーザに提供されている。顧客と小売業者は、同様にしばしば、物理的、地理的な１つの場所に拘束されることがなく、「移動中」であることがしばしばある。例えば、顧客が、バス停留所で待っている間にモバイル電話で見ているウェブサイトを通して、買い物をしたいことがあり、あるいは、駐車監視員が駐車場で運転手から支払いを受けたいことがある。このような場合には、専用の販売時点端末を利用することはできない。
【００２１】
しかし、モバイル計算技術の人気がずば抜けているにもかかわらず、特定の電話では、データ（ユーザのＰＩＮ等）が、デバイスとカード提供者のサーバの間の伝送時に、又は電話の内部メモリにある間に傍受される可能性があるので、セキュリティの懸念から、そのＣＮＰ取引に関しての使用は制限されている。
【００２２】
ＰＩＮ関連の技術の中には、移動性を念頭に置いて設計されていて従来技術で知られているものがある。
【００２３】
例えば、ＣａｒｄＥａｓｅ  Ｍｏｂｉｌｅ（登録商標）は、モバイル支払アプリケーションであり、これは、モバイルカードリーダと組み合わせて、小売業者が顧客から「チップ・アンド・ピン」モバイルカード支払いを受けることができるようにする。小売業者は、ダウンロードされ自分のモバイル電話（又はタブレットデバイス）にインストールされたアプリケーションに購入額を入力する。次に、小売業者は、カードリーダデバイスを顧客に渡し、顧客は、自分のクレジット／デビットカードをリーダに通すか、又は挿入し、リーダデバイス上のキーパッドによって自分のＰＩＮを入力する。次に、リーダは、小売業者のモバイルデバイスのアプリケーションにブルートゥースを介して接続し、その後にモバイルデバイスは、支払認証のためにサービス提供者に電話のインターネット接続を介して接続する。支払いが承認されると、顧客は、自分のカードをリーダから取り出し、小売業者は、顧客に領収書を電子メールするか文字通信する。
【００２４】
しかし、この知られている構成では、カードリーダを使用する必要がある。実際上、この構成では、通常は、商店／店舗内に置かれている販売時点端末の役割を果たす、モバイル電話を使用する。支払いを受ける店主は、顧客がクレジットカード又はデビットカードを使用するためのカードリーダを顧客に手渡さなければならないので、支払いをする顧客と同じ場所にいる必要が依然としてある。このシステムでは、専用の（すなわち、特定用途向けに構築された）カード読取りデバイスの必要性をなくすことができない。
【００２５】
従来技術の別の例がＷＯ／２０１２／００４３９５Ａ１（「ｉＺｅｔｔｌｅ」）に開示されている。ｉＺｅｔｔｌｅの構成は、スマートカードを読み取るための携帯型カードリーダデバイス、携帯型リーダデバイス及び支払サーバを含んでいる。これに開示された方法の目的は、ＰＩＮを入力するために使用されるモバイル電話の安全でないキーボードをなくし、代わりに、ＥＭＶレベル仕様を満たす別個のＰＩＮ入力デバイスを使用することである。本質的に、この開示された手法では、必要とされるすべての安全なチップ及び構成要素を備えた、ブルートゥース接続を介してモバイル電話と単純に通信する外部ＰＩＮパッドを使用する。従って、上記のように、ｉＺｅｔｔｌｅの開示では、安全でないモバイルデバイスをＰＩＮ入力のために使用するという問題が解決されず、別のＰＩＮ入力デバイスを使用することで問題を単に回避しているだけである。
【００２６】
実際、ｉＺｅｔｔｌｅ文書では次のように述べている（６〜１９行）：
「クレジットカード支払いが、モバイル電話等のよく知られた、かさばらなく通常に使用されるデバイスを用いて実行することができるならば、一層実際的な解決法であろう。しかし、通常のモバイル電話には、クレジットカードを通すことができる組込みカードリーダがなく、その特有の問題を克服することができたとしても、モバイル電話が提供するセキュリティのレベルに関しての問題が依然としてある。例えば、スパイプログラムがモバイル電話に侵入し、クレジットカード情報、及びクレジットカード支払いをするときに電話のキーボードによってモバイル電話に入力されるＰＩＮコード等の識別情報を、ユーザに知られることもなく乗っ取ることはよく知られている。上記に照らして、標準的なモバイル電話は、一般に安全なデバイスであるとはみなされず、従って、クレジットカード支払いをするのには適切ではない。従って、モバイル電話を用いて安全なクレジットカード支払いをする方法を見つけることが、大いに求められている。」
【００２７】
別の既知の構成（これも同じＷＯ／２０１２／００４３９５Ａ１の出願人によるものである）は、デバイス（「ドングル」）と、スマートフォンの充電ポートに適合する関連したソフトウェアとを含んでいる。取引が行われるとき、顧客のカードがドングルに挿入される。次に、顧客は、取引を承認するために、指で電話のタッチ画面に署名することが求められる。この手法を用いると、ユーザはＰＩＮを入力する必要がない。従って、安全でない携帯型デバイスへのＰＩＮ入力の問題は、解決されるというよりむしろ回避される。
【００２８】
更に、別の既知の手法がＷＯ２０１１／０９３９９８Ａ１に開示されている。これに開示された手法も、ドングルをベースとしてデバイスにプラグ接続されるカードリーダを使用する。この手法は、ＰＩＮによる認証を可能にする安全な技法が得られない。
【００２９】
ＧＢ２４１６０５８Ａは、サーバにアクセスの要求を確認するための手法を開示している。アクセスの要求に応答して、文字のランダム列がセキュリティサーバ内の「組合せ生成器」によって生成される。次いで、サーバは、このランダム列を用いて「画像データ」を生成し、このデータは、サーバからユーザのコンピュータへ送信される。次に、ユーザのコンピュータ上のキーパッドが、画像データに従って修正される。その後、ユーザは、コンピュータ上に表示された修正済みキーパッドを使用して自分のＰＩＮを入力する。キーの格子内でのユーザの選択に関する位置データ（例えば、第１行第１列）が、ユーザのＰＩＮの記録として保管される。この位置データは、次に、ユーザの機械によって数字の列等の文字データに変換されて符号化ＰＩＮが形成され、この符号化ＰＩＮは、次いで、検証のためにサーバへ送信される。しかし、符号化ＰＩＮは、「画像データを知ることによって復号する」ことができる（１０頁の２２、２３行）。従って、画像データがユーザのコンピュータに保管されているので、ユーザの機械のセキュリティが損なわれた場合（例えば、ハッキングされる、又はマルウェアに感染する）、画像データにアクセスすることができ、従って、第三者がユーザのＰＩＮを復号することが可能となる。
【発明の概要】
【発明が解決しようとする課題】
【００３０】
従って、デバイス間での伝送中、又は検証処理中に電子デバイス内に一時的に保管されるときに、許可されていないアクセスに対してＰＩＮを脆弱にすることがない認証方法を提供することが望ましい。
【００３１】
理想的には、認証するためにＰＩＮ使用して、安全にユーザがＣＮＰ取引を完了することを可能にするＰＩＮによる認証解決策が提供される。理想的には、このような解決策は、
・  モバイル電話、タブレット計算デバイス、ラップトップ、携帯情報端末等の携帯型電子デバイス、又はデスクトップコンピュータ若しくは固定デバイスで実施することができる、
・  ＰＩＮによる認証を、何らかの計算機能を有する適切に構成された任意のデバイスで実施できるようにする、
・  （「符号化された」又は何らかの形で偽装／変換したバージョンのユーザのＰＩＮを入力することをユーザに要求するのではなく）ユーザに自分のＰＩＮを、保管されているユーザのＰＩＮと同じ数字を使用して同じ順序で入力することを要求する、
・  使用するのに容易で、直感で理解できる、
・  ユーザの機械がユーザの「実の」ＰＩＮにアクセスしたりそれをどのように計算するかについてのいかなる知識にもアクセスすることを要求しない、
・  いかなる変換又は符号化アルゴリズムも実行する必要がない（このアルゴリズムは、時間及び処理オーバヘッドがそれに伴い、またユーザのＰＩＮを見つけるのに使用される可能性がある）。
【課題を解決するための手段】
【００３２】
この改良された解決策が此処に考案され、少なくともこれらの利点をもたらすものである。
【００３３】
従って、本発明によれば、特許請求の範囲に記載された方法及びシステムが種々の実施形態で本明細書で提供される。
【００３４】
本発明の第１の態様によれば、
ユーザが、
ｉ）画面と、
ｉｉ）画面のキーパッドゾーン内で操作可能なキーパッドと
を有する電子デバイスに識別名を入力することを可能にする工程から成っているが、この工程は、前記キーパッドゾーン内に少なくとも部分的に表示されるスクランブルキーパッドの少なくとも一部の画像を介して、前記キーパッドの少なくとも１つのキーを操作することによって行われる
コンピュータ実施の検証方法を提供することができる。
【００３５】
参照を容易にするために、この画像は、「スクランブルキーパッド画像」と称する。
【００３６】
このキーパッドは、当業者がキーパッドに期待する機能性を有するということで、操作可能である。当業者なら、「キーパッド」という用語が、少なくとも１つの付随する印をそれぞれが有するキーからなる、電子的又は機械的な格子を意味することを理解するであろう。この格子は、ユーザによって選択されると、付随する印が、記憶及び／又は処理の目的でデバイス又はシステムに入力せしめられる。本発明の文脈では、キーパッドは、電子バージョンのキーパッドのことである。このキーパッドは、それが機械的キーパッドのソフトウェアエミュレーションであるということで、「仮想」キーパッドと考えることができる。キーパッドは、コンピュータベースのシステムに入力するためにユーザが選択することができる標識化されたキーを備えていて、機械的キーパッドのすべての機能を有する。
【００３７】
キーパッドは、電子デバイス上に、又は電子デバイスによって、生成することができる。キーパッドは、手続き呼出しによって生成することができる。この手続きは、デバイスの製造者から供給されるライブラリの中に用意することができる。
【００３８】
これとは対照的に、スクランブルキーパッド画像は、キーパッドを表現したものである。この表現は、キーパッド全体、又はキーパッドの少なくとも一部の表現を含むことができる。この表現では、１つ以上の「キー」を描写（表現、図示）することができる。その画像は、電子的に形成することができる。この画像は、グラフィック画像、光学像、ビデオ、又は何か他の形の可視表現とすることができる。この画像は、デジタル形式で電子ファイル内に形成又は保管することができる。
【００３９】
これにより、伝送中又は電子デバイス上に表示されている間にこの表現を傍受する可能性がある許可されていない者が、表現内の「キー」のレイアウトを簡単に読み取ることができないという利点が得られる。
【００４０】
スクランブルキーパッド画像は、いかなる機能もないので、それ自体はキーパッドではない。これは、単に、キーの格子を表現したものである。画像内に描写されたいずれかの「キー」に触れたり、クリックしたり、又は別の方法で選択しても、それ自体としては何の効果も生じさせないか、又は入力を生成することはない。
【００４１】
しかし、スクランブルキーパッド画像は、使用時にキーパッドとして機能するように見えるので、参照しやすくするだけのために、「キーパッド」、「スクランブルキーパッド」又は「上にあるキーパッド」と呼ばれることが場合によってあることに留意されたい。画像の領域は、ユーザが見て使用するものであるようなので、同様に、参照しやすくするだけのために、「キー」と呼ばれることがある。しかし、これは、実際にはそうではないこと、また画像は実際にはキーパッドではないことを記憶にとどめるべきである。
【００４２】
本発明は、ユーザが自分の識別名を、スクランブルキーパッド画像を表示するために使用されるのと同じデバイス構成要素（画面）を介して入力することを可能にし得る。言い換えると、画面は、スクランブルキーパッド画像用の出力（表示）デバイスとしても、ユーザの識別名を入力できる入力デバイスとしても機能することができる。これは、キーパッドが１つのデバイス構成要素（例えば、画面）上に表示され、ユーザの入力が別のデバイス構成要素（例えば、キーボード）を介して受け取られる、いかなる従来技術の開示とも対照的である。
【００４３】
この特徴の利点は、ユーザが入力すると、ユーザの入力が自動的に符号化されるように、画像からのユーザの入力を、ユーザの視野から少なくとも部分的に隠すことができる電子的キーパッドにマッピングすることを可能にし得ることである。この入力は、電子デバイスがユーザの入力を変換する、符号化する、又は何らか処理する必要がない可能性があるという意味において、自動的に符号化される。キーパッドは、電子デバイスで実行される手続き呼出しによって生成することができる。操作可能な電子的キーパッドは、参照しやすくするために、「参照」キーパッド又は「下にある」キーパッドと呼ばれることがある。
【００４４】
好ましくは、画像を介したユーザのキーパッドの操作により、ユーザの意図した入力の符号化バージョンが生成される。好ましくは、画像がキーパッドゾーン内に表示され、その結果、ユーザが画像内のある場所に触れたり、その場所をクリックしたり、又は別の方法で識別すると、その場所の操作可能なキーパッドのキーが活性化されてユーザの入力の符号化バージョンが得られるようになる。
【００４５】
このようにして、ユーザの識別名が画像を介して入力される。識別名を入力するには、ユーザは画像の一部分を選択すればよい。この画像部分は、キーパッドキーに似せたり、キーパッドキーを描写したりすることができる。従って、ユーザは、画像を介してキーパッドを操作することができる。
【００４６】
好ましくは、画像は、キーパッドの上に重ね合わされたマスク又はカバーとして機能し、その結果、ユーザが画像内のある場所に触れたり、その場所をクリックしたり、又は別の方法で識別すると、それによりキーパッドゾーン内のその位置に配置されたキーパッドのキーが作動又は活性化するようになる。
【００４７】
好ましくは、キーパッドゾーン及び／又は画像は、ユーザの識別名の入力中は画面上の固定位置にとどまる。これにより、本発明は、検証処理中にキー又はキーパッド全体が画面上で移動する既知のシステムとは異なる。本発明の画像が固定位置にとどまるので、これにより、使い易く、また電子デバイスで必要とされる処理が少ない解決法が得られる。
【００４８】
従って、ある意味で本発明は、ユーザが自分の入力を重ね合わされたスクランブルキーパッド画像を介して入力したときに、この入力が、下にある（好ましくは見えない）キーパッドのレイアウトに応じて符号化されるように、スクランブルキーパッド画像が「下にある」キーパッドの上に「重ね合わされる」ことを可能にするものとみなすことができる。
【００４９】
「下にある」キーパッドは、従来の機械的キーパッドのモデルを得るため、実行時に、デバイスの揮発性メモリ内に生成され存在するオブジェクトとみなすことができる。
【００５０】
従って、本発明は、ユーザの「実」識別名がデバイス内に保管されることが決してなく、また検証のために送信されることがないという利点を有する。従って、ユーザの識別名は、重ね合わされた画像と下にある動作可能なキーパッドとの間のマッピングについての知識がなければ、いかなる潜在的な傍受者でも導出することができない。
【００５１】
好ましくは、重ね合わされた画像と下にあるキーパッドとの間のマッピングは、電子デバイス内に保管されることはないし、あるいは電子デバイスによって導出されることはない。２組の「キー」の位置の間のマッピング（又は対応関係）は、電子デバイスから離れているサーバに保管することができる。
【００５２】
好ましくは、スクランブルキーパッド画像は、遠隔に設置されたコンピュータベースの資源から電子デバイスへ送信することができる。この資源は、サーバであってもよい。従って、スクランブルキーパッド画像は、電子デバイスで生成されることがないものとすることができる。スクランブルキーパッド画像の１つのバージョンをサーバに保管することができる。このバージョンは、スクランブルキーパッド画像内の記号（「キー」）の配列の記録とすることができる。
【００５３】
キーパッドゾーンは、画面の画定された領域又は部分とすることができる。従って、キーパッドゾーンは、画面領域全体を占めてもよいし、画面の一部分を占めていてもよい。スクランブルキーパッド画像は、それがキーパッドゾーンを完全に、正確に、又は部分的に覆うように表示することができる。好ましくは、下にあるキーパッドは、ユーザがキーパッドのキーの少なくとも幾つかは見ることができないように、少なくとも部分的に視野から隠される。
【００５４】
識別名は、個人識別コードとすることができる。これは、ＰＩＮ（個人識別番号）であってもよい。ＰＩＮは、任意の数字、種類又は組合せの記号若しくは印を含むことができる（上記した通り）。識別名は、現に特許請求された方法を実行する前に、ユーザによって事前選択されていたのものであってよい。識別名は、電子デバイスから遠隔にある、例えばサーバに保管することができる。スクランブルキーパッド画像及び／又はキーパッドは、数字、英字、句読点、記号若しくは他の印、又はこれらの組合せを含むことができる。１つ又は複数の記号をそれぞれのキーに関連させることができる。
【００５５】
好ましくは、ユーザは、スクランブルキーパッド画像内の複数の「キー」を選択して、２つ以上の記号を含む識別名を入力することができる。
【００５６】
スクランブルキーパッド画像は、参照キーパッドに対してスクランブルすることができる。キーパッド画像は、複数の隣り合うキーを含むブロック又は格子を描写することができる。キーパッド画像は、「キー」上の記号が順番になっていないか、且つ／又は、おそらく参照キーパッドに関連して人が予測するであろう配列になっていないという意味において、「スクランブル」することができる。スクランブルは、ランダム生成処理、又はランダム処理に近い処理に従うことができる。参照キーパッドは、キーパッドゾーン内で操作可能なキーパッド、又は電子デバイスのメーカ、モデル、種類に標準として関連している初期設定キーパッドとすることができる。
【００５７】
従って、下にあるキーパッドとスクランブルキーパッド画像の両方に同じ印が存在し得るが、これらは異なる位置に設けられる。言い換えると、参照キーパッド内のキーの配列は、スクランブル画像のものとは異なる。スクランブルキーパッド画像は、電子デバイスに関連している初期設定キーパッドと同じ「ルック・アンド・フィール」を与えることができるが、「キー」は異なる相対位置にある。
【００５８】
スクランブルキーパッド画像内の１つ、幾つか、又はすべての「キー」のそれぞれの位置は、下にあるキーパッド内の同じキーの位置とは異なるものとすることができる。
【００５９】
ユーザは、画面に表示された「キー」と対話することによって、下にあるキーパッドのキーをスクランブルキーパッド画像を介して操作することができる。例えば、ユーザの入力は、ユーザが画面に触れることによって（指、又は別のデバイスで）、又はマウス若しくはトラッカボール等のポインティングデバイスを使用して所望の「キー」を選択することによって、入力することができる。同様の効果をもたらして、それによって本発明の範囲内に入る、他の選択方法を用いることもできる。
【００６０】
キーパッドゾーンの位置及び／又は寸法は、手続き呼出し又は方法呼出しによって特定することができる。
【００６１】
好ましくは、キーパッドゾーンは、複数のサブゾーン又は「ホットスポット」を備えている。スクランブルキーパッド画像及び／又はキーパッド内の少なくとも１つの「キー」の位置は、スクランブルキーパッドの「キー」と、キーパッド及び／又は複数のサブゾーンのキーとの間のマッピングが存在するように、サブゾーンの位置に対応することができる。このマッピングは、電子デバイスから、又は電子デバイスによって導出されることがないことが望ましい。ホットスポットは、スクランブルキーパッド画像のキーの下にあってもよい。
【００６２】
（下にある）キーパッドは、ユーザのそれぞれのキー選択の後にスクランブルすることができる。従って、別のスクランブルされた下にあるキーパッドを、ユーザの入力のキーストロークごとに使用することができる。
【００６３】
好ましくは、スクランブルキーパッド画像は、電子デバイスから遠隔に設置されたコンピュータベースの資源（例えば、サーバ）から、電子デバイスで受信される。スクランブルキーパッド画像は、電子デバイスからサーバへ送信される画像の要求に対して、サーバから電子デバイスへ送信することができる。スクランブルキーパッド画像は、サーバで生成することができる。
【００６４】
好ましくは、スクランブルキーパッド画像は、事前生成される。一実施形態では、このことは、スクランブルキーパッド画像が、電子デバイスからの要求に応じてではなく、要求前に生成されることを意味する。画像は、検証方法を実行する前に生成することができる。
【００６５】
ユーザの入力（識別名）の符号化バージョンは、電子デバイスから、遠隔のコンピュータベースの資源へ送信することができる。この資源は、サーバとすることができる。好ましくは、サーバは、ユーザの入力の符号化バージョンを受信し、それを処理する。この処理により、ユーザの入力識別名の復号化バージョンを得ることができる。
【００６６】
従って、ユーザの「実」識別名は伝送されることがないものとすることができる。符号化バージョンだけを伝送することができ、この符号化バージョンは、スクランブルキーパッド画像内の「キー」と下にあるキーパッド内のキーとの間のマッピングを知らない、許可されていない者には意味のないものである。
【００６７】
復号化は、スクランブルキーパッド画像の保管バージョン又は保管形式を用いて実施することができる。キーの構成の保管バージョン又は保管形式は、ファイル名とすることができる。復号化ステップにより、ユーザの入力の復号化バージョンを得ることができる。従って、ユーザの「実」識別名は、符号化バージョン内のそれぞれの記号を、スクランブルキーパッド画像内のその対応するものに変換することによって生成することができる。
【００６８】
ユーザの復号化入力は、識別名の保管バージョンと比較することができる。入力が保管識別名と一致した場合、ユーザの入力は正しいと認められる。
【００６９】
好ましくは、この方法は、
複数のスクランブルキーパッド画像を生成するステップと、
これらの複数のスクランブルキーパッド画像から１つのスクランブルキーパッド画像を選択するステップと、
選択されたスクランブルキーパッド画像のコピーを電子デバイスへ送信するステップと
を更に含んでいる。
【００７０】
この方法は、
選択を行う前に少なくとも１つのスクランブルキーパッド画像を前記の複数のスクランブルキーパッド画像から除去するステップ
を更に含むことができる。
【００７１】
この方法は、
コピーを電子デバイスへ送信した後に、選択されたスクランブルキーパッド画像を前記の複数のスクランブルキーパッド画像から除去するステップ
を更に含むことができる。
【００７２】
この方法は、
参照キーパッド内の同じキーと同じ位置にある少なくとも１つのキーを有するいずれのかスクランブルキーパッド画像を前記の複数のスクランブルキーパッド画像から除去するステップ
を更に含むことができる。
【００７３】
好ましくは、スクランブルキーパッド画像内のキーの位置は、ユーザの識別名の入力中に互いに不変のままである。これは、ユーザに表示されるキーの位置及び／又は配列がユーザのそれぞれのキー選択の後に、かつ／又はそれぞれの検証セッションの後に画面上でスクランブル、再配置又は移動ができる、従来技術の構成とは対照的である。
【００７４】
好ましくは、スクランブルキーパッド画像内の少なくとも１つのキーの記号は、少なくとも部分的に見難くされるか、又は難読化されるが、ユーザには判読できるままとする。これは、光学式文字認識（ＯＣＲ）ソフトウェアを用いて表現を読み取ることを困難にする利点がある。これによりシステム及び方法のセキュリティが強化される。
【００７５】
電子デバイスは、モバイル電話、パーソナルコンピュータ（ＰＣ）、タブレット型コンピュータ、ラップトップ、携帯情報端末、カード読取り端末、又は画面を有する他の電子デバイスとすることができる。電子デバイスは、無線又は固定回線を介して、ＴＣＰ／ＩＰ等の通信プロトコルをサポートすることができるが、ブルートゥース、ＲＳ２３２等の他のプロトコルをサポートすることもできる。
【００７６】
デバイス（例えば、モバイル電話）とコンピュータベースの資源（例えば、サーバ）との間の通信は、固定の電気通信回線を介するか、又はモバイル電気通信／Ｗｉｆｉ等の接続を介することができ、本質的にどんなＩＰベースのデバイスも使用することができる。
【００７７】
スクランブルキーパッド画像は、ウェブブラウザ、又はブラウザの中に埋め込まれたアプリケーション、若しくは独立型ソフトウェアアプリケーションによって、且つ／又はユーザがスクランブルキーパッド画面と対話できるようにするグラフィカルユーザインターフェースを提供するアプリケーションによって、表示することができる。
【００７８】
スクランブルキーパッド画像の印位置付けと下にあるキーパッドとの間のマッピング対応関係は、デバイスから遠隔保管され、典型的には、デバイスから遠隔のコンピュータベースの資源に保管されることが好ましい。
【００７９】
セキュリティを強化するために、スクランブルキーパッド画像は、電子デバイスへ送信される前に改名及び／又は暗号化することができる。これにより、第三者（マルウェア等）が識別名を傍受及び復号化することが防止されるか、又は少なくとも妨げられるという利益が得られる。
【００８０】
この方法は、更に、ユーザにインジケータを配信して、スクランブルキーパッド画像が正当な送信元から供給されたことを確認するステップを含むことができる。このインジケータは、「透かし」とすることができる。インジケータは、テキストメッセージ、画像、ビデオ、音声、振動又は他の触覚表示とすることができる。インジケータは、ユーザによって選択されていたものとすることができる。
【００８１】
好ましくは、スクランブルキーパッド画像は、ユーザの入力後に、又は特定期間の後に電子デバイスから消去される。
【００８２】
識別名を入力する際にユーザが間違えた場合、新しい（すなわち、別の）スクランブルキーパッド画像をデバイスへ送信することができる。
【００８３】
本発明によれば、また、事前保管個人識別コード（ＰＩＣ）を確認するコンピュータ実施方法を提供することもでき、この方法は、
−  キーパッドの表現を生成するステップであって、表現内の少なくとも１つの印の位置がキーパッド内のそれぞれの印の位置と異なるステップと、
−  ユーザに提示するために遠隔のデバイスへ前記表現を送信して、ユーザがこの表現を使用してＰＩＣを入力できるようにするステップと、
−  入力ＰＩＣの符号化バージョンを遠隔のデバイスから受信するステップと、
−  符号化バージョンを復号化して入力ＰＩＣの復号化バージョンを得るステップと、
−  入力ＰＩＣの復号化バージョンを事前保管ＰＩＣと比較するステップと
を含んでいる。
【００８４】
第２の態様によれば、事前保管個人識別コード（ＰＩＣ）を確認するコンピュータ実施方法が提供され、この方法は、
−  キーパッドの表現を、遠隔に設置されたコンピュータベースの資源から受信するステップであって、表現内の少なくとも１つの印の位置が、キーパッド内のそれぞれの印の位置と異なるステップと、
−  この表現をユーザに提示して、ユーザがこの表現を使用してＰＩＣを入力できるようにするステップと、
−  入力ＰＩＣの符号化バージョンを生成するステップと、
−  入力ＰＩＣの復号化バージョンを事前保管ＰＩＣと比較できるように、入力ＰＩＣの符号化バージョンを復号化のためにコンピュータベースの資源へ送信するステップと
を含んでいる。
【００８５】
更に他の態様によれば、事前保管個人識別コード（ＰＩＣ）を確認するコンピュータ実施方法が提供され、この方法は、
−  コンピュータベースの資源を使用してキーパッドの表現を生成するステップであって、表現内の少なくとも１つの印の位置が、キーパッド内のそれぞれの印の位置と異なるステップと、
−  この表現を遠隔のデバイスへ送信するステップと、
−  遠隔のデバイスを介してユーザに前記表現を提示して、ユーザがこの表現を使用してＰＩＣを入力できるようにするステップと、
−  入力ＰＩＣの符号化バージョンを遠隔のデバイスからコンピュータベースの資源へ送信するステップと、
−  コンピュータベースの資源を使用して符号化バージョンを復号化し、それによって入力ＰＩＣの復号化バージョンを得ると共に、それを事前保管ＰＩＣと比較するステップと
を含んでいる。
【００８６】
本発明の更に他の態様によれば、
電子デバイスに関連する画面のキーパッドゾーン内でユーザに提示されるスクランブルキーパッドを介して、少なくとも１つのキーをユーザが選択することによって識別名を入力できるようにするステップ
を含んでいるコンピュータ実施の検証方法が提供される。
【００８７】
本発明の更に他の態様によれば、上述の方法のどの実施形態も実施するように配置及び構成されたコンピュータ実施システムが提供される。
【００８８】
本発明の利点は、
−  ＣＮＰ取引により生じる詐欺のおそれの低減、
−  このような詐欺に関連する費用の大幅な低減、
−  不正なカード使用に関してカード発行者からユーザへの責任の転嫁、
−  安全なＣＮＰ取引というユーザにとっての便宜
が含まれる。
【００８９】
本発明の上記及びその他の態様は、本明細書に記載の図示の実施形態から明らかになり、またそれを参照して明らかにされよう。
【００９０】
次に、本発明の一実施形態を例示的にのみ、添付の図面を参照して説明する。
【図面の簡単な説明】
【００９１】
【図１】本発明により生成することができる種々の種類のキーパッドのうちの１つの例を示す図である。
【図２】本発明により生成することができる種々の種類のキーパッドのうちの他の１つの例を示す図である。
【図３】本発明により生成することができる種々の種類のキーパッドのうちの更に他の例を示す図である。
【図４】本発明により生成することができる種々の種類のキーパッドのうちの更に他の例を示す図である。
【図５】本発明の例示的な実施形態によるスクランブルキーパッド表現の生成を示す図である。
【図６】本発明による登録処理を示す図である。
【図７】登録デバイスのために作り出された例示的なカスタムキーパッドデータベースを示す図である。
【図８】本発明による取引処理を示す図である。
【図９】本発明の一実施形態による、例としての安全な取引アプリケーション処理の概要を示す図である。
【図１０】本発明の一実施形態による、他の例としての安全な取引アプリケーション処理の概要を示す図である。
【図１１】本発明の一実施形態による「標準」キーパッドを示す図である。
【図１２Ａ】図１１の標準キーパッドの上に重ね合わせるのに適しているスクランブルキーパッド画像の例を示す図である。
【図１２Ｂ】図１１の標準キーパッドの上に重ね合わせるのに適しているスクランブルキーパッド画像の他の例を示す図である。
【図１２Ｃ】図１１の標準キーパッドの上に重ね合わせるのに適しているスクランブルキーパッド画像の更に他の例を示す図である。
【図１３】デバイスの標準（参照）キーパッドの上面に重ね合わされるスクランブルキーパッド画像を示す図である。
【図１４Ａ】従来技術で知られている標準数字キーパッドを示す図である。
【図１４Ｂ】従来技術で知られているモバイル電話上の数字キーパッドを示す図である。
【図１５Ａ】透かしを用いる前に事前生成されたキーパッド画像を示す図である。
【図１５Ｂ】透かしがキーパッドゾーンの左下隅部に設けられている図１５Ａのキーパッド画像を示す図である。
【図１５Ｃ】図１５Ｂのキーパッド画像を示すが、透かしが別の位置（左下）にある図である。
【図１５Ｄ】図１５Ａのキーパッド画像であるが、透かしとして写真画像が背景に使用されているのを示す図である。
【図１６Ａ】４つの数字列から生成された１つのスクランブルキーパッド画像を示す図である。
【図１６Ｂ】４つの数字列から生成された他の１つのスクランブルキーパッド画像を示す図である。
【図１６Ｃ】４つの数字列から生成された更に他の１つのスクランブルキーパッド画像を示す図である。
【図１６Ｄ】４つの数字列から生成された更に他の１つのスクランブルキーパッド画像を示す図である。
【図１６Ｅ】４つの数字列から生成された更に他の１つのスクランブルキーパッド画像を示す図である。
【図１７】英字キーと数字キーの組合せを有するスクランブルキーパッド画像を示す図である。
【図１８】速く連続して繰り返し示された際に、見かけ上は静止した認識可能な画像を形成する３つの不完全な画像を示す図である。
【図１９】本発明を金融取引処理システムの中で実施する方法の一例を示す図である。
【発明を実施するための形態】
【００９２】
図を参照すると、モバイル電話と共に使用することに関連して例示的な実施例を説明する。しかし、そのデバイスが何らかの処理機能、及びキーパッドの表示用の画面を有するものであると仮定して、本発明は、種々の異なる種類のデバイスに対するＰＩＮ検証を実施するために使用することができる。
【００９３】
この例示的な実施形態は、また、金融取引に関して使用することに関するもんである。本発明が適している１つの用途は、オンラインバンキングについてのものである。しかし、当業者には、本発明が他の環境で、また非金融目的に使用できることが容易に理解されることと思う。本発明は、業務用途又は商業用途に限定されない。
【００９４】
重要なことであるが、本発明は、何かの管理された資源に個人がアクセスすることを許可する前にその個人の同一性を検証することが要求される、いかなる状況でも使用することができる。その管理された資源は、どんな種類の資源でもよい。それが金融口座に置かれている資金でもよい。同様に、それは、建物、コンピュータシステム、患者の診療記録、サービス等であってもよい。例えば、本発明は、建物に入ることを許可する前に認証を確立するための、扉錠の暗証番号の検証に使用することができる。
【００９５】
以下で説明する金融向けの適用例は、本発明が向けられる１つの目的に過ぎないことに留意することが重要である。この適用例は、例示の目的で選択されている。その理由は、チップアンドＰＩＮ検証がおそらく、コードによる検証の最も広く知られている使い方であり、従って、本明細書を読む人に最も容易に理解されるからである。しかし、当業者には、本発明が最終的に使用に供せられ得る環境又は状況に関しては本発明は、限定を受けないことが理解されることと思う。
【００９６】
本発明は、取引を実施する手段自体を構成するものではないことに留意することもまた重要である。本発明は、管理された資源にアクセスすることを要求した個人の同一性を認証するのに有用な検証ツールである。本発明は、認証が確立された後にそのアクセスがどのように実施されるかを指示するものではないし、成功した検証に続く任意の他の操作又は可能な取引がどのように行われるかを指示するものでもない。
【００９７】
以下に記載された例示的な実施形態は、本質的に、キーパッド（あるいは「ＰＩＮパッド」と呼ばれることもある）のスクランブルバージョンの画像を生成することによって機能する。スクランブルキーパッド画像は、ユーザに見えるようにターゲット電子デバイス１によって提示又は表示するために送信される。この例では、ターゲットデバイスは、図６に示されるモバイル電話１である。
【００９８】
スクランブルキーパッド画像は、デバイスの標準的な初期設定キーパッドに似せるように構成される。デバイスのそれぞれのブランド及び／又はモデルは、典型的には、それ自体の様式の初期設定キーパッドを有し、これは、他のデバイスに関連する初期設定キーパッドとはレイアウト、記号、サイズ、色等が異なる。初期設定キーパッドは、通常、そのデバイスのキーパッドのフォーマット、及びそれが画面のどこに表示されるべきかを指定する手続き呼出しによって、モバイル電話上で生成され表示される。初期設定キーパッドは、画面上の特定の領域を占める格子である。例えば、これは、指定の場所に表示される。この場所は、電話の画面内の既定の領域又は部分である（本明細書では「キーパッドゾーン」と呼ぶ）。キーパッドゾーンは、サブゾーンに分割され、各サブゾーンは初期設定キーパッド内のキーになる。これを言い換えると、各サブゾーンは、特定の記号と関連づけられるということである。各キーの記号は、それぞれのサブゾーンの場所内に、画面上でユーザに見えるように表示される。従って、ユーザが、ある特定のサブゾーンに指定された領域を選択（例えば、触れるか又はクリック）した場合、その関連づけられたキーの記号が記録される。このようにして、キーパッドは、物理的に押すことができるキーを使用するのではなく、ソフトウェアによって電子的に生成された、機械的キーパッドの仮想バージョンとして機能して、画定された画面領域内のユーザの入力の位置を検出し、この検出位置を用いて入力データを生成する。
【００９９】
このような仮想キーパッドでは、各サブゾーンは、本質的に画面上の「ホットスポット」であり、複数のホットスポットが隣接して互いに一緒になってキーパッドを形成する。本例では、電話の初期設定キーパッド２は、３×４格子のキーとして配置され、各キー４は、それに付随する記号を有する。この場合、記号は数字を含む。各キー４は、画面の「ホットスポット」領域であり、各ホットスポットは、仮想キーパッド内の記号と関連づけられている。
【０１００】
スマートフォンで使用される、周知の様式の初期設定キーパッド２の一例が図１１に示されている。初期設定キーパッド２は、ターゲットデバイス１自体上に生成されており、遠隔に設置されたサーバからデバイス１へ送信されるのではない。
【０１０１】
次に、この標準キーパッド２は、電話まで送信され画面上でキーパッドゾーンに表示されるスクランブルキーパッド画像３が「重ね合わされる」。この重ね合わせは、キーパッド表示ゾーン内にスクランブルキーパッドの画像を、スクランブル「キー」の位置が初期設定キーパッド内のホットスポットの位置と一致するように表示することによって実現される。２つのキーパッドの位置合わせは、スクランブルキーパッド画像だけがユーザには見え、下にある動作可能なキーパッドが、少なくとも部分的に、しかし好ましくは完全に画像で隠されるようにするものである。従って、ユーザに関する限りは、キーが互いに別々の位置にあることを除き、ユーザが予想するキーパッドとまさしく同じに見える１つのキーパッドがあるだけである。
【０１０２】
モバイル電話の初期設定キーパッドは、スクランブルキーパッドが参照される「基準」であるので、「参照キーパッド」と呼ばれることがある。
【０１０３】
図１２Ａ、１２Ｂ、及び１２Ｃは、図１１の標準キーパッド２の上面に重ね合わせるのに好適なキーパッド画像３の例を示している。
【０１０４】
スクランブルキーパッドは、画像として電話へ送信される。あるいは、スクランブルキーパッドは、以下でさらに詳細に述べられるビデオファイルとして送信することもできる。このピクチャ、ビデオ又は画像３は、ある意味でそれが物理的（押し下げ可能な）キーパッドを表しているので、「表現（したもの）」と呼ばれることもある。
【０１０５】
スクランブルキーパッド画像３は、事前に生成されている（すなわち、検証プロセスの初期化前に）。スクランブルキーパッド画像３は、１組の事前生成スクランブルキーパッド表現からランダムに選択され、次に、電気通信ネットワークを介してハンドセット（すなわちモバイル電話）１に送信される。図３のスクランブルキーパッド画像は、初期設定キーパッドレイアウト２を表現したものである。初期設定キーパッド２とスクランブルキーパッド画像３の間の違いは、それぞれのキー４が異なって配列されていることである。言い換えると、同じ数字がそれぞれのキーパッドに存在するが、少なくとも２つがキーパッド格子内の異なる位置にある。
【０１０６】
このキーパッド表現３は、初期設定キーパッドと完全に重なり合うことができるように、初期設定キーパッドと正確に同じ寸法を有するように生成されている。従って、モバイル電話ユーザ（顧客）は、１つだけの継ぎ目のないキーパッドを見る。ユーザは、ユーザが見て入力を入れるために使用するキーパッドの背後に、背景に生成された下にあるキーパッド２があることに気づかない。その画像は、下にあるキーパッドを生成するために必要な手順を起動する、すなわち呼び出す１つ又は複数の命令と共に、ユーザのデバイスへ送信される。
【０１０７】
ランダムに選択されたスクランブルキーパッド画像３は、電話の初期設定キーパッド２の上に効果的に重ね合わされ、そのため、ユーザが自分のＰＩＮを入力した場合、ユーザが入力するよう意図したもの、又は少なくとも入力していたと考えたもの以外の、異なる結果がデバイス内に生成されることになる。これは、２つのキーパッド２、３で別々に配置されたキー４の間の関係（マッピング）の結果として得られる。ユーザは、特定の場所で画面に触れて、上にあるスクランブルキーパッド画像３に示された数字を入力するが、この数字は、そのサブゾーンの下にあるキーパッド２内の数字であると解釈される。それに続く入力をユーザが入力すると、その対応する、下にある記号が以前の入力に連結されて完全なＰＩＮが構築される。
【０１０８】
このようにして、ユーザのＰＩＮの符号化バージョンは、スクランブルキーパッド表現３を介してユーザが選択した隠しキー４の位置に基づいて、生成される。ユーザが間違えた場合、新しい（別の）キーパッド表現３がデバイス１へ送信される。
【０１０９】
従って、ユーザが入力していると考えるＰＩＮは、ユーザの電話にあるソフトウェアによって記録されたＰＩＮではない。ユーザの「実」ＰＩＮは、安全でない電話１には決して保管されることがなく、またいかなる（安全でない）ネットワークを介しても送信されることがない。符号化バージョンだけが保管され、送信される。ＰＩＮの符号化バージョンは、送信の前に暗号化してセキュリティを更に強化することもできる。従って、いかなる傍受者も、それぞれのキーパッドのキーの位置を互いにどのようにマッピングするかを知らなければ、実ＰＩＮを復号化したり、推測したり又は再変換したりすることができない。
【０１１０】
本実施形態では、復号化プロセスは、本発明の構成要素によって対処することができ、この構成要素は、両方のキーパッド内のキーのレイアウトを「知って」おり、従って、符号化数字をその元の対応するものにマッピングして戻し、それによって、ユーザの意図した元の入力に行き着くことができる。この解読されたＰＩＮは、次に、検証目的のために、以前に保管されたユーザのＰＩＮと比較することができる。
【０１１１】
例示的な実施形態では、スクランブルキーパッド画像３は、電話１へ送信される前に暗号化される。電話１に達したとき、スクランブルキーパッド画像は、デバイス１のメモリの安全な、又は保護された部分にロードされる（読み込まれる）（又は、少なくともできるだけ保護される）。言い換えると、（変換されたバージョンではない）顧客の実ＰＩＮが入力されたかのように、通常のセキュリティ機能のすべてが本発明によって使用される。これにより、セキュリティ及び保護のもう１つの階層が設けられる。
【０１１２】
本発明のこれらの態様について次に、本発明を利用することができる１つの方法に関して、一層詳細に述べる。
【０１１３】
Ｐｉｎパッド生成
「ＰＩＮパッド生成プログラム」６は、システム全体を通して使用されるスクランブルキーパッド画像３のすべてを生成することを担う。本発明のこの態様の概要が図５に示されている。
【０１１４】
ただ単にランダムにスクランブルされたキーパッドが使用される場合、１つ又は複数のキーを位置的にスクランブルされないというリスクがある。これは、標準ＰＩＮ及びスクランブルＰＩＮに位置的に一致するユーザの入力ＰＩＮの１つ又は複数のキーに頼ることもできる。これは、理想的ではない。
【０１１５】
その結果、ＰＩＮパッド（画像）生成中、標準キーパッドに位置的に一致する１つ又は複数のキーを有するスクランブルキーパッド画像は破棄される。従って、ＰＩＮパッド生成は、好ましくは全くランダムではないが、特定の基準に従って選択／破棄する選択処理にかけられる。
【０１１６】
ＰＩＮパッド（画像）生成は、典型的には、ペイメントカード業界データセキュリティ標準に従う安全な環境で行われる。
【０１１７】
出力解像度及びファイルタイプは、特定のターゲットデバイス１（この場合にはモバイル電話のタイプ）で使用する前に最初に設定されなければならない。これにより、出力画像は、そのデバイスに最適な解像度、例えば２５６×１８４で生成されることが保証される。
【０１１８】
次に、上記で設定された解像度に適合するマスタ「背景画像」７が選択され、また、最終キーパッド画像に必要な数字（キー）の順列をすべて含む「順列ファイル」５が選択される。一実施態様では、このファイル５は、新たな行にそれぞれの順列があるカンマ区切りテキストファイルでなければならない。しかし、同じ効果を得るのに種々の実施態様を工夫することができる。例えば、それぞれの順列は、＃又は＊によって区切ることもできる。
【０１１９】
次に、「順列ファイル」５は、フォントタイプ、サイズ、色についてのユーザの選択を用いて「背景画像」７と合成されて、完成したキーパッド画像３を生成する。その後、この完成したキーパッド画像３は、最適な伝送速度を得るために可能な限り小さくなるようにサイズが最適化され低減される。
【０１２０】
図１、５、９、１１、１２及び１３に示された標準の単色キーパッドに加えて、背景画像７を操作することもできる。例えば、背景色及び／又は初期設定フォントタイプ、サイズ、及び色は、キーパッドの無制限のデータベースをあらゆる種類の画面及びデバイスに対し生成できるように変更することができる。
【０１２１】
ある実施形態では、広告、教育的メッセージ、又は他のコンテンツを提示画像に組み込むことができる。
【０１２２】
これらのキーパッド画像は、特殊なフォント又は色を使用して、任意の特定の地域文字、例えばアラビア文字を使用することができ、また、許可されていない光学式文字認識プログラムでは画像を読み取ることができないことを保証することができる（それによってセキュリティが強化される）。
【０１２３】
生成される各キーパッド画像は、また、固有のファイル名を与えられ、生成されたすべてのキーパッド画像に対しマスタインデックスが生成される。スクランブルキーパッド画像がデバイスへ送信されるとき、その画像のファイル名のコピーが一時的に保管される。このファイル名は、キーパッド画像内のキーの順序を含んでいる。これにより、スクランブルキーパッド画像と参照キーパッドの間のマッピングを記録することができる。
【０１２４】
セキュリティ目的で、スクランブルキーパッド画像３は、それが暗号化され遠隔のデバイス１へ送信される前に改名される。これｈ、マルウェア又は他の許可されていない団体がもしかしてＰＩＮを傍受し復号するのを防止する。
【０１２５】
図１乃至４は、本発明によりスクランブルキーパッド画像３が備えることができる種々の外見の幾つか幾つかの例を示す。
【０１２６】
例として、図２は、紅葉の背景を有するスクランブルキーパッド画像３を示す。これは、季節的変化に対して小売業者によって使用されたり、広告目的で使用されたりすることができる。
【０１２７】
図３は、ＯＣＲソフトウェアでは読み取ることができないように変形された白黒だけの画像を示す。当業者は、このような画像には適正に表示するための高解像度画面が必要であることに気づくであろう。
【０１２８】
図４は、アラビア語アルファベットに修正されている単色キーパッド画像を示す。当業者は、文字の地域的な相違もまた、図２及び３に示された他の画像技法と組み合わせることができることを理解するであろう。
【０１２９】
適切に強力なデバイスでは、静止画像の代わりにビデオ重ね合わせを使用して、キーパッドを読み取るのにＯＣＲソフトウェアを使用することができるのを更に低減することができる。この機能もまた、広告目的に使用することができる。
【０１３０】
必要なレベルのセキュリティを提供するためには、マルウェア及び許可されていない者が、ユーザに表示されたスクランブルキーパッド画像内に含まれるデータを読み取ることができないことが重要である。前述のように、これは本発明により、単一の画像又はピクチャフォーマットとしてスクランブルキーパッドを提示することで実現される。マイクロコンピュータによって画像をＯＣＲすることは可能であるが、モバイル電話はこれを行う機能を有していないし、隠くれたマルウェアは、探知を引き起こすことなく必要なレベルの精巧さを有することはほとんど不可能である。
【０１３１】
この問題は、少なくとも一部には、ＯＣＲ技術では理解できないランダム背景及びフォントを使用して対処することができる。問題は、また、キーパッド画像をビデオファイルとして送出することによって対処することもできる。ビデオファイルは、ＯＣＲ技術で読み取るのに向いていないが、第三者がビデオファイルから単一の画面を「取り込み」、それを読み取ることは技術的に可能である。
【０１３２】
本発明の種々の実施形態に組み込むことができる１つの解決法は、前述の２つのシステムを１つに組み合わせることである。すなわち、スクランブルキーパッド画像は、普通フォーマットでユーザに提示されるが（すなわち、特殊ではないフォントが使用され、背景が「普通」である）、ファイル自体は、再生されると目をだまして画像が無地で静止していると思わせる、小さいビデオファイルである。実際には、どの単一フレームも、理解可能、使用可能なコンテンツへと逆に戻す処理がされるのに十分な情報を含んでいない。
【０１３３】
このシステムは、静止して見えるようにそれぞれが急速に連続して再生される、３つしかないフレームで実現することができる。一例が図１８に示されている。ビデオファイルに組み込まれると、静止した語「Ｌｉｃｅｔｉａ」が表示されるが、個々の画像はＯＣＲパッケージで読取ることができない。
【０１３４】
登録処理
本発明のこの態様は、図６に示されている。
【０１３５】
幾つかの実施形態では、デバイス１は、使用前に、本発明のシステム、及びターゲットデバイス１にダウンロードされる小さいアプリケーション８で登録されなければならない。使用されるデバイスがモバイル電話１である場合、更新処理が「無線により」自動的に行われ、デバイスが固定端末である場合は、固定回線を介してソフトウェア８をダウンロードすることできるが、他の方法として、ソフトウェアは、製造時にデバイスに組み込み、必要に応じて単に更新だけとすることもできる。
【０１３６】
モバイル電話１をシステムで登録するには、ユーザは、以下のステップを含む登録処理を行う必要がある。
１．ウェブベースのインターフェース（例えば、ウェブサイト）１０を介して登録サービス９にログオンする。
２．ユーザの個人詳細、すなわち、名前、住所、郵便番号（ＺＩＰ）、電話メーカモデル、Ｅメールアドレス、モバイル電話番号を入力する。
必要なデータの性質及び形式は、システムオペレータによって指示されることができ、システムを使用するためのアプリケーションに応じて国毎に変えてもよい。更に、登録データは、顧客が既存の利用者であるので、オペレーによってすでに保持されており、従って、アプリケーションだけをデバイスにプッシュする必要がある。
３．次に、リンクは、次に続くユーザのモバイルハンドセット１へ送信されるか、アプリケーション８が、ハンドセットに単純に「プッシュ」ダウンされる。
初めて実行されるとき、アプリケーション８は、デバイス１を起動し、暗号化キー等の如き所要の追加データをダウンロードする。カスタムキーパッド画像データベースもまた、登録されたデバイスのサーバで作成される（図７に示す）。
【０１３７】
システムに固定デバイスを登録するには、ユーザは、同様の処理を次のようにして完了する。
１．ウェブベースのインターフェース１０を介して登録サービス９にログオンする。
２．ユーザの個人詳細、すなわち名前、住所、郵便番号（ＺＩＰ）、電話製造モデル、Ｅメールアドレスを入力する。
前述のようにモバイル電話では、必要なデータは、システムオペレータから指示される。
３．次に、デバイスは、固定回線又は無線を介してサーバとつながり、必要に応じて内部アプリケーションを更新する。暗号化キー等の如き必要な任意の追加データがダウンロードされる。カスタムキーパッド画像データベースも、また、登録されたデバイスのサーバに作成される（図７参照）。
【０１３８】
図７を考察すると、上記で概説した両方のシナリオで、システムに登録されるデバイス毎に、キーパッド画像のカスタムデータベース（又はインデックス）１３がマスタデータベース１１から作成される。マスタデータベースは、最適な表示を保証するために、ユーザのデバイス登録モデル用に特に生成されたキーパッド画像から成っている。このデータベース（又はインデックス）１１は、次に、２つのデバイスが同じ順序のスクランブルキーパッド画像を有することがないことを確保するために、すなわち、キーパッド参照記号「ＡＸＦ０１５６８９．ｇｉｆ」は、一方のデバイスでは、位置６５８９４にあってよいが、他方のデバイスでは、位置１２５９４８にあることを確保するために、ランダム化１２される。重ねて、これによりセキュリティが強化される。
【０１３９】
幾つかの実施形態では、ユーザ登録が要件でなくてもよいことに留意すべきである。これは、ソフトウェアが第三者アプリケーションに一体化されている場合である。このような実施形態では、所要の登録方法が第三者によって導入されていたかもしれない。
【０１４０】
取引処理
本発明のこの態様は、図８に示されている。
【０１４１】
ユーザ及びデバイスの登録が成功すると、取引を実施することができる。システムが第三者アプリケーションと一体化されたやり方に応じて、幾つかの方法で認証（ＰＩＮ要求）を開始することができる。
【０１４２】
典型的には一体化は第三者とで行われ、この第三者は、
ａ．モバイルデバイスに取り付けられているカードスワイプデバイス又はチップ読取りデバイスを製造する者、又は
ｂ．金融情報及びそれに続く支払要求をハンドセット、すなわち有料道路アプリケーションにプッシュする者、又は
ｃ．オンラインバンキングアクセス等の用途に使用される場合、情報にアクセスするのに安全なＰＩＮ入力を要求するウェブサイトを提供する者
である。
【０１４３】
しかし、本発明は、この点に限定されるものではなく、第三者から提供されるサービス又は資源の性質は、本発明を限定的特徴ではない。
【０１４４】
上記のすべての場合で、ＰＩＮアプリケーションがその後のＰＩＮ入力処理をローディングし、実施する共通のトリガがある。
【０１４５】
一旦、画像の要求がサーバ（「コンピュータベースの資源」と呼ばれることがある）で受信されると、到来するデバイス１が識別され、認証され、それが成功すると、デバイスの「インデックス」１３からの次のキーパッド画像が暗号化され、デバイス１へ送信される。キーパッド画像は、図７の項目１３に示されたデバイス「インデックス２」の通りに連続して（上から下への順序で）送信され、再使用はさることはない。
【０１４６】
暗号化されたキーパッド画像３は、デバイス１で受信されると復号化され、「安全な端末アプリケーション」に渡される。
【０１４７】
安全な端末アプリケーション
本発明のこの態様は、図９及び図１０に示されている。
【０１４８】
「安全な端末アプリケーション」は、ターゲットデバイス／電話１又は固定端末に常駐するプログラムであり、ユーザのＰＩＮの安全な入力及びユーザの入力ＰＩＮのサーバへの安全な返送を担う。
【０１４９】
上記したように、キーパッド２は、デバイス上に３×４格子として作成される。各ホットスポットには数字が割り当てられる。この時、アプリケーションは、この参照キーパッド２に、事前に生成されハンドセット１に送出されているランダム化キーパッド表現３を「重ね合わせている」。このスクランブルキーパッド表現３は、下のキーパッド２と正確に同じ寸法に生成されており、前述のように、それに完全に重なる。
【０１５０】
従って、ユーザがスクランブル表現３を使用して自分のＰＩＮ番号１４を入力すると、符号化された異なる出力が生成される。以下の例では、ユーザのＰＩＮが「６７２５」であった場合、キーパッドからの出力は「０４７６」になる。暗号化されサーバの「復号化エンジン」に返送されるのは「０４７６」のキーパッド出力である。
【０１５１】
キーパッドが４回押された後、スクランブルキーパッド画像３は、それが存在する保護されたメモリから、安全な消去アルゴリズムを使用して安全に消される。
【０１５２】
復号化エンジン
中央サーバ（「コンピュータベースの資源」）が、ハンドセット１から、到来する符号化され暗号化されたＰＩＮを受信すると、このＰＩＮは、変換されて元のユーザＰＩＮに戻されなければならない。
【０１５３】
この変換は、この目的のためだけに別の安全なサーバに保持されている「復号化エンジン」によって行われる。前に述べたように、デバイス１が自らをサーバに識別させ、キーパッド画像３を要求すると、デバイス１へ送信されたキーパッド画像の固有のファイル名が一時的に保管される。このファイル名は、キーパッド内のキーの順序を含んでいる。すなわち、図９に示されたキーパッド画像では、ファイル名は「０３４７１５２９８６」になる。これにより、スクランブルキーパッド画像と参照キーパッドとの間のマッピングを記録することができる。セキュリティの目的で、スクランブルキーパッド画像３は、それが暗号化され遠隔のデバイス１へ送信される前に、改名される。
【０１５４】
暗号化ＰＩＮが到着すると、メッセージは、まず、ハンドセット／デバイスに使用される共有鍵を使用して復号化される（この共有鍵は、トリプルＤＥＳ又は公開秘密鍵でよく、あるいはハンドセットに応じて開発中に適切であると考えられるものでもよい）。
【０１５５】
メッセージが復号化された後、ユーザ入力によって生成された符号化ＰＩＮが復号化されなければならない。これを行うために、送信されたキーパッド画像のファイル名が一時的アレイにコピーされ、次に、ユーザ入力によって生成された番号毎に、対応するアレイ位置の番号が置き換えられ、それによって実際のＰＩＮ番号が現れる。
【０１５６】
従って、ユーザのＰＩＮが６７２５である上記の例では、ハンドセットは、０４７６の暗号化ＰＩＮを生成し送信した。
【０１５７】
ところで、送信されたキーパッド画像のファイル名がアレイ「０３４７１５２９８６」にコピーされると、以下が得られる。
アレイ位置        １  ２  ３  ４  ５  ６  ７  ８  ９  ０
ファイル名文字    ０  ３  ４  ７  １  ５  ２  ９  ８  ６
【０１５８】
生成されたＰＩＮ内の番号毎に「アレイ位置」が配置され、対応する「ファイル名文字」が置き換えられる。
【０１５９】
【表１】
0006364408.tif 000002
【０１６０】
復号化プロセスが完了した後に、ユーザの「実」入力の６７２５が現れる。このＰＩＮ番号６７２５は、次に、標準のバンキング暗号化を使用して暗号化され、処理のために取得者又はバンキングパートナーに渡される。この番号は、もっぱら、金融取引に関連する実施形態においては、さらに暗号化され取得者に渡されることに留意すべきである。
【０１６１】
このデータは、特定の用途の性質及び要件に応じて、さらに暗号化されてもよいし、されなくてもよい。
【０１６２】
次にアレイは、あらゆる他の一時的なデータと共に、安全に消去されてセキュリティが確保される。
【０１６３】
幾つかの他の実施形態では、１２個の小さいキーピクチャ（番号又はホットスポット毎に１つ）を設けることができることに留意すべきである。電話又は他のデバイスは、ランダム番号を選択し、個々のピクチャを３×４アレイの中に再配置するように構成することができる（また、それによって、要望に応じて仮想キーパッドを構成することができる）。しかし、このような実施形態は、潜在的にセキュリティの抜け穴を提供し、またユーザのＰＩＮを入手するためのマルウェアに幾つかのアクセスポイントを与える恐れがある（ハンドセット／デバイスがランダム番号、従ってＰＩＮパッドの順序をサーバに返送しなければならない。）。従って、このような実施形態は、所要のセキュリティレベルが幾分緩やかな用途に適している。
【０１６４】
タッチ画面を有するモバイル電話に関して本発明を上述したが、他の実施形態は、異なる形式のデバイスを含んでいてもよいことにも留意すべきである。例えば、別の実施形態では、デバイスは、パーソナルコンピュータ又はラップトップ型若しくはタブレット型コンピュータとすることもできる。この実施形態は、パーソナルコンピュータの如き汎用計算デバイスは、典型的には、モバイル電話のようにキーパッドを生成する標準手続き呼出しを備えていないので、キーパッドゾーン及びホットスポットは、デバイス上で実行する専用ソフトウェア構成要素によって特定されることを除いて、本質的には、上記と同様の機能を有する。このソフトウェアは、キーパッドゾーンを構成する画面の部分、ならびにキーパッドゾーン内のサブゾーン（キー）及びその付随する記号の位置を特定する。スクランブルキーパッド画像は、その位置に表示されて、前述の重ね合わせ技法が実現される。下にあるキーパッドは、スマートフォンの実行によって使用されるのと同じ（又は実質的に同じ）手続き呼出しを使用して生成される。
【０１６５】
他の実施形態では、小売環境で使用される既知のカード読取り端末に似ている端末を提供することもできる。この端末は、タッチ画面を備えることができ、またモバイル電話のものを複製した内部構成要素を備えることができる。従って、端末は、電話と同様に、データを送受信することができ、また、端末は、モバイル電話であるターゲットデバイスに関して前述したように、本発明に応じて機能することができる。
【０１６６】
このようにして、本発明は、同等の効果に対して、種々の計算関連デバイスとともに用いるように構成することができる。
【０１６７】
更に、本発明は、ユーザのデータのセキュリティを更に強化する種々の特徴を含むように構成することができる。
【０１６８】
透かし
例えば、所謂「介入者攻撃」は、知られている問題である。この問題には、本発明では、入力デバイスが正当な相手（例えば、適正な銀行）と通信していること、従ってスクランブルキーパッド画像がその正当な相手から送信されており、詐称者からではないことをユーザ（すなわち小売業者又は場合により最終顧客）に明示する「透かし」機能を用いて対処することができる。
【０１６９】
このような機能は、種々の方法で実施することができる。例えば、小売業者がそのシステムを使用するために登録するとき、小売業者は、自分及び信頼される者だけが知っている秘密の標識（語、句、番号、名前、画像等）を選択し保管する。次に、取引が要求されたとき、以下の処理が行われる。
１．消費者のカードが読み取られる。
２．取引額が入力される。
３．ｐｉｎ入力画面が端末に表示される。
【０１７０】
ＰＩＮ入力画面が表示されると、商店主は、端末を顧客のＰＩＮ入力のために顧客に渡す前に、商店主が登録した事前選択の秘密の語等が画面に表示されていることを物理的に確認しなければならない。これは、本質的には、サイトの正当性の確認として小さい黄色のロックアイコンを人が探すＳＳＬ技術に使用されているのと同じ原理である。
【０１７１】
こうすることによって、デバイスが正当な者と安全に話していることを保証する責任が商店主に帰される。商店主が予期するものと異なる標識（透かし）が表示された場合、又は標識が全く示されない場合には、処理が危険にさらされていると考えられる。
【０１７２】
この透かしは、消費者によるＰＩＮ入力の間、画面にとどまることができる。しかし、透かしは、短時間（例えば、数秒の範囲）だけ表示された後に、顧客等の誰か他の人が見ることができる前に消えるのが好ましい。透かしが他の人に見られた場合には、これによりその人が介入者攻撃を行えるようにもなる。図１５Ａは、空白である事前生成ｐｉｎパッドピクチャを示す。このシステムでは、ユーザの秘密語「ｊｅｌｌｙｂｅａｎ」を含むように新しいｐｉｎパッドピクチャを作成し、次に、この秘密語が暗号化され、デバイスへ送信される。これは図１５Ｂに示されている。
【０１７３】
登録時に、ユーザは、また、透かしを例えば、右、左、中央、上等、表示させる場所を選ぶこともできる。透かしが左下隅部にあるキーパッド画像が図１５Ｃに示されている。他のバージョンでは、テキスト色若しくはフォント様式、又はサイズもまた選ぶことができる。
【０１７４】
更に、透かしは、テキスト形式でなくてもよい。幾つかの実施形態では、ユーザは、写真又は他のファイル（例えば、家族写真、又は店の写真等）をアップロードしてこのピクチャが背景に表示されるようにすることができる。これは、図１５Ｄに示されている。
【０１７５】
この透かし機能は、本発明が用いられる状況、又はキーパッドを表示するために使用されるデバイスの性質に関係なく、本発明のすべての実施形態に使用するのに適している（例えば、ブラウザによりオンラインで、本発明で使用するように構成された端末又はモバイル電話等を介して）。
【０１７６】
追加のＰｉｎパッド暗号化
システムのセキュリティを更に強化するために、本発明は、表示されたキーパッド画像（すなわち、ユーザが自分のＰＩＮを入力するために使用するもの）と、下にあるキーパッドとの間のマッピングを許可されていない者が解明、識別又は計算することを一層困難にする１つ又は複数の技法を用いることができる。
【０１７７】
例えば、ユーザが２回以上同じ数字を含むＰＩＮ（例えば、１２２３）を選択した場合、これにより、入力と「下にある」キーパッドの間の相関関係を計算することが容易になり得る。
【０１７８】
これを克服するために実現可能な１つの手法は、２つ以上の下にあるキーパッドを作成することである。例えば、キーを押すごとに仮想キーパッドを生成することもできる。一例を以下に示す。
【０１７９】
図１６Ａは、スクランブルキーパッド画像を示し、図１６Ｂは「下にある」キーパッドを示す。ユーザのＰＩＮが１１１１である場合、サーバに返送される符号化ＰＩＮは９９９９になる。これにより、ユーザのＰＩＮを計算又は推測してみようとするきっかけが潜在的ハッカーに与えられる。
【０１８０】
しかし、１つではなく４つの異なる「下にある」キーパッドが使用されるならば、この問題は克服される。すなわち、一連の数字をターゲットデバイス（例えば、端末、電話、パーソナルコンピュータ（ＰＣ））へ送信することができ、この一連のものがターゲットデバイスで用いられてキーパッドが形成される。図１６Ｂのキーパッドでは、この一連のものは３１５６７９０４８２になる。この手法を用いると、要求されたキー押しごとに新しいキーパッドを生成することができる。
【０１８１】
従って、図１６Ａによる上ｐｉｎパッドが、前述の説明通りに、画像としてターゲットデバイスへ送信される。次に、４つの数列、例えば３１５６７９０４８２、０７４６１８９３５２、０３４７１５６２８９、２５８１６７３９０４が、下にあるキーパッドを作成するためへ送信される。これにより、図１６Ｂ〜１６Ｅに示されたキーパッドが生成される。
【０１８２】
ところで、ユーザの入力が１１１１であると仮定する。９９９９が生成される代わりに、符号９８５７が生成され、復号化のためにサーバに返送される。サーバは、どのスクランブルキーパッド画像が送信されたか、またどの数字の列が送信されたかを「知っている」ので、結果として得られた符号化ＰＩＮはよりいっそうランダムに見え、従って傍受者が解読するのはずっと困難になる。サーバ末端部での復号化処理は、前述の通りに存続する。
【０１８３】
更に、セキュリティを一層強化するために、キーパッドの生成の際に文字だけでなく、他の文字の組合せを使用することもできる。例えば、列Ｊｇ６ＫｒＢｊｏＪ６を送信することもできる。これにより、図１７に示された下にあるキーパッドが生成される。
【０１８４】
このような実施形態では、下のキーパッドにランダム生成された文字の連なりを使用することにより、下にあるキーパッド（前述のように）を「フィルタリング」して、可能性がある攻撃のきっかけを攻撃者に与え得る潜在的に不適切なキーパッドを除去する必要性が低減する。
【０１８５】
しかし、好ましい実施形態では、可能な３．６ｍではなく単に１．６ｍスクランブル（「上」）キーパッド画像が使用されており、どのマッピングも同じではない、すなわち、重ね合わせキーパッドと下にあるキーパッドとの間で１＝１ではないことを保証するための検査が依然として実施される。
【０１８６】
システムレベルアーキテクチャ
図１９は、本発明を取引システムに入れて実施することができる１つの方法を示す。
【０１８７】
図１９は、以下のシステム構成要素又はモジュールを含む。
【０１８８】
デバイスアプリケーション：支払取引を開始し、カードリーダと対話し、ｏＰｉｎパッド（すなわち、スクランブルキーパッド画像）を要求し、入力ｏＰｉｎを暗号化し、認証のために取引をオンラインで送信することを含む、ユーザ対話及び技術的処理の流れを管理するための、端末又はモバイル電話で実行されるアプリケーション。
【０１８９】
ｏＰｉｎパッド管理モジュール：専用サーバの中央安全データセンタで実行される独立型アプリケーションモジュール。このモジュールは、全ｏＰｉｎパッド  ＴＩＦ画像のデータベースを保持し、オンデマンドのｏＰｉｎパッドＴＩＦの配信を管理する。
【０１９０】
認証クライアント：ｏＰｉｎパッド管理モジュールと場合により同じサーバ（又は、幾つかの実施形態では、それ自体の専用サーバ）の中央安全データセンタで実行される独立型アプリケーションモジュール。このモジュールは、デバイスからメッセージを受信し、それを、認証のために支払スイッチへ送信されるように準備する。
【０１９１】
ＨＰＳＡＭ装置：専用サーバの中央安全データセンタで実行される独立型アプリケーションモジュール。幾つかの実施形態では、サーバは、セキュリティ強化することができる。
【０１９２】
図１９では、以下の用語が使用されている。
・  デバイス：支払取引が行われる支払端末又はモバイル電話
・  ｏＰｉｎ：「難読化ＰＩＮ」  −  下にあるデバイスキーパッドのキーで生成される符号化ＰＩＮ。これは、カード保持者の実際のＰＩＮではない。
・  実ＰＩＮ：カード発行者によって確認される前にｏＰｉｎと「スワップ」される、消費者のカードと関連づけられている実際のＰＩＮ
・  ｏＰｉｎパッド：難読化Ｐｉｎパッド（すなわち、スクランブルキーパッド画像）  −  カード保持者のＰＩＮを入力するためにカード保持者に提示されると共に、下にあるデバイスキーパッドに対するスクランブル位置に「キー」を有する、ＴＩＦ画像
・  ｏＰｉｎパッドアレイ：前述のように、ｏＰｉｎを実Ｐｉｎとマッピングするために使用されるアレイ
・  ＨＰＳＡＭ：ホスト支払セキュリティアクセスモジュール
・  ＨＳＭ：ハードウェアセキュリティモジュール
・  カードリーダ：消費者の支払カード詳細を取得するカードリーダを含む、又はそれに接続されている端末／モバイルデバイス
・  タグ：後処理を補助するためにｏＰｉｎパッドに割り当てられる固有の識別番号
・  ＺＭＫ：ゾーンマスタキー
【０１９３】
図１９の数字参照記号を参照すると、説明的なシステムの処理の流れは次の通りである。
【０１９４】
【表２】
0006364408.tif 000003
【０１９５】
上記の実施形態は、本発明を限定するものではなく本発明を説明するものであること、また当業者には多くの代替形態を設計することが、添付の特許請求の範囲によって規定された本発明の範囲から逸脱することなく可能であることに留意すべきである。特許請求の範囲では、括弧内に入れられたいずれの参照符号も、特許請求の範囲を限定するものと解釈されるべきではない。「備えている（ｃｏｍｐｒｉｓｉｎｇ）」及び「備える（ｃｏｍｐｒｉｓｅｓ）」等の語は、いずれかの特許請求項に、又は明細書全体として列挙されたもの以外の要素又はステップが存在することを排除しない。本明細書では、「備える」は「含む、又は、〜で構成される」を意味し、「備えている」は「含んでいる、又は、〜で構成されている」を意味する。ある要素の単数の参照記号は、そのような要素の複数の参照記号を排除せず、逆も同様である。幾つかの手段が、互いに異なる独立請求項に記載されているに過ぎないことは、これらの手段が組み合わされたものを有利に使用できないことを示すものではない。
【図１】
0006364408.tif 000004
【図２】
0006364408.tif 000005
【図３】
0006364408.tif 000006
【図４】
0006364408.tif 000007
【図５】
0006364408.tif 000008
【図６】
0006364408.tif 000009
【図７】
0006364408.tif 000010
【図８】
0006364408.tif 000011
【図９】
0006364408.tif 000012
【図１０】
0006364408.tif 000013
【図１１】
0006364408.tif 000014
【図１２Ａ】
0006364408.tif 000015
【図１２Ｂ】
0006364408.tif 000016
【図１２Ｃ】
0006364408.tif 000017
【図１３】
0006364408.tif 000018
【図１４Ａ】
0006364408.tif 000019
【図１４Ｂ】
0006364408.tif 000020
【図１５Ａ】
0006364408.tif 000021
【図１５Ｂ】
0006364408.tif 000022
【図１５Ｃ】
0006364408.tif 000023
【図１５Ｄ】
0006364408.tif 000024
【図１６Ａ】
0006364408.tif 000025
【図１６Ｂ】
0006364408.tif 000026
【図１６Ｃ】
0006364408.tif 000027
【図１６Ｄ】
0006364408.tif 000028
【図１６Ｅ】
0006364408.tif 000029
【図１７】
0006364408.tif 000030
【図１８】
0006364408.tif 000031
【図１９】
0006364408.tif 000032