(57)【特許請求の範囲】
【請求項１】
コンピュータ及びストレージシステムによって実行される、情報を安全に保存する方法において、下記のステップを構成要素として含むことを特徴とする方法：
ユーザーから入力され、不可逆的に暗号化された上記ユーザーを特定するユニークな認証コードと共に、保存の要求を受信するステップ；
上記不可逆的に暗号化された認証コードとは異なる暗号化キーを持つ、可逆的に暗号化された情報を受信するステップ；
上記の不可逆的に暗号化された認証コードの不可逆的暗号化を制御するセキュアデバイスを特定するユニークなデバイスIDを受信するステップ；及び
上記保存の要求に応答して、上記可逆的に暗号化された情報を、上記不可逆的に暗号化された認証コードと上記ユニークなデバイスIDとを索引として、それ以外に上記ユーザーを特定する情報を伴わずに保存するステップ。
【請求項２】
請求項１の方法において、更に下記のステップを含むことを特徴とする方法：
上記ステップの後に、上記不可逆的に暗号化された認証コード、上記デバイスID、及び上記の不可逆的に暗号化された認証コード及び上記デバイスIDの両方に対応する、保存されている情報の要求を受信するステップ；
上記の不可逆的に暗号化された認証コード及び上記デバイスIDを索引としている、上記可逆的に暗号化された情報のみを検索により取得するステップ；及び
取得した上記の可逆的に暗号化された情報を、要求元に送信するステップ。
【請求項３】
請求項２の方法において、更に：
上記の不可逆的に暗号化された認証コード、及び新規ストレージ・アカウントの開設要求を受信するステップ；
上記の新規ストレージ・アカウントの開設要求に応じて、受信した上記の不可逆的に暗号化された認証コードが既に、少なくとも索引の一部として存在するか否かを決定するステップ；
受信した上記の不可逆的に暗号化された認証コードが既に、少なくとも索引の一部として存在する場合には、新規ストレージ・アカウントの開設要求元に対し、受信した上記の不可逆的に暗号化された認証コードが既に索引として存在する旨を通知するステップ；
新規ストレージ・アカウントの開設要求を、上記のユニークなデバイスIDと共に受信するステップ；
受信した上記の不可逆的に暗号化された認証コードが索引の一部としても既存でない場合には、上記の新規ストレージ・アカウント開設の要求に応じて、受信した上記ユニークなデバイスID及び受信した上記不可逆的に暗号化された認証コードの両方で新規アカウントに索引を付け、それによって開設要求された上記の新規ストレージ・アカウントを開設するステップ；を含み、かつ
上記の保存ステップが、受信した上記のユニークなデバイスID及び受信した上記不可逆的に暗号化された認証コードの両方による索引を付けることに限り実行されることを特徴とする方法。
【請求項４】
請求項３の方法において、更に下記のステップを含むことを特徴とする方法：
上記ステップの後に、上記の不可逆的に暗号化された認証コード、上記のユニークなデバイスID、及び保存されている情報の要求を受信するステップ；
受信した上記の不可逆的に暗号化された認証コードと受信した上記のユニークなデバイスIDの両方を索引としている、上記可逆的に暗号化されている情報のみを検索により取得するステップ；及び
取得された上記可逆的に暗号化されている情報を、保存されている情報の要求元に送信するステップ。
【請求項５】
請求項１の方法において、更に下記のステップを含むことを特徴とする方法：
上記不可逆的に暗号化された認証コードと、ストレージ・アカウントの更新要求を受信するステップ；
上記ストレージ・アカウントの更新要求元から、新しいユニークなデバイスIDを受信するステップ；
受信した上記の不可逆的に暗号化された認証コードが、既存のストレージ・アカウントの索引として存在するか否かを決定するステップ；
受信した上記の不可逆的に暗号化された認証コードが上記既存のストレージ・アカウントの索引として存在する場合には、受信した上記の不可逆的に暗号化された認証コード及び受信した上記新しいユニークなデバイスIDで上記既存のストレージ・アカウントに索引を付けると共に、上記既存のアカウントの索引であった上記ユニークなデバイスIDを無効化し、それによって更新要求された上記ストレージ・アカウントを更新するステップ；及び
上記ストレージ・アカウントの更新要求元に対し、該更新が完了したことを通知するステップ。
【請求項６】
請求項５の方法において、更に下記のステップを含むことを特徴とする方法：
上記ステップの後に、上記不可逆的に暗号化された認証コード、上記の新しいユニークなデバイスID及び保存されている情報の要求を受信するステップ；
上記不可逆的に暗号化された認証コードと上記の新しいユニークなデバイスIDの両方を索引としている、上記可逆的に暗号化されている情報のみを検索して取得するステップ；及び
取得した上記可逆的に暗号化された情報を、保存されている情報の要求元に送信するステップ。
【請求項７】
携帯用のセキュアデバイスにおいて、構成要素としてデータ通信用カップリング、及びコンピュータ読み取り可能な記憶媒体を含んでおり：かつ
上記記憶媒体が、ユニークなセキュアデバイスIDを表現するコンピュータ読み取り可能なデータを保持し；
上記カップリングを介して別のデータ・ストレージとの間で行われるデータの送受信を制御する手段；
ユニークなユーザーPINを不可逆的に暗号化してユニークな不可逆的に暗号化されたユーザーIDを得る手段；
ユニークな携帯用セキュアデバイスID及び上記のユニークな不可逆的に暗号化されたユーザーIDを別のデータ・ストレージに送信し、上記ユニークな携帯用セキュアデバイスIDと上記のユニークな不可逆的に暗号化されたユーザーIDとの組み合わせを索引とするレコードを設定する手段；
ユーザー情報を可逆的に暗号化して、暗号化されたユーザー情報を得る手段；及び
上記のユニークな携帯用セキュアデバイスIDと上記のユニークな不可逆的に暗号化されたユーザーIDとの組み合わせを索引とする上記レコードの一部となるように、上記可逆的に暗号化されたユーザー情報、上記のユニークな携帯用セキュアデバイスID、上記のユニークな不可逆的に暗号化されたユーザーID、及び上記別のデータ・ストレージに対するデータ保存の要求を送信する手段を有することを特徴とする、携帯用セキュアデバイス。
【請求項８】
請求項７の携帯用セキュアデバイスにおいて、更に：
上記の不可逆的に暗号化されたユーザーIDとは異なる暗号化キーを用いて、上記ユーザー情報を可逆的に暗号化する手段を有することを特徴とする、携帯用セキュアデバイス。
【請求項９】
請求項７の携帯用セキュアデバイスにおいて、更に：
ユニークなユーザーPINもしくは当該ユーザーPINから生成された暗号化キーを用いて、上記ユーザー情報を可逆的に暗号化する手段を有することを特徴とする、携帯用セキュアデバイス。
【請求項１０】
請求項７の携帯用セキュアデバイスにおいて、更に：
上記のユニークな不可逆的に暗号化されたユーザーIDと当該ユーザーのために新規ストレージ・アカウントの開設を求める要求とを上記別のデータ・ストレージに送信する手段；及び
上記の不可逆的に暗号化されたユーザーIDが既に上記別のデータ・ストレージ内に存在する旨の通知に応答して、別のユニークなユーザーPINの入力を当該ユーザーに促す手段を有することを特徴とする、携帯用セキュアデバイス。
【請求項１１】
請求項７の携帯用セキュアデバイスにおいて、更に：
上記のユニークな不可逆的に暗号化されたユーザーID、新しいユニークな携帯用セキュアデバイスID、及びストレージ・アカウントを上記新しいユニークな携帯用セキュアデバイスIDによって更新し、古い携帯用セキュアデバイスIDを無効とする旨の要求を送信する手段を有することを特徴とする、携帯用セキュアデバイス。
【請求項１２】
請求項７の携帯用セキュアデバイスにおいて、更に：
上記のユニークな不可逆的に暗号化されたユーザーID、上記のユニークなセキュアデバイスID、及び上記のユニークな不可逆的に暗号化されたユーザーIDと上記のユニークなセキュアデバイスIDの両方のみに対応する、保存情報に対する要求を上記別のデータ・ストレージに送信する手段を有することを特徴とする、携帯用セキュアデバイス。
【請求項１３】
請求項７の携帯用セキュアデバイスを用いて行われる認証代理を実行する方法において、下記のステップを含むことを特徴とする方法：
入力されたユーザーPINを受信するステップ；
受信した上記ユーザーPINを不可逆的に暗号化して、不可逆的に暗号化されたユーザーIDを得るステップ；
ユーザーから個人情報を入力するステップ；
該個人情報を上記ユーザーPINを暗号化キーとして用いて暗号化し、可逆的に暗号化された情報を得るステップ；
上記のユニークな不可逆的に暗号化されたユーザーID、上記可逆的に暗号化された情報、及び上記のユニークな携帯用セキュアデバイスID、および上記可逆的に暗号化された情報の保存要求を、上記別のデータ・ストレージに送信し、ユーザーのID及び上記ユーザーPINをバックアップセンターに開示することなく上記可逆的に暗号化された情報をバックアップせしめるステップ；及び
上記ユーザーがアクセスするWANサイトに対し、必要に応じてあるいはサイトの要求に応じ、上記個人情報を自動的に提供し、上記別のデータ・ストレージを用いることなく該ユーザーの代理実行者として機能するようにする提供するステップ。
【請求項１４】
請求項１３の方法において、上記送信の際に、要求先として上記携帯用セキュアデバイスから離れたWANサイトの宛先を送信することを特徴とする方法。
【請求項１５】
ユニークなセキュアデバイスIDを持つ携帯用セキュアデバイスによって実行されるデータ保存方法において、下記のステップを含むことを特徴とするデータ保存方法：
ユニークなユーザーPINを不可逆的に暗号化してユニークな不可逆的に暗号化されたユーザーIDを得るステップ；
上記の暗号化されたユーザーIDとは異なる暗号化キーを用いて、ユーザー情報を可逆的に暗号化し、可逆的に暗号化されたユーザー情報を得るステップ；及び
上記のユニークなセキュアデバイスIDと上記のユニークな不可逆的に暗号化されたユーザーIDとの組み合わせを索引として上記の可逆的に暗号化されたユーザー情報を別のデータ・ストレージに保存するように、データ通信用カップリングを通じて、上記の可逆的に暗号化されたユーザー情報、ユーザーの識別子としての上記のユニークな不可逆的に暗号化されたユーザーID、上記のユニークなセキュアデバイスID及び保存要求を、上記別のデータ・ストレージに送信するステップ。
【請求項１６】
請求項１５の方法において、更に：
上記の送信の対象は、上記別のデータ・ストレージのWANアドレスを含んでいることを特徴とする方法。
【請求項１７】
請求項１６の方法において、更に下記のステップを含むことを特徴とする方法：
上記のユニークな不可逆的に暗号化されたユーザーIDと、上記ユーザーの新規ストレージ・アカウント開設を求める要求とを、上記別のデータ・ストレージに送信するステップ；及び
上記のユニークな不可逆的に暗号化されたユーザーIDが既に上記別のデータ・ストレージに存在している旨の通知を受信したとき、それに応じて上記ユーザーに異なったユニークなユーザーPINの入力を促すステップ。
【請求項１８】
請求項１７の方法において、更に：
上記別のデータ・ストレージに、上記のユニークな不可逆的に暗号化されたユーザーID、新しいユニークなセキュアデバイスID、並びに、上記の新しいセキュアデバイスIDによるストレージ・アカウントの更新、及び古い上記のユニークなセキュアデバイスIDの無効化を求める要求を、上記別のデータ・ストレージに送信するステップ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はセキュアデバイスを使用する認証代行システム に係り、特にセキュアデバイスの紛失時に新しいセキュアデバイスへの更新が容易なシステムに関する。
【背景技術】
【０００２】
本発明はコンピュータ又はコンピュータ情報への、特に代理実行者の使用によるアクセス中のセキュリティに関し、また本発明は情報のバックアップにおけるセキュリティに関する。
【０００３】
一般に、認証代行システムは、コンピュータもしくはコンピュータ情報へのアクセスにおいてセキュアデバイスを使用する。
【０００４】
認証（端末や個人の認証）については、セキュリティに関する多くの課題がある。多くのサービスが、WAN（広域ネットワーク）、たとえばインターネットのウェブサイト上で提供されている。これらのサービスを受けたいと希望するユーザーはウェブサイトにユーザー登録し、その際に該ユーザーはログイン（使用開始）するためにあらかじめ決められたユーザー名及びパスワードを入力する。パスワードは定期的に変更すべきであるが、パスワードの変更が煩わしいため、パスワードの定期的変更は多くの場合行われない。
【０００５】
さらにユーザー名及びパスワードを繰り返し入力しなければならないという煩わしさを解決すべく、サインオン代理実行システムが考案された。この種のシステムによって、このような煩雑さはかなり軽減される。サインオン代理実行システムを使用する場合、ネットワークを通じてサービス又は他の情報を得たいと思う人は、個人のサインオン情報を開示する。たとえば、ユーザーは代理実行者 (agent) 、例えば代行会社 (commercial company) に対し、ユーザー名とパスワードを開示する。代理実行者は顧客それぞれに特有のユーザー名とパスワードを登録し、保持する。この会社は、サインオン情報の管理を委託する代理実行者として働き、顧客が一度自社のサインオン代理実行管理サーバーにログオン（接続手続）した後は、該サインオン代理実行管理サーバーに該顧客がログオンしたいと望むそれぞれのサイトにサインオン情報を提供する。すなわち、一度サインオン代理実行管理サーバーにサインオンを行なえば、ユーザーは複数のウェブサイトに何度もアクセスすることができ、かつ必要なサインオン情報、ユーザー名及びパスワードは、顧客が煩わしい手続きを行うことなしに、代理実行者により自動的に提供される。
【０００６】
セキュリティ上の理由から、サインオン情報、あるいは少なくともサインオン情報の一部分は、定期的に変更すべきである。代理実行者を使う以前には、ユーザーはネットワーク内のそれぞれのサイトにコンタクトし、それらのサインオン情報を変更することが必要であった。代理実行者を使うならば、代理実行者の顧客は代理実行者に1回コンタクトするだけでよく、その後は代理実行者が自動的に顧客が使用したことのあるサイトにコンタクトし、顧客のサインオン情報を変更することも可能である。
【０００７】
ユーザー名及びパスワードという特定のサインオン情報に加えて、個々のユーザーを認証し、信用情報を与えるなどのために、他の重要な個人情報が存在する。ユーザーが会社、たとえばサインオン代理実行システムを管理する会社に所属する人に、その個人情報を開示したがらないのは尤もである。ユーザが躊躇するのは、個人情報が、たとえば外部からの攻撃により、また会社内部の人間によるエラーもしくは事故により、あるいは何か他の犯罪的な行為によって、当該サインオン実行会社の外に漏洩する危険があるからである。このような漏洩が特に危険であるのは、顧客又はユーザーが、漏洩が起こったことを知り得ない（それが普通の場合なのだが）からである。委託された個人情報には更に別のリスクがつきまとう。例えばその会社が倒産によって消滅したり、他の会社に買収されるかも知れず、そのような場合には、情報の管理がユーザーの意図されていない他者の手に移るかも知れない。
【０００８】
すなわち、情報を安全確実に保存し、情報が好ましくない者の手に落ちることのないようにするという、一般的な課題がある。
【０００９】
このような情報の漏洩に関しては、更なる課題がある。何故なら、一旦個人情報が漏洩し、情報が意図されていない者の手に渡ってしまったならば、特に広範囲の漏洩の場合には、かかる問題の修正は、多数の人々の個人情報をサインオン代理実行システムから除去せねばならず、またそれに加えて過去にそのような情報が送られた他の場所からも除消せねばならないので、膨大な量の作業になるからである。
【００１０】
これらの課題と、その解決には多くの関心が持たれてきたが、依然として課題は存続している。これらの問題に取り組むことが、本発明の目的である。
【００１１】
2002年6月20日付けの米国特許出願公開公報 US 2002/0077992 A1、発明者トービン (Tobin) は、トランザクション・プライバシー・クリアリング・ハウス (TPCH) を有する個人的トランザクションデバイスに関するものであり、TPCHはデバイスID (device identifier) と、ユーザーのアカウント情報を含むアクセス可能なデータに基いてトランザクションを許容する。セキュアデバイスがユーザーを認証すれば、そのセキュアデバイスはそのユーザーが要求した各サイトへのサインオンを実行する。すなわち、セキュアデバイスはユーザーの代理実行者として働く。ユーザートランザクションデバイスは、トランザクション端末に接続された時にデバイスIDを供給する。本発明のセキュアデバイスも、サインオン代理実行者として使用することができ、トランザクション端末に接続された時にデバイスIDを供給する。
【００１２】
トービンのシステムでは、アクセス可能なデータは、ユーザーの取引装置と通信可能な記憶装置の一般向けの保存領域に保存される。ユーザー所有の取引装置は、着脱可能な記憶装置と接続し通信できる。この記憶装置は、一般向け保存領域と個人用保存領域の両方をもっている。個人用保存領域のための暗号化／復号化のキーは、個人用取引装置のメモリ内に保存されている。すなわち、暗号化／復号化キーは、万一上記の記憶装置を紛失したり盗まれた場合にも、ユーザーの個人用取引装置側に残っており、したがって暗号化された個人用保存領域内のデータは、個人用取引装置からアクセス不可能な状態で残る。特許を得ているこのシステムにより、ユーザーは個人情報を充分管理することができる。個人情報ならびに復号化コードが１箇所に集中されないため、広範囲の情報漏洩は起こり得ない。すなわち、これら情報へのアクセスは各ユーザーに分散して管理される。
【００１３】
トービン方式のサインオン代理実行者 (sign-on agent) を使用する場合、認証用のコード、例えばパスワードは、長く複雑であっても良い。何故なら、ユーザーは自分とセキュアデバイスの間のパスワードを覚えるだけで十分であり、セキュアデバイス又は代理実行システムが、長く複雑な認証コードを供給するからである。
【００１４】
1998年9月29日付けでティーパー (Teper) 等が取得した米国特許 No. 5,815,665 は、分散ネットワークを介する委託仲介サービスの提供供与に関する。
【００１５】
すなわち、サインオン情報提供のための代理実行者の使用に関する。この特許に係る発明は、本発明も利用可能な環境内で動作する。かかる環境においては、サービスプロバイダ（ＳＰ）は、ＷＡＮのような分散ネットワーク、たとえばインターネット上のアクセス可能サイトのホストとして機能し、一方、ユーザーの認証及び料金請求などの処理は、中央オンライン仲介サービス（代理実行者）に依存している。ユーザーは、個人情報を何度も投入することなく、ＳＰのサービスを利用したり製品を購入できるのであり、サインオンのための個人情報は代理実行者によって投入される。製品やサービスの購入に関し、代理実行者によって送信される情報は、信用情報、代金請求及び出荷(shipping)に関する情報を含むことができる。
【００１６】
ティーパー等のシステムでは、各ユーザーがパスワードを選び、各自にユニークなIDを割り当てられる。IDは、代理実行者、特にこの場合には当該オンライン仲介施設によってのみ、ユーザーに割り当てられる。パスワード及びユニークなIDは、仲介データベース内に記憶され、そこで登録されているユーザーを認証するために使用される。
【００１７】
SPサイトは、配分されたネットワークを通じて当該ユーザーのコンピュータにチャレンジメッセージと呼ぶ質問メッセージを送信し、ユーザーのコンピュータは、それに応答して暗号の応答メッセージを発生させ、返信する。暗号の応答メッセージは、好ましくは質問メッセージと、ユーザーによって手動入力されるユーザーのパスワードの両方に基くものである。この応答メッセージは、SPサイトに対しては実質的に無意味であるが、オンライン仲介施設がユーザーを認証するために必要な情報を含んでいる。SPサイトは応答メッセージを、該SPサイトがユーザーのコンピュータから得る該ユーザーのユニークなIDと共に、オンライン仲介業者のサイトに転送する。
【００１８】
ユーザーによるパスワードの手動入力を除き、このティーパー等の方式による認証シーケンスは、ユーザーに対してトランスペアレントである。ユーザーのコンピュータは、一旦手動入力されたならばユーザーのパスワードを一時的にキャッシング（記憶）し、ユーザーが、パスワードを再入力せずに、あるSPサイトから別のSPサイトに順次アクセスできるようになっている。
【００１９】
またオンライン仲介施設は、ユーザー特有の顧客データ［これには、たとえば (1) ユーザーが指定するある種のデータの表示に対する好み、(2) ユーザーが居住している地理的地域（たとえば郵便番号）、又は (3) ユーザーのコンピュータの機器構成 (configuration) が含まれ得る］を保存し、ユーザーが認証されたならば、それらをSPサイトに対してダイナミックに提供することが好ましい。
【００２０】
ティーパー等の特許によって言及されている利点は、ユーザーが種々異なる複数のSPサイト及びサービスに、単一のパスワード及びログオン手順を用いてアクセスでき、かつパスワードを再入力することなく、あるSPから別のSPへと、次々にアクセスできることである。もう一つの利点は、ユーザーは登録されている各SPサイトで、カスタマイズされたアクセス権を含む、カスタマイズされたサービスを自動的に提供されることである。ティーパー等のシステムのこれら機能及び利点も、本発明によって提供される。
【００２１】
ティーパー等の方式のオンライン仲介サービスを使用するに先立って、ユーザー及びサービスプロバイダは、該オンラインブローカーに登録し、ユーザー及びブローカーにしか知られていない個人パスワードを定めねばならない。それに加えて、ブローカーは、該ブローカーだけがユーザーに割り当てることができるユニークなIDを割り当てる。このシステムは、全然信託を受けないインターネットのような公共ネットワークを通じて使用するのに適している。オンラインブローカーは、パスワード、ユニークなID 、アクセス権、及び使用の間におけるユーザーの請求書（料金）を含む、1個以上のデータベースを保持する。
【００２２】
ティーパー等による方式の応答メッセージは、チャレンジメッセージとユーザーパスワードの組み合わせである。在来のワンウェイ式、すなわち不可逆のハッシュ (hash) アルゴリズムを使用して、チャレンジ／パスワードの組み合わせがハッシュコードに変換されるため、サービスプロバイダはユーザーのパスワードを引き出すことができない。ユーザーの認証を行うために、オンラインブローカーは当該ユーザーのユニークなIDによって仲介データベースにアクセスして当該ユーザーのパスワードを調べ、受信された応答メッセージが当該ユーザーのパスワードに対応しているか否かを決定する。
【００２３】
2002年8月15日付けの米国特許出願公開公報 US 2002/0112027 A1、発明者マックヒュー (McHue) 等は、ユーザーが自分の雇用者又は自分の会社のためにトランザクションを実施している場合に発生し得る難題について言及している。そのような場合、個々のユーザーは、小売商あるいは他のサイトによって要求される会計及び支払請求に関する情報を含む、会社に関する不可欠の情報を持つことが必要である。本発明は、このセキュリティ上の問題にも取り組むものである。
【００２４】
マックヒュー等が特許を得たシステムを用いれば、ユーザーは一般に求められるデータ要素を単一の場所に保存することができ、かつユーザーのデバイス（たとえばパソコン、移動電話機、PDA（携帯情報端末）、もしくは信託を受けた第三者のウェブサーバー）に自動的にデータの要求に対処し、適切な情報を特定して送信させることができる。これによって同一データを多数の異なったウェブサイト、もしくはその他の入力システムに繰り返し入力するために費やされる時間が削減されるし、言葉や数をタイプしたり転写する際に間違いを犯すおそれもなくなるが、これら二つは本発明の利点でもある。
【００２５】
マックヒュー等による一実施例として、セキュリティが施されていないデバイス（たとえばインターネット・カフェに備えてあるコンピュータ）から操作を行うユーザーは、店 (seller) に、データの供給を受けるためにデータサーバーのウェブアドレスを教えることができる。データサーバーはそれに応じて、店を経由してユーザーに対し、身元確認 (verification) のための要請、たとえばPIN（Personal Identification Numberすなわち個人識別番号）入力の要請を送信する。そしてユーザーから店への（更にそこからデータサーバーへの）応答がうまく行った場合にのみ、データを放出することが可能になる。本発明も、同様の環境内で動作できる。
【００２６】
マックヒュー等のユーザーは、ユーザーが保持するIDデバイスとIDデバイス読取装置を用いることによって、そのIDデバイス読取装置が接続されるセキュリティが施されていない当該デバイス（たとえばインターネット・カフェに備えてあるもの）を操作する。IDデバイスは、磁気読み取り可能なデータ記録媒体、光学的読み取り可能なデータ記録媒体、集積回路上にID情報を格納する媒体、IDデバイス読取装置に電磁気信号を送信するように動作可能なデバイス、及び機械的読み取りが可能なデータ記録媒体から選ぶことができる。そのパラグラフ0107において、この特許は、可逆的な暗号処理を行うことを想定している。2002年4月23日付けの米国特許No. 6,378,075 B1、発明者ゴールドスタイン(Goldstein)等は、電子商取引について信託を受けた代理実行者に関するものである。
この特許は、代理実行者を通じての漏洩、及び代理実行者とウェブサイトの間の伝送を通じての漏洩という問題を扱うが、本発明は、これらの問題にも取り組んでいる。
【００２７】
2001年11月22日付けの米国特許出願公開公報 2001/0044787 A1、発明者シュウォーツ (Schwarts) 等は、電子商取引のための安全な私的代理実行者 (secure private agent) に関するものである。公開された特許出願はセキュリティ問題に取り組むものであり、代理実行者と要請する側のサイトの間の漏洩危険のない (secure) 情報伝送に集中しているように見える。
【００２８】
1982年3月2日付けの米国特許 4,317,957、発明者センドロウ (Sendrow)は、オンライン・トランザクションネットワーク内で、ユーザー及びデバイスを認証するシステムに関するものであり、また個人情報の中央アカウント内における暗号化と、その種のデータの暗号化伝送に関している。暗号化は、ユーザーを認証するために使用される。遠隔の端末又はコンピュータは、その端末又はコンピュータ内に記憶されている秘密の端末マスターキーを使用する多重暗号化を利用して、その端末又はコンピュータ内で発生されるトランザクション要請メッセージを暗号文に変換するためだけに使用される作業キー (working key) を発生する。受信されたメッセージの送信元であるユーザー及びデバイスのアカウントに相当する暗号文データ及びその他のデータを見つけるため、アカウント・データベースが検索される。ユーザーのデバイス又は小売業者のデバイスにPINが記憶されていないことが判明すれば、端末マスターキーは、いかなる形でも伝送されることはない。
【００２９】
2000年7月20日付けのPCT出願番号 WO 00/42540、発明者マーカス (Markus) 等は、更に本発明の環境を示している。
【００３０】
従って、情報の保存においては、改良されたセキュリティが要求されている。
【００３１】
【特許文献１】米国特許出願公開公報 US 2002/0077992 A1
【特許文献２】米国特許 No. 5,815,665
【特許文献３】米国特許出願公開公報 US 2002/0112027 A1
【特許文献４】米国特許No. 6,378,075 B1
【特許文献５】米国特許出願公開公報 2001/0044787 A1
【特許文献６】米国特許 4,317,957
【特許文献７】PCT出願番号 WO 00/42540
【発明の開示】
【発明が解決しようとする課題】
【００３２】
本発明は、これらの要求及び他の要求に取り組むものである。
【００３３】
本発明の目的は、先行技術の代理実行システムを分析し、それらに内在する問題が何かを確認し、それらの問題の原因を分析し、それらの問題に対する解決法を提供することである。
【課題を解決するための手段】
【００３４】
先行技術を分析した結果、本発明者は、オリジナルであれバックアップであれ、情報を漏洩の危険がないように保存することが必要であること；過去におけるセキュリティ問題の原因が、「そのままで使用することもでき、復元し、ストレージの使用者と関連付けることもできる形態の情報」に関係していることを発見し；データを、該データと共に保存されず、かつ不可逆的に暗号化されているキーによってデータを暗号化し、セキュアデバイスのユニークなデバイスIDと、このデバイスIDと共に保存されるユニークなユーザーIDによって、コード化したデータを特定するという解決法を提供するに至った。
【００３５】
従って、本発明における先行技術の問題とそれら問題の原因に関する分析が、より効果的で安全確実な情報保存システムの必要性という課題と、その解決に通ずるものとなったのである。
【００３６】
セキュアデバイスを使用する、先行技術の認証代行システムに関する一つの課題は、セキュアデバイスが盗まれたり紛失した場合、データの復旧がきわめて難しいことである。セキュアデバイスは紛失、盗難、あるいは破損によって失われる場合がある。紛失又は盗難であれば、パスワードのようなユーザーの個人情報が漏洩し、それを悪用する者の手に渡るおそれがある一方で、ユーザーの側ではセキュアデバイスに格納された内容を復旧することが更に困難になる。
【００３７】
データ復旧を助けるものとして、セキュアデバイスに格納されている情報をバックアップすることが容易に考えられる。
【００３８】
しかしながら、サインオン情報のような個人情報をバックアップ会社に開示することは、先に代理実行者に対する情報開示に関連して述べたこととほとんど同様な危険性がある。それ故、リモートで情報をバックアップするためには解決しなければならない課題がある。この課題は、代理実行者のバックアップされた情報は、バックアップ用ストレージからデータを回復するに際し、新しいセキュアデバイスに情報を戻すために種々異なった暗号化システムが使用されるとしても、暗号化のキーを誰が管理するか、また暗号化キーの管理がどのような方法で維持されるか、というセキュリティ上の問題を含んでいる。
【００３９】
また、携帯用のセキュアデバイス（たとえばユーザーのノートパソコン）が盗まれたり紛失した場合、漏洩の出所となり得るという問題もある。解決法は盗まれたり紛失した以前のセキュアデバイスを実質的に無効化するすることであり、本発明は、このようなセキュアデバイスを実質的に無効化する方法にも取り組むものである。
【００４０】
従って本発明は、代理実行者からの個人情報を、該個人情報の漏洩なくバックアップすること、セキュアデバイスの詳細、バックアップされたデータにアクセスして以前のデータを新しいセキュアデバイス内に復活させること、及び以前のセキュアデバイスが紛失したり、盗まれたり、あるいはその他の態様で危険な状態になった場合には即座に以前のセキュアデバイスを実質的に無効化することに関する。
【００４１】
一般に、ユーザーは代理実行者、又はその時に該代理実行者に情報を渡すウェブサイトに対し、認証情報を提供する。認証情報はユーザーのセキュアデバイスに入力されても、また他のデバイスに入力されても良く、かつユーザー認証コード、たとえばPINを含み得るものであり、広義には文字列及び他の、集成されても良く単なる数字入力に限定されない可能なコード表現を含むものである。認証情報は複数の部分、例えばユーザー名とパスワードに分かれていても良い。
【００４２】
代理実行者はユーザーの個人情報を保存する。この保存は、暗号化キーによって暗号化された形であることが好ましい。ユニークなユーザー識別子（ユーザーID）は、当該ユーザーセキュアデバイス内の暗号化キーを用いて、不可逆的変換によって発生する。不可逆的に暗号化されたユニークなユーザーIDは代理実行者に伝送されるが、暗号化キーは伝送されない。ユーザーのセキュアデバイスはユニークなデバイス番号(デバイスID)を持っており、これも代理実行者に伝送される。
【００４３】
バックアップ用ストレージは、ユーザー及び代理実行者の両方に関して遠隔であることが好ましいが、いかなる場合にも、代理実行者のストレージが受けると同一の漏洩、破壊などを受けるおそれのない場所に置かれなければならない。バックアップ用ストレージ内では、特有のユーザーID、デバイスID、及び暗号化された情報を、1個の単一アカウントとして関係づける。バックアップセンターでは、暗号化された情報はユニークなユーザーID及びデバイスIDの組み合わせによってアクセスされる。個人情報を改変する場合には、暗号化された情報を、ユニークなユーザーIDとデバイスIDの使用を通じてバックアップセンターから入手し、ついで復号化キーとしてユーザーPINを使用することによってコード化された個人情報を復号化し、個人情報を使用もしくは改変できるようにする。改変された個人情報は、ユニークなユーザーIDならびにデバイスIDと共にバックアップセンターに送信され、そこで保存される。
【００４４】
セキュアデバイス又はそのストレージが紛失したり、盗まれたり、あるいはその他の形で危険に瀕した場合には、新しいセキュアデバイス又は新しいストレージが不可逆的暗号化によってユーザーPINからユニークなユーザーIDを発生させ、このユーザーIDを使用することによってバックアップセンターから暗号化された個人情報をダウンロードする。個人情報は、効力ある暗号化された情報として、ユニークな新しいデバイスIDならびにユニークなユーザーIDと共にバックアップセンターに返送される。
【００４５】
ユーザーPINは、ユーザーのセキュアデバイス内に一時的に記憶されるに過ぎない。ユーザーPINは、セキュアデバイスの電源が切られた時、あるいは、あるブラウザがログオフされることなくある時間が経過したといった出来事に関連したコマンドによって破壊される。それ故、ユーザーPINは一時的に記憶され、ユニークなユーザーIDを発生させることと、暗号化される情報の暗号化及び復号化に使用されるだけである。ユーザーPINはバックアップセンターには決して伝送されず、永久的にせよ一時的にせよ、そこで保存されることはない。それ故、たとえ暗号化された情報が漏洩しても、復号化のためにユーザーPINを入手することはできない。
【００４６】
暗号化された情報をストレージから検索したり、特定のユーザーと関係づけるためには、ユニークなユーザーIDが必要である。ユニークなユーザーIDはユーザーPINから不可逆的に暗号化されるのであり、それ故にユニークなユーザーIDはそれ自体では意味を持たず、ユーザーPINをユニークなユーザーIDから入手することはできない。
【００４７】
また、暗号化された情報をストレージから検索したり、特定のユーザーのセキュアデバイスと関係づけるためには、ユニークなデバイスIDが必要である。デバイスIDはユーザーのセキュアデバイス自体によって保持され伝送されるのであり、該セキュアデバイスが紛失したり、盗まれたり、あるいはその他の態様で危険に瀕したならば、ユーザーによる新しいセキュアデバイス取得によって実質的に無効化される。デバイスIDがバックアップセンターのストレージ内に現われる間、該デバイスIDはバックアップセンターにおいて暗号化された情報にアクセスするためにしか使用されない。新しいデバイスID、及び新しいか元のままのユニークなユーザーIDの使用により暗号化された情報が再びバックアップセンターに保存された後には、以前のデバイスIDは実質的に無効化されるか、バックアップ用ストレージから除去される。新しいセキュアデバイスによる上記のような更新が行われた場合には、バックアップセンターはユーザーの新しいセキュアデバイスに対応させてデバイスIDを更新し、以前のデバイスIDを無効化する。
【００４８】
それ故、承認された者でなければ、何人たりとも暗号化された情報から個人情報に戻すことはできない。これは暗号化された情報が漏洩した場合についても同じである。何故なら、該情報はユーザーPINと共に漏洩することはないし、そのユーザーPINはバックアップセンターのストレージには一時的にも存在しないからである。暗号化された情報そのものは悪用され得ない。暗号化された情報はユーザーPINによってのみ平文化されるものであって、それ自体では何の意味も持たず、ユーザーPINは暗号化された情報とは関連がないからである。
【００４９】
例えば携帯電話で使われているSIM（加入者IDモジュール）は、セキュアデバイスの典型的な好ましい具体例である。加入情報、例えば契約電話番号又はSIMアカウント等は、外部からのアクセス攻撃に対して強力に防護される。アカウント情報、電話番号等は、SIMが以前の端末から取り出されて別の新たな端末（セキュアデバイス）に取り付けられた時には、新しい端末（セキュアデバイス）に移される。セキュアデバイスの、フラッシュメモリのような不揮発性メモリは、SIMのチップ上にある。したがって、SIMの機能はセキュアデバイスに引き継がれる。承認されていない人物が紛失されたデバイスを拾い、SIMをそのまま使おうとしても、デバイス内の情報の使用はチップの暗号化機能によって防護されている。この理由により、悪用に対する最小限の抑止措置しか必要とされない。先行技術の中にも、この要求に応じたものがあったが、先に述べたように、特にデバイス内にある情報のバックアップに関しては不満足なものであった。
【００５０】
本発明は他の環境、例えば世界規模の医療記録システムにも使用することができる。このシステムでは、ユーザはセキュアデバイスとしての財布用のカード、あるいは医療アラート用のネックレス、ブレスレット等に仕込まれたカードもしくは他のデータ記憶装置として所持する。医療機関、例えば病院の救急治療室、救急車、あるいは診療室に入る時にセキュアデバイスがデバイスIDを提供し、ユーザーはユーザーPINを自発的に提供するか、あるいはユーザーがその能力を欠いていても、他人もしくは携帯しているIDによって意識することなく投入される。セキュアデバイスは、ユーザーPINを不可逆に暗号化する。次いで暗号化されたユーザーIDならびにデバイスIDは、インターネットなどを介して世界規模のセンターに送信され、価値ある医療記録を提供して医療に当る人達を支援する。そのようなセンター、すなわちバックアップセンターに保存されている記録は暗号化された情報を含んでおり、その情報はユーザーPINなしに復号化することができない。しかもユーザーPINは不可逆的に暗号化されているユーザーIDから取り出され得ない。したがって、記録はたとえ漏洩しても安全である。
【００５１】
本発明は、世界規模の汎用データ・ストレージシステムにも使用することができる。このシステムでは、ユーザはセキュアデバイスとして、財布用のカード、あるいは容易にコンピュータと接続できるカード又はその他のデータ記憶装置、もしくはコンピュータ端末（例えばノートパソコン）に常時組み込まれている部品を所持する。ファイルを保存もしくはバックアップしたい場合、セキュアデバイスはセキュアデバイスIDと、該セキュアデバイスが不可逆的にユーザーPINを暗号化した後に、不可逆的に暗号化されたユーザーPINを供給する。次いで暗号化されたユーザーIDならびにデバイスIDは、例えばインターネットなどを介して世界規模のストレージ・センターに送信される。ストレージ・センター、すなわちバックアップセンターに保存される記録には暗号化された文書、図面、図表等が含まれるが、これらの記録はユーザーPINなしでは復号化され得ず、しかもユーザーPINは不可逆的に暗号化されているユーザーIDから抽出することができない。それ故、記録はたとえ漏洩しても安全である。
【００５２】
本発明のその他の観点、特徴及び利点は、以下の詳細な説明から、単に多数の具体例や実施態様（本発明を実施するために本発明者によって考えられた最善の形態を含む）を例示するだけで、容易に容易に明らかにされる。また本発明には他の種々異なった実施態様も可能であり、本発明の細部のいくつかは種々の明らかな点で、すべて本発明の精神と範囲から逸脱することなく変更することができる。したがって、図面ならびに説明は、例示的な性格のものであり、本発明を限定するものではない。
【００５３】
本発明を例示説明するのは実施例、特に好ましい実施態様、最善の形態を示すためであり、限定のためではない。本発明の更なる目的、特徴及び利点は、以下、添付の図面に示されている本発明の好ましい具体例及び最善の実施形態から、より明らかになるであろう。添付の図面中、同じ参照数字は同じ種類の要素を示す。
【発明の効果】
【００５４】
本発明によれば、情報を安全に保存することができる。
【発明を実施するための最良の形態】
【００５５】
実施態様をシステム、方法、ハードウェア、コンピュータ・メディア及びソフトウェアとして説明する。
【００５６】
以下の記述では、説明に供する目的で、多数の具体的な詳細について述べ、本発明の一般的な特徴の十分な理解に供すると共に、本発明のより幅の狭い特徴に従う具体的詳細それぞれの利点の評価に供する。但し、当該技術の専門家には、本発明の一般的な特徴は、これらの具体的な詳細がなくとも、また本明細書内に明確に定められている同等物により、あるいは本明細書中に述べられている規準に従って、実行できることは明白である。周知の構造やデバイスは、不必要な詳細を示すことによって本発明を不必要にぼかすことを避けるために、構成図（ブロックダイヤグラム）の形で示す。
【００５７】
また本発明には他の異なった複数の実施態様が可能であり、その細目のいくつかは、種々の点において、本発明の精神と範囲から全く逸脱することなく改変され得る。図面ならびに記述は、例示的であり、かつ制限的なものではない。
【００５８】
図１は、認証代行システムの典型的な実施態様を示し、この場合、ユーザー 30 は1個のセキュアデバイス 10 を所持していて、それがバックアップセンターと直接、あるいは間接に代理実行者（例えば、サービス、情報もしくは製品のプロバイダ）のウェブサイト及び／又は認証機関を通じて通信する。セキュアデバイス10及びユーザー30は、ユーザーPIN 15 を離れた場所、例えばウェブサイトに送信し、該ウェブサイトが次に代理実行者にそれを送信するか、あるいはユーザーPINを直接代理実行者それ自身に送信する。
【００５９】
ステートマシン 18 は、セキュアデバイス 10 を制御する。
【００６０】
通常、セキュアデバイス 10 は、パソコン (PC) 又は携帯情報端末 (PDA) のような情報処理端末 20 に接続されるか、結合されている。情報処理端末 20 は適当な入力装置、例えばキーボード、タッチスクリーン、オーディオインタフェース、マウス、LAN（構内ネットワーク）又はWAN（広域ネットワーク）等を持っている。該情報処理端末 20 は更に、セキュアデバイス 10 との適当なインタフェースを持っており、それはデータ伝送用の任意のデバイス、例えばケーブル、直接のプラグイン、ファイアワイア (IEEE 1394) 、IR（赤外線）、RF（無線周波数）、USB（ユニバーサルシリアルバス）、磁気カード読取装置、光カード読取装置、PCMCIA（国際PCメモリカード協会）及びJEITA（電子情報技術産業協会）によって標準化されているPCカード、及び類似のカードコネクタ、あるいはイーサネット (Ethernet、登録商標) 又はその他の、LAN（構内ネットワーク）又はWAN（広域ネットワーク）と直接接続しているか、無線通信等を介して結合されていればよい。入力装置及び連結装置は、データ伝送のセキュリティ及び本明細書に言及されている特徴による以外の予想されないアクセスに関して防護されていることが望ましいが、これは本発明の必須条件ではない。
【００６１】
セキュアデバイス 10 は、磁気記録されたコンピュータ読み取り可能なデータキャリア、光学的に記録されたコンピュータ読み取り可能なデータキャリア、ICを含み、そのICに記録されたコンピュータ読み取り可能なデータを持つキャリア、電磁気的な信号をIDデバイス読取装置に伝送するように操作できるコンピュータ読み取り可能なデータ記憶媒体、及び機械的読み取りができるコンピュータ読み取り可能なデータキャリア等であって良い。
【００６２】
セキュアデバイス10は、一般的な(秘匿でない)記憶領域と秘匿記憶領域の両方を含むコンピュータ読み取り可能なメモリ記憶装置を持つ。暗号化／復号化キー、すなわちPIN 15 は、秘匿記憶領域にしか保存することができず、そのためセキュアデバイス10が紛失したり盗まれてもセキュアデバイス 10 と一緒のままである。そして、望まれるならば、このキーは該セキュアデバイスが端末 20 から切り離され電源が切れた時に削除されても良い。このシステムにより、ユーザーは暗号化／復号化キーであるPIN 15 を良好に管理することができ、暗号化／復号化キーであるPIN 15の漏洩は起こり得ない。
【００６３】
本発明はユーザーPINが単一の認証コードであっても使用できるが、好ましい典型的実施態様では、ユーザーが提供する認証コードは複数の情報の組み合わせであって、例えばユーザー名とユーザーのパスワード (PIN) を含み、これらを併せてユーザーPIN 15 とする。すなわち、本発明に関しては、ユーザーPINという用語は、必ずしも暗号化されている必要はなく、意味のある部分及び／又は意味のない部分の組み合わせであっても良いコードを指している。
【００６４】
唯一のセキュアデバイス 10 から遠隔のロケーションに認証情報を送信するために1個の根源的な認証コード (principle authentication code) であるPIN 15 を知る必要があるのは、ユーザーだけであり、それ故にこの認証コード（PIN 15）は複雑で長い文字列、例えば詩の一部を含むものでも良い。この認証コードは、ユーザー 30 により1回だけしか入力されないからである。代理実行者（少なくとも部分的には、セキュアデバイス 10 に持続的に保存されているソフトウェアを含む）が、必要に応じて種々のウェブサイト 90 、認証機関 50 等に、ユーザーが新しいサイトにエントリーする度に認証コードを再入力しなくても、認証情報を供給する。セキュアデバイス 10 はユーザーPIN 15 が一度手動で入力されたならば、それをメモリの秘匿記憶部分に一時記憶するか持続的に保存し、ユーザーがPIN 15 を再入力しなくても、あるSPサイトから別のSPサイトに、順次アクセスできるようにする。
【００６５】
ユーザー 30 は、ユーザーPIN 15 を管理している。ユーザーPIN 15 は決して他人に漏洩することはない。何故なら：ユーザーPIN 15 は、好ましくはセキュアデバイス 10 に一時的に保持されるだけであり、セキュアデバイス 10 の電源が切れると自動的に削除されるため；及び／又は、PIN 15 は、それがもはや不必要である時（例えばユーザー 30 の特定セッションに使用された後、特定のセッションを認証するために必要ではなくなった時）には削除されるため；及びユーザーPINはバックアップセンター BUC 40 に伝送されず、伝送されるのはユーザーID 17 であるためである。図１では、ユーザーID発生器 16 が、ユーザーID 17 を不可逆的な暗号化又は変換によってユーザーPIN 15 から発生させている。それ故、不可逆的に暗号化されたユーザーID 17 が知られたとしても、それだけではユーザーPIN 15 を再生させることは不可能である。ユーザーID発生器 16 は、既知のハッシュ関数 (hash function) 、あるいは他の任意の不可逆暗号化法を利用することができる。
【００６６】
セキュアデバイス 10 はユニークなセキュアデバイスID 11 を持ち、これはセキュアデバイス10 内の不揮発性メモリ中に保存されている。デバイスID 11 は例えば製造時に個々のセキュアデバイス 10 それぞれに割り当てられたユニークな特有番号であり、このユニークなデバイスIDは製品のシリアル製造番号であっても良い。また、このユニークなデバイスID 11 は、デバイスのユニークな秘密鍵 (secret key) から、ある変換によって間接的に作られても良い。
【００６７】
例として、個人情報 12 は一揃いのデータを含んでおり、それらには1個以上のユーザー名、1個のパスワード、ユーザーのウェブサイトの1個のURLアドレス、ユーザーの電子メールアドレス、クレジットカード又はデビットカードの情報、郵便の宛先、電話番号、国民又は社会保険番号 (national or social security number)、ある種のデータの表示に関するユーザーの選択指定、ユーザーが居住する地理的地域（例えば郵便番号）、ユーザーが使用するコンピュータのシステム構成 (configuration) 、及びインターネット上の種々のウェブサイトが希望するようなその他のサインオン情報を含んでいてよい。
【００６８】
暗号化された情報 14 をバックアップセンターBUC 40 に送信する準備として、情報暗号プロセッサ 13 は個人情報12 を、暗号化キーとしてユーザーPIN 15 を使用して暗号化し、暗号化情報 14 とする。また、情報暗号プロセッサ 13 は、暗号化情報 14 がバックアップセンター BUC 40 から確認、更新等の目的のために返送されて来た後に、ユーザーPIN 15 を復号化キーとして使用し、該暗号化情報を個人情報 12 に復号化する作業も行う。
【００６９】
セキュアデバイス 10 は伝送ラインを通じてバックアップセンター BUC 40 と結合されているが、このラインはLAN（構内ネットワーク）、WAN（広域ネットワーク）、又はそれに類するもので良い。更に本発明の一般的な特徴に従って、バックアップセンターが単に通常のコンピュータ使用のための、遠隔もしくはローカルの主ストレージ又はバックアップストレージである場合には、ユーザーのセキュアデバイスと結合するための伝送ラインは、LAN（構内ネットワーク）又はWAN（広域ネットワーク）、ケーブル、直接のプラグイン、ファイアワイア (IEEE 1394) 、IR（赤外線）、RF（無線周波数）、USB（ユニバーサルシリアルバス）、磁気カード読取装置、光カード読取装置、PCカードもしくは類似のカードコネクタ、イーサネット (Ethernet、登録商標) あるいはその他の無線通信路であって良い。本明細書に言及される特徴による外、この結合がデータの伝送ならびに予想されないアクセスに関して防護されていることが望ましいが、これは本発明に要求される条件ではない。
【００７０】
バックアップセンター 40 は複数の別個のアカウント記録（より簡単にはアカウント）41、42、43 等を含有するデータベース又は他のストレージを持つ。通常、アカウント 41、42、43等はそれぞれ複数の、当該代理実行システムの顧客（より広くは、バックアップ又は主ストレージ機関の顧客）に対応している。但し、ユーザーID 17 が異なり、好ましくはデバイスID 11 も異なる2個以上のアカウントを持つ顧客があっても良い。それぞれのアカウント記録は、ユーザーID 17、デバイスID 11、コード化された情報 14 の典型的なデータ項目 (fields) と、必要な制御情報（411、421、431、等）を持つ。制御情報は種々の目的に供せられて良く、例えばバックアップセンター又はストレージセンターにとって内部的に重要なアカウント情報 (accounting information) を含んでも良い。
【００７１】
ユーザー 30 とセキュアデバイス 10 の間では、ユーザーの同一性確認すなわち認証 (authentication) の唯一の手段は、ユニークなユーザーPIN 15 である。セキュアデバイス 10 とバックアップセンター 40 の間では、ユーザーの身元確認すなわち認証の唯一の手段は、不可逆的に暗号化されたユニークなユーザー ID 17 と、セキュアデバイスのユニークなデバイスID 11 の組み合わせである。バックアップセンターには、ユニークなユーザーPIN 15 を不可逆的に暗号化されたユニークなユーザーID 17 から再生する能力はない。何故なら、不可逆的に暗号化されたユニークなユーザーID 17 の発生は、先に述べたようにユーザーPIN 15 から不可逆的な変換によって行われるからである。このため、ユーザーID 17 を使用しても、個人情報 12 を暗号化された情報 14 から再生させることはできない。言い方を変えるならば、たとえバックアップセンターのデータ（不可逆的に暗号化されたユニークなユーザーID 17 、セキュアデバイスのユニークなデバイスID 11 、及び暗号化された情報 14 ）が漏洩しても、このデータを意味のある形態で利用できる者は皆無である。
【００７２】
図２に、図１のステートマシン 18 の、典型的な状態遷移図が開示されている。
【００７３】
状態-00（プロセス 100 ）は、電源が入った時、もしくはユーザー 30 がログオンした時の、ステートマシン 18 の初期状態である。ステートマシンは、求められている処理が、初回使用もしくは認証を伴うサイトへのログオンであるか否かの決定を行い、それぞれ状態-01（プロセス 110 ）、状態-04（プロセス 140）のいずれかへ、次の処理を方向付ける。決定は、ユーザーのセキュアデバイス 10 から該ユーザーへの質問に対するユーザーの応答に基く場合もあり、またユーザーのセキュアデバイス 10 が初回使用の処理を成功裏に終了した時にセットされ、その状態を保持するフラグの状態に基く場合もある。状態-00（プロセス 100 ）は、図３の流れ図で更に開示される。
【００７４】
状態-01（プロセス110 ）は、セキュアデバイス 10 が工場出荷以後、初回使用を開始する状態であり、プロセスは、その初回使用がバックアップセンター 40 に新しいアカウントを作成・登録するプロセスであるか、単に古いアカウントを新しい情報により更新するプロセス（例えば以前に使用されており、失われたセキュアデバイス 10 を新しいセキュアデバイス 10 で代替するため、あるいはアカウントを変更されたユーザーID 15 、例えば新しいパスワードで更新するため）であるかを指示する。状態-01（プロセス 110 ）は、図４の流れ図で更に開示される。
【００７５】
状態-02（プロセス 120 ）は、ユーザーのセキュアデバイス 10 のために、新しいアカウントを登録する状態である。状態ステート-02のプロセスに従って、ステートマシンは状態-06（プロセス 160 ）を開始する。状態-06は、図５ａの流れ図と、図５ｂの通信タイミング図で更に開示される。
【００７６】
状態-03（プロセス 130 ）は、新しい、あるいは改訂された個人情報 12 によって古いアカウントを更新する状態である。状態-03のプロセスに従って、ステートマシンは状態-06（プロセス 160 ）を開始する。状態-03（プロセス 130 ）は、図６ａの流れ図と、図６ｂの通信タイミング図で更に開示される。
【００７７】
状態-04（プロセス 140 ）は、ユーザー 30 の識別及び同一性の確認、すなわちユーザーの認証処理もしくはログオンの状態である。状態-04（プロセス 140 ）は、状態-01（プロセス 110 ）の後に実行される。状態-00又は状態-04の始めに戻るべきか否か、及び初期化のために状態-06によって進む別の処理があるか、個人情報 12 のバックアップのための状態-05に進むか、あるいはそれより先の処理を停止する状態-HALT（プロセス 199 ）に進むかについて、決定が行われる。状態-04（プロセス 140 ）は、図７の流れ図で更に開示される。
【００７８】
状態-HALT状態（プロセス 199 ）は、セキュアデバイス 10 が、それ以後機能しないように無効化する。
【００７９】
状態-05（プロセス 150）は、例えば、セキュアデバイス 10 内の個人情報 12 が暗号化（コード化）された情報 14 の形で、例えば個人情報キオスク端末 (personal in- formation kiosk terminal) などからバックアップされる時の状態である。状態-05（プロセス 150 ）は、図８の流れ図で更に開示される。
【００８０】
状態-06（プロセス 160 ）には、状態-02又は状態-03又は状態-04から到達する。状態-06（プロセス 160 ）の状態は、図９の流れ図で更に詳細に開示される。
【００８１】
状態-OP（プロセス 190 ）は、状態-OP-01又は状態-OP-02として実行されるか、あるいは本発明の理解のためには開示される必要がない、別の条件で実行されても良い。状態-OPには、状態-04（プロセス 140 ）でユーザーPIN 15 を用いて確定されるユーザー 30 によるログオン認証 (logon authentication) 及び状態-06（プロセス 160 ）の初期化の経路を通じて、セキュアデバイス 10 による初期化の状態中に到達する。あるいは、状態-OP（プロセス 190 ）に、状態-01における初回使用の処理と、状態-02か状態-03いずれかの後に状態-06を通る経路で到達する場合もある。
【００８２】
状態-OP（プロセス 190 ）の状態-OP-01は、ユーザー 30 の代理実行処理を実行し、個人情報 12 を使用する。特定のログオン制限時間を過ぎて電力供給がなくタイムアウトとなるか、ユーザーによって意図的にログオフされると、セキュアデバイス 10 は状態-00に復帰する。状態-OP-01は、図１０ａ、図１０ｂ及び図１０ｃの流れ図（ユーザーPINにおける変化をもたらすプロセス 1910 ）で更に開示される。状態-OP-02は、図１１の流れ図（暗号化された情報をバックアップするためのプロセス 1940 で更に開示される。
【００８３】
図３は、図１のステートマシンにより、図２の状態遷移の一部として行われる状態-00（プロセス 100 ）の典型的な移行流れ図である。
【００８４】
ステップ 101 は、状態判定 101 によって、ユーザーのセキュアデバイス 10 が工場出荷時直後の初回使用の状態にあるか、それともユーザー 30 により既に初期化を経た状態であるかの判定を行う。この決定はユーザーのセキュアデバイス 10 による質問後、ユーザー 30 からの入力によることも、またセキュアデバイス 10 が初めて、あるいは初期化の状態-06（図２のプロセス 160 ）を最初に通過した後にそのデバイスID 11 をフェッチする時に、該セキュアデバイス内に設定されているフラグに従って行われることもある。
【００８５】
セキュアデバイス 10 が工場出荷時の状態にある場合は、ステップ 110 に進む。その場合、ステートマシン 18 は状態-01（プロセス 110 ）を実行するが、これについては図４の流れ図で更に説明する。
【００８６】
セキュアデバイス 10 が図２の状態-06によって実行される初期化で以前に初期化されている場合には、ステップ 102 に進む。状態判定 102 によって行われる決定に従って、セキュアデバイス 10 が停止されていなければ処理を状態-04（プロセス 140 ）に移行させ、そうでない場合には状態-HALT（図２のプロセス 199 ）に移行させる。
【００８７】
ステップ 199（状態-HALT状態）は、セキュアデバイス 10 がそれ以後機能しないように無効化させる。
【００８８】
ステップ 140 はユーザー 30 にログオン及び認証を提供するが、これは図７の流れ図に関連して更に解説する。
【００８９】
図４は、図１のステートマシン 18 によって、図２の状態遷移の一部として実行される状態-01（プロセス 110 ）の典型的な流れ図である。
【００９０】
ステップ 111 はユーザー 30 に対し、初回使用が新しいアカウントを開設するためか、既存のアカウントを新しいセキュアデバイスによって更新するためかを質問し、ユーザーの入力を待つ。より詳しく言えば、ユーザー 30 がセキュアデバイス 10 情報端末 20 に結合せしめた時に、該セキュアデバイス 10 はユーザーに対し、この操作が新規登録であるか更新であるかを質問する。この質問は、図４の決定 111 として、情報端末 20 を通じて行われる。あるいは、情報端末 20 にあるアプリケーションプログラムがユーザー 30 に対して質問し、決定 111 を行う場合もある。
【００９１】
セキュアデバイス 10 が工場出荷時の状態にあるならば、ステップ 120 へ行き、バックアップセンター 40 内に新規のアカウントを設立することによって新規アカウントを登録する。この時、セキュアデバイス 10 内には、製造時に持久的に記憶されているデバイスID 11 しか記録されていない。次いでステートマシン 18 は状態-02（プロセス 120 ）を実行するが、これは図５の流れ図に関連して更に解説する。決定 111 により、ユーザー 30 が新規登録の実行を希望していると決定された時には、セキュアデバイス 10 はバックアップセンター 40 に新規の登録を命令し、それによって新規のアカウントを取得する。
【００９２】
図５ａは、図１のステートマシン 18 によって、図２の状態遷移の一部として実行される状態-02（プロセス 120 ）の典型的な流れ図である。
【００９３】
ステップ 2012 は、ユーザー 30 に対し、ユーザーPIN 15 の入力を求め、次いでユーザーの入力を待って読み取りを行う。ユーザーの入力は、求められたユーザーPIN 15 であることも、キャンセル命令であることもある。ユーザーPIN 15 は、複数の認証コード、例えばユーザー名 (PIN) とユーザー・パスワード (PIN) の集成によって定義されても良く、ステップ 2012 は図５ｂに示される、ユーザー 30 からセキュアデバイス 10 への最初の通信に関わるものである。
【００９４】
ユーザー 30 がキャンセル命令を入力した場合、ステップ 121 は状態判定 121 によって状態-01（ステップ 110 ）に戻る。PIN 15 が入力された場合には、処理はステップ 2022 に進む。
【００９５】
ステップ 110 は、図４に示す流れ図に従って、状態-01の処理を実行する。この処理は、図１のステートマシン 18 によって実行される。
【００９６】
ステップ 2022 は、図１のID発生器 16 を使用し、ステップ 2012 で受信されたユーザーPIN 15 から不可逆的に変換することによってユーザーID 17 を発生させる。
【００９７】
ステップ 321 はバックアップセンターに、ユーザーID 17 が既にバックアップセンターに登録されているか否か（すなわち、バックアップセンターはユーザーPIN 15 を知らないが、実質的には該ユーザーIDが由来しているユーザーPIN 15 もユニークなものであるか否か）を質問する。ステップ 321 は、図５ｂに示される、セキュアデバイス 10 からバックアップセンター BUC 40 への第2の通信に関わるものである。
【００９８】
ステップ 122 はステップ 321 の質問に対する回答を受信し、それに従ってユーザーID 17 がバックアップセンターにおいて唯一無二であるか否かの判定を行う。
ステップ 122 は、図５ｂに示される、バックアップセンター BUC 40 からセキュアデバイス 10 への第3の通信に関わるものである。
【００９９】
状態判定 122 によってユーザーID 17 が既に使用されている他者のユーザーIDと同一であると決定された場合には、ステップ 125 が起動される。ステップ 125 はユーザーに対し、異なったユーザーID（本例では、ユーザーPIN 15 ）を入力するよう要請する。異なったユーザーID 15 の入力後、ステートマシン 18 の処理は状態-02（ステップ 120 ）に戻る。2個以上のユーザーPINの集成、例えばユーザー名 (PIN) 及びユーザーのパスワード (PIN) である場合には、ユーザーは、単に集成された認証コードの一部だけの改変、例えばユーザー・パスワード (PIN) 部分だけの改変によって、ユニークな値ではなかったユーザーPIN 15 を改変することができる。
【０１００】
状態判定 122 によってユーザーID 17 が現在使用されているユーザーIDと同一ではないと決定された場合には、ユーザーID 17 は唯一無二であると決定される。ユーザーに対し、ステップ 2012 で受信されたユーザーPIN 15 が正しいか否かを確認するための質問が行われる。確認がなければ、ステップ 125 が起動される。
【０１０１】
状態判定 123 によってユーザー 30 がユーザーID、すなわちPIN 15 を確認しなかった場合には、ステップ 125 が起動される。ステップ 125 はユーザー 30 に対し、異なったユーザーID（本例ではユーザーPIN 15 ）を入力するよう要請する。異なったユーザーIDの入力後、ステートマシン 18 の処理は状態-02（ステップ 120 ）に戻る。2個以上のユーザーPINの集成、例えばユーザー名 (PIN) 及びユーザーのパスワード (PIN) である場合にも、ユーザーは、ステップ 123 における確認を拒絶し、ステップ 125 で集成された認証コードの一部分だけ、例えばユーザー・パスワード (PIN) だけを改変することにより、ユーザーPIN 15 を改変することができる。
【０１０２】
ステップ 124 は、ユーザーPIN 15 を、セキュアデバイス 10 のメモリの不揮発性ではない非持久部分に予備登録する。記憶されたPINは、電源が切られれば消滅する。
【０１０３】
ステップ 322 は、バックアップセンター 40 に、ユーザーID 17 とデバイスID 11 を、新規アカウントの索引用識別子として登録するよう要請する。ステップ 322 は、図５ｂに示される、セキュアデバイス 10 からバックアップセンター BUC 40 への第4の通信に関わるものである。
【０１０４】
ステップ 126 はバックアップセンターからの、新規アカウントが開設され、不可逆的に暗号化されたユーザーID 17 とデバイスID 11 の両方が新規アカウントを識別するために登録された旨の確認を待つ。バックアップセンター BUC 40 からの確認があった場合にはステップ 126 は次の処理でステップ 127 に進み、バックアップセンター BUC 40 からの確認がない場合には次の処理でステップ 126 に進む。ステップ 126 は、図５ｂに示される、バックアップセンター BUC 40 からセキュアデバイス 10 への第5の通信に関わるものである。
【０１０５】
ステップ 127 は、ユーザーPIN 15 をセキュアデバイス 10 のメモリの秘匿部分、すなわち保全部分 (secure portion) に登録し、ステップ 124 の予備登録保存を削除する。これによって、新規アカウントの開設処理は終了する。その後の処理は、図２のステート移行図に示され、また図９に更に詳細に示されている初期化のための状態-06に移される。
【０１０６】
バックアップセンター 40 からの確認が得られなかった場合には、ステップ 128 に進む。ステップ 124 におけるユーザーPIN 15 の予備登録はキャンセルされる。これはユーザーPIN 15 の一時的登録の取り消しである。
【０１０７】
ステップ 129 は、ユーザー 30 に対し、登録が失敗に終わった旨の通知を送る。通知は例えば端末 20 を通じてでも良く、電子メール利用によっても良く、それら両方によっても良い。次いでセキュアデバイス 10 は、ステートマシン 18 の状態を状態-02（ステップ 120 ）に変える。これは図２の状態遷移図に示されているように、新規アカウント設立のための、図５ａに示されている処理の出発点への復帰である。
【０１０８】
図５ｂは、図１に示す構成要素 (components) が、図５ａ流れ図に関連して上に説明したような通常の新規アカウント開設セッションのために行ういくつかの通信操作のタイミングを示す。図５ｂで見られるように、セキュアデバイスへのユーザーPIN 15 の登録のために、ユーザー 30 は最初にユーザーPIN 15 をセキュアデバイス 10 に伝える。次いでセキュアデバイス 10 は、ユーザーPIN 15 を不可逆的に暗号化し、ユーザーID 17 とし、このユーザーID 17 が直接バックアップセンター BUC 40 に送信される。バックアップセンターは新規のユーザーID 17 を予備登録し、この予備登録を、セキュアデバイス 10 への伝送の中で、ユーザーID 17 の識別と並行して伝える。この伝送で、ユーザーID 17 の唯一無二性が確認される。その後に、セキュアデバイス 10 はデバイス ID 11 をバックアップセンター 40 に伝送する。次いでバックアップセンターは、新規のユーザーID 17 をデバイスID 11 と共に登録し、ユーザーのためにアカウント記録を確立し、それからバックアップセンターはセキュアデバイス 10 に対して上記の登録を確認する。
【０１０９】
図６ａは、既存アカウント更新のための初回使用操作の流れ図であり、この操作は図２に示すような、ステートマシン 18 の更新状態-03（プロセス 130 ）に相当する。更新は、図６ｂのタイミング図に示すような通信タイミングに従って行われる。
【０１１０】
ステップ 130 は更新プロセスを開始する。更新プロセスには、図４の分岐から到達する。
【０１１１】
ステップ 2013 はユーザー 30 に対し、ユーザーPIN 15 の入力を要請し、セキュアデバイス 10 はユーザーの入力を待ち、次いでそれを読み取る。入力は求められたユーザーPIN 15 か、キャンセル命令のいずれかである。ユーザーPIN 15 は複数の認証コード、例えばユーザー名 (PIN) とユーザー・パスワード (PIN) の集成によって定義されても良い。ステップ 2013 は、図６ｂに示される、ユーザー 30 からセキュアデバイス 10 への最初の通信に関わるものである。
【０１１２】
ステップ 131 は、更新プロセスをキャンセルすべきか否かの決定を実行する。ユーザー 30 がキャンセル命令を入力すると、処理は状態-01 に進む。これは、図２におけるステートマシン 18 のオペレーション 110 である。PIN 15 が入力された場合には、処理はステップ 2023 に移行する。
【０１１３】
ステップ 2023 は、セキュアデバイスが入力されたユーザーPIN 15（図６ｂの最初の通信として入力されたもの）を暗号化するときに、暗号化されたユーザーID 17 を不可逆的に発生させる。ステップ 2023 は、図１のユーザーID発生器を使用することによってユーザーID 17 を発生させる。
【０１１４】
ステップ 331 はバックアップセンター 40 への質問を用意し、バックアップセンター 40 に、ステップ 2023 で発生せしめられたユーザーID 17 に相当する別人のユーザーID 17 が既に存在するか否か（すなわち、バックアップセンターはユーザーPIN 15 を知らないが、実質的には該ユーザーIDが由来しているユーザーPIN 15 も唯一のものであるか否か）を質問する。ステップ 331 は、図６ｂにおけるセキュアデバイス 10 からバックアップセンター BUC 40 への第2の通信に関わるものである。
【０１１５】
ステップ 133 が、ステップ 331 の質問に答える形でのバックアップセンターからの応答によって、ステップ 2023 で発生せしめられ、ステップ 331 でバックアップセンターに送信されたユーザーID 17 と、既にバックアップセンター 40 に保存されているアカウント中に存在するユーザーID 17 の間に合致 (match) があるか否かを決定する。合致がなければ処理はステップ 134 に進み、合致がある場合には、処理はステップ 332 に進む。
【０１１６】
ステップ 134 は、ユーザー 30 にユーザーPIN 15 をチェックすること、すなわち、先に入力されたユーザーPIN 15 が不注意のため誤って入力されていた場合には入力し直すよう要求する。その後に、処理はステップ 130 、すなわちステートマシン 18 における状態-03の最初に戻る。
【０１１７】
ステップ 332 は、図６ｂに見られるように、第3の通信に関し、セキュアデバイス 10 からバックアップセンター 40 へのダウンロード命令に従って、暗号化された情報 14 をバックアップセンター BUC 40 からセキュアデバイス 10 にダウンロードする。バックアップセンター 40 は、暗号化された情報 14 の送信に加えて、現在使用されているアカウントを保留状態 (reservation condition) に置くことが好ましい。
【０１１８】
ステップ 135 はセキュアデバイス 10 により、ユーザーPIN 15 を復号化キーとして使用することにより、暗号化された情報 14 から再生する試みとして実行される。この目的に使用されるユーザーPIN 15 は、図６ｂにおける最初の送信で入力され、後に電源が切られた際にユーザーのセキュアデバイス 10 の一時記憶装置から消去されるものであっても良い。また、ステップ 135 が最初にユーザー 30 に対してユーザーPIN 15 の再入力を命令しても良い。この場合は安全保護が強化されるが、使い勝手は悪くなる。
【０１１９】
ステップ 136 は、ユーザー 30 に質問し、ユーザー 30 からの確認を待つことによって、ステップ 135 で復号化された個人情報 12 が正しいか否かについて決定する。確認された場合には、処理はステップ 333 に進み、ステップ 136 で確認がない場合には、処理はステップ 334 に進む。
【０１２０】
ステップ 334 は、まずバックアップセンター 40 にエラーメッセージを送信する（簡略化されたタイミング図である図６ｂには、行われる通信のすべては示されていない）。通知は、例えば端末 20 を通じて行っても良いし、電子メールを利用しても、またこれらの両方によっても良い。次いで、処理はステートマシンにおけるステート-03の出発点に戻る。これは図６ａのステップ 130 である。
【０１２１】
ステップ 333 は、まず以前のデバイスID 11 を無効化する。すなわち、失われたセキュアデバイス 10 に対応するデバイスID 11 の番号は消滅する。図６ｂに見られるように、新しいセキュアデバイス 10 のデバイスID 11 が、第3の通信としてバックアップセンターに、該バックアップセンターに対する、新規のセキュアデバイス 10 のデバイスID 11 を現在のアカウントで登録し、そのアカウントの以前のデバイスID 11 に置き換えよとの命令と共に送信する。これは、個人情報12がユーザーPIN 15 を復号化キーとして、暗号化情報 14 の復号化に使用することにより再生されたという、先の好ましい例の決定に従って行われる通常の処理である。
【０１２２】
ステップ 211 は、典型的には図６ｂの認証局 CA 51 が関与する確認プロセスであって、個人情報 12 ならびに識別子 11, 17 をチェックし、その後に図６ｂの通信 2111 に従って確認コード 63 を送信する。確認コードは例えば電子メールによってユーザー 30 に送られ、この確認コード 63 がユーザー 30 に確認を求める。ユーザーによる確認は、図６ｂの通信 2112 に従って、確認コード 63 の返信として認証局 CA 51 に送信されるが、電子メールによる応答でも良い。認証局は暗号化された情報を受信すると、それに応答して、暗号化された情報を復号化し、この復号化された情報からセキュアデバイス 10 以外の宛先（例えばユーザーの電子メールアドレス）を取り出して、その宛先に確認コード 63 を送信する。このようにして、デバイス ID が存在しない故に確認されていないセキュアデバイスを通じて、暗号化された情報がユーザーに提供されることを防止する。
【０１２３】
ステップ 333 でバックアップセンターに新規のデバイスID 11 が送信された後に、バックアップセンターは前述のように新規デバイスIDを登録し、次いでバックアップセンターはステップ 211 の確認を待つ。図６ｂで見られるように、ステップ 211 のユーザーによる確認には、暗号化されたユーザーID 17 、新しいデバイスのデバイスID 11 、電子メールアドレス 61 の送信が含まれるが、プロセスを仲介する支援を求められる認証局 CA 51 に送信される別のメッセージには、当該バックアップセンターのアドレスも、無論含まれる。PKI（公開鍵基盤）を使用する認証方法では、情報の提供者は認証局 CA 51 の証明書によって認証された確認を信用する。認証局 CA 51 は、セキュアデバイス 10 とバックアップセンター 40 の間で仲介を行う第三者である。通常の場合、セキュアデバイス 10 とバックアップセンター 40 は、認証局 CA 51 の介在により、相互に正当性を認めて交信を行う。しかしながら、認証局 CA 51 が実は独立した機関ではなく、バックアップセンター 40 と同一の存在であり得るということも考えられる。図６ｂに示すように、認証局 CA 51 はバックアップセンター BUC 40 に送信 2113 を行う。
【０１２４】
ステップ 137 は、現在使用されているセキュアデバイス 10 のために、新しいセキュアデバイス 10 のデバイスID 11 を、ユーザーID 17 及び暗号化された情報 14 と共に、更新されたアカウントとしてバックアップセンターに登録する。登録を受けた後、バックアップセンターは該アカウントの保留状態を解消する。その後、ステートマシンは状態-06（図２のオペレーション 160 ）に戻る。
【０１２５】
一例では、暗号化された情報14とし暗号化され、バックアップセンター 40 に保存される情報は、ユーザー 30 の電子メールアドレスを含んでいることが好ましい。それ故、セキュアデバイス 10 が図６ａのステップ 135 に従ってバックアップセンターからダウンロードされた暗号化情報 14 を受信した時、該電子メールアドレスを、PIN 15 を復号化キーとして用い、暗号化情報から復号化された個人情報 12 から取り出すことができる。ステップ 211 で、セキュアデバイスは確認を実行し、ユーザー 30 によるこのステップでの情報入力なしで、認証局に対し自動的に前述の情報、すなわちユーザーID 17、デバイスID 11、電子メールアドレス 61 及びバックアップセンターのアドレス 62 を送信することもできる。
【０１２６】
認証局がユーザーに対して行う確認送信 2111（好ましくは電子メールを通じて行われる）は、認証局 51 が発生せしめた確認コード 63 を含む。その後にユーザー 30 から認証局 CA 51 に、ユーザー 30 の承認が得られた旨を確認する確認コード 63 を含めるための送信 2112 が行われる。またユーザー 30 から送信される確認コード 63 には、ユーザー 30 による個人情報の検分及びそれが間違っていない旨の確認、あるいは必要な訂正が加えられた場合はその旨の陳述が含まれても良い。図６ｂの送信 2113 で、ユーザーID 17 及びデバイスID 11 が認証局 CA 51 からバックアップセンター 40 に送信される。バックアップセンター 40 は、ユーザーID 17 及びデバイスID 11 が、ユーザー 30 の確認の結果認証局 51 から送付された正当なセットであることを確認し、通常の操作によってバックアップセンター 40 は古いデバイスID 11 を失効させて新しいデバイスID 11 を始動させ、かくして識別されるアカウント（41、42等の内の一つ）に関連する暗号化された情報 14 を更新し、該アカウントの保留状態を解消する。
【０１２７】
図７は、ユーザーによるログオンの際にセキュアデバイス 10 によって実行されるユーザー認証プロセスを説明する流れ図である。
【０１２８】
ステップ 140 で、図１のステートマシン 18 における図２の状態-04のログオン手順が開始される。
【０１２９】
ステップ 141 は状態判定であって、例えば情報キオスクから、あるいは他のデバイス又は端末 20 からの個人情報 12 をバックアップすべきか否かの決定を行う。決定はユーザーの入力による場合、前回のバックアップから設定時間が経過した場合、あるいは最後の手順として行われるが、また例示のような、バックアップを要する事態が発生した場合にも行われる。一例としては、ユーザーがコンピュータ端末にファイル、ワードプロセッサあるいは図面を持っており、ユーザーがそれを自分たちのパソコンの主ストレージから離れた安全な場所にバックアップしたいと望む場合、あるいはユーザーがインターネットカフェのパソコンで作業中に、彼等の作業成果を自分たちのパソコンに帰ってアクセスできる場所に保存したいと望む場合、また彼等のノート型パソコンがグラフィックやムービファイルのような大容量ファイルに十分な記憶容量を持っていない場合があり得る。バックアップが実行されるべきならば、処理はステップ 150 に進む。
【０１３０】
ステップ 150 で、処理は図２に示されているように、バックアップ処理のための状態-05に移行する。このバックアッププロセスは、図８の流れ図との関連で更に解説される。
【０１３１】
ステップ 141 の決定プロセスでバックアップを実行しないと決定された場合には、ステップ 2014 に移る。セキュアデバイス 10 が、例えばユーザーからの直接の入力を受信することによって、ユーザー 30 のユーザーPIN 15 を読み取る。本例では、セキュアデバイス 10 はユーザーに、例えば端末 20 のスクリーンに送られる表示によってユーザーPIN 15 の入力を促し、ユーザーの入力を待つ。
【０１３２】
ステップ 142 はキャンセルすべきか否かに関する決定のステップで、ユーザーがステップ 2014 によって行われた入力の督促に応答してキャンセル命令を入力したか否かに基いて決定が行われる。
【０１３３】
ステップ 142 の決定が Yes でキャンセル処理が行われるべきである場合にはステップ 100 に進み、ステートマシンは図２及び図３の状態-00に戻る。
【０１３４】
決定ステップ 142 によってユーザー 30 からPIN 15 が有効に入力された旨の決定が下された場合には、ステップ 143 に進む。セキュアデバイス 10 は、ユーザー 30 からの入力を、状態-02又は状態-03の初回使用プロセス中に、ユーザーのセキュアデバイス 10 のメモリの秘匿部分に保存されたユーザーPIN 15 と比較する。
【０１３５】
ステップ群 1400 は、ユーザー入力の正当性確認 (validation) 、データの確認、及びユーザー入力にエラーがあったり、虚偽である場合の処理を実行する。
【０１３６】
判定ステップ 144 が、ユーザーが入力したユーザーPIN 15 が検索されたPIN 15 と一致すると決定したならば、処理はステップ群 1400 のステップ 145 へと続く。判定ステップ 144 が否定的な決定を返して来たならば、処理はステップ群 1400 のステップ 146 に進む。
【０１３７】
ステップ 145 はユーザーのセキュアデバイス 10 の 第１の失敗カウンターを初期値に戻す。
【０１３８】
ステップ 212 は確認プロセスであって、第三者、例えば承認の場合、図５ｂの認証局 CA 50 又は図６ｂの認証局 CA 51 によって実行されても良い。確認プロセスは、ユーザー 30 のPIN 15 再入力、又は先に入力されたPIN 15 の表示を確認することによって実行される。必要ではないが、ステップ 212 がユーザーPIN 15 の値をバックアップセンターから得られた値を用いて確認し、かつセキュアデバイス 10 内部のストレージから受信されるデバイスID 11 が図１の単一アカウント 41、42、43 等から得られるデバイスID 11 の番号と同一であるか否かを確認するならば、好ましく、かつ有利である。
【０１３９】
ステップ 147 はステップ 212 の確認結果に依存する決定プロセスであって、それ以降の処理の分岐を制御する。
【０１４０】
ステップ 212 の確認プロセスが確認を行ったことが、決定プロセス 147 によって決定されると、ステップ 160 に進み、その場合には図１のステートマシン 18 は、図２及び図９の状態-06に移行する。
【０１４１】
ステップ 147 の決定プロセスが、ステップ 212 の確認プロセスが確認を行っていないと決定すると、ステップ 149 に進む。確認がなかったので、セキュアデバイス 10 は無能化され、処理はステップ 199 の HALT 状態に進む。この 状態-HALT（ステップ 199 ）は、ステートマシン 18 について、図２に示されている。
【０１４２】
ステップ 144 の決定プロセスが否定的な結果を返して来た場合には、ステップ 146 に進む。その場合、セキュアデバイス 10 は、入力ミスを連続的に係数するカウンターである 第１の失敗カウンターの数値を増加させる (increment) 。
【０１４３】
ステップ148 は、増加した 第１の失敗カウンターの数値があらかじめ設定されている最大値に到達したか否かを決定する。到達しているならば、処理はステップ 149 に進む。最大値に到達していなければ、図２に示されるようにステートマシンを状態-04に移行させることにより、ステップ 140 の処理に進む。それによって図７の流れ図の処理が繰り返される。
【０１４４】
決定ステップによって、第１の失敗カウンターが最大値に達していると決定された場合には、ステップ 149 に進む。先に述べたように、ステップ 149 はセキュアデバイス 10 を無効化し、次いで処理は図２の状態-HALT（ステップ 199 ）に進む。一旦セキュアデバイス 10 が状態-HALT（ステップ 199 ）に移行したならば、図７に示すように、該セキュアデバイスは状態-HALTの状態を続ける。
【０１４５】
ステップ群 1400 の中のステップ 140 は、実際には図７の全処理の繰り返しに戻ることであり、ユーザーは上記の全ステップを繰り返すために、有効なPIN番号を入力するよう督促される。
【０１４６】
図８は図１に示されている暗号化された情報 14 のバックアップのために、図１に示されているセキュアデバイス 10 のステートマシン 18 によって実行される、図２の状態-05（ステップ 150 ）の流れ図である。バックアップは、図２の状態-04からユーザー 30 のログオンと認証 (authentication) 後、バックアップセンター BUC 40 における保存までの処理である。同様に、図１１は新規アカウントが開設されるか古いアカウントが更新され、状態-01から始まる初回使用処理が実行された時に、バックアップセンター BUC 40 のストレージで個人情報 12（暗号化された情報 14 の形の）をバックアップする際に、セキュアデバイス 10 によって実行される処理の状態-OP-02の流れ図である。
【０１４７】
ステップ 150 によって暗号化された情報をバックアップするプロセスが開始されるが、図２のステップ 140 によるユーザーのログオン及び認証の後に、このステップに進む。セキュアデバイス 10 が状態-05の処理を実行する。セキュアデバイス 10 は、バックアップセンター (BUC) 40 と交信状態にある。
【０１４８】
ステップ 2025 は、先にステート-04の間にユーザー 30 によって入力されたユーザーPIN 15 から、不可逆的に暗号化されたユーザーID 17 を発生させる。図１の暗号デバイスが、この不可逆的暗号化を実行する。
【０１４９】
ステップ 151 はバックアップセンター BUC 40 との通信で、図１における不可逆的に暗号化されたユーザーID 17 及びデバイス ID 11 のセットが、既にあるアカウントについて、バックアップセンター BUC 40 のストレージ中に存在するか否かを問い合わせる。
【０１５０】
ステップ 152 は決定ステップであって、ユーザーID 17 及びデバイスID 11 と、既に図１のアカウント 41、42、43 等の内の一つについて登録されているセットとの間に合致 (match) がなければ、処理はステップ 156 に移され、合致があるならばステップ 153 に移される。
【０１５１】
ユーザーID 17 及びデバイスID 11 によって識別確認されるアカウントが存在しない場合には、ステップ 156 でユーザー 30 にエラーが通報される。次いで処理はステップ 158 に進む。
【０１５２】
ステップ 158 は待機ループを含んでおり、セキュアデバイス 10 の電源遮断、あるいはステートマシンを図２の待機ループ処理から他に動かす命令を待つ。
【０１５３】
ステップ 152 において、バックアップセンター 40 に送信されたバックアップセンター索引セットである暗号化されたユーザーID 17 及びデバイスID 11 が既存のアカウント（図１のアカウント 41、42、43 等の内の一つ）と合致していると決定された場合には、ステップ 153 に進む。ステップ 153 はユーザーPIN 15 を暗号化キーとして用い、個人情報 12 を暗号化（すなわちコード化）して暗号化情報 14 を得る。
【０１５４】
ステップ 154 は、暗号化された情報をバックアップセンター BUC 40 に送信するが、ユーザーPIN 15 はバックアップセンターに送信しない。したがって、暗号化キー（PIN 15 ）は送信されず、傍受されたり、他の原因で漏洩することはない。更に、暗号化キーがバックアップセンターに送信されず、暗号化キー（PIN 15 ）を不可逆的に暗号化されたユーザーID 17 から取り出すこともできないため、仮に傍受されたり他の原因で漏洩しても、暗号化された情報 14 は無意味なままである。
【０１５５】
ステップ 155 は、バックアップセンター BUC 40 とユーザーのセキュアデバイス 10 の間の適当な情報交換プロトコルにより、バックアップセンター BUC 40 が暗号化された情報 14 を受信し、ユニークなデータベース索引セット（好ましい実施態様では、セキュアデバイス 10 のデバイスID 11 及び不可逆的に暗号化されたユーザーID 17 である）によって識別確認される正しいアカウントと関連させて保存することに成功したことを確認する。
【０１５６】
確認がなければステップ 156 に進み、先に述べたように、ユーザー 30 に対しエラーが通報され、処理はステップ 158 に進む。
【０１５７】
ステップ 158 は待機ループを含んでおり、セキュアデバイス 10 の電源遮断、あるいはステートマシンを図２の待機ループ処理から他に動かす命令を待つ。
【０１５８】
バックアップセンター BUC 40 によって、正しいアカウントのために暗号化された情報 14 の受信と適正な保存が行われた旨の確認がなされた場合には、ステップ 157 に進む。したがって、バックアップセンター BUC 40 による個人情報 12 の更新、あるいは新規開設されたアカウントにおける個人情報 12 の開設が完遂されて、ステップ 155 で確認され、コード化された情報のバックアップ完了がユーザー 30 に報告される。その後に、処理はステップ 158 に進む。
【０１５９】
ステップ 158 は待機ループを含んでおり、セキュアデバイス 10 の電源遮断、あるいはステートマシンを図２の待機ループ処理から他に動かす命令を待つ。
【０１６０】
バックアップセンター BUC 40 はコード化された情報 14、ユーザーID 17 及びデバイスID 11 をセキュアデバイス10から受信すると、これらユーザーID 17 及びデバイスID 11 を、バックアップセンター BUC 40 に保存されている索引情報であるユーザーID 17 及びデバイスID 11 のセットの一つと関連付けようと試みる。保存されている組み合わせ索引情報であるユーザーID 17、デバイスID 11 及びコード化された情報 14 は、これら全部で、図１に示されているバックアップセンターにおけるアカウント 41、42、等の一つの記録を構成している。例えばバックアップセンターにおけるストレージ中のアカウントを調べて、ユーザーID 17 の合致はあるがデバイスIDの合致がない場合には、バックアップセンター BUC 40はセキュアデバイス 10 に、合致が存在しない旨を報告する。セキュアデバイス 10 は、その報告を合致決定 (match decision) として受信するが、バックアップセンターは合致したユーザーID 17 に関連している暗号化された情報 14 の改変を一切拒絶する。例えばバックアップセンター BUC 40 におけるストレージ中のアカウントを調べて、ユーザー ID 17 に合致がなくデバイスID 11 に合致がある場合には、バックアップセンター BUC 40 はユーザーのセキュアデバイス 10 に対し、合致がない旨を報告する。セキュアデバイス 10 は、その報告を合致決定として受信するが、バックアップセンターは合致したデバイスID 11に関連している暗号化された情報 14 の改変を一切拒絶する。このように、バックアップセンター 40 は、ユーザーID 17 とデバイスID 11 を、コード化された情報を保存し検索する際の索引として使用する。
【０１６１】
合致がない場合には、セキュアデバイス 10 は例外処理を行って、セキュアデバイスが過去に失われたこと、あるいはそれに類することを示す。また、セキュアデバイス 10 がバックアップセンター 40 に登録されていないデバイスID 11を持つ他のデバイスによる攻撃を受けている可能性がある場合にも、セキュアデバイス 10 は例外処理を行う。セキュアデバイス 10 によって実行されるような例外処理は、プログラムを実行中のパソコン、又はバックアップセンター、又はそれらの組み合わせ、もしくは第三者を含む場合があり、電子メールによる警告がユーザー30に送信され、メッセージが当該セキュアデバイス 10 、バックアップセンター BUC 40 、当該ユーザー、もしくは認証局 50 又は 51 のような当局に送信され、これには不正な、もしくは攻撃を行っている情報端末IDに関する情報を伴う。上記の情報は、停止したデバイスもしくは攻撃を仕掛けたデバイスを追跡するために、後に利用できる。警告に続いて、当該セキュアデバイス10との通信は停止する。
【０１６２】
次に、ユーザー 30 が、例えば盗難あるいは事故によってセキュアデバイス 10 を失い、その後このユーザーが新しいセキュアデバイス 10 を購入し、図２の状態-03に従って更新を実行しようとしている場合を考える。この時、購入された新規のセキュアデバイス10は、工場出荷の時点に相当する状態にある。したがって、この新規セキュアデバイスは、それに特有のデバイスID 11 を持っているが、それはバックアップセンターがユーザーID 17 と対にしていた、失われたセキュアデバイス 10 には対応しない。ユーザー 30 が新規のセキュアデバイス 10 を図１の情報端末 20 、例えばパソコン又は携帯用情報端末 (PDA) に取り付けた時、この新規セキュアデバイス 10 はユーザーに対し、この操作が新規の登録であるか、更新であるかを質問する（図２の状態-01）。質問は、情報端末 20 を通じて行われる。別の実施態様では、情報端末 20 のアプリケーションプログラムが、このオペレーションが新規登録、更新のいずれの操作であるかに関する質問を扱う場合もあり、また質問はバックアップセンター BUC 40 を通じても開始され得るであろう。いずれの場合にも、新規のセキュアデバイス 10 は、この質問をユーザーに伝える。
【０１６３】
ユーザー 30 が上記の質問（図２の状態-01）に応答して、現在の操作は、新規セキュアデバイス10による、状態-03に進むための更新操作であると回答すると、セキュアデバイス 10 と、バックアップセンター BUC 40 又はアプリケーションプログラムが、現在の操作は更新の操作である旨の情報を受信する。
【０１６４】
ユーザー 30 が上記の質問（図２の状態-01）に応答して、現在の操作は、状態-02に進むための、新規アカウント（41、42、43 等）を開設する操作であると回答すると、セキュアデバイス 10 と、バックアップセンター BUC 40 又はアプリケーションプログラムが、現在の操作はバックアップセンター 40 に新規アカウントを開設する操作である旨の情報を受信する。
【０１６５】
図５ａ及び図５ｂに開示されている、バックアップセンター BUC 40 に新規アカウントを開設するための状態-02 か、又は図６ａ及び図６ｂに開示されている、バックアップセンター BUC 40 にある既存アカウントを更新するための状態-03か、いずれかの後に、図１におけるユーザーのセキュアデバイス 10 のステートマシン 18 の処理は、図９に示されているように、初期化のための、図２の状態-06の状態に進む。
【０１６６】
図９は、図１におけるステートマシン 18 の、状態-06の流れ図である。状態-06は初回使用（図６ａにおける古いアカウントの更新、又は図５ａにおける新規アカウントの開設）のプロセス後、もしくは図７に示されている状態-04の、ログオン及び認証の成功後に起こる。ステップ群 1600 はバックアップセンター BUC 40 と交信状態にあるステートマシン 18 によって実行され、傍受は不可能である。ステップ群 1600 は、バックアップセンター BUC 40 と共に、状態-03のアカウント更新もしくはステート-02の新規アカウント開設（いずれも、バックアップセンターにおける索引情報、すなわちデバイスID 11 及びユーザーID 17 を変更もしくは改変している）が、バックアップセンター BUC 40 において正しく実行されたことを確認する。
【０１６７】
状態-02又は状態-03のいずれかに続き、ステップ 160 が状態-06の処理を開始させる。
【０１６８】
ステップ 1610 は、ユーザーPIN 15 からの不可逆的変換により、図１のID発生器 16 を使用して、セキュアデバイス 10 のためにユニークな、暗号化されたユーザーID 17 を発生せしめる。ユーザーPIN 15 の数値は、セキュアデバイス 10 内にある、保護されたストレージ (secure storage) から得られる。
【０１６９】
ステップ 161 は図１に示されているバックアップセンター BUC 40 のデータベースに照会し、ユーザーID 17 及びデバイスID 11 が、アカウント 41、42、43、等の内の一つの中に既に存在するか否かを決定する。
【０１７０】
ステップ 162 は、デバイスID 11 及び発生せしめられたユーザーID 17 が、1個のアカウント 41、42、43、等の相当する情報と合致するか否かを決定する。決定は、バックアップセンター BUC 40 からの応答に基いて行われる。
【０１７１】
ステップ 162 で合致がない場合には、ステップ 163 に進む。例えばエラー報告が、ユーザー 30 及び認証局 CA 50 又は 51 の一方もしくは両方に対して行われる。
【０１７２】
ステップ 162 で合致がある場合には、ステップ 164 に進む。図７のステップ 145 及び 146 の第１の失敗カウンターがリセットされる。
【０１７３】
ステップ 165 は、ログオンタイマーを初期化する。該タイマーは、図５ａのステップ 2012 、図６ａのステップ 2013 、及び図７のステップ 2014 で使用される。ユーザー 30 が、最大許容時間以内に要求されたPIN 15 を入力しない場合、該ログオンタイマーは時間切れとなる。
【０１７４】
ステップ 190 は図１及び図２におけるステートマシン 18 の状態-OPであって、例えば状態-OP-01か状態-OP-02のいずれかとして実行される。
【０１７５】
図１０ａ、１０ｂ及び１０ｃは、状態-OP-01 の単一の流れ図を示す。これは図１に示されているセキュアデバイスのステートマシン 18 によって実行される状態-OP（図２のプロセス190）の操作の一つである。
【０１７６】
ステップ 201 は質問の後にユーザー 30 から来るプロセス入力としてのユーザーPIN 15 を読み取る。この入力はユーザーPIN 15 かキャンセル命令である。ユーザーPIN 15 は複数の認証コード、例えばユーザー名 (PIN) 及びユーザー・パスワード (PIN) の集成によって定義される。
【０１７７】
ステップ 1911 は、プロセスをキャンセルすべきか否かに関する決定を実行する。ユーザー 30 がキャンセル命令を入力していれば、処理プロセスは状態-OPに進む。これはステートマシン 18 における、図２の操作 190 である。
【０１７８】
ステップ 190 は図１及び図２におけるステートマシン 18 の状態-OPであって、状態-OP-01か状態-OP-02のいずれかとして実行される。
【０１７９】
決定ステップ 1911 によって、PIN 15 の有効な入力があると決定された場合には、ステップ 1912 に進む。セキュアデバイス 10 は該入力を、安全に保存されているユーザーPIN 15 と比較する。
【０１８０】
ステップ 1913 は、ステップ 1912 で実行された比較で合致ありという結果が得られたか否かを決定する。
【０１８１】
ステップ 1913 の決定プロセスが、セキュアデバイス 10 内に保存されているPIN 15 とステップ 201 でユーザー 30 により入力されたPIN 15 の比較から、否定的な結果をもたらした場合には、ステップ 1914 に進む。その場合、セキュアデバイス 10 は誤入力を連続的に計数している 第１の失敗カウンターの数値を増加させる。
【０１８２】
ステップ 1915 は、増加した 第１の失敗カウンターの数値があらかじめ設定されている最大値に達したか否かを決定する。最大値に達しているならば、処理はステップ 1910 に進む。最大値に達していなければ、処理は処理ステップ 1916 に進む。
【０１８３】
ステップ 1910 は、処理を状態-OP-01に移し、図１０ａの最初に戻す。
【０１８４】
決定ステップ 1913 が、ユーザーPIN 15 を確認せず、かつステップ 1914 のカウンターがステップ 1915 の最大値を超えたならば、ステップ 1916 に進む。確認がなかったため、セキュアデバイス 10 は無効化される。その後に、処理はステップ 199 の状態-HALTに進む。
【０１８５】
ステップ 199 は図２におけるステートマシン 18 の状態-HALT状態であって、セキュアデバイス 10 を、それ以後機能を持たないように、実質的に無効化する。
【０１８６】
ステップ 1917 は、第１の失敗カウンターを初期値に戻す。
【０１８７】
ステップ 202 は、PIN 15 から不可逆的暗号化によって暗号化されたユーザーID 17 を発生させる。
【０１８８】
ステップ 1918 は、バックアップセンター BUC 40 に対する送信で、不可逆的に暗号化されたユーザーID 17 及びデバイス ID 11 のセットが、既にバックアップセンター BUC 40 のストレージ中に、図１のアカウント 41、42、43、等の内の一つに対応して存在するか否かを照会する。
【０１８９】
ステップ 1919 は決定ステップであって、バックアップセンター BUC 40 の報告で、ユーザーID 17 及びデバイスID 11 と、図１の41、42、43 等のアカウントの一つに既に登録されているセットの間に合致がない場合には、処理はステップ 1920 に移される。合致があれば、処理はステップ 1921 に移される。
【０１９０】
ステップ 1920 は、セキュアデバイス 10 によって実行されるプロセスである。バックアップセンター BUC 40 に、ユーザーID 17 及びデバイスID 11 によって特定されるアカウントが存在しない場合、セキュアデバイス 10 はエラーを報告する。次いで処理はステップ 190 に進み、更に図１及び図２に示されているステートマシンの状態-OPに移行する。
【０１９１】
ステップ 190 は図１及び図２におけるステートマシン 18 の状態-OPであって、例えば状態-OP-01か状態-OP-02のいずれかとして実行される。
【０１９２】
ステップ 1921 は実は1個のステップではなく、プロセスが図１０ａから図１０ｂに、接続点 OPO11 によって流れることを示す。
【０１９３】
ステップ 1922 はユーザーに対し、新しいユーザーPIN 15 を入力するよう要求する。その理由は、以前に状態-00からの初回使用をセットアップする試行で入力されたこのユーザー 30 のPIN 15 が、既に他のアカウント中に存在するか、当該バックアップセンターにはデバイスID 11 と共には存在しないことが見出された故である。
【０１９４】
ステップ 201 がユーザー 30 の入力（要求されたユーザーPIN 15 か、キャンセル命令）を読み取る。ユーザーPIN 15 は複数の認証コード、例えばユーザー名 (PIN) とユーザーのパスワード (PIN) の集成で定義されても良い。
【０１９５】
ステップ 1923 は、更新プロセスをキャンセルするか否かの決定を実行する。ユーザー 30 がキャンセル命令を入力した場合は、処理は状態-OPに進む。これはステートマシン 18 では図２の操作 190 である。
【０１９６】
ステップ 190 は図１及び図２におけるステートマシン 18 の状態-OPであって、例えば状態-OP-01か状態-OP-02のいずれかとして実行される。
【０１９７】
ステップ 1924 は、確認のスタートとして、ユーザーにユーザーPIN 15 を再入力するよう要求する。
【０１９８】
ステップ 201 が、ステップ 1922 において入力されたユーザーPIN 15 を読み取る。ユーザーPIN 15 は複数の認証コード、例えばユーザー名 (PIN) とユーザーのパスワード (PIN) の集成で定義されても良い。
【０１９９】
ステップ 1925 は、例えば更新プロセスをキャンセルするか否かの決定を実行する。ユーザー 30 がキャンセル命令を入力した場合は、処理は状態-OPに進む。これはステートマシン 18 では図２操作 190 である。
【０２００】
ステップ 190 は図１及び図２におけるステートマシン 18 の状態-OPであって、例えば状態-OP-01か状態-OP-02のいずれかとして実行される。
【０２０１】
ユーザーがキャンセルを行っていないとステップ 1925 が決定した場合には、ステップ 1926 に進む。確認があった場合、すなわちステップ 1924 の再入力がステップ 1922 における新規ユーザーPIN 15 の入力と合致する場合には、処理はステップ 1927 を通って図Cに進む。ステップ 1926 の決定によって合致がないことが確定したならば、確認は失敗であり、処理はステップ 1922 に戻る。
【０２０２】
ステップ 1927 は図１０ｂから図１０ｃへのプロセスの流れが接続点 OP012 によって表わされることを示し、1927 の標識番号が付いているが、実際にはステップではない。
【０２０３】
ステップ 202 は、PIN 15 から不可逆的暗号化によって、暗号化されたユーザーID 17 を発生させる。
【０２０４】
ステップ 321 は、上記の暗号化されたユーザーID 17 がバックアップセンター 40 に既に登録されているか否かを、バックアップセンター BUC 40 に照会する。
【０２０５】
ステップ 1928 は、ステップ 321 の照会に対するバックアップセンター BUC 40 の回答に応じて、ステップ 202 で発生せしめられたユーザーID 17 がバックアップセンターのストレージ内で唯一無二であるか否かを決定する。
【０２０６】
ステップ 1929 はユーザーに対し、例えばコンピュータ 20 の表示もしくはオーディオインタフェースを通じて、PIN 15 を変更するよう要求する。
【０２０７】
ステップ 1921 は図１０ｃから図１０ａへのプロセスの流れが接続点 OP011 によって表わされることを示し、1921 の標識番号が付いているが、実際にはステップではない。
【０２０８】
ステップ 1930 は、新しいユーザーPIN 15 を、セキュアデバイス 10 の安全なストレージ内に予備登録する。
【０２０９】
ステップ 322 はバックアップセンター 40 に、新規アカウントの索引情報として暗号化されたユーザーPIN 17 とデバイスID 11 とを登録するよう要求する。
【０２１０】
ステップ 1931 は、ステップ 322 の要求に応じてバックアップセンター 40 により、新しいユーザーPIN 17 がバックアップセンター 40 に登録されたことが確認されたか否かを決定する。
【０２１１】
ステップ 1934 は、予備登録されていたユーザーPINを削除する。
【０２１２】
ステップ 1935 は、確認がない場合に、ユーザー 30 に対してエラーを報告する。次いで処理はステップ 190 に進む。報告は任意の形態で、例えば図１のコンピュータ 20 の普通のモニタスクリーンを使用して、また例えばユーザー宛の電子メールで、伝えることができる。
【０２１３】
ステップ 190 は図１及び図２におけるステートマシン 18 の状態-OPであって、例えば状態-OP-01か状態-OP-02のいずれかとして実行される。
【０２１４】
ステップ 1932 は新しいユーザーPINの登録であるが、これはセキュアデバイス 10 の安全なストレージ内にユーザーPIN 15 として登録しても、また暗号化されたユーザーID 17 の形で登録しても良い。
【０２１５】
ステップ 1933 はユーザー 30 に対し、ユーザーPIN変更処理が思い通りに完了した旨を報告する。報告は任意の形態で、例えば図１のコンピュータ 20 の普通のモニタスクリーンを使用して、また例えばユーザー宛の電子メールで、伝えることができる。
【０２１６】
ステップ 190 は図１及び図２におけるステートマシン 18 の状態-OPであって、例えば状態-OP-01か状態-OP-02のいずれかとして実行される。
【０２１７】
図１１の流れ図は、ステートマシン 18 の状態-OP-02処理を示す。これは状態-OP（図２のプロセス 190 ）の操作の一つである。
【０２１８】
状態-OP-02はステップ 1940 で開始され、例えば新規のアカウントが開設されるか、あるいは古いアカウントの更新が行われる時に、例えば状態-01及び状態-02又は状態-03の初回使用処理の後に、個人情報 12 をバックアップセンターにバックアップするためのものである。
【０２１９】
ステップ 1941 は、セキュアデバイス 10 がロック(個人情報 12 の操作が禁止されている状態)されているか否かの判断を行う。セキュアデバイス 10 がロックされているならば、処理はステップ 190（ステートマシンの状態-OP）、すなわちユーザー 30 が既にログオンしている状態に進む。一例としては、ユーザー 30 が新しいWAN（広域ネットワーク）、例えばインターネット、更に具体的にはWWW（ワールドワイドウェブ）のサイト 90 に登録する場合、1セットの個人情報 12 がセキュアデバイス 10 によって受信される。サインオン情報 12 は、ユーザー名、パスワード、インターネット・ウェブサイトのURLアドレス、電子メールアドレス、及びそれらに類する、種々のウェブサイトにログオンする際に必要となるもので良い。この時のセキュアデバイス 10 と対応する交換サイトの間の通信は暗号で行われるため、個人情報 12 が漏洩することはない。
【０２２０】
ステップ 1941 におけるロックされているか否かの判断は、更新を伴う処理中に個人情報 12 が受信されているか否かを判定する。処理が更新を伴うものであれば、決定ステップ 1941 はステップ 190 の処理に移行してバックアップを停止し、状態-OP（ステップ 190）に戻る。
【０２２１】
セキュアデバイス 10 が、状態-01及び状態-02又は状態-03の初回使用処理の後に新規の個人情報を受信した場合特に個人情報 12 のようなサインオン情報がセキュアデバイス 10 に新規に登録された場合には、セキュアデバイス 10 はバックアップセンター BUC 40に対し、新規個人情報 12 のバックアップを命令する。このバックアップは、セキュアデバイス 10 の判定に従って自動的に行われるか、ユーザー 30 が明確なターゲットを具体的に指示した時に行われることが好ましい。
【０２２２】
ステートマシンが判定ステップ 1941 に従って、セキュアデバイス 10 がロックされていないと決定した時には、ステップ 1942 に進む。ステップ 1941 及びステップ 1942 は、ステートマシン 18は、これらのステップの間の処理の中断を受け入れない故、不可分である。すなわち、好ましい実施態様では、ステップ 1941 からステップ 1942 までの処理を中断することはできない。これは、セマフォ (semaphore) 処理として知られる、排他的な制御技術である。
【０２２３】
個人情報 12 の更新は、もし該更新が処理途中でなければ、ステップ 1942 の不可分の処理によって阻止される。説明されるように、更新の阻止は、ステップ 1950 でそれが解除されるまで継続する。
【０２２４】
ステップ 1942 の実行後、ステップ 202 に進み、セキュアデバイス 10 は、PIN 15 から不可逆的暗号化によって、暗号化されたユーザーID 17 を発生させる。
【０２２５】
ステップ 1943 は、バックアップセンター BUC 40 への送信で、ユーザーID 17 とデバイスID 11 のセットが既にバックアップセンター BUC 40 のストレージ中に存在するか否かを照会する。
【０２２６】
ステップ 1944 は決定ステップであって、図１のアカウント 41、42、43 等の一つに対応して既に登録されているセットに関し、ユーザーID 17 及びデバイスID 11 との間の一致がない場合には、処理はステップ 1948 に移される。合致がある場合には、処理はステップ 1945 に移される。ステップ 1948 は、ユーザーID 17 とデバイスID 11 によって定義されるアカウントが存在しない場合、セキュアデバイスによりエラー報告の形で実行される。エラー報告はユーザー 30 に対し、パソコン 20 のディスプレイを通じて伝えられても、あるいは電子メールによって行われても良い。その後、処理はステップ 1950 に進む。
【０２２７】
ステップ 1950 は、個人情報 12の操作凍結状態を を解除 (release) することによって個人情報 12 の更新を防止し、次いで状態-OP（図２のステップ 190 ）に戻る。
【０２２８】
ステップ 1944 により、バックアップセンターに送信された暗号化されたユーザーID 17 とデバイスID 11 から成る個人情報セットがバックアップセンター BUC 40 に存在するアカウント、すなわち図１におけるアカウント 41、42、43、等の内の一つ）と合致していると決定された場合には、ステップ 1945 に進む。ステップ 1945 は、ユーザーPIN 15 を暗号化キーとして使用し、個人情報を暗号化（コード化）し、暗号化された情報 14 とする。
【０２２９】
ステップ 1946 は新規の暗号化された情報 14 をバックアップセンター 40 に送信するが、ユーザーPIN 15 はバックアップセンターに送信しない。それ故、暗号化キーであるPIN 15 は送信されず、傍受され得ない。更に、暗号化されたキーであるPIN 15 がバックアップセンターに送信されないため、暗号化された情報 14 はバックアップセンターでは無意味であるし、またユーザーID 17 は不可逆的に暗号化されているので、暗号化キー、すなわちPIN 15 をユーザーID 17 から取り出すこともできない。
【０２３０】
ステップ 1947 は、適当な情報交換のプロトコルを用いて、バックアップセンターが暗号化された情報 14 を受信し、ユニークな情報セット（好ましい実施態様においては、セキュアデバイス 11 のデバイスID 11 及び不可逆的に暗号化されたユーザーID 17 である）によって定義される正しいアカウントと関連させて保存することに成功した旨を確認する。
【０２３１】
ステップ 1947 で確認がない場合は、ステップ 1948 に進む。先に述べたように、ユーザー 30 にエラーが報告され、処理はステップ 1950 に進む。
【０２３２】
ステップ 1950 は、個人情報 12 を解放 (release) することによって個人情報 12 の更新を防止し、次いで状態-OP（図２のステップ 190 ）に戻る。
【０２３３】
ステップ 1947 が、バックアップセンターにより暗号化情報 14 が受信され、正しいアカウントに適切に保存された旨の確認がなされたと決定した場合には、ステップ 1949 に進む。バックアップセンター BUC 40におけるコード化情報14のバックアップの完了がユーザー 30 に報告され、処理はステップ 1950 に進む。
【０２３４】
ステップ 1950 は、個人情報 12 を解放することによって個人情報 12 の更新を防止する。したがって、ステップ 1949 でバックアップの完了がユーザーに報告された後に、個人情報 12 の更新が許される。その後、ステートマシンは状態-OP（図２のステップ 190 ）に戻る。
【０２３５】
セキュアデバイス 10 はカード、特にスマートカードのようなメモリカードでも良い。セキュアデバイスは、複数種類の小売店舗で購入できる小型で、かつ高価でないデバイスであることが好ましい。
【０２３６】
ユーザー 30 によって行われる種々の入力に関しては、ユーザーが要求された情報の提供に時間をかけ過ぎた場合に処理をキャンセルするタイムアウト時間 (time-out period) を設けても良い。また、エラーカウンターがあって、ユーザー 30 が何らかの確認もしくは要求どおりの情報を得るための試行回数の最大値が設定してあり、試行回数がそれを超過するとシステムはシャットダウンされ、エラーモードに入ってもよい。更に、あるアカウントの保留状態が所定の時間内に解消されなければ、該アカウントは抹消されるか、その他の仕方で無効化されてもよい。
【０２３７】
セキュアデバイス 10 は、ユーザーPIN 15 を、外部からのアクセスが不可能な領域に持久記憶させて保存することが好ましい。この領域は、現在周知のタンパープルーフ（改ざん等のいたずらができない）メモリである。あるいは、既に述べたように、PIN 15 を実行中の特定のプロセスのために一時的にのみ保存して、その後に消去し、以後必要になった場合にはPIN 15 の再入力を要求しても良い。セキュアデバイス 10 におけるユーザーPIN 15 の一時記憶もしくはアクセス不可能の持久記憶の代替法として、ユーザーPIN 15 がセキュアデバイス 10 内に持久記憶され、セキュアデバイス 10 の電源が切られた時に自動的に消去されても良い。
【０２３８】
一般的な保存及びバックアップ保存の安全に係る本発明のおおまかな特徴によれば、離れた場所にある他のストレージをバックアップするバックアップセンターのストレージは、パソコンのハードディスク、あるいはコンピュータの恒久的性又は一時的ストレージをバックアップする当該コンピュータ内もしくは離れた場所のストレージであってもよい。例えば、バックアップは万能ストレージ領域として誰でもアクセスできるインターネットの中央サイト、フラッシュメモリ又はスマートカードのようなチップメモリカード、好ましくはユーザーインタフェースソフトウェアを持つPDAのストレージ、あるいは本発明に従ってドキュメントが暗号化され保存時に安全確保されるような、単なる保存場所といったものでも良い。
【０２３９】
セキュアデバイス 10 は、外部の請求代行者 (billing agency) によってセットされ、ユーザー 30 が該デバイスの使用に対し適切な料金支払いを行わなかった場合には自動的にキャンセルするか、少なくとも一時的に該デバイスを無効化するためのフィールドフラグ (field flag) を持つ。これは、セキュアデバイス 10 が失われる（当該ユーザー 30による以後の使用がなくなる、すなわち当該ユーザー 30 による使用が、少なくとも当該ユーザー 30 からの料金支払いによって請求口座が通用するようになるまでは皆無になるという意味で）ことの、もう一つの例である。図１における個々のアカウント 41、42、43、等に所属するフィールド 411、421、431、等を利用して勘定情報、例えば当該アカウントで行われた現在までの支払い状況を表示するフラグを含ませることができる。
【０２４０】
通信の例をいくつか、ユーザー 30 、ユーザーのセキュアデバイス 10 、代理実行者、認証局 CA 及びバックアップセンター BUC に関して概説してきた。実際に用いられる通信方法は、データの通信もしくは伝送に普遍的に使用されている種々のものであり得る。セキュアデバイス 10 とバックアップセンター 40 は、IPSec（アイピーセキュリティ）、SSL（セキュアソケットレイヤー）、又はその他の暗号通信プロトコルによって互いに交信することができる。そのような場合、セキュアデバイス 10 はセキュアデバイス 10 内でプロトコル処理によりIPSec 、SSLのようなプロトコル処理機能、又は他の暗号通信プロトコルを実行するが、これらは一般に行われているものである故、詳細に示すことはしない。この故に、たとえそれらの通信が情報端末 20 を通じて実行されても、該情報端末 20 上で動いているいかなるプログラムも、通信の内容を知ることはできない。同様に、通信経路内で情報端末 20 とバックアップセンター 40 の中間に位置するいかなる機器も、通信の内容を知ることはできない。通信の内容は暗号データとして入って来て、バックアップセンターのサーバーに達するまで暗号データとして流れるためである。それ故ユーザーのセキュアデバイス 10 は、例えばインターネットカフェの情報端末 20 にでも、送信されるデータを危険にさらすことなく接続できる。
【０２４１】
したがって、本発明は、コンピュータ読み取りが可能な情報やデータの安全な保存に一般的に使用することができる。
【０２４２】
本実施態様を実行するためのコンピュータ読み取り可能なコードを担持する媒体とは、本発明に従って実行のためにプロセッサへの供給に関与する任意の媒体を指す。例には、不揮発性又は揮発性の媒体が含まれる。不揮発性の媒体には、例えば、下記のものが含まれる：光記録用又は磁気記録用のフレキシブルディスク又はテープ及びハードディスク、より具体的には、CD-ROM 、CDRW及びDVD；及びパンチカード、紙テープ、光学的マークシート又はその他の、鑽孔パターンを持つ任意の物理的媒体。一般的には、本発明でしようされるコンピュータ読み取り可能な媒体には、一時的であれより持久的であれ、コンピュータがコードを読み取り得るような物理的固定状態 (physical fixation) であれば、いかなるものも含まれる。
【０２４３】
セキュアデバイス 10 とコンピュータ 20 又は図示されていないPDA又はノート型パソコン、もしくは他の携帯用デバイスの間の伝送カップリングには、無線周波数 (RF) 及び赤外線 (IR) データ通信中に発生せしめられるような音波、光波もしくは電磁波を送れるような同軸ケーブル、銅線、光ファイバ (fiber optics) が含まれる。
【０２４４】
セキュリティ上の理由から、また個人情報 12 がサイトへのアクセスを提供するような情報を含む場合には、かかる個人情報 12 を定期的かつ自動的に変更したり、ユーザーの任意選択によって変更することができる。その場合、該個人情報 12 はユーザーPINによってコード化され、コード化された情報14はバックアップセンターに定期的に、もしくは任意選択によって保存される。セキュアデバイス 10 が使用される場合には、個人情報を必ずしも変更する必要はない。それ故、そのような個人情報 12 が自動的もしくは手動的に変更された場合には、変更された情報はバックアップセンターに保存される。
【０２４５】
本発明を多数の実施形態、実装 、特有の利点を持つ改変や変種との関係で記述してきたが、本発明はそれらに限定されるべきものではなく、種々の明らかな改変やそれと同等の配置で、すべて冒頭の特許請求範囲の精神と範囲に従う、一般的な特徴に従うものを網羅するものである。
【図面の簡単な説明】
【０２４６】
【図１】本発明のシステム全体の模式図である。
【図２】図１のステートマシン (state machine) における種々の代表的状態の間における処理の流れを示す例示的な状態遷移図である。
【図３】ユーザーのセキュアデバイスの電源スイッチを入れるための、図２における状態-00の処理の流れ図である。
【図４】最初にセキュアデバイスを使用する際の、図２における状態-01の処理の流れ図である。
【図５ａ】代理実行者におけるユーザーの新しいアカウントを開設するための、図２における状態-02の処理の流れ図である。
【図５ｂ】図５ａの処理中における、ユーザー、ユーザーのセキュアデバイス、認証局(certification authority) 及びバックアップセンターの間で行われるいくつかの代表的通信の、同期タイミング図 (synchronized timing chart) である。
【図６ａ】アカウントの個人情報を更新するための、図２における状態-03の処理の流れ図である。
【図６ｂ】図６ａの処理中における、ユーザー、ユーザーのセキュアデバイス、認証局及びバックアップセンターの間で行われる通信の同期タイミング図である。
【図７】ユーザーが接続手続（ログオン）を行った際にユーザーの認証を行う、図２における状態-04の処理の流れ図である。
【図８】バックアップセンターにおけるユーザーの個人情報バックアップのための、図２における状態-05の流れ図である。
【図９】初期化のための、図２における状態-06の流れ図である。
【図１０ａ】図２における状態-00の一プロセス、特にユーザーPINを変更するプロセスの流れ図である。
【図１０ｂ】図２における状態-00の一プロセス、特にユーザーPINを変更するプロセスの流れ図（続き）である。
【図１０ｃ】図２における状態-00の一プロセス、特にユーザーPINを変更するプロセスの流れ図（続き）である。
【図１１】図１のバックアップセンターBUCに暗号化された情報を保存するための、図２における状態-00のもう一つのプロセスにおける処理の流れ図である。
【符号の説明】
【０２４７】
１０：セキュアデバイス、１１：デバイスID、１２：個人情報、１４：コード化された情報、１５：ユーザーPIN、１７：ユーザーID、４０：バックアップセンター。
【図１】
0004477625.tif 000002
【図２】
0004477625.tif 000003
【図３】
0004477625.tif 000004
【図４】
0004477625.tif 000005
【図５ａ】
0004477625.tif 000006
【図５ｂ】
0004477625.tif 000007
【図６ａ】
0004477625.tif 000008
【図６ｂ】
0004477625.tif 000009
【図７】
0004477625.tif 000010
【図８】
0004477625.tif 000011
【図９】
0004477625.tif 000012
【図１０ａ】
0004477625.tif 000013
【図１０ｂ】
0004477625.tif 000014
【図１０ｃ】
0004477625.tif 000015
【図１１】
0004477625.tif 000016