(57)【特許請求の範囲】
【請求項１】
英数字データを入力するためのキーパッドと、キー信号を生成するための関連キーパッドマトリックスとを有する端末であって、スマートカードと通信することができる当該端末を使用して、前記スマートカードに前記英数字データを供給する方法において、
前記キー信号を生成するために、走査シーケンスを使用していかなるプレスされたキーに対しても前記キーパッドマトリックスを走査するステップを含み、前記走査シーケンスが前記スマートカードによって決定され、新たなセットのデータが前記キーパッドに入力されるたびに、前記スマートカードが前記走査シーケンスを変更する方法。
【請求項２】
前記スマートカードが、乱数発生器を使用して各走査シーケンスを決定する、請求項１に記載の方法。
【請求項３】
いかなるキー信号も前記スマートカードのみを通される、請求項１又は２の何れか一項に記載の方法。
【請求項４】
いかなるキー信号も前記端末のセキュア記憶素子に記憶される、請求項１又は２の何れか一項に記載の方法。
【請求項５】
前記端末がユーザ制御及び／又はスマートカード制御の下で入力されるプロテクトモードにある場合、前記走査シーケンスが前記スマートカードによってのみ決定される、請求項１乃至４の何れか一項に記載の方法。
【請求項６】
スマートカードを入れるための端末であって、
前記スマートカードと通信するためのスマートカードポートと、英数字コードを入力するためのキーボードと、前記英数字コードの文字を入力するとキー信号を生成する前記キーボードに関連するキーボードマトリックスと、を有し、
前記スマートカードによって決定される走査シーケンスを使用して、いかなるプレスされるキーに対しても前記キーボードを走査する手段を更に有し、
新たなセットのデータが前記キーパッドに入力されるたびに、前記スマートカードにより前記走査シーケンスが変更される端末。
【請求項７】
任意のキー信号を前記スマートカードに直接送る手段を更に有する、請求項６に記載の端末。
【請求項８】
テレビジョンセット、セットトップボックス、パーソナルデジタルアシスタント、ゲームコンソール、遠隔制御装置、モバイル電話若しくは固定電話又はＤＶＤプレーヤで用いられる、請求項６又は７に記載の端末。
【請求項９】
スマートカード及び請求項６乃至８の何れか一項に記載の端末を有する、加入者サービス用のシステム。
【請求項１０】
有料エンターテイメントサービス、好ましくは、有料テレビジョンサービスのためのシステムである、請求項９に記載のシステム。
【請求項１１】
銀行サービスのためのシステムである、請求項９に記載のシステム。
【請求項１２】
英数字データを入力するためのキーパッドと、キー信号を生成するための関連キーパッドマトリックスとを有する端末と通信するスマートカードにおいて、
当該スマートカードが、前記キー信号を生成するために、いかなるプレスされたキーに対して前記キーパッドマトリックスを走査するための走査シーケンスを決定し、且つ新たなセットのデータが前記キーパッドに入力されるたびに、前記走査シーケンスを変更するスマートカード。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュア（secure，暗号化）カード端末及びこのカード端末の使用に関する。より具体的には、本発明は、カード端末を使用してスマートカードに英数字データを供給する方法と、このような端末が使用される加入者サービス用のシステムと、に関する。
【背景技術】
【０００２】
或るサービスへのアクセスを得るためにコードが入力されなければならないキーパッドを備える端末を使用することは、よく知られている。一般に、このようなコードは、ユーザを識別するべきＰＩＮ（Personal Identification Number，個人識別番号）として使用される４桁コードである。このＰＩＮコードは、更に、端末に挿入されているスマートカードへのアクセスを得るために使用され得る。このアクセスは認定ユーザのみに制限されなければならないので、このコードは秘密に保たれなければならない。しかしながら、端末へのソフトウェア攻撃により、ユーザによって入力されたコードを検出し、記憶することができることが分かっている。これが極めて望ましくないことは明らかである。なぜならば、これは攻撃者が、可能性として銀行サービスを含む制限されたサービスへのアクセスを不正に得ることを可能にするからである。
【０００３】
端末のキーパッド（又はキーボード）は、通常、一つの導体が各行に対応する行導体のセットと、一つの導体が各列に対応する列導体のセットと、から構成される関連キーパッドマトリックスをもつ。個別のキーがプレスされる場合、電気的接続がそのキーの行導体と列導体との間に形成され、このキーパッドマトリックスが「キープレス（”keypressed”）」信号を生成する。その場合、このプレスされた個別のキーは、キーパッドマトリックスの行及び列を走査し、どの行及び列に特定の信号が存在するのかを決定することによって、識別される。このような特定の信号は、キーをプレスすることにより行導体と列導体との間に作られた電気的接触によって、もたらされる。
【０００４】
行及び列のこの走査は、通常、キーボードコントローラによって実施され、このコントローラは、この目的のために、走査プロセス中に行番号及び列番号を生成するカウンタを備えていてもよい。キーボードコントローラが端末の一部であり、端末上でランするアプリケーションによってアクセスされるので、疑わしい（compromised）端末は、キーシーケンス及び関連入力データを決定し、これらを第三者に伝送するか、又は端末の所有者によって承認されない使用に関するデータを保持する（retain，留めておく）ことができる。
【０００５】
米国特許第６，０５６，１９３号明細書は、一体的なスマートカードリーダを備えるコンピュータキーボードを開示する。このキーボードは、パーソナルコンピュータに接続される。ＰＩＮ入力モードにおいて、スイッチは、キーボードコントローラからキーを切断し、これらのキーをセキュリティモジュール、即ち、専用プロセッサに接続する。このセキュリティモジュールが、キーボードマトリックスを制御するので、いかなるキープレスもキーボードコントローラによって検出されない。その代わりに、このマトリックスの走査ラインが、セキュリティモジュールの制御の下でこのセキュリティモジュールにリダイレクトされる（redirect，出力先を変更される）。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
この既知の装置は、そのセキュリティ機能のために追加の専用プロセッサ、即ち、セキュリティモジュールを必要とするという欠点をもつ。この追加のプロセッサがキーボードのコスト及びサイズの双方を増すことは明らかである。それに加えて、更なる追加の構成部品であるスイッチも必要とされる。
【０００７】
本発明の目的は、従来技術のこれら及び他の問題を克服し、端末がデータを傍受するリスクを大幅に排除する、スマートカードと関連付けられた端末にデータを入力する方法を提供することにある。
【課題を解決するための手段】
【０００８】
従って、本発明は、英数字データを入力するためのキーパッドと、キー信号を生成するための関連キーパッドマトリックスとを有する端末であって、スマートカードと通信することができる当該端末を使用して、スマートカードに英数字データを供給する方法において、キー信号を生成するために、走査シーケンスを使用していかなるプレスされるキーに対してもキーパッドマトリックスを走査するステップを含み、この走査シーケンスがスマートカードによって決定される方法を提供する。
【０００９】
キーパッドマトリックスの走査シーケンスが、端末によってではなくスマートカードによって決定されるので、この端末は走査シーケンスの情報をもっておらず、従って、どのキーがプレスされているのかを決定することはできない。
【００１０】
好ましい実施形態において、走査シーケンスは、新たなセットのデータがキーパッドに入力されるたびに変更される。単一のセットのデータは、例えば、一般に４桁から成るＰＩＮコードによって構成されるが、３、５、６又は任意の他の適切な桁数から成っていてもよい。新たな走査シーケンスが、各々のユーザセッションに対して、即ち、新たなユーザがキーパッドを使用するたびに、更に利用されることもできる。
【００１１】
スマートカードによって決定される走査シーケンスが、端末によって決定される走査シーケンスとは異なることが好ましいが、このことは必ずしも必要ではないことが理解されるであろう。走査シーケンスが繰り返し変更され、端末が走査シーケンスの情報をもっていない限り、その場合には、上記シーケンスは、端末によって使用されるシーケンスと同じでもよい。
【００１２】
好ましくは、スマートカードが、乱数発生器を使用して各々の走査シーケンスを決定する。これにより、疑わしい端末が、走査シーケンスをモニタし、スマートカードによって生成された任意の過去の走査シーケンス又は今後生成されるであろう任意の将来の走査シーケンスを予測するために用いられることができないことを確実にする。
【００１３】
好ましくは、いかなるキー信号もスマートカードのみを通される。即ち、キー信号は端末の回路には伝えられない。このことは、セキュリティの追加のレベルを提供する。但し、代替の実施形態では、任意のキー信号が端末のセキュア記憶素子に記憶されてもよい。このセキュア記憶素子は、例えば、暗号キーによりプロテクトされている制限されるアクセスをもつレジスタであり得る。このような実施形態では、スマートカードがセキュア記憶素子のキー信号を記憶し、この秘密（secret，シークレット）キーを端末の或る信頼できるソフトウェアアプリケーションにのみ供給することができる。更にセキュリティを高めるために、キー信号は、暗号化された形態でセキュア記憶素子に記憶され得る。
【００１４】
上記の説明から、本発明の方法では、端末自体（の制御回路）を排除するために、スマートカードがキーパッドへの直接アクセスをもつことが明らかである。キーパッドマトリックスは、端末がキーパッドアクションを観察するのを防止するために、端末がプロテクトモード又は「ＰＩＮモード」に置かれる場合、端末の回路からシールド（shield，遮蔽）される。このシールドは、キーパッドマトリックスから端末回路を電気的に切断することによって達成されてもよい。
【００１５】
プロテクトモード又は「ＰＩＮモード」は、例えば、スマートカードの存在の検出時に、又は特定のキー、例えば、専用の「プロテクトモードキー」をプレスする場合に、アクティブな状態にされ得る。特定のキーをプレスすることは、ＰＩＮ入力ルーチン又はデータをキーパッドに入力することを含んだ何らかの他のシーケンスのアクションを始動することを要求する可能性がある。端末の回路は、セキュリティの理由のためハードウェアスイッチの方が好ましいが、電子的若しくは機械的ハードウェアスイッチ又はソフトウェアスイッチを使用して、キーパッドマトリックスから切断されることができる。
【００１６】
従って、走査シーケンスは、端末がユーザ制御及び／又はスマートカード制御の下で入力されるプロテクトモードにある場合、前記スマートカードによってのみ決定されることが好ましい。
【００１７】
更に、本発明は、スマートカードを入れるための端末であって、スマートカードと通信するためのスマートカードポートと、英数字コードを入力するためのキーボードと、英数字コードの文字を入力する際にキー信号を生成するキーボードに関連付けられるキーボードマトリックスと、を有し、スマートカードによって決定される走査シーケンスを使用して、いかなるプレスされたキーに対してもキーボードを走査する手段を更に有する端末を供給する。この端末は、あらゆるキー信号をスマートカードに直接送る手段を更に有する。このようにして、端末がキー信号の情報を得ることが避けられる。
【００１８】
本発明は、更に、加入者サービス用のシステムであって、少なくとも一つの端末及び少なくとも一つのスマートカードを有し、上記に規定された方法を利用するために配されるシステムを提供する。このようなシステムは、有料テレビジョンサービスのような有料エンターテイメントサービス、又は銀行サービスを提供してもよい。本発明は、更に、上記に規定された方法及びシステムに使用するためのスマートカードを供給する。
【００１９】
本発明は、更に、添付の図面に示される例示的な実施形態を参照して、以下に説明される。
【発明を実施するための最良の形態】
【００２０】
図１に限定されない実施例として単に示される端末１は、キーボード（キーパッド）４、スクリーン６及びカードスロット３を有している。このタイプの端末は、例えば、銀行トランザクション（transaction，取り引き）用の預け払い機（teller machine，テラーマシン）として使用されてもよい。代替例として、この端末は、テレビジョンセット、セットトップボックス、パーソナルデジタルアシスタント（ＰＤＡ）、ゲームコンソール、遠隔制御装置、モバイル（携帯）電話、ランドライン（固定）電話、ＤＶＤプレーヤ又はディスプレイ（スクリーン）及びキーボードをもつ任意の類似装置から構成されるか、又はこのような装置の一部であり得る。ディスプレイ及び／又はキーボードは、端末ハウジングに収容されなくてもよく、ワイヤードインタフェース又はワイヤレスインタフェースによって端末に接続されてもよい。
【００２１】
ＣＲＴスクリーン、ＬＣＤスクリーン又は類似のディスプレイ装置であり得るスクリーン６は、ユーザにインストラクションを与え、キーパッド４の使用に関するフィードバックを供給するように役立つ。スマートカードは、スマートカードトランザクションのためにカードスロット３に挿入され得る。この目的のために、端末１はスマートカードリーダ（図３の参照符号７）を備えている。このスマートカードリーダ７は、スロット３に挿入されるカードを受け付ける（accept，アクセプトする）ことができるように、端末ハウジング内部に置かれ得る。後でより詳細に説明されるが、本発明によれば、端末１は、キーパッドマトリックスの走査が、端末１自体の制御の下ではなく、スマートカードの制御の下で実施されるように構成されている。
【００２２】
例示的なスマートカードが、図２に示される。一般に、スマートカード２は、集積回路２１が埋め込まれる基板を有している。印刷された又はエンボス加工されたしるし（indicia，証印）２２は、カード所有者及び／又はカード発行者を識別することができる。集積回路２１は、端末１のスマートカードリーダとの通信を可能にする接触（部）を備えている。この集積回路は、順に、プログラム及びアプリケーションデータを記憶するためのメモリ及びプロセッサを含むマイクロコンピュータを有していてもよい。
【００２３】
集積回路２１を有する図２のスマートカード２は、更に、内蔵キーボードコントローラを備えている。このキーボードコントローラは、別個の集積回路によって構成されてもよいが、好ましくは、集積回路２１に収容される。キーボードコントローラの機能は、より詳細に図１の端末１の一部を示す図３を参照して、より詳細に説明される。
【００２４】
図３において限定されない実施例によって単に示されるキーパッド４は、３個ずつのキーから成る４行に配された１２個のキーを有している。キーパッドマトリックス５は、キーパッド４のどのキーをプレスしても、行の一つが、マトリックスの列の一つと電気的に接触するように配されている。この電気的接触は、「キープレス」信号が生成される原因となる。このキープレス信号は、キーパッド回路５１及び５２によって検出され、スマートカードリーダ７によって（可能性として図３に示されない適切なスマートカードリーダインタフェースを介して）スマートカード２にわたされる。このキープレス信号は、単にあるキーがプレスされていることを示すだけであり、どのキーがプレスされているかを示してはいないので、キーパッドマトリックス５は、その後、どの列及びどの行が、キープレス信号をもたらした電気的な接触に関わっているのかを決定するために走査される。電気的接触に関わり、その結果、特別な信号値を生成する、行及び列の組み合わせによって、キーが識別される。
【００２５】
通常の端末では、端末回路は、一般に固定される走査シーケンスを決定する。キーパッド回路５１及び５２は、例えば、通常の端末のカウンタによって具現化されてもよく、各カウンタが、固定走査シーケンス１−２−３（列回路５１）及び１−２−３−４（行回路５２）をそれぞれステップスルー（step through）する。これらの走査シーケンスが固定され、端末によって決定されるので、プレスされる実際のキーは、端末回路に知られている。端末への不正なセキュリティ攻撃、例えば、ソフトウェア攻撃の場合、攻撃者は、どのキーがプレスされているのかを分かっている可能性がある。このことは、特に、上記のキープレスが、ＰＩＮコードのようなシークレットコード（secret code，暗号）を同時に形成する場合、極めて望ましくないことは明らかである。
【００２６】
しかし、本発明によれば、キーパッドマトリックスの行及び列は、スマートカード２によって決定される走査シーケンスを使用して走査される。即ち、スマートカード２は、上記の回路５１及び回路５２を介してキーボードマトリックスにわたされる走査シーケンスを生成する。これらの走査シーケンスは、好ましくは、ランダムであり、暗号の目的のためにほとんどのスマートカードにある乱数発生器（random number generator）を使用して発生されてもよい。それゆえ、列走査シーケンス１−２−３，３−２−１，１−３−２，２−３−１などが、スマートカードによって決定されるのにつれて交互に起こり得る。
【００２７】
スマートカードによって生成される走査シーケンスは、端末回路に伝えられないので、端末はプレスされる実際のキーの情報をもっていない。この目的のために、端末回路は、好ましくは、２つの異なった動作モードをもつ。一方の動作モードは、キーボードマトリックスが端末回路によって読み取られることができないプロテクトモードであり、他方の動作モードは、キーボードマトリックスが読み取られることができる非プロテクトモードである。端末は、スマートカードの制御の下で又はユーザ制御の下で、各モード間を切り換えることができる。有利な実施形態では、端末が、例えば、スイッチ又は図１のスマートカードスロットに設けられる他のセンサを使用して、スマートカードの存在を検出し、他方の端末回路からキーパッド回路５１及び５２を切断する。特殊目的のＬＥＤ又は専用スクリーン部のようなインジケータが、電流モードをユーザに示すために使用されてもよい。
【００２８】
有利な実施形態では、キーパッド回路５１及び５２は、単一の論理「１」がその中に挿入されるシフトレジスタによって構成される。「１」が挿入される箇所は、スマートカードによって決定される上述のプロテクトモードにある。シフトレジスタが、キーボードマトリックスに対するものを除いて出力（部）をもっていないので、他方の端末回路は、シフトレジスタのコンテンツを決定することができず、それゆえ、キーシーケンスを決定することもできない。
【００２９】
上記の用語「スマートカードリーダ」は、一般に、スマートカードにより双方向通信を可能にする装置に対して用いられ、従って、スマートカードから情報を読み取ることに制限されず、情報をスマートカードに書き込むこともできるということに留意されたい。更に、この明細書では、上記の用語「キーパッド及びキーボード」が互いに交換可能なものとして用いられていることにも留意されたい。一般に、キーボードはキーパッドより多くのキーを含むが、キーの実際の数は本発明にとって重要ではない。
【００３０】
上記の実施例では、端末１が銀行の預け払い機として使用されていたけれども、本発明はそれに限定されるものではなく、更に、有料テレビ用のセットトップボックス、スマートカードを用いるパーソナルコンピュータ、ＰＤＡ（パーソナルデジタルアシスタント）及び他の装置に適用されてもよい。更に、本発明は、キーパッドの画像を生成するディスプレイ及びこのキーパッド画像のアイテムを示すことができるポインタを使用するＰＤＡのためのインタフェース及びセキュア画像に適用されてもよい。このような実施形態では、ポインタの位置に関する走査は、図３を参照して上記に説明されたキーボードマトリックスの走査と同じように実施され得る。更に、キーパッド画像は、好ましくは、スマートカードによって又はスマートカードの制御の下で生成される。これは、キーボードのレイアウトに変化をつけることを可能にし、それゆえ、キーボードに入力されるデータが、適切な観察装置を使用することによって、又は視覚的にユーザアクションを観察している第三者によって認識されるリスクを減らす。
【００３１】
上記の用語「スマートカード」は、集積回路が埋め込まれる実質的にカード形状の基板に限定されるものではなく、集積回路又は類似の装置を含み、電気的接触を介して又はワイヤレスに端末と通信することができる、任意の形状又はサイズのトークンのような機能的な同等物を包含することをも意味することに留意されたい。従って、上記の用語「スマートカード」は、更に、ＧＳＭモバイル電話機のＳＩＭ（Subscriber Identification Module：加入者識別モジュール）カードを包含してもよい。
【００３２】
本発明は、スマートカード端末がキーパッドに入力されるデータの情報を、たとえこれらのデータがスマートカードに前もって仕向けられている場合でさえ、得ることができるという洞察に基づく。本発明は、キーパッドに入力されるデータが、端末によってではなくスマートカードによって決定される標準的でない走査シーケンスを使用することによって、端末から「隠される（hidden）」ことができるという他の洞察にも基づく。 
【００３３】
本明細書に使用されるいかなる用語も、本発明の適用範囲を制限するものとして解釈されるべきではないことに留意されたい。特に、動詞「有する(comprise(s)及びcomprising)」は、具体的に述べられていないどんな構成要素でも除外されることを意味するものではない。単一の（回路）素子は、複数の（回路）素子又はそれらの同等物と置き換えられてもよい。
【００３４】
当業者であれば、本発明は、上記に例証される実施形態に制限されるものではなく、多くの変更形態及び追加部が、添付の請求項に規定される本発明の適用範囲から逸脱することなく作られてもよいことを理解するであろう。 
【図面の簡単な説明】
【００３５】
【図１】本発明によるスマートカード端末を概略的に示す図である。
【図２】本発明に利用され得るスマートカードを概略的に示す図である。
【図３】本発明によるキーパッド装置を概略的に示す図である。
【図１】
0004532476.tif 000002
【図２】
0004532476.tif 000003
【図３】
0004532476.tif 000004