(57)【要約】【課題】  データ内容の漏洩防止や完全性を保証してデータのロードを行うことが可能なデータロード方法、プログラム及び端末装置を提供すること。【解決手段】  端末装置４は、端末管理者１から公開鍵ＰＫ１を取得する（ステップＳ１０２）。更に、端末管理者１から、秘密鍵ＳＫ１による署名ＳＧ１が付された公開鍵ＰＫ２を取得し（ステップＳ１０４）、公開鍵ＰＫ１で検証する（ステップＳ４０２）。また、サービス提供者２から、秘密鍵ＳＫ２による署名ＳＧ２が付されたプログラムＰＧを取得し（ステップＳ２０５）、署名ＳＧ２を公開鍵ＰＫ２を用いて検証し（ステップＳ４０４）、プログラムＰＧを取得する（ステップＳ４０５）。【選択図】  図１
2007067890.tif 000002
【特許請求の範囲】
【請求項１】
第一の公開鍵を取得するステップと、
前記第一の公開鍵に対応した第一の秘密鍵による第一の署名が付された第二の公開鍵を取得するステップと、
前記第一の署名を前記第一の公開鍵を用いて検証し、前記第二の公開鍵を取得するステップと、
前記第二の公開鍵に対応した第二の秘密鍵による第二の署名が付されたデータを取得するステップと、
前記第二の署名を前記第二の公開鍵を用いて検証し、前記データを取得するステップと
を有するデータロード方法。
【請求項２】
請求項１に記載のデータロード方法であって、
前記第一の公開鍵及び前記第一の署名が付された第二の公開鍵は、前記データをロードする端末装置の管理者から提供され、前記第二の署名が付されたデータは前記データの提供者から提供されるデータロード方法。
【請求項３】
コンピュータに、請求項１又は２に記載の各ステップを実行させるためのデータロードプログラム。
【請求項４】
請求項３に記載のデータロードプログラムを実行する端末装置。
【請求項５】
請求項４に記載の端末装置であって、前記ロードするデータが決済を行うプログラムである端末装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末装置等にプログラム等のデータをロードするデータロード方法、プログラム及び端末装置に関する。
【背景技術】
【０００２】
決済端末等の端末装置にプログラムをロードする際には、不正なプログラムの書き込み等を防止する必要がある。例えば、特許文献１には、更新プログラムから署名データを抽出し、署名データが有効であるときに更新プログラムをダウンロードすることで、不正プログラムの書き込みを防止し、装置に対する不正行為を防止する決済端末が記載されている。
【０００３】
また、制限されたリソースへのアクセス制御方法として、例えば、特許文献２には、デジタル署名を用いたプログラムによりリソースへのアクセスを制御する方法が記載されている。この方法では、リソースへのアクセスを、コードの一次所有者とは別の関係者である二次所有者に委任する場合、コードは、二次所有者の署名をチェックする暗号キーに一次所有者の署名を関連付けた委任証明と、この委任証明に関連付けた二次所有者の署名を有することで、リソースへのアクセス制御装置は、二次所有者にリソースへのアクセスを許可することができる。
【０００４】
【特許文献１】特開２００３−１４０７６１号公報
【特許文献２】特開２００３−５２４２５２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ところで、決済端末等の端末装置において、例えば、複数の異なる業者等のサービス提供者によるアプリケーションに対応させる場合、そのアプリケーション用のプログラム等のデータを提供するデータ提供者と、そのデータを端末装置にロードする端末管理者とが異なる場合が想定される。
【０００６】
しかしながら、上記特許文献１に記載された決済端末にあっては、実際にプログラム等のデータをロードする業者に渡しておく必要があるので、データの内容がデータの作成者又は提供者以外に閲覧可能な状態となってしまうといった事情があり、また、提供するデータの完全性を作成者が保証することができないといった事情があった。特に、ロードするデータが、プログラムや秘密情報である暗号鍵等である場合、それぞれ別々にロードしなければ安全性を確保できないという事情もあった。
【０００７】
また、上記特許文献２に記載されたアクセス制御方法にあっては、署名と関連付けられたコードに対するリソースのアクセスを許可するものであり、端末装置等にデータ提供者と端末管理者とが異なる場合の端末装置へのデータのロードについては考慮されていない。
【０００８】
本発明は、上記の事情に鑑みてなされたものであって、データ内容の漏洩防止や完全性を保証してデータのロードを行うことが可能なデータロード方法、プログラム及び端末装置を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明は、第１に、第一の公開鍵を取得するステップと、前記第一の公開鍵に対応した第一の秘密鍵による第一の署名が付された第二の公開鍵を取得するステップと、前記第一の署名を前記第一の公開鍵を用いて検証し、前記第二の公開鍵を取得するステップと、前記第二の公開鍵に対応した第二の秘密鍵による第二の署名が付されたデータを取得するステップと、前記第二の署名を前記第二の公開鍵を用いて検証し、前記データを取得するステップとを有するデータロード方法が提供されるものである。
【００１０】
この方法により、端末の管理者以外の者がデータをロードすることが可能となり、データ提供者からのデータについて、内容の漏洩防止や完全性を保証することができる。
【００１１】
本発明は、第２に、上記第１に記載のデータロード方法であって、前記第一の公開鍵及び前記第一の署名が付された第二の公開鍵は、前記データをロードする端末装置の管理者から提供され、前記第二の署名が付されたデータは前記データの提供者から提供される。
【００１２】
この方法により、データ提供者がデータをロードすることによりデータの内容の漏洩を防止し、データに付された署名を公開鍵を用いて検証することにより、ロードされるデータの完全性を保証することができる。
【００１３】
本発明は、第３に、コンピュータに、上記第１又は第２に記載の各ステップを実行させるためのデータロードプログラムが提供されるものである。
【００１４】
このプログラムにより、端末の管理者以外の者がデータをロードすることが可能となり、データ提供者からのデータについて、内容の漏洩防止や完全性を保証することができる。
【００１５】
本発明は、第４に、上記第３に記載のデータロードプログラムを実行する演算処理器を備える端末装置が提供されるものである。
【００１６】
この構成により、端末装置の管理者以外の者がデータをロードすることが可能となり、データ提供者からのデータについて、内容の漏洩防止や完全性を保証することができる。
【００１７】
本発明は、第５に、上記第４に記載の端末装置であって、前記ロードするデータが決済を行うプログラムである。
【００１８】
この構成により、決済処理手段を安全に自動販売機等にロードすることができる。
【発明の効果】
【００１９】
本発明によれば、データ内容の漏洩防止や完全性を保証してデータのロードを行うことが可能なデータロード方法、プログラム及び端末装置を提供することができる。
【発明を実施するための最良の形態】
【００２０】
図１は本発明の実施形態に係るデータロード方法の概略を示す説明図であり、図２は本発明の実施形態に係るデータロード方法の手順を示すシーケンス図である。
【００２１】
図１及び図２に示すように、本実施形態では、端末装置４に対してプログラムを含むデータ全般の設定及び更新等を管理する端末管理者１と、端末装置４を用いてサービスを提供するサービス提供者２とが存在する。
【００２２】
本実施形態では、端末装置４に対してデータを提供するデータ提供者の一例として、サービス提供者２である場合について説明する。更に、端末装置４へ提供する端末装置４へロードするデータの一例としてプログラムである場合について説明する。
【００２３】
また、以下の説明において、公開鍵暗号化方式における対をなす暗号鍵を、公開鍵及びその公開鍵に対応した秘密鍵という。ある公開鍵を用いて暗号化されたデータは、その公開鍵に対応した秘密鍵を用いて復号化することが可能なものである。また、ある秘密鍵を用いて電子署名（以下、署名という）が付されたデータは、その秘密鍵に対応した公開鍵を用いて署名の検証を行うことが可能なものである。
【００２４】
以下、本実施形態のデータロード方法について説明する。サービス提供者２は、端末装置４にてサービスを提供するためのプログラムＰＧを生成する（ステップＳ２０１）。また、公開鍵ＰＫ２と、公開鍵ＰＫ２に対応した秘密鍵ＳＫ２を生成し（ステップＳ２０２）、生成された公開鍵ＰＫ２を端末管理者１に公開する（ステップＳ２０３）。
【００２５】
また、プログラムＰＧに、署名ＳＧ２を、秘密鍵ＳＫ２を用いて付す（ステップＳ２０４）。その後、署名ＳＧ２が付されたプログラムＰＧを端末装置４に転送する（ステップＳ２０５）。
【００２６】
端末管理者１は、公開鍵ＰＫ１と、公開鍵ＰＫ１に対応した秘密鍵ＳＫ１とを生成し（ステップＳ１０１）、公開鍵ＰＫ１を端末装置４に転送する（ステップＳ１０２）。そして、サービス提供者によりステップＳ２０３にて公開された公開鍵ＰＫ２に、署名ＳＧ１を、秘密鍵ＳＫ１を用いて付す（ステップＳ１０３）。その後、署名ＳＧ１が付された公開鍵ＰＫ２を端末装置４に転送する（ステップＳ１０４）。
【００２７】
端末装置４は、端末管理者１からステップＳ１０２にて転送された公開鍵ＰＫ１を取得し、実装する（ステップＳ４０１）。そして、端末管理者１からステップＳ１０４にて転送された、署名ＳＧ１が付された公開鍵ＰＫ２を取得すると、ステップＳ４０２にて実装した公開鍵ＰＫ１を用いて署名ＳＧ１を検証する（ステップＳ４０２）。そして、検証結果、署名ＳＧ１の有効性を確認されると、公開鍵ＰＫ２を実装する（ステップＳ４０３）。
【００２８】
そして、ステップＳ２０５にて転送された、署名ＳＧ２が付されたプログラムＰＧを取得すると、ステップＳ４０３にて実装した公開鍵ＰＫ２で、署名ＳＧ２を検証する（ステップＳ４０４）。この検証の結果、署名ＳＧ２の有効性が確認されると、プログラムＰＧを取得し（ステップＳ４０５）、ロード用のプログラムを用いてロードする（ステップＳ４０６）。このようにして、端末装置４へのプログラムＰＧのロードが完了する。
【００２９】
このような本実施形態のデータロード方法によれば、サービス提供者２等、端末管理者１とは異なる者がプログラムＰＧのロード作業を行ったとしても、プログラムＰＧに付された署名ＳＧ２を検証する公開鍵ＰＫ２を、端末管理者１の署名ＳＧ１が付された状態から取得するので、端末装置４への不正なロードを防止することができると共に、ロードするプログラムＰＧの完全性をサービス提供者２自身で保証することができる。この結果、サービス提供者２は、外部にプログラムＰＧを渡すことなく端末装置４へのデータのロードを行うことができるので、プログラムＰＧの内容が外部に漏洩することを防止することができる。
【００３０】
図３は本発明の実施形態に係るデータロードシステムの一例を示すブロック図である。図３に示すように、この例では、端末装置を管理する端末管理者１の一例としての自動販売機会社１ａと、サービス提供者の例としての決済提供者２ａ，２ｂとが存在する。自動販売機会社１ａは管理サーバ１０を、決済提供者２ａ，２ｂはそれぞれ管理サーバ２０ａ，２０ｂを有し、自動販売機４０を介して行われるサービスの一例として決済サービスが行われる。また、管理サーバ１０，２０ａ，２０ｂ及び自動販売機４０は、通信回線５０を介して互いに接続されている。なお、図３の例では、端末装置４の一例として、自動販売機４０を用いて説明しているが、ＰＯＳ（Point Of Sales）端末や電子マネーを用いた決済端末、クレジットカードによる決済端末等、種々の端末装置が適用可能である。例えば、スーパーマーケットのＰＯＳ端末に適用した場合は、図３の自動販売機会社１ａがスーパーマーケットの販売、管理を行うサーバがあるセンター、決済提供者２ａがクレジット会社等、自動販売機４０が各レジに設置されるＰＯＳ端末に相当する。同様に、航空会社のポイントサービス等のように、ポイントを商品、金銭に交換するシステムの場合は、図３の自動販売機会社１ａが航空会社ポイントセンター、自動販売機４０が航空会社カウンターの端末あるいは自動発券装置、決済提供者２ａがポイント処理センター、決済提供者２ｂがクレジット会社に相当する。
【００３１】
管理サーバ１０は、データ入出力部１１と、鍵管理部１２と、データ管理部１３と、制御部１４とを備える。データ入出力部１１は、通信回線５０や、自動販売機４０、外部記憶媒体等に対してデータ通信との入出力が可能な構成を有している。
【００３２】
鍵管理部１２は、公開鍵ＰＫ１及び公開鍵ＰＫ１に対応する秘密鍵ＳＫ１を管理する。なお、これらの公開鍵ＰＫ１及び秘密鍵ＳＫ１は、鍵管理部１２により生成されたものであってもよいし、外部で生成されたものがデータ入出力部１１を介して取得したものであってもよい。
【００３３】
データ管理部１３は、決済提供者２ａの管理サーバ２０ａから取得した公開鍵ＰＫ２Ａに、制御部１４にて秘密鍵ＳＫ１を用いて署名ＳＧ１Ａが付されたものや、決済提供者２ｂの管理サーバ２０ｂから取得した公開鍵ＰＫ２Ｂに、制御部１４にて秘密鍵ＳＫ１を用いて署名ＳＧ１Ｂが付されたものを管理する。
【００３４】
制御部１４は、管理サーバ１０全体の動作を制御するものであり、所定のプログラムによって動作するプロセッサを主体に構成される。例えば、決済提供者２ａ，２ｂ等からデータ入出力部１１を介して取得したデータを鍵管理部１２やデータ管理部１３に管理したり、秘密鍵ＳＫ１を用いたデータの署名付与の処理を行ったりする。
【００３５】
管理サーバ２０ａは、データ入出力部２１ａと、鍵管理部２２ａと、データ管理部２３ａと、制御部２４ａとを備える。データ入出力部２１ａは、通信回線５０や外部記憶媒体等に対してデータ通信との入出力が可能な構成を有している。
【００３６】
鍵管理部２２ａは、公開鍵ＰＫ２Ａ及び公開鍵ＰＫ２Ａに対応する秘密鍵ＳＫ２Ａを管理する。なお、これらの公開鍵ＰＫ２Ａ及び秘密鍵ＳＫ２Ａは、鍵管理部２２ａにより生成されたものであってもよいし、外部で生成されたものがデータ入出力部２１ａを介して取得したものであってもよい。
【００３７】
データ管理部２３ａは、プログラムＰＧＡに、秘密鍵ＳＫ２Ａを用いて署名ＳＧ２Ａが付されたものを管理する。なお、プログラムＰＧＡは、管理サーバ２０ａにおいて生成されたものであってもよいし、外部で生成されたものがデータ入出力部２１ａを介して取得したものであってもよい。
【００３８】
制御部２４ａは、管理サーバ２０ａ全体の動作を制御するものであり、所定のプログラムによって動作するプロセッサを主体に構成される。例えば、データ入出力部１１を介して管理サーバ１０へ公開鍵ＰＫ２Ａを公開したり、秘密鍵ＳＫ２Ａを用いたデータの署名付与の処理を行ったりする。
【００３９】
管理サーバ２０ｂは、データ入出力部２１ｂと、鍵管理部２２ｂと、データ管理部２３ｂと、制御部２４ｂとを備える。データ入出力部２１ｂは、通信回線５０や外部記憶媒体等に対してデータ通信との入出力が可能な構成を有している。
【００４０】
鍵管理部２２ｂは、公開鍵ＰＫ２Ｂ及び公開鍵ＰＫ２Ｂに対応する秘密鍵ＳＫ２Ｂを管理する。なお、これらの公開鍵ＰＫ２Ｂ及び秘密鍵ＳＫ２Ｂは、鍵管理部２２ｂにより生成されたものであってもよいし、外部で生成されたものがデータ入出力部２１ｂを介して取得したものであってもよい。
【００４１】
データ管理部２３ｂは、プログラムＰＧＢに、秘密鍵ＳＫ２Ｂを用いて署名ＳＧ２Ｂが付されたものを管理する。なお、プログラムＰＧＢは、管理サーバ２０ｂにおいて生成されたものであってもよいし、外部で生成されたものがデータ入出力部２１ｂを介して取得したものであってもよい。
【００４２】
制御部２４ｂは、管理サーバ２０ｂ全体の動作を制御するものであり、所定のプログラムによって動作するプロセッサを主体に構成される。例えば、データ入出力部２１ｂを介して管理サーバ１０へ公開鍵ＰＫ２Ｂを公開したり、秘密鍵ＳＫ２Ｂを用いたデータの署名付与の処理を行ったりする。
【００４３】
自動販売機４０は、非接触ＩＣリーダ／ライタ（以下、非接触ＩＣＲ／Ｗという）４１と、データ入出力部４２と、鍵管理部４３と、アプリケーション管理部（以下、ＡＰ管理部という）４４と、制御部４５とを備える。
【００４４】
非接触ＩＣＲ／Ｗ４１は、電子マネー等が記憶された非接触ＩＣカードに対して非接触通信によりデータ通信を行う。例えば、電子マネー決済を行うための非接触ＩＣカードからのデータの読み出し等を行うものである。なお、非接触ＩＣＲ／Ｗ４１に限られず、磁気カード等、決済処理用のインターフェースの一例であれば、他のインターフェースであってもよい。
【００４５】
データ入出力部４２は、通信回線５０や、管理サーバ１０、携帯型電子装置７０、外部記憶媒体等に対してデータ通信との入出力が可能な構成を有している。
【００４６】
鍵管理部４３は、管理サーバ１０から取得した公開鍵ＰＫ１、及び管理サーバ２０ａ，２０ｂから取得した公開鍵ＰＫ２Ａ，ＰＫ２Ｂを管理する。なお、公開鍵ＰＫ２Ａ及びＰＫ２Ｂは、管理サーバ１０からの署名ＳＧ１Ａ，ＳＧ１Ｂが付されたものが制御部４５により検証が行われて取得される。
【００４７】
ＡＰ管理部４４は、取得したプログラムをロードするためのロードプログラムＬＰＧや、管理サーバ２０ａ，２０ｂから取得したプログラムＰＧ２Ａ，ＰＧ２Ｂを管理する。
【００４８】
制御部４５は、自動販売機４０全体の動作を制御するものであり、所定のプログラムによって動作するプロセッサを主体に構成される。例えば、管理サーバ１０，２０ａ，２０ｂ等からデータ入出力部４２を介して取得した署名の検証処理を行い、鍵管理部４３に管理する。また、ＡＰ管理部４４により管理されているプログラムＰＧ２Ａ，ＰＧ２Ｂ等により、非接触ＩＣＲ／Ｗ４１を介した非接触ＩＣカードを用いた決済処理等を行う。
【００４９】
ここで、自動販売機４０への公開鍵ＰＫ１、及び署名ＳＧ１Ａ，ＳＧ１Ｂが付された公開鍵ＰＫ２Ａ，ＰＫ２Ｂのデータの転送は、例えば、自動販売機会社１ａにおいて、データ入出力部１１及びデータ入出力部４２を直接接続して行われる。また、署名ＳＧ２Ａが付されたプログラムＰＧＡや署名ＳＧ２Ｂが付されたプログラムＰＧＢのデータの転送は、自動販売機４０を所定の設置場所に設置後、通信回線５０を介したり、転送するデータを記憶した記憶部７１を有する携帯型電子装置７０を用いて行われる。
【００５０】
なお、全てのデータは、自動販売機４０の設置後に通信回線５０経由又は携帯型電子装置７０経由で転送されてもよい。携帯型電子装置７０は、少なくとも記憶機能を有していればよく、メモリカード等の記憶媒体でもよい。
【００５１】
このような本発明の実施形態によれば、端末管理者とは異なる者がデータのロードや更新等を行った場合においても、データ提供者により提供されたデータの完全性を保証することができる。この結果、データ提供者は、外部にデータを渡すことなく端末装置へのデータのロードを行うことができるので、データの内容が外部に漏洩することを防止し、秘匿性を高めることができる。
【００５２】
また、プログラム等のデータのロードと同時に、暗号鍵などの秘密情報を全て書き込めるので、簡素な手続きにより運用開始に至るまで作業を行うことができる。データ提供者がプログラム等のデータの転送作業を行うことで、サービスの運用を開始することができるので、例えば、端末管理者によるプログラムのロード後に、ロードしたプログラムを用いた実際のサービス運用のためのデータ提供者による認証等を行うといった作業が不要である。
【産業上の利用可能性】
【００５３】
本発明のデータロード方法、プログラム及び端末装置は、データ内容の漏洩防止や完全性を保証してデータのロードを行うことが可能な効果を有し、決済端末装置へのプログラムロード方法等に有用である。
【図面の簡単な説明】
【００５４】
【図１】本発明の実施形態に係るデータロード方法の概略を示す説明図
【図２】本発明の実施形態に係るデータロード方法の手順を示すシーケンス図
【図３】本発明の実施形態に係るデータロードシステムの一例を示すブロック図
【符号の説明】
【００５５】
１  端末管理者
１ａ  自動販売機会社
２  サービス提供者
２ａ，２ｂ  決済提供者
４  端末装置
１０，２０ａ，２０ｂ  管理サーバ
１１，２１ａ，２１ｂ，４２  データ入出力部
１２，２２ａ，２２ｂ，４３  鍵管理部
１３，２３ａ，２３ｂ  データ管理部
１４，２４ａ，２４ｂ，４５  制御部
４０  自動販売機
４１  非接触ＩＣリーダ／ライタ
４４  アプリケーション管理部
５０  通信網
７０  携帯型電子装置
７１  記憶部
【図１】
2007067890.tif 000003
【図２】
2007067890.tif 000004
【図３】
2007067890.tif 000005