(57)【特許請求の範囲】
【請求項１】
インターフェースデバイスを介してホストシステムと通信を行うＩＣカードであって、インターフェースデバイスとＩＣカードの間の通信内容を通信ログとして記録するログ記録領域と、
一つの通信セッションの開始より当該セッションの終了までの通信ログを、前記ログ記録領域に記録するログ記録手段と、
前回の通信が通常の処理であるか、不正な処理であるかの何れかの状態を記録する不正検知フラグと、
予め当該ＩＣカード内にプログラムした不正処理検知パターンと、
前記通信セッションにおいて正当な使用か否かを前記不正処理検知パターンと対照することにより常に監視する監視手段と、
前記監視手段により不正な処理を検知した場合、前記不正検知フラグに不正な処理を示すキャラクタをセットし、更に当該ＩＣカードの使用を禁止する、ロック手段と、
前記不正検知フラグに不正な処理を示すキャラクタがセットされている場合、次回の当該ＩＣカード使用時に、ホストシステムに不正な処理が行われたことを通知する通知手段と、
前記通知が行われた後の最初のホストシステムからのコマンドが当該ＩＣカードの使用を解禁するアンロックコマンドであるときに限り、ホストシステムからのログ読み出しコマンドにより、前記ログ記録領域に記録した通信ログをホストシステムに送信するログ送信手段と、
前回当該ＩＣカードに通常の処理が行われたか、または前回当該ＩＣカードに不正な処理が行われた通信ログを前記ログ送信手段が送信した場合に、前回の通信ログを消去するログ消去手段と、
を備えることを特徴とするＩＣカード。
【請求項２】
請求項１記載のＩＣカードであって、前記通知手段が、スペシフィックバイトに不正処理警告キャラクタをセットしたアンサートゥーリセット信号である、ことを特徴とするＩＣカード。
【請求項３】
請求項１または２に記載のＩＣカードであって、カードアンロック用およびログ記録領域読み出し用の暗証番号、を備えることを特徴とするＩＣカード。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＩＣカードに関し、特に、ＩＣカードとインターフェースデバイス間の通信ログの記録および記録した通信ログに基づく不正処理の検知および通知に関するものである。
【０００２】
【従来の技術】
近年、キャッシュカードやクレジットカードなどの金融機関向けカード、定期券やプリペイド乗車券などの交通機関向けカード、社員証や学生証などのＩＤカードなど、生活の様々な場面でＩＣカードを利用する機会が増えている。
【０００３】
係るＩＣカードは、１）カード自体が物理的に複製することが非常に困難である、２）カード外部とデータをやり取りする際には、データを暗号化する、３）アクセス権が設定できる、４）カードとインターフェースデバイス間で相互に正当か確認する認証機能を備えるなど、磁気カードよりも格段に安全性は高いが、万全ではなく、悪意を持つ人間が暗号化の鍵や暗証番号を入手してＩＣカード内のデータを改竄する可能性はゼロではない。
【０００４】
したがって、実際のＩＣカードの利用においては、ＩＣカードとインターフェースデバイス間の通信ログを、インターフェースデバイスまたはホストシステムに記録することが一般的である。
【０００５】
しかしながら、従来においては、以下の問題がある。すなわち、ＩＣカードが改竄された場合、インターフェースデバイスに記録した通信ログだけでは、改竄の有無は判断できるが、どのようなプロセス（コマンド）により改竄を受けたかを解析することは難しい。
【０００６】
また、安全性を更に高めるために、より複雑な暗号処理、指紋や声紋、虹彩などのバイオメトリクスによる認証などを組み込むことも可能であるが、高速のＣＰＵや通信回線が必要になり、ＩＣカードやリーダライタも含めたシステムのコストが高くなる。
【０００７】
【発明が解決しようとする課題】
本発明は上述の問題点に鑑みてなされたものであり、コストアップにつながる特別な装置や部品を導入することなく、ＩＣカードに改竄を加えるような不正処理があったことを検知し、どのように改竄がなされたかを解析可能なＩＣカードを提供することを目的とする。
【０００８】
【課題を解決するための手段】
上記目的を達成するために、本発明の第１の態様に係るＩＣカードは、インターフェースデバイスを介してホストシステムと通信を行うＩＣカードであって、インターフェースデバイスとＩＣカードの間の通信内容を通信ログとして記録するログ記録領域と、
一つの通信セッションの開始より当該セッションの終了までの通信ログを、前記ログ記録領域に記録するログ記録手段と、
前回の通信が通常の処理であるか、不正な処理であるかの何れかの状態を記録する不正検知フラグと、
予め当該ＩＣカード内にプログラムした不正処理検知パターンと、
前記通信セッションにおいて正当な使用か否かを前記不正処理検知パターンと対照することにより常に監視する監視手段と、
前記監視手段により不正な処理を検知した場合、前記不正検知フラグに不正な処理を示すキャラクタをセットし、更に当該ＩＣカードの使用を禁止する、ロック手段と、
前記不正検知フラグに不正な処理を示すキャラクタがセットされている場合、次回の当該ＩＣカード使用時に、ホストシステムに不正な処理が行われたことを通知する通知手段と、
前記通知が行われた後の最初のホストシステムからのコマンドが当該ＩＣカードの使用を解禁するアンロックコマンドであるときに限り、ホストシステムからのログ読み出しコマンドにより、前記ログ記録領域に記録した通信ログをホストシステムに送信するログ送信手段と、
前回当該ＩＣカードに通常の処理が行われたか、または前回当該ＩＣカードに不正な処理が行われた通信ログを前記ログ送信手段が送信した場合に、前回の通信ログを消去するログ消去手段と、
を備えたものである。
【０００９】
本発明の第２の態様に係るＩＣカードは、上述の第１の態様に係るＩＣカードにおいて、前記通知手段が、スペシフィックバイトに不正処理警告キャラクタをセットしたアンサートゥーリセット信号で構成するようにしたものである。
【００１０】
本発明の第３の態様に係るＩＣカードは、上述の第１または２の態様に係るＩＣカードにおいて、カードアンロック用およびログ記録領域読み出し用の暗証番号、を備えたものである。
【００１９】
【発明の実施の形態】
以下、本発明を図示する実施形態に基づいて説明する。
図１は、本発明のＩＣカードの一実施例の概要構成図である。
【００２０】
ＩＣカード１は、通信を制御するＩ／Ｏ制御部２、ＣＰＵ３、不揮発メモリであるＥＥＰＲＯＭ４、処理プログラムを記録しているＲＯＭ７、一時的なデータを記録するＲＡＭ１５を備えており、インターフェースデバイス１６を介してホストシステム１７と通信を行う。
【００２１】
不揮発メモリであるＥＥＰＲＯＭ４には、ＩＣカード１とインターフェースデバイス１６の間の通信内容を記録するログ記録領域５、通常の処理であるか、不正な処理であるかの何れかの状態を記録する不正検知フラグ６を設けている。
【００２２】
また、ＲＯＭ７には、不正処理検知パターン８、ログ記録手段９、監視手段１０、通知手段１１、ログ消去手段１２、ロック手段１３、ログ送信手段１４などの処理プログラムを記録する。
【００２３】
不正処理検知パターン８は、例えば、１）指定回数以上誤って暗証番号を入力する、２）禁止されている処理の要求があるなど、一つあるいは複数の検知すべき不正な処理のパターンを予めＲＯＭ７にプログラムしたものである。図１のように、監視手段１０とは別にプログラムすることも、監視手段１０の中にプログラムすることも可能である。
【００２４】
ログ記録手段９は、一つの通信セッションの開始より当該セクションの終了まで、ＩＣカード１とインターフェースデバイス１６の通信内容（コマンドおよびその返信）をログ記録領域５へ記録する。
【００２５】
監視手段１０は、上述の通信セッションにおいて、コマンドを不正処理検知パターン８と対照することにより、不正な処理が行われないかどうかを常に監視する。
【００２６】
通知手段１１は、実際には、ホストシステム１７からのリセットコマンドに対して、ＩＣカード１が基本情報を通知するためのアンサートゥリセット信号（以下、ＡＴＲと略す）である。ＡＴＲは、ＩＳＯ７８１６により規定されており、ＩＣカード１は、ＡＴＲの中のスペシフィックバイトの一つを利用して、ホストシステム１７に不正処理を通知する。
【００２７】
ログ消去手段１２は、前回ＩＣカード１に通常の処理が行われた場合、または前回ＩＣカード１に不正な処理が行われたことを検知して、当該の通信ログを入手した場合に、前回の通信ログを消去する。
【００２８】
したがって、何らかの理由で前回ＩＣカード１に不正な処理が行われたことが検知できない場合などは、ログ消去手段１２を動作させないことにより、当該の通信ログを保持する。
【００２９】
ロック手段１３は、監視手段１０が不正な処理を検知した場合、不正検知フラグに不正な処理を示すキャラクタをセットし、正当なアンロックコマンドおよびアンロック用暗証番号が確認できるまでＩＣカード１を使用が禁止されたロック状態にする。
【００３０】
ログ送信手段１４は、ホストシステム１７からのログ読み出しコマンドおよびログ読み出し用暗証番号を受信した場合、ログ記録領域５に記録した通信ログをホストシステム１７に送信する。
【００３１】
ＣＰＵ３は、ＥＥＰＲＯＭ４内のログ記録領域５と不正検知フラグ６を参照しながら、ＲＯＭ７に記録している様々な処理プログラムを実行する。この時、必要に応じてＲＡＭ１５を使用する。
【００３２】
まず、一般的なＩＣカードにおける通信開始処理について説明する。ＩＣカードとホストシステムが通信を開始する際は、ＩＣカードは最初に、インターフェースデバイスを介して、ホストシステムからリセットコマンドを受信する。
【００３３】
リセットコマンドを受信したＩＣカードは、カードの基本情報をホストシステムに通知するために、ＩＳＯ７８１６により規定されているアンサートゥリセット信号を返送する。
【００３４】
次に、図２を用いて、本発明のＩＣカード１の通信開始処理について、詳細に説明する。ＩＣカード１は、一般のＩＣカードと同様に、インターフェースデバイス１６を介してホストシステム１７からリセットコマンドを受信する（ステップＳ１）。
【００３５】
ＩＣカード１とホストシステム１７の間の通信は、常に、Ｉ／Ｏ制御部２およびインターフェースデバイス１６を介して行うので、以降の説明においては、Ｉ／Ｏ制御部２およびインターフェースデバイス１６の記述は省略する。
【００３６】
ＩＣカード１は、ホストシステム１７からのリセットコマンドに対してＡＴＲを返送するが、この時不正検知フラグ６を参照し、不正検知フラグ６が不正処理が行われた旨を示す「ＯＮ」の場合は、不正通知ＡＴＲとして、例えば１６進数表記で「ＦＦ」などの不正処理警告キャラクタをシステムの独自利用のためにＡＴＲの中に予約されているスペシフィックバイトにセットし、返信する（ステップＳ２）。
【００３７】
不正処理警告キャラクタを返信した後、ホストシステム１７からロック解除のアンロックコマンドおよびアンロック用の暗証番号を受信した場合、受信した暗証番号が正しことを確認した後、ログ送信手段１４は、前回の通信ログをログ記録領域５からホストシステム１７へ送信する（ステップＳ３）。
【００３８】
アンロックコマンドを受信しなかった場合、およびアンロック用の暗証番号が不正な場合は、異常終了処理を行い、通信を終了する（ステップＳ４）。
【００３９】
不正検知フラグ６を参照し、不正検知フラグ６が通常の処理が行われた旨を示す「ＯＦＦ」ならば、通常ＡＴＲとして、例えば１６進数表記で「００」などの通常のキャラクタをＡＴＲのスペシフィックバイトにセットし、返信する（ステップＳ５）。
【００４０】
前回の通信において、通常の処理が行われた場合、およびロックを解除して前回の通信ログをホストシステム１７へ送信した場合は、ログ消去手段１２は、ＥＥＰＲＯＭ４の使用可能領域を増やすために、前回の通信ログを消去する（ステップＳ６）。
【００４１】
図３は、ＩＣカード１が使用するＡＴＲの概略構成を示す図である。例えば、図３において矢印で示すＡＴＲのスペシフィックバイトＴＡ２に、不正検知フラグ６が「ＯＮ」の場合は「ＦＦ」を、「ＯＦＦ」の場合は「００」をセットするのである。
【００４２】
通信開始時に必ず返信を行うＡＴＲのスペシフィックバイトに、以前の通信における不正処理の有無により異なるキャラクタをセットすることにより、ＡＴＲを受信したホストシステム１７は、当該ＩＣカード１が不正処理されたカードか否かを知ることが可能になる。
【００４３】
次に、通常の通信中の動作を、図４に示す。通信開始処理のあと、ログ記録手段９は、今回の通信セッションの通信ログ記録を開始する（ステップＳ１１）。
【００４４】
ログ記録手段９は、通信セッションの開始から終了するまでの間、ＩＣカード１とインターフェースデバイス１６の間で行われる全ての通信内容を、ログ記録領域５に記録する（ステップＳ１２）。
【００４５】
また、通信セッション中は、監視手段１０も常に稼動しており、不正処理検知パターン８を参照しながら、不正処理がないかどうか監視する（ステップＳ１３からＳ１５）。
【００４６】
監視手段１０が不正処理検知パターン８に該当する処理を検知した場合、ロック手段１３は、不正検知フラグ６を「ＯＮ」にし、同時に、通信セッションを異常終了させ、ＩＣカード１をロックする（ステップＳ１６およびＳ１７）。
【００４７】
以降では、図５から図７を用いて、１）前回の通信セッションが正常に終了した場合、２）前回の通信セッションが異常終了し、今回の通信においてアンロックが失敗した場合、３）前回の通信セッションが異常終了し、今回の通信においてアンロックが成功した場合、の各々について、より具体的に説明する。
【００４８】
前回の通信セッションが正常に終了した場合の動作を図５に示す。まず、ホストシステム１７は、リセットコマンドを送信する。
【００４９】
リセットコマンドを受信したＩＣカード１は、不正検知フラグ６を参照する。不正検知フラグ６が「ＯＦＦ」であるから、通知手段１１は通常ＡＴＲを返信する。ログ消去手段１２は、ログ記録領域５の前回の通信ログを消去する。
【００５０】
通常ＡＴＲを受信したホストシステム１７は、前回の通信セッションにおいてＩＣカード１に対する不正な処理がないことを確認できるので、通常の通信、すなわち通常のコマンドの送信およびその返信のやり取りを開始する。
【００５１】
ログ記録手段９は、通常の通信の開始において、今回の通信ログの記録を開始し、同時に、監視手段１０は、ＩＣカード１に対して不正な処理が行われないかどうかの監視を開始する。通信セッションが終了するまで、通信ログの記録と通信の監視を繰り返す。
【００５２】
次に、前回の通信セッションが異常終了し、今回の通信においてアンロックが失敗した場合の動作を図６に示す。まず、ホストシステム１７は、リセットコマンドを送信する。
【００５３】
リセットコマンドを受信したＩＣカード１は、不正検知フラグ６を参照する。不正検知フラグが「ＯＮ」であるから、通知手段１１は、不正通知ＡＴＲを返信する。ログ消去手段１２を起動せずに前回の通信ログを保持して、監視手段１０だけを稼動させる。
【００５４】
不正通知ＡＴＲを受信したホストシステム１７が、何らかの理由で、前回の通信セッションにおいてＩＣカード１に対する不正な処理が行われたことを確認できない場合、通常のコマンドの送信を開始する。ホストシステム１７自体がハッキングされている場合、不正な意図を持つ者が作成したＩＣカードの解析や変造のためのシステムなどの不正検知フラグに対応していないホストシステム１７にＩＣカード１がセットされた場合も、通常のコマンド送信を開始する。
【００５５】
不正通知ＡＴＲ返信後、ホストシステム１７からの最初のコマンドが通常のコマンドであり、ロックを解除するアンロックコマンドではないため、エラー信号を送信し、通信を異常終了させる。
【００５６】
ＩＣカード１は、ロックしたままであるため、これ以上処理を行うことができない。更に、前回の通信ログを残してあるので、ＩＣカード１を回収し、不正処理の内容をコマンドレベルで解析することが可能になる。
【００５７】
次に、前回の通信セッションが異常終了し、今回の通信においてアンロックが成功した場合の動作を図７に示す。まず、ホストシステム１７は、リセットコマンドを送信する。
【００５８】
リセットコマンドを受信したＩＣカード１は、不正検知フラグ６を参照する。不正検知フラグが「ＯＮ」であるから、通知手段１１は、不正通知ＡＴＲを返信する。ログ消去手段１２を起動せずに前回の通信ログを保持して、監視手段１０だけを稼動させる。
【００５９】
不正通知ＡＴＲを受信したホストシステム１７が、前回の通信セッションにおいてＩＣカード１に対する不正な処理が行われたことを確認した場合、ロックを解除するためのアンロックコマンドおよびアンロック用暗証番号を送信する。
【００６０】
ホストシステム１７からアンロックコマンドおよびアンロック用暗証番号を受信したＩＣカード１は、暗証番号が正しいことを確認した上で、ＩＣカード１のロックを解除し、アンロックしたことをホストシステム１７に通知する。
【００６１】
次に、ホストシステム１７は、通信ログの読み出しコマンドおよびログ読み出し用暗証番号を送信する。
【００６２】
通信ログ読み出しコマンドおよびログ読み出し用暗証番号を受信したログ送信手段１４は、暗証番号が正しいことを確認した上で、前回の通信ログ、すなわち不正処理が行われた際の通信ログをホストシステム１７へ送信する。
【００６３】
ログ送信手段１４が前回の通信ログを送信した後、ログ消去手段１２は、ログ記録領域５から前回の通信ログを消去し、ログ記録手段９が今回の通信ログの記録を開始する。以降、通常の通信を継続し、通信セッションが終了した段階で通信ログの記録を終了する。
【００６４】
以上、本発明を実施の形態に基づいて詳細に説明してきたが、本発明によるＩＣカードは、上述の実施の形態に何ら限定されるものではなく、本発明の趣旨を逸脱しない範囲において種々の変更が可能なことは当然のことである。
【００６５】
【発明の効果】
以上のとおり、本発明に係るＩＣカードによれば、ＩＣカードとインターフェースデバイス間の通信内容は、全てログとして記録するため、不正処理におけるコマンドのやり取りも通信ログとして記録することができる。
【００６６】
また、通信、すなわちコマンドを、常時監視手段により不正処理検知パターンと対照することにより、不正処理の実行段階で、ＩＣカードをロックすることができる。
【００６７】
更に、適切な暗証番号を知る管理者は、ＩＣカードのロックを解除し、ＩＣカード自体に記録した通信ログを参照できるため、不正処理に使用したコマンドなどを解析することが可能である。
【００６８】
更に、ＡＴＲという通信開始時点で必ず返信するデータにより、ホストシステムに不正処理の有無を通知することにより、ホストシステムは、不正な改竄が加えられた可能性のあるＩＣカードがアクセスしようとしていることを認識することが可能になる。
【００６９】
更に、通信開始時に不正な改竄が行われた可能性があるＩＣカードを認識し、通信ログを取得することも可能であるため、当該カードが何時、どこの端末で使用されたかを把握して、不正処理の追跡が可能となる。
【図面の簡単な説明】
【図１】  本発明のＩＣカードの概要構造図である。
【図２】  本発明のＩＣカードの通信開始処理の動作を示すフローチャートである。
【図３】  本発明のアンサートゥリセット信号の概略の構成図である。
【図４】  本発明の通常の通信中の動作を示す図である。
【図５】  本発明のＩＣカードにおいて、前回の通信セッションが正常に終了した場合の動作を示す図である。
【図６】  本発明のＩＣカードにおいて、前回の通信セッションが異常終了し、今回の通信においてアンロックが失敗した場合の動作を示す図である。
【図７】  本発明のＩＣカードにおいて、前回の通信セッションが異常終了し、今回の通信においてアンロックが成功した場合の動作を示す図である。
【符号の説明】
１  ＩＣカード
２  Ｉ／Ｏ制御部
３  ＣＰＵ
４  ＥＥＰＲＯＭ
５  ログ記録領域
６  不正検知フラグ
７  ＲＯＭ
８  不正処理検知パターン
９  ログ記録手段
１０  監視手段
１１  通知手段
１２  ログ消去手段
１３  ロック手段
１４  ログ送信手段
１５  ＲＡＭ
１６  インターフェースデバイス
１７  ホストシステム
【図１】
0003967155.tif 000002
【図２】
0003967155.tif 000003
【図３】
0003967155.tif 000004
【図４】
0003967155.tif 000005
【図５】
0003967155.tif 000006
【図６】
0003967155.tif 000007
【図７】
0003967155.tif 000008