(57)【要約】  ＰＩＮを入力して金融取引を可能にするためのポイントオブセール（ＰＯＳ）端末は、アプリケーションとともに、オペレーティングシステムを実行するプロセッサと、情報を表示し、ユーザからユーザ入力を受け取り、またセキュア情報を受け取るためのタッチ画面と、タッチ画面とプロセッサとの間に接続され、タッチ画面上のプロセッサに対するユーザ入力を制御するセキュリティボックスとを備え、セキュリティボックスは、”セキュアモード”および”クリアテキストモード”の２つのモードで動作するように構成され、”セキュアモード”で動作する際は、ユーザ入力は、タッチ座標としてプロセッサに転送されず、”クリアテキストモード”で動作する場合、タッチ座標は、プロセッサに送信され、ユーザ端末は、タッチ画面上に情報を表示し、かつユーザとの相互作用を可能にする少なくとも２種類のアプリケーションを実行するように構成され、１つ目のアプリケーションは、セキュリティボックスと相互作用して、セキュリティ関連の金融取引を行い、他方のアプリケーション、アドオンアプリケーションは、”クリアテキストモード”にてタッチ画面と相互作用し、セキュリティボックスと相互作用してセキュリティボックスを”セキュアモード”に切り替えるアプリケーションは、１つまたは複数のセキュリティキーによる暗号方法を用いて、セキュリティボックスにより認証される必要がある。
2016516230.tif 000002
【特許請求の範囲】
【請求項１】
セキュアなユーザ情報を入力するためのユーザ端末であって、
−  アプリケーションとともに、オペレーティングシステムを実行するプロセッサと、
−  情報を表示し、ユーザ入力を受け取り、ユーザからセキュア情報を受け取るためのタッチ画面と、
−  前記タッチ画面と前記プロセッサとの間に接続され、前記タッチ画面上の前記プロセッサに対するユーザ入力を制御するセキュリティボックスと、を備え、
前記セキュリティボックスは、”セキュアモード”および”クリアテキストモード”の２つのモードで動作するように構成され、
”セキュアモード”で動作する際には、前記ユーザ入力は、タッチ座標として前記プロセッサに転送されず、”クリアテキストモード”で動作する際には、前記タッチ座標は、前記プロセッサに送信され、
前記ユーザ端末は、前記タッチ画面上に情報を表示し、かつユーザとの相互作用を可能にする少なくとも２種類のアプリケーションを実行するように構成され、１つ目の前記アプリケーションは、セキュリティボックスと相互作用して、セキュリティ関連の金融取引を実行し、
他方の前記アプリケーション、アドオンアプリケーションは、”クリアテキストモード”にて前記タッチ画面と相互作用し、
前記セキュリティボックスと相互作用して前記セキュリティボックスを”セキュアモード”に切り替えるアプリケーションは、１つまたは複数のセキュリティキーによる暗号方法を用いて、前記セキュリティボックスにより認証される必要がある、ユーザ端末。
【請求項２】
前記セキュリティキーは、前記セキュリティボックスおよび／または前記プロセッサを備えるメイン基板のセキュア領域、および／または前記プロセッサを備えるメイン基板の非セキュア領域、に保存される、請求項１に記載のユーザ端末。
【請求項３】
前記セキュリティボックスと相互作用する前記アプリケーションは、前記セキュリティボックスにより認証されるために、署名または暗号を使用する、請求項２に記載のユーザ端末。
【請求項４】
前記セキュリティボックスは、”セキュアモード”への切り替えを許可する前に、前記セキュリティボックスと相互作用するアプリケーションの署名または暗号を検証するように構成されている、請求項３に記載のユーザ端末。
【請求項５】
前記タッチ画面を介した相互作用を可能にする、いかなる物理的なキーボードもないモバイルパッドのような携帯型装置である、請求項１から請求項４のいずれかに記載のユーザ端末。
【請求項６】
前記アドオンアプリケーションと、前記セキュリティボックスと相互作用するアプリケーションと、を実行することを可能にする標準的なオペレーティングシステム、好ましくはアンドロイドを実行するように構成されている、請求項１から請求項５のいずれかに記載のユーザ端末。
【請求項７】
前記アドオンアプリケーションは、アプリケーションストアからダウンロード可能である、請求項６に記載のユーザ端末。
【請求項８】
前記タッチ画面は、前記セキュリティボックスに接続されており、前記セキュリティボックスは、ＵＳＢ−チャネルを介して前記プロセッサに接続されている、請求項１から請求項７のいずれかに記載のユーザ端末。
【請求項９】
前記タッチ座標および暗号化コマンドは、ＵＳＢを介して送信され、
２つの論理ＵＳＢチャネルは、前記タッチ座標および前記暗号化コマンドをそれぞれ送信するようにセットアップされている、請求項８に記載のユーザ端末。
【請求項１０】
タッチセンサが、ＳＰＩ（Serial Peripheral Interface）を介して前記セキュリティボックス（ＳＢ）に接続されており、ディスプレイが、ＬＶＤＳ／ＤＳＩブリッジを介して接続されている、請求項８または９に記載のユーザ端末。
【請求項１１】
前記セキュアなユーザ情報は、個人アカウント情報および／または物理的なアイテムへのアクセスのためのＰＩＮまたはパスワードであり、
前記”セキュアモード”は、”ＰＩＮ入力モード”である、請求項１から請求項１０のいずれかに記載のユーザ端末。
【請求項１２】
前記ユーザ端末は、金融取引を可能にするためのＰＩＮを入力するためのポイントオブセール（ＰＯＳ）端末であり、
−クレジットカードから情報を読み出すカードリーダを、追加で備える、請求項１から請求項１１のいずれかに記載のユーザ端末。
【請求項１３】
前記カードリーダは、前記セキュリティボックスに一体化されたチップカードリーダであり、
前記セキュリティボックスは、前記プロセッサまたは前記プロセッサで実行されているアプリケーションを用いることなしに、前記ＰＩＮと前記チップカードの情報とに基づいて金融取引を処理するために必要な全てのステップを行うように構成されている、請求項１２に記載のユーザ端末。
【請求項１４】
仮想ＰＩＮパッドが前記タッチ画面に表示された場合、前記セキュリティボックスは、”ＰＩＮ入力モード”に切り替わり、かつ、ユーザのタッチをＰＩＮとして解釈し、前記ＰＩＮを暗号化して、前記情報を、クレジットカード情報とともに、ネットワークコントローラを介して関連するサービスセンタ／バンクに転送するように構成されている、請求項１２または１３に記載のユーザ端末。
【請求項１５】
決済アプリケーションが、前記オペレーティングシステムにおいて動作しており、前記セキュリティボックスを、”セキュアモード”に切り替え、前記仮想ＰＩＮパッドを表示し、および／または、
前記決済アプリケーションは、カードリーダからのカード情報を、前記セキュリティボックスに転送し、
前記決済アプリケーションは、前記セキュリティボックスからの暗号化ＰＩＮを、サービスセンタ／バンクに転送することも担当することができる、請求項１から請求項１４のいずれかに記載のユーザ端末。
【請求項１６】
前記ＰＩＮパッドを、取引ごとに、前記タッチ画面上でランダムに移動するように構成され、および／または、
前記セキュリティボックスは、前記ＰＩＮパッドの座標を通知され、前記タッチ入力を解釈することが可能となる、請求項１から請求項１５のいずれかに記載のユーザ端末。
【請求項１７】
タッチイベントが起こった場合、前記オペレーティングシステムに対して、ＵＳＢ ＣＯＭチャネルを介して、置換情報のみを、”セキュアモード”で提示するように構成されている、請求項１から請求項１６のいずれかに記載のユーザ端末。
【請求項１８】
前記セキュリティボックスは、”セキュリティモード”にあることを示す、光学インジケータに接続される、請求項１から請求項１７のいずれかに記載のユーザ端末。
【請求項１９】
前記セキュリティボックスと前記ディスプレイとは、互いに接続され、センサは、切断が行われたことを示し、これは、前記セキュリティボックス内のキーの削除をもたらす、請求項１から請求項１８のいずれかに記載のユーザ端末。
【請求項２０】
前記認証は、ＨＩＤデバイスドライバおよび汎用ＵＳＢデバイスドライバが、前記セキュリティボックスに登録した際に行われ、
前記セキュリティボックスは、ＵＳＢを介して前記プロセッサに接続される、請求項１から請求項１９のいずれかに記載のユーザ端末。
【請求項２１】
前記セキュリティボックスは、ブートの前に、前記オペレーティングシステムのステータスをチェックし、
好ましくは第１のステップにおいて、前記セキュリティボックスに保存される情報へのアクセスを有するプログラムがブートされて、前記オペレーティングシステムを検証し、
前記オペレーティングシステムは、前記オペレーティングシステムのステータスが前記検証をパスした場合に起動される、請求項１から請求項２０のいずれかに記載のユーザ端末。
【請求項２２】
セキュアなユーザ情報を入力するためのユーザ端末であって、
−  アプリケーションとともに、オペレーティングシステムを実行するプロセッサと、
−  情報を表示し、ユーザ入力を受け取り、ユーザからセキュア情報を受け取るためのタッチ画面と、
−  前記タッチ画面と前記プロセッサとの間に接続され、前記タッチ画面上の前記プロセッサに対するユーザ入力を制御するセキュリティボックスと、を備え、
前記セキュリティボックスおよび前記プロセッサは、第１および第２の論理接続を提供するために構成されたシリアルインターフェイスを介して接続され、
前記セキュリティボックスは、第１の論理接続を用いる”セキュアモード”および第２の論理接続を用いる”クリアテキストモード”の２つのモードで動作するように構成され、”セキュアモード”で動作する際には、前記ユーザ入力は、タッチ座標として前記第２の論理接続を介して前記プロセッサに転送されず、”クリアテキストモード”で動作する際には、前記タッチ座標は、前記第２の論理接続を介して前記プロセッサに送信される、ユーザ端末。
【請求項２３】
前記タッチ画面は、シリアルペリフェラルインターフェイスを介して前記セキュリティボックスに接続され、前記シリアルインターフェイスは、ＵＳＢチャネルである、請求項２２に記載のユーザ端末。
【請求項２４】
前記”セキュアモード”では、暗号コマンドは、前記第１の論理接続で送信される、請求項２３に記載のユーザ端末。
【請求項２５】
前記ＵＳＢチャネルは、ＣＯＭ  ＵＳＢインターフェイスとして、第１の論理接続を実施し、ＨＩＤインターフェイスとして第２の論理接続を実施する、ＵＳＢ複合デバイスクラスとして構成される、請求項２４に記載のユーザ端末。
【請求項２６】
前記セキュアユーザ情報は、個人アカウント情報および／または物理アイテムへのアクセスを有するためのＰＩＮまたはパスワードであり、”セキュアモード”は、”ＰＩＮ入力モード”である、請求項２２から請求項２５のいずれかに記載のユーザ端末。
【請求項２７】
前記ユーザ端末は、金融取引を可能にするためのＰＩＮを入力するためのポイントオブセール（ＰＯＳ）端末であり、
−クレジットカードから情報を読み出すカードリーダを、追加で備える、請求項２２から請求項２６のいずれかに記載のユーザ端末。
【請求項２８】
前記カードリーダは、前記セキュリティボックスに一体化されたチップカードリーダであり、
前記セキュリティボックスは、前記ＰＩＮと前記チップカードの情報とに基づき金融取引を処理するために必要な全てのステップを行うように構成されている、請求項２７に記載のユーザ端末。
【請求項２９】
仮想ＰＩＮパッドが前記タッチ画面に表示された場合、前記セキュリティボックスは、”ＰＩＮ入力モード”に切り替わり、かつ、ユーザのタッチをＰＩＮとして解釈し、前記ＰＩＮを暗号化して、前記情報を、クレジットカード情報とともに、ネットワークコントローラを介して関連するサービスセンタ／バンクに転送するように構成されている、請求項２７または２８に記載のユーザ端末。
【請求項３０】
決済アプリケーションが、前記オペレーティングシステムにおいて動作しており、前記セキュリティボックスを、”セキュアモード”に切り替え、前記仮想ＰＩＮパッドを表示し、および／または、
前記決済アプリケーションは、カードリーダからのカード情報を、前記セキュリティボックスに転送し、
前記決済アプリケーションは、前記セキュリティボックスからの暗号化ＰＩＮを、サービスセンタ／バンクに転送することも担当することができる、請求項２９に記載のユーザ端末。
【請求項３１】
前記ＰＩＮパッドを、取引ごとに、前記タッチ画面上でランダムに移動するように構成され、および／または、
前記セキュリティボックスは、前記ＰＩＮパッドの座標を通知され、前記タッチ入力を解釈することが可能となる、請求項２２から請求項３０のいずれかに記載のユーザ端末。
【請求項３２】
タッチイベントが起こった場合、前記オペレーティングシステムに対して、前記第１の論理チャネルを介して、置換情報のみを、”セキュアモード”で提示するように構成されている、請求項２２から請求項３１のいずれかに記載のユーザ端末。
【請求項３３】
前記セキュリティボックスは、”セキュリティモード”にあることを示す、光学インジケータに接続される、請求項２２から請求項３２のいずれかに記載のユーザ端末。
【請求項３４】
前記セキュリティボックスと前記ディスプレイとは、互いに接続され、センサは、切断が行われたことを示し、これは、前記セキュリティボックス内のキーの削除をもたらす、請求項２２から請求項３３のいずれかに記載のユーザ端末。
【請求項３５】
前記セキュリティボックスは、前記ディスプレイに物理的に取り付けられ、カバーにより保護される、請求項３３に記載のユーザ端末。
【請求項３６】
前記セキュアＰＩＮモードを開始する前記決済アプリケーションは、暗号キーを用いて、前記セキュリティボックスにより認証される必要があり、前記暗号キーは、前記セキュリティボックスにより生成され、登録の間に前記決済アプリケーションに送信される、請求項３０から請求項３５のいずれかに記載のユーザ端末。
【請求項３７】
前記セキュリティボックスは、ブートの前に、前記オペレーティングシステムシステムのステータスをチェックする、請求項２２から請求項３６のいずれかに記載のユーザ端末。
【請求項３８】
ブートの際に、第１のステップにおいて、前記セキュリティボックスに保存されている情報へのアクセスを有するプログラムがブートされて、前記オペレーティングシステムを検証し、
前記オペレーティングシステムは、前記オペレーティングシステムのステータスが前記検証をパスした場合に起動される、請求項３７に記載のユーザ端末。
【請求項３９】
前記ユーザ端末の電源オンの後に、前記セキュリティボックスは、前記”セキュアモード”で開始するように構成され、前記オペレーティングシステムの検証が成功したセキュアブートの後に、前記セキュリティボックスは、前記”クリアテキストモード”に移行するように構成されている、請求項２２から請求項３８のいずれかに記載のユーザ端末。
【請求項４０】
前記タッチ画面に情報を表示し、ユーザとの相互作用を可能にする少なくとも２種類のアプリケーションを実行するように構成され、１つ目の前記アプリケーションは、前記セキュリティボックスと相互作用して、セキュリティ関連金融取引を行い、
他方の前記アプリケーション、アドオンアプリケーションは、前記タッチ画面により”クリアテキストモード”で相互作用し、
前記セキュリティボックスと相互作用し、前記セキュリティボックスを”セキュアモード”に切り替える前記アプリケーションは、１つまたは複数のセキュリティキーを用いて、前記セキュリティボックスにより認証される必要がある、請求項２２から請求項３９のいずれかに記載のユーザ端末。
【請求項４１】
前記アプリケーションは、署名または暗号を用いて前記セキュリティボックスと相互作用して、前記セキュリティボックスにより認証される、請求項４０に記載のユーザ端末。
【請求項４２】
前記セキュリティボックスは、”セキュアモード”への切り替えを許可する前に、前記セキュリティボックスと相互作用するアプリケーションの署名または暗号を検証するように構成されている、請求項４１に記載のユーザ端末。
【請求項４３】
前記タッチ画面を介した相互作用を可能にする、いかなる物理キーボードもないモバイルパッドのような携帯型装置である、請求項２２から請求項４２のいずれかに記載のユーザ端末。
【請求項４４】
前記オペレーティングシステムは、アンドロイドオペレーティングシステムである、請求項２２から請求項４３のいずれかに記載のユーザ端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュアなユーザ情報を入力するためのユーザ端末に関する。可能な実施形態において、本発明は、金融取引を可能にするＰＩＮを入力するためのポイントオブセール（ＰＯＳ）端末に関する。
【背景技術】
【０００２】
セキュアなユーザ情報を入力するためのユーザ端末は、異なる環境において用いることができる。端末は、セルフサービス自動化のために、オンラインショッピングに用いることができる。ポイントオブセールアプリケーションに関して、ポイントオブセール（ＰＯＳ）端末は、キャッシュレジスタのコンピュータ化された代用物である。ＰＯＳシステムは、顧客注文を記録および追跡し、クレジットおよびデビットカードを処理し、ネットワーク内の他のシステムに接続し、在庫を管理する能力を含むことができる。一般的に、ＰＯＳ端末は、その中核として、パーソナルコンピュータを有し、パーソナルコンピュータは、提供される特定の環境向けに、特定用途プログラムおよびＩ／Ｏデバイスが設けられる。レストラン用のＰＯＳシステムは、例えば、数多くのやり方で情報の問い合わせがなされ得るデータベースに保存される全てのメニュー項目を有するであろう。ＰＯＳ端末は、レストラン、宿泊施設、娯楽、および博物館を含むサービスデスクなどのポイントオブセールを有するほとんどの産業において用いられている。通常の取引用に、クレジットカード情報は、カードリーダによって読み出され、顧客は、顧客の暗証番号を打ち込んで、取引を認証させる必要がある。ＰＯＳ用の標準端末の機能性は、キーパッドと、クレジットカードからチャージされる金額を示す小さなディスプレイとに大きく制限されている。
【０００３】
欧州特許第２２８０３６３号および米国特許出願公開第２０１２０１３２７０５号は、ＡＴＭにおけるタッチモジュールの実施を開示している。
【発明の概要】
【課題を解決するための手段】
【０００４】
さらに、ユーザ端末は、タッチ画面上に情報を表示し、かつユーザとの相互作用を可能にする少なくとも２種類のアプリケーションを実行するように構成され、１つ目のアプリケーションは、セキュリティボックスと相互作用して、セキュリティ関連の金融取引を実行し、
他方のアプリケーション、アドオンアプリケーションは、”クリアテキストモード”にてタッチ画面と相互作用し、
セキュリティボックスと相互作用してセキュリティボックスを”セキュアモード”に切り替えるアプリケーションは、１つまたは複数のセキュリティキーによる暗号方法を用いて、セキュリティボックスにより認証される必要がある。セキュリティキーは、セキュリティボックスおよび／またはプロセッサを備えるメイン基板のセキュア領域、および／またはプロセッサを備えるメイン基板の非セキュア領域に保存される。アドオンアプリケーションは、セキュリティボックスを介してタッチ画面と直接相互作用し、セキュリティボックスは、タッチ画面と直接相互作用することを可能にする通過モードにある。
【０００５】
可能な実施形態において、セキュリティキーは、セキュリティボックスおよび／またはプロセッサを備えるメイン基板上のセキュア領域、および／またはプロセッサを備えるメイン基板の非セキュア領域に保存される。
【０００６】
このアプローチは、対応するオペレーティングシステムドライバによりサポートすることができ、これらドライバは、セキュリティボックスと、セキュリティボックスを評価するアプリケーションとの間に論理的に配置される。アプリケーションが、セキュリティボックスにアクセスする時は必ず、ドライバは、対応する署名または暗号をアプリケーションから要求またはロードし、これをセキュリティボックスに対して提供する。代わりのアプローチにおいて、セキュリティボックスを評価するために提供されるＡＰＩは、パラメータとして常に、対応する署名または暗号をアプリケーションから要求する。署名は、アプリケーションプログラムコードのハッシュとすることができ、ハッシュは、暗号キーにより署名されている。アプリケーションのハッシュは、例えば、ドライバまたはセキュリティボックス自体により検証することができる。ドライバが、セキュリティボックスをサポートする場合、ドライバも検証される必要があり、これは例えば、オペレーティングシステムの起動時に行うことができる。セキュリティボックスも、セキュリティボックスへのアクセスを許可されたアプリケーションのリストを有することができ、対応するハッシュ値を保存する。セキュリティボックスにアクセスする際に、セキュリティボックスは、アプリケーションのハッシュ値を再計算して、アプリケーションがセキュリティボックスへのアクセスを許可されているかどうかを検証する。
【０００７】
また、セキュリティボックスのパブリックキーにより情報が暗号化された暗号を、用いることもできる。
【０００８】
可能な実施形態において、セキュリティボックスは、”セキュアモード”への切り替えを許可する前に、セキュリティボックスと相互作用するアプリケーションの署名または暗号を検証するように構成されている。アプリケーションが、セキュリティボックスの前に認証された場合のみ、セキュリティボックスは”セキュアモード”に変わる。
【０００９】
好ましい実施形態において、ユーザ端末は、タッチ画面を介した相互作用を可能にする、いかなる物理キーボードもないモバイルパッドのような携帯型装置である。サイズは、５〜１５インチとすることができ、取引をモバイルで行うことを可能にする。例えば、レストランでの支払いを、カードリーダを持つ携帯型装置により行って、金融取引を行うことができる。
【００１０】
ユーザ端末は、好ましくは、アドオンアプリケーションおよびセキュリティボックスと相互作用するアプリケーションを実行することを可能にする、標準的なオペレーティングシステム、好ましくはアンドロイドを実行させるように構成されている。このアプローチは、端末を、標準的なパッド装置として使用することを可能にし、ユーザは、アドオンアプリケーションを、アプリケーションストアからダウンロードすることができる。これらのアプリケーションは、装置において並行して実行することができるが、セキュリティボックスにアクセスすることはできない。
【００１１】
可能な実施形態において、タッチ画面は、ＵＳＢチャネルを介してセキュリティボックスに接続されており、セキュリティボックスも、ＵＳＢチャネルを介してプロセッサに接続されている。代わりの実施形態において、タッチセンサは、ＳＰＩ（Serial Peripheral Interface）を介してセキュリティボックス（ＳＢ）に接続されている。ディスプレイは、ＬＶＤＳ／ＤＳＩブリッジ（低電圧差動信号／ディスプレイシリアルインターフェイス）を介してメインプロセッサに接続されている。ＳＢは、ＵＳＢを介してメインプロセッサに物理的に接続されており、このインターフェイスを介して、タッチ座標および暗号コマンドは送信される。アプリケーションの観点から、２つの論理ＵＳＢ接続は、ＵＳＢ複合デバイスとして実施される。
【００１２】
可能な実施形態において、セキュアユーザ情報は、個人アカウント情報および／または物理アイテムへのアクセスを有するためのＰＩＮまたはパスワードである。この構成において、”セキュアモード”は”ＰＩＮ入力モード”である。
【００１３】
可能な実施形態において、ユーザ端末は、ＰＯＳ（Point of Sales）端末である。ＰＯＳ端末は、店内のキャッシュレス決済取引のための端末である。この概念は、ＰＣＩ  ＰＩＮ取引セキュリティ（ＰＴＳ）相互作用ポイント（ＰＯＩ）モジュラーセキュリティ要件［１］に関する。端末は、豊富な機能を有するＰＯＳ端末装置である。他の技術との間で、端末は、仮想タッチＰＩＮパッド、チップカードリーダ、ＮＦＣリーダおよび／またはＷＩＦＩおよび３Ｇを統合する。ハードウェアの観点から、端末は、メインコントローラ基板（メインＰＣＢ）およびセキュリティボックス（ＳＢ）の、２つのメインビルディングブロックからなる。
【００１４】
本発明は、ＰＩＮを入力して金融取引を可能にするためのポイントオブセール（ＰＯＳ）端末を備え、端末は、
−  クレジットカードから情報を読み出すためのカードリーダと、
−  アプリケーションとともに、オペレーティングシステムを実行するプロセッサと、
−  情報を表示し、ユーザ入力を受け取るためのタッチ画面と、
−  タッチ画面とプロセッサとの間に接続され、タッチ画面上のプロセッサに対するユーザ入力を制御するセキュリティボックスとを備え、セキュリティボックスは、”ＰＩＮ入力モード”および”クリアテキストモード”の２つのモードで動作するように構成され、”ＰＩＮ入力モード”で動作する際は、ユーザ入力は、タッチ座標としてプロセッサに転送されず、”クリアテキストモード”で動作する場合、タッチ座標は、プロセッサに送信される。
【００１５】
セキュリティボックスは、１つまたは複数の以下の機能を備える。
【００１６】
−  セキュアタッチコントローラ
−  セキュアチップカードリーダ
−  セキュアマイクロコントローラ
−  暗号キーのセキュアストレージ
−  乱数発生器
−  ＰＣＩに従う内部タンパー検出
−  ＰＣＩに従う外部タンパー検出
メインコントローラは、１つまたは複数の以下の機能を備える。
【００１７】
−  磁気ストライプリーダとの相互作用
−  ＮＦＣカードリーダとの相互作用
−  光コントロールフィルタの切り替え
−  標準ディスプレイコントローラを用いたディスプレイ制御
−  アンドロイドＯＳをホストする（他のオペレーティングシステム）
−  決済アプリケーションをホストする
−  バリュー付加アプリケーションをホストする
−  ＥＭＶカーネルをホストする
１つの可能な実施形態において、カードリーダは、セキュリティボックスに一体化されたチップカードリーダであり、セキュリティボックスは、ＰＩＮとチップカードの情報とに基づき金融取引を処理するために必要な全てのステップを行うように構成されている。
【００１８】
可能な実施形態において、仮想ＰＩＮパッドがタッチ画面に表示された場合、セキュリティボックスは、”ＰＩＮ入力モード”に切り替わり、かつ、ユーザのタッチをＰＩＮとして解釈し、ＰＩＮを暗号化して、情報を、クレジットカード情報とともに、ネットワークコントローラを介して関連するサービスセンタ／バンクに転送するように構成されている。セキュリティボックスは、情報を、決済アプリケーションに転送することもでき、決済アプリケーションは、追加の転送を担当する。
【００１９】
決済アプリケーションは、オペレーティングシステムにおいて動作することができ、セキュリティボックスを、”ＰＩＮ入力モード”に切り替え、仮想ＰＩＮパッドを表示し、および／または、決済アプリケーションは、カードリーダからのカード情報を、セキュリティボックスに転送し、決済アプリケーションは、セキュリティボックスからの暗号化ＰＩＮを、サービスセンタ／バンクに転送することも担当することができる。
【００２０】
可能な実施形態において、ＰＩＮパッドは、取引ごとに、タッチ画面上でランダムに移動され、および／または、セキュリティボックスは、ＰＩＮパッドの座標を通知され、タッチ入力を解釈することが可能となる。ＰＩＮパッドの座標は、決済アプリケーションによって提供することができる。
【００２１】
可能な実施形態において、ユニットは、タッチイベントが起こった場合、オペレーティングシステムに対して、ＵＳＢ ＣＯＭチャネルを介して、置換情報のみを、”セキュアモード”で提示するように構成されている。
【００２２】
可能な実施形態において、セキュリティボックスは、”ＰＩＮ入力モード”にあることを示す、光学インジケータに接続される。セキュリティボックスのみが、インジケータをオンにすることが可能であり、端末がセーフモードにあることをユーザに示し、これは、ユーザがＰＩＮを入力することを可能にする。
【００２３】
可能な実施形態において、セキュリティボックスおよびディスプレイは、互いに接続され、センサは、切断が行われたことを示し、これは、セキュリティボックス内のキーの削除をもたらす。この取り組みは、第三者が、タッチ画面およびセキュリティボックスの接続を修正または聞くことを防止するであろう。加えて、セキュリティボックスは、ディスプレイに物理的に取り付けられ、カバーにより保護される。
【００２４】
さらに、可能な実施形態において、セキュアなＰＩＮモードを開始する決済アプリケーションは、セキュリティボックスにより生成されて、登録の間に決済アプリケーションに送信される暗号キーを用いて、セキュリティボックスにより認証される必要がある。認証は、ＨＩＤデバイスドライバおよび汎用ＵＳＢデバイスドライバが、セキュリティボックスに登録した際に行われ、セキュリティボックスは、ＵＳＢを介してプロセッサに接続される。
【００２５】
加えて、セキュリティボックスは、ブートの前に、オペレーティングシステムのステータスをチェックすることができる。ブートの際に、第１のステップにおいて、セキュリティボックスに保存される情報へのアクセスを有するプログラムがブートされて、オペレーティングシステムを検証し、オペレーティングシステムは、オペレーティングシステムのステータスが検証をパスした場合に起動される。
【００２６】
本発明の別の態様は、セキュアなユーザ情報を入力するためのユーザ端末であって、
−  アプリケーションとともに、オペレーティングシステムを実行するプロセッサと、
−  情報を表示し、ユーザ入力を受け取り、かつユーザからセキュア情報を受け取るためのタッチ画面と、
−  タッチ画面とプロセッサとの間に接続され、タッチ画面上のプロセッサに対するユーザ入力を制御するセキュリティボックスと、を備え、セキュリティボックスおよびプロセッサは、第１および第２の論理接続を提供するように構成されたシリアルインターフェイスを介して接続され、セキュリティボックスは、第１の論理接続を用いる”セキュアモード”および第２の論理接続を用いる”クリアテキストモード”の２つのモードで動作するように構成され、”セキュアモード”で動作する際は、ユーザ入力は、タッチ座標として第２の論理接続を介してプロセッサに転送されず、”クリアテキストモード”で動作する場合、タッチ座標は、第２の論理接続を介してプロセッサに送信される。
【００２７】
可能な実施形態において、タッチ画面は、シリアルペリフェラルインターフェイスを介してセキュリティボックスに接続され、シリアルインターフェイスは、ＵＳＢチャネルである。
【００２８】
可能な実施形態において、”セキュアモード”では、第１の論理接続を介して、暗号コマンドが送信される。
【００２９】
可能な実施形態において、ＵＳＢチャネルは、ＣＯＭ  ＵＳＢインターフェイスとして、第１の論理接続を実施し、ＨＩＤインターフェイスとして第２の論理接続を実施する、ＵＳＢ複合デバイスクラスとして構成される。
【００３０】
可能な実施形態において、セキュアユーザ情報は、個人アカウント情報および／または物理アイテムへのアクセスを有するためのＰＩＮまたはパスワードであり、”セキュアモード”は、”ＰＩＮ入力モード”である。
【００３１】
可能な実施形態において、ユーザ端末は、ＰＩＮを入力し、金融取引を可能にするためのポイントオブセール（ＰＯＳ）端末であり、
−  クレジットカードから情報を読み出すカードリーダを、追加で備える。
【００３２】
可能な実施形態において、カードリーダは、セキュリティボックスに一体化されたチップカードリーダであり、セキュリティボックスは、ＰＩＮとチップカードの情報とに基づき金融取引を処理するために必要な全てのステップを行うように構成されている。
【００３３】
可能な実施形態において、仮想ＰＩＮパッドがタッチ画面に表示された場合、セキュリティボックスは、”ＰＩＮ入力モード”に切り替わり、かつ、ユーザのタッチをＰＩＮとして解釈し、ＰＩＮを暗号化して、情報を、クレジットカード情報とともに、ネットワークコントローラを介して関連するサービスセンタ／バンクに転送するように構成されている。
【００３４】
可能な実施形態において、決済アプリケーションが、オペレーティングシステムにおいて実行されており、セキュリティボックスを、”セキュアモード”に切り替え、仮想ＰＩＮパッドを表示し、および／または、決済アプリケーションは、カードリーダからのカード情報を、セキュリティボックスに転送し、決済アプリケーションは、セキュリティボックスからの暗号化ＰＩＮを、サービスセンタ／バンクに転送することも担当することができる。
【００３５】
可能な実施形態において、ユーザ端末は、ＰＩＮパッドを、取引ごとにタッチ画面上でランダムに移動するように構成されている、および／または、セキュリティボックスは、ＰＩＮパッドの座標を通知され、タッチ入力を解釈することが可能となる。
【００３６】
可能な実施形態において、タッチイベントが起こった場合、オペレーティングシステムに対して第１の論理チャネルを介して、置換情報のみを、”セキュアモード”で提示するように構成されている。
【００３７】
可能な実施形態において、セキュリティボックスは、”セキュリティモード”にあることを示す、光学インジケータに接続される。
【００３８】
可能な実施形態において、セキュリティボックスおよびディスプレイは、互いに接続され、センサは、切断が行われたことを示し、これは、セキュリティボックス内のキーの削除をもたらす。
【００３９】
可能な実施形態において、セキュリティボックスは、ディスプレイに物理的に取り付けられ、カバーにより保護される。
【００４０】
可能な実施形態において、セキュアＰＩＮモードを開始する決済アプリケーションは、暗号キーを用いて、セキュリティボックスにより認証される必要があり、暗号キーは、セキュリティボックスにより生成され、登録の間に決済アプリケーションに送信される。
【００４１】
可能な実施形態において、セキュリティボックスは、ブートの前に、オペレーティングシステムシステムのステータスをチェックする。
【００４２】
可能な実施形態において、ブートの際に、第１のステップにおいて、セキュリティボックスに保存されている情報へのアクセスを有するプログラムがブートされて、オペレーティングシステムを検証し、オペレーティングシステムは、オペレーティングシステムのステータスが検証をパスした場合に起動される。
【００４３】
可能な実施形態において、ユーザ端末の電源オンの後に、セキュリティボックスは、”セキュアモード”で開始するように構成され、オペレーティングシステムの検証が成功したセキュアブートの後に、セキュリティボックスは”クリアテキストモード”に移行するように構成されている。
【００４４】
可能な実施形態において、ユーザ端末は、タッチ画面に情報を表示し、ユーザとの相互作用を可能にする、少なくとも２種類のアプリケーションを実行するように構成され、１つ目のアプリケーションは、セキュリティボックスと相互作用して、セキュリティ関連金融取引を行い、
他方のアプリケーション、アドオンアプリケーションは、タッチ画面により”クリアテキストモード”で相互作用し、
セキュリティボックスと相互作用し、セキュリティボックスを”セキュアモード”に切り替えるアプリケーションは、１つまたは複数のセキュリティキーを用いて、セキュリティボックスにより認証される必要がある。
【００４５】
可能な実施形態において、アプリケーションは、署名または暗号を用いてセキュリティボックスと相互作用して、セキュリティボックスにより認証される。
【００４６】
可能な実施形態において、セキュリティボックスは、”セキュアモード”への切り替えを許可する前に、セキュリティボックスと相互作用するアプリケーションの署名または暗号を検証するように構成されている。
【図面の簡単な説明】
【００４７】
図面は、本発明の可能な実施形態を示し、実施形態は、以下の説明によって参照される。しかし、両者ともに、本発明の範囲を限定することは意図しない。
【図１】本発明の安全コンポーネントを示す図である。
【図２】セキュリティボックス（ＳＢ）の機能ブロックを示す図である。
【図３】関連するソフトウェアコンポーネントを示す図である。
【図４】オペレーティングシステムのソフトウェアスタックを示す図である。
【図５】高レベルのブートプロセスを示す図である。
【図６】整合性チェックのアプリケーションフローを示す図である。
【図７】本発明のモード遷移を示す図である。
【図８】移動する入力フィールドを有する仮想暗証番号入力を示す図である。
【発明を実施するための形態】
【００４８】
本発明は、特別な実施形態に関して説明されるが、本発明は、この実施形態に限定されない。本発明は、セキュリティ関連およびセキュリティ非関連のアプリケーションが実行されるタッチ画面を有するユニバーサルユーザ端末を対象にする。
【００４９】
図１は、本発明のセキュアなコンポーネントを示す。ＰＩＮ入力機能は、端末のタッチ画面により提供される。好ましい実施形態において、このソリューションの性質により、可聴音は生成されていない。それでも、端末は、オーディオ端子を実装しており、この端子は、障害者に入力機能の制御を可能にする。可聴音は、メインコントローラ基板のオーディオユニットにより生成される。ＰＩＮ入力のために、これは、仮想ＰＩＮパッドの任意のキーが押された際に、常に同じ周波数および同じ音量である。加えて、ヘッドフォンが接続されている際、画面のコンテキストはオフにされる。
【００５０】
端末は、仮想ＰＩＮパッドを介してＰＩＮを入力する際、固定されたソリッド角度での観察を制限する、切り替え可能な光制御フィルタを提供する。加えて、仮想ＰＩＮパッド全体は、取引ごとにランダムに移動される（図８）。追加的なセキュアな対策として、キーパッドの大きさは、ＰＩＮ入力ごとに変更される。
【００５１】
これらは、ＭＡＧＴＥＣ  ＭａｇｎｅＳａｆｅ  ＩｎｔｅｌｌｉＨｅａｄ  Ｒｅａｄｅｒ［３］を用いることができる。磁気ストライプリーダは、標準的な通信インターフェイス（ＵＳＢ（Universal Serial Bus）１．１、ＨＩＤ）を用いるメインコントローラに接続される可能な実施形態内にある。リーダ自体は、装置認証およびキー管理用の内蔵セキュリティ、暗号ヘッドおよび暗号化機能が設けられている。暗号化追跡データは、メインコントローラ基板上で実行される決済アプリにより読み出され、セキュリティボックスに送信されて変換される。端末の設計は、追加のヘッドおよびマイクロコントローラを内部および外部から加えるような改造を防止する。
【００５２】
各暗号化ヘッドは、セキュリティボックスにより共有され、マスターキーおよびキーシリアル番号から得られる固有キーを含む。
【００５３】
キーインジェクションは、製造業者により提供されるキーロードデバイスを用いて、キーロードおよび初期化ファシリティ（ＫＬＩＦ：Key Loading and Initialization Facility）で操作される。リーダの相互作用は、メインコントローラにて実行される決済アプリケーションによって制御される。セキュリティボックス（図２）に加えて、装置自体は、ブート時および少なくとも１日に一度、整合性および信頼性チェックを含む自己テスト（図５、図６、図７）を行う。
【００５４】
すべてのアプリケーションモジュール（図３および図４）は、取得者の制御下にあり、暗号化手順によって署名される。端末は、実行の前に署名を検証する。
【００５５】
ＰＣＩ端末ファームウェアは、端末ベンダにより提供され、何らかの変更は、ＱＡプロセスにて調査され、文書化される。
【００５６】
ファームウェアイメージは、ファームウェアライフサイクルプロセスの一部として端末ベンダにより署名され、インストールおよび実行の前に端末により検証される（図７）。
【００５７】
セキュリティシステムの一部として、セキュリティボックスは、ＰＩＮ入力およびタッチイベントを制御する。セキュリティボックスが、”ＰＩＮ入力モード”にある場合、置換キャラクタのみが、ＵＳＢ  ＣＯＭチャネルを介して提示され、タッチイベントは抑制される。
【００５８】
アンドロイドＯＳおよびカーネルモジュール（図４）は、可能な実装の基準である。システムパッケージは、動作に必要なモジュールのみを含む。端末上で実行される全てのソフトウェアは、最小特権を有して実行される。システムパッケージは、これに応じて堅牢化される。
【００５９】
タッチ画面の改造、例えばＵＳＢを介して安全でないタッチを接続することは、端末を動作不能状態に導く。タッチドライバの交換は、端末を動作不能状態に導く。ＰＩＮ入力の間、Ｘ／Ｙ座標は、タッチフィールド（仮想キー）用の置換コードを除き、セキュリティボックスから提示されず、よって、ＰＩＮ入力モードにおけるＵＳＢ通信を分析することによるタッチイベントの監視は無関係である。セキュリティボックスは、クリアテキストモードにあり、認証済みアプリケーションにＸ／Ｙ座標を提示する場合、座標は、好ましくはＴＤＥＳキー（１２８ビット）を用いて暗号化される。メインコントローラ上で、キーは、セキュリティコントローラのＮＶ  ＳＲＡＭにより確保される。
【００６０】
これらのコンポーネント間のデータリンクは、設計および／または暗号法プロトコルにより確保される。キー管理は、ＩＳＯ１１５６８またはＡＮＳＩ  Ｘ９．２４に準拠して行われる。決済カードは、常に、カード所有者の制御下にある。端末装置が、ＥＣＲ−インターフェイスを介して接続されると、全てのテキストメッセージは、ＥＣＲにより署名され、端末ソフトウェア（ドライバ）により検証される。
【００６１】
端末は、要求される暗号機能ＳＣ埋め込みＮＶ  ＳＲＡＭをキーストアとして提供する。
【００６２】
ファームウェアは、暗号機構により保護される。ＰＣＩ端末ファームウェアは、ソフトウェアライフサイクル管理システムにより管理される。残りのシステムパッケージは、不正な改造を防ぐＭＫＳ  Ｉｎｔｅｇｒｉｔｙ  Ｍａｎａｇｅｒと呼ばれるソフトウェアにより保護される。
【００６３】
ＰＣＩ端末ファームウェア自体は、暗号化機構により保護される。端末は、固有のデバイス番号および固有のキーペアが備えられている。情報は、デュアル制御およびスプリット知識の原理を用いて、制御環境内で、製造中にロードされる。
【００６４】
ＰＣＩ端末ファームウェアは、メインコントローラ（好ましくはＯＭＡＰ４４６０）の制御下で実行される。このファームウェアは、ＳＢ（図５、図６、図７）により暗号的に検証される必要があり、ＰＣＩ承認の一部である。ＰＣＩ  ＳＢファームウェアは、ＳＢマイクロコントローラの制御下で実行される。ＰＣＩ承認の観点からの責任は、セキュリティボックスベンダの管理下にある。
【００６５】
アドオンアプリケーション（図４）は、主に取得者により提供され、これらのアプリケーションは、ＰＣＩ承認の一部ではない。
【００６６】
ＳＢは、ＵＳＢ（図１、図３）接続を介して接続され、この接続は、ＨＩＤおよびＣＯＭデバイスクラスとしてＵＳＢ複合デバイスクラスを実施する。アンドロイドＯＳのトップでは、端末は複数アプリケーション（図４）をホストし、これらアプリケーションは、端末ＷＸＧＡ画面へのアクセスと、ＰＣＩ ＳＢファームウェアにより生成されるタッチイベントへのアクセスとを有する。これらのアプリケーションは、
−決済アプリケーション
−他のアプリケーション
である。
【００６７】
全てのアプリケーションは、取得者または端末ベンダの厳格な制御下にある必要がある。署名されていないソフトウェアをダウンロードして、これら２つの実体の制御不能なアプリケーションを処理することは、可能であってはならない。アプリケーションのシステム堅牢化および最小権限の制限は、これらのアプリケーションを保護するために十分な制御を供給する。アプリケーションが、ＷＥＢサイトへのアクセスを得て、端末で処理されるコンテンツをダウンロードした場合、ＷＥＢサーバおよびコンテンツは、取得者の制御下にある（ＰＣＩ  ＤＳＳ要件は満たされる）。
【００６８】
そのセキュリティボックスを含む端末は、ＰＣＩ  ＰＴＳ３．１モジュラーセキュリティ要件に準じて、モジュラー評価手法に従って評価されるべきである。
【００６９】
以下に、端末の物理セキュリティ隔離および境界を説明する。ダークグレーのＳＥ要素（図１）は、互いに暗号化して通信する”セキュア要素”である。
【００７０】
セキュリティボックス（ＳＢ）は、ＰＩＮ入力、暗号化キー、ＥＭＶ（Ｅｕｒｏｐａｙ、ＭａｓｔｅｒＣａｒｄおよびＶｉｓａ）ＰＩＮオフライン検証を制御し、磁気ストライプデータを保護する。セキュリティボックスは、ＵＳＢインターフェイスを介して、メインコントローラと接続され、ＵＳＢ複合デバイスを実装する。デフォルトモードにおいて、ＳＢは、メインＰＣＢに対して、どのようなタッチイベントも使わず、これはセキュリティモード取引を参照されたい。ＳＢは、端末からのデバイスの取り外しを保護するための対策を含む。いくつかの外部タンパーセンサを追加的に制御し、これらは、分解保護およびメッシュ検知のために用いられる。タンパーアラームが、ＳＢ内部マスターキーの即時消去を起こさせる。
【００７１】
メインＰＣＢ（ＭＰＣＢ）は、ＮＦＣを制御し、アカウントデータをＳＢに転送し、決済およびネットワークを制御するソフトウェアを操作する。ＭＰＣＢには、セキュリティコントローラが埋め込まれ、これは、セキュアブートを担当し、セキュアキーストアおよび暗号化機能を提供する。端末には、分解スイッチが埋め込まれ、これは、分解から保護する。例えば、１つのスイッチが、ＳＢにより埋め込まれ、チップカードリーダを保護する。２つのスイッチが、ＭＰＣＢに埋め込まれる。スイッチは、互いに独立しており、ＳＢのタンパーポートにより制御される。
【００７２】
メインＰＣＢマイクロプロセッサは、好ましくは、同期マルチ処理を有する強化ＣｏｒｔｅｘＴＭ−Ａ９  ＭＰＣｏｒｅに基づくＯＭＡＰ４４６０ＴＭ高性能マイクロプロセッサである。
【００７３】
ＭＰＣＢのセキュアコントローラ（ＳＣ）は、好ましくはマキシムチップにより提供される、セキュアマイクロプロセッサＭＡＸＱ１８５０である（図２）。ＳＣの１つの機能は、第１レベルブート動作および暗号化キーのセキュア保存（ＮＶ  ＳＲＡＭ）である。
【００７４】
セキュアコントローラにより用いられるセキュア機能は、
−  セキュアブートの実施
−  セキュアキー保存（ＮＶ  ＳＲＡＭ）
−  ハードウェアＡＥＳおよびＲＳＡエンジン
−  ＳＨＡ−２５６エンジン
−  リアルタイムクロック
セキュアブートシーケンスを実施するために、ＳＣは、ＭＣのｘ−ｌｏａｄｅｒおよびｕ−ｂｏｏｔの整合性を検証する必要があり、これは、ＮＡＮＤ２に位置する。ＮＡＮＤ２フラッシュメモリは、Ｉ２Ｃ−ＩＯエキスパンダを介してアクセスされる。これらのブートコンポーネントの検証後、ＳＣは、ＰＷＲ＿ＯＮ信号をパワー管理ユニットに送ることにより、ＭＣを開始する。
【００７５】
端末の上部、下部または側部からのような、異なる方向からの多重の攻撃を防止するべきである、以下の異なるセキュリティ対策を考察する。
【００７６】
攻撃者は、ＭＰＣＢの異なる位置へのアクセスを得ようと試みる。少なくとも、攻撃者は、秘密認証キーおよび証明書へのアクセスを得て、端末ソフトウェアのパーツを操作するか、またはＰＡＮデータを盗む。
【００７７】
端末ハウジングは、３つのメインブロック、トップシェル（Ａ）と、ミドルシェル（Ｂ）と、ボトムシェル（Ｃ）とを内蔵する。任意のプリンタシェルを有する、端末の構造は、装置の基本的な機能と干渉することなく、または装置のトップおよびミドルシェルに痕跡を残すことなく、パートＡからパートＢを除去することは不可能なやり方で、ＡとＢを結合する。両方のパートは、アクティブなタンパースイッチとともに、装置のセキュアゾーンに組み込まれる。
【００７８】
ＬＣＤコントローラおよびタッチセンサは、可能な実施形態において接着されている。ＭＰＣＢの全てのセキュアな関連コンポーネント（マイクロプロセッサ、フラッシュメモリ、ＵＳＢコントローラ等）は、ディスプレイとＰＣＢ自体との間で、上部に搭載される。コンポーネントの向きは、ＭＰＣＢの中間に相対しており、側部の攻撃を防ぐ。分解は、メインＰＣＢから電気的に隔離された分解スイッチにより保護される。これらはケーブルによってセキュリティボックスに直接接続されている。分解スイッチは、セキュリティボックスと暗号化通信を行うアクティブコンポーネントである。
【００７９】
ＭＰＣＢの裏側は、攻撃されない可能性を提示し、それは、セキュリティ関連の導電経路はＭＰＣＢの内側の層にレイアウトされているためである。裏側への層間接続は回避される。側部攻撃は、特殊工具と、プロセッサ基板の熟練ノウハウとを必要とする。
【００８０】
磁気ヘッドの領域は、追加的なＥＭＩ／ＥＭＣ保護を与える、バネ鋼で作られたカードリーダレールにより保護される。磁気ヘッド自体は、ＭａｇＴｅｋからの暗号化ヘッドである。
【００８１】
分解スイッチは、構造の分解を防止するために用いられる。スイッチは、装置のセキュアゾーンを構築するコンポーネントである。２つのスイッチは、ＭＰＣＢに直接ハンダ付けされ、１つはＳＢにハンダ付けされる。スイッチは、暗号化プロトコルを実施する単一配線接続を介してＳＢと通信するアクティブコンポーネントを有する。暗号化プロトコルは、ＳＨＡ−２５６ハッシュアルゴリズムを用いて、非常に高いレベルのセキュリティを提供する。２５６ビットの長さの大きなキーは、徹底的に攻撃を防止し、一方で多重の物理セキュリティ機能は、装置内に保存される秘密キーの不正な開示を防止する。暗号タンパーセンサから電力が除去されると、キーは自動的に消去される。装置は、固有の４８ビットシリアル番号を含み、このシリアル番号は、入力チャレンジおよび保存された秘密キーと組み合わせて用いられ、それぞれの個別の暗号タンパーセンサに固有の応答を生成する。
【００８２】
３つのスイッチの全ては、互いに独立している。スイッチは、メイン基板に搭載され、手作業でハンダ付けされる。
【００８３】
ＭＰＣＢの多層設計は、メモリやμＣのような重要パーツのパッケージングとともに、裏側からのドリル攻撃からの保護を与える。
【００８４】
タッチセンサケーブルは、ＺＩＦコネクタによってＳＢに接続される。コネクタに対する取り外し攻撃を避けるために、ＺＩＦコネクタは、セキュアゾーン内部に配置され、絞られたＰＣＢフレーム（Ｄ）により締結される。丸い部品は、分解スイッチである。
【００８５】
タッチセンサは、指でのタッチに感応する保護容量タッチ（ＰＣＡＰ）に基づく。ＰＣＡＰは、表面に対する導電性材料に対して高感度である。
【００８６】
別のＰＣＡＰまたは抵抗タッチのいずれかのオーバーレイを行うために、少なくとも、導電性の酸化インジウムスズ（ＩＴＯ）層のようなものを含む。この第２の導電層は、タッチ画面の通常動作により、著しく干渉される。
【００８７】
この端末タッチ領域側には、滑らかなガラス面があり、これは、どのようなオーバーレイも、容易に検出されるようにし、ピン開示バグを可視とせずに隠すスペースはない。
【００８８】
ＰＣＩ  ＳＢファームウェア（図３）は、オペレーティングシステムと、タンパー制御と、タッチ画面用のデバイスドライバと、チップカードリーダインターフェイスと、ＵＳＢホストコントローラインターフェイスとからなる。ＰＣＩ  ＳＢファームウェアは、キー管理、ＰＩＮ暗号化、ＰＡＮ暗号化、チップカード扱いおよびＳＢ／ＭＰＣＢ間の相互認証のための機能を実装する。ＰＣＩ  ＳＢファームウェアは、暗号化および整合性チェックを用いてダウンロード可能であり、ＰＣＩ  ＰＴＳ３．１に従って承認され、担当するのはＳＢベンダである。ＵＳＢ複合デバイスは、タッチイベント用のＨＩＤデバイスインターフェイスと、機能レベル向けのＣＯＭ  ＵＳＢインターフェイス（キー管理、Ｃｒｙｐｔｏ、ＰＩＮ等）とを実装する。
【００８９】
磁気ストライプリーダ（ＭＳＲ）ファームウェアは、キー管理およびデータ暗号化のための機能からなる。暗号化は、ＳＢおよびＭＳＲの間で暗号的に拘束される。
【００９０】
ソフトウェアは、セキュアブート、カーネルモジュールおよびアンドロイドＯＳを含む。アプリケーションパッケージは、取得者により提供される。アプリケーションパッケージは、例えば、決済アプリを含む。図４は、アンドロイドスタックのソフトウェアコンポーネントの概要を示す。アンドロイドプラットフォームは、カスタマイズされ、堅牢化されたアンドロイドまたは他のオペレーティングシステムである。
【００９１】
ＭＰＣＢで動作するセキュリティ関連ソフトウェアコンポーネントは、ＰＣＩ用語でのファームウェアとみなされる。
【００９２】
ＰＣＩ端末ファームウェアは、カーネルコンポーネント、ライブラリおよびアンドロイドランタイムからなる。これらのコンポーネントは、ブート中および少なくとも１日に一度チェックされる。
【００９３】
アドオンアプリケーションとＰＣＩファームウェアの更新が可能である。これは、アプリケーションパッケージの一部としての１つのファイル、または、システムパッケージの一部としてのデバイスドライバを更新する可能性を含む。セキュリティボックスおよびＮＦＣリーダ用のファームウェアファイルを更新することも可能である。ファイルのダウンロードおよび検証は、システムパッケージの一部である端末管理エージェントにより制御される。アプリケーションパッケージに属するファイルは、取得者の責任下で署名され、システムパッケージに属するファイルは、端末ベンダの責任下で署名される。
【００９４】
ブートシーケンス（図５〜図７）の間に、システムパッケージは、整合性をチェックされる。
【００９５】
デバイスマネージャは、パラメータと、決済用の構成ファイル（ＢＩＮテーブル、ＡＩＤテーブル）と、バイナリファイルとを含む、端末構成に関する全ての関連情報を分配する。バイナリファイルは、署名済みアプリケーションファイルを有するＡＰＫファイルおよびシステムのアップデート（これはシステムパーティションの新たなイメージを意味する）を意味する。端末管理プロトコルは、クライアントおよびサーバベースの証明書によるセキュアＳＳＬ通信に基づく。
【００９６】
アプリケーションの更新は、アンドロイドソフトウェアのパッケージマネージャにより提供される。
【００９７】
パッケージマネージャは、端末管理システムにより供給される新たな、または更新されたＡＰＫファイルをインストールする。パッケージマネージャは、ＡＰＫファイルを制御して、セキュリティの弱点を含み得る古いパッケージの再ロードを避ける必要がある。アプリケーション更新プロセスは、以下のステップを備える。
【００９８】
−  アプリケーションの新バージョン（ＡＰＫファイル）をデータストレージにダウンロードする。
【００９９】
−  ＡＰＫファイルの新バージョンを、パッケージマネージャを介してインストールする。
【０１００】
−  パッケージマネージャは、ＡＰＫファイルの署名をチェックし、対象アプリケーションレポジトリにファイルをインストールする。標準アンドロイドキーストアを用いて、署名の検証が行われる。
【０１０１】
−  アプリケーションパッケージ署名は、アプリケーションプロセスが作成されるごとにチェックされる。
【０１０２】
全体システムイメージのアップデートも可能である。これは、同じアプリケーションを介して行われる。
【０１０３】
セキュアシステムのライフサイクル間の重要ポイントの１つは、ブート時にある（図５、図６）。多くの攻撃者は、装置の電源ダウン時に、ソフトウェアの破壊を試み、例えば、フラッシュのセキュアワールドソフトウェアイメージを、タンパーされたものに置き換える攻撃を行う。システムが、フラッシュからイメージを、それが真正であることを最初にチェックせずにブートするならば、システムは脆弱である。ここで該当する原則の１つは、容易にタンパーが行えない信頼されるルートから確立される、全ての端末ソフトウェア向けの信頼のチェーンを生成することである。
【０１０４】
ブートプロセスは、いくつかの部分に分割される。実行される第１のレベルは、”セキュアブート”であり、測定が失敗（署名のチェック）した場合、ブートプロセスを停止する。第２レベルブートは、メインプロセッサＭＣをブートし、システムパッケージ全体の測定を継続し、測定が失敗した場合にプロセスを停止する。図５は、端末ブートシーケンスの原理を示している。
【０１０５】
装置が電源オンすると、ＳＣは制御を担当するが、ＭＣはオフにされたままである。ＳＣは、内部ＲＯＭに基づくそのプリブートローダからブートし、カスタマイズされたＲＯＭコードを実行し、このＲＯＭコードは、アンドロイドシステムのブートに必要なｘ−ローダ、ｕ−ブートおよび証明書を検証する。これらのコンポーネントは、ＮＡＮＤ２フラッシュメモリに配置される。これらのコンポーネントが、正と判定された場合、ＳＣは、ＰＷＲ＿ＯＮ信号を切り替えることにより、ＭＣをリリースする。検証を目的として、検証されるコンポーネントのパブリックキー（ＰｕＫ）およびチェックサムは、ＳＣのＮＶ  ＳＲＡＭに保存されている。キーは、端末ベンダにより発行され、セキュアな製造環境にロードされる。第１レベルブートのカスタマイズは不可能であり、装置は、その内部のカスタマイズされたＲＯＭコードから常にブートする。コードは、端末ベンダのセキュアな環境において、装置製造の間にロードされる。
【０１０６】
ｕ−ブートは、ｘ−ローダにて行われなかったＣＰＵ依存および基板依存の初期化および構成を行う。ｕ−ブートは、また、システムパッケージを検証する整合性チェックルーチンを含む。グローバルデバイスリストの初期化および割り込みのイネーブル後、ｕ−ブートは、カーネルをロードおよび起動する。このとき、カーネルは責任を負い、チェック済みおよび検証済みソフトウェアコンポーネントを動作させる。
【０１０７】
以下のＭＣのコンポーネントは、ＳＣの第１レベルブートの間に検証される。
【０１０８】
−  ブートストラッピング（x-load.bin.ift）
−  ブートローダ（u-boot.bin）
−  証明書
−  ＳＲＡＭ内容
以下のコンポーネントは、第２レベルブートの間に検証される。
【０１０９】
−  カーネルイメージ（ｕＩｍａｇｅ）
−  基本ファイルシステム（ｒｏｏｔｆｓ）
−  ＰＣＩファームウェア（ＰＣＩ  ＰＴＳ関連ＳＷコンポーネント）
以下のプロセッサ信号［７］は、ブート構成に関連し、ブートロケーションをＮＡＮＤ２に固定化（hard wire）するために修正を必要とする。
【０１１０】
このＳＣの第１レベルブータは、装置が電源オンにされた際に実行される、カスタマイズされたＲＯＭコードである。第１レベルブータは、ＮＡＮＤ２フラッシュメモリに位置する以下のコンポーネントを検証する。
【０１１１】
−  ルート証明書ＣｅｒｔＴＶ
−  ＢＳＰ証明書ＣｅｒｔＳＩ
−  パブリックデバイスキーＭＳＰＫａｕｔｈ
−  ＮＶ  ＳＲＡＭ内容
−  ｘ−ローダのバイナリ
−  ｕ−ブートのバイナリ
実行および検証が成功した後、第１レベルブータは、パワーマネージメントユニットＴＰＳ６５９２０のＰＷＲ＿ＯＮ信号をリリースする。これは、ＭＣ内部ＲＯＭコードの実行を開始し、ｘ−ローダコードのローディングを強制し、これは、第２ブートレベルを開始する。
【０１１２】
ｘ−ローダは、変更できないＧＰＩＯ構成のセットにより決定される。これは、常にＮＡＮＤ２フラッシュ内の固定アドレスに位置し、どのようなセキュリティ対策も含まない。ｘ−ローダは、いくつかの構成と、内部メモリへのｕ−ブートローダのローディングとを担当する。
【０１１３】
ｕ−ブートは、ＭＰＣＢベンダのｕ−ブートローダから得られ、システムパッケージの検証を拡張する。整合性チェックサムの検証のために、ベンダ証明書（ＣｅｒｔＳＩ）が用いられる。ｕ−ブートは、システムパッケージ全体を検証する。
【０１１４】
オーセンチケータ（Authenticator）は、アンドロイドＯＳのｉｎｉｔプロセスにより開始されるプログラムである。これは、ＳＢとの相互認証のためのセキュリティプロトコルの実施を担当し、Ｃｒｙｐｔｏ  ＡＰＩを使用して、ＳＣのキー材料および暗号機能にアクセスする。
【０１１５】
セキュリティプロトコルは、ＳＢ（Ｋｂｋ）により生成されるベースキーを使用するＴ−ＤＥＳに基づく。
【０１１６】
もう１つのタスクは、例えば２４時間毎の、システムパッケージの検証である。
【０１１７】
暗号マネージャは、ＳＣの下にあるセキュリティアーキテクチャを使用するＣｒｙｐｔｏ  ＡＰＩを実施し、決済プロバイダおよびセキュアＨＤドライバに低レベル暗号機能を提供する。タッチ画面の一体化のために、プラットフォームは、ＳＢのタッチコントローラをアンドロイドシステムにリンクするＵＳＢ−ＨＩＤドライバを提供する。信号は、このカーネル入力デバイスドライバにより変換され、アンドロイドＥｂｅｎｔＨｕｂコンポーネントに提示される。アンドロイドＩｎｐｕｔＲｅａｄｅｒコンポーネントは、次いでデバイスクラス（ＨＩＤ）に従って入力イベントを復号し、アンドロイド入力イベントのストリームを生成する。このプロセスの一部として、Ｌｉｎｕｘ（登録商標）入力プロトコルイベントコードを、入力デバイス構成、例えば様々なマッピングテーブルに従ってアンドロイドイベントコードに変換する。最後に、入力リーダは、入力ディスパッチャに、よってトップアプリケーションウインドウにイベントを送る。可能な実施形態におけるＨＩＤドライバは、暗号化／解読を実施しない。ＰＩＮ入力の間に、タッチイベントは提示されない。
【０１１８】
今のところ、この挙動は、標準アンドロイド挙動であり、アドオンアプリケーション展開に対して影響を持たない。１つの制限が存在し、プラットフォームは、セキュリティ関連ソフトウェアコンポーネントの整合性を検証する。検証が正ならば、プラットフォームは、相互認証プロトコルに埋め込まれたＳＢに通知を送る。この通知は、ＳＢに、ＭＰＣＢに対するタッチイベントの提示をリリースすることを強制する。整合性チェックの認証に失敗すると、イベントは提示されず、デバイスは電源を落とされる。
【０１１９】
ＳＢ暗号ドライバは、低レベルＵＳＢインターフェイスをＳＢに提供する。このインターフェイスは、アクティブな暗号類似物セキュアＨＩＤドライバを実装し、ＳＢと通信する。このインターフェイスは、決済プロバイダに低レベル機能を提供する。
【０１２０】
決済プロバイダは、決済機能またはセキュリティ機能を必要とする全てのアプリケーションのための共通インターフェイスを提供する、コンポーネントのセットである。以下に、決済プロバイダの高レベル機能を説明する。
【０１２１】
決済プロバイダは、ＥＭＶ（Europay, MasterCard and Visa）取引処理に関連するインターフェイスを提供する。このインターフェイスは、以下のものをカバーする決済アプリケーション用の共通高レベルビルディングブロックを提供する。
【０１２２】
−  アプリケーション選択（ＥＭＶアプリケーションを読み込み、ＡＩＤ構成テーブル内の構成済みアプリケーションに関する候補リストを処理する。
【０１２３】
−  オフライン処理  −  ＩＣＣカードからの記録の読み込みを処理し、必要なデータをチェックする。オフライン処理は、ＳＤＡ、ＤＤＡ、ＣＤＡ認証およびＣＶＭ処理（オフラインまたはオンラインＰＩＮ入力の扱い）、ならびに端末リスク管理ステップも処理する。
【０１２４】
−  第１の暗号  −  オフライン処理により集められる結果に関する、第１の暗号タスクの処理
−  第２の暗号  −  オンラインモードで行われる取引の場合、第２の暗号は、（成功または失敗した）オンライン通信後に、最終暗号計算を生成し、重要および重要でないＥＭＶスクリプトの処理を扱う。
【０１２５】
全体の取引処理は、決済アプリケーションが担当する。オフライン／オンライン取引プロセスの扱いおよび印刷は、決済アプリケーションにより処理すべきである。
【０１２６】
ＥＭＶ非接触インターフェイス（PayPass, PayWave）は、非接触カード処理用のインターフェイスを提供する。非接触カードは、ＰａｙＰａｓｓまたはＰａｙＷａｖｅカーネルを用いるＥＭＶブックＡおよびＢに定義されるルールに関して処理される。これは、成功した取引にとって必須の全てのステップを処理することを意味する。
【０１２７】
−  読み出し記録処理
−  暗号の生成
−  ＣＶＭリストまたはＣＴＱおよびＴＴＱインジケータの処理
全体の取引処理は、決済アプリケーションが担当する。オフライン／オンライン取引プロセスのＣＶＭ処理、印刷および扱いは、決済アプリケーションにより処理される必要がある。
【０１２８】
カードリーダインターフェイスは、使用されるカードメディアの種類に依存する、関連するカード読み出し機能のためのインターフェイスを提供する。
【０１２９】
−  磁気ストライプカードには、読み出しデータ（Track 1, Track 2, Track 3）およびスワイプカードの検出に関する情報を提供する。
【０１３０】
−  ＩＣＣインターフェイス向けには、カード読み出しスロットに対するカードの挿入を検出する可能性を提供し、ＥＭＶリセット（必要なデータの扱いを含む）と、低レベルインターフェイス（ＡＰＤＵベース）を処理し、これらは、非ＥＭＶカード用、または標準ＥＭＶカードの任意の特殊ローカル拡張の扱いのために用いることができる。
【０１３１】
−  非接触カードは、このインターフェイスを介して検出することができ、インターフェイスは、検出したカードに関する追加的情報を提供する（決済カードは、次いで、ＥＭＶ非接触インターフェイスにより処理される）。非標準またはプライベートの非接触カード用に、低レベルデータプロトコルを用いる直接通過インターフェイスを用いることができる。
【０１３２】
セキュア保存インターフェイスは、例えばオフライン取引の保存に関する、休止中のセキュアな関連決済データを保存するか、またはキューを保存および転送するために用いられる。データ保存のために、メインＰＣＢ基板（データパーティション）の標準フラッシュ内部メモリが用いられるが、全てのデータは、２つのキーレベルにより暗号化される。
【０１３３】
セキュリティインターフェイスは、取引処理の間、または決済バックエンドシステムとの通信の間に用いられる、標準セキュリティ機能用のインターフェイスを提供する。
【０１３４】
−  ＭＡＣインターフェイス
−  メッセージのＭＡＣコードを計算するためのインターフェイス
−  キーローディングインターフェイス
−  暗号化インターフェイス
キー管理（ＫＭＳ）の目的で、端末は、ＤＵＫＰＴ［１４］およびＣＢＡ［４］特定機能を提供し、決済アプリケーションをＫＭＳに適合させる。
【０１３５】
ＰＩＮインターフェイスは、ＰＩＮ扱い機能およびＰＩＮブロック暗号機能に用いられる。オフラインＰＩＮ扱いプロセス（クリアテキストＰＩＮ処理、暗号化されたオフラインＰＩＮ処理）およびオンラインＰＩＮ処理の間に用いられる。
【０１３６】
−  オフラインクリアテキストＰＩＮプロセス（ＥＭＶ取引インターフェイスにより用いられる）
−  オフライン暗号化ＰＩＮプロセス（ＥＭＶ取引インターフェイスにより用いられる）
−  オンライン暗号化ＰＩＮプロセス（共通取引処理パートおよびＥＭＶ取引インターフェイスにより用いられる）、これは２つの部分に分けられる
−  ＰＩＮ入力プロセスおよびＰＩＮブロック計算および検索タスク。
【０１３７】
決済アプリ（アプリケーション）は、標準アンドロイドインターフェイスおよびカスタム決済プロバイダインターフェイスの上に構築される。決済アプリケーションは、顧客（取得者）により要求される、成功した決済取引を処理するのに必要な全ステップを実施する。主な役割は、以下の通りである。
【０１３８】
−  取引に必要な全てのデータの入力プロセス（小売業者入力）
−  カード読み出しおよびカード処理タスクのプロセス（決済プロバイダが用いられる）
−  カードスキームまたはカードメディアタイプ（ＩＣＣ、非接触、ｍａｇ．  Ｓｔｒｉｐｅ）により要求される取引フローに応じたプロセス取引。
【０１３９】
これらのステップは、ＰＩＮ入力処理、ＥＭＶまたは非接触処理、リスク管理処理を含む
−  アプリケーションは、ホストとの通信およびホストプロトコルインターフェイスの実施を担当する。
【０１４０】
−  アプリケーションは、キャッシュレジスタとの統合に用いられるＥＣＲプロトコルの実施を担当する。
【０１４１】
−  アプリケーションは、取引に関するデータを集め、デイプロセス（day process）を閉じるためのデータを準備する（デュアル−メッセージの場合、システムは、決済プロバイダのセキュリティインターフェイスにより保護される保存および転送キューを用いる）。
【０１４２】
決済アプリに加えて、１セットのバリュー付加アプリケーションを、装置にインストールすることができる。これらのアプリケーションの即時払い制御は、端末取得者の責任下にある。これらのアプリは、以下のような追加の機能およびより高い利便性を小売業者に供給する。
【０１４３】
−  Ｄｙｎａｍｉｃ  Ｃｕｒｒｅｎｃｙ  Ｄｏｎｖｅｒｓｉｏｎ  （ＤＣＣ）
−  ポイントオブセール／電子キャッシュレジスタ統合能力
−  Ｓｉｍｐｌｅ  Ｓｐｌｉｔ  Ｂｉｌｌ
−  その他
このアプリケーションは、キャッシュおよび小切手購入の捕捉を可能にし、カード、キャッシュおよび小切手購入を含む端末からの全ての購入に関する小売業者情報を提供する。
【０１４４】
セキュリティコンセプトは、Ｇｏｏｇｌｅ  Ｗａｌｌｅｔにより提供されるサービスも可能にする。装置は、マスターカードＰａｙＰａｓｓ決済方法により承認されるＮＦＣリーダ装置として動作する。
【０１４５】
端末は、中央ログサービスが設けられる。ログ情報はファイルに書かれ、このファイルは、端末管理システムに送信することができる。いくつかのセキュリティ制御があり、これらは、端末管理エージェントによって報告することができ、さらなる情報は、”端末ライフサイクル”セクションの”セキュリティ制御”にある。
【０１４６】
ＴＭＳエージェントは、ネットワークにインストールされた端末の管理を担当する。これは、端末の実際のＨＷおよびＳＷステータスに関する情報を供給し、さらに、アドオンアプリケーションおよびＰＣＩファームウェアのダウンロードを担当する。これは、中央ＴＭＳシステムと相互作用する。原則的に、ＴＭＳエージェントは、端末データを、スポンサーにより操作されるデバイスマネージャに提供する。デバイスマネージャは、端末セッティングを端末にダウンロードする。ＴＭＳエージェントは、例えばデバイスマネージャにより分析することができるセキュリティ情報を集める。正確な情報および構造は、別の文献に詳述される。以下の情報は、このリストを提供することを目的とするが、これに限定されない。
【０１４７】
電源オンの後（図７）、ＳＢのデフォルト様式は、セキュアモードであり、これは、ＳＢがタッチイベントを提示することを防ぐ。システムパッケージの検証が成功したセキュアブート後は、端末はＳＢにより相互認証を処理し、オーセンチケータが責任を持つ。認証に成功した後、ＳＢは、タッチイベントの提示を許可するクリアテキストモードに移行する。
【０１４８】
相互認証を担当するプロセスは、アンドロイドシステムのｉｎｉｔプログラムにより開始される。相互認証は、ＰｋａｕｔｈおよびＳｋａｕｔｈならびに端末ベンダ証明書に基づく。
【０１４９】
クリアテキストモードは、端末が電源オフされた際、または定義済時間フレーム（２４ｈ）が切れた後に終了される。時間フレームは、端末管理エージェントにより制御される。ＰＩＮ入力のために、ＳＢは、セキュアＰＩＮモードに移行するが、ＨＩＤクラスを介して、置換座標を除きＰＩＮコードまたはタッチイベントは送信されない。セキュアＰＩＮモードを開始する決済アプリケーションは、ＳＢにより生成される暗号キーを用いてＳＢにより認証される必要があり、登録の間に決済アプリケーションに送信される。登録は、ＨＩＤデバイスドライバおよび汎用ＵＳＢデバイスドライバが、セキュリティボックスに登録する際のプロセスである。セキュアＰＩＮモードは、ファンクションキー（キャンセル、クリア）が押下されるか、またはカード所有者により最大ＰＩＮ文字が入力されると終了する。以下の状態図は、異なるモードの概要を示している。
【０１５０】
アンドロイドモバイルプラットフォームは、全ての種類のアプリケーション開発に対しオープンとなるように設計されており、これは、先進的なハードウェアおよびソフトウェアを利用する。端末プラットフォームで実行されるアプリケーションは、提供されるこのアーキテクチャに頼らざるを得ない。追加的な特定プラットフォーム堅牢化は、アンドロイド堅牢化のチャプタにて適用され記載されている。アンドロイドプラットフォームセキュリティアーキテクチャは、以下のキーとなるセキュリティ機能からなる。
【０１５１】
−  ＯＳに対して堅牢なセキュリティを提供するであろうＬｉｎｕｘカーネル
−  アプリケーションサンドボクシング
−  セキュアなプロセス間通信
−  アプリケーション定義およびユーザ承諾された許可
アンドロイドセキュリティプラットフォームの一般既述は、デベロッパのページhttp://source.android.com/tech/security/index.htmlに提供されている。
【０１５２】
以下のコンポーネントは、端末のセキュリティ境界と相互作用する。
【０１５３】
装置向けには、切り替え可能なプライバシーフィルタが用いられる。切り替え可能なフィルタは、画面に表示されるランダム移動されるソフトＰＩＮパッドと組み合わせて動作する。ＬＣＤパネルは、透明なフォイルにより覆われる。フォイルに一体化されたレンズは、選択されたサブ画素の光を、当該の装置［２］の要件に準拠し、限定された固定の保護角度に集中させる。この固定角度の外では、これらのサブ画素からの情報は不可視である。
【０１５４】
通常モードでは、ＬＣＤパネルの全ての画素は、アクティブである。情報は、全ての側から可視となる。ピン入力モードのみで、レンズを有する選択されたサブ画素を用いて、画面上の仮想ＰＩＮパッドが示される。画面を垂直に見るＰＩＮを入力するユーザのみが、仮想ＰＩＮパッドを見ることができる。画面の小さい部分は、通常モードにあり、別の部分は、同時にＰＩＮ入力モードにあることが可能である。技術的な理由から、ＰＩＮパッドは、モノクロのみで示すことができる。ＰＩＮ入力モードにおける画面の解像度および明るさは制限され、これは、画素のサブセットのみを用いるためである。
【０１５５】
画面上のＰＩＮパッドの大きさおよび位置は、フレキシブルであり、取引ごとにランダムに変化する。画面からの情報なしでは、タッチ画面上の指位置の検出によってＰＩＮを探り出すことは不可能である。Ｐｉｎ入力モードでの数字キーおよびファンクションキーのみ、通常モードの画面上の固定位置に示すことが推奨される。
【０１５６】
カメラ光学（視角度）と、カメラの配置との組み合わせは、ＰＩＮ入力モードの間の指位置を探り出すことを防止する。
【０１５７】
センサイベントは、カーネルドライバからＤａｌｖｉｋに提示され、Ｓｅｎｓｏｒ  Ｅｖｅｎｔクラスに提示される。全ての値は、ラジアン／秒にあり、装置のローカルＸ、ＹおよびＺ軸を中心とする回転速度を測定する。これは、タッチイベントを受信する代わりに、ＰＩＮ入力の間に回転速度を測定することにより、画面上に仮想ＰＩＮパッドを表示する、ソフトウェアベースのＰＩＮ開示バグから用いられるかもしれない。以下の対策は、ソフトウェアベースのＰＩＮ開示バグのインストールを防止する。
【０１５８】
端末は、取得者署名済みアプリケーションのみを実行する。これらのアプリは、資格があり、署名され、取得者の制御下にある。未知のアプリのインストールは、端末のブートシーケンスの間に、端末の整合性管理システムにより防止される。ハードウェアベースの攻撃は、範囲外である。
【０１５９】
以下の通信デバイスを、堅牢化コンセプトに含めることができる。
【０１６０】
−  ＰＣＩＥ  ３Ｇ  Ｍｏｄｕｌｅ
−  Ｅｔｈｅｒｎｅｔ（登録商標）  ＩＦ  Ｍｏｄｕｌｅ
−  ＷｉＦｉ、ＢｌｕｅＴｏｏｔｈ（登録商標）、ＧＰＳ
端末のベンダは、システムパッケージ署名の責任を持ち、検証用のブートローダに証明書ＣｅｒｔＳＩを埋め込む。ブートローダ自体は、ＳＢコントローラのＮＶ  ＳＲＡＭに埋め込まれた、異なるパブリックキーを用いて検証される。
【０１６１】
アンドロイドシステムは、全てのインストール済みアプリケーションが、証明書によりデジタル署名されていることを要求し、証明書のプライベートキーは、アプリケーションの発行者により保持される。
【０１６２】
アンドロイドシステムは、証明書を、アプリケーションの作者を識別し、アプリケーション間の信頼関係を成立させる手段として用いる。証明書を用いて、発行者がインストールできるアプリケーションはどれかが制御される。Ｋｅｙ  Ｌｉｆｅ  Ｃｙｃｌｅに従い用いられる技術ならびに関連サービスは、ＩＳＯ  １１５６８−２およびＡＮＳＩ  Ｘ９．２４に準拠する。デバイスキー管理のためには、異なる目的の対称および非対称暗号法が適用される。端末により提供されるアルゴリズム用の最小キーサイズおよびパラメータは、ＰＣＩ要件に従う。
【符号の説明】
【０１６３】
［１］ＰＩＮ取引セキュリティ相互作用ポイント（PIN Transaction Security Point of Interaction）、Ｖｅｒ．３．１  ２０１１年１０月、ＰＣＩモジュラーセキュリティ要件（PCI Modular Security Requirements）
［２］ＰＩＮ取引セキュリティ相互作用ポイント（PIN Transaction Security Point of Interaction）、Ｖｅｒ．３．１  ２０１１年１０月、ＰＣＩモジュラー誘導テスト要件（PCI Modular Derived TEST Requirements）
［３］ＵＳＢインテリヘッドの暗号化（Encrypting USB Intellihead）、技術リファレンスマニュアル（Technical Reference Manual）、９９８７５３７０−２  ＭａｇＴｅｋ  ２００９年４月
［４］ＣＢＡ  ＥＦＴＰＯＳ規格、Ｖｅｒ．１．５  ２００６年８月
オーストラリア・コモンウェルス銀行
［７］ＯＭＡＰ４４６０  マルチメディアデバイスシリコン改訂１．０Ｑ  テキサスインスツルメンツ
［８］Ｍａｘｉｍ  ＭＡＸＱ１８５０データシート
［９］Ｈ２６Ｍ５２００２ＣＫＲ  ｅＭＭＣメモリ  ＨＹＮＩＸデータシート
［１４］ＡＮＳＩ  Ｘ９．２４−１  小売金融サービス対称キー管理（Retail Financial Services Symmetric Key Management）
【図２】
2016516230.tif 000003
【図３】
2016516230.tif 000004
【図４】
2016516230.tif 000005
【図５】
2016516230.tif 000006
【図６】
2016516230.tif 000007
【図７】
2016516230.tif 000008
【図１】
2016516230.tif 000009
【図８】
2016516230.tif 000010
【国際調査報告】
2016516230.tif 000011
2016516230.tif 000012
2016516230.tif 000013
2016516230.tif 000014
2016516230.tif 000015