ホストのユーザが開始した、前記ホストとサーバとの間のトランザクションを認可するための方法であって、a前記ホストへトークンを操作上接続するステップ、b前記ホストによって、前記ユーザの識別証明を受信するステップ、c前記トークンおよび前記サーバからなるグループから選択した少なくとも一つのデバイスで、前記識別証明を検証するステップ、d前記トークンによって、人間による規定の作用を検出するステップ、e前記検出を条件として、前記トークンによって、トークン認証データを生成するステップ、f前記ホストによって、前記トークン認証データを前記サーバへ送信するステップ、そしてg前記トークン認証データを受信することを条件として、前記サーバによってトランザクションを認可するステップからなる、方法。本発明の目的は、トークンが、PINを受信するための、または生物学的属性を測定するための入力デバイスを含むことを要求することなく、コンピュータに接続した認証トークンを、悪意のあるプログラムに乗っ取られることから保護するためのシステムおよび機能を提供することである。より詳しくは、本発明の目的は、ユーザのコンピュータ上で作動する悪意のあるプログラムが、直前の正規の認証セッションの間に傍受したPINを利用するとともにコンピュータに接続されたトークンを利用して実行する、意図しない、そして目立たない認証セッションから、トークンのユーザを保護することである。トークンは、データを含む、および/あるいはデバイスに関連するユニークなIDを認証するための処理能力を含むポータブルデバイスを意味する。トークンのための模範的なフォームファクタは、スマートカード、USBキー、そして電話機またはハンドヘルドコンピュータ用の拡張カードを含む。トークンは、独立型デバイスであっても、またはUSBフラッシュメモリディスク等の、別のデバイスの一部を形成するものであってもよい。ホストは、典型的に販売業者または金融機関であるプロバイダのサーバとのトランザクションを実行するための処理および通信デバイスを意味する。ホストの例としては、パーソナルデスクトップまたはラップトップコンピュータ、携帯電話、2ウェイポケットベル、そしてハンドヘルドコンピュータを含む。ユーザは、プロバイダとのトランザクションの実行を望み、トランザクションを実行するためにIDの認証が必要な、彼あるいは彼女自身を代表する、または組織に代わって操作する個人を意味する。トランザクションは、当事者の相互確約を伴う、ユーザとプロバイダとの間のビジネスプロセスを意味する。個人識別番号またはPINは、個人に既知である、その個人を認証するための、数字で表した秘密の文字列を意味する。一つの共通なパラダイムによれば、PINは、ユーザおよびプロバイダにのみ既知である。代替的な共通パラダイムによれば、PINは、ユーザと彼女のトークンにのみ既知である。したがって、トークンをアンロックするように機能する。パスワードまたはパスフレーズは、その目的においてPINと同様であるが、通常、英文字および記号をも含む。したがって、PINは、パスワードの特別なケースである。生物学的属性は、個人の身体の特徴例えば、指紋または虹彩パターンであり、適当なセンサで読み込んでデジタル化する。したがって、センサが生成するデジタルデータは、本文で生体情報と呼ぶ。ユーザ識別は、PIN、パスワードまたは生体情報のいずれかを受信して検証することを意味する。PIN、パスワードおよび生体情報は、識別証明の例である。識別証明は、トランザクションを要請する許可が与えられた個人のみからの受信が予想されるデータを意味する。あなたが知っていること例えば、パスワードまたはPIN、あるいはあなたであること例えば、生体情報のいずれかである。認可は、トークンおよびユーザIDからの情報を組み合わせた、ユーザ識別に関する信頼性の高い検証を意味する。トークンおよびユーザIDからの情報の組み合わせが、二つの別個の、必須な情報として、プロバイダのサーバに到達する、あるいはユーザIDがローカルで検証されて、トークンをアンロックして作動させるようローカルで使用され、それからトークンからの情報のみが、プロバイダのサーバでまたは専用ハードウェアで、あるいはプロバイダのサーバに関連した認証サービスによってチェックされる。悪意のあるプログラムは、偽の認証を介して詐欺的なトランザクションを生成する目的で、ホスト上に不正にインストールされたソフトウェアコードを意味する。悪意のあるプログラムが、ホストへ結合した入力デバイス例えば、従来のキーボードあるいは指紋リーダを介して入力されたPIN、パスワードまたは生体情報を傍受すること、また、ホストへ接続したトークンにアクセスすることが可能である、と仮定する。人間による規定の作用は、個人のみが行うことが可能な、同じ目的に役立つ可能性のある機械が生成する作用を除外するという特定目的のために定義した作用を意味する。例えば、本発明の人間による規定の作用の目的は、ホストへ接続したトークンによって、個人の存在を検出することである。これは、例えば、トークンを切り離して再接続することを要求することによって、またはトークンに、個人の存在を検証するために押されなければならないボタンを備えることによって成就できる。アノニマス相互作用は、デバイスまたはシステムとの個人による相互作用を意味する。この動作は、例えば、PINまたはパスワード等の制限情報を所有している個人に、個人を識別することを要求せず、また、個人に特有で個人を識別する生物学的特徴等の属性を持つことを個人に要求しない。したがって、アノニマス相互作用は、個人の存在を検証するが、個人を識別しない。本発明の目的は、正規のトランザクションにおいて入力されたユーザIDデータを傍受したホスト上の悪意のあるプログラムが、透過的にトランザクションを生成してユーザに代わってトランザクションを不正に認可することを防止することである。本発明のゴールは、トークンの本体内にキーパッドおよび/あるいは指紋センサを埋め込むことによって、成就することが可能であるが、そのような追加を行うと、トークンは、よりかさばって、より高価なものとなる。本発明は、したがって、トークン内に埋め込んだPINあるいはパスワードキーパッド、または生物測定センサを用いることなく、上述の目的を達成することを目指す。したがって、本発明によれば、ホストのユーザが開始した、ホストとサーバとの間のトランザクションを認可するための、次のステップからなる方法が提供される。aホストへトークンを接続操作するステップ。bホストによって、ユーザの識別証明を受信するステップ。cトークンおよびサーバからなるグループから選択した少なくとも一つのデバイスによって、識別証明を検証するステップ。dトークンによって、人間による規定の作用を検出するステップ。e検出を条件として、前記トークンによって、トークン認証データを生成するステップ。fホストによって、トークン認証データをサーバへ送信するステップ。そしてgトークン認証データを受信したことを条件として、サーバによって、トランザクションを認可するステップ。さらに、本発明によれば、ホストとサーバとの間のトランザクションを認証するための、次のものを含むデバイスが提供される。aホストに相互作用するためのデバイスインターフェイス。bホストへ取り外し可能にデバイスインターフェイスを接続操作するためのコネクタ。そしてcアノニマスな人間による規定の作用の、コントローラによる検出を条件として、デバイスインターフェイスを介してホストからトランザクション認証要求を受信すると、一度だけトランザクションを認証するように作動可能なコントローラ。さらに、本発明によれば、個人によってホストへ接続操作された周辺デバイスにその個人の存在を確認する、次のステップを含む方法が提供される。aホストにホストユーザ入力インターフェイスを提供するステップ。b周辺デバイスにデバイスユーザ出力インターフェイスを提供するステップ。c周辺デバイスによって、デバイスユーザ出力インターフェイスに少なくとも一つの出力を生成するステップ。d少なくとも一つの出力の各々に対して、ホストによって、対応する入力を捉えるためにホストユーザ入力インターフェイスを監視するステップ。そしてeホストによって、対応する入力の各々を周辺デバイスへ報告するステップ。各報告が周辺デバイスによって受信された場合にのみ、個人の存在が確認される。さらに、本発明によれば、ホストとサーバとの間のトランザクションを認証するための、次のものを含むデバイスが提供される。aホストに相互作用するためのデバイスインターフェイス。bユーザインターフェイス。そしてcデバイスインターフェイスを介してホストからトランザクション認証要求を受信すると、サーバを検証し、そしてユーザインターフェイスを介して、検証の成功を表示するように作動可能なコントローラ。さらに、本発明によれば、ホストとサーバとの間のトランザクションを認証するための、次のステップを含む方法が提供される。aホストへトークンを接続操作するステップ。bトークンによって、サーバを検証するステップ。そしてcトークンのユーザインターフェイスを介して、トークンによって、検証の成功を表示するステップ。本発明の第一の方法は、ホストのユーザが開始した、ホストとサーバとの間のトランザクションを認可するための方法である。基本的な方法によれば、トークンは、ホストへ接続操作される。ホストは、ユーザの識別証明を受信する。識別証明は、トークンによって、またはサーバによって、あるいはトークンおよびサーバの両方によって検証される。識別証明が、ホスト上で作動する悪意のあるプログラムによって生成されたものではないことを保証するために、トークンが、人間による規定の作用を検出した場合にのみ、トークンは、トークン認証データを生成する。それから、ホストは、トークン認証データをサーバへ送信する。サーバがトークン認証データを受信した場合、サーバは、トランザクションを許可する。ホストが受信する識別証明は、PIN等のパスワードである、あるいは択一的に生体情報であることが好ましい。トークンが検出する人間による規定の作用は、トークンがホストへ作動可能に接続されている間に少なくとも部分的に実行される、個人とトークンとの間の相互作用を含むことが好ましい。トークンがホストへ作動可能に接続されている間に相互作用を少なくとも部分的に実行しなければならないことは、相互作用の定義の範囲から、最初にホストからトークンを分離することをせずに単にホストへトークンを接続操作することを除外する。この点に関して、オペレーションの開始時にはトークンがホストへ実際に作動可能に接続されているのだから、ホストからトークンを分離操作することは、トークンがホストへ作動可能に接続されている間に実行すべきオペレーションである、とみなすことに注意すべきである。本発明の範囲は、例えば識別証明の受信を介して個人を識別する相互作用を含むが、識別証明が、トークンによってではなく、ホストによって受信されるので、トークンは、例えば、キーパッドまたは生物測定センサ等の、大きな、そしてコスト高なユーザインターフェイスを含む必要がない。それでいて、個人を識別することなく個人の存在を検出するために、トークンに、ボタンあるいはLED等の、小さな、安価なユーザインターフェイスを設けることは、本発明の範囲内にある。ホストユーザインターフェイスを介したユーザ識別を、最小のトークンユーザインターフェイスを介したトークンによるアノニマスユーザ存在検出に組み合わせることは、本発明の重要な要素である。アノニマス相互作用は、個人とトークンとの間の直接的な相互作用であることが好ましい。相互作用が直接的であるというのは、例えばホスト等の、もう一つのエンティティによって調停されないことを意味する。そのような直接的な相互作用の例としては、ホストからトークンを分離操作してから、トークンをホストへ再接続操作し、そしてトークンを構成する最小限のユーザインターフェイスをアノニマスに操作することを含む。もう一つの、そのような直接的な相互作用は、トークンに、トークンがもうすぐ認証データを生成することを合図するためのユーザインターフェイスを設けることを必要とする。関連する相互作用は、その合図後の少なくとも所定の時間だけ、トークンをホストへ作動可能に接続したままにすることである。択一的に、アノニマス相互作用は、トークンに直接的にではなく、ホストによって調停する。トークンがユーザインターフェイスを備える、そのような調停相互作用の一つの例は、例えば、ホストのキーボードでキーを押すことによって、ホストに相互作用することである。この場合、ホストは、トークンのユーザインターフェイスから、少なくとも一つの信号の各々に実質的に同期された、好ましくは複数の信号の各々に実質的に同期された対応するユーザ入力を受信する。入力を受信すると、ホストは、すぐに入力の受信をトークンへ報告する。対応する信号の生成に実質的に同期されたこれらの報告の受信は、トークンによる、人間による規定の作用の検出を構成する。この文脈における同期は、通常の人間の反応時間を考慮して定義する。例えば、信号を聞いた後の1秒以内にキーを押すことは、信号に同期させることであるが、信号を聞いて20秒後にキーを押すことは、信号に同期させたことにはならない。この方法は、また、トークンにユーザインターフェイスを提供すること、トークンによってサーバを検証すること、そしてトークンによって、検証が成功したかどうかを表示することを含むことが好ましい。この場合、人間による規定の作用は、検証の成功を条件とする。検証が失敗ならば、ユーザは、トークンと相互作用することを控える。ホストとサーバとの間のトランザクションを認証するための、本発明の基本的な第一のデバイスは、ホストに相互作用するためのデバイスインターフェイス、ホストへ取り外し可能にデバイスを接続操作するためのコネクタ、そしてデバイスインターフェイスを介してホストからトランザクション認証要求を受信し、コントローラによってアノニマスな人間による規定の作用を検出したときにのみ、一度だけトランザクションを認証するコントローラを含む。そのような人間による規定の作用の一例は、認証要求が受信される前の所定時限内に、ホストへデバイスインターフェイスを接続操作することである。この状態を、デバイスインターフェイスを介して検出する。人間による規定の作用の他の例は、デバイスがユーザインターフェイスをも含むことを要求する。そのような一例は、認証を可能にするための、ユーザインターフェイスとの相互作用である。もう一つの、そのような例は、デバイスインターフェイスを、認証要求が受信されたことをユーザインターフェイスが表示した後の少なくとも所定の時間だけ、ホストへ作動可能に接続されたままにしておくことである。もう一つの、そのような例は、ユーザインターフェイスからの少なくとも一つの信号の各々に実質的に同期させてホストに相互作用することである。しかし、この場合は、ユーザインターフェイスからの複数の信号の各々に同期させることが好ましい。後の例における、コントローラによって人間による規定の作用を検出することは、ホストから相互作用の通知を受信するためのコントローラを含む。コントローラによる認証は、また、デバイスインターフェイスを介してのコントローラによる、ホストで入力した識別証明例えば、パスワード、PINまたは生体情報の受信、そしてコントローラによる識別証明の検証を条件とすることが好ましい。デバイスは、また、ユーザインターフェイスを含み、そしてコントローラは、また、サーバを検証し、ユーザインターフェイスを介して、サーバの検証が成功したかどうかを表示するように作動可能であることが好ましい。デバイスは、また、デバイスインターフェイスを介してホストから受信したデータを記憶するなどの、トランザクションの認証には関係しない機能を提供するために、例えばメモリ等の、機能コンポーネントを含むことが好ましい。デバイスインターフェイスがホストへ接続操作されたとき、認証要求が懸案になっていれば、コントローラは、その機能をホストへ提供することなく、必要条件が満たされたので認証要求を満足させることによって、あるいは必要条件が満たされなかったので認証要求を拒否することによって認証要求を取り扱い、そうではなく、認証要求が懸案でない場合は、コントローラは、ホストへその機能を提供することが最も好ましい。認証要求を取り扱った後、コントローラが、デバイスインターフェイスを介して、ホストへ機能を提供するよう要求を受信したとき、コントローラは、ホストからデバイスインターフェイスを分離操作してからデバイスインターフェイスをホストへ再接続操作するよう、ユーザに促すことが最も好ましい。また、コントローラが、ホストへ機能を提供している間に認証要求を受信した場合、コントローラは、デバイスインターフェイスをホストから分離操作してからデバイスインターフェイスをホストへ再接続操作するよう、ユーザに促すことが最も好ましい。択一的に、認証要求を取り扱った後、コントローラが、デバイスインターフェイスを介して、ホストへ機能を提供するよう要求を受信したとき、コントローラは、ホストへ機能を提供することを開始する。コントローラが、ホストへ機能を提供している間に認証要求を受信した場合、コントローラは、ホストへの機能の提供を停止して、その代わりに、認証要求を取り扱う。本発明のもう一つの方法は、個人がホストへ接続操作したトークン等の周辺デバイスに、その個人が実際に存在することを確認するための方法である。基本的な方法によれば、ホストはホストユーザ入力インターフェイスを備え、周辺デバイスは、デバイスユーザ出力インターフェイスを備え、そのデバイスユーザ出力インターフェイスで少なくとも一つの出力を生成し、そして、ホストは、その出力の各々への対応する入力を捉えるよう、ホストユーザ入力インターフェイスを監視し、その入力を周辺デバイスへ報告する。周辺デバイスが、対応する単数あるいは複数の報告を実際に受信した場合にのみ、個人の存在が確認される。この文脈における入力インターフェイスは、ユーザからの入力を受信するための、例えばボタンまたはキーボード等のインターフェイスであり、出力インターフェイスは、ユーザへ出力を提供するための、例えばLEDまたはディスプレイスクリーン等のインターフェイスである。実際、この方法を適用するホストは、ほぼ、どのケースでも入力インターフェイスおよび出力インターフェイスを含むが、方法は、ホストの入力インターフェイスのみを用いる。周辺デバイスは、入力インターフェイスを含んでも、あるいは含まなくてもよいが、出力インターフェイスを含まなければならない。周辺デバイスは、時間的にランダムに分散させた、複数の出力を生成することが好ましい。また、ホストによる対応する出力の生成に実質的に同期されて、各報告が周辺デバイスによって受信された場合にのみ、個人の存在が確認されることが好ましい。本発明の第二のデバイスも、ホストとサーバとの間のトランザクションを認証するためのデバイスである。このデバイスは、ホストに相互作用するためのデバイスインターフェイス、ユーザインターフェイスおよびコントローラを含む。コントローラが、デバイスインターフェイスを介して、ホストからのトランザクション認証要求を受信したとき、コントローラは、サーバを検証し、ユーザインターフェイスを使用して、サーバの検証が成功したかどうかを表示する。ホストとサーバとの間のトランザクションを認証するための、本発明の第三の方法は、第二のデバイスに対応する。ホストに作動可能に接続されたトークンが、サーバを検証し、そのユーザインターフェイスを介して、検証が成功したかどうかを表示する。本発明を、例としてのみ、添付の図面を参照して説明する。本発明は、トークンがユーザ特定情報を直接的に受信する必要のない、ユーザ認証に使用可能なトークンに関する。本発明によるトークンの原理および作用は、図面とその説明文を参照することによって、よりよく理解できる。さて、図面を参照する。図1は、本発明によって構成されたシステムの好適実施例100を表し、多目的ポータブルデバイス110の一部を形成する認証トークン112に関する。多目的ポータブルデバイス110は、認証トークン112のトークン機能を、例えば記憶等の、他の機能114に組み合わせる。コントローラ115は、多目的ポータブルデバイス110のオペレーションを制御し、また、認証トークン112および機能114を制御する。インジケータ118は、コントローラ115の制御下で、音声および/あるいは視覚信号をユーザへ提供する。ボタン120は、ユーザが許可信号を提供するためのオプションである。ボタン120は、物理的な押しボタン、または択一的に、インジケータ118と連動する光センサでもよい。例えば、ユーザが多目的ポータブルデバイス110の本体に接触すると、彼女の指がインジケータ118から来る光を反射し、これを、ボタン120の一部を形成する感光性センサが感知する。デバイスインターフェイス116は、デバイス側の、USBユニバーサルシリアルバスインターフェイスまたはSDセキュアデジタルインターフェイス等の、標準的な電気および論理インターフェイスである。デバイスコネクタ130は、ホスト150へのリンク140を介して、配線接続または無線接続を提供する。例えば、パソコン、携帯電話あるいは2ウェイポケットベル等のホスト150は、ユーザが、例えばインターネットまたは携帯リンクへの結合等のネットワーク接続172を介して、プロバイダ図示せずの遠隔サーバとトランザクションを実行することを可能にする。CPU156は、オペレーティングシステム、ワープロ、通信プログラム等の、ソフトウェアプログラムであるサービス154の下で、ホスト150のオペレーションを制御する。ユーザは、例えば、キーボード、指紋リーダおよび/あるいはスクリーンを含むユーザインターフェイス152を使用して、ホスト150を操作する、また、ユーザIDとして、PIN、パスワードあるいは生体情報を提供する。ホストインターフェイス158は、ホスト側の、多目的ポータブルデバイス110との、標準的な電気および論理インターフェイスを提供し、ホストコネクタ170は、多目的ポータブルデバイス110との、リンク140を介した有線または無線接続を提供する。悪意のあるプログラム160は、ホスト150内に存在し、ユーザインターフェイス152を介して入力されるPIN、パスワードおよび/あるいは生体情報を傍受し、それから、多目的ポータブルデバイス110がホスト150に接続されたときに認証トークン112を利用しようと試み、多目的ポータブルデバイス110の正規の所有者になりすまして不正なトランザクションを生成する、と推定する。図2は、図1に示す多目的ポータブルデバイス110のオペレーションのための、第一の好適方法を表すフローチャートである。上述したように、本方法の主要な目的は、多目的ポータブルデバイス110が、機能114を目的としてホスト150に接続されているとき、例えば、機能114内に記憶機能を含む多目的ポータブルデバイス110が、記憶の目的でホスト150に長時間接続されているとき、悪意のあるプログラム160が不正なトランザクションを生成することを防止することである。ステップ200で、多目的ポータブルデバイス110をホスト150へ作動可能に接続する。接続の一部として、デバイスインターフェイス116とホストインターフェイス158との間で、論理ハンドシェイクが行われる。これは、ステップ202で、ホスト150が懸案の認証セッションの最中であるかどうかを、コントローラ115が識別できるようにする。答えが否定である場合、ステップ210において、コントローラ115は、機能114の機能のために、多目的ポータブルデバイス110のみをマウントする。すなわち、認証トークン112は、分離され、ホスト150へのアクセスが不可能である。ステップ212で、認証トークン112が使用不能である間、ホスト150は、サービス154を実行する、および/あるいは多目的ポータブルデバイス110の機能114と連動する例えば、機能114内に含まれるデータ記憶デバイス上での、読み込みおよび書き込みオペレーションを実行する。明らかであるが、この段階では、認証トークン112が接続されていないため、悪意のあるプログラム160は、少しの認証トランザクションも実行できない。サービスの一つが認証を必要とする場合、このことがステップ214で検出されることによって、ステップ230へ進む。ここで、ユーザは、ホスト150から多目的ポータブルデバイス110を取り外して、それから、多目的ポータブルデバイス110をホスト150に再接続するよう、ホスト150に促される。これは、人間の関与を必要とする、悪意あるプログラム160が実行できない手作業である。ステップ230でユーザが従った場合にのみ、システム100はステップ200へ戻るが、今度は、ホスト150は、CPU156がホストインターフェイス158に通知して、認証を待つ。多目的ポータブルデバイス110とホスト150との間のハンドシェイク中のこの時点で、ステップ202が、懸案の認証があることを識別した場合、それに応じて、ステップ220へ進む。そこで、認証トークン112の機能のために、多目的ポータブルデバイス110がマウントされ、機能114は使用不能になる。ステップ221で、ユーザは、ユーザインターフェイス152へ、彼女のPIN、パスワードまたは生物学的識別属性を提示するよう促され、ステップ222で、単一の認証セッションが実行され、その後、認証トークン112は使用不能になる。もし、ステップ226で、機能114による追加のオペレーションを望むなら、ステップ230で促されたとき、多目的ポータブルデバイス110を再接続する必要がある。図2のプロシージャが、多目的ポータブルデバイス110の所有者を、悪意のあるプログラム160が、彼または彼女に代わって認証トークン112を作動させて、気づかれないように不正なトランザクションを繰り返すことから保護することは明らかである。しかしながら、悪意のあるプログラム160が利用可能な、いくつかの抜け道は依然として存在する。これらの抜け道は、図2のステップ223、224、225および227で、少なくとも部分的に解決できる。第一の抜け道は、悪意あるプログラム160が、バックグラウンドで不正なトランザクションを準備することである。これは、ユーザが、機能114内のある機能を実行するために、ホスト150へ多目的ポータブルデバイス110を接続するとき、悪意あるプログラムが、ステップ202で、認証ペンディングステータスを実際に生成し、不正なトランザクションを実行できることである。この場合、認証のためにステップ220への移動があり機能の使用が不能になるため、ユーザは、彼女の所望の機能にアクセスすることに失敗するが、多くのユーザは、単にハードウェアの不良を非難し、不正なトランザクションに気づくことはない。これを防止するためには、オプションとして、ステップ224での、人間による明確な許可が必要となる。この明確な許可は、ボタン120を押すことによって、または以下の図5で説明する方法の下で、ホストのユーザインターフェイス152を通しても提供できる。代替的に、あるいは追加的に、ステップ225で、トランザクションに気づかないことがないよう、ユーザにトランザクションを知らせるために、インジケータ118が特別な音声および/あるいは視覚的な信号を生成する。さらに、視聴覚信号を、認証セッションに対して2、3秒先行できるので、ユーザには、トランザクションを防止するに十分な、ステップ227に示す、ホスト150から多目的ポータブルデバイス110を取り外すための時間がある。もう一つの予防措置は、ユーザが、異なるウェブサイトに接続されているのに彼/彼女が正規のウェブサイトでトランザクションを実行している、とユーザに信じ込ませるフィッシングに対して取ることができる。フィッシングは、ステップ223におけるホスト検証によって防止する。この場合、ステップ222の認証を拡張して、ネットワーク接続172を介して接続されたプロバイダのサーバのIDの暗号検証を含め、そして相手側のホストが照合され、そのIDが認証トークン112によって記録されたことを、インジケータ118を介して例えば、特別な音または点滅緑光によって合図する。図2Aは、認証と他の機能セッションとの間でホスト150から多目的ポータブルデバイス110を物理的に取り外すことを必要としない、オペレーティングシステム100の代替的な方法を表すフローチャートである。以下の点を除き、すべてのステップは、図2のものと同様である。ボタン120を押す、あるいは図5の方法を適用することによって、ステップ224の、人間による明確な許可を示すことは必須である。ステップ230および240のいずれのモードに対するマウントも、コントローラ115の制御下で論理的に実行されるため、ホスト150から多目的ポータブルデバイス110を物理的に取り外す必要はない。ステップ234および236における、一方から他方へのモード切り換えは、物理的な再マウントではなく、論理的な再マウントで実行する。注目すべきことは、論理マウントを用いる代わりに、認証トークン112および機能114の両方を同時にマウントしたままにしておいて、コントローラ115がそれらの機能を単に切り替えてもよい、ということである。したがって、単語マウントするに代わるものとして、単語作動させるがステップ230および240に現れる。明らかなことは、図2Aの実施例の下では、人間による許可224が必須であるため、一回の許可につき、単一の認証のみを行うことが可能である。図3は、本発明のもう一つの、好適なシステム300を図解する。これは、図1に示す多目的ポータブルデバイス110を、認証以外の機能を全く持たない単一目的ポータブルトークン310で置換している。ホスト151は、サービス155が、多目的ポータブルデバイス110の追加的機能114を必要とするサービスを含む必要がないということ以外において、ホスト150と同様である。トークンインターフェイス318およびトークンコネクタ330は、各々、図1に示すデバイスインターフェイス116およびデバイスコネクタ130と同様である。クリプトコントローラ316はポータブルトークン310のオペレーションを制御し、インジケータ118およびボタン120は、図1に示すそれらの対照物と同じである。図4は、図3のシステム300のオペレーションを表すフローチャートである。ステップ400で、ポータブルトークン310を、ホスト151に作動可能に接続する。ポータブルトークン310の唯一の目的は認証であるのだから、実際の認証オペレーションは、ステップ404でチェックするように、所定の時限例えば、1分間内に実行される、と推定する。この時限内に認証を開始すると、ステップ221および222で、図2のものに同様な、単一の認証オペレーションが実行され、図2の場合のように、オプションとして、ホスト検証223、人間による許可224、そして視聴覚表示225も行われる。もし、ステップ426で、ユーザが、図3に示すサービス155の一つを介して、もう一回の認証セッションを行いたい場合、彼/彼女は、ステップ430で、ポータブルトークン310を物理的に切り離してホスト151へ再接続するよう促される。もしステップ404で、認証が例えば1分間という所定の時限内に開始されなかった場合は、ステップ410で、トークンは使用不能になる。ステップ414において認証の必要がある場合には、ユーザは、ステップ430で、ポータブルトークン310を物理的に切り離してホスト151へ再接続するよう促される。図4Aは、認証セッション間でホスト151からポータブルトークン310を物理的に取り外すことを必要としない、オペレーティングシステム300の代替的な方法を表すフローチャートである。ステップ400で、ポータブルトークン310をホスト151へ接続する。ステップ221、222、223、224および225は、人間による明確な許可が必須であるステップ224以外、図4のものと同じである。ステップ426は、必須である人間による明確な許可222などによって、ステップ221のユーザIDを繰り返す必要が全くなくステップ222におけるもう一回の認証オペレーションへ導いてもよい。図5は、図2、2A、4および4Aに示す必須の人間による許可224のための、ボタン120を押すことを代替する好適方法を表すフローチャートである。キー押しを検出するアプリケーションが、ホスト150またはホスト151上で作動し、キーが押される度に、接続された多目的ポータブルデバイス110またはポータブルトークン310へ瞬時に報告する。ゴールは、ユーザ許可のためにユーザインターフェイス152例えば、従来のキーボードを、悪意のあるプログラム160が模倣できない様式で用いることを可能にすることである。これは、ユーザに、視聴覚インジケータ118から受信した信号に同期させて、ユーザインターフェイス152上のキーを押させることによって実行する。信号を、コントローラ115によって、あるいはクリプトコントローラ316によって自動的に生成するとき人間であるユーザは信号に気づくが、悪意あるプログラム160は信号にに対して盲目であるため、人間である操作者の存在が確認できる。図解の例示的なプロシージャは、ユーザに、ホストコンピュータのユーザインターフェイス152上の一つのキーを、インジケータ118から受信した信号に同期させて、四度連続で押すことを要請する。もしユーザが、第一回目の、四度押しセッション中の、いずれのキー押しをミスしても、彼/彼女は、四度のキー押しに対する、もう二回のチャンスがある。彼/彼女が三回連続でセッションに失敗すると、トークンはそれ自体をロックする。ロックしたトークンのアンロックには、例えば、サービス事務所への訪問等の、人間であるユーザによる決定的な手作業が必要である。この要件は、悪意のあるプログラムが、複数のセッションに渡って、正しいタイミングが推測できるまで、キー押しの正しいタイミングをランダムに推測することを繰り返し試みることを防止するために提供されるものである。失敗を探知するために、コントローラ115図1の、またはクリプトコントローラ316図3の一部を形成する失敗カウンタが設けられている。この失敗カウンタは、製造時、パーソナライズ時、または例えば、悪意あるプログラムが到達不可能であろうサービス事務所の信頼できるコンピュータで、ユーザが他の決定的な手作業を行ったとき、ゼロに予めセットされる。また、失敗カウンタは、以下のステップ540で説明するように、一連のキー押しが成功したとき、ゼロにリセットされる。したがって、ステップ500において、成功フラグを論理真へセットし、その後、ステップ502で、4つのキー押し入力のセッションを介してループする。ステップ504で、コントローラ115またはクリプトコントローラ316が、0と4の間の乱数を生成して、インジケータ118がオフの間、この秒数だけ待機する。ステップ506で、もしこの待ち時間内にキー押しが検出されると、成功フラグは、偽へセットされる。それから、ステップ508で、コントローラ115またはクリプトコントローラ316によって、インジケータ118を介して信号を生成する。そしてステップ510で、信号持続時間内にキー押しを期待する。キー押しが検出されたら、四度のキー押しセッションループはステップ502へ戻る。そうでない場合、ステップ512で、成功フラグを偽へセットし、その後、ステップ502におけるループを継続する。全四セッションが完了すると、ループはステップ530の方へ出て、そこで成功フラグが調べられる。ユーザインターフェイス152におけるすべての四度のキー押しが、インジケータ118からの信号に同期していた場合にだけ、成功フラグは真に留まる。このことは、ステップ540で、コントローラ115またはクリプトコントローラ316内に含んだ失敗カウンタをゼロへリセットすること、それから、ステップ542で、認証を是認することへ導く。すなわち、図2、2A、4および4Aのいずれにあっても、ステップ222の実行へ導く。キー押しと信号との同期における一度の失敗でさえ、ループ502は、ステップ530で、成功=偽で終了する。このことは、ステップ532へ導き、先に言及した失敗カウンタを1だけ増加する。もし失敗カウンタが許容失敗数、例えば3を超過した場合、ステップ534は、コントローラ115またはクリプトコントローラ316が、ステップ536において、それ自体をロックするように導き、ステップ538でサービスを拒絶するすなわち、図2、2A、4および4Aのいずれにおいても、ステップ222で認証は実行されない。しかし、最高二度の先の失敗に対しては、ステップ534は、ステップ498で、インジケータ118および/あるいはユーザインターフェイス152を介してメッセージを生成するよう導き、ステップ500で、ユーザにもう一度試すよう勧める。注目すべきことは、悪意あるプログラムが単独で認証を完了することを防止するために、上記のすべての異形実施例が、人間のみが実行できる必須の手作業ステップを要求することである。また、そのようなステップが認証のために要求されることは珍しいし、他のことで用いられるとしたら意味のないことである。そのような手作業ステップの例は、以下のものを含む。ホストへのデバイスの再接続、特殊目的ボタンを押すこと、不正な認証が発生する前にユーザがトークンの接続を断つことができるよう警告信号を送信すること、タイムリーな様式でトークンをホストへ接続すること、そしてトークンから受信した視聴覚信号に同期させてホストのキーを押すこと。したがって、本発明の焦点は、悪意のあるプログラムが単独でトークンを操作することを防止するために、人間である操作者が実際に存在して管理していることを確認することにある。人間である操作者は、ホストへPIN、パスワードまたは生物学的属性を提示することによって、別個に識別される必要がある。ユーザ識別の要求は、紛失または盗難に対してのものであり、トークンを、PIN、パスワードまたは生体情報を傍受した、と推定する悪意のあるプログラムから保護するに至っていない。したがって、拾った、あるいは盗んだトークンで、不正なトランザクションを生成しようと試みる犯人は、トークンの所有者が使用するホスト上に、悪意あるプログラムをこっそりとインストールする犯人と同じではない、と暗黙のうちに仮定する。ホストに悪意のあるプログラムをインストールし、その後、ホスト上で使用されたトークンを手に入れる犯人は、容易にトークンの所有者のふりをすることができる。本発明は、そのようなシナリオに対しては無力であるが、そのようなシナリオは、ほとんどあり得ないため、本発明の一般的な有用性は保たれる。本発明を限られた数の実施例に関して説明したが、本発明の多くの変形、修正、そして他の応用が可能であることは明らかである。