サーバ一体型ＩＣカードシステム
【課題】すでに流通しているＩＣカードの多機能化・高機能化を図ること。
【解決手段】ＩＣカードの端末である利用者装置と、ＩＣカード発行管理機関の有するサーバ装置とを通信回線で接続し、サーバ装置の中にＩＣカードと一対一に対応する領域（ＩＣカード対応領域）を設け、利用者装置とＩＣカード対応領域とをセキュアチャネルで接続することにより、サーバ装置とＩＣカードを一体化させ、ＩＣカードに追加すべき機能をＩＣカード自身にではなく、サーバ装置に負担させて実行させる。
【解決手段】ＩＣカードの端末である利用者装置と、ＩＣカード発行管理機関の有するサーバ装置とを通信回線で接続し、サーバ装置の中にＩＣカードと一対一に対応する領域（ＩＣカード対応領域）を設け、利用者装置とＩＣカード対応領域とをセキュアチャネルで接続することにより、サーバ装置とＩＣカードを一体化させ、ＩＣカードに追加すべき機能をＩＣカード自身にではなく、サーバ装置に負担させて実行させる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、既存のＩＣカードシステムを高機能化したＩＣカードシステムに関し、特に、ＩＣカードの機能の一部をサーバ上に設けた個別カード専用エリアに移し、サーバをＩＣカードとして機能させることによって多機能化・高機能化を実現したサーバ一体型ＩＣカードシステムに関する。
【背景技術】
【０００２】
現在、住民基本台帳カードをはじめとして、多目的ＩＣカードが徐々に広がりを見せており、多目的ＩＣカードの利便性、経済性が認識されつつある。しかし、その一方で、ＩＣカードの容量や処理能力性能などの制限から、その機能を高機能化することには限界がある。
現在、住民基本台帳カードに搭載されているアプリケーションの一つである公的個人認証サービスが使いづらいとの批判があるが、使い勝手の悪さを改善するためには現在すでに流通しているカードのアプリケーションに対して改良を加える必要がある。しかしながら、すでに流通しているためにこれを実施することは容易ではない。すでに流通しているＩＣカードのオペレーションについては下記特許文献１又は特許文献２に詳細に記載されているので説明は省略する。
【０００３】
多目的ＩＣカードを利用する目的の主たるものは、電子認証及び電子署名であるが、以上のような理由から、仮にこれらで利用されている暗号化技術に脆弱性などの問題が発見された場合でも、短期間でそれを改良したものに置き換えることは困難である。
一方、高度にネットワーク通信が発達した今日において、ネットワーク上に設置されたサーバをネットワークに接続された端末装置から操作して、あたかも自分のパソコンのように使用することも可能となった。また、ＩＤやパスワード等で管理することにより、そのサーバの一部を自分専用の仮想マシンとして使用することも可能である。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−０６９１４０号公報
【特許文献２】特開２００５−２５８８７８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
そこで、本発明者等はすでに流通しているＩＣカードの多機能化・高機能化を図るにあたり、ＩＣカードに追加すべき機能をＩＣカード自身にではなく、上記サーバに負担させて実行させ得ることに着目した。
本発明は、上述のような事情に鑑み為されたものであり、ＩＣカードの機能の一部をサーバ上に設けた個別カード専用エリアに移し、サーバをＩＣカードとして機能させることによって多機能化・高機能化を実現したサーバ一体型ＩＣカードシステムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、ＩＣカードと該ＩＣカードの読み書き手段とを備えた利用者装置と、前記ＩＣカードを発行し管理するＩＣカード発行・管理機関が有する発行・登録装置及びサーバ装置とが、相互に通信可能に接続されたサーバ一体型ＩＣカードシステムに関し、本発明の上記目的は、前記ＩＣカードは、電子認証用公開鍵証明書（ＵＰＫＣ）及びそれと対応する秘密鍵（ＵＰＫＥＹ）を備えた電子認証手段と、前記発行・登録装置及びサーバ装置等の外部装置との間のデータ送受信を管理するとともに、ＩＣカード内のデータ管理を行うＩＣカード管理手段とを備え、
前記発行・登録装置は、前記ＩＣカードから送られた利用者ＩＣカード対応領域生成依頼情報と前記電子認証用公開鍵証明書を受信し、前記電子認証用公開鍵証明書に基づいて利用者の認証を行うとともに、前記サーバ装置に対して利用者ＩＣカード対応領域の生成を依頼し、前記サーバ装置から返信された前記利用者ＩＣカード対応領域の登録情報（ＳＩ）及び前記利用者ＩＣカード対応領域にアクセスするためのアドレス等を含む領域情報（ＳＩＤ）に基づいて登録証（ＳＰＫＣ）を生成して、前記電子認証用公開鍵証明書とともに前記サーバ装置に送信するサーバ登録証生成手段を備え、
前記サーバ装置は、前記発行・登録装置から送られた前記利用者ＩＣカード対応領域生成依頼情報に基づいて前記利用者ＩＣカード対応領域、前記登録情報及び領域情報を生成する利用者ＩＣカード対応領域生成部と、該利用者ＩＣカード対応領域生成部から送られた前記登録情報及び領域情報を前記利用者ＩＣカード対応領域に格納する処理を行う利用者ＩＣカード対応領域処理部と、前記サーバ登録証生成手段から送られた前記登録証と電子認証用公開鍵証明書とを受信し、前記登録情報と前記登録証との対応付けを検証し、検証結果が正しければ前記登録証と電子認証用公開鍵証明書を前記利用者ＩＣカード対応領域処理部に送り前記ＩＣカード対応領域に格納させる登録証検証部と、を備えるとともに、
前記利用者ＩＣカード対応領域処理部は、前記領域情報及び登録証を前記ＩＣカード管理手段に送り、前記ＩＣカード管理手段に格納することにより、前記利用者ＩＣカード対応領域処理部を前記ＩＣカードと一体化して利用することを可能にしたことを特徴とするサーバ一体型ＩＣカードシステムによって達成される。
【０００７】
また、本発明の上記目的は、前記ＩＣカード管理手段と前記利用者ＩＣカード対応領域処理部との間で通信により相互認証を行い、認証が正しく行われたときにセキュアチャネルを開設することによって効果的に達成される。さらに、前記相互認証をワンタイム・パスワードを用いたチャレンジ・レスポンス認証とすることによって、さらに効果的に達成される。
【０００８】
さらにまた、本発明の上記目的は、前記利用者ＩＣカード対応領域に、サーバ格納アプリケーション情報（ＳＡＩＤ）及びそれに対応したサーバ格納アプリケーションデータ（ＳＡＰＤ）が格納されている場合において、
前記サーバ格納アプリケーションデータを利用する外部システムが前記ＩＣカードのＩＣカード管理手段に対して前記サーバ格納アプリケーション情報を用いて前記サーバ格納アプリケーションデータを呼び出した場合、前記ＩＣカード管理手段は前記利用者ＩＣカード対応領域処理部との間にセキュアチャネルを開設した後に、前記利用者ＩＣカード対応領域処理部に対して、前記外部システムが前記利用者ＩＣカード対応領域処理部から前記サーバ格納アプリケーションデータを直接呼び出すための一時的な接続許可証（ＴＫ）を要求し、前記利用者ＩＣカード対応領域処理部が前記一時的な接続許可証を作成して前記セキュアチャネルを介して前記ＩＣカード管理手段に返すと、前記ＩＣカード管理手段は前記領域情報と前記一時的な接続許可証を前記外部システムに送り、前記外部システムは受信した前記一時的な接続許可証と前記サーバ格納アプリケーション情報を前記利用者ＩＣカード対応領域処理部に直接送って前記サーバ格納アプリケーションデータを呼び出し、前記利用者ＩＣカード対応領域処理部は、受信した前記一時的な接続許可証を検証し、自己が発行した許可証であれば前記外部システムに対して前記サーバ格納アプリケーションデータの利用を許可することを特徴とする前記サーバ一体型ＩＣカードシステムによって、さらに効果的に達成される。
【発明の効果】
【０００９】
これにより、従来問題となっていたカードアプリケーションの高機能化、アプリケーションの管理等の容易化が実現できるだけでなく、従来のカードでは容量の問題から困難であった、個人が有する様々な権利の利活用に新多目的ＩＣカードシステムを利用することができる。
本発明の更なる効果は、このようなシステムにより、ネットワーク上のあらゆる場所から各個人が所有する様々な権利を保障することができることである。
また、本発明の好ましい実施の形態によれば、セキュアな領域である利用者ＩＣカード対応領域や利用者ＩＣカード対応領域処理部の暗号処理機能をハードウェア・セキュリティ・モジュールに実装することにより、さらにセキュリティが向上する。
【図面の簡単な説明】
【００１０】
【図１】本発明に係るＩＣカードシステムの基本的な構成を示す図である。
【図２】ＩＣカードごとに設定される利用者ＩＣカード対応領域をサーバ内に設定し、それを登録する仕組みを説明するための図である。
【図３】ＩＣカード対応領域の登録の手順を示すフローチャートである。
【図４】利用者ＩＣカード対応領域処理部の構成を示す図である。
【図５】アプリケーション提供装置から、利用者ＩＣカード対応領域にアプリケーションデータ（ＳＡＰＤ）を登録するためのシステム構成図である。
【図６】アプリケーションデータをサーバに登録するときの手順を示すフローチャートである。
【図７】ＩＣカードを利用する外部システムがサーバからＡＰデータを呼び出す場合のシステム構成（その１）を示す図である。
【図８】図７のシステムの処理の流れを示すフローチャートである。
【図９】ＩＣカードを利用する外部システムがサーバからＡＰデータを呼び出す場合のシステム構成（その２）を示す図である。
【図１０】図９のシステムの処理の流れを示すフローチャートである。
【図１１】ＩＣカードを用いないで、サーバをＩＣカードとして利用する場合のシステム構成を示す図である。
【図１２】図１１のシステムの処理の流れを示すフローチャートである。
【図１３】利用者ＩＣカード対応領域処理部が単一のサーバ装置内に実装される場合であって、暗号処理手段及びデータ保持機能がハードウェア・セキュリティ・モジュール（ＨＳＭ）内に実装される例を示すものである。
【図１４】利用者ＩＣカード対応領域処理部が複数の装置に分かれて実装される場合であって、暗号処理手段及びデータ保持機能が別の筺体に収められたＨＳＭ装置内のＨＳＭ内に実装される例を示すものである。
【図１５】図１３に示すサーバ装置を複数設置し、一方が故障した場合に他方に切り替えて使用できるように構成したものである。
【図１６】図１３におけるＨＳＭ実装部分を、単一サーバ装置内に２個配置し、一方が故障した場合に他方に切り替えて使用できるように構成したものである。
【図１７】図１４に示すサーバ装置とＨＳＭを内蔵するＨＳＭ装置をそれぞれ２個ずつ設置し、４通りの接続の組み合わせによって使用できるようにしたものである。
【発明を実施するための形態】
【００１１】
本発明に係るＩＣカードシステムは、現在の多目的ＩＣカードの機能の一部をネットワーク上に配備されたサーバ側で実現し、サーバ上に各個人のＩＣカードと１対１に結び付けられたカード個別の専用エリアを設け、ＩＣカードを利用してサーバの専用エリアにアクセスすることで、外部からはあたかも１つの多機能型ＩＣカードのように動作させるものである。このようにすることにより、ＩＣカード本体には手を加えることなく、ＩＣカードの高機能化・多機能化を図ることが可能となる。
【００１２】
以下、本発明の実施形態について図面を参照しつつ詳細に説明する。
図１は本発明に係るＩＣカードシステムの基本的な構成を示す図である。図に示すように、利用者ＩＣカード（以下、単にＩＣカードという。）、ＩＣカードの読み書き手段であるリーダライタ、及び外部との通信手段（図示せず）を備えた利用者装置と、ＩＣカードを発行し管理するＩＣカード発行・管理機関が有する登録・発行装置及びＩＣカードと連携してＩＣカードの機能の一部をネットワーク上で実現するサーバ装置（以下、サーバという。）とが、相互に通信可能に接続されている。利用者装置と発行・登録装置及びサーバとの間の通信はインターネット等の公衆回線を利用して行うことができる。また、発行・登録装置とサーバとの間の通信は専用回線または公衆回線のいずれでも構わない。
【００１３】
ＩＣカード内には利用者の本人認証及びカードが正規のものであるかの認証を行うカード認証を行う電子認証手段と、サーバと一体となってあたかも一つのＩＣカードとして動作させるための様々な制御を行うサーバ一体型ＩＣカード管理手段（従来のＩＣカードのカードマネージャのソフトウェアをバージョンアップさせたものに相当する。以下、ＩＣカード管理手段という。）が格納されている。
【００１４】
発行・登録装置は、発行するＩＣカードに電子認証用公開鍵証明書（ＵＰＫＣ）及びそれと対応する秘密鍵（ＵＰＫＥＹ）を格納し、それをデータベースに格納して管理を行うＩＣカード発行・管理手段、サーバとＩＣカードの関連付けを行い、サーバの中に設けられたＩＣカードごとのセキュアな領域（データ保持機能を有しており、これを、利用者ＩＣカード対応領域と称する。）の領域情報（ＳＩＤ）と領域秘密鍵・公開鍵を含む登録情報（ＳＩ）に基づいて利用者ＩＣカード対応領域登録証（ＳＰＫＣ）を生成するサーバ登録証生成手段とを備えている。
【００１５】
また、サーバは、発行・登録装置からの依頼により利用者ＩＣカード対応領域を生成し、領域秘密鍵・公開鍵を含む登録情報（ＳＩ）、及び利用者ＩＣカード対応領域にアクセスするためのアドレス等を含む領域情報（ＳＩＤ）を生成する利用者ＩＣカード対応領域生成部と、ＳＰＫＣとＳＩとの対応付けを検証する登録証検証部と、利用者ＩＣカード対応領域への各種情報(詳細は後述)の出し入れを処理する（図示しない）制御手段を備えており、上述の利用者ＩＣカード対応領域と制御手段とで利用者ＩＣカード対応領域処理部を構成している。また、制御手段は、「ＩＣカード及び外部システム通信処理手段」と「暗号処理手段」を備えている。なお、後述のように、利用者ＩＣカード対応領域処理部は、ＩＣカードと一対一のセキュアチャネルで接続される。
【００１６】
図２は、本発明に係るＩＣカードシステムの特徴である、各ＩＣカードごとに設定される利用者ＩＣカード対応領域をサーバ内に設定し、それを登録する仕組みを説明するための図である。図３はその手順を示すフローチャートであり、図面に基づいて説明する。
［利用者ＩＣカード対応領域の登録時の処理］
ＩＣカードからは、ＵＰＫＣを発行・登録装置に送付し、利用者ＩＣカード対応領域の生成を依頼する（ステップＳ１）。発行・登録装置は、利用者ＩＣカード対応領域の生成要求を受けると、ＵＰＫＣを利用してＩＣカードの認証を行い（ステップＳ２）、正しければ（ステップＳ３の“ＹＥＳ”）、サーバに利用者ＩＣカード対応領域生成を依頼する（ステップＳ４）。サーバは、利用者ＩＣカード対応領域生成部において利用者ＩＣカード対応領域を生成し、領域秘密鍵・公開鍵を含む登録情報（ＳＩ）を生成し、利用者ＩＣカード対応領域にアクセスするためのアドレス等を含む領域情報（ＳＩＤ）と共に発行・登録装置に送信する（ステップＳ５）。このとき、ＳＩ及びＳＩＤは利用者ＩＣカード対応領域に格納される。
発行・登録装置は、利用者ＩＣカード対応領域登録証（ＳＰＫＣ）を生成し、ＵＰＫＣとともに、サーバへ送付する（ステップＳ６）。
サーバは、登録証検証部においてＳＰＫＣとＳＩとの対応付けを検証し（ステップＳ７）、正しければ、利用者ＩＣカード対応領域に、ＳＰＫＣ及びＵＰＫＣを格納する（ステップＳ８）。
サーバの利用者ＩＣカード対応領域処理部は、多目的ＩＣカードのカード管理機能（従来技術）を利用して、ＩＣカード管理手段（プログラム）を利用者ＩＣカードに格納し（又は新規ＩＣカードの場合は製造時にインストールしてもよい。）、ＳＩD及びＳＰＫＣをＩＣカードに送り（ステップＳ９）、ＩＣカード管理手段に格納する（ステップＳ１０）。
【００１７】
図４は利用者ＩＣカード対応領域処理部の構成を示す図であり、利用者ＩＣカードごとにセキュアチャネルで結ばれた領域（セキュア 動作部すなわち、利用者ＩＣカード対応領域処理部）が設けられていることを示している。セキュア動作部にある格納アプリとは、当該ＩＣカードでの使用が許可されているアプリケーションプログラムであり、ＩＣカードごとに設定される。また、格納データとは、登録情報（ＳＩ）、領域情報（ＳＩＤ）、利用者ＩＣカード対応領域登録証（ＳＰＫＣ）、公開鍵証明書（ＵＰＫＣ）、サーバ格納アプリケーション情報（ＳＡＩＤ）等である。
【００１８】
この利用者ＩＣカード対応領域処理部は、鍵情報を安全に管理し、利用者に応じたソフトウエアコンポーネントの導入・運用、利用者情報の安全な保管・運用を行うものである。
ＩＣカード等は、内部の動作や処理手順が外部に漏れると一般にセキュリティが確保できなくなって困るので、機器や回路の中身が外部からは分析しにくくすることが多い。こうした、内部解析（リバース・エンジニアリング）や改変に対する防護力のことを耐タンパ性と呼ぶが、ＩＣカードは耐タンパ性を担保することが必要とされるため、この部分は、個別のＣＰＵを持つセキュアマシンと同等の安全性を有するセキュア仮想マシンを（各利用者に仮想的なＣＰＵを割り当てる）をサーバ内で動作させ、その上で実現する。
さらに、強固な安全性を確保するには、実際に、物理的に独立したＣＰＵを有するセキュアマシン（例えば、ハードウェア・セキュリティ・モジュール（以下「ＨＳＭ」という。）の利用が考えられる。）を個別のＩＣカードごとに用意し、その上で処理を実行させてもよい。ＨＳＭの利用については後述する。
このように、利用者ＩＣカード対応領域処理部は、利用者ＩＣカードとセキュアチャネルで接続され、外部からの接続・命令などは、基本的に利用者ＩＣカード経由で行われる。
【００１９】
図５は、ＩＣカードアプリケーション（ＡＰ）を用いた各種サービスを提供するサービス提供者（例えば、デパート、ガソリンスタンド、会員制スポーツクラブ等である。）の保有・管理するＡＰ提供装置から、利用者ＩＣカード対応領域にＡＰデータを登録するためのシステム構成図であり、図６はＡＰ登録の手順を示すフローチャートである。図面を参照しつつ詳細に説明する。
［ＡＰ登録時の処理］
まず、利用者は、ＩＣカードを利用者装置のリーダライタに挿入する（ステップＳ１１）。ＩＣカード内のＩＣカード管理手段は、チャレンジコード（Ｃ１）を生成しサーバの利用者ＩＣカード対応領域処理部（以下、カード対応領域処理部という。）に対して送付して接続要求を行う（ステップＳ１２）。
カード対応領域処理部は、ＩＣカードから送られたＣ１に対してＳＰＫＣに対応する秘密鍵を用いて暗号化処理を行い、レスポンスコード（Ｒ１）を生成する（ステップＳ１３）。同時に、チャレンジコード（Ｃ２）を生成し、Ｒ１と一緒にしてＩＣカード内のＩＣカード管理手段に送付する（ステップＳ１４）。
【００２０】
ＩＣカード内のＩＣカード管理手段は、Ｒ１をＳＰＫＣを用いて検証し（ステップＳ１５）、正しければ、電子認証手段(電子認証用アプリケーション)を利用して、Ｃ２に対してＵＰＫＣに対応する秘密鍵（ＵＰＫＥＹ）を用いて暗号化処理を行いレスポンスコード（Ｒ２）を生成し、サーバのカード対応領域処理部に対して送付する（ステップＳ１７）。
カード対応領域処理部は、送付されたＲ２をＵＰＫＣを用いて検証し（ステップＳ１８）、正しければＩＣカード管理手段との間で、セキュアチャネルを開設する（ステップＳ２０）。カード対応領域処理部は、セキュアチャネル以外からのアプリケーション呼び出しには応答しない。
サーバは、ＳＰＫＣ、ＳＡＩＤをＡＰ提供装置に送信する（ステップＳ２１）。ＡＰ提供装置は、証明書検証部において、ＳＰＫＣを検証する。同時に領域検証部は、サーバからＳＡＩＤを取得し、その正当性を検証する（ステップＳ２２）。両方の検証結果が正しければ、証明書作成部において、ＳＡＩＤを含むサーバ格納データ要求証（ＤＬＲ）を作成し、発行・登録装置に送信する（ステップＳ２４）。
【００２１】
発行・登録装置は、証明書検証部においてＤＬＲを検証する。同時に、ＳＡＩＤをＡＰ検証部においてその正当性を検証する（ステップＳ２５）。その両方の検証結果が正しければＳＡＩＤに対して証明書作成部において、格納許可証（ＤＬＰ）を生成し、当該ＤＬＰをＡＰ提供装置に送信する（ステップＳ２７）。同時に証明書作成部は、サーバに対するＡＰの格納情報をＩＣカード管理のための登録データベースに格納するため、登録ＤＢに対してＳＰＫＣ及びＳＡＩＤを通知する。
ＡＰ提供装置は、証明書検証部においてＤＬＰを検証し（ステップＳ２８）、検証結果が正しければ、サーバにＤＬＰを送付する。同時に登録ＤＢより、ＳＡＩＤに対応するサーバ格納ＡＰデータ（ＳＡＰＤ）をサーバに送信する（ステップＳ３０）。
【００２２】
サーバは、証明書検証部において、ＤＬＰを検証し、なんらかの手法により、受領したＳＡＰＤとＳＡＩＤとの対応付けをデータ確認部を用いて検証し（ステップＳ３１）、検証結果が正しければＳＡＰＤをカード対応領域処理部に格納する（ステップＳ３３）。なお、サーバにおいて、ＳＡＰＤを格納する代わりに、既に、カード対応領域処理部内にあるＳＡＰＤを削除することも同様の処理によって可能である。ＩＣカードのＩＣカード管理手段に、ＳＡＩＤを格納することも可能とする。
このような、ＡＰ登録方法を取ることにより、発行・登録装置は、サーバに搭載されるＳＡＰＤの実体を取得する必要がないため、ＳＡＰＤに格納される可能性のある個人情報等を発行・登録装置に対して秘匿することが可能となる。
サーバ内のカード対応領域処理部の管理は発行・登録装置によって行われるが、ＡＰ提供装置を運用する組織は、発行・登録装置を管理する組織とは異なる場合が考えられる。このとき、発行・登録装置を管理する組織は、ＤＬＰの発行情報に基づき、サーバの使用料等をＡＰ提供装置を運用する組織に要求することが可能である。
【００２３】
図７はＩＣカードを利用する外部システムがサーバからＡＰデータを呼び出す場合のシステム構成（その１）を示す図であり、図８はその処理の流れを示すフローチャートである。図面を参照しつつ詳細に説明する。
まず、利用者は、ＩＣカードを利用者装置に挿入する（ステップＳ４１）。ＩＣカード内のＩＣカード管理手段は、チャレンジコード（Ｃ１）を生成し、サーバのカード対応領域処理部に対して送付及び接続要求を行う（ステップＳ４２）。カード対応領域処理部は、ＩＣカードから送られたＣ１に対してＳＰＫＣに対応する秘密鍵を用いて暗号化処理を行い、レスポンスコード（Ｒ１）を生成する。同時に、チャレンジコード（Ｃ２）を生成し、これらを一緒にしてＩＣカード内のＩＣカード管理手段に送付する（ステップＳ４３）。
ＩＣカード内のＩＣカード管理手段は、Ｒ１をＳＰＫＣを用いて検証し（ステップＳ４４）、正しければ、電子認証手段を利用して、Ｃ２に対してＵＰＫＣに対応する秘密鍵（ＵＰＫＥＹ）を用いて暗号化処理を行いレスポンスコード（Ｒ２）を生成し、サーバのカード対応領域処理部に対して送付する（ステップＳ４６）。
カード対応領域処理部は、送付されたＲ２をＵＰＫＣを用いて検証し（ステップＳ４７）、正しければＩＣカード管理手段との間で、セキュアチャネルを開設する（ステップＳ４９）。カード対応領域処理部は、セキュアチャネル以外からのアプリケーション呼び出しには応答しない。
【００２４】
ＩＣカードを利用する外部システムは、ＩＣカード管理手段を通して、格納ＡＰ情報（ＡＩＤ又はＳＡＩＤ）を用いてカードアプリケーション（ＡＰ）をサーバから呼び出す（ステップＳ５０）。ＩＣカード管理手段にＳＡＩＤが格納されていない場合には、セキュアチャネルを利用して、外部システムから呼び出されたＳＡＩＤをカード対応領域処理部に転送する。呼び出されたＳＡＩＤがサーバに存在しない場合には、エラーを返す（ステップＳ５１）。サーバ側で動作するカードアプリケーションとＩＣカード利用外部システムとの間の通信は、すべてセキュアチャネルを通してＩＣカードで中継されるため、ＩＣカード利用外部システムは、ＩＣカードのみを意識すればよい。
【００２５】
図９はＩＣカードを利用する外部システムがサーバからＡＰデータを呼び出す場合のシステム構成（その２）を示す図であり、図１０はその処理の流れを示すフローチャートである。図面を参照しつつ詳細に説明する。
まず、利用者は、ＩＣカードを利用者装置に挿入する（ステップＳ６１）。次に、ＩＣカード内のＩＣカード管理手段は、チャレンジコード（Ｃ１）を生成し、サーバのカード対応領域処理部に対して送付及び接続要求を行う（ステップＳ６２）。カード対応領域処理部は、ＩＣカードから送られたＣ１に対してＳＰＫＣに対応する秘密鍵を用いて暗号化処理を行いレスポンスコード（Ｒ１）を生成する。同時に、チャレンジコード（Ｃ２）を生成し、これらを一緒にＩＣカード内のＩＣカード管理手段に送付する（ステップＳ６３）。ＩＣカード内のＩＣカード管理手段は、Ｒ１をＳＰＫＣを用いて検証し（ステップＳ６４）、正しければ、電子認証手段を利用してＣ２に対してＵＰＫＣに対応する秘密鍵（ＵＰＫＥＹ）を用いて暗号化処理を行いレスポンスコード（Ｒ２）を生成し、サーバのカード対応領域処理部に対して送付する（ステップＳ６６）。
カード対応領域処理部は、送付されたＲ２をＵＰＫＣを用いて検証し（ステップＳ６７）、正しければＩＣカード管理手段との間で、セキュアチャネルを開設する（ステップＳ６９）。セキュアチャネルが開設されている間、カード対応領域処理部は、外部からのサーバ格納アプリケーションの呼び出しに応答する。
【００２６】
ＩＣカードを利用する外部システムは、ＩＣカード管理手段を通して、格納ＡＰ情報（ＡＩＤ又はＳＡＩＤ）を用いてカードアプリケーション（ＡＰ）を呼び出す（ステップＳ７０）。ＳＡＩＤが呼び出された場合、ＩＣカード管理手段は、セキュアチャネルを利用して、カード対応領域処理部に対し、外部システムがＳＡＩＤを直接呼び出すための一時的な接続許可証（ＴＫ）を要求する（ステップＳ７１）。カード対応領域処理部は、ＴＫを作成し、セキュアチャネルを利用してＩＣカード管理手段に返送する（ステップＳ７２）。ＩＣカード管理手段は、外部システムに対して、ＳＩＤ及びＴＫを送信する（ステップＳ７３）。外部システムは、ＴＫをカード対応領域処理部に直接送信するとともに、ＳＡＩＤを用いてＡＰを呼び出す（ステップＳ７４）。カード対応領域処理部は、ＴＫを検証し、自己が発行したＴＫであれば、ＡＰの利用を許可する（ステップＳ７５）。この後、外部システムは、カード対応領域処理部と直接通信することで、ＡＰを利用する。
【００２７】
図１１はＩＣカードを用いないで、サーバをＩＣカードとして利用する場合のシステム構成を示す図であり、図１２はその処理の流れを示すフローチャートである。図面を参照しつつ詳細に説明する。
まず、利用者は、利用者装置に対してＩＤ、パスワードを入力し、利用者装置は、その情報をサーバのカード対応領域処理部に送信する（ステップＳ８１）。カード対応領域処理部は、受信したＩＤ、パスワードを検証し（ステップＳ８２）、正しければ、外部からのサーバ格納ＡＰデータの呼び出しに応答する状態になる（ステップＳ８４）。ＩＣカード利用外部システムは、利用者装置に対して、ＳＡＩＤを用いてカードアプリケーション（ＡＰ）を呼び出す（ステップＳ８５）。利用者装置は、外部システムがＳＡＩＤを呼び出すためのＴＫをカード対応領域処理部に対して要求する（ステップＳ８６）。カード対応領域処理部は、ＴＫを作成し、利用者装置に返送する（ステップＳ８７）。利用者装置は、外部システムに対して、ＳＩＤ及びＴＫを送信する（ステップＳ８８）。外部システムは、ＴＫをサーバのカード対応領域処理部に直接送信するとともに、ＳＡＩＤを用いてＡＰデータを呼び出す（ステップＳ８９）。カード対応領域処理部は、ＴＫを検証し、自己が発行したＴＫであれば、ＡＰの利用を許可する（ステップＳ９０）。
この後、外部システムは、カード対応領域処理部と直接通信することで、ＡＰを利用することができる。
【００２８】
次に、上述のＨＳＭを利用した実施形態について、図面を参照して説明する。ＨＳＭは、全ての処理をハードウェア内で行うのでソフトウェアほど汎用的ではないが、ソフトウェアでは解決が難しい真性乱数を用いた鍵の生成や、物理的に安全な場所での鍵の保管の問題に対応が可能であり、暗号処理機能をサーバに代わって提供するため、鍵を利用した演算の安全性向上やサーバの負荷が減るなど、システム全体のセキュリティ及びパフォーマンスの向上を実現することができる。
【００２９】
図１３は利用者ＩＣカード対応領域処理部が単一のサーバ装置内に実装され、そのうちの暗号処理手段及び利用者ＩＣカード対応領域（データ保持手段）がＨＳＭ内に実装される場合を示すものである。
これに対して、図１４に示すものは、利用者ＩＣカード対応領域処理部が複数の装置に分かれて実装されている場合を示すものであり、制御手段のうち「ＩＣカード及び外部システム通信処理手段」はサーバ装置にあり、「暗号処理手段」と「データ保持手段」は別の筺体（ＨＳＭ内蔵装置）に収められたＨＳＭ内に実装されている。ＨＳＭがサーバ装置と別の筺体に収められているので、交換や増設等の管理が容易になるというメリットがある。
【００３０】
サーバ連携型多目的ＩＣカードシステムを連続して稼動させる場合、耐タンパーサーバーの障害に備えて予備系のサーバをあらかじめ用意する必要があるが、セキュリティの低下につながるため現用サーバのＨＳＭに格納された認証鍵を予備系のサーバのＨＳＭに複製することはできない。このため、現用サーバのＨＳＭに障害が発生した場合、当該ＨＳＭに認証鍵が格納されている利用者は新たな認証鍵を再交付しない限りサービスを利用できないという問題が生じる。
この問題を回避するため、一人の利用者に対してあらかじめ現用・予備の２つの認証鍵を発行し、２つの認証鍵を現用・予備の２台のＨＳＭにそれぞれ格納しておく。そして、現用の認証鍵を格納しているＨＳＭに障害が発生した場合は、予備系のＨＳＭに格納された認証鍵を用いることにより、利用者はＨＳＭの障害を意識することなく継続してサービスを利用することが可能となる。
以下、現用・予備の認証鍵がそれぞれ格納された２台のＨＳＭの実装の形態について図面を参照して説明する。
【００３１】
図１５は、図１３に示すようなＨＳＭが内蔵されたサーバ装置を２台並列に設置し、サーバ装置監視装置によって現用サーバ（例えばサーバ装置Ａ）の動作を監視し、現用サーバに故障が発生したことを検出したときに、予備系のサーバ（例えばサーバ装置Ｂ）に切り替える態様を示すものである。サーバ装置Ａに故障が発生したことは、例えば、利用者ＩＣカードとサーバの利用者ＩＣカード対応領域処理部との間のセキュアチャネルにおけるデータの流れを監視することによって判定できる。例えば、データが全く流れていなければサーバ装置Ａが故障したと判定し、セキュアチャネルの接続先をサーバ装置Ｂに切り替える。そして、サーバ装置Ｂ内のＨＳＭ−Ｂには予備の認証鍵を含む登録情報ＳＩＢと、予備の認証鍵と対応付けられた登録証ＳＰＫＣＢが格納されており、利用者ＩＣカード内のサーバ一体型ＩＣカード管理手段にはＳＰＫＣＢが格納されているので、サーバ装置Ｂに切り替えるとすぐにＩＣカードが使用可能になる。つまり、利用者から見れば、サーバ装置が切り替わったことを自覚せずに継続してサービスを受けることが可能になる。
【００３２】
図１６は単一のサーバ装置に２台のＨＳＭが実装されている態様を示すものであり、図１５に示したサーバ装置監視装置の役目を、サーバ装置内の利用者ＩＣカード対応領域処理部にある「ＩＣカード及び外部システム通信処理手段」に含まれるＨＳＭ動作監視機能が果たしている。なお、動作的には図１５の場合とほぼ同じであるが、全体として機器の占めるスペースが小さくなる反面、サーバ装置自体がダウンしてしまった場合は、ＩＣカードの利用ができなくなるというデメリットもある。
【００３３】
図１７は、図１４に示すような、ＨＳＭがサーバとは別の筺体（ＨＳＭ装置）に収納されている態様の拡張版を示すものである。すなわち、サーバ装置を２台、ＨＳＭ装置を２台それぞれ設置し、マルチ接続にしたものである。各サーバ装置がそれぞれ２台のＨＳＭに接続されるようになっているので、仮に現用のサーバ装置がダウンしても、予備のサーバ装置に切り替えて現用のＨＳＭに接続すれば、認証鍵の変更も無く継続してサービスを受けることができる。一方、現用のＨＳＭ（ＨＳＭ−Ａ）が故障した場合は予備系のＨＳＭ（ＨＳＭ−Ｂ）に接続を切り替えることによって、サービスを継続させることができる。
なお、サーバ装置監視装置がセキュアチャネルのデータ通信が停止されたことを検出したときは、サーバ装置側の故障か、ＨＳＭ側の故障かの区別ができないので、例えば、以下のようなシーケンスで切り替えるようにしてもよい。
デフォルトで、サーバ装置ＡとＨＳＭ−Ａが接続されていたとする。サーバ装置監視装置が異常を検出すると、サーバ装置ＡとＨＳＭ−Ｂとの接続に切り替える。これで通信が復帰すればＨＳＭ−Ａの故障と判断できる。これによってもセキュアチャネルの通信が復帰しない場合は、サーバ装置Ａの故障と判断し（ＨＳＭ−Ｂは使用していないので一応正常と判定する。）、サーバ装置Ｂへ切り替える。すなわち、サーバ装置ＢとＨＳＭ−Ｂとの接続となる。これで通信は復帰するはずであるが、万一復帰しない場合は、サーバ装置ＢとＨＳＭ−Ａとの接続に切り替えれば復帰する（最初に検出した異常の理由はサーバ装置Ａの故障であって、ＨＳＭ−Ａは正常であったと考えられるからである。）。つまり、２台のサーバ装置のうちのいずれかが正常であり、かつ、２台のＨＳＭのうちのいずれかが正常であれば、正常なものどうしの組み合わせは少なくとも一つは存在するので、サービスが中断することはなくなる。
【技術分野】
【０００１】
本発明は、既存のＩＣカードシステムを高機能化したＩＣカードシステムに関し、特に、ＩＣカードの機能の一部をサーバ上に設けた個別カード専用エリアに移し、サーバをＩＣカードとして機能させることによって多機能化・高機能化を実現したサーバ一体型ＩＣカードシステムに関する。
【背景技術】
【０００２】
現在、住民基本台帳カードをはじめとして、多目的ＩＣカードが徐々に広がりを見せており、多目的ＩＣカードの利便性、経済性が認識されつつある。しかし、その一方で、ＩＣカードの容量や処理能力性能などの制限から、その機能を高機能化することには限界がある。
現在、住民基本台帳カードに搭載されているアプリケーションの一つである公的個人認証サービスが使いづらいとの批判があるが、使い勝手の悪さを改善するためには現在すでに流通しているカードのアプリケーションに対して改良を加える必要がある。しかしながら、すでに流通しているためにこれを実施することは容易ではない。すでに流通しているＩＣカードのオペレーションについては下記特許文献１又は特許文献２に詳細に記載されているので説明は省略する。
【０００３】
多目的ＩＣカードを利用する目的の主たるものは、電子認証及び電子署名であるが、以上のような理由から、仮にこれらで利用されている暗号化技術に脆弱性などの問題が発見された場合でも、短期間でそれを改良したものに置き換えることは困難である。
一方、高度にネットワーク通信が発達した今日において、ネットワーク上に設置されたサーバをネットワークに接続された端末装置から操作して、あたかも自分のパソコンのように使用することも可能となった。また、ＩＤやパスワード等で管理することにより、そのサーバの一部を自分専用の仮想マシンとして使用することも可能である。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−０６９１４０号公報
【特許文献２】特開２００５−２５８８７８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
そこで、本発明者等はすでに流通しているＩＣカードの多機能化・高機能化を図るにあたり、ＩＣカードに追加すべき機能をＩＣカード自身にではなく、上記サーバに負担させて実行させ得ることに着目した。
本発明は、上述のような事情に鑑み為されたものであり、ＩＣカードの機能の一部をサーバ上に設けた個別カード専用エリアに移し、サーバをＩＣカードとして機能させることによって多機能化・高機能化を実現したサーバ一体型ＩＣカードシステムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、ＩＣカードと該ＩＣカードの読み書き手段とを備えた利用者装置と、前記ＩＣカードを発行し管理するＩＣカード発行・管理機関が有する発行・登録装置及びサーバ装置とが、相互に通信可能に接続されたサーバ一体型ＩＣカードシステムに関し、本発明の上記目的は、前記ＩＣカードは、電子認証用公開鍵証明書（ＵＰＫＣ）及びそれと対応する秘密鍵（ＵＰＫＥＹ）を備えた電子認証手段と、前記発行・登録装置及びサーバ装置等の外部装置との間のデータ送受信を管理するとともに、ＩＣカード内のデータ管理を行うＩＣカード管理手段とを備え、
前記発行・登録装置は、前記ＩＣカードから送られた利用者ＩＣカード対応領域生成依頼情報と前記電子認証用公開鍵証明書を受信し、前記電子認証用公開鍵証明書に基づいて利用者の認証を行うとともに、前記サーバ装置に対して利用者ＩＣカード対応領域の生成を依頼し、前記サーバ装置から返信された前記利用者ＩＣカード対応領域の登録情報（ＳＩ）及び前記利用者ＩＣカード対応領域にアクセスするためのアドレス等を含む領域情報（ＳＩＤ）に基づいて登録証（ＳＰＫＣ）を生成して、前記電子認証用公開鍵証明書とともに前記サーバ装置に送信するサーバ登録証生成手段を備え、
前記サーバ装置は、前記発行・登録装置から送られた前記利用者ＩＣカード対応領域生成依頼情報に基づいて前記利用者ＩＣカード対応領域、前記登録情報及び領域情報を生成する利用者ＩＣカード対応領域生成部と、該利用者ＩＣカード対応領域生成部から送られた前記登録情報及び領域情報を前記利用者ＩＣカード対応領域に格納する処理を行う利用者ＩＣカード対応領域処理部と、前記サーバ登録証生成手段から送られた前記登録証と電子認証用公開鍵証明書とを受信し、前記登録情報と前記登録証との対応付けを検証し、検証結果が正しければ前記登録証と電子認証用公開鍵証明書を前記利用者ＩＣカード対応領域処理部に送り前記ＩＣカード対応領域に格納させる登録証検証部と、を備えるとともに、
前記利用者ＩＣカード対応領域処理部は、前記領域情報及び登録証を前記ＩＣカード管理手段に送り、前記ＩＣカード管理手段に格納することにより、前記利用者ＩＣカード対応領域処理部を前記ＩＣカードと一体化して利用することを可能にしたことを特徴とするサーバ一体型ＩＣカードシステムによって達成される。
【０００７】
また、本発明の上記目的は、前記ＩＣカード管理手段と前記利用者ＩＣカード対応領域処理部との間で通信により相互認証を行い、認証が正しく行われたときにセキュアチャネルを開設することによって効果的に達成される。さらに、前記相互認証をワンタイム・パスワードを用いたチャレンジ・レスポンス認証とすることによって、さらに効果的に達成される。
【０００８】
さらにまた、本発明の上記目的は、前記利用者ＩＣカード対応領域に、サーバ格納アプリケーション情報（ＳＡＩＤ）及びそれに対応したサーバ格納アプリケーションデータ（ＳＡＰＤ）が格納されている場合において、
前記サーバ格納アプリケーションデータを利用する外部システムが前記ＩＣカードのＩＣカード管理手段に対して前記サーバ格納アプリケーション情報を用いて前記サーバ格納アプリケーションデータを呼び出した場合、前記ＩＣカード管理手段は前記利用者ＩＣカード対応領域処理部との間にセキュアチャネルを開設した後に、前記利用者ＩＣカード対応領域処理部に対して、前記外部システムが前記利用者ＩＣカード対応領域処理部から前記サーバ格納アプリケーションデータを直接呼び出すための一時的な接続許可証（ＴＫ）を要求し、前記利用者ＩＣカード対応領域処理部が前記一時的な接続許可証を作成して前記セキュアチャネルを介して前記ＩＣカード管理手段に返すと、前記ＩＣカード管理手段は前記領域情報と前記一時的な接続許可証を前記外部システムに送り、前記外部システムは受信した前記一時的な接続許可証と前記サーバ格納アプリケーション情報を前記利用者ＩＣカード対応領域処理部に直接送って前記サーバ格納アプリケーションデータを呼び出し、前記利用者ＩＣカード対応領域処理部は、受信した前記一時的な接続許可証を検証し、自己が発行した許可証であれば前記外部システムに対して前記サーバ格納アプリケーションデータの利用を許可することを特徴とする前記サーバ一体型ＩＣカードシステムによって、さらに効果的に達成される。
【発明の効果】
【０００９】
これにより、従来問題となっていたカードアプリケーションの高機能化、アプリケーションの管理等の容易化が実現できるだけでなく、従来のカードでは容量の問題から困難であった、個人が有する様々な権利の利活用に新多目的ＩＣカードシステムを利用することができる。
本発明の更なる効果は、このようなシステムにより、ネットワーク上のあらゆる場所から各個人が所有する様々な権利を保障することができることである。
また、本発明の好ましい実施の形態によれば、セキュアな領域である利用者ＩＣカード対応領域や利用者ＩＣカード対応領域処理部の暗号処理機能をハードウェア・セキュリティ・モジュールに実装することにより、さらにセキュリティが向上する。
【図面の簡単な説明】
【００１０】
【図１】本発明に係るＩＣカードシステムの基本的な構成を示す図である。
【図２】ＩＣカードごとに設定される利用者ＩＣカード対応領域をサーバ内に設定し、それを登録する仕組みを説明するための図である。
【図３】ＩＣカード対応領域の登録の手順を示すフローチャートである。
【図４】利用者ＩＣカード対応領域処理部の構成を示す図である。
【図５】アプリケーション提供装置から、利用者ＩＣカード対応領域にアプリケーションデータ（ＳＡＰＤ）を登録するためのシステム構成図である。
【図６】アプリケーションデータをサーバに登録するときの手順を示すフローチャートである。
【図７】ＩＣカードを利用する外部システムがサーバからＡＰデータを呼び出す場合のシステム構成（その１）を示す図である。
【図８】図７のシステムの処理の流れを示すフローチャートである。
【図９】ＩＣカードを利用する外部システムがサーバからＡＰデータを呼び出す場合のシステム構成（その２）を示す図である。
【図１０】図９のシステムの処理の流れを示すフローチャートである。
【図１１】ＩＣカードを用いないで、サーバをＩＣカードとして利用する場合のシステム構成を示す図である。
【図１２】図１１のシステムの処理の流れを示すフローチャートである。
【図１３】利用者ＩＣカード対応領域処理部が単一のサーバ装置内に実装される場合であって、暗号処理手段及びデータ保持機能がハードウェア・セキュリティ・モジュール（ＨＳＭ）内に実装される例を示すものである。
【図１４】利用者ＩＣカード対応領域処理部が複数の装置に分かれて実装される場合であって、暗号処理手段及びデータ保持機能が別の筺体に収められたＨＳＭ装置内のＨＳＭ内に実装される例を示すものである。
【図１５】図１３に示すサーバ装置を複数設置し、一方が故障した場合に他方に切り替えて使用できるように構成したものである。
【図１６】図１３におけるＨＳＭ実装部分を、単一サーバ装置内に２個配置し、一方が故障した場合に他方に切り替えて使用できるように構成したものである。
【図１７】図１４に示すサーバ装置とＨＳＭを内蔵するＨＳＭ装置をそれぞれ２個ずつ設置し、４通りの接続の組み合わせによって使用できるようにしたものである。
【発明を実施するための形態】
【００１１】
本発明に係るＩＣカードシステムは、現在の多目的ＩＣカードの機能の一部をネットワーク上に配備されたサーバ側で実現し、サーバ上に各個人のＩＣカードと１対１に結び付けられたカード個別の専用エリアを設け、ＩＣカードを利用してサーバの専用エリアにアクセスすることで、外部からはあたかも１つの多機能型ＩＣカードのように動作させるものである。このようにすることにより、ＩＣカード本体には手を加えることなく、ＩＣカードの高機能化・多機能化を図ることが可能となる。
【００１２】
以下、本発明の実施形態について図面を参照しつつ詳細に説明する。
図１は本発明に係るＩＣカードシステムの基本的な構成を示す図である。図に示すように、利用者ＩＣカード（以下、単にＩＣカードという。）、ＩＣカードの読み書き手段であるリーダライタ、及び外部との通信手段（図示せず）を備えた利用者装置と、ＩＣカードを発行し管理するＩＣカード発行・管理機関が有する登録・発行装置及びＩＣカードと連携してＩＣカードの機能の一部をネットワーク上で実現するサーバ装置（以下、サーバという。）とが、相互に通信可能に接続されている。利用者装置と発行・登録装置及びサーバとの間の通信はインターネット等の公衆回線を利用して行うことができる。また、発行・登録装置とサーバとの間の通信は専用回線または公衆回線のいずれでも構わない。
【００１３】
ＩＣカード内には利用者の本人認証及びカードが正規のものであるかの認証を行うカード認証を行う電子認証手段と、サーバと一体となってあたかも一つのＩＣカードとして動作させるための様々な制御を行うサーバ一体型ＩＣカード管理手段（従来のＩＣカードのカードマネージャのソフトウェアをバージョンアップさせたものに相当する。以下、ＩＣカード管理手段という。）が格納されている。
【００１４】
発行・登録装置は、発行するＩＣカードに電子認証用公開鍵証明書（ＵＰＫＣ）及びそれと対応する秘密鍵（ＵＰＫＥＹ）を格納し、それをデータベースに格納して管理を行うＩＣカード発行・管理手段、サーバとＩＣカードの関連付けを行い、サーバの中に設けられたＩＣカードごとのセキュアな領域（データ保持機能を有しており、これを、利用者ＩＣカード対応領域と称する。）の領域情報（ＳＩＤ）と領域秘密鍵・公開鍵を含む登録情報（ＳＩ）に基づいて利用者ＩＣカード対応領域登録証（ＳＰＫＣ）を生成するサーバ登録証生成手段とを備えている。
【００１５】
また、サーバは、発行・登録装置からの依頼により利用者ＩＣカード対応領域を生成し、領域秘密鍵・公開鍵を含む登録情報（ＳＩ）、及び利用者ＩＣカード対応領域にアクセスするためのアドレス等を含む領域情報（ＳＩＤ）を生成する利用者ＩＣカード対応領域生成部と、ＳＰＫＣとＳＩとの対応付けを検証する登録証検証部と、利用者ＩＣカード対応領域への各種情報(詳細は後述)の出し入れを処理する（図示しない）制御手段を備えており、上述の利用者ＩＣカード対応領域と制御手段とで利用者ＩＣカード対応領域処理部を構成している。また、制御手段は、「ＩＣカード及び外部システム通信処理手段」と「暗号処理手段」を備えている。なお、後述のように、利用者ＩＣカード対応領域処理部は、ＩＣカードと一対一のセキュアチャネルで接続される。
【００１６】
図２は、本発明に係るＩＣカードシステムの特徴である、各ＩＣカードごとに設定される利用者ＩＣカード対応領域をサーバ内に設定し、それを登録する仕組みを説明するための図である。図３はその手順を示すフローチャートであり、図面に基づいて説明する。
［利用者ＩＣカード対応領域の登録時の処理］
ＩＣカードからは、ＵＰＫＣを発行・登録装置に送付し、利用者ＩＣカード対応領域の生成を依頼する（ステップＳ１）。発行・登録装置は、利用者ＩＣカード対応領域の生成要求を受けると、ＵＰＫＣを利用してＩＣカードの認証を行い（ステップＳ２）、正しければ（ステップＳ３の“ＹＥＳ”）、サーバに利用者ＩＣカード対応領域生成を依頼する（ステップＳ４）。サーバは、利用者ＩＣカード対応領域生成部において利用者ＩＣカード対応領域を生成し、領域秘密鍵・公開鍵を含む登録情報（ＳＩ）を生成し、利用者ＩＣカード対応領域にアクセスするためのアドレス等を含む領域情報（ＳＩＤ）と共に発行・登録装置に送信する（ステップＳ５）。このとき、ＳＩ及びＳＩＤは利用者ＩＣカード対応領域に格納される。
発行・登録装置は、利用者ＩＣカード対応領域登録証（ＳＰＫＣ）を生成し、ＵＰＫＣとともに、サーバへ送付する（ステップＳ６）。
サーバは、登録証検証部においてＳＰＫＣとＳＩとの対応付けを検証し（ステップＳ７）、正しければ、利用者ＩＣカード対応領域に、ＳＰＫＣ及びＵＰＫＣを格納する（ステップＳ８）。
サーバの利用者ＩＣカード対応領域処理部は、多目的ＩＣカードのカード管理機能（従来技術）を利用して、ＩＣカード管理手段（プログラム）を利用者ＩＣカードに格納し（又は新規ＩＣカードの場合は製造時にインストールしてもよい。）、ＳＩD及びＳＰＫＣをＩＣカードに送り（ステップＳ９）、ＩＣカード管理手段に格納する（ステップＳ１０）。
【００１７】
図４は利用者ＩＣカード対応領域処理部の構成を示す図であり、利用者ＩＣカードごとにセキュアチャネルで結ばれた領域（セキュア 動作部すなわち、利用者ＩＣカード対応領域処理部）が設けられていることを示している。セキュア動作部にある格納アプリとは、当該ＩＣカードでの使用が許可されているアプリケーションプログラムであり、ＩＣカードごとに設定される。また、格納データとは、登録情報（ＳＩ）、領域情報（ＳＩＤ）、利用者ＩＣカード対応領域登録証（ＳＰＫＣ）、公開鍵証明書（ＵＰＫＣ）、サーバ格納アプリケーション情報（ＳＡＩＤ）等である。
【００１８】
この利用者ＩＣカード対応領域処理部は、鍵情報を安全に管理し、利用者に応じたソフトウエアコンポーネントの導入・運用、利用者情報の安全な保管・運用を行うものである。
ＩＣカード等は、内部の動作や処理手順が外部に漏れると一般にセキュリティが確保できなくなって困るので、機器や回路の中身が外部からは分析しにくくすることが多い。こうした、内部解析（リバース・エンジニアリング）や改変に対する防護力のことを耐タンパ性と呼ぶが、ＩＣカードは耐タンパ性を担保することが必要とされるため、この部分は、個別のＣＰＵを持つセキュアマシンと同等の安全性を有するセキュア仮想マシンを（各利用者に仮想的なＣＰＵを割り当てる）をサーバ内で動作させ、その上で実現する。
さらに、強固な安全性を確保するには、実際に、物理的に独立したＣＰＵを有するセキュアマシン（例えば、ハードウェア・セキュリティ・モジュール（以下「ＨＳＭ」という。）の利用が考えられる。）を個別のＩＣカードごとに用意し、その上で処理を実行させてもよい。ＨＳＭの利用については後述する。
このように、利用者ＩＣカード対応領域処理部は、利用者ＩＣカードとセキュアチャネルで接続され、外部からの接続・命令などは、基本的に利用者ＩＣカード経由で行われる。
【００１９】
図５は、ＩＣカードアプリケーション（ＡＰ）を用いた各種サービスを提供するサービス提供者（例えば、デパート、ガソリンスタンド、会員制スポーツクラブ等である。）の保有・管理するＡＰ提供装置から、利用者ＩＣカード対応領域にＡＰデータを登録するためのシステム構成図であり、図６はＡＰ登録の手順を示すフローチャートである。図面を参照しつつ詳細に説明する。
［ＡＰ登録時の処理］
まず、利用者は、ＩＣカードを利用者装置のリーダライタに挿入する（ステップＳ１１）。ＩＣカード内のＩＣカード管理手段は、チャレンジコード（Ｃ１）を生成しサーバの利用者ＩＣカード対応領域処理部（以下、カード対応領域処理部という。）に対して送付して接続要求を行う（ステップＳ１２）。
カード対応領域処理部は、ＩＣカードから送られたＣ１に対してＳＰＫＣに対応する秘密鍵を用いて暗号化処理を行い、レスポンスコード（Ｒ１）を生成する（ステップＳ１３）。同時に、チャレンジコード（Ｃ２）を生成し、Ｒ１と一緒にしてＩＣカード内のＩＣカード管理手段に送付する（ステップＳ１４）。
【００２０】
ＩＣカード内のＩＣカード管理手段は、Ｒ１をＳＰＫＣを用いて検証し（ステップＳ１５）、正しければ、電子認証手段(電子認証用アプリケーション)を利用して、Ｃ２に対してＵＰＫＣに対応する秘密鍵（ＵＰＫＥＹ）を用いて暗号化処理を行いレスポンスコード（Ｒ２）を生成し、サーバのカード対応領域処理部に対して送付する（ステップＳ１７）。
カード対応領域処理部は、送付されたＲ２をＵＰＫＣを用いて検証し（ステップＳ１８）、正しければＩＣカード管理手段との間で、セキュアチャネルを開設する（ステップＳ２０）。カード対応領域処理部は、セキュアチャネル以外からのアプリケーション呼び出しには応答しない。
サーバは、ＳＰＫＣ、ＳＡＩＤをＡＰ提供装置に送信する（ステップＳ２１）。ＡＰ提供装置は、証明書検証部において、ＳＰＫＣを検証する。同時に領域検証部は、サーバからＳＡＩＤを取得し、その正当性を検証する（ステップＳ２２）。両方の検証結果が正しければ、証明書作成部において、ＳＡＩＤを含むサーバ格納データ要求証（ＤＬＲ）を作成し、発行・登録装置に送信する（ステップＳ２４）。
【００２１】
発行・登録装置は、証明書検証部においてＤＬＲを検証する。同時に、ＳＡＩＤをＡＰ検証部においてその正当性を検証する（ステップＳ２５）。その両方の検証結果が正しければＳＡＩＤに対して証明書作成部において、格納許可証（ＤＬＰ）を生成し、当該ＤＬＰをＡＰ提供装置に送信する（ステップＳ２７）。同時に証明書作成部は、サーバに対するＡＰの格納情報をＩＣカード管理のための登録データベースに格納するため、登録ＤＢに対してＳＰＫＣ及びＳＡＩＤを通知する。
ＡＰ提供装置は、証明書検証部においてＤＬＰを検証し（ステップＳ２８）、検証結果が正しければ、サーバにＤＬＰを送付する。同時に登録ＤＢより、ＳＡＩＤに対応するサーバ格納ＡＰデータ（ＳＡＰＤ）をサーバに送信する（ステップＳ３０）。
【００２２】
サーバは、証明書検証部において、ＤＬＰを検証し、なんらかの手法により、受領したＳＡＰＤとＳＡＩＤとの対応付けをデータ確認部を用いて検証し（ステップＳ３１）、検証結果が正しければＳＡＰＤをカード対応領域処理部に格納する（ステップＳ３３）。なお、サーバにおいて、ＳＡＰＤを格納する代わりに、既に、カード対応領域処理部内にあるＳＡＰＤを削除することも同様の処理によって可能である。ＩＣカードのＩＣカード管理手段に、ＳＡＩＤを格納することも可能とする。
このような、ＡＰ登録方法を取ることにより、発行・登録装置は、サーバに搭載されるＳＡＰＤの実体を取得する必要がないため、ＳＡＰＤに格納される可能性のある個人情報等を発行・登録装置に対して秘匿することが可能となる。
サーバ内のカード対応領域処理部の管理は発行・登録装置によって行われるが、ＡＰ提供装置を運用する組織は、発行・登録装置を管理する組織とは異なる場合が考えられる。このとき、発行・登録装置を管理する組織は、ＤＬＰの発行情報に基づき、サーバの使用料等をＡＰ提供装置を運用する組織に要求することが可能である。
【００２３】
図７はＩＣカードを利用する外部システムがサーバからＡＰデータを呼び出す場合のシステム構成（その１）を示す図であり、図８はその処理の流れを示すフローチャートである。図面を参照しつつ詳細に説明する。
まず、利用者は、ＩＣカードを利用者装置に挿入する（ステップＳ４１）。ＩＣカード内のＩＣカード管理手段は、チャレンジコード（Ｃ１）を生成し、サーバのカード対応領域処理部に対して送付及び接続要求を行う（ステップＳ４２）。カード対応領域処理部は、ＩＣカードから送られたＣ１に対してＳＰＫＣに対応する秘密鍵を用いて暗号化処理を行い、レスポンスコード（Ｒ１）を生成する。同時に、チャレンジコード（Ｃ２）を生成し、これらを一緒にしてＩＣカード内のＩＣカード管理手段に送付する（ステップＳ４３）。
ＩＣカード内のＩＣカード管理手段は、Ｒ１をＳＰＫＣを用いて検証し（ステップＳ４４）、正しければ、電子認証手段を利用して、Ｃ２に対してＵＰＫＣに対応する秘密鍵（ＵＰＫＥＹ）を用いて暗号化処理を行いレスポンスコード（Ｒ２）を生成し、サーバのカード対応領域処理部に対して送付する（ステップＳ４６）。
カード対応領域処理部は、送付されたＲ２をＵＰＫＣを用いて検証し（ステップＳ４７）、正しければＩＣカード管理手段との間で、セキュアチャネルを開設する（ステップＳ４９）。カード対応領域処理部は、セキュアチャネル以外からのアプリケーション呼び出しには応答しない。
【００２４】
ＩＣカードを利用する外部システムは、ＩＣカード管理手段を通して、格納ＡＰ情報（ＡＩＤ又はＳＡＩＤ）を用いてカードアプリケーション（ＡＰ）をサーバから呼び出す（ステップＳ５０）。ＩＣカード管理手段にＳＡＩＤが格納されていない場合には、セキュアチャネルを利用して、外部システムから呼び出されたＳＡＩＤをカード対応領域処理部に転送する。呼び出されたＳＡＩＤがサーバに存在しない場合には、エラーを返す（ステップＳ５１）。サーバ側で動作するカードアプリケーションとＩＣカード利用外部システムとの間の通信は、すべてセキュアチャネルを通してＩＣカードで中継されるため、ＩＣカード利用外部システムは、ＩＣカードのみを意識すればよい。
【００２５】
図９はＩＣカードを利用する外部システムがサーバからＡＰデータを呼び出す場合のシステム構成（その２）を示す図であり、図１０はその処理の流れを示すフローチャートである。図面を参照しつつ詳細に説明する。
まず、利用者は、ＩＣカードを利用者装置に挿入する（ステップＳ６１）。次に、ＩＣカード内のＩＣカード管理手段は、チャレンジコード（Ｃ１）を生成し、サーバのカード対応領域処理部に対して送付及び接続要求を行う（ステップＳ６２）。カード対応領域処理部は、ＩＣカードから送られたＣ１に対してＳＰＫＣに対応する秘密鍵を用いて暗号化処理を行いレスポンスコード（Ｒ１）を生成する。同時に、チャレンジコード（Ｃ２）を生成し、これらを一緒にＩＣカード内のＩＣカード管理手段に送付する（ステップＳ６３）。ＩＣカード内のＩＣカード管理手段は、Ｒ１をＳＰＫＣを用いて検証し（ステップＳ６４）、正しければ、電子認証手段を利用してＣ２に対してＵＰＫＣに対応する秘密鍵（ＵＰＫＥＹ）を用いて暗号化処理を行いレスポンスコード（Ｒ２）を生成し、サーバのカード対応領域処理部に対して送付する（ステップＳ６６）。
カード対応領域処理部は、送付されたＲ２をＵＰＫＣを用いて検証し（ステップＳ６７）、正しければＩＣカード管理手段との間で、セキュアチャネルを開設する（ステップＳ６９）。セキュアチャネルが開設されている間、カード対応領域処理部は、外部からのサーバ格納アプリケーションの呼び出しに応答する。
【００２６】
ＩＣカードを利用する外部システムは、ＩＣカード管理手段を通して、格納ＡＰ情報（ＡＩＤ又はＳＡＩＤ）を用いてカードアプリケーション（ＡＰ）を呼び出す（ステップＳ７０）。ＳＡＩＤが呼び出された場合、ＩＣカード管理手段は、セキュアチャネルを利用して、カード対応領域処理部に対し、外部システムがＳＡＩＤを直接呼び出すための一時的な接続許可証（ＴＫ）を要求する（ステップＳ７１）。カード対応領域処理部は、ＴＫを作成し、セキュアチャネルを利用してＩＣカード管理手段に返送する（ステップＳ７２）。ＩＣカード管理手段は、外部システムに対して、ＳＩＤ及びＴＫを送信する（ステップＳ７３）。外部システムは、ＴＫをカード対応領域処理部に直接送信するとともに、ＳＡＩＤを用いてＡＰを呼び出す（ステップＳ７４）。カード対応領域処理部は、ＴＫを検証し、自己が発行したＴＫであれば、ＡＰの利用を許可する（ステップＳ７５）。この後、外部システムは、カード対応領域処理部と直接通信することで、ＡＰを利用する。
【００２７】
図１１はＩＣカードを用いないで、サーバをＩＣカードとして利用する場合のシステム構成を示す図であり、図１２はその処理の流れを示すフローチャートである。図面を参照しつつ詳細に説明する。
まず、利用者は、利用者装置に対してＩＤ、パスワードを入力し、利用者装置は、その情報をサーバのカード対応領域処理部に送信する（ステップＳ８１）。カード対応領域処理部は、受信したＩＤ、パスワードを検証し（ステップＳ８２）、正しければ、外部からのサーバ格納ＡＰデータの呼び出しに応答する状態になる（ステップＳ８４）。ＩＣカード利用外部システムは、利用者装置に対して、ＳＡＩＤを用いてカードアプリケーション（ＡＰ）を呼び出す（ステップＳ８５）。利用者装置は、外部システムがＳＡＩＤを呼び出すためのＴＫをカード対応領域処理部に対して要求する（ステップＳ８６）。カード対応領域処理部は、ＴＫを作成し、利用者装置に返送する（ステップＳ８７）。利用者装置は、外部システムに対して、ＳＩＤ及びＴＫを送信する（ステップＳ８８）。外部システムは、ＴＫをサーバのカード対応領域処理部に直接送信するとともに、ＳＡＩＤを用いてＡＰデータを呼び出す（ステップＳ８９）。カード対応領域処理部は、ＴＫを検証し、自己が発行したＴＫであれば、ＡＰの利用を許可する（ステップＳ９０）。
この後、外部システムは、カード対応領域処理部と直接通信することで、ＡＰを利用することができる。
【００２８】
次に、上述のＨＳＭを利用した実施形態について、図面を参照して説明する。ＨＳＭは、全ての処理をハードウェア内で行うのでソフトウェアほど汎用的ではないが、ソフトウェアでは解決が難しい真性乱数を用いた鍵の生成や、物理的に安全な場所での鍵の保管の問題に対応が可能であり、暗号処理機能をサーバに代わって提供するため、鍵を利用した演算の安全性向上やサーバの負荷が減るなど、システム全体のセキュリティ及びパフォーマンスの向上を実現することができる。
【００２９】
図１３は利用者ＩＣカード対応領域処理部が単一のサーバ装置内に実装され、そのうちの暗号処理手段及び利用者ＩＣカード対応領域（データ保持手段）がＨＳＭ内に実装される場合を示すものである。
これに対して、図１４に示すものは、利用者ＩＣカード対応領域処理部が複数の装置に分かれて実装されている場合を示すものであり、制御手段のうち「ＩＣカード及び外部システム通信処理手段」はサーバ装置にあり、「暗号処理手段」と「データ保持手段」は別の筺体（ＨＳＭ内蔵装置）に収められたＨＳＭ内に実装されている。ＨＳＭがサーバ装置と別の筺体に収められているので、交換や増設等の管理が容易になるというメリットがある。
【００３０】
サーバ連携型多目的ＩＣカードシステムを連続して稼動させる場合、耐タンパーサーバーの障害に備えて予備系のサーバをあらかじめ用意する必要があるが、セキュリティの低下につながるため現用サーバのＨＳＭに格納された認証鍵を予備系のサーバのＨＳＭに複製することはできない。このため、現用サーバのＨＳＭに障害が発生した場合、当該ＨＳＭに認証鍵が格納されている利用者は新たな認証鍵を再交付しない限りサービスを利用できないという問題が生じる。
この問題を回避するため、一人の利用者に対してあらかじめ現用・予備の２つの認証鍵を発行し、２つの認証鍵を現用・予備の２台のＨＳＭにそれぞれ格納しておく。そして、現用の認証鍵を格納しているＨＳＭに障害が発生した場合は、予備系のＨＳＭに格納された認証鍵を用いることにより、利用者はＨＳＭの障害を意識することなく継続してサービスを利用することが可能となる。
以下、現用・予備の認証鍵がそれぞれ格納された２台のＨＳＭの実装の形態について図面を参照して説明する。
【００３１】
図１５は、図１３に示すようなＨＳＭが内蔵されたサーバ装置を２台並列に設置し、サーバ装置監視装置によって現用サーバ（例えばサーバ装置Ａ）の動作を監視し、現用サーバに故障が発生したことを検出したときに、予備系のサーバ（例えばサーバ装置Ｂ）に切り替える態様を示すものである。サーバ装置Ａに故障が発生したことは、例えば、利用者ＩＣカードとサーバの利用者ＩＣカード対応領域処理部との間のセキュアチャネルにおけるデータの流れを監視することによって判定できる。例えば、データが全く流れていなければサーバ装置Ａが故障したと判定し、セキュアチャネルの接続先をサーバ装置Ｂに切り替える。そして、サーバ装置Ｂ内のＨＳＭ−Ｂには予備の認証鍵を含む登録情報ＳＩＢと、予備の認証鍵と対応付けられた登録証ＳＰＫＣＢが格納されており、利用者ＩＣカード内のサーバ一体型ＩＣカード管理手段にはＳＰＫＣＢが格納されているので、サーバ装置Ｂに切り替えるとすぐにＩＣカードが使用可能になる。つまり、利用者から見れば、サーバ装置が切り替わったことを自覚せずに継続してサービスを受けることが可能になる。
【００３２】
図１６は単一のサーバ装置に２台のＨＳＭが実装されている態様を示すものであり、図１５に示したサーバ装置監視装置の役目を、サーバ装置内の利用者ＩＣカード対応領域処理部にある「ＩＣカード及び外部システム通信処理手段」に含まれるＨＳＭ動作監視機能が果たしている。なお、動作的には図１５の場合とほぼ同じであるが、全体として機器の占めるスペースが小さくなる反面、サーバ装置自体がダウンしてしまった場合は、ＩＣカードの利用ができなくなるというデメリットもある。
【００３３】
図１７は、図１４に示すような、ＨＳＭがサーバとは別の筺体（ＨＳＭ装置）に収納されている態様の拡張版を示すものである。すなわち、サーバ装置を２台、ＨＳＭ装置を２台それぞれ設置し、マルチ接続にしたものである。各サーバ装置がそれぞれ２台のＨＳＭに接続されるようになっているので、仮に現用のサーバ装置がダウンしても、予備のサーバ装置に切り替えて現用のＨＳＭに接続すれば、認証鍵の変更も無く継続してサービスを受けることができる。一方、現用のＨＳＭ（ＨＳＭ−Ａ）が故障した場合は予備系のＨＳＭ（ＨＳＭ−Ｂ）に接続を切り替えることによって、サービスを継続させることができる。
なお、サーバ装置監視装置がセキュアチャネルのデータ通信が停止されたことを検出したときは、サーバ装置側の故障か、ＨＳＭ側の故障かの区別ができないので、例えば、以下のようなシーケンスで切り替えるようにしてもよい。
デフォルトで、サーバ装置ＡとＨＳＭ−Ａが接続されていたとする。サーバ装置監視装置が異常を検出すると、サーバ装置ＡとＨＳＭ−Ｂとの接続に切り替える。これで通信が復帰すればＨＳＭ−Ａの故障と判断できる。これによってもセキュアチャネルの通信が復帰しない場合は、サーバ装置Ａの故障と判断し（ＨＳＭ−Ｂは使用していないので一応正常と判定する。）、サーバ装置Ｂへ切り替える。すなわち、サーバ装置ＢとＨＳＭ−Ｂとの接続となる。これで通信は復帰するはずであるが、万一復帰しない場合は、サーバ装置ＢとＨＳＭ−Ａとの接続に切り替えれば復帰する（最初に検出した異常の理由はサーバ装置Ａの故障であって、ＨＳＭ−Ａは正常であったと考えられるからである。）。つまり、２台のサーバ装置のうちのいずれかが正常であり、かつ、２台のＨＳＭのうちのいずれかが正常であれば、正常なものどうしの組み合わせは少なくとも一つは存在するので、サービスが中断することはなくなる。
【特許請求の範囲】
【請求項１】
ＩＣカードと該ＩＣカードの読み書き手段とを備えた利用者装置と、
前記ＩＣカードを発行し管理するＩＣカード発行・管理機関が有する発行・登録装置及びサーバ装置とが、相互に通信可能に接続されたサーバ一体型ＩＣカードシステムであって、
前記ＩＣカードは、
電子認証用公開鍵証明書（ＵＰＫＣ）及びそれと対応する秘密鍵（ＵＰＫＥＹ）を備えた電子認証手段と、
前記発行・登録装置及びサーバ装置等の外部装置との間のデータ送受信を管理するとともに、ＩＣカード内のデータ管理を行うＩＣカード管理手段とを備え、
前記発行・登録装置は、
前記ＩＣカードから送られた利用者ＩＣカード対応領域生成依頼情報と前記電子認証用公開鍵証明書を受信し、前記電子認証用公開鍵証明書に基づいて利用者の認証を行うとともに、前記サーバ装置に対して利用者ＩＣカード対応領域の生成を依頼し、前記サーバ装置から返信された前記利用者ＩＣカード対応領域の登録情報（ＳＩ）及び前記利用者ＩＣカード対応領域にアクセスするためのアドレス等を含む領域情報（ＳＩＤ）に基づいて登録証（ＳＰＫＣ）を生成して、前記電子認証用公開鍵証明書とともに前記サーバ装置に送信するサーバ登録証生成手段を備え、
前記サーバ装置は、
前記発行・登録装置から送られた前記利用者ＩＣカード対応領域生成依頼情報に基づいて前記利用者ＩＣカード対応領域、前記登録情報及び領域情報を生成する利用者ＩＣカード対応領域生成部と、
該利用者ＩＣカード対応領域生成部から送られた前記登録情報及び領域情報を前記利用者ＩＣカード対応領域に格納する処理を行う利用者ＩＣカード対応領域処理部と、
前記サーバ登録証生成手段から送られた前記登録証と電子認証用公開鍵証明書とを受信し、前記登録情報と前記登録証との対応付けを検証し、検証結果が正しければ前記登録証と電子認証用公開鍵証明書を前記利用者ＩＣカード対応領域処理部に送り前記ＩＣカード対応領域に格納させる登録証検証部と、を備えるとともに、
前記利用者ＩＣカード対応領域処理部は、前記領域情報及び登録証を前記ＩＣカード管理手段に送り、前記ＩＣカード管理手段に格納することにより、前記利用者ＩＣカード対応領域処理部を前記ＩＣカードと一体化して利用することを可能にしたことを特徴とするサーバ一体型ＩＣカードシステム。
【請求項２】
前記ＩＣカード管理手段と前記利用者ＩＣカード対応領域処理部との間で通信により相互認証を行い、認証が正しく行われたときにセキュアチャネルを開設することを特徴とする請求項１に記載のサーバ一体型ＩＣカードシステム。
【請求項３】
前記相互認証がワンタイム・パスワードを用いたチャレンジ・レスポンス認証であることを特徴とする請求項２に記載のサーバ一体型ＩＣカードシステム。
【請求項４】
前記利用者ＩＣカード対応領域に、サーバ格納アプリケーション情報（ＳＡＩＤ）及びそれに対応したサーバ格納アプリケーションデータ（ＳＡＰＤ）が格納されている場合において、
前記サーバ格納アプリケーションデータを利用する外部システムが前記ＩＣカードのＩＣカード管理手段に対して前記サーバ格納アプリケーション情報を用いて前記サーバ格納アプリケーションデータを呼び出した場合、
前記ＩＣカード管理手段は前記利用者ＩＣカード対応領域処理部との間にセキュアチャネルを開設した後に、前記利用者ＩＣカード対応領域処理部に対して、前記外部システムが前記利用者ＩＣカード対応領域処理部から前記サーバ格納アプリケーションデータを直接呼び出すための一時的な接続許可証（ＴＫ）を要求し、
前記利用者ＩＣカード対応領域処理部が前記一時的な接続許可証を作成して前記セキュアチャネルを介して前記ＩＣカード管理手段に返すと、
前記ＩＣカード管理手段は前記領域情報と前記一時的な接続許可証を前記外部システムに送り、
前記外部システムは受信した前記一時的な接続許可証と前記サーバ格納アプリケーション情報を前記利用者ＩＣカード対応領域処理部に直接送って前記サーバ格納アプリケーションデータを呼び出し、
前記利用者ＩＣカード対応領域処理部は、受信した前記一時的な接続許可証を検証し、自己が発行した許可証であれば前記外部システムに対して前記サーバ格納アプリケーションデータの利用を許可することを特徴とする請求項２又は３に記載のサーバ一体型ＩＣカードシステム。
【請求項５】
前記利用者ＩＣカード対応領域処理部は、データ保持機能を有する利用者ＩＣカード対応領域と、ＩＣカード及び外部システム通信処理手段並びに暗号処理手段を有する制御手段とを含み、
前記利用者ＩＣカード対応領域及び前記暗号処理手段が前記サーバ装置に内蔵されたハードウェア・セキュリティ・モジュール（ＨＳＭ）に実装されていることを特徴とする請求項１乃至４のいずれかに記載のサーバ一体型ＩＣカードシステム。
【請求項６】
前記利用者ＩＣカード対応領域処理部は、データ保持機能を有する利用者ＩＣカード対応領域と、ＩＣカード及び外部システム通信処理手段と暗号処理手段とを有する制御手段とを含み、
前記利用者ＩＣカード対応領域及び前記暗号処理手段が前記サーバ装置とは別に設けられたＨＳＭ内蔵装置に内蔵されたＨＳＭに実装されていることを特徴とする請求項１乃至４のいずれかに記載のサーバ一体型ＩＣカードシステム。
【請求項７】
前記サーバ装置を２台配置して並列接続し、前記２台のサーバ装置のうちの１台を通常使用する現用サーバ装置とし、残りのサーバ装置を予備用サーバ装置とするとともに、
前記予備用サーバ装置の利用者ＩＣカード対応領域は予備の領域秘密鍵を含む登録情報（ＳＩ）と、該予備の領域秘密鍵に対応付けられた登録証（ＳＰＫＣ）を含み、かつ、該予備の登録証は前記利用者ＩＣカードの中のサーバ一体型ＩＣカード管理手段にも格納され、さらに、
前記各サーバ装置と前記利用者装置の間にはサーバ装置監視装置が挿入され、前記現用サーバ装置と前記利用者装置との間の通信異常を検出すると、前記サーバ装置監視装置が前記現用サーバ装置を前記予備用サーバ装置に切り替えることを特徴とする請求項５に記載のサーバ一体型ＩＣカードシステム。
【請求項８】
前記利用者ＩＣカード対応領域及び前記暗号処理手段が実装された前記ＨＳＭが２台前記サーバ装置内に配置され、前記ＩＣカード及び外部システム通信処理手段を介して前記利用者装置とそれぞれ接続されるとともに、
前記２台のＨＳＭのうち一方を現用のＨＳＭ（ＨＳＭ−Ａ），他方を予備用のＨＳＭ（ＨＳＭ−Ｂ）として、該予備用のＨＳＭ内の利用者ＩＣカード対応領域は予備の領域秘密鍵を含む登録情報（ＳＩＢ）と、該予備の領域秘密鍵に対応付けられた登録証（ＳＰＫＣＢ）を含み、かつ、該予備の登録証（ＳＰＫＣＢ）は前記利用者ＩＣカードの中のサーバ一体型ＩＣカード管理手段にも格納され、さらに、
前記ＩＣカード及び外部システム通信処理手段に含まれるＨＳＭ動作監視機能が前記現用ＨＳＭと前記利用者装置との間の通信異常を検出すると、前記ＨＳＭ動作監視機能が前記現用ＨＳＭ（ＨＳＭ−Ａ）を前記予備用ＨＳＭ（ＨＳＭ−Ｂ）に切り替えることを特徴とする請求項５に記載のサーバ一体型ＩＣカードシステム。
【請求項９】
前記サーバ装置を２台設置し、一方を現用、他方を予備用にそれぞれ割り当て、
前記ＨＳＭ内蔵装置を２台配置し、一方を現用、他方を予備用にそれぞれ割り当てるとともに、
前記現用のサーバ装置（Ａ）と、前記現用のＨＳＭ内蔵装置（Ａ）及び前記予備用ＨＳＭ内蔵装置（Ｂ）を接続し、
前記予備用のサーバ装置（Ｂ）と、前記現用のＨＳＭ内蔵装置（Ａ）及び前記予備用ＨＳＭ内蔵装置（Ｂ）を接続し、さらに、
前記現用のサーバ装置（Ａ）及び予備用のサーバ装置（Ｂ）はサーバ装置監視装置を介して前記利用者装置と接続されており、
前記予備用ＨＳＭ内蔵装置（Ｂ）内のＨＳＭ（ＨＳＭ−Ｂ）内の利用者ＩＣカード対応領域は予備の領域秘密鍵を含む登録情報（ＳＩＢ）と、該予備の領域秘密鍵に対応付けられた登録証（ＳＰＫＣＢ）を含み、かつ、該予備の登録証（ＳＰＫＣＢ）は前記利用者ＩＣカードの中のサーバ一体型ＩＣカード管理手段にも格納され、
前記サーバ装置監視装置が、前記現用サーバ装置（Ａ）又は前記予備用サーバ装置（Ｂ）と前記利用者装置との間の通信異常を検出すると、前記現用サーバ装置（Ａ）又は前記予備用サーバ装置（Ｂ）と、前記現用のＨＳＭ内蔵装置（Ａ）又は前記予備用ＨＳＭ内蔵装置（Ｂ）との接続を所定のシーケンスに従って切り替えることを特徴とする請求項６に記載のサーバ一体型ＩＣカードシステム。
【請求項１】
ＩＣカードと該ＩＣカードの読み書き手段とを備えた利用者装置と、
前記ＩＣカードを発行し管理するＩＣカード発行・管理機関が有する発行・登録装置及びサーバ装置とが、相互に通信可能に接続されたサーバ一体型ＩＣカードシステムであって、
前記ＩＣカードは、
電子認証用公開鍵証明書（ＵＰＫＣ）及びそれと対応する秘密鍵（ＵＰＫＥＹ）を備えた電子認証手段と、
前記発行・登録装置及びサーバ装置等の外部装置との間のデータ送受信を管理するとともに、ＩＣカード内のデータ管理を行うＩＣカード管理手段とを備え、
前記発行・登録装置は、
前記ＩＣカードから送られた利用者ＩＣカード対応領域生成依頼情報と前記電子認証用公開鍵証明書を受信し、前記電子認証用公開鍵証明書に基づいて利用者の認証を行うとともに、前記サーバ装置に対して利用者ＩＣカード対応領域の生成を依頼し、前記サーバ装置から返信された前記利用者ＩＣカード対応領域の登録情報（ＳＩ）及び前記利用者ＩＣカード対応領域にアクセスするためのアドレス等を含む領域情報（ＳＩＤ）に基づいて登録証（ＳＰＫＣ）を生成して、前記電子認証用公開鍵証明書とともに前記サーバ装置に送信するサーバ登録証生成手段を備え、
前記サーバ装置は、
前記発行・登録装置から送られた前記利用者ＩＣカード対応領域生成依頼情報に基づいて前記利用者ＩＣカード対応領域、前記登録情報及び領域情報を生成する利用者ＩＣカード対応領域生成部と、
該利用者ＩＣカード対応領域生成部から送られた前記登録情報及び領域情報を前記利用者ＩＣカード対応領域に格納する処理を行う利用者ＩＣカード対応領域処理部と、
前記サーバ登録証生成手段から送られた前記登録証と電子認証用公開鍵証明書とを受信し、前記登録情報と前記登録証との対応付けを検証し、検証結果が正しければ前記登録証と電子認証用公開鍵証明書を前記利用者ＩＣカード対応領域処理部に送り前記ＩＣカード対応領域に格納させる登録証検証部と、を備えるとともに、
前記利用者ＩＣカード対応領域処理部は、前記領域情報及び登録証を前記ＩＣカード管理手段に送り、前記ＩＣカード管理手段に格納することにより、前記利用者ＩＣカード対応領域処理部を前記ＩＣカードと一体化して利用することを可能にしたことを特徴とするサーバ一体型ＩＣカードシステム。
【請求項２】
前記ＩＣカード管理手段と前記利用者ＩＣカード対応領域処理部との間で通信により相互認証を行い、認証が正しく行われたときにセキュアチャネルを開設することを特徴とする請求項１に記載のサーバ一体型ＩＣカードシステム。
【請求項３】
前記相互認証がワンタイム・パスワードを用いたチャレンジ・レスポンス認証であることを特徴とする請求項２に記載のサーバ一体型ＩＣカードシステム。
【請求項４】
前記利用者ＩＣカード対応領域に、サーバ格納アプリケーション情報（ＳＡＩＤ）及びそれに対応したサーバ格納アプリケーションデータ（ＳＡＰＤ）が格納されている場合において、
前記サーバ格納アプリケーションデータを利用する外部システムが前記ＩＣカードのＩＣカード管理手段に対して前記サーバ格納アプリケーション情報を用いて前記サーバ格納アプリケーションデータを呼び出した場合、
前記ＩＣカード管理手段は前記利用者ＩＣカード対応領域処理部との間にセキュアチャネルを開設した後に、前記利用者ＩＣカード対応領域処理部に対して、前記外部システムが前記利用者ＩＣカード対応領域処理部から前記サーバ格納アプリケーションデータを直接呼び出すための一時的な接続許可証（ＴＫ）を要求し、
前記利用者ＩＣカード対応領域処理部が前記一時的な接続許可証を作成して前記セキュアチャネルを介して前記ＩＣカード管理手段に返すと、
前記ＩＣカード管理手段は前記領域情報と前記一時的な接続許可証を前記外部システムに送り、
前記外部システムは受信した前記一時的な接続許可証と前記サーバ格納アプリケーション情報を前記利用者ＩＣカード対応領域処理部に直接送って前記サーバ格納アプリケーションデータを呼び出し、
前記利用者ＩＣカード対応領域処理部は、受信した前記一時的な接続許可証を検証し、自己が発行した許可証であれば前記外部システムに対して前記サーバ格納アプリケーションデータの利用を許可することを特徴とする請求項２又は３に記載のサーバ一体型ＩＣカードシステム。
【請求項５】
前記利用者ＩＣカード対応領域処理部は、データ保持機能を有する利用者ＩＣカード対応領域と、ＩＣカード及び外部システム通信処理手段並びに暗号処理手段を有する制御手段とを含み、
前記利用者ＩＣカード対応領域及び前記暗号処理手段が前記サーバ装置に内蔵されたハードウェア・セキュリティ・モジュール（ＨＳＭ）に実装されていることを特徴とする請求項１乃至４のいずれかに記載のサーバ一体型ＩＣカードシステム。
【請求項６】
前記利用者ＩＣカード対応領域処理部は、データ保持機能を有する利用者ＩＣカード対応領域と、ＩＣカード及び外部システム通信処理手段と暗号処理手段とを有する制御手段とを含み、
前記利用者ＩＣカード対応領域及び前記暗号処理手段が前記サーバ装置とは別に設けられたＨＳＭ内蔵装置に内蔵されたＨＳＭに実装されていることを特徴とする請求項１乃至４のいずれかに記載のサーバ一体型ＩＣカードシステム。
【請求項７】
前記サーバ装置を２台配置して並列接続し、前記２台のサーバ装置のうちの１台を通常使用する現用サーバ装置とし、残りのサーバ装置を予備用サーバ装置とするとともに、
前記予備用サーバ装置の利用者ＩＣカード対応領域は予備の領域秘密鍵を含む登録情報（ＳＩ）と、該予備の領域秘密鍵に対応付けられた登録証（ＳＰＫＣ）を含み、かつ、該予備の登録証は前記利用者ＩＣカードの中のサーバ一体型ＩＣカード管理手段にも格納され、さらに、
前記各サーバ装置と前記利用者装置の間にはサーバ装置監視装置が挿入され、前記現用サーバ装置と前記利用者装置との間の通信異常を検出すると、前記サーバ装置監視装置が前記現用サーバ装置を前記予備用サーバ装置に切り替えることを特徴とする請求項５に記載のサーバ一体型ＩＣカードシステム。
【請求項８】
前記利用者ＩＣカード対応領域及び前記暗号処理手段が実装された前記ＨＳＭが２台前記サーバ装置内に配置され、前記ＩＣカード及び外部システム通信処理手段を介して前記利用者装置とそれぞれ接続されるとともに、
前記２台のＨＳＭのうち一方を現用のＨＳＭ（ＨＳＭ−Ａ），他方を予備用のＨＳＭ（ＨＳＭ−Ｂ）として、該予備用のＨＳＭ内の利用者ＩＣカード対応領域は予備の領域秘密鍵を含む登録情報（ＳＩＢ）と、該予備の領域秘密鍵に対応付けられた登録証（ＳＰＫＣＢ）を含み、かつ、該予備の登録証（ＳＰＫＣＢ）は前記利用者ＩＣカードの中のサーバ一体型ＩＣカード管理手段にも格納され、さらに、
前記ＩＣカード及び外部システム通信処理手段に含まれるＨＳＭ動作監視機能が前記現用ＨＳＭと前記利用者装置との間の通信異常を検出すると、前記ＨＳＭ動作監視機能が前記現用ＨＳＭ（ＨＳＭ−Ａ）を前記予備用ＨＳＭ（ＨＳＭ−Ｂ）に切り替えることを特徴とする請求項５に記載のサーバ一体型ＩＣカードシステム。
【請求項９】
前記サーバ装置を２台設置し、一方を現用、他方を予備用にそれぞれ割り当て、
前記ＨＳＭ内蔵装置を２台配置し、一方を現用、他方を予備用にそれぞれ割り当てるとともに、
前記現用のサーバ装置（Ａ）と、前記現用のＨＳＭ内蔵装置（Ａ）及び前記予備用ＨＳＭ内蔵装置（Ｂ）を接続し、
前記予備用のサーバ装置（Ｂ）と、前記現用のＨＳＭ内蔵装置（Ａ）及び前記予備用ＨＳＭ内蔵装置（Ｂ）を接続し、さらに、
前記現用のサーバ装置（Ａ）及び予備用のサーバ装置（Ｂ）はサーバ装置監視装置を介して前記利用者装置と接続されており、
前記予備用ＨＳＭ内蔵装置（Ｂ）内のＨＳＭ（ＨＳＭ−Ｂ）内の利用者ＩＣカード対応領域は予備の領域秘密鍵を含む登録情報（ＳＩＢ）と、該予備の領域秘密鍵に対応付けられた登録証（ＳＰＫＣＢ）を含み、かつ、該予備の登録証（ＳＰＫＣＢ）は前記利用者ＩＣカードの中のサーバ一体型ＩＣカード管理手段にも格納され、
前記サーバ装置監視装置が、前記現用サーバ装置（Ａ）又は前記予備用サーバ装置（Ｂ）と前記利用者装置との間の通信異常を検出すると、前記現用サーバ装置（Ａ）又は前記予備用サーバ装置（Ｂ）と、前記現用のＨＳＭ内蔵装置（Ａ）又は前記予備用ＨＳＭ内蔵装置（Ｂ）との接続を所定のシーケンスに従って切り替えることを特徴とする請求項６に記載のサーバ一体型ＩＣカードシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２０１０−７３１８８（Ｐ２０１０−７３１８８Ａ）
【公開日】平成２２年４月２日（２０１０．４．２）
【国際特許分類】
【出願番号】特願２００９−１１０２７５（Ｐ２００９−１１０２７５）
【出願日】平成２１年４月３０日（２００９．４．３０）
【出願人】（３０４０２１４１７）国立大学法人東京工業大学 (1,821)
【Ｆターム（参考）】
【公開日】平成２２年４月２日（２０１０．４．２）
【国際特許分類】
【出願日】平成２１年４月３０日（２００９．４．３０）
【出願人】（３０４０２１４１７）国立大学法人東京工業大学 (1,821)
【Ｆターム（参考）】
[ Back to top ]