個人情報共有システム、認証局、Ｗｅｂサーバ、耐タンパデバイスおよびプログラム
【課題】 ネットワークに接続された複数のＷｅｂサーバで個人情報を安全に共有する。
【解決手段】 個人情報を格納したＩＣカード５２を使用して、ネットワーク４０に接続された複数のＷｅｂサーバＡ１０、Ｂ２０で個人情報を安全に共有する個人情報共有システムである。ＩＣカード５２に格納された個人情報のうち、Ｗｅｂサーバに取得を許可する個人情報を限定する権限レベルをＣＡ３０がＷｅｂサーバに設定する。ＷｅｂサーバからＩＣカード５２へ権限レベルを送信して個人情報の取得を要求すると、ＷｅｂサーバとＩＣカード５２の間で相互認証を行い、ＩＣカード５２は、Ｗｅｂサーバに設定された権限レベルとＷｅｂサーバに取得を許可する個人情報の対応を示す対応テーブルに基づいて個人情報を選択してＷｅｂサーバへ送信する。
【解決手段】 個人情報を格納したＩＣカード５２を使用して、ネットワーク４０に接続された複数のＷｅｂサーバＡ１０、Ｂ２０で個人情報を安全に共有する個人情報共有システムである。ＩＣカード５２に格納された個人情報のうち、Ｗｅｂサーバに取得を許可する個人情報を限定する権限レベルをＣＡ３０がＷｅｂサーバに設定する。ＷｅｂサーバからＩＣカード５２へ権限レベルを送信して個人情報の取得を要求すると、ＷｅｂサーバとＩＣカード５２の間で相互認証を行い、ＩＣカード５２は、Ｗｅｂサーバに設定された権限レベルとＷｅｂサーバに取得を許可する個人情報の対応を示す対応テーブルに基づいて個人情報を選択してＷｅｂサーバへ送信する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークに接続された複数のＷｅｂサーバでユーザの個人情報を安全に共有する個人情報共有システムおよびプログラムに関する。
【背景技術】
【０００２】
インターネットの普及により、ユーザはＷｅｂサーバで各種の電子商取引を行うことができるようになっている。ここで、ユーザが商品やサービスの申し込みを行うときに、Ｗｅｂサーバごとに住所、氏名、電話番号、クレジット番号などの個人情報を入力しなければならなかった。
【０００３】
これに対し、ユーザが同じ情報を再入力する手間をなくす従来技術について、図７を参照して説明する。
ユーザはＰＣ１５０からネットワーク１４０を経由してＷｅｂサーバＡ１１０あるいはＷｅｂサーバＢ１２０にアクセスすることができる。ここでＷｅｂサーバとは、サーバハードウェア上でＷｅｂサーバ用プログラム（HTTPプロトコルでWorld Wide Webのサービスを提供するプログラム）を動作させ、HTML などで書かれた一連のＷｅｂページを格納したものである。ＷｅｂサーバＡ１１０およびＷｅｂサーバＢ１２０は、個人情報管理サーバ１３０から個人情報を取得する機能を有する。個人情報管理サーバ１３０は、Ｗｅｂサーバとして構成されている。個人情報管理サーバ１３０はユーザの個人情報を登録し、Ｗｅｂサーバからの要求に対してユーザの個人情報を送信する。ここで個人情報とは、例えば、ユーザの氏名、年齢、住所、電話番号、クレジット番号、銀行口座番号、電子メールアドレスなどである。
【０００４】
次に図７に示すシステムの動作を説明する。ユーザはＷｅｂサーバＡ１１０あるいはＷｅｂサーバＢ１２０へのアクセスに先立って、個人情報管理サーバ１３０に個人情報を登録する。ユーザが個人情報管理サーバ１３０に個人情報を登録すると、個人情報管理サーバ１３０からユーザへID、パスワードが発行される。ユーザはこのID、パスワードを使用してＷｅｂサーバＡ１１０にログインする。ユーザがこのＷｅｂサーバＡ１１０で商品やサービスの申し込みを行うと、ＷｅｂサーバＡ１１０は個人情報管理サーバ１３０へユーザのIDを送信して、ユーザの個人情報を要求する。個人情報管理サーバ１３０は受信したIDに対応するユーザの個人情報をＷｅｂサーバＡ１１０へ送信する。このため、ユーザは個人情報を入力する必要はない。同様に、ユーザがＷｅｂサーバＢ１２０にログインして商品やサービスの申し込みを行うときも、ユーザはID、パスワードを使用してログインするだけで個人情報を入力する必要はない。Ｗｅｂサーバは２つに限定されることなく、Ｗｅｂサーバが３つ以上の場合も同様である。上記のように、複数のＷｅｂサーバは個人情報管理サーバ１３０からユーザの個人情報を受け取ることで、ユーザはＷｅｂサーバごとに個人情報を入力する必要がなくなり、Ｗｅｂサーバはこのシステムによりユーザの個人情報を共有することができる。
【０００５】
しかし、ユーザの個人情報はネットワークに接続されたＷｅｂサーバである個人情報管理サーバ１３０に格納されており、個人情報が暗号化されていたとしても、第三者から不正にアクセスされる危険性は否定できない。
例えば、ユーザがIDに対応するパスワードを忘れてしまった場合には、個人情報として個人情報管理サーバ１３０に登録された電子メールアドレスを使用してユーザへ電子メールを送信しパスワードを再設定する技術がある。これは、パスワードを再設定することができるリンクが記載された電子メールを個人情報管理サーバ１３０からユーザへ送信するというものである。この処理において、第三者によって当該電子メールが不正に入手されると、第三者にパスワードを変更され、さらに、変更されたパスワードを使用して個人情報管理サーバ１３０に格納されたユーザの個人情報が不正に取得される恐れがある。
また、個人情報管理サーバ１３０には個人情報が集約して格納されているため、第三者にハッキングされると個人情報が大量に流出する可能性がある。個人情報管理サーバ１３０の管理者が個人情報を不正に持ち出すこともあり得る。
【０００６】
上記のようなリスクに対処するため、ユーザの個人情報をインターネットに接続されたサーバに格納するのでなく、ユーザが所有するＩＣカードに格納する技術がある。ユーザはＩＣカードに個人情報を格納し、当該ＩＣカードを端末装置にセットしてネットワーク経由でホストコンピュータにアクセスし、サービスの提供を受けるというものである。
耐タンパデバイスであるＩＣカードに個人情報を格納することにより、不正なアクセスから個人情報を保護することができ、ユーザがＩＣカードを使用しないときは取り外して安全な場所に保管することができる。また、Ｗｅｂサーバで個人情報を集約して保持する場合と異なり、大量に個人情報が流出する危険性もない。なお、耐タンパデバイスとは、秘密情報や秘密情報の処理メカニズムを外部から不当に観測・改変することや秘密情報を処理するメカニズムを不当に改変することが極めて困難であるように意図して作られたハードウェアであって、一般に、ＣＰＵ（中央処理装置）、ＲＯＭ（リードオンリメモリ）、ＲＡＭ（ランダムアクセスメモリ）を有する。
また、上記のＩＣカードを使用したシステムにおいては、ユーザがＩＣカードに格納した個人情報は、ユーザが公開フラグをセットした項目のみホストコンピュータに送信され、ユーザが公開フラグをセットしていない項目はホストコンピュータに送信されないので、公開フラグがセットされた個人情報に応じたサービスのみ提供される仕組みとなっている。
なお、従来技術として特許文献１が知られている。
【特許文献１】特開平10-49596号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上記のＩＣカードを使用したシステムにおいては、ホストコンピュータへ送信する必要がある個人情報の内容は電子商取引の内容によって異なるため、ユーザがセットした公開フラグに基づいて一律にホストコンピュータへ送信するか否か決定すると、ユーザが希望する電子商取引に必要な情報に対して過不足が生じる。さらに、ユーザが公開フラグをセットしたものは対象となる電子商取引で必要がなくてもホストコンピュータから取得可能となっている。
また、個人情報がＩＣカードに格納された状態では耐タンパデバイスであるＩＣカードの機能により個人情報は不正に盗み出されることはないが、ＩＣカードとホストコンピュータがお互いに正しい相手であるか確認する手段がないと、ＩＣカードに格納された個人情報を不正なホストコンピュータに送信して悪用されたり、不正に発行されたＩＣカードからホストコンピュータが虚偽の個人情報を取得して、その相手に対して商品販売などをして損害を被ったりする恐れがある。
この発明は、上記の事情を考慮してなされたものであり、その目的は、ＩＣカードおよびＷｅｂサーバがお互いに正しい相手であるか確認し、ＩＣカードに格納された個人情報のうち必要なものに限定してＷｅｂサーバに送信することができる個人情報共有システム、認証局、Ｗｅｂサーバ、耐タンパデバイスおよびプログラムを提供することである。
【課題を解決するための手段】
【０００８】
この発明は上記の課題を解決するためになされたもので、請求項１に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、前記認証局は、前記Ｗｅｂサーバに対して前記個人情報に対するアクセス権限を設定する手段を備えると共に、前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する手段を備え、前記Ｗｅｂサーバは、前記アクセス権限に基づいて前記クライアントに対し前記個人情報の取得を要求する手段を備え、前記耐タンパデバイスは、前記アクセス権限により取得が許可される個人情報を選択して前記Ｗｅｂサーバへ送信する手段を備えることを特徴とする個人情報共有システムである。
【０００９】
請求項２に記載の発明は、請求項１に記載の個人情報共有システムにおいて、前記認証局は、前記Ｗｅｂサーバと前記耐タンパデバイスとの相互認証に用いる鍵情報を発行する手段をさらに備え、前記Ｗｅｂサーバおよび前記耐タンパデバイスは、それぞれが生成した乱数を前記鍵情報を用いて暗号化した情報に基づいて相互に認証を行う手段をさらに備えることを特徴とする。
【００１０】
請求項３に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記認証局であって、前記Ｗｅｂサーバにおいて前記個人情報の取得を要求するときに使用され、前記耐タンパデバイスにおいて取得が許可される個人情報を選択するときに使用されるアクセス権限を、前記Ｗｅｂサーバに対して設定する手段と、前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する手段とを備えることを特徴とする認証局である。
【００１１】
請求項４に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記Ｗｅｂサーバであって、前記認証局によって設定されたアクセス権限に基づいて前記個人情報の取得を要求する手段を備えることを特徴とするＷｅｂサーバである。
【００１２】
請求項５に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記耐タンパデバイスであって、前記認証局によって前記Ｗｅｂサーバに対して設定されたアクセス権限に基づいて取得が許可される個人情報を選択して前記Ｗｅｂサーバへ送信する手段を備えることを特徴とする耐タンパデバイスである。
【００１３】
請求項６に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、前記認証局のコンピュータに、前記Ｗｅｂサーバにおいて前記個人情報の取得を要求するときに使用され、前記耐タンパデバイスにおいて取得が許可される個人情報を選択するときに使用されるアクセス権限を、前記Ｗｅｂサーバ対して設定する処理と、前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する処理とを実行させるためのプログラムである。
【００１４】
請求項７に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、前記Ｗｅｂサーバのコンピュータに、前記認証局によって設定されたアクセス権限に基づいて前記個人情報の取得を要求する処理を実行させるためのプログラムである。
【発明の効果】
【００１５】
この発明によれば、ＣＡによってＷｅｂサーバごとに設定された権限レベルに応じて、Ｗｅｂサーバへ送信されるユーザの個人情報が限定されるので、ユーザは不要な個人情報を送信することがなくなり、また、Ｗｅｂサーバによる権限レベルを越えた個人情報の取得を防止することができる。
また、個人情報を格納する耐タンパデバイスとＷｅｂサーバが相互認証を行うので、ユーザの個人情報が不正な相手に送信されたり、不正な耐タンパデバイスから虚偽の個人情報がＷｅｂサーバへ送信されたりすることが防止される。
【発明を実施するための最良の形態】
【００１６】
以下、図面を参照し、この発明の実施の形態について説明する。図１はこの発明の一実施の形態による個人情報共有システムの構成を示すブロック図である。
図１において、ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０は、ユーザから個人情報の提供を受けて電子商取引を行うＷｅｂサーバである。ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０は、ＰＣ５０から例えば商品やサービスの申し込みを受け付ける機能を有する。
ＣＡ（認証局）３０は、ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０にマスター鍵と証明書を発行する機能を有する。また、ＣＡ３０は、ＰＣ５０を経由してＩＣカード５２にユーザの個人情報、マスター鍵、証明書を格納する機能を有する。
ネットワーク４０は、例えば、インターネットである。
ＰＣ５０はＷｅｂサーバのクライアントであり、ＩＣカードリーダライタ５１が接続され、ＩＣカードリーダライタ５１はパソコンからの指示に従ってＩＣカード５２から情報を読み出したり、ＩＣカード５２に情報を書き込んだりする。ＩＣカード５２とＩＣカードリーダライタ５１の間の通信方式は接触式でも、非接触式でもよい。
【００１７】
次に図２を参照して、このシステムによる処理の手順を説明する。
ステップＳ２０１からステップＳ２０４は、ＷｅｂサーバＡ１０およびＷｅｂサーバＢ２０がユーザのＩＣカード５２から個人情報の提供を受けて、商品やサービスの申し込みを受け付ける前に、ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０とＣＡ３０との間で行われる手順である。
ＷｅｂサーバＡ１０の運営者はＣＡ３０の運営者に契約を申し込み、契約を結ぶ（ステップＳ２０１）。ＣＡ３０は、マスター鍵と、ＷｅｂサーバＡ１０を認証する証明書であって、契約の際に決定したＷｅｂサーバＡ１０の権限レベルが記載された証明書とをＷｅｂサーバＡ１０へ送付する（ステップＳ２０２）。証明書にはＷｅｂサーバＡ１０の権限レベルの他にＷｅｂサーバＡ１０の公開鍵が格納されている。公開鍵で暗号化された情報を復号化するときに使用する秘密鍵はＷｅｂサーバＡ１０に格納されている。マスター鍵は、契約しているＷｅｂサーバあるいは契約しているユーザに対してＣＡ３０から与えられる同一の暗号鍵である。
同様に、ＷｅｂサーバＢ２０の運営者はＣＡ３０の運営者に契約を申し込み、契約を結ぶ（ステップＳ２０３）。ＣＡ３０は、マスター鍵と、ＷｅｂサーバＢ２０を認証する証明書であって、契約の際に決定したＷｅｂサーバＢ２０の権限レベルが記載された証明書とをＷｅｂサーバＢ２０へ送付する（ステップＳ２０４）。
【００１８】
Ｓ２０５からＳ２０８は、ユーザがＩＣカード５２に個人情報が登録されていない状態でＷｅｂサーバＡ１０にアクセスし、ＷｅｂサーバＡ１０からの指示でＣＡ３０にアクセスして、ＩＣカード５２に個人情報を登録し、マスター鍵と証明書の送信を受ける手順を示す。ステップＳ２０５からＳ２０８の手順によりＩＣカード５２に個人情報が登録されると、登録済みフラグがセットされる。ＩＣカード５２に個人情報が登録されていない場合は、登録済みフラグはセットされていない。
ユーザはＰＣ５０に接続されたＩＣカードリーダライタ５１にＩＣカード５２をセットし、ＷｅｂサーバＡ１０にアクセスし、ＩＣカード５２を取得してからはじめて個人情報の入力が必要となる操作を行う（ステップＳ２０５）。例えば、ＷｅｂサーバＡ１０において商品を購入するために個人情報の入力が必要となったような場合である。するとＷｅｂサーバＡ１０はネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、ＩＣカード５２に登録済みフラグがセットされているかチェックを行う。ここでは登録済みフラグがセットされていないので、ＷｅｂサーバＡ１０はユーザに対して、ＣＡ３０にアクセスして個人情報の登録を行うように指示する（ステップ２０６）。具体的には、例えば、ＣＡ３０にアクセスして、このシステムによる個人情報共有のサービスへの参加を申し込むようＰＣ５０の画面に表示を行う。ユーザはＣＡ３０にアクセスし、このサービスへの参加（このサービスの利用契約）を申し込む操作を行う（ステップＳ２０７）。ここで例えばユーザはＰＣ５０において個人情報を入力しＣＡ３０に送信する。ユーザからの申し込みに対して、ユーザとＣＡ３０の間で契約が成立すると、ＣＡ３０からネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、個人情報、マスター鍵、証明書がＩＣカード５２に格納され（ステップＳ２０８）、登録済みフラグがセットされる。ここで、個人情報は、図６に示すような形式の対応テーブルとしてＩＣカード５２に格納される。ユーザの個人情報はＩＣカード５２にのみ格納され、ＣＡ３０およびＰＣ５０から消去される。
【００１９】
ここで、対応テーブルについて説明する。例えば、図５に示すように６項目の個人情報が存在するとする。ＷｅｂサーバはＣＡ３０との契約の際にレベル１、レベル２、レベル３のように権限レベルを決定する。図５は、権限レベルと当該権限レベルによりＷｅｂサーバに取得を許可する個人情報項目の対応の例を示す。権限レベルがレベル１のＷｅｂサーバは、ＩＣカード５２に格納されている「氏名」と「年齢」だけしか取得できない。権限レベルがレベル２のＷｅｂサーバは、ＩＣカード５２に格納されている「氏名」、「年齢」に加え、「住所」「電話番号」も取得できる。権限レベルがレベル３のＷｅｂサーバは図５の全ての情報を取得できる。
図６は上記の権限レベルと個人情報項目の対応、および、項目ごとのユーザの個人情報を格納したものである。図６に示すように、Level（権限レベル）、Attribute（個人情報の項目（属性））、Value（ユーザの個人情報の内容（値））の形式で情報が格納されており、この対応テーブルを参照して権限レベルに応じた個人情報が選択される。具体的には、権限レベルがレベル１のＷｅｂサーバは、Levelの欄の値が「０００１」の個人情報のみ取得できる。権限レベルがレベル２のＷｅｂサーバは、Levelの欄の値が２以下、すなわち、「０００１」および「０００２」の個人情報を取得できる。権限レベルがレベル３のＷｅｂサーバは、Levelの欄の値が３以下、すなわち「０００１」、「００２」、「０００３」の個人情報となるので、図６のすべての個人情報を取得できる。
【００２０】
図２のＳ２０９とＳ２１０は、ＩＣカード５２に登録済みフラグがセットされた状態で、ＩＣカード５２を所有するユーザがＷｅｂサーバＢ２０にアクセスし、ＷｅｂサーバＢ２０がＩＣカード５２からユーザの個人情報を取得する手順を示す。ユーザはＷｅｂサーバＢ２０にアクセスし、個人情報の入力を指示する（ステップＳ２０９）。例えば、ＷｅｂサーバＢ２０において商品を購入するために個人情報の入力が必要となったような場合である。これに対し、ＷｅｂサーバＢ２０はネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、ＩＣカード５２に登録済みフラグがセットされているかチェックを行う。ここでは、ＩＣカード５２に登録済みフラグがセットされているので、ＷｅｂサーバＢ２０はＩＣカード５２へ権限レベルが記載された証明書を送信する（ステップＳ２１０）。ＩＣカード５２は、対応テーブルに基づいて、Ｗｅｂサーバ２０に設定された権限レベルによりＷｅｂサーバＢ２０に取得を許可する個人情報をＩＣカードに格納された個人情報から選択してＷｅｂサーバＢ２０へ送信する。
【００２１】
なお、ユーザが書面で申し込むなどしてＣＡ３０からＩＣカード５２を取得した時点で、既にＩＣカード５２にユーザの個人情報、マスター鍵、証明書が格納され、登録済みフラグがセットされていた場合は、ステップＳ２０５からＳ２０８の手順は行われない。また、ユーザがＩＣカード５２を取得した時点でユーザの個人情報等が格納されていなくても、ユーザがＷｅｂサーバへアクセスする前に、ＣＡ３０にアクセスして個人情報等を格納する処理を行った場合も同様に、ステップＳ２０５からＳ２０８の手順は行われない。
【００２２】
次に図２のステップＳ２０５からＳ２１０の手順におけるＩＣカード５２とＷｅｂサーバとの間の動作について図３、図４を参照して説明する。
ユーザがＩＣカードリーダライタ５１にＩＣカード５２をセットしてＷｅｂサーバＡ１０へアクセスし、ＩＣカード５２を取得してからはじめて個人情報の入力が必要となる操作を行うと（図２のステップＳ２０５）、前述した通りＷｅｂサーバＡ１０はネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、このシステムによる個人情報共有のサービスに関連する情報がＩＣカード５２に格納されているか判定する（ステップＳ３０１）。この判定は、例えば、ＩＣカード５２内に登録済みフラグがセットされているか否か判定することにより行う。登録済みフラグは個人情報等をＩＣカード５２に格納したときにセットされる。登録済みフラグがセットされていなければステップＳ３０１の判定結果は「NO」となるので、ステップＳ３０７へ進む。ステップＳ３０７での動作は図２のステップＳ２０６からステップＳ２０８における動作と同じである。
【００２３】
ステップＳ３０１の判定結果が「YES」となる場合、すなわち、ＩＣカード５２内に登録済みフラグがセットされている場合は、ステップＳ３０２へ進む。ここでステップＳ３０２からＳ３０５の動作について図４を参照して詳細に説明する。
ステップＳ２０２、Ｓ２０４、Ｓ２０８の説明で述べた通り、ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０、ＩＣカード５２には共通のマスター鍵（Menc）が格納されている。ここでは、ＷｅｂサーバＡ１０とＩＣカード５２の間の動作について説明するが、ＷｅｂサーバＢ２０とＩＣカード５２の間の動作も同様である。
【００２４】
まず、ＩＣカード５２とＷｅｂサーバＡ１０はセッションを張る（図３のステップＳ３０２）。具体的には、ＷｅｂサーバＡ１０はサーバ乱数（Srnd）を生成し、ＩＣカード５２に送信する（ステップＳ４０１）。ＩＣカード５２はカード乱数（Crnd）を生成し、これとＷｅｂサーバＡ１０から受け取ったSrndを一つの乱数列に結合しMenc（マスター鍵）で暗号化してSenc（セッション鍵）を生成する。そしてCrndとE(Senc,Crnd)（CrndをSencで暗号化したもの）をＷｅｂサーバＡ１０へ送信する（ステップＳ４０２）。ＷｅｂサーバＡ１０は、ステップＳ４０２と同様に、受け取ったCrndと Srndを一つの乱数列に結合しMencで暗号化してSencを生成し、ＩＣカード５２から受け取ったE(Senc,Crnd)をSencで復号化して得られたものがCrndと一致するか確認する。一致すればＩＣカード５２がＷｅｂサーバＡ１０と同一のMencを持っていることになるので、ＣＡ３０と正しく契約したＩＣカードである（図２のステップＳ２０７、Ｓ２０８の手順を正しく行ったＩＣカードである）ことが確認できるので、ＩＣカード５２が認証される。一致しない場合はＩＣカード５２が正しいMencを持っていないことになり、ＩＣカード５２はＣＡ３０と正しく契約したＩＣカードでないことが確認できるので、処理を終了する。
【００２５】
次に、ＷｅｂサーバＡ１０はE(Senc,Crnd|Srnd)（CrndとSrndを一つの乱数列に結合し、Sencで暗号化したもの）を生成し、ＩＣカード５２へ送信する（ステップＳ４０３）。
ＩＣカード５２はＷｅｂサーバＡ１０から受け取ったE(Senc,Crnd|Srnd)を復号化し、自分が保持しているCrnd、Srndと一致するか確認する。前述の通りSencはSrndとCrndをMencで暗号化して生成されるので、一致すればＩＣカード５２がＷｅｂサーバＡ１０と同一のMencを持っていることになり、ＣＡ３０と正しく契約したＷｅｂサーバである（図２のステップＳ２０１、Ｓ２０２の手順を正しく行ったＷｅｂサーバである）ことが確認できるので、ＷｅｂサーバＡ１０が認証される。このとき、ＩＣカード５２はOK応答をＷｅｂサーバＡ１０へ送信する。一方、一致しない場合はＷｅｂサーバＡ１０が正しいMencを持っていないことになり、ＷｅｂサーバＡ１０はＣＡ３０と正しく契約していないことが確認できるので、処理を終了する。
【００２６】
次に、ＷｅｂサーバＡ１０は、自分の証明書（図４のSpubはＷｅｂサーバＡ１０の公開鍵を表す）をＩＣカード５２に送信する（ステップＳ３０３、ステップＳ４０５）。ＩＣカード５２は受け取ったＷｅｂサーバＡ１０の証明書に記載されている権限レベルに応じて、前述のようにＷｅｂサーバＡ１０に送信すべき個人情報を選択し（図４のCcntは選択された個人情報を表す）（ステップＳ３０４、Ｓ４０６）、選択された情報をＷｅｂサーバＡ１０の公開鍵で暗号化し（図４のE(Spub, Ccnt)はCcntをSpubで暗号化したものを表す）、ＷｅｂサーバＡ１０へ送信する（ステップＳ３０５、Ｓ４０６）。暗号化された情報はＷｅｂサーバＡ１０が持つ秘密鍵でしか復号化できないので、ＩＣカード５２からＷｅｂサーバＡ１０へ送信される間に個人情報が漏洩することはない。
【００２７】
上記ではユーザがＩＣカード５２を使用してＷｅｂサーバＡ１０へアクセスし、ＩＣカード５２を取得してからはじめて個人情報の入力が必要となる操作を行った場合の動作を説明したが、ユーザがＷｅｂサーバへアクセスする前にＣＡ３０へアクセスして個人情報等をＩＣカード５２に格納する操作を行った場合の動作は次の通りである。
ユーザがＩＣカードリーダライタ５１にＩＣカード５２をセットしてＣＡ３０へアクセスし、個人情報等をＩＣカード５２に格納する操作を行うと、ＣＡ３０はネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、このシステムによる個人情報共有のサービスに関連する情報がＩＣカード５２に格納されているか判定を行う（ステップＳ３０６）。この判定は、例えば、ＩＣカード５２内に登録済みフラグがセットされているか否か判定することにより行う。判定結果が「NO」の場合はステップＳ３０７へ進む。ステップＳ３０７での動作は図２のステップＳ２０６からステップＳ２０８における動作と同じである。ステップＳ３０６の判定結果が「YES」の場合は、処理は必要ないので終了する。
【００２８】
なお、上記の実施例では個人情報等をＩＣカード５２に格納したが、その他の耐タンパデバイスあるいは耐タンパデバイスを組み込んだ装置であれば、携帯情報端末、可搬型メモリ、その他の装置に格納してもよい。
【００２９】
なお、上記のＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０、ＩＣカード５２は、内部にコンピュータシステムを有している。そして、上記のＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０、ＩＣカード５２の動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含むものである。
【００３０】
また、「コンピュータ読み取り可能な記録媒体」とは、ＲＯＭの他に、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のシステムやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００３１】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【産業上の利用可能性】
【００３２】
ネットワークに接続された複数のＷｅｂサーバで個人情報を安全に共有する個人情報共有システムに用いられる。
【図面の簡単な説明】
【００３３】
【図１】この発明の実施形態による個人情報共有システムの構成を示すブロック図である。
【図２】図１の個人情報共有システムにおける手順を説明するためのシーケンス図である。
【図３】図２のシーケンス図における手順を詳細に説明するためのフローチャートである。
【図４】図２のシーケンス図における手順を詳細に説明するためのシーケンス図である。
【図５】権限レベルとＷｅｂサーバの取得が許可される個人情報との対応を例示するための図である。
【図６】ＩＣカード５２に格納される対応テーブルを例示するための図である。
【図７】従来の個人情報共有システムの構成を示すブロック図である。
【技術分野】
【０００１】
この発明は、ネットワークに接続された複数のＷｅｂサーバでユーザの個人情報を安全に共有する個人情報共有システムおよびプログラムに関する。
【背景技術】
【０００２】
インターネットの普及により、ユーザはＷｅｂサーバで各種の電子商取引を行うことができるようになっている。ここで、ユーザが商品やサービスの申し込みを行うときに、Ｗｅｂサーバごとに住所、氏名、電話番号、クレジット番号などの個人情報を入力しなければならなかった。
【０００３】
これに対し、ユーザが同じ情報を再入力する手間をなくす従来技術について、図７を参照して説明する。
ユーザはＰＣ１５０からネットワーク１４０を経由してＷｅｂサーバＡ１１０あるいはＷｅｂサーバＢ１２０にアクセスすることができる。ここでＷｅｂサーバとは、サーバハードウェア上でＷｅｂサーバ用プログラム（HTTPプロトコルでWorld Wide Webのサービスを提供するプログラム）を動作させ、HTML などで書かれた一連のＷｅｂページを格納したものである。ＷｅｂサーバＡ１１０およびＷｅｂサーバＢ１２０は、個人情報管理サーバ１３０から個人情報を取得する機能を有する。個人情報管理サーバ１３０は、Ｗｅｂサーバとして構成されている。個人情報管理サーバ１３０はユーザの個人情報を登録し、Ｗｅｂサーバからの要求に対してユーザの個人情報を送信する。ここで個人情報とは、例えば、ユーザの氏名、年齢、住所、電話番号、クレジット番号、銀行口座番号、電子メールアドレスなどである。
【０００４】
次に図７に示すシステムの動作を説明する。ユーザはＷｅｂサーバＡ１１０あるいはＷｅｂサーバＢ１２０へのアクセスに先立って、個人情報管理サーバ１３０に個人情報を登録する。ユーザが個人情報管理サーバ１３０に個人情報を登録すると、個人情報管理サーバ１３０からユーザへID、パスワードが発行される。ユーザはこのID、パスワードを使用してＷｅｂサーバＡ１１０にログインする。ユーザがこのＷｅｂサーバＡ１１０で商品やサービスの申し込みを行うと、ＷｅｂサーバＡ１１０は個人情報管理サーバ１３０へユーザのIDを送信して、ユーザの個人情報を要求する。個人情報管理サーバ１３０は受信したIDに対応するユーザの個人情報をＷｅｂサーバＡ１１０へ送信する。このため、ユーザは個人情報を入力する必要はない。同様に、ユーザがＷｅｂサーバＢ１２０にログインして商品やサービスの申し込みを行うときも、ユーザはID、パスワードを使用してログインするだけで個人情報を入力する必要はない。Ｗｅｂサーバは２つに限定されることなく、Ｗｅｂサーバが３つ以上の場合も同様である。上記のように、複数のＷｅｂサーバは個人情報管理サーバ１３０からユーザの個人情報を受け取ることで、ユーザはＷｅｂサーバごとに個人情報を入力する必要がなくなり、Ｗｅｂサーバはこのシステムによりユーザの個人情報を共有することができる。
【０００５】
しかし、ユーザの個人情報はネットワークに接続されたＷｅｂサーバである個人情報管理サーバ１３０に格納されており、個人情報が暗号化されていたとしても、第三者から不正にアクセスされる危険性は否定できない。
例えば、ユーザがIDに対応するパスワードを忘れてしまった場合には、個人情報として個人情報管理サーバ１３０に登録された電子メールアドレスを使用してユーザへ電子メールを送信しパスワードを再設定する技術がある。これは、パスワードを再設定することができるリンクが記載された電子メールを個人情報管理サーバ１３０からユーザへ送信するというものである。この処理において、第三者によって当該電子メールが不正に入手されると、第三者にパスワードを変更され、さらに、変更されたパスワードを使用して個人情報管理サーバ１３０に格納されたユーザの個人情報が不正に取得される恐れがある。
また、個人情報管理サーバ１３０には個人情報が集約して格納されているため、第三者にハッキングされると個人情報が大量に流出する可能性がある。個人情報管理サーバ１３０の管理者が個人情報を不正に持ち出すこともあり得る。
【０００６】
上記のようなリスクに対処するため、ユーザの個人情報をインターネットに接続されたサーバに格納するのでなく、ユーザが所有するＩＣカードに格納する技術がある。ユーザはＩＣカードに個人情報を格納し、当該ＩＣカードを端末装置にセットしてネットワーク経由でホストコンピュータにアクセスし、サービスの提供を受けるというものである。
耐タンパデバイスであるＩＣカードに個人情報を格納することにより、不正なアクセスから個人情報を保護することができ、ユーザがＩＣカードを使用しないときは取り外して安全な場所に保管することができる。また、Ｗｅｂサーバで個人情報を集約して保持する場合と異なり、大量に個人情報が流出する危険性もない。なお、耐タンパデバイスとは、秘密情報や秘密情報の処理メカニズムを外部から不当に観測・改変することや秘密情報を処理するメカニズムを不当に改変することが極めて困難であるように意図して作られたハードウェアであって、一般に、ＣＰＵ（中央処理装置）、ＲＯＭ（リードオンリメモリ）、ＲＡＭ（ランダムアクセスメモリ）を有する。
また、上記のＩＣカードを使用したシステムにおいては、ユーザがＩＣカードに格納した個人情報は、ユーザが公開フラグをセットした項目のみホストコンピュータに送信され、ユーザが公開フラグをセットしていない項目はホストコンピュータに送信されないので、公開フラグがセットされた個人情報に応じたサービスのみ提供される仕組みとなっている。
なお、従来技術として特許文献１が知られている。
【特許文献１】特開平10-49596号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上記のＩＣカードを使用したシステムにおいては、ホストコンピュータへ送信する必要がある個人情報の内容は電子商取引の内容によって異なるため、ユーザがセットした公開フラグに基づいて一律にホストコンピュータへ送信するか否か決定すると、ユーザが希望する電子商取引に必要な情報に対して過不足が生じる。さらに、ユーザが公開フラグをセットしたものは対象となる電子商取引で必要がなくてもホストコンピュータから取得可能となっている。
また、個人情報がＩＣカードに格納された状態では耐タンパデバイスであるＩＣカードの機能により個人情報は不正に盗み出されることはないが、ＩＣカードとホストコンピュータがお互いに正しい相手であるか確認する手段がないと、ＩＣカードに格納された個人情報を不正なホストコンピュータに送信して悪用されたり、不正に発行されたＩＣカードからホストコンピュータが虚偽の個人情報を取得して、その相手に対して商品販売などをして損害を被ったりする恐れがある。
この発明は、上記の事情を考慮してなされたものであり、その目的は、ＩＣカードおよびＷｅｂサーバがお互いに正しい相手であるか確認し、ＩＣカードに格納された個人情報のうち必要なものに限定してＷｅｂサーバに送信することができる個人情報共有システム、認証局、Ｗｅｂサーバ、耐タンパデバイスおよびプログラムを提供することである。
【課題を解決するための手段】
【０００８】
この発明は上記の課題を解決するためになされたもので、請求項１に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、前記認証局は、前記Ｗｅｂサーバに対して前記個人情報に対するアクセス権限を設定する手段を備えると共に、前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する手段を備え、前記Ｗｅｂサーバは、前記アクセス権限に基づいて前記クライアントに対し前記個人情報の取得を要求する手段を備え、前記耐タンパデバイスは、前記アクセス権限により取得が許可される個人情報を選択して前記Ｗｅｂサーバへ送信する手段を備えることを特徴とする個人情報共有システムである。
【０００９】
請求項２に記載の発明は、請求項１に記載の個人情報共有システムにおいて、前記認証局は、前記Ｗｅｂサーバと前記耐タンパデバイスとの相互認証に用いる鍵情報を発行する手段をさらに備え、前記Ｗｅｂサーバおよび前記耐タンパデバイスは、それぞれが生成した乱数を前記鍵情報を用いて暗号化した情報に基づいて相互に認証を行う手段をさらに備えることを特徴とする。
【００１０】
請求項３に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記認証局であって、前記Ｗｅｂサーバにおいて前記個人情報の取得を要求するときに使用され、前記耐タンパデバイスにおいて取得が許可される個人情報を選択するときに使用されるアクセス権限を、前記Ｗｅｂサーバに対して設定する手段と、前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する手段とを備えることを特徴とする認証局である。
【００１１】
請求項４に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記Ｗｅｂサーバであって、前記認証局によって設定されたアクセス権限に基づいて前記個人情報の取得を要求する手段を備えることを特徴とするＷｅｂサーバである。
【００１２】
請求項５に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記耐タンパデバイスであって、前記認証局によって前記Ｗｅｂサーバに対して設定されたアクセス権限に基づいて取得が許可される個人情報を選択して前記Ｗｅｂサーバへ送信する手段を備えることを特徴とする耐タンパデバイスである。
【００１３】
請求項６に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、前記認証局のコンピュータに、前記Ｗｅｂサーバにおいて前記個人情報の取得を要求するときに使用され、前記耐タンパデバイスにおいて取得が許可される個人情報を選択するときに使用されるアクセス権限を、前記Ｗｅｂサーバ対して設定する処理と、前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する処理とを実行させるためのプログラムである。
【００１４】
請求項７に記載の発明は、ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、前記Ｗｅｂサーバのコンピュータに、前記認証局によって設定されたアクセス権限に基づいて前記個人情報の取得を要求する処理を実行させるためのプログラムである。
【発明の効果】
【００１５】
この発明によれば、ＣＡによってＷｅｂサーバごとに設定された権限レベルに応じて、Ｗｅｂサーバへ送信されるユーザの個人情報が限定されるので、ユーザは不要な個人情報を送信することがなくなり、また、Ｗｅｂサーバによる権限レベルを越えた個人情報の取得を防止することができる。
また、個人情報を格納する耐タンパデバイスとＷｅｂサーバが相互認証を行うので、ユーザの個人情報が不正な相手に送信されたり、不正な耐タンパデバイスから虚偽の個人情報がＷｅｂサーバへ送信されたりすることが防止される。
【発明を実施するための最良の形態】
【００１６】
以下、図面を参照し、この発明の実施の形態について説明する。図１はこの発明の一実施の形態による個人情報共有システムの構成を示すブロック図である。
図１において、ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０は、ユーザから個人情報の提供を受けて電子商取引を行うＷｅｂサーバである。ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０は、ＰＣ５０から例えば商品やサービスの申し込みを受け付ける機能を有する。
ＣＡ（認証局）３０は、ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０にマスター鍵と証明書を発行する機能を有する。また、ＣＡ３０は、ＰＣ５０を経由してＩＣカード５２にユーザの個人情報、マスター鍵、証明書を格納する機能を有する。
ネットワーク４０は、例えば、インターネットである。
ＰＣ５０はＷｅｂサーバのクライアントであり、ＩＣカードリーダライタ５１が接続され、ＩＣカードリーダライタ５１はパソコンからの指示に従ってＩＣカード５２から情報を読み出したり、ＩＣカード５２に情報を書き込んだりする。ＩＣカード５２とＩＣカードリーダライタ５１の間の通信方式は接触式でも、非接触式でもよい。
【００１７】
次に図２を参照して、このシステムによる処理の手順を説明する。
ステップＳ２０１からステップＳ２０４は、ＷｅｂサーバＡ１０およびＷｅｂサーバＢ２０がユーザのＩＣカード５２から個人情報の提供を受けて、商品やサービスの申し込みを受け付ける前に、ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０とＣＡ３０との間で行われる手順である。
ＷｅｂサーバＡ１０の運営者はＣＡ３０の運営者に契約を申し込み、契約を結ぶ（ステップＳ２０１）。ＣＡ３０は、マスター鍵と、ＷｅｂサーバＡ１０を認証する証明書であって、契約の際に決定したＷｅｂサーバＡ１０の権限レベルが記載された証明書とをＷｅｂサーバＡ１０へ送付する（ステップＳ２０２）。証明書にはＷｅｂサーバＡ１０の権限レベルの他にＷｅｂサーバＡ１０の公開鍵が格納されている。公開鍵で暗号化された情報を復号化するときに使用する秘密鍵はＷｅｂサーバＡ１０に格納されている。マスター鍵は、契約しているＷｅｂサーバあるいは契約しているユーザに対してＣＡ３０から与えられる同一の暗号鍵である。
同様に、ＷｅｂサーバＢ２０の運営者はＣＡ３０の運営者に契約を申し込み、契約を結ぶ（ステップＳ２０３）。ＣＡ３０は、マスター鍵と、ＷｅｂサーバＢ２０を認証する証明書であって、契約の際に決定したＷｅｂサーバＢ２０の権限レベルが記載された証明書とをＷｅｂサーバＢ２０へ送付する（ステップＳ２０４）。
【００１８】
Ｓ２０５からＳ２０８は、ユーザがＩＣカード５２に個人情報が登録されていない状態でＷｅｂサーバＡ１０にアクセスし、ＷｅｂサーバＡ１０からの指示でＣＡ３０にアクセスして、ＩＣカード５２に個人情報を登録し、マスター鍵と証明書の送信を受ける手順を示す。ステップＳ２０５からＳ２０８の手順によりＩＣカード５２に個人情報が登録されると、登録済みフラグがセットされる。ＩＣカード５２に個人情報が登録されていない場合は、登録済みフラグはセットされていない。
ユーザはＰＣ５０に接続されたＩＣカードリーダライタ５１にＩＣカード５２をセットし、ＷｅｂサーバＡ１０にアクセスし、ＩＣカード５２を取得してからはじめて個人情報の入力が必要となる操作を行う（ステップＳ２０５）。例えば、ＷｅｂサーバＡ１０において商品を購入するために個人情報の入力が必要となったような場合である。するとＷｅｂサーバＡ１０はネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、ＩＣカード５２に登録済みフラグがセットされているかチェックを行う。ここでは登録済みフラグがセットされていないので、ＷｅｂサーバＡ１０はユーザに対して、ＣＡ３０にアクセスして個人情報の登録を行うように指示する（ステップ２０６）。具体的には、例えば、ＣＡ３０にアクセスして、このシステムによる個人情報共有のサービスへの参加を申し込むようＰＣ５０の画面に表示を行う。ユーザはＣＡ３０にアクセスし、このサービスへの参加（このサービスの利用契約）を申し込む操作を行う（ステップＳ２０７）。ここで例えばユーザはＰＣ５０において個人情報を入力しＣＡ３０に送信する。ユーザからの申し込みに対して、ユーザとＣＡ３０の間で契約が成立すると、ＣＡ３０からネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、個人情報、マスター鍵、証明書がＩＣカード５２に格納され（ステップＳ２０８）、登録済みフラグがセットされる。ここで、個人情報は、図６に示すような形式の対応テーブルとしてＩＣカード５２に格納される。ユーザの個人情報はＩＣカード５２にのみ格納され、ＣＡ３０およびＰＣ５０から消去される。
【００１９】
ここで、対応テーブルについて説明する。例えば、図５に示すように６項目の個人情報が存在するとする。ＷｅｂサーバはＣＡ３０との契約の際にレベル１、レベル２、レベル３のように権限レベルを決定する。図５は、権限レベルと当該権限レベルによりＷｅｂサーバに取得を許可する個人情報項目の対応の例を示す。権限レベルがレベル１のＷｅｂサーバは、ＩＣカード５２に格納されている「氏名」と「年齢」だけしか取得できない。権限レベルがレベル２のＷｅｂサーバは、ＩＣカード５２に格納されている「氏名」、「年齢」に加え、「住所」「電話番号」も取得できる。権限レベルがレベル３のＷｅｂサーバは図５の全ての情報を取得できる。
図６は上記の権限レベルと個人情報項目の対応、および、項目ごとのユーザの個人情報を格納したものである。図６に示すように、Level（権限レベル）、Attribute（個人情報の項目（属性））、Value（ユーザの個人情報の内容（値））の形式で情報が格納されており、この対応テーブルを参照して権限レベルに応じた個人情報が選択される。具体的には、権限レベルがレベル１のＷｅｂサーバは、Levelの欄の値が「０００１」の個人情報のみ取得できる。権限レベルがレベル２のＷｅｂサーバは、Levelの欄の値が２以下、すなわち、「０００１」および「０００２」の個人情報を取得できる。権限レベルがレベル３のＷｅｂサーバは、Levelの欄の値が３以下、すなわち「０００１」、「００２」、「０００３」の個人情報となるので、図６のすべての個人情報を取得できる。
【００２０】
図２のＳ２０９とＳ２１０は、ＩＣカード５２に登録済みフラグがセットされた状態で、ＩＣカード５２を所有するユーザがＷｅｂサーバＢ２０にアクセスし、ＷｅｂサーバＢ２０がＩＣカード５２からユーザの個人情報を取得する手順を示す。ユーザはＷｅｂサーバＢ２０にアクセスし、個人情報の入力を指示する（ステップＳ２０９）。例えば、ＷｅｂサーバＢ２０において商品を購入するために個人情報の入力が必要となったような場合である。これに対し、ＷｅｂサーバＢ２０はネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、ＩＣカード５２に登録済みフラグがセットされているかチェックを行う。ここでは、ＩＣカード５２に登録済みフラグがセットされているので、ＷｅｂサーバＢ２０はＩＣカード５２へ権限レベルが記載された証明書を送信する（ステップＳ２１０）。ＩＣカード５２は、対応テーブルに基づいて、Ｗｅｂサーバ２０に設定された権限レベルによりＷｅｂサーバＢ２０に取得を許可する個人情報をＩＣカードに格納された個人情報から選択してＷｅｂサーバＢ２０へ送信する。
【００２１】
なお、ユーザが書面で申し込むなどしてＣＡ３０からＩＣカード５２を取得した時点で、既にＩＣカード５２にユーザの個人情報、マスター鍵、証明書が格納され、登録済みフラグがセットされていた場合は、ステップＳ２０５からＳ２０８の手順は行われない。また、ユーザがＩＣカード５２を取得した時点でユーザの個人情報等が格納されていなくても、ユーザがＷｅｂサーバへアクセスする前に、ＣＡ３０にアクセスして個人情報等を格納する処理を行った場合も同様に、ステップＳ２０５からＳ２０８の手順は行われない。
【００２２】
次に図２のステップＳ２０５からＳ２１０の手順におけるＩＣカード５２とＷｅｂサーバとの間の動作について図３、図４を参照して説明する。
ユーザがＩＣカードリーダライタ５１にＩＣカード５２をセットしてＷｅｂサーバＡ１０へアクセスし、ＩＣカード５２を取得してからはじめて個人情報の入力が必要となる操作を行うと（図２のステップＳ２０５）、前述した通りＷｅｂサーバＡ１０はネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、このシステムによる個人情報共有のサービスに関連する情報がＩＣカード５２に格納されているか判定する（ステップＳ３０１）。この判定は、例えば、ＩＣカード５２内に登録済みフラグがセットされているか否か判定することにより行う。登録済みフラグは個人情報等をＩＣカード５２に格納したときにセットされる。登録済みフラグがセットされていなければステップＳ３０１の判定結果は「NO」となるので、ステップＳ３０７へ進む。ステップＳ３０７での動作は図２のステップＳ２０６からステップＳ２０８における動作と同じである。
【００２３】
ステップＳ３０１の判定結果が「YES」となる場合、すなわち、ＩＣカード５２内に登録済みフラグがセットされている場合は、ステップＳ３０２へ進む。ここでステップＳ３０２からＳ３０５の動作について図４を参照して詳細に説明する。
ステップＳ２０２、Ｓ２０４、Ｓ２０８の説明で述べた通り、ＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０、ＩＣカード５２には共通のマスター鍵（Menc）が格納されている。ここでは、ＷｅｂサーバＡ１０とＩＣカード５２の間の動作について説明するが、ＷｅｂサーバＢ２０とＩＣカード５２の間の動作も同様である。
【００２４】
まず、ＩＣカード５２とＷｅｂサーバＡ１０はセッションを張る（図３のステップＳ３０２）。具体的には、ＷｅｂサーバＡ１０はサーバ乱数（Srnd）を生成し、ＩＣカード５２に送信する（ステップＳ４０１）。ＩＣカード５２はカード乱数（Crnd）を生成し、これとＷｅｂサーバＡ１０から受け取ったSrndを一つの乱数列に結合しMenc（マスター鍵）で暗号化してSenc（セッション鍵）を生成する。そしてCrndとE(Senc,Crnd)（CrndをSencで暗号化したもの）をＷｅｂサーバＡ１０へ送信する（ステップＳ４０２）。ＷｅｂサーバＡ１０は、ステップＳ４０２と同様に、受け取ったCrndと Srndを一つの乱数列に結合しMencで暗号化してSencを生成し、ＩＣカード５２から受け取ったE(Senc,Crnd)をSencで復号化して得られたものがCrndと一致するか確認する。一致すればＩＣカード５２がＷｅｂサーバＡ１０と同一のMencを持っていることになるので、ＣＡ３０と正しく契約したＩＣカードである（図２のステップＳ２０７、Ｓ２０８の手順を正しく行ったＩＣカードである）ことが確認できるので、ＩＣカード５２が認証される。一致しない場合はＩＣカード５２が正しいMencを持っていないことになり、ＩＣカード５２はＣＡ３０と正しく契約したＩＣカードでないことが確認できるので、処理を終了する。
【００２５】
次に、ＷｅｂサーバＡ１０はE(Senc,Crnd|Srnd)（CrndとSrndを一つの乱数列に結合し、Sencで暗号化したもの）を生成し、ＩＣカード５２へ送信する（ステップＳ４０３）。
ＩＣカード５２はＷｅｂサーバＡ１０から受け取ったE(Senc,Crnd|Srnd)を復号化し、自分が保持しているCrnd、Srndと一致するか確認する。前述の通りSencはSrndとCrndをMencで暗号化して生成されるので、一致すればＩＣカード５２がＷｅｂサーバＡ１０と同一のMencを持っていることになり、ＣＡ３０と正しく契約したＷｅｂサーバである（図２のステップＳ２０１、Ｓ２０２の手順を正しく行ったＷｅｂサーバである）ことが確認できるので、ＷｅｂサーバＡ１０が認証される。このとき、ＩＣカード５２はOK応答をＷｅｂサーバＡ１０へ送信する。一方、一致しない場合はＷｅｂサーバＡ１０が正しいMencを持っていないことになり、ＷｅｂサーバＡ１０はＣＡ３０と正しく契約していないことが確認できるので、処理を終了する。
【００２６】
次に、ＷｅｂサーバＡ１０は、自分の証明書（図４のSpubはＷｅｂサーバＡ１０の公開鍵を表す）をＩＣカード５２に送信する（ステップＳ３０３、ステップＳ４０５）。ＩＣカード５２は受け取ったＷｅｂサーバＡ１０の証明書に記載されている権限レベルに応じて、前述のようにＷｅｂサーバＡ１０に送信すべき個人情報を選択し（図４のCcntは選択された個人情報を表す）（ステップＳ３０４、Ｓ４０６）、選択された情報をＷｅｂサーバＡ１０の公開鍵で暗号化し（図４のE(Spub, Ccnt)はCcntをSpubで暗号化したものを表す）、ＷｅｂサーバＡ１０へ送信する（ステップＳ３０５、Ｓ４０６）。暗号化された情報はＷｅｂサーバＡ１０が持つ秘密鍵でしか復号化できないので、ＩＣカード５２からＷｅｂサーバＡ１０へ送信される間に個人情報が漏洩することはない。
【００２７】
上記ではユーザがＩＣカード５２を使用してＷｅｂサーバＡ１０へアクセスし、ＩＣカード５２を取得してからはじめて個人情報の入力が必要となる操作を行った場合の動作を説明したが、ユーザがＷｅｂサーバへアクセスする前にＣＡ３０へアクセスして個人情報等をＩＣカード５２に格納する操作を行った場合の動作は次の通りである。
ユーザがＩＣカードリーダライタ５１にＩＣカード５２をセットしてＣＡ３０へアクセスし、個人情報等をＩＣカード５２に格納する操作を行うと、ＣＡ３０はネットワーク４０、ＰＣ５０、ＩＣカードリーダライタ５１を経由して、このシステムによる個人情報共有のサービスに関連する情報がＩＣカード５２に格納されているか判定を行う（ステップＳ３０６）。この判定は、例えば、ＩＣカード５２内に登録済みフラグがセットされているか否か判定することにより行う。判定結果が「NO」の場合はステップＳ３０７へ進む。ステップＳ３０７での動作は図２のステップＳ２０６からステップＳ２０８における動作と同じである。ステップＳ３０６の判定結果が「YES」の場合は、処理は必要ないので終了する。
【００２８】
なお、上記の実施例では個人情報等をＩＣカード５２に格納したが、その他の耐タンパデバイスあるいは耐タンパデバイスを組み込んだ装置であれば、携帯情報端末、可搬型メモリ、その他の装置に格納してもよい。
【００２９】
なお、上記のＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０、ＩＣカード５２は、内部にコンピュータシステムを有している。そして、上記のＷｅｂサーバＡ１０、ＷｅｂサーバＢ２０、ＩＣカード５２の動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含むものである。
【００３０】
また、「コンピュータ読み取り可能な記録媒体」とは、ＲＯＭの他に、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のシステムやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００３１】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【産業上の利用可能性】
【００３２】
ネットワークに接続された複数のＷｅｂサーバで個人情報を安全に共有する個人情報共有システムに用いられる。
【図面の簡単な説明】
【００３３】
【図１】この発明の実施形態による個人情報共有システムの構成を示すブロック図である。
【図２】図１の個人情報共有システムにおける手順を説明するためのシーケンス図である。
【図３】図２のシーケンス図における手順を詳細に説明するためのフローチャートである。
【図４】図２のシーケンス図における手順を詳細に説明するためのシーケンス図である。
【図５】権限レベルとＷｅｂサーバの取得が許可される個人情報との対応を例示するための図である。
【図６】ＩＣカード５２に格納される対応テーブルを例示するための図である。
【図７】従来の個人情報共有システムの構成を示すブロック図である。
【特許請求の範囲】
【請求項１】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、
前記認証局は、前記Ｗｅｂサーバに対して前記個人情報に対するアクセス権限を設定する手段を備えると共に、前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する手段を備え、
前記Ｗｅｂサーバは、前記アクセス権限に基づいて前記クライアントに対し前記個人情報の取得を要求する手段を備え、
前記耐タンパデバイスは、前記アクセス権限により取得が許可される個人情報を選択して前記Ｗｅｂサーバへ送信する手段を備えることを特徴とする個人情報共有システム。
【請求項２】
前記認証局は、前記Ｗｅｂサーバと前記耐タンパデバイスとの相互認証に用いる鍵情報を発行する手段をさらに備え、
前記Ｗｅｂサーバおよび前記耐タンパデバイスは、それぞれが生成した乱数を前記鍵情報を用いて暗号化した情報に基づいて相互に認証を行う手段をさらに備えることを特徴とする請求項１に記載の個人情報共有システム。
【請求項３】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記認証局であって、
前記Ｗｅｂサーバにおいて前記個人情報の取得を要求するときに使用され、前記耐タンパデバイスにおいて取得が許可される個人情報を選択するときに使用されるアクセス権限を、前記Ｗｅｂサーバに対して設定する手段と、
前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する手段と、
を備えることを特徴とする認証局。
【請求項４】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記Ｗｅｂサーバであって、
前記認証局によって設定されたアクセス権限に基づいて前記個人情報の取得を要求する手段を備えることを特徴とするＷｅｂサーバ。
【請求項５】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記耐タンパデバイスであって、
前記認証局によって前記Ｗｅｂサーバに対して設定されたアクセス権限に基づいて取得が許可される個人情報を選択して前記Ｗｅｂサーバへ送信する手段を備えることを特徴とする耐タンパデバイス。
【請求項６】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、
前記認証局のコンピュータに、
前記Ｗｅｂサーバにおいて前記個人情報の取得を要求するときに使用され、前記耐タンパデバイスにおいて取得が許可される個人情報を選択するときに使用されるアクセス権限を、前記Ｗｅｂサーバ対して設定する処理と、
前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する処理と、
を実行させるためのプログラム。
【請求項７】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、
前記Ｗｅｂサーバのコンピュータに、
前記認証局によって設定されたアクセス権限に基づいて前記個人情報の取得を要求する処理を実行させるためのプログラム。
【請求項１】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、
前記認証局は、前記Ｗｅｂサーバに対して前記個人情報に対するアクセス権限を設定する手段を備えると共に、前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する手段を備え、
前記Ｗｅｂサーバは、前記アクセス権限に基づいて前記クライアントに対し前記個人情報の取得を要求する手段を備え、
前記耐タンパデバイスは、前記アクセス権限により取得が許可される個人情報を選択して前記Ｗｅｂサーバへ送信する手段を備えることを特徴とする個人情報共有システム。
【請求項２】
前記認証局は、前記Ｗｅｂサーバと前記耐タンパデバイスとの相互認証に用いる鍵情報を発行する手段をさらに備え、
前記Ｗｅｂサーバおよび前記耐タンパデバイスは、それぞれが生成した乱数を前記鍵情報を用いて暗号化した情報に基づいて相互に認証を行う手段をさらに備えることを特徴とする請求項１に記載の個人情報共有システム。
【請求項３】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記認証局であって、
前記Ｗｅｂサーバにおいて前記個人情報の取得を要求するときに使用され、前記耐タンパデバイスにおいて取得が許可される個人情報を選択するときに使用されるアクセス権限を、前記Ｗｅｂサーバに対して設定する手段と、
前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する手段と、
を備えることを特徴とする認証局。
【請求項４】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記Ｗｅｂサーバであって、
前記認証局によって設定されたアクセス権限に基づいて前記個人情報の取得を要求する手段を備えることを特徴とするＷｅｂサーバ。
【請求項５】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおける前記耐タンパデバイスであって、
前記認証局によって前記Ｗｅｂサーバに対して設定されたアクセス権限に基づいて取得が許可される個人情報を選択して前記Ｗｅｂサーバへ送信する手段を備えることを特徴とする耐タンパデバイス。
【請求項６】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、
前記認証局のコンピュータに、
前記Ｗｅｂサーバにおいて前記個人情報の取得を要求するときに使用され、前記耐タンパデバイスにおいて取得が許可される個人情報を選択するときに使用されるアクセス権限を、前記Ｗｅｂサーバ対して設定する処理と、
前記クライアントから送信された前記個人情報について段階的アクセス権限を設定する処理と、
を実行させるためのプログラム。
【請求項７】
ネットワークに接続された認証局と複数のＷｅｂサーバと個人情報が格納された耐タンパデバイスが組み込まれたクライアントから構成される個人情報共有システムにおいて、
前記Ｗｅｂサーバのコンピュータに、
前記認証局によって設定されたアクセス権限に基づいて前記個人情報の取得を要求する処理を実行させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２００６−５８９５４（Ｐ２００６−５８９５４Ａ）
【公開日】平成１８年３月２日（２００６．３．２）
【国際特許分類】
【出願番号】特願２００４−２３７３０８（Ｐ２００４−２３７３０８）
【出願日】平成１６年８月１７日（２００４．８．１７）
【出願人】（０００００３１９３）凸版印刷株式会社 (10,630)
【Ｆターム（参考）】
【公開日】平成１８年３月２日（２００６．３．２）
【国際特許分類】
【出願日】平成１６年８月１７日（２００４．８．１７）
【出願人】（０００００３１９３）凸版印刷株式会社 (10,630)
【Ｆターム（参考）】
[ Back to top ]