端末装置及びプログラム
【課題】認証情報のセキュリティを高めると共に、当該認証情報を用いた認証を容易に行うこと。
【解決手段】予め設定された認証コードＡを含むデータを記憶するフラッシュメモリ４７と、認証コードＡと情報との比較を行うＣＰＵ４１と、を備えた耐タンパ性を有するＳＡＭ４と、認証コードＢの入力を受け付ける入力部３２と、入力部３２により受け付けられた認証コードＢを記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有するＲＡＭ３３と、ＲＡＭ３３に記憶された認証コードＢを読み出し、当該読み出した認証コードＢと認証コードＡとをＣＰＵ４１に比較させ、当該比較結果が一致した場合、フラッシュメモリ４７に記憶されたデータの使用を許可するＣＰＵ３１と、を備える。
【解決手段】予め設定された認証コードＡを含むデータを記憶するフラッシュメモリ４７と、認証コードＡと情報との比較を行うＣＰＵ４１と、を備えた耐タンパ性を有するＳＡＭ４と、認証コードＢの入力を受け付ける入力部３２と、入力部３２により受け付けられた認証コードＢを記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有するＲＡＭ３３と、ＲＡＭ３３に記憶された認証コードＢを読み出し、当該読み出した認証コードＢと認証コードＡとをＣＰＵ４１に比較させ、当該比較結果が一致した場合、フラッシュメモリ４７に記憶されたデータの使用を許可するＣＰＵ３１と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は端末装置及びプログラムに関する。
【背景技術】
【０００２】
従来から、クレジットカードによる決済などに用いられる端末装置が知られている。当該端末装置においては、パスワード等のＰＩＮ（Personal Identification Numbers）情報の機密性を担保する必要がある。このため、耐タンパ性を有して構成されるモジュールを備えた端末装置が用いられる。
【０００３】
例えば、耐タンパ性を有するモジュールを、端末装置の本体に着脱可能なモジュールとして構成する技術が知られている（例えば、特許文献１参照）。これにより、端末装置の本体は、耐タンパ性を備えなくてもよい。すなわち、端末装置の本体に格納される各種取引に関するアプリケーションプログラムを容易に追加、変更、修正、更新することができ、汎用性、拡張性が向上する。
【特許文献１】特開２００３−１６５２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の技術では、耐タンパモジュールにＰＩＮ情報を格納する技術は記載されていない。ＰＩＮ情報を耐タンパモジュールに格納する構成であれば、ＰＩＮ情報のセキュリティを保つことができる。
しかし、ＰＩＮ情報を耐タンパモジュールに格納する構成であっても、電源投入毎にＰＩＮ情報の要求が行われる端末装置の場合、ユーザの操作性の効率が悪い。この場合、ユーザは電源投入毎に、ＰＩＮ情報を入力する必要がある。したがって、ＰＩＮ情報を用いた認証を容易に行うことができなかった。
また、複数のユーザが１つの端末装置を使う場合、複数のユーザにＰＩＮ情報を知らせる必要が生じる。この場合、ＰＩＮ情報を記載した紙を端末装置に貼り付けておくことなどの措置が取られる。そうすると、端末装置を使用しない人間にもＰＩＮ情報が知られてしまう可能性がある。このため、ＰＩＮ情報（認証情報）のセキュリティを保つことができなかった。
【０００５】
本発明の課題は、認証情報のセキュリティを高めると共に、当該認証情報を用いた認証を容易に行うことである。
【課題を解決するための手段】
【０００６】
以上の課題を解決するため、請求項１に記載の発明の端末装置は、
予め設定された第１の認証情報を含むデータを記憶する第１の記憶手段と、前記第１の認証情報と情報との比較を行う第１の制御手段と、を備えた耐タンパ性を有する耐タンパ手段と、
第２の認証情報の入力を受け付ける入力手段と、
前記入力手段により受け付けられた第２の認証情報を記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有する第２の記憶手段と、
前記第２の記憶手段に記憶された第２の認証情報を読み出し、当該読み出した第２の認証情報と前記第１の認証情報とを前記第１の制御手段に比較させ、当該比較結果が一致した場合、前記第１の記憶手段に記憶されたデータの使用を許可する第２の制御手段と、
を備える。
【０００７】
請求項２に記載の発明は、請求項１に記載の端末装置において、
前記第２の記憶手段が前記記憶保持時間不揮発性を有する場合、当該記憶保持時間を調整する調整手段
を備える。
【０００８】
請求項３に記載の発明は、請求項１又は２に記載の端末装置において、
前記第２の記憶手段は、
揮発性を有する揮発性記憶手段と、
前記揮発性記憶手段に給電する電池手段と、を備え、
前記調整手段は、
前記電池手段の電流量を調整することにより前記記憶保持時間としての前記電池手段の給電時間を調整する。
【０００９】
請求項４に記載の発明のプログラムは、
コンピュータを、
予め設定された第１の認証情報を含むデータを記憶する第１の記憶手段と、前記第１の認証情報と情報との比較を行う第１の制御手段と、を備えた耐タンパ性を有する耐タンパ手段、
第２の認証情報の入力を受け付ける入力手段、
前記入力手段により受け付けられた第２の認証情報を記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有する第２の記憶手段、
前記第２の記憶手段に記憶された第２の認証情報を読み出し、当該読み出した第２の認証情報と前記第１の認証情報とを前記第１の制御手段に比較させ、当該比較結果が一致した場合、前記第１の記憶手段に記憶されたデータの使用を許可する第２の制御手段、
として機能させる。
【発明の効果】
【００１０】
本発明によれば、認証情報のセキュリティを高めると共に、当該認証情報を用いた認証を容易に行うことができる。
【発明を実施するための最良の形態】
【００１１】
以下、添付図面を参照して本発明に係る実施の形態の一例を詳細に説明する。ただし、発明の範囲は、図示例に限定されない。
【００１２】
図１〜図１１を参照して、本発明に係る実施の形態の一例を説明する。
先ず、図１を参照して、本実施の形態の決済システム１の構成例を説明する。決済システム１は、クレジットカードやキャッシュカードにより決済を行うシステムである。決済システム１は、センタサーバ２と、端末装置としての電子機器３と、端末装置、耐タンパ手段としてのＳＡＭ（Secure Application Module）４と、ネットワークＮと、を備えて構成される。センタサーバ２と電子機器３とは、インターネット等の通信ネットワークＮを介して通信接続される。
【００１３】
図２に示すようにセンタサーバ２は、ＣＰＵ（Central Processing Unit）２１と、入力部２２と、ＲＡＭ（Random Access Memory）２３と、表示部２４と、記憶部２５と、通信部２６と、を備えて構成される。
【００１４】
ＣＰＵ２１は、記憶部２５に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ２３に展開し、ＲＡＭ２３に展開されたプログラムとの協働で、各種処理を実行する。特に記憶部２５には、後述する決済プログラムが記憶される。
【００１５】
ＣＰＵ２１は、決済プログラムとの協働により、センタサーバ認証情報を受信した後、許可情報を電子機器３に送信する。センタサーバ認証情報とは、端末ＩＤ、暗号化端末ＩＤのことをいう。端末ＩＤとは、電子機器３ごとに固有のＩＤ情報のことをいう。暗号化端末ＩＤとは、ＳＡＭ４により暗号化された端末ＩＤのことをいう。許可情報とは、電子機器３の動作許可を示す情報又は不許可を示す情報のことをいう。
【００１６】
ＣＰＵ２１は、電子機器３の動作を許可する場合、許可情報として動作ＯＫ信号を電子機器３に送信する。また、電子機器３の動作を許可しない場合、許可情報として動作拒否信号を電子機器３に送信する。このとき、許可情報は、後述する鍵Ｔ１により暗号化されて電子機器３に送信される。また、ＣＰＵ２１は、電子機器３より決済情報を受信した後、決済処理の許可／不許可を行う。
【００１７】
入力部２２は、カーソルキー、数字入力キー及び各種機能キーなどを備えたキーボードを含む構成とし、操作者によりキーボードで押下された押下信号をＣＰＵ２１に出力する。また、入力部２２は、マウスなどのポインティングデバイスを含む構成としてもよい。
【００１８】
ＲＡＭ２３は、各種情報を格納する揮発性のメモリであり、各種プログラム、データを展開するワークエリアを有する。
【００１９】
表示部２４は、ＬＣＤ（Liquid Crystal Display）、ＣＲＴ（Cathode Ray Tube）等で構成され、ＣＰＵ２１からの表示信号に従って画面表示を行う。
【００２０】
記憶部２５は、ＨＤＤ（Hard Disk Drive）等により構成され、各種プログラム及び各種データを記憶する。
【００２１】
通信部２６は、モデム、ＴＡ（Terminal Adapter）、ルータ、ネットワークカード等により構成され、接続されるネットワークＮ上の電子機器３と情報を送受信する。
【００２２】
図３に示すように電子機器３は、第２の制御手段としてのＣＰＵ３１と、入力手段としての入力部３２と、第２の記憶手段、揮発性記憶手段としてのＲＡＭ３３と、電池手段としてのバックアップ電池３３Ａと、表示部３４と、第２の記憶手段としてのフラッシュメモリ３５と、通信部３６と、接続部３７と、カードリーダ３８と、入力手段としての接続部３９と、を備えて構成される。ＣＰＵ３１、入力部３２、ＲＡＭ３３、通信部３６、はそれぞれＣＰＵ２１、入力部２２、ＲＡＭ２３、通信部２６と同様であり、異なる部分を主として説明する。
【００２３】
ＣＰＵ３１は、フラッシュメモリ３５に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ３３に展開し、ＲＡＭ３３に展開されたプログラムとの協働で、各種処理を実行する。特にフラッシュメモリ３５には、後述する認証コード受付プログラムが記憶される。
【００２４】
ＣＰＵ３１は、認証コード受付プログラムとの協働により、ＲＡＭ３３から認証コードＢを読み出し、当該読み出した認証コードＢと認証コードＡとをＳＡＭ４に比較させ、当該比較結果が一致した場合、ＳＡＭ４のフラッシュメモリ４７に記憶されたデータ（鍵Ｔ１、Ｒ１、Ｄ１）の使用を許可する。ここで、認証コードとは、決済を行う際に必要な認証情報（例えば、ＰＩＮ情報）のことをいう。
【００２５】
入力部３２は、各種入力キー等を備え、ユーザからの各種情報の入力を各種入力キーから受け付け、その情報をＣＰＵ３１に出力する。具体的に、入力部３２は、認証コードＢの入力を受け付ける。
【００２６】
ＲＡＭ３３は、各種情報を格納する揮発性のメモリである。ＲＡＭ３３には、入力部３２により入力された認証コードＢが記憶される。また、ＲＡＭ３３は、記憶保持時間としてのバックアップ時間Ｔの間、不揮発性を有する。ここで、バックアップ時間Ｔとは、例えば、電子機器３の電源がＯＦＦの状態において、バックアップ電池３３ＡによりＲＡＭ３３に給電が可能な時間のことをいう。当該バックアップ時間Ｔの間、ＲＡＭ３３は、電子機器３の電源がＯＦＦとなっても、不揮発性を有することとなる。
【００２７】
バックアップ電池３３Ａは、ＲＡＭ３３に所定時間（バックアップ時間）給電するバックアップ用の電池である。
【００２８】
表示部３４は、ＬＣＤ、ＥＬＤ（ElectroLuminescent Display）等を備え、ＣＰＵ３１から入力される表示情報に基づいて画面表示を行う。
【００２９】
フラッシュメモリ３５は、各種情報を読み込み及び書き込み可能に記憶する不揮発性のメモリである。
【００３０】
接続部３７は、ＩＣソケットにより構成され、ＳＡＭ４と電気的な接続を行う。カードリーダ３８は、ＩＣカード３８Ａに記録された情報を読み取る。接続部３９は、ＩＣソケットにより構成され、メモリカード３９Ａと電気的な接続を行う。
【００３１】
ＳＡＭ４は、耐タンパー性を備えたモジュールやＩＣカードにより構成される。ここで、ＩＣカードとは、ＵＳＩＭ（Universal Subscriber Identity Module）カードのことをいう。図４に示すように、ＳＡＭ４は、第１の制御手段としてのＣＰＵ４１と、暗号演算部４２と、ＲＡＭ４３と、異常検出部４４と、ＲＯＭ４５と、通信部４６と、第１の記憶手段としてのフラッシュメモリ４７と、を備えて構成される。ＣＰＵ４１、ＲＡＭ４３、通信部４６、フラッシュメモリ４７は、それぞれＣＰＵ２１、ＲＡＭ２３、通信部２６、フラッシュメモリ３５、と同様であり、異なる部分を主として説明する。
【００３２】
ＣＰＵ４１は、フラッシュメモリ４７に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ４３に展開し、ＲＡＭ４３に展開されたプログラムとの協働で、各種処理を実行する。特にフラッシュメモリ４７には、後述する認証コード確認プログラムが記憶される。ここで、認証コード確認プログラムは、ＲＯＭ４５に記憶されることとしてもよい。
【００３３】
ＣＰＵ４１は、認証コード確認プログラムとの協働により、認証コードＢの正当性の確認を行う。そして、認証コードＢの正当性の確認結果を電子機器３に送信する。認証コードＢの正当性の確認とは、フラッシュメモリ４７に記憶されている認証コードＡと認証コードＢとを比較することをいう。比較の結果、認証コードＡと認証コードＢとが一致すれば、認証コードＢは正当であると確認される。
また、ＣＰＵ４１は、サーバ認証情報生成指示を電子機器３から受信すると、サーバ認証情報を生成する。サーバ認証情報の生成とは、フラッシュメモリ４７に記憶されている端末ＩＤを読み出すことや端末ＩＤを暗号化して暗号化端末ＩＤを生成することをいう。
【００３４】
暗号演算部４２は、鍵Ｔ１、Ｄ１、Ｒ１を用いて、情報の暗復号を行う。例えば、鍵Ｔ１を用いて端末ＩＤの暗号化を行う。また、鍵Ｔ１を用いて電子機器３より受信した許可情報の復号化を行う。
【００３５】
異常検出部４４は、例えば電圧、温度、光センサ等の少なくとも１つにより構成される。例えば、第三者が善意、悪意に関わらずＳＡＭ４内のデータを読み取ろうとした場合、異常電圧、温度、光（量）の異常を検出する。異常を検出した後、ＲＡＭ４３、フラッシュメモリ４７に記憶されているデータを消去（破壊）する。ＲＯＭ４５は、情報を読み込み可能に記憶する。
【００３６】
フラッシュメモリ４７は、各種情報を読み込み及び書き込み可能に記憶する不揮発性のメモリである。具体的には、フラッシュメモリ４７は、認証コードＡ、鍵Ｔ１、鍵Ｄ１、鍵Ｒ１、及び認証コード確認プログラムを記憶する。
【００３７】
次に図５を参照して、暗号鍵について説明する。ここで、暗号鍵として、鍵Ｔ１、鍵Ｄ１、鍵Ｒ１を用いて説明する。
【００３８】
鍵Ｔ１は、電子機器３ごとに固有な鍵である。鍵Ｔ１は、センタサーバ２の記憶部２５と、ＳＡＭ４のフラッシュメモリ４７とにペアでそれぞれ記憶される。この場合、鍵Ｔ１は、例えば、共通鍵暗号方式のペアでそれぞれ記憶される。なお、暗号方式は公開鍵暗号方式で暗号化されることとしてもよい。
【００３９】
鍵Ｄ１は、ＳＡＭ４外（例えば、電子機器３のＲＡＭ３３、フラッシュメモリ３５等）のデータの暗号鍵である。鍵Ｄ１は、ＳＡＭ４のフラッシュメモリ４７に記憶される。鍵Ｄ１の暗号化データＤは、鍵Ｄ１により暗号化されたデータのことを示す。例えば、使用を禁止しているカード番号などを含んだデータのことを示す。また、鍵Ｄ１の暗号化データＤは、電子機器３のＲＡＭ３３又はフラッシュメモリ３５に記憶される。鍵Ｒ１は、カードリーダ３８の認証用の鍵である。鍵Ｒ１は、カードリーダ３８、フラッシュメモリ４７にそれぞれ記憶される。
【００４０】
次に、図６を参照して認証コードＡをＳＡＭ４のフラッシュメモリ４７に登録（記憶）する動作について説明する。先ず、電子機器３の製造時、センタサーバ２から認証コードＡが発行される。発行された認証コードＡは、電子機器３を介してＳＡＭ４に送信される。そして、当該認証コードＡは、ＳＡＭ４のフラッシュメモリ４７に記憶される。
【００４１】
次に、図７を参照して、認証コードの確認動作について説明する。例えば、ユーザにより電子機器３が購入されたとする。このとき、電子機器３の販売元により、購入したユーザにのみ認証コードＡが伝えられる。そして、電子機器３の出荷先の設置場所で、販売元から伝えられた認証コードＡと同じ認証コードＢがユーザにより入力される。入力された認証コードＢは、電子機器３のＲＡＭ３３に格納される。そして、ＲＡＭ３３に格納された認証コードＢと、ＳＡＭ４のフラッシュメモリ４７に記憶された認証コードＡとが一致するか否かが判別される。
【００４２】
認証コードＢの入力は、上述のように電子機器３の設置時のみ行われる。電子機器３を設置した後は、ＲＡＭ３３に記憶された認証コードＢが用いられる。これにより、ユーザは認証コードＢを何度も入力する必要がない。したがって認証を容易に行うことができる。また、電子機器３を複数のユーザが使用する場合であっても、紙などに認証コードＢを書いて知らせる必要がない。したがって、認証コードＢのセキュリティを向上させることができる。
【００４３】
次に、図８を参照して、図７において、認証コードＡと認証コードＢとが一致した場合の動作について説明する。この場合、先ず、ＳＡＭ４によりセンタサーバ認証情報（端末ＩＤ、暗号化端末ＩＤ）の生成が行われる。このとき、暗号化端末ＩＤは、鍵Ｔ１を用いて暗号化される。生成されたセンタサーバ認証情報は、電子機器３を介してセンタサーバ２に送信される。
【００４４】
そして、センタサーバ２により、サーバ認証情報の確認が行われる。サーバ認証情報の確認は、暗号化端末ＩＤの復号結果に基づいて行われる。例えば、端末ＩＤがＩＤ１であったとする。この場合、鍵Ｔと端末ＩＤとが対応付けて記憶されたテーブル（図示省略）に基づいて、端末ＩＤ１に対応する鍵Ｔ１が読み出される。そして、読み出された鍵Ｔ１を用いて復号化が行われる。そして、復号化された端末ＩＤ（復号端末ＩＤ）と端末ＩＤとが一致するか否かが判別される。復号端末ＩＤと端末ＩＤとが共にＩＤ１であった場合、許可情報として動作ＯＫ信号が電子機器３に送信される。また、復号端末ＩＤと端末ＩＤが一致しないと判別された場合、動作拒否信号が電子機器３に送信される。このとき、動作ＯＫ信号又は動作拒否信号は、センタサーバ２により鍵Ｔ１で暗号化されて送信される。
【００４５】
そして、電子機器３により動作ＯＫ信号又は動作拒否信号がＳＡＭ４に送信される。そして、ＳＡＭ４により鍵Ｔ１で動作ＯＫ信号又は動作拒否信号が復号化される。動作ＯＫ信号が復号化された場合、使用許可信号が電子機器３に送信される。動作拒否信号が復号化された場合、使用不許可信号が電子機器３に送信される。
【００４６】
ＳＡＭ４から使用許可信号が電子機器３に送信された場合、電子機器３によりＳＡＭ４に対して鍵Ｒ１の読み出し指示が送信される。そして、ＳＡＭ４から電子機器３に鍵Ｒ１が送信される。鍵Ｒ１が送信された後、電子機器３により、鍵Ｒ１を用いてカードリーダ３８により読み取られた決済情報（例えば、カード番号）が復号化される。また、電子機器３により、鍵Ｄ１を用いて鍵Ｄ１の暗号化データＤが復号化される。そして、決済情報と、復号化されたデータＤと、が一致するか否かの判別が行われる。例えば、決済情報であるカード番号と、復号化されたデータＤに含まれる使用禁止のカード番号と、が一致するか否かの判別が行われる。決済情報が復号化されたデータＤと一致しないと判別された場合、決済情報が鍵Ｔ１を用いて暗号化される。そして、鍵Ｔ１により暗号化された決済情報が電子機器３からセンタサーバ２に送信される。
【００４７】
そして、センタサーバ２により、送信された決済情報が鍵Ｔ１で復号化される。決済情報が鍵Ｔ１で復号化された後、当該復号化された決済情報の承認確認が行われる。決済情報の承認確認は、予めセンタサーバ２に記憶されていた決済情報（カード番号等）と、復号化された決済情報と、が一致するか否かが判別されることにより行われる。両者が一致すると判別された場合、センタサーバ２により決済許可信号が電子機器３に送信される。両者が一致しないと判別された場合、センタサーバ２により決済不許可信号が電子機器３に送信される。そして、電子機器３により決済処理が行われる。
【００４８】
次に、図９を参照して、図７において、認証コードＡと認証コードＢとが一致しない場合の動作について説明する。この場合、鍵Ｔ１、Ｒ１、Ｄ１は使用不可となる。また、入力された認証コードＢは、電子機器３のＲＡＭ３３に記億されずに消去される。
【００４９】
次に、図１０及び図１１を参照して、ＳＡＭ４で実行される認証コード確認処理と、電子機器３で実行される認証コード受付処理と、センタサーバ２で実行される決済処理とを説明する。認証コード確認処理は、入力された認証コードＢの正当性を確認する処理である。認証コード受付処理は、ユーザにより入力部３２を介して入力された認証コードＢを受け付け、認証コードＢの正当性の確認をＳＡＭ４に指示する処理である。決済処理は、センタサーバ認証情報の認証、及び決済の許可又は不許可を行う処理である。
【００５０】
先ず、認証コード確認処理について説明する。例えば、電子機器３から認証コードの確認指示信号を受信開始したこと等をトリガとして、ＲＯＭ４５から読み出されて適宜ＲＡＭ４３に展開された認証コード確認プログラムと、ＣＰＵ４１との協働により認証コード確認処理が実行される。
【００５１】
先ず、電子機器３から認証コードＢの確認指示が受信される（ステップＳ１０１）。認証コードＢの確認指示とは、認証コードＢの正当性を確認するための指示情報のことをいう。当該認証コードＢの確認指示情報の中には、認証コードＢが含まれる。そして、認証コードＢが確認され、その認証コードＢの確認結果が送信される（ステップＳ１０２）。ここで、認証コードＢの確認は、フラッシュメモリ４７に記憶されている認証コードＡと受信した認証コードＢとが一致するか否かを比較することにより行われる。そして、認証コードＢの確認結果が電子機器３に送信される。
【００５２】
ステップＳ１０２の実行後、認証コードＡと認証コードＢとが一致しているか（確認結果ＯＫか）否かが判別される（ステップＳ１０３）。確認結果がＯＫでない場合（ステップＳ１０３；ＮＯ）、停止処理が実行される（ステップＳ１０４）。この停止処理は、図９で説明した動作に該当する。ステップＳ１０４の実行後、認証コード確認処理は終了する。
【００５３】
ステップＳ１０３において、確認結果がＯＫである場合（ステップＳ１０３；ＹＥＳ）、電子機器３からセンタサーバ認証情報の生成指示が受信される（ステップＳ１０５）。そして、センタサーバ認証情報が生成され、そのセンタサーバ認証情報が電子機器３に送信される（ステップＳ１０６）。具体的には、端末ＩＤと、鍵Ｔ１で暗号化された暗号化端末ＩＤと、が電子機器３に送信される。
【００５４】
ステップＳ１０６の実行後、電子機器３から鍵Ｒ１の読み出し指示が受信される（ステップＳ１０７）。そして、フラッシュメモリ４７に記憶されている鍵Ｒ１が読み出され、当該読み出された鍵Ｒ１が電子機器３に送信される（ステップＳ１０８）。ステップＳ１０８の実行後、認証コード確認処理は終了する。
【００５５】
次に、電子機器３で実行される認証コード受付処理について説明する。例えば、電子機器３において、認証コード受付処理の実行指示が入力部３２を介して入力されたこと等をトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された認証コード受付プログラムと、ＣＰＵ３１との協働により認証コード受付処理が実行される。このとき、予め、センタサーバ２から発行された認証コードＡがＳＡＭ４のフラッシュメモリ４７に記憶されているものとする。
【００５６】
先ず、ＲＡＭ３３上の認証コードＢが確認される（ステップＳ２０１）。ＲＡＭ３３上の認証コードＢの確認は、ＲＡＭ３３に認証コードＢが記憶されているか否かを確認することに行われる。そして、確認ＯＫか否かが判別される（ステップＳ２０２）。すなわち、ＲＡＭ３３に認証コードＢが記憶されているか否かの確認が行われる。確認ＯＫの場合（ステップＳ２０２；ＹＥＳ）、後述するステップＳ２０４に移行される。確認ＯＫでない場合（ステップＳ２０２；ＮＯ）、入力部３２を介してユーザからの認証コードＢの入力が受け付けられ、当該受け付けられた認証コードＢがＲＡＭ３３に記憶される（ステップＳ２０３）。
【００５７】
ステップＳ２０３の実行後、ＳＡＭ４に認証コードＢの確認指示が送信される（ステップＳ２０４）。そして、ＳＡＭ４から認証コードＢの確認結果が受信される（ステップＳ２０５）。
【００５８】
ステップＳ２０５の実行後、確認結果がＯＫか否かが判別される（ステップＳ２０６）。確認結果がＯＫでないと判別された場合（ステップＳ２０６；ＮＯ）、リトライが実行される（ステップＳ２０７）。このとき、入力された認証コードＢはＲＡＭ３３に記憶されずに消去され、リトライが実行される。
【００５９】
ステップＳ２０６において、確認結果がＯＫであると判別された場合（ステップＳ２０６；ＹＥＳ）、ＳＡＭ４にセンタサーバ認証情報生成指示が送信される（ステップＳ２０８）。すなわち、ＳＡＭ４に端末ＩＤ及び暗号化端末ＩＤの生成指示が送信される。そして、ＳＡＭ４からセンタサーバ認証情報が受信される（ステップＳ２０９）。
【００６０】
ステップＳ２０９の実行後、センタサーバ２にセンタサーバ認証情報が送信される（ステップＳ２１０）。そして、センタサーバ２から許可情報が受信される（ステップＳ２１１）。すなわち、センタサーバ２から鍵Ｔ１で暗号化された動作ＯＫ信号又は動作拒否信号が受信される。そして、図８で説明したように、許可情報（動作ＯＫ信号又は動作拒否信号）がＳＡＭ４に送信され、ＳＡＭ４により許可情報の復号化が行われる。許可情報の復号化が行われた後、使用許可信号又は使用不許可信号が電子機器３に送信される。
【００６１】
ＳＡＭ４から使用許可信号が送信された場合、ＳＡＭ４に鍵Ｒ１の読み出し指示が送信される（ステップＳ２１２）。そして、ＳＡＭ４から鍵Ｒ１が受信される（ステップＳ２１３）。鍵Ｒ１が受信された後、当該鍵Ｒ１を用いてカードリーダ３８により読み取られた決済情報が復号化される（ステップＳ２１４）。このとき、図８で説明したように、鍵Ｄ１を用いて鍵Ｄ１の暗号化データの復号化も行われる。ステップＳ２１４で復号化された決済情報が、復号化されたデータＤと一致しないと判別された場合、決済情報が鍵Ｔ１により暗号化される。
【００６２】
そして、暗号化された決済情報がセンタサーバ２に送信される（ステップＳ２１５）。ステップＳ２１５の実行後、センタサーバ２から決済許可／不許可情報が受信される（ステップＳ２１６）。そして、決済処理が実行される（ステップＳ２１７）。ステップＳ２１７の実行後、認証コード受付処理は終了する。
【００６３】
次に、センタサーバ２で実行される決済処理を説明する。例えば、電子機器３から、センタサーバ認証情報が受信開始されたこと等をトリガとして、記憶部２５から読み出されて適宜ＲＡＭ２３に展開された決済プログラムと、ＣＰＵ２１との協働により決済処理が実行される。
【００６４】
先ず、電子機器３からセンタサーバ認証情報が受信される（ステップＳ３０１）。すなわち、センタサーバ認証情報として端末ＩＤ（受信端末ＩＤ）と、暗号化端末ＩＤとが受信される。このとき、暗号化端末ＩＤは、ＳＡＭ４の暗号演算部４２にて鍵Ｔ１により暗号化されているものとする。そして、センタサーバ認証情報が確認され、電子機器３に許可信号が送信される（ステップＳ３０２）。センタサーバ認証情報の確認は、図８で説明した通りである。
【００６５】
ステップＳ３０２の実行後、電子機器３から決済情報が受信される（ステップＳ３０３）。そして、図８で説明した通り、決済情報の承認確認が行われ、決済許可／不許可情報が送信される（ステップＳ３０４）。ステップＳ３０４の実行後、決済処理は終了する。
【００６６】
以上、本実施の形態によれば、ＲＡＭ３３に記憶された認証コードＢを読み出し、当該読み出した認証コードＢと、フラッシュメモリ４７に記憶されている認証コードＡと、をＳＡＭ４のＣＰＵ４１に比較させ、当該比較結果が一致した場合、フラッシュメモリ４７に記憶されたデータの使用を許可することができる。これにより、認証コードＡは、耐タンパ性を有したフラッシュメモリ４７に記憶されているので、認証コードＡのセキュリティを高めることができる。また、ユーザは、１度認証コードＢを入力すれば、その後は認証コードＢを入力する必要がない。これにより、ユーザの操作性が向上し、認証を容易に行うことができる。また、ユーザは、１度認証コードＢを入力してしまえば、紙などに認証コードＢを書いて複数のユーザに知らせる必要がない。したがって、認証コードＢのセキュリティを保つことができる。
【００６７】
また、バックアップ電池３３Ａは、ＲＡＭ３３にバックアップ時間の間、給電することができる。これにより、バックアップ時間が経過するとバックアップ電池３３ＡによりＲＡＭ３３が給電されなくなり、ＲＡＭ３３に記憶されているデータを消去することができる。したがって、端末装置３が不要となり廃棄した場合であっても認証コードＢの再入力が必要となるので、第三者による端末装置３の悪用を防止することができる。また、バックアップ電池３３ＡによりＲＡＭ３３が給電されている間は、認証コードＢがＲＡＭ３３に記憶されているので、端末装置３の運用性を落とすことなく使用することができる。
【００６８】
（実施の形態の変形例）
次いで、図１２を参照して、本発明に係る実施の形態の変形例を説明する。図１２に電子機器３Ａの内部構成を示す。以下、電子機器３と同様な部分には同一の符号を付し、その詳細な説明を援用し、異なる部分について説明する。
【００６９】
電子機器３Ａは、主電源ＶＡと、電池手段としての電池ＶＢと、調整手段としての抵抗Ｒと、を備える。主電源ＶＡは、電子機器３Ａに電圧Ｖ１を供給する。電池ＶＢは、ＲＡＭ３３にバックアップ時間Ｔの間、電圧Ｖ２を給電する。電池ＶＢは、図３のバックアップ電池３３Ａに該当する。
【００７０】
抵抗Ｒは、抵抗値ｒ１の負荷抵抗であり、ＲＡＭ３３のバックアップ時間Ｔを調整する。具体的に、抵抗Ｒは、電池ＶＢの電流量を調整することにより電池ＶＢの給電時間であるバックアップ時間Ｔを調整する。ここで、電池ＶＢの電流量（放電電流）は（Ｖ２／ｒ１）で求まる。すなわち、抵抗Ｒの抵抗値ｒ１を調整することにより、電池ＶＢの電流量を調整することができる。
【００７１】
ここで、バックアップ時間Ｔについて説明する。バックアップ時間Ｔは、上記実施の形態の説明を援用する。すなわち、バックアップ時間Ｔは、電子機器３Ａの電源がＯＦＦの状態（電子機器３Ａに電圧Ｖ１が給電されなくなった状態）において、電池ＶＢによりＲＡＭ３３に電圧Ｖ２の給電が可能な時間のことをいう。バックアップ時間Ｔの経過後は、電池ＶＢより電圧Ｖ２の給電が終了し、ＲＡＭ３３に記憶されているデータ（認証コードＢ）は消去される。
【００７２】
ここで、電池ＶＢの容量をＣ（Ａｈ）、ＲＡＭ３３の消費電流をｉ（Ａ）とすると、バックアップ時間Ｔは、次式（１）で求められる。
Ｔ＝Ｃ／（ｉ＋Ｖ２／ｒ１）・・・（１）
式（１）より、電子機器３Ａの設計時に、抵抗Ｒの抵抗値ｒ１を適切な値に設計すれば、バックアップ時間Ｔが求まる。
【００７３】
例えば、電子機器３Ａの設計時に、バックアップ時間Ｔが１ヶ月となるように、抵抗Ｒの抵抗値ｒ１を設計するとする。この場合、１ヶ月後には、ＲＡＭ３３に記憶されている認証コードＢは消去される。したがって、電子機器３Ａの利用ができなくなる。すなわち、万が一、電子機器３Ａを無効化せずに廃棄しても、電子機器３Ａの利用ができなくなる。
【００７４】
以上、本実施の形態の変形例によれば、上記実施の形態の効果と同様に、バックアップ時間Ｔが経過すると電池ＶＢによりＲＡＭ３３に給電されなくなるので、ＲＡＭ３３に記憶されているデータを消去することができる。したがって、端末装置３Ａが不要となり廃棄した場合であっても認証コードＢの再入力が必要となるので、第三者による端末装置３Ａの悪用を防止することができる。また、電池ＶＢによりＲＡＭ３３が給電されている間は、認証コードＢがＲＡＭ３３に記憶されているので、端末装置３Ａの運用性を落とすことなく使用することができる。
【００７５】
また、抵抗Ｒの抵抗値ｒ１を調整することにより電池ＶＢの電流量（Ｖ２／ｒ１）を調整することができる。これにより、ユーザは、設計時に抵抗Ｒの抵抗値ｒ１を適切な値に調整（設計）すれば、バックアップ時間Ｔを設定することができる。例えば、バックアップ時間Ｔが１週間となるように電流量（Ｖ２／ｒ１）を設計した場合、１週間後には確実に端末装置３Ａを利用不可にすることができる。これにより、端末装置３Ａの悪用を防止することができる。また、ユーザは、バックアップ時間Ｔを設定することにより、端末装置３Ａの状態（例えば、端末装置３が廃棄状態になったのか否か等）を把握することができる。
【００７６】
なお、上記実施の形態及び変形例における記述は、本発明に係る端末装置及びプログラムの一例であり、これに限定されるものではない。
【００７７】
例えば、上記実施の形態及び変形例では、決済システム１に、電子機器３（又は電子機器３Ａ）と、ＳＡＭ４と、を備える構成としたがこれに限定されるものではない。例えば、図１３に示すように、耐タンパ性を有しない電子機器３Ｂと、耐タンパ性を有するモジュール４Ａと、を備える構成としてもよい。
【００７８】
ここで、電子機器３Ｂは、ＣＰＵ５１と、回線制御部５２と、印字部５３と、表示部５４と、ＲＡＭ５５と、フラッシュメモリ５６と、を備える。ＣＰＵ５１、回線制御部５２、表示部５４、ＲＡＭ５５、フラッシュメモリ５６は、それぞれ、ＣＰＵ３１、通信部３６、表示部３４、ＲＡＭ３３、フラッシュメモリ３５と同様であり、その詳細な説明を援用する。印字部５３は、決済処理結果を印字する。
【００７９】
モジュール４Ａは、ＣＰＵ６１と、入力部６２と、カードリーダ６３と、ＲＡＭ６４と、フラッシュメモリ６５と、を備える。ＣＰＵ６１、入力部６２、カードリーダ６３、ＲＡＭ６４、フラッシュメモリ６５は、それぞれ、ＣＰＵ３１、入力部３２、カードリーダ３８、ＲＡＭ４３、フラッシュメモリ４５と同様であり、その詳細な説明を援用する。ここで、モジュール４Ａは、耐タンパ性に構成するため、例えば、所定の検知手段によりモジュールのこじ開けが検出されると、ＲＡＭ６４やフラッシュメモリ６５のデータを破壊する。これにより、耐タンパ性を担保する。
【００８０】
上記の構成の場合、入力部６２により認証コードＢが入力される。そして、ＣＰＵ６１により、入力された認証コードＢと、ＲＡＭ６４に格納されている認証コードＡとの確認が行われる。そして、当該確認結果が電子機器３Ｂに送信される。この構成により、認証情報のセキュリティを高めると共に、認証を容易に行うことができる。
【００８１】
また、認証コードＢは、ＲＡＭ３３に記憶されるものとして説明したが、フラッシュメモリ３５に記憶することとしてもよい。
【００８２】
また、認証コードＢを入力部３２を介して入力することとしたが、例えば、認証コードＢをメモリカード３９Ａに記憶させておくこととしてもよい。この場合、入力手段として接続部３９により認証コードＢが入力される。すなわち、メモリカード３９Ａから認証コードＢが読み出され、当該読み出された認証コードＢが接続部３９により入力される。そして、入力された認証コードＢがＲＡＭ３３に記憶されることとなる。
【００８３】
また、抵抗Ｒの抵抗値ｒ１を調整（設計）することによりバックアップ時間Ｔを設定することとしたが、これに限定されるものではない。例えば、調整手段としてタイマー（図示省略）を用いることにより、バックアップ時間Ｔを調整することとしてもよい。この場合、タイマーにより調製されたバックアップ時間Ｔとなったら、ＣＰＵ３１がフラッシュメモリ３５又はＲＡＭ３３に記憶されているデータを消去する。
【００８４】
その他、上記の実施の形態における決済システム１の細部構成及び詳細動作に関しても、本発明の趣旨を逸脱しない範囲で適宜変更可能である。
【図面の簡単な説明】
【００８５】
【図１】本発明に係る決済システム１を示す概略図である。
【図２】センタサーバ２の内部構成を示すブロック図である。
【図３】端末装置３の内部構成を示すブロック図である。
【図４】ＳＡＭ４の内部構成を示すブロック図である。
【図５】暗号鍵を説明する図である。
【図６】ＳＡＭ４に認証コードＡを登録する動作の説明図である。
【図７】認証コードの確認動作の説明図である。
【図８】認証コードＡと認証コードＢとが一致した場合の動作の説明図である。
【図９】認証コードＡと認証コードＢとが一致しない場合の動作の説明図である。
【図１０】認証コード確認処理、認証コード受付処理、及び決済処理を示すフローチャートである。
【図１１】認証コード確認処理、認証コード受付処理、及び決済処理を示すフローチャートである。
【図１２】端末装置３Ａの内部構成を示すブロック図である。
【図１３】端末装置３Ｂ及びモジュール４Ａの内部構成を示すブロック図である。
【符号の説明】
【００８６】
１ 決済システム
２ センタサーバ
３，３Ａ，３Ｂ 端末装置
４ ＳＡＭ
１１, ２１，３１ ＣＰＵ
２２，３２ 入力部
２３，３３，４３ ＲＡＭ
２４，３４ 表示部
２５ 記憶部
２６，３６ 通信部
３３Ａ バックアップ電池
３５，４５ フラッシュメモリ
３７，３９ 接続部
３８ カードリーダ
３８Ａ ＩＣカード
３９Ａ メモリカード
４２ 暗号演算部
４４ 異常検出部
Ａ，Ｂ 認証コード
Ｔ１，Ｄ１，Ｒ１ 暗号鍵
Ｔ バックアップ時間
ＶＡ 主電源
ＶＢ 電池
【技術分野】
【０００１】
本発明は端末装置及びプログラムに関する。
【背景技術】
【０００２】
従来から、クレジットカードによる決済などに用いられる端末装置が知られている。当該端末装置においては、パスワード等のＰＩＮ（Personal Identification Numbers）情報の機密性を担保する必要がある。このため、耐タンパ性を有して構成されるモジュールを備えた端末装置が用いられる。
【０００３】
例えば、耐タンパ性を有するモジュールを、端末装置の本体に着脱可能なモジュールとして構成する技術が知られている（例えば、特許文献１参照）。これにより、端末装置の本体は、耐タンパ性を備えなくてもよい。すなわち、端末装置の本体に格納される各種取引に関するアプリケーションプログラムを容易に追加、変更、修正、更新することができ、汎用性、拡張性が向上する。
【特許文献１】特開２００３−１６５２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の技術では、耐タンパモジュールにＰＩＮ情報を格納する技術は記載されていない。ＰＩＮ情報を耐タンパモジュールに格納する構成であれば、ＰＩＮ情報のセキュリティを保つことができる。
しかし、ＰＩＮ情報を耐タンパモジュールに格納する構成であっても、電源投入毎にＰＩＮ情報の要求が行われる端末装置の場合、ユーザの操作性の効率が悪い。この場合、ユーザは電源投入毎に、ＰＩＮ情報を入力する必要がある。したがって、ＰＩＮ情報を用いた認証を容易に行うことができなかった。
また、複数のユーザが１つの端末装置を使う場合、複数のユーザにＰＩＮ情報を知らせる必要が生じる。この場合、ＰＩＮ情報を記載した紙を端末装置に貼り付けておくことなどの措置が取られる。そうすると、端末装置を使用しない人間にもＰＩＮ情報が知られてしまう可能性がある。このため、ＰＩＮ情報（認証情報）のセキュリティを保つことができなかった。
【０００５】
本発明の課題は、認証情報のセキュリティを高めると共に、当該認証情報を用いた認証を容易に行うことである。
【課題を解決するための手段】
【０００６】
以上の課題を解決するため、請求項１に記載の発明の端末装置は、
予め設定された第１の認証情報を含むデータを記憶する第１の記憶手段と、前記第１の認証情報と情報との比較を行う第１の制御手段と、を備えた耐タンパ性を有する耐タンパ手段と、
第２の認証情報の入力を受け付ける入力手段と、
前記入力手段により受け付けられた第２の認証情報を記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有する第２の記憶手段と、
前記第２の記憶手段に記憶された第２の認証情報を読み出し、当該読み出した第２の認証情報と前記第１の認証情報とを前記第１の制御手段に比較させ、当該比較結果が一致した場合、前記第１の記憶手段に記憶されたデータの使用を許可する第２の制御手段と、
を備える。
【０００７】
請求項２に記載の発明は、請求項１に記載の端末装置において、
前記第２の記憶手段が前記記憶保持時間不揮発性を有する場合、当該記憶保持時間を調整する調整手段
を備える。
【０００８】
請求項３に記載の発明は、請求項１又は２に記載の端末装置において、
前記第２の記憶手段は、
揮発性を有する揮発性記憶手段と、
前記揮発性記憶手段に給電する電池手段と、を備え、
前記調整手段は、
前記電池手段の電流量を調整することにより前記記憶保持時間としての前記電池手段の給電時間を調整する。
【０００９】
請求項４に記載の発明のプログラムは、
コンピュータを、
予め設定された第１の認証情報を含むデータを記憶する第１の記憶手段と、前記第１の認証情報と情報との比較を行う第１の制御手段と、を備えた耐タンパ性を有する耐タンパ手段、
第２の認証情報の入力を受け付ける入力手段、
前記入力手段により受け付けられた第２の認証情報を記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有する第２の記憶手段、
前記第２の記憶手段に記憶された第２の認証情報を読み出し、当該読み出した第２の認証情報と前記第１の認証情報とを前記第１の制御手段に比較させ、当該比較結果が一致した場合、前記第１の記憶手段に記憶されたデータの使用を許可する第２の制御手段、
として機能させる。
【発明の効果】
【００１０】
本発明によれば、認証情報のセキュリティを高めると共に、当該認証情報を用いた認証を容易に行うことができる。
【発明を実施するための最良の形態】
【００１１】
以下、添付図面を参照して本発明に係る実施の形態の一例を詳細に説明する。ただし、発明の範囲は、図示例に限定されない。
【００１２】
図１〜図１１を参照して、本発明に係る実施の形態の一例を説明する。
先ず、図１を参照して、本実施の形態の決済システム１の構成例を説明する。決済システム１は、クレジットカードやキャッシュカードにより決済を行うシステムである。決済システム１は、センタサーバ２と、端末装置としての電子機器３と、端末装置、耐タンパ手段としてのＳＡＭ（Secure Application Module）４と、ネットワークＮと、を備えて構成される。センタサーバ２と電子機器３とは、インターネット等の通信ネットワークＮを介して通信接続される。
【００１３】
図２に示すようにセンタサーバ２は、ＣＰＵ（Central Processing Unit）２１と、入力部２２と、ＲＡＭ（Random Access Memory）２３と、表示部２４と、記憶部２５と、通信部２６と、を備えて構成される。
【００１４】
ＣＰＵ２１は、記憶部２５に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ２３に展開し、ＲＡＭ２３に展開されたプログラムとの協働で、各種処理を実行する。特に記憶部２５には、後述する決済プログラムが記憶される。
【００１５】
ＣＰＵ２１は、決済プログラムとの協働により、センタサーバ認証情報を受信した後、許可情報を電子機器３に送信する。センタサーバ認証情報とは、端末ＩＤ、暗号化端末ＩＤのことをいう。端末ＩＤとは、電子機器３ごとに固有のＩＤ情報のことをいう。暗号化端末ＩＤとは、ＳＡＭ４により暗号化された端末ＩＤのことをいう。許可情報とは、電子機器３の動作許可を示す情報又は不許可を示す情報のことをいう。
【００１６】
ＣＰＵ２１は、電子機器３の動作を許可する場合、許可情報として動作ＯＫ信号を電子機器３に送信する。また、電子機器３の動作を許可しない場合、許可情報として動作拒否信号を電子機器３に送信する。このとき、許可情報は、後述する鍵Ｔ１により暗号化されて電子機器３に送信される。また、ＣＰＵ２１は、電子機器３より決済情報を受信した後、決済処理の許可／不許可を行う。
【００１７】
入力部２２は、カーソルキー、数字入力キー及び各種機能キーなどを備えたキーボードを含む構成とし、操作者によりキーボードで押下された押下信号をＣＰＵ２１に出力する。また、入力部２２は、マウスなどのポインティングデバイスを含む構成としてもよい。
【００１８】
ＲＡＭ２３は、各種情報を格納する揮発性のメモリであり、各種プログラム、データを展開するワークエリアを有する。
【００１９】
表示部２４は、ＬＣＤ（Liquid Crystal Display）、ＣＲＴ（Cathode Ray Tube）等で構成され、ＣＰＵ２１からの表示信号に従って画面表示を行う。
【００２０】
記憶部２５は、ＨＤＤ（Hard Disk Drive）等により構成され、各種プログラム及び各種データを記憶する。
【００２１】
通信部２６は、モデム、ＴＡ（Terminal Adapter）、ルータ、ネットワークカード等により構成され、接続されるネットワークＮ上の電子機器３と情報を送受信する。
【００２２】
図３に示すように電子機器３は、第２の制御手段としてのＣＰＵ３１と、入力手段としての入力部３２と、第２の記憶手段、揮発性記憶手段としてのＲＡＭ３３と、電池手段としてのバックアップ電池３３Ａと、表示部３４と、第２の記憶手段としてのフラッシュメモリ３５と、通信部３６と、接続部３７と、カードリーダ３８と、入力手段としての接続部３９と、を備えて構成される。ＣＰＵ３１、入力部３２、ＲＡＭ３３、通信部３６、はそれぞれＣＰＵ２１、入力部２２、ＲＡＭ２３、通信部２６と同様であり、異なる部分を主として説明する。
【００２３】
ＣＰＵ３１は、フラッシュメモリ３５に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ３３に展開し、ＲＡＭ３３に展開されたプログラムとの協働で、各種処理を実行する。特にフラッシュメモリ３５には、後述する認証コード受付プログラムが記憶される。
【００２４】
ＣＰＵ３１は、認証コード受付プログラムとの協働により、ＲＡＭ３３から認証コードＢを読み出し、当該読み出した認証コードＢと認証コードＡとをＳＡＭ４に比較させ、当該比較結果が一致した場合、ＳＡＭ４のフラッシュメモリ４７に記憶されたデータ（鍵Ｔ１、Ｒ１、Ｄ１）の使用を許可する。ここで、認証コードとは、決済を行う際に必要な認証情報（例えば、ＰＩＮ情報）のことをいう。
【００２５】
入力部３２は、各種入力キー等を備え、ユーザからの各種情報の入力を各種入力キーから受け付け、その情報をＣＰＵ３１に出力する。具体的に、入力部３２は、認証コードＢの入力を受け付ける。
【００２６】
ＲＡＭ３３は、各種情報を格納する揮発性のメモリである。ＲＡＭ３３には、入力部３２により入力された認証コードＢが記憶される。また、ＲＡＭ３３は、記憶保持時間としてのバックアップ時間Ｔの間、不揮発性を有する。ここで、バックアップ時間Ｔとは、例えば、電子機器３の電源がＯＦＦの状態において、バックアップ電池３３ＡによりＲＡＭ３３に給電が可能な時間のことをいう。当該バックアップ時間Ｔの間、ＲＡＭ３３は、電子機器３の電源がＯＦＦとなっても、不揮発性を有することとなる。
【００２７】
バックアップ電池３３Ａは、ＲＡＭ３３に所定時間（バックアップ時間）給電するバックアップ用の電池である。
【００２８】
表示部３４は、ＬＣＤ、ＥＬＤ（ElectroLuminescent Display）等を備え、ＣＰＵ３１から入力される表示情報に基づいて画面表示を行う。
【００２９】
フラッシュメモリ３５は、各種情報を読み込み及び書き込み可能に記憶する不揮発性のメモリである。
【００３０】
接続部３７は、ＩＣソケットにより構成され、ＳＡＭ４と電気的な接続を行う。カードリーダ３８は、ＩＣカード３８Ａに記録された情報を読み取る。接続部３９は、ＩＣソケットにより構成され、メモリカード３９Ａと電気的な接続を行う。
【００３１】
ＳＡＭ４は、耐タンパー性を備えたモジュールやＩＣカードにより構成される。ここで、ＩＣカードとは、ＵＳＩＭ（Universal Subscriber Identity Module）カードのことをいう。図４に示すように、ＳＡＭ４は、第１の制御手段としてのＣＰＵ４１と、暗号演算部４２と、ＲＡＭ４３と、異常検出部４４と、ＲＯＭ４５と、通信部４６と、第１の記憶手段としてのフラッシュメモリ４７と、を備えて構成される。ＣＰＵ４１、ＲＡＭ４３、通信部４６、フラッシュメモリ４７は、それぞれＣＰＵ２１、ＲＡＭ２３、通信部２６、フラッシュメモリ３５、と同様であり、異なる部分を主として説明する。
【００３２】
ＣＰＵ４１は、フラッシュメモリ４７に記憶されているシステムプログラム及び各種アプリケーションプログラムの中から指定されたプログラムをＲＡＭ４３に展開し、ＲＡＭ４３に展開されたプログラムとの協働で、各種処理を実行する。特にフラッシュメモリ４７には、後述する認証コード確認プログラムが記憶される。ここで、認証コード確認プログラムは、ＲＯＭ４５に記憶されることとしてもよい。
【００３３】
ＣＰＵ４１は、認証コード確認プログラムとの協働により、認証コードＢの正当性の確認を行う。そして、認証コードＢの正当性の確認結果を電子機器３に送信する。認証コードＢの正当性の確認とは、フラッシュメモリ４７に記憶されている認証コードＡと認証コードＢとを比較することをいう。比較の結果、認証コードＡと認証コードＢとが一致すれば、認証コードＢは正当であると確認される。
また、ＣＰＵ４１は、サーバ認証情報生成指示を電子機器３から受信すると、サーバ認証情報を生成する。サーバ認証情報の生成とは、フラッシュメモリ４７に記憶されている端末ＩＤを読み出すことや端末ＩＤを暗号化して暗号化端末ＩＤを生成することをいう。
【００３４】
暗号演算部４２は、鍵Ｔ１、Ｄ１、Ｒ１を用いて、情報の暗復号を行う。例えば、鍵Ｔ１を用いて端末ＩＤの暗号化を行う。また、鍵Ｔ１を用いて電子機器３より受信した許可情報の復号化を行う。
【００３５】
異常検出部４４は、例えば電圧、温度、光センサ等の少なくとも１つにより構成される。例えば、第三者が善意、悪意に関わらずＳＡＭ４内のデータを読み取ろうとした場合、異常電圧、温度、光（量）の異常を検出する。異常を検出した後、ＲＡＭ４３、フラッシュメモリ４７に記憶されているデータを消去（破壊）する。ＲＯＭ４５は、情報を読み込み可能に記憶する。
【００３６】
フラッシュメモリ４７は、各種情報を読み込み及び書き込み可能に記憶する不揮発性のメモリである。具体的には、フラッシュメモリ４７は、認証コードＡ、鍵Ｔ１、鍵Ｄ１、鍵Ｒ１、及び認証コード確認プログラムを記憶する。
【００３７】
次に図５を参照して、暗号鍵について説明する。ここで、暗号鍵として、鍵Ｔ１、鍵Ｄ１、鍵Ｒ１を用いて説明する。
【００３８】
鍵Ｔ１は、電子機器３ごとに固有な鍵である。鍵Ｔ１は、センタサーバ２の記憶部２５と、ＳＡＭ４のフラッシュメモリ４７とにペアでそれぞれ記憶される。この場合、鍵Ｔ１は、例えば、共通鍵暗号方式のペアでそれぞれ記憶される。なお、暗号方式は公開鍵暗号方式で暗号化されることとしてもよい。
【００３９】
鍵Ｄ１は、ＳＡＭ４外（例えば、電子機器３のＲＡＭ３３、フラッシュメモリ３５等）のデータの暗号鍵である。鍵Ｄ１は、ＳＡＭ４のフラッシュメモリ４７に記憶される。鍵Ｄ１の暗号化データＤは、鍵Ｄ１により暗号化されたデータのことを示す。例えば、使用を禁止しているカード番号などを含んだデータのことを示す。また、鍵Ｄ１の暗号化データＤは、電子機器３のＲＡＭ３３又はフラッシュメモリ３５に記憶される。鍵Ｒ１は、カードリーダ３８の認証用の鍵である。鍵Ｒ１は、カードリーダ３８、フラッシュメモリ４７にそれぞれ記憶される。
【００４０】
次に、図６を参照して認証コードＡをＳＡＭ４のフラッシュメモリ４７に登録（記憶）する動作について説明する。先ず、電子機器３の製造時、センタサーバ２から認証コードＡが発行される。発行された認証コードＡは、電子機器３を介してＳＡＭ４に送信される。そして、当該認証コードＡは、ＳＡＭ４のフラッシュメモリ４７に記憶される。
【００４１】
次に、図７を参照して、認証コードの確認動作について説明する。例えば、ユーザにより電子機器３が購入されたとする。このとき、電子機器３の販売元により、購入したユーザにのみ認証コードＡが伝えられる。そして、電子機器３の出荷先の設置場所で、販売元から伝えられた認証コードＡと同じ認証コードＢがユーザにより入力される。入力された認証コードＢは、電子機器３のＲＡＭ３３に格納される。そして、ＲＡＭ３３に格納された認証コードＢと、ＳＡＭ４のフラッシュメモリ４７に記憶された認証コードＡとが一致するか否かが判別される。
【００４２】
認証コードＢの入力は、上述のように電子機器３の設置時のみ行われる。電子機器３を設置した後は、ＲＡＭ３３に記憶された認証コードＢが用いられる。これにより、ユーザは認証コードＢを何度も入力する必要がない。したがって認証を容易に行うことができる。また、電子機器３を複数のユーザが使用する場合であっても、紙などに認証コードＢを書いて知らせる必要がない。したがって、認証コードＢのセキュリティを向上させることができる。
【００４３】
次に、図８を参照して、図７において、認証コードＡと認証コードＢとが一致した場合の動作について説明する。この場合、先ず、ＳＡＭ４によりセンタサーバ認証情報（端末ＩＤ、暗号化端末ＩＤ）の生成が行われる。このとき、暗号化端末ＩＤは、鍵Ｔ１を用いて暗号化される。生成されたセンタサーバ認証情報は、電子機器３を介してセンタサーバ２に送信される。
【００４４】
そして、センタサーバ２により、サーバ認証情報の確認が行われる。サーバ認証情報の確認は、暗号化端末ＩＤの復号結果に基づいて行われる。例えば、端末ＩＤがＩＤ１であったとする。この場合、鍵Ｔと端末ＩＤとが対応付けて記憶されたテーブル（図示省略）に基づいて、端末ＩＤ１に対応する鍵Ｔ１が読み出される。そして、読み出された鍵Ｔ１を用いて復号化が行われる。そして、復号化された端末ＩＤ（復号端末ＩＤ）と端末ＩＤとが一致するか否かが判別される。復号端末ＩＤと端末ＩＤとが共にＩＤ１であった場合、許可情報として動作ＯＫ信号が電子機器３に送信される。また、復号端末ＩＤと端末ＩＤが一致しないと判別された場合、動作拒否信号が電子機器３に送信される。このとき、動作ＯＫ信号又は動作拒否信号は、センタサーバ２により鍵Ｔ１で暗号化されて送信される。
【００４５】
そして、電子機器３により動作ＯＫ信号又は動作拒否信号がＳＡＭ４に送信される。そして、ＳＡＭ４により鍵Ｔ１で動作ＯＫ信号又は動作拒否信号が復号化される。動作ＯＫ信号が復号化された場合、使用許可信号が電子機器３に送信される。動作拒否信号が復号化された場合、使用不許可信号が電子機器３に送信される。
【００４６】
ＳＡＭ４から使用許可信号が電子機器３に送信された場合、電子機器３によりＳＡＭ４に対して鍵Ｒ１の読み出し指示が送信される。そして、ＳＡＭ４から電子機器３に鍵Ｒ１が送信される。鍵Ｒ１が送信された後、電子機器３により、鍵Ｒ１を用いてカードリーダ３８により読み取られた決済情報（例えば、カード番号）が復号化される。また、電子機器３により、鍵Ｄ１を用いて鍵Ｄ１の暗号化データＤが復号化される。そして、決済情報と、復号化されたデータＤと、が一致するか否かの判別が行われる。例えば、決済情報であるカード番号と、復号化されたデータＤに含まれる使用禁止のカード番号と、が一致するか否かの判別が行われる。決済情報が復号化されたデータＤと一致しないと判別された場合、決済情報が鍵Ｔ１を用いて暗号化される。そして、鍵Ｔ１により暗号化された決済情報が電子機器３からセンタサーバ２に送信される。
【００４７】
そして、センタサーバ２により、送信された決済情報が鍵Ｔ１で復号化される。決済情報が鍵Ｔ１で復号化された後、当該復号化された決済情報の承認確認が行われる。決済情報の承認確認は、予めセンタサーバ２に記憶されていた決済情報（カード番号等）と、復号化された決済情報と、が一致するか否かが判別されることにより行われる。両者が一致すると判別された場合、センタサーバ２により決済許可信号が電子機器３に送信される。両者が一致しないと判別された場合、センタサーバ２により決済不許可信号が電子機器３に送信される。そして、電子機器３により決済処理が行われる。
【００４８】
次に、図９を参照して、図７において、認証コードＡと認証コードＢとが一致しない場合の動作について説明する。この場合、鍵Ｔ１、Ｒ１、Ｄ１は使用不可となる。また、入力された認証コードＢは、電子機器３のＲＡＭ３３に記億されずに消去される。
【００４９】
次に、図１０及び図１１を参照して、ＳＡＭ４で実行される認証コード確認処理と、電子機器３で実行される認証コード受付処理と、センタサーバ２で実行される決済処理とを説明する。認証コード確認処理は、入力された認証コードＢの正当性を確認する処理である。認証コード受付処理は、ユーザにより入力部３２を介して入力された認証コードＢを受け付け、認証コードＢの正当性の確認をＳＡＭ４に指示する処理である。決済処理は、センタサーバ認証情報の認証、及び決済の許可又は不許可を行う処理である。
【００５０】
先ず、認証コード確認処理について説明する。例えば、電子機器３から認証コードの確認指示信号を受信開始したこと等をトリガとして、ＲＯＭ４５から読み出されて適宜ＲＡＭ４３に展開された認証コード確認プログラムと、ＣＰＵ４１との協働により認証コード確認処理が実行される。
【００５１】
先ず、電子機器３から認証コードＢの確認指示が受信される（ステップＳ１０１）。認証コードＢの確認指示とは、認証コードＢの正当性を確認するための指示情報のことをいう。当該認証コードＢの確認指示情報の中には、認証コードＢが含まれる。そして、認証コードＢが確認され、その認証コードＢの確認結果が送信される（ステップＳ１０２）。ここで、認証コードＢの確認は、フラッシュメモリ４７に記憶されている認証コードＡと受信した認証コードＢとが一致するか否かを比較することにより行われる。そして、認証コードＢの確認結果が電子機器３に送信される。
【００５２】
ステップＳ１０２の実行後、認証コードＡと認証コードＢとが一致しているか（確認結果ＯＫか）否かが判別される（ステップＳ１０３）。確認結果がＯＫでない場合（ステップＳ１０３；ＮＯ）、停止処理が実行される（ステップＳ１０４）。この停止処理は、図９で説明した動作に該当する。ステップＳ１０４の実行後、認証コード確認処理は終了する。
【００５３】
ステップＳ１０３において、確認結果がＯＫである場合（ステップＳ１０３；ＹＥＳ）、電子機器３からセンタサーバ認証情報の生成指示が受信される（ステップＳ１０５）。そして、センタサーバ認証情報が生成され、そのセンタサーバ認証情報が電子機器３に送信される（ステップＳ１０６）。具体的には、端末ＩＤと、鍵Ｔ１で暗号化された暗号化端末ＩＤと、が電子機器３に送信される。
【００５４】
ステップＳ１０６の実行後、電子機器３から鍵Ｒ１の読み出し指示が受信される（ステップＳ１０７）。そして、フラッシュメモリ４７に記憶されている鍵Ｒ１が読み出され、当該読み出された鍵Ｒ１が電子機器３に送信される（ステップＳ１０８）。ステップＳ１０８の実行後、認証コード確認処理は終了する。
【００５５】
次に、電子機器３で実行される認証コード受付処理について説明する。例えば、電子機器３において、認証コード受付処理の実行指示が入力部３２を介して入力されたこと等をトリガとして、フラッシュメモリ３５から読み出されて適宜ＲＡＭ３３に展開された認証コード受付プログラムと、ＣＰＵ３１との協働により認証コード受付処理が実行される。このとき、予め、センタサーバ２から発行された認証コードＡがＳＡＭ４のフラッシュメモリ４７に記憶されているものとする。
【００５６】
先ず、ＲＡＭ３３上の認証コードＢが確認される（ステップＳ２０１）。ＲＡＭ３３上の認証コードＢの確認は、ＲＡＭ３３に認証コードＢが記憶されているか否かを確認することに行われる。そして、確認ＯＫか否かが判別される（ステップＳ２０２）。すなわち、ＲＡＭ３３に認証コードＢが記憶されているか否かの確認が行われる。確認ＯＫの場合（ステップＳ２０２；ＹＥＳ）、後述するステップＳ２０４に移行される。確認ＯＫでない場合（ステップＳ２０２；ＮＯ）、入力部３２を介してユーザからの認証コードＢの入力が受け付けられ、当該受け付けられた認証コードＢがＲＡＭ３３に記憶される（ステップＳ２０３）。
【００５７】
ステップＳ２０３の実行後、ＳＡＭ４に認証コードＢの確認指示が送信される（ステップＳ２０４）。そして、ＳＡＭ４から認証コードＢの確認結果が受信される（ステップＳ２０５）。
【００５８】
ステップＳ２０５の実行後、確認結果がＯＫか否かが判別される（ステップＳ２０６）。確認結果がＯＫでないと判別された場合（ステップＳ２０６；ＮＯ）、リトライが実行される（ステップＳ２０７）。このとき、入力された認証コードＢはＲＡＭ３３に記憶されずに消去され、リトライが実行される。
【００５９】
ステップＳ２０６において、確認結果がＯＫであると判別された場合（ステップＳ２０６；ＹＥＳ）、ＳＡＭ４にセンタサーバ認証情報生成指示が送信される（ステップＳ２０８）。すなわち、ＳＡＭ４に端末ＩＤ及び暗号化端末ＩＤの生成指示が送信される。そして、ＳＡＭ４からセンタサーバ認証情報が受信される（ステップＳ２０９）。
【００６０】
ステップＳ２０９の実行後、センタサーバ２にセンタサーバ認証情報が送信される（ステップＳ２１０）。そして、センタサーバ２から許可情報が受信される（ステップＳ２１１）。すなわち、センタサーバ２から鍵Ｔ１で暗号化された動作ＯＫ信号又は動作拒否信号が受信される。そして、図８で説明したように、許可情報（動作ＯＫ信号又は動作拒否信号）がＳＡＭ４に送信され、ＳＡＭ４により許可情報の復号化が行われる。許可情報の復号化が行われた後、使用許可信号又は使用不許可信号が電子機器３に送信される。
【００６１】
ＳＡＭ４から使用許可信号が送信された場合、ＳＡＭ４に鍵Ｒ１の読み出し指示が送信される（ステップＳ２１２）。そして、ＳＡＭ４から鍵Ｒ１が受信される（ステップＳ２１３）。鍵Ｒ１が受信された後、当該鍵Ｒ１を用いてカードリーダ３８により読み取られた決済情報が復号化される（ステップＳ２１４）。このとき、図８で説明したように、鍵Ｄ１を用いて鍵Ｄ１の暗号化データの復号化も行われる。ステップＳ２１４で復号化された決済情報が、復号化されたデータＤと一致しないと判別された場合、決済情報が鍵Ｔ１により暗号化される。
【００６２】
そして、暗号化された決済情報がセンタサーバ２に送信される（ステップＳ２１５）。ステップＳ２１５の実行後、センタサーバ２から決済許可／不許可情報が受信される（ステップＳ２１６）。そして、決済処理が実行される（ステップＳ２１７）。ステップＳ２１７の実行後、認証コード受付処理は終了する。
【００６３】
次に、センタサーバ２で実行される決済処理を説明する。例えば、電子機器３から、センタサーバ認証情報が受信開始されたこと等をトリガとして、記憶部２５から読み出されて適宜ＲＡＭ２３に展開された決済プログラムと、ＣＰＵ２１との協働により決済処理が実行される。
【００６４】
先ず、電子機器３からセンタサーバ認証情報が受信される（ステップＳ３０１）。すなわち、センタサーバ認証情報として端末ＩＤ（受信端末ＩＤ）と、暗号化端末ＩＤとが受信される。このとき、暗号化端末ＩＤは、ＳＡＭ４の暗号演算部４２にて鍵Ｔ１により暗号化されているものとする。そして、センタサーバ認証情報が確認され、電子機器３に許可信号が送信される（ステップＳ３０２）。センタサーバ認証情報の確認は、図８で説明した通りである。
【００６５】
ステップＳ３０２の実行後、電子機器３から決済情報が受信される（ステップＳ３０３）。そして、図８で説明した通り、決済情報の承認確認が行われ、決済許可／不許可情報が送信される（ステップＳ３０４）。ステップＳ３０４の実行後、決済処理は終了する。
【００６６】
以上、本実施の形態によれば、ＲＡＭ３３に記憶された認証コードＢを読み出し、当該読み出した認証コードＢと、フラッシュメモリ４７に記憶されている認証コードＡと、をＳＡＭ４のＣＰＵ４１に比較させ、当該比較結果が一致した場合、フラッシュメモリ４７に記憶されたデータの使用を許可することができる。これにより、認証コードＡは、耐タンパ性を有したフラッシュメモリ４７に記憶されているので、認証コードＡのセキュリティを高めることができる。また、ユーザは、１度認証コードＢを入力すれば、その後は認証コードＢを入力する必要がない。これにより、ユーザの操作性が向上し、認証を容易に行うことができる。また、ユーザは、１度認証コードＢを入力してしまえば、紙などに認証コードＢを書いて複数のユーザに知らせる必要がない。したがって、認証コードＢのセキュリティを保つことができる。
【００６７】
また、バックアップ電池３３Ａは、ＲＡＭ３３にバックアップ時間の間、給電することができる。これにより、バックアップ時間が経過するとバックアップ電池３３ＡによりＲＡＭ３３が給電されなくなり、ＲＡＭ３３に記憶されているデータを消去することができる。したがって、端末装置３が不要となり廃棄した場合であっても認証コードＢの再入力が必要となるので、第三者による端末装置３の悪用を防止することができる。また、バックアップ電池３３ＡによりＲＡＭ３３が給電されている間は、認証コードＢがＲＡＭ３３に記憶されているので、端末装置３の運用性を落とすことなく使用することができる。
【００６８】
（実施の形態の変形例）
次いで、図１２を参照して、本発明に係る実施の形態の変形例を説明する。図１２に電子機器３Ａの内部構成を示す。以下、電子機器３と同様な部分には同一の符号を付し、その詳細な説明を援用し、異なる部分について説明する。
【００６９】
電子機器３Ａは、主電源ＶＡと、電池手段としての電池ＶＢと、調整手段としての抵抗Ｒと、を備える。主電源ＶＡは、電子機器３Ａに電圧Ｖ１を供給する。電池ＶＢは、ＲＡＭ３３にバックアップ時間Ｔの間、電圧Ｖ２を給電する。電池ＶＢは、図３のバックアップ電池３３Ａに該当する。
【００７０】
抵抗Ｒは、抵抗値ｒ１の負荷抵抗であり、ＲＡＭ３３のバックアップ時間Ｔを調整する。具体的に、抵抗Ｒは、電池ＶＢの電流量を調整することにより電池ＶＢの給電時間であるバックアップ時間Ｔを調整する。ここで、電池ＶＢの電流量（放電電流）は（Ｖ２／ｒ１）で求まる。すなわち、抵抗Ｒの抵抗値ｒ１を調整することにより、電池ＶＢの電流量を調整することができる。
【００７１】
ここで、バックアップ時間Ｔについて説明する。バックアップ時間Ｔは、上記実施の形態の説明を援用する。すなわち、バックアップ時間Ｔは、電子機器３Ａの電源がＯＦＦの状態（電子機器３Ａに電圧Ｖ１が給電されなくなった状態）において、電池ＶＢによりＲＡＭ３３に電圧Ｖ２の給電が可能な時間のことをいう。バックアップ時間Ｔの経過後は、電池ＶＢより電圧Ｖ２の給電が終了し、ＲＡＭ３３に記憶されているデータ（認証コードＢ）は消去される。
【００７２】
ここで、電池ＶＢの容量をＣ（Ａｈ）、ＲＡＭ３３の消費電流をｉ（Ａ）とすると、バックアップ時間Ｔは、次式（１）で求められる。
Ｔ＝Ｃ／（ｉ＋Ｖ２／ｒ１）・・・（１）
式（１）より、電子機器３Ａの設計時に、抵抗Ｒの抵抗値ｒ１を適切な値に設計すれば、バックアップ時間Ｔが求まる。
【００７３】
例えば、電子機器３Ａの設計時に、バックアップ時間Ｔが１ヶ月となるように、抵抗Ｒの抵抗値ｒ１を設計するとする。この場合、１ヶ月後には、ＲＡＭ３３に記憶されている認証コードＢは消去される。したがって、電子機器３Ａの利用ができなくなる。すなわち、万が一、電子機器３Ａを無効化せずに廃棄しても、電子機器３Ａの利用ができなくなる。
【００７４】
以上、本実施の形態の変形例によれば、上記実施の形態の効果と同様に、バックアップ時間Ｔが経過すると電池ＶＢによりＲＡＭ３３に給電されなくなるので、ＲＡＭ３３に記憶されているデータを消去することができる。したがって、端末装置３Ａが不要となり廃棄した場合であっても認証コードＢの再入力が必要となるので、第三者による端末装置３Ａの悪用を防止することができる。また、電池ＶＢによりＲＡＭ３３が給電されている間は、認証コードＢがＲＡＭ３３に記憶されているので、端末装置３Ａの運用性を落とすことなく使用することができる。
【００７５】
また、抵抗Ｒの抵抗値ｒ１を調整することにより電池ＶＢの電流量（Ｖ２／ｒ１）を調整することができる。これにより、ユーザは、設計時に抵抗Ｒの抵抗値ｒ１を適切な値に調整（設計）すれば、バックアップ時間Ｔを設定することができる。例えば、バックアップ時間Ｔが１週間となるように電流量（Ｖ２／ｒ１）を設計した場合、１週間後には確実に端末装置３Ａを利用不可にすることができる。これにより、端末装置３Ａの悪用を防止することができる。また、ユーザは、バックアップ時間Ｔを設定することにより、端末装置３Ａの状態（例えば、端末装置３が廃棄状態になったのか否か等）を把握することができる。
【００７６】
なお、上記実施の形態及び変形例における記述は、本発明に係る端末装置及びプログラムの一例であり、これに限定されるものではない。
【００７７】
例えば、上記実施の形態及び変形例では、決済システム１に、電子機器３（又は電子機器３Ａ）と、ＳＡＭ４と、を備える構成としたがこれに限定されるものではない。例えば、図１３に示すように、耐タンパ性を有しない電子機器３Ｂと、耐タンパ性を有するモジュール４Ａと、を備える構成としてもよい。
【００７８】
ここで、電子機器３Ｂは、ＣＰＵ５１と、回線制御部５２と、印字部５３と、表示部５４と、ＲＡＭ５５と、フラッシュメモリ５６と、を備える。ＣＰＵ５１、回線制御部５２、表示部５４、ＲＡＭ５５、フラッシュメモリ５６は、それぞれ、ＣＰＵ３１、通信部３６、表示部３４、ＲＡＭ３３、フラッシュメモリ３５と同様であり、その詳細な説明を援用する。印字部５３は、決済処理結果を印字する。
【００７９】
モジュール４Ａは、ＣＰＵ６１と、入力部６２と、カードリーダ６３と、ＲＡＭ６４と、フラッシュメモリ６５と、を備える。ＣＰＵ６１、入力部６２、カードリーダ６３、ＲＡＭ６４、フラッシュメモリ６５は、それぞれ、ＣＰＵ３１、入力部３２、カードリーダ３８、ＲＡＭ４３、フラッシュメモリ４５と同様であり、その詳細な説明を援用する。ここで、モジュール４Ａは、耐タンパ性に構成するため、例えば、所定の検知手段によりモジュールのこじ開けが検出されると、ＲＡＭ６４やフラッシュメモリ６５のデータを破壊する。これにより、耐タンパ性を担保する。
【００８０】
上記の構成の場合、入力部６２により認証コードＢが入力される。そして、ＣＰＵ６１により、入力された認証コードＢと、ＲＡＭ６４に格納されている認証コードＡとの確認が行われる。そして、当該確認結果が電子機器３Ｂに送信される。この構成により、認証情報のセキュリティを高めると共に、認証を容易に行うことができる。
【００８１】
また、認証コードＢは、ＲＡＭ３３に記憶されるものとして説明したが、フラッシュメモリ３５に記憶することとしてもよい。
【００８２】
また、認証コードＢを入力部３２を介して入力することとしたが、例えば、認証コードＢをメモリカード３９Ａに記憶させておくこととしてもよい。この場合、入力手段として接続部３９により認証コードＢが入力される。すなわち、メモリカード３９Ａから認証コードＢが読み出され、当該読み出された認証コードＢが接続部３９により入力される。そして、入力された認証コードＢがＲＡＭ３３に記憶されることとなる。
【００８３】
また、抵抗Ｒの抵抗値ｒ１を調整（設計）することによりバックアップ時間Ｔを設定することとしたが、これに限定されるものではない。例えば、調整手段としてタイマー（図示省略）を用いることにより、バックアップ時間Ｔを調整することとしてもよい。この場合、タイマーにより調製されたバックアップ時間Ｔとなったら、ＣＰＵ３１がフラッシュメモリ３５又はＲＡＭ３３に記憶されているデータを消去する。
【００８４】
その他、上記の実施の形態における決済システム１の細部構成及び詳細動作に関しても、本発明の趣旨を逸脱しない範囲で適宜変更可能である。
【図面の簡単な説明】
【００８５】
【図１】本発明に係る決済システム１を示す概略図である。
【図２】センタサーバ２の内部構成を示すブロック図である。
【図３】端末装置３の内部構成を示すブロック図である。
【図４】ＳＡＭ４の内部構成を示すブロック図である。
【図５】暗号鍵を説明する図である。
【図６】ＳＡＭ４に認証コードＡを登録する動作の説明図である。
【図７】認証コードの確認動作の説明図である。
【図８】認証コードＡと認証コードＢとが一致した場合の動作の説明図である。
【図９】認証コードＡと認証コードＢとが一致しない場合の動作の説明図である。
【図１０】認証コード確認処理、認証コード受付処理、及び決済処理を示すフローチャートである。
【図１１】認証コード確認処理、認証コード受付処理、及び決済処理を示すフローチャートである。
【図１２】端末装置３Ａの内部構成を示すブロック図である。
【図１３】端末装置３Ｂ及びモジュール４Ａの内部構成を示すブロック図である。
【符号の説明】
【００８６】
１ 決済システム
２ センタサーバ
３，３Ａ，３Ｂ 端末装置
４ ＳＡＭ
１１, ２１，３１ ＣＰＵ
２２，３２ 入力部
２３，３３，４３ ＲＡＭ
２４，３４ 表示部
２５ 記憶部
２６，３６ 通信部
３３Ａ バックアップ電池
３５，４５ フラッシュメモリ
３７，３９ 接続部
３８ カードリーダ
３８Ａ ＩＣカード
３９Ａ メモリカード
４２ 暗号演算部
４４ 異常検出部
Ａ，Ｂ 認証コード
Ｔ１，Ｄ１，Ｒ１ 暗号鍵
Ｔ バックアップ時間
ＶＡ 主電源
ＶＢ 電池
【特許請求の範囲】
【請求項１】
予め設定された第１の認証情報を含むデータを記憶する第１の記憶手段と、前記第１の認証情報と情報との比較を行う第１の制御手段と、を備えた耐タンパ性を有する耐タンパ手段と、
第２の認証情報の入力を受け付ける入力手段と、
前記入力手段により受け付けられた第２の認証情報を記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有する第２の記憶手段と、
前記第２の記憶手段に記憶された第２の認証情報を読み出し、当該読み出した第２の認証情報と前記第１の認証情報とを前記第１の制御手段に比較させ、当該比較結果が一致した場合、前記第１の記憶手段に記憶されたデータの使用を許可する第２の制御手段と、
を備える端末装置。
【請求項２】
前記第２の記憶手段が前記記憶保持時間不揮発性を有する場合、当該記憶保持時間を調整する調整手段を備える請求項１に記載の端末装置。
【請求項３】
前記第２の記憶手段は、
揮発性を有する揮発性記憶手段と、
前記揮発性記憶手段に給電する電池手段と、を備え、
前記調整手段は、
前記電池手段の電流量を調整することにより前記記憶保持時間としての前記電池手段の給電時間を調整する請求項１又は２に記載の端末装置。
【請求項４】
コンピュータを、
予め設定された第１の認証情報を含むデータを記憶する第１の記憶手段と、前記第１の認証情報と情報との比較を行う第１の制御手段と、を備えた耐タンパ性を有する耐タンパ手段、
第２の認証情報の入力を受け付ける入力手段、
前記入力手段により受け付けられた第２の認証情報を記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有する第２の記憶手段、
前記第２の記憶手段に記憶された第２の認証情報を読み出し、当該読み出した第２の認証情報と前記第１の認証情報とを前記第１の制御手段に比較させ、当該比較結果が一致した場合、前記第１の記憶手段に記憶されたデータの使用を許可する第２の制御手段、
として機能させるためのプログラム。
【請求項１】
予め設定された第１の認証情報を含むデータを記憶する第１の記憶手段と、前記第１の認証情報と情報との比較を行う第１の制御手段と、を備えた耐タンパ性を有する耐タンパ手段と、
第２の認証情報の入力を受け付ける入力手段と、
前記入力手段により受け付けられた第２の認証情報を記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有する第２の記憶手段と、
前記第２の記憶手段に記憶された第２の認証情報を読み出し、当該読み出した第２の認証情報と前記第１の認証情報とを前記第１の制御手段に比較させ、当該比較結果が一致した場合、前記第１の記憶手段に記憶されたデータの使用を許可する第２の制御手段と、
を備える端末装置。
【請求項２】
前記第２の記憶手段が前記記憶保持時間不揮発性を有する場合、当該記憶保持時間を調整する調整手段を備える請求項１に記載の端末装置。
【請求項３】
前記第２の記憶手段は、
揮発性を有する揮発性記憶手段と、
前記揮発性記憶手段に給電する電池手段と、を備え、
前記調整手段は、
前記電池手段の電流量を調整することにより前記記憶保持時間としての前記電池手段の給電時間を調整する請求項１又は２に記載の端末装置。
【請求項４】
コンピュータを、
予め設定された第１の認証情報を含むデータを記憶する第１の記憶手段と、前記第１の認証情報と情報との比較を行う第１の制御手段と、を備えた耐タンパ性を有する耐タンパ手段、
第２の認証情報の入力を受け付ける入力手段、
前記入力手段により受け付けられた第２の認証情報を記憶し、不揮発性を有する、又は記憶を保持するための記憶保持時間不揮発性を有する第２の記憶手段、
前記第２の記憶手段に記憶された第２の認証情報を読み出し、当該読み出した第２の認証情報と前記第１の認証情報とを前記第１の制御手段に比較させ、当該比較結果が一致した場合、前記第１の記憶手段に記憶されたデータの使用を許可する第２の制御手段、
として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２００８−２４２９２４（Ｐ２００８−２４２９２４Ａ）
【公開日】平成２０年１０月９日（２００８．１０．９）
【国際特許分類】
【出願番号】特願２００７−８４０２４（Ｐ２００７−８４０２４）
【出願日】平成１９年３月２８日（２００７．３．２８）
【出願人】（０００００１４４３）カシオ計算機株式会社 (8,748)
【Ｆターム（参考）】
【公開日】平成２０年１０月９日（２００８．１０．９）
【国際特許分類】
【出願日】平成１９年３月２８日（２００７．３．２８）
【出願人】（０００００１４４３）カシオ計算機株式会社 (8,748)
【Ｆターム（参考）】
[ Back to top ]