ＩＴＳＯＦＶＣ２アプリケーションモニタ
この発明は、オンデバイスファイルシステムが少なくとも１つのオフデバイスＩＴＳＯアプリケーションとインターフェースすることを可能にする、ファイルシステムとオペレーティングソフトウェアを運ぶＩＴＳＯスキームにおける使用のための、プログラム可能スマートカードを有するＩＴＳＯベースのスマートカードシステムを提供する。
インターフェースで、オフデバイスＩＴＳＯアプリケーションはオンデバイスファイルシステムにおけるデータをアクセスおよび／または変更することを許可される。プログラム可能スマートカードデバイスは、オンデバイスファイルにおけるデータをアクセスおよび／または変更する際に、オフラインアプリケーションによって実行される一連の操作をモニタし、そして一連の操作が所定の基準を満たさない場合、データへの更なるアクセスまたは変更を制限または防止することを操作可能なモニタリング手段を有する。モニタリング手段は多数の状態のうち１つにセットされることが可能なステートエンジンを好ましくは有し、少なくともそのうち１つは誤り状態であり、誤り状態においては一連の操作が再スタートされるまで、いくつかのまたは全てのオンデバイスファイルにおけるデータへの更なる変更が防止される。システムはまた、インターフェースデバイスとスマートカードデバイスの相互結合が、インターフェースデバイスに、プログラム可能スマートカードデバイスによって運ばれるデータをアクセスおよび／または変更するために実行される一連の操作の間、データおよび／またはコマンドの暗号化／または復号化において使用されるセッションキーを生成させるものでも良い。前記プログラム可能スマートカードデバイス上のデータを変更するための一連の操作の完了は、インターフェースデバイスに、新しいセッションを開き、第２のセッションキーを生成し、要求されたデータが前記意図された一連の操作に従って変更されていたことを検査するために前記第２のセッションキー使用することが好ましい。この発明はこのように不正に対するより良い保護と共にＩＴＳＯベースのシステムを提供することを可能にする。
インターフェースで、オフデバイスＩＴＳＯアプリケーションはオンデバイスファイルシステムにおけるデータをアクセスおよび／または変更することを許可される。プログラム可能スマートカードデバイスは、オンデバイスファイルにおけるデータをアクセスおよび／または変更する際に、オフラインアプリケーションによって実行される一連の操作をモニタし、そして一連の操作が所定の基準を満たさない場合、データへの更なるアクセスまたは変更を制限または防止することを操作可能なモニタリング手段を有する。モニタリング手段は多数の状態のうち１つにセットされることが可能なステートエンジンを好ましくは有し、少なくともそのうち１つは誤り状態であり、誤り状態においては一連の操作が再スタートされるまで、いくつかのまたは全てのオンデバイスファイルにおけるデータへの更なる変更が防止される。システムはまた、インターフェースデバイスとスマートカードデバイスの相互結合が、インターフェースデバイスに、プログラム可能スマートカードデバイスによって運ばれるデータをアクセスおよび／または変更するために実行される一連の操作の間、データおよび／またはコマンドの暗号化／または復号化において使用されるセッションキーを生成させるものでも良い。前記プログラム可能スマートカードデバイス上のデータを変更するための一連の操作の完了は、インターフェースデバイスに、新しいセッションを開き、第２のセッションキーを生成し、要求されたデータが前記意図された一連の操作に従って変更されていたことを検査するために前記第２のセッションキー使用することが好ましい。この発明はこのように不正に対するより良い保護と共にＩＴＳＯベースのシステムを提供することを可能にする。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は既存のＩＴＳＯ技術、すなわちイギリス政府によって発展させられた相互運用チケッティング・スマートカード編成（Ｉｎｔｅｒｏｐｅｒａｂｌｅ ＴｉｃｋｅｔｉｎｇＳｍａｒｔｃａｒｄ Ｏｒｇａｎｉｚａｔｉｏｎ）標準で提案され、欧州規格ＥＮ１５４５として受け入れられ、現在利用可能かまたは将来利用可能になる任意のバージョン、特に顧客カスタマ・メディア定義―ＩＴＳＯ ｐａｒｔ １０、ＣＤ１０ ＩＴＳＯ
【０００２】
ＴＳ１０００−１０ ２００３−１１における電子チケッティングスキームに対する改良に関する。以下の説明から分かるように、用語「チケッティングスキーム」とは、伝統的輸送チケッティング操作だけでなく、チケット、トークン、引換券、または処方箋が商品またはサービスの提供に対する引き換えとして有効である任意の安全なスキームを包含する。特に、この発明はＩＴＳＯスキームにおける使用のため、かつオフデバイスアプリケーションにオンデバイスファイルシステムにおけるデータへアクセス及び／または変更を許可するために、オンデバイスファイルシステムを少なくとも１つのオフデバイスＩＴＳＯアプリケーションとインターフェースすることを可能にするファイルシステムおよびオペレーティングソフトウェアを運ぶプログラム可能スマートカードデバイスに関係している。
【背景技術】
【０００３】
既存のＩＴＳＯスキームは、使用されるカードは単に単純なメモリーカードであることに基づき動作する。このことは、「ポイントオブサービス端末機」（「ＰＯＳＴ」）は、適切なパスワードを提供する要求以外に、何らのチェックまたは制限なしに任意の命令によって自由にカードを読み取り及び書き込みできることを意味する。ＩＴＳＯ仕様はマイクロプロセッサカード（「スマートカード」）の利用も提供するが、これらはメモリーカードとほとんど同じ方法で、ＰＯＳＴと相互動作しなければならない、すなわち、それらはメモリーカードをエミュレートするために構成されなければならない。メモリーカードにおけるセクタの代わりに、スマートカードベースのシステムは、スマートカード上のファイルを利用するが、構造およびリード／ライトのアクセス制限は同様である。
【０００４】
ＩＴＳＯスキームは、例えば幾つかの種類のサービス、または幾つかの他の価格の商品へのアクセスを表すデータ上に暗号で生成されたシールを使用する。データの保全性は、ＰＯＳＴにおいてセキュアアクセスモジュール；Ｓｅｃｕｒｅ Ａｃｃｅｓｓ Ｍｏｄｕｌｅ（「ＳＡＭ」）により全処理を行わせると共に、これらシールによって保護されている。
【０００５】
既存のスキーム下では、ＩＴＳＯ値プロダクトは、ＩＴＳＯ ＰＯＳＴによって増加または減少させられるバランスを保持する「電子財布」として使用できる。これは固定データグループ(ＦＲＤＧ)と、そして通常、一方は現在のバランスを保持し、他方は以前のバランスのコピーを保持する２つの値のデータグループ（ＶＲＤＧｓ）として実装される。ＩＴＳＯの仕様はＭｉｆａｒｅ Ｃｌａｓｓｉｃのようなより低機能のメモリーカード型に適応しているので、早まってＰＯＳＴからカードが取り除かれるためにトランザクションが中断したときに起こるようなメモリ管理タスクをＰＯＳＴは直接関係しければならない。このシナリオは、「アンチティア」として産業上知られている。
【０００６】
２つのＶＲＤＧは、ＶＲＤＧの更新中にカードが「引き離され（ティアされ）」るならば少なくとも１つのＶＲＤＧのコピーはエラーがないことを保証するためにアンチティア目的のために使用される。正常操作において、ＩＰＥ（「ＩＴＳＯプロダクトエンティティ；ＩＴＳＯ Ｐｒｏｄｕｃｔ Ｅｎｔｉｔｙ」―顧客メディアまたはスマートカード上に設定される「チケット」データのためのＩＴＳＯ用語）バランスが変更されるとき、１つのＶＲＤＧは現在のバランスのコピーを、そして他方は以前のバランスのコピーを含むために、ＰＯＳＴはＶＲＤＧを交互に更新する。アンチティア保護のためにシェルディレクトリの２つの入り口がある。「シェル」はいくつかのＩＰＥのものを含む「チケット財布」に相当するＩＴＳＯデータ構造である。現在の入り口は現在のＶＲＤＧを指し、以前の入り口は以前のバランスのコピーを備えたＶＲＤＧを指す。
【０００７】
上述の標準によって提案されている既存のＦＶＣ２セキュアメッセージングスキームは、顧客メディア（スマートカード）とＩＳＡＭ（ＩＴＳＯセキュアアプリケーションモジュール；ＩＴＳＯ Ｓｅｃｕｒｅ Ａｐｐｌｉｃａｔｉｏｎ Ｍｏｄｕｌｅ―ＰＯＳＴ中に挿入された信用コンピュータ）との間の相互認証をサポートしてセッションキーを生成する。セッションキーはスマートカードから読み取られるデータ及びスマートカードへ更新されるデータ上に、メッセージ認証証明（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｅｒｔｉｆｉｃａｔｅ（「ＭＡＣ」）（暗号で保護された１組のデータのハッシュであり、ＭＡＣがそのデータの完全性を保証する）を作成するために使用される。
セッションキーはセッションの進行の間は変化しない。スマートカードまたは顧客メディアＲＥＡＤコマンドのため、スマートカード（顧客メディア）は、顧客メディアによって戻されるデータを通してＭＡＣを計算し、そしてＩＳＡＭによって検査される。ＦＶＣ２顧客メディア内のファイルの選択および読み取りには、セキュリティ状態はない。
【０００８】
ＦＶＣ２顧客メディアのＵＰＤＡＴＥコマンドのため、内部で顧客メディアファイルが更新される前に、ＭＡＣはＩＳＡＭによってのみコマンドのデータを通して計算され、顧客メディアによって検査される。ＵＰＤＡＴＥコマンドデータに適用されるセキュアメッセージングに加えて、各ファイルはＵＰＤＡＴＥコマンドが完了する前に顧客メディアに送られなければならない一意のパスワードを持つ。パスワードは静的であるので、同じパスワードが各セッションにおいて適用される。
【０００９】
このスキームは、ＰＯＳＴにデータがいつ顧客メディア（スマートカード）から読み取られたのかを決定することを許可するが、しかし正しいファイルから読み取られたか否かを決定することはできない。新しいセッションの開始によって、そして従って新しいセッションキーが生成されることによってＰＯＳＴは顧客メディアへの更新が成功したか否かを決定することができるが、それが正しいファイルであったかを検査することはできない。
【００１０】
既存のＦＶＣ２顧客メディアインターフェースにおいて、ＭＡＣが正しいことを検査する以外、顧客メディア（スマートカード）はデータが正しく書き込まれたこと、または正しい更新のシーケンスが発生していたことをテストしない。
【００１１】
先の段落で説明された既存のＦＶＣ２スキームにおいて、セキュアメッセージングを備えても備え無くても、アタッカーは顧客メディア（スマートカード）からデータを読み取り、そして異なるファイルの顧客メディアにそれを書き戻し、そしてそのように異なるファイルを選択することによってデータが書き込まれるファイルをＰＯＳＴにより変更することが可能である。これら脆弱性につけこむことによって、アタッカーはＩＰＥプロダクトの複数のコピーを作成でき、またはＰＯＳＴによってプロダクトの更新検査で読み取られるために、顧客メディアの異なるファイルへ更新されたプロダクトをコピーすることができる。
【００１２】
これら攻撃はＰＯＳＴがＶＲＤＧ上のバランスを減分することを試みた場合に、ＶＲＤＧの変更を停止するためにＩＴＳＯアプリケーションの範囲内で使用される可能性があり、すなわちアタッカーは、顧客メディア上に更新されたＶＲＤＧが書き込まれた場合に位置を変化させ、ＰＯＳＴがデータを読み戻すときにこのデータを戻していた。たとえＰＯＳＴが新しいセッションキーを生成するために新しいセッションを開始しても、読み取られたデータが正しいファイルに記憶されたことを決定することはできない。同様に、攻撃は、次回のＣＭの使用時にＰＯＳＴに以前のＶＲＤＧのコピーを使用させる、更新されたＶＲＤＧを指すＩＴＳＯディレクトリへの更新を停止するためにも使用され得る。これは「リプレイアタック」の一形態として知られ、「底無し財布」となる。
【発明の開示】
【発明が解決しようとする課題】
【００１３】
このように既存のＩＴＳＯ仕様の現在のマイクロプロセッサバージョン（ＦＣＶ２）は、ＰＯＳＴとカード間のトランザクションのステップを再シーケンスすることを含む攻撃に対してスマートカードを保護していない。
【課題を解決するための手段】
【００１４】
この発明に従い、上述されたプログラム可能スマートカードデバイスは、オンデバイスファイルにおけるデータをアクセスおよび／または変更する際にオフラインアプリケーションによって実行される一連の操作をモニタし、及び一連の操作が所定の基準を満たさない場合、このようなデータへの更なるアクセスまたは変更を制限または予防するように操作可能なモニタリング手段を含むことに特徴付けられる。モニタリング手段は、複数のステートのうち１つ、少なくともそのうち１つはエラーステートである、に設定されることができるステートエンジンを含むことが好ましく、そのステートにおいては、一連の操作が再スタートされるまでいくつかのまたは全てのオンデバイスファイルにおける前記データへの更なる変更が防止される。
【００１５】
この発明はまた、前記オフデバイスＩＴＳＯアプリケーションが前記オンデバイスファイルシステムにおけるデータをアクセスおよび／または変更することを許可するために、インターフェースデバイスで少なくとも１つのオフデバイスアプリケーションとインターフェースすることをオンデバイスファイルシステムに可能にするファイルシステムとオペレーティングソフトウェアを有する少なくとも1つのプログラム可能なスマートカードデバイスを有するＩＴＳＯスマートカードスキームを提供できる。；前記システムは、
前記インターフェースデバイスと前記スマートカードデバイスの相互結合が、前記インターフェースデバイスに、前記プログラム可能スマートカードデバイスによって運ばれるデータをアクセスおよび／または変更するために実行される一連の操作の間、データおよび／またはコマンドの暗号化および／または復号化において使用されるセッションキーを生成させる。スキームは、
前記プログラム可能スマートカードデバイス上のデータを変更するための一連の操作の完了が、前記インターフェースデバイスに、新しいセッションを開き、第２のセッションキーを生成し、要求されたデータが意図された一連の操作に従って変更されていたことを検査するために前記第２のセッションキー使用することによって特徴付けられる。
【００１６】
顧客メディアに書き込まれたデータが正しい内容と宛先を持つことを保証するために、ＦＶＣ２顧客メディア（スマートカード）への更新をモニタリングすることによって、この発明の好ましい実施形態に従い、上述のＩＴＳＯスキームのセキュリティへの脅威は除去できる。ＦＶＣ２顧客メディアは、正しいパスワードとＭＡＣが与えられた場合にデータがいずれかのファイルに書き込まれることを単に許容するというよりむしろ、詳しく上述した攻撃を予防するルールを処理する動作を関連ＩＴＳＯアプリケーションに強制する。
このように、この発明は公共的に普及可能な電子財布として使用されるのに十分安全であるように増強されたＩＴＳＯ互換カード及び端末の実装を可能にする。
【発明を実施するための最良の形態】
【００１７】
この発明の実施形態は、この発明が実施されることができる手段よるステートマシンを表す概要ダイアグラムの図参照して、例示の方法によって詳細に説明される。
この発明はＩＴＳＯ値プロダクトの変更にのみ関係する。それは、顧客メディア定義―ＩＴＳＯパート１０、ＣＤ１０ ＩＴＳＯ ＴＳ１０００−１０ ２００３−１１において規定されている処理規則を基礎としている。この発明においてＦＶＣ２顧客メディアは、例えばスマートカードまたはそれに類するものであるが、以下の処理及びデータモニタリングチェックを通常処理の間に実現する。
【００１８】
状態１
状態１内で、ＦＶＣ２顧客メディアは入力更新コマンドをモニタし、もし以下のテストのいずれかが失敗したならば誤りへ状態を変化するであろう。
・ ＩＰＥ内のＶＲＤＧデータグループのうちの１つの唯一の更新が発生することをテスト。これは、アタッカーが複数の更新を作成できない、すなわちＶＲＤＧのオリジナルの内容を復元することを保証するであろう。ＩＰＥはディレクトリセクタチェーンテーブルまたは所有権を主張できるファイルにおいて存在しない、そこで顧客メディアによってモニタされないであろうから、両方のＶＲＤＧが顧客メディアに書き込まれた場合にＩＰＥの作成に、これは影響を与えない。
・ ＶＲＤＧのＩＳＡＭ ＩＤ及びＩＳＡＭＳ＃を検査することにより、更新されたＶＲＤＧが同じＩＰＥプロダクトであることをテスト。これはＶＲＤＧが別のＩＰＥプロダクトのための別のＶＲＤＧによって上書きされていないことを保証するためである。
・ 更新されたＶＲＤＧがＩＰＥ固定データグループ（ＦＲＤＧ）によって上書きされていないことをテスト。
・ ＶＲＤＧ更新のオフセットが０ｘ００００であることをテスト。
・ 更新されたＶＲＤＧにおける最高値シーケンス番号（ＴＳ＃）が他のＶＲＤＧにおける最高ＴＳ＃＋１と等しいことをテスト。この規則は正常動作及びアンチティア状況からの回復にとっては正しい。それは以前のＶＲＤＧのコピーが復元されていないことを保証し、ＶＲＤＧが他のＶＲＤＧのコピーを使用して上書きされていないことを保証するであろう。
・ ＶＲＤＧが記憶されるべきでない場合、ＶＲＤＧと共に他のファイルが更新されていないことをテスト。これは、どのファイルがＶＲＤＧまたは所有権を主張できるファイルから読み取られたデータまたは顧客メディア上のＶＲＤＧの位置を特定する要素を持つべきなのかを決定するための、ディレクトリセクタチェーンテーブルを翻訳することによって達成できる。これはアタッカーが検査テストをパスするために、一時的なＶＲＤＧのコピーを作成できないことを保証する。
・ 更新されたディレクトリはディレクトリのコピーのために予約された顧客メディア上の最後の２つのファイルのうち１つにのみ書き込まれることをテスト。これはアタッカーが検査テストをパスするために一時的なディレクトリのコピーを作成できないことを保証する。
・ 予約されたディレクトリファイルにおいて、ディレクトリのコピーのみが更新されていることをテスト。これはアタッカーがＩＰＥデータグループでディレクトリを破損できないことを保証する。
【００１９】
状態２
ＩＴＳＯスキームの正常処理範囲内で、唯一のディレクトリの更新が実行される。ディレクトリの更新は内部のＦＶＣ２顧客メディアステートを２に変更する。状態２内で、ＦＶＣ２はいかなるの他のコマンドにも成功して実行されることを許容しないであろう。
【００２０】
誤り状態
誤り状態内で、顧客メディアがリセットされるまで、ＦＶＣ２顧客メディアは、顧客メディアへのいかなる更なる更新も許可しないであろう。
【００２１】
さらに、既存のＩＴＳＯ ＦＶＣ２セキュアメッセージングスキームにおいて、ＦＶＣ２顧客メディアに書き込まれることを要求されたデータが実際に顧客メディアにおいて更新されたことをＰＯＳＴが確認することは、更新動作への応答はＦＶＣ２顧客メディアからのいかなるセキュアメッセージング検査データも含んでいないので、不可能である。更新操作への応答はアタッカーが生成できかつＰＯＳＴへ戻すことのできるステータスバイトを含むのみである。さらにＰＯＳＴは、ＦＶＣ２顧客メディアへ送られた更新コマンドが正しいファイルへ送られたか、または意図したファイルにおいて異なるオフセットを更新するために変更されたかを決定できない。既存のＦＶＣ２セキュアメッセージングスキームにおいて、アタッカーは値の減分を示しているファイルへの更新を停止し、セッションの開始時にファイルの以前の内容でファイルを更新すること、またはＦＶＣ２顧客メディア上の正しいファイルにおいて誤った位置へデータを書き込むことによってファイルを汚染することができた。後者の場合、アタッカーはＩＴＳＯプロダクトのコピーを汚染し、ＩＴＳＯアンチティアスキームの正常操作の一部として、ＩＴＳＯアプリケーションをＦＶＣ２顧客メディア上のＩＴＳＯプロダクトのより古いコピーへ復旧させている。
【００２２】
ＵＰＤＡＴＥコマンド後のデータを読み戻すことによって、ＰＯＳＴはデータがＦＶＣ２顧客メディアから読み取られたことの検査をするために、ＩＳＡＭを使用することができる。しかしながらＲＥＡＤとＵＰＤＡＴＥコマンドの両方はコマンドデータ上のＭＡＣを計算するだけであるため、同じオフセットの読み取りから戻るＭＡＣは対応するＵＰＤＡＴＥコマンドの範囲内に含まれる同じＭＡＣであり、そのためＰＯＳＴはデータが更新されたかまたは生成されたＭＡＣを単に受信したかを決定できない。
【００２３】
このことを克服するため、セッション内でＦＶＣ２顧客メディアの更新後スタートされる第２のセキュアセッションが提案される。この第２のセキュアメッセージングセッションは新たなセキュアメッセージングセッションキーを生成するであろう。データが正しいファイルと共に正しいオフセットに書き込まれたかを検査するために、ＰＯＳＴは、ＦＶＣ２顧客メディア上で更新されるために要求されるデータの読み取りを実行できる。ＰＯＳＴが全体のデータグループを更新していない場合、アタッカーがデータグループを破損または変更するためにデータグループの更新においてオフセットを変更していないことを保証するために、読み取り検査はデータグループの十分なデータ範囲を含むことを保証しなければならない。
【００２４】
このようにこの発明は、伝統的なあまり安全でない環境において操作されるＦＶＣ２顧客メディアが、公共に普及可能な電子財布スキームとして機能するために十分に安全な方法において利用されることを許可するために実装できる技術を提供する。
【図面の簡単な説明】
【００２５】
【図１】この発明が実施されることができる手段よるステートマシンを表す概略ダイアグラムの図である。
【技術分野】
【０００１】
この発明は既存のＩＴＳＯ技術、すなわちイギリス政府によって発展させられた相互運用チケッティング・スマートカード編成（Ｉｎｔｅｒｏｐｅｒａｂｌｅ ＴｉｃｋｅｔｉｎｇＳｍａｒｔｃａｒｄ Ｏｒｇａｎｉｚａｔｉｏｎ）標準で提案され、欧州規格ＥＮ１５４５として受け入れられ、現在利用可能かまたは将来利用可能になる任意のバージョン、特に顧客カスタマ・メディア定義―ＩＴＳＯ ｐａｒｔ １０、ＣＤ１０ ＩＴＳＯ
【０００２】
ＴＳ１０００−１０ ２００３−１１における電子チケッティングスキームに対する改良に関する。以下の説明から分かるように、用語「チケッティングスキーム」とは、伝統的輸送チケッティング操作だけでなく、チケット、トークン、引換券、または処方箋が商品またはサービスの提供に対する引き換えとして有効である任意の安全なスキームを包含する。特に、この発明はＩＴＳＯスキームにおける使用のため、かつオフデバイスアプリケーションにオンデバイスファイルシステムにおけるデータへアクセス及び／または変更を許可するために、オンデバイスファイルシステムを少なくとも１つのオフデバイスＩＴＳＯアプリケーションとインターフェースすることを可能にするファイルシステムおよびオペレーティングソフトウェアを運ぶプログラム可能スマートカードデバイスに関係している。
【背景技術】
【０００３】
既存のＩＴＳＯスキームは、使用されるカードは単に単純なメモリーカードであることに基づき動作する。このことは、「ポイントオブサービス端末機」（「ＰＯＳＴ」）は、適切なパスワードを提供する要求以外に、何らのチェックまたは制限なしに任意の命令によって自由にカードを読み取り及び書き込みできることを意味する。ＩＴＳＯ仕様はマイクロプロセッサカード（「スマートカード」）の利用も提供するが、これらはメモリーカードとほとんど同じ方法で、ＰＯＳＴと相互動作しなければならない、すなわち、それらはメモリーカードをエミュレートするために構成されなければならない。メモリーカードにおけるセクタの代わりに、スマートカードベースのシステムは、スマートカード上のファイルを利用するが、構造およびリード／ライトのアクセス制限は同様である。
【０００４】
ＩＴＳＯスキームは、例えば幾つかの種類のサービス、または幾つかの他の価格の商品へのアクセスを表すデータ上に暗号で生成されたシールを使用する。データの保全性は、ＰＯＳＴにおいてセキュアアクセスモジュール；Ｓｅｃｕｒｅ Ａｃｃｅｓｓ Ｍｏｄｕｌｅ（「ＳＡＭ」）により全処理を行わせると共に、これらシールによって保護されている。
【０００５】
既存のスキーム下では、ＩＴＳＯ値プロダクトは、ＩＴＳＯ ＰＯＳＴによって増加または減少させられるバランスを保持する「電子財布」として使用できる。これは固定データグループ(ＦＲＤＧ)と、そして通常、一方は現在のバランスを保持し、他方は以前のバランスのコピーを保持する２つの値のデータグループ（ＶＲＤＧｓ）として実装される。ＩＴＳＯの仕様はＭｉｆａｒｅ Ｃｌａｓｓｉｃのようなより低機能のメモリーカード型に適応しているので、早まってＰＯＳＴからカードが取り除かれるためにトランザクションが中断したときに起こるようなメモリ管理タスクをＰＯＳＴは直接関係しければならない。このシナリオは、「アンチティア」として産業上知られている。
【０００６】
２つのＶＲＤＧは、ＶＲＤＧの更新中にカードが「引き離され（ティアされ）」るならば少なくとも１つのＶＲＤＧのコピーはエラーがないことを保証するためにアンチティア目的のために使用される。正常操作において、ＩＰＥ（「ＩＴＳＯプロダクトエンティティ；ＩＴＳＯ Ｐｒｏｄｕｃｔ Ｅｎｔｉｔｙ」―顧客メディアまたはスマートカード上に設定される「チケット」データのためのＩＴＳＯ用語）バランスが変更されるとき、１つのＶＲＤＧは現在のバランスのコピーを、そして他方は以前のバランスのコピーを含むために、ＰＯＳＴはＶＲＤＧを交互に更新する。アンチティア保護のためにシェルディレクトリの２つの入り口がある。「シェル」はいくつかのＩＰＥのものを含む「チケット財布」に相当するＩＴＳＯデータ構造である。現在の入り口は現在のＶＲＤＧを指し、以前の入り口は以前のバランスのコピーを備えたＶＲＤＧを指す。
【０００７】
上述の標準によって提案されている既存のＦＶＣ２セキュアメッセージングスキームは、顧客メディア（スマートカード）とＩＳＡＭ（ＩＴＳＯセキュアアプリケーションモジュール；ＩＴＳＯ Ｓｅｃｕｒｅ Ａｐｐｌｉｃａｔｉｏｎ Ｍｏｄｕｌｅ―ＰＯＳＴ中に挿入された信用コンピュータ）との間の相互認証をサポートしてセッションキーを生成する。セッションキーはスマートカードから読み取られるデータ及びスマートカードへ更新されるデータ上に、メッセージ認証証明（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｅｒｔｉｆｉｃａｔｅ（「ＭＡＣ」）（暗号で保護された１組のデータのハッシュであり、ＭＡＣがそのデータの完全性を保証する）を作成するために使用される。
セッションキーはセッションの進行の間は変化しない。スマートカードまたは顧客メディアＲＥＡＤコマンドのため、スマートカード（顧客メディア）は、顧客メディアによって戻されるデータを通してＭＡＣを計算し、そしてＩＳＡＭによって検査される。ＦＶＣ２顧客メディア内のファイルの選択および読み取りには、セキュリティ状態はない。
【０００８】
ＦＶＣ２顧客メディアのＵＰＤＡＴＥコマンドのため、内部で顧客メディアファイルが更新される前に、ＭＡＣはＩＳＡＭによってのみコマンドのデータを通して計算され、顧客メディアによって検査される。ＵＰＤＡＴＥコマンドデータに適用されるセキュアメッセージングに加えて、各ファイルはＵＰＤＡＴＥコマンドが完了する前に顧客メディアに送られなければならない一意のパスワードを持つ。パスワードは静的であるので、同じパスワードが各セッションにおいて適用される。
【０００９】
このスキームは、ＰＯＳＴにデータがいつ顧客メディア（スマートカード）から読み取られたのかを決定することを許可するが、しかし正しいファイルから読み取られたか否かを決定することはできない。新しいセッションの開始によって、そして従って新しいセッションキーが生成されることによってＰＯＳＴは顧客メディアへの更新が成功したか否かを決定することができるが、それが正しいファイルであったかを検査することはできない。
【００１０】
既存のＦＶＣ２顧客メディアインターフェースにおいて、ＭＡＣが正しいことを検査する以外、顧客メディア（スマートカード）はデータが正しく書き込まれたこと、または正しい更新のシーケンスが発生していたことをテストしない。
【００１１】
先の段落で説明された既存のＦＶＣ２スキームにおいて、セキュアメッセージングを備えても備え無くても、アタッカーは顧客メディア（スマートカード）からデータを読み取り、そして異なるファイルの顧客メディアにそれを書き戻し、そしてそのように異なるファイルを選択することによってデータが書き込まれるファイルをＰＯＳＴにより変更することが可能である。これら脆弱性につけこむことによって、アタッカーはＩＰＥプロダクトの複数のコピーを作成でき、またはＰＯＳＴによってプロダクトの更新検査で読み取られるために、顧客メディアの異なるファイルへ更新されたプロダクトをコピーすることができる。
【００１２】
これら攻撃はＰＯＳＴがＶＲＤＧ上のバランスを減分することを試みた場合に、ＶＲＤＧの変更を停止するためにＩＴＳＯアプリケーションの範囲内で使用される可能性があり、すなわちアタッカーは、顧客メディア上に更新されたＶＲＤＧが書き込まれた場合に位置を変化させ、ＰＯＳＴがデータを読み戻すときにこのデータを戻していた。たとえＰＯＳＴが新しいセッションキーを生成するために新しいセッションを開始しても、読み取られたデータが正しいファイルに記憶されたことを決定することはできない。同様に、攻撃は、次回のＣＭの使用時にＰＯＳＴに以前のＶＲＤＧのコピーを使用させる、更新されたＶＲＤＧを指すＩＴＳＯディレクトリへの更新を停止するためにも使用され得る。これは「リプレイアタック」の一形態として知られ、「底無し財布」となる。
【発明の開示】
【発明が解決しようとする課題】
【００１３】
このように既存のＩＴＳＯ仕様の現在のマイクロプロセッサバージョン（ＦＣＶ２）は、ＰＯＳＴとカード間のトランザクションのステップを再シーケンスすることを含む攻撃に対してスマートカードを保護していない。
【課題を解決するための手段】
【００１４】
この発明に従い、上述されたプログラム可能スマートカードデバイスは、オンデバイスファイルにおけるデータをアクセスおよび／または変更する際にオフラインアプリケーションによって実行される一連の操作をモニタし、及び一連の操作が所定の基準を満たさない場合、このようなデータへの更なるアクセスまたは変更を制限または予防するように操作可能なモニタリング手段を含むことに特徴付けられる。モニタリング手段は、複数のステートのうち１つ、少なくともそのうち１つはエラーステートである、に設定されることができるステートエンジンを含むことが好ましく、そのステートにおいては、一連の操作が再スタートされるまでいくつかのまたは全てのオンデバイスファイルにおける前記データへの更なる変更が防止される。
【００１５】
この発明はまた、前記オフデバイスＩＴＳＯアプリケーションが前記オンデバイスファイルシステムにおけるデータをアクセスおよび／または変更することを許可するために、インターフェースデバイスで少なくとも１つのオフデバイスアプリケーションとインターフェースすることをオンデバイスファイルシステムに可能にするファイルシステムとオペレーティングソフトウェアを有する少なくとも1つのプログラム可能なスマートカードデバイスを有するＩＴＳＯスマートカードスキームを提供できる。；前記システムは、
前記インターフェースデバイスと前記スマートカードデバイスの相互結合が、前記インターフェースデバイスに、前記プログラム可能スマートカードデバイスによって運ばれるデータをアクセスおよび／または変更するために実行される一連の操作の間、データおよび／またはコマンドの暗号化および／または復号化において使用されるセッションキーを生成させる。スキームは、
前記プログラム可能スマートカードデバイス上のデータを変更するための一連の操作の完了が、前記インターフェースデバイスに、新しいセッションを開き、第２のセッションキーを生成し、要求されたデータが意図された一連の操作に従って変更されていたことを検査するために前記第２のセッションキー使用することによって特徴付けられる。
【００１６】
顧客メディアに書き込まれたデータが正しい内容と宛先を持つことを保証するために、ＦＶＣ２顧客メディア（スマートカード）への更新をモニタリングすることによって、この発明の好ましい実施形態に従い、上述のＩＴＳＯスキームのセキュリティへの脅威は除去できる。ＦＶＣ２顧客メディアは、正しいパスワードとＭＡＣが与えられた場合にデータがいずれかのファイルに書き込まれることを単に許容するというよりむしろ、詳しく上述した攻撃を予防するルールを処理する動作を関連ＩＴＳＯアプリケーションに強制する。
このように、この発明は公共的に普及可能な電子財布として使用されるのに十分安全であるように増強されたＩＴＳＯ互換カード及び端末の実装を可能にする。
【発明を実施するための最良の形態】
【００１７】
この発明の実施形態は、この発明が実施されることができる手段よるステートマシンを表す概要ダイアグラムの図参照して、例示の方法によって詳細に説明される。
この発明はＩＴＳＯ値プロダクトの変更にのみ関係する。それは、顧客メディア定義―ＩＴＳＯパート１０、ＣＤ１０ ＩＴＳＯ ＴＳ１０００−１０ ２００３−１１において規定されている処理規則を基礎としている。この発明においてＦＶＣ２顧客メディアは、例えばスマートカードまたはそれに類するものであるが、以下の処理及びデータモニタリングチェックを通常処理の間に実現する。
【００１８】
状態１
状態１内で、ＦＶＣ２顧客メディアは入力更新コマンドをモニタし、もし以下のテストのいずれかが失敗したならば誤りへ状態を変化するであろう。
・ ＩＰＥ内のＶＲＤＧデータグループのうちの１つの唯一の更新が発生することをテスト。これは、アタッカーが複数の更新を作成できない、すなわちＶＲＤＧのオリジナルの内容を復元することを保証するであろう。ＩＰＥはディレクトリセクタチェーンテーブルまたは所有権を主張できるファイルにおいて存在しない、そこで顧客メディアによってモニタされないであろうから、両方のＶＲＤＧが顧客メディアに書き込まれた場合にＩＰＥの作成に、これは影響を与えない。
・ ＶＲＤＧのＩＳＡＭ ＩＤ及びＩＳＡＭＳ＃を検査することにより、更新されたＶＲＤＧが同じＩＰＥプロダクトであることをテスト。これはＶＲＤＧが別のＩＰＥプロダクトのための別のＶＲＤＧによって上書きされていないことを保証するためである。
・ 更新されたＶＲＤＧがＩＰＥ固定データグループ（ＦＲＤＧ）によって上書きされていないことをテスト。
・ ＶＲＤＧ更新のオフセットが０ｘ００００であることをテスト。
・ 更新されたＶＲＤＧにおける最高値シーケンス番号（ＴＳ＃）が他のＶＲＤＧにおける最高ＴＳ＃＋１と等しいことをテスト。この規則は正常動作及びアンチティア状況からの回復にとっては正しい。それは以前のＶＲＤＧのコピーが復元されていないことを保証し、ＶＲＤＧが他のＶＲＤＧのコピーを使用して上書きされていないことを保証するであろう。
・ ＶＲＤＧが記憶されるべきでない場合、ＶＲＤＧと共に他のファイルが更新されていないことをテスト。これは、どのファイルがＶＲＤＧまたは所有権を主張できるファイルから読み取られたデータまたは顧客メディア上のＶＲＤＧの位置を特定する要素を持つべきなのかを決定するための、ディレクトリセクタチェーンテーブルを翻訳することによって達成できる。これはアタッカーが検査テストをパスするために、一時的なＶＲＤＧのコピーを作成できないことを保証する。
・ 更新されたディレクトリはディレクトリのコピーのために予約された顧客メディア上の最後の２つのファイルのうち１つにのみ書き込まれることをテスト。これはアタッカーが検査テストをパスするために一時的なディレクトリのコピーを作成できないことを保証する。
・ 予約されたディレクトリファイルにおいて、ディレクトリのコピーのみが更新されていることをテスト。これはアタッカーがＩＰＥデータグループでディレクトリを破損できないことを保証する。
【００１９】
状態２
ＩＴＳＯスキームの正常処理範囲内で、唯一のディレクトリの更新が実行される。ディレクトリの更新は内部のＦＶＣ２顧客メディアステートを２に変更する。状態２内で、ＦＶＣ２はいかなるの他のコマンドにも成功して実行されることを許容しないであろう。
【００２０】
誤り状態
誤り状態内で、顧客メディアがリセットされるまで、ＦＶＣ２顧客メディアは、顧客メディアへのいかなる更なる更新も許可しないであろう。
【００２１】
さらに、既存のＩＴＳＯ ＦＶＣ２セキュアメッセージングスキームにおいて、ＦＶＣ２顧客メディアに書き込まれることを要求されたデータが実際に顧客メディアにおいて更新されたことをＰＯＳＴが確認することは、更新動作への応答はＦＶＣ２顧客メディアからのいかなるセキュアメッセージング検査データも含んでいないので、不可能である。更新操作への応答はアタッカーが生成できかつＰＯＳＴへ戻すことのできるステータスバイトを含むのみである。さらにＰＯＳＴは、ＦＶＣ２顧客メディアへ送られた更新コマンドが正しいファイルへ送られたか、または意図したファイルにおいて異なるオフセットを更新するために変更されたかを決定できない。既存のＦＶＣ２セキュアメッセージングスキームにおいて、アタッカーは値の減分を示しているファイルへの更新を停止し、セッションの開始時にファイルの以前の内容でファイルを更新すること、またはＦＶＣ２顧客メディア上の正しいファイルにおいて誤った位置へデータを書き込むことによってファイルを汚染することができた。後者の場合、アタッカーはＩＴＳＯプロダクトのコピーを汚染し、ＩＴＳＯアンチティアスキームの正常操作の一部として、ＩＴＳＯアプリケーションをＦＶＣ２顧客メディア上のＩＴＳＯプロダクトのより古いコピーへ復旧させている。
【００２２】
ＵＰＤＡＴＥコマンド後のデータを読み戻すことによって、ＰＯＳＴはデータがＦＶＣ２顧客メディアから読み取られたことの検査をするために、ＩＳＡＭを使用することができる。しかしながらＲＥＡＤとＵＰＤＡＴＥコマンドの両方はコマンドデータ上のＭＡＣを計算するだけであるため、同じオフセットの読み取りから戻るＭＡＣは対応するＵＰＤＡＴＥコマンドの範囲内に含まれる同じＭＡＣであり、そのためＰＯＳＴはデータが更新されたかまたは生成されたＭＡＣを単に受信したかを決定できない。
【００２３】
このことを克服するため、セッション内でＦＶＣ２顧客メディアの更新後スタートされる第２のセキュアセッションが提案される。この第２のセキュアメッセージングセッションは新たなセキュアメッセージングセッションキーを生成するであろう。データが正しいファイルと共に正しいオフセットに書き込まれたかを検査するために、ＰＯＳＴは、ＦＶＣ２顧客メディア上で更新されるために要求されるデータの読み取りを実行できる。ＰＯＳＴが全体のデータグループを更新していない場合、アタッカーがデータグループを破損または変更するためにデータグループの更新においてオフセットを変更していないことを保証するために、読み取り検査はデータグループの十分なデータ範囲を含むことを保証しなければならない。
【００２４】
このようにこの発明は、伝統的なあまり安全でない環境において操作されるＦＶＣ２顧客メディアが、公共に普及可能な電子財布スキームとして機能するために十分に安全な方法において利用されることを許可するために実装できる技術を提供する。
【図面の簡単な説明】
【００２５】
【図１】この発明が実施されることができる手段よるステートマシンを表す概略ダイアグラムの図である。
【特許請求の範囲】
【請求項１】
ＩＴＳＯスキームにおける使用のための、およびオフデバイスＩＴＳＯアプリケーションがオンデバイスファイルシステムにおけるデータをアクセスおよび／または変更することを許可するために、前記オンデバイスファイルシステムにと少なくとも１つのオフデバイスＩＴＳＯアプリケーションとインターフェースすることを可能にするファイルシステムとオペレーティングソフトウェアを運ぶためのプログラム可能スマートカードデバイスであって、
前記オンデバイスファイルにおけるデータをアクセスおよび／または変更する際に前記オフラインアプリケーションによって実行される一連の操作をモニタし、及び一連の操作が所定の基準を満たさない場合、このデータへの更なるアクセスまたは変更を制限または防止するように操作可能なモニタリング手段を含むことを特徴とする、
プログラム可能スマートカードデバイス。
【請求項２】
複数の状態のうち１つに設定されることができ、少なくともそのうち１つは誤り状態であり、前記誤り状態においては一連の操作が再スタートされるまで、いくつかのまたは全ての前記オンデバイスファイルにおける前記データへの更なる変更が防止される、ステートエンジンを前記モニタリング手段は含む、請求項１に記載のデバイス。
【請求項３】
前記ステートエンジンは、同一ＩＴＳＯプロダクトエンティティ内の値データグループのうち１つの２以上の更新が発生していたことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２に記載のプログラム可能スマートカードデバイス。
【請求項４】
前記ステートエンジンは、値データグループＩＳＡＭ ＩＤ及びＩＳＡＭ Ｓ＃の検査によって、更新された値データグループが前記正しいＩＴＳＯプロダクトエンティティに関連していないことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２または３に記載のデバイス。
【請求項５】
前記ステートエンジンは、前記ＩＴＳＯプロダクトエンティティに関連した固定データグループによって、前記更新された値データグループが上書きされていたことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から４のいずれかに記載のデバイス。
【請求項６】
前記ステートエンジンは、前記値データグループ更新のオフセットが０ｘ００００でないことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から５のいずれかに記載のデバイス。
【請求項７】
前記ステートエンジンは、前記更新された値データグループにおける最高値シーケンス番号が、前記同一ＩＴＳＯプロダクトエンティティに関連している他の値データグループの最高値シーケンス番号より１より大きいことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から６のいずれかに記載のデバイス。
【請求項８】
前記ステートエンジンは、ＶＲＤＧが記憶されるべきでないファイルへ値データグループが更新されていたことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から７のいずれかに記載のデバイス。
【請求項９】
前記ステートエンジンは、ディレクトリコピーのために予約された前記デバイス上の最後の２つのファイルのうち１つ以外のファイルに、更新されたディレクトリが書き込まれることを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から８のいずれかに記載のデバイス。
【請求項１０】
前記ステートエンジンは、予約されたディレクトリファイル以外のファイルにおいてディレクトリのコピーが更新されていたことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から９のいずれかに記載のデバイス。
【請求項１１】
オフデバイスＩＴＳＯアプリケーションがオンデバイスファイルシステム内のデータをアクセスおよび／または変更することを許可するために、前記オンデバイスファイルシステムがインターフェースデバイスで少なくとも１つのオフデバイスＩＴＳＯアプリケーションとインターフェースすることを可能にするファイルシステムとオペレーティングソフトウェアを運ぶ少なくとも１つのプログラム可能スマートカードデバイスを含み、前記ファイルシステムは、
前記インターフェースデバイスと前記スマートカードデバイスの相互結合が、前記インターフェースデバイスに、前記プログラム可能スマートカードデバイスによって運ばれるデータをアクセスおよび／または変更するために実行される一連の操作の間、データおよび／またはコマンドの暗号化／復合化において使用されるセッションキーを生成し、
前記プログラム可能スマートカードデバイス上のデータを変更するための一連の操作の完了が、前記インターフェースデバイスに、新しいセッションを開放し、第２のセッションキーを生成させ、要求されたデータが前記意図された一連の操作に従って変更されたことを検査するために前記第２のセッションキー使用することを特徴とする、
ＩＴＳＯスマートカードスキーム。
【請求項１２】
前記プログラム可能スマートカードデバイスは請求項１から１０の何れかに記載のデバイスである、請求項１１に記載のスキーム。
【請求項１】
ＩＴＳＯスキームにおける使用のための、およびオフデバイスＩＴＳＯアプリケーションがオンデバイスファイルシステムにおけるデータをアクセスおよび／または変更することを許可するために、前記オンデバイスファイルシステムにと少なくとも１つのオフデバイスＩＴＳＯアプリケーションとインターフェースすることを可能にするファイルシステムとオペレーティングソフトウェアを運ぶためのプログラム可能スマートカードデバイスであって、
前記オンデバイスファイルにおけるデータをアクセスおよび／または変更する際に前記オフラインアプリケーションによって実行される一連の操作をモニタし、及び一連の操作が所定の基準を満たさない場合、このデータへの更なるアクセスまたは変更を制限または防止するように操作可能なモニタリング手段を含むことを特徴とする、
プログラム可能スマートカードデバイス。
【請求項２】
複数の状態のうち１つに設定されることができ、少なくともそのうち１つは誤り状態であり、前記誤り状態においては一連の操作が再スタートされるまで、いくつかのまたは全ての前記オンデバイスファイルにおける前記データへの更なる変更が防止される、ステートエンジンを前記モニタリング手段は含む、請求項１に記載のデバイス。
【請求項３】
前記ステートエンジンは、同一ＩＴＳＯプロダクトエンティティ内の値データグループのうち１つの２以上の更新が発生していたことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２に記載のプログラム可能スマートカードデバイス。
【請求項４】
前記ステートエンジンは、値データグループＩＳＡＭ ＩＤ及びＩＳＡＭ Ｓ＃の検査によって、更新された値データグループが前記正しいＩＴＳＯプロダクトエンティティに関連していないことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２または３に記載のデバイス。
【請求項５】
前記ステートエンジンは、前記ＩＴＳＯプロダクトエンティティに関連した固定データグループによって、前記更新された値データグループが上書きされていたことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から４のいずれかに記載のデバイス。
【請求項６】
前記ステートエンジンは、前記値データグループ更新のオフセットが０ｘ００００でないことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から５のいずれかに記載のデバイス。
【請求項７】
前記ステートエンジンは、前記更新された値データグループにおける最高値シーケンス番号が、前記同一ＩＴＳＯプロダクトエンティティに関連している他の値データグループの最高値シーケンス番号より１より大きいことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から６のいずれかに記載のデバイス。
【請求項８】
前記ステートエンジンは、ＶＲＤＧが記憶されるべきでないファイルへ値データグループが更新されていたことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から７のいずれかに記載のデバイス。
【請求項９】
前記ステートエンジンは、ディレクトリコピーのために予約された前記デバイス上の最後の２つのファイルのうち１つ以外のファイルに、更新されたディレクトリが書き込まれることを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から８のいずれかに記載のデバイス。
【請求項１０】
前記ステートエンジンは、予約されたディレクトリファイル以外のファイルにおいてディレクトリのコピーが更新されていたことを前記モニタリング手段が決定するとき、前記誤り状態に設定される、請求項２から９のいずれかに記載のデバイス。
【請求項１１】
オフデバイスＩＴＳＯアプリケーションがオンデバイスファイルシステム内のデータをアクセスおよび／または変更することを許可するために、前記オンデバイスファイルシステムがインターフェースデバイスで少なくとも１つのオフデバイスＩＴＳＯアプリケーションとインターフェースすることを可能にするファイルシステムとオペレーティングソフトウェアを運ぶ少なくとも１つのプログラム可能スマートカードデバイスを含み、前記ファイルシステムは、
前記インターフェースデバイスと前記スマートカードデバイスの相互結合が、前記インターフェースデバイスに、前記プログラム可能スマートカードデバイスによって運ばれるデータをアクセスおよび／または変更するために実行される一連の操作の間、データおよび／またはコマンドの暗号化／復合化において使用されるセッションキーを生成し、
前記プログラム可能スマートカードデバイス上のデータを変更するための一連の操作の完了が、前記インターフェースデバイスに、新しいセッションを開放し、第２のセッションキーを生成させ、要求されたデータが前記意図された一連の操作に従って変更されたことを検査するために前記第２のセッションキー使用することを特徴とする、
ＩＴＳＯスマートカードスキーム。
【請求項１２】
前記プログラム可能スマートカードデバイスは請求項１から１０の何れかに記載のデバイスである、請求項１１に記載のスキーム。
【図１】
【公表番号】特表２００８−５４２９４１（Ｐ２００８−５４２９４１Ａ）
【公表日】平成２０年１１月２７日（２００８．１１．２７）
【国際特許分類】
【出願番号】特願２００８−５１５２８３（Ｐ２００８−５１５２８３）
【出願日】平成１８年６月６日（２００６．６．６）
【国際出願番号】ＰＣＴ／ＧＢ２００６／００２０７８
【国際公開番号】ＷＯ２００６／１３１７２９
【国際公開日】平成１８年１２月１４日（２００６．１２．１４）
【出願人】（５０７４０２８０８）エセブス・グループ・リミテッド (2)
【Ｆターム（参考）】
【公表日】平成２０年１１月２７日（２００８．１１．２７）
【国際特許分類】
【出願日】平成１８年６月６日（２００６．６．６）
【国際出願番号】ＰＣＴ／ＧＢ２００６／００２０７８
【国際公開番号】ＷＯ２００６／１３１７２９
【国際公開日】平成１８年１２月１４日（２００６．１２．１４）
【出願人】（５０７４０２８０８）エセブス・グループ・リミテッド (2)
【Ｆターム（参考）】
[ Back to top ]