JP2000503157A - メインファイルと補助ファイルとの間にリンク生成手段を備えたセキュリティモジュール - Google Patents

Abstract

(57)【要約】 メモリ内での同一データの複製を防止する手段を有し、複数のファイル間で共有される情報の一貫性を確保するとともに、メモリのファイルのツリー内の離れたディレクトリにある情報の探索を最適化するセキュリティモジュールを提供する。本発明によるセキュリティモジュールは下記の手段を含む。少なくとも一つのメインファイル（３０）と一つの補助ファイル（３１）との間にリンクを生成するために設けられたリンク生成手段。メインファイルは所定の内容（３３）をもち、ロケーションデータ（ＲＦＣ）によって記憶手段内の処理手段がアクセスできるように構成される。リンク生成手段は補助ファイル（３１）に前記ロケーションデータを関連づける。処理手段が補助ファイル（３１）へのアクセスを目的としたアクセス要求を実行するときに、前記ロケーションデータ（ＲＦＣ）を用いてメインファイル（３０）の前記内容（３３）を該処理手段の使用に供するために設けられた分岐手段。

Description

【発明の詳細な説明】 メインファイルと補助ファイルとの間に リンク生成手段を備えたセキュリティモジュール 本発明は、情報処理デバイスと協働するように構成されたセキュリティモジュ ールであって、情報を処理する手段と、複数のファイルを記憶する情報記憶手段 とを備えるセキュリティモジュールに関する。 「セキュリティモジュール」という用語は、通信又は情報ネットワークにおい て、ネットワークを監視する機関によって保有されるデバイスであり、暗号キー 等のネットワークの秘密の基本パラメータを保護された方法で記憶するためのデ バイスを指す従来の意味で、あるいはより単純に、ネットワークの様々なユーザ に付与され、各ユーザがネットワークにアクセスすることを可能にするとともに 、各ユーザが秘密のパラメータを保有することも可能にするデバイスを指すもの と解釈すべきである。セキュリティモジュールはチップカード型の携帯物の形を 取ることもできる。 本発明は特に超小型電子回路カードに関する。より一般的には、少なくとも一 つのマイクロプロセッサと、カードのオペレーティングシステムを格納する一つ のＲＯＭと、マイクロプロセッサによってプログラマブルな一つ又は複数の不揮 発性メモリとを有する集積回路を備えた携帯物に関する。これらの不揮発性メモ リはデータあるいはコードの記憶を可能にする。マイクロプロセッサは情報の転 送を制御するとともに、必要があれば、外部から受け取ったデータを記憶し、あ るいはデータを読み取って外部に転送する。これらの携帯物は一つ又は複数の通 信手段を有する。メモリはＥＰＲＯＭ、ＥＥＰＲＯＭ、ＦｅＲＡＭ、ＳＲＡＭあ るいはＦＬＡＳＨテクノロジーのものであることができる。 テクノロジーの発展により、プログラムを格納するＲＯＭの容量はますます大 きくなっている。従って、このプログラムの設計者はより多くの機能を盛り込む ことができる。これらの機能のうちのいくつかはプログラマブルメモリの構成に 直接関係している。容量が大きくなった、メモリは独立したファイルで階層的に 構成されており、この構成は特にＩＳＯ ７８１６−４規格で説明されている。 今日、カードは多様なアプリケーションに供することができる。そのために、 カードは多くの場合、例えばカードやアプリケーションやサービスと呼ばれてい る二つ又は三つの階層レベルを有する。各レベルにおいて、一つの同じ割当に関 係している情報はファイルにまとめられ、これらのファイルは二つの記憶レベル をもつ。即ち「ディレクトリ」と、各ディレクトリにおいて「データファイル」 に記憶される、同じ性質の情報とを有する。 複数のレベルで規定されるこのアーキテクチャは一般にカードのパーソナル化 の際に、即ちその使用の前に構築される。ただし、他のディレクトリ又は他のデ ータファイルを使用時に付け加えることが可能ではあるが、それは不揮発性プロ グラマブルメモリに残っているスペースに依存している。このメモリは容量が限 られているので、スペースをむだに使わないことが重要であるとともに、パーソ ナル化の際にディレクトリやデータファイルの良好な働きに必要かつ十分なスペ ースのみを規定することが重要である。 スペースをむだにしない効果的な対策は情報を複製しないことである。従って 、複数のディレクトリに有用な同じ情報がメ モリの複数の場所に同一方法で書き込まれることを避ける必要がある。残念なが ら、ディレクトリの階層化されたアーキテクチャは複数のディレクトリ間におい て同じデータファイルを共有することを妨げる。二つのディレクトリが同じ情報 を有する必要がある場合、現在、これらの同じ情報を内部にもつ二つのデータフ ァイルを生成せざるを得ない。本発明はデータファイルとディレクトリとの間の 階層化されたリンクを保ちながら、共通情報の複製を回避することによってこの 問題を解決する。 別の問題はメモリの複数の場所に存在しているファイルの更新問題である。即 ち、各場所に必要な変更を行わなければならない。この作業は時間がかかること に加えて、カードの動作の思いがけない中断によって混乱を受ける場合があり、 その結果、これらのファイルの更新が全体として不完全になる可能性が生じる。 即ち、いくつかのファイルは更新されたが、他のファイルは更新されていないと いう可能性が生じる。このような場合には、これらの全てのファイル間の一貫性 はもはや確保されない。 また、複数のレベルからなる構造はデータファイルあるいは低レベルのディレ クトリへのアクセス時間に不利な条件を与え 得る。実際のところ、下位レベルのディレクトリのデータに到達するためには、 多くの場合、上位レベルの全てのメインディレクトリを選択する必要がある。例 えば、ある一つのディレクトリから同じレベルの別のディレクトリに移るために は、ツリーを最初の共通ディレクトリまでさかのぼり、そして再び下がって行く 必要がある。しかも、中間のディレクトリを選択しながらである。この逐次選択 機構はやっかいであり、時間的にも不利である。 本発明はこれらの様々な問題を解決することを目的とする。即ち、同一データ のメモリでの複製を避ける手段を提供する。また、本発明は複数のファイル間で 共有される情報の一貫性を確保する。最後に、本発明はメモリのファイルのツリ ー内の離れたディレクトリにある情報の探索を最適化する。 そのために、本発明は下記手段を含む、本明細書の冒頭で言及した種類のセキ ュリティモジユールに関する。 −少なくとも一つのメインファイルと一つの補助ファイルとの間にリンクを生 成するように構成されたリンク生成手段。メインファイルは所定の内容を有し、 ロケーションデータによって記憶手段内の処理手段がアクセスできるようにされ る。リン ク生成手段は補助ファイルに前記ロケーションデータを関連付ける。 −処理手段が補助ファイルへのアクセスを目的としたアクセス要求を実行すると きに、前記ロケーションデータを用いてメインファイルの内容を該処理手段の使 用に供するために設けられた分岐手段。 本発明のその他の詳細及び利点は、添付の図を参照しながら、非限定的な例と して示されている好ましい実施形態についての以下の説明を読むことによって明 確になるであろう。 第１図は、カード内の複数の階層レベルのツリーを示す図である。 第２図は、カード内のディレクトリとデータファイルの典型的構成を示す図で ある。 第３図は、本発明で使用される二つの基本的カテゴリのファイルの詳細構造を 示す図である。 第４図は、本発明によるファイル生成手順の諸ステップについて詳述するフロ ーチャートである。 第５図は、情報処理デバイスと協働する、本発明に係るセキュリティモジュー ルの図である。 第５図に示されている情報処理デバイス５１は、ＲＯＭ５３及びＲＡＭ５４が 接続されているマイクロプロセッサ５２と、セキュリティモジュール５８と物理 的接触を介して、あるいは介さずに協働する手段５５と、情報処理デバイスが別 の類似のデバイスと直接的に、あるいは通信ネットワークを介して通信すること を可能にする伝送インターフェイス５７とを公知の方法で含む。 デバイス５１は、さらに、リムーバブルな、あるいは非リムーバブルなディス ケット又はディスク等の記憶手段や、（キーボード及び／又はマウスタイプのポ インティングデバイス等の）入力手段やディスプレイ手段を有することができる 。なお、これらの様々な手段は第５図に表されていない。 情報処理デバイスはプライベートな又は公共のサイトに設置されるあらゆる情 報処理機器によって構成可能である。これらの情報処理機器は情報を管理する、 又は各種の財貨あるいはサービスを供給する手段を提供するのに適した機器であ り、固定されて、あるいは移動可能に設置される。特に電気通信機器を挙げるこ とができる。 また、セキュリティモジュール５８は情報処理手段５９と、 不揮発性メモリ６０と、揮発性作業メモリＲＡＭ６４と、情報処理デバイスと協 働する手段６３とを含む。このモジュールは、メモリ６０において、シークレッ トゾーン６１とフリーゾーン６２を規定するために設けられる。シークレットゾ ーン６１では、情報は、一旦記録されたならば、モジュールの外部からはアクセ ス不可能であり、処理手段５９のみがアクセスできる。フリーゾーン６２は情報 の読み取り及び／又は書き込みのためにモジュールの外部からアクセス可能であ る。不揮発性メモリ６０の各ゾーンは変更不可能な部分ＲＯＭや変更可能な部分 ＥＰＲＯＭ、ＥＥＰＲＯＭ又は「フラッシュ」タイプのＲＡＭ、即ち、ＥＥＰＲ ＯＭの特徴と従来のＲＡＭのアクセス時間と同一のアクセス時間とを兼ね備えた ＲＡＭで構成される部分を含むことができる。 セキュリティモジュール５８としては、本願出願人の名義による米国特許Ｎｏ ．４．３８２．２７９に記載されている不揮発性オートプログラマブルメモリ付 マイクロプロセッサを特に使用することができる。この特許公報の第１段の１３ 行目から２５行に示されているように、メモリのオートプログラマブル性は、該 メモリ内に位置しているプログラムｆｉが、やはりこ のメモリ内に位置している別のプログラムｆｊをプログラムｇｊに変更し得るこ とを意味している。このオートプログラミングを実施するのに利用される手段は 情報処理手段５９の設計に用いられる技術に応じて変わるが、これらの処理手段 が前記特許に従って不揮発正メモリに結合するマイクロプロセッサで構成される 場合には、これらの手段が下記のものを含み得ることに留意されたい。 −メモリに結合する、データ及びアドレスバッファ記憶装置。 −メモリへの書き込みプログラム。このプログラムはメモリにロードされると ともに、一方においてメモリのプログラミング電圧の保持を、また他方において 書き込まれるべきデータとそれらのアドレスの保持を十分な期間可能にする命令 を含んでいる。ただし、この書き込みプログラムは論理回路を有する書き込みコ ントローラによって置き換えることができる。 変形形態では、セキュリティモジュール５８のマイクロプロセッサは半導体チ ップに埋め込まれた論理回路によって置き換え可能、又は少なくとも補完される 。実際のところ、このような回路はマイクロプログラムを備えたエレクトロニク スではなくワイアドエレクトロニクスによい、特に認証計算や署名計算 を行うのに適しており、特にＡＳＩＣ（特定用途向け集積回路：Application Sp ecific Integrated Circuit）タイプのものである。例えば、品番ＳＬＥ ４４ ３６で市販されているシーメンス社のコンポーネントや、品番ＳＴ １３３５で 市販されているＳＧＳ−トムソン社のものを挙げることができる。 有利には、セキュリティモジュール５８は単一チップ上でモノリシックな形に 設計される。 上述の不揮発性オートプログラマブルメモリ付マイクロプロセッサとは異なり 、セキュリティモジュールのセキュリティは、それが侵入可能なエンクロージャ 内に位置することによりもたらされる。 カードの不揮発性メモリはファイルで構成される。これらのファイルは、前述 したように、二つのタイプのものであることができる。即ちディレクトリと基本 データファイルである。各基本ファイルは一つのヘッダと情報を含んだ一つの本 体からなる。階層化レベルはヘッダにより示される。またヘッダは、ファイルの リファレンスや、カードのライフ状態又は段階、アクセス条件、サイズも示す。 一般に、ヘッダには本体に記憶され る情報の管理を可能にする情報の全てが含められる。現在、二つ又は三つのレベ ルが使用されている。第１図を参照すれば、一般に、上位レベルは「カード」と 呼ばれており、下位レベルは「アプリケーション」又は「サービス」と呼ばれて いる。もちろん、三つ以上のレベルを有するカードを想定することもできる。こ この例では、三つのレベルが記載されている。 例えば、一枚の同じカードはアプリケーションレベルのディレクトリによって 表される、銀行、市町村役場、医療書類、セルラー無線電話等の様々なアプリケ ーションに使用可能である。市町村関連のアプリケーションには、サービスレベ ルのディレクトリによって表される、公共交通料金の支払や、プールへの入場、 図書館への入館、駐車料金の支払等の部分がある。 第２図はカードのプログラマブルメモリにおけるファイル間の階層化されたリ ンクの例を示している。カードディレクトリは二つのアプリケーションディレク トリ１及び２と基本ファイルＣ１とを含む。アプリケーションディレクトリ１は 二つのサービスディレクトリＡ１−Ｓ１及びＡ１−Ｓ２と基本ファイルＡ１−１ とを含む。サービスディレクトリＡ１−Ｓ２は一つだけの基本データファイルＡ １Ｓ１−１を有する。アプリケーシ ョンディレクトリ２は二つのサービスディレクトリＡ２−Ｓ１及びＡ２−Ｓ２を 含む。サービスディレクトリＡ２−Ｓ１は二つの基本データファイルＡ２Ｓ１− １及びＡ２Ｓ１−２を含む。サービスディレクトリＡ２−Ｓ２は一つの基本デー タファイルＡ２Ｓ２−１を有する。これらの全てのファイルはカードの限られた メモリ内に無視できないスペースを占める。従って、メモリ占有を最適化するこ とが重要であるとともに、複数の異なる場所に同じ情報を複製することを避ける ことが重要である。 いくつかのケースでは、同じ情報が二つの異なるディレクトリによって使用さ れる。例えば、一枚のカードを所持する一個人の銀行取引先−所持人の名前及び 住所、銀行の名前及び連絡先、口座番号、クレジットについての情報などは、銀 行関連のアプリケーションに対応したディレクトリ内に含まれている一つの基本 ファイルに記憶可能である。例：第２図で説明されている、アプリケーションデ ィレクトリ１内の基本ファイルＡ１−１。 カードはシティカードとしても機能することができる。このアプリケーション はアプリケーションディレクトリ２によって管理され、特に公共交通料金の支払 や、市町村図書館への入館、 ある種の有料文化活動（劇、映画など）への入場を可能にする。これらのサービ スは階層的にアプリケーションディレクトリ２に依存している二つのサービスデ ィレクトリＡ２−Ｓ１及びＡ２−Ｓ２によって管理される。カードが支払手段と して、例えば公共交通の運賃を支払うために用いられる場合には、基本ファイル Ａ１−１に示されている取引先の銀行口座から金銭が直接引き落とされる。従っ て、アプリケーション１の基本ファイルＡ１−１の情報をアプリケーションディ レクトリ２のサービスディレクトリＡ２−Ｓ１からアクセス可能にする必要があ る。このアクセスは第２図において矢印で表されている。データを複製する解決 法ではこの必要性が満たされない。 別の例は秘密キーや機密コードに関する。それらの値は、階層的に依存しない 様々なディレクトリへのアクセスの際に同一であり得る。これは、１０２４ビッ トを超えるビットで記憶される（Ｒｉｖｅｓｔ、Ｓｈａｍｉｒ及びＡｄｌｅｍａ ｎが発明した）ＲＳＡタイプのキーが使用される場合には重要である。最後の例 は基本決裁ファイルに関する。これらの基本ファイルはキー又はコードの提示の 良否を記憶するのに役立つ。異なるキーに対応した複数の基本決裁ファイルをひ とまとめにするこ とはスペースの節約やセキュリティの向上を可能にする。 本発明を実施する方法は他のファイルの本体と一体となった本体をもつ「リン クファイル」と呼ばれるファイルを生成、管理することからなる。本発明は、複 数のファイル間において同じファイル本体の共有を可能にする。これは、ファイ ルのヘッダか、あるいはその本体に、データが実際に位置しているアドレスを示 すことによって実現される。 第３図に、二つのファイル、即ちターゲットファイル３０及びリンクファイル ３１が示されている。以下の説明は、これらのファイルがデータファイルである 場合、及びそれらがディレクトリを形成している場合に関する。これらのデイレ クトリは、データファイルに通じているサブディレクトリツリー及び／又はこれ らのディレクトリに直接結びついているデータファイルを含んでいる。「データ 」という用語は、非実行可能データ及び実行可能データ、更にはプログラムを総 称している。 ターゲットファイル３０は、この例では、ヘッダ３２と本体３３からなる二つ の部分で構成されている。ヘッダ３２は、既知の下記第一グループのパラメータ を含んでいる。即ち、 −ファイルがディレクトリであるかデータファイルであるか を示すタイプ。 −ファイルを含んでいるディレクトリ内の当該ファイルを指定する識別子。例 えば、名前又は番号である。 −全ユーザについて、この決定されたファイルへのアクセス権リストを与える アクセス条件。これらのアクセス条件は、例えばファイルが読み取り又は書き込 みにおいてアクセス可能であるか否かを明らかにする。これらの権利の交付は、 公知の方法によりキー又はパスワードの提示により可能である。 ヘッダ３２は本発明に特有の下記第二グルーブのパラメータを含んでいる。即 ち、 −二つの値を取ることができる＜リンク＞パラメータ。即ち、このファイルが リンクファイルであることを示す値１か、あるいはそれがリンクファイルでない ことを示す値０。ここでは、このパラメータは値０をもつ。 −二つの値を取ることができる＞リンク＜パラメータ。即ち、このファイルが ターゲットファイルであることを示す値１か、あるいはそれがターゲットファイ ルでないことを示す値０。ここでは、このパラメータは値１をもつ。 −二つの値を取ることができるＡ−リンクパラメータ。即ち、 このファイルがリンクファイルに関係付けられ得ることを示す値１か、あるいは それがリンクファイルに関係付けられないようにする値０。 −ユーザがこのファイルとリンクファイルとの間にリンクを作ることを望む場 合、ユーザが従うべき生成条件を規定するＣＡ−リンクパラメータ。これらの生 成条件は、例えばユーザが提示すべきキー又はパスワードを規定することができ る。 最後に、ヘッダ３２は、本体３３が格納されているＲＣメモリアドレスの２進 値をカードのマイクロプロセッサに示すＲＣリファレンスを含む。 変形形態では、本体３３は、メモリ内のヘッダ３２の直後に格納される。従っ て、ＲＣリファレンスの記述は必要ない。 また、ターゲットファイル３０が「ディレクトリ」タイプのものであるならば 、本体３３はデータファイルに通じているサブディレクトリツリー及び／又は本 体３３に直接関係付けられているデータファイルを含んでいる。 これと反対に、ターゲットファイル３０が「データファイル」タイプのもので あるならば、本体３３は読み取り又は変更のために直接アクセス可能な、あるい はカードのマイクロプロ セッサによって実行可能なデータセットを含んでいる。 変形形態として、ターゲットファイル３０の構成は第３図に示されている二つ の部分（ヘッダと本体）からなる構成とは異なっていてもよい。例えば、ヘッダ ３２のパラメータは本体の特定の場所に配置可能である。 リンクファイル３１については、このリンクファイルは、一つ部分のみを含む 。即ち、ターゲットファイル３０のヘッダ３２と同じ構造を有するヘッダのみを 含む。ただし、次の点で異なる内容を有する。 −リンクファイルの場合、ターゲットファイルとは異なり、Ａ−リンク及びＣ Ａ−リンクパラメータは後述の特殊なケースを除き一般に使用されない。 −さらに、リンクファイルに関係付けられている本体が存在する場合の該本体 に関するリファレンスではなく、ＲＦＣリファレンスは、該リンクファイルに関 係付けられているあるターゲットファイルのメモリにおけるロケーションを明示 する。この例では、それはターゲットファイル３０である。ＲＦＣリファレンス は、好ましくは「物理的」であり、前記ターゲットファイル３０が格納されてい るメモリアドレスの２進値から構成 されるか、あるいは変形形態として「論理的」であり、ターゲットファイル３０ にアクセス可能な一つ又は複数のディレクトリの識別子を示すアクセスルートに よって構成される。 カードメモリダイナミック管理の非常に特殊なケースでは、カードはメモリの 占有を最適化するためにマイクロプロセッサによって再構成できる。従って、フ ァイルの場所は変動し得るので、それらの位置アドレスも変動し得る。この場合 には、ターゲットファイルの論理的リファレンスのみが容易に使用可能である。 なぜならば、物理的アドレスは絶えず変化する可能性があるからである。上述の 例では、論理的リファレンスは次のようになる。［カード→アプリケーション１ →データファイルＡ１−１］。 従って、リンクファイルは本体を備えていないが、所定のターゲットファイル に関係付けられていることは明らかであり、ターゲットファイルの本体はこのよ うにしてリンクファイルの使用に供される。 特殊なケースでは、リンクファイル３１とは異なる第二のリンクファイルを、 ターゲットファイルに直接ではなく、例えばリンクファイル３１に関係付けるこ とができる。この場合、次 のようになる。 −第二のリンクファイルに含まれるリファレンスはリンクファイル３１のリフ ァレンスである。 −ＣＡ−リンクパラメータは、有利には、第二のリンクファイルの生成条件を 検査するために第一のリンクファイルのヘッダ内で使用される。 ユーザによるファイルの選択動作の際、マイクロプロセッサのプログラムはそ のヘッダを読み取り、その＜リンク＞パラメータをテストする。このパラメータ が０に等しいならば、動作は通常通りである。即ち、本体がこのヘッダに直接関 係付けられる。 もし＜リンク＞が１に等しいならば、ファイルはリンクファイルである。従っ て、プログラムはリンクファイルのヘッダに間接的に関係付けられている本体を 含むターゲットファイルのアドレス又はアクセスルートを示すリンクファイルの ＲＦＣリファレンスを読み取る。ターゲットファイルの本体の内容をユーザ又は マイクロプロセッサの使用に供する前に、プログラムはリンクファイル及びター ゲットファイルのそれぞれのヘッダを参照しながら下記検査を行う。 −リンクファイルの生成の際に、プログラムは識別されたターゲットファイル のタイプがリンクファイルのタイプと同一であることを検査する。同一でないな らば、リンクファイルへのアクセス手順は中断される。 −ターゲットファイルへの各アクセスの際に、プログラムは後述の手順に従っ てアクセス条件を検査する。 これらの検査を行った後、プログラムはリンクファイルの内容へのアクセス手 順を続行する。ターゲットファイルの本体のサイズが「ゼロバイト」であるなら ば、即ち本体が何も含んでいないならば、プログラムは中断され、カードはエラ ーメッセージを返す。そうでないならば、プログラムはこの本体に含まれている 情報をＲＣアドレスから探索する。再び第２図の例では、アプリケーション１の ディレクトリのファイルＡ１−１はターゲットファイルの形に生成されたものと 、更にサービスディレクトリＡ２−Ｓ１及びＡ２−Ｓ２のファイルＡ２Ｓ１−１ 、Ａ２Ｓ１−２、Ａ２Ｓ２−１はリンクファイルの形に生成されたものと仮定す る。従って、Ａ２Ｓ１−１等のリンクファイルの選択はターゲットファイルＡ１ −１の内容にアクセスすることになる。 ターゲットファイルのヘッダで規定されているこのターゲットファイルの本体 へのアクセス条件は、あらゆる場合において、リンクファイルとターゲットファ イルとの間のリンクの実行の際に満たす必要がある。いくつかの手順が可能であ る。最も単純な手順はターゲットファイルのヘッダ内に規定されているアクセス 条件に従うことである。即ち、リンクファイルを介したターゲットファイル内の 情報へのアクセスはターゲットファイルのアクセス条件が満たされている場合に のみ認められる。 別の手順はリンクファイルの生成の際にターゲットファイルのアクセス条件を 考慮することである。この場合には、リンクファイルのヘッダ内に書き込まれる アクセス条件が、該リンクファイルが関係付けられるターゲットファイルのアク セス条件の全てを含むことを確かめなければならない。 第三の手順はアクセス条件が２進値の形で表される場合に適用可能である。即 ち、二つのアクセス条件を重ね合わせることからなる。具体的には、このオペレ ーションは二つの値間において論理積（ＡＮＤ）を行うことによって実施可能で ある。リンクファイルを介したターゲットファイル内の情報へのアクセスは、タ ーゲットファイル及びリンクファイルのアクセス条件 が両方とも満たされている場合にのみ認められる。 上記の様々の手順から、アクセス検査レベルの目的は、あるファイルをより緩 いアクセス条件を有するファイルに関係付けることによって、ファイルのアクセ ス条件を回避する可能性を排除することであることは明らかである。当業者に知 られているその他の手順も、アクセスセキュリティを確保するのに使用可能であ る。 セキュリティに関する大きな改善は、ターゲットファイルのＡ−リンクパラメ ータを、該ファイルが別のファイルに関係付けられないようにするために使用す ることにある。このパラメータの値がターゲットファイルに関係付けられるリン クファイルの生成の際に「１」であるならば、オペレーションは正常に実行され 、ターゲットファイルの本体の内容はリンクファイルによってアクセス可能であ る。そうではなく、このフィールドの値が「０」であるならば、このターゲット ファイルは他のいかなるファイルにも関係付けられることができない。Ａ−リン クフィールドが「０」であるファイルを指定するリンクファイルの生成が試行さ れる際には、オペレーションは拒否され、カードはエラーメッセージを返す。 問題は消去の際に、即ちリンク／ターゲットファイルの削除の際に生じる。タ ーゲットファイルが消去されるならば、このターゲットファイルが有していた情 報へのリンクファイルによるアクセスはもはや可能でない。従って、このような 消去の影響はこのファイルを含んでいたディレクトリのみに限定されず、他のデ ィレクトリにも影響が及び得る。解決法は一つ又は複数のリンクファイルが関係 付けられているターゲットファイルの消去を禁止するか、あるいはカードのユー ザに、この消去後においては幾つかのファイルはもはや使用不能になることを警 告することからなる。従って、第一の方法は＞リンク＜値をテストすることから なる。この値が１であるならば、今消去しようとしているファイルはターゲット ファイルである。この場合、オペレーションは禁止されるか、あるいは警告付で 実行される。後者のケースでは、カードの操作端末は消去されたターゲットファ イルに関係付けられている全てのリンクファイルを消去しなければならない。 メモリの他の部分を乱すことなしにターゲットファイルを消去するためには、 従ってこのターゲットファイルに関係付けられている全てのリンクファイルを事 前に消去しなければならな い。最後のリンクファイルが消去されると、＞リンク＜インディケータは値「０ 」を取る。即ち、このターゲットファイルはもはやターゲットファイルではなく なる。従って、カードの不揮発性メモリ全体を毎回走査することなくリンクファ イル数を計数するには、単純な２進インディケータでは不十分である。解決法は ＞リンク＜パラメータの代わりにＣｐ−リンクカウンタを設けることからなる。 有利には、このカウンタは８ビットである。これは最高２５５のリンクファイル の存在を可能にする。この数は現在のアプリケーションには十分余裕があるよう に思われる。このカウンタはターゲットファイルのヘッダ内に組み込まれる。 ターゲットファイルの生成の際に、Ｃｐ−リンクカウンタは「００」にセット される。ターゲットファイルに関係付けられるリンクファイルを新たに生成する たびに、カウンタは増分される。また、ターゲットファイルに関係付けられてい るリンクファイルを消去するたびに、カウンタは減分される。有利には、このタ ーゲットファイルの選択の際に、カウンタの値を他のヘッダ情報とともに送出可 能である。従って、ユーザは選択したターゲットファイルに関係付けられている リンクファイル数を 知ることができる。 より巧妙な方法でターゲットファイルの消去問題を解決するためには、カード のプログラムはカード外部からアクティブ化可能なコマンドを備える。このコマ ンドとは、二つのファイルのそれぞれのステータスの交換、即ち「リンク」ステ ータスと「ターゲット」ステータスとの交換を可能にするコマンドである。従っ て、リンクファイルになったターゲットファイルは他のリンクファイルに影響を 与えることなく消去可能である。この場合、新しいターゲットファイルの内容は 古いターゲットファイルの内容から構成される。このオペレーションは、特に、 ファイル本体がヘッダから物理的に分離されている場合に容易である。セキュリ ティ上の理由から、このコマンドの実行は古いターゲットファイルのヘッダで規 定されているアクセス条件の検査と、場合によっては新しいターゲットファイル のディレクトリ内のＣＡ−リンクパラメータによって規定されているファイル間 リンク生成条件の検査を受ける。この交換コマンドの実行の際に、古いターゲッ トファイルのＣＰ−リンクカウンタの値は新しいターゲットファイルのＣＰ−リ ンクカウンタに記憶される。 第４図は、リンクファイルであるか否かを問わない、ファイルの生成方法を示 している。この方法は、本発明に特有の、リンクファイルに関する諸ステップの ほかに、公知の任意の種類のファイルの生成に関するいくつかのステップを含む 。ステップ１において、生成データを伴うファイル生成命令がカードによって受 信される。これらのデータが特に生成すべきファイルのタイプ及び識別子、なら びに、リンクファイルであるならば、それが関係付けられるターゲットファイル のＲＦＣリファレンス（第３図）を規定する。 次に、カードのオペレーティングシステムは、新しいファイルの生成が「カレ ントディレクトリ」とも呼ばれる現在のディレクトリにおいて可能であることを 検査する（ステップ２）。場合によっては、新しいファイルの生成は、カレント ディレクトリのヘッダのアクセス条件によって規定されているキーの適切な事前 の提示を受ける。次に、新しいファイルを格納するのに十分なメモリがカレント ディレクトリに残っていることを検査する（ステップ３）。これらのテストのう ちのどれかが否であるならば生成命令は中断され（ステップ１３）、カードは停 止理由に対応したメッセージを返す。 次に、オペレーティングシステムは、ファイルの生成が通常ファイルの生成で あるか、リンクファイルの生成であるかをテストする（ステップ４）。テストの 対象になり得る、通常ファイルとリンクファイルとの間の重要な相違は、生成デ ータにあるとともに、主にターゲットファイルのロケーションについての明確な 指示（物理又は論理アドレス）にある。リンクファイルでないならば、プログラ ムは後述のステップ１２に直接ジャンプする。リンクファイルであるならば、指 定されたターゲットファイルに対応した情報がステップ５において探索され、分 析される。次に、オペレーティングシステムは、指定されたターゲットファイル と生成すべきファイルとの間のリンクが可能であることを確認するためにいくつ かのテストを行う。 まず最初、ターゲットファイルが実際に存在していることを生成データを用い て検査する（ステップ６）。これらのデータがいかなるファイルにも対応してい ないならば、生成オペレーションは中断され、カードはエラーメッセージを返す （ステップ１３）。ステップ７において、見出されたターゲットファイルのＡ− リンクパラメータがテストされる。その値が「１」であるならば、オペレーショ ンは正常に実行される。その値が 「１」でないならば、ターゲットファイルはいかなる別のファイルにも関係付け られることができない。この場合、オペレーションは中断され、カードはエラー メッセージを返す。ステップ８において、オペレーティングシステムは、リンク ファイルの生成条件の下で規定されている、即ちターゲットファイルのＣＡ−リ ンクパラメータによって規定されている、キーが事前に提示されたかどうかチェ ックし得る。事前に提示されなかったならば、生成オペレーションは中断される 。 ステップ９において、カードのオペレーティングシステムはファイルタイプ及 び情報へのアクセス条件がコンパチブルであることを検査する。そのために、タ ーゲットファイルのタイプパラメータが、生成データに含められて伝送されたタ イプパラメータと比較される。例えばデータファイルとディレクトリとの間にリ ンクを生成すること、あるいは「公開」タイプのデータファイルと「秘密」タイ プのデータファイルとの間にリンクを生成することを目的とした生成命令の場合 におけるように、値が異なっている、又は少なくともコンパチブルでないならば 、そのときは、生成オペレーションが中断され、カードはエラーメッセージを返 す。このテストは任意である。なぜならば、別 の解決法は生成すべきリンクファイルについて受信されたデータを指定されたタ ーゲットファイルのデータと同じ値に強制的にセットすることを含むからである 。この場合、コンパチビリティは確保される。 行われるべき最後のテストはターゲットファイルに含まれている情報へのアク セス条件に関するものである（ステップ１０）。これは、より緩やかなアクセス 条件を有するリンクファイルによってターゲットファイルのアクセス条件が回避 されることを防止するためのものである。先に説明した諸手順のうちのひとつは 、ターゲットファイルのアクセス条件より制限の少ないアクセス条件を有するリ ンクファイルの生成を禁止することを含む。即ち、この場合、生成オペレーショ ンは中断され、カードはエラーメッセージを返す（ステップ１３）。別の手順は 、リンクファイルの緩すぎるアクセス条件が設けられた場合、それをターゲット ファイルのアクセス条件と少なくとも同程度の制限をもつアクセス条件に変更す ることを含む。この場合、ステップ１０のテストは、必要ならばコマンドで伝送 されたアクセス条件の変更を伴う計算オペレーションになる。 これらのテストステップが実行されたならば、リンクファイ ルの生成を開始することができる。ステップ１１において、ターゲットファイル のヘッダが更新される。これは主に＞リンク＜パラメータ又はＣｐ−リンクに関 する。＞リンク＜パラメータの場合には、プログラムはこのパラメータが「１」 という値を有していることを検査する。あるいは、「１」という値を有していな いならば、プログラムはこのパラメータをこの値にセットする。＞リンク＜パラ メータではなく、Ｃｐ−リンクカウンタの場合には、このカウンタは一単位だけ 増分される。 最後にステップ１２において、新しいファイルが実際に生成され、このファイ ルのヘッダパラメータの値が生成データから作業メモリにおいて決定される。こ れらの値は不揮発性プログラマブルメモリに書き込まれる。生成されるものがリ ンクファイルであるならば、ターゲットファイルのロケーションに関係付けられ るリファレンス（物理又は論理アドレス）が書き込まれる。これらの全てのステ ップが実行されたならば、カードは適正状態メッセージを返し、新たなファイル の生成の準備が完了する。 ターゲットファイルの生成ついては詳述しない。なぜならば、その生成の際、 該ファイルは従来のファイルと同様であるから である。即ち、従来のファイルがリンクファイルに関係付けられる時点において のみ、従来のファイルは実質的なターゲットファイルになる。 本発明の特に有利な、リンクディレクトリに関するアプリケーションは、電子 財布ディレクトリの支払を可能にするためにカードによって使用されるアプリケ ーションである。このディレクトリはキー、借方・貸方ゾーン、パスワード認証 ゾーンなどを含む基本ファイルを含む。このようなディレクトリは様々なアプリ ケーション（交通機関、レストラン、ショッピングセンター）で使用される。従 って、それらのアプリケーションの各々は電子財布ディレクトリに関係付けられ るリンクディレクトリを含む必要がある。この場合、この電子財布ディレクトリ がターゲットディレクトリになる。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 プレザ，アンヌ―フランス フランス国、エフ―78210・サン・シー ル・レコール、リユ・ドウ・リユニオン、 19

Claims (1)

1. 【特許請求の範囲】 １．情報処理デバイスと協働するように構成されており、情報を処理する手段と 、複数のファイルを記憶する情報記憶手段とを備えるセキュリティモジュールで あって、 −ロケーションデータ（ＲＦＣ）によって記憶手段内の処理手段にアクセスで きるように構成されており所定の内容（３３）を有する少なくとも一つのメイン ファイル（３０）と一つの補助ファイル（３１）との間にリンクを生成するため に設けられ、補助ファイル（３１）に前記ロケーションデータを関連づけるリン ク生成手段と、 −処理手段が補助ファイル（３１）へのアクセスを目的とするアクセス要求を 実行するときに、前記ロケーションデータ（ＲＦＣ）を用いてメインファイル（ ３０）の前記内容（３３）を該処理手段の使用に供するために設けられた分岐手 段とを含むことを特徴とするセキュリティモジュール。 ２．補助ファイル（３１）が、メインファイル（３０）のロケーションデータを 含んでいることを示す一つのパラメータ（＜リンク＞）を含んでいる請求の範囲 第１項に記載のセキュリテ ィモジュール。 ３．メインファイル（３０）は、そのロケーションデータ（ＲＦＣ）が少なくと も一つの補助ファイル（３１）に関連づけられていることを示す一つのパラメー タ（＞リンク＜）を含んでいる請求の範囲第１項に記載のセキュリティモジュー ル。 ４．前記パラメータ（＞リンク＜）が、メインファイル（３０）に関係付けれら れている補助ファイル（３１）の数をカウントするために設けられたカウンタ（ Ｃｐ−リンク）の値である請求の範囲第３項に記載のセキュリティモジュール。 ５．メインファイル（３０）が、補助ファイル（３１）へのアクセス要求の際に メインファイル（３０）の内容を使用に供することが許可されているか否かを示 す一つのパラメータ（Ａ−リンク）を含んでいる請求の範囲第１項に記載のセキ ュリティモジュール。 ６．メインファイル（３０）が、決定された補助ファイル（３１）とのリンクを 生成する際に処理手段が満たすベき生成条件を規定する一つのパラメータ（ＣＡ −リンク）を含んでいる請求の範囲第１項に記載のセキュリティモジュール。