JP6340367B2 - トランザクション処理の検証のための方法、システム、およびデバイス - Google Patents

Description

本発明は、例えば、支払いおよびオンラインバンキングのセッションで使用されるソースクライアント側の2要素認証を含むトランザクション処理の検証のための方法、システム、およびデバイスに関する。

コンピュータおよび携帯電話の使用は、今日のオンラインバンキングおよび商取引の場で一般的である。オンラインバンキングおよび商用トランザクションの概念は、POS端末やその他の端末の近くで行われる、またはウェブブラウザや類似のものを介して遠隔的に行われるセルフサービス・トランザクションを指す。

オンラインバンキングの分野では、この概念は、例えば、ラップトップコンピュータまたは携帯デバイスなどの任意のインターネット利用可能なデバイスにおいて行われるセルフサービスバンキングを含む。使用されるデバイスの種類に関係なく、オンラインバンキングは、例えばウェブブラウザ、アプリケーション、またはSMS等の異なるチャネルを介してアクセス可能である。

電子商取引の決済方法も同じ技術分野に含まれ、電子商取引の文脈で行われるカードトランザクション、またはクレジット転送として定義される。例えば、支払いカード(payment card)がオンライン購入による商品の決済に用いられる。

オンラインバンキングおよび決済アプリケーションにおける様々な技術的解決方法は、情報交換のセキュリティを高めることを試みようと様々な認証メカニズムを用意する。その一例は、ハードウェアトークンの使用であり、ハードウェアトークンとは要するに、ユーザに対して発行され、銀行により識別可能な既知の秘密を伴うキーフォブ、トークン、認証モジュール等のデバイスである。このようなハードウェアトークンは、ワンタイムパスワード(OTP)を生成し、これを追加の認証情報と組み合わせて用い、保護されるアプリケーションに対して向上したセキュリティレベルでセッションまたはアクションを開始する。

これは容易に使用でき、接続性を有さないよりシンプルな形態がモバイルアプリケーションに対して用いられ得るが、例えばクライアント上で動作する第3者ソフトウェアからのパスワードスニファーやセッションハイジャック攻撃などに関する深刻な脆弱性が存在する。その他の弱点は、異なるデバイス間の接続における違いであり、ドライバソフトウェアに関する制約を課す。

セキュアなブラウザは追加の安全性尺度である。セキュアなブラウザは、USB大容量記憶デバイスを介してアクセス可能である。そのようなユニットはコンピュータにインストールされる必要がなく、いくつかの異なるオペレーティングシステムとともに動作し得る。ホストコンピュータから分離している場合にセキュリティは強化されるが、コンピュータが危険にさらされ得る場合では脆弱となる可能性があり、これは同様にブラウザセッションも危険にさらす。欠点は、一旦アプリケーションが開始されると、インストールされたソフトウェアと同じセキュリティレベルのみを提供する点である。

いくつかのバンクソリューションは、オンライン銀行へのアクセスを許可するために、静的なパスワードの生成を頼りにしている。パスワードは、銀行によって発行されてよく、ユーザ選択パスワードは、例えば、社会保障番号や、銀行により発行された支払いカードに印字されたデータに基づく。これは、使用が容易であるという利点を有するが、本当のセキュリティレイヤを提供するものではなく、介入者攻撃(man-in-the-middle attack)に非常に脆弱である。

事前発行されたコードシートの使用も銀行アプリケーションでよく使用される。これは、銀行アプリケーションにアクセスするときに使用するために顧客に送られるコード付きの印字シートに対する総称として用いられる。使用が容易であり、作成も安価であるが、この方法は、より多くの不正使用、ならびにハードウェアトークンおよびOPT生成器と比べた混乱を招いてしまう。悪用およびコードシートの複製が起こらない保証はないため、セキュリティレベルは低いと考えられる。

モバイル端末では、ソフトウェアトークンが適合され得る。これは、ワンタイムパスワードを生成するハードウェアトークンと同じように機能する。この利点は、追加のハードウェアが必要ないことであるが、PCと同様のセキュリティの問題を抱える点で同様の弱点を抱えている。キーストロークが監視される可能性があり、変更されたソフトウェアまたはセッションが第3者に伝達されることがある。

電子商取引決済アプリケーションにおいて、従来の方法は、オンライン清算を行うときに、カードアカウント番号、有効期限日、および場合によってはCVVコード等のカードセキュリティを含む、カード表面に印字された番号を単純に読み取り、タイプすることで支払いカードデータを入力することである。業者(merchant)は、ゲートウェイを使用して、これらのデータを送信することができる。例えこれが使用のために非常に簡単な方法であったとしても、追加の認証は要求されず、ユーザは支払いを承認するためにカード上に印字された情報を利用することのみを必要とするため、わずかなセキュリティを提供するのみである。これは、カード不介在(Card Not Present, CNP)トランザクションと呼ばれる。CNPトランザクションは、現在、大部分のカード詐欺の原因となっている。

その他の電子商取引決済アプリケーションは、保存された支払いカードデータの使用に頼っており、そこでは清算実行時にユーザはセキュアなログインにリダレクトされる。通常、ユーザ名およびパスワードがトランザクションの継続のために要求され、場合によってはハードウェアトークンが要求され得る。サービスプロバイダは、ユーザに代わって支払いカード情報の維持を任される。ハードウェアトークンを用いると、簡便さは格段に減少し、誤入力が頻繁にサービスの拒絶を引き起こしてしまう。

本発明は、上記の問題に向けられるものであり、信頼されていないデバイスおよびホストコンピュータに、アカウント番号およびパスワードなどの個人のデータが漏れることに関する問題を解決するために、ならびに、セキュアな決済および、購入およびその他の関連するアプリケーションに関するセキュアな情報の取り扱いを可能にする信頼された環境を提供するために、方法およびデバイスが提供される。

方法を実施するためのシステムが提供される。本発明は、オンラインバンキング、電子商取引決済、およびカード承諾に関する問題点として生じる多くの課題を解決することが意図される。

本願発明の一実施形態は、ユーザ識別子のためのホストコンピュータに接続されたスマートカードおよびデバイスを備えるセキュアな環境を提供する認証処理において、スマートカードのユーザを認証するための方法であって、デバイスとバックエンドサービスプロバイダとの間のセキュアな通信トンネルを開始するステップであって、スマートカードは、バックエンドサービスプロバイダによって生成されるソルトを使用し、バックエンドサービスプロバイダに知られているスマートカードの識別子を生成し、デバイスはスマートカードのユーザのためのセキュアな環境を提供する、ステップと、認証のためのセキュアなチャネルを、任意のスマートカード、またはホストコンピュータへのユーザ入力情報に頼ることなく、バックエンドサービスプロバイダに提供するステップとを含む、方法を提供する。

決済産業におけるサービスプロバイダおよび独立した関係者の複合ネットワークを示す。 本発明に基づくインテリジェントな認証トークンのアークティクチャ全体を示すブロック図である。 本発明に基づくインテリジェントな認証トークンの異なる構成要素の詳細なブロック図である。 本発明の典型的なアプリケーション選択処理のフローチャートである。 本発明の典型的なログイン処理である。 本発明の典型的なトランザクション承認処理である。 デバイス、信頼されていないホストコンピュータ、ターミネーションポイント、およびアプリケーションリソース(銀行インフラストラクチャ)間の通信を保護するための処理のシーケンス図、メッセージフロー、および暗号化の詳細である。ログインアクションの形態が例示される。 クレジット転送を伴うオンライン小売業者からの購入に用いられる本発明のシステムの簡略的な概要図である。 VISA転送を伴うオンライン小売業者からの購入に用いられる本発明のシステムの簡略的な概要図である。 （直接的な）オンラインバンキング環境へのログインに使用される本発明のシステムの簡略的な概要図である。 (第3者を介した)オンラインバンキング環境へのログインに使用される本発明のシステムの簡略的な概要図である。 デバイス所有者(1つのデバイス)に対するカードを用いた決済のために使用される本発明のシステムの簡略的な概要図である。 デバイス所有者(2つのデバイス)に対するカードを用いた決済のために使用される本発明のシステムの簡略的な概要図である。 接触支払いカードを非接触カードにするために使用される本発明のシステムの簡略的な概要図である。

本発明およびその構成要素は本明細書の実施形態の説明および図面において実施形態の例示として単に示され、様々な形態および構成で設計が可能であることは、理解されるであろう。図面および実施形態は、請求される本発明の保護範囲を限定する意図はなく、単に選択された本発明の実施形態を示す。

本発明は、多くの異なる構成で使用されるように適合されてよく、可能な1つの応用またはそのような応用の組み合わせを用いる以下で説明される特定の実施形態のように、任意の数の応用のいかなる組合せも本発明によるように適合され得ることが理解される。

本明細書において「本発明」という語句が使用される場合、この語句は、説明される機能の様々な態様を含む発明を指し示し、また問題となっている特定の実施形態において全ての機能が実施されない場合も含まれると理解されるべきである。

本明細書においてホストコンピュータという語句が使用される場合、例えば、PC、タブレット、スマートフォン、ネットワーク接続を有するカスタムデバイス、およびその他等である本発明のデバイスおよび銀行インフラストラクチャ間のネットワーク接続のためのホストとして使用され得る任意のデバイスにおよぶ。

本明細書において、銀行インフラストラクチャという語句が使用される場合、銀行、支払いカード発行者、ロイヤリティカードプログラムの所有者、または任意の第3者オペレータ等によって提供されるサーバまたはサービスにおよぶ。それらは、本発明によって可能となるサービスのユーザ認証を処理するとともに、本発明によって可能となるサービスを使用または提供する関係者間での情報の交換を処理する。

本明細書で、カード、支払いカード、スマートカード、および非接触カードという言葉は、ユーザを認証するため、および個々のユーザが資格を持つサービスを定めるための、銀行またはクレジットカード会社によって用いられるマイクロチップを用いたカードまたはスマートカードを定義するため、およびユーザ／メンバーに対して発行されるロイヤリティプログラム等のものを定義するために使用される。

本発明は、多くの組み込まれた機能を有するマイクロコントローラ100と、キーベースおよび／またはタッチスクリーンベースのキーボード等の任意の形態のキーパッド210を備えるヒューマンインターフェイスデバイス(HID)ユニットと、選択的にe-インクディスプレイおよび／または従来のディスプレイ等であるフィードバック出力デバイス220とを備えるハードウェアデバイスである。さらにこのデバイスは、周辺接続入力デバイス240，241，242と、1または2以上の記憶ユニット250と、1または2以上の通信ポート260を備える。さらに、本発明は、リアルタイムクロック310、バッテリ320、バッテリ充電ユニット330を選択的に備える電力管理ユニットを備える。充電ユニット330は、通信ポート260の1つと接続可能な入力線を介して電力が供給され得る。

本発明の様々な構成要素が図2に示される。マイクロコントローラ100は、通信バスを介して、1または2以上の近距離通信(NFC)ユニット240、EMVリーダユニット241、および選択的に埋め込まれるスマートカードデバイス242として図において例示される入力デバイスユニットと接続される。マイクロコントローラは、入力のためのタッチスクリーン210、および情報の出力のためのデジタルディスプレイ220にさらに接続される。マイクロコントローラ100は、電力管理ユニット300に接続される

フラッシュメモリモジュール250は、通信バスを介してマイクロコントローラ100に選択的に接続される。

USBバス400は、マイクロコントローラ100、電力管理ユニット、およびホストデバイスまたはホストコンピュータに接続する。

選択的なフラッシュメモリ250は、記憶装置の暗号化、アクセス制御、管理を処理するMCUに接続される。

図3に示されるインテリジェントな認証トークンの詳細な内容を参照すると、マイクロコントローラ100は、プロセッサ110、ROM120、RAM130、および暗号化プロセッサ140を備える。内部接続ネットワーク160機能は、これら4つのモジュールを接続する。内部接続ネットワーク160は、デジタルI/O180モジュールに接続され、次にアナログI/O170モジュールに接続される。デジタルI/O180モジュールは、1または2以上のUART(Universal Asynchronous Receiver/Transmitter)181、SDIO(Secured Digital I/O)182、USB(Universal Serial Bus)183、およびSPI(Serial Peripheral interface)184である多数の選択的な出力ポートに接続される。図3は、マイクロコントローラ100のアナログI/Oポート170に直接的に接続される、キーについての分離入力、入力キー211モジュールを示すことで、入力デバイスのより詳細をさらに示す。この図は、同じアナログI/Oポート170に接続される侵入検出230モジュールも示す。

本発明の実施形態は、この図で示された全モジュールまたは任意のモジュールの1以上を含み得る。いくつかの実施形態は、本発明の代替的な態様において任意の数のモジュールを省略することもできるし、また適宜省略された機能を解決する第3者デバイスに接続してもよい。

以下の説明では、銀行インフラストラクチャという語句が使用される。銀行インフラストラクチャは、カードアカウントが存在するいずれかの銀行、またはトランザクションを処理し、発行銀行(issuing bank)およびカード処理銀行(merchant bank)の間で金銭的解決を完了する取得者(Acquirer)を識別するために使用される。

本発明のデバイスの実施形態によるアプリケーションを選択する典型的なセッションが図4に示される。ユーザは、ケーブルまたは非接触接続のいずれかにより、サポートされるホストコンピュータにデバイスを接続する401。デバイスがスリープまたはシャットダウンしている場合は、デバイスをホストに接続することで、デバイスはスリープ解除が行われる、または起動される。

デバイスが、自身のカードリーダ242、241および／または240のうちの1つに既に存在する402カードを登録していない場合、ユーザは、サポートされる支払いカードを挿入するように促される403。デバイスがスリープである場合、タイマーがスリープモードについて終了した後に、カードがカードスロット241，240に挿入されたとき、または解除ボタンがアクティベートしたとき405、デバイスではスリープ解除が行われる。

デバイスがホストデバイス／コンピュータに接続され、支払いカードが、カードリーダデバイス242、241、または240内に存在することが登録されると、デバイスは、ホストデバイス／コンピュータにネイティブアプリケーション408を起動させるUSB記憶インターフェイスを提供する。

アプリケーション408がホスト上にロードされ、実行されると、ユーザは、ホストおよび／またはデバイスにおいて提示されるメニューからアクションを選択することができる409。ユーザは、銀行インフラストラクチャにログインすることを選択することができる501。ログイン処理は、図5で詳細に説明される。

ユーザが銀行サービスにログインすることを選択する501とき、デバイスは、通常カード発行者である特定の銀行を定めるカードデータおよび識別パラメータ、ならびに言語選択等のその他のメタデータを読み取る502。

デバイスは、カードおよび／または銀行がデバイスによってサポートされるか否かをチェックする503。銀行またはカードがサポートされない場合、エラーメッセージが表示される505。カードおよび／または銀行がサポートされる場合、デバイスおよび識別された銀行間の暗号化されたセキュアな通信チャネル、暗号化されたトンネルが、デバイスによって開始され、セットアップされる504。例えば、インターネット接続である、ホストネットワーク接続がこれを補助するために使用される。

暗号化されたトンネルがセットアップされるとき、銀行インフラストラクチャシステムのハードウェア・セキュリティ・モジュール(HSM)は、予測できない番号、ソルトを生成し、これがデバイスに送信される506。ホストは、ユーザにPINコードをデバイスに入力する507ように指示するメッセージを表示する。これは、例えば、10桁のパネル、キーボタンパネル、またはその他を提供するタッチスクリーン機能等である入力手段を提供するデバイスによって達成される。ユーザは、カードの正しいユーザを識別する事前に定められたPINコードを入力するためにこれを操作する。

現在のトランザクションを認証する次のステップは、デバイスがソルトを使用し、CAPまたは銀行インフラストラクチャの仕様に基づきEMVトランザクションを実行する508ことである。これは、カード情報、PIN、その他のデバイス特有の生成された不変および可変パラメータを含み得る。

デバイスおよび銀行インフラストラクチャ間の通信は、銀行インフラストラクチャがCAP圧縮認証(CAP compressed authentication)を要求するか否か509を明らかにする。CAP圧縮認証が銀行インフラストラクチャによって要求される場合、デバイスは、カードに保存されたCAPビットマスクを使用し、指示されたビットの抽出を行い、計算結果文字列を計算する511。CAP圧縮認証が要求されない場合、デバイスはいかなる圧縮も行わずカードアカウントを識別する計算結果文字列を単純に計算する510。

カードアカウントおよびユーザを識別し認証する計算結果文字列は、暗号化されたトンネルを介して銀行インフラストラクチャに送り返される512。

デバイスからの計算結果文字列の受信に際して、銀行インフラストラクチャは、銀行にとって既知のデータを用いてEMV/CAPトランザクションの対応する計算を行い513、その後、結果が同じ計算結果文字列と比較される514。

比較が異なる結果を明らかにした場合、エラー状態がデバイスに伝達され、代わりにエラーメッセージがユーザに表示される515。そうではなく文字列が一致した場合は、セッションが、保護され選択されたアプリケーションに対して割り当てられる。

図6は、買い物カゴが決済処理に持って行かれるオンラインショップ等でのホストアプリケーション、または単純にアカウント間の銀行トランザクションにおいて要求される資金(funds)のトランザクションを、ユーザが署名したい場合の手順を示す。ユーザは、トランザクションを署名するためのアプリケーションを選択する601。新たな暗号化されたトンネルが開始および生成し602、これは、動作するホストアプリケーションからトランザクションの詳細を、トランザクションの詳細を検証するための銀行インフラストラクチャに送信することを含む。

銀行インフラストラクチャは、ソルトおよびトランザクション詳細パラメータをデバイスに提供および伝達する603。トランザクションの詳細は、ユーザに表示される604。ユーザは、その後、PINコードを入力することでトランザクションを検証するように求められ605、続いてデバイスはEMVカード上で「Generate AC」を発行する606。ACの生成は、銀行インフラストラクチャによって生成された603ソルトの使用を含む。その後、デバイスは、EMVから認証要求暗号文(Authorization Request Cryptogram, ARQC)を受信する607。

受信されたARQCは、少しのEMV特定パラメータにのみ基づくので、デバイスは、セキュリティおよび認証を強化するために、データ量、発信元IDやその他の追加のトランザクションパラメータとともにARQCを、暗号化アルゴリズムを使用して包み、第2のARQC'を生成する608。

新たなARQC'は、その後、銀行インフラストラクチャに送信され、そこで対応するARQC'の生成が実行される。その後、銀行インフラストラクチャは、受信したARQC'と生成したARQC'とを比較する610。

比較が相違を明らかにすると、動作は失敗し、エラーメッセージがユーザに送信される611か、またはユーザは特定の情報ページに向けられる。そうではなく、ARQCが受け入れられると、トランザクションが指定されたように実行される612。

図７のタイムラインダイヤグラムは、ユーザ、EMVカード等のカード、本発明のデバイス、ホストオペレーティングシステム(OS)、セキュアなブラウザ、デバイスターミネーションサーバ、およびカード発行者等の銀行インフラストラクチャの間の情報の流れを例示する。デバイスターミネーションサーバは、信頼された第3者によって取り扱われてよく、銀行インフラストラクチャ自体に含まれ得る。さらに、例示および図は異なるシナリオを説明する。ここでは、デバイスとデバイスターミネーションサーバおよび／または銀行インフラストラクチャとの間の情報の流れは、セキュアなブラウザの機能を提供するデバイスからUSBサーバアプリケーションをダウンロードおよび実行するホストによって安全が確保される。このダウンロードは、ユーザがカード発行者からのEMVカード等の正当なカードをデバイスに提示すると、促進される。デバイスとデバイスターミネーションサーバおよび／または銀行インフラストラクチャとの間の全ての通信は、USBサーバアプリケーションによって提供される暗号化されたトンネルを介して送信される。USBサーバアプリケーションは、物理的にホストデバイス上で動作しているので、ホストディスプレイユニットおよびキーボード入力を介してユーザインタラクションを表示および実行する選択肢があってもよい。

デバイスターミネーションサーバおよび／または銀行インフラストラクチャが、暗号化されたトンネルの開始に応答するとき、ユーザ／カードに対して利用可能なアクションのリストを加えてもよい。デバイスは、利用可能なアクションの全てまたは選択を、ユーザが選択可能なサービスとしてユーザに提示する。その後ユーザは、どのサービスを使用するかを選択する。

ユーザがサービスの選択を決めるとき、デバイスは、銀行インフラストラクチャにこの選択を伝達し、同時にアプリケーション選択要求を送信することで、EMVカード等のカードと通信を開始する。

デバイスターミネーションサーバおよび／または銀行インフラストラクチャは、予測できない番号、ソルトを生成することによってログイン要求を応答し、これをデバイスに送信する。

デバイスは、個人のPINコードをユーザに促す。個人のPINコードは、ユーザに入力されたときに、Gen ACコマンドにおいてカードに送信される。このコマンドは、デバイスターミネーションサーバおよび／または銀行インフラストラクチャからのソルトとユーザからのPINを含む。

カードは、デバイスによってデバイスターミネーションサーバおよび／または銀行インフラストラクチャに転送されるカード生成ARQCを用いて応答する。デバイスターミネーションサーバおよび／または銀行インフラストラクチャは、自身の側で同じARCQ生成を実行することになっており、カードから受信したARQCと比較する。この比較は、正しいカードおよびPINが提示されたか否かを示す。

認証された所有者が、カードを使用している(カードを有し、かつPINを知っている)場合、正当なセッションが、選択され保護されるアプリケーションに対して割当てられ、セキュアなセッションが確立される。比較が失敗した場合、エラーメッセージがデバイスに送信され、デバイスはこれをユーザに中継しうる。

この処理では、いくつかのシナリオが用いられ得る。1つは、ホストコンピュータ上でユーザが記入するウェブベースフォームを銀行が送信することである。準備ができたとき、フォームは、デバイスに送信される。デバイスは、フォームに埋められた情報を提示し、そのフォームが拒絶されるべきか、署名されるべきかを、PINのタイピング入力を含み得るEMVチップの使用によりユーザに選択させる。署名されたフォームは、その後銀行インフラストラクチャに送信され、銀行インフラストラクチャは、その後この署名を検証することができる。ホストコンピュータが感染している場合、フォームの内容が変更され、ユーザは、デバイス上に提示されたフォームが、ユーザがホストコンピュータ上でタイプしたものと一致しないことを確かめることができ、そのとき、署名の拒絶を選択することができる。

ユーザは、代替的にデバイス上でウェブベースのフォームを記入し、それを銀行インフラストラクチャに送信してもよい。フォームは、ホストコンピュータ上で表示されるが、ユーザはデバイス上のHIDを介するフォームに情報を入力するように仕向けられる。全ての文字について、ユーザは、デバイス上で入力を行い、シンボルがホストコンピュータ上の対応する領域に表示される。一方で、ホストコンピュータに値は送信されず、この値は一時的にデバイス上の記憶装置に置かれ、ユーザがホストコンピュータ上のブラウザでフォームを提出することを要求する場合に、従来の表示されるシンボルに代わって値が正しい領域に加えられる。フォームが提出されたとき、暗号化されたトンネルに含まれるようにデバイスへ送信されることが要求される。銀行インフラストラクチャは、デバイスターミネーションと連絡を取ることができ、デバイスターミネーションサーバは、デバイスと再び通信する。デバイスは、銀行の要求された署名のフォームを提示する。ユーザは、EMVカードを使用してフォームを拒絶または署名を選択することができ、そのカードに対するPINの入力を促される。署名または拒絶されたフォームは、その後デバイスターミネーションサーバを介して銀行インフラストラクチャに送り返される。

代替的には、ユーザは、発行者からウェブベースフォームを提示される。このフォームは、記入された後に検証のためのデバイス上で提示される。その後、ユーザは、EMVカードを使用して拒絶または署名を選択し、PINを入力することを促される。

デバイスは、以下の設定のもとで認証を実行するために使用され得る。
・デバイスベンダのデバイスベンダパートナによって認証される基板セキュア素子(board secure element)を使用すること。
・支払いカードの発行銀行によって検証される、デバイスに接続される支払いカードを用いること。発行銀行は、デバイスについての知識を有していなければならない。通常、銀行に対する認証に用いられる。
・支払いカードスキームを介して発行銀行によって検証される、デバイスに接続される支払いカードを使用すること。発行銀行はスキームに接続される任意の銀行であり得る。通常、カード決済に用いられる。

図8Aは、クレジット転送を伴うオンライン小売業者からの購入の方法及びシステムを例示する。ここでは、ユーザは、「ホストコンピュータ」を使用してオンライン小売業者から商品を購入することを望む。ユーザが清算について準備ができたとき、ユーザは、銀行によって発行された自身の支払いカードを用いて決済することを選択する。銀行インフラストラクチャへの接続が以下の図9または10での同様の方法で開始される。しかし、銀行インフラストラクチャによって提供されるオンラインバンク環境上でセッションを署名および開始することの代わりに、ユーザは、ユーザが実行したい特定のトランザクションについて署名をする相違がある。量および受信者がデバイス上に表示され、ユーザはデバイス上で自身のPIN番号を入力することにより確認を行う。デバイスは、より多くのトランザクションデータを、カード上で実行される暗号化動作のための入力ブロックとしてのキーおよび追加のデータとして使用することにより、より多くのトランザクションデータをARCQに追加する。銀行インフラストラクチャは、ARQC、トランザクションデータ、カードの全ての正当性を立証でき、これにより、カードおよびPINによって署名されるように所与のトランザクションについてユーザを認証することができる。トランザクションが検証された後、メッセージは業者(図の中のwarehouse.net)に送り返され、商品には発送許可が与えられる。ユーザはカードを用いて支払うが、カードの支払スキームを使用しない。全ての接続は銀行インフラストラクチャと直接的に実行される。

図9は、(直接的に)オンラインバンキング環境にログインする方法およびシステムであり、ここではユーザが銀行によって提供されるオンラインバンク環境にログインすることを希望する。ユーザは、銀行によって発行された自身の支払いカードを銀行に発行された本発明のデバイスに挿入する。その後、デバイスは、パソコンまたはその他のデバイスであり得るホストに接続される。選択的にデバイスは、ホストコンピュータに接続されると、初期化段階でホストコンピュータにソフトウェアをロードすることができる。このソフトウェアは、発行銀行インフラストラクチャへのセキュアな接続のためのトンネルを開始する。この接続は、デバイス上に内部で保存された事前保存キーを使用する暗号化によって、安全が確保される。銀行インフラストラクチャは、全ての発行されたユニットに対するマッチングキーを伴うハードウェアセキュリティモジュール(HSM)を有しており、その後、このトンネルを終了させるとともに、デバイスから来るデータを暗号化する。

銀行インフラストラクチャへのセキュアなトンネルが確立されるとき、デバイスは「ホストコンピュータ」上で動作するソフトウェアにコマンドを送信し、デバイスによって作成されたセキュアなトンネルを介して銀行インフラストラクチャと通信をするセキュアなブラウザを立ち上げる。銀行システムにおけるリソースに対するセキュアなブラウザによる要求は、第1に、デバイスとの接続を介して伝達し、その後、デバイスよって暗号化されたトンネルを介して中継され、（ここで通信が暗号化されるという相違を伴い）ホストコンピュータへの接続を介して、インターネットへ戻され、銀行インフラストラクチャにおける目的地に最終的に到達する。デバイスは、予測できない番号およびソルトを銀行インフラストラクチャから受信する。この番号は、ユーザが挿入したカード上でCAPまたはEMVトランザクションを実行するために使用される。ユーザは、自身のPINを尋ねられる。認証要求暗号文(ARQC)はカードによって生成され、トンネルを介して銀行インフラストラクチャに送信される。その後、銀行インフラストラクチャは、ARQCの正当性を立証し、カードが本物であること、データがスキミングされたカードからコピーされたものでないこと、およびPINが正しく入力されたことを保証することができる。この処理が成功すると、ユーザはオンライン銀行にログインできる。ログイン処理が不成功の場合、通信の試みはエラー状態になる。

図10は、オンラインバンキング環境へログインするユーザの方法およびシステムを説明し、ここでは第3者がキーマネージャとして挙動する。これは、キーマネージャを除き図9で説明されたように動作する。銀行が、本発明の発行されるデバイスに対するキーを管理しなければならないことを望まない場合、この責任は、1つの暗号化されたトンネルを通るデバイスから銀行への接続を統合する信頼された第3者に渡され得る。

図11は、カード保持者が自身のカードによりデバイスの所有者(1つのデバイス)に支払いたい場合の方法およびシステムを示す。銀行からカードおよびデバイスを発行されたユーザ(図では業者および受信者として識別される)は、カード保持者(図では顧客または送信者として識別される)からの支払いを受信することを希望する。業者は、自身の「ホストデバイス／コンピュータ」においてトランザクションを準備する。顧客は、自身の支払いカードを業者の銀行によって発行されたデバイスに挿入し、通常のカードトランザクションが実行される。例えば、デバイスは、顧客が有するカードの種類を受け入れる支払いカードスキームに接続される取得銀行のエンドポイントへのセキュアなトンネルを確立する。オンラインEMVトランザクションが実行される。カード保持者は、デバイスのスクリーン上にPINを入力するか、トランザクションに署名することを促される。発行銀行は、トランザクションを受け入れる。発行および取得銀行は、所定の時間後に、それらの間の全ての統合されたトランザクションを検証し、確定させる。

図12は、カード保持者が自身のカードを用いてデバイス所有者に対して支払いすることができる方法およびシステムを示し、ここでは両者が本発明のデバイスをそれぞれ用いる。これは、カード保持者の検証に関する相違を伴い、図11で説明されたように動作する。カード保持者が、それぞれの互換性のあるデバイスを有する場合、彼らは自身のデバイスに自身のカードを挿入し、自身の個人デバイス上にPINを入力し得る。2つのデバイスは、業者が決済のために自身のデバイスを準備した後、共にデバイスをやさしくタップすることにより確立される非接触リンクを介して、通信する。カード保持者は、業者の名前、その他の支払いの詳細を検証し、自身の個人デバイス上でPINを入力することができる。

本発明のデバイスは、接触支払いカードを非接触カードにする能力を有し、これが図13に例示される。スマートカードが、カードに対する接触インターフェイスと世界(world)に対する非接触インターフェイスを有するデバイスに挿入される。これは、接触のみのカードが、任意の非接触(NFC)リーダを用いて、非接触カードとして機能することを可能にする。デバイス内のセキュアな素子は、スマートカードアプリケーションをデバイス上に事前ロードするとともに、カードなしで独立してデバイスを使用し非接触トランザクションをすることを可能にする。これは、物理的な非接触カードに基づくロイヤリティプログラムまたはその他のアプリケーションに対して有益であり得る。

異なる応用領域の関連する図、および上記の説明は、本願発明のデバイスが、ホストコンピュータをバイパスしてデバイスターミネーションサーバへの暗号化されたトンネルを生成し、従って、カード保持者を認証するために一般的に使用される個人のPINコードを含む個人のカードデータの送信のための、はるかにセキュアなチャンネルを生成することを示す。

デバイスは、ユーザが、自身の個人デバイスにおいて実行されるデバイス発行者のスクリプト記述を有することをさらに可能にする。この機能は、デバイス発行者とカード保持者の間の対話のための強化された方法を可能にする。デバイス上のグラフィック表示に依存して、いくつかのグラフィック通信メカニズム、例えばQRおよびバーコードなどが使用され得る。

銀行アプリケーションにとって、デバイスは個人の決済端末として機能し、ここではカードのどのような詳細も第3者は知る必要がない。

さらに、デバイスの機能は、基板ハードウェア暗号化記憶装置(board hardware encrypted storage)上で提供するアプリケーションを含んでもよい。この機能は、アクティベートされた場合にスマートカードによって(アン)ロックされ得る。

本発明のデバイスは、内部のセキュアな素子およびカードリーダに接続される非接触およびNFC機能を提供することができる。

選択的に、本発明のデバイスは、任意の言語または必要なシンボルに適合し得るスクリーン上のタッチキーパッドを備えることができ、さらに任意の文字または言語を表示することができるグラフィックユーザインターフェイスを備える。

本発明のデバイスは、エンドツーエンド暗号化およびデジタルで署名されたファイルを用いる信頼されたサーバとのセキュアな外部接続を介して遠隔的にアップデートされ得る。

さらに、本発明のデバイスに選択的に含まれ得るセキュリティの機能は、限定はしないがNFC、オンスクリーン・ディスプレイw/ORCまたは2次元バーコードおよびUSBを含む任意の接続を介したデバイス生成パスワード、ワンタイムパスワード(OTP)である。

本発明のデバイスは、基板アプリケーションソフトウェアを用いてサービスされ得るいくつかの追加の機能を提供する完全に機能的なコンピュータ環境を含む。そのようなアプリケーションは、限定はしないが
・デバイス決済オフライントランザクションに対するデバイス、
・スマートカードウォレットとして機能するためのデバイス、
・パーソナルコンピュータまたは同等なデバイスを開始するために使用され得るポータブルオペレーティングシステムを含むためのデバイス、
・物理的なアクセス制御デバイスとして機能するためのデバイス、
・ソフトウェアアクセスデバイスおよびデジタルIDとして機能するためのデバイス、
・e-チケットデバイスとして機能するためのデバイス、
・電子署名デバイスとして機能するためのデバイス、
・2以上の因子の識別手順/システムに関して機能するためのデバイス、および
・スマートカードにより選択的に安全が確保される、暗号化された記憶装置を提供するためのデバイス
である。

以上の説明は、本発明の例および原理を説明する。一方で、説明される実施形態は、説明された機能および特徴が任意の組み合わせ方で組合せ可能であり、また明示されたもの以外である可能性を限定すると理解されない。当業者は、添付の特許請求の範囲によって定められる本発明の範囲から逸脱することなく、実施形態の特徴を組み合わせることができる。

１００ マイクロコントローラ
１１０ プロセッサ
１４０ 暗号化プロセッサ
１６０ 内部接続ネットワーク
１７０ アナログI/O
１８０ デジタルI/O
１８１ UART(Universal Asynchronous Receiver/Transmitter)
１８２ SDIO(Secured Digital I/O)
１８３ USB(Universal Serial Bus)
１８４ SPI(Serial Peripheral interface)
２０１ 入力ユニット、タッチスクリーン、キーパッド
２１１ 入力ユニット、入力キー
２２０ デジタルディスプレイ、フィードバック出力デバイス
２３０ 侵入検出
２４０ スマートカードインターフェイス、カードスロット、近距離通信(NFC)ユニット
２４１ スマートカードインターフェイス、カードスロット、EMVリーダユニット
２４２ スマートカードインターフェイス、スマートカードデバイス
２５０ メモリユニット、フラッシュメモリ
２６０ 通信ポート
３００ 電力管理ユニット
３１０ リアルタイムクロック
３２０ バッテリ
３３０ バッテリ充電ユニット
４００ USBバス
４０８ (ネイティブ)アプリケーション
５００ ホストコンピュータ

Claims (14)

1. デバイスおよびスマートカードのユーザの認証のためのトランザクション処理の検証のための方法であって、前記デバイスはホストコンピュータを介してバックエンドサービスプロバイダと通信し、
   前記デバイスと前記バックエンドサービスプロバイダとの間のセキュアな通信トンネルを開始するステップであって、前記スマートカードは、前記バックエンドサービスプロバイダから前記セキュアな通信トンネルを介して受信されるソルト、およびその他のセッション特定パラメータを使用して、前記バックエンドサービスプロバイダに知られている前記スマートカードの識別子を生成する、ステップと、
   前記識別子を前記バックエンドサービスプロバイダに前記セキュアな通信トンネルを介して送信するステップと、
   それによって、前記ユーザおよび前記スマートカードの認証のためのセキュアなチャネルを、いかなるスマートカード情報または前記ホストコンピュータに対して明らかにされるユーザ入力に頼ることなく、前記バックエンドサービスプロバイダに提供するステップと、
   前記ホストコンピュータによって、1または2以上のトランザクションの詳細とともに記入されるべきフォームを表示するステップと、
   前記ホストコンピュータにおいて、前記１または2以上のトランザクション詳細を確認または入力するために、ユーザによる入力を受け取るステップと、
   前記ホストコンピュータによって、前記ホストコンピュータに存在している前記１または2以上のトランザクション詳細を含む前記フォームを前記デバイスに送信するステップと、
   前記デバイスによって、前記デバイスおよび前記スマートカードのうちの１または2以上の内にのみ存在している追加のトランザクション詳細を前記フォームに追加するステップと、
   前記デバイスから、前記ホストコンピュータに存在している前記１または2以上のトランザクション詳細と、前記デバイスおよび前記スマートカードのうちの１つまたは2以上の内にのみ存在している前記追加のトランザクション詳細とを含む前記フォームを、前記セキュアな通信トンネルを介して、前記バックエンドサービスプロバイダに送信するステップとを含む、方法。
2. 前記デバイスに存在している前記１または2以上のトランザクション詳細が、ユーザアカウント番号、スマートカードID、デバイスID、およびPINコードのうちの１または2以上を含む、請求項1に記載の方法。
3. 入力デバイスが前記デバイス上で提供され、
   前記デバイス内に存在している1または2以上の前記トランザクション詳細が、前記トランザクション処理中の前記デバイスへの前記ユーザによる入力である、請求項1に記載の方法。
4. 前記デバイス上に存在している1または2以上の前記トランザクション詳細は、前記デバイスまたはスマートカードに事前に保存される、請求項1に記載の方法。
5. 前記デバイスによって、前記デバイス上に前記ユーザによって記入された前記フォームを提示し、ユーザ入力値と前記ホストコンピュータによって前記フォームに記入された値との間の矛盾が前記ユーザによって識別されたとき、前記ユーザに前記トランザクションを中断することを可能にさせるステップをさらに備える、請求項1に記載の方法。
6. 記入されるべき前記フォームを前記デバイスから前記ホストコンピュータにダウンロードするステップをさらに含む、請求項1に記載の方法。
7. 前記スマートカードのユーザの前記認証が、
   入力デバイス上で前記デバイスへのPINコード入力を受け取るステップと、
   検証のために前記PINコードを前記スマートカードに送信するステップと、
   前記検証の結果を前記デバイスに返信するステップとを含む、請求項3に記載の方法。
8. スマートカードおよびバックエンドサーバプロバイダ間のセキュアなチャネルを提供するための、請求項1の前記バックエンドサービスプロバイダと通信するように構成されるデバイスであって、
   ホストコンピュータに接続するように構成されるインターフェイスと、
   前記ユーザと前記デバイスとの間で情報をやりとりするように構成されるディスプレイユニットと、
   スマートカードと通信するように構成されるスマートカードインターフェイスとを備える、デバイス。
9. 前記デバイスへのデータ入力を受け取るように構成される入力デバイスをさらに備え、
   前記データが、1または2以上の文字を含む、請求項8に記載のデバイス。
10. マイクロコントローラユニットと、
    メモリユニットと、
    電力管理ユニットとをさらに備える請求項8に記載のデバイス。
11. 前記デバイスと前記バックエンドサービスプロバイダとの間のセキュアな暗号化された通信チャネルをプロセッサに生成させおよび操作させるように構成される事前ロードされたプログラムをさらに備える、請求項8に記載のデバイス。
12. 前記デバイスが、前記接続されたホストコンピュータから受信されたフォームを前記セキュアな暗号化されたチャネルを介して前記バックエンドサービスプロバイダに送信するように構成される、請求項8に記載のデバイス。
13. 前記デバイスが、入力デバイスを介して前記ユーザから情報を受信し、ホストデバイスから受信したフォーム内に前記情報を統合し、さらに前記統合されたフォームおよび前記情報を前記セキュアな暗号化されたチャネルを介して前記バックエンドサービスプロバイダに送信するように構成される、請求項8に記載のデバイス。
14. 1または2以上のスマートカードをバックエンドサービスプロバイダに接続するためのシステムであって、
    前記システムが、デバイスおよびバックエンドサービスプロバイダ間のセキュアなチャネルを提供し、
    前記デバイスがバックエンドサービスプロバイダにホストコンピュータを介して接続され、
    前記システムが、
    ホストコンピュータに接続されるように構成されるインターフェイスと、
    前記ユーザと前記デバイスとの間で情報をやり取りするように構成されるディスプレイユニットと、
    スマートカードと通信するように構成されるスマートカードインターフェイスと
    を含み、
    前記システムは、請求項1の方法を実行するように構成される、システム。

Images