JPH03224047A - 携帯可能電子装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［発明の目的］ （産業上の利用分野） 本発明は、たとえば消去可能な不揮発性メモリおよびＣ
ＰＵなどの制御素子を有するＩＣ（集積回路）チップを
内蔵した、いわゆるＩＣカードと称される携帯可能電子
装置に関する。

（従来の技術） 最近のＩＣカードに要求される機能として、外部装置（
ＩＣカードを取扱う端末装置など）との相互認証機能が
提案されている。この場合、外部装置との間で必ず相互
認証を行なわなければ、アクセスが不可というようなア
クセス制御方式がある。

（発明が解決しようとする課題） この場合、ＩＣカードが多目的用途になるにつれ、アプ
リケーションごとに認証用のキーデータを有することが
考えられるが、このとき例えばアプリケーションＡにお
いて認証処理を施した結果がアプリケーションＢを運用
する際にも使用可能であると、アプリケーション間のセ
キュリティ分離が困難である。

そこで、本発明は、各アプリケーションごとに異なる認
証用のキーデータを有し、かつアプリケーション間のセ
キュリティを保ちつつ、認証結果によりメモリに対する
アクセスの可否を決定することが可能な携帯可能電子装
置を提供することを目的とする。

［発明の構成］ （課題を解決するための手段） 本発明は、少なくともメモリと、このメモリに対してア
クセスを行なう制御素子を有し、選択的に外部とのデー
タの授受を行なうもので、かつ前記メモリは、全てのア
プリケーションで共通にアクセス対象となる第１の領域
と、各アプリケーション個々に使用される少なくとも１
つの第２の領域とに分割されているとともに、これら第
１および第２の領域内に少なくとも１つのキーデータを
有する携帯可能電子装置であって、本装置の起動後は前
記第１の領域のみアクセス対象とする手段と、外部より
前記第２の領域のうち１つを選択する選択情報を受信す
る第１の受信手段と、この第１の受信手段により受信し
た選択情報に基づいて対応する第２の領域を選択的にア
クセス可能とならしめる手段と、少なくとも第１のデー
タを第１のキーデータにより暗号化された第１の暗号デ
ータを受信する第２の受信手段と、第１のデータを選択
された第２の領域に対応する第１のキーデータにより暗
号化して第２の暗号データを生成する暗号化手段と、こ
の暗号化手段により生成した第２の暗号データと前記第
２の受信手段により受信した第１の暗号データとを比較
する比較手段と、この比較手段の比較結果に基づいて前
記メモリに対するアクセスの可否を判定する手段と、新
たに第２の領域のうち１つが選択されたときに前記比較
結果の基となる第１のキーデータが前記第１の領域内に
存在するか第２の領域内に存在するかを判断する手段と
、この判断の結果、第２の領域内に存在すると判断され
ると、前記比較結果の肯定結果を否定結果とする手段と
を具備している。

（作用） 認証に使用したキーデータがコモンデータファイル（第
１の領域）のものか、アプリケーションデータファイル
（第２の領域）のものかを判断し、もしアプリケーショ
ンデータファイルのものであれば、アプリケーション選
択時に認証結果をクリアするものである。これにより、
各アプリケーションごとに異なるキーデータを持たせ、
このキーデータで認証を行ない、その結果によりメモリ
に対するアクセスの可否を決定することによって成立す
るセキュリティ確保がアプリケーション間のセキュリテ
ィを保ちつつ行なえる。

（実施例） 以下、本発明の一実施例について図面を参照して説明す
る。

第６図は本発明に係る携帯可能電子装置としてのＩＣカ
ードを取扱う端末装置の構成例を示すものである。すな
わち、この端末装置８は、ＩＣカード１をカードリーダ
・ライタ２を介してＣＰＵなどからなる制御部３と接続
可能にするとともに、制御部３にキーボード４、ＣＲＴ
デイスプレィ装ａｔ５、プリンタ６およびフロッピィデ
ィスク装置７を接続して構成される。

ＩＣカード１は、ユーザが保持し、たとえば商品購入な
どの際にユーザのみが知得している暗証番号の参照や必
要データの蓄積などを行なうもので、第５図にその機能
ブロックを示すように、リード・ライト部１１、暗証設
定・暗証照合部１２、および暗号化・復号化部１３など
の基本機能を実行する部分と、これらの基本機能を管理
するスパバイザ１４とで構成されている。リード・ライ
ト部１１は、後述するデータメモリ１６に対してデータ
の読出し、書込み、あるいは消去を行なう機能である。

暗証設定・暗証照合部１２は、ユザが設定した暗証番号
の記憶および読出禁止処理を行なうとともに、暗証番号
の設定後にその暗証番号の照合を行ない、以後の処理の
許可を与える機能である。暗号化・復号化部１３は、た
とえば通信回線を介して制御部３から他の端末装置ヘプ
タを送信する場合の通信データの漏洩、偽造を防止する
ための暗号化や暗号化されたデータの復号化を行なうも
のである。スーパバイザ１４は、カードリーダ・ライタ
２から入力された機能コードもしくはデータの付加され
た機能コードを解読し、前記基本機能のうち必要な機能
を選択して実行させる機能である。

これらの諸機能を発揮させるために、ＩＣカド１は例え
ば第４図に示すように、制御素子（たとえばＣＰＵ）１
５、データメモリ１６、プログラムメモリ１７、および
カードリーダ・ライタ２との電気的接触を得るためのコ
ンタクト部１８によって構成されており、これらのうち
破線内の部分（制御素子１５、データメモリ１６、プロ
グラムメモリ１７）は１つのＩＣチップ（あるいは複数
のＩＣチップ）で構成されてＩＣカード本体内に埋設さ
れている。

プログラムメモリ１７は、たとえばマスクＲＯＭで構成
されており、前記各基本機能を実現するサブルーチンを
備えた制御素子１５の制御プログラムなどを記憶するも
のである。

データメモリ１６は、各種データの記憶に使用され、た
とえばＥＥＰＲＯＭなどの消去可能な不揮発性メモリで
構成されている。

データメモリ１６は、たとえば第３図に示すように、全
てのアプリケーションで共通に運用する１つのコモンデ
ータファイル（以降、ＣＤＦと略称する）２１と、各ア
プリケーション個別に運用する複数のアプリケーション
データファイル（以降、ＡＤＦと略称する）２２ａ、２
２ｂ、２２ｃとによって構成されており、各ＡＤＦ２２
ａ。

２２ｂ、２２ｃには、それぞれデータファイル名（Ｄ　
Ｆ　Ｎ）が付与されている。

そして、第３図の例においては、ＣＤＦ２１内には、キ
ーデータ番号ＫＩＤＯＩで示される指定用キーデータａ
ａａ、およびキーデータ番号ＫＩＤＯ２で示される内部
キーデータｂｂｂが含まれ、またＤＦＮ−ＡＡＡで示さ
れるＡＤＦ２２ａには、キーデータ番号ＫＩＤＯ３で示
される指定用キーデータＣＣＣ，およびキーデータ番号
ＫＩＤＯ４で示される指定用キーデータｄｄｄが含まれ
る。ＤＦＮ−ＢＢＢで示されるＡＤＦ２２ｂには、キー
データ番号ＫＩＤＯ５で示される内部キーデータｅｅｅ
、およびエリア番号ＡＩＤＳ５で示されるデータエリア
が含まれており、特にデータエリアはＡＤＦ２２ｂ内の
内部キーデータによる認証処理で認証が確認されるとア
クセス可能という属性情報（Ａ）が付与されている。ま
た、ＤＦＮ−ＣＣＣで示されるＡＤＦ２２ｃには、キー
データ番号ＫＩＤ８０で示される内部キーデータｆｆｆ
、エリア番号Ａ　Ｉ　ＤＳ６で示されるデータエリア、
およびエリア番号ＡＩＤＳ７で示されるデータエリアが
含まれている。特に、エリア番号Ａ　Ｉ　ＤＳ６で示さ
れるデータエリアは、ＣＤＦ２１内の内部キーデータに
よる認証処理で認証が確認されるとアクセス可能という
属性情報（Ｃ）が付与されており、エリア番号ＡＩＤＳ
７で示されるデータエリアは、ＣＤＦ２１内の内部キー
データまたはＡＤＦ２２ｃ内の内部キーデータによる認
証処理で認証が確認されるとアクセス可能という属性情
報（Ｘ）が付与されている。

ここに、指定用キーデータとは、端末装置８がＩＣカー
ド１を認証するためのキーデータであり、内部キーデー
タとは、ＩＣカード１が端末装置８を認証するだめのキ
ーデータである。

次に、第１図を用いてＩＣカード１の動作概要を説明す
る。ＩＣカード１は、端末装置８から第２図（ａ）の電
文を受信すると、その機能コードから選択的に第１図（
ａ）の相互認証準備フローを実行する。これらの処理は
、制御素子１５によりプログラムメモリ１７内のプログ
ラムにしたがって行われる。すなわち、まずＡＤＦが選
択済か否かを、内部ＲＡＭ　（制御素子１５内のＲＡＭ
）中の選択ＡＤＦ固有情報を参照することにより確認す
る。このとき、選択済でなければ、データメモリ１６上
のＣＤＦ２１より、入力電文中のキーデータ番号（Ｋ　
Ｉ　Ｄ）を見つけ、また、選択済であれば、ＣＤＦ２１
内とさらに選択済ＡＤＦ内よりＫＩＤを見つける。もし
、この時点で見付からなければエラーステータスを出力
する。なお、通常は起動時にはＣＤＦ２１が自動的に選
択されている。

キーデータ番号（Ｋ　Ｉ　Ｄ）を見つければ、対応する
キーデータを内部的にリードし、正常か否かをチエツク
する。このとき、正常でなければエラーステータスを出
力する。正常であれば、電文中の乱数情報Ａと該キーデ
ータを内部ＲＡＭの所定領域に記憶しておく。次に、こ
の乱数情報Ａと、カード発行時にセットされるカード固
有の番号、それと、データメモリ１６内にあらかじめ初
期値として記憶されているカード乱数情報とにより所定
のアルゴリズムに従って乱数情報Ｂを生成し、これを新
たなカード乱数情報として書き換えておく。

次に、再度ＡＤＦが選択済か否かを確認し、選択済でな
ければ、ＣＤＦ２１より内部キーデータのＫＩＤを見つ
け、選択済であれば、ＣＤＦ２１内と更に選択済ＡＤＦ
内よりＫＩＤをみつける（ＡＤＦが優先的に対象となる
）。もし見つからなければ、エラーステータスを出力す
る。見つかったなら、対応するキーデータを内部的にリ
ードし、正常か否かをチエツクする。このとき、正常で
なければエラーステータスを出力する。

さて、圧覚であれば、先に生成した乱数情報Ｂを、見つ
けた内部キーデータを暗号キーとして暗号化し、その結
果を認証情報Ｃ２Ｘとして内部ＲＡＭの所定領域に記憶
しておく。そして、内部キーデータのＫＩＤと乱数情報
Ｂを出力し、本フローを終了する。

このフローにより、端末装置８とＩＣカード１との間の
相互認証における乱数情報と、キー指定情報を共有する
ことができる。

次に、第２図（ｂ）の電文を受信すると、その機能コー
ドから選択的に第１図（ｂ）のフローを実行する。すな
わち、まず先に説明した相互認証準備コマンドが実行済
であるか否かを確認して、否であればエラーステータス
を出力する。

実行済であれば、次に入力された電文中の認証情報Ｃ２
と、先に内部ＲＡＭ上に記憶しておいた認証情報Ｃ２Ｘ
とを比較し、一致していれば一致フラグをオンし、そう
でなければオフにする。このとき、一致フラグは、ＡＤ
Ｆの認証結果を示すＡＤＦ対応一致フラグと、ＣＤＦの
認証結果を示すＣＤＦ対応一致フラグとがあり、内部キ
ーデータが属するものがＡＤＦかＣＤＦかにより、ＡＤ
Ｆ対応一致フラグかＣＤＦ対応一致フラグかをオン、オ
フする。次に、先に内部ＲＡＭ上に記憶しておいた乱数
情報Ａを、指定用キーデータを暗号キーとして暗号化し
、その結果を認証情報ＣＩＸとして先の一致フラグの結
果と共に出力し、本フローを終了する。

このフローにより、端末装置８との相互認証が可能とな
る。

次に、第２図（Ｃ）の電文を受信すると、その機能コー
ドから選択的に第１図（Ｃ）のＡＤＦ選択フローを実行
する。すなわち、まず電文中のＤＦＮがＩＣカード１の
データメモリ１６に登録されているか否かを確認し、見
つからなければエラーステータスを出力する。

もし見つければ、先のＣ２／Ｃ２Ｘの一致フ−グのうち
、ＡＤＦ対応一致フラグをオフする。次に、指定ＤＦＮ
に対応する固有情報を内部ＲＡＭに保持し、正常終了ス
テータスを出力する。

次に、第２図（ｄ）で示すリードコマンド電文または第
２図（ｅ）で示すライトコマンド電文を受信すると、そ
の機能コードから選択的に第１図（ｄ）のフローを実行
する。すなわち、まずＡＤＦが選択済か否かを判断し、
選択済でなければ、ＣＤＦ２１内より入力電文中のエリ
ア番号（Ａ　Ｉ　Ｄ）を見つけ、選択済であれば、選択
済ＡＤＦ内とＣＤＦ２１内よりＡＩＤを見つける。

このとき、見つからなければ、エラーステータスを出力
する。　見つかれば、対応して記憶されているエリアの
属性情報を参照し、先の一致フラグを確認する必要があ
るか否かを判断する。もし、必要であれば、それがＡＤ
Ｆ対応一致フラグかＣＤＦ対応一致フラグか、または、
そのどちらでも良いかを判断する。

もし、ＡＤＦ対応一致フラグが必要、もしくはどちらで
も良いという場合であれば、ＡＤＦ対応一致フラグを参
照し、オンとなっているか否かをチエツクする。もしオ
フであればエラーステータスを出力する。

また、ＣＤＦ対応一致フラグが必要、もしくはどちらで
も良いという場合であれば、ＣＤＦ対応一致フラグを参
照し、オンとなっているか否かをチエツクする。もしオ
フとなっていればエラーステータスを出力する。

そして、電文中の機能コードにより、対応するリードま
たはライト処理を施し、その処理結果を出力する。

次に、たとえば第３図のようなキーデータおよびエリア
の構成に対するＩＣカード１の動作を説明する。第３図
においては前述した通りであり、この状態で、ＡＤＦ選
択を行なわない場合の相互認証には、指定用キーデータ
にはＫＩＤＯＩのキーデータが使用され、内部キーデー
タにはＫＩＤ０２のキーデータが使用される。

また、ＤＦＮ−ＡＡＡによりＡＤＦ２２ａが選択された
状態では、指定用キーデータにはＫＩＤ０３またはＫ　
Ｉ　ＤＯ４のキーデータ、またはＫＩＤＯＩのキーデー
タが使用され、内部キーデータとしてＫＩＤＯ２のキー
データが使用される。

同様に、ＤＦＮ−ＢＢＢによりＡＤＦ２２ｂが選択され
た状態では、指定用キーデータにはＫＩＤＯＩのキーデ
ータが使用され、内部キーデータにはＫＩＤＯ５のキー
データが使用される。

さて、ＡＤＦ２２ｂ内のＡＩＤＳ５のエリアに対してア
クセスするためには、このエリアの属性はＡＤＦ２２ｂ
内の内部キーデータを必要とするようになっている。よ
って、ＡＤＦ２２ｂを選択した後の相互認証を行わなけ
ればならない。仮に、相互認証後にＡＤＦ２２ｂを選択
すると、この相互認証に使用する内部キーデータはＫＩ
ＤＯ２のキーデータとなるからである。

また、ＡＤＦ２２ｃ内のＡＩＤＳ６のエリアに対しての
アクセスには、このエリアの属性がＣＤＦ２１内の内部
キーデータを必要とするようになっている。よって、Ｃ
ＤＦ内部のキーデータＫＩＤＯ２を用いた相互認証後に
ＡＤＦ２２ｃを選択し、エリアにアクセスしなければな
らない。

したがって、ＣＤＦ対応一致フラグがオンになっていれ
ばアクセス可能である。

また、ＡＩＤＳ７のエリアについては、内部キーデータ
を必要としていないので、ＣＤＦ２１内のキーデータＫ
ＩＤＯ２を用いた相互認証後にＡＤＦ２２ｃを選択して
も、その逆、つまりＡＤＦ２２Ｃを選択した後にＡＤＦ
２２ｃ内のキーデータＫＩＤＯ８によって相互認証を行
なった後でもアクセス可能とならしめることになる。

したがって、特に最初にＡＤＦ２２ｂを選択し、相互認
証を実行した後、次にＡ　Ｄ　Ｆ　２２　ｃを選択した
場合、ＡＩＤＳ７のエリアに対してアクセスはできない
状態となる。

このように、認証に使用したキーデータがコモンデータ
ファイル（ＣＤＦ）のものか、アプリケーションデータ
ファイル（ＡＤＦ）のものかを判断し、もしアブリケー
ンヨンデータファイルのものであれば、アブリケーンヨ
ン選択時にアブリケンヨンデータファイルの認証結果を
クリアするものである。これにより、各アプリケーショ
ンごとに異なるキ□−データを持たせ、このキーデータ
で認証を行ない、その結果によりデータメモリに対する
アクセスの可否を決定することによって成立するセキュ
リティ確保がアプリケーション間のセキュリティを保ち
つつ行なえる。

［発明の効果コ 以上詳述したように本発明によれば、各アプリケーショ
ンごとに異なる認証用のキーデータを有し、かつアプリ
ケーション間のセキュリティを保ちつつ、認証結果によ
りメモリに対するアクセスの可否を決定することが可能
な携帯可能電子装置を提供できる。

【図面の簡単な説明】

図は本発明の一実施例を説明するためのもので、第１図
はＩＣカードの動作概要を説明するフロチャート、第２
図はＩＣカードに入力される各種コマンド電文フォーマ
ット例を示す図、第３図はデータメモリのファイル構造
を示す図、第４図はＩＣカードの概略構成を示すブロッ
ク図、第５図はＩＣカードの機能ブロックを示す図、第
６図は端末装置の構成を示すブロック図である。 １・・・・・・ＩＣカード（携帯可能電子装置）、８・
・・・・・端末装置、１５・・・・・・制御素子、１６
・・・・・・ブーターボ ー′エメモリ（不揮発性メモリ）、１７・・・・・・プ
ログラムメモリ、２１・・・・・・コモンデータファイ
ル（ＣＤＦ。 第１の領域）　、２２ａ、２２ｂ、２２ｃｍ＝−＝アプ
リケーションデータファイル（ＡＤＦ、第２の領域）。

Claims (1)

1. 【特許請求の範囲】 少なくともメモリと、このメモリに対してアクセスを行
   なう制御素子を有し、選択的に外部とのデータの授受を
   行なうもので、かつ前記メモリは、全てのアプリケーシ
   ョンで共通にアクセス対象となる第１の領域と、各アプ
   リケーション個々に使用される少なくとも１つの第２の
   領域とに分割されているとともに、これら第１および第
   ２の領域内に少なくとも１つのキーデータを有する携帯
   可能電子装置であって、 本装置の起動後は前記第１の領域のみアクセス対象とす
   る手段と、 外部より前記第２の領域のうち１つを選択する選択情報
   を受信する第１の受信手段と、 この第１の受信手段により受信した選択情報に基づいて
   対応する第２の領域を選択的にアクセス可能とならしめ
   る手段と、 少なくとも第１のデータを第１のキーデータにより暗号
   化された第１の暗号データを受信する第２の受信手段と
   、 第１のデータを選択された第２の領域に対応する第１の
   キーデータにより暗号化して第２の暗号データを生成す
   る暗号化手段と、 この暗号化手段により生成した第２の暗号データと前記
   第２の受信手段により受信した第１の暗号データとを比
   較する比較手段と、 この比較手段の比較結果に基づいて前記メモリに対する
   アクセスの可否を判定する手段と、新たに第２の領域の
   うち１つが選択されたときに前記比較結果の基となる第
   １のキーデータが前記第１の領域内に存在するか第２の
   領域内に存在するかを判断する手段と、 この判断の結果、第２の領域内に存在すると判断される
   と、前記比較結果の肯定結果を否定結果とする手段と を具備したことを特徴とする携帯可能電子装置。