JP2006243860A

JP2006243860A - IC card system and computer program

Info

Publication number: JP2006243860A
Application number: JP2005055312A
Authority: JP
Inventors: Takashi Nakagawa; 尚中川
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2005-03-01
Filing date: 2005-03-01
Publication date: 2006-09-14

Abstract

【課題】ユーザを認証する機能がなく、端末装置と相互認証する機能のみを備えたＩＣカードであっても、ＩＣカードを用いてユーザを認証できるＩＣカードシステムを提供する。
【解決手段】端末装置であるＰＣ１０がユーザを利用するときは、ユーザはパスワード入力手段１１にパスワードを入力し、入力されたパスワードは認証キー生成手段１２によって内部認証端末キーに変換される。ユーザ認証手段１３は、乱数を生成し、ＩＣカード２０の内部認証コマンド２２は、この乱数と内部認証カードキーとから内部認証コードを生成し、ＩＣカード１０から送信される内部認証コードを、ユーザ認証手段１３はパスワードから生成した内部認証端末キーを用いて認証する。パスワードから生成される内部認証端末キーを用いて、ＩＣカードを認証することで、ＰＣ１０は間接的にユーザを認証できる。
【選択図】図２
PROBLEM TO BE SOLVED: To provide an IC card system capable of authenticating a user using an IC card even if the IC card has no function for authenticating a user but only a function for mutual authentication with a terminal device.
When a PC 10 as a terminal device uses a user, the user inputs a password into a password input means 11, and the input password is converted into an internal authentication terminal key by an authentication key generation means 12. The user authentication means 13 generates a random number, and the internal authentication command 22 of the IC card 20 generates an internal authentication code from this random number and the internal authentication card key, and uses the internal authentication code transmitted from the IC card 10 as the user. The authentication means 13 performs authentication using an internal authentication terminal key generated from the password. The PC 10 can indirectly authenticate the user by authenticating the IC card using the internal authentication terminal key generated from the password.
[Selection] Figure 2

Description

本発明は、ＩＣカードを利用したＩＣカードシステムに関し、更に詳しくは、ＩＣカードを利用してユーザを認証するＩＣカードシステムに関する。 The present invention relates to an IC card system using an IC card, and more particularly to an IC card system that authenticates a user using an IC card.

クレジットカードサイズのカードに半導体集積回路（以下、ＩＣチップと記す）を埋め込んだカードであるＩＣカードは、演算機能を備え秘匿に情報を記憶できるため、様々な用途において認証デバイスとして利用されている。 An IC card, which is a card in which a semiconductor integrated circuit (hereinafter referred to as an IC chip) is embedded in a credit card size card, has an arithmetic function and can store information in a secret manner, and thus is used as an authentication device in various applications. .

ユーザ認証の用途にＩＣカードを利用するときは、パスワードやＰＩＮ情報（Personal Identification Code）などの認証情報をＩＣカードに記憶し、ユーザが入力した入力情報とＩＣカードに記憶された認証情報とを照合することでユーザを認証する方式が一般的である。また、セキュリティ高くユーザを認証する方式としては、ユーザの生体情報（例えば、指紋情報）を認証情報とし、ユーザから読み取った生体情報とＩＣカードに記憶された認証情報とを照合することでユーザを認証する方式もある（例えば、特許文献１）。 When using an IC card for user authentication, authentication information such as a password and PIN information (Personal Identification Code) is stored in the IC card, and input information entered by the user and authentication information stored in the IC card are stored. A method of authenticating a user by collating is common. As a method for authenticating a user with high security, the user's biometric information (for example, fingerprint information) is used as authentication information, and the biometric information read from the user is compared with the authentication information stored in the IC card. There is also a method for authentication (for example, Patent Document 1).

また、上述したユーザ認証の機能に加え、不正なＩＣカードまたは端末装置の使用を防止すべく、ＩＣカードと端末装置間で相互認証を行う機能を備えたＩＣカードもある（例えば、特許文献２）。ＩＣカードと端末装置間の相互認証は、ＩＣカードは端末が正当なものであることを認証（端末認証）し、端末はＩＣカードが正当なのであることを認証（カード認証）することで相互に認証し、ＩＣカードや端末装置に成り済ました不正な装置が介在することを防止するものである。 In addition to the above-described user authentication function, there is also an IC card having a function of performing mutual authentication between the IC card and the terminal device in order to prevent unauthorized use of the IC card or the terminal device (for example, Patent Document 2). ). Mutual authentication between the IC card and the terminal device is performed by authenticating that the IC card is a valid terminal (terminal authentication) and mutually authenticating that the IC card is valid (card authentication). It authenticates and prevents the unauthorized devices impersonating IC cards and terminal devices from intervening.

しかしながら、非接触ＩＣカードと称され、ＩＣチップとアンテナを内蔵し端末装置（例えば、リーダライタ）と無線でデータ通信する機能を備えたＩＣカードは、端末装置に非接触ＩＣカードをかざして使用されることが多く、定期券で使用されている非接触ＩＣカードのように、端末装置との相互認証機能は備えているが、パスワードやＰＩＮ情報によるユーザの認証機能は備えていないことがある。
特開平１１-３１２２２５号公報特開平９-１６０４９１号公報 However, an IC card that is called a non-contact IC card and has a function of wirelessly communicating data with a terminal device (for example, a reader / writer) incorporating an IC chip and an antenna is used by holding the non-contact IC card over the terminal device. In many cases, a mutual authentication function with a terminal device is provided like a contactless IC card used in a commuter pass, but a user authentication function based on a password or PIN information may not be provided. .
Japanese Patent Laid-Open No. 11-31225 Japanese Patent Laid-Open No. 9-160491

上述した内容を鑑みて、本発明は、このように端末装置を認証する機能、好ましくは端末装置との相互認証機能が備えられたＩＣカードにおいて、たとえ、ユーザを認証する機能が備えられていなくとも、ＩＣカードに備えられた上述の機能を利用してユーザを認証できるＩＣカードシステムを提供するものである。 In view of the above-described contents, the present invention is not provided with a function for authenticating a user even in an IC card provided with a function for authenticating a terminal device as described above, preferably a mutual authentication function with the terminal device. Both provide an IC card system capable of authenticating a user by using the above-described function provided in the IC card.

この課題を解決する第１の発明は、ユーザが所持するＩＣカードと、前記ＩＣカードを装着し、装着された前記ＩＣカードを使用して前記ユーザを認証する端末装置とからなるＩＣカードシステムであって、前記ＩＣカードは、前記端末装置が前記ＩＣカードの正当性を認証するときに使用する内部認証手段を備え、前記端末装置は、ユーザを認証する情報であるユーザ認証情報が入力されるユーザ情報入力手段と、前記ユーザ情報入力手段に入力された前記ユーザ認証情報を前記ＩＣカードに備えられた前記内部認証手段で使用される内部認証情報に変換する情報変換手段と、前記情報変換手段で変換された前記内部認証情報と前記ＩＣカードに備えられた前記内部認証手段とを用いて前記ユーザを認証する前記ユーザ認証手段を備えていることを特徴とするＩＣカードシステムである。 A first invention for solving this problem is an IC card system comprising an IC card possessed by a user, and a terminal device that attaches the IC card and authenticates the user by using the IC card that is attached. The IC card includes internal authentication means used when the terminal device authenticates the validity of the IC card, and the terminal device receives user authentication information which is information for authenticating a user. User information input means, information conversion means for converting the user authentication information input to the user information input means into internal authentication information used by the internal authentication means provided in the IC card, and the information conversion means The user authentication means for authenticating the user using the internal authentication information converted in step 1 and the internal authentication means provided in the IC card. It is an IC card system according to claim.

更に、第２の発明は、第１の発明のＩＣカードシステムにおいて、前記ＩＣカードは、前記内部認証手段に加えて、前記ＩＣカードが前記端末装置の正当性を認証するときに使用する外部認証手段を備え、前記端末装置に備えられた前記情報変換手段は、前記ユーザ情報入力手段に入力された前記ユーザ認証情報を、前記内部認証手段で使用される前記内部認証情報と前記外部認証手段で使用される外部認証情報とに変換する手段であって、前記ユーザ認証手段は、前記内部認証情報と前記ＩＣカードの前記内部認証手段、および、前記外部認証情報と前記ＩＣカードの前記外部認証手段を用いて前記ユーザを認証する手段であることを特徴とするＩＣカードシステムである。 Further, the second invention is the IC card system according to the first invention, wherein the IC card uses external authentication used when the IC card authenticates the validity of the terminal device in addition to the internal authentication means. And the information conversion means provided in the terminal device uses the internal authentication information used by the internal authentication means and the external authentication means for the user authentication information input to the user information input means. Means for converting into external authentication information to be used, wherein the user authentication means includes the internal authentication information and the internal authentication means of the IC card, and the external authentication information and the external authentication means of the IC card. The IC card system is a means for authenticating the user by using.

前記端末装置が第１の発明の前記情報変換手段を備えることで、前記端末装置は、端末装置を使用している前記ユーザを認証することができ、正当な前記ユーザに対して端末装置側のサービス（例えば、端末装置へのログオン）を提供できる。更に、前記端末装置が第２の発明の前記情報変換手段を備えることで、前記ＩＣカードは、前記ＩＣカードを所持している前記ユーザを認証することができ、正当な前記ユーザに対して前記ＩＣカード側のサービス（例えば、金融決済サービス）を提供できる。 Since the terminal device includes the information conversion unit according to the first aspect of the invention, the terminal device can authenticate the user who is using the terminal device, and the terminal device side can be authenticated against the legitimate user. A service (for example, logon to a terminal device) can be provided. Further, since the terminal device includes the information conversion means of the second invention, the IC card can authenticate the user who possesses the IC card, and IC card side services (for example, financial settlement services) can be provided.

更に、第３の発明は、第１の発明または第２の発明において、前記ＩＣカードに備えられた前記内部認証手段もしくは前記内部認証手段と前記外部認証手段は、それぞれ認証鍵を用いた認証手段であって、前記端末装置に備えられた前記情報変換手段は、入力された前記ユーザ認証情報を前記内部認証手段で使用される前記認証鍵、もしくは、前記内部認証手段と前記外部認証手段でそれぞれ使用される前記認証鍵に変換する手段であることを特徴とするＩＣカードシステムである。ユーザの認証に前記認証鍵を用いることでセキュリティを向上させることができる。 Further, the third invention is the first invention or the second invention, wherein the internal authentication means or the internal authentication means and the external authentication means provided in the IC card are authentication means each using an authentication key. The information conversion means provided in the terminal device may use the authentication key used by the internal authentication means or the internal authentication means and the external authentication means for the input user authentication information. An IC card system, characterized in that the IC card system is means for converting the authentication key to be used. Security can be improved by using the authentication key for user authentication.

更に第４の発明は、第１の発明から第３の発明のいずれかに記載のＩＣカードシステムにおいて、前記端末装置に備えられた前記ユーザ認証入力手段はパスワードを入力する手段で、前記ユーザ認証情報は前記パスワードであることを特徴とするＩＣカードシステムである。前記ユーザ認証情報をパスワードとすることで、前記ユーザは容易に前記ユーザ認証情報を入力できる。 Furthermore, a fourth invention is the IC card system according to any one of the first to third inventions, wherein the user authentication input means provided in the terminal device is means for inputting a password, and the user authentication. In the IC card system, the information is the password. By using the user authentication information as a password, the user can easily input the user authentication information.

更に第５の発明は、第１の発明から第４の発明のいずれかに記載のＩＣカードシステムにおいて、前記端末装置に備えられた前記ユーザ認証入力手段は前記ユーザの生体情報を読み取る手段で、前記ユーザ認証情報は前記ユーザの前記生体情報であることを特徴とするＩＣカードシステムである。前記ユーザ認証情報を前記生体情報とすることで、前記ユーザのなりすましを防止できる。 Furthermore, a fifth invention is the IC card system according to any one of the first to fourth inventions, wherein the user authentication input means provided in the terminal device is means for reading the biometric information of the user, The IC card system is characterized in that the user authentication information is the biometric information of the user. By using the user authentication information as the biometric information, the user can be prevented from impersonating.

更に第６の発明は、第１の発明から第５の発明のいずれかに記載のＩＣカードシステムを構成する端末装置としてコンピュータを機能させるためのコンピュータプログラムである。 Further, a sixth invention is a computer program for causing a computer to function as a terminal device constituting the IC card system according to any one of the first to fifth inventions.

上述した本発明によれば、このように端末装置を認証する機能、好ましくは端末装置との相互認証機能が備えられたＩＣカードにおいて、たとえ、ユーザを認証する機能が備えられていなくとも、ＩＣカードに備えられた上述の機能を利用してユーザを認証できるＩＣカードシステムを提供できる。 According to the present invention described above, in the IC card provided with the function of authenticating the terminal device as described above, preferably the mutual authentication function with the terminal device, even if the function of authenticating the user is not provided, the IC card It is possible to provide an IC card system that can authenticate a user by using the above-described function provided in the card.

ここから本発明に係るＩＣカードシステムについて、図を参照しながら詳細に説明する。図１は、ＩＣカードシステムの構成を説明する図である。図１に示したように、本発明に係るＩＣカードシステムは、端末装置としてパーソナルコンピュータ１０（以下、ＰＣ）と、ＰＣ１０のユーザが所持するＩＣカード２０とから構成され、ＰＣ１０にはＩＣカード２０とデータ通信するための装置であるカードリーダ１０ａが接続されている。 From here, the IC card system according to the present invention will be described in detail with reference to the drawings. FIG. 1 is a diagram for explaining the configuration of an IC card system. As shown in FIG. 1, the IC card system according to the present invention includes a personal computer 10 (hereinafter referred to as a PC) as a terminal device and an IC card 20 possessed by a user of the PC 10, and the PC 10 includes an IC card 20. Is connected to a card reader 10a which is a device for data communication.

図１において、ＩＣカード２０はFeliCa（登録商標）に代表される非接触型ＩＣカードとしている。非接触型ＩＣカードはＩＣチップとアンテナを内蔵しカードリーダと無線でデータ通信する機能を備えたカードで、カードリーダに非接触ＩＣカードをかざすだけでデータ通信でき、ドアゲートや交通用途（例えば、定期券）に使用されている。 In FIG. 1, the IC card 20 is a non-contact type IC card represented by FeliCa (registered trademark). A non-contact type IC card is a card with a built-in IC chip and an antenna, and a function for wirelessly communicating data with a card reader. By simply holding the non-contact IC card over the card reader, data communication can be performed. It is used for commuter passes.

上述したように、非接触ＩＣカードはカードリーダにかざして使用されることが多く、ユーザを認証するために、カードリーダにパスワード入力を強制させると、非接触ＩＣカードの利便性が低下するため、非接触ＩＣカードには端末装置との相互認証機能は備えられているが、パスワードやＰＩＮ情報によるユーザの認証機能は備えられていないことが多い。 As described above, the contactless IC card is often used over a card reader. If the card reader is forced to input a password to authenticate the user, the convenience of the contactless IC card is reduced. A non-contact IC card has a mutual authentication function with a terminal device, but often does not have a user authentication function based on a password or PIN information.

本発明は、このように端末装置を認証する機能、好ましくは端末装置との相互認証機能が備えられたＩＣカード２０において、ユーザを認証する機能が備えられていなくとも、端末装置を認証する機能を利用してユーザを認証することができるＩＣカードシステムを提供するものである。 The present invention provides a function for authenticating a terminal device even if the IC card 20 provided with a function for authenticating a terminal device, preferably a mutual authentication function with the terminal device, is not equipped with a function for authenticating a user. An IC card system that can authenticate a user by using a card is provided.

図２は、図１で示したＩＣカードシステムの機能ブロック図である。図３に示したように、ＩＣカード２０には、認証鍵や乱数などを利用して外部の端末装置と相互認証する相互認証手段として、ＪＩＣＳＡＰ２．０規格（共通コマンド）に記述されているＧｅｔＣｈａｌｌｅｎｇｅコマンド２１（以下、乱数生成コマンド）、ＩｎｔｅｒｎａｌＡｕｔｈｅｎｔｉｃａｔｉｏｎコマンド２２（以下、内部認証コマンド）、ＥｘｔｅｒｎａｌＡｕｔｈｅｎｔｉｃａｔｉｏｎコマンド２３（以下、外部認証コマンド）を備え、内部認証コマンド２２で使用する認証鍵である内部認証カードキー２２０と、外部認証コマンド２３で使用する認証鍵である外部認証カードキー２３０とを有している。 FIG. 2 is a functional block diagram of the IC card system shown in FIG. As shown in FIG. 3, the IC card 20 uses Get key described in the JICSAP 2.0 standard (common command) as mutual authentication means for mutual authentication with an external terminal device using an authentication key, a random number, or the like. An internal authentication, which is an authentication key used in the internal authentication command 22, includes a challenge command 21 (hereinafter, random number generation command), an internal authentication command 22 (hereinafter, internal authentication command), and an external authentication command 23 (hereinafter, external authentication command). It has a card key 220 and an external authentication card key 230 that is an authentication key used in the external authentication command 23.

本発明に係る内部認証手段である内部認証コマンド２２とは、内部認証カードキー２２０を用いある演算方式に従い、ＰＣ１０から送信される情報から内部認証コードをＩＣカード２０が演算し、ＰＣ１０がＩＣカード２０から返信されるこの内部認証コードの正当性を認証することで、ＰＣ１０がＩＣカード２０の正当性を検証するコマンドである。本実施の形態においては、ＩＣカード２０が内部認証コードを演算する方式は共通暗号方式のトリプルＤＥＳ（Data Encryption Standard）とし、内部認証カードキー２２０と同じトリプルＤＥＳ鍵である内部認証端末キーがＰＣ１０内で生成される。 The internal authentication command 22 which is an internal authentication means according to the present invention is that the IC card 20 calculates an internal authentication code from information transmitted from the PC 10 according to a certain calculation method using the internal authentication card key 220, and the PC 10 The PC 10 is a command for verifying the validity of the IC card 20 by authenticating the validity of the internal authentication code returned from the PC 20. In the present embodiment, the IC card 20 calculates an internal authentication code using a common encryption triple DES (Data Encryption Standard), and the internal authentication terminal key that is the same triple DES key as the internal authentication card key 220 is the PC 10. Generated within.

乱数生成コマンド２１と外部認証コマンド２３とは、ＩＣカード２０がＰＣ１０の正当性の認証を必要とするときに使用されるコマンドである。乱数生成コマンド２１はＩＣカード２０が乱数を生成し、生成した乱数をＰＣ１０に送信するコマンドで、これ以降ＩＣカード２０が生成した乱数をカード乱数と呼ぶ。なお、乱数生成コマンド２１によって生成されたカード乱数はＩＣカード２０のＲＡＭ（Random Access Memory）等に一時的に記憶される。 The random number generation command 21 and the external authentication command 23 are commands used when the IC card 20 requires authentication of the validity of the PC 10. The random number generation command 21 is a command for the IC card 20 to generate a random number and transmit the generated random number to the PC 10. The random number generated by the IC card 20 is hereinafter referred to as a card random number. The card random number generated by the random number generation command 21 is temporarily stored in a RAM (Random Access Memory) of the IC card 20 or the like.

本発明に係る外部認証手段である外部認証コマンド２３とは、ＰＣ１０がある演算方式を用いてカード乱数から外部認証コードを演算し、ＩＣカード２０はＰＣ１０から送信されるこの外部認証コードの正当性を認証することで、ＩＣカード２０がＰＣ１０の正当性を検証するコマンドである。本実施の形態においては、ＰＣ１０が外部認証コードを演算する方式は共通暗号方式のトリプルＤＥＳとし、外部認証カードキー２３０と同じトリプルＤＥＳ鍵である外部認証端末キーがＰＣ１０内で生成される。 The external authentication command 23 which is the external authentication means according to the present invention is that the PC 10 calculates an external authentication code from a card random number using a certain calculation method, and the IC card 20 validates the external authentication code transmitted from the PC 10. The IC card 20 is a command for verifying the validity of the PC 10 by authenticating. In the present embodiment, the method in which the PC 10 calculates the external authentication code is a common encryption triple DES, and an external authentication terminal key that is the same triple DES key as the external authentication card key 230 is generated in the PC 10.

ＩＣカード２０を発行する発行機は、これから述べるＰＣ１０と同じ機能を有し、この発行機はユーザが設定したパスワードに基づいて内部認証カードキー２２０および外部認証カードキー２３０を生成し、生成した内部認証カードキー２２０および外部認証カードキー２３０がＩＣカード２０に書き込まれている。 The issuing machine that issues the IC card 20 has the same function as the PC 10 to be described. The issuing machine generates the internal authentication card key 220 and the external authentication card key 230 based on the password set by the user, and generates the generated internal card. An authentication card key 220 and an external authentication card key 230 are written in the IC card 20.

なお、ＩＣカード２０を発行した後に、ＩＣカード２０に格納する内部認証カードキー２２０および外部認証カードキー２３０を書き換える必要性がある場合は、内部認証カードキー２２０および外部認証カードキー２３０の書換え専用プログラムをＰＣ１０が有することで、これらのキーの変更にも対応できる。 If it is necessary to rewrite the internal authentication card key 220 and the external authentication card key 230 stored in the IC card 20 after the IC card 20 is issued, the internal authentication card key 220 and the external authentication card key 230 are exclusively rewritten. Since the PC 10 has the program, it is possible to cope with these key changes.

図２において、端末装置であるＰＣ１０には、ＩＣカード２０を用いてユーザの正当性を認証するために、ユーザがパスワードを入力するパスワード入力手段１１と、パスワード入力手段１１で入力されたパスワードから、ＩＣカード２０に備えられた内部認コマンド２２および外部認証コマンド２３で使用する認証鍵（内部認証端末キー２２０と外部認証端末キー２３０）を生成する認証キー生成手段１２と、認証キー生成手段１２で生成された２つ認証キーを用い、内部認証コマンド２２、乱数生成コマンド２１、および外部認証コマンド２３を利用してユーザを認証するユーザ認証手段１３とを備える。 In FIG. 2, in order to authenticate the validity of the user using the IC card 20, the PC 10, which is a terminal device, uses a password input unit 11 for the user to input a password and a password input by the password input unit 11. The authentication key generating means 12 for generating the authentication keys (internal authentication terminal key 220 and external authentication terminal key 230) used in the internal authentication command 22 and the external authentication command 23 provided in the IC card 20, and the authentication key generating means 12 The user authentication means 13 authenticates the user using the internal authentication command 22, the random number generation command 21, and the external authentication command 23, using the two authentication keys generated in the above.

図３は、ＰＣ１０のハードウェアブロック図である。ＰＣ１０には中央演算装置１０ｄ（Central Processing Unit、以下ＣＰＵ）と、メインメモリであるＲＡＭ１０e（Random Access Memory）と、外部記憶装置であるハードディスク１０ｆと、表示装置であるディスプレイ１０ｃと、情報入力装置であるキーボート１０ｂと、ＩＣカード２０とデータ通信するためのカードリーダ１０ａがＢＵＳ１０ｇを介して接続される。ＰＣ１０に備えられた上述の各手段は、ＣＰＵ１０ｄを動作させ、ＰＣ１０の各装置を制御し、一連の手順を実行するプログラムで実現され、これらのプログラムはハードディスク１０ｆに記憶されている。 FIG. 3 is a hardware block diagram of the PC 10. The PC 10 includes a central processing unit 10d (Central Processing Unit, hereinafter referred to as CPU), a RAM 10e (Random Access Memory) as a main memory, a hard disk 10f as an external storage device, a display 10c as a display device, and an information input device. A certain keyboard 10b and a card reader 10a for data communication with the IC card 20 are connected via a BUS 10g. Each of the above-mentioned means provided in the PC 10 is realized by a program that operates the CPU 10d, controls each device of the PC 10, and executes a series of procedures, and these programs are stored in the hard disk 10f.

ここから、図２で示し、ＰＣ１０に備えられた各手段について説明する。ＰＣ１０に備えられたパスワード入力手段１１は、本発明に係るユーザ情報入力手段の機能をはたし、キーボード１０ｂやディスプレイ１０ｃなどを利用したプログラムで実現され、キーボード１０ｂから入力されたパスワードはＰＣ１０のＲＡＭ１０eに記憶され、ユーザの認証が終了するとパスワードはＲＡＭ１０eから消去される。 From here, each means shown in FIG. 2 and provided in the PC 10 will be described. The password input means 11 provided in the PC 10 functions as the user information input means according to the present invention, and is realized by a program using the keyboard 10b, the display 10c, etc., and the password input from the keyboard 10b is the PC 10's password. When the user authentication is completed, the password is erased from the RAM 10e.

ＰＣ１０に備えられた認証キー生成手段１２は、本発明に係る情報変換手段の機能をはたし、ＣＰＵ１０ｄの演算機能を利用したプログラムで実現され、ＲＡＭ１０eに記憶されたパスワードを用いて、内部認証端末キーおよび外部認証端末キーを生成する手段である。認証キー生成手段１２によって生成されたこれらの認証キーはＲＡＭ１０eに記憶され、パスワードと同じく、ユーザの認証が終了すると生成された認証キーはＲＡＭ１０eから消去される。 The authentication key generation means 12 provided in the PC 10 functions as the information conversion means according to the present invention, is realized by a program using the arithmetic function of the CPU 10d, and uses an internal authentication using a password stored in the RAM 10e. Means for generating a terminal key and an external authentication terminal key. These authentication keys generated by the authentication key generation means 12 are stored in the RAM 10e, and the generated authentication key is deleted from the RAM 10e when the user authentication is completed, as in the password.

図４は、認証キー生成手段１２が認証キーを生成する内容を説明する図である。図４（ａ）に示したように、パスワード入力手段１１からは１６文字（１６バイト）以下のパスワード（ここでは、ＭＹＰＡＳＳＷＯＲＤの１０文字）が入力される。認証キー生成手段１２は、このパスワード入力手段１１に入力されたパスワードから認証キー（ここでは、１６バイトのトリプルＤＥＳ鍵）を生成する。 FIG. 4 is a diagram for explaining the contents of the authentication key generation means 12 generating the authentication key. As shown in FIG. 4A, the password input means 11 inputs a password of 16 characters (16 bytes) or less (here, 10 characters of MYPASSWORD). The authentication key generation unit 12 generates an authentication key (here, a 16-byte triple DES key) from the password input to the password input unit 11.

本実施の形態においては、認証キー生成手段１２は、非特許文献１に記述されたPKCS＃５の手法を使用し、パスワード入力手段１１で入力されたパスワードから２０ｂｙｔｅ（１６０ｂｉｔ）のメッセージを導出する。そして、認証キー生成手段１２は、導出されたメッセージ（２０ｂｙｔｅ）から上位８ｂｙｔｅおよび下位８ｂｙｔｅをトリプルＤＥＳ鍵、すなわち認証キーとして抽出する。
PKCS#5 v2.0:Password-Based Cryptography Standard, RSA Laboratories, March 25,1999) In the present embodiment, the authentication key generation means 12 uses a PKCS # 5 method described in Non-Patent Document 1 and derives a 20-byte (160 bit) message from the password input by the password input means 11. . Then, the authentication key generation unit 12 extracts the upper 8 bytes and the lower 8 bytes from the derived message (20 bytes) as a triple DES key, that is, an authentication key.
(PKCS # 5 v2.0: Password-Based Cryptography Standard, RSA Laboratories, March 25, 1999)

ＰＣ１０に備えられた認証キー生成手段１２は、内部認証端末キーと外部認証端末キーを生成するときとで初期ベクトル（Initializaiton Vector）を変更し、図４で示した手順を実行することで、パスワード入力手段１１で入力されたパスワードから、値の異なる内部認証端末キーと外部認証端末キーとを、ユーザ認証時に生成する。 The authentication key generation means 12 provided in the PC 10 changes the initial vector (Initializaiton Vector) when generating the internal authentication terminal key and the external authentication terminal key, and executes the procedure shown in FIG. An internal authentication terminal key and an external authentication terminal key having different values are generated from the password input by the input means 11 at the time of user authentication.

ＰＣ１０に備えられたユーザ認証手段１３は、本発明に係るユーザ認証手段の機能をはたし、認証キー生成手段１２が生成した認証キーを用いて、ユーザを認証する手段で、ＣＰＵ１０ｄの演算機能を利用し、カードリーダ１０ａを制御するプログラムで実現される。本実施の形態においては、ユーザ認証手段１３は、ＩＣカード２０に備えられた乱数生成コマンド２１、内部認証コマンド２２、外部認証コマンド２３を利用してユーザを認証する。 The user authentication means 13 provided in the PC 10 functions as a user authentication means according to the present invention, and is a means for authenticating a user using the authentication key generated by the authentication key generation means 12. And is realized by a program for controlling the card reader 10a. In the present embodiment, the user authentication means 13 authenticates the user using a random number generation command 21, an internal authentication command 22, and an external authentication command 23 provided in the IC card 20.

一般的にＩＣカード２０を利用してユーザ認証を行うのは、端末装置（ここでは、ＰＣ１０）が端末装置を使用しているユーザを認証し、正当なユーザに対して端末装置側のサービス（例えば、ＰＣ１０のログオン）を提供するためでもあり、ＩＣカード２０がＩＣカード２０のユーザを認証し、正当なユーザに対してＩＣカード２０内に記憶されたサービス（例えば、金融決済）の使用を許可するためである。 In general, user authentication using the IC card 20 is performed by a terminal device (here, the PC 10) authenticating a user who is using the terminal device, and a service (on the terminal device side) for a legitimate user ( For example, the IC card 20 authenticates the user of the IC card 20 and uses a service (for example, financial settlement) stored in the IC card 20 for a legitimate user. This is to allow.

ユーザ認証手段１３は、ＩＣカード２０を利用してユーザを認証し、端末装置側のアプリケーションを正当なユーザに提供するために内部認証コマンド２２を使用し、正当なユーザに対してＩＣカード２０内に記憶されたサービスの使用を許可するために、乱数生成コマンド２１および外部認証コマンド２３を使用する。なお、ＩＣカード２０内に記憶されたサービスを使用しないときは、ユーザ認証手段１３は乱数生成コマンド２１および外部認証コマンド２３を使用しなくともよい。 The user authenticating means 13 authenticates the user using the IC card 20, uses the internal authentication command 22 to provide the terminal device side application to the legitimate user, The random number generation command 21 and the external authentication command 23 are used to permit the use of the service stored in. When the service stored in the IC card 20 is not used, the user authentication unit 13 does not need to use the random number generation command 21 and the external authentication command 23.

本実施の形態において、ＰＣ１０がＩＣカード２０の正当性を検証するときは、ＰＣ１０は端末乱数を生成し、生成した端末乱数を含む内部認証コマンドをＩＣカード２０に送信する。ＩＣカード２０は、内部認証コマンドを受信すると、内部認証コマンド２２が実行され、端末乱数を内部認証カードキー２２０で暗号化した内部認証コードが演算され、内部認証コードがＰＣ１０に送信される。 In the present embodiment, when the PC 10 verifies the validity of the IC card 20, the PC 10 generates a terminal random number and transmits an internal authentication command including the generated terminal random number to the IC card 20. When the IC card 20 receives the internal authentication command, the internal authentication command 22 is executed, an internal authentication code obtained by encrypting the terminal random number with the internal authentication card key 220 is calculated, and the internal authentication code is transmitted to the PC 10.

ＰＣ１０は、ＩＣカード２０から受信した内部認証コードを、ユーザがパスワード入力手段１１に入力したパスワードから生成された内部認証端末キーで復号し、生成した端末乱数と復号した内部認証コードを比較する。そして、ＰＣ１０は、生成した端末乱数と復号した内部認証コードが一致すれば、パスワードを入力したユーザは正当なユーザであると認証し、端末装置側のサービス（例えば、ＰＣ１０のログオン）を提供する。 The PC 10 decrypts the internal authentication code received from the IC card 20 with the internal authentication terminal key generated from the password input by the user to the password input means 11, and compares the generated terminal random number with the decrypted internal authentication code. If the generated terminal random number matches the decrypted internal authentication code, the PC 10 authenticates that the user who entered the password is a valid user and provides a service on the terminal device side (for example, logon of the PC 10). .

また、ＩＣカード２０がユーザの認証を必要とするときは、ＰＣ１０は乱数生成コマンドＡＰＤＵをＩＣカード２０に送信し、ＩＣカード２０は乱数生成コマンド２１を実行してカード乱数を生成し、ＩＣカード２０は生成したカード乱数をＰＣ１０に返信する。 When the IC card 20 requires user authentication, the PC 10 transmits a random number generation command APDU to the IC card 20, and the IC card 20 executes a random number generation command 21 to generate a card random number. 20 returns the generated card random number to the PC 10.

ＰＣ１０は、ＩＣカード２０から受信したカード乱数をパスワードに基づいて生成した外部認証キーで暗号化することで外部認証コードを生成する。そして、ＰＣ１０は生成した外部認証コードを外部認証コマンドに含ませてＩＣカード２０に送信する。ＩＣカード２０は、外部認証コマンド２３を実行し、外部認証コードをＩＣカード２０内で外部認証カードキー２３０を用いて復号化し、復号化した外部認証コードと生成したカード乱数を比較する。復号化した外部認証コードと生成したカード乱数が一致すれば、ＩＣカード２０を利用するユーザは正当なユーザであると認識し、ＩＣカード２０に記憶されたサービス（例えば、金融決済）の使用を許可する。 The PC 10 generates an external authentication code by encrypting the card random number received from the IC card 20 with the external authentication key generated based on the password. Then, the PC 10 includes the generated external authentication code in the external authentication command and transmits it to the IC card 20. The IC card 20 executes the external authentication command 23, decrypts the external authentication code using the external authentication card key 230 in the IC card 20, and compares the decrypted external authentication code with the generated card random number. If the decrypted external authentication code matches the generated card random number, the user who uses the IC card 20 recognizes that the user is a legitimate user and uses the service (for example, financial settlement) stored in the IC card 20. to approve.

なお、本発明は何らＩＣカード２０に備えられた内部認証手段および外部認証手段の方式を限定するものではなく、内部認証手段もしくは内部認証手段と外部認証手段を備えたＩＣカード２０であれば本発明を適用できる。本実施の形態は、発明の基本原理を分かり易く説明するために、上述したコマンドを使用した実施の形態について記載しているに過ぎない。 Note that the present invention does not limit the methods of the internal authentication means and external authentication means provided in the IC card 20, and the present invention is not limited to the internal authentication means or the IC card 20 provided with the internal authentication means and the external authentication means. The invention can be applied. In the present embodiment, only the embodiment using the above-described command is described in order to easily understand the basic principle of the invention.

例えば、端末装置とＩＣカード２０が相互認証する方式は、ＪＩＣＳＡＰ２．０規格（高速処理用ＩＣカード）に記述されているＰＩＣＣおよびＰＣＤ間の相互認証に準拠した手段でも、本発明を適用できるの明らかである。また、ユーザがＰＣ１０に入力するユーザ認証情報は生体情報であっても、認証キー生成手段１２が生体情報を認証キーに変換する機能を有していれば、本発明の基本原理を実現できる。 For example, as a method of mutual authentication between the terminal device and the IC card 20, the present invention can also be applied to means conforming to the mutual authentication between the PICC and the PCD described in the JICSAP 2.0 standard (IC card for high-speed processing). it is obvious. Even if the user authentication information input to the PC 10 by the user is biometric information, the basic principle of the present invention can be realized if the authentication key generating means 12 has a function of converting biometric information into an authentication key.

ここから、ＰＣ１０またはＩＣカード２０がユーザを認証する手順について図を参照しながら詳細に説明する。図５は、ＰＣ１０またはＩＣカード２０がユーザを認証するプロセスを示した図である。 From here, the procedure by which the PC 10 or the IC card 20 authenticates the user will be described in detail with reference to the drawings. FIG. 5 is a diagram illustrating a process in which the PC 10 or the IC card 20 authenticates the user.

このプロセスの最初のステップＳ１０は、ユーザを認証するために、ＰＣ１０がユーザに対してパスワードの入力を要求するステップである。このステップでは、ＰＣ１０のパスワード入力手段１１がディスプレイ１０ｃにパスワード入力の画面を表示し、ステップＳ１１で、ユーザはキーボード１０ｂを利用してパスワードを入力し、ＰＣ１０は入力されたパスワードを保持する。 The first step S10 of this process is a step in which the PC 10 requests the user to input a password in order to authenticate the user. In this step, the password input means 11 of the PC 10 displays a password input screen on the display 10c. In step S11, the user inputs the password using the keyboard 10b, and the PC 10 holds the input password.

次のステップＳ１２は、ＰＣ１０は入力されたパスワードに基づいて認証キー（ここで、内部認証キーと外部認証キー）を生成するステップである。パスワードに基づいて認証キーを生成する内容については、図４を用いて説明している。 In the next step S12, the PC 10 generates an authentication key (here, an internal authentication key and an external authentication key) based on the input password. The content of generating the authentication key based on the password has been described with reference to FIG.

これから述べるステップＳ１３は、ステップＳ１２で生成した内部認証端末キーを用い、ＰＣ１０がＩＣカード２０のユーザを認証するために、端末乱数を生成するステップである。ステップＳ１４は、ＰＣ１０がＩＣカード２０のユーザを認証するために、端末乱数を含む内部認証コマンドをＩＣカード２０に送信するステップである。 Step S13 described below is a step of generating a terminal random number for the PC 10 to authenticate the user of the IC card 20 using the internal authentication terminal key generated in step S12. Step S <b> 14 is a step in which the PC 10 transmits an internal authentication command including a terminal random number to the IC card 20 in order to authenticate the user of the IC card 20.

次のステップS１５は、ＩＣカード２０は内部認証コマンド２２を実行し、内部認証カードキー２２０を用いて、送信された端末乱数から内部認証コードを生成するステップである。このステップで生成された内部認証コードを含むレスポンスがＩＣカード２０からＰＣ１０に送信される。 In the next step S15, the IC card 20 executes the internal authentication command 22 and generates an internal authentication code from the transmitted terminal random number using the internal authentication card key 220. A response including the internal authentication code generated in this step is transmitted from the IC card 20 to the PC 10.

次のステップS１６は、ＰＣ１０がＩＣカード２０から受信した内部認証コードを認証するステップである。内部認証コードの認証には、上述したようにステップＳ１２で生成した内部認証端末キーが使用される。ＰＣ１０は、内部認証コードを認証に成功した場合、ＰＣ１０はユーザを正当なユーザであると認証する。 The next step S16 is a step in which the PC 10 authenticates the internal authentication code received from the IC card 20. For the authentication of the internal authentication code, the internal authentication terminal key generated in step S12 as described above is used. When the PC 10 successfully authenticates the internal authentication code, the PC 10 authenticates the user as a valid user.

次のステップＳ１７は、ステップＳ１２で生成した内部認証カードキー２２０を用い、ＩＣカード２０がＩＣカード２０のユーザを認証するために、ＰＣ１０がＩＣカード２０にカード乱数の生成を要求するステップである。このステップＳ１７は、ＰＣ１０からＩＣカード２０に乱数生成コマンドを送信することで実施される。ステップＳ１８では、ＩＣカード２０が乱数生成コマンド２１を実行してカード乱数を生成し、カード乱数を含むレスポンスがＩＣカード２０からＰＣ１０に送信される。 The next step S17 is a step in which the PC 10 requests the IC card 20 to generate a card random number in order for the IC card 20 to authenticate the user of the IC card 20 using the internal authentication card key 220 generated in step S12. . This step S17 is implemented by transmitting a random number generation command from the PC 10 to the IC card 20. In step S18, the IC card 20 executes the random number generation command 21 to generate a card random number, and a response including the card random number is transmitted from the IC card 20 to the PC 10.

次のステップＳ１９は、ＰＣ１０は外部認証端末キーを用いてカード乱数を暗号化した外部認証コードを生成するステップである。このステップＳ１９で生成された外部認証コードは、ステップＳ２０で、外部認証コマンドに含まれてＰＣ１０からＩＣカード２０に送信される。 The next step S19 is a step in which the PC 10 generates an external authentication code in which the card random number is encrypted using the external authentication terminal key. The external authentication code generated in step S19 is included in the external authentication command and transmitted from the PC 10 to the IC card 20 in step S20.

次のステップＳ２１は、ＩＣカード２０は外部認証コマンド２３を実行し、ＩＣカード２０は、外部認証カードキー２３０を用いて送信された外部認証コードを認証するステップである。このステップＳ２１の認証結果を示すレスポンスがＩＣカード２０からＰＣ１０に送信される。ＩＣカード２０が外部認証コードの認証に成功すると、ＩＣカード２０はユーザを正当なユーザであると認証する。 In the next step S21, the IC card 20 executes the external authentication command 23, and the IC card 20 authenticates the external authentication code transmitted using the external authentication card key 230. A response indicating the authentication result of step S21 is transmitted from the IC card 20 to the PC 10. When the IC card 20 successfully authenticates the external authentication code, the IC card 20 authenticates the user as a valid user.

本発明に係るＩＣカードシステムの構成図。1 is a configuration diagram of an IC card system according to the present invention. ＩＣカードシステムの機能ブロック図。The functional block diagram of an IC card system. ＰＣのハードウェアブロック図。The hardware block diagram of PC. 認証キーを生成する内容を説明する図。The figure explaining the content which produces | generates an authentication key. ユーザを認証するプロセスを示した図。The figure which showed the process which authenticates a user.

Explanation of symbols

１０ＰＣ
１０ａカードリーダ
１１パスワード認証手段
１２認証キー生成手段
１３ユーザ認証手段
２０ＩＣカード
２１乱数生成コマンド
２２内部認証コマンド
２２０内部認証カードキー
２３外部認証コマンド
２３０外部認証カードキー

10 PC
10a Card reader 11 Password authentication means 12 Authentication key generation means 13 User authentication means 20 IC card 21 Random number generation command 22 Internal authentication command 220 Internal authentication card key 23 External authentication command 230 External authentication card key

Claims

An IC card system comprising an IC card possessed by a user, and a terminal device that mounts the IC card and authenticates the user using the mounted IC card, wherein the IC card is the terminal device Includes an internal authentication unit used when authenticating the validity of the IC card, and the terminal device includes a user information input unit to which user authentication information which is information for authenticating a user is input, and the user information input unit Information conversion means for converting the user authentication information input to the internal authentication information used by the internal authentication means provided in the IC card, the internal authentication information converted by the information conversion means, and the IC An IC card system comprising the user authentication means for authenticating the user using the internal authentication means provided on the card. Beam.

2. The IC card system according to claim 1, wherein the IC card includes external authentication means used when the IC card authenticates the validity of the terminal device, in addition to the internal authentication means, and is provided in the terminal device. The information conversion unit converts the user authentication information input to the user information input unit into the internal authentication information used by the internal authentication unit and the external authentication information used by the external authentication unit. Means for authenticating the user using the internal authentication information and the internal authentication means of the IC card, and the external authentication information and the external authentication means of the IC card. IC card system characterized by being.

3. The internal authentication unit or the internal authentication unit and the external authentication unit provided in the IC card according to claim 1 or 2, each of which is an authentication unit using an authentication key, and is provided in the terminal device. The information conversion means converts the input user authentication information into the authentication key used in the internal authentication means or the authentication key used in the internal authentication means and the external authentication means, respectively. IC card system characterized by being.

4. The IC card system according to claim 1, wherein the user authentication input means provided in the terminal device is a means for inputting a password, and the user authentication information is the password. 5. IC card system.

5. The IC card system according to claim 1, wherein the user authentication input unit provided in the terminal device is a unit that reads biometric information of the user, and the user authentication information is the user's biometric information. An IC card system characterized by being biometric information.

The computer program for functioning a computer as a terminal device which comprises the IC card system in any one of Claims 1-5.