JP2010505161A - 電子取引でユーザのアイデンティティを検証するシステムおよび方法 - Google Patents

Abstract

ここで説明する発明は、電子取引の過程で検証者によりユーザのアイデンティティを検証する方法及びシステムである。本発明は、取引を開始する人のアイデンティティを検証するアイデンティティ検証プロセスを検証者が完了するまで口座を封鎖するプロセス及びシステムを提供する。このプロセスは、人と人の個人用通信装置とを事前登録することを備える。オプションとして、取引でユーザアイデンティティ検証を行うための標識を口座に付けることによって１つ以上の口座を登録する。検証者は取引が始まるときに、電子取引を開始する人の個人用通信装置へ本人検証要請（ＩＶＲ）を送信する。そして人は、ＩＶＲに応じてセキュア識別子を提供することによって自身のアイデンティティを立証する。オプションとして、取引の承認に先立ち取引の認可を人に求める。

Description

発明の分野
本発明は、電子取引を開始する人のアイデンティティを検証するシステムおよび方法に関する。

（定義）
以下の定義は、この開示と請求項で使われている用語の意図された範囲と意味とを定めるためのものである。定義で使われている例は、定義を例証し明確化するためのものであって、用語の定義や範囲を限定するものではない。ここで定義する用語は複数形と、単数形と、文法上の同義語および代替語とを含む。

「電子取引」−物品またはサービスに対する支払いの申し出を適宜含む物品またはサービスの要求と、要求に対する応答とを含み、ここで、要求および／または応答には電子情報通信をともなうステップがある。「サービス」は、要求されるあらゆる行為を含むものと広く定義する。ここで使用する用語としての「電子取引」は、事実上あらゆるタイプの物品、サービス／行為が関わる取引に当てはまる。ここでは電子取引の代表例としてクレジットカード取引を使って本発明の好適な実施形態を説明するが、本発明の範囲に含まれる電子取引の例はこのほかに、例えば、部屋、車両、建物、金庫、保管設備等のセキュアスペースへのアクセスを提供することと、担保付き・非担保クレジットを提供することと、銀行サービスやその他の金融サービスを提供することと、国境横断の許可を提供することとを含む。

「人」−個人と、実体（ｅｎｔｉｔｙ）と、個人または実体の集合とを含む。
「ユーザ」、「顧客」、および「支払人」−電子取引を通じて物品またはサービスを入手しようとする人を指すため互換的に使用する。小売取引を指す場合は「顧客」および「支払人」が好ましく、非小売取引を指す場合は「ユーザ」が好ましい。「ユーザコンピュータ」は、本発明の方法の各種ステップを遂行するにあたってユーザがアクセスするコンピュータを指す。

「提供者」はこの開示と請求項において広い意味を持ち、第三者によって提供される派生的または暗黙的サービスを含む物品およびサービスを電子取引を通じてユーザへ提供する個人・実体のシステムおよびサブシステムを含む。用語「提供者」は、例えば、電子クレジットカード取引の場合に購入物品またはサービスを提供しその支払いを受ける小売業者、商人、その他の払受人を含むほか、クレジットカードを提出する顧客に信用貸しする派生的サービスを提供する各種第三者銀行実体のサブシステムをも含む。

「銀行」は、機能的にはクレジットの供与、送金、金融口座の運営等、電子取引に関わる金融サービスを提供するためやり取りを行う実体または実体の集団を指すものと定義する。この用語はまた、金融サービスを提供するためやり取りを行うといった実体のシステムまたはサブシステムを含み、これは例えば、ＶＩＳＡ（登録商標）、ＭａｓｔｅｒＣａｒｄ（登録商標）等のクレジットカード会社や支払送金機構を含む。つまりこの用語は、電子取引の処理にあたって金融機関によって遂行される一連の機能を指す。

「検証者（Ｖｅｒｉｆｉｅｒ）」は、機能的には電子取引の一部としてアイデンティティ検証サービスを提供する実体を指すものと定義する。アイデンティティ検証サービスを有料で提供する法人のように、検証者は取引を行う当事者から独立した存在であることが
ある。一方、物品およびサービスの提供者、銀行、クレジットカード会社、またはその他の取引当事者に検証者の役割が含まれることもある。以降の開示と図で検証者が提供者から独立したものとして表現されることがあっても、必ずしも別個の実体を意味するのではなく、検証者の機能と銀行および提供者の機能とが相異なることを例証するためのものである。同様に、用語「検証者コンピュータ」は、機能的には本発明の検証機能を提供する何らかのコンピュータ、サーバ、またはネットワークを意味するものと定義し、コンピュータ、サーバ、またはネットワークの物理的位置やこれを所有または制御する者は問わない。「検証者コンピュータ」が引き受けるステップは「検証者」が引き受けるステップと同等とみなされ、その逆もまた同様である。

「検証者データベース」は、検証者コンピュータによるアクセスが可能なひとまとまりのユーザレコードを指す。

「通信装置」−通信システムの中でリンクされるあらゆる類の通信装置を広く含むように意図されており、この通信システムを通じて第１の人またはソフトウェアアプリケーションが第２の人またはソフトウェアアプリケーションと通信する。この用語はインターネットへリンクされたコンピュータ、地上通信線システムへリンクされた電話機、無線システムへリンクされた携帯電話等を含む。「個人用通信装置」はユーザが携行するにあたって十分に小さく移動可能な通信装置を指し、携帯電話、ＰＤＡ、無線コンピュータ、Ｂｌａｃｋｂｅｒｒｙ（登録商標）装置、Ｂｌｕｅｔｏｏｔｈ（登録商標）装置、ページャ、ビーパ、無線トランシーバ機能を有するその他の個人用装置を含むが、これらに限定されない。

「ローカルソフトウェア」−本発明の遂行にあたってユーザコンピュータによってアクセスされるソフトウェア。ステップを「実行」するローカルソフトウェアは、ローカルソフトウェアの指示に従って所定の機能を遂行するユーザコンピュータを指す。

「ユーザアクセス番号」−ユーザの通信装置にアクセスするために使用するアルファベット表現またはその他のデータ表現。

「アイデンティティ検証要求（Ｕｓｅｒ Ｖｅｒｉｆｉｃａｔｉｏｎ Ｒｅｑｕｅｓｔ：ＩＶＲ）」−検証者が発し、ユーザへ送信され、ユーザのアイデンティティ検証をユーザに依頼する電子要求。

「セキュア識別子（Ｓｅｃｕｒｅ ｉｄｅｎｔｉｆｉｅｒ）」−人の識別に用いるセキュアデータ表現の総称。この用語は、例えば、人または実体の識別に使用できるセキュアアルファベット表現、パスワード、コード、暗証番号、ＰＩＮ、パスワード、生体測定方式のデジタル表現を含む。提示した例で、「パスワード」の使用はタイプが異なるセキュア識別子を排除するものではなく、実際には種類を表すものである。用語「推定セキュア識別子（ｐｕｔａｔｉｖｅ ｓｅｃｕｒｅ ｉｄｅｎｔｉｆｉｅｒ）」は、ＩＶＲに応じて提供されるセキュア識別子を指す。「真正セキュア識別子（ｂｏｎａ ｆｉｄｅ ｓｅｃｕｒｅ ｉｄｅｎｔｉｆｉｅｒ）」は、推定セキュア識別子の比較対象となる既知の有効なセキュア識別子を指す。
（既存技術）
本発明は、電子取引を開始する人のアイデンティティをいかに検証するかという複雑な課題を解決する。

最も一般的な電子取引は、顧客が販売カード読取装置の先にクレジットカードを通すことによって始まるタイプのもので、これにより物品またはサービスを購入するための最初の要求がなされる。かかる要求には、顧客に対するクレジットの供与や、顧客の口座から
商人またはサービス提供者の口座への送金を求める暗黙的または派生的要求も含まれる。電子要求には、このほかに、例えば、部屋または建物に立ち入るための暗号化カードや生体測定機能の使用、現金自動預払機（ＡＴＭ）での暗号化カードの使用、インターネットを通じてオンライン商人へ口座番号を提供するオンライン商取引がある。

電子要求は、すべての関係当事者にとって極めて便利であるため、電子取引にともなう詐欺問題やセキュリティ問題の多くは看過もしくは軽視されている。このため、ある人の個人情報や財務情報が権限のない人によって入手され使用されるアイデンティティ窃盗が大きな問題となっている。米連邦取引委員会は、２００４年にＩＤ窃盗によるビジネスの年間損失を約５００億ドルと推定した。個人に関する費用は約５０億ドルだった。ＶＩＳＡ（登録商標）とＭａｓｔｅｒＣａｒｄ（登録商標）は、詐欺にかかわる損失が過去４年にわたって約１０％の年次増加で、２０００年に１億１４０万ドルに達したと報告した。カナダでは、アイデンティティ窃盗にかかわる損失が２００２年の８５０万ドルから２００３年の２１５０万ドルと、僅か１年で２．６倍に増加した。

電子取引技術の利用と悪用が増加したのとほぼ同じ時期に、携帯電話を中心とするポータブル通信装置の利用は、それ以上の増加率を示している。マーティン・クーパー（Ｍａｒｔｉｎ Ｃｏｏｐｅｒ）が手のひらサイズのモバイル電話機から初めて無線電話をかけた１９７３年から３３年の間に、携帯電話の利用台数は全世界で２５億台余りにまで拡大し、現在その数は全世界の人口の５０％に迫りつつある。携帯電話の加入数は多くの国々で人口の１００％を大きく上回っている。ポータブル通信ほど普遍的な電子技術はほかにはなく、セキュリティ強化に役立つ電子技術としてこれに勝るものはない。

電子取引にかかわるセキュリティ問題の解決に向けての取り組みの多くは、電子通信技術とセキュア識別子との組み合わせを試みるものだった。例えば、Ｔａｌｋｅｒの米国特許６，９５４，７４０号では、取引要求と併せてＰＩＮを送信することによって、クレジットカードの署名と勘定取引とを検証するシステムが開示されている。Ｈｕｌｔｇｒｅｎの米国特許６，８６８，３９１号では、電子取引を始める顧客が販売場所（ＰＯＳ）から検証する側に電話をかけ、検証する側にＰＩＮを伝え、検証する側がそのＰＩＮを有効な既知のＰＩＮと比較するシステムが開示されている。これらのシステムによって電子取引のセキュリティはそれなりに強化されるが、特に顧客の観点から、大抵はその実現にあたって困難や不都合をともなう。例えば、Ｈｕｌｔｇｒｅｎの場合には、顧客が検証する側に電話をかけて連絡をとる必要があるが、それには検証者の電話番号を知り、入力する必要があり、さらにその電話がつながり、処理されるのを待つ必要がある。

電子取引のときにユーザのアイデンティティを検証する方法およびシステムが求められており、その方法は実現と運用とが容易に、実質的にユーザがこれを意識することがなく、柔軟性に優れ、世界のどこであろうとユーザが検証する側に電話をかけることなく利用できるものである。

（発明の概要）
本発明は、電子取引で正確なユーザアイデンティティ検証を提供するという問題の解決に向けてポータブル通信技術を適用するシステムおよび方法である。この方法には数多くの適用、実施形態、付加物があり、ここではその一部を開示するが、基礎的方法は最低でも物品またはサービスを提供する提供者と、電子取引により物品またはサービスを入手しようとするユーザまたは顧客と、門番として働き要求者のアイデンティティが満足に検証されない場合に取引をブロックする検証者とからなる。

本発明の方法に関し、ユーザとユーザの通信装置とは、銀行、検証者、その他の実体によって運営される検証プログラムにおいて事前登録される。検証プログラムでは、ユーザの１つ以上の口座も事前登録される。これらの事前登録では、検証者データベースに情報を入力し、ユーザの通信装置と一体化されたユーザコンピュータか、もしくはユーザの通信装置に結合されたユーザコンピュータへ、ローカルソフトウェアをダウンロードする。口座の事前登録はシンプルで、口座に対するアクセスの試みが、ここで開示するユーザ検証ステップの対象になるか否かを指示するフラグをデータベースレコードに設定するだけでよい。あるいは、口座の番号とアクセス承認データを検証者データベースに入力し、口座へのアクセスにあたって検証者がユーザの代理として働けるようにする。オプションとして、上記したものに加え、あるいは、それに代えて、データベースレコードに、口座の事前登録では口座に対するアクセスの試みがここで開示する取引承認ステップの対象となるか否かを指示するフラグを設定する。

この事前登録プロセスの結果として、検証者データベースにデータを書込み、かつ検証者データベースからデータを検索するよう構成された検証者コンピュータにより、検証者データベースに蓄積された情報に、アクセスできるようになる。検証者データベースの中にあるユーザのレコードは、ユーザの真正セキュア識別子とユーザ通信装置のユーザアクセス番号とを含む。金融取引に関係する本発明の適用では、アイデンティティ検証と取引承認との対象となる口座を決定する種々のフラグもデータベースに収容する。

ユーザ（その他）がフラグ付き口座へのアクセスを試みると、商人から検証者コンピュータへ信号が送信され、検証者コンピュータは、検証者データベースに蓄積されたユーザアクセス番号を使ってユーザ通信装置との通信リンクオープンを試みる。ユーザ通信装置との通信リンクがオープンすると、検証者コンピュータは暗号化された本人検証要求（「ＩＶＲ」）をユーザ通信装置へ送信する。通信装置と入出力（「Ｉ／Ｏ」）装置とへ結合されたユーザコンピュータはＩＶＲを受信し、ＩＶＲを復号化しＩ／Ｏ装置上に表示する等してＩＶＲを処理するよう構成され、Ｉ／Ｏ装置はユーザから入力を受け付け、ユーザに対し出力を表示する。ユーザコンピュータはまた、ユーザの入力を取得し、ユーザの入力に基づきＩＶＲに対する応答を送信するよう構成される。ユーザ通信装置を所持する人が真正ユーザなら、Ｉ／Ｏ装置に（適正）推定セキュア識別子を入力することによってＩＶＲに応答する。一実施形態においては、ユーザ通信装置のローカルソフトウェアによって推定セキュア識別子が暗号化され、オープンされた通信ラインを介して検証者コンピュータへ送信される。推定セキュア識別子を受信した検証者コンピュータはこれを復号化し、データベースから検索した真正セキュア識別子に比較する。比較の結果、推定セキュア識別子と真正識別子とが一致する場合は、検証者コンピュータが取引のブロックを解除することにより、取引を処理し完了することができる。

オプションとして、本発明の方法は、ユーザが目下の電子取引を承認する追加のステップを含み、ここではこのステップを、ユーザアイデンティティ検証ステップと区別するため「取引承認」と呼ぶ。この承認ステップは、本発明の適用次第では、アイデンティティ検証ステップと同時に完了でき、あるいはまったく別に、例えば、取引承認要求と呼ばれる第２の暗号化要求を検証者コンピュータがユーザの個人用通信装置へ送信するときに、完了することもできる。ユーザは、通信装置のＩ／Ｏ装置に表示される取引承認要求をもとに取引の金額や商人といった詳細を検証できる。ユーザは、取引を承認または拒否するため取引承認要求に対する応答を送信するが、それには「ｒｅｔｕｒｎ」キーを押すだけでよい。この応答が取引を承認するものならブロックが解除され、取引は続行する。適用によっては、ユーザが取引を承認する前にユーザのアイデンティティを検証する。適用によっては、アイデンティティ検証に先立ち取引認証ステップを実行したほうが効率的である。

この方法には、組み合わせを利用することにより、すなわちユーザの携帯電話番号とセキュア識別子とを利用することにより、電子取引にさらなるセキュリティバリアを構築するという効果がある。ユーザのクレジットカードが盗まれたり私物化されたりする場合でも、泥棒がそのカードを使って取引の開始を試みると検証者コンピュータからユーザの携帯電話へＩＶＲが送信され、泥棒の試みは直ちにユーザに伝わる。カードの利用を試みる泥棒は、自身の行為によって被害者の電話が鳴り、何者かがカードを使って取引の開始を試みていることがユーザに伝わっていることを知らない。たとえユーザの携帯電話とクレジットカードとの両方が盗まれたり私物化されたりする場合でも、泥棒がユーザのセキュア識別子を知らない限り、泥棒がクレジットカードを使って開始する電子取引は失敗に終わる。加えて、現在携帯電話に普及しているＧＰＳ測位機能により、不正な検証照会の試みから自動的に追跡ルーチンをトリガーし、盗まれた携帯電話の位置を直ちに突き止めることもできる。

この方法の有用性は様々な実施形態を通じて大幅に拡大する。例えば、第１当事者から始まる電子取引を、検証者が第２当事者の代わって管理できるよう方法を構成することができる。例えば、従業員が会社のクレジットカードを所持する場合、検証者コンピュータは、販売時に従業員の携帯電話へＩＶＲを送信する。従業員のアイデンティティを確認できたら、検証者コンピュータから雇用主の固定電話機か携帯電話へ取引承認要求が送信されることによって、雇用主は取引の要求があったことを知り、取引の完了に先立ちこれを承認するか拒否するかを選ぶことができる。

もうひとつのオプション実施形態では、検証者が独自の代理取引カードをユーザに発行し、この代理取引カードによってユーザ本人検証が開始され、取引の内容はユーザのクレジットカード口座へ送られため、ユーザがクレジットカードを所持する必要はなく、情報は、商人の銀行と検証者との間でダイレクトに流れ、ユーザの銀行が関与することはない。この場合の検証者は、ユーザの１つ以上の口座に至るゲートウェイとして機能し、このゲートは、ユーザが検証者からのＩＶＲに応じて、ユーザが当該ユーザの通信装置に正しいセキュア識別子を入力する場合に限り開くことができる。

上記をはじめとする本発明の目的、特徴および利点は、以降の説明を添付の図面と併せて解釈することによってより明白となるであろう。

本発明の方法の事前登録ステップを示す図である。 クレジットカード電子取引に本発明の方法を適用した場合のフローチャートである。 システムの各種コンポーネントとその相互作用の図である。 部屋への立ち入りを許可する電子取引に本発明の方法を適用した場合のフローチャートである。 検証者発行代理取引カードに基づく本発明の方法のフローチャートである。

好適な実施形態の詳細な説明
（方法−段階Ｉ：事前登録）
本発明の方法には、幅広い設定で利用できる多大な柔軟性と可能性があるため、可能性としてのすべての適用を開示するのは不可能である。ここでは、本発明の方法およびシステムの比較的シンプルな実施形態を開示するが、これは本発明の実践にあたって現時点で当方の知る最良の方式に相当する。本発明の柔軟性を例証するため、いくつかのバリエーションと付加物とを開示する。当業者ならこれらの開示から本発明を実践し、適用することで、様々な成果をあげることができるであろう。

図１〜図３に記載される実施例は、ここで「顧客」または「支払人」と称される人が、クレジットカード口座、例えば、ＶＩＳＡ（登録商標）やＭａｓｔｅｒＣａｒｄ（登録商標）といった支払送金機構によって管理されるクレジットカード口座を保護するために、本発明をどのように役立てるかを示すものである。上述したとおり、ここではかかる金融実体を「銀行」と総称する。顧客から小売業者や商人をはじめとする払受人に対するクレジットカードの提示により、物品／サービス購入の申し出と、物品／サービスの支払にあたって顧客の口座でクレジットの供与を求める要求がなされる。図１は、ユーザと、その通信装置と、その口座とを検証プログラムで事前登録するプロセスを示す。図２は、本発明によって電子取引中にユーザのアイデンティティを検証するプロセスを示す。

図１を参照し、顧客１０１と、銀行２０１と、検証者３０１とがやり取りしながら事前登録プロセスを遂行する好適な実施形態を説明する。検証者３０１はこの好適な実施形態でソフトウェアとサーバを銀行２０１に提供する。検証ソフトウェアと関係ハードウェアが物理的に銀行の行内にあって銀行によって操作されるという意味では、「検証者コンピュータ」は銀行の物理的管理下にある。プロセスは、ユーザアイデンティティ検証サービスを求める顧客が銀行に連絡をとるところから始まる４０１。銀行は、要求を記録したり顧客のアイデンティティを検証したりする等して必要な運営業務を完了する５０１。そのデータは、データベースで更新される７０１。

検証プログラムで顧客を事前登録するには、検証者に、アイデンティティ情報を含む必要データと、失われたパスワードを電子的に回復するための情報とを提供する６０１。顧客には真正パスワードが割り当てられる。これらの情報は、どれも検証者データベース７０１で顧客のレコードに書込まれる１６０１。この図では、検証者データベースと銀行のデータベースとが１つの実体として表されているが、後ほど詳述するとおり、データベースの物理的実施形態を、別々のサーバで実行する別々のデータベースとして実装できることを理解されたい。

次のステップでは、顧客が利用する携帯電話またはモバイル電話機を事前登録する８０１。まずは、ユーザが、顧客のモバイル電話機との通信リンクをオープンするために使うユーザアクセス番号を検証者に提供し、検証者は、そのユーザアクセス番号をデータベース７０１に蓄積する１２０１。次に、検証者は、提供されたユーザアクセス番号を使ってモバイル電話機に電話をかける９０１。そして、検証者は、このオープンされた通信リンクを通じて、ローカルソフトウェアをユーザの電話機と一体化されたユーザコンピュータにダウンロードする１００１。後述するとおり、このローカルソフトウェアは、検証プロセスのときに必要となる。なお、本発明の実装次第では、ユーザコンピュータは、単独のコンピュータであったり、各種通信装置のいずれかに一体化されたコンピュータであったりする。この時点で、検証者は、オプションとしてモバイル電話機の識別に使う装置識別情報をモバイル電話機から取得することもできる。ユーザコンピュータがモバイル通信装置ではなく、ラップトップコンピュータやＰＤＡをはじめとするコンピュータである実施形態であれば、検証者は、コンピュータのＣＰＵのシリアル番号を取得できる。これらの通信装置データは、データベース７０１に書込まれる１２０１。

事前登録の最終段階では、サービスによって保護される口座を事前登録する１３０１。顧客は、自身の口座のうち、ユーザアイデンティティ検証サービスによる保護を望む口座を決定する。これ以降、登録された口座を使う取引は、検証者が取引のたびに顧客のアイデンティティを検証するまでブロックされる。顧客は、登録する口座を指定する１７０１。銀行は、指定された口座にフラグを付け１４０１、検証者に通知する１８０１。検証者は、データベース７０１でしかるべき入力を行うことによって口座を事前登録する１５０１。あるいは、銀行が、自身のデータベースで検証フラグを維持し、フラグが付いた口座
に対しアクセスが試みられるたびに検証サービスを通知する。口座にフラグを付けるにあたって最も効率的な方法は、具体的な適用と当事者のリソースとの次第で決まる。要点は、検証者が顧客のアイデンティティを検証するまでは、指定口座を使った取引の進行がブロックされるということである。

この実施例では、ただ１人の人、すなわち顧客が電子取引を開始する。ただし、複数の口座ユーザがいる場合は、それらのユーザのＩＤデータおよび携帯電話番号も６０１で検証者に提供され、データベース７０１に入力される。

顧客は、オンラインで、すなわち地上通信線および／または無線通信システムを通じて、上記した事前登録プロセスに簡便に着手できる。ソフトウェアをダウンロードするステップ１００１は、検証者が顧客の携帯電話との通信リンクをオープンして行うのが最も好都合である。事前登録のプロセス全体は数分で完了する。検証者が銀行とは別の実体であっても、検証者が事前登録プロセスに直接関与する必要はない。銀行自らが事前登録プロセスを遂行することもあり、この場合は、検証者の存在を顧客が意識することがない。例えば、アイデンティティ検証会社が銀行と契約を結び、本発明の方法の遂行にあたって必要となるソフトウェアおよびサーバを銀行に提供する。そして、銀行がアイデンティティ検証プロセスを運営するなら、銀行は、ここで使われている用語「銀行」および「検証者」の両方の役割を果たすことになる。

事前登録プロセスの順序は一定ではなく、柔軟に変えることができることを強調する。例えば、口座へのフラグ付け１４０１は、顧客が事前登録を要求４０１した時点で直ちに行うことができる。
（方法−段階ＩＩ：顧客アイデンティティ検証）
図２は、顧客１０１が小売業者１０２から物品／サービスを購入する取引の一部として銀行２０１からクレジットの供与を受けるため検証者３０１に登録した口座を使用する一連のステップを示す。

顧客は、自身のカードを小売業者１０２に提示することによって電子取引を開始する２０２。カード読取装置にカードを通すと、例えば、現在一般的に行われているように公衆交換電話網（ＰＳＴＮ）を通じて銀行２０１へ電子通信が送信される３０２。銀行は、自身のデータベースで顧客の口座情報を照会し５０２、取引を完了するにあたって十分なクレジットや資金の有無を確認する。問題がある場合は、銀行は取引を終了して小売業者に通知でき２９０２、問題がない場合には、銀行はデータベースに問い合わせ、顧客の口座でフラグの有無を判断する４０２。

口座にフラグが付いていなければ６０２、取引はユーザアイデンティティ検証ステップをとばして通常の承認手順を続行する２５０２。

この実施例の顧客は、図１に従って検証サービスのため口座を事前登録しているから、口座にはフラグが付いている。したがって、顧客のアイデンティティが検証されるまで、取引はブロックされる３００２。アイデンティティ検証プロセスを開始するためのメッセージが銀行から検証者へ送られる７０２。検証者は、顧客のモバイル電話機のユーザアクセス番号を自身のデータベースから検索し、例えば、無線プロトコルおよびネットワークを使用し、顧客のモバイル電話機との通信リンクをオープンする１００２。顧客のモバイル電話機には、問い合わせ信号が送信され、この信号が顧客のモバイル電話機で受信されると、事前登録（図１参照）のときに電話機にダウンロード１００１されたローカルソフトウェアが活性化する８０２。取引は、デフォルトによりブロックされているため３００２、電話機の電源が入っていないか応答がなければ、検証プロセスは失敗し、取引は終了する。同様に、アイデンティティ検証プロセスの完了前に電話が「打ち切られ」たり、例
えば「タイムアウト」の結果として通信リンクが断絶する場合も、同じ理由から、取引は失敗に終わる。

顧客の電話機が応答する場合は、ユーザコンピュータが自動的に検証者コンピュータで取引情報を探し１２０２、検証者コンピュータは、アイデンティティ検証要求（ＩＶＲ）を含む取引情報のユーザコンピュータへの送信１４０２によって応答する１１０２。ＩＶＲを受信したユーザコンピュータは、これをフォーマットしてユーザのＩ／Ｏ装置に表示する。

ＩＶＲのフォーマットは、利用できる好適な技術とポータブル通信装置とのタイプ次第で異なるが、今のところ、ほとんどの地域ではテキストメッセージが好まれている。ＩＶＲは、基本的には顧客にパスワードの入力を案内するものである。

検証者コンピュータは、オプションとして、ユーザの電話機から装置識別番号を取得し、データベースに記録された装置識別番号と比較し、それにより適切な通信装置に連絡をとっていることが確認できる。好都合なことに、このステップはユーザコンピュータが取引情報を探しているときに１２０２実行できる。

顧客は、自身のモバイル電話機のＩ／Ｏ装置に推定パスワードを入力し１８０２、そのパスワードはユーザコンピュータによってフォーマットされ、ＩＶＲに対する応答として検証者コンピュータへ送信される１６０２。この推定セキュア識別子は、検証者コンピュータによって受信され、この検証者コンピュータがデータベース７０１から検索した真正パスワード（図１参照）と比較される１５０２。

推定パスワードと真正パスワードとが一致しない場合には、「確認不能」メッセージがユーザコンピュータへ送信され１７０２、顧客に再試行を求める。予め設定された失敗試行数を超えると取引は終了し、銀行はその通知を受ける１３０２。このとき、銀行、小売業者、および／または検証者は、顧客の地上通信線に電話をかけて取引の失敗を顧客に通知する、警察に連絡する、さらなる取引の試みから口座をブロックする、カードを没収する等、数々の保護措置もしくは救済措置を講じることができる。適用次第では、推定パスワードの検証に先立ち通信リンクが打ち切られる場合には、その状況をセキュリティ侵害として処理できるほか、取引をそのまま終了して銀行および／または小売業者に通知することもできる。

真正パスワードと推定パスワードとが一致する場合には、「アイデンティティ検証済」信号９０２が生成され、口座に対するブロック３００２は解除され、銀行への通知２４０２、商人への通知２２０２、顧客のモバイル電話機への確認送信２６０２等、取引の続行が許可される。

ユーザコンピュータと検証者コンピュータとの間の送信は、暗号化される。ローカルソフトウェアは、顧客からの入力をまじえず自動的に着信トラフィックを復号化し、発信トラフィックを暗号化する。通信ラインは、顧客の電話機に電話をかける検証者によってオープンされ、顧客の電話機にあるローカルソフトウェアは、検証者から届く着信メッセージを自動的に識別し、電話機のＩ／Ｏ装置にメッセージを表示し、発信情報をフォーマットし、検証者に送信するから、顧客が、検証者の電話番号を知る必要も、その番号をダイヤルする必要もない。
（方法−段階ＩＩＩ：取引承認・完了）
図２のノード２５０２で、顧客のアイデンティティは検証済みで、取引は完了まで進めることができる。ＩＶＲは、本発明の多くの実施形態で取引の承認を求める要求を暗黙的または明示的に含み、顧客は、自身のセキュア識別子を入力することによってこの承認を
下す。別の実施形態では、別のステップで顧客に取引を承認させるのが望ましい。それには、検証者コンピュータがユーザコンピュータへ承認要求を送信し、顧客がしかるべき応答を提供するまで待つ。顧客が取引を承認しないことを伝えるか、電話が終了すると、取引は失敗に終わる。

銀行は、ステップ２４０２および２３０２で、アイデンティティ検証手順とオプションの取引承認ステップとの結果について通知を受ける。ステップ２２０２では、小売業者も取引状況について通知を受け、ステップ２６０２では、顧客が通知を受けるが、これは顧客のモバイル電話機を通じて直ちに行われることもあれば、例えば、顧客の月次明細書を通じて将来的に行うこともできる。取引が許可された場合には、取引は完了する。
（システム）
本発明のシステムは、上の実施例で概説した方法を実施する、新規かつ非自明の組み合わせによるハードウェアおよびソフトウェアコンポーネントを備える。本発明には、多大な柔軟性および幅広い適用範囲があるため、本発明の形式または実施形態の全てを説明することは不可能であり、予想することすら不可能である。ここでは、いくぶん基礎的なシステム実施形態を開示するが、当業者なら開示の範囲内で自明の変更や改良を施すことができるであろう。

図３は、クレジットカード取引の実施例を用いて本発明の主要コンポーネントとその相互作用を図で要約したものである。

顧客１０３は、無線トランシーバ４０３を備える携帯電話２３０３やその他のモバイル通信装置等の通信装置と、ユーザコンピュータ６０３によって実行されるローカルソフトウェアと、顧客に対しモバイル通信を仲介するＩ／Ｏ装置５０３とを備える。ユーザコンピュータは、Ｉ／Ｏ装置およびトランシーバに結合されており、ローカルソフトウェアによりＩ／Ｏ装置で着信ＩＶＲを表示し、ＩＶＲに対する顧客の応答を発信データとしてフォーマットし、かつ携帯電話のトランシーバを通じて検証者へ発信データを送信するよう構成される。

通信装置２３０３のユーザコンピュータは、検証者２０３の第１の通信装置２４０３が有する無線リンクにあたる通信リンク１５０３にアクセスするよう構成される。この第１の検証者通信装置は、検証者コンピュータ９０３に結合される。検証者コンピュータは、ソフトウェアにより検証者データベース７０３にアクセスするよう構成され、これにより、検証者コンピュータは検証者データベースでデータを読み書きできる。このデータは、検証者の第１の通信装置２４０３と検証者の第２の通信装置８０３とによって送受信されるデータを含む。

第２の検証者通信装置８０３は、通信リンク１８０３を通じて、銀行／提供者の通信装置１１０３と通信するよう構成される。この通信リンクは、無線リンクとして、またはＰＳＴＮ等の地上通信線網として、実装できる。検証者通信装置の第１および第２のトランシーバ機能を組み合わせることは技術的には可能であるが、これらの機能を分離すると柔軟性および通信速度の向上が得られ、今日一般的に利用できる技術を利用する場合に好ましい。

実装次第では、ユーザコンピュータおよび検証者コンピュータの一方、もしくは、その両方を、以下のように構成する。すなわち、データベース７０３から検索された真正セキュア識別子を第１の入力として受け取り、顧客のＩ／Ｏ装置５０３を通じて入力された推定セキュア識別子を第２の入力として受け取り、第１の入力を第２の入力と比較し、そして、第１の入力が第２の入力に一致するか否かを示す確認出力を生成する、ように構成してもよい。両者が一致しない場合には、取引がブロックされるか、あるいはブロックされ
たままとなり、完了まで進めることができない。

銀行／提供者３０３は、銀行コンピュータ１２０３で作動する口座アクセスソフトウェアを制御し、これを通じて口座データベース１００３にアクセスし、口座データの読み書きを行う。なお、アイデンティティ検証サービスは、本発明の多くの適用で銀行／提供者によって提供され、運営される。この場合のデータベース７０３およびデータベース１００３は、１つまたは複数のサーバで実行する同じ物理的データベースであってもよい。また、金融サービス実体が関与する、または関与しない、取引で物品／サービスの提供者が取引の当事者となる本発明の非金融適用を明示するため、実体３０３がこの図で「銀行／提供者」となっている。本発明の非金融適用の一例は、後ほど紹介する。

好適な実施形態によると、口座データベース１００３は、残高、クレジット限度額、活動等、口座データを収容する。特に注目すべきは、それぞれの口座レコードで口座が顧客のアイデンティティ検証の対象になるか否かを指示するフラグである。口座データベースは、氏名、連絡番号、請求先住所等、顧客データも収容する。口座データベース１００３にアクセスできるのは、口座管理ソフトウェア１２０３の実行権を持つ銀行および小売実体である。

検証者が銀行とは別の実体となる本発明の実施形態において、検証者データベース７０３に直接アクセスできるのは検証者２０３だけである。ただし、情報は、検証者コンピュータ９０３の制御下で通信リンク１８０３を通じて銀行／提供者３０３を行き来する。同様に、通信リンク１５０３および検証者コンピュータ９０３を通じて、ユーザコンピュータ６０３と検証者データベース７０３との間で情報が流れる。最後に、顧客１０３から銀行／提供者３０３にかけて電子取引開始要求の形で情報が流れる１７０３。この通信は、電子的に実装されることもあれば、非電子的に実装されることもある。

上述したとおり、本発明の方法は、取引の完了に先立ち取引を承認するオプションのステップを備える。この承認ステップを盛り込むにあたって、追加の物理的要素は必要ない。検証者データベース７０３または銀行／提供者データベース１００３において、顧客レコードのフィールドにビットを設定するだけでよい。上記したものに代えて、あるいは、それに加えて、商人が承認を義務付けることもできる。

ここで開示するシステムのとりわけ便利な利点として、商人のＰＯＳコンピュータをプログラムし直す必要もなければ、既存の通信ネットワークを変更する必要もない。さらに、システムは、検証者コンピュータおよびユーザコンピュータに限定されたソフトウェア調整で実装できる。
（詳細、バリエーション、付加物）
（ローカルソフトウェア）
本発明の各種実施形態の複雑さと広がりは、主に、ユーザコンピュータが通信装置にダウンロードされたローカルソフトウェアを使って遂行する機能によって決まる。実施形態にもよるが、ローカルソフトウェアは、検証者コンピュータから着信トラフィックを受信する機能と、通信装置を行き来する情報を復号化／暗号化する機能と、ユーザ通信装置のＩ／Ｏ装置に向けて情報を表示する機能と、検証者コンピュータへ応答を送信する機能と、推定セキュア識別子と真正セキュア識別子とを比較する機能と、レコードと検証活動ログを管理する機能とを含む。

好都合なことに、ローカルソフトウェアのダウンロードは、検証者コンピュータとユーザコンピュータとの間の通信リンクを通じて果たすことができるが、当業者にとっては、ここでの開示を理解した後、数々の代替手法が明白となるであろう。例えば、ソフトウェアは、検証者によって提供されるチップへダウンロードできる。あるいは、通信装置を専
用の装置とし、製造時にソフトウェアをダウンロードすることもできる。

（暗号化）
本発明に見込まれる適用の多くは、安全な個人・金融情報送信を必要とする。このため、かかる適用では無線ネットワーク上で送信される情報の暗号化が不可欠となる。本発明の種々のソフトウェアアプリケーション６０３、１２０３、９０３には、いずれも、それぞれのトランシーバを通過する情報を暗号化および復号化する機能が組み込まれる。当分野で一般的に使われている暗号化のプロトコルおよび方法を使って差し支えない。当業者ならこの開示を理解した後に、過度の実験をまじえずとも、本発明のための暗号化／復号化ルーチンを実装できるであろう。
（ユーザ通信装置）
ここで開示する実施形態では、顧客のアイデンティティ検証に使われていないときには、通常の通信目的に利用されるタイプのモバイルまたは携帯電話で本発明を実装することになっているが、本発明は、検証者から顧客へ支給される専用の通信装置を使って容易に実装できる。かかる装置は、大きさがページャまたはビーパ以下のパッケージの中に、必要機能をすべて内蔵する。顧客とのＩ／Ｏインターフェイスは、実装次第では単一のＬＥＤまたはビーパのようにシンプルであったり、ストリーミングテキストメッセージや音声合成装置のように複雑であったりする。

本発明は、いずれかの実体によって使用されるトランシーバおよび通信リンクのタイプに限定されない。多くの適用、とりわけ検証者と顧客との間の通信にとっては、無線通信の使用が好ましいが、本発明のステップ遂行に利用可能な、既存の通信技術および将来実現する通信技術は、本発明の範囲内と請求項の範囲内にあるとみなされる。

好適な実施形態では、顧客と検証者との間で無線通信リンク１５０３を使用するが、本発明が十分に柔軟で、モバイルまたは無線通信装置を使用せずとも容易に実装できることは、この開示から理解されるであろう。例えば、顧客は、一定の地理位置で地上通信線通信システムだけを使用するかもしれない。かかる状況では、地上通信線を通じて、あるいは、例えばインスタントメッセンジャータイプのプロトコルを使用するインターネット接続を通じて、検証者と顧客との間の通信を実施でき、この場合には、顧客のコンピュータが本発明の遂行にあたって必要となる種々の要求および情報の受信器／送信器として機能する。
（セキュア識別子処理）
上の実施例で、顧客は、ＩＶＲに応じて自身のセキュア識別子を検証者へ送信する（図１、１６０２参照）。これは、当然ながら暗号化送信である。同等の手法として、検証者コンピュータは、検証者データベース７０３から顧客の真正セキュア識別子を検索し、ＩＶＲの送信時に真正セキュア識別子をユーザコンピュータ６０３へ送信する。これも暗号化送信である。ユーザコンピュータのローカルソフトウェアは、検証者コンピュータから受信した真正セキュア識別子を、顧客がＩＶＲに応じて入力する推定セキュア識別子に比較する。ユーザコンピュータは、２つの識別子が一致する場合に自動的に検証信号を検証者コンピュータへ返す。２つの識別子が一致しなければ非検証信号が送信される。検証者が顧客へ真正セキュア識別子を送信しようが、顧客が検証者へ推定セキュア識別子を送信しようが、いずれの場合にもセキュア識別子は各取引につき１回暗号化され、送信され、復号化される。

第３のアプローチも同様に本発明の一部の適用で申し分ないことが分かる。このアプローチでは、事前登録プロセスのときに顧客の携帯電話に真正セキュア識別子をダウンロードする。この真正セキュア識別子は、電話機のソフトウェアに埋め込まれたまま残る。検証者コンピュータがユーザコンピュータにＩＶＲを送信すると、顧客は、推定セキュア識別子を入力する。ユーザコンピュータは、顧客の入力を埋め込まれた真正セキュア識別子
に比較する。一致する場合は、ユーザコンピュータが検証者コンピュータへ検証信号を返す。この信号は単一ビットであるため、多くの場合、暗号化する必要はない。金融情報や口座番号の送信を伴わないこのような実施形態では、暗号化データの送信を省いて本発明を実装することが可能である。これは特に、小型専用通信装置を使用する実装の場合に望ましい。
（複合顧客実体）
本発明のあるバリエーションにおいては、顧客は、例えば、本人と１つ以上の代行者とからなる複合実体である。雇用主／従業員、親／子、配偶者は、かかる複合顧客の例である。問題は、一実体、すなわち代行者が、電子取引を開始する場合には、別の実体、すなわち本人が、取引の責任を持ち、取引を承認することにある。

上述したように、本発明のこの実施形態では、検証者コンピュータから代行者の携帯電話へＩＶＲが送信される。図１によると、ＩＶＲは、代行者のユーザコンピュータによって処理される。代行者は、自身のパスワードを入力し、そのパスワードは検証者へ送信され、検証者コンピュータによって処理される１５０２。その後の承認ステップでは、検証者コンピュータが検証者データベースから本人の電話番号を検索し、本人に電話をかけ、代行者が開始した取引の承認を求める。取引が承認されるなら取引は完了まで進み、承認されないなら終了する。この改良により、本人は月次明細書が届くのを待って遡及的に承認する代わりに、取引の最中に取引を承認できる。

あるいは、アイデンティティ検証と承認ステップとの両方を本人に遂行させるようシステムを構成することも容易である。かかる実施形態では、取引を始めたのが代行者であっても、検証者コンピュータは本人に連絡をとり、本人のアイデンティティを検証する。

本人が一定の場所にいるなら、本人の通信機器は、モバイル機器や無線機器である必要はない。例えば、会社の会計事務所が検証者コンピュータから届く承認要求の処理を担当するなら、事務所の地上通信線が検証者コンピュータと連絡をとるにあたって最も好都合である。ただし、代行者と本人の両方が無線通信を使用することは、本発明の範囲内にあり、数多くの利点がある。
（本発明の非営利適用）
当業者なら前記の開示を理解した後、本発明の様々な有益な適用が明白となるであろう。例えば、電子制御されたホテルの部屋やその他のセキュアスペースに立ち入るためアクセスカードを使用する人のアイデンティティ検証に本発明を役立てることもでき、ここにおいて、電子取引とは扉を開くことである。

図４には本発明の非金融取引適用が描かれている。ゲスト１０４は、自身のキーカードを読み取らせることによって部屋への入室を求める４０４。既存の技術を用いて一般的に行われているように、カードからコードが読み取られ、セキュリティコンピュータによって検証される５０４。コードが一致しないか何らかの異常がある場合には、警報が発せられ１４０４、立ち入りは拒否され、警備員による状況調査が行われる。

コードが有効であれば、ゲストのアイデンティティ検証を要するフラグがその部屋に付いているか否かをホテルのコンピュータが判断する１５０４。これは、例えばゲストがチェックインのときに要求するオプションであってよい。アイデンティティ検証が必要でなければ、ホテルは入室を記録し１６０４、部屋は解錠される６０４。ゲストのアイデンティティ検証フラグが部屋に付いているなら、検証者３０４へメッセージが送信され、検証者は、ゲストのアイデンティティ検証を開始する１３０４。検証者は、ゲストのチェックインのときに検証者データベースに蓄積されたゲストの携帯電話のユーザアクセス番号を使ってゲストの携帯電話をダイヤルし、ゲストへＩＶＲを送信する１８０４。ゲストの携帯電話が鳴ると７０４、ユーザコンピュータが活性化し、要求を受け取り、処理し、携帯
電話のＩ／Ｏ装置に表示する。これらのステップは、ＩＶＲの復号化を含む先のクレジットカード実施例とほぼ同じか同じである。

ゲストの部屋に入室を試みる者がゲスト自身でなくともゲストの携帯電話は鳴り、ゲストは、自身のキーカードを何者かが所持し、自分の部屋に立ち入ろうとしていることを警戒する。そして、ゲストは、ホテルまたは警察に連絡をとることができる。

入室を試みる人がゲストと仮定し、ゲストは、携帯電話のキーパッドで推定パスワードを入力し８０４、その入力は、処理され、暗号化され、検証者コンピュータへ送信される。推定パスワードを受け取った検証者コンピュータはこれを復号化し、検証者データベースに蓄積された真正パスワードとの一致を評価する１７０４。一致しない場合は、ゲストに通知し、ゲストは再び試みる９０４。所定の失敗試行数が過ぎると警報が発せられ１９０４、警備員が調査を行う１４０４。

推定パスワードの確認がとれる場合は１７０４、入室が許可され１２０４、ホテルは入室を記録し１１０４、ドアは解錠される１００４。

ここで紹介したホテルの部屋に立ち入る実施例は、建物、収納ロッカー、貸金庫等、どんなスペースへの立ち入りにも容易に適用できる。

サービスや便益を受けるために、幅広い営利・非営利電子取引に本発明を都合よく適用できることは理解されるであろう。例えば、国境で取得済みのビザで入国許可を求める移民が提示するビザかパスポートが読み取られると、民間企業および政府機関の検証者に対しアイデンティティの検証を求める要求が始まる。検証者は、相手の携帯電話に電話をかけ、携帯電話へＩＶＲを送る。携帯電話が鳴り、ＩＶＲに応じて相手がセキュア識別子を入力することで、国境監視員は相手のアイデンティティを直ちに確認できる。国境監視員は、携帯電話が鳴らない場合には偽造書類の疑いをかけ、しかるべき措置を講じる。電話が鳴って相手が正しいセキュア識別子を提供できなければ、国境監視員は、電話または書類の盗難を疑い、しかるべき措置を講じる。
（検証者発行代理取引カード）
図５は、検証者がユーザに代理取引カードを発行する本発明の方法の一実施形態を要約したものであり、ユーザは自身の１枚以上のクレジットカードの代わりにこの代理取引カードを使用し、自身の口座へのアクセスを検証者に承認する。この実施形態で、ユーザは事前登録段階で口座アクセス情報と、１つ以上の口座（この例ではＶＩＳＡ（登録商標）クレジットカード口座）にアクセスするための継続承認とを、検証者に提供する。顧客は、口座を登録する際に検証者にＶＩＳＡ（登録商標）カードを提出するだけでよく、検証者は、そのカードを読取装置に通して口座アクセス情報を取得し、検証者データベースに保存する。上述したとおり、このクレジットカード口座アクセス情報は、事前登録のときにユーザから提供されるその他のデータと併せて検証者データベースに蓄積される。この実施形態で、事前登録と、データの蓄積および検索と、クレジットカード会社との通信とは、どれも検証者の会社によって行われ、ユーザの銀行は必ずしも関与しない。

クレジットカード口座データが検証者データベースに入力された後には、検証者がユーザに代理取引カードを発行する。代理取引カードの大きさおよび形状は、クレジットカードとほぼ同じで、磁気帯が付いている。代理取引カードの磁気帯には、小売業者と検証者との間で通信リンクをオープンするにあたって必要最低限の情報を入れるだけでよい。

説明のため、この実施形態では図５の「小売業者／商人銀行」に見られるように、商人および商人の銀行や、資金を預けるその他金融機関の両方を含む用語「小売業者」を使用する。したがって３０５では代理取引カードから読み取られるデータが販売場所から商人
の銀行へ送信され、商人の銀行が検証者との通信リンクをオープンする。これらの詳細はシステムを使用する組織のニーズによって異なるが、いずれにせよユーザには情報の流れが見えない。

ユーザ１０１は、販売場所で代理取引カードを提示することによって小売業者／商人銀行１０２との取引を開始する２０２。小売業者が磁気読取装置に代理取引カードを通すと、磁気読取装置は磁気帯の情報を読み取る。小売業者は品物や購入金額等、取引の詳細を入力する。代理取引カードから得た通信情報をもとに小売業者／商人銀行と検証者コンピュータとの間で通信リンクがオープンすると、検証者へ取引情報が送信される３０５。

オプションとして、顧客は検証者の代理取引カードを通じて複数の口座へのアクセスを望む場合がある。かかる実施形態では、口座の「リスト」と各口座の簡単な識別子を代理取引カードの磁気帯に入れるが、この識別子は安全なものでなくてもよい。小売業者によって代理取引カードが読み取られると、口座のリストが小売業者の画面に現れる。使用する口座を、例えばこの実施例でＶＩＳＡ（登録商標）口座＃１を、消費者が指示すると、その口座の識別子が検証者へ送信される。

小売業者から連絡を受けた検証者は、検証者データベースでユーザのＶＩＳＡ（登録商標）口座＃１データを調べ５０５、先に開示した図２の方法と同様の方法でユーザアイデンティティ検証を開始する６０５。手短に説明すると、検証者がユーザの携帯電話へＩＶＲを送信すると７０５、事前登録のときに電話機にダウンロードされたローカルソフトウェアが起動する。そしてユーザコンピュータが検証者コンピュータに応答し８０５、通信リンクが正常に開いていることを伝える。検証者コンピュータは、オープンされたリンクを通じて携帯電話へ暗号化されたＩＶＲを送信する。ユーザは、自身のＰＩＮもしくはパスワード、またはその他の推定セキュア識別子を携帯電話に入力する１００５。この推定セキュア識別子は、暗号化され、検証者へ送り返され、検証者データベースから検索された真正セキュア識別子と比較される１１０５。一致しない場合には、取引が拒否され１５０５、小売業者は通知を受け１７０５、さらにユーザが通知を受ける１８０５。もちろん、既に開示したとおり複数の試行を許可すること、タイムアウトを解析すること、警察当局に通知すること、また、他のしかるべき対応に着手すること等を拒否ルーチンに盛り込むこともできる。これらのステップは、図５に図示されていない。ユーザが選んだ引き落とし口座がどれであれ同じ検証ステップと同じセキュア識別子が使われるため、数ある口座のいずれかへのアクセスにあたって、ユーザはただ１つのＰＩＮまたはパスワードを憶えておけばよい。

あるいは、ユーザの口座「リスト」を代理取引カードに入れるのではなく、検証者データベースで保管するようシステムを構成することもできる。代理取引カードが読み取られ、小売業者／商人銀行と検証者との間で通信リンクがオープンすると、検証者は検証者データベースから口座のリストを検索し、ユーザとの通信リンクをオープンし、口座のリストをユーザ通信装置へ送信する。そしてユーザは自ら選ぶ口座をユーザ通信装置に入力する。

推定セキュア識別子と真正セキュア識別子とが一致すると１１０５、ユーザの代理を務める検証者が該当するクレジット提供者１０５（ＶＩＳＡ（登録商標）口座＃１）に対し通信リンクをオープンする。これが可能なのは、事前登録のときにユーザから検証者に口座アクセス情報が提供されているからである。検証者コンピュータは、口座情報と保留になっている取引の詳細をクレジット提供者へ送信することにより１９０５、選択された口座へ取引の内容を送る。クレジット提供者は、自身のデータベースを照会し、取引に見合う十分なクレジットがユーザの口座にあるか否かを判断し、取引を許可するか１３０５、それとも拒否するか１４０５について、決定を下す１２０５。この決定は、検証者コンピ
ュータに伝達され１６０５、検証者コンピュータはそのデータベースでしかるべき注釈を付し、小売業者に通知し１７０５、さらにユーザに通知し１８０５、クレジット提供者の指示に従って取引を完了またはキャンセルできる。前述した取引開始以降のステップはどれも、ヒトの仲介をまじえず自動的に実行できる。

本発明のこの実施形態には多大な利点が数多くある。第１に、消費者がクレジットカードを所持したり、自身の口座を識別する何らかの情報を所持したりする必要はない。検証者によって発行される代理取引カードにより、消費者は商人や顧客の通信装置を介して口座情報を送信することなく自身のクレジットカード口座の全てに安全にアクセスできるため、代理取引カードは普遍的なクレジットカードとなる。第２に、消費者は、自身の全クレジットカード口座へのアクセスにあたってただ１つのＰＩＮを憶えておけばよい。第３に、ユーザが自身の代理取引カードを提示する場所が世界のどこであれ、口座番号やユーザの口座に関するその他の情報が販売場所から送信されることはない。口座情報は、中央の検証者からクレジット提供者へ送信されるだけである。このため、口座情報送信のセキュリティを管理し、大幅に強化することが可能となる。第４に、検証者はクレジットカード提供者へ至る通路の役割を果たすため、消費者の銀行が電子取引に関与する必要はない。情報は小売業者と検証者とを行き来し、検証者とユーザとを行き来し、検証者とクレジットカード会社とを行き来する。
（まとめ）
本発明の新規性と、有用性と、本発明を構築し実践する手段とは、以上の説明から容易に理解されるである。これらの本発明の好適な実施形態の開示は、現時点で当方の知る最良の方式に相当する。当方の発明が上で開示した実施形態に限定されず、添付の請求項の範囲内にあるあらゆる実施形態を含むことを理解されたい。

Claims (20)

1. 電子取引の過程で検証者によりユーザのアイデンティティを検証する方法であって、前記ユーザアイデンティティ検証方法は、
   （ａ）ユーザを事前登録するステップを備え、ステップ（ａ）は、
   （ａ１）ユーザに真正セキュア識別子を割り当てるステップと、
   （ａ２）真正セキュア識別子を検証者データベースに蓄積するステップとを含み、さらに
   （ｂ）ユーザ通信装置を事前登録するステップを備え、ステップ（ｂ）は、
   （ｂ１）ユーザ通信装置との通信リンクをオープンするために用いるユーザ通信装置のユーザアクセス番号を取得するステップと、
   （ｂ２）ユーザアクセス番号を検証者データベースに蓄積するステップとを含み、さらに
   （ｃ）ステップ（ｂ２）の検証者データベースからユーザアクセス番号を検索するステップと、
   （ｄ）ステップ（ｃ）で検索したユーザアクセス番号を用いて検証者とユーザ通信装置との間で通信リンクをオープンするステップと、
   （ｅ）ステップ（ｄ）でオープンした通信リンクを通じて検証者からユーザへアイデンティティ検証要求（ＩＶＲ）を送信するステップと、
   （ｆ）ユーザが推定セキュア識別子を入力するステップと、
   （ｇ）ステップ（ｄ）でオープンした通信リンクを通じてステップ（ｅ）のＩＶＲに対する応答を送信するステップと、
   （ｈ）ステップ（ａ２）で蓄積された真正セキュア識別子を検索するステップと、
   （ｉ）ステップ（ｆ）で入力された推定セキュア識別子をステップ（ｈ）で検索した真正セキュア識別子と比較するステップと、
   （ｊ）ステップ（ｉ）の比較が推定セキュア識別子と真正セキュア識別子との一致に帰結する場合に限り取引の続行を許可するステップとを備える、方法。
2. ステップ（ｇ）で送信される応答は、ステップ（ｆ）で入力される推定セキュア識別子を含み、ステップ（ｉ）は、検証者によって実行される、請求項１に記載の方法。
3. ステップ（ｂ）は、
   （ｂ３）ユーザ通信装置へローカルソフトウェアをダウンロードするステップをさらに含む、請求項１に記載の方法。
4. ステップ（ｅ）で送信されるＩＶＲは、ステップ（ｈ）で検索される真正セキュア識別子を含み、ステップ（ｉ）は、ステップ（ｂ３）でダウンロードされるローカルソフトウェアによって実行され、ステップ（ｇ）で送信される応答は、ステップ（ｉ）で行われる比較の結果を含む、請求項３に記載の方法。
5. ステップ（ｂ３）でダウンロードされるローカルソフトウェアは、ステップ（ｇ）およびステップ（ｉ）の少なくとも一方を実行する、請求項３に記載の方法。
6. ステップ（ｂ３）でダウンロードされるローカルソフトウェアは、
   （ｋ）ステップ（ｅ）で送信されるＩＶＲを受信するステップと、
   （ｌ）表示のためＩＶＲをフォーマットするステップと、
   （ｍ）ユーザ通信装置の入出力（Ｉ／Ｏ）装置でＩＶＲを表示するステップとを備える、請求項３に記載の方法。
7. ステップ（ｂ３）でダウンロードされるローカルソフトウェアは、（ｉ）ユーザ通信装
   置によって受信される情報を復号化すること、および、（ｉｉ）ユーザ通信装置によって送信される情報を暗号化すること、の少なくとも一方を実行する、請求項３に記載の方法。
8. ステップ（ｅ）のＩＶＲおよびステップ（ｇ）の応答の少なくとも一方は、送信時に暗号化される、請求項１に記載の方法。
9. （ｎ）ユーザ通信装置へ取引承認要求を送信するステップと、
   （ｏ）ステップ（ｎ）の取引承認要求に対する応答を送信するステップと、
   （ｐ）ステップ（ｏ）の応答が取引を承認する場合に限り取引の続行を許可するステップとをさらに備える、請求項１に記載の方法。
10. ユーザの口座を事前登録することをさらに備え、口座を事前登録することは、ステップ（ｎ）〜（ｐ）を実行するか否かを指示するフラグを設定することを備える、請求項９に記載の方法。
11. ユーザの口座を事前登録することをさらに備え、口座を事前登録することは、ステップ（ｃ）〜（ｊ）を実行するか否かを指示するフラグを設定することを備える、請求項１に記載の方法。
12. ユーザの少なくとも１つの口座を事前登録することをさらに備え、口座を事前登録することは、（ｉ）口座のアクセス情報を取得することと、（ｉｉ）口座アクセス情報を検証者データベースに蓄積することとを含む、請求項１に記載の方法。
13. ユーザに代理取引カードを発行するステップをさらに備え、代理取引カードは、検証者データベースに蓄積されたアクセス情報を使って、検証者が事前登録口座にアクセスすることを承認するために、ユーザによって使用できる、請求項１２に記載の方法。
14. （ｑ）検証者との通信リンクをオープンするため代理取引カードに収容された情報を使用するステップと、
    （ｒ）検証者にアクセスが承認されている事前登録口座をユーザに表示するステップと、
    （ｓ）ステップ（ｒ）で表示された口座のうち、検証者がアクセスする口座をユーザが選択するステップと、
    （ｔ）検証者データベースに蓄積された口座アクセス情報を使ってステップ（ｓ）で選択された口座に検証者がアクセスするステップと、
    （ｕ）ステップ（ｊ）で取引の続行が許可される場合に、ステップ（ｓ）でアクセスした口座に取引を送るステップとをさらに備える、請求項１３に記載の方法。
15. ステップ（ｂ）はさらに、
    （ｂ４）ユーザ通信装置の装置識別子を取得するステップと、
    （ｂ５）装置識別子を検証者データベースに蓄積するステップとを含み、
    前記方法は、
    （ｖ）ステップ（ｂ５）の検証者データベースから装置識別子を検索するステップと、
    （ｗ）ユーザ通信装置の装置識別子を取得するステップと、
    （ｘ）ステップ（ｕ）で検索した装置識別子をステップ（ｗ）で取得した装置識別子と比較するステップと、
    （ｚ）ステップ（ｘ）で比較する装置識別子が一致しない場合に取引を終了するステップとをさらに備える、請求項１に記載の方法。
16. 電子取引の過程で検証者によりユーザのアイデンティティを検証するシステムであって、前記システムは、
    ａ．検証者データベースと、
    ｂ．前記検証者データベースでデータを読み書きするよう構成された検証者コンピュータと、
    ｃ．前記検証者コンピュータへのアクセスが可能で、ユーザから通信を受信し、かつユーザへ通信を送信する第１の検証者通信装置と、
    ｄ．ユーザへのアクセスが可能で、検証者から通信を受信し、かつ検証者へ通信を送信するユーザ通信装置と、
    ｅ．ユーザから入力を受付け、かつユーザへ出力を表示する入出力（Ｉ／Ｏ）装置と、
    ｆ．前記ユーザ通信装置に結合され、かつ前記Ｉ／Ｏ装置に結合されたユーザコンピュータとを備え、
    前記ユーザコンピュータは、
    ｉ）検証者コンピュータから前記検証者通信装置を通じて前記ユーザ通信装置へ送信される着信アイデンティティ検証要求（ＩＶＲ）を前記Ｉ／Ｏ装置で表示し、
    ｉｉ）前記Ｉ／Ｏ装置に対する、推定セキュア識別子を含む、ユーザ入力を取得し、
    ｉｉｉ）前記ユーザ通信装置から検証者通信装置へＩＶＲに対する応答を送信するよう構成され、
    前記ユーザコンピュータおよび前記検証者コンピュータの少なくとも一方は、
    ｉ）第１の入力として、前記検証者データベースから検索される真正セキュア識別子を受信し、
    ｉｉ）第２の入力として、推定セキュア識別子を受信し、
    ｉｉｉ）第１の入力を第２の入力と比較し、
    ｉｖ）第１の入力が第２の入力に一致するか否かを指示する確認出力を生成するよう構成され、第１の入力と第２の入力との一致を確認出力が指示しない限り電子取引はブロックされる、システム。
17. ユーザコンピュータは、検証者によって送信される暗号化着信ＩＶＲを復号化するよう構成される、請求項１６に記載のシステム。
18. ユーザコンピュータは、応答を暗号化するよう構成される、請求項１６に記載のシステム。
19. 前記ユーザ通信装置は、個人用通信装置である、請求項１６に記載のシステム。
20. 確認出力を銀行へ送信する第２の検証者通信装置をさらに備える、請求項１６に記載のシステム。

Images