JP4065821B2 - 移動体端末、移動体端末のセキュリティ管理方法 - Google Patents

Description

本発明は、移動体端末のセキュリティ管理方法に関する。

ＰＨＳ（Personal Handy-phone System：登録商標）や携帯電話といった移動体端末には、紛失時における不正使用を回避するためのセキュリティ管理の仕組みとしてキーロック機能が搭載されている。この機能は、予め設定された暗証番号の入力を条件に通話等を許可するものであるが、その利用に際してはロックの設定や解除といった煩わしい操作を強いられるため現実にはほとんど利用されないことが多い。

また、最近では、移動体端末に指紋認証ユニットを搭載し、このユニットに指をあてて指紋を照合させることで、正当使用者以外の者による悪用を防止するといった技術も実用化されている。この技術によれば、暗証番号の入力といったような煩わしい操作を使用者に強いることなく確実に正当使用者の認証を行うことができる。

更に、未だ実用化には至っていないものの、特許文献１に開示されている技術を移動体端末に応用することで正当使用者以外による使用を制限するといった試みや、特許文献２に開示されている技術を用いることで、紛失した移動体端末を不正使用している悪意者を追跡するシステムを構築するといった試みも検討されている。

特許文献１は、各加入者へ提供されるべきサービスの種類をその等級に応じて制限できるキーホンシステムを開示している。同文献によると、このシステムは、キーホン主装置と複数のキーホン端末機とから構成され、更にこのキーホン端末機はカードリーダを備える。また、キーホン主装置は各等級とこれら各等級の加入者に提供されるべきサービスの種類とを関連付けて格納している。このシステムの動作の概要を示すと以下のようになる。加入者がキーホンを使用する際は、キーホン端末機が、加入者に配布されている等級カードから等級データを読み出してキーホン主装置へ伝達する。等級データを受け取ったキーホン主装置は、かかる等級の加入者に提供してもよいサービスの種類をキーホン端末機に通知する。キーホン端末機は、キーホン主装置から許可されたサービスを加入者に対して提供する。

特許文献２は、紛失し或いは盗難された移動電話の不正使用者の所在を追跡可能としたシステムを開示している。同文献によると、このシステムは、移動電話、サービスノード、複数の運営者ノード等から構成されている。移動電話の所有者は、自らの移動電話のシリアル番号とその他の個人情報を運営者側に開示してＳＩＭカードの発行を受けることにより、この運営者の運営者ノードからサービスの提供を受ける資格を得る。このＳＩＭカードには、上述のシリアル番号と一致するＳＩＭ識別子が予め格納されている。本システムの動作の概要を示すと以下のようになる。まず、所有者は自らのＳＩＭカードを移動電話に挿入する。すると移動電話は、このＳＩＭカードから読み出したＳＩＭ識別子と自機に格納されているシリアル番号とが一致するかどうか判断する。移動電話の正当な所有者のＳＩＭカードであれば両者は一致し、運営者ノードからサービスの提供を受けることができる。一方、両者が一致しなければ、その旨並びに挿入されたＳＩＭカードのＳＩＭ識別子がサービスノードに通知される。通知を受けたサービスノードはこの移動電話の所在位置を特定する。更に、このＳＩＭ識別子を運営者ノードに引き渡してこれに対応する個人情報を取得する。

特開平１０−７０６０５ 特表２０００−５１０３０３

上述したように、移動体端末のセキュリティを確保するための仕組みとして指紋認証ユニットを搭載した移動体端末が既に実用化されているが、この種の移動体端末の値段は他の一般の移動体端末よりも高額である。一方、特許文献１や２に開示されている仕組みを応用すれば紛失した移動体端末の悪用を確実に防止することが可能ではあるものの、これら文献に開示された仕組みはいずれも特殊な機能を搭載したサーバ装置を必須の構成要素とするため、既存の移動体通信網のシステム構成を大幅に改変しなければこれを導入することはできない。

本発明は、上述したような背景の下に案出されたものであり、既存の移動体通信網の改変を要せず、また低コストでの導入が可能な移動体端末のセキュリティ管理方法を提供することをその目的とする。

本発明の好適な態様である移動体端末は、データ記憶モジュールを脱着自在とし、当該端末のハードウェアにより実現するサービス毎に予め設定された認証情報をこれら各サービスを示すサービス識別子と各々関連付けて格納した記憶手段と、装着された前記データ記憶モジュールから、サービス識別子とこれに対応付けられた認証情報の各セットを取得する取得手段と、前記記憶手段に各サービス識別子と関連付けて格納されている認証情報と、これら各サービス識別子と対応付けて前記取得手段により取得された認証情報とを各々照合し、両認証情報が一致すると判断した前記サービスの提供を許可する判断手段とを備える。

本発明の別の好適な態様であるセキュリティ管理方法は、移動体端末が、データ記憶モジュールを装着する装着過程と、前記移動体端末が、装着された前記データ記憶モジュールに、当該端末のハードウェアにより実現する各サービスの認証情報の引渡しを要求する要求過程と、データ記憶モジュールが、サービスを示すサービス識別子とこのサービスの認証情報の各セットを自らの記憶手段から読み出して前記移動体端末へ引き渡す引渡過程と、前記移動体端末が、自らの記憶手段に各サービス識別子と関連付けて格納されている認証情報と、前記引渡過程でこれら各サービス識別子と対応付けて取得された認証情報とを各々照合し、両認証情報が一致すると判断した前記サービスの提供を許可する判断過程とを有する。

本発明にかかる移動体端末は、データ記憶モジュールから取得した認証情報と自らの記憶手段に予め格納していた認証情報とが一致しなければサービスを提供しないようになっているので、紛失したり盗難された当該端末を他者に不正使用されてしまうといった危険を確実に回避することができる。

（Ａ：第１実施形態）
本実施形態にかかる移動体端末の特徴は、ＵＩＭ（User Identity Module）と呼ばれるデータ記憶モジュールに格納されている情報を用いて各サービス単位の認証を行なうことにより、本端末の使用者へ提供するサービスをその種類毎に制限できるようにした点である。

ここで、本実施形態における「サービス」とは、移動体端末のハードウェアを制御することで実現するサービスを意味する。具体的には、通話相手となる端末との間で音声データを送受する通話サービスと、知り合いの電話番号やＥメールアドレスを登録すると共にその登録内容を閲覧させるアドレス管理サービスと、特定の端末のアドレスに宛ててＥメールを送信すると共に自らに宛てられたＥメールを受信するメールサービスと、特定のＵＲＬ（uniform resource locator）に存在するデータを取得して表示するブラウジングサービスのそれぞれが該当する。

（Ａ−１：移動体端末）
図１は、移動体端末のハードウェア構成を示すブロック図である。この移動体端末は、図示しない基地局との無線通信を行う無線通信部（例えばアンテナ、無線部、送信機、受信機等を有する）２０、発音するための発音部（例えば音源やスピーカ等を有する）２１、集音するための集音部（例えばマイク等を有する）２２、数字入力、文字入力等の入力操作が行われる入力部２３、所定サイズの表示領域を有する液晶ディスプレイ部２４、データ記憶モジュールと当該端末との間のデータの入出力を行うモジュールインターフェース部２５、各種制御を行なうＣＰＵ２６、ＣＰＵ２６のワーク領域として使用されるＲＡＭ２７、データを関連付けたテーブルや各種設定内容等を格納するフラッシュメモリ２８、及び各種プログラムを予め格納したＲＯＭ２９を備える。
ここで、上述のフラッシュメモリ２８は、端末側認証コードテーブル２８ｔを格納している。
図２に端末側認証コードテーブル２８ｔのデータ構造を示す。同テーブルは、各々が１つのサービスと対応する複数のレコードの集合体である。ここで、１つのサービスと対応した１つのレコードは、「サービス」のフィールドと、「認証コード」のフィールドと、「起動フラグ」のフィールドとを有する。
「サービス」のフィールドには、各サービスを示すサービス識別子が予め格納される。具体的には、通話サービスを示す「通話」、アドレス管理サービスを示す「アドレス管理」、メールサービスを示す「メール」、及びブラウジングサービスを示す「ブラウザ」の各データが格納される。
「認証コード」のフィールドには、認証情報を格納する。認証情報は、各サービスを利用を認めるか否か判断するためキーとなるユニークな文字列である。なお、この認証情報としての文字列は、後述する初期設定処理の際に移動体端末の購入者自身により決定されるため、端末の出荷時には「認証コード」のフィードにデータは格納されていない。
「起動フラグ」のフィールドには、各サービスの利用が許可されている状態を示すフラグが一時的に格納される。

ＲＯＭ２９には、図示しないＯＳ（operating system）のほか、セキュリティ管理プログラム２９ａ、通話アプリケーション２９ｂ、アドレス管理アプリケーション２９ｃ、メーラアプリケーション２９ｄ、ブラウザアプリケーション２９ｅが格納されている。
セキュリティ管理プログラム２９ａは、本実施形態に特有の機能をＣＰＵ２６に付与するプログラムである。このプログラムをＣＰＵ２６に実行させることで、後に詳述する初期設定処理と使用者認証処理と設定変更処理とが実現する。

通話アプリケーション２９ｂは、上述の通話サービスを実現するための制御手順を記述したプログラムである。アドレス管理アプリケーション２９ｃは、アドレス管理サービスを実現するための制御手順を記述したプログラムである。メーラアプリケーション２９ｄは、メールサービスを実現するための制御手順を記述したプログラムである。ブラウザアプリケーション２９ｅは、ブラウジングサービスを実現するための制御手順を記述したプログラムである。これら各アプリケーションがＯＳの制御下において実行されることにより、移動体端末の各部が制御されサービスが提供される。

（Ａ−２：データ記憶モジュールの構成）
図３は、データ記憶モジュールのハードウェア構成を示すブロック図である。上述したようにこのデータ記憶モジュールはＵＩＭであり、上述した移動体端末とセットで販売されることになっている。
同図に示すように、データ記憶モジュールは、外部インターフェース部４５と、ＣＰＵ４６と、ＲＡＭ４７と、ＥＥＰＲＯＭ４８と、ＲＯＭ４９とを有している。
外部インターフェース部４５は、移動体端末との間で行われるデータ通信を制御する。ＲＡＭ４７は、ＣＰＵ４６のワークエリアとして用いられ、ＣＰＵ４６により実行されるプログラムや各種データが一時的に格納される。ＲＯＭ４９には、ＣＰＵ４６により実行される制御プログラムなどが予め格納されている。

ＥＥＰＲＯＭ４８は、書き換え可能な不揮発性の記憶素子である。
図４は、ＥＥＰＲＯＭ４８のメモリ空間を示す概念図である。
同図に示すように、ＥＥＰＲＯＭ４８には、ＰＩＮ(Personal Identity Number)コード格納領域４８ａと、個人情報格納領域４８ｂと、履歴情報格納領域４８ｃと、認証コード格納領域４８ｄとが確保されている。ＰＩＮコード格納領域４８ａには、ＰＩＮコードを格納する。ＰＩＮコードとは、データ記憶モジュールの正当な使用者を認証するためのユニークなコードである。データ記憶モジュールはこのＰＩＮコードを記録した状態で出荷される。そして、データ記憶モジュールに添付される取扱説明書にはそのモジュールに記録されているＰＩＮコードが記載されており、購入者はこの取扱説明書を参照することでＰＩＮコードを了解することができるようになっている。
個人情報格納領域４８ｂには、このデータ記憶モジュールの所有者を示す電話番号などの加入者ＩＤ、クレジットカード番号、銀行の口座番号といった個人情報が格納される。履歴情報格納領域４８ｃには、所有者の発呼、着呼、通話時間などに関する履歴情報が格納される。

認証コード格納領域４８ｄには、モジュール側認証コードテーブル４８ｔが格納される。
図５にモジュール側認証コードテーブル４８ｔのデータ構造を示す。このテーブルは図２に示したテーブルと同様に、移動体端末により提供される各サービスと夫々対応する複数のレコードの集合体である。このテーブルの１つのレコードは、「サービス」のフィールドと「認証コード」のフィールドを有している。但し、「起動フラグ」のフィールドは有していない。
ここで、本実施形態におけるデータ記憶モジュールは、このモジュール側認証コードテーブル４８ｔの「サービス」のフィールドに、「通話」、「アドレス管理」、「メール」、「ブラウザ」の各サービス識別子を記録した状態で出荷される。

（Ａ−３：移動体端末の動作）
本実施形態の動作は、初期設定処理と、使用者認証処理と、設定変更処理とに分けられる。初期設定処理は、移動体端末とデータ記憶モジュールの各認証情報を設定する処理であり、購入された移動体端末の起動後直ちに実行されるものである。使用者認証処理は、移動体端末により提供されるべきサービスの種類をデータ記憶モジュールの記憶内容に応じて決定する処理であり、初期設定処理の終了後、当該端末が起動されるたびに実行されるものである。設定変更処理とは、一度設定された認証情報の全部又は一部を変更する処理である。

＜初期設定処理＞
図６は、初期設定処理を示すフローチャートである。
上述したように、本実施形態では移動体端末とデータ記憶モジュールとがセットで販売されることになっている。そして、このセットを購入した者により移動体端末の図示しない電源が投入されると、初期設定処理が開始される。

電源が投入されると、移動体端末のＣＰＵ２６は、ＯＳを起動させた後、セキュリティ管理プログラム２９ａをＲＯＭ２９から読み出して起動する（Ｓ１１０）。
続いてＣＰＵ２６は、「認証コードの初期設定を行ないますのでデータ記憶モジュールを装着してください」といったメッセージを液晶ディスプレイ部２４に表示する（Ｓ１２０）。移動体端末の操作者は、データ記憶モジュールを移動体端末に装着する。

データ記憶モジュールが装着されたことが検出されると、ＣＰＵ２６は、データ記憶モジュールを起動させるべく、このデータ記憶モジュールに対して外部電圧及び外部クロックの供給を開始する（Ｓ１３０）。電圧の供給を受けたデータ記憶モジュールのＣＰＵ４６は、制御プログラムをＲＯＭ４９から読み出してこれを起動する（Ｓ１４０）。

移動体端末のＣＰＵ２６は、サービス選択画面を液晶ディスプレイ部２４に表示する（Ｓ１５０）。
図７にサービス選択画面を示す。同画面上段には、「認証コードを設定するサービスを選択してください。」といったメッセージが表示され、その下には、サービスの名称と、「設定する」及び「設定しない」とそれぞれ記したボタンの各セットが表示されている。更に画面下段には、「確定」と記したボタンが表示される。

移動体端末の操作者は、入力部２３を操作することにより、「設定する」又は「設定しない」のいずれかにカーソル表示を行なわせてこれを選択する。そして、同画面に表示されているすべてのサービスについてかかる選択を繰り返した後、「確定」にカーソル表示を行なわせてこれを選択する。
ＣＰＵ２６は、「設定しない」のボタンが選択されたサービスと対応付けられたレコードを端末側認証コードテーブル２８ｔから特定し、このレコードの「認証コード」のフィールドに「ＦＲＥＥ」というデータを格納する（Ｓ１６０）。この「ＦＲＥＥ」というデータは、認証情報の一致を条件としないで利用させるサービスであることを示すものである。

続いてＣＰＵ２６は、認証コード設定画面を液晶ディスプレイ部２４に表示する（Ｓ１７０）。
図８に認証コード設定画面を示す。同画面の上段には、「以下のサービスの認証コードを設定してください。なお、ご自身が設定された認証コードはメモ等に記録して下さい。後に認証コードを変更する際に必要となります。」といったメッセージが表示され、その下には、図７に示したサービス選択画面で「設定する」が選択された各サービスのサービス名と、それらサービスの認証コードを入力する入力欄とが表示される。なお、図８は、「アドレス管理サービス」、「メールサービス」、及び「ブラウジングサービス」の３つについて「設定する」が選択された場合を示している。更に同画面の下段には「確定」と記したボタンが表示される。
移動体端末の操作者は、入力部２３を操作することにより、任意に選択した文字列を各入力欄に入力した後、「確定」のボタンにカーソル表示を行なわせてこれを選択する。これら各入力欄には異なる文字列を入力することが望ましい。

移動体端末のＣＰＵ２６は、入力された各文字列をフラッシュメモリ２８の端末側認証コードテーブル２８ｔへ格納する（Ｓ１８０）。具体的には、認証コード設定画面に表示された各サービスと対応するレコードの「認証コード」のフィールドへ、これら各サービスと対応する入力欄から入力された文字列を認証情報としてそれぞれ格納するといった処理を実行する。

続いて、ＣＰＵ２６は、認証コード提示画面を液晶ディスプレイ部２４に表示する（Ｓ１９０）。
図９に認証コード提示画面を示す。同画面上段には、「今回設定された認証コードは以下のとおりです。以下のサービスは認証コードをモジュールに記録しなければ利用できません。但し、さしあたって利用する予定のないサービスについては認証コードを記録しておかないほうがセキュリティ上安全です。どのサービスの認証コードを記録しますか？」といったメッセージが表示される。その下には、認証コードを設定した各サービスの名称と、設定された認証コードと、「記録する」及び「記録しない」とそれぞれ記したボタンの各セットが表示される。更に画面下段には「確定」と記したボタンが表示される。ここで、図９では、「ブラウジングサービス」と対応する認証コード及びボタンが示されていないが、画面を下方向にスクロールさせることでこれらを表示させることができるようになっている。
移動体端末の操作者は、入力部２３を操作し、「記録する」又は「記録しない」にカーソル表示を行なわせてこれを選択する。そして、同画面に表示されているすべてのサービスについてかかる選択を繰り返した後、「確定」にカーソル表示を行なわせてこれを選択する。

ＣＰＵ２６は、「記録する」が選択された各サービスと対応するサービス識別子と認証情報のセットをフラッシュメモリ２８の端末側認証コードテーブル２８ｔから読み出す（Ｓ２００）。そして、ＣＰＵ２６は、これら読み出したサービス識別子と認証情報のセットをデータ記憶モジュールへ引き渡す（Ｓ２１０）。
データ記憶モジュールのＣＰＵ４６は、移動体端末から取得した各認証情報をこれらの情報とセットで取得した各サービス識別子と対応付けてＥＥＰＲＯＭ４８のモジュール側認証コードテーブル４８ｔに格納する（Ｓ２２０）。
以上で、初期設定処理が終了する。

＜使用者認証処理＞
図１０は、使用者認証処理を示すフローチャートである。この処理は、上述した初期設定処理が行われた後、移動体端末の図示しない電源が再び投入されたことをトリガーとして開始される。
電源が投入されると、移動体端末のＣＰＵ２６は、図示しないＯＳを起動させた後に、ＲＯＭ４９から読み出したセキュリティ管理プログラム２９ａを起動する（Ｓ３１０）。
続いてＣＰＵ２６は、自機にデータ記憶モジュールが装着されているか否かをモジュールインターフェース部２５から検出する（Ｓ３２０）。

データ記憶モジュールが装着されたことを検出できないとき、ＣＰＵ２６は、「この携帯電話はデータ記憶モジュールがなければ利用できません。ご自身がお持ちのモジュールをスロットに挿入してください」といったメッセージを液晶ディスプレイ部２４に表示する（Ｓ３３０）。
データ記憶モジュールが装着されたことを検出したとき、ＣＰＵ２６は、データ記憶モジュールを起動させるべく、このデータ記憶モジュールに対して外部電圧及び外部クロックの供給を開始する（Ｓ３４０）。

外部電圧が供給されると、データ記憶モジュールのＣＰＵ４６は、制御プログラムをＲＯＭ４９から読み出してこれを起動する（Ｓ３５０）。続いてＣＰＵ４６は、ＥＥＰＲＯＭ４８からＰＩＮコードを読み出し、移動体端末へ引き渡す（Ｓ３６０）。
ＰＩＮコードを取得した移動体端末のＣＰＵ２６は、このＰＩＮコードをＲＡＭ２７上へ格納すると共に、「ＰＩＮコードを入力してください」といったメッセージとＰＩＮコードの入力欄とを液晶ディスプレイ部２４に表示する（Ｓ３７０）。このメッセージを参照した移動体端末の操作者は、入力部２３を操作し、入力欄へＰＩＮコードを入力する。

移動体端末のＣＰＵ２６は、入力されたＰＩＮコードとデータ記憶モジュールから取得したＰＩＮコードとを照合し、両者が一致しているかどうか判断する（Ｓ３８０）。
両者が一致しないとき、ＣＰＵ２６は、「ＰＩＮコードが違います。入力しなおしてください。」といったメッセージとＰＩＮコードの入力欄とを液晶ディスプレイ部２４に表示する（Ｓ３９０）。
両者が一致するとき、ＣＰＵ２６は、認証情報の引渡をデータ記憶モジュールに要求する（Ｓ４００）。
この要求を取得したデータ記憶モジュールのＣＰＵ２６は、サービス識別子とこれに対応付けられた認証情報の各セットをＥＥＰＲＯＭ４８のモジュール側認証コードテーブル４８ｔから読み出し、移動体端末へ引き渡す（Ｓ４１０）。なお、同テーブルの「認証コード」のフィールドにデータが格納されていないサービスについては、認証情報が存在しないことを示す「ＮＯ ＣＯＤＥ」というデータを認証情報に代えて引き渡す。

サービス識別子と認証情報の各セットを取得した移動体端末のＣＰＵ２６は、これらサービス識別子と対応付けて端末側認証コードテーブル２８ｔに格納されている各認証情報とデータ記憶モジュールから取得した各認証情報とをそれぞれ照合する（Ｓ４２０）。
そして、ＣＰＵ２６は、この照合の結果、認証情報が一致すると判断したサービスのレコードを端末側認証コードテーブル２８ｔから特定する（Ｓ４３０）。ここで、「ＦＲＥＥ」というデータが「認証コード」のフィールドに格納されているサービスについては、無条件に一致しているものとして取り扱われる。
更に、ＣＰＵ２６は、この特定したレコードの「利用許可フラグ」のフィールドに、サービスの提供が許可されていることを示す「１」というデータを格納する（Ｓ４４０）。例えば、通話サービスとアドレス管理サービスについては認証情報が一致したが、メールサービスとブラウジングサービスについては一致しなかったということであれば、通話サービスとアドレス管理サービスの各レコードの「利用許可フラグ」のフィールドに「１」が格納される。

続いてＣＰＵ２６は、待ち受け画面を液晶ディスプレイ部２４に表示する（Ｓ４５０）。これにより、移動体端末は各サービスの提供が可能な状態となる。
但し、この状態において提供されるサービスは、ステップ４４０の処理によって許可が下されたサービスに限定される。具体的には、以下のような処理を行うことで、提供されるサービスの種類の限定を行なう。
まず、待ち受け画面が表示された状態で特定のサービスを利用する操作が行なわれると、移動体端末のＣＰＵ２６は、このサービスと対応付けられたレコードを端末側認証コードテーブル２８ｔから特定し、特定したレコードの「利用許可フラグ」のフィールドに「１」というフラグが記録されているかどうかを参照する。
「利用許可フラグ」のフィールドに「１」が記録されていれば、このサービスに対応するアプリケーションをＲＯＭ２９からＲＡＭ上へ読み出して起動する。続いて、要求されたサービスを提供するための処理内容を示す「ジョブ」を生成し、ＲＡＭ上へ読み出したアプリケーションを用いてこのジョブを実行する。そしてジョブを実行し終えるとアプリケーションをＲＡＭ上から消去する。
一方、「利用許可フラグ」のフィールドに「１」が記録されていないときは、「そのサービスは利用することができません」といったメッセージを液晶ディスプレイ部２４に表示する。

＜設定変更処理＞
図１１は、設定変更処理を示すフローチャートである。この処理は、待ちうけ画面が表示された状態で設定変更モードへ遷移させる操作が行なわれたことをトリガーとして開始される。
設定変更モードへ遷移させる操作が行なわれると、ＣＰＵ２６は、認証コード入力画面を液晶ディスプレイ部２４に表示する（Ｓ５１０）。具体的には、「ＦＲＥＥ」以外のデータが「認証コード」のフィールドに格納されているサービスを特定し、これら特定したサービスについて操作者自身が設定している認証コードの入力を促す画面の表示データを生成するといった処理を行う。

図１２に、認証コード入力画面を示す。同画面の上段には「以下のサービスの認証コードを正確に入力してください。入力された認証コードとご自身が最初に設定されていた認証コードとがすべて一致しなければ変更は認められません。」といったメッセージが表示される。その下には、各サービスの認証コードの入力欄がそれぞれ表示される。更に画面の下段には「確定」と記したボタンが表示される。移動体端末の操作者は、初期登録処理の際に記録しておいていたメモ等を参照しながら、各サービスについて自らが設定していた文字列を入力欄へそれぞれ入力し、その後、「確定」にカーソル表示を行なわせてこれを選択する。

移動体端末のＣＰＵ２６は、入力された文字列と、端末側認証コードテーブル２８ｔの「認証コード」のフィールドに格納されている認証情報とをそれぞれ照合し、すべてが一致しているかどうかを判断する（Ｓ５２０）。
認証情報の全部或いは一部が一致しないとき、ＣＰＵ２６は、「認証コードの設定変更は認められません」といったメッセージを液晶ディスプレイ部２４に表示する（Ｓ５３０）。その後、ステップ４５０に戻って待ちうけ画面を再び表示する。

一方、認証情報がすべて一致するとき、ＣＰＵ２６は、設定変更画面を液晶ディスプレイ部２４に表示する（Ｓ５４０）。
図１３に、設定変更画面を示す。同画面の上段には、「認証コードの設定状況は以下の通りです。変更する場合は、入力欄へ新しい認証コードを入力してください。また、認証コードの設定を解除する場合は「設定解除」を選択してください。」といったメッセージが表示される。その下には、設定されていた認証コードと「設定解除」と記したボタンと新しい認証コードの入力欄のセットが、各サービス毎に表示される。なお、認証コードが未設定であったときは「ＦＲＥＥ」というテキストが表示される。また、画面下には、「確定」と記したボタンが表示される。ここで、図１３では、「ブラウジングサービス」と対応する認証コード等が表示されていないが、画面を下方向にスクロールさせることでこれらを表示させることができるようになっている。

移動体端末の操作者は、新しい認証コードとして任意に選択した文字列を入力欄に入力するか、または「設定解除」にカーソル表示を行なわせてこれを選択する。そして、同画面に表示された各サービスについてかかる入力又は選択を繰り返した後、「確定」にカーソル表示を行なわせてこれを選択する。
ＣＰＵ２６は、設定変更画面の入力内容に応じて端末側認証コードテーブル２８ｔを更新する（Ｓ５５０）。具体的には、上記設定変更画面で文字列が入力されたサービスと対応付けられたレコードを特定し、このレコードの「認証コード」のフィールドに新しい認証情報を上書きする一方で、「設定解除」が選択されたサービスと対応付けられたレコードを特定し、このレコードの「認証コード」のフィールドに「ＦＲＥＥ」というデータを上書きするといった処理を行う。
この処理の後、図６に示したステップ１９０以降の処理が実行され、データ記憶モジュールに格納されるべき認証情報が移動体端末からデータ記憶モジュールに引き渡され、同モジュールのＥＥＰＲＯＭ４８に格納される。

以上説明した実施形態によれば、移動体端末は、データ記憶モジュールから認証情報を取得し、この取得した認証情報と自らの端末側認証コードテーブル２８ｔに格納している認証情報とが一致したときにサービスを提供するようになっている。したがって、移動体端末を紛失し或いは盗難された場合でも、この端末が他人に不正使用される危険を回避できる。
また、移動体端末を購入した者は、まず、初期設定を行って各サービス単位の認証情報を個別に設定するようになっており、利用する予定のあるサービスについて設定した認証情報のみが移動体端末からデータ記憶モジュールに記録される。そして、この初期設定の後、移動体端末によって提供されるサービスは、データ記憶モジュール側に記録させた認証情報と、移動体端末側で予め設定されている認証情報とが一致するものに限定される。つまり本端末は、提供されるサービス単位での認証を行なうようになっている。したがって、移動体端末の購入者は、さしあたって利用する予定のないサービスについてはその認証情報をデータ記録モジュールに記録せず秘匿状態としておくことで、端末とモジュールとを取得した悪意者によりかかるサービスが不正使用されてしまう危険を確実に回避することができる。
更に、本実施形態においては、上述の設定変更処理によって一度設定された認証情報を変更することもできるようにもなっている。したがって、特定のサービスの認証情報として一度設定した文字列を他の別の文字列に変更することはもちろん、初期設定処理の際に認証情報を設定していなかったサービスに関する認証情報を新たに設定したり、これとは反対に特定のサービスの認証情報の設定を解除するといったことを自在に行なえるようになっている。また、どのサービスの認証情報をデータ記憶モジュールに記録し、利用可能な状態としておくかといったことも後から自由に変更できる。

（Ｂ：第２実施形態）
上述の第１実施形態は、移動体端末を利用する際、サービス毎の認証情報を記録しているデータ記憶モジュールを装着することとし、移動体端末に格納されている認証情報とデータ記憶モジュールに記録されている認証情報とが一致した場合に限りサービスが提供されるようになっていた。
これに対し、本実施形態は、所定の有効期限が経過する毎にＰＩＮコードの再入力を促すような構成をとる。これにより、データ記憶モジュールが装着されたままの状態で移動体端末が盗難された場合でも、移動体端末によるサービスが無制限に利用されてしまうといった事態が回避される。

図１４は、本実施形態に係る移動体端末のハードウェア構成を示すブロック図である。本実施形態に係る移動体端末は、タイマ部Ｔを備えるという点で図１に示した同端末と異なる。このタイマ部Ｔは、予め設定された時間を計測する。また本実施形態に係る移動体端末のＣＰＵ２６は、有効期限管理手段として機能する。即ち、図１４に示すＣＰＵ２６は、サービスの提供を許可した旨をタイマ部Ｔに伝達し、この伝達時刻から所定期間が経過した旨の通知をタイマ部Ｔから受けとるとＰＩＮコードの再入力を求めるといった機能を有する。

次に本実施形態の動作を説明する。図１５は、本実施形態の動作と第１実施形態の動作との相違を示すフローチャートである。
図１０に示すステップ４４０で「利用許可フラグ」のフィールドにフラグを記録した移動体端末のＣＰＵ２６は、サービスの提供を許可した旨をタイマ部Ｔに伝達する（Ｓ４６０）。タイマ部Ｔは予め設定された有効期限の経過の有無を計測しており、有効期限が経過するとその旨をＣＰＵ２６へ通知する（Ｓ４７０）。通知を受けたＣＰＵ２６は、この時点で実行されているジョブがあるかどうか判断する（Ｓ４８０）。実行されているジョブが存在するとき、ＣＰＵ２６は、このジョブが終了するまで待機する（Ｓ４９０）。そして、実行されているジョブが存在しないとき、或いは実行中であったジョブが終了したとき、ＣＰＵ２６は、「有効期限が経過しました。ＰＩＮコードを入力しなおしてください」といったメッセージとＰＩＮコードの入力欄とを、液晶ディスプレイ部２４に表示する（Ｓ５００）。メッセージを参照した操作者は、入力欄へＰＩＮコードを入力する。移動体端末のＣＰＵ２６は、入力されたＰＩＮコードとデータ記憶モジュールから取得していたＰＩＮコードとを照合し、両者が一致しているかどうかを判断する（Ｓ５１０）。

両者が一致しないとき、ＣＰＵ２６は、「ＰＩＮコードが違います。再度入力してください」といったメッセージと入力欄とを液晶ディスプレイ部に表示する（Ｓ５２０）。
一方、両者が一致したとき、ＣＰＵ２６は、待ち受け画面を液晶ディスプレイ部２４に再び表示する（Ｓ５３０）。これにより、移動体端末は、各サービスの提供が可能な状態へ復帰する。その後、ステップ４６０に戻り、サービスの提供を許可した旨がＣＰＵ２６からタイマ部Ｔに伝達され、ステップ４７０乃至５３０の処理が再び繰り返される。

以上説明した本実施形態によれば、使用者認証処理の終了後、所定の有効期限が経過する毎にＰＩＮコードの再入力が要求され、正しいコードの入力がなければサービスが提供されないようになっている。従って、使用者認証処理の終了後、データ記憶モジュールを装着した状態で移動体端末を紛失してしまったような場合であっても、その移動体端末の各サービスが他人により無制限に利用されてしまうといった事態を回避することができる。

（Ｃ：変形例）
以上、本発明の実施形態について説明したが、本発明はかかる実施形態に限定されるものではなく、その技術思想の範囲内で様々な変形が可能である。なお、変形例としては、例えば、以下のようなものが考えられる。

（Ｃ−１：変形例１）
上述の実施形態では、移動体端末とデータ記憶モジュールとが装着された状態でなければ一度設定された認証情報を変更することはできなかった。これに対し、データ記憶モジュールとのインターフェースを備えたパーソナルコンピュータに認証コード書き換えソフトウェアを実装させ、データ記憶モジュールに記録されている認証情報をこのパーソナルコンピュータによって書き換えられるようにしてもよい。

（Ｃ−２：変形例２）
上述の第２実施形態においては、所定期間が経過する毎にＰＩＮコードの再入力を要求するといった処理を行うことで、データ記憶モジュールが装着されたままの移動体端末が盗難等された場合における不正使用を回避していた。これに対し、ＰＩＮコードの再入力を求めるタイミングを時間の経過により判断するのでなく、実行したジョブの数により判断してもよい。例えば、図６に示すステップ４４０で「利用許可フラグ」のフィールドにデータを格納した移動体端末のＣＰＵ２６が、その後、ジョブを５つ実行し終えた段階でステップ５００の処理を実行し、ＰＩＮコードの入力を要求するようにしてもよい。

（Ｃ−３：変形例３）
上記実施形態において、データ記憶モジュールの記憶内容に応じて使用が制限され得るサービスは、ＲＯＭ２９に予め格納されている各アプリケーションによって実現する４つのサービスに限られていた。これに対し、リモートなサーバ装置からネットワークを経由して後発的に取得されたアプリケーションの利用をデータ記憶モジュールの記憶内容に応じて制限することとしてもよい。
このようなアプリケーションとしては、Java（登録商標）アプリケーションがある。JavaアプリケーションはJavaプログラミング言語で記述されたアプリケーションであり、Java実行環境と呼ばれるソフトウェア群を実装している移動体端末がネットワーク上のサーバ装置からダウンロードすることで、利用される。このアプリケーションは、Java実行環境を構成するＪＡＭ（Java Application Manager）と呼ばれるプログラムによってその起動と終了が制御される。従って、上述のセキュリティ管理プログラム２９ａとこのＪＡＭとを協働して動作させることで、移動体端末並びにデータ記憶モジュールの認証コードテーブルに新たなレコードを設けてJavaアプリケーションに固有の認証情報を登録するといった処理や、このJavaアプリケーションの利用を移動体端末側の認証情報とデータ記憶モジュール側の認証情報が一致したときに制限するといった処理も可能になる。

（Ｃ−４：変形例４）
上述の実施形態では、移動体端末とデータ記憶モジュールとをそれぞれ１つずつ含むセットを販売することとしていたが、１つの移動体端末と複数のデータ記憶モジュールとをセットで販売することとしてもよい。このようにすれば、法人や家族の構成員が１つの移動体端末を使用するといった場合でも、当該移動体端末により提供されるサービスを各構成員毎に個別に制限して運用するといったことが可能となる。

（Ｃ−５：変形例５）
上述の実施形態では、移動体端末のＲＯＭ２９に、セキュリティ管理プログラム２９ａ、通話アプリケーション２９ｂ、アドレス管理アプリケーション２９ｃ、メーラアプリケーション２９ｄ、ブラウザアプリケーション２９ｅを格納し、これら各アプリケーションにより実現するサービス単位での認証をデータ記憶モジュールの認証情報によって行なっていた。
これに対し、各アプリケーションにより実現するサービスの一部のみの認証をデータ記憶モジュールの認証情報を参照することで個別に行えるようにしてもよい。例えば、特定の電話番号と認証情報とのセットを認証コードテーブルに登録することで、この電話番号への発呼が通話サービス自体の認証情報とは別の認証情報により許可されるようにしてもよいし、これとは反対に、特定の電話番号からの着呼への応答が通話サービス自体の認証情報とは別の認証情報により許可されるようにしてもよい。
同様に、特定のアドレスに宛てたＥメールの送信や、特定のアドレスから受信したＥメールの閲覧が、メールサービス自体とは別の認証情報により許可されるようにしてもよい。

移動体端末のハードウェア構成図である。 端末側認証コードテーブルのデータ構造図である。 データ記憶モジュールのハードウェア構成図である。 ＥＥＰＲＯＭのメモリ空間を示す概念図である。 モジュール側認証コードテーブルのデータ構造図である。 初期設定処理を示すフローチャートである。 サービス選択画面である。 認証コード設定画面である。 認証コード提示画面である。 使用者認証処理を示すフローチャートである。 設定変更処理を示すフローチャートである。 認証コード入力画面である。 設定変更画面である。 移動体端末のハードウェア構成図である。 第２実施形態の動作を示すフローチャートである。

符号の説明

２０：無線通信部、２１：発音部、２２：集音部、２３：入力部、２４：液晶ディスプレイ部、２５：モジュールインターフェース部、２６，４６：ＣＰＵ、２７，４７：ＲＡＭ、２８：フラッシュメモリ、２８ｔ：端末側認証コードテーブル、２９，４９：ＲＯＭ、２９ａ：セキュリティ管理プログラム、２９ｂ：通話アプリケーション、２９ｃ：アドレス管理アプリケーション、２９ｄ：メーラアプリケーション、２９ｅ：ブラウザアプリケーション、４５：外部インターフェース部、４８：ＥＥＰＲＯＭ、４８ｔ：モジュール側認証コードテーブル

Claims (2)

1. データ記憶モジュールを脱着自在とした移動体端末であって、
   当該端末のハードウェアにより実現するサービス毎に予め設定された認証情報をこれら各サービスを示すサービス識別子と各々関連付けて格納した記憶手段と、
   装着された前記データ記憶モジュールから、サービス識別子とこれに対応付けられた認証情報の各セットを取得する取得手段と、
   前記記憶手段に各サービス識別子と関連付けて格納されている認証情報と、これら各サービス識別子と対応付けて前記取得手段により取得された認証情報とを各々照合し、両認証情報が一致すると判断した前記サービスの提供を許可する判断手段と、
   を備える移動体端末。
2. 移動体端末が、データ記憶モジュールを装着する装着過程と、
   前記移動体端末が、装着された前記データ記憶モジュールに、当該端末のハードウェアにより実現する各サービスの認証情報の引渡しを要求する要求過程と、
   データ記憶モジュールが、サービスを示すサービス識別子とこのサービスの認証情報の各セットを自らの記憶手段から読み出して前記移動体端末へ引き渡す引渡過程と、
   前記移動体端末が、自らの記憶手段に各サービス識別子と関連付けて格納されている認証情報と、前記引渡過程でこれら各サービス識別子と対応付けて取得された認証情報とを各々照合し、両認証情報が一致すると判断した前記サービスの提供を許可する判断過程と、
   を有するセキュリティ管理方法。

Images