特開 2023-117310 サービス提供システム及びトークン認証システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023117310

(43)【公開日】2023-08-23

(54)【発明の名称】サービス提供システム及びトークン認証システム

(51)【国際特許分類】

   H04L 9/16 20060101AFI20230816BHJP

   G06F 21/33 20130101ALI20230816BHJP

【ＦＩ】

H04L9/16

G06F21/33

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2022019947

(22)【出願日】2022-02-10

(71)【出願人】

【識別番号】000004651

【氏名又は名称】日本信号株式会社

(74)【代理人】

【識別番号】100181146

【弁理士】

【氏名又は名称】山川 啓

(74)【代理人】

【識別番号】100109221

【弁理士】

【氏名又は名称】福田 充広

(72)【発明者】

【氏名】家吉 正明

(57)【要約】

【課題】トークン発行の頻度を抑えつつ、漏洩や改ざん等のセキュリティリスクを回避又は抑制できるサービス提供システム及びトークン認証システムを提供すること。
【解決手段】セキュアＩＤについてのトークンリストＴＬｓを作成するとともに、トークンに付与するＭＡＣの鍵を更新するトークンサーバ１０と、トークンサーバ１０に問い合わせたセキュアＩＤに対応するＭＡＣ付トークンを受け取る端末２０と、トークンサーバ１０から配信されたトークンリストと鍵の更新履歴とに基づき、端末２０からのＭＡＣ付トークンの認証をするサービス提供サーバ５０とを備える。
【選択図】図１

【特許請求の範囲】

【請求項1】

セキュアＩＤについてのトークンリストを作成するとともに、トークンに付与するＭＡＣの鍵を更新するトークンサーバと、
前記トークンサーバに問い合わせたセキュアＩＤに対応するＭＡＣ付トークンを受け取る端末と、
前記トークンサーバから配信されたトークンリストと鍵の更新履歴とに基づき、前記端末からのＭＡＣ付トークンの認証をするサービス提供サーバと
を備えるサービス提供システム。

【請求項2】

前記トークンサーバは、トークン発行済のセキュアＩＤについて前記端末から問い合わせを受けた場合、対応する既存のトークンに対して現状の鍵に基づくＭＡＣを付与して返信する、請求項１に記載のサービス提供システム。

【請求項3】

前記サービス提供サーバは、更新履歴に含まれる鍵として、少なくとも現状の鍵と、現状の１つ前の鍵と、現状の次の鍵とを有し、前記端末からのＭＡＣ付トークンの認証に際して、いずれかの鍵で認証された場合、有効なものとして取り扱う、請求項１及び２のいずれか一項に記載のサービス提供システム。

【請求項4】

前記トークンサーバは、一定時間ごとに鍵を更新し、更新に応じて、前記サービス提供サーバへの配信を行う、請求項１～３のいずれか一項に記載のサービス提供システム。

【請求項5】

前記トークンサーバは、トークンリストの内容変更に応じて、前記サービス提供サーバへの配信を行う、請求項１～４のいずれか一項に記載のサービス提供システム。

【請求項6】

前記サービス提供サーバは、複数の前記端末からのＭＡＣ付トークンを受け付け、複数の前記端末に共通のトークンリストに基づいて、サービス提供を行う、請求項１～５のいずれか一項に記載のサービス提供システム。

【請求項7】

前記トークンサーバは、複数の前記サービス提供サーバに対して、共通のトークンリストを配信する、請求項１～６のいずれか一項に記載のサービス提供システム。

【請求項8】

前記トークンサーバは、複数の前記サービス提供サーバに対して、前記サービス提供サーバごとに異なるトークンリストを配信する、請求項１～６のいずれか一項に記載のサービス提供システム。

【請求項9】

セキュアＩＤについてのトークンリストを作成するリスト作成部と、
トークンに付与するＭＡＣの鍵を更新する鍵更新部と、
前記鍵更新部により更新された鍵に対応するＭＡＣをトークンに付与する付与部と、
問い合わせたセキュアＩＤについて、前記付与部で対応するトークンにＭＡＣを付与されたＭＡＣ付トークンを受け取る受取部と、
前記リスト作成部から配信されたトークンリストと、前記鍵更新部から配信された鍵の更新履歴とに基づき、前記受取部で受け取ったＭＡＣ付トークンを認証する認証部と
を備えるトークン認証システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、クレジットカード等の決済用媒体を利用したサービス提供システム及びトークン認証システムに関する。

【背景技術】

【0002】

端末を利用して通信を行う際の送信制御に関する技術として、端末の認証に関連する情報の端末への送信可否を、端末の状況に応じて決定するもの（特許文献１参照）が知られている。

【0003】

しかしながら、認証に関するものとして、例えば、ＰＩＮ番号等に代えてトークンを利用するようなサービス提供において、トークンを複数回あるいは長時間使用できるようにするための技術については、上記先行技術１には開示がない。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１８－７４１８７号公報

【発明の概要】

【0005】

本発明は上記した点に鑑みてなされたものであり、トークン発行の頻度を抑えつつ、漏洩や改ざん等のセキュリティリスクを回避又は抑制できるサービス提供システム及びトークン認証システムを提供することを目的とする。

【0006】

上記目的を達成するためのサービス提供システムは、セキュアＩＤについてのトークンリストを作成するとともに、トークンに付与するＭＡＣ（メッセージ認証符号：message authentication code）の鍵を更新するトークンサーバと、トークンサーバに問い合わせたセキュアＩＤに対応するＭＡＣ付トークンを受け取る端末と、トークンサーバから配信されたトークンリストと鍵の更新履歴とに基づき、端末からのＭＡＣ付トークンの認証をするサービス提供サーバとを備える。

【0007】

上記サービス提供システムでは、トークンサーバにおいて作成したトークンリストをサービス提供サーバに配信することで、トークンの複数回の使用あるいは長時間の使用に対応できるようにしている。また、トークンサーバでは、トークンに付与するＭＡＣについて鍵を更新することで、ＭＡＣによって改ざんのチェックを可能としつつ、さらに、鍵を更新させてトークンの漏洩の発生等をチェックして、セキュリティリスクの軽減を図っている。一方で、サービス提供サーバにおいては、トークンリストと鍵の更新履歴とに基づいて、セキュアＩＤに対応するＭＡＣ付トークンの認証をする態様とすることで、例えばトークンへのＭＡＣ付与のタイミングと、鍵の更新タイミングとにずれがあっても、更新履歴を利用して的確な認証が確保されるようにしている。以上により、複数回あるいは長時間のトークン使用を可能としてトークン発行の頻度を抑えつつ、漏洩や改ざん等のセキュリティリスクを回避又は抑制することが可能となっている。

【0008】

本発明の具体的な側面では、トークンサーバは、トークン発行済のセキュアＩＤについて端末から問い合わせを受けた場合、対応する既存のトークンに対して現状の鍵に基づくＭＡＣを付与して返信する。この場合、既存のトークンを利用することで、複数回あるいは長時間のトークン使用を可能としつつ、現状の鍵に基づくＭＡＣを付与することで、改ざん等のセキュリティリスクの回避又は抑制を可能にしている。

【0009】

本発明の別の側面では、サービス提供サーバは、更新履歴に含まれる鍵として、少なくとも現状の鍵と、現状の１つ前の鍵と、現状の次の鍵とを有し、端末からのＭＡＣ付トークンの認証に際して、いずれかの鍵で認証された場合、有効なものとして取り扱う。この場合、トークンへのＭＡＣ付与のタイミングと、鍵の更新タイミングとにずれがあっても、当該トークンを有効なものとして取り扱うことができる。

【0010】

本発明のさらに別の側面では、トークンサーバは、一定時間ごとに鍵を更新し、更新に応じて、サービス提供サーバへの配信を行う。この場合、トークンサーバにおいて鍵の更新を的確に行うことで、サービス提供サーバにおいてトークンの漏洩等に対するセキュリティリスクの回避又は抑制を維持できる。

【0011】

本発明のさらに別の側面では、トークンサーバは、トークンリストの内容変更に応じて、サービス提供サーバへの配信を行う。この場合、トークンサーバにおいてトークンリストの内容変更を的確に行うことで、サービス提供サーバにおいて適切なトークン利用の状態を維持できる。

【0012】

本発明のさらに別の側面では、サービス提供サーバは、複数の端末からのＭＡＣ付トークンを受け付け、複数の端末に共通のトークンリストに基づいて、サービス提供を行う。この場合、共通のトークンリストに基づいて、例えば種々の箇所に設置された端末を利用して一貫したサービス提供が可能となる。

【0013】

本発明のさらに別の側面では、トークンサーバは、複数のサービス提供サーバに対して、共通のトークンリストを配信する。この場合、複数のサービス提供サーバに対して一貫したサービス提供が可能となる。

【0014】

本発明のさらに別の側面では、トークンサーバは、複数のサービス提供サーバに対して、サービス提供サーバごとに異なるトークンリストを配信する。この場合、複数のサービス提供サーバごとに異なるサービス提供を行うに際して、複数回あるいは長時間のトークン使用が可能となる。

【0015】

上記目的を達成するためのトークン認証システムは、セキュアＩＤについてのトークンリストを作成するリスト作成部と、トークンに付与するＭＡＣの鍵を更新する鍵更新部と、鍵更新部により更新された鍵に対応するＭＡＣをトークンに付与する付与部と、問い合わせたセキュアＩＤについて、付与部で対応するトークンにＭＡＣを付与されたＭＡＣ付トークンを受け取る受取部と、リスト作成部から配信されたトークンリストと、鍵更新部から配信された鍵の更新履歴とに基づき、受取部で受け取ったＭＡＣ付トークンを認証する認証部とを備える。

【0016】

上記トークン認証システムでは、リスト作成部において作成したトークンリストと、トークンに付与したＭＡＣについての鍵の更新履歴とに基づいてＭＡＣ付トークンを認証することで、複数回あるいは長時間のトークン使用を可能としてトークン発行の頻度を抑えつつ、漏洩や改ざん等のセキュリティリスクを回避又は抑制するに際して、的確な認証を確保している。

【図面の簡単な説明】

【0017】

【図1】第１実施形態に係るサービス提供システム及びトークン認証システムの概要を説明するためのブロック図である。

【図2】サービス提供システムにおける動作について一例を説明するための概念図である。

【図3】（Ａ）及び（Ｂ）は、駅のシステムにおいてサービス提供サーバを適用した一例を示すための概念的な図である。

【図4】システムにおいて取り扱われるデータについて一例を説明するための図である。

【図5】（Ａ）～（Ｃ）は、駅のシステムにおける動作について説明するためのシーケンス図である。

【図6】サービス提供システムを適用した一変形例を示す概念的な図である。

【図7】サービス提供システムの概要についてまとめた概念図である。

【図8】第２実施形態に係るサービス提供システムにおける動作について一例を説明するための概念図である。

【図9】（Ａ）及び（Ｂ）は、トークンリストの配信態様について一例を説明するための概念図である。

【発明を実施するための形態】

【0018】

〔第１実施形態〕
以下、図１等を参照して、第１実施形態に係るサービス提供システム及びトークン認証システムについて一例を説明する。図１や図２に示すように、本実施形態に係るサービス提供システム１００は、トークンサーバ１０と、端末（端末装置）２０と、サービス提供サーバ５０とを備え、セキュア媒体を特定するセキュアＩＤについての情報読取りを契機として、種々のサービス提供を行う。ここでは、一例として、セキュア媒体の一態様としてのクレジットカードＣＣが利用される場合について説明する。すなわち、クレジットカードＣＣのクレジットカード番号（ＰＡＮ：Primary Account Number）を、対象となるセキュアＩＤとし、ＰＡＮについてトークン化する（トークンの生成を行う）ととともに、トークンサーバ１０を経由することにより、決済処理が可能となっている。さらに、ここでは、生成したトークンを利用したサービス提供が、サービス提供システム１００によりなされるものとする。また、以上のような場合、サービス提供システム１００あるいはその一部は、トークン認証を行うためのトークン認証システムＡＳとしても、機能している。

【0019】

図１に示すように、サービス提供システム１００のうち、トークンサーバ１０は、例えばＣＰＵ等で構成される主制御部１１と、各種ストレージデバイス等で構成されて各種データを格納するデータベース１２とを有し、トークン決済処理等を可能とすべく、トークンについての発行や管理等の各種処理を行う装置である。

【0020】

サービス提供サーバ５０は、例えばＣＰＵ等で構成される主制御部５１と、各種ストレージデバイス等で構成されて各種データを格納するデータベース５２とを有し、サービス提供を行うためのデータ管理等を行う装置である。

【0021】

端末（端末機器）２０は、トークンサーバ１０において管理されるトークンに基づいてサービス提供サーバ５０によるサービス提供を行うに際してのインターフェース部として機能すべく、各部と送信するための送信部２０ｓと、受信部２０ｒとを備える。端末２０は、トークンサーバ１０に対しては、セキュアＩＤに関する問い合わせを行う一方、サービス提供サーバ５０に対しては、トークンサーバ１０から受け取ったセキュアＩＤに対応するトークンに基づいて問い合わせを行う。すなわち、セキュアＩＤの取り扱いについては、トークンサーバ１０と端末２０との間で行われ、サービス提供サーバ５０においては、サービスを受ける対象を識別するためのＩＤとして、専ら発行済のトークンを利用して、決済処理やサービス管理のための利用等が行われ、セキュアＩＤについては関知しないものとなっている。

【0022】

ここで、さらに、本実施形態では、上記態様に際して取り扱われるトークンに関して、サービス提供システム１００においてＭＡＣ（メッセージ認証符号：message authentication code）を付与するとともに、ＭＡＣに対応する鍵を逐次更新していく態様となっている。これにより、本実施形態では、例えばワンタイムパスワードのような利用態様の場合と異なり、発行したトークンの長期的な利用が可能となっている。つまり、セキュアＩＤに対するトークン発行の頻度を抑えつつ、漏洩や改ざん等のセキュリティリスクを回避又は抑制できる態様になっている。

【0023】

図示の一例では、トークンサーバ１０のうち、主制御部１１は、トークンリストを作成するリスト作成部ＬＣと、トークンに対応した鍵の更新を行う鍵更新部ＫＵと、トークンにＭＡＣを付与するＭＡＣ付与部（付与部）ＴＧとを備える、あるいは、これらとして機能する。ここで、鍵更新部ＫＵにおいて更新（生成）される鍵は、ＭＡＣ付与部ＴＧにおいてトークンに付与するＭＡＣに対応して作成されるものである。言い換えると、ＭＡＣ付与部ＴＧは、鍵更新部ＫＵにより更新された鍵に対応するＭＡＣをトークンに付与するものとなっている。なお、ＭＡＣ付与部ＴＧは、トークンにＭＡＣを付与する際に、鍵として直近で更新されたものを採用している。

【0024】

また、データベース１２は、リスト作成部ＬＣで作成されたトークンリストＴＬｓや、鍵更新部ＫＵで生成された鍵データＫＤ等を格納しており、これらのデータは、サービス提供サーバ５０に対して送信可能となっている。このほか、データベース１２には、セキュアＩＤとこれに対応して発行されるトークンとの間（セキュアＩＤ－トークン間）についてのセキュア管理データＤＢ１を格納している。なお、セキュア管理データＤＢ１として格納されているデータは、サービス提供サーバ５０に対して送信されることはなく、トークンサーバ１０内で管理される。

【0025】

端末２０は、上記のような各種処理を行うトークンサーバ１０に対応するインターフェース部として、受信部２０ｒにおいて、クレジットカードＣＣからセキュアＩＤ（ＰＡＮ）を受け付ける（読み取る）とともに、読み取ったセキュアＩＤに対するトークンについて、送信部２０ｓを介して、トークンサーバ１０に問い合わせる。上記態様の場合、セキュアＩＤの問合せに応じて、トークンサーバ１０からは、当該セキュアＩＤに対応するトークンに対して、問合せ時におけるＭＡＣが付与される。この結果として得られるＭＡＣ付トークンがトークンサーバ１０から返信され、端末２０の受信部２０ｒにおいて受け付けられることになる。つまり、受信部２０ｒは、トークンサーバ１０に問い合わせたセキュアＩＤについて、ＭＡＣ付与部（付与部）ＴＧで対応するトークンにＭＡＣを付与して構成されるＭＡＣ付トークンを受け取る受取部として機能している。

【0026】

さらに、端末２０は、受け取った当該ＭＡＣ付トークンを利用して、サービス提供サーバ５０にアクセスする。これにより、サービス提供サーバ５０によるサービスを受けようとする利用者（クレジットカードＣＣの保有者）が、各種サービスの提供を受けるものとなる。

【0027】

サービス提供サーバ５０のうち、主制御部５１は、既述のように、ＣＰＵ等で構成され、サービス提供を行うための各種制御を行う。ここでは特に、主制御部５１は、各種制御のうちの１つとして、上述した端末２０からのＭＡＣ付トークンの認証をする。このため、主制御部５１は、当該認証を行うための認証部ＣＦを備えているものとする。また、データベース５２は、サービス提供を行う際に管理対象となる各種データを格納している。ここでは特に、データベース５２は、トークンサーバ１０からのトークンリストＴＬｓを、トークンリストＴＬｒとして格納しており、鍵データＫＤを、鍵更新履歴ＫＨに格納しているものとする。ここで、鍵更新履歴ＫＨについては、例えば直近に送信されたデータのみならず、過去に送信されたデータについても記録として残しておく（蓄積している）等とすることで、鍵の更新履歴について格納されたデータとして記録されている。また、このほか、データベース５２には、各種サービスの提供を行う際に必要となる各種データとして、サービス用データＤＢ２を格納している。

【0028】

主制御部５１において、認証部ＣＦは、トークンサーバ１０から配信されたデータとしてデータベース５２に格納されているトークンリストＴＬｒと鍵更新履歴ＫＨとに基づき、端末２０からのＭＡＣ付トークンの認証を行う。以上を言い換えると、認証部ＣＦは、リスト作成部ＬＣから配信されたトークンリストＴＬｓ（ＴＬｒ）と、鍵更新部ＫＵから配信された鍵の更新履歴（鍵更新履歴ＫＨ）とに基づき、受取部としての受信部２０ｒで受け取ったＭＡＣ付トークンを認証するものとなっている。

【0029】

なお、図示の一例では、認証部ＣＦでの認証結果が、受信部２０ｒすなわち端末２０側に返され、併せて認証結果に応じた各種サービスの提供が実行されるものとなっている。

【0030】

以上のような構成のサービス提供システム１００について、典型的一例としては、クレジットカードＣＣとして、ＥＭＶ（Europay, MasterCard, VISA protocol）対応であり、かつ、端末２０の読取部（例えば受信部２０ｒ）において非接触での読取りが可能となっているものを採用することが想定される。また、高いセキュリティ確保をすべく、トークンサーバ１０については、ＰＣＩＤＳＳ（Payment Card Industry Data Security Standard）認証取得済サーバ、あるいはこれに相当するトークン生成可能なサーバで構成することが考えられる。以上の場合、トークンサーバ１０と、端末２０のうちクレジットカードＣＣからＰＡＮを読み取ってトークンサーバ１０と通信を行う箇所とについては、高いセキュリティが確保された構成とする一方、これら以外については、必ずしもこのような高いセキュリティを要求しないもので構成可能となっている。つまり、サービス提供サーバ５０あるいはその一部等については、ＰＣＩＤＳＳ認証に非準拠なもので構成することができる。

【0031】

なお、上記態様の場合、端末２０を介したクレジットカードＣＣの情報読取りを契機として、種々のサービス提供を行うものとなっているので、例えば、端末２０については、駅の券売機や改札機、あるいはイベント会場や会員制設備において入出場を管理する装置等、種々のものへの適用が考えられる。例えば、サービス提供システム１００が、駅等に適用されれば、物理的な物体としてのクレジットカードＣＣを、切符や、定期券や、一日乗車券等として利用することが可能になる。あるいは、クレジットカードＣＣを、イベントのチケットや会員制設備の会員証等として利用することも可能である。

【0032】

また、ここで、上記のような構成のサービス提供システム１００、あるいはその一部について、トークン認証を行うための装置としてみると、トークン認証システムＡＳである、と捉えることもできる。より具体的には、トークン認証システムＡＳは、セキュアＩＤ（ＰＡＮ）についてのトークンリストを作成するリスト作成部ＬＣと、トークンに付与するＭＡＣの鍵を更新する鍵更新部ＫＵと、鍵更新部ＫＵにより更新された鍵に対応するＭＡＣをトークンに付与するＭＡＣ付与部（付与部）ＴＧと、問い合わせたセキュアＩＤについて、ＭＡＣ付与部ＴＧで対応するトークンにＭＡＣを付与されたＭＡＣ付トークンを受け取る受取部である受信部２０ｒと、リスト作成部ＬＣから配信されたトークンリストＴＬｒと、鍵更新部ＫＵから配信された鍵の更新履歴である鍵更新履歴ＫＨとに基づき、受信部２０ｒで受け取ったＭＡＣ付トークンを認証する認証部ＣＦとを備える。上記トークン認証システムＡＳでは、リスト作成部ＬＣにおいて作成したトークンリストＴＬｓ（これに対応するトークンリストＴＬｒ）と、トークンに付与したＭＡＣについての鍵の更新履歴（鍵更新履歴ＫＨ）とに基づいてＭＡＣ付トークンを認証することで、複数回あるいは長時間のトークン使用を可能としてトークン発行の頻度を抑えつつ、漏洩や改ざん等のセキュリティリスクを回避又は抑制するに際して、的確な認証を確保している。

【0033】

以下、図２を参照して、上記のような構成における各部の動作（流れ）についてより具体的な一態様を説明する。

【0034】

まず、前提として、上記のような態様においては、例えばサービスの提供を受けるべく、該当するサービスあるいは商品の購入時（カード決済処理）において、１つのセキュアＩＤに対して、これに対応する１つのトークンが発行され、これらを対応付けたデータが、セキュアＩＤ－トークン間についてのセキュア管理データＤＢ１として、サービス提供サーバ５０の所定領域に格納されていく。また、セキュア管理データＤＢ１内のデータは、例えば一定時間経過等により、削除される場合もある。このようなデータ管理に応じて、トークンの追加（新規発行）や削除が行われると、トークンの追加や削除がなされるごとに、トークンリストＴＬｓは、その内容が変更されることになる。このため、これのようなデータの変化をトリガー（契機）として、トークンリストＴＬｓのサービス提供サーバ５０への配信がなされる（ステップ１）。つまり、トークンリストＴＬｓの内容変更に応じて、サービス提供サーバ５０への配信が行われる。

【0035】

１つのセキュアＩＤに対する１つのトークンの発行については、典型的な一例としては、既述のように、利用者であるクレジットカードＣＣの保有者が、各種サービスの提供を受けるべく、当該サービスに関するクレジット決済を行う場合が想定される。サービスの具体的内容については、種々の態様が考えられるが、例えばサービス提供サーバ５０の管理下にある施設の一日利用権（一日乗車券）のようなものがサービスあるいは商品として存在する場合であれば、最初にクレジットカードＣＣを使って一日利用権を購入する（決済処理を行う）際に、トークンサーバ１０側では、クレジットカードＣＣのセキュアＩＤ（ＰＡＮ）に応じたトークンが発行される一方、サービス提供サーバ５０側では、当該トークンと、対象となるサービスあるいは商品（上記一例の場合、施設の一日利用権）とが紐づけられた状態で、サービス用データＤＢ２として、格納される。つまり、この紐づけされた情報は、サービス用データＤＢ２として、サービス提供サーバ５０のデータベース５２に格納され、主制御部５１において、管理されることになる。つまり、トークン発行済の状態となっている。

【0036】

ここで、上記のように既にトークン発行済の状態になっていて、トークンサーバ１０が端末２０から当該発行済のトークンについて問い合わせを受けた場合、すなわち、トークン発行済のセキュアＩＤについて端末２０から問い合わせを受けた場合、トークンサーバ１０は、対応する既存のトークンに対して現状の鍵（問い合わせを受けた時点で利用される鍵）に基づくＭＡＣを付与して返信することになる。

【0037】

一方、トークンサーバ１０では、鍵更新部ＫＵにおいて、一定時間ごとに、ＭＡＣに関する鍵の更新（生成）が行われ（ステップ２）、生成された鍵は、サービス提供サーバ５０へ配信される（ステップ３）。ここで、上記鍵の更新については、ステップ１として上述したトークンサーバ１０からサービス提供サーバ５０へのトークンリストＴＬｓの配信とは別個になされるものとなる。

【0038】

さらに、トークンにＭＡＣを付与してからＭＡＣを付与された当該トークン（ＭＡＣ付トークン）が利用されるまでのタイミングも、一定時間ごとになされる鍵の更新のタイミングとは合致しない場合がある。この場合、ＭＡＣ付与時に利用される鍵が、サービス提供サーバ５０への問合せ時に使われる鍵と一致しない可能性がある。

【0039】

そこで、本実施形態では、まず、サービス提供サーバ５０において、上記のように、鍵の更新履歴が残るような態様で保存をする（ステップ４）。この上で、認証に際しては、更新履歴に含まれる鍵のうちのいずれかの鍵で認証された場合、有効なものとして取り扱うことで、上記のような配信タイミングのずれが生じてもこれに対応可能なものとなっている。

【0040】

図示の一例では、配信元であるトークンサーバ１０の鍵更新部ＫＵにおいて、現状の鍵（配信時点においてＭＡＣ付与に利用される鍵）と、現状の１つ前の鍵（配信時点よりも１つ更新前の時点において利用されていた鍵）と、現状の次の鍵（次の更新時から利用する予定となっている鍵）との３世代分の鍵を準備しておき、これらの鍵データ（鍵リスト）を、トークンサーバ１０からサービス提供サーバ５０へ配信することで、サービス提供サーバ５０に鍵の更新履歴が残るようにしている場合について例示している。つまり、上記態様の場合、サービス提供サーバ５０は、データベース５２において、トークンサーバ１０からの鍵データＫＤをそのまま記録すれば、更新履歴に含まれる鍵として、少なくとも現状の鍵と、現状の１つ前の鍵と、現状の次の鍵とを有した状態にできる。

【0041】

以下、上記を前提としつつ、端末２０（端末機器）を介したセキュア媒体としてのクレジットカードＣＣによるサービスの利用における動作に関して説明する。

【0042】

まず、端末２０において、クレジットカードＣＣが翳されこれを読み取ることで、セキュアＩＤ（ここでは、セキュアＩＤ１とする）として、トークンサーバ１０やサービス提供サーバ５０既に登録されているものを受け付けると（ステップ５）、端末２０は、セキュアＩＤ１についての問合せをトークンサーバ１０に対して行う（ステップ６）。トークンサーバ１０では、セキュア管理データＤＢ１においてトークンについての照会を行って、セキュアＩＤ１に対応する対応するトークン（ここでは、トークン１とする）を抽出し、これに現時点（トークン抽出時）におけるＭＡＣを付与する（ステップ７）。すなわち、現状の鍵に基づくＭＡＣ付与が、トークン１に対してなされ、生成されたＭＡＣ付トークンが、セキュアＩＤ１についての問合せ結果として、端末２０に返される（ステップ８）。

【0043】

次に、端末２０は、受け取ったＭＡＣ付トークンにより、サービス提供サーバ５０への問合せを行う（ステップ９）。つまり、サービス提供サーバ５０は、主制御部５１の認証部ＣＦにおいて、端末２０からのＭＡＣ付トークンについて、認証を行う。認証部ＣＦは、上記認証に際して、データベース５２に格納された３世代分の鍵のうち、上記いずれかの鍵で認証がなされた場合、当該ＭＡＣ付トークンを有効なものとして取り扱うことで、これに対応する内容のサービス提供がなされるものとなる（ステップ１０）。すなわち、トークン１に紐づけられたサービス内容の提供がなされる

【0044】

ここで、上記認証の処理について、より具体的に説明すると、例えばデータベース５２に格納された鍵の情報についてのトークンサーバ１０からの鍵の配信タイミングと、ＭＡＣ付トークンにおけるＭＡＣ付与から端末２０を介したサービス提供サーバ５０への問合せまでのタイミングとに大きな差が無い場合には、データベース５２に格納された現状の鍵（鍵ｖ１）と、ＭＡＣ付トークンにおけるＭＡＣとが対応して、認証がなされて有効なものとして取り扱われるものとなる、と想定される。一方、トークンサーバ１０からの鍵の配信タイミングのほうが、端末２０を介したサービス提供サーバ５０への問合せまでのタイミングよりも遅い場合には、データベース５２に予め格納されていた現状の次の鍵（鍵ｖ２）と、ＭＡＣ付トークンにおけるＭＡＣとが対応するものとなる、と想定される。逆に、トークンサーバ１０からの鍵の配信タイミングのほうが、端末２０を介したサービス提供サーバ５０への問合せまでのタイミングよりも早い場合には、データベース５２において格納されていた鍵のうち、現状の１つ前の鍵（鍵ｖ０）と、ＭＡＣ付トークンにおけるＭＡＣとが対応するものとなる、と想定される。なお、この際、併せて、トークンサーバ１０からサービス提供サーバ５０へのトークンリスト配信のタイミングの影響による処理タイミングのずれも生じ得る。

【0045】

一方、上記いずれにも合致しない場合には、当該ＭＡＣ付トークンについて、改ざん等がなされた可能性が高いのものとして、有効なものとして取り扱わない。

【0046】

以上のように、本実施形態では、鍵の更新を行うことで、ＭＡＣの漏洩に基づくセキュリティリスクを回避又は抑制しつつ、鍵の更新履歴に基づいて認証を行うことで、トークン配信側と鍵の更新情報の配信側との間にタイミングの差（タイムラグ）が発生してもこれに対応可能なものとしている。

【0047】

以下、図３等を参照して、上記のようなサービス提供システム１００あるいはトークン認証システムＡＳについてのより具体的な一適用例として、駅のシステムに導入した場合における一構成例について説明する。図３（Ａ）及び図３（Ｂ）は、駅のシステムにおいてサービス提供サーバ５０を適用した一例を示すための概念的な図である。図示の一例では、駅に設置される発券装置（券売機）ＴＤや自動改札機ＡＧ、あるいはその一部が、端末２０として機能する。また、サービス提供サーバ５０は、例えば販売された定期券や切符に関するデータを、クレジットカードＣＣのＰＡＮに対応するトークンに基づき管理することで、クレジットカードＣＣを定期券等として利用できる態様となっている。つまり、ここでは、サービス提供サーバ５０は、定期券等の内容についての各種データの管理を担うための駅のシステムとして組み込まれている。なお、図３（Ａ）は、発券装置（券売機）ＴＤを利用した定期券等の購入時の様子を示すものであり、図３（Ｂ）は、自動改札機ＡＧを利用した購入したものの利用（権利の行使）時の様子を示すものである。

【0048】

まず、図３（Ａ）等に示すように、端末２０としての発券装置ＴＤは、定期券や切符を購入するための各種操作部ＯＵに加え、非接触型のクレジットカードＣＣを受け付けるために、奥行を有した受付部ＲＰ１が設けられており、図３（Ａ）に示すように、受付部ＲＰ１の載置部ＰＰにクレジットカードＣＣを置くことで、読取部ＲＤによるＰＡＮの読取りが可能となっている。すなわち、端末２０としての発券装置ＴＤは、クレジットカードＣＣのセキュアＩＤ（ＰＡＮ）を、トークンサーバ１０（主制御部１１）に問い合わせる。これに応じて、トークンサーバ１０において、トークンが発行される。発行されたトークンの情報は、サービス提供サーバ５０に送信され、サービス提供サーバ５０において、当該トークンに基づく各種手続きがなされる。この際、トークンサーバ１０では、セキュアＩＤ－トークンの紐づけがなされ、これについてのデータ管理がなされるとともに、トークンリストが更新され（新たなトークンの追加）、これに伴って、新たなトークンリストがサービス提供サーバ５０に配信される。一方、サービス提供サーバ５０では、トークン－提供サービス内容の紐づけがなされる。以上により、上記クレジットカードＣＣのセキュアＩＤ（ＰＡＮ）については、トークン発行済の状態として取り扱われるものとなる。なお、以上に際して、トークンサーバ１０とサービス提供サーバ５０との間において適宜決済のための処理がなされている。

【0049】

次に、図３（Ｂ）に示すように、端末２０としての自動改札機ＡＧは、通過の出入口側に設けられた受付部ＲＰ２の付近にクレジットカードＣＣを翳すことで、読取部ＲＤによる読取りが可能となっている。つまり、読取部ＲＤは、クレジットカードＣＣが翳されたことを契機として、クレジットカードＣＣのセキュアＩＤ（ＰＡＮ）を、トークンサーバ１０（主制御部１１）に問い合わせる。この場合、図３（Ａ）を参照して説明したように、クレジットカードＣＣは、既にトークン発行済となっているため、トークンサーバ１０からは、対応する発行済のトークンにＭＡＣが付与された状態で、端末２０としての自動改札機ＡＧに返される。自動改札機ＡＧから、当該ＭＡＣ付トークンがサービス提供サーバ５０に対して送信されると、サービス提供サーバ５０では、当該ＭＡＣ付トークンについての認証がなされる。ここでの認証結果に応じて、自動改札機ＡＧにおける通過の許否決定がなされることになる。すなわち、認証の結果、当該ＭＡＣ付トークンが有効と判定されれば、自動改札機ＡＧにおけるゲートＧＴが開放され、通過が可能となる。

【0050】

上記において、定期券等の内容についての管理を担うシステムとしてのサービス提供サーバ５０においては、例えば図４に示すようなデータ表ＤＴに示す各種データが取り扱われる。具体的には、各データ表ＤＴには、例えばセキュアＩＤ（ＰＡＮ）ごとに生成されたトークンを示す（識別する）トークンＩＤ（トークン番号）や、その発行日時、有効期限に関するデータＤＤ１とともに、契約内容すなわち購入済みの権利内容に関するデータＤＤ２、さらには、施設の利用履歴に関するデータＤＤ３が格納されている。データＤＤ２には、定期券や、一日券等といった購入内容の種別や、利用可能期間及び区間の情報が含まれており、データＤＤ３には、いつ、どこの駅（改札）を通過したかといった情報が含まれている。ここで、データＤＤ３については、図示の一例のように、通過時においてのＭＡＣとこれに合致した鍵の情報が併せて記録されるものとしてもよい。

【0051】

以下、図５（Ａ）～図５（Ｃ）として示すシーケンス図を参照して、駅のシステムにおける動作について一例を説明する。

【0052】

図５（Ａ）は、図３（Ａ）を参照して説明した端末２０としての発券装置（券売機）ＴＤと、各部との関係について示している。つまり、権利購入に伴う最初のトークン発行について一例を示している。

【0053】

この場合、まず、端末２０は、利用者からの購入のための各種操作を受け付け、この際に受け取ったセキュアＩＤ（ＰＡＮ）をトークンサーバ１０に問い合わせる。トークンサーバ１０は、問合せに対応するトークンの発行を行い、発行したトークンを端末２０に送信するとともに、当該トークンをトークンリストＴＬｓ（図１等参照）に追加し、これをサービス提供サーバ５０に配信する。サービス提供サーバ５０は、トークンサーバ１０からの新たなトークンリストＴＬｓを受け付ける。

【0054】

また一方で、権利購入のための決済処理としては、まず、端末２０としての発券装置（券売機）ＴＤにおいて、トークンサーバ１０で発行されたトークンを受け付けると、発券装置ＴＤは、当該トークンを、利用者の操作により受け付けた購入（契約）しようとする内容ととともに、サービス提供サーバ５０に対して送信する。サービス提供サーバ５０は、発券装置ＴＤ（端末２０）からのトークンと購入内容とを紐づけを行いつつ、トークンサーバ１０との間で、決済処理がなされる。決済処理については、図示や詳しい説明を省略するが、例えばトークンサーバ１０や、さらにその先につながるクレジット会社等との間で必要な取引が行われるものとなっている。

【0055】

一方、図５（Ｂ）に示すように、トークンサーバ１０とサービス提供サーバ５０との間では、端末２０としての発券装置ＴＤや自動改札機ＡＧ等との通信の有無にかかわらず、鍵の更新に関する配信と受付の処理が一定時間ごとになされる。すなわち、トークンサーバ１０において、一定時間ごとに鍵が更新されるすなわち新たな鍵が生成されると、その都度、サービス提供サーバ５０に対して配信がなされる。サービス提供サーバ５０では、新たな鍵の情報を受け付けるとともに、鍵の更新履歴が残る状態に維持しつつ、新たな鍵の情報を反映させたものにしている。

【0056】

図５（Ｃ）は、図３（Ｂ）を参照して説明した端末２０としての自動改札機ＡＧと、各部との関係について示している。つまり、権利購入後において、これを行使する際における発行済トークンの利用について一例を示している。

【0057】

この場合、まず、利用者が、端末２０としての自動改札機ＡＧの受付部ＲＰ２（図３参照）の付近にクレジットカードＣＣを翳すと、端末２０としての自動改札機ＡＧがこれを受け付け、この際に受け取ったセキュアＩＤ（ＰＡＮ）をトークンサーバ１０に問い合わせる。トークンサーバ１０は、問合せに対応するトークンの照会を行い、対応する既存のトークンを抽出するとともに、抽出したトークンに対して、現状の鍵に基づくＭＡＣを付与して、これを、すなわちＭＡＣ付トークンを、端末２０としての自動改札機ＡＧに送信する。

【0058】

端末２０としての自動改札機ＡＧは、ＭＡＣ付トークンを受け取ると、これをサービス提供サーバ５０に送信し、これを受けたサービス提供サーバ５０は、トークンサーバ１０からのトークンリストＴＬｓと、蓄積している鍵の更新履歴とに基づいて、トークンに関する認証（トークン認証）を行う。なお、この際、サービス提供サーバ５０は、紐づけされているトークンと購入内容との整合について併せて処理を行う。例えば、データ表ＤＴ（図４参照）にあるような各種データを参照することで、自動改札機ＡＧが、購入内容の区間内に存在するものであるか等の確認を行う。

【0059】

サービス提供サーバ５０は、トークン認証についての認証結果や、購入内容との整合性に基づいて、通過許否の結果を端末２０としての自動改札機ＡＧに対して通知し、これに応じた許否動作（図４におけるゲートＧＴの開閉動作）が、自動改札機ＡＧにおいてなされるものとなる。

【0060】

なお、図３等においては、例えば端末２０としての自動改札機ＡＧを、１つのみ示しているが、これに限らず、例えば図６として示す一変形例のように、サービス提供サーバ５０が、複数の自動改札機ＡＧ（端末２０）からのＭＡＣ付トークンを受け付ける態様となっていてもよい。なお、この際、各自動改札機ＡＧについては、１つの駅に存在するものに限らず、異なる駅に設定されているものについて、１つのサービス提供サーバ５０で一括して対応するものにできる。また、この際、サービス提供サーバ５０が、複数の自動改札機ＡＧ（端末２０）に対して、共通のトークンリストに基づいて、サービス提供を行うものとすることで、種々の箇所に設置された端末２０について、一貫したサービス提供が可能となる。

【0061】

以下、図７を参照して、上述したサービス提供システム１００について概要を説明する。図示のように、また、既述のように、本実施形態のサービス提供システム１００は、セキュアＩＤ（例えばＰＡＮ）についてのトークンリストＴＬｓを作成するとともに、トークンに付与するＭＡＣの鍵を更新するトークンサーバ１０と、トークンサーバ１０に問い合わせたセキュアＩＤに対応するＭＡＣ付トークンを受け取る端末２０と、トークンサーバ１０から配信されたトークンリスト（トークンリストＴＬｒ）と鍵の更新履歴（鍵更新履歴ＫＨ）とに基づき、端末２０からのＭＡＣ付トークンの認証をするサービス提供サーバ５０とを備える。上記サービス提供システム１００では、トークンサーバ１０において作成したトークンリストＴＬｓをサービス提供サーバ５０に配信することで、トークンの複数回の使用あるいは長時間の使用に対応できるようにしている。また、トークンサーバ１０では、トークンに付与するＭＡＣについて、鍵更新部ＫＵにおいて鍵を更新（生成）することで、ＭＡＣによって改ざんのチェックを可能としつつ、さらに、鍵を更新させてトークンの漏洩の発生等をチェックして、セキュリティリスクの軽減を図っている。一方で、サービス提供サーバ５０においては、トークンリストＴＬｒと鍵の更新履歴である鍵更新履歴ＫＨとに基づいて、セキュアＩＤに対応するＭＡＣ付トークンの認証をする態様としていることで、例えばトークンへのＭＡＣ付与のタイミングと、鍵の更新タイミングとにずれがあっても、更新履歴を利用して的確な認証が確保されるようにしている。以上により、複数回あるいは長時間のトークン使用を可能としてトークン発行の頻度を抑えつつ、漏洩や改ざん等のセキュリティリスクを回避又は抑制することが可能となっている。

【0062】

〔第２実施形態〕
以下、図８等を参照しつつ、第２実施形態に係るサービス提供システム１００について一例を説明する。図８は、図２に対応する図であり、本実施形態では、１つのトークンサーバ１０が、複数のサービス提供サーバ５０（５０Ａ，５０Ｂ，…）に対して、トークンリストを配信している点において、第１実施形態に例示した場合と異なっている。

【0063】

より具体的には、例えば、複数のサービス提供サーバ５０のうち、サービス提供サーバ５０Ａが駅利用のためのシステムであるのに対して、サービス提供サーバ５０Ｂ，５０Ｃ，…は、それぞれ、バス利用のためのシステムであったり、有料駐車場のシステムであったり等の別個独立したものである場合が考えられる。このような場合に、セキュアＩＤ（例えばクレジットカードのＰＡＮ）とこれに対応するトークンとについては、１つのトークンサーバ１０において一括管理しつつ、各サービス提供サーバ５０における管理対象等に対応したデータ配信をすることが考えられる。

【0064】

図９（Ａ）及び図９（Ｂ）は、１つのトークンサーバ１０において一括管理されるトークンリストＴＬｓの配信態様について一例を説明するための概念図であり、図９（Ａ）は、トークンサーバ１０が、複数のサービス提供サーバ５０Ａ，５０Ｂ，…に対して、共通のトークンリストを配信する態様を示しており、図９（Ｂ）は、トークンサーバ１０が、複数のサービス提供サーバ５０Ａ，５０Ｂ，…に対して、サービス提供サーバ５０Ａ，５０Ｂ，…ごとに異なるトークンリストを配信する態様を示している。

【0065】

より具体的に説明すると、まず、図９（Ａ）に示す一例では、トークンサーバ１０のトークンリストＴＬｓと同一のものが、トークンリストＴＬｒとして、各サービス提供サーバ５０Ａ，５０Ｂ，…に配信されている。すなわち、トークンサーバ１０側と各サービス提供サーバ５０Ａ，５０Ｂ，…側とで、さらには、サービス提供サーバ５０Ａ，５０Ｂ，…間において、トークンリストＴＬｓ（あるいはトークンリストＴＬｒ）の情報が共有されている。この場合、例えば鉄道とバスの共通一日乗車券としてクレジットカードを使用する、といった場合に、サービス内容についての紐づけ等を別途共有しておくといった他の必要な事項を適宜行っておくこと等により、当該クレジットカードに対応する１つのトークンを、鉄道管理側のサービス提供サーバ５０と、バス管理側のサービス提供サーバ５０とで共通化させることが可能になる。

【0066】

一方、図９（Ｂ）に示す一例では、トークンサーバ１０のトークンリストＴＬｓのうち、一部が配信され、トークンリストＴＬｒ１，ＴＬｒ２，…として、各サービス提供サーバ５０Ａ，５０Ｂ，…に格納されるものとなっている。この場合、サービス提供サーバ５０Ａ，５０Ｂ，…ごとに、トークンリストＴＬｒ１，ＴＬｒ２，…の内容は異なっている。なお、この場合、例えば複数のサービス提供サーバ５０Ａ，５０Ｂ，…ごとに異なるサービス提供を行うことができる。

【0067】

〔その他〕
この発明は、上記の実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様で実施することが可能である。

【0068】

まず、上記において、セキュアＩＤを保有するセキュア媒体として、非接触での読取りが可能となっているクレジットカードを一例として説明したが、セキュアＩＤについては、上記態様に限らず、種々の態様とすることができる。例えば、顔認証を利用する態様において適用することも考えられる。

【0069】

また、上記では、セキュアＩＤについて取り扱いを行う端末２０として、自動改札機ＡＧ等を例示したが、これに限らず、種々のものが採用できる。例えばスマートフォンを、認証に際して利用する端末２０とする態様等も考えられる。

【0070】

また、上記において、鍵の更新タイミングや、認証に際して使用する鍵の履歴範囲（上記では３世代分としていた）等については、種々の態様とすることが可能である。また、認証結果の状況に応じて、更新タイミングや、使用する履歴範囲を適宜調整するものとしてもよい。

【0071】

また、上記では、１つのセキュアＩＤに対して、１つのトークンを発行する場合について説明しているが、これに限らず、例えば、１つのセキュアＩＤに対して、複数のトークンを発行する態様とすることも考えられる。

【符号の説明】

【0072】

１０…トークンサーバ、１１…主制御部、１２…データベース、２０…端末（端末装置）、２０ｒ…受信部、２０ｓ…送信部、５０，５０Ａ，５０Ｂ，５０Ｃ…サービス提供サーバ、５１…主制御部、５２…データベース、１００…サービス提供システム、ＡＧ…自動改札機、ＡＳ…トークン認証システム、ＣＣ…クレジットカード、ＣＦ…認証部、ＤＢ１…セキュア管理データ、ＤＢ２…サービス用データ、ＤＤ１－ＤＤ３…データ、ＤＴ…データ表、ＧＴ…ゲート、ＫＤ…鍵データ、ＫＨ…鍵更新履歴、ＫＵ…鍵更新部、ＬＣ…リスト作成部、ＯＵ…種操作部、ＰＰ…載置部、ＲＤ…読取部、ＲＰ１，ＲＰ２…受付部、ＴＤ…発券装置（券売機）、ＴＧ…ＭＡＣ付与部（付与部）、ＴＬｒ，ＴＬｓ…トークンリスト

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】