▶ キャピタル・ワン・サービシーズ・リミテッド・ライアビリティ・カンパニーの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024037975
(43)【公開日】2024-03-19
(54)【発明の名称】非接触カードを使用した許可の委任された管理
(51)【国際特許分類】
G06F 21/33 20130101AFI20240312BHJP
G06Q 20/34 20120101ALI20240312BHJP
G06F 21/64 20130101ALN20240312BHJP
G06Q 20/32 20120101ALN20240312BHJP
【ＦＩ】
G06F21/33
G06Q20/34
G06F21/64
G06Q20/32
【審査請求】有
【請求項の数】20
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2023214440
(22)【出願日】2023-12-20
(62)【分割の表示】P 2021556893の分割
【原出願日】2020-03-19
(31)【優先権主張番号】16/360,149
(32)【優先日】2019-03-21
(33)【優先権主張国・地域又は機関】US
(71)【出願人】
【識別番号】519111877
【氏名又は名称】キャピタル・ワン・サービシーズ・リミテッド・ライアビリティ・カンパニー
【氏名又は名称原語表記】Ｃａｐｉｔａｌ Ｏｎｅ Ｓｅｒｖｉｃｅｓ， ＬＬＣ
(74)【代理人】
【識別番号】100145403
【弁理士】
【氏名又は名称】山尾 憲人
(74)【代理人】
【識別番号】100135703
【弁理士】
【氏名又は名称】岡部 英隆
(72)【発明者】
【氏名】ルール，ジェフリー
(72)【発明者】
【氏名】ミラー，ウォルター エイ
(57)【要約】 （修正有）
【課題】非接触カードを使用して許可を委任されて管理する装置及び方法を提供する。
【解決手段】コンピューティングデバイス上で実行される許可モジュールは、第１のアカウントから、第２のアカウントにコンピューティングリソースへのアクセスを付与する要求を受信し、非接触カードから第１のアカウントの許可データおよび非接触カードによって生成された暗号化されたデータを受信し、許可データおよび暗号化されたデータを認証サーバに送信し、秘密鍵に少なくとも部分的に基づいて暗号化されたデータを検証し、許可データに基づいて、第１のアカウントがコンピューティングリソースへのアクセスを付与する許可を有することを決定し、認証サーバから、暗号化されたデータの検証の指示及び第２のアカウントに関連付けられた許可ベクトルを受信する。許可ベクトルは、第２のアカウントへのコンピューティングリソースへのアクセスの付与を反映する。
【選択図】図６
【解決手段】コンピューティングデバイス上で実行される許可モジュールは、第１のアカウントから、第２のアカウントにコンピューティングリソースへのアクセスを付与する要求を受信し、非接触カードから第１のアカウントの許可データおよび非接触カードによって生成された暗号化されたデータを受信し、許可データおよび暗号化されたデータを認証サーバに送信し、秘密鍵に少なくとも部分的に基づいて暗号化されたデータを検証し、許可データに基づいて、第１のアカウントがコンピューティングリソースへのアクセスを付与する許可を有することを決定し、認証サーバから、暗号化されたデータの検証の指示及び第２のアカウントに関連付けられた許可ベクトルを受信する。許可ベクトルは、第２のアカウントへのコンピューティングリソースへのアクセスの付与を反映する。
【選択図】図６
【特許請求の範囲】
【請求項1】
プロセッサ回路と、
命令を格納するメモリと、を備えた装置であって、
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
前記プロセッサ回路で実行される許可モジュールが、コンピューティングリソースへのアクセスを第２のアカウントに付与するための第１のアカウントからの要求を受信することであって、前記コンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第１のアカウントに関連付けられた許可データ、および前記非接触カードによって生成された暗号化されたデータを受信することであって、前記非接触カードのアプレットが、前記非接触カードのメモリに格納された前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成する、ことと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを認証サーバに送信することであって、前記認証サーバは、
前記認証サーバのメモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することにより、前記暗号化されたデータを検証することと、
前記第１のアカウントに関連付けられた前記許可データに基づいて、前記第１のアカウントが前記第２のアカウントに前記コンピューティングリソースへのアクセスを付与する許可を有していることを決定することと、
を実行し、
前記許可モジュールが、前記認証サーバから、前記暗号化されたデータの検証の指示、および前記第２のアカウントに関連付けられた許可ベクトルを受信することであって、前記許可ベクトルは、前記第２のアカウントへの前記コンピューティングリソースへのアクセスの付与を反映する、ことと、
を実行させる、
装置。
命令を格納するメモリと、を備えた装置であって、
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
前記プロセッサ回路で実行される許可モジュールが、コンピューティングリソースへのアクセスを第２のアカウントに付与するための第１のアカウントからの要求を受信することであって、前記コンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第１のアカウントに関連付けられた許可データ、および前記非接触カードによって生成された暗号化されたデータを受信することであって、前記非接触カードのアプレットが、前記非接触カードのメモリに格納された前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成する、ことと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを認証サーバに送信することであって、前記認証サーバは、
前記認証サーバのメモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することにより、前記暗号化されたデータを検証することと、
前記第１のアカウントに関連付けられた前記許可データに基づいて、前記第１のアカウントが前記第２のアカウントに前記コンピューティングリソースへのアクセスを付与する許可を有していることを決定することと、
を実行し、
前記許可モジュールが、前記認証サーバから、前記暗号化されたデータの検証の指示、および前記第２のアカウントに関連付けられた許可ベクトルを受信することであって、前記許可ベクトルは、前記第２のアカウントへの前記コンピューティングリソースへのアクセスの付与を反映する、ことと、
を実行させる、
装置。
【請求項2】
前記メモリは、命令を格納しており、
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントに関連付けられた第１の要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記第２のアカウントが前記コンピューティングリソースへのアクセスを承認されていることを決定することと、
前記許可モジュールが、前記第２のアカウントに前記コンピューティングリソースへの要求されたアクセスを付与することと、
を実行させる、
請求項１に記載の装置。
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントに関連付けられた第１の要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記第２のアカウントが前記コンピューティングリソースへのアクセスを承認されていることを決定することと、
前記許可モジュールが、前記第２のアカウントに前記コンピューティングリソースへの要求されたアクセスを付与することと、
を実行させる、
請求項１に記載の装置。
【請求項3】
前記コンピューティングリソースは、前記アプリケーションを備え、前記第１の要求は、前記アプリケーションにアクセスすることを指定し、前記メモリは、命令を格納しており、前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
前記許可モジュールが、前記第２のアカウントに関連付けられた第２の要求を受信することであって、前記第２の要求は、前記アプリケーションを使用して操作を実行することを指定し、前記操作は、（ｉ）購入の完了、（ｉｉ）クレジットの延長、および（ｉｉｉ）資金の移動のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記操作に関連付けられた金額が前記許可ベクトルによって指定された最大金額を超えていることに少なくとも部分的に基づいて、前記第２のアカウントが前記操作を実行することを承認されていないことを決定することと、
を実行させる、
請求項２に記載の装置。
前記許可モジュールが、前記第２のアカウントに関連付けられた第２の要求を受信することであって、前記第２の要求は、前記アプリケーションを使用して操作を実行することを指定し、前記操作は、（ｉ）購入の完了、（ｉｉ）クレジットの延長、および（ｉｉｉ）資金の移動のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記操作に関連付けられた金額が前記許可ベクトルによって指定された最大金額を超えていることに少なくとも部分的に基づいて、前記第２のアカウントが前記操作を実行することを承認されていないことを決定することと、
を実行させる、
請求項２に記載の装置。
【請求項4】
前記メモリは、命令を格納しており、前記プロセッサ回路によって実行されると、前記第１のアカウントに関連付けられた要求を受信する前に、前記プロセッサ回路に、
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントからの要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第２のアカウントに関連付けられた前記非接触カードによって生成された暗号化されたデータを受信することであって、前記第２のアカウントに関連付けられた前記非接触カードのアプレットは、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成することと、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された前記秘密鍵を使用して前記暗号化されたデータに署名することと、
を実行し、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバのメモリに格納された前記第２のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータの検証の指示を受信することと、
を実行させる、
請求項１に記載の装置。
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントからの要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第２のアカウントに関連付けられた前記非接触カードによって生成された暗号化されたデータを受信することであって、前記第２のアカウントに関連付けられた前記非接触カードのアプレットは、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成することと、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された前記秘密鍵を使用して前記暗号化されたデータに署名することと、
を実行し、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバのメモリに格納された前記第２のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータの検証の指示を受信することと、
を実行させる、
請求項１に記載の装置。
【請求項5】
前記メモリは、命令を格納しており、
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
前記許可モジュールが、前記第１のアカウントから、前記第２のアカウントに第２のコンピューティングリソースへのアクセスを付与する第２の要求を受信することであって、前記第２のコンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、および（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの前記通信インターフェースから、前記第１のアカウントに関連付けられた前記許可データおよび前記非接触カードによって生成された暗号化されたデータを受信することと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバの前記メモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの前記秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求が拒否されたという指示を受信することと、
を実行させる、
請求項１に記載の装置。
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
前記許可モジュールが、前記第１のアカウントから、前記第２のアカウントに第２のコンピューティングリソースへのアクセスを付与する第２の要求を受信することであって、前記第２のコンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、および（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの前記通信インターフェースから、前記第１のアカウントに関連付けられた前記許可データおよび前記非接触カードによって生成された暗号化されたデータを受信することと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバの前記メモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの前記秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求が拒否されたという指示を受信することと、
を実行させる、
請求項１に記載の装置。
【請求項6】
前記メモリは、命令を格納しており、
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
前記許可モジュールが、前記認証サーバから受信した指示に基づいて前記第２の要求を拒否することであって、前記認証サーバは、（ｉ）前記暗号化されたデータの検証の失敗、（ｉｉ）前記第１のアカウントに関連付けられた前記許可データ、および（ｉｉｉ）前記第２のアカウントに関連付けられた前記許可ベクトルのうちの１つまたは複数に基づいて、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求を拒否する、こと、
を実行させる、
請求項５に記載の装置。
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
前記許可モジュールが、前記認証サーバから受信した指示に基づいて前記第２の要求を拒否することであって、前記認証サーバは、（ｉ）前記暗号化されたデータの検証の失敗、（ｉｉ）前記第１のアカウントに関連付けられた前記許可データ、および（ｉｉｉ）前記第２のアカウントに関連付けられた前記許可ベクトルのうちの１つまたは複数に基づいて、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求を拒否する、こと、
を実行させる、
請求項５に記載の装置。
【請求項7】
前記非接触カードの前記通信インターフェースは、近距離無線通信（ＮＦＣ）、ブルートゥース、およびＷｉ－Ｆｉのうちの少なくとも１つをサポートするように構成され、前記アプリケーションは、前記許可モジュールを備え、前記アプリケーションは、前記第２のアカウントの前記許可ベクトルに基づいて、前記アプリケーションの第１の機能を無効にし、前記アプリケーションは、前記第２のアカウントの前記許可ベクトルに基づいて、前記アプリケーションの第２の機能を有効にする、請求項１に記載の装置。
【請求項8】
プロセッサ回路で実行される許可モジュールが、コンピューティングリソースへのアクセスを第２のアカウントに付与するための第１のアカウントからの要求を受信することであって、前記コンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第１のアカウントに関連付けられた許可データ、および前記非接触カードによって生成された暗号化されたデータを受信することであって、前記非接触カードのアプレットが、前記非接触カードのメモリに格納された前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成する、ことと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを認証サーバに送信することであって、前記認証サーバは、
前記認証サーバのメモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することにより、前記暗号化されたデータを検証することと、
前記第１のアカウントに関連付けられた前記許可データに基づいて、前記第１のアカウントが前記第２のアカウントに前記コンピューティングリソースへのアクセスを付与する許可を有していることを決定することと、
を実行し、
前記許可モジュールが、前記認証サーバから、前記暗号化されたデータの検証の指示、および前記第２のアカウントに関連付けられた許可ベクトルを受信することであって、前記許可ベクトルは、前記第２のアカウントへの前記コンピューティングリソースへのアクセスの付与を反映する、ことと、
を含む方法。
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第１のアカウントに関連付けられた許可データ、および前記非接触カードによって生成された暗号化されたデータを受信することであって、前記非接触カードのアプレットが、前記非接触カードのメモリに格納された前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成する、ことと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを認証サーバに送信することであって、前記認証サーバは、
前記認証サーバのメモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することにより、前記暗号化されたデータを検証することと、
前記第１のアカウントに関連付けられた前記許可データに基づいて、前記第１のアカウントが前記第２のアカウントに前記コンピューティングリソースへのアクセスを付与する許可を有していることを決定することと、
を実行し、
前記許可モジュールが、前記認証サーバから、前記暗号化されたデータの検証の指示、および前記第２のアカウントに関連付けられた許可ベクトルを受信することであって、前記許可ベクトルは、前記第２のアカウントへの前記コンピューティングリソースへのアクセスの付与を反映する、ことと、
を含む方法。
【請求項9】
前記方法は、
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントに関連付けられた第１の要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記第２のアカウントが前記コンピューティングリソースへのアクセスを承認されていることを決定することと、
前記許可モジュールが、前記第２のアカウントに前記コンピューティングリソースへの要求されたアクセスを付与することと、
をさらに含む、
請求項８に記載の方法。
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントに関連付けられた第１の要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記第２のアカウントが前記コンピューティングリソースへのアクセスを承認されていることを決定することと、
前記許可モジュールが、前記第２のアカウントに前記コンピューティングリソースへの要求されたアクセスを付与することと、
をさらに含む、
請求項８に記載の方法。
【請求項10】
前記コンピューティングリソースは、前記アプリケーションを備え、前記第１の要求は、前記アプリケーションにアクセスすることを指定し、前記方法は、
前記許可モジュールが、前記第２のアカウントに関連付けられた第２の要求を受信することであって、前記第２の要求は、前記アプリケーションを使用して操作を実行することを指定し、前記操作は、（ｉ）購入の完了、（ｉｉ）クレジットの延長、および（ｉｉｉ）資金の移動のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記操作に関連付けられた金額が前記許可ベクトルによって指定された最大金額を超えていることに少なくとも部分的に基づいて、前記第２のアカウントが前記操作を実行することを承認されていないことを決定することと、
をさらに含む、
請求項９に記載の方法。
前記許可モジュールが、前記第２のアカウントに関連付けられた第２の要求を受信することであって、前記第２の要求は、前記アプリケーションを使用して操作を実行することを指定し、前記操作は、（ｉ）購入の完了、（ｉｉ）クレジットの延長、および（ｉｉｉ）資金の移動のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記操作に関連付けられた金額が前記許可ベクトルによって指定された最大金額を超えていることに少なくとも部分的に基づいて、前記第２のアカウントが前記操作を実行することを承認されていないことを決定することと、
をさらに含む、
請求項９に記載の方法。
【請求項11】
前記方法は、前記第１のアカウントに関連付けられた要求を受信する前に、
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントからの要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第２のアカウントに関連付けられた前記非接触カードによって生成された暗号化されたデータを受信することであって、前記第２のアカウントに関連付けられた前記非接触カードのアプレットは、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成することと、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された前記秘密鍵を使用して前記暗号化されたデータに署名することと、
を実行し、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバのメモリに格納された前記第２のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータの検証の指示を受信することと、
をさらに含む、
請求項８に記載の方法。
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントからの要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第２のアカウントに関連付けられた前記非接触カードによって生成された暗号化されたデータを受信することであって、前記第２のアカウントに関連付けられた前記非接触カードのアプレットは、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成することと、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された前記秘密鍵を使用して前記暗号化されたデータに署名することと、
を実行し、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバのメモリに格納された前記第２のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータの検証の指示を受信することと、
をさらに含む、
請求項８に記載の方法。
【請求項12】
前記方法は、
前記許可モジュールが、前記第１のアカウントから、前記第２のアカウントに第２のコンピューティングリソースへのアクセスを付与する第２の要求を受信することであって、前記第２のコンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、および（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの前記通信インターフェースから、前記第１のアカウントに関連付けられた前記許可データおよび前記非接触カードによって生成された暗号化されたデータを受信することと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバの前記メモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの前記秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求が拒否されたという指示を受信することと、
をさらに含む、
請求項８に記載の方法。
前記許可モジュールが、前記第１のアカウントから、前記第２のアカウントに第２のコンピューティングリソースへのアクセスを付与する第２の要求を受信することであって、前記第２のコンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、および（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの前記通信インターフェースから、前記第１のアカウントに関連付けられた前記許可データおよび前記非接触カードによって生成された暗号化されたデータを受信することと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバの前記メモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの前記秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求が拒否されたという指示を受信することと、
をさらに含む、
請求項８に記載の方法。
【請求項13】
前記方法は、
前記許可モジュールが、前記認証サーバから受信した指示に基づいて前記第２の要求を拒否することであって、前記認証サーバは、（ｉ）前記暗号化されたデータの検証の失敗、（ｉｉ）前記第１のアカウントに関連付けられた前記許可データ、および（ｉｉｉ）前記第２のアカウントに関連付けられた前記許可ベクトルのうちの１つまたは複数に基づいて、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求を拒否する、こと、
をさらに含む、
請求項１２に記載の方法。
前記許可モジュールが、前記認証サーバから受信した指示に基づいて前記第２の要求を拒否することであって、前記認証サーバは、（ｉ）前記暗号化されたデータの検証の失敗、（ｉｉ）前記第１のアカウントに関連付けられた前記許可データ、および（ｉｉｉ）前記第２のアカウントに関連付けられた前記許可ベクトルのうちの１つまたは複数に基づいて、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求を拒否する、こと、
をさらに含む、
請求項１２に記載の方法。
【請求項14】
前記非接触カードの前記通信インターフェースは、近距離無線通信（ＮＦＣ）、ブルートゥース、およびＷｉ－Ｆｉのうちの少なくとも１つをサポートするように構成され、前記アプリケーションは、前記許可モジュールを備え、前記アプリケーションは、前記第２のアカウントの前記許可ベクトルに基づいて、前記アプリケーションの第１の機能を無効にし、前記アプリケーションは、前記第２のアカウントの前記許可ベクトルに基づいて、前記アプリケーションの第２の機能を有効にする、
請求項８に記載の方法。
請求項８に記載の方法。
【請求項15】
コンピュータ可読プログラムコードが具体化された非一時的コンピュータ可読記憶媒体であって、プロセッサ回路によって実行可能な前記コンピュータ可読プログラムコードは、前記プロセッサ回路に、
前記プロセッサ回路で実行される許可モジュールが、コンピューティングリソースへのアクセスを第２のアカウントに付与するための第１のアカウントからの要求を受信することであって、前記コンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第１のアカウントに関連付けられた許可データ、および前記非接触カードによって生成された暗号化されたデータを受信することであって、前記非接触カードのアプレットが、前記非接触カードのメモリに格納された前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成する、ことと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを認証サーバに送信することであって、前記認証サーバは、
前記認証サーバのメモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することにより、前記暗号化されたデータを検証することと、
前記第１のアカウントに関連付けられた前記許可データに基づいて、前記第１のアカウントが前記第２のアカウントに前記コンピューティングリソースへのアクセスを付与する許可を有していることを決定することと、
を実行し、
前記許可モジュールが、前記認証サーバから、前記暗号化されたデータの検証の指示、および前記第２のアカウントに関連付けられた許可ベクトルを受信することであって、前記許可ベクトルは、前記第２のアカウントへの前記コンピューティングリソースへのアクセスの付与を反映する、ことと、
を実行させる、非一時的コンピュータ可読記憶媒体。
前記プロセッサ回路で実行される許可モジュールが、コンピューティングリソースへのアクセスを第２のアカウントに付与するための第１のアカウントからの要求を受信することであって、前記コンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第１のアカウントに関連付けられた許可データ、および前記非接触カードによって生成された暗号化されたデータを受信することであって、前記非接触カードのアプレットが、前記非接触カードのメモリに格納された前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成する、ことと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを認証サーバに送信することであって、前記認証サーバは、
前記認証サーバのメモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することにより、前記暗号化されたデータを検証することと、
前記第１のアカウントに関連付けられた前記許可データに基づいて、前記第１のアカウントが前記第２のアカウントに前記コンピューティングリソースへのアクセスを付与する許可を有していることを決定することと、
を実行し、
前記許可モジュールが、前記認証サーバから、前記暗号化されたデータの検証の指示、および前記第２のアカウントに関連付けられた許可ベクトルを受信することであって、前記許可ベクトルは、前記第２のアカウントへの前記コンピューティングリソースへのアクセスの付与を反映する、ことと、
を実行させる、非一時的コンピュータ可読記憶媒体。
【請求項16】
前記非一時的コンピュータ可読記憶媒体は、前記プロセッサ回路によって実行可能なコンピュータ可読プログラムコードであって、前記プロセッサ回路に、
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントに関連付けられた第１の要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた許可ベクトルに基づいて、前記第２のアカウントが前記コンピューティングリソースへのアクセスを承認されていることを決定することと、
前記許可モジュールが、前記第２のアカウントに前記コンピューティングリソースへの要求されたアクセスを付与することと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１５に記載の非一時的コンピュータ可読記憶媒体。
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントに関連付けられた第１の要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた許可ベクトルに基づいて、前記第２のアカウントが前記コンピューティングリソースへのアクセスを承認されていることを決定することと、
前記許可モジュールが、前記第２のアカウントに前記コンピューティングリソースへの要求されたアクセスを付与することと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１５に記載の非一時的コンピュータ可読記憶媒体。
【請求項17】
前記コンピューティングリソースは、前記アプリケーションを備え、前記第１の要求は、前記アプリケーションにアクセスすることを指定し、前記非一時的コンピュータ可読記憶媒体は、前記プロセッサ回路によって実行可能なコンピュータ可読プログラムコードであって、前記プロセッサ回路に、
前記許可モジュールが、前記第２のアカウントに関連付けられた第２の要求を受信することであって、前記第２の要求は、前記アプリケーションを使用して操作を実行することを指定し、前記操作は、（ｉ）購入の完了、（ｉｉ）クレジットの延長、および（ｉｉｉ）資金の移動のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記操作に関連付けられた金額が前記許可ベクトルによって指定された最大金額を超えていることに少なくとも部分的に基づいて、前記第２のアカウントが前記操作を実行することを承認されていないことを決定することと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１６に記載の非一時的コンピュータ可読記憶媒体。
前記許可モジュールが、前記第２のアカウントに関連付けられた第２の要求を受信することであって、前記第２の要求は、前記アプリケーションを使用して操作を実行することを指定し、前記操作は、（ｉ）購入の完了、（ｉｉ）クレジットの延長、および（ｉｉｉ）資金の移動のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記許可ベクトルに基づいて、前記操作に関連付けられた金額が前記許可ベクトルによって指定された最大金額を超えていることに少なくとも部分的に基づいて、前記第２のアカウントが前記操作を実行することを承認されていないことを決定することと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１６に記載の非一時的コンピュータ可読記憶媒体。
【請求項18】
前記非一時的コンピュータ可読記憶媒体は、前記プロセッサ回路によって実行可能なコンピュータ可読プログラムコードであって、前記プロセッサ回路に、前記第１のアカウントに関連付けられた要求を受信する前に、
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントからの要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第２のアカウントに関連付けられた前記非接触カードによって生成された暗号化されたデータを受信することであって、前記第２のアカウントに関連付けられた前記非接触カードのアプレットは、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成することと、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された前記秘密鍵を使用して前記暗号化されたデータに署名することと、
を実行し、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバのメモリに格納された前記第２のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータの検証の指示を受信することと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１５に記載の非一時的コンピュータ可読記憶媒体。
前記許可モジュールが、前記コンピューティングリソースへのアクセスを指定する前記第２のアカウントからの要求を受信することと、
前記許可モジュールが、前記第２のアカウントに関連付けられた非接触カードの通信インターフェースから、前記第２のアカウントに関連付けられた前記非接触カードによって生成された暗号化されたデータを受信することであって、前記第２のアカウントに関連付けられた前記非接触カードのアプレットは、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを生成することと、
前記第２のアカウントに関連付けられた前記非接触カードのメモリに格納された前記秘密鍵を使用して前記暗号化されたデータに署名することと、
を実行し、
前記許可モジュールが、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバのメモリに格納された前記第２のアカウントに関連付けられた前記非接触カードの秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに関連付けられた前記非接触カードから受信した前記暗号化されたデータの検証の指示を受信することと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１５に記載の非一時的コンピュータ可読記憶媒体。
【請求項19】
前記非一時的コンピュータ可読記憶媒体は、前記プロセッサ回路によって実行可能なコンピュータ可読プログラムコードであって、前記プロセッサ回路に、
前記許可モジュールが、前記第１のアカウントから、前記第２のアカウントに第２のコンピューティングリソースへのアクセスを付与する第２の要求を受信することであって、前記第２のコンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、および（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの前記通信インターフェースから、前記第１のアカウントに関連付けられた前記許可データおよび前記非接触カードによって生成された暗号化されたデータを受信することと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバの前記メモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの前記秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求が拒否されたという指示を受信することと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１５に記載の非一時的コンピュータ可読記憶媒体。
前記許可モジュールが、前記第１のアカウントから、前記第２のアカウントに第２のコンピューティングリソースへのアクセスを付与する第２の要求を受信することであって、前記第２のコンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、および（ｉｉｉ）前記アプリケーションを使用して実行される操作のうちの１つまたは複数を備える、ことと、
前記許可モジュールが、前記第１のアカウントに関連付けられた非接触カードの前記通信インターフェースから、前記第１のアカウントに関連付けられた前記許可データおよび前記非接触カードによって生成された暗号化されたデータを受信することと、
前記許可モジュールが、前記許可データおよび前記暗号化されたデータを前記認証サーバに送信することであって、前記認証サーバは、前記認証サーバの前記メモリに格納された前記第１のアカウントに関連付けられた前記非接触カードの前記秘密鍵に少なくとも部分的に基づいて前記暗号化されたデータを復号することによって、前記暗号化されたデータを検証することと、
前記許可モジュールが、前記認証サーバから、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求が拒否されたという指示を受信することと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１５に記載の非一時的コンピュータ可読記憶媒体。
【請求項20】
前記非一時的コンピュータ可読記憶媒体は、前記プロセッサ回路によって実行可能なコンピュータ可読プログラムコードであって、前記プロセッサ回路に、
前記許可モジュールが、前記認証サーバから受信した指示に基づいて前記第２の要求を拒否することであって、前記認証サーバは、（ｉ）前記暗号化されたデータの検証の失敗、（ｉｉ）前記第１のアカウントに関連付けられた前記許可データ、および（ｉｉｉ）前記第２のアカウントに関連付けられた前記許可ベクトルのうちの１つまたは複数に基づいて、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求を拒否し、前記非接触カードの前記通信インターフェースは、近距離無線通信（ＮＦＣ）、ブルートゥース、およびＷｉ－Ｆｉのうちの少なくとも１つをサポートするように構成される、こと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１９に記載の非一時的コンピュータ可読記憶媒体。
前記許可モジュールが、前記認証サーバから受信した指示に基づいて前記第２の要求を拒否することであって、前記認証サーバは、（ｉ）前記暗号化されたデータの検証の失敗、（ｉｉ）前記第１のアカウントに関連付けられた前記許可データ、および（ｉｉｉ）前記第２のアカウントに関連付けられた前記許可ベクトルのうちの１つまたは複数に基づいて、前記第２のアカウントに前記第２のコンピューティングリソースへのアクセスを付与する要求を拒否し、前記非接触カードの前記通信インターフェースは、近距離無線通信（ＮＦＣ）、ブルートゥース、およびＷｉ－Ｆｉのうちの少なくとも１つをサポートするように構成される、こと、
を実行させるコンピュータ可読プログラムコードをさらに含む、請求項１９に記載の非一時的コンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【0001】
関連出願
この出願は、２０１９年３月２１日に出願された「非接触カードを使用した許可の委任された管理」という名称の米国特許出願第１６／３６０，１４９号の優先権を主張する。前述の出願の内容は、その全体が参照により本明細書に援用される。
この出願は、２０１９年３月２１日に出願された「非接触カードを使用した許可の委任された管理」という名称の米国特許出願第１６／３６０，１４９号の優先権を主張する。前述の出願の内容は、その全体が参照により本明細書に援用される。
【0002】
本明細書の実施形態は、一般に、コンピューティングプラットフォームに関連し、より具体的には、非接触カードを使用する許可の委任された管理に関連する。
【背景技術】
【0003】
多くの場合、ユーザは、コンピューティングリソースにアクセスしたり、および／またはコンピューティングリソースを使用してアクションを実行したりするための許可を有している必要がある。組織内のユーザ数が増えると、組織内の許可の管理の複雑さと難しさが増す。許可を管理するための従来の解決策は、かなりのユーザの努力を必要とし、多くの場合、堅牢なセキュリティ対策を欠いている。
【発明の概要】
【0004】
本明細書に開示される実施形態は、非接触カードを使用して許可を委任されて管理するためのシステム、方法、製品、およびコンピュータ可読媒体を提供する。一例では、許可モジュールは、第１のアカウントから第２のアカウントにコンピューティングリソースへのアクセスを許可する要求を受信し得、コンピューティングリソースは、（ｉ）アプリケーション、（ｉｉ）データ、および（ｉｉｉ）アプリケーションを使用して実行される操作のうちの１つまたは複数を備える。許可モジュールは、第１のアカウントに関連付けられた非接触カードの通信インターフェースから、第１のアカウントに関連付けられた許可データおよび非接触カードによって生成された暗号化されたデータを受信し、非接触カードのアプレットが非接触カードのメモリに格納された非接触カードの秘密鍵に少なくとも部分的に基づいて暗号化されたデータを生成し得る。許可モジュールは、許可データおよび暗号化されたデータを認証サーバに送信し得る。認証サーバは、認証サーバのメモリに格納された第１のアカウントに関連付けられた非接触カードの秘密鍵に少なくとも部分的に基づいて暗号化されたデータを復号することによって暗号化されたデータを検証し、第１のアカウントに関連付けられた許可データに基づいて、第１のアカウントがコンピューティングリソースへのアクセスを第２のアカウントに付与する許可を有していると決定し得る。許可モジュールは、認証サーバから、暗号化されたデータの検証の指示、および第２のアカウントに関連付けられた許可ベクトルを受信し得、許可ベクトルは、第２のアカウントへのコンピューティングリソースへのアクセスの付与を反映し得る。
【図面の簡単な説明】
【0005】
【図1A】非接触カードを使用して許可の委任された管理を実施するシステムの実施形態を示している。
【図1B】非接触カードを使用して許可の委任された管理を実施するシステムの実施形態を示している。
【図2A】非接触カードを使用した許可の委任された管理の実施形態を示している。
【図2B】非接触カードを使用した許可の委任された管理の実施形態を示している。
【図3A】非接触カードを使用した許可の委任された管理の実施形態を示している。
【図3B】非接触カードを使用した許可の委任された管理の実施形態を示している。
【図3C】非接触カードを使用した許可の委任された管理の実施形態を示している。
【図3D】非接触カードを使用した許可の委任された管理の実施形態を示している。
【図3E】非接触カードを使用した許可の委任された管理の実施形態を示している。
【図3F】非接触カードを使用した許可の委任された管理の実施形態を示している。
【図4】非接触カードを使用した許可の委任された管理の実施形態を示している。
【図5】許可データの実施形態を示している。
【図6】第１の論理フローの実施形態を示している。
【図7】第２の論理フローの実施形態を示している。
【図8】第３の論理フローの実施形態を示している。
【図9】コンピューティングアーキテクチャの実施形態を示している。
【図10A】非接触カードの例を示している。
【図10B】非接触カードの例を示している。
【発明を実施するための形態】
【0006】
本明細書に開示される実施形態は、許可の委任された管理のために非接触カードを使用するための安全な技術を提供する。一般に、非接触カードの製造中に、非接触カードは、関連付けられたユーザのデータを含むようにパーソナライズされる。例えば、非接触カードのメモリは、１つまたは複数のアプレット、秘密鍵、カードデータ（例えば、アカウント番号など）、および許可データを格納し得る。次に、非接触カードに関連付けられたユーザは、許可を委任したり、リソースにアクセスしたり、および／または非接触カードを使用して操作を実行したりし得る。
【0007】
例えば、第１のユーザは、コンピューティングデバイスを介してデータベースに格納されたデータにアクセスしたいと思い得る。許可モジュールは、データベースへのアクセスを制御し、ユーザが非接触カードをコンピューティングデバイスにタップすることを指定する通知を出力し得る。次に、ユーザは、非接触カードをコンピューティングデバイスにタップし得、これにより、非接触カードがコンピューティングデバイスの通信範囲内に入り得る。そうすることで、非接触カードで実行されているアプレットは、秘密鍵を使用して暗号化されたデータを生成し、非接触カードのメモリに格納されている許可データとともにコンピューティングデバイスに送信される。許可モジュールは、非接触カードによって生成された暗号化されたデータと許可データを受信し、受信したデータを検証のために認証サーバに送信し得る。次に、認証サーバは、サーバのメモリ（またはハードウェアセキュリティモジュール（ＨＳＭ）などの他の安全な要素）に格納されている秘密鍵のコピーを使用して、暗号化されたデータを検証し得る。認証サーバが秘密鍵を使用して暗号化されたデータを復号し得る場合、認証サーバは、暗号化されたデータを検証し、検証の指示を許可モジュールに送信する。いくつかの実施形態では、認証サーバは、ユーザの許可データのインスタンスを許可モジュールに送信する。次に、許可モジュールは、認証サーバによる暗号化されたデータの検証の指示の受信に基づいて、ユーザがデータベースに格納されたデータにアクセスすることを許可し得る。
【0008】
有利には、本明細書に開示される実施形態は、デバイス、アプリケーション、および／またはデータのセキュリティを改善する。例えば、アプリケーションおよび／またはデータにアクセスするために非接触カードによって生成された暗号化されたデータの検証を要求することにより、アプリケーションおよび／またはデータのセキュリティが向上する。他の例として、操作を実行する前に暗号化されたデータの検証を要求することによって（例えば、購入、クレジットの延長など）、そのような操作および関連する資産のセキュリティが向上する。さらに、許可を委任しようとする条件として暗号化されたデータの検証を要求することにより、許可の委任された管理のセキュリティが向上する。
【0009】
本明細書で使用される表記法および命名法を一般的に参照して、以下の詳細な説明の１つまたは複数の部分は、コンピュータまたはコンピュータのネットワーク上で実行されるプログラム手順に関して提示され得る。これらの手順の説明および表現は、当業者によって、それらの作業の実体を当業者に最も効果的に伝えるために使用される。手順は、本明細書に記載されており、一般に、望ましい結果につながる自己矛盾のない一連の演算であると考えられている。これらの演算は、物理量の物理的な操作を必要とする演算である。通常、必ずしもそうとは限らないが、これらの量は、格納、転送、結合、比較、およびその他の方法で操作できる電気信号、磁気信号、または光信号の形をとる。主に一般的な使用法の理由から、これらの信号をビット、値、要素、記号、文字、用語、数値などと呼ぶと便利な場合がある。しかしながら、これらおよび類似の用語はすべて、適切な物理量に関連付けられており、これらの量に適用される便利なラベルにすぎないことに留意すべきである。
【0010】
さらに、これらの操作は、加算または比較などの用語で呼ばれることが多く、これらは、一般に、人間のオペレータによって実行される知的な演算に関連付けられている。しかしながら、１つまたは複数の実施形態の一部を形成する本明細書に記載の演算のいずれにおいても、人間のオペレータのそのような能力は、必要ではなく、またはほとんどの場合望ましいものではない。むしろ、これらの演算は、機械演算である。様々な実施形態の演算を実行するための有用な機械は、本明細書の教示に従って書かれた、その中に格納されたコンピュータプログラムによって選択的にアクティブ化または構成されたデジタルコンピュータを含み、および／または必要な目的のために特別に構築された装置またはデジタルコンピュータを含む。様々な実施形態はまた、これらの演算を実行するための装置またはシステムに関する。これらの装置は、必要な目的のために特別に構築され得る。これらの様々な機械に必要な構造は、与えられた説明から明らかになる。
【0011】
ここで、図面を参照する。ここで、同様の参照番号は、全体を通して同様の要素を参照するために使用される。以下の説明では、説明の目的で、それらを完全に理解するために、多くの具体的な詳細が示されている。しかしながら、新規の実施形態は、これらの特定の詳細なしで実施できることは明らかであろう。他の例では、その説明を容易にするために、周知の構造およびデバイスがブロック図の形で示されている。意図は、請求の範囲内のすべての修正、均等物、および代替案をカバーすることである。
【0012】
図１Ａは、開示された実施形態に対応する、例示的なシステム１００の概略図を示している。示されるように、システム１００は、１つまたは複数の非接触カード１０１、１つまたは複数のコンピューティングデバイス１１０、１つまたは複数の認証サーバ１２０、および１つまたは複数のホストシステム１５０を含む。非接触カード１０１は、クレジットカード、デビットカード、ＡＴＭカード、ギフトカードなどのあらゆるタイプの支払いカードを代表するものである。非接触カード１０１は、ＮＦＣ、ＥＭＶ標準、または無線通信における他の短距離プロトコルを介してコンピューティングデバイス１１０と通信するように構成された、無線周波数識別（ＲＦＩＤ）チップなどの１つまたは複数の通信インターフェース１０７を備え得る。通信プロトコルの例としてＮＦＣが使用されているが、本開示は、ブルートゥース（登録商標）および／またはＷｉ－Ｆｉなどの他のタイプの無線通信にも同様に適用可能である。コンピューティングデバイス１１０は、スマートフォン、タブレットコンピュータ、ウェアラブルデバイス、ラップトップ、ポータブルゲームデバイス、モバイルデバイス、ワークステーション、デスクトップコンピュータ、サーバなどのような、あらゆるタイプのネットワーク対応コンピューティングデバイスを代表するものである。認証サーバ１２０およびホストシステム１５０は、サーバ、ワークステーション、コンピューティングクラスタ、クラウドコンピューティングプラットフォーム、仮想化コンピューティングシステムなどのような任意のタイプのコンピューティングデバイスを代表するものである。
【0013】
示されるように、コンピューティングデバイス１１０のメモリ１１１は、オペレーティングシステム（ＯＳ）１１２のインスタンスを含む。オペレーティングシステム１１２の例には、アンドロイド（登録商標）ＯＳ、ｉＯＳ（登録商標）、Ｌｉｎｕｘ（登録商標）、ｍａｃＯＳ（登録商標）、およびウィンドウズ（登録商標）オペレーティングシステムが含まれる。示されるように、ＯＳ１１２は、１つまたは複数のアプリケーション１１３、許可モジュール１１４－１のインスタンス、およびデータ１１５を含む。アプリケーション１１３は、アプリケーション、サービス、スクリプトなどの任意のタイプの実行可能コードを代表するものである。データ１１５は、コンピュータ可読媒体に格納された任意のデータを表す。メモリ１０２に格納されるように示されているが、データ１１５は、コンピューティングデバイス１１０の不揮発性ストレージに格納され得る（またはコンピューティングデバイス１１０に通信可能に接続されている）。
【0014】
許可モジュール１１４（許可モジュール１１４－１、サーバ１２０の許可モジュール１１４－２、およびホストシステム１５０の許可モジュール１１４－３を含む）は、一般的に、操作を実行しようとする行為者が、許可データ１０６（許可データ１０６－１、１０６－２、１０６－３、および１０６－４のインスタンスを含む）に反映されているような必要な許可を有していることを確認することによって、システム１００において委任された許可を実施するように構成されている。許可データ１０６は、関連するユーザが試行された操作を実行すること、および／または所与のリソースにアクセスすることを許可されるかどうかを反映する任意のデータ構造を表す。例えば、許可データ１０６は、ベクトルであり得る。ここで、ベクトルの各要素は、ユーザが試行された操作を実行できるか、および／または所与のリソースにアクセスできるかどうかを反映する。試行された操作には、他のユーザに許可を付与、変更、および／または取り消すユーザ（管理者など）など、任意のタイプの操作が含まれ得る。試行された操作の追加の例には、アプリケーション（例えば、コンピューティングデバイス１１０のアプリケーション１１３、ホストシステム１５０のアプリケーション１５２など）の実行、アプリケーションの特定の機能および／またはインターフェースへのアクセス、データ（例えば、コンピューティングデバイス１１０のデータ１１５、ホストシステム１５０のデータ１５１など）へのアクセス、およびアプリケーションおよび／またはデータを使用した操作の実行が含まれる。別個のエンティティとして示されているが、本明細書に記載の許可モジュール１１４および／または関連機能は、ＯＳ１１２、アプリケーション１１３、アプリケーション１５２、および／または他の任意の許可管理プラットフォームに統合され得る。したがって、図１Ａ～図１Ｂに示されている特定の構成は、本開示を限定するものと見なされるべきではない。
【0015】
許可モジュール１１４は、試行された操作を付与および／または拒否するかどうかを決定するときに、非接触カード１０１によって生成されたデータをさらに考慮し得る。例えば、システム管理者は、許可アプリケーション１１３を使用して、新しい従業員に、ホストシステム１５０のアカウンティングアプリケーション１１３および対応するアカウンティングデータ１５１へのアクセスを付与し得る。許可モジュール１１４－１は、許可アプリケーション１１３および／またはＯＳ１１２から許可の委任の試みの指示を受信する。許可モジュール１１４－１は、試行された許可の委任を完了するために、管理者のコンピューティングデバイス１１０に通知を出力し得る。通知は、非接触カード１０１をコンピューティングデバイス１１０にタップするようにユーザに指示し得、それにより、非接触カード１０１をコンピューティングデバイス１１０のカードリーダ１１９に十分に近づけて、非接触カード１０１の通信インターフェース１０７とコンピューティングデバイス１１０のカードリーダ１１９との間でデータ転送（例えば、ＮＦＣデータ転送、ブルートゥース（登録商標）データ転送など）を可能にし得る。いくつかの実施形態では、コンピューティングデバイス１１０は、アプリケーションプログラムインターフェース（ＡＰＩ）呼び出しを介してカードリーダ１１９をトリガし得る。一例では、コンピューティングデバイス１１０は、試行された操作の指示（例えば、ＯＳ１１２、アプリケーション１１３、データ１１５などから）の受信に応答するＡＰＩ呼び出しを介してカードリーダをトリガする。さらに、および／または代替的に、コンピューティングデバイス１１０は、カードリーダ１１９を定期的にポーリングすることに基づいて、カードリーダ１１９をトリガし得る。より一般的には、コンピューティングデバイス１１０は、カードリーダ１１９をトリガして、任意の実行可能な方法を使用して通信を行い得る。
【0016】
コンピューティングデバイス１１０と非接触カード１０１との間で通信が確立された後、非接触カード１０１のプロセッサ（図示せず）上で実行されるアプレット１０３は、暗号化されたデータ１０５を生成し、通信インターフェース１０７を介してコンピューティングデバイス１１０に送信する。例えば、非接触カード１０１のアプレット１０３は、暗号化アルゴリズムを使用して、非接触カード１０１のメモリ１０２に格納された秘密鍵１０４に少なくとも部分的に基づいて、暗号化されたデータ１０５の暗号化ペイロードを生成し得る。そのような実施形態では、秘密鍵１０４および他のいくつかのデータ（例えば、ユーザ識別子、アカウント識別子など）は、暗号化されたデータ１０５を出力する暗号化アルゴリズムへの入力として提供され得る。一般に、アプレット１０３は、任意のタイプの暗号化アルゴリズムおよび／またはシステムを使用して、暗号化されたデータ１０５を生成し得、本明細書の例としての特定の暗号化アルゴリズムの使用は、開示を限定すると見なされるべきではない。いくつかの実施形態では、アプレット１０３は、暗号化されたデータ１０５を生成するために、鍵多様化技術を使用して暗号化を実行し得る。鍵多様化技術の例は、２０１８年１１月２９日に出願された米国特許出願第１６／２０５，１１９号に記載されている。前述の特許出願は、参照によりその全体が本明細書に援用される。
【0017】
生成されると、アプレット１０３は、暗号化されたデータ１０５を、例えば、ＮＦＣを介して、コンピューティングデバイス１１０の許可モジュール１１４－１に送信し得る。いくつかの実施形態では、アプレット１０３は、許可データ１０６－１を許可モジュール１１４－１に送信し得る。次に、許可モジュール１１４－１は、暗号化されたデータ１０５を含む要求１１７の一部として、要求された操作の指示を生成し（またはＯＳ１１２および／またはアプリケーション１１３から受信した指示を提供し）得る。要求１１７は、一般に、試行された操作の指示（例えば、新しい従業員のアカウント識別子、データ１５１内のアカウンティングデータの指示、およびアカウンティングアプリケーション１１３の指示など）および暗号化されたデータ１０５を含む。次に、許可モジュール１１４－１は、要求１１７（暗号化されたデータ１０５を含む）を認証サーバ１２０の認証アプリケーション１２３に送信し得る。しかしながら、いくつかの実施形態では、暗号化されたデータ１０５は、要求１１７とは別に送信される。
【0018】
次に、認証アプリケーション１２３は、受信されると、要求１１７で受信された暗号化されたデータ１０５の認証を試み得る。例えば、認証アプリケーション１２３は、認証サーバ１２０のメモリ１２２に格納された秘密鍵１０４のコピーを使用して、暗号化されたデータ１０５を復号しようと試み得る。秘密鍵１０４は、非接触カード１０１のメモリ１０２に格納された秘密鍵１０４と同一であり得る。ここで、各非接触カード１０１は、一意の秘密鍵１０４を含むように製造される（そして認証サーバ１２０は、各一意の秘密鍵１０４の対応するコピーを格納する）。したがって、認証アプリケーション１２３は、暗号化されたデータ１０５を正常に復号し得、それにより、暗号化されたデータ１０５を検証し得る。秘密鍵１０４は、メモリ１２２に格納されているように示されているが、秘密鍵１０４は、安全な要素および／またはハードウェアセキュリティモジュール（ＨＳＭ）などの他の場所に格納し得る。そのような実施形態では、安全な要素および／またはＨＳＭは、秘密鍵１０４および暗号化機能を使用して、暗号化されたデータ１０５を復号し得る。
【0019】
例えば、述べたように、操作を実行することを要求するユーザのユーザ識別子は、暗号化されたデータ１０５を生成するために使用され得る。そのような例では、認証アプリケーション１２３は、認証サーバ１２０の秘密鍵１０４を使用して、暗号化されたデータ１０５を復号し得る。復号の結果が、アカウントデータ１２４内の要求しているユーザのアカウントに関連付けられたユーザ識別子をもたらす場合、認証アプリケーション１２３は、暗号化されたデータ１０５を検証する。認証アプリケーション１２３が暗号化されたデータを復号して期待される結果（例えば、非接触カード１０１に関連付けられたアカウントのユーザ識別子）をもたらすことができない場合、認証アプリケーション１２３は、暗号化されたデータ１０５を検証しない。検証が失敗したため、認証アプリケーション１２３は、検証が失敗したことを示す指示を許可モジュール１１４－１に送信し、これは、要求された操作（例えば、新しい従業員にアカウンティングアプリケーション１１３および／またはアカウンティングデータ１５１へのアクセスを付与する要求）を拒否する。
【0020】
認証アプリケーション１２３が暗号化されたデータ１０５を検証する場合、認証アプリケーション１２３および／または許可モジュール１１４－２は、要求しているユーザが、識別されたリソースへの新しい従業員アクセスを付与する許可を有しているかどうかを決定し得る。例えば、認証アプリケーション１２３および／または許可モジュール１１４－２は、アカウントデータ１２４内の要求しているユーザの許可データ１０６－３（および／またはコンピューティングデバイス１１０から受信した許可データ１０６－１、１０６－２）が、管理者が新しい従業員にアクセスを付与する許可を有しているかどうかを示しているかどうかを決定し得る。
【0021】
図１Ｂは、認証アプリケーション１２３および／または許可モジュール１１４－２が、許可データ１０６が、管理者が新しい従業員にアクセスを付与する許可を有することを反映していると決定した実施形態を示している。それに応答して、認証アプリケーション１２３および／または許可モジュール１１４－２は、承認１１８をコンピューティングデバイス１１０の許可モジュール１１４－１に送信し得る。さらに、認証アプリケーション１２３および／または許可モジュール１１４－２は、新しい従業員がアカウンティングアプリケーション１１３およびデータ１５１内のアカウンティングデータにアクセスし得ることを反映するために、新しい従業員の許可データ１０６－３を更新し得る。したがって、承認１１８は、更新された許可データ１０６を含み得る。次に、許可モジュール１１４－１および／または許可アプリケーション１１３は、承認の指示を管理者に出力し得る。許可モジュール１１４－１は、例えば、非接触カード１０１がその後デバイス１１０にタップされたときに、非接触カード１０１内の許可データ１０６－１をさらに更新し得る。
【0022】
しかしながら、認証アプリケーション１２３および／または許可モジュール１１４－２が、許可データ１０６が、管理者が新しい従業員へのアクセスを付与する許可を有していないことを反映していると決定した場合、認証アプリケーション１２３および／または許可モジュール１１４－２は、要求された操作を拒否し得る。そのような実施形態では、認証アプリケーション１２３および／または許可モジュール１１４－２は、拒否の指示を許可モジュール１１４－１に送信し、次に、拒否の指示を管理者に出力し得る。
【0023】
いくつかの実施形態では、コンピューティングデバイス１１０上で実行される許可モジュール１１４－１は、許可データ１０６－２（および／または非接触カード１０１の許可データ１０６－１）が、管理者が新しい従業員にアクセスを付与する許可を有するかどうかを反映するかどうかを決定し得る。したがって、そのような実施形態では、許可モジュール１１４－１は、認証アプリケーション１２３が暗号化されたデータ１０５を検証したという指示を受信したことに応答して、許可データ１０６－２（および／または非接触カード１０１の許可データ１０６－１）が、管理者が新しい従業員にアクセスを付与する許可を有するかどうかを反映するかどうかを決定する。同様に、要求がホストシステム１５０のリソースにアクセスすることである場合、許可モジュール１１４－３は、認証アプリケーション１２３が暗号化されたデータ１０５を検証したという指示の受信に応答して、許可データ１０６－４（および／または要求しているコンピューティングデバイス１１０から受信した許可データ１０６－１、１０６－２）が、管理者が新しい従業員にアクセスを付与する許可を有するかどうかを反映するかどうかを決定し得る。
【0024】
上記の技術は、システム１００において試みられた任意のタイプの操作に使用し得る。例えば、新しい従業員がその後、コンピューティングデバイス１１０を使用してアカウンティングアプリケーション１１３を開こうとすると、許可モジュール１１４－１は、新しい従業員に、非接触カード１０１をコンピューティングデバイス１１０にタップすることを要求する。応答として、アプレット１０３は、秘密鍵１０４および新しい従業員のアカウント識別子を使用して暗号化されたデータ１０５を生成する。次に、許可モジュール１１４－１は、暗号化されたデータ１０５を受信し、アカウンティングアプリケーション１１３にアクセスするための要求の一部として暗号化されたデータ１０５を送信する。次に、認証アプリケーション１２３は、上記のように暗号化されたデータ１０５を検証しようと試み得る。暗号化されたデータ１０５の検証が成功した場合、認証アプリケーション１２３および／または許可モジュール１１４－２は、新しい従業員のためのアカウントデータ１２４内の許可データ１０６に基づいて、アカウンティングアプリケーション１１３への要求されたアクセスを許可および／または拒否し得る。
【0025】
図１Ａ～図１Ｂは、例示的な事業組織を参照して説明されているが、本開示は、家族、教育機関などの他のグループにも同様に適用可能である。例えば、親は、子供に当座預金アカウントへの制限付きアクセスを提供し得る。そのような例では、親は、アカウント管理アプリケーション１１３を使用して、１つまたは複数の規則に従って当座預金アカウントへのアクセスを委任し得る。規則は、支出制限、業者制限、時間制限、および／または地理的制限を含み得る。次に、許可モジュール１１４－１は、非接触カード１０１をコンピューティングデバイス１１０にタップして暗号化されたデータ１０５を生成するように親に指示し得、これは、認証アプリケーション１２３によって検証され得る。検証されると、親のアカウント（および／または子のために生成されたサブアカウント）の許可データ１０６は、子が親によって指定された規則に従って当座預金アカウントの資金を使用できることを反映するように更新され得る。一実施形態では、仮想アカウント番号は、子のアカウントに対して生成され得る。仮想アカウント番号は、親の当座預金アカウントに関連付けられ、親によって指定された規則に基づいて制限され得る。
【0026】
図２Ａは、許可の委任された管理のために非接触カード１０１をタップする例示的な実施形態を示す概略図２００である。示されるように、コンピューティングデバイス１１０－１上で実行される許可モジュール１１４－１は、許可を委任するためのグラフィカルユーザインターフェース（ＧＵＩ）を表示する。許可モジュール１１４－１の一部として示されているが、ＧＵＩは、異なるアプリケーション１１３の一部であり得る。示されているように、ＧＵＩは、フォームフィールド２０１～２０３を含む。より具体的には、ユーザフィールド２０１は、許可が委任されているユーザに対応し、リソースフィールド２０２は、許可が委任されているリソースに対応し、期間フィールド２０３は、許可が委任されている時間量に対応する。したがって、示されるように、ユーザは、フィールド２０１に例示的なユーザ「ユーザＡＢＣ」、フィールド２０２に例示的なリソース「データベース１」（例えば、データ１５１に対応する）、およびフィールド２０３に無期限の期間を入力した。次に、ユーザは、送信ボタン２０４を選択し得る。
【0027】
図２Ｂは、ユーザが図２Ａの送信ボタン２０４を選択した実施形態を示す概略図２１０である。示されるように、許可モジュール１１４－１は、ユーザＡＢＣへの許可の委任を完了するために、非接触カード１０１をコンピューティングデバイス１１０－１にタップするようにユーザに指示する。前述のように、ユーザが非接触カード１０１をコンピューティングデバイス１１０－１にタップすると、非接触カード１０１は、暗号化されたデータ１０５を生成し、暗号化されたデータ１０５を許可モジュール１１４－１に送信する。いくつかの実施形態では、非接触カード１０１は、許可データ１０６－１を許可モジュール１１４－１に送信する。許可モジュール１１４－１は、要求された許可を指定する要求パッケージを生成し得る（例えば、ユーザＡＢＣのためのデータベース１への無期限のアクセス）。次に、許可モジュール１１４－１は、要求および暗号化されたデータ１０５を認証サーバ１２０に送信する。いくつかの実施形態では、許可モジュール１１４－１は、許可データ１０６－１および／または１０６－２を認証アプリケーション１２３に送信し得る。
【0028】
次に、認証アプリケーション１２３は、暗号化されたデータ１０５をサーバ１２０の秘密鍵１０４で復号することによって、暗号化されたデータ１０５を検証し得る。検証されると、認証アプリケーション１２３および／または許可モジュール１１４－２は、要求しているユーザがデータベースへのユーザＡＢＣアクセスを与える許可を有しているかどうかを決定する。前述のように、認証アプリケーション１２３および／または許可モジュール１１４－２は、許可データ１０６－１、１０６－２、１０６－３および／または１０６－４を含み得る許可データ１０６に基づいて、要求しているユーザが許可を有するかどうかを決定し得る。要求しているユーザが許可を有している場合、認証アプリケーション１２３および／または許可モジュール１１４－２は、データベース１への無期限のアクセスを反映するために、ターゲットユーザ（この例では、ユーザＡＢＣ）の許可データ１０６を更新し得る。許可データ１０６－１、１０６－２、１０６－３、および／または１０６－４は、それぞれ、ユーザＡＢＣがデータベース１に無期限にアクセスできることを反映するように更新され得る。
【0029】
図３Ａは、ユーザが他のユーザに許可の付与を要求し得る実施形態を示す概略図３００である。示されるように、コンピューティングデバイス１１０－１上で実行される例示的なアプリケーション１１３は、フォームフィールド３０１～３０３を有するＧＵＩを含み得る。アプリケーション１１３によって出力されるように描かれているが、フォームフィールド３０１～３０３は、コンピューティングデバイス１１０－１の許可モジュール１１４－１によって出力され得る。より具体的には、ユーザフィールド３０１は、許可を要求しているユーザに対応し、リソースフィールド３０２は、許可が要求されているリソースに対応し、期間フィールド３０３は、許可が要求されている時間量に対応する。したがって、示されているように、ユーザは、フィールド３０１に例のユーザ「ユーザＡＢＣ」、フィールド３０２に例のリソース「支出制限２０，０００ドル」、フィールド３０３に１か月の期間を入力した。いくつかの実施形態では、支出制限は、アプリケーション１１３、アカウントなどに関連付けられ得る。次に、ユーザは、送信ボタン３０４を選択し得る。
【0030】
図３Ｂは、ユーザが図３Ａの送信ボタン３０４を選択した実施形態を示す概略図３１０である。示されるように、コンピューティングデバイス１１０－１上の許可モジュール１１４－１は、ユーザＡＢＣが２０，０００ドルの支出制限を有するための許可の要求を処理するために、コンピューティングデバイス１１０－１に対して非接触カード１０１をタップするようにユーザに指示する。前述のように、ユーザが非接触カード１０１をコンピューティングデバイス１１０にタップすると、非接触カード１０１は、暗号化されたデータ１０５を生成し、暗号化されたデータ１０５を許可モジュール１１４－１に送信する。いくつかの実施形態では、非接触カード１０１は、許可データ１０６－１を許可モジュール１１４－１に送信する。少なくとも１つの実施形態では、非接触カード１０１のアプレット１０３は、秘密鍵１０４を使用してデジタル署名を生成する。デジタル署名は、暗号化されたデータ１０５および／または許可データ１０６－１に署名し得る。次に、非接触カード１０１は、暗号化されたデータ１０５および／または許可データ１０６－１を用いてデジタル署名を送信し得る。
【0031】
次に、許可モジュール１１４－１は、要求された許可を指定する要求パッケージを生成し得る（例えば、ユーザＡＢＣは、１か月間２０，０００ドルの支出制限を有する）。要求はさらに、要求された支出制限に関連付けられたアカウント、要求しているユーザのアカウント（例えば、ユーザＡＢＣの非接触カード１０１のアカウント番号）、要求された支出制限に関連付けられたアプリケーション１１３などを指定し得る。次に、許可モジュール１１４－１は、要求、デジタル署名、および暗号化されたデータ１０５を認証サーバ１２０に送信する。いくつかの実施形態では、許可モジュール１１４－１は、許可データ１０６－１および／または１０６－２を認証アプリケーション１２３に送信し得る。
【0032】
次に、認証アプリケーション１２３は、暗号化されたデータ１０５をサーバ１２０の秘密鍵１０４で復号することによって、暗号化されたデータ１０５を検証し得る。認証アプリケーション１２３はまた、非接触カード１０１に関連付けられ、サーバ１２０によって格納された公開鍵を使用してデジタル署名を復号することによって、デジタル署名を検証し得る。認証アプリケーション１２３が暗号化されたデータ１０５およびデジタル署名を検証すると、認証アプリケーション１２３および／または許可モジュール１１４－２は、要求を承認するのに十分な許可を有する管理者（または他のユーザ）に通知（または他の指示）を送信し得る。
【0033】
図３Ｃは、管理者のコンピューティングデバイス１１０－２上で実行される許可モジュール１１４－１が、図３Ｂを参照して上記のように認証アプリケーション１２３および／または許可モジュール１１４－２から通知を受信した実施形態を示す概略図３２０である。示されるように、許可モジュール１１４－１は、要求されたユーザ、要求された許可、および期間をそれぞれ反映するフィールド３０５～３０７を有するＧＵＩを出力する。管理者は、承認ボタン３０８を選択して、要求された支出制限の承認を開始し得る。
【0034】
図３Ｄは、管理者が図３Ｃの承認ボタン３０８を選択した実施形態を示す概略図３３０である。示されるように、許可モジュール１１４－１は、ユーザＡＢＣへの許可の委任を完了するために、非接触カード１０１をコンピューティングデバイス１１０－２にタップするようにユーザに指示する。前述のように、ユーザが非接触カード１０１をコンピューティングデバイス１１０－２にタップすると、非接触カード１０１は、暗号化されたデータ１０５を生成し、暗号化されたデータ１０５を許可モジュール１１４－１に送信する。いくつかの実施形態では、非接触カード１０１は、管理者の許可データ１０６－１を許可モジュール１１４－１に送信する。許可モジュール１１４－１は、要求された許可を指定する要求パッケージを生成し得る（例えば、１か月間のユーザＡＢＣのための２０，０００ドルの支出制限）。要求は、要求された支出制限に関連付けられたアカウント（例えば、ユーザＡＢＣの非接触カード１０１のアカウント番号）、要求するユーザのアカウント、要求された支出制限に関連付けられたアプリケーション１１３などをさらに指定し得る。次に、許可モジュール１１４－１は、要求および暗号化されたデータ１０５を認証サーバ１２０に送信する。いくつかの実施形態では、許可モジュール１１４－１は、管理者のための許可データ１０６－１および／または１０６－２を認証アプリケーション１２３に送信し得る。
【0035】
次に、認証アプリケーション１２３は、暗号化されたデータ１０５をサーバ１２０の秘密鍵１０４で復号することによって、暗号化されたデータ１０５を検証し得る。検証されると、認証アプリケーション１２３および／または許可モジュール１１４－２は、要求しているユーザが、要求された支出制限へのユーザＡＢＣアクセスを与える許可を有しているかどうかを決定する。前述のように、認証アプリケーション１２３および／または許可モジュール１１４－２は、許可データ１０６－１、１０６－２、１０６－３および／または１０６－４を含み得る許可データ１０６に基づいて、管理者が許可を有するかどうかを決定し得る。管理者が許可を有している場合、認証アプリケーション１２３および／または許可モジュール１１４－２は、ターゲットユーザ（この例では、ユーザＡＢＣ）の許可データ１０６を更新して、１か月間の２０，０００ドルの支出制限を反映し得る。許可データ１０６－１、１０６－２、１０６－３、および／または１０６－４は、それぞれ、ユーザＡＢＣが１か月間の２０，０００ドルの支出制限を有していることを反映するように更新され得る。いくつかの実施形態で述べられているように、仮想アカウント番号は、述べられた支出制限および期間の間、ユーザＡＢＣのために生成され得る。仮想アカウント番号は、業者、地理的位置、および／またはその他のパラメータに基づいてさらに制限され得る。いくつかの実施形態では、ユーザ（この例では、ユーザＡＢＣ）の非接触カード１０１のアカウント番号は、１か月間２０，０００ドルの支出制限を与えられ得る。
【0036】
図３Ｅは、ユーザＡＢＣがアプリケーション１１３を使用して購入を試みる一実施形態を示す概略図３４０である。アプリケーション１１３は、業者アプリケーション、ウェブブラウザ、または支払いを処理する、および／または資金を転送するように構成された任意の他のアプリケーションであり得る。示されるように、アプリケーション１１３は、アカウント番号フィールド、有効期限フィールド、およびカード検証値（ＣＶＶ）フィールドにそれぞれ対応するフォーム支払いフィールド３１１～３１３を含む。示されるように、ユーザは、アカウント番号、有効期限、およびＣＶＶの例をそれぞれフィールド３１１～３１３に入力した。アカウント番号は、期間限定の仮想アカウント番号および／またはユーザ（この例では、ユーザＡＢＣ）の非接触カード１０１のアカウント番号であり得る。
【0037】
図３Ｆは、ユーザが図３Ｅの送信ボタン３１４を選択した実施形態を示す概略図３５０である。示されるように、許可モジュール１１４－１は、要求された購入を完了するために、非接触カード１０１をコンピューティングデバイス１１０－１にタップするようにユーザに指示する。前述のように、ユーザが非接触カード１０１をコンピューティングデバイス１１０－１にタップすると、非接触カード１０１は、暗号化されたデータ１０５を生成し、暗号化されたデータ１０５を許可モジュール１１４－１に送信する。いくつかの実施形態では、非接触カード１０１は、許可データ１０６－１を許可モジュール１１４－１に送信する。許可モジュール１１４－１は、要求された許可を指定する要求パッケージを生成し得る（例えば、合計１９，９９９ドルの購入）。次に、許可モジュール１１４－１は、要求および暗号化されたデータ１０５を認証サーバ１２０に送信する。いくつかの実施形態では、許可モジュール１１４－１は、許可データ１０６－１および／または１０６－２を認証アプリケーション１２３に送信し得る。
【0038】
次に、認証アプリケーション１２３は、暗号化されたデータ１０５をサーバ１２０の秘密鍵１０４で復号することによって、暗号化されたデータ１０５を検証し得る。検証されると、認証アプリケーション１２３および／または許可モジュール１１４－２は、要求しているユーザが１９，９９９ドルを費やす許可を有しているかどうかを決定する。前述のように、認証アプリケーション１２３および／または許可モジュール１１４－２は、許可データ１０６－１、１０６－２、１０６－３および／または１０６－４を含み得る許可データ１０６に基づいて、要求しているユーザが許可を有するかどうかを決定し得る。許可データ１０６は、要求しているユーザの利用可能な支出制限および支出制限の１か月の期間を反映し得る。要求しているユーザが、許可データ１０６に反映されるように、十分な支出制限を有し、支出制限の１か月の期間内である場合、認証アプリケーション１２３および／または許可モジュール１１４－２は、要求された購入を承認し得る。それ以外の場合、要求された購入は、拒否される。
【0039】
承認された場合、認証アプリケーション１２３および／または許可モジュール１１４－２は、ターゲットユーザ（この例では、ユーザＡＢＣ）の許可データ１０６を更新して、ユーザＡＢＣによって１９，９９９ドルが費やされたことを反映し得る。一般に、許可データ１０６－１、１０６－２、１０６－３、および／または１０６－４は、それぞれ、ユーザＡＢＣによって１９，９９９ドルが費やされたことを反映するように更新され得る。次に、認証アプリケーション１２３および／または許可モジュール１１４－２は、承認の指示を、コンピューティングデバイス１１０－１上の許可モジュール１１４－１に送信し得る。次に、許可モジュール１１４－１は、承認の指示を、購入を処理するアプリケーション１１３に送信し得る。
【0040】
図４は、第１のコンピューティングデバイス１１０－１および第２のコンピューティングデバイス１１０－２の許可のために非接触カードを使用する実施形態を示す概略図４００である。示されるように、コンピューティングデバイス１１０－１、１１０－２はそれぞれ、例示的なアプリケーション１１３－１を実行する。しかしながら、デバイス１１０－１、１１０－２でアプリケーション１１３－１によって提供される機能は異なる。述べたように、非接触カード１０１の許可データ１０６－１は、アプリケーションの機能、外観、および／または他の属性を制御するために使用され得る。
【0041】
例えば、デバイス１１０－１上でアプリケーション１１３－１を実行する場合、許可モジュール１１４－１は、非接触カード１０１－１をデバイス１１０－１にタップすることを指定する指示を出力し得る。そうすることにより、非接触カード１０１－１は、上記のように、認証アプリケーション１２３による検証のために暗号化されたデータ１０５を生成および送信し得る。さらに、述べたように、非接触カード１０１－１は、許可データ１０６－１をデバイス１１０－１の許可モジュール１１４－１に送信し得る。次に、許可モジュール１１４－１は、アプリケーション１１３－１に、許可データ１０６－１および／またはアプリケーション１１３－１のどの機能を公開するかの指示を送信し得る。これに応じて、アプリケーション１１３－１は、デバイス１１０－１のリンク４０１～４０３に関連付けられた３つの機能を公開する。例えば、示されているように、リンク４０１は、非接触カード１０１－１に関連付けられたユーザがアクセスし得るアカウント残高を表示するためのインターフェースに関連付けられ、リンク４０２は、非接触カード１０１－１に関連付けられたユーザがアクセスし得る支払いインターフェースに関連付けられ、リンク４０３は、非接触カード１０１－１に関連付けられたユーザがクレジットを要求するためにアクセスし得るインターフェースに関連付けられている。
【0042】
しかしながら、示されるように、非接触カード１０１－２に関連付けられたユーザが非接触カード１０１－２をコンピューティングデバイス１１０－２にタップすると、許可データ１０６－１は、アプリケーション１１３－１のより限定された機能の公開を許可する。例えば、示されるように、コンピューティングデバイス１１０－２上のアプリケーション１１３－１は、非接触カード１０１－２から受信された許可データ１０６－２に基づいて、リンク４０４に関連付けられたインターフェース、すなわち、アカウント残高を表示するためのインターフェースを公開する。しかしながら、コンピューティングデバイス１１０－２上のアプリケーション１１３－１は、他のインターフェース（例えば、支払いインターフェース、クレジット要求インターフェースなど）を公開しない。
【0043】
したがって、述べたように、許可モジュール１１４－１は、所与の非接触カード１０１－１に関連付けられたユーザに関連付けられた許可データ１０６に基づいて、アプリケーション１１３－１の異なる機能、ページ、および／または他の属性へのユーザアクセスを制限および／または許可する。いくつかの実施形態では、非接触カードに格納された許可データ１０６－１は、コンピューティングデバイス１１０によって直接読み取り得る平文である。そのような実施形態では、暗号化されたデータ１０５の生成は、認証サーバ１２０によって生成および／または検証され得ない。そのような実施形態は、例えば、所与のデバイス１１０がインターネットにアクセスできない場合に有用である。しかしながら、いくつかのそのような実施形態では、ユーザは、セキュリティを改善するために、コンピューティングデバイス１１０上でローカルログイン資格情報を提供することを要求され得る。
【0044】
図５は、一実施形態による、許可データ１０６の例示的な部分を示している。示されるように、許可データ１０６は、バイナリ値のベクトルである。許可データ１０６の各要素は、関連するユーザが関連するリソースへのアクセスを許可されるか、および／または操作を実行することを許可されるかどうかを指定し得る。例えば、示されるように、許可データ１０６の要素５０１の「１」の値は、ユーザがリソースへのアクセスおよび／または操作を実行することを許可されていることを示し得る。同様に、許可データ１０６の要素５０２の「０」の値は、ユーザがリソースへのアクセスおよび／または操作を実行することを許可されていないことを示し得る。述べたように、許可データ１０６の要素（要素５０１、５０２を含む）は、他のユーザへの許可の付与、変更、および／または取り消し、アプリケーション（例えば、コンピューティングデバイス１１０のアプリケーション１１３、ホストシステム１５０のアプリケーション１５２など）の実行、アプリケーションの特定の機能および／またはインターフェースへのアクセス、データ（例えば、コンピューティングデバイス１１０のデータ１１５、ホストシステム１５０のデータ１５１など）へのアクセス、およびアプリケーションおよび／またはデータを使用した操作の実行に関連付けられ得る。
【0045】
図６は、論理フロー６００の実施形態を示している。論理フロー６００は、本明細書に記載の１つまたは複数の実施形態によって実行される動作のいくつかまたはすべてを表し得る。例えば、論理フロー６００は、非接触カード１０１を使用して許可の委任された管理のために実行される動作のいくつかまたはすべてを含み得る。この文脈において、実施形態は、限定されない。
【0046】
示されるように、論理フロー６００は、ブロック６０５で始まり、ここで、１つまたは複数の非接触カード１０１は、製造時に一意の秘密鍵１０４および許可データ１０６－１を含むようにプログラムされる。例えば、関連するユーザのアカウントデータ１２４内の許可データ１０６－３は、製造時にユーザのために非接触カード１０１のメモリ１０２にプログラムされ得る。ブロック６１０で、コンピューティングデバイス１１０上で実行される許可モジュール１１４－１は、第１のアカウントから、第２のアカウントに、コンピューティングリソースへの許可を付与する、および／または操作を実行する要求を受信し得る。例えば、第１のアカウントのユーザは、第２のアカウントのユーザに、ホストシステム１５０のデータ１５１および／またはアプリケーション１５２へのアクセスを付与し得る。ブロック６１５で、第１のアカウントに関連付けられたユーザは、非接触カード１０１をコンピューティングデバイス１１０にタップして、非接触カード１０１に暗号化されたデータ１０５を生成および送信させる。次に、ブロック６２０で、非接触カード１０１のアプレット１０３は、秘密鍵１０４、入力データ（例えば、ユーザ識別子）、および暗号化アルゴリズムを使用して、暗号化されたデータ１０５を生成し得る。ブロック６２５で、アプレット１０３は、暗号化されたデータ１０５および許可データ１０６－１を、コンピューティングデバイス１１０の許可モジュール１１４－１に送信し得る。
【0047】
ブロック６３０で、コンピューティングデバイス１１０の許可モジュール１１４－１は、暗号化されたデータ１０５および第２のアカウントに指定された許可を付与する要求を認証サーバ１２０に送信する。例えば、要求は、第１のアカウントによって、ホストシステム１５０の指定されたデータ１５１および／またはアプリケーション１５２にアクセスするための第２のアカウントへの許可を付与することを指定し得る。いくつかの実施形態では、許可モジュール１１４－１は、許可データ１０６－１および／または許可データ１０６－２を認証サーバ１２０に送信し得る。他の実施形態では、許可モジュール１１４は、許可データをサーバ１２０に送信することを控え得る。ブロック６３５で、認証アプリケーション１２３は、認証サーバ１２０の秘密鍵１０４を使用して暗号化されたデータ１０５を復号して、暗号化されたデータ１０５を検証する。
【0048】
ブロック６４０で、認証アプリケーション１２３は、第１のアカウントが、第２のアカウントへの要求されたアクセスを付与するための許可を有すると決定する。例えば、認証アプリケーション１２３は、アカウントデータ１２４に格納された第１のアカウントの許可データ１０６－３を参照して、第１のアカウントが必要な許可を有するかどうかを決定し得る。他の例として、認証アプリケーション１２３は、受信した許可データ１０６－１および／または許可データ１０６－２を使用できる。ブロック６４５で、認証アプリケーション１２３は、指定されたリソースへのアクセスの付与を反映するために、第２のアカウントの許可データ１０６を更新する。例えば、認証アプリケーション１２３は、アカウントデータ１２４に格納された第２のアカウントの許可データ１０６－３を更新して、第２のアカウントがホストシステム１５０の指定されたデータ１５１および／またはアプリケーション１５２へのアクセスを許可されることを反映し得る。同様に、更新は、第２のアカウントの許可データ１０６の他のインスタンスにプッシュされ得る（例えば、第２のアカウントのユーザの非接触カード１０１上の許可データ１０６－１、第２のアカウントのユーザのコンピューティングデバイス上の許可データ１０６－２、ホストシステム１５０の許可データ１０６－４など）。
【0049】
ブロック６５０で、認証アプリケーション１２３は、許可モジュール１１４－１に、暗号化されたデータ１０５の検証および第２のアカウントへの許可の付与の指示を送信し得る。いくつかの実施形態では、認証アプリケーション１２３は、許可モジュール１１４－１に、第２のアカウントの許可データ１０６－３を送信し得る。ブロック６５５で、第２のアカウントのユーザは、彼らの非接触カード１０１をコンピューティングデバイス１１０にタップして、非接触カード１０１に格納された許可データ１０６－１を更新して、許可の付与を反映し得る。
【0050】
図７は、論理フロー７００の実施形態を示している。論理フロー７００は、本明細書に記載の１つまたは複数の実施形態によって実行される動作のいくつかまたはすべてを表し得る。例えば、論理フロー７００は、許可データに基づいてアプリケーション機能を変更するための動作のいくつかまたはすべてを含み得る。この文脈において、実施形態は、限定されない。
【0051】
示されるように、論理フロー７００は、ブロック７０５で始まり、コンピューティングデバイス１１０上で実行される許可モジュール１１４－１は、例えば、アプリケーション１１３および／またはＯＳ１１２から、操作を実行するための要求を受信する。操作には、コンピューティングリソースへのアクセス、許可の付与、許可の変更、許可の取り消し、および／またはコンピューティングリソースを使用した操作の実行が含まれ得るが、これらに限定されない。ブロック７１０で、要求に関連付けられたユーザは、非接触カード１０１をコンピューティングデバイス１１０にタップして、非接触カード１０１に暗号化されたデータ１０５を生成および送信させる。次に、非接触カード１０１のアプレット１０３は、秘密鍵１０４、入力データ（例えば、ユーザ識別子）、および暗号化アルゴリズムを使用して、暗号化されたデータ１０５を生成し得る。アプレット１０３は、暗号化されたデータ１０５および許可データ１０６－１を、コンピューティングデバイス１１０の許可モジュール１１４－１に送信し得る。
【0052】
ブロック７１５で、コンピューティングデバイス１１０の許可モジュール１１４－１は、暗号化されたデータ１０５および要求された操作の指示を認証サーバ１２０に送信する。いくつかの実施形態では、許可モジュール１１４－１は、許可データ１０６－１および／または許可データ１０６－２を認証サーバ１２０に送信し得る。次に、認証アプリケーション１２３は、認証サーバ１２０の秘密鍵１０４を使用して暗号化されたデータ１０５を復号して、暗号化されたデータ１０５を検証し得る。ブロック７２０で、許可モジュール１１４－１は、認証サーバ１２０から、暗号化されたデータ１０５の検証の指示を受信する。許可モジュール１１４－１はさらに、認証サーバ１２０から要求しているアカウントの許可データ１０６－３を受信し得る。
【0053】
ブロック７２５で、許可モジュール１１４－１は、要求しているアカウントの許可データ１０６－１、１０６－２、１０６－３、および／または１０６－４に基づいて、要求された操作が許可されるかどうかを決定する。ブロック７３０で、許可モジュール１１４－１は、許可データ１０６が操作が許可されることを指定することを決定すると、要求された操作を許可する（例えば、要求された操作に関連付けられた許可データ１０６のエントリのルックアップに基づいて）。しかしながら、許可データ１０６が要求された操作を許可しない場合、ブロック７３５で、許可モジュール１１４－１は、要求された操作の実行を制限する。例えば、要求された操作がアプリケーションを開くことである場合、許可モジュール１１４－１は、アプリケーションが開かれることを制限するであろう。さらに、要求された操作がアプリケーションおよび／またはアプリケーションの特定の部分を開くことである場合、ブロック７４０で、許可モジュール１１４－１および／またはアプリケーションは、アプリケーションのＧＵＩを変更して、許可データ１０６によって許可される機能を公開し、許可データ１０６によって許可されていない機能を無効にし得る。
【0054】
図８は、論理フロー８００の実施形態を示している。論理フロー８００は、本明細書に記載の１つまたは複数の実施形態によって実行される動作のいくつかまたはすべてを表し得る。例えば、論理フロー８００は、非接触カード１０１のアプレット１０３によって実行される動作のいくつかまたはすべてを含み得る。この文脈において、実施形態は、限定されない。
【0055】
示されるように、論理フロー８００は、ブロック８０５で始まり、非接触カード１０１のアプレット１０３は、要求しているデバイス１１０の識別子を受信する。識別子は、メディアアクセス制御（ＭＡＣ）アドレス、ソフトウェアフィンガープリント、デバイス識別子などであり得る。要求しているデバイス１１０は、非接触カード１０１の通信範囲内にもたらされる許可モジュール１１４－１のインスタンスを含む任意のデバイスであり得る。ブロック８１０で、アプレット１０３は、受信された識別子が非接触カードのメモリ１０２において承認された識別子として指定されていることを決定する。ブロック８１５で、アプレット１０３は、秘密鍵、入力データ、および暗号化機能に基づいて暗号化されたデータ１０５を生成する。ブロック８２０で、非接触カード１０１は、非接触カード１０１の暗号化されたデータ１０５および許可データ１０６－１を要求しているデバイス１１０に送信する。
【0056】
図９は、前述の様々な実施形態を実施するのに適したコンピューティングシステム９０２を備える例示的なコンピューティングアーキテクチャ９００の実施形態を示している。様々な実施形態では、コンピューティングアーキテクチャ９００は、電子デバイスの一部として構成され、または実施され得る。いくつかの実施形態では、コンピューティングアーキテクチャ９００は、例えば、システム１００の１つまたは複数のコンポーネントを実施するシステムを表し得る。いくつかの実施形態では、コンピューティングシステム９０２は、例えば、非接触カード１０１、コンピューティングデバイス１１０、認証サーバ１２０、および／またはシステム１００のホストシステム１５０を表し得る。実施形態は、この文脈に限定されない。より一般的には、コンピューティングアーキテクチャ９００は、図１～図８を参照して本明細書で説明されるすべての論理、アプリケーション、システム、方法、装置、および機能を実施するように構成される。
【0057】
このアプリケーションで使用される用語「システム」、「コンポーネント」および「モジュール」は、ハードウェア、ハードウェアとソフトウェアの組み合わせ、ソフトウェア、または実行中のソフトウェアのいずれかのコンピュータ関連エンティティを指すことを意図しており、その例は、例示的なコンピューティングアーキテクチャ９００によって提供される。例えば、コンポーネントは、コンピュータプロセッサ上で実行されるプロセス、コンピュータプロセッサ、ハードディスクドライブ、（光学および／または磁気記憶媒体の）複数のストレージドライブ、オブジェクト、実行可能なもの、実行スレッド、プログラム、および／またはコンピュータであり得るが、これらに限定されない。例として、サーバ上で実行されているアプリケーションとサーバの両方は、コンポーネントであり得る。１つまたは複数のコンポーネントは、プロセスおよび／または実行スレッド内に常駐し得、コンポーネントは、１台のコンピュータにローカライズされ、および／または２台以上のコンピュータ間で分散され得る。さらに、コンポーネントは、様々なタイプの通信媒体によって互いに通信可能に結合され、動作を調整し得る。調整には、情報の一方向または双方向の交換が含まれ得る。例えば、コンポーネントは、通信媒体を介して通信される信号の形で情報を通信し得る。情報は、様々な信号線に割り当てられた信号として実施され得る。このような割り当てでは、各メッセージは、信号である。しかしながら、さらなる実施形態は、代替としてデータメッセージを使用し得る。このようなデータメッセージは、様々な接続を介して送信され得る。接続例は、パラレルインターフェース、シリアルインターフェース、およびバスインターフェースを含む。
【0058】
コンピューティングシステム９０２は、１つまたは複数のプロセッサ、マルチコアプロセッサ、コプロセッサ、メモリユニット、チップセット、コントローラ、周辺機器、インターフェース、発振器、タイミングデバイス、ビデオカード、オーディオカード、マルチメディア入力／出力（Ｉ／Ｏ）コンポーネント、電源などの様々な一般的なコンピューティング要素を含む。しかしながら、実施形態は、コンピューティングシステム９０２による実施に限定されない。
【0059】
図９に示されるように、コンピューティングシステム９０２は、プロセッサ９０４、システムメモリ９０６、およびシステムバス９０８を含む。プロセッサ９０４は、ＡＭＤ（登録商標）Ａｔｈｌｏｎ（登録商標）、Ｄｕｒｏｎ（登録商標）およびＯｐｔｅｒｏｎ（登録商標）プロセッサ、ＡＲＭ（登録商標）アプリケーション、組み込みおよびセキュアプロセッサ、ＩＢＭ（登録商標）およびＭｏｔｏｒｏｌａ（登録商標）ＤｒａｇｏｎＢａｌｌ（登録商標）およびＰｏｗｅｒＰＣ（登録商標）プロセッサ、ＩＢＭおよびＳｏｎｙ（登録商標）Ｃｅｌｌプロセッサ、Ｉｎｔｅｌ（登録商標）Ｃｅｌｅｒｏｎ（登録商標）、Ｃｏｒｅ（登録商標）、Ｃｏｒｅ（２）Ｄｕｏ（登録商標）、Ｉｔａｎｉｕｍ（登録商標）、Ｐｅｎｔｉｕｍ（登録商標）、Ｘｅｏｎ（登録商標）、およびＸＳｃａｌｅ（登録商標）プロセッサおよび類似のプロセッサを含むがこれらに限定されない、様々な市販のコンピュータプロセッサのいずれかであり得る。デュアルマイクロプロセッサ、マルチコアプロセッサ、およびその他のマルチプロセッサアーキテクチャも、プロセッサ９０４として使用し得る。
【0060】
システムバス９０８は、システムメモリ９０６からプロセッサ９０４を含むがこれらに限定されないシステムコンポーネントにインターフェースを提供する。システムバス９０８は、様々な市販のバスアーキテクチャのいずれかを使用して、メモリバス（メモリコントローラの有無にかかわらず）、周辺バス、およびローカルバスにさらに相互接続し得るいくつかのタイプのバス構造のいずれかであり得る。インターフェースアダプタは、スロットアーキテクチャを介してシステムバス９０８に接続し得る。スロットアーキテクチャの例は、アクセラレーテッドグラフィックスポート（ＡＧＰ）、カードバス、（拡張）業界標準アーキテクチャ（（Ｅ）ＩＳＡ）、マイクロチャネルアーキテクチャ（ＭＣＡ）、ＮｕＢｕｓ、ペリフェラルコンポーネントインターコネクト（拡張）（ＰＣＩ（Ｘ））、ＰＣＩ Ｅｘｐｒｅｓｓ、Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ Ｍｅｍｏｒｙ Ｃａｒｄ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ａｓｓｏｃｉａｔｉｏｎ（ＰＣＭＣＩＡ）などを含むがこれらに限定されない。
【0061】
システムメモリ９０６は、リードオンリーメモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ダイナミックＲＡＭ（ＤＲＡＭ）、ダブルデータレートＤＲＡＭ（ＤＤＲＡＭ）、シンクロナスＤＲＡＭ（ＳＤＲＡＭ）、スタティックＲＡＭ（ＳＲＡＭ）、プログラマブルＲＯＭ（ＰＲＯＭ）、消去可能プログラマブルＲＯＭ（ＥＰＲＯＭ）、電気的消去可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ）、フラッシュメモリ（例えば、１つまたはより多くのフラッシュアレイ）、強誘電性ポリマーメモリ、オボニックメモリ、相変化または強誘電性メモリなどのポリマーメモリ、シリコン酸化物窒化物酸化物シリコン（ＳＯＮＯＳ）メモリ、磁気または光カード、独立ディスクの冗長アレイ（ＲＡＩＤ）ドライブなどのデバイスのアレイ、ソリッドステートメモリデバイス（例えば、ＵＳＢメモリ、ソリッドステートドライブ（ＳＳＤ））、および情報の格納に適したその他のタイプの記憶媒体などの１つまたは複数の高速メモリユニットの形式の様々なタイプのコンピュータ可読記憶媒体を含み得る。図９に示される図示の実施形態では、システムメモリ９０６は、不揮発性メモリ９１０および／または揮発性メモリ９１２を含み得る。不揮発性メモリ９１０には、基本入出力システム（ＢＩＯＳ）が格納され得る。
【0062】
コンピューティングシステム９０２は、内部（または外部）ハードディスクドライブ（ＨＤＤ）９１４、リムーバブル磁気ディスク９１８からの読み取りまたはリムーバブル磁気ディスク９１８への書き込みを行う磁気フロッピディスクドライブ（ＦＤＤ）９１６、およびリムーバブル光ディスク９２２（例えば、ＣＤ－ＲＯＭまたはＤＶＤ）からの読み取りまたはリムーバブル光ディスク９２２への書き込みを行う光ディスクドライブ９２０を含む、１つまたは複数の低速メモリユニットの形式の様々なタイプのコンピュータ可読記憶媒体を含み得る。ＨＤＤ９１４、ＦＤＤ９１６、および光ディスクドライブ９２０は、それぞれ、ＨＤＤインターフェース９２４、ＦＤＤインターフェース９２６、および光学ドライブインターフェース９２８によってシステムバス９０８に接続され得る。外部ドライブ実施用のＨＤＤインターフェース９２４は、ユニバーサルシリアルバス（ＵＳＢ）およびＩＥＥＥ１３９４インターフェース技術の少なくとも一方または両方を含み得る。コンピューティングシステム９０２は、一般に、図１～図８を参照して本明細書で説明されるすべての論理、システム、方法、装置、および機能を実施するように構成される。
【0063】
ドライブおよび関連するコンピュータ可読媒体は、データ、データ構造、コンピュータ実行可能命令などの揮発性および／または不揮発性ストレージを提供する。例えば、多数のプログラムモジュールは、オペレーティングシステム９３０、１つまたは複数のアプリケーションプログラム９３２、他のプログラムモジュール９３４、およびプログラムデータ９３６を含む、ドライブおよびメモリユニット９１０、９１２に格納され得る。一実施形態では、１つまたは複数のアプリケーションプログラム９３２、他のプログラムモジュール９３４、およびプログラムデータ９３６は、例えば、システム１００の様々なアプリケーションおよび／またはコンポーネント、例えば、アプレット１０３、秘密鍵１０４、暗号化されたデータ１０５、許可データ１０６、オペレーティングシステム１１２、アプリケーション１１３、許可モジュール１１４、認証アプリケーション１２３、ホストシステム１５０、データ１５１、および／またはアプリケーション１５２を含み得る。
【0064】
ユーザは、１つまたは複数の有線／無線入力デバイス、例えば、キーボード９３８およびマウス９４０などのポインティングデバイスを介して、コンピューティングシステム９０２にコマンドと情報を入力し得る。その他の入力デバイスには、マイク、赤外線（ＩＲ）リモートコントロール、無線周波数（ＲＦ）リモートコントロール、ゲームパッド、スタイラスペン、カードリーダ、ドングル、指紋リーダ、グラブ、グラフィックタブレット、ジョイスティック、キーボード、網膜リーダ、タッチスクリーン（例えば、容量性、抵抗性など）、トラックボール、トラックパッド、センサ、スタイラスなどを含み得る。これらおよび他の入力デバイスは、システムバス９０８に結合された入力デバイスインターフェース９４２を介してプロセッサ９０４に接続されることがよくあるが、パラレルポート、ＩＥＥＥ１３９４シリアルポート、ゲームポート、ＵＳＢポート、ＩＲインターフェースなどの他のインターフェースによって接続され得る。
【0065】
モニタ９４４または他のタイプの表示デバイスも、ビデオアダプタ９４６などのインターフェースを介してシステムバス９０８に接続されている。モニタ９４４は、コンピューティングシステム９０２の内部または外部にあり得る。モニタ９４４に加えて、コンピュータは通常、スピーカ、プリンタなどの他の周辺出力デバイスを含む。
【0066】
コンピューティングシステム９０２は、リモートコンピュータ９４８などの１つまたは複数のリモートコンピュータへの有線および／または無線通信を介した論理接続を使用して、ネットワーク環境で動作し得る。リモートコンピュータ９４８は、ワークステーション、サーバコンピュータ、ルータ、パーソナルコンピュータ、ポータブルコンピュータ、マイクロプロセッサベースの娯楽機器、ピアデバイス、または他の一般的なネットワークノードであり得、通常、コンピューティングシステム９０２に関連して記載された要素の多くまたはすべてを含むが、簡潔にするために、メモリ／ストレージデバイス９５０のみが示されている。示されている論理接続には、ローカルエリアネットワーク（ＬＡＮ）９５２および／またはより大きなネットワーク、例えば、ワイドエリアネットワーク（ＷＡＮ）９５４への有線／無線接続が含まれる。このようなＬＡＮおよびＷＡＮネットワーク環境は、オフィスや企業では一般的であり、イントラネットなどの企業規模のコンピュータネットワークを容易にする。これらはすべて、例えば、インターネットなどのグローバル通信ネットワークに接続し得る。実施形態では、図１のネットワーク１３０は、ＬＡＮ９５２およびＷＡＮ９５４のうちの１つまたは複数である。
【0067】
ＬＡＮネットワーキング環境で使用される場合、コンピューティングシステム９０２は、有線および／または無線通信ネットワークインターフェースまたはアダプタ９５６を介してＬＡＮ９５２に接続される。アダプタ９５６は、アダプタ９５６の無線機能と通信するためにその上に配置された無線アクセスポイントを含み得るＬＡＮ９５２への有線および／または無線通信を容易にし得る。
【0068】
ＷＡＮネットワーキング環境で使用される場合、コンピューティングシステム９０２は、モデム９５８を含み得るか、またはＷＡＮ９５４上の通信サーバに接続されるか、またはインターネットを経由するなど、ＷＡＮ９５４上で通信を確立するための他の手段を有する。モデム９５８は、内部または外部であり、有線および／または無線デバイスであり、入力デバイスインターフェース９４２を介してシステムバス９０８に接続する。ネットワーク環境では、コンピューティングシステム９０２に関して示されたプログラムモジュール、またはその一部は、リモートメモリ／ストレージデバイス９５０に格納され得る。示されたネットワーク接続は例示であり、コンピュータ間の通信リンクを確立する他の手段を使用できることが理解されるであろう。
【0069】
コンピューティングシステム９０２は、無線通信（例えば、ＩＥＥＥ８０２．１６無線変調技術）で動作可能に配置された無線デバイスなど、ＩＥＥＥ８０２規格ファミリを使用して有線および無線デバイスまたはエンティティと通信するように動作可能である。これには、少なくともＷｉ－Ｆｉ（または無線フィデリティ）、ＷｉＭａｘ、ブルートゥース（登録商標）ワイヤレステクノロジなどが含まれる。したがって、通信は、従来のネットワークと同様に事前定義された構造、または少なくとも２つのデバイス間での単なるアドホック通信であり得る。Ｗｉ－Ｆｉネットワークは、ＩＥＥＥ８０２．１１ｘ（ａ、ｂ、ｇ、ｎなど）と呼ばれる無線技術を用いて、安全で信頼性の高い高速な無線接続を提供する。Ｗｉ－Ｆｉネットワークは、コンピュータを相互に接続したり、インターネットに接続したり、有線ネットワーク（ＩＥＥＥ８０２．３関連のメディアと機能を使用）に接続したりするために使用し得る。
【0070】
図１０Ａは、クレジットカード、デビットカード、および／またはギフトカードなどの支払いカードを備え得る非接触カード１０１を示している。示されるように、非接触カード１０１は、カード１０１の前面または背面に表示されるサービスプロバイダ１００２によって発行され得る。いくつかの例では、非接触カード５００は、支払いカードとは関係がなく、識別カードを備えることができるが、これに限定されない。いくつかの例では、支払いカードは、デュアルインターフェースの非接触支払いカードを備え得る。非接触カード１０１は、プラスチック、金属、および他の材料から構成される単層または１つまたは複数の積層層を含み得る基板１０１０を備え得る。例示的な基板材料には、ポリ塩化ビニル、ポリ塩化ビニルアセテート、アクリロニトリルブタジエンスチレン、ポリカーボネート、ポリエステル、陽極酸化チタン、パラジウム、金、カーボン、紙、および生分解性材料が含まれる。いくつかの例では、非接触カード１０１は、ＩＳＯ／ＩＥＣ ７８１０規格のＩＤ－１フォーマットに準拠する物理的特性を有し得、そうでなければ、非接触カードは、ＩＳＯ／ＩＥＣ １４４４３規格に準拠し得る。しかしながら、本開示に係る非接触カード１０１は、異なる特性を有し得ることが理解され、本開示は、非接触カードが支払いカードに実施されることを必要としない。
【0071】
非接触カード１０１はまた、カードの前面および／または背面に表示される識別情報１０１５、および接触パッド１０２０を含み得る。接触パッド１０２０は、モバイルデバイス１１０、ユーザデバイス、スマートフォン、ラップトップ、デスクトップ、またはタブレットコンピュータなどの他の通信デバイスとの接触を確立するように構成され得る。非接触カード１０１はまた、図１０Ａに示されていない処理回路、アンテナおよび他のコンポーネントを含み得る。これらのコンポーネントは、接触パッド１０２０の後ろまたは基板１０１０上の他の場所に配置し得る。非接触カード１０１はまた、カードの背面に配置され得る磁気ストリップまたはテープを含み得る（図１０Ａには示されていない）。
【0072】
図１０Ｂに示されるように、非接触カード１０１の接触パッド１０２０は、マイクロプロセッサ１０３０およびメモリ１０２を含む、情報を格納および処理するための処理回路１０２５を含み得る。処理回路１０２５は、本明細書に記載の機能を実行するために必要に応じて、プロセッサ、メモリ、エラーおよびパリティ／ＣＲＣチェッカー、データエンコーダ、衝突防止アルゴリズム、コントローラ、コマンドデコーダ、セキュリティプリミティブおよび改ざん防止ハードウェアを含む追加のコンポーネントを含み得ることが理解される。
【0073】
メモリ１０２は、読み取り専用メモリ、ライトワンスリードマルチプルメモリ、または読み取り／書き込みメモリ、例えば、ＲＡＭ、ＲＯＭ、およびＥＥＰＲＯＭであり得、非接触カード１０１は、これらのメモリのうちの１つまたは複数を含み得る。読み取り専用メモリは、工場で読み取り専用または１回限りのプログラム可能としてプログラム可能である。１回限りのプログラム可能性により、１回書き込みを行ってから、何度も読み取る機会を提供する。ライトワンス／リードマルチプルメモリは、メモリチップが工場から出荷された後のある時点でプログラムできる。一度メモリをプログラムすると、書き換えはできないが、何度も読み取ることができる。読み取り／書き込みメモリは、工場出荷後に何度もプログラムおよび再プログラムされ得る。読み取り／書き込みメモリは、工場出荷後に何度も読み取られ得る。
【0074】
メモリ１０２は、１つまたは複数のアプレット１０３、秘密鍵１０４、暗号化されたデータ１０５、許可データ１０６－１、および１つまたは複数のユーザ識別子（ＩＤ）１００７に対して構成され得る。１つまたは複数のアプレット１０３は、Ｊａｖａ（登録商標）カードアプレットなどの１つまたは複数の非接触カード上で実行するように構成された１つまたは複数のソフトウェアアプリケーションを含み得る。しかしながら、アプレット１０３は、Ｊａｖａカードアプレットに限定されず、代わりに、非接触カードまたは限られたメモリを有する他のデバイス上で動作可能な任意のソフトウェアアプリケーションであり得ることが理解される。ユーザＩＤ１００７は、非接触カード１０１のユーザに割り当てられた一意の英数字の識別子を備え得、識別子は、非接触カードのユーザを他の非接触カードのユーザから区別し得る。いくつかの例では、ユーザＩＤ１００７は、顧客とその顧客に割り当てられたアカウントの両方を識別し得、さらに、顧客のアカウントに関連付けられた非接触カードを識別し得る。いくつかの実施形態では、アプレット１０３は、暗号化されたデータ１０５を生成するために、秘密鍵１０４を用いた暗号化アルゴリズムへの入力として顧客ＩＤ１００７を使用し得る。
【0075】
前述の例示的な実施形態のプロセッサおよびメモリ要素は、接触パッドを参照して説明されているが、本開示はそれに限定されない。これらの要素は、パッド１０２０の外側に実施されるか、パッド１０２０から完全に分離されて、または接触パッド１０２０内に配置されるプロセッサ１０３０およびメモリ１０２要素に加えてさらなる要素として実施され得ることが理解される。
【0076】
いくつかの例では、非接触カード１０１は、１つまたは複数のアンテナ１０５５を備え得る。１つまたは複数のアンテナ１０５５は、非接触カード１０１内で、接触パッド１０２０の処理回路１０２５の周りに配置し得る。例えば、１つまたは複数のアンテナ１０５５は、処理回路１０２５と一体であり得、１つまたは複数のアンテナ１０５５は、外部ブースターコイルと共に使用され得る。他の例として、１つまたは複数のアンテナ１０５５は、接触パッド１０２０および処理回路１０２５の外部にあり得る。
【0077】
一実施形態では、非接触カード１０１のコイルは、空芯変圧器の二次側として機能し得る。端子は、電力または振幅変調を遮断することによって非接触カード１０１と通信し得る。非接触カード１０１は、非接触カードの電源接続のギャップを使用して端子から送信されたデータを推測でき、これは、１つまたは複数のコンデンサを介して機能的に維持できる。非接触カード１０１は、非接触カードのコイルの負荷を切り替えるか、または負荷変調することによって、通信を戻すことができる。負荷変調は、干渉によって端子のコイルで検出され得る。より一般的には、アンテナ１０５５、処理回路１０２５、および／またはメモリ１０２を使用して、非接触カード１０１は、ＮＦＣ、ブルートゥース（登録商標）、および／またはＷｉ－Ｆｉ通信を介して通信するための通信インターフェースを提供する。
【0078】
上で説明したように、非接触カード１０１は、スマートカードまたはＪａｖａカードなどの限られたメモリを有する他のデバイス上で動作可能なソフトウェアプラットフォーム上に構築され得、１つまたは複数のアプリケーションまたはアプレットが安全に実行され得る。アプレットを非接触カードに追加して、様々なモバイルアプリケーションベースのユースケースで多要素認証（ＭＦＡ）用のワンタイムパスワード（ＯＴＰ）を提供できる。アプレットは、モバイルＮＦＣリーダ（例えば、デバイス１１０）などのリーダからの近距離無線データ交換要求などの１つまたは複数の要求に応答し、ＮＤＥＦテキストタグとしてエンコードされた暗号的に安全なＯＴＰを備えるＮＤＥＦメッセージを生成するように構成され得る。
【0079】
様々な実施形態は、ハードウェア要素、ソフトウェア要素、または両方の組み合わせを使用して実施され得る。ハードウェア要素の例には、プロセッサ、マイクロプロセッサ、回路、回路要素（例えば、トランジスタ、抵抗、コンデンサ、インダクタなど）、集積回路、特定用途向け集積回路（ＡＳＩＣ）、プログラマブルロジックデバイス（ＰＬＤ）、デジタル信号プロセッサ（ＤＳＰ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、論理ゲート、レジスタ、半導体デバイス、チップ、マイクロチップ、チップセットなどが含まれ得る。ソフトウェアの例には、ソフトウェアコンポーネント、プログラム、アプリケーション、コンピュータプログラム、アプリケーションプログラム、システムプログラム、機械プログラム、オペレーティングシステムソフトウェア、ミドルウェア、ファームウェア、ソフトウェアモジュール、ルーチン、サブルーチン、機能、方法、手順、ソフトウェアインターフェース、アプリケーションプログラムインターフェース（ＡＰＩ）、命令セット、計算コード、コンピュータコード、コードセグメント、コンピュータコードセグメント、単語、値、記号、またはそれらの任意の組み合わせが含まれ得る。ハードウェア要素および／またはソフトウェア要素を使用して実施形態が実施されているかどうかの決定は、必要な計算速度、電力レベル、熱耐性、処理サイクルバジェット、入力データ速度、出力データ速度、メモリリソース、データバス速度、およびその他の設計または性能の制約などの任意の数の要因に従って変化し得る。
【0080】
少なくとも１つの実施形態の１つまたは複数の態様は、プロセッサ内の様々な論理を表す機械可読媒体に格納された代表的な命令によって実施でき、機械によって読み取られると、機械は、本明細書で説明する技術を実行する論理を製造する。「ＩＰコア」として知られるこのような表現は、有形の機械可読媒体に格納され、論理またはプロセッサを作成する製造機械にロードするために、様々な顧客または製造施設に提供される。いくつかの実施形態は、例えば、機械によって実行された場合に、実施形態に従った方法および／または動作を機械に実行させることができる命令または命令セットを格納することができる機械可読媒体または物品を使用して実施され得る。そのような機械は、例えば、任意の適切な処理プラットフォーム、コンピューティングプラットフォーム、コンピューティングデバイス、処理デバイス、コンピューティングシステム、処理システム、コンピュータ、プロセッサなどを含むことができ、ハードウェアおよび／またはソフトウェアの任意の適切な組み合わせを使用して実施し得る。機械可読媒体または物品は、例えば、任意の適切なタイプのメモリユニット、メモリデバイス、メモリ物品、メモリ媒体、ストレージデバイス、ストレージ物品、ストレージ媒体および／またはストレージユニット、例えば、メモリ、リムーバブルまたは非リムーバブルな媒体、消去可能または消去不可能な媒体、書き込み可能または再書き込み可能な媒体、デジタルまたはアナログ媒体、ハードディスク、フロッピディスク、コンパクトディスクリードオンリメモリ（ＣＤ－ＲＯＭ）、コンパクトディスクレコーダブル（ＣＤ－Ｒ）、コンパクトディスクリライタブル（ＣＤ－ＲＷ）、光ディスク、磁気メディア、光磁気メディア、リムーバブルメモリカードまたはディスク、各種デジタルバーサタイルディスク（ＤＶＤ）、テープ、カセットなどを含み得る。命令は、ソースコード、コンパイル済みコード、解釈済みコード、実行可能コード、静的コード、動的コード、暗号化コードなどの適切なタイプのコードを含むことができ、任意の適切な高レベル、低レベル、オブジェクト指向、視覚的、コンパイル型および／または解釈型のプログラミング言語を使用して実施され得る。
【0081】
例示的な実施形態の前述の説明は、例示および説明を目的として提示された。網羅的であること、または本開示を開示された正確な形式に限定することを意図していない。この開示に照らして、多くの修正および変更が可能である。本開示の範囲は、この詳細な説明ではなく、添付の請求の範囲によって限定されることが意図されている。本出願の優先権を主張する将来の出願は、開示された主題を異なる方法で主張し得、一般に、本明細書で様々に開示または実証されるように、１つまたは複数の限定の任意のセットを含み得る。
【図1A】
【図1B】
【図2A】
【図2B】
【図3A】
【図3B】
【図3C】
【図3D】
【図3E】
【図3F】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10A】
【図10B】
【手続補正書】
【提出日】2024-01-18
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
プロセッサ回路と、
命令を格納するメモリと、を備えるシステムであって、
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
リソースにアクセスする要求を受信させ、
非接触カードから暗号化されたデータを受信させ、
前記暗号化されたデータを認証サーバに送信させ、
前記認証サーバが前記暗号化されたデータを復号した結果を前記認証サーバから受信させ、
前記結果に基づいて、前記非接触カードが検証されたこと、および、前記リソースへのアクセスすることを決定させ、
前記非接触カードが検証されたことに基づいて前記リソースへのアクセスを許可させる、
システム。
命令を格納するメモリと、を備えるシステムであって、
前記命令は、前記プロセッサ回路によって実行されると、前記プロセッサ回路に、
リソースにアクセスする要求を受信させ、
非接触カードから暗号化されたデータを受信させ、
前記暗号化されたデータを認証サーバに送信させ、
前記認証サーバが前記暗号化されたデータを復号した結果を前記認証サーバから受信させ、
前記結果に基づいて、前記非接触カードが検証されたこと、および、前記リソースへのアクセスすることを決定させ、
前記非接触カードが検証されたことに基づいて前記リソースへのアクセスを許可させる、
システム。
【請求項2】
前記暗号化されたデータは、前記非接触カードの鍵を用いて前記非接触カードが暗号化操作を行うことによって暗号化された許可データを含む、請求項１に記載のシステム。
【請求項3】
前記結果は、前記許可データが前記認証サーバによって検証されたという指示を含む、請求項２に記載のシステム。
【請求項4】
前記結果は、複数のエントリを有する許可ベクトルを含み、
前記複数のエントリの一つは前記非接触カードに関連付けられており、前記非接触カードが検証されたという指示を含む、
請求項１に記載のシステム。
前記複数のエントリの一つは前記非接触カードに関連付けられており、前記非接触カードが検証されたという指示を含む、
請求項１に記載のシステム。
【請求項5】
前記命令は、前記プロセッサ回路に、
前記非接触カードと近距離無線通信（ＮＦＣ）によるデータ交換を開始させ、
前記ＮＦＣのデータ交換によって前記暗号化されたデータを受信させる
ようさらに構成されている、請求項１に記載のシステム。
前記非接触カードと近距離無線通信（ＮＦＣ）によるデータ交換を開始させ、
前記ＮＦＣのデータ交換によって前記暗号化されたデータを受信させる
ようさらに構成されている、請求項１に記載のシステム。
【請求項6】
ＮＦＣプロトコル、ブルートゥースプロトコル、Ｗｉ－Ｆｉプロトコル、またはそれらの組み合わせに従って動作するよう構成された、１または複数のワイヤレスインターフェースを備え、
前記プロセッサ回路は、１または複数の前記ワイヤレスインターフェースを介して前記暗号化されたデータを受信するよう構成されている、
請求項１に記載のシステム。
前記プロセッサ回路は、１または複数の前記ワイヤレスインターフェースを介して前記暗号化されたデータを受信するよう構成されている、
請求項１に記載のシステム。
【請求項7】
前記リソースはコンピューティングデバイスである、請求項１に記載のシステム。
【請求項8】
前記命令は、前記プロセッサ回路に、
前記コンピューティングデバイスのディスプレイ装置のグラフィカルユーザインターフェース（ＧＵＩ）上で前記アクセスが許可されたことの指示を提供する
ようさらに構成されている、請求項７に記載のシステム。
前記コンピューティングデバイスのディスプレイ装置のグラフィカルユーザインターフェース（ＧＵＩ）上で前記アクセスが許可されたことの指示を提供する
ようさらに構成されている、請求項７に記載のシステム。
【請求項9】
コンピュータによって実行される方法であって、
処理回路が、リソースにアクセスする要求、または支払いを処理する要求を受信し、
前記要求に基づいて、ワイヤレスインターフェースを介して、非接触カードから暗号化されたデータを受信し、
前記暗号化されたデータを認証サーバに送信し、
前記認証サーバからの結果を、前記認証サーバから受信し、ここで、前記結果は、前記暗号化されたデータに基づいて認証が行われ、前記非接触カードが認証されたか否かを示しており、
前記結果に基づいて、前記リソースへのアクセスまたは前記支払いの処理を行うかを決定する、
コンピュータによって実行される方法。
処理回路が、リソースにアクセスする要求、または支払いを処理する要求を受信し、
前記要求に基づいて、ワイヤレスインターフェースを介して、非接触カードから暗号化されたデータを受信し、
前記暗号化されたデータを認証サーバに送信し、
前記認証サーバからの結果を、前記認証サーバから受信し、ここで、前記結果は、前記暗号化されたデータに基づいて認証が行われ、前記非接触カードが認証されたか否かを示しており、
前記結果に基づいて、前記リソースへのアクセスまたは前記支払いの処理を行うかを決定する、
コンピュータによって実行される方法。
【請求項10】
前記暗号化されたデータは、前記非接触カードの鍵を用いて前記非接触カードが暗号化操作を行うことによって暗号化された許可データを含む、請求項９に記載のコンピュータによって実行される方法。
【請求項11】
前記結果が、前記非接触カードが認証されていることを指示する場合は、前記リソースへの前記アクセスを許可し、
前記結果が、前記非接触カードが認証されていないことを指示する場合は、前記リソースへの前記アクセスを制限する
ことを包含する、請求項１０に記載のコンピュータによって実行される方法。
前記結果が、前記非接触カードが認証されていないことを指示する場合は、前記リソースへの前記アクセスを制限する
ことを包含する、請求項１０に記載のコンピュータによって実行される方法。
【請求項12】
前記暗号化されたデータは、前記非接触カードの鍵を用いて前記非接触カードが暗号化操作を行うことによって暗号化された支払いデータを含む、請求項９に記載のコンピュータによって実行される方法。
【請求項13】
前記結果が、前記非接触カードが認証されていることを指示していれば前記支払いを可能にし、
前記結果が、前記非接触カードが認証されていないことを指示していれば前記支払いを制限する、
請求項１２に記載のコンピュータによって実行される方法。
前記結果が、前記非接触カードが認証されていないことを指示していれば前記支払いを制限する、
請求項１２に記載のコンピュータによって実行される方法。
【請求項14】
前記非接触カードと近距離無線通信（ＮＦＣ）によるデータ交換を開始し、
前記ＮＦＣのデータ交換によって前記暗号化されたデータを受信する
ことを包含する、請求項９に記載のコンピュータによって実行される方法。
前記ＮＦＣのデータ交換によって前記暗号化されたデータを受信する
ことを包含する、請求項９に記載のコンピュータによって実行される方法。
【請求項15】
ディスプレイ装置のグラフィカルユーザインターフェース（ＧＵＩ）上で前記結果の指示を提示することをさらに包含する、請求項９に記載のコンピュータによって実行される方法。
【請求項16】
支払いおよびアクセスの機能を提供するよう構成された、非接触カードに関する認証サービスを提供するよう構成されたシステムであって、
１または複数のサーバであって、
命令を格納するメモリと、
前記命令を実行する処理回路と
を備え、前記命令は実行されると、前記処理回路に、
暗号化されたデータをコンピューティングデバイスから受信させて、リソースにアクセスする非接触カードのユーザを認証させ、ここで、前記暗号化されたデータは、前記非接触カードの鍵を用いて前記非接触カードによって生成されており、
前記暗号化されたデータに復号アルゴリズムおよび第２の鍵を適用することによって復号されたデータを生成させ、
前記復号されたデータに基づいて前記ユーザを認証させ、
前記ユーザが認証されたことの指示を含む結果を、前記コンピューティングデバイスに送信させる、
システム。
１または複数のサーバであって、
命令を格納するメモリと、
前記命令を実行する処理回路と
を備え、前記命令は実行されると、前記処理回路に、
暗号化されたデータをコンピューティングデバイスから受信させて、リソースにアクセスする非接触カードのユーザを認証させ、ここで、前記暗号化されたデータは、前記非接触カードの鍵を用いて前記非接触カードによって生成されており、
前記暗号化されたデータに復号アルゴリズムおよび第２の鍵を適用することによって復号されたデータを生成させ、
前記復号されたデータに基づいて前記ユーザを認証させ、
前記ユーザが認証されたことの指示を含む結果を、前記コンピューティングデバイスに送信させる、
システム。
【請求項17】
前記暗号化されたデータは、前記非接触カードの鍵を用いて前記非接触カードが暗号化操作を行うことによって暗号化された許可データを含む、請求項１６に記載のシステム。
【請求項18】
前記結果は、前記許可データが前記１または複数のサーバによって検証されたことの指示を含む、請求項１７に記載のシステム。
【請求項19】
前記結果は、複数のエントリを有する許可ベクトルを含み、
前記複数のエントリの一つは前記非接触カードに関連付けられており、前記非接触カードが検証されたという指示を含む、請求項１６に記載のシステム。
前記複数のエントリの一つは前記非接触カードに関連付けられており、前記非接触カードが検証されたという指示を含む、請求項１６に記載のシステム。
【請求項20】
前記リソースはデバイスである、請求項１６に記載のシステム。
【外国語明細書】