知財求人 - 知財ポータルサイト「IP Force」
▶ シークエント ソフトウェア、インコーポレイテッドの特許一覧
特許7043701ソフトウェアアプリケーションの信頼を最初に確立し、かつ定期的に確認するシステム及び方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2022-03-22
(45)【発行日】2022-03-30
(54)【発明の名称】ソフトウェアアプリケーションの信頼を最初に確立し、かつ定期的に確認するシステム及び方法
(51)【国際特許分類】
G06F 21/31 20130101AFI20220323BHJP
G06F 21/44 20130101ALI20220323BHJP
G06F 21/62 20130101ALI20220323BHJP
【ＦＩ】
G06F21/31
G06F21/44
G06F21/62 309
【請求項の数】
18
【外国語出願】
(21)【出願番号】P 2020186818
(22)【出願日】2020-11-09
(62)【分割の表示】P 2019072350の分割
【原出願日】2014-06-11
(65)【公開番号】P2021036453
(43)【公開日】2021-03-04
【審査請求日】2020-12-09
(31)【優先権主張番号】13/916,307
(32)【優先日】2013-06-12
(33)【優先権主張国・地域又は機関】US
(73)【特許権者】
【識別番号】515345090
【氏名又は名称】シークエント ソフトウェア、インコーポレイテッド
【住所又は居所原語表記】２８８０ Ｌａｋｅｓｉｄｅ Ｄｒｉｖｅ，Ｓｕｉｔｅ ２２８，Ｓａｎｔａ Ｃｌａｒａ，Ｃａｌｉｆｏｒｎｉａ ９５０５４，Ｕ．Ｓ．Ａ．
(74)【代理人】
【識別番号】110000877
【氏名又は名称】龍華国際特許業務法人
(72)【発明者】
【氏名】ブルドニツキ、デイビッド
(72)【発明者】
【氏名】ロイ、カウシク
(72)【発明者】
【氏名】リム、パトリック
【審査官】岸野 徹
(56)【参考文献】
【文献】特開２００４－２８７５９３（ＪＰ，Ａ）
【文献】特開２０１１－０４３９０２（ＪＰ，Ａ）
【文献】特開２００７－３２８３８１（ＪＰ，Ａ）
【文献】特開２０００－２２１８８１（ＪＰ，Ａ）
【文献】特開２００７－０７３０４０（ＪＰ，Ａ）
【文献】特開２００８－２０５８１６（ＪＰ，Ａ）
【文献】特開２００６－１４６６６０（ＪＰ，Ａ）
【文献】特開２００８－２５０９１１（ＪＰ，Ａ）
【文献】特開２０１０－０７９７９５（ＪＰ，Ａ）
【文献】米国特許出願公開第２０１２／０１２４６５９（ＵＳ，Ａ１）
【文献】中国特許出願公開第１０１８４７２３４（ＣＮ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／３１
Ｇ０６Ｆ ２１／４４
Ｇ０６Ｆ ２１／６２
(57)【特許請求の範囲】
【請求項1】
第１のソフトウェアアプリケーションをデバイスに実装されるようにサーバに登録する登録要求メッセージを、前記サーバが前記デバイスから受信する段階と、前記サーバが、前記登録要求メッセージを検証する段階と、
検証の成功に応答して、前記サーバが、前記サーバから前記デバイスへ検証コードを送信する段階と、
前記デバイスによる前記検証コードの検証の成功に続いて、パスコード及び前記デバイスと関連付けられたセキュアエレメントの識別子を、前記サーバが前記デバイスから受信する段階と、
前記パスコード及び前記セキュアエレメントの識別子の受信に応答して、前記サーバが前記第１のソフトウェアアプリケーションを登録する段階と、
前記サーバによる前記第１のソフトウェアアプリケーションの登録に続いて、前記サーバと関連付けられた他のデバイスによってトークンを生成する段階であって、前記トークンが前記サーバから送信された前記検証コードから導き出されている、段階と、
前記サーバが、前記デバイス上の前記第１のソフトウェアアプリケーションへ、前記トークンを送信する段階であって、前記トークンは、前記デバイス上の前記第１のソフトウェアアプリケーション及び前記サーバの間の通信をセキュアにするのに使用される、段階と、を備える方法。
【請求項2】
前記登録要求メッセージは前記デバイスの識別子を有する、請求項１に記載の方法。
【請求項3】
前記登録要求メッセージは、２進数のショートメッセージサービスメッセージである、請求項１又は２に記載の方法。
【請求項4】
前記検証コードは所定の時間の間だけ有効である、請求項１から３の何れか一項に記載の方法。
【請求項5】
複数の認証情報選択肢から特定の認証情報の選択を、前記サーバが、前記デバイスから受信する段階をさらに備える、請求項１から４の何れか一項に記載の方法。
【請求項6】
前記複数の認証情報選択肢のそれぞれはイメージを含む、請求項５に記載の方法。
【請求項7】
前記第１のソフトウェアアプリケーションは、前記セキュアエレメントによって格納されたデータで動作するサードパーティソフトウェアアプリケーションである、請求項１から６の何れか一項に記載の方法。
【請求項8】
前記サードパーティソフトウェアアプリケーションを検証するために、前記サードパーティソフトウェアアプリケーションの識別子を前記サーバが受信する段階をさらに備える、請求項７に記載の方法。
【請求項9】
前記第１のソフトウェアアプリケーションは、前記セキュアエレメントにより格納されたデータへのアクセスの要求、前記セキュアエレメントに格納されたデータの変更、及び前記セキュアエレメントのストレージへのデータの書き込みのうち少なくとも１つを行うよう構成される、請求項８に記載の方法。
【請求項10】
サーバプロセッサと、前記サーバプロセッサに結合されたサーバ非一時的デジタル記憶素子と、第１記憶ロジックとを有するサーバであって、前記第１記憶ロジックは、前記サーバプロセッサによって実行された場合に前記サーバプロセッサに、第１のソフトウェアアプリケーションをデバイスに実装されるように、前記サーバに登録する登録要求メッセージを前記デバイスから受信させ、
前記登録要求メッセージを検証させ、
検証に応答して、検証コードを前記デバイスに送信させ、
検証に続いて、パスコード及び前記デバイスに関連付けられたセキュアエレメントの識別子を前記デバイスから受信させ、
前記パスコード及び前記セキュアエレメントの識別子に基づいて、前記第１のソフトウェアアプリケーションを登録させる、
サーバと、
前記サーバと動作可能に関連付けられたトークンサーバであって、
トークンサーバプロセッサと、前記トークンサーバプロセッサに結合されたトークンサーバ非一時的デジタル記憶素子と,第２記憶ロジックとを有するサーバであって、前記第２記憶ロジックは、前記トークンサーバプロセッサによって実行された場合に前記トークンサーバプロセッサに、
前記第１のソフトウェアアプリケーションの登録に続いて、トークンを生成させ、前記トークンは、前記検証コードから導き出されており、
トークンサーバから前記デバイス上の前記第１のソフトウェアアプリケーションへ前記トークンを送信させ、前記トークンは、前記デバイス上の前記第１のソフトウェアアプリケーションおよび前記サーバの間の通信をセキュアにするのに使用される、
トークンサーバと、
を備える、システム。
【請求項11】
前記登録要求メッセージは、前記デバイスの識別子を有する、請求項１０に記載のシステム。
【請求項12】
前記登録要求メッセージは、２進数のショートメッセージサービスのメッセージである、請求項１０または１１に記載のシステム。
【請求項13】
前記検証コードは、予め定められた時間にのみ有効である、請求項１０から１２の何れか一項に記載のシステム。
【請求項14】
前記サーバに実行された場合に前記第１記憶ロジックは、複数の認証情報選択肢からの特定の認証情報の選択を前記デバイスから、前記サーバプロセッサにさらに受信させる、請求項１０から１３の何れか一項に記載のシステム。
【請求項15】
前記複数の認証情報選択肢のそれぞれは、画像を含む、請求項１４に記載のシステム。
【請求項16】
前記第１のソフトウェアアプリケーションは、前記セキュアエレメントによって格納されたデータを利用するよう要求するサードパーティのソフトウェアアプリケーションである、請求項１０から１５の何れか一項に記載のシステム。
【請求項17】
前記サードパーティのソフトウェアアプリケーションを検証するために前記サードパーティのソフトウェアアプリケーションの識別子をさらに受信させる、請求項１６に記載のシステム。
【請求項18】
前記第１のソフトウェアアプリケーションは、前記セキュアエレメントにより格納されるデータへのアクセスの要求、前記セキュアエレメントに格納されるデータの変更、前記セキュアエレメントのストレージへのデータの書き込みのうち少なくとも１つを行うよう構成される、請求項１７に記載のシステム。
【発明の詳細な説明】
【技術分野】
【0001】
［関連出願の相互参照］
本出願は、２０１３年６月１２日に出願された米国特許出願第１３／９１６，３０７号に対する優先権を主張し、その内容全体を参照によって本明細書に引用したものとする。
本出願は、２０１３年６月１２日に出願された米国特許出願第１３／９１６，３０７号に対する優先権を主張し、その内容全体を参照によって本明細書に引用したものとする。
【0002】
本発明は、概して、ポータブル通信デバイス上のソフトウェアアプリケーションのセキュアな動作を保証することに向けて、当該ポータブル通信デバイスをプロビジョニングすることに関し、より具体的にはソフトウェアアプリケーションの信頼を最初に確立し、かつ定期的に確認するシステム及び方法に関する。
【背景技術】
【0003】
ＲＦＩＤベースの複数の近接型カードを用いた複数の無線トランザクションが、事実上普通になっている。例えば、多くの従業員が自分の職場に入るために複数のＲＦＩＤキーカードを使用し、また複数の運転者が高速道路の速度で通行料金を支払うために複数のＲＦＩＤパスを使用する。無線周波数識別を表すＲＦＩＤは、複数の電磁波を用いて、識別の目的のために、端末とある対象との間でデータを交換する。ごく最近では、複数の企業が、電子決済製品（すなわち、クレジットカード及び／又はデビットカード）を実装すべく、複数の携帯電話によってサポートされた複数のＲＦＩＤを用いようと試みている。しかしながら、基本的なＲＦＩＤ技術には、いくつかのセキュリティ上の懸念があり、それによって基本技術の複数の変更が促された。さらに、電子決済のメカニズムとしてのＲＦＩＤの広範囲にわたる採用は、遅れている。
【0004】
近距離無線通信（ＮＦＣ）は、複数の電磁波を用いてデータを交換する別の技術である。ＮＦＣの複数の電磁波は、短距離（数インチのオーダー）を複数の高周波数で送信されるだけである。複数のＮＦＣデバイスは、複数のＰＯＳ（ｐｏｉｎｔ ｏｆ ｓａｌｅ）デバイスにおいて複数の決済を行うべく、既に用いられている。ＮＦＣは、複数の変調方式、コーディング、複数の転送速度、及びＲＦインタフェースを明記したオープンスタンダード（例えば、ＩＳＯ／ＩＥＣ１８０９２を参照）である。ＮＦＣは、複数の金融取引及びアクセス制御に、より優れたセキュリティを提供するので、通信プラットフォームとして、より広く採用が行われた。他の複数の短距離通信プロトコルが知られており、複数の金融取引及びアクセス制御のサポートにおける使用のために受け入れられ得る。
【0005】
多くのアプリケーションが、複数のポータブル通信デバイスに関連した使用のために開発された。これらのアプリケーションによる、インターネットを介した商品の購入など、消費者の複数の電子商取引の完了を容易にする電子資金を利用できることで、これらのアプリケーションのいくつかは利益を享受し得る。いまだに、電子ウォレットなどの他の複数のアプリケーションは、ポータブル通信デバイスのセキュアデータサブシステムにアクセスできなければ、何の目的も持ち得ない。
【0006】
複数のカード発行会社は、自社の複数のクレジット／デビットカード製品を用いたアプリケーションの使用及び電子商取引に代金を支払うオプションを容易にすることに関心がある。複数のカード発行会社は、複数のサードパーティアプリケーションが自社の複数の金融製品にアクセスすることを可能にすることに自己の利益があるにもかかわらず、複数のセキュリティプロトコルの広範な分散に関して、複数の重大なセキュリティ懸念を持ち得る。同様に、サードパーティの複数の開発業者は、金融製品の複数のサブルーチンを開発することに関心を持たない可能性がある。従って、サードパーティの複数のプログラムの使用に関連付けられた複数の料金の決済を容易にする、これらのプログラムによってアクセス可能な電子ウォレットの必要性が業界内にある。また、電子ウォレットにアクセス可能なアプリケーションは、消費者によるモバイルアプリケーションへの直接アクセスによって用いられ得る。
【0007】
従って、本明細書を自らの前に有する当業者であれば理解し得るように、本発明は、前述の複数の問題及び複数の関連問題に対する、１又は複数のソリューションを提供しようとするものである。本開示のこれら及び他の複数の目的、及び複数の利点は、複数の図面、本明細書、及び特許請求の範囲を自らの前に有する当業者には明らかであろう。そのような付加的な複数のシステム、複数の方法、複数の特徴、及び複数の利点は全て本説明内に含まれ、本開示の範囲内にあり、添付の特許請求の範囲によって保護されることが、意図される。
【発明の概要】
【0008】
以下に、本開示のいくつかの態様の基本的な理解を提供すべく、本開示の簡略化された概要を示す。この概要は、本開示の包括的な概要ではない。本開示の主要又は重大な複数の要素を特定する、又は本開示の範囲を記述することは意図していない。以下の概要は、後に提供されるより詳細な説明の導入部として、本開示のいくつかの概念を簡略化した形式で提示するに過ぎない。
【0009】
複数の方法、複数のシステム、複数の装置、及び複数のコンピュータ可読媒体が、ポータブル通信デバイスと関連付けられたソフトウェアとセキュアエレメントとの間のセキュアな相互運用を保証することに向けて、当該ポータブル通信デバイスをトラストプロビジョニングするために開示される。一例において、デバイスに関連付けられたセキュアエレメントによって格納されたデータを利用すべく要求する利用要求は、ソフトウェアアプリケーションによって処理され得る。利用要求の処理に応答して、ソフトウェアアプリケーションを登録するための登録要求メッセージが、管理サーバに通信され得る。検証コードは、登録要求メッセージへの返信として管理サーバから受信され得る。受信された検証コードは、第２の検証コードと一致することを検証され得る。検証の成功に続いて、パスコード及びセキュアエレメントの識別子が管理サーバに通信され得る。パスコード及びセキュアエレメント識別子の通信に応答して、管理サーバから応答が受信され、第１のソフトウェアアプリケーションの登録が成功したか否かを特定し得る。
【図面の簡単な説明】
【0010】
本開示のさらなる理解のために、以下の複数の図面を参照して、限定的でも包括的でもない複数の実施形態が説明される。複数の図面では、様々な図の全てを通じて、別段の定めがない限り、同じ参照番号は同じ部分を指す。
【0011】
【図1a】デバイスを用いてＰＯＳでセキュアな決済処理を実行する試みに失敗した後に、診断を実行したいか否かを尋ねるエンドユーザのポータブル通信デバイスにインストールされた診断エージェントを示す。
【0012】
【図1b】エンドユーザのスマートフォンと、システム管理バックエンドを含む様々なサブシステムとの間の、動作可能な複数の相互接続を示す。
【0013】
【図2】本システムに関連し得る、ポータブル通信デバイス内のいくつかの論理ブロックを示すブロック図である。
【0014】
【図3】システム管理バックエンド内の複数の論理ブロックを示すブロック図である。
【0015】
【0016】
【図4A】スマートフォンで利用され得る、例示的なウォレットユーザインタフェースの画面の一例である。
【0017】
【図4B】スマートフォンで利用され得る、例示的なウォレットユーザインタフェースの画面の一例である。
【0018】
【図4C】スマートフォンで利用され得る、例示的なウォレットユーザインタフェースの画面の一例である。
【0019】
【図4D】スマートフォンで利用され得る、例示的なウォレットユーザインタフェースの画面の一例である
【0020】
【図5】エンドユーザのスマートフォンと、セキュアエレメント管理サーバと、認証情報発行者アダプタサーバとの間の動作可能な複数の相互接続を示すブロック図である。
【0021】
【図6】決済サブシステムに格納されたセキュアデータを閲覧、選択、及び／又は変更するための、複数のサードパーティアプリケーションの１つに対する許可の付与に通底する、１つの可能性のあるシステムの実装のブロック図である。
【0022】
【図7A】例示的な複数の実施形態に従った、カードサービスモジュール（ＣＳＭ）及びサードパーティアプリケーションの登録のための、例示的な通信フローを示す。
【図7B】例示的な複数の実施形態に従った、カードサービスモジュール（ＣＳＭ）及びサードパーティアプリケーションの登録のための、例示的な通信フローを示す。
【図7C】例示的な複数の実施形態に従った、カードサービスモジュール（ＣＳＭ）及びサードパーティアプリケーションの登録のための、例示的な通信フローを示す。
【0023】
【図8A】例示的な複数の実施形態に従った、ポータブル通信デバイスによって提示されたグラフィカルユーザインタフェースを示す。
【0024】
【図8B】例示的な複数の実施形態に従った、ポータブル通信デバイスによって提示されたグラフィカルユーザインタフェースを示す。
【0025】
【図8C】例示的な複数の実施形態に従った、ポータブル通信デバイスによって提示されたグラフィカルユーザインタフェースを示す。
【0026】
【図8D】例示的な複数の実施形態に従った、ポータブル通信デバイスによって提示されたグラフィカルユーザインタフェースを示す。
【0027】
【図8E】例示的な複数の実施形態に従った、ポータブル通信デバイスによって提示されたグラフィカルユーザインタフェースを示す。
【0028】
【図8F】例示的な複数の実施形態に従った、ポータブル通信デバイスによって提示されたグラフィカルユーザインタフェースを示す。
【0029】
【図8G】例示的な複数の実施形態に従った、ポータブル通信デバイスによって提示されたグラフィカルユーザインタフェースを示す。
【0030】
【図8H】例示的な複数の実施形態に従った、ポータブル通信デバイスによって提示されたグラフィカルユーザインタフェースを示す。
【0031】
【図8I】例示的な複数の実施形態に従った、ポータブル通信デバイスによって提示されたグラフィカルユーザインタフェースを示す。
【発明を実施するための形態】
【0032】
それでは、本発明の一部を形成し、本発明が実施され得る特定の例示的な複数の実施形態を例示の目的で示す添付の複数の図面を参照して、以下に本発明がさらに十分に説明されることになる。しかしながら、本発明は多くの異なる形態で具現化されてよく、本明細書に記載された複数の実施形態に限定されると解釈されるべきではなく、むしろこれらの複数の実施形態は、本開示が十分かつ完全となるように、また当業者に本発明の範囲を十分に伝えるように提供される。とりわけ本発明は、複数の方法又は複数のデバイスとして具現化され得る。従って、本発明は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態、又はソフトウェアとハードウェアとを組み合わせた実施形態の態様の形式を取り得る。したがって、以下の詳細な説明は、限定的な意味で取られるべきではない。
【0033】
［ポータブル通信デバイス］
本発明は、限定されないが、ＰＤＡ、携帯電話、スマートフォン、ラップトップ、タブレットコンピュータ、及び、セルラー方式の音声及びデータサービスだけでなく消費者向けのダウンロード可能な複数のアプリケーションへの望ましいアクセスを含む他の複数のモバイルデバイスを含む、様々な異なるポータブル通信デバイスで利用されることが可能なシステム及び方法を提供する。１つのそのようなポータブル通信デバイスは、ｉＰｈｏｎｅ（登録商標）、モトローラのＲＡＺＲ又はＤＲＯＩＤであり得る。しかしながら、本発明は、好ましくはプラットフォームであり、またデバイスには依存しない。例えば、ポータブル通信デバイス技術のプラットフォームは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）Ｍｏｂｉｌｅ、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）Ｐｈｏｎｅ ７、Ｐａｌｍ ＯＳ、ＲＩＭ Ｂｌａｃｋｂｅｒｒｙ（登録商標）ＯＳ、Ａｐｐｌｅ ＯＳ、Ａｎｄｒｏｉｄ（登録商標） ＯＳ、Ｓｙｍｂｉａｎ、Ｊａｖａ（登録商標）、又は任意の他の技術プラットフォームであってよい。本開示の目的のために、本発明は概して、汎用のプラットフォームを利用するスマートフォン用に最適化された複数の特徴及び複数のインタフェースに従って説明される。しかし、当業者であれば、そのような全ての特徴及びインタフェースが任意の他のプラットフォーム及び／又はデバイスにも用いられ、適合され得ることを理解するであろう。
本発明は、限定されないが、ＰＤＡ、携帯電話、スマートフォン、ラップトップ、タブレットコンピュータ、及び、セルラー方式の音声及びデータサービスだけでなく消費者向けのダウンロード可能な複数のアプリケーションへの望ましいアクセスを含む他の複数のモバイルデバイスを含む、様々な異なるポータブル通信デバイスで利用されることが可能なシステム及び方法を提供する。１つのそのようなポータブル通信デバイスは、ｉＰｈｏｎｅ（登録商標）、モトローラのＲＡＺＲ又はＤＲＯＩＤであり得る。しかしながら、本発明は、好ましくはプラットフォームであり、またデバイスには依存しない。例えば、ポータブル通信デバイス技術のプラットフォームは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）Ｍｏｂｉｌｅ、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）Ｐｈｏｎｅ ７、Ｐａｌｍ ＯＳ、ＲＩＭ Ｂｌａｃｋｂｅｒｒｙ（登録商標）ＯＳ、Ａｐｐｌｅ ＯＳ、Ａｎｄｒｏｉｄ（登録商標） ＯＳ、Ｓｙｍｂｉａｎ、Ｊａｖａ（登録商標）、又は任意の他の技術プラットフォームであってよい。本開示の目的のために、本発明は概して、汎用のプラットフォームを利用するスマートフォン用に最適化された複数の特徴及び複数のインタフェースに従って説明される。しかし、当業者であれば、そのような全ての特徴及びインタフェースが任意の他のプラットフォーム及び／又はデバイスにも用いられ、適合され得ることを理解するであろう。
【0034】
ポータブル通信デバイスは、ＮＦＣ、ＲＦＩＤ、又はブルートゥース送受信器などの、１又は複数の短近接場電磁界通信デバイスを具備する。ＮＦＣ ＩＰ－１規格（ｗｗｗ．ｎｆｃｆｏｒｕｍ．ｏｒｇ）に準拠し、ポータブル通信デバイス上のセキュアエレメントとペアリングされ、「非接触決済リーダ」（後述のＰＯＳにおいて参照）の前に提示されたときに、ピアツーピアのデータ交換、リーダ／ライタモード（すなわち、複数のＲＦＩＤタグからの情報収集）、及び非接触カードエミュレーション（ＮＦＣ ＩＰ－１規格及びＩＳＯ１４４４３規格に従う）のような複数の標準機能を提供するＮＦＣベースバンドを用いることが、今のところ望ましい。本明細書、複数の図、及び特許請求の範囲を自らの前に有する当業者であれば理解し得るように、ＮＦＣ ＩＰ－１規格は単に今のところ望ましい例であり、任意の他の近接通信規格に関連した使用のために、全体又は一部において、エクスポートされ得る。ポータブル通信デバイスは、近距離無線通信を可能とするＮＦＣ／ＲＦＩＤアンテナ（ＮＦＣ ＩＰ－１規格及びＩＳＯ１４４４３規格に従う）を具備することが、さらに望ましい。しかしながら、当技術分野において理解されるように、ＮＦＣ／ＲＦＩＤ通信は、さらに近距離であっても、また可能性のある複数の読み出し問題があるとしても、実現され得る。
【0035】
また、ポータブル通信デバイスは、モバイルネットワーク事業者との無線通信を確立し管理するためのモバイルネットワークインタフェースを具備する。モバイルネットワークインタフェースは、限定されないが、移動通信用グローバルシステム（ＧＳＭ（登録商標））、３Ｇ、４Ｇ、符号分割多重アクセス（ＣＤＭＡ）、時分割多重アクセス（ＴＤＭＡ）、ユーザーデータグラムプロトコル（ＵＤＰ）、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ＳＭＳ，汎用パケット無線サービス（ＧＰＲＳ）、ＷＡＰ、超広帯域無線（ＵＷＢ）、ＩＥＥＥ８０２．１６ワールドワイド・インターオペラビリティ・フォー・マイクロウェーブ・アクセス（ＷｉＭＡＸ）、ＳＩＰ／ＲＴＰ、又はモバイルネットワーク事業者のモバイルネットワークと通信するための任意の様々な他の無線通信プロトコルを含む、１又は複数の通信プロトコル及び技術を用いる。従って、モバイルネットワークインタフェースは、送受信器、送受信デバイス、又はネットワークインタフェースカード（ＮＩＣ）を含む。本明細書、複数の図、及び特許請求の範囲を自らの前に有する当業者であれば理解し得るように、モバイルネットワークインタフェース及び短近接場電磁界通信デバイスは、送受信器又は送受信デバイスを共有し得ると考えられる。
【0036】
ポータブル通信デバイスは、消費者が情報を受信するだけでなく、情報を入力する、又はそうでなければ受信した情報に応答するためのいくつかの手段を提供するユーザインタフェースをさらに具備する。今のところ理解されるように（本開示をそれに限定する意図はなく）、このユーザインタフェースは、マイク、オーディオスピーカ、触覚インタフェース、グラフィカルディスプレイ、及び、キーパッド、キーボード、ポインティングデバイス、及び／又はタッチスクリーンを含み得る。本明細書、複数の図、及び特許請求の範囲を自らの前に有する当業者であれば理解し得るように、ポータブル通信デバイスは、地球表面に対するデバイスの物理的座標を、典型的にデバイスの緯度、経度、及び高度の関数として決定することが可能な位置送受信器をさらに具備し得る。この位置送受信器は、好ましくはＧＰＳ技術を使用するので、本明細書ではＧＰＳ送受信器と称され得る。しかしながら、位置送受信器は、地球表面に対するポータブル通信デバイスの物理的な位置を決定するために、限定されないが、三角測量、アシスト型ＧＰＳ（ＡＧＰＳ）、Ｅ－ＯＴＤ、ＣＩ、ＳＡＩ、ＥＴＡ、ＢＳＳ、又は同様のものを含む他の複数のジオポジショニングメカニズムを更に（又は代替的に）使用することが可能であると理解されるべきである。
【0037】
また、ポータブル通信デバイスは、マイクロプロセッサ及び大容量メモリを具備する。大容量メモリは、ＲＯＭ、ＲＡＭ、及び１又は複数のリムーバブルメモリカードを含む。大容量メモリは、基本入出力システム（「ＢＩＯＳ」及びポータブル通信デバイスの動作を制御するためのオペレーティングシステムを含む、複数のコンピュータ可読命令及び他のデータ用のストレージを提供する。また、ポータブル通信デバイスは、デバイスを識別すべく、ＳＩＭカードなどの専用メモリを備え得るデバイス識別メモリを具備する。概して理解されるように、ＳＩＭカードは、デバイス固有の通し番号（ＥＳＮ）、国際的に固有なモバイルユーザ番号（ＩＭＳＩ）、セキュリティ認証情報及び暗号化情報、ローカルネットワークに関連した一時的情報、ユーザがアクセスできる複数のサービスのリスト、及び２つのパスワード（通常使用時のＰＩＮ及びロック解除時のＰＵＫ）を含む。本明細書、複数の図、及び特許請求の範囲を自らの前に有する当業者であれば理解し得るように、デバイスのタイプ、その一次ネットワークタイプ、ホームモバイルネットワーク事業者などに応じて、他の情報がデバイス識別メモリに保持され得る。
【0038】
本発明において、各ポータブル通信デバイスは、２つのサブシステム、すなわち、（１）現在では、携帯電話の複数のユーザには普通になったように、通信及び他のデータアプリケーションを可能にする「無線サブシステム」、（２）「決済サブシステム」としても知られ得る「セキュアトランザクションサブシステム」を有するものと考えられる。このセキュアトランザクションサブシステムは、グローバルプラットフォーム２．１．Ｘ、２．２、又は２．２．Ｘ（ｗｗｗ．ｇｌｏｂａｌｐｌａｔｆｏｒｍ．ｏｒｇ）の一部として説明されるものに（同一でなくても）類似したセキュアエレメントを、好ましくは含むことが考えられる。セキュアエレメントは、業界共通のＰＯＳで用いられる決済カード追跡データを格納する業界共通のやり方に使用される専門の別個の物理的メモリとして実装され、更に、セキュアエレメントに格納されることが可能な他の複数のセキュア認証情報は、社員証の認証情報（企業の出入管理）、ホテル及び他のカードベースのアクセスシステム及び通行認証情報を含む。
【0039】
［モバイルネットワーク事業者］
複数のポータブル通信デバイスのそれぞれは、少なくとも１つのモバイルネットワーク事業者に接続される。モバイルネットワーク事業者は概して、複数の無線通信サービス、データアプリケーション、及びセキュアトランザクションサブシステムをサポートする物理的インフラストラクチャを、各セルタワーの関連セル内の複数のポータブル通信デバイスと通信する複数のセルタワーによって提供する。次に、複数のセルタワーはモバイルネットワーク事業者の論理ネットワーク、ＰＯＴＳ、及びインターネットと動作可能な通信状態になり、複数の通信及びデータを、モバイルネットワーク事業者自身の論理ネットワーク内だけでなく他の複数のモバイルネットワーク事業者のものを含む複数の外部ネットワークにも伝え得る。モバイルネットワーク事業者は、限定されないが、移動通信用グローバルシステム（ＧＳＭ（登録商標））、３Ｇ、４Ｇ、符号分割多重アクセス（ＣＤＭＡ）、時分割多重アクセス（ＴＤＭＡ）、ユーザーデータグラムプロトコル（ＵＤＰ）、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ＳＭＳ，汎用パケット無線サービス（ＧＰＲＳ）、ＷＡＰ、超広帯域無線（ＵＷＢ）、ＩＥＥＥ８０２．１６ワールドワイド・インターオペラビリティ・フォー・マイクロウェーブ・アクセス（ＷｉＭＡＸ）、ＳＩＰ／ＲＴＰ、又は複数のポータブル通信デバイスと通信するための任意の様々な他の無線通信プロトコルを含む、１又は複数の通信プロトコル及び技術に対するサポートを概して提供する。
複数のポータブル通信デバイスのそれぞれは、少なくとも１つのモバイルネットワーク事業者に接続される。モバイルネットワーク事業者は概して、複数の無線通信サービス、データアプリケーション、及びセキュアトランザクションサブシステムをサポートする物理的インフラストラクチャを、各セルタワーの関連セル内の複数のポータブル通信デバイスと通信する複数のセルタワーによって提供する。次に、複数のセルタワーはモバイルネットワーク事業者の論理ネットワーク、ＰＯＴＳ、及びインターネットと動作可能な通信状態になり、複数の通信及びデータを、モバイルネットワーク事業者自身の論理ネットワーク内だけでなく他の複数のモバイルネットワーク事業者のものを含む複数の外部ネットワークにも伝え得る。モバイルネットワーク事業者は、限定されないが、移動通信用グローバルシステム（ＧＳＭ（登録商標））、３Ｇ、４Ｇ、符号分割多重アクセス（ＣＤＭＡ）、時分割多重アクセス（ＴＤＭＡ）、ユーザーデータグラムプロトコル（ＵＤＰ）、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ＳＭＳ，汎用パケット無線サービス（ＧＰＲＳ）、ＷＡＰ、超広帯域無線（ＵＷＢ）、ＩＥＥＥ８０２．１６ワールドワイド・インターオペラビリティ・フォー・マイクロウェーブ・アクセス（ＷｉＭＡＸ）、ＳＩＰ／ＲＴＰ、又は複数のポータブル通信デバイスと通信するための任意の様々な他の無線通信プロトコルを含む、１又は複数の通信プロトコル及び技術に対するサポートを概して提供する。
【0040】
［リテールサブシステム］
現在、複数の小売店における標準は、複数の銀行及び複数の商業サービスプロバイダのデビット、クレジット、プリペイ、ギフト製品の取引処理を可能とする決済システムを接続したインターネットプロトコルである。磁気ストライプ対応カードをＰＯＳ端末の磁気リーダに通すことによって、カードデータはＰＯＳ機器に転送され、発行銀行による資金の確認に用いられる。このＰＯＳ機器は、磁気リーダの代わりにＲＦインタフェースを介して提示される決済カードデータを可能にする複数の非接触カードリーダを付属品として含み始めた。ＩＳＯ１４４４３規格、及び非接触カードデータをカードから送信する、将来的には決済サブシステムを含むモバイルデバイスから送信する、ＰａｙＰａｓｓやＰａｙｗａｖｅのような独自の複数の決済アプリケーションによって、ＲＦインタフェースを通して、データはリーダに転送される。
現在、複数の小売店における標準は、複数の銀行及び複数の商業サービスプロバイダのデビット、クレジット、プリペイ、ギフト製品の取引処理を可能とする決済システムを接続したインターネットプロトコルである。磁気ストライプ対応カードをＰＯＳ端末の磁気リーダに通すことによって、カードデータはＰＯＳ機器に転送され、発行銀行による資金の確認に用いられる。このＰＯＳ機器は、磁気リーダの代わりにＲＦインタフェースを介して提示される決済カードデータを可能にする複数の非接触カードリーダを付属品として含み始めた。ＩＳＯ１４４４３規格、及び非接触カードデータをカードから送信する、将来的には決済サブシステムを含むモバイルデバイスから送信する、ＰａｙＰａｓｓやＰａｙｗａｖｅのような独自の複数の決済アプリケーションによって、ＲＦインタフェースを通して、データはリーダに転送される。
【0041】
小売店のＰＯＳデバイス７５は、無線接続又は有線接続を介してネットワークに接続され得る。このＰＯＳネットワークは、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、ユニバーサルシリアルバス（ＵＳＢ）ポートによってなど直接的接続、他の複数の形式のコンピュータ可読媒体、又はそれらの任意の組合せに加えて、インターネットを含み得る。相互結合された複数のＬＡＮのセット上では、異なる複数のアーキテクチャ及びプロトコルに基づいた複数のＬＡＮが含まれ、ルータは複数のＬＡＮの間でリンクとして機能し、複数のメッセージが、あるＬＡＮから別のＬＡＮに送信されることを可能にする。さらに、複数のＬＡＮ内の複数の通信リンクは、典型的にツイストペア線又は同軸ケーブルを含み、一方、複数のネットワーク間の複数の通信リンクは、アナログ電話線、完全又は部分的な専用デジタル線を利用し得る。専用デジタル線は、Ｔ１、Ｔ２、Ｔ３，及びＴ４、総合デジタル通信網（ＩＳＤＮ）、デジタル加入者線（ＤＳＬ）、衛星リンクを含む無線リンク、又は当業者に知られた他の複数の通信リンクを含む。さらに、複数のリモートコンピュータ、及び他の複数の関連電子デバイスは、モデム及び一時的な電話リンクを介して、ＬＡＮ又はＷＡＮの何れか一方にリモートで接続され得る。基本的に、ＰＯＳネットワークは、決済用のＰＯＳにおいて、同一の金融サービスプロバイダを介して複数の金融取引を検証、認証、及び最終的に捕捉する目的で、複数のＰＯＳデバイスと複数の金融サービスプロバイダとの間を情報が移動することを可能にする任意の通信方法を利用し得る。
【0042】
［セキュアトランザクションサブシステム］
システムはセキュアトランザクションサブシステムを含む。セキュアトランザクションサブシステムは、セキュアエレメント、及び、管理及びプロビジョニングシステムだけでなく、セキュアエレメントに格納されたセキュアデータの使用及び管理用の顧客対応インタフェースと通信するための関連デバイスソフトウェアを含む。好ましくは、セキュアトランザクションサブシステムは、グローバルプラットフォーム２．１．Ｘ又は２．２に規定された規格など、国際的な規格に必要に応じて準拠することになる。
システムはセキュアトランザクションサブシステムを含む。セキュアトランザクションサブシステムは、セキュアエレメント、及び、管理及びプロビジョニングシステムだけでなく、セキュアエレメントに格納されたセキュアデータの使用及び管理用の顧客対応インタフェースと通信するための関連デバイスソフトウェアを含む。好ましくは、セキュアトランザクションサブシステムは、グローバルプラットフォーム２．１．Ｘ又は２．２に規定された規格など、国際的な規格に必要に応じて準拠することになる。
【0043】
［システム管理バックエンド］
システムは、システム管理バックエンドを含む。図１ｂに示されたように、システム管理バックエンド３００は、リテールサブシステム、セキュアトランザクションサブシステム、及び複数のポータブル通信デバイスに、少なくとも１つのモバイルネットワーク事業者のインフラストラクチャを介して、接続される。システム管理バックエンドは、１又は複数のクライアントデバイスと動作可能に通信するサーバを有する。また、サーバはリテールサブシステム、セキュアトランザクションサブシステム、及び１又は複数のポータブル通信デバイスと、動作可能な通信状態にある。また、サーバはリテールサブシステム、セキュアトランザクションサブシステム、及び１又は複数のポータブル通信デバイスと、動作可能な通信状態にある。複数の通信は、データ及び複数の音声チャネルを含む。任意のタイプの音声チャネルが、本発明に関連して用いられ得て、限定されないがＶｏＩＰを含む。
システムは、システム管理バックエンドを含む。図１ｂに示されたように、システム管理バックエンド３００は、リテールサブシステム、セキュアトランザクションサブシステム、及び複数のポータブル通信デバイスに、少なくとも１つのモバイルネットワーク事業者のインフラストラクチャを介して、接続される。システム管理バックエンドは、１又は複数のクライアントデバイスと動作可能に通信するサーバを有する。また、サーバはリテールサブシステム、セキュアトランザクションサブシステム、及び１又は複数のポータブル通信デバイスと、動作可能な通信状態にある。また、サーバはリテールサブシステム、セキュアトランザクションサブシステム、及び１又は複数のポータブル通信デバイスと、動作可能な通信状態にある。複数の通信は、データ及び複数の音声チャネルを含む。任意のタイプの音声チャネルが、本発明に関連して用いられ得て、限定されないがＶｏＩＰを含む。
【0044】
サーバは、同一コンピュータ上、又は複数のコンピュータに分散されたローカル又はワイドエリアネットワークにわたって、順番に又は並行にシステムのバックオフィスを実行するために必要とされる複数の手順及び機能を実装する１又は複数の汎用コンピュータを備え得て、さらに「クラウドに」配置され得る（好ましくは、十分なセキュリティの規定に従うことを条件として）。サーバを備えるコンピュータは、数例を挙げると、Ｌｉｎｕｘ（登録商標）、Ｗｉｎｄｏｗｓ（登録商標）、Ｗｉｎｄｏｗｓ（登録商標）ＣＥ、Ｕｎｉｘ（登録商標）、又はＪａｖａ（登録商標）ベースのオペレーティングシステムによって制御される。システム管理バックエンドサーバは、プログラムコード及びデータを格納する大容量メモリに動作可能に関連付けられる。データは、１又は複数のデータベース、テキスト、スプレッドシート、フォルダ、ファイル、又は同様のものを含み、知識ベース、複数のユーザ識別子（ＥＳＮ、ＩＭＳＩ、ＰＩＮ、電話番号、電子メール／ＩＭアドレス、支払情報、又は同様のもの）を維持し格納するよう構成され得る。
【0045】
システム管理バックエンドサーバは、事例管理システムをサポートして、顧客サービスセンタの複数のクライアントコンピュータにわたるコールトラフィックの接続性及び分散を提供する。ＶｏＩＰ音声チャネルの接続性を用いた望ましいアプローチにおいて、事例管理システムは、カリフォルニア州レッドウッドショアーズのオラクル（Ｏｒａｃｌｅ Ｃｏｒｐ．）によって販売された連絡先／事例管理システムである。他の複数の連絡先／事例管理システムは、カリフォルニア州レッドウッドシティのコンタクチュアル（Ｃｏｎｔａｃｔｕａｌ，Ｉｎｃ．）により入手可能なものなどが用いられてよい。オラクルの事例管理システムは、同時に発生する複数の決済及びセルラー関連の複数のサービス懸念とともに複数のサービス問題を処理する柔軟性も提供する、ＶｏＩＰベースの顧客サービスコールセンタ用の標準的なＣＲＭシステムである。本明細書、複数の図面、及び特許請求の範囲を自らの前に有する当業者であれば理解し得るように、セールフォース（Ｓａｌｅｓｆｏｒｃｅ）（カリフォルニア州サンフランシスコのＳａｌｅｓｆｏｒｃｅ．ｃｏｍ，Ｉｎｃ．）及びノボ（Ｎｏｖｏ）（バージニア州バージニアビーチのＮｏｖｏ Ｓｏｌｕｔｉｏｎｓ，Ｉｎｃ．）など他の複数の事例管理システムが、本発明内で利用され得る。
【0046】
システム管理バックエンドサーバに関連付けられた各クライアントコンピュータは、好ましくは、ネットワークインタフェースデバイス、グラフィカルユーザインタフェース、及び、顧客サービスセンタのサーバによってサポートされた、ＶｏＩＰなど音声チャネルに一致する音声通信能力を有する。各クライアントコンピュータは、ポータブル通信デバイスのセルラー及びセキュアトランザクションサブシステムの両方のステータスを要求することが可能である。このステータスは、ポータブル通信デバイスのソフトメモリ及びコア性能の内容、ＮＦＣの複数の構成要素、すなわち、ベースバンド、ＮＦＣアンテナ、セキュアエレメントステータス及び識別を含む。
【0047】
［連合決済サブシステム］
図２に示されたように、それぞれのポータブル通信デバイス５０は、（例えば、消費者によって選択された）１又は複数のサードパーティアプリケーション２００、（「オープンウォレット」と以下に称される）「オープンアーキテクチャ」の電子ウォレット１００、決済ライブラリ１１０、セキュアエレメント１２０、ＮＦＣベースバンド、決済サブシステム１５０（すなわち、セキュアデータストア１１５及びセキュアエレメント１２０）、及び診断エージェント１７０を含み得る。オープンウォレット１００は、消費者がデバイス５０（好ましくは決済サブシステム１５０）に格納された全ての認証情報（例えば、カード、クーポン、アクセス制御、及びチケットデータ）を参照することを可能にするコンピュータアプリケーションとして、考えられることが可能である。また、オープンウォレット１００は、ポータブル通信デバイスの決済サブシステム１５０に格納された全ての認証情報の発行者を好ましくは追跡し、サードパーティアプリケーションが、決済サブシステムに格納された複数の認証情報を閲覧、選択、及び／又は変更する許可を有するべきか否かを、アプリケーションごとに決定し得る。このように、オープンウォレット１００は、複数の無許可のアプリケーションが、現在アクセスする許可を有していない決済サブシステム１５０に格納されたデータにアクセスすることも防止する。
図２に示されたように、それぞれのポータブル通信デバイス５０は、（例えば、消費者によって選択された）１又は複数のサードパーティアプリケーション２００、（「オープンウォレット」と以下に称される）「オープンアーキテクチャ」の電子ウォレット１００、決済ライブラリ１１０、セキュアエレメント１２０、ＮＦＣベースバンド、決済サブシステム１５０（すなわち、セキュアデータストア１１５及びセキュアエレメント１２０）、及び診断エージェント１７０を含み得る。オープンウォレット１００は、消費者がデバイス５０（好ましくは決済サブシステム１５０）に格納された全ての認証情報（例えば、カード、クーポン、アクセス制御、及びチケットデータ）を参照することを可能にするコンピュータアプリケーションとして、考えられることが可能である。また、オープンウォレット１００は、ポータブル通信デバイスの決済サブシステム１５０に格納された全ての認証情報の発行者を好ましくは追跡し、サードパーティアプリケーションが、決済サブシステムに格納された複数の認証情報を閲覧、選択、及び／又は変更する許可を有するべきか否かを、アプリケーションごとに決定し得る。このように、オープンウォレット１００は、複数の無許可のアプリケーションが、現在アクセスする許可を有していない決済サブシステム１５０に格納されたデータにアクセスすることも防止する。
【0048】
複数の決済ライブラリ１１０は、好ましくはオープンウォレット１００によって用いられ、セキュアエレメント１２０、システム管理バックエンドを有するインタフェースを管理（及びそれらのハウスキーピング処理を実行）し、無線通信を利用した（ＯＴＡ）プロビジョニングを、データ通信送受信器（そのＳＭＳチャネルを含む）を介してデバイス５０上で実行する。ＯＴＡデータ通信は、あるやり方で暗号化され、暗号鍵はカードサービスモジュール４２０で利用されることが考えられる。決済サブシステム１５０は、決済カード、クーポン、アクセス制御、及びチケットデータ（例えば、交通機関、コンサート）などの複数の認証情報を格納するために用いられ得る。これらの決済タイプのいくつかは、別の複数のアプリケーション２００によって、これらのアプリケーションによる使用のために、決済サブシステムに追加され得る。このように、他の複数のサードパーティアプリケーション（不図示）は、決済サブシステム１５０にアクセスすることを妨げられ得る。
【0049】
セキュアデータストア１１５は、ポータブル通信デバイス５０にセキュアストレージを提供する。様々なレベルのセキュリティが、セキュアデータストア１１５のストレージを目的としたデータの性質に応じて提供され得る。例えば、セキュアデータストア１１５は、デバイス５０のオペレーティングシステムレベルで、簡単にパスワード保護され得る。これらのオペレーティングシステムで知られているように、パスワードは、デバイス５０のある場所に格納される単純な英数字又は１６進のコードであり得る。代替的に、セキュアデータストア１１５のデータは、好ましくは暗号化される。しかしながら、セキュアデータストア１１５は、２０１１年１０月２１日に出願され、これによりその全体を参照によって引用された「ポータブル通信デバイス上に仮想セキュアエレメントを提供するシステム及び方法」と題され（本願に係る譲受人によって所有された）同時係属中の米国特許出願第１３／２７９，１４７に開示されたやり方で、仮想セキュアエレメントとして構成される可能性がさらに高い。
【0050】
オープンウォレット１００は、好ましくは、決済サブシステム１５０に関連した１又は複数の、ソース又は発行者からのカード、クーポン、チケット、アクセス制御データなど、複数の認証情報のストレージ、管理、及び使用に関わる複雑性を取り除く。また、オープンウォレット１００は、好ましくは、決済サブシステム１５０に格納されたデータへのアクセス制御、及び各アプリケーションが許す複数の機能を強化する。１つのアプローチにおいて、オープンウォレット１００は、ポータブル通信デバイス５０に格納された各サードパーティアプリケーションの開発者／発行者を検証する。この検証は、認められた（すなわち信頼済み）アプリケーションのローカル認証データベースにアクセスすることによって実現され得る（図６を参照）。このアプローチの下では、知られている発行者ＩＤ及び正しく関連付けられたコンパイルＩＤで署名されたアプリケーションのみが、カードサービスモジュール４２０によって、決済サブシステム１５０及び／又はメタデータレポジトリ１２５（とりわけ、カードイメージデータ及び任意のエンボス加工されたカードデータを格納する）に格納されたデータにアクセスすること、及び／又はそれを処理することを許可される。
【0051】
言い換えれば、アプリケーション２００又はウォレットユーザインタフェース４１０は、決済サブシステム１５０と情報交換する必要があるとき、デジタル識別子（発行者ＩＤ又はアプリケーションＩＤなど）、デジタルトークン（すなわち、コンパイルＩＤ又は秘密トークンＩＤ）、所望のアクション、及びカードサービスモジュール４２０に対するアクションに必要とされる任意の関連引数を送信することによって、情報交換を行う。カードサービスモジュール４２０は、デジタル識別子／デジタルトークンの対が、セキュアデータ表（図６）の信頼済みアプリケーションデータと一致することを検証し、次に、所望のアクションを実行するために必要な１又は複数のコマンドを発行し得る。アプリケーション２００又はウォレットユーザインタフェース４１０によって用いられ得る可能な複数のアクションの中には、以下に関連したものがある。（ａ）ウォレット管理（例えば、ウォレットパスコードの設定／リセット／有効化、ＯＴＡサーバのＵＲＬ取得、無線通信を利用したレジストリプロビジョニング、決済タイミングの設定、決済タイミングの増加、デフォルトカードの設定、発行者のリスト作成、対応認証情報のリスト作成、認証情報の表示順の設定、認証情報のストレージ優先度の設定、カテゴリ／フォルダの作成、認証情報のカテゴリとの関連付け、メモリ検査、認証情報のストレージ用のセキュアエレメント（ＳＥ）の決定、提示の取得、ウォレットステータスの更新）。（ｂ）認証情報管理（例えば、認証情報の追加、認証情報詳細の閲覧、認証情報の削除、認証情報の有効化（リデンプション／決済用）、認証情報の無効化、認証情報の検索、認証情報機能のリスト作成、デフォルト認証情報の設定、認証情報のロック／ロック解除、パスコードアクセスの要求、認証情報イメージの取得、アクセスパスコードの設定）。（ｃ）セキュアエレメント（ＳＥ）管理（例えば、発行者用のセキュリティ領域の作成、鍵のローテーション、アプリケーションのロード、アプリケーションの更新、ウォレットのロック／ロック解除、ＳＥのロック／ロック解除）。（ｄ）パーソナライズ（例えば、認証情報の追加、認証情報の削除、認証情報の停止／停止解除、発行者メタデータ更新の通知、カードメタデータ更新の通知）。
【0052】
図４は、図２の「オープンウォレット」ブロックの更に詳細を示す。示されたように、「オープンウォレット」１００の複数の機能は、複数のカードサービスに密接に結合したユーザインタフェースを提供する単一の専用モジュールに統合可能である。図４に示された別の実施形態において、オープンウォレット１００の複数の能力及び複数の機能は、ウォレットユーザインタフェース４１０とカードサービスモジュール４２０との間で分散され得る。分散型アプローチは、複数のアプリケーションがウォレットユーザインタフェース４１０によって提供されたユーザインタフェースを用いる必要なく、カードサービスモジュール４２０に直接アクセスすることを可能にし得る。カードサービスモジュール４２０は、ポータブル通信デバイス５０の決済サブシステム１５０に格納されたカード、クーポン、アクセス、及びチケットデータ全ての発行者を追跡し、決済サブシステムに格納されたセキュアデータをアプリケーションが閲覧、選択、使用、及び／又は変更するための許可を有するべきか否かを、アプリケーションごとに決定するように構成され得る。ウォレットユーザインタフェース４１０はユーザインタフェースを提供し、それを通じてユーザは、ユーザの複数の認証情報に関連するカードサービスモジュール４２０に関連して、セキュアに格納された情報を登録、プロビジョニング、アクセス、及び／又は使用し得る。ウォレットユーザインタフェース４１０は、カードサービスモジュール４２０から分離されているので、ユーザは複数のサードパーティアプリケーション２００の１つを用いることを選択して、カードサービスモジュール４２０の情報を管理する。図４にさらに示されたように、メタデータ（認証情報ロゴ（例えば、Ａｍｔｒａｋ（登録商標）、ＭａｓｔｅｒＣａｒｄ（登録商標）、ＴｉｃｋｅｔＭａｓｔｅｒ（登録商標）、及びＶｉｓａ（登録商標）など）、及びアフィニティイメージ（例えば、ＡＡ Ａｄｖａｎｔａｇｅ（登録商標）、及びＵｎｉｔｅｄ Ｍｉｌｅａｇｅ Ｐｌｕｓ（登録商標）））は、よりフレンドリーなユーザエクスペリエンスの提供において、複数のサードパーティアプリケーション２００又はウォレットユーザインタフェース４１０による使用のためにメモリ１２５に格納され得る。このメタデータは複数のアプリケーションにわたって共有可能なので、セキュアトランザクションを実行するために必要なストレージは最小化され得る。
【0053】
スマートフォンで利用され得る１つの例示的なウォレットユーザインタフェース４１０の様々なスクリーンショットが、図４Ａ、４Ｂ、４Ｃおよび４Ｄに示される。とりわけ、これらの図は、カードサービスモジュール４２０に関連してセキュアに格納された情報を登録、プロビジョニング、アクセス、及び／又は使用する機能を示す。図４Ａは、ウォレットが、カード、クーポン、チケットなどの様々な認証情報を保持し得ることを示す。図４Ａは、複数のカードがウォレット１００に格納され得ることをさらに示す。図４Ｄに示されたように、図４Ａに示された画面からＶｉｓａ（登録商標）カードを選択するとすぐに、ウォレットユーザインタフェースは、ユーザがセキュアなＮＦＣ決済トランザクションを開始するためのインタフェースを提供する別の画面を開く。また、図示されたように、ユーザインタフェースは、残高、利用可能額の情報を示し得る。
【0054】
［認証情報プロビジョニング］
図５は、システム内の複数の認証情報をプロビジョニングするために利用され得る、１つの例示的なシステムアーキテクチャを示す。示されたように、ユーザのポータブル通信デバイス５０は、セキュアエレメント管理サーバ及び認証情報発行者アダプタサーバと通信するように構成される。セキュアエレメント管理サーバ（あるいは、カードアプリケーション管理システムとして知られ得る）は、ユーザの複数の認証情報を検証するように構成される。例えば、ユーザがクレジットカードに関連した情報をデバイス５０のセキュアエレメント１２０に格納することを望む場合、ユーザはデバイス５０に表示されたユーザインタフェースを介してクレジットカード情報を入力し得る。
図５は、システム内の複数の認証情報をプロビジョニングするために利用され得る、１つの例示的なシステムアーキテクチャを示す。示されたように、ユーザのポータブル通信デバイス５０は、セキュアエレメント管理サーバ及び認証情報発行者アダプタサーバと通信するように構成される。セキュアエレメント管理サーバ（あるいは、カードアプリケーション管理システムとして知られ得る）は、ユーザの複数の認証情報を検証するように構成される。例えば、ユーザがクレジットカードに関連した情報をデバイス５０のセキュアエレメント１２０に格納することを望む場合、ユーザはデバイス５０に表示されたユーザインタフェースを介してクレジットカード情報を入力し得る。
【0055】
ユーザインタフェースは、ウォレットユーザインタフェース４１０、又はオープンウォレット１００に対応した信頼済みサードパーティアプリケーション２００によって生成され得る。一例として、図４Ａ及び４Ｂは、スマートフォンで利用され得る１つの例示的なウォレットユーザインタフェース４１０を用いて、ウォレットへの「チャージイットカード（Ｃｈａｒｇｅ－Ｉｔ Ｃａｒｄ）」のプロビジョニングを示す。どちらのユーザインタフェースにも通底しているが、カードサービスモジュール４２０は、好ましくは特定クレジットカードの最初の６桁（通例、銀行識別番号又はＢＩＮと称される）をセキュアエレメント管理サーバに送信する。次にセキュアエレメント管理サーバはカード発行会社の順守事項を検証し、ユーザのモバイルデバイス５０のオープンウォレット１００（又はカードサービスモジュール４２０）と、適切な認証情報発行者アダプタサーバとの間で、当技術分野において以前から知られたような暗号化されたやり方により、直接的な鍵の交換を容易にする。
【0056】
直接的な鍵の交換に対する様々なアプローチは、限定されないが、Ｇｅｍａｌｔｏ Ｎ．Ｖ．（オランダ、アムステルダム）、Ｇｉｅｓｅｃｋｅ＆Ｄｅｖｒｉｅｎｔ（ドイツ、ミュンヘン）、ＳＫ Ｃ＆Ｃ（韓国）（Ｃｏｒｅｆｉｒｅ）、又はカリフォルニア州サンタクララのＶＩＶＯｔｅｃｈ Ｉｎｃ．（ＶｉＶｏＴｅｃｈ認証情報発行者アダプタサーバ）を含むエンティティから提供される様々な既製のソリューションによって容易になり得る。認証情報発行者アダプタサーバはユーザを認証し、発行者ルールを実行し、次にパーソナライズプロセスを開始する。認証情報発行者アダプタサーバは、好ましくは、ユーザがプロビジョニングしようとしている複数の認証情報の発行者によって運営されたサーバである。認証情報発行者アダプタサーバは、例えば、前もって発行者に提供されたユーザ情報に基づいて、一連の検証の質問を与えることによって、ユーザを検証し得る（図４Ｂを参照）。いったん検証されると、認証情報発行者アダプタサーバは、１６桁の完全なクレジットカード番号を、カードサービスモジュール４２０を介して、セキュアエレメント１２０に送信する。認証情報発行者アダプタサーバは、選択されたクレジットカードの外観やデザインに関連した情報など、メタデータもアプリケーションメモリ１２５に送信し得る。完了すると、認証情報発行者アダプタは、セキュアエレメント管理サーバにトランザクションの完了に関して通知し得る。図４Ｃに示されたように、以下のウォレットユーザインタフェース４１０のプロビジョニングには、ユーザがスマートフォンユーザインタフェースの当技術分野において周知の複数のユーザインタフェース技術を用いて選択し得る、チャージイットカードが含まれる。
【0057】
［サードパーティアプリケーションの検証］
上述したように、アプリケーションが、決済サブシステム１５０に格納されたセキュアデータを閲覧、選択、及び／又は変更するために、ポータブル通信デバイス５０のセキュアエレメント１２０（又は、セキュアデータストア１１５、さらに好ましくはメタデータレポジトリ１２５）へのアクセスを許可される前に、オープンウォレット１００は、任意のサードパーティアプリケーション２００の信頼済みステータスを検証する。上述した１つのアプローチにおいて、この検証は、認められたアプリケーション、又は信頼済みアプリケーションのローカル認証データベースにアクセスすることによって実現され得る。望ましいアプローチにおいて、ローカル認証データベースは、システム管理バックエンド３００と関連付けられた１又は複数のサーバに関連付けられたリモート認証データベースと連携する。
上述したように、アプリケーションが、決済サブシステム１５０に格納されたセキュアデータを閲覧、選択、及び／又は変更するために、ポータブル通信デバイス５０のセキュアエレメント１２０（又は、セキュアデータストア１１５、さらに好ましくはメタデータレポジトリ１２５）へのアクセスを許可される前に、オープンウォレット１００は、任意のサードパーティアプリケーション２００の信頼済みステータスを検証する。上述した１つのアプローチにおいて、この検証は、認められたアプリケーション、又は信頼済みアプリケーションのローカル認証データベースにアクセスすることによって実現され得る。望ましいアプローチにおいて、ローカル認証データベースは、システム管理バックエンド３００と関連付けられた１又は複数のサーバに関連付けられたリモート認証データベースと連携する。
【0058】
図６は、カードサービスモジュール４２０、セキュアエレメント１２０、及び決済サブシステム１５０のセキュリティを高めるための、ローカル及びリモート認証データベースの１つの可能な組合せの１つの可能な実装のブロック図である。図６に示されたように、ユーザＡ／Ｃレジストリ（又は、ユーザアカウントレジストリ）は、サーバに関連付けられ得る（又は、そうでなければクラウドで利用され得る）。ユーザＡ／Ｃレジストリは各ユーザのポータブルデバイス５０に配置されたセキュアエレメント１２０の識別を格納し得る。ユーザアカウントレジストリへの複数の登録は、プロセスの任意の時点で、各ユーザ用に追加され得る。
【0059】
「発行者レジストリ」データベースは、承認された複数の発行者のデータベースである。発行者ＩＤは、各タイプの認証情報にとって固有である。言い換えれば、銀行が複数のタイプの認証情報（例えば、デビットカード、クレジットカード、アフィニティカードなど）を有する場合、各認証情報タイプは独自の発行者ＩＤ（例えば、Ｉ－ＢｏｆＡ－ＩＩ）を有し得る。望ましいアプローチにおいて、発行者ＩＤは複数のタイプの認証情報間で、複数の認証情報が少なくとも関連しているということを示すべく、いくつかの共通要素を有し得る（例えば、Ｉ－ＢｏｆＡ－Ｉ）。こうして、同一発行者の複数のアプリケーションは、同一の「拡大」発行者の他のアプリケーションとデータを共有可能である。望ましいアプローチにおいて、カードサービスモジュール４２０は、（「システムとともに出荷される」）ウォレットユーザインタフェース４１０にさえも発行者ＩＤ（及び、アプリケーションＩＤ及びコンパイルトークン）を有するよう要求することによって、簡略化が可能である。
【0060】
「アプリケーションレジストリ」は、オペレーティングシステムプロバイダによって事前に承認された複数のアプリケーション（主にサードパーティ）のデータベースである。ユーザＡ／Ｃレジストリと同じように、「アプリケーションレジストリ」及び「発行者レジストリ」データベースは、オープンイシュアンスとの動作可能な関連において、サーバ側で（又は、そうでなければ、クラウドで）維持される（図３を参照）。本明細書を自らの前に有する当業者であれば理解し得るように、様々なレジストリが、別個の複数のデータベース又は１つに統合されたデータベースに実装され得る。ウォレット１００の開始において、好ましくはその後実質的に一定の時間間隔において（例えば毎日）、オープンイシュアンスのアプリケーションレジストリに格納されたデータ（図３を参照）は、ローカルに格納されるウォレットを有する複数のデバイスに分散される。
【0061】
図６に示されたように、アプリケーションレジストリは、他の情報の中でもとりわけ、アプリケーションＩＤ（「Ａｐｐ ＩＤ」）発行者ＩＤ、及び、コンパイルＩＤ又はトークンを含み得る。コンパイルＩＤは、特定のアプリケーション２００の資格認定プロセスの間に、オープンイシュアンスと関連付けられた１又は複数のプロセスによって（図３）、各アプリケーション用に生成されたグローバル定数である。コンパイルＩＤが、固有のデバイス５０上の特定のカードサービスモジュール４２０によって生成された後、コンパイルトークンはアプリケーションに含まれる、又はそうでなければアプリケーションに関連付けられる。このコンパイルトークンは、好ましくは、アプリケーションＩＤ、コンパイルＩＤ、発行者ＩＤ、又はそれらのいくつかの組合せなど所定のシードを使用する、デバイスに対してローカルな疑似乱数発生器によって生成される。
【0062】
ユーザが、サードパーティアプリケーションをデバイス５０のカードサービスモジュール４２０で資格認定しようとするとき、サードパーティアプリケーションに関連付けられたコンパイルＩＤ（デジタルトークン）及びアプリケーションＩＤ（デジタル識別子）は、デバイス５０に格納されたカードサービスレジストリに格納されたコンパイルＩＤ及びアプリケーションＩＤの対に一致し得る（図６を参照）。また、本明細書を自らの前に有する当業者が理解すべきように、同一のコンパイルＩＤ及びアプリケーションＩＤの対は、システムに関連付けられた他のデバイス５０にも送信される（又はいくつかの例では、その内部に事前に格納される）。コンパイルＩＤ／アプリケーションＩＤの対がデバイスのカードサービスレジストリに格納された対の１つに一致する場合、（セキュアエレメント１２０と関連付けられ、次に、コンパイルＩＤ／アプリケーションＩＤと関連してデバイス５０のカードサービスレジストリに格納されたものなどの）秘密トークンＩＤは、好ましくは、疑似乱数発生器よってデバイス５０に生成される。いくつかの例において、コンパイルＩＤは、乱数発生器をシードするために事前に選択され、用いられ得る。カードサービスレジストリに関連付けられた他の所定データの１又は複数が、代わりにシードとして事前に選択され得ることは理解されるべきであるである。カードサービスレジストリは、好ましくは、（セキュアエレメント１２０は限定された領域を有するので、セキュアエレメント１２０よりはむしろ）セキュアメモリに格納され、カードサービスレジストリは、好ましくは、標準的な暗号化技術を用いて、さらに暗号化される。また、秘密トークンＩＤは、アプリケーションとともに配布されたコンパイルＩＤの代わりに、デバイス５０のアプリケーション２００に組み込まれる、又はそうでなければそれと関連付けられる。
【0063】
サードパーティアプリケーションがカードサービスレジストリ（及びアプリケーションに組み込まれた秘密トークン）にロードされた後、現在の検証済み（又は信頼済み）アプリケーションに必要とされる（又はそうでなければ、それとともに使用するために求められる）発行者固有の認証情報へのアクセスを提供するために、サードパーティアプリケーションはオプトインを起動し、ユーザにオプトインを促す。サードパーティの信頼済みアプリケーションの続く各起動において、組み込まれた秘密トークン及び／又はアプリケーションＩＤは、デバイスのカードサービスレジストリ内のデータと比較される。一致した場合、アプリケーションは信頼済みであり、カードサービスモジュール４２０を介して決済サブシステム１５０にアクセスすることが可能である。このように、任意のアプリケーション２００又はウォレットユーザインタフェース４１０と関連付けられた秘密トークン及び／又はアプリケーションＩＤはまた、カードサービスレジストリから取り除かれ得て、従って決済サブシステム及び場合によってはアプリケーションへのアクセス全体が無効にされ得ることが、分かり得る。同様に、アプリケーション２００又はウォレットユーザインタフェース４１０が不正な変更を加えられた場合、秘密トークン及び／又はアプリケーションＩＤは無効になる。発行者レジストリ、カードサービスレジストリ、アプリケーションレジストリ、ユーザＡ／Ｃレジストリ、及び後述されるものなどの許可テーブルは、例えばセキュリティアルゴリズム（例えば、高度暗号化標準（ＡＥＳ）アルゴリズム、セキュアハッシュアルゴリズム（ＳＨＡ）、メッセージダイジェスト５（ＭＤ５）アルゴリズム、及び同様のもの）を、入力として１又は複数のパラメータ（例えば、セキュアエレメントＩＤ、パスコードなど）から生成されるハッシュである鍵の値とともに用いてテーブルを暗号化することによって保護され得る。不正アプリケーションがカードサービスレジストリに不正な変更を加える場合、例えば、カードサービスモジュール４２０は変更を検出し、許可テーブルをセキュアエレメント管理サーバから引き出された許可テーブルに置き換え得る。
【0064】
また、カードサービスモジュール４２０は、好ましくは、信頼済みアプリケーションの検証ステップを使用して、各アプリケーション２００に許可される適切なレベルのサブシステムアクセスを決定する。例えば、一実施形態において、１つのアプリケーション２００ａは、決済サブシステム１５０に含まれた全てのデータにアクセスし、それを表示するために認証され得る。ここで、別のサードパーティアプリケーション２００ｘは、決済サブシステム１５０に含まれたデータのサブセットにアクセスし、それを表示するために認証され得るのみである。さらに別の実施形態において、アプリケーションは、決済要求又はトランザクション要求をオープンウォレット１００に送信することのみを許可され得るが、それ自体は決済サブシステム１５０に含まれた任意のデータにアクセスすることは許可されなくてもよい。１つのアプローチにおいて、アプリケーションへの許可の割り当ては、以下のように考えられ得る。
【表1】
【0065】
これらの許可は、以上に示された最上位から最下位の数字の順に、４つの１６進数を形成するために用いられ得る。図６の例示的なカードサービスレジストリに示されたように、Ｉ－ＢｏｆＡ－ＩＩ発行者は、許可レベル１１１１１を有する。これは、０００１ ０００１ ０００１ ０００１ ０００１に展開すると考えられ得る。言い換えれば、Ｉ－ＢｏｆＡ－ＩＩのアプリケーションは、それ自体の認証情報の読み出し、書き込み、削除、有効化／無効化、及びダウンロードが可能であるが、全ての認証情報はもちろんのこと拡張発行者認証情報への上記操作は可能ではない。ＢｏｆＡが別の発行者コード（例えば、Ｉ－ＢｏｆＡ－Ｉ)を有するとすれば、それが拡張発行者アプリケーションということになる。発行者ＩＤ（Ｉ－ＢｏｆＡ－ＩＩ）に関連付けられたアプリケーションの許可レベルが、００１０ ０００１ ０００１ ００１０ ０００１（又は１６進数で２１１２１）に設定された場合、アプリケーションは両方の発行者ＩＤと関連付けられた複数の認証情報の読み出し及び有効化／無効化が可能ということになる。さらに別の例において、ウォレットユーザインタフェース４１０は、４４４４４（すなわち、０１００ ０１００ ０１００ ０１００ ０１００）の許可レベルを与えられ得る。言い換えれば、ウォレットユーザインタフェース４１０は、全ての認証情報の読み出し、書き込み、削除、有効化／無効化、及びダウンロードが可能である。当業者であれば理解し得るように、これらは、アプリケーションに付与され得る可能な許可の複数の例に過ぎず、他の複数の許可も考えられる。例えば、いくつかのアプリケーションは、拡張発行者認証情報を読み出すが、アプリケーション自身の認証情報を書き込み、削除、有効化、及びダウンロードするだけの能力を有しうる（例えば、２１１１１でこれは００１０ ０００１ ０００１ ０００１ ０００１に展開する）。さらに別の例において、アプリケーションは、有効化／無効化及びダウンロードの権利を与えられうるだけである（例えば、００００ ００００ ００００ ０００１ ０００１、又は１６進数で０００１１）。さらに別の例において、アプリケーションは、全ての権利を０に設定することによって、信頼済みアプリケーションデータベース、又はカードサービスレジストリから除去することなく、無効にされ得る。
【0066】
［トラストプロビジョニング］
特定の間隔で、ＣＳＭ４２０の信頼性は確認される必要があり得る。ＣＳＭ４２０は、非一時的コンピュータ可読媒体（例えば、メモリ、ＲＡＭ、ＲＯＭなど）に格納された、例えば、ソフトウェアプログラム、又は他の複数のコンピュータ可読命令であってよい。複数の命令は、デバイス５０の少なくとも１つのプロセッサによって実行されたとき、本明細書に説明された複数の動作をデバイス５０に実行させ得る。例えば、ＣＳＭ４２０がポータブルデバイス５０によって初めて用いられるとき、ＣＳＭ４２０のソフトウェアが更新されるとき、ＣＳＭ４２０の信頼性を前回確認してから所定の時間が経過したとき、デバイス５０に新たにロードされたサードパーティアプリケーション２００ｘがセキュアエレメント１２０に格納されたデータを利用しようと試みるとき、又は、サードパーティアプリケーションがセキュアエレメント１２０に格納されたデータを利用しようと試みるたびに、信頼性は確認され得る。また、トラストプロビジョニングは、複数の不正ＣＳＭ又は不正アプリケーションが、セキュアエレメント１２０に格納された機密情報へのアクセスを取得することを、防止するために用いられ得る。以下に、複数の不正ＣＳＭが説明される。しかしながら、同一の複数のセキュリティ問題も複数の不正アプリケーションに適用される。複数の不正ＣＳＭは、オンライン市場からダウンロードされることを含む、あらゆる場所から取得され得る。また、複数のハッカーは、ＣＳＭ４２０を模倣した複数の不正ＣＳＭを設計し得る。例示的な複数の実施形態は、以下に更に詳細に説明されるように、そのような複数の攻撃を防止し得る。
特定の間隔で、ＣＳＭ４２０の信頼性は確認される必要があり得る。ＣＳＭ４２０は、非一時的コンピュータ可読媒体（例えば、メモリ、ＲＡＭ、ＲＯＭなど）に格納された、例えば、ソフトウェアプログラム、又は他の複数のコンピュータ可読命令であってよい。複数の命令は、デバイス５０の少なくとも１つのプロセッサによって実行されたとき、本明細書に説明された複数の動作をデバイス５０に実行させ得る。例えば、ＣＳＭ４２０がポータブルデバイス５０によって初めて用いられるとき、ＣＳＭ４２０のソフトウェアが更新されるとき、ＣＳＭ４２０の信頼性を前回確認してから所定の時間が経過したとき、デバイス５０に新たにロードされたサードパーティアプリケーション２００ｘがセキュアエレメント１２０に格納されたデータを利用しようと試みるとき、又は、サードパーティアプリケーションがセキュアエレメント１２０に格納されたデータを利用しようと試みるたびに、信頼性は確認され得る。また、トラストプロビジョニングは、複数の不正ＣＳＭ又は不正アプリケーションが、セキュアエレメント１２０に格納された機密情報へのアクセスを取得することを、防止するために用いられ得る。以下に、複数の不正ＣＳＭが説明される。しかしながら、同一の複数のセキュリティ問題も複数の不正アプリケーションに適用される。複数の不正ＣＳＭは、オンライン市場からダウンロードされることを含む、あらゆる場所から取得され得る。また、複数のハッカーは、ＣＳＭ４２０を模倣した複数の不正ＣＳＭを設計し得る。例示的な複数の実施形態は、以下に更に詳細に説明されるように、そのような複数の攻撃を防止し得る。
【0067】
例示的な複数の実施形態に従って、ＣＳＭ４２０及び１又は複数のサードパーティアプリケーションは、セキュアエレメント１２０によって格納されたデータを利用する前に、それぞれ登録プロセスを経て信頼性を確立し得る。データの利用には、データの読み出し、データの削除、新たなデータの書き込み、又はそうでなければ、セキュアエレメント１２０によって格納されたデータ又はそうでなければセキュアトランザクションサブシステムと関連付けられたデータの操作のうち、１又は複数を含み得る。
【0068】
信頼を確立するために、ＣＳＭ４２０はバックエンド管理システム３００のサーバ（図７Ｂ～７Ｃに示された「管理サーバ７８０」）で登録を試み得る。一例において、管理サーバ７８０は少なくとも１つのプロセッサ、及び複数のコンピュータ可読命令を格納する少なくとも１つのメモリ（又は非一時的コンピュータ可読媒体）を含み得る。複数の命令は、実行されたとき、本明細書に説明された複数の機能を管理サーバ７８０に実行させ得る。管理サーバ７８０でＣＳＭ４２０の登録が成功した場合、ＣＳＭ４２０は次に、１又は複数のサードパーティアプリケーションを、管理サーバ７８０を介して登録することを試み得る。いったんサードパーティアプリケーションがＣＳＭ４２０によって問題なく登録されると、ＣＳＭは次に、上述したように、当該サードパーティアプリケーションにセキュアトランザクションサブシステムと関連付けられたデータを利用することを許可し得る。
【0069】
図７Ａ～７Ｃは、例示的な複数の実施形態に従って、ＣＳＭ４２０を登録し、続いて１又は複数のサードパーティアプリケーションを登録するための例示的な通信フローを示す。図７Ａに関連して、図８Ａ～８Ｉは、登録の間及び登録に続いてデバイス５０によってユーザに提示された、複数のグラフィカルユーザインタフェースを示す。要素７０２において、ユーザはポータブル通信デバイス５０にサードパーティアプリケーション２００ｘを起動させ得る。いくつかの例では、サードパーティアプリケーションは、要素７０４において、デバイス５０にユーザへの初期画面を提示させ得る。図８Ａはサードパーティのウォレットアプリケーションの登録の間に提示され得て、フィールド８０２に初期メッセージとフィールド８０４に登録指示とを含む例示的な初期画面を示す。他の複数の例では、サードパーティアプリケーションの代わりに、ＣＳＭ４２０が初期画面を提示し得る。本明細書、複数の図面、及び特許請求の範囲を自らの前に有する当業者であれば理解しうるように、図８Ａ～８Ｉに提示された特定の言語は、本発明の操作を対象とした機能を実現するために用いられ得る複数の機能のタイプ及び／又は言語の例を提供するに過ぎない。
【0070】
要素７０６において、サードパーティアプリケーションは、ＣＳＭ４２０で登録プロセスを開始し得る。例えば、サードパーティアプリケーションはＣＳＭ４２０に利用要求を通信して、登録を開始し得る。（この点については、サードパーティアプリケーションはＣＳＭサービスを用いようとするアプリケーションである必要はない。実際には、このサードパーティアプリケーションは、ポータブル通信デバイスのオペレーティングシステム（又はファームウェアでさえも）のモジュールであってよい。ＣＳＭが、それ自体を、いくつかの所定のイベント又は時間において起動して、最初のトラストプロビジョニングを実現することも可能である）。要素７０８において、ＣＳＭ４２０は、デバイス５０に利用規約（「ＴｏＵ」）をユーザによるこれらの規約の承諾のためにユーザに提示させ得る。図８Ｂは、サードパーティアプリケーションのＴｏＵをフィールド８０６に提示する例示的なグラフィカルユーザインタフェースを示す。ＴｏＵが手動でユーザに承諾された場合、ＣＳＭ４２０は登録プロセスを続け得る。承諾ボタンが示されるが、本明細書、複数の図面、及び特許請求の範囲を自らの前に有する当業者であれば理解し得るように、承諾を示す他の複数の方法が用いられ得て、それは付加的な複数のセキュリティレイヤを提供してもしなくてもよい。
【0071】
要素７１０において、ＣＳＭ４２０は、デバイス５０のデバイス識別子をキャプチャし得る。一例では、デバイス識別子は、電話番号、メディアアクセス制御（ＭＡＣ）アドレス、又はデバイス５０をアドレス指定するために用いられた他の情報（通例、個別デバイスに対して一意的であるが、複数の単一デバイス間で移動可能な可能性がある（例えば、電話番号、ＳＩＭカードなど））であってよい。ＣＳＭ４２０は、ユーザにデバイス識別子を手動で入力するように促し得て、デバイス識別子用のデバイス５０の既知のストレージ場所を尋ね得る、又はデバイス識別子用の管理サーバ７８０を尋ね得る。
【0072】
要素７１２において、ＣＳＭ４２０は、デバイス５０にＣＳＭ登録要求メッセージを管理サーバ７８０に通信させ得る。一例において、ＣＳＭ登録要求メッセージは、デバイス識別子（例えば、電話番号）及びＣＳＭ識別子を含む２進数のショートメッセージサービス（ＳＭＳ）のメッセージを介して、管理サーバ７８０に送信され得る。ＣＳＭ識別子は、ＣＳＭ４２０、及びことによるとＣＳＭの特定のインスタンスさえも識別する固有のコード又は数列であり得る。
【0073】
要素７１４において、管理サーバ７８０は、ＣＳＭ識別子の検証を試み得る。一例として、ＣＳＭ識別子は、デバイス５０の電話番号、ＣＳＭ４２０の最初のコンパイルＩＤ、国際モバイル加入者識別番号（ＩＭＳＩ）、ＣＰＬＣデータ、又はユーザの電子メールアドレスであってよい。別の例において、ＣＳＭ識別子は、２又はそれより多くのタイプのデータの組合せであってよい。例えば、ＣＳＭ４２０の最初のコンパイルＩＤは、限定されないが、ＣＰＬＣデータ、電話番号、及び同様のものなど、デバイス５０の固有の識別子と組み合わされてよい。ＣＳＭ識別子として電子メールアドレスを用いるとき、デバイス５０は、例えば、電子メールアドレスの文字の2進数又は１６進数へのＡＳＣＩＩコード変換を実行し得る。検証プロセスは、ユーザによって入力された、ユーザによって入力されたデータから導き出された、又はそうでなければデバイス５０によって提供されたＣＳＭ識別子が、管理サーバ７８０によって前もって格納されたＣＳＭ識別子と一致することを保証し得る（例えば、入力された電話番号がサーバ７８０によって前もって格納された電話番号と一致することを確認し得る）。検証された場合、管理サーバ７８０は、要素７１６において、デバイス識別子にアドレス指定された登録応答メッセージを通信し得る。一例において、検証コードを含む登録応答メッセージは、2進数のＳＭＳメッセージとして（そのようなメッセージングの標準通信経路を用いて）、特定のデバイスに送信され得る。代替の複数の通信経路が、登録応答メッセージをデバイス５０に戻すために利用され得る。しかしながら、普通はサーバ３００と通信して、何らかの付加的なセキュリティをトラストプロビジョニングプロセスに提供するために、ＣＳＭによって用いられる経路とは別個の経路を用いることが望ましい。電子メール、ＳＭＳ、ＭＭＳ、及び音声のうち１又は複数が、登録応答メッセージをユーザに送信するための別個の複数の経路の例である。また、受信されたメッセージは、ユーザに本人確認するための付加的な情報を提供するよう促し得る。検証コードは、コードが有効である間の時間を示す所定の生存時間を有する、1回使用のコードであり得て、例えば、カウンタ又はタイムスタンプとして実装され得る。
【0074】
要素７１８において、ＣＳＭ４２０は、好ましくは、受信された検証コードをユーザに提示し、要素７２０において、ユーザに検証コードを手動で入力するよう促す。図８Ｃに見られるように、グラフィカルユーザインタフェースは、受信された検証コードを表示するフィールド８０８、及びユーザが、例えばポータブルデバイス５０のキーパッドを用いて、検証コードを手動で入力するフィールド８１０を含み得る。ユーザがコードを入力する前に、検証コードに設定された所定の生存時間が終了した場合、要素７１０～７１６が繰り返されて、別の検証コードを取得し得る。（そうでなければ、生存する検証コードがなく、最初のトラストプロビジョニングは失敗する）。要素７２２において、ＣＳＭ４２０は受信された検証コードが、手動で入力された検証コードと一致することを検証し得る。問題なく検証された場合、ＣＳＭ４２０は認証プロセスを開始して、サードパーティアプリケーションを使用しようとするその後の複数の試みの間に、ユーザを認証するための情報をユーザに促し得る。この認証プロセスは、標準の複数の本人確認質問を含み得る。しかしながら、他の可能な認証の複数の試みが代替的に、又はこれらの標準の質問に加えて用いられ得る。
【0075】
要素７２４において、ＣＳＭ４２０は、認証情報選択肢要求を管理サーバ７８０に通信し得る。管理サーバ７８０は、要素７２６において、ユーザがユーザ認証における使用のために選択し得る複数の可視認証情報を含む、認証情報選択肢応答メッセージを返信し得る。他の複数の例において、複数の可視認証情報は、セキュアエレメント１２０及び／又はセキュアデータストア１１５によって、ローカルに格納され得る。可視認証情報は、本人確認の付加的なレイヤを提供して、ユーザが機密情報を不正ＣＳＭに無意識に入力することを防止するよう意図されている。不正ＣＳＭがＣＳＭ４２０を模倣しようと試みる場合（しかもユーザに認証情報を入力するよう促すユーザインタフェースを提供して）、不正ＣＳＭは、どんな可視認証情報をユーザが前もって選択したかを確実に判断することは不可能であり、従って、ＣＳＭ登録の間に、ユーザの特に選択された可視認証情報をユーザに提示する可能性は低い。ＣＳＭが正しい可視認証情報を提示しなかったことが分かるとすぐに、ユーザは間違った可視認証情報が提示されたことを認知し、次に、不正ＣＳＭによって提示されたユーザインタフェースに認証情報を入力しないことを決定し得る。
【0076】
要素７２８において、ＣＳＭ４２０は、特定の１つを手動で選択するために、複数の可視認証情報をユーザに提示し得る。ユーザが選択した特定の可視認証情報は、デバイス５０上のセキュアデータストア１１５にローカルに保存され、さらに符号化され得る。別のアプローチにおいて、特に選択された認証情報は、符号化された態様で、デバイス５０にローカルに保存され得る。図８Ｄに示されたように、グラフィカルユーザインタフェースは、例えば、ユーザが複数の認証情報のうち所望の１つを選択することを可能とする、４つの異なる可視認証情報選択肢８１１、８１２、８１４及び８１６を提示し得る。もちろん、本明細書を自らの前に有する当業者であれば理解し得るように、４つより多くの可視認証情報選択肢が提供されて、ユーザによって選択された可視認証情報をランダムに識別することに対して、より高い障壁を提供し得る。変動性を追加する別のアプローチは、ユーザが可視認証情報の何か全体的な態様（色、向き、フレーム、イメージのトリミングなど）を変更することを可能にすることによって、及び／又は、テキスト文字列を可視認証情報に関連付けることによって、提供され得る。本明細書、複数の図面、及び特許請求の範囲を自らの前に有する当業者であれば理解し得るように、音声要素も同様に認証情報パッケージに追加されて、代替又は付加的なセキュリティを提供し得ることが理解されるであろう。この追加された変動性の何れか又は全てによって、ユーザによって選択された可視認証情報を不正ＣＳＭが正しく推測する困難さは著しく増し、従って、セキュリティをさらに改善し得る。
【0077】
要素７３０において、ユーザはパスコードを作成し得る（図８Ｅ～８Ｆを参照）。パスコードは、ユーザによって作成された数字の列、コードの列、又は他の英数字の列であってよい。パスコードは、サードパーティアプリケーションを用いようとするその後の複数の試みの間で、ユーザを認証するために用いられ得る。図８Ｅに見られるように、グラフィカルユーザインタフェースは、ユーザがパスコードをフィールド８１８に入力し、入力されたパスコードをフィールド８２０に繰り返すよう促し得る。ＣＳＭ４２０は、フィールド８１８及び８２０に入力されたパスコードが一致することを確認し得る。パスコードが一致しない場合、ＣＳＭ４２０は、一致が確認されるまで、または試行回数に関する何らかの制限に達するまで、ユーザがパスコードを再入力するよう促し得る。
【0078】
要素７３２において、ＣＳＭ４２０は、ユーザにより選択された可視認証情報及びパスコードを、ユーザがユーザ認証を提供する複数の認証情報として登録し得る。パスコードを保護するために、ＣＳＭ４２０は、例えば、デバイス５０にパスコードをセキュアデータストア１１５に格納させ得る。望ましいアプローチにおいて、パスコードは、カード製造ライフサイクル（ＣＰＬＣ）データに基づいて生成されたトリプルデータ暗号化アルゴリズム（ＴＤＥＳ）鍵によって暗号化されて、揮発性メモリに格納され得る。他の複数の暗号化アルゴリズム、及びそのようなアルゴリズムへのデータ入力も用いられ得る。ＣＰＬＣデータは、一意的に識別するデータであり得て、好ましくはセキュアエレメント１２０内に格納される。 ＣＰＬＣデータは、例えば、セキュアエレメントの製造日、製造業者、及び固有の通し番号を含み得る。いくつかの例において、ＣＰＬＣデータの構成及び形式は、製造業者の間、又は製品タイプの間で変わり得る。セキュアエレメント１２０は、ＳＨＡ、ＭＤ５アルゴリズム、ＡＥＳアルゴリズム、及び同様のものを用いて、ＣＰＬＣデータを保護し得る。パスコードを引き出そうとする試みにおいて、窃盗犯が盗んだデバイス５０のフォームファクタに不正な変更を加えた場合、揮発性メモリはパスコードを消去し得る。
【0079】
要素７３４において、ＣＳＭ４２０は、選択された可視認証情報、パスコード、セキュアエレメント１２０のセキュアエレメント識別子を含む認証情報登録メッセージを管理サーバ７８０に通信し得る。いくつかの例において、ＣＳＭ４２０は、ポータブルデバイス５０と管理サーバ７８０との間で、セキュア通信プロトコル（例えば、ハイパーテキスト転送プロトコルセキュア（ＨＴＴＰＳ））を用いて、通信セッションを開始し得る。本明細書に説明された任意の通信は、セキュア通信プロトコルを用いて暗号化され得ることは、注目される。
【0080】
要素７３６において、管理サーバ７８０はセキュアエレメント識別子を検証し、選択された可視認証情報及びパスコードを、その後のユーザ認証用の登録テーブルに格納し得る。一例において、登録テーブルは、セキュアエレメント１２０のセキュアエレメント識別子（及び／又は他のＣＰＬＣデータ）でシードされた高度暗号化標準（ＡＥＳ）アルゴリズムによって、保護され得る。登録テーブルは、ＣＰＬＣデータ及びセキュアエレメント１２０に関する他の情報も格納し得る。ユーザがその後、サードパーティアプリケーションを用いようと試みるとき、デバイス５０は、選択された可視認証情報をユーザに提示するために引き出し得る。デバイス５０は、管理サーバ７８０によるその後のユーザ認証のために、選択された可視認証情報及びパスコードを通信し得る。
【0081】
セキュアエレメント識別子の検証の一部として、管理サーバ７８０は、例えば、検証コード及びセキュアエレメント識別子に基づいて、トークンを生成し得る。トークンは、コードが有効である間の時間を示す所定の生存時間を有する。所定の生存時間が終了した後、デバイス５０はさらにトークンを要求し得る。
【0082】
いくつかの例において、トークンは、ＯＡｕｔｈ２．０認証フレームワーク仕様、インターネットエンジニアリングタスクフォース（ＩＥＴＦ）、その内容が全体を参照によって本明細書に引用される２０１２年１０月のリクエストフォーコメンツ（ＲＦＣ）６７４９に従って、作成された、又はそうでなければ発行されたアクセストークンであってよい。例えば、ＯＡｕｔｈ２．０は、複数のエンドポイント（例えば、ＣＳＭ４２０及びバックエンド管理システム３００）を認証し、例えば様々なタイプの攻撃（例えば、中間者攻撃、認証情報推測攻撃、フィッシング攻撃など）から保護するために用いられ得る。アプレット又はサードパーティアプリケーションは、トークンを使用して、管理サーバに通信される複数のメッセージを暗号化し得る。
【0083】
トークンは、所望のセキュリティレベルに応じて、２者間認証アプローチ又は３者間認証アプローチにおいて生成され得る。３者間認証アプローチは、ＣＳＭ４２０が別個の複数のサーバと通信してトークンを取得するということに起因して、２者間認証アプローチのように単一サーバと通信してトークンを取得するよりセキュアであり得る。３者間認証アプローチは、例えば、中間者攻撃の実行をより困難にさせ得る。
【0084】
図７Ｂは、例示的な複数の実施形態に従って、トークンを生成する２者間認証アプローチの例を示す。図示されたように、管理サーバ７８０は、トークン（例えば、ＯＡｕｔｈトークン）を生成するハードウェア、ソフトウェア、又はそれらの組合せであってよい、トークンエンジン７８２を具備しうる。管理サーバ７８０は、トークンエンジン７８２を使用して、新たなトークンを生成し、それをネットワーク又は直接的リンクを介してＣＳＭ４２０に通信し得る。また、管理サーバ７８０は、トークンエンジン７８２を使用して、ＣＳＭ４２０から受信された前もって生成されたトークンを認証し得る。いくつかの例において、トークンは、好ましくは、コードが有効である間の時間を示す所定の生存時間を有する。所定の生存時間の後、デバイス５０はさらにトークンを要求し得る。
【0085】
３者間認証アプローチも、トークンを生成するために用いられ得る。図７Ｃは、例示的な複数の実施形態に従った、トークンを生成する３者間認証アプローチの例を示す。図示されたように、管理サーバ７８０、トークンサーバ７８４、及びＣＳＭ４２０は、リンク又はネットワークを介して通信可能に結合され得る。トークンサーバ７８４は、上述したトークンエンジン７８２の機能を含み、論理的に及び／又は物理的に管理サーバ７８０から分離され得る。例えば、管理サーバ７８０は別個のハードウェアであってよく、トークンサーバ７８４と異なる位置に配置されてよい。異なる位置とは、異なる物理的な位置、及び／又は異なるネットワークの位置であってよい。例えば、管理サーバ７８０は、カリフォルニア州フォスターシティに配置されてよく、トークンサーバ７８４は、カリフォルニア州サンフランシスコに配置されてよい。別の例において、管理サーバ７８０及びトークンサーバ７８４は、共通の地理的な位置に配置され得るが、固有のネットワークアドレス（例えば、固有のＩＰアドレス）を有してよい。
【0086】
３者間認証アプローチにおいてトークンを要求するために、ＣＳＭ４２０は、認証情報登録メッセージを管理サーバ７８０に通信し得る。管理サーバ７８０は、トークンサーバ７８４のネットワークアドレス（例えば、リンク、ＵＲＬ（ｕｎｉｆｏｒｍ ｒｅｓｏｕｒｃｅ ｌｏｃａｔｏｒ）など）でＣＳＭ４２０に応答し得る。ＣＳＭ４２０は、認証情報登録メッセージをトークンサーバ７８４に転送し得る。トークンサーバ７８４は、認証情報登録メッセージに基づいてＣＳＭ４２０を認証しようと試み得る。問題ない場合、トークンサーバ７８４は、トークンを生成し、それをＣＳＭ４２０に通信し得る。
【0087】
トークンの生成にどのアプローチが用いられるかに関わらず、ＣＳＭ４２０は認証目的のために、その後の管理サーバ７８０に対する複数の通信にトークンを含み得る。２者間認証アプローチにおいて、管理サーバ７８０は、トークンエンジン７８２に、トークンを処理して、ＣＳＭ４２０から受信したメッセージを認証するように命令し得る。３者間認証アプローチにおいて、管理サーバ７８０は、トークンを認証するために、トークンをトークンサーバ７８４に転送し得る。トークンサーバ７８４は、管理サーバ７８０に返信し、トークンが現在有効であるか否かを示し得る。
【0088】
図７Ａを再度参照すると、トークンの作成に成功することで、ＣＳＭ４２０の登録は完了し得る。要素７３８において、管理サーバ７８０はＣＳＭ登録メッセージ完了をＣＳＭ４２０に送信し、登録が成功したことを確認し得る。問題がある場合、ＣＳＭ登録メッセージは、登録が失敗したことを示す応答メッセージであり得る。ＣＳＭ４２０は、前述の複数の要素を少なくとも所定数の追加回数繰り返すことによって、登録しようと試み得る。要素７４０において、ＣＳＭ４２０は、セキュアエレメント１２０を初期化し得る。初期化段階は、初期化メッセージを管理サーバ７８０に通信するＣＳＭ４２０を備え得る。要素７４２において、管理サーバ７８０は、セキュリティセッション初期化メッセージを、ＣＳＭ４２０を介してセキュアエレメント１２０に通信し得る。一例において、セキュリティセッションは、グローバルプラットフォーム技術仕様書（例えば、２．１．Ｘ、２．２、２．２．Ｘなど）に従うものであってよい。
【0089】
当業者であれば理解し得るように、セキュアエレメント１２０は、製造時に格納され、管理サーバ７８０にも知られている少なくとも１つの暗号鍵を含む。暗号鍵は、セキュアエレメント１２０のＣＰＬＣデータに基づいたものであってよく、従って、セキュアエレメント１２０に固有のものであり得る。管理サーバ７８０は、セキュリティセッション初期化メッセージを暗号鍵で暗号化し得て、セキュアエレメント１２０は、暗号鍵を使用してセキュリティセッション初期化メッセージを解読し得る。要素７４４において、管理サーバ７８０は、ＣＳＭ４２０を介してセキュアエレメント１２０に、１又は複数の暗号鍵をローテーションするよう命令し得る。ローテーションは、セキュアエレメント１２０によってデータを暗号化するために用いられる（例えば、管理サーバ７８０、及び／又は、ＰＯＳ又はアクセスデバイスに、ＲＦ又はＮＦＣベースバンドを介して送信される複数の通信を暗号化するための）暗号鍵を変化させるプロセスを指し得る。一例において、セキュアエレメント１２０は、セキュアエレメントＩＤ、ＣＰＬＣデータ、及び管理サーバ７８０によってセキュリティセッション初期化メッセージに提供されたデータの機能である、新たな暗号鍵を生成し得る。例えば、セキュアエレメント１２０は、セキュアエレメントＩＤ、ＣＰＬＣデータ、及び受信されたデータを組み合わせて、乱数発生器のシードを形成し得る。セキュアエレメントＩＤの代わりに、又はそれに加えて、複数のシードは、ＣＳＭ４２０のアプリケーションＩＤ、ＣＳＭ４２０のコンパイルＩＤ、デバイス５０と関連付けられた電話番号、特定のデバイス５０と関連付けられたＭＡＣアドレス（又は何か他の固有コード）、時刻情報、多項式（ｐｏｌｙｎｏｍｉａｌ）、及び同様のもののうち１又は複数の機能でもあり得る。
【0090】
セキュアエレメント１２０は、シードを用いて乱数発生器によって生成された出力を、新たな暗号鍵として格納し得る。セキュアエレメント１２０が複数の暗号鍵を有する場合、異なる複数のシードがそれぞれの鍵を生成するために用いられ得る。代替的に、同一のシードが、異なる疑似乱数発生器で用いられ得る。前もって完了した複数の疑似乱数計算の１又は複数の結果を、その後の疑似乱数発生のシードとして使用することも可能であり得る。
【0091】
複数の鍵をローテーションすることによって、管理サーバ７８０は、ＣＳＭ４２０を介して、それぞれのセキュアエレメント１２０によって用いられる１又は複数の暗号鍵を管理する。しかしながら、有利には、暗号鍵を用い、それをセキュアエレメント１２０に格納することによって、デバイス５０がルート化された（すなわち、デバイス又はオペレーティングシステムのレイヤの１又は複数において乗っ取られた）としても、データを暗号化するために用いられた暗号鍵は、セキュアエレメント１２０内に保護された状態のままである。 代替的に、セキュアデータストアの他の領域は、セキュアエレメント１２０によって提供されるより僅かに低いセキュリティを提供し得るという理解のもとに、複数の暗号鍵の１又は複数は、セキュアエレメント１２０の外部、セキュアデータストア１１５内の他の箇所に格納され得ると考えられる。
【0092】
さらに、それぞれの生成された暗号鍵は、設定された生存期間を有し、非アクティブタイマ（例えば、ウォッチドッグタイマ）と関連付けられ得る。非アクティブタイマは特定期間であり得て、暗号鍵の使用を要求する操作（例えば、以下に更に詳細に説明されるような管理機能）をユーザが実行するたびにリセットされ得る。設定された生存期間及び非アクティブタイマの、継続期間は、複数のビジネスルールに基づき得る。設定された生存期間内で過度の鍵のローテーションを回避するために、ＣＳＭ４２０は、非アクティブが終了しない限り同一の暗号鍵を使用し得る。設定された生存期間が終了するか、又は非アクティブタイマが終了するかのどちらか一方である場合、ＣＳＭ４２０は、暗号鍵のローテーションを要求し得る。いくつかの例において、ＣＳＭ４２０は、ビジネスルールで認められた場合を除いて、鍵のローテーションの前に、ユーザが任意のトランザクションを実行することを制限し得る。
【0093】
鍵のローテーションは、不正ＣＳＭに対して、疑似暗号鍵で、ユーザに承認されていない複数のトランザクションの実行からの保護を強化するよう意図されている。疑似暗号鍵は、乱数発生器によって発生する暗号鍵と異なってよい。なぜなら、これらは同一プロセスを使用して作成されなかったからである（例えば、不正ＣＳＭはセキュアエレメント１２０のＣＰＬＣデータを知り得ない）。有利には、不正ＣＳＭは、データをセキュアエレメント１２０と同一の態様に暗号化することが不可能であり、従って、管理サーバ７８０は、不正ＣＳＭによって要求された複数のトランザクションを承認しない。
【0094】
図７Ａに戻ると、要素７４６において、管理サーバ７８０は、１又は複数のアプレットをセキュアエレメント１２０にＣＳＭ４２０を介してロードし得る。他の複数のプログラムの中で、特にこれらのアプレットはカードエミュレーション、及びセキュアエレメントを管理する他の複数のプログラムを含み得る。要素７４８において、管理サーバ７８０は、 事前パーソナライズ完了メッセージをＣＳＭ４２０に通信し得る。要素７５０において、ＣＳＭ４２０は、ユーザによって入力されたパスコードをセキュアエレメント１２０に格納し、セキュアデータストア１１５からパスコードを削除し得る。セキュアエレメント１２０のパスコードのストレージは、２０１２年４月１６日に出願された「サードパーティアプリケーションへのアクセスをセキュアエレメントに格納されたパスワードで制御するシステム及び方法」という名称で、その内容が全体を参照によって本明細書に引用される米国特許第１３／４４７，４８９号に説明されたパスワード管理システムによって、複数のパスワードが管理される態様に従ったものであり得る。ＣＳＭ４２０は、パスコードが保存されたことを、ユーザに通知するグラフィカルユーザインタフェースを提示し得る（図８Ｇを参照）。
【0095】
要素７５２において、ＣＳＭ４２０は、セキュアエレメント初期化というトランザクションの終了（ＥＯＴ）を実行し、その中にパスコードを格納し得る。ＣＳＭ４２０は、トランザクションが完了して全ての関係者が検査、報告、トラッキングの目的のために情報を保存することが可能であることを、システムの全ての関係者に通知し得る。要素７５４において、ＣＳＭ４２０は、登録されるサードパーティアプリケーションの識別子を含むアプリケーション登録メッセージを、管理サーバ７８０に通信し得る。要素７５６において、管理サーバ７８０はサードパーティアプリケーションを、そのアプリケーションＩＤ及び図６を参照して、上述したような他の情報を用いて、検証しようと試み得る。
【0096】
（図７Ａの要素７５８によって示された）様々な時点において、管理サーバ７８０は、セキュアエレメント１２０にそのトークンの１又は複数をローテーションするよう命令し得る。上述したように、セキュアエレメント１２０は、登録の間にトークンを受信し、アプレット／サードパーティアプリケーションはトークンを使用して、管理サーバ７８０に通信される複数のメッセージを暗号化し得る。管理サーバ７８０は、アプレット及び／又はサードパーティアプリケーションによる使用のために、新たなトークンをＣＳＭ４２０に通信することによってトークンをローテーションし得る。ローテーションされたトークンのプレーンテキストを格納するのとは対照的に、いくつかの例において、ローテーションされたトークンのハッシュが格納され得る。ローテーションされたトークンは、生存期間の値（例えば、３５秒、１分、１日など）を有し得る。更に、ローテーションされたトークンは、特定の複数の時点において（例えば、ユーザがセキュアエレメント管理機能を実行するたびに）、置換され得る。例えば、ユーザは、（ａ）カードの追加、（ｂ）カードの削除、（ｃ）パスコードの変更、（ｄ）ウォレットの消去、及び（ｅ）カードの管理を含む、特定のセキュアエレメント管理機能を実行するとき、パスコードを入力するよう促され得る。いくつかの例において、パスコードの管理は、新たなトークンの受信を伴わなくてよい。要素７６０において、セキュアエレメント１２０は、トークンがローテーションされたことを、ＣＳＭ４２０に通知し得る。
【0097】
要素７６２において、管理サーバ７８０は、サードパーティアプリケーションの登録が完了したことを、セキュアエレメント１２０に通知し得る。図８Ｈは、登録プロセスの特定の複数の段階が完了したときに、ユーザに通知する例示的なグラフィカルユーザインタフェースを示す。
【0098】
要素７６４において、セキュアエレメント１２０は、サードパーティアプリケーションの登録が完了したことを、ＣＳＭ４２０に通知し得る。図８Ｈに見られるように、サードパーティのウォレットアプリケーションが検証され、構成されて、ウォレットアプリケーションの登録が完了するにつれて、グラフィカルユーザインタフェースは、フィールド８２２においてユーザに最新情報を提供し得る。登録がいったん完了すると、ユーザはフィールド８２４を選択してカードを追加し得る、又はフィールド８２６を選択して複数の提示をチェックし得る。追加されたカードは、例えば、クレジットカード、チャージカード、又は同様のものであってよい。複数の提示は、複数の製品、サービス、又は同様のものの提示を含んでよい。
【0099】
登録後にサードパーティアプリケーションを用いようとするその後の複数の試みにおいて、ＣＳＭ４２０は、登録プロセスの間にユーザによって選択された認証情報を、管理サーバ７８０から引き出し、ユーザにパスコードを入力するよう促し得る。図８Ｉに見られるように、グラフィカルユーザインタフェースは、引き出され認証情報をフィールド８２８に表示し、パスコードをフィールド８３０に入力するようユーザを促し得る。表示された認証情報が、登録の間にユーザによって選択されたものと一致しないと、ユーザが判断する場合、これは、ＣＳＭ４２０の信頼性が危険な状態になっている可能性があることをユーザに示し得る。その場合、ユーザは、パスコードを提供しないことを選択してよい。表示された認証情報が、登録の間にユーザによって選択されたものと一致する場合、ユーザは、登録の間に作成したパスコードを入力してよい。その場合、要素７５２～７６４を参照して上述したように、ＣＳＭ４２０は続けてサードパーティアプリケーションを登録し得る。次に、サードパーティアプリケーションはトークンを使用して、管理サーバ７８０と通信し、トランザクションを実行する。ＣＳＭ４２０も、例えば、前回のＣＳＭ４２０の登録完了に応じて、上記の登録プロセスを経る必要があり得る。いくつかの例において、ユーザは、それぞれのサードパーティアプリケーションを検証するために、固有の認証情報／パスコードの対を作成し得る。他の複数の例において、ユーザは、あらゆるサードパーティアプリケーションを含む、２又はそれより多くのサードパーティアプリケーションを検証するために用いることが可能な、認証情報／パスコードの対を作成し得る。
【0100】
有利には、例示的な複数の実施形態は、ＣＳＭ４２０の暗号鍵が危険な状態になっている場合に、システミックリスクを回避し得る。どれほどセキュリティをかけても克服できないが、上述した複数の例は、少なくとも個別デバイス５０、セキュアエレメント１２０、ＣＳＭ４２０、及び管理サーバ７８０において、セキュリティを提供する。 暗号鍵が危険な状態になっている場合、リスクは単一のデバイス５０に抑制され得る。なぜなら、暗号鍵は、関連セキュアエレメント１２０ｍに固有のＣＰＬＣデータに基づいて生成されるからである。別の態様としては、不正ＣＳＭ４２０は、危険な状態になっている暗号鍵を任意の他のセキュアエレメント１２０ｎとともに使用することが不可能である。なぜなら、他のセキュアエレメント１２０ｎのＣＰＬＣデータは、定義（及び設計）によって、セキュアエレメント１２０ｍのＣＰＬＣデータと異なるからである。それでも、それぞれの場合において、セキュアエレメント１２０ｍ及び１２０ｎの両方のＣＰＬＣデータは、管理サーバ７８０に格納される。従って、暗号鍵は関連セキュアエレメント１２０によって用いられ得るだけであり、それ以外には用いられない。暗号鍵が危険な状態になっている場合、暗号鍵とセキュアエレメント１２０との間の、この１対１対応は、システミックリスクを回避するのに有利である。
【0101】
前述の説明及び複数の図面は、本発明を説明及び例示するに過ぎず、本発明はそれに限定されない。本明細書は、特定の実装又は複数の実施形態に関連して説明される一方で、多くの詳細が例示の目的で記載される。従って、前述の事項は本発明の原則を示すに過ぎない。例えば、本発明は、本発明の主旨又は本質的特徴から逸脱することなく、他の特定の複数の形式を有し得る。説明された複数の配置は例示的なものであり、限定的なものではない。当業者には、本発明が付加的な複数の実装又は実施形態の影響を受けやすく、本出願に説明されたこれらの詳細のいくつかは、本発明の基本原則から逸脱することなく相当に変わり得る。従って、当業者は、本明細書に明示的に説明又は示されないが、本発明の原則を具体化し、従って本発明の範囲内及び主旨内にある様々な配置を考案することが可能であると理解される。
［項目１］
デバイスによって実装された第１のソフトウェアアプリケーションによって、前記デバイスと関連付けられたセキュアエレメントによって格納されたデータを利用するよう要求する利用要求を処理する段階と、
前記利用要求の処理に応答して、前記デバイスによって管理サーバに、前記第１のソフトウェアアプリケーションを前記管理サーバに登録するための登録要求メッセージを通信する段階と、
前記登録要求メッセージへの返信として、検証コードを前記管理サーバから受信する段階と、
受信された前記検証コードが、第２の検証コードと一致することを検証する段階と、
検証の成功に続いて、前記セキュアエレメントのパスコード及び識別子を前記管理サーバに通信する段階と、
前記パスコード及び前記セキュアエレメントの識別子の通信に応答して、前記管理サーバから、前記第１のソフトウェアアプリケーションの登録が成功したか否かを特定する応答を受信する段階とを備える方法。
［項目２］
前記登録要求メッセージは前記デバイスの識別子を有する、項目１に記載の方法。
［項目３］
前記登録要求メッセージは、２進数のショートメッセージサービスメッセージである、項目１又は２に記載の方法。
［項目４］
前記検証コードは所定の時間の間だけ有効である、項目１から３の何れか一項に記載の方法。
［項目５］
認証情報選択肢要求を前記管理サーバに通信する段階と、
複数の認証情報選択肢を提示する段階と、
前記複数の認証情報選択肢から特定の認証情報の選択を受信する段階とをさらに備える、項目１から４の何れか一項に記載の方法。
［項目６］
前記複数の認証情報選択肢のそれぞれはイメージである、項目５に記載の方法。
［項目７］
前記特定の認証情報を前記管理サーバに通信する段階をさらに備える、項目５に記載の方法。
［項目８］
前記パスコードを暗号化する段階と、
暗号化された前記パスコードを前記デバイスの揮発性メモリに格納する段階とをさらに備える、項目１から７の何れか一項に記載の方法。
［項目９］
前記第１のソフトウェアアプリケーションは、前記セキュアエレメントによって格納されたデータを利用するよう要求するサードパーティソフトウェアアプリケーションである、項目１から８の何れか一項に記載の方法。
［項目１０］
前記サードパーティソフトウェアアプリケーションを検証するために、前記サードパーティソフトウェアアプリケーションの識別子を前記管理サーバに通信する段階をさらに備える、項目９に記載の方法。
［項目１１］
前記第１のソフトウェアアプリケーションは、前記セキュアエレメントに格納されたデータへのアクセスの要求、前記セキュアエレメントに格納されたデータの変更、及び前記セキュアエレメントのストレージへのデータの書き込みのうち少なくとも１つを行う、項目１０に記載の方法。
［項目１２］
少なくとも１つのプロセッサと、
複数のコンピュータ可読命令を格納する少なくとも１つのメモリとを備える装置であって、
前記複数のコンピュータ可読命令は、前記少なくとも１つのプロセッサによって実行されたとき、前記装置に少なくとも、
前記装置と関連付けられたセキュアエレメントによって格納されたデータを利用するよう要求する利用要求を、第１のソフトウェアアプリケーションによって処理する手順と、
前記利用要求の処理に応答して、管理サーバに、前記第１のソフトウェアアプリケーションを前記管理サーバに登録するための登録要求メッセージを通信する手順と、
前記登録要求メッセージへの返信として、検証コードを前記管理サーバから受信する手順と、
受信された前記検証コードが、第２の検証コードと一致することを検証する手順と、
検証の成功に続いて、前記セキュアエレメントのパスコード及び識別子を前記管理サーバに通信する手順と、
前記パスコード及び前記セキュアエレメントの識別子の通信に応答して、前記管理サーバから、前記第１のソフトウェアアプリケーションの登録が成功したか否かを特定する応答を受信する手順とを実行させる装置。
［項目１３］
前記複数のコンピュータ可読命令は、前記少なくとも１つのプロセッサによって実行されたとき、前記装置に、
認証情報選択肢要求を前記管理サーバに通信する手順と、
複数の認証情報選択肢を提示する手順と、
前記複数の認証情報選択肢から特定の認証情報の選択を受信する手順とをさらに実行させる、項目１２に記載の装置。
［項目１４］
前記複数のコンピュータ可読命令は、前記少なくとも１つのプロセッサによって実行されたとき、前記装置に、前記特定の認証情報を前記管理サーバに通信する手順をさらに実行させる、項目１３に記載の装置。
［項目１５］
前記複数のコンピュータ可読命令は、前記少なくとも１つのプロセッサによって実行されたとき、前記装置に、前記パスコードを暗号化し、暗号化された前記パスコードを前記装置の揮発性メモリに格納する手順をさらに実行させる、項目１２から１４の何れか一項に記載の装置。
［項目１６］
デバイスと関連付けられたセキュアエレメントによって格納されたデータを利用するよう要求する利用要求を、ソフトウェアアプリケーションによって処理する手順と、
前記利用要求の処理に応答して、管理サーバに、前記ソフトウェアアプリケーションを前記管理サーバに登録するための登録要求メッセージを通信する手順と、
前記登録要求メッセージへの返信として、検証コードを前記管理サーバから受信する手順と、
受信された前記検証コードが、第２の検証コードと一致することを検証する手順と、
検証の成功に続いて、前記セキュアエレメントのパスコード及び識別子を前記管理サーバに通信する手順と、
前記パスコード及び前記セキュアエレメントの識別子の通信に応答して、前記管理サーバから、前記ソフトウェアアプリケーションの登録が成功したか否かを特定する応答を受信する手順とをコンピュータに実行させる、プログラム。
［項目１７］
認証情報選択肢要求を前記管理サーバに通信する手順と、
複数の認証情報選択肢を提示する手順と、
前記複数の認証情報選択肢から特定の認証情報の選択を受信する手順とを前記コンピュータにさらに実行させる、項目１６に記載のプログラム。
［項目１８］
前記特定の認証情報を前記管理サーバに通信する手順を前記コンピュータにさらに実行させる、項目１７に記載のプログラム。
［項目１９］
前記パスコードを暗号化し、暗号化された前記パスコードを揮発性メモリに格納する手順を前記コンピュータにさらに実行させる、項目１６から１８の何れか一項に記載のプログラム。
［項目２０］
アプリケーションを前記管理サーバに登録するための、前記アプリケーションの識別子を通信する手順を前記コンピュータにさらに実行させ、
前記アプリケーションは、前記セキュアエレメントに格納されたデータへのアクセスの要求、前記セキュアエレメント内に格納されたデータの変更、及び前記セキュアエレメントのストレージへのデータの書き込みのうち少なくとも１つを行う、項目１６から１９の何れか一項に記載のプログラム。
［項目１］
デバイスによって実装された第１のソフトウェアアプリケーションによって、前記デバイスと関連付けられたセキュアエレメントによって格納されたデータを利用するよう要求する利用要求を処理する段階と、
前記利用要求の処理に応答して、前記デバイスによって管理サーバに、前記第１のソフトウェアアプリケーションを前記管理サーバに登録するための登録要求メッセージを通信する段階と、
前記登録要求メッセージへの返信として、検証コードを前記管理サーバから受信する段階と、
受信された前記検証コードが、第２の検証コードと一致することを検証する段階と、
検証の成功に続いて、前記セキュアエレメントのパスコード及び識別子を前記管理サーバに通信する段階と、
前記パスコード及び前記セキュアエレメントの識別子の通信に応答して、前記管理サーバから、前記第１のソフトウェアアプリケーションの登録が成功したか否かを特定する応答を受信する段階とを備える方法。
［項目２］
前記登録要求メッセージは前記デバイスの識別子を有する、項目１に記載の方法。
［項目３］
前記登録要求メッセージは、２進数のショートメッセージサービスメッセージである、項目１又は２に記載の方法。
［項目４］
前記検証コードは所定の時間の間だけ有効である、項目１から３の何れか一項に記載の方法。
［項目５］
認証情報選択肢要求を前記管理サーバに通信する段階と、
複数の認証情報選択肢を提示する段階と、
前記複数の認証情報選択肢から特定の認証情報の選択を受信する段階とをさらに備える、項目１から４の何れか一項に記載の方法。
［項目６］
前記複数の認証情報選択肢のそれぞれはイメージである、項目５に記載の方法。
［項目７］
前記特定の認証情報を前記管理サーバに通信する段階をさらに備える、項目５に記載の方法。
［項目８］
前記パスコードを暗号化する段階と、
暗号化された前記パスコードを前記デバイスの揮発性メモリに格納する段階とをさらに備える、項目１から７の何れか一項に記載の方法。
［項目９］
前記第１のソフトウェアアプリケーションは、前記セキュアエレメントによって格納されたデータを利用するよう要求するサードパーティソフトウェアアプリケーションである、項目１から８の何れか一項に記載の方法。
［項目１０］
前記サードパーティソフトウェアアプリケーションを検証するために、前記サードパーティソフトウェアアプリケーションの識別子を前記管理サーバに通信する段階をさらに備える、項目９に記載の方法。
［項目１１］
前記第１のソフトウェアアプリケーションは、前記セキュアエレメントに格納されたデータへのアクセスの要求、前記セキュアエレメントに格納されたデータの変更、及び前記セキュアエレメントのストレージへのデータの書き込みのうち少なくとも１つを行う、項目１０に記載の方法。
［項目１２］
少なくとも１つのプロセッサと、
複数のコンピュータ可読命令を格納する少なくとも１つのメモリとを備える装置であって、
前記複数のコンピュータ可読命令は、前記少なくとも１つのプロセッサによって実行されたとき、前記装置に少なくとも、
前記装置と関連付けられたセキュアエレメントによって格納されたデータを利用するよう要求する利用要求を、第１のソフトウェアアプリケーションによって処理する手順と、
前記利用要求の処理に応答して、管理サーバに、前記第１のソフトウェアアプリケーションを前記管理サーバに登録するための登録要求メッセージを通信する手順と、
前記登録要求メッセージへの返信として、検証コードを前記管理サーバから受信する手順と、
受信された前記検証コードが、第２の検証コードと一致することを検証する手順と、
検証の成功に続いて、前記セキュアエレメントのパスコード及び識別子を前記管理サーバに通信する手順と、
前記パスコード及び前記セキュアエレメントの識別子の通信に応答して、前記管理サーバから、前記第１のソフトウェアアプリケーションの登録が成功したか否かを特定する応答を受信する手順とを実行させる装置。
［項目１３］
前記複数のコンピュータ可読命令は、前記少なくとも１つのプロセッサによって実行されたとき、前記装置に、
認証情報選択肢要求を前記管理サーバに通信する手順と、
複数の認証情報選択肢を提示する手順と、
前記複数の認証情報選択肢から特定の認証情報の選択を受信する手順とをさらに実行させる、項目１２に記載の装置。
［項目１４］
前記複数のコンピュータ可読命令は、前記少なくとも１つのプロセッサによって実行されたとき、前記装置に、前記特定の認証情報を前記管理サーバに通信する手順をさらに実行させる、項目１３に記載の装置。
［項目１５］
前記複数のコンピュータ可読命令は、前記少なくとも１つのプロセッサによって実行されたとき、前記装置に、前記パスコードを暗号化し、暗号化された前記パスコードを前記装置の揮発性メモリに格納する手順をさらに実行させる、項目１２から１４の何れか一項に記載の装置。
［項目１６］
デバイスと関連付けられたセキュアエレメントによって格納されたデータを利用するよう要求する利用要求を、ソフトウェアアプリケーションによって処理する手順と、
前記利用要求の処理に応答して、管理サーバに、前記ソフトウェアアプリケーションを前記管理サーバに登録するための登録要求メッセージを通信する手順と、
前記登録要求メッセージへの返信として、検証コードを前記管理サーバから受信する手順と、
受信された前記検証コードが、第２の検証コードと一致することを検証する手順と、
検証の成功に続いて、前記セキュアエレメントのパスコード及び識別子を前記管理サーバに通信する手順と、
前記パスコード及び前記セキュアエレメントの識別子の通信に応答して、前記管理サーバから、前記ソフトウェアアプリケーションの登録が成功したか否かを特定する応答を受信する手順とをコンピュータに実行させる、プログラム。
［項目１７］
認証情報選択肢要求を前記管理サーバに通信する手順と、
複数の認証情報選択肢を提示する手順と、
前記複数の認証情報選択肢から特定の認証情報の選択を受信する手順とを前記コンピュータにさらに実行させる、項目１６に記載のプログラム。
［項目１８］
前記特定の認証情報を前記管理サーバに通信する手順を前記コンピュータにさらに実行させる、項目１７に記載のプログラム。
［項目１９］
前記パスコードを暗号化し、暗号化された前記パスコードを揮発性メモリに格納する手順を前記コンピュータにさらに実行させる、項目１６から１８の何れか一項に記載のプログラム。
［項目２０］
アプリケーションを前記管理サーバに登録するための、前記アプリケーションの識別子を通信する手順を前記コンピュータにさらに実行させ、
前記アプリケーションは、前記セキュアエレメントに格納されたデータへのアクセスの要求、前記セキュアエレメント内に格納されたデータの変更、及び前記セキュアエレメントのストレージへのデータの書き込みのうち少なくとも１つを行う、項目１６から１９の何れか一項に記載のプログラム。
【図1a】
【図1b】
【図2】
【図3】
【図4】
【図4A】
【図4B】
【図4C】
【図4D】
【図5】
【図6】
【図7A】
【図7B】
【図7C】
【図8A】
【図8B】
【図8C】
【図8D】
【図8E】
【図8F】
【図8G】
【図8H】
【図8I】