JPH11507451A - 許可されていないアカウントアクセスを検出するシステム - Google Patents

Abstract

(57)【要約】 認可されていないアカウントアクセスを検出するための方法およびシステムを説明する。中央コンピュータ（100 ）は通信通路（101 ）を通ってローカルコンピュータシステム（110 ）へ結合されている。ローカルコンピュータシステム（110 ）は通信システム（120 ）と通信通路（131 ）を通って使用者の装置（130）へ結合されている。個人の電話接続（131 ）は地上ライン電話接続またはセル電話接続のいずれかである。

Description

【発明の詳細な説明】 許可されていないアカウントアクセスを検出するシステム 発明の背景 １．発明の分野 本発明は、許可されていないアカウントアクセスを検出する方法およびシステ ムに関する。 ２．関連技術の説明 通信およびコンピュータの進歩により、企業およびその他の組織は種々の商品 やサービスへの遠隔アクセス、すなわち電話ネットワークのような通信媒体によ るアクセスを提供している。遠隔アクセスは直接的な対面接触を伴わないため、 一般に、アクセスを求めている人物が本人であることを証明することが必要であ る。このような証明は、アクセスを求めている人物にある証明情報（口座番号ま たはクレジットカードのような）を提供させることを含む。口座番号のような情 報は、許可されていない人物が入手し易いことが多いため、アクセスを求めてい る人物はまた典型的に、パスワードのようなある秘密の許可情報を提供しなけれ ばならない。 遠隔アクセスの分野において発生する１つの問題は、許可されていない人物が 秘密の許可情報を得ることが時々可能であるということである。第１に、許可さ れていない人物は、秘密の許可情報を推測する。これは、秘密の許可情報が、パ スワードまたは銀行アクセスカード“ＰＩＮ”（人物識別番号）のような比較的 短い場合に発生する可能性が高い。第２に、許可されていない人物は、秘密の許 可情報に関して許可された人物による電子通信を監視する可能性がある。これは 、セルラー電話および類似の装置に対して発生する可能性が高い。許可されてい ない人物が秘密の許可情報のコピーを備えた複製のセルラー電話を構成した場合 、これは“クローニング(cloning)”と呼ばれ、また複製のセルラー電話機は“ クローン(clone)”と呼ばれる。第３に、許可されていない人物はサービスプロ バイダの従業員、すなわち秘密の許可情報を入手できる別の人物を簡単に買収す る ことができる。 既知のアクセス制御方法は、許可されていない人物によるアクセスの防止には かなり成功しているが、一般に秘密の許可情報を入手した許可されていない人物 によるアクセスを防止することは不可能である。許可されていない人物は、秘密 の許可情報を入手することができるため、既知のアクセス制御方法は、許可され ていない人物がアクセスを得ることが許可された人物には分からない可能性があ るという欠点を有する。 電話通信システムにおける既知のアクセス制御方法のいくつかの例は、次のと おりである： 米国特許第４，８６０，３４１号明細書（"Radiotelephone Credit Card Call Approval Synchronization",1989 年 8月22日出願）には、クレジットカード読 取り装置を備えたセルラー電話を使用して、セルラー電話の通話料支払いにクレ ジットカードが使用されるシステムが記載されている。このシステムにおいて、 証明には、使用者がセルラー電話ネットワークにアクセスすることを許される前 に、クレジットカードを本物であると証明する確認および請求書作成コンピュー タシステムへの別の呼が必要である。 モトローラ社に譲渡されたThomas J.Mihm,Jr．氏による米国特許第５，２４９ ，２３０号明細書（"Authentication System",1993年 9月28日出願）には、各使 用者端末の装置ＩＤを受信して、使用者ＩＤとエラー検出コードにより装置ＩＤ を暗号化して、暗号化されたブロックを形成するために秘密キーを使用するシス テムが記載されている。暗号化されたブロックは、ほぼ月に１度使用者端末に物 理的に分配され、インストールされる物理的証明モジュールにプログラムされる 。 Peter Feldman 氏による米国特許第５，３４３，５１９号明細書（”Auto-dia ler with PIN Feature",1994 年 8月30日出願）には、クレジットカード番号、 人物識別番号および電話番号をメモリに記録し、また電話接続で自動出納装置に これらの番号を転送するために使用されることのできる自動ダイアル装置が記載 されている。この装置は、人間がそれらをキー入力するよりもはるかに速くこれ らの番号を送信し、また盗聴または監視しているかもしれない許可されていない 人物に対するセキュリティの手段を与えることとなる、待ち受けされている間に 人物がキー入力しなければならないことを必要としない。 セキュリティ・ダイナミクス・テクノロジーズ社に譲渡されたKenneth Ｐ． Ｗeiss氏他による米国特許第５，３６１，０６２号明細書（"Personal Security System",1994年11月 1日出願）には、使用者の同一性を確認する方法およびシ ステムが記載されており、ここでは各使用者が、シードおよび内部時計に応答し て値の擬似ランダムシーケンスを表示するトークンを与えられる。このシステム は、使用者が単にタイプ入力した、使用者からの現在の擬似ランダム値を頻繁に 要求して、トークンの所有権を確認してもよい。 これらの既知の各アクセス制御方法は、許可されていない人物によるアクセス を防止する目的を達成しているが、一般にそれらには２つの欠点がある：（１） 秘密の許可情報（またはアクセスに必要とされる複製された任意の物理的回路） を入手した許可されていない人物は、依然としてアクセスを行うことができる。 （２）アクセスが危険にさらされている状況において、許可された人物はその危 倹性に必ずしも気付くとは限らない。 遠隔アクセスが支払いを要求する商品またはサービスに対するものである環境 において、許可された人物（顧客）またはサービスプロバイダのいずれかが、許 可されていないアクセスを利用した許可されていない人物により消費された商品 またはサービスの支払いを完済している。これは、サービスプロバイダが許可さ れていない商品またはサービスの料金を顧客に請求した時に明らかにされる。し たがって、許可されていないアクセスの発生後、特にアクセス情報のそれ以上の 許可されていない分配の前に、できるだけ速く決定することが望ましい。 この分野において発生した別の問題は、許可された人物は一般に許可されてい ないアクセスに関して知らない（セルラー電話の請求明細書を受取るまで）ため 、クローン装置を生成するための情報は、比較的短期間に過ぎないが、許可され ていない人物にとって有効である。したがって、このクローン情報は、クローン の製造者によってさらに分配され、かつこのクローン情報を受取った別の者によ って再分配される可能性がある。このようにして、クローン情報は著しく広い範 囲にわたって分配され、その結果、時として数百または数千のクローンが生成さ れス可能性がある。 したがって、種々の許可されていない装置による許可されていないアカウント アクセスを自動的に防止する方法およびシステムを提供することが望ましい。 メッセージまたはメッセージの一部分がなくなるか、または損傷を受けたかど うかを決定する既知の通信方法が存在する。例えば、文献（Kaufman著 ”Net-wo rk Security：PRIVATE Communication in a PUBLIC World"）に記載されているK erberos Ｖ５システムは、失われた、或は損傷したメッセージが検出されるよう に、メッセージポケットにシーケンス番号を随意に挿入する。この方法は失われ た、或は損傷したメッセージを検出するという目的を達成するが、それには依然 として、既知の証明方法に対して述べられた欠点がある。特に、信用証明となる メッセージはシーケンス番号により識別されるが、許可されていない人物による 成功したアクセスを検出して報告するメカニズムは存在しない。 したがって、許可されていないアカウントアクセスを自動的に検出して、複製 のアカウントアクセス装置による許可されていないアカウントアクセスを自動的 に防止する方法および装置を提供することが望ましい。 発明の概要 本発明は、許可されていないアカウントアクセスを検出する方法およびシステ ムを提供する。好ましい実施形態において、システムは、既知の遠隔アクセス承 認確認方法と共同して動作する。このシステムは、許可された各人物（すなわち 、各使用者）に対して特有のアカウントと、各アカウントに対するシステムシー ケンス番号および使用者シーケンス番号を提供する。アカウントへの各アクセス に対して、このシステムは、そのアカウントに対応したシステムシーケンス番号 を予め選択されたシーケンスの中の次の番号に更新し、同様に使用者は使用者シ ーケンス番号を更新する。予め選択されたシーケンスは疑似ランダム番号のシー ケンスであり、その更新には疑似ランダム番号発生器を使用して次の疑似ランダ ム番号を選択することが含まれることが好ましいが、別の実施形態では、システ ムと使用者の両者が同じ更新を行うことができる限り、別の技術を使用してシー ケンス番号を更新してもよい。 好ましい実施形態において、システムおよび使用者は、ハンドシェイク処理を 行い、システムがシステムシーケンス番号を更新し、かつ使用者が使用者シーケ ンス番号を更新することを同時に確実にする。通常、システムシーケンス番号お よび使用者シーケンス番号は同じであるが、第３のパーティによる許可されてい ないアクセスが存在する場合は、システムはシステムシーケンス番号を変更し、 使用者は使用者シーケンス番号を更新しないので、２つのシーケンス番号が同一 でなくなる。２つのシーケンス番号が同じでない場合、使用者は次にアカウント にアクセスしたときに、許可されていないアクセスが発生したことを知らされる 。 図面の簡単な説明 図１は、使用者によるサービスプロバイダへの遠隔アクセス用のシステムを示 す。 図２は、クレジットカードまたは請求カードの確認および許可用のシステムを 示す。 図３は、図３Ａおよび図３Ｂを集合的に含んでおり、模造された装置による許 可されていないアクセスを検出する方法の処理フロー図を示す。 図４は、図４Ａ、図４Ｂおよび図４Ｃを集合的に含んでおり、電子署名の方法 のデータの流れを表す図である。 好ましい実施形態の説明 以下の説明には、好ましい処理工程とデータ構造に関する本発明の好ましい実 施形態が記載されている。しかしながら、当業者は、本出願を一読した後に本発 明の実施形態がプログラム制御の下に１以上の汎用コンピュータを使用して実施 されてもよく、またここに記載されている処理工程およびデータ構造を実施する ためにこのような汎用コンピュータを修正することには、特に発明力は必要ない ことを認識するであろう。 本発明は、以下の別出願明細書に記載されている発明と共同して使用されても よい： 本出願と同じ発明者の名前で同日に出願されたD'Alessandro & Ritchie Docket No.XIC-001の出願（"Bar Code Wand and Sound Communication System"）；およ び、本出願と同じ発明者の名前で同日に出願されたD'Alessandro & Ritchie Doc ket No.XIC-002の出願（"Low Power Bar Code Wand"） これらの各出願は、本明細書に完全に記載されているかの如く、参考文献とし て収録されており、またここでは集合的に“収録された説明”として示されてい る。 ［サービスプロバイダへの遠隔アクセス］ 図１は、使用者によるサービスプロバイダへの遠隔アクセス用のシステムを示 す。 好ましい実施形態において、使用者によるサービスプロバイダへの遠隔アクセ ス用のシステムは、収録された説明に記載されている発明と共同して使用されて もよい。システムは、使用者についての許可および確認情報を記憶する中央コン ピュータシステム100 を含む。この中央コンピュータシステム100 は、使用者の 許可および確認を行うために通信路101 を使用してローカル・コンピュータシス テム110 に結合される。 １以上のローカルコンピュータシステム110 が存在し、対応した通信路101 に よって中央コンピュータシステム100 にそれぞれ結合されていることが好ましい 。しかしながら、別の実施形態において、単一または複数のローカルコンピュー タシステム110 が単一の通信路101 を多重化、或はそうでなければ共用してもよ い。さらに、中央コンピュータシステム100 がローカルコンピュータシステム11 0 から物理的に離れていなければならない、すなわちそれがある“中心的な”場 所に物理的に位置していなければならないという特別な要求は存在しない。同様 に、ローカルコンピュータシステム110 が特に何かに対して物理的に“ローカル ”でなければならないという特別な要求は存在しない。 好ましい実施形態において、通信路101 は、電話ネットワークを使用する電話 接続を含んでいる。しかしながら、当業者は、本出願の吟味の後に、通信路101 が、セルラー電話接続、無線電話接続、構内または広域コンピュータネットワー ク接続、またはその他のある通信媒体を含む任意の通信用の手段を含んでもよい ことを認識するであろう。 使用者にサービスを提供するローカルコンピュータシステム110 は、ローカル コンピュータシステム110 に使用者命令を通信し、またローカルコンピュータシ ステム110 から使用者に情報を通信するために通信システム120 を使用して使用 者装置130 に結合されている。１以上の使用者装置130 が存在し（また、１以上 の使用者が存在していることが好ましく）、通信システム120 にそれぞれ結合さ れていることが好ましい。しかしながら、別の実施形態では、単一の使用者装置 130 しか存在せず、すなわちローカルコンピュータシステム110 は、使用者装置 130 に結合するために複数の通信システム120 を使用してもよい。 好ましい実施形態において、通信システム120 は、使用者装置130 が個々の電 話接続131 を行う電話ネットワークである。個々の電話接続131 は、有線電話接 続、セルラー電話接続、またはその他の電話接続を含んでいてもよい。しかしな がら、当業者は、本出願の一読後に、通信システム120 が、セルラー電話ネット ワーク、無線電話ネットワーク、構内または広域コンピュータネットワーク、通 信衛星、或はその他の通信媒体を含む通信用の任意の手段を含んでもよいことを 認識するであろう。 図３に関してさらに詳細に説明されているように、各使用者は、サービスを提 供するローカルコンピュータシステム110 と通信するために使用者装置130 を使 用し、また各使用者装置130 はローカルコンピュータシステム110 と通信するた めに通信システム120 を使用する。ローカルコンピュータシステム110 は、使用 者を本人であると証明するために通信路101 を使用して中央コンピュータシステ ム100 と通信する。 ［クレジッシカードの確認および許可］ 図２は、クレジッシカードの確認および許可を行うシステムを示す。 クレジッシカードまたはデビットカードの確認および許可用のシステム200 は 、図１に関して説明されたように、アカウントの確認および許可を行う中央コン ピュータシステム100 と、サービスを提供するローカルコンピュータシステム11 0 と、および通信システム120 とを含む。 さらに、システム200 は、カード220 が配置されることのできるカード読取り 装置210 を含んでいる。カード220 はクレジットカードであるが、別の実施形態 では、カード220 は許可カード、識別カード、または許可された人物を本人であ ると証明するための別のカードであってもよい。 カード読取り装置210 は、図１に関して説明されたように、電話接続121 を使 用して通信システム220 に結合される。その後、図３に関してさらに詳細に説明 するように、カード読取り装置210 は、サービスを提供するローカルコンピュー タシステム110 と通信するために通信システム120 を使用する。ローカルコンピ ュータシステム110 は、使用者を本人であると証明するために、通信路101 を使 用して中央コンピュータシステム100 と通信する。 図３に関して示された技術が、使用者（使用者装置130 ）によるシーケンス番 号を記録することを含むので、カード読取り装置210 はまたカード220 にデータ を書込むことができることが好ましく、カードもまたこのようなデータを受取っ て記憶することができることが好ましい。 別の実施形態において、クレジットカード読取り装置210 はオーディオまたは ビジュアル手段を使用して、確認を行うためにシーケンス番号を使用者（使用者 装置130 ）に与えてもよい。この別の実施形態において、使用者が、任意の第３ のパーティがアカウントを使用したかどうかを容易に決定することができるよう に、シーケンス番号は簡単な計数関数であることが好ましい。 販売点端末または販売所にカード読取り装置210 が配置されている好ましい実 施形態では、カード読取り装置は任意のローカルコンピュータシステム110 に結 合するステップを飛ばして、カード220 を許可および確認するための中央コンピ ュータシステム100 に直接結合するために通信路101 を使用してもよい。 ［クローンされた装置による許可されていないアクセスを検出する方法］ 図３Ａおよび図３Ｂを集合的に含んでいる図３は、クローン装置による許可さ れていないアクセスを検出する方法の処理フローを示す。 クローン装置による許可されていないアクセスを検出する方法300 はハンドシ ェイク・プロトコルを含み、１組の使用者ステップ311 乃至320 が使用者によっ て実行され、また１組のシステムステップ321 乃至330 がシステム（中央コンピ ュータシステム100 およびローカルコンピュータシステム110 ）によって実行さ れる。使用者ステップ311 乃至320 は、一般に図１に示された使用者装置130 ま たは図２に示されたカード読取り装置210 によって実行され、一方システムステ ップ321 乃至330 は、一般に図１および図２に示された中央コンピュータシステ ム100 およびローカルコンピュータシステム110 によって実行される。 ステップ311 において、使用者は使用者装置130 を始動させる。好ましい実施 形態において、使用者装置130 は、それがパワー・アップされるたびに、或はそ れがローカルコンピュータシステム110 にアクセスするたびに方法300 を開始し 、さらに、それがパワー・アップされている状態のあいだに、例えば８時間に一 度のような選択された時間インターバル後に方法300 を開始してもよい。しかし ながら、当業者は、本出願の吟味の後に、方法300 が開始されなければならない 特定の時間は存在せず、また種々の方法開始時間の選択が本発明の技術的範囲内 であることを認識するであろう。 ステップ312 において、使用者装置130 は、ローカル通信システム120 を使用 して中央コンピュータシステム100 とコンタクトを取る。このステップ312 は電 話接続131 に電話ハンドセットを結合して、ローカルコンピュータシステム110 と関連した電話番号をダイヤルすることによって実行される。使用者装置130 は 自動的に接続を行い、また電話番号を自動的にダイヤルすることが好ましい。し かしながら、当業者は、本出願を一読した後に、このステップ312 が、セルラー 電話接続、無線電話接続、或は構内または広域コンピュータネットワーク接続を 含む中央コンピュータシステム100 との任意のコンタクト方法を含んでもよいこ とを認識するであろう。 ステップ313 において、使用者装置130 は、それ自身の特有の識別子（“装置 ＩＤ”）と、本物であるという証明を求める使用者アカウントに対する特有の識 別子（“アカウントＩＤ”）と、およびシーケンス番号とをサイン・オンメッセ ージにまとめて、暗号化技術によりそのサイン・オンメッセージを暗号化し、中 央コンピュータシステム100 にサイン・オンメッセージを転送する。図４に関連 して、暗号化されたサイン・オンメッセージをさらに説明する。 好ましい実施形態において、装置ＩＤは、それが製造された時にその装置に割 当てられた特有の識別子を含んでいる。 好ましい実施形態において、アカウントＩＤは、その作成時に使用者アカウン トに割当てられた特有の識別子を含んでいる。各使用者アカウントは、そのアカ ウントを使用してローカルコンピュータシステム110 からサービスを得ることを 許可された使用者と関連している。ある家庭の１人以上の家族と関連しているク レジットカードのように、使用者アカウントのあるものは１以上の使用者と関連 していてもよい。各使用者アカウントは、別の実施形態では、法人クレジットカ ードアカウントのように、いくつかの使用者アカウントが共同請求明細書にまと められてもよいが、一般には請求明細書と関連している。 好ましい実施形態において、シーケンス番号は中央コンピュータシステム100 と使用者装置130 との間で同期した状態を維持される数値を含む。方法300 が実 行された場合に、一番最近使用されたシーケンス番号が使用者装置130 に対して 有効であるように、シーケンス番号が使用者装置130 にある不揮発性メモリに記 憶されている。同様に、方法300 が実行された場合に、一番最近使用されたシー ケンス番号が中央コンピュータシステム100 に対して有効であるように、シーケ ンス番号が中央コンピュータシステム100 の不揮発性メモリまたは大容量記憶装 置に記憶される。 好ましい実施形態では、シーケンス番号が記憶されている非揮発性記憶装置は 、通常の方法以外で秘密保護されたメモリが読取られようとしたならば、自己消 去する特性を有する秘密保護されたメモリを具備している。 ステップ321 では、ローカルコンピュータシステム110 はステップ313 の使用 者装置により送信されたサイン−オンメッセージを受信し、送信されたアカウン トＩＤと関連するアカウントプロフィールを検索するように中央コンピュータシ ステム100 にリクエストする。アカウントプロフィールは選択された使用者アカ ウントについての情報を具備し、その使用者アカウントに関するシーケンス番号 を含んでいる。 好ましい実施形態では、１以上の使用者装置130 が１つの使用者アカウントを 関連付られてもよいが、その状況では、それぞれのこのような使用者装置130 は その固有のプロフィールを有する。サイン−オンメッセージはメッセージを送信 する使用者装置130 の装置ＩＤを具備しており、それによって中央コンピュータ システム100 は使用者アカウントの幾つかのプロフィールが存在するならば、検 索するプロフィールを決定することができる。 好ましい実施形態では、各プロフィールは表３−１で示されている情報を有す る。 表３−１ ・装置ＩＤ、使用者装置用の特定の識別子； ・１組のアカウントＩＤ、それぞれこの使用者装置を用いるアクセスすることを 認可された使用者アカウント用の特有の識別子； ・１組の使用者ＩＤ、それぞれこの使用者装置を使用することを認可された使用 者の特有の識別子； ・現在のシーケンス番号およびシーケンス番号を更新するための方法の識別子； ・暗号プロトコル（好ましくは“ＤＥＳ”または“ＩＶＥＳ”プロトコル）等の １組のプロフィール暗号化パラメータおよび１組の暗号キー； ・この使用者アカウントに関連する典型的な呼び電話番号等の１組の選択された プロフィール選択肢 ステップ322 で、ローカルコンピュータシステム110 はサイン−オンメッセー ジにより送信されたシーケンス番号をアカウントプロフィールのシーケンス番号 と比較する。ステップ322 は図３Ｂでさらに詳細に示されている。 当業者はこの明細書を読んだ後、比較結果が使用者装置130 の確認に使用され 使用者装置130 へ報告され、それによって使用者が任意の認可されていないアク セスが行われたか否かを決定することができる限り、シーケンス番号の比較が中 央コンピュータシステム100 、ローカルコンピュータシステム110 、または別の コンピュータシステムによって行われることを認識するであろう。 ステップ322 の第１の部分では、ローカルコンピュータシステム110 はサイン −オンメッセージにより送信されたシーケンス番号をアカウントプロフィールの シーケンス番号と比較する。２つの値が等しいならば、ローカルコンピュータシ ステム110 はステップ326 の第１の部分へ“ＥＱＵＡＬ”通路の矢印にしたがっ て進む。 ２つの値が等しくないならば、ローカルコンピュータシステム110 はステップ 322 の第２の部分へ進行する。ステップ322 の第２の部分では、ローカルコンピ ュータシステム110 はシーケンスフラグが設定されたか否かを決定する。シーケ ンスフラグは１以上のアクセスの試みがこの特定の使用者装置130 に対して行わ れていることを示しており、ここではシーケンス番号を更新するハンドシェイク プロセスが行われない。シーケンスフラグが設定されるならば、中央コンピュー タシステム100 はステップ326 の第２の部分への“ＴＲＹ＿ＡＧＡＩＮ”通路の 矢印にしたがって進む。 好ましい実施形態では、使用者装置130 により送信されたシーケンス番号が、 ハンドシェイクが履行されなかった後に適切な使用者がアクセスを試みたという 仮定と一致している場合のみ、ローカルコンピュータシステム100 はシーケンス フラグをチェックする。例えばシーケンス番号が自然数の順序、即ち１、２、３ 、…で更新されたならば、ローカルコンピュータシステム110 はシーケンスフラ グをチェックする前にシーケンス番号がそれに近い数、例えば４または５である ことを必要とする。他のシーケンス番号は認可されていないアクセスを試みたこ とを示すものと仮定される。 同様に、好ましい実施形態では、ローカルコンピュータシステム110 は限定さ れた回数のみ、例えば最大で３回のアクセスの試みのみシーケンスフラグをチェ ックする。 好ましい実施形態では、使用者（または使用者装置130 ）はアクセスするため に呼びを行うための別の電話番号、および／または（例えば２次パスワードまた は人間のオペレータによる確認を必要とする等）２次確認通路を維持し、それに よってアクセスの必要性が緊急である場合、アクセスの方法を使用者に与える。 ２つの値が等しくなく、シーケンスフラグが設定されないならば、ローカルコ ンピュータシステム110 はステップ323 へ進行する。 ステップ323 で、ローカルコンピュータシステム110 は１組の“呼者ＩＤ”情 報を獲得し、その情報を記録する。好ましくは、呼者ＩＤ情報は呼び出す電話番 号についての情報を有し、その情報は電話回路網サービス提供者から得られる。 好ましい実施形態では、ローカルコンピュータシステム110 はまた、呼びが行わ れた時間および受信電話番号等の呼びについての他の情報を記録する。 ステップ324 で、ローカルコンピュータシステム110 は、使用者アカウントが 認可されていないアクセスを受けていることを関連する当局者（中央コンピュー タシステム100 を含む）に知らせる。認可されていない人はサイン−オンメッセ ージでローカルコンピュータシステム110 へ送信するための正確なシーケンス番 号をもたない可能性が大きいので、通常、認可されていないアクセスはこの特定 の呼びである。しかしながら、認可されていない人が正確なシーケンス番号を得 たならば、シーケンス番号はシステムと適切な使用者装置130 間で同様を外され 、認可された使用者による次のアクセスの実行はシーケンス番号の不一致を生成 する。 好ましい実施形態では、ステップ324 はテレコピーメッセージを１組の予め選 択された目的地のテレコピーへ送信することにより行われる。例えば予め選択さ れた目的地のテレコピーは既知の認可された使用者に関連するテレコピー装置を 具備する。 ステップ325 で、ローカルコンピュータシステム110 は使用者装置130 へのア クセスを否認され、呼びを終了する。 ステップ314 で、使用者装置130 はローカルコンピュータシステム110 とのハ ンドシェイク手順を開始する。 ステップ326 で、ローカルコンピュータシステム110 は使用者装置130 からの サイン−オンメッセージに応答する。ステップ326 はさらに図３Ｂで詳細に示さ れている。 ステップ326 の第１の部分では、使用者のシーケンス番号とシステムのシーケ ンス番号は等しい。ローカルコンピュータシステム110 は“ＥＱＵＡＬ”メッセ ージを使用者装置130 へ送信し、ステップ327 へ進行する。“ＥＱＵＡＬ”メッ セージに応答して、使用者装置はステップ315 へ進行する。 ステップ326 の第２の部分では、使用者のシーケンス番号とシステムのシーケ ンス番号は等しくないが、シーケンスフラグが設定されている。ローカルコンピ ュータシステム110 は“ＴＲＹ＿ＡＧＡＩＮ”メッセージを使用者装置130 へ送 信し、ステップ321 へ進行する。“ＴＲＹ＿ＡＧＡＩＮ”メッセージに応答して 、使用者装置はステップ320 へ進行し、そこで使用者のシーケンス番号は更新さ れ、その後ステップ313 へ進行する。 ステップ315 で、使用者装置130 はその記録されたシーケンス番号を更新する 。 好ましい実施形態では、シーケンス番号は疑似ランダムシーケンスから選択さ れ、シーケンス番号の更新方法は疑似ランダム番号発生器を用いて疑似ランダム シーケンスで次の疑似ランダム番号を選択する方法である。疑似ランダム番号発 生器はD．Knuth氏のThe Art of Computer Programming（第２巻：Seminumerical Algorithms）（Addison-Wesley 1968）に記載されている。 しかしながら、当業者はこの明細書を読んだ後、シーケンス番号の更新方法が （１）シーケンス番号に定数を付加し、（２）定数によりシーケンス番号を乗算 しまたは（３）その幾つかの組合わせを行う等の広範囲の技術のうちの１つを有 することを認識するであろう。 別の実施形態では、複数のシーケンス番号が異なったメッセージまたは作業に 関連される。例えば第１のシーケンス番号はサイン−オンメッセージ用に使用さ れ、第２のシーケンス番号はその他のメッセージ用に使用されてもよい。別の例 では、第１のシーケンス番号は比較的高い安全性を有するメッセージに使用され 、第２のシーケンス番号は比較的低い安全性を有するメッセージに使用されても よ い。 ステップ327 で、システム（中央コンピュータシステム100 およびローカルコ ンピュータシステム100 の両者）は指示された使用者アカウントに対するその記 録されたシーケンス番号を更新し、シーケンスフラグをリセットする。 ステップ316 で、使用者装置130 はハンドシェイク手順が適切に終了したか否 かの決定を行う。終了していないならば、使用者装置130 はステップ317 に進行 する。終了したならば、使用者装置130 はステップ319 へ進行する。 ステップ317 で、使用者装置130 は方法300 を開始する前に有していた値へシ ーケンス番号を回復する。 ステップ318 で、使用者装置130 は呼びを終了する。 ステップ328 で、ローカルコンピュータシステム110 はハンドシェイク手順が 適切に終了したか否かを決定する。終了していないならば、ローカルコンピュー タシステム110 はステップ329 に進行する。終了したならば、ローカルコンピュ ータシステム110 はステップ331 へ進行する。 ステップ329 で、システム（中央コンピュータシステム100 およびローカルコ ンピュータシステム110 の両者）はシーケンスフラグをインクリメントする。 ステップ330 で、ローカルコンピュータシステム110 は呼びを終了する。 ステップ319 で、使用者装置130 はローカルコンピュータシステム110 からサ ービスを獲得する。好ましい実施形態では、使用者装置130 は使用者により発注 された顧客の注文を処理する。注文の処理または他のサービスの獲得後、使用者 装置130 はステップ318 へ進行し、呼びを終了する。 ステップ331 で、ローカルコンピュータシステム110 は使用者を注文処理サブ システムに対して確認し、注文処理サブシステムは注文を処理するか、または使 用者に対して他のサービスを行う。注文を処理した後または他のサービスを行っ た後、ローカルコンピュータシステム110 は呼びを終了する。 好ましい実施形態では、使用者アカウントは情報が中央コンピュータシステム 100 に維持されている同一の使用者に対して複数の使用者アカウント中のアカウ ントを有する。使用者の使用者アカウントのうちの１つが認可されていないアク セスによりされたならば、その認可されていないアクセスはシステムのシーケン ス番号と使用者のシーケンス番号との不一致に応答してローカルコンピュータシ ステム110 により検出されるであろう。ローカルコンピュータシステム110 はそ のように中央コンピュータシステム100 へ通知する。使用者が（異なった可能性 の高い）ローカルコンピュータシステム110 を用いて使用者の使用者アカウント のうちのその他のものをアクセスしたとき、中央コンピュータシステム100 はロ ーカルコンピュータシステム110 へ使用者の他の使用者アカウントに対する認可 されていないアクセスを通知し、ローカルコンピュータシステム110 へ、したが ってそのように使用者へ通告する。 電子署名方法 図４Ａ、４Ｂ、４Ｃを含む図４は、電子署名方法のデータフロー図を集合的に 示している。 使用者装置130 は、使用者の識別情報を有する暗号化メッセージを送信するこ とによって、その行為が使用者により認可されたことを中央コンピュータシステ ム100 へ指示する。使用者装置130 は１組の情報をメッセージに束ねて、中央コ ンピュータシステム100 へ送信するためその情報を暗号化する。 図３に関して説明されているサイン−オンメッセージ400 はアカウントＩＤ番 号401 、装置ＩＤ番号402 、シーケンス番号403 、メディア完全性コード404 を 具備している。メディア完全性コード404 はメッセージの任意の部分が変更され ているか損傷されているかまたは送信上混乱されているかを示すためチェックサ ムまたはＣＲＣコードを具備している。中央コンピュータシステム100 またはロ ーカルコンピュータシステム110 はサイン−オンメッセージ400 を受信し、これ を解読し、メディア完全性コード404 をチェックし、個々の情報の個別的アイテ ムを識別する。 好ましい実施形態では、使用者が商品またはサービスの注文を行うことを所望 するならば、使用者装置130 は注文同意メッセージ410 を中央コンピュータシス テム100 へ送信する。注文同意メッセージ410 は注文番号411 、装置のＩＤ番号 402 、現在のシーケンス番号403 、使用者のＩＤ番号412 、メディア完全性コー ド404 を具備している。中央コンピュータシステム100 はサイン−オンメッセー ジ400 に関する方法と類似の方法で、注文同意メッセージ410 を受信し、この暗 号を解読し、メディア完全性コード404 をチェックし、別々の情報の個別的アイ テムを識別する。しかしながら、好ましい実施形態では、シーケンス番号403 は 注文同意メッセージ410 に対して更新されず、サイン−オンメッセージ410 での み更新される。中央コンピュータシステム100 はその後選択された情報をローカ ルコンピュータシステム110 へ送信する。 好ましい実施形態では、使用者装置130 が中央コンピュータシステム100 また はローカルコンピュータシステム110 へ、使用者感知性であるデータを送信しよ うとするとき、使用者装置130 は感知性データメッセージ420 を中央コンピュー タシステム100 またはローカルコンピュータシステム110 へ送信する。感知性デ ータメッセージ420 は装置ＩＤ番号402 、現在のシーケンス番号403 、使用者Ｉ Ｄ番号412 、メディア完全性コード404 を具備している。中央コンピュータシス テム100 は、サイン−オンメッセージ400 に関する方法と類似の方法で、感知性 データメッセージ410 を受信し、これを解読し、メディア完全性コード404 をチ ェックし、情報の別々の個別アイテムを識別する。しかしながら好ましい実施形 態では、シーケンス番号403 は注文同意メッセージ410 で更新されず、サイン− オンメッセージ410 でのみ更新される。中央コンピュータシステム100 はその後 選択された情報をローカルコンピュータシステム110 へ送信する。 ［別の実施形態］ 好ましい実施形態をここで説明したが、本発明の概念および技術的範囲内であ る多数の変形が可能であり、これらの変形はこの明細書を読んだ後、当業者に明 白になるであろう。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 ＦＩ Ｈ０４Ｑ 7/38 Ｈ０４Ｑ 7/04 Ｈ Ｈ０４Ｂ 7/26 １０９Ｓ (31)優先権主張番号 ０８／４８５，０８３ (32)優先日 1995年６月７日 (33)優先権主張国 米国（ＵＳ） (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，Ｌ Ｕ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＡＵ，ＣＡ，ＪＰ，Ｍ Ｘ，ＵＳ

Claims (1)

1. 【特許請求の範囲】 （１）アカウントへの認可されていないアクセスを検出する方法において、 許可確認装置においてシーケンス番号と前記アカウントとを関連し、 アクセス装置によりアクセスを行うためのリクエストに応答して前記アカウン トへのアクセスを確認し、 前記許可確認装置と前記アクセス装置との両者の前記アカウントの前記シーケ ンス番号を更新し、 前記許可確認装置における前記シーケンス番号と前記アクセス装置における前 記シーケンス番号とを比較するステップを有する方法。 （２）前記比較するステップが等しくないとき、アクセスを否認するステップを 有する請求項１記載の方法。 （３）前記比較するステップに応答してメッセージを前記選択された目的地へ送 信するステップを有する請求項１記載の方法。 （４）別のシーケンス番号を前記許可確認装置における前記アカウントと関連し 、 前記別のシーケンス番号を用いてアクセス装置によりアクセスするためのリク エストに応答して前記アカウントへのアクセスを確認し、 前記別のシーケンス番号を用いた前記確認されたアクセスに応答して、前記許 可確認装置と前記アクセス装置との両者の前記アカウントの前記シーケンス番号 をリセットするステップを有する請求項１記載の方法。 （５）前記別のシーケンス番号を用いてアクセス装置によりアクセスするための リクエストに応答して前記アカウントへのアクセスを確認する前記ステップが、 前記アクセス装置を識別する別の技術を有する請求項４記載の方法。 （６）前記別の技術が人間の音声を比較することを含んでいる請求項５記載の方 法。 （７）前記別の技術がＰＩＮ番号の比較を含んでいる請求項５記載の方法。 （８）前記別のシーケンス番号を用いてアクセス装置によりアクセスするための リクエストに応答して前記アカウントへのアクセスを確認する前記ステップが、 人間のオペレータによる仲介を含む請求項４記載の方法。 （９）第１のアクセス装置によりアクセスするためのリクエストに応答して前記 複数のアカウントのうち第１のアカウントへのアクセスの確認を実行し、 前記実行が不成功であったとき、前記複数のアカウントの記録装置に前記実行 を記録し、 第２のアクセス装置によりアクセスするためのリクエストに応答して前記複数 のアカウントのうち第２のアカウントへの確認アクセスを確認し、 前記実行についての情報を前記第２のアクセス装置へ送信するステップを有す る請求項１記載の方法。 （１０）前記シーケンス番号が前記アクセス装置の保護メモリに記憶される請求 項１記載の方法。 （１１）シーケンス番号と前記アカウントとを関連する前記ステップが、前記シ ーケンス番号を、アクセス装置番号、アカウント識別子、使用者識別子の複数の ものと関連付けるステップを有する請求項１記載の方法。 （１２）シーケンス番号を前記アカウントと関連する前記ステップが、前記アカ ウントのプロフィールに前記シーケンス番号を記憶するステップを有する請求項 １記載の方法。 （１３）アクセスを確認する前記ステップが、 アクセスするための前記リクエストのシーケンス番号を識別し、 前記許可確認装置における前記シーケンス番号と、アクセスするための前記リ クエストの前記シーケンス番号とを比較するステップを有する請求項１記載の方 法。 （１４）前記比較するステップが、 前記アクセス装置における前記シーケンス番号を暗号化メッセージへ暗号化し 、 前記暗号化メッセージを前記許可確認装置へ送信し、 前記許可確認装置において前記暗号化メッセージを解読するステップを有する 請求項１記載の方法。 （１５）前記シーケンス番号を更新する前記ステップが、 前記シーケンス番号に応答する疑似ランダム番号を算出し、 前記シーケンス番号を前記疑似ランダム番号と置換するステップを有する請求 項１記載の方法。 （１６）前記シーケンス番号を更新する前記ステップが、 更新する前に前記シーケンス番号をメモリへ記憶し、 前記許可確認装置と前記アクセス装置の間でハンドシェイクプロセスを開始し 、 前記許可確認装置における前記シーケンス番号を更新し、 前記アクセス装置における前記シーケンス番号を独立して更新し、 前記許可確認装置と前記アクセス装置間における前記ハンドシェイクプロセス を終了するステップを行い、 前記終了するステップが失敗したならば、前記メモリから前記シーケンス番号 を検索するステップを有する請求項１記載の方法。 （１７）前記シーケンス番号を更新する前記ステップが、 更新方法を用いて前記許可確認装置の前記シーケンス番号を更新し、前記許可 確認装置の前記更新されたシーケンス番号を記憶し、 更新方法を用いて前記アクセス装置の前記シーケンス番号を更新し、前記アク セス装置の前記更新されたシーケンス番号を記憶するステップを有し、 前記更新方法は前記許可確認装置と前記アクセス装置において独立して行われ る請求項１記載の方法。 （１８）アカウントに対する認可されていないアクセスを検出する方法において 、 シーケンス番号と許可確認装置の前記アカウントとを関連付け、 アクセス装置と前記アクセス装置の使用者により入力されるシーケンス番号と によりアクセスのリクエストに応答して前記アカウントへのアクセスを確認し、 前記許可確認装置の前記アカウントの前記シーケンス番号を更新し、 前記更新されたシーケンス番号を前記使用者へ提供し、 前記許可確認装置における前記シーケンス番号と前記アクセス装置における前 記シーケンス番号とを比較するステップを有する方法。 （１９）複数のうち１つのアカウントに対する認可されていないアクセスを検出 する方法において、 アクセス装置によりアクセスを行うためのリクエストに応答して、前記複数の アカウントのうちの第１のアカウントに対するアクセスを確認し、 前記第１のアカウントに対する前記アクセスについての情報を前記複数のアカ ウントの記録装置に記録し、 前記複数のアカウントのうちの第２のアカウントに対する先のアクセスに関す る前記記録からの情報を前記アクセス装置の使用者へ提供するステップを有する 方法。