JP4439481B2 - 安全性判断方法、安全性判断システム、認証装置、プログラム及び安全性判断装置 - Google Patents

Description

本発明は、情報処理装置及び認証装置が通信網を介して接続されており、前記情報処理装置の安全性を判断する安全性判断方法、安全性判断システム、認証装置、プログラム及び安全性判断装置に関し、特に、携帯電話機、家電機器、パーソナルコンピュータ等の情報処理装置に組み込んで、該情報処理装置の安全性を判断する安全性判断装置等に関する。

ＩＰｖ６（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ６）の導入により、インターネット等の通信網に接続される情報処理装置は、パーソナルコンピュータ、サーバコンピュータ、及び携帯電話機だけではなく、冷蔵庫、電子レンジ、エアコン、ＴＶ、ＤＶＤ等の家電機器、コピー機、さらにはロボット等も通信網に接続され、情報の送受信が行われることになる。このように通信網に接続される情報処理装置が増加するにつれ、安全性（セキュリティ）が低下することになる。

特に家電機器は安全性が低く、外部から機器の正常な動作に支障をきたすプログラムを送り込まれるケースや、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）の踏み台にされる虞がある。そこで、このような情報処理装置の安全性を高めるために、指紋等を用いたバイオメトリック認証機能を情報処理装置に搭載する試みがなされている（例えば、引用文献１）。
特開平３−５８１７４号公報

しかしながら、認証用の指紋情報が流出する場合もあり、バイオメトリック認証のみでは、高度な安全性を確保することが難しいという問題があった。特にこれらの情報処理装置を用いた電子商取引を行う際には、情報処理装置が、正当な所有者が使用しているか、所有者自らの情報処理装置を用いた取引であるか、情報処理装置に安全性を損なう機器が接続、またはＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、ブラウザ、プラグインソフト等のソフトウェアがインストールされていないか等の安全性をまず確保した上で、商取引を行うことが好ましい。

また、これらの情報処理装置にパッチ用のソフトウェア、ファームウェア等を提供する場合、第３者に送信中のソフトウェアを改竄される虞があることから、情報送信側の装置と情報処理装置との間での安全性を十分に確保する必要があった。その一方で、安全性のレベルを高めすぎると、円滑な情報の送受信を行うことが困難となる。

本発明は斯かる事情に鑑みてなされたものであり、その目的とするところは、情報処理装置の利用環境の階級を利用した環境情報を用いた認証を組み合わせて認証を行うことにより、安全性を高めることができ、また妥当な安全性を維持した上で円滑に情報の送受信を行うことが可能な安全性判断方法、安全性判断システム、認証装置、プログラム及び安全性判断装置を提供することにある。

本発明に係る安全性判断方法は、情報処理装置と認証装置が通信網を介して接続されており、前記情報処理装置の安全性を判断する安全性判断方法において、情報処理装置が、注文情報を認証装置に送信する注文情報送信ステップと、情報処理装置が、該情報処理装置の情報、該情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報を収集する環境情報収集ステップと、情報処理装置が、収集した環境情報を前記認証装置に送信する環境情報送信ステップと、認証装置が、注文情報と環境情報の条件とを対応づけて記憶した環境情報データベースに基づいて、前記送信された環境情報が前記送信された注文情報に対して適正であるか否かを判定する環境情報認証ステップと、認証装置が、前記環境情報認証ステップによる認証が適正である場合に、前記情報処理装置を安全と判断する安全判断ステップとを備えることを特徴とする。

本発明に係る安全性判断方法は、前記認証装置は、前記安全判断ステップで前記情報処理装置を安全と判断した場合には、安全性を保証する情報と注文情報とを、該注文情報に係わる処理を行う情報処理装置に送出することを特徴とする。

本発明に係る安全性判断方法は、前記認証装置は、前記安全判断ステップで前記情報処理装置を安全ではないと判断した場合には、危険性を通知する情報を、該注文情報に係わる処理を行う情報処理装置に送出することを特徴とする。

本発明に係る安全性判断方法は、前記環境情報データベースは、注文情報に対応する複数の階級が設定され、該階級ごとに異なる環境情報の条件が設定されるものであり、前記環境情報認証ステップは、前記注文情報に対応する階級の環境情報の条件に応じて前記送信された環境情報が前記送信された注文情報に対して適正であるか否かを判定することを特徴とする。

本発明に係る安全性判断方法は、前記情報処理装置はさらに、生体情報を受付ける生体情報受付ステップを実行し、前記情報処理装置、前記認証装置または前記認証装置とは異なる認証装置のいずれかにより、受付けた生体情報が適正であるか否かを判断する生体情報認証ステップを備え、前記認証装置における安全判断ステップでは、生体情報認証ステップで受付けた生体情報が適正であると判断され、かつ前記環境情報認証ステップにて環境情報が適正と判断された場合に前記情報処理装置を安全と判断することを特徴とする。

本発明に係る安全性判断方法は、前記情報処理装置における前記注文情報ステップは、予め情報処理装置に対して電子証明局から発行を受けた電子証明書と、前記情報処理装置の個人鍵で暗号化した注文情報のメッセージダイジェストとを認証装置に対して送出するものであり、前記認証装置は、さらに前記電子証明書から得られる公開鍵を用いて前記注文情報のメッセージダイジェストを復号し、注文情報が適正であるか否かを判断する電子証明書認証ステップを実行するものであり、前記認証装置における安全判断ステップでは、電子証明書認証ステップで受付けた注文情報が適正であると判断され、かつ前記環境情報認証ステップにて環境情報が適正と判断された場合に前記情報処理装置を安全と判断することを特徴とする。

本発明に係る安全性判断方法は、前記環境情報は、インストールされたソフトウェアの名称またはバージョン、接続された周辺機器の機器名またはバージョン、または、前記情報処理装置の装置名またはバージョンの情報を含むことを特徴とする。

本発明に係る安全性判断システムは、情報処理装置と認証装置が通信網を介して接続されており、情報処理装置の安全性を判断する安全性判断システムにおいて、前記情報処理装置は、該情報処理装置の情報、該情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報を収集する環境情報収集手段と、注文情報と、収集した環境情報とを前記認証装置へ送信する情報送信手段とを備え、前記認証装置は、前記情報処理装置から送信された、注文情報と環境情報とを受信する手段と、注文情報と環境情報の条件とを対応づけて記憶した環境情報データベースに基づいて、前記受信した環境情報が前記受信した注文情報に対して適正であるか否かを判断する環境情報認証手段と、前記環境情報認証手段による認証が適正である場合に前記情報処理装置を安全と判断する安全判断手段とを備えることを特徴とする。

本発明に係る安全性判断システムは、前記情報処理装置との間で商取引に関する情報を送受信する店舗コンピュータをさらに備え、前記情報処理装置は、商品情報または金額情報を含む商取引に関する情報を受付ける手段と、該商取引に関する情報を注文情報として前記認証装置へ送信する手段とを更に備え、前記環境情報認証手段は、送信された商品情報または金額情報に対応する環境情報の条件を環境情報データベースから読み出し、該読み出した環境情報の条件に前記送信された環境情報が合致するか否かにより、適正であるか否かを判断するよう構成してあり、前記認証装置は、前記環境情報認証手段により環境情報が適正であると判断した場合に、前記情報処理装置の安全性に関する情報を前記店舗コンピュータへ送信する手段を更に備えることを特徴とする。

本発明に係る認証装置は、通信網を介して接続される情報処理装置の安全性を判断する認証装置において、前記情報処理装置が送信した、該情報処理装置の情報、該情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報と、注文情報とを受信する受信手段と、注文情報と環境情報の条件とを対応づけて記憶した環境情報データベースに基づいて、前記受信した環境情報が前記送信された注文情報に対して適正であるか否かを判定する環境情報認証手段と、前記環境情報認証手段による認証が適正である場合に、前記情報処理装置を安全と判断する安全判断手段とを備えることを特徴とする。

本発明に係るプログラムは、コンピュータを、該コンピュータと通信網を介して接続される情報処理装置の安全性を判断する認証装置として機能させるためのプログラムであって、コンピュータを、前記情報処理装置が送信した、該情報処理装置の情報、該情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報と、注文情報とを受信する受信手段と、注文情報と環境情報の条件とを対応づけて記憶した環境情報データベースに基づいて、前記受信した環境情報が前記送信された注文情報に対して適正であるか否かを判定する環境情報認証手段と、
前記環境情報認証手段による認証が適正である場合に認証装置により、前記情報処理装置を安全と判断する安全判断手段として機能させることを特徴とする。

本発明に係る安全性判断装置は、認証装置に通信網を介して接続される情報処理装置の安全性を判断する安全性判断装置であって、前記情報処理装置の情報、前記情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報を収集する環境情報収集手段と、収集した環境情報を前記認証装置に送信する環境情報送信手段と、認証装置から、前記送信された環境情報が前記送信された注文情報に対して適正であるとの判定結果を受信した場合に、前記情報処理装置を安全と判断する安全判断手段とを備えることを特徴とする。

本発明に係る安全性判断装置は、生体情報が適正であるか否かを判断する生体情報認証手段を更に有し、前記安全判断手段は、前記生体情報認証手段によって前記情報処理装置に接続された生体情報受付手段が受付けた生体情報が適正であると判断され、かつ認証装置から、前記送信された環境情報が前記送信された注文情報に対して適正であるとの判定結果を受信した場合に、前記情報処理装置を安全と判断することを特徴とする。

本発明に係る安全性判断装置は、予め電子証明局により発行された電子証明書と個人鍵とを記録する手段と、該個人鍵により情報を暗号化する暗号化手段とを更に有し、認証装置に情報を送信する際は、送信すべき情報を暗号化するとともに、前記電子証明書を添付して暗号化された情報を送信することを特徴とする。

本発明に係る安全性判断装置は、受信した暗号化情報を復号化する復号化手段を更に有し、暗号化されたソフトウェア及び電子証明書を受信した場合、前記安全判断手段により安全性の判断を実行し、安全と判断された場合に該電子証明書に基づいて取得した公開鍵で暗号化されたソフトウェアを復号し、前記情報処理装置にインストールを行うことを特徴とする。

本発明に係る安全性判断装置は、前記情報処理装置の内部に実装されるLSI(Large Integrated Circuit)チップにより構成されることを特徴とする。

環境情報の認証が適正である場合に情報処理装置を安全と判断するので、情報処理装置の安全性を確保しつつ、円滑な情報の送受信及び商取引を実現することが可能となる等、本発明は優れた効果を奏する。

以下本発明を実施の形態を示す図面に基づいて詳述する。
実施の形態１
実施の形態１では、情報処理装置を携帯電話機であるものとし、本発明に係る安全性判断システムを、携帯電話機を用いた商取引に適用した場合について説明する。なお、情報処理装置は携帯電話機に限定されるものではなく、パーソナルコンピュータ、コピー機、プリンタ、ＦＡＸ、冷蔵庫、ＴＶ、ＤＶＤプレーヤ、ＰＤＡ（Ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）、空気調和機、電子レンジ、ロボット等であっても良い。

図１は本発明に係る安全性判断システムの概要を示す模式図である。図において１は情報処理装置としての携帯電話機、３は電子証明書の発行を行う第３者的立場にある認証機関の第２認証装置（以下、認証機関サーバという）、２は安全性判断局であって携帯電話機１の安全性を判断する第１認証装置としての中央サーバ、４はオンラインでの商品の販売処理を行うオンラインショップの店舗コンピュータ（以下、Ｗｅｂサーバという）である。携帯電話機１は図示しない携帯電話網を介して、通信網（以下、インターネットという）Ｎに接続されており、同様に認証機関サーバ３、中央サーバ２、及びＷｅｂサーバ４もインターネットＮに接続されている。携帯電話機１には生体情報受付手段として指紋取得部１１２が設けられており、顧客の指紋をスキャンして携帯電話機１に取り込む機能を有する。

図２は携帯電話機１のハードウェア構成を示すブロック図である。情報処理装置としての携帯電話機１は通話、文字、画像データの送受信等、通常の機能を果たす携帯電話機エンジン部１１０及び本発明に係る安全性判断装置５から構成される。本実施の形態においては、安全性判断装置（以下、セキュリティチップという）５はＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）チップであり、携帯電話機１の内部に実装される。

以下に、携帯電話機エンジン部１１０のハードウェア構成について説明する。図に示すように、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１にはバス１７を介してＲＡＭ１２，ＲＯＭ１５、アンテナ部１６、電源部１１３、マイク・スピーカ１１１、ＡＤ／ＤＡ２０，外部接続端子１９，データ表示用の液晶ディスプレイ等の表示部１４、及び数字キー、カーソルキー、選択確定キー等から構成される入力部１３等が接続される。ＣＰＵ１１は、バス１７を介して携帯電話機１の上述したようなハードウェア各部と接続されていて、それらを制御すると共に、ＲＯＭ１５に格納された制御プログラム１５Ｐに従って、種々のソフトウェア的機能を実行する。

外部接続端子１９は例えば１６芯からなるインターフェースであり、ＵＳＢケーブル等を介して、図示しないパーソナルコンピュータ、または周辺機器と接続される。ＲＡＭ１２は、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）またはフラッシュメモリ等で構成され、ソフトウェアの実行時に発生する一時的なデータを記憶する。ＲＯＭ１５は例えばＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）等で構成され、携帯電話機１の基本的操作環境を提供するＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、外部接続端子１９に接続された周辺機器等を制御するＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）、及びダウンロードまたは予めインストールされているＪａｖａ（登録商標）等のソフトウェアが記憶されている。

携帯電話機エンジン部１１０の入力部１３とは別に、顧客の指紋を取得する指紋取得部１１２が携帯電話機１の入力部１３の近傍に設けられている。指紋取得部１１２はスキャンして読み取った指紋情報をセキュリティチップ５へ出力する。なお、本実施の形態においては生体情報として指紋を用いることとしたが、これに限るものではなく、音声、網膜、または虹彩等の情報であっても良い。例えば、音声の場合マイク・スピーカ１１１から音声を取得し、音声をＡＤ／ＤＡ２０を用いて電気信号に変換し、ＣＰＵ１１へ出力し、予め記憶してある顧客本人の音声データと比較することにより認証を行う。

次に、セキュリティチップ５のハードウェア構成について説明する。セキュリティチップ５は、マイクロプロセッサ（以下、ＭＰＵという）５１、ＲＡＭ５２、ＥＥＰＲＯＭ等のＲＯＭ５５を備えている。ＭＰＵ５１は、バス５７を介して上述したＲＡＭ５２及びＲＯＭ５５と接続されていて、それらを制御すると共に、ＲＯＭ５５に格納された制御プログラム５５Ｐに従って、種々のソフトウェア的機能を実行する。ＲＯＭ５５には、認証機関サーバ３から受信した電子証明書を記憶する電子証明書ファイル５５３、携帯電話機１自身の個人鍵を記憶する個人鍵ファイル５５４、予め顧客の指紋情報を記憶した指紋情報ファイル５５２、及び、携帯電話機１の機器名・バージョン、周辺機器の機器名・バージョン、インストールされているソフトウェアのソフト名・バージョン等を記憶した環境情報ファイル５５１が用意されている。なお、携帯電話機１の個人鍵は認証機関サーバ３により発行され、この個人鍵と対になる携帯電話機１の公開鍵は認証機関サーバ３が管理している。

セキュリティチップ５のＭＰＵ５１は携帯電話機１の環境情報を収集して環境情報ファイル５５１に環境情報を記憶する。ＭＰＵ５１は、予め記憶されている携帯電話機１の機器名・バージョンをＲＯＭ１５から取得し、携帯電話機１自身の情報を取得する。例えば、情報処理装置が携帯電話機である場合、機器名・バージョン、情報処理装置が電子レンジである場合、メーカー名、機器名、型番等を取得する。また、ＭＰＵ５１は、ＲＯＭ１５のＢＩＯＳを参照して、外部接続端子１９に接続された機器の情報を取得して環境情報の一つとして環境情報ファイル５５１に記憶する。例えば、図示しないコンピュータが外部接続端子１９に接続された場合、コンピュータの機器名等が取得される。また情報処理装置がパーソナルコンピュータである場合に、外部接続端子１９としてのＰＣカードスロットにＰＣカードが接続された場合は、該ＰＣカードの機器名等を取得する。

環境情報としてはさらに、携帯電話機１にインストールされているソフトウェアの情報が該当する。ＭＰＵ５１はＲＯＭ１５のＯＳ及びソフトウェアを参照し、インストールされているソフトウェアの名称及びバージョンを取得する。例えば、情報処理装置がパーソナルコンピュータである場合、ＯＳの名称としてウィンドウズ（登録商標）またはＬｉｎｕｘ、バージョンとしてＳｅｃｏｎｄ Ｅｄｉｔｉｏｎ等の環境情報が取得され、インストールされているソフトウェアとしてブラウザのインターネットエクスプローラ（登録商標）、バージョンとしてＳＰ２等の情報が取得される。その他、インターネットＮを通じてダウンロードしたＪａｖａ（登録商標）等で記述されたソフトウェアの名称などが該当する。このようにＭＰＵ５１はＲＯＭ内のＢＩＯＳ、ＯＳ等を常時監視しており、新たなソフトウェアがインストールされた場合、または外部接続端子１９に新たな機器が接続された場合、環境情報としてそれらの情報を収集して環境情報ファイル５５１に記憶する。

指紋情報ファイル５５２は本人認証のために用いるものであり、例えば携帯電話機１の購入時に、店舗において顧客の指紋を取得しＲＯＭ５５内の指紋情報ファイル５５２に初期登録する。ＭＰＵ５１は指紋取得部１１２から、指紋情報が読み取られて出力された場合は、出力された指紋情報と指紋情報ファイル５５２に記憶した指紋情報とを比較して適正か否かを判断する。なお、本実施の形態においては認証に用いる指紋情報ファイル５５２を携帯電話機１に設けることとしているが、これに限るものではなく、中央サーバ２または認証機関サーバ３等に設け、中央サーバ２または認証機関サーバ３等で、認証を行うようにしても良い。この場合、個人鍵ファイル５５４の個人鍵で暗号化された指紋情報が電子証明書と共に中央サーバ２または認証機関サーバ３へ送信され認証が行われる。

電子証明書ファイル５５３には認証機関サーバ３から発行を受けた電子証明書が記憶されており、また個人鍵ファイル５５４には同じく認証機関サーバ３から発行を受けた携帯電話機１用の個人鍵が記憶されている。なお、携帯電話機１用の公開鍵は認証機関サーバ３が記憶している。ＭＰＵ５１は送受信される商取引に関するデータ、また環境情報、指紋情報等については、メッセージダイジェストと共に個人鍵で暗号化し、暗号化データと電子証明書とをインターネットＮを介して中央サーバ２等に送信する。

図３は中央サーバ２のハードウェア構成を示すブロック図である。図に示すように、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２１にはバス２７を介してＲＡＭ２２，ハードディスク等の記憶部２５、携帯電話機１、認証機関サーバ３及びＷｅｂサーバ４等と情報を送受信するためのゲートウェイ、ＬＡＮカード等の通信部２６，液晶ディスプレイ等の表示部２４、及びキーボード、マウス等の入力部２３が接続される。ＣＰＵ２１は、バス２７を介して中央サーバ２の上述したようなハードウェア各部と接続されていて、それらを制御すると共に、記憶部２５に格納された制御プログラム２５Ｐに従って、種々のソフトウェア的機能を実行する。また、記憶部２５には送受信される情報の安全性の階級に応じて環境条件が記憶された環境情報データベース（以下、環境情報ＤＢという）２５１が設けられている。

図４は環境情報ＤＢ２５１のレコードレイアウトを示す説明図である。図に示すように階級に応じて環境情報の条件が記憶されている。階級フィールドは送受信される情報の安全性の重要度に応じて１〜６に階級付けされており、階級１が最も安全性のレベルが高く、階級６が安全性のレベルが最も低いことを示す。金額情報フィールド及び商品情報フィールドに示すように、１００円程度の少額の取引、または商品が着信メロディ（以下、着メロという）等の価格の低い商品等の場合は、安全性よりも円滑な取引を重視する必要があることから、階級が６とされている。一方、５００００円以上の高額商品の取引である場合、商品が株券等の場合は、高い安全性を確保する必要があるので階級が１とされている。

環境条件フィールド中の装置情報フィールドには顧客の携帯電話機１の機器名・バージョンが階級に対応づけられて記憶されている。例えば、階級１の場合、最新機種であるＳ００４，Ｆ００４，及びＮ００４である携帯電話機１であることが条件とされており、環境情報としてこの条件を満たさない限り環境認証において適正と判断されない。特にＳ００４については、携帯電話機１のバージョンが２．０以上であることも条件とされている。これに対し、階級６の場合、古い機種であるＳ００１を含め、Ｓ００１，Ｓ００２，Ｓ００３及びＳ００４の他、同様にＦ００１〜Ｆ００４、並びにＮ００１〜Ｎ００４の携帯電話機１であれば、適正と判断される。

周辺機器フィールドも同様に階級毎に周辺機器の機器名及びバージョンが記憶されており、環境認証に利用される。例えば、階級６の場合は、周辺機器ＸＸ，ＸＹ等が接続されている場合でも、環境認証において適正と判断される。その一方で階級１の場合は、対応する周辺機器の条件が記憶されておらず、環境情報として携帯電話機１から、周辺機器の情報が送信された場合は、適正と判断されない。すなわち階級１の場合はいかなる周辺機器が接続されていても環境認証において不適正と判断される。なお、これらの情報は各ベンダーから提供されるものを記憶している。

同じくソフトウェアフィールドも階級に応じてソフトウェア名及びバージョンが記憶されている。階級１ではソフトウェアＣであって、バージョンが３．０以上の場合に適正と判断される。その一方で、階級６の場合はソフトウェアＣであってバージョンが１．０以上であれば適正と判断される。このように階級を設けて安全性を判断したのは、円滑な商取引と安全性の維持とのバランスを考慮したものである。例えば、情報処理装置がパーソナルコンピュータである場合、インストールされるブラウザは顧客によって異なる。例えば、マイクロソフト（登録商標）社のインターネットエクスプローラ（登録商標）では、複数のバージョンが存在し、バージョンが上がるに連れセキュリティホールの存在が少なくなっている。

高度な安全性が要求される場合は、環境情報を取得して、セキュリティホールのない最新のバージョンのブラウザである場合にのみ適正であると判断し、以降の商取引を許可することも考えられるが、そうすると、最新のバージョンをインストールしていない顧客は全く商取引を行うことができず妥当性を欠くことになる。そこで、安全性がそれほど要求されない低額商品等である場合は、認証の階級を低くし、多少バージョンが古いブラウザであっても、一定条件下で適正と判断し商取引を認めることとしたものである。

以上のハードウェア構成において本発明における安全性判断の処理手順を、フローチャートを用いて説明する。図５はＷｅｂサーバ４と携帯電話機１との間の商取引の手順を示すフローチャートである。まず、携帯電話機１の入力部１３に商取引を行うオンラインショップのＷｅｂサーバ４のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｅｒ）を入力して、商品発注ページの取得要求をＷｅｂサーバ４に対して行う（ステップＳ５１）。ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）サーバとしてのＷｅｂサーバ４は図示しない記憶部から対応するｃＨＴＭＬ（ｃｏｍｐａｃｔ Ｈｙｐｅｒｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）ファイルを読み出し（ステップＳ５２）、読み出したｃＨＴＭＬファイルを携帯電話機１へ送信する（ステップＳ５３）。

携帯電話機１のＣＰＵ１１は受信したｃＨＴＭＬをＲＯＭ１５に記憶したブラウザソフトウェアにて解析し、図６の如く商取引のＷｅｂページを表示する（ステップＳ５４）。図６はＷｅｂページのイメージを示す説明図である。図に示すように表示部１４には発注する商品、数量、及び金額の情報が表示される。顧客は発注する商品及び数量を、入力部１３を操作して選択する。商品が選択された場合は、ＣＰＵ１１はｃＨＴＭＬファイルと同時に送信されたＪａｖａスクリプトを実行し合計金額を算出して表示する。本実施の形態におけるオンラインショップは、パーソナルコンピュータ、プリンタ、ディスクドライブ等のコンピュータ関連機器を販売しており、顧客は２９８００円のインクジェットプリンタを１台注文する様子を示している。すなわち顧客は商取引に関する注文情報として、金額情報または商品情報を入力する。この他、住所、電話番号、氏名、ＩＤ、パスワード等を入力させるようにしても良い。

このようにして入力部１３から注文情報が入力され、ＣＰＵ１１はこの注文情報を受け付ける（ステップＳ５５）。そして、図６に示す「発注する」ボタンが選択された場合、安全性の判断処理に移行する（ステップＳ５６）。なお、ステップＳ５７以降の処理については後述する。以下に、本発明の特徴である安全性の判断処理のサブルーチンを、フローチャートを用いて説明する。

図７乃至図１２は安全性の判断処理の手順を示すフローチャートである。注文情報が入力された場合、セキュリティチップ５のＭＰＵ５１は制御プログラム５５Ｐを実行し、表示部１４に指紋情報の取得要求を表示する（ステップＳ７１）。表示する内容は予めＲＯＭ５５に記憶されており、例えば、「指紋取得部に親指をおいて下さい。」等の情報を読み出して表示部１４へ出力するようにすればよい。指紋取得部１１２から指紋情報が入力された場合、セキュリティチップ５のＭＰＵ５１は指紋情報を受け付け（ステップＳ７２）、ＲＡＭ５２に一時的に記憶する。そして、ＭＰＵ５１はＲＯＭ５５の指紋情報ファイル５５２に携帯電話機１の購入時に予め記憶してある指紋情報を読み出し、ＲＡＭ５２に記憶した指紋情報と比較して一致するか否か、すなわち指紋情報認証が適正であるか否か判断する（ステップＳ７３）。

指紋が一致し、指紋情報認証が適正であると判断した場合は（ステップＳ７３でＹＥＳ）、指紋認証適正フラグをセットし、セットした指紋認証適正フラグを中央サーバ２へ送信する（ステップＳ７５）。一方、指紋が一致せず、指紋情報認証が不適正であると判断した場合（ステップＳ７３でＮＯ）、指紋認証不適正フラグをセットし、セットした指紋認証不適正フラグを中央サーバ２へ送信する（ステップＳ７４）。中央サーバ２のＣＰＵ２１は送信された指紋認証フラグ（指紋認証適正フラグまたは指紋認証不適正フラグ）を記憶部２５に記憶する（ステップＳ７７）。なお、本実施の形態においては指紋を用いた生体認証を携帯電話機１において実行することとしたが、予め採取した指紋情報を認証機関サーバ３または中央サーバ２に記憶しておき、認証機関サーバ３または中央サーバ２において判断するようにしても良い。これにより指紋を用いた生体認証が終了する。

続いて、電子証明書を用いた認証へ移行する。セキュリティチップ５のＭＰＵ５１は、ステップＳ５５で入力された注文情報に、ＲＯＭ５５に記憶したハッシュ関数を用いてメッセージダイジェストを算出する（ステップＳ７６）。ＭＰＵ５１は認証機関サーバ３から予め発行を受けた携帯電話機１の個人鍵を個人鍵ファイル５５４から読み出し、注文情報及びメッセージダイジェストを暗号化する（ステップＳ８１）。さらに、ＭＰＵ５１は電子証明書ファイル５５３から認証機関サーバ３において予め発行を受けた電子証明書を読み出し、暗号化した注文情報及びメッセージダイジェストに電子証明書を添付して中央サーバ２へ送信する（ステップＳ８２）。中央サーバ２のＣＰＵ２１は送信された電子証明書、暗号化された注文情報及びメッセージダイジェストをＲＡＭ２２に記憶する。

中央サーバ２のＣＰＵ２１は電子証明書に記載されている認証機関サーバ３へアクセスし、受信した電子証明書の公開鍵（認証機関の公開鍵）の取得を要求する（ステップＳ８３）。認証機関サーバ３は、電子証明書の公開鍵を中央サーバ２へ送信する（ステップＳ８４）。中央サーバ２のＣＰＵ２１は、記憶した電子証明書をＲＡＭ２２から読み出し、認証機関サーバ３から送信された認証機関の公開鍵を用いて電子証明書を復号し、携帯電話機１の公開鍵を取得する（ステップＳ８５）。

中央サーバ２のＣＰＵ２１は取得した携帯電話機１の公開鍵を用いて暗号化された注文情報及びメッセージダイジェストを復号する（ステップＳ９１）。さらにＣＰＵ２１は復号した注文情報に、中央サーバ２の記憶部２５に記憶したハッシュ関数を用いてメッセージダイジェストを算出する（ステップＳ９２）。中央サーバ２のＣＰＵ２１はステップＳ９１で復号したメッセージダイジェストと、ステップＳ９２で算出したメッセージダイジェストとが一致するか否か、すなわち送信の途中で注文情報に改竄がないか、また権限のある顧客の携帯電話機１から情報が送受信されたものであるか否かを判断する（ステップＳ９３）。

メッセージダイジェストが一致しない場合は（ステップＳ９３でＮＯ）、ＣＰＵ２１は何らかの改竄またはなりすましがあったと判断し、電子証明書認証の不適正フラグをセットする（ステップＳ９５）。一方、メッセージダイジェストが一致する場合は（ステップＳ９３でＹＥＳ）、なりすまし及び改竄がないものとして電子証明書認証の適正フラグをセットする（ステップＳ９４）。そして、中央サーバ２のＣＰＵ２１は電子証明書認証のフラグ（電子証明書認証適正フラグ、または電子証明書認証不適正フラグ）を記憶部２５に記憶する（ステップＳ９６）。これにより、電子証明書を用いた認証が終了する。

続いて環境認証について説明する。セキュリティチップ５のＭＰＵ５１は携帯電話機１の環境情報を取得する（ステップＳ１０１）。環境情報の収集は、上述したようにＭＰＵ５１が携帯電話機１のＲＯＭ１５のＯＳ、ＢＩＯＳ及びインストールされるソフトウェアを常駐して監視し、携帯電話機１の機器名、ＯＳの名称、バージョン、外部接続端子１９に接続された周辺機器の機器名、バージョン、インストールされたブラウザ等のソフトウェアのソフト名、バージョンなどを収集することにより行われる。収集された環境情報は環境情報ファイル５５１に記憶される（ステップＳ１０２）。

ＭＰＵ５１は環境情報ファイル５５１から収集した環境情報を読み出して中央サーバ２へ送信する（ステップＳ１０３）。中央サーバ２のＣＰＵ２１は送信された環境情報をＲＡＭ２２に記憶する。中央サーバ２のＣＰＵ２１はステップＳ９１にて復号した注文情報に対応する階級の読み出しを、環境情報ＤＢ２５１を参照して行う（ステップＳ１０４）。つまり、ＣＰＵ２１は金額情報または商品情報フィールドを参照して、注文情報中の取り引きされる金額または商品等を基に、対応する階級を階級フィールドから読み出す。例えば注文する商品の金額が５００００円を超える場合は階級１が選択される。

ＣＰＵ２１は読み出した階級に対応する環境情報の条件を環境情報ＤＢ２５１から読み出す（ステップＳ１０５）。つまり、読み出した階級を基に、環境条件フィールドから対応する携帯電話機１の装置名・バージョン、ソフト名・バージョン、周辺機器の機器名・バージョンを読み出す。そして、ＣＰＵ２１は、ＲＡＭ２２に記憶され、受信した環境情報が、読み出した環境情報の条件を満たすか否かを判断する（ステップＳ１１１）。条件を満たさない場合（ステップＳ１１１でＮＯ）（例えば階級が１であり、環境情報としてソフトウェアＣのバージョン２．０が送信された場合、バージョン３．０以上という条件を満たさない）、環境認証不適正フラグをセットする（ステップＳ１１２）。一方、条件を満たす場合（ステップＳ１１１でＹＥＳ）、環境認証適正フラグをセットする（ステップＳ１１３）。例えば、条件として階級が１の場合に、環境情報として「携帯電話機１の装置名が最新機種Ｆ００４、バージョンは２．０、ソフトウェアはソフトウェアＣのバージョン５．０がインストールされており、かつ周辺機器に何も接続されていない」場合、環境が適正であると判断する。中央サーバ２のＣＰＵ２１は環境認証のフラグ（環境認証適正フラグ、または環境認証不適正フラグ）を記憶部２５に記憶する（ステップＳ１１４）。これにより環境認証が終了する。

ＣＰＵ２１は、記憶部２５に記憶した指紋認証フラグ、電子証明書フラグ及び環境認証フラグを読み出し、指紋認証適正フラグ、電子証明書適正フラグ及び環境認証適正フラグの全てがアンド条件でセットされているか否かを判断する（ステップＳ１１５）。全ての適正フラグがセットされている場合（ステップＳ１１５でＹＥＳ）、携帯電話機１を安全なものと判断し安全フラグをセットする（ステップＳ１２１）。換言すれば、生体認証、電子証明書認証（ＰＫＩ認証）、および環境認証の全てにおいて適正と判断された場合に限り携帯電話機１を適正なものであると判断する。中央サーバ２のＣＰＵ２１は安全であることを示す安全保証情報及び注文情報をＷｅｂサーバ４へ送信する（ステップＳ１２２）。

一方、生体認証、電子証明書認証（ＰＫＩ認証）、および環境認証の内、１つでも不適正フラグがセットされている場合は、不適正フラグをセットする（ステップＳ１２３）。この場合ＣＰＵ２１は携帯電話機１が危険であることを示す危険情報をＷｅｂサーバ４へ送信し（ステップＳ１２４）、安全性判断のサブルーチン（ステップＳ５６）を終了する。

図５において、Ｗｅｂサーバ４は、携帯電話機１の危険情報を中央サーバ２から受信したか否かを判断する（ステップＳ５７）。危険情報を受信していない場合（ステップＳ５７でＮＯ）、Ｗｅｂサーバ４は安全保証情報及び注文情報を受信したか否かを判断する（ステップＳ５８）。安全保証情報及び注文情報を受信していない場合（ステップＳ５８でＮＯ）、またステップＳ５７においてＹＥＳの場合、携帯電話機１は不正の可能性が高いとして、商取引の中止を求める情報を携帯電話機１へ送信する（ステップＳ５９）。一方、安全保証情報及び注文情報を受信した場合（ステップＳ５８でＹＥＳ）、携帯電話機１の安全性は保証されたものであるものとして、注文の受注を正式に行い、受注を行われたことを示す受注確認情報を携帯電話機１へ送信する（ステップＳ５１０）。このように、商取引に先立ち、本人認証、ＰＫＩ認証及び環境認証を行って十分な安全性を確保すると共に、取り引きされる商品の価値に応じて認証レベルを変化させることで円滑な商取引を実現することが可能となる。

実施の形態２
図１３は実施の形態２に係る携帯電話機１のハードウェア構成を示すブロック図である。実施の形態１に係る携帯電話機１に実行させるためのコンピュータプログラムは、本実施の形態２のように携帯電話機１にプレインストールして提供することも、またＣＤ−ＲＯＭ、ＭＯ、メモリーカード等の可搬型記録媒体で提供することも可能である。さらに、コンピュータプログラムを回線経由で搬送波として伝搬させて提供することも可能である。すなわち、セキュリティチップ５を搭載する代わりに、セキュリティチップ５と同様の機能をもつコンピュータプログラムを携帯電話機１のＲＯＭ１５にインストールするようにしても良い。以下に、その内容を説明する。

図１３に示す携帯電話機１に、生体情報を認証させ、環境情報を収集させ、環境情報を送信させ、暗号化情報を送信させ、安全性を判断させるプログラムが記録された記録媒体１ａ（ＣＤ−ＲＯＭ、ＭＯ、メモリーカード又はＤＶＤ−ＲＯＭ等）が携帯電話機１のＲＯＭ１５にインストールされている。インストールの方法としては、外部接続端子１９に接続可能なメモリーカード等の記録媒体１ａを嵌挿し、プログラムをインストールするか、または、中央サーバ２から本発明に係るプログラムをダウンロードする。係るプログラムは携帯電話機１のＲＡＭ１２にロードして実行される。これにより、上述のような本発明の情報処理装置としての携帯電話機１として機能する。

実施の形態３
実施の形態１においては、生体情報の認証をセキュリティチップ５において行うこととしたが、中央サーバ２または認証機関サーバ３において実行しても良い。実施の形態３は、生体情報の認証を中央サーバ２において実行する形態であって、また予めセキュリティポリシーが決定されている場合に、本発明を適用した形態について説明する。

図１４は実施の形態３に係る携帯電話機１のハードウェア構成を示すブロック図であり、図１５は中央サーバ２のハードウェア構成を示すブロック図である。図１４及び図１５に示すように生体情報の認証は中央サーバ２で実行するため、認証用の指紋情報ファイル２５２は携帯電話機１の内部ではなく中央サーバ２の記憶部２５に記憶されている。なお、認証用の指紋情報は、認証前に、顧客に店舗、サービスセンター等に来店してもらい、免許証、パスポートなどで本人であることを確認した上で、その場で指紋を読み取るなどして初期登録するようにすればよい。

図１６乃至図２０は実施の形態３に係る安全性の判断処理の手順を示すフローチャートである。まず、セキュリティチップ５のＭＰＵ５１は以後の通信を行うために、安全性の確認を開始することを示す信号を中央サーバ２へ送信する（ステップＳ１６１）。中央サーバ２のＣＰＵ２１は確認開始信号を受信した場合、通信の安全性の階級を決定する（ステップＳ１６２）。この階級の決定にあたっては、予め決定したセキュリティポリシーに従って決定する。例えば、以後行われる通信が、住民票の発行、株取引等、高い安全性が必要とされる場合は階級１と決定され、着メロ、待ち受け画面の画像データ等、安全性がそれほど要求されない場合は、階級６とされる。また公共料金の支払い等においては、中程度の安全性を確保するために階級３と決定する。

中央サーバ２のＣＰＵ２１は階級の決定後、確認開始信号に対する応答信号を携帯電話機１へ送信する（ステップＳ１６３）。応答信号を受信した場合、セキュリティチップ５のＭＰＵ５１は制御プログラム５５Ｐを実行し、表示部１４に指紋情報の取得要求を表示する（ステップＳ１６４）。表示する内容は予めＲＯＭ５５に記憶されており、例えば、「指紋取得部に親指をおいて下さい。」等の情報を読み出して表示部１４へ出力するようにすればよい。指紋取得部１１２から指紋情報が入力された場合、セキュリティチップ５のＭＰＵ５１は指紋情報を受け付け、ＲＡＭ５２に一時的に記憶する（ステップＳ１６５）。

そして、セキュリティチップ５のＭＰＵ５１は携帯電話機１の環境情報を取得する（ステップＳ１６６）。環境情報の収集は、上述したようにＭＰＵ５１が携帯電話機１のＲＯＭ１５のＯＳ、ＢＩＯＳ及びインストールされるソフトウェアを常駐して監視し、携帯電話機１の機器名、ＯＳの名称、バージョン、外部接続端子１９に接続された周辺機器の機器名、バージョン、インストールされたブラウザ等のソフトウェアのソフト名、バージョンなどを収集することにより行われる。収集された環境情報は環境情報ファイル５５１に記憶される（ステップＳ１６７）。

セキュリティチップ５のＭＰＵ５１はＲＡＭ５２に記憶した生体情報及び環境情報ファイル５５１に記憶した環境情報を読み出す（ステップＳ１６８）。セキュリティチップ５のＭＰＵ５１は、読み出した生体情報及び環境情報に、ＲＯＭ５５に記憶したハッシュ関数を用いてメッセージダイジェストを算出する（ステップＳ１６９）。ＭＰＵ５１は認証機関サーバ３から予め発行を受けた携帯電話機１の個人鍵を個人鍵ファイル５５４から読み出し、生体情報及び環境情報並びにメッセージダイジェストを暗号化する（ステップＳ１７１）。さらに、ＭＰＵ５１は電子証明書ファイル５５３から認証機関サーバ３において予め発行を受けた電子証明書を読み出し、暗号化した生体情報及び環境情報並びにメッセージダイジェストに電子証明書を添付して中央サーバ２へ送信する（ステップＳ１７２）。中央サーバ２のＣＰＵ２１は送信された電子証明書、暗号化された生体情報及び環境情報並びにメッセージダイジェストをＲＡＭ２２に記憶する。なお、本実施の形態においては生体情報及び環境情報の双方を暗号化して送信しているが、生体情報または環境情報のいずれか一方のみを暗号化して送信するようにしても良い。

中央サーバ２のＣＰＵ２１は電子証明書に記載されている認証機関サーバ３へアクセスし、受信した電子証明書の公開鍵（認証機関の公開鍵）の取得を要求する（ステップＳ１７３）。認証機関サーバ３は、電子証明書の公開鍵を中央サーバ２へ送信し、中央サーバ２は送信された電子証明書の公開鍵を受信する（ステップＳ１７４）。中央サーバ２のＣＰＵ２１は、記憶した電子証明書をＲＡＭ２２から読み出し、認証機関サーバ３から送信された認証機関の公開鍵を用いて電子証明書を復号し携帯電話機１の公開鍵を取得する（ステップＳ１７５）。

中央サーバ２のＣＰＵ２１は取得した携帯電話機１の公開鍵を用いて暗号化された生体情報及び環境情報並びにメッセージダイジェストを復号する（ステップＳ１８１）。さらにＣＰＵ２１は復号した生体情報及び環境情報に、中央サーバ２の記憶部２５に記憶したハッシュ関数を用いてメッセージダイジェストを算出する（ステップＳ１８２）。中央サーバ２のＣＰＵ２１はステップＳ１８１で復号したメッセージダイジェストと、ステップＳ１８２で算出したメッセージダイジェストとが一致するか否か、すなわち送信の途中で生体情報及び環境情報に改竄がないか、また権限のある顧客の携帯電話機１から情報が送受信されたものであるか否かを判断する（ステップＳ１８３）。

メッセージダイジェストが一致しない場合は（ステップＳ１８３でＮＯ）、ＣＰＵ２１は何らかの改竄またはなりすましがあったと判断し、電子証明書認証の不適正フラグをセットする（ステップＳ１８５）。一方、メッセージダイジェストが一致する場合は（ステップＳ１８３でＹＥＳ）、なりすまし及び改竄がないものとして電子証明書認証の適正フラグをセットする（ステップＳ１８４）。そして、中央サーバ２のＣＰＵ２１は電子証明書認証のフラグ（電子証明書認証適正フラグ、または電子証明書認証不適正フラグ）を記憶部２５に記憶する（ステップＳ１８６）。

続いて、中央サーバ２のＣＰＵ２１は指紋情報ファイル２５２から予め登録された認証用の指紋情報を読み出す（ステップＳ１８７）。ＣＰＵ２１は復号した指紋情報と、読み出した認証用の指紋情報とを比較して一致するか否か、すなわち指紋情報認証が適正であるか否か判断する（ステップＳ１９１）。

指紋が一致し、指紋情報認証が適正であると判断した場合は（ステップＳ１９１でＹＥＳ）、指紋認証適正フラグをセットする（ステップＳ１９２）。一方、指紋が一致せず、指紋情報認証が不適正であると判断した場合（ステップＳ１９１でＮＯ）、指紋認証不適正フラグをセットする（ステップＳ１９３）。中央サーバ２のＣＰＵ２１は指紋認証フラグ（指紋認証適正フラグまたは指紋認証不適正フラグ）を記憶部２５に記憶する（ステップＳ１９４）。

中央サーバ２のＣＰＵ２１はステップＳ１６２で決定した階級に対応する環境情報の条件を環境情報ＤＢ２５１から読み出す（ステップＳ１９５）。そして、ＣＰＵ２１は、復号された環境情報が、ステップＳ１９５にて読み出された環境情報の条件を満たすか否かを判断する（ステップＳ１９６）。条件を満たさない場合（ステップＳ１９６でＮＯ）、環境認証不適正フラグをセットする（ステップＳ１９８）。一方、条件を満たす場合（ステップＳ１９６でＹＥＳ）、環境認証適正フラグをセットする（ステップＳ１９７）。中央サーバ２のＣＰＵ２１は環境認証のフラグ（環境認証適正フラグ、または環境認証不適正フラグ）を記憶部２５に記憶する（ステップＳ２０１）。

ＣＰＵ２１は、記憶部２５に記憶した指紋認証フラグ、電子証明書フラグ及び環境認証フラグを読み出し、指紋認証適正フラグ、電子証明書適正フラグ及び環境認証適正フラグの全てがアンド条件でセットされているか否かを判断する（ステップＳ２０２）。全ての適正フラグがセットされている場合（ステップＳ２０２でＹＥＳ）、携帯電話機１を安全なものと判断し安全フラグをセットする（ステップＳ２０３）。換言すれば、生体認証、電子証明書認証（ＰＫＩ認証）、および環境認証の全てにおいて適正と判断された場合に限り携帯電話機１を適正なものであると判断する。中央サーバ２のＣＰＵ２１は携帯電話機１またはＷｅｂサーバ４に通信を継続することを示す信号を送信する（ステップＳ２０４）。

一方、生体認証、電子証明書認証（ＰＫＩ認証）、および環境認証の内、１つでも不適正フラグがセットされている場合は、不適正フラグをセットする（ステップＳ２０５）。この場合ＣＰＵ２１は携帯電話機１またはＷｅｂサーバ４に通信を終了することを示す信号を送信する（ステップＳ２０６）。

実施の形態４
実施の形態４は、パッチ用のソフトウェア、ファームウェアを提供する場合に適用される安全性判断システムに関する。ＰＤＡ、携帯電話機、冷蔵庫、空気調和機、プリンタ等においては、内蔵されるソフトウェアのバグが発見される場合があり、この場合、パッチ用のソフトウェアを提供する必要がある。また、追加機能を備えるファームウェアを提供する場合もある。実施の形態４では安全性を確保した上でこれらのソフトウェアを顧客に提供することが可能な安全性判断システムについて説明する。

図２１は実施の形態４に係る携帯電話機１のハードウェア構成を示すブロック図である。図２１に示す１１４は携帯電話機エンジン部１１０に電力を供給する主電力供給手段（以下、主電源部という）であり、リチウム電池等が用いられる。入力部１３の図示しないオンボタンの操作により、主電源部１１４から携帯電話機エンジン部１１０及びセキュリティチップ５へ電力が供給され、図示しないオフボタンの操作により、主電源部１１４から携帯電話機エンジン部１１０及びセキュリティチップ５への電力が遮断され携帯電話機１の電源が切られる。

一方、副電力供給手段（以下、副電源部という）１１５は、例えばコイン形のリチウム電池が用いられ、主電源部１１４による携帯電話機エンジン部１１０及びセキュリティチップ５への電力供給が行われていない場合にでも、蓄積手段としての第２ＲＯＭ１１６及び受信通信手段としての副アンテナ部１１７に電力を供給する。主電源部１１４により電力が供給されている場合、すなわち携帯電話機の電源がオンの場合に、中央サーバ２からソフトウェアが送信されたときは、該ソフトウェアはアンテナ部１６からソフトウェアを受信し、ＣＰＵ１１がＲＯＭ１５にソフトウェアを記憶する。この場合、副電源部１１５による電力供給は行われていない。

逆に、主電源部１１４による電力供給がなされていない場合、すなわち携帯電話機１の電源がオフの場合、副電源部１１５により、副アンテナ部１１７及び第２ＲＯＭ１１６に電源が供給される。そして、中央サーバ２からソフトウェアが送信された場合、副アンテナ部１１７でソフトウェアを受信し、第２ＲＯＭ１１６に受信したソフトウェアを記憶し、主電源による電力が供給された時点で、第２ＲＯＭ１１６に記憶したソフトウェアをＲＯＭ１５に書き込む処理を行う。なお、副アンテナ部１１７は、例えば公知のＦＭ文字多重放送受信モジュールを用いればよい。この場合、中央サーバはＦＭ放送局を介してソフトウェアを含むＦＭ文字放送を発信する。副アンテナ部１１７であるＦＭ文字多重放送受信モジュールが、ＦＭ文字放送を受信した場合、ＤＡＲＣ規格の文字コードで記述されたソフトウェアのデータを、Ｃ言語、Ｊａｖａ等で記述されたソースコードに変換する。最後にセキュリティチップ５のＭＰＵ５１は本人認証、ＰＫＩ認証及び環境認証を行った上で、ＲＯＭ１５にソフトウェアをインストールする。

図２２は中央サーバ２のハードウェア構成を示すブロック図である。図２２に示すように記憶部２５には、認証機関サーバ３による認証を経たパッチ用のソフトウェア、ファームウェア、プラグインソフト、ワクチン等の数々のソフトウェアが記憶されている。なお、これらのソフトウェアはソフトウェア会社から提供をうけている。電子証明書ファイル２５３には、予め認証機関サーバ３から発行を受けた中央サーバ２の電子証明書が記憶されており、個人鍵ファイル２５４にも同じく、予め認証機関サーバ３から発行を受けた中央サーバ２の個人鍵が記憶されている。

以上のハードウェア構成において安全性が保証されたソフトウェアの提供処理について、フローチャートを用いて説明する。図２３乃至図２９は実施の形態４に係るソフトウェア提供処理の手順を示すフローチャートである。まず、中央サーバ２のＣＰＵ２１は携帯電話機１に発呼するなどして、主電源がオンかオフかの情報の取得要求を行う（ステップＳ２３１）。携帯電話機１は主電源がオンかオフの情報を送信する（ステップＳ２３２）。中央サーバ２は主電源がオンであるか否かを判断し（ステップＳ２３３）、主電源がオンである場合（ステップＳ２３３でＹＥＳ）、ステップＳ１６２で説明した如く安全性の階級を決定する（ステップＳ２３４）。この安全性に関しては提供されるソフトウェアの重要度に応じて管理者が決定するようにすればよい。例えばパッチ用ソフトウェアまたはワクチンソフトの場合は安全性を高めるべく階級１と決定され、ゲーム用のソフトウェアなど安全性が低いものは階級６と決定される。

中央サーバ２のＣＰＵ２１は認証開始信号を携帯電話機１へ送信する（ステップＳ２３５）。認証開始信号を受信したセキュリティチップ５のＭＰＵ５１は、制御プログラム５５Ｐを実行し、表示部１４に指紋情報の取得要求を表示する（ステップＳ２３６）。指紋取得部１１２から指紋情報が入力された場合、セキュリティチップ５のＭＰＵ５１は指紋情報を受け付け（ステップＳ２３７）、ＲＡＭ５２に一時的に記憶する。そして、ＭＰＵ５１はＲＯＭ５５の指紋情報ファイル５５２に携帯電話機１の購入時に予め記憶してある指紋情報を読み出し、ＲＡＭ５２に記憶した指紋情報と比較して一致するか否か、すなわち指紋情報認証が適正であるか否か判断する（ステップＳ２４１）。

指紋が一致し、指紋情報認証が適正であると判断した場合は（ステップＳ２４１でＹＥＳ）、指紋認証適正フラグをセットする（ステップＳ２４３）。一方、指紋が一致せず、指紋情報認証が不適正であると判断した場合（ステップＳ２４１でＮＯ）、指紋認証不適正フラグをセットする（ステップＳ２４２）。ＭＰＵ５１は送信された指紋認証フラグ（指紋認証適正フラグまたは指紋認証不適正フラグ）を記憶部５５に記憶する（ステップＳ２４４）。

次に、セキュリティチップ５のＭＰＵ５１は携帯電話機１の環境情報を取得する（ステップＳ２４５）。収集された環境情報は環境情報ファイル５５１に記憶される（ステップＳ２４６）。ＭＰＵ５１は環境情報ファイル５５１から収集した環境情報を読み出して中央サーバ２へ送信する（ステップＳ２４７）。中央サーバ２のＣＰＵ２１は送信された環境情報をＲＡＭ２２に記憶する。中央サーバ２のＣＰＵ２１はステップＳ１６２にて決定した階級に対応する環境情報の条件を環境情報ＤＢ２５１から読み出す（ステップＳ２４８）。

そして、ＣＰＵ２１は、ＲＡＭ２２に記憶され、受信した環境情報が、読み出した環境情報の条件を満たすか否かを判断する（ステップＳ２５１）。条件を満たさない場合（ステップＳ２５１でＮＯ）、環境認証不適正フラグをセットする（ステップＳ２５３）。一方、条件を満たす場合（ステップＳ２５１でＹＥＳ）、環境認証適正フラグをセットする（ステップＳ２５２）。中央サーバ２のＣＰＵ２１は環境認証のフラグ（環境認証適正フラグ、または環境認証不適正フラグ）を記憶部２５に記憶し（ステップＳ２５４）、携帯電話機１へ送信する（ステップＳ２５５）。環境認証のフラグを受信したセキュリティチップ５のＭＰＵ５１は、環境認証フラグ（環境認証適正フラグ、または環境認証不適正フラグ）を記憶部５５に記憶する（ステップＳ２５６）。

さらに中央サーバ２のＣＰＵ２１は記憶部２５に記憶した提供用のソフトウェアを記憶部２５から読み出す（ステップＳ２５７）。ＣＰＵ２１は、読み出したソフトウェアに、記憶部２５に記憶したハッシュ関数を用いてメッセージダイジェストを算出する（ステップＳ２５８）。ＣＰＵ２１は認証機関サーバ３から予め発行を受けた中央サーバ２の個人鍵を個人鍵ファイル２５４から読み出し、ソフトウェア及びメッセージダイジェストを暗号化する（ステップＳ２５９）。ＣＰＵ２１は電子証明書ファイル２５３から認証機関サーバ３において予め発行を受けた電子証明書を読み出し、暗号化したソフトウェア及びメッセージダイジェストに電子証明書を添付して携帯電話機１へ送信する（ステップＳ２６１）。セキュリティチップ５のＭＰＵ５１は送信された電子証明書、暗号化されたソフトウェア及びメッセージダイジェストをＲＡＭ５２に記憶する。

セキュリティチップ５のＭＰＵ５１は電子証明書に記載されている認証機関サーバ３へアクセスし、受信した電子証明書の公開鍵（認証機関の公開鍵）の取得を要求する（ステップＳ２６２）。認証機関サーバ３は、電子証明書の公開鍵を携帯電話機１へ送信し、セキュリティチップ５のＭＰＵ５１は送信された公開鍵を受信する（ステップＳ２６３）。ＭＰＵ５１は記憶した電子証明書をＲＡＭ５２から読み出し、認証機関サーバ３から送信された認証機関の公開鍵を用いて電子証明書を復号し中央サーバ２の公開鍵を取得する（ステップＳ２６４）。

セキュリティチップ５のＭＰＵ５１は取得した中央サーバ２の公開鍵を用いて、暗号化されたソフトウェア及びメッセージダイジェストを復号する（ステップＳ２６５）。さらにＭＰＵ５１は復号したソフトウェアに、セキュリティチップ５のＲＯＭ５５に記憶したハッシュ関数を用いてメッセージダイジェストを算出する（ステップＳ２６６）。ＭＰＵ５１はステップＳ２６５で復号したメッセージダイジェストと、ステップＳ２６６で算出したメッセージダイジェストとが一致するか否か、すなわち送信の途中でソフトウェアに改竄がないか、また権限のある中央サーバ２から情報が送受信されたものであるか否かを判断する（ステップＳ２７１）。

メッセージダイジェストが一致しない場合は（ステップＳ２７１でＮＯ）、ＭＰＵ５１は何らかの改竄またはなりすましがあったと判断し、電子証明書認証の不適正フラグをセットする（ステップＳ２７２）。一方、メッセージダイジェストが一致する場合は（ステップＳ２７１でＹＥＳ）、なりすまし及び改竄がないものとして電子証明書認証の適正フラグをセットする（ステップＳ２７３）。そして、セキュリティチップ５のＭＰＵ５１は電子証明書認証のフラグ（電子証明書認証適正フラグ、または電子証明書認証不適正フラグ）をＲＯＭ５５に記憶する（ステップＳ２７４）。

ＭＰＵ５１はＲＯＭ５５に記憶した指紋認証フラグ、電子証明書フラグ及び環境認証フラグを読み出し、指紋認証適正フラグ、電子証明書適正フラグ及び環境認証適正フラグの全てがアンド条件でセットされているか否かを判断する（ステップＳ２７５）。全ての適正フラグがセットされている場合（ステップＳ２７５でＹＥＳ）、送信されたソフトウェアを安全なものと判断し安全フラグをセットする（ステップＳ２７８）。セキュリティチップ５のＭＰＵ５１はステップＳ２６５で復号されたソフトウェアを携帯電話機エンジン部１１０のＲＯＭ１５にインストールする（ステップＳ２７１０）。そして、ＭＰＵ５１はインストールが完了したことを示す信号を中央サーバ２へ送信する（ステップＳ２７１１）。

一方、生体認証、電子証明書認証（ＰＫＩ認証）、および環境認証の内、１つでも不適正フラグがセットされている場合（ステップＳ２７５でＮＯ）は、不適正フラグをセットする（ステップＳ２７９）。この場合ＭＰＵ５１はインストールを拒否することを示す信号を中央サーバ２へ送信する（ステップＳ２７１２）。

ステップＳ２３３でＮＯの場合、つまり携帯電話機１の主電源がオフの場合、中央サーバ２のＣＰＵ２１は記憶部２５に記憶した提供用のソフトウェアを記憶部２５から読み出す（ステップＳ２８１）。ＣＰＵ２１は、読み出したソフトウェアに、記憶部２５に記憶したハッシュ関数を用いてメッセージダイジェストを算出する（ステップＳ２８２）。ＣＰＵ２１は認証機関サーバ３から予め発行を受けた中央サーバ２の個人鍵を個人鍵ファイル２５４から読み出し、ソフトウェア及びメッセージダイジェストを暗号化する（ステップＳ２８３）。ＣＰＵ２１は電子証明書ファイル２５３から認証機関サーバ３において予め発行を受けた電子証明書を読み出し、暗号化したソフトウェア及びメッセージダイジェストに電子証明書を添付して、ＦＭ放送局のコンピュータ（図示せず）へ送信する（ステップＳ２８４）。

ＦＭ放送局のコンピュータは電子証明書、暗号化されたソフトウェア及びメッセージダイジェストをＤＡＲＣ規格の放送データに変換し、ＦＭ文字放送多重回路（図示せず）によってＦＭ音楽データと放送データとに多重化する。これらのデータはＦＭ変調発振器によりＦＭ変調されて放送される。携帯電話機１は副アンテナ部１１７からＦＭ文字放送を受信し（ステップＳ２８５）、ＤＡＲＣ規格の文字コードで記述されたデータを変換して電子証明書、暗号化したソフトウェア及びメッセージダイジェストを取り出す。なお、ＤＡＲＣ規格を利用したＦＭ文字放送に関する技術は特開平１０−１１６２３７号に開示されている。

変換された、電子証明書、ソフトウェア及びメッセージダイジェストは第２ＲＯＭ１１６に記憶される（ステップＳ２８６）。そして顧客の入力部１３の操作により、主電源部１１４による電力の供給が開始された場合（ステップＳ２９１）、ステップＳ２３６〜ステップＳ２４４で説明した処理と同様に指紋認証を行い（ステップＳ２９２）、ステップＳ２４５〜ステップＳ２５６で説明した処理と同様に環境認証を行い（ステップＳ２９４）、ステップＳ２６２〜ステップＳ２７４で説明した処理と同様に電子証明書による認証を行う（ステップＳ２９３）。なお、電子証明書による認証を行う場合は、ＣＰＵ５１が第２ＲＯＭ１１６に記憶された電子証明書、暗号化されたソフトウェア及びメッセージダイジェストを読み出して、ＲＡＭ５２に記憶してから、電子証明書による認証を行う。つまり、認証機関サーバ３から取得した公開鍵を用いて、電子証明書から公開鍵を取得し、取得した公開鍵で暗号化されたソフトウェアを復号し、復号されたソフトウェアが適正であるか否かを判断する。

ＭＰＵ５１はＲＯＭ５５に記憶した指紋認証フラグ、電子証明書フラグ及び環境認証フラグを読み出し、指紋認証適正フラグ、電子証明書適正フラグ及び環境認証適正フラグの全てがアンド条件でセットされているか否かを判断する（ステップＳ２９５）。全ての適正フラグがセットされている場合（ステップＳ２９５でＹＥＳ）、送信されたソフトウェアを安全なものと判断し安全フラグをセットする（ステップＳ２９６）。セキュリティチップ５のＭＰＵ５１は復号されたソフトウェアを携帯電話機エンジン部１１０のＲＯＭ１５にインストールする（ステップＳ２９８）。そして、ＭＰＵ５１はインストールが完了したことを示す信号を中央サーバ２へ送信する（ステップＳ２９９）。

一方、生体認証、電子証明書認証（ＰＫＩ認証）、および環境認証の内、１つでも不適正フラグがセットされている場合（ステップＳ２９５でＮＯ）は、不適正フラグをセットする（ステップＳ２９７）。この場合ＭＰＵ５１はインストールを拒否することを示す信号を中央サーバ２へ送信する（ステップＳ２９１０）。

中央サーバ２から提供されるソフトウェアはパッチ用ソフトウェア等の他、ＤＤｏＳ攻撃の対象となった携帯電話機１内のソフトウェアを削除するためのソフトウェアであっても良い。例えば、何らかの原因により、携帯電話機１に数日後に所定のＷｅｂサーバにＤＤｏＳ攻撃を行うソフトウェア（プログラム）がセットされた場合、本発明の認証を経たソフトウェアを提供する。提供されるソフトウェアには、日時情報が記憶されており、インストールして実行することにより記憶された日時以降に記憶されたデータを全て消去する。

図３０はインストールされた消去用ソフトウェアの処理内容を示すフローチャートである。ステップＳ２９８によりＲＯＭ１５に消去用のソフトウェアがインストールされる。顧客は消去用のソフトウェアを、入力部１３を操作することによりＣＰＵ１１に実行させる（ステップＳ３０１）。ＣＰＵ１１はＲＯＭ１５内の記憶履歴の読み出しを行う（ステップＳ３０２）。具体的には記憶されたファイル、インストールされたソフトウェア等のデータと、さらにそれらのデータが記憶された日時の情報を読み出す。ＣＰＵ１１は消去用のソフトウェアの実行プログラムから日時の情報を読み出す（ステップＳ３０３）。そして読み出した記憶履歴を参照し、読み出した日時以降に記憶されたデータを全て消去する（ステップＳ３０４）。これにより、ＤＤｏＳ攻撃の踏み台にされた携帯電話機１が、攻撃に利用されることを防止することができる。

実施の形態５
図３１は実施の形態５に係る携帯電話機１のハードウェア構成を示すブロック図である。実施の形態４に係る携帯電話機１に実行させるためのコンピュータプログラムは、本実施の形態５のように携帯電話機１にプレインストールして提供することも、またＣＤ−ＲＯＭ、ＭＯ、メモリーカード等の可搬型記録媒体で提供することも可能である。さらに、コンピュータプログラムを回線経由で搬送波として伝搬させて提供することも可能である。すなわち、セキュリティチップ５を搭載する代わりに、セキュリティチップ５と同様の機能をもつコンピュータプログラムを携帯電話機１のＲＯＭ１５にインストールするようにしても良い。以下に、その内容を説明する。

図３１に示す携帯電話機１に、生体情報を認証させ、環境情報を収集させ、環境情報を送信させ、電子証明書による認証をさせ、インストールさせるプログラムが記録された記録媒体１ａ（ＣＤ−ＲＯＭ、ＭＯ、メモリーカード又はＤＶＤ−ＲＯＭ等）が携帯電話機１のＲＯＭ１５にインストールされている。インストールの方法としては、外部接続端子１９に接続可能なメモリーカード等の記録媒体１ａを嵌挿し、プログラムをインストールするか、または、中央サーバ２から本発明に係るプログラムをダウンロードするようにしても良い。係るプログラムは携帯電話機１のＲＡＭ１２にロードして実行される。これにより、上述のような本発明の情報処理装置としての携帯電話機１として機能する。

実施の形態６
本実施の形態においては、携帯電話機１及び中央サーバ２の双方で生体情報認証、環境認証及び電子証明書認証の全てが適正と判断された場合に、携帯電話機１及び中央サーバ２を安全と判断しその後の情報の送受信を許可する技術について説明する。

図３２は実施の形態６に係る携帯電話機１のハードウェア構成を示すブロック図であり、また図３３は実施の形態６に係る中央サーバ２のハードウェア構成を示すブロック図である。図３２に示すように本実施の形態においては携帯電話機１においても中央サーバ２の環境認証を行うため、携帯電話機１のＲＯＭ１５には環境情報ＤＢ１５１が用意されている。図４で説明したものと同様に、中央サーバ２の外部通信ポート２９に接続される周辺機器、ＰＣカード（図示せず）、インストールされているＯＳ，ソフトウェア等に対する環境情報に対する条件が、セキュリティポリシィである階級に対応付けられて記憶されている。

中央サーバ２も携帯電話機１による認証を受けるべく、指紋取得部２１２及びセキュリティチップ５がバス２７を介してＣＰＵ２１に接続されている。なお、これらの詳細については既に実施の形態１で説明したとおりであるので詳細な説明は省略する。また２９はＵＳＢポート、ＲＳ２３２Ｃポート等の外部通信ポートであり、プリンタ、マウス、ハードディスク、ＭＯ等の周辺機器が接続される。

本実施の形態においては、携帯電話機１及び中央サーバ２の双方で生体情報認証、環境認証及び電子証明書認証の全てが適正と判断された場合に、携帯電話機１及び中央サーバ２を安全と判断しその後の情報の送受信を許可するために、図１１に示すステップＳ１１５以降に、すなわち携帯電話機１の安全性が確認された後に、以下の処理を追加して行う。

図３４乃至図３７は実施の形態６に係る認証処理の手順を示すフローチャートである。ステップＳ１１５の後、中央サーバ２のセキュリティチップ５のＭＰＵ５１は制御プログラム５５Ｐを実行し、表示部２４に指紋情報の取得要求を表示する（ステップＳ３４１）。指紋取得部２１２から指紋情報が入力された場合、セキュリティチップ５のＭＰＵ５１は指紋情報を受け付け（ステップＳ３４２）、ＲＡＭ５２に一時的に記憶する。そして、ＭＰＵ５１はＲＯＭ５５の指紋情報ファイル５５２に携帯電話機１の購入時に予め記憶してある指紋情報を読み出し、ＲＡＭ５２に記憶した指紋情報と比較して一致するか否か、すなわち指紋情報認証が適正であるか否か判断する（ステップＳ３４３）。

指紋が一致し、指紋情報認証が適正であると判断した場合は（ステップＳ３４３でＹＥＳ）、指紋認証適正フラグをセットし、セットした指紋認証適正フラグを携帯電話機１へ送信する（ステップＳ３４５）。一方、指紋が一致せず、指紋情報認証が不適正であると判断した場合（ステップＳ３４３でＮＯ）、指紋認証不適正フラグをセットし、セットした指紋認証不適正フラグを携帯電話機１へ送信する（ステップＳ３４４）。携帯電話機１のＣＰＵ１１は送信された指紋認証フラグ（指紋認証適正フラグまたは指紋認証不適正フラグ）をＲＯＭ１５に記憶する（ステップＳ３４６）。なお、本実施の形態においては指紋を用いた生体認証を中央サーバ２において実行することとしたが、予め採取した指紋情報を認証機関サーバ３または携帯電話機１に記憶しておき、認証機関サーバ３または携帯電話機１において判断するようにしても良い。これにより指紋を用いた生体認証が終了する。

続いて、セキュリティチップ５のＭＰＵ５１は中央サーバ２の環境情報を取得する（ステップＳ３４７）。環境情報の収集は、上述したようにＭＰＵ５１が中央サーバ２のＲＯＭ１５のＯＳ、ＢＩＯＳ及びインストールされるソフトウェアを常駐して監視し、中央サーバ２の機器名、ＯＳの名称、バージョン、外部通信ポート２９に接続された周辺機器の機器名、バージョン、インストールされたブラウザ等のソフトウェアのソフト名、バージョンなどを収集することにより行われる。収集された環境情報は環境情報ファイル５５１に記憶される（ステップＳ３４８）。

セキュリティチップ５のＭＰＵ５１はＲＡＭ５２に記憶した環境情報ファイル５５１に記憶した環境情報を読み出す（ステップＳ３４９）。セキュリティチップ５のＭＰＵ５１は、読み出した環境情報に、ＲＯＭ５５に記憶したハッシュ関数を用いてメッセージダイジェストを算出する（ステップＳ３５１）。ＭＰＵ５１は認証機関サーバ３から予め発行を受けた中央サーバ２の個人鍵を個人鍵ファイル５５４から読み出し、環境情報及びメッセージダイジェストを暗号化する（ステップＳ３５２）。さらに、ＭＰＵ５１は電子証明書ファイル５５３から認証機関サーバ３において予め発行を受けた電子証明書を読み出し、暗号化した環境情報及びメッセージダイジェストに電子証明書を添付して携帯電話機１へ送信する（ステップＳ３５３）。携帯電話機１のＣＰＵ１１は送信された電子証明書、暗号化された環境情報及びメッセージダイジェストをＲＡＭ１２に記憶する。

携帯電話機１のＣＰＵ１１は電子証明書に記載されている認証機関サーバ３へアクセスし、受信した電子証明書の公開鍵（認証機関の公開鍵）の取得を要求する（ステップＳ３５４）。認証機関サーバ３は、電子証明書の公開鍵を携帯電話機１へ送信し、携帯電話機１は送信された電子証明書の公開鍵を受信する（ステップＳ３５５）。携帯電話機１のＣＰＵ１１は、記憶した電子証明書をＲＡＭ１２から読み出し、認証機関サーバ３から送信された認証機関の公開鍵を用いて電子証明書を復号し中央サーバ２の公開鍵を取得する（ステップＳ３５６）。

携帯電話機１のＣＰＵ１１は取得した中央サーバ２の公開鍵を用いて暗号化された環境情報及びメッセージダイジェストを復号する（ステップＳ３６１）。さらにＣＰＵ１１は復号した環境情報に、携帯電話機１のＲＯＭ５５に記憶したハッシュ関数を用いてメッセージダイジェストを算出する（ステップＳ３６２）。携帯電話機１のＣＰＵ１１はステップＳ３６１で復号したメッセージダイジェストと、ステップＳ３６２で算出したメッセージダイジェストとが一致するか否か、すなわち送信の途中で環境情報に改竄がないか、また権限のある中央サーバ２から情報が送受信されたものであるか否かを判断する（ステップＳ３６３）。

メッセージダイジェストが一致しない場合は（ステップＳ３６３でＮＯ）、ＣＰＵ１１は何らかの改竄またはなりすましがあったと判断し、電子証明書認証の不適正フラグをセットする（ステップＳ３６５）。一方、メッセージダイジェストが一致する場合は（ステップＳ３６３でＹＥＳ）、なりすまし及び改竄がないものとして電子証明書認証の適正フラグをセットする（ステップＳ３６４）。そして、携帯電話機１のＣＰＵ１１は電子証明書認証のフラグ（電子証明書認証適正フラグ、または電子証明書認証不適正フラグ）をＲＯＭ１５に記憶する（ステップＳ３６６）。

携帯電話機１のＣＰＵ１１はステップＳ１０４で決定した階級に対応する環境情報の条件を環境情報ＤＢ１５１から読み出す（ステップＳ３７１）。そして、ＣＰＵ１１は、復号された環境情報が、ステップＳ３７１にて読み出された環境情報の条件を満たすか否かを判断する（ステップＳ３７２）。条件を満たさない場合（ステップＳ３７２でＮＯ）、環境認証不適正フラグをセットする（ステップＳ３７４）。一方、条件を満たす場合（ステップＳ３７２でＹＥＳ）、環境認証適正フラグをセットする（ステップＳ３７３）。携帯電話機１のＣＰＵ１１は環境認証のフラグ（環境認証適正フラグ、または環境認証不適正フラグ）をＲＯＭ１５に記憶する（ステップＳ３７５）。

ＣＰＵ１１は、ＲＯＭ１５に記憶した指紋認証フラグ、電子証明書フラグ及び環境認証フラグを読み出し、指紋認証適正フラグ、電子証明書適正フラグ及び環境認証適正フラグの全てがアンド条件でセットされているか否かを判断する（ステップＳ３７６）。全ての適正フラグがセットされている場合（ステップＳ３７６でＹＥＳ）、中央サーバ２を安全なものと判断し安全フラグをセットし、ステップＳ１２１へ移行する（ステップＳ３７７）。

一方、生体認証、電子証明書認証（ＰＫＩ認証）、および環境認証の内、１つでも不適正フラグがセットされている場合（ステップＳ３７６でＮＯ）は、不適正フラグをセットし、ステップＳ１２３へ移行する（ステップＳ３７８）。このように、携帯電話機１及び中央サーバ２の双方で生体情報認証、環境認証及び電子証明書認証の全てが適正と判断された場合に限り、携帯電話機１及び中央サーバ２を安全と判断しその後の情報の送受信を許可するようにしたので、より安全性の高い通信環境を提供することが可能となる。

なお、本実施の形態においては、携帯電話機１及び中央サーバ２の双方で生体情報認証、環境認証及び電子証明書認証の全てが適正と判断された場合に、携帯電話機１及び中央サーバ２を安全と判断しその後の情報の送受信を許可する技術について説明したが、同様に携帯電話機１及びオンラインショップのＷｅｂサーバ４間（または図示しない他の携帯電話機、洗濯機、パーソナルコンピュータ等の情報処理装置）についても、双方で生体情報認証、環境認証及び電子証明書認証の全てが適正と判断された場合に、携帯電話機１及びＷｅｂサーバ４等を安全と判断しその後の情報の送受信を許可するようにしても良いことは言うまでもない。

実施の形態２乃至６は以上の如き構成としてあり、その他の構成及び作用は実施の形態１と同様であるので、対応する部分には同一の参照番号を付してその詳細な説明を省略する。
（付記１） 情報処理装置、第１認証装置及び第２認証装置が通信網を介して接続されており、前記情報処理装置の安全性を判断する安全性判断方法において、
前記情報処理装置により、生体情報を受け付ける生体情報受付ステップと、
受け付けた生体情報が適正であるか否かを前記情報処理装置、前記第１認証装置または第２認証装置により判断する生体情報認証ステップと、
前記情報処理装置に接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する環境情報収集ステップと、
収集した環境情報を前記情報処理装置から前記第１認証装置へ送信する環境情報送信ステップと、
予め前記第２認証装置から発行を受けた電子証明書及び個人鍵で暗号化された情報を前記情報処理装置から前記第１認証装置へ送信する暗号化情報送信ステップと、
前記第１認証装置により、前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化された情報を復号し、復号された情報が適正であるか否かを判断する電子証明書認証ステップと、
送受信される情報に応じて階級付けされた環境条件を記憶した環境情報データベース及び送信された情報を参照して、前記第１認証装置により、前記送信された環境情報が適正であるか否かを判断する環境情報認証ステップと、
前記生体情報認証ステップ、環境情報認証ステップ及び電子証明書認証ステップによる認証が全て適正である場合に前記第１認証装置により、前記情報処理装置を安全と判断する安全判断ステップと
を備えることを特徴とする安全性判断方法。

（付記２） 情報処理装置、第１認証装置及び第２認証装置が通信網を介して接続されており、前記情報処理装置の安全性を判断する安全性判断方法において、
前記情報処理装置により、生体情報を受け付ける生体情報受付ステップと、
受け付けた生体情報が適正であるか否かを前記情報処理装置、前記第１認証装置または第２認証装置により判断する生体情報認証ステップと、
前記情報処理装置に接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する環境情報収集ステップと、
収集した環境情報を前記情報処理装置から前記第１認証装置へ送信する環境情報送信ステップと、
前記第２認証装置から発行を受けた電子証明書及び個人鍵で暗号化されたソフトウェアを前記第１認証装置から前記情報処理装置へ送信する暗号化情報送信ステップと、
送受信される情報に応じて階級付けされた環境条件を記憶した環境情報データベースを参照して、前記第１認証装置により、前記送信された環境情報が適正であるか否かを判断する環境情報認証ステップと、
前記情報処理装置により、前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化されたソフトウェアを復号し、復号されたソフトウェアが適正であるか否かを判断する電子証明書認証ステップと、
前記生体情報認証ステップ、環境情報認証ステップ及び電子証明書認証ステップによる認証が全て適正である場合に前記復号したソフトウェアを前記情報処理装置にインストールするインストールステップと
を備えることを特徴とする安全性判断方法。

（付記３） 情報処理装置、第１認証装置及び第２認証装置が通信網を介して接続されており、前記情報処理装置の安全性を判断する安全性判断方法において、
前記情報処理装置により、生体情報を受け付ける生体情報受付ステップと、
受け付けた生体情報が適正であるか否かを前記情報処理装置、前記第１認証装置または第２認証装置により判断する生体情報認証ステップと、
前記情報処理装置に接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する環境情報収集ステップと、
収集した環境情報を、前記第２認証装置から発行を受けた個人鍵で暗号化する暗号化ステップと、
予め前記第２認証装置から発行を受けた電子証明書及び個人鍵で暗号化された環境情報を前記情報処理装置から前記第１認証装置へ送信する暗号化情報送信ステップと、
前記第１認証装置により、前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化された環境情報を復号し、復号された環境情報が適正であるか否かを判断する電子証明書認証ステップと、
送受信される情報に応じて階級付けされた環境条件を記憶した環境情報データベース及び復号された環境情報を参照して、前記第１認証装置により、前記復号された環境情報が適正であるか否かを判断する環境情報認証ステップと、
前記生体情報認証ステップ、環境情報認証ステップ及び電子証明書認証ステップによる認証が全て適正である場合に前記第１認証装置により、前記情報処理装置を安全と判断する安全判断ステップと
を備えることを特徴とする安全性判断方法。

（付記４） 情報処理装置、第１認証装置及び第２認証装置が通信網を介して接続されており、前記情報処理装置の安全性を判断する安全性判断システムにおいて、
前記情報処理装置は、
生体情報を受け付ける生体情報受付手段と、
受け付けた生体情報が適正であるか否かを判断する生体情報認証手段と、
接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する環境情報収集手段と、
収集した環境情報を前記第１認証装置へ送信する環境情報送信手段と、
前記第２認証装置から発行を受けた電子証明書及び個人鍵で暗号化された情報を前記第１認証装置へ送信する暗号化情報送信手段とを備え、
前記第１認証装置は、
前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化された情報を復号し、復号された情報が適正であるか否かを判断する電子証明書認証手段と、
送受信される情報に応じて階級付けされた環境条件を記憶した環境情報データベース及び送信された情報を参照して、前記送信された環境情報が適正であるか否かを判断する環境情報認証手段と、
前記生体情報認証手段、環境情報認証手段及び電子証明書認証手段による認証が全て適正である場合に前記情報処理装置を安全と判断する安全判断手段と
を備えることを特徴とする安全性判断システム。

（付記５） 前記環境情報送信手段及び暗号化情報送信手段は、収集した環境情報を前記個人鍵で暗号化して、前記電子証明書と共に前記第１認証装置へ送信するよう構成してあることを特徴とする付記４に記載の安全性判断システム。
（付記６） 前記情報処理装置との間で商取引に関する情報を送受信する店舗コンピュータをさらに備え、
前記情報処理装置は、商品情報または金額情報を含む商取引に関する情報を受け付ける手段をさらに備え、
前記暗号化情報送信手段は、前記第２認証装置から発行を受けた電子証明書及び個人鍵で暗号化された前記商取引に関する情報を前記第１認証装置へ送信するよう構成してあり、
前記環境情報認証手段は、送信された商品情報または金額情報に対応する階級に係る環境条件を環境情報データベースから読み出し、該読み出した環境条件に前記送信された環境情報が合致するか否かにより、適正であるか否かを判断するよう構成してあり、
前記第１認証装置は、前記安全判断手段により前記情報処理装置が安全と判断した場合に、該情報処理装置の安全性に関する情報を前記店舗コンピュータへ送信する手段をさらに備えることを特徴とする付記４に記載の安全性判断システム。

（付記７） 前記第１認証装置は、
生体情報を受け付ける副生体情報受付手段と、
受け付けた生体情報が適正であるか否かを判断する副生体情報認証手段と、
接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する副環境情報収集手段と、
前記第２認証装置から発行を受けた個人鍵で前記副環境情報収集手段により収集した環境情報を暗号化する副暗号化手段と、
前記第２認証装置から発行を受けた電子証明書及び前記暗号化された環境情報を前記情報処理装置へ送信する副暗号化情報送信手段とを備え、
前記情報処理装置は、
前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化された環境情報を復号し、復号された環境情報が適正であるか否かを判断する副電子証明書認証手段と、
送受信される情報に応じて階級付けされた環境条件を記憶した副環境情報データベース及び復号された環境情報を参照して、前記送信された環境情報が適正であるか否かを判断する副環境情報認証手段と、
前記副生体情報認証手段、副環境情報認証手段及び副電子証明書認証手段による認証が全て適正であり、かつ前記安全判断手段により安全と判断された場合に、前記情報処理装置及び前記第１認証装置を安全と判断する副安全判断手段と
を備えることを特徴とする付記４に記載の安全性判断システム。

（付記８） 情報処理装置、第１認証装置及び第２認証装置が通信網を介して接続されており、前記情報処理装置の安全性を判断する安全性判断システムにおいて、
前記情報処理装置は、
生体情報を受け付ける生体情報受付手段と、
受け付けた生体情報が適正であるか否かを判断する生体情報認証手段と、
接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する環境情報収集手段と、
収集した環境情報を前記第１認証装置へ送信する環境情報送信手段とを備え、
前記第１認証装置は、
前記第２認証装置から発行を受けた電子証明書及び個人鍵で暗号化されたソフトウェアを前記情報処理装置へ送信する暗号化情報送信手段と、
送受信される情報に応じて階級付けされた環境条件を記憶した環境情報データベースを参照して、前記送信された環境情報が適正であるか否かを判断する環境情報認証手段とを備え、
前記情報処理装置は、
前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化されたソフトウェアを復号し、復号されたソフトウェアが適正であるか否かを判断する電子証明書認証手段と、
前記生体情報認証手段、環境情報認証手段及び電子証明書認証手段による認証が全て適正である場合に前記復号したソフトウェアをインストールするインストール手段とをさらに備える
ことを特徴とする安全性判断システム。

（付記９） 前記情報処理装置は、主電力供給手段と、副電力供給手段と、副電力供給手段から電力の供給をうける受信用通信手段と、前記主電力供給手段による電力の供給が行われていない場合に、前記暗号化情報送信手段により送信された電子証明書及び個人鍵で暗号化されたソフトウェアを前記受信用通信手段により受信して蓄積する蓄積手段とをさらに備えることを特徴とする付記８に記載の安全性判断システム。
（付記１０） 前記電子証明書認証手段は、前記主電力供給手段による電力の供給が行われた場合に、前記蓄積手段により蓄積した電子証明書及びソフトウェアを読み出し、前記第２認証装置から取得した公開鍵を用いて、前記電子証明書から取得した公開鍵で暗号化されたソフトウェアを復号し、復号されたソフトウェアが適正であるか否かを判断するよう構成してあることを特徴とする付記９に記載の安全性判断システム。

（付記１１） 前記ソフトウェアは、前記情報処理装置に予めインストールされているソフトウェアのパッチ用ソフトウェアであることを特徴とする付記８乃至１０に記載の安全性判断システム。
（付記１２） 前記情報処理装置は、前記インストール手段によりインストールしたソフトウェアを実行した場合、所定の日時以降に記憶部に記憶されたデータを消去する消去手段をさらに備えることを特徴とする付記８乃至１０に記載の安全性判断システム。

（付記１３） 情報処理装置、第１認証装置及び第２認証装置が通信網を介して接続されており、前記情報処理装置の安全性を判断する安全性判断システムにおいて、
前記情報処理装置は、
生体情報を受け付ける生体情報受付手段と、
接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する環境情報収集手段と、
前記第２認証装置から発行を受けた個人鍵で前記生体情報受付手段により受け付けた生体情報及び前記環境情報収集手段により収集した環境情報を暗号化する暗号化手段と、
前記第２認証装置から発行を受けた電子証明書及び前記暗号化された生体情報及び環境情報を前記第１認証装置へ送信する暗号化情報送信手段とを備え、
前記第１認証装置は、
前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化された生体情報及び環境情報を復号し、復号された生体情報及び環境情報が適正であるか否かを判断する電子証明書認証手段と、
送受信される情報に応じて階級付けされた環境条件を記憶した環境情報データベース及び復号された環境情報を参照して、前記送信された環境情報が適正であるか否かを判断する環境情報認証手段と、
前記復号された生体情報と、予め記憶された生体情報とを比較して適正であるか否かを判断する生体情報認証手段と、
前記生体情報認証手段、環境情報認証手段及び電子証明書認証手段による認証が全て適正である場合に前記情報処理装置を安全と判断する安全判断手段と
を備えることを特徴とする安全性判断システム。

（付記１４） 前記環境情報は、インストールされたソフトウェアの名称またはバージョン、接続された周辺機器の機器名またはバージョン、または、前記情報処理装置の装置名またはバージョンの情報を含むことを特徴とする付記４乃至１３のいずれかに記載の安全性判断システム。
（付記１５） 前記生体情報は、音声、指紋、網膜、または虹彩の情報であることを特徴とする付記４乃至１４のいずれかに記載の安全性判断システム。

（付記１６） 第１認証装置及び第２認証装置に通信網を介して接続される情報処理装置の安全性を判断する安全性判断装置において、
受け付けた生体情報が適正であるか否かを判断する生体情報認証手段と、
前記情報処理装置に接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する環境情報収集手段と、
収集した環境情報を前記第１認証装置へ送信する環境情報送信手段と、
前記第２認証装置から発行を受けた電子証明書及び個人鍵で暗号化された情報を前記第１認証装置へ送信する暗号化情報送信手段と、
前記生体情報認証手段により適正と判断され、また前記環境情報送信手段により送信した環境情報が前記第１認証装置により適正と判断され、かつ、前記暗号化情報送信手段により送信した電子証明書及び暗号化された情報が前記第１認証装置により適正と判断され、適正であることを示す情報を受信した場合に、前記情報処理装置を安全と判断する安全判断手段と
を備えることを特徴とする安全性判断装置。

（付記１７） 第１認証装置及び第２認証装置に通信網を介して接続される情報処理装置の安全性を判断する安全性判断装置において、
受け付けた生体情報が適正であるか否かを判断する生体情報認証手段と、
前記情報処理装置に接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する環境情報収集手段と、
収集した環境情報を前記第１認証装置へ送信する環境情報送信手段と、
前記第１認証装置から電子証明書及び暗号化されたソフトウェアを受信した場合、前記第２認証装置から取得した公開鍵を用いて電子証明書から取得した公開鍵で、暗号化されたソフトウェアを復号し、復号されたソフトウェアが適正であるか否かを判断する電子証明書認証手段と、
前記生体情報認証手段及び電子証明書認証手段による認証が適正であると判断され、また前記環境情報送信手段により送信した環境情報が前記第１認証装置により適正と判断され、適正であることを示す情報を受信した場合に、前記情報処理装置に前記復号したソフトウェアをインストールするインストール手段と
を備えることを特徴とする安全性判断装置。

（付記１８） 通信網を介して接続される情報処理装置の安全性を判断する第１認証装置において、
前記情報処理装置により受け付けた生体情報が適正であるか否かの認証情報を受信する認証情報受信手段と、
通信網を介して接続された第２認証装置から発行を受けた電子証明書及び個人鍵で暗号化された情報が、前記情報処理から送信された場合に、前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化された情報を復号し、復号された情報が適正であるか否かを判断する電子証明書認証手段と、
前記情報処理装置から、該情報処理装置に接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を受信した場合に、送受信される情報に応じて階級付けされた環境条件を記憶した環境情報データベース及び送信された情報を参照して、受信した環境情報が適正であるか否かを判断する環境情報認証手段と、
前記認証情報受信手段により、生体情報が適正であるとの認証情報を受信し、また前記環境情報認証手段及び電子証明書認証手段による認証が適正であると判断した場合に前記情報処理装置を安全と判断する安全判断手段と
を備えることを特徴とする第１認証装置。

（付記１９） 第１認証装置及び第２認証装置に通信網を介して接続されるコンピュータの安全性を判断するためのコンピュータプログラムにおいて、
コンピュータに、受け付けた生体情報が適正であるか否かを認証させる生体情報認証ステップと、
コ ンピュータに、接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集させる環境情報収集ステップと、
コンピュータに、収集させた環境情報を前記第１認証装置へ送信させる環境情報送信ステップと、
コンピュータに、前記第２認証装置から発行を受けた電子証明書及び個人鍵で暗号化された情報を前記第１認証装置へ送信させる暗号化情報送信ステップと、
コンピュータに、前記生体情報認証ステップにより適正と判断され、また前記環境情報送信ステップにより送信された環境情報が前記第１認証装置により適正と判断され、かつ、前記暗号化情報送信ステップにより送信された電子証明書及び暗号化された情報が前記第１認証装置により適正と判断され、前記第１認証装置から適正であることを示す情報を受信した場合に、コンピュータを安全と判断する安全判断ステップと
を実行させることを特徴とするコンピュータプログラム。

（付記２０） 第１認証装置及び第２認証装置に通信網を介して接続されるコンピュータの安全性を判断するためのコンピュータプログラムにおいて、
コンピュータに、受け付けた生体情報が適正であるか否かを認証させる生体情報認証ステップと、
コンピュータに、接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集させる環境情報収集ステップと、
コンピュータに、収集させた環境情報を前記第１認証装置へ送信させる環境情報送信ステップと、
コンピュータに、前記第１認証装置から電子証明書及び暗号化されたソフトウェアを受信した場合、前記第２認証装置から取得した公開鍵を用いて、電子証明書から取得した公開鍵で暗号化されたソフトウェアを復号させ、復号されたソフトウェアが適正であるか否かを判断させる電子証明書認証ステップと、
コンピュータに、前記生体情報認証ステップ及び電子証明書認証ステップによる認証が適正であると判断し、また、前記環境情報送信ステップにより送信した環境情報が前記第１認証装置により適正と判断され、適正であることを示す情報を受信した場合に、前記コンピュータに前記復号したソフトウェアをインストールするインストールステップと
を実行させることを特徴とするコンピュータプログラム。

（付記２１） 前記第１認証装置により、生体情報を受け付ける副生体情報受付ステップと、
受け付けた生体情報が適正であるか否かを前記情報処理装置、第１認証装置または第２認証装置により判断する副生体情報認証ステップと、
前記第１認証装置に接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する副環境情報収集ステップと、
前記第２認証装置から発行を受けた個人鍵で前記副環境情報収集ステップにより収集した環境情報を暗号化する副暗号化ステップと、
前記第２認証装置から発行を受けた電子証明書及び前記暗号化された環境情報を前記情報処理装置へ送信する副暗号化情報送信ステップと、
前記情報処理装置により、前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化された環境情報を復号し、復号された環境情報が適正であるか否かを判断する副電子証明書認証ステップと、
送受信される情報に応じて階級付けされた環境条件を記憶した副環境情報データベース及び復号された環境情報を参照して、前記情報処理装置により前記送信された環境情報が適正であるか否かを判断する副環境情報認証ステップと、
前記副生体情報認証ステップ、副環境情報認証ステップ及び副電子証明書認証ステップによる認証が全て適正であり、かつ前記安全判断ステップにより安全と判断された場合に、前記情報処理装置及び前記第１認証装置を安全と判断する副安全判断ステップと
を備えることを特徴とする付記１または３に記載の安全性判断方法。

（付記２２） 前記第１認証装置は、
生体情報を受け付ける副生体情報受付手段と、
受け付けた生体情報が適正であるか否かを判断する副生体情報認証手段と、
接続された周辺機器またはインストールされたソフトウェアの情報を含む環境情報を収集する副環境情報収集手段と、
前記第２認証装置から発行を受けた個人鍵で前記副環境情報収集手段により収集した環境情報を暗号化する副暗号化手段と、
前記第２認証装置から発行を受けた電子証明書及び前記暗号化された環境情報を前記情報処理装置へ送信する副暗号化情報送信手段とを備え、
前記情報処理装置は、
前記第２認証装置から取得した公開鍵を用いて前記送信された電子証明書から取得した公開鍵で、暗号化された環境情報を復号し、復号された環境情報が適正であるか否かを判断する副電子証明書認証手段と、
送受信される情報に応じて階級付けされた環境条件を記憶した副環境情報データベース及び復号された環境情報を参照して、前記送信された環境情報が適正であるか否かを判断する副環境情報認証手段と、
前記副生体情報認証手段、副環境情報認証手段及び副電子証明書認証手段による認証が全て適正であり、かつ前記安全判断手段により安全と判断された場合に、前記情報処理装置及び前記第１認証装置を安全と判断する副安全判断手段と
を備えることを特徴とする付記１３に記載の安全性判断システム。

本発明に係る安全性判断システムの概要を示す模式図である。 携帯電話機のハードウェア構成を示すブロック図である。 中央サーバのハードウェア構成を示すブロック図である。 環境情報ＤＢのレコードレイアウトを示す説明図である。 Ｗｅｂサーバと携帯電話機との間の商取引の手順を示すフローチャートである。 Ｗｅｂページのイメージを示す説明図である。 安全性の判断処理の手順を示すフローチャートである。 安全性の判断処理の手順を示すフローチャートである。 安全性の判断処理の手順を示すフローチャートである。 安全性の判断処理の手順を示すフローチャートである。 安全性の判断処理の手順を示すフローチャートである。 安全性の判断処理の手順を示すフローチャートである。 実施の形態２に係る携帯電話機のハードウェア構成を示すブロック図である。 実施の形態３に係る携帯電話機のハードウェア構成を示すブロック図である。 中央サーバのハードウェア構成を示すブロック図である。 実施の形態３に係る安全性の判断処理の手順を示すフローチャートである。 実施の形態３に係る安全性の判断処理の手順を示すフローチャートである。 実施の形態３に係る安全性の判断処理の手順を示すフローチャートである。 実施の形態３に係る安全性の判断処理の手順を示すフローチャートである。 実施の形態３に係る安全性の判断処理の手順を示すフローチャートである。 実施の形態４に係る携帯電話機のハードウェア構成を示すブロック図である。 中央サーバのハードウェア構成を示すブロック図である。 実施の形態４に係るソフトウェア提供処理の手順を示すフローチャートである。 実施の形態４に係るソフトウェア提供処理の手順を示すフローチャートである。 実施の形態４に係るソフトウェア提供処理の手順を示すフローチャートである。 実施の形態４に係るソフトウェア提供処理の手順を示すフローチャートである。 実施の形態４に係るソフトウェア提供処理の手順を示すフローチャートである。 実施の形態４に係るソフトウェア提供処理の手順を示すフローチャートである。 実施の形態４に係るソフトウェア提供処理の手順を示すフローチャートである。 インストールされた消去用ソフトウェアの処理内容を示すフローチャートである。 実施の形態５に係る携帯電話機のハードウェア構成を示すブロック図である。 実施の形態６に係る携帯電話機のハードウェア構成を示すブロック図である。 実施の形態６に係る中央サーバのハードウェア構成を示すブロック図である。 実施の形態６に係る認証処理の手順を示すフローチャートである。 実施の形態６に係る認証処理の手順を示すフローチャートである。 実施の形態６に係る認証処理の手順を示すフローチャートである。 実施の形態６に係る認証処理の手順を示すフローチャートである。

符号の説明

１ 携帯電話機（情報処理装置）
１１２ 指紋取得部
２ 中央サーバ（第１認証装置）
３ 認証機関サーバ（第２認証装置）
４ Ｗｅｂサーバ（店舗コンピュータ）
Ｎ インターネット（通信網）
１１０ 携帯電話機エンジン部
１５ ＲＯＭ
１６ アンテナ部
１３ 入力部
１１３ 電源部
１９ 外部接続端子
５ セキュリティチップ（安全性判断装置）
５５２ 指紋情報ファイル
５５１ 環境情報ファイル
５５３ 電子証明書ファイル
５５４ 個人鍵ファイル
２４ 表示部
２３ 入力部
２５１ 環境情報データベース（環境情報ＤＢ）
１ａ 記録媒体
１１４ 主電源部（主電力供給手段）
１１５ 副電源部（副電力供給手段）
１１６ 第２ＲＯＭ（蓄積手段）

Claims (16)

1. 情報処理装置と認証装置が通信網を介して接続されており、前記情報処理装置の安全性を判断する安全性判断方法において、
   情報処理装置が、注文情報を認証装置に送信する注文情報送信ステップと、
   情報処理装置が、該情報処理装置の情報、該情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報を収集する環境情報収集ステップと、
   情報処理装置が、収集した環境情報を前記認証装置に送信する環境情報送信ステップと、
   認証装置が、注文情報と環境情報の条件とを対応づけて記憶した環境情報データベースに基づいて、前記送信された環境情報が前記送信された注文情報に対して適正であるか否かを判定する環境情報認証ステップと、
   認証装置が、前記環境情報認証ステップによる認証が適正である場合に、前記情報処理装置を安全と判断する安全判断ステップと
   を備えることを特徴とする安全性判断方法。
2. 前記認証装置は、前記安全判断ステップで前記情報処理装置を安全と判断した場合には、安全性を保証する情報と注文情報とを、該注文情報に係わる処理を行う情報処理装置に送出することを特徴とする請求項１に記載の安全性判断方法。
3. 前記認証装置は、前記安全判断ステップで前記情報処理装置を安全ではないと判断した場合には、危険性を通知する情報を、該注文情報に係わる処理を行う情報処理装置に送出することを特徴とする請求項１に記載の安全性判断方法。
4. 前記環境情報データベースは、注文情報に対応する複数の階級が設定され、該階級ごとに異なる環境情報の条件が設定されるものであり、
   前記環境情報認証ステップは、前記注文情報に対応する階級の環境情報の条件に応じて前記送信された環境情報が前記送信された注文情報に対して適正であるか否かを判定することを特徴とする請求項１に記載の安全性判断方法。
5. 前記情報処理装置はさらに、生体情報を受付ける生体情報受付ステップを実行し、
   前記情報処理装置、前記認証装置または前記認証装置とは異なる認証装置のいずれかにより、受付けた生体情報が適正であるか否かを判断する生体情報認証ステップを備え、
   前記認証装置における安全判断ステップでは、生体情報認証ステップで受付けた生体情報が適正であると判断され、かつ前記環境情報認証ステップにて環境情報が適正と判断された場合に前記情報処理装置を安全と判断することを特徴とする請求項１に記載の安全性判断方法。
6. 前記情報処理装置における前記注文情報ステップは、予め情報処理装置に対して電子証明局から発行を受けた電子証明書と、前記情報処理装置の個人鍵で暗号化した注文情報のメッセージダイジェストとを認証装置に対して送出するものであり、
   前記認証装置は、さらに前記電子証明書から得られる公開鍵を用いて前記注文情報のメッセージダイジェストを復号し、注文情報が適正であるか否かを判断する電子証明書認証ステップを実行するものであり、
   前記認証装置における安全判断ステップでは、電子証明書認証ステップで受付けた注文情報が適正であると判断され、かつ前記環境情報認証ステップにて環境情報が適正と判断された場合に前記情報処理装置を安全と判断することを特徴とする請求項１に記載の安全性判断方法。
7. 前記環境情報は、インストールされたソフトウェアの名称またはバージョン、接続された周辺機器の機器名またはバージョン、または、前記情報処理装置の装置名またはバージョンの情報を含むことを特徴とする請求項１に記載の安全性判断方法。
8. 情報処理装置と認証装置が通信網を介して接続されており、情報処理装置の安全性を判断する安全性判断システムにおいて、
   前記情報処理装置は、
   該情報処理装置の情報、該情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報を収集する環境情報収集手段と、
   注文情報と、収集した環境情報とを前記認証装置へ送信する情報送信手段とを備え、
   前記認証装置は、
   前記情報処理装置から送信された、注文情報と環境情報とを受信する手段と、
   注文情報と環境情報の条件とを対応づけて記憶した環境情報データベースに基づいて、前記受信した環境情報が前記受信した注文情報に対して適正であるか否かを判断する環境情報認証手段と、
   前記環境情報認証手段による認証が適正である場合に前記情報処理装置を安全と判断する安全判断手段と
   を備えることを特徴とする安全性判断システム。
9. 前記情報処理装置との間で商取引に関する情報を送受信する店舗コンピュータをさらに備え、
   前記情報処理装置は、商品情報または金額情報を含む商取引に関する情報を受付ける手段と、該商取引に関する情報を注文情報として前記認証装置へ送信する手段とを更に備え、
   前記環境情報認証手段は、送信された商品情報または金額情報に対応する環境情報の条件を環境情報データベースから読み出し、該読み出した環境情報の条件に前記送信された環境情報が合致するか否かにより、適正であるか否かを判断するよう構成してあり、
   前記認証装置は、前記環境情報認証手段により環境情報が適正であると判断した場合に、前記情報処理装置の安全性に関する情報を前記店舗コンピュータへ送信する手段を更に備えることを特徴とする請求項８に記載の安全性判断システム。
10. 通信網を介して接続される情報処理装置の安全性を判断する認証装置において、
    前記情報処理装置が送信した、該情報処理装置の情報、該情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報と、注文情報とを受信する受信手段と、
    注文情報と環境情報の条件とを対応づけて記憶した環境情報データベースに基づいて、前記受信した環境情報が前記送信された注文情報に対して適正であるか否かを判定する環境情報認証手段と、
    前記環境情報認証手段による認証が適正である場合に、前記情報処理装置を安全と判断する安全判断手段と
    を備えることを特徴とする認証装置。
11. コンピュータを、該コンピュータと通信網を介して接続される情報処理装置の安全性を判断する認証装置として機能させるためのプログラムであって、
    コンピュータを、
    前記情報処理装置が送信した、該情報処理装置の情報、該情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報と、注文情報とを受信する受信手段と、
    注文情報と環境情報の条件とを対応づけて記憶した環境情報データベースに基づいて、前記受信した環境情報が前記送信された注文情報に対して適正であるか否かを判定する環境情報認証手段と、
    前記環境情報認証手段による認証が適正である場合に認証装置により、前記情報処理装置を安全と判断する安全判断手段
    として機能させるためのプログラム。
12. 認証装置に通信網を介して接続される情報処理装置の安全性を判断する安全性判断装置であって、
    前記情報処理装置の情報、前記情報処理装置に接続された周辺機器の情報、またはインストールされたソフトウェアの情報の少なくともいずれかを含む環境情報を収集する環境情報収集手段と、
    収集した環境情報を前記認証装置に送信する環境情報送信手段と、
    認証装置から、前記送信された環境情報が前記送信された注文情報に対して適正であるとの判定結果を受信した場合に、前記情報処理装置を安全と判断する安全判断手段と
    を備えることを特徴とする安全性判断装置。
13. 生体情報が適正であるか否かを判断する生体情報認証手段を更に有し、
    前記安全判断手段は、前記生体情報認証手段によって前記情報処理装置に接続された生体情報受付手段が受付けた生体情報が適正であると判断され、かつ認証装置から、前記送信された環境情報が前記送信された注文情報に対して適正であるとの判定結果を受信した場合に、前記情報処理装置を安全と判断することを特徴とする請求項１２に記載の安全性判断装置。
14. 予め電子証明局により発行された電子証明書と個人鍵とを記録する手段と、該個人鍵により情報を暗号化する暗号化手段とを更に有し、
    認証装置に情報を送信する際は、送信すべき情報を暗号化するとともに、前記電子証明書を添付して暗号化された情報を送信することを特徴とする請求項１２に記載の安全性判断装置。
15. 受信した暗号化情報を復号化する復号化手段を更に有し、
    暗号化されたソフトウェア及び電子証明書を受信した場合、前記安全判断手段により安全性の判断を実行し、安全と判断された場合に該電子証明書に基づいて取得した公開鍵で暗号化されたソフトウェアを復号し、前記情報処理装置にインストールを行うことを特徴とする請求項１２に記載の安全性判断装置。
16. 前記情報処理装置の内部に実装されるLSI(Large Integrated Circuit)チップにより構成されることを特徴とする請求項１２乃至１５いずれか一つに記載の安全性判断装置。

Images