第1回 ICカードとワンタイムパスワードの親密な関係

岡田　大助
＠IT編集部
2006年6月1日

　決済系ICカードにおける2つの業界標準仕様

　GemAuthenticateは、2つのデファクトスタンダード仕様に準拠している。「EMV」と「CAP」だ。この2つの業界標準への対応が、ICカードのワンタイムパスワード機能の可能性をオンラインバンキングだけにとどめないものにしている。

　EMVは、1996年に定められたキャッシュカードやクレジットカードなど決済用ICカードの運用に関する標準規格だ。ICカードやリーダ／ライタの仕様や、両者の間でやりとりされるデータの通信方式や暗号化方式なども規定している。Europay（現MasterCard）、MasterCard、Visaの3社によって合意された統一規格で、EMVとはその頭文字となっている。JCBも2004年にEMVに参加している。

　今日、日本国内で発行されているICキャッシュカードは、全国銀行協会（全銀協）の「全銀協ICキャッシュカード標準仕様」に準拠している。この全銀協仕様は、EMV仕様に準拠したものであり、国内で流通しているICキャッシュカードはEMVに準拠しているといい換えても構わない。

　ちなみに、非接触ICカードの場合、EMVに準拠しているのはICテレホンカードで使われていたISO/IEC 14443Type Aと住基ネットカードで採用されているISO/IEC 14443Type Bだけであり、国内で最も大きなシェアを持つFeliCaは非対応だ。

　もう一方のCAPとは、MasterCardが開発したOneSMARTチップ認証プログラム（Chip Authentication Program）のことだ。OneSMART CAPは、オンラインでクレジットカード決済を行う場合にカードの所有者を認証するための規格である。今日のオンラインでのクレジットカード決済は、カード名義とクレジットカード番号、有効期限を入力するだけで成立してしまう。クレジットカード情報が漏えいした事故を記憶されている読者も多いと思う。実は、オンラインクレジットカード決済は危うい。そこで、ICカードのワンタイムパスワード機能がセキュリティを向上するのだ。

　クレジットカード決済もワンタイムパスワードで

　オンラインクレジットカード決済のセキュリティを確保しようとする動きは1996年のSET（Secure Electronic Transaction）にさかのぼることができる。SETはMasterCardとVisaによる統一規格だったが、手続きやプログラムのインストールなどが煩雑で消費者には受け入れられなかった。

　そこで、新たに登場したのが「3D Secure」だ。オンライン決済においてレシート画面が表示されたタイミングでユーザーがパスワードを入力することで、盗難カードなどによる不正利用を防止する。また、オンラインショップのWebサイトが正規のサービスを提供しているのかどうかもバックグラウンドで認証されている。

　3D Secureはクレジットカード会社によってサービス名称が異なっている。Visaは「VERIFIED by VISA／VISA認証サービス」、JCBは「J/Secure」、MasterCardは「SecureCode」という。先述のOneSMART CAPは、SecureCodeプログラムの一部だ。

　レシート画面で入力するパスワードをICクレジットカードによって生成されたワンタイムパスワードに置き換えることができれば、セキュリティの強化につながるだろう。

　ワンタイムパスワードデバイスが受け入れられるか

　普段から利用しているICキャッシュカードやICクレジットカードがそのまま利用できる点は、ユーザー側にも金融機関側にも受け入れられるだろう。しかし、スタンドアロンで動作するワンタイムパスワードは、トークンなり表示機なりのデバイスが必要となる。

　日本ジェムプラスによれば、GemPocket1台当たり数百円（それも4桁に近いらしい）を予想している。これを金融機関側が負担するのか、買い取りや月額課金の形でユーザー側が負担するのか、あるいはASPなどのサービスとして提供するのかは予測がつかない。

　また、ICカードに加えてデバイスを持ち歩くことが受け入れられるかどうかも未知数だ。そこで日本ジェムプラスでは、GemPocket の機能をSIMカード搭載型の携帯電話に組み込むことも検討しているという。携帯電話には指紋リーダを搭載したものもあるので、ワンタイムパスワード生成用のPINもバイオメトリクス認証に置き換わるかもしれない。

　どのような形になるにせよ、ICカードでワンタイムパスワードを生成することによって得られるメリットが広く認知され、デメリットを上回ることができるかどうかにかかっているようだ。

GemPocketのリファレンスモデル。上部にICカードを挿入するスロットがある

2/2

Index
ICカードとワンタイムパスワードの親密な関係
	Page1 ICカード化によってセキュリティは向上する オンラインバンキングにおける二要素認証 ICカード業界の巨人がワンタイムパスワードに参入
	Page2 決済系ICカードにおける2つの業界標準仕様 クレジットカード決済もワンタイムパスワードで ワンタイムパスワードデバイスが受け入れられるか

RFID＋ICフォーラム　トップページ

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）