FI114416B

FI114416B - Menetelmä elektroniikkalaitteen varmistamiseksi, varmistusjärjestelmä ja elektroniikkalaite

Info

Publication number: FI114416B
Application number: FI20011278A
Authority: FI
Inventors: Risto Roenkkae; Toni Sormunen; Antti Kiiveri
Original assignee: Nokia Corp
Priority date: 2001-06-15
Filing date: 2001-06-15
Publication date: 2004-10-15
Also published as: CA2450844A1; KR100657532B1; CN1541352A; CN1276319C; ES2236530T3; EP1395892A1; FI20011278A0; DE60202605D1; DE60202605T8; US20030014663A1; ATE287102T1; BR0210379A; JP2007293873A; CA2450844C; EP1395892B1; KR20040007685A; US7506381B2; WO2002103495A1; DE60202605T2; JP2004530235A

Description

114416

Menetelmä elektroniikkalaitteen varmistamiseksi, varmistusjärjestelmä ja elektroniikkalaite

Nyt esillä oleva keksintö kohdistuu oheisen patenttivaatimuksen 1 joh-5 danto-osassa esitettyyn menetelmään elektroniikkalaitteen varmistamiseksi. Keksintö kohdistuu lisäksi oheisen patenttivaatimuksen 14 johdanto-osan mukaiseen järjestelmään. Keksintö kohdistuu myös oheisen patenttivaatimuksen 27 johdanto-osan mukaiseen elektroniikka-laitteeseen. Keksintö kohdistuu vielä oheisen patenttivaatimuksen 30 10 johdanto-osan mukaiseen ohjelmistoon ja oheisen patenttivaatimuksen 31 johdanto-osan mukaiseen tallennusvälineeseen.

Lukuisissa erilaisissa elektroniikkalaitteissa käytetään ohjelmoitavia ohjauselimiä, kuten mikroprosessoreita, mikro-ohjaimia, ohjelmoitavia 15 logiikoita, ja/tai sovelluskohtaisesti ohjelmoitavia integroituja piirejä. Tällaisiin elektroniikkalaitteisiin on tallennettu yhdestä tai useammasta ohjelmasta koostuva ohjelmisto, joka sisältää mm. elektroniikkalaitteen toiminnassa tarvittavia ohjelmakäskyjä. Tällaisten ohjelmistojen tallennuksessa käytetään muistia, josta tavallisesti ainakin osa on pysyväis-20 muistia, eli muistin sisältö säilyy, vaikka muistin käyttöjännite katkeaa.

Tällaisia muisteja ovat mm. ROM (Read-Only Memory), PROM (Programmable ROM), ja EEPROM (Electrically Erasable PROM). Ainakin osa muistista on tavallisesti asennettu kiinteästi elektroniikkalait-teeseen, mutta lisäksi useissa sovelluksissa voidaan muistia lisätä ....: 25 esimerkiksi lisämuistikortin avulla. Eräs tällainen lisämuistikortti on ns.

Flash-muistikortti. Flash-muisti on eräänlainen EEPROM-tyyppinen muisti, jonka sisältöä voidaan muuttaa sähköisellä ohjauksella. Flash-muistin sisältö säilyy myös käyttöjännitteiden katkaisemisen jälkeen. Tällaisen lisämuistin avulla voidaan elektroniikkalaitteeseen helposti li-30 sätä uusia ohjelmia, tallennuskapasiteettia esimerkiksi digitaalisessa kamerassa valokuvien tallentamiseksi, käyttöoikeuksien asettamiseksi esim. langattomassa viestimessä, jne. Ohjelmien asennus elektroniikkalaitteeseen voidaan sinänsä tunnetusti suorittaa myös muita tallensi nusvälineitä käyttäen, kuten levykkeeltä, CDROM-levyltä, tai DVD-le- 35 vyltä.

2 114416

Tallennusvälineille tallennettujen ohjelmistojen kopiointi on suhteellisen yksinkertaista, joten ohjelmistojen valmistajat ovat kehittäneet erilaisia menetelmiä, joilla kopioitujen ohjelmistojen käyttö voitaisiin estää. Eräs tällainen menetelmä on tuotetunnuksen (Product ID) tai vastaavan 5 käyttäminen. Tällöin ohjelman käynnistyksen yhteydessä on käyttäjän syötettävä tämä tuotetunnus elektroniikkalaitteeseen, ennen kuin ohjelmaa voidaan käyttää. Tällaisen järjestelyn epäkohtana on kuitenkin se, että ohjelman kopioinnin yhteydessä on käyttäjä voinut saada alkuperäisen ohjelmiston haltijalta tietoonsa tämän tuotetunnuksen, jolloin 10 myös kopioitua ohjelmaa voidaan käyttää. Toisaalta vaikka kopioidun ohjelmiston käyttäjällä ei olisi tiedossa tuotetun n usta, voi käyttäjä yrittää selvittää ohjelmiston suojauksen rakenteen esim. käänteisellä ohjelmoinnilla (debug), jossa ohjelman objektikoodia muunnetaan lähdekoodiksi. Tällöin käyttäjä saattaa onnistua selvittämään kopiosuojauk-15 sen ja muuttamaan ohjelmaa esim. siten, että kopiosuojaus on pois käytöstä, tai siten, että käyttäjä selvittää tarvittavan tuotetunnuksen objektikoodin perusteella. Tällaisen mahdollisuuden hankaloittamiseksi on kehitetty ohjelmistoja, joissa ohjelmiston suorittamisen aikana väliajoin tarkistetaan se, ettei ohjelmistoa ole muutettu. Tällöin pelkkä 20 käynnistyksessä suoritettavan kopiosuojauksen selvittäminen ei vält-, tämättä mahdollista kopioidun ohjelmiston pidempiaikaista käyttöä, ellei käyttäjä pysty selvittämään tällaisen kopiosuojauksen rakennetta.

On tunnettua sitoa tietty ohjelmisto yksikäsitteisesti johonkin laitteistoon 25 siten, ettei ohjelmistoa voi käyttää muussa laitteistossa. Tämä voidaan tehdä esimerkiksi muokkaamalla ohjelmistoa laitteistokohtaisen sarjanumeron perusteella tai toimittamalla laitteistokohtaisen sarjanumeron perusteella vain yhdessä laitteessa toimiva asennusohjelma. Näissä ratkaisuissa on se epäkohta, että joko ohjelmistoa tai laitteistoa muok-30 kaarnalla tämä suojaus voidaan purkaa.

Käänteisen ohjelmoinnin vaikeuttamiseksi voidaan ohjelmiston ainakin * kopiosuojausosuutta ja/tai tuotetunnuksen tallennusta ohjelmakoodin ' . yhteyteen yrittää saada monimutkaisemmaksi, jolloin kopiosuojauksen ! 35 murtaminen vaikeutuu. Eräs tällainen ratkaisu on esitetty mm. kansain- ;· välisessä patenttihakemuksessa WO 00/77597.

3 114416

Patentissa US-5,131,091 on esitetty menetelmä, jossa muistikortille tallennettu ohjelma suojataan sekoittamalla ohjelmakoodin sisältö XOR-operaatioilla. Sekoittamisessa käytetään pysyväismuistiin tallennettua salausbittijonoa, jonka selvittäminen on pyritty tekemään mah-5 dollisimman hankalaksi. Eri käyttäjille toimitetuissa muistikorteissa käytetään erilaista salausbittijonoa.

Ohjelmiston laillisesti hankkineella käyttäjällä voi myös olla tarve varmistaa ohjelmiston alkuperä, koska joissakin tapauksissa voi joku kol-10 mas taho pyrkiä toimittamaan alkuperäisohjelmistoista muunneltuja versioita ja markkinoida niitä alkuperäisinä ohjelmistoina. Tällaisiin ohjelmistoihin on voitu lisätä esim. virus, tai ohjelmistoon on tehty ns, takaportti, jonka kautta muunnellun ohjelmiston valmistaja voi jopa päästä tunkeutumaan tällaisen muunnellun ohjelmiston asentaneen 15 yrityksen lähiverkkoon. Joissakin tapauksissa muunneltuun ohjelmistoon on lisätty ominaisuus, joka lähettää käyttäjän huomaamatta käyttäjän elektroniikkalaitteeseen syöttämiä käyttäjätunnuksia ja salasanoja esim. Internet-tietoverkon kautta muunnellun ohjelmiston valmistajalle. Ohjelmiston alkuperän varmistamiseksi voidaan ohjelmistoon lisätä di-20 gitaalinen allekirjoitus, jonka perusteella käyttäjä voi varmistaa, että kyseessä todella on alkuperäinen ohjelmisto.

Ohjelmistojen kopiointisuojauksen lisäksi on muutakin elektroniikka-laitteiden yhteyteen tallennettua informaatiota tarve suojata väärinkäy-25 tösten estämiseksi. Esimerkiksi käyttöoikeuksien rajaaminen vain tietylle käyttäjälle tai käyttäjille on joidenkin elektroniikkalaitteiden yhteydessä järjestetty siten, että käyttäjällä on henkilökohtainen toimikortti, jolloin elektroniikkalaitteen käyttämiseksi käyttäjä asettaa toimikortin elektroniikkalaitteeseen järjestettyyn korttiliittimeen. Lisävarmistuksena 30 voidaan vielä käyttää käyttäjätunnusta, jolloin elektroniikkalaitteen käynnistyksen yhteydessä käyttäjän on vielä syötettävä tämä käyttäjätunnus, ennen kuin elektroniikkalaite on käytettävissä. Tällainen järjestely on käytössä mm. useissa matkaviestinverkoissa, kuten GSM-... matkaviestinverkossa ja UMTS-matkaviestinverkossa. Tällaisessa 35 matkaviestinverkossa käytettävään matkaviestimeen asetetaan toimi-kortti, josta GSM-järjestelmässä käytetään nimitystä SIM (Subscriber Identity Module) ja UMTS-järjestelmässä USIM (Universal Subscriber 4 114416

Identity Module). Tällaiseen toimikorttiin on matkaviestinverkon palveluntarjoaja asettanut tietyt tilaajamääritykset, kuten kansainvälisen matkapuhelintilaajatunnuksen IMSI (International Mobile Subscriber Identifier). Käyttäjätunnus tallennetaan myös tähän toimikorttiin, jolloin 5 toimikortti suorittaa käyttäjätunnuksen tarkistuksen matkaviestimen käynnistyksen yhteydessä.

Patentissa US 6,032,257 esitetään järjestely, jossa tietokonelaitteiston komponentteja on hankala varastaa tai varastettujen komponenttien 10 käyttö jossakin toisessa laitteistossa pyritään estämään. Laitteiston toiminta on järjestetty niin, että kun komponenttia ensimmäisen kerran käytetään laitteistossa, komponentilla olevaan muistiin kirjoitetaan allekirjoitus, joka on muodostettu komponentin sarjanumerosta ja tietokonelaitteiston tunnisteesta. Jos komponentti siirretään tämän 15 jälkeen esim. varkauden seurauksena toiseen laitteistoon, se ei toimi ollenkaan tai toimii alemmalla toimintatasolla, koska laitteiston luotettavuus tarkistetaan aina laitteiston käynnistyksen yhteydessä. Kyseessä on siis laitteiston luotettavuuden tutkiminen, eikä julkaisun mukainen ratkaisu liity mitenkään ohjelmiston luotettavuuden 20 tutkimiseen. Julkaisussa on esitetty sellainen kaksivaiheinen laitteiston tunnistus, jossa ensimmäisessä vaiheessa tutkitaan tietokoneessa komponentin sarjanumero, ja jos se ei ole kunnossa, komponentin toiminta estetään tai sallitaan vain sen rajoitettu toiminta. Jos sarjanumero on kunnossa, siirrytään toiseen vaiheeseen, jossa 25 tietokoneesta lähetetään komponenttiin tietokonelaitteiston tunniste.

Tämä tunniste tutkitaan komponentissa ja jos tunniste ei täsmää, komponentti asettaa toimintatilansa sellaiseksi, että tietokone ei voi käyttää komponenttia tai voi käyttää vain joitakin sen toimintoja. Tunnisteisiin voi liittyä digitaalisia allekirjoituksia. US-julkaisun 30 mukainen ratkaisu perustuu siis eräänlaiseen ristiintarkistukseen, siis molemmat osapuolet tarkistavat toistensa aitouden. Tällä voidaan pyrkiä estämään varastetun komponentin käyttö tietokonelaitteistossa . ·! ’ ja toisaalta aidon komponentin käyttö väärässä tietokonelaitteistossa.

35 Edellä esitetyt ratkaisut eivät kuitenkaan ratkaise sitä ongelmaa, että ulkopuolinen taho muokkaa ohjelmistoa siten, että voi käyttää sitä itse L” joko toisessa laitteessa tai muuttaa ohjelman toimintaa tässä laittees- 5 114416 sa. Tällainen ongelma on tullut esille mm. matkaviestinten yhteydessä, joissa on voitu saada maksuton pääsy matkaviestinverkon palveluihin valmistamalla matkaviestimestä kopio. Kopioidun matkaviestimen ohjelmisto sekä kansainvälinen laitetunnus (IMEI, International Mobile 5 Equipment Identity) on sama kuin alkuperäisellä matkaviestimellä.

Myös toimikortista on tehty kopio, joka on asennettu kopioituun matkaviestimeen. Tällöin matkapuhelinkeskus ei havaitse eroa alkuperäisen ja kopioidun matkaviestimen välillä.

10 Vielä eräänä epäkohtana tunnetun tekniikan mukaisissa ohjelmistojen ja muiden tietojen salausratkaisuissa on se, että jos suurten tietomäärien salauksessa on käytetty samaa salausavainta, saattaa salausavaimen selvittäminen onnistua analysoimalla tällaista salattua tietoa.

15 Kannettavien laitteiden tietojenkäsittelyominaisuuksien lisääntyessä on niihin tallennettavissa enemmän informaatiota, joka voi olla myös luottamuksellista tai muuten sellaista informaatiota, joka ei saa joutua ulkopuolisen tietoon. Kannettavien laitteiden mukana pitäminen lisää kuitenkin riskiä sille, että kannettava laite häviää tai varastetaan, joten 20 siihen tallennettu tieto on pyrittävä suojaamaan jollakin salausmene-' X telmällä. Kannettaviin laitteisiin voidaan tavallisesti määrittää salasana, joka käyttäjän on syötettävä laitteeseen käynnistysvaiheessa, ennen kuin laitetta voidaan käyttää normaalisti. Tällainen suojaus on kuitenkin suhteellisen helppo ohittaa, koska käytettävät salasanat ovat yleensä 25 suhteellisen lyhyitä, tyypillisesti alle kymmenen merkkiä pitkiä. Toisaalta vaikka salasanaa ei yritettäisikään selvittää, voidaan laitteen sisältämään informaatioon päästä käsiksi esim. siirtämällä tallennusväline, kuten kiintolevy, johonkin toiseen laitteeseen. Mikäli tallennusvälineelle tallennettu informaatio ei ole salattua, on tallennusvälineelle tal-30 lennettu informaatio helposti selvitettävissä.

On tunnettua, että käyttäjän tai laitteiston tarvitsemaa tietoa voidaan salata yhdellä avaimella, tallentaa salattu tieto laitteiston muistiin ja purkaa salaus toisella avaimella. Epäsymmetrisessä salauksessa käy-35 tettävä avain on erilainen kuin salauksen purkamisessa käytettävä avain. Vastaavasti symmetrisessä salauksessa salauksessa käytettävä X avain on sama kuin salauksen purkamisessa käytettävä avain. Epä- 6 114416 symmetrisessä salauksessa käytetään näistä avaimista yleensä nimitystä julkinen avain ja henkilökohtainen avain. Julkinen avain on tarkoitettu salauksen suorittamiseen ja henkilökohtainen avain salauksen purkamiseen. Vaikka julkinen avain voi olla yleisesti tiedossa, ei sen 5 perusteella yleensä pysty helposti selvittämään julkista avainta vastaavaa henkilökohtaista avainta, jolloin ulkopuolisen on erittäin vaikea selvittää tällä julkisella avaimella salattua tietoa. Eräs esimerkki tällaisen julkisen avaimen ja henkilökohtaisen avaimen käyttöön perustuvasta järjestelmästä on PGP-järjestelmä (Pretty Good Privacy), jossa käyttäjä 10 sataa lähetettävän tiedon vastaanottajan julkisella avaimella ja vastaanottaja sitten avaa salatun tiedon henkilökohtaisella avaimellaan. Tunnetun tekniikan mukaisissa järjestelmissä on kuitenkin merkittäviä puutteita. Tehokkaat symmetriset avaimet ovat n. 100 bittiä, kun taas asymmetriset avaimet ovat n. 1000 - 2000 bittiä. Jos avainpituus on 15 liian lyhyt, on se suhteellisen helppo murtaa nykyisillä tietojenkäsittely-laitteistoilla. Tämä ongelma on erityisen merkittävä kannettavissa tietojenkäsittely- ja viestintälaitteissa, joissa myös rajallinen prosessointi-teho estää pitkien avainten käytön.

20 Nyt esillä olevan keksinnön eräänä tarkoituksena on aikaansaada parannettu menetelmä elektroniikkalaitteen varmistamiseksi siten, että tietty ohjelmisto asetetaan toimivaksi vain tietyssä elektroniikkalaitteessa. Keksintö perustuu siihen ajatukseen, että käynnistys muodostetaan vähintään kaksivaiheiseksi siten, että ensimmäisessä vaiheessa 25 tarkistetaan ensimmäinen varmistustieto, ja mikäli ensimmäinen var-mistustieto on kunnossa, tarkistetaan toiseen käynnistysvaiheeseen liittyvä toinen varmistustieto, jolloin toisenkin varmistustiedon ollessa kunnossa, voidaan toisen käynnistysvaiheen suorittaminen aloittaa. Täsmällisemmin ilmaistuna nyt esillä olevan keksinnön mukaiselle me-30 netelmälle on pääasiassa tunnusomaista se, mitä on esitetty oheisen patenttivaatimuksen 1 tunnusmerkkiosassa. Nyt esillä olevan keksin-‘ nön mukaiselle järjestelmälle on pääasiassa tunnusomaista se, mitä on esitetty oheisen patenttivaatimuksen 14 tunnusmerkkiosassa. Nyt esillä /. olevan keksinnön mukaiselle elektroniikkalaitteelle on pääasiassa tun- 35 nusomaista se, mitä on esitetty oheisen patenttivaatimuksen 27 tunnusmerkkiosassa. Nyt esillä olevan keksinnön mukaiselle ohjelmistolle on vielä pääasiassa tunnusomaista se, mitä on esitetty oheisen patent- 7 114416 tivaatimuksen 30 tunnusmerkkiosassa. Nyt esillä olevan keksinnön mukaiselle tallennusvälineelle on vielä pääasiassa tunnusomaista se, mitä on esitetty oheisen patenttivaatimuksen 31 tunnusmerkkiosassa.

5 Nyt esillä olevalla keksinnöllä saavutetaan merkittäviä etuja tunnetun tekniikan mukaisiin ratkaisuihin verrattuna. Keksinnön mukaisessa elektroniikkalaitteessa laitetunnus on tallennettu sellaiseen muistiin, jonka muokkaaminen on tehty mahdollisimman vaikeaksi. Lisäksi laitetunnus on eräässä edullisessa suoritusmuodossa varmennettu digi-10 taalisella allekirjoituksella, jonka varmentamisessa käytettävä julkinen avain on tallennettu elektroniikkalaitteeseen. Tällöin digitaalisen allekirjoituksen tarkistamisella saadaan suurella todennäköisyydellä varmistettua se, vastaako digitaalinen allekirjoitus kyseisen elektroniikka-laitteen laitetunnusta. Yksi laitetunnus on järjestetty laitteeseen pysy-15 västi ja toinen allekirjoitettuun tietoon, jota kutsutaan varmenteeksi (sertifikaatiksi, certificate). Nyt allekirjoituksen tarkistuksella saadaan varmenteen oikeellisuus ja tekijä selville. Sitten varmistetaan, että sekä laitteen pysyvä laitetunnus ja varmenteen sisältämä laitetunnus ovat samat. Keksinnön mukaisella menetelmällä voidaan varmistaa se, että 20 tietty ohjelmisto toimii vain tietyssä elektroniikkalaitteessa ja vastaa-:V vasti voidaan tarvittaessa varmistaa se, että tietyssä elektroniikkalait- teessä toimii vain tietty ohjelmisto. Tällöin ohjelmistojen kopioinnin ai-;·,·· heuttamia taloudellisia menetyksiä ohjelmistojen valmistajille voidaan ...; merkittävässä määrin pienentää. Myös elektroniikkalaitteiden käyttäjien 25 asemaa voidaan parantaa, koska keksinnön mukaisella ratkaisulla voidaan väärennettyjen elektroniikkalaitteiden ja ohjelmistojen toiminta jopa estää kokonaan. Käyttäjälle ei tällöin aiheudu kustannuksia sellaisesta käytöstä, jonka on aiheuttanut käyttäjän elektroniikkalaitetta vastaavan kopioidun elektroniikkalaitteen käyttö. Keksinnön mukaisella 30 menetelmällä voidaan ohjelmiston alkuperä varmentaa, jolloin ohjel-miston käyttäjä voi olla suhteellisen varma siitä, että ohjelmiston alku-:’’’ perä vastaa ilmoitettua ja että ohjelmisto ei sisällä viruksia, takaportteja ' tai vastaavia. Keksintö mahdollistaa myös sen, että elektroniikkalait- ; . teen ohjelmistoa ei voi asiattomasti muuttaa siten, että se toimisi muu- ", 35 tosten jälkeen.

8 114416

Keksinnön mukaisessa elektroniikkalaitteessa piirin sisäisen lukumuis-tin koko voidaan pitää suhteellisen pienenä, koska suuri osa ohjelmistoista voidaan tallentaa edullisempaan uudelleen kirjoitettavissa olevaan lukumuistiin. Tämä mahdollistaa myös sen, että suuri osa 5 elektroniikkalaitteen ohjelmistoista voidaan vaihtaa elektroniikkalaitteen valmistuksen jälkeenkin ja myös ohjelmistojen suunnittelu on helpompaa.

Keksinnön edullisessa suoritusmuodossa on ohjelmistojen käyttöoi-10 keuksien valvonnassa käytettävä laitetunnus riippumaton elektroniikkalaitteen mahdollisesta IMEI-koodista. Tällöin laitteen valmistaja voi tarvittaessa vaihtaa IMEI-koodin. Lisäksi laitetunnuksen pituus voi olla lyhyempi kuin IMEI, joten laitetunnuksen tallentamisessa tarvitaan kallista muistia vähemmän kuin tunnetun tekniikan mukaisia ratkaisuja so-15 vedettäessä.

Keksintöä selostetaan seuraavassa tarkemmin viitaten samalla oheisiin piirustuksiin, joissa 20 kuva 1 esittää keksinnön erään edullisen suoritusmuodon mukaista — ’' elektroniikkalaitetta pelkistettynä lohkokaaviona, kuva 2 esittää keksinnön erään edullisen suoritusmuodon mukaista menetelmää soveltavan elektroniikkalaitteen käynnistys-. 25 ohjelmiston rakennetta, kuva 3 esittää ohjelmistojen valmistamista ja toimittamista elektroniikkalaitteeseen keksinnön erään edullisen suoritusmuodon mukaisella varmistusjärjestelmällä, 30 kuva 4 esittää ohjelmistojen valmistamista ja toimittamista elektro-niikkalaitteeseen keksinnön erään toisen edullisen suori-' tusmuodon mukaisella varmistusjärjestelmällä, 35 kuva 5 esittää vuokaaviona keksinnön erään edullisen ,'· suoritusmuodon mukaisen käynnistysohjeimiston toimintaa, ja 9 114416 kuva 6 esittää digitaalisen allekirjoituksen suorittamisen erästä tunnettua periaatetta.

5 Seuraavassa selostetaan keksinnön erään edullisen suoritusmuodon mukaisen elektroniikkalaitteen 1 toimintaa keksinnön mukaisen menetelmän yhteydessä. Elektroniikkalaitteena 1 voidaan käyttää jotakin sellaista elektroniikkalaitetta, joka sisältää välineet ohjelmien suorittamiseksi. Edullisesti elektroniikkalaite 1 käsittää edullisesti käyttöjärjes-10 telmäohjelmiston tai vastaavan, jolla elektroniikkalaitteen 1 keskeisiä toimintoja ohjataan ja jolla muiden ohjelmistojen (sovellusten) suoritusta elektroniikkalaitteessa 1 voidaan ohjata. Eräinä ei rajoittavina esimerkkeinä tällaisista elektroniikkalaitteista 1 mainittakoon tässä yhteydessä matkaviestin ja tietokone.

15

Kuvassa 1 esitetty keksinnön erään edullisen suoritusmuodon mukainen elektroniikkalaite 1 käsittää ohjauslohkon 2, joka sisältää välineet 2a ohjelmien suorittamiseksi. Nämä välineet käsittävät esimerkiksi mikro-ohjaimen MCU ja digitaalisen signaalinkäsittely-yksikön DSP. Li-20 säksi ohjauslohko 2 käsittää edullisesti sovelluskohtaisesti ohjelmoita-van integroidun piirin ASIC, johon mm. ainakin osa elektroniikkalaitteen loogisista toiminnoista voidaan toteuttaa. Lisäksi kuvan 1 mukaisen : elektroniikkalaitteen 1 ohjauslohkossa 2 on edullisesti lukumuistia 2d, josta ainakin osa on kertaalleen kirjoitettavissa olevaa lukumuistia 2e 25 (OTPROM, One Time Programmable ROM), ja luku/kirjoitusmuistia 2f.

On kuitenkin selvää, että nämä muistit 2d, 2e, 2f voidaan toteuttaa myös ohjauslohkosta 2 erillisinä muisteina. Elektroniikkalaitteessa on myös ohjauslohkon ulkopuoliset muistivälineet 3, jotka käsittävät edullisesti ainakin lukumuistia 3a, uudelleen kirjoitettavissa olevaa lukumuis-30 tia 3b ja luku/kirjoitusmuistia 3c. Ainakin osa lukumuistia 3a on toteutettu siten, että sen sisältöä käyttäjä ei voi muuttaa. Kuvan 1 mukai-seen elektroniikkalaitteeseen 1 on mahdollista liittää myös lisämuistia ’ asettamalla lisämuistilohko 4 muistiliitäntävälineisiin 5. Lisämuistilohko 4 on esimerkiksi Flash-muistikortti, mutta myös muita lisämuistivälineitä 35 voidaan keksinnön yhteydessä soveltaa. Elektroniikkalaitteeseen 1 on muodostettu myös käyttöliittymä UI (User Interface), jossa on edulli-sesti näyttö 6, näppäimistö 7, ja audiovälineet 8, kuten kuuloke/kaiutin 10 114416 ja mikrofoni. Kuvan 1 mukainen keksinnön erään edullisen suoritusmuodon mukainen elektroniikkalaite 1 käsittää vielä välineet 9 matka-viestintoimintojen suorittamiseksi, esimerkiksi GSM-matkaviestimen ja/tai UMTS-matkaviestimen. Elektroniikkalaite 1 käsittää edullisesti 5 myös välineet 10 tunnistekortin 11, kuten SIM-kortin ja/tai USIM-kortin, liittämiseksi elektroniikkalaitteen 1 yhteyteen.

Kuvassa 2 on esitetty elektroniikkalaitteen 1 käynnistysohjelmiston rakennetta, jossa keksinnön erään edullisen suoritusmuodon mukaista 10 menetelmää sovelletaan. Käynnistysohjelmisto on jaettu ainakin kahteen käynnistyslohkoon P1, P2, joista ensimmäinen käynnistyslohko P1 suorittaa ensimmäisen vaiheen alkukäynnistystoimenpiteet. Toisessa käynnistyslohkossa P2 suoritetaan jatkotarkistuksia siinä tilanteessa, että ensimmäisessä käynnistyslohkossa ei havaittu käynnistyksen 15 estäviä virheitä.

Nyt esillä olevan keksinnön mukainen, vähintään kaksivaiheinen varmistusmenetelmä toimii seuraavasti. Toimintaa on havainnollistettu kuvan 5 vuokaaviossa. Elektroniikkalaitteen 1 käynnistyksessä ohjaus-20 lohko 2 aloittaa käynnistysohjelmiston suorituksen (lohko 501 kuvassa : , 5). Tämä suoritetaan sinänsä tunnetusti siten, että ohjauslohkon 2 : , osoiterekisteri asetetaan tiettyyn alkuosoitteeseen, jossa sijaitsee käynnistysohjelmiston ensimmäiseksi suoritettava ohjelmakäsky. Tämä ohjelmakäsky sijaitsee ensimmäisessä käynnistyslohkossa P1. Tämän 25 jälkeen ohjelman suoritusta jatketaan suorittamalla edullisesti tarvittavat laitteiston alustustoimenpiteet, jotka ovat alan asiantuntijan tuntemaa tekniikkaa eikä niiden käsittely tässä yhteydessä ole tarpeen. Ensimmäinen käynnistyslohko P1 sisältää ensimmäisen tarkistusvaiheen, jossa tarkistetaan kertaalleen kirjoitettavissa olevaan lukumuistiin 2d 30 tallennettu laitetunnus (Device ID) tai vastaava (lohko 502). Tätä laite-tunnusta on kuvassa 2 esitetty viitteellä DID. Lisäksi voidaan tarkistaa ensimmäisen käynnistyslohkon P1 ohjelmakoodin muokkaamattomuus. Tarkistus suoritetaan edullisesti siten, että ohjauslohkossa 2 lasketaan digitaalinen allekirjoitus käyttämällä ainakin mainittua laitetunnusta DID 35 ja mahdollisesti myös ainakin osaa lukumuistiin 2d, 2e tallennetusta käynnistysohjelmistosta. Digitaalisen allekirjoituksen laskemisessa , ’ ’ käytetään samaa algoritmia ja samoja tietoja, joilla elektroniikkalaitteen 11 114416 1 valmistuksen yhteydessä on laskettu digitaalinen allekirjoitus, joka on muodostettu laitevalmistajan salaisella avaimella, kuten myöhemmin tässä selityksessä esitetään. Tämä digitaalinen allekirjoitus on tallennettu edullisesti uudelleen kirjoitettavissa olevaan lukumuistiin 3b (mer-5 kitty viitteellä S1 kuvaan 2), mutta on selvää, että se voidaan tallentaa myös esimerkiksi samaan lukumuistiin 2d, 2e, johon laitetunnus DID on tallennettu. Digitaalisen allekirjoituksen tarkistaminen voidaan suorittaa käyttämällä allekirjoituksessa käytettyä salaista avainta vastaavaa julkista avainta PK1, joka on tallennettu lukumuistiin 2d, 2e. Digitaalisen 10 allekirjoituksen laskemisen jälkeen suoritetaan ohjauslohkossa 2 lasketun digitaalisen allekirjoituksen ja kertaalleen kirjoitettavissa olevaan lukumuistiin 2d, 2e tallennetun digitaalisen allekirjoituksen S1 vertailu (lohko 503). Mikäli vertailu osoittaa, että digitaaliset allekirjoitukset vastaavat toisiaan, voidaan käynnistystä jatkaa. Muussa tapauksessa 15 on ilmeistä, että elektroniikkalaitetta 1 ja/tai sen sisältämää tunnistetietoa DID ja/tai käynnistysohjelmistoa on yritetty muuttaa, joten tämän seurauksena laitteen normaali toiminta estetään esimerkiksi pysäyttämällä elektroniikkalaite (lohko 504). Tämä tarkistuksen suorittava osa käynnistysohjelmistoa on tallennettuna elektroniikkalaitteen 1 muistiin 20 siten, ettei sitä voida muuttaa rikkomatta elektroniikkalaitetta 1. Eräs käyttökelpoinen ratkaisu on käyttää tallennukseen ohjauslohkon 2 sisäistä, kertaalleen kirjoitettavissa olevaa lukumuistia 2e.

Käynnistystä jatkettaessa siirrytään suorittamaan käynnistysohjelman 25 toista tarkistusvaihetta, ennen kuin muita ohjelmistoja PG1, PG2, PG3 käynnistetään. Toista tarkistusvaihetta vastaava ohjelmakoodi on ensimmäisessä käynnistyslohkossa P1. Toisessa tarkistusvaiheessa suoritetaan käynnistysohjelman toisen käynnistyslohkon P2 aitouden tarkistaminen. Käynnistysohjelman toinen käynnistyslohko P2 on tallen-30 nettu edullisesti uudelleen kirjoitettavissa olevaan lukumuistiin 3b (EEPROM), kuten Flash-muistiin. Lasketaan digitaalinen allekirjoitus käyttämällä ainakin osaa lukumuistiin 3a, 3b tallennetusta käynnistys-ohjelmistosta (lohko 505). Samaan muistiin 3b on tallennettu myös käynnistysohjelman toisen käynnistyslohkon P2 digitaalinen allekirjoi-35 tus S2. Tämän digitaalisen allekirjoituksen S2 laskemisessa on käytetty jotakin varmistettavaa tietoa, kuten osaa käynnistysohjelman toisen käynnistyslohkon P2 ohjelmakoodia sekä elektroniikkalaitteen 1 vai- 12 114416 mistajan salaista avainta. Tätä salaista avainta vastaava julkinen avain PK2 on myös tallennettuna muistiin 3b. Laskettua digitaalista allekirjoitusta verrataan muistiin 3b tallennettuun digitaaliseen allekirjoitukseen (lohko 506), ja mikäli allekirjoitukset vastaavat toisiaan, voidaan 5 elektroniikkalaitteen 1 käynnistystä edelleen jatkaa. Jos allekirjoitukset sen sijaan eivät vastaa toisiaan, laitteen normaali toiminta estetään esimerkiksi pysäyttämällä elektroniikkalaite.

Toisessa tarkistusvaiheessa tarkistettava tieto on voitu muodostaa 10 esim. siten, että uudelleen kirjoitettavissa olevaan lukumuistiin 3b tallennetuista ohjelmista PG1, PG2, PG3, parametreista, laitetunnuk-sista DID, IMEI tai vastaavista on laskettu esim. hash-funktiolla tiiviste-tieto H. Tämä tiivistetieto H on allekirjoitettu salaisella avaimella ja tallennettu uudelleen kirjoitettavissa olevaan lukumuistiin 3b. Tarkistami-15 nen suoritetaan tällöin varmistamalla tämän allekirjoituksen aitous.

Keksinnön eräässä edullisessa suoritusmuodossa ensimmäisestä käynnistysvaiheesta välitetään toisen käynnistysvaiheen suorittavalle ohjelmalle tieto siitä, missä sijaitsevat toisessa käynnistysvaiheessa 20 käytettävä tarkistusohjelma ja julkinen avain PK2.

Edellä esitetyn toisen tarkistusvaiheen onnistuneen suorituksen jälkeen voidaan siirtyä suorittamaan muistiin 3b tallennettua käynnistysohjelman toista käynnistyslohkoa P2. Tässä käynnistysohjelman toisessa 25 käynnistyslohkossa P2 suoritetaan mm. joidenkin muiden lukumuistiin 3b tallennettujen tietojen varmistaminen esim. edellä esitettyjä periaatteita noudattaen laskemalla yksi tai useampi digitaalinen allekirjoitus (lohko 507) ja vertaamalla sitä lukumuistiin tallennettuun vastaavaan digitaaliseen allekirjoitukseen (lohko 508). Tällaisia varmistettavia tie-30 toja ovat esimerkiksi laitekohtaiset tiedot, kuten laitetunnus DID, kansainvälinen laitetunnus IMEI, sekä palveluntarjoajakohtaiset tiedot, ku-: ten SIM-lukko SL (SIM lock), jolla matkaviestin voidaan asettaa toimi- maan vain tietyllä SIM/USIM-kortilla tai -korteilla ja/tai operaattori lukko, jolla elektroniikkalaite 1 on asetettu toimimaan vain tietyn matkapuhe-35 linoperaattorin SIM/USIM-kortilla. Käynnistysohjelman toisen käynnis-: ·*· tyslohkon P2 suoritusta voidaan jatkaa, mikäli allekirjoitukset ja muut mahdollisesti suoritetut tarkistukset olivat kunnossa. Mainittakoon, että 13 114416 edellä mainittu laitetunnus DID voi joissakin sovelluksissa olla muodostettu kansainvälisen laitetunnuksen IMEI perusteella, mutta ne voivat olla myös toisistaan riippumattomat.

5 Seuraavaksi suoritetaan vielä ainakin yksi tarkistusvaihe, jossa tutkitaan vielä tarkastamaton osa ohjelmistojen PG1, PG2, PG3 ohjelmakoodia tai ainakin osa niistä (lohko 509). Tässä tarkistusvaiheessa voidaan soveltaa edellä esitettyjä periaatteita, jolloin muistiin 3b on tallennettu vielä ainakin yksi digitaalinen allekirjoitus ja sen varmistamisessa 10 tarvittavat tiedot.

Sen jälkeen kun kaikki elektroniikkalaitteen 1 käynnistykseen määritetyt varmistukset on suoritettu, voidaan muita ohjelmistoja PG1, PG2, PG3 käynnistää (lohko 510), minkä jälkeen elektroniikkalaitetta 1 voidaan 15 käyttää normaalisti.

Edellä esitetyt julkiset avaimet voidaan myös varmentaa digitaalisella allekirjoituksella (= varmenne), jolloin saadaan suurempi varmuus julkisten avainten alkuperästä. Julkisten avainten lisäksi on muistiin 2d, 20 2e, 3b tallennettu tällöin myös vastaavat digitaaliset allekirjoitukset, jotka tarkistetaan ennen niiden käyttöä muihin varmistustoimenpiteisiin.

Vaikka edellä on esitetty käynnistysohjelman jakaminen vain ensimmäiseen P1 ja toiseen käynnistyslohkoon P2, on selvää, että keksin-25 nön yhteydessä voidaan käynnistysohjelma jakaa myös useampaan kuin kahteen käynnistyslohkoon P1, P2. Tällöin kussakin käynnistys-lohkossa suoritetaan ainakin seuraavana vuorossa olevan käynnistys-lohkon varmentaminen, ennen kuin toiminta siirtyy seuraavaan käynnistyslohkoon. Varmentamisessa käytetään tietoja, joista ainakin osa 30 on tallennettu tähän seuraavana vuorossa olevaan käynnistyslohkoon.

Edellä kuvattuja tarkistuksia voidaan suorittaa myös käynnistyksen jälkeen elektroniikkalaitteen 1 normaalin toiminnan aikana. Tällä pyritään estämään se, että esim. toimikortti vaihdetaan käynnistyksen jälkeen 35 sellaiseen toimikorttiin, jonka käyttö kyseisessä elektroniikkalaitteessa '; t j 1 ei ole sallittua, tai ulkoinen muisti 3b vaihdetaan sellaiseen muistiin, jossa on muutettua ohjelmakoodia.

14 114416

Keksinnön mukaisen elektroniikkalaitteen 1 valmistusvaiheessa ja/tai ohjelmiston päivitysvaiheessa suoritetaan tarvittavien varmistustietojen ja ohjelmistojen muodostaminen muistiin 2d, 2e, 3a, 3b edullisesti seu-5 raavasti. Ohjauslohkoon 2 tallennetaan varmistuksissa tarvittavat ohjelmakoodit, kuten käynnistysohjelman ensimmäinen käynnistyslohko P1, digitaalisen allekirjoituksen laskentaohjelma, ja salauksen muodostus ja purkualgoritmi/-algoritmit. Tätä vaihetta esittää lohko 301 kuvassa 3. Valmistaja tallentaa ohjauslohkon kertaalleen kirjoitettavaan 10 muistiin 2e myös ainakin osan laitetunnuksesta DID (lohko 303). Kertaalleen kirjoitettavaan muistiin 2e tallennetaan vielä ensimmäisen käynnistyslohkon P1 ja laitetunnuksen varmistuksessa tarvittava valmistajan julkinen avain PK1 ja digitaalinen allekirjoitus S1. Sen jälkeen kun kertaalleen kirjoitettavaan muistiin 2e on suoritettu tarvittavat tal-15 lennukset, asetetaan tarvittaessa tämä kertaalleen kirjoitettava muisti 2e tilaan, jossa muistiin ei enää voi tehdä muutoksia. Tällä pyritään estämään esim. yksittäisten bittien muuttaminen laitetunnuksessa DID tai muussa osassa kertaalleen kirjoitettavaa muistia 2e. Komponenttien asennusvaiheessa (lohko 302) suoritetaan myös kertaalleen kirjoitetta-20 van muistin 2e sisältävän ohjauslohkon 2 asennus elektroniikkalaitteen 1 piirikortille (ei esitetty). Valmistaja suorittaa käynnistysohjelman muiden lohkojen P2 ja mahdollisten sovellusohjelmistojen tallentamisen esim. uudelleen kirjoitettavissa olevaan muistiin 3b ja/tai kertaalleen kirjoitettavaan muistiin 3a (lohkot 304 ja 305). Muistiin 3b tallennetaan 25 myös käynnistysohjelman toisen käynnistyslohkon P2 varmistamisessa käytettävä valmistajan julkinen avain PK2, digitaalinen allekirjoitus S2 sekä mahdollinen varmenne. Tämän jälkeen elektroniikkalaite 1 voidaan toimittaa jälleenmyyjälle tai palveluntarjoajalle, kuten matkapuhelinoperaattorille. Tällöin elektroniikkalaitteen 1 ostajan solmiessa tilaa-30 jasopimuksen jonkin palveluntarjoajan kanssa voidaan elektroniikka-laite 1 asettaa toimimaan yhdellä tai useammalla toimikortilla 11, kuten SIM-kortilla, tai tietyn palvelutarjoajan millä tahansa toimikortilla. Tällöin palveluntarjoaja tai myyjä asettaa elektroniikkalaitteeseen 1 SIM-lukon SL tai vastaavan, sekä kyseisen elektroniikkalaitteen 1 laitetunnuksen 35 IMEI. Varmennetietokannasta CDB noudetaan tarvittaessa varmenne, jota käytetään tietojen oikeellisuuden varmentamiseen elektroniikka-laitteen 1 käynnistyksen yhteydessä aikaisemmin tässä selityksessä 15 114416 esitetyllä tavalla. Nämä määritykset tallennetaan muistiin 3, edullisesti uudelleen ohjelmoitavaan muistiin 3b. Elektroniikkalaite 1 on tämän jälkeen valmis käyttöön otettavaksi. On selvää, että edellä jälleenmyy-jän/palveluntarjoajan suorittamat toimenpiteet voi suorittaa myös laite-5 valmistaja tai laitevalmistajan valtuuttama huoltoliike. Tällöin palveluntarjoajan ja ostaja tiedot välitetään ao. liikkeeseen, jossa tietoja tallennetaan.

Palveluntarjoaja voi edellä kuvattujen varmistustietojen perusteella 10 varmistua siitä, että palveluntarjoajan palveluihin kytkeytyvä keksinnön mukainen elektroniikkalaite 1 on todella se laite, jonka tunnus elektroniikkalaitteeseen 1 on tallennettu. Lisäksi saadaan varmuus siitä, että elektroniikkalaitetta 1 ja sen sisältämiä tietoja ei ole asiattomasti muutettu.

15

Keksintöä voidaan soveltaa myös ohjelmistojen ja muiden tietojen päivittämiseen elektroniikkalaitteeseen 1. Tämä voidaan toteuttaa esimerkiksi jälleenmyyjällä ja/tai huoltoliikkeessä esim. kuvassa 4 esitetyllä järjestelyllä. Käyttäjä haluaa esimerkiksi käyttöjärjestelmästä uuden 20 version asennettavaksi elektroniikkalaitteeseen 1. Käyttöjärjestelmän valmistaja on toimittanut uuden käyttöjärjestelmäversion ao. liikkeeseen AS tai se ladataan tietoverkon välityksellä käyttöjärjestelmän valmistajalta. Latauksen yhteydessä ilmoitetaan edullisesti laitetunnus DID ja mahdollisesti myös palveluntarjoajan tunnus (lohko 401 kuvassa 25 4). Käyttöjärjestelmää ladattaessa suoritetaan tarvittavat varmennukset siitä, että kyseessä on todella lataukseen oikeutettu taho ja että käyttäjä on oikeutettu vastaanottamaan käyttöjärjestelmän uuden version elektroniikkalaitteeseensa (lohko 402). Ladattavaan käyttöjärjestelmään voidaan nyt asettaa tieto laitetunnuksesta DID, ohjelmiston val-30 mistajan julkinen avain, ja/tai digitaalinen allekirjoitus (nuoli 403), jolloin kyseisen käyttöjärjestelmäversion suoritus on rajoitettavissa vain kyseiseen elektroniikkalaitteeseen 1. Tällöin muuta kopiosuojausta ei välttämättä tarvita. Uusi käyttöjärjestelmäversio välitetään elektroniikkalaitteeseen 1 (nuoli 404) tallennettavaksi uudelleen kirjoitettavissa 35 olevaan muistiin 3b jollakin sinänsä tunnetulla menetelmällä (lohko 405).

16 114416

Tunnetaan lukuisia salausmenetelmiä, joita voidaan soveltaa nyt esillä olevan keksinnön yhteydessä. Symmetrisistä salausmenetelmistä mainittakoon tässä yhteydessä DES (Data Encryption Standard), AES (Advanced Encryption Standard) sekä RC2 (Rivest's Cipher 2) ja epä-5 symmetrisistä RSA (Rivest, Shamir, Adleman). Lisäksi on kehitetty ns. hybridijärjestelmiä, jossa käytetään sekä epäsymmetristä salausta että symmetristä salausta. Tällaisissa järjestelmissä epäsymmetristä salausta tavallisesti käytetään salataan symmetrisessä salauksessa käytettävän salausavaimen salaamiseen lähetettäväksi vastaanotta-10 jalle, jolloin varsinaisen tiedon salauksessa käytetään symmetristä salausavainta.

Epäsymmetrisessä salauksessa käytettävien julkisten avainten välitykseen on kehitetty järjestely, josta käytetään lyhennettä PKI (Public Key 15 Infrastructure). Tällainen järjestely käsittää palvelimia, joissa julkisia avaimia säilytetään ja joista avaimen tarvitsija voi avaimen noutaa. Tällainen järjestely soveltuu erityisesti yritysten käyttöön, jolloin yrityksen ei itse tarvitse lähettää julkista avaintaan jokaiselle, joka haluaa lähettää yritykseen tietoa salattuna.

20

Digitaalisia allekirjoituksia varten on kehitetty useita järjestelmiä, kuten RSA, DSA (Digital Signature Algorithm) ja ECC (Elliptic Curve Cryptography), joiden yhteydessä käytetään allekirjoitettavaa tietoa tiivistäviä algoritmeja, joista tässä mainittakoon SHA-1 (Secure Hash Algorithm) 25 ja MD5 (Message Digest 5). Kuvassa 6 on esitetty periaatekuvana digitaalisen allekirjoituksen suorittamista. Allekirjoitettava tieto 601 johdetaan hash-funktion (tiivistefunktio) suorittavaan lohkoon 602. Tämän jälkeen hash-funktiolla muodostettu tiivistetieto allekirjoitetaan 603 salaisella avaimella SK. Allekirjoitus 604 liitetään allekirjoitettavan tiedon 30 601 yhteyteen. Allekirjoitetun tiedon varmennusvaiheessa suoritetaan allekirjoituksella varmennetun tiedon johtaminen vastaavan hash-funktion suorittavaan lohkoon 605, jossa muodostetaan tiivistetieto 606. Allekirjoitus varmennetaan 607 käyttämällä allekirjoittajan salaista avainta vastaavaa julkista avainta PK, minkä jälkeen verrataan 608 tii-35 vistetietoa 606 ja allekirjoituksen varmennuksessa 607 muodostettua tietoa. Mikäli tiedot vastaavat toisiaan, allekirjoitettuun tietoon voidaan suurella todennäköisyydellä luottaa.

) I

5 17 114416

Keksinnön mukaiset vaiheet voidaan suurelta osin toteuttaa elektroniikkalaitteen 1 ohjauslohkon 2 ohjelmien suoritusvälineiden 2a ohjelmakäskyinä.

Keksintöä voidaan soveltaa myös mm. elektroniikkalaitteeseen 1 liittyvien ohjelmistojen kieliversioiden toteuttamisessa. Tällöin kutakin kieliversiosta varten muodostetaan joukko ohjelmistoja, joissa on halutut kielimääritykset. Tähän joukkoon ohjelmistoja asetetaan tiedoksi laite-10 tunnus, jolloin ohjelmistoa voidaan käyttää vain tietyssä laitteessa. Tämän varmistamiseksi sovelletaan nyt esillä olevan keksinnön mukaisia mekanismeja. Toisaalta keksinnön mukaista ratkaisua voidaan soveltaa myös siten, että elektroniikkalaitteessa 1 on määritettävissä se, mitä kieliversiota tai -versioita voidaan asentaa ja suorittaa kyseisessä 15 elektroniikkalaitteessa 1.

On selvää, että nyt esillä olevaa keksintöä ei ole rajoitettu ainoastaan edellä esitettyihin suoritusmuotoihin, vaan sitä voidaan muunnella oheisten patenttivaatimusten puitteissa.

20 *

t I

Claims

114416

1. Menetelmä elektroniikkalaitteessa (1) suoritettavaksi tarkoitetun ohjelmiston luotettavuuden varmistamiseksi, johon elektroniikkalaittee- 5 seen (1) on tallennettu ainakin ensimmäinen (DID, S1, PK1) ja toinen varmistustieto (S2, PK2), jossa menetelmässä suoritetaan käynnistys-ohjelman käynnistys (501), tunnettu siitä, että käynnistysohjelmassa suoritetaan ainakin ensimmäinen (P1) ja toinen käynnistysvaihe (P2), että mainittu ensimmäinen varmistustieto on muodostettu ainakin osit-10 tain käynnistysohjelman ensimmäisen käynnistysvaiheen (P1) ohjelmakoodin perusteella, että mainittu toinen varmistustieto on muodostettu ainakin osittain käynnistysohjelman toisen käynnistysvaiheen (P2) ohjelmakoodin perusteella, että ensimmäisessä käynnistysvaiheessa tutkitaan ainakin mainitun ensimmäisen varmistustie-15 don (DID, S1, PK1) luotettavuus, jolloin mikäli varmistus osoittaa mainitun ainakin ensimmäisen varmistustiedon (DID, S1, PK1) olevan luotettava, tutkitaan ainakin toiseen käynnistysvaiheeseen liittyvä mainittu toinen varmistustieto (S2, PK2) toisen käynnistysvaiheen luotettavuuden varmistamiseksi, jolloin mikäli varmistus osoittaa mainitun ai-20 nakin yhden toiseen käynnistysvaiheeseen liittyvän toisen varmistus-tiedon (S2, PK2) olevan luotettava, suoritetaan mainitun ensimmäisen käynnistysvaiheen (P1) jälkeen mainittu toinen käynnistysvaihe (P2).

2. Patenttivaatimuksen 1 mukainen menetelmä, tunnettu siitä, että 25 mainitun ensimmäisen varmistustiedon (DID, S1, PK1) muodostuksessa käytetään ainakin osittain mainitun ensimmäisen käynnistysvaiheen ohjelmakäskyjä.

3. Patenttivaatimuksen 1 tai 2 mukainen menetelmä, tunnettu siitä, 30 että mainitun ensimmäisen varmistustiedon (DID, S1, PK1) muodostuksessa käytetään elektroniikkalaitteen laitetunnusta (DID), joka on tallennettu elektroniikkalaitteeseen (1).

4. Patenttivaatimuksen 3 mukainen menetelmä, tunnettu siitä, että 35 mikäli mainittu elektroniikkalaitteen laitetunnus (DID) ei vastaa mainittua ensimmäisen varmistustiedon (DID, S1, PK1) muodostuksessa 114416 käytettyä laitetunnusta, elektroniikkalaitteen (1) normaali toiminta estetään.

5. Jonkin patenttivaatimuksen 1—4 mukainen menetelmä, tunnettu 5 siitä, että mainittu ensimmäinen varmistustieto (DID, S1, PK1) muodostetaan digitaalisella allekirjoituksella käyttämällä salaista avainta (S1), että elektroniikkalaitteeseen (1) tallennetaan salaista avainta (S1) vastaava julkinen avain (PK1), ja että mainitun ensimmäisen varmistustiedon (DID, S1, PK1) varmistamisessa käytetään mai- 10 nittua elektroniikkalaitteeseen (1) tallennettua julkista avainta (PK1).

6. Jonkin patenttivaatimuksen 1—5 mukainen menetelmä, tunnettu siitä, että mainitun toisen varmistustiedon (S2, PK2) muodostuksessa käytetään ainakin osittain mainitun toisen käynnistysvaiheen ohjelma- 15 käskyjä.

7. Jonkin patenttivaatimuksen 1—6 mukainen menetelmä, tunnettu siitä, että ainakin mainittu ensimmäinen varmistustieto (DID, S1, PK1) tallennetaan kertaalleen kirjoitettavissa olevaan lukumuistiin (2e). 20

8. Jonkin patenttivaatimuksen 1—7 mukainen menetelmä, tunnettu siitä, että ainakin osa mainitun ensimmäisen käynnistysvaiheen (P1) ohjelmakäskyistä tallennetaan kertaalleen kirjoitettavissa olevaan lukumuistiin (2e). ·' 25

9. Jonkin patenttivaatimuksen 1—8 mukainen menetelmä, tunnettu siitä, että mainitun ensimmäisen käynnistysvaiheen (P1) ohjelmakäskyt ja mainitun toisen käynnistysvaiheen (P2) ohjelmakäskyt tallennetaan eri muisteihin (2d, 2e, 3). • 30

10. Patenttivaatimuksen 8 tai 9 mukainen menetelmä, tunnettu siitä, että mainittu toinen varmistustieto (S2, PK2) tallennetaan samaan muistiin, johon mainitun toisen käynnistysvaiheen (P2) ohjelmakäskyt tallennetaan. ;: 35

11. Jonkin patenttivaatimuksen 1—10 mukainen menetelmä, tunnettu siitä, että mainittu toinen varmistustieto (DID, S1, PK1) muodoste- 114416 taan digitaalisella allekirjoituksella käyttämällä salaista avainta (S2), että elektroniikkalaitteeseen (1) tallennetaan salaista avainta (S2) vastaava julkinen avain (PK2), ja että mainitun toisen varmistustie-don (DID, S1, PK1) varmistamisessa käytetään mainittua elektroniik-5 kalaitteeseen (1) tallennettua julkista avainta (PK2).

12. Patenttivaatimuksen 11 mukainen menetelmä, tunnettu siitä, että digitaalisen allekirjoituksen muodostamiseksi valitaan joukko tietoja, suoritetaan valitun joukon tietoja tiivistäminen tiivisteen (H) muodosta- 10 miseksi, ja muodostetaan digitaalinen allekirjoitus mainitun tiivisteen (H) perusteella.

13. Jonkin patenttivaatimuksen 1—12 mukainen menetelmä, tunnettu siitä, että elektroniikkalaitteessa (1) suoritetaan ainakin yhtä ohjel- 15 mistoa (PG1, PG2, PG3), jonka käynnistäminen suoritetaan toisessa käynnistysvaiheessa (P2) ja johon ainakin yhteen ohjelmistoon (PG1, PG2, PG3) liitetään ainakin kolmas varmistustieto, että ennen mainitun ohjelmiston (PG1, PG2, PG3) käynnistämistä tutkitaan mainittu kolmas varmistustieto mainitun ohjelmiston (PG1, PG2, PG3) 20 luotettavuuden varmistamiseksi, jolloin mikäli mainittu ohjelmiston (PG1, PG2, PG3) luotettavuuden varmistus osoittaa mainitun ohjelmiston (PG1, PG2, PG3) olevan luotettava, ainakin yksi mainittu ohjelmisto (PG1, PG2, PG3) käynnistetään. 25 14. Järjestelmä elektroniikkalaitteessa (1) suoritettavaksi tarkoitetun ohjelmiston luotettavuuden varmistamiseksi, johon elektroniikkalaitteeseen (1) on tallennettu ainakin ensimmäinen (DID, S1, PK1) ja toinen varmistustieto (S2, PK2), ja elektroniikkalaite (1) käsittää välineet (2a) käynnistysohjelman käynnistämiseksi, tunnettu siitä, että järjestelmä 30 käsittää välineet (2) käynnistysohjelman suorittamiseksi ainakin en-! simmäisessä (P1) ja toisessa käynnistysvaiheessa (P2), että mainittu ensimmäinen varmistustieto on muodostettu ainakin osittain käynnistysohjelman ensimmäisen käynnistysvaiheen (P1) ohjelmakoodin perusteella, että mainittu toinen varmistustieto on muodostettu ainakin 35 osittain käynnistysohjelman toisen käynnistysvaiheen (P2) ohjelmakoodin perusteella, että järjestelmä käsittää lisäksi välineet ainakin mainitun ensimmäisen varmistustiedon (DID, S1, PK1) luotettavuuden 114416 tutkimiseksi mainitussa ensimmäisessä käynnistysvaiheessa (P1), ja välineet ainakin toiseen käynnistysvaiheeseen liittyvän mainitun toisen varmistustiedon (S2, PK2) tutkimiseksi toisen käynnistysvaiheen luotettavuuden varmistamista varten, jolloin mikäli mainittu ainakin en-5 simmäinen varmistustieto (DID, S1, PK1) ja mainittu ainakin yksi toiseen käynnistysvaiheeseen liittyvä toinen varmistustieto (S2, PK2) ovat mainittujen varmistusten perusteella luotettavia, mainitun ensimmäisen käynnistysvaiheen (P1) jälkeen on järjestetty suoritettavaksi mainittu toinen käynnistysvaihe (P2). 10

15. Patenttivaatimuksen 14 mukainen järjestelmä, tunnettu siitä, että mainitun ensimmäisen varmistustiedon (DID, S1, PK1) muodostuksessa on käytetty ainakin osittain mainitun ensimmäisen käynnistysvaiheen ohjelmakäskyjä. 15

16. Patenttivaatimuksen 14 tai 15 mukainen järjestelmä, tunnettu siitä, että mainitun ensimmäisen varmistustiedon (DID, S1, PK1) muodostuksessa on käytetty elektroniikkalaitteen laitetunnusta (DID), joka on tallennettu elektroniikkalaitteeseen (1). 20

17. Patenttivaatimuksen 16 mukainen järjestelmä, tunnettu siitä, että se käsittää välineet mainitun elektroniikkalaitteeseen (1) tallennetun elektroniikkalaitteen laitetunnuksen (DID) ja ensimmäisen varmistustiedon (DID, S1, PK1) muodostuksessa käytetyn laitetunnuksen vastaa- 25 vuuden vertaamiseksi, ja välineet käynnistysohjelman pysäyttämiseksi, mikäli mainittu elektroniikkalaitteen laitetunnus (DID) ei vastaa mainittua varmistustiedon (DID, S1, PK1) muodostuksessa käytettyä laite-tunnusta.

18. Jonkin patenttivaatimuksen 14—17 mukainen järjestelmä, tunnet tu siitä, että se käsittää välineet mainitun ensimmäisen varmistustiedon (DID, S1,PK1) muodostamiseksi digitaalisella allekirjoituksella käyttämällä salaista avainta (S1), välineet salaista avainta (S1) vastaavan julkisen avaimen (PK1) tallentamiseksi elektroniikkalaitteeseen (1), 35 ja välineet mainitun elektroniikkalaitteeseen (1) tallennetun julkisen avaimen (PK1) käyttämiseksi mainitun ensimmäisen varmistustiedon (DID, S1, PK1) varmistamisessa. 114416

19. Jonkin patenttivaatimuksen 14—18 mukainen järjestelmä, tunnettu siitä, että mainitun toisen varmistustiedon (S2, PK2) muodostuksessa on käytetty ainakin osittain mainitun toisen käynnistysvaiheen 5 ohjelmakäskyjä.

20. Jonkin patenttivaatimuksen 14—19 mukainen järjestelmä, tunnettu siitä, että se käsittää kertaalleen kirjoitettavissa olevan lukumuis-tin (2e), johon ainakin mainittu ensimmäinen varmistus- 10 tieto (DID, S1, PK1) on tallennettu.

21. Patenttivaatimuksen 20 mukainen järjestelmä, tunnettu siitä, että ainakin osa mainitun ensimmäisen käynnistysvaiheen (P1) ohjelma-käskyistä on tallennettu mainittuun kertaalleen kirjoitettavissa olevaan 15 lukumuistiin (2e).

22. Jonkin patenttivaatimuksen 14—21 mukainen järjestelmä, tunnettu siitä, että mainitun ensimmäisen käynnistysvaiheen (P1) ohjelma-käskyt ja mainitun toisen käynnistysvaiheen (P2) ohjelmakäskyt on 20 tallennettu eri muisteihin (2d, 2e, 3).

23. Patenttivaatimuksen 21 tai 22 mukainen järjestelmä, tunnettu siitä, että mainittu toinen varmistustieto (S2, PK2) on tallennettu samaan muistiin, johon mainitun toisen käynnistysvaiheen (P2) ohjelma- 25 käskyt on tallennettu.

24. Jonkin patenttivaatimuksen 14—23 mukainen järjestelmä, tunnettu siitä, että se käsittää välineet mainitun toinen varmistustiedon (DID, S1, PK1) muodostamiseksi digitaalisella allekirjoituksella 30 käyttämällä salaista avainta (S2), välineet salaista avainta (S1) vastaavan julkisen avaimen (PK1) tallentamiseksi elektroniikkalaitteeseen (1), ja välineet mainitun elektroniikkalaitteeseen (1) tallennetun julkisen avaimen (PK2) käyttämiseksi mainitun toisen varmistustiedon (DID, S1, PK1) varmistamisessa. ; · 35

25. Jonkin patenttivaatimuksen 14—24 mukainen järjestelmä, tunnettu siitä, että se käsittää välineet (2) ohjelmiston suorittamiseksi elektro- 114416 niikkalaitteessa (1), johon ohjelmistoon on liitetty ainakin kolmas var-mistustieto, välineet mainitun kolmannen varmistustiedon tutkimiseksi mainitun ohjelmiston luotettavuuden varmistamiseksi, välineet mainitun ohjelmiston käynnistämiseksi mainitussa toisessa käynnistysvaihees-5 sa (P2), mikäli mainittu ohjelmiston luotettavuuden varmistus osoitti mainitun ohjelmiston olevan luotettava.

26. Jonkin patenttivaatimuksen 14—25 mukainen järjestelmä, tunnettu siitä, että se käsittää ohjelmistojen latausjärjestelmän (AS), jossa 10 ohjelmistoja on tallennettuna latausta varten, välineet (9) ensimmäisen varmistustiedon (DID, S1, PK1) lähettämiseksi elektroniikkalaitteesta (1) ohjelmistojen latausjärjestelmään (AS), välineet (402, CDB) ensimmäisen varmistustiedon (DID, S1, PK1) varmentamiseksi, välineet (402) ensimmäisen varmistustiedon (DID, S1, PK1) liittämiseksi 15 elektroniikkalaitteeseen (1) ladattavaan ohjelmaan, ja välineet (404, AS) ohjelman lähettämiseksi elektroniikkalaitteeseen (1).

27. Elektroniikkalaite (1), joka käsittää välineet elektroniikkalaitteessa (1) suoritettavaksi tarkoitetun ohjelmiston luotettavuuden var- 20 mistamiseksi, johon elektroniikkalaitteeseen (1) on tallennettu ainakin ensimmäinen (DID, S1, PK1) ja toinen varmistustieto (S2, PK2), ja elektroniikkalaite (1) käsittää lisäksi välineet (2a) käynnistysohjelman käynnistämiseksi, tunnettu siitä, että elektroniikkalaite (1) käsittää välineet (2) käynnistysohjelman suorittamiseksi ainakin ensimmäi-25 sessä(P1) ja toisessa käynnistysvaiheessa (P2), että mainittu ensimmäinen varmistustieto on muodostettu ainakin osittain käynnistysohjelman ensimmäisen käynnistysvaiheen (P1) ohjelmakoodin perusteella, että mainittu toinen varmistustieto on muodostettu ainakin osittain käynnistysohjelman toisen käynnistysvaiheen (P2) ohjelmakoodin 30 perusteella, että elektroniikkalaite (1) käsittää lisäksi välineet ainakin mainitun ensimmäisen varmistustiedon (DID, S1, PK1) luotettavuuden tutkimiseksi mainitussa ensimmäisessä käynnistysvaiheessa (P1), ja välineet ainakin toiseen käynnistysvaiheeseen liittyvän mainitun toisen varmistustiedon (S2, PK2) tutkimiseksi toisen käynnistysvaiheen luo-35 tettavuuden varmistamista varten, jolloin mikäli mainittu ainakin ensimmäinen varmistustieto (DID, S1, PK1) ja mainittu ainakin yksi toiseen käynnistysvaiheeseen liittyvä toinen varmistustieto (S2, PK2) ovat 114416 mainittujen varmistusten perusteella luotettavia, mainitun ensimmäisen käynnistysvaiheen (P1) jälkeen on järjestetty suoritettavaksi mainittu toinen käynnistysvaihe (P2).

28. Patenttivaatimuksen 27 mukainen elektroniikkalaite (1), tunnettu siitä, että se käsittää välineet (9) matkaviestintoimintojen suorittamiseksi.

29. Patenttivaatimuksen 28 mukainen elektroniikkalaite (1), tunnettu 10 siitä, että se käsittää välineet (9) ohjelmistojen lataamiseksi matkaviestinverkon kautta.

30. Ohjelmisto elektroniikkalaitteessa (1) suoritettavaksi tarkoitetun ohjelmiston luotettavuuden varmistamiseksi, johon elektroniikkaiaittee- 15 seen (1) on tallennettu ainakin ensimmäinen (DID, S1, PK1) ja toinen varmistustieto (S2, PK2), ja jossa ohjelmistossa on ohjelmakäskyjä käynnistysohjelman käynnistyksen suorittamiseksi (501), tunnettu siitä, että ohjelmisto käsittää lisäksi ohjelmakäskyjä ainakin ensimmäisen (P1) ja toisen käynnistysvaiheen (P2) suorittamiseksi käynnistys-20 ohjelmassa, että mainittu ensimmäinen varmistustieto on muodostettu ainakin osittain käynnistysohjelman ensimmäisen käynnistysvaiheen (P1) ohjelmakäskyjen perusteella, että mainittu toinen varmistus-tieto on muodostettu ainakin osittain käynnistysohjelman toisen käynnistysvaiheen (P2) ohjelmakäskyjen perusteella, että ohjelmisto käsit-25 tää lisäksi ohjelmakäskyjä ainakin mainitun ensimmäisen varmistustie-don (DID, S1, PK1) luotettavuuden tutkimiseksi ensimmäisessä käynnistysvaiheessa, ohjelmakäskyjä ainakin toiseen käynnistysvaiheeseen liittyvän mainitun toisen varmistustiedon (S2, PK2) tutkimiseksi toisen käynnistysvaiheen luotettavuuden varmistamiseksi, ohjelmakäskyjä 30 mainitun toisen käynnistysvaiheen (P2) suorittamiseksi mainitun ensimmäisen käynnistysvaiheen (P1) jälkeen, mikäli mainittu ainakin ensimmäinen varmistustieto (DID, S1, PK1) ja mainittu ainakin yksi toiseen käynnistysvaiheeseen liittyvä toinen varmistustieto (S2, PK2) ovat mainittujen varmistusten perusteella luotettavia. ; 35

31. Tallennusväline (2d, 2e) elektroniikkalaitteessa (1) suoritettavaksi tarkoitetun ohjelmiston luotettavuuden varmistamiseksi käytettävän 114416 ohjelmiston tallentamiseksi, johon elektroniikkalaitteeseen (1) on tallennettu ainakin ensimmäinen (DID, S1, PK1) ja toinen varmistustie-to (S2, PK2), ja jossa ohjelmistossa on ohjelmakäskyjä käynnistysohjelman käynnistyksen suorittamiseksi (501), tunnettu siitä, että tal-5 lennusvälineelle tallennettu ohjelmisto käsittää lisäksi ohjelmakäskyjä ainakin ensimmäisen (P1) ja toisen käynnistysvaiheen (P2) suorittamiseksi käynnistysohjelmassa, että mainittu ensimmäinen varmistustieto on muodostettu ainakin osittain käynnistysohjelman ensimmäisen käynnistysvaiheen (P1) ohjelmakäskyjen perusteella, että mainittu toi-10 nen varmistustieto on muodostettu ainakin osittain käynnistysohjelman toisen käynnistysvaiheen (P2) ohjelmakäskyjen perusteella, että ohjelmisto käsittää lisäksi ohjelmakäskyjä ainakin mainitun ensimmäisen varmistustiedon (DID, S1, PK1) luotettavuuden tutkimiseksi ensimmäisessä käynnistysvaiheessa, ohjelmakäskyjä ainakin toiseen käynnis-15 tysvaiheeseen liittyvän mainitun toisen varmistustiedon (S2, PK2) tutkimiseksi toisen käynnistysvaiheen luotettavuuden varmistamiseksi, ohjelmakäskyjä mainitun toisen käynnistysvaiheen (P2) suorittamiseksi mainitun ensimmäisen käynnistysvaiheen (P1) jälkeen, mikäli mainittu ainakin ensimmäinen varmistustieto (DID, S1, PK1) ja mainittu ainakin 20 yksi toiseen käynnistysvaiheeseen liittyvä toinen varmistustieto (S2, PK2) ovat mainittujen varmistusten perusteella luotettavia. 114416