JP2010086366A - データ記憶装置、データ保護方法、及びプログラム - Google Patents

Abstract

【課題】正当な権限を有する者が行う正当行為に対しては、耐タンパ処理が発動されないようにする。
【解決手段】CPU２９は、SRAM２４に記憶されているデータに耐タンパ処理を行うときのトリガとなる、リーダライタ１の筐体に対する不正行為を監視する監視モードの設定を、オン状態又はオフ状態のいずれか一方に変更する変更キーを取得し、その変更キーに基づいて、監視モードの設定を変更する。本発明は、例えば、耐タンパ性を有するデータ記憶装置に適用することができる。
【選択図】図２

Description

本発明は、データ記憶装置、データ保護方法、及びプログラムに関し、特に、例えば、耐タンパ性を有するデータ記憶装置に対して、正当な権限を有する者が行う修理、メンテナンス等の正当行為が行われた場合には、耐タンパ処理が発動されないようにしたデータ記憶装置、データ保護方法、及びプログラムに関する。

従来、データ記憶装置に対して、分解、破壊等が行われたときに、データ記憶装置に記憶されているデータを削除したり、読み出し不可としたり、暗号化したりする耐タンパ処理を発動させるデータ保護技術が存在する（例えば、特許文献１を参照）。これにより、データ記憶装置に記憶されているデータの内容が外部に漏えいすることを防止することができる。

特開２００８−３３５９３号公報

しかしながら、従来のデータ保護技術では、データの盗聴、改ざん等を目的として行われる分解等の不正行為の他、データ記憶装置の修理、メンテナンス等を目的として行われる分解等の正当行為が行われたときにも、耐タンパ処理が発動し、データ記憶装置に記憶されているデータが消去されてしまう。

本発明は、このような状況に鑑みてなされたものであり、正当な権限を有する者が行う正当行為に対しては、耐タンパ処理が発動されないようにするものである。

本発明の一側面のデータ記憶装置、又はプログラムは、筐体内にメモリが設けられたデータ記憶装置、またはデータ記憶装置としてコンピュータを機能させるためのプログラムであり、前記メモリに記憶されているデータに耐タンパ処理を行うときのトリガとなる、前記筐体に対する不正行為を監視する監視モードの設定を、オン状態又はオフ状態のいずれか一方に変更する鍵情報を取得する取得手段と、前記鍵情報に基づいて、前記監視モードの設定を変更する変更手段とを含むデータ記憶装置、又はデータ記憶装置としてコンピュータを機能させるためのプログラムである。

前記取得手段では、使用回数、又は有効期限の少なくとも一方が設定された前記鍵情報を取得することができる。

前記取得手段では、前記鍵情報を記憶している鍵情報サーバ又はICカードのいずれか一方から、前記鍵情報を取得することができる。

前記変更手段では、前記鍵情報が正当なものである場合、前記監視モードの設定を変更することができる。

前記変更手段では、前記監視モードの設定がオフ状態である場合、前記監視モードの設定をオン状態に変更し、前記監視モードの設定がオン状態である場合、前記監視モードの設定をオフ状態に変更することができる。

前記不正行為は、前記筐体を分解、又は破壊する行為とすることができる。

本発明の一側面のデータ保護方法は、前記取得手段が、前記メモリに記憶されているデータに耐タンパ処理を行うときのトリガとなる、前記筐体に対する不正行為を監視する監視モードの設定を、オン状態又はオフ状態のいずれか一方に変更する鍵情報を取得し、前記変更手段が、前記鍵情報に基づいて、前記監視モードの設定を変更するステップを含むデータ保護方法である。

本発明の一側面によれば、前記メモリに記憶されているデータに耐タンパ処理を行うときのトリガとなる、前記筐体に対する不正行為を監視する監視モードの設定を、オン状態又はオフ状態のいずれか一方に変更する鍵情報が取得され、前記鍵情報に基づいて、前記監視モードの設定が変更される。

本発明の一側面によれば、正当な権限を有する者が行う正当行為に対しては、耐タンパ処理が発動されないようにすることができる。

以下、図面を参照して、本実施の形態について説明する。

図１は、本発明を適用したリーダライタ１（データ記憶装置）等により構成される通信システムを示している。

この通信システムは、例えば、リーダライタ１が故障した場合等に、修理の目的で形成されるものであり、リーダライタ１、リーダライタ１と有線によりシリアル接続されたパーソナルコンピュータ（Personal Computer）（以下、ＰＣという）２、インターネット等のネットワーク３、キーサーバ（鍵情報サーバ）４、及びIC(Integrated Circuit)カード５により構成される。

リーダライタ１は、ICカード５等と非接触近接無線通信を行うものであり、耐タンパ性を有している。リーダライタ１の筐体内には、ICカード５等と近接無線通信機能を実現するための通信回路の他、ユーザレベルでは分解不可とされているリーダライタ１の筐体を、強引に分解したり破壊する等の不正行為を監視し、耐タンパ処理のトリガとして検出する監視回路等が内蔵されている。

リーダライタ１には、ＰＣ２又はICカード５から、リーダライタ１（の筐体）に対する不正行為を監視する監視モードの状態を変更するための変更キー（鍵情報）が供給される。なお、変更キーとしては、リーダライタ１のシリアル番号、又は、そのシリアル番号とリーダライタ１の型番を表すモデルID(Identification)とを組み合わせた情報等の、リーダライタ１に固有の情報が採用される。

リーダライタ１は、ＰＣ２又はICカード５からの変更キーに基づいて、リーダライタ１に対する不正行為を監視する監視モードの設定を、オン状態又はオフ状態のいずれか一方に変更する。なお、監視モードの設定は、通常、オン状態に設定されているものとする。

すなわち、例えば、リーダライタ１は、監視モードの設定がオン状態である場合、ＰＣ２又はICカード５からの変更キーに基づいて、監視モードの設定を、オン状態からオフ状態に変更する監視モードオフ変更処理（図３において後述）を行う。

また、リーダライタ１は、監視モードの設定がオフ状態である場合、ＰＣ２又はICカード５からの変更キーに基づいて、監視モードの設定を、オフ状態からオン状態に変更する監視モードオン変更処理（図４において後述）を行う。

なお、監視モードの設定において、オン状態とはリーダライタ１に対する不正行為の監視が有効であり、耐タンパ処理が発動され得る状態をいう。また、オフ状態とはリーダライタ１に対する不正行為の監視が無効であり、耐タンパ処理が発動されない状態をいう。

ＰＣ２は、ネットワーク３を介してキーサーバ４に接続し、リーダライタ１用の変更キーの送信を要求する送信要求とともに、リーダライタ１用の変更キーを取得するために必要な認証に用いられるID及びパスワードを送信する。ＰＣ２は、送信要求等の送信に対応してキーサーバ４からのリーダライタ１用の変更キーを取得（受信）し、リーダライタ２に供給する。

キーサーバ４は、ＰＣ２からネットワーク３を介して供給されたID及びパスワードにより認証を行い、その認証に成功した場合のみ、リーダライタ１用の変更キーを、ネットワーク３を介してＰＣ２に送信する。

なお、キーサーバ４には、リーダライタ１用の変更キーが、リーダライタ１用の変更キーを取得するために必要な認証に用いられるID及びパスワードに対応づけられた形で、予め記憶（保持）されている。

また、リーダライタ１用の変更キーには、リーダライタ１用の変更キーを管理する管理者（例えば、リーダライタ１の所有者）により、監視モードオフ変更処理、及び監視モードオン変更処理において使用可能な使用回数、又は有効期限の少なくとも一方を設定することが可能である。

これにより、リーダライタ１が故障した場合等に、リーダライタ１用の変更キーを管理する管理者は、リーダライタ１を修理する修理事業者（例えば、リーダライタ１の製造元）に対して、ＰＣ２によるリーダライタ１用の変更キーの使用を、リーダライタ１の修理による使用のみに限定させることが可能となり、変更キーが不正に使用される事態の発生を防止することができる。

また、リーダライタ１用の変更キーに対して、使用回数や有効期限を設定した場合に、ＰＣ２等からリーダライタ１用の変更キーが盗まれたとしても、変更キーの残りの使用回数が０であったり、変更キーの有効期限が切れているときには、変更キーが不正に使用される事態の発生を防止することができる。

以上、説明したように、変更キーは、ＰＣ２からリーダライタ１に供給される。ただし、変更キーは、ICカード５からリーダライタ１に供給することもできる。すなわち、ICカード５は、予め、リーダライタ１用の変更キーを記憶しており、リーダライタ１との非接触近接無線通信により、リーダライタ１用の変更キーを、リーダライタ１に送信する。

なお、ICカード５は、リーダライタ１用の変更キーを管理する管理者により保管されており、例えば、リーダライタ１を修理するために、リーダライタ１の監視モードの設定をオフ状態にし、リーダライタ１の筐体を分解する必要があるとき等に、リーダライタ１用の変更キーを管理する管理者から修理事業者に貸与される。

図２は、リーダライタ１の詳細な構成例を示している。

リーダライタ１は、監視回路２１、データ量確認用LED(Light Emitting Diode)２２、状態確認用LED２３、SRAM（Static Random Access Memory）２４、記憶部２５、ROM（Read Only Memory）２６、通信回路２７、アンテナ２８、CPU（Central Processing Unit）２９、及び内部バッテリ３０により構成されている。

監視回路２１は、筐体が不正に分解されたことを検知するメカニカルスイッチ、筐体が不正に破壊されたときに外部から入射される光を検知する光センサ等を内蔵する。そして、内蔵するメカニカルスイッチ、光センサ等により、リーダライタ１の筐体が分解されたり破壊される等の不正行為を監視し、その不正行為を検出したときに、その旨を示す検出結果を、CPU２９に供給する。

データ量確認用LED２２は、リーダライタ１とＰＣ２間でやりとりされるデータのデータ量に応じて点滅する。すなわち、データ量確認用LED２２は、データ量が多い程に短い間隔で点滅し、データ量が少ない程に長い間隔で点滅する。

状態確認用LED２３は、リーダライタ１の監視モードの設定の状態（オン状態、又はオフ状態）を示す色により点灯する。

SRAM２４は、例えば、ＰＣ２又はICカード５からリーダライタ１に供給される変更キーとの照合に用いる、その変更キーと同一のキーである照合用キー（監視モードオン変更処理、及び監視モードオフ変更処理において用いる）、記憶部２５及びROM２６にアクセスするために用いるアクセスキーを記憶している。なお、SRAM２４には、例えば、リーダライタ１の製造時に、照合用キー及びアクセスキーが、予め記憶される。

また、SRAM２４は、CPU２９から供給される、リーダライタ１で実行される各サービス（例えば、電子マネーの決済サービス等）により得られたデータ、リーダライタ１の動作の履歴を表す動作情報等を記憶する。

記憶部２５は、書き換え可能で、電源が遮断されても記録内容を保持できる、いわゆる不揮発性の記憶媒体からなり、例えば、ハードディスク、フラッシュメモリ、EEPROM（Electrically Erasable Programmable Read Only Memory）、MRAM（Magnetoresistive Random Access Memory（磁気抵抗メモリ））、又はFeRAM（Ferroelectric Random Access Memory（強誘電体メモリ））などにより構成される。

記憶部２５は、CPU２９により書込みが指示されたデータ、CPU２９の各種の処理を行うためのプログラム、その他のデータ等を記憶する。

また、記憶部２５に記憶されているプログラムは、インターネット等のネットワークから供給されるプログラムや、記録媒体に記録されたプログラム等を、新たなプログラムとして書き換えることにより、バージョンアップさせることができる。

ROM２６は、CPU２９の各種の処理を行うためのプログラム等を記憶している。

通信回路２７は、アンテナ２８を介して、ICカード５との間で、電磁誘導による非接触近接無線通信を行い、ICカード５からの変更キーを受信し、CPU２９に供給する。

CPU２９は、各ブロックを制御する。CPU２９は、ＰＣ２、又は通信回路２７からの変更キーに基づいて、リーダライタ１の監視モードの設定を変更する。

また、CPU２９は、監視モードの設定がオン状態である場合に、監視回路２１から、リーダライタ１に対する不正行為を検出したことを示す検出結果が供給されたことに対応して、耐タンパ処理を行う。耐タンパ処理では、例えばSRAM２４に記憶されているデータの内容が外部に漏えいしないように、データが消去されたり、読み出し不可とされたり、暗号化されたりする。

さらに、CPU２９は、リーダライタ１により実行される各サービスにより得られたデータや、リーダライタ１の動作に応じて生成した動作情報等を、SRAM２４に供給して記憶させる。

内部バッテリ３０は、適宜、各ブロックの動作に必要な電力を供給する。これにより、リーダライタ１の外部に存在する図示せぬAC(Alternating Current)電源からリーダライタ１（の各ブロック）に対して電力の供給が遮断された場合であっても、監視モードの設定をオン状態にしておくことができるとともに、SRAM２４にデータを保持し続けることが可能となる。なお、AC電源からリーダライタ１に対して電力の供給が行われている場合には、内部バッテリ３０は、AC電源から供給される電力により充電される。

次に、図３のフローチャートを参照して、ＰＣ２からの変更キーに基づいて、CPU２９が行う監視モードオフ変更処理の詳細を説明する。

この監視モードオフ変更処理は、例えば、修理事業者が、リーダライタ１を修理するため、リーダライタ１の筐体を分解する必要があるときに実行される。

リーダライタ１に対しては、ＰＣ２を用いて変更キーが供給される。すなわち、ＰＣ２は、キーサーバ４からネットワーク３を介して予め取得しておいた変更キーを、監視モードの設定がオン状態であるリーダライタ１のCPU２９に送信する。

なお、監視モードオフ変更処理は、ICカード５から通信回路２７及びアンテナ２８を介してCPU２９に供給された変更キーにも基づいて行うことが可能であるが、その処理の内容は、ＰＣ２からの変更キーに基づいて行う場合と同様であるため、説明は省略する。

ステップＳ１において、CPU２９は、ＰＣ２からの変更キーを取得（受信）する。なお、いまの場合、リーダライタ１の監視モードの設定はオン状態であり、状態確認用LED２３は、その旨を示す色で点灯しているものとする。

ステップＳ２において、CPU２９は、ＰＣ２からの変更キーがリーダライタ１用の正当な変更キーであるか否か、すなわち、ＰＣ２からの変更キーがSRAM２４に記憶されている照合用キーと一致するか否かを判定する。

ステップＳ２において、CPU２９が、ＰＣ２からの変更キーがリーダライタ１用の正当な変更キーでないと判定した場合、監視モードオフ変更処理は終了される。

また、ステップＳ２において、CPU２９が、ＰＣ２からの変更キーがリーダライタ１用の正当な変更キーであると判定した場合、処理は、ステップＳ３に進められる。

そして、CPU２９は、監視モードの設定をオン状態からオフ状態に変更、すなわち、監視回路２１を制御して、リーダライタ１に対する不正行為の監視を無効にする。また、CPU２９は、状態確認用LED２３が発光している光の色を、オン状態を示す色から、オフ状態を示す色に変更させる。以上で、監視モードオフ変更処理は終了される。

以上説明したように、監視モードオフ変更処理では、監視モードの設定を、変更キーに基づいて、オン状態からオフ状態に変更することとした。

したがって、リーダライタ１の修理、メンテナンス等のために、リーダライタ１を分解する正当な権限を有する修理事業者により、監視モードの設定が、オン状態からオフ状態に変更された後、リーダライタ１が分解されても、耐タンパ処理は発動されない。

このため、リーダライタ１の筐体を分解しなければ、交換したり新たに追加することができない、SRAM２４や内部バッテリ３０等のハードウェアに対して、何の制限なくメンテナンス等を行うことが可能となる。

また、修理事業者がリーダライタ１を分解しても、SRAM２４に保持されている動作情報等が消去されないことから、修理事業者は、その動作情報等を取得することができ、取得した動作情報等に基づいて、リーダライタ１の故障の原因を究明するための解析を容易に行うことが可能となる。

次に、図４のフローチャートを参照して、ＰＣ２からの変更キーに基づいて、CPU２９が行う監視モードオン変更処理の詳細を説明する。

この監視モードオン変更処理は、例えば、監視モードの設定がオフ状態とされたリーダライタ１の修理を終了した後に実行される。

リーダライタ１に対しては、ＰＣ２を用いて変更キーが供給される。すなわち、ＰＣ２は、キーサーバ４からネットワーク３を介して予め取得しておいた変更キーを、監視モードの設定がオフ状態であるリーダライタ１のCPU２９に送信する。

なお、監視モードオン変更処理は、ICカード５から通信回路２７及びアンテナ２８を介してCPU２９に供給された変更キーにも基づいて行うことが可能であるが、その処理の内容は、ＰＣ２からの変更キーに基づいて行う場合と同様であるため、説明は省略する。

ステップＳ２１において、CPU２９は、ＰＣ２からの変更キーを取得する。なお、いまの場合、リーダライタ１の監視モードはオフ状態であり、状態確認用LED２３は、その旨を示す色で点灯しているものとする。

ステップＳ２２において、CPU２９は、ＰＣ２からの変更キーがリーダライタ１用の正当な変更キーであるか否か、すなわち、ＰＣ２からの変更キーがSRAM２４に記憶されている照合用キーと一致するか否かを判定する。

ステップＳ２２において、CPU２９が、ＰＣ２からの変更キーがリーダライタ１用の正当な変更キーでないと判定した場合、監視モードオン変更処理は終了される。

また、ステップＳ２２において、CPU２９が、ＰＣ２からの変更キーがリーダライタ１用の正当な変更キーであると判定した場合、処理は、ステップＳ２３に進められる。

そして、CPU２９は、監視モードをオフ状態からオン状態に変更、すなわち、監視回路２１を制御して、リーダライタ１に対する不正行為の監視を有効にする。また、CPU２９は、状態確認用LED２３が発光している光の色を、オフ状態を示す色から、オン状態を示す色に変更させる。以上で、監視モードオン変更処理は終了される。

以上説明したように、監視モードオン変更処理では、監視モードの設定を、変更キーに基づいて、オフ状態からオン状態に変更することとした。

したがって、例えば、修理事業者が、監視モードの設定がオフ状態とされたリーダライタ１の修理、メンテナンス等を行った後、監視モードオン変更処理により、監視モードの設定を、オフ状態からオン状態に変更（復帰）させれば、その後、リーダライタ１に対して不正行為が行われたとしても、耐タンパ処理が発動することになる。

このため、監視モードオフ変更処理により、リーダライタ１に対して修理、メンテナンス等のために行われる分解等の正当行為が行われても耐タンパ処理が発動されないとともに、監視モードオン変更処理により、リーダライタ１に対して不正行為が行われたときには耐タンパ処理が発動されることとなる。

本実施の形態では、監視モードオフ変更処理、及び監視モードオン変更処理において、監視モードオフ変更処理に用いるキー、及び監視モードオン変更処理に用いるキーとして共通の変更キーを用いることとしたが、変更キーは、監視モードオフ変更処理に用いるキーと、監視モードオン変更処理に用いるキーとで別々のキーとすることが可能である。

また、本実施の形態において、ＰＣ２は、キーサーバ４からネットワーク３を介して変更キーを取得することとしたが、その他、例えば、ＰＣ２の操作部（図示せず）等を用いて、修理事業者等に変更キーを入力させることにより、変更キーを取得するようにしてもよい。

本実施の形態では、本発明を適用したデータ記憶装置として、リーダライタ１を採用したが、これに限定されず、リーダライタ１以外の、耐タンパ性を有するコンピュータ等に適用することが可能である。

本実施の形態では、リーダライタ１とＰＣ２とは、有線によりシリアル接続されているものとしたが、これに限定されない。その他、例えば、リーダライタ１とＰＣ２とは、有線によりパラレル接続されているものとしてもよいし、無線LAN（Local Area Network)等により接続されているものとしてもよい。

また、本明細書において、監視モードオン変更処理、及び監視モードオフ変更処理を記述するステップは、記載された順序に沿って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理をも含むものである。

さらに、本明細書において、システムとは、複数の装置により構成される装置全体を表すものである。

なお、本発明の実施の形態は、上述した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能である。

通信システムの構成例を示すブロック図である。 リーダライタの構成例を示すブロック図である。 監視モードオフ変更処理を説明するフローチャートである。 監視モードオン変更処理を説明するフローチャートである。

符号の説明

１ リーダライタ， ２ パーソナルコンピュータ， ３ ネットワーク， ４ キーサーバ， ５ ICカード， ２１ 監視回路， ２２ データ量確認用LED， ２３ 状態確認用LED， ２４ SRAM， ２５ 記憶部， ２６ ROM， ２７ 通信回路， ２８ アンテナ， ２９ CPU， ３０ 内部バッテリ

Claims (8)

1. 筐体内にメモリが設けられたデータ記憶装置において、
   前記メモリに記憶されているデータに耐タンパ処理を行うときのトリガとなる、前記筐体に対する不正行為を監視する監視モードの設定を、オン状態又はオフ状態のいずれか一方に変更する鍵情報を取得する取得手段と、
   前記鍵情報に基づいて、前記監視モードの設定を変更する変更手段と
   を含むデータ記憶装置。
2. 前記取得手段は、使用回数、又は有効期限の少なくとも一方が設定された前記鍵情報を取得する
   請求項１に記載のデータ記憶装置。
3. 前記取得手段は、前記鍵情報を記憶している鍵情報サーバ又はICカードのいずれか一方から、前記鍵情報を取得する
   請求項１に記載のデータ記憶装置。
4. 前記変更手段は、前記鍵情報が正当なものである場合、前記監視モードの設定を変更する
   請求項１に記載のデータ記憶装置。
5. 前記変更手段は、前記監視モードの設定がオフ状態である場合、前記監視モードの設定をオン状態に変更し、前記監視モードの設定がオン状態である場合、前記監視モードの設定をオフ状態に変更する
   請求項４に記載のデータ記憶装置。
6. 前記不正行為は、前記筐体を分解、又は破壊する行為である
   請求項１に記載のデータ記憶装置。
7. 筐体内にメモリが設けられたデータ記憶装置のデータ保護方法において、
   前記データ記憶装置は、
   取得手段と、
   変更手段と
   を含み、
   前記取得手段が、前記メモリに記憶されているデータに耐タンパ処理を行うときのトリガとなる、前記筐体に対する不正行為を監視する監視モードの設定を、オン状態又はオフ状態のいずれか一方に変更する鍵情報を取得し、
   前記変更手段が、前記鍵情報に基づいて、前記監視モードの設定を変更する
   ステップを含むデータ保護方法。
8. 筐体内にメモリが設けられたデータ記憶装置のコンピュータを、
   前記メモリに記憶されているデータに耐タンパ処理を行うときのトリガとなる、前記筐体に対する不正行為を監視する監視モードの設定を、オン状態又はオフ状態のいずれか一方に変更する鍵情報を取得する取得手段と、
   前記鍵情報に基づいて、前記監視モードの設定を変更する変更手段と
   して機能させるためのプログラム。

Images