JP2021114156A - 情報処理装置、情報処理装置の処理方法およびプログラム - Google Patents

Abstract

【課題】プログラムの改ざんが行われている場合に、改ざんが行われている旨を外部装置に通知することができるようにする。【解決手段】情報処理装置は、ブートプログラムの起動に応じて第１のソフトウェアモジュールを起動する第１の起動手段と、前記第１のソフトウェアモジュールが起動すると、第２のソフトウェアモジュール内のプログラムの改ざんの検証を行う第１の検証手段と、前記第２のソフトウェアモジュール内の少なくとも１個のプログラムの改ざんが行われ、前記第２のソフトウェアモジュール内の通信モジュールの改ざんが行われていないと判断された場合には、前記第２のソフトウェアモジュール内の通信モジュールを起動し、改ざんが行われている旨を外部装置に通知する通知手段とを有する。【選択図】図６

Description

本発明は、情報処理装置、情報処理装置の処理方法およびプログラムに関する。

ソフトウェアの脆弱性をついてソフトウェアを改ざんし、コンピュータを悪用する攻撃が問題となっている。そういった攻撃の対策として、プログラムに署名を施して保存しておき、起動するたびにプログラムの署名を検証することで改ざんの有無を検知する方法が知られている。

特許文献１には、プログラムを部分的に交換可能にするためにモジュール化し、各モジュールに対して署名を検証する処理や検証するのに必要な鍵情報をそれぞれに内包して格納する方法が開示されている。特許文献２には、起動時に各プログラムの正解値が一致するか検証する方法が開示されている。

特開２０１９−７５０００号公報 特開２０１９−１９１６９８号公報

起動時に改ざんを検知した場合、悪意のある動作を防ぐために各プログラムの動作を停止させる。操作部には、改ざんが行われたことをユーザに知らせるため、エラーコードなどを表示する。

しかし、この場合、プログラムが動作しないため、ユーザが復旧させることができない。さらに、管理サーバなどの外部装置へのエラー通知ができないため、管理者やサービスマンに対する通知が行えず、復旧のための初期対応が遅くなってしまう。そのため、ユーザが情報処理装置を利用できないダウンタイムが長く発生してしまう。

本発明の目的は、プログラムの改ざんが行われている場合に、改ざんが行われている旨を外部装置に通知することができるようにすることである。

本発明の情報処理装置は、ブートプログラムの起動に応じて第１のソフトウェアモジュールを起動する第１の起動手段と、前記第１のソフトウェアモジュールが起動すると、第２のソフトウェアモジュール内のプログラムの改ざんの検証を行う第１の検証手段と、前記第２のソフトウェアモジュール内の少なくとも１個のプログラムの改ざんが行われ、前記第２のソフトウェアモジュール内の通信モジュールの改ざんが行われていないと判断された場合には、前記第２のソフトウェアモジュール内の通信モジュールを起動し、改ざんが行われている旨を外部装置に通知する通知手段とを有する。

本発明によれば、プログラムの改ざんが行われている場合に、改ざんが行われている旨を外部装置に通知することができる。

情報処理システムの構成例を示す図である。 複合機のハードウェア構成例を示す図である。 複合機の機能構成例を示す図である。 正解値リストを示す図である。 複合機の起動時の動作を示す図である。 複合機の処理方法を示すフローチャートである。

以下では、図面を参照して実施形態について説明する。なお、以下の実施形態は特許請求の範囲に係る本発明を限定するものでなく、また本実施形態で説明されている特徴の組み合わせの全てが本発明の解決手段に必須のものとは限らない。また、実施形態に係る情報処理装置として複合機（デジタル複合機／ＭＦＰ／Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら、適用範囲は複合機に限定はせず、情報処理装置であればよい。

図１は、本実施形態による情報処理システム１１０の構成例を示す図である。情報処理システム１１０は、複合機１００と、コンピュータ１０１と、管理サーバ１０２と、ネットワーク１１８とを有する。

複合機１００は、ネットワーク１１８を介して、コンピュータ１０１と管理サーバ１０２に接続される。コンピュータ１０１は、複合機１００に対して、印刷データを送信したり、複合機１００のファームウェアアップデートを実行したりすることができる。

管理サーバ１０２は、複合機１００からの通知により、複合機１００の状態を管理することができる。管理サーバ１０２は、印刷枚数およびトナー残量などの管理やエラー状況などを管理し、サービスマンの出動が必要な場合は、サービスマンに対してメール通知などを行うことができる。

図２は、本実施形態による複合機１００のハードウェア構成例を示す図である。複合機１００は、情報処理装置の一例である。複合機１００は、ＣＰＵ２０１、ＲＯＭ（Ｒｅａｄ-Ｏｎｌｙ Ｍｅｍｏｒｙ）２０２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０３、およびＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）２０４を有する。また、複合機１００は、ネットワークＩ／Ｆ制御部２０５、スキャナＩ／Ｆ制御部２０６、プリンタＩ／Ｆ制御部２０７、パネル制御部２０８、スキャナ２１１、プリンタ２１２、埋め込みコントローラ２１３、フラッシュメモリ２１４、およびＬＥＤ２１７を有する。埋め込みコントローラ２１３は、ＣＰＵ２１５およびＲＡＭ２１６を有する。

ＣＰＵ２０１は、複合機１００のプログラムを実行し、複合機１００の全体の制御を統括的に行う。ＲＯＭ２０２は、リードオンリーメモリであり、複合機１００のＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ/Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）、固定パラメータ等を格納している。ＲＡＭ２０３は、ランダムアクセスメモリであり、ＣＰＵ２０１が複合機１００を制御する際に、プログラムや一時的なデータを格納する。ＨＤＤ２０４は、ハードディスクドライブであり、一部のアプリケーションや、各種データを格納する。フラッシュメモリ２１４は、ローダー、カーネル、およびアプリケーションなどの各種ソフトウェアモジュールを格納する。

埋め込みコントローラ２１３のＣＰＵ２１５は、埋め込みコントローラ２１３のプログラムを実行し、複合機１００における一部の制御を行う。ＲＡＭ２１６は、ランダムアクセスメモリであり、ＣＰＵ２１５が複合機１００を制御する際に、プログラムや一時的なデータを格納する。複合機１００は、埋め込みコントローラ２１３に対して、統括的に制御するメインコントローラを有する。当該メインコントローラは、少なくともＣＰＵ２０１、ＲＯＭ２０２、およびＲＡＭ２０３を含む。

ネットワークＩ／Ｆ制御部２０５は、ネットワーク１１８に対して、データの送受信を制御する。スキャナＩ／Ｆ制御部２０６は、スキャナ２１１による原稿の読み取りを制御する。プリンタＩ／Ｆ制御部２０７は、プリンタ２１２による印刷処理などを制御する。パネル制御部２０８は、タッチパネル式の操作パネル２１０を制御し、各種情報の表示、使用者からの指示入力を制御する。バス２０９は、ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、ＨＤＤ２０４、ネットワークＩ／Ｆ制御部２０５、スキャナＩ／Ｆ制御部２０６、およびプリンタＩ／Ｆ制御部２０７を相互に接続する。さらに、バス２０９は、パネル制御部２０８、埋め込みコントローラ２１３、およびフラッシュメモリ２１４も相互に接続する。このバス２０９を介して、ＣＰＵ２０１からの制御信号や各構成要素間のデータ信号が送受信される。ＬＥＤ２１７は、必要に応じて点灯し、プログラムやハードウェアの異常を外部に伝えるために利用される。

図３は、本実施形態による複合機１００の機能構成例を示す図である。複合機１００は、ソフトウェアモジュールとして、埋め込みコントローラ２１３内にブートプログラム３０９を含む。さらに、複合機１００は、ソフトウェアモジュールとして、ＢＩＯＳ３１０、ローダー３１１、カーネル３１２、Ｉｎｉｔｒｄ３１３、コントローラソフト３１４、ＵＩ制御部３０３、および通信管理部３０７を含む。

通信管理部３０７は、ネットワーク１１８に接続されるネットワークＩ／Ｆ制御部２０５を制御して、ネットワーク１１８を介して外部とデータの送受信を行う。ＵＩ制御部３０３は、パネル制御部２０８を介して操作パネル２１０への入力を受け取り、入力に応じた処理や操作パネル２１０への表示を行う。ブートプログラム３０９は、複合機１００の電源を入れると、埋め込みコントローラ２１３のＣＰＵ２１５で実行されるプログラムであり、起動に関わる処理を実行する他に、ＢＩＯＳ３１０の改ざんの検証を行うＢＩＯＳ改ざん検知部３０１を含む。

ＢＩＯＳ３１０は、ブートプログラム３０９の実行後にＣＰＵ２０１で実行されるプログラムであり、起動に関わる処理を実行する他に、ローダー３１１の改ざんの検証を行うローダー改ざん検知部３０２を含む。ローダー３１１は、ＢＩＯＳ３１０の処理が完了した後にＣＰＵ２０１で実行されるプログラムであり、起動に関わる処理を実行する他に、カーネル３１２の改ざんの検証を行うカーネル改ざん検知部３０４を有する。

カーネル３１２は、ローダー３１１の処理が完了した後にＣＰＵ２０１で実行されるプログラムであり、起動に関わる処理を実行する他に、Ｉｎｉｔｒｄ３１３の改ざんの検証を行うＩｎｉｔｒｄ改ざん検知部３０５を有する。Ｉｎｉｔｒｄ３１３は、フラッシュメモリ２１４からコントローラソフト３１４を読み込み、開始する処理を実行する。Ｉｎｉｔｒｄ３１３は、内部的にＩｎｉｔｒｄとしての制御ソフトと制御ソフトに対する署名データで構成される。起動時検証部３０６は、Ｉｎｉｔｒｄ３１３に含まれ、コントローラソフト３１４を構成する全てのプログラムファイルを起動時に検証する処理と、付与された署名に対する公開鍵を含む。ここで、全ての署名データに対する秘密鍵は、ソフトウェアの開発時のみ利用され、一般に流通することはない。

コントローラソフト３１４は、ＣＰＵ２０１で実行されるプログラムであり、複合機１００の各機能を提供する複数のプログラムからなる。例えば、コントローラソフト３１４は、スキャナＩ／Ｆ制御部２０６やプリンタＩ／Ｆ制御部２０７を制御するプログラムや起動プログラムなどを含む。コントローラソフト３１４のプログラムの一つとして、複合機１００の状態を管理する管理サーバ１０２と通信を行う管理サーバ通信部３０８を有する。管理サーバ通信部３０８は、通信管理部３０７を介して、管理サーバ１０２と種々のデータの送受信を行う。例えば、管理サーバ通信部３０８は、複合機１００のシリアルナンバーや、コントローラのファームウェアバージョン、発生したエラーコードなどを通知する。また、コントローラソフト３１４は、起動時検証用の正解値リスト３１５を有し、起動時検証部３０６が検証処理に使用する。

図４は、起動時検証用の正解値リスト３１５を示す図である。正解値リスト３１５は、コントローラソフト３１４に含まれる全てのプログラムファイルに対して、ファイル名４０１とハッシュ値４０２の組み合わせをリスト化したものである。プログラムファイルは、ＯＳのプログラムおよび／または機能を提供するアプリケーションプログラムを含む。正解値リスト３１５は、少なくともファイル名称、ファイルの場所、ファイルに対して一意な値を含むものとし、情報がリスト化される。例えば、正解値リスト３１５は、ハッシュ値４０２を用いる。

図５（ａ）〜（ｄ）は、複合機１００のソフトウェアモジュールの起動手順を示す図である。図５（ａ）は、改ざん検知を行わずに、複合機１００が起動する順序を示す。ブートプログラム３０９がＢＩＯＳ３１０を起動し、ＢＩＯＳ３１０がローダー３１１を起動し、ローダー３１１がカーネル３１２を起動し、カーネル３１２がＩｎｉｔｒｄ３１３の中から起動プログラムを起動する。起動プログラムの中でコントローラソフト３１４が起動され、複合機１００の機能を提供する。このように、各ソフトウェアモジュールは、所定の順序で起動制御が行われ、前のソフトウェアモジュールの起動が完了すると、次のソフトウェアモジュールの起動処理が実行される。

図５（ｂ）は、改ざん検知を行いながら、複合機１００が起動する順序を示す。図示するように、ブートプログラム３０９から、ＢＩＯＳ３１０、ローダー３１１、カーネル３１２、Ｉｎｉｔｒｄ３１３、コントローラソフト３１４の順に改ざん検知を行いながら、起動する。起動するソフトウェアモジュールの改ざん検知は、直前に起動されたソフトウェアモジュールが行う。例えば、ＢＩＯＳ３１０の改ざん検知は、ブートプログラム３０９が行う。

図５（ｂ）は、各プログラムの保存場所、デジタル署名（以下、署名という）と署名を検証するための公開鍵（検証情報）の保存場所を表している。以下では、ＲＯＭ２０２にブートプログラム３０９とＢＩＯＳ３１０が保存され、フラッシュメモリ２１４にローダー３１１とカーネル３１２とＩｎｉｔｒｄ３１３とコントローラソフト３１４とが保存されている。

ブートプログラム３０９は、ＢＩＯＳの署名検証用の公開鍵５００を含む。ＢＩＯＳ３１０は、ＢＩＯＳの署名５０２とローダー検証用の公開鍵５０３を含む。ローダー３１１は、ローダー署名５０４とカーネル検証用の公開鍵５０５を含む。カーネル３１２は、カーネル署名５０６とＩｎｉｔｒｄ検証用の公開鍵５０７を含む。Ｉｎｉｔｒｄ３１３は、Ｉｎｉｔｒｄの署名５０９を含む。これらの公開鍵と署名は、予め複合機１００の工場出荷前に、ソフトウェアモジュール（プログラム）に対して付与されることが望ましい。ＢＩＯＳ改ざん検知部３０１、ローダー改ざん検知部３０２、カーネル改ざん検知部３０４およびＩｎｉｔｒｄ改ざん検知部３０５は、次に起動する各ソフトウェアモジュールの改ざんの検証を行い、問題がなければ、次のソフトウェアモジュールを起動する。

図５（ｃ）は、コントローラソフト３１４の検証手順を示す。Ｉｎｉｔｒｄ３１３の起動時検証部３０６は、コントローラソフト３１４の検証を行う。コントローラソフト３１４は、複数のソフトウェアから成り、管理サーバ１０２と通信を行うための通信モジュールである管理サーバ通信部３０８もこの１つである。

起動時検証部３０６は、各ソフトウェアのハッシュ値を計算し、コントローラソフト３１４に含まれる、正解値リスト３１５に記載されたハッシュ値４０２と比較する。起動時検証部３０６は、比較の結果が一致すれば、改ざんされていないものと判断し、次のソフトウェアの検証を実施する。すべてのソフトウェアの検証が正常に終了すると、起動時検証部３０６は、コントローラソフト３１４が改ざんされていないと判断し、検証を終了する。検証が終了すると、Ｉｎｉｔｒｄ３１３は、各ソフトウェアの起動を行う。なお、通信モジュールである管理サーバ通信部３０８の起動順は限定されない。

図５（ｄ）は、コントローラソフト３１４の検証に失敗した時の手順を示す。起動時検証部３０６は、各ソフトウェアの検証を順に行い、改ざんされているソフトウェアが見つかった場合、検証失敗として検証処理を中断する。起動時検証部３０６は、管理サーバ１０２に通知を行うため、通信モジュールである管理サーバ通信部３０８のみの起動を行う。起動時検証部３０６は、管理サーバ通信部３０８のハッシュ値を計算し、正解値リスト３１５に記載されたハッシュ値４０２と等しいか否かを確認する。起動時検証部３０６は、検証に成功した場合、管理サーバ通信部３０８のみを起動し、実行する。なお、通信モジュールは、１つのソフトウェアであるとして説明したが、複数のソフトウェアから成っていてもよい。その場合、起動時検証部３０６は、全ての通信モジュールの検証に成功した場合のみ、起動を行う。

図６は、本実施形態による複合機１００の起動時の処理方法を示すフローチャートである。複合機１００の電源が投入されると、ＲＯＭ２０２からＲＡＭ２１６にブートプログラム３０９が読み込まれ、ＣＰＵ２１５は、ブートプログラム３０９を起動する。

ステップＳ６０１では、ブートプログラム３０９に含まれるＢＩＯＳ改ざん検知部３０１は、検証部として機能し、ＢＩＯＳの署名５０２の検証を行い、成功したか否かを判定する。具体的には、ＢＩＯＳ改ざん検知部３０１は、フラッシュメモリ２１４からＢＩＯＳ３１０と、ローダー検証用の公開鍵５０３と、ＢＩＯＳの署名５０２をＲＡＭ２１６に読み込む。さらに、ＢＩＯＳ改ざん検知部３０１は、ＢＩＯＳ検証用の公開鍵５００を用いて、ＢＩＯＳの署名５０２の検証を行い、成功したか否かを判定する。ＢＩＯＳ改ざん検知部３０１は、署名５０２の検証に失敗した場合、ＢＩＯＳ３１０の改ざんが行われていると判断し、ステップＳ６０３に進む。一方、ＢＩＯＳ改ざん検知部３０１は、署名５０２の検証に成功した場合、ＢＩＯＳ３１０の改ざんが行われていないと判断し、ＣＰＵ２０１に通電し、ブートプログラムの処理を終了し、ステップＳ６０２に進む。

ステップＳ６０３では、ＢＩＯＳ改ざん検知部３０１は、ＬＥＤ２１７を点灯させ、図６の処理を終了する。

ステップＳ６０２では、ＣＰＵ２０１は、起動部として機能し、フラッシュメモリ２１４からＢＩＯＳ３１０とローダー検証用の公開鍵５０３をＲＡＭ２０３に読み込み、ＢＩＯＳ３１０を起動する。ＢＩＯＳ３１０が起動されると、ＣＰＵ２０１は、ステップＳ６０４に進む。

ステップＳ６０４では、ＣＰＵ２０１は、ＢＩＯＳ３１０により、各種初期化処理を実行する。ＢＩＯＳ３１０に含まれるローダー改ざん検知部３０２は、フラッシュメモリ２１４からローダー３１１と、カーネル検証用の公開鍵５０５と、ローダー署名５０４をＲＡＭ２０３に読み込む。さらに、ローダー改ざん検知部３０２は、検証部として機能し、ローダー検証用の公開鍵５０５を用いて、ローダー署名５０４の検証を行い、成功したか否かを判定する。ローダー改ざん検知部３０２は、ローダー署名５０４の検証に失敗した場合は、ローダー３１１の改ざんが行われていると判断し、ステップＳ６１５に進む。一方、ローダー改ざん検知部３０４は、ローダー署名５０４の検証に成功した場合は、ローダー３１１の改ざんが行われていないと判断し、ステップＳ６０５に進む。

ステップＳ６１５では、ローダー改ざん検知部３０２は、操作パネル２１０にエラーメッセージを表示するように制御し、図６の処理を終了する。

ステップＳ６０５では、ＣＰＵ２０１は、起動部として機能し、ＢＩＯＳ３１０により、ＲＡＭ２０３に読み込まれたローダー３１１を起動する。ローダー３１１が起動されると、ＣＰＵ２０１は、ステップＳ６０６に進む。

ステップＳ６０６では、ＣＰＵ２０１は、ローダー３１１により、各種初期化処理を実行する。ローダー３１１に含まれるカーネル改ざん検知部３０４は、フラッシュメモリ２１４からカーネル３１２とＮａｔｉｖｅプログラム検証用の公開鍵５０７とカーネル署名５０６をＲＡＭ２０３に読み込む。カーネル改ざん検知部３０４は、検証部として機能し、カーネル検証用の公開鍵５０５を用いて、カーネル署名５０６の検証を行い、成功したか否かを判定する。カーネル改ざん検知部３０４は、カーネル署名５０６の検証に失敗した場合は、カーネル３１２の改ざんが行われていると判断し、ステップＳ６１５に進み、操作パネル２１０にエラーメッセージを表示し、図６の処理を終了する。一方、カーネル改ざん検知部３０４は、カーネル署名５０６の検証に成功した場合、カーネル３１２の改ざんが行われていないと判断し、ステップＳ６０７に進む。

ステップＳ６０７では、ＣＰＵ２０１は、起動部として機能し、ローダー３１１により、ＲＡＭ２０３に読み込まれたカーネル３１２を起動する。カーネル３１２が起動されると、ＣＰＵ２０１は、ステップＳ６０８に進む。

ステップＳ６０８では、ＣＰＵ２０１は、カーネル３１２により、各種初期化処理を実行する。カーネル３１２に含まれるＩｎｉｔｒｄ改ざん検知部３０５は、フラッシュメモリ２１４からＩｎｉｔｒｄ３１３とＩｎｉｔｒｄの署名５０９をＲＡＭ２０３に読み込む。Ｉｎｉｔｒｄ改ざん検知部３０５は、検証部として機能し、Ｉｎｉｔｒｄ検証用の公開鍵５０７を用いて、Ｉｎｉｔｒｄ３１３の署名５０９の検証を行い、成功したか否かを判定する。Ｉｎｉｔｒｄ改ざん検知部３０５は、Ｉｎｉｔｒｄ３１３の署名５０９の検証に失敗した場合、Ｉｎｉｔｒｄ３１３の改ざんが行われていると判断し、ステップＳ６１５に進み、操作パネル２１０にエラーメッセージを表示し、図６の処理を終了する。一方、Ｉｎｉｔｒｄ改ざん検知部３０５は、Ｉｎｉｔｒｄ３１３の署名５０９の検証に成功した場合、Ｉｎｉｔｒｄ３１３の改ざんが行われていないと判断し、ステップＳ６０９に進む。

ステップＳ６０９では、ＣＰＵ２０１は、起動部として機能し、カーネル３１２により、Ｉｎｉｔｒｄ３１３を起動する。Ｉｎｉｔｒｄ３１３に含まれる起動時検証部３０６が起動されると、起動時検証部３０６は、ステップＳ６１０に進む。

ステップＳ６１０では、起動時検証部３０６は、フラッシュメモリ２１４に保存されている起動時検証の正解値リスト３１５を読み込み、正解値リスト３１５に記載されたコントローラソフト３１４に含まれる全プログラムのハッシュ値４０２を取得する。そして、起動時検証部３０６は、フラッシュメモリ２１４に保存されるコントローラソフト３１４内の全プログラムのハッシュ値を計算する。起動時検証部３０６は、検証部として機能し、その計算したハッシュ値と正解値リスト３１５のハッシュ値４０２との比較を行うことにより、コントローラソフト３１４内の全プログラムの改ざんの検証を行う。起動時検証部３０６は、比較の結果、コントローラソフト３１４内の少なくとも１個のプログラムの検証に失敗し、コントローラソフト３１４内の少なくとも１個のプログラムの改ざんが行われていると判断した場合には、ステップＳ６１２に進む。一方、起動時検証部３０６は、比較の結果、コントローラソフト３１４内の全プログラムの検証に成功し、コントローラソフト３１４内の全プログラムの改ざんが行われていないと判断した場合には、ステップＳ６１１に進む。

ステップＳ６１１では、起動時検証部３０６は、コントローラソフト３１４が複数のプログラムファイルに分割されているため、起動部として機能し、複合機１００の起動に必要なコントローラソフト３１４内のプログラムを順次起動する。起動が完了すると、起動時検証部３０６は、図６の処理を終了する。

ステップＳ６１２では、起動時検証部３０６は、表示制御部として機能し、操作パネル２１０にエラーメッセージを表示するように制御し、ステップＳ６１３に進む。

ステップＳ６１３では、起動時検証部３０６は、コントローラソフト３１４内の管理サーバ通信部３０８を起動するため、検証部として機能し、コントローラソフト３１４内の管理サーバ通信部（通信モジュール）３０８の改ざんの検証を行う。起動時検証部３０６は、フラッシュメモリ２１４に保存されている管理サーバ通信部３０８のハッシュ値を計算し、その計算したハッシュ値と起動時検証用の正解値リスト３１５のハッシュ値４０２とを比較する。起動時検証部３０６は、比較の結果、管理サーバ通信部３０８の改ざんが行われていないと判断した場合には、ステップＳ６１４に進み、管理サーバ通信部３０８の改ざんが行われていると判断した場合には、図６の処理を終了する。

ステップＳ６１４では、起動時検証部３０６は、管理サーバ通信部３０８を起動し、ステップＳ６１６に進む。なお、ステップＳ６１４で起動するコントローラソフト３１４のプログラムは、単一のプログラムでもよいし、連携する複数のプログラムでもよい。

ステップＳ６１６では、管理サーバ通信部３０８は、ネットワーク１１８を介して管理サーバ１０２に、コントローラソフト３１４内のプログラムの改ざんが行われている旨を、複合機１００のシリアルナンバーおよびエラーコードと共に通知する。この際、管理サーバ通信部３０８は、通知部として機能する。なお、複合機１００のシリアルナンバーは、複合機１００の識別子であればよい。管理サーバ１０２は、外部装置である。管理サーバ１０２の通信先については、事前に複合機１００の管理サーバ通信部３０８にハードコーディングされていてもよいし、複合機１００のユーザーモードやサービスモードなどから設定したものを使用できる仕組みとしてもよい。管理サーバ１０２に通知後は、複合機１００は、ステップＳ６１２で操作パネル２１０にエラーメッセージを表示したまま、停止する。

以上により、複合機１００は、起動時に改ざんが検知された場合、管理サーバ１０２に対して、改ざんが行われている旨を通知することで、早期に複合機１００の復旧を行うことが可能になる。

なお、複合機１００は、上記の実施形態に限らず、様々な変形が可能である。上記の実施形態では公開鍵が異なるものがあるとして説明したが、同じものがあってもよい。また、各プログラムの保存場所としてＲＯＭ２０２、フラッシュメモリ２１４およびＨＤＤ２０４があるものとして説明したが、保存場所を限定するものではなく、別の記憶媒体があってもよい。またプログラムの保存場所が説明した箇所になくてもよく、例えばＲＯＭ２０２上にローダー３１１を記憶する構成であってもよい。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

なお、上記実施形態は、何れも本発明を実施するにあたっての具体化の例を示したものに過ぎず、これらによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその技術思想、又はその主要な特徴から逸脱することなく、様々な形で実施することができる。

１００ 複合機、２１３ 埋め込みコントローラ、３０１ ＢＩＯＳ改ざん検知部、３０２ ローダー改ざん検知部、３０４ カーネル改ざん検知部、３０５ Ｉｎｉｔｒｄ改ざん検知部、３０６ 起動時検証部、３０８ 管理サーバ通信部、３０９ ブートプログラム、３１０ ＢＩＯＳ、３１１ ローダー、３１２ カーネル、３１３ Ｉｎｉｔｒｄ、３１４ コントローラソフト、３１５ 起動時検証用正解値リスト

Claims (12)

1. ブートプログラムの起動に応じて第１のソフトウェアモジュールを起動する第１の起動手段と、
   前記第１のソフトウェアモジュールが起動すると、第２のソフトウェアモジュール内のプログラムの改ざんの検証を行う第１の検証手段と、
   前記第２のソフトウェアモジュール内の少なくとも１個のプログラムの改ざんが行われ、前記第２のソフトウェアモジュール内の通信モジュールの改ざんが行われていないと判断された場合には、前記第２のソフトウェアモジュール内の通信モジュールを起動し、改ざんが行われている旨を外部装置に通知する通知手段と
   を有することを特徴とする情報処理装置。
2. 前記第２のソフトウェアモジュール内のプログラムの改ざんが行われていないと判断された場合には、前記第２のソフトウェアモジュール内のプログラムを起動する第２の起動手段をさらに有することを特徴とする請求項１に記載の情報処理装置。
3. 前記第２のソフトウェアモジュール内の少なくとも１個のプログラムの改ざんが行われていると判断された場合には、前記第２のソフトウェアモジュール内の通信モジュールの改ざんの検証を行う第２の検証手段をさらに有することを特徴とする請求項１または２に記載の情報処理装置。
4. 前記第２のソフトウェアモジュール内の少なくとも１個のプログラムの改ざんが行われていると判断された場合には、エラーメッセージを表示するように制御する表示制御手段をさらに有することを特徴とする請求項１〜３のいずれか１項に記載の情報処理装置。
5. 前記通知手段は、前記情報処理装置の識別子と共に、前記改ざんが行われている旨を前記外部装置に通知することを特徴とする請求項１〜４のいずれか１項に記載の情報処理装置。
6. 前記通知手段は、前記情報処理装置の識別子およびエラーコードと共に、前記改ざんが行われている旨を前記外部装置に通知することを特徴とする請求項１〜５のいずれか１項に記載の情報処理装置。
7. ブートプログラムの起動に応じて第３のソフトウェアモジュールを起動する第３の起動手段と、
   前記第３のソフトウェアモジュールが起動すると、前記第１のソフトウェアモジュールの改ざんの検証を行う第３の検証手段とをさらに有し、
   前記第１の起動手段は、前記第１のソフトウェアモジュールの改ざんが行われていないと判断された場合に、前記第１のソフトウェアモジュールを起動することを特徴とする請求項１〜６のいずれか１項に記載の情報処理装置。
8. 前記第３の検証手段は、第１の公開鍵を用いて、前記第１のソフトウェアモジュールの署名の検証を行うことを特徴とする請求項７に記載の情報処理装置。
9. 前記第１の検証手段は、前記第２のソフトウェアモジュール内のプログラムのハッシュ値を計算し、前記計算したハッシュ値と保存されているハッシュ値とを比較することを特徴とする請求項１〜８のいずれか１項に記載の情報処理装置。
10. 前記第２の検証手段は、前記第２のソフトウェアモジュール内の通信モジュールのハッシュ値を計算し、前記計算したハッシュ値と保存されているハッシュ値とを比較することを特徴とする請求項３に記載の情報処理装置。
11. ブートプログラムの起動に応じて第１のソフトウェアモジュールを起動する第１の起動ステップと、
    前記第１のソフトウェアモジュールが起動すると、第２のソフトウェアモジュール内のプログラムの改ざんの検証を行う第１の検証ステップと、
    前記第２のソフトウェアモジュール内の少なくとも１個のプログラムの改ざんが行われ、前記第２のソフトウェアモジュール内の通信モジュールの改ざんが行われていないと判断された場合には、前記第２のソフトウェアモジュール内の通信モジュールを起動し、改ざんが行われている旨を外部装置に通知する通知ステップと
    を有することを特徴とする情報処理装置の処理方法。
12. コンピュータを、請求項１〜１０のいずれか１項に記載された情報処理装置の各手段として機能させるためのプログラム。

Images