JP2021140601A - Information processing device, control method therefor, and program - Google Patents

Abstract

To provide a mechanism for restoring a system without exchanging hardware when the validity of a program is not verified even in the case that information cannot be acquired through a network.SOLUTION: An information processing device sequentially starts a plurality of modules following a start of a boot program, and has a verification function for verifying the validity of a program to be executed by each module and stopping the information processing device in the case of failing in the verification. Also, the information processing device sets the validation of the verification function, and generates a device release key to start a restoration mode for restoring the stopped information processing device when the verification function is validated.SELECTED DRAWING: Figure 4

Description

本発明は、情報処理装置、その制御方法、及びプログラムに関する。 The present invention relates to an information processing device, a control method thereof, and a program.

ソフトウェアの脆弱性をついて、ソフトウェアを改ざんし、コンピュータを悪用する攻撃が問題となっている。この攻撃対策として、プログラムに署名を施して保存しておき、起動するたびにプログラムの署名を検証することで改ざんの有無を検知する方法（プログラムの正当性を検証する方法）が考えられている。特許文献１には、プログラムの改ざんが検知された場合に、システムを継続して利用することはセキュリティ上危険であるため動作を停止し、ユーザに対してエラー情報とともに復旧方法を通知することが提案されている。 Attacks that exploit software vulnerabilities, tamper with software, and exploit computers have become a problem. As a countermeasure against this attack, a method of detecting the presence or absence of tampering by signing and saving the program and verifying the signature of the program each time it is started (a method of verifying the correctness of the program) is considered. .. In Patent Document 1, when falsification of a program is detected, continuous use of the system is dangerous for security, so the operation is stopped and the user is notified of the recovery method together with the error information. Proposed.

特開２０１５−５３０１５号公報Japanese Unexamined Patent Publication No. 2015-53015

しかしながら、上記従来技術には以下に記載する課題がある。上記従来技術では、例えば最も安全な復旧方法として、改ざんされたファームウェアが搭載されているハードウェアの基板交換が挙げられる。しかし、改ざんが検知された基板の全てを交換することは物理的なコストの増大に繋がり非現実的な解決策である。 However, the above-mentioned prior art has the following problems. In the above-mentioned prior art, for example, the safest recovery method is to replace the board of the hardware on which the tampered firmware is installed. However, replacing all of the boards on which tampering has been detected leads to an increase in physical costs and is an unrealistic solution.

したがって、特殊起動を行い、外部のセキュアな機関から発行されたワンタイムパスワードを用いて認証を行うことで一時的に改ざん検知によるシステム停止を解除して、改ざん検知機能を無効化することが考えられる。この場合、改ざん検知機能の無効化中に、正規のファームウェアをクリーンインストールすることでハードウェア基板を交換することなくシステムを復旧することができる。しかし、ワンタイムパスワードでの解除キーはセキュリティが保証された外部機関から入手する経路である一方、外部機関との通信を有していない一般のシステム管理者等は、通信を介して解除キーを入手することができず、復旧することができないという課題がある。 Therefore, it is conceivable to perform a special activation and authenticate using a one-time password issued by an external secure organization to temporarily cancel the system stop due to tampering detection and disable the tampering detection function. Be done. In this case, the system can be restored without replacing the hardware board by performing a clean installation of the genuine firmware while the tampering detection function is disabled. However, while the unlock key with a one-time password is a route obtained from an external organization whose security is guaranteed, general system administrators who do not have communication with the external organization can use the unlock key via communication. There is a problem that it cannot be obtained and cannot be restored.

本発明は、上述の問題の少なくとも一つに鑑みて成されたものであり、ネットワークを介して情報を取得することができない場合であっても、プログラムの正当性が検証されない際にハードウェアの交換を行うことなくシステムを復旧する仕組みを提供する。 The present invention has been made in view of at least one of the above-mentioned problems, and even when information cannot be obtained via a network, when the validity of the program is not verified, the hardware Provide a mechanism to restore the system without replacement.

本発明は、例えば、ブートプログラムの起動に続いて複数のモジュールを順次起動する情報処理装置であって、各モジュールで実行されるプログラムの正当性の検証を行い、該検証に失敗した場合には前記情報処理装置を停止する検証手段と、前記検証手段による検証機能の有効化を設定する設定手段と、前記検証機能が有効化された際に、停止された前記情報処理装置を復旧する復旧モードで起動するためのデバイス解除キーを生成する生成手段とを備えることを特徴とする。 The present invention is, for example, an information processing device that sequentially starts a plurality of modules after starting a boot program, and verifies the validity of the program executed by each module, and when the verification fails. A verification means for stopping the information processing device, a setting means for setting the activation of the verification function by the verification means, and a recovery mode for recovering the stopped information processing device when the verification function is enabled. It is characterized in that it is provided with a generation means for generating a device release key for booting with.

本発明によれば、ネットワークを介して情報を取得することができない場合であっても、プログラムの正当性が検証されない際にハードウェアの交換を行うことなくシステムを復旧することができる。 According to the present invention, even when information cannot be acquired via the network, the system can be restored without exchanging hardware when the validity of the program is not verified.

一実施形態に係る複合機のハードウェア構成図。The hardware block diagram of the multifunction device which concerns on one Embodiment. 一実施形態に係る複合機のソフトウェア構成図。A software configuration diagram of a multifunction device according to an embodiment. 一実施形態に係る起動時の動作を示す模式図。The schematic diagram which shows the operation at the time of startup which concerns on one Embodiment. 一実施形態に係るフローチャート。A flowchart according to an embodiment. 一実施形態に係る改ざん検知を設定する処理を示すフローチャート。A flowchart showing a process for setting falsification detection according to an embodiment. 一実施形態に係る画面例を示す図。The figure which shows the screen example which concerns on one Embodiment.

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。 Hereinafter, embodiments will be described in detail with reference to the accompanying drawings. The following embodiments do not limit the invention according to the claims. Although a plurality of features are described in the embodiment, not all of the plurality of features are essential to the invention, and the plurality of features may be arbitrarily combined. Further, in the attached drawings, the same or similar configurations are given the same reference numbers, and duplicate explanations are omitted.

なお、実施形態に係る情報処理装置として複合機（デジタル複合機／ＭＦＰ／Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら適用範囲は複合機に限定されず、情報処理装置であればよい。なお、特に断らない限り、本発明の機能が実行されるのであれば、単体の機器であっても、複数の機器からなるシステムであっても、本発明を適用できることは言うまでもない。 A multifunction device (digital multifunction device / MFP / Multifunction Peripheral) will be described as an example of the information processing device according to the embodiment. However, the scope of application is not limited to the multifunction device, and any information processing device may be used. It goes without saying that the present invention can be applied to a single device or a system composed of a plurality of devices as long as the functions of the present invention are executed unless otherwise specified.

＜第１の実施形態＞
＜情報処理装置のハードウェア構成＞
まず、図１を参照して、本実施形態に係る情報処理装置である複合機１００と組込コントローラ（Ｅｍｂｅｄｄｅｄ Ｃｏｎｔｒｏｌｌｅｒ）１１３のハードウェア構成を説明する。複合機１００は、ＣＰＵ１０１、ＲＯＭ（Ｒｅａｄ-Ｏｎｌｙ Ｍｅｍｏｒｙ）１０２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１０３、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１０４、ネットワークＩ／Ｆ制御部１０５、スキャナＩ／Ｆ制御部１０６、プリンタＩ／Ｆ制御部１０７、パネル制御部１０８、スキャナ１１１、プリンタ１１２、組込コントローラ１１３、フラッシュメモリ１１４、及びＬＥＤ１１７を備える。また、組込コントローラ１１３は、ＣＰＵ１１５及びＲＡＭ１１６を備える。 <First Embodiment>
<Hardware configuration of information processing device>
First, with reference to FIG. 1, the hardware configuration of the multifunction device 100 and the embedded controller (Embedded Controller) 113, which is the information processing device according to the present embodiment, will be described. The multifunction device 100 includes a CPU 101, a ROM (Read-Only Memory) 102, a RAM (Random Access Memory) 103, an HDD (Hard Disk Drive) 104, a network I / F control unit 105, a scanner I / F control unit 106, and a printer I. It includes a / F control unit 107, a panel control unit 108, a scanner 111, a printer 112, an embedded controller 113, a flash memory 114, and an LED 117. Further, the embedded controller 113 includes a CPU 115 and a RAM 116.

ＣＰＵ１０１は、複合機１００のソフトウェアプログラムを実行し、装置全体の制御を統括的に行う。ＲＯＭ１０２はリードオンリーメモリであり、複合機１００のＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ/Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）、固定パラメータ等を格納している。ＲＡＭ１０３はランダムアクセスメモリであり、ＣＰＵ１０１が複合機１００を制御する際に、プログラムや一時的なデータの格納などに使用される。ＨＤＤ１０４はハードディスクドライブであり、一部のアプリケーションや、各種データを格納する。フラッシュメモリ１１４は、ローダー、カーネル、アプリケーションなどの各種モジュールを格納する。 The CPU 101 executes the software program of the multifunction device 100 and controls the entire device in an integrated manner. The ROM 102 is a read-only memory, and stores the BIOS (Basic Input / Output System), fixed parameters, and the like of the multifunction device 100. The RAM 103 is a random access memory, and is used for storing programs and temporary data when the CPU 101 controls the multifunction device 100. The HDD 104 is a hard disk drive and stores some applications and various data. The flash memory 114 stores various modules such as a loader, a kernel, and an application.

組込コントローラ１１３のＣＰＵ１１５は、組込コントローラ１１３のソフトウェアプログラムを実行し、複合機１００における一部の制御を行う。ＲＡＭ１１６はランダムアクセスメモリであり、ＣＰＵ１１５が複合機１００を制御する際に、プログラムや一時的なデータの格納などに使用される。複合機１００は、組込コントローラ１１３に対して、システムを統括的に制御するメインコントローラを備える。当該メインコントローラは、少なくともＣＰＵ１０１、ＲＯＭ１０２、及びＲＡＭ１０３を含んで構成される。 The CPU 115 of the embedded controller 113 executes the software program of the embedded controller 113 and controls a part of the multifunction device 100. The RAM 116 is a random access memory, and is used for storing programs and temporary data when the CPU 115 controls the multifunction device 100. The multifunction device 100 includes a main controller that controls the system in an integrated manner with respect to the embedded controller 113. The main controller includes at least a CPU 101, a ROM 102, and a RAM 103.

ネットワークＩ／Ｆ制御部１０５は、ネットワーク１１８とのデータの送受信を制御する。スキャナＩ／Ｆ制御部１０６は、スキャナ１１１による原稿の読み取り制御する。プリンタＩ／Ｆ制御部１０７は、プリンタ１１２による印刷処理などを制御する。パネル制御部１０８は、タッチパネル式の操作パネル１１０を制御し、各種情報の表示、使用者からの指示入力を制御する。バス１０９は、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、ＨＤＤ１０４、ネットワークＩ／Ｆ制御部１０５、スキャナＩ／Ｆ制御部１０６、及びプリンタＩ／Ｆ制御部１０７を相互に接続する。さらに、バス１０９は、パネル制御部１０８、組込コントローラ１１３、及びフラッシュメモリ１１４も相互に接続する。このバス１０９を介して、ＣＰＵ１０１からの制御信号や各装置間のデータ信号が送受信される。ＬＥＤ１１７は必要に応じて点灯し、ソフトウェアやハードウェアの異常を外部に伝えるために利用される。 The network I / F control unit 105 controls the transmission and reception of data to and from the network 118. The scanner I / F control unit 106 controls the scanning of the document by the scanner 111. The printer I / F control unit 107 controls printing processing and the like by the printer 112. The panel control unit 108 controls the touch panel type operation panel 110 to control the display of various information and the input of instructions from the user. The bus 109 connects the CPU 101, ROM 102, RAM 103, HDD 104, network I / F control unit 105, scanner I / F control unit 106, and printer I / F control unit 107 to each other. Further, the bus 109 also connects the panel control unit 108, the embedded controller 113, and the flash memory 114 to each other. Control signals from the CPU 101 and data signals between the devices are transmitted and received via the bus 109. The LED 117 lights up as needed and is used to notify the outside of a software or hardware abnormality.

＜情報処理装置のソフトウェア構成＞
次に、図２を参照して、本実施形態に係る複合機１００が有するソフトウェアモジュールを説明する。複合機１００は、ソフトウェアモジュールとして、組込コントローラ１１３内にブートプログラム２０９を含む。さらに、複合機１００は、ＢＩＯＳ２１０、ローダー２２３、カーネル２１２、カーネルＢ２２０、Ｎａｔｉｖｅプログラム２１３、ＮａｔｉｖｅプログラムＢ２２２、Ｊａｖａ（登録商標）プログラム２１４、ＵＩ制御部２０３、及び通信管理部２０７を含む。 <Software configuration of information processing device>
Next, the software module included in the multifunction device 100 according to the present embodiment will be described with reference to FIG. The multifunction device 100 includes a boot program 209 in the embedded controller 113 as a software module. Further, the multifunction device 100 includes a BIOS 210, a loader 223, a kernel 212, a kernel B220, a Native program 213, a Native program B222, a Java (registered trademark) program 214, a UI control unit 203, and a communication management unit 207.

通信管理部２０７は、ネットワーク１１８に接続されるネットワークＩ／Ｆ制御部１０５を制御して、ネットワーク１１８を介して外部とデータの送受信を行う。ＵＩ制御部２０３は、パネル制御部１０８を介して操作パネル１１０への入力を受け取り、入力に応じた処理や操作パネル１１０への画面出力を行う。 The communication management unit 207 controls the network I / F control unit 105 connected to the network 118 to transmit / receive data to / from the outside via the network 118. The UI control unit 203 receives an input to the operation panel 110 via the panel control unit 108, performs processing according to the input, and outputs a screen to the operation panel 110.

ブートプログラム２０９は複合機１００の電源を入れると組込コントローラ１１３のＣＰＵ１１５で実行されるプログラムであり、起動に関わる処理を実行するほかにＢＩＯＳの改ざん検知を行うＢＩＯＳ改ざん検知部２０１を含む。ＢＩＯＳ２１０はブートプログラム２０９の実行後にＣＰＵ１０１で実行されるプログラムであり、起動に関わる処理を実行するほかにローダー２２３及びカーネル２１２の改ざん検知を行うローダー／カーネル改ざん検知部２０２を含む。 The boot program 209 is a program executed by the CPU 115 of the embedded controller 113 when the power of the multifunction device 100 is turned on, and includes a BIOS tampering detection unit 201 that detects tampering with the BIOS in addition to executing processing related to startup. The BIOS 210 is a program executed by the CPU 101 after the boot program 209 is executed, and includes a loader / kernel tampering detection unit 202 that detects tampering with the loader 223 and the kernel 212 in addition to executing processing related to booting.

改ざん検知とは、プログラムの正当性を検証するものであり、悪意のあるプログラムの改ざんを検知することに加えて、熱等の影響によるメモリ等の経年劣化によって発生しうるプログラムの変化を検知することも含む。つまり、正常なプログラムから変化しているか否かを検証するものである。なお、以下では、単に改ざん検知と示している場合であっても、特に言及しないかぎり経年劣化等によるプログラムの変化も含むものとする。 Falsification detection verifies the validity of a program. In addition to detecting malicious program tampering, it also detects changes in the program that may occur due to aging deterioration of memory, etc. due to the effects of heat, etc. Including that. In other words, it verifies whether or not the program has changed from a normal program. In the following, even if it is simply indicated as tampering detection, it shall include changes in the program due to aging deterioration or the like unless otherwise specified.

ローダー２２３はＢＩＯＳ２１０の処理が完了した後にＣＰＵ１０１で実行されるプログラムであり、起動に関わる処理を実行する。カーネル２１２はローダー２２３の処理が完了した後にＣＰＵ１０１で実行されるプログラムであり、起動に関わる処理を実行するほかにＮａｔｉｖｅプログラム２１３の改ざん検知を行うＮａｔｉｖｅ改ざん検知部２０５を有する。 The loader 223 is a program executed by the CPU 101 after the processing of the BIOS 210 is completed, and executes the processing related to the startup. The kernel 212 is a program executed by the CPU 101 after the processing of the loader 223 is completed, and has a Native tampering detection unit 205 that detects tampering with the Native program 213 in addition to executing processing related to startup.

ローダー２２３はＢＩＯＳ２１０の処理が完了した後にＣＰＵ１０１で実行されるプログラムであり、起動に関わる処理を実行するほかに、後述する起動カーネルの予約ビットによって起動するカーネルの切り替えを行う。本実施形態では予約ビットが０の場合は通常モードでの起動（カーネル２１２）を行い、１の場合は復旧モードでの起動（カーネルＢ２２０）を行うものとして説明する。 The loader 223 is a program executed by the CPU 101 after the processing of the BIOS 210 is completed. In addition to executing the processing related to booting, the loader 223 switches the kernel to be booted by the reserved bit of the booting kernel described later. In the present embodiment, when the reserved bit is 0, the boot in the normal mode (kernel 212) is performed, and when the reserved bit is 1, the boot in the recovery mode (kernel B220) is performed.

Ｎａｔｉｖｅプログラム２１３はＣＰＵ１０１で実行されるプログラムであり、複合機１００のＪａｖａプログラム２１４と連携して各機能を提供する複数のプログラムからなる。例えば、スキャナＩ／Ｆ制御部１０６やプリンタＩ／Ｆ制御部１０６を制御するプログラムや起動プログラムなどである。カーネル２１２によってＮａｔｉｖｅプログラムの中から起動プログラムが呼び出され、起動処理を実行する。またプログラムの中の一つとしてＪａｖａプログラムの改ざん検知を行うＪａｖａプログラム改ざん検知部を有する。 The Native program 213 is a program executed by the CPU 101, and includes a plurality of programs that provide each function in cooperation with the Java program 214 of the multifunction device 100. For example, a program or a start program that controls the scanner I / F control unit 106 or the printer I / F control unit 106. The boot program is called from the Native program by the kernel 212, and the boot process is executed. Further, as one of the programs, it has a Java program tampering detection unit that detects tampering with the Java program.

Ｊａｖａプログラム２１４はＣＰＵ１０１で実行されるプログラムであり、複合機１００のＮａｔｉｖｅプログラム２１３と連携して各機能を提供するプログラムである。例えば、操作パネル１１０に画面を表示するプログラムなどがある。 The Java program 214 is a program executed by the CPU 101, and is a program that provides each function in cooperation with the Native program 213 of the multifunction device 100. For example, there is a program that displays a screen on the operation panel 110.

カーネルＢ２２０は、ＣＰＵ１０１で実行されるカーネル２１２に改ざんが検知された場合に復旧モードで起動を行うためのプログラムである。カーネルＢ２２０は、起動に関わる処理を行うほかにＮａｔｉｖｅプログラムＢ２２２の改ざん検知を行うプログラム改ざん検知部Ｂ２２１を有する。 The kernel B220 is a program for starting in the recovery mode when tampering is detected in the kernel 212 executed by the CPU 101. The kernel B220 has a program tampering detection unit B221 that detects tampering with the Native program B222 in addition to performing processing related to booting.

ＮａｔｉｖｅプログラムＢ２２２はＣＰＵ１０１で実行されるプログラムで複合機１００のアップデート機能を提供するプログラムである。カーネルＢ２２０によって呼び出されて、カーネル２１２やＮａｔｉｖｅプログラム２１３、Ｊａｖａプログラム２１４をアップデートする機能を提供する。なお、ＮａｔｉｖｅプログラムＢ２２２はアップデート機能に限らず、ほかの機能を提供するプログラムであってもよい。 The Native program B222 is a program executed by the CPU 101 and provides an update function of the multifunction device 100. Called by kernel B220, it provides the ability to update kernel 212, Native program 213, and Java program 214. The Native program B222 is not limited to the update function, and may be a program that provides other functions.

＜起動手順＞
以下では、図３を参照して、複合機１００の起動手順について説明する。図３（ａ）は、改ざん検知を行わずに複合機１００が起動する順序を示す。ブートプログラム２０９がＢＩＯＳ２１０を起動し、ＢＩＯＳ２１０がローダー２２３を起動し、ローダー２２３がカーネル２１２を起動し、カーネル２１２がＮａｔｉｖｅプログラム２１３の中から起動プログラムを起動する。起動プログラムの中でＪａｖａプログラム２１４が起動され、以降はＮａｔｉｖｅプログラム２１３とＪａｖａプログラム２１４が連携して複合機１００の機能を提供する。このように各モジュールは所定の順序で起動制御が行われ、前のモジュールの起動が完了すると次のモジュールの起動処理が実行される。 <Startup procedure>
Hereinafter, the procedure for starting the multifunction device 100 will be described with reference to FIG. FIG. 3A shows the order in which the multifunction device 100 is started without detecting falsification. The boot program 209 starts the BIOS 210, the BIOS 210 starts the loader 223, the loader 223 starts the kernel 212, and the kernel 212 starts the boot program from the Native program 213. The Java program 214 is started in the startup program, and thereafter, the Native program 213 and the Java program 214 cooperate to provide the functions of the multifunction device 100. In this way, each module is controlled to start in a predetermined order, and when the start of the previous module is completed, the start process of the next module is executed.

また、ローダー２２３は起動するカーネルをカーネル２１２とカーネルＢ２２０との間で切り替えることができる。ローダー２２３がカーネルＢ２２０を起動すると、カーネルＢ２２０がＮａｔｉｖｅプログラムＢ２２２を起動する。この構成により、カーネル２１２を起動した際において、改ざん検知機能（検証機能）にて何れかのモジュールの署名の検証に失敗した場合、復旧モードで再起動を行うことができる。復旧モードでは、切り替えたカーネル（カーネルＢ２２０）やプログラム（ＮａｔｉｖｅプログラムＢ２２２）によってシステム復旧のためのアップデート処理を実行し、システムを復旧することができる。 The loader 223 can also switch the kernel to boot between kernel 212 and kernel B220. When the loader 223 starts the kernel B220, the kernel B220 starts the Native program B222. With this configuration, when the kernel 212 is started, if the tampering detection function (verification function) fails to verify the signature of any module, the kernel 212 can be restarted in the recovery mode. In the recovery mode, the system can be recovered by executing the update process for system recovery by the switched kernel (kernel B220) or program (Native program B222).

このように本実施形態では複数のカーネル、複数のプログラム（Ｎａｔｉｖｅプログラムなど）を保持する構成において、何れかのプログラムの改ざんが検知された場合の制御について説明する。より詳細には、改ざんが検知された場合にシステムを復旧するためのデバイス解除キーの生成とその認証、及び復旧モードへの移行、さらにその復旧モードに対しても改ざん検知して起動する方法について説明する。ここで、デバイス解除キーとは、何れかのプログラムにおいて改ざんが検知されたことにより、システムが停止している複合機１００の停止処置を解除して復旧モードで起動可能とするためのキーである。本実施形態によれば、当該デバイス解除キーを複合機１００自身が任意のタイミングで生成して発行し、上記停止処置が行われている複合機へ例えばサービスマンが当該デバイス解除キーを入力する。これにより、複合機は復旧モードで再起動し、復旧モードにおいて改ざんが検知されたプログラム等の復旧を行うことができる。 As described above, in the present embodiment, in a configuration in which a plurality of kernels and a plurality of programs (Native program, etc.) are held, control when tampering with any of the programs is detected will be described. More specifically, about the generation and authentication of the device release key for recovering the system when tampering is detected, the transition to the recovery mode, and the method of tampering detection and activation for the recovery mode as well. explain. Here, the device release key is a key for canceling the stop action of the multifunction device 100 in which the system is stopped due to the detection of tampering in any of the programs so that the device can be started in the recovery mode. .. According to the present embodiment, the device release key is generated and issued by the multifunction device 100 itself at an arbitrary timing, and for example, a serviceman inputs the device release key to the multifunction device on which the stop treatment is performed. As a result, the multifunction device can be restarted in the recovery mode, and the program or the like whose tampering has been detected in the recovery mode can be recovered.

図３（ｂ）は、改ざん検知を行いながら複合機１００が起動する順序を示す。図示するように、通常モードの場合には、ブートプログラム２０９から、ＢＩＯＳ２１０、ローダー２２３、カーネル２１２、Ｎａｔｉｖｅプログラム２１３、Ｊａｖａプログラム２１４の順に改ざん検知を行いながら起動する。また、復旧モードの場合には、ブートプログラム２０９から、ＢＩＯＳ２１０、ローダー２２３、カーネルＢ２２０、ＮａｔｉｖｅプログラムＢ２２２の順に改ざん検知を行いながら起動する。起動するモジュールの改ざん検知は、直前に起動されたモジュールが行う。例えば、ＢＩＯＳ２１０の改ざん検知は、ブートプログラム２０９が行う。また、図３（ｂ）は各プログラムの保存場所、デジタル署名（以下、署名と称する。）と署名を検証するための公開鍵（検証情報）の保存場所を表している。図３（ｂ）に示すように、署名については各モジュールが自身の署名を保存している。一方で、公開鍵については、所定のモジュール（第１のモジュールなど）は保存しているものの、保存していないモジュールも存在する。これは、本実施形態において、公開鍵が同一のモジュールについては所定のモジュールが保存し、当該モジュールにおいて複数の他のモジュールの改ざんの検知を連続的に行うためである。これにより、メモリ資源を有効に利用することができる。 FIG. 3B shows the order in which the multifunction device 100 is started while detecting falsification. As shown in the figure, in the normal mode, the boot program 209 is started while detecting tampering in the order of BIOS210, loader 223, kernel 212, Native program 213, and Java program 214. In the recovery mode, the boot program 209 is started while detecting tampering in the order of BIOS210, loader 223, kernel B220, and Native program B222. Tampering detection of the module to be started is performed by the module started immediately before. For example, the boot program 209 detects tampering with the BIOS 210. Further, FIG. 3B shows a storage location of each program, a digital signature (hereinafter referred to as a signature), and a storage location of a public key (verification information) for verifying the signature. As shown in FIG. 3 (b), each module stores its own signature for the signature. On the other hand, as for the public key, there are some modules in which a predetermined module (such as the first module) is stored but not stored. This is because, in the present embodiment, a predetermined module stores a module having the same public key, and the module continuously detects tampering with a plurality of other modules. As a result, memory resources can be effectively used.

ここでは、ＲＯＭ１０２には、ブートプログラム２０９とＢＩＯＳ２１０が保存されているものとする。また、フラッシュメモリ１１４には、ローダー２２３とカーネル２１２、カーネルＢ２２０とＮａｔｉｖｅプログラム（第１プログラム）２１３、ＮａｔｉｖｅプログラムＢ２２０とが保存されているものとする。さらに、ＨＤＤ１０４にＪａｖａプログラム２１４（第２プログラム）が保存されているものとする。 Here, it is assumed that the boot program 209 and the BIOS 210 are stored in the ROM 102. Further, it is assumed that the loader 223 and the kernel 212, the kernel B220, the Native program (first program) 213, and the Native program B220 are stored in the flash memory 114. Further, it is assumed that the Java program 214 (second program) is stored in the HDD 104.

ブートプログラム２０９にはＢＩＯＳの署名検証用の公開鍵３００が保存され、ＢＩＯＳ２１０にはＢＩＯＳの署名３０２とローダー／カーネル検証用の公開鍵３０３が保存される。ローダー２２３にはローダー署名３０４とカーネル検証用の公開鍵３０５が保存される。また、カーネル２１２にはカーネル署名３０６とＮａｔｉｖｅプログラム検証用の公開鍵３０７が保存され、Ｎａｔｉｖｅプログラム２１３にはＮａｔｉｖｅプログラムの署名３０８とＪａｖａプログラム検証用の公開鍵３０９が保存される。さらに、Ｊａｖａプログラム２１４には、Ｊａｖａプログラムの署名３１０が保存される。一方、復旧モードで起動されるカーネルＢ２２０にはカーネルＢ署名３４１とＮａｔｉｖｅプログラムＢ検証用公開鍵３４２が保存され、ＮａｔｉｖｅプログラムＢ２２２にはＮａｔｉｖｅプログラムＢの署名３４３が保存される。これらの公開鍵と署名は予め複合機１００の工場出荷前にプログラムに対して付与されることが望ましい。本実施形態に係る複合機１００においては、２０１、２０２、２０５、２０６、２２１の各検知部が、次に起動する各プログラム（各モジュール）を検証し、問題がなければ次のプログラムを起動することで改ざん検知を行う。 The boot program 209 stores the BIOS signature verification public key 300, and the BIOS 210 stores the BIOS signature 302 and the loader / kernel verification public key 303. The loader signature 304 and the public key 305 for kernel verification are stored in the loader 223. Further, the kernel 212 stores the kernel signature 306 and the public key 307 for verifying the Native program, and the Native program 213 stores the signature 308 of the Native program and the public key 309 for verifying the Java program. Further, the Java program 214 stores the Java program signature 310. On the other hand, the kernel B 220 started in the recovery mode stores the kernel B signature 341 and the Native program B verification public key 342, and the Native program B 222 stores the signature 343 of the Native program B. It is desirable that these public keys and signatures be given to the program in advance before the multifunction device 100 is shipped from the factory. In the multifunction device 100 according to the present embodiment, each detection unit of 201, 202, 205, 206, 221 verifies each program (each module) to be started next, and if there is no problem, starts the next program. By doing so, tampering is detected.

＜処理手順＞
次に、図４を参照して、本実施形態に係る複合機１００の起動時における処理手順を説明する。複合機１００に電源が投入されると、ＲＯＭ１０２からＲＡＭ１１６にブートプログラム２０９が読み込まれ、ＣＰＵ１１５によって実行される。 <Processing procedure>
Next, with reference to FIG. 4, a processing procedure at the time of starting the multifunction device 100 according to the present embodiment will be described. When the power is turned on to the multifunction device 100, the boot program 209 is read from the ROM 102 into the RAM 116 and executed by the CPU 115.

Ｓ４０１で、ブートプログラム２０９に含まれるＢＩＯＳ改ざん検知部２０１は、ＢＩＯＳの署名検証を行い、成功したか否かを判定する。具体的には、ＢＩＯＳ改ざん検知部２０１は、フラッシュメモリ１１４からＢＩＯＳ２１０とローダー／カーネル検証用の公開鍵３０３、ＢＩＯＳの署名３０２をＲＡＭ１１６に読み込む。さらに、ＢＩＯＳ改ざん検知部２０１は、ＢＩＯＳ検証用の公開鍵３００を用いてＢＩＯＳの署名３０２の検証を行い成功したか判定する。署名の検証に失敗した場合、Ｓ４０３に進み、ＢＩＯＳ改ざん検知部２０１は、ＬＥＤ１１７を点灯させ、処理を終了する。一方、署名の検証に成功した場合、ＢＩＯＳ改ざん検知部２０１はＣＰＵ１０１に通電し、ブートプログラムの処理を終了する。その後、本フローチャートはＣＰＵ１０１によって実行されるＳ４０２以降の処理に移行する。ＣＰＵ１０１は通電されると、Ｓ４０２で、フラッシュメモリ１１４からＢＩＯＳ２１０とローダー／カーネル検証用の公開鍵３０３をＲＡＭ１０３に読み込み、ＢＩＯＳ２１０を起動する。以降の処理は、全てＣＰＵ１０１によって処理されるものとして説明する。 In S401, the BIOS tampering detection unit 201 included in the boot program 209 verifies the signature of the BIOS and determines whether or not it has succeeded. Specifically, the BIOS tampering detection unit 201 reads the BIOS 210, the public key 303 for loader / kernel verification, and the signature 302 of the BIOS from the flash memory 114 into the RAM 116. Further, the BIOS tampering detection unit 201 verifies the signature 302 of the BIOS using the public key 300 for the BIOS verification and determines whether or not it has succeeded. If the signature verification fails, the process proceeds to S403, and the BIOS tampering detection unit 201 turns on the LED 117 and ends the process. On the other hand, if the signature verification is successful, the BIOS tampering detection unit 201 energizes the CPU 101 and ends the boot program process. After that, this flowchart shifts to the processing after S402 executed by the CPU 101. When the CPU 101 is energized, the flash memory 114 reads the BIOS 210 and the loader / kernel verification public key 303 into the RAM 103 in S402 to start the BIOS 210. The subsequent processing will be described as being processed by the CPU 101.

ＢＩＯＳ２１０が起動されるとＳ４０４に移行する。Ｓ４０４で、ＢＩＯＳ２１０は、各種初期化処理を実行し、ＢＩＯＳ２１０に含まれるローダー／カーネル改ざん検知部２０２がフラッシュメモリ１１４からローダー２２３、ローダー署名３０４をＲＡＭ１０３に読み込む。さらに、ローダー／カーネル改ざん検知部２０２は、ローダー／カーネル検証用の公開鍵３０３を用いてローダー署名３０４の検証を行い成功したか判定する。署名の検証に失敗した場合は、Ｓ４１８に進み、ローダー／カーネル改ざん検知部２０２は、操作パネル１１０にエラーメッセージを表示し、Ｓ４１９に進む。一方、署名の検証に成功した場合は、ローダー／カーネル改ざん検知部２０２はフラッシュメモリ１１４からカーネル２１２とＮａｔｉｖｅプログラム検証用の公開鍵３０７とカーネル署名３０６をＲＡＭ１０３に読み込んで、Ｓ４０５に進む。 When BIOS210 is started, it shifts to S404. In S404, the BIOS 210 executes various initialization processes, and the loader / kernel tampering detection unit 202 included in the BIOS 210 reads the loader 223 and the loader signature 304 from the flash memory 114 into the RAM 103. Further, the loader / kernel tampering detection unit 202 verifies the loader signature 304 using the loader / kernel verification public key 303 and determines whether or not the loader signature 304 has been successfully verified. If the signature verification fails, the process proceeds to S418, and the loader / kernel tampering detection unit 202 displays an error message on the operation panel 110 and proceeds to S419. On the other hand, if the signature verification is successful, the loader / kernel tampering detection unit 202 reads the kernel 212, the public key 307 for native program verification, and the kernel signature 306 from the flash memory 114 into the RAM 103, and proceeds to S405.

Ｓ４０５で、ローダー／カーネル改ざん検知部２０２は、ローダー／カーネル検証用の公開鍵３０３を用いて、カーネル署名３０６の検証を行い成功したか判定する。署名の検証に失敗した場合はＳ４１８に進み、カーネル改ざん検知部２０４は操作パネル１１０にエラーメッセージを表示し、Ｓ４１９に進む。一方、署名の検証に成功した場合、処理をＳ４０６に進める。Ｓ４０６で、ローダー／カーネル改ざん検知部２０２は、ローダー／カーネル検証用公開鍵３０３を用いて、カーネルＢ署名３４１の検証を行い成功したか判定する。署名の検証に失敗した場合、Ｓ４１８に進み、ローダー／カーネル改ざん検知部２０２は、操作パネル１１０にエラーメッセージを表示し、Ｓ４１９に進む。一方、署名の検証に成功した場合、ローダー／カーネル改ざん検知部２０２はＳ４０７に処理を進め、Ｓ４０７で、ＢＩＯＳ２１０がＲＡＭ１０３に読み込まれたローダー２２３を起動する。 In S405, the loader / kernel tampering detection unit 202 verifies the kernel signature 306 using the loader / kernel verification public key 303 and determines whether or not the success has been achieved. If the signature verification fails, the process proceeds to S418, the kernel tampering detection unit 204 displays an error message on the operation panel 110, and the process proceeds to S419. On the other hand, if the signature verification is successful, the process proceeds to S406. In S406, the loader / kernel tampering detection unit 202 verifies the kernel B signature 341 using the loader / kernel verification public key 303 and determines whether or not the success has been achieved. If the signature verification fails, the process proceeds to S418, and the loader / kernel tampering detection unit 202 displays an error message on the operation panel 110 and proceeds to S419. On the other hand, if the signature verification is successful, the loader / kernel tampering detection unit 202 proceeds to S407, and in S407, the BIOS 210 activates the loader 223 read into the RAM 103.

Ｓ４０７でローダー２２３が起動されると各種初期化処理が行われ、Ｓ４０８で、ローダー２２３は、起動対象を判定すべくカーネルＢの起動を示す予約ビットが設定されているか否かを確認して、カーネル２１２が起動対象として選ばれたか否かを判定する。カーネル２１２が起動対象として選ばれた場合はＳ４０９の処理に進み、カーネルＢ２２０が起動対象として選ばれた場合はＳ４１５に進む。 When the loader 223 is started in S407, various initialization processes are performed, and in S408, the loader 223 confirms whether or not a reserved bit indicating the start of kernel B is set in order to determine the start target. Determines if kernel 212 has been selected as the boot target. If kernel 212 is selected as the boot target, the process proceeds to S409, and if kernel B220 is selected as the boot target, the process proceeds to S415.

Ｓ４０９で、ローダー２２３はＲＡＭ１０３に読み込まれたカーネル２１２を起動する。カーネル２１２が起動されるとＳ４１０で、カーネル２１２は、各種初期化処理を実行する。さらに、カーネル２１２に含まれるプログラム改ざん検知部２０５がフラッシュメモリ１１４からＮａｔｉｖｅプログラム２１３とＪａｖａプログラム検証用の公開鍵３０８とＮａｔｉｖｅプログラムの署名３０９をＲＡＭ１０３に読み込む。プログラム改ざん検知部２０５は、Ｓ４１０でＮａｔｉｖｅプログラム検証用の公開鍵３０７を用いて、Ｎａｔｉｖｅプログラムの署名３０９の検証を行い成功したか判定する。署名の検証に失敗した場合はＳ４１８に進み、プログラム改ざん検知部２０５は操作パネル１１０にエラーメッセージを表示し、Ｓ４１９に進む。一方、署名の検証に成功した場合はＳ４１１に進み、プログラム改ざん検知部２０５は処理を終了し、Ｎａｔｉｖｅプログラム２１３を起動する。 In S409, the loader 223 boots the kernel 212 loaded into the RAM 103. When the kernel 212 is started, in S410, the kernel 212 executes various initialization processes. Further, the program tampering detection unit 205 included in the kernel 212 reads the Native program 213, the public key 308 for Java program verification, and the signature 309 of the Native program from the flash memory 114 into the RAM 103. The program tampering detection unit 205 verifies the signature 309 of the Native program using the public key 307 for verifying the Native program in S410, and determines whether the success has been achieved. If the signature verification fails, the process proceeds to S418, the program tampering detection unit 205 displays an error message on the operation panel 110, and proceeds to S419. On the other hand, if the signature verification is successful, the process proceeds to S411, the program tampering detection unit 205 ends the process, and the Native program 213 is started.

Ｎａｔｉｖｅプログラム２１３のうち、改ざん検知の処理を実行するＪａｖａプログラム改ざん検知部２０６が起動されるとＳ４１２に進む。Ｓ４１２で、Ｊａｖａプログラム改ざん検知部２０６は、ＨＤＤ１０４からＪａｖａプログラム２１４とＪａｖａプログラムの署名３１０をＲＡＭ１０３に読み込む。続いて、Ｓ４１２で、Ｊａｖａプログラム改ざん検知部２０６はＪａｖａプログラム検証用の公開鍵３０８を用いて、Ｊａｖａプログラムの署名３１０の検証を行い成功したか判定する。署名の検証に失敗した場合はＳ４１８に進み、Ｊａｖａプログラム改ざん検知部２０６は、操作パネル１１０にエラーメッセージを表示し、Ｓ４１９に進む。署名の検証に成功した場合はＳ４１３に進み、Ｊａｖａプログラム改ざん検知部２０５は処理を終了し、Ｎａｔｉｖｅプログラム２１３がＪａｖａプログラム２１４を起動し、Ｓ４１４に進む。Ｓ４１４で、Ｊａｖａプログラム２１４は次回起動時の改ざん検知機能（検証機能）を有効化するかの設定を行い、処理を終了する。Ｓ４１４では後述のＳ４１９でユーザから入力されるデバイス解除キーを生成する処理を含むものであるが、詳細な処理については図５を用いて後述する。 When the Java program tampering detection unit 206 that executes the tampering detection process in the Native program 213 is activated, the process proceeds to S412. In S412, the Java program tampering detection unit 206 reads the Java program 214 and the signature 310 of the Java program into the RAM 103 from the HDD 104. Subsequently, in S412, the Java program tampering detection unit 206 verifies the signature 310 of the Java program using the public key 308 for Java program verification, and determines whether or not it has succeeded. If the signature verification fails, the process proceeds to S418, and the Java program tampering detection unit 206 displays an error message on the operation panel 110 and proceeds to S419. If the signature verification is successful, the process proceeds to S413, the Java program tampering detection unit 205 ends the process, the Native program 213 starts the Java program 214, and the process proceeds to S414. In S414, the Java program 214 sets whether to enable the tampering detection function (verification function) at the next startup, and ends the process. S414 includes a process of generating a device release key input by the user in S419, which will be described later, but detailed processing will be described later with reference to FIG.

一方、Ｓ４０８でカーネルＢ２２０が起動対象として選ばれた場合はＳ４１５に進み、ローダー２２３はＲＡＭ１０３に読み込まれたカーネルＢ２２０を起動する。カーネルＢ２２０は起動されると、各種初期化処理を行い、カーネルＢ２２０に含まれるプログラム改ざん検知部Ｂ２２１がフラッシュメモリ１１４からＮａｔｉｖｅプログラムＢ２２２とＮａｔｉｖｅプログラムＢ署名３４３をＲＡＭ１０３に読み込む。続いて、Ｓ４１６で、プログラム改ざん検知部Ｂ２２１は、ＮａｔｉｖｅプログラムＢ検証用公開鍵３４２を用いて、ＮａｔｉｖｅプログラムＢ署名３４３の検証を行い成功したか判定する。署名の検証に失敗した場合はＳ４１８に進み、プログラム改ざん検知部Ｂ２２１は操作パネル１１０にエラーメッセージを表示し、Ｓ４１９に進む。一方、署名の検証に成功した場合はＳ４１７に進み、プログラム改ざん検知部Ｂ２２１は処理を終了し、ＮａｔｉｖｅプログラムＢ２２２を起動する。ＮａｔｉｖｅプログラムＢ２２２は起動するとアップデート機能をユーザに提供する。 On the other hand, when the kernel B220 is selected as the boot target in S408, the process proceeds to S415, and the loader 223 boots the kernel B220 loaded in the RAM 103. When the kernel B220 is started, various initialization processes are performed, and the program tampering detection unit B221 included in the kernel B220 reads the Native program B222 and the Native program B signature 343 from the flash memory 114 into the RAM 103. Subsequently, in S416, the program tampering detection unit B221 verifies the Native program B signature 343 using the Native program B verification public key 342 and determines whether or not it has succeeded. If the signature verification fails, the process proceeds to S418, the program tampering detection unit B221 displays an error message on the operation panel 110, and the process proceeds to S419. On the other hand, if the signature verification is successful, the process proceeds to S417, the program tampering detection unit B221 ends the process, and the Native program B222 is started. When the Native program B222 is started, it provides an update function to the user.

Ｓ４１９からＳ４２１は、署名の検証に失敗してエラーメッセージを表示した後に、起動不良となる複合機１００を復旧するためのデバイス解除キーの入力を受け付けることにより復旧モード（カーネルＢ）へ移行する手順を示す。ここでは、Ｊａｖａプログラム検証に失敗（Ｓ４１２でＮｏ）となった場合ついて説明する。つまり、以降で説明する処理はＪａｖａプログラムの正当性を検証したＮａｔｉｖｅプログラム２１３によって実施される。しかし、他のソフトウェアモジュールで署名の検証に失敗した場合は、そのモジュールを検証したソフトウェアモジュールが以降の処理を実施することとする。 S419 to S421 are procedures for shifting to the recovery mode (kernel B) by accepting the input of the device release key for recovering the multifunction device 100 which has a startup failure after displaying an error message after failing to verify the signature. Is shown. Here, the case where the Java program verification fails (No in S412) will be described. That is, the process described below is carried out by the Native program 213 that has verified the validity of the Java program. However, if the signature verification fails in another software module, the software module that verified that module will perform the subsequent processing.

Ｓ４１８で署名の検証に失敗してエラーメッセージを表示した後、Ｓ４１９で、Ｎａｔｉｖｅプログラム２１３は、複合機１００を復旧するためのデバイス解除キーの入力を受け付ける。その際に表示する操作パネル１１０の画面例を図６の６２０に示す。エラーメッセージの表示画面６２０は、エラー要因を示すエラーメッセージの表示領域６２１とデバイス解除キーの入力領域６２２とＯＫボタン６２３とを含んで構成される。Ｎａｔｉｖｅプログラム２１３は、操作パネル１１０を経由して入力領域６２２からユーザによって入力されたデバイス解除キーをＯＫボタン６２３の押下をトリガーとして受け取る。 After failing to verify the signature in S418 and displaying an error message, in S419, the Native program 213 accepts the input of the device release key for recovering the multifunction device 100. A screen example of the operation panel 110 displayed at that time is shown in 620 of FIG. The error message display screen 620 includes an error message display area 621 indicating an error cause, a device release key input area 622, and an OK button 623. The Native program 213 receives the device release key input by the user from the input area 622 via the operation panel 110 as a trigger when the OK button 623 is pressed.

次に、Ｓ４２０で、Ｎａｔｉｖｅプログラム２１３は、Ｓ４１９で受け取ったデバイス解除キーを復号して認証する。この復号では、デバイス解除キーからハッシュとシリアルＩＤと乱数を分離し、マジックナンバーと分離したシリアルＩＤと乱数からハッシュを生成し、分離したハッシュと一致すれば認証が成功したとみなす。認証が失敗した場合は、Ｎａｔｉｖｅプログラム２１３は、入力領域６２２に入力された値をクリアして再度エラーメッセージの表示画面６２０を表示してＳ４１８へ処理を戻す。一方、認証が成功した場合はＳ４２１に進み、Ｎａｔｉｖｅプログラム２１３は、ローダー２２３に対して次回の起動時にカーネルＢ２２０で起動するための予約ビットを設定し、処理を終了する。 Next, in S420, the Native program 213 decrypts and authenticates the device release key received in S419. In this decryption, the hash, serial ID, and random number are separated from the device release key, a hash is generated from the serial ID and random number separated from the magic number, and if the hash matches the separated hash, authentication is considered successful. If the authentication fails, the Native program 213 clears the value input in the input area 622, displays the error message display screen 620 again, and returns the process to S418. On the other hand, if the authentication is successful, the process proceeds to S421, and the Native program 213 sets the reserved bit for starting in the kernel B220 at the next startup in the loader 223, and ends the process.

＜改ざん検知の設定（デバイス解除キーの生成）＞
次に、図５を参照して、本実施形態に係る改ざん検知の設定処理の処理手順を説明するフローチャートである。以下で説明する処理は、図４のＳ４１４の処理であり、例えばＣＰＵ１１５がＨＤＤ１０４に格納されたＪａｖａプログラム２１４をＲＡＭ１０３に読み出して実行することにより実現される。なお、ここでは、デバイス解除キーの生成タイミングとして、改ざん検知の設定が変更されたタイミングで複合機１００自身が生成する例について説明する。しかし、本発明を限定する意図はなく、他のタイミングでデバイス解除キーが生成されてもよい。ただし、本実施形態によれば、改ざんが検知された際にエラー表示（Ｓ４１８）を行って、デバイス解除キーの入力（Ｓ４１９）を要求するため、これらの処理の前に発行されている必要がある。ここでは、Ｊａｖａプログラム２１４が起動（Ｓ４１３）した後に、以下で説明する改ざん検知の設定処理（Ｓ４１４）においてデバイス解除キーが生成されうるものである。従って、複合機１００の初回起動時においてはデバイス解除キーが生成されていないため、初回のデバイス解除キーについては最初の起動時の前に発行されていることが望ましい。例えば、工場出荷時にデフォルトのデバイス解除キーとして生成されるものであってもよい。或いは、初回起動時においては改ざん検知機能をデフォルトで無効にして起動するものであってもよい。その場合においてはデフォルトのデバイス解除キーを予め生成しておく必要はない。 <Falsification detection setting (device release key generation)>
Next, with reference to FIG. 5, it is a flowchart explaining the processing procedure of the setting process of the falsification detection which concerns on this Embodiment. The process described below is the process of S414 of FIG. 4, and is realized, for example, by the CPU 115 reading the Java program 214 stored in the HDD 104 into the RAM 103 and executing the process. Here, an example will be described in which the multifunction device 100 itself generates the device release key at the timing when the tampering detection setting is changed. However, there is no intention of limiting the present invention, and the device release key may be generated at other timings. However, according to the present embodiment, when tampering is detected, an error display (S418) is displayed and input of the device release key (S419) is requested. Therefore, it must be issued before these processes. be. Here, after the Java program 214 is started (S413), the device release key can be generated in the tampering detection setting process (S414) described below. Therefore, since the device release key is not generated at the first startup of the multifunction device 100, it is desirable that the device release key is issued before the first startup. For example, it may be generated as a default device release key at the time of shipment from the factory. Alternatively, the tampering detection function may be disabled by default at the first startup. In that case, it is not necessary to generate the default device release key in advance.

Ｓ５０１で、Ｊａｖａプログラム２１４は、操作パネル１１０から改ざん検知機能を有効化するかの設定画面を操作パネル１１０に表示し、設定要求があったかを判定する。その際に表示する操作パネル１１０の画面例を図６の６００に示す。なお、検知しない場合は本フローチャートを終了する。設定画面６００は改ざん検知機能のＯＮ／ＯＦＦを示すボタンを有するＵＩを表示している。複合機１００を使用するユーザは、ＯＮボタン６０１又はＯＦＦボタン６０２を操作パネル１１０上で押下することにより設定を変更することができる。図６に示す設定画面６００ではＯＦＦボタン６０２が網掛け表示されており、現在の改ざん検知機能の設定状況がＯＦＦであることを表している。 In S501, the Java program 214 displays a setting screen on the operation panel 110 as to whether to enable the tampering detection function from the operation panel 110, and determines whether or not there is a setting request. A screen example of the operation panel 110 displayed at that time is shown in 600 in FIG. If it is not detected, this flowchart ends. The setting screen 600 displays a UI having a button indicating ON / OFF of the falsification detection function. The user who uses the multifunction device 100 can change the setting by pressing the ON button 601 or the OFF button 602 on the operation panel 110. On the setting screen 600 shown in FIG. 6, the OFF button 602 is shaded to indicate that the current setting status of the falsification detection function is OFF.

Ｓ５０２で、Ｊａｖａプログラム２１４は、操作パネル１１０上でＯＮボタン６０１又はＯＦＦボタン６０２が押下されたことを検知する。ＯＮボタン６０１が押下された場合はＳ５０３へ進み、ＯＦＦボタン６０２が押下された場合はＳ５０４へ遷移する。Ｓ５０４で、Ｊａｖａプログラム２１４は、改ざん検知機能を無効化し、本フローチャートを終了する。ここでの無効化とは、上述したようなブートプログラム、ＢＩＯＳ、ローダー、カーネル、Ｎａｔｉｖｅプログラム、ＪＡＶＡプログラムの署名を検証することなく起動することである。 In S502, the Java program 214 detects that the ON button 601 or the OFF button 602 is pressed on the operation panel 110. When the ON button 601 is pressed, the process proceeds to S503, and when the OFF button 602 is pressed, the process proceeds to S504. In S504, the Java program 214 disables the tampering detection function and ends this flowchart. Disabling here means booting without verifying the signatures of the boot program, BIOS, loader, kernel, Native program, and JAVA program as described above.

一方、Ｓ５０３で、Ｊａｖａプログラム２１４は、改ざん検知機能を有効化する。ここでの有効化とは、上述したようにブートプログラム、ＢＩＯＳ、ローダー、カーネル、Ｎａｔｉｖｅプログラム、及びＪＡＶＡプログラムを起動時において順次検証して起動する改ざん検知機能を有効化することである。つまり、次回起動時において改ざん検知機能が有効された状態で起動し、各プログラムの正当性が検証されることになる。なお、この設定は１回のみ有効に扱われ、起動するたびに次回の有効化設定を行わせてもよい。或いは、毎回設定するのではなく、定期的に、例えば、検証機能が前回有効化されてから所定期間（所定日数）が経過した場合や所定回数起動された場合に有効化設定を行わせるようにしてもよい。この場合、有効に設定されない場合には次回起動時において問い合わせを行うことが望ましい。 On the other hand, in S503, the Java program 214 activates the tampering detection function. The activation here is to enable the tampering detection function that sequentially verifies and starts the boot program, BIOS, loader, kernel, Native program, and JAVA program at the time of startup as described above. That is, the next time the program is started, the program is started with the tampering detection function enabled, and the validity of each program is verified. Note that this setting is treated as valid only once, and the next activation setting may be performed each time it is started. Alternatively, instead of setting it every time, the activation setting is made periodically, for example, when a predetermined period (predetermined number of days) has passed since the verification function was last activated or when the verification function is activated a predetermined number of times. You may. In this case, if it is not set to be valid, it is desirable to make an inquiry at the next startup.

次に、Ｓ５０５で、Ｊａｖａプログラム２１４は、デバイス解除キーを生成する。デバイス解除キーは、例えば複合機ごとに固有の識別子となるシリアルＩＤ、マジックナンバー（定数）、乱数等をＳＨＡ−１などのハッシュ関数で掛け合わせることによって生成する。続いて、Ｓ５０６で、Ｊａｖａプログラム２１４は、デバイス解除キーを操作パネル１１０に表示し、本フローチャートを終了する。図６の画面６１０は、Ｓ５０６で表示する操作パネル１１０の画面例を示す。Ｓ５０５で生成したデバイス解除キーは、解除キー表示領域６１１に表示することによってユーザへ通知される。なお、ここではＪａｖａプログラム２１４がデバイス解除キーを生成する例について説明したが、Ｎａｔｉｖｅプログラム２１３など他のソフトウェアモジュールがその機能を代替してもよい。 Next, in S505, the Java program 214 generates a device release key. The device release key is generated, for example, by multiplying a serial ID, a magic number (constant), a random number, etc., which are unique identifiers for each multifunction device, with a hash function such as SHA-1. Subsequently, in S506, the Java program 214 displays the device release key on the operation panel 110, and ends this flowchart. The screen 610 of FIG. 6 shows a screen example of the operation panel 110 displayed in S506. The device release key generated in S505 is notified to the user by displaying it in the release key display area 611. Although the example in which the Java program 214 generates the device release key has been described here, another software module such as the Native program 213 may substitute the function.

なお、上記Ｓ５０５においてデバイス解除キーを生成した場合、複合機１００は、生成したデバイス解除キーを自身のメモリに保持する必要性はない。これは、上記Ｓ４２０で説明したように、複合機１００は、ユーザから入力されたデバイス解除キーからハッシュとシリアルＩＤと乱数を分離して認証を行うものであり、デバイス解除キーそのものを保持しておく必要はない。一方で、ユーザがデバイス解除キーを忘れる可能性もあり、システムがエラー停止している際に何らかの復帰手順を残すようにしてもよい。その場合においては、生成したデバイス解除キーを保持しておき、サービスマン等によって隠しコマンド等が入力されると表示されるものであってもよい。或いは、デバイス解除キーによる復旧モードの認証ができない場合の代替手法として、他の認証（管理者パスワード、ＵＳＢドングル等）を行うようにしてもよい。 When the device release key is generated in S505, the multifunction device 100 does not need to hold the generated device release key in its own memory. As described in S420 above, the multifunction device 100 separates the hash, the serial ID, and the random number from the device release key input by the user for authentication, and holds the device release key itself. You don't have to keep it. On the other hand, the user may forget the device release key, and may leave some recovery procedure when the system is stopped due to an error. In that case, the generated device release key may be retained and displayed when a hidden command or the like is input by a serviceman or the like. Alternatively, other authentication (administrator password, USB dongle, etc.) may be performed as an alternative method when the recovery mode cannot be authenticated by the device release key.

以上説明したように、本情報処理装置は、ブートプログラムの起動に続いて複数のモジュールを順次起動するものであり、各モジュールで実行されるプログラムの正当性の検証を行い、検証に失敗した場合には情報処理装置を停止する検証機能を有する。また、本情報処理装置は、検証機能の有効化を設定し、当該検証機能が有効化された際に、停止された情報処理装置を復旧する復旧モードで起動するためのデバイス解除キーを生成する。さらに、本情報処理装置は、デバイス解除キーを生成すると、情報処理装置の表示部（操作パネル１１０）に生成したデバイス解除キーを表示する。また、本情報処理装置は、当該情報処理装置を停止する際に、デバイス解除キーの入力を受け付け、入力されたデバイス解除キーを認証し、認証が成功すると情報処理装置を復旧モードで再起動する。このように、本実施形態によれば、改ざん検知機能（検証機能）が有効化された段階で、デバイス解除キーを生成して発行（表示）し、プログラムの正当性の検証が失敗した場合にはシステムを停止するとともに、当該デバイス解除キーの受付を行なう。当該デバイス解除キーを認証し成功すると、本情報処理装置は、復旧モードで再起動し、正当性が検証されなかったプログラムをアップデートすることにより当該プログラムの復旧を行う。これにより、情報処理装置がネットワークを介して情報を取得することができない環境であっても、情報処理装置自身がデバイス解除キーを生成して発行するため、プログラムの正当性が検証されない際にハードウェアの交換を行うことなくシステムを復旧することができる。 As described above, this information processing device starts a plurality of modules in sequence following the startup of the boot program, verifies the validity of the program executed in each module, and fails in the verification. Has a verification function to stop the information processing device. In addition, this information processing device sets the activation of the verification function, and when the verification function is enabled, generates a device release key for starting in the recovery mode for recovering the stopped information processing device. .. Further, when the device release key is generated, the information processing device displays the generated device release key on the display unit (operation panel 110) of the information processing device. In addition, when the information processing device is stopped, the information processing device accepts the input of the device release key, authenticates the input device release key, and restarts the information processing device in the recovery mode when the authentication is successful. .. As described above, according to the present embodiment, when the tampering detection function (verification function) is enabled, the device release key is generated and issued (displayed), and the verification of the validity of the program fails. Stops the system and accepts the device release key. If the device release key is authenticated and succeeded, the information processing apparatus restarts in the recovery mode and recovers the program by updating the program whose validity has not been verified. As a result, even in an environment where the information processing device cannot acquire information via the network, the information processing device itself generates and issues a device release key, so it is hard when the validity of the program is not verified. The system can be restored without changing the hardware.

本発明は上記実施形態に限らず様々な変形が可能である。例えば、上記実施形態では、情報処理装置である複合機１００内で生成したデバイス解除キーを認証することによってシステムを復旧させる復旧モードで再起動を行う制御について説明した。しかし、本発明はこれに限定されず、予め認証情報の入ったドングルを複合機１００に接続することによる認証、デバイス設置時に設定する管理者パスワードなどの認証キーを利用して認証してもよい。また、本実施形態では、公開鍵が異なるものがあるとして説明したが、同じものがあってもよい。また各プログラムの保存場所としてＲＯＭ１０２、フラッシュメモリ１１４、ＨＤＤ１０４があるものとして説明したが、保存場所を限定するものではなく、別の記憶媒体であってもよい。またプログラムの保存場所が説明した箇所になくてもよく、たとえばＲＯＭ１０２上にローダー２２３を記憶する構成であってもよい。 The present invention is not limited to the above embodiment and can be modified in various ways. For example, in the above embodiment, the control of restarting in the recovery mode for recovering the system by authenticating the device release key generated in the multifunction device 100 which is the information processing device has been described. However, the present invention is not limited to this, and authentication may be performed by connecting a dongle containing authentication information in advance to the multifunction device 100, or by using an authentication key such as an administrator password set at the time of device installation. .. Further, in the present embodiment, it has been described that some public keys have different public keys, but the same ones may be used. Further, although it has been described that the storage location of each program includes the ROM 102, the flash memory 114, and the HDD 104, the storage location is not limited, and another storage medium may be used. Further, the storage location of the program does not have to be in the location described, and for example, the loader 223 may be stored on the ROM 102.

＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。 <Other Embodiments>
The present invention supplies a program that realizes one or more functions of the above-described embodiment to a system or device via a network or storage medium, and one or more processors in the computer of the system or device reads and executes the program. It can also be realized by the processing to be performed. It can also be realized by a circuit (for example, ASIC) that realizes one or more functions.

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。 The invention is not limited to the above embodiments, and various modifications and modifications can be made without departing from the spirit and scope of the invention. Therefore, a claim is attached to make the scope of the invention public.

１００：複合機、１０１：ＣＰＵ、１０２：ＲＯＭ、１０３：ＲＡＭ、１０４：ＨＤＤ、１０５：ネットワークＩ／Ｆ制御部、１０６：スキャナＩ／Ｆ制御部、１０７：プリンタＩ／Ｆ制御部、１０８：パネル制御部、１０９：バス、１１０：操作パネル、１１１：スキャナ、１１２：プリンタ、１１３：組込コントローラ、１１４：フラッシュメモリ、１１５：ＣＰＵ、１１６：ＲＡＭ、１１７：ＬＥＤ、１１８：ネットワーク、２０１：ＢＩＯＳ改ざん検知部、２０２：ローダー／カーネル改ざん検知部、２０５：プログラム改ざん検知部、２０６：Ｊａｖａプログラム改ざん検知部 100: Multifunction device, 101: CPU, 102: ROM, 103: RAM, 104: HDD, 105: Network I / F control unit, 106: Scanner I / F control unit, 107: Printer I / F control unit, 108: Panel control unit, 109: bus, 110: operation panel, 111: scanner, 112: printer, 113: embedded controller, 114: flash memory, 115: CPU, 116: RAM, 117: LED, 118: network, 201: BIOS tampering detection unit, 202: loader / kernel tampering detection unit, 205: program tampering detection unit, 206: Java program tampering detection unit

Claims (11)

ブートプログラムの起動に続いて複数のモジュールを順次起動する情報処理装置であって、
各モジュールで実行されるプログラムの正当性の検証を行い、該検証に失敗した場合には前記情報処理装置を停止する検証手段と、
前記検証手段による検証機能の有効化を設定する設定手段と、
前記検証機能が有効化された際に、停止された前記情報処理装置を復旧する復旧モードで起動するためのデバイス解除キーを生成する生成手段と
を備えることを特徴とする情報処理装置。 An information processing device that sequentially starts multiple modules following the startup of a boot program.
Verification means that verifies the validity of the program executed in each module and stops the information processing device if the verification fails.
A setting means for setting the activation of the verification function by the verification means, and
An information processing device including a generation means for generating a device release key for starting in a recovery mode for recovering the stopped information processing device when the verification function is activated. 前記生成手段は、前記デバイス解除キーを生成すると、前記情報処理装置の表示部に該デバイス解除キーを表示することを特徴とする請求項１に記載の情報処理装置。 The information processing device according to claim 1, wherein when the device release key is generated, the generation means displays the device release key on the display unit of the information processing device. 前記検証手段は、
前記情報処理装置を停止する際に、前記デバイス解除キーの入力を受け付ける受付手段と、
入力された前記デバイス解除キーを認証する認証手段と、
前記情報処理装置を復旧モードで再起動する復旧手段と
を備えることを特徴とする請求項２に記載の情報処理装置。 The verification means
A reception means that accepts the input of the device release key when the information processing device is stopped, and
An authentication means for authenticating the input device release key and
The information processing device according to claim 2, further comprising a recovery means for restarting the information processing device in a recovery mode. 前記復旧手段は、
前記復旧モードにおいて、前記検証に失敗したプログラムとは異なるプログラムを用いて起動し、該検証に失敗したプログラムをアップデートすることにより当該プログラムの復旧を行うことを特徴とする請求項３に記載の情報処理装置。 The recovery means
The information according to claim 3, wherein in the recovery mode, the program is started by using a program different from the program that failed the verification, and the program that failed the verification is updated to recover the program. Processing equipment. 前記受付手段は、前記デバイス解除キーの入力を受け付ける画面を前記情報処理装置の表示部に表示し、さらに、前記画面において、前記情報処理装置が停止したエラー要因を表示することを特徴とする請求項３又は４に記載の情報処理装置。 The receiving means is characterized in that a screen for receiving an input of the device release key is displayed on the display unit of the information processing device, and further, an error factor in which the information processing device is stopped is displayed on the screen. Item 3. The information processing apparatus according to Item 3. 前記受付手段は、前記デバイス解除キーに代えて、他の認証キーを受け付け、
前記認証手段は、前記他の認証キーを用いて認証を行うことを特徴とする請求項３乃至５の何れか１項に記載の情報処理装置。 The receiving means accepts another authentication key in place of the device release key.
The information processing device according to any one of claims 3 to 5, wherein the authentication means performs authentication using the other authentication key. 前記設定手段は、前記情報処理装置の起動処理が完了した際に、次の起動時の検証機能の有効化の設定を問い合わせる設定画面を前記情報処理装置の表示部に表示することを特徴とする請求項１乃至５の何れか１項に記載の情報処理装置。 The setting means is characterized in that, when the activation process of the information processing apparatus is completed, a setting screen for inquiring about the setting for enabling the verification function at the next activation is displayed on the display unit of the information processing apparatus. The information processing apparatus according to any one of claims 1 to 5. 前記設定手段は、前記検証機能が前回有効化されてから所定期間が経過すると、又は、所定回数の起動が行われると、前記設定画面を前記情報処理装置の表示部に表示することを特徴とする請求項７に記載の情報処理装置。 The setting means is characterized in that the setting screen is displayed on the display unit of the information processing apparatus when a predetermined period has elapsed since the verification function was last activated or when a predetermined number of times of activation is performed. The information processing apparatus according to claim 7. 前記複数のモジュールの各モジュールは、
自身の署名を予め記憶する記憶手段と、
次に起動するモジュールの署名の検証が成功すると、該次に起動するモジュールを起動する起動手段と
を備え、
前記複数のモジュールのうち第１のモジュールは、
次に起動する第２のモジュールの署名を検証する検証情報であって、前記記憶手段に予め記憶した前記検証情報を用いて、該第２のモジュールの改ざんを検知し、かつ、前記検証情報を用いて、前記第２のモジュールの後に起動する少なくとも１つの第３のモジュールの改ざんを検知し、
前記第２のモジュールは、
前記第１のモジュールによって起動されると、次に起動する前記第３のモジュールを起動することを特徴とする請求項１乃至８の何れか１項に記載の情報処理装置。 Each module of the plurality of modules
A storage means to store your signature in advance,
If the signature of the module to be started next is successfully verified, it is provided with a starting means for starting the module to be started next.
The first module among the plurality of modules is
Verification information for verifying the signature of the second module to be activated next, the verification information stored in advance in the storage means is used to detect tampering with the second module, and the verification information is used. It is used to detect tampering with at least one third module that is launched after the second module.
The second module is
The information processing apparatus according to any one of claims 1 to 8, wherein when the first module is activated, the third module to be activated next is activated. ブートプログラムの起動に続いて複数のモジュールを順次起動する情報処理装置の制御方法であって、
検証手段が、各モジュールで実行されるプログラムの正当性の検証を行い、該検証に失敗した場合には前記情報処理装置を停止する検証工程と、
設定手段が、前記検証工程による検証機能の有効化を設定する設定工程と、
生成手段が、前記検証機能が有効化された際に、停止された前記情報処理装置を復旧する復旧モードで起動するためのデバイス解除キーを生成する生成工程と
を含むことを特徴とする情報処理装置の制御方法。 It is a control method of an information processing device that sequentially starts multiple modules following the startup of a boot program.
A verification step in which the verification means verifies the validity of the program executed in each module and stops the information processing apparatus when the verification fails.
The setting means sets the activation of the verification function by the verification process, and the setting process.
Information processing characterized in that the generation means includes a generation step of generating a device release key for starting in a recovery mode for recovering the stopped information processing apparatus when the verification function is enabled. How to control the device. ブートプログラムの起動に続いて複数のモジュールを順次起動する情報処理装置の制御方法における各工程をコンピュータに実行させるためのプログラムであって、前記制御方法は、
検証手段が、各モジュールで実行されるプログラムの正当性の検証を行い、該検証に失敗した場合には前記情報処理装置を停止する検証工程と、
設定手段が、前記検証工程による検証機能の有効化を設定する設定工程と、
生成手段が、前記検証機能が有効化された際に、停止された前記情報処理装置を復旧する復旧モードで起動するためのデバイス解除キーを生成する生成工程と
を含むことを特徴とするプログラム。 A program for causing a computer to execute each step in a control method of an information processing apparatus that sequentially starts a plurality of modules after starting a boot program.
A verification step in which the verification means verifies the validity of the program executed in each module and stops the information processing apparatus when the verification fails.
The setting means sets the activation of the verification function by the verification process, and the setting process.
A program characterized in that the generation means includes a generation step of generating a device release key for starting in a recovery mode for recovering the stopped information processing apparatus when the verification function is activated.

Images