JP4176533B2 - 端末装置及びプログラム - Google Patents
端末装置及びプログラム Download PDFInfo
- Publication number
- JP4176533B2 JP4176533B2 JP2003096088A JP2003096088A JP4176533B2 JP 4176533 B2 JP4176533 B2 JP 4176533B2 JP 2003096088 A JP2003096088 A JP 2003096088A JP 2003096088 A JP2003096088 A JP 2003096088A JP 4176533 B2 JP4176533 B2 JP 4176533B2
- Authority
- JP
- Japan
- Prior art keywords
- application
- file
- server device
- data
- description file
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/30—Definitions, standards or architectural aspects of layered protocol stacks
- H04L69/32—Architecture of open systems interconnection [OSI] 7-layer type protocol stacks, e.g. the interfaces between the data link level and the physical level
- H04L69/322—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions
- H04L69/329—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions in the application layer [OSI layer 7]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Stored Programmes (AREA)
- Storage Device Security (AREA)
- Circuits Of Receivers In General (AREA)
- Stereo-Broadcasting Methods (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ダウンロードしたデータの正当性を判定する技術に関する。
【０００２】
【従来の技術】
近年、プログラム等のソフトウェアをインターネット等のネットワーク経由で通信端末にダウンロードして使用することが広く行われている。このような環境下でソフトウェアの改竄や「なりすまし」などの不正行為を完全に排除することは困難であるから、不正なソフトウェアが通信端末にダウンロードされてしまう虞がある。このような事情から、ダウンロードしたソフトウェアの正当性を確認するための技術が提案されている。例えば、ダウンロードするソフトウェアのハッシュ値を記録したＩＣ（Integrated Circuit）カードを当該ソフトウェアの提供元が予めユーザに貸与する方法が提案されている（特許文献１参照）。この方法では、ユーザが通信端末にＩＣカードを装填しソフトウェアのダウンロードを指示すると、通信端末はソフトウェアをダウンロードし、ハッシュ関数を用いて当該ソフトウェアに対するハッシュ値を算出し、このハッシュ値をＩＣカードに記録されたハッシュ値と比較し、両者が一致したら、受信したソフトウェアが正当であると判断する。
【０００３】
【特許文献】
特開平１１−２０５７６７号公報
【０００４】
【発明が解決しようとする課題】
ところで、Ｊａｖａ−ＡＰ（アプリケーション）ソフトウェアをダウンロードし実行することができる携帯電話機が普及している。この種の携帯電話機へＪａｖａ−ＡＰソフトウェアをダウンロードする際には、ＷＷＷ（World Wide Web）を構成するサーバ装置からＡＤＦ（Application Descrcptor File）がダウンロードされ、次いでＪＡＲ（Java Archive）ファイルがダウンロードされることになる。これらのファイルも不正行為の対象となり得るから、ダウンロードしたソフトウェアの正当性の確認が必要である。
ところで、ＡＤＦは対応するＪＡＲファイルの作成日付などのＪＡＲファイルに関する情報を内包していることから、対応するＪＡＲファイルが更新されると更新されねばならない。つまり、ＡＤＦとＪＡＲファイルには正当な組み合わせが存在する。したがって、Ｊａｖａ−ＡＰソフトウェアの正当性の確認には、ＡＤＦ及びＪＡＲファイルの組み合わせの正当性の確認が必須である。
ＡＤＦ及びＪＡＲファイルの組み合わせの正当性を確認する方法としては、正当な組み合わせのＡＤＦおよびＪＡＲファイルを一体化してからハッシュ値を算出し、このようなハッシュ値を特許文献に記載された技術において用いるようにする方法が考えられる。しかし、Ｊａｖａ−ＡＰソフトウェアは、その提供者によりバグが修正されたりバージョンアップされたりするものであるから、その度にハッシュ値が変わることになる。したがって、Ｊａｖａ−ＡＰソフトウェアの提供者であるＣＰ（Contents Provider）は、当該Ｊａｖａ−ＡＰソフトウェアの変更の都度、ハッシュ値を記録したＩＣカードを当該Ｊａｖａ−ＡＰソフトウェアの利用者へ配布しなければならない。これは非現実的である。
【０００５】
本発明は、上述した事情に鑑みて為されたものであり、ダウンロードした関連する複数のファイルの組み合わせの正当性を容易に判定することができる技術を提供することを目的としている。
【０００６】
【課題を解決するための手段】
上述した課題を解決するために、本発明は、第１のサーバ装置から、証明用データおよびアプリケーションファイルの格納場所データを含むアプリケーション記述ファイルを受信し、続いて、前記第１のサーバ装置とは異なる第２のサーバ装置から、関数値を含むセキュリティ記述ファイルを受信する受信手段と、一方向関数の変数に前記アプリケーション記述ファイルに含まれる証明用データの全部もしくは一部を代入した場合の関数値を算出する算出手段と、前記セキュリティ記述ファイルに含まれる関数値と前記算出手段により算出された関数値とを比較し、それらの関数値が一致するか否かを判定する比較手段とを備え、前記受信手段は、前記比較手段により関数値が一致すると判定された場合にのみ、前記アプリケーション記述ファイルに含まれるアプリケーションファイルの格納場所データにより示される格納場所から、前記アプリケーションファイルを受信することを特徴とする端末装置を提供する。
また、本発明は、コンピュータに、第１のサーバ装置から、証明用データおよびアプリケーションファイルの格納場所データを含むアプリケーション記述ファイルを受信する処理と、
前記第１のサーバ装置とは異なる第２のサーバ装置から、関数値を含むセキュリティ記述ファイルを受信する処理と、一方向関数の変数に前記アプリケーション記述ファイルに含まれる証明用データの全部もしくは一部を代入した場合の関数値を算出する処理と、前記セキュリティ記述ファイルに含まれる関数値と前記算出した関数値とを比較し、それらの関数値が一致するか否かを判定する処理と、前記判定において関数値が一致すると判定した場合にのみ、前記アプリケーション記述ファイルに含まれるアプリケーションファイルの格納場所データにより示される格納場所から、前記アプリケーションファイルを受信する処理とを実行させることを特徴とするプログラムを提供する。
【０００８】
【発明の実施の形態】
以下、図面を参照して、本発明の実施の一形態である配信システムについて図面を参照して説明する。なお、図面において、共通する部分には同一の符号が付されている。
この配信システムは、ユーザが、携帯電話機を操作して所望のＪａｖａ−ＡＰソフトウェアを携帯電話機にダウンロードおよびインストールし、携帯電話機において起動するためのものである。
【０００９】
本システムにおけるＪａｖａ−ＡＰソフトウェアのダウンロードは、まず、携帯電話機が、Ｊａｖａ−ＡＰソフトウェアの内容を説明した画面を表示した後、この携帯電話機のユーザが所望するＪａｖａ−ＡＰソフトウェアに対応したＡＤＦを受信し、次いで、上記Ｊａｖａ−ＡＰソフトウェアに対応したＳＤＦ（セキュリティ記述ファイル）と称せられるファイルを受信し、最後にＪＡＲファイルを受信するという手順で行われる。ここで、ＳＤＦは、携帯電話機内におけるＪａｖａ−ＡＰソフトウェアの挙動を制限する内容が記述されたファイルである。よって、携帯電話機は、インストールしたＪａｖａ−ＡＰソフトウェアを実行するに際しては、このＳＤＦの記述内容に従うこととなる。このＳＤＦは、Ｊａｖａ−ＡＰソフトウェアについて上記通信事業者とこのＪａｖａ−ＡＰソフトウェアを提供するＣＰとの間で結ばれた契約に従って通信事業者により作成される。
ところで、本実施形態では、対応するＳＤＦが存在するＪａｖａ−ＡＰソフトウェアと、対応するＳＤＦが存在しないＪａｖａ−ＡＰソフトウェアとが用意されている。前者のＪａｖａ−ＡＰソフトウェアは、対応するＳＤＦに記述された許可情報による挙動制限を受けるものであり、通信事業者がＣＰとの契約に基づいて信頼性を保証したものであることから、以降の説明では、前者を「トラステッドＪａｖａ−ＡＰソフトウェア」と呼ぶ。これに対応して、後者を「非トラステッドＪａｖａ−ＡＰソフトウェア」と呼ぶ。
なお、本実施形態の説明において「Ｊａｖａ−ＡＰソフトウェア」と言う場合には、それが「トラステッドＪａｖａ−ＡＰソフトウェア」であればＡＤＦ、ＳＤＦ及びＪＡＲファイルを含む概念とし、「非トラステッドＪａｖａ−ＡＰソフトウェア」であればＡＤＦ及びＪＡＲファイルを含む概念とする。
【００１０】
（１：構成）
図１に示されるように、この配信システムは、インターネット１１に接続されたＣＰサーバ装置１２と、通信事業者が移動パケット通信サービスを提供するために用いる移動パケット通信網１５と、この移動パケット通信網１５を介して通信相手とパケット通信を行う携帯電話機１６と、インターネット１１と移動パケット通信網１５とを相互接続するゲートウェイサーバ装置１７と、ゲートウェイサーバ装置１７に接続されたトラステッドサーバ装置１８とを有する。この配信システムには多数の携帯電話機が存在するが、図面が繁雑になるのを避けるために一つの携帯電話機１６のみが図示されている。これと同様の理由により、１つのＣＰサーバ装置１２のみが図示されている。
【００１１】
以下、この配信システムの各構成要素について詳細に説明する。
（１−１：ＣＰサーバ装置）
ＣＰサーバ装置１２は、一般的なＷＷＷサーバ装置と同様のハードウェアおよび機能を有する。また、ＣＰサーバ装置１２はハードディスク装置１２Ａを有する。ＣＰサーバ装置１２は、ＴＣＰ（Transmission Control Protocol）に従ったコネクション（以後、ＴＣＰコネクション）を通信相手との間に確立し、このコネクションを介してＨＴＴＰ（Hypertext Transfer Protocol）のＧＥＴメソッドを用いた要求メッセージを受信すると、このＧＥＴメソッドに指定されたＵＲＬ（Uniform Resource Locator）で特定されるファイルを自身のハードディスク装置１２Ａから読み出し、このファイルを含むＨＴＴＰの応答メッセージを返送してこのコネクションを切断する。
【００１２】
ハードディスク装置１２Ａは、Ｊａｖａプログラミング言語を用いて作成されたプログラムを内包するＪＡＲファイルと、このＪＡＲファイルに関する情報を記述したＡＤＦを記憶し得る。
ＣＰサーバ装置１２に記憶され得るＡＤＦには、トラステッドＪａｖａ−ＡＰソフトウェアに対応したＡＤＦと、非トラステッドＪａｖａ−ＡＰソフトウェアに対応したＡＤＦとがある。これらのいずれのＡＤＦにおいても、Ｊａｖａ−ＡＰソフトウェアの名称や、ＷＷＷにおけるＪＡＲファイルの記憶位置を示すＪＡＲ保存先ＵＲＬデータや、ＪＡＲファイルのサイズを示す情報や、ＪＡＲファイルの最終変更日時を示す情報等の、従来からＡＤＦに内包されている情報が記述されている。これに加えて、トラステッドＪａｖａ−ＡＰソフトウェアに対応したＡＤＦは、図２に示されるように、トラステッドＪａｖａ−ＡＰソフトウェアである場合に記述されるトラステッドＡＰＩＤデータ、ＳＤＦがＷＷＷにおいて記憶されている位置を示すトラステッドサーバドメインと、図示せぬＣＡ（認証局；Certificate Authority）からＣＰサーバ装置１２を運用するＣＰへ提供された証明書データと、ＪＡＲファイルのハッシュ値を表すＪａｒハッシュ値データが内包されている。
ここで、ハッシュ値とは、任意のデータをハッシュ関数に代入することにより算出される一定長の算出値である。ハッシュ関数は一方向関数の一種である。
「一方向関数」とは、y = f(x) は高速に計算できるが，y から x を求める f の逆関数は存在せず， x を求めるには膨大な計算時間を要し、ｘを求めるのは事実上不可能な関数をいう。
また、ＣＰサーバ装置１２は、ＣＰの指示に従って上記各ファイルを作成および更新する機能を備えている。また、ハードディスク装置１２Ａは、ＣＰが認証局に認証されていることを証明するための、ＣＡが発行した証明書データを記憶し得る。また、ＣＰサーバ装置１２は、ＪＡＲファイルや証明書データから、ＳＨＡ−１のハッシュアルゴリズムに従ってハッシュ値を算出するプログラムを記憶し得る。
【００１３】
（１−２：ゲートウェイサーバ装置）
ゲートウェイサーバ装置１７は、前述の通信事業者により管理されており、移動パケット通信網１５とインターネット１１とを接続する一般的なゲートウェイサーバ装置と同様の構成を有し、移動パケット通信網１５とインターネット１１との間で相互に通信を中継する。
【００１４】
（１−３：トラステッドサーバ装置）
トラステッドサーバ装置１８は前述の通信事業者により管理されており、ＷＷＷを構成し、一般的なＷＷＷサーバ装置と同様のハードウェアおよび機能を有する。また、トラステッドサーバ装置１８はハードディスク装置１８Ａを有し、ＴＣＰコネクションを通信相手との間に確立し、このコネクションを介してＨＴＴＰのＧＥＴメソッドを用いた要求メッセージを受信すると、このＧＥＴメソッドに指定されたＵＲＬで特定されるファイルをハードディスク装置１８Ａから読み出し、このファイルを含むＨＴＴＰの応答メッセージを返送してこのコネクションを切断する。
【００１５】
ハードディスク装置１８Ａに記憶されるファイルとしては、複数のトラステッドＪａｖａ−ＡＰソフトウェアに対応した複数のＳＤＦがある。
ＳＤＦは、トラステッドＪａｖａ−ＡＰソフトウェア毎に通信事業者により作成されるファイルである。図３に示されるように、ＳＤＦは、トラステッドＪａｖａ−ＡＰソフトウェアが記憶されている位置を表すＪＡＲ保存先ＵＲＬデータと、対応するＡＤＦファイルに証明書データが内包されているか否かを表すＡＤＦ証明書有無フラグデータと、ＡＤＦに含まれている証明書データから算出したハッシュ値を表す証明書ハッシュ値データと、トラステッドＪａｖａ−ＡＰソフトウェアが使用を許可されているＡＰＩ（Application Program Interface）やＵＲＬを表すパーミッション情報データとを内包している。
ここで、パーミッション情報データには、電話帳参照、未読メール取得、発着信情報取得ＡＰＩの使用を許可するか否かを表す個人情報取得データや、着信メロディ、発着信画像、待ち受け画像登録など、携帯電話機設定更新用ＡＰＩの使用を許可するか否かを表す設定更新データや、アクセスを許可するＵＲＬを表すアクセス許可ＵＲＬデータが含まれている。
【００１６】
（１−４：携帯電話機）
携帯電話機１６は、図４に示されるように、ＯＳ（オペレーティングシステム）ソフトウェア、Ｊａｖａ−ＡＰを実行する環境を構築するためのＪａｖａ−ＡＰ環境ソフトウェア、および各種ネイティブＡＰソフトウェア等を記憶したＲＯＭ１６Ａと、ＲＯＭ１６Ａからプログラムを読み出して実行するＣＰＵ１６Ｂと、表示部１６Ｃと、不揮発性メモリ１６Ｄと、ＲＡＭ１６Ｅと、通信部１６Ｆと、操作部１６Ｇとを有し、これらはバスによって接続されている。
【００１７】
表示部１６Ｃは、例えば液晶表示パネルやパネル駆動回路を有し、ＣＰＵ１６Ｂから供給されるデータで表される画像を表示する。
不揮発性メモリ１６Ｄは、例えば、ＳＲＡＭ（Static Random Access Memory）やＥＥＰＲＯＭ（Ellectrically Erasable and Programmable Read Only Memory）である。また、この不揮発性メモリ１６Ｄは、ＷＷＷを構成するサーバ装置からダウンロードされたＪａｖａ−ＡＰソフトウェアを記憶するために使用される。
また、不揮発性メモリ１６Ｄには、ＳＨＡ−１のハッシュアルゴリズムに従って、ハッシュ値を計算するプログラムが記憶されている。
【００１８】
通信部１６Ｆは、アンテナや無線送受信部を備え、移動パケット通信網１５と無線パケット通信を行うものであり、ＣＰＵ１６Ｂと移動パケット通信網１５との間でパケットを中継する。また、通信部１６Ｆは、通話のためのマイク、スピーカ等を備えており、これによって携帯電話機１６は図示せぬ移動電話網を介して回線交換による通話を行うこともできる。
操作部１６Ｇは操作子を備え、操作子の操作に応じた信号をＣＰＵ１６Ｂへ供給する。
【００１９】
（２．動作）
次に、上述した通信システムの動作例について説明する。
携帯電話機１６の図示せぬ電源が投入されると、ＣＰＵ１６ＢはＲＡＭ１６Ｅをワークエリアとし、ＲＯＭ１６ＡからＯＳソフトウェアに内包されているプログラムを読み出して実行する。これにより、ＣＰＵ１６ＢにはＵＩ（User Interface；ユーザインターフェース）等を提供する機能が実現される。すなわち、ＣＰＵ１６ＢはＯＳソフトウェアを起動して携帯電話機１６内にて図５に示すＯＳを実現する。ＯＳは操作部１６Ｇから供給される信号とＵＩの状態とに基づいてユーザの指示を特定し、この指示に応じた処理を行う。
【００２０】
例えば、ユーザの指示がＪａｖａ−ＡＰソフトウェアのダウンロードを要求するものである場合には、Ｗｅｂブラウザは、この指示を次に述べるＪＡＭ（Java Application Manager）に通知する。
また、ユーザの指示がネイティブＡＰソフトウェアであるＪＡＭソフトウェアの起動を要求するものであれば、ＯＳはＪＡＭソフトウェアを起動して携帯電話機１６内にてＪＡＭを実現する。ＪＡＭは、携帯電話機１６にインストールされているＪａｖａ−ＡＰソフトウェアの一覧をユーザに提示し、ユーザにより指定されたＪａｖａ−ＡＰソフトウェアを起動する。具体的には、ＪＡＭに対するユーザの指示がＪａｖａ−ＡＰソフトウェアの起動を要求するものであれば、Ｊａｖａ−ＡＰ環境ソフトウェアが起動されて携帯電話機１６内にＪａｖａ−ＡＰ環境が実現され、次に、指定されたＪａｖａ−ＡＰソフトウェアが起動されてＪａｖａ−ＡＰ環境内にＪａｖａ−ＡＰが実現される。Ｊａｖａ−ＡＰ環境は、携帯電話機１６のような携帯端末に適した軽量のＪａｖａ仮想マシンであるＫＶＭ（K Vartual Machine）と、Ｊａｖａ−ＡＰに対して提供されるＡＰＩ（Application Interface）とを有する。Ｊａｖａ−ＡＰに対して提供されるＡＰＩは、トラステッドＪａｖａ−ＡＰソフトウェアによって実現されるＪａｖａ−ＡＰに使用が許可されるＳＤＦのパーミッション情報データで指定されるＡＰＩと、あらゆるＪａｖａ−ＡＰに使用が許可される非トラステッドＡＰＩとに分けられる。
【００２１】
なお、以下に述べる動作において、ＴＣＰコネクションの確立および切断動作についてはＨＴＴＰにおける一般的な動作となることから、それらの説明を省略する。また、前述のＯＳ、Ｗｅｂブラウザ、ＪＡＭ、Ｊａｖａ−ＡＰ、ネイティブＡＰ等が行う動作は携帯電話機１６の動作となることから、以降の説明では、動作の主体を携帯電話機１６とする。
【００２２】
（２−１：トラステッドＪａｖａ−ＡＰソフトウェアの作成）
まず、ＣＰの管理するＣＰサーバ装置１２が、トラステッドＪａｖａ−ＡＰソフトウェアを作成する動作を、図６を参照して説明する。
ここで、ＣＰは、予め、入力されたＪＡＲファイルや証明書データより、ＳＨＡ−１のハッシュアルゴリズムに従ってハッシュ値を算出するプログラム（以下、「ツール」という）を通信事業者より貸与されており、当該プログラムは、ＣＰサーバ装置１２のハードディスク装置１２Ａに記憶されているものとする。また、ＣＰサーバ装置１２のハードディスク装置１２Ａには、予めＣＡより取得した証明書データが記憶されているものとする。
【００２３】
まず、ＣＰは、ＣＰが所望するアプリケーション「TELNO別着信メロディ変更アプリ」を実現させるためのプログラムを作成し、当該プログラムを内包したＪＡＲファイルを“http://www.b.co.jp/ melody.jar”で特定される位置に記憶させるよう入力する。また、ＣＰは、当該プログラムのアプリ名“melody by TELNO"を表すアプリ名データやＪＡＲ保存先ＵＲＬデータ等の各種情報を記述したＡＤＦをＣＰサーバ装置１２に入力し、通信事業者より貸与されているツールを起動する指示を行う。
これにより、ＣＰサーバ装置１２のＣＰＵは、ハードディスク装置１２Ａよりツールを読み出し、入力されたＪＡＲファイルより、Ｊａｒハッシュ値データを算出する。また、ＣＰサーバ装置１２のＣＰＵは、証明書データより、証明書データハッシュ値を算出する。そして、ＣＰサーバ装置１２のＣＰＵは、算出したＪａｒハッシュ値データと、証明書データ、アプリ名データ“melody by TELNO"、ＪＡＲ保存先ＵＲＬデータ“http://www.b.co.jp/ melody.jar”とを含んだＡＤＦを作成する。
そして、ＣＰサーバ装置１２は、トラステッドサーバ装置１８に、作成したＡＤＦ、ＪＡＲファイル、証明書データハッシュ値とを送信する（ステップＳ１）。
【００２４】
トラステッドサーバ装置１８を所有する通信事業者は、上記ファイルを受信した後、まず、当該ファイルを作成したＣＰの安全性を審査する。
具体的には、通信事業者は、ＡＤＦに内包されている証明書データは、通信事業者が認めた正当なＣＡから発行されているか、証明書が複数のＣＡから発行されている場合には、当該複数の証明書によって構成される証明書チェーンは正当であるか、チェーンの上位の認証機関は通信業者が認めたＣＡであるか等の検証を行う。
次に、通信事業者は、ＣＰが作成したＪａｖａ−ＡＰソフトウェアの安全性を審査する。具体的には、例えば、通信事業者は、ＪＡＲファイルのプログラム記述を検査することにより、当該Ｊａｖａ−ＡＰソフトウェアにより実現されるアプリケーションが、携帯電話機１６に記憶されている個人情報を破壊したり、個人情報を流出させたりする可能性があるか否かを審査する。
そして、通信事業者は、上記検証結果、検査結果を基に、Ｊａｖａ−ＡＰソフトウェアが使用可能なＡＰＩやＵＲＬを表すパーミッション情報を決定する。通信事業者は、これらのデータをトラステッドサーバ装置１８に入力する。
【００２５】
トラステッドサーバ装置１８のＣＰＵは、ＣＰサーバ装置１２より受信したＡＤＦ、ＪＡＲファイルに対応するＳＤＦを生成する。
具体的には、ＣＰＵは、ＡＤＦファイルから読み出した“http://www.b.co.jp/ melody.jar”を表すＪＡＲ保存先ＵＲＬデータと、“ＹＥＳ”を表すＡＤＦ証明書フラグデータと、ＣＰサーバ装置１２より受信した証明書ハッシュ値データと、通信事業者によって入力されたパーミッション情報データとを含んだＳＤＦを生成する。
【００２６】
次に、トラステッドサーバ装置１８のＣＰＵは、受信したＡＤＦに、トラステッドＪａｖａ−ＡＰソフトウェアを識別するためのトラステッドＡＰＩＤデータ“０００１”と、対応するＳＤＦが記憶されているトラステッドサーバ装置１８における位置を特定するためのトラステッドサーバドメインデータ“http://www.ａ.co.jp/ melody.sdf"を付加する。そして、ＣＰＵは、当該データを付加したＡＤＦをＣＰサーバ装置１２に送信する（ステップＳ２）。
【００２７】
ＣＰサーバ装置１２のＣＰＵは、ＡＤＦを受信して、自装置のハードディスク装置１２Ａに当該ＡＤＦを記憶する。これにより、Ｊａｖａ−ＡＰソフトウェアは携帯電話機１６よりダウンロード可能な状態となる。
【００２８】
（２−２：携帯電話機１６によるＪａｖａ−ＡＰソフトウェアのダウンロード）次に、ユーザが携帯電話機１６を用いて、Ｊａｖａ−ＡＰソフトウェアのダウンロードの指示を行ったときの動作を、図６を参照して説明する。
ここでは、上記２−１：トラステッドＪａｖａ−ＡＰソフトウェアの作成処理が行われてから、ＡＤＦ、ＪＡＲファイルの内容は、変更されていないものとする。
【００２９】
ユーザは、携帯電話機１６の操作部１６Ｇを操作して、ＣＰサーバ装置１２よりトラステッドＪａｖａ−ＡＰソフトウェア「TELNO別着信メロディ変更アプリ」をダウンロードする指示を行う。
ＣＰＵ１６Ｂは、上記トラステッドＪａｖａ−ＡＰソフトウェアのダウンロードを要求する指示がＷｅｂブラウザから通知されると、当該トラステッドＪａｖａ−ＡＰソフトウェアを携帯電話機１６にダウンロードする処理を行う。
まず、ＣＰＵ１６Ｂは、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアに対応するＡＤＦをＣＰサーバ装置１２から取得する。具体的には、ＣＰＵ１６Ｂは、ＣＰサーバ装置１２との間にＴＣＰコネクションを確立し、このＡＤＦの送信を要求する内容の要求メッセージを生成・送信し（ステップＳ３）、このメッセージに対する応答メッセージを受信してＡＤＦを取得した後（ステップＳ４）、このＴＣＰコネクションを切断する。そして、ＣＰＵ１６Ｂは、応答メッセージに内包されているＡＤＦを不揮発性メモリ１６Ｄに書き込む。
【００３０】
次いで、ＣＰＵ１６Ｂは、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアがトラステッドＪａｖａ−ＡＰソフトウェアであるか否かを判定する。具体的には、ＣＰＵ１６Ｂは、受信したＡＤＦ内にトラステッドＡＰＩＤデータが記述されているか否かを確認し、記述されていれば、このＪａｖａ−ＡＰソフトウェアに対応するＳＤＦが存在する、即ち、トラステッドＪａｖａ−ＡＰソフトウェアであると判定し、その記述がなければ非トラステッドＪａｖａ−ＡＰソフトウェアであると判定する。
【００３１】
そして、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアが非トラステッドＪａｖａ−ＡＰソフトウェアであると判定された場合には、ＡＤＦに内包されているＪＡＲ保存先ＵＲＬデータで特定されるＵＲＬで表される位置より、ＪＡＲファイルがダウンロードされ、従来と同様のダウンロード処理が行われる。
【００３２】
ここでは、トラステッドＡＰＩＤデータに“０００１”を表すデータが記述されているので、ＣＰＵ１６Ｂは、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアがトラステッドＪａｖａ−ＡＰソフトウェアであると判定し、ＡＤＦに内包されているトラステッドサーバドメインデータで表されるＵＲＬ“http://www.a.co.jp/ melody.sdf"で特定される位置より、このソフトウェアに対応するＳＤＦを取得する。すなわち、ＣＰＵ１６Ｂは、トラステッドサーバ装置１８との間にＴＣＰコネクションを確立し、このコネクションを介して、ＡＤＦ内に内包されているトラステッドサーバドメインデータで表されるＵＲＬ "http://www.a.co.jp/melody.sdf"で特定されるＳＤＦの送信をトラステッドサーバ装置１８に要求する内容の要求メッセージを生成・送信する（ステップＳ５）。ＣＰＵ１６Ｂは、このメッセージに対する応答メッセージを受信してＳＤＦを取得した後（ステップＳ６）、上記コネクションを切断する。
【００３３】
次に、携帯電話機１６がＳＤＦを受信してからトラステッドＪａｖａ−ＡＰソフトウェアを検証する処理の動作を、図７を参照して説明する。
まず、ＣＰＵ１６Ｂは、ＡＤＦに証明書データが内包されているか否かを判定する（ステップＳ１０１）。具体的には、受信したＳＤＦに内包されているＡＤＦ証明書有無フラグデータが、“Ｙｅｓ”を表すデータか否かを判定する。ＡＤＦに証明書データが内包されていないと判定された場合には（ステップＳ１０１；Ｎｏ）、証明書データの検証は行わずに、ＪＡＲファイルのダウンロードを行う（ステップＳ１０４）。
【００３４】
ここでは、ＡＤＦ証明書有無フラグデータが“Ｙｅｓ”を表すデータであるため、ＣＰＵ１６Ｂは、ＡＤＦに証明書データが内包されていると判定し（ステップＳ１０１；Ｙｅｓ）、ＡＤＦに内包されている証明書データのハッシュ値を算出する（ステップＳ１０２）。
そして、ＣＰＵ１６Ｂは、ＡＤＦに内包されている証明書データから算出したハッシュ値と、ＳＤＦに予め内包されている証明書ハッシュ値データで表される証明書ハッシュ値とを比較し、一致しているか否か判定する（ステップＳ１０３）。一致していない場合には（ステップＳ１０３；Ｎｏ）、通信事業者がＳＤＦを作成した時点以降に、ＡＤＦに内包されている証明書データが変更されている可能性があるため、ユーザにダウンロード失敗の通知を行うと共に、ＣＰＵ１６ＢはＡＤＦを削除して、携帯電話機１６をＡＤＦダウンロードする前の状態に戻し（ステップＳ１０７）、処理を終了する。
【００３５】
ここでは、ハッシュ値は一致しているため（ステップＳ１０３；Ｙｅｓ）、ＣＰＵ１６Ｂは、ＪＡＲファイルをダウンロードする（ステップＳ１０４）。具体的には、ＣＰＵ１６Ｂは、ＡＤＦに内包されているＪＡＲ保存先ＵＲＬデータで表されるＵＲＬ“http://www.b.co.jp/ melody .jar”で特定されるＪＡＲファイルを記憶したＣＰサーバ装置１２との間にＴＣＰコネクションを確立し、このＪＡＲファイルの送信を要求する内容の要求メッセージを生成・送信し（図６のステップＳ７）、このメッセージに対する応答メッセージを受信してＪＡＲファイルを取得し（図６のステップＳ８）、このＴＣＰコネクションを切断する。
【００３６】
次に、ＣＰＵ１６Ｂは、ダウンロードしたＪＡＲファイルのハッシュ値を算出する（ステップＳ１０５）。そして、ＣＰＵ１６Ｂは、算出したハッシュ値と、ＡＤＦファイルに内包されているＪａｒハッシュ値データで表されるハッシュ値とを比較し、ハッシュ値が一致しているか否かを判定する（ステップＳ１０６）。ハッシュ値が一致していない場合には（ステップＳ１０６；Ｎｏ）、ＪＡＲファイルが作成された時点以降に、ＪＡＲファイルが改竄、変更等されている可能性があるため、ＣＰＵ１６Ｂは、ダウンロードに失敗した旨をユーザに通知するとともに、ダウンロードしたＪＡＲファイルとＡＤＦとを削除して携帯電話機１６の状態をＡＤＦダウンロード以前の状態に戻し（ステップＳ１０８）、処理を終了する。
【００３７】
ここでは、ハッシュ値が一致しているため（ステップＳ１０６；Ｙｅｓ）、ＣＰＵ１６Ｂは、Ｊａｖａ−ＡＰソフトウェア取得に成功した旨をユーザに通知すると共に、取得したＪＡＲファイル、ＳＤＦを不揮発性メモリ１６Ｄに書き込み（ステップＳ１０９）、処理を終了する。
以降、ＣＰＵ１６は、トラステッドＪａｖａ−ＡＰソフトウェア「TELNO別着信メロディ変更アプリ」を実行するに際し、ＪＡＭによって、トラステッドＪａｖａ−ＡＰの挙動を監視し、パーミッション情報データに含まれる個人情報取得データ、設定更新データ、アクセス許可ＵＲＬデータによって、電話帳参照ＡＰＩ、移動機設定更新用ＡＰＩ、ＵＲＬ等の使用を許可／制限する。
【００３８】
以上説明したように、本実施形態によれば、ＡＤＦに内包されている証明書データから算出したハッシュ値と、予めＳＤＦに算出して記憶しておいたＡＤＦに内包されていた証明書データのハッシュ値とが一致しているのを確認することによって、通信事業者がＣＰから申請された証明書データを検証／許可した後にＡＤＦ内の証明書データが変更、改竄されていないことを確認することができる。つまり、ＳＤＦとＡＤＦとの組み合わせの正当性を判定することができる。なお、ＡＤＦ内の証明書データが同一の証明書データで上書きされた場合にはハッシュ値が一致することになり、ＡＤＦがＳＤＦ作成時のＡＤＦと異なる場合にもＳＤＦとＡＤＦとの組み合わせが正当であると判定されることになる。つまり、上記の検証／許可の後にＣＰがＡＤＦを変更しても、ＳＤＦとＡＤＦとの組み合わせは正当と判定される。換言すれば、ＳＤＦとＡＤＦとの組み合わせについては広い意味での正当性が判定される。これにより、ＣＰは、バグフィックス等のためにＣＰがＪＡＲファイル及びＡＤＦを変更しても、上記の検証／許可をやり直さなくてよい。
また、本実施形態によれば、ＪＡＲファイルから算出したハッシュ値と、予めＡＤＦに算出して記憶しておいたＪＡＲファイルのハッシュ値とが一致していることを確認することによって、ＡＤＦとＪＡＲファイルとの組み合わせの正当性を判定することができる。これにより、例えば、第３者によって改竄されたＪＡＲファイルの起動を禁止したりすることができる。
また、本実施形態によれば、記録媒体を予め配布したりせずとも、移動機において、ファイルの組み合わせの正当性を判定することができる。
このように、本実施形態によれば、ダウンロードした関連するＡＤＦ、ＳＤＦ及びＪＡＲファイルの組み合わせの正当性を容易に判定することができる。
また、ハッシュ値の算出処理は公開鍵を用いた一般的な認証処理に比較して遥かに軽いから、本実施形態によれば、移動機のように情報処理能力が低い装置であっても、組み合わせの正当性の判定を容易に行うことができる。
【００３９】
（３：変形例）
本発明は上述した実施形態に限定されず、以下のような種々の変更が可能である。
【００４０】
（１）上記実施形態においては、ＡＤＦに内包されている証明書データのハッシュ値をこのＡＤＦに対応するＳＤＦに内包させる一方、携帯電話機１６においてＡＤＦの証明書データのハッシュ値を算出し、これら両者を比較してＳＤＦとＡＤＦの対応関係の正当性を確認するようにしていたが、ＡＤＦ内の証明書データ以外のデータのハッシュ値を用いるように実施形態を変形してもよい。例えば、ＡＤＦ全体のハッシュ値を用いるようにしてもよい。
また、同様に、上記の実施形態においては、ＪＡＲファイルのハッシュ値をこのＪＡＲファイルに対応するＡＤＦに内包させる一方、携帯電話機においてＪＡＲファイルのハッシュ値を算出し、これら両者を比較してＪＡＲファイルとＡＤＦとの対応関係の正当性を確認するようにしていたが、例えば、ＪＡＲファイルの一部のハッシュ値を用いるように実施形態を変形してもよい。
【００４１】
（２）上記実施形態においては、SHA-1のアルゴリズムによるハッシュ関数を用いてハッシュ値を算出することにより、ダウンロードした関連する複数のファイルの正当性を判定したが、用いるハッシュ関数は、これに限定されない。例えば、MD5のアルゴリズムによるハッシュ関数を用いてもよい。また、ハッシュ関数に限らず、任意の一方向関数を用いることができる。
【００４２】
（３）上記実施形態においては、移動機において判定を行うプログラムをＲＯＭに記憶させておくようにしたが、ＥＥＰＲＯＭに記憶させておくようにしてもよいし、移動機通信網を介してダウンロードしてＥＥＰＲＯＭに書き込むようにしてもよい。また、当該プログラムを記録した記録媒体を移動機に装着し、このプログラムを移動機が実行するようにしてもよい。
【００４３】
（４）上記実施形態においては、トラステッドサーバドメインデータをＡＤＦ内に内包させて、トラステッドＪａｖａ−ＡＰソフトウェアに対応するＳＤＦを特定するようにしたが、ＳＤＦを特定する方法はこれに限定されない。例えば、トラステッドサーバ装置１８を特定するためのＵＲＬを表すデータを予め携帯電話機１６に記憶させておき、トラステッドサーバ装置１８にＳＤＦの送信を要求するための要求メッセージを作成する際に、トラステッドサーバ装置１８を特定するためのＵＲＬを表すデータと、当該ＵＲＬにおいてトラステッドＪａｖａ−ＡＰソフトウェアに対応するＳＤＦ（のファイル名）を識別するためのトラステッドＡＰＩＤデータとを内包させることによって、ＳＤＦを特定するようにしてもよい。
【００４４】
【発明の効果】
本発明によれば、ダウンロードした関連する複数のファイルの組み合わせの正当性を判定することができる。
【図面の簡単な説明】
【図１】 本発明の実施の一形態に係る配信システムの構成を示すブロック図である。
【図２】 同システムに特有のＡＤＦのデータ構成を示す概念図である。
【図３】 同システムにおいてトラステッドサーバ装置に記憶されているＳＤＦのデータ構成を示す概念図である。
【図４】 同システムを構成する携帯電話機の構成を示すブロック図である。
【図５】 同携帯電話機の機能構成を示す概念図である。
【図６】 本発明の実施形態におけるデータの流れを示すためのシーケンスーチャートである。
【図７】 同携帯電話機の検証処理の流れを示すためのフローチャートである。
【符号の説明】
１１ インターネット、１２ ＣＰサーバ装置、１５ 移動パケット通信網、１６ 携帯電話機、１７ ゲートウェイサーバ装置、１８ トラステッドサーバ装置、１６Ｄ 不揮発性メモリ、１６Ａ ＲＯＭ、１６Ｂ ＣＰＵ、１６Ｃ 表示部、１６Ｅ ＲＡＭ、１６Ｆ 通信部、１６Ｇ 操作部。
【発明の属する技術分野】
本発明は、ダウンロードしたデータの正当性を判定する技術に関する。
【０００２】
【従来の技術】
近年、プログラム等のソフトウェアをインターネット等のネットワーク経由で通信端末にダウンロードして使用することが広く行われている。このような環境下でソフトウェアの改竄や「なりすまし」などの不正行為を完全に排除することは困難であるから、不正なソフトウェアが通信端末にダウンロードされてしまう虞がある。このような事情から、ダウンロードしたソフトウェアの正当性を確認するための技術が提案されている。例えば、ダウンロードするソフトウェアのハッシュ値を記録したＩＣ（Integrated Circuit）カードを当該ソフトウェアの提供元が予めユーザに貸与する方法が提案されている（特許文献１参照）。この方法では、ユーザが通信端末にＩＣカードを装填しソフトウェアのダウンロードを指示すると、通信端末はソフトウェアをダウンロードし、ハッシュ関数を用いて当該ソフトウェアに対するハッシュ値を算出し、このハッシュ値をＩＣカードに記録されたハッシュ値と比較し、両者が一致したら、受信したソフトウェアが正当であると判断する。
【０００３】
【特許文献】
特開平１１−２０５７６７号公報
【０００４】
【発明が解決しようとする課題】
ところで、Ｊａｖａ−ＡＰ（アプリケーション）ソフトウェアをダウンロードし実行することができる携帯電話機が普及している。この種の携帯電話機へＪａｖａ−ＡＰソフトウェアをダウンロードする際には、ＷＷＷ（World Wide Web）を構成するサーバ装置からＡＤＦ（Application Descrcptor File）がダウンロードされ、次いでＪＡＲ（Java Archive）ファイルがダウンロードされることになる。これらのファイルも不正行為の対象となり得るから、ダウンロードしたソフトウェアの正当性の確認が必要である。
ところで、ＡＤＦは対応するＪＡＲファイルの作成日付などのＪＡＲファイルに関する情報を内包していることから、対応するＪＡＲファイルが更新されると更新されねばならない。つまり、ＡＤＦとＪＡＲファイルには正当な組み合わせが存在する。したがって、Ｊａｖａ−ＡＰソフトウェアの正当性の確認には、ＡＤＦ及びＪＡＲファイルの組み合わせの正当性の確認が必須である。
ＡＤＦ及びＪＡＲファイルの組み合わせの正当性を確認する方法としては、正当な組み合わせのＡＤＦおよびＪＡＲファイルを一体化してからハッシュ値を算出し、このようなハッシュ値を特許文献に記載された技術において用いるようにする方法が考えられる。しかし、Ｊａｖａ−ＡＰソフトウェアは、その提供者によりバグが修正されたりバージョンアップされたりするものであるから、その度にハッシュ値が変わることになる。したがって、Ｊａｖａ−ＡＰソフトウェアの提供者であるＣＰ（Contents Provider）は、当該Ｊａｖａ−ＡＰソフトウェアの変更の都度、ハッシュ値を記録したＩＣカードを当該Ｊａｖａ−ＡＰソフトウェアの利用者へ配布しなければならない。これは非現実的である。
【０００５】
本発明は、上述した事情に鑑みて為されたものであり、ダウンロードした関連する複数のファイルの組み合わせの正当性を容易に判定することができる技術を提供することを目的としている。
【０００６】
【課題を解決するための手段】
上述した課題を解決するために、本発明は、第１のサーバ装置から、証明用データおよびアプリケーションファイルの格納場所データを含むアプリケーション記述ファイルを受信し、続いて、前記第１のサーバ装置とは異なる第２のサーバ装置から、関数値を含むセキュリティ記述ファイルを受信する受信手段と、一方向関数の変数に前記アプリケーション記述ファイルに含まれる証明用データの全部もしくは一部を代入した場合の関数値を算出する算出手段と、前記セキュリティ記述ファイルに含まれる関数値と前記算出手段により算出された関数値とを比較し、それらの関数値が一致するか否かを判定する比較手段とを備え、前記受信手段は、前記比較手段により関数値が一致すると判定された場合にのみ、前記アプリケーション記述ファイルに含まれるアプリケーションファイルの格納場所データにより示される格納場所から、前記アプリケーションファイルを受信することを特徴とする端末装置を提供する。
また、本発明は、コンピュータに、第１のサーバ装置から、証明用データおよびアプリケーションファイルの格納場所データを含むアプリケーション記述ファイルを受信する処理と、
前記第１のサーバ装置とは異なる第２のサーバ装置から、関数値を含むセキュリティ記述ファイルを受信する処理と、一方向関数の変数に前記アプリケーション記述ファイルに含まれる証明用データの全部もしくは一部を代入した場合の関数値を算出する処理と、前記セキュリティ記述ファイルに含まれる関数値と前記算出した関数値とを比較し、それらの関数値が一致するか否かを判定する処理と、前記判定において関数値が一致すると判定した場合にのみ、前記アプリケーション記述ファイルに含まれるアプリケーションファイルの格納場所データにより示される格納場所から、前記アプリケーションファイルを受信する処理とを実行させることを特徴とするプログラムを提供する。
【０００８】
【発明の実施の形態】
以下、図面を参照して、本発明の実施の一形態である配信システムについて図面を参照して説明する。なお、図面において、共通する部分には同一の符号が付されている。
この配信システムは、ユーザが、携帯電話機を操作して所望のＪａｖａ−ＡＰソフトウェアを携帯電話機にダウンロードおよびインストールし、携帯電話機において起動するためのものである。
【０００９】
本システムにおけるＪａｖａ−ＡＰソフトウェアのダウンロードは、まず、携帯電話機が、Ｊａｖａ−ＡＰソフトウェアの内容を説明した画面を表示した後、この携帯電話機のユーザが所望するＪａｖａ−ＡＰソフトウェアに対応したＡＤＦを受信し、次いで、上記Ｊａｖａ−ＡＰソフトウェアに対応したＳＤＦ（セキュリティ記述ファイル）と称せられるファイルを受信し、最後にＪＡＲファイルを受信するという手順で行われる。ここで、ＳＤＦは、携帯電話機内におけるＪａｖａ−ＡＰソフトウェアの挙動を制限する内容が記述されたファイルである。よって、携帯電話機は、インストールしたＪａｖａ−ＡＰソフトウェアを実行するに際しては、このＳＤＦの記述内容に従うこととなる。このＳＤＦは、Ｊａｖａ−ＡＰソフトウェアについて上記通信事業者とこのＪａｖａ−ＡＰソフトウェアを提供するＣＰとの間で結ばれた契約に従って通信事業者により作成される。
ところで、本実施形態では、対応するＳＤＦが存在するＪａｖａ−ＡＰソフトウェアと、対応するＳＤＦが存在しないＪａｖａ−ＡＰソフトウェアとが用意されている。前者のＪａｖａ−ＡＰソフトウェアは、対応するＳＤＦに記述された許可情報による挙動制限を受けるものであり、通信事業者がＣＰとの契約に基づいて信頼性を保証したものであることから、以降の説明では、前者を「トラステッドＪａｖａ−ＡＰソフトウェア」と呼ぶ。これに対応して、後者を「非トラステッドＪａｖａ−ＡＰソフトウェア」と呼ぶ。
なお、本実施形態の説明において「Ｊａｖａ−ＡＰソフトウェア」と言う場合には、それが「トラステッドＪａｖａ−ＡＰソフトウェア」であればＡＤＦ、ＳＤＦ及びＪＡＲファイルを含む概念とし、「非トラステッドＪａｖａ−ＡＰソフトウェア」であればＡＤＦ及びＪＡＲファイルを含む概念とする。
【００１０】
（１：構成）
図１に示されるように、この配信システムは、インターネット１１に接続されたＣＰサーバ装置１２と、通信事業者が移動パケット通信サービスを提供するために用いる移動パケット通信網１５と、この移動パケット通信網１５を介して通信相手とパケット通信を行う携帯電話機１６と、インターネット１１と移動パケット通信網１５とを相互接続するゲートウェイサーバ装置１７と、ゲートウェイサーバ装置１７に接続されたトラステッドサーバ装置１８とを有する。この配信システムには多数の携帯電話機が存在するが、図面が繁雑になるのを避けるために一つの携帯電話機１６のみが図示されている。これと同様の理由により、１つのＣＰサーバ装置１２のみが図示されている。
【００１１】
以下、この配信システムの各構成要素について詳細に説明する。
（１−１：ＣＰサーバ装置）
ＣＰサーバ装置１２は、一般的なＷＷＷサーバ装置と同様のハードウェアおよび機能を有する。また、ＣＰサーバ装置１２はハードディスク装置１２Ａを有する。ＣＰサーバ装置１２は、ＴＣＰ（Transmission Control Protocol）に従ったコネクション（以後、ＴＣＰコネクション）を通信相手との間に確立し、このコネクションを介してＨＴＴＰ（Hypertext Transfer Protocol）のＧＥＴメソッドを用いた要求メッセージを受信すると、このＧＥＴメソッドに指定されたＵＲＬ（Uniform Resource Locator）で特定されるファイルを自身のハードディスク装置１２Ａから読み出し、このファイルを含むＨＴＴＰの応答メッセージを返送してこのコネクションを切断する。
【００１２】
ハードディスク装置１２Ａは、Ｊａｖａプログラミング言語を用いて作成されたプログラムを内包するＪＡＲファイルと、このＪＡＲファイルに関する情報を記述したＡＤＦを記憶し得る。
ＣＰサーバ装置１２に記憶され得るＡＤＦには、トラステッドＪａｖａ−ＡＰソフトウェアに対応したＡＤＦと、非トラステッドＪａｖａ−ＡＰソフトウェアに対応したＡＤＦとがある。これらのいずれのＡＤＦにおいても、Ｊａｖａ−ＡＰソフトウェアの名称や、ＷＷＷにおけるＪＡＲファイルの記憶位置を示すＪＡＲ保存先ＵＲＬデータや、ＪＡＲファイルのサイズを示す情報や、ＪＡＲファイルの最終変更日時を示す情報等の、従来からＡＤＦに内包されている情報が記述されている。これに加えて、トラステッドＪａｖａ−ＡＰソフトウェアに対応したＡＤＦは、図２に示されるように、トラステッドＪａｖａ−ＡＰソフトウェアである場合に記述されるトラステッドＡＰＩＤデータ、ＳＤＦがＷＷＷにおいて記憶されている位置を示すトラステッドサーバドメインと、図示せぬＣＡ（認証局；Certificate Authority）からＣＰサーバ装置１２を運用するＣＰへ提供された証明書データと、ＪＡＲファイルのハッシュ値を表すＪａｒハッシュ値データが内包されている。
ここで、ハッシュ値とは、任意のデータをハッシュ関数に代入することにより算出される一定長の算出値である。ハッシュ関数は一方向関数の一種である。
「一方向関数」とは、y = f(x) は高速に計算できるが，y から x を求める f の逆関数は存在せず， x を求めるには膨大な計算時間を要し、ｘを求めるのは事実上不可能な関数をいう。
また、ＣＰサーバ装置１２は、ＣＰの指示に従って上記各ファイルを作成および更新する機能を備えている。また、ハードディスク装置１２Ａは、ＣＰが認証局に認証されていることを証明するための、ＣＡが発行した証明書データを記憶し得る。また、ＣＰサーバ装置１２は、ＪＡＲファイルや証明書データから、ＳＨＡ−１のハッシュアルゴリズムに従ってハッシュ値を算出するプログラムを記憶し得る。
【００１３】
（１−２：ゲートウェイサーバ装置）
ゲートウェイサーバ装置１７は、前述の通信事業者により管理されており、移動パケット通信網１５とインターネット１１とを接続する一般的なゲートウェイサーバ装置と同様の構成を有し、移動パケット通信網１５とインターネット１１との間で相互に通信を中継する。
【００１４】
（１−３：トラステッドサーバ装置）
トラステッドサーバ装置１８は前述の通信事業者により管理されており、ＷＷＷを構成し、一般的なＷＷＷサーバ装置と同様のハードウェアおよび機能を有する。また、トラステッドサーバ装置１８はハードディスク装置１８Ａを有し、ＴＣＰコネクションを通信相手との間に確立し、このコネクションを介してＨＴＴＰのＧＥＴメソッドを用いた要求メッセージを受信すると、このＧＥＴメソッドに指定されたＵＲＬで特定されるファイルをハードディスク装置１８Ａから読み出し、このファイルを含むＨＴＴＰの応答メッセージを返送してこのコネクションを切断する。
【００１５】
ハードディスク装置１８Ａに記憶されるファイルとしては、複数のトラステッドＪａｖａ−ＡＰソフトウェアに対応した複数のＳＤＦがある。
ＳＤＦは、トラステッドＪａｖａ−ＡＰソフトウェア毎に通信事業者により作成されるファイルである。図３に示されるように、ＳＤＦは、トラステッドＪａｖａ−ＡＰソフトウェアが記憶されている位置を表すＪＡＲ保存先ＵＲＬデータと、対応するＡＤＦファイルに証明書データが内包されているか否かを表すＡＤＦ証明書有無フラグデータと、ＡＤＦに含まれている証明書データから算出したハッシュ値を表す証明書ハッシュ値データと、トラステッドＪａｖａ−ＡＰソフトウェアが使用を許可されているＡＰＩ（Application Program Interface）やＵＲＬを表すパーミッション情報データとを内包している。
ここで、パーミッション情報データには、電話帳参照、未読メール取得、発着信情報取得ＡＰＩの使用を許可するか否かを表す個人情報取得データや、着信メロディ、発着信画像、待ち受け画像登録など、携帯電話機設定更新用ＡＰＩの使用を許可するか否かを表す設定更新データや、アクセスを許可するＵＲＬを表すアクセス許可ＵＲＬデータが含まれている。
【００１６】
（１−４：携帯電話機）
携帯電話機１６は、図４に示されるように、ＯＳ（オペレーティングシステム）ソフトウェア、Ｊａｖａ−ＡＰを実行する環境を構築するためのＪａｖａ−ＡＰ環境ソフトウェア、および各種ネイティブＡＰソフトウェア等を記憶したＲＯＭ１６Ａと、ＲＯＭ１６Ａからプログラムを読み出して実行するＣＰＵ１６Ｂと、表示部１６Ｃと、不揮発性メモリ１６Ｄと、ＲＡＭ１６Ｅと、通信部１６Ｆと、操作部１６Ｇとを有し、これらはバスによって接続されている。
【００１７】
表示部１６Ｃは、例えば液晶表示パネルやパネル駆動回路を有し、ＣＰＵ１６Ｂから供給されるデータで表される画像を表示する。
不揮発性メモリ１６Ｄは、例えば、ＳＲＡＭ（Static Random Access Memory）やＥＥＰＲＯＭ（Ellectrically Erasable and Programmable Read Only Memory）である。また、この不揮発性メモリ１６Ｄは、ＷＷＷを構成するサーバ装置からダウンロードされたＪａｖａ−ＡＰソフトウェアを記憶するために使用される。
また、不揮発性メモリ１６Ｄには、ＳＨＡ−１のハッシュアルゴリズムに従って、ハッシュ値を計算するプログラムが記憶されている。
【００１８】
通信部１６Ｆは、アンテナや無線送受信部を備え、移動パケット通信網１５と無線パケット通信を行うものであり、ＣＰＵ１６Ｂと移動パケット通信網１５との間でパケットを中継する。また、通信部１６Ｆは、通話のためのマイク、スピーカ等を備えており、これによって携帯電話機１６は図示せぬ移動電話網を介して回線交換による通話を行うこともできる。
操作部１６Ｇは操作子を備え、操作子の操作に応じた信号をＣＰＵ１６Ｂへ供給する。
【００１９】
（２．動作）
次に、上述した通信システムの動作例について説明する。
携帯電話機１６の図示せぬ電源が投入されると、ＣＰＵ１６ＢはＲＡＭ１６Ｅをワークエリアとし、ＲＯＭ１６ＡからＯＳソフトウェアに内包されているプログラムを読み出して実行する。これにより、ＣＰＵ１６ＢにはＵＩ（User Interface；ユーザインターフェース）等を提供する機能が実現される。すなわち、ＣＰＵ１６ＢはＯＳソフトウェアを起動して携帯電話機１６内にて図５に示すＯＳを実現する。ＯＳは操作部１６Ｇから供給される信号とＵＩの状態とに基づいてユーザの指示を特定し、この指示に応じた処理を行う。
【００２０】
例えば、ユーザの指示がＪａｖａ−ＡＰソフトウェアのダウンロードを要求するものである場合には、Ｗｅｂブラウザは、この指示を次に述べるＪＡＭ（Java Application Manager）に通知する。
また、ユーザの指示がネイティブＡＰソフトウェアであるＪＡＭソフトウェアの起動を要求するものであれば、ＯＳはＪＡＭソフトウェアを起動して携帯電話機１６内にてＪＡＭを実現する。ＪＡＭは、携帯電話機１６にインストールされているＪａｖａ−ＡＰソフトウェアの一覧をユーザに提示し、ユーザにより指定されたＪａｖａ−ＡＰソフトウェアを起動する。具体的には、ＪＡＭに対するユーザの指示がＪａｖａ−ＡＰソフトウェアの起動を要求するものであれば、Ｊａｖａ−ＡＰ環境ソフトウェアが起動されて携帯電話機１６内にＪａｖａ−ＡＰ環境が実現され、次に、指定されたＪａｖａ−ＡＰソフトウェアが起動されてＪａｖａ−ＡＰ環境内にＪａｖａ−ＡＰが実現される。Ｊａｖａ−ＡＰ環境は、携帯電話機１６のような携帯端末に適した軽量のＪａｖａ仮想マシンであるＫＶＭ（K Vartual Machine）と、Ｊａｖａ−ＡＰに対して提供されるＡＰＩ（Application Interface）とを有する。Ｊａｖａ−ＡＰに対して提供されるＡＰＩは、トラステッドＪａｖａ−ＡＰソフトウェアによって実現されるＪａｖａ−ＡＰに使用が許可されるＳＤＦのパーミッション情報データで指定されるＡＰＩと、あらゆるＪａｖａ−ＡＰに使用が許可される非トラステッドＡＰＩとに分けられる。
【００２１】
なお、以下に述べる動作において、ＴＣＰコネクションの確立および切断動作についてはＨＴＴＰにおける一般的な動作となることから、それらの説明を省略する。また、前述のＯＳ、Ｗｅｂブラウザ、ＪＡＭ、Ｊａｖａ−ＡＰ、ネイティブＡＰ等が行う動作は携帯電話機１６の動作となることから、以降の説明では、動作の主体を携帯電話機１６とする。
【００２２】
（２−１：トラステッドＪａｖａ−ＡＰソフトウェアの作成）
まず、ＣＰの管理するＣＰサーバ装置１２が、トラステッドＪａｖａ−ＡＰソフトウェアを作成する動作を、図６を参照して説明する。
ここで、ＣＰは、予め、入力されたＪＡＲファイルや証明書データより、ＳＨＡ−１のハッシュアルゴリズムに従ってハッシュ値を算出するプログラム（以下、「ツール」という）を通信事業者より貸与されており、当該プログラムは、ＣＰサーバ装置１２のハードディスク装置１２Ａに記憶されているものとする。また、ＣＰサーバ装置１２のハードディスク装置１２Ａには、予めＣＡより取得した証明書データが記憶されているものとする。
【００２３】
まず、ＣＰは、ＣＰが所望するアプリケーション「TELNO別着信メロディ変更アプリ」を実現させるためのプログラムを作成し、当該プログラムを内包したＪＡＲファイルを“http://www.b.co.jp/ melody.jar”で特定される位置に記憶させるよう入力する。また、ＣＰは、当該プログラムのアプリ名“melody by TELNO"を表すアプリ名データやＪＡＲ保存先ＵＲＬデータ等の各種情報を記述したＡＤＦをＣＰサーバ装置１２に入力し、通信事業者より貸与されているツールを起動する指示を行う。
これにより、ＣＰサーバ装置１２のＣＰＵは、ハードディスク装置１２Ａよりツールを読み出し、入力されたＪＡＲファイルより、Ｊａｒハッシュ値データを算出する。また、ＣＰサーバ装置１２のＣＰＵは、証明書データより、証明書データハッシュ値を算出する。そして、ＣＰサーバ装置１２のＣＰＵは、算出したＪａｒハッシュ値データと、証明書データ、アプリ名データ“melody by TELNO"、ＪＡＲ保存先ＵＲＬデータ“http://www.b.co.jp/ melody.jar”とを含んだＡＤＦを作成する。
そして、ＣＰサーバ装置１２は、トラステッドサーバ装置１８に、作成したＡＤＦ、ＪＡＲファイル、証明書データハッシュ値とを送信する（ステップＳ１）。
【００２４】
トラステッドサーバ装置１８を所有する通信事業者は、上記ファイルを受信した後、まず、当該ファイルを作成したＣＰの安全性を審査する。
具体的には、通信事業者は、ＡＤＦに内包されている証明書データは、通信事業者が認めた正当なＣＡから発行されているか、証明書が複数のＣＡから発行されている場合には、当該複数の証明書によって構成される証明書チェーンは正当であるか、チェーンの上位の認証機関は通信業者が認めたＣＡであるか等の検証を行う。
次に、通信事業者は、ＣＰが作成したＪａｖａ−ＡＰソフトウェアの安全性を審査する。具体的には、例えば、通信事業者は、ＪＡＲファイルのプログラム記述を検査することにより、当該Ｊａｖａ−ＡＰソフトウェアにより実現されるアプリケーションが、携帯電話機１６に記憶されている個人情報を破壊したり、個人情報を流出させたりする可能性があるか否かを審査する。
そして、通信事業者は、上記検証結果、検査結果を基に、Ｊａｖａ−ＡＰソフトウェアが使用可能なＡＰＩやＵＲＬを表すパーミッション情報を決定する。通信事業者は、これらのデータをトラステッドサーバ装置１８に入力する。
【００２５】
トラステッドサーバ装置１８のＣＰＵは、ＣＰサーバ装置１２より受信したＡＤＦ、ＪＡＲファイルに対応するＳＤＦを生成する。
具体的には、ＣＰＵは、ＡＤＦファイルから読み出した“http://www.b.co.jp/ melody.jar”を表すＪＡＲ保存先ＵＲＬデータと、“ＹＥＳ”を表すＡＤＦ証明書フラグデータと、ＣＰサーバ装置１２より受信した証明書ハッシュ値データと、通信事業者によって入力されたパーミッション情報データとを含んだＳＤＦを生成する。
【００２６】
次に、トラステッドサーバ装置１８のＣＰＵは、受信したＡＤＦに、トラステッドＪａｖａ−ＡＰソフトウェアを識別するためのトラステッドＡＰＩＤデータ“０００１”と、対応するＳＤＦが記憶されているトラステッドサーバ装置１８における位置を特定するためのトラステッドサーバドメインデータ“http://www.ａ.co.jp/ melody.sdf"を付加する。そして、ＣＰＵは、当該データを付加したＡＤＦをＣＰサーバ装置１２に送信する（ステップＳ２）。
【００２７】
ＣＰサーバ装置１２のＣＰＵは、ＡＤＦを受信して、自装置のハードディスク装置１２Ａに当該ＡＤＦを記憶する。これにより、Ｊａｖａ−ＡＰソフトウェアは携帯電話機１６よりダウンロード可能な状態となる。
【００２８】
（２−２：携帯電話機１６によるＪａｖａ−ＡＰソフトウェアのダウンロード）次に、ユーザが携帯電話機１６を用いて、Ｊａｖａ−ＡＰソフトウェアのダウンロードの指示を行ったときの動作を、図６を参照して説明する。
ここでは、上記２−１：トラステッドＪａｖａ−ＡＰソフトウェアの作成処理が行われてから、ＡＤＦ、ＪＡＲファイルの内容は、変更されていないものとする。
【００２９】
ユーザは、携帯電話機１６の操作部１６Ｇを操作して、ＣＰサーバ装置１２よりトラステッドＪａｖａ−ＡＰソフトウェア「TELNO別着信メロディ変更アプリ」をダウンロードする指示を行う。
ＣＰＵ１６Ｂは、上記トラステッドＪａｖａ−ＡＰソフトウェアのダウンロードを要求する指示がＷｅｂブラウザから通知されると、当該トラステッドＪａｖａ−ＡＰソフトウェアを携帯電話機１６にダウンロードする処理を行う。
まず、ＣＰＵ１６Ｂは、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアに対応するＡＤＦをＣＰサーバ装置１２から取得する。具体的には、ＣＰＵ１６Ｂは、ＣＰサーバ装置１２との間にＴＣＰコネクションを確立し、このＡＤＦの送信を要求する内容の要求メッセージを生成・送信し（ステップＳ３）、このメッセージに対する応答メッセージを受信してＡＤＦを取得した後（ステップＳ４）、このＴＣＰコネクションを切断する。そして、ＣＰＵ１６Ｂは、応答メッセージに内包されているＡＤＦを不揮発性メモリ１６Ｄに書き込む。
【００３０】
次いで、ＣＰＵ１６Ｂは、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアがトラステッドＪａｖａ−ＡＰソフトウェアであるか否かを判定する。具体的には、ＣＰＵ１６Ｂは、受信したＡＤＦ内にトラステッドＡＰＩＤデータが記述されているか否かを確認し、記述されていれば、このＪａｖａ−ＡＰソフトウェアに対応するＳＤＦが存在する、即ち、トラステッドＪａｖａ−ＡＰソフトウェアであると判定し、その記述がなければ非トラステッドＪａｖａ−ＡＰソフトウェアであると判定する。
【００３１】
そして、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアが非トラステッドＪａｖａ−ＡＰソフトウェアであると判定された場合には、ＡＤＦに内包されているＪＡＲ保存先ＵＲＬデータで特定されるＵＲＬで表される位置より、ＪＡＲファイルがダウンロードされ、従来と同様のダウンロード処理が行われる。
【００３２】
ここでは、トラステッドＡＰＩＤデータに“０００１”を表すデータが記述されているので、ＣＰＵ１６Ｂは、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアがトラステッドＪａｖａ−ＡＰソフトウェアであると判定し、ＡＤＦに内包されているトラステッドサーバドメインデータで表されるＵＲＬ“http://www.a.co.jp/ melody.sdf"で特定される位置より、このソフトウェアに対応するＳＤＦを取得する。すなわち、ＣＰＵ１６Ｂは、トラステッドサーバ装置１８との間にＴＣＰコネクションを確立し、このコネクションを介して、ＡＤＦ内に内包されているトラステッドサーバドメインデータで表されるＵＲＬ "http://www.a.co.jp/melody.sdf"で特定されるＳＤＦの送信をトラステッドサーバ装置１８に要求する内容の要求メッセージを生成・送信する（ステップＳ５）。ＣＰＵ１６Ｂは、このメッセージに対する応答メッセージを受信してＳＤＦを取得した後（ステップＳ６）、上記コネクションを切断する。
【００３３】
次に、携帯電話機１６がＳＤＦを受信してからトラステッドＪａｖａ−ＡＰソフトウェアを検証する処理の動作を、図７を参照して説明する。
まず、ＣＰＵ１６Ｂは、ＡＤＦに証明書データが内包されているか否かを判定する（ステップＳ１０１）。具体的には、受信したＳＤＦに内包されているＡＤＦ証明書有無フラグデータが、“Ｙｅｓ”を表すデータか否かを判定する。ＡＤＦに証明書データが内包されていないと判定された場合には（ステップＳ１０１；Ｎｏ）、証明書データの検証は行わずに、ＪＡＲファイルのダウンロードを行う（ステップＳ１０４）。
【００３４】
ここでは、ＡＤＦ証明書有無フラグデータが“Ｙｅｓ”を表すデータであるため、ＣＰＵ１６Ｂは、ＡＤＦに証明書データが内包されていると判定し（ステップＳ１０１；Ｙｅｓ）、ＡＤＦに内包されている証明書データのハッシュ値を算出する（ステップＳ１０２）。
そして、ＣＰＵ１６Ｂは、ＡＤＦに内包されている証明書データから算出したハッシュ値と、ＳＤＦに予め内包されている証明書ハッシュ値データで表される証明書ハッシュ値とを比較し、一致しているか否か判定する（ステップＳ１０３）。一致していない場合には（ステップＳ１０３；Ｎｏ）、通信事業者がＳＤＦを作成した時点以降に、ＡＤＦに内包されている証明書データが変更されている可能性があるため、ユーザにダウンロード失敗の通知を行うと共に、ＣＰＵ１６ＢはＡＤＦを削除して、携帯電話機１６をＡＤＦダウンロードする前の状態に戻し（ステップＳ１０７）、処理を終了する。
【００３５】
ここでは、ハッシュ値は一致しているため（ステップＳ１０３；Ｙｅｓ）、ＣＰＵ１６Ｂは、ＪＡＲファイルをダウンロードする（ステップＳ１０４）。具体的には、ＣＰＵ１６Ｂは、ＡＤＦに内包されているＪＡＲ保存先ＵＲＬデータで表されるＵＲＬ“http://www.b.co.jp/ melody .jar”で特定されるＪＡＲファイルを記憶したＣＰサーバ装置１２との間にＴＣＰコネクションを確立し、このＪＡＲファイルの送信を要求する内容の要求メッセージを生成・送信し（図６のステップＳ７）、このメッセージに対する応答メッセージを受信してＪＡＲファイルを取得し（図６のステップＳ８）、このＴＣＰコネクションを切断する。
【００３６】
次に、ＣＰＵ１６Ｂは、ダウンロードしたＪＡＲファイルのハッシュ値を算出する（ステップＳ１０５）。そして、ＣＰＵ１６Ｂは、算出したハッシュ値と、ＡＤＦファイルに内包されているＪａｒハッシュ値データで表されるハッシュ値とを比較し、ハッシュ値が一致しているか否かを判定する（ステップＳ１０６）。ハッシュ値が一致していない場合には（ステップＳ１０６；Ｎｏ）、ＪＡＲファイルが作成された時点以降に、ＪＡＲファイルが改竄、変更等されている可能性があるため、ＣＰＵ１６Ｂは、ダウンロードに失敗した旨をユーザに通知するとともに、ダウンロードしたＪＡＲファイルとＡＤＦとを削除して携帯電話機１６の状態をＡＤＦダウンロード以前の状態に戻し（ステップＳ１０８）、処理を終了する。
【００３７】
ここでは、ハッシュ値が一致しているため（ステップＳ１０６；Ｙｅｓ）、ＣＰＵ１６Ｂは、Ｊａｖａ−ＡＰソフトウェア取得に成功した旨をユーザに通知すると共に、取得したＪＡＲファイル、ＳＤＦを不揮発性メモリ１６Ｄに書き込み（ステップＳ１０９）、処理を終了する。
以降、ＣＰＵ１６は、トラステッドＪａｖａ−ＡＰソフトウェア「TELNO別着信メロディ変更アプリ」を実行するに際し、ＪＡＭによって、トラステッドＪａｖａ−ＡＰの挙動を監視し、パーミッション情報データに含まれる個人情報取得データ、設定更新データ、アクセス許可ＵＲＬデータによって、電話帳参照ＡＰＩ、移動機設定更新用ＡＰＩ、ＵＲＬ等の使用を許可／制限する。
【００３８】
以上説明したように、本実施形態によれば、ＡＤＦに内包されている証明書データから算出したハッシュ値と、予めＳＤＦに算出して記憶しておいたＡＤＦに内包されていた証明書データのハッシュ値とが一致しているのを確認することによって、通信事業者がＣＰから申請された証明書データを検証／許可した後にＡＤＦ内の証明書データが変更、改竄されていないことを確認することができる。つまり、ＳＤＦとＡＤＦとの組み合わせの正当性を判定することができる。なお、ＡＤＦ内の証明書データが同一の証明書データで上書きされた場合にはハッシュ値が一致することになり、ＡＤＦがＳＤＦ作成時のＡＤＦと異なる場合にもＳＤＦとＡＤＦとの組み合わせが正当であると判定されることになる。つまり、上記の検証／許可の後にＣＰがＡＤＦを変更しても、ＳＤＦとＡＤＦとの組み合わせは正当と判定される。換言すれば、ＳＤＦとＡＤＦとの組み合わせについては広い意味での正当性が判定される。これにより、ＣＰは、バグフィックス等のためにＣＰがＪＡＲファイル及びＡＤＦを変更しても、上記の検証／許可をやり直さなくてよい。
また、本実施形態によれば、ＪＡＲファイルから算出したハッシュ値と、予めＡＤＦに算出して記憶しておいたＪＡＲファイルのハッシュ値とが一致していることを確認することによって、ＡＤＦとＪＡＲファイルとの組み合わせの正当性を判定することができる。これにより、例えば、第３者によって改竄されたＪＡＲファイルの起動を禁止したりすることができる。
また、本実施形態によれば、記録媒体を予め配布したりせずとも、移動機において、ファイルの組み合わせの正当性を判定することができる。
このように、本実施形態によれば、ダウンロードした関連するＡＤＦ、ＳＤＦ及びＪＡＲファイルの組み合わせの正当性を容易に判定することができる。
また、ハッシュ値の算出処理は公開鍵を用いた一般的な認証処理に比較して遥かに軽いから、本実施形態によれば、移動機のように情報処理能力が低い装置であっても、組み合わせの正当性の判定を容易に行うことができる。
【００３９】
（３：変形例）
本発明は上述した実施形態に限定されず、以下のような種々の変更が可能である。
【００４０】
（１）上記実施形態においては、ＡＤＦに内包されている証明書データのハッシュ値をこのＡＤＦに対応するＳＤＦに内包させる一方、携帯電話機１６においてＡＤＦの証明書データのハッシュ値を算出し、これら両者を比較してＳＤＦとＡＤＦの対応関係の正当性を確認するようにしていたが、ＡＤＦ内の証明書データ以外のデータのハッシュ値を用いるように実施形態を変形してもよい。例えば、ＡＤＦ全体のハッシュ値を用いるようにしてもよい。
また、同様に、上記の実施形態においては、ＪＡＲファイルのハッシュ値をこのＪＡＲファイルに対応するＡＤＦに内包させる一方、携帯電話機においてＪＡＲファイルのハッシュ値を算出し、これら両者を比較してＪＡＲファイルとＡＤＦとの対応関係の正当性を確認するようにしていたが、例えば、ＪＡＲファイルの一部のハッシュ値を用いるように実施形態を変形してもよい。
【００４１】
（２）上記実施形態においては、SHA-1のアルゴリズムによるハッシュ関数を用いてハッシュ値を算出することにより、ダウンロードした関連する複数のファイルの正当性を判定したが、用いるハッシュ関数は、これに限定されない。例えば、MD5のアルゴリズムによるハッシュ関数を用いてもよい。また、ハッシュ関数に限らず、任意の一方向関数を用いることができる。
【００４２】
（３）上記実施形態においては、移動機において判定を行うプログラムをＲＯＭに記憶させておくようにしたが、ＥＥＰＲＯＭに記憶させておくようにしてもよいし、移動機通信網を介してダウンロードしてＥＥＰＲＯＭに書き込むようにしてもよい。また、当該プログラムを記録した記録媒体を移動機に装着し、このプログラムを移動機が実行するようにしてもよい。
【００４３】
（４）上記実施形態においては、トラステッドサーバドメインデータをＡＤＦ内に内包させて、トラステッドＪａｖａ−ＡＰソフトウェアに対応するＳＤＦを特定するようにしたが、ＳＤＦを特定する方法はこれに限定されない。例えば、トラステッドサーバ装置１８を特定するためのＵＲＬを表すデータを予め携帯電話機１６に記憶させておき、トラステッドサーバ装置１８にＳＤＦの送信を要求するための要求メッセージを作成する際に、トラステッドサーバ装置１８を特定するためのＵＲＬを表すデータと、当該ＵＲＬにおいてトラステッドＪａｖａ−ＡＰソフトウェアに対応するＳＤＦ（のファイル名）を識別するためのトラステッドＡＰＩＤデータとを内包させることによって、ＳＤＦを特定するようにしてもよい。
【００４４】
【発明の効果】
本発明によれば、ダウンロードした関連する複数のファイルの組み合わせの正当性を判定することができる。
【図面の簡単な説明】
【図１】 本発明の実施の一形態に係る配信システムの構成を示すブロック図である。
【図２】 同システムに特有のＡＤＦのデータ構成を示す概念図である。
【図３】 同システムにおいてトラステッドサーバ装置に記憶されているＳＤＦのデータ構成を示す概念図である。
【図４】 同システムを構成する携帯電話機の構成を示すブロック図である。
【図５】 同携帯電話機の機能構成を示す概念図である。
【図６】 本発明の実施形態におけるデータの流れを示すためのシーケンスーチャートである。
【図７】 同携帯電話機の検証処理の流れを示すためのフローチャートである。
【符号の説明】
１１ インターネット、１２ ＣＰサーバ装置、１５ 移動パケット通信網、１６ 携帯電話機、１７ ゲートウェイサーバ装置、１８ トラステッドサーバ装置、１６Ｄ 不揮発性メモリ、１６Ａ ＲＯＭ、１６Ｂ ＣＰＵ、１６Ｃ 表示部、１６Ｅ ＲＡＭ、１６Ｆ 通信部、１６Ｇ 操作部。
Claims (6)
- 第１のサーバ装置から、証明用データおよびアプリケーションファイルの格納場所データを含むアプリケーション記述ファイルを受信し、続いて、前記第１のサーバ装置とは異なる第２のサーバ装置から、関数値を含むセキュリティ記述ファイルを受信する受信手段と、
一方向関数の変数に前記アプリケーション記述ファイルに含まれる証明用データの全部もしくは一部を代入した場合の関数値を算出する算出手段と、
前記セキュリティ記述ファイルに含まれる関数値と前記算出手段により算出された関数値とを比較し、それらの関数値が一致するか否かを判定する比較手段と
を備え、
前記受信手段は、前記比較手段により関数値が一致すると判定された場合にのみ、前記アプリケーション記述ファイルに含まれるアプリケーションファイルの格納場所データにより示される格納場所から、前記アプリケーションファイルを受信する
ことを特徴とする端末装置。 - アプリケーションに従った処理を行う制御手段を備え、
前記アプリケーション記述ファイルは、関数値を含み、
前記算出手段は、一方向関数の変数に前記アプリケーションファイルの全部もしくは一部を代入した場合の関数値を算出し、
前記比較手段は、前記アプリケーション記述ファイルに含まれる関数値と前記算出手段により前記アプリケーションファイルの全部もしくは一部に基づき算出された関数値とを比較し、それらの関数値が一致するか否かを判定し、
前記制御手段は、前記比較手段により、前記アプリケーション記述ファイルに含まれる関数値と前記算出手段により前記アプリケーションファイルの全部もしくは一部に基づき算出された関数値とが一致すると判定された場合にのみ、前記アプリケーションファイルにより示されるアプリケーションに従った処理を行う
ことを特徴とする請求項１に記載の端末装置。 - 前記アプリケーション記述ファイルは、前記セキュリティ記述ファイルの格納場所データを含み、
前記受信手段は、前記アプリケーション記述ファイルに含まれる前記セキュリティ記述ファイルの格納場所データにより示される前記第２のサーバ装置から、前記セキュリティ記述ファイルを受信する
ことを特徴とする請求項１に記載の端末装置。 - 前記証明用データは、前記第１のサーバ装置および前記第２のサーバ装置のいずれとも異なる第３のサーバ装置から受信された証明書データである
ことを特徴とする請求項１に記載の端末装置。 - アプリケーションに従った処理を行う制御手段を備え、
前記セキュリティ記述ファイルは、前記アプリケーションに従った処理に関する制限を示すパーミッションデータを含み、
前記制御手段は前記アプリケーションに従った処理を行うに際し、前記パーミッションデータにより制限されない処理を行う
ことを特徴とする請求項１に記載の端末装置。 - コンピュータに、
第１のサーバ装置から、証明用データおよびアプリケーションファイルの格納場所データを含むアプリケーション記述ファイルを受信する処理と、
前記第１のサーバ装置とは異なる第２のサーバ装置から、関数値を含むセキュリティ記述ファイルを受信する処理と、
一方向関数の変数に前記アプリケーション記述ファイルに含まれる証明用データの全部もしくは一部を代入した場合の関数値を算出する処理と、
前記セキュリティ記述ファイルに含まれる関数値と前記算出した関数値とを比較し、それらの関数値が一致するか否かを判定する処理と、
前記判定において関数値が一致すると判定した場合にのみ、前記アプリケーション記述ファイルに含まれるアプリケーションファイルの格納場所データにより示される格納場所から、前記アプリケーションファイルを受信する処理と
を実行させることを特徴とするプログラム。
Priority Applications (8)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003096088A JP4176533B2 (ja) | 2003-03-31 | 2003-03-31 | 端末装置及びプログラム |
| EP04007647A EP1465383B8 (en) | 2003-03-31 | 2004-03-30 | Communication device and program |
| ES04007647T ES2268524T3 (es) | 2003-03-31 | 2004-03-30 | Dispositivo y programa de comunicacion. |
| DE602004001704T DE602004001704T2 (de) | 2003-03-31 | 2004-03-30 | Kommunikationsgerät und Programm |
| TW093108750A TWI265708B (en) | 2003-03-31 | 2004-03-30 | Communication device and computer-readable recording media for communication |
| AT04007647T ATE335344T1 (de) | 2003-03-31 | 2004-03-30 | Kommunikationsgerät und programm |
| US10/814,662 US7558963B2 (en) | 2003-03-31 | 2004-03-31 | Communication device and program |
| CN200410030712.4A CN1272953C (zh) | 2003-03-31 | 2004-03-31 | 终端装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003096088A JP4176533B2 (ja) | 2003-03-31 | 2003-03-31 | 端末装置及びプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004302973A JP2004302973A (ja) | 2004-10-28 |
| JP4176533B2 true JP4176533B2 (ja) | 2008-11-05 |
Family
ID=32844639
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003096088A Expired - Fee Related JP4176533B2 (ja) | 2003-03-31 | 2003-03-31 | 端末装置及びプログラム |
Country Status (8)
| Country | Link |
|---|---|
| US (1) | US7558963B2 (ja) |
| EP (1) | EP1465383B8 (ja) |
| JP (1) | JP4176533B2 (ja) |
| CN (1) | CN1272953C (ja) |
| AT (1) | ATE335344T1 (ja) |
| DE (1) | DE602004001704T2 (ja) |
| ES (1) | ES2268524T3 (ja) |
| TW (1) | TWI265708B (ja) |
Families Citing this family (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003202929A (ja) | 2002-01-08 | 2003-07-18 | Ntt Docomo Inc | 配信方法および配信システム |
| JP4078313B2 (ja) * | 2002-04-03 | 2008-04-23 | 株式会社エヌ・ティ・ティ・ドコモ | 配信方法及び端末装置 |
| JP4745238B2 (ja) * | 2004-08-12 | 2011-08-10 | 富士通株式会社 | Ｊａｖａアプレット、ＪＡＲファイル生成方法、ＪＡＲファイル生成プログラム、ＪＡＲファイル生成装置 |
| US20060107327A1 (en) * | 2004-11-16 | 2006-05-18 | Sprigg Stephen A | Methods and apparatus for enforcing application level restrictions on local and remote content |
| CN101019106B (zh) | 2005-02-14 | 2010-04-14 | 松下电器产业株式会社 | 应用程序执行装置、管理方法和程序 |
| US8316446B1 (en) * | 2005-04-22 | 2012-11-20 | Blue Coat Systems, Inc. | Methods and apparatus for blocking unwanted software downloads |
| US7389426B2 (en) * | 2005-11-29 | 2008-06-17 | Research In Motion Limited | Mobile software terminal identifier |
| KR20090007954A (ko) * | 2007-07-16 | 2009-01-21 | 삼성전자주식회사 | Ｄｒｍ 컨텐츠 다운로드 방법 및 시스템 |
| JP4998314B2 (ja) * | 2008-02-19 | 2012-08-15 | コニカミノルタホールディングス株式会社 | 通信制御方法および通信制御プログラム |
| US9356991B2 (en) | 2010-05-10 | 2016-05-31 | Litera Technology Llc | Systems and methods for a bidirectional multi-function communication module |
| JP2012018657A (ja) * | 2010-06-11 | 2012-01-26 | Nintendo Co Ltd | 情報処理端末、情報処理システム、情報処理プログラム |
| JP5132730B2 (ja) * | 2010-07-20 | 2013-01-30 | 株式会社エヌ・ティ・ティ・ドコモ | 配信方法および配信システム |
| JP5977018B2 (ja) * | 2011-11-14 | 2016-08-24 | ノキア テクノロジーズ オサケユイチア | 複数のコンフィギュレーションを有する装置内におけるコンフィギュレーションの使用法 |
| JP5952175B2 (ja) * | 2012-11-27 | 2016-07-13 | 日本電信電話株式会社 | 制御装置、制御システム、制御方法および制御プログラム |
| CN104639522B (zh) * | 2013-11-15 | 2018-12-14 | 华为终端（东莞）有限公司 | 一种网络访问控制方法及装置 |
| KR20160006925A (ko) * | 2014-07-10 | 2016-01-20 | 한국전자통신연구원 | 앱 무결성 검증 장치 및 그 방법 |
| MX2018013618A (es) * | 2016-05-13 | 2019-04-25 | Nchain Holdings Ltd | Un metodo y sistema para verificar la propiedad de un activo digital mediante el uso de una tabla hash distribuida y un libro mayor distribuido punto a punto. |
| US9967088B2 (en) | 2016-05-23 | 2018-05-08 | Accenture Global Solutions Limited | Rewritable blockchain |
| CN110023944B (zh) * | 2017-01-03 | 2021-12-28 | 华为技术有限公司 | 通信方法及终端设备、核心网设备 |
Family Cites Families (24)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6345288B1 (en) * | 1989-08-31 | 2002-02-05 | Onename Corporation | Computer-based communication system and method using metadata defining a control-structure |
| JPH07230380A (ja) * | 1994-02-15 | 1995-08-29 | Internatl Business Mach Corp <Ibm> | 適用業務プログラムの利用管理方法およびシステム |
| US5708709A (en) * | 1995-12-08 | 1998-01-13 | Sun Microsystems, Inc. | System and method for managing try-and-buy usage of application programs |
| TW313642B (en) | 1996-06-11 | 1997-08-21 | Ibm | A uniform mechanism for using signed content |
| US5825877A (en) | 1996-06-11 | 1998-10-20 | International Business Machines Corporation | Support for portable trusted software |
| US6167520A (en) | 1996-11-08 | 2000-12-26 | Finjan Software, Inc. | System and method for protecting a client during runtime from hostile downloadables |
| US6317742B1 (en) * | 1997-01-09 | 2001-11-13 | Sun Microsystems, Inc. | Method and apparatus for controlling software access to system resources |
| JPH11205767A (ja) | 1998-01-16 | 1999-07-30 | Sony Corp | 受信装置及びデータ書換え方法 |
| WO2000042498A1 (fr) | 1999-01-13 | 2000-07-20 | Hitachi, Ltd. | Procede et systeme permettant d'executer un code mobile |
| FI990461A0 (fi) * | 1999-03-03 | 1999-03-03 | Nokia Mobile Phones Ltd | Menetelmä ohjelmiston lataamiseksi palvelimelta päätelaitteeseen |
| US6976165B1 (en) * | 1999-09-07 | 2005-12-13 | Emc Corporation | System and method for secure storage, transfer and retrieval of content addressable information |
| JP2001117769A (ja) | 1999-10-20 | 2001-04-27 | Matsushita Electric Ind Co Ltd | プログラム実行装置 |
| IL139327A (en) | 1999-11-22 | 2005-06-19 | Sun Microsystems Inc | Mechanism for determining restrictions to impose on an implementation of a service |
| JP3740931B2 (ja) | 2000-03-01 | 2006-02-01 | 日本電信電話株式会社 | アプリケーションプログラム管理方法及びシステム及びコンピュータ読み取り可能な記録媒体 |
| EP1132796A1 (en) | 2000-03-08 | 2001-09-12 | Universite Catholique De Louvain | Mobile code and method for resource management for mobile code |
| US6971016B1 (en) * | 2000-05-31 | 2005-11-29 | International Business Machines Corporation | Authenticated access to storage area network |
| US6766353B1 (en) * | 2000-07-11 | 2004-07-20 | Motorola, Inc. | Method for authenticating a JAVA archive (JAR) for portable devices |
| JP2002182983A (ja) * | 2000-12-13 | 2002-06-28 | Sharp Corp | データベースへのアクセス制御方法、データベース装置、リソースへのアクセス制御方法、情報処理装置 |
| JP2003050641A (ja) | 2001-08-07 | 2003-02-21 | Nec Corp | プログラム管理システム、そのプログラム管理方法、及び情報管理プログラム |
| EP1289326A1 (en) * | 2001-08-30 | 2003-03-05 | Motorola, Inc. | Method of verifying downloaded software and corresponding device |
| US7003672B2 (en) * | 2001-09-25 | 2006-02-21 | Hewlett-Packard Development Company, L.P. | Authentication and verification for use of software |
| JP4145118B2 (ja) * | 2001-11-26 | 2008-09-03 | 松下電器産業株式会社 | アプリケーション認証システム |
| JP2003202929A (ja) * | 2002-01-08 | 2003-07-18 | Ntt Docomo Inc | 配信方法および配信システム |
| JP4078313B2 (ja) * | 2002-04-03 | 2008-04-23 | 株式会社エヌ・ティ・ティ・ドコモ | 配信方法及び端末装置 |
-
2003
- 2003-03-31 JP JP2003096088A patent/JP4176533B2/ja not_active Expired - Fee Related
-
2004
- 2004-03-30 TW TW093108750A patent/TWI265708B/zh not_active IP Right Cessation
- 2004-03-30 DE DE602004001704T patent/DE602004001704T2/de not_active Expired - Lifetime
- 2004-03-30 ES ES04007647T patent/ES2268524T3/es not_active Expired - Lifetime
- 2004-03-30 AT AT04007647T patent/ATE335344T1/de not_active IP Right Cessation
- 2004-03-30 EP EP04007647A patent/EP1465383B8/en not_active Expired - Fee Related
- 2004-03-31 CN CN200410030712.4A patent/CN1272953C/zh not_active Expired - Fee Related
- 2004-03-31 US US10/814,662 patent/US7558963B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| DE602004001704D1 (de) | 2006-09-14 |
| JP2004302973A (ja) | 2004-10-28 |
| CN1535059A (zh) | 2004-10-06 |
| TWI265708B (en) | 2006-11-01 |
| ES2268524T3 (es) | 2007-03-16 |
| TW200425695A (en) | 2004-11-16 |
| EP1465383B1 (en) | 2006-08-02 |
| ATE335344T1 (de) | 2006-08-15 |
| US20050005099A1 (en) | 2005-01-06 |
| DE602004001704T2 (de) | 2007-10-04 |
| US7558963B2 (en) | 2009-07-07 |
| EP1465383A1 (en) | 2004-10-06 |
| CN1272953C (zh) | 2006-08-30 |
| EP1465383B8 (en) | 2006-11-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4176533B2 (ja) | 端末装置及びプログラム | |
| KR100582650B1 (ko) | 컨텐츠 전송 방법 및 컨텐츠 전송 시스템 | |
| US6591095B1 (en) | Method and apparatus for designating administrative responsibilities in a mobile communications device | |
| US6292833B1 (en) | Method and apparatus for providing access control to local services of mobile devices | |
| RU2595904C2 (ru) | Способы и устройство для крупномасштабного распространения электронных клиентов доступа | |
| JP4078313B2 (ja) | 配信方法及び端末装置 | |
| US8490183B2 (en) | Security ensuring by program analysis on information device and transmission path | |
| KR101030819B1 (ko) | 애플리케이션을 장치에 로딩하는 방법, 장치 및 스마트카드 | |
| US7142848B2 (en) | Method and system for automatically configuring access control | |
| EP1987462B1 (en) | Application verification | |
| TW200425694A (en) | Communication device, control method of communication device, program and communication method | |
| CN103888948B (zh) | 一种智能终端移动应用的安全控制方法和装置 | |
| EP3541106A1 (en) | Methods and apparatus for euicc certificate management | |
| KR100642998B1 (ko) | 단말의 정책을 업그레이드하기 위한 정책메시지 전송방법 | |
| JP4336383B2 (ja) | 端末装置およびプログラム | |
| CN110247877B (zh) | 一种离线管理指令的管理方法和终端 | |
| JP4358478B2 (ja) | 通信端末のアクセス制御方法、コンテンツの提供方法、通信システムおよび中継装置 | |
| JP5132730B2 (ja) | 配信方法および配信システム | |
| JP2008123514A (ja) | 配信方法および配信システム | |
| JP2003330557A (ja) | アプリケーションアクセスコントロールシステムおよび同方式 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050407 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070313 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070510 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080318 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080513 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080603 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080723 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080819 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080820 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110829 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110829 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120829 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120829 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130829 Year of fee payment: 5 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |