JP6619392B2 - 信頼されていないユーザ機器に関する情報の信頼できる提示のためのシステム及び方法 - Google Patents

Description

本開示は、概して、サイバーセキュリティの分野、より具体的には、信頼できないユーザ機器に関する情報の信頼できる提示のためのシステム及び方法に関するものである。

コンピュータセキュリティは、現代の情報（コンピュータ）技術の不可欠な部分、とりわけ銀行業務、機密データ（特に個人データ等）の送信、企業ネットワークとのやり取りに関して不可欠な部分となっている。

同時に、圧倒的多数のユーザは、機密性を必要とする情報を扱う際に必要な水準をしばしば保証することができない標準的な計算機器（例えば、デスクトップコンピュータ、ノートブック、スマートフォン等）を使用する。これらの機器は、ハッカーによって侵害され、標的となって攻撃され、更にその間に機器上のデータへのアクセスとそれに対する制御の両方が不正な第三者によって行われる可能性がある。一方で、そのような機器は、ユーザの作業にとって重要なことが多く、その使用を控えること、又はより安全な他のタイプの機器と交換することは不可能ではないにしても困難である。ユーザは、計算機器（ハードウェア）自体の使用のみならず、ほとんどの場合、それらにインストールされたソフトウェア（アプリケーション）も同様にその使用を控えることがある。

機器の機密性を必要とする情報を扱う際に必要なレベルの保護を提供するという問題に対する可能な解決策の１つは、ユーザの機器に作用するコンパクトで安全な外部機器を使用することである。そのような機器は、その内部で操作（計算）を行うもので、それらの操作は、危険に晒される可能性があるユーザ機器からアクセスできないため、安全である。そのような機器の例として、ＵＳＢ ｅＴｏｋｅｎ（保護された電子キー）を挙げることができる。ｅＴｏｋｅｎは、認証、暗号鍵の生成、及び情報セキュリティに関連する他のタスクの目的でも広く使用されている。そのような機器の特徴は、ユーザの計算機器からアクセスできない計算、即ち保護を必要とする操作が実行されている機器からの計算を実行することである。

しかし、最初に述べたように、ユーザの計算機器（例えば、コンピュータ）は、それ自体が「有害なソフトウェアをコンピュータにインストールされる」等の様々な攻撃の対象となる。その後、有害なソフトウェアは、機器（ｅＴｏｋｅｎ）と、機密アクション（文書の署名や銀行取引の実行等）を実行しているアプリケーションとの間の仲介になり、様々なデータ（メッセージ、パスワード、キー等）に介入し、それらに取って代わりうる。この方法は、有害なソフトウェアが機器と他のアプリケーションとの間の仲介（チェーン内の別のリンク）になる中間者型攻撃とも呼ばれている。更に、このような方法では、ハッカーは送信されるデータを傍受し代用するだけでよく、これは完全に現実的な方法である。この場合、コンピュータが侵害され、セキュリティの観点から信頼できないものとなり、ユーザが作業している信頼できないコンピュータ環境を含むことになる。その結果、機密文書等の重要な情報を扱う際に、パーソナル計算機器から社内ネットワークにアクセスして操作したり、Ｗｅｂバンキングサイトを介して文書（電子キー）、又は銀行業務を電子的に確認したりすると、そのような情報は傍受され、その結果、ユーザが間違った決定を下したり、改ざんされた操作を実行することにつながる。

そして、例えば、銀行業務において、ある取引を許可することを要求される場合がある。この場合のユーザは、特定の取引金額を承認するための要求を受け取ることを期待している。有害なソフトウェアがユーザのコンピュータに存在する場合、有害なソフトウェアは、例えば、より大きな合計金額を有するもの等、異なる取引を許可するよう要求する。この後、取引の承認に関するメッセージが歪められ、実際には遥かに大きな合計金額の取引が許可されている間、ユーザは彼自信が期待している合計金額を画面上で目にする。メッセージに受信された情報及び／又はコンピュータ画面上に提示された情報に基づいて、ユーザは所定の取引（又はその両方）を許可し、お金を失うことになる。

別の例では、ユーザは機密文書（契約書）を確認する必要があるが、コンピュータが侵害された場合には、実際の情報又は文書を確認する決定に影響を及ぼす異なる情報の何れかが画面に表示されるが、（実際には）別の文書に署名（確認）されてしまう。

したがって、上記提示されたアプローチ（ＵＳＢ ｅＴｏｋｅｎ機器）の１つの欠点は、ＵＳＢ ｅＴｏｋｅｎ等の信頼できる機器が実際に本物の情報で作業（表示、署名等）しているかどうか、或いは、ユーザのコンピュータが侵害された場合及び／又は信頼できない機器である場合においてユーザが実際に本物の情報を提示されているかどうか、何も保証されていないことにある。言い換えれば、必要な情報をユーザに提示すること、及び／又は信頼できないコンピュータ機器上でその真正性を保証することを可能にするメカニズムが必要とされる。

信頼できないユーザ機器に関する情報の信頼できる提示のためのシステムおよび方法が開示される。一般に、開示されたシステムおよび方法は、計算機器上の電子文書の置換からの保護することを提供する。それらは、計算機器がパーソナルな計算機器であるかパブリックな計算機器であるかにかかわらず、信頼できない計算機器上に変更されていない形式でユーザに情報を提示することを可能にする。本発明の１つの技術的な成果によれば、リアルタイムで外部の安全なポータブル機器に報告された情報と当該情報との相関（例えばリンク）により、コンピュータ画面上に表示されている情報を置き換える可能性を制限及び低減されうる。

本発明によれば、信頼されていないユーザ機器に関する情報の信頼できる提示のための方法であって、接続ステップと、受信ステップと、分析ステップと、生成ステップと、挿入ステップと、送信ステップとを備え、前記接続ステップでは、安全なポータブル機器を信頼できないユーザ機器に接続し、前記受信ステップでは、前記安全なポータブル機器が前記信頼されていないユーザ機器からのデータを受信し、前記分析ステップでは、前記信頼されていないユーザ機器を介してユーザに表示することを意図した情報を識別するために、前記安全なポータブル機器が前記受信したデータを分析し、前記生成ステップでは、前記安全なポータブル機器によって、前記ユーザへの表示を意図した情報の少なくとも一部を含むビデオストリームを生成し、前記挿入ステップでは、前記ビデオストリームに出力されている情報を認証するように機能する１つ又は複数の保護要素を生成して前記ビデオストリームに挿入し、前記送信ステップでは、前記信頼できないユーザ機器が生成された前記ビデオストリームをユーザ機器に送信する、方法が提供される。

好ましくは、同期ステップを更に含み、前記同期ステップでは、ユーザ機器のディスプレイ上及び安全なポータブル機器のユーザインターフェイス上において、保護要素のディスプレイを同期させる。

好ましくは、前記分析ステップは、判定ステップ、検査ステップ、決定ステップ、及び識別ステップのうちの少なくとも１つを更に備え、前記判定ステップでは、前記データが暗号化されているか否かを判定し、前記検査ステップでは、受信した前記データの真正性を検査し、前記決定ステップでは、受信した前記データ及びそのパラメータに含まれる情報を決定し、前記識別ステップでは、分析されたデータ内でユーザに表示されることを意図した情報を識別する。

好ましくは、前記保護要素は、背景、透かし、アニメーション、フォント及び単語又は文字位置の変更のうちの１つを含む。

好ましくは、前記保護要素は、ランダムに生成され選択されることを特徴とする。

好ましくは、変更ステップを更に備え、前記変更ステップでは、前記ビデオストリームに挿入された前記保護要素を定期的に変更する。

好ましくは、１つ又は複数の前記保護要素は、前記安全なポータブル機器の前記ユーザインターフェイスを介し、前記ユーザの入力に基づいて生成される。

本発明の別の態様によれば、信頼されていないユーザ機器に関する情報の信頼できる提示のためのシステムであって、接続ステップと、受信ステップと、分析ステップと、生成ステップと、挿入ステップと、送信ステップとを実行可能に構成される少なくとも１つのプロセッサを含む安全なポータブル機器を備え、前記接続ステップでは、安全なポータブル機器を信頼できないユーザ機器に接続し、前記受信ステップでは、前記安全なポータブル機器が前記信頼されていないユーザ機器からのデータを受信し、前記分析ステップでは、前記信頼されていないユーザ機器を介してユーザに表示することを意図した情報を識別するために、前記安全なポータブル機器が前記受信したデータを分析し、前記生成ステップでは、前記安全なポータブル機器によって、前記ユーザへの表示を意図した情報の少なくとも一部を含むビデオストリームを生成し、前記挿入ステップでは、前記ビデオストリームに出力されている情報を認証するように機能する１つ又は複数の保護要素を生成して前記ビデオストリームに挿入し、前記送信ステップでは、前記信頼できないユーザ機器が生成された前記ビデオストリームをユーザ機器に送信する、システムが提供される。

本発明の別の態様によれば、命令を格納するコンピュータ上で読み取り可能な不揮発性媒体であって、前記命令は、信頼されていないユーザ機器に関する情報の信頼できる提示のためのコンピュータ上で実行可能なもので、接続ステップと、受信ステップと、分析ステップと、生成ステップと、挿入ステップと、送信ステップとを備え、前記接続ステップでは、安全なポータブル機器を信頼できないユーザ機器に接続し、前記受信ステップでは、前記安全なポータブル機器が前記信頼されていないユーザ機器からのデータを受信し、前記分析ステップでは、前記信頼されていないユーザ機器を介してユーザに表示することを意図した情報を識別するために、前記安全なポータブル機器が前記受信したデータを分析し、前記生成ステップでは、前記安全なポータブル機器によって、前記ユーザへの表示を意図した情報の少なくとも一部を含むビデオストリームを生成し、前記挿入ステップでは、前記ビデオストリームに出力されている情報を認証するように機能する１つ又は複数の保護要素を生成して前記ビデオストリームに挿入し、前記送信ステップでは、前記信頼できないユーザ機器が生成された前記ビデオストリームをユーザ機器に送信する、媒体が提供される。

本発明の例示的な側面に係る上述の簡略化した概要は、本発明の基本的な理解を提供するように機能するものである。この概要は、全ての企図された側面の広範な概要ではなく、全ての側面の重要な又は重要な要素を特定することも本発明の任意の又は全ての側面の範囲を描写することも意図されていない。唯一の目的は、以下の本発明のより詳細な説明の前置きとして、１つ又は複数の側面を簡略化した形で提示することである。前述の目的を達成するために、本発明の１つ又は複数の側面が記載され、これは特に特許請求の範囲において主張される特徴を含むものである。

添付の図面は、本明細書に組み込まれ、本明細書の一部を構成し、本発明の１つ又は複数の例示的な側面を示し、詳細な説明とともに、それらの基本原理及び実施形態を説明する役割を果たすものである。

本発明の１つの態様における、信頼されていないユーザ機器に関する情報の信頼できる提示のための例示的なシステムを示す。

本発明の１つの態様における、信頼できないユーザ機器上の情報の信頼できる提示のためのシステムの動作の例示的なプロセスを示す。

本発明の１つの態様における、信頼されていないユーザ機器に関する情報の信頼できる提示のためのシステムの動作の別の例示的なプロセスを示す。

本発明の１つの態様における、信頼されていないユーザ機器上の情報の信頼できる提示のための例示的な方法を示す。

信頼できないユーザ機器に関する情報の信頼できる提示のためのシステム及び方法の態様を実装することができる汎用的なコンピュータシステムの例を示す。

本発明に関する例示的な側面は、計算機器上の保護されたアプリケーションへのアクセスを阻止するためのシステム、方法、及びコンピュータプログラム製品に関連して本明細書で説明される。当業者であれば、以下の説明は例示的なものに過ぎず、決して限定するものではないことを理解するであろう。他の側面は、本発明の利益を有する当業者には容易に示唆されるであろう。以下、添付の図面に例示されている例示的な実施形態を詳細に参照する。同一の符号は、図面全体にわたって可能な範囲で使用され、以下の説明は、同じ又は同様の項目を参照するために使用される。

以下の用語は、本発明の例示的な態様を説明する際に使用される。

法的に重要な行為には、例えば、電子キーによる電子文書の署名、銀行サイトとの取引の確認、銀行取引の実行等のような、特定の法的結果を招く可能性のある行為が含まれる。

ビデオストリームは、ビットストリーム（ビットの一時的シーケンス）で符号化された特定のフォーマットのフレームの一時的シーケンスを含むことができる。

図１は、本発明の１つの態様における、信頼されていないユーザ機器に関する情報の信頼できる提示のための例示的なシステムを示す。信頼できる情報提示システム１００は、信頼できないユーザ機器１０１（例えば、パーソナルコンピュータ）の画面上に真正な情報をリアルタイムで表示することを容易にする。１つの例示的な態様では、システム１００は、情報の表示及び／又は入力／出力用のインターフェイス１１０（以下、これを含む）を含み、ＵＳＢインターフェイス１２０、又はＥｔｈｅｒｎｅｔ、ＨＤＭＩ及びＳＰＩ（図１には図示せず）等の他の接続手段を介して、パーソナルコンピュータ（以下、ＰＣ）に接続されている、フラッシュドライブ（これに限定されない）の形態を有するポータブル計算機器（「ＰＣＤ」）として実現されうる。システム１００により、ユーザは、ＰＣ画面上に表示されている情報が真正であることを確認することができる。このために、システム１００はビデオストリームを作成し、これをＰＣ画面に出力（送信）する。ビデオストリームは、ユーザのために意図され、真正性が確認される必要のある情報（ユーザの文書等）の少なくとも一部と、少なくとも１つの保護要素とを含み、ＰＣＤの実現に応じて、要素、ビデオストリームに組み込まれたいくつかの要素、又はビデオストリーム全体が、ユーザインタフェイス１１０に出力又は入力されている情報と相関（同期関係）される。したがって、例えば、ＰＣＤがユーザインターフェイス１１０上に出力される情報のみを許容する場合、システム１００は、ユーザインターフェイス１１０上に出力される情報を有するビデオストリームの同期を提供する。例えば、ユーザインターフェイス１１０は、画像（例えば、十字）を表示し始め、同時にその時既に表示されている画像の上に同じ画像（十字）をビデオストリームに表示する。画像がユーザインタフェイス１１０上で変化する場合、ビデオストリームも変化するが、ユーザ向けの情報（例えば、文書からのもの）は恒常的である。そうでない場合、ＰＣＤがユーザインターフェイス１１０上への情報の入力、又は情報の入力及び出力を可能にすれば、システム１００はリアルタイム相関を提供する。例えば、ユーザがユーザインタフェイス１１０上でいくつかの動作を実行する場合、ビデオストリーム（即ち、ビデオストリーム内の表示された情報）はそれに応じて応答する。例えば、ユーザがユーザインタフェイス１１０を横切って指を動かすと（例えば、ユーザインタフェイス１１０がタッチパッドである場合）、花火が、文書の表示された情報の「上空」に、ビデオストリーム上で出現しうる。したがって、同期及び相関付けは、ユーザインターフェイスと、送信されるビデオストリームとの間の関係の形成、又はその一部を（例えば、保護要素による）適切な方法で形成することを意味する。

１つの例示的な態様では、保護要素は、ビデオストリームに出力されている情報の真正性をユーザが正確に決定できるように設計されてもよく、そして、保護要素は、背景等のビデオストリームの一部、情報の表示、送信中のビデオストリーム中のＰＣ画面上の様々なアニメーションの存在、出力されている情報の一部（例えば、フォントの変更及び単語又は文字の位置）等を含んでいでもよい。保護要素は、ビデオストリームの送信に先立っては知られておらず、即ち、それらはランダムに形成され選択されることができる。したがって、ビデオストリームは非常に複雑となり、リアルタイムで送信されたビデオストリーム内の未知のデータを置き換えることが困難であるため、ハッカーがそれを歪めることは不可能であり、それ故にＰＣ１０１の画面１７０に表示される情報を信頼できるものにする。更に、情報又は保護要素は、ビデオストリームの送信中に変化してもよい。例えば、送信されたビデオストリーム中の保護要素は、特定の周期性（例えば、背景色、透かしの形状及びサイズ等）をもってＰＣの画面上で変更される。別の例では、透かし等の保護要素は、ユーザインタフェイス１１０に入力される情報に応じて互いに置き換えることができる。

１つの例示的な態様では、ＰＣＤ１００は、ユーザ機器１０１の対応する入出力ポート１８０に接続する１つ又は複数の接続モジュール１２０を含む。接続モジュール１２０は、ＵＳＢ、ｅＳＡＴＡ若しくはＦｉｒｅＷｉｒｅ等の有線インターフェイスとして、又はＢｌｕｅｔｏｏｔｈ若しくはＷｉＦｉ等の無線インターフェイスとして実装されてもよい。接続モジュール１２０は、Ｅｔｈｅｒｎｅｔソケットの形態であってもよい。１つの例示的な態様では、接続モジュール１２０は、ＰＣＤ１００がインターネットに接続することを可能にするセル状カード又はＷｉ−Ｆｉカードを含むことができる。ＵＳＢ接続インターフェイス１２０は、ＵＳＢビデオクラス（ＵＶＣ）として含まれてもよく、したがって、ＰＣ１０１に接続されると、システム１００は、ＵＳＢカメラ（ウェブカメラ）としてＰＣ１０１によって認識されることに留意されたい。ＵＶＣクラスは、デスクトップコンピュータ、ノートブック、タブレット、携帯電話等、最も多様な機器上の大部分の現在のオペレーティングシステム（Ｗｉｎｄｏｗｓ ＯＳやＭａｃ ＯＳ等）でサポートされている。

１つの例示的な態様では、接続モジュール１２０は、ＰＣＤ１００の全ての要素間のインタラクション（例えば、データの送信）用に設計されたコントローラ１３０に接続される。コントローラ１３０は、ユーザインターフェイス１１０に結合（接続）され、ＰＣＴ１００の実装に応じて、情報表示モジュール又は情報入出力モジュールの何れかとなりうる。２つのモジュールによって実行されるタスクは、図２Ａ及び図２Ｂの説明で詳細に検討される。一般的な場合、ユーザインターフェイス１１０は、例えば、ユーザとシステム１００とのインタラクションのためのセンサパネル（タッチパッド）として実現することができる。インタラクションの一例は、感覚パネルを横切って指を触れたり引いたりする形式の動作であり、それに対してシステム１００はビデオストリームに変更を加える形で応答する。１つの例示的な態様では、変更は保護要素のみを含む。したがって、以前に作成されたテンプレート（例えば、ビデオストリームの背景勾配の外観）に応じて変更を行うことができ、又はそれらは自発的なものであってもよい（例えば、「花火」のアニメーション、又は送信されているビデオストリームに含まれるドキュメントの前景のフレーズの形の追加の保護要素を出現させる）。同時に、変更は、ユーザインターフェイス１１０から受信される情報（例えば、タッチパッド画面上で実行される動作）に関連する（依存する）ことができる。タッチパッドの他に、インターフェイス１１０は、トラックボール又はタッチ画面の形態で実現されてもよく、タッチ画面は、単色であっても有色であってもよい。

別の例示的な態様では、ユーザインターフェイス１１０は、情報を表示するディスプレイであってもよい。この場合、ユーザインターフェイス１００は、ＰＣ画面に出力された映像ストリームに表示されている保護要素を繰り返す情報を表示する。例えば、保護要素は透かしとすることができる。その後、ＰＣに送信されるものと同じ透かしがユーザインターフェイス１００上に表示される。しかし、ＰＣに送信されているビデオストリームからの透かしが一定の動きを有する場合、例えばある透かしが別の透かしを一定の周期性をもって取って代わると、ディスプレイ上の透かしもまた、ＰＣ画面上の変化と同時に別の透かしに置き換わる。

別の例示的な態様では、ユーザインターフェイス１１０は、電球のセット、発光ダイオードのセット、又は送信されるビデオストリーム、即ちビデオストリーム上の画像と相関する（接続される）表示を生成する少なくとも１つの発光ダイオードを構成する。この場合、ユーザインターフェイス１１０は、ＰＣ１０１の画面１７０に、ビデオストリームによって出力される保護要素に関連する情報を表示する。この場合の情報は、発光ダイオードの点滅である。したがって、例えば、ＰＣ画面上のビデオストリームの送信中の発光ダイオードのセットは、色の変化、様々な周波数を持つフラッシュ、又は幾つかの発光ダイオードがある場合には繰り返しのフラッシュの少なくとも１つの動作を実行することができる。別の例示的な態様では、発光ダイオードの発光と表示されている保護要素との間で、例えばＰＣ画面上の背景として提示される同期（相関）が生じる。例えば、送信されているビデオストリームの背景の色が変化すると、発光ダイオードの色も変化する。更に別の例示的な態様では、少なくとも１つの発光ダイオードを持つユーザインタフェイス１１０は、ＰＣ画面及び発光ダイオード上に表示される情報の変化を生成するように操作することができる制御ノブを含むことができる。ビデオストリーム及びユーザインターフェイス１１０に生じるこのような変更は、ビデオストリームの送信によってＰＣ上に情報を表示する以前に、システム１００自体によって自動的に定式化することができる。

別の例示的な態様では、ユーザインターフェイス１１０は、ユーザに情報を提示するために音声信号を使用することもでき、これにより例えば、ユーザは、ＰＣ画面へのビデオ送信の開始及び終了等のイベントを認識することができる。或いは、送信されるビデオストリームに依存して音が変化する場合もある。音声伴奏はまた、視覚障害者が画像の相関を確実にすることを可能にする。

システム１００の実現におけるユーザインターフェイス１１０の前述の実施例の全ては、個別に又は共同して使用することができるということに留意されたい。更に、システム１００は提示された例に限定される必要はない。

１つの例示的な態様では、システム１００は、ユーザインターフェイス１１０及びＰＣ１０１とインタラクションする真正性検証モジュール１４０を含む。ＰＣ１０１とのインタラクションは、接続インターフェイス１２０を介して行われる。真正性検証モジュール１４０は、ＰＣ１０１にインストールされ、ＰＣ１０１の画面に画像を表示する能力を有する任意のアプリケーションを用いて、ＰＣ１０１に送信されるビデオストリームを形成するように設計されている。このようなアプリケーションの例としては、Ｍｅｄｉａ Ｐｌａｙｅｒ Ｃｌａｓｓｉｃ Ｈｏｍｅ Ｃｉｎｅｍａ、Ｄａｕｍ ＰｏｔＰｌａｙｅｒ ｗｉｎｄｏｗｓ Ｍｏｖｉｅ Ｍａｋｅｒ、Ｍｉｃｒｏｓｏｆｔ Ｓｉｌｖｅｒｌｉｇｈｔ等があり、これらはシステム１００とのやり取りやビデオストリームの送信を可能にするために特別に作成されたアプリケーションである。ビデオストリームは、ＰＣ１０１への送信中に、ユーザインタフェイス１１０に出力又は入力（入力）されている情報と協調（接続）されるように形成される。ビデオストリームは、ユーザによって必要とされる情報（例えば、電子形式の文書又は銀行取引中のデータ）及び対応する種類の情報に対する必要な保護のタイプに対応する保護要素を含む。保護のタイプは、ビデオストリームの保護としてどの保護要素が必要かを提示する。そして、ビデオストリームが形成される。その後、ビデオストリームは、ユーザインターフェイス１１０上に表示又は受信された情報と共にＰＣに送信される。したがって、実装に応じて、ユーザは、ユーザインターフェイス１１０上に出力される情報と、情報メッセージを含むビデオストリームの出力との対応、又は、ユーザ自身の動作（そのユーザによって入力用機器から行われた操作）、情報メッセージと共にＰＣ画面上に表示されている情報との対応をリアルタイムで見ることができる。真正性検証モジュール１４０の構成及び各要素の目的は、以下、図２Ａ及び図２Ｂにおいて説明される。

１つの例示的な態様では、システム１００は、一定の時間、自律的に作業を行うことを可能にする電源モジュール（図１には図示せず）を含むことができる。電源モジュールの例は、蓄電池（リチウムイオン電池等）、又はスーパーキャパシタ（エネルギー蓄積コンデンサ）である。電源モジュールの必要性は、接続及びＰＣとの更なるインタラクションが無線で行われる場合に生じうる。同時に、システム１００が例えばＵＳＢコネクタ等の有線インターフェイスを介してＰＣ１０１に接続されると、システム１００は、ＰＣ１０１からの作業に必要な電力を取得する。

図２は、信頼されていないユーザ機器１０１上の情報の信頼できる提示のためのシステム１００の例示的な動作プロセスを示しており、ユーザ機器１０１と、ＰＣＤ１００のユーザインターフェイス１１０上に表示された情報を同期させることによりユーザ機器１０１の画面上の真正な情報の表示を可能にする。ユーザ機器１０１と、ＰＣＤ１００のユーザインタフェイス１１０は、本例では、情報表示モジュール１１０ａとして実装される

情報表示モジュール１１０ａ（以下、モジュール１１０ａ）は、保護要素生成するモジュール２３０によって提供されるＰＣＤ１００に関する情報の視覚的提示のために設計されている。１つの例示的な態様では、モジュール１１０ａは、画面（例えば、前述の情報パネル／ディスプレイ等）上の画像（表示）として、又は（例えば、少なくとも１つの発光ダイオードの助けを借りて）色付きの光として情報を提示するよ設計されている。パネル／ディスプレイ上に提示される情報の例は、ＰＣ画面上のビデオストリームと同様に表示される少なくとも１つの保護要素を示しながら動的に変化する画像、又は背景の動的表示（例えば、変化の色）等である。発光ダイオードを介して提示される情報の例は、色が変化するという形で実行される光の動的表示、又は幾つかの発光ダイオードによって順番に行われる光の点滅である。

図２に示すように、この例示的な態様では、システム１００は、情報表示モジュール１１０ａの他に、真正性検証モジュール１４０も含み、真正性検証モジュール１４０は、順に、データ処理モジュール２１０、データ変換モジュール２２０、保護要素生成モジュール２３０及びビデオストリーム生成モジュール２４０を含む。真正性検証モジュール１４０は、保護要素生成モジュール２３０を介して情報表示モジュール１１０ａとインタラクションする。

データ処理モジュール２１０は、ユーザの信頼されていないＰＣからデータを受信し、そのデータの分析を行い、その間、受信したデータに含まれるメッセージを判定（分離）する。受信したデータの例として、ユーザの情報（テキストメッセージ）を含むファイル、又は銀行取引に対応するデータを挙げることができる。本発明の文脈において、信頼できないＰＣは、例えば、以下の理由のために、ユーザが完全に信頼することができない機器であることに留意されたい。即ち、ＰＣは、ローカルエリア又はワイドエリアのネットワークにアクセスするため、そしてＰＣは外部機器に接続することができるためである。

したがって、受信したデータを分析中しているモジュール２１０は、以下のアクションを実行し、最初の２つはオプションである。（１）データが暗号化されているかどうかを判定する。そうであれば、解読を実行する。（２）上記データの完全性をチェックすることによって受信したデータの信頼性を決定する。この場合、データの正当性が確認された場合には、次のステップに移る。そうでない場合、即ち真正性が確認されない場合、データが正しくないことをユーザに通知する。（３）受信したデータに含まれるメッセージとそのパラメータを決定する。（４）上記のメッセージを一意に識別する情報、即ち、ユーザに表示しようとする情報を決定する。

１つの例示的な態様では、メッセージのパラメータは、そのようなメッセージの識別（タイプ、フォーマット、拡張、メッセージ暗号化のタイプ等）及び／又はメッセージの真正性を確認した上で実行されるべきアクション（例えば、文書又は処理の確認等）一意に可能にする要素を含む。

１つの例示的な態様では、メッセージは、ファイルフォーマットに関係なく、テキスト文書と銀行取引との少なくとも２つのタイプに分けることができる。テキスト文書は、ｔｘｔ、ｄｏｃ、ｘｌｓ等又はそれらに似たものを拡張子として含むファイル等、テキストを含むファイルである。銀行取引は、一般に、例えばインターネットバンキングシステム又は他の通信システムを介した電子命令によって、或いは、特定の支払い装置を介して開始することができる銀行口座による任意の操作を含む。

次に、メッセージの種類に応じて、モジュール２１０は、その後ＰＣ画面に送信されるビデオストリームに追加される必要のある情報（メッセージ自体又はその一部を識別する）を決定する。したがって、例えば、銀行取引が決定された場合、モジュール２１０は、受信されたデータに含まれる情報の分析を実行し、それに基づいて、取引に関する情報を含むメッセージの全ての要素を分離する。例えば、支払人のアカウント又はクレジットカードの番号、所有者、譲渡の場所、受取人のカードの番号、合計、取引の手数料等である。テキスト文書が受信データ内で決定された場合、モジュール２１０は、前述の分析の間に、受信データに含まれる情報の源（即ち、文書を作成した人）を決定し、それが決定する情報源に基づいてビデオストリームに表示する必要のある情報の量感（部分）を決定する。例えば、ユーザ自身が文書を作成し、デジタル署名によって署名段階に進んだ場合、モジュール２１０は、上記文書の署名の瞬間にデータを受信し、したがって、前記ビデオストリームに表示するための前記文書を含み、前記文書の一部は、前記最初及び最後のページを含むことができる。その後、モジュール２１０は、決定された情報、即ちビデオストリームに表示する必要がある情報をメッセージの種類と共にデータ変換モジュール２２０に送信し、そして、保護要素の生成のためにモジュールに送信するメッセージのタイプに関する情報と、銀行取引の認証又はデジタル署名による文書の署名のような、表示されている情報に基づいて後に実行されうる可能な操作とを含む。更に別の例示的な態様では、モジュール２１０は、メッセージの種類及び可能な操作に関する特定の情報なしに、保護要素を形成する必要性に関する情報を含むタスクのみをモジュール２３０に送信する。

１つの例示的な態様では、データ変換モジュール２２０は、モジュール２１０から受信した情報を含むユーザ用の情報メッセージ２６０を生成する。このプロセスは、メッセージを必要な形式、即ちビデオストリーム（フレーム）の生成に使用できる形式に変換することにある。この後、モジュール２２０は、メッセージ２６０をビデオストリーム生成モジュール２４０に送信する。

１つの例示的な態様では、保護要素生成モジュール２３０は、モジュール２１０から受信した情報に応じて保護要素２７０を決定し、モジュール２３０は情報表示モジュール１１０ａの能力を考慮する。１つの例示的な態様では、モジュール１１０ａの実装に依存して、モジュール２３０は、保護要素及びそれらのアプリケーションの生成のための可能な変形のデータベース（図２には不図示）を含む。生成のための変形は、各々少なくとも１つの保護要素２７０と、モジュール１１０ａ及びビデオストリームにおける保護要素の表示に関する規則とを含む。更に別の例示的な態様では、モジュール２３０は、保護要素をランダムに形成する。

したがって、保護要素２７０には、透かしの要素、ビデオストリームの背景勾配、ビデオストリーム又は発光ダイオードのちらつき、ビデオストリームの送信中の画像又はテキスト情報の外観、ビデオストリームの異なる部分（情報メッセージの前と後ろの両方）、ビデオストリームの色の変化等が含まれる。保護要素２７０は、ビデオストリームとモジュール１１０ａの両方を対象としており、互いに異なっていてもよく、又は全く同じであってもよいが、何れの場合にも保護要素は互いに同期（相関）される。例えば、同一の保護要素が、ＰＣ画面上及びモジュール１１０ａ内のビデオストリームに表示される。更に、保護要素をモジュール１１０ａ及びモジュール２４０によって出力する際、それらは動的に変化する能力も有し、保護要素の変化の動きは、モジュール２３０によって使用される保護要素の変形に依存する。そのようなアプローチは、情報の傍受及び歪みに最大の困難をもたらす。

次に、モジュール２３０は、メッセージの種類及びモジュール１１０ａの能力に応じて、表示（情報）の保護の変形を選択する。その後、少なくとも１つの保護要素２７０を含む対応する情報を、対応する画像（保護要素）の次の出力を実行するモジュール１１０ａに送信し、ビデオストリーム生成モジュール２４０に送信する。

１つの例示的な態様では、ビデオストリーム生成モジュール２４０は、取得された保護要素２７０及びモジュール２２０から受信された情報メッセージ２６０が存在するビデオストリームを形成する。ビデオストリームの生成は、各フレームの生成に基づいており、例えば、毎秒２４フレーム以上の頻度で送信される。フレーム周波数はまた、１秒当たり２４フレーム未満であり、システム１００の構成要素の技術的能力に依存することに留意されたい。個々の順序でフレームのクリーンネスを各瞬間において選択することも可能である。したがって、例えば、ビデオストリームを形成する際、モジュール２４０は、１つのフレームはメッセージを含み、また別のフレームは保護要素等を形成するような、幾つかのフレームを層ごとに形成する。オーバーラップするアルゴリズムは、例えば、別のビット単位オフセット又はより複雑なものであってもよい。次に、モジュール２４０は、入出力ポート１８０を介してビデオストリームをＰＣに送信し、ビデオストリームを送信する能力を有する対応するアプリケーション２５０に送信する。アプリケーション２５０は、ＰＣからのモジュール２１０によって得られたデータの少なくとも一部を含む情報メッセージ２６０が表示されるＰＣの画面１７０上のビデオストリームと、保護要素２７０とを送信する。アプリケーション２５０の例は、上述したものであり、例えば、Ｍｅｄｉａ Ｐｌａｙｅｒ Ｃｌａｓｓｉｃ Ｈｏｍｅ Ｃｉｎｅｍａ等が挙げられる。モジュール１１０ａは、ＰＣの画面１７０上のビデオストリームの送信の開始と共に、モジュール２３０から受信した対応する保護要素を表示し始める。保護要素は、ＰＣの画面１７０及びモジュール１１０ａ上に同時に表示される。１つの例示的な態様では、モジュール１１０ａ及びＰＣ画面に送信されるビデオストリームに表示される保護要素２７０は、互いに同一のものであり、定期的に同期して変更される。

したがって、ユーザは、表示されている情報の真正性をリアルタイムで、即ち完全な信頼性を必要とするデータにおいて保証される。

このようなアプローチは、情報メッセージの置換に対する保護を提供することに留意されたい。何故なら、そのようなビデオストリームを置換するためには、リアルタイムでビデオストリームの処理を実行しなければならず、各フレーム内の元のメッセージを除去し、ユーザがこの置換を気付かないようなものに置き換えなければならないためである。このようなタスク（リアルタイムでの置換）は、特に、保護要素が動的に変化する場合には、ユーザの機器（コンピュータ）が所有していない可能性のある実質的なコンピューティングリソースを必要とするため、ほぼ不可能である。

ユーザインターフェイスモジュール１１０が情報表示要素モジュール１１０として実装されるシステム１００の動作の２つの例を考察する。

（例１）
データが、ユーザの確認を必要とするメッセージ／文書を含む、暗号化された形式でユーザのＰＣ上で受信されたと仮定しよう。この場合、ＰＣは、暗号化されたデータパケットをモジュール１４０、特にモジュール２１０に送信し、モジュール２１０は、データの解読を実行し、メッセージの真正性及びその完全性を検証し、メッセージの種類を判定し、そしてモジュール２２０及び２３０に対しそれらによって必要とされる情報を（前に説明したように）送信する。例えば、モジュール２２０は、受信したデータに含まれるメッセージ全体を完全に受信し、モジュール２３０は、そのメッセージの種類に関する情報を受信している。モジュール２２０は、受信した情報を情報メッセージ２６０に変換し、それをモジュール２４０に送信する。モジュール２３０は、受信した情報に従って必要な保護の変形を選択し、所与の情報を保護するのに十分な保護要素２７０を形成する。その後、モジュール２３０は、保護要素２７０を含む命令をモジュール１１０（モジュールはディスプレイの形で実現される）及びモジュール２４０に送信する。モジュール２４０は、情報メッセージ２６０及び保護要素２７０を含むビデオストリームを形成する。その後、ビデオストリームは、アプリケーション２５０内のＰＣに送信される。その後、アプリケーション２５０は、受信したビデオストリームを送信し始める。これは、モジュール１１０ａ上の画像と同期している。この例では、モジュール１１０によって表示される保護要素及びアプリケーション２５０内のビデオストリームは互いに同一及び／又は保護要素の同期変更が生じるよう、相互に関連付けられている。その結果、ユーザは、外部機器上の保護要素と協調して保護要素によって保護される情報メッセージを見て、メッセージの信頼性を確認する。その後、ユーザはメッセージを読んで、受信した文書を承認することができる。

（例２）
ユーザのＰＣが、ユーザの認証を必要とする銀行取引の形式で要求を受け取ったと仮定しよう。この場合、ＰＣは上と同様にデータをモジュール１４０に送信する。前述のモジュールの助けを借りて、モジュール１４０は、一連の捜査を実行し、その後、取引に関する重要な情報を含むメッセージ２６０の送信をビデオストリームにおいて実行する。ユーザが提供された情報を調べ、その情報が真正であることを確認した後、例えば情報表示モジュール１１０の助けを借りて取引を許可することができる（これの例は図２Ｂに記載される）。その後、システム１００は、要求に対する応答を形成し、その秘密鍵又は証明書の助けを借りて応答に署名し、応答をＰＣを介して返送する。

図２Ｂは、この例では情報Ｉ／Ｏモジュール１１０ｂとして実装される、ＰＣ上に表示されている情報と、ユーザインターフェイス１１０によって受信されたユーザの動作との相関によって、信頼できないユーザ機器１０１上の情報の信頼できる提示のためのシステム１００の別の例示的な動作プロセスを示す。モジュール２１０、２２０及び２４０の目的及びインタラクションは、図２を参照して上述したそれらの実装に類似していることに留意されたい。図２を参照して上記で説明した実装形態との主な相違点は、モジュール２３０と情報入出力モジュール１１０ｂの目的とインタラクションにある。

情報入出力モジュール１１０ｂは、ＤＰＵに関する情報を視覚的に提示するため、及びモジュール１１０ｂを用いてユーザによって実行される操作の決定の両方のために設計され、その後それらの情報を保護要素生成モジュール２３０に送信する。１つの例示的な態様では、モジュール１１０ｂは、情報を出力し、その操作を決定（モニタリング）する能力を有する構成要素であり、そのような構成要素は、例えば、センサ付きパネル（タッチパッド）及びセンサ付き画面（タッチ画面）により実現される。モジュール１１０ｂによる情報提示のメカニズムは、モジュール１１０ａに類似している。ユーザの操作の決定（モニタリング）のメカニズムは、モジュール１１０ｂで操作中に集められたデータがモジュール２３０に送られる当該技術分野で知られている手法の助けを借りて生成される。

モジュール２３０は、先に述べたように、保護要素２７０を形成するように設計されており、モジュール１１０ｂから得られた指示データ（情報）は、必要な保護要素２７０の生成中に使用される。保護要素の生成は、モジュール１１０ｂに入力されるデータと、ビデオストリーム内の情報メッセージを保護するために必要な保護要素２７０の生成との対応に関する情報を含む規則によって行われる。そのような規則の一例は、以下のようなものである。即ち、センサ付き画面を横切る水平スワイプの場合、保護要素は、ビデオストリームにおける背景の色の変化として形成される。規則の別の例は、ユーザがセンサ付き画面に一定の接触（長時間接触）をすると、ビデオストリーム内の保護要素が情報メッセージの先頭においてアニメーション（画像又は透かしの動画）の形態になるという条件である。同様に、１つの例示的な態様では、モジュール２３０は、モジュール２１０からの情報（タスク、要求）を受信した後にのみその機能を実行し始め、受け取った前記情報は保護要素の生成のための規則にも組み込むことができる。保護要素の生成後、モジュール２３０は、それらをビデオストリーム生成モジュール２４０に送信する。保護要素自体は、ランダムに生成することができる。

モジュール２４０は（上述のように）ビデオストリームを形成し、ビデオストリームは、モジュール２２０から受信した情報メッセージ２６０及び保護要素２７０を含み、入出力ポート１８０を介してビデオストリームをＰＣ内の対応するアプリケーション２５０へと送信する。アプリケーション２５０は、受信したビデオストリームをＰＣの画面１７０上で送信する。リアルタイムで発生するビデオストリームの送信中、表示されている保護要素は、ＰＣの画面１７０上で送信された画像と、モジュール１１０ｂによるユーザの操作に基づいて収集されたデータとの相関／同期を保証する方法で、モジュール２３０の規則に従って変化することに留意されたい。言い換えれば、送信されているビデオストリーム内のモジュール１１０ｂにおいてユーザによって実行された動作から決定された（モニタリングされた）データに応じて、変更が保護要素内で発生し、その変更は保護要素自体（即ち、１つずつ）、又は送信されたビデオストリームに直接表示されている保護要素（例えば、表示されている情報に対する位置、又は保護要素の色等）に関連するものであってもよい。

更に別の例示的な態様では、モジュール１１０ｂが情報も表示することができる場合、モジュール２３０ｂは、モジュール１１０ｂから受信したデータに基づいて保護要素を生成した後、形成された保護要素２７０を含む対応する命令をモジュール１１０ｂへと送信し、対応する画像の次の出力を実行する。したがって、そのような態様では、モジュール１１０ｂはデータ入力要素及び情報出力要素の両方であり、情報の出力中、モジュール１１０ａと同様に、ＰＣの画面１７０及びモジュール１１０ｂ上で送信されるビデオストリームの画像の同期が行われる。。

モジュール１１０ｂが入力装置としてのみ機能する場合、モジュール１１０ｂとモジュール２３０とのインタラクションは、データを受信することのみからなる。

モジュール１１０がモジュール１１０ｂ、即ち情報入出力要素として実現される１つの可能な実装を検討しよう。ユーザが、ＰＣの助けを借りて、ＥＤＳによって署名された後続の送信のための文書を準備すると仮定しよう。この場合、情報入出力モジュール１１０ｂは、同様に、キーボード入力（例えば、センサ付きタイプ）の機能を有する。したがって、ＥＤＳを使用する文書の承認中に、文書自体を含むデータがＰＣからモジュール１４０、具体的にはモジュール２１０に送信される。モジュール２１０は、情報メッセージの種類と、実行する必要がある動作とを決定する。その後、モジュール２１０は、対応する情報をモジュール２２０及び２３０に送信するが、与えられた例では、その全体がモジュール２２０用の情報メッセージの形式で送信される。モジュール２２０は、受信したメッセージを必要な形式に変換し、モジュール２４０に送信する。モジュール２３０に関して、これは保護要素の変形を決定する。このために、モジュール２３０は、モジュール１１０ｂからのデータを求める、又は待機する。モジュール１１０ｂは、ユーザの応答（操作）を登録し、それらをデータ形式でモジュール２３０に送信する。次いで、モジュール２３０は、受信したデータに基づいて保護要素を形成する。例えば、保護要素の選択された変形として、ユーザがセンサ付きパネルの形態で実現されるモジュール１１０ｂに触れるときの背景の変化が挙げられる。その後、モジュール２３０は、保護要素をモジュール２４０に送信する。次に、モジュール２４０は、情報ストリームと保護要素とが組み合わされたビデオストリームの生成を実行する。この結合は、ビデオストリーム内の背景が後で色を変更する能力を有するように行われる。次いで、モジュール２４０は、ビデオストリームをＰＣに送信し、そこでアプリケーション２５０によって表示される。モジュール２３０は、モジュール１１０ｂによるユーザの操作に関するデータを受信すると、モジュール２４０に送信する規則に従って保護要素の変更を実行することに留意されたい。モジュール２４０は、ビデオストリームを変換し、それをＰＣに送信する。

１つの例示的な態様では、モジュール１１０ｂは、ユーザの指紋の識別が行われるスキャナの機能も有することができる。

図３は、本発明の１つの態様における、信頼されていないユーザ機器上の情報の信頼できる提示のための例示的な方法を示す。１つの例示的な態様では、暗号化された電子文書を含むデータは、ユーザのＰＣ１０１上のインターネット又は他の既知の方法から取得される。ユーザは、受信した電子文書に署名する瞬間に、文書の真正性を保証されなければならない。このために、ステップ３１０において、ユーザは準備段階でデータ（文書）の真正性の確認要求を生成するが、この段階は本発明の実現においては任意である。要求の間、データは、情報の信頼できる提示のためのシステム１００へと送信される。

したがって、ステップ３２０において、データ処理モジュール２１０による情報の信頼できる提示のためのシステム１００は、入出力ポート１８０を介してＰＣ１０１から上記指示されたデータを取得する。したがって、１つの例示的な態様では、ユーザのＰＣ上で取得されたデータは暗号化され、モジュール２１０はまた、指示されたデータを暗号化された形式で受信する。ステップ３３０において、モジュール２１０は、受信したデータの分析を実行し、その間に、受信したデータに含まれるメッセージ及びそのパラメータを決定（分離）する。このために、モジュール２１０は、データ（この場合、暗号化／解読のメカニズムがモジュール２１０に含まれる）を解読し、その完全性をチェックすることによって受信データの真正性を判定し、直接その中に含まれるメッセージ（ファイル）及びそのパラメータを決定する。メッセージにより、パラメータは、（例えば、メッセージの種類等）そのメッセージを一意に識別する要素、受信したデータの内容、及びその真正性を確認した後に実行する必要がある操作（文書又は取引の確認等）を意味する。メッセージは、ファイル形式に関係なくテキスト文書と、銀行取引の少なくとも２つの種類に分類される。テキスト文書とは、ｔｘｔ、ｄｏｃ、ｘｌｓ等の拡張子を持つファイルのようにテキストを含むファイルを意味する。次に、メッセージの種類に応じて、モジュール２１０は、ＰＣ画面上で送信されているビデオストリームに後で追加されなければならない情報（メッセージ自体又はその一部を識別する）を決定する。

ステップ３４０において、データ変換モジュール２２０は、ユーザへの提示のためにモジュール２１０からの情報を含む情報メッセージ２６０を生成する。生成は、情報を必要な形式、即ちビデオストリーム（フレーム）の生成中に使用できる形式に変換する形で行われる。ステップ３５０において、保護要素２７０は、モジュール２１０から得られた情報に基づいて、情報メッセージに対して決定される。例えば、モジュール２１０からの情報として、メッセージの種類、又は情報メッセージの保護要素を形成するための命令に関する情報が送信される。保護要素の決定には、ユーザインターフェイス１１０の種類が考慮されることに留意されたい。図２Ａ及び図２Ｂのシステム１００の説明において、異なるタイプのユーザインターフェイス１１０及び可能な保護要素が検査されている。したがって、情報に応じて、少なくとも１つの保護要素２７０が選択され、後でビデオストリームを形成する際に使用される。１つの例示的な態様では、保護要素はランダムに選択されてもよい。保護要素２７０の選択に加えて、インタラクションの規則、即ち、ビデオストリーム、ユーザインタフェイス１１０上の保護要素の使用、及びそれらのインタラクションのための規則も決定される。例えば、規則には、ビデオストリーム及びユーザインターフェイス１１０内の保護要素が表示され、インタラクション（例えば、同時表示、変更又は変換、又はビデオストリーム内の保護要素によるビジュアル化方法への操作等）の順序に関する情報が含まれる。選択された保護要素２７０及び規則は、その後対応するモジュールに送信される。

ステップ３７０において、モジュール２４０は、取得された保護要素２７０及び情報メッセージ２６０を含むビデオストリームを生成する。ビデオストリームの生成のメカニズムは、図２を参照して上述した。その後、ステップ３８０において、ビデオストリームは、ビデオストリームの送信を実行するアプリケーションに対してＰＣの入出力ポート１８０に送信される。この応用の例は、図１の説明で与えられている。

ステップ３９０において、指示されたアプリケーションは、受信したビデオストリームの送信を実行し、そこで情報メッセージ及び保護要素が表示される。ビデオストリームの送信は、送信される情報及び／又は保護要素が、ユーザインターフェイス１１０に出力又は入力される情報と調整（相関）されるように行われる。ユーザインターフェイス１１０の種類に応じて、ユーザインターフェイス１１０上のビデオストリームの送信と共に、ビデオストリームからの保護要素に類似する保護要素、又はユーザインターフェイス１１０の表面（アクティブな要素）からの操作（動作）から受信される又はそれによって決定される情報に反応する、ビデオストリームに表示された保護要素が存在する。

図４は、実施形態に係り本発明のシステムと方法が実装できる汎用コンピュータ・システム（パーソナル・コンピュータやサーバ等）の例を示している。図示の通り、コンピュータ・システム２０は、ＣＰＵ２１と、システムメモリ２２と、ＣＰＵ２１と関連付けられたメモリを含む様々なシステムコンポーネントを接続するシステムバス２３とを含み得る。システムバス２３は、バスメモリ又は、バスメモリコントローラ、周辺バス、及びローカルバスを次々含む従来から公知のあらゆるバス構造としても実現され得、これらはどのような他のバスアーキテクチャとも通信可能である。システムメモリは、リードオンリーメモリ（ＲＯＭ）２４及びランダムアクセスメモリ（ＲＡＭ）２５を含む。基本的な入出力システム（ＢＩＯＳ）２６は、ＲＯＭ２４の使用によってオペレーティング・システムをロードする際等、コンピュータ・システム２０の要素間の情報の伝達を担う基本的な手順を含む。

コンピュータ・システム２０は、データの読み書きのためのハードディスク２７、取り外し可能な磁気ディスク２９の読み書きのための磁気ディスクドライブ２８、及びＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、その他の光学メディア等の光学ディスク３１の読み書きのための光学式ドライブ３０を含む。ハードディスク２７、磁気ディスクドライブ２８、及び光学式ドライブ３０は、ハードディスクインターフェース３２、磁気ディスクインターフェース３３、及び光学式ドライブインターフェース３４それぞれを横切るシステムバス２３と接続される。ドライブ及び対応するコンピュータ情報メディアは、コンピュータ命令、データ構造体、プログラムモジュール、及びコンピュータ・システム２０の他のデータのストレージのための電源依存のモジュールである。

本発明は、ハードディスク２７、取り外し可能な磁気ディスク２９及び取り外し可能な光学ディスク３１を用いるシステムの実装を提供するものだが、コンピュータに読み込み可能な形式でデータを保存できるフラッシュメモリカード、デジタルのディスク、ランダムアクセスのメモリ（ＲＡＭ）等の他のタイプのコンピュータ情報メディア５６を使用してもよいことに留意されたし。また、これはコントローラ５５を介してシステムバス２３に接続される。

コンピュータ・システム２０は、ファイルシステム３６を有し、記録されたオペレーティング・システム３５を保持する。また追加のプログラムアプリケーション３７、他のプログラムモジュール３８、及びプログラムデータ３９を有する。ユーザは、入力機器（キーボード４０、マウス４２）を用いてコマンドと情報をコンピュータ・システム２０に入力することができる。他の入力機器（不図示）：マイクロフォン、ジョイスティック、ゲームコントローラ、スキャナ等を用いることもできる。そのような入力機器は、通常、システムバスに次々接続しているシリアルポート４６を通じてコンピュータ・システム２０に差し込まれるが、それらは、他の方法例えばパラレル・ポート、ゲームポート、又は一般的なシリアルバス（ＵＳＢ）に接続される。ディスプレイ機器のモニタ４７又は他のタイプは、また、ビデオアダプタ４８等のインターフェースと交差するシステムバス２３に接続している。モニタ４７に加えて、パーソナル・コンピュータは、スピーカー、プリンタ等の他の周辺の出力機器（不図示）を接続できる。

コンピュータ・システム２０は、１つ又は複数のリモートコンピュータ４９とのネットワーク接続を用いて、ネットワーク環境で操作することができる。リモートコンピュータ（又はコンピュータ）４９は、図４に示すように、コンピュータ・システム２０の性質として説明した上述の要素全ての大多数を有するパーソナル・コンピュータ又はサーバでもある。ルータ、ネットワークステーション、ピア接続の機器、又は他のネットワークノード等の他の機器もまた、かかるコンピュータ・ネットワークで存在し得るものである。

ネットワーク接続は、ローカルエリアコンピュータ・ネットワーク（ＬＡＮ）５０及びワイドエリアコンピュータ・ネットワーク（ＷＡＮ）を形成することができる。そのようなネットワークは、企業のコンピュータ・ネットワーク及び社内ネットワークで利用され、それらはたいていインターネットにアクセスすることができる。ＬＡＮ又はＷＡＮネットワークにおいて、パソコン２０は、ネットワークアダプタ又はネットワークインターフェース５１に交差するローカルエリアネットワーク５０に接続されている。ネットワークが用いられる時には、パソコン２０は、通信にインターネット等のワイドエリアコンピュータ・ネットワークを実現するために、モデム５４又は他のモジュールを使用することができる。内部又は外部の機器であるモデム５４は、シリアルポート４６によりシステムバス２３と接続される。かかるネットワーク接続は、単なる一例であり、ネットワークの正確な構成を示すものではない。すなわち、技術の通信モジュールによって、あるコンピュータから他のコンピュータへの接続を確立する他の方法もあることに留意されたい。

様々な実施形態において、ハードウェア、ソフトウェア、ファームウェア、又はこれらのあらゆる組み合わせにおいて、ここで説明されたシステム及び方法を実施し得る。ソフトウェアにおいて実装される場合は、方法は不揮発性コンピュータ可読メディアの１つ又は複数の指示又はコードとして保存され得る。コンピュータ可読メディアは、データストレージを含む。あくまでも例であり限定するものではないが、そのようなコンピュータ可読メディアは、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ、フラッシュメモリ、若しくは他のタイプの電気、磁気、光学式の記憶媒体、又はその他のメディアであってもよい。すなわち、これらによって指示又はデータ構造体という形で、要求されたプログラムコードを運ぶか又は保存することができ、汎用コンピュータのプロセッサによってアクセスすることができる。

様々な実施形態で、本発明のシステム及び方法が、モジュールとして実装され得る。ここで用語「モジュール」は、実世界の機器、コンポーネント、又はハードウェアを用いて実装されたコンポーネント配置であり、例えばＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の、又は例えばモジュールの機能を実行するマイクロプロセッサシステムや指示セットによる等、ハードウェアとソフトウェアの組み合わせとして実装され得る。これらは、実行中にマイクロプロセッサシステムを特定の機器に変換する。モジュールは、ハードウェア単体により促進される一定の機能とハードウェア及びソフトウェアの組み合わせによって促進される他の機能という２つの組み合わせとして実施されてもよい。モジュールの少なくとも一部又は全部は、汎用コンピュータのプロセッサにおいて実行できる（図３において詳述したもの等）。したがって、各モジュールは様々な適当な構成で実現することができて、ここに例示した特定の実装に限られるものではない。

なお、実施形態の通常の機能のうちの全てをここで開示しているわけではない。本発明の何れの実施形態を開発する場合においてでも、開発者の具体的な目標を達成するためには多くの実施に係る特別な決定が必要であり、これらの具体的な目標は実施形態及び開発者ごとに異なることに留意されたし。そのような開発努力は、複雑で時間を要するものであるが、本発明の利益を享受し得る当業者にとってはエンジニアリングの日常であると理解されたい。

更に、本明細書で使用される用語又は表現は、あくまでも説明のためであり、限定するものではない。つまり、関連技術の熟練の知識と組み合わせて、本明細書の用語又は表現は、ここに示される教示及び指針に照らして当業者によって解釈されるべきであると留意されたし。明示的な記載がない限り、明細書又は特許請求の範囲内における任意の用語に対して、珍しい又は特別な意味を帰することは意図されていない。

本明細書で開示された様々な側面は、例示のために本明細書に言及した既知のモジュールの、現在及び将来の既知の均等物を包含する。更に、側面及び用途を示し、説明してきたが、本明細書に開示された発明の概念から逸脱することなく、上述したよりも多くの改変が可能であることが、この開示の利益を有する当業者には明らかであろう。

Claims (18)

1. 信頼されていないユーザ機器に関する情報の信頼できる提示のための方法であって、
   接続ステップと、受信ステップと、分析ステップと、生成ステップと、挿入ステップと、送信ステップとを備え、
   前記接続ステップでは、安全なポータブル機器を信頼できないユーザ機器に接続し、
   前記受信ステップでは、前記安全なポータブル機器が前記信頼されていないユーザ機器からのデータを受信し、
   前記分析ステップでは、前記信頼されていないユーザ機器を介してユーザに表示することを意図した情報を識別するために、前記安全なポータブル機器が前記受信したデータを分析し、
   前記生成ステップでは、前記安全なポータブル機器によって、前記ユーザへの表示を意図した情報の少なくとも一部を含むビデオストリームを生成し、
   前記挿入ステップでは、前記ビデオストリームに出力されている情報を認証するように機能する１つ又は複数の保護要素を生成して前記ビデオストリームに挿入し、
   １つ又は複数の前記保護要素は、前記安全なポータブル機器のユーザインターフェイスを介し、ユーザの入力に基づいて生成され、
   前記送信ステップでは、前記安全なポータブル機器が、１つ又は複数の前記保護要素が挿入されたビデオストリームをユーザ機器に送信する、
   方法。
2. 同期ステップを更に含み、
   前記同期ステップでは、ユーザ機器のディスプレイ上及び安全なポータブル機器の前記ユーザインターフェイス上において、保護要素のディスプレイを同期させる、
   請求項１に記載の方法。
3. 前記分析ステップは、判定ステップ、検査ステップ、決定ステップ、及び識別ステップのうちの少なくとも１つを更に備え、
   前記判定ステップでは、前記データが暗号化されているか否かを判定し、
   前記検査ステップでは、受信した前記データの真正性を検査し、
   前記決定ステップでは、受信した前記データ及びそのパラメータに含まれる情報を決定し、
   前記識別ステップでは、分析されたデータ内でユーザに表示されることを意図した情報を識別する、
   請求項１に記載の方法。
4. 前記保護要素は、背景、透かし、アニメーション、フォント及び単語又は文字位置の変更のうちの１つを含む、
   請求項１に記載の方法。
5. 前記保護要素は、ランダムに生成され選択されることを特徴とする、
   請求項１に記載の方法。
6. 変更ステップを更に備え、
   前記変更ステップでは、前記ビデオストリームに挿入された前記保護要素を定期的に変更する、
   請求項１に記載の方法。
7. 信頼されていないユーザ機器に関する情報の信頼できる提示のためのシステムであって、
   接続ステップと、受信ステップと、分析ステップと、生成ステップと、挿入ステップと、送信ステップとを実行可能に構成される少なくとも１つのプロセッサを含む安全なポータブル機器を備え、
   前記接続ステップでは、安全なポータブル機器を信頼できないユーザ機器に接続し、
   前記受信ステップでは、前記安全なポータブル機器が前記信頼されていないユーザ機器からのデータを受信し、
   前記分析ステップでは、前記信頼されていないユーザ機器を介してユーザに表示することを意図した情報を識別するために、前記安全なポータブル機器が前記受信したデータを分析し、
   前記生成ステップでは、前記安全なポータブル機器によって、前記ユーザへの表示を意図した情報の少なくとも一部を含むビデオストリームを生成し、
   前記挿入ステップでは、前記ビデオストリームに出力されている情報を認証するように機能する１つ又は複数の保護要素を生成して前記ビデオストリームに挿入し、
   １つ又は複数の前記保護要素は、前記安全なポータブル機器のユーザインターフェイスを介し、ユーザの入力に基づいて生成され、
   前記送信ステップでは、前記安全なポータブル機器が、１つ又は複数の前記保護要素が挿入されたビデオストリームをユーザ機器に送信する、
   システム。
8. 前記プロセッサが同期ステップを更に実行可能に構成され、
   前記同期ステップでは、ユーザ機器のディスプレイ上及び安全なポータブル機器の前記ユーザインターフェイス上において、保護要素のディスプレイを同期させる、
   請求項７に記載のシステム。
9. 前記分析ステップは、判定ステップ、検査ステップ、決定ステップ、及び識別ステップのうちの少なくとも１つを更に備え、
   前記判定ステップでは、前記データが暗号化されているか否かを判定し、
   前記検査ステップでは、受信した前記データの真正性を検査し、
   前記決定ステップでは、受信した前記データ及びそのパラメータに含まれる情報を決定し、
   前記識別ステップでは、分析されたデータ内でユーザに表示されることを意図した情報を識別する、
   請求項７に記載の方法。
10. 前記保護要素は、背景、透かし、アニメーション、フォント及び単語又は文字位置の変更のうちの１つを含む、
    請求項７に記載のシステム。
11. 前記保護要素は、ランダムに生成され選択されることを特徴とする、
    請求項７に記載のシステム。
12. 前記プロセッサが変更ステップを更に実行可能に構成され、
    前記変更ステップでは、前記ビデオストリームに挿入された前記保護要素を定期的に変更する、
    請求項７に記載のシステム。
13. 命令を格納するコンピュータ上で読み取り可能な不揮発性媒体であって、前記命令は、信頼されていないユーザ機器に関する情報の信頼できる提示のためのコンピュータ上で実行可能なもので、
    前記命令は、接続ステップと、受信ステップと、分析ステップと、生成ステップと、挿入ステップと、送信ステップとを、前記コンピュータに実行させ、
    前記接続ステップでは、安全なポータブル機器を信頼できないユーザ機器に接続し、
    前記受信ステップでは、前記安全なポータブル機器が前記信頼されていないユーザ機器からのデータを受信し、
    前記分析ステップでは、前記信頼されていないユーザ機器を介してユーザに表示することを意図した情報を識別するために、前記安全なポータブル機器が前記受信したデータを分析し、
    前記生成ステップでは、前記安全なポータブル機器によって、前記ユーザへの表示を意図した情報の少なくとも一部を含むビデオストリームを生成し、
    前記挿入ステップでは、前記ビデオストリームに出力されている情報を認証するように機能する１つ又は複数の保護要素を生成して前記ビデオストリームに挿入し、
    １つ又は複数の前記保護要素は、前記安全なポータブル機器のユーザインターフェイスを介し、ユーザの入力に基づいて生成され、
    前記送信ステップでは、前記安全なポータブル機器が、１つ又は複数の前記保護要素が挿入されたビデオストリームをユーザ機器に送信する、
    媒体。
14. 前記命令が同期ステップを更に備え、
    前記同期ステップでは、ユーザ機器のディスプレイ上及び安全なポータブル機器の前記ユーザインターフェイス上において、保護要素のディスプレイを同期させる、
    請求項１３に記載の媒体。
15. 前記分析ステップは、判定ステップ、検査ステップ、決定ステップ、及び識別ステップのうちの少なくとも１つを更に備え、
    前記判定ステップでは、前記データが暗号化されているか否かを判定し、
    前記検査ステップでは、受信した前記データの真正性を検査し、
    前記決定ステップでは、受信した前記データ及びそのパラメータに含まれる情報を決定し、
    前記識別ステップでは、分析されたデータ内でユーザに表示されることを意図した情報を識別する、
    請求項１３に記載の媒体。
16. 前記保護要素は、背景、透かし、アニメーション、フォント及び単語又は文字位置の変更のうちの１つを含む、
    請求項１３に記載の媒体。
17. 前記保護要素は、ランダムに生成され選択されることを特徴とする、
    請求項１３に記載の媒体。
18. 前記命令は、変更ステップを更に備え、
    前記変更ステップでは、前記ビデオストリームに挿入された前記保護要素を定期的に変更する、
    請求項１３に記載の媒体。