JP7378980B2

JP7378980B2 - 情報処理装置、情報処理方法およびプログラム

Info

Publication number: JP7378980B2
Application number: JP2019120325A
Authority: JP
Inventors: 信博田頭; 貴巳江口; 鮎太河津
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2019-06-27
Filing date: 2019-06-27
Publication date: 2023-11-14
Anticipated expiration: 2039-06-27
Also published as: JP2021005336A; US20220113990A1; WO2020262412A1

Description

本発明は、部分のソフトウェアの起動に関わる設定データを検証する情報処理装置、情報処理方法およびプログラムに関する。

機器を制御するソフトウェアを第三者が改ざんし、不正利用する攻撃が問題になっている。不正利用されてしまうと、情報資産を盗まれたり、他のシステムを攻撃する踏み台に利用されたりすることで、機器の所有者に甚大な被害を引き起こす危険性がある。そういった攻撃に対し、ソフトウェアが改ざんされていないことを機器利用時に検証する手段が考案されている。

特許文献１では、機器の起動時に「ソフトウェアを検証した後に実行する」という起動時検証を開示している。そして、任意のタイミングで実行するソフトウェアに対して「実行に先立って検証する」という実行時検証の二つの機能を有する機器において、起動時検証によって実行時検証を行うソフトウェアを検証している。これにより、機器の起動から実行時検証まで、検証結果を連鎖させることを実現して、信頼性の高い機器制御ソフトウェアの利用を実現している。

一方で、機器が有する機能増加、複雑化に伴いソフトウェアを機能単位毎に分割して機器内に配置し、分割した単位で必要に応じて実行する構成が一般的になっている。分割方法としては、複数の記憶媒体を機器に搭載し、記憶媒体毎に別のソフトウェアを配置する構成と、記憶媒体上にファイルシステムを構築して、ファイル毎に別のソフトウェアを配置する構成がある。一般的にコンピュータや組み込み機器は両方の手段を併用して複雑なソフトウェアの機能性を実現している。分割されたソフトウェアであるがゆえに、さまざまな機器の特性に応じたソフトウェアの起動制御も求められる。これに対応するため、直列起動や並列起動など柔軟性のある起動制御を実現できる仕組み（ｅ．ｇ．ｌａｕｎｃｈｄ、ｓｙｓｔｅｍｄ等）が実現されている。

特願２０１８－０８０７７５

しかしながら、特許文献１では、柔軟性がある起動制御の仕組みの影響を考慮していない。このため、柔軟性があるがゆえ、これを悪用し、起動時検証による実行時検証ソフトウェアの検証処理と、実行時検証ソフトウェアの実行の時間的ギャップに不正なソフトウェアを埋め込める可能性がある。

本発明の目的は、起動時検証と実行時検証の連携の正当性を高めることによって機器全体の制御ソフトウェアの信頼性を向上し、機器をセキュアに利用させることを目的とする。

本発明は、複数に分割され、複数の起動される部分のソフトウェアに対して、次に起動する前記部分のソフトウェア、および次に起動する前記部分のソフトウェアの起動に関わる設定データを検証する検証手段と、前記部分のソフトウェアと前記設定データとの特定情報およびハッシュ値を含む正解リストを保持する保持手段とを有し、前記検証手段は、前記正解リストにおける前記特定情報の有無および前記ハッシュ値の相違に基づき、前記部分のソフトウェアおよび前記設定データを検証することを特徴とする。

本発明によれば、起動時検証と実行時検証の連携の正当性を高めることによって機器全体の制御ソフトウェアの信頼性を向上するので、ユーザはセキュアに機器を利用することができる。

本発明に係わるＭＦＰとクライアントＰＣの接続形態を示すブロック構成図である。本発明に係わるＭＦＰのコントローラ部の内部構成図である。本発明に係わるＭＦＰのコントローラ内で実行されるソフトウェアのブロック構成図である。本発明に係わるＦｌａｓｈＲＯＭに配置されるデータの構成例である。本発明に係わる正解値リスト、起動制御データの例である。本発明に係わる起動制御データと起動順序を示した例である。本発明に係わるメニューに係る画面構成図である。本発明に係わる設定に係る画面構成図である。本発明に係わる管理者認証に係る画面構成図である。本発明に係わるセキュリティ設定に係る画面構成図である。本発明に係わるエラーによるシステム停止に係る画面構成図である。本発明に係わる実施例１のＭＦＰ側の処理を実施するフロー図である。本発明に係わる実施例２のＭＦＰ側の処理を実施するフロー図である。本発明に係わる実施例３のＭＦＰ側の処理を実施するフロー図である。

（実施形態１）
以下、本発明の実施の形態を図面に基づいて解説する。本実施例では、システム起動時のソフトウェア検証処理について説明する。ここではＭＦＰ（Ｍｕｌｔｉ－ＦｕｎｃｔｉｏｎＰｅｒｉｐｈｅｒａｌ：複合機）を例に実施例を説明するが、本発明は複合機以外の任意の情報処理装置に適用可能な技術である。

図１は本発明に係るＭＦＰとクライアントＰＣの接続形態を示すブロック図である。ＭＦＰ１００とクライアントＰＣ１１０はＬＡＮ１２０を介して接続されている。ＭＦＰ１００はユーザとの入出力を行う操作部１０２を有する。ＭＦＰ１００は電子データを紙媒体に出力するプリンタ部１０３を有する。ＭＦＰ１００は紙媒体を読み込み電子データに変換するスキャナ部１４０を有する。操作部１０２とプリンタ部１０３とスキャナ部１４０はコントローラ部１０１に接続され、コントローラ部１０１の制御に従い複合機としての機能を実現する。クライアントＰＣ１１０はＭＦＰ１００に対してプリントジョブの送信といった処理を行う。

図２はＭＦＰのコントローラ部１０１の詳細を示すブロック図である。ＣＰＵ２０１はコントローラ内の主な演算処理を行う。ＣＰＵ２０１はバスを介してＤＲＡＭ２０２と接続される。ＤＲＡＭ２０２はＣＰＵ２０１が演算する過程で演算命令を表すプログラムデータや、処理対象のデータを一時的に配置するための作業メモリとしてＣＰＵ２０１によって使用される。ＣＰＵ２０１はバスを介してＩ／Ｏコントローラ２０３と接続される。Ｉ／Ｏコントローラ２０３はＣＰＵ２０１の指示に従い各種デバイスに対する入出力を行う。Ｉ／Ｏコントローラ２０３にはＳＡＴＡ（ＳｅｒｉａｌＡｄｖａｎｃｅｄＴｅｃｈｎｏｌｏｇｙＡｔｔａｃｈｍｅｎｔ）Ｉ／Ｆ２０５が接続され、その先にＦｌａｓｈＲＯＭ２１１が接続される。ＣＰＵ２０１はＦｌａｓｈＲＯＭ２１１をＭＦＰの機能を実現するためのプログラム、各種設定データおよびドキュメントファイルを永続的に記憶するために使用する。Ｉ／Ｏコントローラ２０３にはネットワークＩ／Ｆ２０４が接続される。ネットワークＩ／Ｆ２０４の先には、有線ＬＡＮデバイス２１０が接続される。ＣＰＵ２０１はネットワークＩ／Ｆ２０４を介して有線ＬＡＮデバイス２１０を制御することで、ＬＡＮ１２０上の通信を実現する。Ｉ／Ｏコントローラ２０３にはパネルＩ／Ｆ２０６が接続され、ＣＰＵ２０１はパネルＩ／Ｆ２０６を介して操作部１０２に対するユーザ向けの入出力を実現する。Ｉ／Ｏコントローラ２０３にはプリンタＩ／Ｆ２０７が接続され、ＣＰＵ２０１はプリンタＩ／Ｆ２０７を介してプリンタ部１０３を利用した紙媒体の出力処理を実現する。Ｉ／Ｏコントローラ２０３にはスキャナＩ／Ｆ２０８が接続され、ＣＰＵ２０１はスキャナＩ／Ｆ２０８を介してスキャナ部１０４を利用した原稿の読み込み処理を実現する。Ｉ／Ｏコントローラ２０３にはＵＳＢＩ／Ｆ２０９が接続され、ＵＳＢＩ／Ｆに接続された任意の機器の制御を行う。ＲＯＭ２２０はＣＰＵ２０１とバスで接続されていて、ＢＩＯＳ（ＢａｓｉｃＩｎｐｕｔＯｕｔｐｕｔＳｙｓｔｅｍ）を実現する制御プログラムを記憶している。ＢＩＯＳ検証ユニット２２１はＲＯＭ２２０およびＣＰＵ２０１とバスで接続されていて、ＲＯＭ２２０に記憶されたＢＩＯＳデータの検証と、ＣＰＵへのＢＩＯＳ起動指示を行う。ここで、ＢＩＯＳ検証ユニット２２１はハードウェアであることを明記し、ＢＩＯＳ検証がハードウェア検証であることを確認しておく。ＢＩＯＳ検証ユニット２２１とＣＰＵ２０１を繋ぐバスは悪意のある第三者に細工をされないために、同一チップ、またはそれに準ずる構成で実現され外部から物理的に確認できない形態になっている。実施例１では、ＢＩＯＳ検証ユニット２２１の制御機構は集積回路としてハードウェアで実現されている構成を想定するが、専用のＣＰＵ、制御ソフトを記憶したＲＯＭといった要素を同一チップ内に実装し、製造後に変更できない構成であっても良い。

コピー機能を実施する場合は、ＣＰＵ２０１がＳＡＴＡＩ／Ｆ２０５を介してＦｌａｓｈＲＯＭ２１１からプログラムデータをＤＲＡＭ２０２に読み込む。ＣＰＵ２０１がＤＲＡＭ２０２に読み込まれたプログラムに従いパネルＩ／Ｆ２０６を介して操作部１０２に対するユーザからのコピー指示を検出する。ＣＰＵ２０１はコピー指示を検出するとスキャナＩ／Ｆ２０８を介してスキャナ部１０４から原稿を電子データとして受け取りＤＲＡＭ２０２に格納する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データに対して出力に適した色変換処理などを実施する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データをプリンタＩ／Ｆ２０７を介してプリンタ部１０３に転送し、紙媒体への出力処理を実施する。

ＰＤＬ（ＰａｇｅＤｅｓｃｒｉｐｔｉｏｎＬａｎｇｕａｇｅ）印刷を実施する場合は、クライアントＰＣ１１０がＬＡＮ１２０を介して印刷指示を行う。ＣＰＵ２０１はＳＡＴＡＩ／Ｆ２０５を介してＦｌａｓｈ２１１からプログラムデータをＤＲＡＭ２０２に読み込み、ＤＲＡＭ２０２に読み込まれたプログラムに従いネットワークＩ／Ｆ２０４を介して印刷指示を検出する。ＣＰＵ２０１はＰＤＬ送信指示を検出するとネットワークＩ／Ｆ２０４を介して印刷データを受信し、ＳＡＴＡＩ／Ｆ２０５を介してＦｌａｓｈＲＯＭ２１１に印刷データを保存する。ＣＰＵ２０１は印刷データの保存が完了すると、ＦｌａｓｈＲＯＭ２１１に保存した印刷データをＤＲＡＭ２０２に画像データとして展開する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データに対して出力に適した色変換処理などを実施する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データをプリンタＩ／Ｆ２０７を介してプリンタ部１０３に転送し、紙媒体への出力処理を実施する。

図３はＭＦＰのコントローラ部１０１で実行されるソフトウェアの構造をあらわすブロック図である。コントローラ部１０１で実行されるソフトウェアは全て、ＣＰＵ２０１が実行する。ＣＰＵ２０１は、ＲＯＭ２２０に記憶されたＢＩＯＳ３６０を実行する。ＣＰＵ２０１は、ＦｌａｓｈＲＯＭ２１１に記憶された、ローダ３７０、Ｉｎｉｔｒｄ３８０、コントローラソフト３００をＤＲＡＭ２０２に読み込んだ後に実行する。ＢＩＯＳ３６０はＩ／Ｏコントローラ２０３やＤＲＡＭ２０２をＣＰＵ２０１が制御するための基本処理を実行する。ＢＩＯＳ３６０は内部的にＢＩＯＳとしての制御ソフトと制御ソフトに対応する署名データで構成されている。ローダ読み込み検証部３６１はＢＩＯＳ３６０の制御ソフトに含まれ、ローダを検証する処理とローダに付与された署名に対応する公開鍵を含む。さらにＢＩＯＳ３６０はＦｌａｓｈＲＯＭ２１１からローダ３７０を読み込み、開始する処理を含む。ローダ３７０はＦｌａｓｈＲＯＭ２１１からカーネル３９０、Ｉｎｉｔｒｄ３８０を読み込み、開始する処理を実行する。ローダ３７０は内部的にローダとしての制御ソフトと制御ソフトに対応する署名データで構成されている。カーネル・Ｉｎｉｔｒｄ読み込み検証部３７１はローダ３７０に含まれ、カーネル、Ｉｎｉｔｒｄを検証する処理とカーネル、Ｉｎｉｔｒｄに付与された署名に対する公開鍵を含む。Ｉｎｉｔｒｄ３８０はＦｌａｓｈＲＯＭ２１１からコントローラソフト３００を読み込み、開始する処理を実行する。Ｉｎｉｔｒｄ３８０は内部的にＩｎｉｔｒｄとしての制御ソフトと制御ソフトに対する署名データで構成されている。起動時検証部３８１はＩｎｉｔｒｄ３８０に含まれ、コントローラソフト３００を構成する、全てのプログラムファイル等を起動時に検証する処理と、付与された署名に対する公開鍵を含む。ここで、全ての署名データに対する秘密鍵はソフトウェアの開発時のみ利用され一般に流通することはない。

操作制御部３０１は操作部１０２にユーザ向けの画面イメージを表示、およびユーザ操作の検知と画面上に表示したボタン等の画面部品に紐づけられた処理を実行する。データ記憶部３０２は他の制御部からの要求でデータをＦｌａｓｈＲＯＭ２１１に記憶、および読み出しを行う。例えば、ユーザが何らかの機器設定を変更したい場合は、操作部１０２にユーザが入力した内容を操作制御部３０１が検知し、操作制御部３０１からの要求でデータ記憶部３０２が設定値としてＦｌａｓｈＲＯＭ２１１に保存する。ネットワーク制御部３０７はデータ記憶部３０２に記憶された設定値に従い、システム起動時や、設定変更検出時にＩＰアドレスなどネットワーク設定をＴＣＰ／ＩＰ制御部３０８に行う。ＴＣＰ／ＩＰ制御部３０８は他の制御からの指示に従い、ネットワークＩ／Ｆ２０４を介して、ネットワークパケットの送受信処理を行う。ジョブ制御部３０３は他の制御部からの指示に従って、ジョブ実行の制御を行う。画像処理部３０４はジョブ制御部３０３からの指示に従って、画像データを用途ごとに適した形式に加工する。印刷処理部３０５はジョブ制御部３０３からの指示に従い、プリンタＩ／Ｆ２０７を介して、紙媒体に画像を印刷し出力する。読み取り制御部３０６はジョブ制御部３０３からの指示に従い、スキャナＩ／Ｆ２０８を介して、設置された原稿を読み込む。認証部３０９は管理者権限が必要な操作に対して、操作者が管理者であるか否かを判断する処理を行う。ソフトウェア更新部３１０はコントローラソフト３００を構成するプログラムファイルを、設置環境で更新する処理を行う。ＵＳＢ制御部３１１はＵＳＢＩ／Ｆ２０９を制御し、ＵＳＢ接続された任意の機器の制御を行う。起動制御部３１２はコントローラソフト３００を構成するプログラムファイル起動の制御を行う。後述する起動設定データに基づき、順次各プログラムファイルを起動する。実行時検証部３２２は、コントローラソフト３００を構成する、全てのプログラムファイルを実行時に検証する処理を含む。なお、実行時検証部３２２が検証する方法として、正解値リストをあらかじめ保持し、プログラムファイルの実行時に正解値リストと突き合わせて検証するホワイトリスト方式がある。しかし、本発明は実行時検証部３２２の特定の検証方式に依存する発明でないため、実行時検証部３２２の検証方式については特に限定しない。

例えば、コピー機能を実行する場合は操作制御部３０１がコピー機能の開始要求を検知し、ジョブ制御部３０３にコピーを指示する。ジョブ制御部３０３は読み取り制御部３０６に原稿読み取りを指示し、スキャン画像を取得する。ジョブ制御部３０３は画像処理部３０５に指示し、スキャン画像を印刷に適した形式に変換する。ジョブ制御部３０３は印刷制御部３０５に印刷を指示し、コピー結果を出力する。

図４にＦｌａｓｈＲＯＭ２１１に配置されるデータの例を示す。

まずは、操作制御部起動設定データファイル４０１、データ記憶部起動設定データファイル４０２、ジョブ制御部起動設定データファイル４０３がある。そして、画像処理部起動設定データファイル４０４、印刷処理部起動設定データファイル４０５、読み取り処理部起動設定データファイル４０６、ネットワーク制御部起動設定データファイル４０７がある。ＴＣＰ／ＩＰ制御部起動設定データファイル４０８、認証部起動設定データファイル４０９、ソフトウェア更新部起動設定データファイル４１０、ＵＳＢ制御部起動設定データファイル４１１がある。そして、起動制御部起動設定データファイル４１２、および実行時検証部起動設定データファイル４１３である起動設定データは、起動制御部３１２が各コントローラソフト３００の起動制御に利用する設定データである。起動時検証用正解値リスト４２１は起動検証部３８１が検証処理に利用する正解値のリストである。

図３ではコントローラ部１０１で実行されるソフトウェアの機能構成を示したが、ＢＩＯＳ３６０を除くこれらのプログラムファイル（ローダ３７０／ｉｎｉｔｒｄ３８０／カーネル３９０／コントローラソフト３００）はＦｌａｓｈＲＯＭ２１１に格納される。

さらに、図示していないが、起動設定データファイル以外の各種設定データ、印刷データやスキャンデータなどの各種ドキュメントデータもＦｌａｓｈＲＯＭ２１１に格納される。

図５は起動時検証用正解値リスト４２１、および起動設定データファイル４０１～４１３のサンプルである。

起動時検証用正解値リスト４２１はコントローラソフト３００に含まれる全てのプログラムファイルに対して、ファイル名５０１とハッシュ値５０２の組み合わせをリスト化したものである。データの内容としては、少なくともファイル名称、ファイルの配置場所（ディレクトリ上の位置）、ファイルから計算したハッシュ値を含むものとする。さらに、起動時検証用正解値リスト４２１は、コントローラソフト３００に含まれる全プログラムファイルだけでなく、コントローラソフト３００の起動に関わる全起動設定ファイルのハッシュ値を含んでいる。

起動設定データファイル４０１～４１３は、コントローラソフト３００毎にそのプログラムをどのように起動するかを規定した、プログラムファイルの起動に関する設定値を定めたものである。データの内容としては、起動するプログラムの識別に必要な情報（ｅ．ｇ．プログラムファイル名５１３）、実行に必要な情報（ｅ．ｇ．実行場所５１２）、実行のタイミングに関する情報（ｅ．ｇ．優先度５１４、依存５１５）を含むものとする。図６は、一例として、実行タイミングに関する情報を抜粋した起動設定データファイル４０１ａ～４１３ａと、それに対応したプログラムの起動順序を示した図である。例えば、起動制御部起動設定データファイル４０１ａは「優先度：初期起動、依存：ＮＯＮＥ」となっているため、起動制御部３１２が最初に起動する。データ記憶部起動設定データファイル４０２ａは「優先度：初期起動、依存：起動制御部」と起動制御部だけに依存しているため、データ記憶部３０２は起動制御部３１２の次に起動する。仮に、「優先度：初期起動、依存：起動制御部」とした新たな起動設定データファイルを不正に追加するとデータ記憶部３０２と同タイミングで起動することになり、実行時検証部３２２の前に不正プログラムを起動できる可能性が生じる。本発明はこのような不正を防止することを目的としている。

図７は操作部１０２に表示される、メニュー画面７０１であり複合機が持つさまざまな機能の実行をユーザが指示するためのものである。ボタン７０２はコピー機能をユーザが指示するために利用される。ボタン７０３はスキャンして保存する機能をユーザが指示するために利用される。ボタン７０４はスキャンして送信する機能をユーザが指示するために利用される。ボタン７０５は機器の設定変更をユーザが指示するために利用される。ボタン７０５を押すことで、設定画面８０１を表示することができる。表示領域７０６は機器の動作中に発生したさまざまなユーザ向けのメッセージを表示する。

図８は操作部１０２に表示される、設定画面８０１でありさまざまな設定をユーザが指示するためのものである。この画面自体に具体的な設定項目はなく、詳細な設定項目へのガイドとなる中間階層である。ボタン８０２を押すことでセキュリティ設定画面１００１を表示することができる。ボタン８０３を押すことで、不図示の機器設定画面を表示することができる。ボタン８０４を押すことで、不図示のユーザ設定画面を表示することができる。ボタン８０５を押すことで、ソフトウェアの更新を開始することができる。表示領域８０６は機器の動作中に発生したさまざまなユーザ向けのメッセージを表示する。

図９は操作部１０２に表示される、管理者認証画面９０１であり管理者認証コードをユーザが入力するためのものである。この画面は、管理者権限が必要な機能の実施に先立って表示され、管理者権限を有する操作者であることを確認する。例えば、セキュリティ設定画面１００１の表示前や、ボタン８０５押下してからソフトウェアの更新を開始する前に表示される。９０２はユーザが管理者認証コードを入力する領域であり、ボタン９０３は９０２に入力した認証コードの確認開始するために使われる。認証コードの確認は、認証部３０９によって行われ、認証に成功した場合は管理者権限が必要な処理を実行し、失敗した場合は管理者権限が必要な処理の実行を中止する。

図１０はセキュリティ設定画面１００１であり、ＭＦＰ１００に対するセキュリティ設定を行う。起動時検証１００２が選択された場合はシステム起動時に行う起動時検証機能が有効化される。実行時検証１００３が選択された場合は機能実行時に行う実行時検証機能が有効化される。ボタン１００４を押下すると、セキュリティ選択画面１００１の選択状態が、機器設定としてデータ記憶部３０２に記憶される。起動時検証機能と実行時検証機能のソフトウェア検証処理は検証のための計算時間が必要なため、検証しない場合に比べて機器の動作速度が劣化する。つまり、安全性と処理性能がトレードオフの関係にある。管理者は運用、設置ポリシー、ユーザの満足度を鑑みて設定する必要がある。ＭＦＰ１００はマルチユーザデバイスであるが、この画面は管理者権限を持つ操作者しか操作することができない。設定の影響を受けるのは全ユーザであるが、設定を行うのは管理者のみである。

図１１は操作部１０２に表示される、エラー画面１１０１である。この画面はシステム停止エラーとしてユーザにファームウェアが改ざんされ、システムを停止したことを通知している。また、この画面から通常の機能実行画面に遷移することはできず、ユーザはＭＦＰ１００を利用することはない。

図１２を用いて、ＭＦＰ１００の起動処理フロー、および起動時のプログラムファイル等を検証する処理フローを説明する。図１２の検証処理は起動時検証１００２が選択されている場合のみ実行される。この処理は、起動するたびに一度行われる。ここで図１２（Ａ）に従いＭＦＰ１００が実施する処理は、ＢＩＯＳ検証ユニット２２１が実施するものである。以下の説明で、図（Ａ）の検証処理をハードウェア検証と呼ぶ。図１２（Ｂ）に従いＭＦＰ１００が実施する処理は、ＦｌａｓｈＲＯＭ２１１に格納されたプログラムをＣＰＵ２０１がＤＲＡＭ２０２に読み込んだのち、ＣＰＵ２０１の演算処理として実施するものである。以下の説明で、図１１（Ｂ）の検証処理をソフトウェア検証と呼ぶ。夫々の検証処理は同じＭＦＰ１００による検証処理であっても、検証主体が異なること、ハードウェア検証はＣＰＵ２０１の実行するソフトウェアの検証処理ではないことに留意されたい。

電源が供給され、起動処理が開始されるとＢＩＯＳ検証ユニット２２１が起動され、Ｓ１２０１としてＢＩＯＳの検証処理を開始する。

Ｓ１２０２でＭＦＰ１００はＢＩＯＳ３６０の検証処理を実施し、成功したかどうか確認する。成功した場合はＳ１２０３を実行し、失敗した場合はＳ１２０５を実行する。検証処理としてはＢＩＯＳ検証ユニット２１１がＲＯＭ２２０から読み込んだＢＩＯＳ３６０の署名に対して、ＢＩＯＳ検証ユニット２１１に配置された公開鍵を用いて署名検証を行う。本発明の起動時検証は、起動順序を考慮した署名検証であり、署名検証主体は次に起動する主体の署名検証を行うことでセキュリティ性を担保する。

Ｓ１２０３でＭＦＰ１００はＣＰＵ２０１に指示することでＢＩＯＳ３６０を起動する。

Ｓ１２０５でＭＦＰ１００はＢＩＯＳの起動を行わず、起動シーケンスをこのステップで中止することでシステムを停止する。ここで、ＢＩＯＳ検証ユニット２２１はユーザ通知に関するデバイスを持たないため、通知は行わないが、ＬＥＤ（ＬｉｇｈｔＥｍｉｔｔｉｎｇＤｉｏｄｅ）を接続して、発光させることで通知をおこなっても良い。

Ｓ１２０４でＭＦＰ１００はＢＩＯＳ３６０の検証処理を終了する。

ハードウェア検証は、ハードウェアで実装された検証方法であり、この検証処理を改ざんするためには集積回路の改ざんが必要であり、極めて堅牢な検証方法である。

ＢＩＯＳ３６０が起動されると、Ｓ１２１１としてＦｌａｓｈＲＯＭ２１１に配置されたソフトウェアの検証処理を開始する。

Ｓ１２１２でＭＦＰ１００はローダ読み込み検証部３６１を利用して、ローダ３７０の検証処理を実施し、成功したかどうか確認する。成功した場合はＳ１２１３を実行し、失敗した場合はＳ１２２１を実行する。検証処理としてはＦｌａｓｈＲＯＭ２１１から読み込んだ、次の起動対象であるローダ３７０の署名に対して、ローダ読み込み検証部３６１が持つ公開鍵を用いて署名検証を行う。

Ｓ１２１３でＭＦＰ１００はローダを起動する。

Ｓ１２１４でＭＦＰはカーネル・Ｉｎｉｔｒｄ読み込み検証部３７１を利用して、カーネル３９０の検証処理を実施し、成功したかどうか確認する。成功した場合はＳ１２１５を実行し、失敗した場合はＳ１２２１を実行する。検証処理としてはＦｌａｓｈＲＯＭ２１１から読み込んだ、次の起動対象であるカーネル３９０の署名に対して、カーネル・Ｉｎｉｔｒｄ読み込み検証部３７１が持つカーネル３９０の署名に対する公開鍵を用いて署名検証を行う。

Ｓ１２１５でＭＦＰ１００はカーネルを起動する。

Ｓ１２１６でＭＦＰはカーネル・Ｉｎｉｔｒｄ読み込み検証部３７１を利用して、Ｉｎｉｔｒｄ３８０の検証処理を実施し、成功したかどうか確認する。成功した場合はＳ１２１７を実行し、失敗した場合はＳ１２２１を実行する。検証処理としてはＦｌａｓｈＲＯＭ２１１から読み込んだ、次の起動対象であるＩｎｉｔｒｄ３８０の署名に対して、カーネル・Ｉｎｉｔｒｄ読み込み検証部３７１が持つＩｎｉｔｒｄ３８０の署名に対する公開鍵を用いて署名検証を行う。

Ｓ１２１７でＭＦＰ１００はＩｎｉｔｒｄ３８０を起動する。

Ｓ１２１８でＭＦＰ１００は起動時検証部３８１を利用して、コントローラソフト３００等のＦｌａｓｈＲＯＭ２１１の検証を実施し、成功したかどうか確認する。成功した場合はＳ１２１９を実行し、失敗した場合はＳ１２２１実行する。検証処理としてはＦｌａｓｈＲＯＭ２１１から読み込んだ次の起動対象である。すなわち、起動時検証用正解値リスト４２１に記載されたコントローラソフト３００に含まれる全プログラムファイルを対象とした検証処理である。更に、起動時検証用正解値リスト４２１に記載されたコントローラソフト３００の起動に関わる起動設定データファイル４０１～４１３を対象とした検証処理になっている。起動時検証用正解値リスト４２１に記載されたハッシュ値を、ＦｌａｓｈＲＯＭ２１１を読み込んで再計算したファイルのハッシュ値と、ファイル毎に比較することによって検証する。

Ｓ１２１９でＭＦＰ１００はコントローラソフト３００の起動を開始する。コントローラソフト３００は複数のプログラムファイルに分割されているため、システムの起動のために必要なプログラムファイルが順次起動される。より詳細には、最初に起動制御部３１２を起動する。起動制御部３１２は起動設定データファイル４０１～４１３をすべて読み込み、優先度５１４と依存５１５に基づき起動順序を決定する。例えば、優先度５１４が最高位であって、他への依存５１５がないものを最上位と決定する。他にも起動順序の決定方法は考えられるが、本発明は特定の起動順序の決定方法に依存するものではなく、さまざまな決定方法を利用することができる。起動制御部３１２は決定した起動順位に従い、順次プログラムファイルを起動する。このコントローラソフト３００の起動の中で、ＭＦＰ１００は実行時検証部３２２も起動する。

Ｓ１２２１でＭＦＰ１００は改ざんを検知したことを、操作部１０２にエラー画面９０１を表示することでユーザに通知する。

Ｓ１２２２でＭＦＰ１００は起動シーケンスをこのステップで中止することでシステムを停止する。

Ｓ１２２０でＭＦＰ１００はＦｌａｓｈＲＯＭ２１１に配置されたソフトウェアの検証処理を終了する。

一般的にソフトウェア検証はソフトウェアによって実装された検証方法であるため、記憶部のソフトウェアを書き換えることで改ざんすることができる。上記フローの様に、検証を行うソフトウェアをあらかじめ別の構成部によって検証しておくことで、改ざんされていないことを保証できる。そして、連鎖するソフトウェア検証の起点に、ハードウェア検証を用いることにより、システム全体が改ざんされていないことを保証できる。さらに、実行時検証部の起動に、ソフトウェア検証を適用させることで、システム起動後の改ざんに対しても、ハードウェア検証を起点とする強固な信頼性を確保できる。特に、複数のプログラムファイルに分割されたコントローラソフト３００において、プログラムファイルだけでなく、起動設定ファイルをあらかじめ検証しておくことで、実行時検証部の確実な起動を確保することができる。

（実施形態２）
以下、本発明の第二の実施の形態について図１３を用いて解説する。本実施例では、Ｓ１２１８におけるコントローラソフト３００の起動に関わる起動設定データを対象とした検証処理における他の形態について説明する。なお、記載を省略した部分については、実施例１と同じ構成および処理である。

Ｓ１３０１でＭＦＰ１００は、起動時検証用正解値リスト４２１の中から、コントローラソフト３００の起動に関わる起動設定データファイルを検索して、検索した起動設定データファイルがＦｌａｓｈＲＯＭ２１１に存在するか否かを検証する。検索した全ての起動設定データファイルがＦｌａｓｈＲＯＭ２１１に存在した場合はＳ１３０２を実行し、それ以外はＳ１３０６を実行する。起動時検証用正解値リスト４２１の中から起動設定データファイルを検索する方法としては、ファイル名５０１中のディレクトリ名や拡張子を利用する方法がある。起動設定データファイルを保持しているディレクトリと一致するか、起動設定データファイルの拡張子と一致するかを比較することで検索することができる。

Ｓ１３０２でＭＦＰ１００は、ＦｌａｓｈＲＯＭ２１１に存在する起動設定データファイル４０１～４１３を検索して、検索した起動設定データファイル４０１～４１３が起動時検証用正解値リスト４２１中に存在するか否かを検証する。検索した全ての起動設定データファイル４０１～４１３が起動時検証用正解値リスト４２１に存在した場合はＳ１３０３を実行し、それ以外はＳ１３０６を実行する。ＦｌａｓｈＲＯＭ２１１から起動設定データファイル４０１～４１３を検索する方法としても、ディレクトリ名や拡張子を利用する方法がある。起動設定データファイル４０１～４１３を保持しているディレクトリの中から、起動設定データファイル４０１～４１３の拡張子と一致するファイルを検索することができる。

Ｓ１３０３でＭＦＰ１００は、ハッシュ値の比較による検証である。詳細はＳ１２１８で示した方法と同様であるため、詳細の記載は省略する。

ＭＦＰ１００はＳ１３０４でＦｌａｓｈＲＯＭ２１１の検証に成功したと判断し、Ｓ１３０６で検証に詩パイしたと判断する。

以上のフローにより、起動設定データファイル４０１～４１３の不正な削除および不正な追加を検出できる。これは、ＭＦＰ１００の起動時において、本来起動しなければならないが起動していないコントローラソフト３００、および本来起動してはいけない第三者のプログラムを検出することを可能にする。この結果、ＭＦＰ１００の起動の信頼性、つまり実行時検証の信頼性を起動時検証からより高い信頼性でつなぐことを可能にする。

（実施形態３）
以下、本発明の第三の実施の形態について図１４を用いて解説する。本実施例では、Ｓ１２１８におけるコントローラソフト３００の起動に関わる起動設定データを対象とした検証処理における他の形態について説明する。なお、記載を省略した部分については、実施例１または実施例２と同じ構成および処理である。

Ｓ１３０２は、処理フローは実施例２とほぼ同様であるが、検索した全ての起動設定データファイルが起動時検証用正解値リスト４２１に存在した場合は実施例２同様にＳ１３０３を実行し、それ以外はＳ１４０１を実行する。

Ｓ１４０１でＭＦＰ１００は、ＦｌａｓｈＲＯＭ２１１に存在するが、起動時検証用正解値リスト４２１中に存在しない起動設定データファイル４０１～４１３について削除を実行する。対象の全ての起動設定データファイル４０１～４１３の削除に成功した場合はＳ１３０３を実行し、それ以外はＳ１３０６を実行する。

以上のフローにより、起動設定データファイル４０１～４１３の不正な削除はなく、不正な追加だけを検出した場合に、ＭＦＰ１００は不正に追加された起動設定データファイル４０１～４１３の削除を実行する。対象の全ての起動設定データファイル４０１～４１３を削除できた場合、処理を継続する。この結果、実施例２同様に、ＭＦＰ１００の起動の信頼性、つまり実行時検証の信頼性を起動時検証からより高い信頼性でつなぐことを可能にするとともに、復元可能な場合は復元してＭＦＰ１００の稼働率を向上することができる。

（その他の実施例）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

Claims

複数に分割され、複数の起動される部分のソフトウェアに対して、次に起動する前記部分のソフトウェア、および次に起動する前記部分のソフトウェアの起動に関わる設定データを検証する検証手段と、
前記部分のソフトウェアと前記設定データとの特定情報およびハッシュ値を含む正解リストを保持する保持手段とを有し、
前記検証手段は、前記正解リストにおける前記特定情報の有無および前記ハッシュ値の相違に基づき、前記部分のソフトウェアおよび前記設定データを検証することを特徴とする情報処理装置。
任意のタイミングで実行されるソフトウェアを実行に先立って検証する実行時検証手段とを有し、
前記検証手段によって前記実行時検証手段を実現する前記部分のソフトウェア、および前記実行時検証手段の起動に関わる設定データを検証する
ことを特徴とする請求項１に記載の情報処理装置。
前記検証手段は、システム起動時にハードウェアに設定された方法によって前記部分の
ソフトウェアを検証し、かつ検証した前記部分のソフトウェアによって他の前記部分のソフトウェア、および前記部分のソフトウェアの起動に関わる設定ファイルを検証する
ことを特徴とする請求項１または請求項２に記載の情報処理装置。
前記検証手段は、前記設定データが改ざんされているかどうかを検証することに加えて、他の設定データが不正に追加されていること、および前記設定データが削除されていることも検証する
ことを特徴とする請求項１乃至請求項３のいずれか１項に記載の情報処理装置。
前記設定データを削除する削除手段を有し、
前記検証手段によって前記設定データが削除されておらず、かつ他の設定データが不正に追加されていることだけを検出した場合に、検出した前記他の設定データを前記削除手段によって削除する
ことを特徴とする請求項４に記載の情報処理装置。
前記検証手段は、前記設定データを検証することで、前記部分のソフトウェアの起動の
順序を検証する
ことを特徴とする請求項１乃至請求項５のいずれか１項に記載の情報処理装置。
前記設定データは、前記部分のソフトウェアの起動の順序を規定するための情報を含み、
前記検証手段は、前記起動の順序を規定するための情報に基づき、前記部分のソフトウ
ェアの起動の順序を検証することを特徴とする請求項６に記載の情報処理装置。
検証手段が、複数に分割され、複数の起動される部分のソフトウェアに対して、次に起
動する前記部分のソフトウェア、および次に起動する前記部分のソフトウェアの起動に関
わる設定データを検証する検証工程と、
保持手段が、前記部分のソフトウェアと前記設定データとの特定情報およびハッシュ値を含む正解リストを保持する保持工程とを有し、
前記検証工程では、前記正解リストにおける前記特定情報の有無および前記ハッシュ値の相違に基づき、前記部分のソフトウェアおよび前記設定データを検証することを特徴とする情報処理方法。
コンピュータを、
複数に分割され、複数の起動される部分のソフトウェアに対して、次に起動する前記部
分のソフトウェア、および次に起動する前記部分のソフトウェアの起動に関わる設定デー
タを検証する検証手段と、
前記部分のソフトウェアと前記設定データとの特定情報およびハッシュ値を含む正解リストを保持する保持手段とを有し、
前記検証手段は、前記正解リストにおける前記特定情報の有無および前記ハッシュ値の相違に基づき、前記部分のソフトウェアおよび前記設定データを検証することを特徴とする情報処理装置として機能させるプログラム。