JP7428049B2

JP7428049B2 - デバイス、セキュアエレメント及びデバイスのセキュアブート方法

Info

Publication number: JP7428049B2
Application number: JP2020061466A
Authority: JP
Inventors: 正徳浅野
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2020-03-30
Filing date: 2020-03-30
Publication date: 2024-02-06
Anticipated expiration: 2040-03-30
Also published as: JP2021164009A

Description

本発明は、デバイス、セキュアエレメント及びデバイスのセキュアブート方法に関する。

ＩｏＴデバイスにおけるセキュリティ確保の技術として、セキュアブートと呼ばれる技術が普及し始めている。セキュアブートとは、ＰＣ等のデバイス起動時に、予めデジタル署名が施されたソフトウェアしか実行できないようにすることで、不正なソフトウェアによるデバイスの起動を防止するための技術である。

特許文献１には、ブートローダによるセキュアブートの技術の一例が開示されている。セキュアブートの技術では、電源投入時、ブートローダは、セキュアブートにおける信頼の基点（Root of Trust）となっている。このようなセキュアブートでは、例えば、ブートローダは、Root of Trustコードを検証し、検証が成功した場合、Root of Trustコードを実行する。Root of Trustコードは、ＯＳの実行イメージを検証し、検証が成功した場合、ＯＳを実行し、ＯＳの起動処理が完了した時点でブート完了となる。

特開２０１５－２０１０９１号公報

しかし、従来のセキュアブートの技術には、以下のような問題が残存する。鍵による検証や復号を行わせて実行コードの正当性を検証する場合、別々の媒体に保持されている鍵と実行コードに強い関連性が発生し、更新する場合には、両者の更新が必要となる。また、ＩｏＴデバイスは、一般に長期間、場合によっては無人で連続稼働することもあり、鍵を保持するには耐タンパ性が求められる。また、公開鍵に基づくソフトウェア検証を行う場合、鍵とソフトウェアの両方を改ざんして正当な検証が行われたように見せかけることが可能となる。さらに、ブートローダを信頼できるRoot of Trustをベースとして更新させることが難しく、更新のタイミングで不正に書き換えられる余地がある。

本発明は、斯かる事情に鑑みてなされたものであり、より安全性の高いセキュアブートを実現できるデバイス、セキュアエレメント及びデバイスのセキュアブート方法を提供することを目的とする。

本発明の実施の形態に係るデバイスは、セキュアブート機能を有するデバイスであって、ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を保持するセキュアエレメントと、初期実行コードとして、ブートローダ情報読出処理、ブートローダ検証処理、及びブートローダ実行処理を実行順序も含めて保持する書き換え不可能な不揮発性メモリとを備え、デバイス起動時に、前記ブートローダ情報読出処理を実行して、前記セキュアエレメントから前記ブートローダ情報を読み出し、前記ブートローダ検証処理は、前記ブートローダ検証鍵、及び前記ブートローダの署名を用いて前記ブートローダを検証し、検証が成功した場合、前記ブートローダ実行処理は、前記ブートローダを実行する。

本発明の実施の形態に係るセキュアエレメントは、セキュアブート機能を有するデバイスに実装されるセキュアエレメントであって、ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を保持し、デバイス起動時に、前記ブートローダの検証のために前記ブートローダ情報を前記デバイスへ出力する。

本発明の実施の形態に係るデバイスのセキュアブート方法は、初期実行コードとして、ブートローダ情報読出処理、ブートローダ検証処理、及びブートローダ実行処理を実行順序も含めて書き換え不可能な不揮発性メモリに保持しておき、デバイス起動時に、前記ブートローダ情報読出処理を実行して、セキュアエレメントから、ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を読み出し、前記ブートローダ検証処理は、前記ブートローダ検証鍵、及び前記ブートローダの署名を用いて前記ブートローダを検証し、検証が成功した場合、前記ブートローダ実行処理は、前記ブートローダを実行する。

本発明によれば、より安全性の高いセキュアブートを実現できる。

本実施の形態の鍵、証明書及び署名のトラストチェーン（Trust Chain）を示す模式図である。ＩｏＴデバイスの構成の一例を示す模式図である。基本的なブートプロセスの一例を示す説明図である。ブートローダによる実行イメージの検証の一例を示す説明図である。ブートローダ読み出し前の認証の一例を示す説明図である。ブートローダ情報の遠隔管理の一例を示す説明図である。ブートローダ情報の更新の一例を示す説明図である。

以下、本発明をその実施の形態を示す図面に基づいて説明する。図１は本実施の形態の鍵、証明書及び署名のトラストチェーン（Trust Chain）を示す模式図である。本実施の形態では、ＩｏＴデバイス製造者、セキュアエレメント製造者、ブートローダ以降に実行されるソフトウェア製造者の３者がそれぞれ必要なデータを保持しつつ、対象鍵ペアを各製造者が適切に管理することで、複数のソフトウェア実装主体が協力してセキュアなブートを実現する。ＩｏＴデバイスは、例えば、ＯＳを搭載して独立動作をすることができるデバイス（電子デバイスとも称する）であり、「モノのインターネット」（ＩｏＴ）でいうところの「モノ」に該当するデバイスである。

なお、本実施の形態では、説明を容易にするため、ブートローダ以降に実行されるソフトウェアとしてＩｏＴデバイスＯＳ（例えば、ＲＴＯＳ：Real Time Operating System、Ｌｉｎｕｘ(登録商標）等）を想定しているが、これらに限定されるものではなく、Ｄｏｃｋｅｒイメージ等のソフトウェアコンテンツ等も含め、ブートローダ以降に実行されるソフトウェアイメージ全てが含まれる。

データは、大別して、実行可能なソフトウェア、鍵、署名（証明書）の３つに分類される。まず、実行可能なソフトウェアについて説明する。

実行可能なソフトウェアには、例えば、ブートローダ１１、及びＩｏＴデバイスＯＳ１２が含まれる。ブートローダ１１は、ＩｏＴデバイス上でブート処理を実行するソフトウェアであり、ＩｏＴデバイスの特定の処理（ブートローダ実行機能）からＯＳの起動を行うためのコードである。

ＩｏＴデバイスＯＳ１２は、ＩｏＴデバイス上で実際に動作するＯＳであり、ＲＴＯＳやＲｉｃｈＯＳ（Ｌｉｎｕｘ等）の実行イメージに相当する。ブートローダ１１、ＩｏＴデバイスＯＳ１２は、それぞれＩｏＴデバイス製造者、ＩｏＴデバイスＯＳベンダが実装してもよく、ブートローダ１１、ＩｏＴデバイスＯＳ１２の両方をいずれか一方の主体が実装してもよい。ブートローダ１１は、セキュアエレメント製造者に提供される必要がある。

次に、鍵について説明する。鍵には、例えば、セキュアエレメントＣＡ公開鍵２１、セキュアエレメントＣＡ秘密鍵２２、ブートローダ検証鍵（公開鍵）２３、ブートローダ署名生成鍵（秘密鍵）２４、ＯＳ検証鍵（公開鍵）２５、及びＯＳ署名生成鍵（秘密鍵）２６が含まれる。

セキュアエレメントＣＡ公開鍵２１は、セキュアエレメント製造者が、セキュアエレメント個々の鍵の正当性を証明（署名検証）するための公開鍵である。セキュアエレメントＣＡ秘密鍵２２は、セキュアエレメント製造者が、セキュアエレメント個々の鍵に署名を付与するための鍵である。

ブートローダ検証鍵（公開鍵）２３は、セキュアエレメント製造者によって生成されたブートローダに対する署名を検証するための鍵である。ブートローダ署名生成鍵（秘密鍵）２４は、セキュアエレメント製造者がブートローダに対する署名を生成するための鍵である。

ＯＳ検証鍵（公開鍵）２５は、ＩｏＴデバイスＯＳベンダによって生成されたＩｏＴデバイスＯＳに対する署名を検証するための鍵である。ＯＳ署名生成鍵（秘密鍵）２６は、ＩｏＴデバイスＯＳベンダがＩｏＴデバイスＯＳに対する署名を生成するための鍵である。ＯＳ検証鍵（公開鍵）２５は、セキュアエレメント製造者に提供される必要がある。

次に、署名について説明する。署名は、送信内容が改ざんされたとき、受信者が改ざんされたことを分かるようにする技術である。一般的には、送信者は、データをハッシュ化してダイジェストを生成し、生成したダイジェストを秘密鍵で暗号化することで署名を生成する。送信者はデータと一緒に署名を送信する。受信者は、データと署名を受信し、データをハッシュ化してダイジェストを生成する。受信者は署名を公開鍵で復号してダイジェストを得る。２つのダイジェストを比較して一致・不一致を判定する。両者が一致していれば、データが改ざんされていないことを確認できる。

署名には、例えば、ブートローダデジタル署名３１、ブートローダ検証鍵証明書３２、ＯＳデジタル署名３３、及びＯＳ検証鍵証明書３４が含まれる。

ブートローダデジタル署名３１は、ブートローダ１１に対し、ブートローダ署名生成鍵（秘密鍵）２４によって生成された署名である。例えば、ブートローダ１１（バイナリ列）のハッシュ値をブートローダ署名生成鍵（秘密鍵）２４で暗号化した値を署名とすることができる。ブートローダ検証鍵証明書３２は、ブートローダ検証鍵（公開鍵）２３に対し、セキュアエレメントＣＡ秘密鍵２２によって生成された署名である。例えば、ブートローダ検証鍵（公開鍵）２３のハッシュ値をセキュアエレメントＣＡ秘密鍵２２で暗号化した値を署名とすることができる。

ＯＳデジタル署名３３は、ＩｏＴデバイスＯＳのイメージに対し、ＯＳ署名生成鍵（秘密鍵）２６によって生成された署名である。例えば、ＩｏＴデバイスＯＳ（バイナリ列）のハッシュ値をＯＳ署名生成鍵（秘密鍵）２６で暗号化した値を署名とすることができる。ＯＳ検証鍵証明書３４は、ＯＳ検証鍵（公開鍵）２５に対し、セキュアエレメントＣＡ秘密鍵２２によって生成された署名である。例えば、ＯＳ検証鍵（公開鍵）２５のハッシュ値をセキュアエレメントＣＡ秘密鍵２２で暗号化した値を署名とすることができる。

本実施の形態では、署名対象のハッシュ値に対して署名生成鍵で暗号化を行うという方法で署名を生成しているが、署名生成アルゴリズムは、これに限定されるものではなく、対象鍵暗号に依拠する署名生成、検証方法であれば、いずれの方法を用いてもよい。

署名検証は、検証鍵によって署名を復号し、署名対象と比較することで行われる。検証鍵は署名生成鍵と対向した鍵でなればならず、かつ署名生成は対向する秘密鍵を持っていなければ不可能である。よって、署名対象の検証に成功した場合、署名対象は秘密鍵を有する主体によって署名が行われ、かつ署名時点から改ざんされていないことを証明したことになる。

本実施の形態では、（１）ブートローダ検証鍵（公開鍵）２３によるブートローダデジタル署名３１の検証（ブートローダ１１が改ざんされていないことの証明）、（２）セキュアエレメントＣＡ公開鍵２１によるブートローダ検証鍵（公開鍵）２３の検証（ブートローダ検証鍵（公開鍵）２３が改ざんされていないことの証明）の２つの署名検証が実施される。これにより、ブートローダ１１は、セキュアエレメント製造者が署名を施し、改ざんされていないものであり、当該検証プロセス自体も改ざんされていない（正当な検証鍵によって検証を行っている）、というTrust Chainによって正当性を確保し、セキュアブートを実現することができる。

また、ＯＳに対して検証する場合は、（１）ＯＳ検証鍵（公開鍵）２５によるＯＳデジタル署名３３の検証（ＯＳが改ざんされていないことの証明）、（２）セキュアエレメントＣＡ公開鍵２１によるＯＳ検証鍵（公開鍵）２５の検証（ＯＳ検証鍵（公開鍵）２５が改ざんされていないことの証明）、というTrust Chainによって正当性を確保する。これにより、ＯＳはＯＳ製造者（ベンダ）が署名を施し、改ざんされていないものであり、当該検証に用いた鍵はセキュアエレメント製造者によって検証されたことを確保することができる。

図２はＩｏＴデバイス１００の構成の一例を示す模式図である。ＩｏＴデバイス１００は、セキュアブートの実装対象となっているデバイスであり、例えば、ＲＴＯＳやＬｉｎｕｘ等が動作する組み込みボードなどを含む。ＩｏＴデバイス１００は、内部にＳｏＣ（System on Chip）５０、及びセキュアエレメント６０を有する。ＩｏＴデバイス１００は、ユーザ認証入力デバイスを備えていてもよい。ユーザ認証入力デバイスは、ＩｏＴデバイス１００の起動時、ユーザ認証を必要とする場合に、ユーザから認証情報の入力を受け付けるためのデバイスであり、例えば、ＰＩＮパッド、指紋センサ等が含まれる。

ＳｏＣ５０は、ＩｏＴデバイス１００の主要な機能を保持するＩＣチップである。ＳｏＣ５０は、書き換え不可能な不揮発性メモリとしてのＲＯＭ５１、ＮＶＭ５２、ＲＡＭ（ＲＥＥ）５３、及びＲＡＭ（ＴＥＥ）５４を有する。なお、本明細書では、書き換え不可能な不揮発性メモリの一例として、ＲＯＭを挙げて説明するが、具体的には、書き換え不可能な不揮発性メモリには、マスクＲＯＭ、プログラマブルＲＯＭが含まれ、プログラマブルＲＯＭには、ＯＴＰ（One Time Programmable）－ＲＯＭ、ＥＥＰＲＯＭ（Electronically Erasable and Programmable Read Only Memory）、書き換え不可のプロテクトを行ったフラッシュメモリなどが含まれる。ＲＯＭ５１として、これらのいずれを使用してもよい。セキュアエレメント６０は、耐タンパ性を有するセキュリティチップであり、内部にＣＰＵ、ＮＶＭ（Non-volatile memory）を有し、セキュアな不揮発性メモリを有する。セキュアエレメント６０は、ＳｏＣ５０との間で、標準的な通信路（例えば、ＩＳＯ７８１６／ＳＰＩ／Ｉ２Ｃ等）で通信を行う。

ブート管理サーバ２００は、外部のサーバとしての機能を有し、ＩｏＴデバイス１００のセキュアブートに関連する情報を保持し、ＩｏＴデバイス１００のブート状態を取得し、個別管理を行う。

ＲＯＭ５１内には、起動前ユーザ認証機能４１、ブートローダ情報読出機能４２、ブートローダ検証機能４３、ブートローダ実行機能４４、及びセキュアエレメントＣＡ公開鍵２１が保持されている。

起動前ユーザ認証機能４１は、ユーザ認証入力デバイスからユーザ認証情報を受け取り、セキュアエレメント６０との通信路を開設し、セキュアエレメント６０に対してユーザ認証を求める処理を行う。

ブートローダ情報読出機能４２は、セキュアエレメント６０との通信路を開設し、セキュアエレメント６０からブートに必要な情報（ブートローダ情報）を取得する処理を行う。

ブートローダ検証機能４３は、ブートローダデジタル署名３１を利用して、復号したブートローダ１１の正当性を検証する処理を行う。

ブートローダ実行機能４４は、復号したブートローダ１１に制御を渡し、ブートローダ１１を実行するための処理を行う。起動前ユーザ認証機能４１、ブートローダ情報読出機能４２、ブートローダ検証機能４３、及びブートローダ実行機能４４の処理、データはＩｏＴデバイス製造者によってＲＯＭ５１内に固定的に保持（格納）されている。工場出荷後は、処理の実行順序も含め、これらの処理手順、処理内容を書き換えることはできない（セキュアな状態で保持されている）。

ＮＶＭ（Non-volatile memory）５２内の情報は書き換え可能であり、工場出荷後、ユーザによって書き換えることができる。なお、ＮＶＭ（Non-volatile memory）５２に代えて、あるいはＮＶＭ５２とともに、ＳＤカード、ｅＭＭＣ（embedded Multi Media Card）等、ＳｏＣ５０外に保存できる記録媒体を用いてもよい。

ＳｏＣ５０のＲＡＭは、セキュアでない通常のメモリ領域（ＲＥＥ：Rich Execution Environment）５３とセキュアな領域（ＴＥＥ：Trusted Execution Environment）５４の２つに分かれている。なお、本実施の形態では、セキュアエレメント６０のブートローダ情報をＲＡＭ（ＴＥＥ）５４に読み込む構成としているが、ＲＡＭ（ＴＥＥ）５４を有さず、ＲＡＭ（ＲＥＥ）５３しか有しないＳｏＣの場合には、セキュアエレメント６０のブートローダ情報をＲＡＭ（ＲＥＥ）５３に読み込めばよい。

セキュアエレメント６０は、ブートローダ情報の他に、ＳＥＩＤ、ユーザ認証情報（ＰＩＮ等）を保持する。ＳＥＩＤは、セキュアエレメント６０を一意に識別するＩＤである。ブート管理サーバ２００からセキュアエレメント６０を特定するための値として用いることができる。ユーザ認証情報は、セキュアエレメント６０がＩｏＴデバイス１００のユーザ認証を行うためにセキュアエレメント６０に保持している情報であり、例えば、ユーザＰＩＮや指紋認証等の生体認証情報を保持している。

ブート管理サーバ２００は、ＳＥＩＤごとに、当該ＳＥＩＤのセキュアエレメント６０に保持されているブートローダのバージョンを保持するブートローダ管理テーブル、及び現時点におけるブートローダの最新バージョンなどを有する。

次に、本実施の形態のセキュアブートについて説明する。以下では、基本的なブートプロセス、ブートローダによる実行イメージの検証、ブートローダ読み出し前の認証、ブートローダ情報の遠隔管理、及びブートローダ情報の更新について説明する。

図３は基本的なブートプロセスの一例を示す説明図である。以下、符号Ｐ１～Ｐ９で示す処理について説明する。

Ｐ１（電源の投入）：ＩｏＴデバイス１００のユーザは、ＩｏＴデバイス１００の電源を投入する。なお、ＩｏＴデバイスによっては、電源の投入の他に、再起動などの動作でもよい。

Ｐ２（ブートローダ情報読出機能の実行）：ＩｏＴデバイス１００の電源が投入されると、初期実行コードであるブートローダ情報読出機能４２の実行を開始する。

Ｐ３（ブートローダ情報取得指示）：ブートローダ情報読出機能４２は、セキュアエレメント６０との通信機能を有効化し、セキュアエレメント６０に情報取得用コマンドを送出する。

Ｐ４（ブートローダ情報取得）：セキュアエレメント６０は、レスポンスとして、ブートローダ１１、ブートローダ検証鍵（公開鍵）２３、ブートローダデジタル署名３１、ブートローダ検証鍵証明書３２、ＯＳ検証鍵（公開鍵）２５、及びＯＳ検証鍵証明書３４（これらを纏めてブートローダ情報ともいう）を返送する。ブートローダ情報読出機能４２は、ブートローダ情報をＳｏＣ５０内のＲＡＭ上の指定された領域（ここでは、ＲＡＭ（ＴＥＥ）５４）に配置する。

Ｐ５（ブートローダ検証機能の実行）：ブートローダ情報読出機能４２の末尾で、ブートローダ検証機能４３へ制御を移行し、ブートローダ情報読出機能４２を実行する。

Ｐ６（ブートローダ検証鍵の正当性検証）：ブートローダ検証機能４３は、ブートローダ１１自身の検証に先立って、ブートローダ検証鍵（公開鍵）２３の正当性を検証する。具体的には、ＩｏＴデバイス１００がＲＯＭ５１に保持しているセキュアエレメントＣＡ公開鍵２１を用いて、ブートローダ検証鍵証明書３２内の署名を復号し、ブートローダ検証鍵（公開鍵）２３との比較を行う。両者が一致した場合のみ検証が成功したとみなす。両者が不一致等、検証が失敗した場合は、ここでコードの実行を停止し、ＩｏＴデバイス１００の電源を切る。

Ｐ７（デジタル署名によるブートローダの検証）：ブートローダ検証機能４３は、ＲＡＭ（ＴＥＥ）５４の所定位置に配置されたブートローダデジタル署名３１を使って、復号したブートローダ１１を検証する。ここでは、ブートローダデジタル署名３１をブートローダ検証鍵（公開鍵）２３により復号するとともに、ブートローダ１１のハッシュ値を求め、両者が一致するか否かに応じて検証する。両者が一致した場合のみ検証が成功したとみなす。両者が不一致等、検証が失敗した場合は、ここでコードの実行を停止し、ＩｏＴデバイス１００の電源を切る。

Ｐ８（ブートローダ実行機能の実行）：検証が成功した場合、ブートローダ検証機能４３の末尾で、ブートローダ実行機能４４へ制御を移行し、ブートローダ実行機能４４を実行する。

Ｐ９（ブートローダの実行）：ブートローダ実行機能４４は、ＲＡＭ（ＴＥＥ）５４の所定の場所に配置された検証済のブートローダ１１を実行する。

上述の例において、電源投入時における初期実行コードの設定は、ＩｏＴデバイス製造者によってＲＯＭ５１上に設定され、以降第三者によって変更することはできない。また、初期実行コードは、ブートローダ情報読出機能４２であり、この設定はＲＯＭ５１上に焼き付けられた固定値になっている。また、ブートローダ１１の検証処理は、対象鍵（公開鍵）による署名検証を実行しているが、署名生成に関するアルゴリズムと同様、当該アルゴリズムに対応した検証方法であれば、いずれの方法でもよい。

図３に例示した処理は、ブートローダ１１の正当性を検証するための処理であるが、基本的にブートローダ１１はそれ単体ではＩｏＴデバイス１００の機能を実現することができない。ＩｏＴデバイスの機能を実現するためには、ブートローダ１１はＯＳ等の後続のソフトウェア（ブートローダ１１以降のソフトウェア）を起動させる必要がある。

本実施の形態では、後続のソフトウェアはＩｏＴデバイス１００上に予めデプロイしておく（セキュアエレメント６０には保持しない）ことを前提としているが、ブートローダ１１から、そのままＩｏＴデバイス１００上にデプロイされているソフトウェアを実行するだけでは、当該ソフトウェアが改ざんされていることを検知できず、セキュリティ上の脆弱性が残る。以下では、セキュアエレメント６０内に後続のソフトウェアを検証する鍵を保持しつつ、ブートローダ１１から後続のソフトウェアを検証するロジックを実行することで、セキュアエレメント６０、ブートローダ１１、及び後続のソフトウェアの３者にTrust Chainを繋ぎ、後続のソフトウェアの正当性を確保することができる処理について説明する。

図４はブートローダによる実行イメージの検証の一例を示す説明図である。以下、符号Ｐ１～Ｐ１２で示す処理について説明する。なお、Ｐ１からＰ９までの処理は、図３の場合と同様であるので、説明は省略し、Ｐ１０からＰ１２について説明する。

Ｐ１０（ＯＳ検証鍵の正当性検証）：ブートローダ１１は、ＩｏＴデバイス１００自身の検証に先立って、ＯＳ検証鍵（公開鍵）２５の正当性を検証する。具体的には、ＩｏＴデバイス１００がＲＯＭ５１に保持しているセキュアエレメントＣＡ公開鍵２１を用いて、ＯＳ検証鍵証明書３４内の署名を復号し、ＯＳ検証鍵（公開鍵）２５との比較を行う。両者が一致した場合のみ検証が成功したとみなす。両者が不一致等、検証が失敗した場合は、ここでコードの実行を停止し、ＩｏＴデバイス１００の電源を切る。

Ｐ１１（ＩｏＴデバイスＯＳの検証）：ブートローダ１１は、ＯＳ検証鍵（公開鍵）２５を用いてＮＶＭ５２上のＩｏＴデバイスＯＳ１２の検証を行う。ブートローダ１１自身の検証と同様、ＯＳデジタル署名３３をＯＳ検証鍵（公開鍵）２５で復号するとともに、ブートローダ１１のハッシュ値を求め、両者が一致するか否かに応じて検証する。両者が一致した場合のみ検証が成功したとみなす。両者が不一致等、検証が失敗した場合は、ここでコードの実行を停止し、ＩｏＴデバイス１００の電源を切る。

Ｐ１２（ＯＳの実行）：ブートローダ１１は、ＮＶＭ５２上の所定の場所に配置された検証済のＩｏＴデバイスＯＳ１２を実行する。

セキュアエレメント６０内にブートに必要な情報を保持することにおり、セキュアエレメント６０は、ブートに必要な情報の提供可否を選択できるようになる。このことを利用して、ＩｏＴデバイス１００の電源を投入した際、セキュアエレメント６０内の情報を元にユーザ認証を行うことで、不正なユーザによるブートを抑止することができる。以下では、起動時にユーザ認証を行う場合について説明する。

図５はブートローダ読み出し前の認証の一例を示す説明図である。以下、符号Ｐ２１～Ｐ３１で示す処理について説明する。

Ｐ２１（電源の投入）：ＩｏＴデバイス１００のユーザは、ＩｏＴデバイス１００の電源を投入する。

Ｐ２２（ユーザ認証情報の入力）：ＩｏＴデバイス１００は、電源を投入されると、初期実行コードである起動前ユーザ認証機能４１を実行する。起動前ユーザ認証機能４１は、セキュアエレメント６０との通信機能を有効化し、ＰＩＮや指紋等のユーザ認証情報の入力を待ち受ける。

Ｐ２３（ユーザ認証）：ユーザ認証情報が入力された場合、起動前ユーザ認証機能４１は、入力されたユーザ認証情報をセキュアエレメント６０に送出する。セキュアエレメント６０は、受信したユーザ認証情報と、セキュアエレメント６０内のユーザ認証情報とを比較しユーザ認証を行い、認証可否を返送する。認証が失敗した場合、ここでコードの実行を停止し、ＩｏＴデバイス１００の電源を切る。

Ｐ２４からＰ３１までの処理は、図３に例示したＰ２からＰ９の処理と同様であるので、説明は省略する。

セキュアエレメント６０に、自信をエンドポイントとして外部との秘匿通信路を開設する機能がある場合、ＩｏＴデバイス１００のブートローダ情報を外部からセキュアに管理することが可能になる。機能追加やセキュリティ脆弱性対策のため、ブートローダ自身の更新が必要になった場合、ＩｏＴデバイス１００を管理する側として、古いブートローダが動いているＩｏＴデバイスを特定し、古いブートローダを新しいブートローダに置き換えることが必要になる。本実施の形態では、ブートローダの更新をセキュアに実現することができる。以下では、まず、セキュアエレメント６０からブートローダの情報をサーバに通知する場合について説明する。

図６はブートローダ情報の遠隔管理の一例を示す説明図である。以下、符号Ｐ４１～Ｐ４４で示す処理について説明する。

Ｐ４１（通信路の開設）：ブートローダ１１は、ＩｏＴデバイス１００のネットワーク通信機能を有効化するとともに、セキュアエレメント６０に対しブート管理サーバ２００との秘匿通信路を開設する。ここでは、ネットワーク通信機能（Ethernet（商標）／Wi-Fi（商標）等）のみＩｏＴデバイス１００の機能を利用し、セキュアエレメント６０とブート管理サーバ２００との間でＴＬＳ（Transport Layer Security）等のセキュアチャネルを開設しているが、セキュアエレメント６０が独立してネットワーク通信可能であれば、単体で通信を実施してもよい。

Ｐ４２（セキュアエレメントへのバージョン情報送信指示）：ブートローダ１１は、セキュアエレメント６０に対して、現在保持しているブートローダのバージョン情報を送信するように指示する。このとき、ブートローダ１１は、自身が保持しているバージョン情報をセキュアエレメント６０に送信する。なお、本明細書では、ブートローダのバージョン情報そのものを使用する例を挙げて説明しているが、バージョン情報に限定されるものではない。例えば、ブートローダのバージョンを一意に特定可能な特定情報であればよい。特定情報は、バージョン情報そのものだけでなく、例えば、ブートローダのハッシュ値など、ブートローダそのもののバイナリ列に対して所定の演算を行って得られた値などでもよい。

Ｐ４３（バージョン情報の比較）：セキュアエレメント６０は、ブートローダ１１から受信したバージョン情報と、自身が保持しているブートローダのバージョン情報とを比較し、一致可否を判定する。

Ｐ４４（サーバへのバージョン情報送信）：セキュアエレメント６０は、ブート管理サーバ２００に対して比較結果を自身のＩＤとともに送信する。両者が一致している場合は、一致したバージョン情報を送信する。両者が不一致の場合、ＩｏＴデバイス１００は、セキュアエレメント６０が保持しているブートローダのバージョンとは異なるバージョンのブートローダ１１で動作していることになるため、ブートローダ１１側のバージョン番号と、バージョン番号が不一致である旨をブート管理サーバ２００に通知する。

上述の例では、ブートローダ１１から処理を開始しているが、処理開始タイミングは、ブートローダ実行時である必要は必ずしもなく、ＯＳ等の後続のソフトウェアが動作しているタイミングで処理を開始してもよい。また、上述の例では、取得したバージョン情報と保持したバージョン情報との比較結果をブート管理サーバ２００へ送信する構成であるが、これに限定されるものではない。例えば、セキュアエレメント６０は、自身が開設した秘匿通信路を経由して、取得したバージョン情報及び保持したバージョン情報をブート管理サーバ２００へ送信してもよい。この場合、ブート管理サーバ２００において、両者の比較検証を行うことができる。

ブートローダ１１自身のバージョンと、セキュアエレメント６０内のブートローダのバージョンが不一致の場合、セキュアエレメント６０指定のバージョンと異なるバージョンでブートされているため、ブートローダ１１の改ざんが行われている可能性が想定される。ブート管理サーバ２００が不一致である旨の通知を受信した際の動作については、ＩｏＴデバイス１００のセキュリティポリシーに依存する事項であるが、例えば、ＩｏＴデバイス１００に対して遠隔で再起動指示を出力する、あるいは、セキュリティアタックとみなしてアラートを通知する等、種々の選択肢がある。

上述のように、ブート管理サーバ２００は、ブートローダのバージョン情報をＩｏＴデバイス１００から収集することで、各ＩｏＴデバイス１００上で稼働しているブートローダのバージョンを収集可能となる。ブート管理サーバ２００は、古いブートローダを持つセキュアエレメント６０と通信することで、古いブートローダを新しいものに置き換えることが可能になる。以下では、ブートローダ情報の更新について説明する。

図７はブートローダ情報の更新の一例を示す説明図である。以下、符号Ｐ５１～Ｐ５５で示す処理について説明する。

Ｐ５１（ブートローダ更新判定）：ブート管理サーバ２００は、各セキュアエレメント６０のブートローダのバージョンから、更新指示の対象となるセキュアエレメント６０を特定する。例えば、各セキュアエレメント６０のＩＤに対応したバージョンを調べ、最新バージョンと異なる場合は、当該セキュアエレメント６０を更新対象として特定するなど、更新判定には種々の方法を用いることができる。

Ｐ５２（更新対象ブートローダ特定）：ブート管理サーバ２００は、セキュアエレメント６０に送信するバージョンのブートローダ情報（ブートローダを含む）を特定する。ここでは、単純に最新バージョンのブートローダに更新することとしている。

Ｐ５３（セキュアエレメントへのブートローダコピー）：ブート管理サーバ２００は、Ｐ５２で特定したブートローダ情報を、秘匿通信路経由でセキュアエレメント６０に送信する。セキュアエレメント６０は、受信したブートローダで既存のブートローダを上書きし、保持しているバージョン情報を更新する。

Ｐ５４（更新後のバージョン通知）：セキュアエレメント６０は、ブートローダ更新後、更新後のブートローダのバージョンをブート管理サーバ２００に送信する。

Ｐ５５（ブートローダ管理テーブルの更新）：ブート管理サーバ２００は、ブートローダ管理テーブルの対応箇所（更新後のバージョンを受信したセキュアエレメントの行）をセキュアエレメント６０から受信したブートローダのバージョンで更新する。図の例では、バージョン１．０．０が、１．０．１に更新されている。

ＩｏＴデバイス１００がすでにＯＳ起動中の場合、セキュアエレメント６０内のブートローダを更新するだけでは、デバイス側で実際に稼動しているソフトウェアは更新されておらず、再起動の必要がある。再起動に関する対応については、ブート管理サーバ２００や他のサーバからＩｏＴデバイス１００に対し遠隔で再起動を指示すればよい。再起動の指示は、例えば、表示画面などに再起動を促す旨の文字や画像を表示してもよく、既存の技術を組み合わせてもよい。

本実施の形態のデバイスは、セキュアブート機能を有するデバイスであって、ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を保持するセキュアエレメントと、初期実行コードとして、ブートローダ情報読出処理、ブートローダ検証処理、及びブートローダ実行処理を実行順序も含めて保持する書き換え不可能な不揮発性メモリとを備え、デバイス起動時に、前記ブートローダ情報読出処理を実行して、前記セキュアエレメントから前記ブートローダ情報を読み出し、前記ブートローダ検証処理は、前記ブートローダ検証鍵、及び前記ブートローダの署名を用いて前記ブートローダを検証し、検証が成功した場合、前記ブートローダ実行処理は、前記ブートローダを実行する。

本実施の形態のセキュアエレメントは、セキュアブート機能を有するデバイスに実装されるセキュアエレメントであって、ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を保持し、デバイス起動時に、前記ブートローダの検証のために前記ブートローダ情報を前記デバイスへ出力する。

本実施の形態のデバイスのセキュアブート方法は、初期実行コードとして、ブートローダ情報読出処理、ブートローダ検証処理、及びブートローダ実行処理を実行順序も含めて書き換え不可能な不揮発性メモリに保持しておき、デバイス起動時に、前記ブートローダ情報読出処理を実行して、セキュアエレメントから、ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を読み出し、前記ブートローダ検証処理は、前記ブートローダ検証鍵、及び前記ブートローダの署名を用いて前記ブートローダを検証し、検証が成功した場合、前記ブートローダ実行処理は、前記ブートローダを実行する。

セキュアエレメントは、ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を保持する。ブートローダと検証用鍵の両方を改ざん不可能、及び更新不可能なセキュアエレメントに保持することにより、ブートローダと鍵の改ざんを防止しつつ鍵とコードの対応関係をセキュアエレメント内に限定する。これにより、鍵及びブートローダそれぞれの管理をセキュアエレメント側に纏めることができ、デバイス側から鍵管理の負荷を取り除くことができる。ＩｏＴデバイス製造者は、ブートローダのみをセキュアエレメント製造者に供給することで、セキュリティの管理をセキュアアレメント製造者に委任することができる。

書き換え不可能な不揮発性メモリは、初期実行コードとして、ブートローダ情報読出処理、ブートローダ検証処理、及びブートローダ実行処理を実行順序も含めて保持する。書き換え不可能な不揮発性メモリに保持するとは、例えば、工場出荷後は、各処理の実行準備も含め、これらの処理手順、内容を書き換えることができないことを意味する。すなわち、ＩｏＴデバイスの初期実行コードを固定シーケンス化する。鍵の値に依存しない初期実行コードの実行内容と順序を、ＩｏＴデバイス側に更新不可能な形態で保持することができる。これにより、初期実行コードの改ざんを防止しつつ、鍵やブートローダなどの個別情報をセキュアエレメント側に持たせることで、安全かつ柔軟にセキュリティ管理を行うことができる。

デバイス起動時に、ブートローダ情報読出処理を実行して、セキュアエレメントからブートローダ情報を読み出す。ブートローダ検証処理は、ブートローダ検証鍵、及びブートローダの署名を用いてブートローダを検証する。検証が成功した場合、ブートローダ実行処理は、ブートローダを実行する。これにより、より安全性の高いセキュアブートを実現できる。

本実施の形態のデバイスにおいて、前記セキュアエレメントは、さらに、ブートローダ検証鍵証明書を保持し、前記書き換え不可能な不揮発性メモリは、セキュアエレメントＣＡ公開鍵を保持し、デバイス起動時に、前記ブートローダ情報読出処理を実行して、前記セキュアエレメントから前記ブートローダ検証鍵証明書を読み出し、前記ブートローダ検証処理は、前記セキュアエレメントＣＡ公開鍵、及び読み出された前記ブートローダ検証鍵証明書を用いて前記ブートローダ検証鍵を検証し、検証が成功した場合、前記ブートローダを検証する。

本実施の形態のセキュアエレメントにおいて、前記ブートローダ情報は、前記ブートローダ検証鍵を検証するためのブートローダ検証鍵証明書を含み、デバイス起動時に、前記ブートローダ検証鍵証明書を前記デバイスへ出力する。

セキュアエレメントは、さらに、ブートローダ検証鍵証明書を保持し、書き換え不可能な不揮発性メモリは、セキュアエレメントＣＡ公開鍵を保持する。デバイス起動時に、ブートローダ情報読出処理を実行して、セキュアエレメントからブートローダ検証鍵証明書を読み出す。ブートローダ検証処理は、セキュアエレメントＣＡ公開鍵、及び読み出されたブートローダ検証鍵証明書を用いてブートローダ検証鍵を検証する。検証が成功した場合、ブートローダを検証する。すなわち、ブートローダの検証に先立って、セキュアエレメントＣＡ公開鍵によってブートローダ検証鍵に対する検証を行う。

ＩｏＴデバイス内の書き換え不可能な不揮発性メモリに保持されたセキュアエレメントＣＡ公開鍵を使用してブートローダ検証鍵の署名検証を行い、ブートローダ検証鍵の正当性の検証を行う。これにより、鍵を改ざんすることで不正なブートローダ起動を試みる攻撃を防止できる。

本実施の形態のデバイスにおいて、前記セキュアエレメントは、さらに、ソフトウェア検証鍵を保持し、デバイス起動時に、前記ブートローダ情報読出処理を実行して、前記セキュアエレメントから前記ソフトウェア検証鍵を読み出し、前記ブートローダは、前記ソフトウェア検証鍵を用いて前記ブートローダ以降に実行されるソフトウェアイメージを検証する。

本実施の形態のセキュアエレメントにおいて、前記ブートローダ情報は、前記ブートローダ以降に実行されるソフトウェアイメージを検証するためのソフトウェア検証鍵を含み、デバイス起動時に、前記ソフトウェア検証鍵を前記デバイスへ出力する。

セキュアエレメントは、さらに、ソフトウェア検証鍵を保持する。デバイス起動時に、ブートローダ情報読出処理を実行して、セキュアエレメントからソフトウェア検証鍵を読み出す。ブートローダは、ソフトウェア検証鍵を用いてブートローダ以降に実行されるソフトウェア（例えば、ＯＳなど）イメージを検証する。

セキュアエレメント内に、ブートローダ以降に実行されるソフトウェアイメージの検証用鍵を保持しておく。これにより、セキュアエレメントをRoot of Trustとした、鍵に基づくTrust Chainを容易に構成することができる。

本実施の形態のデバイスにおいて、前記セキュアエレメントは、さらに、ソフトウェア検証鍵証明書を保持し、デバイス起動時に、前記ブートローダ情報読出処理を実行して、前記セキュアエレメントから前記ソフトウェア検証鍵証明書を読み出し、前記ブートローダは、前記セキュアエレメントＣＡ公開鍵、及び前記ソフトウェア検証鍵証明書を用いてソフトウェア検証鍵を検証し、検証が成功した場合、前記ソフトウェアイメージを検証する。

本実施の形態のセキュアエレメントにおいて、前記ブートローダ情報は、前記ソフトウェア検証鍵を検証するためのソフトウェア検証鍵証明書を含み、デバイス起動時に、前記ソフトウェア検証鍵証明書を前記デバイスへ出力する。

セキュアエレメントは、さらに、ソフトウェア検証鍵証明書を保持する。デバイス起動時に、ブートローダ情報読出処理を実行して、セキュアエレメントからソフトウェア検証鍵証明書を読み出す。ブートローダは、セキュアエレメントＣＡ公開鍵、及びソフトウェア検証鍵証明書を用いてソフトウェア検証鍵を検証する。検証が成功した場合、ソフトウェアイメージを検証する。すなわち、ソフトウェアイメージの検証に先立って、セキュアエレメントＣＡ公開鍵及びソフトウェア検証鍵証明書によってソフトウェア検証鍵に対する検証を行う。

ＩｏＴデバイス内の書き換え不可能な不揮発性メモリに保持されたソフトウェア検証鍵証明書を使用してソフトウェア検証鍵の検証を行い、ソフトウェア検証鍵の正当性の検証を行う。これにより、鍵を改ざんすることで不正なソフトウェアの実行を試みる攻撃を防止できる。

本実施の形態のデバイスは、前記セキュアエレメントから読み出されたブートローダ情報を保持するセキュアな領域を有するＳｏＣを備える。

ＳｏＣ（System on Chip）は、セキュアな領域（例えば、ＴＥＥ：Trusted Execution Environmentなど）を有し、セキュアな領域にセキュアエレメントから読み出されたブートローダ情報を保持する。例えば、暗号化ブートローダの読み出しや復号をＳｏＣ内のセキュアな領域で行う。これにより、ブートローダの検証処理を狙った攻撃を防止できる。

本実施の形態のデバイスにおいて、前記セキュアエレメントは、ユーザ認証情報を保持し、デバイス起動時に、入力されたユーザ認証情報と保持したユーザ認証情報とに基づいてユーザ認証を行い、ユーザ認証が成功した場合、前記ブートローダ情報読出処理を行う。

本実施の形態のセキュアエレメントは、ユーザ認証情報を保持し、デバイス起動時に、入力されたユーザ認証情報と保持したユーザ認証情報とに基づいてユーザ認証を行い、ユーザ認証が成功した場合、前記ブートローダ情報を前記デバイスへ出力する。

セキュアエレメントは、ユーザ認証情報を保持する。デバイス起動時に、入力されたユーザ認証情報と保持したユーザ認証情報とに基づいてユーザ認証を行う。ユーザ認証が成功した場合、ブートローダ情報読出処理を行う。

ブートローダや鍵読み出しに先立って、セキュアエレメントが外部認証を求め、認証に成功した場合に、ブートローダ情報を読み出す（デバイス側へ、ブートローダ情報を出力する）。これにより、ＩｏＴデバイスに対するセキュリティニーズに応じて、生体認証やＰＩＮ（Personal Identification Number）認証等、デバイス起動そのものに強固な認証を導入し、かつ当該認証のバイパスを防止できる。

本実施の形態のセキュアエレメントは、ブートローダのバージョンを特定する特定情報を保持し、前記デバイスからブートローダの特定情報を取得し、取得した特定情報及び保持した特定情報、あるいは、取得した特定情報と保持した特定情報との比較結果を、秘匿通信路を介して外部のサーバへ送信する。

特定情報は、ブートローダのバージョンを一意に特定可能な情報であればよい。特定情報には、例えば、バージョン情報そのものでもよく、ブートローダのハッシュ値など、ブートローダそのもののバイナリ列に対して所定の演算を行って得られた値などでもよい。セキュアエレメントは、自身が開設した秘匿通信路を経由して、取得した特定情報及び保持した特定情報を外部のサーバへ送信してもよく、あるいは、取得した特定情報と保持した特定情報との比較結果を外部のサーバへ送信してもよい。これにより、セキュアエレメントが開設した秘匿通信路を経由して、セキュアエレメント内部及びＩｏＴデバイスにロードされたブートローダそれぞれのバージョンを確認することができる。

本実施の形態のセキュアエレメントは、秘匿通信路を介して外部のサーバからの指令に基づいて、保持された、ブートローダ、ブートローダ検証鍵、ブートローダの署名、ブートローダ検証鍵証明書、ソフトウェア検証鍵、及びソフトウェア検証鍵証明書の全部又は一部を更新する。

秘匿通信路を介して外部のサーバからの指令に基づいて、保持された、ブートローダ、ブートローダ検証鍵、ブートローダの署名、ブートローダ検証鍵証明書、ソフトウェア検証鍵、及びソフトウェア検証鍵証明書の全部又は一部を更新する。セキュアエレメントが開設した秘匿通信路を経由して、セキュアエレメント内のブートローダや鍵を外部から更新することができる。これにより、安全確実にブートローダを更新できるだけでなく、デバイスのブート可否をセキュアエレメント（強固なRoot of Trust）経由で外部制御することもできる。後続のソフトウェアも検証対象とする場合は、当該ソフトウェアの起動可否をセキュアエレメント経由で外部制御することができる。

１ネットワーク秘匿通信路
１１ブートローダ
１２ＩｏＴデバイスＯＳ
２１セキュアエレメントＣＡ公開鍵
２２セキュアエレメントＣＡ秘密鍵
２３ブートローダ検証鍵（公開鍵）
２４ブートローダ署名生成鍵（秘密鍵）
２５ＯＳ検証鍵（公開鍵）
２６ＯＳ署名生成鍵（秘密鍵）
３１ブートローダデジタル署名
３２ブートローダ検証鍵証明書
３３ＯＳデジタル署名
３４ＯＳ検証鍵証明書
４０セキュアエレメントとの通信路
４１起動前ユーザ認証機能
４２ブートローダ情報読出機能
４３ブートローダ検証機能
４４ブートローダ実行機能
５０ＳｏＣ
５１ＲＯＭ
５２ＮＶＭ
５３ＲＡＭ（ＲＥＥ）
５４ＲＡＭ（ＴＥＥ）
６０セキュアエレメント
１００ＩｏＴデバイス
２００ブート管理サーバ

Claims

セキュアブート機能を有するデバイスであって、
ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を保持するセキュアエレメントと、
初期実行コードとして、ブートローダ情報読出処理、ブートローダ検証処理、及びブートローダ実行処理を実行順序も含めて保持する書き換え不可能な不揮発性メモリと
を備え、
デバイス起動時に、前記ブートローダ情報読出処理を実行して、前記セキュアエレメントから前記ブートローダ情報を読み出し、
前記ブートローダ検証処理は、
前記ブートローダ検証鍵、及び前記ブートローダの署名を用いて前記ブートローダを検証し、
検証が成功した場合、前記ブートローダ実行処理は、前記ブートローダを実行する、
デバイス。
前記セキュアエレメントは、さらに、ブートローダ検証鍵証明書を保持し、
前記書き換え不可能な不揮発性メモリは、セキュアエレメントＣＡ公開鍵を保持し、
デバイス起動時に、前記ブートローダ情報読出処理を実行して、前記セキュアエレメントから前記ブートローダ検証鍵証明書を読み出し、
前記ブートローダ検証処理は、
前記セキュアエレメントＣＡ公開鍵、及び読み出された前記ブートローダ検証鍵証明書を用いて前記ブートローダ検証鍵を検証し、
検証が成功した場合、前記ブートローダを検証する、
請求項１に記載のデバイス。
前記セキュアエレメントは、さらに、ソフトウェア検証鍵を保持し、
デバイス起動時に、前記ブートローダ情報読出処理を実行して、前記セキュアエレメントから前記ソフトウェア検証鍵を読み出し、
前記ブートローダは、
前記ソフトウェア検証鍵を用いて前記ブートローダ以降に実行されるソフトウェアイメージを検証する、
請求項２に記載のデバイス。
前記セキュアエレメントは、さらに、ソフトウェア検証鍵証明書を保持し、
デバイス起動時に、前記ブートローダ情報読出処理を実行して、前記セキュアエレメントから前記ソフトウェア検証鍵証明書を読み出し、
前記ブートローダは、
前記セキュアエレメントＣＡ公開鍵、及び前記ソフトウェア検証鍵証明書を用いてソフトウェア検証鍵を検証し、
検証が成功した場合、前記ソフトウェアイメージを検証する、
請求項３に記載のデバイス。
前記セキュアエレメントから読み出されたブートローダ情報を保持するセキュアな領域を有するＳｏＣを備える、
請求項１から請求項４のいずれか一項に記載のデバイス。
前記セキュアエレメントは、ユーザ認証情報を保持し、
デバイス起動時に、入力されたユーザ認証情報と保持したユーザ認証情報とに基づいてユーザ認証を行い、
ユーザ認証が成功した場合、前記ブートローダ情報読出処理を行う、
請求項１から請求項５のいずれか一項に記載のデバイス。
セキュアブート機能を有するデバイスに実装されるセキュアエレメントであって、
ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を保持し、
デバイス起動時に、前記ブートローダの検証のために前記ブートローダ情報を前記デバイスへ出力する、
セキュアエレメント。
前記ブートローダ情報は、前記ブートローダ検証鍵を検証するためのブートローダ検証鍵証明書を含み、
デバイス起動時に、前記ブートローダ検証鍵証明書を前記デバイスへ出力する、
請求項７に記載のセキュアエレメント。
前記ブートローダ情報は、前記ブートローダ以降に実行されるソフトウェアイメージを検証するためのソフトウェア検証鍵を含み、
デバイス起動時に、前記ソフトウェア検証鍵を前記デバイスへ出力する、
請求項７又は請求項８に記載のセキュアエレメント。
前記ブートローダ情報は、前記ソフトウェア検証鍵を検証するためのソフトウェア検証鍵証明書を含み、
デバイス起動時に、前記ソフトウェア検証鍵証明書を前記デバイスへ出力する、
請求項９に記載のセキュアエレメント。
ユーザ認証情報を保持し、
デバイス起動時に、入力されたユーザ認証情報と保持したユーザ認証情報とに基づいてユーザ認証を行い、
ユーザ認証が成功した場合、前記ブートローダ情報を前記デバイスへ出力する、
請求項７から請求項１０のいずれか一項に記載のセキュアエレメント。
ブートローダのバージョンを特定する特定情報を保持し、
前記デバイスからブートローダの特定情報を取得し、
取得した特定情報及び保持した特定情報、あるいは、取得した特定情報と保持した特定情報との比較結果を、秘匿通信路を介して外部のサーバへ送信する、
請求項７から請求項１１のいずれか一項に記載のセキュアエレメント。
秘匿通信路を介して外部のサーバからの指令に基づいて、保持された、ブートローダ、ブートローダ検証鍵、ブートローダの署名、ブートローダ検証鍵証明書、ソフトウェア検証鍵、及びソフトウェア検証鍵証明書の全部又は一部を更新する、
請求項７から請求項１２のいずれか一項に記載のセキュアエレメント。
初期実行コードとして、ブートローダ情報読出処理、ブートローダ検証処理、及びブートローダ実行処理を実行順序も含めて書き換え不可能な不揮発性メモリに保持しておき、
デバイス起動時に、前記ブートローダ情報読出処理を実行して、セキュアエレメントから、ブートローダ、ブートローダ検証鍵、及びブートローダの署名を含むブートローダ情報を読み出し、
前記ブートローダ検証処理は、
前記ブートローダ検証鍵、及び前記ブートローダの署名を用いて前記ブートローダを検証し、
検証が成功した場合、前記ブートローダ実行処理は、前記ブートローダを実行する、
デバイスのセキュアブート方法。