JPWO2009141935A1 - セキュリティレベル制御装置 - Google Patents

Abstract

３種類以上のセキュリティレベルのいずれかで動作可能なセキュリティレベル制御装置は、認証情報を取得する認証情報取得部と、認証情報が正しいか否かを認証する認証部と、認証部の認証結果が正しい場合、認証情報に対応したセキュリティレベルに遷移する遷移部とを備える。

Description

本発明は、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能なセキュリティレベル制御装置、セキュリティレベル制御方法及びセキュリティレベル制御プログラムに関する。

特許文献１には、データの読み出し・書き込みに関するセキュリティの高い第１動作モード、及び第１動作モードよりセキュリティの低い第２動作モードのいずれかのモードで動作可能な半導体メモリのセキュリティ技術について開示されている。特許文献２には、内部バスを介してアクセスされるモジュールと、モジュールが外部からの観測を受けないセキュア状態か外部からの観測を受ける非セキュア状態かを判定する判定回路と、非セキュア状態と判定されたときモジュールを内部バスから切り離すバスアクセス遮断回路とを含む情報処理装置について開示されている。

特許文献３には、セルラー電話のような電子装置内のメモリに対するいたずらを防止ために、電子装置のメモリへの無許可のアクセスを防止するシステムについて開示されている。当該システムでは、保護されたメモリへアクセスする企図を検出し、命令コードの実行に基づくアクセスを当該アクセスが認証された場合に許可し、当該アクセスが認証されない場合にはマイクロプロセッサの動作を停止して、当該アクセスを防止する。

特開２００７−２１３４７８号公報 特開２００６−３１８３３４号公報 特開２００７−２９３８４７号公報

特許文献１〜３に記載の技術では、２種類のモードが定義され、一方のモードからもう一方のモードに遷移する際に、特定の認証方式による認証が成功した場合に当該遷移を許可する。しかし、３種類以上のモードが存在する場合については開示されていない。したがって、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能な携帯電話等の電子機器に、上記技術を適用することはできない。

本発明の目的は、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能なセキュリティレベル制御装置、セキュリティレベル制御方法及びセキュリティレベル制御プログラムを提供することである。

本発明は、３種類以上のセキュリティレベルのいずれかで動作可能なセキュリティレベル制御装置において、認証情報を取得する認証情報取得部と、前記認証情報が正しいか否かを認証する認証部と、前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、を備えたセキュリティレベル制御装置を提供する。

上記セキュリティレベル制御装置では、記認証部は、前記認証情報に基づいて認証方式を判定し、当該判定した認証方式によって認証を行い、前記遷移部は、前記認証方式に対応したセキュリティレベルに遷移する。

上記セキュリティレベル制御装置では、前記認証部は、前記認証情報取得部が前記認証情報を取得したタイミングでの状態に応じて異なる認証方式を受け付け、当該受け付けた認証方式によって認証を行い、前記遷移部は、前記認証方式に対応したセキュリティレベルに遷移する。

上記セキュリティレベル制御装置では、前記遷移部は、前記認証情報に対応したセキュリティレベルに遷移する前に、当該セキュリティレベルに遷移するためのレベル遷移条件を満たすか否かを判定し、前記レベル遷移条件を満たさないときは当該セキュリティレベルへの遷移を中止する。

上記セキュリティレベル制御装置では、前記遷移部は、前記認証情報に対応したセキュリティレベルに遷移する前に、当該セキュリティレベルに遷移するためのレベル遷移条件を満たすか否かを判定し、前記レベル遷移条件を満たさないときは当該レベル遷移条件を満たすようプログラム又はデータを修正する。

上記セキュリティレベル制御装置は、プログラム又はデータを書き換える書換処理部と、前記遷移部によって遷移したセキュリティレベルが、前記書換部によるプログラム又はデータの書き換えによって低下した場合、前記書き換え前のレベル以上に高いレベルにセキュリティレベルを設定するレベル維持部と、を備える。

本発明は、３種類以上のセキュリティレベルのいずれかで動作可能なセキュリティレベル制御装置が行うセキュリティレベル制御方法であって、認証情報を取得する認証情報取得ステップと、前記認証情報が正しいか否かを認証し認証ステップと、認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移ステップと、を有するセキュリティレベル制御方法を提供する。

本発明は、コンピュータに、上記セキュリティレベル制御方法に記載の各ステップを実行させるためのセキュリティレベル制御プログラムを提供する。

本発明は、複数のセキュリティレベルで動作可能なセキュリティレベル制御装置において、認証情報を取得する認証情報取得部と、前記認証情報が正しいか否かを認証する認証部と、前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、を備えたセキュリティレベル制御装置であって、前記遷移部は、前記認証情報に対応したセキュリティレベルに遷移する前に、当該セキュリティレベルに遷移するためのレベル遷移条件を満たすか否かを判定し、前記レベル遷移条件を満たさないときは当該セキュリティレベルへの遷移を中止するセキュリティレベル制御装置を提供する。

本発明は、複数のセキュリティレベルで動作可能なセキュリティレベル制御装置において、認証情報を取得する認証情報取得部と、前記認証情報が正しいか否かを認証する認証部と、前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、を備えたセキュリティレベル制御装置であって、前記遷移部は、前記認証情報に対応したセキュリティレベルに遷移する前に、当該セキュリティレベルに遷移するためのレベル遷移条件を満たすか否かを判定し、前記レベル遷移条件を満たさないときは当該レベル遷移条件を満たすようプログラム又はデータを修正するセキュリティレベル制御装置を提供する。

本発明は、複数のセキュリティレベルで動作可能なセキュリティレベル制御装置において、認証情報を取得する認証情報取得部と、前記認証情報が正しいか否かを認証する認証部と、前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、を備えたセキュリティレベル制御装置であって、プログラム又はデータを書き換える書換処理部と、前記遷移部によって遷移したセキュリティレベルが、前記書換部によるプログラム又はデータの書き換えによって低下した場合、前記書き換え前のレベル以上に高いレベルにセキュリティレベルを設定するレベル維持部と、を備えたセキュリティレベル制御装置を提供する。

本発明に係るセキュリティレベル制御装置、セキュリティレベル制御方法及びセキュリティレベル制御プログラムによれば、状況に応じて３種類以上のセキュリティレベルのいずれかに設定することができる。

本発明に係るセキュリティレベル制御装置を含む携帯端末と、この携帯端末に接続され得る認証用治具とを備えたシステムを示すブロック図 認証部が携帯端末の状態に応じて異なる認証方式を受け付ける方法を示す図 レベル遷移条件の一例を示す図 レベル維持部による動作の条件の一例を示す図 図１に示した携帯端末がセキュリティレベルを変更する際の動作を示すフローチャート 図１に示した携帯端末がセキュリティレベルを変更する際の動作を示すフローチャート

符号の説明

１０ 携帯端末
２０Ａ〜２０Ｃ 認証用治具
１０１ 通信部
１０３ 認証部
１０５ 鍵記憶部
１０７ セキュリティレベル記憶部
１０９ ＰＧデータ記憶部
１１１ 遷移部
１１３ レベル維持情報記憶部
１１５ 書換部
１５１ レベル遷移条件判定部
１５３ 状態変更部
１５５ レベル遷移部
１５７ 書換制御部
１６１ 書換処理部
１６３ 書換後状態判定部
１６５ レベル維持部

以下、本発明の実施形態について、図面を参照して説明する。

図１は、本発明に係るセキュリティレベル制御装置を含む携帯端末と、この携帯端末に接続され得る認証用治具とを備えたシステムを示すブロック図である。図１に示すシステムは、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能な携携帯電話等の携帯端末１０と、携帯端末１０に接続され得る認証用治具２０Ａ〜２０Ｃとを備える。

認証用治具２０Ａ〜２０Ｃは、ケーブル等で接続された携帯端末１０に、書き換えのためのプログラム若しくはデータ又は認証情報を送る。認証情報とは、携帯端末１０が各認証用治具を識別するための情報である。認証用治具２０Ａ〜２０Ｃは、携帯端末１０の開発現場や工場、カスタマーサービスセンター等で用いられ、開発や生産、メンテナンス等のために携帯端末１０のプログラム又はデータを書き換えるためのソフトウェアがインストールされたコンピュータである。各認証用治具のソフトウェアには、所望のセキュリティレベルに対応した認証方式による認証を行う機能が含まれる。

図１に示す例では、例えば、認証用治具２０Ａはカスタマーサービスセンターに設けられ、認証方式Ａによる認証を行うことができる。また、認証用治具２０Ｂは工場に設けられ、認証方式Ｂ，Ｃ，Ｄによる認証を行うことができる。さらに、認証用治具２０Ｃは開発現場に設けられ、認証方式Ｆ，Ｇによる認証を行うことができる。

なお、認証方式には、共通鍵暗号による認証、公開鍵暗号による認証、ハッシュ関数による認証、チャレンジレスポンス認証、端末ＩＤによる認証、ドングルによる認証、コマンドの正当性確認による認証、ＰＷ認証のいずれか又はこれらの組合わせが含まれる。

携帯端末１０は、図１に示すように、通信部１０１と、認証部１０３と、鍵記憶部１０５と、セキュリティレベル記憶部１０７と、ＰＧデータ記憶部１０９と、遷移部１１１と、レベル維持情報記憶部１１３と、書換部１１５とを備える。なお、認証部１０３、遷移部１１１及び書換部１１５はチップセット等によって構成され、プログラムが実行されることにより動作しても良い。

通信部１０１は、携帯端末１０に接続された認証用治具から送られた、書き換えのためのプログラム若しくはデータ又は認証情報を受け取る。認証部１０３は、通信部１０１が受け取った認証情報に基づいて認証方式を判定し、当該判定した認証方式によって、携帯端末１０に接続されている認証用治具を認証する。なお、認証部１０３には、認証方式とセキュリティレベルが対応したテーブルが設けられている。したがって、認証部１０３は、認証が成功した場合、当該認証の際に採用された認証方式に応じて、携帯端末１０に設定するセキュリティレベルを特定する。

また、認証部１０３は、認証情報を受け取ったタイミングにおける携帯端末１０の状態に応じて異なる認証方式を受け付け、当該受け付けた認証方式によって認証用治具を認証しても良い。例えば、認証部１０３は、図２に示すように、携帯端末１０の内部ＲＯＭ起動時、ＢＩＯＳ／ＩＰＬ（Initial Program Loader）起動時、ＯＳ起動時、プログラムマネージャ起動時、通常起動時、メンテナンスモード時といった各段階に応じて、それぞれ異なる認証方式を受け付ける。

鍵記憶部１０５は、認証部１０３が認証用治具の認証を行う際に必要な鍵や証明書等の情報を記憶する。なお、鍵記憶部１０５に格納されている鍵や証明書は少なくとも１つの認証方式に対応している。

セキュリティレベル記憶部１０７は、携帯端末１０に設定されているセキュリティレベルを記憶する。なお、セキュリティレベルを決定する要素には、デバッガ有効化機能、ソフトウェアの改ざん検出機能、ソフトウェア書換え機能、端末ＩＤ書換え機能、ＯＳのコンソール有効化機能、及び携帯端末１０が認証用治具からダウンロードしたプログラムの実行を行う機能が含まれる。ＰＧデータ記憶部１０９は、携帯端末１０で実行されるプログラム、又はプログラムを実行する際に用いられるデータを記憶する。

遷移部１１１は、レベル遷移条件判定部１５１と、状態変更部１５３と、レベル遷移部１５５と、書換制御部１５７とを有する。レベル遷移条件判定部１５１は、認証部１０３によって特定されたセキュリティレベルに遷移するための条件（以下「レベル遷移条件」という。）を携帯端末１０が満たすか否かを判定する。レベル遷移条件の一例を図３に示す。例えば、レベルBの場合は認証に成功した場合に不揮発メモリへのプログラム書込みが許可される。ただし、遷移条件である書き込まれるプログラムの正当性が確認される必要がある。また、レベルFの場合は認証に成功した場合に全セキュリティ機能が有効となる。ただし、ソフトウェアの改ざん検出機能や全ての認証機能も有効となるため、改ざん検出に利用する正当性確認用ハッシュ値や認証用鍵などのデータが設定済みであることが遷移条件となる。

状態変更部１５３は、携帯端末１０がレベル遷移条件を満たさない場合、遷移を禁止する、又は携帯端末１０がレベル遷移条件を満たすようプログラム又はデータを修正する。なお、状態変更部１５３によって行われるプログラム又はデータの修正は、例えばレベルBの場合は遷移条件である書込みプログラムの正当性確認が失敗しているので、書込みプログラムに対応した正当性確認用ハッシュ値に差し替える、または書換えプログラム自体を別途保存している正当性確認済みのプログラムに差し替えることになる。また、正当性確認用ハッシュ値については別途保存しているハッシュ値に差し替える以外に、書込みプログラムから新規に計算することも可能である。

以上説明した遷移条件判定処理及び判定結果に応じた処理により、条件を満たさない状態遷移による携帯端末の状態不整合を防止することが可能となる。なお、状態不整合の携帯端末は、不整合の状況によっては復旧できずに廃棄端末となり大きなロストコストとなる。なお、セキュリティレベルが３種以上の場合について説明したが、２種の場合も３種以上と同様の課題と効果を有する。

レベル遷移部１５５は、レベル遷移条件を満たした後、携帯端末１０が認証部１０３によって特定されたセキュリティレベルに遷移するよう、セキュリティレベル記憶部１０７に設定されているセキュリティレベルを書き換える。レベル遷移部１５５によってセキュリティレベルが書き換えられた後、遷移部１１１は、通信部１０１から認証用治具にレベル遷移結果を送る。書換制御部１５７は、セキュリティレベルが書き換えられた後、通信部１０１が認証用治具から受け取ったプログラム又はデータによってＰＧデータ記憶部１０９を書き換えるよう書換部１１５に指示する。

レベル維持情報記憶部１１３は、書換部１１５によってＰＧデータ記憶部１０９のプログラム又はデータが書き換えられる前に、当該書き換えによってセキュリティレベルが現在のレベルよりも下がっても、書き換え前のレベル又は最も高いレベルにセキュリティレベルを設定するために必要な情報（以下「レベル維持情報」という。）を記憶する。例えば、書換え前のプログラムとデータをレベル維持情報記憶部１１３に保存しておく。又は、最も高いセキュリティレベルのプログラムとデータをレベル維持情報記憶部１１３に保存しておく。

書換部１１５は、書換処理部１６１と、書換後状態判定部１６３と、レベル維持部１６５とを有する。書換処理部１６１は、遷移部１１１のレベル遷移部１５５によって遷移されたセキュリティレベルに関するレベル維持情報をレベル維持情報記憶部１１３に格納した後、ＰＧデータ記憶部１０９のプログラム又はデータを書き換える。書換後状態判定部１６３は、書換処理部１６１によるプログラム又はデータの書き換え後に携帯端末１０の状態を判定し、書き換え後のセキュリティレベルが書き換え前のレベルよりも下がっている場合には、レベルを上げるようレベル維持部１６５に指示する。携帯端末１０の状態の判定方法としては、書換え後のプログラム自身がセキュリティレベルを変更する場合と、変更しない場合に分かれる。前者ではセキュリティレベル記憶部１０７を参照することで状態を判定できる。後者の場合は書換え後のプログラムを解析することで状態を判定する。例えば、低セキュリティレベルのプログラムの場合は認証用の鍵や改ざん検出用のハッシュ値がダミーであることから判定することが可能である。また、レベル維持部１６５による動作の条件の一例を図４に示す。レベル維持部１６５は、レベル維持情報記憶部１１３に格納されているレベル維持情報が示すセキュリティレベルに携帯端末１０を設定する。

以上説明したレベル維持処理により、意図しないセキュリティレベルの低下を防止することが可能となる。なお、意図せずセキュリティレベルが低下した状態の携帯端末を再度市場へ流通させた場合、当該端末への攻撃のみならず当該端末の解析結果から他の端末への攻撃可能性もあるため大きなセキュリティリスクとなる。なお、セキュリティレベルが３種以上の場合について説明したが、２種の場合も３種以上と同様の課題と効果を有する。

図５及び図６は、図１に示した携帯端末１０がセキュリティレベルを変更する際の動作を示すフローチャートである。図５に示すように、通信部１０１は、認証用治具から送られた認証情報を受け取る（ステップＳ１０１）。次に、認証部１０３は、認証情報に基づいて認証方式を判定し、当該判定した認証方式によって認証用治具を認証する（ステップＳ１０３）。次に、認証部１０３は、ステップＳ１０３での認証が成功したかを判別し（ステップＳ１０５）、認証が失敗していれば処理を終了し、成功していればステップＳ１０７に進む。

ステップＳ１０７では、認証部１０３は、ステップＳ１０３で行われた認証の際に採用された認証方式に応じたセキュリティレベルを特定する。次に、遷移部１１１は、ステップＳ１０７で特定されたセキュリティレベルに遷移するためのレベル遷移条件を携帯端末１０が満たすか否かを判別し（ステップＳ１０９）、条件を満たさない場合はステップＳ１１１に進み、満たす場合はステップＳ１１５に進む。なお、ステップＳ１０９でレベル遷移条件を満たさないと判断された場合、ステップＳ１１１に進まずに処理を終了しても良い。

ステップＳ１１１では、遷移部１１１は、携帯端末１０がレベル遷移条件を満たすようプログラム又はデータを修正する。次に、遷移部１１１は、ステップＳ１０９で行った処理と同様に、携帯端末１０がレベル遷移条件を満たすか否かを判別し（ステップＳ１１３）、条件を満たさない場合は処理を終了し、満たす場合はステップＳ１１５に進む。

ステップＳ１１５では、遷移部１１１は、ステップＳ１０７で特定されたセキュリティレベルに遷移するようセキュリティレベルを書き換える。次に、遷移部１１１は、ステップＳ１１５で行ったレベル遷移の結果を通信部１０１を介して認証用治具に送る（ステップＳ１１７）。

次に、図６に示すように、通信部１０１が書き換えのためのプログラム又はデータを受け取って、携帯端末１０がプログラム又はデータを書き換えるか否かを判別する（ステップＳ１１９）。プログラム又はデータの書き換えを行う場合、書換部１１５は、ステップＳ１１５で行ったレベル遷移後のセキュリティレベルに関するレベル維持情報をレベル維持情報記憶部１１３に格納する（ステップＳ１２１）。なお、レベル維持情報記憶部１１３に予め最も高いレベルのセキュリティレベルに関するレベル維持情報が格納されている場合、ステップＳ１２１を行う必要はない。

次に、書換部１１５は、ＰＧデータ記憶部１０９のプログラム又はデータを書き換える（ステップＳ１２３）。次に、書換部１１５は、ステップＳ１２３実行後のセキュリティレベルがステップＳ１２３実行前のレベルよりも低下したかを判別し（ステップＳ１２５）、レベルが低下していなければ処理を終了し、低下していればステップＳ１２７に進む。ステップＳ１２７では、書換部１１５は、ステップＳ１２１で格納されたレベル維持情報が示すセキュリティレベルに携帯端末１０を設定して、処理を終了する。

以上説明したように、本実施形態の携帯端末１０によれば、３種類以上のセキュリティレベルの内、認証用治具の認証の際に採用された認証方式に応じたセキュリティレベルに遷移することができる。また、認証方式に応じたセキュリティレベルに遷移する前に、レベル遷移条件を満たすか否かを判定し、条件を満たさない場合には、遷移を禁止する、又は当該条件を満たすよう携帯端末１０のプログラム又はデータを修正するため、不正規状態への遷移を防止できる、又は所望のレベルに確実に遷移することができる。さらに、認証用治具から送られたプログラム又はデータによる書き換えの結果、セキュリティレベルが低下しても、レベル遷移後の元のレベル又は最も高いレベルに上げられるため、プログラム又はデータの書き換えによるセキュリティレベルの低下を維持することができる。

本発明を詳細にまた特定の実施態様を参照して説明したが、本発明の精神と範囲を逸脱することなく様々な変更や修正を加えることができることは当業者にとって明らかである。

本出願は、2008年5月22日出願の日本特許出願（特願2008−134738）に基づくものであり、その内容はここに参照として取り込まれる。

本発明に係るセキュリティレベル制御装置、セキュリティレベル制御方法及びセキュリティレベル制御プログラムは、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能な技術等として有用である。

本発明は、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能なセキュリティレベル制御装置に関する。

特許文献１には、データの読み出し・書き込みに関するセキュリティの高い第１動作モード、及び第１動作モードよりセキュリティの低い第２動作モードのいずれかのモードで動作可能な半導体メモリのセキュリティ技術について開示されている。特許文献２には、内部バスを介してアクセスされるモジュールと、モジュールが外部からの観測を受けないセキュア状態か外部からの観測を受ける非セキュア状態かを判定する判定回路と、非セキュア状態と判定されたときモジュールを内部バスから切り離すバスアクセス遮断回路とを含む情報処理装置について開示されている。

特許文献３には、セルラー電話のような電子装置内のメモリに対するいたずらを防止ために、電子装置のメモリへの無許可のアクセスを防止するシステムについて開示されている。当該システムでは、保護されたメモリへアクセスする企図を検出し、命令コードの実行に基づくアクセスを当該アクセスが認証された場合に許可し、当該アクセスが認証されない場合にはマイクロプロセッサの動作を停止して、当該アクセスを防止する。

特開２００７−２１３４７８号公報 特開２００６−３１８３３４号公報 特開２００７−２９３８４７号公報

特許文献１〜３に記載の技術では、２種類のモードが定義され、一方のモードからもう一方のモードに遷移する際に、特定の認証方式による認証が成功した場合に当該遷移を許可する。しかし、３種類以上のモードが存在する場合については開示されていない。したがって、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能な携帯電話等の電子機器に、上記技術を適用することはできない。

本発明の目的は、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能なセキュリティレベル制御装置を提供することである。

本発明は、複数のセキュリティレベルのいずれかで動作可能なセキュリティレベル制御装置において、認証情報を取得する認証情報取得部と、前記認証情報が正しいか否かを認証する認証部と、前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、を備え、前記遷移部は、前記認証情報に対応したセキュリティレベルに遷移する前に、当該セキュリティレベルに遷移するためのレベル遷移条件を満たすか否かを判定し、前記レベル遷移条件を満たさないときは、当該セキュリティレベルへの遷移を中止する、もしくは、当該レベル遷移条件を満たすようプログラム又はデータを修正するセキュリティレベル制御装置を提供する。

上記セキュリティレベル制御装置では、プログラム又はデータを書き換える書換処理部と、前記遷移部によって遷移したセキュリティレベルが、前記書換部によるプログラム又はデータの書き換えによって低下した場合、前記書き換え前のレベル以上に高いレベルにセキュリティレベルを設定するレベル維持部と、を備える。

本発明は、複数のセキュリティレベルで動作可能なセキュリティレベル制御装置において、認証情報を取得する認証情報取得部と、前記認証情報が正しいか否かを認証する認証部と、前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、プログラム又はデータを書き換える書換処理部と、前記遷移部によって遷移したセキュリティレベルが、前記書換部によるプログラム又はデータの書き換えによって低下した場合、前記書き換え前のレベル以上に高いレベルにセキュリティレベルを設定するレベル維持部と、を備えたセキュリティレベル制御装置を提供する。

本発明に係るセキュリティレベル制御装置によれば、状況に応じて３種類以上のセキュリティレベルのいずれかに設定することができる。

本発明に係るセキュリティレベル制御装置を含む携帯端末と、この携帯端末に接続され得る認証用治具とを備えたシステムを示すブロック図 認証部が携帯端末の状態に応じて異なる認証方式を受け付ける方法を示す図 レベル遷移条件の一例を示す図 レベル維持部による動作の条件の一例を示す図 図１に示した携帯端末がセキュリティレベルを変更する際の動作を示すフローチャート 図１に示した携帯端末がセキュリティレベルを変更する際の動作を示すフローチャート

以下、本発明の実施形態について、図面を参照して説明する。

図１は、本発明に係るセキュリティレベル制御装置を含む携帯端末と、この携帯端末に接続され得る認証用治具とを備えたシステムを示すブロック図である。図１に示すシステムは、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能な携携帯電話等の携帯端末１０と、携帯端末１０に接続され得る認証用治具２０Ａ〜２０Ｃとを備える。

認証用治具２０Ａ〜２０Ｃは、ケーブル等で接続された携帯端末１０に、書き換えのためのプログラム若しくはデータ又は認証情報を送る。認証情報とは、携帯端末１０が各認証用治具を識別するための情報である。認証用治具２０Ａ〜２０Ｃは、携帯端末１０の開発現場や工場、カスタマーサービスセンター等で用いられ、開発や生産、メンテナンス等のために携帯端末１０のプログラム又はデータを書き換えるためのソフトウェアがインストールされたコンピュータである。各認証用治具のソフトウェアには、所望のセキュリティレベルに対応した認証方式による認証を行う機能が含まれる。

図１に示す例では、例えば、認証用治具２０Ａはカスタマーサービスセンターに設けられ、認証方式Ａによる認証を行うことができる。また、認証用治具２０Ｂは工場に設けられ、認証方式Ｂ，Ｃ，Ｄによる認証を行うことができる。さらに、認証用治具２０Ｃは開発現場に設けられ、認証方式Ｆ，Ｇによる認証を行うことができる。

なお、認証方式には、共通鍵暗号による認証、公開鍵暗号による認証、ハッシュ関数による認証、チャレンジレスポンス認証、端末ＩＤによる認証、ドングルによる認証、コマンドの正当性確認による認証、ＰＷ認証のいずれか又はこれらの組合わせが含まれる。

携帯端末１０は、図１に示すように、通信部１０１と、認証部１０３と、鍵記憶部１０５と、セキュリティレベル記憶部１０７と、ＰＧデータ記憶部１０９と、遷移部１１１と、レベル維持情報記憶部１１３と、書換部１１５とを備える。なお、認証部１０３、遷移部１１１及び書換部１１５はチップセット等によって構成され、プログラムが実行されることにより動作しても良い。

通信部１０１は、携帯端末１０に接続された認証用治具から送られた、書き換えのためのプログラム若しくはデータ又は認証情報を受け取る。認証部１０３は、通信部１０１が受け取った認証情報に基づいて認証方式を判定し、当該判定した認証方式によって、携帯端末１０に接続されている認証用治具を認証する。なお、認証部１０３には、認証方式とセキュリティレベルが対応したテーブルが設けられている。したがって、認証部１０３は、認証が成功した場合、当該認証の際に採用された認証方式に応じて、携帯端末１０に設定するセキュリティレベルを特定する。

また、認証部１０３は、認証情報を受け取ったタイミングにおける携帯端末１０の状態に応じて異なる認証方式を受け付け、当該受け付けた認証方式によって認証用治具を認証しても良い。例えば、認証部１０３は、図２に示すように、携帯端末１０の内部ＲＯＭ起動時、ＢＩＯＳ／ＩＰＬ（Initial Program Loader）起動時、ＯＳ起動時、プログラムマネージャ起動時、通常起動時、メンテナンスモード時といった各段階に応じて、それぞれ異なる認証方式を受け付ける。

鍵記憶部１０５は、認証部１０３が認証用治具の認証を行う際に必要な鍵や証明書等の情報を記憶する。なお、鍵記憶部１０５に格納されている鍵や証明書は少なくとも１つの認証方式に対応している。

セキュリティレベル記憶部１０７は、携帯端末１０に設定されているセキュリティレベ
ルを記憶する。なお、セキュリティレベルを決定する要素には、デバッガ有効化機能、ソフトウェアの改ざん検出機能、ソフトウェア書換え機能、端末ＩＤ書換え機能、ＯＳのコンソール有効化機能、及び携帯端末１０が認証用治具からダウンロードしたプログラムの実行を行う機能が含まれる。ＰＧデータ記憶部１０９は、携帯端末１０で実行されるプログラム、又はプログラムを実行する際に用いられるデータを記憶する。

遷移部１１１は、レベル遷移条件判定部１５１と、状態変更部１５３と、レベル遷移部１５５と、書換制御部１５７とを有する。レベル遷移条件判定部１５１は、認証部１０３によって特定されたセキュリティレベルに遷移するための条件（以下「レベル遷移条件」という。）を携帯端末１０が満たすか否かを判定する。レベル遷移条件の一例を図３に示す。例えば、レベルBの場合は認証に成功した場合に不揮発メモリへのプログラム書込みが許可される。ただし、遷移条件である書き込まれるプログラムの正当性が確認される必要がある。また、レベルFの場合は認証に成功した場合に全セキュリティ機能が有効となる。ただし、ソフトウェアの改ざん検出機能や全ての認証機能も有効となるため、改ざん検出に利用する正当性確認用ハッシュ値や認証用鍵などのデータが設定済みであることが遷移条件となる。

状態変更部１５３は、携帯端末１０がレベル遷移条件を満たさない場合、遷移を禁止する、又は携帯端末１０がレベル遷移条件を満たすようプログラム又はデータを修正する。なお、状態変更部１５３によって行われるプログラム又はデータの修正は、例えばレベルBの場合は遷移条件である書込みプログラムの正当性確認が失敗しているので、書込みプログラムに対応した正当性確認用ハッシュ値に差し替える、または書換えプログラム自体を別途保存している正当性確認済みのプログラムに差し替えることになる。また、正当性確認用ハッシュ値については別途保存しているハッシュ値に差し替える以外に、書込みプログラムから新規に計算することも可能である。

以上説明した遷移条件判定処理及び判定結果に応じた処理により、条件を満たさない状態遷移による携帯端末の状態不整合を防止することが可能となる。なお、状態不整合の携帯端末は、不整合の状況によっては復旧できずに廃棄端末となり大きなロストコストとなる。なお、セキュリティレベルが３種以上の場合について説明したが、２種の場合も３種以上と同様の課題と効果を有する。

レベル遷移部１５５は、レベル遷移条件を満たした後、携帯端末１０が認証部１０３によって特定されたセキュリティレベルに遷移するよう、セキュリティレベル記憶部１０７に設定されているセキュリティレベルを書き換える。レベル遷移部１５５によってセキュリティレベルが書き換えられた後、遷移部１１１は、通信部１０１から認証用治具にレベル遷移結果を送る。書換制御部１５７は、セキュリティレベルが書き換えられた後、通信部１０１が認証用治具から受け取ったプログラム又はデータによってＰＧデータ記憶部１０９を書き換えるよう書換部１１５に指示する。

レベル維持情報記憶部１１３は、書換部１１５によってＰＧデータ記憶部１０９のプログラム又はデータが書き換えられる前に、当該書き換えによってセキュリティレベルが現在のレベルよりも下がっても、書き換え前のレベル又は最も高いレベルにセキュリティレベルを設定するために必要な情報（以下「レベル維持情報」という。）を記憶する。例えば、書換え前のプログラムとデータをレベル維持情報記憶部１１３に保存しておく。又は、最も高いセキュリティレベルのプログラムとデータをレベル維持情報記憶部１１３に保存しておく。

書換部１１５は、書換処理部１６１と、書換後状態判定部１６３と、レベル維持部１６５とを有する。書換処理部１６１は、遷移部１１１のレベル遷移部１５５によって遷移さ
れたセキュリティレベルに関するレベル維持情報をレベル維持情報記憶部１１３に格納した後、ＰＧデータ記憶部１０９のプログラム又はデータを書き換える。書換後状態判定部１６３は、書換処理部１６１によるプログラム又はデータの書き換え後に携帯端末１０の状態を判定し、書き換え後のセキュリティレベルが書き換え前のレベルよりも下がっている場合には、レベルを上げるようレベル維持部１６５に指示する。携帯端末１０の状態の判定方法としては、書換え後のプログラム自身がセキュリティレベルを変更する場合と、変更しない場合に分かれる。前者ではセキュリティレベル記憶部１０７を参照することで状態を判定できる。後者の場合は書換え後のプログラムを解析することで状態を判定する。例えば、低セキュリティレベルのプログラムの場合は認証用の鍵や改ざん検出用のハッシュ値がダミーであることから判定することが可能である。また、レベル維持部１６５による動作の条件の一例を図４に示す。レベル維持部１６５は、レベル維持情報記憶部１１３に格納されているレベル維持情報が示すセキュリティレベルに携帯端末１０を設定する。

以上説明したレベル維持処理により、意図しないセキュリティレベルの低下を防止することが可能となる。なお、意図せずセキュリティレベルが低下した状態の携帯端末を再度市場へ流通させた場合、当該端末への攻撃のみならず当該端末の解析結果から他の端末への攻撃可能性もあるため大きなセキュリティリスクとなる。なお、セキュリティレベルが３種以上の場合について説明したが、２種の場合も３種以上と同様の課題と効果を有する。

図５及び図６は、図１に示した携帯端末１０がセキュリティレベルを変更する際の動作を示すフローチャートである。図５に示すように、通信部１０１は、認証用治具から送られた認証情報を受け取る（ステップＳ１０１）。次に、認証部１０３は、認証情報に基づいて認証方式を判定し、当該判定した認証方式によって認証用治具を認証する（ステップＳ１０３）。次に、認証部１０３は、ステップＳ１０３での認証が成功したかを判別し（ステップＳ１０５）、認証が失敗していれば処理を終了し、成功していればステップＳ１０７に進む。

ステップＳ１０７では、認証部１０３は、ステップＳ１０３で行われた認証の際に採用された認証方式に応じたセキュリティレベルを特定する。次に、遷移部１１１は、ステップＳ１０７で特定されたセキュリティレベルに遷移するためのレベル遷移条件を携帯端末１０が満たすか否かを判別し（ステップＳ１０９）、条件を満たさない場合はステップＳ１１１に進み、満たす場合はステップＳ１１５に進む。なお、ステップＳ１０９でレベル遷移条件を満たさないと判断された場合、ステップＳ１１１に進まずに処理を終了しても良い。

ステップＳ１１１では、遷移部１１１は、携帯端末１０がレベル遷移条件を満たすようプログラム又はデータを修正する。次に、遷移部１１１は、ステップＳ１０９で行った処理と同様に、携帯端末１０がレベル遷移条件を満たすか否かを判別し（ステップＳ１１３）、条件を満たさない場合は処理を終了し、満たす場合はステップＳ１１５に進む。

ステップＳ１１５では、遷移部１１１は、ステップＳ１０７で特定されたセキュリティレベルに遷移するようセキュリティレベルを書き換える。次に、遷移部１１１は、ステップＳ１１５で行ったレベル遷移の結果を通信部１０１を介して認証用治具に送る（ステップＳ１１７）。

次に、図６に示すように、通信部１０１が書き換えのためのプログラム又はデータを受け取って、携帯端末１０がプログラム又はデータを書き換えるか否かを判別する（ステップＳ１１９）。プログラム又はデータの書き換えを行う場合、書換部１１５は、ステップ
Ｓ１１５で行ったレベル遷移後のセキュリティレベルに関するレベル維持情報をレベル維持情報記憶部１１３に格納する（ステップＳ１２１）。なお、レベル維持情報記憶部１１３に予め最も高いレベルのセキュリティレベルに関するレベル維持情報が格納されている場合、ステップＳ１２１を行う必要はない。

次に、書換部１１５は、ＰＧデータ記憶部１０９のプログラム又はデータを書き換える（ステップＳ１２３）。次に、書換部１１５は、ステップＳ１２３実行後のセキュリティレベルがステップＳ１２３実行前のレベルよりも低下したかを判別し（ステップＳ１２５）、レベルが低下していなければ処理を終了し、低下していればステップＳ１２７に進む。ステップＳ１２７では、書換部１１５は、ステップＳ１２１で格納されたレベル維持情報が示すセキュリティレベルに携帯端末１０を設定して、処理を終了する。

以上説明したように、本実施形態の携帯端末１０によれば、３種類以上のセキュリティレベルの内、認証用治具の認証の際に採用された認証方式に応じたセキュリティレベルに遷移することができる。また、認証方式に応じたセキュリティレベルに遷移する前に、レベル遷移条件を満たすか否かを判定し、条件を満たさない場合には、遷移を禁止する、又は当該条件を満たすよう携帯端末１０のプログラム又はデータを修正するため、不正規状態への遷移を防止できる、又は所望のレベルに確実に遷移することができる。さらに、認証用治具から送られたプログラム又はデータによる書き換えの結果、セキュリティレベルが低下しても、レベル遷移後の元のレベル又は最も高いレベルに上げられるため、プログラム又はデータの書き換えによるセキュリティレベルの低下を維持することができる。

本発明を詳細にまた特定の実施態様を参照して説明したが、本発明の精神と範囲を逸脱することなく様々な変更や修正を加えることができることは当業者にとって明らかである。

本出願は、2008年5月22日出願の日本特許出願（特願2008−134738）に基づくものであり、その内容はここに参照として取り込まれる。

本発明に係るセキュリティレベル制御装置は、状況に応じて３種類以上のセキュリティレベルのいずれかに設定可能な技術等として有用である。

１０ 携帯端末
２０Ａ〜２０Ｃ 認証用治具
１０１ 通信部
１０３ 認証部
１０５ 鍵記憶部
１０７ セキュリティレベル記憶部
１０９ ＰＧデータ記憶部
１１１ 遷移部
１１３ レベル維持情報記憶部
１１５ 書換部
１５１ レベル遷移条件判定部
１５３ 状態変更部
１５５ レベル遷移部
１５７ 書換制御部
１６１ 書換処理部
１６３ 書換後状態判定部
１６５ レベル維持部

Claims (11)

1. ３種類以上のセキュリティレベルのいずれかで動作可能なセキュリティレベル制御装置において、
   認証情報を取得する認証情報取得部と、
   前記認証情報が正しいか否かを認証する認証部と、
   前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、
   を備えたことを特徴とするセキュリティレベル制御装置。
2. 請求項１に記載のセキュリティレベル制御装置であって、
   記認証部は、前記認証情報に基づいて認証方式を判定し、当該判定した認証方式によって認証を行い、
   前記遷移部は、前記認証方式に対応したセキュリティレベルに遷移することを特徴とするセキュリティレベル制御装置。
3. 請求項１に記載のセキュリティレベル制御装置であって、
   前記認証部は、前記認証情報取得部が前記認証情報を取得したタイミングでの状態に応じて異なる認証方式を受け付け、当該受け付けた認証方式によって認証を行い、
   前記遷移部は、前記認証方式に対応したセキュリティレベルに遷移することを特徴とするセキュリティレベル制御装置。
4. 請求項１に記載のセキュリティレベル制御装置であって、
   前記遷移部は、前記認証情報に対応したセキュリティレベルに遷移する前に、当該セキュリティレベルに遷移するためのレベル遷移条件を満たすか否かを判定し、前記レベル遷移条件を満たさないときは当該セキュリティレベルへの遷移を中止することを特徴とするセキュリティレベル制御装置。
5. 請求項１に記載のセキュリティレベル制御装置であって、
   前記遷移部は、前記認証情報に対応したセキュリティレベルに遷移する前に、当該セキュリティレベルに遷移するためのレベル遷移条件を満たすか否かを判定し、前記レベル遷移条件を満たさないときは当該レベル遷移条件を満たすようプログラム又はデータを修正することを特徴とするセキュリティレベル制御装置。
6. 請求項１に記載のセキュリティレベル制御装置であって、
   プログラム又はデータを書き換える書換処理部と、
   前記遷移部によって遷移したセキュリティレベルが、前記書換部によるプログラム又はデータの書き換えによって低下した場合、前記書き換え前のレベル以上に高いレベルにセキュリティレベルを設定するレベル維持部と、
   を備えたことを特徴とするセキュリティレベル制御装置。
7. ３種類以上のセキュリティレベルのいずれかで動作可能なセキュリティレベル制御装置が行うセキュリティレベル制御方法であって、
   認証情報を取得する認証情報取得ステップと、
   前記認証情報が正しいか否かを認証し認証ステップと、
   認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移ステップと、
   を有することを特徴とするセキュリティレベル制御方法。
8. コンピュータに、請求項７に記載の各ステップを実行させるためのセキュリティレベル制御プログラム。
9. 複数のセキュリティレベルで動作可能なセキュリティレベル制御装置において、
   認証情報を取得する認証情報取得部と、
   前記認証情報が正しいか否かを認証する認証部と、
   前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、
   を備えたセキュリティレベル制御装置であって、
   前記遷移部は、前記認証情報に対応したセキュリティレベルに遷移する前に、当該セキュリティレベルに遷移するためのレベル遷移条件を満たすか否かを判定し、前記レベル遷移条件を満たさないときは当該セキュリティレベルへの遷移を中止することを特徴とするセキュリティレベル制御装置。
10. 複数のセキュリティレベルで動作可能なセキュリティレベル制御装置において、
    認証情報を取得する認証情報取得部と、
    前記認証情報が正しいか否かを認証する認証部と、
    前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、
    を備えたセキュリティレベル制御装置であって、
    前記遷移部は、前記認証情報に対応したセキュリティレベルに遷移する前に、当該セキュリティレベルに遷移するためのレベル遷移条件を満たすか否かを判定し、前記レベル遷移条件を満たさないときは当該レベル遷移条件を満たすようプログラム又はデータを修正することを特徴とするセキュリティレベル制御装置。
11. 複数のセキュリティレベルで動作可能なセキュリティレベル制御装置において、
    認証情報を取得する認証情報取得部と、
    前記認証情報が正しいか否かを認証する認証部と、
    前記認証部の認証結果が正しい場合、前記認証情報に対応したセキュリティレベルに遷移する遷移部と、
    を備えたセキュリティレベル制御装置であって、
    プログラム又はデータを書き換える書換処理部と、
    前記遷移部によって遷移したセキュリティレベルが、前記書換部によるプログラム又はデータの書き換えによって低下した場合、前記書き換え前のレベル以上に高いレベルにセキュリティレベルを設定するレベル維持部と、
    を備えたことを特徴とするセキュリティレベル制御装置。

Images