JP5992632B2 - アクセス制御を管理するためのポリシーベース技法 - Google Patents

Description

開示されている実施形態は、無線システムにおける認証及びセキュア通信を促進するための技法に関する。より具体的には、開示されている実施形態は、電子デバイス内のセキュアエレメント内のセキュアアクセス制御エレメントに関連付けられた動作を実行する論理エンティティのための特権を管理するための技法に関する。

多くの無線通信システムは、セキュア通信を確実にするためのアクセス制御技法を用いる。例えば、アクセス制御技法は、通信相手の識別を検証すること、及び検証された識別にふさわしいアクセスのレベルを許可することを含んでもよい。セルラー電話システム（ユニバーサル移動体通信システム（Universal Mobile Telecommunications System）、すなわちＵＭＴＳなど）では、アクセス制御は通例、物理的ユニバーサル集積回路カード（ＵＩＣＣ：Universal Integrated Circuit Card）上で実行するアクセス制御エレメント又はクライアント（ユニバーサル加入者識別モジュール（Universal Subscriber Identity Module）、すなわちＵＳＩＭなど）によって統御される。アクセス制御クライアントは通常、セルラーネットワークへの加入者を認証する。認証に成功した後、加入者はセルラーネットワークへのアクセスが許されてもよい。以下の説明では、「アクセス制御クライアント」とは概して、電子デバイスからネットワークへのアクセスを制御する（ハードウェア及び／又はソフトウェアの形態で実装されてもよい）論理エンティティを指すことに留意されたい。ＵＳＩＭに加えて、アクセス制御クライアントは、ＣＤＭＡ加入者識別モジュール（ＣＳＩＭ：CDMA Subscriber Identification Module）、ＩＰマルチメディアサービス識別モジュール（ＩＳＩＭ：IP Multimedia Services Identity Module）、加入者識別モジュール（ＳＩＭ：Subscriber Identity Module）、リムーバブルユーザ識別モジュール（ＲＵＩＭ：Removable User Identity Module）、等を含んでもよい。

従来、アクセス制御クライアントは、セキュアな初期化を確実にするために、適用可能なデータ及びプログラムを検証し、解読する、認証と鍵の合意（ＡＫＡ：authentication-and-key-agreement）技法を実行している。具体的には、アクセス制御クライアントは、その識別をネットワークオペレータに証明するためのリモートチャレンジに答えてもよく、ネットワークの識別を検証するためのチャレンジを発行してもよい。

従来のアクセス制御クライアントソリューションは取り外し可能な集積回路カード（ＩＣＣ：Integrated Circuit Card）（時により「ＳＩＭカード」と呼ばれる）内で具体化されているが、最近の研究は、ＳＩＭ動作を、電子デバイス上で実行するソフトウェアクライアント内で仮想化することに向けられている。仮想化されたＳＩＭ動作はデバイスのサイズを削減し、デバイスの機能を増やしてより大きな自由度を提供し得る。「仮想化されたＳＩＭ」は電子的ＳＩＭ（ｅＳＩＭ：electronic SIM）を指してもよいことに留意されたい。

しかし、仮想化されたＳＩＭ動作はまた、新たな課題をネットワークオペレータ及びデバイス製造業者に提示する。例えば、従来のＳＩＭカードは、信頼されたＳＩＭベンダによって製造され、保証されている。これらの従来のＳＩＭカードは、ＳＩＭカードに恒久的に「焼かれた」、単一のセキュアなバージョンのソフトウェアを実行する。一度焼かれると、ＳＩＭカードは通常、（ＳＩＭカードを破壊することもせずに）変更又は改竄することができない。

対照的に、ポータブル電子デバイスは、広範なデバイス製造業者によって製造され、複数の、場合によっては未知の第三者ソフトウェアベンダによって提供されるソフトウェアを実行してもよい。加えて、ポータブル電子デバイスは、存在するバグを修正することも新たなバグを持ち込むこともできるソフトウェアで頻繁に「パッチされる」。それゆえ、このソフトウェアは破損、妨害工作、及び／又は悪用を被りやすくなり得る。

更に、物理的ＳＩＭカードは複製が非常に難しいが、ソフトウェアはコピーすること、増やすことなどが容易にできる。それぞれのＳＩＭは有限のネットワーク資源への契約した量のアクセスを表すため、仮想化されたＳＩＭの違法使用はネットワーク動作及びユーザエクスペリエンスに大きな影響を与えることができる（例えば、このような違法使用は、さもなければ正規ユーザが利用可能であろう資源をネットワークから奪うことができ、それにより、このような正規ユーザのためのサービスの速度、可用性等を低下させる）。

その結果、従来の物理的ＳＩＭのものに概ね類似した仮想化されたＳＩＭ（及び、より一般的には、アクセス制御クライアント）のための保護及びその他の特性を提供するための新しいソリューションが必要とされている。更に、仮想化されたアクセス制御クライアントを記憶し、配付するための改善されたソリューションが必要とされている。理想的に、これらのソリューションは、仮想化された動作によって提供される追加の能力とともに、従来のアクセス制御クライアント動作の恩恵を提供することができる。

説明される実施形態は電子デバイスに関する。この電子デバイスは、サービスのユーザを識別し、セキュア通信を促進するアクセス制御エレメントであって、このアクセス制御エレメントは動作のセットに関連付けられる、アクセス制御エレメントを有するセキュアエレメントを含む。更に、セキュアエレメントは、プロセッサと、メモリであって、プロセッサによって実行されるプログラムモジュール、及び動作のセットに関連付けられた論理エンティティのための特権のセットを有するプロファイルを指定するクレデンシャル管理モジュールを記憶する、メモリと、を含む。更に、動作のうちのいくつかについては、論理エンティティのうちのいくつかのための異なる特権が存在することができる。

いくつかの実施形態では、クレデンシャル管理モジュールは、プログラムモジュールによって、特権のセットを指定するために用いられる情報を含む。

アクセス制御エレメントは電子的加入者識別モジュール（ｅＳＩＭ）を含んでもよいことに留意されたい。

更に、論理エンティティは電子デバイスの内部及び／又は外部にあってもよい。

更に、アクセス制御エレメントは、論理エンティティ及び第２の論理エンティティのうちの少なくとも１つのための特権の第２のセットを指定する情報を含んでもよい。特権のセットに関連付けられたセキュリティレベルと特権の第２のセットに関連付けられた第２のセキュリティレベルとの間の競合が発生した場合には、セキュアエレメントはセキュリティレベル及び第２のセキュリティレベルを比較してもよく、特権のセット及び特権の第２のセットのうちの、より強いセキュリティに関連付けられた１つを選択してもよい。代替的に、特権のセットに関連付けられたセキュリティレベルと特権の第２のセットに関連付けられた第２のセキュリティレベルとの間の競合が発生した場合には、セキュアエレメントは特権のセットを選択してもよい。

加えて、動作のセットは、アクセス制御エレメントをロードすること、アクセス制御エレメントを有効化すること、アクセス制御エレメントを無効化すること、アクセス制御エレメントをエクスポートすること、及び／又はアクセス制御エレメントを削除することを含んでもよい。

いくつかの実施形態では、クレデンシャル管理モジュールは、動作のセットに関連付けられた対称暗号鍵を含み、所与の暗号鍵は、動作のセットに関連付けられた特権を提供することを促進する。代替的に，又は追加的に、クレデンシャル管理モジュールは、動作のセットに関連付けられた非対称暗号鍵、及び非対称暗号を促進するための証明書を含んでもよく、所与の暗号鍵及び所与の証明書は、動作のセットに関連付けられた特権を提供することを促進してもよい。

別の実施形態は、論理エンティティのための特権のセットを指定するための方法を提供する。本方法の間に、第１の論理エンティティ及び第２の論理エンティティからクレデンシャルが受信される。次に、クレデンシャル及びクレデンシャル管理モジュールに基づき、第１の論理エンティティ及び第２の論理エンティティのための動作のセットに関連付けられた特権のセットが決定される。次に、第１の論理エンティティ及び第２の論理エンティティの特権のセットを指定する情報が電子デバイス内のセキュアエレメント内のアクセス制御エレメントに提供される。アクセス制御エレメントはサービスのユーザを識別し、セキュア通信を促進する。更に、アクセス制御エレメントは動作のセットに関連付けられ、動作のうちのいくつかについては、第１の論理エンティティ及び第２の論理エンティティのための異なる特権が存在する。

いくつかの実施形態では、電子デバイス内のプロセッサを用いてプログラムモジュールが実行される。

既存の認証と鍵の合意（ＡＫＡ）技法を示す図である。 本開示の一実施形態に係る、アクセス制御エレメントを配付するためのネットワークアーキテクチャを示すブロック図である。 本開示の一実施形態に係る、アクセス制御エレメントを電子デバイスに転送するための方法を示すフロー図である。 本開示の一実施形態に係る、アクセス制御エレメントに関連付けられた動作のセットのための論理エンティティのための特権のセットを指定するための方法を示すフロー図である。 本開示の一実施形態に係る、１つ以上のアクセス制御エレメントを記憶するように適合された電子的ユニバーサル集積回路カード（ｅＵＩＣＣ：electronic Universal Integrated Circuit Card）アプライアンスを示すブロック図である。 本開示の一実施形態に係る、１つ以上のアクセス制御エレメントを記憶し、使用するように適合された電子デバイスを示すブロック図である。 本開示の実施形態に係る、電子デバイスを示すブロック図である。

概要
開示される実施形態は、アクセス制御エレメントを記憶し、ポータブル電子デバイス（例えば、「スマートフォン」等）などの、電子デバイスに配付するための装置及び技法を提供する。アクセス制御エレメント（例えば、ｅＳＩＭ）を転送するために用いられる電子デバイスは、転送は、信頼された行先電子デバイスを用いてのみ実行されることを確実にすることによって、アクセス制御エレメントの一意性及び保存性を強化してもよい。一実施形態では、ハードウェアセキュリティモジュール（ＨＳＭ：hardware security module）内に実装されるｅＵＩＣＣアプライアンスが開示される。それぞれのＨＳＭは、例えば、小売りサービスのために、ｅＳＩＭの記憶及び配付を促進するために多数のｅＳＩＭを記憶することができる。ｅＵＩＣＣアプライアンスは、そのピアｅＵＩＣＣアプライアンスは、合意され、信頼されたプロトコルに従って動作していることを検証してもよい。ｅＵＩＣＣアプライアンスが両方とも合意している場合には、このとき、発信元ｅＵＩＣＣアプライアンスがそのｅＳＩＭを転送すると、それはそのｅＳＩＭを削除するか、又はさもなければ、それ自身のｅＳＩＭを非アクティブにすることになる。行先ｅＵＩＣＣアプライアンスはｅＳＩＭのアクティブなバージョンのみを保持することができる。

別の実施形態では、アクセス制御エレメントが１つの電子デバイスから別のものへ移し替えられると、受信側又は行先電子デバイスはチャレンジ又は一意識別子を発行する。送信側電子デバイスは受信側電子デバイスの公開鍵を用いてアクセス制御エレメントを暗号化してもよく、一意識別子又はチャレンジを追加してもよい。更に、暗号化されたアクセス制御エレメント並びに一意識別子若しくはチャレンジの組み合わせはまた署名されてもよい。送信後に、送信側電子デバイスはそのアクセス制御エレメントを削除してもよい。次に、受信側電子デバイスは、暗号化されたアクセス制御エレメント及び一意識別子を検証してもよい。これらが有効である場合には、受信側電子デバイスは、暗号化されたアクセス制御エレメント及び一意識別子を将来の使用のために記憶してもよい。

例示的な構成では、アクセス制御エレメントは、標準の信頼された関係に適合する電子デバイス間で転送されるのみである。どちらの電子デバイスも、合意されたプロトコルに従って動作しているため、アクセス制御エレメントはその転送の間中、一意的かつ保存された状態を維持することができる。更に、アクセス制御エレメントは行先電子デバイスのためにのみ暗号化され、現在の電子デバイスから削除されることを確実にすることによって、干渉してくる悪意を持った者たちは転送プロセスを妨害すること又は失敗させることができなくなる。

アクセス制御エレメントの転送のための種々の他の実施形態も以下においてより詳細に説明される。

加えて、ポリシーを実施するためのシステム及び技法が説明される。このポリシーは、異なるアクセス制御エレメント関連動作を、論理エンティティのためのクレデンシャルの異なるセット、及び／又は動作を実行する際に用いられる異なるセキュリティプロトコルと関連付けるために用いることができる。このように、異なる論理エンティティは、異なる動作に関連付けられた異なる特権を有してもよい。
例示的実施形態の詳細な説明

本開示の例示的実施形態及び態様が、ここに詳しく記述される。これらの実施形態及び態様は主にＧＳＭ、ＧＰＲＳ／ＥＤＧＥ、又はＵＭＴＳセルラーネットワークの加入者識別モジュール（ＳＩＭ）の枠内で論じられているが、本開示における通信技法は、米国電気電子学会（ＩＥＥＥ：Institute of Electrical and Electronics Engineers）８０２．１１規格、（Ｋｉｒｋｌａｎｄ，ＷａｓｈｉｎｇｔｏｎのＢｌｕｅｔｏｏｔｈスペシャル・インタレスト・グループからの）Ｂｌｕｅｔｏｏｔｈ（登録商標）、及び／又は（Ｗａｋｅｆｉｅｌｄ，ＭａｓｓａｃｈｕｓｅｔｔｓのＮＦＣフォーラムからの）近距離通信規格又は仕様などの、別の種類の無線インタフェースに基づくものなどの、アクセス制御エレメント（電子的ＳＩＭすなわちｅＳＩＭを含んでもよい）を記憶し、電子デバイスに配付することから恩恵を受けることができる多種多様の通信システムにおいて用いられてよい。本説明では用語「加入者識別モジュール」が用いられているが（例えば、ｅＳＩＭ）、この用語は必ずしも、加入者自身による使用（例えば、本開示は加入者又は非加入者によって実施されてもよい）、単一の個人による使用（例えば、本開示は、家族、又は会社、団体若しくは企業などの、無形若しくは仮想的エンティティなどの、個人のグループのために実施されてもよい）、並びに／あるいは任意の有形の「モジュール」機器若しくはハードウェアを暗示するか又はそれを必要とするわけではない。
既存の加入者識別モジュール（ＳＩＭ）の動作

例示的なＵＭＴＳセルラーネットワークの文脈においては、ユーザ機器（ＵＥ）は、ポータブル電子デバイス及びユニバーサル加入者識別モジュール（ＵＳＩＭ）を含んでもよい。ＵＳＩＭは、物理的ユニバーサル集積回路カード（ＵＩＣＣ）に記憶され、そこから実行される論理ソフトウェアエンティティであってもよい。通例、加入者情報、並びに無線ネットワークサービスを取得するためにネットワークオペレータとの認証に使用される鍵及び技法などの、様々な情報がＵＳＩＭ上に記憶される。一実施形態では、ＵＳＩＭソフトウェアは、Ｊａｖａ Ｃａｒｄ（商標）プログラミング言語に基づく。Ｊａｖａ Ｃａｒｄは、（ＵＩＣＣなどの）組み込み型「カード」タイプのデバイス用に修正されたＪａｖａ（商標）プログラミング言語のサブセットである。他の実装形態は、いわゆる「ネイティブ」ソフトウェア実装形態、及び／又は、自社の実装形態等を含んでもよい。

一般的に、ＵＩＣＣは加入者への配付の前にＵＳＩＭをプログラムされる。このプリプログラミング又は「個人化」はそれぞれのネットワークオペレータに特定的となるものであってもよい。例えば、配置の前に、ＵＳＩＭは、国際移動電話加入者識別番号（ＩＭＳＩ：International Mobile Subscriber Identity）、一意的な集積回路カード識別子（ＩＣＣ−ＩＤ：Integrated Circuit Card Identifier）、及び特定の認証鍵（Ｋ）に関連付けられてもよい。ネットワークオペレータは、この関連付けをネットワークの認証センター（ＡｕＣ：Authentication Center）内のレジストリ内に記憶してもよい。個人化の後、加入者にそのＵＩＣＣを配布することができる。

図１は、ＵＳＩＭを用いた既存の認証と鍵の合意（ＡＫＡ）技法を示す。ＡＫＡ技法における通常の認証の間に、ＵＥはＵＳＩＭから国際移動体加入者識別番号（ＩＭＳＩ：International Mobile Subscriber Identity）を獲得してもよい。次に、ＵＥは、ネットワークオペレータのサービングネットワーク（ＳＮ）又は訪問先コアネットワークにＩＭＳＩを渡してもよい。ＳＮは認証要求をホームネットワーク（ＨＮ）のＡｕＣに転送してもよい。更に、ＨＮは、受信したＩＭＳＩをＡｕＣのレジストリと比較してもよく、対応するＫを取得してもよい。次に、ＨＮは乱数（ＲＡＮＤ）を生成してもよく、期待応答（ＸＲＥＳ）を作り出すための技法を用いてＫを使ってそれに署名してもよい。更に、ＨＮは、暗号及び保全性保護に用いるための暗号鍵（ＣＫ）及び保全性鍵（ＩＫ）、並びに種々の技法を用いて認証トークン（ＡＵＴＮ）を生成してもよい。加えて、ＨＮは、ＲＡＮＤ、ＸＲＥＳ、ＣＫ、及びＡＵＴＮを含んでもよい、認証ベクトルをＳＮに送ってもよい。ＳＮは、ワンタイム認証プロセスにおける使用のためにのみ認証ベクトルを記憶してもよく、ＳＮはＲＡＮＤ及びＡＵＴＮをＵＥに渡してもよい。

ＵＥがＲＡＮＤ及びＡＵＴＮを受信した後に、ＵＳＩＭは、受信したＡＵＴＮは有効であるかどうかを検証してもよい。有効である場合には、ＵＥは、受信したＲＡＮＤを用いて、記憶されているＫ、及びＸＲＥＳを生成した同じ技法を用いてそれ自身の応答（ＲＥＳ）を計算してもよい。更に、ＵＥは、そのＲＥＳをＳＮに返送する。次に、ＳＮはＸＲＥＳを、受信したＲＥＳと比較してもよく、それらが一致する場合には、ＳＮは、ＵＥがオペレータの無線ネットワークサービスを使用することを認可してもよい。

上述のＡＫＡ技法はＳＩＭカードの物理媒体内で具体化されてもよい。一般的に、ＳＩＭカードは通例、少なくとも２つの別個の望ましい特性：それらはＳＩＭデータ（例えば、アカウント情報、暗号化鍵等）のための暗号によりセキュアなストレージを提供する、及びそれらは容易にクローンを作ることができない、を有する。

更に、ＳＩＭカードは、ユニバーサル集積回路カード（ＵＩＣＣ）内に形成されたプロセッサ及びメモリを含んでもよい。このＳＩＭカードは、ＵＩＣＣ上のデータ信号の外部からのプロービングを防止するために、エポキシ樹脂で充填されてもよい。しかし、所望に応じて、他の改竄防止構造（例えば、遮蔽層、マスキング層など）がＵＩＣＣ内に含められてもよい。加えて、ＳＩＭカードはプロセッサに対するセキュアなインタフェースを有してもよく、プロセッサはメモリに対する内部インタフェースを有してもよい。ＵＩＣＣは外部デバイスから電力を受け取ってもよく、これによりプロセッサは、メモリ構成要素からのコードを実行することが可能となることに留意されたい。メモリ構成要素自体は直接アクセス可能でなくてもよく（例えば、内部ファイルシステムはユーザから隠されてもよい）、プロセッサを介してアクセスされてもよい。

通常動作中、プロセッサは限定された数のコマンドのみを受け付けてもよい。これらのコマンドのそれぞれは条件付きでのみアクセス可能であってもよい。更に、アクセス条件は、無断アクセスを防止するために、コマンドの実行に制約されてもよい。更に、アクセス条件は、階層的な場合もあれば、そうではない場合もあり、例えば、１つのレベルのための認可は、別のレベルのための認可を自動的に許可しない場合がある。例えば、アクセス条件のセットは、常にアクセス可能、常にアクセス不能、第１のアカウントにアクセス可能、第２のアカウントにアクセス可能、などを含み得る。条件付きアクセスは、適切なセキュリティプロトコルの完了が成功した後にのみ許可されてもよい。ユーザの識別を検証するための技法は、パスワード、個人識別番号（ＰＩＮ：personal identification number）、共有シークレットのチャレンジ、等を含んでもよいことに留意されたい。

条件付きアクセス、限定されたコマンドのセット、及び／又は保護されたメモリ空間は、ＳＩＭカード内部に記憶された情報が、外部アクセスからセキュアであることを確実にし得る。ＳＩＭカードのクローンを作ることは、物理的カードの構築、並びに内部ファイルシステム及びデータの構築を必然的に伴い得る。これらの特徴の組み合わせにより、物理的ＳＩＭカードは、実際的な偽造の試みに大いに耐え得るものとなってもよい。
電子加入者識別モジュール（ｅＳＩＭ）の動作

少し離れるが、用語「保存性（conservation）」、「保存する（conserve）」、及び「保存された（conserved）」とは、本明細書で使用するとき、簡単に増やすか又は減らすことができない、（物理的又は仮想的のいずれかの）エレメントを指してもよい。例えば、保存されたｅＳＩＭは、通常動作の間にコピー又は複製することができない。

加えて、本明細書で使用するとき、用語「一意的（unique）」及び「一意性（uniqueness）」は（物理的エレメント又は仮想的エレメントに適用されるとき）、特定の特性及び／又は特徴を有する唯一無二のエレメントであるエレメントを指してもよい。例えば、一意的なｅＳＩＭは複製のｅＳＩＭを有することができない。

本明細書で使用するとき、用語「セキュリティ」とは、一般的に、データ及び／又はソフトウェアの保護を指す。例えば、アクセス制御データセキュリティは、アクセス制御エレメントに関連付けられたデータ及び／又はソフトウェアが、無許可の行為及び／又は悪意の第三者による、窃盗、悪用、破壊、公開、及び／又は改竄から保護されることを確実にしてもよい。

更に、本明細書で使用するとき、用語「ユーザ認可」とは、概して、資源へのユーザのアクセスを指定することを指す。既存の物理的ＳＩＭカードの場合には、ユーザ認可は物理的ＳＩＭカードの所持をもって実施されてもよいことに留意されたい。それゆえ、物理的ＳＩＭカードは、ネットワーク資源にアクセスするためのユーザの認可を表してもよい。例えば、物理的なＳＩＭカードが１つのセルラー電話から別のセルラー電話に移し替えられると、この移し替えはユーザによって行われた（及び、ユーザによって黙示的に認可された）ものと想定される。ｅＳＩＭの動作の文脈においては、ｅＳＩＭ転送のユーザ認可のための類似の機能が必要である。特に、ｅＳＩＭの「所有者」（及び、ネットワークも）は、ｅＳＩＭが正当なデバイスにのみ転送されることの保証を必要としてもよい。

一般的に、ソフトウェアはハードウェアよりも柔軟性が高いと認識されている。例えば、ソフトウェアは通常、コピー、変更、及び配付が容易である。更には、ソフトウェアは、多くの場合、ハードウェアの均等物よりも安価に、電力効率的に、物理的に小さく作製することができる。したがって、従来のＳＩＭ動作は、カード（ＵＩＣＣ）などの物理的フォームファクタを利用するが、現在の開発領域は、ＳＩＭ動作をソフトウェア内部で仮想化することに焦点を向けている。しかし、ＳＩＭデータ（例えば、加入者固有情報など）の機密性は通常、特別な配慮を必要とする。例えば、ＳＩＭデータの様々な部分は、加入者に固有のものであり、悪意の第三者から、慎重に保護されるべきである。更に、上述したように、それぞれのＳＩＭは、有限のネットワーク資源への契約した量のアクセスを表す。したがって、ネットワーク資源の過剰使用及び／又は過少使用、並びにサービスプロバイダ料金又は収入の肩代わりを防止するために、ＳＩＭの複製、破壊、及び／又は再生利用が管理されてもよい。その結果、仮想化されたＳＩＭは、理想的には、以下の特性：セキュリティ、一意性、及び保存性を満足するべきである。更に、これらの特性は、理想的には、少なくとも既存のネットワークインフラストラクチャと同等のコストで提供されるべきである。

いくつかの実施形態では、ＳＩＭ動作はＵＩＣＣを、これ以降、「電子的ユニバーサル集積回路カード」（ｅＵＩＣＣ）と呼ばれるソフトウェアアプリケーションなどの、仮想的又は電子的エンティティとしてエミュレートする。ｅＵＩＣＣは、これ以降、「電子的加入者識別モジュール」（ｅＳＩＭ）と呼ばれる、１つ以上のＳＩＭエレメントを記憶し、管理する能力を有してもよい。しかし、仮想化されたｅＳＩＭ動作のためのソリューションは通常、既存のＵＩＣＣによって既に提供されている既存のセキュリティ能力と（改善されないとしても）同等のセキュリティを提供しなければならない。加えて、既存のインフラストラクチャは通例、仮想化されたｅＳＩＭの数が、ネットワーク全体にわたって制御されるように（例えば、仮想化されたｅＳＩＭが、複製、喪失などされないように）、仮想化されたｅＳＩＭの保存性を強化するための好適な技法を必要とする。

図２は、複数のＳＩＭベンダ２０２と、複数のＳＩＭプロビジョニングサーバ（ＳＰＳ：SIM provisioning server）２０４（２０１０年１１月２２日に出願され、「Ｗｉｒｅｌｅｓｓ Ｎｅｔｗｏｒｋ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ａｐｐａｒａｔｕｓ ａｎｄ Ｍｅｔｈｏｄｓ」と題する、共有された同時係属中の米国特許出願第１２／９５２，０８２号、及び２０１０年１１月２２日に出願され、「Ａｐｐａｒａｔｕｓ ａｎｄ Ｍｅｔｈｏｄｓ ｆｏｒ Ｐｒｏｖｉｓｉｏｎｉｎｇ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｄａｔａ ｉｎ ａ Ｗｉｒｅｌｅｓｓ Ｎｅｔｗｏｒｋ」と題する、米国特許出願第１２／９５２，０８９号により詳細に説明されているものなど。両出願の内容は本明細書において参照により組み込まれている）と、セキュアなｅＵＩＣＣをそれぞれ包含するユーザ機器（ＵＥ）２０６の集団と、を含むシステム２００を示すブロック図を示す。以下の記載は、ＳＩＭベンダからセキュアなｅＵＩＣＣへｅＳＩＭを配付するための異なる実施形態を説明する。

一実施形態では、ＵＥ ２０６のうちの１つがいずれかのＳＰＳ ２０４からｅＳＩＭを要求し、ＳＰＳは、ＳＩＭベンダ２０２（又は、他の場合には、移動体通信事業者（ＭＮＯ：mobile network operator）、信頼されたサービスマネージャ（ＴＳＭ：trusted services manager）、等）などの信頼されたエンティティから適切なｅＳＩＭを取得する。このアプローチでは、ＳＩＭベンダはｅＳＩＭの配付を容易に制御することができる。例えば、それぞれの新たに要求されたｅＳＩＭはＳＩＭベンダによってのみ許可されてもよい。しかし、ＳＩＭベンダは、ｅＳＩＭを配給することができる唯一の当事者であり得るため、加入者の大集団が短期間のうちにＳＩＭベンダに要求を殺到させる場合には（よく売れる製品のリリースの場合にはよくあることだが）、ＳＩＭベンダが「ボトルネック」を作り出す恐れがある。同様に、ＳＩＭベンダは単一障害点になり得る。その結果、災害又はその他の機能不全が起きた場合には、ｅＳＩＭの発行は完全に停止され得るであろう。

別の実施形態では、それぞれのＳＰＳ ２０４がＳＩＭベンダ２０２からｅＳＩＭのプールを取得し、そのｅＳＩＭのプールをそれぞれのＳＰＳ内部に記憶する（ｅＳＩＭのプールは、それぞれのＳＰＳのために複製される）。次に、ＳＰＳは、要求に応じて、ｅＳＩＭをＵＥ ２０６に配布する。ｅＳＩＭはセキュアなｅＵＩＣＣによってのみ解読され、用いられてもよいことに留意されたい。この分散ＳＰＳサーバモデルでは、ＳＩＭベンダによるボトルネックが生じることはない。しかし、このアプローチは通例、大幅により多くのインフラストラクチャを必要とする。特に、ＳＰＳの集団は、複製されたｅＳＩＭが配付されないことを確実にする必要があり得る。したがって、ＳＰＳがｅＳＩＭを許可すると必ず、他のＳＰＳは、通信リンク２０８を介するなどして、それらの複製のｅＳＩＭを非アクティブ化するように通知される必要があり得る。これは、ｅＳＩＭは一意的であること（例えば、複製のｅＳＩＭは配付されていないこと）を確実にし得る。ＳＰＳ間でｅＳＩＭ状態情報の同期を保持するための通信は、ネットワークインフラストラクチャ上での著しい量のトラフィックになり得る。その上、低速のネットワーク接続又はネットワーク崩壊は「競合状態」を更に生じさせ得る。コンピュータネットワーキングの文脈において、競合状態とは一般的に、ネットワーク−エンティティ同期における伝搬遅延から生じるデータハザードを指す。例えば、不完全な同期は、２つのＳＰＳが同じｅＳＩＭを同時にエクスポートする（競合状態を作り出す）原因となり得る。これは、ｅＳＩＭのクローンが偶然に作られる結果を招く場合がある。

別の実施形態（図示せず）では、ＳＰＳ ２０４及びＳＩＭベンダ２０２のインフラストラクチャが何らかの様式で組み合わせられる。例えば、ＳＩＭベンダ及びＳＰＳネットワークは、共通の設備内に一緒に収容され、互いに自由にアクセスしてもよいか、又は別様にロジスティックに関連させてもよい。関連し合った設備の動作を成功させるには、ＳＩＭベンダとＳＰＳネットワークオペレータとの間に信頼された取引関係が必要とされ得るが、このことは、望ましくない可能性がある（例えば、法的な独占禁止の考慮事項により、企業が対立する場合など）。

上述の実施形態のそれぞれは、転送時に種々のネットワークエンティティを同期させるために膨大な通信オーバヘッドを伴う場合がある。例えば、ＳＰＳからポータブル電子デバイスへのｅＳＩＭの転送が成功すると、それぞれのＳＰＳは、そのｅＳＩＭは（同じｅＳＩＭの複数の送達を防止するために）再び転送することができないと通知されてもよい。

これらの実施形態は、ｅＳＩＭデータを受信し、利用するために、ユーザ機器においてｅＵＩＣＣデバイスを用いるものとして開示されていることに留意されたい。しかし、システム内におけるレガシーデバイスの使用に対応するために、上述の実施形態は、（以下において更に詳細に説明されるように）ｅＵＩＣＣ機能性が従来のＳＩＭフォームファクタ又はカード上に配置されたシステム内に実装されてもよい。
方法

したがって、本開示の種々の態様は、好都合なことに、既存のソリューション（例えば、物理的カードベースのアクセス制御エレメント）と同等かつ／又は改善された能力を提供する、仮想化されたアクセス制御エレメントの動作及び配付を可能にする。例示的な実施形態では、自己内蔵型のＳＩＭプロビジョニングサービス（ＳＰＳ）エンティティが他のピアＳＰＳデバイスと協同して動作することができ、（集中データベースからのｅＳＩＭを追跡する集中モデル、又はピアデバイス間の同期を必要とする分散型技法とは対照的に）ＳＩＭプロビジョニングのための分散ピアモデルを可能にする。更に、本明細書においてより詳細に説明されるように、本開示の実施形態は、好都合なことに、いずれかの特定のネットワークインフラストラクチャに特定的なものではなく、実質上いかなる構成にも柔軟に対応することができる。

本開示の一態様では、アクセス制御エレメントは、１度に電子デバイス内の１つのセキュアエレメントにのみ記憶し、転送することができる。いくつかの実施形態では、セキュアエレメントは、（本明細書において後により詳細に説明される）同じか又は類似のプロトコルを有する他のセキュアエレメントから受信したアクセス制御エレメントのみを記憶する。同様に、セキュアエレメントは、アクセス制御エレメントの転送を、同じか又は類似のプロトコルを有する他のセキュアエレメントに限定してもよい。例えば、セキュアエレメントはトランザクションを、一定のセキュリティ要件を満たす他のセキュアエレメントに限定してもよい。いくつかのＭＮＯは、他のＭＮＯよりも高いセキュリティをそれらのデバイスに実施する場合がある。種々の実施形態では、セキュアエレメントは異なるレベルで証明することができるであろう。更に、アクセス制御エレメントは一定の証明レベルを必要としてもよい。転送プロセスの間に、デバイスはそれ自身のアクセス制御エレメントを消去してもよい（又は非アクティブにしてもよい）。転送に関係するクライアントがどちらも、信頼されたエンティティであり、同じプロトコルに従うことを確実にすることによって、アクセス制御エレメントを転送中に増やされなくするか又は減らされなくすることができる。

セキュアエレメントは、保護された記憶媒体からのソフトウェアを実行する、プロセッサ又は処理装置として具体化されてもよいことに留意されたい。いくつかの実施形態では、保護された記憶媒体は、無断アクセス又は改竄を妨げるために暗号化されてもよい。更に、セキュアエレメントは、記憶媒体及び／又はセキュアプロセッサへのアクセスを防止するために、物理的に硬化又は保護されてもよい。物理的硬化の例としては、無断アクセスの試みが発生した場合に、自己破壊するか若しくはそのデバイスをアクセス不能にするように準備された、物理的ケース若しくは他の機構、並びに／又は、外部探査を防止するために、樹脂若しくは他の材料内に回路を組み込むことを挙げることができる。

いくつかの実施形態では、本開示のセキュアエレメントは異常なアクセスを更に制限し、及び／又はそれを監視する／合図する。例えば、セキュアエレメントへのアクセス制御エレメントの転送又は記憶はチャレンジレスポンス及び／又は一意識別子を必要としてもよい。間違ったチャレンジレスポンス又は不正確な識別子は異常／不正行為を指示する場合がある。同様に、セキュアエレメント間のトランザクションは暗号化されてもよい。その結果、間違って暗号化されたトランザクションも不審な行動を合図する場合がある。

図３は、アクセス制御エレメントを記憶し、転送するための方法３００のフロー図を示す。いくつかの実施形態では、方法３００は、１つ以上のｅＳＩＭの記憶を管理することができるＨＳＭ内で具体化されるｅＵＩＣＣアプライアンスである少なくとも１つのデバイスを要する。代替的に、又は追加的に、ＨＳＭは、暗号化されたｅＳＩＭをローカルに記憶してもよく、又はｅＳＩＭを遠隔媒体上への（場合によっては、セキュアなファイルシステム内への）記憶のために暗号化してもよい。

いくつかの実施形態では、少なくとも１つのデバイスは、物理的ＳＩＭカードフォームファクタ内で具体化される（例えば、以下において図７を参照して更に説明されるように、レガシーフォームファクタレセプタクルの再利用を可能にする）ｅＵＩＣＣアプライアンスである。

いくつかの実施形態では、少なくとも１つのデバイスは、セキュアエレメント内で具体化されたｅＵＩＣＣアプライアンスを含む、セルラー電話などの、硬化されたデバイスである（例えば、セキュアエレメントは、デバイスを破壊するか、又はさもなければその保全性を損なわずにデバイスから取り外すことができない）。

方法３００では、発信元デバイス及び行先デバイスがプロトコルに合意する（動作３０２）。いくつかの実施形態では、プロトコル種別は、識別されたソフトウェアのバージョンに基づき、例えば、平文によるものである。他の実施形態では、プロトコル種別は、別様に暗号化された初期通信に固有のものである。例えば、暗号化された２５６ビットのチャレンジは特定のプロトコル又はプロトコルのセットを固有に指定してもよく、それに対して、暗号化されていないチャレンジは異なるプロトコルを固有に指定してもよい。更に他の実施形態では、プロトコルは発見プロセスに基づく。例えば、デバイスは、ディレクトリサービスを用いて登録されてもよい。ここで、レジストリは、識別子、ネットワークアドレス、サポートされているプロトコル種別等などの情報を含む。

例示的な実施形態では、プロトコル種別は、相互に信頼された発行権限者によって発行された署名付き（デジタル）証明書によって決定される。デジタル証明書は、（証明書を一意的に識別するための）通し番号、証明されたデバイス、署名を生成するために用いられた署名技法、情報を検証し、証明書に署名した発行者、有効性範囲（例えば、〜から有効、〜まで有効、等）、暗号化鍵、並びに／又は（証明書の正当性を検証するための）拇印若しくは検証ハッシュを含んでもよい。デジタル証明書は関連技術において周知であり、本明細書では更に説明されない。

いくつかの実施形態では、相互に信頼された発行権限者は、アクティブ化権限者、例えば、ＭＮＯ認証センター（ＡｕＣ）である。他の実施形態では、相互に信頼された発行権限者は、信頼された第三者、例えば、ＳＩＭベンダ、デバイス製造業者等である。相互に信頼された発行権限者は両デバイスのために同じである必要はなくてもよい。例えば、システムは複数の信頼されたエンティティ（例えば、複数の受け入れられたＭＮＯ、複数の信頼されたデバイス製造業者等）を有してもよい。更に、一部のシステムでは、信頼されたエンティティが別の未知のエンティティのための信頼のルートになってもよい（例えば、信頼されたエンティティは、未知のエンティティも信頼することができることの保証を提供する）。このような信頼「チェーン」は任意の数の中間デバイス間に延びてもよい。それぞれの中間デバイスはその先行者の信頼レベルに連鎖していてもよく、これが、信頼されたルートエンティティまで延びる。

別の例では、ｅＵＩＣＣアプライアンスは、標準化された仕様等に適合するあらゆるアプライアンスデバイスをサポートしてもよい。同様に、下位互換性を確実にするために、ｅＵＩＣＣアプライアンスの後身はレガシーｅＵＩＣＣアプライアンス等もサポートしてよい。

利用可能なデバイス、及び／又は利用可能なデバイスのための受け入れられたプロトコルは、例えば、ルックアップディレクトリ又は同様のサービス内に記憶されてもよい。例えば、アプライアンスの複数のアレイは、アプライアンスのそれぞれのための接続情報を提供するディレクトリサービスサーバと結び付けられてもよい。要求者側（発信元又は行先のどちらか）はディレクトリサービスから情報を要求してもよい。

いくつかの実施形態では、プロトコルはソフトウェアのバージョン又はリビジョンに従ってコード化される。例えば、デバイスは、他のデバイスは、受け入れ可能なソフトウェアのバージョン又はリビジョンを含むことを検証してもよい。代替的に、発信元デバイス及び行先デバイスは非公式又は初期プロトコルに合意してもよい。例えば、デバイスはプロトコルを動的にネゴシエート又は決定してもよい。更に他の実施形態では、プロトコルのネゴシエーションは必要ない（例えば、単一の転送プロトコルのみをサポートするシステム）。

転送プロトコルは、転送時のチャレンジ−レスポンスプロトコル、一意識別子選択、転送暗号化、アクセス制御エレメント管理（例えば、削除手続き、確認応答手続き、等）の種類を指定してもよい。上述したように、アクセス制御エレメントの保存性及び一意性特性が転送中に保持されることを確実にするために、アクセス制御エレメントは特に行先デバイスのために暗号化されてもよく、転送デバイスから削除されてもよい。例えば、転送プロトコルは、受信の確認応答は必要であるかどうか、送信が失敗した場合に再送信は許されるかどうか、再試行の試みの容認可能な回数、及び／又は発信元デバイスは、いかなる条件下で、暗号化されたアクセス制御エレメントを削除することができるのか、を指定してもよい。

種々のシナリオの下では都合が良いか又は必要とされる場合があるため、発信元デバイスは、異なるときに、及び／又は異なる条件下で、暗号化されたアクセス制御エレメントを削除し、及び／又は非アクティブ化してもよいことは理解されるであろう。いくつかの実施形態では、削除は転送後のどこかの時点で行われてもよい。このような実施形態は、不必要なシグナリング（例えば、それぞれのアクセス制御エレメントを、別のものを転送する前に削除する）を最小限に抑えるためのバルク転送に有用となり得る。代替的に、アクセス制御エレメントは転送前のどこかの時点で非アクティブ化されてもよい。他の実施形態では、「有効性窓」が同様に転送のために指定されてもよく、それにより、特定の転送は、有効と見なされるために、規定された時間窓内に達成されなければならない。

その他の考慮事項は、デバイスの考慮事項及び／又はアクセス制御エレメントの考慮事項を含む。例えば、いくつかのデバイスは、アクセス制御エレメントを受信する（又は送信する）ことを許されるのみであってもよい。例示的な実施形態では、ポータブル電子デバイスはｅＳＩＭを受信することのみに限定される（一旦割り当てられると、それを返すことはできない、等）。代替的に、一部のデバイスは「ワンタイム」転送（例えば、ｅＳＩＭを１度提供するための使い捨てデバイス）としてのみ用いられてもよい。場合によっては、デバイスはピアデバイスよりもセキュアである（又はセキュアでない）ことがある。例えば、ユーザ機器は、ｅＵＩＣＣアプライアンスよりも厳しいセキュリティ要件を有してもよい。具体的には、ｅＵＩＣＣアプライアンスは他の方策（例えば、セキュアなインフラストラクチャ等）を介して保護されてもよい。よりセキュアでないｅＵＩＣＣアプライアンスが、その内部に包含されたセンシティブ情報の保護に見合った最低限のレベルのセキュリティを実装している場合には、セキュアなユーザ機器はｅＳＩＭをよりセキュアでないｅＵＩＣＣアプライアンスに転送することもできる。同様に、場合によっては、アクセス制御エレメントは、許される転送の総数、行先デバイスの制約等を含む、転送制限を有することがある。

更に、通信技法は転送プロトコルの考慮事項に大きな影響を与え得ることを理解されたい。ネットワークインフラストラクチャ転送は高帯域幅プロトコル及び媒体（例えば、Ｔ３、Ｔ１、Ｓｏｎｅｔ（同期光学ネットワーキング）、ギガビットイーサネット又は１０Ｇ等）を用いてもよく、それに対して、消費者ベースの転送は、より低い帯域幅の接続（例えば、セルラーアクセス、ＷＬＡＮ（wireless local area network、無線ローカルエリアネットワーク）、イーサネット、等）を通じて実行されてもよい。異なる使用シナリオはまた、ハンドシェーキングのための異なる要件、転送時間要件、等を有してもよい。例えば、ＳＩＭベンダは、（例えば、ＳＩＭ送達又はその他の機能を促進することなどのために）多数のｅＳＩＭをｅＵＩＣＣアプライアンスに転送してもよい。同様に、別の例では、ｅＳＩＭの集中化した大規模なリポジトリが複数のｅＵＩＣＣアプライアンスの間で自由に転送されてもよい。ｅＵＩＣＣアプライアンスは、負荷管理等を促進するために、ｅＳＩＭをアプライアンスからアプライアンスへ転送してもよい。ｅＳＩＭは流通していなくてもよいため、これらのバルク転送シナリオのためのハンドシェーキング要件はさほど重要でなくてもよい。（例えば、確認応答は、それぞれの個々のｅＳＩＭごとではなく、転送の終わりにひとまとめにすることができる）。

顧客アプリケーションははるかにより遅い転送速度を有してもよいが、ｅＳＩＭは確実に送達され、すぐに利用可能にならなければならないため、ハンドシェーキングはより重要になり得る。いくつかの実施形態では、ハンドシェーキングプロセスを完了できなければ、再試行の試みが自動的にトリガされる。例えば、ｅＵＩＣＣアプライアンス、ＳＰＳ、又は同様のエンティティは、ＵＥ、又はデスクトップ若しくはポータブルコンピュータから実行するアプリケーションからのにわかのｅＳＩＭ要求に応じるために、ｅＳＩＭを直接転送してもよい。別の例では、顧客ベースのアプリケーションは、１つ以上のｅＳＩＭ（例えば、１つは仕事用、１つは個人用、いくつかはローミングアクセス用、等）を記憶する能力を有する小さな内在化されたアプライアンスを実行し、顧客がｅＳＩＭを自分の種々のデバイスの間で転送することを可能にしてもよい。

次に、発信元デバイス及び行先デバイスは共有シークレットを確立する（動作３０４）。例示的な実施形態では、デバイスは、デジタル署名を検査することによってピアデバイス識別を検証し、署名が有効である場合には、アクセス制御エレメントによる暗号化のためのチャレンジ、一意識別子、又は別のセキュリティトークンを交換する（又はそれを交換することに合意する）。

例えば、デバイスはチャレンジ及びレスポンス形式のハンドシェイクを利用してもよく、この場合、信頼されたデバイスはいずれも、複数のチャレンジ及び関連付けられたレスポンスを生成するために用いることができる共通シークレット（例えば、共通鍵、鍵のセット、等）を知っている。１つの構成では、デバイスは、それらが適当なチャレンジ、及び／又は適切なレスポンスを生成することができるなら、未知のデバイスを信頼することを許可されてもよい。しかし、このような信頼が与えられる前に追加の基準が適用されてもよいことは理解されるであろう。

別の例では、デバイスは、アクセス制御エレメント要求とともに行先デバイスによって生成される一意識別子を用いてもよい。発信元デバイスは、応じた要求を識別するためにアクセス制御エレメントとともに一意識別子を含んでもよい。

他の実施形態では、デバイスは、信頼された第三者を用いてそれらのピアデバイスを検証する（例えば、信頼された第三者はデバイスのそれぞれにセッション鍵を提供してもよい）。このような関係は、直接又は間接的に検証されてもよい。例えば、ピアデバイスは、転送を実行する前に、信頼された第三者に直接問い合わせてもよく、又は、代替的に、それぞれのデバイスは、信頼された第三者等によって署名された証明書を提示してもよい。

他の種類の暗号機構及び信頼技法も本開示における使用のために当業者によって認識されるであろう。

更に、発信元デバイスはアクセス制御エレメントをシークレット、例えば、チャレンジ、一意識別子、又は別のセキュリティトークン、とともにパッケージ化する（動作３０６）。例示的な実施形態では、パッケージは追加的に、行先デバイスの公開鍵を用いて暗号化される。いくつかの実施形態では、アクセス制御エレメントを再暗号化する前に、発信元デバイスはそれ自身のプライベート鍵を用いてアクセス制御エレメントを解読する。

行先デバイスの公開鍵を用いた暗号化後には、行先デバイスのみがアクセス制御エレメントを使用のために解読することができる。アクセス制御エレメントを転送するための公開鍵及びプライベート鍵暗号化の一例が、２０１０年１０月２８日に出願され、「Ｍｅｔｈｏｄｓ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｓｔｏｒａｇｅ ａｎｄ Ｅｘｅｃｕｔｉｏｎ ｏｆ Ａｃｃｅｓｓ−Ｃｏｎｔｒｏｌ Ｅｌｅｍｅｎｔｓ」と題する、米国仮特許出願第６１／４０７，８６６号に説明されている。同出願の内容は本明細書において参照により組み込まれている。例えば、それぞれのｅＵＩＣＣアプライアンスは一意的なデバイス公開／プライベート鍵ペア及び承認証明書を有してもよい。公開／プライベート鍵ペアは、秘密のプライベート鍵、及び公開可能な公開鍵に基づいてもよい。暗号化及び解読のために用いられる鍵が異なり、それゆえ、暗号化部及び解読部は同じ鍵を共有しないため、公開／プライベート鍵技法は「非対称的」と見なされることに留意されたい。

方法３００の（とりわけ）動作３０６及び３０４は、更に組み合わせられ、細分され、及び／又は逆にされてもよいことが更に理解される。例えば、発信元デバイスはセッション鍵を決定してもよく、セッション鍵を用いてアクセス制御エレメントを暗号化してもよい。その結果得られたパッケージは行先デバイスの公開鍵を用いて更にラップされてもよい。いくつかの実施形態では、セッション鍵は行先デバイスによって受信の時点で決定される。

追加的に、いくつかの実施形態では、パッケージは、発信元デバイスの更なる検証を提供するために、（プライベート／公開署名ペアの）プライベート暗号鍵を用いて更にデジタル署名される。行先デバイスは、パッケージ（例えば、アクセス制御エレメント及び一意識別子、等）は発信元デバイスから発したことを検証するために、公開暗号鍵を用いてデジタル署名をチェックしてもよい。更に、デジタル署名は単に電子署名のサブセットにすぎないことを理解されたい。したがって、ユーザ固有識別（例えば、パスワード、バイオメトリクス、チャレンジ質問／フレーズ、等）、電子識別（例えば、デジタル証明書、暗号文、等）、等を含む、発信元検証の他の形態が同様に利用されてもよい。

次に、パッケージ化されたアクセス制御エレメントは発信元から行先デバイスへ転送される（動作３０８）。行先デバイスは共有シークレットを検証してもよく、検証が成功した場合には、暗号化されたアクセス制御エレメントを将来の使用のために記憶してもよい。いくつかの実施形態では、アクセス制御エレメントを行先デバイスのために有効化する前に（例えば、転送前、転送の完了前、転送成功の確認応答前、等）、アクセス制御エレメントは発信元デバイスにおいて削除されるか、非アクティブ化されるか、又は別の方法で使用不能にされる。

別の実施形態では、アクセス制御エレメントのダウンロードのセキュリティは、２０１２年２月１４日に出願され、「Ｍｅｔｈｏｄｓ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｌａｒｇｅ Ｓｃａｌｅ Ｄｉｓｔｒｉｂｕｔｉｏｎ ｏｆ Ｅｌｅｃｔｒｏｎｉｃ Ａｃｃｅｓｓ Ｃｌｉｅｎｔｓ」と題する、共有された、同時係属中の米国仮特許出願第６１／５９８，８１９号に開示されているセキュリティプロトコルを用いることによって確実にされる。同出願の内容は本明細書において参照により組み込まれている。同出願において説明されているように、階層型セキュリティソフトウェアプロトコルが用いられてもよい。例示的な実施形態では、サーバｅＵＩＣＣ及びクライアントｅＵＩＣＣソフトウェアがソフトウェア層のいわゆる「スタック」を構成してもよい。それぞれのソフトウェア層は、その対応するピアソフトウェア層とネゴシエートされる一組の階層的機能を担当してもよい。
例示的動作

本開示に係る典型的な動作の一例として、初期化時に、ＳＩＭベンダはｅＳＩＭの集合又は「ロット」をｅＵＩＣＣアプライアンスに提供する。複数のＳＩＭベンダがｅＳＩＭを独立に提供してもよいことに留意されたい。ＳＩＭベンダの側での協働は必要とされなくてもよい（ただし、所望の場合には、このような協働も用いられてよい）。ＳＩＭベンダは、ｅＵＩＣＣアプライアンスのためのチャレンジ又は一意識別子を用いてｅＳＩＭのそれぞれを暗号化してもよい。

上述したように、それぞれのｅＳＩＭは、仮想化されたＳＩＭ及び一意的な鍵の関連付け、並びにポータブル電子デバイスをセルラーネットワークへ認証するための上述のＡＫＡ技法を実行する能力を含んでもよい。加えて、それぞれのｅＳＩＭは、転送ごとに変化するチャレンジ又は識別子に一意的に関連付けられてもよい。チャレンジ又は識別子の典型的な実装形態は、暗号用具、カウンタ、疑似乱数列、大規模な状態マシン等を含んでもよい。

例えば、第１のｅＵＩＣＣアプライアンスは、第２のｅＵＩＣＣアプライアンスへの（第１のｅＵＩＣＣアプライアンスのために現在暗号化されている）ｅＳＩＭの転送を開始してもよい。第１のｅＵＩＣＣアプライアンスは第２のｅＵＩＣＣアプライアンスへのセキュア通信を開始してもよい。いくつかの実施形態では、第１及び第２のｅＵＩＣＣアプライアンスの両者は、１つ以上の相互に信頼された第三者によって署名された証明書に基づき転送に合意する。更に、第２のｅＵＩＣＣアプライアンスは一意識別子を第１のｅＵＩＣＣアプライアンスに提供してもよい。次に、第１のｅＵＩＣＣアプライアンスはそれ自身のプライベート鍵を用いてｅＳＩＭを解読してもよく、次に、第２のｅＵＩＣＣの公開鍵（この公開鍵は第２のｅＵＩＣＣによって自由に配付されてもよい）を用いてｅＳＩＭを再暗号化してもよい。一意識別子及び再暗号化されたｅＳＩＭの組み合わせは第１のｅＵＩＣＣアプライアンスによって署名されてもよい（この署名は第１のｅＵＩＣＣアプライアンスの識別を検証してもよい）。更に、署名された組み合わせは第２のｅＵＩＣＣのためにパッケージ化されてもよい。これで、第２のｅＵＩＣＣのみがｅＳＩＭを解読することができ、署名された組み合わせは、暗号化されたｅＳＩＭパッケージは一意識別子に対応することを証明し得る。加えて、第１のｅＵＩＣＣアプライアンスは、新たに暗号化されたｅＳＩＭを第２のｅＵＩＣＣアプライアンスへ送信してもよい。

いくつかの実施形態では、一意識別子は反射攻撃からの保護のために用いられる。例えば、それぞれのｅＳＩＭ転送は、トランザクションが（例えば、悪意の第三者によって）「コピーされ」、再生されることができないように、一意的に識別されてもよい。具体的には、ｅＳＩＭをアプライアンスＡとアプライアンスＢとの間で転送し、その後、アプライアンスＢからアプライアンスＣへ転送した場合には、ｅＳＩＭが依然としてアプライアンスＣにある間は、アプライアンスＡとアプライアンスＢとの間の転送を再現することができない。

同様に、第１のｅＵＩＣＣアプライアンスからポータブル電子デバイスへのｅＳＩＭの転送を考える。ポータブル電子デバイスは、チャレンジ及びその公開鍵を用いて、ｅＳＩＭを求める要求を発行してもよい。第１のｅＵＩＣＣアプライアンスはそれ自身のプライベート鍵を用いてｅＳＩＭを解読してもよく、適当なチャレンジレスポンスを生成してもよい。次に、ｅＳＩＭは、ポータブル電子デバイスの公開鍵を用いて再暗号化されてもよい。この再暗号化されたｅＳＩＭはチャレンジレスポンスと組み合わせられ、その後、署名されてもよい。次に、ポータブル電子デバイスは、チャレンジレスポンス（これは、第１のｅＵＩＣＣアプライアンスを正当な発信元として識別することができる）を検証してもよく、成功した場合には、ｅＳＩＭを使用のために解読してもよい。たとえ、万一、悪意の第三者が、暗号化されたｅＳＩＭを傍受することができたとしても、ｅＳＩＭは暗号化されているため、第三者はｅＳＩＭを使用又は改竄することができないであろう。

最後に、第１のポータブル電子デバイスから第２のポータブル電子デバイスへのｅＳＩＭの転送を考える。第１のポータブル電子デバイスは、そのｅＳＩＭを第２のポータブル電子デバイスへ転送せよとの要求をプッシュしてもよい。いくつかの実施形態では、第１又は第２のポータブル電子デバイスのどちらかのユーザが手動で転送を受け付ける。受け付けられると、第２のポータブル電子デバイスはチャレンジを第１のポータブル電子デバイスへ送信してもよい。次に、第１のポータブル電子デバイスは、それ自身のプライベート鍵を用いて、その記憶された暗号化されたｅＳＩＭを解読してもよく、適当なレスポンスを含む、第２のポータブル電子デバイスの公開鍵（これは常に利用可能であってもよい）を用いてｅＳＩＭを再暗号化してもよい。次に、組み合わせは署名され、送信されてもよい。更に、第２のポータブル電子デバイスは、チャレンジレスポンス（これは、第１のポータブル電子デバイスを正当な発信元として識別することができる）を検証してもよく、ｅＳＩＭを使用のために解読してもよい。
アクセス制御エレメントのポリシーベース管理

従来のアクセス制御技法は通常、適当なクレデンシャルを有する論理エンティティが、アクセス制御エレメントに関連する種々の動作を実行することを可能にする。しかし、リモートサーバからｅＳＩＭをロードすることなどの、いくつかの動作のためにいっそうのセキュリティを提供することが望ましい場合がある。例えば、悪意を持った論理エンティティが、仮想的ＳＩＭに悪意を持ったコードを包含させる恐れがあるか、又は悪意を持ったデータがロードされることを可能にする恐れがある。代替的に、他の動作（ユーザが、ｅＵＩＣＣ内に既にロードされているｅＳＩＭを有効化することを可能にすることなど）に伴うセキュリティリスクはより少なくなり得、それゆえ、デジタル証明書などの、面倒なセキュリティ方策を必要としなくてもよい。代わりに、これらの動作は、ＰＩＮコードなどの、より単純でより制限性の低いセキュリティ方策を用いてもよいか、又はレガシーＵＩＣＣを取り外す／挿入する場合のように特別なセキュリティを全く用いなくてもよい。

加えて、既存のｅＵＩＣＣ設計では、適当なクレデンシャルを有する論理エンティティは、ｅＳＩＭをロードすること又はｅＳＩＭを有効化することなどの、ｅＳＩＭ関連動作を管理することができてもよい。しかし、異なるビジネスモデルをサポートするために、異なる論理エンティティは異なる動作を管理することができることが望ましい場合がある（すなわち、異なる論理エンティティは、ｅＳＩＭなどの、アクセス制御エレメントに関連付けられたセット動作のための異なる特権を有してもよい）。異なる論理エンティティは、ユーザ、移動体通信事業者によって雇われたセキュリティサービス請負業者、移動体通信事業者、デバイス製造業者、及び／又は信頼されたＯＥＭベンダを含んでもよいことに留意されたい。これらの論理エンティティは、ＵＥ（ポータブル電子デバイスなど）の内部にある、及び／又はＵＥの外部にあるハードウェア及び／又はソフトウェアを用いて、異なる動作を管理してもよい。

ポリシーベースフレームワークを用いて、それぞれのｅＳＩＭ関連動作を異なる論理エンティティに関連付けることができ（すなわち、それは論理エンティティの特権を指定してもよい）、クレデンシャルの異なるセット、及び／又は動作を実行するために必要とされ得る異なるプロトコルに関連付けることができる。ｅＵＩＣＣにおいては、ｅＳＩＭのロード、ｅＳＩＭの有効化、ｅＳＩＭの無効化、ｅＳＩＭの削除及びｅＳＩＭのエクスポート（これは逆方向のロードと考えることができるか、又は代替的に、物理リンクを用いた２つのｅＵＩＣＣの間のものであり得るであろう）を含む、ｅＳＩＭを管理することに関連する多数の基本動作が存在する。このポリシーベースフレームワークは、異なる論理エンティティ（それらの関連付けられたクレデンシャルを有する）が、異なる動作を実行することを可能にしてもよく、また、異なるセキュリティプロトコルが、異なる動作又は異なる論理エンティティに関連付けられること可能にしてもよい。例えば、リモートロケーションからセキュアデータ（ｅＳＩＭなど）をダウンロードするために、ポリシーベースフレームワークは強いセキュリティを提供してもよく、これは、デバイスとリモートサーバとの間の相互認証を必要とすることを含む場合がある。他方で、強いセキュリティを要求することなく、ユーザがデバイス上でｅＳＩＭを交換するための動作を容易に実行することを許すことが望ましい場合がある。例えば、ポリシーベースフレームワークは、ユーザに、ｅＳＩＭを交換する前に単にＰＩＮコードを入力することだけを要求してもよい。それゆえ、いくつかの実施形態では、ｅＳＩＭをエクスポートすること又はロードすることに関連する動作はセキュアであってもよく、その一方で、ｅＳＩＭを有効化すること又は無効化することに関連する動作はさほどセキュアでなくてもよい。

その他の情報検索動作又はＵＩＣＣレベル動作がポリシーベースフレームワークによってサポートされてもよいことに留意されたい。例えば、ポリシーベースフレームワークは、ポリシーベースフレームワークを更新するためのセキュリティポリシーをサポートしてもよい。このポリシーベースフレームワーク更新動作はいっそうより強い認可を必要としてもよい（例えば、デバイス製造業者のみがこれを行うことを許されてもよい）。

いくつかの実施形態では、セキュリティフレームワークは公開鍵インフラストラクチャ（ＰＫＩ：public-key infrastructure）に基づく。例えば、リモートサーバがｅＳＩＭ関連動作を実行したいと所望する場合には、ポリシーベースフレームワークは、リモートサーバが、ｅＳＩＭ関連動作を実行することができるために、有効なＰＫＩデジタル証明書に関連付けられることを必要としてもよい。代替的に、ローカルユーザのために、ＰＩＮコードを用いた単純なユーザプロンプトで十分であってもよい。（ＰＫＩが有利ではあるが、それは必須とされなくてもよく、対称鍵などの、その他の種類の暗号化が用いられてもよいことに留意されたい。）

図４は、電子デバイス内のプロセッサ（電子デバイス内のセキュアエレメント内のプロセッサなど）によって実行されてもよい、アクセス制御エレメント（ｅＳＩＭなど）に関連付けられた動作のセットための論理エンティティのための特権のセットを指定するための方法４００を示すフロー図を示す。本方法の間に、論理エンティティ及び第２の論理エンティティからクレデンシャルが受信される（動作４０２）。論理エンティティ及び第２の論理エンティティは電子デバイス内部にあってもよく、及び／又は外部にあってもよいことに留意されたい。例えば、論理エンティティは電子デバイス内に含まれてもよく、及び／又はネットワークを介して電子デバイスにリモートアクセスしてもよい。

次に、クレデンシャル及びクレデンシャル管理モジュールに基づき、論理エンティティ及び第２の論理エンティティのための動作のセットに関連付けられた特権のセットが決定される（動作４０４）。例えば、動作のセットは、アクセス制御エレメントをロードすること、アクセス制御エレメントを有効化すること、アクセス制御エレメントを無効化すること、アクセス制御エレメントをエクスポートすること、及び／又はアクセス制御エレメントを削除することを含んでもよい。具体的には、動作のセットは、サービスのユーザを識別し、セキュア通信を促進するセキュアエレメント内のアクセス制御エレメントに関連付けられてもよく、特権のセット内の所与の特権は、論理エンティティ及び／又は第２の論理エンティティは動作のセット内の所与の動作を遂行又は実行することを許されるかどうかを指定してもよい。動作のうちのいくつかについては、論理エンティティ及び第２の論理エンティティのための異なる特権が存在することに留意されたい。いくつかの実施形態では、この情報を提供するためにプロセッサを用いてセキュアエレメント上のプログラムモジュールが実行される。

次に、論理エンティティ及び第２の論理エンティティの特権のセットを指定する情報がセキュアエレメントのオペレーティングシステムに提供される（動作４０６）。これは、セキュアエレメントが特権のセットを実施することを許す。それゆえ、特権の実施は、どのアクセス制御エレメント動作を許すことができるのかを決定するために、プラットフォーム又はオペレーティングシステムレベルにおいて実行されてもよい。一般的に、ポリシーは、ｅＵＩＣＣレベル（アクセス制御エレメントの外部）又はアクセス制御エレメントの内部のどちらかにおいて定義されてもよいが、ポリシーの実施はｅＵＩＣＣオペレーティングシステムレベルにおけるもの（例えば、モジュールを管理するクレデンシャル内におけるもの）であってもよい。

特権設定に基づき、１つ以上の論理エンティティ（論理エンティティ及び第２の論理エンティティなど）は、アクセス制御エレメント上で所与の動作を実行することを認可されたものとして構成することができることに留意されたい。これらの論理エンティティがそれを同時に行うか否かはユースケースに依存する。例えば、２つの異なるプロファイルが、２つの認可されたサーバから同時にロードされてもよい。しかし、２つの異なる論理エンティティが１つ以上のアクセス制御エレメントを同時に有効化／無効化することが望ましくない場合がある。

異なるコンピューティングプラットフォーム上の異なるセキュリティドメインをサポートすることに加えて（この場合、異なるマシンは、異なるセキュリティドメインを有し、異なるエンティティは、異なるマシン上の異なるセキュリティドメイン内で認可されることができる）、代わりのソリューションとして、ポリシーベースフレームワークは単一のコンピューティングプラットフォーム上で動作してもよい。このポリシーベースフレームワークは、どの論理エンティティが異なる動作を実行することを認可されるのかを決定するために、ドメイン分離の代わりにポリシーに頼ってもよい。

以下において図６及び図７を参照して更に説明されているように、上述のポリシーベースフレームワークは、セルラー電話又は別のコンピューティングプラットフォーム内に組み込まれたＵＩＣＣプラットフォームなどの、デバイスの内部で動作する任意の組み込み型ＵＩＣＣプラットフォーム上に実装されてよい。更に、ポリシーベースフレームワークは、デバイス内にはんだ付けされた組み込み型ＵＩＣＣカードなどの、デバイスの内部のセキュアエレメント上に実装することができる。

具体的には、ＵＩＣＣカードは、論理エンティティの特権、及びクレデンシャル（デジタル証明書、パスワード及び／又はＰＩＮコード）のデータベースを指定するポリシーを実行し、実施することができるそれ自身のソフトウェアを有してもよく、また、ｅＳＩＭ（及び、より一般的には、アクセス制御エレメント）のためのストレージを提供してもよい。例えば、以下において図６及び図７を参照して更に説明されているように、ＵＩＣＣカード上のセキュアエレメントは、ポリシーベースフレームワークを実装するクレデンシャル管理モジュールを含んでもよい。加えて、クレデンシャル管理モジュールは、動作のセットに関連付けられた対称暗号鍵を含んでもよく、所与の暗号鍵は、動作のセット内の少なくとも所与の動作に関連付けられた特権を促進してもよい。代替的に，又は追加的に、クレデンシャル管理モジュールは、動作のセットに関連付けられた非対称暗号鍵、及び非対称暗号を促進するための証明書を含んでもよく、所与の暗号鍵及び所与の証明書は、動作のセット内の少なくとも所与の動作に関連付けられた特権を促進してもよい。

更に、ＵＩＣＣカードは、標準化されたインタフェースを介してデバイス（スマートフォンなど）とインタフェースをとってもよい。動作中に、デバイスはＧＵＩを介して入力を受信してもよく、このインタフェースを介してＵＩＣＣカードにコマンドを発行してもよい。更に、リモートサーバはまずデバイスに接続してもよく、次に、デバイスを通じてサーバと組み込み型ＵＩＣＣとの間のセキュアトンネルを開設してもよい。

方法３００（図３）及び４００（図４）のいくつかの実施形態では、追加の動作が存在するか、又は動作はもっと少ない場合がある。例えば、方法４００におけるアクセス制御エレメントは、論理エンティティ及び第２の論理エンティティのうちの少なくとも１つのための特権の第２のセットを指定する情報を含んでもよい。特権のセットに関連付けられたセキュリティレベルと特権の第２のセットに関連付けられた第２のセキュリティレベルとの間の競合が発生した場合には、セキュアエレメントはセキュリティレベル及び第２のセキュリティレベルを比較してもよく、特権のセット及び特権の第２のセットのうちの、より強いセキュリティに関連付けられた１つを選択してもよい。代替的に、特権のセットに関連付けられたセキュリティレベルと特権の第２のセットに関連付けられた第２のセキュリティレベルとの間の競合が発生した場合には、セキュアエレメントは特権のセットを選択してもよい。更に、以下において図６及び図７を参照して更に説明されているように、特権が、少なくとも一部、アクセス制御エレメントによって定義することができる場合には、万一、競合又は衝突が発生すると、競合解消が実行されてもよい。この競合解消は、クレデンシャル管理モジュール及びアクセス制御エレメントによって決定された異なる特権に関連付けられたより厳重なセキュリティレベルを選択すること、並びに／又はデフォルトで、クレデンシャル管理モジュールによって決定された特権になることを含んでもよい。しかし、いくつかの実施形態では、セキュアエレメントは、アクセス制御エレメントによって指定された特権及び／又はセキュリティレベルがデフォルトとなるように、権限をアクセス制御エレメントに渡す。更に、動作の順番を変えることができ、及び／又は２つ以上の動作を単一の動作に結合することができる。

例示的な実施形態では、クレデンシャル管理モジュールは論理エンティティのための認可をそのクレデンシャル及び１つ以上のルックアップテーブルに基づき決定してもよい。例えば、論理エンティティはクレデンシャルをクレデンシャル管理モジュールに提供してもよい。それに応答して、クレデンシャル管理モジュールはルックアップテーブルのうちの１つを用いて、少なくとも１つのアクセス制御エレメントに関連付けられた特定の動作のための論理エンティティの特権を決定してもよい。これは、論理エンティティが、アクセス制御エレメントを電子デバイス上にロードすること、電子デバイス上のアクセス制御エレメントを有効化すること、電子デバイス上のアクセス制御エレメントを無効化すること、電子デバイス上のアクセス制御エレメントをエクスポートすること、及び／又は電子デバイス上のアクセス制御エレメントを削除することなどの、少なくとも１つのアクセス制御エレメント（例えば、ｅＳＩＭ）に関連付けられた動作を少なくとも実行することを許してもよい。例示的な実施形態では、ＵＩＣＣアプライアンスは、アクセス制御エレメントをロードすること及びアクセス制御エレメントをエクスポートすることを許されてもよく、電子デバイスは、アクセス制御エレメントを有効化することを許されてもよく、ネットワークオペレータは、アクセス制御エレメントを無効化することを許されてもよく、電子デバイスは、アクセス制御エレメントを削除すること許されてもよい。

クレデンシャル管理モジュールはまた、異なる論理エンティティが、論理エンティティのためのクレデンシャルに基づき異なるアクセス制御エレメントに関連付けられた異なる動作のための異なる特権を有することを許してもよい。それゆえ、１つの論理エンティティは、１つのアクセス制御エレメントに関連付けられた動作を実行することを許されてもよいが、別のアクセス制御エレメントに関連付けられたその動作（又は別の動作）を実行することは許されなくてもよい。同様に、別の論理エンティティは、これら又はその他のアクセス制御エレメントに関連付けられたこれら又はその他の動作のための異なる特権を有してもよい。

更に、異なる論理エンティティを表すクレデンシャルの種類は、異なる論理エンティティ、（１つ以上のアクセス制御エレメントに関連付けられた）異なる動作、及び／又は異なるアクセス制御エレメントのために異なってもよい。例えば、いくつかの動作及び／又はアクセス制御エレメントのためにＰＫＩ／ＲＳＡ認証が用いられてもよく、その一方で、他の動作及び／又はアクセス制御エレメントのためにＰＩＮコードが用いられてもよい。

更に、クレデンシャル管理モジュールによって指定された特権は、１つ以上のアクセス制御エレメントに関連付けられた異なる動作のため、及び／又は異なるアクセス制御エレメントのためのクレデンシャルを提示する／論理エンティティを認証する際には、異なるセキュリティレベルが用いられることを指示してもよい。例えば、アクセス制御エレメントに関連付けられた特定の動作を実行するための特権を決定するために論理エンティティを認証するクレデンシャルを提示する際には、対称暗号が用いられてもよい。しかし、アクセス制御エレメントに関連付けられた別の動作のために、異なるセキュリティプロトコルが指定されてもよい（非対称暗号など）。

それゆえ、クレデンシャル管理モジュールは、異なる動作、異なるアクセス制御エレメント及び／又は異なる論理エンティティのための特権、クレデンシャル及び／又はセキュリティプロトコル／レベルを決定するポリシーを指定してもよい。クレデンシャル管理モジュールによって指定されたポリシーは複数のアクセス制御エレメントに影響を及ぼしてもよいことに留意されたい。しかし、いくつかの実施形態では、アクセス制御エレメントがそれ自身のためのポリシーを指定してもよい。すなわち、そのポリシーは、その特定のアクセス制御エレメントに関連付けられた動作に関連する論理エンティティのための特権にのみ影響を及ぼしてもよい。

クレデンシャル管理モジュールによって指定されたセキュアエレメント内のグローバルポリシー、及び／又はアクセス制御エレメントによって指定された特定のアクセス制御エレメントのためのローカルポリシー（これは時により「プロファイルポリシー」と呼ばれる）が存在する実施形態では、競合が起きる場合がある。競合が発生した場合には、例えば、グローバルポリシーは、ｅＳＩＭをロードするためにＲＳＡベースの相互認証の使用を指定し、ｅＳＩＭをアクティブ化する際にはポリシーデフォルトをプロファイルポリシーのものに委ね、電子デバイスはｅＳＩＭを非アクティブ化することができることを指定し、ｅＳＩＭをエクスポートするためにＲＳＡベースの相互認証の使用を指定し、ｅＳＩＭを削除する際にはポリシーデフォルトをプロファイルポリシーのものに委ねてもよい。同様に、ｅＳＩＭのプロファイルポリシーは、ｅＳＩＭをロードすることに関連する特権のための項目を有せず、ｅＳＩＭをアクティブ化するために特定のＬ３サービス共通名を用いたＲＳＡベースの相互認証の使用を指定し、ｅＳＩＭを非アクティブ化することに関連する特権のための項目を有せず、ｅＳＩＭをエクスポートするために特定のＬ３サービス共通名を用いたＲＳＡベースの相互認証の使用を指定し、ｅＳＩＭを削除するために特定のＬ３サービス共通名を用いたＲＳＡベースの相互認証の使用を指定してもよい。一般的に、グローバルポリシーとローカルポリシーとの間で競合が発生した場合には、クレデンシャル管理モジュールがデフォルトになってもよい。しかし、クレデンシャル管理モジュールは、特定の動作のために、特権を指定するための権限を（ｅＳＩＭ内で定義される）プロファイルポリシーに委ねてもよい。

代替的に、クレデンシャル管理モジュールは、競合（又は相違）が発生した場合には、特定の動作のために、グローバルな特権とローカルな特権とを比較してもよく、より厳重なセキュリティレベルを用いてもよい。例えば、ｅＳＩＭをロードするためのグローバルポリシーは、ｅＳＩＭをアクティブ化するためにＲＳＡベースの相互認証を用いることであり、ローカルポリシーは、ｅＳＩＭをアクティブ化するために特定のＬ３サービス共通名を用いたＲＳＡベースの相互認証を用いることである場合には、クレデンシャル管理モジュールは、特定のＬ３サービス共通名を用いたＲＳＡベースの相互認証を用いてもよい。

クレデンシャル管理モジュールによって指定されたクレデンシャル／特権は遠隔的に変更されてもよいことに留意されたい。例えば、クレデンシャル管理モジュールは、認可された論理エンティティの第１のリスト、及び第１のリストを変更することができる論理エンティティの第２のリストを有するルックアップテーブルを含んでもよい。

上記の実施形態における論理エンティティと電子デバイス内のセキュアエレメントとの間の（及び、特に、クレデンシャル管理モジュールとの）通信は、本開示において上述された通信技法及びセキュリティプロトコルを用いてもよい。
装置

次に、上述の技法と併せて有用となる装置の種々の例示的な実施形態をより詳細に説明する。
ｅＵＩＣＣアプライアンス

図５は、ｅＵＩＣＣアプライアンス５００を示すブロック図を示す。このｅＵＩＣＣアプライアンスは、スタンドアローンのエンティティであり得るか、又は他のネットワークエンティティ（例えば、ＳＰＳなど）と合併させることもできる。図５に示されるように、ｅＵＩＣＣアプライアンス５００は概して、通信ネットワークとインタフェースをとるネットワーキングサブシステム５０２と、処理サブシステム５０４と、メモリサブシステム５０６と、を含む。処理サブシステム５０４は、計算動作を実行するように構成される１つ以上のデバイスを含んでもよい。例えば、処理サブシステム５０４は、１つ以上のマイクロプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、マイクロコントローラ、プログラム可能ロジックデバイス、及び／又は１つ以上のデジタル信号プロセッサ（ＤＳＰ）を含み得る。

更に、メモリサブシステム５０６は、処理サブシステム５０４及び／又はネットワーキングインタフェース５０２のためのデータ及び／又は命令を記憶するための１つ以上のデバイスを含んでもよい。例えば、メモリサブシステム５０６は、ダイナミック・ランダムアクセスメモリ（ＤＲＡＭ）、スタティック・ランダムアクセスメモリ（ＳＲＡＭ）、及び／又はその他の種類のメモリを含み得る。いくつかの実施形態では、メモリサブシステム５０６内の処理サブシステム５０４のための命令は、処理サブシステム５０４によって実行されてもよい、１つ以上のプログラムモジュール又は命令のセットを含む。１つ以上のコンピュータプログラムは、コンピュータプログラム機構を構成することができることに留意されたい。更に、メモリサブシステム５０６内の様々なモジュール内の命令は、高水準手続き型言語、オブジェクト指向プログラム言語、並びに／又はアセンブリ言語若しくは機械語で実施することができる。更に、プログラムミング言語は、処理サブシステム５０４によって実行されるようにコンパイル又は解釈実行されてもよい。例えば、そのように構成可能であるか又は構成されてもよい（これらは本記載において互換的に用いられてもよい）。

更に、メモリサブシステム５０６は、メモリへのアクセスを制御するための機構を含み得る。いくつかの実施形態では、メモリサブシステム５０６は、ｅＵＩＣＣアプライアンス５００内のメモリに結合される１つ以上のキャッシュを含むメモリ階層を含む。これらの実施形態の一部では、キャッシュのうちの１つ以上は処理サブシステム５０４内に設置される。

一部の実施形態では、メモリサブシステム５０６は１つ以上の大容量の大記憶デバイス（不図示）に結合される。例えば、メモリサブシステム５０６は、磁気又は光学ドライブ、ソリッドステートドライブ、又は別の種類の大容量記憶デバイスに結合することができる。これらの実施形態では、メモリサブシステム５０６はｅＵＩＣＣアプライアンス５００によって、頻繁に使用されるデータのための高速アクセスストレージとして用いられることができるのに対して、大記憶デバイスは、使用頻度の低いデータを記憶するために用いられる。

ネットワーキングサブシステム５０２は、インタフェース回路（近距離通信回路など）及びアンテナを含む、有線及び／又は無線ネットワークに結合し、その上で通信するように（すなわち、ネットワーク動作を実行するように）構成される１つ以上のデバイスを含む。例えば、ネットワーキングサブシステム５０２は、Ｂｌｕｅｔｏｏｔｈ（登録商標）ネットワーキングシステム、セルラーネットワーキングシステム（例えば、ＵＭＴＳ、ＬＴＥなど等の５Ｇ／４Ｇネットワーク）、ユニバーサルシリアルバス（ＵＳＢ）ネットワーキングシステム、ＩＥＥＥ ８０２．１１に記述されている規格に基づくネットワーキングシステム（例えば、Ｗｉ−Ｆｉ（登録商標）ネットワーキングシステム）、イーサネット（登録商標）ネットワーキングシステム、及び／又は別の通信システム（近距離通信システムなど）を含み得る。

更に、ネットワーキングサブシステム５０２は、サポートされているそれぞれのネットワーキング又は通信システムに結合し、その上で通信し、それに関するデータ及びイベントを処理するために使用される、プロセッサ、コントローラ、無線機／アンテナ、ソケット／プラグ、及び／又はその他のデバイスを含む。それぞれのネットワークシステムのための、ネットワークに結合し、その上で通信し、その上のデータ及びイベントを処理するために用いられる機構は、時として、まとめて、ネットワークシステムのための「ネットワークインタフェース」と呼ばれることに留意されたい。更に、いくつかの実施形態では、ｅＵＩＣＣアプライアンス又はデバイス間の「ネットワーク」はまだ存在しない。したがって、ｅＵＩＣＣアプライアンス５００は、ｅＵＩＣＣアプライアンス又はデバイス間の単純な無線通信を実行するためのネットワーキングサブシステム５０２内の機構を用いてもよい。いくつかの実施形態では、ネットワーキングサブシステム５０２は、他のｅＵＩＣＣアプライアンスへのアクセス並びに／又は１つ以上のポータブル電子デバイスへの直接若しくは間接アクセスを提供するために、ＭＮＯインフラストラクチャと通信する。ただし、その他の構成及び機能性が代用されてもよい。

１つの構成では、ｅＵＩＣＣアプライアンス５００はＨＳＭである。ＨＳＭは、複数のアクセス制御エレメントを管理するための１つ以上のセキュアエレメントを含んでもよい。いくつかの実施形態では、アクセス制御エレメントはＨＳＭにおいて直接記憶される。代替的に、アクセス制御エレメントは暗号化され、外部ストレージ内に記憶されてもよい。このような外部（例えば、リモート）記憶装置の実施形態では、暗号化は、アクセス制御エレメントは、たとえ、物理的にセキュアでない媒体上に記憶されても、セキュアであることを確実にすることができる。

ＨＳＭは、アクセス制御エレメントの一意性及び保存性を維持しつつ、別のＨＳＭへの、及びそこからのアクセス制御エレメントの転送を可能にしてもよい。更に、この実施形態における別のＨＳＭへのアクセス制御エレメントの転送は、ローカルに記憶されたアクセス制御エレメントの非アクティブ化及び／又は削除を引き起こしてもよい。ＨＳＭはまた、改竄された場合、又はその保全性が他の方法で侵された場合には、自分自身を自己破壊するか、又は無効化してもよい。

図５では、ｅＵＩＣＣアプライアンス５００は、少なくとも、処理サブシステム５０４上で実行するデータベース５０８を含む。ｅＵＩＣＣアプライアンス５００上で実行する単一のアプリケーションとして示されているが、上述のデータベースの機能性は、互いに通信する複数のデバイス上で実行する分散アプリケーションを含み得ることが理解されよう。

データベース５０８の例示的な実装形態は、アクセス制御エレメント（ｅＳＩＭなど）を記憶せよとの要求、及び現在記憶されているｅＳＩＭを転送せよとの要求、を含み得る要求を処理してもよい。データベース５０８はまた、（図３における方法３００内の動作３０４中などに）要求を検証し、通信は、このような要求を行うことを認可されたエンティティから受信されることを確実にすることを担当してもよい。

いくつかの実施形態では、データベース５０８は、チャレンジ及びレスポンス（又はチャレンジ−レスポンス）セキュリティプロトコルを実行するように構成される。チャレンジ−レスポンスセキュリティプロトコルは、チャレンジ及び／又はレスポンスの適切な生成に基づいて、未知の第三者によって行われた要求を検証してもよい。代替的に、セキュアエレメントは、信頼された権限者によって署名されたデジタル証明書を検証してもよい。

図５に示されるように、メモリサブシステム５０６は、アクセス制御エレメントのアレイを記憶するように適合されてもよい。いくつかの実施形態では、ｅＵＩＣＣアプライアンスは、ｅＳＩＭなどの、アクセス制御エレメントのアレイを記憶する。それぞれのｅＳＩＭは、コンピュータ可読命令（ｅＳＩＭプログラムなど）及び関連データ（例えば、暗号鍵、保全性鍵など）を含む、小さいファイルシステムを含んでもよい。加えて、それぞれのｅＳＩＭは、このｅＵＩＣＣアプライアンスの公開鍵を用いて追加的に暗号化されてもよい。その結果、それぞれのｅＵＩＣＣはｅＵＩＣＣアプライアンス５００によってのみ解読されてもよい。いくつかの実施形態では、それぞれの暗号化されたｅＳＩＭは、一意識別子、チャレンジ、及び／又はチャレンジレスポンスを用いて更に暗号化される。暗号化されたコンポーネントは、バイナリラージオブジェクト（ＢＬＯＢ：binary large object）として更に記憶されてもよい。

データベース５０８のアプリケーションは利用可能なｅＳＩＭを管理してもよい。図５に示されるように、データベース５０８は、特定のｅＳＩＭ ＢＬＯＢ、ｅＳＩＭを使用することを認可されたデバイス、ｅＳＩＭの現在の状態及び／又は現在のステータス（例えば、「利用可能」、「利用不可」、「失効」など）に関連する情報を提供することができる。追加の情報も保持し得る。更に、データベース５０８のアプリケーションは、データベース内に記憶された情報を更新又は変更してもよい。

別のデバイスがｅＵＩＣＣアプライアンス５００からのｅＳＩＭを要求すると、データベース５０８のアプリケーションは、要求されたｅＳＩＭの現在の状態を取得してもよい。この情報は、要求されたｅＳＩＭは提供することができるかどうかを判定するために用いられてもよい。この有効性チェックは、（例えば、アクティブ化サービスにおける状態対ｅＵＩＣＣアプライアンス５００における最新の既知の状態を比較することによって）アクティブ化サービスにおいて、ｅＵＩＣＣアプライアンス５００において実行されるか、更に他のロケーションにおいて共有／配付されるか、又は行われることができる。同様に、別のデバイスがｅＳＩＭをｅＵＩＣＣアプライアンス５００へ転送すると、データベース５０８のアプリケーションは、転送されたｅＳＩＭの現在の状態を更新してもよい。

ｅＵＩＣＣアプライアンス５００内において、処理サブシステム５０４、メモリサブシステム５０６、ネットワーキングサブシステム５０２、及びデータベース５０８は、バスなどの１つ以上のインターコネクトを用いて互いに結合されてもよい。これらのインターコネクトは、サブシステム又は構成要素が互いの間でコマンド及びデータを通信するために使用することができる電気的、光学的、及び／又は電気光学的接続部を含んでもよい。異なる実施形態は、サブシステム又は構成要素間に、異なる数若しくは異なる構成の、電気的、光学的、及び／又は電気光学的接続部を含み得ることに留意されたい。

ｅＵＩＣＣアプライアンス５００を説明するために特定の構成要素が用いられているが、代替実施形態では、異なる構成要素及び／又はサブシステムがｅＵＩＣＣアプライアンス５００内に存在してもよい。例えば、ｅＵＩＣＣアプライアンス５００は、１つ以上の追加の処理サブシステム、メモリサブシステム、ネットワーキングサブシステム、及び／又はデータベースを含んでもよい。加えて、サブシステム又は構成要素のうちの１つ以上はｅＵＩＣＣアプライアンス５００内に存在しなくてもよい。更に、いくつかの実施形態では、ｅＵＩＣＣアプライアンス５００は、図５に示されていない１つ以上の追加のサブシステム又は構成要素を含んでもよい。また、図５には、独立したサブシステム又は構成要素が示されているが、いくつかの実施形態では、所与のサブシステム又は構成要素の一部又は全てはｅＵＩＣＣアプライアンス５００内の他のサブシステム又は構成要素のうちの１つ以上の中に統合することができる。

更に、ｅＵＩＣＣアプライアンス５００内の回路及び構成要素は、バイポーラ、ＰＭＯＳ及び／又はＮＭＯＳゲート又はトランジスタを含む、アナログ及び／又はデジタル回路機構の任意の組み合わせを用いて実装されてもよい。更に、これらの実施形態における信号は、ほぼ離散的な値を有するデジタル信号、及び／又は連続的な値を有するアナログ信号を含んでもよい。加えて、構成要素及び回路はシングルエンド形又は差動形であってもよく、電源はユニポーラ形又はバイポーラ形であってもよい。
電子デバイス

図６は電子デバイス６００（例えば、ＵＥ）のブロック図を示す。この電子デバイスは、処理サブシステム６０２と、メモリサブシステム６０４と、ネットワーキングサブシステム６０６と、ユーザインタフェースサブシステム６０８と、セキュアエレメント６１０と、を含む。処理サブシステム６０２は、計算動作を実行するように構成される１つ以上のデバイスを含む。例えば、処理サブシステム６０２は、１つ以上のマイクロプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、マイクロコントローラ、プログラム可能ロジックデバイス、フィールドプログラマブルゲートアレイ及び／又は１つ以上のデジタル信号プロセッサ（ＤＳＰ）を含み得る。

更に、メモリサブシステム６０４は、処理サブシステム６０２及び／又はネットワーキングサブシステム６０６のためのデータ及び／又は命令を記憶するための１つ以上のデバイスを含んでもよい。例えば、メモリサブシステム６０４は、ダイナミック・ランダムアクセスメモリ（ＤＲＡＭ）、スタティック・ランダムアクセスメモリ（ＳＲＡＭ）、及び／又はその他の種類のメモリ（フラッシュ又はＳＤＲＡＭなど）を含み得る。いくつかの実施形態では、メモリサブシステム６０４内の処理サブシステム６０２のための命令は、処理サブシステム６０２によって実行されてもよい、１つ以上のプログラムモジュール又は命令のセットを含む。１つ以上のコンピュータプログラムは、コンピュータプログラム機構を構成することができることに留意されたい。更に、メモリサブシステム６０４内の様々なモジュール内の命令は、高水準手続き型言語、オブジェクト指向プログラム言語、並びに／又はアセンブリ言語若しくは機械語で実施することができる。更に、プログラムミング言語は、処理サブシステム６０２によって実行されるようにコンパイル又は解釈実行されてもよい。例えば、そのように構成可能であるか又は構成されてもよい（これらは本記載において互換的に用いられてもよい）。

更に、メモリサブシステム６０４は、メモリへのアクセスを制御するための機構を含み得る。一部の実施形態では、メモリサブシステム６０４は、電子デバイス６００内のメモリに結合される１つ以上のキャッシュを含むメモリ階層を含む。これらの実施形態の一部では、キャッシュのうちの１つ以上は処理サブシステム６０２内に設置される。

一部の実施形態では、メモリサブシステム６０４は１つ以上の大容量の大記憶デバイス（不図示）に結合される。例えば、メモリサブシステム６０４は、磁気又は光学ドライブ、ソリッドステートドライブ、又は別の種類の大容量記憶デバイスに結合することができる。これらの実施形態では、メモリサブシステム６０４は、頻繁に使用されるデータのための高速アクセスストレージとして電子デバイス６００によって用いることができるのに対して、大記憶デバイスは、使用頻度の低いデータを記憶するために用いられる。

ネットワーキングサブシステム６０６は、インタフェース回路（近距離通信回路など）及びアンテナを含む、有線及び／又は無線ネットワークに結合し、その上で通信するように（すなわち、ネットワーク動作を実行するように）構成される１つ以上のデバイスを含む。例えば、ネットワーキングサブシステム６０６は、Ｂｌｕｅｔｏｏｔｈ（登録商標）ネットワーキングシステム、セルラーネットワーキングシステム（例えば、ＵＭＴＳ、ＧＳＭ、ＣＤＭＡ、ＬＴＥ／ＬＴＥ−Ａなど等の５Ｇ／４Ｇネットワーク）、ユニバーサルシリアルバス（ＵＳＢ）ネットワーキングシステム、ＩＥＥＥ ８０２．１１に記述されている規格に基づくネットワーキングシステム（例えば、Ｗｉ−Ｆｉ（登録商標）ネットワーキングシステム）、イーサネット（登録商標）ネットワーキングシステム、及び／又は別の通信システム（近距離通信システムなど）を含み得る。

更に、ネットワーキングサブシステム６０６は、サポートされているそれぞれのネットワーキング又は通信システムに結合し、その上で通信し、それに関するデータ及びイベントを処理するために使用される、プロセッサ、コントローラ、無線機／アンテナ、ソケット／プラグ、及び／又はその他のデバイスを含む。それぞれのネットワークシステムのための、ネットワークに結合し、その上で通信し、その上のデータ及びイベントを処理するために用いられる機構は、時として、まとめて、ネットワークシステムのための「ネットワークインタフェース」と呼ばれることに留意されたい。更に、いくつかの実施形態では、ｅＵＩＣＣアプライアンス（単数又は複数）と電子デバイス６００との間の「ネットワーク」はまだ存在しない。したがって、電子デバイス６００は、ｅＵＩＣＣアプライアンス又はデバイスと電子デバイス６００との間の単純な無線通信を実行するためのネットワークインタフェース内の機構を用いてもよい。

ユーザインタフェースサブシステム６０８は、キーパッド、タッチスクリーン（例えば、マルチタッチインタフェース）、ＬＣＤディスプレイ、バックライト、スピーカ、及び／又はマイクロホン、を含む任意の数の周知のＩ／Ｏデバイスを含む。しかし、特定の適用例では、これらの構成要素のうちの１つ以上は除外されてもよいことが認識されよう。例えば、ＰＣＭＣＩＡカードタイプクライアントの実施形態は、ユーザインタフェースが欠如する場合がある（それらは、物理的及び／又は電気的に結合されるホスト機器のユーザインタフェースを、便乗して利用することが可能であるため）。

セキュアエレメント６１０はｅＵＩＣＣアプリケーションを包含し、動作させてもよい。このセキュアエレメントは、ネットワークオペレータによる認証のために用いられるべき複数のアクセス制御エレメント６１２を記憶し、それらにアクセスする能力を有する。セキュアエレメント６１０は、この実施形態では、セキュアな媒体内に記憶されたソフトウェアを実行する、セキュアプロセッサを含む。セキュアな媒体は、（セキュアプロセッサ以外の）全ての他の構成要素に対してはアクセス不可であってもよい。更に、セキュアエレメント６１０は、上述したように、改竄を防止するために更に硬化されてもよく（例えば、樹脂内に入れられる）、その内容の保護のために暗号化を用いてもよい。ｅＵＩＣＣがセキュアエレメント６１０の実例として用いられているが、（電子デバイス６００内の回路基板上の）組み込み型セキュアエレメント、スマートセキュアデジタル（ＳＤ）カード、スマートｍｉｃｒｏＳＤカード等を含む、その他の実装形態が用いられてもよい。セキュアエレメント６１０は、セキュアエレメント６１０の環境内（セキュアエレメント６１０のオペレーティングシステム内、及び／又はセキュアエレメント６１０上で実行するＪａｖａ実行時環境内など）で実行する１つ以上のアプレット又はアプリケーションを含んでもよいことに留意されたい。

更に、セキュアエレメント６１０は、１つ以上のアクセス制御エレメント６１２を受信し、記憶する能力を有してもよい。いくつかの実施形態では、セキュアエレメント６１０は、ｅＳＩＭのアレイ又は複数のｅＳＩＭを、ユーザに関連付けて（例えば、１つを仕事用に、１つを個人用に、いくつかをローミングアクセス用に、など）記憶し、及び／又は別の論理技法又は関係（例えば、１つを家族又は事業体の複数のメンバーの各人用に、１つを家族のメンバーのための個人用と仕事用のそれぞれに、など）に従って記憶する。それぞれのｅＳＩＭは、コンピュータ可読命令（ｅＳＩＭプログラムなど）、及び関連データ（例えば、暗号鍵、保全性鍵など）を含む、小さいファイルシステムを含んでもよい。

更に、セキュアエレメント６１０は、電子デバイス６００への、及び／又はそこからのｅＳＩＭの転送を可能にしてもよい。例示的な実施形態では、電子デバイス６００は、ｅＳＩＭの転送を開始するためにＧＵＩベースの確認応答を提供する。

例示的な実施形態の様々な実装は、実行されると、チャレンジ−レスポンスセキュリティプロトコルを起動する命令を含んでもよい。チャレンジ−レスポンスセキュリティプロトコルは、チャレンジ及び／又はレスポンスの適切な生成に基づいて、未知の第三者によって行われた要求を検証してもよい。代替的に、例示的な実施形態では、セキュアエレメント６１０は、信頼された権限者によって署名されたデジタル証明書を検証することができる。

いくつかの実施形態では、セキュアエレメント６１０は、記憶されたアクセス制御エレメント６１２の一覧又は目録を維持する。この目録は、記憶されたアクセス制御エレメント６１２の現在のステータスに関する情報を含んでもよい。更に、情報は、可用性、完全性、有効性、及び／又は以前に経験したエラーを含んでもよい。目録は、利用可能なアクセス制御エレメントのユーザ選択を可能にするために、ユーザインタフェースサブシステム６０８に更にリンク又は結合されてもよい。

例示的な実施形態では、セキュアエレメント６１０は、関連付けられたデバイス暗号鍵を有する。これらのデバイス鍵は、アクセス制御エレメント６１２の交換をセキュリティ保護するために用いられてもよい。いくつかの実施形態では、暗号鍵は非対称公開／プライベート鍵ペアである。公開鍵は、プライベート鍵の保全性を損なうことなく、自由に配付することができる。例えば、デバイスはＲＳＡ公開／プライベート鍵を割り当てられてもよい（又は内部でそれを生成してもよい）。公開鍵は配置後の通信のために利用可能にされてもよいことに留意されたい。

いくつかの実施形態では、セキュアエレメント６１０は、アクセス制御エレメント６１２のうちの１つ以上に関連付けられた動作のセット内の動作に関連付けられた論理エンティティのための特権のセットを有する（ポリシーベースフレームワークに対応する）プロファイルを指定するクレデンシャル管理モジュール６１４を含む。更に、動作のうちのいくつかについては、論理エンティティのうちのいくつかのための異なる特権が存在する。いくつかの実施形態では、クレデンシャル管理モジュール６１４は、セキュアエレメント６１０内のプログラムモジュールによって、特権のセットを指定するために用いられる情報を含む。

更に、アクセス制御エレメント６１２のうちの少なくとも１つは、少なくとも１つの論理エンティティのための特権の第２のセットを指定する情報を含んでもよい。クレデンシャル管理モジュール６１４によって指定された特権のセットに関連付けられたセキュリティレベルと特権の第２のセットに関連付けられた第２のセキュリティレベルとの間の競合が発生した場合には、セキュアエレメント６１０はセキュリティレベル及び第２のセキュリティレベルを比較してもよく、特権のセット及び特権の第２のセットのうちの、より強いセキュリティに関連付けられた１つを選択してもよい。代替的に、特権のセットに関連付けられたセキュリティレベルと特権の第２のセットに関連付けられた第２のセキュリティレベルとの間の競合が発生した場合には、セキュアエレメント６１０は特権のセットを選択してもよい。

いくつかの実施形態では、クレデンシャル管理モジュール６１４は、動作のセットに関連付けられた対称暗号鍵を含み、所与の暗号鍵は、動作のセット内の少なくとも所与の動作に関連付けられた特権を促進する。代替的に，又は追加的に、クレデンシャル管理モジュール６１４は、動作のセットに関連付けられた非対称暗号鍵、及び非対称暗号を促進するための証明書を含んでもよく、所与の暗号鍵及び所与の証明書は、動作のセット内の少なくとも所与の動作に関連付けられた特権を促進してもよい。

電子デバイス６００内において、処理サブシステム６０２、メモリサブシステム６０４、ネットワーキングサブシステム６０６、ユーザインタフェースサブシステム６０８及びセキュアエレメント６１０は、バスなどの１つ以上のインターコネクトを用いて互いに結合されてもよい。これらのインターコネクトは、サブシステム又は構成要素が互いの間でコマンド及びデータを通信するために使用することができる電気的、光学的、及び／又は電気光学的接続部を含んでもよい。異なる実施形態は、サブシステム又は構成要素間に、異なる数若しくは異なる構成の、電気的、光学的、及び／又は電気光学的接続部を含み得ることに留意されたい。

電子デバイス６００は、少なくとも１つのネットワークインタフェースを有する任意の電子デバイスとすることができる（又は、該任意の電子デバイス内に含めることができる）。例えば、電子デバイス６００は、デスクトップコンピュータ、ラップトップコンピュータ、サーバ、メディアプレーヤ（ＭＰ５プレーヤなど）、家庭電化製品、サブノートブック／ネットブック、タブレットコンピュータ、スマートフォン、セルラー電話、試験装置、「スマートメータ」、ネットワーク家庭電化製品、セットトップボックス、携帯情報端末（ＰＤＡ）、玩具、コントローラ、デジタル信号プロセッサ、ゲームコンソール、家庭電化製品内計算エンジン、消費者向け電子デバイス、ポータブルコンピューティングデバイス、電子手帳、及び／又は別の電子デバイスとすることができる（又は、これらの中に含めることができる）。

電子デバイス６００を説明するために特定の構成要素が用いられているが、代替実施形態では、異なる構成要素及び／又はサブシステムが電子デバイス６００内に存在してもよい。例えば、電子デバイス６００は、１つ以上の追加の処理サブシステム、メモリサブシステム、ネットワーキングサブシステム、ユーザインタフェース及び／又はセキュアエレメントを含んでもよい。加えて、サブシステム又は構成要素のうちの１つ以上は電子デバイス６００内に存在しなくてもよい。更に、いくつかの実施形態では、電子デバイス６００は、図６に示されていない１つ以上の追加のサブシステム又は構成要素を含んでもよい。また、図６には、独立したサブシステム又は構成要素が示されているが、いくつかの実施形態では、所与のサブシステム又は構成要素の一部又は全ては電子デバイス６００内の他のサブシステム又は構成要素のうちの１つ以上の中に統合することができる。

更に、電子デバイス６００内の回路及び構成要素は、バイポーラ、ＰＭＯＳ及び／又はＮＭＯＳゲート又はトランジスタを含む、アナログ及び／又はデジタル回路機構の任意の組み合わせを用いて実装されてもよい。更に、これらの実施形態における信号は、ほぼ離散的な値を有するデジタル信号、及び／又は連続的な値を有するアナログ信号を含んでもよい。加えて、構成要素及び回路はシングルエンド形又は差動形であってもよく、電源はユニポーラ形又はバイポーラ形であってもよい。
レガシー設備の動作のための装置

図７は電子デバイス７００（例えば、ＵＥ）のブロック図を示す。この電子デバイスは、処理サブシステム７０２と、メモリサブシステム７０４と、ネットワーキングサブシステム７０６と、ユーザインタフェースサブシステム７０８と、レセプタクル７１０と、を含む。処理サブシステム７０２は、計算動作を実行するように構成される１つ以上のデバイスを含む。例えば、処理サブシステム７０２は、１つ以上のマイクロプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、マイクロコントローラ、プログラム可能ロジックデバイス、フィールドプログラマブルゲートアレイ及び／又は１つ以上のデジタル信号プロセッサ（ＤＳＰ）を含み得る。

更に、メモリサブシステム７０４は、処理サブシステム７０２及び／又はネットワーキングサブシステム７０６のためのデータ及び／又は命令を記憶するための１つ以上のデバイスを含んでもよい。例えば、メモリサブシステム７０４は、ダイナミック・ランダムアクセスメモリ（ＤＲＡＭ）、スタティック・ランダムアクセスメモリ（ＳＲＡＭ）、及び／又はその他の種類のメモリ（フラッシュ又はＳＤＲＡＭなど）を含み得る。いくつかの実施形態では、メモリサブシステム７０４内の処理サブシステム７０２のための命令は、処理サブシステム７０２によって実行されてもよい、１つ以上のプログラムモジュール又は命令のセットを含む。１つ以上のコンピュータプログラムは、コンピュータプログラム機構を構成することができることに留意されたい。更に、メモリサブシステム７０４内の様々なモジュール内の命令は、高水準手続き型言語、オブジェクト指向プログラム言語、並びに／又はアセンブリ言語若しくは機械語で実施することができる。更に、プログラムミング言語は、処理サブシステム７０２によって実行されるようにコンパイル又は解釈実行されてもよい。例えば、そのように構成可能であるか又は構成されてもよい（これらは本記載において互換的に用いられてもよい）。

更に、メモリサブシステム７０４は、メモリへのアクセスを制御するための機構を含み得る。一部の実施形態では、メモリサブシステム７０４は、電子デバイス７００内のメモリに結合される１つ以上のキャッシュを含むメモリ階層を含む。これらの実施形態の一部では、キャッシュのうちの１つ以上は処理サブシステム７０２内に設置される。メモリサブシステム７０４内のメモリへのアクセスは、メモリサブシステム７０４にあるＤＭＡハードウェアを介して促進されてもよいことに留意されたい。

一部の実施形態では、メモリサブシステム７０４は１つ以上の大容量の大記憶デバイス（不図示）に結合される。例えば、メモリサブシステム７０４は、磁気又は光学ドライブ、ソリッドステートドライブ、又は別の種類の大容量記憶デバイスに結合することができる。これらの実施形態では、メモリサブシステム７０４は、頻繁に使用されるデータのための高速アクセスストレージとして電子デバイス７００によって用いることができるのに対して、大記憶デバイスは、使用頻度の低いデータを記憶するために用いられる。

ネットワーキングサブシステム７０６は、インタフェース回路（近距離通信回路など）及びアンテナを含む、有線及び／又は無線ネットワークに結合し、その上で通信するように（すなわち、ネットワーク動作を実行するように）構成される１つ以上のデバイスを含む。例えば、ネットワーキングサブシステム７０６は、Ｂｌｕｅｔｏｏｔｈ（登録商標）ネットワーキングシステム、セルラーネットワーキングシステム（例えば、ＵＭＴＳ、ＧＳＭ、ＣＤＭＡ、ＬＴＥ／ＬＴＥ−Ａなど等の５Ｇ／４Ｇネットワーク）、ユニバーサルシリアルバス（ＵＳＢ）ネットワーキングシステム、ＩＥＥＥ ８０２．１１に記述されている規格に基づくネットワーキングシステム（例えば、Ｗｉ−Ｆｉ（登録商標）ネットワーキングシステム）、イーサネット（登録商標）ネットワーキングシステム、及び／又は別の通信システム（近距離通信システムなど）を含み得る。

更に、ネットワーキングサブシステム７０６は、サポートされているそれぞれのネットワーキング又は通信システムに結合し、その上で通信し、それに関するデータ及びイベントを処理するために使用される、プロセッサ、コントローラ、無線機／アンテナ、ソケット／プラグ、及び／又はその他のデバイスを含む。それぞれのネットワークシステムのための、ネットワークに結合し、その上で通信し、その上のデータ及びイベントを処理するために用いられる機構は、時として、まとめて、ネットワークシステムのための「ネットワークインタフェース」と呼ばれることに留意されたい。更に、いくつかの実施形態では、ｅＵＩＣＣアプライアンス（単数又は複数）と電子デバイス７００との間の「ネットワーク」はまだ存在しない。したがって、電子デバイス７００は、ｅＵＩＣＣアプライアンス又はデバイスと電子デバイス７００との間の単純な無線通信を実行するためのネットワークインタフェース内の機構を用いてもよい。

ユーザインタフェースサブシステム７０８は、キーパッド、タッチスクリーン（例えば、マルチタッチインタフェース）、ＬＣＤディスプレイ、バックライト、スピーカ、及び／又はマイクロホン、を含む任意の数の周知のＩ／Ｏデバイスを含む。しかし、特定の適用例では、これらの構成要素のうちの１つ以上は除外されてもよいことが認識されよう。例えば、ＰＣＭＣＩＡカードタイプクライアントの実施形態は、ユーザインタフェースが欠如する場合がある（それらは、物理的及び／又は電気的に結合されるホスト機器のユーザインタフェースを、便乗して利用することが可能であるため）。

先に開示された実施形態と対照的に、電子デバイス７００は、セキュアエレメント７１４（これは図６におけるセキュアエレメント６１０と同様又は同じであってもよい）を含む記憶媒体７１２を受容するレセプタクル７１０を含む。いくつかの実施形態では、記憶媒体７１２はＳＩＭカードフォームファクタデバイスを含み（ただし、本開示と矛盾しない他の種類及び構成のカードが用いられてもよいことは理解されるであろう）、セキュアエレメント７１４は、セキュアエレメント７１４上で実行するｅＵＩＣＣアプリケーションを含む。本文脈において、ユーザデバイスに取り外し可能に挿入される（セキュアエレメント７１４を有する）物理的ＳＩＭフォームファクタを有するユーザデバイス又は装置は、「レガシー」デバイスと呼ばれる。

セキュアエレメント７１４は、電子デバイス７００内に挿入される記憶媒体７１２上にｅＵＩＣＣを組み込むようにあらかじめ構成されてもよい。代替的に、ｅＵＩＣＣは、（電子デバイス７００内への挿入後に）ネットワークから記憶媒体７１２にダウンロードされてもよい。このようなダウンロードは、（２０１２年２月１４日に出願され、「Ｍｅｔｈｏｄｓ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｌａｒｇｅ Ｓｃａｌｅ Ｄｉｓｔｒｉｂｕｔｉｏｎ ｏｆ Ｅｌｅｃｔｒｏｎｉｃ Ａｃｃｅｓｓ Ｃｌｉｅｎｔｓ」と題し、内容が本明細書において参照により組み込まれている、米国仮特許出願第６１／５９８，８１９号に開示されているプロトコルの使用を含む）ダウンロードのセキュリティを確実にするための適切な認証及び他の機構を必要としてもよい。

更に、セキュアエレメント７１４は、ネットワークオペレータによる認証のために用いられるべき複数のアクセス制御エレメント６１２（図６）を記憶し、それらにアクセスしてもよい。その結果、いくつかの実施形態では、セキュアエレメント７１４は、同じく記憶媒体７１２内に記憶されたソフトウェアを実行するセキュアプロセッサを含む。

更に、セキュアエレメント７１４は、上述したように、改竄を防止するために更に硬化されてもよく（例えば、樹脂内に入れられる）、その内容の保護のために暗号化を用いてもよい。ｅＵＩＣＣがセキュアエレメント７１４の実例として用いられているが、（電子デバイス７００内の回路基板上の）組み込み型セキュアエレメント、スマートセキュアデジタル（ＳＤ）カード、スマートｍｉｃｒｏＳＤカード等を含む、その他の実装形態が用いられてもよい。セキュアエレメント７１４は、セキュアエレメント７１４の環境内（セキュアエレメント７１４のオペレーティングシステム内、及び／又はセキュアエレメント７１４上で実行するＪａｖａ実行時環境内など）で実行する１つ以上のアプレット又はアプリケーションを含んでもよいことに留意されたい。

ｅＵＩＣＣは、記憶媒体７１２を介してそれが設置されるデバイス（電子デバイス７００など）の能力を認識するか又は別の方法で判定するように構成されてもよい。例えば、記憶媒体７１２は、電子デバイス７００の１つ以上の物理的構造と、デバイス能力レベルに基づく特定の仕方で相互作用するように物理的に構成されてもよい。これは、記憶媒体７１２上に特定の数の電気接点又は電気接点のアレイを設けることを含んでもよい。記憶媒体７１２が、低い能力を有する第１のデバイス内に挿入されるときには、相互作用は一部の接点への接続を含まなくてもよい。しかし、高い能力を有するデバイス内への記憶媒体７１２の挿入時には、全ての接点がデバイスのそれぞれの構造と通信し得るという点で、相互作用は「完全」になってもよい。別の例では、記憶媒体７１２の構造は、ユーザデバイスの能力に基づきユーザデバイス内への記憶媒体７１２の挿入に基づき圧縮されるか又は展開されたままであってもよい。

代替的に、記憶媒体７１２（及び、したがって、セキュアエレメント７１４）は、デバイスとのシグナリング通信を介してそれが挿入されるデバイスの能力を知ってもよい。

いくつかの実施形態では、記憶媒体７１２上に存在するセンサが用いられてもよい。セキュアエレメント７１４が、それが挿入されるデバイスの特定の能力を判定するのを補助するために、種々の追加の機構が用いられてもよく、上述のものは単に全体的概念の例示にすぎない。

デバイス能力が判定されると、セキュアエレメント７１４の種々の機能が用いられてもよい。例えば、限定的な能力を有するデバイスでは、記憶媒体７１２（セキュアエレメント７１４を含む）の挿入は、セキュアエレメント７１４に関連付けられたデフォルトアクセス制御エレメントに従って、単にデバイスにリブートさせるだけであってもよい。この場合には、セキュアエレメント７１４は、たとえ、１つを超えるアクセス制御エレメントを記憶するように構成されていても、これらの間の切り換えのための機構を実行することができなくてもよく、それにより、レガシーアクセス制御エレメント（例えば、レガシーＳＩＭカード）の挙動を模倣する。（ネットワークによって事前設定された）デフォルトアクセス制御エレメントが常に自動的に用いられてもよい。いくつかの実施形態では、デフォルトアクセス制御エレメントは、リセット時に、下位互換動作モードにおいて最後に有効化に成功した動作プロファイルに設定される。

代替的に、記憶媒体７１２が、高い能力を有するデバイス（例えば、「スマート」デバイス）内に挿入された場合には、セキュアエレメント７１４は、デバイスのユーザが、セキュアエレメント７１４に関連付けられた他の機能性にアクセスすることを可能にするようにトリガされてもよい。上述したように、セキュアエレメント７１４は、図６におけるアクセス制御エレメント６１２（例えば、ｅＳＩＭ）のアレイ又は複数のｅＳＩＭを、ユーザに関連付けて記憶し、及び／又は別の論理技法又は関係（例えば、１つを家族又は事業体の複数のメンバーの各人用に、１つを家族のメンバーのための個人用と仕事用のそれぞれに、など）に従って記憶してもよい。それぞれのｅＳＩＭは、コンピュータ可読命令（ｅＳＩＭプログラムなど）、及び関連データ（例えば、暗号鍵、保全性鍵など）を含む、小さいファイルシステムを含んでもよい。記憶媒体７１２が「スマート」デバイス内に挿入されると、デバイスに関連付けられたディスプレイ上に新しいインタフェースが開かれてもよく、ユーザが複数の利用可能なアクセス制御エレメント６１２（図６）の中から選択をすることを可能にする。加えて、それぞれのアクセス制御エレメントは、他のアクセス制御エレメントは利用可能でない異なる能力又は機能を提供してもよい。

例えば、２０１１年４月５日に出願され、「Ｍｅｔｈｏｄｓ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｓｔｏｒａｇｅ ａｎｄ Ｅｘｅｃｕｔｉｏｎ ｏｆ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｃｌｉｅｎｔｓ」と題する、米国特許出願第１３／０８０，５２１号（同出願の内容は本明細書において参照により組み込まれている）に開示されているように、デバイスは図６における複数の記憶されたアクセス制御エレメント６１２（例えば、ｅＳＩＭ）のうちの１つをアクティブ化し、実行してもよく、それにより、ｅＳＩＭをロードする際に、オペレーティングシステムは、現在の実行時環境のために必要なソフトウェアのリストをロードする必要があるのみになってもよい。この「サンドボックス化」効果は、複数のｅＳＩＭを同じデバイス内で、他のｅＳＩＭへの不適切なアクセスを伴うことなく用いることができることを確実にし得る。

複数のｅＳＩＭの間の切り換えはまた、２０１１年４月４日に出願され、「Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍｓ ｆｏｒ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｅｎｔｉｔｉｅｓ」と題する、米国特許出願第１３／０７９，６１４号に説明されている例示的な方法及び装置によって提供されてもよい。同出願の内容は本明細書において参照により組み込まれている。

それぞれの有効化されたｅＳＩＭのために、ｅＵＩＣＣは、それぞれのｅＳＩＭと、ｅＳＩＭ上で実行する適切なアプリケーションとの間の通信を可能にするための論理チャネルをサポートしてもよいことが更に理解される。いくつかの実施形態では、それぞれのｅＵＩＣＣのｅＳＩＭはそれ自身の個々の論理チャネルを割り当てられる。いくつかの実施形態では、論理チャネルはそのｅＳＩＭのみの専用であり、この論理チャネルは他のものを乗せることができない。換言すれば、ｅＵＩＣＣは、論理チャネル上ではたかだか１つのｅＳＩＭが選択され得ることを確実にしてもよい。ｅＵＩＣＣ上のそれぞれのｅＳＩＭのために複数のアプリケーションが実行されてもよいことに留意されたい。

いくつかの実施形態では、セキュアエレメント７１４は、電子デバイス７００への、及び／又はそこからのアクセス制御エレメントの転送を可能にする。例示的な実施形態では、電子デバイス７００は、ｅＳＩＭの転送を開始するためにＧＵＩベースの確認応答を提供する。このような転送機能性を有効化するために、記憶媒体７１２又は電子デバイス７００のどちらかにあるＨＳＭが用いられてもよいことが更に理解される。上述したように、ＨＳＭは情報（ｅＳＩＭ及びｅＳＩＭ関連情報など）を暗号化してもよく、別のエンティティへの送信前にそれを記憶してもよい。記憶された情報は、更なる送信セキュリティのためにＨＳＭによって、暗号化された鍵を用いてラップされてもよい。

加えて、ユーザデバイス及び任意の信頼された第三者エンティティは、転送（ユーザデバイス間、若しくはユーザデバイスとネットワークとの間のアクセス制御エレメント６１２（図６）の転送、又はレガシーデバイスへのｅＵＩＣＣの転送など）のセキュリティを更に確実にするために、互いを相互に検証してもよい。

いくつかの実施形態では、第三者エンティティは、ユーザ機器が配置された後でさえも、信頼された動作のためのクレデンシャルを発行される。例えば、電子デバイス（例えば、ＵＭＴＳ ＵＥ）は第三者ｅＳＩＭ（例えば、仮想的又はｅＳＩＭ）ベンダを識別し、そのｅＳＩＭを購入、取得、又は更新するための信頼された対話を開始することができる。同様に、第三者ｅＳＩＭベンダは、ＵＥは信頼されたデバイスであることを検証することができ、そのｅＳＩＭを送達のためにセキュアに符号化してもよい。信頼された対話は一意的なデバイス鍵及び承認証明書に基づいてもよい。例示的な実施形態では、デバイス鍵は公開／プライベート鍵暗号に基づく。

更に、既存のソリューションとは異なり、本開示のこの特徴は、元から存在するアクセス制御エレメントを有しないレガシーデバイスへのアクセス制御エレメント材料の送達を可能にしてもよく、それにより、ユーザ自由度及びユーザエクスペリエンスを大きく向上させる。

いくつかの実施形態では、セキュアエレメント７１４はクレデンシャル管理モジュール（これは図６におけるクレデンシャル管理モジュール６１４と同様又は同じであってもよい）を含む。このクレデンシャル管理モジュールは、アクセス制御エレメント６１２（図６）のうちの１つ以上に関連付けられた動作のセット内の動作に関連付けられた論理エンティティのための特権のセットを有する（ポリシーベースフレームワークに対応する）プロファイルを指定してもよい。更に、動作のうちのいくつかについては、論理エンティティのうちのいくつかのための異なる特権が存在する。いくつかの実施形態では、クレデンシャル管理モジュール６１４（図６）は、セキュアエレメント７１４内のプログラムモジュールによって、特権のセットを指定するために用いられる情報を含む。

更に、アクセス制御エレメント６１２（図６）のうちの少なくとも１つは、少なくとも１つの論理エンティティのための特権の第２のセットを指定する情報を含んでもよい。クレデンシャル管理モジュール６１４（図６）によって指定された特権のセットに関連付けられたセキュリティレベルと特権の第２のセットに関連付けられた第２のセキュリティレベルとの間の競合が発生した場合には、セキュアエレメント７１４はセキュリティレベル及び第２のセキュリティレベルを比較してもよく、特権のセット及び特権の第２のセットのうちの、より強いセキュリティに関連付けられた１つを選択してもよい。代替的に、特権のセットに関連付けられたセキュリティレベルと特権の第２のセットに関連付けられた第２のセキュリティレベルとの間の競合が発生した場合には、セキュアエレメント７１４は特権のセットを選択してもよい。

いくつかの実施形態では、クレデンシャル管理モジュール６１４（図６）は、動作のセットに関連付けられた対称暗号鍵を含み、所与の暗号鍵は、動作のセット内の少なくとも所与の動作に関連付けられた特権を促進する。代替的に，又は追加的に、クレデンシャル管理モジュール６１４（図６）は、動作のセットに関連付けられた非対称暗号鍵、及び非対称暗号を促進するための証明書を含んでもよく、所与の暗号鍵及び所与の証明書は、動作のセット内の少なくとも所与の動作に関連付けられた特権を促進してもよい。

電子デバイス７００内において、処理サブシステム７０２、メモリサブシステム７０４、ネットワーキングサブシステム７０６、ユーザインタフェースサブシステム７０８及びレセプタクル７１０は、バスなどの１つ以上のインターコネクトを用いて互いに結合されてもよい。これらのインターコネクトは、サブシステム又は構成要素が互いの間でコマンド及びデータを通信するために使用することができる電気的、光学的、及び／又は電気光学的接続部を含んでもよい。異なる実施形態は、サブシステム又は構成要素間に、異なる数若しくは異なる構成の、電気的、光学的、及び／又は電気光学的接続部を含み得ることに留意されたい。

電子デバイス７００は、少なくとも１つのネットワークインタフェースを有する任意の電子デバイスとすることができる（又は、該任意の電子デバイス内に含めることができる）。例えば、電子デバイス７００は、デスクトップコンピュータ、ラップトップコンピュータ、サーバ、メディアプレーヤ（ＭＰ５プレーヤなど）、家庭電化製品、サブノートブック／ネットブック、タブレットコンピュータ、スマートフォン、セルラー電話、試験装置、「スマートメータ」、ネットワーク家庭電化製品、セットトップボックス、携帯情報端末（ＰＤＡ）、玩具、コントローラ、デジタル信号プロセッサ、ゲームコンソール、家庭電化製品内計算エンジン、消費者向け電子デバイス、ポータブルコンピューティングデバイス、電子手帳、及び／又は別の電子デバイスとすることができる（又は、これらの中に含めることができる）。

電子デバイス７００を説明するために特定の構成要素が用いられているが、代替実施形態では、異なる構成要素及び／又はサブシステムが電子デバイス７００内に存在してもよい。例えば、電子デバイス７００は、１つ以上の追加の処理サブシステム、メモリサブシステム、ネットワーキングサブシステム、ユーザインタフェース及び／又はレセプタクルを含んでもよい。加えて、サブシステム又は構成要素のうちの１つ以上は電子デバイス７００内に存在しなくてもよい。更に、いくつかの実施形態では、電子デバイス７００は、図７に示されていない１つ以上の追加のサブシステム又は構成要素を含んでもよい。また、図７には、独立したサブシステム又は構成要素が示されているが、いくつかの実施形態では、所与のサブシステム又は構成要素の一部又は全ては電子デバイス７００内の他のサブシステム又は構成要素のうちの１つ以上の中に統合することができる。

更に、電子デバイス７００内の回路及び構成要素は、バイポーラ、ＰＭＯＳ及び／又はＮＭＯＳゲート又はトランジスタを含む、アナログ及び／又はデジタル回路機構の任意の組み合わせを用いて実装されてもよい。更に、これらの実施形態における信号は、ほぼ離散的な値を有するデジタル信号、及び／又は連続的な値を有するアナログ信号を含んでもよい。加えて、構成要素及び回路はシングルエンド形又は差動形であってもよく、電源はユニポーラ形又はバイポーラ形であってもよい。

上記の説明において、本発明者らは「いくつかの実施形態」に言及している。「いくつかの実施形態」は、可能な実施形態の全てのサブセットを表現しているが、必ずしも実施形態の同じサブセットを指定しているわけではないことに留意されたい。

前述の説明は、当業者が本開示を製作及び使用することを可能にすることが意図されており、特定の用途及び要件というコンテキストにおいて行われている。更に、本開示の実施形態の前述の説明は、例示及び説明のみを目的として提示したものである。網羅的であること、又は、開示した形態に本開示を限定しないものとする。したがって、多くの改変及び変形が、当業者に明らかであろうし、本明細書で定義される一般原則は、本開示の趣旨と範囲から逸脱することなく他の実施形態及び用途に適用することができる。更に、前出の実施形態に関して論じた内容は、本開示を限定しないものとする。したがって、本開示は、示す実施形態に限定されないものとし、本明細書で開示する諸原理及び特徴と合致する最も広い範囲を与えられるものとする。

Claims (20)

1. アクセス制御エレメントに関連付けられたセキュリティポリシーを確立し、実施するように構成されるセキュアエレメントであって、
   前記アクセス制御エレメントを記憶するように構成されるメモリと、
   プロセッサであって、前記セキュアエレメントに、
   第１の論理エンティティに関連付けられたクレデンシャルの第１のセットを受信することと、
   第２の論理エンティティに関連付けられたクレデンシャルの第２のセットを受信することと、
   クレデンシャルの前記第１のセット及びクレデンシャルの前記第２のセットに基づき、特権のセットを含むセキュリティポリシーを確立することであって、特権の前記セット内のそれぞれの特権は、
   （ｉ）前記第１の論理エンティティ又は前記第２の論理エンティティから選択される特定の論理エンティティ、及び
   （ｉｉ）前記特定の論理エンティティが前記セキュアエレメントに実行するように要求することを認可される、前記アクセス制御エレメントを対象とする管理動作の種類、
   を定義する、確立することと、
   前記第１の論理エンティティ又は前記第２の論理エンティティのどちらかから、管理動作の種類を実行させる要求を受信することと、
   前記セキュリティポリシーに従って前記要求を実行するか又は無視することと、
   を含むステップを実行させるように構成されるプロセッサと、
   を備える、ことを特徴とするセキュアエレメント。
2. 複数の暗号化鍵及び前記セキュリティポリシーを記憶するように構成されるクレデンシャル管理モジュールであって、前記セキュリティポリシーを確立することは前記複数の暗号化鍵に更に基づく、クレデンシャル管理モジュールを更に含む、ことを特徴とする請求項１に記載のセキュアエレメント。
3. 前記アクセス制御エレメントが電子的加入者識別モジュール（ｅＳＩＭ）を含む、ことを特徴とする請求項１に記載のセキュアエレメント。
4. 前記第１の論理エンティティ及び前記第２の論理エンティティのうちの１つ以上が、前記セキュアエレメントが含まれるコンピューティングデバイスの外部にある、ことを特徴とする請求項１に記載のセキュアエレメント。
5. 前記第１の論理エンティティ及び前記第２の論理エンティティのうちの１つ以上が、前記セキュアエレメントが含まれるコンピューティングデバイスの内部にある、ことを特徴とする請求項１に記載のセキュアエレメント。
6. 前記アクセス制御エレメントが特権の第２のセットを含む、ことを特徴とする請求項１に記載のセキュアエレメント。
7. 特権の前記セットに関連付けられた第１のセキュリティレベルと特権の前記第２のセットに関連付けられた第２のセキュリティレベルとの間に競合が存在する場合には、前記プロセッサが、前記セキュアエレメントに、
   前記第１のセキュリティレベルが前記第２のセキュリティレベルよりも強い場合には、特権の前記セット、又は
   前記第１のセキュリティレベルが前記第２のセキュリティレベルよりも弱い場合には、特権の前記第２のセット、
   に従って前記要求を実行させるか又は無視させるように更に構成される、ことを特徴とする請求項６に記載のセキュアエレメント。
8. 特権の前記セットに関連付けられた第１のセキュリティレベルと特権の前記第２のセットに関連付けられた第２のセキュリティレベルとの間に競合が存在する場合には、前記プロセッサが、前記セキュアエレメントに、特権の前記セットに従って前記要求を実行させるか又は無視させるように更に構成される、ことを特徴とする請求項６に記載のセキュアエレメント。
9. 管理動作の前記種類が、前記アクセス制御エレメントをロードすること、前記アクセス制御エレメントを有効化すること、前記アクセス制御エレメントを無効化すること、前記アクセス制御エレメントをエクスポートすること、及び前記アクセス制御エレメントを削除すること、のうちの１つ以上を含む、ことを特徴とする請求項１に記載のセキュアエレメント。
10. アクセス制御エレメントに関連付けられたセキュリティポリシーを確立し、実施するための方法であって、
    コンピューティングデバイス内に含まれるセキュアエレメントであって、前記セキュアエレメントは前記アクセス制御エレメントを記憶する、セキュアエレメントにおいて、
    第１の論理エンティティに関連付けられたクレデンシャルの第１のセットを受信することと、
    第２の論理エンティティに関連付けられたクレデンシャルの第２のセットを受信することと、
    クレデンシャルの前記第１のセット及びクレデンシャルの前記第２のセットに基づき、特権のセットを含むセキュリティポリシーを確立することであって、特権の前記セット内のそれぞれの特権は、
    （ｉ）前記第１の論理エンティティ又は前記第２の論理エンティティから選択される特定の論理エンティティ、及び
    （ｉｉ）前記特定の論理エンティティが前記セキュアエレメントに実行するように要求することを認可される、前記アクセス制御エレメントを対象とする管理動作の種類、
    を定義する、確立することと、
    前記第１の論理エンティティ又は前記第２の論理エンティティのどちらかから、管理動作の種類を実行させる要求を受信することと、
    前記セキュリティポリシーに従って前記要求を実行するか又は無視することと、
    を含む、ことを特徴とする方法。
11. 前記第１の論理エンティティ及び前記第２の論理エンティティが互いに別個であり、前記第１の論理エンティティ及び前記第２の論理エンティティのそれぞれが、前記コンピューティングデバイスのユーザ、移動体通信事業者（ＭＮＯ）、前記ＭＮＯに関連付けられたセキュリティサービス契約者、前記コンピューティングデバイスの製造業者、及び前記コンピューティングデバイスの前記製造業者に関連付けられた信頼されたベンダ、からなる群から選択される、ことを特徴とする請求項１０に記載の方法。
12. 管理動作の前記種類が、前記アクセス制御エレメントをロードすること、前記アクセス制御エレメントを有効化すること、前記アクセス制御エレメントを無効化すること、前記アクセス制御エレメントをエクスポートすること、及び前記アクセス制御エレメントを削除すること、のうちの１つ以上を含む、ことを特徴とする請求項１０に記載の方法。
13. 特権の前記セット内のそれぞれの特権が、（ｉｉｉ）管理動作の前記種類を実行する前に満足するべき認証の種類、を更に定義する、ことを特徴とする請求項１０に記載の方法。
14. アクセス制御エレメントに関連付けられたセキュリティポリシーを確立し、実施するように構成される電子デバイスであって、
    セキュアエレメントを備え、前記セキュアエレメントは、前記アクセス制御エレメントを記憶し、
    第１の論理エンティティに関連付けられたクレデンシャルの第１のセットを受信することと、
    第２の論理エンティティに関連付けられたクレデンシャルの第２のセットを受信することと、
    クレデンシャルの前記第１のセット及びクレデンシャルの前記第２のセットに基づき、特権のセットを含むセキュリティポリシーを確立することであって、特権の前記セット内のそれぞれの特権は、
    （ｉ）前記第１の論理エンティティ又は前記第２の論理エンティティから選択される特定の論理エンティティ、及び
    （ｉｉ）前記特定の論理エンティティが前記セキュアエレメントに実行せよと要求することを認可される、前記アクセス制御エレメントを対象とする管理動作の種類、
    を定義する、確立することと、
    前記第１の論理エンティティ又は前記第２の論理エンティティのどちらかから、管理動作の種類を実行せよとの要求を受信することと、
    前記セキュリティポリシーに従って前記要求を実行するか又は無視することと、
    を含むステップを実行するように構成される、ことを特徴とする電子デバイス。
15. 前記セキュアエレメントが、複数の暗号化鍵及び前記セキュリティポリシーを記憶するように構成されるクレデンシャル管理モジュールを含み、前記セキュリティポリシーを確立することが前記複数の暗号化鍵に更に基づく、ことを特徴とする請求項１４に記載の電子デバイス。
16. 特権の前記セット内のそれぞれの特権が、（ｉｉｉ）管理動作の前記種類を実行する前に提示されるべきクレデンシャルの仕様、を更に定義する、ことを特徴とする請求項１４に記載の電子デバイス。
17. 管理動作の前記種類が、前記アクセス制御エレメントをロードすること、前記アクセス制御エレメントを有効化すること、前記アクセス制御エレメントを無効化すること、前記アクセス制御エレメントをエクスポートすること、及び前記アクセス制御エレメントを削除すること、のうちの１つ以上を含む、ことを特徴とする請求項１４に記載の電子デバイス。
18. 前記アクセス制御エレメントが特権の第２のセットを含む、ことを特徴とする請求項１４に記載の電子デバイス。
19. 特権の前記セットに関連付けられた第１のセキュリティレベルと特権の前記第２のセットに関連付けられた第２のセキュリティレベルとの間に競合が存在する場合には、前記セキュアエレメントが、
    前記第１のセキュリティレベルが前記第２のセキュリティレベルよりも強い場合には、特権の前記セット、又は
    前記第１のセキュリティレベルが前記第２のセキュリティレベルよりも弱い場合には、特権の前記第２のセット、
    に従って前記要求を実行するか又は無視する、ことを特徴とする請求項１８に記載の電子デバイス。
20. 特権の前記セットに関連付けられた第１のセキュリティレベルと特権の前記第２のセットに関連付けられた第２のセキュリティレベルとの間に競合が存在する場合には、前記セキュアエレメントが、特権の前記セットに従って前記要求を実行するか又は無視する、ことを特徴とする請求項１８に記載の電子デバイス。
    2

Images