CN1815949B - 客户端装置、设备检验装置以及检验方法 - Google Patents

Abstract

一种客户端装置，其通过执行所提供的服务程序来利用服务，包括：保存对应于所述服务程序的、通过设备验证装置验证后的验证策略的策略保存部；利用对应于所述服务程序的所述验证策略，进行执行所述服务程序时的所述客户端装置自身的动作验证的验证部；保存基于所述验证部的验证结果的验证结果保存部；和向请求所述验证结果的所述设备验证装置通知所述验证结果的验证结果通知部。

Description

客户端装置、设备检验装置以及检验方法

本申请基于2005年2月4日递交的先前日本专利申请P2005-29758并要求其优先权的好处；其全部内容结合在此作为参考。

技术领域

本发明涉及客户端装置、设备验证装置以及验证方法。

背景技术

在向携带电话或PC等客户端装置提供信息通信服务的情况下，需要验证客户端装置的安全性。

例如，公开了这样一种技术：设备验证装置利用客户端装置内的可信赖的装置调查其完整性，服务提供商(服务provider)利用其调查结果决定可否提供服务(例如，参照特开2003-76585号公报)。在该技术中，调查结果，包含在客户端装置上的软件群的Hash值的列表，由可信赖的装置进行数字签名。服务提供商，的保存客户端装置内的软件群的正当的Hash值的列表，在验证了调查结果的签名后，将各Hash值和正当的Hash值进行比较，调查有无篡改。服务提供商，在检测出某软件的篡改的情况下，或在包含正当软件群以外的软件的Hash值的情况下，可以拒绝对该客户端装置的服务提供。这样，服务提供商在验证了客户端装置的安全性的基础上，可以进行服务提供。

但是，在上述的现有技术中，没有对每个服务适用不同的验证策略的单元，和根据验证结果决定在对应服务中可否提供的单元。因此，不能根据对每个服务要求的客户端装置的动作或构成信息的检查，决定可否提供服务。再者，还有这样的担心，即在通过验证发生了异常时，禁止向所有的服务的访问，大大地限定了用户客户端装置的利用。

另一方面，在上述的现有技术中，由于也没有验证策略本身的验证单元，因此会将不适当的验证策略导入到客户端装置，这样就有可能破坏客户端装置的安全性或用户的隐私。

发明内容

因此，本发明其目的是，鉴于上述问题，提供这样的客户端装置、设备验证装置以及验证方法，即保证客户端装置满足各服务的策略，在提供安全的服务平台的同时，在对应服务中进行适当的访问限制，来保护终端的安全性和隐蔽性。

一种客户端装置，其通过执行所提供的服务程序来利用服务，包括：保存对应于所述服务程序的、通过设备验证装置验证后的验证策略的策略保存部；利用对应于所述服务程序的所述验证策略，进行执行所述服务程序时的所述客户端装置自身的动作验证的验证部；保存所述验证部的验证结果的验证结果保存部；和向请求所述验证结果的所述设备验证装置通知所述验证结果的验证结果通知部。

一种设备验证装置，包括：保存对应于服务程序的验证策略的策略保存部；验证所述验证策略的安全性的策略验证部；向执行所述服务程序的客户端装置配备通过所述策略验证部已确认安全性的验证策略的策略配备部；和验证结果保存部，其保存从客户端装置取得的所述验证结果，该客户端装置利用所述验证策略，进行执行所述服务程序时的自身的动作验证。

一种验证方法，其用来验证通过执行所提供的服务程序来利用服务的客户端装置，包括：验证对应于所述服务程序的验证策略的安全性的步骤；向执行所述服务程序的客户端装置配备通过所述验证步骤已确认安全性的验证策略的步骤；利用所述验证策略，进行执行所述服务程序时的所述客户端装置的动作验证的步骤；和将所述动作验证的结果通知给设备验证装置的步骤。

附图说明

图1是第1实施例的验证系统的结构框图；

图2是第1实施例的验证策略的一例；

图3是表示第1实施例的验证方法的流程图(其1)；

图4是表示第1实施例的验证方法的流程图(其2)；

图5是表示第1实施例的验证方法的流程图(其3)；

图6是表示第1实施例的验证方法的流程图(其4)；

图7是第2实施例的验证系统的结构框图；

图8是表示第2实施例的验证方法的流程图；

图9是第3实施例的验证系统的结构框图。

图10是第4实施例的验证系统的结构框图；

图11是表示第4实施例的验证方法的流程图；

图12是第5实施例的验证系统的结构框图

参考相应的附图说明本发明的各种实施例。应该注意，相同或者相似的参考符号在全部附图中用于相同或者相似的部件和元件，同时省略或者简化对于相同或者相似的部件和元件的说明。

具体实施方式

《第1实施例》

在第1实施例中，对下述内容进行说明：设备验证装置验证各服务提供商的验证策略的安全性后，将验证策略赋予客户端装置内的可信赖的验证模块，验证模块按照所通知的验证结果，决定可否提供服务。

(验证系统)

第1实施例中的验证系统，如图1所示，包括：设备验证装置100、客户端装置200和服务器装置300。

在图1中，将客户端装置200和设备验证装置各记载了一个，但是在第1实施例中，一个设备验证装置100和多个客户端装置200连接。客户端装置200和设备验证装置100通过网络连接，但是其连接方式可以是有线或无线的任意一种，跟分组、电路交换、串行/并行通信等方式无关。

另外，设备验证装置100或客户端装置200，与上述同样，以任意的连接方式和向客户端装置200提供服务的服务器装置300连接。服务器装置300，是在服务提供商(服务provider)的管理下的服务器，提供内容或数据库、网上购物、网络游戏、银行业等信息通信服务。在信息通信服务中，还包含如提供向企业内部网的访问的VPN服务、邮件服务、无线LAN服务等。

客户端装置200，包括：服务程序执行部220、验证部230、验证结果通知部231、策略保存部232、验证结果保存部233。

服务程序执行部220，执行用来利用服务提供商的服务的服务程序，也可以同时执行多个服务程序。服务程序，是VPN模块或邮件读入器、内容或数据库的视图或播放器、浏览器等的任意的软件。

策略保存部232，保存与后面叙述的设备验证装置100的验证后的服务程序对应的验证策略。另外，对于设备验证装置100，发送安装在客户端装置200的服务程序的列表，请求必要的验证策略。假定从设备验证装置100通过直接通信取得验证策略，但是也可以利用内存卡等存储介质取得。另外，也可以和服务程序一起从服务提供商的服务器取得。另外，策略保存部232，也可以验证验证策略的安全性。例如，为了验证验证策略的安全性，检查数字签名或检查验证策略内的规则或代码是否进行不必要的信息的读入或写入。策略保存部232，在被判断为验证策略不安全的情况下，舍弃该策略，不保存。

验证部230，利用对应于服务程序的验证策略，进行执行服务程序时的客户端装置200自身的动作状态以及构成的验证。验证部230，可以以来自外部的通知为契机，进行客户端装置的验证。在多个服务程序被动作的情况下，执行对应于各自的服务程序。进而，验证策略，可以包含客户端装置200的功能的调用命令，验证部230，也可以根据验证结果进行该功能的调用。作为客户端装置200的功能的例子，有计费功能或访问控制功能，根据验证结果反映到计费，或通过访问控制功能的调用，来闭塞某中间件或API(Application Programming Interface)。在验证部230中，需要具有对来自外部装置或客户端装置内的软件的验证处理的妨碍或验证结果的篡改等攻击，进行保护的防篡改性，因此，验证部230，如，可以利用智能卡(IC卡)或由Trusted Computing Group(www.trustedcomputing)规定了技术规格的TPM(Trusted Platform Module)进行安装。或者，也可以在客户端装置200导入虚拟机监视器的机构，在客户端装置上构筑多个虚拟机，用和执行服务程序的虚拟机不同的虚拟机执行验证部。

这里，验证策略，可以从设备验证装置100或服务器装置300取得。验证策略具有服务程序特有的验证规则，可以验证服务程序的、1.动作；2.有无启动不符合安全性要求的其他程序；3.有无启动必要的模块等。除了这些，还可以验证系统/应用文件的完整性或抗病毒的病毒模式文件是否最新，或防火墙的特定的端口是否有效等等。另外，验证策略，可以调用计费或记录等功能。作为验证策略的一例，将对于邮件服务的服务程序的验证策略和对银行业服务的验证策略分别表示在图2A和图2B。在邮件服务的例子中，在检测到发送多个邮件时(对应第3、5行的rate monitor函数)，按照其数量，设定了诸如是否要闭塞向邮件发送服务的访问(对应第4行的api lock函数)，或实施特殊的计费(对应第6行的accounting函数)这样的规则。另一方面，在银行业服务的例子中，银行业程序访问服务器时，在不具有可信赖的用户的数字签名的应用动作的情况下(对应第3行)，设定了闭塞后发送记录(对应第4、5行)的规则。

另外，如图2所示，验证策略可以是规则形式，也可以是程序的形式。在规则的形式的情况下，验证部230解释其规则来进行验证，在程序的形式的情况下，验证部230执行该验证策略的程序。

验证结果保存部233，保存验证部230的验证结果(验证记录)。作为验证结果，例如，在图2的邮件服务的例子中，可以举出邮件发送频度或闭锁了发送邮件的次数或时刻，在银行业服务的例子中，可以举出闭塞了银行业服务的事件信息或动作中的不可信赖的应用程序的种类等。除了这些，验证结果中还可以包含连接中的网络名或种类、所连接的外部设备的种类等等。在通过后面叙述的验证结果通知部231通知的情况下，可以删除验证结果保存部233中保存的验证结果。

验证结果通知部231，向请求验证结果的外部设备通知验证结果。验证结果通知部231，也可以对于来自设备验证装置100的请求通知验证结果，也可以按照由验证策略指定的定时，向设备验证装置100通知验证结果。作为外部装置的例子，有设备验证装置100或服务器装置300等等。在通知验证结果时，为了防止验证结果的篡改或向验证部230的冒充，验证部230也可以对验证结果进行数字签名或加密。

监视部240，监视客户端装置200的动作及构成信息，向验证部230通知监视信息。例如，监视服务程序的启动或结束、活性(工作的窗口状态)或非活性(休眠或在后台的执行)等状态、连接中的网络种类或状态(连接或断开)、连接中的外部设备的种类或状态、文件的完整性的状态等等。向验证部的监视信息的通知定时，以状态变化或周期性的定时器、异常的检测等等为契机。

此外，上述的策略保存部232或验证结果保存部233，既可以使用RAM等内部存储装置，也可以使用硬盘或软磁盘等外部存储装置。

另外，第1实施例中的客户端装置200，可以做成将服务程序执行部220、验证部230、验证结果通知部231等作为模块后内置在CPU的结构。这些模块，在个人计算机等通用计算机中，可以通过执行利用规定的程序语言用的专用程序来实现。

另外，未图示，而客户端装置200，也可以具有：储存用来让CPU执行服务程序执行处理、验证处理、验证结果通知处理等程序的程序保存部。程序保存部，例如，是RAM、ROM、硬盘、软磁盘、光盘、IC芯片、盒式录音带等记录介质。采用这样的记录介质，可以容易地进行程序的保存、运输、销售等等。

设备验证装置100，包括：策略保存部110、策略验证部111、策略配备部112、服务提供控制部120、服务计费部121、验证结果通知部122、验证结果保存部123、验证结果提示部124和验证结果请求部125。

策略保存部110，保存对应于服务程序的验证策略。该验证策略可以从提供服务程序的服务器装置300取得。例如，由服务提供商或服务程序的开发商、运营商提供。

策略验证部111，验证验证策略的安全性。例如，策略验证部111，为了保护客户端装置200的用户的资源或隐私信息，解释并检查验证策略内的规则或代码是否进行不必要的信息的读入或写入。在判断为不安全的情况下，策略验证部111，拒绝给客户端装置配备该策略。

策略配备部112，向执行服务程序的客户端装置200的可信赖的验证部230，配备通过策略验证部111已确认安全性的验证策略。具体地说，策略配备部112，和验证部230建立了安全的信道后，送入验证策略。为了防止验证策略的篡改或向设备验证装置的冒充，也可以对验证策略进行数字签名或加密。

另外，策略配备部112，也可以给由提供服务程序的服务器装置300指定的客户端装置200、或访问提供服务程序的服务器装置300的客户端装置200配备验证策略。

验证结果保存部123，从客户端装置200取得验证结果并保存。验证结果(验证记录)，例如，可以由时刻和事件信息构成。

另外，在经过规定的时间后，也可以删除在验证结果保存部123中保存的验证结果。

服务提供控制部120，根据验证结果，决定客户端装置200可否访问提供服务程序的服务器装置300。例如，在客户端装置200进行了侵害验证策略的动作的情况下，服务提供控制部120，拒绝从客户端装置200访问服务器装置300，或重定向对特定的装置的访问(修复客户端装置的异常状态的装置等)。在图2的验证策略中，在进行大量的邮件发送的动作时，或不能信赖的程序在启动中时，相当于拒绝访问的情况。作为拒绝访问的方法，可以利用这样的方法，即设备验证装置100自身受理来自客户端装置的访问请求，而只将许可的访问请求传递给服务器装置，也可以向从客户端装置200到服务器装置300的通路上的访问控制装置发送闭塞请求，进行访问控制。再者，通过进行客户端装置提示给服务器装置的证明书或标签的无效化或有效化，也可以进行访问控制。

验证结果请求部125，向客户端装置请求验证结果。验证结果的请求既可以是客户端装置200保存的验证结果的报告，也可以是在客户端装置200接受验证结果的请求的阶段进行验证后的最新的验证结果的报告。另外，也可以包含验证结果的全体或一部分的过滤的请求。进而，验证结果请求部125，可以接收来自外部装置的请求后，要求向客户端装置200的报告。外部装置，例如，是服务器装置300或访问控制装置等等，可以按照任意的定时请求客户端装置的验证。

服务计费部121，根据验证结果，进行客户端装置200的、针对利用服务程序的计费。例如，可以进行按照视听或游戏次数(pay-per view：按收视节目和时间，pay-per play：按玩的次数和时间)的计费，也可以进行按照服务利用时间的计费。另外，将进行了计费的信息通知给服务器装置300，可以进行费用的支付或手续费的征收等结算。

验证结果通知部122，向提供服务程序的服务器装置300通知验证结果。验证结果通知部122，可以汇集多个客户端装置的验证结果后通知，也可以通知进行加密或签名后的验证结果。

验证结果提示部124，向输出装置提示验证结果。所谓输出装置，是指显示器等画面，可使用液晶显示装置(LCD)、发光二极管(LED)面板、电发光(EL)面板等。另外，输出装置也可以是打印机。

此外，上述的策略保存部110或验证结果保存部123可以使用RAM等内部存储装置，也可以使用硬盘或软磁盘等外部存储装置。

另外，第1实施例的设备验证装置100，可以将策略验证部111、策略配备部112、服务提供控制部120、服务计费部121、验证结果通知部122等作为模块，内置在CPU。这些模块，在个人计算机等通用计算机中，可以通过运行利用规定程序语言用的专用程序来实现。

另外，虽然未图示，但是设备验证装置100可以具备程序保存部，其储存用于让CPU执行策略验证处理、策略配备处理、服务提供控制处理、服务计费处理和验证结果通知处理等的程序。程序保存部，例如是RAM、ROM、硬盘、软磁盘、光盘、IC芯片、盒式录音带等存储介质。利用这样的存储介质，可以容易进行程序的储存、运输、销售等等。

(验证方法)

接着，利用图3～6对第1实施例中的验证方法进行说明。

首先，利用图3，说明在设备验证装置100接收到从客户端装置向服务器300的访问的情况下的、可否提供服务的决定方法。

首先，在步骤S101，当接收到从客户端装置200向服务器300的访问时，策略保存部110，判断是否保存有对应于该服务程序的验证策略。在未保存的情况下，进入步骤S108，判断为是不需要验证的服务后，许可访问。

在保存有验证策略的情况下，进入步骤S103，服务提供控制部120，向该客户端装置200的验证部230请求验证结果的通知。

此时，在步骤S104，在验证结果的通知的请求失败了的情况下，在步骤S106，判断为在客户端装置200没有正确地配备验证策略，配备验证策略。所谓通知的请求失败了的情况，包括：从客户端装置不能返回验证结果的应答而造成超时的情况，或应答被破坏了的情况，或者验证策略的版本陈旧而为无效的情况。

下另一方面，可取得验证结果的应答的情况下，在步骤S105，验证验证结果的数字签名，解释验证结果。

然后，在步骤S107，若在验证结果中没有禁止规则的侵害，则进入步骤S108，许可访问服务器300。另外，此时，还可以进行服务的计费。该可否决定过程，不仅仅适用于决定可否访问服务器装置300，还适用于决定可否访问基于VPN等的互联网。

另一方面，在验证结果的解释中拒绝向服务器的访问的场合，例如在图2的验证策略中有大量的邮件发送，或不可信赖的应用在动作的场合，进入步骤S109，拒绝向服务器的访问。或者，重定向访问特定的装置(修复客户端装置的异常状态的装置等)。

这里，作为变更例，在步骤S101，策略保存部110，在未保存有对应于该服务程序的验证策略的情况下，可以询问在该服务器装置300中是否有验证策略。在有验证策略的情况下，策略保存部110，从服务器装置300取得验证策略，在没有验证策略的情况下，可以判断为是不需要验证的服务，许可访问。

另外，在图3所示的流程图中，说明了设备验证装置100自身接收到来自客户端装置200的访问请求、而只将许可的访问请求传递给服务器装置的例子，但作为变形例，也可以在客户端装置和服务器装置之间配备独立进行访问控制的访问控制装置，访问控制装置接收来自客户端装置的请求。这种情况下，访问控制装置，在接收到来自客户端装置200的请求的情况下，可以向通路上的访问控制装置发送闭塞的请求，进行访问控制。

作为第二变形例，在步骤S103，客户端装置的验证部，按照验证策略，进行验证，其结果，为了限制对该服务的访问，调用客户端装置的访问控制功能，或为了进行计费，也可以调用客户端装置的计费功能。

接着，利用图4对设备验证装置100从服务器装置300取得验证策略的情况下的、向客户端装置200的验证策略配备方法进行说明。

首先，在步骤S210，当策略保存部110，从服务器装置300取得验证策略并保存时，则在步骤S202，策略验证部111验证验证策略的安全性。

在步骤S203，在策略验证部111判断为是不安全的情况下，在步骤S205，向该服务器装置300通知策略验证结果的同时通知不能接受该策略。另一方面，在判断为验证策略是安全的情况下，在步骤S204，策略保存部110，更新对应于该服务的验证策略。

然后，在步骤S206，策略配备部112在成为对象的各客户端装置200配备该验证策略。成为对象的客户端装置200的列表，是由服务器装置300提供，或通过参照管理服务利用者的客户端装置200的列表的数据库取得。

然后，在步骤S207，若对所有的客户端装置结束了验证策略的配备，则结束本过程。对于因为未连接到网络、电源是断开等理由而验证策略的配备失败的客户端装置200，经过一些时间后，再次尝试配备。策略配备部112可以设置再次配备的次数的上限。

作为变形例，在上述中，说明了设备验证装置主动地与客户端装置连接后配备策略的步骤，但也可以根据来自客户端装置的策略保存部的请求，配备策略。策略配备部，将客户端装置上的服务程序的列表包含在请求中，请求设备验证装置，设备验证装置根据该请求，将所有的必要的验证策略配备给客户端装置。

作为另外的变形例，如在图3的步骤S104中所述，在检验结果的应答陈旧的场合，或无效的场合，或应答在超时范围以内未到达的场合，也可以更新策略。

接着，利用图5，对客户端装置200从设备验证装置100接受验证策略的配备请求的情况下的、验证策略导入方法进行说明。

首先，在步骤S301，从设备验证装置100接受验证策略的配备请求。然后，在步骤S302，策略保存部，通过数字签名的验证、验证策略的内部的扫描，来检查验证策略是否是正当的。

然后，在是正当的验证策略的场合，在步骤S303中，策略保存部，导入验证策略，或进行更新。另一方面，由于在验证策略不是来自正当的设备验证装置时，或被篡改过了，或在内容中包含有侵害客户端装置的安全性和隐蔽性的规则或代码而判断为非正当时，在步骤S304，策略保存部，拒绝配备请求。

接着，利用图6，对客户端装置200从设备验证部100接受验证策略的通知请求情况下的、验证结果通知方法进行说明。

在步骤S401，客户端装置200从设备验证装置100接受验证策略的通知请求。然后，在步骤S402，验证部230通过数字签名的验证确认是否是由请求源为正当的设备验证装置100发送的。

然后，若是来自正当的设备验证装置的请求，则在步骤S403，验证结果通知部，从验证结果保存部取得验证结果，向设备验证装置100通知验证结果。此时，也可以从验证结果保存部删除被通知的验证结果。另一方面，在判断为是不正当的情况下，在步骤S404，验证结果通知部，拒绝通知请求。

作为变形例，验证策略的通知请求也可以包含接收到通知请求的时刻的验证或有关验证结果的时刻的范围的请求。验证结果通知部，解释验证策略的通知请求，必要的话，也可以在步骤S403，验证结果通知部，启动验证部来进行验证，在得到新的验证结果后，从验证结果保存部取得验证结果后，将验证结果通知设备验证装置100。

(作用及效果)

根据第1实施例中的客户端装置200、设备验证装置100以及验证方法，客户端装置200的验证部230，可以通过设备验证装置100，按照已确认安全性的验证策略，验证客户端装置200。因此，利用基于对每个服务提供商不同的安全要求的验证策略，能够更精细地检查客户端装置的动作或设定状态、完整性信息、被安装的软件的版本等等，可以提供更安全的服务提供环境。另外，保证客户端装置满足各服务的策略，在提供安全的服务平台的同时，在对应服务中进行适当的访问限制，来保护终端的安全性和隐蔽性。另外，通过设备验证装置100集中管理验证策略，验证后配备给客户端装置200，由此，可以减轻维持客户端装置200的安全性和管理或配备服务器装置300的负担。

另外，客户端装置200的策略保存部232，可以保存只由预先规定的特定的装置取得的验证策略。若做成任意装置都可以向客户端装置200内的验证部230导入验证策略，则存在损害客户端装置的安全性或隐蔽性的危险性，但可以回避其危险性。

另外，客户端装置200，由于具有验证结果保存部233，所以可将验证结果集中起来发送给设备验证装置100，即使通信量的削减，或客户端装置200暂时从网络断开，在其后的连接时也可以向设备验证装置进行发送。

另外，将保存在客户端装置200的验证结果保存部233的验证结果，通知给设备验证装置100后，可以删除。因此，可以防止保存在客户端装置200的验证结果(验证记录)的增大所引起的存储容量的压力或验证记录的溢出。

另外，客户端装置200的策略保存部232，可以验证验证策略的安全性。因此，可以进一步提高验证策略的安全性。

另外，客户端装置200的策略保存部232，可以从设备验证装置100取得必要的策略后进行更新。因此，客户端装置200，可以始终保存适当的策略。

另外，客户端装置200的验证部230，可以以来自外部装置的通知为契机进行验证。因此，客户端装置200，可以按照外部装置的请求进行验证。

另外，客户端装置200，还具备监视客户端装置200的动作以及构成信息、向验证部230通知监视结果的监视部240。因此，客户端装置200始终可以掌握监视信息。

另外，客户端装置200的验证结果通知部231，可以按照通过验证策略被指定的定时，将验证结果通知给设备验证装置。因此，客户端装置200，可以用按照验证策略的适当的定时通知验证结果。

另外，验证策略，包含上述客户端装置的功能的调用命令，验证部230，可以按照验证结果进行该功能的调用。因此，客户端装置200，按照验证策略，可以进行计费或功能的闭锁等适当的处理。

第1实施例的设备验证装置100，取得基于向客户端装置200提供的验证策略的验证结果，将其解释后决定可否访问服务器装置300。因此，服务器装置300，可以信赖客户端装置200并提供服务。

另外，设备验证装置100的策略验证部111，验证验证策略的安全性。因此，可以保护客户端装置的安全性或隐蔽性。

另外，设备验证装置100的服务提供控制部120，根据验证结果，决定客户端装置200的、向提供服务程序的服务器装置300的访问的可否。因此，只有确立了信赖关系的客户端装置200才可以访问服务器装置300。

另外，设备验证装置100的服务计费部121，根据验证结果，进行对服务的利用的计费。因此，可以进行根据客户端装置的验证的、对应于视听或游戏的次数、时间(pay-per view：按收视节目和时间，pay-per play：按玩的次数和时间)的灵活的计费。另外，还可以减轻服务提供商的计费和验证处理的负担。

另外，经过规定的时间后，可以删除保存在设备验证装置100的验证结果保存部123的验证结果。因此，可以防止设备验证装置100的验证结果(验证记录)的增大所引起的存储容量的压力或验证记录的溢出。

另外，设备验证装置100的验证结果提示部124，将验证结果提示给输出装置。因此，设备验证装置100的运用者可以对用户显示服务计费的根据或服务提供的停止的根据。

另外，保存在设备验证装置100的策略保存部110的验证策略，可以从提供服务程序的服务器装置300取得。因此，可以按照各服务提供商的要求验证服务程序，可实现更安全的服务提供或更精细的计费。另外，还可应对服务提供商的验证策略的变更。

另外，设备验证装置100的策略配备部112，在由提供服务程序的服务器装置300指定的客户端装置、或访问提供服务程序的服务器装置300的客户端装置中配备验证策略。因此，服务器装置300，可以将验证策略的配备委托给设备验证装置100，可以减轻其处理负担。另外，对访问服务器装置300的客户端装置200可靠地配备验证策略后，可实现安全的服务提供。

另外，设备验证装置100的验证结果通知部122，将验证结果通知给提供服务程序的服务器装置300。因此，服务提供商本身可以进行灵活的计费或可否提供服务的选择。

另外，设备验证装置100的策略保存部110，可以从提供服务程序的服务器装置300取得验证策略、并更新。因此，设备验证装置100可以时常保存适当的策略。

另外，设备验证装置100，还具备向客户端装置200请求验证结果的报告的验证结果请求部125。因此，设备验证装置100，可以从客户端装置200，按照任意的定时接收验证结果。

另外，验证结果请求部125，可以接收来自外部装置的请求后，向上述客户端装置请求验证结果的报告。因此，可以按照外部装置的请求接收验证结果。

《第2实施例》

在第2实施例中，在客户端装置200上，在从配置验证部230等环境(域1)隔离的环境(域2)上，配置监视部240和服务程序执行部220。

(验证系统)

如图7所示，第2实施例中的验证系统中，在客户端装置200上，配置成配置验证部230、策略保存部231、检验结果保存部232、检验结果通知部233等的环境(域1)200a，将监视部240和服务程序执行部220配置在与域1隔离的环境(域2)。验证部230，除了验证服务程序的动作的步骤外，和第1实施例一样，因此在这里省略说明。

(验证方法)

在第2实施方式的验证方法中，除了验证服务程序的动作的步骤外，和第1实施例一样，因此在这里省略说明，只说明验证步骤。

监视部240，如图8所示，在步骤S501，监视客户端装置200的动作和构成信息，在步骤S502，当检测到监视状态的变化时，在步骤S503，将监视结果信息通知验证部230。监视部240，例如，监视服务程序的启动或结束，活性(活动的窗口状态)或非活性(休眠和后台执行的状态)等的状态，连接中的网络的类别和状态(连接或切断)，连接中的外部设备的类别和状态，文件的完整性的状态等。而后，当发生了状态变化时，在步骤S503，启动验证部230。验证部230，在步骤S504，按照验证策略，执行设备检验装置的通知验证结果、日志的记录、访问控制功能等客户端装置的功能调用等的动作。

作为变形例，也可以由验证部向监视部请求监视结果，接受监视结果。

(作用及效果)

在第2实施例中，通过配置在隔离了监视部240和服务程序执行部220的环境，与第1实施例相比，可以强化验证部230、客户端装置的访问控制功能、计费功能的保护。即，不受处于隔离环境的服务程序或其他的程序的异常动作或攻击的影响，可以执行验证或其他的客户端装置的功能。

《第3实施例》

在第1实施例中，对这样的实施例进行了说明，即设备验证装置100接受来自客户端装置200的访问，根据验证结果，只将许可访问的请求传给服务器装置。在第3实施例中，将独立进行访问控制的访问控制装置400，配置在客户端装置和服务器装置之间，在访问控制装置400中接受来自客户端装置的请求。

(验证系统)

如图9所示，在第3实施例中的验证系统中，具备：设备验证装置100、客户端装置200、服务器装置300和访问控制装置400。和第1实施例的区别，是以下2点：一是来自客户端装置200的对服务器装置300的访问请求，被访问控制装置400接受，访问控制装置400，对于需要验证的服务，向设备验证装置100请求验证；另一点是，设备验证装置根据验证结果，在进行向服务器装置的访问限制时，向访问控制装置400请求访问限制。

其他方面，和第1实施例相同，因此在这里省略说明。

(作用与效果)

通过将访问控制功能，分离到访问控制装置400，可以采用多个访问控制装置的利用等，更灵活的结构，能够实现负荷分散等。

《第4实施例》

在第1实施例中，设备验证装置100根据验证结果进行服务提供可否的决定或计费，但是在第4实施例中，由服务器装置300(服务提供商)进行该处理。

(验证系统)

如图10所示，第4实施例中的验证系统具备设备验证装置100、客户端装置200和服务器装置300。

在第1实施例中配置在设备验证装置100内的服务提供控制部120以及服务计费部121配置在服务器装置300内，除了这一点之外和第1实施例一样，因此在这里省略说明。

(验证方法)

接着，利用图11对第4实施例中的验证方法进行说明。图11对设备验证装置100接收到从客户端装置向服务器装置300的访问的情况下的验证结果通知方法进行说明。

首先，在步骤S601，接受从客户端装置200向服务器装置300的访问时，在步骤S602，判断策略保存部110是否保存有对应于该服务程序的验证策略。在未保存的情况下，判断为不需要验证的服务，并许可访问。

在保存有验证策略的情况下，进入步骤S603，服务提供控制部120向该客户端装置200的验证部230请求验证结果的通知。

此时，在步骤S604，在验证结果的通知的请求失败的情况下，在步骤S606，判断为在客户端装置200没有正确地配备验证策略，配备验证策略。另一方面，可取得验证结果的应答的情况下，在步骤S605，验证验证结果的数字签名，并解释验证结果。

然后，在步骤S607，验证结果通知部122向服务器装置300通知验证结果。服务器装置300利用该验证结果进行服务提供可否的决定或计费。

(作用及效果)

在第4实施例中，服务器装置300进行服务提供可否的决定或计费，因此与第1实施例相比，可以减轻设备验证装置100的处理负担。

《第5实施例》

在第5实施例中，设备验证装置100不仅验证客户端装置200，还验证服务器装置300的动作。

(验证系统)

如图12所示，第5实施例中的验证系统具备设备验证装置100、客户端装置200和服务器装置300。设备验证装置100和客户端装置200的结构和第1实施例相同，因此在这里省略说明。

服务器装置300具备服务程序保存部310、验证部320、验证结果通知部321、策略保存部232和验证结果保存部323。

服务程序保存部310保存服务程序。

验证部320根据保存在策略保存部232的验证策略，验证服务程序。

验证结果通知部321将验证结果通知给设备验证装置100。

策略保存部322保存验证策略。

验证结果保存部323保存验证部320的验证结果。

即，服务器装置300的验证部320、验证结果通知部321、策略保存部322和验证结果通知部231分别具有和客户端装置200的验证部230、验证结果通知部231、策略保存部232和验证结果保存部233相同的功能。

设备验证装置100利用验证结果的信息，决定从客户端装置200向服务器装置300的访问或从服务器装置300向设备验证装置100的访问可否。即，若服务器装置300中的验证结果正当，则可以判断为服务器装置300正当，因此许可访问，反之，判断为服务器装置300异常，拒绝访问。

此外，上述的策略保存部322或验证结果保存部323可以使用RAM等内部存储装置，也可以使用硬盘或软磁盘等外部存储装置。

此外，第5实施例中的服务器装置300可以将验证部320和验证结果通知部321等作为模块，在CPU内置。这些模块在个人计算机等通用计算机，可以通过运行利用规定的程序语言用的专用程序来实现。

另外，虽然图中未示，但服务器装置300可以具备程序保存部，其储存用于让CPU执行验证处理、验证结果通知处理等的程序。程序保存部例如是RAM、ROM、硬盘、软磁盘、光盘、IC芯片和盒式录音带等存储介质。根据这样的存储介质，可以容易地进行程序的储存、运输和销售等等。

(作用及效果)

根据第5实施例中的客户端装置200、设备验证装置100、服务器装置300以及验证方法，可以验证客户端装置200和服务器装置300的动作，可以进行更精细的动作的验证。

《其他实施例》

根据上述的第一到第五实施例已经说明了本发明。然而，应该理解，本发明公开的说明书和附图并不限制本发明。从该公开出发，各种其他的实施例和操作技术对于熟悉本技术领域的人是显然的。

例如，在上述的实施例中，在客户端装置200访问服务器装置300时，每次，收到验证结果后都要选择可否提供服务，但是设备验证装置100事先记住客户端装置200的上一次的验证时刻，也可以省略在某时间内到达的访问的验证。

熟悉本技术领域的人员，在不脱离该公开范围的情况下，在接受本公开的指导后，可以进行各种修改。

Claims (13)

1.一种客户端装置，其特征在于，

该客户端装置，通过执行所提供的服务程序来利用服务，

包括：

策略保存部，其保存与多个服务程序分别对应的、由设备验证装置预先验证了安全性的多个验证策略，该设备验证装置连接到提供服务程序以及提供对应于服务程序的验证策略的服务器上，所述验证策略是关于执行服务程序时的客户端装置的动作的规则；

验证部，其利用与多个所述服务程序分别对应的多个所述验证策略，进行执行相应服务程序时的所述客户端装置自身的动作验证；

验证结果保存部，其保存所述验证部的验证结果；和

验证结果通知部，其向请求所述验证结果的所述设备验证装置通知所述验证结果。

2.根据权利要求1所述的客户端装置，其特征在于，

所述策略保存部，验证所述验证策略的安全性。

3.根据权利要求1所述的客户端装置，其特征在于，

所述策略保存部，从所述设备验证装置取得必要的策略后进行更新。

4.根据权利要求1所述的客户端装置，其特征在于，

所述验证部，以来自外部装置的通知为契机进行验证。

5.根据权利要求1所述的客户端装置，其特征在于，

还具备监视所述客户端装置的动作和构成信息、并向所述验证部通知监视信息的监视部。

6.根据权利要求1所述的客户端装置，其特征在于，

所述验证结果通知部，按照由所述验证策略指定的定时，向设备验证装置通知验证结果。

7.根据权利要求1所述的客户端装置，其特征在于，

所述验证策略，包含所述客户端装置的功能的调用命令；

所述验证部，根据验证结果进行所述功能的调用。

8.一种设备验证装置，其特征在于，

包括：

策略保存部，其保存从提供服务程序以及提供对应于服务程序的验证策略的服务器取得的、与多个服务程序分别对应的多个验证策略，该多个验证策略是关于服务程序的动作的规则；

策略验证部，其在向客户端装置配备验证策略之前，验证所述多个验证策略的安全性；

策略配备部，其向执行服务程序的客户端装置，配备通过所述策略验证部已确认安全性的验证策略；和

验证结果保存部，其保存从客户端装置取得的验证结果，该客户端装置利用所述验证策略，进行执行相应服务程序时的自身的动作验证。

9.根据权利要求8所述的设备验证装置，其特征在于，

还包括服务提供控制部，其根据所述验证结果，决定所述客户端装置可否访问提供所述服务程序的服务器装置。

10.根据权利要求8所述的设备验证装置，其特征在于，

所述策略保存部，从提供所述服务程序的服务器装置取得验证策略并进行更新。

11.根据权利要求8所述的设备验证装置，其特征在于，

还包括向所述客户端装置请求验证结果的报告的验证结果请求部。

12.根据权利要求11所述的设备验证装置，其特征在于，

所述验证结果请求部接收来自外部装置的请求，向所述客户端装置请求验证结果的报告。

13.一种验证方法，其特征在于，

该验证方法，用来验证通过执行所提供的服务程序来利用服务的客户端装置，

包括下述步骤：

验证与多个所述服务程序分别对应的多个验证策略的安全性的步骤，该多个验证策略从提供服务程序以及提供对应于服务程序的验证策略的服务器取得的，并且该多个验证策略是关于服务程序的动作的规则；

向执行服务程序的客户端装置，配备通过所述验证步骤已确认安全性的验证策略的步骤；

利用所述验证策略，进行执行相应服务程序时的所述客户端装置的动作验证的步骤；和

将所述动作验证的结果通知给设备验证装置的步骤。

Images