JP2002539656A - 信頼できる計算プラットフォームのためのスマートカード・ユーザインターフェイス - Google Patents

Abstract

(57)【要約】 【課題】コンピュータ・プラットフォームとそのユーザとの間で信頼性を確立する効率的手段を提供する。 【解決手段】独立装置または複数コンピュータ・エンティティを接続したネットワークにおけるノード(例えばインターネット・ポート)として使用されることができる信頼できるコンピュータ・エンティティが開示される。信頼できるコンピュータ・エンティティはコンピュータ・プラットフォームの動作を監視する信頼できる監視コンポーネントを含む。ユーザは、そのスマートカードを使用して、スマートカードが対話しているコンピュータ・プラットフォームが正しく動作していることを検証する。そのような検証が完了した後、ユーザは、スマートカードが実行できる特定のアクションを実行する。このようにして、コンピュータ・プラットフォームとスマートカードの間の信頼性が確立される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】

本発明は、コンピュータに関するもので、特に、信頼できる状態に置くことが
可能なコンピュータ・エンティティおよびそのようなコンピュータ・エンティテ
ィが信頼できる状態にあるとそのユーザが確信できるように該コンピュータ・エ
ンティティを動作させる方法に関するものである。

【０００２】

【従来の技術】

従来技術のマスマーケットの計算プラットフォーム（コンピュータ・プラット
フォームまたは単にプラットフォームとも呼ぶ）は、アップル・マッキントッシ
ュのような周知のパーソナル・コンピュータ(ＰＣ)とその競合製品、および増加
しつつあるパームトップやラップトップ・パーソナル・コンピュータを含む。一
般的には、そのような機種の市場は、家庭すなわち消費者および企業という２つ
のカテゴリに分類される。家庭用または消費者用のコンピュータ・プラットフォ
ームのための一般的要件は、比較的高い処理能力、インターネット・アクセス機
能およびコンピュータ・ゲームを扱うためのマルチメディア機能である。このタ
イプのコンピュータ・プラットフォームに関しては、マイクロソフト・ウインド
ウズ'９５、'９８オペレーティング・システム製品およびインテル・プロセッサ
が市場を支配する。

【０００３】 一方、多くのアプリケーションにおけるビジネス使用に関しては、サーバ・プ
ラットフォームが、集中的データ記憶装置および複数のクライアント・ステーシ
ョンのためのアプリケーション機能性を提供する。ビジネス用途に関する重要な
基準は、信頼性、ネットワーキング機能およびセキュリティ機能である。そのよ
うなプラットフォームとして、Ｕｎｉｘオペレーティング・システムと共に、マ
イクロソフト・ウインドウズＮＴ４.０が広く使用されている。

【０００４】 "電子商取引"として知られているインターネット上で取り引きされる商業活動
の増加に伴って、家庭用および商取引用タイプ両方のインターネット上でコンピ
ュータ・プラットフォーム間のデータ・トランザクション(取引)を可能にするこ
とに大きな関心が寄せられている。そのようなシステムを受け入れる場合の基本
的問題は、そのようなトランザクションを処理するため相互に対話するコンピュ
ータ・プラットフォーム間の信頼性の問題である。

【０００５】 コンピュータ・プラットフォームのセキュリティおよび信頼性を向上させるこ
とを目標とするいくつかの従来技術方式がある。これらは、主として、アプリケ
ーション・レベルでのセキュリティ機能の活用に依存する。すなわち、これらの
セキュリティ機能は、オペレーティング・システムのカーネルに本質的に埋め込
まれず、また、コンピュータ・プラットフォームの基本的ハードウェア・コンポ
ーネントにも組み込まれない。スマートカード(smart card)を含むポータブル・
コンピュータ装置がすでに市場に登場している。スマートカードは、ユーザ固有
データを含み、そのデータはスマートカード読取装置を介してコンピュータに入
力される。現在、そのようなスマートカードは、従来のパーソナル・コンピュー
タへの付加機構であり、既知のコンピュータの外枠に組み込まれているケースも
ある。これらの従来技術方式がコンピュータ・プラットフォームのセキュリティ
を向上させる方向に進んでいるとはいえ、従来技術方式によって得られるセキュ
リティおよび信頼性のレベルは、コンピュータ・プラットフォーム間の自動トラ
ンザクションの広範囲にわたるアプリケーションを使用可能にするためには不十
分であるとみなされる。ビジネスにとって、広範囲にわたる電子商取引に高価な
トランザクションを公然と含ませることができるようにするためには、基礎をな
す技術の信頼性における確信が必要とされる。

【０００６】 従来技術コンピュータ・プラットフォームは、その固有のセキュリティを向上
させる過程で次のようないくつかの問題を持つ： ・コンピュータ・プラットフォームの動作状態およびプラットフォームの範囲内
のデータの状態は動的で予測が難しい。コンピュータ・プラットフォームおよび
そのデータの状態は動的に絶えず変化し、コンピュータ・プラットフォーム自体
も動的に変化するので、コンピュータ・プラットフォームが正しく動作している
か否かを判断することは難しい。 ・セキュリティの観点から見て、商用コンピュータ・プラットフォーム、特に、
クライアント・プラットフォームは、未許可の修正に対して弱い環境にしばしば
配置される。脆弱性の主要な領域は、ネットワーク接続を経由してロードされる
ソフトウェアまたはユーザによる修正を含む。特に、従来のコンピュータ・プラ
ットフォームは、種々のレベルの悪意を持つウイルス・プログラムによる攻撃に
弱い。 ・コンピュータ・プラットフォームはアップグレードされたり、その能力が、ハ
ードディスク・ドライブや周辺機器ドライバなどのコンポーネントの追加または
削除のような物理的な修正によって拡張または制限されたりする。

【０００７】 オペレーティング・ソフトウェアに組み入れることによってコンピュータ・シ
ステムにセキュリティ機能を提供することは周知の方法である。このようなセキ
ュリティ機能は、主にローカル・システムのユーザのコミュニティの範囲内で情
報の分割を行うことを目指している。周知のマイクロソフト・ウインドウズ４.
０においては、"システム・ログ・イベント・ビューワ"と呼ばれる監視機能が存
在する。この機能によれば、プラットフォームの範囲内で発生するイベントのロ
グ(記録)が、ウインドウズＮＴオペレーティング・システム・ソフトウェアを使
用してシステム管理者が検査することができるように、イベント・ログ・データ
・ファイルに記録される。この機能は、システム管理者によるあらかじめ選択さ
れたイベントのセキュリティ監視を可能にする方向へとにかく進む。ウインドウ
ズＮＴ４.０オペレーティング・システムにおけるイベント記録機能は、システ
ム監視を提供する。

【０００８】 コンピュータ・プラットフォームの全般的セキュリティに関しては、純粋にソ
フトウェアに基づくシステムは、例えば何千もの異なるバリエーションを持つウ
イルスによる攻撃に弱い。ウイルスを検出し修正するいくつかのベンダ・アプリ
ケーションが知られている。その中には、例えば、Dr Solomons virusツール・
キットまたはNorton anti-virusキットが含まれる。マイクロソフト・ウインド
ウズ４.０ソフトウェアは、既知のウイルスを捜すウイルス防御ソフトウェアを
含む。しかしながら、ウイルス圧力は絶えず増大し、ウイルス防御ソフトウェア
は、より新しい未知のウイルスに対して信頼できる防御を提供しない。ウイルス
の新しい圧力が生まれ、コンピュータおよびインターネット環境に絶えず放出さ
れる。

【０００９】

【発明が解決しようとする課題】

コンピュータ・エンティティのための従来の監視システムは、ネットワーク監
視機能に焦点をあてていて、そこでは、管理者がネットワーク管理ソフトウェア
を使用して複数のネットワーク・コンピュータの実行を監視する。このような従
来のシステムにおいては、システムにおける信頼性は、システムにおける各コン
ピュータ・プラットフォームの各ハードウェア・ユニットの個々の信頼性のレベ
ルに置かれず、ネットワークにおける各コンピュータを監視しているネットワー
ク管理者に依存する。従来技術システムは、例えばインターネット経由でアクセ
スされるような異なるネットワーク上で異なるオペレーティング・システムを実
行している遠隔コンピュータの動作を検証することができない。従来技術システ
ムにおいては、コンピュータ・プラットフォームとコンピュータ・プラットフォ
ームのユーザとの間で信頼性を確立する点に困難がある。

【００１０】

【課題を解決するための手段】

本発明の目的の１つは、当該コンピュータ・エンティティが、外部の影響によ
って破壊されてなく、予測可能な、既知の形態で動作しているという高い度合い
の確信をユーザが持つことができるコンピュータ・エンティティを提供すること
である。

【００１１】 本発明の別の目的の１つは、コンピュータ・エンティティの信頼性がそのユー
ザによって要求される特定タスクまたはタスク集合またはタスク・タイプを実行
するために十分であるか否かを当該コンピュータ・エンティティのユーザが判断
するタスクを単純化することである。

【００１２】 特定の実施形態において、ユーザは、携帯可能で、コンピュータ・エンティテ
ィから分離できる、信頼できるトークンデバイスを備える。トークンデバイスは
、ユーザが使用を望むコンピュータ・エンティティが信頼できることを検証する
ためユーザによって信頼されている。トークンデバイスは、一般的ケースでは、
１つの特定のコンピュータ・エンティティの信頼性を検証することに制限されて
なく、多数のコンピュータ・エンティティのいずれか１つまたはいずれか複数に
関して動作できる汎用性を有している。

【００１３】 本発明の第１の側面に従って提供されるコンピュータ・システムは、第１のデ
ータ・プロセッサおよび第１のデータ記憶手段を有するコンピュータ・プラット
フォーム、第２のデータ・プロセッサおよび第２のデータ記憶手段を有し、前記
コンピュータ・プラットフォームに関する複数のデータ検査を実行するように構
成された監視コンポーネント、および、前記コンピュータ・プラットフォームお
よび前記監視コンポーネントから物理的に独立し分離できるトークンデバイスを
備える。該コンピュータ・システムにおいて、前記トークンデバイスは、１つの
動作モードにおいて、前記監視コンポーネントに信頼性チャレンジを送るように
動作し、該信頼性チャレンジに対する満足できる応答を受け取らない限り、該ト
ークンデバイスは該トークンデバイスが実行できる特定のアクションを実行しな
い。前記トークンデバイスは、前記信頼性チャレンジに対する詳細な応答を受け
取り、受け取った信頼性応答を処理してそれを解読することができる。

【００１４】 当該システムは第三者サーバを更に備えることができる。この場合、前記信頼
性チャレンジに対する応答が該第三者サーバに送られる。前記監視コンポーネン
トは、信頼性チャレンジの中で前記トークンデバイスによって要求されていれば
、詳細な信頼性応答を前記第三者サーバに送る。前記監視コンポーネントが前記
トークンデバイスに詳細な信頼性応答を報告し、前記詳細な信頼性応答の解読に
ついて第三者サーバの援助を必要とすれば、前記トークンデバイスは前記信頼性
応答を前記第三者サーバに送る。前記第三者サーバは、前記トークンデバイスが
前記信頼性応答を解読することができる形式に前記信頼性応答を簡略化すること
ができる。前記第三者サーバは、前記トークンデバイスに前記簡略化された信頼
性応答を送ることができる。該システムは、更に、前記トークンデバイスに対し
て前記第三者サーバを認証するデジタル署名データを前記簡略化信頼性応答に加
えるステップを実行することができる。

【００１５】 前記トークンデバイスは、アクションをとるように要求されることができる。
代替的に、前記トークンデバイスがアクションをとるように要求することもでき
る。１つの動作モードにおいて、前記トークンデバイスは、前記信頼性チャレン
ジに対する前記満足できる応答を受け取る場合、前記コンピュータ・プラットフ
ォームにイメージ・データを送り、該記コンピュータ・プラットフォームが該イ
メージ・データを表示する。好ましくは、前記監視コンポーネントは、それ自体
の識別性を確立する機能を持つ。該システムは、好ましくは、更に、前記監視コ
ンポーネントと前記トークンデバイスとの間を接続するインタフェース手段を備
える。好ましくは、前記監視コンポーネントが、前記コンピュータ・プラットフ
ォームの状態を記述するデータを含む前記データ検査を前記トークンデバイスに
報告するように、前記コンピュータ・エンティティが構成される。前記特定のア
クションは、前記システムのユーザに代わって前記コンピュータ・プラットフォ
ームにトランザクションを実行する権限を与えることを含む。

【００１６】 本発明の第２の側面に従って提供されるコンピュータ・システムは、第１のデ
ータ・プロセッサおよび第１のデータ記憶手段を有するコンピュータ・プラット
フォーム、第２のデータ・プロセッサおよび第２のデータ記憶手段を有し、前記
コンピュータ・プラットフォームに関する複数のデータ検査を実行するように構
成された監視コンポーネント、および、前記コンピュータ・プラットフォームお
よび前記監視コンポーネントから物理的に独立し分離できるトークンデバイスを
備える。該システムにおいて、前記トークンデバイスは、前記監視コンポーネン
トに信頼性チャレンジを送り、前記監視コンポーネントが該信頼性チャレンジに
対する応答を生成し、該トークンデバイスは、該信頼性チャレンジに対する満足
できる応答を受け取ると、前記コンピュータ・プラットフォームの正しい動作を
検証する検証データを前記コンピュータ・プラットフォームに送り、前記コンピ
ュータ・プラットフォームは、表示装置に該検証データを表示する。

【００１７】 本発明の第３の側面に従って提供されるコンピュータ・エンティティは、第１
のデータ・プロセッサおよび第１のデータ記憶手段を有するコンピュータ・プラ
ットフォーム、第２のデータ・プロセッサおよび第２のデータ記憶手段を有し、
前記コンピュータ・プラットフォームに関する複数のデータ検査を実行するよう
に構成され、それ自体の識別性を確立する機能を有する監視コンポーネント、お
よび、トークンデバイスと通信するためのインタフェース手段を備える。該コン
ピュータ・エンティティは、前記監視コンポーネントが前記コンピュータ・プラ
ットフォームの状態を記述するデータを含む前記データ検査を前記トークンデバ
イスに報告するように構成される。

【００１８】 好ましくは、前記トークンデバイスと前記インタフェース手段の間の通信にお
いて、前記監視コンポーネントが前記コンピュータ・プラットフォームの動作状
態を記述するデータを取得するため、前記コンピュータ・プラットフォームに関
する監視動作を実行するように前記監視コンポーネントが起動される。好ましい
実施形態において、前記インタフェース手段が前記監視コンポーネントの範囲内
に実質的に全体として配置される。代替実施形態においては、前記インタフェー
ス手段が前記コンピュータ・プラットフォームを含むことができる。前記インタ
フェース手段は、好ましくは、ＰＣＳＣワークグループＰＣ／ＳＣ仕様１.０に
従ったＰＣＳＣスタックを含む。前記監視コンポーネントは、前記状態データを
独立して認証する認証データを取得し、該認証データを前記インタフェース手段
に提供するように構成された検証手段を含むことができる。前記インタフェース
手段は、能動的プロトコルに従ってデータを送受するように構成されることがで
きる。

【００１９】 本発明の第４の側面に従って、第１のデータ・プロセッサおよび第１のメモリ
手段を有するコンピュータ・プラットフォームならびに第２のデータ・プロセッ
サおよび第２のメモリ手段を有する監視コンポーネントを備えるコンピュータ・
エンティティの状態の検証を取得する方法が提供される。該方法は、前記コンピ
ュータ・エンティティのインタフェースを経由して問い合わせ要求信号を受け取
るステップ、受け取った前記問い合わせ要求信号に応答して前記監視コンポーネ
ントが前記コンピュータ・プラットフォームの監視動作を実行するステップ、お
よび、前記監視コンポーネントが前記監視動作の結果を記述する結果メッセージ
を前記インタフェースへ報告するステップを含む。

【００２０】 前記監視動作は、前記監視コンポーネントが前記コンピューテタ・プラットフ
ォームのコンポーネントに関する１つまたは複数のデータ検査を実行するステッ
プ、および、前記監視コンポーネントが前記データ検査と共に認証済基準データ
を報告することができるステップを含む。前記認証済基準データは、前記コンピ
ュータ・プラットフォームの特定のコンポーネントを測定する時に期待されるべ
きメトリック・セットを含み、前記基準データを認証するエンティティを識別す
るデジタル署名データを含む。好ましくは、前記監視動作の検証を報告する前記
のステップは、前記監視動作の結果を記述する確認信号をトークンデバイスに送
るステップを含む。好ましくは、前記結果メッセージは、前記コンピュータ・エ
ンティティの外部にあるトークンデバイスへ前記インタフェースによって伝送さ
れる。前記監視動作の結果は、確認データの視覚表示を生成することによって報
告される。該方法は、更に、前記監視コンポーネントを識別するデジタル署名デ
ータを前記結果に加えるステップ、および、前記インタフェースから前記結果メ
ッセージおよび前記デジタル署名データを伝送するステップを更に含む。

【００２１】 本発明の第５の側面に従って、コンピュータ・プラットフォームおよび監視コ
ンポーネントを備えるコンピュータ・エンティティの状態の検証を取得する方法
が提供される。該方法は、アプリケーションがトークンデバイスの機能性へのア
クセスを要求するステップ、機能性に対するアクセスの前記要求に応答して、前
記トークンデバイスが前記監視コンポーネントから検証データを要求する要求信
号を生成するステップ、該検証データ要求に応答して、前記監視コンポーネント
が、監視動作の結果を記述する結果メッセージを前記トークンデバイスへ報告す
るステップ、および、満足できる前記結果メッセージの受領によって、前記トー
クンデバイスが、前記アプリケーションへ前記機能性を提供するステップを含む
。

【００２２】 該方法は、更に、第三者サーバに送られる信頼性チャレンジに対する応答を含
む。前記監視コンポーネントは、前記信頼性チャレンジの中で前記トークンデバ
イスによって要求されていれば、前記第三者サーバへ詳細な信頼性応答を送る。
前記監視コンポーネントが前記トークンデバイスに詳細な信頼性応答を報告し、
前記詳細な信頼性応答の解読について第三者サーバの援助を必要とすれば、前記
トークンデバイスは前記信頼性応答を前記第三者サーバに送る。前記第三者サー
バは、前記トークンデバイスが前記信頼性応答を解読することができる形式に前
記信頼性応答を簡略化することができる。前記第三者サーバは、前記トークンデ
バイスに前記簡略化された信頼性応答を送ることができる。該方法は、更に、前
記トークンデバイスに対して前記第三者サーバを認証するデジタル署名データを
前記簡略化信頼性応答に加えるステップを含む。前記トークンデバイスは、アク
ションとるように要求されることができる。代替的に、前記トークンデバイスが
アクションとるように要求することもできる。

【００２３】 本発明の第６の側面に従って、第１のプロセッサ手段および第１のデータ記憶
手段を有するコンピュータ・プラットフォームならびに第２のプロセッサ手段お
よび第２のメモリ手段を有する監視コンポーネントを備えるコンピュータ・エン
ティティの動作の信頼性を第３のデータ・プロセッサおよび第３のメモリ手段を
有するトークンデバイスによって検査する方法が提供される。該方法は、前記コ
ンピュータ・プラットフォームから受け取ったポーリング信号をアプリケーショ
ン・プログラムから受け取ることに応答するように前記トークンデバイスをプロ
グラムするステップ、前記トークンデバイスが前記コンピュータ・プラットフォ
ームからのポーリング信号を受け取るステップ、前記受け取ったポーリング信号
に応答して、前記トークンデバイスが前記監視コンポーネントによる検証動作を
要求する信号を生成するステップ、および、前記監視コンポーネントが前記トー
クンデバイスから受け取った前記信号に応答して前記コンピュータ・プラットフ
ォームの検証動作を実行するステップを含む。

【００２４】 本発明の第７の側面に従って、データ記憶装置およびコンピュータ・エンティ
ティと通信する手段を備え、該コンピュータ・エンティティの状態を検証するト
ークンデバイスが提供される。この場合、前記データ記憶装置は、前記コンピュ
ータ・エンティティから状態データを要求する状態要求メッセージを記憶するよ
うに構成される。該トークンデバイスは、更に、データ・プロセッサを含む。ま
た、該トークンデバイスは、ＰＣ／ＳＣ仕様１.０に従って動作するポーリング
信号に応答するように構成され、能動的プロトコルに従った前記ポーリング信号
に応答して前記コンピュータ・エンティティ上のソフトウェア・スタックによっ
て取り扱われるコマンドを始動することができる機能を持つ。

【００２５】 本発明の第８の側面に従って、コンピュータ・エンティティの外部に備わるト
ークンデバイスによって該コンピュータ・エンティティの状態を検証する方法が
提供される。該方法は、前記トークンデバイスがポーリング信号を受け取るステ
ップ、前記トークンデバイスが前記コンピュータ・エンティティの状態の検証を
取得する要求を作成することによって前記ポーリング信号に応答するステップ、
前記トークンデバイスが前記検証の結果を記述する結果メッセージを受け取るス
テップを含む。

【００２６】 該方法は、更に、第三者サーバに信頼性チャレンジに対する応答を送るステッ
プを含む。前記監視コンポーネントは、前記信頼性チャレンジの中で前記トーク
ンデバイスによって要求されていれば、前記第三者サーバへ詳細な信頼性応答を
送る。前記監視コンポーネントが、前記トークンデバイスに詳細な信頼性応答を
報告し、前記詳細な信頼性応答の解読について第三者サーバの援助を必要とすれ
ば、前記トークンデバイスは前記信頼性応答を前記第三者サーバに送る。前記第
三者サーバは、前記トークンデバイスが前記信頼性応答を解読することができる
形式に前記信頼性応答を簡略化することができる。前記第三者サーバは、前記ト
ークンデバイスに前記簡略化された信頼性応答を送ることができる。該方法は、
更に、前記トークンデバイスに対して前記第三者サーバを認証するデジタル署名
データを前記簡略化信頼性応答に加えるステップを含む。前記トークンデバイス
は、アクションをとるように要求されることができる。代替的に、前記トークン
デバイスは、アクションを取るように要求することもできる。

【００２７】 本発明は、トークンデバイスが監視コンポーネントを使用してコンピュータ・
プラットフォームの状態の検証を取得することができる方法を含む。この場合、
該監視コンポーネントは、前記コンピュータ・プラットフォームに関する少なく
とも１つのデータ検査を実行し、それ自体の識別性を確立し、前記少なくとも１
つのデータ検査の報告を作成する機能を有し、前記トークンデバイスは、データ
処理能力を持ち、予期された形態で動作し、前記コンピュータ・プラットフォー
ムおよび前記監視コンポーネントから物理的に分離可能で、暗号化データ処理能
力を持ち、前記監視コンポーネントが、その識別性を前記トークンデバイスに証
明し、前記コンピュータ・プラットフォームについて実行された少なくとも１つ
のデータ検査を前記トークンデバイスに報告する。

【００２８】 本発明は、データ・プロセッサおよびメモリ装置を備え、少なくとも１つのデ
ータ処理または信号送信機能を実行するように構成されたトークンデバイスを含
む。該トークンデバイスは、外部から信頼性検査データを受け取り、供給された
前記信頼性検査データが満足できるものであれば、前記機能の１つを実行し、受
け取った前記信頼性検査データが満足できるものでなければ、前記トークンデバ
イスは前記の機能を拒絶する。

【００２９】

【発明の実施の形態】

本発明を実施する上で最良と考える実施形態を、代替的実施形態と共に、以下
に例示る。以下の記述において、本発明の完全な理解を提供するため、多数の特
定の詳細が説明される。しかしながら、当業者に明らかなように、本発明は、こ
れらの特定の詳細に限定されることなく実施されることが可能である。一方、周
知の方法および構造は、本発明を不必要に曖昧にするおそれがあるので、詳細に
記述されてない。

【００３０】 本発明の特定の実施形態は、処理手段とメモリ手段を持つコンピュータ・プラ
ットフォームおよび物理的に該コンピュータ・プラットフォームと関連づけられ
る監視コンポーネントを含む。監視コンポーネントは、コンピュータ・プラット
フォームからメトリック・データを収集することによってコンピュータ・プラッ
トフォームの動作を監視し、コンピュータ・プラットフォームと通信する他のエ
ンティティに対して該コンピュータ・プラットフォームが正しく機能しているこ
とを検証する機能を持つもので、本明細書において以下"信頼できるコンポーネ
ント"(または"信頼できる装置")と呼称される。トークンデバイスは、コンピュ
ータ・プラットフォームの人間ユーザにとって個人的なものであり、コンピュー
タ・プラットフォームに関連する信頼できるコンポーネントと対話して、コンピ
ュータ・プラットフォームの信頼性を該ユーザに対して検証する。

【００３１】 コンピュータ・エンティティのユーザは、そのような信頼できるトークンデバ
イスの使用によってコンピュータ・エンティティとの信頼を確立する。信頼でき
るトークンデバイスは、個人的で携帯可能な装置であって、データ処理能力を持
ち、ユーザがそれに対して高いレベルの信頼性を与える。信頼できるトークンデ
バイスは、次のような機能を実行することができる。 ・例えば音声または視覚表示によってユーザにとって十分明確な方法でコンピュ
ータ・プラットフォームの正しい動作を検証する； ・監視コンポーネントが関連するコンピュータ・プラットフォームの正しい動作
の証拠を提供するように監視コンポーネントにチャレンジを送る； ・監視コンポーネントがコンピュータ・エンティティの正しい動作について満足
できる証拠を提供したか否かに応じてコンピュータ・プラットフォームとトーク
ンデバイスの対話のレベルを確立し、正しい動作に関する証拠がトークンデバイ
スによって受け取られない場合コンピュータ・エンティティとの対話を保留する
。

【００３２】 トークンデバイスは、例えばコンピュータ・プラットフォームに常駐するアプ
リケーションによってまたは遠隔アプリケーションによってアクションをとるよ
うに要求されることもあれば、代替的にトークンデバイス自体がアクションを要
求することもできる。

【００３３】 本明細書において、物理的または論理的コンポーネントに関連して使用される
場合の"信用できる"という用語は、物理的または論理的コンポーネントが期待さ
れる形態で常に動作することを意味するように使われる。そのようなコンポーネ
ントの動作は、予測可能で、わかっているものである。信頼できるコンポーネン
トは、未許可の修正に対して高度の抵抗力を持つ。本明細書において、"コンピ
ュータ・エンティティ"という用語は、コンピュータ・プラットフォームおよび
監視コンポーネントを記述するために使用される。

【００３４】 本明細書において、"コンピュータ・プラットフォーム"という用語は、少なく
とも１つのデータ・プロセッサおよび少なくとも１つのデータ記憶手段を意味す
るように使用される。コンピュータ・プラットフォームは、必須とは限らないが
通常は、複数のドライバ、関連するアプリケーションおよびデータ・ファイルの
ような通信と関連づけられ、例えばインターネットへの接続、外部ネットワーク
への接続などの手段によって、あるいは、例えばＣＤ−ＲＯＭ、フロッピー（登 録商標）ディスク、リボン・テープなどのデータ記憶媒体上に記憶されているデ ータを受け取ることができる入力ポートを備えることによって、ユーザまたは別 のコンピュータ・プラットフォームなどの外部エンティティと対話することがで きる。用語"コンピュータ・プラットフォーム"は、コンピュータ・エンティティ の主データ処理および記憶機構を包含する。

【００３５】 各コンピュータ・エンティティにおける信頼できるコンポーネントの使用によ
って、異なるコンピュータ・プラットフォーム間で一定レベルの信頼が利用可能
とされる。遠隔的にまたはコンピュータ・エンティティの表示画面を介するかい
ずれかの形態で、そのようなプラットフォームにその状態について照会を行い、
それを信頼できる状態と比較することが可能である。そのような照会によって収
集された情報は、プラットフォームの種々のパラメータを監視するコンピュータ
・エンティティの信頼できるコンポーネントによって提供される。信頼できるコ
ンポーネントによって提供される情報は、暗号認証によって認証され、信頼でき
ることとなる。

【００３６】 信頼できるコンポーネントの存在は、コンピュータ・エンティティにとってロ
ーカルあるいは遠隔いずれかの第三者ソフトウェアがコンピュータ・エンティテ
ィの認証と識別の証明を取得するためコンピュータ・エンティティと通信し、そ
のコンピュータ・エンティティの測定された信頼性メトリックを取り出すことを
可能にする。次に、照会されたコンピュータ・エンティティの状態が、第三者ソ
フトウェアの項目が当該コンピュータ・エンティティと通信することを望む(例
えば商取引プロセスのような)対話にとって適切であるか否かを判断するため、
第三者ソフトウェアは、信頼できるコンポーネントから取得したメトリックを期
待されるメトリックと比較することができる。

【００３７】 コンピュータ・エンティティ間のこのようなタイプの信頼性検証は、コンピュ
ータ・エンティティの信頼できるコンポーネントと通信している第三者ソフトウ
ェアの観点からすれば十分機能するが、人間であるユーザがそのコンピュータ・
エンティティまたはその人がユーザ・インタフェースを介して対話する他のコン
ピュータ・エンティティとの一定レベルの信頼できる対話を取得することができ
る手段を提供しない。

【００３８】 本発明の１つの好ましい実施形態において、信頼できるトークンデバイスが、
コンピュータ・エンティティの信頼できるコンポーネントに問い合わせを行い、
信頼できるコンポーネントによって検証されたものとしてコンピュータ・エンテ
ィティの状態についてユーザに報告するためユーザによって使用される。

【００３９】 本発明の実施形態において使用される"信頼できるプラットフォーム"をここで
説明する。これは、物理的な信頼できる装置のコンピュータ・プラットフォーム
への組込みによって達成される。この物理的な信頼できる装置は、プラットフォ
ームの信頼性メトリックを提供する測定されたデータにプラットフォームの識別
を結合する機能を有する。これら識別情報および信頼性メトリックが、プラット
フォームの信頼性を保証するように準備されている信頼できる機関によって提供
される期待値と比較される。(注：以下の記述において、"信頼できる機関"は、
その英語表記である"trusted party"の頭文字をとって"ＴＰ"と略称される場合
がある。) 一致すれば、信頼性メトリックの範囲に応じて、少なくともプラット
フォームの一部が正しく動作していることを意味する。

【００４０】 ユーザは、他のデータをプラットフォームと交換する前にプラットフォームの
正しい動作を検証する。これは、ユーザが信頼できる装置にその識別と信頼性メ
トリックを提供するように要求することによって行われる。(オプションとして
、信頼できる装置自体がプラットフォームの正しい動作を検証することができな
ければ、信頼できる装置は識別の証拠を提供することを拒否するであろう)。ユ
ーザは、識別の証明および識別メトリックを受け取って、それらを真実であると
信じる値と比較する。そのような適切な値は、ユーザによって信頼されているＴ
Ｐまたは別のエンティティによって提供される。信頼できる装置によって報告さ
れるデータがＴＰによって提供されるものと同じであれば、ユーザは、そのプラ
ットフォームを信頼する。これは、ユーザが当該エンティティを信頼するからで
ある。エンティティは、前もってその装置の識別の有効性を確認し、そのプラッ
トフォームの適切な信頼性メトリックを決定しているので、そのプラットフォー
ムを信頼する。

【００４１】 一旦ユーザがプラットフォームの信頼できる動作を確立すれば、ユーザはその
他のデータをプラットフォームと交換する。ローカルのユーザについては、その
ような交換は、プラットフォーム上で動くいくつかのソフトウェア・アプリケー
ションと対話することで行われるであろう。遠隔ユーザの場合、交換は安全なト
ランザクションを必要とするかもしれない。いずれにせよ、交換されるデータは
、信頼できる装置によって"署名される"。このようにして、ユーザは、動作が信
頼できるプラットフォームとそのデータが交換されているという一層大きい確信
を持つことができる。

【００４２】 信頼できる装置は、暗号プロセスを使用するが、そのような暗号プロセスに対
する外部インタフェースを必ずしも提供するというわけではない。また、一層望
ましい実施形態は、信頼できる装置を不正操作不可能とし、他のプラットフォー
ム機能に対するアクセスを不可能にすることによって秘密保護を行い、未許可の
修正に対して実質的に防護された環境を提供することである。不正操作防止は不
可能であるので、不正操作に抵抗力のあるまたは不正操作検出可能な信頼できる
装置が次善の策である。従って、信頼できる装置は、好ましくは、不正操作抵抗
力のある１つの物理的コンポーネントから成る。

【００４３】 不正操作抵抗力に関連した技法は、セキュリティの分野の専門家には周知のも
のである。そのような技法は、(信頼できる装置の適切なカプセル化のような)不
正操作抵抗方法、(仕様電圧、Ｘ線逸脱の検出、または信頼できる装置枠におけ
る物理的信頼性の喪失の検出のような)不正操作検出方法、および不正操作検出
の時データを削除する方法などを含む。更に、いくつかの適切な技法が、http:/
/www.cl.cam.ac.uk/~mgk25/tamper.hlmlに紹介されている。理解されることであ
ろうが、不正操作抵抗方法は本発明の最も望ましい機能であるとはいえ、それは
、本発明の通常の動作に含まれず、従って、本発明の適用範囲外にあり、ここで
詳細な記述は行わない。

【００４４】 信頼できる装置は、製作が困難でなければならないので、好ましくは物理装置
であり、また、偽造が困難でなければならないので、最も好ましくは、不正操作
抵抗機能を持つ。信頼できる装置は、ローカルおよび遠隔の両方で識別を証明す
ることが必要とされるので、典型的には、暗号化プロセスを使用する能力を持つ
エンジンを備え、関係するプラットフォームのなんらかの信頼性メトリックを測
定する少なくとも１つの方法を含む。

【００４５】 図１には、信頼できるプラットフォーム１０が例示されている。プラットフォ
ーム１０は、プラットフォームの物理的"ユーザ・インタフェース"を提供するキ
ーボード１４、マウス１６および表示装置(ＶＤＵ)１８という標準的機構を含む
。信頼できるプラットフォームの本実施形態は、また、スマートカード読取装置
１２を含む。スマートカード読取装置１２の横には、スマートカード１９が示さ
れている。スマートカード１９は、以下に記述されるように、信頼できるプラッ
トフォームとのユーザ対話を可能にする。プラットフォーム１０には、複数のモ
ジュール１５が含まれる。これらは、該プラットフォームにとって適切なその他
の機能エレメントであり、本質的にどのような種類のものでもよい(そのような
エレメントの機能は本発明にとって重要な意味を持つものではないので、これ以
上の記述は行わない)。信頼できるコンピュータ・エンティティの付加的コンポ
ーネントは、典型的には、１つまたは複数のローカル・エリア・ネットワーク(
ＬＡＮ)ポート、１つまたは複数のモデム・ポートおよび１つまたは複数の電源
、冷却ファンなどを含む。

【００４６】 図２に示されているように、信頼できるコンピュータ・プラットフォーム１０
のマザーボード２０は、主プロセッサ２１、メイン・メモリ２２、信頼できる装
置２４、データ・バス２６、それぞれの制御線２７および線２８、プラットフォ
ーム１０と入出力装置(ＩＯ)２３に関するＢＩＯＳプログラムを含むＢＩＯＳメ
モリ２９を含む。ＢＩＯＳプログラムは、マザーボード、スマートカード読取装
置１２、キーボード１４、マウス１６および表示装置ＶＤＵ１８(および更にモ
デム、プリンタ、スキャナなどの周辺機器)というコンポーネントの間の対話を
制御する。メイン・メモリ２２は、典型的には、ランダム・アクセス・メモリ(
ＲＡＭ)である。動作に関しては、プラットフォーム１０は、ハードディスク(図
示されていない)からＲＡＭへオペレーティング・システム(例えばウインドウズ
ＮＴ）をロードする。更に、プラットフォーム１０は、プラットフォーム１０に
よって実行されるプロセスまたはアプリケーションをハードディスク(図示され
てない)からＲＡＭにロードする。

【００４７】 コンピュータ・エンティティは、物理的と同様に、論理的アーキテクチャを持
つと見なされる。論理的アーキテクチャは、コンピュータ・プラットフォームと
信頼できるコンポーネントの間で、図１乃至図４に示されているものと同様の基
本的区分を有する。すなわち、信頼できるコンポーネントは、物理的に関連する
コンピュータ・プラットフォームと論理的に独立している。コンピュータ・エン
ティティは、コンピュータ・プラットフォーム(第１のプロセッサと第１のデー
タ記憶手段)に物理的に位置する論理的空間であるユーザ空間および信頼できる
コンポーネントに物理的に位置する論理的空間である信頼できるコンポーネント
空間を含む。ユーザ空間には、１つまたは複数のドライバ、１つまたは複数のア
プリケーション・プログラム、ファイル記憶領域、スマートカード読取装置、ス
マートカード・インタフェース、および、ユーザ空間において動作を実行し、信
頼できるコンポーネントに報告を送り返すことができるソフトウェア・エージェ
ントがある。信頼できるコンポーネント空間は、信頼できるコンポーネントに物
理的に位置し、それに基づく論理的領域であって、信頼できるコンポーネントの
第２のデータ・プロセッサおよび第２のメモリ領域によってサポートされる。表
示画面１８は信頼できるコンポーネント空間から直接イメージを受け取る。コン
ピュータ・エンティティの外部には、外部通信ネットワーク、すなわち、(１つ
または複数のモデム・ポートを含む)ドライバを経由してユーザ空間へ接続され
たインターネット、種々のローカル・エリア・ネットワーク、広域ネットワーク
がある。外部のユーザ・スマートカードは、ユーザ空間においてスマートカード
読取装置に入力する。

【００４８】 パーソナル・コンピュータにおいて、典型的には、ＢＩＯＳプログラムは、特
別な予約メモリ領域に置かれる。特別な予約メモリ領域の最初の上位６４ＫＢは
、システム・メモリ(アドレスF000hからFFFFh)であって、主プロセッサは、業界
標準に従って、このメモリ位置を最初に見に行くように構成される。

【００４９】 当該プラットフォームと従来のプラットフォームとの重要な相違は、リセット
の後、主プロセッサは信頼できる装置によって初期的に制御され、プラットフォ
ーム固有のＢＩＯＳプログラムへ制御が渡され、次に、通常通りすべての入出力
装置が初期化される点である。ＢＩＯＳプログラムの実行後、通常通り、典型的
にはハードディスク装置(図示されてない)からメイン・メモリ２２にロードされ
るウインドウズＮＴのようなオペレーティング・システム・プログラムへＢＩＯ
Ｓプログラムによって制御が渡される。

【００５０】 明らかなように、このような通常手続きからの変更は、業界標準の実施形態に
対する修正を必要とする。この修正は、主プロセッサ２１が信頼できる装置２４
をアドレスしてその最初の命令を受け取るようにするものである。この変更は、
単に、主プロセッサ２１に異なるアドレスをハードコードすることによって達成
される。代替的方法としては、信頼できる装置２４に標準ＢＩＯＳプログラム・
アドレスを割り当てることも可能であり、これは、主プロセッサ構成に何の変更
をも必要としない。

【００５１】 ＢＩＯＳブート・ブロックが信頼できる装置２４の範囲内に含まれることは非
常に望ましい。これは、(悪者ソフトウェア・プロセスが存在する場合発生する
おそれのある)信頼性メトリックの取得の破壊を防止し、ＢＩＯＳが(たとえ正し
いとしても)オペレーティング・システムのための適切な環境を構築することに
失敗する状況を悪者ソフトウェア・プロセスが作り出すことを防止する。

【００５２】 以下に記述される好ましい実施形態において、信頼できる装置２４が単一の、
離散的なコンポーネントであるとはいえ、代替的形態として信頼できる装置２４
の機能をマザーボード上の複数の装置に分割することも、あるいは、プラットフ
ォームの従来型標準装置の１つまたは複数に組み込むことさえ可能である。例え
ば、諸機能およびそれら対話が破壊されることができないと仮定すれば、主プロ
セッサに信頼できる装置の１つまたは複数の機能を主プロセッサに統合すること
は可能である。しかしながら、この構成は、プロセッサが信頼できる機能によっ
てのみ使用されることを必要とすることになるであろう。更に、本実施形態にお
いて、信頼できる装置はマザーボード２０への統合に適応されるハードウェア装
置であるが、代替的に、必要に応じてプラットフォームに接続することができる
ドングルのような"取り外し可能な"装置として実施することも可能である。信頼
できる装置が統合された装置か取り外し可能な装置かは設計選択の問題である。
しかしながら、信頼できる装置が分離できるものである場合、信頼できる装置と
プラットフォームの間の論理的結合を提供するメカニズムが存在しなければなら
ない。

【００５３】 図３に示されているように、信頼できる装置２４は多数のブロックを含む。シ
ステム・リセットの後、信頼できる装置２４は、安全なブーツ・プロセスを実行
して、(システム・クロックおよび表示装置を含む)プラットフォーム１０のオペ
レーティング・システムが適切にかつ安全な形態で実行していることを確認する
。安全ブーツ・プロセスの間、信頼できる装置２４は、コンピュータ・プラット
フォーム１０の信頼性メトリックを取得する。信頼できる装置２４は、また、安
全なデータ転送、および、例えば、暗号／解読および署名／検証を介して信頼で
きる装置とスマートカードの間の認証を実行することができる。信頼できる装置
２４は、また、ユーザ・インタフェースのロックのような種々のセキュリティ制
御ポリシを安全に実施することができる。

【００５４】 信頼できる装置は、具体的には、信頼できる装置２４の動作全体を制御し、信
頼できる装置２４のその他の機能およびマザーボード２０のその他の装置と対話
するようにプログラムされたコントローラ３０、プラットフォーム１０から信頼
性メトリックを取得する測定機能３１、指定されたデータを署名、暗号化または
解読する暗号機能３２、スマートカードを認証する認証機能３３、および、適切
なポート(３６、３７、３８)を有し、マザーボード２０のデータ・バス２６、制
御線２７、およびアドレス線２８のそれぞれに信頼できる装置２４を接続するイ
ンタフェース回路３４を備える。信頼できる装置２４におけるブロックの各々は
、信頼できる装置２４の適切な揮発性メモリ領域４および不揮発性メモリ領域３
に対する(典型的にはコントローラ３０経由の)アクセスを持つ。更に、信頼でき
る装置２４は、周知の形態で、不正抵抗性を持つように設計される。

【００５５】 パフォーマンス上の理由から、アプリケーション固有集積回路(すなわちＡＳ
ＩＣ)として信頼できる装置２４を実施することもできる。しかし、柔軟性のた
め、信頼できる装置２４は、好ましくは、適切にプログラムされたマイクロコン
トローラである。ＡＳＩＣＳとマイクロコントローラは共に、マイクロ・エレク
トロニクス技術分野において周知であるので、これ以上の詳細説明は行わない。

【００５６】 信頼できる装置２４の不揮発性メモリ３に保存されるデータの１つの項目は、
認証書３５０である。認証書３５０は、少なくとも、信頼できる装置２４の公開
暗号鍵３５１および信頼できる機関(ＴＰ)によって測定されたプラットフォーム
信頼性メトリックの認証された値３５２を含む。認証書３５０は、信頼できる装
置２４への保存に先立ちＴＰの秘密鍵を使用してＴＰによって署名される。後刻
の対話セッションにおいて、プラットフォーム１０のユーザは、取得した信頼性
メトリックを真正な信頼性メトリック３５２と比較することによってプラットフ
ォーム１０の信頼性を検証することができる。一致すれば、ユーザは、プラット
フォーム１０が破壊されなかったと確信することができる。ＴＰの一般に利用で
きる公開暗号鍵についての知識が、認証書３５０の単純な検証を可能にする。不
揮発性メモリ３は、また、識別(ＩＤ)ラベル３５３を含む。ＩＤラベル３５３は
、なんらかの文脈の範囲内でユニークである従来のＩＤラベル(例えばシリアル
番号)である。ＩＤラベル３５３は、信頼できる装置２４に関連するデータのイ
ンデックス付けまたはラベル付けのために一般に使用されるが、信頼できる条件
でプラットフォーム１０の識別性を証明するにはそれ自体では不十分である。

【００５７】 信頼できる装置２４は、関連コンピュータ・プラットフォーム１０の信頼性メ
トリックを取得または高い信頼度で測定する少なくとも１つの方法を備えている
。本実施形態においては、信頼性メトリックは、ＢＩＯＳメモリにＢＩＯＳ命令
のダイジェストを生成することによって測定機能３１によって取得される。その
ように取得された信頼性メトリックは、上述のように検証されれば、プラットフ
ォーム１０の潜在的ユーザにプラットフォーム１０がハードウェアまたはＢＩＯ
Ｓプログラムのレベルで破壊されなかったという高いレベルの信頼を与える。オ
ペレーティング・システムおよびアプリケーション・プログラム・コードが破壊
されなかったことを検査するため、ウィルス検査プログラムのようなその他の周
知のプロセスが典型的には使用される。

【００５８】 測定機能３１は、ハッシュ・プログラム３５４および信頼できる装置２４の秘
密鍵３５５を保存する不揮発性メモリ３および取得した信頼性メトリックをダイ
ジェスト３６１の形態で保存する揮発性メモリ４にアクセスする。また、適切な
実施形態において、揮発性メモリ４は、プラットフォーム１０へのアクセスを取
得するために使用されることができる１つまたは複数の真正スマートカードの公
開暗号鍵および関連ＩＤラベル３６０ａ−３６０ｎを記憶するためにも使用され
る。

【００５９】 １つの好ましい実施形態において、ダイジェストと同様に、信頼性メトリック
は、測定機能３１によって揮発性メモリ４に保存される(詳細は後述)ブール値を
含む。

【００６０】 図４を参照して、信頼性メトリックを取得する１つの好ましいプロセスを記述
する。ステップ４００において、スイッチがオンされると、測定機能３１は、デ
ータ、制御およびアドレス線(２６、２７、２８)上の主プロセッサ２１の活動を
監視して信頼できる装置２４がアクセスされる最初のメモリであるか否かを決定
する。従来の動作の下では、主プロセッサは、ＢＩＯＳプログラムを実行するた
め最初にＢＩＯＳメモリに向けられる。しかしながら、本実施形態に従えば、主
プロセッサ２１はメモリとして機能する信頼できる装置２４に向けられる。ステ
ップ４０５において信頼できる装置２４がアクセスされる最初のメモリであれば
、ステップ４１０において、測定機能３１は、信頼できる装置２４がアクセスさ
れる最初のメモリであることを示すブール値を揮発性メモリ４に書く。そうでな
い場合、ステップ４１５において、測定機能３１は、信頼できる装置２４がアク
セスされる最初のメモリでなかったことを示すブール値を揮発性メモリ４に書く
。

【００６１】 信頼できる装置２４が最初にアクセスされるメモリでない場合は、当然のこと
ながら、信頼できる装置２４が全くアクセスされない可能性がある。これは、例
えば、主プロセッサ２１が最初にＢＩＯＳプログラムを実行するように取り扱わ
れていたような場合である。そのような状況の下では、プラットフォームは、動
作するであろうが、信頼性メトリックが利用できないので、要求に応じてその信
頼性を検証することはできない。更に、ＢＩＯＳプログラムがアクセスされた後
に信頼できる装置２４がアクセスされるとすれば、ブール値は、プラットフォー
ムの信頼性の欠如を明示するであろう。

【００６２】 ステップ４２０において、主プロセッサ２１によってメモリとしてアクセスさ
れると、主プロセッサ２１は、ステップ４２５において、記憶されているハッシ
ュ命令３５４を測定機能３１から読む。ハッシュ命令３５４は、主プロセッサ２
１による処理のためデータ・バス２６を経由して渡される。主プロセッサ２１は
、ステップ４３０において、ハッシュ命令３５４を実行し、ステップ４３５にお
いて、それを使用してＢＩＯＳメモリ２９の内容を読み取り、ハッシュ・プログ
ラムに従ってそれらの内容を処理することによってＢＩＯＳメモリ２９のダイジ
ェストを計算する。ステップ４４０において、主プロセッサ２１は、信頼できる
装置２４の中の該当する揮発性メモリ位置４に計算されたダイジェスト３６１を
書き込む。次に、ステップ４４５において、測定機能３１はＢＩＯＳメモリ２９
のＢＩＯＳプログラムを呼び出し、その後従来技術の方法で実行が続く。

【００６３】 明らかなように、信頼性メトリックの計算方法は、必要とされる信頼性の範囲
に応じて、多数存在する。ＢＩＯＳプログラムの信頼性の測定は、プラットフォ
ームの基礎をなす処理環境の信頼性に関する基本的検査を提供する。信頼性メト
リックは、それがブーツ・プロセスの有効性について理由付けすることを可能に
するような形式でなければならない。すなわち、正しいＢＩＯＳを使用してプラ
ットフォームがブートされたか否かを検証するため信頼性メトリックの値を使用
することができる形式でなければならない。オプションとして、ＢＩＯＳの範囲
内の個々の機能ブロックがそれら自身のダイジェスト値を持つことができる。こ
の場合、アンサンブルＢＩＯＳダイジェストがこれらの個々のダイジェストのダ
イジェストとなる。これによって、ポリシが、ＢＩＯＳ動作のどの部品が意図さ
れた目的のため重要でどの部分が無関係であるかを述べることが可能とされる(
いずれの場合でもポリシの下の動作の有効性が確立されることができるような形
態で個々のダイジェストは保管されなければならない)。

【００６４】 その他の信頼性検査は、プラットフォームに接続された種々のその他の装置、
コンポーネントが存在し、正しい動作状態にあるように構成することを必要とす
るであろう。例えば、ＳＣＳＩコントローラと関連するＢＩＯＳプログラムは、
周辺機器との通信が信頼できることを保証するように検査される。別の例をあげ
れば、プラットフォーム上のメモリ装置またはコプロセッサのような他の装置の
信頼性は、固定的チャレンジ／応答対話を実施して一貫した結果を確認すること
によって検証することができる。信頼できる装置２４が分離できるコンポーネン
トである場合、信頼できる装置１４とプラットフォームの間の適切な論理的結合
を与えるため、なんらかのそのような形式の対話が望まれる。また、本実施形態
における信頼できる装置２４はプラットフォームの他の部品との通信の主要手段
としてデータ・バスを利用するが、ハードワイア経路または光学経路のような代
替的通信経路を(あまり便利ではないが)提供することも可能である。更に、本実
施形態における信頼できる装置２４は他の実施形態における信頼性メトリックを
計算するように主プロセッサ２１に命令するとはいえ、信頼できる装置自体は、
一つまたは複数の信頼性メトリックを測定するように構成される。

【００６５】 好ましくは、ＢＩＯＳブーツ・プロセスは、ブーツ・プロセスの信頼性を検査
するメカニズムを含む。そのようなメカニズムは、例えばインテル社ドラフト"W
ired for Management baseline specification v 2.0 - BOOT Integrity Servic
e"に記載されているようにすでに周知であり、ソフトウェアまたはファームウェ
アをロードする前にソフトウェアまたはファームウェアのダイジェストを計算す
ることを必要とする。そのように計算されたダイジェストは、その公開暗号鍵が
ＢＩＯＳにとって既知である信頼できるエンティティによって提供された認証書
に保存されている値と比較される。計算された値が認証書に基づく期待値と一致
する場合だけ、ソフトウェア／ファームウェアがロードされ、信頼できるエンテ
ィティの公開暗号鍵の使用による認証書が有効であると証明されたことになる。
一致しない場合、適切な例外処理ルーチンが呼び出される。

【００６６】 オプションとして、計算されたＢＩＯＳダイジェストを受け取った後、信頼で
きる装置２４は、認証書の中のＢＩＯＳダイジェストの適当な値を調べて、計算
されたダイジェストがその適当な値に合致しないとすれば、ＢＩＯＳに制御を渡
さないようにすることもできる。更に、代替的形態として、信頼できる装置２４
は、ブール値を調べて、信頼できる装置２４がアクセスされる最初のメモリでな
ければ、ＢＩＯＳへ制御を渡さないようにすることもできる。これらのケースの
いずれにおいても、適切な例外処理ルーチンが呼び出されるであろう。

【００６７】 図５は、ＴＰ、プラットフォームに組み込まれた信頼できる装置２４、および
、信頼できるプラットフォームの信頼性の検証を望む(遠隔プラットフォームの)
ユーザによる行動を示す流れ図である。ユーザがローカルに位置する場合でも図
５に記載されたものと本質的に同じステップが必要とされる点は理解されること
であろう。いずれにせよ、ユーザは、典型的には、検証を実施するため、なんら
かの形式のソフトウェア・アプリケーションに依存する。遠隔プラットフォーム
または信頼できるプラットフォーム上でそのようなソフトウェア・アプリケーシ
ョンを実行させることは可能である。しかしながら、遠隔プラットフォーム上で
さえ、ソフトウェア・アプリケーションが破壊されるという可能性は存在する。
従って、高レベルの信頼性のためには、そのソフトウェア・アプリケーションが
ユーザのスマートカード上に置かれ、ユーザが検証の目的のため適切なスマート
カード読取装置にスマートカードを挿入することが望ましい。本発明はそのよう
な構成に関するものである。

【００６８】 先ず、信頼できるプラットフォームを保証するＴＰ(信頼できる機関)が、保証
すべきか否かを決定するためそのプラットフォームのタイプを調べる。これは、
ポリシの問題である。すべてがよければ、ステップ５００において、ＴＰがプラ
ットフォームの信頼性メトリックの値を測定する。次に、ＴＰは、ステップ５０
５において、プラットフォームに関する認証書を生成する。認証書の生成は、信
頼できる装置の公開暗号鍵およびオプションとしてそのＩＤラベルを測定された
信頼性メトリックに追加し、ＴＰの秘密鍵でストリングスを署名することによっ
て行われる。

【００６９】 その後、信頼できる装置２４は、秘密鍵についての知識なしにその入出力ペア
を作成することは統計的に不可能である形態で、その秘密鍵を使用してユーザか
ら受け取った入力データを処理し出力データを生成することによって、その識別
性を証明することができる。このように、秘密鍵についての知識は、この場合に
おける識別の基礎を形成する。明らかなように、識別の基礎を形成するため対称
性暗号化を使用することは可能であるが、対称性暗号化を使用する欠点は、ユー
ザがその秘密を信頼できる装置と共有する必要があることである。更に、ユーザ
との秘密の共有の必要性の結果、対称性暗号化が、原理的に識別性をユーザに証
明するのに十分であるとはいえ、信頼できる装置またはユーザから発せられる検
証を完全に確信することができない第三者に対して識別性を証明するには不十分
である。

【００７０】 ステップ５１０において、信頼できる装置２４は、信頼できる装置２４の該当
する不揮発性メモリ位置３に認証書３５０を書き込むことによって初期化される
。これは、好ましくは、信頼できる装置がマザーボード２０に取り付けられた後
、信頼できる装置２４との安全な通信によって実施される。信頼できる装置２４
に認証書を書き込む方法は、秘密鍵を書き込むことによってスマートカードを初
期化するために使用される方法と同様である。安全な通信は、ＴＰだけに知られ
ている"マスタ鍵"によってサポートされる。マスタ鍵は、製造の間に信頼できる
装置(またはスマートカード)に書き込まれ、信頼できる装置２４へのデータ書き
込みを可能にするため使用される。すなわち、マスタ鍵についての知識なしに信
頼できる装置２４にデータを書き込むことは不可能である。

【００７１】 プラットフォームの後刻の動作のどこかで、例えば、スイッチがオンにされる
かリセットされる時、ステップ５１５において、信頼できる装置２４は、プラッ
トフォームの信頼性メトリック３６１を取得して、保存する。

【００７２】 ユーザは、プラットフォームとの通信を望む時、ステップ５２０において、乱
数のような一時的ワードを作成し、ステップ５２５において、信頼できる装置２
４にチャレンジ(呼びかけ)を行う(プラットフォームのオペレーティング・シス
テムまたは適切なソフトウェア・アプリケーションは、チャレンジを認識して適
切な形態で典型的にはＢＩＯＳ呼び出しを介して信頼できる装置２４へそれを渡
すように構成されている)。一時的ワードは、信頼できないプラットフォームに
よる古いが真正な署名に起因する欺瞞("返信攻撃"と呼ばれる)からユーザを保護
するために使用される。一時的ワードを提供して応答を検証するプロセスは、周
知の"チャレンジ／応答"プロセスの１例である。

【００７３】 ステップ５３０において、信頼できる装置２４は、チャレンジを受け取り、該
当する応答を作成する。応答は、測定された信頼性メトリックと一時的ワードの
ダイジェスト、および、オプションとして、そのＩＤラベルである。次に、ステ
ップ５３５において、その秘密鍵を使用して、信頼できる装置２４は、ダイジェ
ストに署名し、認証書３５０と共に、署名されたダイジェストをユーザに送り返
す。

【００７４】 ステップ５４０において、ユーザはチャレンジの応答を受け取り、ＴＰの既知
の公開暗号鍵を使用して認証書を検証する。次に、ユーザは、ステップ５５０に
おいて、認証書から信頼できる装置２４の公開暗号鍵を抽出して、それを使用し
てチャレンジ応答から署名されたダイジェストを解読する。次に、ステップ５６
０において、ユーザは、チャレンジ応答の中の一時的ワードを検証する。次に、
ステップ５７０において、ユーザは、(チャレンジ応答から取り出した)計算され
た信頼性メトリックを(認証書から抽出した)該当するプラットフォーム信頼性メ
トリックと比較する。ステップ５４５、５５５、５６５または５７５における前
記検証のいずれかが失敗すれば、全ステップはステップ５８０で終了しそれ以上
の通信は行われない。

【００７５】 すべてがうまく行けば、ステップ５８５および５９０において、ユーザおよび
信頼できるプラットフォームは、他のプロトコルを使用して、その他のデータに
関する安全な通信を設定する。ここで、安全な通信においては、プラットフォー
ムからのデータが、好ましくは、信頼できる装置２４によって署名される。この
検証プロセスの一層の精練は可能である。望ましくは、チャレンジを送ったユー
ザは、プラットフォーム信頼性メトリックの値およびそれが取得された方法につ
いて認識するようになる。望ましくは、それらの情報は両方とも、チャレンジす
るユーザがプラットフォームの信頼性について適切な決定をすることを可能にす
る。チャレンジするユーザが利用できる多くの異なるオプションがある。すなわ
ち、ユーザは、信頼性メトリックが信頼できる装置２４において有効であると認
めることができ、あるいは、代替的に、信頼性メトリックの値が当該ユーザによ
って保持される値と等しければ、プラットフォームは適切なレベルの信頼性ベル
を有することのみを認めることができる(またはこれらの２つのケースにおいて
異なるレベルの信頼性があると考えることもできる)。

【００７６】 署名、認証書の使用、チャレンジ／応答、およびそれらを使用する識別性の証
明の手法はセキュリティ分野の専門家に周知であるので、これ以上の説明は必要
とされない。

【００７７】 ユーザのスマートカード１９は、コンピュータ・エンティティから分離してい
るトークンデバイスであり、スマートカード読取装置ポート１９を経由してコン
ピュータ・エンティティと対話する。ユーザは、いくつかの異なるベンダまたは
サービス・プロバイダによって発行されたいくつかの異なるスマートカードを持
ち、信頼できるコンポーネントおよびスマートカード読取装置を備える複数のコ
ンピュータ・エンティティのいずれか１つから、インターネットまたは複数のネ
ットワーク・コンピュータへのアクセスを取得する。ユーザが使用している個々
のコンピュータ・エンティティに対するユーザの信頼は、ユーザの信頼できるス
マートカード・トークンとコンピュータ・エンティティの信頼できるコンポーネ
ントとの間の対話から導出される。ユーザは、信頼できるコンポーネントの信頼
性を検証するためその信頼できるスマートカード・トークンに頼る。

【００７８】 図６には、ユーザ・スマートカード１９の処理部分６０が図示されている。図
示されているように、ユーザ・スマートカード１９の処理部分６０は、プロセッ
サ６１、メモリ６２およびインタフェース接触部６３という標準的機構を持つ。
プロセッサ６１は、後述のように、ユーザ・スマートカード１９の認証およびプ
ラットフォーム１０の検証を伴う単純なチャレンジ／応答動作を行うようにプロ
グラムされている。メモリ６２は、その秘密鍵６２０、その公開暗号鍵６２８、
(オプションとして)ユーザ・プロフィール６２１、ＴＰの公開暗号鍵６２２およ
び識別６２７を保有する。ユーザ・プロフィール６２１は、ユーザによって使用
可能な許容可能補助スマートカード２０ＡＣ１−ＡＣｎおよび該ユーザに関する
個別セキュリティ・ポリシ６２４をリストする。ユーザ・プロフィールは、補助
スマートカード２０の各々に関して、それぞれの識別情報６２３、スマートカー
ド間の信頼構造６２５、および、オプションとしてスマートカードのタイプまた
は製造記号６２６を含む。

【００７９】 ユーザ・プロフィール６２１において、補助スマートカード２０のエントリＡ
Ｃ１‐ＡＣｎの各々は、カードのタイプに応じて変わる関連識別情報６２３を含
む。例えば、キャッシュカードのための識別情報は、典型的には、単純なシリア
ル番号を含むが、一方、暗号カードの場合、識別情報は、典型的には、暗号カー
ドの公開鍵(あるいは認証書)を含む(秘密鍵は暗号カードそれ自体に秘密裡に記
憶されている)。

【００８０】 "セキュリティ・ポリシ"６２４は、プラットフォーム１０上でユーザが補助ス
マートカード２０を使用している間にプラットフォーム１０に関してーザが持つ
許可を指示する。例えば、補助スマートカード２０が使用中の間、補助スマート
カード２０の機能に応じて、ユーザ・インタフェースはロックまたはロック解除
される。更に、代替的に、特定の補助スマートカード２０が信頼される程度に応
じて、プラットフォーム１０上の特定のファイルまたは実行可能プログラムをア
クセス可能または不可とすることができる。更に、セキュリティ・ポリシ６２４
は、"クレジット受領"または"一時的委任"(詳細は後述)のような、補助スマート
カード２０に関する動作の特定のモードを指定することができる。

【００８１】 "信頼構造"６２５は、補助スマートカード２０それ自身が、ユーザ・スマート
カード１９を再使用することなく、更なる補助スマートカード２０をシステムに
導入することができるか否かを定義する。本明細書において詳細に記述される実
施形態においては、ユーザ・スマートカード１９とそのユーザ・スマートカード
１９によってプラットフォーム１０に導入されることができる補助スマートカー
ド２０の間にのみ信頼構造が定義される。導入は、後述されるように、"単一セ
ッション"でも"マルチセッション"でもよい。しかしながら、特定の補助スマー
トカード２０が実際に更なる補助スマートカード２０を導入することができない
理由はない。このためには、導入することができる補助スマートカードの各々を
リストするユーザ・プロフィールと同等のものを補助スマートカード２０が持つ
ことを必要とする。

【００８２】 補助スマートカード２０の使用は、本発明にとって必須の機能ではなく、本明
細書においてこれ以上の説明はされない。補助スマートカードの使用は"Computi
ng Apparatus and Methods of Operating Computing Apparatus"というタイトル
の国際特許出願に記載されている。

【００８３】 図７を参照して、ユーザ・スマートカード１９とプラットフォーム１０の間の
認証に関する好ましいプロセスを記述する。このプロセスは、便宜上チャレンジ
／応答ルーチンを実施する。利用できるチャレンジ／応答メカニズムは多数存在
する。本実施形態に使用される認証プロトコルの実施形態は、ＩＳＯ／ＩＥＣ９
７９８−３に記述されている相互(または３−ステップ)認証である。当然のこと
ながら、ＩＳＯ／ＩＥＣ９７９８−３に記述されている２−ステップまたは４−
ステップのような他の手続きを使用することができな理由はない。

【００８４】 先ず、ユーザが、ステップ７００において、プラットフォーム１０のスマート
カード読取装置１２にそのユーザ・スマートカード１９を挿入する。典型的には
、プラットフォーム１０は、前もって、その標準オペレーティング・システムの
制御の下で動作し、ユーザがそのユーザ・スマートカード１９を挿入するのを待
機する認証プロセスを実行している。このように活動状態にあるスマートカード
読取装置１２は別として、プラットフォーム１０は、典型的には、ユーザ・イン
タフェース(表示画面、キーボード、マウスなど)をロックすることによってユー
ザがアクセスできない状態に置かれている。

【００８５】 ユーザ・スマートカード１９がスマートカード読取装置１２に挿入されると、
信頼できる装置２４は、ステップ７０５において、一時的ワードＡを生成してそ
れをユーザ・スマートカード１９に送信することによって、相互認証手続きを始
動する。乱数のような一時的ワードは、信頼できない第三者による古いが真正な
応答に起因する欺瞞("返信攻撃"と呼ばれる)から作成元を保護するために使用さ
れる。

【００８６】 それに応じて、ユーザ・スマートカード１９は、ステップ７１０において、一
時的ワードＡ、ユーザ・スマートカード１９によって生成された新しい一時的ワ
ードＢ、信頼できる装置２４のＩＤ３５３および若干の冗長情報からなる平文；
ユーザ・スマートカード１９の秘密鍵を用いて署名することによって生成される
前記平文の署名；ならびに、ユーザ・スマートカード１９のＩＤおよび公開暗号
鍵を含む認証書、を連結した応答を生成し送り返す。

【００８７】 信頼できる装置２４は、ステップ７１５において、認証書の中の公開暗号鍵を
使用して平文の署名を検証することによって応答を認証する。応答が真正でなけ
れば、プロセスはステップ７２０で終了する。応答が真正であれば、信頼できる
装置２４は、ステップ７２５において、一時的ワードＡ、一時的ワードＢ、ユー
ザ・スマートカード１９のＩＤ６２７および取得した信頼性メトリックからなる
平文；信頼できる装置２４の秘密鍵を用いて署名することによって生成される前
記平文の署名；ならびに、ＴＰの秘密鍵によって署名された信頼できる装置２４
の公開鍵および真正な信頼性メトリックを含む認証書、を連結した更なる応答を
生成して送る。

【００８８】 ユーザ・スマートカード１９は、ステップ７３０において、ＴＰの公開暗号鍵
を使用して取得した信頼性メトリックを真正な信頼性メトリックと比較すること
によって(一致は認証を意味する)、この応答を認証する。更なる応答が認証でき
なければ、プロセスはステップ７３５で終了する。

【００８９】 手続きが成功すれば、信頼できる装置２４がユーザ・スマートカード１９を認
証し、ユーザ・スマートカード１９が信頼できるプラットフォーム１０の信頼性
を検証したことになり、認証プロセスは、ステップ７４０において、当該ユーザ
のための安全なプロセスを実行する。次に、認証プロセスは、ステップ７４５に
おいて、インターバル・タイマを設定する。その後、認証プロセスは、ステップ
７５０において、適切なオペレーティング・システム割り込みルーチンを使用し
て、インターバル・タイマがあらかじめ定められたタイムアウト間隔を越えてい
るか否かを周期的に検査する。明らかなように、認証プロセスと内蔵タイマは、
安全プロセスと並列して動作する。

【００９０】 タイムアウト間隔を越えると、認証プロセスは、ステップ７６０において、ユ
ーザ・スマートカード自体を識別させるためユーザ・スマートカード１９にチャ
レンジを送信することによってユーザ・スマートカード１９を再認証するように
信頼できる装置２４を始動させる。ユーザ・スマートカード１９は、ステップ７
６５において、そのＩＤ６２７およびその公開暗号鍵６２８を含む認証書を返す
。ステップ７７０において、(例えば、ユーザ・スマートカード１９が取り除か
れていたため)応答がない場合、または、何らかの理由で(例えばユーザ・スマー
トカードがすでに他のカードと置き換えられているため)認証書がもはや有効で
ない場合、セッションは、ステップ７７５において、信頼できる装置２４によっ
て終了される。さもなければ、ステップ７７０において、ステップ７４５からの
プロセスが内蔵タイマをリセットすることによって反復される。

【００９１】 本発明のいくつかの異なる実施形態が可能である。好ましい第１の実施形態に
おいて、表示装置１８は、信頼できるコンポーネントの範囲内に含まれる監視サ
ブシステムによって直接駆動される。この実施形態においては、信頼できるコン
ポーネント空間内に信頼できるコンポーネント自体が常駐し、表示装置１８の表
示は信頼できるコンポーネントによって生成される。この構成は、ヨーロッパ特
許出願ＥＰＡ第99304164.9号に記載されている。

【００９２】 好ましい第１の実施形態において、このサブシステムは、コンピュータ・プラ
ットフォーム上に常駐し、スマートカード読取装置、信頼できるコンポーネント
および表示装置の間のインタフェースを提供する。サブシステム機能性は、信頼
できるコンポーネントに組み込まれ、信頼できる空間の範囲内に常駐する。該サ
ブシステムは、コンピュータ・プラットフォームおよびスマートカードと信頼で
きるコンポーネントとの間をインタフェースする。該サブシステムは、信頼でき
るコンポーネントにおける信頼を維持するために必須のものではなく、他の実施
形態において、オプションとして、"信頼できない"コンピュータ・プラットフォ
ーム空間におけるコンピュータ・プラットフォーム上に常駐することもできる。

【００９３】 第２の実施形態において、信頼できるコンポーネント(装置)は、スマートカー
ド読取装置１９およびスマートカード・インタフェースを通してソフトウェア・
サブシステムにおいてアクセスされる。該サブシステムは、また、アプリケーシ
ョンと信頼できるコンポーネントの間をインタフェースするためアプリケーショ
ン・インタフェース機能を提供し、インターネットまたはローカル・エリア・ネ
ットワーク／広域ネットワーク経由でアクセスされる第三者を通して、信頼でき
るコンポーネントによって取得される信頼性メトリック・データを検証する検証
アプリケーションを提供する。

【００９４】 ユーザによってコンピュータ・エンティティに与えられる信頼は、次のような
別々の部分から構成される； ・ユーザの信頼できるトークンデバイスに含まれる信頼； ・信頼できるコンポーネントに含まれる信頼。

【００９５】 コンピュータ・エンティティに与えられる信頼のレベルまたは程度は、信頼で
きるコンポーネントおよびスマートカードに含まれる信頼のレベルに関連するも
のとして決定される。コンピュータ・エンティティにおける信頼の量は多くの要
因に関係するが、その信頼度を測定する際の重要な因子は、信頼できるコンポー
ネント自体がコンピュータ・エンティティに関して実行する信頼性メトリックス
検査のタイプ、範囲および細分性およびスマートカードが信頼できるコンポーネ
ントに対して行う信頼性メトリックス検査のタイプ、細分性および品質である。

【００９６】 ユーザがスマートカードの使用によって信頼できるコンポーネントが正しく動
作していることを確定すれば、信頼できるコンポーネントは暗黙的に信頼されて
いる。信頼できるコンポーネントは、コンピュータ・プラットフォームに含まれ
るあらゆる信頼の基礎として組み入れられ、コンピュータ・プラットフォームは
、全体として、信頼できるコンポーネントに含まれる信頼の量以上には信頼され
ることはできない。

【００９７】 他のコンピュータ・エンティティが暗号化されたメッセージ手段によって信頼
できるコンポーネントと直接対話して信頼できるコンポーネントの動作を検証す
ることができるが、コンピュータ・エンティティを動かす人間のユーザは、暗号
化されたデジタル信号を生成する能力を持たない生物学的エンティティであるの
で、信頼できるコンポーネントと直接対話することができない。人間のユーザは
、コンピュータ・エンティティの信頼性を検証するにはその視覚および聴覚に頼
らなければならない。人間のユーザは、一般的ケースにおいて、コンピュータ・
エンティティにおける動作メカニズムの知識を持たないし、教育知識の点で平均
的レベル、すなわち、ごく平均的普通の人間であろう。

【００９８】 従って、ユーザは、スマートカードの形式の信頼できるトークンを与えられ、
そこに高度の信頼を置く。ユーザのスマートカードは、コンピュータ・エンティ
ティの信頼できるコンポーネントと対話して、 ・ユーザに対して信頼できるコンポーネントの識別性を証明し； ・信頼できるコンポーネントによってコンピュータ・プラットフォームに関して
実行される信頼性メトリック測定を利用することによって、コンピュータ・エン
ティティの内部のコンピュータ・プラットフォームが正しく動作していることを
検証する。

【００９９】 従って、複数コンピュータ・エンティティからなるシステムにおいて、次のよ
うな信頼性連鎖が存在する： ・ユーザは信頼できるトークンを信頼しなければならない。この信頼性は、信頼
できるトークンの提供者の評判に基づくものであり、この提供者は、典型的には
、信頼できるトークンの正しい動作を使用可能にするために必要な技術資源への
アクセスを持つ企業である； ・信頼できるトークンと信頼できるコンポーネントの間の信頼性。信頼できるト
ークン・スマートカードは、スマートカードを使用して信頼できるコンポーネン
トの正しい動作を検証することができなければならない； ・コンピュータ・プラットフォームにおける信頼性。コンピュータ・プラットフ
ォームにおける信頼は、それ自体が信頼されている信頼できるコンポーネントに
よるコンピュータ・プラットフォームの監視から導出される。

【０１００】 このような信頼性連鎖の範囲内において、ユーザとコンピュータ・エンティテ
ィの連結は、ユーザ、ユーザが使用する信頼できるプラットフォームおよび信頼
できるトークン(スマートカード)の観点から見ることができる。

【０１０１】 ユーザの観点からすれば、ユーザが信頼できるのは、コンピュータ画面上で見
るもの、コンピュータの音声出力で聞くもの、印刷された出力で見るものだけで
ある。ユーザは、コンピュータ・エンティティのスマートカード読取装置１２に
挿入することができるスマートカード１９という形態の信頼できるトークンを与
えられる。スマートカードは、ユーザに代わって暗号メッセージおよび問い合わ
せを使用して対話を遂行する。スマートカードは、信頼性メトリック測定を実行
するように信頼できるコンポーネントに要求を送り、検証要求に対する満足でき
る応答を信頼できるコンポーネントから受け取らない場合アプリケーション・プ
ログラムに対する許可を取り消すことができる。

【０１０２】 本発明を実施するための特定の実施形態を以下に記述する。各々の実施形態に
おいて、コンピュータ・エンティティは、複数の動作モードを持つ。図８を参照
すると、第１のプロセスに従ってユーザの制御の下のコンピュータ・エンティテ
ィおよびスマートカードを備えるコンピュータ・システムの動作の第１のモード
が示されている。図８のプロセスにおいて、ユーザのスマートカードの使用を必
要とするアプリケーションはコンピュータ・エンティティ上に存在しない。ユー
ザは、単にスマートカードの助けを借りてコンピュータ・エンティティの範囲内
のコンピュータ・プラットフォームの信頼性を検証している。一般的に、ユーザ
は、ログオンすると直ちに、いかなる視聴覚動作の実行の前に、コンピュータ・
エンティティの信頼性を検査することを望む。スマートカードは、ユーザがコン
ピュータ・エンティティを使用する他のタスクを実行する前に、その信頼できる
コンポーネントを通してコンピュータ・エンティティの信頼性を検証するように
プログラムされることができる。

【０１０３】 ステップ７０００において、ユーザは、使用すべきコンピュータ・エンティテ
ィのスマートカード読取装置にスマートカードを挿入する。ステップ７０１０に
おいて、ユーザは、コンピュータ・プラットフォームのグラフィカル・ユーザ・
インタフェース(ＧＵＩ)の使用を開始する。ステップ７０２０において、コンピ
ュータ・プラットフォーム上へ事前にロードされている検証アプリケーションが
ユーザによって始動される。検証アプリケーションの目的は、スマートカードを
持つユーザが、コンピュータ・エンティティの信頼できるコンポーネントが信頼
性を検査することを可能にすることである。そのような起動は、コンピュータ・
エンティティの表示装置に表示されたアイコンの上に視覚的に置かれたマウスま
たはトラックボールのようなポインティング・デバイスを起動させることによっ
て行うことができる。検証インタフェースは、スマートカードによる信頼できる
コンポーネントの検査を始動させるためＧＵＩからコマンドを受け取り、スマー
トカードが検証プロセスを始めるようにアプリケーションによって命令されるこ
とができるような形態でそれらコマンドを処理する。

【０１０４】 ステップ７０３０において、インタフェースは、信頼できるコンポーネント上
で検証動作を始めるようにスマートカードに要求する要求信号をスマートカード
に送る。ステップ７０４０において、スマートカードは、信頼できるコンポーネ
ントに関する信頼性検査を実行する。スマートカードと信頼できるコンポーネン
トの間のすべての通信は暗号化された形式で行われる。スマートカードが信頼で
きるコンポーネントの信頼性を検証する精密な方法は図５乃至図７を参照して上
述したチャレンジ／応答信頼性検査による。ステップ７０５０において、信頼で
きるコンポーネントに関する信頼性検査を完了した後、スマートカードは、ＧＵ
Ｉに表示することによってユーザへ報告を返す。信頼できるコンポーネントがＧ
ＵＩを使用してユーザ報告を返す方法はいろいろある。

【０１０５】 そのような方法の１つにおいて、スマートカードは、信頼できるコンポーネン
トを使用してコンピュータ・プラットフォームを記述する(信頼できるコンポー
ネントによって決定された)情報を表示するように画面１８の表示を制御する。
この際、スマートカードに固有のイメージが表示装置に表示される。例えば、ス
マートカードは、好ましくはユーザだけが知っている、再作成が困難なイメージ
・データを含むことができる。信頼できるコンポーネントは、スマートカードか
らこのイメージ・データを取り出し、コンピュータ・プラットフォームの信頼性
メトリックおよび動作を記述する他の情報とイメージ・データを組み合わせて、
表示装置に表示する。コンピュータ・エンティティは、イメージ・データを事前
に記憶しているユーザ・スマートカード以外からイメージ・データを取得する他
の方法を持っていないので、また、ユーザが目視によってイメージが本物である
ことを高い精度で視覚的に識別することができるので、コンピュータ・エンティ
ティが実際にスマートカードと対話している(さもなければイメージは取得でき
るはずがないので)という確信をユーザは持つ。

【０１０６】 代替的に、ステップ７０５０において、検査されているコンピュータ・エンテ
ィティの画面にイメージ・データを表示する代わりに、ユーザは、スマートカー
ド読取装置からそのスマートカードを取り出して、自身のパームトップ装置にス
マートカードを挿入することもできる。パームトップ装置は、ユーザにとって個
人的なものであるので、ユーザはコンピュータ・エンティティより高い度合いで
パームトップ装置を信頼することができる。スマートカードが実行したチャレン
ジ／応答検査にコンピュータ・エンティティがパスしたことを検証するデータを
パームトップ読取器はスマートカードから読み取る。次に、パームトップ・コン
ピュータは、スマートカードが実施したチャレンジ／応答検査にコンピュータ・
エンティティがパスしたという情報をユーザに表示する。ユーザは、これをコン
ピュータ・エンティティが信頼されている検証と見なす。

【０１０７】 ユーザがコンピュータ・エンティティを使用することを望み、コンピュータ・
エンティティが信頼できるか否かを知ることを単に望む場合に、上述の方法が機
能する。対照的に、図９は、アプリケーションがコンピュータ・エンティティに
常駐するか、ユーザが通信を望む遠隔コンピュータ・エンティティに常住する場
合で、ユーザが例えば商用トランザクション処理のような動作を認可することを
必要とする場合の第２の動作モードを示す。

【０１０８】 スマートカードは、ユーザに固有な詳細項目を含むようにシステム管理者また
はスマートカード・サービス・プロバイダによって構成されている。ステップ８
０１において、ユーザはコンピュータ・エンティティのスマートカード読取装置
にスマートカードを挿入する。ステップ８０２において、コンピュータ・エンテ
ィティのアプリケーションまたはオペレーティング・システムがスマートカード
からのデータを要求する。ステップ８０３において、スマートカードは、それに
応答して、スマートカードがコンピュータ・エンティティの信頼性を検証するこ
とができるように、コンピュータ・エンティティに遅延メッセージを送り、コン
ピュータ・エンティティの信頼できるコンポーネントへのアクセスを可能にする
ようにコンピュータ・エンティティへ要求する。

【０１０９】 ステップ８０４において、スマートカードは、上述されたようなチャレンジ／
応答プロセスに従った信頼性検査手段によってコンピュータ・エンティティの信
頼できるコンポーネントと通信して、コンピュータ・エンティティの信頼性を検
査する。ステップ８０５において、信頼性検査が信頼できるコンポーネントによ
って満たされたと判断すれば、スマートカードは、オペレーティング・システム
またはアプリケーションからのデータ要求に対する応答を進め、処理を完了する
。

【０１１０】 信頼できるコンポーネントによるコンピュータ・プラットフォームの信頼性メ
トリックの検査および認証を通して、コンピュータ・エンティティの信頼できる
コンポーネントとの通信という手段によって接続されているコンピュータ・エン
ティティの信頼性をスマートカードが初めに検証することができない限り、スマ
ートカードは、例えば認証のためあるいはなんらかの暗号サービスを提供するた
め、アプリケーションとの対話を受け入れることを決して行わないようにプログ
ラムされる。このようにして、暗黙にスマートカードを信頼するユーザは、その
スマートカードが信頼できる環境にあると検証された時のみそのスマートカード
がアプリケーションによって使用されることを認める。スマートカードは、信頼
性検査の結果をユーザに明示的に報告する必要はない。アプリケーションがスマ
ートカードとの対話を要求したという事実、および、その要求された対話が満足
されたという事実だけが、スマートカードがこの検査を実施して、その結果が満
足できるものであったということの証明である。スマートカードが、アプリケー
ションとの対話を許諾するか拒絶するかは、スマートカード発行者によってスマ
ートカード上へ事前にプログラムされた、または、ユーザによるプログラムによ
って構成された、あらかじめ定められたポリシに基づく。

【０１１１】 スマートカードのメモリの構成は、その機能がスマートカード・ベンダによっ
て提供されていれば、ユーザが指定することができる。例えば、パーソナル・コ
ンピュータの購入者は、ユーザの選好に従って動作するようにそのスマートカー
ドを構成することができる。たとえ信頼できるコンポーネントがコンピュータ・
エンティティに存在しない場合でも、ユーザがマイクロソフト・ウインドウズＮ
Ｔ環境においてコンピュータ・エンティティと対話するようにスマートカードを
プログラムすることができるように、スマートカードを事前に構成することがで
きる。スマートカードのベンダは、ＰＤＡパームトップ・コンピュータのような
装置を通して、スマートカードのプログラミングを可能にすることができる。各
スマートカードの能力の正確な構成は、設計の問題としてスマートカードの提供
者によって指定される。

【０１１２】 別の例としては、インターネット・サービス・プロバイダが、スマートカード
が挿入されるコンピュータ・エンティティがスマートカードによって指定される
種々の信頼性検査にパスしたことを検証することができる時、インターネット・
サービス・プロバイダに対してのみそれ自体を正しく識別するスマートカードを
提供することができる。これは、ウイルスを含んでいるような信頼できないコン
ピュータをユーザが使用してインターネット・サービスに接続しようとしていな
ことを確認できるような防御をインターネット・サービス・プロバイダに与える
。

【０１１３】 上記２つの方法の特徴は、それらがユーザとの対話による始動を必要とせず、
コンピュータ・エンティティのスマートカード読取装置に挿入されているスマー
トカードの動作によって始動される点にある。これは、ユーザとの対話またはソ
フトウェア・アプリケーションによる始動に適用できるものであるが、本発明に
とって必須のものではない。

【０１１４】 ここで、図１０を参照して、信頼できるトークンとして適応されたスマートカ
ードとの対話の間のコンピュータ・エンティティの動作の１例を記述する。この
例は、ＩＳＯ７８１６に規定されているＰＣＳＣ仕様(www.pcscworkgroup.comを
通して参照可能)に従う周知の技術に基づくが、スマートカードからのコマンド
の始動を可能にするように好ましい実施形態において修正されている。

【０１１５】 スマートカードと信頼できるコンポーネントとの間の対話は、スマートカード
が、信頼できるコンポーネントの正しい動作を認証し、信頼できるコンポーネン
トが監視するコンピュータ・プラットフォームの信頼性に関して信頼できるコン
ポーネントの応答を取得することを可能にする。好ましい実施形態において、信
頼性検証プロセスによって、信頼できるコンポーネントがコンピュータ・エンテ
ィティの正しい動作の検証の解読された結果をスマートカードに報告することが
可能にされる。しかしながら、別のモードの実施形態において、信頼できるコン
ポーネントが、スマートカードのため信頼性測定を解読するメカニズムを提供し
ないことも可能である。その場合、スマートカードは、この機能性を提供する信
頼できる第三者サーバにアクセスしなければならない。

【０１１６】 典型的には、スマートカードによる信頼できる第三者サーバへのアクセスは、
そのようなアクセスがコンピュータ・エンティティによって提供されることをス
マートカードが要求することができるようなメカニズムを必要とする。信頼でき
るコンポーネントへのコマンドを始動し、メッセージおよび情報の交換のため信
頼できるコンポーネントと通信し、情報を求める要求を送り、その要求に応答し
た結果を信頼できるコンポーネントから受け取り、第三者サーバへのアクセスが
コンピュータ・エンティティによって提供されるように要求することができるス
マートカードがあれば、スマートカードに対する信頼できるコンポーネントの信
頼性検証は達成されることができる。スマートカードからのユーザ・コマンドの
始動の実施形態は、"smartcards - from security tokens to intelligent adju
ncts"(by Boris Balacheff, Bruno Van Wilder and David Chan published in C
ARDIS 1998 Proceedings)に記載されている。

【０１１７】 図１０は、上記引用文献に従ったスマートカードからのユーザ・コマンドの始
動に含まれる対話を簡潔に示している。使用される手法は、ＧＳＭ(ＧＳＭ仕様
１１.１４)に使用されている手法と本質的に同じであり、継続ユーザ識別モジュ
ール(Subscriber Identity ModuleすなわちSIM)が移動体機器によってとられる
べきアクションを始動することを可能にするものである。この構成において移動
体機器によってとられる機能的役割は、プラットフォームの範囲内のPC Intelli
gent Adjunct(ＰＣＩＡ)モジュール９００と呼ばれるものによって実行される。
スマートカード９０１はこのモジュールと対話する。

【０１１８】 先ず、ステップ９０２において、ＰＣＩＡモジュールが本質的に任意のコマン
ド(Ｃ１)を作成する。Ｃ１コマンドの結果は、ステップ９０３において、ＰＣＩ
Ａモジュールへ送り返され、続いて、ステップ９０４において、状態応答"91 XX
"が送られてくる。この重要なステップ(標準的"ＯＫ"コードに対する代替ステッ
プ)によって、スマートカード９０１が送出すべき情報を持っていることおよび
応答データの長さ(XX)をＰＣＩＡモジュール９００に伝えることが可能とされる
。次に、ＰＣＩＡモジュールは、ステップ９０５において、フェッチを介してこ
の追加データを要求し、コマンドＣ２がステップ９０６においてスマートカード
によって提供され、結果がステップ９０７において送り返される。肯定応答が、
ステップ９０８において、スマートカードによって提供される。ＰＣＩＡモジュ
ールによって更に肯定応答が提供されれば一層好ましい(図示されてない)。

【０１１９】 図１１を参照すれば、前述したコンピュータ・プラットフォームおよび監視コ
ンポーネントを含むコンピュータ・エンティティ１１００、該コンピュータ・エ
ンティティ１１００と通信することができる信頼できるトークンデバイス１１０
１およびデータ処理機能性を実行することができる遠隔サーバ１１０２からなる
コンピュータ・システムが示されている。遠隔サーバ１１０２は、また、第２の
コンピュータ・プラットフォームおよび第２の監視コンポーネントを含む。運用
上、遠隔サーバ１１０２は信頼できるサービス・プロバイダ(例えばインターネ
ット・サービス・プロバイダ)によって管理されるかもしれない。この場合、信
頼できるトークンデバイスのユーザは、例えばインターネット・サービス・プロ
バイダによって提供されるサービスに対する使用契約のようなインターネット・
サービス・プロバイダとの契約関係を通して確立される一定の信頼度を持つこと
ができる。

【０１２０】 図１２には、図１１に示されたコンピュータ・システムの範囲内のトークンデ
バイスおよびコンピュータ・エンティティの動作の第３のモードが示されている
。この動作モードにおいては、コンピュータ・エンティティ１１００の範囲内の
監視コンポーネント(信頼できるコンポーネント)は、コンピュータ・エンティテ
ィ１１００の範囲内のコンピュータ・プラットフォームに関するデータ検査を行
うようにスマートカード１１０１によって要求される。信頼できるトークンデバ
イス１１０１は、コンピュータ・エンティティ１１００によって供給されるデー
タに関するデータ処理を実施するために十分なデータ処理能力を有していない。
従って、コンピュータ・エンティティは、スマートカードによって信頼されてい
る遠隔サーバ１１０２へ信頼性メトリック・データを送り出す。遠隔サーバは、
受け取った信頼性メトリック・データを信頼性メトリックの期待セットと比較す
ることによって、監視コンポーネントによって供給された信頼性メトリック・デ
ータが正しいことを検証する。期待信頼性メトリックは、監視コンポーネントの
範囲内に事前記憶されたデータから監視コンポーネントによって供給されること
も、あるいは、コンピュータ・プラットフォームが共通タイプである場合信頼で
きるサーバ１１０２がそのタイプのコンピュータ・プラットフォームに関する信
頼性メトリックの期待セットを記憶することもできる。いずれの場合でも、信頼
できるサーバ１１０２は、信頼性メトリック期待セットに対する信頼性メトリッ
クの検証のために必要な重いデータ処理を実行し、この検証の結果にデジタル署
名する。トークンデバイスが事前プログラムされている度合いおよび信頼できる
トークンデバイスのデータ処理能力量に応じて、この第３の動作モードには種々
の代替バージョンが存在する。

【０１２１】 ステップ１２００において、前述のように、信頼できるトークンが信頼できる
コンポーネントを認証する。ステップ１２０１において、スマートカードは、コ
ンピュータ・プラットフォームの信頼性メトリックを検証してそれをスマートカ
ードへ報告するように信頼できるコンポーネントに要求する。ステップ１２０２
において、信頼できるコンポーネントは、コンピュータ・プラットフォームの実
行中監視の一部として信頼性メトリック・データを既に入手しているので、その
コンピュータ・プラットフォームに関する証明された信頼性メトリックの期待セ
ットと共に、信頼性メトリック・データをスマートカードへ送る。ステップ１２
０３において、スマートカードは、受け取った信頼性メトリック・データと証明
された信頼性メトリック期待データを計算処理のため信頼できる第三者サーバへ
送る。このメッセージは、スマートカード装置自体の識別も含む。信頼性メトリ
ック・データと証明された信頼性メトリック期待データの信頼できるサーバへの
送信は、当該コンピュータ・エンティティ自体を介して行われ、インターネット
を経由して信頼できる遠隔サーバ１１０２へ送られる。

【０１２２】 ステップ１２０４において、サーバは、信頼性メトリック・データを処理して
、証明された期待信頼性メトリックが実際に認証されていることを検証し、スマ
ートカードから受け取った信頼性メトリック期待データと信頼性メトリック・デ
ータを比較する。これは、重い計算処理ステップであり、信頼できるサーバに適
したものである。ステップ１２０５において、スマートカードから受け取った信
頼性メトリック期待データと信頼性メトリック・データを比較した後、サーバは
、コンピュータ・エンティティを経由してスマートカードへ検証データを送る。
検証データは、サーバのデジタル署名を含む。ステップ１２０６において、スマ
ートカードは、データ署名を含む検証データを受け取り、デジタル署名に従って
検証データを受け入れまたは拒絶する。

【０１２３】 １つの代替的形態において、信頼できるコンポーネントは、直接第三者サーバ
と通信することができる。ステップ１２０２および１２０３の代わりに、信頼で
きるコンポーネントは、信頼できるコンポーネント自体のデジタル署名と共に、
コンピュータ・プラットフォームの測定された信頼性メトリック・セットを第三
者サーバへ送信し(どの第三者サーバがスマートカードカードによって信頼され
ているかを信頼できるコンポーネントが知っているかあるいはどの第三者サーバ
が使用されなければならないかスマートカードが指定する必要がある)、第三者
サーバからこれら信頼性メトリックの検証の結果をデジタル署名と共に受け取る
。第三者サーバは、信頼できるコンポーネントから受け取った信頼性メトリック
・セットを当該信頼できるコンポーネントのタイプに関して取り出した信頼性メ
トリック期待セットと比較し、デジタル署名を追加する。信頼できるコンポーネ
ントは、デジタル署名を受け取った後、デジタル署名と共に信頼性メトリックの
セットをスマートカードへ送る。

【０１２４】 スマートカードの観点から見れば、スマートカードと対話するあらゆるアプリ
ケーションは、グラフィカル・ユーザ・インタフェースであろうと別のアプリケ
ーションであろうと、スマートカードがプラットフォームの信頼できるコンポー
ネントとの対話を要求するかもしれないという事実を認識しなければならない。
スマートカードが第三者コンピュータ・エンティティとの対話を要求する場合、
スマートカードと対話するアプリケーションは、スマートカードがネットワーク
・サーバと対話することを可能にしなければならない。しかしながら、好ましい
実施形態において、スマートカードは、スマートカードがコンピュータ・エンテ
ィティ上で対話しているアプリケーションに依存することなく、コンピュータ・
プラットフォームの信頼性検証データへのアクセスを要求することができなけれ
ばならない。

【０１２５】 例えばトランザクションを認可するようなスマートカードの機能性を使用する
要求をコンピュータ・エンティティのアプリケーションから受け取ると、スマー
トカードは、コンピュータ・プラットフォームの状態の信頼性に関する監視情報
を供給するように監視コンポーネントに要求を始動することができる。スマート
カードと信頼できるコンポーネントの間の通信は、コンピュータ・エンティティ
とスマートカード・トークンデバイスの間の通信に対して責任を持つコンピュー
タ・プラットフォームに常駐するプロトコル・モジュールを介して行われる。Ｐ
Ｃ上のアプリケーションがスマートカードへのアクセスを必要とする時、プロト
コル・スタックがこれらの通信を取り扱う。従って、コンピュータ・エンティテ
ィは、コンピュータ・プラットフォームの信頼性の検査のようなコマンド(コマ
ンドはスマートカードから送られ、コンピュータ・エンティティ・アプリケーシ
ョンから独立している)をフィルタリングし、スマートカードから送られるコマ
ンドに対応することができる。アプリケーションの観点からすれば、コンピュー
タ・エンティティの他の資源とのスマートカードの対話は透過的である。これは
、"smartcards - from security tokens to intelligent adjuncts"(by Boris B
alacheff, Bruno Van Wilder, and David Chan published in CARDIS 1998 Proc
eedings)に記載の技術をＰＣＳＣ技術と組み合わせて使用することによって可能
となる。

【０１２６】 このようにして、ステップ１２０１は、種々の異なるトリガー・イベントのう
ちの１つの結果としてスマートカードによって始動される。１つの可能なトリガ
ーは、監視サブシステムを通して、グラフィカル・ユーザ・インタフェースから
のプラットフォーム信頼性検査要求のスマートカードによる受け取りである。こ
の信号は、ユーザのキー・ストローク入力やポインティング・デバイス入力に応
答してグラフィカル・ユーザ・インタフェースによって生成される。代替的に、
スマートカードは、ローカル・コンピュータ・エンティティまたは遠隔コンピュ
ータ・エンティティ上に常駐するアプリケーションによって生成される機能性へ
のアクセス要求を受け取ることができる。その後の信頼性検証は、基本的に、図
１２に関連して上述されたように進められる。

【０１２７】 理想的には、サーバはスマートカードに結合される。例えば、サーバとスマー
トカードは、インターネット・サービス・プロバイダのような同じベンダによっ
て提供される。例えば、スマートカードがインターネット・サービス・プロバイ
ダによって提供され、スマートカードがコンピュータ・エンティティの信頼性を
認証することができない場合、インターネット・サービス・プロバイダは、その
コンピュータ・エンティティとの通信を拒否することもできるし、あるいは、登
録した加入者だけが利用できるフルセット・サービスではなく、一般的に利用可
能な限定的機能セットを該コンピュータ・エンティティに提供することもできる
。

【０１２８】 本発明に従った１つの特定の形態において、信頼できるコンポーネントの他に
、スマートカードおよびアプリケーションが相互に通信するために必要なその他
のエレメントが、従来アプリケーションに対する基本的に通常の修正によって提
供されることができる。例えば、信頼できるコンポーネントへ信頼性メトリック
検査の実行要求を始動することによってアプリケーションからのポーリング信号
に応答するようにあらかじめプログラムされた従来のスマートカードに、そのよ
うな必要な対話が提供される。

【０１２９】 図１３には、本発明に従ったシステムの可能な第１世代実施形態のコンポーネ
ントの論理的構成が示されている。信頼できるコンポーネント１５００は、コン
ピュータ・プラットフォームから独立し、信頼できる論理的空間に配置されたプ
ロセッサおよびメモリを備える。コンピュータ・プラットフォーム１５０１は、
コンピュータ・プラットフォーム空間１５０１に配置されたプロセッサおよびデ
ータ記憶手段を備える。サブシステム１５０２およびアプリケーション１５０７
はコンピュータ空間１５０１に配置されている。サブシステム１５０２は、アプ
リケーション・インタフェース１５０３、検証アプリケーション１５０４および
スマートカード・インタフェース１５０５を含む。スマートカード・インタフェ
ースは、スマートカード１５０７を受け入れるため、コンピュータ・プラットフ
ォーム空間１５０１にやはり配置されたスマートカード読取装置１５０６と通信
する、アプリケーション・インタフェース１５０３は、ＰＣＩＡスタックを含む
。

【０１３０】 ここで図１４を参照すれば、図１３のシステムの動作の方法が示されている。
ここでの動作は、例えばスマートカード１５０７が、アプリケーションからの機
能性"X"に関する要求に応答して機能性"X"を与えることに先立って、信頼できる
コンポーネントと対話するための動作である。この動作方法において、ＰＣＳＣ
スタックへの呼び出しは、ＰＣＩＡ機能性を透過的に提供するため、ＰＣＩＡス
タックを通して行われる。最良のモードにおいて、ＰＣＳＣスタックは、ＰＣＩ
Ａスタックと機能性を統合する。ステップ１６００において、アプリケーション
が、サブシステム１５０２のアプリケーション・インタフェース１５０３に配置
されたＰＣＳＣスタックを通して、機能性"X"に関する要求をスマートカードに
送り出す。

【０１３１】 ステップ１６０１において、ＰＣＳＣスタックはスマートカードにコマンドを
送り出して、スマートカードから機能性"X"を要求する。ステップ１６０２にお
いて、スマートカードは、コンピュータ・エンティティの信頼性の検証に関する
要求で応答する。ステップ１６０３において、ＰＣＳＣスタックは、ＰＣＩＡ機
能性を通して、要求を受け取り、メッセージが信頼できるコンポーネントへ送ら
れる。別のＰＣＩＡスタックの使用または既存のＰＣＩＡ機能性の使用のいずれ
かによって、メッセージは、信頼性検査を開始するように、信頼できるコンポー
ネントに送られる。これは、アプリケーション・インタフェース１５０３から信
頼できるコンポーネント１５００へ直接送られる。第１の特定の形態において、
検証アプリケーション１５０４およびサブシステム１５０２が、信頼性メトリッ
ク検査を実行するため信頼できるコンポーネントによって使用される。最良モー
ドの実施形態において、信頼できるコンポーネント１５００は、それ自体の範囲
内に、コンピュータ・プラットフォームに関するこれらの信頼性検査を直接実行
する機能性を含む。

【０１３２】 ステップ１５０６において、信頼できるコンポーネントは、(最良モードにお
いてそれ自体第１の実施形態における検証アプリケーションと連係して、) デ
ジタル署名および認証データと共に信頼性検証の結果をスマートカードに送る。
ステップ１６０７において、スマートカードは。デジタル署名と共に信頼性検証
の結果を受け取り、信頼できるコンポーネントを認証するためデジタル署名を検
証し、満足できるものであれば、信頼性の検証の結果を信頼する。この結果に基
づいて、スマートカードは、機能性"X"をアプリケーションに提供するか否かを
決定する。そこで、アプリケーションは処理を進めることができる。スマートカ
ードは、コンピュータ・エンティティの信頼できるコンポーネント上で信頼性チ
ャレンジを実行するように要求することによってコンピュータ・プラットフォー
ムの信頼性を検証する。その結果について満足すれば、このチャレンジはアプリ
ケーションに機能性を提供することを受け入れる。

【図面の簡単な説明】

【図１】本発明の実施形態を実行することができるシステムを示すブロック図で
ある。

【図２】スマートカード読取装置を介してスマートカードおよびモジュール・グ
ループと対話するように構成された信頼できる装置を含むマザーボードを示すブ
ロック図である。

【図３】信頼できる装置の更に詳細を示すブロック図である。

【図４】コンピュータ装置の信頼性メトリックの取得に関係するステップを示す
流れ図である。

【図５】信頼できるコンピュータ・プラットフォームとその信頼性を検証する信
頼できるプラットフォームを含む遠隔プラットフォームとの間の通信を確立する
ことに関連するステップを示す流れ図である。

【図６】本発明の実施形態に従って使用されるユーザ・スマートカードの動作部
分を示すブロック図である。

【図７】スマートカードとホスト・プラットフォームを相互認証するプロセスの
流れ図である。

【図８】第１の使用モデルに従ったスマートカードおよびコンピュータ・エンテ
ィティによって実施される処理ステップの流れ図である。

【図９】コンピュータ・エンティティおよびスマートカードの第２の動作モード
を示す流れ図である。

【図１０】コンピュータ・エンティティを含むインタフェース・モジュールとス
マートカードとの間の通信を示すブロック図である。

【図１１】コンピュータ・エンティティ、トークンデバイスおよび信頼できる遠
隔サーバを含むコンピュータ・システムを示すブロック図である。

【図１２】図１１のシステムの動作モードを示す流れ図である。

【図１３】本発明に従ったシステムの更なる特定の実施形態を示すブロック図で
ある。

【図１４】図１３のシステムの動作を示す流れ図である。

【符号の説明】

１０ コンピュータ・プラットフォーム １９ トークンデバイス、スマートカード ２４ 監視コンポーネント

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＪＰ，ＵＳ (72)発明者 チャン・デイヴィッド アメリカ合衆国、95030、カリフォルニア 州、モンテ・セレノ、メイズ・アヴェニュ ー 16112 Ｆターム(参考） 5B058 CA27 KA02 KA04 KA31 KA35 YA20 5B085 AE01 AE12 AE29 5J104 AA07 AA09 KA02 KA06 LA05 LA06 MA01 NA12 NA35

Claims (44)

【特許請求の範囲】
1. 【請求項１】第１のデータ・プロセッサおよび第１のデータ記憶手段を有する
   計算プラットフォームと、 第２のデータ・プロセッサおよび第２のデータ記憶手段を有し、前記計算プラ
   ットフォームに関する複数のデータ検査を実行するように構成された監視コンポ
   ーネントと、 前記計算プラットフォームおよび前記監視コンポーネントから物理的に独立し
   分離できるトークンデバイスと、 を備えるコンピュータ・システムであって、 前記トークンデバイスが、１つの動作モードにおいて、前記監視コンポーネント
   に信頼性チャレンジを送るように動作し、該信頼性チャレンジに対する満足でき
   る応答を受け取らない限り、該トークンデバイスは該トークンデバイスが実行で
   きる特定のアクションを実行しないようにした、コンピュータ・システム。
2. 【請求項２】前記トークンデバイスが、前記信頼性チャレンジに対する詳細な
   応答を受け取り、受け取った信頼性応答を処理してそれを解読する、請求項１に
   記載のコンピュータ・システム。
3. 【請求項３】該コンピュータ・システムが第三者サーバを更に備え、前記信頼
   性チャレンジに対する応答が該第三者サーバに送られる、請求項１に記載のコン
   ピュータ・システム。
4. 【請求項４】前記監視コンポーネントが、信頼性チャレンジの中で前記トーク
   ンデバイスによって要求されている場合、詳細な信頼性応答を前記第三者サーバ
   に送る、請求項３に記載のコンピュータ・システム。
5. 【請求項５】前記監視コンポーネントが前記トークンデバイスに詳細な信頼性
   応答を報告し、前記詳細な信頼性応答の解読について第三者サーバの援助を必要
   とすれば、前記トークンデバイスが前記信頼性応答を前記第三者サーバへ送る、
   請求項１に記載のコンピュータ・システム。
6. 【請求項６】第三者サーバが、前記トークンデバイスが前記信頼性応答を解読
   することができる形式に前記信頼性応答を簡略化する、請求項１に記載のコンピ
   ュータ・システム。
7. 【請求項７】第三者サーバが、前記トークンデバイスに簡略化された信頼性応
   答を送る、請求項１に記載のコンピュータ・システム。
8. 【請求項８】前記トークンデバイスに対して前記第三者サーバを認証するデジ
   タル署名データを前記簡略化信頼性応答に加えるように動作する、請求項１に記
   載のコンピュータ・システム。
9. 【請求項９】前記監視装置が詳細信頼性応答を前記第三者サーバへ送る請求項
   １に記載のコンピュータ・システム。
10. 【請求項１０】前記トークンデバイスがアクションをとるように要求される、
    請求項１から９のいずれかに記載のコンピュータ・システム。
11. 【請求項１１】前記トークンデバイスがアクションをとるように要求する、請
    求項１から９のいずれかに記載のコンピュータ・システム。
12. 【請求項１２】前記トークンデバイスが、前記信頼性チャレンジに対する前記
    満足できる応答を受け取る場合、前記コンピュータ・プラットフォームにイメー
    ジ・データを送り、該記コンピュータ・プラットフォームが該イメージ・データ
    を表示する、請求項１から１２のいずれかに記載のコンピュータ・システム。
13. 【請求項１３】前記監視コンポーネントがそれ自体の識別性を確立する機能を
    持つ、請求項１に記載のコンピュータ・システム。
14. 【請求項１４】前記監視コンポーネントと前記トークンデバイスとの間を接続
    するインタフェース手段を更に備える、請求項１に記載のコンピュータ・システ
    ム。
15. 【請求項１５】前記監視コンポーネントが、前記コンピュータ・プラットフォ
    ームの状態を記述するデータを含む前記データ検査を前記トークンデバイスに報
    告するように、前記コンピュータ・エンティティが構成される、請求項１に記載
    のコンピュータ・システム。
16. 【請求項１６】前記特定のアクションが、当該システムのユーザに代わって前
    記コンピュータ・プラットフォームにトランザクションを実行する権限を与える
    ことを含む、請求項１に記載のコンピュータ・システム。
17. 【請求項１７】第１のデータ・プロセッサおよび第１のデータ記憶手段を有す
    るコンピュータ・プラットフォームと、第２のデータ・プロセッサおよび第２の
    データ記憶手段を有し前記コンピュータ・プラットフォームに関する複数のデー
    タ検査を実行するように構成された監視コンポーネントと、前記コンピュータ・
    プラットフォームおよび前記監視コンポーネントから物理的に独立し分離できる
    トークンデバイスと、を備えるコンピュータ・システムであって、前記トークン
    デバイスが前記監視コンポーネントに信頼性チャレンジを送り、前記監視コンポ
    ーネントが該信頼性チャレンジに対する応答を生成し、該トークンデバイスが該
    信頼性チャレンジに対する満足できる応答を受け取ると前記コンピュータ・プラ
    ットフォームの正しい動作を検証する検証データを前記コンピュータ・プラット
    フォームに送り、前記コンピュータ・プラットフォームが表示装置に該検証デー
    タを表示する、コンピュータ・システム。
18. 【請求項１８】第１のデータ・プロセッサおよび第１のデータ記憶手段を有す
    るコンピュータ・プラットフォームと、第２のデータ・プロセッサおよび第２の
    データ記憶手段を有し前記コンピュータ・プラットフォームに関する複数のデー
    タ検査を実行するように構成され、それ自体の識別性を確立する機能を有する監
    視コンポーネントと、トークンデバイスおよび前記監視コンポーネントと通信す
    るためのインタフェース手段と、を備えるコンピュータ・エンティティであって
    、前記監視コンポーネントが前記コンピュータ・プラットフォームの状態を記述
    するデータを含む前記データ検査を前記トークンデバイスに報告するように構成
    されるコンピュータ・エンティティ。
19. 【請求項１９】前記トークンデバイスと前記インタフェース手段の間の通信に
    おいて、前記監視コンポーネントが前記コンピュータ・プラットフォームの動作
    状態を記述するデータを取得するため、前記コンピュータ・プラットフォームに
    関する監視動作を実行するように前記監視コンポーネントが起動される、請求項
    １８に記載のコンピュータ・エンティティ。
20. 【請求項２０】前記インタフェース手段が前記監視コンポーネントの範囲内に
    実質的に全体として配置される、請求項１８に記載のコンピュータ・エンティテ
    ィ。
21. 【請求項２１】前記インタフェース手段が前記コンピュータ・プラットフォー
    ムを含む、請求項１８に記載のコンピュータ・エンティティ。
22. 【請求項２２】前記インタフェース手段がＰＣＳＣワークグループＰＣ／ＳＣ
    仕様１.０に従ったＰＣＳＣスタックを含む、請求項１８に記載のコンピュータ
    ・エンティティ。
23. 【請求項２３】前記監視コンポーネントが前記状態データを独立して認証する
    認証データを取得し、該認証データを前記インタフェース手段に提供するように
    構成された検証手段を含む、請求項１８に記載のコンピュータ・エンティティ。
24. 【請求項２４】前記インタフェース手段が能動的プロトコルに従ってデータを
    送受するように構成される、請求項１８に記載のコンピュータ・エンティティ。
25. 【請求項２５】第１のデータ・プロセッサおよび第１のメモリ手段を有するコ
    ンピュータ・プラットフォームならびに第２のデータ・プロセッサおよび第２の
    メモリ手段を有する監視コンポーネントを備えるコンピュータ・エンティティの
    状態の検証を取得する方法であって、前記コンピュータ・エンティティのインタ
    フェースを経由して問い合わせ要求信号を受け取るステップと、受け取った前記
    問い合わせ要求信号に応答して前記監視コンポーネントが前記コンピュータ・プ
    ラットフォームの監視動作を実行するステップと、前記監視コンポーネントが前
    記監視動作の結果を記述する結果メッセージを前記インタフェースへ報告するス
    テップと、を含む方法。
26. 【請求項２６】前記監視動作が、前記監視コンポーネントが前記コンピューテ
    タ・プラットフォームのコンポーネントに関する１つまたは複数のデータ検査を
    実行するステップと、前記監視コンポーネントが前記データ検査と共に認証済基
    準データを報告することができるステップとを含む、請求項２５に記載の方法。
27. 【請求項２７】前記認証済基準データが、前記コンピュータ・プラットフォー
    ムの特定のコンポーネントを測定する時に期待されるべきメトリック・セットを
    含み、前記基準データを認証するエンティティを識別するデジタル署名データを
    含む、請求項２５に記載の方法。
28. 【請求項２８】前記監視動作の検証を報告する前記のステップが、前記監視動
    作の結果を記述する確認信号をトークンデバイスに送るステップを含む、請求項
    ２５に記載の方法。
29. 【請求項２９】前記結果メッセージが前記コンピュータ・エンティティの外部
    にあるトークンデバイスへ前記インタフェースによって伝送される、請求項２５
    に記載の方法。
30. 【請求項３０】前記監視動作の結果が確認データの視覚表示を生成することに
    よって報告される、請求項２５に記載の方法。
31. 【請求項３１】前記監視コンポーネントを識別するデジタル署名データを前記
    結果に加えるステップと、前記インタフェースから前記結果メッセージおよび前
    記デジタル署名データを伝送するステップと、を更に含む請求項２５に記載の方
    法。
32. 【請求項３２】コンピュータ・プラットフォームおよび監視コンポーネントを
    備えるコンピュータ・エンティティの状態の検証を取得する方法であって、アプ
    リケーションがトークンデバイスの機能性へのアクセスを要求するステップと、
    機能性に対するアクセスの前記要求に応答して前記トークンデバイスが前記監視
    コンポーネントから検証データを要求する要求信号を生成するステップと、該検
    証データ要求に応答して前記監視コンポーネントが監視動作の結果を記述する結
    果メッセージを前記トークンデバイスへ報告するステップと、満足できる前記結
    果メッセージの受領によって前記トークンデバイスが前記アプリケーションへ前
    記機能性を提供するステップと、を含む方法。
33. 【請求項３３】前記監視コンポーネントが、前記信頼性チャレンジの中で前記
    トークンデバイスによって要求されていれば、第三者サーバへ詳細な信頼性応答
    を送る、請求項３２に記載の方法。
34. 【請求項３４】前記監視コンポーネントが前記トークンデバイスに詳細な信頼
    性応答を報告し、前記詳細な信頼性応答の解読について第三者サーバの援助を必
    要とすれば、前記トークンデバイスは前記信頼性応答を前記第三者サーバへ送る
    、請求項３２に記載の方法。
35. 【請求項３５】第三者サーバが、前記トークンデバイスが前記信頼性応答を解
    読することができる形式に前記信頼性応答を簡略化する、請求項３２に記載の方
    法。
36. 【請求項３６】第三者サーバが、前記トークンデバイスに簡略化された信頼性
    応答を送る、請求項３２に記載の方法。
37. 【請求項３７】前記トークンデバイスに対して第三者サーバを認証するデジタ
    ル署名データを簡略化信頼性応答に加えるステップを更に含む、請求項３２に記
    載の方法。
38. 【請求項３８】第１のプロセッサ手段および第１のデータ記憶手段を有するコ
    ンピュータ・プラットフォームならびに第２のプロセッサ手段および第２のメモ
    リ手段を有する監視コンポーネントを備えるコンピュータ・エンティティの動作
    の信頼性を第３のデータ・プロセッサおよび第３のメモリ手段を有するトークン
    デバイスによって検査する方法であって、前記コンピュータ・プラットフォーム
    から受け取ったポーリング信号をアプリケーション・プログラムから受け取るこ
    とに応答するように前記トークンデバイスをプログラムするステップと、前記ト
    ークンデバイスが前記コンピュータ・プラットフォームからのポーリング信号を
    受け取るステップと、前記受け取ったポーリング信号に応答して前記トークンデ
    バイスが前記監視コンポーネントによる検証動作を要求する信号を生成するステ
    ップと、前記監視コンポーネントが前記トークンデバイスから受け取った前記信
    号に応答して前記コンピュータ・プラットフォームの検証動作を実行するステッ
    プと、を含む方法。
39. 【請求項３９】データ記憶装置およびコンピュータ・エンティティと通信する
    手段を備え、該コンピュータ・エンティティの状態を検証するトークンデバイス
    であって、前記データ記憶装置が前記コンピュータ・エンティティから状態デー
    タを要求する状態要求メッセージを記憶するように構成される、トークンデバイ
    ス。
40. 【請求項４０】データ・プロセッサを更に備える、請求項３９に記載のトーク
    ンデバイス。
41. 【請求項４１】ＰＣ／ＳＣ仕様１.０に従って動作するポーリング信号に応答
    するように構成され、能動的プロトコルに従った前記ポーリング信号に応答して
    前記コンピュータ・エンティティ上のソフトウェア・スタックによって取り扱わ
    れるコマンドを始動することができる機能を持つ、請求項３９に記載のトークン
    デバイス。
42. 【請求項４２】コンピュータ・エンティティの外部に備わるトークンデバイス
    によって該コンピュータ・エンティティの状態を検証する方法であって、前記ト
    ークンデバイスがポーリング信号を受け取るステップ、前記トークンデバイスが
    前記コンピュータ・エンティティの状態の検証を取得する要求を作成することに
    よって前記ポーリング信号に応答するステップと、前記トークンデバイスが前記
    検証の結果を記述する結果メッセージを受け取るステップと、を含む方法。
43. 【請求項４３】トークンデバイスが監視コンポーネントを使用してコンピュー
    タ・プラットフォームの状態の検証を取得することを可能にする方法であって、
    該監視コンポーネントが、前記コンピュータ・プラットフォームに関する少なく
    とも１つのデータ検査を実行し、それ自体の識別性を確立し、前記少なくとも１
    つのデータ検査の報告を作成する機能を有し、前記トークンデバイスが、データ
    処理能力を持ち、予期された形態で動作し、前記コンピュータ・プラットフォー
    ムおよび前記監視コンポーネントから物理的に分離可能で、暗号化データ処理能
    力を持ち、前記監視コンポーネントが、その識別性を前記トークンデバイスに証
    明し、前記コンピュータ・プラットフォームに関して実行された少なくとも１つ
    のデータ検査について前記トークンデバイスに対する報告を作成する、方法。
44. 【請求項４４】データ・プロセッサおよびメモリ装置を備え、少なくとも１つの
    データ処理または信号送信機能を実行するように構成されたトークンデバイスで
    あって、該トークンデバイスが、外部から信頼性検査データを受け取り、供給さ
    れた前記信頼性検査データが満足できるものであれば、前記機能の１つを実行し
    、受け取った前記信頼性検査データが満足できるものでなければ、前記機能を拒
    絶するように動作する、トークンデバイス。