JP2006216061A - 携帯電話におけるアプリケーション実行用のセキュリティ保護された管理方法 - Google Patents

Abstract

【課題】 携帯電話上で実行されるプログラムによって携帯電話のリソースへアクセスすることをセキュリティ保護する。
【解決手段】アプリケーションが、オペレーティング・システムによって管理される携帯電話１０１のリソースにアクセスするものであって、携帯電話１０１のリソース識別子１１３が、識別可能であり、所有者識別子１１５に関する情報を有するリソースの実行を許可されたまたはされていないアプリケーション識別子テーブル１１４に関連づけられ、該リソースだけがアプリケーションのリストを更新することを許可されており、オペレーティング・システムが、アクセスされている各リソースに対して、アクセスしているアプリケーションに対応する権限を検索、適用し、各アプリケーションが、一意の識別子を含んでいる。
【選択図】図1

Description

本発明は、携帯アプリケーション実行用のセキュリティ保護された管理方法に関するものである。
本発明の分野は、携帯電話の分野であり、より特徴的には、携帯電話のネットワークに接続されたインテリジェント端末の分野である。
「インテリジェント」と呼ばれる端末は、明細書の以下の部分においては、マルチメディア・コンテンツまたはアクティブ・コンテンツをダウンロードすることに適した携帯電話である。
アクティブ・コンテンツとは、携帯電話上で実行することができる、前記携帯電話の機能性を利用することができるプログラムである。
ここでは、対象となっているすべての携帯電話は、インテリジェント端末だと考えられている。
インテリジェント端末によって、さまざまな内部リソースを管理することができ、これらのリソースは、さまざまな拡張ポートまたはダウンロードされたマルチメディア・コンテンツまたはアクティブ・コンテンツからアクセス可能なものであるが、この定義は本発明を限定するものではない。

背景技術として、セキュリティ保護されたコードを実行する環境が知られている。
これらの環境は「仮想計算機」を利用することに基づいており、該仮想計算機とは、携帯電話のオペレーティング・システムの上層である。
この仮想計算機は、それ自体のために書かれた特定のプログラムを実行する。
したがって、仮想計算機は、これらのプログラムを利用することを必要としている。
仮想計算機は、特定のプログラムと携帯電話のオペレーティング・システムの間にある仲介者、したがって、特定のプログラムと携帯電話の機能性の間にある仲介者である。

しかし、一方では、携帯電話に対して仮想計算機を搭載することは、携帯電話の機能性にアクセスする不特定のその他のプログラムを実行することを妨げない。
したがって、仮想計算機によって実行されるセキュリティ・ポリシーは、特定のプログラムに対して一意に定義されているのである。

他方では、このようなポリシーは携帯電話のレベルに留められたままであり、例えばＳＩＭカードとのインタラクションは想定されていない。
このようなセキュリティ・モデルは、例えば、言語およびＪａｖａ（登録商標）仮想計算機に対応したＭＩＤＰ２．０モデルである。

また、背景技術では、ドメインによって管理されるセキュリティ・ポリシーも知られており、各アプリケーションは一つのドメインに属している。
ドメインは、詳細に定義された機能性へのアクセス権限、さらには携帯電話の機能性の全体へのアクセス権限を定義している。
この場合、すべてのアプリケーションは一つのドメインに属していなければならない。
したがって、あるアプリケーションが特定の権限を必要としていれば、新たなドメインを定義し、該アプリケーションに割り当てなければならず、これはつまり、アプリケーションが使用しない機能性も含めて、アプリケーションが実行される携帯電話のすべての機能性について権限を再定義する必要があるということである。
このことは、かなりのメモリ容量を占めることになる。

ドメインによる権限の管理において、権限の更新はドメインによって、つまり前記ドメインに属するすべてのアプリケーションに対して行われる。
したがって、その他のアプリケーションとは独立に特定のアプリケーションに対して権限を更新することは不可能である。

本発明の一つの目的は、携帯電話上で実行されるプログラムによって携帯電話のリソースへアクセスすることをセキュリティ保護することである。

本発明では、これらの問題は識別子を各アプリケーションに関連づけることで解決される。
アプリケーションがアクティブであるとき、該アプリケーションのインスタンスは携帯電話のオペレーティング・システムによって管理される。
この管理は、一般的に、メモリ・コンテキストを通して行われるのだが、該メモリ・コンテキストは、このアプリケーション・インスタンスの現状と、消費されるリソース、用いられる通信システム、所定の瞬間にアプリケーションに接続される親プロセスおよび子プロセスを記述しているものである（リストは網羅的ではなく、本発明を限定するものではない）。
このコンテキストがオペレーティング・システムのエントリ・ポイントであることで、アプリケーション間またはアプリケーション内での優先権と中断を管理するようになっている。
本発明の範囲において、アプリケーションの識別子は、値が定数であるデータであり、アクティブ・アプリケーションの現状インスタンスに対して、オペレーティング・システムによって管理されているメモリ・コンテキストに与えられているデータである。
同一アプリケーションの複数のインスタンスが同時にアクティブである場合には、オペレーティング・システムは複数の異なったメモリ・コンテキストを管理するのだが、このときアプリケーションの識別子の値はコンテキストの全体に対して同一の値を有している。

本発明では、各リソースは明確に識別され、また、アプリケーションがリソースにアクセスしようとするとき、リソースとして識別可能なものである。
このリソースの識別は、暗黙裏とすることができる。
なぜなら、この場合、該識別は、はっきりと識別されたプログラマティック・インタフェース（ＡＰＩ）の使用を通して行われ、あるいは、メモリ領域に明確に含まれるメモリ・アドレスを使用する際には明示的とすることができ、該メモリ領域自体が保護すべきリソースとして識別されている。
リソースという概念のより包括的な定義については後で述べる。
本発明では、各リソースは、アプリケーション識別子テーブルに関連づけられており、このリストにおける各識別子は、リソースに関する権限に関連づけられている。
アプリケーションが携帯電話のリソースまたは機能にアクセスしようとするとき、オペレーティング・システムはリソースに関連づけられたテーブルを走査することで、アプリケーションが識別されているかどうかを判断し、リソースに関連してアプリケーションが所有する権限を抽出するようになっている。
アプリケーション実行の継続は、これらの権限の読み取りに左右される。

本発明において、各リソースは、単一の所有者に関連づけられており、該所有者がリソースに関連づけられたテーブルを変更する権限を有している。

したがって、本発明では、アプリケーションに関連づけられた権限を詳細に定義すること、および、該権限を他のアプリケーションに影響を与えずに更改することができる。

したがって、本発明は、携帯電話上でのアプリケーションの実行用のセキュリティ保護された管理方法を目的とするものであり、携帯電話のリソースにアクセスするアプリケーションがオペレーティング・システムによって管理される方法であって、携帯電話のリソースが識別可能であり、リソースの実行を許可された、またはされていないアプリケーション識別子テーブルに関連づけられており、リソースが所有者を有し、該所有者だけがアプリケーションのリストを更新することを許可されており、オペレーティング・システムがアクセスされている各リソースに対して、アクセスしているアプリケーションに対応する権限を適用し、各アプリケーションが一意の識別子を含んでいることを特徴としている。

好適には、本発明はまた、オペレーティング・システムが動的テーブルまたは一時的なテーブルをアプリケーションの識別子によって管理し、該識別子によって、アプリケーションのそれぞれに対して既に許可されているリソースの使用許可を維持できるようになっていることも特徴としている。

好適には、本発明はまた、オペレーティング・システムが、割り当てられた時間の制限を識別された、あるいは、所定の地理的空間から離脱したことを識別されたアプリケーションに対して、リソースへのアクセス許可を放棄することも特徴としている。

好適には、本発明はまた、オペレーティング・システムのリソースがメモリおよび／または携帯電話のメモリ領域を含んでいることも特徴としている。

好適には、本発明はまた、オペレーティング・システムのリソースが携帯電話用の通信手段を備えていることも特徴としている。

好適には、本発明はまた、リソースの所有者が少なくとも、携帯電話のユーザ、携帯電話の事業者、携帯電話の製造者、およびコンテンツ・プロバイダから構成されるリストにあることも特徴としている。

好適には、本発明はまた、リソースへのアクセスがプログラマティック・インタフェース（ＡＰＩ）のレベルに集中しており、このインタフェースによって、リソースにアクセスしようとしているアプリケーションが要求される権限を有していれば、このリソースへのアクセスが可能になることも特徴としている。

好適には、本発明はまた、リソースに関連づけられたアプリケーションの識別子の各テーブルが、テーブルに挙げられていないアプリケーションに対応する識別子を備えていることで、アプリケーションのデフォルトの権限を定義するようになっていることも特徴としている。

好適には、本発明はまた、デフォルトの権限が同一所有者のリソースへのアクセスに対して定義することができ、この定義が例えば、製造出荷における携帯電話の設定時に実現することができることも特徴としている。

好適には、本発明はまた、電子証明書に対応するエントリを含んだ識別子のテーブルによって、同一の所有者の下に複数の電子証明書のグループを集めることができるようになっていることも特徴としている。

好適には、本発明はまた、リソースへのアクセスが、少なくとも、データまたは実行可能なコードの読み取り、書き込み、変更、破棄、実行という要素を含んだ集合に含まれていることも特徴としている。

好適には、本発明はまた、携帯電話のブート時に、ブートプログラムが識別子のテーブルの完全性と、これらの識別子のテーブルにアクセスするオペレーティング・システムの部分の完全性を検証することも特徴としている。

好適には、本発明はまた、携帯電話のブート時に、ブートプログラムが、携帯電話の制御機能とセキュリティ機能を担ったオペレーティング・システムの部分の完全性を検証し、携帯電話のブートに対するこれらの制御によって、システムだけが、そしてもっぱら製造者のオリジナルのオペレーティング・システムだけが携帯電話にインストールされ、該携帯電話によって利用されることを保証できるようになっていることも特徴としている。

好適には、本発明はまた、リソースへのアクセス権限が、少なくとも以下の要素を含んだ集合に含まれており、該要素が、許可されたアクセス、一度だけ許可されたアクセス、Ｎがパラメータ設定可能である、Ｎ回許可されたアクセス、拒否されたアクセス、一度だけユーザに許可を要求すること、アクセスごとにユーザに許可を要求すること、Ｎがパラメータ設定可能である、Ｎ回のアクセスについて許可を要求すること、一度だけコード入力を要求すること、アクセスごとにコード入力を要求すること、Ｎがパラメータ設定可能である、Ｎ回のアクセスについてコード入力を要求すること、一度だけアクセスを許可するために計算または暗号化試行を要求すること、各アクセスを許可するために計算または暗号化試行を要求すること、Ｎがパラメータ設定可能である、Ｎ回のアクセスを許可するために、計算または暗号化の試行を要求することであることも特徴としている。

好適には、本発明はまた、アプリケーション識別子テーブルがダイナミックサイズを有していることも特徴としている。

好適には、本発明はまた、新規アプリケーションのそれぞれが分析されることで、アプリケーション識別子テーブルを更新するようになっていることも特徴としている。

すなわち、本発明の課題を解決するための手段は、つぎのとおりである。

第１に、
携帯電話におけるアプリケーション実行用のセキュリティ保護された管理方法であり、
アプリケーション（１０８ｃ）が、オペレーティング・システムによって管理される携帯電話のリソース（１０８ａ）にアクセスするものであって、
携帯電話のリソース識別子（１１３）が、識別可能であり、所有者識別子（１１５）に関する情報を有するリソースの実行を許可されたまたはされていないアプリケーション識別子テーブル（１１４）に関連づけられ、
該リソースだけがアプリケーションのリストを更新することを許可されており、
オペレーティング・システムが、アクセスされている各リソースに対して、アクセスしているアプリケーションに対応する権限を検索、適用し、
各アプリケーションが、一意の識別子（ＩＤＡＰ）を含んでいることを特徴とする、携帯電話におけるアプリケーション実行用のセキュリティ保護された管理方法。
第２に、
オペレーティング・システムが、アプリケーションの識別子によって動的で一時的なテーブルを管理し、
該テーブルによって、アプリケーションのそれぞれに対して既に許可されているリソースの使用許可が維持されるようになっていることを特徴とする、上記第１に記載の方法。
第３に、
割り当てられた時間の制限、あるいは所定の地理的空間からの離脱が識別されたアプリケーションに対して、
オペレーティング・システムが、リソースへのアクセス許可を放棄することを特徴とする、上記第２に記載の方法。
第４に、
オペレーティング・システムのリソースが、携帯電話のメモリおよび／またはメモリ領域を含んでいることを特徴とする、上記第１〜上記第３のいずれか一つに記載の方法。
第５に、
オペレーティング・システムのリソースが、携帯電話用の通信手段を備えていることを特徴とする、上記第１〜上記第４のいずれか一つに記載の方法。
第６に、
リソースの所有者が、携帯電話のユーザ、携帯電話の事業者、携帯電話の製造者およびコンテンツ・プロバイダから構成されるリストにあることを特徴とする、上記第１〜上記第５のいずれか一つに記載の方法。
第７に、
リソースへのアクセスが、プログラマティック・インタフェースのレベルに集中しており、
このインタフェースによって、リソースにアクセスしようとしているアプリケーションが要求される権限を有していれば、このリソースへのアクセスを可能にするようになっていることを特徴とする、上記第１〜上記第６のいずれか一つに記載の方法。
第８に、
リソースに関連づけられたアプリケーションの識別子の各テーブルが、アプリケーションのデフォルトの権限を定義するために、テーブルに挙げられていないアプリケーションに対応する識別子を含んでいることを特徴とする、上記第１〜上記第７のいずれか一つに記載の方法。
第９に、
デフォルトの権限が、同一所有者のリソースへのアクセスに対して定義することができ、
この定義が、製造出荷における携帯電話の設定の際に実現することができることを特徴とする、上記第１〜上記第８のいずれか一つに記載の方法。
第１０に、
電子証明書に対応するエントリを含む識別子のテーブルによって、同一の所有者の下に複数の電子証明書のグループを集めることができるようになっていることを特徴とする、上記第１〜上記第９のいずれか一つに記載の方法。
第１１に、
リソースへのアクセスが、データまたは実行可能なコードの読み取り、書き込み、変更、破棄、実行という要素を含む集合に含まれることを特徴とする、上記第１〜上記第１０のいずれか一つに記載の方法。
第１２に、
携帯電話のブート時に、ブートプログラムが、識別子のテーブルの完全性と、これらの識別子のテーブルへアクセスするオペレーティング・システムの部分の完全性を検証することを特徴とする、上記第１〜上記第１１のいずれか一つに記載の方法。
第１３に、
携帯電話のブート時に、ブートプログラムが、携帯電話の制御機能およびセキュリティ機能を担うオペレーティング・システムの部分の完全性を検証し、これらの携帯電話のブート制御によって、製造者のオリジナルのオペレーティング・システムだけが、携帯電話にインストールされ、該携帯電話によって用いられることを保証できるようになっていることを特徴とする、上記第１〜上記第１２のいずれか一つに記載の方法。
第１４に、
リソースへのアクセス権限が、以下の要素を含む集合に含まれ、
該要素が、許可されたアクセス、一回だけ許可されたアクセス、Ｎがパラメータ設定可能である、Ｎ回許可されたアクセス、拒否されたアクセス、一回だけユーザに許可を要求すること、アクセスごとにユーザに許可を要求すること、Ｎがパラメータ設定可能である、Ｎ回のアクセスについてユーザに許可を要求すること、一回だけコード入力を要求すること、アクセスごとにコード入力を要求すること、Ｎがパラメータ設定可能である、Ｎ回のアクセスについてコード入力を要求すること、一回だけアクセスを許可するために計算または暗号化試行を要求すること、各アクセスを許可するために計算または暗号化試行を要求すること、Ｎがパラメータ設定可能である、Ｎ回のアクセスを許可するために計算または暗号化試行を要求することである、上記第１〜上記第１３のいずれか一つに記載の方法。
第１５に、
アプリケーション識別子テーブルが、ダイナミックサイズを有していることを特徴とする、上記第１〜上記第１４のいずれか一つに記載の方法。
第１６に、
新規アプリケーションのそれぞれが分析されることで、アプリケーション識別子テーブルを更新するようになっていることを特徴とする、上記第１〜上記第１５のいずれか一つに記載の方法。
第１７に、
携帯電話にインストールされている製造者のアプリケーションが、携帯電話の使用に充てられたすべてのメモリ領域を読み出し、書き込み、消去する権限を有していることを特徴とする、上記第１〜上記第１６のいずれか一つに記載の方法。

本発明によると、携帯電話上で実行されるプログラムによって携帯電話のリソースへアクセスすることをセキュリティ保護することが可能になる。

本発明は、以下に続く説明を読むことにより、また該説明に伴う図面を検討することによってより良く理解されるものである。該図面は例示として示されるものであり、本発明をまったく限定するものではない。図面は以下のことを表している。

図１は、本発明による方法の実行を可能にする手段を表す図である。
図２は、本発明による方法の過程を表す図である。

図１は、アンテナ１０３を介して携帯電話ネットワーク１０２に接続された携帯電話１０１を表している。
該アンテナ１０３は、携帯電話ネットワーク１０２と携帯電話１０１の内部バス１０５の間でインタフェース回路１０４に接続されている。

また、携帯電話１０１は、マイクロプロセッサ１０６、画面１０７、プログラムメモリ１０８、ブートメモリ１０９および識別子テーブルメモリ１１０を含んでいるが、これに限定されるわけではない。
ここで、マイクロプロセッサ１０６、画面１０７、プログラムメモリ１０８、ブートメモリ１０９および識別子テーブルメモリ１１０は、内部バス１０５によって相互に接続されている。
携帯電話１０１は、キーボード、マイクのような図示していないその他の装置も含んでいるが、リストは網羅的ではない。

機器を動作させるとき、該動作は、この機器のマイクロプロセッサ１０６によって行われる。
該マイクロプロセッサ１０６は、前記機器のプログラムメモリ１０８に登録された指示コードによって命令されている。
また、アプリケーションを動作させることもある。
これは、アプリケーションを構成する指示コードの一部が、マイクロプロセッサ１０６によって実行されることを意味している。

ブートメモリ１０９は、指示コードを含んでいる。
該指示コードは、携帯電話１０１でマイクロプロセッサ１０６によって実行される。
実践的には、ＲＯＭまたはＰＲＯＭが対象となるのだが、このことは、そこに登録されている指示コードの改変を非常に難しくし、専門家に委ねるものとしている。

プログラムメモリ１０８は、携帯電話１０１のプログラムメモリである。
本発明では、プログラムメモリ１０８が、３つの領域に分けられている。
第１にリソース領域１０８ａ、第２にオペレーティング・システム領域１０８ｂ、より特徴的にはリソースへのアクセスを管理する領域、第３に携帯電話１０１のユーザによって利用可能なアプリケーション領域１０８ｃである。
リソース領域１０８ａは、一般的に「ファームウェア」と呼ばれるものに対応しており、物理リソースへのアクセス・ドライバを含んでいる。

ここでは、リソースは一般的概念である。
実践的には、物理リソース、携帯電話１０１の機能、あるいは、一つまたは複数のオブジェクトが対象となる。

物理リソースは、携帯電話１０１のメモリ領域とすることができる。
この領域は、携帯電話１０１の中、携帯電話１０１の機能を記憶し、または拡張するための着脱可能な構成要素の中、あるいは携帯電話１０１に接続されたＳＩＭ／ＵＳＩＭカード上にある。
携帯電話１０１に記憶されたマルチメディア・コンテンツの場合、リソースは、これらのマルチメディア・コンテンツの記憶領域として、または、それぞれ一意のコンテンツに対応した複数の領域として定義することができる。
また、リソースは、バス上のアドレスレンジとして書き込むこともできる。

さらに、リソースは、機能性として捉えることもできる。
そのような機能性とは、例えば、メモリ領域の読み出し、または、書き込み、拡張ポート（赤外線、ブルー・トゥース、シリアル接続などであるが、リストは網羅的ではない）への読み出し、または、書き込み、メモリのアドレスレンジまたはプログラマティック・インタフェース（ＡＰＩ）を通してコプロセッサまたはアクティブ・コンポーネントの機能性を用いること、ＳＭＳ、ＭＭＳ、メッセージ、ｅメールを読み取り、書き込み、送信し、あるいは受信すること、携帯電話のＩＭＥＩを読み込むこと、携帯電話が接続されている基地局の無線識別子を読み込むこと、どのような地理的座標の取得システムを用いていても（例えばＧＰＳシステムによるプログラマティック・インタフェースを通して）携帯電話の地理的位置を読み込むこと、携帯電話の電話帳（実質的にメモリ領域に対応する電話帳）を読み取り、または、書き込むこと、画面上にオブジェクトを表示し、または、消去すること、ＳＩＭ／ＵＳＩＭカードに命令を送信することなどであるが、リストは網羅的ではない。

また、リソースは、一つまたは複数の異なったオブジェクト（電話帳、電話帳のエントリ、カレンダーのデータ、一つまたは複数のゲーム、音楽作品、映画などであるが、このリストは本発明を限定するものではない）に対応することができる。

さらに、リソースは、プログラマティック・インタフェースと呼ぶことができるものを構成することができる。
プログラマティック・インタフェースとは、機能の集合であり、該機能はアプリケーションによって実行することができる。
本発明の実施例では、集中インタフェースが、携帯電話のリソースへのアクセスを可能にするすべての機能を統合している。
集中インタフェースの機能を実行すること以外には、リソースへアクセスするアプリケーションのための手段は存在しない。

プログラムメモリ１０８は、リソース領域１０８ａの大半を含んでいるオペレーティング・システムに対応している。
ここでは、オペレーティング・システムがリソースへのアクセス権限を検証するモジュール１１１を含んでいることを明示するために、該領域は分離されている。

アプリケーション領域１０８ｃは、携帯電話１０１にインストールされたアプリケーションの指示コードを含んでいる。
アプリケーションは、例えば予定表、計算機、メッセージ・クライアント（ＳＭＳ、ＭＭＳ、電子メールなど）、ゲーム、単色またはマルチメディアのビューアなどであるが、リストは網羅的ではない。
各アプリケーションは、アプリケーションの識別子によって識別される。

プログラムメモリ１０８の表示方法は、携帯電話のリソースへアクセスしようとしているアプリケーションが、オペレーティング・システムを介して、したがってリソースへのアクセス権限を検証するモジュール１１１を介してアクセスを行うことを示している。各リソースはリソース識別子によって識別される。

プログラムメモリである識別子テーブルメモリ１１０は、レコード１１２．１〜１１２．Ｎに細分化され、各レコードはリソース識別子１１３によって識別されている。
また、レコードはアプリケーション識別子１１４ａを権限１１４ｂに関連づけるアプリケーション識別子テーブル１１４も含んでいる。
権限は、例えば、読み取り、書き込み、許可要求に従ったアクセス、コード入力に従ったアクセスである。

アプリケーション識別子テーブル１１４におけるレコード１１２は、アプリケーションが含むアプリケーションの識別子の数に応じて変動可能なサイズをしている。
このようなアプリケーション識別子テーブル１１４は、必要があれば拡大される。
このことによって、携帯電話１０１のメモリの効果的な管理が可能になる。
実際、新たな権限を登録するために、アプリケーション識別子テーブル１１４が小さすぎれば、該アプリケーション識別子テーブル１１４は動的に拡大される。

また、アプリケーション識別子テーブル１１４のレコードは、デフォルトの権限を含んだフィールド１１６も含んでいる。
これらの権限は、リソースにアクセスしようとするアプリケーションが、リソースに対応する識別子テーブルメモリ１１０のレコード内にある特定の識別子によって書き込まれていないときに適用される。

本発明の変形例では、レコード１１２は、所有者識別子１１５も含んでいる。
所有者識別子１１５は、証明書による、アルファベットと数字からなる任意の文字、あるいは、リソースのコンテンツのデジタル署名またはアプリケーションのデジタル署名である。
こうして取得された署名は、署名の取得を可能にした証明書のパブリックな部分に関連づけられる
このように、所有者の同一アイデンティティによって、署名を検証し、確認することが可能になっている。

図２は、予備過程２０１を示している。
該予備過程２０１において、携帯電話１０１のユーザは、該携帯電話１０１の電源をオンにしている。
このとき、マイクロプロセッサ１０６は、ブートメモリ１０９に登録されている指示コードを実行する。
本発明の変形例では、ブートメモリ１０９の指示コードによって、モジュール１１１と識別子テーブルメモリ１１０を検証することが可能になっており、例えば、全体の制御またはコードの出所の証明が付いた完全性の暗号化が有効にされ、携帯電話の製造者がモジュール１１１および識別子テーブルメモリ１１０の実行の起点であることを確立できるようになっている。
このことによって、携帯電話１０１のリソースへのアクセス・ポリシーが改ざんされていないことを保証することができる。

予備過程２０１から、携帯電話１０１の使用過程へと移行するのだが、該過程にはアプリケーションのブート過程２０２が含まれる。
例えば、携帯電話１０１が含んでいる電話帳の閲覧アプリケーションのブートである。
実践的には、このような電話帳は、携帯電話１０１のメモリ領域に対応している。

いったんアプリケーションがブートされると、該アプリケーションは、アクセス試行過程２０３において、携帯電話１０１の一つまたは複数のリソースへのアクセスを試みようとする。
アプリケーションがリソースへアクセスしようとするとき、このアクセス試行は、モジュール１１１によって中断される。
中断時に、モジュール１１１は、識別子ＩＤＡＰを介してアプリケーションを認識し、ＩＤＲを介して、前記アプリケーションがアクセスしようとしているリソースを認識する。

アクセス試行過程２０３では、モジュール１１１は複数の動作を行う。
レコード検索過程２０４では、モジュール１１１は識別子テーブルメモリ１１０の中で識別子ＩＤＲに対応するレコードを検索する。
いったん、このレコード、例えば１１２．１が見つかると、レコード１１２．１のアプリケーション識別子テーブル１１４において、識別子ＩＤＰに対応するアプリケーションを検索するアプリケーション検索過程２０５に移行する。

このアプリケーション検索過程２０５の検索が成功すると、テーブル走査過程２０６に移行し、そうでなければ識別証明書読込過程２０７に移行する。

アプリケーション検索過程２０５は、アプリケーション識別子テーブル１１４の列の内容が識別子ＩＤＡＰに対応する行を見つけるまで、またはアプリケーション識別子テーブル１１４の終わりまでアプリケーション識別子テーブル１１４を連続的に走査することからなる。
このことによって、それぞれ、アプリケーション識別子テーブル１１４の中で行を決定すること、または、アプリケーション識別子テーブル１１４に識別子ＩＤＡＰがないと判断を下すことが可能になる。

テーブル走査過程２０６では、モジュール１１１は、アプリケーション検索過程２０５で決定された行に対応するアプリケーション識別子テーブル１１４の列の内容を読み込む。
権限の読み取り過程ということである。
テーブル走査過程２０６から、権限適用過程２１０に移行する。

識別証明書読込過程２０７では、モジュール１１１はアプリケーションに関連づけられた識別証明書を読み込もうとする。
この識別証明書は、アプリケーションの識別子と同様に、アプリケーションに登録されている。
このような識別証明書が存在していれば証明書有効性検証過程２０８に移行し、存在していなければデフォルト適用過程２０９に移行する。

証明書有効性検証過程２０８では、モジュール１１１は証明書の有効性の検証を開始する。
このため、携帯電話１０１は事前に登録された一定数の証明書を含んでおり、該証明書とは、例えば、ＳＩＭカード内の事業者の証明書、ブートコード内の製造者の証明書、および携帯電話１０１またはＳＩＭカード内のコンテンツ・プロバイダの証明書である。
アプリケーションの証明書は、有効となるために、携帯電話１０１に認識されている証明書の一つと適合可能なものでなければならない。
この適合性は、例えばアプリケーションの証明書のキーに基づく乱数の暗号化によって検証されるのだが、携帯電話１０１に認識されている証明書の一つによってこの乱数を復号化することができる。

変形例において、アプリケーションは、該アプリケーションが有する証明書に関連づけられた署名も含んでいる。
この署名は電子署名であり、該電子署名は、証明書のプライベート・キーおよびアプリケーションのコンテンツ、つまり該署名を構成する指示コードに基づいて実現された電子署名である。
したがって、検証は、証明書のパブリック・キーおよびアプリケーションのコンテンツに基づいて行われる。

証明書が有効であれば、モジュール１１１はアプリケーションのコンテンツの証明書を求めてアプリケーション識別子テーブル１１４を走査し、このことによって、アプリケーションの識別子に対するときのように、アプリケーション識別子テーブル１１４の中の行を決定し、権限を読み込むことが可能になる。
この変形例では、レコード１１２．ｘはテーブルを含み、該テーブルは証明書をリソースへのアクセス権限に関連づけており、該リソースはリソース識別子１１３のフィールドの内容によって識別されている。
この関連づけは、証明書によって、アプリケーションのコンテンツの署名を通して行われる。

証明書が有効であれば、証明書有効性検証過程２０８の後に権限適用過程２１０が続き、有効でなければ、証明書有効性検証過程２０８の後にデフォルト適用過程２０９が続く。

どのようなものであれ、いくつかの手段でもアプリケーションを識別することができなければ、モジュール１１１はデフォルト適用過程２０９に達する。
この場合、適用される権限はデフォルトの権限となるのだが、該権限はフィールド１１６の内容に対応している。

本発明の変形例では、デフォルトの権限はリソースの所有者に応じて定義される。
フィールド１１６が、アプリケーションのアクセスしようとするリソースについて登録されていないときには、内部バス１０５に接続されたメモリに登録され、デフォルトの権限を所有者に関連づけるデフォルトテーブル１１８がある。
適用すべき権限は、アクセスしなければならないリソースの所有者識別子１１５に応じて、このデフォルトテーブル１１８の中で検索される。
このデフォルトテーブル１１８は、例えば、携帯電話１０１の製造時に与えられているものである。
該デフォルトテーブル１１８は、後で更新することもできる。

デフォルトの権限を決定することは、変形例において、アプリケーションに付けられた証明書またはアプリケーションの所有者に基づいて行うことができる。
この場合、アプリケーションは、証明書または所有者の識別子を含んでいる。
携帯電話１０１のメモリ１１９は、内部バス１０５に接続されており、証明書および／または所有者をデフォルトの権限に関連づけるテーブルを含んでいる。

本発明の変形例では、メモリ１１９または図示していないその他のメモリによって、複数の証明書をマスターと呼ばれる証明書に関連づけることが可能になっている。
このマスター証明書は、所有者に、したがって関連づけられた権限に対応している。
特に、このようにマスター証明書を介して識別された所有者は、証明書に関連づけられた権限を変更することができ、該証明書自体もマスター証明書に関連づけられている。

デフォルト適用過程２０９から、権限適用過程２１０に移行する。

権限適用過程２１０では、モジュール１１１は、テーブル走査過程２０６、証明書有効性検証過程２０８またはデフォルト適用過程２０９の一つで読み込まれた権限に応じて、リソースへのアクセスを要求したアプリケーションに応答する。

したがって、この応答は、許可されたアクセス、拒否されたアクセス、ユーザへ許可を要求すること、コード入力を要求すること、暗号化試行を要求することである。

アクセスは、読み取り、書き込み、変更、破棄、実行の点で詳細に許可することができる。

ユーザへの許可の要求は、画面１０７に表示されるメッセージとして現れる。
このメッセージは、「アプリケーションＡｐがＲにアクセスしようとしています。許可しますか：はい／いいえ」というタイプである。

ユーザへのコードの要求は、画面１０７に表示されるメッセージとして現れる。
このメッセージは、「アプリケーションＡｐがＲにアクセスしようとしています。コードを入力してください」というタイプである。

暗号化試行の場合、ユーザの許可の要求はなく、暗号化試行への応答がモジュール１１１の試行に一致していれば、携帯電話１０１自体がアプリケーションのアクセス許可を管理する。

これらのメッセージへの応答によって、アプリケーション実行の継続が判断される。
換言すれば、これらの質問に対する応答がイエス、正しいコードであり、あるいは、暗号化試行が有効であれば、アクセスが許可され、そうでなければアクセスは拒否される。

本発明の変形例では、アプリケーションは、パラメータ設定可能なアクセス回数Ｎについて許可することができる。

アクセス試行過程２０３から、アプリケーション実行の後続する継続過程２１１に移行する。
この継続過程２１１では、アプリケーションは、該アプリケーション自体のリソースへのアクセス要求に関連してモジュール１１１の応答を受信する。
応答が肯定であれば、実行が通常通りに続き、そうでなければ実行は中断される。

本発明の変形例では、モジュール１１１のコンポーネントは許可に関連するコンテキストを保存、維持するのだが、該許可は、前記アプリケーションまたはアプリケーションのインスタンスがリソースへアクセスするように与えられていることで、リソースへのアクセス権限を常にテストしなくてもよいように、システムのパフォーマンスを向上させるようになっている。
したがって、テーブル１１７の管理があるのだが、該テーブル１１７は、内部バス１０５に接続されたメモリ１１９に登録され、ＩＤＡＰによってインデックス化された許可の一時的で動的なものであり、あるいは、アプリケーションが複数回インスタンスを作成されている場合には、ＩＤＡＰとインスタンスの識別によってインデックス化されているものである。
テーブル１１７は、例えば、アクセス試行過程２０３で行われた質問の結果を保存しているキャッシュ・メモリである。
したがって、既に処理された質問に対する応答を得るために識別子テーブルメモリ１１０にアクセスすることは有用ではなくなる。
もう一つの実施例では、メモリのテーブル１１７は、識別子テーブルメモリ１１０の一部のコピーであるが、前記部分はアプリケーション識別子テーブル１１４の部分に対応しており、テーブルのこれらの部分は既に走査されたものである。

もう一つの変形例では、リソースへのアクセス権限は、一時的なテーブルに記憶され、リソースの解放時に放棄される。

さらなるもう一つの変形例では、アクセスの許可は、所定の使用期間に対して割り当てることができ、リソースの解放時または割り当てられた期間の期限がきたときに放棄することができ、この期間の定義は携帯電話１０１のすべてのリソースについて全体的なものとすること、アプリケーションごとに特定のもの、アクセスされたリソースごとに特定のものとすることができる。
一つまたは複数のリソースの使用時間の計算は、タイム・カウンタを利用して、リソースによってローカルに、アプリケーションによってローカルに、アプリケーションおよびリソースによってローカルに行うことができ、あるいは、アプリケーションによってリソース全体に対してグローバルに、リソースによってアプリケーション全体に対してグローバルに、あるいはアプリケーション全体およびリソース全体に対してグローバルに行うことができる。
この変形例では、例えば、質問回数において、または地理的に一時的であるような有効性条件を質問の結果のそれぞれに関連づけることでテーブル１１７が用いられる。
有効性条件の期限がきれるとすぐに、テーブル１１７の対応するエントリが削除され、再び識別子テーブルメモリ１１０を走査しなければならない。

もう一つの変形例では、アクセス許可とアクセス権限は所定の地理的空間について割り当てることができ、携帯電話が地理的空間によって規定された条件から出ることは、自動的にリソースの解放を引き起こす。
この地理的空間に関連づけられた使用条件は、使用期間の定義と同様の仕方で、つまり、複数のリソースおよび／または複数のアプリケーションに対して、リソースおよび／またはアプリケーションによってローカルまたはグローバルに規定することができる。

本発明の変形例では、所定の回数Ｎのアクセス許可は、使用期間の定義と同様の仕方で、つまり、複数のリソースおよび／または複数のアプリケーションに対して、リソースおよび／またはアプリケーションによってローカルまたはグローバルに与えることができる。

識別子テーブルメモリ１１０自体がリソースである限り、そのアクセスは、とりわけ変更におけるアクセスは同一の許可メカニズムに従う。
ここでは、メモリ、例えばアプリケーション識別子テーブル１１４が複数のリソースに対応することができることに注意すべきであり、該複数のリソースとは、ネットワーク事業者の機能性に対応するレコードを統合するリソース、ユーザの機能性に対応するレコードを統合するリソース、携帯電話の製造者の機能性に対応するレコードを統合するリソースそしてコンテンツ・プロバイダの機能性に対応するレコードを統合するリソースである。
これらのリソースのそれぞれは、各々、ネットワーク事業者、ユーザ、オペレーティング・システムおよびコンテンツ・プロバイダによってしか実行することのできない特殊なアプリケーションによって更新される。

本発明の変形例では、アプリケーション識別子テーブル１１４のレコードは、所有者識別子１１５のフィールドを含んでいる。
この変形例では、アプリケーション識別子テーブル１１４のレコードの内容を変更しようとするアプリケーションは、前記アプリケーションおよびアプリケーション識別子テーブル１１４のレコードが同一の所有者を有しているときにしか変更を行えない。

これらのセキュリティ・メカニズムによって、これらのリソースの所有者によるリソースの細分化を可能にすることで、携帯電話１０１のセキュリティ・ポリシーを効果的に管理できるようになっており、これはつまり、リソースの所有者だけがこのリソースへのアクセス権限を変更することができるということである。

これらのメカニズムによって、使用権限の管理において大きな柔軟性が可能となるのだが、それは、オペレーティング・システムによって識別され、モジュール１１１によって管理されるアプリケーションを、携帯電話のリソースとして識別することもできるからであり、このことは特に、ゲームのダウンロードの枠組みにおいて当てはまる。
制限された権限のついたアプリケーションであると同時にリソースでもあるゲームは、コピーや乱用に対して保護されていなければならない。

このように、シリアル・インタフェース（例えばブルー・トゥース）を介してデータを携帯電話１０１に導入しようとするアプリケーションは、あるメモリ領域に書き込むことを許可されたアプリケーションのリストの中、および、シリアル・インタフェースを介して受信されたデータを受信するメモリ・バッファに対応するメモリ領域を読み込むことを許可されたアプリケーションのリストの中にあることが必要である。

例えばシリアル・インタフェースを介して携帯電話１０１にあるデータを取り出そうとするアプリケーションは、あるメモリ領域に書き込むことを許可されたアプリケーションのリストの中にある必要があり、該メモリ領域は、シリアル・インタフェースを介してデータを送信するメモリ・バッファに対応している。
変形例では、シリアル・インタフェース・モジュールはリソースであり、データを送信しようとするアプリケーションは、シリアル・インタフェース・モジュールを実行することを許可されたアプリケーションのリストの中になければならない。
この実施例では、シリアル・インタフェースを介してデータを送信しようとするユーザはアプリケーションを用いなければならないのだが、該アプリケーションは、一方ではこれらのデータの読み取りを許可されたもの、つまり、アプリケーションがこれらのデータまたはリソースに登録された権限を有するものとなっており、他方では、シリアル・インタフェースを介してデータを送信することを許可されたものである。
ここでは、シリアル・インタフェースは例示として選択されており、Ｗｉｆｉ、赤外線、あるいは拡張外部メモリ（ひいては携帯電話の外部バス）といったさまざまな可能性のように、他の通信インタフェースを本発明の例証として用いることができる。
このことは、特に、マルチメディア作品の保護に対して有利である。
実際、作品が携帯電話から抽出されることを防ぐためには、作品の再生アプリケーションが、スピーカおよび／または画面を介するとき以外に作品を再生することを許可しないようにするだけで十分である。
同様に、作品がリソースとして識別されれば、再生アプリケーションだけが該リソースにアクセスし、変更することができるようにし、ファイルの管理システムはデジタル作品を操作することを許可されなくなっており、これらの作品に対するすべてのファイル操作は再生アプリケーションを通してしか行えなくなる。
デジタル権限の光学的管理では、再生アプリケーションが大規模に配布され、このアプリケーションが複数の電子証明書（ディスクまたは映画の制作者による証明書）に関連づけられていると考えられるときには、デジタル作品を、アプリケーションまたは携帯電話に認識されている電子証明書に関連づけられたリソースとして定義することは、アプリケーションだけがこれらの作品にアクセスできることを意味することとなる。
この枠組みでは、アプリケーションおよびリソース（デジタル・エンコードされた作品）の所有者は、コンテンツ・プロバイダであるため、携帯電話のユーザ、事業者、製造者、その他のコンテンツ・プロバイダは、このアプリケーションおよびリソース（デジタル・エンコードされた作品）に関連づけられた権限を改ざんすることができない。

本発明の変形例では、携帯電話にインストールされている製造者のアプリケーションは、携帯電話の使用に充てられたすべてのメモリ領域を読み取り、書き込み、そして消去する権限を有している（メモリ領域の消去またはクリーンアップ）。
本発明の変形例では、このアプリケーションのユーザの認証を実施することができる。

本発明の利用を最適化するために、携帯電話に新規アプリケーションをインストールする際には、このアプリケーションが分析されることで、該アプリケーションにおいて、携帯電話のリソースに対するすべての呼び出しを検出するようになっている。
このとき、新規アプリケーションの識別子は、デフォルトの権限に応じて、あるいは携帯電話のユーザに提示される質問への応答に応じて、識別子のテーブルに登録される。
したがって、アプリケーションを分析するアプリケーションは、権限の管理に対応しているリソースにアクセスするために要求される権限を有している。
実際、このアプリケーションは、オペレーティング・システムの一部をなしているものである。

本発明の変形例では、携帯電話１０１はプログラムを含んでおり、該プログラムは製造者によってインストールされており、携帯電話のすべてのメモリ領域を読み取り、書き込み、そして消去することができる。
このようなプログラムは、例えばリセット用プログラムである。

本発明による方法の実行を可能にする手段を表す図である。 本発明による方法の過程を表す図である。

符号の説明

１０１ 携帯電話
１０２ 携帯電話ネットワーク
１０３ アンテナ
１０４ インタフェース回路
１０５ 内部バス
１０６ マイクロプロセッサ
１０７ 画面
１０８ プログラムメモリ
１０８ａ リソース領域
１０８ｂ オペレーティング・システム領域
１０８ｃ アプリケーション領域
１０９ ブートメモリ
１１０ 識別子テーブルメモリ
１１１ モジュール
１１２ レコード
１１３ リソース識別子
１１４ アプリケーション識別子テーブル
１１４ａ アプリケーション識別子
１１４ｂ 権限
１１５ 所有者識別子
１１６ フィールド
１１７ テーブル
１１８ デフォルトテーブル
１１９ メモリ
２０１ 予備課程
２０２ ブート過程
２０３ アクセス試行過程
２０４ レコード検索過程
２０５ アプリケーション検索過程
２０６ テーブル走査過程
２０７ 識別証明書読込過程
２０８ 証明書有効性検証過程
２０９ デフォルト適用過程
２１０ 権限適用過程
２１１ 継続過程

Claims (17)

1. 携帯電話におけるアプリケーション実行用のセキュリティ保護された管理方法であり、
   アプリケーションが、オペレーティング・システムによって管理される携帯電話のリソースにアクセスするものであって、
   携帯電話のリソース識別子が、識別可能であり、所有者識別子に関する情報を有するリソースの実行を許可されたまたはされていないアプリケーション識別子テーブルに関連づけられ、
   該リソースだけがアプリケーションのリストを更新することを許可されており、
   オペレーティング・システムが、アクセスされている各リソースに対して、アクセスしているアプリケーションに対応する権限を検索、適用し、
   各アプリケーションが、一意の識別子（ＩＤＡＰ）を含んでいることを特徴とする、携帯電話におけるアプリケーション実行用のセキュリティ保護された管理方法。
2. オペレーティング・システムが、アプリケーションの識別子によって動的で一時的なテーブルを管理し、
   該テーブルによって、アプリケーションのそれぞれに対して既に許可されているリソースの使用許可が維持されるようになっていることを特徴とする、請求項１に記載の方法。
3. 割り当てられた時間の制限、あるいは所定の地理的空間からの離脱が識別されたアプリケーションに対して、
   オペレーティング・システムが、リソースへのアクセス許可を放棄することを特徴とする、請求項２に記載の方法。
4. オペレーティング・システムのリソースが、携帯電話のメモリおよび／またはメモリ領域を含んでいることを特徴とする、請求項１〜請求項３のいずれか一つに記載の方法。
5. オペレーティング・システムのリソースが、携帯電話用の通信手段を備えていることを特徴とする、請求項１〜請求項４のいずれか一つに記載の方法。
6. リソースの所有者が、携帯電話のユーザ、携帯電話の事業者、携帯電話の製造者およびコンテンツ・プロバイダから構成されるリストにあることを特徴とする、請求項１〜請求項５のいずれか一つに記載の方法。
7. リソースへのアクセスが、プログラマティック・インタフェースのレベルに集中しており、
   このインタフェースによって、リソースにアクセスしようとしているアプリケーションが要求される権限を有していれば、このリソースへのアクセスを可能にするようになっていることを特徴とする、請求項１〜請求項６のいずれか一つに記載の方法。
8. リソースに関連づけられたアプリケーションの識別子の各テーブルが、アプリケーションのデフォルトの権限を定義するために、テーブルに挙げられていないアプリケーションに対応する識別子を含んでいることを特徴とする、請求項１〜請求項７のいずれか一つに記載の方法。
9. デフォルトの権限が、同一所有者のリソースへのアクセスに対して定義することができ、
   この定義が、製造出荷における携帯電話の設定の際に実現することができることを特徴とする、請求項１〜請求項８のいずれか一つに記載の方法。
10. 電子証明書に対応するエントリを含む識別子のテーブルによって、同一の所有者の下に複数の電子証明書のグループを集めることができるようになっていることを特徴とする、請求項１〜請求項９のいずれか一つに記載の方法。
11. リソースへのアクセスが、データまたは実行可能なコードの読み取り、書き込み、変更、破棄、実行という要素を含む集合に含まれることを特徴とする、請求項１〜請求項１０のいずれか一つに記載の方法。
12. 携帯電話のブート時に、ブートプログラムが、識別子のテーブルの完全性と、これらの識別子のテーブルへアクセスするオペレーティング・システムの部分の完全性を検証することを特徴とする、請求項１〜請求項１１のいずれか一つに記載の方法。
13. 携帯電話のブート時に、ブートプログラムが、携帯電話の制御機能およびセキュリティ機能を担うオペレーティング・システムの部分の完全性を検証し、これらの携帯電話のブート制御によって、製造者のオリジナルのオペレーティング・システムだけが、携帯電話にインストールされ、該携帯電話によって用いられることを保証できるようになっていることを特徴とする、請求項１〜請求項１２のいずれか一つに記載の方法。
14. リソースへのアクセス権限が、以下の要素を含む集合に含まれ、
    該要素が、許可されたアクセス、一回だけ許可されたアクセス、Ｎがパラメータ設定可能である、Ｎ回許可されたアクセス、拒否されたアクセス、一回だけユーザに許可を要求すること、アクセスごとにユーザに許可を要求すること、Ｎがパラメータ設定可能である、Ｎ回のアクセスについてユーザに許可を要求すること、一回だけコード入力を要求すること、アクセスごとにコード入力を要求すること、Ｎがパラメータ設定可能である、Ｎ回のアクセスについてコード入力を要求すること、一回だけアクセスを許可するために計算または暗号化試行を要求すること、各アクセスを許可するために計算または暗号化試行を要求すること、Ｎがパラメータ設定可能である、Ｎ回のアクセスを許可するために計算または暗号化試行を要求することである、請求項１〜請求項１３のいずれか一つに記載の方法。
15. アプリケーション識別子テーブルが、ダイナミックサイズを有していることを特徴とする、請求項１〜請求項１４のいずれか一つに記載の方法。
16. 新規アプリケーションのそれぞれが分析されることで、アプリケーション識別子テーブルを更新するようになっていることを特徴とする、請求項１〜請求項１５のいずれか一つに記載の方法。
17. 携帯電話にインストールされている製造者のアプリケーションが、携帯電話の使用に充てられたすべてのメモリ領域を読み出し、書き込み、消去する権限を有していることを特徴とする、請求項１〜請求項１６のいずれか一つに記載の方法。
    

Images