JP2011514585A - リモートデバイス管理を容易にするため、スタブクライアントから管理クライアントを安全にロードするシステムおよび方法 - Google Patents

Abstract

デバイス内に組み込まれたスタブからデバイス上に管理クライアントソフトウェアを安全にダウンロードするシステムおよび方法について、記載されている。一実施形態において、スタブクライアントは、管理サーバからの証明書を有するメッセージによって起動される。証明書の検査の後、スタブクライアントは、完全な管理クライアントをダウンロードして起動させる。そして、管理クライアントは、デバイス管理サーバとともに任意の認定された管理セッションに関与する。メッセージは、証明書に基づくキーを使用して暗号化されることが好ましい。証明書は、デバイスと、デバイスに関連付けられたサービスプロバイダに固有のものであってもよい。
【選択図】図２

Description

本発明は、デバイスのリモート管理に関し、特に、リモート管理されるデバイス上に管理クライアントソフトウェアを安全にロードすることに関する。

一般に、デバイスのリモート管理は、リモート管理されるデバイス上に、デバイス管理クライアントソフトウェアが配備されることを要求する。管理クライアントは、権限を有する管理サーバから、コマンドを受信し、そのコマンドによって指示されたアクションを実行する。このようなアクションには、例えば、構成（configuration）、ソフトウェア更新、診断（diagnostics）、アプリケーション管理、およびデバイスを使用するユーザにサービスを提供するのに必要と思われるその他のアクションが含まれる。また、管理クライアントは、管理サーバとともに、リモートセッションを確立することに関与する。管理クライアントは、オープンモバイルアライアンス（Open Mobile alliance（ＯＭＡ−ＤＭ））、ＴＲ−６９、ＤＯＣＳＩＳ、特に、独自標準などの標準に基づくものであってもよい。

デバイスとともに実行されるリモート管理セッションにとって、デバイス管理クライアントは、デバイス上に常駐して起動されることが必要とされる。デバイス管理クライアントは、デバイス用のエンティティ提供通信サービス（すなわち、「サービスプロバイダ」）によって要求される特定の機能性とともにデバイス特有の特徴を持って製造時にデバイス上に予めロードされる。しかし、このアプローチは、いくつかの欠点を有する。第１に、予めロードされたクライアントは、起動されないかもしれず、もし使用されなければ、それ自体、不必要なコストを意味するであろう。第２に、デバイスが製造された時からユーザの手もとに実際に届くまで長期間経過しているかもしれず、この間に、新しいバージョンの管理クライアントが利用可能になっているかもしれない。この場合は、管理クライアントの更新が必要とされるであろう。

別のアプローチは、権限を有するサーバからメッセージを受信して検証可能な証明書を入力することによって、または、サーバから管理クライアントを直接ダウンロードすることによって、デバイスユーザが管理クライアントをダウンロードすることを必要とする。どちらの場合も、管理クライアントをダウンロードするこの方法は、ユーザのアクションを必要とする。

このように、デバイスがネットワークで起動される時に、ユーザの介入なしに、管理クライアントを自動的にダウンロードする必要性が存在する。

一実施形態において、本発明は、デバイス上に完全な管理クライアントを自動的にダウンロードするスタブクライアントを提供する。そのスタブクライアントは、デバイス上に完全な管理クライアントをダウンロードするのに使用される、好ましくは小さいフットプリント（footprint）を有するような、ソフトウェアアプリケーションである。ダウンロードされて実行されると、その完全な管理クライアントは、権限を有する管理サーバが、デバイスをリモート管理することを可能にする。スタブクライアントは、デバイス上に、ＳＩＭカード上に、またはデバイスに挿入されるスマートカード上に常駐してもよい。

本発明の一実施形態において、適当な証明書を含むメッセージをデバイスへ送ることによって、デバイスのスタブクライアントは、リモートで呼び出されることが可能である。その証明書を確認することによって、スタブクライアントは、ダウンロードサーバとの接続を確立し、完全な管理クライアントをダウンロードする。

本発明の一実施形態において、スタブクライアントを起動するための証明書は、デバイスのアイデンティティ（identity）と、デバイスを管理するサービスプロバイダの署名とに基づいている。デバイスのアイデンティティを使用することは、ダウンロードされた管理クライアントがそのデバイス特有のものであり、上述のように適当な起動メッセージがデバイスに届いた時だけに、スタブクライアントが起動されることを確実にする。サービスプロバイダの署名を使用することは、サービスプロバイダ特有の起動メッセージが受信された時だけに、デバイスが管理クライアントをダウンロードすることを確実にする。このことは、そのスタブクライアントが予期する証明書と一致しない証明書を有するいくつかの他のサービスプロバイダから、スタブクライアントが起動されることを防止する。

本発明の一実施形態において、スタブクライアントは、デバイス上で休止状態にあり、そのスタブクライアントに向けられた適当な起動メッセージが、そのデバイスで受信された時だけに起動される。このことは、管理クライアントをダウンロードするかどうかを確認するために、管理サーバとともにスタブクライアントが周期的にチェックすることを不要にする。

さらなる一実施形態において、管理サーバからのメッセージによって起動される時、スタブクライアントは、起動状態の管理クライアントがデバイス上にすでに存在しているかどうかを確認するためにチェックする。もし、このような管理クライアントが存在する場合、スタブクライアントは退出し、さらに何のアクションも取らない。

上記および他の態様および本発明の特徴は、図面および以下の詳細な説明から明らかであろう。

本発明で使用される無線通信ネットワークの一例を示すブロック図である。 本発明の一実施形態による、デバイス管理サーバと、デバイス上のスタブクライアントとの間のメッセージ交換を示すブロック図である。 デバイス識別子からキーを生成し、デバイスへ送られるメッセージを暗号化するのにそのキーを使用する、管理サーバによって使用される方法の一実施形態を示すフローチャートである。 管理サーバからのメッセージを復号化し、そのメッセージ内で特定されたＵＲＬから管理クライアントをダウンロードする、デバイスによって使用される方法の一実施形態を示すフローチャートである。

図１は、本発明で使用される無線ネットワーク１００の一例を示すブロック図である。ネットワーク１００は、１つまたはそれ以上の無線デバイス１２０と通信可能な１つまたはそれ以上のベースステーションまたは無線アクセスポイント１１０を有する従来の無線アクセスネットワークを備えている。ベースステーション１１０は、デバイス管理サーバ１４０などの１つまたはそれ以上のサーバに接続されたバックボーン（backbone）ネットワーク１３０に接続されている。ベースステーション１１０、デバイス管理サーバ１４０、およびネットワーク１３０の少なくとも一部は、通常、サービスプロバイダまたは同様な構成要素によって操作され、所有され、制御される。

ネットワーク１００によって採用される無線技術は、数ある中で例えば、符号分割多重アクセス（ＣＤＭＡ）、汎用パケット無線サービス（ＧＰＲＳ）、ＷｉＦｉ、ＷｉＭａｘ、ユニバーサル移動電話システム（ＵＭＴＳ）、およびロングタームエボリューション（ＬＴＥ）を含む、デバイスと無線通信することが可能な構成のうちいずれであってもよい。

本発明は、デバイスが管理サーバからリモートで管理されるような、いずれの構成であっても適用可能である。その際、管理サーバ１４０は、デバイス１２０上のクライアントへ送られるメッセージを生成する所定のアクションを開始する。デバイス上のクライアントは、サーバ１４０から送られた管理コマンドに基づいて、デバイスに対して変化をもたらす。管理コマンドには、数ある中で例えば、コンフィギュレーション（configuration）、ソフトウェア管理、診断（diagnostics）、セキュリティコマンドなどが含まれる。クライアント／サーバ間インタラクション（対話、interaction）は、オープン・モバイル・アライアンス・デバイス・マネジメント、ＤＳＬフォーラムのＴＲ−６９、またはケーブルラブ（cablelabs）のＤＯＣＳＩＳなどの種々の既知標準のいずれかに従うか、または所有権のあるプロトコルに従う。

本発明の一実施形態において、スタブクライアント、好ましくは非常に小さいフットプリントを有するアプリケーション、または必要メモリが、完全な管理クライアントをデバイス１２０上にダウンロードするのに使用される。ダウンロードされて実行されると、完全な管理クライアントは、デバイス管理サーバ１４０がリモートでデバイスを管理することを可能にする。

スタブクライアントは、デバイス上に、ＳＩＭカード上に、またはデバイスに挿入されるスマートカード上に常駐してもよい。スタブクライアントは、デバイス上に休止状態で存在し、スタブクライアントに向けられた起動メッセージをデバイスが受信したときに起きる。そのメッセージは、ショート・メッセージ・サービス（ＳＭＳ）またはインターネットプロトコル（ＩＰ）などの利用可能な伝送手段のうちいずれかを使用して送られる。

スタブクライアントは、それが起動されるまで休止状態を維持しているので、スタブクライアントを呼び出す適当なメッセージが送られるまで、デバイスの使用性（ユーザビリティ）に影響を与えない。また、スタブクライアントは、加入者インタラクション無しで黙って、デバイス管理クライアントを自動的にダウンロードしてインストールする能力を提供する。さらに、スタブクライアントは、デバイスマネージャの周期的なポーリングを実行しないので、スタブクライアントが休止状態にある間、デバイスが大量の電力を消費することはない。

都合のよいことに、小さいフットプリント、およびスタブクライアントの洗練された限定機能は、その設計が容易に仕上がり凍結されることを可能にする。このことは、完全な機能の管理クライアントが確定されて凍結される前に、デバイス上にスタブクライアントをインストールできるデバイス製造業者による速い受け入れを可能にする。

本実施形態によるスタブクライアントは、起動メッセージを処理し、その起動メッセージに含まれる証明書を確認し、そのメッセージを復号化し、そのメッセージで特定されたサーバから管理クライアントをダウンロードする方法を知ることだけが必要とされる。別の実施形態では、スタブクライアントは、管理クライアントがデバイス上ですでに起動されているかを確認するためにチェックすることができ、もしそうであるならば、別の管理クライアントをダウンロードする前に退出する。

図２は、本発明の一実施形態による、デバイス管理サーバ１４０と、デバイス１２０上のスタブクライアントとの間のメッセージ交換を示すブロック図である。ある時点で、外部エンティティ、ビジネスプロセスまたは同様なものが、デバイス１２０上のスタブクライアントを起動する必要を管理サーバ１４０へ指示するであろう。外部システムによって指示されたデバイスは、顧客識別子またはデバイスに割り当てられた電話番号、または移動電話加入者ＩＳＤＮ番号（ＭＳＩＳＤＮ）などのいくつかの外部的に知られた識別子に基づいて識別され得る。管理サーバ１４０は、例えば、エレクトロニックシリアル番号（ＥＳＮ）、モバイル機器識別子（ＭＥＩＤ）、国際モバイル機器識別子（ＩＭＥＩ）、ストックキーピングユニット（ＳＫＵ）番号、またはデバイスの媒体アクセス制御（ＭＡＣ）アドレスなどの外部識別子とデバイス識別子との間のマッピングを維持する。

管理サーバ１４０からスタブクライアントへ送られた起動メッセージは、スタブクライアントに知らされた情報に基づくキーを使用して、スタブクライアントによって復号化することができる暗号化されたテキストのメッセージであることが好ましい。このような情報は、例えば、デバイス内に保存可能なデバイス識別子およびサービスプロバイダ署名を含む。起動メッセージには、スタブクライアントが管理クライアントをダウンロードすることができるサーバの場所が含まれる。別の実施形態において、スタブクライアントは、ダウンロードサーバの場所を事前に（a priori）知っているか、または管理サーバ１４０が管理クライアント・ダウンロードサーバとして働く。しかし、柔軟性をもたせるため、ダウンロードサーバの場所は、起動メッセージ内で特定されることが望ましい。

管理サーバ１４０は、デバイス識別子と、サービスプロバイダ（ＳＰ）に関連付けられた署名から暗号化キーを構築し、そのキーを使用して、起動メッセージをデバイスへ送る前に起動メッセージを暗号化する。暗号化された起動メッセージは、管理クライアントをダウンロードすることができるアプリケーションサーバ１５０のＵＲＬのような、デバイス１２０へダウンロードされる管理クライアントの探し場所についての情報を含む。起動メッセージを受信すると、デバイス１２０上のスタブクライアントは、デバイスに保存されているデバイス識別子およびサービスプロバイダ署名を使用して復号化キーを構築し、そのキーを使用してメッセージを復号化し、メッセージに含まれているＵＲＬによる場所のサーバに接続し、特定されたサーバから管理クライアントをダウンロードする。

図３は、管理サーバからデバイス上のスタブクライアントを起動する方法の一実施形態を示すフローチャートである。図示された方法の実施例において、デバイスに割り当てられた電話番号（例えば、ＭＳＩＳＤＮ）でデバイスが管理サーバに識別される。３０１で、ＭＳＩＳＤＮを使用して、そのデバイスのデバイス識別子（例えば、ＥＳＮ、ＭＥＩＤ、ＩＭＥＩなど）が抽出される。３０２で、管理サーバは、３０１で抽出されたデバイス識別子を持つデバイスに関連付けられたサービスプロバイダ（ＳＰ）の署名を抽出する。そのデバイス識別子は、そのサービスプロバイダに知られており、加入者認証で最初に使用される。その署名は、そのサービスプロバイダ固有のものであり、そのサービスプロバイダに関連するデバイスの中にプログラムされている。

３０３で、デバイス識別子およびサービスプロバイダ署名を使用して、管理サーバは、暗号化キーを生成する。本実施形態において、そのキーは、デバイス識別子（３０１で抽出された）およびサービスプロバイダ（ＳＰ）署名（３０２で抽出された）を連結することによって生成される。しかし、これらのパラメータからそのキーを生成する他の技術もまた同様に使用可能である。

３０４で、デバイスへ送られるべき管理クライアント起動メッセージが構築される。そのメッセージには、デバイス上のクライアントスタブが、抽出してデバイス上にインストールすることになっている管理クライアントソフトウェアに関する情報が含まれている。このような情報には、例えば、デバイスが、管理クライアントソフトウェアを取得すべき場所のネットワーク位置のＵＲＬ、クライアントソフトウェアの名称またはいくつかの適当な宛て先（例えばＳＯＦＴＷＡＲＥＮＡＭＥ）、クライアントソフトウェアのバージョン番号（例えばＶＥＲＳＩＯＮ）が含まれる。また、メッセージは、サーバが管理クライアントソフトウェアをデバイスに提供する前に、デバイスがアプリケーションサーバへ提示しなければならない証明書、セキュリティコードなどを含んでもよい。

３０５で、上記で生成されたキーを使用して、管理クライアント起動メッセージが暗号化される。３０６で、暗号化されたメッセージがデバイスへ送られる。示した実施形態では、暗号化されたメッセージは、デバイスに割り当てられた電話番号を宛先とするＳＭＳを使用して、または、ユーザ・データグラム・プロトコル（ＵＤＰ）またはデバイスに割り当てられたＩＰアドレスを宛先とするトランスミッション・コントロール・プロトコル（ＴＣＰ）のような他のメッセージ伝送手段を使用して、送られる。

図４は、管理サーバからの管理クライアント起動メッセージを復号化し、そのメッセージ内で特定されたＵＲＬから管理クライアントをダウンロードする、デバイスによって使用される方法の一実施形態を示すフローチャートである。上述のように、デバイス上の管理クライアントがダウンロードされてインストールされる前に、スタブクライアントがデバイス上に常駐する。図３の方法例で生成されるようなＳＭＳメッセージまたはＩＰメッセージのヘッダーによって識別されるスタブクライアントのためにメッセージがデバイスで受信された時、スタブクライアントは、目覚めさせられ、または起動させられて、図４の方法に従って、処理が続けられる。

４０１で、スタブクライアントは、フラッシュメモリ等のようなデバイスに通常保存されているデバイスのデバイス識別子（例えばＥＳＮ、ＭＥＩＤ、ＩＭＥＩなど）を抽出する。４０２で、スタブクライアントは、デバイスに保存されたサービスプロバイダ署名も抽出する。４０３で、スタブクライアントは、起動メッセージを復号化するためのキーを構築する。そのキーは、メッセージを暗号化するのに使用されたキーを構築するために管理サーバによって使用されたものと同じアルゴリズムを使用して、デバイス識別子およびサービスプロバイダ署名から構築される。代わりになるべきものとして、デバイス識別子およびサービスプロバイダ署名は、事前に（a priori）知られているのであるから、デバイス識別子およびサービスプロバイダ署名からキーを構築するのとは対照的に、これらのパラメータに対応するキーがデバイスに保存され、スタブクライアントによって抽出されるようにしてもよい。４０４で、スタブクライアントは、メッセージを復号化するのにそのキーを使用する。

スタブクライアントが、メッセージを復号化して、それが適当な管理クライアント起動メッセージであることを確認すると、４０５で、スタブクライアントは、デバイス上にすでに起動されている管理クライアントが存在するか否かを確認する。もし、存在するのであれば、スタブクライアントは、さらなるアクションをとらずに、退出する。しかし、もし、そのようなクライアントが存在しないのであれば、４０６で、スタブクライアントは、メッセージに含まれていたＵＲＬのサーバに接続し、メッセージ内で特定されたソフトウェアアプリケーション、すなわち管理クライアントをダウンロードしてインストールする。上述のとおり、アプルケーションサーバがデバイスへ管理クライアントソフトウェアを提供する前に、デバイスがアプルケーションサーバへ所定の証明書を提示するような、追加のセキュリティ手段が含まれてもよい。デバイス上に管理クライアントがインストールされると、管理クライアントがデバイスの管理機能を引き継ぎ、スタブクライアントは非活動化される。

一実施形態において、もし、上述の手順によって、管理クライアントのインストールに成功しなかった場合、スタブクライアントは、「再試行（retry）」メカニズムを含んでいてもよい。スタブクライアントは、少なくとももう１回、ダウンロードサーバへの接続を構築しようと試み、管理クライアントソフトウェアをダウンロードしようと試みる。失敗の後、試みがなされた回数とともに変化する再試行インターバルの後に次の試みがなされてもよい。多くのこのような試みの後、スタブクライアントは、起動メッセージの処理を終了し、その初期状態（例えば休止状態）へ戻る。もし、新しい起動メッセージが受信された場合、スタブクライアントは、上述の図４の手順を実行する。

本発明の上述の処理は、ユーザの介入有り、またはユーザの介入無しで実行され得るということに注意すべきである。

当然のことながら、上述の実施形態は、本発明の応用を表すいくつかの可能な特定実施形態のみを説明するものである。本発明の精神および範囲から逸脱することなく、多くのおよび種々の他の構成が、当業者によってなされ得る。

Claims (14)

1. リモート管理されたデバイスにアプリケーションをダウンロードする方法であって、
   デバイス管理サーバから、証明書を有する起動メッセージを受信するステップと、
   前記起動メッセージを検査するステップと、
   ダウンロードサーバへ接続するステップと、
   前記ダウンロードサーバから、前記アプリケーションをダウンロードするステップと、を有することを特徴とする方法。
2. 前記方法は、スタブアプリケーションによって実行されることを特徴とする請求項１記載の方法。
3. 前記アプリケーションは、デバイス管理クライアントアプリケーションであることを特徴とする請求項１記載の方法。
4. 前記スタブアプリケーションは、ユーザのインタラクション無しで前記アプリケーションをダウンロードすることを特徴とする請求項２記載の方法。
5. 前記スタブアプリケーションは、休止状態にあり、前記リモート管理されたデバイスで起動メッセージが受信されたときに起動されることを特徴とする請求項２記載の方法。
6. 前記起動メッセージは、前記ダウンロードサーバの位置を含んでいることを特徴とする請求項１記載の方法。
7. 前記証明書は、サービスプロバイダ特有のアプリケーションがダウンロードされるように、サービスプロバイダ特有の情報を含んでいることを特徴とする請求項１記載の方法。
8. 前記証明書は、デバイス特有のアプリケーションがダウンロードされるように、デバイス特有の情報を含んでいることを特徴とする請求項１記載の方法。
9. 前記デバイス特有の情報は、前記デバイスに関連付けられた識別子を含んでいることを特徴とする請求項８記載の方法。
10. デバイス管理アプリケーションをダウンロードする前に、前記デバイス管理アプリケーションが前記デバイス上にあるか否かを確認するステップを有することを特徴とする請求項１記載の方法。
11. 前記スタブアプリケーションが、前記デバイス、ＳＩＭカード、取り外し可能なスマートカードのうち少なくと１つに組み込まれていることを特徴とする請求項２記載の方法。
12. 前記起動メッセージは、前記証明書を使用して暗号化され、
    前記起動メッセージを検査するステップは、前記証明書に基づくキーを使用して前記起動メッセージを復号化することを含むことを特徴とする請求項１記載の方法。
13. 前記起動メッセージを構築するステップと、
    前記証明書に基づくキーを使用して前記起動メッセージを暗号化するステップと、
    前記暗号化された起動メッセージを前記デバイスへ送信するステップと、を有することを特徴とする請求項１記載の方法。
14. 前記起動メッセージは、ショート・メッセージ・サービス（ＳＭＳ）を使用して送信されることを特徴とする請求項１３記載の方法。

Images