JP2012257304A - セキュアなサブスクライバ識別モジュールサービス - Google Patents

Abstract

【課題】セキュアなサブスクライバ識別モジュールサービスのための方法、装置、システム、およびコンピュータプログラムプロダクトを提供する。
【解決手段】モバイルネットワーク経由の通信は、システムの通信サービスの起動要求がシステムのセキュアなパーティションで受信されると、起動する。要求を受信すると、セキュアなパーティションだけがアクセス可能な格納装置から許可サービスに対して鍵が取得される。この鍵は、通信サービスの起動を要求する許可に含められ、許可が通信デバイスのサービスプロバイダに送られる。サービスプロバイダは、許可サービスと通信して、許可のデジタル署名を取得する。セキュアなパーティションは、サービスプロバイダから署名された許可を受信して、署名された許可が許可サービスによるデジタル署名を含むことを確認し、署名された許可がデジタル署名を含むことが確認されると、システムの通信サービスを起動する。
【選択図】図１

Description

＜著作権に関する注意書＞
本書類には著作権保護対象物が含まれている。著作権保持者は、本特許の開示の特許商標庁におけるファイルまたは記録の複写には何人に対しても異議を唱えないが、それ以外の全ての著作権を保留する。

本開示は概して無線ネットワークを介して通信するモバイルデバイスおよびコンピュータシステムのモジュール内のサブスクライバ識別モジュールに係る。

無線ネットワーク（モバイルネットワークとも称される）を介して通信を行うコンピュータおよびモバイル電話通信デバイスは、物理的なサブスクライバ識別モジュール（ＳＩＭ）カードを含んでいる。ＳＩＭカードは、サービスの起動時に無線サービスプロバイダにより割り当てられるサービス−サブスクライバ鍵（ＩＭＳＩとしても知られている）をセキュアに格納している。ＳＩＭカードはさらに、モバイルデバイスが該デバイスのホームモバイルネットワークにアクセスするときに利用する認証鍵も格納することができる。現在のところサービスプロバイダは、サービスの起動前にモバイルデバイスユーザに物理的なＳＩＭカードを発行する必要がある。

物理的なＳＩＭカードは、発行を行うサービスプロバイダと、ホームネットワークとに結び付けられている。ＰＬＭＮ（public land mobile network）の各配置領域には、ＬＡＩ（Location Area Identify）として知られている固有識別子が配置されている。ＬＡＩは、ＭＣＣ（Mobile Country Code）、ＭＮＣ（Mobile Network Code）、およびＬＡＣ（Location Area Code）を含む。モバイルネットワークの基地局はいずれも該領域のＬＡＩをＢＣＣＨ（Broadcast Control Channel）に送信する。

あるモバイルデバイスが通信を行うモバイルネットワークは、該ホームネットワーク配置領域内のセルに関する情報を提供する様々なリスト（ＳＩＭ（ＥＨＰＬＭＮ（Equivalent Home PLMN）のリスト等）に、または、ネットワーク選択の際に利用するユーザ制御またはオペレータ制御によるＰＬＭＮセレクタリストに格納されている。ネットワーク登録中に、モバイルデバイスは、現在の位置で利用可能なＰＬＭＮからモバイルネットワークを選択する。自動選択プロシージャによって、利用可能なＰＬＭＮのリストの検索が行われ、３ＧＰＰ仕様ＴＳ２３．１２２に準拠した適切なＰＬＭＮが探し出される（これに関してはURL www-3gpp-org/ftp/Specs/html-info/23122-htmから情報入手可能であり、このＵＲＬでは「．」を「−」で置き換えることで、本書類からのアクティブハイパーリンクを回避している）。ぴったり整合するものがない場合には、モバイルデバイスは、ホームネットワークとして選択されるＰＬＭＮに登録を行う。

モバイルデバイスがモバイルネットワークにアクセスを試みるとき、物理的なＳＩＭカードは、ホームネットワークに関連付けられている認証鍵を提供する。モバイルデバイスがホームネットワークエリア外にある場合には、パートナネットワークサービスプロバイダが、ホームネットワークサービスプロバイダに対して認証証明書を要求し、該モバイルデバイスの無線ネットワークへのアクセスについて認証を行う。パートナサービスプロバイダは、パートナモバイルネットワークへのアクセスに関して「ローミング料金」を課す。モバイルデバイスのユーザは自身が頻繁に行く領域の別の物理的なＳＩＭカードを取得して、その領域に行く際には、物理的なＳＩＭカードを交換することで、ローミング料金を回避することができる。

本発明の一実施形態におけるセキュアなサブスクライバ識別モジュール（ＳＩＭ）を提供するよう構成されるシステムのブロック図である。 セキュアなサブスクライバ識別モジュール（ＳＩＭ）サービスを利用して通信を起動するときの、図１のシステムにおける各コンポーネントとユーザとの間の相互作用を示すフロー図である。 本発明の一実施形態における複数のセキュアなサブスクライバ識別モジュール（ＳＩＭ）サービスを提供するよう構成されるシステムのブロック図である。 ホストデバイスの位置に基づき、複数の提供されたサブスクライバ識別モジュール（ＳＩＭ）サービスからセキュアなＳＩＭサービスを選択する方法のフローチャートである。 本発明の一実施形態における２つの提供されたＳＩＭサービスの好適な組み合わせられたモバイルネットワークリストを示す。 本発明の一実施形態におけるセキュアなサブスクライバ識別モジュールを実装する仮想マシン環境を示す。

本発明の実施形態は、セキュアなサブスクライバ識別モジュール（ＳＩＭ）サービスを提供する方法、装置、システム、およびコンピュータプログラムプロダクトを提供することができる。一実施形態では、セキュアなサブスクライバ識別モジュールサービスは、物理的なＳＩＭカードではなくて、プラットフォームチップセット内のファームウェアが実装する。モバルデバイスが物理的なＳＩＭの取得を要求することに代わる代替方法を提供することにより、無線通信サービスの迅速な起動および提供が可能になる。加えて、２以上のセキュアなＳＩＭサービスを提供することができるので、これらセキュアなＳＩＭサービスのいずれかを、ある通信に対して該モバイルデバイスの位置に基づき選択することができるようになる。

本発明における「一実施形態（one embodiment）（an embodiment）」といった言い回しは、該実施形態との関連で記載される特定の特徴、構造、または性質が、本発明の少なくとも１つの実施形態に含まれることを示している。従って本明細書では、「一実施形態では（in one embodiment）」「一実施形態においては（according to one embodiment）」等の言い回しが随所に利用されているが、これらは必ずしも同じ実施形態のことを言っている場合ばかりではない。

また本明細書では特定の構成および詳細について述べることで、本発明の完全な理解を促している。しかし当業者であれば本発明が、個々に示されている特定の詳細なしに実行可能であることを理解する。さらに公知な特徴については述べない、または詳細に述べないことにより、本発明を曖昧にすることがないようにしている箇所もある。記載においては様々な例を示す。これらは本発明の特定の実施形態を説明しているにすぎない。本発明の範囲は、これらの例に限定されない。

一実施形態では、セキュアなサブスクライバ識別モジュールサービスをセキュアなパーティション内に設けることで、隔離され、制御された環境をサービス起動に関して保証する。セキュアなパーティションは、システム上で起動されるサービスが、認証されたソースからのものであることを検証済みであることを保証することができる。セキュアなパーティションは、システムのホストオペレーティングシステムから隔離されることで、システム上で起動されるサービスの傍受を防いでいる。

セキュアなプラットフォームサブスクライバ識別モジュールの、隔離されたセキュアな環境は、複数の異なる種類のパーティションを含むことができ、これには例えば、完全に別個のハードウェアパーティション（例えば、インテル（登録商標）コーポレーション社のＭＥ（Manageability Engine）、ＡＭＴ（Active Management Technologies）、ＰＲＬ（Platform Resource Layer）、および／または、他のこれら同等のまたは類似した技術）および／または仮想化されたパーティション（例えば、インテル（登録商標）コーポレーション社の仮想化技術（ＶＴ）スキーム）が含まれる。当業者には、仮想化されたホストを利用してＭＥ，ＡＭＴ、およびＰＲＬ技術を実装することもできることが明らかである（これに関しては図６を参照して後述する）。ここではセキュアなパーティションを、ＭＥ技術を利用して実装するが、当業者であれば本発明がこれに限定されず、他の実装例も本発明の範囲内に含まれることを理解するであろう。

図１は、本発明の一実施形態におけるセキュアなサブスクライバ識別モジュールを起動するよう構成されるシステムのブロック図である。ホストコンピュータシステムに相当するプラットフォーム１００は、チップセット／セキュアなパーティション１２０に接続されたプロセッサ１１０を含む。プロセッサ１１０は、プラットフォーム１００に処理力を与え、シングルコアプロセッサであってもマルチコアプロセッサであってもよく、２以上のプロセッサがプラットフォーム１００に含まれてよい。プロセッサ１１０は、１以上のシステムバス、通信パスウェイまたは媒体（不図示）によりプラットフォーム１００の他のコンポーネントに接続されてよい。プロセッサ１１０は、ホストオペレーティングシステム１１１の制御の下に動作する、ホストアプリケーション１１２等のアプリケーションを実行することができる。ホストアプリケーション１１２は、ネットワーク１７０上の他のシステム（例えばサービスプロバイダサーバ１８０または許可サーバ１９０）と、イーサネット（登録商標）ＮＩＣ１１４等のネットワークコントローラを介して通信することができる。

チップセット／セキュアなパーティション１２０はＭＥ１３０を含み、ＭＥ１３０はホストプロセッサ１１０とは独立して動作するエンベデッドマイクロプロセッサとして実装可能であり、プラットフォーム１００の構成および動作を管理する。一実施形態では、プロセッサ１１０はホストオペレーティングシステム１１１の指揮下に動作するが、ＭＥ１３０は、ホストオペレーティングシステム１１１がアクセスすることのできないセキュアで隔離された環境を提供する。一実施形態では、ＭＥ１３０はユーザを認証し、周辺デバイスへのアクセスを制御し、プラットフォーム１００の格納デバイスに格納されるデータを保護する暗号鍵を管理し、セキュアなサブスクライバ識別モジュール（ＳＩＭ）サービスを起動するためのセキュアな環境を提供する。一実施形態のＭＥ１３０は、非対称ＲＳＡ公開鍵暗号法により外部の実体（許可サーバ１９０等）との信用関係に基づいて動作するよう構成されるが、これに関しては後で詳述する。

一実施形態では、プロセッサ１１０上で実行されるホストアプリケーション１１２と、ＭＥ１３０との間で交わされる通信は、ＨＥＣＩ（host embedded controller interface）１１６を介して行われる。ＭＥ１３０と外部の実体（許可サーバ１９０等）との間の信用関係を利用するべく、ホストアプリケーション１１２は、外部の実体（許可サーバ１９０等）から、ホストアプリケーション１１２がＭＥ１３０に対して通信を希望するデータ用の署名を取得することができる。

プラットフォーム１００はフラッシュメモリ１２２を含み、他に、ＤＲＡＭ，ＳＲＡＭ等のメモリデバイス（不図示）を含んでもよく、且つ、格納コントローラ（不図示）を介してアクセス可能な外部の格納デバイスを含むこともできる。これらのメモリデバイスには、ＲＡＭおよびＲＯＭが含まれてよい。本開示においては「ＲＯＭ」という用語は、ＥＰＲＯＭ、ＥＥＰＲＯＭ（登録商標）、フラッシュＲＯＭ、フラッシュメモリ等の不揮発性メモリ素子の意味で利用されてよい。格納デバイスは、さらに、ＩＤＥ（integrated drive electronics）ハードドライブおよび／または他のデバイスまたは媒体（フロッピー（登録商標）ディスク、光学格納装置、テープ、フラッシュメモリ、メモリスティック、デジタルビデオディスク、生物学的格納装置等）を含んでよい。

フラッシュメモリ１２２は、フラッシュインタフェース１２１を介してチップセット／セキュアなパーティション１２０からアクセス可能である。フラッシュメモリ１２２内のデータは暗号化されていてもよい。プラットフォーム１００と他のシステム（許可サーバ１９０）との間でネットワーク１７０を介してセキュアな通信を行うための暗号／復号鍵は、チップセット／セキュアなパーティション１２０およびＭＥ１３０の製造段階でフラッシュメモリ１２２に格納することができる。チップセット／セキュアなパーティション１２０およびＭＥ１３０の製造段階で格納される暗号／復号鍵により、ＭＥ１３０と外部の実体（許可サーバ１９０等）との間の信用関係が構築される。ＭＥ１３０は、フラッシュメモリ１２２に格納されている公開鍵に関連付けられた秘密鍵により署名されたデータを信用することができる。

フラッシュメモリ１２２はさらに、プラットフォーム１００を初期化するのに利用されるファームウェア（不図示）を含むことができる。この初期化ファームウェアは、システムコンポーネントハードウェア（ビデオ表示カードおよびハードディスク）およびＭＥ１３０を含むその他のハードウェアデバイスを特定し初期化するＢＩＯＳファームウェアを含むことができる。ＢＩＯＳファームウェアは、プラットフォーム１００のシステムコンポーネントハードウェアを公知の低容量状態で動作させるべく準備して、様々な媒体に格納されているその他のソフトウェアプログラム（オペレーティングシステムを含む）をロード、実行させ、プラットフォーム１００の制御下におくことができる。フラッシュメモリ１２２はさらに、チップセット／セキュアなパーティション１２０を構成するチップセットファームウェア（不図示）を含んでよい。

プロセッサ１１０はさらに、追加コンポーネント（例えばビデオコントローラ、ＳＣＳＩ（small computer system interface）コントローラ、ネットワークコントローラ、ＵＳＢ（universal serial bus）コントローラ、キーボードおよびマウス等の入力デバイス等）に通信可能に連結されてよい。プラットフォーム１００はさらに、１以上のブリッジまたはハブ（メモリコントローラハブ、入出力（Ｉ／Ｏ）コントローラハブ、ＰＣＩルートブリッジ等）を含むことで、様々なシステムコンポーネントを通信可能に連結してよい。ここで利用する「バス」という用語は、共有通信パスウェイのことであっても、ポイントツーポイントパスウェイのことであってもよい。

一部のコンポーネント（例えばイーサネット（登録商標）ＮＩＣ１１４）は、インタフェース（ＰＣＩコネクタ）を有するアダプタカードとして実装されることでバスと通信してもよい。一実施形態では、１以上のデバイスが、プログラム可能な、またはプログラム不可能ロジックデバイスまたはアレイ、ＡＳＩＣ（application-specific integrated circuit）、エンベデッドコンピュータ、スマートカード等のコンポーネントを利用して、エンベデッドコントローラとして実装されてよい。

ここで利用する「処理システム」「データ処理システム」といった用語は、単一のマシン、または、協同するマシンまたはデバイス同士が通信可能に連結されたシステムを幅広く含むことを意図している。処理システムの例には（限定を意図せず）、配信コンピューティングシステム、スーパコンピュータ、高性能コンピューティングシステム、コンピューティングクラスタ、メインフレームコンピュータ、ミニコンピュータ、クライアント−サーバシステム、パーソナルコンピュータ、ワークステーション、サーバ、ポータブルコンピュータ、ラップトップコンピュータ、タブレット型コンピュータ、電話機、ＰＤＡ（personal digital assistant）、ハンドヘルドデバイス、娯楽デバイス（オーディオおよび／またはビデオデバイス等）、および情報を処理または送信するその他のデバイスが含まれる。

プラットフォーム１００は、少なくとも部分的に、キーボード、マウス等の従来の入力デバイスからの入力により、および／または、別のマシン、生物測定学を利用するフィードバック、またはその他の入力ソースまたは信号から受信されたコマンドにより制御されてよい。プラットフォーム１００は、１以上の遠隔データ処理システム（例えばサービスプロバイダサーバ１８０または許可サーバ１９０）に対する、イーサネット（登録商標）ＮＩＣ（network interface controller）１１４、モデム、その他の通信ポートまたは連結等を介した１以上の接続を利用することができる。

プラットフォーム１００は、物理的および／または論理的ネットワーク１７０（例えばＬＡＮ、ＷＡＮ、イントラネット、インターネット等）を介して他の処理システム（サービスプロバイダサーバ１８０または許可サーバ１９０等）に相互接続されてよい。ネットワーク１７０を利用する通信では、様々な有線および／または無線の短距離または長距離キャリアおよびプロトコル（無線周波数（ＲＦ）、衛星、マイクロウェーブ、ＩＥＥＥ８０２．１１、ブルートゥース（登録商標）、光学、赤外線、ケーブル、レーザ等）が利用されてよい。プラットフォーム１００は、イーサネット（登録商標）プロトコルを用いた通信用にイーサネット（登録商標）ネットワークインタフェースコントローラ１１４を含む。プラットフォーム１００はさらに、３Ｇネットワーク１７２で３Ｇ無線プロトコルを介して通信するために３Ｇ ＮＩＣ１６０を含む。

ＳＩＭデバイス１５０等のセキュアなプラットフォームサブスクライバ識別モジュールサービスを起動することにより、プラットフォーム１００は、３Ｇ ＮＩＣ１６０および３Ｇネットワーク１７２を介して、３Ｇ無線ネットワークプロトコルを利用して無線通信を行うことができる。３Ｇ ＮＩＣ１６０は、インターコネクト１６４（例えばＵＳＢ接続であってよい）を介してチップセット／セキュアなパーティション１２０と接続される。３Ｇ ＮＩＣ１６０は、さらに、インターコネクト１６２（ＭＥ１３０を、３Ｇネットワーク１７２を介して通信させるための別個の物理的なバスであってよい）を介してＭＥ１３０に接続される。

ＭＥ１３０は、ライセンスサービス１４０とＳＩＭサービス１５０とを含む。一実施形態では、ライセンスサービス１４０は、許可サーバ１９０と連係して動作することで、ＳＩＭサービス１５０等のサービスをプラットフォーム１００上で起動するファームウェアモジュールとして実装される。例えばライセンスサービス１４０および許可サーバ１９０は、プラットフォーム１００のハードウェアが工場から出荷されたあとに起動可能なプロセッサ、チップセット、および／または、プラットフォームのフィーチャをイネーブルする目的で利用可能である。これらのプロセッサ、チップセット、および／または、プラットフォームのフィーチャは、ＯＥＭ製造段階で、小売販売段階で、あるいはハードウェアが顧客側でインストールされた後で購入が可能である。ライセンスサービス１４０は、サービス起動前に、署名検証アルゴリズムにより、許可サーバ１９０に対してプラットフォーム１００を認証することができる。

ＳＩＭサービス１５０は、ライセンスサービス１４０および許可サーバ１９０を介して起動されうるサービスの一例である。ＳＩＭサービス１５０は、起動されるまではディセーブル状態にある。起動されると、ＳＩＭサービス１５０は、プラットフォーム１００を、３Ｇ ＮＩＣ１６０を利用して３Ｇネットワーク１７２を介して通信させる。ＳＩＭサービス１５０の起動については、図２を参照して後で詳述する。

図２は、セキュアなサブスクライバ識別モジュール（ＳＩＭ）サービスを利用して通信を起動するときの、図１のシステムにおける各コンポーネントとユーザとの間の相互作用を示すフロー図である。アクション２．１で、ユーザは通信サービスの起動を開始する。一実施形態では、ユーザは、プロセッサ１１０上で実行されるウェブブラウザ（不図示）を利用して、イーサネット（登録商標）ＮＩＣ１１４とネットワーク１７０とを介して、サービスプロバイダサーバ１８０に接続する。ユーザは、サービスプロバイダサーバ１８０からアプリケーション（ホストアプリケーション等１１２）をダウンロードして実行することで、無線通信サービスの起動を開始する。アクション２．２で、ホストアプリケーション１１２は、ＨＥＣＩ１１６経由で、ＭＥ１３０のライセンスサービス１４０に対して起動データを要求する。ホストアプリケーション１１２からの起動データ要求に応えて、ライセンスサービス１４０は、起動要求許可を生成することができる。起動要求許可にはノンスが含まれてよく、これは一度しか利用できない乱数であり、起動要求を一意に識別し、マルウェアによるレプレーアタックから保護することができる。アクション２．３で、ライセンスサービス１４０は、起動データ（ノンスを含む起動要求許可等）をホストアプリケーション１１２に戻す。

アクション２．４で、ホストアプリケーション１２４は、ＳＩＭ起動要求許可をサービスプロバイダサーバ１８０に転送する。アクション２．５で、サービスプロバイダサーバ１８０は通信サービスの起動を承認し、ＳＩＭデータを起動要求許可に追加する。例えば、サービスプロバイダサーバ１８０は、サービス起動の承認前に支払いが行われたことを確認してよい。サービスプロバイダサーバ１８０は、サーバ−サブスクライバ鍵（ＩＭＳＩとしても知られている、モバイルユーザの国際的に一意である番号のこと）等の情報を追加して、起動要求許可を修正してもよい。サーバ−サブスクライバ鍵／ＩＭＳＩの最初の３桁は、ＭＣＣ（Mobile Country Code）を表し、次の２桁はＭＮＣ（Mobile Network Code）を表し、次の１０桁が移動局の識別番号を表す。サービスプロバイダサーバ１８０はさらに、ＳＩＭが３Ｇネットワーク１７２上の認証において利用する認証鍵をサブスクライバ識別モジュールに割り当てることができる。サービスプロバイダサーバ１８０はさらに、認証鍵を追加することにより起動要求許可を修正してもよい。サービスプロバイダサーバ１８０は、自身のネットワーク上のデータベースにＳＩＭの認証鍵を格納する。ＳＩＭデータを起動要求許可に追加するときに、サービスプロバイダサーバ１８０はさらに、自身の公開鍵を起動要求許可に追加して、ＳＩＭサービス１５０を管理するために将来プラットフォーム１００のＭＥ１３０との間で行われる通信に備えさせることができる。起動要求許可は、ＭＥ１３０との間に信用関係のある許可サーバ１９０により署名される必要があるので、サービスプロバイダサーバ１８０の公開鍵に対する許可サーバ１９０のデジタル署名の取得により、将来ＭＥ１３０と通信する際に許可サーバ１９０からサービスプロバイダサーバ１８０への信用関係が生じる。

アクション２．６で、サービスプロバイダサーバ１８０は、起動要求許可を許可サーバ１９０に転送する。起動要求許可を受信すると、許可サーバ１９０は、起動要求許可に含まれる情報を確認することができる。例えば、許可サーバ１９０は、プラットフォーム１００の特定の機能を起動するライセンスが整ったことを確認することができる。許可サーバ１９０は、さらに、プラットフォーム１００および／またはＭＥ１３０に関する情報を起動要求許可で調べて、フィーチャが起動されるべきプラットフォームに信用関係が構築されていることを確かめることができる。許可サーバ１９０がプラットフォーム１００に対してセキュアなサブスクライバ識別モジュール（ＳＩＭ）サービスの起動を承認する場合には、許可サーバ１９０は、起動要求許可に対してデジタル署名を加えることで、署名された起動要求許可を作成する。許可サーバ１９０が提供するデジタル署名は、許可サーバ１９０が起動要求許可を受信したことを保証し、ＭＥ１３０と許可サーバ１９０との間の信用関係を反映している。ＭＥ１３０は、許可サーバ１９０の公開鍵のコピーを利用して、デジタル署名が許可サーバ１９０からのものであることを確かめることができる。起動要求許可が、サービスプロバイダサーバ１８０の公開鍵を含んでいる場合には、公開鍵に対する許可サーバ１９０のデジタル署名が、将来ＭＥ１３０と通信する際に許可サーバ１９０からサービスプロバイダサーバ１８０への信用関係を表す。

アクション２．７で、許可サーバ１９０は、署名された起動要求許可をサービスプロバイダサーバ１８０に転送する。アクション２．８で、サービスプロバイダサーバ１８０は、署名された起動要求許可をホストアプリケーション１１２に提供する。アクション２．９で、ホストアプリケーション１１２は、インストール要求を、署名された起動要求許可とともに、ＭＥ１３０のライセンスサービス１４０に送る。アクション２．１０で、ライセンスサービス１４０は、署名された起動要求許可内のデジタル署名を、ＭＥ１３０のセキュアな格納装置（例えばフラッシュメモリ１２２）に格納されている許可サーバ１９０の公開鍵を利用して検証する。ライセンスサービス１４０は、デジタル署名が許可サーバ１９０からのものであると確かめられなかった場合には、それ以上該署名された起動要求許可に呼応して動作することをしない。ライセンスサービス１４０は、さらに、署名された起動要求許可のノンスと、この起動要求許可について元々生成されているノンスとが整合するかどうか検証する。

アクション２．１１で、ライセンスサービス１４０は、フラッシュメモリ１２２に格納されているＳＩＭサービス１５０のファームウェアモジュールに含まれているコードを実行することで、ＳＩＭサービス１５０を起動する。例えば、３Ｇ ＮＩＣと通信する際に必要なドライバをロードすることが含まれる。３Ｇ ＮＩＣドライバがロードされると、ＳＩＭサービス１５０では、３Ｇ ＮＩＣから受信するコマンドに対する応答準備が整う。一実施形態では、署名された起動要求許可は、フラッシュメモリ１２２等のＭＥ１３０のセキュアな格納装置に格納される。署名された起動要求許可が、サービスプロバイダサーバ１８０の公開鍵を含んでいる場合には、このサービスプロバイダサーバ１８０の公開鍵もフラッシュメモリ１２２に格納してよい。サービスプロバイダサーバ１８０の公開鍵に対する許可サーバ１９０のデジタル署名は、将来ＭＥ１３０と通信する際に許可サーバ１９０からサービスプロバイダサーバ１８０への信用関係を表す。アクション２．１２で、ライセンスサービス１４０は、ＳＩＭサービス１５０がホストアプリケーション１１２を起動したことを確認する。

起動されると、ＳＩＭサービス１５０は３Ｇ ＮＩＣ１６０に対してＳＩＭ機能を提供する。３Ｇ ＮＩＣ１６０は、３Ｇネットワーク１７２のノードとしてサービスプロバイダサーバ１８０に対して登録される。サービスプロバイダサーバ１８０の公開鍵が、署名された起動要求許可に追加されている場合には、サービスプロバイダサーバ１８０はＳＩＭサービス１５０を遠隔管理することができる。例えばサービスプロバイダ１８０は、後に通信サービスを停止させて、ＰＬＭＮリスト等のＳＩＭデータに変更を加えることで、および／または、通信デバイスのパラメータを変更することで、ＳＩＭサービス１５０を遠隔管理することができる。サービスプロバイダサーバ１８０は、サービスプロバイダサーバ１８０の公開鍵に関する通信において、通信サービスのパラメータを修正するコマンドを送ることができる。例えば、通信に対して、サービスプロバイダサーバ１８０の秘密鍵を利用して署名することができる。その後、ＭＥ１３０は、許可サーバ１９０により署名されたサービスプロバイダサーバ１８０の公開鍵を利用して、通信がサービスプロバイダサーバ１８０からのものであることを確認することができる。

ＳＩＭサービス１５０がプラットフォーム１００に通信サービスを提供する動作は以下のようにして行われる。一実施形態では、３Ｇ ＮＩＣ１６０が立ち上がると、３Ｇ ＮＩＣ１６０は、ＩＭＳＩをＳＩＭサービス１５０から取得する。ＳＩＭサービス１５０は、ＭＥ１３０に関連付けられているセキュアな格納装置（フラッシュメモリ１２２等）から、ＩＭＳＩおよび認証鍵を含む、署名された起動要求許可を取得することができる。３Ｇ ＮＩＣ１６０は、ＩＭＳＩをサービスプロバイダサーバ１８０に渡して、アクセスおよび認証を要求する。サービスプロバイダサーバ１８０は、入ってくるＩＭＳＩおよびそれに関連付けられた認証鍵がないか、自身のデータベースを探す。そしてサービスプロバイダサーバ１８０は、乱数（つまり、ノンスであるＲＡＮＤ）を生成して、それに対して、ＩＭＳＩに関連付けられ（ＳＩＭサービス１５０で格納した）認証鍵で署名を行い、署名された応答１（ＳＲＥＳ＿１）として知られる別の番号を計算する。署名された応答１（ＳＲＥＳ＿１）は、サービスプロバイダサーバ１８０のネットワークへのアクセスが許可される前の認証に関するチャレンジである。サービスプロバイダサーバ１８０は、ＲＡＮＤを３Ｇ ＮＩＣ１６０に送り、次いでＲＡＮＤがＳＩＭサービス１５０へ渡される。ＳＩＭサービス１５０は、ＲＡＮＤを認証鍵で署名して、第２の署名された応答ＳＲＥＳ＿２を生成する。ＳＩＭサービス１５０は、ＳＲＥＳ＿２を、暗号鍵Ｋｃとともに３Ｇ ＮＩＣに渡す。３Ｇ ＮＩＣ１６０はＳＲＥＳ＿２をサービスプロバイダサーバ１８０に渡す。サービスプロバイダサーバ１８０は、自身で計算されたＳＲＥＳ＿１を、３Ｇ ＮＩＣ１６０から戻ってきた、計算されたＳＲＥＳ＿２と比較する。２つの値が整合すると、ＳＩＭサービス１５０はチャレンジを満たすので認証され、サービスプロバイダサーバ１８０が提供するネットワーク１７２に対する３Ｇ ＮＩＣ１６０のアクセスが許可される。鍵Ｋｃを利用して３Ｇ ＮＩＣ１６０とサービスプロバイダサーバ１８０のネットワークとの間のさらなる通信全てが暗号化される。

図１および図２を参照して説明したシステムでは、システム（モバイル電話デバイスであってもラップトップであってもよい）が、物理的なＳＩＭカードを利用せずにモバイルネットワーク経由で通信サービスを起動することができる。モバイルネットワーク経由の通信は、システムの通信サービスの起動要求がシステムのセキュアなパーティションで受信されると、起動する。要求を受信すると、通信サービスの起動を要求する許可が作成され、この許可が通信サービスのサービスプロバイダに送られる。サービスプロバイダは、許可サービスと通信して、サービスを起動させる許可のデジタル署名を取得する。セキュアなパーティションは、サービスプロバイダから、署名された許可を受信して、許可サービスの鍵を、セキュアなパーティションだけがアクセス可能な格納装置から取得して、この鍵を利用して、署名された許可が、許可サービスによるデジタル署名を含むことを確認して、署名された許可が許可サービスによるデジタル署名を含むことを確認してから、システムの通信サービスを起動する。

一実施形態では、セキュアなパーティションは、許可のノンスを生成して、システムの通信サービスを起動する前に、署名された許可がノンスを含むことを確認する。署名された許可は、セキュアなパーティションだけがアクセス可能な格納装置に格納されてよい。一実施形態では、許可サービスの鍵は、セキュアなパーティションのハードウェア製造時にセキュアなパーティションだけがアクセス可能な格納装置に埋め込まれる。

署名された許可はさらに、サービスプロバイダの鍵を含むことができ、サービスプロバイダから後に通信を受信すると、セキュアなパーティションは、後の通信に対してアクションする前に、後の通信がサービスプロバイダの鍵に関連付けられていることを確認する。

本発明の別の特徴には、要求を発するシステムから、通信サービスの起動を要求する許可を受信するサービスプロバイダサービスが含まれる。サービスプロバイダは、許可に鍵を追加して、許可サービスから、署名された許可を取得する。許可サービスは、許可にデジタル署名を加えて、署名された許可を作成する。サービスプロバイダは、要求を発するシステムに対して、署名された許可を送り、要求を発するシステムは、システムの通信サービスを起動する前に、署名された許可が、許可サービスによるデジタル署名を含むことを確認する。サービスプロバイダは、後の通信を、要求を発するシステムに送り、ここで、後の通知は、通信サービスのパラメータを補正するコマンドを含む。要求を発するシステムは、通信サービスの修正前に、後の通信が鍵に関連付けられていることを確かめる。

通信サービスを停止するときにも、図２のステップ２．１から２．１２に記載したものと同様のプロセスを、起動要求許可を停止要求許可に置き換え、署名された停止要求許可のＳＩＭデータをヌルデータで置き換えて行うことができる。

物理的なＳＩＭカードを利用せずに通信カードを起動させることで、セキュアなサブスクライバ識別モジュールサービスは、無線通信サービスを即座に起動することができるようになる。無線通信サービスは、物理的なＳＩＭカード用のスロットを含まないコンピュータでも起動することができる。セキュアなサブスクライバ識別モジュールサービスは、無線サービスプロバイダに、物理的なＳＩＭカードを利用せずに、ＳＩＭ特性を起動および／または更新させて、サービスを提供させることができる。セキュアなサブスクライバ識別モジュールサービスを、モバイルデバイスのホストオペレーティングシステムから隔離されたセキュアなパーティションに提供することで、無線通信サービスをＩＤを盗難しようとする攻撃から守り、サービス攻撃を拒絶することができるようになる。ＳＩＭサービスのファームウェアモジュールはチップセットハードウェアに常駐しているので、格納デバイスおよび／またはオペレーティングシステムが変更された場合、またはホストシステム上で危険に曝されている場合であっても、通信サービスの提供が可能である。

セキュアなサブスクライバ識別モジュールサービスは物理的なＳＩＭカードを必要としないので、２以上のサブスクライバ識別モジュールサービスを任意のモバイルデバイス／プラットフォームに提供することができるようになる。１つのプラットフォームに複数のＳＩＭサービスを提供する機能は、複数のモバイルネットワークへ移動したり、アクセスしたりする必要のあるユーザにとって有用である。それぞれ異なるモバイルネットワークに接続することができる複数のＳＩＭサービスを利用することで、モバイルデバイスの位置を利用して、モバイル通信における適切なＳＩＭサービスの特定が可能になる。

図３は、本発明の一実施形態における複数のセキュアなサブスクライバ識別モジュール（ＳＩＭ）を提供するよう構成されるシステムのブロック図である。ＳＩＭサービス１５０は、プラットフォーム１００、ＳＩＭ１サービス３５２、およびＳＩＭ２サービス３５４に提供された２つの異なるＳＩＭサービスを示す。例えばＳＩＭ１サービス３５２が米国のモバイルネットワークについて提供されたサービスであり、ＳＩＭ２サービス３５４がカナダのモバイルネットワークについて提供されたサービスであってよい。ＳＩＭサービス１５０は、プラットフォーム１００の位置に応じて、ＳＩＭ１サービス３５２またはＳＩＭ２サービス３５４のいずれかのＩＤを採用（assume）することができる。プロセッサ１１０上で（ホストオペレーティングシステム１１１の制御の下に）実行される接続マネージャ３１０は、ＨＥＣＩ１１６を介してＭＥ１３０内のＳＩＭ位置マネージャ３２０と通信する。プラットフォーム１００のユーザは無線通信を開始して、接続マネージャ３１０はＭＥ１３０内のＳＩＭ位置マネージャ３２０に要求して、３Ｇ ＮＩＣ１６０を介した無線通信について接続を構築させる。ＳＩＭ位置マネージャ３２０は、３Ｇ ＮＩＣ１６０を介して通信を行い、利用可能なモバイルネットワークを決定してから、ＳＩＭサービス１５０に、提供されたＳＩＭサービスのうちの最も適切なＳＩＭサービス（例えばＳＩＭ１サービス３５２またはＳＩＭ２サービス３５４のいずれか）のＩＤを採用させる。ＳＩＭ位置マネージャ３２０が、提供されたＳＩＭサービスのうちの最も適切なＳＩＭサービスを特定する動作は、図４を参照して後で詳述する。

図４は、ホストデバイスの位置に基づき、複数の提供されたサブスクライバ識別モジュール（ＳＩＭ）サービスからＳＩＭサービスを選択する方法のフローチャートである。ＳＩＭ位置マネージャ３２０は、モバイルデバイスを、提供されたＳＩＭサービスの好適なモバイルネットワークのリストから特定されたホームネットワークのうちのいずれかに対して登録させる。この構成によって、ホームネットワークのいずれもが利用不可能である場合以外は、ローミング料金の課金を確実に回避することができるようになる。複数のホームネットワークが利用可能である場合には、最高品質の信号を有するホームネットワークを選択する。

「利用可能なモバイルネットワークおよび信号品質を取得する」ステップ４１０では、ＳＩＭ位置マネージャ３２０は、３Ｇ ＮＩＣ１６０に対して、利用可能なモバイルネットワーク（ＰＬＭＮ）および各ネットワークに関連付けられた信号品質のリストを要求する。利用可能なモバイルネットワークのリストを受信すると、ＳＩＭ位置マネージャ３２０は、「最高品質のモバイルネットワークの国コードを選択する」ステップ４２０で、最高品質の信号を有する国コード（例えばＭＣＣ）を選択する。複数のモバイルネットワーク／国コードの信号品質が同じである場合（境界領域ではこういう場合もありうる）、他の基準を利用してもよいし、国コードをランダムに選択してもよい。

「選択された国コードを有する、提供された全てのＳＩＭサービスのモバイルネットワークリストを組み合わせる」ステップ４３０では、ＳＩＭ位置マネージャ３２０は、選択された国コードを、提供されたＳＩＭサービスの好適なリストのモバイルネットワークの国コードと整合させることにより、新たな好適なモバイルネットワークリストを作成する。一実施形態では、この新たな好適なモバイルネットワークリストは、エントリがＳＩＭサービス全体において、および、１つのＳＩＭサービス内において、元の優先順位を保つように整えられる。複数のＳＩＭサービスが、同じ優先レベルで複数の整合するエントリを有する場合には、他の基準を利用してもよいし、モバイルネットワークにランダムに優先順位を割り当ててもよい。組み合わせられたモバイルネットワークリストについては、図５を参照して後に詳述する。

モバイルネットワークリストが組み合わせられると、制御は「組み合わせられたモバイルネットワークリストは空か？」という決定ポイント４３２に進む。「組み合わせられたモバイルネットワークリストは空か？」」という決定ポイント４３２では、ＳＩＭ位置マネージャ３２０は、組み合わせられたモバイルネットワークリストが空であるか否かをチェックする。リストが空ではない場合、制御は、「組み合わせられたモバイルネットワークリストからネットワークを選択する」ステップ４４０に進む。

モバイルネットワークリストが組み合わせられると、ＳＩＭ位置マネージャ３２０は、組み合わせられたモバイルネットワークリストを３Ｇ ＮＩＣ１６０に提供する、および／または、３Ｇ ＮＩＣ１６０に命じて、組み合わせられたモバイルネットワークリストに各ネットワークを１度に１つずつ登録する試みを行わせる。制御は、「組み合わせられたモバイルネットワークリストからネットワークを選択する」ステップ４４０に進む。ＳＩＭ位置マネージャ３２０は、組み合わせられたモバイルネットワークリストにおける優先順位に基づいてネットワークを選択してよい。ネットワークが選択されると、制御は「モバイルデバイスの、選択したネットワークへの登録を、対応する提供されたＳＩＭサービスの証明書を利用して試みさせる」ステップ４４２に進む。対応する提供されたＳＩＭサービスは、ネットワークを選択することで特定されているので、対応する提供されたＳＩＭサービスも、提供されたＳＩＭサービスから選択されると考えてよい。ＳＩＭ位置マネージャ３２０は、モバイルデバイスに、３Ｇ ＮＩＣ１６０に対して、対応する提供されたＳＩＭサービスの証明書を提供することで、選択されたネットワークへの登録を試みさせる。３Ｇ ＮＩＣ１６０は、提供された証明書を利用して、選択されたネットワークに対する登録を試みる。

そして制御は、「登録に成功？」という決定ポイント４４４に進む。選択されたネットワークへの登録が成功すると、制御は「ＳＩＭサービスに、成功した登録で利用された、提供されたＳＩＭサービスのＩＤを採用させる」ステップ４４６に進む。ＳＩＭ位置マネージャ３２０は、登録に成功した提供されたＳＩＭサービスのＩＤをＳＩＭサービス１５０に通知して、ＳＩＭサービス１５０は、選択されたネットワークへの成功した登録で利用された、提供されたＳＩＭサービスのＩＤを採用する。登録に成功した提供されたＳＩＭサービスのＩＤは、ＳＩＭサービス１５０が３Ｇネットワーク通信を試みる際に利用される。

ＳＩＭサービス１５０が、選択されたネットワークへの成功した登録で利用された、提供されたＳＩＭサービスのＩＤを採用すると、他の提供されたＳＩＭサービスは起動されることがないようにしてよい。これら他の提供されたＳＩＭサービスは、潜在的に対応するサービスプロバイダによる管理を受けるようにして、サービスプロバイダ１８０からの後の通信に関して上述したＳＩＭデータへの変更および／またはサービスパラメータへの変更を受け付けるようにすることができる。

「登録に成功した？」とう決定ポイント４４４では、選択されたネットワークへの登録に成功しなかった場合、制御は「組み合わせられたモバイルネットワークリストに他のエントリがあるか？」という決定ポイント４４６に進む。組み合わせられたモバイルネットワークリストにまだ他にエントリがある場合には、制御は「組み合わせられたモバイルネットワークリストからネットワークを選択する」ステップ４４０に戻り、ＳＩＭ位置マネージャ３２０が、別のネットワークを選択して登録を試みる。

「組み合わせられたモバイルネットワークリストに他にエントリがある？」という決定ポイント４４８では、組み合わせられたモバイルネットワークリストに他にエントリがない場合には、制御は「他のモバイルネットワークが利用可能？」ステップ４５０に進む。組み合わせられたモバイルネットワークリストに何もなくなった場合であっても、「利用可能なモバイルネットワークおよび信号品質を取得する」ステップ４１０で、異なる国コードを有する他のモバイルネットワークが特定されている場合もある。制御は「次に品質の高いモバイルネットワークの国コードを選択する」ステップ４６０に進む。そして制御は、「選択された国コードを有する、提供された全てのＳＩＭサービスからモバイルネットワークリストを組み合わせる」ステップ４３０に戻り、そこで、選択された国コードを有する提供されたＳＩＭサービスから、新たに好適なモバイルネットワークリストを組み合わせて、３Ｇ ＮＩＣ１６０に提供する。

「他のモバイルネットワークが利用可能？」ステップ４５０で、「利用可能なモバイルネットワークおよび信号品質を取得する」ステップ４１０で元々特定されていた利用可能なネットワークグループにネットワークがなくなると、モバイルデバイスとモバイルネットワークとの間の接続構築が成功しなかったということになる。すると制御は、「通信サービス起動要求を拒否する」ステップ４７０へ進む。ＳＩＭ位置マネージャ３２０は、デバイスに対する通信サービス構築ができなかったので、このデバイスに対する通信サービス起動要求を拒否する。

「組み合わせられたモバイルネットワークリストは空か？」という決定ポイント４３２では、ＳＩＭ位置マネージャ３２０は、組み合わせられたモバイルネットワークリストが空であるか否かをチェックする。このような状況には、利用可能なネットワークのなかに、提供されたＳＩＭサービスに対応するものがない場合、または、組み合わせられたモバイルネットワークリストに提供された唯一のＳＩＭサービスとの間の登録が失敗した場合が含まれる。リストが空である場合、制御は「他のモバイルネットワークが利用可能？」という決定ポイント４３４に進む。他に利用可能なモバイルネットワークがない場合、制御は「通信サービス起動要求を拒否する」ステップ４７０に進み、通信サービス起動要求を拒否する。

「他のモバイルネットワークが利用可能？」という決定ポイント４３４で、モバイルデバイスの位置に利用可能なモバイルネットワークが残っていない場合、制御は「提供されたＳＩＭサービスを選択する」ステップ４３６に進む。利用可能なネットワークに既に提供されたＳＩＭサービスがない場合であっても、提供されたＳＩＭサービスのいずれかの証明書を利用して、利用可能なネットワークにローミングデバイスとして接続する試みを行うこともできる。提供されたＳＩＭサービスの選択は、利用可能なネットワークのＭＣＣを利用して、且つ、その国のＩＭＳＩを有するＳＩＭサービスを利用して行うことができる。提供されたＳＩＭサービスのうちいずれも、利用可能なモバイルネットワークのＭＣＣに整合しない場合、提供されたＳＩＭサービスのうちのいずれかをランダムに選択してもよいし、他の選択基準に基づいた選択を行うこともできる。制御は「モバイルデバイスに、選択されたＳＩＭサービスの証明書を利用して、利用可能なネットワークへの登録を試みさせる」ステップ４３８に進む。ＳＩＭ位置マネージャ３２０は、モバイルデバイスに命じて、対応する提供されたＳＩＭサービスの証明書を３Ｇ ＮＩＣ１６０に対して提供することで、選択されたネットワークへの登録を試みさせる。３Ｇ ＮＩＣ１６０は、提供された証明書を利用して、選択されたネットワークに対する登録を試みる。

そして制御は、「登録に成功？」という決定ポイント４３９に進む。登録が成功すると、制御は「ＳＩＭサービスに、成功した登録で利用された、提供されたＳＩＭサービスのＩＤを採用させる」ステップ４４６に進み、上述の処理を行う。登録に成功しなかった場合、制御は「他のモバイルネットワークが利用可能？」ステップ４３４に戻り、上述の処理を行う。試行は、全ての提供されたＳＩＭサービスおよび全ての利用可能なネットワークを利用して、登録に成功するまで、あるいは、全ての利用可能なネットワークがなくなるまで、行われる。

ＳＩＭ位置マネージャ３２０の動作を、ＳＩＭ位置マネージャがＭＥ１３０内で実行される実施形態である図４を参照して説明してきた。別の実施形態では、ＳＩＭ位置マネージャ３２０は、ホストオペレーティングシステム１１１の制御の下にプロセッサ１１０上で実行されてもよい。この実装例では、ＳＩＭ位置マネージャ３２０は、他のホストオペレーション（例えばＧＰＳアプリケーション）と相互作用して、ホストデバイスの位置に基づいてモバイルネットワークを選択することもできる。ＳＩＭ位置マネージャ３２０は、さらに各ＳＩＭサービスの課金データにアクセスを有して、ユーザにとってコストが最小限に抑えられるようなモバイルネットワークを選択することもできる。一実施形態では、ＳＩＭ位置マネージャ３２０は、ユーザに、提供されたＳＩＭサービスおよびその配置領域に対する自身の好みを構成させることができる。

図５は、発明の一実施形態における２つの提供されたＳＩＭサービスの好適なモバイルリストの組み合わせを示す。好適な組み合わせられたモバイルネットワークリストは、図４の「選択された国コードを有する、提供された全てのＳＩＭサービスのモバイルネットワークリストを組み合わせる」ステップ４３０を参照して既に記載された。図５を参照すると、ＳＩＭ１サービス３５２のモバイルネットワークリスト５１０は、以下のような優先順位で好適なモバルネットワークをリストにする：モバイルネットワーク１（国コード０１）、モバイルネットワーク２（国コード０２）、モバイルネットワーク３（国コード０３）、およびモバイルネットワーク４（国コード０１）。ＳＩＭ２サービス３５４のモバイルネットワークリスト５２０は、以下のような優先順位で好適なモバルネットワークをリストにする：モバイルネットワーク５（国コード０３）、モバイルネットワーク６（ＭＣＣ０４）、モバイルネットワーク７（ＭＣＣ０１）。ここで選択されたＭＣＣをＭＣＣ０１と仮定する。すると組み合わされた好適なモバイルネットワークリスト５３０は、以下のような優先順位でモバイルネットワークを含む：モバイルネットワーク１、モバイルネットワーク７、およびモバイルネットワーク４。本例では、モバイルネットワークリストの組み合わせは、ＳＩＭ１サービス３５２におけるモバイルネットワークの優先順位を維持するように行われ（つまり、先ずはモバイルネットワーク１、その次がモバイルネットワーク４というように）、そしてＳＩＭサービス全体におけるモバイルネットワークの優先順位も維持されるように行われた（先ずはＳＩＭ１サービス３５２で優先順位が１番であるモバイルネットワーク１、そして、ＳＩＭ２サービス３５４で優先順位が３番であるモバイルネットワーク７、そして、ＳＩＭ１サービス３５２で優先順位が４番であるモバイルネットワーク４、というように）。

一実施形態では、モバイルネットワークは、あるシステムのある位置で利用可能な少なくとも１つのモバイルネットワークから選択される。システムにおいて複数の提供されたＳＩＭサービスが特定され、そのうち１つの提供されたＳＩＭサービスが選択される。選択される提供されたＳＩＭサービスの基準を利用して、選択されたモバイルネットワークとの通信が試みられる。

一実施形態では、複数の提供されたＳＩＭサービスの各々のモバイルネットワークリストが組み合わせられて、組み合わせられたモバイルネットワークリストが作成され、この組み合わせられたモバイルネットワークリストから、該１つのモバイルネットワークが選択される。一実施形態では、その位置で利用可能な少なくとも１つのモバイルネットワークから利用可能なサービスのうち、最高のサービス品質を提供する、最高品質のモバイルネットワークを特定する。最高品質のモバイルネットワークの国コードを特定して、この国コードを利用して、組み合わせられたモバイルネットワークリストに含めるべきモバイルネットワークを選択する。一実施形態では、システムのセキュアなパーティションのＳＩＭサービスは、選択されたＳＩＭサービスのＩＤを採用する。

図６は、本発明の一実施形態におけるセキュアなサブスクライバ識別モジュールを実装する仮想マシン環境を示す。プラットフォーム６００が仮想化されている場合には、プロセッサを１つしか含まなくても、ホスト上の仮想マシンモニタ（「ＶＭＭ６３０」）が、ホストの複数の抽象化および／または複数のビューを提示することができ、ホストの基になるハードウェアが、１以上の独立動作する仮想マシン（「ＶＭ」）として見える。ＶＭＭ６３０は、ソフトウェア（例えばスタンドアローンのプログラムおよび／またはホストオペレーティングシステムのコンポーネントとしての）、ハードウェア、ファームウェア、および／または、それらの任意の組み合わせとして実装することができる。ＶＭＭ６３０は、ホストのリソース割り当てを管理して、ラウンドロビン方式その他の予め定められたスキームにより様々なＶＭ間のサイクルに必要なコンテキストスイッチを行う。当業者であれば、ここにはプロセッサが１つしか示されていないが（「プロセッサ６０５」）、本発明の実施形態がこれに限定されず、仮想化環境内で複数のプロセッサを利用することができることを容易に理解する。

また、ここには２つのＶＭパーティションしか示していないが（「ＶＭ６１０」および「ＶＭ６２０」であり、ここでは「ＶＭ」と総称することにする）、ＶＭはあくまで例示であり、さらなる仮想マシンをホストに追加することもできる。ＶＭ６１０およびＶＭ６２０は、それぞれが自立型のプラットフォームとして機能することができ、自身の「ゲストオペレーティングシステム」（「ゲストＯＳ６１１」「ゲストＯＳ６２１」として示され、「ゲストＯＳ」と総称される、ＶＭＭ６３０がホストするオペレーティングシステムのこと）およびその他のソフトウェア（「ゲストソフトウェア６１２」「ゲストソフトウェア６２２」として示され、「ゲストソフトウェア」として総称される）を実行する。

各ゲストＯＳおよび／またはゲストソフトウェアは、仮想マシン上ではなくて、あたかも専用コンピュータ上で実行されているかのように動作する。つまり、各ゲストＯＳおよび／またはゲストソフトウェアは、様々なイベントを制御して、プラットフォーム６００上のハードウェアリソースに対してアクセスを有することが想定されてよい。各ＶＭ内では、ゲストＯＳおよび／またはゲストソフトウェアは、あたかも実際にプラットフォーム６００の物理的なハードウェア（ネットワークコントローラ６６０を含みうる「ホストハードウェア６４０」）上で実行されているかのように振舞うことができる。

当業者であれば、図１のＭＥ１３０のような専用プロセッサを有する物理的なハードウェアパーティションが、仮想化されたパーティション（図６に示す）よりも高いレベルのセキュリティを提供しうることを理解するであろうが、本発明の実施形態は、いずれの環境で実行されても、および／またはこれら環境の組み合わせで実行されてもよく、これにより異なるレベルのセキュリティの提供が可能である。さらに当業者には明らかなように、ＭＥ、ＡＭＴ，またはＰＲＬプラットフォームは仮想化された環境内で実装することができる。例えばＶＭ６２０をホスト上のＭＥパーティションとして専用化して、ＶＭ６１０をホスト上の通常のアプリケーションを実行するものとすることもできる。この場合には、ホストは複数のプロセッサを含んでも含まなくてもよい。例えばホストが２つのプロセッサを実際に含む場合には、ＶＭ６２０が他のプロセッサを割り当てられ、ＶＭ６１０が（およびホスト上の他のＶＭが）プロセッサ６０５のリソースを共有してもよい。他方、ホストがプロセッサを１つだけ含む場合には、該プロセッサをＶＭ両方へのサービス提供に利用することができるが、ＶＭ６２０は、ＶＭＭ６３０と協同することでホスト上の他のＶＭから隔離された状態であってよい。説明を容易にするべく、本発明の実施形態はＭＥの環境を例にとって記載されたが、本発明の実施形態はこの点に限定されない。そうではなくて、管理エンジン、ＭＥ、「パーティション」、「セキュアなパーティション」、「セキュリティパーティション」および／または「管理パーティション」等の全ての言及に、上述したような、任意の物理的な、および／または仮想のパーティションが含まれてよい。

本明細書で開示したメカニズムの実施形態は、ハードウェア、ソフトウェア、ファームウェア、またはこれら実装方法の組み合わせによる実装が可能である。本発明の実施形態は、少なくとも１つのプロセッサ、データ格納システム（揮発性および不揮発性メモリ、および／または、格納エレメントを含む）、少なくとも１つの入力デバイス、および少なくとも１つの出力デバイスを含むプログラム可能システム上で実装されるコンピュータプログラムとしての実装が可能である。

プログラムコードを入力データに適用して、記載してきた機能を行い、出力情報を生成することができる。本発明の実施形態はさらに、本発明の動作を実行する命令を含む、あるいは、記載してきた構造、回路、装置、プロセッサ、および／またはシステムのフィーチャを定義する設計データ（ＨＤＬ等）を含むマシンアクセス可能媒体を含む。このような実施形態はプログラムプロダクトと称されることもある。

このようなマシンアクセス可能格納媒体は、限定を意図せず、マシンまたはデバイスが製造または形成する有形の粒子配列（ハードディスク等の格納媒体、フロッピー（登録商標）ディスク、光ディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、および光磁気ディスク等の任意の他の種類のディスク、ＲＯＭ、ＤＲＡＭ、ＳＲＡＭ等のＲＡＭ、ＥＰＲＯＭ、ＦＬＡＳＨ（flash programmable memory）、ＥＥＰＲＯＭ（登録商標）、磁気カードまたは光カード等の半導体素子、または電子命令を格納するのに適した任意の他の種類の媒体）を含む。

出力情報は公知の方法で１以上の出力デバイスに適用することができる。この用途において処理システムには、ＤＳＰ（digital signal processor）、マイクロコントローラ、ＡＳＩＣ（application specific integrated circuit）、またはマイクロプロセッサ等のプロセッサを有する任意のシステムが含まれる。

プログラムは、処理システムと通信するべく、高レベルプロシージャまたはオブジェクト指向プログラミング言語で実装することができる。プログラムはさらに適宜、アセンブリまたは機械言語としても実装することができる。実際のところ、記載してきたメカニズムの範囲は、特定のプログラミング言語に限定されない。いずれの場合であっても言語は、コンパイルまたは解釈された言語であってよい。

ここには、物理的なＳＩＭカードを必要としないセキュアなプラットフォームベースのサブスクライバ識別モジュールサービスを提供する方法およびシステムの実施形態が提供されている。本発明の特定の実施形態を示し、記載してきたが、当業者であれば添付請求項の範囲を逸脱することなく、複数の変更、変形、および修正を加えることができる。従って当業者であれば、本発明の広義の範囲を逸脱せずに多くの変形例および変更例が想到可能であることを理解する。添付請求項の範囲には、本発明の真の範囲および精神に含まれる全てのこのような変更、変形、および修正が含まれることが意図されている。

ここには、物理的なＳＩＭカードを必要としないセキュアなプラットフォームベースのサブスクライバ識別モジュールサービスを提供する方法およびシステムの実施形態が提供されている。本発明の特定の実施形態を示し、記載してきたが、当業者であれば添付請求項の範囲を逸脱することなく、複数の変更、変形、および修正を加えることができる。従って当業者であれば、本発明の広義の範囲を逸脱せずに多くの変形例および変更例が想到可能であることを理解する。添付請求項の範囲には、本発明の真の範囲および精神に含まれる全てのこのような変更、変形、および修正が含まれることが意図されている。
［項目１］
システムのセキュアなパーティションで実行されるコンピュータ実装される方法であって、
前記システムの通信サービスを起動する要求を受信すると、前記通信サービスの起動を要求する許可を作成する段階と、
前記通信サービスのサービスプロバイダに前記許可を送り、前記サービスプロバイダが許可サービスと通信して前記通信サービスを起動するための前記許可のデジタル署名を取得する段階と、
前記サービスプロバイダから、署名された許可を受信する段階と、
前記セキュアなパーティションだけがアクセス可能な格納装置から前記許可サービスの鍵を取得する段階と、
前記署名された許可が前記許可サービスによる前記デジタル署名を含むことを、前記鍵を利用して確認する段階と、
前記署名された許可が前記許可サービスによる前記デジタル署名を含むことが確認されると、前記システムの前記通信サービスを起動する段階とを備える方法。
［項目２］
前記許可に対してノンスを生成する段階と、
前記システムの前記通信サービスを起動する前に、前記署名された許可が前記ノンスを含むことを確認する段階とをさらに備える項目１に記載の方法。
［項目３］
前記セキュアなパーティションだけがアクセス可能な前記格納装置に前記署名された許可を格納する段階をさらに備える項目１に記載の方法。
［項目４］
前記鍵は、前記セキュアなパーティションのハードウェア製造時に前記セキュアなパーティションだけがアクセス可能な前記格納装置に埋め込まれる項目１に記載の方法。
［項目５］
前記署名された許可は、前記サービスプロバイダの第２の鍵を含み、
前記方法は、
前記サービスプロバイダから、後の通信を受信する段階と、
前記後の通信に対してアクションする前に、前記後の通信が前記サービスプロバイダの前記第２の鍵に関連付けられていることを確認する段階とをさらに備える項目１に記載の方法。
［項目６］
装置であって、
少なくとも１つのプロセッサと、
前記プロセッサのホストオペレーティングシステムから隔離されたセキュアなパーティションと、
前記セキュアなパーティションだけがアクセス可能な格納装置と、
前記セキュアなパーティションで実行される少なくとも１つのサービスについての命令を有するメモリとを備え、
前記命令は、
前記システムの通信サービスを起動する要求を受信すると、前記通信サービスの起動を要求する許可を作成する段階と、
前記通信サービスのサービスプロバイダに前記許可を送り、前記サービスプロバイダが許可サービスと通信して前記通信サービスを起動するための前記許可のデジタル署名を取得する段階と、
前記サービスプロバイダから、署名された許可を受信する段階と、
前記セキュアなパーティションだけがアクセス可能な前記格納装置から前記許可サービスの鍵を取得する段階と、
前記署名された許可が前記許可サービスによる前記デジタル署名を含むことを、前記鍵を利用して確認する段階と、
前記署名された許可が前記許可サービスによる前記デジタル署名を含むことが確認されると、前記システムの前記通信サービスを起動する段階とを実行させる装置。
［項目７］
前記鍵は、前記セキュアなパーティションのハードウェア製造時に前記セキュアなパーティションだけがアクセス可能な前記格納装置に埋め込まれる項目６に記載の装置。
［項目８］
コンピュータに、
処理システムの通信サービスを起動する要求を受信すると、前記通信サービスの起動を要求する許可を作成する段階と、
前記通信サービスのサービスプロバイダに前記許可を送り、前記サービスプロバイダが許可サービスと通信して前記通信サービスを起動するための前記許可のデジタル署名を取得する段階と、
前記サービスプロバイダから、署名された許可を受信する段階と、
前記処理システムのセキュアなパーティションだけがアクセス可能な格納装置から前記許可サービスの鍵を取得する段階と、
前記署名された許可が前記許可サービスによる前記デジタル署名を含むことを、前記鍵を利用して確認する段階と、
前記署名された許可が前記許可サービスによる前記デジタル署名を含むことが確認されると、前記システムの前記通信サービスを起動する段階と、
を実行させるためのプログラム。
［項目９］
コンピュータ実装される方法であって、
要求を発行するシステムから、通信サービスの起動を要求する許可を受信する段階と、
前記許可に鍵を追加する段階と、
許可サービスから、署名された許可を取得して、前記許可サービスが前記許可にデジタル署名を加えて前記署名された許可を作成する段階と、
前記署名された許可を、前記要求を発行するシステムに送り、前記要求を発行するシステムは、前記システムの前記通信サービスを起動する前に、前記署名された許可が前記許可サービスによる前記デジタル署名を含むことを確認する段階と、
前記要求を発行するシステムに、後の通信を送り、前記後の通信は、前記通信サービスのパラメータを修正するコマンドを含み、前記要求を発行するシステムは、前記通信サービスを修正する前に、前記後の通信が前記鍵に関連付けられていることを確認する段階と、
を備える方法。
［項目１０］
前記署名された許可を取得する前に、認証鍵およびＩＭＳＩ（International Mobile Subscriber Identifier）を前記許可に加える段階をさらに備える項目９に記載の方法。

Claims (22)

1. システムのセキュアなパーティションで実行されるコンピュータ実装される方法であって、
   前記システムの通信サービスを起動する要求を受信すると、前記通信サービスの起動を要求する許可を作成する段階と、
   前記通信サービスのサービスプロバイダに前記許可を送り、前記サービスプロバイダが許可サービスと通信して前記通信サービスを起動するための前記許可のデジタル署名を取得する段階と、
   前記サービスプロバイダから、署名された許可を受信する段階と、
   前記セキュアなパーティションだけがアクセス可能な格納装置から前記許可サービスの鍵を取得する段階と、
   前記署名された許可が前記許可サービスによる前記デジタル署名を含むことを、前記鍵を利用して確認する段階と、
   前記署名された許可が前記許可サービスによる前記デジタル署名を含むことが確認されると、前記システムの前記通信サービスを起動する段階とを備える方法。
2. 前記許可に対してノンスを生成する段階と、
   前記システムの前記通信サービスを起動する前に、前記署名された許可が前記ノンスを含むことを確認する段階とをさらに備える請求項１に記載の方法。
3. 前記セキュアなパーティションだけがアクセス可能な前記格納装置に前記署名された許可を格納する段階をさらに備える請求項１に記載の方法。
4. 前記鍵は、前記セキュアなパーティションのハードウェア製造時に前記セキュアなパーティションだけがアクセス可能な前記格納装置に埋め込まれる請求項１に記載の方法。
5. 前記署名された許可は、前記サービスプロバイダの第２の鍵を含み、
   前記方法は、
   前記サービスプロバイダから、後の通信を受信する段階と、
   前記後の通信に対してアクションする前に、前記後の通信が前記サービスプロバイダの前記第２の鍵に関連付けられていることを確認する段階とをさらに備える請求項１に記載の方法。
6. 装置であって、
   少なくとも１つのプロセッサと、
   前記プロセッサのホストオペレーティングシステムから隔離されたセキュアなパーティションと、
   前記セキュアなパーティションだけがアクセス可能な格納装置と、
   前記セキュアなパーティションで実行される少なくとも１つのサービスについての命令を有するメモリとを備え、
   前記命令は、
   前記システムの通信サービスを起動する要求を受信すると、前記通信サービスの起動を要求する許可を作成する段階と、
   前記通信サービスのサービスプロバイダに前記許可を送り、前記サービスプロバイダが許可サービスと通信して前記通信サービスを起動するための前記許可のデジタル署名を取得する段階と、
   前記サービスプロバイダから、署名された許可を受信する段階と、
   前記セキュアなパーティションだけがアクセス可能な前記格納装置から前記許可サービスの鍵を取得する段階と、
   前記署名された許可が前記許可サービスによる前記デジタル署名を含むことを、前記鍵を利用して確認する段階と、
   前記署名された許可が前記許可サービスによる前記デジタル署名を含むことが確認されると、前記システムの前記通信サービスを起動する段階とを実行させる装置。
7. 前記鍵は、前記セキュアなパーティションのハードウェア製造時に前記セキュアなパーティションだけがアクセス可能な前記格納装置に埋め込まれる請求項６に記載の装置。
8. コンピュータプログラムプロダクトであって、
   コンピュータ可読格納媒体と、
   前記コンピュータ可読格納媒体内の命令とを備え、
   前記命令は、処理システムのセキュアなパーティションで実行されると、前記セキュアなパーティションで実行されているサービスに、
   前記システムの通信サービスを起動する要求を受信すると、前記通信サービスの起動を要求する許可を作成する段階と、
   前記通信サービスのサービスプロバイダに前記許可を送り、前記サービスプロバイダが許可サービスと通信して前記通信サービスを起動するための前記許可のデジタル署名を取得する段階と、
   前記サービスプロバイダから、署名された許可を受信する段階と、
   前記セキュアなパーティションだけがアクセス可能な格納装置から前記許可サービスの鍵を取得する段階と、
   前記署名された許可が前記許可サービスによる前記デジタル署名を含むことを、前記鍵を利用して確認する段階と、
   前記署名された許可が前記許可サービスによる前記デジタル署名を含むことが確認されると、前記システムの前記通信サービスを起動する段階と
   を実行させるコンピュータプログラムプロダクト。
9. コンピュータ実装される方法であって、
   要求を発行するシステムから、通信サービスの起動を要求する許可を受信する段階と、
   前記許可に鍵を追加する段階と、
   許可サービスから、署名された許可を取得して、前記許可サービスが前記許可にデジタル署名を加えて前記署名された許可を作成する段階と、
   前記署名された許可を、前記要求を発行するシステムに送り、前記要求を発行するシステムは、前記システムの前記通信サービスを起動する前に、前記署名された許可が前記許可サービスによる前記デジタル署名を含むことを確認する段階と、
   前記要求を発行するシステムに、後の通信を送り、前記後の通信は、前記通信サービスのパラメータを修正するコマンドを含み、前記要求を発行するシステムは、前記通信サービスを修正する前に、前記後の通信が前記鍵に関連付けられていることを確認する段階と
   を備える方法。
10. 前記署名された許可を取得する前に、認証鍵およびＩＭＳＩ（International Mobile Subscriber Identifier）を前記許可に加える段階をさらに備える請求項９に記載の方法。
11. コンピュータ実装される方法であって、
    システムのある位置で利用可能な少なくとも１つのモバイルネットワークからモバイルネットワークを選択する段階と、
    前記システムの複数の提供されたＳＩＭサービスを特定する段階と、
    前記複数の提供されたＳＩＭサービスから１つの提供されたＳＩＭサービスを選択する段階と、
    前記選択された１つの提供されたＳＩＭサービスの証明書を利用して、前記選択されたモバイルネットワークとの通信を試みる段階と
    を備える方法。
12. 前記複数の提供されたＳＩＭサービスの各々のモバイルネットワークリストを組み合わせて、組み合わせられたモバイルネットワークリストを作成し、前記選択されたモバイルネットワークは、前記組み合わせられたモバイルネットワークリストから選択される段階をさらに備える請求項１１に記載の方法。
13. 前記位置で利用可能な前記少なくとも１つのモバイルネットワークから利用可能なサービスのうち最高品質のサービスを提供する最高品質のモバイルネットワークを特定する段階と、
    前記最高品質のモバイルネットワークの国コードを特定する段階と、
    前記国コードを利用して、前記組み合わせられたモバイルネットワークリストに含めるモバイルネットワークを選択する段階とをさらに備える請求項１２に記載の方法。
14. 前記システムのセキュアなパーティションのＳＩＭサービスに、前記選択された１つの提供されたＳＩＭサービスのＩＤを採用させ、前記セキュアなパーティションは前記システムのホストオペレーティングシステムから隔離されている段階をさらに備える請求項１１に記載の方法。
15. 装置であって、
    少なくとも１つのプロセッサと、
    前記プロセッサのホストオペレーティングシステムから隔離されたセキュアなパーティションと、
    前記セキュアなパーティションで実行される少なくとも１つのサービスについての命令を有するメモリとを備え、
    前記命令は、
    前記システムのある位置で利用可能な少なくとも１つのモバイルネットワークからモバイルネットワークを選択する段階と、
    前記システムの複数の提供されたＳＩＭサービスを特定する段階と、
    前記複数の提供されたＳＩＭサービスから１つの提供されたＳＩＭサービスを選択する段階と、
    前記選択された１つの提供されたＳＩＭサービスの証明書を利用して、前記選択されたモバイルネットワークとの通信を試みる段階と
    を実行させる装置。
16. 前記命令は、
    前記複数の提供されたＳＩＭサービスの各々のモバイルネットワークリストを組み合わせて、組み合わせられたモバイルネットワークリストを作成し、前記選択されたモバイルネットワークは、前記組み合わせられたモバイルネットワークリストから選択される段階をさらに実行させる請求項１５に記載の装置。
17. 前記命令は、
    前記位置で利用可能な前記少なくとも１つのモバイルネットワークから利用可能なサービスのうち最高品質のサービスを提供する最高品質のモバイルネットワークを特定する段階と、
    前記最高品質のモバイルネットワークの国コードを特定する段階と、
    前記国コードを利用して、前記組み合わせられたモバイルネットワークリストに含めるモバイルネットワークを選択する段階とをさらに実行させる請求項１６に記載の装置。
18. 前記命令は、
    前記システムのセキュアなパーティションのＳＩＭサービスに、前記選択された１つの提供されたＳＩＭサービスのＩＤを採用させる段階をさらに実行させる請求項１５に記載の装置。
19. コンピュータプログラムプロダクトであって、
    コンピュータ可読格納媒体と、
    前記コンピュータ可読格納媒体内の命令とを備え、
    前記命令は、処理システムのセキュアなパーティションで実行されると、前記セキュアなパーティションで実行されているサービスに、
    前記処理システムのある位置で利用可能な少なくとも１つのモバイルネットワークからモバイルネットワークを選択する段階と、
    前記処理システムの複数の提供されたＳＩＭサービスを特定する段階と、
    前記複数の提供されたＳＩＭサービスから１つの提供されたＳＩＭサービスを選択する段階と、
    前記選択された１つの提供されたＳＩＭサービスの証明書を利用して、前記選択されたモバイルネットワークとの通信を試みる段階と
    を実行させるコンピュータプログラムプロダクト。
20. 前記命令は、
    前記複数の提供されたＳＩＭサービスの各々のモバイルネットワークリストを組み合わせて、組み合わせられたモバイルネットワークリストを作成し、前記選択されたモバイルネットワークは、前記組み合わせられたモバイルネットワークリストから選択される段階をさらに実行させる請求項１９に記載のコンピュータプログラムプロダクト。
21. 前記位置で利用可能な前記少なくとも１つのモバイルネットワークから利用可能なサービスのうち最高品質のサービスを提供する最高品質のモバイルネットワークを特定する段階と、
    前記最高品質のモバイルネットワークの国コードを特定する段階と、
    前記国コードを利用して、前記組み合わせられたモバイルネットワークリストに含めるモバイルネットワークを選択する段階とをさらに実行させる請求項２０に記載のコンピュータプログラムプロダクト。
22. 前記命令は、
    前記セキュアなパーティションのＳＩＭサービスに、前記選択された１つの提供されたＳＩＭサービスのＩＤを採用させる段階をさらに実行させる請求項１９に記載のコンピュータプログラムプロダクト。

Images