JP2014078185A - 情報処理システムおよび方法、並びに情報処理端末 - Google Patents

Abstract

【課題】ネットワークサービスに接続する際のセキュリティを強化することができる。
【解決手段】ユーザは他の端末を操作し、起動プロセス変更サーバにアクセスし、盗難されてしまった携帯端末の起動プロセスの一部の変更を要求する。これに対応して、起動プロセス変更サーバは、携帯端末の起動プロセスの一部の変更有りを示すフラグを登録する。携帯端末は、起動プロセス中に、起動プロセス変更サーバにアクセスし、フラグ情報を確認する。フラグ情報が起動プロセスの一部の変更有りを示す場合、携帯端末は、起動プロセスの一部を変更し、一部が変更された起動プロセスの処理過程を計測して、その計測結果をTPMに保存する。本開示は、例えば、サービスを提供するサーバと、そのサービスを利用する端末からなる情報処理システムに適用することができる。
【選択図】図１

Description

本開示は、情報処理システムおよび方法、並びに情報処理端末に関し、特に、ネットワークサービスに接続する際のセキュリティを強化することができるようにした情報処理システムおよび方法、並びに情報処理端末に関する。

近年、ネットワークサービスなどへの接続時に、端末機器の正当性をネットワークサービス側が検証して接続を許可する際に、端末機器のTPM(Trusted Platform Module)に管理されている暗号鍵やパスワードなどが用いられている（特許文献１参照）。

特開２０１１−２５８１９９号公報

しかしながら、TPMでの管理が安全であったとしても、端末機器の盗難時など、仮に、端末機器にログインするためのパスワードが漏れてしまうと、その端末機器が用いられることにより、金融機関などのネットワークサービスに接続されてしまう恐れがあった。

本開示は、このような状況に鑑みてなされたものであり、ネットワークサービスに接続する際のセキュリティを強化することができるものである。

本開示の一側面の情報処理システムは、所定のサービスを提供する情報提供装置と、前記情報提供装置が提供する所定のサービスを利用する情報処理端末とを含み、前記情報処理端末は、耐タンパ性を有するメモリと、起動プロセスの少なくとも一部を変更するプロセス変更部と、前記プロセス変更部により少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報を前記メモリに書き込む情報書き込み部と、前記情報書き込み部により前記メモリに書き込まれた計測結果に関する情報を外部に送信する送信部とを備え、前記情報提供装置は、前記情報処理端末から送信された計測結果に関する情報を比較することで、認証を行う認証部を備える。

前記プロセス変更部は、外部から取得される情報に応じて、前記起動プロセスの少なくとも一部を変更することができる。

前記プロセス変更部は、ユーザによる所定の操作の有無に応じて、前記起動プロセスの少なくとも一部を変更することができる。

前記プロセス変更部は、前記起動プロセスの設定情報の少なくとも一部を変えることで、前記起動プロセスの少なくとも一部を変更することができる。

前記プロセス変更部は、前記起動プロセスにダミーモジュールを実行させることで、前記起動プロセスの少なくとも一部を変更することができる。

前記プロセス変更部は、前記起動プロセスにフラグを持たせることで、前記起動プロセスの少なくとも一部を変更することができる。

前記プロセス変更部は、前記起動プロセスの構成情報を変えることで、前記起動プロセスの少なくとも一部を変更することができる。

本開示の一側面の情報処理方法は、所定のサービスを提供する情報提供装置と、前記情報提供装置が提供する所定のサービスを利用する情報処理端末とを含む情報処理システムにおいて、前記情報処理端末が、起動プロセスの少なくとも一部を変更し、少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報を、耐タンパ性を有するメモリに書き込み、前記メモリに書き込まれた計測結果に関する情報を外部に送信し、前記情報提供装置が、前記情報処理端末から送信された計測結果に関する情報を比較することで、認証を行う。

本開示の他の側面の情報処理端末は、耐タンパ性を有するメモリと、起動プロセスの少なくとも一部を変更するプロセス変更部と、前記プロセス変更部により少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報を前記メモリに書き込む情報書き込み部と、認証のために、前記情報書き込み部により前記メモリに書き込まれた計測結果に関する情報を外部に送信する送信部と、前記認証の結果に応じた情報を、外部から受信する受信部とを備える。

前記プロセス変更部は、外部から取得される情報に応じて、前記起動プロセスの少なくとも一部を変更することができる。

前記プロセス変更部は、ユーザによる所定の操作の有無に応じて、前記起動プロセスの少なくとも一部を変更することができる。

本開示の一側面においては、情報処理端末により、起動プロセスの少なくとも一部が変更され、少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報が、耐タンパ性を有するメモリに書き込まれ、前記メモリに書き込まれた計測結果に関する情報が外部に送信される。また、情報提供装置により、前記情報処理端末から送信された計測結果に関する情報を比較することで、認証が行われる。

本開示の他の側面においては、起動プロセスの少なくとも一部が変更され、少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報が耐タンパ性を有するメモリに書き込まれ、認証のために、前記メモリに書き込まれた計測結果に関する情報が外部に送信され、前記認証の結果に応じた情報が、外部から受信される。

本開示によれば、ネットワークサービスに接続する際のセキュリティを強化することができる。

本技術を適用した情報処理システムの構成例を示す図である。 携帯端末のハードウエア構成例を示すブロック図である。 携帯端末の機能的構成例を示すブロック図である。 起動プロセス変更サーバの機能的構成を示すブロック図である。 サービスサーバの機能的構成を示すブロックである。 端末と起動プロセス変更サーバとの処理を説明するフローチャートである。 携帯端末の起動処理を説明するフローチャートである。 起動プロセス変更サーバの処理を説明するフローチャートである。 携帯端末の接続要求処理と、その処理に対応して行われるサービスサーバの認証処理を説明するフローチャートである。 本技術を適用した情報処理システムの他の構成例を示す図である。 携帯端末の機能的構成例を示すブロック図である。 携帯端末の起動処理を説明するフローチャートである。

以下、本開示を実施するための形態（以下実施の形態とする）について説明する。なお、説明は以下の順序で行う。
１．第１の実施の形態（外部アクセスによる起動プロセス変更）
２．第２の実施の形態（ユーザ操作による起動プロセス変更）

＜第１の実施の形態＞
[本技術の通信システムの構成]
図１は、本技術を適用した情報処理システムの構成例を示す図である。

図１の例において、情報処理システム１は、携帯端末１１、端末１２、起動プロセス変更サーバ１３、およびサービスサーバ１４が、ネットワーク１５を介して相互に接続されて構成されている。

携帯端末１１は、例えば、ノート型パーソナルコンピュータ、タブレット端末、または、スマートフォンと呼ばれる多機能携帯電話機などの携帯可能な端末で構成されており、ユーザＡにより所有されている。なお、携帯端末１１は、必ずしも、携帯可能な端末でなくてもよい。携帯端末１１は、ネットワーク１５を介して、起動プロセス変更サーバ１３、およびサービスサーバ１４などと通信を行う。

端末１２は、例えば、パーソナルコンピュータなどで構成されており、ユーザＡにより所有されている。端末１２は、ネットワーク１５を介して、起動プロセス変更サーバ１３などと通信を行う。

起動プロセス変更サーバ１３は、携帯端末１１に対して、起動プロセスの一部の変更を行うか否かを示すフラグ情報をたてておき、例えば、起動プロセス時に、携帯端末１１が、ネットワーク１５越しにそのフラグ情報を確認できるサービスを提供する。

すなわち、起動プロセス変更サーバ１３は、端末１２からの要求に応じて、所定の端末の起動プロセスの一部の変更を行うか否かを示すフラグ情報を登録しておく。そして、起動プロセス変更サーバ１３は、登録されている所定の携帯端末１１からのアクセスがあった場合に、そのフラグ情報をその所定の携帯端末１１に送信する。

サービスサーバ１４は、携帯端末１１に、例えば、銀行や証券などの特定のサービスを提供する情報提供装置である。サービスサーバ１４は、アクセスしてきた携帯端末１１に対して認証処理を行い、認証済みの携帯端末１１に対して接続を許可し、特定のサービスを提供する。

ネットワーク１５は、例えば、インターネットや専用通信回線などで構成される。ネットワーク１５は、有線であってもよいし、無線であってもよい。

なお、図１の情報処理システム１においては、携帯端末１１、端末１２、起動プロセス変更サーバ１３、およびサービスサーバ１４が１台ずつしか接続されていないが、それぞれ１台に限らず、任意の台数、接続されてもよい。

以上のように構成される、情報処理システム１について、さらに具体的に説明する。

例えば、ユーザＡは、携帯端末１１を利用し、ネットワーク１５を介して、サービスサーバ１４が提供するサービスの提供を受けている。

携帯端末１１は、TPM(Trusted Platform Module)（後述する図３のTPM５２）やTPMに準ずるものを有しており、サービスサーバ１４と、TPMを用いた遠隔認証を行って、サービスサーバ１４でのサービスの提供を受ける。すなわち、TPMに準ずるものであれば、必ずしもTPMでなくてもよい。

すなわち、携帯端末１１は、起動プロセスに含まれている各コンポーネント（構成要素）の処理過程を計測し、計測した値（計測結果）をTPMに保存し、サービスサーバ１４からの認証要求に応じてTPMに保存した計測値をサービスサーバ１４に送信する。これに対応して、サービスサーバ１４は、受信した計測値と、予め登録されている期待値との比較を行うことで、携帯端末１１が正常な起動プロセスで起動しているかどうかを検証し、携帯端末１１の認証を行う。

しかしながら、携帯端末１１が盗難にあってしまい、仮に、携帯端末１１にログインするためのパスワードが漏れてしまうと、その携帯端末１１が用いられて、サービスサーバ１４に接続されてしまう恐れがある。

そこで、ユーザＡは、携帯端末１１が盗難にあった場合、他の端末１２を操作し、ネットワーク１５を介して、起動プロセス変更サーバ１３にアクセスし、携帯端末１１の起動プロセスの一部の変更を要求する。起動プロセス変更サーバ１３は、端末１２からの変更要求を受けると、携帯端末１１の起動プロセスの一部の変更を登録する。すなわち、この登録により、携帯端末１１の起動プロセスの一部の変更を行うか否かを示すフラグ情報がオンに設定される。

携帯端末１１は、電源が投入された場合、起動プロセス中に、起動プロセス変更サーバ１３にアクセスしてくるので、起動プロセス変更サーバ１３は、このアクセスに対応して、登録されているフラグ情報を、携帯端末１１に送信する。

フラグ情報が起動プロセスの一部の変更を行うことを示す場合、携帯端末１１は、起動プロセスの一部を変更し、一部が変更された起動プロセスのコンポーネントの処理過程を計測して、その計測値をTPMに保存する。

すなわち、ユーザが携帯端末１１から操作設定できない領域の起動プロセスの一部が変更されるので、意図的にTPMチップ内の結果（計測値）が正常な起動プロセスでの計測値と異なる値となる。

その結果、正常な起動プロセスでの計測値と異なる計測値が、サービスサーバ１４での認証時にTPMから読み出され送信されるので、サービスサーバ１４での認証が不可になり、そのサービスサーバ１４のサービスに接続できなくなる。

したがって、携帯端末が盗難され、仮に携帯端末にログインするためのパスワードが漏れた場合でも（すなわち、不正に携帯端末１１にログインできたとしても）、ログインしたユーザで、特定のサービスには接続できないようにすることができる。

[携帯端末のハードウエア構成]
図２は、携帯端末１１のハードウエア構成の例を示すブロック図である。

携帯端末１１において、CPU（Central Processing Unit）３１，ROM（Read Only Memory）３２，RAM（Random Access Memory）３３は、バス３４により相互に接続されている。

バス３４には、さらに、入出力インタフェース３５が接続されている。入出力インタフェース３５には、入力部３６、出力部３７、記憶部３８、通信部３９、及びドライブ４０が接続されている。

入力部３６は、キーボード、マウス、マイクロホンなどよりなる。出力部３７は、ディスプレイ、スピーカなどよりなる。記憶部３８は、ハードディスクや不揮発性のメモリなどよりなる。通信部３９は、ネットワークインタフェースなどよりなる。ドライブ４０は、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリなどのリムーバブル記録媒体４１を駆動する。

以上のように構成される携帯端末１１では、CPU３１が、例えば、記憶部３８に記憶されているプログラムを、入出力インタフェース３５及びバス３４を介して、RAM３３にロードして実行することにより、以下に説明する一連の処理が行われる。

なお、端末１２、起動プロセス変更サーバ１３、およびサービスサーバ１４を構成する機器は、それぞれ、図２の携帯端末１１と同様のハードウエア構成を有するため、その説明は繰り返しになるので省略する。

また、携帯端末１１のハードウエア構成は、図２の例に限定されず、後述する図３の機能的構成を少なくとも有していればよい。同様に、起動プロセス変更サーバ１３のハードウエア構成は、図２の例に限定されず、後述する図４の機能的構成を少なくとも有していればよい。サービスサーバ１４のハードウエア構成は、図２の例に限定されず、後述する図５の機能的構成を少なくとも有していればよい。

[携帯端末の機能的構成]
図３は、携帯端末１１の機能的構成の例を示すブロック図である。

図３の例において、携帯端末１１は、起動プロセス部５１、TPM５２、ＯＳ（Operating system）５３を含むように構成されている。

起動プロセス部５１は、起動処理部６１、および計測結果情報書き込み部６２からなり、携帯端末１１の起動プロセスを行い、起動プロセスの各コンポーネントの計測結果を、TPM５２に保存する。

TPM５２は、乱数生成、公開鍵暗号の処理、ハッシュ値の計算、秘密鍵の保存、耐タンパ性、など、暗号モジュールとしての基本機能を有している。TPM５２がICカードなど既存の暗号モジュールと異なる点は、TPM内のPCR(Platform Configuration Register)と呼ばれる記憶領域が、携帯端末１１内で可動する各種ソフトウェアモジュールのハッシュ値を記録可能な点である。

起動処理部６１は、少なくとも外部アクセス部７１を含む複数のコンポーネント（モジュール）で構成されており、各コンポーネントが処理を行うことで、携帯端末１１の起動プロセスが行われる。この起動プロセスにより、ＯＳ５３が起動される。また、起動処理部６１には、フラグ情報記憶部７２が構成されている。

外部アクセス部７１は、起動プロセス中に、ネットワーク１５を介して外部の起動プロセス変更サーバ１３にアクセスを行う処理を行う。なお、この起動プロセス中の起動は、電源のオン時の起動と省電力モードから回復時の起動とを含む。また、外部アクセス部７１は、起動プロセス中に限らず、ある一定期間おきに、起動プロセス変更サーバ１３とのアクセスを行うようにしてもよい。

外部アクセス部７１は、そのアクセスにより起動プロセス変更サーバ１３から変更を行うことを示すフラグ情報を取得した場合、フラグ情報記憶部７２に保存する。そして、起動処理部６１は、フラグ情報記憶部７２のフラグ情報に基づいて、起動プロセス（処理）の一部を変更するか否かの判定を行い、起動処理を行う。

外部アクセス部７１が外部にアクセスができない場合、起動処理部６１は、フラグ情報記憶部７２のフラグ情報に基づいて、起動プロセス（処理）の一部を変更するか否かの判定を行い、起動処理を行う。

計測結果情報書き込み部６２は、起動プロセスに含まれている各コンポーネント（構成要素）を正しく計測し、計測値をTPM５２に安全に保存する。ここで言う、正しく計測とは、携帯端末１１に搭載されているコンポーネントのコードやデータを改ざんされることなく取り、それらのハッシュ値を求めることを意味する。また、安全に保存するとは、求められたハッシュ値が計算後に改ざんされずに保存され、それが維持できることを意味する。これらを実現するため、計測結果情報書き込み部６２は、例えば、計測されたデータのハッシュ演算をTPM５２内で行い、その結果を、TPM５２内にあるレジスタ（PCR）に格納する。

ここで、ハッシュ値は、起動プロセスに含まれている各コンポーネントの一部を少しでも変更すると、その結果が変わる。すなわち、計測結果であるハッシュ値を変えるためには、起動プロセスの一部を、携帯端末１１の起動を妨げないレベルで変えればよい。例えば、起動プロセスの一部の設定情報、構成情報、またはコンフィグレーションを変更したり、フラグを持たせるように変更したり、ダミーモジュールを追加するように変更することなどがあげられるが、変更の方法は、これらに限定されない。

ＯＳ５３は、制御部８１、計測結果情報送信部８２、接続要求部８３、および認証結果受信部８４を含むように構成されており、起動後の携帯端末１１の基本的な処理を行う。

制御部８１は、入力部３６からのユーザの操作などに応じて、ＯＳ５３の各部を制御する。具体的には、制御部８１は、入力部３６を介して、例えば、ユーザのサービスサーバ１４への接続要求が入力された場合、接続要求部８３を制御し、サービスサーバ１４へ接続要求を行わせる。また、制御部８１は、認証結果受信部８４からのサービスサーバ１４における認証結果を示す情報を受けると、その認証結果に応じた表示を、出力部３７を構成するディスプレイに表示させる。

接続要求部８３は、制御部８１の制御のもと、通信部３９を介して、ネットワーク１５に接続されるサービスサーバ１４に接続要求を行う。接続要求部８３は、その接続要求に対してサービスサーバ１４から送信されてくる起動プロセスに含まれている各コンポーネントの計測結果に関する情報の要求を、通信部３９を介して受信し、その要求を計測結果情報送信部８２ に供給する。

計測結果情報送信部８２は、接続要求部８３からの要求に対応して、TPM５２から起動プロセスに含まれている各コンポーネントの計測結果に関する情報を読み出す。計測結果情報送信部８２は、読み出した計測結果に関する情報を、通信部３９を介してサービスサーバ１４に送信する。

その計測結果に関する情報に対応して、サービスサーバ１４においては、認証処理が行われ、その認証結果を示す情報がサービスサーバ１４から送られてくる。認証結果受信部８４は、サービスサーバ１４からの認証結果を示す情報を受信し、受信した情報を制御部８１に通知する。

例えば、認証結果を示す情報が可を示す場合、携帯端末１１は、サービスサーバ１４と接続され、サービスサーバ１４のサービスを受けることができる。

[起動プロセス変更サーバの機能的構成]
図４は、起動プロセス変更サーバ１３の機能的構成の例を示すブロック図である。

図４の例において、起動プロセス変更サーバ１３は、変更登録部１０１、変更情報記憶部１０２、情報読み出し部１０３、および情報送信部１０４を含むように構成されている。

変更登録部１０１は、端末１２から送信されてくる携帯端末１１の起動プロセスの一部の変更を行うか否かを示すフラグ情報を、通信部３９を介して受信すると、変更情報記憶部１０２に、受信したフラグ情報を登録する。

変更情報記憶部１０２は、携帯端末１１などのユーザ情報（例えば、ユーザＩＤとパスワードなど）の１つとして、起動プロセスの一部の変更を行うか否かを示すフラグ情報を記憶する。

情報読み出し部１０３は、携帯端末１１からのアクセスに対応して、携帯端末１１に対応するフラグ情報を読み出し、読み出したフラグ情報を情報送信部１０４に供給する。

情報送信部１０４は、情報読み出し部１０３からのフラグ情報を、通信部３９を介して、携帯端末１１に送信する。

[サービスサーバの機能的構成]
図５は、サービスサーバ１４の機能的構成の例を示すブロック図である。

図５の例において、サービスサーバ１４は、接続要求受信部１２１、ユーザ情報記憶部１２２、計測結果情報要求部１２３、計測結果情報受信部１２４、認証部１２５、および認証結果送信部１２６を含むように構成されている。

接続要求受信部１２１は、携帯端末１１からの接続要求を、通信部３９を介して受信する。接続要求受信部１２１は、ユーザ情報記憶部１２２を検索し、接続を要求してきた携帯端末１１が、サービスサーバ１４が提供するサービスにユーザ登録されている端末であるか否かを判定し、その判定結果を計測結果情報要求部１２３に供給する。

ユーザ情報記憶部１２２は、例えば、サービス登録時などに登録されるユーザ情報を記憶している。ユーザ情報は、少なくとも、ユーザＩＤ、パスワード、端末を一意に識別可能な識別情報、およびその端末の正常な起動プロセスでの計測結果である期待値などからなる。

計測結果情報要求部１２３は、ユーザ登録されている端末であると判定された携帯端末１１に対しては、通信部３９を介して、起動プロセスに含まれている各コンポーネントの計測結果に関する情報の要求を行う。計測結果情報要求部１２３は、ユーザ登録されている端末ではないと判定された携帯端末１１に対しては、通信部３９を介して、例えば、ユーザ登録を行う必要がある旨などの情報を送信する。

計測結果情報受信部１２４は、携帯端末１１からの計測結果に関する情報を、通信部３９を介して受信すると、受信した計測結果に関する情報を認証部１２５に供給する。認証部１２５は、計測結果情報受信部１２４からの計測結果に関する情報を用いて、携帯端末１１の認証処理を行う。

すなわち、認証部１２５は、受信した計測結果に関する情報と、予め登録されている期待値とを比較することで、それらが一致したか否かを判定し、その判定結果を、認証結果送信部１２６に供給する。

認証結果送信部１２６は、認証部１２５の認証結果を示す情報を、通信部３９を介して、携帯端末１１に送信する。

すなわち、受信した計測結果の情報と期待値とが一致した場合、認証完了を示す情報が、認証結果を示す情報として送信され、その後、携帯端末１１のサービス利用が許可される。受信した計測結果の情報と期待値とが一致しなかった場合、認証不可を示す情報が、認証結果を示す情報として送信される。

[端末と起動プロセス変更サーバとの処理]
次に、図６のフローチャートを参照して、端末１２と起動プロセス変更サーバ１３との処理について説明する。

例えば、起動プロセス変更サーバ１３が提供するサービスを受けるため、ユーザＡは、所有する携帯端末１１などを用いて、起動プロセス変更サーバ１３にアクセスし、ユーザＩＤ、パスワードなどを、ユーザ情報として登録しておく。なお、ユーザ情報を登録する端末は、携帯端末１１に限らない。ユーザ情報は、例えば、変更情報記憶部１０２に記憶される。この際に、変更情報記憶部１０２には、ユーザ情報として、携帯端末１１の端末識別情報も登録され、起動プロセスの一部の変更を行うか否かを示すフラグ情報もオフ状態で登録される。

そして、携帯端末１１が盗難にあった場合、ユーザＡは、サービスサーバ１４のサービスにおいて携帯端末１１を使用停止にするため、すぐに、他の端末１２の入力部３６を操作し、起動プロセス変更サーバ１３にアクセスし、ユーザＩＤとパスワードを入力する。

端末１２は、ステップＳ１１において、入力部３６から入力されるユーザの操作に対応して、通信部３９を介して、起動プロセス変更サーバ１３にアクセスし、ユーザ名とパスワードを送信することで、携帯端末１１の起動プロセス変更の要求を行う。

起動プロセス変更サーバ１３の変更登録部１０１は、ステップＳ２１において、送信されてきたユーザ名とパスワードに応じて、携帯端末１１の起動プロセス変更の要求を受ける。

なお、そのユーザＩＤとパスワードで複数台の端末が登録されている場合には、起動プロセス変更サーバ１３から、そのリストが送信されてくるので、対象となる端末の選択情報が送信され、選択情報に対応する端末の起動プロセス変更の要求を受けることとなる。

そして、ステップＳ２２において、変更登録部１０１は、変更情報記憶部１０２に、携帯端末１１の起動プロセスの一部の変更を登録する。すなわち、変更登録部１０１は、変更情報記憶部１０２に携帯端末１１のユーザ情報として記憶されているフラグ情報をオン（変更を行う）に設定する。

すなわち、図６の例においては、サービスサーバ１４のサービスにおいて携帯端末１１を使用停止にするため、起動プロセス変更の要求を行う例を説明した。これに対して、サービスサーバ１４のサービスにおいて携帯端末１１を使用停止から解除する（使用可能に復帰する）場合は、要求内容が変更解除であることと、それに対して設定されることがフラグ情報のオフであることが異なるだけであり、変更要求の場合と基本的に同様に行うことができる。

[携帯端末の起動処理]
次に、図７のフローチャートを参照して、携帯端末１１の起動処理について説明する。

例えば、ユーザが携帯端末１１の電源をオンにする。これに対応して、起動処理部６１は、ステップＳ５１において、起動プロセスを開始する。

ステップＳ５２において、外部アクセス部７１は、ネットワーク１５（通信部３９）を介して外部の起動プロセス変更サーバ１３にアクセス可能であるか否かを判定する。

ステップＳ５２においてアクセス可能であると判定された場合、処理は、ステップＳ５３に進む。ステップＳ５３において、外部アクセス部７１は、起動プロセス変更サーバ１３からフラグ情報を取得する。

すなわち、外部アクセス部７１が、起動プロセス変更サーバ１３にアクセスすると、このアクセスに対応して、起動プロセス変更サーバ１３は、ネットワーク１５を介して、起動プロセスの一部を変更するか否かを示すフラグ情報を送信してくる（後述する図８のステップＳ８３）。

外部アクセス部７１は、フラグ情報を、通信部３９を介して取得すると、ステップＳ５４において、取得したフラグ情報を、フラグ情報記憶部７２に保存する。これにより、起動プロセス変更サーバ１３にアクセスできない場合であっても、取得できた最新のフラグ情報を確認することができる。

一方、ステップＳ５２においてアクセス不可であると判定された場合、処理は、ステップＳ５３およびＳ５４をスキップし、ステップＳ５５に進む。

ステップＳ５５において、起動処理部６１は、フラグ情報記憶部７２に保存されているフラグ情報がオンであるか否かを判定する。ステップＳ５５において、フラグ情報がオンであると判定された場合、処理は、ステップＳ５６に進む。ステップＳ５６において、起動処理部６１は、起動プロセス（処理）の一部を変更して、起動処理を行う。すなわち、一部が変更された起動プロセスが行われ、各コンポーネントが順に処理を行っていく。

ステップＳ５５において、フラグ情報がオフであると判定された場合、処理は、ステップＳ５７に進む。ステップＳ５７において、起動処理部６１は、起動プロセスをそのまま実行する。すなわち、この場合、変更されない正常な起動プロセスが行われ、各コンポーネントが順に処理を行っていく。

ステップＳ５８において、計測結果情報書き込み部６２は、起動プロセスに含まれている各コンポーネント（構成要素）を計測し、計測値をTPM５２に保存する。

起動プロセスの一部が変更された場合、この計測値は、サービスサーバ１４に登録されている正常な計測値とは異なる値となる。起動プロセスの変更がない場合、この計測値は、サービスサーバ１４に登録されている正常な計測値と一致する。

なお、この計測は、例えば、コンポーネントが終了する毎に行われ、計測値が保存される。すなわち、次のコンポーネントが処理されると、また、計測が行われ、PCRに畳みこみながら保存される操作が全体の処理が完了するまで繰り返される。

ステップＳ５９において、起動処理部６１は、起動プロセスを終了する。以上のプロセスにより、起動プロセスの一部の変更の有無に拘らず、携帯端末１１が起動し、ＯＳ５３が実行される。

[起動プロセス変更サーバの処理]
次に、図８のフローチャートを参照して、図７を参照して上述した携帯端末１１の起動処理に対応して行われる起動プロセス変更サーバ１３の処理について説明する。

ステップＳ８１において、情報読み出し部１０３は、ネットワーク１５越しに端末からアクセスがあるまで待機している。例えば、上述した図７のステップＳ５３において、携帯端末１１からアクセスがあると、ステップＳ８１において、アクセスがあったと判定され、処理は、ステップＳ８２に進む。

ステップＳ８２において、情報読み出し部１０３は、アクセスがあった携帯端末１１の識別情報を基に、変更情報記憶部１０２から、起動プロセスの一部の変更を行うか否かを示すフラグ情報を読み出し、読み出したフラグ情報を、情報送信部１０４に供給する。

ステップＳ８３において、情報送信部１０４は、情報読み出し部１０３からのフラグ情報を、ネットワーク１５を介して、アクセスがあった携帯端末１１に送信する。

[接続要求処理と認証処理]
次に、図９のフローチャートを参照して、携帯端末１１の接続要求処理と、その処理に対応して行われるサービスサーバ１４の認証処理について説明する。

携帯端末１１の制御部８１には、入力部３６を介して、例えば、ユーザのサービスサーバ１４への接続要求が入力される。接続要求部８３は、ステップＳ１１１において、制御部８１の制御のもと、通信部３９を介して、ネットワーク１５に接続されるサービスサーバ１４に接続要求を行う。

サービスサーバ１４の接続要求受信部１２１は、ステップＳ１２１において、携帯端末１１からの接続要求を、通信部３９を介して受信し、ユーザ情報記憶部１２２のユーザ情報を確認する。すなわち、接続要求受信部１２１は、ユーザ情報記憶部１２２のユーザ情報を検索し、接続を要求してきた携帯端末１１が、サービスサーバ１４が提供するサービスにユーザ登録されている端末であるか否かを判定する。そして、接続要求受信部１２１は、その判定結果を計測結果情報要求部１２３に供給する。

計測結果情報要求部１２３は、ステップＳ１２２において、ユーザ登録されている端末である場合、携帯端末１１に対し、通信部３９を介して、起動プロセスに含まれている各コンポーネントの計測結果に関する情報の要求を行う。なお、ユーザ登録されている端末ではないと判定された携帯端末１１に対しては、通信部３９を介して、例えば、ユーザ登録を行う必要がある旨などの情報が送信される。

携帯端末１１の接続要求部８３は、ステップＳ１１２において、起動プロセスに含まれている各コンポーネントの計測結果に関する情報の要求を受信し、その要求を計測結果情報送信部８２に供給する。

計測結果情報送信部８２は、ステップＳ１１３において、接続要求部８３からの要求に対応して、TPM５２から起動プロセスに含まれている各コンポーネントの計測結果に関する情報を読み出す。そして、計測結果情報送信部８２は、読み出した計測結果に関する情報を、通信部３９を介してサービスサーバ１４に送信する。

サービスサーバ１４の計測結果情報受信部１２４は、ステップＳ１２３において、携帯端末１１からの計測結果に関する情報を、通信部３９を介して受信すると、認証部１２５は、計測結果情報受信部１２４が受信した計測結果に関する情報を用いて、携帯端末１１の認証処理を行う。

すなわち、計測結果情報受信部１２４は、携帯端末１１からの計測結果に関する情報を、通信部３９を介して受信すると、受信した計測結果に関する情報を認証部１２５に供給する。認証部１２５は、計測結果情報受信部１２４からの計測結果に関する情報を用いて、携帯端末１１の認証処理を行う。

具体的には、認証部１２５は、受信した計測結果に関する情報と、予め登録されている期待値とを比較することで、それらが一致したか否かを判定し、その判定結果を、認証結果送信部１２６に供給する。

認証結果送信部１２６は、ステップＳ１２４において、認証部１２５の認証結果を示す情報を、通信部３９を介して、携帯端末１１に送信する。

すなわち、受信した計測結果の情報と期待値とが一致した場合、認証完了を示す情報が、認証結果を示す情報として送信され、その後、携帯端末１１のサービス利用が許可される。受信した計測結果の情報と期待値とが一致しなかった場合、認証不可を示す情報が、認証結果を示す情報として送信される。

携帯端末１１の認証結果受信部８４は、ステップＳ１１４において、サービスサーバ１４から送られてくるその認証結果を示す情報を受信し、受信した情報を制御部８１に通知する。

そして、制御部８１は、認証結果受信部８４からのサービスサーバ１４における認証結果を示す情報を受けると、その認証結果に応じた表示を、出力部３７を構成するディスプレイに表示させる。

ここで、認証結果を示す情報が可を示す場合、携帯端末１１は、サービスサーバ１４と接続され、サービスサーバ１４のサービスを受けることができる。

以上のように、図１の情報処理システム１においては、外部の起動プロセス変更サーバ１３のフラグ情報を参照して、携帯端末１１の起動プロセスの一部が変更される。

これにより、サービスサーバ１４のサービスを利用するために必要な起動プロセスの計測結果が、正常な起動プロセスの計測結果と異なる値をとることになり、サービスサーバ１４のサービスを使用することができない。

したがって、携帯端末１１が盗難にあい、仮に、ログインパスワードが漏えいしてしまったとしても、起動プロセス変更サーバ１３に変更指示を出すだけで、サービスサーバ１４のサービスの使用を禁止することができる。

しかも、起動プロセス変更サーバ１３への変更指示は、端末１２からできるので、利用端末が盗難にあった場合でも、電話での手続きなどは必要なく、簡単に行うことができる。

なお、例えば、ユーザが、TPMを用いた遠隔認証を行うサービスサーバ１４をある１台の携帯端末１１で複数利用していた場合、従来は、複数のサービスサーバ１４毎に使用停止の手続きを行うことが必要であった。

これに対して、本技術によれば、他の端末（端末１２）から、起動プロセス変更サーバ１３に１度変更指示を出すだけで、複数のサービスサーバ１４のサービスの使用を１度に禁止することができる。

さらに、使用停止の解除も、使用停止の場合と同様に、他の端末（端末１２）から、起動プロセス変更サーバ１３への変更指示を解除すればよく、簡単に行うことができる。

＜第２の実施の形態＞
[本技術の通信システムの他の構成]
図１０は、本技術を適用した情報処理システムの他の構成例を示す図である。

図１０の例において、情報処理システム２０１は、携帯端末２１１、およびサービスサーバ１４が、ネットワーク１５を介して相互に接続されて構成されている。

情報処理システム２０１は、サービスサーバ１４およびネットワーク１５を備える点が、図１の情報処理システム１と共通している。

情報処理システム２０１は、携帯端末１１が携帯端末２１１に入れ替わった点、端末１２および起動プロセス変更サーバ１３が除かれた点が、図１の情報処理システム１と異なっている。

携帯端末２１１は、例えば、ノート型パーソナルコンピュータ、タブレット端末、または、スマートフォンと呼ばれる多機能携帯電話機などの携帯可能な端末で構成されており、ユーザＡにより所有されている。なお、携帯端末２１１は、必ずしも、携帯可能な端末でなくてもよい。携帯端末２１１は、ネットワーク１５を介して、サービスサーバ１４と通信を行う。

なお、図１０の情報処理システム２０１においても、携帯端末２１１、およびサービスサーバ１４が１台ずつしか接続されていないが、それぞれ１台に限らず、任意の台数、接続される。

以上のように構成される情報処理システム２０１について、さらに具体的に説明する。

携帯端末２１１は、携帯端末１１と同様に、TPM（後述する図１１のTPM５２）やTPMに準ずるものを有しており、サービスサーバ１４と、TPMを用いた遠隔認証を行って、サービスサーバ１４でのサービスの提供を受ける。図１の場合と同様に、すなわち、TPMに準ずるものであれば、必ずしもTPMでなくてもよい。

携帯端末２１１が盗難にあってしまい、仮に、携帯端末２１１にログインするためのパスワードが漏れてしまうと、その携帯端末２１１が用いられて、サービスサーバ１４に接続されてしまう恐れがある。

そこで、図１０の携帯端末２１１は、起動プロセスのモードとして、ノーマルモードと、シークレットモードを有するように構成される。すなわち、ノーマルモードは、サービスサーバ１４に接続不可能であるが、その他の機能は使用可能な起動プロセス、すなわち、通常の起動プロセスで起動を行うモードである。一方、シークレットモードは、サービスサーバ１４に接続可能な起動プロセスで起動を行うモードである。

ユーザＡは、サービスサーバ１４のサービスを受ける際、携帯端末２１１を操作して、起動時にシークレットモードを選択する。例えば、このシークレットモードは、キーパッドの所定のキーを順に押さないと選択できないように管理されていたり、さらに、パスワードで管理されているようにしてもよい。

携帯端末２１１は、この選択に応じて、シークレットモードの起動プロセスで起動を行う。この場合、携帯端末２１１は、ノーマルモードの起動プロセスの一部を変更して、すなわち、シークレットモードの起動プロセスで、起動を行う。

なお、ユーザ登録時などに、予め、ユーザＡにより、シークレットモードの起動プロセスで起動が行われ、サービスサーバ１４に、シークレットモードの起動プロセスのコンポーネントの処理過程を計測した計測値が期待値として登録されている。したがって、ノーマルモードの起動プロセスが一部変更された起動プロセス（すなわち、シークレットモードの起動プロセス）のコンポーネントの処理過程を計測した計測値は、サービスサーバ１４に登録されている期待値と同じである。これにより、サービスサーバ１４により認証が許可され、サービスサーバ１４のサービスを受けることが可能になる。

これに対して、起動時にシークレットモードが選択されない場合、携帯端末２１１は、ノーマルモードの起動プロセスで起動する。

携帯端末２１１は、シークレットモードが選択されない場合、ノーマルモードの起動プロセスで、起動を行う。したがって、この場合の起動プロセスのコンポーネントの処理過程を計測した計測値は、サービスサーバ１４に登録されている期待値と異なっているので、サービスサーバ１４により認証が不可になり、サービスサーバ１４のサービスに接続できなくなる。

すなわち、携帯端末２１１においては、シークレットモードは、サービスサーバ１４からのサービスを受けるときのみ使用され、サービスサーバ１４からサービスを受けないときは、ノーマルモードで起動される。

このように、ノーマルモードの起動プロセスとシークレットモードの起動プロセスが異なり、通常では、ノーマルモードが用いられ、シークレットモードが選択されない限り、起動プロセスの一部が変更されて起動されない。

したがって、携帯端末が盗難され、仮に携帯端末にログインするためのパスワードが漏れた場合でも（すなわち、不正に携帯端末２１１にログインできたとしても）、ログインしたユーザで、特定のサービスには接続できないようにすることができる。

なお、図１の情報処理システム１においては、外部の起動プロセス変更サーバ１３を利用して、携帯端末１１の起動プロセスの一部が変更されて、サービスの不正利用を防止するようにした。これに対して、図１０の情報処理システム２０１においては、ユーザのモードの選択に応じて、携帯端末２１１の起動プロセスの一部が変更されて、サービスの不正利用が防止される。

[携帯端末の機能的構成]
図１１は、携帯端末２１１の機能的構成の例を示すブロック図である。なお、携帯端末２１１を構成する機器は、それぞれ、図２の携帯端末１１と同様のハードウエア構成を有するため、その説明は繰り返しになるので省略する。また、携帯端末２１１のハードウエア構成は、図２の例に限定されず、図１１の機能的構成を少なくとも有していればよい。

図１１の例において、携帯端末２１１は、起動プロセス部２５１、TPM５２、ＯＳ５３を含むように構成されている。

携帯端末２１１は、TPM５２とＯＳ５３を備えている点は、図３の携帯端末１１と共通している。携帯端末２１１は、起動プロセス部５１が、起動プロセス部２５１に変更された点が、図３の携帯端末１１と異なっている。

すなわち、起動プロセス部２５１は、起動処理部２６１、モードフラグ情報記憶部２６２、および計測結果情報書き込み部６２からなり、携帯端末２１１の起動プロセスを行い、起動プロセスの各コンポーネントの計測結果を、TPM５２に保存する。

起動処理部２６１は、複数のコンポーネント（モジュール）で構成されており、各コンポーネントが処理を行うことで、携帯端末２１１の起動プロセスが行われる。この起動プロセスにより、ＯＳ５３が起動される。

また、起動処理部２６１は、起動時にモードフラグ情報記憶部２６２のシークレットモードフラグを確認することで、シークレットモードでの起動であるか、ノーマルモードでの起動であるかを判定する。

起動処理部２６１は、ノーマルモードでの起動である場合、起動プロセス（処理）をそのまま実行する。起動処理部２６１は、シークレットモードでの起動である場合、起動プロセス（処理）の一部を変更して、一部変更された起動プロセスを実行する。

図３を参照して上述したように、計測結果を変えるために、起動プロセスの一部は、起動を妨げないレベルで変更される。例えば、起動プロセスの一部の設定情報やコンフィグレーションを変更したり、フラグを持たせるように変更したり、ダミーモジュールを追加するように変更することなどがあげられるが、変更の方法は、これらに限定されない。

モードフラグ情報記憶部２６２には、シークレットモードフラグが記憶されている。電源オン後におけるユーザによる入力部３６の操作（複数の所定のキー入力やパスワード入力など）により、シークレットモードフラグは、オンとなる。電源オン後、その操作がなければ、シークレットモードフラグは、オフとなる。

計測結果情報書き込み部６２は、図３を参照して上述したように、起動プロセスに含まれている各コンポーネント（構成要素）を正しく計測し、計測値をTPM５２に安全に保存する。

なお、上記説明においては、シークレットモードの起動である場合に、起動プロセスの一部を変更する場合を説明したが、ノーマルモードの起動である場合に、起動プロセスの一部を変更するようにしてもよい。ただし、もちろん、この場合には、一部が変更されない起動プロセスの測定値が期待値としてサービスサーバ１４に登録されていることになる。

また、シークレットモードの起動である場合に、起動プロセスの一部を変更する場合を説明したが、予め、ノーマルモードの起動プロセスと、シークレットモードの起動プロセスを持っておき、どちらかを選択して実行するようにしてもよい。

[携帯端末の起動処理]
次に、図１２のフローチャートを参照して、携帯端末２１１の起動処理について説明する。

例えば、ユーザが携帯端末２１１の電源をオンにする。電源のオンに対応して、起動処理部２６１は、ステップＳ２１１において、起動プロセスを開始する。

ステップＳ２１２において、起動処理部２６１は、ノーマルモードでの起動であるか否かを判定する。ユーザがシークレットモードで起動するための操作をせず、入力部３６からのユーザの操作信号がない場合、モードフラグ情報記憶部２６２のシークレットフラグは、オフとなっている。この場合、ステップＳ２１２において、ノーマルモードでの起動であると判定され、処理は、ステップＳ２１３に進む。

ステップＳ２１３において、起動処理部２６１は、ノーマルモードでの起動処理を行う。すなわち、この場合、変更されない正常な起動プロセスが行われ、各コンポーネントが順に処理を行っていく。

一方、電源オンの際、入力部３６の操作（複数の所定のキー入力やパスワード入力など）により、ユーザは、シークレットモードで携帯端末２１１の起動を選択する。入力部３６からのユーザの操作信号は、モードフラグ情報記憶部２６２に入力され、シークレットフラグがオンに設定される。この場合、ステップＳ２１２において、ノーマルモードでの起動ではないと判定され、処理は、ステップＳ２１４に進む。

ステップＳ２１４において、起動処理部２６１は、起動プロセスの一部を変更し、一部が変更されたシークレットモードでの起動処理を行う。すなわち、一部が変更された起動プロセスが行われ、各コンポーネントが順に処理を行っていく。

ステップＳ２１５において、計測結果情報書き込み部６２は、起動プロセスに含まれている各コンポーネント（構成要素）を計測し、計測値をTPM５２に保存する。

サービスサーバ１４には、シークレットモードでの起動プロセスのコンポーネントの処理過程を計測した計測値が期待値として予め登録されているため、ノーマルモードの起動プロセスの場合、この計測値は、サービスサーバ１４に登録されている計測値とは異なる値となる。シークレットモードの起動プロセスの場合、この計測値は、サービスサーバ１４に登録されている計測値と一致する。

なお、この計測は、例えば、コンポーネントが終了する毎に行われ、計測値が保存される。すなわち、次のコンポーネントが処理されると、また、計測が行われ、PCRに畳みこみながら保存される操作が起動処理部２６１の全体の処理が完了するまで繰り返される。

ステップＳ２１６において、起動処理部２６１は、起動プロセスを終了する。以上のプロセスにより、起動プロセスの一部の変更の有無に拘らず、携帯端末２１１が起動し、ＯＳ５３が実行される。

なお、携帯端末２１１の起動後の処理である携帯端末２１１の接続要求処理と、その処理に対応して行われるサービスサーバ１４の認証処理については、図９を参照して上述した処理と基本的に同様の処理であるため、その説明は繰り返しになるので省略される。

以上のように、図１０の情報処理システム２０１においては、ユーザよりシークレットモード選択で起動する設定がされた場合だけ、携帯端末２１１の起動プロセスの一部が変更される。

これにより、ノーマルモードの場合、サービスサーバ１４のサービスを利用するために必要な起動プロセスの計測結果が、予め登録されている起動プロセスの計測結果と異なる値をとることになり、サービスサーバ１４のサービスを使用することができない。

また、例えば、ユーザが、TPMを用いた遠隔認証を行うサービスサーバ１４を複数利用していた場合、従来は、複数のサービスサーバ１４毎に使用停止の手続きを行うことが必要であった。

これに対して、本技術によれば、ユーザによるシークレットモード選択なしに、携帯端末２１１を立ち上げるだけであれば、複数のサービスサーバ１４のサービスの使用を１度に禁止することができる。

さらに、携帯端末２１１がユーザの手に戻ってきた場合、起動時に、シークレットモード選択を行えばよく、使用停止の解除を簡単に行うことができる。

上述した一連の処理は、ハードウエアにより実行することもできるし、ソフトウエアにより実行することもできる。一連の処理をソフトウエアにより実行する場合には、そのソフトウエアを構成するプログラムが、コンピュータにインストールされる。ここで、コンピュータには、専用のハードウエアに組み込まれているコンピュータや、各種のプログラムをインストールすることで、各種の機能を実行することが可能な、例えば汎用のパーソナルコンピュータなどが含まれる。

すなわち、図２のように構成されるコンピュータでは、CPU３１が、例えば、記憶部３８に記憶されているプログラムを、入出力インタフェース３５及びバス３４を介して、RAM３３にロードして実行することにより、上述した一連の処理が行われる。

コンピュータ（CPU３１）が実行するプログラムは、例えば、パッケージメディア等としてのリムーバブル記録媒体４１に記録して提供することができる。また、プログラムは、ローカルエリアネットワーク、インターネット、デジタル衛星放送といった、有線または無線の伝送媒体を介して提供することができる。

コンピュータでは、プログラムは、リムーバブル記録媒体４１をドライブ４０に装着することにより、入出力インタフェース３５を介して、記憶部３８にインストールすることができる。また、プログラムは、有線または無線の伝送媒体を介して、通信部３９で受信し、記憶部３８にインストールすることができる。その他、プログラムは、ROM３２や記憶部３８に、あらかじめインストールしておくことができる。

なお、コンピュータが実行するプログラムは、本明細書で説明する順序に沿って時系列に処理が行われるプログラムであっても良いし、並列に、あるいは呼び出しが行われたとき等の必要なタイミングで処理が行われるプログラムであっても良い。

なお、本明細書において、上述した一連の処理を記述するステップは、記載された順序に沿って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理をも含むものである。

また、本開示における実施の形態は、上述した実施の形態に限定されるものではなく、本開示の要旨を逸脱しない範囲において種々の変更が可能である。

例えば、本技術は、１つの機能を、ネットワークを介して複数の装置で分担、共同して処理するクラウドコンピューティングの構成をとることができる。

また、上述のフローチャートで説明した各ステップは、１つの装置で実行する他、複数の装置で分担して実行することができる。

さらに、１つのステップに複数の処理が含まれる場合には、その１つのステップに含まれる複数の処理は、１つの装置で実行する他、複数の装置で分担して実行することができる。

また、以上において、１つの装置（または処理部）として説明した構成を分割し、複数の装置（または処理部）として構成するようにしてもよい。逆に、以上において複数の装置（または処理部）として説明した構成をまとめて１つの装置（または処理部）として構成されるようにしてもよい。また、各装置（または各処理部）の構成に上述した以外の構成を付加するようにしてももちろんよい。さらに、システム全体としての構成や動作が実質的に同じであれば、ある装置（または処理部）の構成の一部を他の装置（または他の処理部）の構成に含めるようにしてもよい。つまり、本技術は、上述した実施の形態に限定されるものではなく、本技術の要旨を逸脱しない範囲において種々の変更が可能である。

以上、添付図面を参照しながら本開示の好適な実施形態について詳細に説明したが、開示はかかる例に限定されない。本開示の属する技術の分野における通常の知識を有するであれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例また修正例に想到し得ることは明らかであり、これらについても、当然に本開示の技術的範囲に属するものと了解される。

なお、本技術は以下のような構成も取ることができる。
（１） 所定のサービスを提供する情報提供装置と、前記情報提供装置が提供する所定のサービスを利用する情報処理端末とを含み、
前記情報処理端末は、
耐タンパ性を有するメモリと、
起動プロセスの少なくとも一部を変更するプロセス変更部と、
前記プロセス変更部により少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報を前記メモリに書き込む情報書き込み部と、
前記情報書き込み部により前記メモリに書き込まれた計測結果に関する情報を外部に送信する送信部と
を備え、
前記情報提供装置は、
前記情報処理端末から送信された計測結果に関する情報を比較することで、認証を行う認証部
を備える情報処理システム。
（２） 前記プロセス変更部は、外部から取得される情報に応じて、前記起動プロセスの少なくとも一部を変更する
前記（１）に記載の情報処理システム。
（３） 前記プロセス変更部は、ユーザによる所定の操作の有無に応じて、前記起動プロセスの少なくとも一部を変更する
前記（１）に記載の情報処理システム。
（４） 前記プロセス変更部は、前記起動プロセスの設定情報の少なくとも一部を変えることで、前記起動プロセスの少なくとも一部を変更する
前記（１）乃至（３）のいずれかに記載の情報処理システム。
（５） 前記プロセス変更部は、前記起動プロセスにダミーモジュールを実行させることで、前記起動プロセスの少なくとも一部を変更する
前記（１）乃至（３）のいずれかに記載の情報処理システム。
（６） 前記プロセス変更部は、前記起動プロセスにフラグを持たせることで、前記起動プロセスの少なくとも一部を変更する
前記（１）乃至（３）のいずれかに記載の情報処理システム。
（７） 前記プロセス変更部は、前記起動プロセスの構成情報を変えることで、前記起動プロセスの少なくとも一部を変更する
前記（１）乃至（３）のいずれかに記載の情報処理システム。
（８） 所定のサービスを提供する情報提供装置と、前記情報提供装置が提供する所定のサービスを利用する情報処理端末とを含む情報処理システムにおいて、
前記情報処理端末が、
起動プロセスの少なくとも一部を変更し、
少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報を、耐タンパ性を有するメモリに書き込み、
前記メモリに書き込まれた計測結果に関する情報を外部に送信し、
前記情報提供装置が、
前記情報処理端末から送信された計測結果に関する情報を比較することで、認証を行う
情報処理方法。
（９） 耐タンパ性を有するメモリと、
起動プロセスの少なくとも一部を変更するプロセス変更部と、
前記プロセス変更部により少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報を前記メモリに書き込む情報書き込み部と、
認証のために、前記情報書き込み部により前記メモリに書き込まれた計測結果に関する情報を外部に送信する送信部と、
前記認証の結果に応じた情報を、外部から受信する受信部と
を備える情報処理端末。
（１０） 前記プロセス変更部は、外部から取得される情報に応じて、前記起動プロセスの少なくとも一部を変更する
前記（９）に記載の情報処理端末。
（１１） 前記プロセス変更部は、ユーザによる所定の操作の有無に応じて、前記起動プロセスの少なくとも一部を変更する
前記（９）に記載の情報処理端末。

１ 情報処理システム， １１ 携帯端末， １２ 端末， １３ 起動プロセス変更サーバ， １４ サービスサーバ， ５１ 起動プロセス部， ５２ TPM， ５３ ＯＳ， ６１ 起動処理部， ６２ 計測結果情報書き込み部， ７１ 外部アクセス部， ８１ 制御部， ８２ 計測結果情報送信部， ８３ 接続要求部， ８４ 認証結果受信部， １０１ 変更登録部， １０２ 変更情報記憶部， １０３ 情報読み出し部， １０４ 情報送信部， １２１ 接続要求受信部， １２２ ユーザ情報記憶部， １２３ 計測結果情報要求部， １２４ 計測結果情報受信部， １２５ 認証部， １２６ 認証結果送信部， ２０１ 情報処理システム， ２１１ 携帯端末， ２５１ 起動プロセス部， ２６１ 起動処理部， ２６２ モードフラグ情報記憶部

Claims (11)

1. 所定のサービスを提供する情報提供装置と、前記情報提供装置が提供する所定のサービスを利用する情報処理端末とを含み、
   前記情報処理端末は、
   耐タンパ性を有するメモリと、
   起動プロセスの少なくとも一部を変更するプロセス変更部と、
   前記プロセス変更部により少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報を前記メモリに書き込む情報書き込み部と、
   前記情報書き込み部により前記メモリに書き込まれた計測結果に関する情報を外部に送信する送信部と
   を備え、
   前記情報提供装置は、
   前記情報処理端末から送信された計測結果に関する情報を比較することで、認証を行う認証部
   を備える情報処理システム。
2. 前記プロセス変更部は、外部から取得される情報に応じて、前記起動プロセスの少なくとも一部を変更する
   請求項１に記載の情報処理システム。
3. 前記プロセス変更部は、ユーザによる所定の操作の有無に応じて、前記起動プロセスの少なくとも一部を変更する
   請求項１に記載の情報処理システム。
4. 前記プロセス変更部は、前記起動プロセスの設定情報の少なくとも一部を変えることで、前記起動プロセスの少なくとも一部を変更する
   請求項１に記載の情報処理システム。
5. 前記プロセス変更部は、前記起動プロセスにダミーモジュールを実行させることで、前記起動プロセスの少なくとも一部を変更する
   請求項１に記載の情報処理システム。
6. 前記プロセス変更部は、前記起動プロセスにフラグを持たせることで、前記起動プロセスの少なくとも一部を変更する
   請求項１に記載の情報処理システム。
7. 前記プロセス変更部は、前記起動プロセスの構成情報を変えることで、前記起動プロセスの少なくとも一部を変更する
   請求項１に記載の情報処理システム。
8. 所定のサービスを提供する情報提供装置と、前記情報提供装置が提供する所定のサービスを利用する情報処理端末とを含む情報処理システムにおいて、
   前記情報処理端末が、
   起動プロセスの少なくとも一部を変更し、
   少なくとも部が変更された起動プロセスの処理過程の計測結果に関する情報を、耐タンパ性を有するメモリに書き込み、
   前記メモリに書き込まれた計測結果に関する情報を外部に送信し、
   前記情報提供装置が、
   前記情報処理端末から送信された計測結果に関する情報を比較することで、認証を行う
   情報処理方法。
9. 耐タンパ性を有するメモリと、
   起動プロセスの少なくとも一部を変更するプロセス変更部と、
   前記プロセス変更部により少なくとも一部が変更された起動プロセスの処理過程の計測結果に関する情報を前記メモリに書き込む情報書き込み部と、
   認証のために、前記情報書き込み部により前記メモリに書き込まれた計測結果に関する情報を外部に送信する送信部と、
   前記認証の結果に応じた情報を、外部から受信する受信部と
   を備える情報処理端末。
10. 前記プロセス変更部は、外部から取得される情報に応じて、前記起動プロセスの少なくとも一部を変更する
    請求項９に記載の情報処理端末。
11. 前記プロセス変更部は、ユーザによる所定の操作の有無に応じて、前記起動プロセスの少なくとも一部を変更する
    請求項９に記載の情報処理端末。

Images