JP2018084866A - 情報処理装置、情報処理方法及びプログラム - Google Patents

Abstract

【課題】セキュア領域内のデータの秘匿性を担保しつつ、非セキュア領域のプログラム開発における制限を緩和することを目的とする。【解決手段】セキュリティを確認していない第１の処理手段を動作させる非セキュア領域とセキュリティを確認している第２の処理手段を動作させるセキュア領域とを有するプロセッサを有し、第２の処理手段は、第１の処理手段に付加されている認証レベルに基づき、第１の処理手段のアクセス領域へのアクセスを制御する。【選択図】図２

Description

本発明は、情報処理装置、情報処理方法及びプログラムに関する。

情報の漏えいや改ざんを防ぐため、計算器リソースの分割や仮想化の技術が普及している。例えば、ＡＲＭ社のＴｒｕｓｔＺｏｎｅ（登録商標）に代表される技術では、単一のプロセッサでありながら、計算器リソースをセキュア領域と非セキュア領域とでハードウェアレベルで分離することができる。そして、非セキュア領域内で動作するプログラムはセキュア領域内のデータに直接アクセスできない。そのため、万一、非セキュア領域内でマルウェアが動作し、機密データを盗聴又は改ざんしようとしたとしても、機密データをセキュア領域内に保管しておけば漏えい又は改ざんを防ぐことができる。
また、仮想化技術では、信頼性等を判断できないプログラムをサンドボックスや仮想空間内で実行することで、実際のシステムと分離し、セキュリティを高めている。

特開２０１０−１３４５７２号公報

従来技術では、非セキュリティ領域のプログラムがセキュリティ領域から得られる情報は限られており、アクセスできるデータも制限されている。したがって、非セキュア領域のプログラムの開発が制限されていた。
本発明は、セキュア領域内のデータの秘匿性を担保しつつ、非セキュア領域のプログラム開発における制限を緩和することを目的とする。

本発明は、セキュリティを確認していない第１の処理手段を動作させる非セキュア領域とセキュリティを確認している第２の処理手段を動作させるセキュア領域とを有するプロセッサを有し、前記第２の処理手段は、前記第１の処理手段に付加されている認証レベルに基づき、前記第１の処理手段のアクセス領域へのアクセスを制御する。

本発明によれば、セキュア領域内のデータの秘匿性を担保しつつ、非セキュア領域のプログラム開発における制限を緩和することができる。

情報処理装置のハードウェア構成の一例を示す図である。 実施形態１の情報処理装置の機能構成の一例を示す図である。 実施形態１の認証レベルの判定処理を示すフローチャートである。 実施形態２の情報処理装置の機能構成の一例を示す図である。 バスプロトコルの一例を示す図である。 実施形態２の認証レベルの判定処理を示すフローチャートである。

以下、本発明の実施形態について図面に基づいて説明する。

図１は、情報処理装置１０のハードウェア構成の一例を示す図である。
プロセッサ１１は、システムバス１４に接続された各種デバイスの制御を行う。
ＲＯＭ１２は、ＢＩＯＳのプログラムやブートプログラムを記憶する。
ＲＡＭ１３は、プロセッサ１１の主記憶装置として使用される。
キーボードコントローラ（ＫＢＣ）１５は、マウス等のポインティングデバイス（ＰＤ）１０９や、キーボード（ＫＢ）２０からの情報等の入力に係る処理を行う。
表示制御部（ＣＲＴＣ）１６は、内部にビデオメモリを有し、プロセッサ１１からの指示に従ってそのビデオメモリに描画すると共に、ビデオメモリに描画されたイメージデータをビデオ信号としてＣＲＴ２１に出力する。なお、図１において表示装置としてＣＲＴ２１を例示しているが、液晶表示装置等、その表示装置の種類は問わない。
ディスクコントローラ（ＤＫＣ）１７は、ハードディスク（ＨＤＤ）２２へのアクセスを行う。
ネットワークインタフェースカード（ＮＩＣ）１８は、ネットワークに接続し、ネットワークを介しての情報通信を行うものである。
なお、ＨＤＤ２２には、ＯＳのプログラムやＯＳ上で動作する各種アプリケーションのプログラム等が格納される。ＨＤＤ２２は、記憶領域の一例である。
上記構成において、情報処理装置１０の電源がＯＮになると、プロセッサ１１は、ＲＯＭ１２に格納されたブートプログラムに従って、ＨＤＤ２２からＯＳのプログラムをＲＡＭ１３に読み込み、処理を実行することによって、各装置の機能を実現する。
情報処理装置１０のプロセッサ１１がＲＯＭ１２又はＨＤＤ２２に記憶されているプログラムに基づき処理を実行することによって、後述する図２、図４のプロセッサ１１の機能構成及び後述する図３のフローチャートの処理が実現される。また、後述する実施形態２の場合、情報処理装置１０のセキュリティデバイス等のＣＰＵ又はプロセッサがセキュリティデバイスのメモリ等に記憶されているプログラムに基づき処理を実行することにより、後述する図４のセキュリティデバイス３０２の機能及び後述する図６のフローチャートの処理が実現される。

＜実施形態１＞
実施形態１の情報処理装置１０はセキュア領域に判定モジュールを持たせることにより、アクセス可能なデバイスを制限する方法である。
図２は、実施形態１の情報処理装置１０の機能構成の一例を示す図である。
事前認証部１００は、事前にプログラムを認証する。事前認証部１００は、情報処理装置１０とネットワーク等を介して通信可能な他の装置に実装されてもよいが、本実施形態では、情報処理装置１０に実装されているものとして説明を行う。なお、工場等で製品プログラム作成時に認証を事前に付加できるようにしてもよい。事前認証部１００は、認証レベルを満たすプログラムか否か事前に判定し、判定結果が許可（認証レベルを満たすプログラム）である場合、認証レベル付加情報１０１２をプログラム１０１１に付加する機能を有する。認証レベルの申請方法は特に規定しない。認証レベル付加情報１０１２は、例えば電子証明書等のセキュリティが担保された証明手段を用いるのがよいが、セキュリティが担保されたシステムでは認証レベルのレベル情報のみを付加する等、その他の手段を用いてもよい。

プロセッサ１０１は、図１のプロセッサ１１と同様である。レベル１アクセス領域１０２は、例えば、図１のＲＡＭ１３である。レベル１アクセス領域１０２より低いアクセス許可レベルを持つレベルｎアクセス領域１０３は、例えば、図１のＲＯＭ１２である。ここで、ｎは、２以上の自然数である。アクセス許可レベルを有さない非セキュアデバイス１０４は、例えば、図１のＨＤＤ２２である。なお、アクセス許可レベルは２つ以上に細分化されていてもよく、また、同一アクセス許可レベルを有するデバイスが複数あってもよい。図２はレベルｎアクセス領域１０３を１つ具備する例を示している。プロセッサ１０１には非セキュア領域とセキュア領域とが存在し、モニタ１０１３は、セキュア領域で動作する。モニタ１０１３がセキュア領域内のセキュリティを担保している仕組みである。モニタ１０１３は、判定モジュール１０１４を有する。判定モジュール１０１４によりプログラム１０１１に関するアプリケーションの領域等の細かなアクセス制御が可能となる。判定モジュール１０１４は事前認証部１００によってプログラムに付加された認証レベル付加情報１０１２からプログラム（プロセッサ１１がプログラムに基づき処理を実行することにより実現されるアプリケーション）がアクセス可能なデバイスの範囲を選択する。判別されたレベルに応じて、プログラムは、アクセス領域にアクセスすることができる。例えば、認証レベルが最も高いレベル１認証を受けたプログラム（プログラムに関するアプリケーション）であれば、レベル１アクセス領域１０２、アクセス許可レベルが下位のレベルｎアクセス領域１０３、非セキュアデバイス１０４へのアクセスが許可される。一方、認証レベルがレベルｎ認証を受けたプログラムは認証レベルよりもアクセス許可レベルの高いレベル１アクセス領域１０２へのアクセスは禁止され、レベルｎアクセス領域１０３及び非セキュアデバイス１０４へのみアクセスが許可される。アクセス制御はモニタ１０１３内の判定モジュール１０１４にて制御される。判定モジュール１０１４は、レベルを満たさないプログラムのアクセスは拒否する。より具体的に説明すると、判定モジュール１０１４は、アプリケーションに関するプログラムに付加されている認証レベルと複数のアクセス領域（１０２〜１０４）の各々のアクセスレベルとに基づき、アクセスを制御する。即ち、判定モジュール１０１４は、アプリケーションに関するプログラムの認証レベルと複数のアクセス領域の各々のアクセスレベルとに基づき、複数のアクセス領域のうち、アプリケーションがアクセス可能なアクセス領域へのアクセスを許可する。レベル１アクセス領域１０２は、レベル１というアクセスレベルが設定されたアクセス領域の一例である。レベルｎアクセス領域１０３は、レベルｎというアクセスレベルが設定されたアクセス領域の一例である。
プロセッサ１０１の非セキュア領域は、セキュリティを確認していない第１の処理手段を動作させる非セキュア領域の一例である。また、プロセッサ１０１のセキュア領域は、セキュリティを確認している第２の処理手段を動作させるセキュア領域の一例である。プロセッサ１０１がプログラム１０１１に基づき処理を実行することにより実現されるアプリケーション、又はプログラム１０１１は、第１の処理手段の一例である。また、モニタ１０１３、又は判定モジュール１０１４は、第２の処理手段の一例である。

図３は、認証レベルの判定処理の一例を示すフローチャートである。
Ｓ２０１において、判定モジュール１０１４は、認証レベル付加情報１０１２から事前認証された認証レベルを取得する。例えば電子証明書で認証されている場合、判定モジュール１０１４は、認証レベルを証明書から取得する。
Ｓ２０２において、判定モジュール１０１４は、取得した認証レベルが１であるか否かを判定する。判定モジュール１０１４は、認証レベルが１であると判定した場合（Ｓ２０２においてＹｅｓ）、Ｓ２０４に進み、認証レベルが１でないと判定した場合（Ｓ２０２においてＮｏ）、Ｓ２０３に進む。
Ｓ２０４において、判定モジュール１０１４は、レベル１以下のアクセス許可レベルのデバイスへのアクセスを許可する。
Ｓ２０３において、判定モジュール１０１４は、認証レベルが２であるか否かを判定する。判定モジュール１０１４は、認証レベルが２であると判定した場合（Ｓ２０３においてＹｅｓ）、Ｓ２０５に進み、認証レベルが設定されていないと判定した場合（Ｓ２０３においてＮｏ）、Ｓ２０６に進む。
Ｓ２０５において、判定モジュール１０１４は、レベル２以下のアクセス許可レベルのデバイスへのアクセスを許可する。判定モジュール１０１４は、認証レベル、アクセス許可レベルが更に複数に細分化されている場合には細分化されている認証レベル、アクセス許可レベルに合わせて、Ｓ２０３、Ｓ２０５等の処理を繰り返す。
Ｓ２０６において、判定モジュール１０１４は、非セキュアデバイス１０４のみへのアクセスを許可する。
Ｓ２０７において、判定モジュール１０１４は、プログラム１０１１が処理を終了するか否かを判定する。判定モジュール１０１４は、プログラム１０１１が処理を終了すると判定すると（Ｓ２０７においてＹｅｓ）、Ｓ２０１に進み、再度、認証レベルの判定処理を開始する。判定モジュール１０１４は、プログラム１０１１が処理を終了しないと判定すると（Ｓ２０７においてＮｏ）、Ｓ２０２に進み、プログラム１０１１が終了するまでデバイスに対するアクセスが許可される。

判定モジュール１０１４の機能によりアクセスできる情報の範囲をプログラム毎に限定することができ、例えば、画像へのアクセスは許可するが、画像の原本性保証機能へのアクセスは拒否する等、非セキュア領域で実行されているプログラム毎に設定可能である。

＜実施形態２＞
図４は、実施形態２の情報処理装置１０の機能構成の一例を示す図である。
事前認証部３００は、事前にプログラムを認証する。事前認証部３００は、情報処理装置１０とネットワーク等を介して通信可能な他の装置に実装されてもよいが、本実施形態では、情報処理装置１０に実装されているものとして説明を行う。事前認証部３００は、認証レベルを満たすプログラムか否か事前に判定し、判定結果が許可（認証レベルを満たすプログラム）である場合、認証レベル付加情報３０１２をプログラム３０１１に付加する機能を有する。認証レベルの申請方法は特に規定しない。認証レベル付加情報３０１２は、例えば電子証明書等のセキュリティが担保された証明手段を用いるのがよいが、セキュリティが担保されたシステムでは認証レベルのレベル情報のみを付加する等、その他手段を用いてもよい。

プロセッサ３０１は、図１のプロセッサ１１と同様である。セキュリティデバイス３０２は、レベル１アクセス領域３０２２、レベル１アクセス領域３０２２より低いアクセス許可レベルを持つレベルｎアクセス領域３０２３、及びアクセス許可レベルを有さない非セキュアデバイス３０２４を含む。また、セキュリティデバイス３０２は、判定モジュール３０２１を含む。図４において、３０３は、セキュリティ領域であり、３０４は、非セキュリティ領域である。セキュリティデバイス３０２は、例えば、図１のＨＤＤ２２である。アクセス許可レベルは２つ以上に細分化されていてもよく、また、同一アクセス許可レベルを有するデバイスが複数あってもよい。図４はセキュリティデバイス３０２が１つ、レベルｎアクセス領域３０２３を１つ有する例を示している。プロセッサ３０１には非セキュア領域とセキュア領域とが存在し、モニタ３０１３はセキュア領域で動作する。モニタ３０１３がセキュア領域内のセキュリティを担保している仕組みである。モニタ３０１３は、判定モジュール３０１４と、通知モジュール３０１５と、を有する。

判定モジュール３０１４、通知モジュール３０１５及び判定モジュール３０２１の組み合わせによりプログラム３０１１に関するアプリケーションの領域等の細かなアクセス制御が可能となる。判定モジュール３０１４は、事前認証部３００によってプログラムに付加された認証レベル付加情報３０１２からプログラムがアクセス可能なデバイスの範囲を選択する。通知モジュール３０１５は、図５に示すプロトコルを用いて判定モジュール３０２１にプログラムの認証レベルを通知する。プロセッサ３０１が接続されるバスプロトコルの一例を図５に示す。アドレスチャネル５００、５０２、５０４、５１０、５１２とデータチャネル５０１、５０３、５１１、５１３とがある。読み書きを通知する信号５００１、データを通知する信号５００２、及びセキュア領域からのアクセスか非セキュア領域からのアクセスかを通知するＮＳビット５００３の信号が既に存在する。本実施形態では図５に示す信号を用いて、バスプロトコル、プロセッサの修正なくアクセス許可レベルを通知する手法を示す。例えば、通知モジュール３０１５は、特定アドレスに対して、信号５０５（読込命令）、５０６（書込命令）、５０７（読込命令）を一つのアクセスパターンとして定義する。通知モジュール３０１５は、パターンを検知した場合、書き込み命令５０６によって書き込まれるデータ５０８に通知する認証レベルのレベル情報を重畳する。このような手法の特殊コマンドは既存バスの規格に則ったものであり、本実施形態の機能のためにバスプロトコル拡張なしに容易にアクセス許可レベルの細分化が可能となる。

上述した方法ではデータアクセス毎にアクセスパターン通知のオーバヘッドが発生する。そのため、オーバヘッドを解決するための手段として、通知モジュール３０１５は、ＮＳビット５００３に認証レベルのレベル情報を持たせるようにしてもよい。通知モジュール３０１５は、通知する認証レベルのレベル情報に合致するパターンをレベル通知信号一覧５１６より選択する。そして、通知モジュール３０１５は、選択した信号を同一アドレスチャネル５１０内においてＮＳビット５００３の信号レベルを変化させることにより通知する。例えば、通知モジュール３０１５は、認証レベル１を通知する場合にはレベル１通知５１４信号として、認証レベル２を通知したい場合にはレベル２通知５１５として通知する。これら判定モジュール３０１４、通知モジュール３０１５及び判定モジュール３０２１の組み合わせの情報処理により、以下のことが可能となる。判別されたレベルに応じて、例えば、一番高いレベル１認証を受けたプログラムに関するアプリケーションであればレベル１アクセス領域３０２２、アクセス許可レベルが下位のレベルｎアクセス領域３０２３及び非セキュアデバイス３０２４へアクセス可能である。レベルｎ認証を受けたプログラムに関するアプリケーションは、認証レベルよりもアクセス許可レベルの高いレベル１アクセス領域３０２２へのアクセスは禁止され、レベルｎアクセス領域３０２３及び非セキュアデバイス３０２４へのみアクセスが許可される。アクセス制御はセキュリティデバイス３０２内の判定モジュール３０２１にて制御されるものとし、上述のとおりレベルを満たさないプログラムのアクセスは拒否される。
プロセッサ３０１の非セキュア領域は、セキュリティを確認していない第１の処理手段を動作させる非セキュア領域の一例である。また、プロセッサ３０１のセキュア領域は、セキュリティを確認している第２の処理手段を動作させるセキュア領域の一例である。プロセッサ３０１がプログラム３０１１に基づき処理を実行することにより実現されるアプリケーション、又はプログラム３０１１は、第１の処理手段の一例である。また、モニタ３０１３、又は通知モジュール３０１５は、第２の処理手段の一例である。判定モジュール３０２１は、制御手段の一例である。レベル１アクセス領域３０２２は、レベル１というアクセスレベルが設定されたアクセス領域の一例である。レベルｎアクセス領域３０２３は、レベルｎというアクセスレベルが設定されたアクセス領域の一例である。
通知モジュール３０１５を用いることにより、同一スレーブ内に複数のアクセス許可レベルを持たせることができる。通知された認証レベルは判定モジュール３０２１において図６に示すフローチャートの情報処理により制御される。

Ｓ４００において、判定モジュール３０２１は、通知モジュール３０１５からのバスを介したアドレスチャネルのネゴシエーションを検知する。
すると、Ｓ４０１において、判定モジュール３０２１は、バスのアクセスパターン、又はＮＳビットのパターンよりプログラム３０１１の認証レベルを取得する。
Ｓ４０２において、判定モジュール３０２１は、取得した認証レベルに応じてレベル判定の処理を実施する。
Ｓ４０３において、判定モジュール３０２１は、取得した認証レベルが１であるか否かを判定する。判定モジュール３０２１は、認証レベルが１であると判定した場合（Ｓ４０３においてＹｅｓ）、Ｓ４０４に進み、認証レベルが１でないと判定した場合（Ｓ４０３においてＮｏ）、Ｓ４０５に進む。
Ｓ４０４において、判定モジュール３０２１は、レベル１以下のアクセス許可レベルのデバイスへのアクセスを許可する。
Ｓ４０５において、判定モジュール３０２１は、認証レベルが２であるか否かを判定する。判定モジュール３０２１は、認証レベルが２であると判定した場合（Ｓ４０５においてＹｅｓ）、Ｓ４０６に進み、認証レベルが設定されていないと判定した場合（Ｓ４０５においてＮｏ）、Ｓ４０７に進む。
Ｓ４０６において、判定モジュール３０２１は、レベル２以下のアクセス許可レベルのデバイスへのアクセスを許可する。判定モジュール３０２１は、認証レベル、アクセス許可レベルが更に複数に細分化されている場合には細分化されている認証レベル、アクセス許可レベルに合わせて、Ｓ４０５、Ｓ４０６等の処理を繰り返す。
Ｓ４０７において、判定モジュール３０２１は、非セキュアデバイス３０２４のみへのアクセスを許可する。
Ｓ４０８において、判定モジュール３０２１は、バスプロトコルによるデータチャネルが完了したか否かを判定する。判定モジュール３０２１は、バスプロトコルによるデータチャネルが完了したと判定すると（Ｓ４０８においてＹｅｓ）、Ｓ４００に進み、再度、認証レベルの判定処理を開始する。判定モジュール３０２１は、バスプロトコルによるデータチャネルが完了していないと判定すると（Ｓ４０８においてＮｏ）、Ｓ４０３に進み、バスプロトコルによるデータチャネルが完了するまでデバイスに対するアクセスが許可される。

判定モジュール３０２１の機能により、アクセスできる情報範囲をプログラム毎に限定することができ、例えば、画像へのアクセスは許可するが、画像の原本性保証機能へのアクセスは拒否する等、非セキュア領域で実行されているプログラム毎に設定可能である。

＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給する。そして、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

以上、本発明の好ましい実施形態について詳述したが、本発明は係る特定の実施形態に限定されるものではない。例えば、判定モジュール１０１４、３０１４、通知モジュール３０１５、判定モジュール３０２１等はハードウェアとして情報処理装置１０に実装してもよい。事前認証部１００、３００も同様である。
情報処理装置１０は、プリンタ、ＭＦＰ等であってもよい。プリンタ、ＭＦＰは、画像処理装置の一例である。

以上、上述した各実施形態の処理によれば、セキュア領域内のデータの秘匿性を担保しつつ、非セキュア領域のプログラム開発における制限を緩和することができる。

１０ 情報処理装置
１１ プロセッサ

Claims (11)

1. セキュリティを確認していない第１の処理手段を動作させる非セキュア領域とセキュリティを確認している第２の処理手段を動作させるセキュア領域とを有するプロセッサを有し、
   前記第２の処理手段は、前記第１の処理手段に付加されている認証レベルに基づき、前記第１の処理手段のアクセス領域へのアクセスを制御する情報処理装置。
2. 異なるアクセスレベルが設定された複数のアクセス領域を更に有し、
   前記第２の処理手段は、前記第１の処理手段に付加されている認証レベルと前記複数のアクセス領域の各々のアクセスレベルとに基づき、前記複数のアクセス領域のうち、前記第１の処理手段がアクセス可能なアクセス領域へのアクセスを許可する請求項１記載の情報処理装置。
3. セキュリティを確認していない第１の処理手段を動作させる非セキュア領域とセキュリティを確認している第２の処理手段を動作させるセキュア領域とを有するプロセッサと、
   異なるアクセスレベルが設定された複数のアクセス領域を有するデバイスと、
   を有し、
   前記第２の処理手段は、前記第１の処理手段に付加されている認証レベルを前記デバイスに通知し、
   前記デバイスは、前記通知された認証レベルに基づき、前記第１の処理手段のアクセス領域へのアクセスを制御する制御手段を有する情報処理装置。
4. 前記制御手段は、前記通知された認証レベルと前記複数のアクセス領域の各々のアクセスレベルとに基づき、前記複数のアクセス領域のうち、前記第１の処理手段がアクセス可能なアクセス領域へのアクセスを許可する請求項３記載の情報処理装置。
5. 前記プロセッサと前記デバイスとはバスを介して接続されており、
   前記第２の処理手段は、前記認証レベルを前記バスのアクセスパターンを用いて前記デバイスに通知する請求項３又は４記載の情報処理装置。
6. 前記プロセッサと前記デバイスとはバスを介して接続されており、
   前記第２の処理手段は、前記認証レベルをＮＳビットのパターンを用いて前記デバイスに通知する請求項３又は４記載の情報処理装置。
7. 前記第１の処理手段に認証レベルを付加する認証手段を更に有する請求項１乃至６何れか１項記載の情報処理装置。
8. 前記情報処理装置は、画像処理装置である請求項１乃至７何れか１項記載の情報処理装置。
9. 情報処理装置が実行する情報処理方法であって、
   セキュリティを確認していない第１の処理手段を動作させる非セキュア領域とセキュリティを確認している第２の処理手段を動作させるセキュア領域とを有するプロセッサを有し、
   前記第２の処理手段が、前記第１の処理手段に付加されている認証レベルに基づき、前記第１の処理手段のアクセス領域へのアクセスを制御する情報処理方法。
10. 情報処理装置が実行する情報処理方法であって、
    セキュリティを確認していない第１の処理手段を動作させる非セキュア領域とセキュリティを確認している第２の処理手段を動作させるセキュア領域とを有するプロセッサと、
    異なるアクセスレベルが設定された複数のアクセス領域を有するデバイスと、
    を有し、
    前記第２の処理手段が、前記第１の処理手段に付加されている認証レベルを前記デバイスに通知し、
    前記デバイスが、前記通知された認証レベルに基づき、前記第１の処理手段のアクセス領域へのアクセスを制御する情報処理方法。
11. コンピュータを請求項１乃至８何れか１項記載の情報処理装置の各手段として機能させるためのプログラム。

Images