JP2018512752A - モバイル機器におけるユーザ認証及び人間の意図検証のための方法及び装置 - Google Patents

Abstract

モバイル機器に含まれるｅＵＩＣＣのｅＳＩＭに対する管理操作における、ユーザ認証及び人間の意図検証のための方法と装置。ｅＳＥＶＩの、及び／又はｅＵＩＣＣファームウェアのための、インポート、変更、及び／又はエクスポートなどの一定の管理操作は、管理操作の実行がモバイル機器によって実行又は完了される前に、ユーザ認証及び／又は人間の意図検証を必要とすることができる。モバイル機器のユーザは、ｅＵＩＣＣ上にインストールするときに（又はインストールに続いて）、外部ユーザアカウントをｅＳＥＶＩにリンクするための情報を提供する。ユーザ名やパスワードなどのユーザ証明及び／又はそれらから生成される情報は、ユーザを外部サーバで認証するために使用することができる。ユーザ認証の成功に応じて、管理操作が実行される。人間の意図検証もまた、マルウェアがモバイル機器のｅＳＩＭ及び／又はｅＵＩＣＣ機能を妨害しないよう、ユーザ認証と併せて実行することができる。

Description

記載された実施形態は、モバイル機器内の統合構成要素−電子的加入者識別モジュール（ｅＳＩＭ）を管理するように構成された組み込み型ユニバーサル集積回路カード（ｅＵＩＣＣ）など−の、管理操作におけるユーザ認証及び人間の意図検証のための技術を表す。

多くのモバイル機器は、モバイル機器がモバイルネットワークオペレータ（ＭＮＯ）によって提供されるサービスへのアクセスを可能にする、取り外し可能なユニバーサル集積回路カード（ＵＩＣＣ）を受容するように構成される。特に、各ＵＩＣＣは、少なくともマイクロプロセッサ及び読み出し専用メモリ（ＲＯＭ）を含み、ここでＲＯＭは、モバイル機器をＭＮＯに登録して相互作用できるようにするＭＮＯプロファイルを記憶するように構成される。典型的には、ＵＩＣＣは、モバイル機器に含まれるＵＩＣＣ受容ベイに挿入されるよう構成された、小型の取り外し可能なカード（一般にＳＩＭカードと呼ばれる）の形態を取る。しかし、直近の実装では、ＵＩＣＣはモバイル機器のシステムボードに、直接組み込まれている。とりわけ、これらの組み込み型ＵＩＣＣ（ｅＵＩＣＣ）は、従来の取り外し可能なＵＩＣＣを超えて、いろいろな利点を提供できる。例えば、いくつかのｅＵＩＣＣは、１つ以上のｅＳＩＭのインストール、変更、及び／又は削除を容易にできる書き換え可能メモリを含み、それによって、新規及び／又は異なるサービス及び／又は更新を提供して、ＭＮＯによって提供される拡張機能にアクセスすることができる。ｅＵＩＣＣはまた、モバイル機器内のＵＩＣＣ受容ベイの必要性を排除することもできる。それゆえ、ｅＵＩＣＣの採用により、モバイル機器の柔軟性が高まるだけでなく、設計が簡素化され、他の構成要素のためのスペースが解放される。

場合によっては、ｅＵＩＣＣのｅＳＩＭ及び／又はｅＵＩＣＣのファームウェアのためのさまざまな管理機能を実行することが望ましく、それによって、ｅＵＩＣＣは、ｅＵＩＣＣを含むモバイル機器のユーザに、新規の又は拡張されたサービスを提供できる。しかしながら、管理機能が許可されていない及び／又は適切に実行されていない場合には、ハードウェア構成要素が恒久的に操作不能になる及び／又はＭＮＯがマルウェア攻撃を受ける可能性があるため、ｅＳＩＭ及び／又はｅＵＩＣＣ機能を変更するような管理機能が、非常に危険になる可能性がある。この欠点は、モバイル機器に組み込まれており、かつファームウェアの破損が発生したときに簡単に交換できないｅＵＩＣＣに関しては、特に顕著となる。

本明細書に表される代表的な実施形態は、モバイル機器に含まれるｅＵＩＣＣの管理操作における、ユーザ認証及び人間の意図検証のためのさまざまな技術を表す。いくつかの実施形態では、モバイル機器のｅＵＩＣＣの、１つ以上のｅＳＩＭ及び／又はｅＵＩＣＣファームウェアに対する管理操作のセットのうちの１つ以上の管理操作は、１つ以上の管理操作の実行がモバイル機器のｅＳＩＭ及び／又はｅＵＩＣＣに対して実行され得る前に、ユーザ認証を要求することができる。ユーザ認証は、例えば、特定のユーザ、ユーザのセット、又は管理者特権を有するユーザを検証することである。代表的な管理操作には、モバイル機器のｅＵＩＣＣに対し、ｅＳＩＭをインストール、変更、削除、インポート、エクスポート、有効化、及び／又は無効化する操作が含まれる。いくつかの実施形態では、一定の管理操作及び／又は一定のｅＳＩＭ（全てのｅＳＩＭを含み得る）及び／又はｅＵＩＣＣの一定のファームウェア更新が識別されて、追加のユーザ認証及び／又は人間の意図検証を要求する場合がある。いくつかの実施形態では、モバイル機器のユーザは、１つ以上の外部ユーザアカウントを、１つ以上のｅＳＩＭにリンクするための情報を提供する。代表的な外部ユーザアカウントは、Ｙａｈｏｏ及び／又はＧｍａｉｌなどの電子メールアカウント、Ｆａｃｅｂｏｏｋ及び／又はＴｗｉｔｔｅｒなどのソーシャルウェブサイトアカウント、Ａｐｐｌｅ ＩＤアカウントなどのコンピューティング機器アカウントその他同種のものを含み得るが、これらに限定されない。いくつかの実施形態では、外部ユーザアカウントへのリンクは、ｅＳＩＭのインストール時に及び／又はｅＳＩＭのインストール後に生じる。いくつかの実施形態では、外部ユーザアカウントへのリンクの変更、例えば既存の外部ユーザアカウントの代わりに異なる外部ユーザアカウントへの置き換えが、モバイル機器のｅＵＩＣＣの１つ以上の既存ｅＳＩＭに対して発生する。いくつかの実施形態では、一定のｅＳＩＭ操作は、ユーザ名及びパスワードなどの証明（及び／又はそのような証明から生成される情報）を使用してユーザの認証を要求して、例えば有線及び／又は無線リンク経由のセキュア通信を介して到達可能な外部サーバで、ユーザを認証することができる。いくつかの実施形態では、セキュアトークンがモバイル機器にて生成及び／又は取得されて外部サーバに通信される。セキュアトークンはユーザ証明情報を含む。外部サーバは、第三者サーバ（例えば、Ｙａｈｏｏ、Ｇｏｏｇｌｅ、Ｆａｃｅｂｏｏｋ、Ｔｗｉｔｔｅｒなどの第三者に維持されたサービス）と通信して、セキュアトークンに含まれるユーザ証明情報に基づいてユーザを認証する。外部サーバからのユーザが認証されたという指示の受信に応じて、ｅＳＩＭ（単数又は複数）及び／又はｅＵＩＣＣの管理操作を実行することができる。いくつかの実施形態では、ｅＳＩＭ（単数又は複数）及び／又はｅＵＩＣＣに対する管理操作は、ユーザ認証とは別に、及び／又はユーザ認証に加えて、人間の意図検証を要求することができる。人間の意図検証は、例えば、マルウェア、ソフトウェアボット、及び／又はリモートハッカーがモバイル機器のｅＵＩＣＣのｅＳＩＭ（単数又は複数）及び／又はｅＵＩＣＣ機能を妨害しないように、例えば、１つ以上の要求された管理操作が、モバイル機器の人間ユーザによって実行するよう意図されたものであるか確認することである。いくつかの実施形態では、人間の意図検証は、セキュア入出力（Ｉ／Ｏ）手段を含むことができて、ｅＳＩＭ及び／又はｅＵＩＣＣに対する要求された管理操作が、例えば特定の人間を含む人間によって意図されたものであることを確認かつ判断できる、検証可能情報を取得することができる。代表的なＩ／Ｏ手段には、生体センサ、例えば、指紋スキャナ、虹彩検出器、及び／又はカメラ顔認識、例えば、パスワード、個人識別番号（ＰＩＮ）コード、署名、などを要求して受け付けるセキュアディスプレイ及び／又はセキュアキーボード、及び人間／機械識別ソフトウェアが含まれる。セキュアＩ／Ｏは、人間及び／又は特定の人間が、モバイル機器の１つ以上のｅＳＩＭ上で及び／又はｅＵＩＣＣに対して、１つ以上の管理操作を実行しようと意図していると捉えられた検証可能情報に基づいて、モバイル機器内の組み込み型セキュア要素（ｅＳＥ）及び／又は信頼された実行環境（ＴＥＥ）などのセキュアな認証ソリューションに結合させることができる。いくつかの実施形態では、ｅＳＩＭの機能及び／又はｅＵＩＣＣのローカル管理機能などの管理操作のセットは、人間の意図検証のみ及び／又は外部サーバを介したユーザ認証と組み合わせて要求するよう制限することができる。いくつかの実施形態では、１つ以上のｅＳＩＭのセット及び／又は１つ以上のｅＳＩＭに対する管理操作のセットは、人間の意図検証及び／又はユーザ認証から免除することができる。人間の意図検証及び／又はユーザ認証の確認からの免除は、１つ以上のｅＳＩＭのセットに対し、特定の環境下で適用することができる。通常のｅＳＩＭを取得及び／又はインストールするために使用されるプロビジョニングｅＳＩＭなどの、特定の限定機能用に設計されたｅＳＩＭへの切り替えのような一定の管理操作は、人間の意図検証及び／又はユーザ認証から免除することができる。同様に、緊急通信に使用されるｅＳＩＭへの切り替えもまた、人間の意図検証及び／又はユーザ認証から免除することができる。しかしながら、プロビジョニングｅＳＩＭ及び／又は緊急サービスｅＳＩＭから通常のｅＳＩＭへの切り替えでは、依然として、人間の意図検証及び／又はユーザ認証を必要とすることができる。

この発明の概要は、本明細書に記載された主題のいくつかの態様の基本的理解を提供するように、いくつかの例示的実施形態を要約することを目的として提供されるものにすぎない。したがって、上述した特徴は単なる例にすぎず、いかなる方法でも、本明細書に記載された主題の範囲又は趣旨を狭めるように解釈すべきではないことが理解されよう。本明細書に記載された主題の他の特徴、態様及び利点は、後続の発明を実施するための形態、図面、及び特許請求の範囲から明らかになるであろう。

本明細書に記載された実施形態の他の態様及び利点は、記載された実施形態の原理を例として示す添付図面と併せて、以下の詳細な説明から明らかになるであろう。

含まれる図面は例示目的のものであり、無線コンピューティング機器を提供するための開示された発明の装置及び方法の、可能な構造及び構成の例を提供するのに役立つにすぎない。これらの図面は、当業者により、本実施形態の趣旨及び範囲から逸脱することなく、実施形態に対してなされ得る形態及び詳細のいかなる変更をも制限するものではない。本実施形態は、添付の図面と共に下記の「発明を実施するための形態」を読むことによって容易に理解でき、類似の参照番号は類似の構造要素を指す。
いくつかの実施形態による、本明細書に記載されたさまざまな技術を実施するように構成されたシステムにおける、異なる構成要素のブロック図を示す。 いくつかの実施形態による、本明細書に記載されたさまざまな技術を実施するように構成されたシステムにおける、異なる構成要素の別のブロック図を示す。 いくつかの実施形態による、図１Ａ及び図１Ｂのシステムにおける、特定の構成要素のより詳細な部分のブロック図を示す。 いくつかの実施形態による、モバイル機器に含まれる、人間の意図検証及び／又はユーザ認証のための構成要素のフレームワークのブロック図を示す。 いくつかの実施形態による、モバイル機器内の生体センサを使用する検証及び／又は認証のための構成要素の代表的な構成のブロック図を示す。 ある実施形態による、組み込み型セキュア要素をモバイル機器内のｅＵＩＣＣとペアリングするためのシーケンス図を示す。 ある実施形態による、組み込み型セキュア要素をモバイル機器内のｅＵＩＣＣとペアリングするためのシーケンス図を示す。 いくつかの実施形態による、モバイル機器内の信頼された実行環境（ＴＥＥ）を使用して、検証及び／又は認証をするための構成要素の代表的な構成のブロック図を示す。 いくつかの実施形態による、モバイル機器による外部サーバを介したユーザ認証で、ｅＳＩＭをエクスポートするためのシーケンス図を示す。 いくつかの実施形態による、モバイル機器による外部サーバを介したユーザ認証で、ｅＳＩＭをエクスポートするためのシーケンス図を示す。 いくつかの実施形態による、モバイル機器による外部サーバを介したユーザ認証で、ｅＳＩＭをエクスポートするためのシーケンス図を示す。 いくつかの実施形態による、モバイル機器による外部サーバを介したユーザ認証で、ｅＳＩＭをエクスポートするためのシーケンス図を示す。 いくつかの実施形態による、モバイル機器による外部サーバを介したユーザ認証で、ｅＳＩＭをインストールするためのシーケンス図を示す。 いくつかの実施形態による、モバイル機器による外部サーバを介したユーザ認証で、ｅＳＩＭをインストールするためのシーケンス図を示す。 いくつかの実施形態による、モバイル機器による外部サーバを介したユーザ認証で、ｅＳＩＭをインストールするためのシーケンス図を示す。 いくつかの実施形態による、モバイル機器による外部サーバを介したユーザ認証で、ｅＳＩＭをインストールするためのシーケンス図を示す。 いくつかの実施形態による、モバイル機器のｅＳＩＭ及び／又はｅＵＩＣＣに対する管理操作のための、ユーザ認証の代表的な方法を示す。 いくつかの実施形態による、モバイル機器のｅＳＩＭ及び／又はｅＵＩＣＣに対する管理操作のための、ユーザ認証の代表的な方法を示す。 いくつかの実施形態による、モバイル機器のｅＳＩＭ及び／又はｅＵＩＣＣに対する管理操作のための、人間の意図検証の代表的な方法を示す。 いくつかの実施形態による、モバイル機器のｅＳＩＭ及び／又はｅＵＩＣＣに対する管理操作のための、人間の意図検証の代表的な方法を示す。 いくつかの実施形態による、本明細書に記載されたさまざまな構成要素を実施するために使用することができるコンピューティング機器の詳細図を示す。

本明細書に記載された実施形態に係る、装置及び方法の代表的な用途が、この項において提供される。これらの例は、更なる前後関係を提供し、記載される実施形態の理解を助けることのみを目的として提供される。したがって、これらの具体的な詳細のうちの一部又は全てを使用することなく、ここで記載される実施形態を実践できるということが、当業者には明らかであろう。他の例では、ここで説明される実施形態を不必要に不明瞭化することを回避するために、周知のプロセス工程は、詳細には説明されていない。他の適用例が可能であり、それゆえ以下の実施例は、限定的なものとして解釈されるべきではない。

本明細書に表された実施形態は、モバイル機器のｅＵＩＣＣのｅＳＩＭ及び／又はｅＵＩＣＣ直接に対する管理操作のための、ユーザ認証及び人間の意図検証のさまざまな技術を提供する。インポート、インストール、変更、削除、及びエクスポートなどのｅＳＩＭの一定の管理操作は、認証を必要として、モバイル機器の適切な操作に影響を与え、及び／又はモバイル機器が通信で経由する１つ以上のモバイルネットワークオペレータによって管理される無線ネットワークに衝撃を与える可能性がある、マルウェア攻撃やその他の悪意のある操作から、ｅＵＩＣＣ及び／又はｅＵＩＣＣのｅＳＩＭを保護することができる。いくつかの実施形態では、例えば、Ａｐｐｌｅ ＩＤ、Ｆａｃｅｂｏｏｋ、Ｙａｈｏｏ、Ｇｍａｉｌ、Ｔｗｉｔｔｅｒなどの第三者サービス、又はモバイル機器のユーザを関連づけることができる他のサービスアカウント、のユーザアカウント証明を介したユーザ認証が、本明細書に開示される。

いくつかの実施形態では、モバイル機器のｅＵＩＣＣ上の１つ以上のｅＳＩＭのインポート、追加、又はインストールに応じて、例えば、１つ以上のｅＳＩＭに対する現在の管理操作及び／又は将来の管理操作のために、モバイル機器のユーザに、ユーザ認証に用いる１つ以上のユーザアカウントを関連づけるよう促すことができる。いくつかの実施形態では、ユーザは、モバイル機器のセキュア入出力を介して、ユーザ認証に用いるユーザ証明、例えばユーザアカウント情報、ユーザアカウントログインＩＤ、パスワード、パスコード、署名、指紋、虹彩スキャン、顔スキャン、及び類似のもの、を提供するよう促され得る。モバイル機器は、ユーザ証明に基づいて認証トークンを取得することができる。モバイル機器のｅＵＩＣＣは、外部サーバ、例えば、１つ以上のモバイルネットワークオペレータ（ＭＮＯ）に対して、モバイル機器用のｅＳＩＭを管理するように構成されたレベル３（Ｌ３）サーバに送信され得る、例えば署名されたペイロードであるメッセージを生成することができる。いくつかの実施形態では、Ｌ３サーバは、１つ以上のｅＳＩＭに対する１つ以上の管理操作の完了中に、モバイル機器のユーザが認証されたことを証明する一時的な認証トークンとして働くワンタイムコード（ＯＴＣ）を提供する。ＯＴＣは、Ｌ３サーバからモバイル機器のｅＵＩＣＣに通信されて、１つ以上のｅＳＩＭに対する１つ以上の管理操作を完了する少なくともその間に、ユーザ認証のためにＬ３サーバとの追加の通信を必要とすることなく、ユーザ認証を検証することができる。いくつかの実施形態では、ＯＴＣは限られた時間有効であり、限られた時間の後に失効する。いくつかの実施形態では、Ｌ３サーバは、１つ以上の第三者サーバと通信して、メッセージに提供されたユーザ証明（又はそれらから得られた情報）に少なくとも部分的に基づいて、ユーザを認証する。

いくつかの実施形態では、ユーザ証明が関連づけられたｅＳＩＭに対する管理操作の開始に応じて、モバイル機器は、ｅＵＩＣＣからｅＳＩＭに対するユーザ認証に関する情報、例えば、関連サービスの表示、第三者サーバ、ユーザ証明、ユーザ証明から導出された情報など、を取得することができ、モバイル機器は、ｅＳＩＭに対するユーザ証明の全て又は一部を、ユーザに入力するよう促すことができる。いくつかの実施形態では、ユーザは、モバイル機器のセキュア入出力（Ｉ／Ｏ）を介して、証明の全体又は一部を入力する。モバイル機器は、記憶された認証トークンを取得でき、及び／又はユーザ証明を使用して、Ｌ３サーバにメッセージを通信できる。次に、Ｌ３サーバは、第三者サーバと通信して、ユーザがｅＳＩＭに対する管理操作を完了できる許可されていることを認証することができる。モバイル機器は、Ｌ３サーバからのユーザ認証成功の指示の受信に応じて、ｅＳＩＭの管理操作を実行する（及び／又は実行を完了する）ことができる。

いくつかの実施形態では、モバイル機器のユーザは、モバイル機器のｅＵＩＣＣのｅＳＩＭに対する１つ以上の管理操作を、Ｌ３サーバ及び／又は第三者サーバ経由などで、外部サーバによって開始させることができる。いくつかの実施形態では、ユーザは、Ｌ３サーバ経由及び／又は第三者サーバ経由のユーザ証明の入力により、ｅＳＩＭの管理操作を開始することができ、Ｌ３サーバは、モバイル機器のｅＵＩＣＣにメッセージ、例えば認証トークンを提供することができる。例えばモバイル機器のｅＵＩＣＣに提供された認証トークンに基づく、ユーザ認証の証明の結果として、ｅＳＩＭに対する管理操作をモバイル機器のｅＵＩＣＣで実行することができる。

いくつかの実施形態では、生体センサを使用して、特定のユーザを判定する、及び／又は、モバイル機器のｅＵＩＣＣのｅＳＩＭに対する１つ以上の管理操作を実行する人間の意図を検証することができる。いくつかの実施形態では、生体センサは、ユーザを認証できる及び／又は人間の意図検証を判定できる情報を記憶する、組み込み型セキュア要素と結合される。いくつかの実施形態では、組み込み型セキュア要素は、キー及び／又は証明書内にｅＵＩＣＣの特定のチップ識別番号を含むなどして、モバイル機器のｅＵＩＣＣに紐付けられたキー及び／又は証明書を記憶する。いくつかの実施形態では、特定のユーザは、一定の管理操作、例えば、モバイル機器のｅＵＩＣＣからｅＳＩＭを削除又はエクスポート、を実行するために、識別される必要がある。

いくつかの実施形態では、モバイル機器は、ユーザ認証及び／又は人間の意図検証を提供してモバイル機器のｅＵＩＣＣの１つ以上のｅＳＩＭに対する一定の管理を実行する（及び／又は実行を完了させる）ために、ｅＵＩＣＣに結合された組み込み型セキュア要素及び／又は信頼された実行環境を含む。いくつかの実施形態では、モバイル機器のｅＵＩＣＣは、外部サーバ（単独のＬ３サーバ又は別の第三者サーバとの組み合わせなど）を使用してユーザ認証を提供する。いくつかの実施形態では、組み込み型セキュア要素及び／又は信頼された実行環境は、共有シークレットや対称キーなどのセキュア通信を使用して、ｅＵＩＣＣとの相互認証を実行する。いくつかの実施形態では、組み込み型セキュア要素及び／又は信頼された実行環境は、例えばモバイル機器のｅＵＩＣＣの１つ以上のｅＳＩＭを管理するＬ３サーバで使用されるような、ｅＵＩＣＣと外部サーバ間で使用されるものと同じ相互認証用プロトコルを使用する。いくつかの実施形態では、ｅＵＩＣＣ及び組み込み型セキュア要素は、モバイル機器の製造中に、対称キー及び／又は証明書とペアリングされる。いくつかの実施形態では、ｅＵＩＣＣ及び組み込み型セキュア要素及び／又は信頼された実行環境は、モバイル機器の製造後に、外部Ｌ３サーバを介した検証及びモバイル機器へのキー／証明書のインジェクションなどを使用して、対称キー及び／又は証明書とペアリングにされる。

いくつかの実施形態では、１つ以上のｅＳＩＭのセット及び／又は１つ以上のｅＳＩＭに対する１つ以上の管理操作のセットは、人間の意図検証及び／又はユーザ認証の対象としないことができる。一定のｅＳＩＭは、追加の人間の意図検証及び／又はユーザ認証を必要としない限られた特定の機能を提供することができる。いくつかの実施形態では、これらのｅＳＩＭのうちの１つへの切り替え、そのインストール、有効化、及び／又はアクティブ化は、人間の意図検証及び／又はｅＳＩＭを使用する特定のユーザ権限の確認から免除することができる。通常のｅＳＩＭをインストール、有効化、及び／又はアクティブ化するために無線ネットワークを介した（及び／又は有線ネットワークを介した）通信を提供するプロビジョニングｅＳＩＭは、プロビジョニングｅＳＩＭへの切り替え、そのインストール、有効化、及び／又はアクティブ化などの、一定の管理ｅＳＩＭ操作に対する人間の意図検証及び／又はユーザ認証から免除することができる。同様に、緊急通信ｅＳＩＭ、又は一定の環境における通信のために限られた機能を提供するための別のｅＳＩＭもまた、緊急サービスｅＳＩＭへの切り替え、そのインストール、有効化及び／又はアクチベーションの場合には、人間の意図検証及び／又はユーザ認証から免除することができる。しかしながら、いくつかの実施形態では、プロビジョニングｅＳＩＭ又は緊急サービスｅＳＩＭから通常のｅＳＩＭに切り替える場合には、人間の意図検証及び／又はユーザ認証が必要とすることができる。前述の技術は、図１Ａから図１１を参照して、以下、より詳細に記載される。

本明細書に記載されたさまざまな実施形態によれば、用語「無線通信機器」、「無線機器」、「モバイル機器」、「移動局」、及び「ユーザ機器」（ＵＥ）は、本開示のさまざまな実施形態と関連づけられる手順を実行することが可能であり得る１つ以上の一般の民生用電子機器について記載されたために、本明細書では互換的に使用される。さまざまな実装形態によれば、これらの民生電子機器のうちの任意の１つは、セルラー電話又はスマートフォン、タブレットコンピュータ、ラップトップコンピュータ、ノートブックコンピュータ、パーソナルコンピュータ、ネットブックコンピュータ、メディアプレーヤ機器、電子ブック機器、ＭｉＦｉ（登録商標）機器、ウェアラブルコンピューティング機器、並びに、無線ワイドエリアネットワーク（ＷＷＡＮ）、無線メトロエリアネットワーク（ＷＭＡＮ）、無線ローカルエリアネットワーク（ＷＬＡＮ）、無線パーソナルエリアネットワーク（ＷＰＡＮ）、近距離無線通信（ＮＦＣ）、セルラー無線ネットワーク、第４世代（４Ｇ）ＬＴＥ、ＬＴＥアドバンスド（ＬＴＥ−Ａ）、及び／あるいは、５Ｇ又は他の現在の若しくは将来開発される進化型セルラー無線ネットワーク上の通信を含む無線通信能力を有する電子コンピューティング機器の任意のタイプに関し得る。

いくつかの実施形態では、無線通信機器はまた、無線通信システムの一部として動作することができ、例えばＷＬＡＮの一部としてアクセスポイント（ＡＰ）に相互接続された、並びに／又は、例えばＷＰＡＮ及び／若しくは「アドホック」無線ネットワークの一部として互いに相互接続された、無線機器、無線モバイル機器、ステーション、クライアント無線機器、又はクライアント無線通信機器とも称することもできるクライアント機器のセットを含むことができる。いくつかの実施形態では、クライアント機器は、例えば、無線ローカルエリアネットワーク通信プロトコルに従ったＷＬＡＮ技術を介して通信することが可能な任意の無線通信機器であり得る。いくつかの実施形態では、ＷＬＡＮ技術は、Ｗｉ−Ｆｉ（登録商標）（又はより一般的にはＷＬＡＮ）無線通信サブシステム又は無線機を含むことができ、Ｗｉ−Ｆｉ無線機は、ＩＥＥＥ ８０２．１１ａ、ＩＥＥＥ ８０２．１１ｂ、ＩＥＥＥ ８０２．１１ｇ、ＩＥＥＥ ８０２．１１−２００７、ＩＥＥＥ ８０２．１１ｎ、ＩＥＥＥ ８０２．１１−２０１２、ＩＥＥＥ ８０２．１１ａｃ、又は他の現在の若しくは将来開発されるＩＥＥＥ ８０２．１１技術のうちの１つ以上などの、米国電気電子学会（ＩＥＥＥ）８０２．１１技術を実装することができる。

更に、本明細書で記載されたＵＥは、異なる第３世代（３Ｇ）及び／又は第２世代（２Ｇ）ＲＡＴを介しても通信し得るマルチモード無線通信機器として構成されてもよいことを理解されたい。これらのシナリオでは、マルチモードＵＥは、より低いデータレートのスループットを提供する他の旧式の３Ｇネットワークに比べて、より高速なデータレートのスループットを提供するＬＴＥネットワークへの接続を優先するように構成されてもよい。例えば、いくつかの実装形態では、マルチモードＵＥは、ＬＴＥ及びＬＴＥ−Ａネットワークが使用できないときに、旧式の３Ｇネットワーク、例えば、進化型高速パケットアクセス（ＨＳＰＡ＋）ネットワーク又はコード分割多重アクセス（ＣＤＭＡ）２０００ Ｅｖｏｌｕｔｉｏｎ−Ｄａｔａ Ｏｎｌｙ（ＥＶ−ＤＯ）ネットワークへとフォールバックするように構成されてもよい。

図１Ａは、いくつかの実施形態による、本明細書に記載されたさまざまな技術を実施するように構成されたシステム１００における、異なる構成要素のブロック図を示す。より具体的には、図１Ａは、図示されるように、モバイル機器１０２と、異なるＭＮＯ１１４によって管理される基地局１１２のグループとを含む、システム１００の上層の概要図を示す。図１Ａに示すように、モバイル機器１０２はモバイルコンピューティング機器（例えば、Ａｐｐｌｅ（登録商標）によるｉＰｈｏｎｅ（登録商標）又はｉＰａｄ（登録商標））を表し、基地局１１２は、モバイル機器１０２と通信するように構成された、異なる無線塔を表し得る。ＭＮＯ１１４は、モバイル機器１０２が加入可能な特定のサービス（例えば、音声、データ、メッセージングなど）を提供する異なる無線サービスプロバイダを表し得る。更に、以下でより詳細に記載されるように、１つ以上のサーバ（明示的に図示されていない）は、セキュアな方法で、モバイル機器１０２と通信して、１つ以上のｅＳＩＭ及び／又はｅＵＩＣＣファームウェア／ソフトウェアを、モバイル機器１０２に提供するように構成することができる。

図１Ａに示すように、モバイル機器１０２は、プロセッサ１０４、メモリ１０６、ｅＵＩＣＣ１０８、及びベースバンドモジュール１１０と、を含むことができる。これらの構成要素は、モバイル機器１０２が、ローカライズされたコンピューティング、ロケーションベースのサービス、及びインターネット接続などの有用な機能を、モバイル機器１０２のユーザに提供できるように協働する。以下でより詳細に記載するように、ｅＵＩＣＣ１０８は、基地局１１２を通じて異なるＭＮＯ１１４にアクセスするために、複数のｅＳＩＭを記憶するように構成することができる。例えば、ｅＵＩＣＣ１０８は、モバイル機器１０２が加入した各ＭＮＯ１１４のための１つ以上のｅＳＩＭを記憶するように構成することができる。以下でより詳細に記載するように、モバイル機器１０２−具体的にはモバイル機器１０２に含まれるｅＵＩＣＣ１０８−は、本明細書に表したさまざまな技術に従って、ｅＵＩＣＣ１０８の１つ以上ｅＳＩＭに対する管理操作を実行し、ｅＵＩＣＣファームウェアを受信し処理するように構成することができる。いくつかの実施形態では、モバイル機器１０２は、例えば１つ以上の外部サーバを介して、ｅＳＩＭ及び／又はｅＵＩＣＣ１０８のファームウェア変更に対する１つ以上の管理操作に関連づけられたユーザ認証及び／又は人間の意図検証を実行するように構成することができる。いくつかの実施形態では、ユーザ認証は、生体センサ１１６及び／又は組み込み型セキュア要素（ｅＳＥ）１１８及び／又は信頼された実行環境（ＴＥＥ）１２０及び／又はセキュア入出力１２２の使用を含むことができて、ユーザ証明及び／又は関連情報を得ることができ、それにより、モバイル機器のユーザ、特定のユーザ、ユーザのセット、及び／又は管理ユーザが一定の管理操作の実行を許可される。いくつかの実施形態では、ユーザ認証は、モバイル機器１０２においてのみ（例えば、モバイル機器１０２内のハードウェア／ソフトウェアに基づいて）実行される。いくつかの実施形態では、ユーザ認証は、無線（及び／又は有線）接続を介した通信を含み、一定の管理機能が実行されるべきかどうかを判定する。いくつかの実施形態では、生体センサ１１６、ｅＳＥ１１８、ＴＥＥ１２０、及び／又はセキュアＩ／Ｏ１２２を使用して、例えば機械ではなく人間が、モバイル機器１０２の１つ以上の管理機能、例えば、モバイル機器１０２のｅＵＩＣＣ１０８に対してｅＳＩＭを追加、インストール、インポート、有効化、変更、更新、削除、無効化、及び／又はエクスポート）を実行しようとしていることを判定できる。

図１Ａに示すように、モバイル機器１０２は生体センサ１１６を含むことができ、人間がモバイル機器１０２を操作しているか否か、及び／又は１つ以上の管理操作の実行を要求しているか否かを、少なくとも信頼できる程度に確証する認証技術を実行することができる。例えば、生体センサ１１６は、ユーザに署名を提供する（例えば、スタイラスを使用して）よう促すこと、及び署名が提供されるときの情報（例えば、筆圧及び書き込み速度）を収集すること、を含む署名ダイナミクスを通じて、ユーザを認証するように構成することができる。生体センサ１１６はまた、ユーザに一連の単語を（例えば、キーボードを使用して）入力するよう促すこと、及び単語が入力されるときの情報（例えば、タイピングレート、タイピングパターンなど）を収集すること、を含むタイピングパターンを通じて、ユーザを認証するように構成することができる。そのうえ生体センサ１１６は、ユーザに指紋を（例えば、指紋スキャナを使用して）を提供するように促すこと、及び指紋についての情報（例えば、詳細画像）を収集すること、を含む指紋認識を通じて、ユーザ認証をするように構成することができる。生体センサ１１６は更に、音声認識、顔認識、手及び／又は手のひらの幾何学的形状、目のスキャン、又は同種のものを通じて、ユーザを認証するように構成することができる。生体センサ１１６では、前述のアプローチを実施することに限定されず、人間を認証するための任意のアプローチが、本明細書に記載された実施形態の範囲内にあることに留意されたい。いくつかの実施形態では、ユーザ認証及び／又は人間の意図検証は、生体センサ１１６に加えて及び／又はその代わりに、セキュアＩ／Ｏ１２２を使用することができ、認証及び／又は検証の実行に用いる情報を収集することができる。

人間がモバイル機器１０２を操作しているか、及び／又は１つ以上の管理操作の実行を要求しているか、を確証しようと試みる場合、異なるレベルの認証を必要とすることができる。例えば、基本レベルの認証は、人間がモバイル機器１０２に具体的に知られていることを必要とすることなく、人間がモバイル機器１０２を操作しているかどうか（例えば、指紋の提供を通じて）の確証を含むことができる。他の例では、中間レベルの認証は、モバイル機器１０２を操作する人がモバイル機器１０２に具体的に知られているかどうかを、認証チャレンジの発行を通じて確証することを含むことができる。これは、例えば、人間に指紋を提供するように促すことと、指紋に関連する情報を収集すること、その後その情報をモバイル機器１０２によって管理されている以前保存した情報と比較することと、を含むことができる。更に別の例では、高度な認証レベルは、モバイル機器１０２が、そのモバイル機器１０２を操作する人を具体的に知っているかどうかを、複数の認証チャレンジの発行（例えば、指紋認識及び音声認識）を通じて確証することを含むことができる。これらの技術はまた、人間がモバイル機器１０２に許可されかつ知られている人間のグループの一部であることの検証も、含むことができることに留意されたい。いくつかの実施形態では、生体センサ１１６及び／又はセキュアＩ／Ｏ１２２によって受信された情報は、ｅＳＥ１１８に保存された情報と併せて、及び／又はＴＥＥ１２０を介して、及び／又は１つ以上の外部サーバを介して、処理することができる。

図１Ｂは、いくつかの実施形態による、本明細書に記載されたさまざまな技術を実施するように構成されたシステム１５０における、異なる構成要素の別のブロック図を示す。図１Ｂは、システム１５０の上層の概要図を示し、図示されたように、認証局１５２、ポリシー指示サーバ１４０、クライアント機器マネージャ１４４、及び１つ以上のクライアント機器１３０を含み、図１Ａに示されたモバイル機器１０２を含む。各認証局１５２は、クライアント機器１３０によって配信されかつ信頼されたルート証明書１５４を、自己署名することができる。特に、ルート証明書１５４は、クライアント機器１３０によって使用され、ルート証明書１５４に基づき署名され認証目的のためにクライアント機器１３０に提示された中間証明書（及び相関署名）を検証することができる。より具体的には、クライアント機器１３０は、前述の証明書の一つ以上に基づいて署名されたコマンドを受信しかつ処理するように構成することができ、ここでクライアント機器１３０は、ルート証明書１５４に依拠して、コマンドを処理する前に、コマンドを認証する。

いくつかの実施形態では、クライアント機器マネージャ１４４は、クライアント機器１３０を管理するように構成されている特定のエンティティを表し、例えば、クライアント機器マネージャ１４４は、クライアント機器（単数又は複数）１３０のｅＵＩＣＣ１０８のｅＳＩＭ及び／又はｅＵＩＣＣファームウェア／ソフトウェアの例えばインストール、変更、及び／又は削除を含む、クライアント機器１３０へのファームウェア及びソフトウェア更新を発行する責任を持つことができる。図１Ｂに示すように、クライアント機器マネージャ１４４は、ポリシー指示マネージャ１４０とインターフェースし、前述のｅＳＩＭ及び／又はｅＵＩＣＣのファームウェア／ソフトウェアを、クライアント機器に１３０に生成しかつ発行するように構成されているポリシーマネージャ１４２を実行する。ポリシーマネージャ１４２は、異なるルート証明書１５４がクライアント機器１３０をわたってどのように配布されるかを示すレコードを維持するように構成することができる。このように、ルート証明書１５４が損なわれかつ失効させる必要がある場合、ポリシーマネージャ１４２は、ルート証明書１５４を保存している１つ以上のクライアント機器１３０を特定することができ、かつ１つ以上のクライアント機器１３０に恒久的にルート証明１５４を無視させる失効メッセージを発行することができる。

図１Ｂに示すように、各クライアント装置１３０は、クライアント機器１３０のメインシステムボード内に組み込まれたｅＵＩＣＣ１０８を含む。ｅＵＩＣＣ１０８は、クライアント機器１３０上で実行されるメインオペレーティングシステム（ＯＳ）などの外部エンティティによって直接にアクセスされ得ない、サンドボックス型ハードウェア／ソフトウェア環境として構成することができる。図１Ｂには示されていないが、ｅＵＩＣＣ１０８は、マイクロプロセッサと記憶装置（例えば、ＲＯＭ）を含むことができ、それらは、協働して異なるコマンドを処理し、図１Ａに示されかつ本明細書で更に記載された追加のファームウェア／ソフトウェア／ハードウェアを組み合わせて、ユーザの認証及び／又は人間の意思検証を実行することができる。例えば、記憶装置は、クライアント装置１３０のための１つ以上のルート証明書１５４を記憶するように構成される。

図２は、いくつかの実施形態による、図１Ａのモバイル機器１０２における、特定の構成要素のより詳細な部分２００のブロック図を示す。図２に示すように、プロセッサ１０４は、メモリ１０６と協働して、アプリケーション（例えば、ネイティブＯＳのアプリケーション及びユーザアプリケーション）を実行するように構成されたメインオペレーティングシステム（ＯＳ）２０２を実行することができる。いくつかの実施形態では、メインＯＳ２０２は、例えば、ｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８のファームウェアに対する管理操作を容易にするために、１以上のアプリケーション２０４を実行するように構成することができる。図２に示すように、ｅＵＩＣＣ１０８は、ｅＵＩＣＣ１０８のハードウェア資源（例えば、プロセッサ、ランダムアクセスメモリ（ＲＡＭ）、及び図２には明示的に図示されていない不揮発性メモリ）を管理するように構成されているｅＵＩＣＣ ＯＳ２０６を実装するように構成することができる。ｅＵＩＣＣ ＯＳ ２０６はまた、例えば、ｅＵＩＣＣ１０８内のｅＳＩＭ２０８のアクティブ化、非アクティブ化、及び／又は変更することによって、及びｅＳＩＭ２０８にアクセスしてベースバンドモジュール１１０を提供することによって、ｅＵＩＣＣ１０８に記憶されたｅＳＩＭ２０８を管理するように構成することができる。図２に示すように、各ｅＳＩＭ２０８は、固有の識別子２１０に関連づけることができ、ｅＳＩＭ２０８が動作する方法を定義する複数のアプレット２１２を含むことができる。例えば、アプレット２１２の１つ以上は、ベースバンドモジュール１１０とｅＵＩＣＣ１０８によって実行される場合には、モバイル機器１０２がＭＮＯ１１４と通信してモバイル機器１０２の機能（例えば、電話のコール及びインターネットアクセス）をアクティブ化できるように構成することができる。

また図２に示すように、モバイル機器１０２のベースバンドモジュール１１０は、ベースバンドモジュール１１０のハードウェア資源（例えば、プロセッサ、メモリ、図２には明示的には示されていない異なる無線構成要素など）を管理するように構成されたベースバンドＯＳ２１４を含むことができる。いくつかの実施形態では、ベースバンドモジュール１１０は、本明細書に記載されたさまざまな技術を実行するために、ｅＵＩＣＣ１０８とインターフェースするように構成されたマネージャ２１６を実行することができ、ｅＵＩＣＣ１０８が２つ以上ｅＳＩＭ２０８を管理する場合には、ｅＵＩＣＣ ＯＳ２０６とのｅＳＩＭ能力情報の交換と、ｅＵＩＣＣ１０８の固有識別子２１０の管理とを含む。併せて図２に示すように、マネージャ２１６は、ｅＵＩＣＣ１０８に含まれるアクティブ化したｅＳＩＭ２０８のさまざまなアプレット２１２経由でインスタンス化され得るソフトウェアモジュールの集合を表す、サービス２１８を実行するように構成することができる。例えば、サービス２１８は、アクティブ化された異なるｅＳＩＭ２０８に従って、モバイル機器１０２とＭＮＯ１１４間の異なる接続を管理するように構成することができる。

図３は、いくつかの実施形態による、モバイル機器１０２に含まれる、人間の意思検証及び／又はユーザ認証のための構成要素のフレームワークのブロック図３００を示す。ｅＳＩＭ２０８がＭＮＯ１１４の無線ネットワークのサービスのアクセスに対する許可及び／又は認証を提供する、モバイル機器１０２のｅＳＩＭ２０８のローカル管理は、モバイル機器１０２上に密かにインストールされた、及び／又はリモートハッカーを介した、マルウェアによる攻撃の標的となる可能性がある。ｅＳＩＭ２０８に対する一定の管理操作は、モバイル機器１０２、及び／又はＭＮＯ１１４の無線ネットワークの動作に影響を与え得る不適切な実行に対して、脆弱となる可能性がある。例えば、マルウェアは、モバイル機器１０２のユーザに切り替えを意識させることなく、モバイル機器１０２が使用中の１つ以上のｅＳＩＭ２０８を、切り替えるよう試みる可能性がある。ある場合には、モバイル機器１０２のｅＳＩＭ２０８のローカル切り替えは、頻繁な無線ネットワークアタッチメント（接続の確立と非確立）をもたらす可能性があり、頻繁な無線ネットワークアタッチメントによって、モバイル機器１０２が無線サービスの接続で介する無線アクセスネットワークの制御シグナリングが、過負荷となる可能性がある。加えて、無線ネットワークのバックエンドサーバは、モバイル機器１０２のｅＳＩＭ２０８の不適切な切り替えによって、過負荷となる可能性がある。更に、慣例上、ＭＮＯ１１４は、物理的なＳＩＭの製造及び配布の制御に基づいて、サービスへのアクセス制御及びモバイル機器１０２のユーザサービス間の切り替えにてこ入れし、サービスの連続性の保証を継続し、ｅＳＩＭ２０８がモバイル機器１０２に実行されるよう制御しようとする。マルウェアによるｅＳＩＭ２０８のローカル削除（いくつかの実施形態ではプロファイル及び／又はｅＳＩＭプロファイルとも呼ぶことができる）は、ｅＵＩＣＣ１０８及び／又はモバイル機器１０２の動作、少なくともｅＳＩＭ２０８を使う無線サービスへのアクセスに、取り返しのつかないダメージをもたらす可能性がある。ｅＳＩＭ２０８に含まれる情報はまた、モバイル機器１０２のユーザにプライバシーの懸念をもたらしかねない、マルウェアによる不正アクセスを受ける可能性もある。ビジネス上の理由及びセキュリティ上の両方の理由から、これらの懸念を考慮すると、モバイル機器１０２の一つ以上のｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に影響を与え得る１つ以上の管理操作を実行する権限を確認するために、ユーザ認証及び／又は人間の意思検証の追加のレイヤを必要とすることができる。

モバイル機器１０２は、生体測定センサ１１６（指紋スキャナ３０８を含み得る代表例）、個人識別番号（ＰＩＮ）入力３１２（又は他のパスワード及び／又はユーザ識別情報検証入力）、及びコンピュータと人間を区別する完全に自動化された公開チューリングテスト（ＣＡＰＴＣＨＡ）若しくはモバイル機器１０２を操作する人間を検証する逆チューリングテストであるｒｅＣＡＰＴＣＨＡ実装などの１つ以上の人間検証手段３０２を含むことができる。これらの人間検証３０２の手段のそれぞれは、人間（モバイル機器１０２のソフトウェア／ハードウェア／ファームウェアモジュールというよりも）が、モバイル機器の１０２の１つ以上のｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に影響を与えるなどの特定の管理操作（又は管理操作のセット）を実行しようと意図しているかどうかを検証する、セキュリティのレベル変更を提供することができる。人間検証３０２手段のそれぞれは、人間（及び／又は特定のユーザ）が、モバイル機器１０２のｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に対する１つ以上管理操作を実行しようと意図していることを検証する、ｅＵＩＣＣ認証３０４手段を提供する、中間層プラットフォームセキュリティソリューションの１つ以上のバージョンに接続することができる。例えば、ｅＵＩＣＣ認証３０４手段は、１つ以上の人間検証３０２手段とのセキュア接続及びモバイル機器１０２のｅＵＩＣＣ１０８とのセキュア接続を含む、ハードウェアベースの組み込み型セキュア要素（ｅＳＥ）１１８（いくつかの実施形態では、セキュアエンクレーブプロセッサ又はＳＥＰとも呼ばれ得る）を含むことができる。ｅＳＥ１１８は、人間検証３０２手段及びｅＵＩＣＣ１０８と組み合わせて、ユーザ及び／又は人間の認証のために信頼されたセキュアなハードウェア／ソフトウェアの組み合わせを提供することができ、ハードウェア及びソフトウェアのこの組み合わせによって実現される認証機能を、ｅＳＥ／ＳＥＰ ｔｏ ｅＵＩＣＣ認証３１０ブロックとして図３に示す。

代表的な例として、１つ以上のｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に影響を及ぼす可能性がある１つ以上の管理操作を実行する前に、モバイル機器１０２は、人間及び／又は特定のユーザがモバイル機器１０２を操作することを確認するために、ＰＩＮ入力３１２を介したＰＩＮ、及び／又は指紋スキャナ３０８（又は生体センサ１１６を介した別の生体入力）を介した指紋の入力、などの人間検証を要求することができる。人間検証の入力が例えばｅＵＩＣＣ認証３０４手段によって認証されると、ｅＵＩＣＣ１０８に対するｅＵＩＣＣローカル管理操作として示された、要求された管理操作の実行を実行することができる。いくつかの実施形態では、ｅＵＩＣＣ１０８は、例えば、１つ以上のデジタル証明（キー、証明書、などの）に基づくオフカード認証のため、１つ以上の外部サーバを介した認証を提供することができる。いくつかの実施形態では、異なる管理操作のため、及び／又はモバイル機器１０２の（及び／又は、図１Ｂに記載されたさまざまなポリシーで指定され得るさまざまなＭＮＯ１１４によって要求されるなどの、モバイル機器１０２のｅＵＩＣＣ１０８のｅＳＩＭ２０８の）セキュリティレベル構成に基づいて、人間検証３０２の異なるセキュリティレベルを使用することができる。図３に示すように、ローカル検証に加えて外部サーバ検証を含むことができる、人間の意図確認及び／又はユーザ認証は、モバイル機器１０２におけるローカルな人間検証とｅＵＩＣＣ認証との間を橋渡しするために信頼された構成要素を使用することができる。

いくつかの実施形態では、信頼された実行環境（ＴＥＥ）１２０は、指紋スキャナ３０８（及び／又は別の生体センサ１１６）、ＰＩＮ入力３１２（及び／又は他のユーザ証明Ｉ／Ｏ検証）、及び／又は（ｒｅ）ＣＡＰＴＣＨＡチャレンジ３１６ブロックなどの１つ以上の人間検証３０２手段にリンクすることができる。いくつかの実施形態では、ＴＥＥ１２０は、ハードウェアベースのｅＳＥ１１８に類似した仮想のセキュア要素を提供することができる。例えばＧＰ ＳＣＰ１１などのグローバルプラットフォーム（ＧＰ）セキュアチャネルプロトコル（ＳＣＰ）のような進行中の標準化活動は、いくつかの実施形態では公開キー基盤（ＰＫＩ）証明書に基づき得る、ＴＥＥ１２０とｅＵＩＣＣ１０８との間の相互認証を可能にするアーキテクチャを指定している。ＴＥＥ ｔｏ ｅＵＩＣＣ認証３１４ブロックは、実行すべき管理操作の実行を可能にする前に、ｅＵＩＣＣ認証３０４を人間検証３０２と結合する代替手段及び／又は補助手段を提供することができ、ｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に対する管理操作を認証／検証することができる。

いくつかの実施形態では、セキュアＩ／Ｏ１２２は、例えばＰＩＮ入力３１２、（ｒｅ）ＣＡＰＴＣＨＡチャレンジ３１６、及び／又は、例えばセキュアディスプレイ／キーボードのようなセキュアＩ／Ｏ実装３１８を介して収集された他のユーザ証明入力、などの人間検証３０２手段とリンクすることができて、モバイル機器１０２上のセキュアＩ／Ｏのための追加の手段を提供することができる。いくつかの実施形態では、セキュアＩ／Ｏ１２２は、モバイル機器１０２のプロセッサ１０４上で実行するメインＯＳ２０２のセキュアソフトウェアと統合することができる。マルウェアがｅＵＩＣＣ認証３０４と併せて使用される人間検証入力を傍受及び／又は模倣しないことを確実にするために、セキュアＩ／Ｏ１２２を、通常のＩ／Ｏメカニズムの代わりに使用して、ｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に対する１つ以上の管理操作の実行を制御することができる。図３のブロック図３００は、人間の検証及びｅＵＩＣＣ認証を実行するための代表的な手段を提供しているが、追加の手段もまた、セキュア入力を提供するため、本明細書に記載された手段の代わりに及び／又は併せて使用することができる。追加の手段は、例えば、人間対機械識別、セキュア通信チャネル、ハードウェア／ソフトウェアモジュール間の信頼された関係、及び外部サーバとのセキュリティ交換を含んで、ｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に影響を及ぼす１つ以上の管理操作の実行が要求された場合に、マルウェアから保護することができる。

図４は、いくつかの実施形態による、モバイル機器１０２内の、指紋スキャナ３０８などの生体センサ１１６を使用する検証及び／又は認証のための構成要素の代表的な構成のブロック図４００を示す。例えばモバイル機器１０２の製造時にもたらされ得る既知共有キーを使用するセキュアリンク４０２を通じて、指紋スキャナ３０８は、組み込み型セキュア要素（ｅＳＥ）１１８又はセキュアエンクレーブプロセッサ（ＳＥＰ）とペアリングすることができる。セキュアリンク４０２は、典型的には対称キーペアリングを使用して、指紋スキャナ３０８とｅＳＥ１１８との間のエンドツーエンド（Ｅ２Ｅ）セキュリティ手段を提供することができる。生体ユーザ証明の検証は、セキュアリンク４０２を介してのみアクセス可能な信頼されたハードウェア（ｅＳＥ１１８のような）内で起こり得るので、指紋スキャナ３０８によって収集された指紋情報などの生体ユーザ証明は、マルウェアから保護することができる。ｅＳＥ１１８は、次にｅＵＩＣＣ１０８とセキュアにペアリングすることができ、ｅＳＥ１１８とｅＵＩＣＣ１０８との間に相互認証を提供することができる。いくつかの実施形態では、モバイル機器１０２の製造中に、ｅＳＥ１１８とｅＵＩＣＣ１０８を対称キー及び／又は証明書とペアリングすることができ、それによって、モバイル機器１０２がユーザによって構成されかつ使用される場合に、ｅＳＥ１１８とｅＵＩＣＣ１０８との間の相互認証４０４がセキュアとなる。いくつかの実施形態では、ｅＳＥ１１８とｅＵＩＣＣ１０８との間の相互認証機構４０４メカニズムは、ｅＵＩＣＣ１０８とプロファイルマネージャＬ３サーバ４０８などの外部サーバとの間の相互認証４０６メカニズムと、同じプロトコルを使用することができる。いくつかの実施形態では、モバイル機器１０２が製造された後、ｅＳＥ１１８とｅＵＩＣＣ１０８をペアリングするための証明を取得でき、Ｌ３サーバ４０８などの１つ以上のサーバを使用して検証することができる。証明は例えば、１つ以上のサーバによる検証と併せてｅＳＥ１１８及びｅＵＩＣＣ１０８に提供される対称キー及び／又は証明書を含むことができる。指紋スキャナ３０８、ｅＳＥ１１８、及びｅＵＩＣＣ１０８の組み合わせは、例えば、ｅＵＩＣＣ１０８と、その次に、追加の第三者サーバとも通信し得るレベル３（Ｌ３）プロファイルマネージャサーバ４０８などの１つ以上の外部サーバとの組み合わせを介して、リモートセキュリティで付加的に補うことができるローカルな（モバイル機器１０２への）プラットフォームレベルのセキュリティを提供する。

図５Ａ及び図５Ｂは、ある実施形態による、組み込み型セキュア要素、例えばｅＳＥ１１８を、モバイル機器１０２内のｅＵＩＣＣ１０８とペアリングするためのシーケンス図５００／５５０を示す。いくつかの実施形態では、モバイル機器１０２は、アプリケーションプロセッサ（ＡＰ）５０６を含み、プロセッサ１０４に対応することができる。シーケンス図５００／５５０は、モバイル機器１０２の製造後に、ｅＳＥ１１８とｅＵＩＣＣ１０８との間でセキュアペアリングを生成できる、代表的な実施形態を示す。図５Ａで、ハードウェアセキュリティモジュール（ＨＳＭ）５０２とラベル付けされた信頼されたリモートサーバは、ｅＳＥ１１８とモバイル機器１０２のｅＵＩＣＣ１０８との間で信頼関係の確立を支援することができる。ＨＳＭ５０２は、ポリシー制御機能（ＰＣＦ）証明書を維持することができ、そのうちの１つ以上を、モバイル機器１０２のＨＳＭ５０２からＡＰ５０６に提供することができる。いくつかの実施形態では、ＨＳＭ証明書（ＨＳＭｃｅｒｔ）は、署名されたチャレンジと共に、ＡＰ５０６がＨＳＭ５０２から取得することができる。ＡＰ５０６は、ｅＵＩＣＣ１０８からカードシリアル番号（ＣＳＮ）を引き出し、署名されたチャレンジ、ＨＳＭ証明書、及びＣＳＮを、ｅＳＥ１１８に提供することができる。ｅＳＥ１１８は、ＨＳＭ証明書を有効化し、ＨＳＭ署名を検証し、その後、モバイル機器１０２及びＣＳＮの固有識別子（ＵＩＤ）に基づいてキー対を生成することができる。ｅＳＥ１１８は、証明書署名要求（ＣＳＲ）及び共通名（ＣＮ）を生成することができ、それらを、ｅＳＥ１１８及びＣＳＮの組み合わせに関連づけることができる。ｅＳＥ１１８はまた、グループ識別子（ＧＩＤ）、ＣＳＲ、排他的チップ識別子（ＥＣＩＤ）、及びチャレンジに基づいて、ハッシュ（図５ＡでＨＭＡＣ＿ＳＥＰとラベル付けされた）を生成することもできる。ＣＳＲ、ＥＣＩＤ、及びＨＭＡＣ＿ＳＥＰを、ＡＰ５０６に通信することができ、ＡＰ５０６は、情報に基づいて署名された識別情報マップを生成し、署名された識別情報マップをｅＵＩＣＣ１０８に送ることができる。ｅＵＩＣＣ１０８は、ノンスが付加された署名された識別情報マップをＡＰ５０６に返すことができる。署名された識別情報マップを、ＨＳＭ５０２（例えば、モバイル機器１０２のｅＵＩＣＣ１０８が、以前に確立された信頼関係を有することができた外部サーバ）に通信することができる。ＨＳＭ５０２は、ｅＵＩＣＣ証明書を有効化、ｅＵＩＣＣ署名を検証、ＣＳＮを検証、ハッシュ（ＨＳＭ＿ＳＥＰ）を検証、ＣＳＲを有効化、することができ、ｅＳＥ１１８のために証明書（図５ＡでＳＥＰ＿ＶＩＮＹＬｃｅｒｔとラベル付けされた証明書）を発行することができる（検証及び検証が成功した場合）。ＨＳＭ５０２は、ｅＳＥ１１８のＰＣＦオーナ証明書を作成することができる。ＨＳＭ５０２は、モバイル機器１０２のＡＰ５０６へのＨＳＭ証明書により、第２のチャレンジ（図５Ｂでチャレンジ２とラベル付けされた）、ｅＳＥ１１８の証明書、及びＰＣＦオーナ証明書、の署名された組み合わせを提供することができ、ＡＰ５０６は、ＨＳＭ５０２から受信した情報をｅＳＥ１１８に転送することができる。ｅＳＥ１１８は、ＨＳＭ証明書を有効化し、ＨＳＭ署名を検証し、ｅＳＥ証明書を有効化し、ｅＳＥ証明書を記憶することができる。ｅＳＥ１１８は、ＰＣＦオーナ証明書をＡＰ５０６に通信することができ、ＡＰ５０６は、ＰＣＦオーナ証明書を、ｅＵＩＣＣ１０８にインストールするめに、ｅＵＩＣＣ１０８に転送することができ、次に、ＰＣＦオーナ証明書の受信をＡＰ５０６に示すことができる。ＡＰ５０６は、ｅＵＩＣＣ１０８にＳｉｇｎＩＤＭａｐ（コマンド）を送信することができ、ナンス及びＣＳＮを含むＳｉｇｎｅｄＩＤＭａｐで応答することができる。ｅＳＥ１１８におけるｅＳＥ証明書及びｅＵＩＣＣ１０８内にインストールされたＰＣＦオーナ証明書により、ｅＳＥ１１８とｅＵＩＣＣ１０８との間に、信頼された関係を確立することができる。

ｅＵＩＣＣ１０８の観点から、ｅＵＩＣＣ１０８とｅＳＥ１１８との間に信頼された関係を確立することは、ｅＵＩＣＣ１０８に対する信頼された関係を、モバイル機器１０２の外部に存在し得る新しい信頼されたサーバに追加することに似ている（しかしながらこの場合、新しい信頼されたサーバ、すなわちｅＳＥ１１８は、実際にはモバイル機器１０２の内部（ローカル）にある）。ｅＳＥ１１８のｅＵＩＣＣ１０８へのペアリングは、公開キーインフラストラクチャ（ＰＫＩ）証明書に基づき得るＰＣＦオーナ証明書のインストールに依拠し得る。ＰＣＦオーナ証明書のインストール後、ｅＳＥ１１８とｅＵＩＣＣ１０８との間のセキュア通信は、認証されたレベル３（Ｌ３）コマンドに基づくことができる。いくつかの実施形態では、ｅＳＥ１１８とｅＵＩＣＣ１０８との間の信頼された関係（及び／又はその後のセキュア通信）の確立では、対称キーベースのＬ３セキュリティプロトコル、例えば、ＧＰ ＳＣＰ０３及びＧＰ ＳＣＰ８０に記載されている、が使用される場合には、Ｌ３証明として使用される対称キー（単数又は複数）のインストールを含むように拡張することができる。いくつかの実施形態では、開発中の対称キーベースのセキュアチャネルプロトコル、例えば、ＧＰ ＳＣＰ１１に従って証明書をインストールした後に、追加のメカニズムを使用して対称キーを生成することができる。

図６は、いくつかの実施形態による、モバイル機器１０２、例えばモバイル機器１０２のＴＥＥ１２０の内の信頼された実行環境（ＴＥＥ）を使用する検証及び／又は認証のための構成要素における、代表的な構成のブロック図６００を示す。いくつかの実施形態では、ＴＥＥ１２０は、１つ以上のＧＰ仕様に従って動作することができる。ＴＥＥ１２０は、モバイル機器１０２のｅＵＩＣＣ１０８が信頼されたセキュアな関係を確立することができる、仮想セキュア要素（ＳＥ）とみなすことができる。１つ以上の信頼されたセキュア入力、例えばセキュアなディスプレイ及び／又はキーボードなどのセキュアＩ／Ｏ ３１８並びに指紋スキャナ３０８などのセキュアな生体センサ１１６は、人間の意図検証及び／又はユーザ認証を少なくとも部分的に実現し得るセキュア通信リンク情報を介して、提供することができる。いくつかの実施形態では、人間の意図確認及び／又はユーザ認証のために使用することができるセキュアアプリケーション６０８を、ＴＥＥ１２０を介して信頼されたセキュア入力とリンクさせることができる。いくつかの実施形態では、セキュアアプリケーション６０８は、リッチオペレーティングシステム（ＯＳ）６０７及びＴＥＥ１２０の一部として実行する。ＴＥＥ１２０は、ＴＥＥ１２０とｅＵＩＣＣ１０８との間の相互認証に使用できる、セキュアな証明、例えばキー、証明書などが記憶され得る信頼されたカーネル６１０を含むことができる。ハードウェアｅＳＥ１１８と同様に、ソフトウェアＴＥＥ１２０は、モバイル機器１０２の外部サーバとのセキュア通信に類似したセキュア通信の相互認証を使用するｅＵＩＣＣ１０８と、信頼された関係を確立することができる。ＴＥＥ１２０は、ｅＵＩＣＣ１０８上の１つ以上のｅＳＩＭ２０８に対する１つ以上の管理操作を実行する前に、セキュア入力を介して受信した情報を処理して、人間の意図を検証する、及び／又はユーザ認証をすることができる。このように、ｅＵＩＣＣ１０８上でｅＳＩＭ操作６１６を実行するために、ＴＥＥ１２０とｅＵＩＣＣ１０８との間の相互認証６１４を必要とすることができる。いくつかの実施形態では、ＴＥＥ１２０は、セキュアなハードウェア６１２、例えば高度な縮小命令セットコンピューティング（ＲＩＳＣ）マシン（ＡＲＭ）の信頼された領域ハードウェアモジュールとインターフェースすることができ、ＴＥＥ１２０とｅＵＩＣＣ１０８との間の相互認証６１４のためのキー及び／又は証明書を記憶することができる。ｅＳＥ１１８と同様に、ＴＥＥ１２０は、相互認証のためのＬ３証明として対称キー及び／又はＰＫＩ証明書を使用することができ、Ｌ３証明は、モバイル機器１０２の製造中及び／又は製造後にインストールすることができる。いくつかの実施形態では、ＴＥＥ１２０は、例えば、ＧＰ ＳＣＰ１１などの対称キーベースのセキュアなチャネルプロトコルによる使用のため、１つ以上の証明書のインストール後に対称キーを生成することができる。いくつかの実施形態では、ＴＥＥ１２０は、例えば、セキュアＩ／Ｏ３１８を介して取得された入力に基づいて、人間の意図検証に使用することができる。いくつかの実施形態では、ＴＥＥ１２０は、モバイル機器１０２のＯＳ６０４と協働して、ユーザ認証及び／又は人間の意図検証を実行する。いくつかの実施形態では、セキュリティ及び／又はマルウェア防御のために使用されるＯＳベースのソフトウェア／ハードウェアは、ＴＥＥ１２０と共に使用され及び／又はＴＥＥ１２０のセキュリティ機能を補されて、マルウェアが、ＯＳ６０４及び／又はディスプレイ及びキーボードなどのユーザインターフェースをハイジャックするのを防止する。

図７Ａから図７Ｄは、いくつかの実施形態による、モバイル機器１０２による外部サーバ７１６を介したユーザ認証において、ｅＳＩＭ２０８をｅＵＩＣＣ１０８からエクスポートするためのシーケンス図７００／７２０／７３０／７４０を示す。モバイル機器１０２は、例えば、暗号化及び再暗号化機能を実行する第１のレベル（Ｌ１）、アンチクローニング機能を実行してｅＳＩＭ２０８のクローニングを防ぐ第２のレベル（Ｌ２）、同一性判定、信頼されたセキュア通信、ユーザ認証、及び／またモバイル機器１０２のための人間の意図検証機能を実行する第３のレベル（Ｌ３）を含む、複数のセキュリティレベルを実装できるｅＵＩＣＣ１０８を含むことができる。モバイル機器１０２のユーザは、電子メールアカウント、Ａｐｐｌｅ ＩＤ、Ｆａｃｅｂｏｏｋアカウントなどの外部ユーザアカウントを、ｅＵＩＣＣ１０８上にインストール中及び／又はインストール後に、１つ以上のｅＳＩＭ２０８とリンクさせることができる。これらの外部ユーザアカウントのそれぞれに関連づけられている証明は、これらの外部ユーザアカウントにサービスを提供する第三者サーバと通信することによって検証することができる。モバイル機器１０２は、ユーザ認証のために、追加の第三者サーバとその次に通信できる外部サーバ７１６とインターフェースすることができる。１つ以上のｅＳＩＭ２０８に対する１つ以上の管理操作が実行され得る前に、及び／又はｅＵＩＣＣ１０８に対する他の管理操作のために、本明細書記載された技術を使って実現され得るユーザ認証及び／又は人間の意図確認を、必要とすることができる。

図７Ａから図７Ｄは、モバイル機器１０２のｅＵＩＣＣ１０８からｅＳＩＭ２０８をエクスポートするプロセスの一部として、ユーザ認証を含むのに起こり得るアクションの代表的なセットを表す。ユーザ認証は、モバイル機器１０２によって提供された証明に基づいてユーザを認証するためにサービスを提供する追加の第三者サーバと、通信できる外部サーバ７１６を含む。モバイル機器１０２は、ｅＵＩＣＣ１０８内に、Ｌ１セキュリティプロトコルによって保護された１つ以上のｅＳＩＭ２０８を記憶できるクライアントプロファイルロッカー７０２と、Ｌ２セキュリティプロトコルを使用して１つ以上のｅＳＩＭ２０８のクローン作成から保護できるクライアントプロファイルエージェント７０４と、ユーザ認証、同一性判定、信頼された関係の確立と維持、並びにｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８ファームウェア／ソフトウェアなどのさまざまな管理操作を実行するための認証、のためのＬ３セキュリティプロトコルを実装できるクライアント７０６と、を含むことができる。外部サーバ７１６は、Ｌ３セキュリティプロトコルを実施できるサーバブローカ７１０、Ｌ２セキュリティプロトコルを実施できるサーバプロファイルエージェント７１２、及びＬ１セキュリティプロトコルを実施できるサーバプロファイルロッカー７１４などの、並列Ｌ１／Ｌ２／Ｌ３構成要素を含むことができる。

いくつかの実施形態では、モバイル機器１０２のＡＰ５０６によって実行され得るクライアントブローカ７０８は、モバイル機器１０２のユーザに、例えばセキュアＩ／Ｏ１２２を介して、ｅＵＩＣＣ１０８のｅＳＩＭ２０８に対する（及び／又はｅＵＩＣＣ１０８へのファームウェア／ソフトウェア変更のために）１つ以上の管理機能を実行するための認証の検証に用いる、ユーザ入力を取得するよう促すことができる。代表的な管理操作は、１以上のｅＳＩＭ２０８を別のモバイル機器に移動させ、１つ以上のｅＳＩＭ２０８をセキュアな外部サーバ（たとえば、クラウド）に記憶し、及び／又は１つ以上のｅＳＩＭ２０８をｅＵＩＣＣ１０８からモバイル機器１０２内のモバイル機器のＡＰ５０６に転送する、エクスポートｅＳＩＭ操作を含むことができる。いくつかの実施形態では、モバイル機器１０２によって取得されたユーザ入力は、１つ以上の他の第三者サーバと通信することができるサーバ７１６などの外部サーバを介して、ユーザ認証に使用できるユーザ証明を含む。ユーザ証明は、モバイル機器１０２のユーザに関連づけられた特定のユーザアカウントのユーザ名及びパスワードを含むことができる。ＡＰ５０６のクライアントブローカ７０８は、ユーザがｅＵＩＣＣ１０８からエクスポートしようとする１つ以上のｅＳＩＭ２０８に関連づけられたＬ３セキュリティに使用される許可トークン（ＡｕｔｈＴｏｋｅｎとしてラベル付けられた）を取得する。本明細書で更に記載するように、ｅＳＩＭ２０８のインストール中及び／又はインストール後に、許可トークンをｅＳＩＭ２０８と関連づけて生成されて、外部サーバ７１６及び関連する第三者サーバを介してユーザ認証を提供することができる。許可トークンは、ユーザがｅＳＩＭ２０８をエクスポートする（及び／又はｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に対する他の管理操作を実行する）ことを許可されているかどうか判定するために使用することができる。モバイル機器１０２によるユーザ許可の判定は、外部サーバ７１６との通信を含むことができる。クライアントブローカ７０８は、ｅＳＩＭ２０８のためのプロファイル記述子と、ｅＳＩＭ２０８のための現在のＬ３関連許可トークンとを、ｅＵＩＣＣ１０８のＬ３クライアント７０６に提供し、署名された識別情報マップを（ｅＳＩＭ２０８のプロファイル及び現在のＬ３許可トークンに基づき）、モバイル機器１０２のＡＰ５０６のクライアントブローカ７０８に返す。クライアントブローカ７０８は、外部サーバ７１６のＬ３サーバブローカ７１０に、署名された識別情報マップを含む、ｅＳＩＭ２０８をエクスポートする要求を送信し、署名された識別情報マップは、外部サーバ７１６のＬ３サーバブローカ７１０が使用でき、ユーザの権限を認証してｅＳＩＭ２０８のエクスポート（又は他の管理操作）を実行させる。いくつかの実施形態では、現在のＬ３許可トークンは、外部サーバ７１６のＬ３サーバブローカ７１０がモバイル機器１０２のユーザを認証するために第三者サーバとの通信に使用できる情報を含む。ユーザが認証されると、Ｌ３サーバブローカ７１０は、Ｌ３許可トークンを記憶でき、続いてモバイル機器１０２のｅＵＩＣＣ１０８とのセッションを確立して、要求された管理操作をすること、例えばｅＳＩＭ２０８をｅＵＩＣＣ１０８からエクスポートすることができる。

図８Ａから図８Ｄは、いくつかの実施形態による、モバイル機器１０２による外部サーバ７１６を介したユーザ認証でｅＳＩＭ２０８をインストールするための、シーケンス図８００／８２０／８３０／８４０を示す。ｅＳＩＭ２０８をインストールする際、モバイル機器１０２は、ｅＳＩＭ２０８に影響を及ぼし得る要求された管理操作に応ずることに続いて、ｅＳＩＭ２０８と、ユーザを認証するのに用いる１つ以上のユーザアカウントとを関連づけることができる。いくつかの実施形態では、モバイル機器１０２のｅＵＩＣＣ１０８に既にインストールされたｅＳＩＭ２０８は、ｅＳＩＭ２０８を含むその後の管理操作でユーザ認証するために用いる１つ以上のユーザアカウントに関連づけることができる。いくつかの実施形態では、ｅＳＩＭ２０８のインストールは、１つ以上のユーザアカウントのユーザ証明が、ユーザ証明を認証するための追加の第三者サーバと通信できる外部サーバ７１６を介して検証される場合にのみ起こり得る。いくつかの実施形態では、モバイル機器１０２のユーザは、例えば現在のユーザアカウントとして、特定のユーザアカウント（及び／又はユーザ証明の特定のセット）をｅＳＩＭ２０８に関連づけることができ、後に、ｅＳＩＭ２０８を異なる新規又は次のユーザアカウントに関連づけるように変更することができる。

いくつかの実施形態では、ＡＰ５０６は、モバイル機器１０２のユーザアカウントのユーザ証明のセットを入力するようユーザに促して、１つ以上のｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に対する管理操作の許可に使用することができる。ＡＰ５０６のクライアントブローカ７０８は、モバイル機器１０２のｅＵＩＣＣ１０８のＬ３クライアント７０６に、ユーザ証明（及び／又はそこから導出された情報）を提供し、その見返りに、ユーザ証明及び／又はユーザを認証するために使用できるユーザ証明に基づく情報を含み得る、署名された識別情報マップを取得することができる。署名された識別情報マップは、ＡＰ５０６のクライアントブローカ７０８によって、外部サーバ７１６のＬ３サーバブローカ７１０に提供することができ、署名された識別情報マップによって、第三者サーバでユーザを認証する（及び／又はモバイル機器１０２において１つ以上の要求された管理操作を実行させるユーザの権限を判定する）ことができる。署名された識別情報マップと共に供給されるユーザ証明に基づいて、第三者サーバで外部サーバ７１６によるユーザ認証が成功すると、ｅＳＩＭ２０８のインストールはモバイル機器１０２で進めることができる。いくつかの実施形態では、外部サーバ７１６のＬ３サーバブローカ７１０は、ｅＵＩＣＣ１０８のＬ３クライアント７０６に提供する１つの（又は複数の）ワンタイムコード（単数又は複数）（ＯＴＣ）を生成して、（ｅＳＩＭ２０８のインストールなどの）１つ以上の管理操作が発生する間のセッションのために第三者サーバでユーザの再認証をする必要性を除去する。例えばＣｒｅａｔｅＳｅｓｓｉｏｎコマンドによって示されるように、セッションが確立されると、ＡＰ５０６のクライアントブローカ７０８からｅＵＩＣＣ１０８のＬ３クライアント７０６に、１つ以上のＯＴＣを通信して、その後、１つ以上の管理操作を完了するために必要なセッションの間に使用することができる。例えば、外部サーバ７１６のＬ３サーバブローカ７１０が、１つ以上の管理操作の実行中に第三者サーバで再チェックをする必要なく、外部サーバ７１６のＬ３サーバブローカ７１０との認証の証明を、Ｌ３クライアント７０６から提供することができる。例えば、図８Ｂに示すように、Ｌ３クライアント７０６からＡＰ５０６のクライアントブローカ７０８に提供され、外部サーバ７１６のＬ３サーバブローカ７１０に送信されたＰｅｒｓｏｎａｌｉｚｅＰｒｏｆｉｌｅコマンドに含まれるプロファイルＬ３ブロブ要求は、ＯＴＣの少なくとも１つを含むことができ、現在のセッションの間にセッションによって要求された、管理操作かモバイル機器１０２のユーザに許可されたことを検証することができる。いくつかの実施形態では、ＯＴＣは、例えば、タイムスタンプ又は限られた期間の後にＯＴＣが期限切れになることを保証できる他の時間計数メカニズムに基づいて、ある期間の使用に制限することができる。このように、外部サーバ７１６のＬ３サーバブローカ７１０は、プロファイルＬ３ブロブ要求に含まれるＯＴＣのタイムスタンプを確認により検証して、セッションユーザ認証が有効のままであることを検証することができる。

いくつかの実施形態では、図８Ｃに示すように、外部サーバ７１６のＬ３サーバブローカ７１０は、特定のｅＳＩＭ２０８を、例えばアップルＩＤアカウント、Ｙａｈｏｏアカウント、Ｆａｃｅｂｏｏｋアカウント、など特定のユーザアカウントに関連づけられたユーザ証明と、結び付けるＬ３オーナを作成する。図８Ｂに示すように、ＡＰ５０６は、Ｌ３サーバブローカ７１０に提供されたプロファイルＬ３ブロブ要求内のユーザ証明に従って、ｅＳＩＭ２０８がユーザのためにパーソナル化されることを要求する（Ｌ３サーバブローカ７１０に通信されたＰｅｒｓｏｎａｌｉｚｅＰｒｏｆｉｌｅ要求で示されるように）。いくつかの実施形態では、例えばＯＴＣが使用されていない場合、Ｌ３サーバブローカ７１０は、モバイル機器１０２のユーザに対してｅＳＩＭ２０８をパーソナル化する際のセッション中に、必要に応じて第三者サーバでユーザ認証を検証することができる。図８Ｂ及び図８Ｃに示すように、外部サーバ７１６は、Ｌ３サーバブローカ７１０によるＬ３レベル及びサーバプロファイルエージェント７１２によるＬ２レベルの両方で、ｅＳＩＭ２０８をパーソナル化する要求を検証することができる。検証に成功すると、ｅＳＩＭ２０８は、Ｌ１サーバプロファイルロッカー７１４から取り戻され、ｅＳＩＭ２０８に影響を与える管理操作の以降の検証のためにｅＳＩＭ２０８をユーザアカウントと結び付けるＬ３オーナと共に、モバイル機器１０２のＡＰ５０６と通信することができる。Ｌ３オーナ情報はｅＵＩＣＣ１０８（具体的にはＬ３クライアント７０６）に転送され、ｅＵＩＣＣ１０８で記憶され得る。それによって、ｅＵＩＣＣ１０８において、特定のｅＳＩＭ２０８を、ｅＳＩＭ２０８に対する１つ以上の管理操作に対するユーザ認証の実行に用いるユーザアカウントに関連づける。本明細書で記載され、図７Ａから図７Ｄに示されるエクスポートｅＳＩＭ管理操作は、エクスポートｅＳＩＭ管理操作のユーザ認証のため、Ｌ３オーナの記憶されたユーザ証明情報を使用することができる。いくつかの実施形態では、Ｌ３オーナ構造は、Ｌ３オーナに関連づけられたｅＳＩＭ２０８に対する１つ以上の管理操作を許可するユーザ認証のため、連絡すべき特定の第三者サービスの情報を含む。

図９Ａは、いくつかの実施形態による、モバイル機器１０２のｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に対する管理操作のユーザ認証のための、代表的な方法のフローチャート９００を示す。ステップ９０２において、モバイル機器１０２のプロセッサ１０４及び／又はＡＰ５０６などのプロセッサは、モバイル機器１０２のｅＳＩＭ２０８に対する管理操作の開始（及び／又は開始要求）を検出する。いくつかの実施形態では、プロセッサは、ｅＳＩＭ２０８に対する管理操作の実行を実行し得る前に、ｅＳＩＭ２０８に対する管理操作が追加のユーザ認証及び／又は人間の意図検証を必要とするか判定する。ステップ９０４において、モバイル機器１０２は、例えば、セキュアＩ／Ｏ１２２を介して、及び／又は生体センサ１１６を使用して、ユーザ証明を取得して、管理操作を実行するための許可を検証するのに用いる特定のユーザ及び／又はユーザアカウントを判定する。いくつかの実施形態では、ユーザ証明に基づくユーザ認証のみ、及び／又は別個の入力に基づく人間の意図検証と組み合わせて、管理操作を完了するため必要とすることができる。いくつかの実施形態では、ステップ９０６において、モバイル機器１０２のプロセッサは、ユーザ証明（及び／又はそのバージョンを含む）に基づくメッセージを外部サーバに送信して、ｅＳＩＭ２０８に対する管理操作を実行するためのユーザ許可を検証する。いくつかの実施形態では、外部サーバは、ユーザ証明情報を使用して、第三者サーバでユーザ認証を実行する。ステップ９０８において、モバイル機器１０２は、外部サーバからのユーザ許可指示の受信に応じて、ｅＳＩＭ２０８に対する管理操作を実行する（又はその実行を完了する）。

一定のｅＳＩＭ２０８、及び／又は一定のｅＳＩＭ２０８に対する一定の管理操作は、人間の意図検証及び／又はユーザ認証を免除することができる。管理操作から免除され得る代表的なｅＳＩＭ２０８は、通常のｅＳＩＭ２０８を取得するために使用されるプロビジョニングｅＳＩＭ２０８及び／又は緊急通信を提供するために使用される緊急サービスｅＳＩＭ２０８などの、限定された特定の機能を提供するｅＳＩＭ２０８を含むことができる。プロビジョニングｅＳＩＭ２０８の使用（及び／又はインストール、有効化、アクティブ化）への切り替えは、モバイル機器１０２の通信機能の初期化及び／又は回復を提供することができる。同様に、緊急サービスｅＳＩＭ２０８の使用（及び／又はインストール、有効化、アクティブ化）への切り替えは、特定の無線ネットワークを介して限定された通信を提供でき、及び／又はアメリカのダイヤル９１１などの緊急通信サービスの特定のセットへアクセスでき、及び／又は警察、火災、及び／又は緊急医療サービスなどの他の緊急サービスへアクセスすることができる。１つ以上の通常のｅＳＩＭ２０８に適用可能な制限は、プロビジョニングｅＳＩＭＳ２０８及び／又は緊急サービスｅＳＩＭ２０８などの一定のｅＳＩＭ２０８に切り替えるときに解除することができる。しかしながら、免除されたｅＳＩＭ２０８から通常のｅＳＩＭ２０８に切り替え戻すことは、人間の意図検証及び／又はユーザ認証を必要とすることができる。いくつかの実施形態では、ｅＵＩＣＣ１０８は、ｅＳＩＭ２０８のタイプに基づいて、及び／又はｅＳＩＭ２０８のタイプに対する管理操作のタイプに基づいて、ｅＳＩＭ２０８に対する人間の意図検証及び／又はユーザ認証の制限及び／又は免除を強制する。いくつかの実施形態では、ｅＵＩＣＣ１０８は、１つ以上のポリシーに基づいてｅＳＩＭ２０８に対する管理操作に制限を強制する。ｅＳＩＭ２０８又はｅＳＩＭ２０８のセットは、ｅＳＩＭ２０８に対する管理操作のセットの全て、一部に適用される、又はいずれにも適用されない制限及び／又は免除を示す関連ポリシーを有することができる。人間の意図確認及び／又はユーザ認証は、モバイル機器１０２のｅＵＩＣＣ１０８によって使用して、マルウェアが、モバイル機器１０２におけるｅＳＩＭ２０８間の切り替えを制限する、及び／又はｅＳＩＭ２０８間で過度に迅速又は頻繁に切り替えるよう無線ネットワークと通信するなどにより、モバイル機器１０２及び／又は無線ネットワークのネットワーク機器の動作を妨害しないようにすることができる。通常のｅＳＩＭ２０８を選択及び／又はロードするための初期アクセスを得るため、又は以前にインストールされたｅＳＩＭ２０８の使用を回復するため、のプロビジョニングｅＳＩＭ２０８などの一定のｅＳＩＭ２０８は、少なくともプロビジョニングｅＳＩＭ２０８への切り替えなどの一定の管理操作のために、人間の意図検証及び／又はユーザ認証から免除することができる。同様に、いくつかの実施形態では、緊急サービスｅＳＩＭ２０８への切り替え、その有効化、インストール、及び／又はアクティブ化は、人間の意図検証及び／又はユーザ認証から免除することができる。プロビジョニングｅＳＩＭ２０８又は緊急サービスｅＳＩＭ２０８からなどの免除ｅＳＩＭ２０８から通常のｅＳＩＭ２０８への切り替え戻しは、人間の意図検証及び／又はユーザ認証の対象となることがある。このように、例えば、プロビジョニングｅＳＩＭ２０８又は緊急サービスｅＳＩＭ２０８への切り替えのような一方向のみで、人間のユーザ検証及び／又はユーザ認証を免除し、他方、例えば、プロビジョニングｅＳＩＭ２０８又は緊急サービスｅＳＩＭ２０８から通常のｅＳＩＭ２０８へ切り替え戻りなどの他の方向では、人間のユーザ検証及び／又はユーザ認証を必要とすることによって、マルウェアが、プロビジョニングｅＳＩＭ２０８又は緊急サービスｅＳＩＭ２０８を含むｅＳＩＭ２０８間で、過度に迅速に及び／又は過度に頻繁に切り替えないようにすることができる。いくつかの実施形態では、ｅＵＩＣＣ１０８は、それぞれが人間の意図検証及び／又はユーザ認証から免除される２つ以上の異なるｅＳＩＭ２０８間の切り替えが、切り替え間のある時間間隔内で又はある最小時間おきに、あまり頻繁に又はあまり多数回起こらないことを保証するルールを強制することができる。いくつかの実施形態では、複数のｅＳＩＭ２０８が人間の意図検証及び／又はユーザ認証から免除される場合、ｅＵＩＣＣ１０８は、任意の時点で、他の任意のｅＳＩＭ２０８から緊急サービスｅＳＩＭ２０８などの特定のｅＳＩＭ２０８への切り替えを許可することができるが、緊急サービスｅＳＩＭ２０８から離れるなど特定のｅＳＩＭ２０８から離れる切り換えの際には、制限を必要とすることができる。このように、マルウェアに、ｅＳＩＭ２０８間の過度の切り替えによる、モバイル機器１０２及び／又は関連するワイヤレスネットワークのネットワーク機器の動作への悪影響を及ぼさせることなく、緊急サービスへのアクセスは、人間の意図検証及び／又はユーザ認証をバイパスすることができる。

図９Ｂは、いくつかの実施形態による、免除処理を伴う、モバイル機器１０２のｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に対する管理操作のためのユーザ認証における、代表的な方法のフローチャート９５０を示す。ステップ９５２において、モバイル機器１０２のプロセッサ１０４及び／又はＡＰ５０６などのプロセッサは、モバイル機器１０２のｅＳＩＭ２０８に対する管理操作の開始（及び／又は開始要求）を検出する。ステップ９５４において、プロセッサは、ｅＳＩＭ２０８に対する管理動作の実行を実行し得る前に、ｅＳＩＭ２０８に対する管理動作が追加のユーザ認証及び／又は人間の意図検証を必要とするかどうかを判定する。ステップ９５６において、ｅＳＩＭ２０８に対する管理操作が人間の意図検証及び／又はユーザ認証を必要としない場合、モバイル機器１０２は、ｅＳＩＭ２０８に対する管理操作を実行する（及び／又は実行を完了する）。人間の意図確認及び／又はユーザ認証から免除され得る代表的なｅＳＩＭ２０８は、ｅＳＩＭ２０８などの、特に切り替え、有効化、インストール、及び／又はアクティブ化を行う場合、プロビジョニングｅＳＩＭ２０８（通常ｅＳＩＭ２０８のロード、インストール、及び／又は回復のような特別の目的のため限定された通信機能を提供する）及び緊急サービスｅＳＩＭ２０８（特定の緊急サービスへ限定された通信機能を提供する）を含む。ステップ９５８において、モバイル機器１０２は、例えば、セキュアＩ／Ｏ１２２を介して、及び／又は生体センサ１１６を使用して、ユーザ証明を取得し、管理操作を実行するための許可を検証するのに用いる特定のユーザ及び／又はユーザアカウントを判定する。いくつかの実施形態では、ユーザ証明に基づくユーザ認証のみ、及び／又は別個の入力に基づく人間の意図検証と組み合わせて、管理操作を完了するため必要とすることができる。いくつかの実施形態では、ステップ９６０において、モバイル機器１０２のプロセッサは、ユーザ証明（及び／又はそのバージョンを含む）に基づくメッセージを外部サーバに送信して、ｅＳＩＭ２０８に対する管理操作を実行するためのユーザ許可を検証する。いくつかの実施形態では、外部サーバは、ユーザ証明情報を使用して、第三者サーバでユーザ認証を実行する。ステップ９６２において、モバイル機器１０２は、外部サーバからのユーザ許可指示の受信に応じて、ｅＳＩＭ２０８に対する管理操作を実行する（又はその実行を完了する）。

図１０Ａは、いくつかの実施形態による、モバイル機器１０２のｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に対する管理操作のための人間の意図検証及び／又はユーザ認証における、代表的な方法のフローチャート１０００を示す。ステップ１００２において、モバイル機器１０２のプロセッサ１０４及び／又はＡＰ５０６などのプロセッサは、モバイル機器１０２のｅＳＩＭ２０８に対する管理操作の開始（及び／又は開始要求）を検出する。いくつかの実施形態では、プロセッサは、ｅＳＩＭ２０８に対する管理操作の実行が完了し得る前に、ｅＳＩＭ２０８に対する管理操作が追加のユーザ認証及び／又は人間の意図検証を必要とするか判定する。ステップ１００４において、モバイル機器１０２は、例えば、セキュアＩ／Ｏ１２２を介して、及び／又は生体センサ１１６を使用して、ユーザ証明を取得し、ｅＳＩＭ２０８に対する管理操作を実行する人間の意図を検証するのに用いる特定のユーザ及び／又はユーザアカウントを判定する。いくつかの実施形態では、セキュアＩ／Ｏ １２２及び／又は生体センサ１１６は、セキュアハードウェア要素及び／又はモバイル機器１０２の信頼された実行環境と直接通信する。ステップ１００６において、モバイル機器１０２は、セキュアハードウェア要素及び／又は信頼された実行環境を介して、ユーザがｅＳＩＭ２０８に対する管理操作を起こすよう許可されている判定するか、及び／又はｅＳＩＭ２０８に対する管理操作を起こす人間の意図を検証する。ステップ１００８において、モバイル機器１０２は、ユーザ許可及び／又は人間の意図の成功判定に応じて、ｅＳＩＭ２０８に対する管理動作を実行する（及び／又は実行を完了する）。

図１０Ｂは、いくつかの実施形態による、免除処理を伴う、モバイル機器１０２のｅＳＩＭ２０８及び／又はｅＵＩＣＣ１０８に対する管理操作のための人間の意図検証における、代表的な方法のフローチャート１０５０を示す。ステップ１０５２において、モバイル機器１０２のプロセッサ１０４及び／又はＡＰ５０６などのプロセッサは、モバイル機器１０２のｅＳＩＭ２０８に対する管理操作の開始（及び／又は開始要求）を検出する。ステップ１０５４において、プロセッサは、ｅＳＩＭ２０８に対する管理操作の実行が完了し得る前に、ｅＳＩＭ２０８に対する管理操作及び／又はｅＳＩＭ２０８が、追加のユーザ認証及び／又は人間の意図検証を必要とするかどうかを判定する。ステップ１０５６において、ｅＳＩＭ２０８に対する管理動作がユーザ認証及び／又は人間の意図検証を必要としない場合、モバイル機器１０２は、ｅＳＩＭ２０８に対する管理動作を実行する（及び／又は実行を完了する）。ｅＳＩＭ２０８に対する管理操作及び／又はｅＳＩＭ２０８が人間の意図検証及び／又はユーザ認証を必要とする場合、モバイル機器１０２は、ｅＳＩＭ２０８に対する管理操作を実行する（又は動作を完了する）かどうかを判定する追加のステップに取りかかる。ステップ１０５８において、モバイル機器１０２は、例えば、セキュアＩ／Ｏ１２２を介して、及び／又は生体センサ１１６を使用して、ユーザ証明を取得し、ｅＳＩＭ２０８に対する管理操作を実行する人間の意図を検証するのに用いる特定のユーザ及び／又はユーザアカウントを判定する。いくつかの実施形態では、セキュアＩ／Ｏ１２２及び／又は生体センサ１１６は、セキュアハードウェア要素及び／又はモバイル機器１０２の信頼された実行環境と直接通信する。ステップ１０６０において、モバイル機器１０２は、セキュアハードウェア要素及び／又は信頼された実行環境を介して、ユーザがｅＳＩＭ２０８に対する管理操作を起こすよう許可されているか判定し、及び／又はｅＳＩＭ２０８に対する管理操作を起こす人間の意図を検証する。ステップ１０６２において、モバイル機器１０２は、ユーザ許可及び／又は人間の意図の成功判定に応じて、ｅＳＩＭ２０８に対する管理動作を実行する（及び／又は実行を完了する）。

代表的な実施形態
いくつかの実施形態では、モバイル機器に含まれる組み込み型ユニバーサル集積回路カード（ｅＵＩＣＣ）に対する管理操作におけるユーザ認証のための方法は、モバイル機器によって実行される以下のアクションを含む：（ａ）モバイル機器の電子加入者識別モジュール（ｅＳＩＭ）に対する管理操作の開始を検出すること；（ｂ）ユーザ証明を取得すること；（ｃ）ｅＳＩＭに対する管理操作を実行するためのユーザ認証を検証するために、ユーザ証明に基づくメッセージを、サーバに送信すること；及び、（ｄ）サーバからのユーザ許可指示の受信に応じて、ｅＳＩＭに対する管理操作を実行すること。

いくつかの実施形態では、管理操作は、ｅＳＩＭのインストール、インポート、変更、削除、又はエクスポートを含む。いくつかの実施形態では、ユーザ証明は、モバイル機器のユーザのユーザアカウントに関連づけられる。いくつかの実施形態では、ユーザ証明は、ユーザアカウントに対して第三者サーバによって検証される。いくつかの実施形態では、ユーザ証明は、ユーザログイン識別情報及びユーザアカウントのパスワードを含む。いくつかの実施形態では、サーバは、１つ以上のモバイルネットワークオペレータ（ＭＮＯ）のためのｅＳＩＭを管理するように構成されたレベル３（Ｌ３）サーバを含み、メッセージはｅＵＩＣＣによって署名される。いくつかの実施形態では、本発明の方法は、モバイル機器が、ｅＳＩＭの管理操作の実行中に、ユーザの再認証のために有効なワンタイムコード（ＯＴＣ）をサーバから受信すること、を更に含む。いくつかの実施形態では、モバイル機器は、モバイル機器のセキュア入出力インターフェースを通じてユーザ証明を取得する。いくつかの実施形態では、モバイル機器は、モバイル機器の生体センサを通じてユーザ証明を取得する。いくつかの実施形態では、本発明の方法は、ｅＵＩＣＣが、ユーザ証明に基づいて認証トークンを取得すること、及び、ｅＵＩＣＣが、サーバに送信されるメッセージを生成すること、を更に含み、メッセージが認証トークンを含む署名されたペイロードを含む。

いくつかの実施形態では、モバイル機器に含まれる組み込み型ユニバーサル集積回路カード（ｅＵＩＣＣ）に対する管理操作の人間の意図検証のための方法は、モバイル機器によって実行される以下を含む：（ａ）モバイル機器の電子加入者識別モジュール（ｅＳＩＭ）に対する管理操作の開始を検出すること；（ｂ）セキュア入出力（Ｉ／Ｏ）を介して、ユーザ証明を取得すること；（ｃ）モバイル機器のセキュアなハードウェア及び／又は信頼された実行環境（ＴＥＥ）を介して、ユーザ証明に基づいて、ｅＳＩＭに対する管理操作を実行する人間の意図を検証すること；及び、（ｄ）管理操作を実行する人間の意図の成功判定に応じて、ｅＳＩＭに対する管理操作を実行すること。

いくつかの実施形態では、管理操作は、ｅＳＩＭのインストール、インポート、変更、削除、又はエクスポートを含む。いくつかの実施形態では、本発明の方法は、モバイル機器が：（ｅ）モバイル機器のユーザを認証するために追加のユーザ証明を取得すること；（ｆ）ｅＳＩＭに対する管理操作を実行するためのユーザ認証を検証するために、追加のユーザ証明に基づくメッセージをサーバに送信すること；並びに（ｇ）サーバからのユーザ許可指示の受信及び管理操作を実行する人間の意図の成功判定に応じて、ｅＳＩＭに対する管理操作を実行すること、を更に含む。いくつかの実施形態では、追加のユーザ証明は、モバイル機器のユーザのユーザアカウントに関連づけられており、追加のユーザ証明は、ユーザアカウントに対して第三者サーバによって検証される。いくつかの実施形態では、追加のユーザ証明は、ユーザログイン識別情報及びユーザアカウントのパスワードを含む。いくつかの実施形態では、サーバは、１つ以上のモバイルネットワークオペレータ（ＭＮＯ）のためのｅＳＩＭを管理するように構成されたレベル３（Ｌ３）サーバを含み、メッセージはｅＵＩＣＣによって署名される。いくつかの実施形態では、モバイル機器は、モバイル機器の生体センサを通じて追加のユーザ証明を取得する。いくつかの実施形態では、モバイル機器は、モバイル機器のセキュアＩ／Ｏを通じて追加のユーザ証明を取得する。

いくつかの実施形態では、モバイル機器に含まれる組み込み型ユニバーサル集積回路カード（ｅＵＩＣＣ）に対する管理操作におけるユーザ認証のための方法は、モバイル機器によって実行される以下を含む：（ａ）モバイル機器の電子加入者識別モジュール（ｅＳＩＭ）に対する管理操作の開始を検出すること；（ｂ）ｅＳＩＭに対する管理操作がユーザ認証を必要とするかどうか、を判定すること；（ｃ）ｅＳＩＭに対する管理操作がユーザ認証を必要とする場合：（ｉ）ユーザ証明を取得すること、（ｉｉ）ｅＳＩＭに対する管理操作を実行するためのユーザ認証を検証するために、ユーザ証明に基づくメッセージをサーバに送信すること、及び、（ｉｉｉ）サーバからのユーザ許可指示の受信に応じて、ｅＳＩＭに対する管理操作を実行すること、及び、（ｄ）ｅＳＩＭに対する管理操作がユーザ認証を必要としない場合、ｅＳＩＭに対する管理操作を実行すること。

いくつかの実施形態では、ｅＳＩＭは、プロビジョニングｅＳＩＭ又は緊急サービスｅＳＩＭを含み、管理操作は、プロビジョニングｅＳＩＭ又は緊急サービスｅＳＩＭへの切り替えることを含む。

いくつかの実施形態では、モバイル機器に含まれる組み込み型ユニバーサル集積回路カード（ｅＵＩＣＣ）に対する管理操作における人間の意図検証のための方法は、モバイル機器によって実行される以下を含む：（ａ）モバイル機器の電子加入者識別モジュール（ｅＳＩＭ）に対する管理操作の開始を検出すること；（ｂ）ｅＳＩＭに対する管理操作が人間の意図検証又はユーザ認証を必要とするかどうかを判定すること；（ｃ）ｅＳＩＭに対する管理操作が人間の意思検証又はユーザ認証を必要とする場合：（ｉ）セキュア入出力（Ｉ／Ｏ）を介してユーザ証明を取得すること；（ｉｉ）モバイル機器のセキュアハードウェア及び／又は信頼された実行環境（ＴＥＥ）を介して、ユーザの証明に基づいて、ｅＳＩＭに対する管理操作を実行する人間の意図を検証すること；及び、（ｉｉｉ）管理操作を実行する人間の意図の成功判定に応じて、ｅＳＩＭに対する管理操作を実行すること；並びに、（ｄ）ｅＳＩＭに対する管理操作が人間の意思検証又はユーザ認証を必要としない場合、ｅＳＩＭに対する管理業務を実行すること。

いくつかの実施形態では、ｅＳＩＭは、プロビジョニングｅＳＩＭ又は緊急サービスｅＳＩＭを含み、管理操作は、プロビジョニングｅＳＩＭ又は緊急サービスｅＳＩＭへの切り替えを含む。いくつかの実施形態では、本発明の方法は、モバイル機器が：（ｅ）モバイル機器のユーザを認証するために追加のユーザ証明を取得することと；（ｆ）ｅＳＩＭに対する管理操作を実行するためのユーザ認証を検証するために、追加のユーザ証明に基づくメッセージをサーバに送信することと；（ｇ）サーバからのユーザ許可指示の受信及び管理操作を実行する人間の意図の成功判定に応じて、ｅＳＩＭに対する管理操作を実行することと、を更に含む。

いくつかの実施形態では、モバイル機器は、ワイヤレス通信用に構成可能な１つ以上のアンテナを含む無線回路と、１つ以上のプロセッサと、１つ以上のプロセッサに通信可能に接続され命令を保存するメモリなどの非一時的記憶媒体と、を含んでおり、命令は１つ以上のプロセッサによって実行されると、モバイル機器に、本明細書に実質的に記載された１つ以上の方法を実行させる。

いくつかの実施形態では、集積回路装置は、１つ以上のプロセッサと、１つ以上のプロセッサに通信可能に結合され命令を保存するメモリと、を含んでおり、命令は１つ以上のプロセッサによって実行されると、集積回路装置を含むモバイル機器に、本明細書に記載された１つ以上の方法を実行させる。

いくつかの実施形態では、非一時的なコンピュータ可読媒体は命令を記憶し、命令はモバイル機器の１つ以上のプロセッサによって実行されると、モバイル機器に、本明細書に記載された１つ以上の方法を実行させる。

図１１は、いくつかの実施形態による、本明細書に記載されたさまざまな構成要素を実施するために使用することができるコンピューティング機器１１００の詳細図を示す。特に、詳細図は、図１Ａに示されたモバイル機器１０２に含むことができるさまざまな構成要素を示す。図１１に示すように、コンピューティング機器１１００は、コンピューティング機器１１００の全体的な動作を制御するためのマイクロプロセッサ又はコントローラを表すプロセッサ１１０２を含むことができる。いくつかの実施形態では、プロセッサ１１０２は、モバイル機器１０２のプロセッサ１０４及び／又はアプリケーションプロセッサ５０６を含む。コンピューティング機器１１００はまた、コンピューティング機器１１００のユーザがコンピューティング機器１１００と相互作用することを可能にするユーザ入力機器１１０８も含むことができる。例えば、ユーザ入力装置１１０８は、ボタン、キーパッド、ダイヤル、タッチスクリーン、オーディオ入力インターフェース、視覚／画像キャプチャ入力インターフェース、センサデータの形式入力などのような、さまざまな形式を取ることができる。いくつかの実施形態では、ユーザ入力機器１１０８は、モバイル機器１０２のセキュアＩ／Ｏ１２２及び／又は生体センサ１１６を含むことができる。いくつかの実施形態では、ユーザ入力装置１１０８は、マルウェア又は他の悪意のあるアクティビティからの保護するための追加のセキュリティ手段を伴うセキュアバージョンと、コンピューティング機器１１００の通常動作のための非セキュアバージョンと、の両方を含む、異なるソフトウェアの制御可能入力の組み合わせを表すことができる。また更に、コンピューティング装置１１００は、ユーザに対して情報を表示するため、プロセッサ１１０２によって制御できるディスプレイ１１１０（スクリーンディスプレイ）を含むことができる。いくつかの実施形態では、ディスプレイ１１１０の制御は、情報を提示すること、及び／又はディスプレイ１１１０（例えば、接触感知式ディスプレイ）を介して情報を取得することを含むことができる。いくつかの実施形態では、ディスプレイ１１１０は、プロセッサ１１０２によって制御されて、セキュアなインターフェースを提示することができる。いくつかの実施形態では、ユーザ入力機器１１０８及び／又はディスプレイは、単独及び／又は組み合わせで、本明細書で詳細に説明するセキュアな方法により入力を表示及び／又は取得する追加のハードウェアセキュリティを提供する１つ以上のセキュア要素と、通信することができる。コンピューティング機器１１００のデータバス１１１６は、少なくとも記憶装置１１４０、プロセッサ１１０２、及びコントローラ１１１３との間のデータ転送を容易にすることができる。コントローラ１１１３は、機器制御バス１１１４を通じて、異なる機器とインターフェースしそれを制御するために用いることができる。コンピューティング機器１１００はまた、データリンク１１１２に結合するネットワーク／バスインターフェース１１１１を含むことができる。無線接続の場合、ネットワーク／バスインターフェース１１１１は、無線送受信機、又はより一般的には、１つ以上の無線通信プロトコルに従って通信するために使用される無線回路のセットを含むことができる。いくつかの実施形態では、コンピューティング機器１１００は、有線及び無線通信プロトコルに従った接続のため、有線及び無線インターフェースの両方の組み合わせを含むことができる。

コンピューティング機器１１００はまた、単一のディスク又は複数のディスク（例えば、ハードドライブ）を表し得る記憶装置１１４０を含み、かつ記憶装置１１４０内の１つ以上のパーティションを管理する記憶管理モジュールを含む。いくつかの実施形態では、記憶装置１１４０は、フラッシュメモリ、半導体（個体）メモリ、などを含むことができる。コンピューティング装置１１００はまた、ランダムアクセスメモリ（ＲＡＭ）１１２０及び読み取り専用メモリ（ＲＯＭ）１１２２を含むことができる。ＲＯＭ１１２２は、実行すべきプログラム、ユーティリティ、又はプロセスを、不揮発性方式で記憶することができる。ＲＡＭ１１２０は、揮発性データ記憶装置を備え、コンピューティング装置１１００の操作に関連した命令を記憶することができる。コンピューティング装置１１００は、本明細書で詳細に記載されたいくつかの実施形態では、ｅＵＩＣＣ１０８を表し得るセキュア要素１１５０を、更に含むことができる。

記載された実施形態のさまざまな態様、実施形態、実装形態、又は特徴は、個別に又は任意の組み合わせで用いることができる。記載された実施形態のさまざまな態様は、ソフトウェアにより、ハードウェアにより、又はハードウェアとソフトウェアの組合せにより実施することができる。記載された実施形態はまた、コンピュータ可読媒体上のコンピュータ可読コードとして実施できる。このコンピュータ可読媒体は、後でコンピュータシステムによって読み込むことが可能なデータを記憶することができる、任意のデータ記憶装置である。コンピュータ可読媒体の例としては、読み出し専用メモリ、ランダムアクセスメモリ、ＣＤ−ＲＯＭ、ＤＶＤ、磁気テープ、ハードディスクドライブ、ソリッドステートドライブ、及び光学的データ記憶装置を含む。コンピュータ可読コードが分散形式で記憶及び実行されるように、コンピュータ可読媒体をネットワークに結合されたコンピュータシステムにわたって分散させることもできる。

前述の説明では、記載された実施形態の完全な理解をもたらすために、説明を目的として特定の専門用語を使用した。しかし、記載された実施形態を実践するために、特定の詳細が必要とされないことが当業者にとっては明らかであろう。それゆえ、上述の具体的な実施形態の説明は、例示及び説明の目的のために提示される。それらの説明は、網羅的であることも、又は開示される厳密な形態に、説明される実施形態を限定することも意図するものではない。上記の教示を考慮すれば、多くの修正形態及び変形形態が可能であることが当業者にとっては明らかであろう。

Claims (20)

1. モバイル機器に含まれる組み込み型ユニバーサル集積回路カード（ｅＵＩＣＣ）に対する管理操作における、ユーザ認証のための方法であって、
   前記モバイル機器の電子加入者識別モジュール（ｅＳＩＭ）に対する管理操作の開始を検出することと、
   ユーザ証明を取得することと、
   前記ｅＳＩＭに対する前記管理操作を実行するためのユーザ許可を検証するために、前記ユーザ証明に基づくメッセージを、サーバに送信することと、
   前記サーバからのユーザ許可指示の受信に応じて、前記ｅＳＩＭに対する前記管理操作を実行することと、
   を含む方法。
2. 前記管理操作が、前記ｅＳＩＭのインストール、インポート、変更、削除、又はエクスポートを含む、請求項１に記載の方法。
3. 前記ユーザ証明は、前記モバイル機器のユーザのユーザアカウントに関連づけられ、
   前記ユーザ証明は、前記ユーザアカウントに対して第三者サーバによって検証される、請求項１に記載の方法。
4. 前記ユーザ証明は、前記ユーザアカウントのユーザログイン識別情報及びパスワードを含む、請求項３に記載の方法。
5. 前記サーバは、１つ以上のモバイルネットワークオペレータ（ＭＮＯ）のｅＳＩＭを管理するように構成されたレベル３（Ｌ３）サーバを含み、前記メッセージは前記ｅＵＩＣＣによって署名される、請求項１に記載の方法。
6. 前記ｅＳＩＭに対する前記管理操作の実行中に、前記ユーザの再認証に有効なワンタイムコード（ＯＴＣ）を、前記サーバから受信すること、を更に含む、請求項１に記載の方法。
7. 前記モバイル機器は、前記モバイル機器のセキュア入出力インターフェースを通じて前記ユーザ証明を取得する、請求項１に記載の方法。
8. 前記モバイル機器は、前記モバイル機器の生体センサを通じて前記ユーザ証明を取得する、請求項１に記載の方法。
9. 前記ｅＵＩＣＣが、
   前記ユーザ証明に基づいて認証トークンを取得することと、
   前記認証トークンを含む署名されたペイロードを含むメッセージを生成することと、
   を更に含む請求項１に記載の方法。
10. モバイル機器に含まれる組み込み型ユニバーサル集積回路カード（ｅＵＩＣＣ）に対する管理操作における人間の意図検証のための方法であって、
    前記モバイル機器の電子加入者識別モジュール（ｅＳＩＭ）に対する管理操作の開始を検出することと、
    セキュア入出力（Ｉ／Ｏ）を介して、ユーザ証明を取得することと、
    前記モバイル機器のセキュアハードウェア及び／又は信頼された実行環境（ＴＥＥ）を介して、前記ユーザ証明に基づいて前記ｅＳＩＭの前記管理操作を実行する人間の意図を検証することと、
    前記管理操作を実行する人間の意図の成功判定に応じて、前記ｅＳＩＭに対する前記管理操作を実行することと、
    を含む方法。
11. 前記管理操作は、前記ｅＳＩＭのインストール、インポート、変更、削除、又はエクスポートを含む、請求項１０に記載の方法。
12. 前記モバイル機器のユーザを認証するために、追加のユーザ証明を取得することと、
    前記ｅＳＩＭに対する前記管理操作を実行するためのユーザ許可を検証するために、前記追加のユーザ証明に基づくメッセージを、サーバに送信することと、
    前記サーバからのユーザ許可の指示の受信及び前記管理操作を実行する人間の意図の成功判定に応じて、前記ｅＳＩＭに対する前記管理操作を実行することと、
    を更に含む、請求項１０に記載の方法。
13. 前記追加のユーザ証明は、前記モバイル機器の前記ユーザのユーザアカウントに関連づけられ、前記追加のユーザ証明は、前記ユーザアカウントに対して第三者サーバによって検証される、請求項１２に記載の方法。
14. 前記追加のユーザ証明は、前記ユーザアカウントのユーザログイン識別情報及びパスワードを含む、請求項１３に記載の方法。
15. 前記サーバは、１つ以上のモバイルネットワークオペレータ（ＭＮＯ）のｅＳＩＭを管理するように構成されたレベル３（Ｌ３）サーバを含み、前記メッセージは前記ｅＵＩＣＣによって署名される、請求項１２に記載の方法。
16. 前記モバイル機器は、前記モバイル機器の生体センサを通じて前記追加のユーザ証明を取得する、請求項１２に記載の方法。
17. 前記モバイル機器は、前記モバイル機器の前記セキュアＩ／Ｏを通じて前記追加のユーザ証明を取得する、請求項１２に記載の方法。
18. モバイル機器に含まれる組み込み型ユニバーサル集積回路カード（ｅＵＩＣＣ）に対する管理操作における人間の意図検証のための方法であって、
    前記モバイル機器の電子加入者識別モジュール（ｅＳＩＭ）に対する管理操作の開始を検出することと、
    前記ｅＳＩＭに対する前記管理操作が人間の意図検証又はユーザ認証を必要とするかどうかを判定することと、
    前記ｅＳＩＭに対する前記管理操作が、人間の意思検証又はユーザ認証を必要とする場合には、
    セキュア入出力（Ｉ／Ｏ）を介して、ユーザ証明を取得することと、
    前記モバイル機器のセキュアハードウェア及び／又は信頼された実行環境（ＴＥＥ）を介して、前記ユーザ証明に基づいて前記ｅＳＩＭの前記管理操作を実行する人間の意図を検証することと、
    前記管理操作を実行する人間の意図の成功判定に応じて、前記ｅＳＩＭに対する前記管理操作を実行することと、
    前記ｅＳＩＭに対する前記管理操作が、人間の意思検証又はユーザ認証を必要としない場合には、前記ｅＳＩＭに対する前記管理操作を実行することと、
    を含む方法。
19. 前記ｅＳＩＭは、プロビジョニングｅＳＩＭ又は緊急サービスｅＳＩＭを含み、前記管理操作は、前記プロビジョニングｅＳＩＭ又は前記緊急サービスｅＳＩＭへの切り替えを含む、請求項１８に記載の方法。
20. 前記モバイル機器のユーザを認証するために、追加のユーザ証明を取得することと、
    前記ｅＳＩＭに対する前記管理操作を実行するためのユーザ許可を検証するために、前記追加のユーザ証明に基づくメッセージを、サーバに送信することと、
    前記サーバからのユーザ許可の指示の受信と前記管理操作を実行する人間の意図の成功判定とに応じて、前記ｅＳＩＭに対する前記管理操作を実行することと、
    を更に含む、請求項１０に記載の方法。

Images