JP2019012442A - セキュアエレメント、コンピュータプログラム、デバイス、サーバ及びファイル情報の照合方法 - Google Patents

Abstract

【課題】デバイスのセキュリティ上の保護を図ることができるセキュアエレメント、コンピュータプログラム、デバイス、サーバ及びファイル情報の照合方法を提供する。
【解決手段】セキュアエレメントは、サーバから所定のファイル情報を取得する取得部と、取得したファイル情報を記憶する記憶部と、デバイス本体から照合対象に係るファイル情報が指定された照合要求を取得する照合要求取得部と、照合要求で指定されたファイル情報と記憶部に記憶したファイル情報とを照合する照合部と、照合結果をデバイス本体へ出力する出力部とを備える。
【選択図】図１

Description

本発明は、セキュアエレメント、コンピュータプログラム、デバイス、サーバ及びファイル情報の照合方法に関する。

ＩｏＴ（Internet of Things）では、多種多様なデバイスがネットワークに接続されることで新たな付加価値を生み出している。このようなデバイスに対するセキュリティ上の攻撃には多種多様な手法が存在し、特に、デバイスに保持されているファイルが影響を受け易い。

例えば、特許文献１には、ファイルに対する改ざん検出用の認証子を生成し、生成した認証子をセキュア領域に保持し、ファイルの改ざん検出を行う際に、現在のファイルから認証子を計算し、計算した認証子とセキュア領域に保持した認証子の照合を行うことによって、ファイルの改ざんを防止するファイル管理システムが開示されている。

特許第３７４８１５５号公報

上述のようなデバイスは、様々な場所に設置され、人手を介さずに自動的にネットワークに接続され、オンライン環境で使用される。また、セキュリティ脆弱性に基づく適切なファイルの状態は日々更新されることが多い。特許文献１のようなファイル管理システムは、オフライン環境では一定の機能を果たすことができるが、上述のようなデバイスに対しては、状況に応じて真正なファイルを保持することができず、十分な保護が図れない。

本発明は、斯かる事情に鑑みてなされたものであり、デバイスのセキュリティ上の保護を図ることができるセキュアエレメント、コンピュータプログラム、デバイス、サーバ及びファイル情報の照合方法を提供することを目的とする。

本発明の実施の形態に係るセキュアエレメントは、サーバから所定のファイル情報を取得する取得部と、該取得部で取得したファイル情報を記憶する記憶部と、デバイス本体から照合対象に係るファイル情報が指定された照合要求を取得する照合要求取得部と、前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合する照合部と、該照合部での照合結果を前記デバイス本体へ出力する出力部とを備える。

本発明の実施の形態に係るコンピュータプログラムは、コンピュータに、ファイル情報の照合をさせるためのコンピュータプログラムであって、コンピュータに、サーバから所定のファイル情報を取得する処理と、取得したファイル情報を記憶部に記憶する処理と、デバイス本体から照合対象に係るファイル情報が指定された照合要求を取得する処理と、前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合する処理と、照合結果を前記デバイス本体へ出力する処理とを実行させる。

本発明の実施の形態に係るデバイスは、本発明の実施の形態に係るセキュアエレメントと、デバイス本体とを備える。

本発明の実施の形態に係るサーバは、複数のデバイスからファイル情報に係る照合結果を取得する取得部と、該取得部で取得した照合結果に基づいてセキュリティに係る異常又はデバイスの故障を検知する検知部とを備える。

本発明の実施の形態に係るファイル情報の照合方法は、サーバから所定のファイル情報を取得部が取得し、取得されたファイル情報を記憶部に記憶し、デバイス本体から照合対象に係るファイル情報が指定された照合要求を照合要求取得部が取得し、前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合部が照合し、照合結果を前記デバイス本体へ出力部が出力する。

本発明によれば、デバイスのセキュリティ上の保護を図ることができる。

本実施の形態の照合システムの構成の一例を示すブロック図である。 本実施の形態のファイルシステムの一例を示す模式図である。 本実施の形態のセキュアエレメントが記憶部に記憶するファイル情報及び管理対象リストの一例を示す模式図である。 本実施の形態の照合システムのファイル情報等のダウンロード動作の一例を示す説明図である。 本実施の形態の照合システムのファイルの照合動作の一例を示す説明図である。 本実施の形態の照合システムのファイルリストの照合動作の一例を示す説明図である。 本実施の形態の照合システムの照合結果の管理動作の一例を示す説明図である。 デバイスに対する攻撃の一例を示す説明図である。 本実施の形態のセキュアエレメントによるファイル情報等のダウンロード処理手順の一例を示すフローチャートである。 本実施の形態のセキュアエレメントによる照合処理手順の一例を示すフローチャートである。

以下、本発明の実施の形態を図面に基づいて説明する。図１は本実施の形態の照合システムの構成の一例を示すブロック図である。本実施の形態の認証システムは、セキュアエレメント５０が組み込まれたデバイス１００、及びサーバ２００などを備える。デバイス１００は、「モノのインターネット」（ＩｏＴ）でいうところの「モノ」に該当するデバイス（電子デバイスとも称する）を含む。デバイス１００は、セキュリティ上の保護対象となるデバイスである。

デバイス１００は、セキュアエレメント５０の他に、デバイス本体１０を備える。デバイス本体１０とセキュアエレメント５０との間は、Ｉ２Ｃ（Inter-Integrated Circuit）、ＳＰＩ（Serial Peripheral Interface）等の通信路３１で物理的に接続されている。なお、セキュアエレメント５０は、ＵＩＣＣ（Universal Integrated Circuit Card）のように着脱可能な構成とすることもできる。

デバイス本体１０は、ＯＳカーネル１１、ファイルシステム１２、インタフェース部１３、ネットワーク通信部１４、ＣＰＵ１５などを備える。

ＣＰＵ１５は、デバイス本体１０全体の制御、セキュアエレメント５０との間の通信制御などを行う。

ネットワーク通信部１４は、デバイス１００をネットワークに接続する機能を有し、ネットワーク上のサービスサーバ（不図示）との間で情報の送受信を行うことができる。ネットワーク通信部１４は、不図示のセンサ類で検出した情報をサービスサーバ（不図示）に送信することができる。

ＯＳカーネル１１は、ＯＳの基本的な機能を実装しているソフトウェアコンポーネントである。ＯＳカーネル１１は、起動されると、ＯＳの機能をアプリケーション又はユーザに提供する。例えば、ＯＳ上のアプリケーションは、ＯＳカーネル１１を経由してファイルシステム１２へのアクセスを行う。

ファイルシステム１２は、デバイス１００上で取り扱うファイル（フォルダ）ツリー全てを保持するデータ一式である。ファイルシステム１２は、ＯＳカーネル１１によって認識されることで、アプリケーション又はユーザは、ファイルシステム１２内のファイルを読み書きすることができる。

図２は本実施の形態のファイルシステム１２の一例を示す模式図である。なお、図２に示すファイルシステム１２は、便宜上、簡略化して図示している。実際のファイルシステムは、さらに多くのフォルダ及びファイルで構成されている。ファイルシステム１２は、デバイス本体１０が現時点で保持するフォルダ及びファイルを示す。図２に示すように、ルートフォルダ「/」の下には二つのフォルダ「/etc」及び「/usr/sbin」が存在する。フォルダ「/etc」の下にはファイル「passwd」１２１が存在し、フォルダ「/usr/sbin」の下には二つのファイル「telnetd」１２２、「init」１２３が存在する。

インタフェース部１３は、通信路３１を介してセキュアエレメント５０との間のインタフェース機能を有する。

インタフェース部１３は、出力部としての機能を有し、所定のタイミングで、ファイル情報が指定された照合要求をセキュアエレメント５０へ出力する。所定のタイミングは、例えば、ＯＳカーネル１１の起動時（例えば、起動開始から起動完了までの適宜の時点）、所定のファイル又はフォルダへのアクセス時（例えば、アクセス開始からアクセス完了までの適宜の時点）とすることができるが、これらに限定されない。

ファイル情報は、例えば、ファイル名及びファイルの内容を示すファイルコンテンツ、並びにファイルリスト（特定のフォルダに存在するファイルのリスト）である。

デバイス本体１０が照合対象となるファイルを特定する場合、特定したファイルのファイルコンテンツ（ファイル名及びファイルの内容）を指定して照合要求をセキュアエレメント５０へ出力する。また、デバイス本体１０が照合対象となるフォルダを特定する場合、特定したフォルダのファイルリスト（フォルダ名、あるいはフォルダ名及びファイル名）を指定して照合要求をセキュアエレメント５０へ出力する。

セキュアエレメント５０は、インタフェース部５１、ダウンロード処理部５２、照合処理部５３、記憶部５４、指示部５５などを備える。

インタフェース部５１は、通信路３１を介してデバイス本体１０との間のインタフェース機能を有する。

インタフェース部５１は、照合要求取得部としての機能を有し、デバイス本体１０（より具体的には、ＯＳカーネル１１）から照合対象に係るファイル情報が指定された照合要求を取得する。

ダウンロード処理部５２は、取得部としての機能を有し、ＯＳカーネル１１からのダウンロード要求に応じ、サーバ２００から所定のファイル情報を取得する。所定のファイル情報は、例えば、デバイス本体１０が保持するファイルシステム内のファイル情報のうち、改ざん等を検知する検知対象のファイル情報である。

ダウンロード処理部５２は、ＯＳカーネル１１からのダウンロード要求に応じ、サーバ２００から照合対象に係るファイル情報を特定する特定情報を取得する。以下では、特定情報を管理対象リストとも称する。管理対象リストは、デバイス本体１０のファイル情報（ファイルコンテンツ、ファイルリスト）のうち、セキュアエレメント５０が照合対象とするファイル情報を特定する。例えば、ファイルコンテンツはファイルとして特定され、ファイルリストはフォルダとして特定される。

ダウンロード処理部５２は、通信部としての機能を有し、サーバ２００との間で暗号化された秘匿通信路６１を確立する。秘匿通信路６１においては、例えば、ＴＬＳ（Transport Layer Security）などのプロトコルによって通信を行うことができる。これにより、所定のファイル情報、管理対象リストをサーバ２００から取得する際に、ファイル情報又は管理対象リストの改ざんを防止すること、あるいは取得の妨害を回避することができる。

記憶部５４は、ダウンロード処理部５２で取得したファイル情報を記憶する。サーバ２００から所定のファイル情報を取得して記憶部５４に記憶することにより、セキュリティ脆弱性に基づいてファイル情報の状態が更新された場合でも、サーバ２００から最新のファイル情報を取得して記憶することができる。

記憶部５４は、ダウンロード処理部５２で取得した管理対象リストを記憶する。サーバ２００から管理対象リストを取得して記憶部５４に記憶することにより、セキュリティ脆弱性に基づいて照合対象に係るファイル情報が更新された場合でも、サーバ２００から最新の照合対象を取得して記憶することができる。

図３は本実施の形態のセキュアエレメント５０が記憶部５４に記憶するファイル情報及び管理対象リストの一例を示す模式図である。図３では、管理対象リスト５４１、ファイル情報としてファイルコンテンツ５４２及びファイルリスト５４３、５４４を図示している。なお、図３では、便宜上、簡略化して図示している。実際のファイル情報及び管理対象リストは、さらに多くの情報で構成されている。

管理対象リスト５４１は、デバイス本体１０のファイルシステム１２内のファイル、フォルダのうち、セキュアエレメント５０が照合対象とするファイル及びフォルダのリストである。照合対象のファイルとしては、「/etc/passwd」が記載されている。なお、「/etc/passwd」は、フォルダ構造及びファイル名を一つの文字列として纏めているが、記載方法は、図３の例に限定されない。また、照合対象のフォルダとしては、「/」、「/usr/sbin」が記載されている。

ファイルコンテンツ５４２は、管理対象リスト５４１のファイル「/etc/passwd」の内容である。また、ファイルリスト５４３は、管理対象リスト５４１のフォルダ「/」内に存在するファイル又はフォルダの名前である。ファイルリスト５４３から、フォルダ「/」内には二つのフォルダ「/etc」、「/usr/sbin」が存在することが分かる。また、ファイルリスト５４４は、管理対象リスト５４１のフォルダ「/usr/sbin」内に存在するファイル又はフォルダの名前である。ファイルリスト５４４から、フォルダ「/usr/sbin」内には一つファイル「init」が存在することが分かる。

ファイル情報は、ファイルコンテンツ及びファイルリストの少なくとも一つを含む。図３に示すように、ファイルコンテンツ５４２は、ファイルのファイル名及び当該ファイルの内容で表される。ファイルリスト５４３、５４４は、フォルダ内に存在するフォルダ又はファイルを特定するものであり、フォルダ名（フォルダにファイルが存在しない場合）、フォルダ名及びファイル名で表される。これにより、ファイルの内容の改ざん、不正なファイルの存在を検知することができる。

照合処理部５３は、照合部としての機能を有し、ＯＳカーネル１１からの照合要求に応じ、照合要求で指定されたファイル情報と記憶部５４に記憶したファイル情報とを照合する。照合は、両方のファイルコンテンツの一致・不一致の判定、両方のファイルリストの一致・不一致の判定を行う。

インタフェース部５１は、出力部としての機能を有し、照合処理部５３での照合結果をデバイス本体１０へ出力する。上述の構成により、最新のファイル情報に基づいて、デバイス本体１０が保持するファイルシステム内のファイルの改ざん、あるいは不正なファイルの存在を検知することができ、デバイス１００のセキュリティ上の保護を図ることができる。

また、照合処理部５３は、照合要求で指定されたファイル情報が管理対象リスト５４１によって特定されたファイル情報と一致する場合、照合要求で指定されたファイル情報と記憶部５４に記憶したファイル情報とを照合することができる。

また、照合処理部５３は、照合要求で指定されたファイル情報が管理対象リスト５４１によって特定されたファイル情報と一致しない場合、照合要求で指定されたファイル情報と記憶部５４に記憶したファイル情報とを照合しないようにすることができる。これにより、照合対象に係るファイル情報を選択的に管理することができ、ファイルシステム全体を管理する場合に比べてセキュアエレメント５０の処理負荷を軽減することができる。

照合処理部５３は、送信部としての機能を有し、照合結果をサーバ２００へ送信する。これにより、デバイス本体１０が保持するファイルシステム１２内のファイルの改ざん、あるいは不正なファイルの存在等の検知結果をサーバ２００で把握することができ、デバイス１００の遠隔管理が可能となり、デバイス１００のセキュリティ上の保護を図ることができる。

また、照合処理部５３は、通信部としての機能を有し、サーバ２００との間で暗号化された秘匿通信路６１を確立する。秘匿通信路６１においては、例えば、ＴＬＳ（Transport Layer Security）などのプロトコルによって通信を行うことができる。これにより、照合結果をサーバ２００へ送信する際に、照合結果の改ざんを防止すること、あるいは送信の妨害を回避することができる。

指示部５５は、照合処理部５３での照合結果が不一致の場合、所定の処理を指示する。所定の処理は、照合結果が不一致の場合（例えば、ファイルの改ざん又は不正なファイルの存在が検知された場合）、ファイルの改ざん又は不正なファイルの存在による影響を排除又は最小化するような処理であればよい。

また、処理の指示は、セキュアエレメント５０が、デバイス本体１０（例えば、ＣＰＵ１５）が直接所定の処理を行うようにデバイス本体１０に指示（セキュアエレメント５０は直接所定の処理を実行しない）する構成でもよく、セキュアエレメント５０が直接所定の処理を実行する構成でもよい。これにより、デバイス１００に対するセキュリティ上の攻撃に起因する影響を回避又は少なくすることができる。

所定の処理は、デバイス本体１０の動作を停止する処理でもよい。これにより、デバイス１００に対するセキュリティ上の攻撃に起因する影響を回避又は少なくすることができる。

また、所定の処理は、照合要求で指定されたファイル情報に係るファイルの内容を修復する処理でもよい。例えば、デバイス本体１０は、セキュアエレメント５０から取得した照合結果（不一致）に基づいて、真正なファイルをセキュアエレメント５０へ要求し、セキュアエレメント５０は真正なファイルとともに修復指示をデバイス本体１０へ出力する。デバイス本体１０は、改ざんされたファイルを真正なファイルに置き換える（上書きする）ことにより、ファイルの内容を修復する。これにより、ファイルの改ざんの検知だけでなく、改ざんされたファイルを真正なファイルに置き換えてファイルの内容を修復することができる。

また、所定の処理は、デバイス本体１０が保持するファイルのうち、記憶部５４に記憶したファイル情報に係るファイルリストに含まれていないファイルを削除する処理でもよい。例えば、デバイス本体１０は、セキュアエレメント５０から取得した照合結果（不一致）に基づいて、真正なファイルリストをセキュアエレメント５０へ要求し、セキュアエレメント５０は真正なファイルリストとともに当該真正なファイルリストに含まれていないファイルの削除指示をデバイス本体１０へ出力する。デバイス本体１０は、真正なファイルリストに含まれていないファイルを削除することにより、不正なファイルを削除する。これにより、ファイルの改ざんの検知だけでなく、不正なファイルを削除することができる。

セキュアエレメント５０は、耐タンパ性を有する。セキュアエレメント５０は、記憶部５４は、例えば、不揮発性メモリで構成することができ、記憶されたデータを安全に保持することができる。セキュアエレメント５０の機能（例えば、ダウンロード処理部５２、照合処理部５３、記憶部５４など）をハードウェアのモジュールで実現する場合、耐タンパ性を有するためには、セキュアエレメント５０を１チップ化にしてもよく、あるいは、モジュール表面をコーティングしてもよい。また、セキュアエレメント５０の機能をソフトウェアのモジュールで実現する場合、耐タンパ性を有するためには、実行コードを暗号化し、実行時に必要な部分だけをメモリ上で復号するようにすればよい。

サーバ２００は、デバイス１００を遠隔管理する管理サーバであり、ダウンロード処理部２０１、記憶部２０２、照合結果受信処理部２０３、ポリシーチェック処理部２０４、デバイスＤＢ２０５、デバイスＤＢ更新処理部２０６、チェックポリシー２０７などを備える。

ダウンロード処理部２０１は、セキュアエレメント５０からダウンロード要求に応じ、記憶部２０２から所定のファイル情報（ファイルコンテンツ、ファイルリスト）、管理対象リストを読み出し、秘匿通信路６１を経由して読み出した所定のファイル情報（ファイルコンテンツ、ファイルリスト）、管理対象リストをセキュアエレメント５０へ送信する。なお、記憶部２０２には、図３で例示したファイル情報（ファイルコンテンツ５４２、ファイルリスト５４３、５４４）、管理対象リスト５４１が記憶されている。

照合結果受信処理部２０３は、取得部としての機能を有し、デバイス１００のセキュアエレメント５０から秘匿通信路６１を経由して照合結果を取得する。

デバイスＤＢ２０５は、管理対象となる複数のデバイス１００それぞれの照合結果、及び最終照合時刻を記録するデータベースである。

デバイスＤＢ更新処理部２０６は、デバイス１００から照合結果を取得する都度、デバイスＤＢ２０５を更新する。

チェックポリシー２０７は、所定条件としての機能を有し、デバイスＤＢ２０５の各レコードにおいて、どのような状態が検知された場合に、デバイス１００に対する攻撃と判定し、あるいはデバイス１００の故障と判定するかを記述したデータである。チェックポリシー２０７は、実装者のポリシーによって検証ルールを適宜設定すること、あるいは所要の検証対象を用いることができる。なお、チェックポリシー２０７の詳細は後述する。

ポリシーチェック処理部２０４は、検知部としての機能を有し、デバイス１００の照合結果及び最終照合時刻に基づいてセキュリティに係る異常又はデバイス１００の故障を検知する。ポリシーチェック処理部２０４は、照合結果がチェックポリシー２０７に該当する場合（所定条件を充足する場合）、セキュリティに係る異常又はデバイスの故障を検知する。所定条件は、例えば、ファイルコンテンツの不一致、ファイルリストの不一致、所定時間以上照合が実施されていない等とすることができる。

より具体的には、ポリシーチェック処理部２０４は、チェックポリシー２０７をデバイスＤＢ２０５に適用し、チェックポリシー２０７に該当するデバイスＤＢ２０５内のレコードを特定するための処理を行う。通常のリレーショナルデータベースであればＳＱＬ ＳＥＬＥＣＴ等でチェックポリシー２０７の条件を設定し、定期的に問い合わせを行うことが想定されるが、実装者のポリシーに応じて任意のタイミングで問い合わせを行うこともできる。

上述の構成により、様々な場所に設置された複数のデバイス１００それぞれのセキュリティ上の攻撃、あるいはデバイス１００の故障を遠隔から管理することができる。

次に、本実施の形態の照合システムの動作について説明する。以下では、ファイル情報等のダウンロード動作、ファイルの照合動作、ファイルリストの照合動作、及び照合結果の管理動作について説明する。

図４は本実施の形態の照合システムのファイル情報等のダウンロード動作の一例を示す説明図である。以下、符号Ｐ１〜Ｐ４で示す処理について説明する。セキュアエレメント５０が、ファイル情報の照合を行うためには、予め照合対象とするファイル及びフォルダの情報をサーバ２００からダウンロードしておく。

Ｐ１（ダウンロード要求）：ＯＳカーネル１１は、セキュアエレメント５０に対し、セキュアエレメント５０（記憶部５４）で記憶するためのファイル情報及び管理対象リストのダウンロード要求を行う。ダウンロード要求のタイミングは、例えば、ＯＳによって適宜設定することができるが、例えば、起動時、起動後所定周期（例えば、一日毎）とすることができるが、これらに限定されない。また、セキュリティの観点から重要なデバイス１００に対しては、ダウンロード要求の頻度を高くすればよい。

Ｐ２（秘匿通信路６１の確立）：セキュアエレメント５０は、ダウンロード要求を取得すると、サーバ２００との間でエンドツーエンドの秘匿通信路６１を確立する。本実施の形態では、秘匿通信路６１は、ＴＬＳ（ＨＴＴＰＳ）であるが、これに限定されない。セキュアエレメント５０が自ら物理的な通信手段（例えば、ＬＡＮ、Ｗｉｆｉ等）を有する場合、秘匿通信路の確立を独力で行うことができるが、通信手段を有しない場合、デバイス１００の物理的な通信手段を用いてもよい。

Ｐ３（サーバ２００へのダウンロード要求）：セキュアエレメント５０は、確立した秘匿通信路６１経由で、サーバ２００に対して、照合対象とするファアイルコンテンツ、ファイルリスト、管理対象リストのダウンロード要求を送信する。

Ｐ４（セキュアエレメント５０への展開）：サーバ２００は、ダウンロード要求を受信すると、秘匿通信路６１経由で、記憶部２０２に記憶したファイルコンテンツ、ファイルリスト、管理対象リストをセキュアエレメント５０へ送信する。セキュアエレメント５０は、受信したファアイルコンテンツ５４２、ファイルリスト５４３、５４４、管理対象リスト５４１を記憶部５４に記憶する。

図５は本実施の形態の照合システムのファイルの照合動作の一例を示す説明図である。以下、符号Ｐ１１〜Ｐ１８で示す処理について説明する。

Ｐ１１（照合対象ファイルの特定）：ＯＳカーネル１１は、照合対象となるファイルを特定する。照合タイミングは、例えば、ＯＳの設計に依存するが、例えば、起動時、アプリケーションがファイルへのアクセス要求を発した時とすることができる。図５の例では、照合対象のファイルは、「/etc/passwd」である。なお、ファイルコンテンツ１２１は、ファイル「/etc/passwd」の内容である。

Ｐ１２（照合対象ファイルの内容取得）：ＯＳカーネル１１は、照合対象とするファイルの内容（すなわち、ファイルコンテンツ１２１）を取得する。

Ｐ１３（セキュアエレメント５０への照合要求）：ＯＳカーネル１１は、照合対象ファイル名「/etc/passwd」及び照合対象ファイルの内容を指定して、照合要求をセキュアエレメント５０へ出力する。セキュアエレメント５０は、照合要求を取得すると、照合処理部５３が照合処理を行う。

Ｐ１４（管理対象リスト５４１の検索）：照合処理部５３は、記憶部５４に記憶する管理対象リスト５４１を検索し、照合要求を受けたファイルがセキュアエレメント５０での照合対象ファイルであるか否かを判定する。図５の例では、照合対象ファイル名として「/etc/passwd」が指定され、かつ管理対象リスト５４１に「/etc/passwd」をファイルとして管理する旨が記録されているので、ファイル「/etc/passwd」のファイルコンテンツ５４２の取得に進む。

Ｐ１５（セキュアエレメント５０内のファイルコンテンツの取得）：照合処理部５３は、ファイル「/etc/passwd」について、記憶部５４に記憶しているファイルコンテンツ５４２を特定して取得する。

Ｐ１６（照合処理の実施）：照合処理部５３は、ＯＳカーネル１１から取得したファイルの内容（図５の例では、ファイル１２１の内容）と、記憶部５４に記憶しているファイルコンテンツ５４２とを比較し、一致・不一致を判定する。なお、一致・不一致の判定は、ファイルの内容全文を比較してもよく、ファイルの内容に基づいてハッシュ演算を行って得られたハッシュ値を比較してもよい。図５の例では、ＯＳカーネル１１から取得したファイル１２１には、「/usr/bin/bash」と記載され、記憶部５４に記憶しているファイルコンテンツ５４２には、「/usr/sbin/nologin」と記載されているので、照合結果は不一致となる。

Ｐ１７（照合結果をデバイス本体１０へ通知）：照合処理部５３は、ＯＳカーネル１１に対して、照合結果を通知する。

Ｐ１８（照合結果をサーバ２００へ通知）：照合処理部５３は、サーバ２００との間で、エンドツーエンドの秘匿通信路６１を確立した上で、照合結果をサーバ２００（照合結果受信処理部２０３）へ通知する。

図５の例では、デバイス本体１０（ＯＳカーネル１１）から取得したファイル１２１に指定されていた内容は、管理者権限（root）におけるログインシェルを指定するものであり、セキュリティホールの一つ（ルートログインを許可する設定：/usr/bin/bash）である。本実施の形態によれば、かかるセキュリティホールを、サーバ２００からダウンロードした適切（真正）なファイルの内容（ファイルコンテンツ５４２内の/usr/sbin/nologin）と比較することによって検知することができる。

図６は本実施の形態の照合システムのファイルリストの照合動作の一例を示す説明図である。以下、符号Ｐ２１〜Ｐ２８で示す処理について説明する。

Ｐ２１（照合対象フォルダの特定）：ＯＳカーネル１１は、照合対象となるフォルダを特定する。照合タイミングは、例えば、ＯＳの設計に依存するが、例えば、起動時、アプリケーションがフォルダへのアクセス要求を発した時とすることができる。図６の例では、照合対象のフォルダは、「/usr/sbin」である。なお、ファイルリスト１２４は、フォルダ「/usr/sbin」に二つのファイル「telnetd」１２２、「init」１２３が存在することを示す。

Ｐ２２（照合対象ファイルリストの取得）：ＯＳカーネル１１は、照合対象とするフォルダのファイルリスト１２４を取得する。図６の例では、フォルダ「/usr/sbin」に存在する二つのファイル「telnetd」１２２、「init」１２３を含むファイルリスト１２４を取得する。

Ｐ２３（セキュアエレメント５０への照合要求）：ＯＳカーネル１１は、照合対象フォルダ名「/usr/sbin」 及び照合対象ファイルリストの内容を指定して、照合要求をセキュアエレメント５０へ出力する。セキュアエレメント５０は、照合要求を取得すると、照合処理部５３が照合処理を行う。

Ｐ２４（管理対象リスト５４１の検索）：照合処理部５３は、記憶部５４に記憶する管理対象リスト５４１を検索し、照合要求を受けたフォルダがセキュアエレメント５０での照合対象フォルダであるか否かを判定する。図６の例では、照合対象フォルダ名として「/usr/sbin」が指定され、かつ管理対象リスト５４１に「/usr/sbin」をフォルダとして管理する旨が記録されているので、フォルダ「/usr/sbin」のファイルリスト５４４の取得に進む。

Ｐ２５（セキュアエレメント５０内のファイルリストの取得）：照合処理部５３は、フォルダ「/usr/sbin」について、記憶部５４に記憶しているファイルリスト５４４を特定して取得する。

Ｐ２６（照合処理の実施）：照合処理部５３は、ＯＳカーネル１１から取得したファイルリスト１２４と、記憶部５４に記憶しているファイルリスト５４４とを比較し、一致・不一致を判定する。図６の例では、ＯＳカーネル１１から取得したファイルリスト１２４には、二つのファイル「telnetd」、「init」が記載され、記憶部５４に記憶しているファイルリスト５４４には、ファイル「init」だけが記載されているので、照合結果は不一致となる。

Ｐ２７（照合結果をデバイス本体１０へ通知）：照合処理部５３は、ＯＳカーネル１１に対して、照合結果を通知する。

Ｐ２８（照合結果をサーバ２００へ通知）：照合処理部５３は、サーバ２００との間で、エンドツーエンドの秘匿通信路６１を確立した上で、照合結果をサーバ２００（照合結果受信処理部２０３）へ通知する。

図６の例では、デバイス本体１０（ＯＳカーネル１１）から取得したファイルリスト１２４には、脆弱なリモートログインサービスであるtelnetdが存在している。本実施の形態によれば、サーバ２００側で本来意図していないファイル（不正なファイル）がデバイス本体１０内に存在していることを検知することができる。

図７は本実施の形態の照合システムの照合結果の管理動作の一例を示す説明図である。以下、符号Ｐ３１〜Ｐ３４で示す処理について説明する。

Ｐ３１（照合結果の受信）：照合結果受信処理部２０３は、複数のデバイス１００（図７の例では、デバイス１〜４）が送信する照合結果を時系列順に受信し、受信する都度、逐次、照合結果をデバイスＤＢ更新処理部２０６へ出力する。

Ｐ３２（デバイスＤＢ２０５の更新）：図７に示すように、デバイスＤＢ２０５は、デバイス名、最終照合時刻、照合結果の各レコードで構成されている。デバイスＤＢ更新処理部２０６は、照合結果を取得すると、デバイスＤＢ２０５の更新対象レコードを特定し、特定したレコードに照合結果を書き込む（更新する）。更新対象レコードの特定は、例えば、デバイス１００が照合結果とともにデバイス固有の識別子（例えば、図７のデバイス１〜４の如くデバイス名）を送信するようにし、デバイスＤＢ２０５内のデバイス名と一致するレコードを更新対象とすることができる。

Ｐ３３（デバイスＤＢ２０５に対するポリシーチェック）：デバイスＤＢ２０５の更新処理とは独立又は並列に、ポリシーチェック処理部２０４は、ポリシーチェック処理を実行する。ポリシーチェック処理は、所定周期毎（例えば、１０分毎）に行うことができるが、これに限定されるものではなく、任意の時点（例えば、非定期）に行うように設定することもできる。ポリシーチェック処理は、デバイスＤＢ２０５の各レコードについて、チェックポリシー２０７に記載されたルールに合致するレコードを検索する。

図７に示すように、チェックポリシー２０７には、次のような記述がある。（１）２４時間以上照合が発生していないデバイスは故障と判断する。（２）/etc/passwdの内容が不一致（改変）の場合は攻撃（改ざん）されていると判断する。（３）/のファイルリストが不一致（不正ファイルの追加）の場合は攻撃（マルウェア混入）と判断する。

図７の例では、チェックポリシー２０７に記載のルールによって、デバイス１、２、４のレコードが特定されている。

Ｐ３４（異常又は故障の検出）：ポリシーチェック処理部２０４は、特定されたレコードについて異常の種類を特定する。デバイス１は、ファイルの内容が不一致なので、異常の種類は攻撃（改ざん）であると特定されている。デバイス２は、現在時刻と最終照合時刻との差が２４時間以上であるので、異常の種類は故障であると特定されている。デバイス４は、/のファイルリストが不一致なので、異常の種類は攻撃（マルウェア混入）であると特定されている。ポリシーチェック処理部２０４は、各デバイスの異常の有無を、サーバ２００の管理者、他のアプリケーションに通知することができる。実装者のセキュリティポリシーに応じて通知後の対応が適宜実施される。

攻撃者が取り得る攻撃手法として、デバイスを攻撃中、攻撃者による攻撃が管理者等に悟られないように、攻撃中はデバイスの通信を遮断することが想定される。また、ファイルの改ざん又はマルウェア混入を行わない場合でも、デバイスの通信を遮断したうえで不正にデバイスを利用する可能性もある。しかし、本実施の形態によれば、攻撃者がデバイス１００の通信を遮断した場合、照合結果をサーバ２００へ送信されなくなるので、デバイス１００の故障とともに、あるいはデバイス１００の故障に代えて、セキュリティ上の異常として検知することができる。

また、仮に攻撃者が、ＯＳに対する管理者権限を奪取した場合であっても、サーバ２００との間の通信は、セキュアエレメント５０が独立して秘匿通信路６１を確立（開設）しているので、照合結果を改ざんしてサーバ２００又は管理者を騙すことができない。従って、攻撃者が、デバイス本体（ＯＳ側）のファイルの改ざん、不正なファイルの追加、ファイルの削除を行った場合、攻撃者の不正行為は、確実にサーバ２００に通知される。これにより、攻撃者は、セキュアエレメント５０による照合結果通知に対し有効な攻撃手段を持ち得ず、本実施の形態は、デバイス１００のセキュリティ確保手段として堅牢といえる。

図８はデバイスに対する攻撃の一例を示す説明図である。以下、攻撃者による攻撃手順を符号Ａ１〜Ａ６で示す。

Ａ１（デバイスに対するリモートログイン）：攻撃者は、デバイス上で動作している脆弱なリモートログインサービス（Telnet）に対し、容易に推測可能なパスワードのリストを用いてログインを試みる。

Ａ２（リモートログイン可否判断）：デバイスは、攻撃者からのリモートログイン要求に応じ、パスワードファイルを検索してログイン可否を判断する。パスワードファイルが、例えば、出荷時状態で容易に推測可能なパスワードのままであると、攻撃者のパスワードと一致し、デバイスはログイン可能と判断する。

Ａ３（リモートログイン成功）：デバイスは、リモートログイン許可を攻撃者に与える。

Ａ４（マルウェアの配置）：攻撃者は、手元のＣ＆Ｃ（Command and Control）が可能なマルウェアをデバイス内の適当なフォルダにコピーする。

Ａ５（マルウェアに対する攻撃指示）：攻撃者は、前述のＡ１〜Ａ４の手順を複数のデバイスに対して行い、十分な数のマルウェア感染を確保した後、デバイス内の各マルウェアに対して、攻撃対象サーバに対して一斉に通信を行うように、コマンドを実行して指示する。

Ａ６（攻撃対象サーバに対する攻撃）：各デバイス内のマルウェアは、攻撃者からのコマンドを受信すると、攻撃対象サーバに対して一斉に通信要求を送信する。攻撃対象サーバの処理能力を超える数の通信要求を送信することによって、攻撃対象サーバの機能が停止する。

しかし、本実施の形態によれば、不正なファイルの存在を検知することができ、かつ不正なファイルの削除を行うことができるので、攻撃者は、攻撃手順Ａ１を失うことになる。また、本実施の形態によれば、ファイルの改ざんを検知して、真正なファイルに修復することができるので、例えば、脆弱なパスワードに改変されたファイルを検知することができ、攻撃者は、攻撃手順Ａ２を失うことになる。また、本実施の形態によれば、不正なファイルの存在を検知することができ、かつ不正なファイルの削除を行うことができるので、不正なマルウェアの存在を検知して削除することができるので、攻撃者は、攻撃手順Ａ５、Ａ６も失うことになる。このように、本実施の形態によれば、攻撃者の一連の攻撃手順に対して何重もの防御手段を提供することができる。

図９は本実施の形態のセキュアエレメント５０によるファイル情報等のダウンロード処理手順の一例を示すフローチャートである。セキュアエレメント５０は、デバイス本体１０からファイル情報のダウンロード要求の有無を判定し（Ｓ１１）、ダウンロード要求がない場合（Ｓ１１でＮＯ）、ステップＳ１１の処理を続ける。ダウンロード要求があった場合（Ｓ１１でＹＥＳ）、セキュアエレメント５０は、サーバ２００との間の秘匿通信路６１を確立する（Ｓ１２）。

セキュアエレメント５０は、サーバ２００に対して、照合対象のファイルコンテンツ及びファイルリスト並びに管理対象リストのダウンロード要求を送信し（Ｓ１３）、サーバ２００からファイルコンテンツ、ファイルリスト及び管理対象リストを受信する。セキュアエレメント５０は、受信したファイルコンテンツ、ファイルリスト及び管理対象リストを記憶部５４に記憶し（Ｓ１５）、処理を終了する。

図１０は本実施の形態のセキュアエレメント５０による照合処理手順の一例を示すフローチャートである。セキュアエレメント５０は、デバイス本体１０からファイル情報の照合要求の有無を判定し（Ｓ２１）、照合要求がない場合（Ｓ２１でＮＯ）、ステップＳ２１の処理を続ける。

照合要求があった場合（Ｓ２１でＹＥＳ）、セキュアエレメント５０は、照合要求を受けたファイルコンテンツ又はファイルリストが管理対象リストに存在するか否かを判定する（Ｓ２２）。照合要求を受けたファイルコンテンツ又はファイルリストが管理対象リストに存在する場合（Ｓ２２でＹＥＳ）、セキュアエレメント５０は、照合要求を受けたファイルコンテンツ又はファイルリストをデバイス本体１０から取得する（Ｓ２３）。

セキュアエレメント５０は、デバイス本体１０から取得したファイルコンテンツ又はファイルリストと、記憶部５４に記憶したファイルコンテンツ又はファイルリストとを照合する（Ｓ２４）。

セキュアエレメント５０は、照合結果をデバイス本体１０へ出力する（Ｓ２５）。セキュアエレメント５０は、サーバ２００との間の秘匿通信路６１を確立し（Ｓ２６）、照合結果をサーバ２００へ送信し（Ｓ２７）、処理を終了する。照合要求を受けたファイルコンテンツ又はファイルリストが管理対象リストに存在しない場合（Ｓ２２でＮＯ）、セキュアエレメント５０は、処理を終了する。

図９及び図１０に示すような処理手順を定めたコンピュータプログラムをＲＡＭにロードし、ＣＰＵ（プロセッサ）により当該コンピュータプログラムを実行させることにより、セキュアエレメント５０の各処理をコンピュータプログラムによって実現することができる。

上述のように、本実施の形態によれば、セキュアエレメント５０内に真正なファイルを保持（記憶）するので、ファイルの改ざん検知のみならす、破損又は改ざんされたファイルの修復、あるいはセキュリティ対策を目的としたファイルの更新を随時行うことができる。

また、本実施の形態によれば、ファイルだけでなく、フォルダに存在するファイルのリストをセキュアエレメント５０内に保持（記憶）するので、ファイルの改ざんのみならす、フォルダ構成についても意図しない追加又は削除が行われたことを検知することができる。これにより、デバイスに本来存在しないはずの不正なマルウェア等の有害なファイルの検知及び削除が可能となる。

また、本実施の形態によれば、管理対象リストを用いることによって、セキュリティ上重要なファイル又はフォルダ構成に絞り込むことができるので、セキュアエレメント５０の処理負荷を軽減することができるとともに、効果的な改ざん防止機能、不正なファイルの混入防止機能を提供することができる。

また、本実施の形態によれば、セキュアエレメント５０とサーバ２００との間をエンドツーエンドで開設された秘匿通信路を用いるので、サーバ２００からダウンロードする情報の改ざんを防止することができ、また、サーバ２００へ送信する照合結果の改ざんを防止することができる。

また、本実施の形態によれば、サーバは、複数のデバイス１００からの照合結果を取集して各デバイス１００の異常を検知するとともに、各デバイスの状態を遠隔管理することができる。

本実施の形態に係るセキュアエレメントは、サーバから所定のファイル情報を取得する取得部と、該取得部で取得したファイル情報を記憶する記憶部と、デバイス本体から照合対象に係るファイル情報が指定された照合要求を取得する照合要求取得部と、前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合する照合部と、該照合部での照合結果を前記デバイス本体へ出力する出力部とを備える。

本実施の形態に係るコンピュータプログラムは、コンピュータに、ファイル情報の照合をさせるためのコンピュータプログラムであって、コンピュータに、サーバから所定のファイル情報を取得する処理と、取得したファイル情報を記憶部に記憶する処理と、デバイス本体から照合対象に係るファイル情報が指定された照合要求を取得する処理と、前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合する処理と、照合結果を前記デバイス本体へ出力する処理とを実行させる。

本実施の形態に係るデバイスは、本実施の形態に係るセキュアエレメントと、デバイス本体とを備える。

本実施の形態に係るファイル情報の照合方法は、サーバから所定のファイル情報を取得部が取得し、取得されたファイル情報を記憶部に記憶し、デバイス本体から照合対象に係るファイル情報が指定された照合要求を照合要求取得部が取得し、前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合部が照合し、照合結果を前記デバイス本体へ出力部が出力する。

取得部は、サーバから所定のファイル情報を取得する。ファイル情報は、例えば、ファイル名及びファイルの内容であるファイルコンテンツ、ファイルリスト（特定のフォルダに存在するファイルのリスト）である。所定のファイル情報は、例えば、デバイス本体が保持するファイルシステム内のファイル情報のうち、改ざん等を検知する検知対象のファイル情報である。

記憶部は、取得部で取得したファイル情報を記憶する。サーバから所定のファイル情報を取得して記憶部に記憶することにより、セキュリティ脆弱性に基づいてファイル情報の状態が更新された場合でも、サーバから最新のファイル情報を取得して記憶することができる。

照合要求取得部は、デバイス本体から照合対象に係るファイル情報が指定された照合要求を取得する。例えば、デバイス本体が照合対象となるファイルを特定する場合、特定したファイルのファイルコンテンツ（ファイル名及びファイルの内容）を指定して照合要求をセキュアエレメントへ出力する。また、デバイス本体が照合対象となるフォルダを特定する場合、特定したフォルダのファイルリスト（フォルダ名、あるいはフォルダ名及びファイル名）を指定して照合要求をセキュアエレメントへ出力する。

照合部は、照合要求で指定されたファイル情報と記憶部に記憶したファイル情報とを照合する。照合は、両方のファイルコンテンツの一致・不一致の判定、両方のファイルリストの一致・不一致の判定を行う。

出力部は、照合部での照合結果をデバイス本体へ出力する。上述の構成により、最新のファイル情報に基づいて、デバイス本体が保持するファイルシステム内のファイルの改ざん、あるいは不正なファイルの存在を検知することができ、デバイスのセキュリティ上の保護を図ることができる。

本実施の形態に係るセキュアエレメントにおいて、前記取得部は、前記サーバから前記照合部での照合対象に係るファイル情報を特定する特定情報を取得し、該取得部で取得した特定情報を記憶する記憶部を備え、前記照合部は、前記照合要求で指定されたファイル情報が前記特定情報によって特定されたファイル情報と一致する場合、前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合する。

取得部は、サーバから照合部での照合対象に係るファイル情報を特定する特定情報を取得する。特定情報（管理対象リストとも称する）は、デバイス本体のファイル情報（ファイルコンテンツ、ファイルリスト）のうち、セキュアエレメントが照合対象とするファイル情報を特定する。例えば、ファイルコンテンツはファイルとして特定され、ファイルリストはフォルダとして特定される。

記憶部は、取得部で取得した特定情報を記憶する。サーバから特定情報を取得して記憶部に記憶することにより、セキュリティ脆弱性に基づいて照合対象に係るファイル情報が更新された場合でも、サーバから最新の照合対象を取得して記憶することができる。

照合部は、照合要求で指定されたファイル情報が特定情報によって特定されたファイル情報と一致する場合、照合要求で指定されたファイル情報と記憶部に記憶したファイル情報とを照合する。また、照合部は、照合要求で指定されたファイル情報が特定情報によって特定されたファイル情報と一致しない場合、照合要求で指定されたファイル情報と記憶部に記憶したファイル情報とを照合しない。これにより、照合対象に係るファイル情報を選択的に管理することができ、ファイルシステム全体を管理する場合に比べてセキュアエレメントの処理負荷を軽減することができる。

本実施の形態に係るセキュアエレメントは、前記照合部での照合結果をサーバへ送信する送信部を備える。

送信部は、照合部での照合結果をサーバへ送信する。これにより、デバイス本体が保持するファイルシステム内のファイルの改ざん、あるいは不正なファイルの存在等の検知結果をサーバで把握することができ、デバイスの遠隔管理が可能となり、デバイスのセキュリティ上の保護を図ることができる。

本実施の形態に係るセキュアエレメントは、前記サーバとの間で暗号化された秘匿通信路を確立する通信部を備える。

通信部は、サーバとの間で暗号化された秘匿通信路を確立する。秘匿通信路においては、例えば、ＴＬＳ（Transport Layer Security）などのプロトコルによって通信を行うことができる。これにより、所定のファイル情報、特定情報をサーバから取得する際に、ファイル情報又は特定情報の改ざんを防止すること、あるいは取得の妨害を回避することができる。また、照合結果をサーバへ送信する際に、照合結果の改ざんを防止すること、あるいは送信の妨害を回避することができる。

本実施の形態に係るセキュアエレメントにおいて、前記ファイル情報は、ファイルコンテンツ及びファイルリストの少なくとも一つを含む。

ファイル情報は、ファイルコンテンツ及びファイルリストの少なくとも一つを含む。ファイルコンテンツは、ファイルのファイル名及び当該ファイルの内容で表される。ファイルリストは、フォルダ内に存在するフォルダ又はファイルを特定するものであり、フォルダ名（フォルダにファイルが存在しない場合）、フォルダ名及びファイル名で表される。これにより、ファイルの内容の改ざん、不正なファイルの存在を検知することができる。

本実施の形態に係るセキュアエレメントは、前記照合部での照合結果が不一致の場合、所定の処理を指示する指示部を備える。

指示部は、照合部での照合結果が不一致の場合、所定の処理を指示する。所定の処理は、照合結果が不一致の場合、例えば、ファイルの改ざん又は不正なファイルの存在が検知された場合、ファイルの改ざん又は不正なファイルの存在による影響を排除又は最小化するような処理であればよい。また、処理の指示は、セキュアエレメントが、デバイス本体が直接所定の処理を行うようにデバイス本体に指示（セキュアエレメントは直接所定の処理を実行しない）する構成でもよく、セキュアエレメントが直接所定の処理を実行する構成でもよい。これにより、デバイスに対するセキュリティ上の攻撃に起因する影響を回避又は少なくすることができる。

本実施の形態に係るセキュアエレメントにおいて、前記所定の処理は、前記デバイス本体の動作を停止する処理を含む。

所定の処理は、デバイス本体の動作を停止する処理を含む。これにより、デバイスに対するセキュリティ上の攻撃に起因する影響を回避又は少なくすることができる。

本実施の形態に係るセキュアエレメントにおいて、前記所定の処理は、前記照合要求で指定されたファイル情報に係るファイルの内容を修復する処理を含む。

所定の処理は、照合要求で指定されたファイル情報に係るファイルの内容を修復する処理を含む。例えば、デバイス本体は、取得した照合結果（不一致）に基づいて、真正なファイルをセキュアエレメントへ要求し、セキュアエレメントは真正なファイルとともに修復指示をデバイス本体へ出力する。デバイス本体は、改ざんされたファイルを真正なファイルに置き換える（上書きする）ことにより、ファイルの内容を修復する。これにより、ファイルの改ざんの検知だけでなく、改ざんされたファイルを真正なファイルに置き換えてファイルの内容を修復することができる。

本実施の形態に係るセキュアエレメントにおいて、前記所定の処理は、前記デバイス本体が保持するファイルのうち、前記記憶部に記憶したファイル情報に係るファイルリストに含まれていないファイルを削除する処理を含む。

所定の処理は、デバイス本体が保持するファイルのうち、記憶部に記憶したファイル情報に係るファイルリストに含まれていないファイルを削除する処理を含む。例えば、デバイス本体は、取得した照合結果（不一致）に基づいて、真正なファイルリストをセキュアエレメントへ要求し、セキュアエレメントは真正なファイルリストとともに当該真正なファイルリストに含まれていないファイルの削除指示をデバイス本体へ出力する。デバイス本体は、真正なファイルリストに含まれていないファイルを削除することにより、不正なファイルを削除する。これにより、ファイルの改ざんの検知だけでなく、不正なファイルを削除することができる。

本実施の形態に係るデバイスにおいて、前記デバイス本体は、ＯＳカーネルと、ファイルシステムと、前記ＯＳカーネルの起動時、所定のファイル又はフォルダへのアクセス時に、ファイル情報が指定された照合要求を前記セキュアエレメントへ出力する出力部とを備える。

デバイス本体は、ＯＳカーネル及びファイルシステムを備える。ＯＳカーネルは、ＯＳの基本的な機能を実装しているソフトウェアコンポーネントである。ＯＳカーネルは、起動されると、ＯＳの機能をアプリケーション又はユーザに提供する。例えば、ＯＳ上のアプリケーションは、ＯＳカーネルを経由してファイルシステムへのアクセスを行う。

ファイルシステムは、デバイス上で取り扱うファイル（フォルダ）ツリー全てを保持するデータ一式である。ファイルシステムは、ＯＳカーネルによって認識されることで、アプリケーション又はユーザは、ファイルシステム内のファイルを読み書きすることができる。

出力部は、ＯＳカーネルの起動時、所定のファイル又はフォルダへのアクセス時に、ファイル情報が指定された照合要求をセキュアエレメントへ出力する。なお、照合要求の出力のタイミングは、これらに限定されない。上述の構成により、デバイスに対するセキュリティ上の攻撃の有無を所要のタイミングで検知することができる。

本実施の形態に係るサーバは、複数のデバイスからファイル情報に係る照合結果を取得する取得部と、該取得部で取得した照合結果に基づいてセキュリティに係る異常又はデバイスの故障を検知する検知部とを備える。

取得部は、複数のデバイスからファイル情報に係る照合結果を取得する。検知部は、取得部で取得した照合結果に基づいてセキュリティに係る異常又はデバイスの故障を検知する。セキュリティに係る異常は、例えば、ファイルの改ざん、不正なファイルの存在などである。また、あるデバイスから所定時間以上照合結果を取得することができない場合、当該デバイスの故障と判定することができる。

上述の構成により、様々な場所に設置された複数のデバイスそれぞれのセキュリティ上の攻撃、あるいは複数のデバイスそれぞれの故障を遠隔から管理することができる。

本実施の形態に係るサーバにおいて、前記検知部は、前記照合結果が所定条件を充足する場合、セキュリティに係る異常又はデバイスの故障を検知する。

検知部は、照合結果が所定条件を充足する場合、セキュリティに係る異常又はデバイスの故障を検知する。所定条件は、例えば、ファイルコンテンツの不一致、ファイルリストの不一致、所定時間以上照合が実施されていない等とすることができる。これにより、デバイスのセキュリティ上の異常検知又はデバイスの故障検知を行うことができる。

本実施の形態に係るサーバは、前記取得部は、前記複数のデバイスそれぞれのデバイス本体からの照合要求によって指定されたファイル情報と前記複数のデバイスそれぞれのセキュアエレメントが前記サーバから取得したファイル情報との照合結果を取得する。

取得部は、複数のデバイスそれぞれのデバイス本体からの照合要求によって指定されたファイル情報と当該複数のデバイスそれぞれのセキュアエレメントがサーバから取得したファイル情報との照合結果である。これにより、様々な場所に設置された複数のデバイスそれぞれのセキュリティ上の攻撃、あるいは複数のデバイスそれぞれの故障を遠隔から管理することができる。

１０ デバイス本体
１１ ＯＳカーネル
１２ ファイルシステム
１３ インタフェース部
１４ ネットワーク通信部
１５ ＣＰＵ
３１ 通信路
５０ セキュアエレメント
５１ インタフェース部
５２ ダウンロード処理部
５３ 照合処理部
５４ 記憶部
５５ 指示部
６１ 秘匿通信路
２００ サーバ
２０１ ダウンロード処理部
２０２ 記憶部
２０３ 照合結果受信処理部
２０４ ポリシーチェック処理部
２０５ デバイスＤＢ
２０６ デバイスＤＢ更新処理部
２０７ チェックポリシー

Claims (16)

1. サーバから所定のファイル情報を取得する取得部と、
   該取得部で取得したファイル情報を記憶する記憶部と、
   デバイス本体から照合対象に係るファイル情報が指定された照合要求を取得する照合要求取得部と、
   前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合する照合部と、
   該照合部での照合結果を前記デバイス本体へ出力する出力部と
   を備えるセキュアエレメント。
2. 前記取得部は、
   前記サーバから前記照合部での照合対象に係るファイル情報を特定する特定情報を取得し、
   該取得部で取得した特定情報を記憶する記憶部を備え、
   前記照合部は、
   前記照合要求で指定されたファイル情報が前記特定情報によって特定されたファイル情報と一致する場合、前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合する請求項１に記載のセキュアエレメント。
3. 前記照合部での照合結果をサーバへ送信する送信部を備える請求項１又は請求項２に記載のセキュアエレメント。
4. 前記サーバとの間で暗号化された秘匿通信路を確立する通信部を備える請求項１から請求項３のいずれか一項に記載のセキュアエレメント。
5. 前記ファイル情報は、ファイルコンテンツ及びファイルリストの少なくとも一つを含む請求項１から請求項４のいずれか一項に記載のセキュアエレメント。
6. 前記照合部での照合結果が不一致の場合、所定の処理を指示する指示部を備える請求項１から請求項５のいずれか一項に記載のセキュアエレメント。
7. 前記所定の処理は、前記デバイス本体の動作を停止する処理を含む請求項６に記載のセキュアエレメント。
8. 前記所定の処理は、前記照合要求で指定されたファイル情報に係るファイルの内容を修復する処理を含む請求項６に記載のセキュアエレメント。
9. 前記所定の処理は、前記デバイス本体が保持するファイルのうち、前記記憶部に記憶したファイル情報に係るファイルリストに含まれていないファイルを削除する処理を含む請求項６又は請求項８に記載のセキュアエレメント。
10. コンピュータに、ファイル情報の照合をさせるためのコンピュータプログラムであって、
    コンピュータに、
    サーバから所定のファイル情報を取得する処理と、
    取得したファイル情報を記憶部に記憶する処理と、
    デバイス本体から照合対象に係るファイル情報が指定された照合要求を取得する処理と、
    前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合する処理と、
    照合結果を前記デバイス本体へ出力する処理と
    を実行させるコンピュータプログラム。
11. 請求項１から請求項９のいずれか一項に記載のセキュアエレメントと、デバイス本体とを備えるデバイス。
12. 前記デバイス本体は、
    ＯＳカーネルと、
    ファイルシステムと、
    前記ＯＳカーネルの起動時、所定のファイル又はフォルダへのアクセス時に、ファイル情報が指定された照合要求を前記セキュアエレメントへ出力する出力部と
    を備える請求項１１に記載のデバイス。
13. 複数のデバイスからファイル情報に係る照合結果を取得する取得部と、
    該取得部で取得した照合結果に基づいてセキュリティに係る異常又はデバイスの故障を検知する検知部と
    を備えるサーバ。
14. 前記検知部は、
    前記照合結果が所定条件を充足する場合、セキュリティに係る異常又はデバイスの故障を検知する請求項１３に記載のサーバ。
15. 前記取得部は、
    前記複数のデバイスそれぞれのデバイス本体からの照合要求によって指定されたファイル情報と前記複数のデバイスそれぞれのセキュアエレメントが前記サーバから取得したファイル情報との照合結果を取得する請求項１３又は請求項１４に記載のサーバ。
16. サーバから所定のファイル情報を取得部が取得し、
    取得されたファイル情報を記憶部に記憶し、
    デバイス本体から照合対象に係るファイル情報が指定された照合要求を照合要求取得部が取得し、
    前記照合要求で指定されたファイル情報と前記記憶部に記憶したファイル情報とを照合部が照合し、
    照合結果を前記デバイス本体へ出力部が出力するファイル情報の照合方法。

Images