JP2020024758A - 工場状態に復元可能な保全素子 - Google Patents

Abstract

【課題】保全素子をホストしているデバイスが他のユーザに売られたり与えられた場合、その保全素子を工場状態に復元する。【解決手段】第１デバイス（ＨＯ）に埋設され、互いに独立する第１カテゴリ（Ｃ１）、第２カテゴリ（Ｃ２）、第３カテゴリ（Ｃ３）に分類されたデータのセット（ＳＴ）を含み、復元エーゼント（ＲＴ）により第２カテゴリ（Ｃ２）のすべての現在データを除去し、第３デバイス（Ｄ３）から第２エンティティ（ＧＣ２）を検索し、第２カテゴリ（Ｃ２）のデータの工場値を復元する。【選択図】図２

Description

本発明は、工場状態に復元可能な保全素子に係り、特に現場に展開されている保全素子を工場状態に復元した保全素子に関する。

保全素子は、データを格納でき安全な方法でサービスを提供できる耐改ざん性物理部品又は部品をエミュレートし、信頼できる格納領域と信頼できるサービスを提供するソフトウェア部品である。保全素子は、権利のないエンティティのリソースへのアクセスを拒否するように設定されているオペレーティングシステムを備えている。一般に、保全素子は限られた容量のメモリと限定された能力を有するプロセッサとを有し、バッテリは有しない。例えば、ＵＩＣＣ（汎用集積回路カード）は通信目的のためのＳＩＭアプリケーションを埋設した保全素子である。保全素子は、例えば携帯電話機のような端末に固定的又は非固定的にインストールすることができる。ある場合には、端末は他のマシーンとＭ２Ｍ（マシーン トゥ マシーン）アプリケーションによって通信するマシーンによって構成される。

保全素子はスマートカードの形式であったり、又は、例えば必ずしもこれに限定はされないがＰＣＴ／ＳＥ２００８／０５０３８０に記載されているようなパッケージ化されたチップのようなその他の形式であってもよい。保全素子をホストデバイスにはんだ付け又は溶着して保全素子をこのホストデバイスに従属させることが知られている。これはＭ２Ｍ（マシーン トゥ マシーン）アプリケーションで行なわれる。アプリケーションを格納したチップ（保全素子）をホストデバイスに格納しても同一目的を達成することができる。チップは、例えば、ホストデバイス又はマシーンのマザーボードにはんだ付けされ、埋設保全素子（ｅＳＥ）が作成される。

ホストデバイスと特別に関連付けられた着脱可能な保全素子も同様に埋設保全素子と考えてもよい。
通常のプロセスによると、保全素子は工場段階で個人化される。そして保全素子は現場に展開され最終ユーザに届けられる。ほとんどのケースでは、保全素子は工場段階後に、パスワード、ＰＩＮ又は資格情報（クレデンシャル）のような最終ユーザに特有のデータでカスタマイズされる。この特有のデータは機密でありうる。保全素子をホストしているデバイスが他のユーザに売られたり与えられた場合、その保全素子を工場状態に復元する必要がある。

本発明の目的は、上記技術的な問題を解決することにある。
本発明の目的は、第１デバイス中に埋設された保全素子を工場状態に復元するための方法を提供することである。保全素子はデータのセットを有し、本方法は、第１デバイス中に埋設されているデータのセットを含む保全素子を工場状態に復元する方法であって、
−セットのデータを互いに独立する３つのカテゴリに分類するステップと；
−第２デバイスから、第１カテゴリのデータの工場値のグループ又は第１カテゴリのデータの工場値を生成するよう設定されたソフトウェアアプリケーションである第１エンティティを回収し、保全素子から第１カテゴリのすべての現在データを除去し、第１カテゴリのデータの工場値を復元するステップと；
−第３デバイスから、第２カテゴリのデータの工場値のグループ又は第２カテゴリのデータの工場値を生成するよう設定されたソフトウェアアプリケーションである第２エンティティを回収し、保全素子から第２カテゴリのすべての現在データを除去し、保全素子に特有な多様化した値を使用して第２カテゴリのデータの工場値を復元するステップと；を備え、第３カテゴリのデータは保全素子に変更することなく保存する。

有利には、第１カテゴリのデータは、保全素子を含む保全素子のセットに対して可変かつ独得であり、第２カテゴリのデータは保全素子に対して可変かつ独得である。
有利には、第１カテゴリは適用可能なデータとパラメータとを含み、第２カテゴリは秘密データを含み、保全素子はオペレーティングシステムを備え、第３カテゴリはオペレーティングシステムの実行コードを含む。
有利には、第１デバイスと第３デバイスとは単一デバイスに合併されていてもよい。

本発明の他の目的は、第１デバイスに埋設され、データのセットを含む保全素子であって、保全素子は、第２のデバイスからセットの第１カテゴリのデータの工場値のグループ又はセットのデータの第１カテゴリのデータの工場値を生成するよう設定されたソフトウェアアプリケーションである第１エンティティを回収し、第１カテゴリのすべての現在データを除去し、第１カテゴリのデータの工場値を保全素子に復元するように設定された復元エーゼントを備え、復元エーゼントは、第３デバイスから、第２カテゴリのデータの工場値のグループ又はセットのデータの第２カテゴリのデータの工場値を生成するよう設定されたソフトウェアアプリケーションである第２エンティティを回収し、第２カテゴリのすべての現在データを除去し、保全素子に特有な多様化した値である工場値を使用して第２カテゴリのデータの工場値を復元するように設定されている。

有利には、第１カテゴリのデータは、保全素子を含む保全素子のセットに対して可変かつ独得であり、第２カテゴリのデータは保全素子に対して可変かつ独得である。
有利には、第１カテゴリは適用可能なデータとパラメータとを含み、第２カテゴリは秘密データを含み、保全素子はオペレーティングシステムを備え、第３カテゴリはオペレーティングシステムの実行コードを含む。

本発明の他の目的は、本発明に係る保全素子のバッチと第２デバイスとを備えたシステムである。
第２デバイスは、組の各保全素子に独得に関連する一連のインジケータを格納し、インジケータは、関連する保全素子が工場状態に復元された回数を反映する。

本発明の他の特徴点及び利点は対応する添付図面を参照して本発明の好ましい複数の実施例についての以下の記載を読むことにより、より明確になるであろう。

本発明によって３つのカテゴリに分類されたデータのセットの一例である。 本発明による、保全素子をホストするデバイスと他の２つのデバイスとを備えたシステムの一例である。

本発明は、発行ステップ後に機密データを記録するよう意図されたどんなタイプの保全素子に対しても適用できる。保全素子は、その保全素子と通信セッションを確立することのできるどんなタイプのホストマシーンと結合されてもよい。
例えば、ホストマシーンは、携帯電話機、タブレットＰＣ、電子眼鏡、電子時計、電子ブレスレット、車輌、メータ、スロットマシーン、ＴＶ又はコンピュータであってもよい。

図１は、本発明に係る、保全素子ＳＥ中に格納されたデータのセットＳＴを示す。データのセットＳＴはカテゴリＣ１，Ｃ２及びＣ３と名付けられた３つの部分に分割される。データは数個のカテゴリに属することはできない。換言すれば、３つのカテゴリはそれぞれ他とは独立している。
カテゴリＣ１は、保全素子のバッチ（組）に共通のデータを包含するいわゆる静的イメージに対応する。例えば、カテゴリＣ１のデータはバッチに属するすべての保全素子によって共有されている適用可能なデータを含むファイルのグループであり得る。

カテゴリＣ１のデータの値は、あるバッチから他のバッチで変動可能である。カテゴリＣ１のデータの値はあるバッチに属するすべての保全素子に適用される。
カテゴリＣ１のデータは、例えば、アプリカティブデータ（即ち、アプリケーションによって管理されるファイル、カウンタ又はレジスタ）、アプリケーション識別子又はパラメータである。

カテゴリＣ２は保全素子ＳＥに特有なデータを包含するいわゆる分散されたデータに対応する。例えば、カテゴリＣ２のデータは保全素子ＳＥに特定して割当てられたキーセットとシリアル番号である。
カテゴリＣ２のデータの値は保全素子毎にほとんど常に変動する。
カテゴリＣ２のデータは、例えば、秘密キー、プライベートキー、特定識別子、サブスクリプション、アクセス権、サービス資格情報（クレデンシャル）、機密アプリケーション、ユーザアカウント番号又はパスワードである。

カテゴリＣ２は、また、ランダム値、シード又はカテゴリＣ２の他の要素の正確な値を生成するための入力パラメータとして使用されるどんなデータであってもよい。
カテゴリＣ１とＣ２のデータはどんな種類のコンテナのどんな組合わせにも格納することができる。例えばデータは、ファイルツリー、レジスタ、保全領域又はデータベース中に格納することができる。

カテゴリＣ３は保全素子ＳＥによって行なわれる実行可能コードに対応している。例えば、カテゴリＣ３のデータは、保全素子ＳＥのオペレーティングシステムを含んでいる。他の例では、カテゴリＣ３のデータは、タイプ、識別子又は関連するホストデバイスＨＯの製造者参照を含む。さらに他の例では、関連するホストデバイスＨＯの能力を反映するパラメータを含むこともできる。一般に、カテゴリＣ３のデータは保全素子ＳＥのライフサイクル中は変更されることはない。

図２はデバイスＤ２，Ｄ３と保全素子ＳＥを埋設するホストデバイスＨＯとを備えた本発明に係るシステムＳＹを示す。
この例では、ホストデバイスＨＯは一般的な携帯電話機で、保全素子ＳＥと通信するためのハードウェア通信インターフェイスを有している。

保全素子ＳＥは埋設ＵＩＣＣで、ＲＡＭタイプのワーキングメモリとプロセッサ手段と不揮発性メモリを備えている。保全素子ＳＥは図１に示すデータのセットＳＴ（図示しない）を含んでいる。保全素子ＳＥは、また、デバイスＤ２からカテゴリＣ１のデータの工場値を提供するように設定されているエンティティＧＣ１を回収するよう設定されている復元エーゼントＲＴを有している。復元エーゼントＲＴは、また、デバイスＤ３から、カテゴリＣ２のデータの工場値を提供するように設定されているエンティティＧＣ２を回収するように設定されている。

復元エーゼントＲＴは保全素子ＳＥからカテゴリＣ１とＣ２のすべての現在データを解除し、その保全素子ＳＥにカテゴリＣ１とＣ２のデータの工場値を復元するように設定されている。
有利には、復元エーゼントＲＴは現在データの除去と新しい値の復元を原子的な方法で管理することで、すべての保全素子をその工場状態に復元するか又は変更しないで存続させる。このような態様は、復元すべきデータのサイズが保全素子のメモリサイズに比較して小さいときに良く採用されている。

他の実施形態では、復元過程でエラーがあったとき、復元エーゼントＲＴは復元を最初から再開始するか又は中間復元時点から復元を再開させる。この場合、復元エーゼントＲＴは復元プロセスの中間段階を反映しているデータを格納している。
エンティティＧＣ１は工場値のセットであるか、関連値を生成することの出来るソフトウェアアプリケーションであってもよい。
エンティティＧＣ２は工場値のセットであるか、関連値を生成することの出来るソフトウェアアプリケーションであってもよい。有利には、エンティティＧＣ２は、目標となる保全素子ＳＥ用の分散化した関連値を生成するよう設定されたスクリプトとすることができる。スクリプトは生成された分散値の秘密性が保たれるように保全素子上で動作する。

一実施例では、デバイスＤ３はホストデバイスＨＯを介して保全素子ＳＥと通信する遠隔サーバである。例えば、デバイスＤ３はＯＴＡ（Over-The-Air）チャネルを介して保全素子ＳＥに到達してもよい。
他の実施例では、デバイスＤ３とホストデバイスＨＯとは併合されて単一デバイスとなっている。これは、エンティティＧＣ２のサイズがデバイスＨＯの不揮発性メモリに使用されるサイズに準拠する場合に実施される。

デバイスＤ２はホストデバイスＨＯを介して保全素子ＳＥと通信可能な遠隔サーバであってもよい。有利には、デバイスＤ２は、保全素子のバッチの各保全素子に特殊に関連している一連のインジケータを管理し、格納することができる。
デバイスＤ２はこれらのインジケータを更新するように設定され、これにより関連する保全素子が工場状態に復元された回数が反映される。
この場合、復元エーゼントＲＴはデバイスＤ２に保全素子ＳＥの復元が完全になされたことを示すメッセージを送るように設定されている。

有利には、デバイスＤ２はプリセット条件を満たす場合には、保全素子ＳＥの工場状態への復元を拒否することができる。この場合には、デバイスＤ２は復元エーゼントＲＴにエンティティＧＣ１を提供しない。プリセット条件は、復元回数の最大閾値又は登録ユーザからの他のチャネルによってもたらされる復元の合意の受理に基づくことができる。
有利には、復元エーゼントＲＴは、ホストデバイスＨＯが工場状態に復元されるか、ホストデバイスＨＯ中で特定フィールドの値が変更され次第、自動的に機動される。
有利には、保全素子ＳＥはデバイスＤ２とＤ３とを認証するよう設定されていてもよい。逆に、デバイスＤ２とＤ３とが保全素子ＳＥを認証するように設定されていてもよい。この場合にはエンティティＧＣ１とＧＣ２とが真正の保全素子に送られる。

本発明によれば、保全素子は必要なとき工場状態に復元することができる。特に、本発明は、保全素子が新しい所有者に与えられたとき又は保全素子をホストしているデバイスの所有が変更されたときに使用することができる。
本発明は、また、ホストデバイスが修理又はメインテナンスの必要からアフタサービスに送られたときに使用される。
上述した実施例は本発明の範囲内で非限定的な例として提供されたものであると理解されたい。特に、保全素子は機密データの数を限定してはいない。
図２に示すシステムの構造は一例化として示したにすぎない。

Claims (7)

1. 第１デバイス（ＨＯ）に埋設され、互いに独立する第１カテゴリ（Ｃ１）、第２カテゴリ（Ｃ２）、第３カテゴリ（Ｃ３）に分類されたデータのセット（ＳＴ）を含む保全素子（ＳＥ）であって、
   前記第１カテゴリ（Ｃ１）のデータはアプリカティブデータ、アプリケーション識別子又はパラメータであり、
   前記第２カテゴリ（Ｃ２）のデータは、キーセットとシリアル番号を含む保全素子（ＳＥ）に特有なデータであり、
   前記第３カテゴリ（Ｃ３）のデータは、保全素子（ＳＥ）のオペレーティングシステムの実行コードに対応するデータである、
   前記保全素子（ＳＥ）は、前記保全素子（ＳＥ）から前記第１カテゴリ（Ｃ１）のすべての現在データを除去し、次いで第２デバイス（Ｄ２）から前記第１カテゴリ（Ｃ１）のデータの工場値のグループ又は前記第１カテゴリ（Ｃ１）のデータの工場値を生成するよう設定されたソフトウェアアプリケーションである第１エンティティ（ＧＣ１）を検索し、前記第１カテゴリ（Ｃ１）のデータの工場値を前記保全素子（ＳＥ）に復元するように設定された復元エーゼント（ＲＴ）を備え、前記復元エーゼント（ＲＴ）は、前記保全素子（ＳＥ）から前記第２カテゴリ（Ｃ２）のすべての現在データを除去し、次いで、第３デバイス（Ｄ３）から、前記第２カテゴリ（Ｃ２）のデータの工場値のグループ又は前記第２カテゴリ（Ｃ２）のデータの工場値を生成するよう設定されたソフトウェアアプリケーションである第２エンティティ（ＧＣ２）を検索し、前記保全素子（ＳＥ）に特有な多様化した値である工場値を使用して前記第２カテゴリ（Ｃ２）のデータの工場値を復元するように設定されていることを特徴とする保全素子。
2. 前記復元エーゼントは前記現在データの除去動作とデータの前記工場値復元動作とを共に実行又は共に不実行（all or nothing）の原子的な方法(atomic way)で行うよう構成されていることを特徴とする請求項１に記載の保全素子。
3. 前記第１カテゴリ（Ｃ１）のデータは、前記保全素子（ＳＥ）を含む保全素子のセットに対して可変かつ独得であり、前記第２カテゴリ（Ｃ２）のデータは前記保全素子（ＳＥ）に対して可変かつ独得であることを特徴とする請求項１に記載の保全素子。
4. 前記第１カテゴリ（Ｃ１）は適用可能なデータとパラメータとを含み、前記第２カテゴリ（Ｃ２）は秘密データを含み、前記保全素子（ＳＥ）はオペレーティングシステムを備え、前記第３カテゴリ（Ｃ３）は前記オペレーティングシステムの実行コードを含むことを特徴とする請求項１に記載の保全素子。
5. 請求項１に記載の保全素子の組と前記第２デバイス（Ｄ２）とを備えたシステム（ＳＹ）であって、
   前記第２デバイス（Ｄ２）は、前記組の各保全素子に独得に関連する一連のインジケータを格納し、前記インジケータは、関連する保全素子が工場状態に復元された回数を反映することを特徴とするシステム。
6. 前記第２デバイス（Ｄ２）は、プリセット条件を満たすときには、前記保全素子の工場状態への復元を拒否することを特徴とする請求項５に記載のシステム。
7. 前記プリセット条件は復元回数の最大閾値又は前記保全素子（ＳＥ）に登録されたユーザからの復元の合意の受理に基づくことを特徴とする請求項６に記載のシステム。

Images