JP2021114173A

JP2021114173A - 情報処理装置、情報処理装置の処理方法およびプログラム

Info

Publication number: JP2021114173A
Application number: JP2020006858A
Authority: JP
Inventors: 健裏垣; Takeshi Uragaki
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2020-01-20
Filing date: 2020-01-20
Publication date: 2021-08-05
Anticipated expiration: 2040-01-20
Also published as: US20210224387A1; JP7374780B2

Abstract

【課題】ソフトウェアモジュールを更新することができるようにする。【解決手段】情報処理装置は、ブートプログラムの起動に応じて第１のソフトウェアモジュールを起動する第１の起動手段と、前記第１のソフトウェアモジュールが起動すると、第２のソフトウェアモジュールの改ざんの検証を行う第１の検証手段と、前記第２のソフトウェアモジュールの改ざんが行われていると判断された場合には、前記第２のソフトウェアモジュールの代わりに前記第２のソフトウェアモジュールのバックアップデータを上書きすることにより、前記第２のソフトウェアモジュールを更新する更新手段と、前記更新された第２のソフトウェアモジュールの改ざんの検証を行う第２の検証手段と、前記更新された第２のソフトウェアモジュールの改ざんが行われていないと判断された場合には、前記更新された第２のソフトウェアモジュールを起動する第２の起動手段とを有する。【選択図】図５

Description

本発明は、情報処理装置、情報処理装置の処理方法およびプログラムに関する。

ソフトウェアの脆弱性をついてソフトウェアを改ざんし、コンピュータを悪用する攻撃が問題となっている。そういった攻撃の対策として、プログラムに署名を施して保存しておき、起動するたびにプログラムの署名を検証することで、改ざんの有無を検知する方法が知られている。

プログラムを部分的に交換可能にするためにモジュール化し、各モジュールに対して署名を検証する処理や検証するのに必要な鍵情報を内包して格納する方法や、起動時に各プログラムの正解値が一致するか検証する方法が知られている（特許文献１参照）。

また、プログラムのアップデートを行うために、複数の起動モードを用意し、用途に応じて切り替えられるようにする場合がある。この場合、それぞれの起動モードで改ざんされる可能性があるため、それぞれで改ざんを検知する仕組みが知られている（特許文献２参照）。

特開２０１９−７５０００号公報特開２０１５−９７０２２号公報

起動時に改ざんを検知した場合、悪意のある動作を防ぐために各プログラムの動作を停止させる。操作部には、改ざんが行われたことをユーザに知らせるため、エラーコードなどを表示する。

しかし、この場合はプログラムが動作しないため、ユーザには復旧の術がなく、サービスマン等を呼んで修理を行う必要がある。それには、物理的なコストもかかってしまう上に、デバイスが利用できないダウンタイムが多く発生してしまう。

複数の起動プログラムを備え、改ざんされていない起動プログラムを使用してアップデートを実行することにより復旧を行うことも可能である。ただし、複数の起動プログラムのそれぞれで改ざんが検知された場合、復旧する術がなくなってしまう。

本発明の目的は、ソフトウェアモジュールの改ざんが行われていると判断された場合には、ソフトウェアモジュールを更新することができるようにすることである。

本発明の情報処理装置は、ブートプログラムの起動に応じて第１のソフトウェアモジュールを起動する第１の起動手段と、前記第１のソフトウェアモジュールが起動すると、第２のソフトウェアモジュールの改ざんの検証を行う第１の検証手段と、前記第２のソフトウェアモジュールの改ざんが行われていると判断された場合には、前記第２のソフトウェアモジュールの代わりに前記第２のソフトウェアモジュールのバックアップデータを上書きすることにより、前記第２のソフトウェアモジュールを更新する更新手段と、前記更新された第２のソフトウェアモジュールの改ざんの検証を行う第２の検証手段と、前記更新された第２のソフトウェアモジュールの改ざんが行われていないと判断された場合には、前記更新された第２のソフトウェアモジュールを起動する第２の起動手段とを有する。

本発明によれば、ソフトウェアモジュールの改ざんが行われていると判断された場合には、ソフトウェアモジュールを更新することができる。

複合機のハードウェア構成例を示す図である。複合機の機能構成例を示す図である。起動時の動作を示す図である。複合機の処理方法を示すフローチャートである。複合機の処理方法を示すフローチャートである。複合機の処理方法を示すフローチャートである。

（第１の実施形態）
以下では、図面を参照して第１の実施形態について説明する。なお、以下の実施形態は特許請求の範囲に係る本発明を限定するものでなく、また本実施形態で説明されている特徴の組み合わせの全てが本発明の解決手段に必須のものとは限らない。また、本実施形態に係る情報処理装置として複合機（デジタル複合機／ＭＦＰ／ＭｕｌｔｉＦｕｎｃｔｉｏｎＰｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら、情報処理装置は、複合機に限定されない。

図１は、第１の実施形態による複合機１００のハードウェア構成例を示す図である。複合機１００は、情報処理装置の一例である。複合機１００は、ＣＰＵ１０１、ＲＯＭ（Ｒｅａｄ-ＯｎｌｙＭｅｍｏｒｙ）１０２、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）１０３、およびＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）１０４を有する。さらに、複合機１００は、ネットワークＩ／Ｆ制御部１０５、スキャナＩ／Ｆ制御部１０６、プリンタＩ／Ｆ制御部１０７、パネル制御部１０８、スキャナ１１１、プリンタ１１２、埋め込みコントローラ１１３、フラッシュメモリ１１４およびＬＥＤ１１７を有する。埋め込みコントローラ１１３は、ＣＰＵ１１５およびＲＡＭ１１６を有する。

ＣＰＵ１０１は、複合機１００のソフトウェアモジュール（プログラム）を実行し、複合機１００の全体の制御を統括的に行う。ＲＯＭ１０２は、リードオンリーメモリであり、複合機１００のＢＩＯＳ（ＢａｓｉｃＩｎｐｕｔ/ＯｕｔｐｕｔＳｙｓｔｅｍ）と固定パラメータ等を格納している。ＲＡＭ１０３は、ランダムアクセスメモリであり、ＣＰＵ１０１が複合機１００を制御する際に、プログラムや一時的なデータなどを格納する。ＨＤＤ１０４は、ハードディスクドライブであり、一部のアプリケーションや、各種データを格納する。フラッシュメモリ１１４は、ローダー、カーネル、およびアプリケーションなどの各種モジュールを格納する。

埋め込みコントローラ１１３のＣＰＵ１１５は、埋め込みコントローラ１１３のソフトウェアモジュールを実行し、複合機１００における一部の制御を行う。ＲＡＭ１１６は、ランダムアクセスメモリであり、ＣＰＵ１１５が複合機１００を制御する際に、プログラムや一時的なデータなどを格納する。複合機１００は、埋め込みコントローラ１１３に対して、統括的に制御するメインコントローラを備える。当該メインコントローラは、少なくともＣＰＵ１０１、ＲＯＭ１０２、およびＲＡＭ１０３を含む。

ネットワークＩ／Ｆ制御部１０５は、ネットワーク１１８に対してデータの送受信を制御する。スキャナＩ／Ｆ制御部１０６は、スキャナ１１１による原稿の読み取りを制御する。プリンタＩ／Ｆ制御部１０７は、プリンタ１１２による印刷処理などを制御する。パネル制御部１０８は、タッチパネル式の操作パネル１１０を制御し、各種情報の表示、使用者からの指示入力を制御する。

バス１０９は、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、ＨＤＤ１０４、ネットワークＩ／Ｆ制御部１０５、スキャナＩ／Ｆ制御部１０６、およびプリンタＩ／Ｆ制御部１０７を相互に接続する。さらに、バス１０９は、パネル制御部１０８、埋め込みコントローラ１１３、およびフラッシュメモリ１１４を相互に接続する。ＣＰＵ１０１の制御信号や各構成要素のデータは、バス１０９を介して、送受信される。ＬＥＤ１１７は、必要に応じて点灯し、ソフトウェアやハードウェアの異常を外部に伝えるために利用される。

図２は、第１の実施形態による複合機１００の機能構成例を示す図である。複合機１００は、ソフトウェアモジュールとして、埋め込みコントローラ１１３内にブートプログラム２０９を含む。さらに、複合機１００は、ソフトウェアモジュールとして、ＢＩＯＳ２１０、ローダー２１１、カーネル２１２、Ｎａｔｉｖｅプログラム２１３、Ｊａｖａ（登録商標）プログラム２１４、ＵＩ制御部２０３、および通信管理部２０７を含む。さらに、複合機１００は、ソフトウェアモジュールとして、カーネル２２０、Ｎａｔｉｖｅプログラム２２２、およびバックアップデータ管理部２２６を含む。

通信管理部２０７は、ネットワーク１１８に接続されるネットワークＩ／Ｆ制御部１０５を制御して、ネットワーク１１８を介して外部とデータの送受信を行う。ＵＩ制御部２０３は、パネル制御部１０８を介して操作パネル１１０の入力操作信号を受信し、入力操作に応じた処理や操作パネル１１０への表示を行う。

ブートプログラム２０９は、複合機１００の電源を入れると、埋め込みコントローラ１１３のＣＰＵ１１５により実行されるプログラムであり、起動に関わる処理を実行する他に、ＢＩＯＳ２１０の改ざんの検証を行うＢＩＯＳ改ざん検知部２０１を有する。

ＢＩＯＳ２１０は、ブートプログラム２０９の実行後にＣＰＵ１０１により実行されるプログラムであり、起動に関わる処理を実行する他に、ローダー２１１の改ざんの検証を行うローダー改ざん検知部２０２を有する。

ローダー２１１は、ＢＩＯＳ２１０の処理が完了した後にＣＰＵ１０１により実行されるプログラムであり、起動に関わる処理を実行する他に、カーネル２２０の改ざんの検証を行うカーネル改ざん検知部２０４を有する。

カーネル２１２は、ローダー２１１の処理が完了した後にＣＰＵ１０１により実行されるプログラムであり、起動に関わる処理を実行する他に、Ｎａｔｉｖｅプログラム２１３の改ざんの検証を行うＮａｔｉｖｅ改ざん検知部２０５を有する。

Ｎａｔｉｖｅプログラム２１３は、ＣＰＵ１０１により実行されるプログラムであり、複合機１００のＪａｖａプログラム２１４と連携して各機能を提供する複数のプログラムからなる。例えば、Ｎａｔｉｖｅプログラム２１３は、スキャナＩ／Ｆ制御部１０６やプリンタＩ／Ｆ制御部１０６を制御するプログラムや起動プログラムなどである。カーネル２１２によってＮａｔｉｖｅプログラム２１３の中から起動プログラムが呼び出され、起動処理を実行する。また、Ｎａｔｉｖｅプログラム２１３は、プログラムの中の一つとしてＪａｖａプログラム２１４の改ざんの検証を行うＪａｖａプログラム改ざん検知部２０６を有する。

Ｊａｖａプログラム２１４は、ＣＰＵ１０１により実行されるプログラムであり、複合機１００のＮａｔｉｖｅプログラム２１３と連携して各機能を提供するプログラムである。例えば、Ｊａｖａプログラム２１４は、操作パネル１１０に画面を表示するプログラムなどである。

複合機１００は、複数の起動モードを有する。ローダー２１１は、操作パネル１１０を介したユーザ入力に従って起動するカーネル２１２または２２０を切り替える。カーネル２２０は、ＣＰＵ１０１により実行されるカーネル２１２とは異なるプログラムであり、起動に関わる処理を実行する他に、Ｎａｔｉｖｅプログラム２２２の改ざんの検証を行うプログラム改ざん検知部２２１を有する。

Ｎａｔｉｖｅプログラム２２２は、ＣＰＵ１０１により実行されるプログラムであり、プログラム更新処理部２２５を有し、複合機１００のアップデート機能を提供する。Ｎａｔｉｖｅプログラム２２２は、カーネル２２０によって呼び出され、カーネル２１２やＮａｔｉｖｅプログラム２１３、Ｊａｖａプログラム２１４をアップデートする機能を提供する。なお、Ｎａｔｉｖｅプログラム２２２は、アップデート機能に限らず、他の機能を提供するプログラムであってもよい。

バックアップデータ管理部２２６は、カーネル２２０やＮａｔｉｖｅプログラム２２２から呼び出され、指定された領域のバックアップデータを作成し、ＨＤＤ１０４やフラッシュメモリ１１４に保存する。また、バックアップデータ管理部２２６は、事前に保存されたバックアップデータを読み込み指定された領域に展開する。

図３（ａ）〜（ｄ）は、複合機１００の起動手順について説明するための図である。図３（ａ）は、複合機１００が改ざん検証を行わずに起動する順序を示す図である。ブートプログラム２０９がＢＩＯＳ２１０を起動し、ＢＩＯＳ２１０がローダー２１１を起動し、ローダー２１１がカーネル２１２を起動し、カーネル２１２がＮａｔｉｖｅプログラム２１３の中の起動プログラムを起動する。起動プログラムがＪａｖａプログラム２１４を起動し、以降はＮａｔｉｖｅプログラム２１３とＪａｖａプログラム２１４が連携して複合機１００の機能を提供する。このように、各ソフトウェアモジュールは、所定の順序で起動制御が行われ、前のソフトウェアモジュールの起動が完了すると、次のソフトウェアモジュールの起動処理が実行される。

図３（ｂ）は、複合機１００が改ざん検証を行いながら起動する順序を示す図である。複合機１００は、ブートプログラム２０９から、ＢＩＯＳ２１０、ローダー２１１、カーネル２１２、Ｎａｔｉｖｅプログラム２１３、Ｊａｖａプログラム２１４の順に改ざん検証を行いながら起動する。起動するモジュールの改ざん検証は、直前に起動されたソフトウェアモジュールが行う。例えば、ＢＩＯＳ２１０の改ざん検証は、ブートプログラム２０９が行う。

図３（ｂ）は、各ソフトウェアモジュールの保存場所、デジタル署名（以下、署名という）と署名を検証するための公開鍵（検証情報）の保存場所を表している。署名については、各ソフトウェアモジュールが自身の署名を有する。一方で、公開鍵が同一のソフトウェアモジュールについては、所定のソフトウェアモジュールが公開鍵を有する。ソフトウェアモジュールが他のソフトウェアモジュールの改ざんの検証を連続的に行うため、公開鍵を保持するソフトウェアモジュールと公開鍵を保持しないソフトウェアモジュールが存在する。これにより、メモリ資源を有効に利用することができる。

例えば、ＲＯＭ１０２にブートプログラム２０９とＢＩＯＳ２１０が保存され、フラッシュメモリ１１４にローダー２１１とカーネル２１２とＮａｔｉｖｅプログラム２１３とが保存されている。さらに、ＨＤＤ１０４にＪａｖａプログラム２１４が保存されている。

ブートプログラム２０９は、ＢＩＯＳ２１０の署名検証用の公開鍵３００を有する。ＢＩＯＳ２１０は、ＢＩＯＳ２１０の署名３０２とローダー２１１の署名検証用の公開鍵３０３を有する。ローダー２１１は、ローダー２１１の署名３０４とカーネル２１２の署名検証用の公開鍵３０５を有する。カーネル２１２は、カーネル２１２の署名３０６とＮａｔｉｖｅプログラム２１３の署名検証用の公開鍵３０７を有する。Ｎａｔｉｖｅプログラム２１３は、Ｎａｔｉｖｅプログラム２１３の署名３０９とＪａｖａプログラム２１４の署名検証用の公開鍵３０８を有する。Ｊａｖａプログラム２１４は、Ｊａｖａプログラム２１４の署名３１０を有する。これらの公開鍵と署名は、予め複合機１００の工場出荷前にソフトウェアモジュールに対して付与されることが望ましい。ＢＩＯＳ改ざん検知部２０１、ローダー改ざん検知部２０２、カーネル改ざん検知部２０４、プログラム改ざん検知部２０５およびＪａｖａプログラム改ざん検知部２０６が、次に起動する各ソフトウェアモジュールを検証する。改ざんがなければ、次のソフトウェアモジュールが起動される。

図３（ｃ）は、複合機１００がカーネル２２０を起動する場合の起動手順を説明するための図である。ブートプログラム２０９がＢＩＯＳ２１０を起動し、ＢＩＯＳ２１０がローダー２１１を起動する。ローダー２１１はカーネル２２０を起動し、カーネル２２０がＮａｔｉｖｅプログラム２２２の中の起動プログラムを起動する。ローダー２１１は、操作パネル１１０を介したユーザ入力に従って起動するカーネル２１２または２２０を切り替える。カーネル２２０は、ＣＰＵ１０１により実行されるカーネル２１２とは異なるプログラムであり、起動に関わる処理を実行する他に、Ｎａｔｉｖｅプログラム２２２の改ざんの検証を行うプログラム改ざん検知部２２１を有する。

図３（ｄ）は、ローダー２１１によってカーネル２１２とカーネル２２０のどちらが起動するかによって改ざん検証する対象を切り替えて起動する処理の流れを説明するための図である。ブートプログラム２０９がＢＩＯＳ２１０を起動し、ＢＩＯＳ２１０がローダー２１１を起動する。ブートプログラム２０９からローダー２１１までの起動処理については、図３（ｂ）と同様である。

ローダー２１１は、ローダー２１１の署名３０４と、カーネル２１２の署名検証用の公開鍵３０５と、カーネル２２０の署名検証用の公開鍵３４０を有する。カーネル２２０は、カーネル２２０の署名３４１と、Ｎａｔｉｖｅプログラム２２２の署名検証用の公開鍵３４２を有する。Ｎａｔｉｖｅプログラム２２２は、Ｎａｔｉｖｅプログラム２２２の署名３４３を有する。これらの公開鍵と署名は、予め複合機１００の工場出荷前にソフトウェアモジュールに対して付与されることが望ましい。このように、ローダー２１１は、次に起動可能な複数のカーネル２１２および２２０のそれぞれの公開鍵（検証情報）を有する。

ローダー２１１は、操作パネル１１０を介してカーネル２２０が起動対象として選択されたか否かを判定する。カーネル２２０が選択されると、ローダー２１１に含まれるカーネル改ざん検知部２０４は、フラッシュメモリ１１４からカーネル２２０とＮａｔｉｖｅプログラム２２２の署名検証用の公開鍵３４２とカーネル２２０の署名３４１をＲＡＭ１０３に読み込む。カーネル改ざん検知部２０４は、カーネル２２０の署名検証用の公開鍵３４２を用いて、カーネル２２０の署名３４１の検証を行い、成功したか否かを判定する。署名の検証に成功した場合、カーネル改ざん検知部２２１は、処理を終了し、ローダー２１１がＲＡＭ１０３に読み込まれたカーネル２２０を起動する。

カーネル２２０は、起動されると、各種初期化処理を行う。カーネル２２０に含まれるプログラム改ざん検知部２２１は、フラッシュメモリ１１４からＮａｔｉｖｅプログラム２２２とＮａｔｉｖｅプログラム２２２の署名３４３をＲＡＭ１０３に読み込む。プログラム改ざん検知部２２１は、Ｎａｔｉｖｅプログラム２２２の署名検証用の公開鍵３４２を用いて、Ｎａｔｉｖｅプログラム２２２の署名３４３の検証を行い、成功したか否かを判定する。署名の検証に成功した場合、プログラム改ざん検知部２２１は、処理を終了し、Ｎａｔｉｖｅプログラム２２２を起動する。Ｎａｔｉｖｅプログラム２２２は、起動すると、アップデート機能をユーザに提供する。

図４は、複合機１００の起動時の処理方法を示すフローチャートであり、改ざん検証処理手順を示す。複合機１００に電源が投入されると、ＲＯＭ１０２からＲＡＭ１１６にブートプログラム２０９が読み込まれ、ＣＰＵ１１５は、ブートプログラム２０９を起動する。

ステップＳ４０１では、ブートプログラム２０９に含まれるＢＩＯＳ改ざん検知部２０１は、検証部として機能し、ＢＩＯＳ２１０の署名３０２の検証を行い、成功したか否かを判定する。具体的には、ＢＩＯＳ改ざん検知部２０１は、フラッシュメモリ１１４からＢＩＯＳ２１０とローダー２１１の署名検証用の公開鍵３０３とＢＩＯＳ２１０の署名３０２をＲＡＭ１１６に読み込む。さらに、ＢＩＯＳ改ざん検知部２０１は、ＢＩＯＳ２１０の署名検証用の公開鍵３００を用いて、ＢＩＯＳ２１０の署名３０２の検証を行い、成功したか否かを判定する。ＢＩＯＳ改ざん検知部２０１は、署名３０２の検証に失敗した場合には、ＢＩＯＳ２１０の改ざんが行われていると判断し、ステップＳ４０３に進む。一方、ＢＩＯＳ改ざん検知部２０１は、署名３０２の検証に成功した場合には、ＢＩＯＳ２１０の改ざんが行われていないと判断し、ＣＰＵ１０１に通電し、ブートプログラムの処理を終了し、ＣＰＵ１０１によって実行されるステップＳ４０２に進む。

ステップＳ４０３では、ＢＩＯＳ改ざん検知部２０１は、ＬＥＤ１１７を点灯させ、図４の処理を終了する。

ステップＳ４０２では、ＣＰＵ１０１は、起動部として機能し、フラッシュメモリ１１４からＢＩＯＳ２１０とローダー２１１の署名検証用の公開鍵３０３をＲＡＭ１０３に読み込み、ＢＩＯＳ２１０を起動し、ステップＳ４０４に進む。以降の処理は、すべてＣＰＵ１０１によって処理される。

ステップＳ４０４では、ＣＰＵ１０１は、ＢＩＯＳ２１０により、各種初期化処理を実行する。ＢＩＯＳ２１０に含まれるローダー改ざん検知部２０２は、フラッシュメモリ１１４からローダー２１１とカーネル２１２の署名検証用の公開鍵３０５とローダー２１１の署名３０４をＲＡＭ１０３に読み込む。さらに、ローダー改ざん検知部２０２は、検証部として機能し、ローダー２１１の署名検証用の公開鍵３０５を用いて、ローダー２１１の署名３０４の検証を行い、成功したか否かを判定する。ローダー改ざん検知部２０２は、署名３０４の検証に失敗した場合には、ローダー２１１の改ざんが行われていると判断し、ステップＳ４１３に進む。一方、ローダー改ざん検知部２０２は、署名３０４の検証に成功した場合には、ローダー２１１の改ざんが行われていないと判断し、ステップＳ４０５に進む。

ステップＳ４１３では、ローダー改ざん検知部２０２は、表示制御部として機能し、操作パネル１１０にエラーメッセージを表示するように制御し、図４の処理を終了する。

ステップＳ４０５では、ＣＰＵ１０１は、起動部として機能し、ＢＩＯＳ２１０により、ＲＡＭ１０３に読み込まれたローダー２１１を起動し、ステップＳ４０６に進む。

ステップＳ４０６では、ＣＰＵ１０１は、ローダー２１１により、操作パネル１１０を介してカーネル２２０が起動対象として選択されたか否かを判定する。ＣＰＵ１０１は、カーネル２２０が起動対象として選択されなかった場合には、ステップＳ４０７に進み、カーネル２２０が起動対象として選択された場合には、ステップＳ４１４に進む。

なお、ユーザ操作によってカーネル２１２または２２０の切り替えを行う場合に限定されない。カーネル２１２または２２０の切り替えは、複合機１００の内部に保持するフラグや、複合機１００のエラー発生有無等によって行ってもよい。ＣＰＵ１０１は、通常の起動の場合にはステップＳ４０７に進み、カーネル２２０を起動する場合にはステップＳ４１４に進む。

ステップＳ４０７では、ＣＰＵ１０１は、ローダー２１１により、各種初期化処理を実行する。ローダー２１１に含まれるカーネル改ざん検知部２０４は、フラッシュメモリ１１４からカーネル２１２とＮａｔｉｖｅプログラム２１３の署名検証用の公開鍵３０７とカーネル２１２の署名３０６をＲＡＭ１０３に読み込む。カーネル改ざん検知部２０４は、検証部として機能し、カーネル２１２の署名検証用の公開鍵３０５を用いて、カーネル２１２の署名３０６の検証を行い、成功したか否かを判定する。カーネル改ざん検知部２０４は、署名３０６の検証に失敗した場合には、カーネル２１２の改ざんが行われていると判断し、ステップＳ４１３に進み、操作パネル１１０にエラーメッセージを表示するように制御し、図４の処理を終了する。一方、カーネル改ざん検知部２０４は、署名３０６の検証に成功した場合に、カーネル２１２の改ざんが行われていないと判断し、ステップＳ４０８に進む。

ステップＳ４０８では、ＣＰＵ１０１は、起動部として機能し、ローダー２１１により、ＲＡＭ１０３に読み込まれたカーネル２１２を起動し、ステップＳ４０９に進む。

ステップＳ４０９では、ＣＰＵ１０１は、カーネル２１２により、各種初期化処理を実行する。カーネル２１２に含まれるプログラム改ざん検知部２０５は、フラッシュメモリ１１４からＮａｔｉｖｅプログラム２１３とＪａｖａプログラム２１４の署名検証用の公開鍵３０８とＮａｔｉｖｅプログラム２１３の署名３０９をＲＡＭ１０３に読み込む。プログラム改ざん検知部２０５は、検証部として機能し、Ｎａｔｉｖｅプログラム２１３の署名検証用の公開鍵３０７を用いて、Ｎａｔｉｖｅプログラム２１３の署名３０９の検証を行い、成功したか否かを判定する。プログラム改ざん検知部２０５は、署名３０９の検証に失敗した場合には、Ｎａｔｉｖｅプログラム２１３の改ざんが行われていると判断し、ステップＳ４１３に進み、操作パネル１１０にエラーメッセージを表示するように制御し、図４の処理を終了する。一方、プログラム改ざん検知部２０５は、署名３０９の検証に成功した場合には、Ｎａｔｉｖｅプログラム２１３の改ざんが行われていないと判断し、ステップＳ４１０に進む。

ステップＳ４１０では、ＣＰＵ１０１は、起動部として機能し、カーネル２１２により、Ｎａｔｉｖｅプログラム２１３を起動し、ステップＳ４１１に進む。

ステップＳ４１１では、Ｎａｔｉｖｅプログラム２１３に含まれるＪａｖａプログラム改ざん検知部２０６は、ＨＤＤ１０４からＪａｖａプログラム２１４とＪａｖａプログラム２１４の署名３１０をＲＡＭ１０３に読み込む。Ｊａｖａプログラム改ざん検知部２０６は、検証部として機能し、Ｊａｖａプログラム２１４の署名検証用の公開鍵３０８を用いて、Ｊａｖａプログラム２１４の署名３１０の検証を行い、成功したか否かを判定する。Ｊａｖａプログラム改ざん検知部２０６は、署名３１０の検証に失敗した場合には、Ｊａｖａプログラム２１４の改ざんが行われていると判断し、ステップＳ４１３に進み、操作パネル１１０にエラーメッセージを表示するように制御し、図４の処理を終了する。一方、Ｊａｖａプログラム改ざん検知部２０６は、署名３１０の検証に成功した場合には、Ｊａｖａプログラム２１４の改ざんが行われていないと判断し、ステップＳ４１２に進む。

ステップＳ４１２では、ＣＰＵ１０１は、起動部として機能し、Ｎａｔｉｖｅプログラム２１３により、Ｊａｖａプログラム２１４を起動し、図４の処理を終了する。

ステップＳ４１４では、ＣＰＵ１０１は、ローダー２１１により、各種初期化処理を実行する。ローダー２１１に含まれるカーネル改ざん検知部２０４は、フラッシュメモリ１１４からカーネル２２０とＮａｔｉｖｅプログラム２２２の署名検証用の公開鍵３４２とカーネル２２０の署名３４１をＲＡＭ１０３に読み込む。カーネル改ざん検知部２０４は、検証部として機能し、カーネル２２０の署名検証用の公開鍵３４０を用いて、カーネル２２０の署名３４１の検証を行い、成功したか否かを判定する。カーネル改ざん検知部２０４は、署名３４１の検証に失敗した場合には、カーネル２２０の改ざんが行われていると判断し、ステップＳ４１３に進み、操作パネル１１０にエラーメッセージを表示するように制御し、図４の処理を終了する。一方、カーネル改ざん検知部２０４は、署名３４１の検証に成功した場合には、カーネル２２０の改ざんが行われていないと判断し、ステップＳ４１５に進む。

ステップＳ４１５では、ＣＰＵ１０１は、起動部として機能し、ローダー２１１により、ＲＡＭ１０３に読み込まれたカーネル２２０を起動し、ステップＳ４１６に進む。

ステップＳ４１６では、ＣＰＵ１０１は、カーネル２２０により、各種初期化処理を実行する。カーネル２２０に含まれるプログラム改ざん検知部２２１は、フラッシュメモリ１１４からＮａｔｉｖｅプログラム２２２とＮａｔｉｖｅプログラム２２２の署名３４３をＲＡＭ１０３に読み込む。プログラム改ざん検知部２２１は、検証部として機能し、Ｎａｔｉｖｅプログラム２２２の署名検証用の公開鍵３４２を用いて、Ｎａｔｉｖｅプログラム２２２の署名３４３の検証を行い、成功したか否かを判定する。プログラム改ざん検知部２２１は、署名３４３の検証に失敗した場合には、Ｎａｔｉｖｅプログラム２２２の改ざんが行われていると判断し、ステップＳ４１３に進み、操作パネル１１０にエラーメッセージを表示するように制御し、図４の処理を終了する。一方、プログラム改ざん検知部２２１は、署名３４３の検証に成功した場合には、Ｎａｔｉｖｅプログラム２２２の改ざんが行われていないと判断し、ステップＳ４１７に進む。

ステップＳ４１７では、ＣＰＵ１０１は、起動部として機能し、カーネル２２０により、Ｎａｔｉｖｅプログラム２２２を起動し、図４の処理を終了する。

図５は、複合機１００の起動時の復旧処理手順を示すフローチャートである。ステップＳ４０１〜Ｓ４０５、Ｓ４１３〜Ｓ４１７の処理は、図４のものと同様であるため、説明を省略する。

ステップＳ４１６では、ＣＰＵ１０１は、カーネル２２０により、各種初期化処理を行う。カーネル２２０に含まれるプログラム改ざん検知部２２１は、フラッシュメモリ１１４からＮａｔｉｖｅプログラム２２２とＮａｔｉｖｅプログラム２２２の署名３４３をＲＡＭ１０３に読み込む。プログラム改ざん検知部２２１は、Ｎａｔｉｖｅプログラム２２２の署名検証用の公開鍵３４２を用いて、Ｎａｔｉｖｅプログラム２２２の署名３４３の検証を行い、成功したか否かを判定する。プログラム改ざん検知部２２１は、署名３４３の検証に成功した場合には、ステップＳ４１７に進み、ＣＰＵ１０１は、カーネル２２０により、Ｎａｔｉｖｅプログラム２２２を起動する。Ｎａｔｉｖｅプログラム２２２は、起動すると、アップデート機能をユーザに提供する。一方、プログラム改ざん検知部２２１は、署名３４３の検証に失敗した場合には、Ｎａｔｉｖｅプログラム２２２の改ざんが行われていると判断し、ステップＳ５０１に進む。

ステップＳ５０１では、ＣＰＵ１０１は、検証に失敗したＮａｔｉｖｅプログラム２２２を復旧するため、カーネル２２０により、バックアップデータ管理部２２６を用いて、Ｎａｔｉｖｅプログラム２２２の更新を行う。バックアップデータ管理部２２６は、ＨＤＤ１０４またはフラッシュメモリ１１４の特定領域から、Ｎａｔｉｖｅプログラム２２２のバックアップデータを読み込む。バックアップデータ管理部２２６は、更新部として機能し、フラッシュメモリ１１４に保存されたＮａｔｉｖｅプログラム２２２の代わりにＮａｔｉｖｅプログラム２２２のバックアップデータを上書きすることにより、Ｎａｔｉｖｅプログラム２２２を更新する。その後、バックアップデータ管理部２２６は、ステップＳ５０２に進む。

Ｎａｔｉｖｅプログラム２２２のバックアップデータは、複合機１００が生産された段階で、ＨＤＤ１０４またはフラッシュメモリ１１４に書き込まれており、アップデートなどによって書き換えがされない領域に保存されている。

ステップＳ５０２では、ＣＰＵ１０１は、カーネル２２０により、更新されたＮａｔｉｖｅプログラム２２２の改ざんの検証を行う。具体的には、カーネル２２０に含まれるプログラム改ざん検知部２２１は、フラッシュメモリ１１４から更新されたＮａｔｉｖｅプログラム２２２と更新されたＮａｔｉｖｅプログラム２２２の署名３４３をＲＡＭ１０３に読み込む。プログラム改ざん検知部２２１は、検証部として機能し、Ｎａｔｉｖｅプログラム２２２の署名検証用の公開鍵３４２を用いて、更新されたＮａｔｉｖｅプログラム２２２の署名３４３の検証を行い、成功したか否かを判定する。プログラム改ざん検知部２２１は、署名３４３の検証に失敗した場合に、更新されたＮａｔｉｖｅプログラム２２２の改ざんが行われていると判断し、ステップＳ４１３に進み、操作パネル１１０にエラーメッセージを表示するように制御し、図５の処理を終了する。一方、プログラム改ざん検知部２２１は、署名３４３の検証に成功した場合には、更新されたＮａｔｉｖｅプログラム２２２の改ざんが行われていないと判断し、ステップＳ５０３に進む。

ステップＳ５０３では、ＣＰＵ１０１は、起動部として機能し、カーネル２２０により、更新されたＮａｔｉｖｅプログラム２２２を起動し、図５の処理を終了する。Ｎａｔｉｖｅプログラム２２２は、アップデート機能を持ち、この機能を利用することで、Ｎａｔｉｖｅプログラム２２２の改ざんが行われていると判断された場合でも、バックアップデータにより復旧を行うことができる。

以上説明したように、複合機１００は、複数の起動モードにおいて、Ｎａｔｉｖｅプログラム２２２の改ざんが行われていると判断された場合でも、バックアップデータを書き戻すことにより、復旧を実行することができる。

（第２の実施形態）
次に、第２の実施形態の複合機１００について説明する。第１の実施形態では、Ｎａｔｉｖｅプログラム２２２のバックアップデータは、複合機１００の製造時に書き込まれる。複合機１００のソフトウェアモジュールは、日々アップデートによって更新されていくため、製造時に作成したバックアップデータでは、復旧に十分な機能を持たなくなってしまう可能性がある。そのため、第２の実施形態では、複合機１００は、最新のＮａｔｉｖｅプログラム２２２を必要に応じて更新する。

図６は、第２の実施形態による複合機１００の起動時のＮａｔｉｖｅプログラム２２２の更新処理手順を示すフローチャートである。ステップＳ４０１からＳ４１７については、図４のものと同様でるため、説明を省略する。

ステップＳ４１６において、プログラム改ざん検知部２２１は、Ｎａｔｉｖｅプログラム２２２の署名３４３の検証に成功した場合には、Ｎａｔｉｖｅプログラム２２２の改ざんが行われていないと判断し、ステップＳ６０１に進む。

ステップＳ６０１では、ＣＰＵ１０１は、カーネル２２０により、バックアップデータ管理部２２６を用い、すでにＮａｔｉｖｅプログラム２２２のバックアップデータが存在するか否かを判定する。バックアップデータ管理部２２６は、Ｎａｔｉｖｅプログラム２２２のバックアップデータがすでに存在する場合には、ステップＳ６０２に進み、Ｎａｔｉｖｅプログラム２２２のバックアップデータが存在しない場合には、ステップＳ６０３に進む。

ステップＳ６０２では、バックアップデータ管理部２２６は、Ｎａｔｉｖｅプログラム２２２がＮａｔｉｖｅプログラム２２２のバックアップデータと同じであるか否かを判定する。具体的には、バックアップデータ管理部２２６は、Ｎａｔｉｖｅプログラム２２２のバージョンがＮａｔｉｖｅプログラム２２２のバックアップデータのバージョンと同じであるか否かを判定する。バックアップデータ管理部２２６は、両者のバージョンが同じである場合には、Ｎａｔｉｖｅプログラム２２２がＮａｔｉｖｅプログラム２２２のバックアップデータと同じであると判断し、ステップＳ４１７に進む。一方、バックアップデータ管理部２２６は、両者のバージョンが異なる場合には、Ｎａｔｉｖｅプログラム２２２がＮａｔｉｖｅプログラム２２２のバックアップデータと異なると判断し、ステップＳ６０３に進む。

ステップＳ６０３では、バックアップデータ管理部２２６は、フラッシュメモリ１１４からＮａｔｉｖｅプログラム２２２を読み込む。そして、バックアップデータ管理部２２６は、書き込み部として機能し、そのＮａｔｉｖｅプログラム２２２をＮａｔｉｖｅプログラム２２２のバックアップデータとしてＨＤＤ１０４またはフラッシュメモリ１１４に書き込み、ステップＳ４１７に進む。この際、バックアップデータ管理部２２６は、Ｎａｔｉｖｅプログラム２２２のバックアップデータを圧縮してもよい。

ステップＳ４１７では、ＣＰＵ１０１は、起動部として機能し、カーネル２２０により、Ｎａｔｉｖｅプログラム２２２を起動し、図６の処理を終了する。

以上説明したように、第２の実施形態によれば、複合機１００は、適切にバックアップデータを更新しながら、第１の実施形態と同等の効果を奏することができる。

複合機１００は、第１および第２の実施形態に限らず、様々な変形が可能である。第１および第２の実施形態では、公開鍵が異なるものがあるとして説明したが、同じものがあってもよい。また、各ソフトウェアモジュールの保存場所として、ＲＯＭ１０２、フラッシュメモリ１１４、およびＨＤＤ１０４があるものとして説明したが、別の記憶媒体があってもよい。また、ソフトウェアモジュールの保存場所が説明した箇所でなくてもよい。例えば、ＲＯＭ１０２上にローダー２１１を記憶する構成であってもよい。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

なお、上記実施形態は、何れも本発明を実施するにあたっての具体化の例を示したものに過ぎず、これらによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその技術思想、又はその主要な特徴から逸脱することなく、様々な形で実施することができる。

１００複合機、１１３埋め込みコントローラ、２０１ＢＩＯＳ改ざん検知部、２０２ローダー改ざん検知部、２０４カーネル改ざん検知部、２０５プログラム改ざん検知部、２０６Ｊａｖａプログラム改ざん検知部、２０９ブートプログラム、２１０ＢＩＯＳ、２１１ローダー、２１２カーネル、２１３Ｎａｔｉｖｅプログラム、２１４Ｊａｖａプログラム、２２０カーネル、２２１プログラム改ざん検知部、２２２Ｎａｔｉｖｅプログラム、２２６バックアップデータ管理部

Claims

ブートプログラムの起動に応じて第１のソフトウェアモジュールを起動する第１の起動手段と、
前記第１のソフトウェアモジュールが起動すると、第２のソフトウェアモジュールの改ざんの検証を行う第１の検証手段と、
前記第２のソフトウェアモジュールの改ざんが行われていると判断された場合には、前記第２のソフトウェアモジュールの代わりに前記第２のソフトウェアモジュールのバックアップデータを上書きすることにより、前記第２のソフトウェアモジュールを更新する更新手段と、
前記更新された第２のソフトウェアモジュールの改ざんの検証を行う第２の検証手段と、
前記更新された第２のソフトウェアモジュールの改ざんが行われていないと判断された場合には、前記更新された第２のソフトウェアモジュールを起動する第２の起動手段と
を有することを特徴とする情報処理装置。
前記第２のソフトウェアモジュールの改ざんが行われていないと判断された場合には、前記第２のソフトウェアモジュールを前記第２のソフトウェアモジュールのバックアップデータとして書き込む書き込み手段をさらに有することを特徴とする請求項１に記載の情報処理装置。
前記書き込み手段は、前記第２のソフトウェアモジュールのバックアップデータが存在しない場合には、前記第２のソフトウェアモジュールを前記第２のソフトウェアモジュールのバックアップデータとして書き込むことを特徴とする請求項２に記載の情報処理装置。
前記書き込み手段は、前記第２のソフトウェアモジュールのバックアップデータが存在し、前記第２のソフトウェアモジュールが前記第２のソフトウェアモジュールのバックアップデータと異なる場合には、前記第２のソフトウェアモジュールを前記第２のソフトウェアモジュールのバックアップデータとして書き込むことを特徴とする請求項２または３に記載の情報処理装置。
前記第２のソフトウェアモジュールの改ざんが行われていないと判断された場合には、前記第２のソフトウェアモジュールを起動する第３の起動手段をさらに有することを特徴とする請求項１〜４のいずれか１項に記載の情報処理装置。
前記第２のソフトウェアモジュールのバックアップデータの改ざんが行われていると判断された場合には、エラーメッセージを表示するように制御する表示制御手段をさらに有することを特徴とする請求項１〜５のいずれか１項に記載の情報処理装置。
ブートプログラムの起動に応じて第３のソフトウェアモジュールを起動する第４の起動手段と、
前記第３のソフトウェアモジュールが起動すると、第１の場合には、前記第１のソフトウェアモジュールの改ざんの検証を行う第３の検証手段と、
前記第３のソフトウェアモジュールが起動すると、第２の場合には、前記第４のソフトウェアモジュールの改ざんの検証を行う第４の検証手段と、
前記第４のソフトウェアモジュールの改ざんが行われていないと判断された場合には、第５のソフトウェアモジュールを起動する第５の起動手段とを有し、
前記第１の起動手段は、前記第１のソフトウェアモジュールの改ざんが行われていないと判断された場合には、前記第１のソフトウェアモジュールを起動することを特徴とする請求項１〜６のいずれか１項に記載の情報処理装置。
前記第１の検証手段は、第１の公開鍵を用いて、前記第２のソフトウェアモジュールの署名の検証を行い、
前記第２の検証手段は、前記第１の公開鍵を用いて、前記更新された第２のソフトウェアモジュールの署名の検証を行うことを特徴とする請求項１〜７のいずれか１項に記載の情報処理装置。
ブートプログラムの起動に応じて第１のソフトウェアモジュールを起動する第１の起動ステップと、
前記第１のソフトウェアモジュールが起動すると、第２のソフトウェアモジュールの改ざんの検証を行う第１の検証ステップと、
前記第２のソフトウェアモジュールの改ざんが行われていると判断された場合には、前記第２のソフトウェアモジュールの代わりに前記第２のソフトウェアモジュールのバックアップデータを上書きすることにより、前記第２のソフトウェアモジュールを更新する更新ステップと、
前記更新された第２のソフトウェアモジュールの改ざんの検証を行う第２の検証ステップと、
前記更新された第２のソフトウェアモジュールの改ざんが行われていないと判断された場合には、前記更新された第２のソフトウェアモジュールを起動する第２の起動ステップと
を有することを特徴とする情報処理装置の処理方法。
コンピュータを、請求項１〜８のいずれか１項に記載された情報処理装置の各手段として機能させるためのプログラム。