JP2021117589A - 情報処理装置、情報処理装置の処理方法およびプログラム - Google Patents

Abstract

【課題】プログラムの改ざん前の設定データと同様の設定データを復元する情報処理装置、情報処理装置の処理方法およびプログラムを提供する。【解決手段】情報処理装置（画像形成装置）は、設定データを基に設定データのバックアップデータを生成する生成手段と、プログラムの改ざんの検知の有無を判定しＳ６０１、プログラムの改ざんを検知したと判定した場合には、プログラムを更新しＳ６０２、設定データのバックアップデータを新たな設定データとして上書きするＳ６０４。【選択図】図６

Description

本発明は、情報処理装置、情報処理装置の処理方法およびプログラムに関する。

ソフトウェアの脆弱性をついてソフトウェアを改ざんし、コンピュータを悪用する攻撃が問題となっている。そういった攻撃の対策として、プログラムに署名を施して保存しておき、起動するたびにプログラムの署名を検証することで、改ざんの有無を検知する方法が知られている。また、プログラムを部分的に交換可能にするためにモジュール化し、各モジュールに対して署名を検証する処理や検証するのに必要な鍵情報を内包して格納する方法や、起動時に各プログラムの正解値が一致するか検証する方法が知られている（特許文献１参照）。

さらに、画像形成装置の稼働中にランタイムで改ざん検知を行うための方法として、ホワイトリスト方式を用いた改ざん検知手法が知られている。ホワイトリスト方式は、使用可能なファームウェアの個々のファイルの検証データを予め保管し、ファームウェアの使用時に検証データを用いて当該ファームウェアの改ざんを検証し、正しいファームウェアだけを使用可能とする方法である。ここでいう検証データとは、ファームウェアの一意性を確認するために、ファームウェアが格納された個々のファイルのバイナリデータから、ハッシュ関数を用いて作成されたハッシュ値を用いるのが一般的である。ハッシュ関数を用いることは、ある値からハッシュ値を作成した際に、ハッシュ値を変更せずに元の値を改変することが不可能であるという特徴があり、正しいファームウェアであるかどうかの改ざん検証に使用することが可能である。

近年、ネットワーク経由でプログラム配信サーバに接続される画像形成装置が増加し、ファームウェアのアップデートの際には、サーバ側に登録された多数のファームウェアの中から、適用可能なファームウェアを自動的に選択して受信することが可能になっている。また、定期的に最新のファームウェアをサーバに問い合わせて、自動的にアップデート処理を実行する方法が知られている（特許文献２参照）。

特開２０１９−７５０００号公報 特開２０１３−２４０９４６号公報

起動時にプログラムの改ざんを検知した場合、悪意のある動作を防ぐために各プログラムの動作を停止させ、操作部には改ざんが検知されたことをユーザに知らせるため、エラーコードなどを表示する。改ざんされたプログラムの復旧には、正常なプログラムへの書き換えが必要となる。さらには、プログラムの改ざんにより、各プログラムにて使用される各種設定データ、例えばネットワーク設定やファックス設定やアドレス帳の設定が悪意のある設定に改ざんされている可能性がある。そのため、ユーザによる各種設定データの再設定や初期化が必要となり、復旧作業に時間がかかる。

本発明の目的は、プログラムの改ざん前の設定データと同様の設定データを復元することができるようにすることである。

本発明の情報処理装置は、設定データを基に設定データのバックアップデータを生成する生成手段と、プログラムの改ざんの検知の有無を判定する第１の判定手段と、前記第１の判定手段によりプログラムの改ざんを検知したと判定された場合には、前記プログラムを更新し、前記設定データのバックアップデータを新たな設定データとして上書きする更新手段とを有する。

本発明によれば、プログラムの改ざん前の設定データと同様の設定データを復元することができる。

画像形成装置のハードウェア構成例を示す図である。 画像形成装置の機能構成例を示す図である。 画像形成装置の機能構成例を示す図である。 改ざん検知処理を示す図である。 設定データのバックアップ処理を示すフローチャートである。 改ざん検知時の復旧処理を示すフローチャートである。 設定データのバックアップ処理を示すフローチャートである。 設定データのバックアップ情報を示す図である。 改ざん検知時の復旧処理を示すフローチャートである。

以下、本発明を実施するための形態について図面を用いて説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものでなく、また実施形態で説明されている特徴の組み合わせの全てが発明の解決手段に必須のものとは限らない。

（第１の実施形態）
図１は、第１の実施形態による画像形成装置１００のハードウェア構成例を示すブロック図である。画像形成装置１００は、情報処理装置の一例である。画像形成装置１００は、メインコントローラ１１０と、操作部ユニット１３０と、プリンタユニット１４０と、スキャナユニット１５０を有する。メインコントローラ１１０は、ＣＰＵ１１１と、ＲＯＭ１１２と、ＲＡＭ１１３と、フラッシュメモリ１１４と、ＨＤＤ１１５と、埋め込みコントローラ１１６を有する。さらに、メインコントローラ１１０は、操作部Ｉ／Ｆ１１９と、プリンタＩ／Ｆ１２１と、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２と、ネットワークＩ／Ｆ１２３を有する。

ＣＰＵ１１１は、ＲＯＭ１１２やフラッシュメモリ１１４に記憶されたメインコントローラ１１０用のプログラムをＲＡＭ１１３に読み出して実行する。ＲＯＭ１１２は、リードオンリーメモリであり、メインコントローラ１１０のブートプログラム、ＢＩＯＳおよび固定パラメータ等を格納している。ＲＡＭ１１３は、ランダムアクセスメモリであり、ＣＰＵ１１１がメインコントローラ１１０を制御する際に、プログラムや一時的なデータなどを格納する。

フラッシュメモリ１１４は、ローダー、カーネルおよびアプリケーションを格納する。また、フラッシュメモリ１１４には、実行プログラムの他に、画像形成装置１００の機能を有効にするためのライセンス情報、プログラムの改ざん検知の検証のために使用する署名および公開鍵が記憶されている。ＨＤＤ１１５は、ハードディスクドライブであり、一部のアプリケーション、各種データ、および、ネットワークＩ／Ｆ１２３を介してＰＣ１９０から受信した印刷データを記憶する。

埋め込みコントローラ１１６は、ＣＰＵ１１７とＲＡＭ１１８を有する。ＣＰＵ１１７は、埋め込みコントローラ１１６のプログラムを実行し、メインコントローラ１１０の中の一部の制御を行う。ＲＡＭ１１８は、埋め込みコントローラ１１６内のランダムアクセスメモリであり、ＣＰＵ１１７がメインコントローラ１１０を制御する際に、プログラムや一時的なデータなどを格納する。

フラッシュメモリ１１４から読み出されＣＰＵ１１１により実行されるプログラムには、プリント用アプリケーションプログラムが含まれる。そして、このプリント用アプリケーションプログラムにより、ＨＤＤ１１５に記憶された印刷データは、プリンタユニット１４０によるプリントが可能な画像データに変換される。それらの画像データは、ＨＤＤ１１５に記憶される。

また、フラッシュメモリ１１４から読み出されＣＰＵ１１１により実行されるファームウェアには、スキャン用アプリケーションプログラムが含まれる。そして、このスキャン用アプリケーションプログラムにより、スキャナユニット１５０により画像データが読み取られるとともに、読み取られた画像データがＨＤＤ１１５に転送される。そして、ＨＤＤ１１５には、読み取られた画像データが記憶される。

操作部Ｉ／Ｆ１１９は、操作部ユニット１３０を介して画像形成装置１００の使用者により入力される指示をＣＰＵ１１１に伝達するためのインターフェースである。また、操作部Ｉ／Ｆ１１９は、操作部ユニット１３０に表示する内容を切り替えるための処理内容をＣＰＵ１１１から受信して操作部ユニット１３０に伝達する。なお、操作部ユニット１３０は、タッチパネル機能を有する液晶表示部やキーボードなどを有し、画像形成装置１００の状態や操作メニューを表示し、使用者の指示を受け付ける。

プリンタＩ／Ｆ１２０は、メインコントローラ１１０とプリンタユニット１４０を接続するためのインターフェースである。ここで、プリンタユニット１４０は、プリンタＩ／Ｆ１２０を介してＨＤＤ１１５から転送される画像データに基づいて記録媒体上にプリントを行う。

スキャナＩ／Ｆ１２１は、メインコントローラ１１０とスキャナユニット１５０を接続するためのインターフェースである。ここで、スキャナユニット１５０は、ＣＣＤ（ＣｈａｒｇｅＣｏｕｐｌｅｄＤｅｖｉｃｅ）等により構成されるラインセンサを用いて、原稿上の画像を画像データとして読み取る。そして、スキャナユニット１５０は、読み取った画像データをスキャナＩ／Ｆ１２１を介してＨＤＤ１１５へ転送する。ＨＤＤ１１５へ転送され、記憶された画像データは、前述したプリンタユニット１４０によりプリントすることが可能である。スキャナユニット１５０により読み取った画像データをプリンタユニット１４０によりプリントすることにより、複写（コピー）処理が可能となる。

ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２は、メインコントローラ１１０と外部ＵＳＢデバイス１７０を接続するためのインターフェースである。ここで、外部ＵＳＢデバイス１７０の例としては、ファックス（ＦＡＸ）ユニットが挙げられる。ＦＡＸユニットは、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２を介してＨＤＤ１１５から転送される画像データに基づいてＦＡＸ送信を行う。また、ＦＡＸユニットは、受信するデータに基づいて画像データを生成し、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２を介してＨＤＤ１１５に画像データを転送する。なお、ＨＤＤ１１５に記憶された画像データは、前述したようにプリンタユニット１４０により記憶媒体へプリントされる。外部ＵＳＢデバイス１７０は、ＵＳＢメモリやＵＳＢキーボードなども例として挙げられる。ＵＳＢメモリは、ファームウェアアップデートに必要な更新ファイルの転送も可能である。

ネットワークＩ／Ｆ１２３は、メインコントローラ１１０をＬＡＮ１６０に接続し、ＬＡＮ１６０上のＰＣ１９０との通信を行う。ＰＣ１９０は、パーソナルコンピュータであり、画像形成装置１００とＬＡＮ１６０で接続され、画像形成装置１００に対して、印刷データの送信、ＷＥＢブラウザ経由での機器の操作、ファームウェアファイルの転送等が可能である。

さらに、画像形成装置１００は、ＬＡＮ１６０を介して、サーバ装置１８０に接続され、ファームウェアアップデートに必要な更新ファイルをダウンロードすることができる。ここでの更新ファイルのダウンロードの手段は、ＨＴＴＰ、ＦＴＰの他、プロトコルは限定されない。

サーバ装置１８０は、出荷された製品に対してアップデートが必要な最新のファームウェアが常にアップロードされており、画像形成装置１００から問い合わせを行うことで、必要なファームウェアを取得することができる。ただし、画像形成装置１００の設置環境によっては、サーバ装置１８０には接続しないケースもある。

図２は、画像形成装置１００のプログラムの改ざん検知時の機能構成例を示す図である。メインコントローラ１１０は、ＲＯＭ１１２と、フラッシュメモリ１１４と、ＨＤＤ１１５を有する。ＲＯＭ１１２は、ブートプログラム２１０と、ＢＩＯＳ２２０を記憶する。フラッシュメモリ１１４は、ローダー２３０と、カーネル２４０と、Ｎａｔｉｖｅプログラム２５０と、設定データのバックアップデータ２５２を記憶する。ＨＤＤ１１５は、Ｊａｖａ（登録商標）プログラム２６０と、設定データ２６１を記憶する。

ブートプログラム２１０は、画像形成装置１００の電源を入れると、埋め込みコントローラ１１６のＣＰＵ１１７により実行されるプログラムであり、起動に関わる処理を行う他に、ＢＩＯＳ２２０の改ざん検知を行うＢＩＯＳ改ざん検知処理部２１１を有する。

ＢＩＯＳ２２０は、ブートプログラム２１０の実行後にＣＰＵ１１１により実行されるプログラムであり、起動に関わる処理を行う他に、ローダー２３０の改ざん検知を行うローダー改ざん検知処理部２２１を有する。

ローダー２３０は、ＢＩＯＳ２２０の処理が終わった後にＣＰＵ１１１により実行されるプログラムであり、起動に関わる処理を行う他に、カーネル２４０の改ざん検知を行うカーネル改ざん検知処理部２３１を有する。

カーネル２４０は、ローダー２３０の処理が終わった後にＣＰＵ１１１により実行されるプログラムであり、起動に関わる処理を行う他に、Ｎａｔｉｖｅプログラム２５０の改ざん検知を行うＮａｔｉｖｅプログラム改ざん検知処理部２４１を有する。

Ｎａｔｉｖｅプログラム２５０は、ＣＰＵ１１１により実行されるプログラムであり、Ｊａｖａプログラム２６０と連携して各機能を提供する複数のプログラムからなる。例えば、Ｎａｔｉｖｅプログラム２５０は、プリンタＩ／Ｆ１２０やスキャナＩ／Ｆ１２１を制御するプログラム、およびメインコントローラ１１０の起動処理を実行するプログラムなどを含む。カーネル２４０によってＮａｔｉｖｅプログラム２５０の中から起動プログラムが呼び出され、その起動プログラムがメインコントローラ１１０の起動処理を行う。また、Ｎａｔｉｖｅプログラム２５０は、プログラムの中の一つとして、Ｊａｖａプログラム２６０の改ざん検知を行うＪａｖａプログラム改ざん検知処理部２５１を有する。

Ｊａｖａプログラム２６０は、ＣＰＵ１１１により実行されるプログラムであり、Ｎａｔｉｖｅプログラム２５０と連携して各機能を提供するプログラムである。例えば、Ｊａｖａプログラム２６０は、サーバ装置１８０やＰＣ１９０と通信して画像形成装置１００の機能を活用するアプリケーションプログラムである。

設定データ２６１は、操作部ユニット１３０および操作部Ｉ／Ｆ１１９を介してユーザが編集可能なデータであり、Ｎａｔｉｖｅプログラム２５０およびＪａｖａプログラム２６０により参照される。設定データ２６１の変更により、画像形成装置１００の動作をユーザの好みに合わせてカスタマイズすることが可能となっている。例えば、画像形成装置１００における設定データ２６１は、コピー機能やプリント機能にかかわる設定データ、ネットワーク設定データ、ＦＡＸ設定データ、アドレス帳の設定データ、およびセキュリティポリシーの設定データなどを含む。設定データ２６１の具体的な例としては、コピー機能にかかわるコピー設定データには、プリンタユニット１４０に設置された用紙のサイズや種類を登録するための用紙設定データなどが含まれる。プリンタユニット１４０は、登録された用紙設定データに合わせた印字動作を行う。また、プリント機能にかかわるプリンタ設定データには、デフォルトで用紙をプリントする部数の設定データ、白黒印字するかカラー印字するかを自動的選択するための設定データなどが含まれる。また、ネットワーク設定データは、具体的には、Ｉｐｖ４やＩｐｖ６のＩＰアドレスの設定データなどを含み、ネットワークＩ／Ｆ１２３での制御に使われる。ＦＡＸ設定データには、ＦＡＸ着信時の呼び出し回数の設定データと、送信時に相手機に通知される発信人名称の設定データなどが含まれる。また、アドレス帳には、画像形成装置１００を使ってＦＡＸや電子メールを送信する際の宛先が登録される。ユーザは、事前にアドレス帳に宛先を登録しておくことで、ＦＡＸや電子メール送信時の宛先の入力を省略することができる。また、セキュリティポリシーの設定データには、ユーザが使用するパスワードの文字数やパスワードに使用する文字を制限するパスワード設定データなどが含まれる。

設定データのバックアップデータ２５２は、設定データ２６１のバックアップデータである。設定データ２６１が何らかの理由によって破損したり誤って更新された場合に、画像形成装置１００は、設定データのバックアップデータ２５２から設定データ２６１をリストアすることができる。

図３は、画像形成装置１００のファームウェアアップデート時の機能構成例を示す図である。フラッシュメモリ１１４は、Ｎａｔｉｖｅプログラム２５０と、設定データのバックアップデータ２５２を記憶する。ＨＤＤ１１５は、Ｊａｖａプログラム２６０と、設定データ２６１を記憶する。

Ｎａｔｉｖｅプログラム２５０は、起動制御部３１１と、操作部制御部３１２と、プリンタ制御部３１３と、スキャナ制御部３１４と、ＵＳＢ制御部３１５と、通信制御部３１６を有する。さらに、Ｎａｔｉｖｅプログラム２５０は、エラー通知制御部３１７と、改ざん検知箇所特定部３１８と、設定データ管理モジュール３１９を有する。Ｊａｖａプログラム２６０は、プログラム更新処理部３２０と、プログラム配信制御部３２１を有する。

起動制御部３１１は、画像形成装置１００の起動時の処理を制御するプログラムであり、メインコントローラ１１０のＯＳ（オペレーションシステム）を起動させ、各種プログラムを動作させるための基本システムの立ち上げを行う。

操作部制御部３１２は、操作部Ｉ／Ｆ１１９を介して、操作部ユニット１３０の制御を行うためのプログラムである。

プリンタ制御部３１３は、プリンタＩ／Ｆ１２０を介したプリンタユニット１４０の制御を行うためのプログラムである。スキャナ制御部３１４は、スキャナＩ／Ｆ１２１を介したスキャナユニット１５０の制御を行うためのプログラムである。

ＵＳＢ制御部３１５は、ＵＳＢ−ＨｏｓｔＩ／Ｆ１２２を介して、外部ＵＳＢデバイス１７０の制御を行うためのプログラムである。外部ＵＳＢデバイス１７０がＵＳＢメモリである場合、ＵＳＢメモリからファームウェアアップデートに必要な更新ファイルおよび更新情報の転送処理に関する制御を行う。転送されたファイルは、ＨＤＤ１１５に保存される。

通信制御部３１６は、ネットワークＩ／Ｆ１２３を介して、ＰＣ１９０やサーバ装置１８０との通信を行い、ＬＡＮ１６０を介して、ファームウェアアップデートに必要な更新ファイルおよび更新情報の転送処理を行う。転送されたファイルは、ＨＤＤ１１５に保存される。

エラー通知制御部３１７は、後に図４で説明する改ざん検知処理によりプログラムの改ざんが検知された際に、操作部ユニット１３０や、ＬＡＮ１６０で接続された外部機器に対して通知するエラーの内容の制御を行う。

改ざん検知箇所特定部３１８は、後に図４で説明する改ざん検知処理によりプログラムの改ざんが検知された際に、改ざん検知箇所を特定し、検知された箇所がファームウェアアップデートにより復旧可能か否かを判定する。例えば、改ざん検知箇所特定部３１８は、改ざんされた箇所が外部記憶装置との通信制御部３１６や、プログラムの更新に関連する部分である場合は、その後のアップデート処理の動作が保証できないため、復旧できないと判定する。一方、改ざん検知箇所特定部３１８は、改ざんされた箇所がアップデート処理に影響しないプログラムであった場合は、正しいプログラムの更新により復旧が可能な場合があるので、ファームウェアアップデートによる復旧可能であると判定する。

プログラム配信制御部３２１は、ＵＳＢ制御部３１５や通信制御部３１６と連携して、外部記憶装置からの更新データの転送の制御を行う。ファームウェアアップデート時の更新データの転送処理は、メインコントローラ１１０内の各プログラムのバージョンと、アップデート対象のプログラムのバージョンを比較し、差異のあるものだけを配信することで、転送時間を削減することが可能になる。そのため、プログラム配信制御部３２１は、バージョンの差異のあるプログラムを特定して、差異のあるプログラムのみに対して外部記憶装置からの転送処理を実行する。ただし、改ざん検知時の復旧の際には、既存のプログラムの書き換えの他にも、マルウェアと呼ばれるような不正なプログラムが追加されているケースも想定されるため、差異のあるプログラムのアップデートだけでは復旧できない可能性がある。そのため、プログラム配信制御部３２１は、改ざん検知からの復旧のアップデートの際は、メインコントローラ１１０のプログラムをすべて上書きできるように、更新に必要なデータをすべて転送するように制御する。

プログラム更新処理部３２０は、操作部ユニット１３０を介してユーザからファームウェアのアップデートの実行の指示があった際や、画像形成装置１００の時刻が予め設定された時刻に到達した際に、プログラムの更新処理を行う。具体的には、プログラム更新処理部３２０は、プログラム配信制御部３２１により転送されたデータを用いて、メインコントローラ１１０内の各プログラムの更新処理を行う。

プログラム配信制御部３２１およびプログラム更新処理部３２０によるファームウェアのアップデート処理は、具体的には下記の３つの処理に分けられる。
（１）外部ＵＳＢデバイス１７０やサーバ装置１８０からのプログラムの転送処理
（２）フラッシュメモリ１１４に記憶された旧プログラムのバックアップ処理
（３）フラッシュメモリ１１４に記憶されたプログラムの更新処理

旧プログラムのバックアップ処理を実行するのは、プログラムの更新処理の間に電源の不良や記憶領域の書き込みエラー等により更新処理が正常に実行できなかった場合に、アップデート前の旧プログラムへロールバックするためのものである。改ざん検知からの復旧時の更新処理の際は、不正なプログラムがバックアップされてしまうため、旧プログラムのバックアップは実行しない。

また、プログラム配信制御部３２１およびプログラム更新処理部３２０は、Ｊａｖａプログラム２６０の一部として構成されている例を示しているが、Ｎａｔｉｖｅプログラム２５０の一部として構成されていてもよい。

設定データ管理モジュール３１９は、Ｊａｖａプログラム２６０および設定データ管理モジュール３１９以外のＮａｔｉｖｅプログラム２５０からの設定データ２６１への読み書きの要求を処理する。また、設定データ管理モジュール３１９は、設定データ２６１から設定データのバックアップデータ２５２を生成する制御や設定データのバックアップデータ２５２から設定データ２６１をリストアする制御を行う。設定データ２６１のバックアップおよびリストアの制御については、図５以降で説明する。

また、設定データ管理モジュール３１９は、設定データ２６１の初期値３２２を含む。画像形成装置１００の初回起動時などで設定データ２６１が存在しない場合、設定データ管理モジュール３１９は、この初期値３２２を基に設定データ２６１を生成する。また、設定データ管理モジュール３１９は、操作部ユニット１３０などから出荷時状態へのクリア要求を受け付けた場合、初期値３２２を基に設定データ２６１の初期化を行うことができる。

図４（ａ）は、画像形成装置１００が改ざん検知を行わずに起動する手順を示す図である。ブートプログラム２１０がＢＩＯＳ２２０を起動し、ＢＩＯＳ２２０がローダー２３０を起動し、ローダー２３０がカーネル２４０を起動し、カーネル２４０がＮａｔｉｖｅプログラム２５０の中の起動プログラムを起動する。その起動プログラムがＪａｖａプログラム２６０を起動し、以降はＮａｔｉｖｅプログラム２５０とＪａｖａプログラム２６０が連携して画像形成装置１００の機能を提供する。

図４（ｂ）は、画像形成装置１００が改ざん検知を行いながら起動する手順を示す図である。ＲＯＭ１１２は、ブートプログラム２１０と、ＢＩＯＳ２２０を記憶する。フラッシュメモリ１１４は、ローダー２３０と、カーネル２４０と、Ｎａｔｉｖｅプログラム２５０を記憶する。ＨＤＤ１１５は、Ｊａｖａプログラム２６０を記憶する。以下、デジタル署名を署名という。

ブートプログラム２１０は、ＢＩＯＳ２２０の署名検証用の公開鍵４０１を含む。ＢＩＯＳ２２０は、ＢＩＯＳ２２０の署名４０２と、ローダー２３０の署名検証用の公開鍵４０３を含む。ローダー２３０は、ローダー２３０の署名４０４と、カーネル２４０の署名検証用の公開鍵４０５を含む。カーネル２４０は、カーネル２４０の署名４０６と、Ｎａｔｉｖｅプログラム２５０の署名検証用の公開鍵４０７を含む。Ｎａｔｉｖｅプログラム２５０は、Ｎａｔｉｖｅプログラム２５０の署名４０８と、Ｊａｖａプログラム２６０の署名検証用の公開鍵４０９を含む。Ｊａｖａプログラム２６０は、Ｊａｖａプログラム２６０の署名４１０を含む。これらの公開鍵と署名は、あらかじめ画像形成装置１００の出荷前にプログラムに対して付与されるものであるとともに、ファームウェアのアップデート時には適切に更新される。

ブートプログラム２１０内のＢＩＯＳ改ざん検知処理部２１１は、ＢＩＯＳ２２０の署名検証用の公開鍵４０１を用いて、ＢＩＯＳ２２０の署名４０２の検証を行うことにより、ＢＩＯＳ２２０の改ざんの検知を行う。ＣＰＵ１１１は、ＢＩＯＳ２２０の改ざんが検知されない場合には、ＢＩＯＳ２２０を起動する。

ＢＩＯＳ２２０内のローダー改ざん検知処理部２２１は、ローダー２３０の署名検証用の公開鍵４０３を用いて、ローダー２３０の署名４０４の検証を行うことにより、ローダー２３０の改ざんの検知を行う。ＣＰＵ１１１は、ローダー２３０の改ざんが検知されない場合には、ローダー２３０を起動する。

ローダー２３０内のカーネル改ざん検知処理部２３１は、カーネル２４０の署名検証用の公開鍵４０５を用いて、カーネル２４０の署名４０６の検証を行うことにより、カーネル２４０の改ざんの検知を行う。ＣＰＵ１１１は、カーネル２４０の改ざんが検知されない場合には、カーネル２４０を起動する。

カーネル２４０は、Ｎａｔｉｖｅプログラム改ざん検知処理部２４１を含む。Ｎａｔｉｖｅプログラム改ざん検知処理部２４１は、Ｎａｔｉｖｅプログラム２５０の署名検証用の公開鍵４０７を用いて、Ｎａｔｉｖｅプログラム２５０の署名４０８の検証を行うことにより、Ｎａｔｉｖｅプログラム２５０の改ざんの検知を行う。ＣＰＵ１１１は、Ｎａｔｉｖｅプログラム２５０の改ざんが検知されない場合には、Ｎａｔｉｖｅプログラム２５０を起動する。

Ｎａｔｉｖｅプログラム２５０は、Ｊａｖａプログラム改ざん検知処理部２５１を含む。Ｊａｖａプログラム改ざん検知処理部２５１は、Ｊａｖａプログラム２６０の署名検証用の公開鍵４０９を用いて、Ｊａｖａプログラム２６０の署名４１０の検証を行うことにより、Ｊａｖａプログラム２６０の改ざんの検知を行う。ＣＰＵ１１１は、Ｊａｖａプログラム２６０の改ざんが検知されない場合には、Ｊａｖａプログラム２６０を起動する。

以上のように、改ざん検知処理部２１１、２２１、２３１、２４１、２５１は、それぞれ、複数のプログラムの改ざんの検証を順に行う。

図５は、画像形成装置１００の処理方法を示すフローチャートであり、設定データ２６１のバックアップ処理を示す。画像形成装置１００は、画像形成装置１００の電源オフ時やあらかじめ決められたスケジュールに従って、図５の処理を定期的に行う。

ステップＳ５０１では、改ざん検知処理部２１１、２２１、２３１、２４１および２５１は、ＢＩＯＳ２２０、ローダー２３０、カーネル２４０、Ｎａｔｉｖｅプログラム２５０およびＪａｖａプログラム２６０の改ざんの検知の有無を判定する。この際、改ざん検知処理部２１１、２２１、２３１、２４１、２５１は、判定部として機能する。改ざん検知処理部２１１、２２１、２３１、２４１および２５１のすべてが改ざんを検知していないと判定した場合には、ＣＰＵ１１１は、ステップＳ５０４に進む。改ざん検知処理部２１１、２２１、２３１、２４１および２５１の少なくとも１個が改ざんを検知したと判定した場合には、ＣＰＵ１１１は、ステップＳ５０２に進む。

ステップＳ５０４では、設定データ管理モジュール３１９は、生成部として機能し、設定データ２６１を基に、設定データのバックアップデータ２５２を生成し、図５の処理を終了する。

ステップＳ５０２では、改ざん検知箇所特定部３１８は、改ざん検知箇所の特定を行い、設定データ管理モジュール３１９が改ざんされているか否かを判定する。設定データ管理モジュール３１９は、設定データ２６１を書き換える可能性があるプログラムである。なお、改ざん検知箇所特定部３１８は、設定データ管理モジュール３１９に限定されず、設定データ２６１を書き換える可能性がある複数のプログラムが改ざんされているか否かを判定してもよい。改ざん検知箇所特定部３１８は、設定データ管理モジュール３１９が改ざんされていないと判定した場合には、ステップＳ５０３に進み、設定データ管理モジュール３１９が改ざんされていると判定した場合には、図５の処理を終了する。

ステップＳ５０３では、設定データ管理モジュール３１９は、生成部として機能し、設定データ２６１を基に、設定データのバックアップデータ２５２を生成し、図５の処理を終了する。

図６は、画像形成装置１００の処理方法を示すフローチャートであり、画像形成装置１００の改ざん検知時の復旧処理を示す。例えば、画像形成装置１００は、画像形成装置１００の電源オン時に、図６の処理を行う。

ステップＳ６０１では、改ざん検知処理部２１１、２２１、２３１、２４１、２５１は、ブートプログラム２１０、ＢＩＯＳ２２０、ローダー２３０、カーネル２４０、Ｎａｔｉｖｅプログラム２５０、Ｊａｖａプログラム２６０の改ざんの検知の有無を判定する。この際、改ざん検知処理部２１１、２２１、２３１、２４１、２５１は、判定部として機能する。例えば、画像形成装置１００は、図４（ｂ）に示す検証および起動を行う。改ざん検知処理部２１１、２２１、２３１、２４１、２５１のすべてが改ざんを検知していないと判定した場合には、ＣＰＵ１１１は、図６の処理を終了する。改ざん検知処理部２１１、２２１、２３１、２４１、２５１の少なくとも１個が改ざんを検知したと判定した場合には、ＣＰＵ１１１は、ステップＳ６０２に進む。

ステップＳ６０２では、プログラム配信制御部３２１およびプログラム更新処理部３２０は、ファームウェアの更新を行う。ファームウェアは、プログラムであり、ブートプログラム２１０、ＢＩＯＳ２２０、ローダー２３０、カーネル２４０、Ｎａｔｉｖｅプログラム２５０、Ｊａｖａプログラム２６０を含む。具体的には、プログラム配信制御部３２１およびプログラム更新処理部３２０は、図３にて説明したように、外部ＵＳＢデバイス１７０やサーバ装置１８０からファームウェアを取得し、メインコントローラ１１０内のファームウェアの更新を行う。

次に、ステップＳ６０３では、設定データ管理モジュール３１９は、設定データのバックアップデータ２５２が存在するか否かを判定する。ここでの設定データのバックアップデータ２５２は、図５の処理により作成されるものである。設定データ管理モジュール３１９は、設定データのバックアップデータ２５２が存在する場合には、ステップＳ６０４に進み、設定データのバックアップデータ２５２が存在しない場合には、ステップＳ６０５に進む。

ステップＳ６０４では、設定データ管理モジュール３１９は、設定データのバックアップデータ２５２を新たな設定データ２６１として上書きし（リストアし）、図６の処理を終了する。設定データ管理モジュール３１９は、ＨＤＤ１１５に格納されている設定データ２６１に対して、設定データのバックアップデータ２５２を上書きする。

ステップＳ６０５では、設定データ管理モジュール３１９は、設定データ２６１の初期値３２２を基に、設定データ２６１の初期化を行い、図６の処理を終了する。設定データ管理モジュール３１９は、設定データ２６１の初期値３２２を含む。設定データ管理モジュール３１９は、ＨＤＤ１１５に格納されている設定データ２６１に対して、設定データ２６１の初期値３２２を上書きすることにより、初期化を行う。設定データ２６１は、例えば、図２で述べたコピー設定データ、およびネットワーク設定データなどを含む。

画像形成装置１００は、ステップＳ６０４のリストアまたはステップＳ６０５の初期化により、改ざんされたファームウェアにより書き換えられた可能性のある設定データ２６１の使用を防ぐことができる。

画像形成装置１００は、図６の処理により、復旧までの間のダウンタイムを削減することができる。また、画像形成装置１００は、改ざん前と同様の設定データ２６１により、動作できるようになるため、改ざん検知前と同じ使い勝手をユーザに提供することができる。

（第２の実施形態）
次に、第２の実施形態による画像形成装置１００について説明する。第２の実施形態の画像形成装置１００の構成は、第１の実施形態の画像形成装置１００の構成と同様である。

図７は、第２の実施形態による画像形成装置１００の処理方法を示すフローチャートであり、設定データ２６１のバックアップ処理を示す。図７の処理は、図５の処理の代わりに行われる。図７の処理では、図５の処理とは異なり、ステップＳ５０１の改ざん検知の有無の判定が行われない。

ステップＳ７０１では、設定データ管理モジュール３１９は、生成部として機能し、設定データ２６１を基に、設定データのバックアップデータ２５２を生成する。次に、ステップＳ７０２では、設定データ管理モジュール３１９は、図８のテーブルに対して、設定データのバックアップデータ２５２を生成した時刻と、設定データのバックアップデータ２５２のパスを記録する。

図９は、第２の実施形態による画像形成装置１００の処理方法を示すフローチャートであり、画像形成装置１００の改ざん検知時の復旧処理を示す。図９の処理は、図６の処理の代わりに行われる。

ステップＳ９０１では、改ざん検知処理部２１１、２２１、２３１、２４１、２５１は、ブートプログラム２１０、ＢＩＯＳ２２０、ローダー２３０、カーネル２４０、Ｎａｔｉｖｅプログラム２５０、Ｊａｖａプログラム２６０の改ざんの検知の有無を判定する。この際、改ざん検知処理部２１１、２２１、２３１、２４１、２５１は、判定部として機能する。改ざん検知処理部２１１、２２１、２３１、２４１、２５１のすべてが改ざんを検知していないと判定した場合には、ＣＰＵ１１１は、ステップＳ９０２に進む。改ざん検知処理部２１１、２２１、２３１、２４１、２５１の少なくとも１個が改ざんを検知したと判定した場合には、ＣＰＵ１１１は、ステップＳ９０３に進む。

ステップＳ９０２では、ＣＰＵ１０１は、記録部として機能し、Ｊａｖａプログラム改ざん検知処理部２５１が改ざんを検知していない時刻を記録し、図９の処理を終了する。

ステップＳ９０３では、プログラム配信制御部３２１およびプログラム更新処理部３２０は、更新部として機能し、ファームウェアの更新を行う。ファームウェアは、プログラムであり、ブートプログラム２１０、ＢＩＯＳ２２０、ローダー２３０、カーネル２４０、Ｎａｔｉｖｅプログラム２５０、Ｊａｖａプログラム２６０を含む。具体的には、プログラム配信制御部３２１およびプログラム更新処理部３２０は、図３にて説明したように、外部ＵＳＢデバイス１７０やサーバ装置１８０からファームウェアを取得し、メインコントローラ１１０内のファームウェアの更新を行う。

次に、ステップＳ９０４では、設定データ管理モジュール３１９は、図８のテーブルを参照し、改ざん検知前の設定データのバックアップデータ２５２が存在するか否かを判定する。設定データのバックアップデータ２５２は、図７の処理により生成される。設定データ管理モジュール３１９は、図８のテーブルを参照し、ステップＳ９０２で記録された時刻より前の時刻に生成された設定データのバックアップデータ２５２が存在する否かを判定する。例えば、図８のように設定データのバックアップデータ２５２が生成されている状況について説明する。ステップＳ９０２にて記録された時刻が“2018/9/25 2:00”より前である場合、設定データ管理モジュール３１９は、ステップＳ９０２で記録された時刻より前の時刻に生成された設定データのバックアップデータ２５２が存在しないと判定する。逆に、ステップＳ９０２で記録された時刻が“2018/9/25 2:00”より後である場合、設定データ管理モジュール３１９は、ステップＳ９０２で記録された時刻より前の時刻に生成された設定データのバックアップデータ２５２が存在すると判定する。設定データ管理モジュール３１９は、ステップＳ９０２で記録された時刻より前の時刻に生成された設定データのバックアップデータ２５２が存在すると判定した場合には、ステップＳ９０５に進む。また、設定データ管理モジュール３１９は、ステップＳ９０２で記録された時刻より前の時刻に生成された設定データのバックアップデータ２５２が存在しないと判定した場合には、ステップＳ９０７に進む。

ステップＳ９０５では、設定データ管理モジュール３１９は、ステップＳ９０２で記録された時刻より前の時刻に生成された設定データのバックアップデータ２５２を取得する。例えば、ステップＳ９０２で記録された時刻が“2018/10/30 0:00”であり、図８の設定データのバックアップデータ２５２の場合を説明する。その場合、ステップＳ９０２で記録された時刻より前の時刻に生成された設定データのバックアップデータ２５２は、“/var/backup/settings_db-001.back”と“/var/backup/settings_db-002.back”の２つである。その場合、設定データ管理モジュール３１９は、その２つの設定データのバックアップデータ２５２のうちの生成時刻が最新のバックアップデータ“/var/backup/settings_db-002.back”を取得する。

次に、ステップＳ９０６では、設定データ管理モジュール３１９は、ステップＳ９０５にて取得した設定データのバックアップデータ２５２を新たな設定データ２６１として上書きする（リストアする）。具体的には、設定データ管理モジュール３１９は、ＨＤＤ１１５に格納されている設定データ２６１に対して、設定データのバックアップデータ２５２を上書きし、図９の処理を終了する。

ステップＳ９０７では、設定データ管理モジュール３１９は、設定データ２６１の初期値３２２を基に、設定データ２６１の初期化を行い、図９の処理を終了する。設定データ管理モジュール３１９は、設定データ２６１の初期値３２２を含む。設定データ管理モジュール３１９は、ＨＤＤ１１５に格納されている設定データ２６１に対して、設定データ２６１の初期値３２２を上書きすることにより、初期化を行う。設定データ２６１は、例えば、図２で述べたコピー設定データ、およびネットワーク設定データなどを含む。

画像形成装置１００は、ステップＳ９０６のリストアまたはステップＳ９０７の初期化により、改ざんされたファームウェアにより書き換えられた可能性のある設定データ２６１の使用を防ぐことができる。

画像形成装置１００は、図９の処理により、復旧までの間のダウンタイムを削減することができる。また、画像形成装置１００は、改ざん前と同様の設定データ２６１により、動作できるようになるため、改ざん検知前と同じ使い勝手をユーザに提供することができる。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

以上、本発明の実施形態について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１００ 画像形成装置、２５２ 設定データのバックアップデータ、２６１ 設定データ、３１８ 改ざん検知箇所特定部、３１９ 設定データ管理モジュール、３２０ プログラム更新処理部

Claims (10)

1. 設定データを基に設定データのバックアップデータを生成する生成手段と、
   プログラムの改ざんの検知の有無を判定する第１の判定手段と、
   前記第１の判定手段によりプログラムの改ざんを検知したと判定された場合には、前記プログラムを更新し、前記設定データのバックアップデータを新たな設定データとして上書きする更新手段と
   を有することを特徴とする情報処理装置。
2. 前記第１の判定手段は、複数のプログラムの改ざんの検証を順に行い、
   前記更新手段は、前記第１の判定手段により少なくとも１個のプログラムの改ざんを検知したと判定された場合には、前記プログラムを更新し、前記設定データのバックアップデータを新たな設定データとして上書きすることを特徴とする請求項１に記載の情報処理装置。
3. 前記プログラムの改ざんの検知の有無を判定する第２の判定手段をさらに有し、
   前記生成手段は、前記第２の判定手段によりプログラムの改ざんを検知していないと判定された場合には、前記設定データのバックアップデータを生成することを特徴とする請求項１または２に記載の情報処理装置。
4. 前記第２の判定手段は、複数のプログラムの改ざんの検知の有無を判定し、
   前記生成手段は、前記第２の判定手段により前記複数のプログラムのうちの前記設定データを書き換える可能性があるプログラムの改ざんを検知していないと判定された場合には、前記設定データのバックアップデータを生成することを特徴とする請求項３に記載の情報処理装置。
5. 前記更新手段は、前記設定データのバックアップデータが存在する場合には、前記設定データのバックアップデータを新たな設定データとして上書きし、前記設定データのバックアップデータが存在しない場合には、前記設定データの初期値を基に前記設定データを初期化することを特徴とする請求項３または４に記載の情報処理装置。
6. 前記第１の判定手段によりプログラムの改ざんを検知していないと判定された場合には、前記改ざんを検知していない時刻を記録する記録手段をさらに有し、
   前記生成手段は、前記設定データのバックアップデータを生成した時刻を記録し、
   前記更新手段は、前記改ざんを検知していない時刻より前の時刻に生成された設定データのバックアップデータが存在する場合には、前記改ざんを検知していない時刻より前の時刻に生成された設定データのバックアップデータを新たな設定データとして上書きすることを特徴とする請求項１または２に記載の情報処理装置。
7. 前記更新手段は、前記改ざんを検知していない時刻より前の時刻に生成された設定データのバックアップデータが存在する場合には、前記改ざんを検知していない時刻より前の時刻に生成された設定データのバックアップデータのうちの最新のバックアップデータを新たな設定データとして上書きすることを特徴とする請求項６に記載の情報処理装置。
8. 前記更新手段は、前記改ざんを検知していない時刻より前の時刻に生成された設定データのバックアップデータが存在しない場合には、前記設定データの初期値を基に前記設定データを初期化することを特徴とする請求項６または７に記載の情報処理装置。
9. 設定データを基に設定データのバックアップデータを生成する生成ステップと、
   プログラムの改ざんの検知の有無を判定する第１の判定ステップと、
   前記第１の判定ステップでプログラムの改ざんを検知したと判定された場合には、前記プログラムを更新し、前記設定データのバックアップデータを新たな設定データとして上書きする更新ステップと
   を有することを特徴とする情報処理装置の処理方法。
10. コンピュータを、請求項１〜８のいずれか１項に記載された情報処理装置の各手段として機能させるためのプログラム。

Images