JP2021128469A - 情報処理装置と、情報処理装置における起動方法 - Google Patents

Abstract

【課題】プログラムの起動において、そのプログラムの改ざんを検知した場合に、ＲＯＭやコントローラボードの交換といった手間やコストをかけることなく、安全に復旧させることができる情報処理装置と、情報処理装置における起動方法を提供する。【解決手段】ブートプログラムの起動に続いて複数のモジュールを順次起動する情報処理装置であって、複数のモジュールのそれぞれは、自身の署名を予め記憶し、また、次に起動するモジュールの署名を検証するための検証情報を記憶する。そして、その検証情報を使用して次に起動するモジュールの署名を検証し、その検証に成功すると、次に起動するモジュールを起動し、その検証に失敗すると、その失敗したモジュールの再インストールを、情報処理装置の再起動の後で実行するように指示する。【選択図】図４

Description

本発明は、情報処理装置と、情報処理装置における起動方法に関するものである。

コンピュータシステムにおけるソフトウェアの脆弱性をついて、ソフトウェアを改ざんし、コンピュータを悪用する攻撃が問題となっている。これらの攻撃対策として、プログラムに署名を施して保存しておき、プログラムを起動する度に、そのプログラムの署名を検証することで改ざんの有無を検知する方法が考えられている。

特許文献１は、ブートプログラムの起動に続いて複数のモジュールを順次起動する情報処理装置を記載しており、各モジュールは、次に起動するモジュールの署名を検証する検証情報を用いて、次に起動するモジュールの改ざんの有無を検証している。更に、その情報処理装置は、署名の検証に成功すると、次に起動するモジュールを起動し、更に、各モジュールは、検証情報と自身の署名とを予め保持している。

特開２０１９−１７５０００号公報

しかしながら、上記従来技術では、プログラムの起動において署名の検証に失敗した場合、改ざん検知部は操作パネルにエラーメッセージを表示し、機器の起動を停止して処理を終了してしまう。このため、モジュールが一度改ざんされた場合は、元の起動する状態に戻す復旧手段が無い。このような場合は、プログラムが搭載されたＲＯＭやコントローラボードを交換して復旧させることになり、多くの人手と多くのコストを要するという課題がある。

本発明の目的は、上記従来技術の問題点の少なくとも一つを解決することにある。

本発明の目的は、プログラムの起動において、そのプログラムの改ざんを検知した場合に、ＲＯＭやコントローラボードの交換といった手間やコストをかけることなく安全に復旧させる技術を提供することにある。

上記目的を達成するために本発明の一態様に係る情報処理装置は以下のような構成を備える。即ち、
ブートプログラムの起動に続いて複数のモジュールを順次起動する情報処理装置であって、
前記複数のモジュールのそれぞれは、
自身の署名を予め記憶する第１記憶手段と、
次に起動するモジュールの署名を検証するための検証情報を記憶する第２記憶手段と、
前記検証情報を使用して前記次に起動するモジュールの署名を検証する検証手段と、
前記検証手段による検証に成功すると、前記次に起動するモジュールを起動する起動手段と、
前記検証手段による検証に失敗したモジュールの再インストールを、前記情報処理装置の再起動の後で実行するように指示する指示手段と、を有することを特徴とする。

本発明によれば、プログラムの起動において、そのプログラムの改ざんを検知した場合に、例えばＲＯＭやコントローラボードの交換といった手間やコストをかけることなく、安全に復旧させることができる。

本発明のその他の特徴及び利点は、添付図面を参照とした以下の説明により明らかになるであろう。なお、添付図面においては、同じ若しくは同様の構成には、同じ参照番号を付す。

添付図面は明細書に含まれ、その一部を構成し、本発明の実施形態を示し、その記述と共に本発明の原理を説明するために用いられる。
本発明の実施形態１に係る複合機のハードウェア構成を説明するブロック図。 実施形態１に係る複合機が有するソフトウェアモジュールを説明するブロック図（Ａ）と、実施形態２に係る複合機が有するソフトウェアモジュールを説明するブロック図（Ｂ）。 実施形態１，２に係る複合機の起動手順を説明する図。 実施形態１に係る複合機の起動時の処理手順を説明するフローチャート。 実施形態２に係る複合機の起動時の処理手順を説明するフローチャート。 操作パネルに表示されるエラー画面の一例を示す図。

以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これら複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一もしくは同様の構成に同一の参照番号を付し、重複した説明は省略する。尚、実施形態に係る情報処理装置として複合機（デジタル複合機／ＭＦＰ／Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら適用範囲は複合機に限定はせず、情報処理装置であればよい。

［実施形態１］
図１は、本発明の実施形態１に係る複合機１００のハードウェア構成を説明するブロック図である。

複合機１００は、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、ＨＤＤ（ハードディスクドライブ）１０４、ネットワークＩ／Ｆ制御部１０５、スキャナＩ／Ｆ制御部１０６、プリンタＩ／Ｆ制御部１０７を有する。更に複合機１００は、パネル制御部１０８、スキャナ１１１、プリンタ１１２、埋め込みコントローラ１１３、フラッシュメモリ１１４、及びＬＥＤ１１７を備える。また、埋め込みコントローラ１１３は、ＣＰＵ１１５及びＲＡＭ１１６を備える。

ＣＰＵ１０１は、複合機１００のソフトウェアプログラムを実行し、装置全体の制御を統括的に行う。ＲＯＭ１０２はリードオンリーメモリであり、複合機１００のＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ/Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）、固定パラメータ等を格納している。ＲＡＭ１０３はランダムアクセスメモリであり、ＣＰＵ１０１が複合機１００を制御する際に、プログラムや一時的なデータなどを格納するのに使用される。ＨＤＤ１０４は、一部のアプリケーションや、各種データ等を格納する。フラッシュメモリ１１４は、ローダ、カーネル、アプリケーションなどの各種モジュールを格納する。

埋め込みコントローラ１１３のＣＰＵ１１５は、埋め込みコントローラ１１３のソフトウェアプログラムを実行し、複合機１００における一部の制御を行う。ＲＡＭ１１６は、ＣＰＵ１１５が複合機１００を制御する際に、プログラムや一時的なデータの格納などに使用される。複合機１００は、埋め込みコントローラ１１３を統括的に制御するメインコントローラを備える。このメインコントローラは、少なくともＣＰＵ１０１、ＲＯＭ１０２、及びＲＡＭ１０３を含んで構成される。

ネットワークＩ／Ｆ制御部１０５は、ネットワーク１１８を介したデータの送受信を制御する。スキャナＩ／Ｆ制御部１０６は、スキャナ１１１による原稿の読み取り制御する。プリンタＩ／Ｆ制御部１０７は、プリンタ１１２による印刷処理などを制御する。パネル制御部１０８は、タッチパネル式の操作パネル１１０を制御し、操作パネル１１０による各種情報の表示、操作パネル１１０を介した使用者からの指示入力を制御する。バス１０９は、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、ＨＤＤ１０４、ネットワークＩ／Ｆ制御部１０５、スキャナＩ／Ｆ制御部１０６、及びプリンタＩ／Ｆ制御部１０７を相互に接続する。更に、バス１０９は、パネル制御部１０８、埋め込みコントローラ１１３、及びフラッシュメモリ１１４も相互に接続する。このバス１０９を介して、ＣＰＵ１０１からの制御信号や各装置間のデータ信号が送受信される。ＬＥＤ１１７は必要に応じて点灯され、ソフトウェアやハードウェアの異常を外部に伝えるために利用される。

図２は、実施形態１，２に係る複合機１００が有するソフトウェアモジュールを説明するブロック図である。

図２（Ａ）は、実施形態１に係る複合機１００が有するソフトウェアモジュールを説明する。複合機１００は、ソフトウェアモジュールとして、埋め込みコントローラ１１３内にブートプログラム２０９を含む。更に、複合機１００は、ＢＩＯＳ２１０、ローダ２１１、カーネル２１２、Ｎａｔｉｖｅプログラム２１３、Ｊａｖａ（登録商標）プログラム２１４、ＵＩ制御部２０３、及び通信管理部２０７を含む。

通信管理部２０７は、ネットワーク１１８に接続されるネットワークＩ／Ｆ制御部１０５を制御して、ネットワーク１１８を介して外部とデータの送受信を行う。ＵＩ制御部２０３は、パネル制御部１０８を介して操作パネル１１０からの入力、及び操作パネル１１０への出力を受け取り、その入力に応じた処理や、その出力に応じた操作パネル１１０への画面出力を行う。

ブートプログラム２０９は、複合機１００の電源オンにより埋め込みコントローラ１１３のＣＰＵ１１５で実行されるプログラムであり、複合機１００の起動に関わる処理を実行する他に、ＢＩＯＳの改ざん検知を行うＢＩＯＳ改ざん検知部２０１を含む。ＢＩＯＳ２１０は、ブートプログラム２０９の実行後にＣＰＵ１０１により実行されるプログラムであり、複合機１００の起動に関わる処理を実行する他に、ローダ２１１の改ざん検知を行うローダ改ざん検知部２０２を含む。

ローダ２１１は、ＢＩＯＳ２１０の処理が完了した後にＣＰＵ１０１により実行されるプログラムであり、複合機１００の起動に関わる処理を実行する。またカーネル２１２の改ざん検知を行うカーネル改ざん検知部２０４を含む。

カーネル２１２は、ローダ２１１の処理が完了した後にＣＰＵ１０１で実行されるプログラムであり、複合機１００の起動に関わる処理を実行する他に、Ｎａｔｉｖｅプログラム２１３の改ざん検知を行うＮａｔｉｖｅプログラム改ざん検知部２０５を有する。

Ｎａｔｉｖｅプログラム２１３は、ＣＰＵ１０１により実行されるプログラムであり、複合機１００のＪａｖａプログラム２１４と連携して各機能を提供する複数のプログラムを含む。これら複数のプログラムは、例えば、スキャナＩ／Ｆ制御部１０６やプリンタＩ／Ｆ制御部１０６を制御するプログラムや起動プログラム等である。カーネル２１２によってＮａｔｉｖｅプログラムの中から起動プログラムが呼び出され、起動処理を実行する。またプログラムの中の一つとして、Ｊａｖａプログラム２１４の改ざん検知を行うＪａｖａプログラム改ざん検知部２０６を有する。

Ｊａｖａプログラム２１４は、ＣＰＵ１０１で実行されるプログラムであり、複合機１００のＮａｔｉｖｅプログラム２１３と連携して各機能を提供するプログラムである。このプログラムには、例えば、操作パネル１１０に画面を表示するプログラムなどが含まれる。

図３は、実施形態１，２に係る複合機１００の起動手順を説明する図である。

以下では、図３（Ａ）及び図３（Ｂ）を参照して、実施形態１に係る複合機１００の起動手順について説明する。図３（Ａ）は、プログラムの改ざん検知を行わずに複合機１００が起動する順序を示す。ブートプログラム２０９がＢＩＯＳ２１０を起動し、ＢＩＯＳ２１０がローダ２１１を起動し、ローダ２１１がカーネル２１２を起動し、カーネル２１２がＮａｔｉｖｅプログラム２１３の中から起動プログラムを起動する。ここでは起動プログラムの中でＪａｖａプログラム２１４が起動され、それ以降はＮａｔｉｖｅプログラム２１３とＪａｖａプログラム２１４が連携して複合機１００の機能を提供する。このように各モジュールは所定の順序で起動制御が行われ、前のモジュールの起動が完了すると次のモジュールの起動処理が実行される。

図３（Ｂ）は、各プログラムの改ざん検知を行いながら複合機１００が起動する順序を示す。図示するように、ブートプログラム２０９から、ＢＩＯＳ２１０、ローダ２１１、カーネル２１２、Ｎａｔｉｖｅプログラム２１３、Ｊａｖａプログラム２１４の順に、それぞれ次に起動するモジュールの改ざん検知を行いながら起動する。起動するモジュールの改ざん検知は、直前に起動されたモジュールが行う。例えば、ＢＩＯＳ２１０の改ざん検知は、ブートプログラム２０９が行う。また図３（Ｂ）は、各プログラムの保存場所、デジタル署名（以下、署名）と、その署名を検証するための公開鍵（検証情報）の保存場所を表している。

以下では、ＲＯＭ１０２にブートプログラム２０９とＢＩＯＳ２１０が保存され、フラッシュメモリ１１４にローダ２１１とカーネル２１２とＮａｔｉｖｅプログラム（第１プログラム）２１３とが保存されているものとする。更に、ＨＤＤ１０４にＪａｖａプログラム２１４（第２プログラム）が保存されているものとする。

ブートプログラム２０９には、ＢＩＯＳ２１０の署名検証用の公開鍵３００が保存され、ＢＩＯＳ２１０には、ＢＩＯＳ２１０の署名３０２と、ローダ２１１の検証用の公開鍵３０３が保存される。ローダ２１１には、ローダ２１１の署名３０４と、カーネル２１２の検証用の公開鍵３０５が保存される。またカーネル２１２には、カーネル２１２の署名３０６と、Ｎａｔｉｖｅプログラム２１３の検証用の公開鍵３０７が保存されている。またＮａｔｉｖｅプログラム２１３には、Ｎａｔｉｖｅプログラム２１３の署名３０８と、Ｊａｖａプログラム２１４の検証用の公開鍵３０９が保存される。更に、Ｊａｖａプログラム２１４には、Ｊａｖａプログラム２１４の署名３１０が保存される。これらの公開鍵と署名は、予め複合機１００の工場出荷前にプログラムに対して付与されることが望ましい。実施形態１に係る複合機１００においては、図２に示す、２０１，２０２，２０４，２０５，２０６の各検知部が、次に起動する各プログラム（各モジュール）を検証し、問題がなければ次のプログラムを起動する。

図４は、実施形態１に係る複合機１００の起動時の処理手順を説明するフローチャートである。この処理は複合機１００に電源が投入されることにより開始され、まず埋め込みコントローラ１１３のＣＰＵ１１５が、ＲＯＭ１０２からＲＡＭ１１６にブートプログラム２０９を展開して実行する。

Ｓ４０１でＣＰＵ１１５は、ブートプログラム２０９に含まれるＢＩＯＳ改ざん検知部２０１として機能し、ＢＩＯＳ２１０の署名検証を行い、その検証に成功したか否かを判定する。具体的には、ＢＩＯＳ改ざん検知部２０１は、フラッシュメモリ１１４からＢＩＯＳ２１０とローダ２１１の検証用の公開鍵３０３、ＢＩＯＳ２１０の署名３０２をＲＡＭ１１６に読み込む。更に、ＢＩＯＳ改ざん検知部２０１は、ＢＩＯＳ２１０の検証用の公開鍵３００を用いてＢＩＯＳ２１０の署名３０２の検証を行い、その検証に成功したかどうか判定する。ここで署名３０２の検証に失敗した場合、即ち、ＢＩＯＳ２１０の改ざんが検知されたときはＳ４０３に進み、ＢＩＯＳ改ざん検知部２０１は、ＬＥＤ１１７を点灯させて、この処理を終了する。一方、署名３０２の検証に成功した場合、ＢＩＯＳ改ざん検知部２０１はＣＰＵ１０１に通電し、ブートプログラム２０９による処理を終了する。その後、このフローチャートは、ＣＰＵ１０１によって実行されるＳ４０２以降の処理に移行する。

ＣＰＵ１０１は通電されると、Ｓ４０２で、フラッシュメモリ１１４からＢＩＯＳ２１０と、ローダ２１１の検証用の公開鍵３０３をＲＡＭ１０３に読み込んでＢＩＯＳ２１０を起動する。よってこれ以降の処理は、全てＣＰＵ１０１によって処理されるものとして説明する。

こうしてＣＰＵ１０１はＢＩＯＳ２１０を起動するとＳ４０４に進み、各種初期化処理を実行する。そしてＣＰＵ１０１はローダ改ざん検知部２０２として機能し、フラッシュメモリ１１４からローダ２１１と、カーネル２１２の検証用の公開鍵３０５、ローダ２１１の署名３０４をＲＡＭ１０３に読み込む。更に、ローダ改ざん検知部２０２は、ローダ２１１の検証用の公開鍵３０５を用いてローダ２１１の署名３０４を検証し、その検証に成功したか判定する。ここで署名３０４の検証に失敗した場合、即ち、ローダ２１１の改ざんが検知されたときはＳ４１２に進み、ローダ改ざん検知部２０２は、操作パネル１１０にエラーメッセージを表示して、この処理を終了する。この表示は、後述する図６の画面とは異なり、ここでは処理ボタンの表示等はせず、エラーメッセージのみの表示を行う。即ち、ローダ２１１の改ざんが検知されると、プログラムの正常なインストールができなくなるため、エラーメッセージの表示のみを行う。

一方、ローダ２１１の署名３０４の検証に成功した場合は、ローダ改ざん検知部２０２は処理を終了してＳ４０５に進み、ＣＰＵ１０１は、ＲＡＭ１０３に読み込まれたローダ２１１を起動する。

こうしてローダ２１１を起動するとＳ４０６に進みＣＰＵ１０１は、各種初期化処理を実行する。そしてＣＰＵ１０１は、ローダ２１１に含まれカーネル改ざん検知部２０４として機能し、フラッシュメモリ１１４からカーネル２１２と、Ｎａｔｉｖｅプログラム２１３の検証用の公開鍵３０７と、カーネル２１２の署名３０６をＲＡＭ１０３に読み込む。そしてカーネル改ざん検知部２０４は、カーネル２１２の検証用の公開鍵３０５を用いて、カーネル２１２の署名３０６を検証し、その検証に成功したか判定する。ここで署名３０６の検証に失敗した場合、即ち、カーネル２１２の改ざんを検知したときはＳ４２０に進み、カーネル改ざん検知部２０４は操作パネル１１０に図６のエラー画面を表示する。

図６は、操作パネル１１０に表示されるエラー画面の一例を示す図である。

ここではエラーコードと、そのエラー内容６０２が表示される。この画面でユーザが再インストールボタン６０３を選択した場合はＳ４２１からＳ４２２に進みカーネル改ざん検知部２０４は、ソフトウェアプログラムの更新処理を行うための更新フラグをオンにして、この複合機１００を再起動する。尚、この更新フラグは、例えば、ＨＤＤ１０４、或いはフラッシュメモリ１１４等の不揮発メモリに記憶される。一方、ユーザがキャンセルボタン６０４を選択した場合、エラー内容６０２、再インストールボタン６０３及びキャンセルボタン６０４を非表示にし、エラーメッセージのみを表示して、この処理を終了する。

一方、Ｓ４０６で、カーネル２１２の署名の検証に成功した場合はカーネル改ざん検知部２０４は処理を終了してＳ４０７に進み、ＣＰＵ１０１はＲＡＭ１０３に読み込まれたカーネル２１２を起動する。

こうしてカーネル２１２が起動されるとＳ４０８に移行する。Ｓ４０８でＣＰＵ１０１はカーネル２１２を実行して各種初期化処理を実行する。更にＣＰＵ１０１は、カーネル２１２に含まれるＮａｔｉｖｅプログラム改ざん検知部２０５として機能し、フラッシュメモリ１１４からＮａｔｉｖｅプログラム２１３と、Ｊａｖａプログラム２１４の検証用の公開鍵３０９と、Ｎａｔｉｖｅプログラム２１３の署名３０８をＲＡＭ１０３に読み込む。そしてＮａｔｉｖｅプログラム改ざん検知部２０５は、Ｎａｔｉｖｅプログラム２１３の検証用の公開鍵３０７を用いて、Ｎａｔｉｖｅプログラム２１３の署名３０８を検証し、その検証に成功したか判定する。ここで署名３０８の検証に失敗した場合、即ち、Ｎａｔｉｖｅプログラム２１３の改ざんを検知したときはＳ４２０にに進み、Ｎａｔｉｖｅプログラム改ざん検知部２０５は操作パネル１１０に、前述した図６のエラー画面を表示する。ここではエラーコードと、エラー内容６０２を表示する。

この画面でユーザが再インストールボタン６０３を選択するとＳ４２１からＳ４２２に進み、Ｎａｔｉｖｅプログラム改ざん検知部２０５は、ソフトウェアプログラムの更新処理を行うための更新フラグをオンにして複合機１００を再起動する。一方、ユーザがキャンセルボタン６０４を選択した場合は、エラー内容６０２、再インストールボタン６０３及びキャンセルボタン６０４を非表示にし、エラーメッセージのみを表示して、この処理を終了する。

一方、Ｎａｔｉｖｅプログラム２１３の署名の検証に成功した場合、Ｎａｔｉｖｅプログラム改ざん検知部２０５は処理を終了してＳ４０９に進みＣＰＵ１０１はＮａｔｉｖｅプログラム２１３を起動する。

こうしてＣＰＵ１０１はＳ４１０で、Ｎａｔｉｖｅプログラム２１３のうち、改ざん検知の処理を実行するＪａｖａプログラム改ざん検知部２０６として機能する。そしてＪａｖａプログラム改ざん検知部２０６は、ＨＤＤ１０４からＪａｖａプログラム２１４と、Ｊａｖａプログラム２１４の署名３１０をＲＡＭ１０３に読み込む。そしてＪａｖａプログラム改ざん検知部２０６は、Ｊａｖａプログラム２１４の検証用の公開鍵３０９を用いて、Ｊａｖａプログラム２１４の署名３１０を検証し、その検証に成功したか否か判定する。ここで署名３１０の検証に失敗した場合、即ち、Ｊａｖａプログラム２１４の改ざんを検知したときはＳ４２０に進み、Ｊａｖａプログラム改ざん検知部２０６は操作パネル１１０に、前述の図６のエラー表示画面を表示する。ここではエラーコードと、エラー内容６０２を表示する。

ここでユーザが再インストールボタン６０３を選択するとＳ４２１からＳ４２２に進みＪａｖａプログラム改ざん検知部２０６は、ソフトウェアプログラムの更新処理を行うための更新フラグをオンにして複合機１００を再起動する。一方、ユーザがキャンセルボタン６０４を選択した場合、エラー内容６０２、再インストールボタン６０３及びキャンセルボタン６０４を非表示にし、エラーメッセージのみを表示して、この処理を終了する。

一方、Ｓ４１０でＪａｖａプログラム２１４の署名３１０の検証に成功した場合、Ｊａｖａプログラム改ざん検知部２０６は処理を終了してＳ４１１に進み、ＣＰＵ１０１は、Ｎａｔｉｖｅプログラム２１３によりＪａｖａプログラム２１４を起動して、この処理を終了する。

尚、更新フラグをオンにして複合機１００が再起動されると、複合機１００はダウンロードモードで再起動される。そして特定のバージョンのカーネル、Ｎａｔｉｖｅプログラム、Ｊａｖａプログラムなどを、特定のサーバからダウンロードしてＨＤＤ１０４、フラッシュメモリ１１４等に格納する。これにより改ざんされているプログラムを、正常のプログラムに更新できる。

以上説明したように実施形態１に係る複合機によれば、ブートプログラムの起動に続いて複数のソフトウェアモジュールを順次起動する。このとき各モジュールは、次に起動するモジュールの署名を検証する検証情報を用いて、次に起動するモジュールの改ざんの有無を検証し、改ざんがないと判定すると次に起動するモジュールを起動する。更に、各モジュールは、次に起動するモジュールの検証情報と、自身の署名とを予め保持している。これにより、ＢＩＯＳ２１０、ローダ２１１、カーネル２１２、Ｎａｔｉｖｅプログラム２１３、Ｊａｖａプログラム２１４の何れかが改ざんされた場合でも、その改ざんを検知できる。

また、各ソフトウェアプログラムが起動する直前で、そのプログラムの改ざんの有無を検知し、改ざんが見つかった場合は即座に起動を停止できる。これにより改ざんされたソフトウェアプログラムが一瞬でも動作することがなく、常にセキュアな状態で複合機が動作することが担保できる。また他の側面によれば、より堅牢な、システムにおける改ざんを検知する仕組みを提供することができる。

［実施形態２］
次に本発明の第２の実施形態について説明する。実施形態２では、図３（Ｃ）に示すように、複合機１００がカーネルやプログラムを複数保持し、ローダ２２３により、起動するカーネルやプログラムを切り替える構成をとる場合がある。このような構成の場合、実施形態１の構成では、カーネル２１２以外のカーネル２２０を起動しようとした場合、署名が存在せず、改ざんされていないにも関わらず改ざんされていると判定して、起動しないという問題がある。そこで実施形態２では、異なるカーネル、異なるプログラムを保持する構成であっても改ざんの有無を検知して起動する方法について説明する。尚、実施形態２に係る複合機１００のハードウェア構成は、前述の実施形態１と同様であるため、その説明を省略する。

図２（Ｂ）は、実施形態２に係る複合機１００が有するソフトウェアモジュールの構成例を説明する図である。尚、図２（Ｂ）において、前述の図２（Ａ）と共通する部分は同じ参照番号で示し、それらの説明を省略する。

ローダ２２３は、ＢＩＯＳ２１０の処理が完了した後にＣＰＵ１０１で実行されるプログラムであり、起動に関わる処理を実行する他に、カーネル２１２，２２０の改ざん検知を行うカーネル改ざん検知部２２４を有する。ローダ２２３は、操作パネル１１０を介したユーザ入力に従って、起動するカーネルを切り替える。

カーネル２２０は、ＣＰＵ１０１で実行されるカーネル２１２とは異なるプログラムであり、起動に関わる処理を実行する他に、Ｎａｔｉｖｅプログラム２２２の改ざんの有無を検知するＮａｉｖｅプログラム改ざん検知部２２１を有する。Ｎａｔｉｖｅプログラム２２２は、ＣＰＵ１０１で実行されるプログラムであり、複合機１００のアップデート機能を提供する。Ｎａｔｉｖｅプログラム２２２は、カーネル２２０によって呼び出されて、カーネル２１２やＮａｔｉｖｅプログラム２１３、Ｊａｖａプログラム２１４をアップデートする機能を提供する。尚、Ｎａｔｉｖｅプログラム２２２は、これらアップデート機能に限らず、ほかの機能を提供するプログラムであってもよい。

次に、図３（Ｄ）を参照して、ローダ２２３によって起動するカーネルが、カーネル２１２であるか、又はカーネル２２０であるかによって改ざんが検知される対象が切り替わって起動する処理の流れを説明する。

ローダ２２３には、ローダ２２３の署名３０４と、カーネル２１２の検証用の公開鍵３０５、カーネル２１２と同等の機能を有するカーネル２２０の検証用の公開鍵３４０が含まれているものとする。更に、カーネル２２０には、カーネル２２０の署名３４１と、Ｎａｔｉｖｅプログラム２１３と同等の機能を有するＮａｔｉｖｅプログラム２２２の検証用の公開鍵３４２が含まれている。そしてＮａｔｉｖｅプログラム２２２には、Ｎａｔｉｖｅプログラム２２２の署名３４３が含まれている。これらの公開鍵と署名は、予め複合機１００の工場出荷前にプログラムに対して付与されることが望ましい。このように、ローダ２２３には、次に起動可能な複数のカーネルそれぞれの公開鍵（検証情報）が含まれる。そしてローダ２２３は、次に起動されるカーネルに応じて、そのカーネルの改ざんの有無を検証するための公開鍵を切り替えて、次に起動されるカーネルの改ざんの有無を検証する。

次に図５を参照して、実施形態２に係る複合機１００の起動時の処理手順を説明する。 図５は、実施形態２に係る複合機１００の起動時の処理手順を説明するフローチャートである。尚、図５において、前述の実施形態１に係る図４と共通する処理は同じ参照番号を付して、それらの説明を省略する。

Ｓ５００でＣＰＵ１０１がローダ２２３を起動して各種初期化処理を行う。次にＳ５０１に進みＣＰＵ１０１はローダ２２３を実行して、更新フラグがオンかどうか判定する。ここで、この更新フラグがオンでないときはＳ４０６の処理に遷移する。Ｓ４０６以降の処理は、図４を参照して前述した通りである。

一方、Ｓ５０１で更新フラグがオンであると判定すると、前回、カーネル２１２の検証に失敗している、即ち、カーネル２１２或いはＮａｔｉｖｅプログラム２１３のいずれかの改ざんが検知されているためＳ５０２に進む。Ｓ５０２でＣＰＵ１０１は、ローダ２２３に含まれるカーネル改ざん検知部２２４として機能し、フラッシュメモリ１１４からカーネル２２０と、Ｎａｔｉｖｅプログラム２２２の検証用の公開鍵３４２と、カーネル２２０の署名３４１とをＲＡＭ１０３に読み込む。そしてカーネル改ざん検知部２２４は、カーネル２２０の検証用の公開鍵３４０を用いて、カーネル２２０の署名３４１を検証し、その検証に成功したか判定する。ここでカーネル２２０の署名３４１の検証に失敗した場合、即ち、カーネル２２０の改ざんが検知されたときは更新フラグをオフにしてＳ４１２に処理を遷移する。一方、署名３４１の検証に成功した場合、カーネル改ざん検知部２２４は処理を終了してＳ５０３に進み、ＲＡＭ１０３に読み込まれたカーネル２２０を起動する。

こうしてカーネル２２０が起動されると各種初期化処理を行う。次にＳ５０４に進みＣＰＵ１０１は、カーネル２２０に含まれるＮａｔｉｖｅプログラム改ざん検知部２２１として機能し、フラッシュメモリ１１４からＮａｔｉｖｅプログラム２２２とＮａｔｉｖｅプログラム２２２の署名３４３をＲＡＭ１０３に読み込む。そしてＮａｔｉｖｅプログラム改ざん検知部２２１は、Ｎａｔｉｖｅプログラム２２２の検証用の公開鍵３４２を用いて、Ｎａｔｉｖｅプログラム２２２の署名３４３を検証し、その検証に成功したか判定する。ここで署名３４３の検証に失敗した場合、即ち、Ｎａｔｉｖｅプログラム２２２の改ざんを検知したときは、更新フラグをオフにしてＳ４１２の処理に遷移する。一方、署名３４３の検証に成功したときは、Ｎａｔｉｖｅプログラム改ざん検知部２２１は処理を終了してＳ５０５に進む。Ｓ５０５でＣＰＵ１０１は、Ｎａｔｉｖｅプログラム２２２を起動する。次にＳ５０６に進みＣＰＵ１０１はＮａｔｉｖｅプログラム２２２を実行し、ＲＯＭ１０２に記憶されたファームウェアのバージョンを取得し、ネットワーク１１８に繋がった外部サーバ装置（図示せず）から、複合機１００の同じバージョンのソフトウェアプログラムを取得する。そしてＳ５０７に進みＣＰＵ１０１は、Ｎａｔｉｖｅプログラム２２２を実行し、その取得したソフトウェアプログラムで上書き更新する。ここでは、ソフトウェアプログラム内の各ライブラリモジュールは、更新前と同じバージョンであったとしても、強制的に上書き更新する。尚、ここでは、更新するソフトウェアプログラムとして同じバージョンを用いたが、ユーザがバージョンを選択して更新しても良いし、また工場出荷時のバージョンで更新しても良い。

以上説明したように実施形態２によれば、複数のカーネル、複数のプログラムを保持する構成であっても、それらの改ざんを検知して起動することができ、上述の実施形態１と同等の効果を奏することができる。

また実施形態２によれば、カーネル、Ｎａｔｉｖｅプログラム、Ｊａｖａプログラムが改ざんされた場合に、別のカーネルやＮａｔｉｖｅプログラムやＪａｖａプログラムを使用することで、改ざんされたカーネルやプログラムを更新することができる。これにより、ＲＯＭの交換やコントローラ基板の交換といった、手間やコストをかける作業を省略して、複合機を元の起動できる状態に復旧させることができる。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

本発明は上記実施形態に制限されるものではなく、本発明の精神及び範囲から逸脱することなく、様々な変更及び変形が可能である。従って、本発明の範囲を公にするために、以下の請求項を添付する。

１００…複合機、１０１…ＣＰＵ、１０２…ＲＯＭ、１０４…ＨＤＤ、１１３…埋め込みコントローラ、１１４…フラッシュメモリ、１１５…埋め込みコントローラのＣＰＵ、１１６…埋め込みコントローラのＲＯＭ、２０９…ブートプログラム、２１０…ＢＩＯＳ，２１１，２２３…ローダ、２１２，２２０…カーネル、２１３…Ｎａｔｉｖｅプログラム

Claims (8)

1. ブートプログラムの起動に続いて複数のモジュールを順次起動する情報処理装置であって、
   前記複数のモジュールのそれぞれは、
   自身の署名を予め記憶する第１記憶手段と、
   次に起動するモジュールの署名を検証するための検証情報を記憶する第２記憶手段と、
   前記検証情報を使用して前記次に起動するモジュールの署名を検証する検証手段と、
   前記検証手段による検証に成功すると、前記次に起動するモジュールを起動する起動手段と、
   前記検証手段による検証に失敗したモジュールの再インストールを、前記情報処理装置の再起動の後で実行するように指示する指示手段と、
   を有することを特徴とする情報処理装置。
2. 前記検証に失敗したモジュールの再インストールは、不揮発メモリのフラグをオンすることにより指示されることを特徴とする請求項１に記載の情報処理装置。
3. 前記指示手段は、前記検証手段による検証に失敗したモジュールがローダの場合は、当該モジュールの再インストールを指示できないようにすることを特徴とする請求項１に記載の情報処理装置。
4. 前記情報処理装置の動作を制御する第１コントローラと、
   前記第１コントローラにより制御される第２コントローラとを有し、
   前記第２コントローラはブートプログラムを実行し、次に起動するモジュールであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ/Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）の署名を、前記ブートプログラムに含まれる前記ＢＩＯＳの検証情報を使用して検証し、前記ＢＩＯＳの検証に成功すると、前記第１コントローラが前記ＢＩＯＳを実行することを特徴とする請求項１に記載の情報処理装置。
5. 前記検証情報は、前記次に起動するモジュールの署名を検証するための公開鍵を含むことを特徴とする請求項１乃至４のいずれか１項に記載の情報処理装置。
6. 前記複数のモジュールのうち第１モジュールは、前記検証手段による検証に失敗した前記次に起動するモジュールと同等の機能を有する第２モジュールを検証する検証情報を更に有し、
   当該第２モジュールを検証する検証情報を用いて、前記第２モジュールの改ざんの有無を検証することを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。
7. 前記第１モジュールがローダの場合、前記次に起動するモジュールはカーネルであることを特徴とする請求項６に記載の情報処理装置。
8. ブートプログラムの起動に続いて複数のモジュールを順次起動する情報処理装置における起動方法であって、
   前記複数のモジュールの第１モジュールは、次に起動するモジュールの署名を検証するための検証情報を使用して前記次に起動するモジュールの署名を検証する検証工程と、
   前記検証工程による検証に成功すると、前記次に起動するモジュールを起動する起動工程と、
   前記検証工程による検証に失敗したモジュールの再インストールを指示する指示工程と、
   前記モジュールの再インストールが指示されると、前記情報処理装置を再起動して前記モジュールを更新する工程と、
   を有することを特徴とする起動方法。

Images