JP2022008173A - ファクトリデフォルト設定へのリモート再設定の方法及びデバイス - Google Patents

Abstract

【課題】デバイスの、セキュアなリモート再設定を可能にする方法及びデバイスを提供する。
【解決手段】デバイスは、ファクトリデフォルトへの再設定を実行するよう適合されている電気回路と、安全な処理及び保存環境（ＳＰＳＥ）とを含む。方法は、ＳＰＳＥにおいて、デバイスをファクトリデフォルト設定に再設定するリクエスト及びリクエストに関連付けられたチャレンジを、ネットワークを介して受信することと、通信チャネルを介して電気回路と通信することにより、デバイスのファクトリデフォルト設定への再設定を開始することと、ネットワークを介してコンファメーションを送信することとを含む。コンファメーションは、ＳＰＳＥにより生成されたものとしてのチャレンジへの応答と、証明レポートと、を含む。証明レポートは、ファクトリデフォルト設定への再設定が開始又は実行されたことについての宣言である。
【選択図】図３

Description

本発明は、一般に、デバイスのファクトリデフォルト設定へのリモート再設定に関する。

電子デバイスはしばしば、それらが、必要に応じてファクトリデフォルト設定に再設定され得るよう構成される。デバイスがファクトリデフォルト設定に再設定されると、それは、少なくともいくつかの点において、それが製造された工場から出荷される際の状態と同じように機能し得る。再設定は、データ、設定、及びアプリケーションをデバイスから削除する場合がある。デバイスが攻撃者により制御された場合、ファクトリデフォルト設定への再設定により、デバイスがその独立性を回復し得る。デバイスのファクトリデフォルト設定への再設定は、例えば、ボタンを物理的に押すことにより、デバイスにてローカルにて、又は、ファクトリデフォルト設定に再設定するようデバイスに命令するメッセージをデバイスに送信することにより、リモートにて開始されてよい。デバイスのファクトリデフォルト設定への再設定は、デバイスへの電力供給をオフにして再度オンにしてから、ファクトリデフォルト設定の状態においてデバイスを再起動することを含んでよい。ファクトリデフォルト設定への再設定を実施する、多くの異なる方法がある。しかし、改善の余地が依然としてある。

本発明の目的は、デバイスの、セキュアなリモート再設定を可能にすることである。本発明のさらなる目的は、デバイスの、コスト効率のよい再設定を可能にすることである。本発明のこれら及び他の目的は、独立請求項において画定されるように、本発明により少なくとも部分的に満たされる。好ましい実施形態が、従属請求項に提示される。

本発明の第１の態様によると、デバイスにおいて実施される、デバイスのファクトリデフォルト設定へのリモート再設定の方法が提供される。デバイスは、ファクトリデフォルトへの再設定を実行するよう適合されている電気回路と、安全な処理及び保存環境（ＳＰＳＥ：ｓｅｃｕｒｅ ｐｒｏｃｅｓｓｉｎｇ ａｎｄ ｓｔｏｒａｇｅ ｅｎｖｉｒｏｎｍｅｎｔ）と、を含む。ＳＰＳＥは、ネットワークを介して少なくとも１つのリモートユニットと通信するよう、及び、通信チャネルを介して電気回路と通信するよう構成されている。本方法は、
ＳＰＳＥにて、デバイスをファクトリデフォルト設定に再設定するリクエストと、リクエストに関連付けられたチャレンジと、を受信することであって、リクエストとチャレンジとは、ネットワークを介して受信される、デバイスをファクトリデフォルト設定に再設定するリクエストと、リクエストに関連付けられたチャレンジと、を受信することと、
ＳＰＳＥにより、通信チャネルを介して電気回路と通信することにより、デバイスのファクトリデフォルト設定への再設定を開始することと、
ＳＰＳＥにより、ネットワークを介してコンファメーションを送信することであって、コンファメーションは、ＳＰＳＥにより生成されたものとしてのチャレンジへの応答と、証明レポートと、を含み、証明レポートは、ファクトリデフォルト設定への再設定が開始又は実行されたことについてのＳＰＳＥによる宣言である、コンファメーションを送信することと、
を含む。

本方法は、デバイスのセキュアなリモート再設定を可能にする。本方法は、以下において、例示を目的として、ネットワークビデオカメラであるデバイスと共に説明する。しかし、本方法はもちろん、ネットワークを経由して通信が可能ないずれのデバイスに適用可能である。

攻撃者によるマルウェアに感染している場合など、デバイスが攻撃者の制御下にある場合、攻撃者は、ファクトリデフォルトへの再設定を防ぐよう試みる場合がある。さらに、デバイスが、ファクトリデフォルトへの再設定が行われたことについてコンファメーションを求められると、攻撃者は、検出されないままとなるよう、コンファメーションを偽造しようと試みる場合がある。本方法は、コンファメーションの偽造を防ぐ、又は、これを妨害し得、したがって、デバイスのセキュアなリモート再設定を可能にする。ネットワークビデオカメラなどのデバイスの、セキュアなリモート再設定は、それらが長期にわたって攻撃者により制御されることを防ぐために重要となり得る。

デバイスのファクトリデフォルト設定への再設定は、デバイスの一部への電力供給をオフにして再度オンにすることを含んでよい。デバイスの一部は、第１の回路であってよい。リクエストによって、第１の回路は、電力供給が再度オンになると、ファクトリデフォルト設定の状態に起動してよい。

ＳＰＳＥは、不正行為を防ぐ又は妨害するよう構成されている、デバイスの一部であってよい。したがって、ＳＰＳＥは、デバイスの不正防止部であってよい。特に、ＳＰＳＥは、ＳＰＳＥから少なくとも１つのリモートユニットへの通信における真正性を執行するよう構成されている、デバイスの一部であってよい。したがって、リモートユニットは、コンファメーションの証明レポートが正しいこと、及び、デバイスが実際に、ファクトリデフォルト設定に再設定されている、又は、これに再設定されたことを信頼してよい。リモートユニットは、コンファメーションの証明レポートが、攻撃者により生成されていないことを信頼してよい。

チャレンジへの応答は、証明レポートを含むコンファメーションが現在のコンファメーションであることを示す応答であってよい。攻撃者が、コンファメーションをもっともらしく偽造できなければ、攻撃者は、古いコンファメーションを再送しようと試みる場合がある。チャレンジが、まったく繰り返されず、又は、まれにしか繰り返されず、及び、各チャレンジが、それ自体の特定の応答を有していれば、リモートユニットは、コンファメーションが、デバイスをファクトリデフォルト設定に再設定する現在のリクエストに関連付けられたチャレンジへの正しい応答を含むか、について信頼してよい。コンファメーションはまた、デバイスをファクトリデフォルトに再設定する現在のリクエストに関し、デバイスをファクトリデフォルトに再設定する古いリクエストに関しないコンファメーションでもある。リモートユニットは、証明レポートを含むコンファメーションが、失効したコンファメーションの返答でないことを信頼してよい。

上記にしたがって、本方法は、デバイスのファクトリデフォルト設定へのセキュアなリモート再設定を可能にする。コンファメーションは、ファクトリデフォルト設定への再設定が実行されたことを証明してよい。この場合、デバイスが実際に再設定されたことを信頼することができる。コンファメーションは、ファクトリデフォルト設定への再設定が開始されたことを証明してよい。この場合、デバイスが非常に高い可能性をもって再設定されたことを信頼することができる。再設定プロセスは、それが開始されると、それを止めることが攻撃者にとって非常に難しくなるよう実施することができる。リモートユニットがコンファメーションレポートを受信しなければ、又は、チャレンジへの応答が正しくなければ、これは、デバイスが攻撃者により破壊されたことの兆候とみなしてよい。これにより、デバイスを再設定するために、サービス技術者が現地に派遣され得る。

本方法は、さらに、デバイスのコスト効率のよい再設定を可能にする。デバイスは、本方法を用いてリモートにて再設定され得る。サービス技術者は、デバイスが攻撃者により破壊されたことの兆候がある時にのみ、デバイスに赴く必要があるため、スタッフ、移動時間、及び交通費の点において、コストが節約され得る。例えば、デバイスが、街路灯の上部から交差点の全体を見渡すネットワークビデオカメラなどであれば、これは、サービス技術者をモバイル昇降ワークプラットフォームと共に派遣して、デバイスを再設定するための、かなりの量のコストに関連付けられ得る。

ＳＰＳＥは、セキュアエレメントであってよい。ＳＰＳＥは、トラステッドプラットフォームモジュール（ｔｒｕｓｔｅｄ ｐｌａｔｆｏｒｍ ｍｏｄｕｌｅ又はＴＰＭ）などの、信頼されたシステムであってよい。ＳＰＳＥは、デバイスの残りのものと比較して、セキュリティが向上したものであってよい。ＳＰＳＥは、ＳＰＳＥの作動を画定する、隠されたメモリ（ｃｕｒｔａｉｎｅｄ ｍｅｍｏｒｙ）を含んでよい。ここでは、隠されたメモリは、ＳＰＳＥの外部のエンティティからの影響から遮蔽されている。ＳＰＳＥは、暗号化キーを含んでよい。ここでは、ＳＰＳＥは、暗号化キーを使用して、情報にデジタル的に署名するよう構成されている。暗号化キーを使用して署名された情報は、ＳＰＳＥから来たのもとして認証され得る。暗号化キーは、隠されたメモリに保存されてよい。

ＳＰＳＥは、個別のＴＰＭなど、デバイスにおける他のチップとは別の、１つ又はそれ以上の専用チップであってよい。代替的に、ＳＰＳＥは、統合されたＴＰＭなどの、チップの一部であってよい。ここでは、チップの残りのものは、低いセキュリティエンハンスメントを有するか、又はこれを有しない。代替的に、ＳＰＳＥは、ファームウェアＴＰＭなどの、プロセッサの信頼された実行環境において起動する一片のソフトウェアであってよい。安全な処理及び保存環境は、デバイス全体を構成しないことにより、コストが節約され得る。ＳＰＳＥは、デバイスの最も重要なタスクのためにのみ、その寸法が決定されてよい。他のタスクは、より安価なチップにより扱われてよい。ＳＰＳＥは、例えば、リクエストとチャレンジとを受信することと、ファクトリデフォルト設定への再設定を開始することと、ネットワークを介してコンファメーションを送信することと、に関する作動のみを扱うよう構成されてよい。ＳＰＳＥはまた、代替的に、もちろん、他のタスクを扱うようにも構成されてよい。例えば、デバイスがネットワークビデオカメラである場合、ＳＰＳＥは、ビデオ記録を暗号化されたフォーマットにて送信することなどの、記録されたビデオの内容に関するタスクをさらに扱ってよい。重要でないタスクは、ＳＰＳＥに含まれないチップに委ねられてよい。

電気回路は、ファクトリデフォルト設定への再設定が行われるべきかについて制御するレジスタを含んでよい。ＳＰＳＥが、通信チャネルを介して電気回路と通信することにより、デバイスのファクトリデフォルト設定への再設定を開始する場合、これは、電気回路のレジスタと通信してよい。通信チャネルは、ＳＰＳＥを電気回路に接続するバス又はワイヤであってよい。

ＳＰＳＥは、アプリケーションプロトコルデータユニット（ａｐｐｌｉｃａｔｉｏｎ ｐｒｏｔｏｃｏｌ ｄａｔａ ｕｎｉｔ又はＡＰＤＵ）プロトコルにしたがって、ネットワークを介して情報を受信及び送信してよい。ＳＰＳＥが、通信チャネルを介して電気回路と通信することにより、デバイスのファクトリデフォルト設定への再設定を開始する場合、通信は、集積回路間（ｉｎｔｅｒ－ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ又はＩ２Ｃ）プロトコルなどの、ＡＰＤＵプロトコルとは異なるプロトコルにしたがってよい。

コンファメーションは、応答と証明レポートとに加えて、さらなる情報を含んでよい。例えば、コンファメーションは、デバイス又はデバイスのＳＰＳＥのＩＤ若しくはシリアルナンバーなどの識別子を含んでよい。さらに、コンファメーションは、ＳＰＳＥによりリクエストが受信された時間、ＳＰＳＥによりチャレンジが受信された時間、ファクトリデフォルト設定への再設定が開始された時間、コンファメーションが送信された時間などの、少なくとも１つの時間を含んでよい。コンファメーションに含まれる識別子又は時間は、コンファメーションの証明レポート、又は、コンファメーションのどこかに含まれてよい。チャレンジへの応答と証明レポートとは、コンファメーションとは別の部分であってよい。代替的に、チャレンジへの応答は、証明レポートに含まれてよい。

この方法は、ＳＰＳＥにより、通信チャネルを介して、再設定コマンドを電気回路に書き込みするプロセスをＳＰＳＥが開始したことについての宣言を証明レポートに含めることをさらに含み、再設定コマンドは、電気回路に、ファクトリデフォルトへの再設定を実行することを促すコマンドである。

そのような宣言は、ＳＰＳＥがリクエストを正しく受信したこと、つまり、リクエストがＳＰＳＥに入る前に、攻撃者がそれを傍受も変更もしていないこと、及び、ＳＰＳＥが、リクエストに対処することを始めたことを証明するものとみなされてよい。したがって、リモートユニットは、ファクトリデフォルト設定への再設定がまもなく始まることを、高いレベルの確実性をもって信頼してよい。

ＳＰＳＥは、再設定コマンドに関する情報を通信チャネルを介して送ることを開始することにより、又は、ＳＰＳＥが電気回路に書き込みするメッセージのキューに再設定コマンドを置くことにより、再設定コマンドを電気回路に書き込みするプロセスを開始してよい。

この方法は、
ＳＰＳＥにより、再設定コマンドが電気回路により受信されたことをチェックすることであって、再設定コマンドは、電気回路に、ファクトリデフォルトへの再設定を実行することを促すコマンドであり、再設定コマンドは、通信チャネルを介して、ＳＰＳＥにより電気回路に書き込まれるコマンドである、再設定コマンドが電気回路により受信されたことをチェックすることと、
ＳＰＳＥにより、再設定コマンドが電気回路により受信されたことをＳＰＳＥがチェックしたことについての宣言を証明レポートに含めることと、
をさらに含む。

そのような宣言は、電気回路がリクエストを正しく受信したこと、つまり、攻撃者が再設定コマンドを傍受しておらず、ＳＰＳＥにより書き込まれるように変更していないことを証明するものとみなされてよい。したがって、リモートユニットは、ファクトリデフォルト設定への再設定がまもなく始まることを、非常に高いレベルの確実性をもって信頼してよい。

原則として、デバイスは、再設定コマンドを電気回路に書き込みすることをＳＰＳＥが開始すると、コマンドの実行が、攻撃者により止めることができないよう構成できるべきである。しかし、攻撃者が悪用し得るすべての抜け道が閉じられていることを知ることは、時に困難な場合がある。このことを念頭に置き、再設定コマンドが電気回路により受信されたことをＳＰＳＥがチェックしたことについての宣言をリモートユニットが受信する場合、再設定コマンドが実行される可能性は、再設定コマンドを電気回路に書き込みするプロセスをＳＰＳＥが開始したことについての宣言のみをリモートユニットが受信する場合よりも高いものとみなされてよい。デバイスはまた、もちろん、再設定コマンドを電気回路に書き込みするプロセスをＳＰＳＥが開始したことについての宣言と、電気回路により再設定コマンドが受信されたことをＳＰＳＥがチェックしたことについての宣言と、の双方を含むよう構成されていてもよい。証明レポートに、前者があって後者が無い場合、ある種の問題、おそらくは攻撃者に関連するものが、ＳＰＳＥから電気回路への再設定コマンドの送付においてあることが推定され得る。

本方法が実施されるデバイスは、ファクトリデフォルト設定への再設定が実行される前に、ネットワークを介してコンファメーションを送信するよう構成されていてよい。例えば、再設定コマンドを電気回路に書き込みするプロセスをＳＰＳＥが開始すると、再設定コマンドを電気回路に書き込みするプロセスをＳＰＳＥが開始したことについての宣言を証明レポートに含むコンファメーションが送信されてよい。別の例では、再設定コマンドが電気回路により受信されたことをＳＰＳＥがチェックすると、再設定コマンドが電気回路により受信されたことをＳＰＳＥがチェックしたことについての宣言を証明レポートに含むコンファメーションが送信されてよい。デバイスは、電気回路による再設定コマンドの受領後、及び、再設定プロセスを開始する前に、１秒又は１００ミリ秒などの設定時間を待機するよう構成されていてよい。したがって、ＳＰＳＥは、デバイスの電力供給が落ちる前に、コンファメーションを送信するまでの時間を有してよい。

ファクトリデフォルト設定への再設定が実行される前にコンファメーションを送信することは、ＳＰＳＥによるチャレンジへの応答の生成を簡略化し得る。デバイスはこれにより、コスト効率よく実装され得る。デバイスをファクトリデフォルト設定に再設定するリクエストは、デバイスにより、リクエストに関連付けられたチャレンジと共に受信されてよい。ファクトリデフォルト設定への再設定が実行される前にコンファメーションが送信される場合、チャレンジは、ＳＰＳＥのワーキングメモリの内容から、チャレンジへの応答が生成され得るよう、ＳＰＳＥの、揮発性メモリなどのワーキングメモリに依然としてあってよい。対照的に、ファクトリデフォルト設定への再設定が実行された後にコンファメーションが送信される場合、ＳＰＳＥのワーキングメモリの消去がなされる必要があり得る。これを行うことは、例えば、チャレンジをセキュアに保存するよう構成されている不揮発性メモリの点において、コストの上昇に関連付けられ得る。

本方法は、
ＳＰＳＥにより、ファクトリデフォルトへの再設定が実行されたことについてチェックすることと、
ＳＰＳＥにより、ファクトリデフォルトへの再設定が実行されたことをＳＰＳＥがチェックしたことについての宣言を証明レポートに含めることと、
を含んでよい。

そのような宣言は、ファクトリデフォルトへの再設定が実行されたことを証明するものとみなされてよい。ファクトリデフォルトへの再設定が実行されたことをＳＰＳＥがチェックしたことについての宣言をリモートユニットが受信する場合、デバイスがそのファクトリデフォルト設定に再設定される可能性は、再設定コマンドが電気回路により受信されたことをＳＰＳＥがチェックしたことについての宣言をリモートユニットが受信する場合よりも高いものとみなされてよい。ファクトリデフォルトへの再設定が実行されたことをＳＰＳＥがチェックしたことについての宣言を証明レポートが含む場合、チャレンジを扱う少なくとも３つの代替的な方法があり得る。

チャレンジを扱う第１の代替的な方法によると、チャレンジは、ファクトリデフォルト設定への再設定が実行された後に、ネットワークを介して、デバイスのＳＰＳＥにて受信されてよい。本方法は、
デバイスのＳＰＳＥにより、ファクトリデフォルト設定への再設定が実行された後に、ネットワークを介してのチャレンジを待機することをさらに含んでよく、
コンファメーションを送信することは、ネットワークを介してのチャレンジの受領後に、及び、ファクトリデフォルト設定への再設定が実行された後に開始される。

その結果として、本方法のイベントのタイムラインは、
デバイスをファクトリデフォルト設定に再設定するリクエストを受信するＳＰＳＥ；
デバイスのファクトリデフォルト設定への再設定を開始するＳＰＳＥ；
ファクトリデフォルト設定への再設定が実行される。これは、デバイスの電力供給がオフとされて再度オンとされることを含んでよい；
リクエストに関連付けられたチャレンジを待機及び受信するＳＰＳＥ；
証明レポートを含むコンファメーションを送信するＳＰＳＥ；
であってよい。

上記のイベントのタイムラインにしたがって、ファクトリデフォルト設定への再設定に関連する電力供給のカットは、チャレンジを受信するＳＰＳＥと、コンファメーションを送信するＳＰＳＥと、の間にはなくともよい。

チャレンジを扱う第２の代替的な方法によると、ネットワークを介してのチャレンジは、ファクトリデフォルト設定への再設定が実行される前に受信されてよい。本方法は、
デバイスのＳＰＳＥにより、ファクトリデフォルト設定への再設定が実行される前に、ネットワークを介して受信されたチャレンジを電気回路に転送することと、
デバイスのＳＰＳＥにより、ファクトリデフォルト設定への再設定が実行された後に、電気回路からチャレンジを受信することと、
をさらに含んでよく、
コンファメーションを送信することは、電気回路からのチャレンジの受領後に、及び、ファクトリデフォルト設定への再設定が実行された後に開始される。

その結果として、本方法のイベントのタイムラインは、
デバイスをファクトリデフォルト設定に再設定するリクエストと、リクエストに関連付けられたチャレンジと、をネットワークを介して受信するＳＰＳＥ；
受信されたチャレンジを電気回路に転送するＳＰＳＥ；
デバイスのファクトリデフォルト設定への再設定を開始するＳＰＳＥ；
ファクトリデフォルト設定への再設定が実行される。これは、第１の回路を含む各部などの、デバイスの各部への電力供給がオフとされて再度オンとされることを含んでよい；
チャレンジを電気回路から受信するＳＰＳＥ；
証明レポートを含むコンファメーションを送信するＳＰＳＥ；
であってよい。

上記のイベントのタイムラインにしたがって、ファクトリデフォルト設定への再設定に関連する電力供給のカットは、ネットワークを介してチャレンジを受信するＳＰＳＥと、コンファメーションを送信するＳＰＳＥと、の間にあってよい。電力供給のカット中、チャレンジは、電気回路に保存されてよい。チャレンジは、電気回路の揮発性メモリに保存されてよい。電気回路はここでは、デバイスの残りのものとは別に電力が供給されてよい。ＳＰＳＥがチャレンジを電気回路から受信する際に、電気回路の、チャレンジが保存されている揮発性メモリが有効であるよう、電気回路への電力供給は、デバイスのファクトリデフォルトへの再設定中にオンに維持されてよい。代替的に、チャレンジは、電気回路の不揮発性メモリに保存されてよい。

チャレンジを扱う第３の代替的な方法によると、ネットワークを介してのチャレンジは、ファクトリデフォルト設定への再設定が実行される前に受信されてよい。本方法は、
デバイスのＳＰＳＥにより、ネットワークを介して受信されたチャレンジを保存することであって、チャレンジは、ＳＰＳＥの不揮発性メモリに保存され、チャレンジは、ファクトリデフォルト設定への再設定が実行される前に保存される、ネットワークを介して受信されたチャレンジを保存することと、
デバイスのＳＰＳＥにより、保存されたチャレンジを不揮発性メモリから回収することであって、チャレンジは、ファクトリデフォルト設定への再設定が実行された後に回収される、保存されたチャレンジを不揮発性メモリから回収することと、
をさらに含んでよく、
コンファメーションを送信することは、不揮発性メモリからのチャレンジの回収後に、及び、ファクトリデフォルト設定への再設定が実行された後に開始される。

その結果として、本方法のイベントのタイムラインは、
デバイスをファクトリデフォルト設定に再設定するリクエストと、リクエストに関連付けられたチャレンジと、をネットワークを介して受信するＳＰＳＥ；
チャレンジを不揮発性メモリに保存するＳＰＳＥ；
デバイスのファクトリデフォルト設定への再設定を開始するＳＰＳＥ；
ファクトリデフォルト設定への再設定が実行される。これは、第１の回路を含む各部などの、デバイスの各部への電力供給がオフとされて再度オンとされることを含んでよい；
チャレンジを不揮発性メモリから回収するＳＰＳＥ；
証明レポートを含むコンファメーションを送信するＳＰＳＥ；
であってよい。

上記のイベントのタイムラインにしたがって、ファクトリデフォルト設定への再設定に関連する電力供給のカットは、ネットワークを介してチャレンジを受信するＳＰＳＥと、コンファメーションを送信するＳＰＳＥと、の間にあってよい。電力供給のカット中、チャレンジは、ＳＰＳＥの不揮発性メモリに保存されてよい。

上記の、チャレンジを扱う３つの代替的な方法はすべて、それら個々の利点を有する。例えば、第１の代替例では、チャレンジをネットワークを介して受信するＳＰＳＥと、コンファメーションを送信するＳＰＳＥと、の間に電力供給のカットがないことは、デバイスの安価な実装を促進し得、チャレンジを保存することに、不揮発性メモリが必要とされなくともよい。第２及び第３の代替例は、デバイスをファクトリデフォルト設定に再設定するリクエストと、リクエストに関連付けられたチャレンジと、の、同じメッセージでの受領を促進する。これは、デバイスをリモートにて再設定する作動のセキュリティを上げ得る。チャレンジをＳＰＳＥの不揮発性メモリに保存することは、それをデバイス上のどこかに保存することよりもセキュアなものとなり得る。

ＳＰＳＥにより生成されたものとしてのチャレンジへの応答は、チャレンジ自体であってよい。チャレンジを、それが受信されたものとしてコンファメーションに含めることにより、ＳＰＳＥは、そのコンファメーションが、現在のコンファメーションとして信頼されていることを保証し得る。したがって、そのコンファメーションは、古いコンファメーションへの返答ではないと推定され得る。

本方法は、ＳＰＳＥに保存された関数を通して、チャレンジへの応答を判定することを含んでよい。

ＳＰＳＥに保存された関数は、識別関数であってよい。識別関数は単に、チャレンジを、それが受信されたものとして返す。代替的に、ＳＰＳＥに保存された関数は、チャレンジを入力とみなす関数であってよい。ここで、関数の出力は、入力とは異なる。

関数をＳＰＳＥに保存することにより、関数は、攻撃者によりアクセスされることから保護され得る。したがって、デバイスの残りのものが攻撃者の制御下にあっても、攻撃者は、チャレンジへの応答を特定することが不可能となり得る。関数は、チャレンジから応答を計算することはコンピュータ的に容易であるものの、応答からチャレンジを計算することはコンピュータ的に難しいよう構成されていてよい。関数は、２つの少し異なるチャレンジが同じ応答を有する可能性が低いよう構成されていてよい。関数は、応答を、固定サイズを有するハッシュ値と判定するよう構成されているハッシュ関数であってよい。

関数は、暗号ハッシュ関数などの暗号関数であってよい。暗号ハッシュ関数への入力は、コンファメーションのいずれの一部若しくはコンファメーション全体、証明レポート、又は、識別子及び／又は時間を含む証明レポートなどのメッセージを含んでよい。暗号ハッシュ関数への入力は、チャレンジをさらに含んでよい。ＳＰＳＥは、暗号関数が入力を出力にどのように変換するかを特定する暗号化キーを保存してよい。したがって、ＳＰＳＥは、チャレンジとメッセージとの入力に基づいて、暗号ハッシュ関数と暗号化キーとを使用して、応答を特定してよい。代替的に、関数は、関数への入力としてのメッセージに基づいて、応答を特定するための暗号化キーとしてチャレンジを使用してよく、これにより、関数は、キー付きハッシュ関数と呼ばれてよい。キー付きハッシュ関数は、キー付きハッシュメッセージ認証コード（ｈａｓｈ ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ又はＨＭＡＣ）であってよい。

関数は、暗号ハッシュ関数である必要は必ずしもない。関数は、いずれの暗号関数であってよい。関数は、代替的に、非暗号関数であってよい。

本方法は、ＳＰＳＥにより、証明キーを使用して証明レポートにデジタル的に署名することを含んでよく、証明キーは、ＳＰＳＥに保存された暗号化キーである。

証明キーは、証明レポートにデジタル的に署名することにのみ使用される暗号化キーであってよい。

証明レポートにデジタル的に署名することは、リモートユニットが証明レポートを認証することを可能にする。リモートユニットは、したがって、証明レポートが有効であり、攻撃者により生成されていないことを、高いレベルの確実性をもって立証してよい。

ＳＰＳＥは、証明レポートの様々な部分にデジタル的に署名してよい。例えば、証明レポートは、再設定コマンドを書き込みするプロセスをＳＰＳＥが開始したことについての宣言と、再設定コマンドが受信されたことをＳＰＳＥがチェックしたことについての宣言と、ファクトリデフォルトへの再設定が実行されたことをＳＰＳＥがチェックしたことについての宣言と、の２つ又はそれ以上の宣言のリストであってよい。この場合では、宣言のすべては、デジタル的に署名されてよい。

コンファメーションは、ＳＰＳＥによりデジタル的に署名されてよい。コンファメーションは、コンファメーションキーを使用して、ＳＰＳＥによりデジタル的に署名されてよい。コンファメーションキーは、ＳＰＳＥに保存された暗号化キーである。ＳＰＳＥは、コンファメーションをデジタル的に署名することにより、コンファメーション全体が認証されたことを証明してよい。これは、コンファメーション全体をリモートユニットが認証することを可能にする。リモートユニットは、したがって、コンファメーションが、その全体として有効であり、攻撃者により生成されていないことを、高いレベルの確実性をもって立証してよい。

コンファメーションは、その結果として、全体として、証明レポート用の１つ又はそれ以上のデジタル署名と、コンファメーション用の１つのデジタル署名と、を含んでよい。代替的に、コンファメーションは、全体として、証明レポート用の１つ又はそれ以上のデジタル署名を含み、コンファメーション用のデジタル署名は含まなくともよい。

例えば、証明レポートの宣言、証明レポート、又はコンファメーションであるエンティティなど、エンティティにデジタル的に署名することは、エンティティを暗号関数に、メッセージとして入力することを意味してよい。例えば、証明キー又はコンファメーションキーなどの暗号化キーを使用して、暗号関数は続いて、出力される署名にメッセージを変換してよい。

エンティティにデジタル的に署名することは、エンティティとタイムスタンプとの双方を暗号関数に、メッセージとして入力することをさらに意味し、出力として署名を生成するために、証明キー又はコンファメーションキーなどの暗号化キーを使用してよい。したがって、署名は、デバイスのクロックにしたがってデジタル署名が行われる際の認証に使用されてよい。

証明レポート、又は、証明レポートの宣言にデジタル的に署名するためにＳＰＳＥにより使用される証明キーは、プライベートキーであってよい。リモートユニットは続いて、証明レポートの認証のために、証明キーに関連付けられたパブリックキーを使用してよい。

コンファメーションにデジタル的に署名するために、ＳＰＳＥにより使用されるコンファメーションキーは、プライベートキーであってよい。リモートユニットは続いて、コンファメーションの認証のために、コンファメーションキーに関連付けられたパブリックキーを使用してよい。

エンティティがデジタル的に署名されたら、そのエンティティは、例えば、プレーンテキストにて、ネットワークを介して、デジタル署名と共に送信されてよい。

本発明の第２の態様によると、デバイスのファクトリデフォルトへの再設定を実行するよう適合されている電気回路と、安全な処理及び保存環境（ＳＰＳＥ：ｓｅｃｕｒｅ ｐｒｏｃｅｓｓｉｎｇ ａｎｄ ｓｔｏｒａｇｅ ｅｎｖｉｒｏｎｍｅｎｔ）と、を含むデバイスが提供される。ＳＰＳＥは、ネットワークを介して少なくとも１つのリモートユニットと通信するよう、及び、通信チャネルを介して電気回路と通信するよう構成されている。
ＳＰＳＥは、
デバイスをファクトリデフォルト設定に再設定するリクエストと、リクエストに関連付けられたチャレンジと、を受信することであって、リクエストとチャレンジとは、ネットワークを介して受信される、デバイスをファクトリデフォルト設定に再設定するリクエストと、リクエストに関連付けられたチャレンジと、を受信することと、
通信チャネルを介して電気回路と通信することにより、デバイスのファクトリデフォルト設定への再設定を開始することと、
ネットワークを介してコンファメーションを送信することであって、コンファメーションは、ＳＰＳＥにより生成されたものとしてのチャレンジへの応答と、証明レポートと、を含み、証明レポートは、ファクトリデフォルト設定への再設定が開始又は実行されたことについてのＳＰＳＥによる宣言である、コンファメーションを送信することと、
を行うよう構成されている回路を含む。

第２の態様は一般に、第１の態様と同じ特徴及び利点を有してよい。本発明は更に、特に明白に言及していない限り、すべての可能な特徴の組み合わせに関連することに留意されたい。

デバイスは、ネットワークビデオカメラであってよい。デバイスは、代替的に、レーダー（ｒａｄｉｏ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒａｎｇｉｎｇ又はｒａｄａｒ）ユニットであってよい。デバイスは、代替的に、ドアステーションであってよい。

デバイスのＳＰＳＥは、セキュアエレメント又はトラステッドプラットフォームモジュールであってよい。

本発明の第１の態様とあわせて説明するように、ＳＰＳＥは、デバイスの残りのものと比較して、セキュリティが向上したものであり得る。ＳＰＳＥは、ＳＰＳＥの作動を画定する、隠されたメモリ（ｃｕｒｔａｉｎｅｄ ｍｅｍｏｒｙ）を含んでよい。ここでは、隠されたメモリは、ＳＰＳＥの外部のエンティティからの影響から遮蔽されている。ＳＰＳＥは、暗号化キーを含んでよい。ここでは、ＳＰＳＥは、リモートユニットのリクエストについてのセキュアなトランザクションを、キーの知識を用いて行うよう構成されている。セキュアなトランザクションは、隠されたメモリに保存されてよい。ＳＰＳＥは、１つ又はそれ以上の専用チップであってよい。代替的に、ＳＰＳＥは、チップの一部であってよい。ここでは、チップの残りのものは、低いセキュリティエンハンスメントを有するか、又はこれを有しない。代替的に、ＳＰＳＥは、デバイスの信頼された実行環境において起動する一片のソフトウェアであってよい。

デバイスは、デバイスの残りのものとは別に、電気回路に電力を供給し、デバイスのファクトリデフォルトへの再設定中にオンに維持されるよう構成されている電源を含んでよい。

電気回路用の個別の電源は、電気回路が、デバイスの残りのものへの電力供給をオフとして再度オンにできるようにしてよい。電気回路用の個別の電源により、電気回路は、デバイスの残りのものへの電力供給のカット中に、情報を保存してよい。例えば、電気回路におけるレジスタの状態が、デバイスの残りのものへの電力供給がオンとされた際に、ファクトリデフォルト設定への再設定をトリガするよう設定されていれば、その状態は、デバイスの残りのものへの電力供給のカットの間に保存されてよく、その状態は、デバイスの残りのものへの電力供給が再度オンとされた際に、依然として有効であってよい。電気回路が個別の電源を有するのであれば、デバイスの残りのものへの電力供給のカット中に、他の情報がまた、電気回路に保存されてよい。そのような他の情報は、チャレンジであってよい。

デバイスの残りのものとは別に、電気回路に電力を供給するよう構成されている電源は、常にオンであるよう構成されている電源であってよい。代替的に、それは、デバイスの残りのものへの電力供給がカットされた後の期間に、電気回路に電力を供給するよう構成されていてよい。例えば、デバイスの残りのものへの電力供給がカットされていれば、コンデンサ又はバッテリが、電気回路に電力を供給してよい。コンデンサ又はバッテリは、電力供給が再度オンとなるまで、電気回路を維持できるよう寸法が決定されてよい。

デバイスは、代替的に、デバイスの、ファクトリデフォルトへの再設定中に電力供給がオフとされる各部とは別に、電気回路とＳＰＳＥとに電力を供給するよう構成されている電源を含んでよい。電気回路とＳＰＳＥとに電力を供給するよう構成されている電源は続いて、デバイスのファクトリデフォルトへの再設定中にオンに維持されてよい。

上記の、そしてさらなる目的も同様に、本発明に関するコンセプトの特徴及び利点は、添付の図面を参照しての、以下に例示する、非限定の、詳細な説明を通してよく理解されるであろう。図中、特に明記しない限り、同様の構成要素には同様の参照符号が使用される。

図１は、ネットワークに接続されたデバイスを示す。 図２は、デバイスを示す。 図３は、デバイスのファクトリデフォルト設定へのリモート再設定の方法のフローチャートを示す。 図４は、デバイスのファクトリデフォルト設定へのリモート再設定の方法のフローチャートを示す。 図５は、デバイスのファクトリデフォルト設定へのリモート再設定の方法のフローチャートを示す。 図６は、デバイスのファクトリデフォルト設定へのリモート再設定の方法のフローチャートを示す。

添付の図面を参照して、本発明の技術的内容及び詳細な説明を、好適であり、特許請求の範囲を限定することに使用されない実施形態にしたがって、以下に記載する。本発明は、多くの異なる形態にて体現されてよく、以下に示す実施形態に限定されるものとして理解すべきでない。むしろこれらの実施形態は、完璧性及び完全性のために、そして、本発明の範囲を当業者に十分に伝えるために提供される。

図１は、この場合では、ネットワーク３０に接続されたネットワークビデオカメラであるデバイス１０を示す。ネットワーク３０に接続されたデバイス１０は、１つ又はそれ以上であってよい。図１では、ネットワーク３０に接続されたリモートユニット３２もある。リモートユニット３２は、例えば、１つ又はそれ以上のデバイス１０を制御するコンピュータ又はサーバであってよい。ネットワーク３０のエンティティ間の接続は、図１に示すように、有線接続、無線接続、又は、有線接続と無線接続との組み合わせであってよい。デバイス１０は、リモートユニット３２からのリクエストに基づいて、ファクトリデフォルト設定に再設定され得る。

図２は、図１のデバイスの１つなどのデバイス１０を示す。デバイス１０は、安全な処理及び保存環境（ＳＰＳＥ：ｓｅｃｕｒｅ ｐｒｏｃｅｓｓｉｎｇ ａｎｄ ｓｔｏｒａｇｅ ｅｎｖｉｒｏｎｍｅｎｔ）１６と、電気回路１２と、を含む。ＳＰＳＥ１６は、ネットワーク３０を介して少なくとも１つのリモートユニット３２と通信するよう、及び、通信チャネル１４を介して電気回路１２と通信するよう構成されている。

電気回路１２は、デバイス１０のファクトリデフォルトへの再設定を実行するよう適合されている。電気回路１２は、デバイス１０のファクトリデフォルトへの再設定と、デバイス１０のファクトリデフォルトへの再設定に関連付けられたタスクと、を単体で実行するよう構成されていてよい。電気回路１２は、例えば、ＳＰＳＥ１６からの入力のみを受信することにより、ＳＰＳＥ１６からのコマンドにのみ対処するよう構成されていてよい。この場合では、ＳＰＳＥ１６が再設定コマンドを電気回路１２に送信すると、デバイス１０の他の部分に感染したマルウェアが、ファクトリデフォルトへの再設定が実行されることを止めることを不可能にし得る。電気回路１２は、マイクロコントローラユニットであってよい。

ＳＰＳＥ１６は、デバイス１０をファクトリデフォルト設定に再設定するリクエストと、リクエストに関連付けられたチャレンジと、を受信するよう構成されている回路を含む。ここでは、リクエストとチャレンジとは、ネットワーク３０を介して受信される。リクエストとチャレンジとは、リモートユニット３２から来てよい。ＳＰＳＥ１６の回路は、通信チャネル１４を介して電気回路１２と通信することにより、デバイス１０のファクトリデフォルト設定への再設定を開始し、ネットワーク３０を介してコンファメーションを送信するようさらに構成されている。ここでは、コンファメーションは、ＳＰＳＥ１６により生成されたものとしてのチャレンジへの応答と証明レポートとを含む。証明レポートは、ファクトリデフォルト設定への再設定が開始又は実行されたことの、ＳＰＳＥ１６による宣言である。コンファメーションは、１つのメッセージ、又は、１つを超えるメッセージであってよい。例えば、応答と証明レポートとは、別々のメッセージとして送信されてよい。この場合では、応答は、応答が証明レポートにリンクされるよう、チャレンジだけでなく、証明レポートにも基づくものであってよい。

ＳＰＳＥ１６は、セキュアエレメントであってよい。ＳＰＳＥ１６は、ＴＰＭであってよい。ＳＰＳＥ１６は、デバイスの残りのものと比較して、セキュリティが向上したものであってよい。ＳＰＳＥ１６は、少なくとも１つの暗号化キーを含んでよい。ここでは、ＳＰＳＥ１６は、少なくとも１つの暗号キーの１つ又はそれ以上を使用して、情報にデジタル的に署名するよう構成されている。ＳＰＳＥ１６は、以下において、例示を目的として、ＴＰＭとして主に説明する。しかし、ＳＰＳＥ１６の代替的な実装もまた可能であることが理解されるべきである。

デバイス１０は、追加的に、第１の回路１８を含んでよい。第１の回路１８は、デバイス１０の一部であってよい。これは、ＳＰＳＥ１６よりも低いセキュリティエンハンスメントを有するか、又はセキュリティエンハンスメントを有しない。第１の回路は、例えば、チップ又はマザーボード上のシステムであってよい。第１の回路１８は、デバイス１０のコアタスクを行うよう構成されていてよい。ネットワークビデオカメラであるデバイス１０の場合では、第１の回路は、ビデオを記録して処理するよう構成されていてよい。第１の回路１８は、デバイス１０がオンとされると、デバイス１０を起動するよう構成されていてよい。第１の回路１８は、入力ピン１９を有してよい。入力ピン１９の値に基づいて、第１の回路１８は、デバイス１０を、それが最後にオフとされた状態、又は、ファクトリデフォルト設定の状態に起動してよい。

ＳＰＳＥ１６は、第１の回路１８とは別のユニットであってよい。例えば、ＳＰＳＥ１６は、第１の回路１８とは分けられた個別のＴＰＭであってよい。ＳＰＳＥ１６はこれにより、図２に示すように、第２の通信チャネル１５を介して第１の回路１８と通信してよい。代替的に、ＳＰＳＥ１６は、例えば、統合されたＴＰＭとして、第１の回路１８に統合されてよい。例えば、第１の回路１８におけるコンポーネントの１つに統合されてよい。

ＳＰＳＥ１６は、少なくとも１つのリモートユニット３２と、ネットワーク３０を介して、デバイス１０の別の一部を通して、例えば、デバイス１０の、ＳＰＳＥ１６よりも低いセキュリティエンハンスメントを有する一部を通して通信するよう構成されていてよい。図２は、リモートユニット３２と、第１の回路１８を通して、第２の通信チャネル１５を使用して通信するＳＰＣＥ１６を示す。ＳＰＳＥは、もちろん、代替的に、ネットワーク３０に直接接続されてよい。

デバイス１０の通信チャネル１４、１５は、バス又はワイヤであってよい。

デバイス１０は、追加的に、１つ又はそれ以上の電源４０を含んでよい。図２では、デバイス１０は、２つの電源４０を含む。ここでは、電気回路１２には、第１の回路１８とＳＰＳＥ１６とは別に電力が供給される。

図３は、図２を参照して説明するデバイス１０などのデバイス１０のファクトリデフォルト設定へのリモート再設定の方法１００のフローチャートを示す。方法１００は、図に示す、上から下の順に行われてよい。しかし、他の順序もまた可能である。ここに示すように、図３におけるいくつかのステップは任意である。

方法１００によると、デバイス１０をファクトリデフォルト設定に再設定するリクエストが、ＳＰＳＥ１６にて、ネットワーク３０を介して受信されるＳ１１０。さらに、リクエストに関連付けられたチャレンジが、ＳＰＳＥ１６にて、ネットワーク３０を介して受信されるＳ１１２。リクエストとチャレンジとは共に、１つのメッセージとして受信されてよい。しかし、それらは個別に受信されてもよい。さらに、方法１００によると、ＳＰＳＥ１６により、通信チャネル１４を介して電気回路１２と通信することにより、デバイス１０のファクトリデフォルト設定への再設定が開始されるＳ１２０。

チャレンジは、１つのメッセージとして受信されることにより、リクエストに関連付けられてよい。リクエストとチャレンジとが別々のメッセージとして受信される場合、それらは、別の方法にて関連付けられてよい。例えば、メッセージは、メッセージ識別子を含んでよい。リクエストを持つメッセージとチャレンジを持つメッセージとの双方が同じメッセージ識別子を有していれば、そのリクエストとチャレンジとは、関連付けられているものとみなされてよい。代替的に、リクエストとチャレンジとが双方とも、特定の期間内に到着したものであれば、それらは関連付けられているものとみなされてよい。

チャレンジは、ランダムの数字又は疑似的なランダムの数字などの数字であってよい。チャレンジは、暗号ノンス、つまり、デバイス１０との通信に一度のみ使用される数字であってよい。

図２に示すものなどのデバイス１０は、ＡＰＤＵプロトコルにしたがってフォーマットされたリクエスト及び／又はチャレンジを受信してよいＳ１１０、Ｓ１１２。ＳＰＳＥ１６は続いて、リクエストを読み、構文解釈してよい。ＳＰＳＥ１６は続いて、例えば、通信チャネル１４を介して、再設定コマンドを電気回路１２に書き込みすることにより、ファクトリデフォルト設定への再設定を開始してよいＳ１２０。再設定コマンドは、電気回路１２に、ファクトリデフォルトへの再設定を実行することを促すコマンドである。再設定コマンドは、Ｉ２Ｃフォーマットにて電気回路１２に書き込まれてよい。

さらに、方法１００によると、ネットワーク３０を介してコンファメーションが送信されるＳ１８０。ここでは、コンファメーションは、ＳＰＳＥ１６により生成されたものとしてのチャレンジへの応答と、証明レポートと、を含む。証明レポートは、ファクトリデフォルト設定への再設定が開始又は実行されたことの、ＳＰＳＥ１６による宣言である。コンファメーションは、暗号化されてもされなくともよい。コンファメーションが暗号化される場合、これは、ＳＰＳＥ１６に保存された暗号化キーを使用して暗号化されてよい。

ＳＰＳＥ１６により生成されるコンファメーションの１つの例では、コンファメーションは、
コンファメーションテキストと、
例えば、コンファメーションがＳＰＳＥ１６により生成された時に関する、コンファメーションに関連付けられたタイムスタンプと、
コンファメーション署名と、
を含む。

コンファメーション署名はここでは、いずれの既知のパブリックキー暗号化システムからの署名であってよい。コンファメーション署名は、コンファメーションテキストと、そのコンファメーションに関連付けられたタイムスタンプと、を暗号関数に入力することにより生成されてよい。暗号関数は、ＳＰＳＥ１６に保存されたコンファメーションキーを使用してよい。コンファメーションキーは、コンファメーションテキストと、そのコンファメーションに関連付けられたタイムスタンプと、に基づいてコンファメーション署名を生成するためのプライベート暗号化キーである。リモートユニット３２がコンファメーションを認証するために、リモートユニット３２は、コンファメーションのコンファメーションテキストと、そのコンファメーションに関連付けられたタイムスタンプと、を暗号関数に入力し、パブリックキーを使用して、コンファメーション署名と比較されてよい出力を受信してよい。それらがマッチする場合、コンファメーションは、認証されたものとみなされてよい。

さらに、コンファメーションテキストは、
チャレンジへの応答と、
識別子と、
証明レポートと、
を含んでよい。

チャレンジへの応答はここでは、例えば、識別関数により生成されたものとしてのチャレンジ自体であってよい。識別子は、デバイスのＩＤ又はシリアルナンバーであってよい。証明レポートは、
宣言と、
例えば、宣言がＳＰＳＥにより生成された時に関する、宣言に関連付けられたタイムスタンプと、
証明署名と、
を含んでよい。

証明署名はここでは、いずれの既知のパブリックキー暗号化システムからの署名であってよい。証明署名は、宣言と、その宣言に関連付けられたタイムスタンプと、を暗号関数に入力することにより生成されてよい。暗号関数は、ＳＰＳＥ１６に保存された証明キーを使用してよい。証明キーは、宣言と、その宣言に関連付けられたタイムスタンプと、に基づいて証明署名を生成するためのプライベート暗号化キーである。リモートユニット３２が証明レポートを認証するために、リモートユニット３２は、証明レポートの宣言と、その宣言に関連付けられたタイムスタンプと、を暗号関数に入力し、パブリックキーを使用して、証明署名と比較されてよい出力を受信してよい。それらがマッチする場合、証明レポートの宣言は、認証されたものとみなされてよい。

証明レポートは、それぞれがタイムスタンプと証明署名とを持つ様々な宣言を含んでよい。代替的に、おそらくは様々な宣言を含む証明レポート全体は、１つの単一のタイムスタンプと証明署名とを用いてデジタル的に署名されてよい。

上記の例では、証明レポートとコンファメーションとの双方が、全体として、デジタル的に署名される。これは、高いレベルのセキュリティを保証し得る。代替的なアプローチは、コンファメーションを全体としてデジタル的に署名するのではなく、証明レポートのみをデジタル的に署名するものであり得る。この場合では、これは、ＳＰＳＥ１６とチャレンジへの応答との間のリンクをいくつかの他の方法にて生成することに望ましくあり得る。例えば、チャレンジへの応答は、ＳＰＳＥ１６に保存された暗号関数を使用して生成され得る。別の例では、チャレンジへの応答は、証明レポートに含まれてよい。これにより、チャレンジへの応答は、証明レポートの認証を通して認証され得る。

ＳＰＳＥ１６により生成されるコンファメーションの例と一致して、証明レポートは、方法１００の任意のステップにて、ＳＰＳＥ１６により、証明キーを使用してデジタル的に署名されてよいＳ１７０。証明キーは、ＳＰＳＥ１６に保存された暗号化キーである。さらに、コンファメーションは、方法１００の任意のステップにて、ＳＰＳＥ１６によりデジタル的に署名されてよいＳ１７２。さらに、チャレンジへの応答は、方法１００の任意のステップにて、ＳＰＳＥ１６に保存された関数を通して判定されてよいＳ１６０。証明レポートは、多くの異なる方法にて生成されてよい。以下において、書き込み証明１３０と、読み出し証明１４０と、結果証明１５０と、の３つの異なるタイプの証明レポートを説明する。３つの異なるタイプの証明レポートを生成する任意のステップを、図３に示す。

書き込み証明１３０は、
ＳＰＳＥ１６により、通信チャネル１４を介して、再設定コマンドを電気回路１２に書き込みするプロセスをＳＰＳＥ１６が開始したことについての宣言を証明レポートに含めることＳ１３４であって、再設定コマンドは、電気回路１２に、ファクトリデフォルトへの再設定を実行することを促すコマンドである、宣言を証明レポートに含めることＳ１３４により行われてよい。例えば、リクエストに応答して、ＳＰＳＥ１６は、再設定コマンドを電気回路に書き込みしてよい。コマンドは、ｉ２ｃ書き込みコマンドであってよい。再設定コマンドは、電気回路１２への、レジスタ又はコンデンサの状態を特定の値に設定する命令とみなされてよい。ＳＰＳＥ１６は、これが実行されると、書き込みコマンドを含む宣言を、証明レポートに、実行がなされた時のタイムスタンプと証明署名と共に含んでよい。電気回路１２は、例えば、レジスタの状態を変えること、又は、コンデンサの状態を高レベルなどに設定することにより、再設定コマンドに対応してよい。レジスタ又はコンデンサの状態は、デバイス１０への電力供給が今度オフ及びオンにされた時に、ファクトリデフォルト設定への再設定が行われるべきであるか否かを画定してよい。

読み出し証明１４０は、
ＳＰＳＥ１６により、再設定コマンドが電気回路１２により受信されたことをチェックすることＳ１４２であって、再設定コマンドは、電気回路１２に、ファクトリデフォルトへの再設定を実行することを促すコマンドであり、再設定コマンドは、通信チャネル１４を介して、ＳＰＳＥ１６により電気回路１２に書き込まれるコマンドである、再設定コマンドが電気回路１２により受信されたことをチェックすることＳ１４２と、
ＳＰＳＥ１６により、再設定コマンドが電気回路１２により受信されたことをＳＰＳＥ１６がチェックしたことについての宣言を証明レポートに含めることＳ１４４と、
により行われてよい。

例えば、ＳＰＳＥ１６は、電気回路のレジスタの状態又はコンデンサの状態を読むための読み出しコマンドを実行してよい。これを行うことにより、ＳＰＳＥ１６は、電気回路１２が再設定コマンドを受信してこれに対処したことをチェックしてよい。読み出しコマンドは、ｉ２ｃ読み出しコマンドであってよい。読み出しコマンドが実行されると、ＳＰＳＥ１６は、読み出しコマンドと、レジスタ又はコンデンサの値と、を含む宣言を、証明レポートに、実行がなされた時のタイムスタンプと証明署名と共に含めてよい。

書き込み証明１３０又は読み出し証明１４０が行われると、証明レポートは、ファクトリデフォルトへの再設定が実行される前、又は、これが実行された後に送信されてよい。

結果証明１５０は、
ＳＰＳＥ１６により、ファクトリデフォルトへの再設定が実行されたことをチェックすることＳ１５２と、
ＳＰＳＥ１６により、ファクトリデフォルトへの再設定が実行されたことをＳＰＳＥ１６がチェックしたことについての宣言を証明レポートに含めることＳ１５４と、
により行われてよい。

例えば、電気回路１２は、デバイス１０への電力供給が今度オンとされたら、ファクトリデフォルト設定への再設定が行われるべきであることを画定するために、再設定コマンドを受信し、レジスタ又はコンデンサの状態を設定した後に、第１の回路１８とＳＰＳＥ１６への電力供給をオフにして再度オンにすることにより、例えば、電気回路１２の電源４０とは別の電源４０をオフにして再度オンにすることにより、次に進んでよい。デバイス１０への電力供給がオンとなると、デバイス１０、又はデバイス１０の第１の回路１８は、ファクトリデフォルト設定の状態に起動してよい。ファクトリデフォルト設定の状態に起動することは、入力ピン１９の値に基づいてよい。入力ピン１９の値は、電気回路１２のレジスタ又はコンデンサにより画定される。起動プロセスの一部として、ＳＰＳＥ１６は、電気回路１２のレジスタの状態又はコンデンサの状態を読むための読み出しコマンドを実行してよい。これを行うことにより、ＳＰＳＥ１６は、ファクトリデフォルトへの再設定が実行されたことをチェックしてよい。レジスタ又はコンデンサの電圧が、起動プロセス中に再設定を促す値を有する場合、再設定が行われたと判断してよい。読み出しコマンドは、ｉ２ｃ読み出しコマンドであってよい。読み出しコマンドが実行されると、ＳＰＳＥ１６は、読み出しコマンドと、レジスタ又はコンデンサの値と、を含む宣言を、証明レポートに、実行がなされた時のタイムスタンプと証明署名と共に含めてよい。宣言は、結果証明が読み出し証明とは分けられ得るよう、起動プロセス中にレジスタが読まれたことを示す情報をさらに含んでよい。代替的に、タイムスタンプは、宣言が、結果証明の宣言であることを示してよい。証明レポートは、上記の３つの証明タイプの１つであってよい。しかし、証明レポートは、代替的に、これら３つのタイプのいずれかの組み合わせであってよい。例えば、証明レポートは、書き込み証明１３０に対応する１つの宣言と、読み出し証明１４０に対応する１つの宣言と、の双方を証明レポートに含めることにより、書き込み証明１３０と読み出し証明１４０との双方を含んでよい。

上述するように、チャレンジを扱う少なくとも３つの異なる方法があってよい。チャレンジを扱う３つの異なる方法は、特に、結果証明１５０が行われる際に適用可能である。しかし、これらはまた、書き込み証明１３０と読み出し証明１４０とにも適用可能であり得る。

図４は、チャレンジを扱う第１の代替的な方法に係る方法１００がどのように見え得るかを示す。方法１００は、図に示す、上から下の順に行われてよい。図４の方法１００は、図３の任意のステップの１つ又はそれ以上と組み合されてよい。方法１００は、図４に説明するように、
デバイス１０のＳＰＳＥ１６により、ファクトリデフォルト設定への再設定が実行された後に、ネットワーク３０を介してのチャレンジを待機することＳ２１０を含んでよい。

例えば、ＳＰＳＥ１６は、ＳＰＳＥ１６への電力供給がオンとされた後の特定の時間、又は、第１の回路１８への電力供給がオンとされた後の特定の時間、チャレンジを待機するよう構成されていてよい。チャレンジが到着すると、応答が判定され、コンファメーションが完了して送信されてよい。

図５は、チャレンジを扱う第２の代替的な方法に係る方法１００がどのように見え得るかを示す。方法１００は、図に示す、上から下の順に行われてよい。図５の方法１００は、図３の任意のステップの１つ又はそれ以上と組み合されてよい。方法１００は、図５に説明するように、
デバイス１０のＳＰＳＥ１６により、ファクトリデフォルト設定への再設定が実行される前に、ネットワーク３０を介して受信されたチャレンジを電気回路１２に転送することＳ２２０と、
デバイス１０のＳＰＳＥ１６により、ファクトリデフォルト設定への再設定が実行された後に、電気回路１２からチャレンジを受信することＳ２２２と、
を含んでよい。

例えば、ＳＰＳＥ１６は、ファクトリデフォルト設定への再設定が実行される前に、ネットワーク３０を介して、リクエストと同じメッセージにてチャレンジが受信されるＳ１１０と、ＳＰＳＥ１６はそのチャレンジを、電気回路１２に転送するよう構成されていてよい。ファクトリデフォルトへの再設定中に、ＳＰＳＥ１６への電力供給がオフにされて再度オンにされると、チャレンジは、この時間中に電気回路１２に保存されてよい。チャレンジは、電気回路１２に電力が供給されるか否かによって、揮発性又は不揮発性メモリに保存されてよい。ＳＰＳＥ１６への電力供給が再度オンとなると、これは、例えば、電気回路１２からチャレンジを読み出すことにより、電気回路１２からチャレンジを受信してよいＳ２２２。チャレンジが受信されるとＳ２２２、応答が判定され、コンファメーションが完了して送信されてよい。

図６は、チャレンジを扱う第３の代替的な方法に係る方法１００がどのように見え得るかを示す。方法１００は、図に示す、上から下の順に行われてよい。図６の方法１００は、図３の任意のステップの１つ又はそれ以上と組み合されてよい。方法１００は、図６に説明するように、
デバイス１０のＳＰＳＥ１６により、ネットワーク３０を介して受信されたチャレンジを保存することＳ２３０であって、チャレンジは、ＳＰＳＥ１６の不揮発性メモリに保存され、チャレンジは、ファクトリデフォルト設定への再設定が実行される前に保存される、ネットワーク３０を介して受信されたチャレンジを保存することＳ２３０と、
デバイス１０のＳＰＳＥ１６により、保存されたチャレンジを不揮発性メモリから回収することＳ２３２であって、チャレンジは、ファクトリデフォルト設定への再設定が実行された後に回収される、保存されたチャレンジを不揮発性メモリから回収することＳ２３２と、
を含んでよい。

例えば、ＳＰＳＥ１６は、ファクトリデフォルト設定への再設定が実行される前に、ネットワーク３０を介して、リクエストと同じメッセージにてチャレンジが受信されるＳ１１０と、ＳＰＳＥ１６はそのチャレンジを、ＳＰＳＥ１６の不揮発性メモリに保存するＳ２３０よう構成されていてよい。ファクトリデフォルトへの再設定中に、ＳＰＳＥ１６への電力供給がオフにされて再度オンにされると、チャレンジは、この時間中にＳＰＳＥ１６の不揮発性メモリに保存されてよい。ＳＰＳＥ１６に電力供給が再度オンとなると、これは、チャレンジを、ＳＰＳＥ１６の不揮発性メモリから回収してよいＳ２３２。チャレンジが回収されるとＳ２３２、応答が判定され、コンファメーションが完了して送信されてよい。

これまで、本発明に関するコンセプトを、限られた例を参照して主に説明した。しかし、当業者にただちに明白であるように、上記に開示するものとは異なる他の実施例も、特許請求の範囲に規定されるように、本発明に関するコンセプトの範囲内にて等しく可能である。

Claims (14)

1. デバイス（１０）において実施される、前記デバイス（１０）のファクトリデフォルト設定へのリモート再設定の方法（１００）であって、前記デバイス（１０）は、前記ファクトリデフォルトへの再設定を実行するよう適合されている電気回路（１２）と、安全な処理及び保存環境（ＳＰＳＥ：ｓｅｃｕｒｅ ｐｒｏｃｅｓｓｉｎｇ ａｎｄ ｓｔｏｒａｇｅ ｅｎｖｉｒｏｎｍｅｎｔ）（１６）と、を含み、前記ＳＰＳＥ（１６）は、ネットワーク（３０）を介して少なくとも１つのリモートユニット（３２）と通信するよう、及び、通信チャネル（１４）を介して前記電気回路（１２）と通信するよう構成されており、
   前記ＳＰＳＥ（１６）にて、前記デバイス（１０）をファクトリデフォルト設定に再設定する現在のリクエストと、前記現在のリクエストに関連付けられたチャレンジと、を受信すること（Ｓ１１０、Ｓ１１２）であって、前記現在のリクエストと前記チャレンジとは、前記ネットワーク（３０）を介して受信される、前記デバイス（１０）をファクトリデフォルト設定に再設定する現在のリクエストと、前記現在のリクエストに関連付けられたチャレンジと、を受信すること（Ｓ１１０、Ｓ１１２）と、
   前記ＳＰＳＥ（１６）により、前記通信チャネル（１４）を介して前記電気回路（１２）と通信することにより、前記デバイス（１０）のファクトリデフォルト設定への再設定を開始すること（Ｓ１２０）と、
   前記ＳＰＳＥ（１６）に保存された関数を通して、前記チャレンジへの応答を判定すること（Ｓ１６０）であって、前記チャレンジへの前記応答は、前記現在のリクエストに関連付けられている、前記チャレンジへの応答を判定すること（Ｓ１６０）と、
   前記ＳＰＳＥ（１６）により、前記ネットワーク（３０）を介してコンファメーションを送信すること（Ｓ１８０）であって、前記コンファメーションは、前記ＳＰＳＥ（１６）により生成されたものとしての前記チャレンジへの前記応答と、証明レポートと、を含み、前記証明レポートは、前記ファクトリデフォルト設定への再設定が開始（Ｓ１２０）又は実行されたことについての前記ＳＰＳＥ（１６）による宣言である、コンファメーションを送信すること（Ｓ１８０）と、
   を含む方法（１００）。
2. 前記ＳＰＳＥ（１６）により、前記通信チャネル（１４）を介して、再設定コマンドを前記電気回路（１２）に書き込みするプロセスを前記ＳＰＳＥ（１６）が開始したことについての宣言を前記証明レポートに含めること（Ｓ１３４）をさらに含み、前記再設定コマンドは、前記電気回路（１２）に、前記ファクトリデフォルトへの再設定を実行することを促すコマンドである、請求項１に記載の方法（１００）。
3. 前記ＳＰＳＥ（１６）により、再設定コマンドが前記電気回路（１２）により受信されたことをチェックすること（Ｓ１４２）であって、前記再設定コマンドは、前記電気回路（１２）に、前記ファクトリデフォルトへの再設定を実行することを促すコマンドであり、前記再設定コマンドは、前記通信チャネル（１４）を介して、前記ＳＰＳＥ（１６）により前記電気回路（１２）に書き込まれるコマンドである、再設定コマンドが前記電気回路（１２）により受信されたことをチェックすること（Ｓ１４２）と、
   前記ＳＰＳＥ（１６）により、前記再設定コマンドが前記電気回路（１２）により受信されたことを前記ＳＰＳＥ（１６）がチェックしたことについての宣言を前記証明レポートに含めること（Ｓ１４４）と、
   をさらに含む、請求項１又は２に記載の方法（１００）。
4. 前記デバイス（１０）は、前記ファクトリデフォルト設定への再設定が実行される前に、前記ネットワーク（３０）を介して前記コンファメーションを送信する（Ｓ１８０）よう構成されている、請求項１から３のいずれか一項に記載の方法（１００）。
5. 前記ＳＰＳＥ（１６）により、前記ファクトリデフォルトへの再設定が実行されたことをチェックすること（Ｓ１５２）と、
   前記ＳＰＳＥ（１６）により、前記ファクトリデフォルトへの再設定が実行されたことを前記ＳＰＳＥ（１６）がチェックしたことについての宣言を前記証明レポートに含めること（Ｓ１５４）と、
   をさらに含む、請求項１から３のいずれか一項に記載の方法（１００）。
6. 前記ネットワーク（３０）を介しての前記チャレンジは、前記ファクトリデフォルト設定への再設定が実行された後に、前記デバイス（１０）の前記ＳＰＳＥ（１６）にて受信され（Ｓ１１２）、前記方法は、
   前記デバイス（１０）の前記ＳＰＳＥ（１６）により、前記ファクトリデフォルト設定への再設定が実行された後に、前記ネットワーク（３０）を介しての前記チャレンジを待機すること（Ｓ２１０）をさらに含み、
   前記コンファメーションを送信すること（Ｓ１８０）は、前記ネットワーク（３０）を介しての前記チャレンジの受領後に、及び、前記ファクトリデフォルト設定への再設定が実行された後に開始される、
   請求項５に記載の方法（１００）。
7. 前記ネットワーク（３０）を介しての前記チャレンジは、前記ファクトリデフォルト設定への再設定が実行される前に受信され（Ｓ１１２）、
   前記デバイス（１０）の前記ＳＰＳＥ（１６）により、前記ファクトリデフォルト設定への再設定が実行される前に、前記ネットワーク（３０）を介して受信され（Ｓ１１２）た前記チャレンジを前記電気回路（１２）に転送すること（Ｓ２２０）と、
   前記デバイス（１０）の前記ＳＰＳＥ（１６）により、前記ファクトリデフォルト設定への再設定が実行された後に、前記電気回路（１２）から前記チャレンジを受信すること（Ｓ２２２）と、
   をさらに含み、
   前記コンファメーションを送信すること（Ｓ１８０）は、前記電気回路（１２）からの前記チャレンジの受領後に、及び、前記ファクトリデフォルト設定への再設定が実行された後に開始される、
   請求項５に記載の方法（１００）。
8. 前記ネットワーク（３０）を介しての前記チャレンジは、前記ファクトリデフォルト設定への再設定が実行される前に受信され（Ｓ１１２）、前記方法は、
   前記デバイス（１０）の前記ＳＰＳＥ（１６）により、前記ネットワーク（３０）を介して受信され（Ｓ１１２）た前記チャレンジを保存すること（Ｓ２３０）であって、前記チャレンジは、前記ＳＰＳＥ（１６）の不揮発性メモリに保存され、前記チャレンジは、前記ファクトリデフォルト設定への再設定が実行される前に保存される、前記ネットワーク（３０）を介して受信されたチャレンジを保存すること（Ｓ２３０）と、
   前記デバイス（１０）の前記ＳＰＳＥ（１６）により、保存された前記チャレンジを前記不揮発性メモリから回収すること（Ｓ２３２）であって、前記チャレンジは、前記ファクトリデフォルト設定への再設定が実行された後に回収される、保存された前記チャレンジを前記不揮発性メモリから回収すること（Ｓ２３２）と、
   をさらに含み、
   前記コンファメーションを送信すること（Ｓ１８０）は、前記不揮発性メモリからの前記チャレンジの前記回収後に、及び、前記ファクトリデフォルト設定への再設定が実行された後に開始される、
   請求項５に記載の方法（１００）。
9. 前記ＳＰＳＥ（１６）により、証明キーを使用して前記証明レポートにデジタル的に署名すること（Ｓ１７０）であって、前記証明キーは、前記ＳＰＳＥ（１６）に保存された暗号化キーである、証明キーを使用して前記証明レポートにデジタル的に署名すること（Ｓ１７０）をさらに含む、請求項１から８のいずれか一項に記載の方法（１００）。
10. 前記コンファメーションは、前記ＳＰＳＥ（１６）によりデジタル的に署名され（Ｓ１７２）る、請求項１から請求項９のいずれか一項に記載の方法（１００）。
11. 前記デバイス（１０）のファクトリデフォルトへの再設定を実行するよう適合されている電気回路（１２）と、安全な処理及び保存環境（ＳＰＳＥ：ｓｅｃｕｒｅ ｐｒｏｃｅｓｓｉｎｇ ａｎｄ ｓｔｏｒａｇｅ ｅｎｖｉｒｏｎｍｅｎｔ）（１６）と、を含むデバイス（１０）であって、前記ＳＰＳＥ（１６）は、ネットワーク（３０）を介して少なくとも１つのリモートユニット（３２）と通信するよう、及び、通信チャネル（１４）を介して前記電気回路（１２）と通信するよう構成されており、
    前記ＳＰＳＥ（１６）は、
    前記デバイス（１０）をファクトリデフォルト設定に再設定する現在のリクエストと、前記現在のリクエストに関連付けられたチャレンジと、を受信することであって、前記現在のリクエストと前記チャレンジとは、前記ネットワーク（３０）を介して受信される、前記デバイス（１０）をファクトリデフォルト設定に再設定する現在のリクエストと、前記現在のリクエストに関連付けられたチャレンジと、を受信することと、
    前記通信チャネル（１４）を介して前記電気回路（１２）と通信することにより、前記デバイス（１０）のファクトリデフォルト設定への再設定を開始することと、
    前記ＳＰＳＥ（１６）に保存された関数を通して、前記チャレンジへの応答を判定することであって、前記チャレンジへの前記応答は、前記現在のリクエストに関連付けられている、前記チャレンジへの応答を判定することと、
    前記ネットワーク（３０）を介してコンファメーションを送信することであって、前記コンファメーションは、前記ＳＰＳＥ（１６）により生成されたものとしての前記チャレンジへの前記応答と、証明レポートと、を含み、前記証明レポートは、前記ファクトリデフォルト設定への再設定が開始又は実行されたことについての前記ＳＰＳＥ（１６）による宣言である、コンファメーションを送信することと、
    を行うよう構成されている回路を含むデバイス（１０）。
12. 前記デバイス（１０）はネットワークビデオカメラである、請求項１１に記載のデバイス（１０）。
13. 前記ＳＰＳＥ（１６）は、セキュアエレメント又はトラステッドプラットフォームモジュールである、請求項１１又は１２に記載のデバイス（１０）。
14. 前記デバイス（１０）は、前記デバイス（１０）の残りのものとは別に、前記電気回路（１２）に電力を供給し、前記デバイス（１０）のファクトリデフォルトへの再設定中にオンに維持されるよう構成されている電源（４０）を含む、請求項１１から１３のいずれか一項に記載のデバイス（１０）。
    

Images