JP2022055795A - セキュアコンポーネント、センサユニット、デバイス、情報処理装置、コンピュータプログラム及び情報処理方法 - Google Patents

Abstract

【課題】センサ情報を保護することができるセキュアコンポーネント、センサユニット、デバイス、情報処理装置、コンピュータプログラム及び情報処理方法を提供する。【解決手段】セキュアコンポーネントは、センサユニットが検出したセンサ情報を取得するセンサ情報取得部と、取得したセンサ情報を暗号化する暗号化部と、暗号化したセンサ情報を外部に出力する出力部とを備える。【選択図】図１

Description

本発明は、セキュアコンポーネント、センサユニット、デバイス、情報処理装置、コンピュータプログラム及び情報処理方法に関する。

近年、ＩｏＴ（Internet of Things）を利用したビジネスは、自動車業界、家電業界、健康器具業界、製造業界などの様々な業界に浸透している。このような業界におけるサービスの実現に当たっては、これまで以上にヒトやモノなどに関わる様々な情報を大量にネットワーク上で授受することが必要になる。

一方で、ヒトに関わる情報（例えば、心拍数や体温などの健康に関するセンサ情報、位置情報など）について個人との紐付けがなされることで個人情報となり、秘匿性だけでなく完全性（改ざん防止）が重要となる。

非特許文献１には、位置情報として最も活用されているＧＰＳ（Global Positioning System）のセキュリティに関して、ジャミングやスプーフィングなどの攻撃手法に対して、アンテナ等の改良、複数の測位手段の併用、測位信号の暗号化などの対策手法が記載されている。

坂井 丈泰、ＧＰＳのセキュリティ、日本信頼性学会誌、２０１７年３９巻４号

しかし、非特許文献１に記載された対策手法は、いずれも実用的ではない。例えば、測位信号の暗号化は、ＧＰＳ仕様が世界的に公開・共有されているため実用実装が困難である。位置情報などを含むセンサ情報が重要な社会インフラの一部となると、経済的効果の高まりから、このような情報に対する攻撃や搾取が激化することが予想される。このため、センサ情報の改ざんを防止する必要がある。

本発明は、斯かる事情に鑑みてなされたものであり、センサ情報を保護することができるセキュアコンポーネント、センサユニット、デバイス、情報処理装置、コンピュータプログラム及び情報処理方法を提供することを目的とする。

本発明の実施の形態に係るセキュアコンポーネントは、センサユニットが検出したセンサ情報を取得するセンサ情報取得部と、前記センサ情報取得部で取得したセンサ情報を暗号化する暗号化部と、前記暗号化部で暗号化したセンサ情報を外部に出力する出力部とを備える。

本発明の実施の形態に係るセンサユニットは、前述のセキュアコンポーネントを備える。

本発明の実施の形態に係るデバイスは、前述のセキュアコンポーネントと、前述のセンサユニットとを備え、前記センサユニットが検出したセンサ情報であって、暗号化されたセンサ情報を外部装置に送出する。

本発明の実施の形態に係る情報処理装置は、前述のデバイスが送出した、暗号化されたセンサ情報を受信する受信部と、前記受信部で受信したセンサ情報を復号する復号部と、前記復号部で復号されたセンサ情報に基づいて、前記デバイスの状態を検知する検知部とを備える。

本発明の実施の形態に係るコンピュータプログラムは、コンピュータに、センサユニットが検出したセンサ情報を取得し、取得したセンサ情報を暗号化し、暗号化したセンサ情報を外部に出力する、処理を実行させる。

本発明の実施の形態に係る情報処理方法は、センサユニットが検出したセンサ情報をセキュアコンポーネントが暗号化し、前記センサユニット及びセキュアコンポーネントを備えるデバイスが、セキュアコンポーネントが暗号化したセンサ情報を情報処理装置に送出し、前記情報処理装置は、暗号化されたセンサ情報を復号し、復号したセンサ情報に基づいて前記デバイスの状態を検知する。

本発明によれば、センサ情報を保護することができる。

本実施の形態の情報処理システムの構成の第１例を示す模式図である。 位置情報データベース及び鍵情報データベースの構成の一例を示す模式図である。 位置情報の暗号化出力と管理に関する処理フローの一例を示す模式図である。 位置情報データベースの位置情報の反映の一例を示す模式図である。 事前に暗号化された位置情報の取扱に関する処理フローの一例を示す模式図である。 ユーザ認証を行う場合のデバイスへの平文出力に関する処理フローの一例を示す模式図である。 システム側から設定変更する場合のデバイスへの平文出力に関する処理フローの一例を示す模式図である。 秘匿通信路を介した鍵の更新に関する処理フローの一例を示す模式図である。 鍵情報データベースへの反映の一例を示す模式図である。 本実施の形態の情報処理システムの構成の第２例を示す模式図である。

以下、本発明をその実施の形態を示す図面に基づいて説明する。図１は本実施の形態の情報処理システムの構成の第１例を示す模式図である。情報処理システムは、測位ユニット１０、セキュアコンポーネント３０、デバイス５０、及び位置情報管理システム１００を備える。測位ユニット１０及びセキュアコンポーネント３０それぞれは、例えば、個々の半導体チップで構成され、秘匿通信路１５（セキュアチャネル）を介して接続されている。なお、以下では、センサユニットとして測位ユニット１０を例に挙げ、センサ情報の例として位置情報について説明するが、センサ情報は位置情報に限定されるものではない。

測位ユニット１０は、外部の環境情報を元に、デバイス５０の位置情報を計測する機器である。測位ユニット１０は、測位方法として、例えば、ＧＰＳ（Global Positioning System）、近距離無線（例えば、ビーコン、Ｗｉ－Ｆｉ、ＲＦＩＤなど）、移動体通信網、地磁気、及び音波の少なくとも１つを用いることができる。これにより、用途に応じた測位方法を用いて位置情報を取得することができる。測位ユニット１０は、位置情報計算機能１２、セキュアチャネル機能１３、及び出力機能１４を備え、アンテナ１１に接続されている。

位置情報計算機能１２は、外部環境情報（例えば、電波、地磁気など）から、自身が置かれている位置情報を計算する。セキュアチャネル機能１３は、図１に例示するように、測位ユニット１０がセキュアコンポーネント３０を内蔵していない場合、セキュアコンポーネント３０との間で情報の授受を行うためのセキュアチャネルを開設する。出力機能１４は、位置情報計算機能１２によって計算された位置情報を外部（図の例では、セキュアコンポーネント３０）に出力する。

位置情報計算機能１２によって計算される位置情報の具体的な内容は、測位ユニット１０で用いる技術によって異なるが、基本的にはＧＰＳで採用されているＮＭＥＡ（National Marine Electronics Association）フォーマットのような平文出力とすることができる。ただし、測位ユニット１０によっては、暗号化した位置情報を出力することもできる。

出力機能１４は、ＧＰＳモジュール等で採用されているＵＡＲＴ（Universal Asynchronous Receiver/Transmitter）等、通常のチップ間インタフェースでよいが、セキュアコンポーネント３０と秘匿通信路を確立する場合はセキュアチャネルを確立する機能を具備すればよい。セキュアチャネルの方式としては、例えば、ＧＰ ＳＣＰ０３（Global Platform Secure Channel Protocol 03）、ＴＬＳ（Transport Layer Security）等、適宜の方式を用いればよい。

セキュアコンポーネント３０は、デバイス５０や測位ユニット１０とは論理的、または物理的に隔離された、メモリを有するセキュアな実行環境である。本実施の形態では、セキュアコンポーネント３０は、セキュアエレメントとするが、トラステッド実行環境（ＴＥＥ：Trusted Execution Environment）等でもよい。セキュアエレメントは、耐タンパ性を有するセキュリティチップであり、内部にＣＰＵ、ＮＶＭ（Non-volatile memory）を有し、セキュアな不揮発性メモリを有する。

セキュアコンポーネント３０は、測位手段通信機能３１、セキュアチャネル機能３２、測位手段復号機能３３、デバイス通信機能３４、秘匿通信機能３５、鍵更新機能３６、暗号化機能３７、署名生成機能３８、及びユーザ認証機能３９を備える。また、セキュアコンポーネント３０は、暗号化フラグ、署名生成フラグ、ＰＩＮ、測位手段復号鍵、秘匿通信鍵、位置情報暗号鍵、署名生成鍵、ＳＥＩＤを保持する。

測位手段通信機能３１は、測位ユニット１０と通信する機能を備える。測位手段通信機能３１は、測位ユニット１０から送られた位置情報を受信する。セキュアチャネル機能３２は、測位ユニットとの間でセキュアチャネルを開設し、秘匿通信を行う。測位手段復号機能３３は、測位ユニットから送られて位置情報が暗号化されている場合、復号して平文の位置情報に戻す。

暗号化機能３７は、測位ユニット１０から送られた位置情報を暗号化する。暗号化機能３７は、復号された位置情報を再度暗号化する。署名生成機能３８は、位置情報に署名を付加する。デバイス通信機能３４は、セキュアコンポーネント３０を内蔵しているデバイス５０と通信するための機能を備える。

ユーザ認証機能３９は、デバイス所有者の認証を受け付け、認証可否判断を行い、認証状態を保持する機能を備える。秘匿通信機能３５は、位置情報管理システム１００とセキュアコンポーネント３０との間で秘匿通信路を開設する機能を備える。鍵更新機能３６は、セキュアコンポーネント３０内の鍵を更新する機能を備える。

ＰＩＮは、ユーザ認証機能３９において、正当なユーザであることを確認するために用いられるデータ列である。ＳＥＩＤは、各セキュアコンポーネント３０に個別に付与されたＩＤであり、位置情報管理システム１００側から個体識別が可能となっている。

次に、セキュアコンポーネント３０が保持する鍵について説明する。

測位手段復号鍵は、測位ユニット１０から得られる位置情報が暗号化されている場合に用いる復号鍵であり、使用する測位ユニット１０に合わせて事前に設定することができる。測位手段復号鍵に対向する鍵はない。

位置情報暗号鍵は、セキュアコンポーネント３０が位置情報を出力する際、位置情報の暗号化に用いる鍵である。位置情報管理システム１００側で、対向する鍵（位置情報復号鍵）を持ち、暗号化された位置情報を復号することができる。

署名生成鍵は、セキュアコンポーネント３０が位置情報に対して署名を行うための鍵である。デバイス５０又は位置情報管理システム１００側で、対向する鍵（署名検証鍵）を持ち、位置情報の正当性を確認することができる。

秘匿通信鍵は、セキュアコンポーネント３０と外部システムが秘匿通信を行うための鍵である。外部システム側も、対向する鍵（秘匿通信鍵）を持つ。

セキュアコンポーネント３０内の鍵として、対称鍵、非対称鍵のいずれを用いるかは適宜決定することができる。本実施の形態では、鍵の形態を以下のようにするが、これに限定されるものではない。

測位ユニット１０の暗号化としては、非対称鍵暗号方式を用い、測位手段復号鍵を公開鍵とすることができる。ＧＰＳのように、不特定多数に位置情報を供給する場合、供給を受ける側で秘密鍵を個別化して保持することが困難であるためである。

位置情報の暗号化及び復号としては、対称鍵暗号方式を用い、位置情報の暗号化、復号を同一鍵で行うことができる。非対称暗号方式を用いてもよいが、位置情報を頻繁に取得する場合、演算速度が高速な対称鍵が好適である。

署名の生成、検証としては、非対称鍵暗号方式を用い、署名生成鍵を秘密鍵とし、署名検証鍵を公開鍵とすることができる。署名は秘密鍵で生成しないと正当性を検証できないからである。また、署名検証鍵は十分な保護の及ばないデバイス５０上に保持されるユースケースがあるからである。

セキュアコンポーネント３０との秘匿通信としては、対称鍵暗号方式を用い、秘匿通信鍵を同一の鍵とする。非対称暗号方式を用いてもよいが、セキュアコンポーネント３０及び位置情報管理システム１００に保持されているので対称鍵の方が演算速度上有利だからである。

デバイス５０は、測位ユニット１０、セキュアコンポーネント３０、署名検証機能５１、ネットワーク通信機能５２、セキュアなコンポーネント通信機能５３を備える。また、デバイス５０は、署名検証鍵、ユーザからＰＩＮ入力を受け付けるためのキーパッドを備える。

セキュアなコンポーネント通信機能５３は、デバイス５０が内蔵するセキュアコンポーネント３０と通信を行う機能を備える。署名検証機能５１は、セキュアコンポーネント３０が生成した署名を検証する機能を備える。署名の検証には、署名検証鍵が用いられる。署名検証鍵は、事前に位置情報管理システム１００から取得することができる。ネットワーク通信機能５２は、位置情報管理システム１００と通信を行うための機能を備える。

デバイス５０は、一時的、恒常的を問わず、何らかの手段により位置情報を利用する全てのデバイスを含み、位置情報を参照するものであればＩｏＴデバイスも含む。デバイス５０は、例えば、スマートフォン、タブレット端末を含み、あるいは、自転車、バイク、自動車、列車、船舶又は飛行機等の交通移動手段を含み、気象観測デバイスのように位置情報を利用するＩｏＴデバイス等を含む。

位置情報管理システム１００は、位置情報管理サーバ１１０、及び鍵管理サーバ１２０を備える。なお、図の例では、位置情報管理システム１００は、２台のサーバで構成されているが、これに限定されるものではなく、１台または３台以上のサーバで構成してもよい。また、図の例では、１個のデバイス５０を図示しているが、デバイス５０は、複数備えることができる。

位置情報管理サーバ１１０は、デバイス５０（セキュアコンポーネント３０）それぞれの位置情報を管理し、把握するサーバである。位置情報管理サーバ１１０は、位置情報データベース１１１、位置情報管理機能１１２、及びネットワーク通信機能１１３を備える。

位置情報管理機能１１２は、位置情報データベース１１１へのアクセスを行い、位置情報を更新、参照する。ネットワーク通信機能１１３は、他のサーバと通信するための機能を備える。位置情報データベース１１１の詳細は後述する。

鍵管理サーバ１２０は、鍵情報データベース１２１、復号機能１２２、ネットワーク通信機能１２３、署名検証機能１２４、鍵更新（生成）機能１２５、及び秘匿通信機能１２６を備える。

復号機能１２２は、デバイス５０から受信した暗号化された位置情報を復号する機能を備える。署名検証機能１２４は、デバイス５０から受信した位置情報に付加された署名を検証する機能を備える。秘匿通信機能１２６は、セキュアコンポーネント３０と秘匿通信路を確立するための機能を備える。鍵管理サーバ１２０は、秘匿通信路を介して、セキュアコンポーネント３０の遠隔管理を行うことができる。鍵更新（生成）機能１２５は、鍵を更新する際に新しい鍵を生成し、鍵情報データベース１２１側に反映する機能を備える。ネットワーク通信機能１２３は、他のサーバと通信するための機能を備える。鍵情報データベース１２１の詳細は後述する。

本実施の形態では、デバイス５０は、位置情報を鍵管理サーバ１２０に一旦送信し、鍵管理サーバ１２０側で復号や署名検証を行う。位置情報管理サーバ１１０は、デバイス５０と直接通信せず、鍵管理サーバ１２０側から平文で受け取る形態としている。位置情報管理サーバ１１０と鍵管理サーバ１２０との間の通信は、例えば、ＴＬＳ等の秘匿通信によって秘匿性を確保して行うことができる。

図２は位置情報データベース１１１及び鍵情報データベース１２１の構成の一例を示す模式図である。位置情報データベース１１１は、例えば、ＳＥＩＤ、緯度、経度の各欄を有し、セキュアコンポーネント３０（あるいは、セキュアコンポーネント３０と紐付けられた測位ユニット１０やデバイス５０）個別の位置情報を保持する。鍵情報データベース１２１は、ＳＥＩＤ、位置情報復号鍵、署名検証鍵、秘匿通信鍵の各欄を有し、各セキュアコンポーネント３０に対応する位置情報復号鍵、署名検証鍵、秘匿通信鍵を保持する。

次に、本実施の形態の情報処理システムの具体的な処理について説明する。

図３は位置情報の暗号化出力と管理に関する処理フローの一例を示す模式図である。以下、図中の各処理を＃１～＃１３として説明する。図３に例示する処理フローは、測位ユニット１０から得られた位置情報を暗号化し、位置情報管理システム１００の位置情報データベース１１１に位置情報を反映するものである。

＃１（セキュアチャネルの開設）：測位ユニット１０とセキュアコンポーネント３０は、位置情報の授受に先立って、両者間でセキュアチャネルを確立する。なお、後述するように、セキュアコンポーネント３０が測位ユニット１０に内蔵されている場合、本手順は省略することができる。

＃２（環境情報の取得）：測位ユニット１０は、自身が位置情報を計算するために必要な環境情報（電波、地磁気など）を取得する。本実施の形態では、測位ユニット１０をＧＰＳとすると、衛星から出力されている電波を受信する。

＃３（位置情報の計算）：測位ユニット１０は、取得した環境情報を元に位置情報を計算する。

＃４（位置情報の出力）：測位ユニット１０は、計算した位置情報をセキュアコンポーネント３０に出力する。この場合、セキュアチャネルによる保護を用いて、セキュアコンポーネント３０に安全に位置情報を出力できる。

＃５（位置情報の暗号化）：セキュアコンポーネント３０は、暗号化機能３７を用いて、位置情報の暗号化を行う。ここでは、暗号化機能３７は、暗号化フラグを参照し、暗号化フラグが「暗号化を実施する」という状態を示していることを確認した上で、位置情報暗号鍵を用いて、位置情報を暗号化することができる。

＃６（署名の付与）：セキュアコンポーネント３０は、署名生成機能３８を用いて、暗号化された位置情報に対して署名を付与する。ここでは、署名生成機能３８は、署名生成フラグを参照し、署名生成フラグが「署名付与を実施する」という状態を示していることを確認した上で、セキュアコンポーネント３０のＳＥＩＤを付与し、署名生成鍵を用いて、署名を付与することができる。

＃７（デバイス５０への出力）：セキュアコンポーネント３０は、暗号化、署名付与が完了した位置情報をデバイス５０に出力する。

＃８（位置情報管理システム１００への送信）：デバイス５０は、ネットワーク通信機能５２を用いて、セキュアコンポーネント３０から取得した位置情報を位置情報管理システム１００の鍵管理サーバ１２０に送信する。

＃９（署名の検証）：位置情報管理システム１００は、鍵管理サーバ１２０の署名検証機能１２４を用いて、位置情報に付与された署名の検証を行う。署名検証機能１２４は、鍵情報データベース１２１に格納された署名検証鍵の中から、当該位置情報に付加されているＳＥＩＤ（この場合、ＳＥＩＤ：０００００００１）に基づいて、対応する署名検証鍵を特定し、特定した署名検証鍵を用いて署名の検証を行うことができる。署名検証に失敗した場合、当該位置情報は不正なデータとして取り扱われ（例えば、廃棄される）、以降の処理を実施しない。

＃１０（位置情報の復号）：位置情報管理システム１００は、署名検証に成功した場合、鍵管理サーバ１２０の復号機能１２２を用いて位置情報の復号を行う。復号機能１２２は、当該位置情報に付加されているＳＥＩＤ（この場合、ＳＥＩＤ：０００００００１）に基づいて、対応する位置情報復号鍵を特定し、特定した位置情報復号鍵を用いて位置情報の復号を行うことができる。

＃１１（位置情報管理サーバ１１０への送信）：鍵管理サーバ１２０は、復号した位置情報を位置情報管理サーバ１１０に送信する。

＃１２（位置情報管理機能１１２への通知）：位置情報管理サーバ１１０は、受信した位置情報を位置情報管理機能１１２に通知する。

＃１３（位置情報データベース１１１への反映）：位置情報管理機能１１２は、受信した位置情報に付加されているＳＥＩＤ（この場合、ＳＥＩＤ：０００００００１）をキーとして、位置情報データベース１１１の位置情報を、受信した位置情報で上書きする。

図４は位置情報データベース１１１の位置情報の反映の一例を示す模式図である。図４の例では、ＳＥＩＤ：０００００００１に対応する緯度が、３５．６９５８５５から３５．７９５８５５に変更され、経度が、１３９．７３０１３４から１３９．６３０１３４に変更されている。なお、緯度及び経度の値は一例として挙げているものであり、数値自体に特別な意味を持つものではない。

なお、位置情報管理システム１００側での署名検証に失敗し、位置情報が不正なデータとして取り扱われた場合の処理については、例えば、デバイス５０の無効化を行う、当該ＳＥＩＤのセキュアコンポーネント３０からのデータをすべて破棄する等、種々の運用を採用することができる。

上述のように、平文での位置情報の出力を行わず、位置情報をセキュアコンポーネント３０の外に出す際に暗号化を行うので、出力された位置情報の改ざん、漏洩を防止できる。また、不正な位置情報トレースを防止できる。

また、上述のように、セキュアコンポーネント３０で暗号化に用いる鍵と対向する鍵を位置情報管理システム１００にのみ持たせることにより、デバイス５０側での位置情報の改ざんを防止しつつ、位置情報の個別復号（セキュアコンポーネント３０の識別）を可能にする。

また、位置情報を暗号化する際、位置情報に対する署名を生成し、連結して出力するので、位置情報を取得したデバイス５０や、位置情報管理システム１００側において、測位ユニット１０やセキュアコンポーネント３０の正当性を確認することができる。

スプーフィング対策等に基づき、測位ユニット１０から取得した位置情報が事前に暗号化されているケースについても、今後増加することが想定される。ＧＰＳのように、不特定多数に対して測位情報を提供する場合、測位情報は不特定多数によって共用されることになるため、受信する主体ごとに個別の暗号化を施すことは困難であり、原則として共通の鍵を用いて暗号化を行うしかない。以下では、測位ユニット１０側で事前に暗号化された位置情報の処理について説明する。

図５は事前に暗号化された位置情報の取扱に関する処理フローの一例を示す模式図である。以下、図中の各処理を＃１～＃１４として説明する。

＃１（セキュアチャネルの開設）：測位ユニット１０とセキュアコンポーネント３０は、位置情報の授受に先立って、両者間でセキュアチャネルを確立する。なお、後述するように、セキュアコンポーネント３０が測位ユニット１０に内蔵されている場合、本手順は省略することができる。

＃２（環境情報の取得）：測位ユニット１０は、自身が位置情報を計算するために必要な環境情報（電波、地磁気など）を取得する。本実施の形態では、測位ユニット１０をＧＰＳとすると、衛星から出力されている電波を受信する。

＃３（位置情報の計算）：測位ユニット１０は、取得した環境情報を元に位置情報を計算する。このとき、当該位置情報は、計算時点で暗号化されているものとする。

＃４（位置情報の出力）：測位ユニット１０は、計算した位置情報をセキュアコンポーネント３０に出力する。この場合、セキュアチャネルによる保護を用いて、セキュアコンポーネント３０に安全に位置情報を出力できる。

＃５（位置情報の復号）：セキュアコンポーネント３０は、取得した位置情報を測位手段復号機能３３に渡し、位置情報に予め施されている暗号化を解いて復号する。復号には、事前に保持している測位手段復号鍵を用いることができる。

＃６（位置情報の再暗号化）：セキュアコンポーネント３０は、暗号化機能３７を用いて、位置情報の暗号化を行う。ここでは、暗号化機能３７は、暗号化フラグを参照し、暗号化フラグが「暗号化を実施する」という状態を示していることを確認した上で、位置情報暗号鍵を用いて、位置情報を暗号化することができる。

＃７（署名の付与）：セキュアコンポーネント３０は、署名生成機能３８を用いて、暗号化された位置情報に対して署名を付与する。ここでは、署名生成機能３８は、署名生成フラグを参照し、署名生成フラグが「署名付与を実施する」という状態を示していることを確認した上で、セキュアコンポーネント３０のＳＥＩＤを付与し、署名生成鍵を用いて、署名を付与することができる。

＃８（デバイス５０への出力）：セキュアコンポーネント３０は、暗号化、署名付与が完了した位置情報をデバイス５０に出力する。

＃９（位置情報管理システム１００への送信）：デバイス５０は、ネットワーク通信機能５２を用いて、セキュアコンポーネント３０から取得した位置情報を位置情報管理システム１００の鍵管理サーバ１２０に送信する。

＃１０（署名の検証）：位置情報管理システム１００は、鍵管理サーバ１２０の署名検証機能１２４を用いて、位置情報に付与された署名の検証を行う。署名検証機能１２４は、鍵情報データベース１２１に格納された署名検証鍵の中から、当該位置情報に付加されているＳＥＩＤ（この場合、ＳＥＩＤ：０００００００１）に基づいて、対応する署名検証鍵を特定し、特定した署名検証鍵を用いて署名の検証を行うことができる。署名検証に失敗した場合、当該位置情報は不正なデータとして取り扱われ（例えば、廃棄される）、以降の処理を実施しない。

＃１１（位置情報の復号）：位置情報管理システム１００は、署名検証に成功した場合、鍵管理サーバ１２０の復号機能１２２を用いて位置情報の復号を行う。復号機能１２２は、当該位置情報に付加されているＳＥＩＤ（この場合、ＳＥＩＤ：０００００００１）に基づいて、対応する位置情報復号鍵を特定し、特定した位置情報復号鍵を用いて位置情報の復号を行うことができる。

＃１２（位置情報管理サーバ１１０への送信）：鍵管理サーバ１２０は、復号した位置情報を位置情報管理サーバ１１０に送信する。

＃１３（位置情報管理機能１１２への通知）：位置情報管理サーバ１１０は、受信した位置情報を位置情報管理機能１１２に通知する。

＃１４（位置情報データベース１１１への反映）：位置情報管理機能１１２は、受信した位置情報に付加されているＳＥＩＤ（この場合、ＳＥＩＤ：０００００００１）をキーとして、位置情報データベース１１１の位置情報を、受信した位置情報で上書きする。

上述のように、測位ユニット１０の出力情報が暗号化されている場合、セキュアコンポーネント３０内で一旦復号し、再度セキュアコンポーネント３０内の鍵で暗号化して外部に出力するので、測位ユニット１０の暗号鍵が個別化されていない（第三者が復号できる）場合でも、セキュアコンポーネント３０の個別鍵で再暗号化することで、位置情報のセキュリティを高めることができる。すなわち、測位ユニット１０の暗号鍵が個別化されていない場合でも、セキュアコンポーネント３０の個別鍵で暗号化できるので、デバイス５０が個別に取得したセンサ情報の秘匿性、完全性を高めることができる。

前述の＃５の位置情報の復号のアルゴリズムと、＃６の位置情報の再暗号化のアルゴリズムとは、必ずしも同一である必要はなく、異なっていてもよい。例えば、暗号化配信されている位置情報は、非対称鍵暗号（ＲＳＡ：Rivest Shamir Adleman cryptosystem等）を用い、セキュアコンポーネント３０内で再暗号化する際のアルゴリズムとして対称鍵暗号（ＡＥＳ：Advanced Encryption Standard等）を用いてもよい。

前述の図３及び図５に例示した処理では、位置情報を位置情報管理システム１００側で復号することで位置情報の改ざんを防止できる。しかし、以下のような場合では、ユーザ、またはシステムの認証を付与することで、デバイス５０への平文出力を許容する構成とすることができる。すなわち、（１）デバイス５０側単体で位置情報の利用が完結している場合、（２）位置情報の取得を高速で行うため、都度暗号化の処理時間を削減したい場合、（３）位置情報のデバイス５０側の利用形態がクリティカルなものでなく、多少の改ざんリスクを許容できる場合などである。以下では、まずユーザ認証によってデバイス５０への平文出力を行うケースについて説明する。

図６はユーザ認証を行う場合のデバイス５０への平文出力に関する処理フローの一例を示す模式図である。以下、図中の各処理を＃１～＃１３として説明する。

＃１（セキュアチャネルの開設）：測位ユニット１０とセキュアコンポーネント３０は、位置情報の授受に先立って、両者間でセキュアチャネルを確立する。なお、後述するように、セキュアコンポーネント３０が測位ユニット１０に内蔵されている場合、本手順は省略することができる。

＃２（ユーザによる認証情報の入力）：ユーザは、デバイス５０内部で平文の位置情報を使用したい場合、ユーザ認証情報をデバイス５０に入力する。ここでは、ユーザは、ＰＩＮを入力することができる。

＃３（認証情報のインプット）：デバイス５０は、ユーザが入力した認証情報をセキュアコンポーネント３０にインプットし、ユーザ認証を依頼する。

＃４（認証の実施と暗号化フラグの変更）：セキュアコンポーネント３０は、ユーザ認証機能３９を用いて、入力された認証情報が正当なユーザのものであるか否かを検証する。ここでは、セキュアコンポーネント３０が保持している、事前に設定されているＰＩＮの値と、ユーザが入力したＰＩＮの値とが一致しているか比較し、両者が一致している場合には、認証成功とする。認証が成功した場合、ユーザ認証機能３９は、暗号化フラグが「暗号化を実施する」という状態から「暗号化を実施しない」という状態になるように、暗号化フラグの値を変更する。認証が失敗した場合、セキュアコンポーネント３０は、暗号化フラグを変更せず、「暗号化を実施する」という状態のままとして、平文出力を許可しない。この場合、以降の処理は実施されず、通常の暗号化出力のみが行われる。

＃５（環境情報の取得）：測位ユニット１０は、自身が位置情報を計算するために必要な環境情報（電波、地磁気など）を取得する。本実施の形態では、測位ユニット１０をＧＰＳとすると、衛星から出力されている電波を受信する。

＃６（位置情報の計算）：測位ユニット１０は、取得した環境情報を元に位置情報を計算する。このとき、当該位置情報は、計算時点で暗号化されているものとする。

＃７（位置情報の出力）：測位ユニット１０は、計算した位置情報をセキュアコンポーネント３０に出力する。この場合、セキュアチャネルによる保護を用いて、セキュアコンポーネント３０に安全に位置情報を出力できる。

＃８（位置情報の復号）：セキュアコンポーネント３０は、取得した位置情報を測位手段復号機能３３に渡し、位置情報に予め施されている暗号化を解いて復号する。復号には、事前に保持している測位手段復号鍵を用いることができる。

＃９（暗号化実施のキャンセル）：セキュアコンポーネント３０は、暗号化機能３７を呼び出す。暗号化機能３７は、暗号化フラグを参照し、「暗号化を実施しない」ことを確認した上で、暗号化を実施せずに、次の処理へ進む。

＃１０（署名の付与）：セキュアコンポーネント３０は、署名生成機能３８を用いて、平文の位置情報に対して署名を付与する。ここでは、署名生成機能３８は、署名生成フラグを参照し、署名生成フラグが「署名付与を実施する」という状態を示していることを確認した上で、セキュアコンポーネント３０のＳＥＩＤを付与し、署名生成鍵を用いて、署名を付与することができる。

＃１１（デバイス５０への出力）：セキュアコンポーネント３０は、署名付与が完了した平文の位置情報をデバイス５０に出力する。

＃１２（デバイス５０による署名検証）：デバイス５０は、自身が保持する署名検証鍵、及び署名検証機能５１を用いて、平文の位置情報に付与された署名の検証を実施する。署名検証に成功した場合、当該位置情報は正当であり、改ざんされていないものとして取り扱う。署名検証に失敗した場合は、当該位置情報は不正な情報として取り扱い、ここで処理を終了する。

＃１３（デバイス５０による位置情報利用）：デバイス５０は、署名検証に成功した後の正当な位置情報を、測位ユニット１０から得られた正確な位置情報として、デバイス５０内部で使用する。

上述のように、セキュアコンポーネント３０に対してＰＩＮ等のユーザ認証を行うことで、位置情報を暗号化せずに直接出力するので、デバイス５０内で完結するリアルタイム用途等、改ざん、漏洩のリスクがない（又は極めて低く許容できる）利用において、高速な位置情報の取得を可能にする。

前述の例において、ユーザが入力する認証情報は、ＰＩＮに限定されるものではない。例えば、生体情報等を入力して認証を行ってもよく、あるいはデジタルキー等の所有物認証を行ってもよい。また、デバイス５０側の署名検証のタイミングは、位置情報の取得の都度に限定されるものではなく、セキュリティポリシーに応じて、初回受信時のみに署名検証してもよく、また、署名検証のタイミングを変更してもよい。さらに、デバイス５０側で署名検証が不要であるとのセキュリティポリシーで運用する場合には、セキュアコンポーネント３０内での署名の付与を省略してもよい。すなわち、図６の＃４（認証の実施と暗号化フラグの変更）において、暗号化フラグとともに署名生成フラグも変更し、署名の実施を不要とする旨をセキュアコンポーネント３０に書き込むことで、署名生成を省略することができる。

次に、システム側から秘匿通信路経由で平文出力や署名なし出力を設定する例について説明する。

図７はシステム側から設定変更する場合のデバイス５０への平文出力に関する処理フローの一例を示す模式図である。以下、図中の各処理を＃１～＃１３として説明する。

＃１（セキュアチャネルの開設）：測位ユニット１０とセキュアコンポーネント３０は、位置情報の授受に先立って、両者間でセキュアチャネルを確立する。なお、後述するように、セキュアコンポーネント３０が測位ユニット１０に内蔵されている場合、本手順は省略することができる。

＃２（秘匿通信路の開設）：位置情報管理システム１００とセキュアコンポーネント３０とは、鍵管理サーバ１２０のネットワーク通信機能１２３、デバイス５０のネットワーク通信機能５２及びセキュアなコンポーネント通信機能５３、並びにセキュアコンポーネント３０の秘匿通信機能３５を用いて、両者間でエンドツーエンドの秘匿通信路を開設する。なお、ＴＬＳ等を用いてもよい。

＃３（フラグ更新指示）：位置情報管理システム１００は、秘匿通信路上でセキュアコンポーネント３０に対して、暗号化フラグの更新指示を送信する。

＃４（暗号化フラグの変更）：セキュアコンポーネント３０は、秘匿通信機能３５を用いて、暗号化フラグの更新指示を受信する。受信した更新指示に基づいて、セキュアコンポーネント３０は、暗号化フラグの値を変更し、暗号化を実施しない旨を書き込む。

＃５（環境情報の取得）：測位ユニット１０は、自身が位置情報を計算するために必要な環境情報（電波、地磁気など）を取得する。本実施の形態では、測位ユニット１０をＧＰＳとすると、衛星から出力されている電波を受信する。

＃６（位置情報の計算）：測位ユニット１０は、取得した環境情報を元に位置情報を計算する。このとき、当該位置情報は、計算時点で暗号化されているものとする。

＃７（位置情報の出力）：測位ユニット１０は、計算した位置情報をセキュアコンポーネント３０に出力する。この場合、セキュアチャネルによる保護を用いて、セキュアコンポーネント３０に安全に位置情報を出力できる。

＃８（位置情報の復号）：セキュアコンポーネント３０は、取得した位置情報を測位手段復号機能３３に渡し、位置情報に予め施されている暗号化を解いて復号する。復号には、事前に保持している測位手段復号鍵を用いることができる。

＃９（暗号化実施のキャンセル）：セキュアコンポーネント３０は、暗号化機能３７を呼び出す。暗号化機能３７は、暗号化フラグを参照し、「暗号化を実施しない」ことを確認した上で、暗号化を実施せずに、次の処理へ進む。

＃１０（署名の付与）：セキュアコンポーネント３０は、署名生成機能３８を用いて、平文の位置情報に対して署名を付与する。ここでは、署名生成機能３８は、署名生成フラグを参照し、署名生成フラグが「署名付与を実施する」という状態を示していることを確認した上で、セキュアコンポーネント３０のＳＥＩＤを付与し、署名生成鍵を用いて、署名を付与することができる。

＃１１（デバイス５０への出力）：セキュアコンポーネント３０は、署名付与が完了した平文の位置情報をデバイス５０に出力する。

＃１２（デバイス５０による署名検証）：デバイス５０は、自身が保持する署名検証鍵、及び署名検証機能５１を用いて、平文の位置情報に付与された署名の検証を実施する。署名検証に成功した場合、当該位置情報は正当であり、改ざんされていないものとして取り扱う。署名検証に失敗した場合は、当該位置情報は不正な情報として取り扱い、ここで処理を終了する。

＃１３（デバイス５０による位置情報利用）：デバイス５０は、署名検証に成功した後の正当な位置情報を、測位ユニット１０から得られた正確な位置情報として、デバイス５０内部で使用する。

上述のように、セキュアコンポーネント３０に対して秘匿通信路を介した指示を行うことで、位置情報を暗号化せずに直接出力するので、デバイス５０内で完結するリアルタイム用途等、改ざん、漏洩のリスクがない（又は極めて低く許容できる）利用において、高速な位置情報の取得を可能にする。

図７に示す処理においても、図６のユーザ認証の場合と同様、デバイス５０側の署名検証タイミングや署名生成フラグの更新による署名付与を省略することができる。

本実施の形態によれば、個別鍵をベースとした位置情報の個別保護を図ることができるが、ここで用いる鍵をセキュアコンポーネント３０毎に個別更新することで、鍵の陳腐化や漏洩に備えることができる。以下では、鍵の更新について説明する。

図８は秘匿通信路を介した鍵の更新に関する処理フローの一例を示す模式図である。以下、図中の各処理を＃１～＃１０として説明する。

＃１（秘匿通信路の開設）：位置情報管理システム１００とセキュアコンポーネント３０とは、鍵管理サーバ１２０のネットワーク通信機能１２３、デバイス５０のネットワーク通信機能５２及びセキュアなコンポーネント通信機能５３、並びにセキュアコンポーネント３０の秘匿通信機能３５を用いて、両者間でエンドツーエンドの秘匿通信路を開設する。なお、ＴＬＳ等を用いてもよい。

＃２（鍵の生成）：鍵管理サーバ１２０は、自身の鍵更新（生成）機能１２５を用いて、新しい鍵を生成する。本実施例では、新しい鍵として、位置情報暗号鍵、位置情報復号鍵、署名生成鍵、及び署名検証鍵を生成する。生成する鍵は、それぞれバージョン１．１とする。

＃３（鍵更新指示の送信）：鍵管理サーバ１２０は、鍵更新（生成）機能１２５が生成した鍵のうち、セキュアコンポーネント３０の新しい鍵（位置情報暗号鍵、署名生成鍵）を取得し、取得した新しい鍵とともに鍵更新指示を秘匿通信路経由でセキュアコンポーネント３０に送信する。

＃４（鍵更新指示の受信）：セキュアコンポーネント３０は、秘匿通信路経由で鍵更新指示を受信する。

＃５（鍵更新機能３６の呼び出し）：セキュアコンポーネント３０は、受信した鍵更新指示を鍵更新機能３６に渡す。

＃６（鍵の更新）：鍵更新機能３６は、鍵更新指示に含まれる新しい鍵を取り出し、位置情報暗号鍵を暗号化機能３７で用いる鍵とし、署名生成鍵を署名生成機能３８で用いる鍵として、鍵の更新を行う。図の例では、位置情報暗号鍵１．１、署名生成鍵１．１に更新されている。

＃７（更新処理終了通知の送信）：上述の鍵の更新が終了すると、セキュアコンポーネント３０は、鍵管理サーバ１２０に対して、秘匿通信路経由で鍵更新終了通知を送信する。

＃８（更新処理終了通知の受信）：鍵管理サーバ１２０は、セキュアコンポーネント３０から、秘匿通信路経由で鍵更新終了通知を受信する。

＃９（鍵情報データベース１２１への反映）：鍵管理サーバ１２０は、鍵情報データベース１２１に、サーバ側の新しい鍵（位置情報復号鍵、署名検証鍵）を反映する。

図９は鍵情報データベース１２１への反映の一例を示す模式図である。図の例では、古いバージョンの位置情報復号鍵及び署名検証鍵が、新しいバーション１．１の位置情報復号鍵及び署名検証鍵に変更されている。

＃１０（デバイス側署名検証鍵の更新）：デバイス５０は、鍵管理サーバ１２０から、新しいバージョンの署名検証鍵の配布を受けて、自身の署名検証鍵を更新する。

なお、上述の例では、測位手段復号鍵の更新については明示していないが、測位手段復号鍵についても同様に、秘匿通信路を経由して更新することができる。

上述のように、セキュアコンポーネント３０をエンドポイントとした秘匿通信路を外部と確立し、内部の個別鍵を遠隔で更新するので、セキュアコンポーネント３０内の鍵の陳腐化を回避できる。

図１に例示した第１例では、測位ユニット１０とセキュアコンポーネント３０とは、秘匿通信路を介して接続される構成であった。すなわち、第１例では、測位ユニット１０は、セキュアコンポーネント３０を有する半導体チップとは別の半導体チップ内に構成され、秘匿通信路を介してセキュアコンポーネント３０と接続されている。これにより、セキュアコンポーネント３０との間で一連の動作を協調して行うことができる測位ユニット１０を実現できる。

図１０は本実施の形態の情報処理システムの構成の第２例を示す模式図である。第２例は、上述の第１例と異なり、測位ユニット１０がセキュアコンポーネント３０を備える構成である。この場合、測位ユニット１０は、セキュアコンポーネント３０を有する半導体チップ内に構成され（物理的に一体化され）、セキュアコンポーネント３０と物理的に接続するようにしてもよい。測位ユニット１０（出力機能１４）は、配線１６を介して、セキュアコンポーネント３０と物理的に接続されている。これにより、セキュアコンポーネント３０との間で一連の動作を協調して行うことができる測位ユニット１０を実現できる。

また、図１又は図１０のいずれの構成でも、測位ユニット１０から得られた位置情報を速やかにセキュアコンポーネント３０に取り込むので、測位ユニット１０から取り込んだ位置情報の改ざん機会を与えない。

本実施の形態は、ＩＣＴを利用して交通をクラウド化し、全ての交通手段によるモビリティを一つのサービスとして捉えシームレスに繋ぐことを特徴としたＭａａＳ（Mobility as a Service）にも適用可能である。例えば、社会にＭａａＳの概念が浸透していくと、（１）自動運転を用いた配車、（２）生活者の位置情報を用いた交通手段の最適選択、（３）人、電車、バス等の個々の位置を収集し、ビッグデータとして解析することで傾向性を把握、などの様々なサービスに利用することが可能となる。

上述の実施の形態では、センサユニットの一例として測位ユニットを挙げ、センサ情報の一例として位置情報について説明したが、センサユニットは測位ユニットに限定されるものではなく、情報も位置情報に限定されるものではない。例えば、家電業界では、エアコンなどの電化製品の使用状況を把握し、自動制御で運転制御、消費電力の最適化などに適用することができる。また、健康器具業界では、例えば、衣服やウェアラブル端末からユーザのバイタルデータ（例えば、心拍数、血圧など）、ユーザの姿勢や動作に関するデータを収集し、健康管理、ストレス、歩行状態などを推定するサービスに適用することができる。製造業界では、例えば、工場の生産設備ごとの稼働状態や消費電力のデータを収集し、設備の保守や予防交換の通知などのサービスに適用することができる。これらの場合、データを検出するためのセンサは、検出対象に応じて、公知のセンサを適宜用いればよい。

本実施の形態のセキュアコンポーネントは、センサユニットが検出したセンサ情報を取得するセンサ情報取得部と、前記センサ情報取得部で取得したセンサ情報を暗号化する暗号化部と、前記暗号化部で暗号化したセンサ情報を外部に出力する出力部とを備える。

本実施の形態のコンピュータプログラムは、コンピュータに、センサユニットが検出したセンサ情報を取得し、取得したセンサ情報を暗号化し、暗号化したセンサ情報を外部に出力する、処理を実行させる。

セキュアコンポーネントは、センサユニットが検出したセンサ情報を取得し、取得したセンサ情報を暗号化する。センサユニットから得られたセンサ情報を速やかにセキュアコンポーネントに取り込み、取り込んだセンサ情報を暗号化するので、センサ情報の改ざん機会を与えることを防止でき、センサ情報を保護することができる。また、セキュアコンポーネントは、暗号化したセンサ情報を外部に出力するので、出力されたセンサ情報の改ざん、漏洩を防止でき、センサ情報の保護を図ることができる。

本実施の形態のセキュアコンポーネントは、セキュアエレメント又はトラステッド実行環境のいずれかを備える。

セキュアコンポーネントは、セキュアエレメント又はトラステッド実行環境のいずれかを備えるので、セキュアコンポーネント内部の情報の保護を図ることができる。

本実施の形態のセキュアコンポーネントは、前記センサ情報取得部で取得したセンサ情報が暗号化されている場合、前記センサ情報を復号する復号部を備え、前記暗号化部は、前記復号部で復号したセンサ情報を、セキュアコンポーネント自身が保持する鍵で再度暗号化する。

セキュアコンポーネントは、取得したセンサ情報が暗号化されている場合、センサ情報を復号し、復号したセンサ情報を、セキュアコンポーネント自身が保持する鍵で再度暗号化する。センサユニットが出力するセンサ情報が暗号化されている場合、セキュアコンポーネント内で一旦復号し、再度セキュアコンポーネント内の鍵で暗号化して外部に出力することができる。これにより、センサユニットの暗号鍵が個別化されていない（第三者が復号できる）場合でも、セキュアコンポーネントの個別鍵で再暗号化することで、センサ情報のセキュリティを高めることができる。すなわち、センサユニットの暗号鍵が個別化されていない場合でも、セキュアコンポーネントの個別鍵で暗号化できるので、デバイスが個別に取得したセンサ情報の秘匿性、完全性を高めることができる。

本実施の形態のセキュアコンポーネントは、前記センサ情報取得部で取得したセンサ情報、又は前記暗号化部で暗号化したセンサ情報に対する署名を生成する署名生成部を備え、前記出力部は、暗号化されていないセンサ情報又は暗号化されたセンサ情報に前記署名を付与して外部に出力する。

セキュアコンポーネントは、取得したセンサ情報、又は暗号化したセンサ情報に対する署名を生成し、暗号化されていないセンサ情報又は暗号化されたセンサ情報に署名を付与して外部に出力する。署名を付与することにより、外部のデバイスや情報処理装置に対して、センサユニットやセキュアコンポーネントの正当性を確認するための情報を提供できる。

本実施の形態のセキュアコンポーネントは、ユーザが入力した認証情報を取得する認証情報取得部と、前記認証情報を認証する認証部とを備え、前記出力部は、前記認証情報の認証が成功した場合、前記署名を付与しない。

セキュアコンポーネントは、ユーザが入力した認証情報を取得し、取得した認証情報を認証し、認証情報の認証が成功した場合、署名を付与しない。セキュアコンポーネントを備えるデバイス側単体でセンサ情報の利用が完結しているリアルタイム用途であって、センサ情報の改ざんや漏洩のリスクがない場合には、ユーザが入力する認証情報の認証を条件として、署名の処理時間を削減して、高速なセンサ情報の取得を可能にすることができる。

本実施の形態のセキュアコンポーネントは、ユーザが入力した認証情報を取得する認証情報取得部と、前記認証情報を認証する認証部とを備え、前記出力部は、前記認証情報の認証が成功した場合、前記センサ情報取得部で取得したセンサ情報を暗号化せずに外部に出力する。

セキュアコンポーネントは、ユーザが入力した認証情報を取得する認証情報取得部と、前記認証情報を認証する認証部とを備え、ユーザが入力した認証情報の認証が成功した場合、取得したセンサ情報を暗号化せずに外部に出力する。セキュアコンポーネントを備えるデバイス側単体でセンサ情報の利用が完結しているリアルタイム用途であって、センサ情報の改ざんや漏洩のリスクがない場合には、ユーザが入力する認証情報の認証を条件として、センサ情報の平文出力を許容した構成を実現して、暗号化の処理時間を削減して、高速なセンサ情報の取得を可能にすることができる。

本実施の形態のセキュアコンポーネントにおいて、前記出力部は、前記認証情報の認証が成功した場合、前記署名を付与しない。

セキュアコンポーネントは、ユーザが入力した認証情報の認証が成功した場合、取得したセンサ情報を暗号化せず、かつ署名の付与もせずに外部に出力することができる。

本実施の形態のセキュアコンポーネントは、所定の鍵を保持する第１保持部と、第１外部サーバとの間で秘匿通信路を開設する第１開設部と、前記秘匿通信路を介して、前記第１外部サーバから取得した鍵で前記第１保持部に保持する鍵を更新する第１更新部とを備える。

セキュアコンポーネントは、所定の鍵を保持し、第１外部サーバとの間で開設した秘匿通信路を介して、第１外部サーバから取得した鍵で保持する鍵を更新する。これにより、セキュアコンポーネント内の鍵の陳腐化を回避することができる。

本実施の形態のセキュアコンポーネントは、暗号化処理及び署名生成処理の少なくとも１つを含む内部処理の設定情報を保持する第２保持部と、第２外部サーバとの間で秘匿通信路を開設する第２開設部と、前記秘匿通信路を介して、前記第２外部サーバからの指示に基づいて前記設定情報を更新する第２更新部とを備える。

セキュアコンポーネントは、暗号化処理及び署名生成処理の少なくとも１つを含む内部処理の設定情報を保持し、第２外部サーバとの間で開設した秘匿通信路を介して、第２外部サーバからの指示に基づいて設定情報を更新する。設定情報は、例えば、暗号化処理を実施するか否か、または署名生成処理を実施するか否かの設定のための情報である。これにより、デバイス側のセキュリティポリシーに応じた運用を行うことができる。

本実施の形態のセンサユニットは、前述のセキュアコンポーネントを備える。

センサユニットは、セキュアコンポーネントを備える。例えば、セキュアコンポーネントをセンサユニットの内部に格納することができる。これにより、セキュアコンポーネントとの間で一連の動作を協調して行うことができるセンサユニットを実現できる。

本実施の形態のセンサユニットは、セキュアコンポーネントを有する半導体チップとは別の半導体チップ内に構成され、秘匿通信路を介して前記セキュアコンポーネントと接続されている。

センサユニットは、セキュアコンポーネントを有する半導体チップとは別の半導体チップ内に構成され、秘匿通信路を介してセキュアコンポーネントと接続されている。これにより、セキュアコンポーネントとの間で一連の動作を協調して行うことができるセンサユニットを実現できる。

本実施の形態のセンサユニットは、セキュアコンポーネントを有する半導体チップ内に構成され、前記セキュアコンポーネントと物理的に接続されている。

センサユニットは、セキュアコンポーネントを有する半導体チップ内に構成され、セキュアコンポーネントと物理的に接続されている。これにより、セキュアコンポーネントとの間で一連の動作を協調して行うことができるセンサユニットを実現できる。

本実施の形態のセンサユニットは、前記センサ情報として位置情報を測位する位置測位センサを備える。

センサユニットは、位置測位センサを備え、センサ情報として位置情報を測位することができる。センサユニットと協調動作を行うセキュアコンポーネントは、センサユニットが検出した位置情報を取得し、取得した位置情報を暗号化する。センサユニットから得られた位置情報を速やかにセキュアコンポーネントに取り込み、取り込んだ位置情報を暗号化するので、位置情報の改ざん機会を与えることを防止でき、位置情報を保護することができる。また、セキュアコンポーネントは、暗号化した位置情報を外部に出力するので、出力された位置情報の改ざん、漏洩を防止でき、位置情報の保護を図ることができる。

本実施の形態のセンサユニットにおいて、前記位置測位センサは、測位方法に、ＧＰＳ、近距離無線、移動体通信網、地磁気、及び音波の少なくとも１つを用いる。

センサユニットが備える位置測位センサは、測位方法に、ＧＰＳ、近距離無線、移動体通信網、地磁気、及び音波の少なくとも１つを用いる。これにより、用途に応じた測位方法を用いて位置情報を取得することができる。

本実施の形態のデバイスは、前述のセキュアコンポーネントと、前述のセンサユニットとを備え、前記センサユニットが検出したセンサ情報であって、暗号化されたセンサ情報を外部装置に送出する。

デバイスは、セキュアコンポーネントと、センサユニットとを備え、センサユニットが検出したセンサ情報であって、暗号化されたセンサ情報を外部装置に送出する。デバイスは、セキュアコンポーネント内で暗号化されたセンサ情報を外部装置へ送出するので、センサユニットから取り込んだセンサ情報の改ざんや漏洩を防止できる。

本実施の形態のデバイスは、前記セキュアコンポーネントが出力するセンサ情報に署名が付与されている場合、前記署名を検証する検証部を備える。

デバイスは、セキュアコンポーネントが出力するセンサ情報に署名が付与されている場合、署名を検証する。これにより、センサ情報が正当なものであるか否かを検証することができ、仮に不正なセンサ情報であれば、当該不正なセンサ情報を使用せずに破棄することができる。

本実施の形態の情報処理装置は、前述のデバイスが送出した、暗号化されたセンサ情報を受信する受信部と、前記受信部で受信したセンサ情報を復号する復号部と、前記復号部で復号されたセンサ情報に基づいて、前記デバイスの状態を検知する検知部とを備える。

情報処理装置は、デバイスが送出した、暗号化されたセンサ情報を受信し、受信したセンサ情報を復号し、復号されたセンサ情報に基づいて、デバイスの状態を検知する。これにより、デバイス側でセンサ情報（例えば、位置情報を含む）の改ざんを防止しつつ、セキュアコンポーネントの識別に基づく、センサ情報の個別復号を可能にすることができる。デバイスの状態は、デバイスのセキュリティ上の状態とすることができ、例えば、セキュリティの観点でデバイスが適切な状態であるか否かを検知することができる。また、センサ情報が位置情報である場合、デバイスの位置を検知することができる。

本実施の形態の情報処理装置は、前記デバイスが送出するセンサ情報に署名が付与されている場合、前記署名を検証する検証部を備える。

情報処理装置は、デバイスが送出するセンサ情報に署名が付与されている場合、署名を検証する。これにより、センサ情報が正当なものであるか否かを検証することができ、仮に不正なセンサ情報であれば、当該不正なセンサ情報を使用せずに破棄することができる。

本実施の形態の情報処理装置において、前記センサ情報は、位置情報を含み、前記検知部は、前記デバイスの位置を検知する。

センサ情報は、位置情報を含み、情報処理装置は、デバイスの位置を検知する。これにより、情報処理装置は、位置情報の計算の元になる測位信号の改ざんや、デバイスでの位置情報の改ざんなどを防止した状態で正当な位置情報を取得することができる。

本実施の形態の情報処理装置は、前記セキュアコンポーネントとの間で秘匿通信路を開設する開設部と、前記秘匿通信路を介して、前記セキュアコンポーネントが保持する所定の鍵、及び前記セキュアコンポーネントによる内部処理設定情報の少なくとも一方の更新指示を出力する出力部とを備える。

情報処理装置は、セキュアコンポーネントとの間で秘匿通信路を開設し、開設した秘匿通信路を介して、セキュアコンポーネントが保持する所定の鍵、及びセキュアコンポーネントによる内部処理設定情報の少なくとも一方の更新指示を出力する。所定の鍵は、例えば、センサ情報の暗号化鍵、暗号化されたセンサ情報の復号鍵、署名を生成するための署名生成鍵、署名を検証するための署名検証鍵、秘匿通信に用いる鍵などを含む。これにより、鍵の陳腐化や漏洩を防止できる。内部処理設定は、例えば、暗号化処理を実施するか否かの設定情報、署名処理を実施するか否かの設定情報を含む。これにより、デバイス側のセキュリティポリシーに応じた運用を行うことができる。

本実施の形態の情報処理方法は、センサユニットが検出したセンサ情報をセキュアコンポーネントが暗号化し、前記センサユニット及びセキュアコンポーネントを備えるデバイスが、セキュアコンポーネントが暗号化したセンサ情報を情報処理装置に送出し、前記情報処理装置は、暗号化されたセンサ情報を復号し、復号したセンサ情報に基づいて前記デバイスの状態を検知する。

情報処理方法は、センサユニットが検出したセンサ情報をセキュアコンポーネントが暗号化し、センサユニット及びセキュアコンポーネントを備えるデバイスが、セキュアコンポーネントが暗号化したセンサ情報を情報処理装置に送出し、情報処理装置は、暗号化されたセンサ情報を復号し、復号したセンサ情報に基づいてデバイスの状態を検知する。これにより、情報処理装置は、センサ情報の計算の元になる信号の改ざんや、デバイスでのセンサ情報の改ざんなどを防止した状態で正当なセンサ情報を取得することができる。

１０ 測位ユニット
１１ アンテナ
１２ 位置情報計算機能
１３ セキュアチャネル機能
１４ 出力機能
１５ 秘匿通信路
１６ 配線
３０ セキュアコンポーネント
３１ 測位手段通信機能
３２ セキュアチャネル機能
３３ 測位手段復号機能
３４ デバイス通信機能
３５ 秘匿通信機能
３６ 鍵更新機能
３７ 暗号化機能
３８ 署名生成機能
３９ ユーザ認証機能
５０ デバイス
５１ 署名検証機能
５２ ネットワーク通信機能
５３ セキュアなコンポーネント通信機能
１００ 位置情報管理システム
１１０ 位置情報管理サーバ
１１１ 位置情報データベース
１１２ 位置情報管理機能
１１３ ネットワーク通信機能
１２０ 鍵管理サーバ
１２１ 鍵情報データベース
１２２ 復号機能
１２３ ネットワーク通信機能
１２４ 署名検証機能
１２５ 鍵更新（生成）機能
１２６ 秘匿通信機能

Claims (22)

1. センサユニットが検出したセンサ情報を取得するセンサ情報取得部と、
   前記センサ情報取得部で取得したセンサ情報を暗号化する暗号化部と、
   前記暗号化部で暗号化したセンサ情報を外部に出力する出力部と
   を備える、
   セキュアコンポーネント。
2. セキュアエレメント又はトラステッド実行環境のいずれかを備える、
   請求項１に記載のセキュアコンポーネント。
3. 前記センサ情報取得部で取得したセンサ情報が暗号化されている場合、前記センサ情報を復号する復号部を備え、
   前記暗号化部は、
   前記復号部で復号したセンサ情報を、セキュアコンポーネント自身が保持する鍵で再度暗号化する、
   請求項１又は請求項２に記載のセキュアコンポーネント。
4. 前記センサ情報取得部で取得したセンサ情報、又は前記暗号化部で暗号化したセンサ情報に対する署名を生成する署名生成部を備え、
   前記出力部は、
   暗号化されていないセンサ情報又は暗号化されたセンサ情報に前記署名を付与して外部に出力する、
   請求項１から請求項３のいずれか一項に記載のセキュアコンポーネント。
5. ユーザが入力した認証情報を取得する認証情報取得部と、
   前記認証情報を認証する認証部と
   を備え、
   前記出力部は、
   前記認証情報の認証が成功した場合、前記署名を付与しない、
   請求項４に記載のセキュアコンポーネント。
6. ユーザが入力した認証情報を取得する認証情報取得部と、
   前記認証情報を認証する認証部と
   を備え、
   前記出力部は、
   前記認証情報の認証が成功した場合、前記センサ情報取得部で取得したセンサ情報を暗号化せずに外部に出力する、
   請求項４に記載のセキュアコンポーネント。
7. 前記出力部は、
   前記認証情報の認証が成功した場合、前記署名を付与しない、
   請求項６に記載のセキュアコンポーネント。
8. 所定の鍵を保持する第１保持部と、
   第１外部サーバとの間で秘匿通信路を開設する第１開設部と、
   前記秘匿通信路を介して、前記第１外部サーバから取得した鍵で前記第１保持部に保持する鍵を更新する第１更新部と
   を備える、
   請求項１から請求項７のいずれか一項に記載のセキュアコンポーネント。
9. 暗号化処理及び署名生成処理の少なくとも１つを含む内部処理の設定情報を保持する第２保持部と、
   第２外部サーバとの間で秘匿通信路を開設する第２開設部と、
   前記秘匿通信路を介して、前記第２外部サーバからの指示に基づいて前記設定情報を更新する第２更新部と
   を備える、
   請求項１から請求項８のいずれか一項に記載のセキュアコンポーネント。
10. 請求項１から請求項９のいずれか一項に記載のセキュアコンポーネントを備える、
    センサユニット。
11. 請求項１から請求項９のいずれか一項に記載のセキュアコンポーネントを有する半導体チップとは別の半導体チップ内に構成され、秘匿通信路を介して前記セキュアコンポーネントと接続されている、
    センサユニット。
12. 請求項１から請求項９のいずれか一項に記載のセキュアコンポーネントを有する半導体チップ内に構成され、前記セキュアコンポーネントと物理的に接続されている、
    センサユニット。
13. 前記センサ情報として位置情報を測位する位置測位センサを備える、
    請求項１０から請求項１２のいずれか一項に記載のセンサユニット。
14. 前記位置測位センサは、
    測位方法に、ＧＰＳ、近距離無線、移動体通信網、地磁気、及び音波の少なくとも１つを用いる、
    請求項１３に記載のセンサユニット。
15. 請求項１から請求項９のいずれか一項に記載のセキュアコンポーネントと、
    請求項１１から請求項１４のいずれか一項に記載のセンサユニットと
    を備え、
    前記センサユニットが検出したセンサ情報であって、暗号化されたセンサ情報を外部装置に送出する、
    デバイス。
16. 前記セキュアコンポーネントが出力するセンサ情報に署名が付与されている場合、前記署名を検証する検証部を備える、
    請求項１５に記載のデバイス。
17. 請求項１５又は請求項１６に記載のデバイスが送出した、暗号化されたセンサ情報を受信する受信部と、
    前記受信部で受信したセンサ情報を復号する復号部と、
    前記復号部で復号されたセンサ情報に基づいて、前記デバイスの状態を検知する検知部と
    を備える、
    情報処理装置。
18. 前記デバイスが送出するセンサ情報に署名が付与されている場合、前記署名を検証する検証部を備える、
    請求項１７に記載の情報処理装置。
19. 前記センサ情報は、位置情報を含み、
    前記検知部は、
    前記デバイスの位置を検知する、
    請求項１７又は請求項１８に記載の情報処理装置。
20. 前記セキュアコンポーネントとの間で秘匿通信路を開設する開設部と、
    前記秘匿通信路を介して、前記セキュアコンポーネントが保持する所定の鍵、及び前記セキュアコンポーネントによる内部処理設定情報の少なくとも一方の更新指示を出力する出力部と
    を備える、
    請求項１７から請求項１９のいずれか一項に記載の情報処理装置。
21. コンピュータに、
    センサユニットが検出したセンサ情報を取得し、
    取得したセンサ情報を暗号化し、
    暗号化したセンサ情報を外部に出力する、
    処理を実行させるコンピュータプログラム。
22. センサユニットが検出したセンサ情報をセキュアコンポーネントが暗号化し、
    前記センサユニット及びセキュアコンポーネントを備えるデバイスが、セキュアコンポーネントが暗号化したセンサ情報を情報処理装置に送出し、
    前記情報処理装置は、暗号化されたセンサ情報を復号し、復号したセンサ情報に基づいて前記デバイスの状態を検知する、
    情報処理方法。

Images