JP2022097844A - セキュアエレメント，セキュアエレメントにおける特権の割り当て管理方法およびｉｃチップ - Google Patents

Abstract

【課題】複数のアプリケーションを搭載可能なセキュアエレメントにおいて，予め指定した特権を割り当てるアプリケーションの数を管理する。【解決手段】セキュアエレメント１は，アプリケーション１１に対する割り当て要求を受けた特権が，割り当て個数に上限値を設けた特権であるか確認し，割り当て個数に上限値を設けた特権の場合，割り当て要求を受けた特権に係る割り当て個数を確認し，割り当て要求を受けた特権に係る割り当て個数が割り当て要求を受けた特権に設定された上限値を超えていない場合のみ，割り当て要求を受けた特権をアプリケーション１１に割り当てる処理を実行する特権管理部１００を備えている。【選択図】図１

Description

本発明は，複数のアプリケーションを搭載可能なセキュアエレメントに関する。

複数のアプリケーションを搭載できるセキュアエレメントが様々な分野で利用されている。セキュアエレメントは，メモリ，プロセッサおよびオペレーティングシステムを備え，強固な耐タンパー性を持ち，ＩＤ，暗号鍵，電子証明書等の重要データを安全に格納できる小型の半導体デバイスである。

複数のアプリケーションを搭載できるセキュアエレメントには，セキュアエレメントに搭載するアプリケーションに特別な機能を与える特権（privilege）を割り当てることができるのが一般的である。アプリケーションに設定できる特権は，セキュアエレメントのセキュリティに係る機能が主になる。

複数のアプリケーションを搭載できるセキュアエレメントの仕様の一つに非特許文献１がある。アプリケーションに特権を割り当てたときに生じる問題について，非特許文献１を例に挙げて説明する。

非特許文献１では，セキュアエレメントに搭載するアプリケーションとして，セキュアエレメントにおけるドメインのセキュリティ管理に係る処理を行うドメインアプリケーションと，サービス事業者が提供するサービスに適合した処理を行う通常アプリケーションの２種類が定義されている。非特許文献１においてドメインアプリケーションは「Security Domain」と称されている。

非特許文献１では，ドメインアプリケーションと通常アプリケーションのいずれにも特権を定義できる。非特許文献１では，アプリケーションに割り当てることができる特権として２０個の特権を定義している。

特許文献１にも記述がある通り，非特許文献１では，セキュアエレメントに搭載するアプリケーションに割り当てる特権は，アプリケーションをセキュアエレメントにインストールする際に指定される。具体的には，アプリケーションをセキュアエレメントにインストールするコマンドによって，セキュアエレメントにインストールするアプリケーションに割り当てる特権が指定される。

アプリケーションに割り当て可能な特権には，セキュアエレメントで実行される処理において特別処理を義務付ける特権がある。特別処理を義務付ける特権としては，セキュアエレメントにアプリケーションをインストールする際，アプリケーションのプログラムコードに係る整合性検証を義務付ける特権がある。非特許文献１では，この特権のことをMandated DAP（Data Authentication Pattern）Verificationと呼んでいるが，本発明では，この特権のことを整合性検証要求と呼ぶことにする。

特別処理を義務付ける特権を数多くのアプリケーションに割り当てると，この特権が義務付けている特別処理がアプリケーションごとに必要になり，セキュアエレメントで実行される処理に要する時間が長くなってしまう問題がある。

上述した整合性検証要求は，ドメインアプリケーションに割り当てることができる特権になる。アプリケーションのプログラムコードをセキュアエレメントにロードする際，整合性検証要求を割り当てたドメインアプリケーションの数だけ，アプリケーションのプログラムコードに係る整合性検証が繰り返し実行される。このため，整合性検証要求を割り当てたドメインアプリケーションの数が多いと，アプリケーションのプログラムコードをセキュアエレメントにロードする処理が著しく遅くなってしまう。

また，セキュアエレメントに搭載するアプリケーションに割り当て可能な特権の中には，セキュアエレメントにおけるメモリ領域を必要とする特権がある。例えば，整合性検証要求の場合，アプリケーションのプログラムコードに係る整合性検証結果を記録するメモリ領域が，整合性検証要求を割り当てたドメインアプリケーションごとに必要になる。よって，メモリ領域を必要とする特権を数多くのアプリケーションに割り当てると，その分だけメモリ領域が必要になってしまう。

特開２０１８－６７７９５号公報

Global Platform Card Specification(v2.3)

上述した問題を鑑みて発案された本発明の目的は，複数のアプリケーションを搭載可能なセキュアエレメントにおいて，予め指定した特権を割り当てるアプリケーションの数を管理することにある。

上述した課題を解決するセキュアエレメントに係る発明は，アプリケーションに対する割り当て要求を受けた特権が，割り当て個数に上限値を設けた特権であるか確認し，割り当て個数に上限値を設けた特権の場合，前記割り当て要求を受けた特権に係る割り当て個数を確認し，前記割り当て要求を受けた特権に係る割り当て個数が前記割り当て要求を受けた特権に設定された上限値に達していない場合のみ，前記割り当て要求を受けた特権を前記アプリケーションに割り当てる処理を実行する特権管理部を備えたことを特徴とするセキュアエレメントである。なお，割り当て個数に上限値を設けた特権を整合性検証要求にすることが好適である。

上述した課題を解決する特権の設定管理方法に係る発明は，特権の割り当てを管理する特権管理部が，アプリケーションに対する割り当て要求を受けた特権が割り当て個数に上限値を設けた特権であるか確認するステップ，前記割り当て要求を受けた特権が割り当て個数に上限値を設けた特権の場合，前記特権管理部が，前記割り当て要求を受けた特権に係る割り当て個数を確認するステップ，前記割り当て要求を受けた特権に係る割り当て個数が前記割り当て要求を受けた特権に設定された上限値に達していない場合のみ，前記特権管理部が前記割り当て要求を受けた特権を前記アプリケーションに割り当てる処理を実行するステップを含むことを特徴とするセキュアエレメントにおける特権の割り当て管理方法である。なお，割り当て個数に上限値を設けた特権を整合性検証要求にすることが好適である。

上述した課題を解決するＩＣチップに係る発明は，アプリケーションに対する割り当て要求を受けた特権が，割り当て個数に上限値を設けた特権であるか確認し，割り当て個数に上限値を設けた特権の場合，前記割り当て要求を受けた特権に係る割り当て個数を確認し，前記割り当て要求を受けた特権に係る割り当て個数が前記割り当て要求を受けた特権に設定された上限値に達していない場合のみ，前記割り当て要求を受けた特権を前記アプリケーションに割り当てる処理を実行する特権管理部を備えたことを特徴とするＩＣチップである。なお，割り当て個数に上限値を設けた特権を整合性検証要求にすることが好適である。

本発明によれば，複数のアプリケーションを搭載可能なセキュアエレメントにおいて，割り当て個数に上限値を設定した特権を割り当てるアプリケーションの数をこの特権の上限値以下に管理できる。

本実施形態に係るセキュアエレメントの構造を説明する図。 特権管理部が有するレジストリを説明する図。 特権管理部の動作を説明するフロー図。

ここから，本発明に係る実施形態について記載する。本実施形態は，本発明の理解を容易にするためのものであり，本発明は，本実施形態に限定されるものではない。また，特に断りのない限り，図面は，本発明の理解を容易にするために描かれた模式的な図である。

本発明は，複数のアプリケーション１１を搭載できるセキュアエレメント１に係る発明である。セキュアエレメント１の形態は任意である。セキュアエレメント１は，カード媒体（例えば，ＩＣカードやＳＩＭ（Subscriber Identity Module））の形態でもよい。また，セキュアエレメント１は，モバイル端末（例えば，スマートフォン）に組み込まれる半導体製品（例えば，ｅＳＩＭ（Embedded SIM））の形態でもよい。

図１は，本実施形態に係るセキュアエレメント１の構造を説明する図である。図１で図示したセキュアエレメント１の構造はＩＣチップ１２を含んでいる。

図１で図示したＩＣチップ１２は，バス１２７を介してＣＰＵ１２０（Central Processing Unit）に，ＲＡＭ１２２（Random Access Memory），ＲＯＭ１２１（Read Only Memory)，ＮＶＭ１２４(Non-volatile memory)，ＵＡＲＴ１２６（Universal Asynchronous Receiver/Transmitter），タイマー１２５およびアクセラレータ１２３が接続された構成になっている。

ＲＡＭ１２２は，セキュアエレメント１のメインメモリとなる揮発性メモリである。ＲＯＭ１２１は，電気的に書き換え不可能な不揮発性メモリである。ＮＶＭ１２４は，電気的に書き換え可能な不揮発性メモリである。ＵＡＲＴ１２６は，セキュアエレメント１の通信を制御する回路である。タイマー１２５は，時間を計測する回路である。アクセラレータ１２３は，暗号演算の処理速度を速くするための回路である。

また，図１で図示したセキュアエレメント１の構造は，ソフトウェアとして，オペレーティングシステム１０（Operating System(OS)）と，ＯＳ１０を基盤として動作する複数のアプリケーション１１を含んでいる。ＯＳ１０のプログラムコードは主にＲＯＭ１２１に格納される。アプリケーション１１のプログラムコードはＮＶＭ１２４に格納される。

アプリケーション１１は，ＯＳ１０を基盤として動作するソフトウェアである。ＯＳ１０が仮想マシンを有する場合，アプリケーション１１は仮想マシンに対応したバイトコードで記述されることになる。

上述したように，非特許文献１によれば，セキュアエレメント１に搭載するアプリケーション１１には，セキュアエレメント１におけるドメインのセキュリティに関する処理を行うアプリケーション１１と，特定のサービスに適合した処理を行うアプリケーション１１が含まれる。本実施形態では，セキュアエレメント１におけるドメインのセキュリティに関する処理を行うアプリケーション１１と，特定のサービスに適合した処理を行うアプリケーション１１をそれぞれ区別して記載する際，非特許文献1に従い，セキュアエレメント１におけるドメインのセキュリティに関する処理を行うアプリケーション１１をドメインアプリケーション１１０と記載し，特定のサービスに適合した処理を行うアプリケーション１１を通常アプリケーション１１１として記載する。

ドメインアプリケーション１１０はそれぞれ異なる事業者に対応する。事業者に応じてドメインアプリケーション１１０を区別して記載する際，アルファベットの符号を付加する。図１において，セキュアエレメント１に搭載しているドメインアプリケーション１１０の数は３つである。一つのドメインアプリケーション１１０は，セキュアエレメント１の発行者のドメインアプリケーション１１０ｂである。それ以外の２つのドメインアプリケーション１１０はサービス事業者のドメインアプリケーション１１０ａである。サービス事業者のドメインアプリケーション１１０ａには，サービス事業者が提供するサービスに適合する１つの通常アプリケーション１１１が紐付けられている。

本実施形態において，セキュアエレメント１に搭載するアプリケーション１１には，ある特別な機能をアプリケーション１１に与える特権を割り当てることができる。例えば，ドメインアプリケーション１１０となるアプリケーション１１には，アプリケーション１１がドメインアプリケーション１１０として機能する特権が割り当てられる。この特権が割り当てられたアプリケーション１１がドメインアプリケーション１１０として識別され，この特権が割り当てられていないアプリケーション１１が通常アプリケーション１１１として識別される。

ＯＳ１０は，ＯＳ１０を基盤として動作するアプリケーション１１に様々なプラットフォーム機能を提供する。本実施形態に係るＯＳ１０は，アプリケーション１１に割り当てる特権を管理する特権管理部１００を備えている。本実施形態に係る特権管理部１００は，セキュアエレメント１にインストールしたアプリケーション１１の管理情報を少なくとも記憶させたレジストリ１０１を有している。

図２は，特権管理部１００が有するレジストリ１０１を説明する図である。特権管理部１００が有するレジストリ１０１は，セキュアエレメント１にインストールしたアプリケーション１１の管理情報を少なくとも記憶する。図１では，３つのドメインアプリケーション１１０と２つの通常アプリケーション１１１がインストールされている。このため，図２で図示したレジストリ１０１は，ドメインアプリケーション１１０の管理情報を３つ含み，通常アプリケーション１１１の管理情報を２つ含んでいる。

アプリケーション１１の管理情報は，アプリケーション１１の識別子となるＡＩＤ（Application Identifier）と，アプリケーション１１に割り当てた特権の特権番号を少なくとも含む。特権番号は特権を識別する情報である。アプリケーション１１の管理情報には，これら以外の情報を含ませることができる。例えば，アプリケーション１１のライフサイクル状態をアプリケーション１１の管理情報に含ませることができる。

図３は，特権管理部１００の動作を説明するフロー図で，図３の説明は，セキュアエレメント１における特権の管理方法の説明も兼ねている。特権管理部１００は，特権をアプリケーション１１に割り当てる処理を行う際，まず，特権の割り当て要求を受ける（ステップＳ１）。特権の割り当て要求には，特権の特権番号と特権を割り当てるアプリケーション１１のＡＩＤが含まれる。

特権の割り当て要求を特権管理部１００に送信するアプリケーション１１は，アプリケーション１１のインストール権限が与えられているドメインアプリケーション１１０になる。例えば，本実施形態において，ドメインアプリケーション１１０のインストール権限が与えられたドメインアプリケーション１１０は，発行者のドメインアプリケーション１１０ｂになっている。また，通常アプリケーション１１１のインストール権限が与えられたドメインアプリケーション１１０は，通常アプリケーション１１１を提供するサービス事業者のドメインアプリケーション１１０ａになる。

特権の割り当てを特権管理部１００に要求するドメインアプリケーション１１０には，アプリケーション１１に割り当てる特権の特権番号などを示すコマンドのコマンドＡＰＤＵが外部のターミナルから送信される。非特許文献１では，アプリケーション１１に特権を割り当てるためのコマンドはINSTALL[for install]コマンドになる。アプリケーション１１に割り当てる特権の特権番号と特権を割り当てるアプリケーション１１のＡＩＤは，このコマンドのデータフィールドによって指定される。

次に，特権管理部１００は，割り当て要求を受けた特権の特権番号が，特権管理部１００に予め登録された特権番号であるか確認する（ステップＳ２）。特権管理部１００には，特権の割り当て個数に上限値を設ける特権ごとに，この特権の特権番号と特権の割り当て個数の上限値が予め登録される。特権の割り当て個数に上限値を設ける特権は，セキュアエレメント１で実行される処理において特別処理を義務付ける特権や，セキュアエレメント１におけるメモリ領域を必要とする特権にすることができる。

特権管理部１００は，特権番号の確認結果に応じて処理を分岐する（ステップＳ３）。割り当て要求を受けた特権の特権番号が，特権管理部１００に予め登録された特権番号でない場合，特権管理部１００は，図３のステップＳ７に進み，割り当て要求を受けた特権を割り当て要求で示されるアプリケーション１１に割り当てる処理を実行して，図３の手順は終了する。

割り当て要求を受けた特権の特権番号が，特権管理部１００に予め登録された特権番号である場合，特権管理部１００は，割り当て要求を受けた特権に係るこの時点の割り当て個数を確認する（ステップＳ４）。割り当て要求を受けた特権に係るこの時点の割り当て個数は，レジストリ１０１を用いて確認できる。特権管理部１００は，レジストリ１０１にアクセスし，割り当て要求を受けた特権の特権番号を含むアプリケーション１１の管理情報の数をカウントすることで，割当て要求を受けた特権に係るこの時点の割り当て個数を確認する。

次に，特権管理部１００は，割当て要求を受けた特権に係るこの時点の割り当て個数がこの特権の上限値に達しているか確認する（ステップＳ５）。次に，特権管理部１００は，割り当て個数の確認結果に応じて処理を分岐する（ステップＳ６）。

図３のステップＳ６において，割当て要求を受けた特権に係るこの時点の割り当て個数がこの特権の上限値に達していない場合，特権管理部１００は，割り当て要求を受けた特権を割り当て要求で示されるアプリケーション１１に割り当てる処理を実行して（ステップＳ７），図３の手順は終了する。本実施形態において，特権管理部１００は，割り当て要求を受けた特権を割り当て要求で示されるアプリケーション１１に割り当てる処理として，レジストリ１０１にアクセスし，割り当て要求に含まれるＡＩＤに対応するアプリケーション１１の管理情報に割り当て要求を受けた特権の特権番号を追加する。

図３のステップＳ６において，割当て要求を受けた特権に係るこの時点の割り当て個数がこの特権の上限値に達していない場合，特権管理部１００は，特権の割り当て要求を送信したドメインアプリケーション１１０に対して，割り当て要求を受けた特権をアプリケーション１１に設定できないことを通知して（ステップＳ８），図３の手順は終了する。

ここから，特権の割り当て個数に上限値を設定する特権を整合性検証要求にした場合について説明しながら，図３の内容をより詳しく説明する。なお，特権の割り当て個数に上限値を設定する特権を整合性検証要求にするのは，整合性検証要求を割り当てたドメインアプリケーション１１０の数だけ，アプリケーション１１のプログラムコードに係る整合性検証が必要になるからである。整合性検証要求を割り当てたドメインアプリケーション１１０の数だけ，アプリケーション１１のプログラムコードに係る整合性検証が必要になると，アプリケーション１１のプログラムコードをＮＶＭ１２４にロードする処理に長い時間を要してしまう。

整合性検証要求はドメインアプリケーション１１０に割り当て可能な特権である。図３のステップＳ１において，特権の割り当て要求を特権管理部１００に送信するアプリケーション１１は，ドメインアプリケーション１１０のインストール権限が与えられたドメインアプリケーション１１０（ここでは，発行者のドメインアプリケーション１１０ｂ）になる。なお，非特許文献１では，アプリケーション１１に特権を割り当てるコマンドはINSTALL[for install]コマンドになる。アプリケーション１１に割り当てる特権の特権番号と特権を割り当てるアプリケーション１１のＡＩＤは，このコマンドのデータフィールドによって指定されることになる。

整合性検証要求の割り当て個数に上限値を設定する場合，整合性検証要求の特権番号が予め特権管理部１００に登録される。非特許文献１において，整合性検証要求に相当する特権（Mandated DAP Verification）の特権番号は「７」である。

整合性検証要求の特権番号は予め特権管理部１００に登録されているため，図３のステップＳ３において，特権管理部１００は，図３のステップＳ４に処理を進める。図３のステップＳ４において，特権管理部１００は，整合性検証要求に係るこの時点の割り当て個数をカウントする。また，図３のステップＳ５において，特権管理部１００は，整合性検証要求に係るこの時点の割り当て個数が整合性検証要求の上限値に達しているか確認する。また，図３のステップＳ７において，特権管理部１００は，レジストリ１０１にアクセスし，整合性検証要求を割り当てるアプリケーション１１（ドメインアプリケーション１１０になる）の管理情報に整合性検証要求の特権番号を追加する。

図３のフローに従えば，図１において，整合性検証要求の上限値が２つの場合，整合性検証要求をこれ以上割り当てることができないため，図３のステップＳ８の処理が実行されることになる。また，図３のフローに従えば，図１において，整合性検証要求の上限値が３つの場合，整合性検証要求をあと１つだけ割り当てることができるため，図３のステップＳ７の処理が実行されることになる。

このように，本実施形態に係るセキュアエレメント１には，整合性検証要求を割り当てることができるドメインアプリケーション１１０の数を上限値以下に制限できる。よって，整合性検証要求をドメインアプリケーション１１０に割り当てても，アプリケーション１１のプログラムコードのロードに要する時間が極端に長くなることはなくなる。

１ セキュアエレメント
１０ オペレーティングシステム（ＯＳ）
１００ 特権管理部
１０１ レジストリ
１１ アプリケーション
１１０ ドメインアプリケーション
１１１ 通常アプリケーション
１２ ＩＣチップ

Claims (6)

1. アプリケーションに対する割り当て要求を受けた特権が，割り当て個数に上限値を設けた特権であるか確認し、割り当て個数に上限値を設けた特権の場合、前記割り当て要求を受けた特権に係る割り当て個数を確認し、前記割り当て要求を受けた特権に係る割り当て個数が前記割り当て要求を受けた特権に設定された上限値に達していない場合のみ、前記割り当て要求を受けた特権を前記アプリケーションに割り当てる処理を実行する特権管理部を備えたことを特徴とするセキュアエレメント。
2. 割り当て個数に上限値を設けた特権を整合性検証要求にすることを特徴とする、請求項１に記載したセキュアエレメント。
3. 特権の割り当てを管理する特権管理部が、アプリケーションに対する割り当て要求を受けた特権が割り当て個数に上限値を設けた特権であるか確認するステップ、前記割り当て要求を受けた特権が割り当て個数に上限値を設けた特権の場合、前記特権管理部が、前記割り当て要求を受けた特権に係る割り当て個数を確認するステップ、前記割り当て要求を受けた特権に係る割り当て個数が前記割り当て要求を受けた特権に設定された上限値に達していない場合のみ、前記特権管理部が前記割り当て要求を受けた特権を前記アプリケーションに割り当てる処理を実行するステップを含むことを特徴とするセキュアエレメントにおける特権の割り当て管理方法。
4. 割り当て個数に上限値を設けた特権を整合性検証要求にすることを特徴とする、請求項３に記載したセキュアエレメントにおける特権の割り当て管理方法。
5. アプリケーションに対する割り当て要求を受けた特権が，割り当て個数に上限値を設けた特権であるか確認し、割り当て個数に上限値を設けた特権の場合、前記割り当て要求を受けた特権に係る割り当て個数を確認し、前記割り当て要求を受けた特権に係る割り当て個数が前記割り当て要求を受けた特権に設定された上限値に達していない場合のみ、前記割り当て要求を受けた特権を前記アプリケーションに割り当てる処理を実行する特権管理部を備えたことを特徴とするＩＣチップ。
6. 割り当て個数に上限値を設けた特権を整合性検証要求にすることを特徴とする、請求項５に記載したＩＣチップ。

Images