JP2022099256A - 信頼された実行環境のためのスケーラブルな証明 - Google Patents

Abstract

【課題】信頼された実行環境のためのスケーラブルな証明を実現するシステム、方法及びプログラムを提供する。【解決手段】ファンクションアズアサービス（ＦａａＳ）環境において、クライアントが、ＦａａＳサーバ上の信頼された実行環境（ＴＥＥ）内で実行される機能を利用する。ＦａａＳプラットフォームの複数のテナントは、ゲートウェイを介して、ＦａａＳプラットフォームにより実行される機能を提供する。各テナントのクライアントデバイスは、ＦａａＳプラットフォーム上の任意の数のＴＥＥ内で実行され、かつ、ゲートウェイを介してアクセスされる、任意の数の機能のためのコード及びデータを提供し、さらに、単一の代理証明器ＴＥＥのためのコード及びデータを提供し、代理証明器ＴＥＥを使用してテナントの他のＴＥＥの各々を証明し、それらのＴＥＥ内の機能との信頼を確立する。【選択図】図６

Description

本明細書に開示される主題事項は、概して、ハードウェアの信頼された実行環境（ＴＥＥ）に関する。具体的には、本開示は、ＴＥＥ内の機能に対するスケーラブルな証明及びオーケストレーションのためのシステム及び方法を扱う。

ハードウェア特権レベルは、デバイス上で動作するアプリケーションによるメモリアクセスを制限するために、プロセッサにより使用されることがある。オペレーティングシステムは、より高い特権レベルで動作し、デバイスの全てのメモリにアクセスし、他のアプリケーションのためのメモリ範囲を定義することができる。より低い特権レベルで動作するアプリケーションは、オペレーティングシステムにより定義された範囲内のメモリへのアクセスに制限され、他のアプリケーション又はオペレーティングシステムのメモリにアクセスすることができない。しかしながら、アプリケーションは、悪意のある又は損なわれたオペレーティングシステムからの保護を有さない。

エンクレーブは、エンクレーブ内にロードされたコード及びデータがエンクレーブ外で実行するコードによるアクセスから保護されることを保証する保護をプロセッサにより有効にされる。したがって、エンクレーブは、エンクレーブに含まれるデータ及びコードの、オペレーティングシステムを含む悪意のあるソフトウェアからのアクセスを、ハードウェアレベルで防止する孤立した実行環境を提供する。

いくつかの実施形態を添付図面の図において限定でなく例として示す。
いくつかの例示的な実施形態による、ＴＥＥを使用してサービスとして機能を提供するサーバに適したネットワーク環境を示すネットワーク図である。 いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明に適した、ファンクションアズアサービスサーバのブロック図である。 従来技術のリングベースのメモリ保護のブロック図である。 いくつかの例示的な実施形態による、ＴＥＥの待ち時間を低減するのに適した、エンクレーブベースのメモリ保護のブロック図である。 いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明での使用に適した、データベーススキーマのブロック図である。 いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明での使用に適した、機能とデバイスとの間の通信リンクのブロック図である。 いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明を提供する際のサーバによる実行に適した方法の動作を示すフローチャートである。 いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明を利用する際のクライアントによる実行に適した方法の動作を示すフローチャートである。 いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明を利用する際のクライアントによる実行に適した方法の動作を示すフローチャートである。 コンピューティングデバイスのソフトウェアアーキテクチャの一例を示すブロック図である。 マシンに本明細書で論じられる方法のいずれか１つ以上を実行させるための命令が実行され得る、コンピュータシステムの例示的な形態のマシンのブロック図である。

例示的な方法及びシステムは、ＴＥＥのスケーラブルな証明（attestation）に向けられる。最も一般的な意味では、ＴＥＥは、その信頼がどのように得られるかにかかわらず、任意の信頼された実行環境（trusted execution environment）である。エンクレーブ（enclave）は、エンクレーブの外部のプロセスが高められた特権レベルで動作しているとしても、それらのプロセスによるアクセスから保護されたメモリの一部である。例として、ＴＥＥは、エンクレーブ内のコードを実行することにより提供されるものとして論じられる。しかしながら、他のタイプのＴＥＥが使用されてもよい。

ＴＥＥは、機密情報をＴＥＥの外部の全てのソフトウェアから保護することにより機密情報のセキュアな取り扱いを可能にするために使用することができる。ＴＥＥは、モジュールプログラミングにも使用されてもよく、各モジュールは、他のモジュールにより引き起こされる脆弱性にさらされることなく、それ自身の機能性のために必要なあらゆるものを含む。例えば、あるＴＥＥに対して成功したコードインジェクション攻撃が、別のＴＥＥのコードに影響を与えることはできない。

トータルメモリ暗号化（Total memory encryption、ＴＭＥ）は、メモリ内のデータを、プロセッサをバイパスすることによりアクセスされることから保護する。システムは、ブート時にプロセッサ内で暗号化鍵を生成し、この鍵をプロセッサの外部に決して記憶しない。ＴＭＥ暗号化鍵は、それがリブートをまたいで存続せず、プロセッサの外部に決して記憶されないため、一時的な鍵（ephemeral key）である。プロセッサによりメモリに書き込まれた全てのデータは、暗号化鍵を使用して暗号化され、それがメモリから読み戻されるとき復号される。したがって、プロセッサの仲介なくメモリから直接データを読み取ろうとするハードウェアベースの攻撃は失敗する。

マルチキーＴＭＥ（ＭＫＴＭＥ）は、複数の鍵を利用するようにＴＭＥを拡張する。個々のメモリページは、ＴＭＥの一時的な鍵を使用して、又はソフトウェアにより提供される鍵を使用して暗号化することができる。これは、ソフトウェアベースの攻撃に関してＴＭＥより高められたセキュリティを提供する可能性があり、なぜならば、攻撃者は、攻撃ソフトウェアがアクセスを獲得した任意のメモリをプロセッサに自動的に復号させるのでなく、ターゲットソフトウェアにより使用されている特定の鍵を識別する必要があるためである。

ファンクションアズアサービス（function-as-a-service、ＦａａＳ）環境において、クライアントは、ＦａａＳサーバ上のＴＥＥ内で実行する機能を利用する。ＦａａＳプラットフォームは、アプリケーションロジックを実行するがデータを記憶しないクラウドコンピューティングサービスを提供する。機能に機密データを提供する前に、クライアントは、機能がＴＥＥで実行されていること、したがって、機密データは信頼された環境の一部でない他の機能によりアクセスできないことを検証する。

証明のためのいくつかの完全又は部分的な解決策が存在する。例えば、ＴＥＥにおける実行のためにＦａａＳサーバに提供されるコードブロックに、公開鍵を埋め込むことができる。クライアントデバイスは、データをコードブロックにおいて機能に送信する前に、データを暗号化することができる。したがって、クライアントデバイスは、公開鍵へのアクセスを有するコードのみが暗号化されたデータにアクセスできることを保証される。しかしながら、この機能は、依然として、セキュア化されていない環境で実行される可能性がある。さらに、攻撃者は、コードブロックから公開鍵を抽出し、それを意図された機能になりすます悪意のあるコードで使用する可能性がある。

エンクレーブが作成される時、それは「測定され（measured）」得る。この文脈において、測定値は、エンクレーブの属性及び内容を一意に識別するのに十分なデータの集合を指す。したがって、２つのエンクレーブは、それらが同じコードとデータを含む、同じ量のメモリを使用する、等しいセキュリティレベルを有するなどの場合にのみ、同じ測定値を有することになる。エンクレーブの測定は、ハードウェアプロセッサにより実行され、保護されたレジスタ又はメモリに記憶される。測定値は、楕円曲線デジタル署名アルゴリズム（Elliptic-Curve-Digital-Signature-Algorithm、ＥＣＤＳＡ）ベースの非対称証明鍵を使用してプロセッサにより署名され得る。対応する復号鍵を組み込まれた別のプロセッサが、署名を検証することができる。署名されたデータは、タイムスタンプと署名者の識別子を含むことができる。このように、受信者は、署名されたデータが現在通用し、ＦａａＳサーバで生じていることを確認することができる。

この証明メカニズムを使用し、クライアントは、クライアントから直接アクセスされている機能が実際にＴＥＥで動作していることを証明することができる。しかしながら、ＦａａＳサーバが複数の機能へのゲートウェイインターフェースを提供することは有益であり得る。例えば、表現状態転送（representational state transfer、ＲＥＳＴ）アプリケーションプログラミングインターフェース（ＡＰＩ）は、クライアントがハイパーテキストトランスポートプロトコル（ＨＴＴＰ）を使用して機能コールを行うことを可能にする。これらの実装において、ゲートウェイアプリケーションは、ＲＥＳＴ ＡＰＩ機能コールの全てを受け取り、ユニフォームリソースロケータ（ＵＲＬ）を機能識別子及び機能パラメータに変換し、機能パラメータと共に機能をコールし、結果を受け取り、ネットワークを通じて結果を提供する。ゲートウェイはＴＥＥ内で動作してもよく、その場合、クライアントデバイスはゲートウェイを証明し得る。しかしながら、ゲートウェイの測定値は、下層の機能もＴＥＥで動作していることをクライアントデバイスが証明できるものではない。

ＦａａＳプラットフォームの複数のテナントは、ゲートウェイを介してＦａａＳプラットフォームにより実行される機能を提供することができる。テナントは、データへの共通のアクセスを共有するユーザのグループ、例えば、特定の企業にリンクされたアカウントを有するユーザなどである。テナント間のデータ保護は、テナント及びＦａａＳプラットフォームの目標であり得る。ＦａａＳプラットフォームは、１つ以上のデータセンタにおいて、１つ以上のＦａａＳサーバを含む。したがって、ゲートウェイは、分散コンピューティングのためのロードバランサ又は他の機能性を含むことがある。ＦａａＳプラットフォームがゲートウェイを介して複数のテナントに機能を提供しているため、１つのテナントがゲートウェイを制御することはできない。

本明細書で論じられるように、各テナントは、ＦａａＳプラットフォーム上の任意の数のＴＥＥ内で実行され、かつゲートウェイを介してアクセスされる、任意の数の機能のためのコード及びデータを提供することができる。さらに、各テナントは、単一の代理証明器（surrogate attester）ＴＥＥのためのコード及びデータを提供することができる。テナントのクライアントデバイスは、代理証明器ＴＥＥを使用してテナントの他のＴＥＥの各々を証明し、それらのＴＥＥ内の機能との信頼を確立する。ひとたび機能が証明されると、クライアントデバイスは、テナントの他のＴＥＥがゲートウェイ（これも証明され得る）と同じプラットフォーム上で動作していることを確信する。

テナントが代理証明器ＴＥＥの内容をコントロールするため、代理証明器ＴＥＥは、テナントのデプロイされたＴＥＥの各々をセキュアに証明するように設計でき、これは、ゲートウェイが行うことはできない。各テナントに対して単一の代理証明器ＴＥＥのみが必要とされるため、この解決策はスケーラブルであり、証明のオーバーヘッドを増加させることなく各テナントに対して任意の数のＴＥＥを作成することを可能にする。

テナントのエンクレーブを証明する既存の方法との比較では、本明細書に論じられる方法及びシステムは、各エンクレーブのネットワークを通じての直接の証明を必要とせずにエンクレーブにアクセスするゲートウェイの使用を可能にし、したがって、ネットワークの使用を低減させる。テナント機能がより精細な粒度のエンクレーブで保護されるとき、単一の代理証明器ＴＥＥのオーバーヘッドは増加しないため、システムセキュリティが高められる。これらの効果が全体として考慮されるとき、本明細書に記載される方法論の１つ以上は、さもなければエンクレーブの証明に関与するであろう特定の労力又はリソースの必要を回避することができる。１つ以上のマシン、データベース、又はネットワークにより使用される計算リソースが同様に削減され得る。このような計算リソースの例には、プロセッササイクル、ネットワークトラフィック、メモリ使用量、データ記憶容量、電力消費、及び冷却キャパシティが含まれる。

図１は、いくつかの例示的な実施形態による、ＴＥＥを使用してサービスとして機能を提供するサーバに適したネットワーク環境１００を示すネットワーク図である。ネットワーク環境１００は、ＦａａＳサーバ１１０Ａ及び１１０Ｂ、クライアントデバイス１２０Ａ及び１２０Ｂ、並びにネットワーク１３０を含む。ＦａａＳサーバ１１０Ａ～１１０Ｂは、ネットワーク１３０を介してクライアントデバイス１２０Ａ～１２０Ｂに機能を提供する。ＦａａＳサーバ１１０Ａ及び１１０Ｂは、集合的にＦａａＳサーバ１１０と、又は総称的にＦａａＳサーバ１１０と呼ばれることがある。クライアントデバイス１２０Ａ及び１２０Ｂは、集合的にクライアントデバイス１２０と、又は総称的にクライアントデバイス１２０と呼ばれることがある。

クライアントデバイス１２０Ａ及び１２０Ｂは、異なるテナントのデバイスであり得、それにより、各テナントは、それらのテナント固有のデータ及びコードが他のテナントによりアクセス可能でないことを保証することを望む。したがって、ＦａａＳサーバ１１０Ａ～１１０Ｂは、提供される各ＦａａＳに対してエンクレーブを使用することができる。ＦａａＳサーバ１１０Ａ～１１０Ｂと、クライアントデバイス１２０Ａ及び１２０Ｂは各々、全体的に又は部分的に、図９に関して後述するように、コンピュータシステムに実装することができる。

ＴＥＥの証明をスケーラブルに提供するために本明細書に記載されるシステム及び方法を使用することができる。例えば、各テナントに対する証明代理エンクレーブをＦａａＳサーバ１１０により作成して、ゲートウェイを通して機能にアクセスする前に、提供される機能のクライアントデバイス１２０による証明を可能にすることができる。

図１に示すマシン、データベース、又はデバイスのいずれも、そのマシン、データベース、又はデバイスについて本明細書に記載される機能を実行するための専用コンピュータであるようにソフトウェアにより修正される（例えば、構成又はプログラムされる）汎用コンピュータで実装することができる。例えば、本明細書に記載される方法のいずれか１つ以上を実施可能なコンピュータシステムは、図９に関して後に論じられる。本明細書で用いられるとき、「データベース」は、データ記憶リソースであり、テキストファイル、テーブル、スプレッドシート、関係データベース（例えば、オブジェクト関係データベース）、トリプルストア、階層的データストア、ドキュメント指向ＮｏＳＱＬデータベース、ファイルストア、又はこれらの任意の適切な組み合わせとして構造化されたデータを記憶することができる。データベースは、インメモリデータベースでもよい。さらに、図１に示すマシン、データベース、又はデバイスのうちの任意の２つ以上を単一のマシン、データベース、又はデバイスに組み合わせてもよく、任意の単一のマシン、データベース、又はデバイスについて本明細書に記載される機能を複数のマシン、データベース、又はデバイス間で細分化してもよい。

ＦａａＳサーバ１１０及びクライアントデバイス１２０は、ネットワーク１３０により接続される。ネットワーク１３０は、マシン、データベース、及びデバイスの間の通信を可能にする任意のネットワークであってよい。したがって、ネットワーク１３０は、有線ネットワーク、無線ネットワーク（例えば、モバイル又はセルラネットワーク）、又はこれらの任意の適切な組み合わせでもよい。ネットワーク１３０は、プライベートネットワーク、パブリックネットワーク（例えば、インターネット）、又はこれらの任意の適切な組み合わせを構成する１つ以上の部分を含んでもよい。デバイスの各々は、ネットワークインターフェースを使用してネットワーク１３０に接続される。

図２は、いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明に適した、ＦａａＳサーバ１１０Ａのブロック図２００である。ＦａａＳサーバ１１０Ａは、通信モジュール２１０、ゲートウェイ機能２２０、アプリケーションの信頼されたコンポーネント（trusted component）２３０、信頼されたドメインモジュール（trusted domain module）２４０、代理証明器（surrogate attester）２５０、共有メモリ２６０、及びプライベートメモリ２７０を含み、全てが互いに（例えば、バス、共有メモリ、又はスイッチを介して）通信するように構成されるものとして示されている。本明細書に記載されるモジュールのうちの任意の１つ以上が、ハードウェア（例えば、マシンのプロセッサ）を使用して実装されてもよい。例えば、本明細書に記載される任意のモジュールが、そのモジュールについて本明細書に記載される動作を実行するように構成されたプロセッサにより実装されてもよい。さらに、これらのモジュールのうちの任意の２つ以上を単一のモジュールに組み合わせてもよく、単一のモジュールについて本明細書に記載される機能を複数のモジュール間で細分化してもよい。さらに、様々な例示的な実施形態によれば、単一のマシン、データベース、又はデバイス内に実装されるものとして本明細書に記載されるモジュールは、複数のマシン、データベース、又はデバイスにわたり分散されてもよい。

通信モジュール２１０は、ＦａａＳサーバ１１０Ａに送信されたデータを受信し、ＦａａＳサーバ１１０Ａからデータを送信する。例えば、通信モジュール２１０は、クライアントデバイス１３０Ａから、機能を実行する要求を受信することができる。機能が実行された後、機能の結果は、通信モジュール２１０によりクライアントデバイス１３０Ａに提供される。通信モジュール２１０により送受信される通信は、ネットワーク１３０により仲介されてもよい。コールされる機能は、別の機能により仲介されてもよい。例えば、通信モジュール２１０は、ゲートウェイ機能２２０にＵＲＬを提供することができる。ゲートウェイ機能２２０は、ＵＲＬをパースし（parses）、信頼されたコンポーネント２３０内の機能を呼び出す。

ゲートウェイ機能２２０は、エンクレーブの内部又は外部で実行することができる。ゲートウェイ機能がエンクレーブ内で動作しない場合、オペレーティングシステム又は他の信頼されていないコンポーネントが損なわれる場合、ゲートウェイ機能２２０は攻撃に対して脆弱である。信頼されたコンポーネント２３０は、エンクレーブ内で実行される。したがって、オペレーティングシステム又は信頼されていないコンポーネント２２０が損なわれた場合でも、信頼されたコンポーネント２３０のデータ及びコードはセキュアなままである。

信頼されたドメインモジュール２４０は、エンクレーブを作成及び保護し、ゲートウェイ機能２２０と信頼されたコンポーネント２３０との間の実行の遷移の責任を負う。署名されたコードが、信頼されたドメインモジュール２４０に提供され得、信頼されたドメインモジュール２４０は、コードが署名されてからコードが修正されていないことを検証する。署名されたコードは、エンクレーブの一部として示されている物理メモリの一部にロードされる。その後、ハードウェア保護は、信頼されていないソフトウェアによるエンクレーブメモリのアクセス、修正、実行、又はこれらの適切な組み合わせを防止する。このコードは、信頼されたドメインモジュール２４０にのみ利用可能な鍵を使用して暗号化されてもよい。

信頼されたコンポーネント２３０がひとたび初期化されると、ゲートウェイ機能２２０は、信頼されていないモードから信頼されたモードへ、又は信頼されたエンクレーブ間で遷移する、信頼されたドメインモジュール２４０の特別なプロセッサ命令を使用して、信頼されたコンポーネント２３０の機能を呼び出すことができる。信頼されたコンポーネント２３０は、パラメータ検証を実行し、パラメータが有効である場合に要求された機能を実行し、信頼されたドメインモジュール２４０を介して制御をゲートウェイ機能２２０に返す。複数の信頼されたコンポーネント２３０がＦａａＳサーバ１１０Ａ内でインスタンス化され、各々が１つ以上の機能を提供してもよい。

信頼されたドメインモジュール２４０は、インテル（登録商標）ソフトウェアガードエクステンション（Software Guard Extensions、ＳＧＸ）、インテル（登録商標）トラストドメインエクステンション（Trust Domain Extensions、ＴＤＸ）、又は双方を提供するインテル（登録商標）ハードウェアプロセッサの１つ以上のコンポーネントとして実装されてもよい。インテル（登録商標）ＳＧＸにおいて、証明は、ソフトウェアエンティティがエンクレーブ内に保護されたインテル（登録商標）ＳＧＸ対応プラットフォーム上で動作していることを、そのソフトウェアに秘密及び保護されたデータを提供する前に、第３のエンティティが確立するメカニズムである。証明は、エンクレーブのセキュリティ特性に関する情報を含む、エンクレーブの署名を正確に反映するクレデンシャルを生成するプラットフォームの能力に依存する。インテル（登録商標）ＳＧＸアーキテクチャは、２つの形式の証明をサポートするメカニズムを提供する。同じプラットフォーム上で動作するエンクレーブ間で基本的なアサーションを作成するメカニズムがあり、これはローカル又はプラットフォーム内の証明をサポートし、次いで、エンクレーブとリモートの第三者との間の証明のための基盤を提供する別のメカニズムがある。

代理証明器２５０は、エンクレーブ（例えば、信頼されたコンポーネント２３０）のための証明（attestation）を生成する。証明は、非対称暗号化を使用し、内蔵のプロセッサ機能によりサポートされる、証明されたエンクレーブとホスト（例えば、ＦａａＳサーバ１１０Ａ）とを一意に識別する証拠構造である。証明は、通信モジュール２１０を介してクライアントデバイス１２０に提供することができ、クライアントデバイス１２０が、信頼されたコンポーネント２３０が損なわれていないことを確認できるようにする。例えば、プロセッサは、鍵のアクセスを防止するハードウェアを使用して、内蔵の秘密鍵を有して製造され得る。この秘密鍵を使用し、証明構造をプロセッサにより署名して、署名された構造を生成することができる。ハードウェア製造者により公開された対応する公開鍵を使用し、この署名はクライアントデバイス１２０により確認することができる。これにより、クライアントデバイス１２０は、リモートデバイス（例えば、ＦａａＳサーバ１１０Ａ）上のエンクレーブが、改ざんされることなく実際に作成されたことを保証することができる。

ゲートウェイ機能２２０と信頼されたコンポーネント２３０の双方が、共有メモリ２６０にアクセス及び修正することができるが、信頼されたコンポーネント２３０のみが、プライベートメモリ２７０にアクセス及び修正することができる。図２には、１つのみの信頼されたコンポーネント２３０と１つのみのプライベートメモリ２７０が示されているが、各テナントが複数の信頼されたコンポーネント２３０を有し、各々が対応するプライベートメモリ２７を有してもよい。さらに、複数のアプリケーションが、別個のメモリ空間で、ゆえに別個の共有メモリ２６０で動作してもよい。この文脈において、「共有」は、メモリが、メモリ空間へのアクセスを有する全てのソフトウェア及びハードウェア（例えば、アプリケーション及びそのオペレーティングシステム）によりアクセス可能であり、必ずしもシステム上で動作している全てのアプリケーションによりアクセス可能ではないことを指す。

テナントの代理証明器２５０は、テナントのための１つ以上の信頼されたコンポーネント２３０の完全性を検証することができる。したがって、単一の代理証明器２５０との通信により、テナントのクライアントデバイス１２０は、任意の数の信頼されたコンポーネント２３０を、これらのコンポーネントの機能を呼び出す前に、単一のゲートウェイ機能２２０を使用して検証することができる。

エンクレーブ間（例えば、代理証明器２５０と、同じテナントの１つ以上の信頼されたコンポーネント２３０の各々との間、又は、信頼されたコンポーネント２３０の２つの間）の相互証明は、各エンクレーブに、それが証明するエンクレーブの測定値ハッシュ（例えば、インテル（登録商標）ＳＧＸにより提供されるＭＲＥＮＣＬＡＶＥ値）のリストを維持させることにより、可能にすることができる。測定値はマニフェストに保持されてもよく、マニフェストのハッシュ値はエンクレーブ作成時にロードされ、それにより、エンクレーブが信頼する測定値ハッシュをセキュア化することができる。したがって、（例えば、インテル（登録商標）ＳＧＸ又はＴＤＸを使用して）セキュアプロセッサから別のエンクレーブの測定値ハッシュを要求した後、要求されたハッシュを記憶されたハッシュと比較して、該別のエンクレーブが信頼されたエンクレーブの１つであることを、第三者の証明検証器を使用せずに確認することができる。したがって、代理証明器２５０がテナントにより信頼され、代理証明器２５０がＦａａＳサーバ上で動作する他のエンクレーブに対して証明することができる限り、テナントは、エンクレーブの全てがセキュアであることを証明することができる。

図３は、従来技術のリングベースのメモリ保護のブロック図３００である。ブロック図３００は、アプリケーション３１０及び３２０、並びにオペレーティングシステム３３０を含む。オペレーティングシステム３３０は、リング０（インテル（登録商標）及びＡＭＤ（登録商標）プロセッサ）、例外レベル１（ＡＲＭ（登録商標）プロセッサ）、又は同等の特権レベルでプロセッサコマンドを実行する。アプリケーション３１０～３２０は、リング３（インテル（登録商標）及びＡＭＤ（登録商標）プロセッサ）、例外レベル０（ＡＲＭ（登録商標）プロセッサ）、又は同等の特権レベルでプロセッサコマンドを実行する。

ハードウェアプロセッサは、より低い特権レベルで実行しているコードが、オペレーティングシステムにより定義されたメモリ範囲外のメモリにアクセスすることを防止する。したがって、アプリケーション３１０のコードは、（図３の「Ｘ」により示されるように）オペレーティングシステム３３０又はアプリケーション３２０のメモリに直接アクセスすることができない。オペレーティングシステム３３０は、特定のアクセスポイントを（例えば、コールゲート、インテル（登録商標）プロセッサにおけるＳＹＳＥＮＴＥＲ／ＳＹＳＥＸＩＴ命令、ＡＭＤ（登録商標）プロセッサにおけるＳＹＳＣＡＬＬ／ＳＹＳＲＥＴ命令、又はこれらの任意の適切な組み合わせ若しくは同等物により）予め定義することにより、アプリケーション３１０～３２０に何らかの機能を公開する。

オペレーティングシステム３３０は、メモリの全部へのアクセスを有するため、アプリケーション３１０及び３２０は、悪意のあるオペレーティングシステムからの保護を有さない。例えば、競合者が、アプリケーション３１０を動作させる前にオペレーティングシステムを修正して、アプリケーション３１０のコード及びデータへのアクセスを獲得し、リバースエンジニアリングを可能にする可能性がある。

さらに、アプリケーションがオペレーティングシステム３３０の脆弱性を悪用し、それ自身をオペレーティングシステムの特権レベルに昇格させることができる場合、このアプリケーションは、メモリの全部にアクセスすることができる。例えば、アプリケーション３１０は、通常、（図３においてアプリケーション３１０及び３２０の間にＸで示されるように）アプリケーション３２０のメモリにアクセスできないが、それ自身をリング０又は例外レベル１に昇格させた後、アプリケーション３２０のメモリにアクセスすることができる。したがって、ユーザが悪意のあるプログラム（例えば、アプリケーション３１０）を動作させるよう騙された場合、ユーザ又はアプリケーションプロバイダのプライベートデータが、メモリから直接アクセスされる可能性がある（例えば、アプリケーション３２０により使用されるバンキングパスワード）。

図４は、いくつかの例示的な実施形態による、ＴＥＥの待ち時間を低減するのに適した、エンクレーブベースのメモリ保護のブロック図４００である。ブロック図４００は、アプリケーション４１０、エンクレーブ４２０、及びオペレーティングシステム４３０を含む。オペレーティングシステム４３０は、リング０（インテル（登録商標）及びＡＭＤ（登録商標）プロセッサ）、例外レベル１（ＡＲＭ（登録商標）プロセッサ）、又は同等の特権レベルでプロセッサコマンドを実行する。アプリケーション４１０及びエンクレーブ４２０は、リング３（インテル（登録商標）及びＡＭＤ（登録商標）プロセッサ）、例外レベル０（ＡＲＭ（登録商標）プロセッサ）、又は同等の特権レベルでプロセッサコマンドを実行する。

オペレーティングシステム４３０は、エンクレーブ４２０のメモリを割り当て、エンクレーブ４２０にロードされるコード及びデータをプロセッサに指示する。しかしながら、ひとたびインスタンス化されると、オペレーティングシステム４３０は、エンクレーブ４２０のメモリへのアクセスを有さない。したがって、オペレーティングシステム４３０が悪意があり又は損なわれたとしても、エンクレーブ４２０のコード及びデータはセキュアなままである。

エンクレーブ４２０は、アプリケーション４１０に機能性を提供することができる。オペレーティングシステム４３０は、アプリケーション４１０が（例えば、ＥＣＡＬＬ命令を使用することにより）エンクレーブ４２０の機能を呼び出すことを許可されるかどうかを制御することができる。したがって、悪意のあるアプリケーションは、オペレーティングシステム４３０を損なうことにより、エンクレーブ４２０の機能を呼び出す能力を獲得できる可能性がある。それにもかかわらず、ハードウェアプロセッサは、悪意のあるアプリケーションがエンクレーブ４２０のメモリ又はコードに直接アクセスすることを防止する。したがって、エンクレーブ４２０内のコードは、機能が正しく又は非攻撃者により呼び出されていると仮定することはできないが、エンクレーブ４２０内のコードは、パラメータチェック及び他の内部セキュリティ手段に対する完全な制御を有し、その内部のセキュリティ脆弱性にのみさらされる。

図５は、いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明での使用に適した、データベーススキーマ５００のブロック図である。データベーススキーマ５００は、証明テーブル５１０及びリモート機能テーブル５４０を含む。証明テーブル５１０は、フォーマット５２０の行５３０Ａ、５３０Ｂ、及び５３０Ｃを含む。証明テーブル５１０は、代理証明器２５０、クライアントデバイス１２０Ａ～１２０Ｂ、又はこれらの任意の適切な組み合わせにより使用することができる。リモート機能テーブル５４０は、フォーマット５５０の行５６０Ａ、５６０Ｂ、及び５６０Ｃを含む。リモート機能テーブル５４０は、クライアントデバイス１２０Ａ～１２０Ｂにより使用することができる。

証明テーブル５１０のフォーマット５２０は、エンクレーブ識別子フィールド及びステータスフィールドを含む。行５３０Ａ～５３０Ｃの各々は、１つのエンクレーブのためのデータを記憶する。エンクレーブ識別子は、エンクレーブのための一意の識別子である。例えば、エンクレーブが作成されたとき、信頼されたドメインモジュール２４０は、次の未使用識別子を作成されたエンクレーブに割り当てることができる。ステータスフィールドは、証明済み（attested）、未証明（unattested）、又は証明テナントにより所有されていないなどの、エンクレーブのステータスを示す。

したがって、図５の例では、証明テーブル５１０に３つのエンクレーブが示されている。エンクレーブのうちの１つは証明されており、１つは証明されておらず、１つは所有されていない。したがって、証明テーブル５１０が代理証明器２５０に統合される場合、クライアントデバイス１２０Ａからのステータスの要求は、エンクレーブ０のみが証明されたという指標で応答され得る。結果として、クライアントデバイス１２０Ａは、エンクレーブ０に関連づけられた機能に対してのみ、ＦａａＳサーバ１１０Ａへのコールを認可することができる。あるいは、代理証明器２５０は、クライアントデバイス１２０Ａに結果を提供する前に、証明されていないエンクレーブ（例えば、行５３０Ｂのエンクレーブ１）を証明するよう試みることにより、要求に応答してもよい。

証明テーブル５１０がクライアントデバイス１２０上に記憶される実施形態では、各クライアントデバイス１２０上で実行するアプリケーションが、ＦａａＳサーバ１１０Ａを使用して機能を呼び出す前に、機能に対応するエンクレーブのステータスフィールドをチェックしてもよい。したがって、証明されていない機能は呼び出されず、テナントデータは機能に公開されない。レイジー証明（Lazy attestation）が実行されてもよく、それにより、機能のＴＥＥは、クライアントデバイスにおける証明の要求に応答してのみ証明される。

代わりに又はさらに、各クライアントデバイス１２０は、リモート機能テーブル５４０を使用してもよい。リモート機能テーブル５４０のフォーマット５５０は、機能名、サーバ識別子、及びステータスフィールドを含む。行５６０Ａ～５６０Ｃの各々は、単一の機能のためのデータを記憶する。機能名は、機能に対する一意の識別子である。サーバ識別子は、機能を実行するサーバを識別する。図５の例では、サーバ１０．０．０．１がＤＳＰ機能及びＦＯＬＤ機能を実行し、サーバ１０．０．０．２がＥＮＣＲＹＰＴ機能を実行する。図５の例では、サーバ識別子はインターネットプロトコル（ＩＰ）アドレスであるが、他の識別子を使用してもよい。ステータスフィールドは、証明済み又は未証明などの、機能を含むエンクレーブのステータスを示す。

図６は、いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明での使用に適した、機能とデバイスとの間の通信リンクのブロック図６００である。図６に示されるように、ＦａａＳ１１０Ａは、ゲートウェイ６１０、機能６２０Ａ、６２０Ｂ、６２０Ｃ、及び６２０Ｄ、並びに代理証明器クライアント６３０Ａ及び６３０Ｂを提供する。図２を参照し、ゲートウェイ６１０はゲートウェイ機能２２０に対応し、機能６２０Ａ～６２０Ｄは４つの信頼されたコンポーネント２３０に対応し、代理証明器クライアント６３０Ａ～６３０Ｄは２つの代理証明器２５０に対応する。

２つの異なるテナントのクライアントデバイス１２０Ａ及び１２０Ｂは、２つのインターフェース、すなわち、ゲートウェイ６１０と、テナントに対応する代理証明器クライアント６３０Ａ又は６３０Ｂとを介して、ＦａａＳ１１０Ａにコンタクトする。ＦａａＳサーバ１１０Ａは、機能６２０Ａ、６２０Ｂ、６２０Ｃ、及び６２０Ｄを提供し、各々が別個のＴＥＥ内にある。この例において、代理証明器クライアント６３０Ａは、ＦａａＳサーバ１１０Ａ上での実行のためにクライアントデバイス１２０Ａに関連づけられたテナントにより提供されたコードを含む、機能６２０Ａ及び６２０ＢのＴＥＥを証明する。同様に、代理証明器クライアント６３０Ｂは、ＦａａＳサーバ１１０Ａ上での実行のためにクライアントデバイス１２０Ｂに関連づけられたテナントにより提供されたコードを含む、機能６２０Ｃ及び６２０ＤのＴＥＥを証明する。代理証明器クライアント６３０Ａは、機能６２０Ｃ及び６２０ＤのＴＥＥを証明することができず、なぜならば、代理証明器クライアント６３０Ａは、機能６２０Ｃ及び６２０Ｄのコードを提供したのと同じテナントにより提供されなかったためである。これらが異なるテナントにより提供されたため、機能６２０Ｃ～６２０Ｄにより使用される秘密セキュリティ情報は、代理証明器クライアント６３０Ａには利用できない。したがって、代理証明器クライアント６３０Ａ～６３０Ｂの追加は、ＴＥＥの使用により提供されるテナント間のセキュリティを損なわない。

代理証明器クライアント６３０Ａを使用して機能６２０Ａ及び６２０Ｂを証明した後、クライアントデバイス１２０Ａは、ゲートウェイ６１０を使用して、セキュアな環境で正しい機能が呼び出されていることを確信して、機能６２０Ａ又は６２０Ｂのうちの１つを呼び出す。このプロセスは、任意の数のテナントの任意の数のクライアントに対して繰り返されてもよく、各テナントは、任意の数の保護された機能６２０Ａ～６２０Ｄを有するが、各テナントに対して１つの代理証明器クライアント６３０Ａ～６３０Ｂのみを使用する。結果として、ＦａａＳサーバ１１０Ａのスケーラビリティは、代理証明器クライアントなしで各ＴＥＥのリモート証明を提供するシステムよりも改善され、ＦａａＳサーバ１１０Ａのセキュリティは、各ＴＥＥのリモート証明を許可しないシステムよりも改善される。

図７は、いくつかの例示的実施形態による、ＴＥＥのスケーラブルな証明を提供する際のサーバによる実行に適した方法７００の動作を示すフローチャートである。方法７００は、動作７１０、７２０、７３０、及び７４０を含む。限定でなく例として、方法７００は、図１のＦａａＳサーバ１１０Ａにより、図２～図４に示されるモジュール、データベース、及び構造を使用して実行することができる。

動作７１０において、信頼されたドメインモジュール２４０が、第１の機能のための第１のＴＥＥ、第２の機能のための第２のＴＥＥ、及び第１の機能へのリモートアクセスのためのゲートウェイを作成する。図４を参照し、第１の機能は機能４２０Ａでもよく、第２の機能は代理証明器クライアント４３０Ａでもよく、ゲートウェイはゲートウェイ４１０でもよい。いくつかの例示的な実施形態において、代理証明器クライアント４３０Ａは、クライアントデバイス１２０Ａにより、代理証明器クライアント４３０Ａ自体の証明データを要求及び検証することにより検証される。証明器クライアント４３０Ａの証明がひとたび完了すると、クライアントデバイス１２０Ａは、代理証明器クライアント４３０Ａによりクライアントデバイス１２０Ａとのさらなる通信のために使用される暗号化鍵を提供することができる。

いくつかの例示的な実施形態において、ゲートウェイ４１０は、クライアントデバイス１２０Ａにより、ゲートウェイ４１０自体の証明データを要求及び検証することにより検証される。他の例示的な実施形態において、ゲートウェイ４１０は、クライアントデバイス１２０Ａにより検証されない。

ＴＥＥを作成することは、ＴＥＥのための予め計算されたハッシュ値を含む要求であり、ＴＥＥのためのコード及びデータを含む共有メモリ２６０の一部（例えば、要求に含まれるアドレス及びサイズにより識別される部分）を示す、要求を、処理するステップを含んでもよい。信頼されたドメインモジュール２４０は、バイナリメモリ状態（例えば、要求で示された共有メモリ２６０の部分）に対してハッシュ機能を実行して、要求で提供されたハッシュ値が計算されたハッシュ値と一致することを確認することができる。ハッシュ値が一致する場合、信頼されたドメインモジュール２４０は、示されたメモリが要求されたＴＥＥのコード及びデータを実際に含むことを確認している。ハッシュ値が一致しない場合、信頼されたドメインモジュール２４０はエラー値を返し、修正されたメモリがエンクレーブにロードされるのを防ぐことができる。

ＦａａＳサーバ１１０Ａは、ネットワーク１３０を介して、第２のＴＥＥの完全性を検証する要求を受信する（動作７２０）。例えば、第１の機能へのリモート機能コールが行われ得る。さらなる例として、代理証明器クライアント４３０Ａが、機能４２０Ａを含むＴＥＥの完全性を検証するために呼び出されてもよい。

動作７３０において、ＦａａＳサーバ１１０Ａは、第１の機能を実行して第２のＴＥＥの証明データを生成する。例えば、第２のＴＥＥの測定値が、第１の機能によりアクセスされ、動作７２０において第１の機能コールを受ける前に第１の機能とクライアントデバイス１２０Ａとの間で交換された鍵を使用して署名されてもよい。

ＴＥＥのためのデータとコードは、ＴＥＥの作成者からの自己署名証明書を含むことができる。この自己署名証明書により、信頼されたドメインモジュール２４０は、ＴＥＥにロードされているデータ及びコードが、それらが署名されてから修正されていないことを検証することができる。署名されたデータは、作成者の識別子を含む。したがって、第２のＴＥＥの証明データは、ＴＥＥが署名の後に修正されなかったことと、作成者の識別子との双方を示す。作成者がクライアントデバイス１２０Ａに関連づけられたテナントである場合、ＴＥＥの妥当性が確認される。さらなる保護のために、第２のＴＥＥの証明データが第２のＴＥＥ内に生成され、第１の機能にエクスポートされてもよい。証明データは、第２のＴＥＥのアイデンティティ（identity）、第２のＴＥＥの１つ以上の属性、メッセージ認証コード（message authentication code、ＭＡＣ）、又はこれらの任意の適切な組み合わせを含む構造でもよい。この構造は、一時的な秘密鍵を使用して署名されてもよい。

ＴＥＥのメモリ空間は、一時的な１２８ビットメモリ暗号化鍵を用いる高度暗号化標準（Advanced Encryption Standard、ＡＥＳ）の、Ｘｏｒ‐ｅｎｃｒｙｐｔ‐ｘｏｒ（ＸＥＸ）ベースのＴｗｅａｋｅｄ‐ｃｏｄｅｂｏｏｋモードのｃｉｐｈｅｒｔｅｘｔ ｓｔｅａｌｉｎｇ（ＸＴＳ）モードを使用して暗号化され得る。さらに、暗号的完全性保護が、セキュアハッシュアルゴリズム３（ＳＨＡ－３）ベースのＭＡＣを使用して提供されてもよい。ＭＡＣは、メッセージを識別するために使用される情報の部分である。ＭＡＣは、メッセージのデータ完全性を、メッセージ内容へのいかなる変更も検出する検証を可能にすることにより保護する。

第１の機能は、動作７４０において、証明データをネットワークを介して提供する。この例を続けると、クライアントデバイス１２０Ａは、署名された証明データを受信し、そのデータが既に証明された代理証明器クライアント４３０Ａにより署名されたことを検証し、証明データが第２のＴＥＥを正しく識別していることを検証する。

あるいは、第１の機能が、署名された構造を検証し、証明データ自体を提供するのでなく証明が成功したか失敗したかについての指標をクライアントデバイスに提供してもよい。証明データを検証することは、署名に使用された一時的な秘密鍵に対応する一時的な公開鍵を使用して証明データの署名を検証することを含み得る。

第２のＴＥＥの検証がひとたび完了すると、クライアントデバイス１２０Ａは、第２のＴＥＥの第２の機能をゲートウェイを介して安全に呼び出すことができる。第２のＴＥＥの第２の機能の呼び出しは、第２の機能にパラメータを提供すること、戻り値を生成すること、及び戻り値をネットワーク１３０を介してクライアントデバイス１２０Ａに提供することを含み得る。

いくつかの例示的な実施形態において、第２の機能は、第１のＴＥＥのデータへのアクセスを要求する。例えば、クライアントデバイス１２０Ａは、図４に示される直接接続を介して第１のＴＥＥに構成データを提供することができ、機能４２０Ａは、そのデータにアクセスし、ゲートウェイ４１０を介して通信されるパラメータの数を低減することができる。第１のＴＥＥは、第２のＴＥＥが検証されたかどうかを判定し、第２のＴＥＥが検証された場合のみ、要求されたデータを共有することができる。これは、テナントのデータが検証されていない機能と共有されないことを保証する。

データは、一時的な鍵を使用して１つのＴＥＥのデータを暗号化し、暗号化されたデータと一時的な鍵へのアクセスを別のＴＥＥに提供することにより、ＴＥＥ間で渡されてもよい。ハードウェア保護は、一時的な鍵が保護されていないメモリ（例えば、ＴＥＥの外部で動作するコード）から使用されることを防止することができる。

図８は、いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明を利用する際のクライアントによる実行に適した方法８００の動作を示すフローチャートである。方法８００は、動作８１０、８２０、及び８３０を含む。限定でなく例として、方法８００は、図１のクライアントデバイス１２０Ａにより、図２～図４に示されるモジュール、データベース、及び構造を使用して実行することができる。

動作８１０において、クライアントデバイス（例えば、クライアントデバイス１２０Ａ）は、リモートサーバ（例えば、ＦａａＳサーバ１１０Ａ）の第１のＴＥＥの完全性を検証する。例えば、クライアントデバイス１２０Ａは、代理証明クライアント４３０Ａからの署名された証明データを要求することができる。代理証明クライアント４３０Ａは、ＴＥＥ内から証明データを生成し、証明データは、ＴＥＥ内からのみアクセスできるハードウェア保護された鍵により署名される。クライアントデバイス１２０Ａは、署名された証明データを受信し、クライアントデバイス１２０Ａの信頼されたドメインモジュール２４０を使用して署名を検証し、この証明データを、ＴＥＥのコード及びデータがリモートサーバに提供される前に生成された証明データのローカルコピーに対して検証する。

クライアントデバイスは、動作８２０において、第１のＴＥＥの第１の機能への第１のリモート機能コールを行って、リモートサーバの第２のＴＥＥの完全性を検証する。例えば、クライアントデバイス１２０Ａは、代理証明クライアント４３０Ａを呼び出して、機能４２０Ａを含むＴＥＥの完全性を検証することができる。代理証明クライアント４３０Ａは、第２のＴＥＥのローカル証明を実行し、機能４２０ＡのＴＥＥが証明されたというセキュアな確認をクライアントデバイス１２０Ａに送信する。

いくつかの例示的な実施形態において、第１のリモート機能コールは、証明される第２のＴＥＥのための、クライアントデバイス１２０Ａからのデータを含む。これらの例示的な実施形態において、代理証明クライアント４３０Ａは、クライアントデバイス１２０Ａから受信した証明データを、第２のＴＥＥについてローカルに受信した証明データと比較する。証明データの２つのセットが一致する場合、検証応答がクライアントデバイス１２０Ａに提供される。そうでない場合、代理証明クライアント４３０Ａは、第２のＴＥＥが検証できなかったことを示す。

他の例示的な実施形態において、代理証明クライアント４３０ＡのＴＥＥは、代理証明クライアント４３０Ａがデプロイされるとき、第２のＴＥＥの証明データを含む。これらの例示的な実施形態において、代理証明クライアント４３０Ａは、記憶された証明データを第２のＴＥＥについてローカルに受信した証明データと比較して、検証応答を送信するか、又は第２のＴＥＥが検証できなかったという指標を送信するかを決定する。

動作８３０において、第１の機能により提供される検証に基づいて、クライアントデバイスは、第２のＴＥＥの第１の機能への第２のリモート機能コールを行う。例えば、代理証明クライアント４３０Ａが第２のＴＥＥを検証した場合、クライアントデバイス１２０Ａは、検証された機能４２０Ａを呼び出すことができる。検証された機能４２０Ａの起動は、代理証明クライアント４３０Ａの呼び出しと同様に直接的でもよく、あるいはゲートウェイ４１０を利用し、間接的でもよい。

したがって、方法８００の使用により、クライアントデバイス１２０Ａは、代理証明クライアント４３０Ａを直接呼び出すだけで、ＦａａＳサーバ１１０Ａ上の任意の数のＴＥＥにおける任意の数の機能を検証可能にされ、クライアント及びサーバの双方における検証プロセスの複雑さを低減し、ネットワークトラフィック及び関連するオーバーヘッドを低減する。

図９は、いくつかの例示的な実施形態による、ＴＥＥのスケーラブルな証明を利用する際のクライアントによる実行に適した方法９００の動作を示すフローチャートである。方法９００は、動作９１０、９２０、９３０、９４０、及び９５０を含む。限定でなく例として、方法９００は、図１のクライアントデバイス１２０Ａにより、図２～図４に示されるモジュール、データベース、及び構造を使用して実行することができる。

動作９１０において、クライアントデバイス（例えば、クライアントデバイス１２０Ａ）は、機能のＴＥＥがリモートサーバ（例えば、ＦａａＳサーバ１１０Ａ）上で証明されたかどうかを判定する。例えば、図３のリモート機能テーブル３４０は、機能のエントリが存在するかを判定するために照会され得、機能が証明されたことを示す。

ＴＥＥが証明された場合、クライアントデバイスは、リモートサーバ上の機能を呼び出す（動作９２０）。リモート機能テーブル３４０の行３６０Ａを参照し、クライアントデバイスは、動作９１０において、ＤＳＰ機能が証明されていることを確認し、動作９２０において、サーバ１０．０．０．１上のＤＳＰ機能を呼び出す。

しかしながら、ＴＥＥが証明されていない場合、クライアントデバイスは、動作９３０において、リモートサーバからの証明を要求する。方法８００及びブロック図６００に関して論じられているように、これは、リモートサーバ上の異なるＴＥＥ内の異なる機能に対するリモート機能コールを行うことにより実行することができる。

動作９４０において、要求された証明の結果がクライアントデバイスによりチェックされる。証明が成功であった場合、機能が証明されたかどうかを示すローカルデータが（例えば、証明テーブル３１０に行を追加すること、又はリモート機能テーブル３４０内の既存の行を更新することにより）更新され、リモート機能が呼び出される（動作９２０）。

証明が成功でなかった場合、機能のローカルバージョンが呼び出される（動作９５０）。いくつかの例示的な実施形態において、リモートサーバの計算能力はクライアントデバイスの計算能力よりも大きく、ゆえに、セキュアな機能が利用可能なとき、リモートサーバを使用することが好ましい。しかしながら、機能をローカルに呼び出すことを可能にすることにより、機能を利用するアプリケーションは、リモートサーバが機能を提供できないとしても続行することができる。

したがって、方法９００の使用により、クライアントデバイス１２０Ａは、代理証明クライアント４３０Ａを直接呼び出すだけで、ＦａａＳサーバ１１０Ａ上の任意の数のＴＥＥにおける任意の数の機能を検証可能にされ、クライアント及びサーバの双方における検証プロセスの複雑さを低減し、ネットワークトラフィック及び関連するオーバーヘッドを低減する。さらに、機能がリモートで利用できず又はセキュアでないとき、機能をローカルに呼び出すことができ、より高い信頼性を可能にする。

上述の主題事項の実装を考慮し、本出願は、以下の例のリストを開示する。単独での例の１つの特徴、又は、組み合わせて、及び任意で１つ以上のさらなる例の１つ以上の特徴と組み合わせて得られる例の２つ以上の特徴は、本出願の開示の範囲内に同様に入るさらなる例である。

例１は、信頼された実行環境（trusted execution environment、ＴＥＥ）のリモート証明を提供するシステムであり、当該システムは、少なくとも１つのプロセッサと、前記プロセッサに動作上結合されたネットワークインターフェースと、前記プロセッサにより実行されると前記少なくとも１つのプロセッサに動作を実行させる命令を記憶するための、前記少なくとも１つのプロセッサに結合されたメモリと、を含み、前記動作は、第１の機能のための第１のＴＥＥを作成することと、第２の機能のための第２のＴＥＥを作成することと、前記第１の機能へのリモートアクセスのためのゲートウェイを提供することと、クライアントデバイスから、及び前記ネットワークインターフェースを介して、前記第２のＴＥＥの完全性を検証する要求を受信することと、前記要求に応答して、前記第１の機能を実行して前記第２のＴＥＥの証明データを生成することと、前記証明データを前記クライアントデバイスに前記ネットワークインターフェースを介して提供することと、を含む。

例２において、例１の主題事項は、前記第２のＴＥＥの前記証明データの生成は、前記第２のＴＥＥ内から、前記第２のＴＥＥのアイデンティティと前記第２のＴＥＥの属性とメッセージ認証コード（ＭＡＣ）とを含む署名された構造を生成することであり、前記構造は一時的な秘密鍵を使用して署名される、ことと、前記第１のＴＥＥの前記第１の機能を使用して前記署名された構造を検証することと、を含む、ことを含む。

例３において、例１～２の主題事項は、前記動作は、前記クライアントデバイスから、及び前記ネットワークインターフェースを介して、前記ゲートウェイで機能コールを受けることであり、前記機能コールは前記第２の機能に関連づけられている、ことと、前記機能コールに応答して、前記第２の機能を実行して戻り値を生成することと、前記戻り値を前記クライアントデバイスに前記ネットワークインターフェースを介して提供することと、をさらに含む、ことを含む。

例４において、例３の主題事項は、前記動作は、前記機能コールに応答して、前記第２の機能により、前記第１のＴＥＥのデータへのアクセスを要求することをさらに含む、ことを含む。

例５において、例４の主題事項は、前記動作は、前記第１の機能により、前記第２の機能が検証されたと判定することと、前記第２の機能による、前記第１のＴＥＥのデータへのアクセスの要求に応答して、前記第２の機能が検証されたという判定に基づいて、前記データへの要求されたアクセスを提供することと、をさらに含む、ことを含む。

例６において、例５の主題事項は、前記データへの要求されたアクセスの提供は、一時的な鍵を使用して前記データを暗号化することと、前記第２の機能に前記一時的な鍵へのアクセスを提供することと、を含む、ことを含む。

例７において、例１～６の主題事項は、前記動作は、前記第２のＴＥＥの完全性を検証する前記要求を受信する前に、前記第１のＴＥＥの完全性を検証する第２の要求を受信することをさらに含む、ことを含む。

例８において、例１～７の主題事項は、前記ゲートウェイは、前記クライアントデバイスにより検証されないことを含む。

例９において、例１～８の主題事項は、前記ゲートウェイは、第３のＴＥＥの第３の機能へのリモートアクセスを提供し、前記第１の機能は、前記第３のＴＥＥの完全性を検証できないことを含む。

例１０において、例９の主題事項は、前記動作は、第４の機能のための第４のＴＥＥを作成することと、第２のクライアントデバイスから、及び前記ネットワークインターフェースを介して、前記第４の機能への第２の機能コールを受けることであり、前記第２の機能コールは前記第３のＴＥＥの完全性を検証する、ことと、をさらに含む、ことを含む。

例１１は、信頼された実行環境（ＴＥＥ）のリモート証明を提供する方法であり、当該方法は、プロセッサにより、第１の機能のための第１の信頼された実行環境（ＴＥＥ）を作成するステップと、前記プロセッサにより、第２の機能のための第２のＴＥＥを作成するステップと、前記プロセッサにより、前記第１の機能へのリモートアクセスのためのゲートウェイを提供するステップと、クライアントデバイスから、及びネットワークインターフェースを介して、前記第２のＴＥＥの完全性を検証する要求を受信するステップと、前記要求に応答して、前記プロセッサにより、前記第１の機能を実行して前記第２のＴＥＥの証明データを生成するステップと、前記証明データを前記クライアントデバイスに前記ネットワークインターフェースを介して提供するステップと、を含む。

例１２において、例１１の主題事項は、前記第２の機能の前記証明データの生成は、前記第２のＴＥＥ内から、前記第２のＴＥＥのアイデンティティと前記第２のＴＥＥの属性とメッセージ認証コード（ＭＡＣ）とを含む署名された構造を生成することであり、前記構造は一時的な秘密鍵を使用して署名される、ことと、前記プロセッサにより、前記第１のＴＥＥの前記第１の機能を使用して前記署名された構造を検証することと、を含む、ことを含む。

例１３において、例１１～１２の主題事項は、前記クライアントデバイスから、及び前記ネットワークインターフェースを介して、前記ゲートウェイで機能コールを受けることであり、前記機能コールは前記第２の機能に関連づけられている、ステップと、前記機能コールに応答して、前記プロセッサにより、前記第２の機能を実行して戻り値を生成するステップと、前記戻り値を前記クライアントデバイスに前記ネットワークインターフェースを介して提供するステップと、を含む。

例１４において、例１３の主題事項は、前記機能コールに応答して、前記第２の機能により、前記第１のＴＥＥのデータへのアクセスを要求するステップを含む。

例１５において、例１４の主題事項は、前記第１の機能により、前記第２の機能が検証されたと判定するステップと、前記第２の機能による、前記第１のＴＥＥのデータへのアクセスの要求に応答して、前記第２の機能が検証されたという判定に基づいて、前記データへの要求されたアクセスを提供するステップと、を含む。

例１６において、例１５の主題事項は、前記データへの要求されたアクセスの提供は、一時的な鍵を使用して前記データを暗号化することと、前記第２の機能に前記一時的な鍵へのアクセスを提供することと、を含む、ことを含む。

例１７において、例１１～１６の主題事項は、前記第２のＴＥＥの完全性を検証する前記要求を受信する前に、前記第１のＴＥＥの完全性を検証する第２の要求を受信するステップを含む。

例１８において、例１１～１７の主題事項は、前記ゲートウェイは、前記クライアントデバイスにより検証されないことを含む。

例１９において、例１１～１８の主題事項は、前記ゲートウェイは、第３のＴＥＥの第３の機能へのリモートアクセスを提供し、前記第１の機能は、前記第３のＴＥＥの完全性を検証できないことを含む。

例２０において、例１９の主題事項は、前記プロセッサにより、第４の機能のための第４のＴＥＥを作成するステップと、第２のクライアントデバイスから、及び前記ネットワークインターフェースを介して、前記第４の機能への第２の機能コールを受けるステップであり、前記第２の機能コールは前記第３のＴＥＥの完全性を検証する、ステップと、を含む。

例２１は、少なくとも１つのプロセッサに、動作を実行することにより信頼された実行環境（ＴＥＥ）のリモート証明を提供させる命令を有する非一時的コンピュータ読取可能媒体であり、前記動作は、第１の機能のための第１の信頼された実行環境（ＴＥＥ）を作成することと、第２の機能のための第２のＴＥＥを作成することと、前記第１の機能へのリモートアクセスのためのゲートウェイを提供することと、クライアントデバイスから、及びネットワークインターフェースを介して、前記第２のＴＥＥの完全性を検証する要求を受信することと、前記要求に応答して、前記第１の機能を実行して前記第２のＴＥＥの証明データを生成することと、前記証明データを前記クライアントデバイスに前記ネットワークインターフェースを介して提供することと、を含む。

例２２において、例２１の主題事項は、前記第２の機能の前記証明データの生成は、前記第２のＴＥＥ内から、前記第２のＴＥＥのアイデンティティと前記第２のＴＥＥの属性とメッセージ認証コード（ＭＡＣ）とを含む署名された構造を生成することであり、前記構造は一時的な秘密鍵を使用して署名される、ことと、前記第１のＴＥＥの前記第１の機能を使用して前記署名された構造を検証することと、を含む、ことを含む。

例２３において、例２１～２２の主題事項は、前記動作は、前記クライアントデバイスから、及び前記ネットワークインターフェースを介して、前記ゲートウェイで機能コールを受けることであり、前記機能コールは前記第２の機能に関連づけられている、ことと、前記機能コールに応答して、前記第２の機能を実行して戻り値を生成することと、前記戻り値を前記クライアントデバイスに前記ネットワークインターフェースを介して提供することと、をさらに含む、ことを含む。

例２４において、例２３の主題事項は、前記動作は、前記機能コールに応答して、前記第２の機能により、前記第１のＴＥＥのデータへのアクセスを要求することをさらに含む、ことを含む。

例２５において、例２４の主題事項は、前記動作は、前記第１の機能により、前記第２の機能が検証されたと判定することと、前記第２の機能による、前記第１のＴＥＥのデータへのアクセスの要求に応答して、前記第２の機能が検証されたという判定に基づいて、前記データへの要求されたアクセスを提供することと、をさらに含む、ことを含む。

例２６において、例２５の主題事項は、前記データへの要求されたアクセスの提供は、一時的な鍵を使用して前記データを暗号化することと、前記第２の機能に前記一時的な鍵へのアクセスを提供することと、を含む、ことを含む。

例２７において、例２１～２６の主題事項は、前記動作は、前記第２の機能の完全性を検証する前記要求を受信する前に、前記第１の機能の完全性を検証する第２の要求を受信することをさらに含む、ことを含む。

例２８において、例２１～２７の主題事項は、前記ゲートウェイは、前記クライアントデバイスにより検証されないことを含む。

例２９において、例２１～２８の主題事項は、前記ゲートウェイは、第３のＴＥＥの第３の機能へのリモートアクセスを提供し、前記第１の機能は、前記第３のＴＥＥの完全性を検証できないことを含む。

例３０において、例２９の主題事項は、前記動作は、前記プロセッサにより、第４の機能のための第４のＴＥＥを作成することと、第２のクライアントデバイスから、及び前記ネットワークインターフェースを介して、前記第４の機能への第２の機能コールを受けることであり、前記第２の機能コールは前記第３のＴＥＥの完全性を検証する、ことと、をさらに含む、ことを含む。

例３１は、信頼された実行環境（ＴＥＥ）のリモート証明を提供するシステムであり、当該システムは、記憶のための手段と、ネットワークインターフェース手段と、処理手段であり、第１の機能のための第１のＴＥＥを作成し、第２の機能のための第２のＴＥＥを作成し、前記第１の機能へのリモートアクセスのためのゲートウェイを提供し、クライアントデバイスから、及び前記ネットワークインターフェース手段を介して、前記第２のＴＥＥの完全性を検証する要求を受信し、前記要求に応答して、前記第１の機能を実行して前記第２のＴＥＥの証明データを生成し、前記証明データを前記クライアントデバイスに前記ネットワークインターフェース手段を介して提供する処理手段と、を含む。

例３２において、例３１の主題事項は、前記第２のＴＥＥの前記証明データを生成するために、前記処理手段は、前記第２のＴＥＥ内から、前記第２のＴＥＥのアイデンティティと前記第２のＴＥＥの属性とメッセージ認証コード（ＭＡＣ）とを含む署名された構造を生成し、前記構造は一時的な秘密鍵を使用して署名され、前記第１のＴＥＥの前記第１の機能を使用して前記署名された構造を検証することを含む。

例３３において、例３１～３２の主題事項は、前記処理手段はさらに、前記クライアントデバイスから、及び前記ネットワークインターフェース手段を介して、前記ゲートウェイで機能コールを受け、前記機能コールは前記第２の機能に関連づけられ、前記機能コールに応答して、前記第２の機能を実行して戻り値を生成し、前記戻り値を前記クライアントデバイスに前記ネットワークインターフェース手段を介して提供することを含む。

例３４において、例３３の主題事項は、前記処理手段はさらに、前記機能コールに応答して、前記第２の機能により、前記第１のＴＥＥのデータへのアクセスを要求することを含む。

例３５において、例３４の主題事項は、前記処理手段はさらに、前記第１の機能により、前記第２の機能が検証されたと判定し、前記第２の機能による、前記第１のＴＥＥのデータへのアクセスの要求に応答して、前記第２の機能が検証されたという判定に基づいて、前記データへの要求されたアクセスを提供することを含む。

例３６において、例３５の主題事項は、前記データへの要求されたアクセスを提供するために、前記処理手段は、一時的な鍵を使用して前記データを暗号化し、前記第２の機能に前記一時的な鍵へのアクセスを提供することを含む。

例３７において、例３１～３６の主題事項は、前記処理手段はさらに、前記第２のＴＥＥの完全性を検証する前記要求を受信する前に、前記第１のＴＥＥの完全性を検証する第２の要求を受信することを含む。

例３８において、例３１～３７の主題事項は、前記ゲートウェイは、前記クライアントデバイスにより検証されないことを含む。

例３９において、例３１～３８の主題事項は、前記ゲートウェイは、第３のＴＥＥの第３の機能へのリモートアクセスを提供し、前記第１の機能は、前記第３のＴＥＥの完全性を検証できないことを含む。

例４０において、例３９の主題事項は、前記処理手段は、第４の機能のための第４のＴＥＥを作成し、第２のクライアントデバイスから、及び前記ネットワークインターフェース手段を介して、前記第４の機能への第２の機能コールを受け、前記第２の機能コールは前記第３のＴＥＥの完全性を検証することを含む。

例４１は、処理回路により実行されると前記処理回路に例１～４０のいずれかを実施する動作を実行させる命令を含む、少なくとも１つのマシン読取可能媒体である。

例４２は、例１～４０のいずれかを実施するための手段を含む装置である。

例４３は、例１～４０のいずれかを実施するためのシステムである。

例４４は、例１～４０のいずれかを実施するための方法である。

図１０は、コンピューティングデバイスのソフトウェアアーキテクチャ１００２の一例を示すブロック図１０００である。アーキテクチャ１００２は、例えば、本明細書に記載されるような、様々なハードウェアアーキテクチャと組み合わせて使用することができる。図１０は、ソフトウェアアーキテクチャの非限定的な例に過ぎず、本明細書に記載の機能性を容易にするために、多くの他のアーキテクチャが実装されてもよい。代表的なハードウェア層１００４が示されており、例えば、上記で参照された任意のコンピューティングデバイスを表すことができる。いくつかの例において、ハードウェア層１００４は、図１０のコンピュータシステムのアーキテクチャに従って実装されてもよい。

代表的なハードウェア層１００４は、関連づけられた実行可能命令１００８を有する１つ以上の処理ユニット１００６を含む。実行可能命令１００８は、本明細書に記載される方法、モジュール、サブシステム、及びコンポーネントなどの実装を含む、ソフトウェアアーキテクチャ１００２の実行可能命令を表し、さらに、実行可能命令１００８を同様に有するメモリ及び／又は記憶モジュール１０１０を含んでもよい。ハードウェア層１００４は、ソフトウェアアーキテクチャ１００２の一部として示される他のハードウェアなどの、ハードウェア層１００４の任意の他のハードウェアを表す他のハードウェア１０１２により示されるような他のハードウェアを含んでもよい。

図１０の例示的なアーキテクチャにおいて、ソフトウェアアーキテクチャ１００２は、各層が特定の機能性を提供する層のスタックとして概念化され得る。例えば、ソフトウェアアーキテクチャ１００２は、オペレーティングシステム１０１４、ライブラリ１０１６、フレームワーク／ミドルウェア１０１８、アプリケーション１０２０、及びプレゼンテーション層１０４４などの層を含むことができる。動作上、アプリケーション１０２０及び／又は層内の他のコンポーネントは、ソフトウェアスタックを通してアプリケーションプログラミングインターフェース（ＡＰＩ）コール１０２４を呼び出し、ＡＰＩコール１０２４に応答してメッセージ１０２６として示される応答、戻り値などにアクセスすることができる。例示された層は本質的に代表的なものであり、全てのソフトウェアアーキテクチャが全ての層を有するわけではない。例えば、いくつかのモバイル又は専用オペレーティングシステムはフレームワーク／ミドルウェア１０１８を提供しないことがあり、一方、他はそのような層を提供することがある。他のソフトウェアアーキテクチャが、さらなる層又は異なる層を含んでもよい。

オペレーティングシステム１０１４は、ハードウェアリソースを管理し、共通サービスを提供することができる。オペレーティングシステム１０１４は、例えば、カーネル１０２８、サービス１０３０、及びドライバ１０３２を含んでもよい。カーネル１０２８は、ハードウェア層と他のソフトウェア層との間の抽象化層として機能することができる。例えば、カーネル１０２８は、メモリ管理、プロセッサ管理（例えば、スケジューリング）、コンポーネント管理、ネットワーキング、セキュリティ設定などの責任を負ってもよい。サービス１０３０は、他のソフトウェア層に対して他の共通サービスを提供することができる。いくつかの例において、サービス１０３０は、割込みサービスを含む。割込みサービスは、割込みがアクセスされると、割込みの受信を検出し、応答においてアーキテクチャ１００２に、その現在の処理を一時停止させ、割込みサービスルーチンを実行させることができる。

ドライバ１０３２は、下層のハードウェアを制御し又はこれとインターフェースをとることの責任を負うことができる。例えば、ドライバ１０３２は、ハードウェア構成に依存して、ディスプレイドライバ、カメラドライバ、Ｂｌｕｅｔｏｏｔｈ（登録商標）ドライバ、フラッシュメモリドライバ、シリアル通信ドライバ（例えば、ユニバーサルシリアルバス（ＵＳＢ）ドライバ）、Ｗｉ－Ｆｉ（登録商標）ドライバ、ＮＦＣドライバ、オーディオドライバ、電力管理ドライバなどを含んでもよい。

ライブラリ１０１６は、アプリケーション１０２０及び／又は他のコンポーネント及び／又は層により利用され得る共通インフラストラクチャを提供することができる。ライブラリ１０１６は、典型的には、下層のオペレーティングシステム１０１４の機能性（例えば、カーネル１０２８、サービス１０３０、及び／又は、ドライバ１０３２）と直接インターフェースをとるよりも、他のソフトウェアモジュールがより容易な方法でタスクを実行することを可能にする機能性を提供する。ライブラリ１０１６は、メモリ割り当て機能、文字列操作機能、数学機能などの機能を提供し得るシステムライブラリ１０３４（例えば、Ｃ標準ライブラリ）を含んでもよい。さらに、ライブラリ１０１６は、メディアライブラリ（例えば、ＭＰＥＧ４、Ｈ．２６４、ＭＰ３、ＡＡＣ、ＡＭＲ、ＪＰＧ、ＰＮＧなどの様々なメディアフォーマットの提示及び操作をサポートするライブラリ）、グラフィックスライブラリ（例えば、ディスプレイ上にグラフィックコンテンツの２次元及び３次元をレンダリングするために使用され得るＯｐｅｎＧＬフレームワーク）、データベースライブラリ（例えば、様々な関係データベース機能を提供し得るＳＱＬｉｔｅ）、ウェブライブラリ（例えば、ウェブブラウジング機能性を提供し得るＷｅｂＫｉｔ）などのＡＰＩライブラリ１０３６を含んでもよい。ライブラリ１０１６は、アプリケーション１０２０及び他のソフトウェアコンポーネント／モジュールに多くの他のＡＰＩを提供するために、広範囲の他のライブラリ１０３８をさらに含んでもよい。

フレームワーク／ミドルウェア１０１８は、アプリケーション１０２０及び／又は他のソフトウェアコンポーネント／モジュールにより利用され得るより高いレベルの共通インフラストラクチャを提供することができる。例えば、フレームワーク／ミドルウェア１０１８は、様々なグラフィックユーザインターフェース（ＧＵＩ）機能、高レベルリソース管理、高レベル位置サービス等を提供してもよい。フレームワーク／ミドルウェア１０１８は、アプリケーション１０２０及び／又は他のソフトウェアコンポーネント／モジュールにより利用され得る広範囲の他のＡＰＩを提供してもよく、その一部は、特定のオペレーティングシステム又はプラットフォームに特有でもよい。

アプリケーション１０２０は、内蔵アプリケーション１０４０及び／又はサードパーティアプリケーション１０４２を含む。代表的な内蔵アプリケーション１０４０の例は、これらに限られないが、連絡先（contacts）アプリケーション、ブラウザアプリケーション、ブックリーダアプリケーション、位置アプリケーション、メディアアプリケーション、メッセージングアプリケーション、及び／又はゲームアプリケーションを含んでもよい。サードパーティアプリケーション１０４２は、内蔵アプリケーションと他のアプリケーションの広範な組み合わせとのうちの任意のものを含んでよい。特定の例において、サードパーティアプリケーション１０４２（例えば、特定のプラットフォームのベンダ以外のエンティティによりＡｎｄｒｏｉｄ^ＴＭ又はｉＯＳ^ＴＭソフトウェア開発キット（ＳＤＫ）を使用して開発されたアプリケーション）は、ｉＯＳ^ＴＭ、Ａｎｄｒｏｉｄ^ＴＭ、Ｗｉｎｄｏｗｓ（登録商標） Ｐｈｏｎｅ、又は他のモバイルコンピューティングデバイスのオペレーティングシステムなどのモバイルオペレーティングシステム上で動作するモバイルソフトウェアでもよい。この例において、サードパーティアプリケーション１０４２は、本明細書に記載される機能性を容易にするために、オペレーティングシステム１０１４などのモバイルオペレーティングシステムにより提供されるＡＰＩコール１０２４を呼び出すことができる。

アプリケーション１０２０は、オペレーティングシステム機能（例えば、カーネル１０２８、サービス１０３０、及び／又はドライバ１０３２）、ライブラリ（例えば、システムライブラリ１０３４、ＡＰＩライブラリ１０３６、及び他のライブラリ１０３８）、フレームワーク／ミドルウェア１０１８を利用して、システムのユーザと対話するためのユーザインターフェースを作成することができる。代わりに又はさらに、いくつかのシステムにおいて、ユーザとの対話は、プレゼンテーション層１０４４などのプレゼンテーション層を通して発生してもよい。これらのシステムにおいて、アプリケーション／モジュール「論理」は、ユーザと対話するアプリケーション／モジュールの態様から分離することができる。

いくつかのソフトウェアアーキテクチャは仮想マシンを利用する。図１０の例において、これは仮想マシン１０４８により示されている。仮想マシンは、アプリケーション／モジュールがあたかもそれらがハードウェアコンピューティングデバイス上で実行しているかのように実行できるソフトウェア環境を作成する。仮想マシンは、ホストオペレーティングシステム（オペレーティングシステム１０１４）によりホストされ、常にではないが典型的には仮想マシンモニタ１０４６を有し、仮想マシンモニタ１０４６は、仮想マシンの動作と、ホストオペレーティングシステム（すなわち、オペレーティングシステム１０１４）とのインターフェースを管理する。ソフトウェアアーキテクチャは、オペレーティングシステム１０５０、ライブラリ１０５２、フレームワーク／ミドルウェア１０５４、アプリケーション１０５６、及び／又はプレゼンテーション層１０５８など、仮想マシン１０４８内で実行する。仮想マシン１０４８内で実行されるソフトウェアアーキテクチャのこれらの層は、前述の対応する層と同じとすることができ、あるいは異なってもよい。

モジュール、コンポーネント、及び論理
本明細書では、特定の実施形態を、論理又は複数のコンポーネント、モジュール、若しくはメカニズムを含むものとして記載している。モジュールは、ソフトウェアモジュール（例えば、（１）非一時的マシン読取可能媒体上に、又は（２）伝送信号において、具現化されたコード）又はハードウェア実装モジュールのいずれかを構成することができる。ハードウェア実装モジュールは、特定の動作を実行することができる有形のユニットであり、特定の方法で構成又は配置することができる。例示的な実施形態において、１つ以上のコンピュータシステム（例えば、スタンドアロン、クライアント、又はサーバコンピュータシステム）又は１つ以上のハードウェアプロセッサが、本明細書に記載される特定の動作を実行するように動作するハードウェア実装モジュールとしてソフトウェア（例えば、アプリケーション又はアプリケーション部分）により構成されてもよい。

様々な実施形態において、ハードウェア実装モジュールは、機械的又は電子的に実装することができる。例えば、ハードウェア実装モジュールは、特定の動作を実行するように永続的に構成された専用の回路又は論理を（例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）又は特定用途向け集積回路（ＡＳＩＣ）などの専用プロセッサとして）含んでもよい。ハードウェア実装モジュールはまた、特定の動作を実行するためにソフトウェアにより一時的に構成されるプログラマブル論理又は回路を（例えば、汎用プロセッサ又は他のプログラマブルプロセッサ内に含まれるものとして）含んでもよい。ハードウェア実装モジュールを機械的に、専用の永続的に構成された回路において、又は一時的に構成された回路（例えば、ソフトウェアにより構成される）において実現する判断は、コスト及び時間の考慮により決められ得ることが理解されよう。

したがって、用語「ハードウェア実装モジュール」は、物理的に構築され、永続的に構成され（例えば、ハードワイヤード）、又は、特定の方法で動作し及び／又は本明細書に記載される特定の動作を実行するように仮に又は一時的に構成される（例えば、プログラムされる）エンティティである、有形のエンティティを包含すると理解されるべきである。ハードウェア実装モジュールが一時的に構成される（例えば、プログラムされる）実施形態を考えると、ハードウェア実装モジュールの各々は、任意の１つの時点に構成又はインスタンス化される必要はない。例えば、ハードウェア実装モジュールが、ソフトウェアを使用して構成される汎用プロセッサを含む場合、この汎用プロセッサは、異なる時間にそれぞれの異なるハードウェア実装モジュールとして構成され得る。したがって、ソフトウェアは、プロセッサを、例えばある時点で特定のハードウェア実装モジュールを構成し、異なる時点で異なるハードウェア実装モジュールを構成するように、構成することができる。

ハードウェア実装モジュールは、他のハードウェア実装モジュールに情報を提供し、あるいは他のハードウェア実装モジュールから情報を受信することができる。したがって、記載されるハードウェア実装モジュールは、通信上結合されているとみなすことができる。このようなハードウェア実装モジュールの複数が同時に存在する場合、通信は、信号伝送を介して（例えば、ハードウェア実装モジュールを接続する適切な回路及びバスを通じて）達成され得る。複数のハードウェア実装モジュールが異なる時間に構成又はインスタンス化される実施形態において、そのようなハードウェア実装モジュール間の通信は、例えば、複数のハードウェア実装モジュールがアクセスを有するメモリ構造における情報の記憶及び取り出しにより達成され得る。例えば、１つのハードウェア実装モジュールは、動作を実行し、その動作の出力を、それが通信上結合されているメモリデバイスに記憶することができる。次いで、さらなるハードウェアで実装されたモジュールは、後の時間に、このメモリデバイスにアクセスして記憶された出力を取り出し、処理することができる。ハードウェア実装モジュールはまた、入力デバイス又は出力デバイスとの通信を開始することができ、リソース（例えば、情報の集合）に対して動作することができる。

本明細書に記載される例示的な方法の様々な動作は、少なくとも部分的に、関連する動作を実行するように一時的に（例えば、ソフトウェアにより）構成されるか又は永続的に構成された１つ以上のプロセッサにより実行されてもよい。一時的に構成されるか永続的に構成されるかにかかわらず、このようなプロセッサは、１つ以上の動作又は機能を実行するように動作するプロセッサ実装モジュールを構成することができる。本明細書で参照されるモジュールは、いくつかの例示的な実施形態において、プロセッサ実装モジュールを含んでもよい。

同様に、本明細書に記載される方法は、少なくとも部分的にプロセッサにより実施されてもよい。例えば、方法の動作の少なくとも一部は、１つ以上のプロセッサ又はプロセッサ実装モジュールにより実行されてもよい。特定の動作の実行は、１つ以上のプロセッサ間で分散され、単一のマシン内に存在するだけでなく複数のマシンにわたりデプロイされてもよい。いくつかの例示的な実施形態において、１つ又は複数のプロセッサは、単一の場所に（例えば、ホーム環境、オフィス環境、又はサーバファーム内に）配置されてもよく、一方、他の実施形態において、プロセッサは、複数の場所にわたり分散されてもよい。

１つ以上のプロセッサは、「クラウドコンピューティング」環境において、又は「ソフトウェアアズアサービス（software as a service）」（ＳａａＳ）として、関連する動作の実行をサポートするように動作することもできる。例えば、動作の少なくともいくつかが（プロセッサを含むマシンの例として）コンピュータのグループにより実行され、これらの動作はネットワーク（例えば、インターネット）を介して、及び１つ以上の適切なインターフェース（例えば、ＡＰＩ）を介してアクセス可能でもよい。

電子装置及びシステム
例示的な実施形態は、デジタル電子回路において、又はコンピュータハードウェア、ファームウェア、若しくはソフトウェアにおいて、又はこれらの組み合わせにおいて実施され得る。例示的な実施形態は、データ処理装置、例えばプログラマブルプロセッサ、コンピュータ、又は複数のコンピュータによる実行のため又はその動作を制御するための、情報キャリアにおいて、例えばマシン読取可能媒体において実体的に具現化された、コンピュータプログラム製品、例えばコンピュータプログラムを使用して実施することができる。

コンピュータプログラムは、コンパイル型又は解釈型言語を含む任意の形式のプログラミング言語で書くことができ、スタンドアロンプログラムとして、又はコンピューティング環境での使用に適したモジュール、サブルーチン、又は他のユニットとしてを含む、任意の形態でデプロイすることができる。コンピュータプログラムは、１つのコンピュータ上で、又は１つのサイトにおける複数のコンピュータ上で実行されるように、あるいは複数のサイトにわたり分散され、通信ネットワークにより相互接続されるようにデプロイすることができる。

例示的な実施形態において、動作は、入力データに対して動作して出力を生成することにより機能を実行するようにコンピュータプログラムを実行する１つ以上のプログラマブルプロセッサにより実行することができる。方法の動作は、専用論理回路、例えばＦＰＧＡ又はＡＳＩＣにより実行することもでき、例示的な実施形態の装置が、専用論理回路、例えばＦＰＧＡ又はＡＳＩＣとして実装されてもよい。

コンピューティングシステムは、クライアント及びサーバを含むことができる。クライアントとサーバは、一般に互いに離れており、通信ネットワークを介して対話する。クライアントとサーバの関係は、それぞれのコンピュータ上で動作し互いにクライアント－サーバ関係を有するコンピュータプログラムによって生じる。プログラマブルコンピューティングシステムをデプロイする実施形態において、ハードウェアアーキテクチャ及びソフトウェアアーキテクチャの双方が考慮に値することが理解されるであろう。具体的には、特定の機能性を永続的に構成されたハードウェア（例えば、ＡＳＩＣ）において実装するか、一時的に構成されたハードウェア（例えば、ソフトウェアとプログラマブルプロセッサとの組み合わせ）において実装するか、又は永続的及び一時的に構成されたハードウェアとの組み合わせにおいて実装するかの選択は、設計選択であり得ることが理解されよう。以下に、様々な例示的な実施形態においてデプロイされ得るハードウェア（例えば、マシン）及びソフトウェアアーキテクチャを提示する。

例示的なマシンアーキテクチャ及びマシン読取可能媒体
図１１は、マシンに本明細書で論じられる方法のいずれか１つ以上を実行させるための命令１１２４が実行され得る、コンピュータシステム１１００の例示的な形態のマシンのブロック図である。代替的な実施形態において、マシンは、スタンドアロンデバイスとして動作し、あるいは他のマシンに接続され（例えば、ネットワーク化され）てもよい。ネットワーク化されたデプロイでは、マシンは、サーバ－クライアントネットワーク環境においてサーバ又はクライアントマシンのキャパシティで、又はピアツーピア（又は、分散）ネットワーク環境でピアマシンとして動作することができる。マシンは、パーソナルコンピュータ（ＰＣ）、タブレットＰＣ、セットトップボックス（ＳＴＢ）、パーソナルデジタルアシスタント（ＰＤＡ）、セルラー電話、ウェブ機器、ネットワークルータ、スイッチ、又はブリッジ、又はそのマシンによりとられるべきアクションを指定する命令（順次又はその他）を実行することができる任意のマシンでもよい。さらに、単一のマシンのみが示されているが、用語「マシン」は、本明細書で論じられる方法のいずれか１つ以上を実行するための命令のセット（又は、複数のセット）を個々に又は共同で実行するマシンの任意の集合を含むようにも解されるものとする。

例示的なコンピュータシステム１１００は、プロセッサ１１０２（例えば、中央処理装置（ＣＰＵ）、グラフィックス処理ユニット（ＧＰＵ）、又は双方）、メインメモリ１１０４、及びスタティックメモリ１１０６を含み、これらは、バス１１０８を介して互いに通信する。コンピュータシステム１１００は、ビデオディスプレイユニット１１１０（例えば、液晶ディスプレイ（ＬＣＤ）又は陰極線管（ＣＲＴ））をさらに含んでもよい。コンピュータシステム１１００は、英数字入力デバイス１１１２（例えば、キーボード又はタッチ感知式ディスプレイスクリーン）、ユーザインターフェース（ＵＩ）ナビゲーション（又は、カーソル制御）デバイス１１１４（例えば、マウス）、記憶ユニット１１１６、信号生成デバイス１１１８（例えば、スピーカ）、及びネットワークインターフェースデバイス１１２０をさらに含む。

マシン読取可能媒体
記憶ユニット１１１６は、本明細書に記載される方法又は機能のいずれか１つ以上を具現化し又はこれらにより利用されるデータ構造及び命令１１２４の１つ以上のセット（例えば、ソフトウェア）が記憶されたマシン読取可能媒体１１２２を含む。命令１１２４は、さらに、コンピュータシステム１１００によるその実行の間、完全に又は少なくとも部分的に、メインメモリ１１０４内及び／又はプロセッサ１１０２内に存在し、メインメモリ１１０４及びプロセッサ１１０２もまた、マシン読取可能媒体１１２２を構成し得る。

マシン読取可能媒体１１２２は、例示的な実施形態において単一の媒体であるように示されているが、用語「マシン読取可能媒体」は、１つ以上の命令１１２４又はデータ構造を記憶する単一の媒体又は複数の媒体（例えば、集中型又は分散型データベース、及び／又は関連づけられたキャッシュ及びサーバ）を含んでもよい。用語「マシン読取可能媒体」は、マシンによる実行のために命令１１２４を記憶、符号化、又は搬送することができ、かつマシンに本開示の方法のうちのいずれか１つ以上を実行させる、あるいは、そのような命令１１２４により利用されるか又は関連づけられたデータ構造を記憶、符号化、又は搬送することができる、任意の有形媒体を含むようにも解されるものとする。したがって、用語「マシン読取可能媒体」は、これらに限られないが、ソリッドステートメモリ、並びに光及び磁気媒体を含むように解されるものとする。マシン読取可能媒体１１２２の具体的な例には、半導体メモリデバイス、例えば、消去可能プログラマブル読取専用メモリ（ＥＰＲＯＭ）、電気的消去可能プログラマブル読取専用メモリ（ＥＥＰＲＯＭ）、及びフラッシュメモリデバイス；磁気ディスク、例えば、内部ハードディスク及びリムーバブルディスク；磁気光ディスク；及び、コンパクトディスク読取専用メモリ（ＣＤ－ＲＯＭ）及びデジタル多用途ディスク読取専用メモリ（ＤＶＤ－ＲＯＭ）ディスクを例として含む、不揮発性メモリが含まれる。マシン読取可能媒体は伝送媒体ではない。

伝送媒体
命令１１２４は、さらに、伝送媒体を使用して通信ネットワーク１１２６を通じて送信又は受信されてもよい。命令１１２４は、ネットワークインターフェースデバイス１１２０と、多数の周知の転送プロトコルのいずれか１つ（例えば、ハイパーテキストトランスポートプロトコル（ＨＴＴＰ））を使用して送信することができる。通信ネットワークの例には、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、インターネット、移動電話ネットワーク、単純従来型電話（plain old telephone）（ＰＯＴＳ）ネットワーク、及びワイヤレスデータネットワーク（例えば、ＷｉＦｉ及びＷｉＭａｘネットワーク）が含まれる。用語「伝送媒体」は、マシンによる実行のための命令１１２４を記憶、符号化、又は搬送することができる任意の無形媒体を含むように解されるものとし、そのようなソフトウェアの通信を容易にするためのデジタル若しくはアナログ通信信号又は他の無形媒体を含む。

本明細書では、特定の例示的な実施形態について記載しているが、本開示のより広い主旨及び範囲から逸脱することなく、これらの実施形態に様々な修正及び変更がなされ得ることは明らかであろう。したがって、明細書及び図面は、限定的な意味でなく例示的な意味で解釈されるべきである。本明細書の一部を構成する添付の図面は、限定でなく例として、主題実行が実施され得る特定の実施形態を示している。例示された実施形態は、当業者が本明細書で開示された教示を実施できるように十分詳細に記載されている。これらから、他の実施形態を利用及び導出してもよく、それにより、本開示の範囲から逸脱することなく構造的及び論理的な置換及び変更がなされ得る。したがって、この詳細な説明は、限定的な意味で解釈されるべきでなく、様々な実施形態の範囲は、別記の特許請求の範囲と、そのような特許請求の範囲が権利を有する同等物の全範囲とによってのみ定義される。

このような発明主題事項の実施形態は、本明細書において、単に便宜のため、及び、複数が実際開示されている場合に本出願の範囲をいずれか１つの発明又は発明概念に自発的に限定することを意図することなく、用語「発明」によって個々に及び／又は集合的に参照されることがある。したがって、特定の実施形態が本明細書において例示及び説明されたが、同じ目的を達成するために計算された任意の配置が、示された特定の実施形態の代替にされてもよいことを理解されたい。本開示は、様々な実施形態のいずれか及び全ての適合又はバリエーションをカバーすることを意図している。上記実施形態の組み合わせ、及び本明細書に具体的に記載されていない他の実施形態が、上記説明を検討した当業者に明らかとなるであろう。

本明細書で論じられる主題事項のいくつかの部分は、マシンメモリ（例えば、コンピュータメモリ）内のビット又はバイナリデジタル信号として記憶されたデータに対する動作のアルゴリズム又はシンボル表現の観点から提示され得る。このようなアルゴリズム又はシンボル表現は、データ処理分野の当業者により使用される技術の例であって、それらの作業の実体を他の当業者に伝える。本明細書で用いられるとき、「アルゴリズム」は、所望の結果を導く自己矛盾のない動作シーケンス又は同様の処理である。この文脈において、アルゴリズム及び動作は物理的数量の物理的操作を含む。必ずではないが典型的には、このような数量は、マシンにより記憶、アクセス、転送、結合、比較、又はその他の方法で操作できる電気、磁気、又は光信号の形態をとることができる。主として共通の用法の理由で、このような信号を「データ」、「内容」、「ビット」、「値」、「要素」、「シンボル」、「文字」、「ターム」、「番号」、「数字」などの語を用いて参照することが時に簡便である。しかしながら、これらの語は、単に簡便なラベルであり、適切な物理的数量に関連づけられるべきである。

別段具体的に示されない限り、本明細書において「処理」、「計算」、「算出」、「決定」、「提示」、「表示」などの用語を用いる議論は、１つ以上のメモリ（例えば、揮発性メモリ、不揮発性メモリ、又はこれらの任意の適切な組み合わせ）、レジスタ、又は情報を受信、記憶、送信、又は表示する他のマシンコンポーネント内で物理的（例えば、電子的、磁気的、又は光学的）数量として表されるデータを操作又は変換するマシン（例えば、コンピュータ）のアクション又はプロセスを指し得る。さらに、別段具体的に示されない限り、本明細書において、用語「一の」（「a」及び「an」）は、特許文献において一般的であるように、１つ又は複数のインスタンスを含むように用いられる。最後に、本明細書において用いられるとき、接続詞「又は」は、別段具体的に示されない限り、非排他的な「又は」を指す。

Claims (26)

1. 信頼された実行環境（ＴＥＥ）のリモート証明を提供するシステムであって、
   少なくとも１つのプロセッサと、
   前記プロセッサに動作上結合されたネットワークインターフェースと、
   前記プロセッサにより実行されると前記少なくとも１つのプロセッサに動作を実行させる命令を記憶するための、前記少なくとも１つのプロセッサに結合されたメモリと、を含み、前記動作は、
   第１の機能のための第１のＴＥＥを作成することと、
   第２の機能のための第２のＴＥＥを作成することと、
   前記第１の機能へのリモートアクセスのためのゲートウェイを提供することと、
   クライアントデバイスから、及び前記ネットワークインターフェースを介して、前記第２のＴＥＥの完全性を検証する要求を受信することと、
   前記要求に応答して、
   前記第１の機能を実行して前記第２のＴＥＥの証明データを生成することと、
   前記証明データを前記クライアントデバイスに前記ネットワークインターフェースを介して提供することと、
   を含む、システム。
2. 前記第２のＴＥＥの前記証明データの生成は、
   前記第２のＴＥＥ内から、前記第２のＴＥＥのアイデンティティと前記第２のＴＥＥの属性とメッセージ認証コード（ＭＡＣ）とを含む署名された構造を生成することであり、前記構造は一時的な秘密鍵を使用して署名される、ことと、
   前記第１のＴＥＥの前記第１の機能を使用して前記署名された構造を検証することと、
   を含む、請求項１に記載のシステム。
3. 前記動作は、
   前記クライアントデバイスから、及び前記ネットワークインターフェースを介して、前記ゲートウェイで機能コールを受けることであり、前記機能コールは前記第２の機能に関連づけられている、ことと、
   前記機能コールに応答して、
   前記第２の機能を実行して戻り値を生成することと、
   前記戻り値を前記クライアントデバイスに前記ネットワークインターフェースを介して提供することと、
   をさらに含む、請求項１又は請求項２に記載のシステム。
4. 前記動作は、
   前記機能コールに応答して、前記第２の機能により、前記第１のＴＥＥのデータへのアクセスを要求すること
   をさらに含む、請求項３に記載のシステム。
5. 前記動作は、
   前記第１の機能により、前記第２の機能が検証されたと判定することと、
   前記第２の機能による、前記第１のＴＥＥのデータへのアクセスの要求に応答して、前記第２の機能が検証されたという判定に基づいて、前記データへの要求されたアクセスを提供することと、
   をさらに含む、請求項４に記載のシステム。
6. 前記データへの要求されたアクセスの提供は、
   一時的な鍵を使用して前記データを暗号化することと、
   前記第２の機能に前記一時的な鍵へのアクセスを提供することと、
   を含む、請求項５に記載のシステム。
7. 前記動作は、
   前記第２のＴＥＥの完全性を検証する前記要求を受信する前に、前記第１のＴＥＥの完全性を検証する第２の要求を受信すること
   をさらに含む、請求項１乃至６のうちいずれか１項に記載のシステム。
8. 前記ゲートウェイは、前記クライアントデバイスにより検証されない、請求項１乃至７のうちいずれか１項に記載のシステム。
9. 前記ゲートウェイは、第３のＴＥＥの第３の機能へのリモートアクセスを提供し、
   前記第１の機能は、前記第３のＴＥＥの完全性を検証できない、
   請求項１乃至８のうちいずれか１項に記載のシステム。
10. 前記動作は、
    第４の機能のための第４のＴＥＥを作成することと、
    第２のクライアントデバイスから、及び前記ネットワークインターフェースを介して、前記第４の機能への第２の機能コールを受けることであり、前記第２の機能コールは前記第３のＴＥＥの完全性を検証する、ことと、
    をさらに含む、請求項９に記載のシステム。
11. 信頼された実行環境（ＴＥＥ）のリモート証明を提供する方法であって、
    プロセッサにより、第１の機能のための第１の信頼された実行環境（ＴＥＥ）を作成するステップと、
    前記プロセッサにより、第２の機能のための第２のＴＥＥを作成するステップと、
    前記プロセッサにより、前記第１の機能へのリモートアクセスのためのゲートウェイを提供するステップと、
    クライアントデバイスから、及びネットワークインターフェースを介して、前記第２のＴＥＥの完全性を検証する要求を受信するステップと、
    前記要求に応答して、
    前記プロセッサにより、前記第１の機能を実行して前記第２のＴＥＥの証明データを生成するステップと、
    前記証明データを前記クライアントデバイスに前記ネットワークインターフェースを介して提供するステップと、
    を含む方法。
12. 前記第２の機能の前記証明データの生成は、
    前記第２のＴＥＥ内から、前記第２のＴＥＥのアイデンティティと前記第２のＴＥＥの属性とメッセージ認証コード（ＭＡＣ）とを含む署名された構造を生成することであり、前記構造は一時的な秘密鍵を使用して署名される、ことと、
    前記プロセッサにより、前記第１のＴＥＥの前記第１の機能を使用して前記署名された構造を検証することと、
    を含む、請求項１１に記載の方法。
13. 前記クライアントデバイスから、及び前記ネットワークインターフェースを介して、前記ゲートウェイで機能コールを受けることであり、前記機能コールは前記第２の機能に関連づけられている、ステップと、
    前記機能コールに応答して、
    前記プロセッサにより、前記第２の機能を実行して戻り値を生成するステップと、
    前記戻り値を前記クライアントデバイスに前記ネットワークインターフェースを介して提供するステップと、
    をさらに含む、請求項１１又は請求項１２に記載の方法。
14. 前記機能コールに応答して、前記第２の機能により、前記第１のＴＥＥのデータへのアクセスを要求するステップ
    をさらに含む請求項１３に記載の方法。
15. 前記第１の機能により、前記第２の機能が検証されたと判定するステップと、
    前記第２の機能による、前記第１のＴＥＥのデータへのアクセスの要求に応答して、前記第２の機能が検証されたという判定に基づいて、前記データへの要求されたアクセスを提供するステップと、
    をさらに含む、請求項１４に記載の方法。
16. 前記データへの要求されたアクセスの提供は、
    一時的な鍵を使用して前記データを暗号化することと、
    前記第２の機能に前記一時的な鍵へのアクセスを提供することと、
    を含む、請求項１５に記載の方法。
17. 前記第２のＴＥＥの完全性を検証する前記要求を受信する前に、前記第１のＴＥＥの完全性を検証する第２の要求を受信するステップ
    をさらに含む請求項１１乃至１６のうちいずれか１項に記載の方法。
18. 前記ゲートウェイは、前記クライアントデバイスにより検証されない、請求項１１乃至１７のうちいずれか１項に記載の方法。
19. 前記ゲートウェイは、第３のＴＥＥの第３の機能へのリモートアクセスを提供し、
    前記第１の機能は、前記第３のＴＥＥの完全性を検証できない、
    請求項１１乃至１８のうちいずれか１項に記載の方法。
20. 前記プロセッサにより、第４の機能のための第４のＴＥＥを作成するステップと、
    第２のクライアントデバイスから、及び前記ネットワークインターフェースを介して、前記第４の機能への第２の機能コールを受けるステップであり、前記第２の機能コールは前記第３のＴＥＥの完全性を検証する、ステップと、
    をさらに含む請求項１９に記載の方法。
21. 少なくとも１つのプロセッサに、動作を実行することにより信頼された実行環境（ＴＥＥ）のリモート証明を提供させるコンピュータプログラムであって、前記動作は、
    第１の機能のための第１の信頼された実行環境（ＴＥＥ）を作成することと、
    第２の機能のための第２のＴＥＥを作成することと、
    前記第１の機能へのリモートアクセスのためのゲートウェイを提供することと、
    クライアントデバイスから、及びネットワークインターフェースを介して、前記第２のＴＥＥの完全性を検証する要求を受信することと、
    前記要求に応答して、
    前記第１の機能を実行して前記第２のＴＥＥの証明データを生成することと、
    前記証明データを前記クライアントデバイスに前記ネットワークインターフェースを介して提供することと、
    を含む、コンピュータプログラム。
22. 前記第２の機能の前記証明データの生成は、
    前記第２のＴＥＥ内から、前記第２のＴＥＥのアイデンティティと前記第２のＴＥＥの属性とメッセージ認証コード（ＭＡＣ）とを含む署名された構造を生成することであり、前記構造は一時的な秘密鍵を使用して署名される、ことと、
    前記第１のＴＥＥの前記第１の機能を使用して前記署名された構造を検証することと、
    を含む、請求項２１に記載のコンピュータプログラム。
23. 前記動作は、
    前記クライアントデバイスから、及び前記ネットワークインターフェースを介して、前記ゲートウェイで機能コールを受けることであり、前記機能コールは前記第２の機能に関連づけられている、ことと、
    前記機能コールに応答して、
    前記第２の機能を実行して戻り値を生成することと、
    前記戻り値を前記クライアントデバイスに前記ネットワークインターフェースを介して提供することと、
    をさらに含む、請求項２１又は請求項２２に記載のコンピュータプログラム。
24. 信頼された実行環境（ＴＥＥ）のリモート証明を提供するシステムであって、
    記憶のための手段と、
    ネットワークインターフェース手段と、
    処理手段であり、
    第１の機能のための第１のＴＥＥを作成し、
    第２の機能のための第２のＴＥＥを作成し、
    前記第１の機能へのリモートアクセスのためのゲートウェイを提供し、
    クライアントデバイスから、及び前記ネットワークインターフェース手段を介して、前記第２のＴＥＥの完全性を検証する要求を受信し、
    前記要求に応答して、
    前記第１の機能を実行して前記第２のＴＥＥの証明データを生成し、
    前記証明データを前記クライアントデバイスに前記ネットワークインターフェース手段を介して提供する
    処理手段と、
    を含むシステム。
25. 前記第２のＴＥＥの前記証明データを生成するために、前記処理手段は、
    前記第２のＴＥＥ内から、前記第２のＴＥＥのアイデンティティと前記第２のＴＥＥの属性とメッセージ認証コード（ＭＡＣ）とを含む署名された構造を生成し、前記構造は一時的な秘密鍵を使用して署名され、
    前記第１のＴＥＥの前記第１の機能を使用して前記署名された構造を検証する、
    請求項２４に記載のシステム。
26. 請求項２１乃至２３のうちいずれか１項に記載のコンピュータプログラムを記憶したコンピュータ読取可能記憶媒体。

Images