JP2022122553A - 画像形成装置、その制御方法、およびプログラム - Google Patents

Abstract

【課題】画像形成装置のパフォーマンスへの影響を抑制しつつ、アプリケーションプログラムからの機密情報の漏えいを効果的に防止する画像形成装置、制御方法及びプログラムを提供する。【解決手段】画像形成装置の制御方法において、画像形成装置のロード手段は、ロードするスクリプトファイルの制御コードの暗号化の有無を判定する。ロードしようとしている制御コードが暗号化されている場合（Ｓ８０１：成功）、復号に使用する暗号鍵の署名検証Ｓ８０２により暗号鍵の完全性を確認する。暗号鍵の署名検証が成功（Ｓ８０２：成功）した場合、コード検証処理として非暗号化スクリプトのダイジェスト検証Ｓ８０４により制御コードの完全性を確認する。ロード手段は、鍵情報の完全性を確認されている場合であっても制御コードの完全性が確認されない場合には、ロードしようとしている暗号化された制御コードのロードまたは復号を実行しない。【選択図】図８

Description

本発明は、画像形成装置、その制御方法、およびプログラムに関する。

画像形成装置では、たとえばオプション機能の追加などのために、アプリケーションプログラムをインストールして実行可能にすることが可能となっている。

このような画像形成装置では、悪意をもって改ざんなどにより生成されたアプリケーションプログラムがインストールされて実行されてしまう可能性がある。
この場合、画像形成装置で取り扱っている機密情報が、改ざんされたアプリケーションプログラムにより読み出されて、漏えいしてしまう可能性がある。

特開２００２－２３０５１１号公報 特開２００９－２５８７７２号公報

そこで、特許文献１のようにアプリケーションプログラムの機密情報を守るため、アプリケーションプログラムを暗号化し、ロードする時に復号することが考えられる。

しかしながら、特許文献１のように、アプリケーションプログラムの全体を暗号化してしまうと、本来的に機密ではない情報まで暗号化されることになる。その結果、画像形成装置は、アプリケーションプログラムを実行する場合には、ロードとともに復号する処理が常に発生してしまう。画像形成装置のパフォーマンスに影響が生じる。

このため、特許文献２のように、アプリケーションプログラムの一部を暗号化することが考えられる。

しかしながら、アプリケーションプログラムの一部を暗号化した場合、悪意をもってアプリケーションプログラムが改ざんされることにより、暗号化されていない処理により、暗号化された処理の内容が読み出されてしまう可能性が残る。

このように画像形成装置では、画像形成装置のパフォーマンスへの影響を抑制しつつ、アプリケーションプログラムからの機密情報の漏えいを効果的に防止できるようにすることが求められる。

本発明に係る画像形成装置は、複数の制御コードと複数のデータによって構成されるアプリケーションプログラムを実行可能な画像形成装置であって、前記アプリケーションプログラムを構成する個々の前記制御コードを実行するためにロードするロード手段、を有し、前記アプリケーションプログラムは、複数の前記制御コードとして、暗号化されている制御コードと、暗号化されていない制御コードと、を含み、前記ロード手段は、ロードしようとしている前記制御コードが暗号化されている場合において復号に使用する鍵情報の完全性を確認する鍵情報検証手段と、ロードしようとしている前記制御コードを含む前記アプリケーションプログラムにおける前記制御コードの完全性を確認する制御コード検証手段と、を有し、前記鍵情報検証手段により前記鍵情報の完全性を確認されている場合であっても、前記制御コード検証手段により前記制御コードの完全性が確認されない場合には、ロードしようとしている暗号化された前記制御コードのロードまたは復号を実行しない。

本発明では、画像形成装置のパフォーマンスへの影響を抑制しつつ、アプリケーションプログラムからの機密情報の漏えいを効果的に防止することが可能になる。

本発明の実施形態に係る画像形成装置のハードウェア構成図である。 図１の画像形成装置のストレージに記録されているソフトウェアプログラムにより実現される、拡張アプリケーションプログラムの実行環境の説明図である。 図１の画像形成装置を含む画像処理システムにおいて、拡張アプリケーションプログラムを画像形成装置にインストールする状態の説明図である。 図２の一部として図１の画像形成装置に実現される、拡張アプリケーションプログラムを実行するためのプログラムモジュールの説明図である。 図１の画像形成装置のストレージにオプション追加される拡張アプリケーションプログラムの説明図である。 図５の拡張アプリケーションプログラムの複数のスクリプトファイルの依存関係の説明図である。 図５の拡張アプリケーションプログラムの実行制御のフローチャートである。 図７のスクリプトロード処理の詳細なフローチャートである。 図５の拡張アプリケーションプログラムのために図１の画像形成装置のストレージに記録されているデータとしての、拡張アプリケーションプログラムＩＤと拡張アプリケーションプログラムの開発ベンダとの対応テーブルの説明図である。 図９と関連して図１の画像形成装置のストレージに記録されているデータとしての、拡張アプリケーションプログラムの開発ベンダと開発ベンダごとの署名検証鍵との対応テーブルの説明図である。 図５の拡張アプリケーションプログラムのために図１の画像形成装置のストレージに記録されているデータとしての、鍵情報の説明図である。 図５の拡張アプリケーションプログラムのために図１の画像形成装置のストレージに記録されているデータとしての、スクリプトダイジェストの説明図である。 本実施形態を適用していない画像形成装置において生じ得る１つの課題の説明図である。 本実施形態により阻止し得る改ざんの一例の説明図である。 本実施形態により阻止し得る改ざんの他の例の説明図である。 本実施形態により阻止し得る改ざんの他の例の説明図である。

以下、本発明の実施形態について図面を参照しながら詳細に説明する。しかしながら、以下の実施形態に記載されている構成はあくまで例示に過ぎず、本発明の範囲は実施形態に記載されている構成によって限定されることはない。

図１は、本発明の実施形態に係る画像形成装置２のハードウェア構成図である。

図１の画像形成装置２は、操作部１１２、ＵＳＢストレージ１１４、スキャナ１７０、プリンタ１９５、および、これらが接続されるコントローラユニット１００、を有する。
コントローラユニット１００は、ＣＰＵ１０１、ＲＡＭ１０２、ＲＯＭ１０３、ストレージ１０４、画像バスＩ／Ｆ１０５、操作部Ｉ／Ｆ１０６、ネットワークＩ／Ｆ１１０、ＵＳＢホストＩ／Ｆ１１３、およびこれらが接続されるシステムバス１０７、を有する。
画像バスＩ／Ｆ１０５には、画像バス１０８が接続される。画像バス１０８には、デバイスＩ／Ｆ１２０、スキャナ画像処理部１８０、プリンタ画像処理部１９０、が接続される。

デバイスＩ／Ｆ１２０には、スキャナ１７０およびプリンタ１９５が接続される。スキャナ１７０は、原稿の画像を読み取り、画像データを生成する。プリンタ１９５は、画像データを、用紙に印刷する。デバイスＩ／Ｆ１２０は、スキャナ１７０またはプリンタ１９５の処理に係る画像データを入出力する。デバイスＩ／Ｆ１２０は、画像データの同期系／非同期系の変換を行ってよい。

スキャナ画像処理部１８０、スキャナ１７０により生成された画像データを、補正、加工、編集する。

プリンタ画像処理部１９０は、プリント出力する画像データを、プリンタ１９５に応じて補正し、解像度を変換する。

画像バスＩ／Ｆ１０５は、画像処理装置のシステムバス１０７と、画像データを高速で転送可能な画像バス１０８とを接続するバスブリッジである。ここで、画像バス１０８は、たとえばＰＣＩバスまたはＩＥＥＥ形式のバスであってよい。

操作部Ｉ／Ｆ１０６は、操作部１１２に接続される。操作部１１２は、画像を表示して操作可能なタッチパネルを有してよい。この場合、操作部Ｉ／Ｆ１０６は、タッチパネルに表示する画像を操作部１１２へ出力し、タッチパネルにおけるユーザの操作による入力情報を取得してＣＰＵ１０１へ出力する。

ネットワークＩ／Ｆ１１０は、ＬＡＮに接続される。ネットワークＩ／Ｆ１１０は、ＬＡＮに接続されている他の装置との間でデータを送受する。

ＵＳＢホストＩ／Ｆ１１３は、ＵＳＢストレージ１１４に接続される。ＵＳＢストレージ１１４は、不揮発性の半導体メモリである。ＵＳＢストレージ１１４は、画像形成装置２に取外可能に接続される。

ＵＳＢホストＩ／Ｆ１１３は、ＵＳＢストレージ１１４と通信して、ＵＳＢストレージ１１４にデータを格納させ、ＵＳＢストレージ１１４からデータを取得してＣＰＵ１０１へ出力する。

ＵＳＢホストＩ／Ｆ１１３には、ＵＳＢストレージ１１４を含む複数のＵＳＢデバイスが接続可能でよい。

ＲＯＭ１０３、およびストレージ１０４は、不揮発性のメモリである。ＲＯＭ１０３には、ブートプログラムが記録される。ストレージ１０４には、画像処理装置の制御に係るプログラム、プログラムで使用する各種のデータが記録される。ストレージ１０４には、画像形成装置２の処理に係る画像データが記録されてよい。

ＲＡＭ１０２は、揮発性のメモリである。ＲＡＭ１０２には、ＣＰＵ１０１が実行するプログラムの展開領域、ＣＰＵ１０１がプログラムの実行の際に使用する作業領域、画像データの一時記憶領域、などか設けられる。

ＣＰＵ１０１は、ＲＯＭ１０３およびストレージ１０４に記録されているプログラムを読み込んで実行する。これにより、ＣＰＵ１０１は、画像形成装置２の全体的に制御する制御部として機能する。

制御部としてのＣＰＵ１０１は、たとえば、スキャナ１７０で読み取られた画像データをプリンタ１９５により印刷するコピー機能のための制御を実行する。

この他にもたとえば、制御部としてのＣＰＵ１０１は、オペレーティングシステムプログラム、アプリケーションプログラムを実行してよい。アプリケーションプログラムには、たとえば、画像形成装置２のオプション機能などのために追加される拡張アプリケーションプログラム、がある。

この他にもたとえば、ＵＳＢストレージ１１４には、ストレージ１０４に追加または更新により記録するプログラムが格納されてよい。この場合、制御部としてのＣＰＵ１０１は、ＵＳＢストレージ１１４のプログラムを読み込んで、ストレージ１０４に記録する。

図２は、図１の画像形成装置２のストレージ１０４に記録されているソフトウェアプログラムにより実現される、拡張アプリケーションプログラムの実行環境の説明図である。
ＣＰＵ１０１は、オペレーティングシステムプログラムの機能としてストレージ１０４に記録されている仮想マシン（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ：ＶＭ）用のプログラムを実行する。これにより、ＣＰＵ１０１は、図２の拡張アプリケーションプログラムの実行環境を画像形成装置２に生成する。

オペレーティングシステムプログラムは、プリンタ１９５、ＦＡＸ、スキャナ１７０といった画像処理装置の基本機能を実現するためのネイティブプログラム２１０を含む。また、オペレーティングシステムプログラムは、ネイティブプログラム２１０の他に、拡張アプリケーションプログラムの実行環境である仮想マシン２３０用のプログラムを含んでよい。

図２の拡張アプリケーションプログラムの実行環境では、オペレーティングシステムであるＯＳ２０１の上で、ネイティブプログラム２１０、仮想マシンシステムサービス２２０、仮想マシン２３０、拡張アプリケーションプログラム２４０、が実行される。

ネイティブプログラム２１０は、プリンタ１９５やＦＡＸ、スキャナ１７０といった画像形成装置２の各部を制御するためのネイティブスレッド２１４と、仮想マシン２３０を動かすための仮想マシンスレッド２１５と、を有する。

仮想マシンスレッド２１５は、画像形成装置２で実行される仮想マシン２３０と対応する数で生成される。ここでは、仮想マシンスレッド２１５として、３つのスレッド２１１、２１２，２１３が生成されている。

仮想マシンシステムサービス２２０は、拡張アプリケーションプログラム２４０から共通利用されるユーティリティライブラリである。

ここでは、仮想マシンシステムサービス２２０として、仮想マシン２３０として最低限動作させる標準仮想マシンシステムサービス２２１と、拡張仮想マシンシステムサービス２２２と、が示されている。

拡張仮想マシンシステムサービス２２２は、画像形成装置２の各モジュールへのアクセスやＯＳ機能を提供する。

拡張アプリケーションプログラム２４０は、仮想マシンシステムサービス２２０の機能を呼び出すことにより、画像形成装置２の各モジュールへアクセスすることができる。拡張アプリケーションプログラム２４０において、画像形成装置２の各モジュールへアクセスする処理を記述する必要がなくなり、開発の手間が省ける。仮想マシン２３０が拡張アプリケーションプログラム２４０のバイト制御コードで指示されているＡＰＩを実行することで、ＡＰＩに関連づけられている仮想マシンシステムサービス２２０が呼び出される。

標準仮想マシンシステムサービス２２１は、拡張アプリケーションプログラム２４０をロードする機能を含む。

仮想マシン２３０は、拡張アプリケーションプログラム２４０の実行環境を形成する。
仮想マシン２３０は、拡張アプリケーションプログラム２４０を制御するプログラムを理解して実行する。

拡張アプリケーションプログラム２４０は、必ず仮想マシン２３０の上で動作する。
仮想マシン２３０は、仮想マシン２３０ごとに論理的に分離されているメモリ空間により管理すめ。異なる仮想マシン２３０は、原則として、それらの間においてメモリ空間を共有できない。

拡張アプリケーションプログラム２４０ごとに仮想マシン２３０が生成される。拡張アプリケーションプログラム２４０の間において、原則として、メモリ空間を共有できない。

仮想マシン２３０で動作する拡張アプリケーションプログラム２４０は、ＣＰＵ１０１で動作する命令とは異なり、仮想マシン２３０に専用の命令で動作する。この命令は、バイト制御コードという。一方で、ＣＰＵ１０１に専用の命令は、ネイティブ制御コードという。

仮想マシン２３０は、バイト制御コードを逐次解釈して処理する。この場合、ＣＰＵ１０１は、ネイティブ制御コードに基づく制御と、仮想マシン２３０のバイト制御コードに基づく制御とを、並列的に実行する。

仮想マシン２３０には、バイト制御コードをそのまま逐次解釈処理するタイプと、バイト制御コードをネイティブ制御コードに変換して実行するタイプがある。

本実施形態の仮想マシン２３０は前者のタイプであるが、後者のタイプであってもよい。

一般的にＣＰＵ１０１の種別が異なると、ＣＰＵ１０１で動作する命令に互換性がなくなる。また、仮想マシン２３０が異なると、仮想マシン２３０で動作する命令にも互換性がなくなる。

なお、図２の仮想マシン２３０は、ＣＰＵ１０１で動作するソフトウェアモジュールとして実現されている。仮想マシン２３０は、ハードウェアモジュールとして実現されてもよい。

仮想マシン２３０は、拡張アプリケーションプログラム２４０を実行する。

仮想マシン２３０は、拡張アプリケーションプログラム２４０のスレッドごとに生成されてもよい。

図２では、拡張アプリケーションプログラムＡ２４１は、２つのスレッドを有する。この場合、仮想マシン２３０として、「仮想マシンＡ－１」２３１と、「仮想マシンＡ－２」２３２と、が生成される。

拡張アプリケーションプログラムＢ２４２は、１つのスレッドを有する。この場合、仮想マシン２３０として、「仮想マシンＢ－１」２３３が生成される。

なお、画像形成装置２の操作部１１２に表示されるメインメニュー画面には、拡張アプリケーションプログラム２４０ごとのアイコンが表示される。

このアイコンをユーザーが選択操作すると、操作部１１２を通じて操作部Ｉ／Ｆ１０６がその操作を検知し、操作部Ｉ／Ｆ１０６は操作内容をＣＰＵ１０１へ出力する。
ＣＰＵ１０１は、ユーザーによって選択操作された拡張アプリケーションプログラム２４０を起動して実行する。

図３は、図１の画像形成装置２を含む画像処理システム１において、拡張アプリケーションプログラム２４０を画像形成装置２にインストールする状態の説明図である。

図３の画像処理システム１は、画像形成装置２、コンピュータ装置３、および、これらが接続される通信ケーブル４、を有する。通信ケーブル４は、たとえばＩＥＥＥ８０２．３やＩＥＥＥ８０２．１１に準拠したものでよい。

コンピュータ装置３は、拡張アプリケーションプログラム２４０を生成する。

コンピュータ装置３は、画像形成装置２が提供する拡張アプリケーションプログラムのインストール手段を用いて、拡張アプリケーションプログラム２４０のデータを、画像形成装置２へ送信する。

これにより、画像形成装置２のストレージ１０４には、拡張アプリケーションプログラム２４０がインストールされる。

図４は、図２の一部として図１の画像形成装置２に実現される、拡張アプリケーションプログラム２４０を実行するためのプログラムモジュールの説明図である。

図４のプログラムモジュールは、図２の拡張アプリケーションプログラム２４０の実行環境において生成されるものである。

サーブレットサービス４０４は、ネットワークＩ／Ｆ１１０を通してＨＴＴＰアクセスされた際に、そのリクエストを受け付けアクセスされたＵＲＬによってモジュールに処理を振り分けるモジュールである。

ここでのモジュールは、たとえば、拡張アプリケーションプログラム管理部４０２、または標準機能制御部４０１である。

ＵＩ制御部４０３は、操作部１１２に画面を表示し、ユーザーからの操作を受け付けて、その操作情報を適切なモジュールに通知するモジュールである。
ここでのモジュールは、たとえば、拡張アプリケーションプログラム管理部４０２、または標準機能制御部４０１である。

拡張アプリケーションプログラム管理部４０２は、インストールされている拡張アプリケーションプログラム２４０のインストール、起動などを管理するモジュールである。

拡張アプリケーションプログラム実行制御部４０５は、拡張アプリケーションプログラム管理部４０２で起動された拡張アプリケーションプログラム２４０の実行を制御するモジュールである。

拡張アプリケーションプログラム実行制御部４０５は、具体的には、仮想マシンスレッド、仮想マシン画像処理システムサービス、仮想マシン２３０、拡張アプリケーションプログラム２４０、を制御する。

標準機能制御部４０１は、画像形成装置２の標準機能であるコピーやＦＡＸの制御や、その他の画像成形装置に必要な制御（たとえばＵＳＢホストパスＩ／Ｆの制御）を行うモジュールである。

ストレージ制御部４０６は、画像成形装置の設定情報を記録管理するモジュールである。

上述した各モジュールは、ストレージ制御部４０６にアクセスすることにより、設定値を参照したり、設定値を設定したりする。

このように画像形成装置２は、複数の制御コードと複数のデータによって構成される拡張アプリケーションプログラム２４０を実行することが可能である。

画像形成装置２は、たとえばオプション機能の追加などのために、拡張アプリケーションプログラム２４０をインストールして実行することが可能である。

このような画像形成装置２では、悪意をもって改ざんなどされた拡張アプリケーションプログラム２４０がインストールされて実行されてしまう可能性がある。

この場合、画像形成装置２で取り扱っている機密情報が、改ざんされた拡張アプリケーションプログラム２４０により読み出されて、漏えいしてしまう可能性がある。

図５は、図１の画像形成装置２のストレージ１０４にオプション追加される拡張アプリケーションプログラム２４０の説明図である。

図５の拡張アプリケーションプログラム２４０のアーカイブ５０１は、拡張アプリケーションプログラム２４０として実行される複数の制御データを含む複数のスクリプトファイルを含む。

また、アーカイブ５０１は、複数のスクリプトファイルの他に、拡張アプリケーションプログラム２４０の真正性や完全性のための各種のデータのファイルを含む。

図５の拡張アプリケーションプログラム２４０を構成するファイルは、大きく５種類に分けられている。

１種類目のファイルは、拡張アプリケーションプログラム２４０の動作をプログラム言語で記述したスクリプトファイル５０２～５０４である。

スクリプトファイル５０２～５０４は、事前に暗号化されたスクリプトファイル５０３を含む。スクリプトファイル５０２，５０４は、暗号化されてないスクリプトファイルである。

スクリプトファイル５０３のデータは、所定の手続きによって生成された暗号鍵によって暗号化されたものである。第三者は、スクリプトファイル５０３の元データの内容を直接に確認することはできない。

このように拡張アプリケーションプログラム２４０は、拡張アプリケーションプログラム２４０についての複数の制御コードを含む複数のスクリプトファイルで構成される。一部のスクリプトファイルが暗号化されることにより、拡張アプリケーションプログラム２４０の複数の制御コードは、スクリプトの単位で一部が暗号化される。拡張アプリケーションプログラム２４０は、複数の制御コードとして、暗号化されている制御コードと、暗号化されていない制御コードと、を含むことになる。

暗号化されたスクリプトファイル５０３と、暗号化されていないスクリプトファイル５０２とを組み合わせることにより、それらのスクリプトファイル５０３に含まれる制御コードをロードして実行する際の実行パフォーマンスと機密保持とを両立できる。

２種類目のファイルは、アプリケーションプログラムで利用する画像データや表示メッセージなどを格納するリソースファイル５０５～５０６である。

３種類目のファイルは、機密情報の復号に必要な鍵情報のファイル５０７である。

４種類目のファイルは、スクリプトファイルの完全性を確認するためのスクリプトダイジェストのファイル５０８である。

スクリプトダイジェストとは、アプリケーションプログラムを構成するスクリプトの完全性の検証に使用するダイジェストをいう。

スクリプトダイジェストは、アプリケーションプログラムを構成するスクリプトに基づいて予め生成される。

スクリプトダイジェストは、スクリプトの暗号化に使用した暗号鍵により暗号化された状態で、ファイル５０８に記録される。

５種類目のファイルは、アプリケーションプログラムを識別するアプリケーションプログラムＩＤのファイル５０９である。

アプリケーションプログラムＩＤは、アプリケーションプログラムごとにユニークなＩＤとされる。

各種類のファイルの数は、アプリケーションプログラムによって異なる。

図６は、図５の拡張アプリケーションプログラム２４０の複数のスクリプトファイルの依存関係の説明図である。

一般的に、コンピュータ装置３は、拡張アプリケーションプログラム２４０を実行する場合、実行可能ファイルの全体を読み込んでメモリに展開してから、実行している。

画像形成装置２は、コンピュータ装置３のようにメモリの容量が潤沢にあるとは限らない。

このため、画像形成装置２では、拡張アプリケーションプログラム２４０の制御コードを、たとえば機能ごとの単位で複数のスクリプトファイルに分割している。また、拡張アプリケーションプログラム２４０の実行の際には、画像形成装置２は、スクリプトファイルごとに順番に読み込んで、制御コードを随時ロードして実行している。

これにより、画像形成装置２において、拡張アプリケーションプログラム２４０を実行するために必要とされるメモリを削減できる。

図６では、画像形成装置２のＣＰＵ１０１は、拡張アプリケーションプログラム２４０を実行する際に、まず、ｍａｉｎスクリプトファイル６０１をロードして実行する。

ｍａｉｎスクリプトファイル６０１をロードして実行すると、ＣＰＵ１０１は、ｓｕｂ１スクリプトファイル６０２、ｓｕｂ２スクリプトファイル６０３、ｓｕｂ３スクリプトファイル６０４をロードして実行する。

ｓｕｂ１スクリプトファイル６０２をロードして実行すると、ＣＰＵ１０１は、ｓｕｂ４スクリプトファイル６０５、ｓｕｂ５スクリプトファイル６０６、ｓｕｂ６スクリプトファイル６０７をロードして実行する。

ｓｕｂ２スクリプトファイル６０３をロードして実行すると、ＣＰＵ１０１は、ｓｕｂ６スクリプトファイル６０７、ｓｕｂ３スクリプトファイル６０８をロードして実行する。

ｓｕｂ３スクリプトファイル６０４をロードして実行すると、ＣＰＵ１０１は、ｓｕｂ１スクリプトファイル６０９、ｓｕｂ７スクリプトファイル６１０をロードして実行する。

なお、スクリプトファイルの実行順となる依存関係は、拡張アプリケーションプログラム２４０ごとに異なる。

また、１つの拡張アプリケーションプログラム２４０においても、処理内容に応じて、連鎖的にロードして実行されるスクリプトファイルの依存関係は変化する。

たとえば、ｍａｉｎスクリプトファイル６０１をロードして実行しても、ＣＰＵ１０１は、ｓｕｂ１スクリプトファイル６０２、ｓｕｂ２スクリプトファイル６０３のみをロードして実行することがある。この場合、ＣＰＵ１０１は、ｓｕｂ３スクリプトファイル６０４をロードして実行しない。

図７は、図５の拡張アプリケーションプログラム２４０の実行制御のフローチャートである。

画像形成装置２のＣＰＵ１０１は、拡張アプリケーションプログラム２４０を実行するために、図２の実行環境を実現する。

ＣＰＵ１０１は、たとえば標準仮想マシンシステムサービス２２１の処理の一部として、図７の制御を実行する。

ステップＳ７０１において、ＣＰＵ１０１は、拡張アプリケーションプログラム２４０において次に実行することになるスクリプトファイルをロードする。

ＣＰＵ１０１は、ロードするスクリプトファイルが暗号化されているものである場合、それを復号する。

ＣＰＵ１０１は、ロードしたスクリプトファイルに含まれる複数の制御コードを、ＲＡＭ１０２に展開してよい。

ステップＳ７０２において、ＣＰＵ１０１は、ロードしたスクリプトファイルの命令フェッチを実行する。ロードしたスクリプトファイルに含まれる未処理の制御コードは、１行ずつ順番にＣＰＵ１０１へ読み込まれる。

ステップＳ７０３において、ＣＰＵ１０１は、命令が終了しているか否かを判断する。ＣＰＵ１０１は、ロードしたスクリプトファイルに含まれる複数の制御コードを順番にフェッチする。ロードしたスクリプトファイルの最後の制御コードをフェッチすると、未処理の制御コードがなくなる。命令フェッチにより未処理の制御コードが読み込めない場合、ＣＰＵ１０１は、命令が終了しているとして、本制御を終了する。命令が終了していない場合、ＣＰＵ１０１は、処理をステップＳ７０４へ進める。

ステップＳ７０４において、ＣＰＵ１０１は、フェッチした制御コードの命令種別を判断する。

ステップＳ７０５において、ＣＰＵ１０１は、ステップＳ７０４で判断した命令種別が、ロード命令であるか否かを判断する。ロード命令である場合、ＣＰＵ１０１は、処理をステップＳ７０１へ戻す。ＣＰＵ１０１は、ステップＳ７０１からの処理を実行して、ロード命令に係る他のスクリプトファイルについてのロードを実行する。命令種別が、ロード命令でない場合、ＣＰＵ１０１は、処理をステップＳ７０６へ進める。

ステップＳ７０６において、ＣＰＵ１０１は、フェッチした命令としての制御コードを実行する。その後、ＣＰＵ１０１は、処理をステップＳ７０２へ戻す。ＣＰＵ１０１は、ステップＳ７０３において命令の終了を判断するまで、ステップＳ７０１においてロードしたスクリプトファイルについての複数の制御コードを実行し続ける。

このように本実施形態では、拡張アプリケーションプログラム２４０の実行では、拡張アプリケーションプログラム２４０に含まれる複数の制御コードは、スクリプトファイルの単位で随時ロードされて実行される。

ＣＰＵ１０１は、ロード手段として、拡張アプリケーションプログラム２４０を構成する個々の制御コードをロードして実行することができる。

図８は、図７のスクリプトロード処理の詳細なフローチャートである。
ＣＰＵ１０１は、図７のスクリプトファイルのロード処理Ｓ７０１において、ロード手段として、図８の処理を実行する。

ステップＳ８０１において、ＣＰＵ１０１は、ロードするスクリプトファイルの制御コードが暗号化されているか否かを判断する。

これにより、ＣＰＵ１０１は、暗号化判断手段として、ロードしようとしている制御コードのスクリプトファイルの暗号化の有無を判断できる。

暗号化されている場合、ＣＰＵ１０１は、処理をステップＳ８０２へ進める。暗号化されていない場合、ＣＰＵ１０１は、処理をステップＳ８０３へ進める。

ステップＳ８０２において、ＣＰＵ１０１は、鍵検証処理として、鍵情報の署名を検証する。ＣＰＵ１０１は、鍵情報が、アプリケーションプログラムＩＤのファイル５０９によって示されているアプリケーションプログラム向けの暗号鍵であることを検証する。

これにより、ＣＰＵ１０１は、鍵情報検証手段として、ロードしようとしているスクリプトファイルの制御コードが暗号化されている場合において、復号に使用する鍵情報の完全性を確認できる。

検証に成功する場合、ＣＰＵ１０１は、アプリケーションプログラム管理部に保持している秘密鍵により、鍵情報を復号し、処理をステップＳ８０４へ進める。検証に失敗してできない場合、ＣＰＵ１０１は、処理をステップＳ８０５へ進める。

ステップＳ８０４において、ＣＰＵ１０１は、コード検証処理として、アプリケーションプログラムを構成する複数の非暗号化スクリプトファイルのすべてに基づいて、スクリプトダイジェストの情報を使用してスクリプトの完全性を検証する。

これにより、ＣＰＵ１０１は、制御コード検証手段として、ロードしようとしている制御コードのスクリプトファイルを含む拡張アプリケーションプログラム２４０について、すべてのスクリプトファイルの完全性を確認できる。ＣＰＵ１０１は、実質的に、拡張アプリケーションプログラム２４０のすべての制御コードの完全性とを確認できる。

検証に成功する場合、ＣＰＵ１０１は、処理をステップＳ８０６へ進める。検証に失敗する場合、ＣＰＵ１０１は、処理をステップＳ８０５へ進める。

ステップＳ８０５は、ステップＳ８０２またはステップＳ８０４においてロードするスクリプトファイルの検証に失敗した場合の処理である。ＣＰＵ１０１は、スクリプトファイルを安全に復号できないために、ロード失敗時の処理を実行する。その後、ＣＰＵ１０１は、ロード処理を終了する。

これにより、ＣＰＵ１０１は、鍵情報の完全性を確認されている場合であっても、制御コードの完全性が確認されない場合には、ロードしようとしている暗号化された制御コードのスクリプトファイルをロードしない。また、ＣＰＵ１０１は、暗号化された制御コードのスクリプトファイルをロードしないので、その制御コードを実行することもない。

ステップＳ８０６は、ステップＳ８０２およびステップＳ８０４において共に、ロードするスクリプトファイルの検証に成功した場合の処理である。ＣＰＵ１０１は、スクリプトファイルを安全に復号できることが確認できているため、実際に、スクリプトファイルのロード処理および復号処理を実行する。

ＣＰＵ１０１は、上述したアプリケーションプログラム管理部に保持している秘密鍵を用いて、スクリプトファイルの複数の制御コードを復号する。

これにより、ＣＰＵ１０１は、ロード手段として、鍵情報の完全性を確認されてさらに制御コードの完全性が確認されている場合においてのみ、暗号化された制御コードのスクリプトファイルをロードして復号することになる。

その後、ＣＰＵ１０１は、ロード処理を終了する。

ステップＳ８０３は、ロードするスクリプトファイルが暗号化されていない場合の処理である。ＣＰＵ１０１は、平文のスクリプトファイルをロードする。

これにより、ＣＰＵ１０１は、ロード手段として、ロードしようとしている制御コードのスクリプトファイルが暗号化されていないと判断される場合には、その制御コードのスクリプトファイルをそのままロードすることになる。

その後、ＣＰＵ１０１は、ロード処理を終了する。

図６に示すように、アプリケーションプログラムを実行する際、アプリケーションプログラムを構成する複数のスクリプトは、そのすべてが最初にまとめてロードされるのではなく、処理が必要になったスクリプトファイルが随時ロードされる。

そして、ＣＰＵ１０１は、暗号化されている機密情報を含むスクリプトファイルをロードする場合だけ、スクリプトファィルの完全性をチェックしてから復号する。

これに対し、暗号化されていないスクリプトファイルをロードする場合、ＣＰＵ１０１は、暗号化の有無だけをチェックして、即座にロードする。

暗号化されていないスクリプトファイルが実行できるようになるまでのロード時間は、短縮される。

アプリケーションプログラムを構成するすべてのスクリプトファイルを暗号化する場合と比べて、高速にスクリプトファイルをロードできる。

また、暗号化されているスクリプトファイルは、単に暗号鍵の署名を検証するだけでなく、さらにアプリケーションプログラムを構成する複数のスクリプトファイルの完全性を検証する。これにより、アプリケーションプログラムを構成する暗号化されていない複数のスクリプトファイルの一部が改ざんされていた場合、それを不完全であると検出できる。暗号化されているスクリプトファイルのロードを実際に実行する前にアプリケーションプログラムの不完全性を判断できる。このため、改ざんされているアプリケーションプログラムにおいて暗号化されているスクリプトファイルが復号されてしまうことを防ぐことができる。

次に、図９から図１１を用いて、拡張アプリケーションプログラム２４０のスクリプトファイルのロードの際に使用する、拡張アプリケーションプログラム２４０のデータについて説明する。

図９から図１１のデータは、拡張アプリケーションプログラム２４０の一部として、ストレージ１０４に記録されてよい。

ＣＰＵ１０１は、拡張アプリケーションプログラム２４０を実行するためにスクリプトファイルをロードする際に、図９から図１１のデータを適宜読み込んで検証に使用してよい。図９から図１１のデータは、そのままの形式でストレージ１０４に記録されてもよいが、検証に影響が生じないように改変した状態でストレージ１０４に記録されてもよい。

図９は、拡張アプリケーションプログラムＩＤと拡張アプリケーションプログラム２４０の開発ベンダとの対応テーブル９０１の説明図である。

図９の対応テーブル９０１は、図５の拡張アプリケーションプログラム２４０のために図１の画像形成装置２のストレージ１０４に記録されてよい。

図９の対応テーブル９０１は、拡張アプリケーションプログラム２４０ごとの複数のレコードを有する。各レコードは、拡張アプリケーションプログラムＩＤと、開発ベンダのベンダ名と、を含む。

図１０は、図９と関連して図１の画像形成装置２のストレージ１０４に記録されているデータとしての、拡張アプリケーションプログラム２４０の開発ベンダと開発ベンダごとの署名検証鍵との対応テーブル１００１の説明図である。

図１０の対応テーブル１００１は、図９の対応テーブル９０１に含まれる開発ベンダごとのレコードを有する。各レコードは、拡張アプリケーションプログラム２４０の開発ベンダのベンダ名と、開発ベンダが拡張アプリケーションプログラム２４０の暗号化のために使用する署名検証鍵と、を含む。

ＣＰＵ１０１は、ステップＳ８０２において暗号鍵の署名を確認する場合、図９の対応テーブル９０１および図１０の対応テーブル１００１を参照して、拡張アプリケーションプログラム２４０の暗号鍵の署名検証に用いる鍵情報を特定できる。

図１１は、図５の拡張アプリケーションプログラム２４０のために図１の画像形成装置２のストレージ１０４に記録されているデータとしての、鍵情報５０７の説明図である。

図１１の鍵情報５０７は、暗号化されているスクリプトファイルの復号に必要なランダム鍵１２０１と、ランダム鍵の署名検証情報１２０２と、を含む。署名検証情報１２０２は、暗号鍵の署名情報である。

これにより、ＣＰＵ１０１は、ロード手段として、拡張アプリケーションプログラム２４０に含まれる鍵情報５０７を用いて、暗号化されている制御コードを復号できる。

ＣＰＵ１０１は、鍵情報のランダム鍵１２０１を暗号鍵情報として用いて、拡張アプリケーションプログラム２４０のスクリプトファイルのデータを復号することにより、スクリプトファイルの制御コードを復号できる。

ランダム鍵の署名である署名検証情報１２０２は、拡張アプリケーションプログラム２４０の開発ベンダごとに管理されている署名用の鍵によって行われる。ランダム鍵の署名は、暗号鍵情報の署名を検証するために使用できる。

そして、ランダム鍵１２０１とランダム鍵の署名検証情報１２０２との２つの情報は、ストレージ１０４に記録されている鍵情報において、拡張アプリケーションプログラム管理部４０２が保持している秘密鍵と対になる公開鍵により暗号化されている。この秘密鍵と対になる公開鍵は、画像形成装置２のストレージ１０４に予め記憶されていてよい。これにより、ＣＰＵ１０１は、ロード手段として、画像形成装置２のストレージ１０４に予め記憶されている公開鍵を用いて、署名検証情報を検証できる。

なお、ここでは署名鍵は、拡張アプリケーションプログラム２４０の開発ベンダごとに管理されている。署名鍵は、この他にもたとえば、拡張アプリケーションプログラム２４０ごとに管理されてもよい。

図１２は、図５の拡張アプリケーションプログラム２４０のために図１の画像形成装置２のストレージ１０４に記録されているデータとしての、スクリプトダイジェストの説明図である。

図１２には、図５と同様の拡張アプリケーションプログラム２４０の複数のファイルが示されている。

この場合、拡張アプリケーションプログラム２４０の開発ベンダは、拡張アプリケーションプログラム２４０を構成する複数のファイルに基づいて、完全性を確認するためにスクリプトダイジェストのデータを生成する。

図１２の例では、開発ベンダは、拡張アプリケーションプログラム２４０を構成するスクリプトの中の、暗号化されていないすべてのスクリプトファイル１１０１，１１０３を対象として、スクリプトダイジェストのデータを生成する。スクリプトダイジェストは、拡張アプリケーションプログラム２４０を構成する基本的にすべてのスクリプトについての、全体的な状況を示すデータであればよい。スクリプトダイジェストは、拡張アプリケーションプログラム２４０を構成するすべてのスクリプトの一部についての、その全体的な状況を示すデータとしてもよい。スクリプトダイジェストには、改変が可能なすべてのスクリプトについての、その全体的な状況を示すデータとしてもよい。開発ベンダは、たとえば暗号化されていないすべてのスクリプトファイル１１０１，１１０３のサイズを加算した値を、スクリプトダイジェストのデータとして生成することができる。暗号化されて直接的に改ざんされる可能性が低いスクリプトファイル１１０２を除くことにより、スクリプトダイジェストの生成の際、およびスクリプトダイジェストを用いた完全性の確認の際に、処理に必要となる計算量を削減できる。

スクリプトダイジェストのデータは、スクリプトの暗号化に使用した暗号鍵により暗号化されて、拡張アプリケーションプログラム２４０のスクリプトダイジェストのファイルに格納される。これにより、スクリプトダイジェストのデータは、拡張アプリケーションプログラム２４０の一部として、拡張アプリケーションプログラム２４０に含まれることになる。

このように、拡張アプリケーションプログラム２４０は、制御コードが使用する複数のデータの１つとして、拡張アプリケーションプログラム２４０における制御コードの完全性を確認するためのスクリプトダイジェスト、を含む。
スクリプトダイジェストは、制御コード検証情報として、拡張アプリケーションプログラム２４０において暗号化されていないすべてのスクリプトのダイジェストから生成されて、鍵情報により暗号化されている。

ＣＰＵ１０１は、制御コードのスクリプトファイルをロードする際に、制御コード検証手段として、拡張アプリケーションプログラム２４０のスクリプトダイジェストを用いて、制御コードの完全性を検証できる。ここで、スクリプトダイジェストは、拡張アプリケーションプログラム２４０において暗号化されていない改変可能なすべてのスクリプトについてのものである。すなわち、ＣＰＵ１０１は、制御コード検証手段として、ロードしようとしている制御コードを含む拡張アプリケーションプログラム２４０を構成する複数の制御コードについて、制御コード検証情報を用いて完全性を確認できる。

なお、上述した処理とは異なり、開発ベンダは、拡張アプリケーションプログラム２４０を構成するすべてのファイルの一部である複数のファイルに基づいてスクリプトダイジェストのデータを生成してもよい。開発ベンダは、自社でのスクリプトダイジェストのデータを生成するルールにしたがって、複数のファイルに基づいてスクリプトダイジェストのデータを生成してよい。たとえば、開発ベンダは、拡張アプリケーションプログラム２４０に対して拡張アプリケーションプログラム２４０の制御において必要のないダミーのスクリプトを暗号化せずに意図的に含ませて、それをスクリプトダイジェストのデータ生成に含めないようにしてもよい。開発ベンダは、いずれにしても拡張アプリケーションプログラム２４０を構成する複数のスクリプトのファイルに基づいて、所定のルールにしたがって、スクリプトダイジェストのデータを生成すればよい。

次に、上述した本実施形態の画像形成装置２により防止可能な改ざんの例について説明する。

図１３は、本実施形態を適用していない画像形成装置２において生じ得る１つの課題の説明図である。

図１３では、画像形成装置２のストレージ１０４に、第一アプリ２４０１と、第二アプリ２４０２とが記録されている。

第二アプリ２４０２は、機密情報を使用する正規の拡張アプリケーションプログラム２４０である。

第二アプリ２４０２は、アプリケーションプログラムＩＤのファイル（ＩＤ２）、暗号化されていない複数のプレーンスクリプトのファイル（２－１，２－３，２－４）、暗号化されているエンクリプテッドスクリプトのファイル（２－２）、を有する。

そして、悪意のあるユーザは、第二アプリ２４０２をコピーして、改ざんされた第一アプリ２４０１を生成する。

ＣＰＵ１０１は、画像形成装置２において第一アプリ２４０１が実行されると、第一アプリ２４０１に不正にコピーされているエンクリプテッドスクリプトのファイルをロードして復号する。これにより、第一アプリ２４０１のための仮想マシン２３０には、エンクリプテッドスクリプトの処理内容が平文展開される。悪意のあるユーザは、平文展開されている機密情報を取得できる。

本実施形態のＣＰＵ１０１は、エンクリプテッドスクリプトのファイルをロードする前に、図８のステップＳ８０１～ステップＳ８０４の処理を実行する。よって、ＣＰＵ１０１は、第一アプリ２４０１のエンクリプテッドスクリプトのファイルをロードしなくなる。第一アプリ２４０１のための仮想マシン２３０には、エンクリプテッドスクリプトの処理内容が平文展開されない。悪意のあるユーザは、機密情報が平文展開されないために、それを取得することができない。

図１４は、本実施形態により阻止し得る改ざんの一例の説明図である。

図１４には、改ざんによる第一アプリ２４０３が、正規の第二アプリ２４０２と同じリソースファイル、鍵情報のファイル、スクリプトダイジェストのファイル、を備える。

本実施形態のＣＰＵ１０１は、エンクリプテッドスクリプトのファイルをロードする前に、図８のステップＳ８０２において、鍵情報の署名を検証する。改ざんによる第一アプリ２４０３の鍵情報のファイルは、正規の第二アプリ２４０２と同じ鍵情報のファイルであり、第一アプリ２４０３の開発ベンダのものと一致しなくなる。この場合、ＣＰＵ１０１は、ステップＳ８０２において、鍵情報が、アプリケーションプログラムＩＤ（５０９）によって示されているアプリケーションプログラム向けの暗号鍵ではないと判断し、エンクリプテッドスクリプトのファイルをロードしない。

その結果、悪意のあるユーザは、機密情報が平文展開されないために、それを取得することができない。

図１５は、本実施形態により阻止し得る改ざんの他の例の説明図である。

図１４の改ざんによる第一アプリ２４０４において、さらにリソースファイルが偽造されている場合の例である。

この場合でも、ＣＰＵ１０１は、ステップＳ８０４において、アプリケーションプログラムを構成する複数の非暗号化スクリプトファイルのすべてに基づいて、スクリプトダイジェストの情報を使用してスクリプトの完全性を検証し、完全ではないと判断する。

その結果、ＣＰＵ１０１は、エンクリプテッドスクリプトのファイルをロードしない。悪意のあるユーザは、機密情報が平文展開されないために、それを取得することができない。

図１６は、本実施形態により阻止し得る改ざんの他の例の説明図である。

この際、悪意のあるユーザは、第二アプリ２４０２のプレーンスクリプトのファイルを改ざんし、改ざんによる第一アプリ２４０５において、エンクリプテッドスクリプトのファイルの情報を、プレーンスクリプトを通じて取得するように改変する。

この場合でも、ＣＰＵ１０１は、ステップＳ８０４において、アプリケーションプログラムを構成する複数の非暗号化スクリプトファイルのすべてに基づいて、スクリプトダイジェストの情報を使用してスクリプトの完全性を検証する。そしてＣＰＵ１０１は、改ざんによる第一アプリ２４０５についてスクリプトが完全性ではないと判断する。

その結果、ＣＰＵ１０１は、エンクリプテッドスクリプトのファイルをロードしない。悪意のあるユーザは、機密情報が平文展開されないために、それを取得することができない。

以上のように、本実施形態では、ロードしようとしている制御コードが暗号化されている場合には、複数の完全性を確認する。具体的には、本実施形態では、暗号化されている制御コードを復号する場合に使用する鍵情報の完全性と、ロードしようとしている制御コードを含む拡張アプリケーションプログラム２４０における制御コードの完全性とを確認する。そして、本実施形態では、鍵情報の完全性を確認されている場合であっても、制御コードの完全性が確認されない場合には、ロードしようとしている暗号化された制御コードのロードまたは復号を中断して実行しない。本実施形態では、鍵情報の完全性を確認されて、さらに制御コードの完全性が確認されている場合においてのみ、暗号化された制御コードをロードして復号する。

これにより、本実施形態では、たとえば真正性を有する拡張アプリケーションプログラム２４０の一部が改ざんされて、その改ざん拡張アプリケーションプログラムにおいて暗号化されている制御コードがロードして復号されてしまうことを防止できる。改ざん拡張アプリケーションプログラムでは、その改ざんにより、オリジナルの拡張アプリケーションプログラム２４０と同じ制御コードの完全性を確認することができなくなる可能性が高い。

このように本実施形態では、拡張アプリケーションプログラム２４０に暗号化されていない制御コードを含めることにより画像形成装置２のパフォーマンスへの影響を抑制できる。しかも、本実施形態では、その暗号化されていない制御コードにより、拡張アプリケーションプログラム２４０からの機密情報の漏えいを効果的に防止できる。

以上、本発明をその好適な実施形態に基づいて詳述してきたが、本発明はこれら特定の実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の様々な形態も本発明に含まれる。

本発明は、上述の実施の形態の１以上の機能を実現するプログラムを、ネットワークや記憶媒体を介してシステムや装置に供給し、そのシステム又は装置のコンピュータの１つ以上のプロセッサーがプログラムを読み出して実行する処理でも実現可能である。また、本発明は、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

２ 画像形成装置
１０１ ＣＰＵ（ロード手段）
１０４ ストレージ
１１２ 操作部
２３０ 仮想マシン
２４０ 拡張アプリケーションプログラム
５０２，５０４ 暗号化されてないスクリプトファイル
５０３ 暗号化されているスクリプトファイル
１２０１ ランダム鍵
１２０２ 署名検証情報

Claims (10)

1. 複数の制御コードと複数のデータによって構成されるアプリケーションプログラムを実行可能な画像形成装置であって、
   前記アプリケーションプログラムを構成する個々の前記制御コードを実行するためにロードするロード手段、を有し、
   前記アプリケーションプログラムは、複数の前記制御コードとして、暗号化されている制御コードと、暗号化されていない制御コードと、を含み、
   前記ロード手段は、
   ロードしようとしている前記制御コードが暗号化されている場合において復号に使用する鍵情報の完全性を確認する鍵情報検証手段と、
   ロードしようとしている前記制御コードを含む前記アプリケーションプログラムにおける前記制御コードの完全性を確認する制御コード検証手段と、を有し、
   前記鍵情報検証手段により前記鍵情報の完全性を確認されている場合であっても、前記制御コード検証手段により前記制御コードの完全性が確認されない場合には、ロードしようとしている暗号化された前記制御コードのロードまたは復号を実行しない、
   画像形成装置。
2. 前記ロード手段は、
   ロードしようとしている前記制御コードの暗号化の有無を判断する暗号化判断手段、を有し、
   ロードしようとしている前記制御コードが前記暗号化判断手段により暗号化されていないと判断される場合には、前記制御コードをそのままロードする、
   請求項１記載の、画像形成装置。
3. 前記アプリケーションプログラムは、前記制御コードが使用する複数の前記データとして、
   前記アプリケーションプログラムにおける前記制御コードの完全性を確認するための制御コード検証情報、を含み、
   前記制御コード検証手段は、
   ロードしようとしている前記制御コードを含む前記アプリケーションプログラムを構成する複数の前記制御コードについて、前記制御コード検証情報を用いて完全性を確認する、
   請求項１または２記載の、画像形成装置。
4. 前記アプリケーションプログラムは、前記アプリケーションプログラムについての複数の制御コードを含む複数のスクリプトで構成され、
   前記アプリケーションプログラムの複数の制御コードは、複数の前記スクリプトの単位で一部が暗号化されている、
   請求項１から３のいずれか一項記載の、画像形成装置。
5. 前記制御コード検証情報は、
   前記アプリケーションプログラムにおいて暗号化されていない複数の前記スクリプトのダイジェストから生成され、前記鍵情報により暗号化され、
   前記制御コード検証手段は、
   ロードしようとしている前記制御コードを含む前記アプリケーションプログラムにおいて暗号化されていない複数の前記スクリプトについて、前記制御コード検証情報を用いて完全性を確認する、
   請求項４記載の、画像形成装置。
6. 前記アプリケーションプログラムは、前記制御コードが使用する複数の前記データとして、
   暗号化されている前記制御コードを復号するための鍵情報、を含み、
   前記ロード手段は、
   前記アプリケーションプログラムに含まれる前記鍵情報を用いて、暗号化されている前記制御コードを復号する、
   請求項１から５のいずれか一項記載の、画像形成装置。
7. 前記鍵情報は、
   前記暗号化されている制御コードを復号するために使用する暗号鍵情報と、
   前記暗号鍵情報の署名を検証するために使用する暗号鍵の署名情報と、を含む、
   請求項６記載の、画像形成装置。
8. 前記暗号鍵の署名情報は、前記アプリケーションプログラムの開発ベンダごとの署名用の鍵、または前記アプリケーションプログラムごとの署名用の鍵で署名されており、
   前記画像形成装置は、前記秘密鍵と対になる公開鍵を予め記憶する記憶手段、を有し、
   前記ロード手段は、
   前記画像形成装置の前記記憶手段に予め記憶されている前記公開鍵を用いて、前記暗号鍵の署名情報を検証する、
   請求項７記載の、画像形成装置。
9. 複数の制御コードと複数のデータによって構成されるアプリケーションプログラムを実行可能な画像形成装置の制御方法であって、
   前記アプリケーションプログラムを構成する個々の前記制御コードを実行するためにロードするロード処理、を有し、
   前記アプリケーションプログラムは、複数の前記制御コードとして、暗号化されている制御コードと、暗号化されていない制御コードと、を含み、
   前記ロード処理は、
   ロードしようとしている前記制御コードが暗号化されている場合において復号に使用する鍵情報の完全性を確認する鍵検証処理と、
   ロードしようとしている前記制御コードを含む前記アプリケーションプログラムにおける前記制御コードの完全性を確認するコード検証処理と、を有し、
   前記鍵検証処理により前記鍵情報の完全性を確認されている場合であっても、前記コード検証処理により前記制御コードの完全性が確認されない場合には、ロードしようとしている暗号化された前記制御コードのロードまたは復号を実行しない、
   画像形成装置の制御方法。
10. 複数の制御コードと複数のデータによって構成されるアプリケーションプログラムを実行可能な画像形成装置の制御方法をコンピュータに実行させるプログラムであって、
    前記画像形成装置の制御方法は、
    前記アプリケーションプログラムを構成する個々の前記制御コードを実行するためにロードするロード処理、を有し、
    前記アプリケーションプログラムは、複数の前記制御コードとして、暗号化されている制御コードと、暗号化されていない制御コードと、を含み、
    前記ロード処理は、
    ロードしようとしている前記制御コードが暗号化されている場合において復号に使用する鍵情報の完全性を確認する鍵検証処理と、
    ロードしようとしている前記制御コードを含む前記アプリケーションプログラムにおける前記制御コードの完全性を確認するコード検証処理と、を有し、
    前記鍵検証処理により前記鍵情報の完全性を確認されている場合であっても、前記コード検証処理により前記制御コードの完全性が確認されない場合には、ロードしようとしている暗号化された前記制御コードのロードまたは復号を実行しない、
    プログラム。
    
    

Images