JP2022157063A - 情報処理装置、情報処理方法およびプログラム - Google Patents

Abstract

【課題】 ソフトウェアの検証による改ざん検知と復旧を行う情報処理装置であって、復旧で用いるソフトウェアのコピーを更新できない場合でも、復旧後の情報処理装置をセキュアに利用可能とすることを目的とする。【解決手段】 本発明は、段階的に起動される複数の部分ソフトウェアそれぞれを検証する検証手段と、前記複数の部分ソフトウェアの内で前記検証手段による検証に失敗した部分ソフトウェアを、あらかじめ保持している前記複数の部分ソフトウェアのコピーを用いて上書きし、復旧する復旧手段と、前記復旧手段によって復旧した部分ソフトウェアを更新する更新手段と、を有することを特徴する。【選択図】 図９

Description

本発明は、ソフトウェアの検証による改ざん検知と復旧を行う情報処理装置、情報処理方法およびプログラムに関する。

機器を制御するソフトウェアを第三者が改ざんし、不正利用する攻撃が問題になっている。不正利用されてしまうと、情報資産を盗まれたり、他のシステムを攻撃する踏み台に利用されたりすることで、機器の所有者に甚大な被害を引き起こす危険性がある。そういった攻撃に対し、ソフトウェアが改ざんされていないことを機器利用時に検証する手段が考案されている。

特許文献１には、機器の起動時に「ソフトウェアを検証した後に実行する」という起動時検証と、任意のタイミングで実行するソフトウェアに対して「実行に先立って検証する」という実行時検証の二つの機能を有する機器が開示されている。そして、当該機器では、起動時検証によって実行時検証を行うソフトウェアを検証し、機器の起動から実行時検証まで、検証結果を連鎖させることを実現して、信頼性の高い機器制御ソフトウェアの利用を実現している。

また、特許文献２に開示されている技術では、まず、第一のメモリに起動用ソフトウェアを保持し、第二のメモリに起動用ソフトウェアのコピーを保持する。そして、起動時に第一のメモリの起動用ソフトウェアの改ざんを検証して改ざんを検出した場合に、第二のメモリの起動用ソフトウェアのコピーで第一のメモリの起動用ソフトウェアを上書きすることで、起動用ソフトウェアの改ざん検知と自動復旧を実現している。

特願２０１８－０８０７７５号公報 米国特許公報９，８８０，９０８

しかしながら、特許文献１には、改ざんを検出した時の処理の言及がない。よって、改ざんを検出した場合、機器の起動を止めることになる。

一方、特許文献２には、改ざんの検知と自動復旧の言及がある。しかし、自動復旧処理で用いる起動用ソフトウェアのコピーを更新できない構成となっている。つまり、更新できない起動用ソフトウェアのコピーから起動用ソフトウェアを復旧した場合、古いバージョンの起動用ソフトウェアで復旧し、これで起動処理することを意味する。よって、古いバージョンの起動用ソフトウェアにバグや脆弱性が含まれていた場合、バグや脆弱性を含んだ起動用ソフトウェアを実行することになってしまう。

本発明は、ソフトウェアの検証による改ざん検知と復旧を行う情報処理装置であって、復旧で用いるソフトウェアのコピーを更新できない場合でも、復旧後の情報処理装置をセキュアに利用可能とすることを目的とする。

本発明は、段階的に起動される複数の部分ソフトウェアそれぞれを検証する検証手段と、前記複数の部分ソフトウェアの内で前記検証手段による検証に失敗した部分ソフトウェアを、あらかじめ保持している前記複数の部分ソフトウェアのコピーを用いて上書きし、復旧する復旧手段と、前記復旧手段によって復旧した部分ソフトウェアを更新する更新手段と、
を有することを特徴する。

本発明によれば、ソフトウェアの検証による改ざん検知と復旧を行う情報処理装置であって、復旧で用いるソフトウェアのコピーを更新できない場合でも、復旧後の情報処理装置をセキュアに利用可能とすることが出来る。

本発明に係わるＭＦＰとクライアントＰＣの接続形態を示すブロック構成図である。 本発明に係わるＭＦＰのコントローラ部の内部構成図である。 本発明に係わるＭＦＰのコントローラ内で実行されるソフトウェアのブロック構成図である。 本発明に係わるＨＤＤに配置されるデータの構成例である。 本発明に係わる正解値リストの例である。 本発明に係わるメニューに係る画面構成図である。 本発明に係わる設定に係る画面構成図である。 本発明に係わる管理者認証に係る画面構成図である。 本発明に係わるセキュリティ設定に係る画面構成図である。 本発明に係わるエラーによるシステム停止に係る画面構成図である。 本発明に係わる実施形態１のＭＦＰ側の処理を実施するフロー図である。 本発明に係わる更新に係る画面構成図である。

（実施形態１）
以下、本発明の実施形態を図面に基づいて解説する。本実施形態では、システム起動時のソフトウェア検証処理について説明する。ここではＭＦＰ（Ｍｕｌｔｉ－Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ：複合機）を例に実施例を説明するが、本発明は複合機以外の任意の情報処理装置に適用可能な技術である。

図１は本発明に係るＭＦＰとクライアントＰＣの接続形態を示すブロック図である。ＭＦＰ１００とクライアントＰＣ１１０はＬＡＮ１２０を介して接続されている。ＭＦＰ１００はユーザとの入出力を行う操作部１０２を有する。ＭＦＰ１００は電子データを紙媒体に出力するプリンタ部１０３を有する。ＭＦＰ１００は紙媒体を読み込み電子データに変換するスキャナ部１４０を有する。操作部１０２とプリンタ部１０３とスキャナ部１４０はコントローラ部１０１に接続され、コントローラ部１０１の制御に従い複合機としての機能を実現する。クライアントＰＣ１１０はＭＦＰ１００に対してプリントジョブの送信といった処理を行う。

図２はＭＦＰのコントローラ部１０１の詳細を示すブロック図である。ＣＰＵ２０１はコントローラ内の主な演算処理を行う。ＣＰＵ２０１はバスを介してＤＲＡＭ２０２と接続される。ＤＲＡＭ２０２はＣＰＵ２０１が演算する過程で演算命令を表すプログラムデータや、処理対象のデータを一時的に配置するための作業メモリとしてＣＰＵ２０１によって使用される。ＣＰＵ２０１はバスを介してＩ／Ｏコントローラ２０３と接続される。Ｉ／Ｏコントローラ２０３はＣＰＵ２０１の指示に従い各種デバイスに対する入出力を行う。Ｉ／Ｏコントローラ２０３にはＳＡＴＡ（Ｓｅｒｉａｌ Ａｄｖａｎｃｅｄ Ｔｅｃｈｎｏｌｏｇｙ Ａｔｔａｃｈｍｅｎｔ）Ｉ／Ｆ２０５が接続され、その先にＨＤＤ２１１が接続される。ここではＨＤＤ２１１と示したが、ＨＤＤに限定するものではなく、Ｆｌａｓｈメモリ（登録商標）等の不揮発なストレージでもよい。ＣＰＵ２０１はＨＤＤ２１１をＭＦＰの機能を実現するためのプログラム、各種設定データおよびドキュメントファイルを永続的に記憶するために使用する。Ｉ／Ｏコントローラ２０３にはネットワークＩ／Ｆ２０４が接続され。ネットワークＩ／Ｆ２０４の先には、有線ＬＡＮデバイス２１０が接続される。ＣＰＵ２０１はネットワークＩ／Ｆ２０４を介して有線ＬＡＮデバイス２１０を制御することで、ＬＡＮ１２０上の通信を実現する。Ｉ／Ｏコントローラ２０３にはパネルＩ／Ｆ２０６が接続され、ＣＰＵ２０１はパネルＩ／Ｆ２０６を介して操作部１０２に対するユーザ向けの入出力を実現する。Ｉ／Ｏコントローラ２０３にはプリンタＩ／Ｆ２０７が接続され、ＣＰＵ２０１はプリンタＩ／Ｆ２０７を介してプリンタ部１０３を利用した紙媒体の出力処理を実現する。Ｉ／Ｏコントローラ２０３にはスキャナＩ／Ｆ２０８が接続され、ＣＰＵ２０１はスキャナＩ／Ｆ２０８を介してスキャナ部１０４を利用した原稿の読み込み処理を実現する。Ｉ／Ｏコントローラ２０３にはＵＳＢ Ｉ／Ｆ２０９が接続され、ＵＳＢ Ｉ／Ｆに接続された任意の機器の制御を行う。ＦＬＡＳＨＲＯＭ２２０はＣＰＵ２０１およびＢＩＯＳ検証ユニット２２１とバスで接続されていて、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）を実現する制御プログラムを記憶している。ＲＯＭ２２２はＢＩＯＳ検証ユニット２２１とバスで接続されていて、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）を実現する制御プログラムのコピーを記憶している。ＢＩＯＳ検証ユニット２２１はＲＯＭ２２２、ＦＬＡＳＨＲＯＭ２２０およびＣＰＵ２０１とバスで接続されている。そして、ＦＬＡＳＨＲＯＭ２２０に記憶されたＢＩＯＳの検証、ＲＯＭ２２２に記憶されたＢＩＯＳのコピーによるＦＬＡＳＨＲＯＭ２２０に記憶されたＢＩＯＳの復旧、およびＣＰＵへのＢＩＯＳ起動指示を行う。ここで、ＢＩＯＳ検証ユニット２２１はハードウェアであることを明記し、ＢＩＯＳ検証がハードウェア検証であることを確認しておく。ＢＩＯＳ検証ユニット２２１とＣＰＵ２０１を繋ぐバスは悪意のある第三者に細工をされないために、同一チップ、またはそれに準ずる構成で実現され外部から物理的に確認できない形態になっている。実施例１では、ＢＩＯＳ検証ユニット２２１の制御機構は集積回路としてハードウェアで実現されている構成を想定するが、専用のＣＰＵ、制御ソフトを記憶したＲＯＭといった要素を同一チップ内に実装し、製造後に変更できない構成であっても良い。

コピー機能を実施する場合は、ＣＰＵ２０１がＳＡＴＡ Ｉ／Ｆ２０５を介してＨＤＤ２１１からプログラムデータをＤＲＡＭ２０２に読み込む。ＣＰＵ２０１がＤＲＡＭ２０２に読み込まれたプログラムに従いパネルＩ／Ｆ２０６を介して操作部１０２に対するユーザからのコピー指示を検出する。ＣＰＵ２０１はコピー指示を検出するとスキャナＩ／Ｆ２０８を介してスキャナ部１０４から原稿を電子データとして受け取りＤＲＡＭ２０２に格納する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データに対して出力に適した色変換処理などを実施する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データをプリンタＩ／Ｆ２０７を介してプリンタ部１０３に転送し、紙媒体への出力処理を実施する。

ＰＤＬ（Ｐａｇｅ Ｄｅｓｃｒｉｐｔｉｏｎ Ｌａｎｇｕａｇｅ）印刷を実施する場合は、クライアントＰＣ１１０がＬＡＮ１２０を介して印刷指示を行う。ＣＰＵ２０１はＳＡＴＡ Ｉ／Ｆ２０５を介してＨＤＤ２１１からプログラムデータをＤＲＡＭ２０２に読み込み、ＤＲＡＭ２０２に読み込まれたプログラムに従いネットワークＩ／Ｆ２０４を介して印刷指示を検出する。ＣＰＵ２０１はＰＤＬ送信指示を検出するとネットワークＩ／Ｆ２０４を介して印刷データを受信し、ＳＡＴＡ Ｉ／Ｆ２０５を介してＨＤＤ２１１に印刷データを保存する。ＣＰＵ２０１は印刷データの保存が完了すると、ＨＤＤ２１１に保存した印刷データをＤＲＡＭ２０２に画像データとして展開する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データに対して出力に適した色変換処理などを実施する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データをプリンタＩ／Ｆ２０７を介してプリンタ部１０３に転送し、紙媒体への出力処理を実施する。

図３はＭＦＰのコントローラ部１０１で実行されるソフトウェアの構造をあらわすブロック図である。コントローラ部１０１で実行されるソフトウェアは全て、ＣＰＵ２０１が実行する。ＣＰＵ２０１は、ＦＬＡＳＨＲＯＭ２２０に記憶されたＢＩＯＳ３６０を実行する。ＣＰＵ２０１は、ＨＤＤ２１１に記憶された、ローダ３７０、Ｉｎｉｔｒｄ３８０、コントローラソフト３００をＤＲＡＭ２０２に読み込んだ後に実行する。ＢＩＯＳ３６０はＩ／Ｏコントローラ２０３やＤＲＡＭ２０２をＣＰＵ２０１が制御するための基本処理を実行する。これらは、一群の部分ソフトウェアであり、段階的に起動することにより、ＭＦＰ の起動を行うことが出来る。ＢＩＯＳ３６０は内部的にＢＩＯＳとしての制御ソフトと制御ソフトに対応する署名データで構成されている。ローダ読み込み検証復旧部３６１はＢＩＯＳ３６０の制御ソフトに含まれ、ローダに付与された署名に対応する公開鍵を含む。更に、公開鍵を用いてローダを検証する処理、および検証に失敗した場合に別途記憶しているローダのコピーを用いてローダを復旧する処理を有する。さらにＢＩＯＳ３６０はＨＤＤ２１１からローダ３７０を読み込み、開始する処理を含む。ローダ３７０はＨＤＤ２１１からカーネル３９０、Ｉｎｉｔｒｄ３８０を読み込み、開始する処理を実行する。ローダ３７０は内部的にローダとしての制御ソフトと制御ソフトに対応する署名データで構成されている。カーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１はローダ３７０に含まれ、カーネル、Ｉｎｉｔｒｄに付与された署名に対する公開鍵を含む。更に、公開鍵を用いてカーネル、Ｉｎｉｔｒｄを検証する処理、および検証に失敗した場合に別途記憶しているカーネル、Ｉｎｉｔｒｄのコピーを用いてカーネル、Ｉｎｉｔｒｄをそれぞれ復旧する処理を有する。Ｉｎｉｔｒｄ３８０はＨＤＤ２１１からコントローラソフト３００を読み込み、開始する処理を実行する。Ｉｎｉｔｒｄ３８０は内部的にＩｎｉｔｒｄとしての制御ソフトと制御ソフトに対する署名データで構成されている。起動時検証復旧部３８１はＩｎｉｔｒｄ３８０に含まれ、付与された署名に対する公開鍵を含む。更に、コントローラソフト３００を構成する全てのプログラムファイル等を起動時に検証する処理と、検証に失敗した場合に別途記憶しているプログラムファイルのコピーを用いてプログラムファイルを復旧する処理を有する。ここで、全ての署名データに対する秘密鍵はソフトウェアの開発時のみ利用され一般に流通することはない。

操作制御部３０１は操作部１０２にユーザ向けの画面イメージを表示、およびユーザ操作の検知と画面上に表示したボタン等の画面部品に紐づけられた処理を実行する。データ記憶部３０２は他の制御部からの要求でデータをＨＤＤ２１１に記憶、および読み出しを行う。例えば、ユーザが何らかの機器設定を変更したい場合は、操作部１０２にユーザが入力した内容を操作制御部３０１が検知し、操作制御部３０１からの要求でデータ記憶部３０２が設定値としてＨＤＤ２１１に保存する。ネットワーク制御部３０７はデータ記憶部３０２に記憶された設定値に従い、システム起動時や、設定変更検出時にＩＰアドレスなどネットワーク設定をＴＣＰ／ＩＰ制御部３０８に行う。ＴＣＰ／ＩＰ制御部３０８は他の制御からの指示に従い、ネットワークＩ／Ｆ２０４を介して、ネットワークパケットの送受信処理を行う。ジョブ制御部３０３は他の制御部からの指示に従って、ジョブ実行の制御を行う。画像処理部３０４はジョブ制御部３０３からの指示に従って、画像データを用途ごとに適した形式に加工する。印刷処理部３０５はジョブ制御部３０３からの指示に従い、プリンタＩ／Ｆ２０７を介して、紙媒体に画像を印刷し出力する。読み取り制御部３０６はジョブ制御部３０３からの指示時に従い、スキャナＩ／Ｆ２０８を介して、設置された原稿を読み込む。認証部３０９は管理者権限が必要な操作に対して、操作者が管理者であるか否かを判断する処理を行う。ソフトウェア更新部３１０は、ＢＩＯＳ３６０、ローダ３７０、Ｉｎｉｔｒｄ３８０、カーネル３９０およびコントローラソフト３００を構成するプログラムファイルを更新する処理を行う。ＵＳＢ制御部３１１はＵＳＢ Ｉ／Ｆ２０９を制御し、ＵＳＢ接続された任意の機器の制御を行う。起動制御部３１２はコントローラソフト３００を構成するプログラムファイル起動の制御を行う。後述する起動設定データに基づき、順次各プログラムファイルを起動する。実行時検証部３２２は、コントローラソフト３００を構成する、全てのプログラムファイルを実行時に検証する処理を含む。なお、実行時検証部３２２が検証する方法として、正解値リストをあらかじめ保持し、プログラムファイルの実行時に正解値リストと突き合わせて検証するホワイトリスト方式がある。しかし、本発明は実行時検証部３２２の特定の検証方式に依存する発明でないため、実行時検証部３２２の検証方式については特に限定しない。

例えば、コピー機能を実行する場合は操作制御部３０１がコピー機能の開始要求を検知し、ジョブ制御部３０３にコピーを指示する。ジョブ制御部３０３は読み取り制御部３０６に原稿読み取りを指示し、スキャン画像を取得する。ジョブ制御部３０３は画像処理部３０５に指示し、スキャン画像を印刷に適した形式に変換する。ジョブ制御部３０３は印刷制御部３０５に印刷を指示し、コピー結果を出力する。

図４にＨＤＤ２１１に配置されるデータの例を示す。図３ではコントローラ部１０１で実行されるソフトウェアの機能構成を示したが、ＢＩＯＳ３６０を除くこれらのプログラムファイル（ローダ３７０／ｉｎｉｔｒｄ３８０／カーネル３９０／コントローラソフト３００）はＨＤＤ２１１に格納される。さらに、ＢＩＯＳ３６０を除くこれらのプログラムファイルのコピー（ローダのコピー４７０／ｉｎｉｔｒｄのコピー４８０／カーネルのコピー４９０／コントローラソフトのコピー４００）もＨＤＤ２１１に格納される。さらに、図示していないが、各種設定データ、印刷データやスキャンデータなどの各種ドキュメントデータもＨＤＤ２１１に格納される。

図５は、Ｉｎｉｔｒｄ３８０に含まれて起動時検証復旧部３８１が、検証処理に利用する起動時検証用正解値リストのサンプルである。起動時検証用正解値リストはコントローラソフト３００に含まれる全てのプログラムファイルに対して、ファイル名５０１とハッシュ値５０２の組み合わせをリスト化したものである。データの内容としては、少なくともファイル名称、ファイルの配置場所（ディレクトリ上の位置）、ファイルから計算したハッシュ値を含むものとする。さらに、起動時検証用正解値リストは、コントローラソフト３００に含まれる全プログラムファイルだけでなく、コントローラソフト３００の起動に関わる全起動設定ファイルのハッシュ値を含んでもよい。

図６は操作部１０２に表示される、メニュー画面６０１であり複合機が持つさまざまな機能の実行をユーザが指示するためのものである。ボタン６０２はコピー機能をユーザが指示するために利用される。ボタン６０３はスキャンして保存する機能をユーザが指示するために利用される。ボタン６０４はスキャンして送信する機能をユーザが指示するために利用される。ボタン６０５は機器の設定変更をユーザが指示するために利用される。ボタン６０５を押すことで、設定画面７０１を表示することができる。表示領域６０６は機器の動作中に発生したさまざまなユーザ向けのメッセージを表示する。

図７は操作部１０２に表示される、設定画面７０１でありさまざまな設定をユーザが指示するためのものである。この画面自体に具体的な設定項目はなく、詳細な設定項目へのガイドとなる中間階層である。ボタン７０２を押すことでセキュリティ設定画面９０１を表示することができる。ボタン７０３を押すことで、不図示の機器設定画面を表示することができる。ボタン７０４を押すことで、不図示のユーザ設定画面を表示することができる。ボタン７０５を押すことで、ソフトウェアの更新を開始することができる。表示領域７０６は機器の動作中に発生したさまざまなユーザ向けのメッセージを表示する。

図８は操作部１０２に表示される、管理者認証画面８０１であり管理者認証コードをユーザが入力するためのものである。この画面は、管理者権限が必要な機能の実施に先立って表示され、管理者権限を有する操作者であることを確認する。例えば、セキュリティ設定画面９０１の表示前や、ボタン７０５押下してからソフトウェアの更新を開始する前に表示される。８０２はユーザが管理者認証コードを入力する領域であり、ボタン８０３は８０２に入力した認証コードの確認開始するために使われる。認証コードの確認は、認証部３０９によって行われ、認証に成功した場合は管理者権限が必要な処理を実行し、失敗した場合は管理者権限が必要な処理の実行を中止する。

図９はセキュリティ設定画面９０１であり、ＭＦＰ１００に対するセキュリティ設定を行う。起動時検証９０２が選択された場合はシステム起動時に行う起動時検証機能が有効化される。実行時検証９０３が選択された場合は機能実行時に行う実行時検証機能が有効化される。ボタン９０４を押下すると、セキュリティ選択画面９０１の選択状態が、機器設定としてデータ記憶部３０２に記憶される。起動時検証機能と実行時検証機能のソフトウェア検証処理は検証のための計算時間が必要なため、検証しない場合に比べて機器の動作速度が劣化する。つまり、安全性と処理性能がトレードオフの関係にある。管理者は運用、設置ポリシー、ユーザの満足度を鑑みて設定する必要がある。ＭＦＰ１００はマルチユーザデバイスであるが、この画面は管理者権限を持つ操作者しか操作することができない。設定の影響を受けるのは全ユーザであるが、設定を行うのは管理者のみである。

図１０は操作部１０２に表示される、エラー画面１００１である。この画面はシステム停止エラーとしてユーザにファームウェアが改ざんされ、システムを停止したことを通知している。また、この画面から通常の機能実行画面に遷移することはできず、ユーザはＭＦＰ１００を利用することはない。

図１１を用いて、ＭＦＰ１００の起動処理フロー、および起動時のプログラムファイル等を検証する処理フローを説明する。図１１の検証処理および復旧処理は起動時検証９０２が選択されている場合のみ実行される。この処理は、起動するたびに一度行われる。ここで図１１（Ａ）に従いＭＦＰ１００が実施する処理は、ＢＩＯＳ検証ユニット２２１が実施するものである。以下の説明で、図（Ａ）の検証処理をハードウェア検証と呼ぶ。図１１（Ｂ）に従いＭＦＰ１００が実施する処理は、ＨＤＤ２１１に格納されたプログラムをＣＰＵ２０１がＤＲＡＭ２０２に読み込んだのち、ＣＰＵ２０１の演算処理として実施するものである。以下の説明で、図１１（Ｂ）の検証処理をソフトウェア検証と呼ぶ。夫々の検証処理は同じＭＦＰ１００による検証処理であっても、検証主体が異なること、ハードウェア検証はＣＰＵ２０１の実行するソフトウェアの検証処理ではないことに留意されたい。

電源が供給され、起動処理が開始されるとＢＩＯＳ検証ユニット２２１が起動され、Ｓ１１０１としてＢＩＯＳの検証処理を開始する。

Ｓ１１０２でＭＦＰ１００はＢＩＯＳ３６０の検証処理を実施し、成功したかどうか確認する。成功した場合はＳ１１０３を実行し、失敗した場合はＳ１１０５を実行する。検証処理としてはＢＩＯＳ検証ユニット２２１がＦＬＡＳＨＲＯＭ２２０から読み込んだＢＩＯＳ３６０の署名に対して、ＢＩＯＳ検証ユニット２２１に配置された公開鍵を用いて署名検証を行う。本発明の起動時検証は、起動順序を考慮した署名検証であり、署名検証主体は次に起動する主体の署名検証を行うことでセキュリティ性を担保する。

Ｓ１１０３でＭＦＰ１００はＣＰＵ２０１に指示することでＢＩＯＳ３６０を起動する。

Ｓ１１０４でＭＦＰ１００はＢＩＯＳ３６０の検証処理および復旧処理を終了する。

Ｓ１１０５でＭＦＰ１００はＢＩＯＳ３６０の復旧処理を実施する。復旧処理は、ＢＩＯＳ検証ユニット２２１がＲＯＭ２２２から読み込んだＢＩＯＳのコピーに対してＢＩＯＳ検証ユニット２２１に配置された公開鍵を用いて署名検証を行う。そして、署名の検証に成功した場合に、ＲＯＭ２２２からＦＬＡＳＨＲＯＭ２２０へＢＩＯＳを上書きコピーする。必要に応じて、ＢＩＯＳ検証ユニット２２１に配置された公開鍵を用いて、ＦＬＡＳＨＲＯＭ２２０へ上書きしたＢＩＯＳを読み込んで署名検証を行う。ＢＩＯＳのコピー元の読み込み時の署名検証、およびＢＩＯＳの上書きコピー後の署名検証と二重に検証することによって、ＢＩＯＳのセキュリティを担保する。ＭＦＰ１００は上記に示したＢＩＯＳ３６０の復旧処理を実施し、成功したかどうか確認する。成功した場合はＦＬＡＳＨＲＯＭ２２０中のＢＩＯＳ復旧フラグをセットしてＳ１１０３を実行する。失敗した場合はＳ１１０６を実行する。

Ｓ１１０６でＭＦＰ１００はＢＩＯＳの起動を行わず、起動シーケンスをこのステップで中止することでシステムを停止する。ここで、ＢＩＯＳ検証ユニット２２１はユーザ通知に関するデバイスを持たないため、通知は行わないが、ＬＥＤ（Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅ）を接続して、発光させることで通知をおこなっても良い。

ハードウェア検証は、ハードウェアで実装された検証方法であり、この検証処理を改ざんするためには集積回路の改ざんが必要であり、極めて堅牢な検証方法である。

ＢＩＯＳ３６０が起動されると、Ｓ１１１１としてＨＤＤ２１１に配置されたソフトウェアの検証処理を開始する。

Ｓ１１１２でＭＦＰ１００はローダ読み込み検証復旧部３６１を利用して、ローダ３７０の検証処理を実施し、成功したかどうか確認する。成功した場合はＳ１１１３を実行し、失敗した場合はＳ１１３１を実行する。検証処理としては、ローダ読み込み検証復旧部３６１が持つ公開鍵を用いて、ＨＤＤ２１１から読み込んだ次の起動対象であるローダ３７０に対して、署名検証を行う。

Ｓ１１１３でＭＦＰ１００はローダを起動する。

Ｓ１１１４でＭＦＰはカーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１を利用して、カーネル３９０の検証処理を実施し、成功したかどうか確認する。成功した場合はＳ１１１５を実行し、失敗した場合はＳ１１３２を実行する。検証処理としては、カーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１が持つカーネル３９０の署名に対する公開鍵を用いて、ＨＤＤ２１１から読み込んだ次の起動対象であるカーネル３９０に対して、署名検証を行う。

Ｓ１１１５でＭＦＰ１００はカーネルを起動する。

Ｓ１１１６でＭＦＰはカーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１を利用して、Ｉｎｉｔｒｄ３８０の検証処理を実施し、成功したかどうか確認する。成功した場合はＳ１１１７を実行し、失敗した場合はＳ１１３３を実行する。検証処理としては、カーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１が持つＩｎｉｔｒｄ３８０の署名に対する公開鍵を用いて、ＨＤＤ２１１から読み込んだ次の起動対象であるＩｎｉｔｒｄ３８０に対して、署名検証を行う。

Ｓ１１１７でＭＦＰ１００はＩｎｉｔｒｄ３８０を起動する。

Ｓ１１１８でＭＦＰ１００は起動時検証復旧部３８１を利用して、コントローラソフト３００等のＨＤＤ２１１に記録されたコントローラソフト３００の検証を実施し、成功したかどうか確認する。成功した場合はＳ１１１９を実行し、失敗した場合はＳ１１３４を実行する。検証処理はＨＤＤ２１１から読み込んだ起動時検証用正解値リスト４２１に記載されたコントローラソフト３００に含まれる全プログラムファイルを対象とした処理である。まず、起動時検証復旧部３８１が持つ起動時検証用正解値リスト４２１の署名に対する公開鍵を用いて、起動時検証用正解値リスト４２１の署名検証を行う。次に、起動時検証用正解値リスト４２１に記載されたハッシュ値と、ＨＤＤ２１１を読み込んで再計算したファイルのハッシュ値とを、ファイル毎に比較することによって検証する。ハッシュ値が一致する場合を検証成功と判断し、ハッシュ値が一致しない場合を検証失敗と判断する。

Ｓ１１１９でＭＦＰ１００はＳ１１０５、Ｓ１１３１、Ｓ１１３２、Ｓ１１３３、またはＳ１１３４のいずれかのステップで復旧処理を実行したか否かを示す復旧フラグを確認する。復旧フラグについては後述する。復旧フラグが復旧処理の実行を示す場合はＳ１１２０を実行し、復旧処理の未実行を示す場合はＳ１１２１を実行する。

Ｓ１１２０でＭＦＰ１００は、ソフトウェア更新部３１０を用いて、復旧対象となったソフトウェアを更新する。Ｓ１１０５で復旧したことを示す復旧フラグの場合はＢＩＯＳ３６０を更新し、Ｓ１１３１で復旧したことを示す復旧フラグの場合はローダ３７０を更新する。更に、Ｓ１１３２で復旧したことを示す復旧フラグの場合はカーネル３９０を更新し、Ｓ１１３３で復旧したことを示す復旧フラグの場合はＩｎｉｔｒｄ３８０を更新し、Ｓ１１３４で復旧したことを示す復旧フラグの場合はプログラムファイルを更新する。更新後、Ｓ１１２１を実行する。なお、Ｓ１１２０の更新後、自動的にＳ１１０１から再起動してもよい。Ｓ１１０１から再起動することで、更新済みの最新バージョンのソフトウェアでの実行を強制することができる。

Ｓ１１２１でＭＦＰ１００はコントローラソフト３００の起動を開始する。コントローラソフト３００は複数のプログラムファイルに分割されているため、システムの起動のために必要なプログラムファイルが順次起動される。

Ｓ１１３１でＭＦＰ１００はローダ読み込み検証復旧部３６１を利用して、ローダ３７０の復旧処理を実施する。復旧処理は、ローダ読み込み検証復旧部３６１がＨＤＤ２１１から読み込んだローダのコピー４７０に対してローダ読み込み検証復旧部３６１に配置された公開鍵を用いて署名検証を行う。署名の検証に成功した場合には、ＨＤＤ２１１上のローダのコピー４７０からローダ３７０へ上書きコピーする。必要に応じて、ローダ読み込み検証復旧部３６１は配置された公開鍵を用いて、上書きしたローダ３７０を読み込んで署名検証を行う。ローダのコピー４７０の読み込み時の署名検証、および上書きコピー後のローダ３７０の署名検証と二重に検証することによって、ローダ３７０のセキュリティを担保する。ローダ読み込み検証復旧部３６１は上記に示したローダ３７０の復旧処理を実施し、成功したかどうか確認する。成功した場合はＨＤＤ２１１中のローダの復旧フラグをセットしてＳ１１１３を実行する。失敗した場合はＳ１１３５を実行する。

Ｓ１１３２でＭＦＰ１００はカーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１を利用して、カーネル３９０の復旧処理を実施する。復旧処理は、カーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１がＨＤＤ２１１から読み込んだカーネルのコピー４９０に対してカーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１に配置された公開鍵を用いて署名検証を行う。署名の検証に成功した場合には、ＨＤＤ２１１上のカーネルのコピー４９０からカーネル３９０へ上書きコピーする。必要に応じて、カーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１は配置された公開鍵を用いて、上書きしたカーネル３９０を読み込んで署名検証を行う。カーネルのコピー４９０の読み込み時の署名検証、および上書きコピー後のカーネル３９０の署名検証と二重に検証することによって、カーネル３９０のセキュリティを担保する。カーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１は上記に示したカーネル３９０の復旧処理を実施し、成功したかどうか確認する。成功した場合はＨＤＤ２１１中のカーネルの復旧フラグをセットしてＳ１１１５を実行する。失敗した場合はＳ１１３５を実行する。

Ｓ１１３３でＭＦＰ１００はカーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１を利用して、Ｉｎｉｔｒｄ３８０の復旧処理を実施する。復旧処理は、カーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１がＨＤＤ２１１から読み込んだＩｎｉｔｒｄのコピー４８０に対してカーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１に配置された公開鍵を用いて署名検証を行う。署名の検証に成功した場合には、ＨＤＤ２１１上のＩｎｉｔｒｄのコピー４８０からＩｎｉｔｒｄ３８０へ上書きコピーする。必要に応じて、カーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１は配置された公開鍵を用いて、上書きしたＩｎｉｔｒｄ３８０を読み込んで署名検証を行う。Ｉｎｉｔｒｄのコピー４８０の読み込み時の署名検証、および上書きコピー後のＩｎｉｔｒｄ３８０の署名検証と二重に検証することによって、Ｉｎｉｔｒｄ３８０のセキュリティを担保する。カーネル・Ｉｎｉｔｒｄ読み込み検証復旧部３７１は上記に示したＩｎｉｔｒｄ３８０の復旧処理を実施し、成功したかどうか確認する。成功した場合はＨＤＤ２１１中のＩｎｉｔｒｄの復旧フラグをセットしてＳ１１１７を実行する。失敗した場合はＳ１１３５を実行する。

Ｓ１１３４でＭＦＰ１００は起動時検証復旧部３８１利用して、コントローラソフト３００の復旧処理を実施する。復旧処理は、起動時検証復旧部３８１がＨＤＤ２１１から読み込んだコントローラソフトのコピー４００に対して、Ｓ１１１８同様の検証を行う。検証に成功した場合には、ＨＤＤ２１１上のコントローラソフトのコピー４００からコントローラソフト３００へ上書きコピーする。必要に応じて、起動時検証復旧部３８１はＳ１１１８同様の検証処理で、上書きしたコントローラソフト３００を読み込んで検証を行う。コントローラソフトのコピー４００の読み込み時の検証、および上書きコピー後のコントローラソフト３００の署名検証と二重に検証することによって、コントローラソフト３００のセキュリティを担保する。起動時検証復旧部３８１は上記に示したコントローラソフト３００の復旧処理を実施し、成功したかどうか確認する。成功した場合はＨＤＤ２１１中のコントローラソフトの復旧フラグをセットしてＳ１１１９を実行する。失敗した場合はＳ１１３５を実行する。

Ｓ１１３５でＭＦＰ１００は改ざんを検知したことを、操作部１０２にエラー画面９０１を表示することでユーザに通知する。

Ｓ１１３６でＭＦＰ１００は起動シーケンスをこのステップで中止することでシステムを停止する。

Ｓ１１２２でＭＦＰ１００はＨＤＤ２１１に配置されたソフトウェアの検証処理、および復旧処理を終了する。

一般的にソフトウェア検証はソフトウェアによって実装された検証方法であるため、記憶部のソフトウェアを書き換えることで改ざんすることができる。しかし、上記フローの様に、検証を行うソフトウェアをあらかじめ別の構成部によって検証しておくことで、改ざんされていないことを保証できる。もし改ざんされている場合でも、あらかじめ保持しているコピーから復旧して実行を継続することも保証できる。さらに、コピーから復旧して起動した場合に、コピーから復旧したソフトウェアを更新することで、コピーが古いソフトウェアの場合でも、ＭＦＰの利用者を介することなく、最新バージョンのソフトウェアに更新することができる。そして、連鎖するソフトウェア検証の起点に、ハードウェア検証を用いることにより、システム全体が改ざんされていないことを保証できる。さらに、実行時検証部の起動に、ソフトウェア検証を適用させることで、システム起動後の改ざんに対しても、ハードウェア検証を起点とする強固な信頼性を確保できる。

なお、Ｓ１１２０では、ＭＦＰ１００はソフトウェア更新部３１０を用いて、復旧対象となったソフトウェアを更新すると述べた。しかし、復旧対象となるソフトウェアは、ＢＩＯＳ３６０、ローダ３７０、カーネル３９０、ｉｎｉｔｒｄ３８０、またはコントローラソフト３００と、異なる種別のソフトウェアであって、それぞれが独自のソフトウェア更新方法を用いる場合も想定できる。この場合、単一のソフトウェア更新部３１０によって更新できないソフトウェアがあることも考えられる。これに対抗するため、ソフトウェア更新部３１０は、更新を促すメッセージを表示して、ＭＦＰ１００の利用者による更新を促してもよい。図１２にＢＩＯＳ３６０を想定した場合に表示するメッセージを例示する。別の方法として、ソフトウェア更新部３１０は、復旧対象となったソフトウェアの更新を試みて、更新できない場合は、更新を促すメッセージを表示して、ＭＦＰ１００の利用者による更新を促してもよい。

さらに、Ｓ１１２０では、ＭＦＰ１００はソフトウェア更新部３１０を用いて、復旧対象となったソフトウェアを更新すると述べた。ソフトウェアの更新処理が、ＭＦＰ１００の起動モードと関連づいている場合もある。つまり、ソフトウェアの更新を行いたい場合は、ＭＦＰ１００を更新処理モードで起動する必要がある場合である。これに対抗するために、ソフトウェア更新部３１０は、更新するために、更新処理モードでの再起動を促すメッセージを表示したり、更新処理モードで再起動したりしてもよい。

また、Ｓ１１１９でＭＦＰ１００はＳ１１０５、Ｓ１１３１、Ｓ１１３２、Ｓ１１３３、またはＳ１１３４のいずれかのステップで復旧処理を実行したか否かを示す復旧フラグを確認する。しかし、図４に示すように、ローダのコピー４７０、ｉｎｉｔｒｄのコピー４８０、カーネルのコピー４９０、およびコントローラソフトのコピー４００はＨＤＤ２１１に格納されている。ＨＤＤ２１１に格納していても、ファイルシステム外の領域に格納して実質的に更新不可能とする構成も可能であるが、通常、これらＨＤＤ２１１に格納されているソフトウェアは更新可能であって、最新バージョンを維持することができる場合がある。よって、これらのソフトウェアから復旧した場合、更新する必要はないことも想定できる。そこで、復旧処理を実行したか否かを示す復旧フラグを確認すると同時に、復旧対象のソフトウェアがＨＤＤ２１１のような書き換え可能なストレージに含まれているか、ＲＯＭ２２２のように書き換え不可能なストレージに含まれているかも確認する。その結果、復旧処理を実行した、かつ書き換え不可能なストレージのソフトウェアである場合に、Ｓ１１２０を実行し、その他の場合はＳ１１２１を実行することもできる。これにより、Ｓ１１２０のソフトウェアの更新処理を、より限定した条件でだけ実行することができる。

（その他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

Claims (7)

1. 段階的に起動される複数の部分ソフトウェアそれぞれを検証する検証手段と、
   前記複数の部分ソフトウェアの内で前記検証手段による検証に失敗した部分ソフトウェアを、あらかじめ保持している前記複数の部分ソフトウェアのコピーを用いて上書きし、復旧する復旧手段と、
   前記復旧手段によって復旧した部分ソフトウェアを更新する更新手段と、
   を有することを特徴する情報処理装置。
2. 前記複数の部分ソフトウェアのコピーを、書き換え不可能な領域に保持する保持手段を更に有することを特徴とする請求項１に記載の情報処理装置。
3. 前記復旧手段によって復旧がなされた場合、前記更新手段の起動を促すメッセージを表示する表示手段を更に有することを特徴とする請求項１または請求項２に記載の情報処理装置。
4. 前記復旧手段によって復旧がなされた場合、前記更新手段を起動させる更新処理モードで前記情報処理装置を起動させる起動手段を更に有することを特徴とする請求項１または請求項２に記載の情報処理装置。
5. 前記検証手段は、システム起動時にハードウェアで実装された方法によって前記複数の部分ソフトウェアそれぞれを検証し、かつ検証が成功した前記部分ソフトウェアによって他の前記部分ソフトウェア、および前記部分ソフトウェアの起動に関わる設定ファイルを検証する
   ことを特徴とする請求項１乃至請求項４のいずれか１項に記載の情報処理装置。
6. 検証手段が、段階的に起動される複数の部分ソフトウェアそれぞれを検証する検証工程と、
   復旧手段が、前記複数の部分ソフトウェアの内で前記検証工程による検証に失敗した部分ソフトウェアを、あらかじめ保持している前記複数の部分ソフトウェアのコピーを用いて上書きし、復旧する復旧工程と、
   更新手段が、前記復旧工程によって復旧した部分ソフトウェアを更新する更新工程と、
   を有することを特徴する情報処理方法。
7. コンピュータを、
   段階的に起動される複数の部分ソフトウェアそれぞれを検証する検証手段と、
   前記複数の部分ソフトウェアの内で前記検証手段による検証に失敗した部分ソフトウェアを、あらかじめ保持している前記複数の部分ソフトウェアのコピーを用いて上書きし、復旧する復旧手段と、
   前記復旧手段によって復旧した部分ソフトウェアを更新する更新手段と、
   を有することを特徴する情報処理装置として機能させるためのプログラム。

Images