JP2022180105A

JP2022180105A - Communication apparatus, device, communication system, and application writing method

Info

Publication number: JP2022180105A
Application number: JP2021087025A
Authority: JP
Inventors: 大和野村; Yamato Nomura; 貴允内山; Takamasa Uchiyama
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2021-05-24
Filing date: 2021-05-24
Publication date: 2022-12-06

Abstract

To continuously enable a tamper detection function to operate, even if a profile is changed in a SIM with the tamper detection function.SOLUTION: A communication apparatus includes a SIM which has a profile area for storing a profile to be used for using a line of a mobile network operator and an application area for storing an application for tamper detection. The profile area is separated from the application area.SELECTED DRAWING: Figure 1

Description

本発明は、非ＩｏＴ（Internet of Things）機器をＩｏＴ化する技術に関連するものである。 TECHNICAL FIELD The present invention relates to technology for converting non-IoT (Internet of Things) devices to IoT.

昨今のＩｏＴの普及により初めからＩｏＴ機器として製品化されている機器を用いたサービスが数多く存在している。なお、ＩｏＴ機器とは、ネットワークに接続して、外部と情報をやりとりできる機器である。 Due to the recent spread of IoT, there are many services using devices that have been commercialized as IoT devices from the beginning. An IoT device is a device that can connect to a network and exchange information with the outside.

一方で、工作機械などＩｏＴが普及する前から今もなお使用されている非ＩｏＴ機器も数多く存在している。 On the other hand, there are many non-IoT devices such as machine tools that have been in use since before the spread of IoT.

このような非ＩｏＴ機器をＩｏＴ化するために、モバイル網や無線ＬＡＮなどのネットワーク機能を持つ外付けデバイスを非ＩｏＴ機器に接続することでデータ収集等を実現しているケースがある。 In order to convert such non-IoT devices to IoT, there are cases where data collection and the like are realized by connecting external devices having network functions such as mobile networks and wireless LANs to non-IoT devices.

ネットワーク機能を持つ外付けデバイスの中には、ＳＩＭ（Subscriber Identity Module）を内部に組み込んだデバイスもあり、よりセキュアなネットワーク構築が可能となっている。例えば、非ＩｏＴ機器のデータをセキュアにサーバやクラウドに送信することができる。 Among external devices with network functions, there are also devices in which a SIM (Subscriber Identity Module) is embedded, enabling construction of a more secure network. For example, data from non-IoT devices can be securely transmitted to a server or cloud.

特開２０１４－１６４５６５号公報JP 2014-164565 A

しかし、非ＩｏＴ機器そのもののセキュリティは向上していないため、非ＩｏＴ機器に直接ウィルス等を仕込まれて情報の改ざん等がなされる可能性がある。これに対応するため、非ＩｏＴ機器あるいは外付けデバイスに改ざん検知を行う機能を組み込み、非ＩｏＴ機器のセキュリティを向上させることが考えられる。 However, since the security of the non-IoT devices themselves has not been improved, there is a possibility that a virus or the like may be installed directly in the non-IoT devices to tamper with the information. In order to deal with this, it is conceivable to improve the security of non-IoT devices by incorporating a function to detect falsification into non-IoT devices or external devices.

しかし、改ざん検知機能をセキュアな環境に搭載しなければ改ざん検知そのものを改ざんされる恐れがある。これに対応するため、耐タンパ性の高いＳＩＭのアプレット領域に改ざん検知を搭載することで改ざん検知機能そのもののセキュリティを高めることが考えられる。 However, unless the tampering detection function is installed in a secure environment, the tampering detection itself may be tampered with. In order to deal with this, it is conceivable to improve the security of the tampering detection function itself by installing tampering detection in the applet area of the SIM with high tamper resistance.

しかし、従来技術におけるＳＩＭは通信のプロファイル領域とアプレット領域が依存関係を持っている。そのため、プロファイルの切り替え（つまり、プロファイルのＯＦＦ）によって改ざん検知機能もＯＦＦになってしまうという課題がある。 However, SIM in the prior art has a dependent relationship between the communication profile area and the applet area. Therefore, there is a problem that the falsification detection function is also turned off by switching the profile (that is, turning off the profile).

本発明は上記の点に鑑みてなされたものであり、改ざん検知機能を備えるＳＩＭにおいて、プロファイルの切り替えが発生した場合でも、改ざん検知機能を稼働させ続けることを可能とする技術を提供することを目的とする。 SUMMARY OF THE INVENTION The present invention has been made in view of the above points, and aims to provide a technique that enables the tampering detection function to continue to operate even when profile switching occurs in a SIM equipped with a tampering detection function. aim.

開示の技術によれば、ＳＩＭを備える通信装置であって、
前記ＳＩＭは、
モバイル網オペレータの回線を利用するために使用されるプロファイルを格納するためのプロファイル領域と、
改ざん検知のためのアプリケーションを格納するためのアプリケーション領域と、を備え、
前記プロファイル領域と前記アプリケーション領域とが分離されている
通信装置が提供される。 According to the disclosed technique, a communication device including a SIM,
The SIM is
a profile area for storing profiles used to utilize lines of mobile network operators;
an application area for storing an application for tampering detection,
A communication device is provided wherein the profile area and the application area are separated.

開示の技術によれば、改ざん検知機能を備えるＳＩＭにおいて、プロファイルの切り替えが発生した場合でも、改ざん検知機能を稼働させ続けることを可能とする技術が提供される。 According to the disclosed technology, there is provided a technology that enables the tampering detection function to continue to operate even when profile switching occurs in a SIM having the tampering detection function.

実施例１における通信システムの構成図である。1 is a configuration diagram of a communication system in Example 1; FIG. 実施例１におけるシーケンス図である。4 is a sequence diagram in Example 1. FIG. 実施例２における通信システムの構成図である。FIG. 10 is a configuration diagram of a communication system in Example 2; 実施例２におけるシーケンス図である。FIG. 11 is a sequence diagram in Example 2; 実施例３におけるシステムの全体構成例である。It is an example of the whole system configuration in Example 3. ＳＩＭの構成の概要を示す図である。It is a figure which shows the outline|summary of a structure of SIM. プロファイルとアプレットが紐付けられた構成の例を示す図である。FIG. 4 is a diagram showing an example of a configuration in which profiles and applets are linked; プロファイル切替の概念を示す図である。FIG. 4 is a diagram showing the concept of profile switching; プロファイル切替の動作例を示す図である。FIG. 10 is a diagram showing an operation example of profile switching; ＳＩＭの構成例を示す図である。It is a figure which shows the structural example of SIM. ＳＩＭのハードウェア構成例を示す図である。It is a figure which shows the hardware structural example of SIM. ＳＩＭのソフトウェア構成例を示す図である。It is a figure which shows the software structural example of SIM. アプレット書き込みの動作例を示す図である。FIG. 10 is a diagram showing an example of applet writing operation; ＳＩＭを搭載した通信装置／機器の構成例を示す図である。1 is a diagram showing a configuration example of a communication device/equipment equipped with a SIM; FIG.

以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。 An embodiment (this embodiment) of the present invention will be described below with reference to the drawings. The embodiments described below are merely examples, and embodiments to which the present invention is applied are not limited to the following embodiments.

（実施の形態の概要）
本実施の形態では、非ＩｏＴ機器をＩｏＴ化するために、非ＩｏＴ機器に接続して使用する通信装置に搭載されるＳＩＭ、又は、非ＩｏＴ機器内部に搭載するＳＩＭとして、ＳＩＭアプレット領域に改ざん検知を実行するプログラム（アプリケーション）を搭載したＳＩＭを使用する。なお、本実施の形態における「改ざん検知」とは、マルウェア等により情報が改ざんされたことを検知すること、マルウェア等をダウンロードさせるための攻撃通信を検知すること等、不正を検知する様々な処理を含む。また、「改ざん検知」には、検知のみならず、後述するハニーポットへの攻撃者の誘導等の対処を含むこととしてもよい。 (Overview of Embodiment)
In the present embodiment, in order to convert non-IoT devices to IoT, the SIM applet area is modified as a SIM installed in a communication device that is used by connecting to a non-IoT device, or as a SIM installed inside a non-IoT device. Using a SIM loaded with a program (application) that performs sensing. In this embodiment, "tampering detection" refers to various processes for detecting fraud, such as detecting that information has been tampered with by malware, etc., and detecting attack traffic for downloading malware, etc. including. Further, "tampering detection" may include not only detection but also countermeasures such as guiding an attacker to a honeypot, which will be described later.

また、本実施の形態では、上記のＳＩＭとして、プロファイル領域とアプレット領域とが分離されたＳＩＭを使用することで、プロファイルの切り替えが発生した場合でも、改ざん検知機能を稼働させ続けることを可能としている。なお、本実施の形態におけるＳＩＭをｅＳＩＭと呼んでもよい。また、アプレットをアプリケーションと呼んでもよい。 In addition, in this embodiment, by using a SIM in which the profile area and the applet area are separated, it is possible to keep the tampering detection function running even when the profile is switched. there is Note that the SIM in this embodiment may be called eSIM. An applet may also be called an application.

以下、本実施の形態における具体的な構成及び動作の例として、実施例１～３を説明する。 Examples 1 to 3 will be described below as examples of specific configurations and operations in this embodiment.

（実施例１）
図１は、実施例１における通信システムの構成図である。図１に示すように、実施例１における通信システムは、機器１００、及び通信装置２００を備える。通信装置２００は、ネットワーク３００に接続されている。 (Example 1)
FIG. 1 is a configuration diagram of a communication system according to the first embodiment. As shown in FIG. 1 , the communication system according to the first embodiment includes equipment 100 and communication device 200 . Communication device 200 is connected to network 300 .

ネットワーク３００は、例えば、無線アクセス網、コア網（５Ｇコア等）、インターネットからなるネットワークである。 The network 300 is, for example, a network including a radio access network, a core network (such as 5G core), and the Internet.

機器１００は、非ＩｏＴ機器である。一例として、工作機械などが機器１００として使用される。機器１００は、ＣＰＵとメモリからなるコンピュータの機能を含む。 Device 100 is a non-IoT device. As an example, a machine tool or the like is used as the device 100 . Device 100 includes the functionality of a computer consisting of a CPU and memory.

通信装置２００は、ＳＩＭ入り外付けデバイスであり、機器１００に接続して使用される。通信装置２００を「ドングル」と呼んでもよい。通信装置２００は小型のものを想定しているが、小型のものに限定されるわけではなく、例えばＰＣ等であってもよい。 The communication device 200 is an external device with a SIM and is used by being connected to the equipment 100 . Communication device 200 may also be referred to as a "dongle." Although the communication device 200 is assumed to be small, it is not limited to being small, and may be a PC or the like.

通信装置２００は、無線通信機能を備える装置であればどのような装置であってもよく、例えば、スマートフォン等の携帯端末、Ｍ２Ｍ装置、ＩｏＴ端末等であってもよい。 The communication device 200 may be any device as long as it has a wireless communication function, and may be, for example, a mobile terminal such as a smartphone, an M2M device, an IoT terminal, or the like.

図１に示すとおり、通信装置２００は、通信制御部２０１、及びＳＩＭ２０２を有する。また、ＳＩＭ２０２は、改ざん検知部２０３を有する。改ざん検知部２０３は改ざん検知を行うためのプログラム（アプレット）である。ＳＩＭ２０２はプロセッサ（ＣＰＵ）を有しており、ＳＩＭ２０２自身でプログラムを実行可能である。 As shown in FIG. 1, communication device 200 has communication control section 201 and SIM 202 . The SIM 202 also has a falsification detection unit 203 . A falsification detection unit 203 is a program (applet) for detecting falsification. The SIM 202 has a processor (CPU) and can execute programs by itself.

通信制御部２０１は、ネットワーク３００との通信を行う。ＳＩＭ２０２は、プロファイル領域とアプレット領域とを有し、これらが分離された構成を有する。ＳＩＭ２０２の詳細については、実施例３で説明する。 A communication control unit 201 communicates with the network 300 . The SIM 202 has a profile area and an applet area, which are separated. Details of the SIM 202 will be described in a third embodiment.

上記の構成を備える実施例１に係る通信システムにおいて、通信装置２００を機器１００に接続し、通信装置２００への給電が開始されたタイミング、又は通信装置２００の電源がＯＮかつ通信装置２００が機器１００に接続されたタイミングで、例えば通信制御部２０１により認証処理が行われる。 In the communication system according to the first embodiment having the above configuration, the communication device 200 is connected to the device 100, and the power supply to the communication device 200 is started, or the power supply of the communication device 200 is turned on and the communication device 200 is a device. 100, authentication processing is performed by the communication control unit 201, for example.

認証処理は、例えば、ＳＩＭ認証である。また、例えば、通信装置２００が、機器１００から機器情報を取得して、ネットワーク３００側へ送信し、ネットワーク３００側で、正しい機器情報との照合を行うことで認証（機器認証と呼ぶ）を行うこととしてもよい。また、ＳＩＭ認証と機器認証の両方を行うこととしてもよい。 The authentication process is, for example, SIM authentication. Also, for example, the communication device 200 acquires device information from the device 100, transmits the device information to the network 300 side, and performs authentication (referred to as device authentication) by collating it with correct device information on the network 300 side. You can do it. Alternatively, both SIM authentication and device authentication may be performed.

以下、改ざん検知に関わる動作例を図２のシーケンスを参照して説明する。ここでは、ネットワーク３００上の装置の例として、Ｗｅｂサーバ４００、攻撃サーバ５００、おとりサーバ６００が示されている。おとりサーバ６００をハニーポットと呼んでもよい。また、ここでは、機器１００が、Ｗｅｂサーバ４００から情報を取得するような動作が行われるケースを想定している。 An operation example related to tampering detection will be described below with reference to the sequence in FIG. Here, a Web server 400, an attack server 500, and a decoy server 600 are shown as examples of devices on the network 300. FIG. Decoy server 600 may be referred to as a honeypot. Also, here, a case is assumed in which the device 100 operates to acquire information from the web server 400 .

Ｓ１０１において、機器１００が情報要求を送信し、改ざん検知部２０３が当該情報要求を受信する。Ｓ１０２において、改ざん検知部２０３が、情報要求を通信制御部２０１に送信する。Ｓ１０３において、通信制御部２０１が、情報要求をＷｅｂサーバ４００に送信する。 In S101, the device 100 transmits an information request, and the falsification detection unit 203 receives the information request. In S102 , the falsification detection unit 203 transmits an information request to the communication control unit 201 . In S103 , the communication control unit 201 transmits an information request to the web server 400 .

Ｗｅｂサーバ４００には、通信を攻撃サーバ５００へ自動転送させるような自動転送用コンテンツが仕掛けられているとする。Ｓ１０４において、Ｗｅｂサーバ４００は、自動転送用コンテンツを含む情報を通信制御部２０１に送信する。Ｓ１０５において、通信制御部２０１は、改ざん検知部２０３に情報を送信する。 It is assumed that the Web server 400 is provided with automatic transfer content that automatically transfers the communication to the attack server 500 . In S104 , the web server 400 transmits information including the content for automatic transfer to the communication control unit 201 . In S105 , the communication control unit 201 transmits information to the falsification detection unit 203 .

ここで、改ざん検知部２０３は、受信した情報に自動転送用コンテンツが含まれていることを検知するので、自動転送先である攻撃サーバ５００から送信される通信を、通信装置２００向けではなく、おとりサーバ６００向けに誘導するための情報を含む情報要求を作成し、Ｓ１０６において、当該情報要求を通信制御部２０１に送信する。 Here, since the tampering detection unit 203 detects that the received information includes content for automatic transfer, the communication transmitted from the attack server 500, which is the automatic transfer destination, is not directed to the communication device 200, An information request including information for guiding to the decoy server 600 is created, and the information request is transmitted to the communication control unit 201 in S106.

Ｓ１０７において、通信制御部２０１は、当該情報要求を転送先である攻撃サーバ５００に転送する。当該情報要求を受信した攻撃サーバ５００は、Ｓ１０８において、攻撃コードを、通信装置２００ではなく、おとりサーバ６００（ハニーポット）に送信する。おとりサーバ６００は、例えば、攻撃コードによって、マルウェアをダウンロードする。 In S107, the communication control unit 201 transfers the information request to the attack server 500, which is the transfer destination. The attack server 500 that has received the information request transmits the attack code to the decoy server 600 (honeypot) instead of the communication device 200 in S108. The bait server 600 downloads malware, for example, by attack code.

上記のようにして、ＳＩＭ２０２に搭載された改ざん検知部２０３により、攻撃者（改ざん行為のための攻撃通信）をハニーポットに誘導できる。なお、図２で説明した方法は、攻撃通信をハニーポットに誘導する方法の一例に過ぎない。改ざん検知部２０３は、上記の方法以外の方法で攻撃通信をハニーポットに誘導してもよい。 As described above, the falsification detection unit 203 installed in the SIM 202 can guide an attacker (attack communication for falsification) to a honeypot. Note that the method described with reference to FIG. 2 is merely an example of a method of guiding attack traffic to a honeypot. The tampering detection unit 203 may guide the attack communication to the honeypot by a method other than the method described above.

また、誘導するための事前設定（誘導先のアドレス等）は、ＳＩＭ２０２上に記憶されていてもよいし、ＳＩＭ２０２上ではなく、通信装置２００における記憶装置に記憶されてもよい。また、改ざん検知部２０３は、攻撃通信の検知のみを行って、誘導するための処理（例えば、誘導のための情報要求生成処理）は、改ざん検知部２０３以外の機能部が行ってもよい。当該機能部は、ＳＩＭ２０２上に備えられてもよいし、ＳＩＭ２０２上ではなく、通信装置２００上に備えられてもよい。 In addition, pre-settings for guidance (such as the address of the guidance destination) may be stored on the SIM 202 or may be stored in the storage device of the communication device 200 instead of on the SIM 202 . Further, the falsification detection unit 203 may only detect attacking communication, and the processing for guidance (for example, information request generation processing for guidance) may be performed by a functional unit other than the falsification detection unit 203 . The functional unit may be provided on SIM 202 or may be provided on communication device 200 instead of on SIM 202 .

（実施例２）
次に、実施例２を説明する。図３は、実施例２における通信システムの構成図である。図３と図１（実施例１）を比較してわかるように、実施例２においては、外付けのＳＩＭ入りデバイスである通信装置２００を使用せず、その代わりに、通信装置２００内の機能が機器１００に備えられる。つまり、実施例２では、機器１００そのものに、改ざん検知部１０４をアプレットとして持つＳＩＭが搭載される。 (Example 2)
Next, Example 2 will be described. FIG. 3 is a configuration diagram of a communication system according to the second embodiment. As can be seen by comparing FIG. 3 and FIG. 1 (Embodiment 1), in Embodiment 2, the communication device 200, which is an external SIM-equipped device, is not used. is provided in the device 100 . That is, in the second embodiment, the device 100 itself is equipped with a SIM having the tampering detection unit 104 as an applet.

具体的には、図３に示すとおり、実施例２の機器１００は、機器制御部１０１、通信制御部１０２、ＳＩＭ１０３を有する。また、ＳＩＭ１０３は、改ざん検知部１０４を有する。 Specifically, as shown in FIG. 3, the device 100 of the second embodiment has a device control section 101, a communication control section 102, and a SIM 103. FIG. The SIM 103 also has a falsification detection unit 104 .

機器制御部１０１は、機器１００において情報の要求、取得等を行う。通信制御部１０２、ＳＩＭ１０３のそれぞれの機能は、通信装置２００内の通信制御部２０１、ＳＩＭ１０２と同じである。 The device control unit 101 requests and acquires information in the device 100 . The functions of the communication control unit 102 and SIM 103 are the same as those of the communication control unit 201 and SIM 102 in the communication device 200, respectively.

上記の構成を備える実施例２に係る通信システムにおいて、例えば、機器１００の電源がＯＮされたタイミングで、認証処理が行われる。認証処理は、例えば、ＳＩＭ認証である。また、例えば、機器１００が内部の機器情報をネットワーク３００側へ送信し、ネットワーク３００側で、正しい機器情報との照合を行うことで認証（機器認証と呼ぶ）を行うこととしてもよい。また、ＳＩＭ認証と機器認証の両方を行うこととしてもよい。 In the communication system according to the second embodiment having the above configuration, authentication processing is performed, for example, when the device 100 is powered on. The authentication process is, for example, SIM authentication. Further, for example, the device 100 may transmit internal device information to the network 300 side, and the network 300 side may perform authentication (referred to as device authentication) by collating the device information with correct device information. Alternatively, both SIM authentication and device authentication may be performed.

以下、改ざん検知に関わる動作例を図４のシーケンスを参照して説明する。実施例１と同様に、ネットワーク３００上の装置の例として、Ｗｅｂサーバ４００、攻撃サーバ５００、おとりサーバ６００（ハニーポット）が示されている。 An operation example related to tampering detection will be described below with reference to the sequence in FIG. As in the first embodiment, a web server 400, an attack server 500, and a decoy server 600 (honeypot) are shown as examples of devices on the network 300. FIG.

Ｓ２０１において、機器１００における情報制御部１０１が情報要求を送信し、改ざん検知部１０４が当該情報要求を受信する。Ｓ２０２において、改ざん検知部２０３が、情報要求を通信制御部１０２に送信する。Ｓ２０３において、通信制御部１０２が、情報要求をＷｅｂサーバ４００に送信する。 In S201, the information control unit 101 in the device 100 transmits an information request, and the falsification detection unit 104 receives the information request. In S202 , the falsification detection unit 203 transmits an information request to the communication control unit 102 . In S203 , the communication control unit 102 transmits an information request to the web server 400 .

Ｗｅｂサーバ４００には、通信を攻撃サーバ５００へ自動転送させるような自動転送用コンテンツが仕掛けられているとする。Ｓ２０４において、Ｗｅｂサーバ４００は、自動転送用コンテンツを含む情報を通信制御部１０２に送信する。Ｓ２０５において、通信制御部１０２は、改ざん検知部１０４に情報を送信する。 It is assumed that the Web server 400 is provided with automatic transfer content that automatically transfers the communication to the attack server 500 . In S204 , the web server 400 transmits information including the content for automatic transfer to the communication control unit 102 . In S205 , the communication control unit 102 transmits information to the falsification detection unit 104 .

ここで、改ざん検知部１０４は、情報に自動転送用コンテンツが含まれていることを検知するので、自動転送先である攻撃サーバ５００から送信される通信を、機器１００向けではなく、おとりサーバ６００向けに誘導するための情報を含む情報要求を作成し、Ｓ２０６において、当該情報要求を通信制御部２０１に送信する。 Here, since the falsification detection unit 104 detects that the information contains content for automatic transfer, the communication sent from the attack server 500, which is the automatic transfer destination, is directed to the decoy server 600 instead of the device 100. An information request including information for guiding to the destination is created, and the information request is transmitted to the communication control unit 201 in S206.

Ｓ２０７において、通信制御部２０１は、当該情報要求を転送先である攻撃サーバ５００に転送する。当該情報要求を受信した攻撃サーバ５００は、Ｓ２０８において、攻撃コードを、機器１００ではなく、おとりサーバ６００（ハニーポット）に送信する。おとりサーバ６００は、例えば、攻撃コードによって、マルウェアをダウンロードする。 In S207, the communication control unit 201 transfers the information request to the attack server 500, which is the transfer destination. The attack server 500 that has received the information request transmits the attack code to the decoy server 600 (honeypot) instead of the device 100 in S208. The bait server 600 downloads malware, for example, by attack code.

上記のようにして、ＳＩＭ１０３に搭載された改ざん検知部１０４により、攻撃者（改ざん行為のための攻撃通信）をハニーポットに誘導できる。なお、図４で説明した方法は、攻撃通信をハニーポットに誘導する方法の一例に過ぎない。改ざん検知部１０４は、上記の方法以外の方法で攻撃通信をハニーポットに誘導してもよい。 As described above, the falsification detection unit 104 installed in the SIM 103 can guide an attacker (attack communication for falsification) to a honeypot. Note that the method described with reference to FIG. 4 is merely an example of a method of guiding attack traffic to a honeypot. The tampering detection unit 104 may guide the attack communication to the honeypot by a method other than the above method.

また、誘導するための事前設定（誘導先のアドレス等）は、ＳＩＭ１０３上に記憶されていてもよいし、ＳＩＭ１０３上ではなく、機器１００における記憶装置に記憶されてもよい。また、改ざん検知部１０４は、攻撃通信の検知のみを行って、誘導するための処理（例えば、誘導のための情報要求生成処理）は、改ざん検知部１０４以外の機能部が行ってもよい。当該機能部は、ＳＩＭ１０３上に備えられてもよいし、ＳＩＭ１０３上ではなく、機器１００上に備えられてもよい。 In addition, pre-settings for guiding (such as a guidance destination address) may be stored on the SIM 103 or may be stored in the storage device of the device 100 instead of on the SIM 103 . Alternatively, the tampering detection unit 104 may only detect attacking communication, and the processing for guidance (for example, information request generation processing for guidance) may be performed by a functional unit other than the tampering detection unit 104 . The functional unit may be provided on the SIM 103 or may be provided on the device 100 instead of on the SIM 103 .

（実施例３）
次に、実施例３を説明する。実施例３は、実施例１と実施例２のいずれにも適用される実施例であるが、ここでは、実施例１のＳＩＭ２０２を例にとって説明する。 (Example 3)
Next, Example 3 will be described. The third embodiment is an embodiment that is applied to both the first embodiment and the second embodiment, but here, the SIM 202 of the first embodiment will be described as an example.

前述したとおり、本実施の形態では、アプレット領域とプロファイル領域とが分離したＳＩＭ２０２を使用し、当該ＳＩＭ２０２のアプレット領域上に改ざん検知部２０３を搭載する。これにより、接続するキャリア等の通信環境を問わず改ざん検知を稼働し続けることができる。以下、ＳＩＭ２０２の詳細について、実施例３として説明する。 As described above, in this embodiment, the SIM 202 in which the applet area and the profile area are separated is used, and the tampering detection unit 203 is mounted on the applet area of the SIM 202 . As a result, tampering detection can continue to operate regardless of the communication environment such as the connected carrier. Details of the SIM 202 will be described below as a third embodiment.

＜システム構成例＞
図５に、実施例３におけるシステムの構成例を示す。図５に示すように、本システムは、ＳＩＭ２０２が搭載された通信装置２００、管理装置９００、ユーザ端末７００、及び、ネットワーク３００を有し、各装置はネットワーク３００に接続されている。なお、図５は、ＳＩＭ２０２におけるプロファイルを切り替えたり、アプレットを搭載する処理など、ＳＩＭ２０２に関する処理を行う観点でのシステム構成を示している。 <System configuration example>
FIG. 5 shows a configuration example of a system according to the third embodiment. As shown in FIG. 5, this system has a communication device 200 equipped with a SIM 202, a management device 900, a user terminal 700, and a network 300, and each device is connected to the network 300. FIG. Note that FIG. 5 shows a system configuration from the viewpoint of performing processing related to the SIM 202, such as switching profiles in the SIM 202 and loading an applet.

ＳＩＭ２０２は、耐タンパ性を備えたセキュアな領域であるアプレット領域と、プロファイル領域とが別々に備えられたＳＩＭである。ＳＩＭ２０２は、カード型のＳＩＭであってもよいし、チップ型のＳＩＭであってもよい。 The SIM 202 is a SIM separately provided with an applet area, which is a tamper-resistant secure area, and a profile area. The SIM 202 may be a card-type SIM or a chip-type SIM.

通信装置２００は、無線通信機能を備える装置であり。前述したように、通信装置２００は、例えば、スマートフォン等の携帯端末、Ｍ２Ｍ装置、ＩｏＴ端末等である。 Communication device 200 is a device having a wireless communication function. As described above, the communication device 200 is, for example, a mobile terminal such as a smart phone, an M2M device, an IoT terminal, or the like.

管理装置９００は、プロファイルの作成、管理、送信等を行う装置である。管理装置９００は、例えば、ＳＭ－ＤＰ（Ｓｕｂｓｃｒｉｐｔｉｏｎ．Ｍａｎａｇｅｒ－ＤａｔａＰｒｅｐａｒａｔｉｏｎ）、ＳＭ－ＳＲ（Ｓｕｂｓｃｒｉｐｔｉｏｎ．Ｍａｎａｇｅｒ - ＳｅｃｕｒｅＲｏｕｔｉｎｇ）の機能を有する。 The management device 900 is a device that creates, manages, and transmits profiles. The management device 900 has, for example, SM-DP (Subscription. Manager-Data Preparation) and SM-SR (Subscription. Manager-Secure Routing) functions.

ユーザ端末７００は、ＳＩＭ２０２におけるプロファイルの切り替えを管理装置９００に指示することができる。また、ユーザ端末７００は、アプレット領域にアクセスするための鍵を有しており、ＳＩＭ２０２にアプレットを書き込むことが可能である。 The user terminal 700 can instruct the management device 900 to switch profiles in the SIM 202 . Also, the user terminal 700 has a key for accessing the applet area, and can write the applet in the SIM 202 .

なお、ユーザ端末７００が、通信装置２００であってもよい。つまり、通信装置２００自身が、ユーザによる操作によって、プロファイルの切り替えを管理装置９００に指示したり、ＳＩＭ２０２にアプレットを書き込んだりすることとしてもよい。 Note that the user terminal 700 may be the communication device 200 . In other words, the communication device 200 itself may instruct the management device 900 to switch profiles or write an applet to the SIM 202 by the user's operation.

ネットワーク３００は、前述したとおり、無線アクセス網、コア網（５Ｇコア等）、インターネットからなるネットワークである。通信装置２００は、無線アクセス網からコア網を経由してインターネットにアクセスする。 The network 300 is a network including a radio access network, a core network (such as 5G core), and the Internet, as described above. Communication device 200 accesses the Internet from a radio access network via a core network.

＜ＳＩＭ２０２の概要構成＞
図６は、本実施の形態におけるＳＩＭ２０２の概要構成を示す図である。図６に示すように、ＳＩＭ２０２は、アプレットを格納するためのアプレット領域２１０と、プロファイルを格納するためのプロファイル領域２２０を有している。また、アプレット領域２１０とプロファイル領域２２０は分離されている。 <Outline configuration of SIM 202>
FIG. 6 is a diagram showing a schematic configuration of SIM 202 in this embodiment. As shown in FIG. 6, the SIM 202 has an applet area 210 for storing applets and a profile area 220 for storing profiles. Also, the applet area 210 and the profile area 220 are separated.

プロファイル領域２２０にアクセスできるのは、例えば、ＳＩＭ発行権を有するモバイル網オペレータのみである。当該モバイル網オペレータは、プロファイル領域２２０にアクセスするための鍵を有しており、その鍵を用いて、管理装置９００からプロファイル領域にアクセスして、プロファイルの書き込み等を行うことができる。 Only mobile network operators with SIM issuing rights, for example, can access profile area 220 . The mobile network operator has a key for accessing the profile area 220, and can use the key to access the profile area from the management device 900 and perform profile writing and the like.

アプレット領域２１０にアクセスするための鍵は、プロファイル領域２２０にアクセスするための鍵とは異なる鍵であり、ＳＩＭ発行権を有する者以外の者（例えば、アプレットを開発するサードパーティ）に提供可能である。 The key for accessing the applet area 210 is a key different from the key for accessing the profile area 220, and can be provided to a person other than the person who has the SIM issuing right (for example, a third party who develops the applet). be.

以降、プロファイル領域にアクセスするための鍵をプロファイル領域鍵と呼び、アプレット領域にアクセスするための鍵をアプレット領域鍵と呼ぶ。 Hereinafter, the key for accessing the profile area will be called the profile area key, and the key for accessing the applet area will be called the applet area key.

アプレット領域鍵は、ＳＩＭ毎に異なっている。つまり、あるＳＩＭのアプレット領域鍵を用いて、別のＳＩＭのアプレット領域にアクセスすることはできない。 The applet domain key is different for each SIM. That is, the applet region key of one SIM cannot be used to access the applet region of another SIM.

また、ＳＩＭ２０２には、複数のアプレット領域を設けてもよく、ＳＩＭ２０２内の複数のアプレット領域それぞれに個別の異なるアプレット領域鍵が提供されてもよいし、複数のアプレット領域に共通に使用できるアプレット領域鍵が提供されてもよい。 In addition, the SIM 202 may be provided with a plurality of applet areas, a separate and different applet area key may be provided for each of the plurality of applet areas in the SIM 202, or an applet area that can be used in common for the plurality of applet areas. A key may be provided.

図７は、比較のために従来のＳＩＭ９５０の例を示している。図７に示すように、従来は、ＳＩＭ発行権を有する者しかアクセスできないプロファイル領域にアプレットが格納されていたため、ＳＩＭ発行権を有する者しかアプレットの書き込み等を行うことができなかった。そのため、アプレットを開発するサードパーティ等は、アプレットを開発、テスト、商用実装することが困難であった。 FIG. 7 shows an example of conventional SIM950 for comparison. As shown in FIG. 7, conventionally, applets are stored in a profile area that can only be accessed by those who have the right to issue a SIM. Therefore, it is difficult for a third party that develops an applet to develop, test, and commercially implement the applet.

一方、本実施の形態では、アプレットを開発するサードパーティ等が、プロファイル領域鍵と異なるアプレット領域鍵を持つことができるので、アプレットを開発するサードパーティ等が自由にアプレットの開発、ＳＩＭ２０２へのインストール、テスト、商用実装を行うことが可能である。 On the other hand, in the present embodiment, a third party that develops an applet can have an applet area key different from the profile area key. , tests, and commercial implementations.

＜プロファイルの切り替えについて＞
ＳＩＭ２０２に格納されるプロファイルは、モバイル網オペレータの網に接続するための情報（例：ＭＳＩＳＤＮ、ＩＭＳＩ）からなり、接続するモバイル網オペレータ毎に異なるプロファイルを使用する。ＳＩＭ２０２に複数のプロファイルが格納されている場合において、その中から１つのプロファイルがｅｎａｂｌｅ状態のプロファイルになり、その他のプロファイルは、ｄｉｓａｂｌｅ状態のプロファイルになる。 <About switching profiles>
The profile stored in the SIM 202 consists of information (eg, MSISDN, IMSI) for connecting to the mobile network operator's network, and a different profile is used for each connecting mobile network operator. When a plurality of profiles are stored in the SIM 202, one profile among them becomes the enable state profile, and the other profiles become the disable state profiles.

ｅｎａｂｌｅ状態のプロファイルは、通信装置２００から認識され、それを用いて通信が行われる。ｄｉｓａｂｌｅ状態のプロファイルは、通信装置２００から認識されない。 A profile in the enabled state is recognized by the communication device 200 and used for communication. Disabled profiles are not recognized by the communication device 200 .

図８に示すように、例えば、ＳＩＭ２０２に、モバイル網オペレータ１のプロフィル１と、モバイル網オペレータ２のプロファイル２が格納されている場合において、通信装置２００がモバイル網オペレータ１の網で通信を行う場合にはプロファイル１をｅｎａｂｌｅとし、通信装置２００がモバイル網オペレータ２の網で通信を行う場合にはプロファイル２をｅｎａｂｌｅとする。 As shown in FIG. 8, for example, when SIM 202 stores profile 1 of mobile network operator 1 and profile 2 of mobile network operator 2, communication device 200 communicates in the network of mobile network operator 1. In this case, profile 1 is enabled, and when communication device 200 communicates in the network of mobile network operator 2, profile 2 is enabled.

ここで、図７に示す従来のＳＩＭ９５０では、プロファイル領域９５１に、プロファイル１と、そのプロファイル１に紐づくアプレット１が格納される。そのため、例えば、プロファイル１を用いた通信によりアプレット１を使用している状態において、ｅｎａｂｌｅのプロファイルが、プロファイル１からプロファイル２に切り替えられると、プロファイル１とそれに紐づくアプレット１が使用できなくなる。 Here, in the conventional SIM 950 shown in FIG. 7, profile 1 and applet 1 linked to profile 1 are stored in profile area 951 . Therefore, for example, when applet 1 is being used for communication using profile 1, if the enable profile is switched from profile 1 to profile 2, profile 1 and applet 1 associated therewith cannot be used.

一方、本実施の形態のＳＩＭ２０２では、図６に示したように、アプレット領域２１０とプロファイル領域２２０を分離し、アプレットはプロファイルに依存しないようにしている。そのため、例えば、アプレット１を使用した通信から、アプレット２を使用した通信に切り替えがあったとしても、アプレットＡを継続して使用することができる。 On the other hand, in the SIM 202 of this embodiment, as shown in FIG. 6, the applet area 210 and the profile area 220 are separated so that the applet does not depend on the profile. Therefore, for example, even if communication using applet 1 is switched to communication using applet 2, applet A can be used continuously.

図９を参照して、プロファイルの切り替え時のシーケンス例を説明する。ここでは、通信装置２００が通信に使用する網を、モバイル網オペレータ１の網からモバイル網オペレータ２の網に切り替える場合を想定する。 A sequence example at the time of profile switching will be described with reference to FIG. Here, it is assumed that the network used by the communication device 200 for communication is switched from the network of mobile network operator 1 to the network of mobile network operator 2 .

プロファイル１を用いてモバイル網オペレータ１の網で通信装置２００が通信を行っているときに、ユーザがプロファイル１をプロファイル２へ切り替えることを希望する。 When communication device 200 is communicating in the network of mobile network operator 1 using profile 1, the user wishes to switch profile 1 to profile 2. FIG.

Ｓ３０１において、ユーザ操作に基づいて、ユーザ端末７００から管理装置９００に対して、プロファイル１からプロファイル２への切替指示が送られる。Ｓ３０２において、管理装置９００からＳＩＭ２０２に対して、モバイル網オペレータ１の網を介して、プロファイル１からプロファイル２への切替指示が送られる。なお、ここでは、切り替え先のプロファイルであるプロファイル２は既にＳＩＭ２０２に格納されていることを想定しているが、格納されていない場合、Ｓ３０２において、プロファイル２のダウンロードも行われる。 In S301, an instruction to switch from profile 1 to profile 2 is sent from the user terminal 700 to the management device 900 based on a user operation. In S302, an instruction to switch from profile 1 to profile 2 is sent from management device 900 to SIM 202 via the network of mobile network operator 1. FIG. Here, it is assumed that profile 2, which is the profile to switch to, has already been stored in the SIM 202. If not stored, profile 2 is also downloaded in S302.

Ｓ３０３において、ＳＩＭ１００内で、プロファイル１がｄｉｓａｂｌｅにされ、プロファイル２がｅｎａｂｌｅにされる。この切り替えが完了すると、通信装置２００は、モバイル網オペレータ２の網で通信を行う。Ｓ３０４において、ＳＩＭ２０２から管理装置３００に対して、モバイル網オペレータ２の網を介して、切替完了の通知が送信される。 At S303, profile 1 is disabled and profile 2 is enabled within the SIM 100 . After this switching is completed, the communication device 200 communicates with the network of the mobile network operator 2 . In S304, a notification of completion of switching is transmitted from the SIM 202 to the management device 300 via the network of the mobile network operator 2. FIG.

本実施の形態では、上記のようなプロファイルの切り替えがあっても、ＳＩＭ２０２のアプレットを継続して使用することが可能である。 In this embodiment, even if the profile is switched as described above, the SIM 202 applet can be used continuously.

＜ＳＩＭ１００の詳細構成例＞
図１０は、ＳＩＭ２０２のプロファイル領域２２０とアプレット領域２１０の詳細構成例を示す図である。プロファイル領域２２０自体は、従来のプロファイル領域と同様の構成であり、ＩＳＤ－Ｒ２４１、ＩＳＤ－Ｐ２４２、ＥＣＡＳＤ２４３を有する。ＩＳＤ－Ｒは、ＩｓｓｕｅｒＳｅｃｕｒｉｔｙＤｏｍａｉｎＲｏｏｔの略称である。ＩＳＤ－Ｐは、ＩｓｓｕｅｒＳｅｃｕｒｉｔｙＤｏｍａｉｎＰｒｏｆｉｌｅの略称である。ＥＣＡＳＤは、ｅＵＩＣＣＣｏｎｔｒｏｌｌｉｎｇＡｕｔｈｏｒｉｔｙＳｅｃｕｒｉｔｙＤｏｍａｉｎの略称である。 <Detailed configuration example of SIM100>
FIG. 10 is a diagram showing a detailed configuration example of the profile area 220 and the applet area 210 of the SIM 202. As shown in FIG. The profile area 220 itself has the same configuration as the conventional profile area, having ISD-R241, ISD-P242 and ECASD243. ISD-R is an abbreviation for Issuer Security Domain Root. ISD-P is an abbreviation for Issuer Security Domain Profile. ECASD is an abbreviation for eUICC Controlling Authority Security Domain.

ＩＳＤ－Ｒ２４１は、ＳＩＭ２０２内部とＳＩＭ２２０外部とのインタフェースである。ＩＳＤ－Ｐ２４２は、インストールされたプロファイルごとに作成されるものである。ＥＣＡＳＤ２４３はプロファイルをダウンロードする際のデータ保護に使用する鍵を格納する領域である。 ISD-R241 is an interface between the inside of SIM202 and the outside of SIM220. ISD-P242 is created for each installed profile. ECASD 243 is an area for storing a key used for data protection when downloading a profile.

図１０に示す例では、アプレット領域として、第１アプレット領域２２１、第２アプレット領域２２２、第３アプレット領域２２３の３つのアプレット領域を有している。アプレット領域の数には特に限定はなく、２以下の個数のアプレット領域を有してもよいし、４以上の個数のアプレット領域を有してもよい。なお、アプレット領域をセキュアエレメントあるいはセキュアドメインと呼んでもよい。また、「アプレット」を「アプリケーション」と呼んでもよい。 In the example shown in FIG. 10, there are three applet areas, a first applet area 221, a second applet area 222, and a third applet area 223, as applet areas. There is no particular limitation on the number of applet areas, and the number of applet areas may be two or less, or the number of applet areas may be four or more. Note that the applet area may also be called a secure element or a secure domain. Also, an "applet" may be called an "application".

また、図１０には、アプレット領域へのアクセス時の認証を行う認証部２３０、及び、アプレットに関してのＳＩＭ２０２の内部と外部とのインタフェースであるＩＦ部２４０も示されている。なお、ここでは、認証部２３０、ＩＦ部２４０は、アプレット領域用の機能部であることを想定しているが、認証部２３０、ＩＦ部２４０は、アプレット領域とプロファイル領域とで共通であってもよい。 Also shown in FIG. 10 are an authentication unit 230 that performs authentication when accessing the applet area, and an IF unit 240 that is an interface between the inside and outside of the SIM 202 regarding the applet. Here, it is assumed that the authentication unit 230 and the IF unit 240 are functional units for the applet area, but the authentication unit 230 and the IF unit 240 are common to the applet area and the profile area. good too.

認証部２３０は、例えば、ユーザ端末７００からアプレット領域鍵を用いたアクセス（認証要求）を受けると、アプレット領域から対応する鍵情報を読み出して、当該鍵情報を用いて認証処理を行う。また、ＩＦ部２４０は、例えば、ユーザ端末７００から受信したアプレットをアプレット領域に書き込む。 For example, upon receiving an access (authentication request) using an applet area key from the user terminal 700, the authentication unit 230 reads the corresponding key information from the applet area and performs authentication processing using the key information. Also, the IF unit 240 writes, for example, an applet received from the user terminal 700 into the applet area.

各アプレット領域には、１又は複数のアプレットを格納することができる。また、各アプレット領域に対して、個別にアプレット領域鍵がユーザに提供されている。例えば、第１アプレット領域２２１にアクセスするための第１アプレット領域鍵、第２アプレット領域２２２にアクセスするための第２アプレット領域鍵、第３アプレット領域２２３にアクセスするための第３アプレット領域鍵が提供されている。 Each applet area can store one or more applets. Also, for each applet area, an applet area key is individually provided to the user. For example, the first applet area key for accessing the first applet area 221, the second applet area key for accessing the second applet area 222, and the third applet area key for accessing the third applet area 223 are provided.

例えば、第１アプレット領域鍵の提供を受けた第１ユーザは、第１アプレット領域２２１にアクセスでき、第２アプレット領域鍵の提供を受けた第２ユーザは、第２アプレット領域２２２にアクセスでき、第３アプレット領域鍵の提供を受けた第３ユーザは、第３アプレット領域２２３にアクセスできる。なお、第１ユーザ、第２ユーザ、及び第３ユーザは３つの異なるユーザであってもよいし、１つの同じユーザであってもよい。 For example, a first user provided with the first applet area key can access the first applet area 221, and a second user provided with the second applet area key can access the second applet area 222. A third user provided with the third applet area key can access the third applet area 223 . Note that the first user, the second user, and the third user may be three different users, or may be one same user.

各アプレット領域には、アプレット領域鍵に対応する鍵が格納される。例えば、第１アプレット領域２２１には、第１アプレット領域鍵に対応する鍵が格納され、第２アプレット領域２２２には、第２アプレット領域鍵に対応する鍵が格納され、第３アプレット領域２２３には、第３アプレット領域鍵に対応する鍵が格納される。 Each applet area stores a key corresponding to the applet area key. For example, the first applet area 221 stores the key corresponding to the first applet area key, the second applet area 222 stores the key corresponding to the second applet area key, and the third applet area 223 stores the key corresponding to the second applet area key. stores a key corresponding to the third applet area key.

認証方式は特定の方法に限られないが、例えば、認証方式としてＩＤ／パスワード方式を用いる場合、アプレット領域鍵はＩＤとパスワードであり、アプレット領域鍵に対応する鍵として、アプレット領域鍵と同じＩＤとパスワードが格納される。また、例えば、認証方式として秘密鍵と公開鍵を用いる方式を使用する場合、例えば、アプレット領域鍵が秘密鍵であり、アプレット領域鍵に対応する鍵は公開鍵である。 Although the authentication method is not limited to a specific method, for example, when the ID/password method is used as the authentication method, the applet area key is an ID and a password, and the key corresponding to the applet area key is the same ID as the applet area key. and password are stored. Also, for example, when a method using a secret key and a public key is used as an authentication method, for example, the applet area key is the secret key, and the key corresponding to the applet area key is the public key.

ＳＩＭ２０２は、アプレット領域鍵に対応する鍵をアプレット領域から読み出して使用することで、アプレット領域鍵を用いたアクセスに対する認証を行うことができる。なお、アプレット領域鍵に対応する鍵は、アプレット領域とは別の領域に格納されてもよい。 The SIM 202 can authenticate access using the applet domain key by reading the key corresponding to the applet domain key from the applet domain and using it. Note that the key corresponding to the applet area key may be stored in an area separate from the applet area.

図１０に示すように、ＳＩＭ２０２に複数のアプレット領域が備えられる場合において、アプレット領域の利用方法に応じて、アプレット領域鍵の提供先を変えてもよい。 As shown in FIG. 10, when the SIM 202 is provided with a plurality of applet areas, the destination of the applet area key may be changed according to the usage of the applet areas.

例えば、第１アプレット領域２２１は、ＳＩＭ２０２の発行権を有する企業のパートナー企業のみがアクセスできる領域とし、当該パートナーのみに第１アプレット領域鍵が提供される。これにより、例えば、パートナー自身が開発したアプレットあるいはアプレット開発ベンダから提供を受けたアプレットを、パートナーはＳＩＭ２０２の第１アプレット領域２２１に書き込むことができる。 For example, the first applet area 221 is an area that can be accessed only by a partner company of a company that has the right to issue the SIM 202, and only the partner is provided with the first applet area key. As a result, for example, the partner can write an applet developed by the partner himself or provided by an applet development vendor into the first applet area 221 of the SIM 202 .

また、例えば、第２アプレット領域２２２は、ＳＩＭ発行権を有する企業のみがアクセスできる領域とし、ＳＩＭ発行権を有する企業のみに第２アプレット領域鍵が提供される。この場合、例えば、アプレット開発ベンダが開発したアプレットを、ＳＩＭ発行権を有する企業がＳＩＭ２０２の第２アプレット領域２２２に書き込むことができる。 Also, for example, the second applet area 222 is an area that can be accessed only by companies that have the right to issue a SIM, and only companies that have the right to issue a SIM are provided with the second applet area key. In this case, for example, an applet developed by an applet development vendor can be written into the second applet area 222 of the SIM 202 by a company that has SIM issuing rights.

また、例えば、第３アプレット領域２２３は、アプレット開発ベンダのみがアクセスできる領域とし、当該アプレット開発ベンダに第３アプレット領域鍵が提供される。この場合、アプレット開発ベンダは、自身が開発したアプレットを第３アプレット領域２２３に書き込むことができる。 Also, for example, the third applet area 223 is an area that can be accessed only by the applet development vendor, and the third applet area key is provided to the applet development vendor. In this case, applet development vendors can write their own developed applets in the third applet area 223 .

＜ＳＩＭ１００のハードウェア／ソフトウェア構成例＞
図１１に、ＳＩＭ２０２のハードウェア構成例を示す。図１１に示すように、ＳＩＭ２０２は、ＣＰＵ２５０、メモリ２７０、入出力部２６０を有する。 <Hardware/software configuration example of SIM100>
FIG. 11 shows a hardware configuration example of the SIM 202. As shown in FIG. As shown in FIG. 11, SIM 202 has CPU 250 , memory 270 and input/output unit 260 .

ＣＰＵ２５０は、メモリ２７０に格納されたプログラムを読み出し、その命令に従って処理を行うプロセッサである。当該プログラムには、ＯＳ、アプレット実行環境、アプレット、認証処理のためのプログラム、通信処理のためのプログラム、プロファイルｅｎａｂｌｅｒ等が含まれる。入出力部２６０は、通信装置２００とのインタフェースである。前述したＩＦ部２４０の機能は入出力部２６０に含まれる。 The CPU 250 is a processor that reads programs stored in the memory 270 and performs processing according to the instructions thereof. The programs include an OS, an applet execution environment, an applet, a program for authentication processing, a program for communication processing, a profile enabler, and the like. The input/output unit 260 is an interface with the communication device 200 . The functions of the IF section 240 described above are included in the input/output section 260 .

メモリ２７０には、プロファイル等のデータ、アプレット、及び、アプレット以外のプログラム等が格納されている。 The memory 270 stores data such as profiles, applets, and programs other than applets.

本実施の形態におけるアプレットを格納するアプレット領域と、プロファイルを格納するプロファイル領域は、例えばメモリ２７０（格納部）により実現される。アプレット領域とプロファイル領域の分離は、メモリ２７０内の領域を物理的に分けることで実現してもよいし、複数のメモリ（アプレット領域用のメモリとプロファイル領域用のメモリ）を用いて実現してもよい。また、これら以外の方法（例えば暗号技術）でアプレット領域とプロファイル領域の分離を実現してもよい。 The applet area for storing the applet and the profile area for storing the profile in this embodiment are realized by the memory 270 (storage unit), for example. Separation of the applet area and the profile area may be realized by physically dividing the areas in the memory 270, or by using a plurality of memories (memory for the applet area and memory for the profile area). good too. Also, separation of the applet area and the profile area may be realized by a method other than these (for example, encryption technology).

図１２は、ＳＩＭ２０２のソフトウェア構成例を示す図である。図１２に示すように、ＳＩＭ２０２のソフトウェアとして、ＯＳ２８０が動作し、ＯＳ２８０上にアプレット実行環境２８１、及び認証等の基本機能２８２を実現するソフトウェアが動作する。また、アプレット実行環境２８１上で各アプレットが動作する。 FIG. 12 is a diagram showing a software configuration example of the SIM 202. As shown in FIG. As shown in FIG. 12, an OS 280 operates as software for the SIM 202, and software for realizing an applet execution environment 281 and basic functions 282 such as authentication operates on the OS 280. FIG. Each applet operates on the applet execution environment 281 .

＜アプレットの書き込みに関わる動作例＞
図１３を参照して、ユーザ端末４００からＳＩＭ２０２に対してアプレットを書き込む場合の動作例を説明する。ここでは例として、図１０に示した第３アプレット領域２２３にアプレットを書き込む場合の例を説明する。 <Operation example related to applet writing>
An operation example when writing an applet from the user terminal 400 to the SIM 202 will be described with reference to FIG. Here, as an example, an example in which an applet is written in the third applet area 223 shown in FIG. 10 will be described.

ユーザ端末７００は、第３アプレット領域鍵を安全に保持している。まず、Ｓ４０１において、ユーザ端末７００は、認証要求をＳＩＭ２０２に送信する。Ｓ４０２において、ＳＩＭ２０２は、認証要求に基づき、ユーザ端末７００に対する認証処理を行う。ここでは、認証に成功したものとする。Ｓ４０３において、ＳＩＭ２０２は認証ＯＫの応答をユーザ端末７００に返す。 User terminal 700 securely holds the third applet domain key. First, in S401, the user terminal 700 transmits an authentication request to the SIM202. In S402, the SIM 202 authenticates the user terminal 700 based on the authentication request. Here, it is assumed that the authentication has succeeded. In S403 , the SIM 202 returns an authentication OK response to the user terminal 700 .

上記の認証処理に関して、一例として、ＩＤ・パスワード方式の認証を行う場合、認証要求には第３アプレット領域鍵としての当該ＩＤとパスワードが含まれる。ＳＩＭ２０２は、第３アプレット領域に格納されている鍵情報（ＩＤ、パスワード）を第３アプレット領域鍵と比較することにより、一致すれば認証ＯＫとする。 Regarding the above-described authentication processing, as an example, when ID/password authentication is performed, the authentication request includes the ID and password as the third applet region key. The SIM 202 compares the key information (ID, password) stored in the third applet area with the third applet area key, and determines that the authentication is OK if they match.

また、一例として、秘密鍵、公開鍵を用いた認証を行う場合、種々の方法で認証処理を行うことが可能であるが、例えば、以下の方法で認証処理を行うことができる。 As an example, when performing authentication using a private key and a public key, authentication processing can be performed by various methods. For example, authentication processing can be performed by the following method.

ユーザ端末７００から認証要求を受信したＳＩＭ２０２は、乱数をユーザ端末７００に返す。ユーザ端末７００は、第３アプレット領域鍵である秘密鍵を用いて乱数を暗号化することで電子署名を生成し、電子署名をＳＩＭ２０２に送信する。ＳＩＭ２０２は、第３アプレット領域に格納してある公開鍵を用いて電子署名を復号し、復号した電子署名が元の乱数と一致すれば認証ＯＫであるとする。 Upon receiving the authentication request from the user terminal 700 , the SIM 202 returns a random number to the user terminal 700 . The user terminal 700 generates an electronic signature by encrypting the random number using the secret key, which is the third applet domain key, and transmits the electronic signature to the SIM 202 . The SIM 202 decrypts the electronic signature using the public key stored in the third applet area, and if the decrypted electronic signature matches the original random number, the authentication is OK.

上記の認証方法は一例に過ぎず、どのような認証方法を用いてもよい。例えば、電子証明書を用いる方法、共通鍵を用いる方法等を使用してもよい。 The authentication method described above is merely an example, and any authentication method may be used. For example, a method using an electronic certificate, a method using a common key, or the like may be used.

また、図１３の例では、ＳＩＭ２０２がユーザ端末７００を認証した後にアプレット送信を行うこととしているが、ＳＩＭ２０２によるユーザ端末７００の認証に加えて、ユーザ端末７００によるＳＩＭ２０２の認証を行ってからアプレット送信を行うこととしてもよい。 In the example of FIG. 13, the SIM 202 authenticates the user terminal 700 before transmitting the applet. may be performed.

図１３のＳ４０４において、ユーザ端末７００はアプレットをＳＩＭ２０２に送信する。ＳＩＭ２０２は、アプレットを受信し、Ｓ４０５において、受信したアプレットを第３アプレット領域に格納（インストール）する。Ｓ４０６において、アプレットの仕様に従って、アプレットが起動し、動作を開始する。 In S404 of FIG. 13, the user terminal 700 transmits the applet to the SIM202. The SIM 202 receives the applet and stores (installs) the received applet in the third applet area in S405. At S406, the applet is activated and begins to operate according to the applet specifications.

本実施の形態におけるアプレットは、実施例１、２で説明した改ざん検知部２０３に相当するアプレットである。なお、アプレットとして、改ざん検知部２０３に相当するアプレット以外のアプレットを使用してもよい。 The applet in this embodiment corresponds to the tampering detection unit 203 described in the first and second embodiments. Note that an applet other than the applet corresponding to the tampering detection unit 203 may be used as the applet.

＜ＳＩＭ１００が搭載された通信装置２００の構成例）
図１４に、ＳＩＭ１００が搭載された通信装置２００の構成の一例を示す。通信装置２００として想定される携帯端末、ＩｏＴ端末、サーバ、各種機械等は、基本的な構成として、図１４に示すように、ＣＰＵとメモリ等を有するコンピュータの構成を備えている。なお、図１４は、機器１００の構成の一例でもある。 <Configuration example of communication device 200 in which SIM 100 is mounted)
FIG. 14 shows an example of the configuration of communication device 200 in which SIM 100 is installed. A mobile terminal, an IoT terminal, a server, various machines, and the like assumed as the communication device 200 have a basic configuration of a computer having a CPU, a memory, and the like, as shown in FIG. 14 . Note that FIG. 14 is also an example of the configuration of the device 100 .

図１４に示す通信装置２００は、それぞれバスＢＳで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、入力装置１００７、出力装置１００８等を有する。また、図示するとおり、ＳＩＭ２０２が接続されている。 The communication device 200 shown in FIG. 14 includes a drive device 1000, an auxiliary storage device 1002, a memory device 1003, a CPU 1004, an interface device 1005, a display device 1006, an input device 1007, an output device 1008, etc., which are interconnected by a bus BS. have Also, as shown, a SIM 202 is connected.

当該通信装置２００での処理を実現するプログラムは、例えば、メモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。 A program for realizing processing in the communication device 200 is provided by a recording medium 1001 such as a memory card, for example. When the recording medium 1001 storing the program is set in the drive device 1000 , the program is installed from the recording medium 1001 to the auxiliary storage device 1002 via the drive device 1000 . However, the program does not necessarily need to be installed from the recording medium 1001, and may be downloaded from another computer via the network. The auxiliary storage device 1002 stores installed programs, as well as necessary files and data.

メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って、通信装置２００に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる通信デバイスである。表示装置１００６はプログラムによるＧＵＩ（ＧｒａｐｈｉｃａｌＵｓｅｒＩｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。出力装置１００８は演算結果を出力する。 The memory device 1003 reads and stores the program from the auxiliary storage device 1002 when a program activation instruction is received. The CPU 1004 implements functions related to the communication device 200 according to programs stored in the memory device 1003 . The interface device 1005 is a communication device used as an interface for connecting to a network. A display device 1006 displays a program-based GUI (Graphical User Interface) or the like. An input device 1007 is composed of a keyboard, a mouse, buttons, a touch panel, or the like, and is used to input various operational instructions. The output device 1008 outputs the calculation result.

図１４の構成において、例えば、ユーザ端末７００からの認証要求は、インタフェース装置１００５により通信装置２００に入力され、ＳＩＭ２０２に送られる。ＳＩＭ２０２による処理結果（認証ＯＫ等）は、インタフェース装置１００５に渡され、インタフェース装置１００５からユーザ端末７００に送信される。また、ユーザ端末７００から送信されたアプレットは、インタフェース装置１００５により通信装置２００に入力され、ＳＩＭ２０２に送られ、ＳＩＭ２０２内でアプレット領域に格納される。 In the configuration of FIG. 14 , for example, an authentication request from the user terminal 700 is input to the communication device 200 by the interface device 1005 and sent to the SIM 202 . A processing result (authentication OK, etc.) by the SIM 202 is passed to the interface device 1005 and transmitted from the interface device 1005 to the user terminal 700 . Also, an applet transmitted from the user terminal 700 is input to the communication device 200 by the interface device 1005 , sent to the SIM 202 , and stored in the applet area within the SIM 202 .

また、実施例１、２で説明したように、アプレット領域上のアプレットにより改ざん検知動作を行う場合には、ＳＩＭ２０２上のＣＰＵで改ざん検知の動作を行って、外部との通信をインタフェース装置１００５を介して行うこととしてもよい。 Further, as described in the first and second embodiments, when the applet on the applet area performs the tampering detection operation, the CPU on the SIM 202 performs the tampering detection operation, and communication with the outside is performed through the interface device 1005. It may be done through

（実施の形態の効果）
以上、説明したように、本実施の形態では、アプレット領域とプロファイル領域とを分離したＳＩＭにおけるアプレット領域に改ざん検知機能を搭載したので、プロファイルの状態に依存せずに改ざん検知機能を稼働させ続けることができる。 (Effect of Embodiment)
As described above, in the present embodiment, the tampering detection function is installed in the applet area of the SIM in which the applet area and the profile area are separated. be able to.

すなわち、プロファイル領域とアプレット領域を切り離して管理することが可能であるため、プロファイルの切り替え（プロファイルのＯＦＦ）が発生してもアプレット領域は稼働し続けることができるので、改ざん検知も稼働し続けることができる。 In other words, since the profile area and the applet area can be managed separately, even if the profile is switched (profile is turned off), the applet area can continue to operate. can be done.

また、本実施の形態のＳＩＭにより、ＳＩＭ発行権を持つ者に限らずに、アプレット領域への個別鍵を持つユーザがアプレット領域にアクセス可能となる。これにより、ユーザは、例えば自分が作成したアプレット（例えば、バージョンアップした改ざん検知アプレット）をＳＩＭ２０２に搭載することができる。 Moreover, the SIM of the present embodiment enables not only the person who has the right to issue the SIM, but also the user who has the individual key to the applet area to access the applet area. This allows the user to install, for example, an applet created by him/herself (for example, an upgraded tampering detection applet) in the SIM 202 .

（実施の形態のまとめ）
本明細書には、少なくとも下記の各項に記載した通信装置、機器、通信システム、及びアプリケーション書き込み方法が記載されている。
（第１項）
ＳＩＭを備える通信装置であって、
前記ＳＩＭは、
モバイル網オペレータの回線を利用するために使用されるプロファイルを格納するためのプロファイル領域と、
改ざん検知のためのアプリケーションを格納するためのアプリケーション領域と、を備え、
前記プロファイル領域と前記アプリケーション領域とが分離されている
通信装置。
（第２項）
前記プロファイル領域に、第１のプロファイルと第２のプロファイルが格納され、
使用可能なプロファイルが前記第１のプロファイルから前記第２のプロファイルに切り替えられる場合において、前記アプリケーションは、前記ＳＩＭ上で継続して動作する
第１項に記載の通信装置。
（第３項）
前記通信装置は、前記アプリケーションにより、攻撃通信をハニーポットへ誘導する
第１項又は第２項に記載の通信装置。
（第４項）
第１項ないし第３項のうちいずれか１項に記載の通信装置と、当該通信装置を接続した非ＩｏＴ機器とを備える通信システム。
（第５項）
ＳＩＭを備える機器であって、
前記ＳＩＭは、
モバイル網オペレータの回線を利用するために使用されるプロファイルを格納するためのプロファイル領域と、
改ざん検知のためのアプリケーションを格納するためのアプリケーション領域と、を備え、
前記プロファイル領域と前記アプリケーション領域とが分離されている
機器。
（第６項）
ユーザ端末と、第１項ないし第４項のうちいずれか１項に記載のＳＩＭを搭載した通信装置とを備えるシステムにおけるアプリケーション書き込み方法であって、
前記ユーザ端末が、前記アプリケーション領域にアクセスするための鍵を用いて前記ＳＩＭにアクセスし、
前記ＳＩＭによる認証に成功した場合に、前記ユーザ端末は、前記アプリケーションを前記ＳＩＭに送信し、
前記ＳＩＭは、前記アプリケーション領域に前記アプリケーションを書き込む
アプリケーション書き込み方法。 (Summary of embodiment)
This specification describes at least a communication device, an apparatus, a communication system, and an application writing method described in each of the following sections.
(Section 1)
A communication device comprising a SIM,
The SIM is
a profile area for storing profiles used to utilize lines of mobile network operators;
an application area for storing an application for tampering detection,
A communication device, wherein the profile area and the application area are separated.
(Section 2)
a first profile and a second profile are stored in the profile area;
2. The communication device of claim 1, wherein the application continues to run on the SIM when available profiles are switched from the first profile to the second profile.
(Section 3)
3. The communication device according to claim 1 or 2, wherein the communication device guides attack communication to a honeypot by the application.
(Section 4)
A communication system comprising: the communication device according to any one of items 1 to 3; and a non-IoT device to which the communication device is connected.
(Section 5)
A device comprising a SIM,
The SIM is
a profile area for storing profiles used to utilize lines of mobile network operators;
an application area for storing an application for tampering detection,
A device wherein the profile area and the application area are separated.
(Section 6)
An application writing method in a system comprising a user terminal and a communication device equipped with the SIM according to any one of items 1 to 4, comprising:
the user terminal accessing the SIM using a key for accessing the application area;
the user terminal transmits the application to the SIM when authentication by the SIM is successful;
The application writing method, wherein the SIM writes the application to the application area.

以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。 Although the present embodiment has been described above, the present invention is not limited to such a specific embodiment, and various modifications and changes can be made within the scope of the gist of the present invention described in the claims. It is possible.

１００機器
１０１機器制御部
１０２通信制御部
１０３ＳＩＭ
１０４改ざん検知部
２００通信装置
２０１通信制御部
２０２ＳＩＭ
２０３改ざん検知部
３００ネットワーク
２１３アプレットＡ
２１４プロファイル１
２１５プロファイル２
２１０アプレット領域
２２１第１アプレット領域
２２２第２アプレット領域
２２３第３アプレット領域
２４１ＩＳＤ－Ｒ
２４２ＩＳＤ－Ｐ
２４３ＥＣＡＳＤ
２２０、９５１、９５２プロファイル領域
２３０認証部
２４０ＩＦ部
２５０ＣＰＵ
２６０入出力部
２７０メモリ
２８０ＯＳ
２８１アプレット実行環境
２８２基本機能
９００管理装置
７００ユーザ端末
１０００ドライブ装置
１００１記録媒体
１００２補助記憶装置
１００３メモリ装置
１００４ＣＰＵ
１００５インタフェース装置
１００６表示装置
１００７入力装置
１００８出力装置
１００９ＳＩＭ 100 device 101 device control unit 102 communication control unit 103 SIM
104 falsification detection unit 200 communication device 201 communication control unit 202 SIM
203 falsification detection unit 300 network 213 applet A
214 Profile 1
215 Profile 2
210 applet area 221 first applet area 222 second applet area 223 third applet area 241 ISD-R
242 ISD-P
243 ECAD
220, 951, 952 Profile area 230 Authentication unit 240 IF unit 250 CPU
260 input/output unit 270 memory 280 OS
281 applet execution environment 282 basic function 900 management device 700 user terminal 1000 drive device 1001 recording medium 1002 auxiliary storage device 1003 memory device 1004 CPU
1005 interface device 1006 display device 1007 input device 1008 output device 1009 SIM

Claims

A communication device comprising a SIM,
The SIM is
a profile area for storing profiles used to utilize lines of mobile network operators;
an application area for storing an application for tampering detection,
A communication device, wherein the profile area and the application area are separated.

a first profile and a second profile are stored in the profile area;
The communication device of claim 1, wherein the application continues to run on the SIM when available profiles are switched from the first profile to the second profile.

The communication device according to claim 1 or 2, wherein the communication device guides attack communication to a honeypot by the application.

A communication system comprising the communication device according to any one of claims 1 to 3, and a non-IoT device to which the communication device is connected.

A device comprising a SIM,
The SIM is
a profile area for storing profiles used to utilize lines of mobile network operators;
an application area for storing an application for tampering detection,
A device wherein the profile area and the application area are separated.

An application writing method in a system comprising a user terminal and a communication device equipped with the SIM according to any one of claims 1 to 4,
the user terminal accessing the SIM using a key for accessing the application area;
the user terminal transmits the application to the SIM when authentication by the SIM is successful;
The application writing method, wherein the SIM writes the application to the application area.