JP2023169781A - 情報処理装置、情報処理方法及びプログラム - Google Patents

Abstract

【課題】システム起動時及びシステム起動後にファイルの完全性及び真正性を検証できる情報処理装置を提供すること。【解決手段】システム起動時に第１のファイルシステムの記憶領域を完全性及び真正性を検証する検証対象領域として設定すると共に、システム起動後に第２のファイルシステムの記憶領域を検証対象領域として設定する手段と、第１のファイルシステムの記憶領域に格納された圧縮ファイル及び認証データを用いて、圧縮ファイルをシステム起動時に確認する手段と、確認に成功した圧縮ファイルを伸長しファイル及び認証データを第２のファイルシステムの記憶領域に展開する手段とを有し、確認する手段は、第２のファイルシステムの記憶領域が検証対象領域として設定された後、第２のファイルシステムの記憶領域に格納されたファイル及び認証データを用いて、ファイルの完全性及び真正性を確認することにより上記課題を解決する。【選択図】図２

Description

本発明は、情報処理装置、情報処理方法及びプログラムに関する。

近年、情報処理装置において、システムを構成するファイル（ファームウェア、ソフトウェア）に対して不正な改竄を検知し、正当なファイルのみ実行できるようにして完全性及び真正性を保証する技術（Ｌｉｎｕｘ（登録商標）‐ＩＭＡなど）が知られている。

Ｌｉｎｕｘ‐ＩＭＡは、予め対象となるファイルに対してハッシュ値（計測値）の期待値や電子署名といった認証データを保管しておき、期待値や電子署名と比較検証することで、完全性及び真正性の確認をファイル単位で行っていた。

完全性及び真正性を検証する検証対象領域と完全性及び真正性を検証しない検証対象外領域とを設定し、検証対象領域で完全性及び真正性を検証した圧縮ファイルを伸長して検証対象外領域に配置し、ファイルの完全性及び真正性を検証するための処理時間を短縮する技術が記載されている（例えば特許文献１参照）。

システム起動時に正当なファイルのみ実行できるようにして完全性及び真正性を保証する技術では、システム起動後にファイルが書き換わったことを検知できれば、システム起動後であってもファイルの完全性・真正性を保証できる。
本発明の実施の形態は、システム起動時及びシステム起動後にファイルの完全性及び真正性を検証できる情報処理装置を提供することを目的とする。

上記した課題を達成するために本願請求項１の情報処理装置は、システム起動時に第１のファイルシステムの記憶領域を完全性及び真正性を検証する検証対象領域として設定すると共に、システム起動後に第２のファイルシステムの記憶領域を前記検証対象領域として設定する検証設定変更手段と、前記第１のファイルシステムの記憶領域に格納されている圧縮ファイル、及び前記圧縮ファイルの認証データを用いて、前記圧縮ファイルの完全性及び真正性をシステム起動時に確認する署名検証手段と、確認に成功した前記圧縮ファイルを伸長し、伸長したファイル、及び前記ファイルの認証データを前記第２のファイルシステムの記憶領域に展開する伸長展開手段と、を有し、前記署名検証手段は、前記検証設定変更手段により前記第２のファイルシステムの記憶領域が前記検証対象領域として設定された後、前記第２のファイルシステムの記憶領域に格納されている前記ファイル、及び前記ファイルの認証データを用いて、前記ファイルの完全性及び真正性を確認することを特徴とする。

本発明の実施の形態によれば、システム起動時及びシステム起動後にファイルの完全性及び真正性を検証できる。

実施形態に係る情報処理装置の一例のハードウェア構成図である。 本実施形態に係る情報処理装置の一例のソフトウェア構成図である。 本実施形態に掛かるシステム更新時の一例の処理イメージを説明する図である。 本実施形態に掛かるシステム起動時及びシステム起動後の一例の処理イメージを説明する図である。 ファイルシステムにより検証対象領域を設定するＩＭＡポリシーファイルの一例の構成図である。 本実施形態に掛かる情報処理装置のシステム起動時及びシステム稼働時の署名検証のモード切替について説明する一例の図である。 本実施形態に掛かるシステム更新時にシステム更新ファイルを作成する処理の一例のシーケンス図である。 本実施形態に掛かるシステム起動時及びシステム稼働時の処理の一例のシーケンス図である。 本実施形態に掛かるシステム起動時及びシステム稼働時の処理の一例のシーケンス図である。 起動アプリの一例のアクティビティ図である。 検証設定変更アプリの一例のアクティビティ図である。 署名検証アプリの一例のアクティビティ図である。 伸長展開アプリの一例のアクティビティ図である。 エラー通知アプリの一例のアクティビティ図である。 本実施形態に掛かる情報処理装置のシステム起動時及びシステム稼働時の署名検証のモード切替について説明する一例の図である。 本実施形態に掛かるシステム起動時及びシステム起動後の一例の処理イメージを説明する図である。 ＵＵＩＤにより検証対象領域を設定するＩＭＡポリシーファイルの一例の構成図である。 ＰＣの一例のハードウェア構成図である。 ＭＦＰの一例のハードウェア構成図である。

以下、添付図面を参照しながら実施形態について説明する。説明の理解を容易にするため、各図面において同一の構成要素に対しては可能な限り同一の符号を付して、重複する説明は省略する。

［第１の実施形態］
＜ハードウェア構成＞
図１は実施形態に係る情報処理装置の一例のハードウェア構成図である。図１の情報処理装置１は、コントローラ２と、外部メモリ３と、システム起動用ストレージ４と、操作部５と、を備える。情報処理装置１は、インターネットなどのネットワーク回線を介してネットワークサーバ６と通信可能に接続されている。

コントローラ２は、情報処理装置１の動作全体を制御する。コントローラ２は、システムを構成するファイル（ファームウェア、ソフトウェアなど）に対して署名検証を行うことで、ファイルの完全性・真正性を保証する。

コントローラ２は、ＣＰＵ(Central Processing Unit)２１、ＲＯＭ(Read Only Memory)２２、及びＲＡＭ(Random Access Memory)２３を有する。ＣＰＵ２１は情報処理装置１全体の動作を制御する。ＲＯＭ２２はＣＰＵ２１やＩＰＬ(Initial Program Loader)等のＣＰＵ２１の駆動に用いられるプログラムを記憶する。ＲＡＭ２３は、ＣＰＵ２１のワークエリアとして使用される。

外部メモリ３は例えばＳＤカード等であり、新しくシステム起動用ストレージ４に書き込むためのシステム更新ファイル（圧縮ファイル）が保存されている。なお、システム更新ファイルはＲＯＭ更新ファイルと呼んでもよい。システム起動用ストレージ４は例えばｅＭＭＣ(embedded Multi Media Card)等である。システム起動用ストレージ４はシステムを構成するファイル（ファームウェア、ソフトウェア）を保存する。操作部５は、入力部と出力部とを有し、入力部からユーザの操作を受け付け、出力部から表示などの出力を行う。

ネットワークサーバ６には、新しくシステム起動用ストレージ４に書き込むためのシステム更新ファイルが保存されている。

＜ソフトウェア構成＞
図２は、本実施形態に係る情報処理装置の一例のソフトウェア構成図である。図２に示すネットワークサーバ６は、システム更新ファイル６０と、更新ファイル作成アプリ６２と、圧縮アプリ６４と、署名作成アプリ６６と、署名検証用秘密鍵６８と、ＯＳ７０とを有する。

ＯＳ７０はネットワークサーバ６の全体の制御を行う。システム更新ファイル６０は新しく情報処理装置１のシステム起動用ストレージ４に書き込むためのシステム更新ファイルである。

署名作成アプリ６６はネットワークサーバ６で実行されることにより署名作成部として機能する。署名作成部は、システム更新ファイルに保存するアプリごとに電子署名（認証データ）を作成する。署名検証用秘密鍵６８はアプリの署名作成に利用する秘密鍵データである。

更新ファイル作成アプリ６２は、ネットワークサーバ６で実行されることにより更新ファイル作成部として機能する。圧縮アプリ６４はネットワークサーバ６で実行されることにより圧縮部として機能する。更新ファイル作成部及び圧縮部は、システム更新ファイルに保存するアプリと、アプリごとの認証データと、を用いて、システム更新ファイル６０を作成する。

図２に示す情報処理装置１は、システム更新ファイル３０と、署名検証設定ファイル３２と、システム更新ファイル用署名３４と、署名検証用秘密鍵３６と、署名検証用公開鍵３８と、署名作成アプリ４０と、起動アプリ４２と、伸長展開アプリ４４と、署名検証アプリ４６と、エラー通知アプリ４８と、「アプリ１」５０と、「アプリ２」５２と、検証設定変更アプリ５４と、ＯＳ５６とを有する。

情報処理装置１のＯＳ５６は、情報処理装置１の全体を制御する。システム更新ファイル３０は、新しくシステム起動用ストレージ４に書き込むためのシステム更新ファイルである。署名検証設定ファイル３２は、完全性及び真正性を検証する検証対象領域が後述のように設定される。システム更新ファイル用署名３４はシステム更新ファイル３０の署名検証に利用する認証データである。署名検証用秘密鍵３６はシステム更新ファイル用署名３４の署名作成時に利用する秘密鍵データである。署名検証用公開鍵３８は署名検証時に利用する秘密鍵データである。署名作成アプリ４０は、情報処理装置１で実行されることにより署名作成部として機能する。署名作成部はシステム更新ファイル３０の認証データを作成する。

起動アプリ４２は情報処理装置１で実行されることにより起動部として機能する。起動部はシステムを構成するファイル（ファームウェア、ソフトウェア）を起動する。例えば起動部は認証データを用いた署名検証に成功した場合、検証対象領域に格納された「アプリ１」５０又は「アプリ２」５２を起動させる。

署名検証アプリ４６は、情報処理装置１で実行されることにより署名検証部として機能する。署名検証部は、システム起動時、システム更新ファイル３０の認証データを用いて署名検証する。また、署名検証部は、システム起動後、システム更新ファイル３０に保存されていた「アプリ１」５０又は「アプリ２」５２を起動する場合に、認証データを用いて署名検証する。

伸長展開アプリ４４は、情報処理装置１で実行されることにより伸長展開部として機能する。署名検証に成功した場合、伸長展開部はシステム更新ファイル３０を伸長し、ＲＡＭ２３上に展開する。

エラー通知アプリ４８は、情報処理装置１で実行されることによりエラー通知部として機能する。エラー通知部は、署名検証部による署名検証が失敗の場合、ユーザにエラーを通知する。検証設定変更アプリ５４は、情報処理装置１で実行されることにより検証設定変更部として機能する。検証設定変更部は、システム起動時に第１のファイルシステムの記憶領域を検証対象領域として設定すると共に、システム起動後に第２のファイルシステムの記憶領域を検証対象領域として設定する。

なお、署名作成アプリ４０及び署名検証アプリ４６は、例えばＬｉｎｕｘ－ＩＭＡにより実現される。情報処理装置１は、例えばＴｒｕｓｔｅｄ Ｂｏｏｔにより、システム起動時に利用するファームウェア（例えば、ＢＩＯＳやブートローダ）に対する改竄検知を行うようにしてもよい。

例えば図２の情報処理装置１は、図１に示したＣＰＵ２１がＲＡＭ２３をワークエリアとして使用して、プログラムに従った処理を実行することで、署名作成部、起動部、伸長展開部、署名検証部、エラー通知部、検証設定変更部、及びＯＳ５６を実現する。

＜実施形態の処理または動作＞
以降、各実施形態の処理または動作について説明する。図３は、本実施形態に掛かるシステム更新時の一例の処理イメージを説明する図である。

ステップＳ１においてネットワークサーバ６はシステム更新する１つ以上のアプリ１００のファイルごとに認証データを作成し、それぞれのファイルのメタデータ領域に認証データを保存する。認証データは、１つ以上のアプリ１００のファイルにハッシュ演算を行い、作成された値を署名検証用秘密鍵６８で暗号化することで作成できる。

ステップＳ２においてネットワークサーバ６はメタデータ領域に認証データを保存したアプリ全体１０２を圧縮することで、一つのシステム更新ファイル６０を作成する。システム更新ファイル６０を作成する処理は、情報処理装置１で行うようにしてもよい。システム更新ファイル６０は、情報処理装置１の外部メモリ３に保存される。

システム（ＲＯＭ）更新時、情報処理装置１は外部メモリ３に保存されたシステム更新ファイル６０を、システム更新ファイル３０としてシステム起動用ストレージ４に保存する処理を行う。ステップＳ３において情報処理装置１はシステム起動用ストレージ４の記憶領域に、例えば「ファイルシステム１」でフォーマットされたパーティション（記憶領域）を作成する。

ステップＳ４において情報処理装置１は「ファイルシステム１」のパーティションにシステム更新ファイル３０を保存する。ステップＳ５において、情報処理装置１はシステム更新ファイル３０の認証データを作成し、システム更新ファイル３０のメタデータ領域に認証データを保存する。なお、認証データは、システム更新ファイル３０にハッシュ演算を行い、作成された値を署名検証用秘密鍵３６で暗号化することで作成できる。

図４は、本実施形態に掛かるシステム起動時及びシステム起動後の一例の処理イメージを説明する図である。

ステップＳ６において、情報処理装置１は「ファイルシステム１」のパーティションを完全性及び真正性を確認する「検証対象領域１」に設定する。Ｌｉｎｕｘ－ＩＭＡでは例えば図５のようなＩＭＡポリシーファイルに検証対象領域のファイルシステムを設定する。図５のＩＭＡポリシーファイルに検証対象領域として設定されたファイルシステムでフォーマットされたパーティションは、検証対象領域のパーティションとなる。図５はファイルシステムにより検証対象領域を設定するＩＭＡポリシーファイルの一例の構成図である。ステップＳ６の処理により、システム更新ファイル３０が保存されているシステム起動用ストレージ４のパーティションは検証対象領域となる。

ステップＳ７において情報処理装置１は検証対象領域のパーティションに保存したシステム更新ファイル３０と、そのシステム更新ファイル３０のメタデータ領域に保存した認証データとで署名検証を行う。具体的に、情報処理装置１はメタデータ領域に保存した認証データを署名検証用公開鍵３８Ｂにより復号した値と、システム更新ファイル３０にハッシュ演算を行い、生成された値と、の比較により署名検証を行う。

署名検証に成功した場合、情報処理装置１はステップＳ８においてシステム更新ファイル１６を伸張し、アプリ全体１０２を取得する。情報処理装置１は、システム起動用ストレージ４の「ファイルシステム２」でフォーマットされたパーティション（ループバックデバイス）にアプリ全体１０２をマウントし、ＲＡＭ２３上に展開する。ループバックデバイスとは、一般的なファイルを、あたかもハードディスクなどのブロック型デバイスであるかのように扱うための機能である。ループバックデバイスでは、イメージファイルをマウントすることで、イメージファイル内にある個別のファイルに通常のファイルと同様な操作を行うことができる。

なお、署名検証に失敗した場合、情報処理装置１はステップＳ９においてシステム更新ファイル３０を不正ファイルとして検知し、ユーザにエラーを通知する。

システム起動後、情報処理装置１はＣＰＵ２１の使用率を監視し、ＣＰＵ２１の使用率が設定した閾値よりも低くなった場合（例えばＣＰＵ２１の使用率が１０％以下になった場合など）にステップＳ１０の処理を行う。

ステップＳ１０において情報処理装置１は「ファイルシステム２」のパーティションを完全性及び真正性を確認する「検証対象領域２」に設定する。Ｌｉｎｕｘ－ＩＭＡでは例えば図５のＩＭＡポリシーファイルに検証対象領域として「ファイルシステム２」を設定する。例えば「ファイルシステム２」でフォーマットされたパーティションは「検証対象領域２」のパーティションとなる。

ステップＳ１０の処理により、アプリ全体１０２が保存されているシステム起動用ストレージ４のパーティションは「検証対象領域２」となる。

ステップＳ１１において情報処理装置１は「検証対象領域２」のパーティションに保存したアプリ全体１０２に含まれる１つ以上のアプリ１００のファイルと、それぞれのファイルのメタデータ領域に保存した認証データとで署名検証を行う。具体的に、情報処理装置１はメタデータ領域に保存した認証データを署名検証用公開鍵３８Ａにより復号した値と、それぞれのファイルにハッシュ演算を行い、生成された値と、の比較により署名検証を行う。

署名検証に成功した場合、情報処理装置１はステップＳ１２の処理を行う。ステップＳ１２において、情報処理装置１は署名検証に成功したファイルに対してファイルアクセスを行う。

署名検証に失敗した場合、情報処理装置１はステップＳ１３の処理を行う。ステップＳ１３において、情報処理装置１は署名検証に失敗したファイルを不正ファイルとして検知し、エラーをユーザに通知する。なお、署名検証に失敗した場合、情報処理装置１はシステムを停止するようにしてもよい。

このように本実施形態ではシステム起動用ストレージ４に保存したファイルの完全性及び真正性をシステム起動時及びシステム起動後に検証できる。また、本実施形態ではシステム起動用ストレージ４の「検証対象領域１」に、アプリ全体１０２を１つにまとめて圧縮したシステム更新ファイル３０を保存している。これにより、本実施形態ではシステム起動時に完全性・真正性を検証するファイルの数（ファイル検証数）を少なくすることができ、システム起動時における処理負荷を軽減できる。

図６は本実施形態に掛かる情報処理装置のシステム起動時及びシステム稼働時の署名検証のモード切替について説明する一例の図である。システム稼働時はシステム起動後を表している。

図６において、情報処理装置１はシステム起動時に「ファイルシステム１」の領域で署名検証を行う。システム稼働時、情報処理装置１はＣＰＵ２１の使用率を監視し、ＣＰＵ２１の使用率が設定した閾値以下になった場合に「ファイルシステム２」の領域で署名検証を行う。

このように、本実施形態に掛かる情報処理装置１は、署名検証するファイルシステムの切り替えを、起動時間に影響しないシステム稼働中（システム起動後）のタイミングで行うようにしている。

図７は、本実施形態に掛かるシステム更新時にシステム更新ファイルを作成する処理の一例のシーケンス図である。

ネットワークサーバ６は更新する１つ以上のアプリ１００のファイルに電子署名（認証
データ）が作成されるまでステップＳ２１の処理を繰り返す。ネットワークサーバ６の更新ファイル作成アプリ６２はステップＳ２１において、更新する１つ以上のアプリ１００用の電子署名を署名作成アプリ６６に作成させる。更新ファイル作成アプリ６２は、それぞれのファイルのメタデータ領域に電子署名を保存する。

ステップＳ２２において、更新ファイル作成アプリ６２は、メタデータ領域に電子署名を保存したアプリ全体１０２を圧縮アプリ６４に圧縮させることで、一つのシステム更新ファイル６０を作成する。ステップＳ２２の処理は「ファイルシステム２」でマウントする為のイメージファイルを作成する処理である。

図８及び図９は、本実施形態に掛かるシステム起動時及びシステム稼働時の処理の一例のシーケンス図である。なお、図８及び図９では検証設定変更アプリ５４、署名検証アプリ４６、及びエラー通知アプリ４８の完全性及び真正性は、確認できているものとする。

ステップＳ３１において、情報処理装置１の検証設定変更アプリ５４は「ファイルシステム１」の署名検証を有効化する。ステップＳ３２において、起動アプリ４２はシステム更新ファイル（圧縮ファイル）の署名検証を署名検証アプリ４６に行わせる。

署名検証に成功した場合、起動アプリ４２はステップＳ３３において、伸長展開アプリ４４にシステム更新ファイル（圧縮ファイル）の伸長展開を要求する。ステップＳ３４において、伸長展開アプリ４４はシステム更新ファイル（圧縮ファイル）を伸長する。

ステップＳ３５において、伸長展開アプリ４４はメタデータ領域に電子署名を保存したアプリ全体１０２を「ファイルシステム２」でフォーマットされたループバックデバイスにマウントする。

署名検証に失敗した場合、起動アプリ４２はシステム更新ファイル（圧縮ファイル）を不正ファイルとして検知し、エラー通知アプリ４８にエラー通知を要求する。エラー通知アプリ４８はユーザにエラーを通知する。

署名検証に成功した場合、起動アプリ４２はループバックデバイスにマウントしたアプリ全体１０２に含まれる「アプリ１」５０及び「アプリ２」５２をステップＳ３７～Ｓ３８において起動する。

システム起動後、検証設定変更アプリ５４はＣＰＵ２１の使用率を監視し、ＣＰＵ２１の使用率が設定した閾値よりも低くなった場合にステップＳ３９の処理を行う。ステップＳ３９において、検証設定変更アプリ５４は「ファイルシステム２」の署名検証を有効化する。

ここでは、ステップＳ４０で「アプリ１」５０にファイルアクセスする要求があったものとして説明する。ステップＳ４１において「アプリ１」５０は、署名検証アプリ４６に対して「アプリ１」５０の署名検証を要求する。署名検証に成功した場合、ステップＳ４２において「アプリ１」５０へのファイルアクセスが可能となる。一方、署名検証に失敗した場合、「アプリ１」５０はエラー通知アプリ４８にエラー通知を要求する。エラー通知アプリ４８はユーザにエラーを通知する。

「アプリ２」５２にファイルアクセスする要求があった場合も、「アプリ１」５０と同様に処理する。図８及び図９に示したシーケンス図によれば、システム稼働中に「ファイルシステム２」でマウントされたファイルの完全性及び真正性を確認できる。

図１０は起動アプリの一例のアクティビティ図である。ステップＳ５０において起動アプリ４２は、システム更新ファイル（圧縮ファイル）の署名検証を署名検証アプリに行わせる。

署名検証に成功した場合、起動アプリ４２はステップＳ５２において、伸長展開アプリ４４にシステム更新ファイル（圧縮ファイル）の伸長展開を行わせる。署名検証に失敗した場合、起動アプリ４２はステップＳ５４において、エラー通知アプリ４８にエラー通知を行わせる。

図１１は検証設定変更アプリの一例のアクティビティ図である。ステップＳ６０において検証設定変更アプリ５４は署名検証設定ファイル３２を書き換え、システム起動時における「ファイルシステム１」の署名検証を有効化する。システム起動後、検証設定変更アプリ５４はＣＰＵ２１の使用率を監視し、ＣＰＵ２１の使用率が設定した閾値以下になるまでステップＳ６０の処理を繰り返す。ＣＰＵ２１の使用率が設定した閾値以下になった場合、検証設定変更アプリ５４はステップＳ６２において署名検証設定ファイル３２を書き換え、システム稼働中における「ファイルシステム２」の署名検証を有効化する。

図１２は署名検証アプリの一例のアクティビティ図である。ステップＳ７０において署名検証アプリ４６はシステム更新ファイルにハッシュ演算を行う。ステップＳ７２において署名検証アプリ４６はシステム更新ファイルのメタデータ領域に保存した電子署名（システム更新用署名）を署名検証用公開鍵３８Ｂで復号する。

ステップＳ７４において署名検証アプリ４６は、システム更新ファイルのハッシュ演算結果と、システム更新用署名を復号した結果とが、一致するか否かを比較検証することにより署名検証を行う。

署名検証に成功した場合、署名検証アプリ４６はステップＳ７６において、成功した結果を起動アプリ４２に送信する。また、署名検証に失敗した場合、署名検証アプリ４６はステップＳ７８において、失敗した結果を起動アプリ４２に送信する。

図１３は伸長展開アプリの一例のアクティビティ図である。ステップＳ８０において伸長展開アプリ４４はシステム更新ファイルを伸長する。ステップＳ８２において伸長展開アプリ４４は、伸長したファイル（アプリ全体１０２）を、ループバックデバイスを利用して「ファイルシステム２」でマウントし、ＲＡＭ２３上に展開する。

図１４はエラー通知アプリの一例のアクティビティ図である。ステップＳ９０においてエラー通知アプリ４８は、操作部５にエラーを通知し、ユーザにエラーを認識させる為のエラー表示を操作部５に行わせる。

図１５は本実施形態に掛かる情報処理装置のシステム起動時及びシステム稼働時の署名検証のモード切替について説明する一例の図である。図１５において情報処理装置１はシステム起動時に「ファイルシステム１」の領域で署名検証を行う。システム稼働時、情報処理装置１はファイルディスクリプタ数を監視する。なお、ファイルディスクリプタ数とはプログラムからファイルを操作する際に、操作対象のファイルを識別する為に割り当てられる番号である。情報処理装置１はファイルディスクリプタ数が設定した閾値以下になった場合に「ファイルシステム２」の領域で署名検証を行う。

このように、本実施形態に掛かる情報処理装置１は、署名検証するファイルシステムの切り替えを、起動時間に影響しないシステム稼働中（システム起動後）のタイミングで行うようにしている。

図１６は本実施形態に掛かるシステム起動時及びシステム起動後の一例の処理イメージを説明する図である。ステップＳ１００～Ｓ１０３の処理は図４のステップＳ６～Ｓ９と同様である。

システム起動後、情報処理装置１はファイルディスクリプタ数を監視する。情報処理装置１はファイルディスクリプタ数が設定した閾値よりも低くなった場合（例えばファイルディスクリプタ数が１００以下になった場合など）にステップＳ１０４の処理を行う。

ステップＳ１０４において情報処理装置１は「ファイルシステム２」のパーティションを完全性及び真正性を確認する「検証対象領域２」に設定する。アプリ全体１０２が保存されているシステム起動用ストレージ４のパーティションは「検証対象領域２」となる。

ステップＳ１０５において情報処理装置１は「検証対象領域２」のパーティションに保存したアプリ全体１０２に含まれる１つ以上のアプリ１００のファイルと、それぞれのファイルのメタデータ領域に保存した認証データとで署名検証を行う。具体的に、情報処理装置１はメタデータ領域に保存した認証データを署名検証用公開鍵３８Ａにより復号した値と、それぞれのファイルにハッシュ演算を行い、生成された値と、の比較により署名検証を行う。

署名検証に成功した場合、情報処理装置１はステップＳ１０６の処理を行う。ステップＳ１０６において、情報処理装置１は署名検証に成功したファイルに対してファイルアクセスを行う。

署名検証に失敗した場合、情報処理装置１はステップＳ１０７の処理を行う。ステップＳ１０７において、情報処理装置１は署名検証に失敗したファイルを不正ファイルとして検知し、エラーをユーザに通知する。なお、署名検証に失敗した場合、情報処理装置１はシステムを停止するようにしてもよい。

このように本実施形態ではシステム起動用ストレージ４に保存したファイルの完全性及び真正性をシステム起動時及びシステム起動後に検証できる。また、本実施形態ではシステム起動用ストレージ４の「検証対象領域１」に、アプリ全体１０２を１つにまとめて圧縮したシステム更新ファイル３０を保存している。これにより、本実施形態ではシステム起動時に完全性・真正性を検証するファイルの数（ファイル検証数）を少なくすることができ、システム起動時における処理負荷を軽減できる。

なお、ここではパーティションをフォーマットするファイルシステムの例を説明しているが、ＲＡＭ２３に直接圧縮・展開するｓｑｕａｓｈｆｓなどのファイルシステムを完全性及び真正性を確認する検証対象領域のファイルシステムに設定する場合も同様の設定が可能である。

［他の実施形態］
図５のＩＭＡポリシーファイルは一例であって、例えば図１７のＩＭＡポリシーファイルのように、パーティション毎に割り振られる一意のＩＤ（例えばＵＵＩＤ）により検証対象領域のパーティションを設定してもよい。

なお、本実施形態に係る情報処理装置１は、システム起動時等にファイルの完全性及び真正性を検証する機能を備えた装置であれば図１に例示した構成に限られない。情報処理装置１は組み込み機器であってもよい。

情報処理装置１はＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ノートＰＣ（Personal Computer）、携帯電話、スマートフォン、タブレット端末、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。

例えば、実施形態に係る情報処理装置１は、図１８又は図１９に示すハードウェア構成を有する、ＰＣ６００又はＭＦＰ９００のいずれかであってもよい。

図１８は、ＰＣの一例のハードウェア構成図である。図１８に示されているように、ＰＣ６００は、コンピュータによって構築されており、ＣＰＵ６０１、ＲＯＭ６０２、ＲＡＭ６０３、ＨＤ６０４、ＨＤＤ(Hard Disk Drive)コントローラ６０５、ディスプレイ６０６、外部機器接続Ｉ／Ｆ(Interface)６０８、ネットワークＩ／Ｆ６０９、データバス６１０、キーボード６１１、ポインティングデバイス６１２、ＤＶＤ－ＲＷ(Digital Versatile Disk Rewritable)ドライブ６１４、及びメディアＩ／Ｆ６１６を備えている。

ＣＰＵ６０１は、ＰＣ６００全体の動作を制御する。ＲＯＭ６０２はＩＰＬ等のＣＰＵ６０１の駆動に用いられるプログラムを記憶する。ＲＡＭ６０３はＣＰＵ６０１のワークエリアとして使用される。ＨＤ６０４はプログラム等の各種データを記憶する。ＨＤＤコントローラ６０５は、ＣＰＵ６０１の制御にしたがってＨＤ６０４に対する各種データの読み出し又は書き込みを制御する。

ディスプレイ６０６は、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示する。外部機器接続Ｉ／Ｆ６０８は、各種の外部機器を接続するためのインタフェースである。この場合の外部機器は、例えば、ＵＳＢ(Universal Serial Bus)メモリやプリンタ等である。ネットワークＩ／Ｆ６０９は、通信ネットワークを利用してデータ通信をするためのインタフェースである。データバス６１０は、図１８のＣＰＵ６０１等の各構成要素を電気的に接続するためのアドレスバスやデータバス等である。

キーボード６１１は、文字、数値、各種指示などの入力のための複数のキーを備えた入力手段の一種である。ポインティングデバイス６１２は、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行う入力手段の一種である。ＤＶＤ－ＲＷドライブ６１４は、着脱可能な記録媒体の一例としてのＤＶＤ－ＲＷ６１３に対する各種データの読み出し又は書き込みを制御する。なお、ＤＶＤ－ＲＷに限らず、ＤＶＤ－Ｒ等であってもよい。メディアＩ／Ｆ６１６は、フラッシュメモリ等の記録メディア６１５に対するデータの読み出し又は書き込み（記憶）を制御する。

図１９は、ＭＦＰの一例のハードウェア構成図である。図１９に示されているようにＭＦＰ(Multifunction Peripheral/Product/Printer)９００は、コントローラ９１０、近距離通信回路９２０、エンジン制御部９３０、操作パネル９４０、ネットワークＩ／Ｆ９５０を備えている。コントローラ９１０は、コンピュータの主要部であるＣＰＵ９０１、システムメモリ（ＭＥＭ－Ｐ）９０２、ノースブリッジ（ＮＢ）９０３、サウスブリッジ（ＳＢ）９０４、ＡＳＩＣ(Application Specific Integrated Circuit)９０６、記憶部であるローカルメモリ（ＭＥＭ－Ｃ）９０７、ＨＤＤコントローラ９０８、及び、記憶部であるＨＤ９０９を有し、ＮＢ９０３とＡＳＩＣ９０６との間をＡＧＰ(Accelerated Graphics Port)バス９２１で接続した構成となっている。

ＣＰＵ９０１はＭＦＰ９の全体制御を行う制御部である。ＮＢ９０３は、ＣＰＵ９０１と、ＭＥＭ－Ｐ９０２、ＳＢ９０４、及びＡＧＰバス９２１とを接続するためのブリッジであり、ＭＥＭ－Ｐ９０２に対する読み書きなどを制御するメモリコントローラと、ＰＣＩ(Peripheral Component Interconnect)マスタ及びＡＧＰターゲットとを有する。

ＭＥＭ－Ｐ９０２は、コントローラ９１０の各機能を実現させるプログラムやデータの格納用メモリであるＲＯＭ９０２ａ、プログラムやデータの展開、及びメモリ印刷時の描画用メモリなどとして用いるＲＡＭ９０２ｂとからなる。なお、ＲＡＭ９０２ｂに記憶されているプログラムはインストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよい。ＳＢ９０４はＮＢ９０３とＰＣＩデバイス及び周辺デバイスとを接続するためのブリッジである。ＡＳＩＣ９０６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ(Integrated Circuit)であり、ＡＧＰバス９２１、ＰＣＩバス９２２、ＨＤＤ９０８およびＭＥＭ－Ｃ９０７をそれぞれ接続するブリッジの役割を有する。

ＡＳＩＣ９０６は、ＰＣＩターゲットおよびＡＧＰマスタ、ＡＳＩＣ９０６の中核をなすアービタ（ＡＲＢ）、ＭＥＭ－Ｃ９０７を制御するメモリコントローラ、ハードウェアロジックなどにより画像データの回転などを行う複数のＤＭＡＣ(Direct Memory Access Controller)、並びに、スキャナ部９３１及びプリンタ部９３２との間でＰＣＩバス９２２を介したデータ転送を行うＰＣＩユニットとからなる。なお、ＡＳＩＣ９０６には、ＵＳＢ(Universal Serial Bus)のインタフェースや、ＩＥＥＥ１３９４(Institute of Electrical and Electronics Engineers 1394）のインタフェースを接続するようにしてもよい。

ＭＥＭ－Ｃ９０７は、コピー用画像バッファ及び符号バッファとして用いるローカルメモリである。ＨＤ９０９は、画像データの蓄積、印刷時に用いるフォントデータの蓄積、フォームの蓄積を行うためのストレージである。ＨＤ９０９は、ＣＰＵ９０１の制御にしたがってＨＤ９０９に対するデータの読出又は書込を制御する。ＡＧＰバス９２１は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレータカード用のバスインタフェースであり、ＭＥＭ－Ｐ９０２に高スループットで直接アクセスすることにより、グラフィックスアクセラレータカードを高速にすることができる。

また、近距離通信回路９２０には、近距離通信回路９２０ａが備わっている。近距離通信回路９２０は、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の通信回路である。

更に、エンジン制御部９３０は、スキャナ部９３１及びプリンタ部９３２によって構成されている。また、操作パネル９４０は、現在の設定値や選択画面等を表示させ、操作者からの入力を受け付けるタッチパネル等のパネル表示部９４０ａ、並びに、濃度の設定条件などの画像形成に関する条件の設定値を受け付けるテンキー及びコピー開始指示を受け付けるスタートキー等からなる操作パネル９４０ｂを備えている。コントローラ９１０はＭＦＰ９全体の制御を行い、例えば、描画、通信、操作パネル９４０からの入力等を制御する。スキャナ部９３１又はプリンタ部９３２には、誤差拡散やガンマ変換などの画像処理部分が含まれている。

なお、ＭＦＰ９００は、操作パネル９４０のアプリケーション切り替えキーにより、ドキュメントボックス機能、コピー機能、プリンタ機能、およびファクシミリ機能を順次に切り替えて選択することが可能となる。ＭＦＰ９００はドキュメントボックス機能の選択時にドキュメントボックスモードとなり、コピー機能の選択時にコピーモードとなり、プリンタ機能の選択時にプリンタモードとなり、ファクシミリモードの選択時にファクシミリモードとなる。

また、ネットワークＩ／Ｆ９５０は、通信ネットワークを利用してデータ通信をするためのインタフェースである。近距離通信回路９２０及びネットワークＩ／Ｆ９５０は、ＰＣＩバス９２２を介して、ＡＳＩＣ９０６に電気的に接続されている。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。なお、本実施形態で説明した情報処理装置１は一例であって、用途や目的に応じて様々な構成例があることは言うまでもない。

上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたＡＳＩＣ（Application Specific Integrated Circuit）、ＤＳＰ（digital signal processor）、ＦＰＧＡ（field programmable gate array）や従来の回路モジュール等のデバイスを含むものとする。

実施例に記載された装置群は、本明細書に開示された実施形態を実施するための複数のコンピューティング環境のうちの1つを示すものにすぎない。

本発明の態様は、例えば、以下の通りである。
＜１＞
システム起動時に第１のファイルシステムの記憶領域を完全性及び真正性を検証する検証対象領域として設定すると共に、システム起動後に第２のファイルシステムの記憶領域を前記検証対象領域として設定する検証設定変更手段と、
前記第１のファイルシステムの記憶領域に格納されている圧縮ファイル、及び前記圧縮ファイルの認証データを用いて、前記圧縮ファイルの完全性及び真正性をシステム起動時に確認する署名検証手段と、
確認に成功した前記圧縮ファイルを伸長し、伸長したファイル、及び前記ファイルの認証データを前記第２のファイルシステムの記憶領域に展開する伸長展開手段と、
を有し、
前記署名検証手段は、前記検証設定変更手段により前記第２のファイルシステムの記憶領域が前記検証対象領域として設定された後、前記第２のファイルシステムの記憶領域に格納されている前記ファイル、及び前記ファイルの認証データを用いて、前記ファイルの完全性及び真正性を確認する
ことを特徴とする情報処理装置。
＜２＞
前記署名検証手段による確認が失敗の場合にエラーを通知するエラー通知手段、
を更に有する前記＜１＞記載の情報処理装置。
＜３＞
検証設定変更手段は、システムの起動後、ＣＰＵの使用率が設定した閾値よりも小さくなった場合に、第２のファイルシステムの記憶領域を前記検証対象領域として設定する
前記＜１＞又は＜２＞記載の情報処理装置。
＜４＞
検証設定変更手段は、システムの起動後、ファイルディスクリプタ数が設定した閾値よりも小さくなった場合に、第２のファイルシステムの記憶領域を前記検証対象領域として設定する
前記＜１＞又は＜２＞記載の情報処理装置。
＜５＞
前記署名検証手段は、前記検証設定変更手段により前記第２のファイルシステムの記憶領域が前記検証対象領域として設定された後、前記第２のファイルシステムの記憶領域に格納されている前記ファイルへのファイルアクセスがあった場合に、ファイルアクセスのあった前記ファイルを確認する
前記＜１＞乃至＜４＞の何れか一項に記載の情報処理装置。
＜６＞
情報処理装置が、
システム起動時に第１のファイルシステムの記憶領域を完全性及び真正性を検証する検証対象領域として設定すると共に、システム起動後に第２のファイルシステムの記憶領域を前記検証対象領域として設定する検証設定変更ステップと、
前記第１のファイルシステムの記憶領域に格納されている圧縮ファイル、及び前記圧縮ファイルの認証データを用いて、前記圧縮ファイルの完全性及び真正性をシステム起動時に確認する署名検証ステップと、
確認に成功した前記圧縮ファイルを伸長し、伸長したファイル、及び前記ファイルの認証データを前記第２のファイルシステムの記憶領域に展開する伸長展開ステップと、
を実行し、
前記署名検証ステップは、前記検証設定変更ステップで前記第２のファイルシステムの記憶領域が前記検証対象領域として設定された後、前記第２のファイルシステムの記憶領域に格納されている前記ファイル、及び前記ファイルの認証データを用いて、前記ファイルの完全性及び真正性を確認する
ことを特徴とする情報処理方法。
＜７＞
情報処理装置に、
システム起動時に第１のファイルシステムの記憶領域を完全性及び真正性を検証する検証対象領域として設定すると共に、システム起動後に第２のファイルシステムの記憶領域を前記検証対象領域として設定する検証設定変更手順、
前記第１のファイルシステムの記憶領域に格納されている圧縮ファイル、及び前記圧縮ファイルの認証データを用いて、前記圧縮ファイルの完全性及び真正性をシステム起動時に確認する署名検証手順、
確認に成功した前記圧縮ファイルを伸長し、伸長したファイル、及び前記ファイルの認証データを前記第２のファイルシステムの記憶領域に展開する伸長展開手順、
を実行させ、
前記署名検証手順は、前記検証設定変更手順で前記第２のファイルシステムの記憶領域が前記検証対象領域として設定された後、前記第２のファイルシステムの記憶領域に格納されている前記ファイル、及び前記ファイルの認証データを用いて、前記ファイルの完全性及び真正性を確認する
ことを特徴とするプログラム。

１ 情報処理装置
２ コントローラ
３ 外部メモリ
４ システム起動用ストレージ
５ 操作部
６ ネットワークサーバ
２１ ＣＰＵ(Central Processing Unit)
２２ ＲＯＭ(Read Only Memory)
２３ ＲＡＭ(Random Access Memory)
４０ 署名作成アプリ
４２ 起動アプリ
４４ 伸長展開アプリ
４６ 署名検証アプリ
４８ エラー通知アプリ
５４ 検証設定変更アプリ

特開２０２１－１７７５９３号公報

Claims (7)

1. システム起動時に第１のファイルシステムの記憶領域を完全性及び真正性を検証する検証対象領域として設定すると共に、システム起動後に第２のファイルシステムの記憶領域を前記検証対象領域として設定する検証設定変更手段と、
   前記第１のファイルシステムの記憶領域に格納されている圧縮ファイル、及び前記圧縮ファイルの認証データを用いて、前記圧縮ファイルの完全性及び真正性をシステム起動時に確認する署名検証手段と、
   確認に成功した前記圧縮ファイルを伸長し、伸長したファイル、及び前記ファイルの認証データを前記第２のファイルシステムの記憶領域に展開する伸長展開手段と、
   を有し、
   前記署名検証手段は、前記検証設定変更手段により前記第２のファイルシステムの記憶領域が前記検証対象領域として設定された後、前記第２のファイルシステムの記憶領域に格納されている前記ファイル、及び前記ファイルの認証データを用いて、前記ファイルの完全性及び真正性を確認する
   ことを特徴とする情報処理装置。
2. 前記署名検証手段による確認が失敗の場合にエラーを通知するエラー通知手段、
   を更に有する請求項１記載の情報処理装置。
3. 検証設定変更手段は、システムの起動後、ＣＰＵの使用率が設定した閾値よりも小さくなった場合に、第２のファイルシステムの記憶領域を前記検証対象領域として設定する
   請求項１又は２記載の情報処理装置。
4. 検証設定変更手段は、システムの起動後、ファイルディスクリプタ数が設定した閾値よりも小さくなった場合に、第２のファイルシステムの記憶領域を前記検証対象領域として設定する
   請求項１又は２記載の情報処理装置。
5. 前記署名検証手段は、前記検証設定変更手段により前記第２のファイルシステムの記憶領域が前記検証対象領域として設定された後、前記第２のファイルシステムの記憶領域に格納されている前記ファイルへのファイルアクセスがあった場合に、ファイルアクセスのあった前記ファイルを確認する
   請求項１又は２記載の情報処理装置。
6. 情報処理装置が、
   システム起動時に第１のファイルシステムの記憶領域を完全性及び真正性を検証する検証対象領域として設定すると共に、システム起動後に第２のファイルシステムの記憶領域を前記検証対象領域として設定する検証設定変更ステップと、
   前記第１のファイルシステムの記憶領域に格納されている圧縮ファイル、及び前記圧縮ファイルの認証データを用いて、前記圧縮ファイルの完全性及び真正性をシステム起動時に確認する署名検証ステップと、
   確認に成功した前記圧縮ファイルを伸長し、伸長したファイル、及び前記ファイルの認証データを前記第２のファイルシステムの記憶領域に展開する伸長展開ステップと、
   を実行し、
   前記署名検証ステップは、前記検証設定変更ステップで前記第２のファイルシステムの記憶領域が前記検証対象領域として設定された後、前記第２のファイルシステムの記憶領域に格納されている前記ファイル、及び前記ファイルの認証データを用いて、前記ファイルの完全性及び真正性を確認する
   ことを特徴とする情報処理方法。
7. 情報処理装置に、
   システム起動時に第１のファイルシステムの記憶領域を完全性及び真正性を検証する検証対象領域として設定すると共に、システム起動後に第２のファイルシステムの記憶領域を前記検証対象領域として設定する検証設定変更手順、
   前記第１のファイルシステムの記憶領域に格納されている圧縮ファイル、及び前記圧縮ファイルの認証データを用いて、前記圧縮ファイルの完全性及び真正性をシステム起動時に確認する署名検証手順、
   確認に成功した前記圧縮ファイルを伸長し、伸長したファイル、及び前記ファイルの認証データを前記第２のファイルシステムの記憶領域に展開する伸長展開手順、
   を実行させ、
   前記署名検証手順は、前記検証設定変更手順で前記第２のファイルシステムの記憶領域が前記検証対象領域として設定された後、前記第２のファイルシステムの記憶領域に格納されている前記ファイル、及び前記ファイルの認証データを用いて、前記ファイルの完全性及び真正性を確認する
   ことを特徴とするプログラム。

Images