JP4116024B2 - ペリフェラルの使用管理方法、電子システム及びその構成装置 - Google Patents

Description

本発明は、ホスト装置等のコンピュータに使用されるディスク、ディスクドライブ装置その他のペリフェラル（peripheral）の使用管理方法およびこの方法の実施に適した電子システムに関する。

コンピュータのプロセッサは、デジタルデータ等の電子情報を扱う。電子情報は、コピー・改変が容易である一方で、その内容が劣化しないという特性を有する。また、それを記録ないし伝達する媒体の種類に依存せずに流通させることができるという特性も有する。

このような特性は、電子情報に固有の利点であるが、同時に、問題もある。すなわち、一旦、コピーが作成されてしまうと、そのコピーがインターネットなどを通じて配信され不正利用が行われてしまうという問題がある。

それ故、電子情報のコピー管理技術や電子情報へのアクセス管理技術などについて様々な開発・提案が行われている。

しかしながら、前述のコピー管理技術やアクセス管理技術をハードウェア的・ソフトウェア的に回避してしまうといった問題は、後を絶たない。例えば、電子情報が記録されたディスク媒体がディスクドライブ装置を介してホスト装置に接続される電子システムにおいて、コピー管理技術またはアクセス管理技術が回避されることにより、ディスク媒体の入れ替え、ディスク媒体の記録情報のコピー、改竄などが不正に行われてしまう場合があった。

本発明は、このような問題を解消して、ペリフェラルの使用権限を適切に管理する新たな技術を提供することを目的とする。

上記の課題を解決するため、本発明は、ペリフェラルの使用管理方法、電子システム及びその構成装置を提供する。
本発明のペリフェラルの使用管理方法は、ホスト装置が、所定のペリフェラルに許容される使用内容を定めたポリシー情報と認証用のキー情報とを当該ペリフェラル宛に送信するステップと、前記ホスト装置が、自装置上で動くプログラムに、前記ペリフェラルに送信したキー情報と実質的に同じ内容の固有情報を読み取らせるための処理を行うステップと、前記ペリフェラルが、前記固有情報を伴って自己にアクセスしてきた前記プログラムが正当なものかどうかを当該固有情報と前記ホスト装置から受信したキー情報とを用いて認証し、正当と判定したときに、当該プログラムに対して前記ホスト装置から受信したポリシー情報に従う使用を許容するステップとを含む。これにより、プログラムからのペリフェラルの使用をペリフェラル側で管理・制限することが可能となる。

上記の使用管理方法における実施の一態様では、前記ホスト装置は、前記プログラムの認証を行い、認証の結果、正当と判定された場合に限り当該プログラムを起動し、そのプログラムに対して前記固有情報を読み取らせるための処理を行う。これにより、認証されたプログラムのみにペリフェラルへのアクセスを許容することができる。

上記の使用管理方法の他の実施の態様では、前記ホスト装置は、前記ポリシー情報を、電子署名が付された電子証明書として前記ペリフェラル宛に送信する。他方、前記ペリフェラルは、前記プログラムを認証する前に、前記ホスト装置から受信した電子証明書に付された電子署名が正当でない場合には当該電子証明書を破棄する。これにより、ポリシー情報を改竄したり、ポリシー情報、電子証明書のをねつ造してペリフェラルの使用権限を得ることを防ぐことができる。

上記のペリフェラルの例として、制御手段と、前記プログラムが読み取り可能な電子情報を記録したディスク媒体の装着機構とを有するディスクドライブ装置がある。
ペリフェラルがこのようなディスクドライブ装置の場合、前記ポリシー情報は、前記装着機構に装着して使用可能なディスク媒体の種類、前記制御手段において識別可能な前記電子情報の有効期間または使用回数の少なくとも一つを前記使用内容として含むようにする。これにより、例えば、不適当なディスク媒体の入れ替えなどを防ぐことができる。

上記の使用管理方法において、ペリフェラルの使用管理とプログラムの実行とを別処理にして効率化を図る観点からは、前記ホスト装置は、前記プログラムの動作環境をセキュアに構築するとともに、このプログラムの動作環境とは独立した動作環境下で前記送信および前記処理を行うようにする。「セキュアに構築する」とは、セキュリティ手段を伴って構築する」の意である。

ある実施の態様では、ホスト装置からの前記ポリシー情報の送信に先立ち、当該ホスト装置とペリフェラルとの間で相互認証を行う。相互認証は、例えばスーパーバイザモードで、ホスト装置とペリフェラルのそれぞれに固有のハードウェアキーなどを用いて行われる。これにより、不正に抜き取られたポリシー情報をペリフェラルに取り込ませるといった不正な形態を防ぐことができる。

本発明の電子システムは、ホスト装置と所定のペリフェラルとを通信路で接続してなる電子システムであって、前記ホスト装置は、それぞれ独立して動作する第１制御手段と第１セキュリティ手段とを備えており、前記ペリフェラルは、それぞれ独立して動作する第２制御手段と第２セキュリティ手段とを備えている。
前記第１制御手段は、オペレーティングシステム（Operating System、以下「ＯＳ」と記す）及び当該ＯＳ上で動くプログラムを実行するものであり、前記第１セキュリティ手段は、前記ペリフェラルに許容される使用内容を定めたポリシー情報と認証用のキー情報とを当該ペリフェラル宛に送信するとともに、前記プログラムに、前記ペリフェラルに送信したキー情報と実質的に同じ内容の固有情報を読み取らせるための処理を行うものである。
前記第２制御手段は、前記ペリフェラルに許容される動作を制御するものであり、前記第２セキュリティ手段は、前記プログラムが前記固有情報を伴って自己にアクセスしてきたときに当該プログラムが正当なものかどうかを当該固有情報と前記第１セキュリティ手段から受信したキー情報とを用いて認証し、正当と判定したときに、当該プログラムに対して前記第１セキュリティ手段から受信したポリシー情報に従う使用態様を前記第２制御手段に伝えるものである。
このように構成される電子システムでは、ペリフェラルの側で、ポリシー情報に従う内容のみを許容することができる。

前記ホスト装置は、例えば、前記ＯＳ及び前記プログラムを暗号化した状態で格納する格納手段と、前記ＯＳ及び前記プログラムを展開するためのプログラムメモリとをさらに備えており、前記第１セキュリティ手段は、前記格納手段に格納された前記ＯＳ及び前記プログラムを所定の条件下で復号するとともに、復号した前記ＯＳ及び前記プログラムを前記プログラムメモリに展開し、前記第１制御手段は、前記プログラムメモリに展開された前記ＯＳ及び前記プログラムを実行する。
これにより、ＯＳおよびプログラムを暗号化して格納しておくことにより、復号手段を持たないものからのアクセスによる不正動作を防止することができる。

前記プログラムは電子署名がなされた状態で前記格納手段に格納されており、前記第１セキュリティ手段は、復号された前記プログラムを前記プログラムメモリに展開した後、前記電子署名の正当性を検証し、正当な電子署名でなかった場合には前記プログラムメモリに展開された前記プログラムを実行不能にする。正当な電子署名でなければプログラムが動作しないので、セキュリティを高めることができる。

前記第１セキュリティ手段は、前記ポリシー情報を電子署名が付された電子証明書の形態で前記第２セキュリティ手段に送信するものであり、前記第２セキュリティ手段は、前記電子証明書を受信した後、前記電子署名の正当性を検証し、正当な前記電子署名が正当であった場合にのみ前記ポリシー情報に従う使用態様を前記第２制御手段に伝えるものである。

本発明の電子システムにおいて、例えば、前記第１制御手段と前記第１セキュリティ手段は、互いに独立して動作するプロセッサを備えており、前記第２制御手段と前記第２セキュリティ手段は、互いに独立して動作するプロセッサを備えている。このように、セキュリティのため処理とそれ以外の処理とをハードウェア的に分離することにより、ペリフェラルへのアクセス管理をソフトウェア的な手段で回避することをより困難なものとすることができる。

前記第１セキュリティ手段を、前記ホスト装置の立ち上げ時の初期制御および前記ペリフェラルへの初期化の指示を含むブート処理を行うようにし、前記第２セキュリティ手段は、前記ペリフェラルの立ち上げ時の初期制御を行うようにすることもできる。前記第１セキュリティ手段は、また、前記ブート処理後に、前記第２セキュリティ手段との間でハードウェアキーを用いた相互認証を行うようにすることもできる。

本発明は、所定のペリフェラルが接続可能なホスト装置を提供する。
このホスト装置は、それぞれ独立して動作する第１制御手段と第１セキュリティ手段とを備えており、前記第１制御手段は、ＯＳ及び当該ＯＳ上で動くプログラムを実行するものであり、前記第１セキュリティ手段は、前記ペリフェラルに許容される使用内容を定めたポリシー情報と認証用のキー情報とを当該ペリフェラル宛に送信するとともに、前記プログラムに、前記ペリフェラルに送信したキー情報と実質的に同じ内容の固有情報を読み取らせるための処理を行うものである。
前記ペリフェラルは、前記プログラムが前記固有情報を伴ってアクセスしてきたときに当該プログラムが正当なものかどうかを当該固有情報と前記ホスト装置から受信したキー情報とを用いて認証し、正当と判定したときに、当該プログラムに対して前記ホスト装置から受信したポリシー情報に従う使用態様での動作を許容させるものである。

本発明は、ホスト装置に接続され、前記ホスト装置と共に電子システムを構成するペリフェラルを提供する。このペリフェラルは、それぞれ独立して動作する第２制御手段と第２セキュリティ手段とを備えている。
前記ホスト装置は、ＯＳ及び当該ＯＳ上で動くプログラムを実行するとともに、前記ペリフェラルに許容される使用内容を定めたポリシー情報と認証用のキー情報とを当該ペリフェラル宛に送信するとともに、前記プログラムに、前記ペリフェラルに送信したキー情報と実質的に同じ内容の固有情報を読み取らせるための処理を行うものである。
前記第２制御手段は、前記ペリフェラルに許容される動作を制御するものであり、前記第２セキュリティ手段は、前記プログラムが前記固有情報を伴って自己にアクセスしてきたときに当該プログラムが正当なものかどうかを当該固有情報と前記ホスト装置から受信したキー情報とを用いて認証し、正当と判定したときに、当該プログラムに対して前記ホスト装置から受信したポリシー情報に従う使用態様を前記第２制御手段に伝えるものである。

本発明によれば、適切なポリシー情報をホスト装置側からペリフェラルへ与えることにより、ホスト装置において動作するプログラムによるペリフェラルの使用をペリフェラル側で制限することができる。

図１は、本発明を適用した電子システムの実施の一形態を示す構成図である。この実施形態の電子システムは、例えば汎用コンピュータのようなホスト装置１００と、ペリフェラルの一例となる光ディスクドライブ２００とを含んで構成される。

ホスト装置１００は、通常処理用プロセッサ１１０、ホスト側セキュリティモジュール１２０及びプログラムカウンタ１３０を有するホスト側プロセッサユニット１４０と、ＯＳおよびアプリケーションプログラムを暗号化し且つ電子署名を付した状態で格納するストレージ１５０と、ＯＳおよびアプリケーションプログラムの展開先となるメインメモリ１６０とを備えている。

通常処理用プロセッサ１１０は、ＯＳおよびこのＯＳ上で動くアプリケーションプログラムを実行するプロセッサである。
ホスト側セキュリティモジュール１２０は、ホスト装置１００側におけるセキュリティ処理を実行するものである。本実施形態における通常処理用プロセッサ１１０は、ホスト側セキュリティモジュール１２０内にある如何なる情報にもアクセスすることはできない。ストレージ１５０は、例えばハードディスクドライブなどからなり、メインメモリ１６０は、例えばＤＲＡＭからなる。

以上の説明から容易に理解されるように、ホスト装置１００内におけるホスト側プロセッサユニット１４０、ストレージ１５０及びメインメモリ１６０の接続形態は、図１に示される構成のものに限られない。また、図１では、メモリコントローラやＩ／Ｏなどが示されていないが、これらが適切な場所に設けられた形態を排除する意図ではない。

ホスト側セキュリティモジュール１２０は、通常処理用プロセッサ１１０とは別個独立したセキュアプロセッサ、セキュアＲＯＭ、セキュアＲＡＭ、暗号化・復号モジュール、ハードウェアキーを含んで構成される。「セキュア」という用語はセキュリティ対策が施されているという意味で使用されている。
セキュアＲＯＭには、ＩＰＬ（Initial Program Loader）およびホスト装置１００側のセキュリティ処理用プログラムが格納されている。このセキュアＲＯＭに格納されたプログラムは、セキュアプロセッサのみによって実行することができる。セキュアＲＡＭは、セキュリティ処理用プログラムを実行したときの一時記憶手段として機能する。
暗号化・復号化モジュールは、セキュアＲＡＭおよびセキュアＲＯＭ上の外部からの内容閲覧を制限するための暗号化処理、暗号化された状態でストレージ１５０に格納されているＯＳまたはアプリケーションプログラムを復号化する処理、署名および署名検証の処理等を実行する。ハードウェアキーは、ホスト装置１００固有のものである。
このようなホスト側セキュリティモジュール１２０は、ＯＳのセキュリティ機能を拡張する。ホスト側セキュリティモジュール１２０が機能している際、ＯＳはセキュア環境下、すなわちセキュリティ対策が講じられた動作環境のもとで処理を行うことができる。

本実施形態における光ディスクドライブ２００は、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＢＤ（Blu-Ray Disck）など、複数種のディスクメディアに対応している。光ディスクドライブ２００は、光ピックアップやアクチュエータなどの光ディスクドライブ機構２１０と、ディスクドライブ側プロセッサユニット２５０とを備えている。ディスクドライブ側プロセッサユニット２５０は、光ディスクドライブ機構２１０を制御する機構制御用プロセッサ２２０、光ディスクドライブ側セキュリティモジュール２３０、光ディスクドライブ２００に装着されたディスクメディアの種別を判別するディスク種別判別部２４０を搭載している。

光ディスクドライブ側セキュリティモジュール２３０は、光ディスクドライブ２００側におけるセキュリティ処理を実行するもので、ホスト側セキュリティモジュールとほぼ同じ構成を備えている。
すなわち、光ディスクドライブ側セキュリティモジュール２３０は、機構制御用プロセッサ２３０とは別個独立したセキュアプロセッサ、光ディスクドライブ２００側におけるセキュリティ処理用プログラムを格納したセキュアＲＯＭ、セキュアＲＡＭ、暗号化・復号モジュール、光ディスクドライブ固有のハードウェアキーを含んで構成される。

［光ディスクドライブの使用管理方法］
以上のように構成される電子システムにおけるペリフェラルの使用管理方法を説明する。ここでは、ホスト装置１００で動作するアプリケーションプログラムが、光ディスクドライブ２００に装着されたディスクメディアにアクセスする場合のリソース管理の例を示す。

図２は、電子システムにおけるリソース管理の手順を示している。
図２において、ホスト装置１００に電源が投入されると、ホスト装置１００のセキュアプロセッサは、セキュアＲＯＭに格納されたＩＰＬに従って、ブート処理を行う（ステップＳ１）。より具体的に説明すると、セキュアプロセッサは、光ディスクドライブ２００に対して初期化指示を行うと共に、ストレージ１５０に格納されているＯＳを復号してメインメモリ１６０上に展開する。

次いで、セキュアプロセッサは、セキュアＲＯＭに格納されたプログラムに従って、メインメモリ１６０上に展開されたＯＳに付されている電子署名の正当性を検証する。検証の結果、改竄が認められれば、セキュアプロセッサは、その旨をホスト装置１００のユーザに対して通知する。一方、検証の結果、署名が正当と判定された場合、セキュアプロセッサは、プログラムカウンタ１３０に格納されているＯＳのメインメモリ１６０上におけるアドレスを通常処理用プロセッサ１１０に渡す。
このようにして、通常処理用プロセッサ１１０は、ＯＳの実行権限を得る。但し、セキュア環境下にあるＯＳの処理は、引き続き、セキュアプロセッサにより実行される。

ホスト装置１００のセキュアプロセッサから初期化指示を受けた光ディスクドライブ２００のセキュアプロセッサは、光ディスクドライブ２００の初期化処理を行う。次いで、ホスト装置１００のセキュアプロセッサと光ディスクドライブ２００のセキュアプロセッサは、それぞれのセキュアＲＯＭに格納されたセキュリティ用プログラムに従い、スーパバイザモードで相互認証を行う（ステップＳ２）。相互認証は、ホスト側セキュリティモジュール１２０及び光ディスクドライブ側セキュリティモジュール２３０に含まれるハードウェアキーを用いて行われる。

続いて、ホスト装置１００のセキュアプロセッサは、ユーザＫｅｙとポリシー情報とを対応付けて組み込んでなるユーザ証明書を光ディスクドライブ２００に対して送信する（ステップＳ３）。好ましくは、ユーザ証明書の抜き取り防止のため、スーパバイザ認証で生成したセッションキーでユーザ証明書を暗号化する。ここにいうユーザはアプリケーションプログラムであり、ユーザＫｅｙはアプリケーションプログラムの識別情報である。これはアプリケーションプログラムの提供者によりＯＳに登録される。ホスト装置１００へのアプリケーションプログラムのインストール時に、自動的にＯＳに登録されるようにしてもよい。

本実施形態におけるポリシー情報は、ＯＳによって認証されたアプリケーションプログラム、例えば認証によりユーザＫｅｙが付与されたアプリケーションプログラムに許容される光ディスクドライブ１００およびそれに装着されるディスクメディアの使用態様を規定したものである。本例では、ポリシー情報として、使用可能なディスクメディアの種別（例えば、光ディスク／ＤＶＤ／ＣＤなど）、ディスクの使用有効期間、ディスクの使用回数などを含んでいる。ポリシー情報は、ストレージ１５０に、署名付で暗号化されて格納されている。

セキュア環境下にあるＯＳは、その正当性を受信側で検証するための電子証明書であるユーザ証明書に電子署名を付し、このユーザ証明書を光ディスクドライブ２００に送信する。

このユーザ証明書を受信すると、光ディスクドライブ２００側のセキュアプロセッサは、セキュアＲＯＭに格納されたプログラムに従い、電子署名の正当性を検証する（ステップＳ４）。電子署名が正当であると認められた場合、ユーザ証明書は、正当な機関から発行されたものであることが証明されたことになる。この場合、光ディスクドライブ２００側のセキュアプロセッサは、ユーザ証明書に含まれるユーザＫｅｙとポリシー情報とを取り込み、これらを、互いに対応付けた状態（一方を識別することによって他方を識別できる状態）で機構制御用プロセッサに渡す（ステップＳ５）。
電子署名が正当なものでなかった場合は、ユーザ証明書が改竄若しくは捏造された可能性があることになるので、光ディスクドライブ２００側のセキュアプロセッサは、そのユーザ証明書を破棄する。

本実施形態では、ホスト側セキュリティモジュール１２０内に、アプリケーションプログラム毎に、それぞれ固有のユーザ証明書が保持されている。ユーザ証明書は、新たなアプリケーションが追加される毎に、ＯＳのアップデートという形で保持される。
ホスト装置１００のセキュアプロセッサは、動作させるアプリケーションプログラムに対応する一つのユーザ証明書を光ディスクドライブ２００側に送信する。光ディスクドライブ２００のセキュアプロセッサは、受信したユーザ証明書について上記のような署名検証処理（ステップＳ４）及びポリシー情報の取込（ステップＳ５）を行う。

なお、上述したステップＳ２〜ステップＳ５は、ブート（ステップＳ１）処理後に行われるとして説明してきたが、ブート処理内に組み込むこととしてもよい。

次に、アプリケーションプログラムの実行時の処理について説明する。
本実施形態の電子システムでは、ストレージ１５０に格納されたアプリケーションプログラムのメインメモリ１６０上への展開も、ホスト装置１００のセキュアプロセッサにより行われる。より詳しく説明すると、ホスト装置１００のセキュアプロセッサは、暗号化された状態でストレージ１５０に格納されたアプリケーションプログラムを復号化してメインメモリ１６０上へ展開する。そして、アプリケーションプログラムの認証を行う（ステップＳ６）。この認証は、例えば、アプリケーションプログラムに付されている署名の正当性を検証することにより行う。検証の結果、アプリケーションプログラムの改竄が認められた場合、セキュアプロセッサは、アプリケーションプログラムをメインメモリ１６０上から消去する。一方、検証の結果、署名が正当なものであると判定された場合、セキュアプロセッサは、アプリケーションプログラムの種別に応じたユーザ証明書に含まれるユーザＫｅｙと同一内容のユーザＫｅｙをアプリケーションプログラムへ渡す。

なお、ホスト装置１００のセキュアプロセッサは、アプリケーションプログラムをメインメモリ１６０上に展開した後、プログラムカウンタ１３０に格納されているアプリケーションプログラムのメインメモリ１６０上におけるアドレスを通常処理用プロセッサ１１０に渡す。このようにして、通常処理用プロセッサ１１０は、アプリケーションプログラムの実行権限を得る。

通常処理用プロセッサ１１０により実行されているアプリケーションプログラムは、ステップＳ６において取得したユーザＫｅｙを用いて、光ディスクドライブ２００側にユーザモードでアクセスする。
光ディスクドライブ２００の機構制御用プロセッサ２２０は、アプリケーションプログラムからのアクセスを受けて、自己の有するユーザＫｅｙ（ユーザ証明書に組み込まれていたもの）とアプリケーションプログラムの有するユーザＫｅｙとを用いて、ユーザとしてのアプリケーションプログラムの認証を行う（ステップＳ７）。この認証は、例えば、ユーザＫｅｙを使った相互認証である。この時点で、アプリケーションプログラムの有するユーザＫｅｙに対応するポリシー情報が特定され、アプリケーションプログラムには、そのポリシー情報に従った光ディスクドライブ２００のアクセスのみが許容される。
このようにして、アプリケーションプログラムから光ディスクドライブ２００の使用を光ディスクドライブ２００側で制御することができる（ステップＳ８）。

これにより、例えば、あるアプリケーションプログラムに関連付けられたポリシー情報に使用可能なディスクメディアとしてＤＶＤ−ＲＯＭのみが規定されており、ＤＶＤ−Ｒ、ＣＤ−Ｒについては規定されていなかった場合に、ＤＶＤ−ＲＯＭからＤＶＤ−Ｒへのメディアの入れ替えを行ったとすると、機構制御用プロセッサ２２０は、ディスク種別判別部２４０によるメディアの判別結果を受けて、ポリシー情報に規定されていないディスクメディアが光ディスクドライブ２００に挿入されたとして、当該アプリケーションプログラムによる光ディスクドライブ２００の使用を停止することができ、ディスクメディアの不正な入替を防ぐことができる。

なお、セキュリティモジュール１２０，２３０同士が安全に通信できる実装形態では、上述したステップＳ３およびステップＳ７等において、非暗号通信を採用してもよい。

本実施形態の電子システムでは、ステップＳ７のユーザモード認証に辿りつけるのは身元の確かなアプリケーションプログラムのみとなるので、ユーザモード認証（ステップＳ７）は、機構制御用プロセッサ２２０により処理されることとしているが、例えば、光ディスクドライブ側セキュリティモジュール２３０内のセキュアプロセッサにより処理されることとしてもよい。

本実施形態による電子システムの構成を示すブロック図。 光ディスクドライブのリソース管理方法を説明するための図。

符号の説明

１００ ホスト装置
１１０ 通常処理用プロセッサ
１２０ ホスト側セキュリティモジュール
１３０ プログラムカウンタ
１４０ ホスト側プロセッサユニット
１５０ ストレージ
１６０ メインメモリ
２００ 光ディスクドライブ
２１０ 光ディスクドライブ機構
２２０ 機構制御用プロセッサ
２３０ 光ディスクドライブ側セキュリティモジュール
２４０ ディスク種別判別部
２５０ ディスクドライブ側プロセッサユニット

Claims (15)

1. ホスト装置が、所定のペリフェラルに許容される使用内容を定めたポリシー情報と認証用のキー情報とを当該ペリフェラル宛に送信するステップと、
   前記ホスト装置が、自装置上で動くプログラムに、前記ペリフェラルに送信したキー情報と実質的に同じ内容の固有情報を読み取らせるための処理を行うステップと、
   前記ペリフェラルが、前記当該固有情報を伴って自己にアクセスしてきた前記プログラムが正当なものかどうかを当該固有情報と前記ホスト装置から受信したキー情報とを用いて認証し、正当と判定したときに、当該プログラムに対して前記ホスト装置から受信したポリシー情報に従う使用を許容するステップとを含む、
   ペリフェラルの使用管理方法。
2. 前記ホスト装置は、前記プログラムを認証し、認証の結果、正当と判定された場合に限り当該プログラムを起動し、そのプログラムに対して前記固有情報を読み取らせるための処理を行う、請求項１記載の使用管理方法。
3. 前記ホスト装置は、前記ポリシー情報を、電子署名が付された電子証明書として前記ペリフェラル宛に送信し、前記ペリフェラルは、前記プログラムを認証する前に、前記ホスト装置から受信した電子証明書に付された電子署名が正当でない場合には当該電子証明書を破棄する、
   請求項１記載の使用管理方法。
4. 前記ペリフェラルは、制御手段と、前記プログラムが読み取り可能な電子情報を記録したディスク媒体の装着機構とを有するディスクドライブ装置であり、前記ポリシー情報は、前記装着機構に装着して使用可能なディスク媒体の種類、前記制御手段において識別可能な前記電子情報の有効期間または使用回数の少なくとも一つを前記使用内容として含む、請求項１、２または３記載の使用管理方法。
5. 前記ホスト装置は、前記プログラムの動作環境をセキュアに構築するとともに、このプログラムの動作環境とは独立した動作環境下で前記送信および前記処理を行う、
   請求項１、２または３記載の使用管理方法。
6. 前記ホスト装置からの前記ポリシー情報の送信に先立ち、当該ホスト装置と前記ペリフェラルのそれぞれに固有のハードウェアキーを用いて前記ペリフェラルとの間で相互認証を行う、
   請求項５記載の使用管理方法。
7. ホスト装置と所定のペリフェラルとを通信路で接続してなる電子システムであって、
   前記ホスト装置は、それぞれ独立して動作する第１制御手段と第１セキュリティ手段とを備えており、
   前記ペリフェラルは、それぞれ独立して動作する第２制御手段と第２セキュリティ手段とを備えており、
   前記第１制御手段は、オペレーティングシステム及び当該オペレーティングシステム上で動くプログラムを実行するものであり、
   前記第１セキュリティ手段は、前記ペリフェラルに許容される使用内容を定めたポリシー情報と認証用のキー情報とを当該ペリフェラル宛に送信するとともに、前記プログラムに、前記ペリフェラルに送信したキー情報と実質的に同じ内容の固有情報を読み取らせるための処理を行うものであり、
   前記第２制御手段は、前記ペリフェラルに許容される動作を制御するものであり、
   前記第２セキュリティ手段は、前記プログラムが前記固有情報を伴って自己にアクセスしてきたときに当該プログラムが正当なものかどうかを当該固有情報と前記第１セキュリティ手段から受信したキー情報とを用いて認証し、正当と判定したときに、当該プログラムに対して前記第１セキュリティ手段から受信したポリシー情報に従う使用態様を前記第２制御手段に伝えるものである、
   電子システム。
8. 前記ホスト装置は、前記オペレーティングシステム及び前記プログラムを暗号化した状態で格納する格納手段と、前記オペレーティングシステム及び前記プログラムを展開するためのプログラムメモリとをさらに備えており、
   前記第１セキュリティ手段は、前記格納手段に格納された前記オペレーティングシステム及び前記プログラムを所定の条件下で復号するとともに、復号した前記オペレーティングシステム及び前記プログラムを前記プログラムメモリに展開し、前記第１制御手段は、前記プログラムメモリに展開された前記オペレーティングシステム及び前記プログラムを実行する、
   請求項７記載の電子システム。
9. 前記プログラムは電子署名がなされた状態で前記格納手段に格納されており、
   前記第１セキュリティ手段は、復号された前記プログラムを前記プログラムメモリに展開した後、前記電子署名の正当性を検証し、正当な電子署名でなかった場合には前記プログラムメモリに展開された前記プログラムを実行不能にする、
   請求項８記載の電子システム。
10. 前記第１セキュリティ手段は、前記ポリシー情報を電子署名が付された電子証明書の形態で前記第２セキュリティ手段に送信するものであり、
    前記第２セキュリティ手段は、前記電子証明書を受信した後、前記電子署名の正当性を検証し、正当な前記電子署名が正当であった場合にのみ前記ポリシー情報に従う使用態様を前記第２制御手段に伝えるものである、
    請求項７、８または９記載の電子システム。
11. 前記第１制御手段と前記第１セキュリティ手段は、互いに独立して動作するプロセッサを備えており、
    前記第２制御手段と前記第２セキュリティ手段は、互いに独立して動作するプロセッサを備えている、
    請求項７乃至１０のいずれかの項記載の電子システム。
12. 前記第１セキュリティ手段は、前記ホスト装置の立ち上げ時の初期制御および前記ペリフェラルへの初期化の指示を含むブート処理を行うものであり、
    前記第２セキュリティ手段は、前記ペリフェラルの立ち上げ時の初期制御を行うものである、
    請求項７乃至１１のいずれかの項記載の電子システム。
13. 前記第１セキュリティ手段は、前記ブート処理後に、前記第２セキュリティ手段との間でハードウェアキーを用いた相互認証を行うものである、
    請求項１２記載の電子システム。
14. 所定のペリフェラルが接続可能なホスト装置であって、
    それぞれ独立して動作する第１制御手段と第１セキュリティ手段とを備えており、
    前記第１制御手段は、オペレーティングシステム及び当該オペレーティングシステム上で動くプログラムを実行するものであり、
    前記第１セキュリティ手段は、前記ペリフェラルに許容される使用内容を定めたポリシー情報と認証用のキー情報とを当該ペリフェラル宛に送信するとともに、前記プログラムに、前記ペリフェラルに送信したキー情報と実質的に同じ内容の固有情報を読み取らせるための処理を行うものであり、
    前記ペリフェラルは、前記プログラムが前記固有情報を伴ってアクセスしてきたときに当該プログラムが正当なものかどうかを当該固有情報と前記第１セキュリティ手段から受信したキー情報とを用いて認証し、正当と判定したときに、当該プログラムに対して前記第１セキュリティ手段から受信したポリシー情報に従う使用態様での動作を許容するものである、
    ホスト装置。
15. ホスト装置に接続され、前記ホスト装置と共に電子システムを構成するペリフェラルであって、それぞれ独立して動作する第２制御手段と第２セキュリティ手段とを備えており、
    前記ホスト装置は、オペレーティングシステム及び当該オペレーティングシステム上で動くプログラムを実行するとともに、前記ペリフェラルに許容される使用内容を定めたポリシー情報と認証用のキー情報とを当該ペリフェラル宛に送信するとともに、前記プログラムに、前記ペリフェラルに送信したキー情報と実施的に同じ内容の固有情報を読み取らせるための処理を行うものであり、
    前記第２制御手段は、前記ペリフェラルに許容される動作を制御するものであり、
    前記第２セキュリティ手段は、前記プログラムが前記固有情報を伴って自己にアクセスしてきたときに当該プログラムが正当なものかどうかを当該固有情報と前記ホスト装置から受信したキー情報とを用いて認証し、認証の結果、正当と判定したときに、当該プログラムに対して前記ホスト装置から受信したポリシー情報に従う使用態様を前記第２制御手段に伝えるものである、
    電子システムのペリフェラル。

Images