JP4628468B2 - 携帯端末機能への制限付きアクセスの供給 - Google Patents

Description

本発明は、携帯端末のカスタマイズ可能な機能に関し、特に、これらの機能の構成への制限付きアクセスを外部者に提供することに関する。

移動通信システムの端末は、一般にプリペイドSIM（Subscriber Identity Module；加入者識別モジュール）カード、すなわちスマートカードを同梱して販売される。通信事業者は、通常、携帯端末とプリペイドスマートカードを別々に購入するよりも低価格で、携帯端末とプリペイドスマートカードを含むこれらのセット販売を用意している。携帯端末の価格を一部負担し、それによって携帯端末+SIMカードのセットを買うためのインセンティブを顧客に提供する一方で、通信事業者は、携帯端末の使用による収益を確保することを望んでいる。これは、通例、いわゆるSIMロック機能によって行われ、それにより、別のSIMカードによる端末の使用は、顧客契約の期限が切れるまで、すなわち、プリペイドSIMカードの残高がなくなるまで防止される。

したがって、携帯端末の使用は、特定の通信事業者のサービスに限定される。移動通信システムおよび携帯端末の急速な発展に伴い、端末に含まれる様々な機能の数だけでなく、モバイルネットワークにおいて用意されている様々なサービスの数も大幅に増加している。現在の携帯端末は、インターネットブラウザホームページおよびお気に入りリスト、様々なユーザインタフェース設定、呼び出し音、背景画像等、端末ユーザによってカスタマイズ可能な、様々な機能を含んでいる。しかしながら、それらのサービスを使用することに関心を持っていたとしても、すべての携帯端末ユーザがこれらの機能に精通している、あるいは自身の端末の適切な設定を探索および評価するために時間を割きたいわけではない。ユーザは、当該ユーザによって事前定義された条件を満たすある機能設定の更新のサブスクリプションをしたい場合がある。例えば、ユーザは、ある関心ある分野でのお気に入りインターネットリンクの自動更新を受信したいかもしれない。よって、これらのカスタマイズ可能な設定の少なくとも一部について、ある種の自動更新の需要が存在する。

しかしながら、現在の移動通信システムにおいては、端末のユーザカスタマイズ可能な設定に対するこの種の制限付きアクセスを実装するための技術的手段がない。現在、これらのカスタマイズ可能な機能の設定を変更することができるのは端末のユーザのみであるため、設定を変更するいかなる場合もユーザの介入を必要とすることになる。これは、現在の移動通信システムにおいて、設定更新の不正使用を防止するセキュアで信頼できる方法がないためである。さらに、端末が、SIMロックによってロックされたプリペイドSIMを含む場合、そのようなサービスの利用可能な供給は、加入している携帯電話事業者に限定される場合がある。

一方、通信事業者は、例えば、リソースの不足によって、または意図的な企業意思決定として、これらの機能をサポートするサービスを製造することにあまり積極的でなかったり、または、製造することができなかったりする場合がある。したがって、通信事業者は、これらのサービスの少なくとも一部の提供を第三者に外部委託しようとする場合がある。そして、通信事業者は、第三者サービスのためのベアラサービスプラットフォームとしてそのネットワークを用意し、（SIMロックがかかっていても）そのような自動更新サービスに対する顧客需要を満たし、同時に、第三者サービスプロバイダから、より多くの収益を獲得するであろう。

しかしながら、上述したように、携帯端末ユーザおよび通信事業者の両方からのサービスに対する強い需要にもかかわらず、携帯端末のカスタマイズ可能な機能は、限られた範囲内でのみ第三者によりアクセスまたは変更されることが可能であり、現在の移動通信システムにおける技術的欠陥は、そのようなサービスの実装を妨げるものである。

そこで、いくつかのユーザカスタマイズ可能な機能を移動局に供給するために、制限付きアクセスを第三者に提供することを可能にする方法を実装する、改良された方法および技術機器が発明される。本発明の様々な側面は、独立請求項において述べられていることを特徴とする、方法、電子デバイス、およびコンピュータプログラムを含む。従属請求項には、本発明の様々な実施形態が開示されている。

第１の側面によると、本発明に係る方法は、携帯端末に少なくとも１つの機能設定を提供するという構想に基づく方法であって、当該方法においては、前記携帯端末に少なくとも第１の照合データが格納され、機能ロックを介して、前記少なくとも１つの照合データが少なくとも１つの機能設定にリンクされ、前記機能ロックは前記携帯端末の前記少なくとも１つの機能設定を保護する。その後、前記携帯端末において構成メッセージを受信したことを受け、前記第１の照合データによって前記構成メッセージの送信者が認証され、認証が成功した場合、すなわち、前記構成メッセージの前記送信者が、前記携帯端末の前記機能設定を変更する権限を与えられていることが証明された場合には、前記携帯端末によって使用されるために、前記機能ロックを介して前記構成メッセージに含まれる構成データが供給される。

一実施形態によると、前記修正メッセージは前記メッセージの前記送信者の証明書に基づくデジタル署名を含み、前記送信者の前記証明書を前記第１の照合データに含まれる証明書と比較することによって、前記構成メッセージの前記送信者が認証される。

一実施形態によると、前記携帯端末が前記機能ロックによって保護されている前記機能を実行開始する毎に、前記構成メッセージの前記送信者が認証され、前記携帯端末によって使用されるために前記機能ロックを介して前記構成メッセージに含まれる前記構成データが供給される。

本実施形態においては、前記メッセージの前記送信者を認証したことを受け、前記構成メッセージが所定の形式であること、および、前記構成メッセージが前記携帯端末のデバイスIDを含むことが確認される。続いて、前記構成メッセージから、認証データと前記デバイスIDとが削除され、前記携帯端末によって使用されるために、前記機能ロックを介して、前記構成メッセージに含まれる前記構成データが供給される。

代替の実施形態によると、前記構成メッセージの前記送信者が認証され、前記メッセージの受信時に一度だけ、前記構成メッセージに含まれる前記構成データが確認される。

本実施形態においては、前記メッセージの前記送信者を認証したことを受け、前記構成メッセージが所定の形式であること、および、前記構成メッセージが前記携帯端末のデバイスIDを含むことが確認される。続いて、前記構成メッセージから、認証データと前記デバイスIDとが削除され、前記機能ロックに関連して記憶域に格納されるために、前記構成メッセージに含まれる前記構成データが供給される。

一実施形態によると、前記携帯端末は、前記特定の機能設定用の入力として、まず前記記憶域に格納された前記構成データを読み出すように構成される。任意の記憶域がデータを含まない場合のみ、前記携帯端末はデフォルト記憶域から前記特定の機能設定用の入力を読み出すように構成される。

一実施形態によると、前記携帯端末の前記変更可能な機能設定は、着信音設定と、メール着信音設定と、デフォルト背景画像と、インターネットブラウザ用のホームページ構成設定と、ユーザインタフェース「テーマ」設定と、Java MIDletインストーラ設定と、のうち少なくとも１つを含む。

一実施形態によると、前記携帯端末に格納された少なくとも１つの照合データは管理照合データとして定義され、前記管理照合データは公開鍵と秘密鍵の対および／または管理者の証明書を含む。続いて、前記携帯端末において管理メッセージを受信したことを受け、前記管理照合データで前記メッセージの送信者が認証され、前記メッセージの前記送信者が前記管理者として認証されると、前記管理メッセージに含まれる管理データに従って、前記携帯端末内において、前記照合データと前記機能に対するそれらのリンクとが変更される。

本発明の構成は、重要な利点を提供する。第一に、いくつかのユーザカスタマイズ可能な機能構成を携帯端末に供給するための制限付きアクセスを第三者が有することができる技術的手段を提供する。第二に、機能ロックによって、且つセキュアな照合データに基づいて簡単な認証が行われることにより、不正変更は確実に不可能となる。また、誰でも構成メッセージを供給することができ、当該メッセージは携帯端末の記憶手段内のどこにでも格納されることができ、それらの有効性は送信者を認証する際に確認されるだけである。さらに、携帯電話加入者と事業者の双方が取引に合意するためのインセンティブを有し、第三者は、加入者の端末にいくつかのカスタマイズ可能な機能設定を供給しながら、同時に端末価格の一部を負担する。

第２の側面によると、携帯端末に少なくとも１つの機能設定を供給するためのアクセスを、外部者に提供するように構成された携帯端末であって、複数の照合データを格納するための第１の格納手段と、それらの各機能設定を表す複数の構成データを格納するための第２の格納手段と、構成メッセージを受信するための手段と、少なくとも１つの照合データを少なくとも１つの機能設定にリンクし、前記照合データによって前記構成メッセージの送信者を認証するための機能ロック手段とを備え、前記機能ロック手段は、前記構成メッセージの前記送信者が前記機能設定を変更する権限を与えられたことを受け、前記携帯端末によって使用されるために、前記構成メッセージに含まれる構成データを供給するように構成された携帯端末が提供される。

第３の側面によると、プロセッサによって実行するためにコンピュータ可読媒体に格納され、携帯端末に少なくとも１つの機能設定を提供するためのコンピュータプログラムであって、前記コンピュータプログラムは、前記携帯端末に少なくとも第１の照合データを格納するためのコンピュータプログラムコードセクションと、少なくとも前記第１の照合データを少なくとも１つの機能設定にリンクするためのコンピュータプログラムコードセクションと、前記携帯端末において構成メッセージを受信したことを受け、前記第１の照合データによって前記構成メッセージの送信者を認証するためのコンピュータプログラムコードセクションと、前記メッセージの前記送信者が、前記携帯端末の前記機能の前記設定を変更する権限を与えられたことを受け、前記携帯端末によって使用されるために、前記機能ロックを介して前記構成メッセージに含まれる構成データを供給するためのコンピュータプログラムコードセクションと、を含むコンピュータプログラムが提供される。

第４の側面によると、第三者が携帯端末の販売を助成することを可能にするための方法であって、前記端末の少なくとも１つの機能および前記送信者の署名を表す構成データを含む構成メッセージを受信するための手段と、前記端末の前記少なくとも１つの機能設定を表す構成データを供給するために、前記構成メッセージの前記送信者の権限付与を照合するための手段と、を含む、携帯端末を販売するステップと、構成メッセージに署名するために必要な署名データを前記第三者に提供するステップと、前記第三者が、少なくとも１つの機能設定を表す構成データを前記携帯端末に供給したことを受けて、前記第三者から負担金を受け取るステップと、を含む方法が提供される。

実施形態の説明

以下、添付の図面を参照し、本発明の様々な実施形態についてさらに詳細に説明する。実施形態に係る方法および移動局を参照して、本発明を説明する。移動局とは、概して、無線データ伝送を実装するための手段を備えるデバイスをいう。そのようなデバイスは、GSM/GPRSネットワークまたは第三世代（例えば、3GPP）ネットワーク等の公衆移動通信ネットワーク（Public Land Mobile Network；PLMN）によるデータ伝送が可能なデバイスを含む。データ伝送は、無線ローカルエリアネットワーク（Wireless Local Area Network；WLAN）またはその他任意の無線ネットワークを介して行うこともできる。本発明を適用するためには、移動局が通信事業者と通信することが可能であればよい。

図１に示す本発明の一実施形態による移動局100は、プログラムを起動するための手段102aを含有する制御ブロック102を備える。これらの手段は、例えば、マイクロコントローラユニット（Micro Controller Unit；MCU）およびデジタル信号処理ユニット（Digital Signal Processing Unit；DSP）を備える。また、制御ブロック102は、好ましくは特定用途向け集積回路（Application Specific Integrated Circuit；ASIC）を備え、当該回路において、例えば、移動局の論理関数の少なくとも一部を実装することが可能である。さらに、図１に示す移動局100の制御ブロック102には、好ましくは、その少なくとも一部がワンタイムプログラマブルROM（One Time Programmable ROM；OTPROM）102eであるリードオンリーメモリ102dと、ランダムアクセスメモリ102fとが設けられる。しかしながら、これらのメモリ102d、102e、102fは、制御ブロック102から分離したメモリとしても実装され得ることが明らかである。

電子デバイスは、制御ブロックの外に、好ましくは少なくともリードオンリーメモリ103aと、プログラマブルリードオンリーメモリ103bと、ランダムアクセスメモリ103cとを備える記憶手段103も備える。リードオンリーメモリ103aの少なくとも一部は、ユーザによってそのコンテンツを変更できないような手法で実装される。メモリ接続手段105内に拡張メモリブロック104を置くことによって、図１の移動局100に拡張メモリを接続することも可能である。拡張メモリブロック104は、例えばフラッシュメモリカードであるが、その他のメモリ拡張手段を本発明に関して適用してもよい。好ましくは、移動局100には、ディスプレイ106、キーボード107、ならびに、イヤホン／スピーカおよびマイクロフォン等の音声手段108を備える、ユーザインタフェース（User Interface；UI）も設けられる。移動局100は、様々な無線データ伝送プロトコルに従って、アンテナ110を介してデータ伝送を送信および受信するように構成される、送受信機Tx/Rx 109も備える。さらに、移動局100は、SIMカードおよび／またはUSIMカード等のIDカード112を移動局100に接続するための手段111を備えるのが好ましい。

一実施形態によると、移動局100は様々な暗号化／復号化鍵および／または証明書を格納するためのセキュアな記憶手段113を備え、当該手段は、本明細書においては鍵格納コンポーネントと称される。鍵格納コンポーネントは、好ましくは、複数の公開鍵、秘密鍵、および／または証明書用の不正防護および秘密リポジトリであり、当該リポジトリ113は、移動局のいくつかの事前定義機能をカスタマイズするための第１の「アクセスゲート」としての役割を果たす。移動局100は、前記事前定義機能への第２の「アクセスゲート」である機能ロックコンポーネント114をさらに備える。機能ロックコンポーネントは、好ましくは記憶手段103に格納された実行可能なソフトウェアであるが、説明のために別個のコンポーネントとして示されている。機能ロックコンポーネントは、好ましくは複数の機能ロック、すなわち、様々な機能ロックのためのソフトウェアサブルーチンを備え、その動作については以下でさらに説明する。移動局100は、受信した構成メッセージ用の記憶域を備える構成ストアコンポーネント115をさらに備える。具体的には、構成ストアコンポーネント115とは移動局の任意の記憶域をいい、構成データはここに格納されることができる。このように、これらのメモリコンポーネント113、115はいずれも別個のハードウェアコンポーネントであってよいが、好ましくは、上述したメモリコンポーネントの１つ以上に含まれる。これらの手段を実装するのに実際のコンポーネントは必要とされないが、本明細書においては、説明のために「鍵格納コンポーネント」（または「リポジトリ」）、「構成ストア」、および「機能ロックコンポーネント」という用語が使用されている。

一般に、情報は１つの鍵で暗号化されることができ、暗号化された情報は受信者へ送信されるかメモリに格納されることができ、別の鍵で復号化されることができることが知られている。非対称鍵暗号化で使用される鍵は、復号化において使用される鍵と異なる。非対称鍵暗号化において、これらの鍵は通常、公開鍵および個人（または秘密）鍵と呼ばれる。公開鍵は暗号化用のものであり、個人鍵は復号化用のものである。また、一般に、非対称鍵は、送信者がメッセージに署名を作成するために自身の個人秘密鍵を使用する場合に、当該送信者を認証するために使用され得ることも知られている。その後、署名は当該メッセージおよび対応する公開鍵で検証されることができ、それによって送信者は認証される、または、少なくとも当該鍵を使用する権限を与えられていると承認されることができる。権限付与は、例えば証明書を用いて実行されることもできる。証明書は、送信者IDとより確実性の高い公開鍵との一致を検証するデジタル署名である。本発明において、これらのいずれか、またはその他任意の権限付与手段を使用することが可能であることに留意されたい。より高い送信者の確実性を提供するために、秘密鍵および公開鍵と証明書とを共に使用することも可能である。しかしながら、以下、本明細書において、公開鍵および考えられる証明書は、概して「照合データ」と称される。

図２は、制限付きアクセスがどのようにしてこれらの移動局機能を変更する権限を与えられ得るかをより詳細に図示している。鍵格納コンポーネント（リポジトリ）200は、複数の公開鍵（PK1、PK2、…）、秘密鍵（SK1、SK2、…）、および／またはそれらそれぞれの証明書（C1、C2、…）を含み、ここで各鍵の対および／またはそれらそれぞれの証明書は、少なくとも１つの変更可能な機能へのアクセスの権限を与えるための照合データを表す。したがって、照合データの第１のグループはPK1およびSK1ならびに／またはC1を含み、照合データの第２のグループはPK2およびSK2ならびに／またはC2を含む等となっている。リポジトリ200内の各照合データは、機能ロックコンポーネント202内の機能ロック（FL1、FL2、…）によって注釈を付けられ、それにより、機能ロックは対応する照合データによって開かれる権限を与えられる。

機能ロックコンポーネント202は、好ましくは、各機能ロックFLおよび関連機能用に事前構成された設定を含む。機能ロックは、好ましくはソフトウェアルーチンであり、当該ルーチンは、リポジトリ200内の各照合データを利用して、構成設定が使用される権限を与えられているか否かを調査する。各機能ロックは、移動局の１つ以上の構成可能な機能を保護する。図２の例において、機能ロックFL1は機能1の構成設定を保護し、機能ロックFL2は機能2および機能3の構成設定を保護し、機能ロックFLnは機能_nの構成設定を保護する。

構成ストア204は、特定の機能用の１つ以上の構成設定を含み、各機能ロックによって権限を与えられていれば、考えられる構成設定の１つが実際の設定として選択され得る。図２の例において、構成ストア204は、機能1のための２つの構成設定、すなわち機能1構成Aおよび機能1構成Bと、機能3のための２つの構成設定、すなわち同様に機能3構成Aおよび機能3構成Bとを含む。しかしながら、実用的な実装において、構成ストア204は、好ましくは図２にあるような別個のメモリコンポーネントではなく、記憶域の一覧の一種であり、ここで構成データはさらなる処理のために格納されることを十分理解すべきである。各構成設定はその自己の記憶域から取り出されることができるため、図２にあるような任意の特定の順序で構成設定を格納する必要もない。

少なくとも1グループの照合データ、すなわち、一対の鍵および／またはそれらそれぞれの証明書（例えば、PK1、SK1、C1）は管理鍵として定義され、当該管理鍵により、事業者または信頼できる第三者は鍵格納コンポーネント（リポジトリ）200のコンテンツを管理することができる。鍵を管理する資格がある管理者は、例えば、所定の形式で管理メッセージ206を送ることによって、リポジトリ200内の鍵を追加、削除、または交換することができ、当該管理メッセージには管理者によって署名されているのが好ましい。移動局に送られた管理メッセージ206は、好ましくは、その形式に基づいて検出され、当該メッセージは鍵格納コンポーネント（リポジトリ）200へ方向付けられ、メッセージの送信者は例えば署名C1に基づいて認証され、メッセージの送信者が鍵格納コンポーネントのコンテンツを管理する権限を与えられているか否かが判定される。

一実施形態によると、管理メッセージを送信する際に暗号化を使用することも可能である。認証は、例えば、管理者が証明書（例えばC1）と共に送られる管理メッセージに署名し、当該メッセージは公開管理鍵（PK1）を使用して暗号化されるように行われることができる。リポジトリ200において受信されると、暗号化されたメッセージは秘密管理鍵（SK1）によって復号化され、復号化された証明書がリポジトリ200内に格納されている管理証明書（C1）と比較され、両者が同一であれば、当該管理メッセージにおいて定義された管理アクションが実行され得る。

このメッセージ形式は、証明書および／または鍵を含有することができる。この形式のメッセージは、含有された証明書／鍵が機能ロックの関連セットを「開く」権限を与えられていることを意味する。証明書が既にリポジトリ200内に存在する場合、管理メッセージは、関連鍵がアクセスできる機能ロックの一覧を、提供された新しい機能ロックのセットで上書きする。

管理は一元的に行われることができる、すなわち、事業者またはその他の信頼できる第三者がリポジトリ内のすべての鍵および証明書を管理し、サービスプロバイダとの考えられるサービス契約に従って鍵の１つ以上をサービスプロバイダに割り当てることができ、当該第三者は、割り当てられた鍵に関与する機能を変更する資格を持つ。リポジトリ内の鍵および証明書に何らかの変更が必要な場合、管理者はそれらを一元的に管理する。あるいは、各鍵の対およびそれらそれぞれの証明書は別々に管理されることができる、すなわち、各鍵の対は管理鍵として定義され、割り当てられた管理者（例えば事業者またはサービスプロバイダ）は、特定の鍵のコンテンツを管理する資格を持つ。

機能ロックによって保護されている機能設定は、特定の機能設定を構成するように割り当てられたサービスプロバイダ（または事業者）が移動局に送る、権限付き構成メッセージ208によって変更されることができる。構成メッセージは、例えば、ショートメッセージサービス（Short Messaging Service；SMS）メッセージ、マルチメディアメッセージサービス（Multimedia Messaging Service；MMS）メッセージ、または、当該メッセージ形式を含むEメール等、適合するいかなる形式のメッセージであってもよいし、例えばGPRS接続を介してダウンロードされるファイルであってもよい。メッセージは、好ましくは所定の形式であるべきであり、それにより、携帯端末において受信された際に当該メッセージが検出され、構成ストア204の記憶域へ転送される。構成メッセージは、好ましくは、少なくともデバイス名、機能設定を表す入力、および署名（または署名のセット）を含有すべきである。

デバイス名は、構成メッセージが対象とする携帯端末を識別するものであり、単一のデバイス、複数の個別デバイス、一連のデバイス、または、特定の機能設定用の構成サービスに加入しているすべてのデバイスの名称であってよい。携帯端末は、それらの国際携帯機器識別番号（International Mobile Equipment Identity；IMEI）によって、または、プリペイドSIMの場合は（SIMカードは特定の携帯端末に接続されていなければならない）それらの国際移動電話加入者識別番号（International Mobile Subscriber Identity；IMSI）またはIMSIおよびIMEIの両方によって、識別されることができる。デバイス名は、例えばIMSIおよび／またはIMEIに基づいて算出された、このサービスのために特別に形成されたものであってよい。したがって、本明細書では、適合するいかなる形式のデバイスIDも使用され得ることが明らかである。構成メッセージは、サービスに属する複数の携帯端末を対象とすることができる。したがって、当該メッセージは、いくつかの個別デバイス名または一連のデバイスIDを含んでよい。受信用の携帯端末のデバイス名は、機能構成手順を携帯端末内において継続するために、構成メッセージに含まれる、またはそれに基づいて識別されるべきである。

機能設定を表す入力は、特定の機能用の新たな構成を含む。新たな構成はファイルコンテンツとして定義され、実際の機能ファイル（呼び出し音、画像ファイル等）であってもよいし、機能の設定（例えば、インターネットブラウザの「ホームページ」）であってもよい。

構成メッセージの送信者（すなわち、サービスプロバイダまたは事業者）は、自身の証明書で当該メッセージに署名する。署名は、送信者の秘密暗号化鍵（Secret encryption Key；SK）によって復号化された＜デバイス名，入力データファイル＞のコンテンツ由来のメッセージ認証コード（Message Authentication Code；MAC）であってもよい。MACは、受信側がデータを認証し、構成メッセージのインテグリティを検証することを可能にする。

一実施形態によると、受信した構成メッセージは、構成ストアにその所定の書式で格納される。図２において、ストレージは「機能X構成」の名称で示されている。構成ストアは、特定の機能用の設定を既に含有していてよく、受信したメッセージは代替の構成（例えば、機能X構成B）として格納されることができる。しかしながら、構成メッセージの命名はいかなる手段によっても限定されるものでなく、名称は優先順位（A、B、C、…またはその他任意の順序）を指すものである必要はない。機能ロックに関連付けられた特定の機能が実行されそうになると、携帯端末はまず構成ストア204から特定の機能の設定を要求するように構成される。構成ストアが特定の機能を表す複数の構成メッセージを含む場合、当該端末のユーザは優先順位第１位の構成メッセージを選ぶことができる。要求を受けて、機能ロックコンポーネントは選択された構成メッセージを構成ストア204からダウンロード210し、関連照合データを鍵格納コンポーネント200からポーリング212し、構成メッセージの署名を確認する。例えば、図２の機能1では、機能ロックコンポーネント202が照合データの第１のグループ（PK1、SK1および／またはC1）をポーリングし、当該照合データの第１のグループに基づいて、機能ロックコンポーネント202は当該構成メッセージに含まれる署名を検証する。

次いで、機能ロックコンポーネント202は、構成メッセージの形式が正しいものであり、特定の携帯端末のデバイス名が当該構成メッセージに含まれていることを確認する。肯定的な返答であれば、機能ロックコンポーネント202は構成メッセージに含まれる署名およびデバイスIDを削除し、構成メッセージの実際のコンテンツ、すなわち、特定の機能用の構成を実行するために、インタフェース214を介して移動局の制御ブロックへ出力する。

本実施形態によると、機能ロックに関連付けられた特定の機能が実行されそうになる毎に、機能ロックコンポーネント202は、鍵格納コンポーネント200から関連照合データをポーリングし、構成メッセージの署名を確認することによって、構成メッセージに格納された機能設定を使用するための権限付与を検証する。照合データによって署名が検証できた場合、当該構成メッセージに含まれる構成は使用され得る。しかしながら、照合データのコンテンツが署名を検証できない場合（例えば、関連照合データの変化または鍵格納コンポーネント200からの削除によって）、当該機能にはデフォルト設定が使用される。

本実施形態のアプローチは、特にSymbian（登録商標）またはJava（登録商標）のような様々なオープンプラットフォームに基づくデバイスに適切であり、ほとんどすべてのファイルを変更可能にする原則が順守されているはずである。本実施形態においては、鍵格納コンポーネント200だけは権限付与なしに変更できず、依然として実装の安全性は高く、悪用の可能性は最小限に抑えられる。格納された構成メッセージファイルが損失した場合、または後で破損した場合には、代わりにバックアップファイルが使用され得る。

代替の実施形態によると、受信した構成メッセージおよびそのコンテンツは、メッセージの受信時に既に確認されている。したがって、機能ロックコンポーネント202は、受信した構成メッセージを構成ストア204から直ちにダウンロード210し、関連照合データを鍵格納コンポーネント200からポーリング212し、構成メッセージの署名を確認する。当該署名が継続する権限を与えるものであれば、機能ロックコンポーネント202は、構成メッセージの形式が正しいものであり、特定の携帯端末のデバイス名が当該構成メッセージに含まれていることを確認する。肯定的な返答であれば、機能ロックコンポーネント202は構成メッセージに含まれる署名およびデバイスIDを削除し、構成メッセージの実際のコンテンツ、すなわち、特定の機能用の構成を出力する。次いで、実際の機能ファイルまたは機能の設定はセキュアな記憶域に格納され、当該記憶域は、移動局の制御ブロックがインタフェース214を介してファイルを実行するために取り出せるよう、例えば機能ロックコンポーネントと関連付けられて位置していてよい。また、本実施形態においては、特定の機能用の複数の構成設定がストレージに格納されていてよく、端末のユーザは、使用されるべき構成設定を選ぶことができる。本実施形態においては、鍵格納コンポーネントに加えて、このストレージも慎重に保護されるべきである。

携帯端末は、インタフェース214を介して、まず機能ロックコンポーネント202のストレージからこれらのカスタマイズ可能な機能のコンテンツ（すなわち、実際の機能ファイルまたは機能の設定）を読み出すように構成される。機能ロックコンポーネント202が特定の機能の設定を含む場合、当該設定は当該機能を表す入力として使用される。機能ロックコンポーネント202が特定の機能用の複数の設定を含む場合、端末のユーザによって選択された構成設定が当該機能を表す入力として使用される。機能ロックコンポーネント202が特定の機能の設定を含まない場合、携帯端末は、一般に図１の記憶手段103内にあるデフォルト記憶域から当該機能を表すコンテンツを読み出し、当該機能を表す入力としてそれを使用するように構成される。したがって、機能ロックFLに関与する任意のカスタマイズ可能な機能が実行される場合、機能ロックコンポーネント202に関して設けられているセキュアな記憶域のコンテンツが常に最初に確認され、特定の機能を表す入力がない場合のみ、当該機能にその他任意の設定が使用され得る。

本実施形態によると、受信された構成メッセージおよびそのコンテンツは、当該メッセージの受信時に一度だけ確認され、その後、実際の機能ファイルまたは機能の設定が、そのまま使用可能な形式に変換される。機能構成は、新たな構成メッセージを送ることにより、却下され得る。

ここで、機能ロックFLに関与するカスタマイズ可能な機能は、一般に、携帯端末における何らかのパーソナライズ機能を含むであろう。これらは、例えば、着信音設定、メール着信音設定、デフォルト背景画像、インターネットブラウザ用のホームページ構成設定、ユーザインタフェース「テーマ」設定、Java MIDletインストーラ設定等を含んでよい。携帯端末においてカスタマイズされる機能は、端末の加入者と事業者とが合意したものであるのが好ましいであろう。

事業者は、第三者（サービスプロバイダ）に、携帯端末の呼び出し音、背景画像、構成設定等の単独サプライヤとなることを提案する。これより第三者は電話機の一部を負担することに関心を持つであろうから、事業者も同様に携帯電話とプリペイドSIMカードのセット販売を低価格で用意することができる。したがって、事業者と第三者が取引に合意することにより、第三者は加入者の端末にいくつかのカスタマイズ可能な機能設定を供給し、加入者は、自身の端末用に望ましい機能設定に加え、自身の端末機器または電話サービスも、より有利に受け取ることになる。したがって、上述したような取り決めは、携帯電話加入者と事業者の両方に利点を提供する。

携帯端末への機能構成設定の配信は、「プッシュ型サービス」または「プル型サービス」に基づくものであってよい。プッシュ型サービスでは、サービスプロバイダがサービス契約の条件に従って端末に構成データを送る。これは、例えば月に2回等の一定間隔で、または、ファイルコンテンツの更新等、特定のイベントに基づいて発生し得る。プル型サービスでは、端末のユーザがサービスプロバイダにサービス要求、例えば新しい呼び出し音の注文を送り、その後、サービスプロバイダが要求された機能設定を含む新たな構成メッセージを送る。当然ながら、サービス契約は、特定の端末に対してプッシュ型およびプル型両方のサービスを可能にするものであってよい。

したがって、事業者または小売業者の観点からすれば、本発明の一側面は、第三者が携帯端末の販売を助成することを可能にするための方法である。そのため、事業者または小売業者が携帯端末を販売する際に、端末は少なくとも、上述した構成メッセージを受信するための手段と、端末の機能設定を表す構成データを供給する構成メッセージの送信者の権限付与を確認するための手段（すなわち、鍵格納コンポーネント内の照合データおよび当該照合データにリンクされた機能ロック）とを含んでいるべきである。続いて、事業者または小売業者は、構成メッセージに署名するために必要な署名データを第三者に提供し、これにより、第三者がその後サービス契約の条件に従って正しく署名された構成メッセージを携帯端末に送ることを可能にする。当然ながら、当該サービス契約の条件は、第三者が前記携帯端末に構成データを供給することを許可されるのと引き換えに、負担金をどのようにして支払うかを定義したものでもある。負担金は、例えば一時払い、月払いであってもよいし、構成メッセージ毎の支払いであってもよい。

デジタル署名には、RSA、デジタル署名アルゴリズム（Digital Signatures Algorithm；DSA）、および楕円曲線暗号化（Elliptic Curve Cryptography；ECC）等、様々な方法が使用され得る。これらの方法に関連して、この文脈で言及されるセキュアハッシュアルゴリズム（Secure Hash Algorithm；SHA-1）およびメッセージダイジェスト（Message Digest 5；MD5）を含む、署名される情報用の圧縮アルゴリズムが使用される。

図３は、本発明の一実施形態による、携帯端末における機能ロック構成方法のフローチャートを示す。図３の方法の出発点は、少なくとも一対の鍵および／またはそれぞれの証明書が鍵格納コンポーネントに格納され、管理キーとして事前定義されることである。管理キーの定義は、例えば端末の購入時に事業者または小売業者によって行われることができ、それによって事業者または信頼できる第三者は鍵格納コンポーネントのコンテンツを管理することができる。

ここで、管理メッセージが移動局（300）において受信され、当該メッセージは一対以上の公開鍵と秘密鍵および／またはそれぞれの証明書、ならびに、各鍵の対および各証明書に注釈を付けるための、機能ロックコンポーネントのうち少なくとも１つの機能ロックへの管理命令を含む。管理メッセージは、受信時に検出され、署名確認のために鍵格納コンポーネントへ転送される（302）。当該メッセージの送信者は、例えば管理メッセージの証明書を鍵格納コンポーネントに格納された管理証明書と比較することによって認証される（304）。管理メッセージの送信者が権限を与えられることができない、すなわち、管理者として認証されることができない場合、送信者にエラーメッセージが送り返され（306）、それ以上のアクションは実行されない。

しかしながら、権限付与が成功した場合には、管理メッセージに含まれる一対以上の公開鍵と秘密鍵および／またはそれぞれの証明書が鍵格納コンポーネントに格納される（308）。その後、鍵の各対は、当該管理メッセージに含まれる命令に従って、機能ロックコンポーネントの少なくとも１つの機能ロックにリンクされる（310）。

必要な公開鍵および秘密鍵、考えられる証明書、ならびに各機能ロックが構成されると、機能ロックに関与する機能設定を変更することが可能になる。図４は、本発明の一実施形態による、携帯端末における機能設定構成方法のフローチャートを示す。

まず、構成メッセージが移動局において受信される（400）。構成メッセージは、受信時に検出され、構成ストアへ転送されて（402）、その中に格納される（404）。この例においては、受信された構成メッセージは、ユーザの優先順位が必要とされないような、この特定の機能用に構成ストアに格納された唯一の構成メッセージであることが推定される。次いで、機能ロックに関連付けられた特定の機能の実行を開始した（406）ことを受け、機能ロックコンポーネントは構成ストアから構成メッセージをダウンロードし、関連照合データを鍵格納コンポーネントからポーリング（408）し、例えば証明書を比較することによってメッセージの送信者が認証される（410）。メッセージの送信者が認証されることができない場合、エラーメッセージが当該送信者に送り返される（418）。

メッセージの送信者が当該機能に新たな構成を設定する権限を与えられている場合、特定の機能ロックは、構成メッセージが所定の形式であるか否かを確認する（412）。さらに、特定の携帯端末のデバイス名が構成メッセージに含まれていることが確認される（414）。次いで、これらのステップ（412、414）の両方が成功した場合、構成メッセージに含まれる署名およびデバイスIDが削除され、特定の機能用の構成として今回使用されるために、構成メッセージのデータコンテンツが出力される（416）。しかしながら、これらのステップ（412、414）のいずれかが失敗した場合、すなわち、メッセージの形式が正しくない、または、デバイス名が識別できない場合、構成メッセージの送信者にエラーメッセージが送信される（418）。その後、機能ロックコンポーネントは、当該機能ロックに関連付けられた特定の機能が次に実行開始されるのを待つためにループバックされる（406）。

図５は、本発明の別の実施形態による、携帯端末における機能設定構成方法のフローチャートを示す。

まず、構成メッセージが移動局において受信される（500）。構成メッセージは、受信時に検出され、署名を確認するために構成ストアへ転送される（502）。機能ロックコンポーネントは、構成ストアから構成メッセージをダウンロードし、関連照合データを鍵ストアコンポーネントからポーリング（504）し、例えば証明書を比較することによってメッセージの送信者が認証される（506）。メッセージの送信者が認証されることができない場合、エラーメッセージが当該送信者に送り返される（514）。

メッセージの送信者が当該機能を変更する権限を与えられている場合、特定の機能ロックは、構成メッセージが所定の形式であるか否かを確認する（508）。さらに、特定の携帯端末のデバイス名が構成メッセージに含まれていることが確認される（510）。次いで、これらのステップ（508、510）の両方が成功した場合、構成メッセージに含まれる署名およびデバイスIDが削除され、構成メッセージのデータコンテンツが特定の機能用の新たな構成として格納される（512）。しかしながら、これらのステップ（508、510）のいずれかが失敗した場合、すなわち、メッセージの形式が正しくない、または、デバイス名が識別できない場合、構成メッセージの送信者にエラーメッセージが送信される（514）。

これらの実施形態によるこれらのステップは、電子デバイス1の制御ブロック2内にあるソフトウェア起動手段2aのプログラムコマンドによって広く実装されることができる。したがって、上述した機能設定構成方法を行うための前記手段は、一般にコンピュータソフトウェアコードとして実装される。コンピュータソフトウェアは、PCのハードディスクまたはCD-ROMディスク等の任意の記憶手段に格納されることができ、そこから携帯端末のメモリにロードされることができる。コンピュータソフトウェアは、例えばTCP/IPプロトコルスタックを使用して、ネットワークを介してロードされることもできる。当該発明手段を実装するために、ハードウェアソリューション、またはハードウェアおよびソフトウェアソリューションの組み合わせを使用することも可能である。

本発明は上記の実施形態のみに限定されるものではなく、添付の請求項の範囲内で変更され得ることが明らかである。

本発明の一実施形態による電子デバイスを、縮小ブロック図で示す。 本発明の一実施形態による、記憶手段において使用されるデータ構造を示す。 本発明の一実施形態による、携帯端末における機能ロック構成方法のフローチャートを示す。 本発明の一実施形態による、携帯端末における機能設定構成方法のフローチャートを示す。 本発明の別の実施形態による、携帯端末における機能設定構成方法のフローチャートを示す。

Claims (14)

1. 少なくとも１つの機能設定を供給するためのアクセスを、外部者に提供するための携帯端末であって、
   複数の照合データを格納するための第１の格納手段と、
   それぞれ機能設定に関する複数の構成データを格納するための第２の格納手段と、
   前記携帯端末の外部から構成メッセージを受信する手段、ただし前記構成メッセージは、携帯端末の端末識別情報と、前記構成メッセージの送信者の認証情報と、前記機能設定の少なくとも１つに関する新しい構成データとを含む、前記受信する手段と、
   前記照合データと、前記受信した構成メッセージに含まれる前記認証情報とを照合することにより、前記送信者を認証し、さらに、前記受信した構成メッセージに含まれる前記端末識別情報が、前記携帯端末に対応するものであることを確認するように構成される、機能ロック手段とを備え、
   さらに前記機能ロック手段は、前記送信者の認証に成功したこと、及び前記端末識別情報が、前記携帯端末に対応するものであることを条件として、前記携帯端末によって使用されうるように、前記受信した構成メッセージに含まれる前記新しい構成データを前記移動局の制御ブロックまたは該移動局の記憶手段へ出力するように構成され、
   前記携帯端末は、さらに、
   前記照合データに関する管理メッセージを受信することに応じて、該管理メッセージに含まれる証明書と前記照合データが有する証明書とを比較することによって前記管理メッセージの送信者を認証し、
   前記管理メッセージの前記送信者の認証が成功したことに応じて、前記管理メッセージに含まれる管理データに従って、前記照合データを変更すると共に、該変更した照合データと前記機能ロック手段とのリンクを変更する、
   ように構成される、携帯端末。
2. 前記機能ロック手段は、該機能ロック手段に関連付けられた特定の機能の実行が開始される毎に、前記特定の機能に関する前記受信した構成メッセージの前記送信者を認証し、該認証が成功した場合に、該機能メッセージに含まれる前記新しい構成データを出力するように構成される、
   請求項１に記載の携帯端末。
3. 少なくとも１つの機能設定を供給するためのアクセスを、外部者に提供するための携帯端末であって、
   複数の照合データを格納するための第１の格納手段と、
   それぞれ機能設定に関する複数の構成データを格納するための第２の格納手段と、
   前記携帯端末の外部から構成メッセージを受信する手段、ただし前記構成メッセージは、携帯端末の端末識別情報と、前記構成メッセージの送信者の認証情報と、前記機能設定の少なくとも１つに関する新しい構成データとを含む、前記受信する手段と、
   前記照合データと、前記受信した構成メッセージに含まれる前記認証情報とを照合することにより、前記送信者を認証し、さらに、前記受信した構成メッセージに含まれる前記端末識別情報が、前記携帯端末に対応するものであることを確認するように構成される、機能ロック手段とを備え、
   さらに前記機能ロック手段は、前記送信者の認証に成功したこと、及び前記端末識別情報が、前記携帯端末に対応するものであることを条件として、前記携帯端末によって使用されうるように、前記受信した構成メッセージに含まれる前記新しい構成データを前記移動局の制御ブロックまたは該移動局の記憶手段へ出力するように構成され、
   さらに前記機能ロック手段は、該機能ロック手段に関連付けられた特定の機能の実行が開始される毎に、前記特定の機能に関する前記受信した構成メッセージの前記送信者を認証し、該認証が成功した場合に、該機能メッセージに含まれる前記新しい構成データを出力するように構成される、
   携帯端末。
4. 前記機能ロック手段は、前記受信した構成メッセージが所定の形式であることを確認するようにさらに構成される、
   請求項１から３のいずれか１項に記載の携帯端末。
5. 前記機能ロック手段は、前記新しい構成データを出力する前に、前記出力する前記新しい構成データに関する前記構成メッセージから、前記認証情報及び前記端末識別情報を削除するように構成される、
   請求項１から４のいずれか１項に記載の携帯端末。
6. 前記携帯端末は、前記機能ロック手段に関連せしめられる記憶域が、特定の機能に関する構成データを含まない場合、デフォルト記憶域から前記特定の機能を設定するためのデータを読み出して該特定の機能を設定するために該読み出したデータを使用するように構成される、
   請求項１から５のいずれか１項に記載の携帯端末。
7. 前記携帯端末の前記機能設定は、
   ・ 着信音設定と、
   ・ メール着信音設定と、
   ・ デフォルト背景画像と、
   請求項１から６のいずれか１項に記載の携帯端末。
8. 携帯端末が自身の機能設定を変更するために、該携帯端末により実行される方法であって、
   複数の照合データを格納することと、
   それぞれ機能設定に関する複数の構成データを格納することと、
   前記携帯端末の外部から構成メッセージを受信すること、ただし前記構成メッセージは、携帯端末の端末識別情報と、前記構成メッセージの送信者の認証情報と、前記機能設定の少なくとも１つに関する新しい構成データとを含む、前記受信することと、
   前記照合データと、前記受信した構成メッセージに含まれる前記認証情報とを照合することにより、前記送信者を認証し、さらに、前記受信した構成メッセージに含まれる前記端末識別情報が、前記携帯端末に対応するものであることを確認することと、
   を含み、さらに、前記送信者の認証に成功したこと、及び前記端末識別情報が、前記携帯端末に対応するものであることを条件として、前記受信した構成メッセージに含まれる前記新しい構成データを使用することと、
   を含み、
   前記照合データに関連する管理メッセージを受信することに応じて、該管理メッセージに含まれる証明書と前記照合データが有する証明書とを比較することによって前記管理メッセージの送信者を認証することと、
   前記管理メッセージの前記送信者の認証が成功したことに応じて、前記管理メッセージに含まれる管理データに従って、前記照合データを変更すると共に、該変更した照合データと前記格納された構成データとのリンクを変更することと、
   を含む、方法。
9. 特定の機能の実行が開始される毎に、前記特定の機能に関する前記受信した構成メッセージの前記送信者を認証し、該認証が成功した場合に、該機能メッセージに含まれる前記新しい構成データを使用することを含む、請求項８に記載の方法。
10. 携帯端末が自身の機能設定を変更するために、該携帯端末により実行される方法であって、
    複数の照合データを格納することと、
    それぞれ機能設定に関する複数の構成データを格納することと、
    前記携帯端末の外部から構成メッセージを受信すること、ただし前記構成メッセージは、携帯端末の端末識別情報と、前記構成メッセージの送信者の認証情報と、前記機能設定の少なくとも１つに関する新しい構成データとを含む、前記受信することと、
    前記照合データと、前記受信した構成メッセージに含まれる前記認証情報とを照合することにより、前記送信者を認証し、さらに、前記受信した構成メッセージに含まれる前記端末識別情報が、前記携帯端末に対応するものであることを確認することと、
    を含み、さらに、
    前記送信者の認証に成功したこと、及び前記端末識別情報が、前記携帯端末に対応するものであることを条件として、前記受信した構成メッセージに含まれる前記新しい構成データを使用することと、
    特定の機能の実行が開始される毎に、前記特定の機能に関する前記受信した構成メッセージの前記送信者を認証し、該認証が成功した場合に、該機能メッセージに含まれる前記新しい構成データを使用することと、
    を含む、方法。
11. 前記受信した構成メッセージが所定の形式であることを確認することをさらに含む、請求項８から１０のいずれか１項に記載の方法。
12. 前記新しい構成データを使用する前に、該新しい構成データに関する前記構成メッセージから、前記認証情報及び前記端末識別情報を削除することを含む、請求項８から１１のいずれか１項に記載の方法。
13. 前記携帯端末の前記機能設定は、
    ・ 着信音設定と、
    ・ メール着信音設定と、
    ・ デフォルト背景画像と、
    のうち少なくとも１つを含む、
    請求項８から１２のいずれか１項に記載の方法。
14. 請求項８から１３のいずれか１項に記載の方法をコンピュータに実行させる、コンピュータ・プログラム。

Images