JP4732805B2 - サービス利用方法及び端末 - Google Patents

Description

本発明は、端末を用いて所定サービスを利用するサービス利用方法、及び、所定サービスを利用する端末に関する。

従来、端末の安全性を考慮した上で当該端末に所定サービスを提供するために、サービス提供者（ＳＰ：Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）が、端末検証装置によって当該端末内の信頼できる装置を利用して調査した当該端末の構成を利用して、当該端末に当該所定サービスを提供するか否かについて決定する技術が知られている（例えば、特許文献１参照）。

ここで、調査結果（端末の構成を示す構成情報）は、当該端末に搭載されているソフトウェア群のハッシュ値のリストを含むものである。また、上述の信頼できる装置によって、当該調査結果にはデジタル署名が付与されている。

サービス提供者は、当該端末に搭載されているソフトウェア群の正当なハッシュ値のリストを保持しており、上述の調査結果に付与されているデジタル署名を検証した後、保持している正当なハッシュ値と当該調査結果に含まれているハッシュ値とを比較することによって、改ざんの有無を調べる。

サービス提供者は、特定のソフトウェアにおいて改ざんが検出された場合や、正当なソフトウェア群以外のソフトウェアのハッシュ値が含まれていた場合等には、当該端末に対する所定サービスの提供を拒否することができる。
特開２００３-７６５８５号公報

しかしながら、上述の方法では、端末の構成を示す構成情報が、端末検証装置のポリシーに適合しない場合には、当該端末を用いた所定サービスの利用が妨げたられるという問題点があった。

例えば、端末検証装置によって保持されているソフトウェアのリストに含まれないソフトウェアが、端末に含まれていた場合、上述の検証が失敗し、当該端末は、所定サービスを利用することができない。

また、従来の端末には、所定サービスの利用に適切な構成を管理する手段や、所定サービスの利用に適切な構成に当該端末の構成を変更する手段が設けられていないという問題点があった。

そこで、本発明は、以上の点に鑑みてなされたもので、所定サービスのセキュリティ要求に端末の構成を適合させることができるサービス利用方法及び端末を提供することを目的とする。

本発明の第１の特徴は、所定サービスを利用する端末であって、前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する構成管理部と、前記所定サービスの利用要求に応じて、前記構成管理部を参照して、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する構成選択部と、選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する構成変更部と、変更された前記端末の構成を示す変更後構成情報を測定する構成測定部と、選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する構成検証部とを具備することを要旨とする。

かかる発明によれば、端末の構成を、所定サービスの利用に適切な構成に変更することができるので、サービス提供者は、変更された端末の構成を検証した上で、所定サービスを安全に利用できる。

また、かかる発明によれば、上述の検証によって端末の構成が正しく変更されていないと判断された場合、再度、端末の構成の変更を試みることもできる。

本発明の第１の特徴において、前記構成変更部が、ユーザによって許可された場合にのみ、前記端末の構成を変更してもよい。

かかる発明によれば、ユーザは、変更される端末の構成を確認することができ、かかる端末の構成の変更を実行したくない場合には、当該端末の構成の変更を取りやめることができる。

本発明の第１の特徴において、外部の端末検証装置に対して、前記サービス種別と前記変更後構成情報とを含む構成証明要求を送信することによって、前記端末が前記所定サービスを利用可能であるか否かについての検証を要求する検証要求部を具備してもよい。

かかる発明によれば、端末の構成が所定サービスに対応した構成であることの証明を外部の端末検証装置から取得することができる。

本発明の第１の特徴において、サーバに対して、前記構成証明要求に対する応答として前記外部の端末検証装置から受信した構成証明応答に含まれる構成証明書を用いて、前記所定サービスの利用要求を送信する構成証明送信部を具備してもよい。

かかる発明によれば、サーバは、端末が所定サービスに対応する構成を採っていることを確認した上で、当該端末に対して所定サービスを提供することができる。

本発明の第１の特徴において、前記所定サービスに係るセッションの状態を管理するセッション管理部を具備し、前記構成選択部が、前記セッションの開始時に、前記構成管理部を参照して、前記所定サービス種別に関連付けられている所定サービス構成情報を選択してもよい。

かかる発明によれば、所定サービスに係るセッションと同期して、端末の構成を変更して、当該所定サービスを利用することができる。

本発明の第１の特徴において、前記所定サービスの利用要求に応じて、前記構成管理部を参照して、該所定サービスのサービス種別に関連付けられている所定サービス構成情報と、前記端末の現在の構成を示す現状構成情報との間の競合関係の有無を判定する競合検知部と、前記競合関係を解消するように前記所定サービス構成情報を変更する競合解消部とを具備し、前記構成変更部が、前記競合関係を解消するために変更された前記所定サービス構成情報に基づいて、前記端末の構成を変更してもよい。

かかる発明によれば、端末の現在の構成と所定サービスに対応する構成との間の競合関係を解消して、安全にサービスを利用することができる。

本発明の第１の特徴において、前記所定サービス構成情報には、複数の制約が付与されており、前記競合解消部が、前記制約を考慮して、前記競合関係を解消するように前記所定サービス構成情報を変更してもよい。

かかる発明によれば、競合関係が発生している場合であっても、より適切な競合関係の解消を行うことができるので、所定サービスの利用可能性を向上させると共に、セキュリティ要求を満たすことができる。

本発明の第１の特徴において、前記所定サービスに係るセッションの終了時に、変更前の前記端末の構成を示す変更前構成情報に基づいて、前記端末の構成を復旧する構成復旧部を具備してもよい。

かかる発明によれば、ユーザは、所定サービスの利用が終了した後には、端末の構成を、所定サービス利用前の構成に戻すことができる。

本発明の第１の特徴において、前記構成復旧部が、ユーザによって許可された場合にのみ、前記端末の構成を復旧してもよい。

かかる発明によれば、ユーザは、復旧する端末の構成を確認することができ、復旧したくない端末の構成については復旧をとりやめることができる。

本発明の第１の特徴において、前記端末の現在の構成を示す現状構成情報と、前記変更前構成情報との間の競合関係の有無を判定する復旧競合検知部と、前記競合関係を解消するように前記変更前構成情報を変更する復旧競合解消部とを具備し、前記構成復旧部が、前記競合関係を解消するために変更された前記変更前構成情報に基づいて、前記端末の構成を復旧してもよい。

かかる発明によれば、競合関係を解消して、端末の構成を安全に復元した後、所定サービスを利用することができる。

本発明の第１の特徴において、外部の装置から、前記サービス種別と前記所定サービス構成情報とを受信する構成情報取得部を具備してもよい。

かかる発明によれば、端末は、新たなサービスに対応した端末の構成を示す所定サービス構成情報、及び、更新された所定サービス構成情報を、適宜取得することができる。

本発明の第１の特徴において、前記構成変更部が、プロセスを制御するプロセス制御部を具備してもよい。

かかる発明によれば、プロセスの一時停止や終了や権限制限や再開や起動等を行うことができるので、端末の構成を適切に変更することができる。

本発明の第１の特徴において、前記構成変更部が、プログラム及びデータファイルを制御するファイル制御部を具備してもよい。

かかる発明によれば、プログラムやデータファイルの削除や導入や暗号化や復号化や外部記憶への一時退避や復旧等を行うことができるので、端末の構成を適切に変更することができる。

本発明の第１の特徴において、前記構成変更部が、前記端末の起動を制御する起動制御部を具備してもよい。

かかる発明によれば、端末の起動モードを選択したり、指定ソフトウェアのみを起動させる起動プロセスを実行したりすることができるので、端末の構成を適切に変更することができる。

本発明の第２の特徴は、端末を用いて所定サービスを利用するサービス利用方法であって、前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する工程と、前記所定サービスの利用要求に応じて、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する工程と、選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する工程と、変更された前記端末の構成を示す変更後構成情報を測定する工程と、選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する工程とを有することを要旨とする。

以上説明したように、本発明によれば、所定サービスのセキュリティ要求に端末の構成を適合させることができるサービス利用方法及び端末を提供することを目的とする。

（本発明の第１の実施形態に係る端末の構成）
図１及び図２を参照して、本発明の第１の実施形態に係る端末３０の構成について説明する。

本発明の第１の実施形態に係る端末３０は、例えば、携帯電話やＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）やノートブックパソコン等の携帯通信端末であり、図示しない通信インタフェースを備えている。

また、端末３０は、セルラー方式や無線ＬＡＮ方式やＢｌｕｅｔｏｏｔｈ方式や赤外線方式等の無線通信や、イーサネット（登録商標）やバス等の有線通信によって、端末検証装置１０や、端末３０に対して所定サービスを提供するサーバ２０と通信することができる。

ここで、サーバ２０は、ＰＣやワークステーションや携帯通信端末や情報家電端末やテレビチューナや指紋認証機器や無線ＬＡＮカードやＧＰＳ機器等の任意の装置であり、端末３０との間で通信を行うことができる。

図１に示すように、端末３０は、セッション管理部３１と、構成管理部３２と、構成選択部３３と、構成変更部３４と、プロセス制御部３５と、ファイル制御部３６と、起動制御部３７と、競合検知部３８と、競合解消部３９と、構成変更提示部４０と、構成変更照合部４１と、制御部４２と、構成測定部４３と、構成検証部４４と、検証要求部４５と、構成証明送信部４６と、構成復旧部４７と、構成記憶部４８と、復旧可否判定部４９と、復旧可否提示部５０と、復旧可否照会部５１と、復旧競合検知部５２と、復旧競合解消部５３と、構成情報取得部５４とを具備している。

セッション管理部３１は、所定サービスに係るセッションの状態を示すセッション状態情報を管理するように構成されている。

ここで、セッション状態情報は、セッションの開始や終了や中断等を示すものであり、アプリケーションやミドルウェアやＯＳからの通知やセッション管理部３１自身の監視手段によって獲得されるものである。

また、所定サービスは、サーバ２０を利用するためのプログラムである。なお、所定サービスは、例えば、アプリケーションやミドルウェアやデバイスドライバ等のいずれの形態を採ることができるように、その実装形態や種別を問わない。

構成管理部３２は、図２に示すように、所定サービスの「サービス種別」と、当該所定サービスの利用に適切な構成を示す「所定サービス構成情報（すなわち、所定サービスのセキュリティ要求を満たす端末の構成を示す情報）」とを関連付けて保持するように構成されている。

図２の例では、「サービス１（無線対戦ゲーム）」に関連付けられている所定サービス構成情報としては、「信頼できる機関によるデジタル署名を保持しないプロセス（信頼できないプロセス）を終了させること」、「対戦ゲームのセッション中にサービス１の実行に関係のない他プロセスの起動を禁止する」という端末の構成が指定されている。

また、「サービス２（外付けＴＶチューナーデバイス）」に関連付けられている所定サービス構成情報としては、「外付けチューナーデバイスによるＴＶ視聴のセッション中に、端末上のプロセスの通信先や保存先やビデオフレームバッファへのアクセス等を制限する」、「導入できるドライバを制限する」という端末の構成が指定されている。

また、「サービス３（バンキングアプリケーション）」に関連付けられている所定サービス構成情報としては、「複数の起動モード（通常のアプリケーションを動作させるための通常起動モードや、セキュリティ要求の高いアプリケーション実行用のセキュア起動モード等）を持つ端末において、バンキングサーバにアクセスする前に、セキュア起動モードで再起動する」という端末の構成が指定されている。

また、構成管理部３２は、端末３０の現在の構成を示す現状構成情報や、構成変更部４０による変更の前後の端末３０の構成を示す変更前構成情報及び変更後構成情報を記憶するように構成されている。

具体的には、構成管理部３２は、上述の構成情報として、起動しているプロセスのリストや、組み込まれているモジュール（デバイスドライバ等）のリストや、端末３０内のプログラム及びデータファイルのリストや、現在の起動モード等を、データベースやテーブルに保持する。

構成選択部３３は、所定サービスの利用要求（サービス利用イベント）に応じて、構成管理部３２を参照して、当該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択するように構成されている。

例えば、構成選択部３３は、所定サービスに係るセッションの開始時に、構成管理部３２を参照して、当該所定サービス種別に関連付けられている所定サービス構成情報を選択するように構成されていてもよい。

構成変更部３４は、構成選択部３３によって選択された所定サービス構成情報に基づいて、すなわち、所定サービスに対応した構成に適合するように、端末３０の構成を変更するように構成されている。

また、構成変更部３４は、競合検知部３８及び競合解消部３９からの指示に応じて、端末３０の構成を変更するように構成されていてもよい。

構成変更部３４は、競合解消部３９により競合関係を解消するために変更された所定サービス構成情報に基づいて、端末３０の構成を変更するように構成されていてもよい。

また、構成変更部３４は、ユーザによって許可された場合にのみ、端末３０の構成を変更するように構成されていてもよい。

また、構成変更部３４は、プロセス制御部３５に対して、特定のプロセスに対する制御を行うように指示する。また、構成変更部３４は、ファイル制御部３６に対して、プログラム及びデータファイルを制御するように指示する。また、構成変更部３４は、起動制御部３７に対して、端末３０の起動（再起動）する際の構成を指定して、端末３０の起動（再起動）を制御するように指示する。

プロセス制御部３５は、構成変更部３４からの指示に応じて、特定のプロセスの一時停止や終了や再開や起動や権限制限等について制御することができる。

ファイル制御部３６は、構成変更部３４からの指示に応じて、プログラムやデータファイルの削除や導入や暗号化や復号化や外部記憶への一時退避や復旧等について制御することができる。

端末起動制御部３７は、構成変更部３４からの指示に応じて、端末３０の起動モードを選択したり、指定ソフトウェアのみを起動させる起動プロセスを実行したりすることができる。

競合検知部３８は、所定サービスの利用要求（サービス利用イベント）に応じて、構成管理部３２を参照して、当該所定サービスのサービス種別に関連付けられている所定サービス構成情報と、端末３０の現在の構成を示す現状構成情報との間の競合関係の有無を判定するように構成されている。

例えば、競合検知部３８は、所定サービスに係るセッション開始の際に、上述の競合関係の有無を判定するように構成されていてもよい。

競合関係がないと判定された場合（端末３０の現在の構成、すなわち、端末３０において実行中のサービスに対応する構成に影響を与えない場合）、構成変更部３４は、端末の構成を変更することができ、実行中のサービスに加えて、所定サービスを新たに利用することができる。

一方、上述の競合関係があると判定される場合、競合解消部３８が、かかる競合関係を解消するように、所定サービス構成情報を変更する。

なお、競合解消部３８は、上述の競合関係があると判定された所定サービス構成情報をユーザに対して提示し、ユーザの指示に従って当該所定サービス構成情報を変更するように構成されている。

以下、図２に示す所定サービス構成情報において発生し得る競合関係の一例について説明する。

＜競合１−１＞
端末は、サービス１を実行中に、サービス１の実行に関連のないサービスｘを実行することができない。

＜競合１−２＞
端末は、サービス１の起動時に、信頼できないサービスｙを終了することができず、サービス１を起動できない。

＜競合２−１＞
端末は、サービス２を実行中に、サービスａを起動しても権限の制限により、サービスａについての必要な処理ができない。

＜競合２−２＞
端末は、サービス２の起動時に、ドライバｂを利用しているサービスｃが終了できず、サービス２を起動できない。

＜競合３−１＞
端末は、サービス３を実行中に、サービスｅを起動しようとしても、セキュア起動モードで動作しているため、必要なライブラリが利用不可能であり、起動できない。

＜競合３−２＞
端末は、サービスｆを実行中のため、セキュアモードで再起動できず、サービス３を起動できない。

以下、上述の競合関係を解消するための手段の一例について説明する。ここで、実行中のサービスを「サービスｉ」とし、セッションを開始するサービスを「サービスｘ」とする。

＜解消手段１＞ 「サービスｉ」を一時停止/終了
＜解消手段２＞ 「サービスｘ」の開始を「サービスｉ」の終了まで延期
＜解消手段３＞ 「サービスｉ」の権限を一時制限
＜解消手段４＞ 「サービスｘ」の権限を制限して起動
＜解消手段５＞ 要求された端末の構成にカスタマイズされた仮想マシンを起動
さらに、所定サービス構成情報に、複数の制約（段階的な制約）が付与されている場合、よりきめ細かく適切な端末の構成を選択することができる。かかる制約としては、例えば、競合関係が生じた場合に端末３０の構成を必ずしも適合させる必要の無い構成を示す「ソフト制約」や、競合関係が生じた場合であっても必ず端末３０の構成適合させなければならない構成を示す「ハード制約」等が考えられる。

例えば、図２のサービス１では、「信頼できる機関によるデジタル署名を保持しない信頼できないサービスを終了させること」及び「対戦ゲームのセッション中にサービス１の実行に関係のない信頼できないプロセスの起動を禁止すること」という構成が「ハード制約」であり、「対戦ゲームのセッション中にサービス１の実行に関係のない他のサービスの起動を禁止すること」という構成が「ソフト制約」であるものとする。

かかる場合、「サービス１を実行中に、（サービス１と関連のない）サービスｘを実行することができない」という競合関係（＜競合１−１＞）の一部については解消することができ、信頼できるサービスに限って実行可能となる。

競合解消部３９は、上述の制約を考慮して、上述の競合関係を解消するように所定サービス構成情報を変更する。

構成変更提示部４０は、構成変更部３４によって変更される予定の構成についてユーザに提示するように構成されている。

構成変更照会部４１は、ユーザに対して、かかる変更処理を行ってもよいか否かについて問い合わせるように構成されている。

構成変更照会部４１は、ユーザに対して、かかる変更処理を行ってもよいか否かについての二択で問い合わせてもよいし、端末３０の構成ごとに変更処理を行ってもよいか否かについて問い合わせてもよい。

制御部４２は、端末３０に設けられている各部を制御するように構成されている。制御部４２は、後述する端末３０の構成変更手順や構成復旧手順に従って、各部の起動や各部の間の入出力を制御する。

構成測定部４３は、構成変更部３４によって変更された端末３０の構成を示す変更後構成情報を測定するように構成されている。

例えば、構成測定部４３は、ＯＳが提供するコマンドや専用の測定プログラムを用いて、プログラムやデータファイルのハッシュ値を計算したり、ファイル名や属性を獲得したり、ＯＳが提供するコマンドにより起動しているプロセスや組み込まれているモジュール情報を取得したり、これまでに起動したプロセスの履歴やこれまでにロード又はアンロードされたモジュールの履歴等を測定することによって、上述の変更後構成情報を測定するように構成されている。

構成検証部４４は、構成選択部３３によって選択された所定サービス構成情報と、構成測定部４３によって測定された変更後構成情報とが一致するか否かについて比較することによって、端末３０が所定サービスを利用可能であるか否か（すなわち、端末３０が所定サービスに対応する構成（所定サービスのセキュリティ要求を満たす構成）を具備しているか否か）について検証するように構成されている。

具体的には、構成検証部４４は、所定サービス構成情報と変更後構成情報との間に異なる部分が無い場合、変更された端末３０の構成が所定サービスを利用するのに適切であると判断する。

なお、構成検証部４４は、変更された端末３０の構成が所定サービスを利用するのに適切であると判断された場合、そのことを証明する構成証明書を作成して保持してもよい。

検証要求部４５は、外部の端末検証装置１０に対して、サービス種別と変更後構成情報とを含む構成証明要求を送信することによって、端末３０が所定サービスを利用可能であるか否かについての検証を要求するように構成されている。

また、検証要求部４５は、上述の構成証明要求に対する応答として、外部の端末検証装置１０から構成証明応答を受信する。

なお、構成証明要求には、構成情報の改ざんやリプレイを防ぐため、「ｎｏｎｃｅ」やデジタル署名が含められていてもよい。

かかる検証が成功した場合、構成証明応答に、端末検証装置１０による構成証明書が含まれており、検証が失敗した場合、構成証明応答に、構成証明書が含まれておらず、例えば、端末３０の構成が不適合であるとの応答メッセージや不適合の箇所を示すメッセージが含まれる。

構成証明送信部４６は、サーバ２０に対して、上述の構成証明書を用いて、所定サービスの利用要求を送信するように構成されている。

ここで、サーバ２０は、受信した構成証明書について検証することにより、端末３０が信頼できることを確認することができ、所定サービスの提供の可否を選択することができる。

構成復旧部４７は、所定サービスに係るセッションの終了時に、構成管理部３２に記憶されている変更前構成情報に基づいて、端末３０の構成を復旧するように構成されている。

具体的には、構成復旧部４７は、一時停止又は終了したプロセスの再開や、モジュールのロード又はアンロードや、プロセスに与える権限を通常通りに設定することや、プログラムやデータファイルの再インストールや、端末３０の通常モードにおける再起動等を行うことによって、端末３０の構成を復旧するように構成されている。

また、構成復旧部４７は、ユーザによって許可された場合にのみ、端末３０の構成を復旧するように構成されていてもよい。

また、構成復旧部４７は、後述するように競合関係を解消するために復旧競合解消部５３によって変更された変更前構成情報に基づいて、端末３０の構成を復旧するように構成されていてもよい。

復旧可否判定部４９は、端末３０の構成の復旧を試みる前に、かかる復旧が可能であるか否かについて判定するように構成されている。

例えば、復旧可否判定部４９は、プロセス制御やモジュール制御やファイル制御や起動制御等の復旧手段において、かかる復旧を実行することができるか否かについての判断を行う。

復旧可否提示部５０は、復旧可否判定部４９によって生成された復旧対象の構成についてユーザに提示するように構成されている。

復旧可否照会部５１は、ユーザに対して、かかる復旧処理を行ってもよいか否かについて問い合わせるように構成されている。

復旧可否照会部５１は、ユーザに対して、かかる復旧処理を行ってもよいか否かについての二択で問い合わせてもよいし、構成ごとに復旧処理を行ってもよいか否かについて問い合わせてもよい。

復旧競合検知部５２は、現状構成情報と変更前構成情報との間の競合関係の有無を判定するように構成されている。

復旧競合解消部５３は、上述の競合関係を解消するように変更前構成情報を変更するように構成されている。

構成情報取得部５４は、外部の装置から、サービス種別と所定サービス構成情報とを受信するように構成されている。

例えば、構成情報取得部５４は、端末検証装置１０から、ネットワークや外部ストレージ等を通じて、サービス種別と所定サービス構成情報とを取得して、構成管理部３２に渡して保持させる。

なお、構成情報取得部５４は、定期的に、サービス種別と所定サービス構成情報とを取得してもよい。また、構成情報取得部５４は、ユーザからの要求や、端末３０を管理するＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）又は通信事業者等のオペレータからの要求に基づいて、オンデマンドに、サービス種別と所定サービス構成情報とを取得してもよい。

（本発明の第１の実施形態に係るサービス利用方法の動作）
図３乃至図７を参照して、本発明の第１の実施形態に係るサービス利用方法の動作について説明する。

第１に、図３乃至図５を参照して、本発明の第１の実施形態に係るサービス利用方法において、端末３０の構成を変更する手順について説明する。

図３に示すように、ステップＳ１０１において、端末３０は、サーバ２０に対して、所定サービスを提供するように要求するためのサービス接続要求（構成証明書を含まない）を送信した場合に、サーバ２０から、所定サービスのセキュリティ要求を満たす構成を採るように指示されるものとする。

ステップＳ１０２において、端末３０は、端末３０の構成を、所定サービスのセキュリティ要求を満たす構成に変更する。以下、図４を参照して、かかる変更処理について具体的に説明する。

図４に示すように、ステップＳ１０２ａにおいて、制御部４２が、所定のアプリケーションの起動や、所定のサーバへの接続や、所定の外部デバイスへの接続等のサービス利用イベントを契機に、構成選択部３３を呼び出し、パラメータとして、所定サービスのサービス種別を渡す。ここで、構成選択部３３は、渡されたサービス種別をキーに、構成管理部３２から、所定サービスの利用に適切な構成を示す所定サービス情報を選択する。

ステップＳ１０２ｂにおいて、構成管理部３２が、端末の現在の構成を示す現状構成情報を記憶する。

ステップＳ１０２ｃ及びＳ１０２ｄにおいて、構成変更部３４が呼び出され、構成変更提示部４０が、ユーザに対して変更する予定の構成（変更項目）を提示し、構成変更照会部４１が、かかる構成の変更を実行してよいか否かについて確認する。

ユーザによって変更が許可された場合、本手順は、ステップＳ１０２ｅに進み、ユーザによって変更が拒否された場合（又は、そもそも変更の必要がない場合）、本手順は、端末の構成を変更することなく終了する。

ステップＳ１０２ｅにおいて、構成変更部３４が、ユーザによって変更が許可された端末の構成について変更処理を実行し、ステップＳ１０２ｆにおいて、構成測定部４３が、変更後の端末の構成を示す変更後構成情報を測定する。

ステップＳ１０２ｇにおいて、構成検証部４４が、測定された変更後構成情報と、選択された所定サービス構成情報とを比較することによって、端末３０の構成が所定サービスに適合しているか否かについて検証する。

検証結果が失敗である場合、再度、端末の構成の変更処理を試みてもよい（ステップＳ１０２ｉ）。

検証結果が成功である場合、所定サービスを利用するために外部の端末検証装置１０によって発行された構成証明書が必要であるため、検証要求部４５が、ステップＳ１０３において、端末検証装置１０に対して、所定サービスのサービス種別及び変更後構成情報を含む構成証明要求を送信して上述の検証を依頼し、ステップＳ１０４において、外部の端末検証装置１０から、構成証明書を含む構成証明書応答を受信する。

構成証明送信部４６が、ステップＳ１０５において、構成証明書を含むサービス接続要求をサーバ２０に対して送信し、ステップＳ１０６において、サービス接続応答を受信する。

ステップＳ１０７乃至Ｓ１０９において、端末３０は、サービス接続応答の受信に応じて、サーバ２０に接続して、所定サービスを利用する。

ここで、図５を参照して、所定サービス構成情報と現状構成情報との間に競合関係が発生している場合の手順について説明する。

図５に示すように、ステップＳ２０１において、制御部４２が、所定のアプリケーションの起動や、所定のサーバへの接続や、所定の外部デバイスへの接続等のサービス利用イベントを契機に、構成選択部３３を呼び出し、パラメータとして、所定サービスのサービス種別を渡す。ここで、構成選択部３３は、渡されたサービス種別をキーに、構成管理部３２から、所定サービスの利用に適切な構成を示す所定サービス情報を選択する。

ステップＳ２０２において、構成管理部３２が、端末の現在の構成を示す現状構成情報を記憶する。

ステップＳ２０３及びＳ２０４において、競合検知部３８が、所定サービス構成情報と現状構成情報とを比較して競合関係の有無を判定する。

競合関係がないと判断された場合（実行中のサービスに対応する構成に影響を与えない場合）、本手順は、ステップＳ２０７に進む。

一方、競合関係があると判断された場合、ステップＳ２０５及びＳ２０６において、競合解消部３９が、かかる競合関係を回避するための構成情報を生成する（すなわち、かかる競合関係を回避するために所定サービス構成情報を変更する）。

競合関係が解消された場合、ステップＳ２０７において、構成変更部３４が呼び出され、構成変更提示部４０が、ユーザに対して変更する予定の構成（変更項目）を提示し、構成変更照会部４１が、かかる構成の変更を実行してよいか否かについて確認する。以下、本手順は、図４に示すＳ１０２ｄに進む。

一方、競合関係を解消することができる構成がない場合、ステップＳ２０８において、競合解消部３９が、その旨をユーザに提示して、本手順は、終了する。

第２に、図６を参照して、本発明の第１の実施形態に係るサービス利用方法において、端末３０の構成を復旧する手順について説明する。

図６に示すように、ステップＳ３０１において、制御部４２が、所定のアプリケーションの終了や、所定のサーバとの切断や、所定の外部デバイスの着脱等のサービス利用イベントを契機に、構成復旧部４７を起動する。

そして、構成復旧部４７は、端末３０の構成の復旧を試みる前に、復旧可否判定部４９を呼び出し、復旧可否を判定させる。

ステップＳ３０２において、復旧可否提示部５０が、復旧可否判定部４９によって生成された復旧可否項目（復旧対象構成）をユーザに提示する。

ステップＳ３０３において、復旧可否照会部５１が、ユーザに対して、復旧処理を行ってもよいかどうかについて問い合わせる。

端末３０の構成の復旧についてユーザによって拒否された場合は、本手順は、当該端末３０の構成の復旧をとりやめて終了する。

一方、端末３０の構成の復旧についてユーザによって許可された場合は、ステップＳ３０５において、構成復旧部４７が、ユーザによって選択された復旧項目（復旧対象構成）について復旧処理を行う。

第３に、図７を参照して、本発明の第１の実施形態に係るサービス利用方法において、端末３０が構成情報を取得する手順について説明する。

図７に示すように、ステップＳ４０１において、制御部４２が、定期的に、或いは、ユーザの要求や、端末を管理するＩＳＰや通信事業者等のオペレータからの要求に基づいて、オンデマンドに、構成情報取得部５４を呼び出し、端末検証装置１０等の外部装置から、サービス種別及び所定サービス構成情報を受信する。

構成情報取得部５４が、かかる外部装置に接続した後、ステップＳ４０２において、構成情報の取得要求を発行して、サービス種別と所定サービス構成情報との組からなる構成情報を取得する。

ステップＳ４０３において、構成管理部３２は、かかる構成情報を保持する。

（本実施形態に係る端末及びサービス利用方法の作用・効果）
本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスに適合するように端末３０の構成を変更し、変更された端末３０の構成を検証した上で、所定サービスを安全に利用することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスに係るセッションの開始及び終了を契機として、端末の構成についての変更処理及び復旧処理を行うことで、ユーザの操作負担を減らして、所定サービスを安全に利用することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスのセキュリティ要求に係る競合関係を検知して回避・解消することで、複数のサービスを安全に利用することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、上述の検証によって端末３０の構成が正しく変更されていないと判断された場合、再度、端末３０の構成の変更を試みることもできる。

本実施形態に係る端末３０及びサービス利用方法によれば、ユーザは、変更される端末３０の構成を確認することができ、かかる端末３０の構成の変更を実行したくない場合には、当該端末３０の構成の変更を取りやめることができる。

本実施形態に係る端末３０及びサービス利用方法によれば、端末３０の構成が所定サービスに対応した構成であることの証明を外部の端末検証装置１０から取得することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、サーバ２０は、端末３０が所定サービスに対応する構成を採っていることを確認した上で、当該端末３０に対して所定サービスを提供することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスに係るセッションと同期して、端末３０の構成を変更して、当該所定サービスを利用することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスのセキュリティ要求に係る競合関係が発生している場合であっても、より適切な競合関係の解消を行うことができるので、所定サービスの利用可能性を向上させると共に、セキュリティ要求を満たすことができる。

本実施形態に係る端末３０及びサービス利用方法によれば、ユーザは、所定サービスの利用が終了した後には、端末３０の構成を、所定サービス利用前の構成に戻すことができる。

本実施形態に係る端末３０及びサービス利用方法によれば、ユーザは、復旧する端末３０の構成を確認することができ、復旧したくない端末の構成については復旧をとりやめることができる。

本実施形態に係る端末３０及びサービス利用方法によれば、競合関係を解消して、端末の構成を安全に復元した後、所定サービスを利用することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、端末３０は、新たなサービスに対応した端末３０の構成を示す所定サービス構成情報、及び、更新された所定サービス構成情報を、適宜取得することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、プロセスの一時停止や終了や権限制限や再開や起動等を行うことができるので、端末３０の構成を適切に変更することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、プログラムやデータファイルの削除や導入や暗号化や復号化や外部記憶への一時退避や復旧等を行うことができるので、端末３０の構成を適切に変更することができる。

本実施形態に係る端末３０及びサービス利用方法によれば、端末３０の起動モードを選択したり、指定ソフトウェアのみを起動させる起動プロセスを実行したりすることができるので、端末３０の構成を適切に変更することができる。

（本発明の第２の実施形態）
図８に示すように、本発明の第２の実施形態に係る端末３０は、仮想マシンモニタ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ Ｍｏｎｉｔｏｒ：ＶＭＭ）の機能を具備するように構成されている。端末３０内に、ＶＭＭの機能によって仮想マシン（ＶＭ）を複数起動することができ、図８では、管理ＶＭ（仮想マシン）、通常モードＶＭ、セキュアモードＶＭが記載されている。

本発明の第２の実施形態に係る端末３０は、端末３０の各部３１乃至５４が管理ＶＭ（仮想マシン）に配置される点と、端末３０によって複数の仮想マシンが起動される点とを除いて、本発明の第１の実施形態に係る端末３０の同様である。

本発明の第２の実施形態に係る端末３０によれば、仮想マシンモニタによってサービスごとに異なる端末の構成を共存することが可能であるため、複数のサービスのセキュリティ要求に係る競合関係を回避することができる。例えば、セキュア起動モードによる起動を要求するサービス３に対して、通常モードＶＭ内の構成を維持しながら、セキュアモードＶＭを起動して、その中でサービス３を実行することができる。すなわち、サービス３と通常モードＶＭ内のサービスの競合関係を回避することができる。

また、本発明の第２の実施形態に係る端末３０によれば、所定サービスを利用する際に、端末の現在の構成を変更せずに、所定サービスに適合した仮想マシンを構成することで、安全にサービスを利用することができる。

本発明の第１の実施形態に係る端末の構成を示すブロック図である。 本発明の第１の実施形態に係る端末の構成を示す構成情報の一例を示す図である。 本発明の第１の実施形態に係るサービス利用方法の動作を示すシーケンス図である。 本発明の第１の実施形態に係るサービス利用方法において、端末の構成を変更する手順を示すフローチャートである。 本発明の第１の実施形態に係るサービス利用方法において、競合関係を解消する手順を示す図である。 本発明の第１の実施形態に係るサービス利用方法において、端末の構成を復旧する手順を示すフローチャートである。 本発明の第１の実施形態に係るサービス利用方法において、所定サービス構成情報を取得する手順を示すフローチャートである。 本発明の第２の実施形態に係る端末の構成を示すブロック図である。

符号の説明

１０…端末検証装置
２０…サーバ
３０…端末
３１…セッション管理部
３２…構成管理部
３３…構成選択部
３４…構成変更部
３５…プロセス制御部
３６…ファイル制御部
３７…起動制御部
３８…競合検知部
３９…競合解消部
４０…構成変更提示部
４１…構成変更照合部
４２…制御部
４３…構成測定部
４４…構成検証部
４５…検証要求部
４６…構成証明送信部
４７…構成復旧部
４８…構成記憶部
４９…復旧可否判定部
５０…復旧可否提示部
５１…復旧可否照会部
５２…復旧競合検知部
５３…復旧競合解消部
５４…構成情報取得部

Claims (15)

1. 所定サービスを利用する端末であって、
   前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する構成管理部と、
   前記所定サービスの利用要求に応じて、前記構成管理部を参照して、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する構成選択部と、
   選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する構成変更部と、
   変更された前記端末の構成を示す変更後構成情報を測定する構成測定部と、
   選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する構成検証部と、
   外部の端末検証装置に対して、前記サービス種別と前記変更後構成情報とを含む構成証明要求を送信することによって、前記端末が前記所定サービスを利用可能であるか否かについての検証を要求する検証要求部と
   を具備することを特徴とする端末。
2. 所定サービスを利用する端末であって、
   前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する構成管理部と、
   前記所定サービスの利用要求に応じて、前記構成管理部を参照して、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する構成選択部と、
   選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する構成変更部と、
   変更された前記端末の構成を示す変更後構成情報を測定する構成測定部と、
   選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する構成検証部と、
   前記所定サービスの利用要求に応じて、前記構成管理部を参照して、該所定サービスのサービス種別に関連付けられている所定サービス構成情報と、前記端末の現在の構成を示す現状構成情報との間の競合関係の有無を判定する競合検知部と、
   前記競合関係を解消するように前記所定サービス構成情報を変更する競合解消部と
   を具備し、
   前記構成変更部は、前記競合関係を解消するために変更された前記所定サービス構成情報に基づいて、前記端末の構成を変更することを特徴とする端末。
3. 前記構成変更部は、ユーザによって許可された場合にのみ、前記端末の構成を変更することを特徴とする請求項１または２に記載の端末。
4. サーバに対して、前記構成証明要求に対する応答として前記外部の端末検証装置から受信した構成証明応答に含まれる構成証明書を用いて、前記所定サービスの利用要求を送信する構成証明送信部を具備することを特徴とする請求項３に記載の端末。
5. 前記所定サービスに係るセッションの状態を管理するセッション管理部を具備し、
   前記構成選択部は、前記セッションの開始時に、前記構成管理部を参照して、前記所定サービス種別に関連付けられている所定サービス構成情報を選択することを特徴とする請求項１乃至４のいずれか一項に記載の端末。
6. 前記所定サービス構成情報には、複数の制約が付与されており、
   前記競合解消部は、前記制約を考慮して、前記競合関係を解消するように前記所定サービス構成情報を変更することを特徴とする請求項２に記載の端末。
7. 前記所定サービスに係るセッションの終了時に、変更前の前記端末の構成を示す変更前構成情報に基づいて、前記端末の構成を復旧する構成復旧部を具備することを特徴とする請求項１乃至６のいずれか一項に記載の端末。
8. 前記構成復旧部は、ユーザによって許可された場合にのみ、前記端末の構成を復旧することを特徴とする請求項７に記載の端末。
9. 前記端末の現在の構成を示す現状構成情報と、前記変更前構成情報との間の競合関係の有無を判定する復旧競合検知部と、
   前記競合関係を解消するように前記変更前構成情報を変更する復旧競合解消部とを具備し、
   前記構成復旧部は、前記競合関係を解消するために変更された前記変更前構成情報に基づいて、前記端末の構成を復旧することを特徴とする請求項７又は８に記載の端末。
10. 外部の装置から、前記サービス種別と前記所定サービス構成情報とを受信する構成情報取得部を具備することを特徴とする請求項１乃至９のいずれか一項に記載の端末。
11. 前記構成変更部は、プロセスを制御するプロセス制御部を具備することを特徴とする請求項１乃至１０のいずれか一項に記載の端末。
12. 前記構成変更部は、プログラム及びデータファイルを制御するファイル制御部を具備することを特徴とする請求項１乃至１１のいずれか一項に記載の端末。
13. 前記構成変更部は、前記端末の起動を制御する起動制御部を具備することを特徴とする請求項１乃至１２のいずれか一項に記載の端末。
14. 端末を用いて所定サービスを利用するサービス利用方法であって、
    前記端末が、前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する工程と、
    前記端末が、前記所定サービスの利用要求に応じて、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する工程と、
    前記端末が、選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する工程と、
    前記端末が、変更された前記端末の構成を示す変更後構成情報を測定する工程と、
    前記端末が、選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する工程と、
    前記端末が、外部の端末検証装置に対して、前記サービス種別と前記変更後構成情報とを含む構成証明要求を送信することによって、前記端末が前記所定サービスを利用可能であるか否かについての検証を要求する工程と
    を有することを特徴とするサービス利用方法。
15. 端末を用いて所定サービスを利用するサービス利用方法であって、
    前記端末が、前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する工程と、
    前記端末が、前記所定サービスの利用要求に応じて、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する工程と、
    前記端末が、選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する工程と、
    前記端末が、変更された前記端末の構成を示す変更後構成情報を測定する工程と、
    前記端末が、選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する工程と、
    前記端末が、前記所定サービスの利用要求に応じて、該所定サービスのサービス種別に関連付けられている所定サービス構成情報と、前記端末の現在の構成を示す現状構成情報との間の競合関係の有無を判定する工程と、
    前記端末が、前記競合関係を解消するように前記所定サービス構成情報を変更する工程と
    を有し、
    前記端末の構成を変更する工程では、前記端末が、前記競合関係を解消するために変更された前記所定サービス構成情報に基づいて、前記端末の構成を変更することを特徴とするサービス利用方法。

Images