JP4833079B2 - ２つの実行空間を備える通信端末 - Google Patents

Description

本発明は、ユーザインタフェース（キーボード、モニタ、音源カード、タッチセンス領域、マウス等）を有するコンピュータ装置、例えば家庭用ゲートウェイ、セールスマシン（例えばパブリックマシン）あるいは通信端末（ＰＣから携帯電話への通信端末）でのプログラムおよびアプリケーションの実行に関する。

通信端末でのアプリケーションの実施においては様々な手法が知られている。

例えば、仮想機械におけるＭＩＤＰ２．０プロファイルは、開発から実行まで関与する各人のニーズを考慮に入れる、ユーザに要求を突きつけない使い易いオープンスタンダードに基づくセキュリティポリシーを使用する（ユーザ、オペレータ、ＯＥＭ、信頼できる第三者機関のコンセプトは分けられる）。

セキュリティポリシーは、そのダウンロードおよび実行中にアプリケーション源のインテグリティ（完全性）および検証の保護を行なうとともに、セキュリティポリシーに従った重要なリソースへのアクセス制御、進行中の動作のユーザ警報を行ない、また、ユーザオピニオンを要求することさえできる。

「ミッドレット（Ｍｉｄｌｅｔ）」クラス（図２）の「チェック許可」方法に頼ることによって保護されるＡＰＩでは、セキュリティポリシーがかなり簡単な態様で考慮される。

これは、ＭＩＤＰファイルの呼び出し機能がＭＩＤＰプログラム（保護された機能）から直接アクセス可能であってはならないことを必要としている。

ＭＩＤＰ２．０セキュリティポリシーは、関与する様々な人々のニーズにうまく適合される。特定数の基準に従ってユーザオピニオンを要求できること（１つのセッションにおいては常に１回だけ）は非常に有益である。

それにもかかわらず、その実施は２つのタイプの問題を引き起こす。

第１に、保護された手続きの実行が呼び出し側プログラムと同じ実行空間内で行なわれ、それにより、「リーク（漏洩）」の危険が促進される。２つのミッドレットにより同時に呼び出される暗号サービスを想像すると、注意が殆ど払われない場合、１つのミッドレットが他のミッドレットにより使用される秘密鍵の内容を回復しても良いということを保証するものは何も無い。

したがって、特に、例えば決済アプリケーション、署名アプリケーションまたはＤＲＭアプリケーション等の危険アプリケーションにおいては、第１の問題は安全性を欠いている。

また、一部の偉業は、実施エラーを伴うとこの許可システムを無効にすることができることを示してきた。

ＭＩＤＰプロファイルの第２の問題は、ＭＩＤＰプロファイル自体の仕様によって引き起こされる。それは、プログラムのための正式なプルーフ方法に適合されない。これは、正式な方法でミッドレットをモデリングできないためにこれらの方法によってミッドレットをチェックできない幾つかの部門（特に金融部門）で１つの問題を引き起こす。

すなわち、このプロファイルでプログラミングされるプログラムの仕様に関して正式な方法により妥当性を証明できる技術は存在しない。

他のプロファイル、すなわちＳＴＩＰプロファイルは、ＳＩＭアクセス等のセキュリティ志向ＡＰＩへアクセスを行なうのに特に適合される。

ＳＴＩＰ仮想機械（図３）は、ＳＴＩＰプロファイルのために特に書き込まれるプログラムの機能のために使用される。

ＳＴＩＰの他の利点は、そのプログラミングモデル及びそのＡＰＩが正式な方法による解析に非常に役立つという点である。

これは、仕様に対するコード適合性を正式な方法により証明できるため、金融部門によるその導入を促すものである。

したがって、金融部門で使用されるＳＴＩＰプロファイルは、その制限により、プログラムプルーフチェックに適合される。

しかしながら、ＳＴＩＰプロファイルは、クローズドシステムのために設けられたものである（信頼できないアプリケーションを無事にダウンロードすることができない）。

したがって、セキュリティモデルがセットアップされず（仕様のバージョン２．１．１において）、そのため、任意のＳＴＩＰアプリケーション（スティップレット（ｓｔｉｐｌｅｔ））が既に実施されたＳＴＩＰタイプの任意のＡＰＩにアクセスすることができる。

したがって、ＳＴＩＰプロファイルは、ゲームまたは様々なユーティリティアプリケーション等の現在のアプリケーションをユーザがダウンロードして実行する可能性が高い端末を製造するように適合されない。

本発明の目的は、通信端末において様々なユーザアプリケーションを実施できるとともに高レベルなセキュリティを必要とするアプリケーションも実施できる構造を提案することである。

また、本発明は、特に、新たにプログラムされたアプリケーションの適切な機能の認証を容易にすることにより、アプリケーションの実施およびプログラミングを容易にしようとするものである。

一方が端末自体によって形成され且つ他方がＳＩＭカードによって形成された２つのプロセッサの物理的形態の２つの仮想機械をホストする携帯電話の原理はまさしく知られている。

ＳＩＭカードは高いセキュリティ要件をチェックし、一方、端末自体のプロセッサ及びその内容はユーザにアクセスできる。

しかしながら、前記実施は、依然として幾つかの主要な欠点を有している。

したがって、本発明の他の目的は、ネットワーク関連であってもなくても良い装置であって、例えば非セキュリティ空間（非証券化空間；ｎｏｎ−ｓｅｃｕｒｉｔｉｚｅｄ ｓｐａｃｅ）ではなくセキュリティ空間（証券化空間；ｓｅｃｕｒｉｔｉｚｅｄ ｓｐａｃｅ）がキーボードやモニタ等のユーザインタフェースにアクセスできるようにすることにより、また逆に、前記セキュリティを保証するために非セキュリティ空間が既知のオペレータとのセキュリティ通信（証券化通信；ｓｅｃｕｒｉｔｉｚｅｄ ｃｏｍｍｕｎｉｃａｔｉｏｎ）にアクセスできるようにすることにより、セキュリティ空間（証券化空間；ｓｅｃｕｒｉｔｉｚｅｄ ｓｐａｃｅ）および非セキュリティ空間（非証券化空間；ｎｏｎ−ｓｅｃｕｒｉｔｉｚｅｄ ｓｐａｃｅ）を巧みに利用する装置を提案することである。セキュリティオペレータとしては、特に、電話オペレータ、特に携帯電話オペレータ、銀行、選択的販売または決済販売を提供するマルチメディアアイテムのサプライヤ、前記装置による電子署名を必要とするサービスプロバイダについて言及しても良い。

選択的販売を提供するマルチメディアアイテムのサプライヤは特に「ＤＲＭ」（デジタル権管理）であり、これらは、ライセンスに基づいて、また、例えば一定の時間などの様々な制約下で読み取ることができるファイル形式で、一般に音楽、ビデオまたはゲームに関連するコンテンツを配給するサービスを行なう。

本発明の１つの目的は、更に、２つの関連する実行空間（一方の実行空間は、他方の実行空間よりも高いセキュリティレベルを有している）が事実上初めから互いに関連付けられることが意図され或いはそのように許可されているものであるという確実性が存在する前記手段を提案することである。

これらの目的は、本発明によれば、一連のアプリケーションを実行するための手段を備えるユーザインタフェースを有するコンピュータ装置であって、前記手段が特に仮想機械／機能プロファイル実行空間を含み、前記装置は、少なくともその仮想機械またはその機能プロファイルが前記第１の仮想機械／機能プロファイル実行空間と異なる第２の仮想機械／機能プロファイル実行空間を備え、これらの各実行空間がアプリケーションをホストし、前記第１の実行空間のアプリケーションが端末ユーザによってセットアップされて起動されるアプリケーションであるという事実により、前記第２の実行空間のアプリケーションが、前記第１の実行空間のアプリケーションよりも特に高いレベルのセキュリティを有するアプリケーションであり、更に、前記第２の実行空間のアプリケーションが端末ユーザによって変更することができないアプリケーションであるコンピュータ装置において、前記２つの実行空間は１つの同じ物理処理手段によってホストされ、前記物理処理手段は、この物理処理手段を破壊しなければ２つの部分に分離することができないようになっていることを特徴とするコンピュータ装置によって達成される。

また、本発明は、ユーザインタフェースを有するコンピュータ装置内でアプリケーションを実行するとともに、一連のアプリケーションを実行するための手段に頼る方法であって、前記手段は、特に、第１の仮想機械／機能プロファイル実行空間と、少なくともその仮想機械またはその機能プロファイルが前記第１の仮想機械／機能プロファイル実行空間と異なる第２の仮想機械／機能プロファイル実行空間とを含み、これらの各実行空間がアプリケーションをホストし、前記第１の実行空間のアプリケーションが端末ユーザによってセットアップされて起動されるアプリケーションであるという事実により、前記第２の実行空間のアプリケーションが、前記第１の実行空間のアプリケーションよりも特に高いレベルのセキュリティを有するアプリケーションであり、更に、前記第２の実行空間のアプリケーションが端末ユーザによって変更することができないアプリケーションである方法において、前記２つの実行空間は１つの同じ物理処理手段によってホストされ、前記物理処理手段は、この物理処理手段を破壊しなければ２つの部分に分離することができないようになっていることを特徴とする方法を提供する。

本発明の他の特徴、目的、利点は、添付図面を参照する以下の詳細な説明を読むことにより明らかになる。

後述する特定の実施形態は、コヒーレントな実行環境内で一例として与えられる両方の技術、すなわち、ＭＩＤＰおよびＳＴＩＰを最大限に利用することを可能にする。

「ユーザ」プロファイルは、内部に形成されるＭＩＤＰプロファイルである。このプロファイルは、ゲームや様々なユーティリティアプリケーションを作成するために携帯電話の世界では非常に良く知られている。ユーザは、ネットワーク上で見つけられたアプリケーションを通常のＭＩＤＰ電話を用いた場合と同じ方法でダウンロードして実行することができる。したがって、ＭＩＤＰプロファイルは、ユーザ自身によってセットアップされて起動されるアプリケーションを含んでいる。

ここで、ＳＴＩＰプロファイルは、更なるプロファイルを形成しており、より具体的には「オペレータ」プロファイルを形成している。ＳＴＩＰプロファイルは、銀行アプリケーション等の高いセキュリティレベルを必要とするアプリケーションにうまく適合される。国際銀行借款団は、正式な方法を使用して電子決済端末（ＥＰＴ）でのそれらの実施のためのＳＴＩＰアプリケーションを認証できる可能性に既に信頼を置いている。

したがって、本発明を用いると、開発者に対してオペレータＡＰＩアセンブリを与えることができ、オペレータＡＰＩアセンブリの実行は、同じプロファイルの空間であろうと完全に別個のプロファイルの空間であろうと、これらの開発者による簡単なプログラミングに適した実行空間内で確保される。

したがって、この実施形態によれば、オペレータは、「ルーチン」アプリケーションのための実行プロファイルから完全に独立する決済、署名またはＤＲＭなどの一群のセキュリティ（証券）アプリケーションを与えることができる。

図４に示される端末は、別個のプロファイルＰ１，Ｐ２（あるいは、別個ではない）の２つの仮想機械（バーチャルマシン）１００，２００を有しており、これらの仮想機械を協調動作させる。２つの仮想機械のうちの一方１００は、ユーザアプリケーションに専用のものであり、他方２００はオペレータアプリケーションに専用のものである。

対応するプロファイルＰ１，Ｐ２は、ここではそれぞれＭＩＤＰプロファイルおよびＳＴＩＰプロファイルであり、それ自体がそれぞれユーザアプリケーションおよびオペレータアプリケーションに専用のものである。

図４は２つの仮想機械１００，２００を示している。

「ユーザ」仮想機械１００は、必要なときに必要に応じてユーザがＭＩＤＰプロファイル内のアプリケーションをダウンロードし、インストールし、アンイストールし、実行し、停止するために使用できる。内部で動作するアプリケーション１１０は、このプロファイルのＡＰＩ１２０を使用するとともに、機械１００と同じプロファイルを有するＡＰＩ「スタブ」を使用する。図４では、このＡＰＩスタブに参照符号１３０が付されている。

参照符号２００が付された第２の機械は「オペレータ」仮想機械である。すなわち、例えば携帯電話オペレータまたはインターネットオペレータ（アクセスサプライヤ）などのオペレータだけが無線（ｏｖｅｒ ｔｈｅ ａｉｒ（ＯＴＡ））機構を介してこの実行空間を管理することができる。

オペレータは、意のままに、内部でプロファイル１００のフォーマリズムのとおりに書き込まれるアプリケーション２１０をインストールし、アンインストールし、起動し、起動を停止することができる。これらのアプリケーション２１０は、プロファイルＰ２のＡＰＩ２２０にアクセスできるとともに、図４に参照符号２３０で示される１つ以上の高レベルＡＰＩにアクセスできる。

これらの高レベルＡＰＩ２３０は、機械１００のプロファイルによって提供されるサービスへのアクセスを可能にする。ＡＰＩアクセスは、機械２００のプロファイルから機械１００のプロファイルへのアクセスであろうと或いはスタブ２３０から機械１００のプロファイルへのアクセスであろうと、機械２００のプロファイルに固有のセキュリティモデルにしたがって行なわれる。

ＡＰＩ「スタブ」１３０は、プロファイル１００のプログラミングモデルのとおりに表わされる高レベルＡＰＩであり、プロファイルＰ２によって提供されるサービスへのアクセスを行なう。ＡＰＩアクセスは、機械１００のプロファイルへのアクセスであろうと或いはスタブ１３０へのアクセスであろうと、機械１００のプロファイルＰ１に固有のセキュリティモデルにしたがって行なわれる。

スタブ１３０，２３０の機能は以下の通りである。

スタブ１３０，２３０のＡＰＩへの呼び出しは、オクテットの流れに変換される（直列化プロセスまたはマーシャリング／アンマーシャリングと呼ばれる）。

この流れは、通信チャンネル３００を介して、逆側のプロファイルのマネージャ１４０，２４０によって受けられ、非直列化され、遠隔のプロファイルでの手続きの実行に変換される。この手続きの戻り実行は、遠隔のプロファイルで再び直列化されるとともに、通信チャンネル３００において再び機械１００，２００の２つのプロファイルＰ１，Ｐ２間を行き来し、応答は、当初のプロファイル内で非直列化されてＡＰＩ「スタブ」の戻り呼び出しに変換される。

このように、２つの独立した実行空間が存在し、各実行空間は、ここでは、異なる機械と異なるプロファイルとから成っており、ＡＰＩスタブ１３０，２３０を介して非常に密接な関係を持っている。

変形例として、２つのプロファイルＰ１，Ｐ２は、同じタイプのものであっても良く、例えば２つの異なる機械において２つのＭＩＤＰプロファイルであっても良く或いは２つのＳＴＩＰプロファイルであっても構わない。

なお、１つの同じ仮想機械内で２つの異なるプロファイルＰ１，Ｐ２を採用することもできる。

したがって、この実施形態は、ＭＩＤＰアプリケーションの開発者に対して決済ＡＰＩを与え、この決済自体は、オペレータにより制御される仮想ＳＴＩＰ機械の実行下で行なわれる。

すなわち、簡単に開発されるＭＩＤＰアプリケーションは、機械２００の決済アプリケーションを通信チャンネル３００を介して動作させることによりユーザに決済の手段を与えることができる。したがって、ＭＩＤＰアプリケーションは、本発明により、非常に信頼できる決済機能を与えることができる。

２つの実行空間１００，２００はそれぞれ、プロファイルまたは仮想機械が互いに異なる仮想機械／実行プロファイル対によって形成されているが、両方とも１つの同じ物理処理装置４００（同じハードウェアエンティティ４００）によって実施される。

２つの実行空間を設けるこの処理装置は、その機能を破壊しなければ２つに分けることができないという点で独特のものである。

したがって、２つの実行空間を物理的に分離することは不可能であり、そのため、分離した空間を許可されていない他の空間と関連付けることもできない。

１つの手段を用いた前記事項の達成は、例えば１つのプロセッサを形成する１つの同じ集積回路上に２つの実行空間を導入することにより得られる。

これにより、２つの環境、すなわち、セキュリティ（証券化）環境と非セキュリティ（非証券化）環境とを分離することができなくなることが確実になる。

したがって、決済機能でセキュリティが踏みにじられることを防止しようが、暗号の守秘義務を守り或いは暗号の奪取を避けようが、電子署名の信頼性を確保しようが、あるいは、支払い可能なサービスのための限られたユーザ権を監視しようとも、オペレータ（電話技術、銀行取引、署名管理、マルチメディア配給業者）によって提供されるセキュリティは向上される。

２つの実行空間１００，Ｐ１，２００，Ｐ２のそれぞれのＰ１，Ｐ２プロファイルはそれぞれ、ＳＴＩＰプロファイルおよびＳＴＩＰ、ＭＩＤＰ、ＯＳＧＩ、「ネット」プロファイルから成るグループの一部を形成するプロファイルであることが有益である。

従来技術のＭＩＤＰ実施を示す概略図である。 前記ＭＩＤＰ実施における保護手段の実施を示す概略図である。 従来技術のＳＴＩＰ実施を示す概略図である。 本発明の好ましい改良型に係る機能構成を示している。

Claims (11)

1. 携帯電話用ユーザインタフェースを有するコンピュータ装置であって、
   第１の仮想機械および対応するプロファイルによって規定される第１の実行空間と、
   第２の仮想機械および対応するプロファイルによって規定される第２の実行空間と、
   を物理的に備える物理処理手段を備え、
   前記第１および第２の実行空間がアプリケーションをホストし、
   前記第１の実行空間の前記アプリケーションはユーザーが修正できるアプリケーションであり、
   前記第２の実行空間の前記アプリケーションはユーザーが修正できないアプリケーションであり、
   前記第１および第２の仮想機械は、前記物理処理手段の破壊によってのみ分離可能であり、
   前記第１および第２の仮想機械は、別個であり、
   前記第１および第２の仮想機械のそれぞれは、唯一のプロファイルに関連付けられていることを特徴とするコンピュータ装置。
2. 前記装置は、電話端末であることを特徴とする請求項１記載のコンピュータ装置。
3. 前記装置は、携帯電話端末であることを特徴とする請求項２記載のコンピュータ装置。
4. 前記第１および第２の実行空間同士の間で通信する手段を更に備えていることを特徴とする請求項１記載のコンピュータ装置。
5. 前記第１および第２の実行空間のうちの一方の実行空間は処理手段を備え、前記第１および第２の実行空間同士の間で通信する前記手段は、前記処理手段が、他方の実行空間でホストされるアプリケーションによって使用可能であるように構成されることを特徴とする請求項４記載のコンピュータ装置。
6. 前記第１および第２の実行空間のそれぞれが、少なくとも１つの分離されたＡＰＩを有していることを特徴とする請求項１記載のコンピュータ装置。
7. 前記第１および第２の実行空間のうちの一方の実行空間は選択されたアプリケーションによってアクセス可能な資源を備え、前記第１および第２の実行空間同士の間で通信する前記手段は、他方の実行空間による、前記一方の実行空間の資源の使用を可能にするＡＰＩスタブを有していることを特徴とする請求項４記載のコンピュータ装置。
8. 前記第１および第２の実行空間同士の間で通信する前記手段は、直列化／非直列化またはマーシャリング／アンマーシャリングを実施する手段を有していることを特徴とする請求項４記載のコンピュータ装置。
9. 前記第１および第２の実行空間のうちの一方の実行空間がＳＴＩＰタイプのプロファイルを含んでいることを特徴とする請求項１記載のコンピュータ装置。
10. 前記第１および第２の実行空間のうちの一方の実行空間がＭＩＤＰタイプのプロファイルを含んでいることを特徴とする請求項１記載のコンピュータ装置。
11. 前記第１および第２の実行空間のうちの一方の実行空間がＳＴＩＰタイプのプロファイルを含み、他方の実行空間がＳＴＩＰ、ＭＩＤＰ、ＯＳＧＩ、ネットのうちから選択されたタイプのプロファイルを含んでいることを特徴とする請求項１記載のコンピュータ装置。

Images