JP4896225B2 - 情報処理端末及び改ざん検証方法 - Google Patents

Description

本発明は、起動時に、状況に応じて改ざん検証を行う情報処理端末及び改ざん検証方法に関する。

携帯電話やＰＤＡ等を含む情報処理端末は、電源を入れたとき等に実行する起動シーケンスの一ステップとして、ＯＳの起動前にプログラムの改ざん検証を行う。この改ざん検証が終了するまでには、端末の性能にもよるが、秒単位の時間を要する。さらに、改ざん検証は、情報処理端末の起動時に毎回行われる。このため、情報処理端末のユーザは、情報処理端末の電源を入れて操作可能な状態となるまでの間、改ざん検証の終了及びＯＳの起動完了を待たなければならない。

特許文献１に開示されている技術では、オペレーティングシステムソフトウェアの実行前に、そのオペレーティングシステムソフトウェアの整合性を証明して、そのオペレーティングシステムソフトウェアの整合性の有無を示す状態フラグを保存することによって、外部デバイスとの間でのセキュアな処理環境を確立している。このように、フラグを参照することによってセキュアな処理環境であるか否かを判別することができる。

特許文献２に開示されている技術では、情報処理装置の正常性をテストするか否かを示す制御フラグを保持しておき、情報処理装置の電源投入時、制御フラグの内容を判別し、判別結果によりテストを実行するか省略するか制御している。但し、制御フラグは、情報処理装置のオペレータによる操作によって書き換えられる。

特開２００６−２２１６３１号公報 特開昭６０−５３４６号公報

上記説明したように、情報処理端末の起動のたびに改ざん検証を行うと起動時間がその分長くなるため、起動時間を短縮できた方が好ましい。起動時間の短縮を実現するための一方法として、特許文献２の技術の利用が考えられる。しかし、当該技術では、正常性のテスト（改ざん検証）を実行するか省略するかを判別するための制御フラグは、オペレータによる操作がなければ変更できない。このため、プログラムが書き換えられた可能性がある場合に自動的にフラグを変更し、情報処理端末の起動時に、当該フラグに応じて改ざん検証を行う技術が望まれている。

本発明の目的は、起動時に、プログラムが書き換えられた可能性がある場合のみ改ざん検証を行う情報処理端末及び改ざん検証方法を提供することである。

本発明は、起動時に改ざん検証を行う情報処理端末であって、外部接続部の接続又は外部接続部を介したデータ受信を検知して、当該情報処理端末に格納されているプログラムが書き換えられ得る状態であるかを判断する状態検知部と、当該情報処理端末の起動時に参照されるフラグを記憶するフラグ記憶部と、前記状態検知部による前記プログラムが書き換えられ得る状態であるとの判断結果に応じて、前記フラグを立てて前記フラグ記憶部に記録するフラグ制御部と、当該情報処理端末の起動時に、前記フラグのステータスに応じて改ざん検証の実施の要否を判断し、前記フラグ記憶部のフラグが立っている場合のみ前記プログラムの改ざん検証を行う改ざん検証部と、を備えた情報処理端末を提供する。

上記情報処理端末では、前記状態検知部は、当該情報処理端末に外部メモリデバイスが接続されたとき、又は、当該情報処理端末が外部接続部を介して所定量以上のデータを受信したとき、又は当該情報処理端末が外部接続部を介して所定量以下のデータの受信を所定回数連続して行ったときを前記プログラムが書き換えられ得る状態であると判断する。

上記情報処理端末は、電池の装着を検知して、前記電池の装着を示す信号を出力する電池装着検知部を備え、前記フラグ制御部は、前記電池装着検知部から出力された前記信号に応じて、前記フラグ記憶部が記憶する前記フラグを立てる。

上記情報処理端末は、過去に行った最後の改ざん検証を行った日時情報を記憶する記憶部を備え、前記フラグ制御部は、前記日時情報が示す日時から所定時間が経過している場合に前記フラグを立てる。

上記情報処理端末は、当該情報処理端末に接続された外部接続部に対する認証の有無を検知する認証処理部を備え、前記状態検知部は、前記認証処理部が当該情報処理端末に接続された外部接続部の認証を検知した場合に、前記プログラムが書き換えられ得る状態ではないと判断する。

本発明は、情報処理端末の外部接続部への接続又は外部接続部を介したデータ受信を検知し、前記情報処理端末に格納されているプログラムが書き換えられ得る状態であるかを判断する状態検知ステップと、前記状態検知ステップによる前記プログラムが書き換えられ得る状態であるとの判断結果に応じて、フラグを立てるフラグ制御ステップと、前記情報処理端末の起動時に、前記フラグのステータスに応じて改ざん検証の実施の要否を判断し、前記フラグが立っている場合のみ前記プログラムの改ざん検証を行う改ざん検証ステップと、を備えた改ざん検証方法を提供する。

本発明に係る情報処理端末及び改ざん検証方法によれば、起動時に、プログラムが書き換えられた可能性がある場合のみ改ざん検証を行うため、情報処理端末の起動のたびに改ざん検証は行われない。このため、フラグのステータスに応じて起動時間を短縮することができる。また、フラグのスタータスは、状態検知部による判断結果に基づいて変更されるため、フラグのステータスを改ざん可能状況に応じて設定することができる。このように、起動時間とセキュリティを両立した起動シーケンスを提供することができる。

一実施形態の情報処理端末を示すブロック図 情報処理端末の電源を入れたときの当該情報処理端末の動作を示すフローチャート 外部Ｉ／Ｆの接続又は外部Ｉ／Ｆを介したデータ受信を検知したときの情報処理端末の動作を示すフローチャート

以下、本発明の実施形態について、図面を参照して説明する。

図１は、一実施形態の情報処理端末を示すブロック図である。図１に示すように、本実施形態の情報処理端末は、プログラム保存部１０１と、外部Ｉ／Ｆ接続検知部１０３と、フラグ制御部１０５と、フラグ記憶部１０７と、改ざん検証部１０９とを備える。なお、フラグ制御部１０５が実行するフラグ制御のためのプログラムデータ、フラグ記憶部１０７に保存されているデータ、及び改ざん検証部１０９が実行する改ざん検証のためのプログラムデータは、暗号化等により保護された形態で所定の記憶領域１５１に格納されている。図示していないが、本実施形態の情報処理端末には、ＵＳＢ機器を接続するための端子、メモリカードを挿入するためのスロット、及び外部の装置と有線又は無線通信を行うための手段が設けられている。

プログラム保存部１０１は、書き換え可能な記録媒体であり、情報処理端末で実行される平文のプログラムデータを記憶する。外部Ｉ／Ｆ接続検知部１０３は、情報処理端末へのＵＳＢ機器やメモリカード等の外部Ｉ／Ｆの接続や、有線又は無線通信による外部Ｉ／Ｆを介したデータ受信を検知して、プログラム保存部１０１に保存されているプログラムが書き換えられ得る状態か否かを判断する。プログラムが書き換えられ得る状態の詳細は後述する。

フラグ制御部１０５は、外部Ｉ／Ｆ接続検知部１０３による判断結果に基づいて、フラグ記憶部１０７が記憶するフラグのステータスを制御する。フラグの状態の制御とは、フラグを立てる又は下ろすといった、フラグ記憶部１０７が記憶するフラグのステータスの変更をいう。フラグ記憶部１０７は、情報処理端末の起動時に改ざん検証部１０９が参照するフラグを記憶する。フラグのステータスには２種類あり、「フラグＯＮ」又は「フラグＯＦＦ」である。「フラグＯＮ」はフラグが立った状態を示し、「フラグＯＦＦ」はフラグが立っていない状態を示す。

改ざん検証部１０９は、情報処理端末の起動時に、フラグ記憶部１０７が記憶するフラグのステータスに応じて改ざん検証の実施の要否を判断する。フラグのステータスが「フラグＯＮ」の場合のみ、改ざん検証部１０９は、プログラム保存部１０１に保存されているプログラムの改ざん検証を行う。なお、プログラムの改ざん検証とは、プログラムが改ざんされているか否かを検証することである。

以下、プログラム保存部１０１に保存されているプログラムが書き換えられ得る状態について、詳細に説明する。外部Ｉ／Ｆ接続検知部１０３は、以下に挙げる状態を、プログラムが書き換えられ得る状態であると判断する。
（１）情報処理端末にＵＳＢフラッシュメモリ等のＵＳＢ機器が接続された状態
（２）情報処理端末にメモリカードが接続された状態
（３）情報処理端末が、有線又は無線通信により外部Ｉ／Ｆを介して所定量以上のデータを受信した状態
（４）情報処理端末が、有線又は無線通信により外部Ｉ／Ｆを介して所定量以下のデータの受信を所定回数連続して行った状態

外部Ｉ／Ｆ接続検知部１０３は、情報処理端末が上述した（１）〜（４）のいずれかの状態となったとき、プログラムが書き換えられ得る状態である旨を示す信号をフラグ制御部１０５に送る。フラグ制御部１０５は、この信号に応じて、フラグ記憶部１０７が記憶するフラグのステータスを「フラグＯＮ」に変更する。

図２は、本実施形態の情報処理端末の電源を入れたときの当該情報処理端末の動作を示すフローチャートである。図２に示すように、情報処理端末の電源が投入されたとき、ステップＳ２０１で、改ざん検証部１０９は、フラグ記憶部１０７が記憶するフラグのステータスに応じて改ざん検証の実施の要否を判断する。フラグのステータスが「フラグＯＮ」であれば、ステップＳ２０３に進んで改ざん検証を行い、フラグのステータスが「フラグＯＦＦ」であれば、改ざん検証は行わずにステップＳ２０９に進んでＯＳを起動する。

ステップＳ２０３で、改ざん検証部１０９は、プログラム保存部１０１に保存されているプログラムの改ざん検証を行う。次に、ステップＳ２０５で、改ざん検証部１０９は、ステップＳ２０３での改ざん検証の結果、プログラムが改ざんされていないと判断した場合はステップＳ２０７に進み、プログラムが改ざんされていると判断した場合はステップＳ２１１に進む。

ステップＳ２０７では、改ざん検証部１０９は、改ざんがないことを示す信号をフラグ制御部１０５に送り、フラグ制御部１０５は、この信号に応じて、フラグ記憶部１０７に記憶されているフラグのステータスを「フラグＯＦＦ」に変更する。次に、ステップＳ２０９に進み、情報処理端末はＯＳを起動する。一方、ステップＳ２１１では、情報処理端末はＯＳの起動は行わず、ＬＥＤランプを発光させたりブザー音を発するといった改ざん認知処理を行う。

図３は、外部Ｉ／Ｆの接続又は外部Ｉ／Ｆを介したデータ受信を検知したときの本実施形態の情報処理端末の動作を示すフローチャートである。図３に示すように、外部Ｉ／Ｆの接続又は外部Ｉ／Ｆを介したデータ受信を検知したとき、ステップＳ３０１で、外部Ｉ／Ｆ接続検知部１０３は、プログラム保存部１０１に保存されているプログラムが書き換えられ得る状態か否かを判断する。プログラムが書き換えられ得る状態であればステップＳ３０３に進み、プログラムが書き換えられ得る状態でなければ何も行わない。

ステップＳ３０３では、外部Ｉ／Ｆ接続検知部１０３は、プログラムが書き換えられ得る状態である旨を示す信号をフラグ制御部１０５に送り、フラグ制御部１０５は、この信号に応じて、フラグ記憶部１０７が記憶するフラグのステータスを「フラグＯＮ」に変更する。

上記説明では、情報処理端末が上記（１）〜（４）に示される状態であると外部Ｉ／Ｆ接続検知部１０３が判断したときに、フラグ制御部１０５がフラグのステータスを「フラグＯＮ」に変更すると説明したが、（１）〜（４）の状態以外の状態のときにもフラグのステータスを「フラグＯＮ」に変更しても良い。例えば、情報処理端末に電池を装着したとき、フラグ制御部１０５は、フラグのステータスを「フラグＯＮ」に変更しても良い。この場合、情報処理端末は、電池の装着を検知して、電池の装着を示す信号を出力する電池装着検知部（図示せず）を備える。フラグ制御部１０５は、電池装着検知部から出力されたこの信号に応じて、フラグのステータスを「フラグＯＮ」に変更する。

また、フラグ制御部１０５は、過去に行った最後の改ざん検証から所定時間が経過したとき、フラグのステータスを「フラグＯＮ」に変更しても良い。この場合、情報処理端末は、過去に行った最後の改ざん検証を行った日時情報を記憶する記憶部（図示せず）を備える。フラグ制御部１０５は、この記憶部が記憶する日時情報を参照して、当該日時情報が示す日時から所定時間が経過していればフラグのステータスを「フラグＯＮ」に変更する。

一方、外部Ｉ／Ｆ接続検知部１０３が上記（１）の状態（情報処理端末にＵＳＢ機器が接続された状態）と判断しても、接続されたＵＳＢ機器が認証されていれば、外部Ｉ／Ｆ接続検知部１０３は、プログラムが書き換えられ得る状態でないと判断しても良い。この場合、外部Ｉ／Ｆ接続検知部１０３は、接続されたＵＳＢ機器に対する認証の有無を検知する認証処理部（図示せず）を有する。

以上説明したように、本実施形態の情報処理端末は、フラグのステータスが「フラグＯＮ」のときのみ起動時に改ざん検証を行い、プログラムが書き換えられた可能性がないとき（「フラグＯＦＦ」のとき）は改ざん検証を行わない。このように、情報処理端末の起動のたびに改ざん検証は行われないため、フラグのステータスに応じて起動時間を短縮することができる。また、フラグのステータスは、情報処理端末への外部Ｉ／Ｆの接続や外部Ｉ／Ｆを介したデータ受信に応じて変更されるため、フラグのステータスを改ざん可能状況に応じて設定することができる。このように、起動時間とセキュリティを両立した起動シーケンスを提供することができる。

本発明を詳細にまた特定の実施態様を参照して説明したが、本発明の精神と範囲を逸脱することなく様々な変更や修正を加えることができることは当業者にとって明らかである。

本発明に係る情報処理端末及び改ざん検証方法は、起動時に、プログラムが書き換えられた可能性がある場合のみ改ざん検証を行う装置等として有用である。

１０１ プログラム保存部
１０３ 外部Ｉ／Ｆ接続検知部
１０５ フラグ制御部
１０７ フラグ記憶部
１０９ 改ざん検証部

Claims (6)

1. 起動時に改ざん検証を行う情報処理端末であって、
   外部接続部の接続又は外部接続部を介したデータ受信を検知して、当該情報処理端末に格納されているプログラムが書き換えられ得る状態であるかを判断する状態検知部と、
   当該情報処理端末の起動時に参照されるフラグを記憶するフラグ記憶部と、
   前記状態検知部による前記プログラムが書き換えられ得る状態であるとの判断結果に応じて、前記フラグを立てて前記フラグ記憶部に記録するフラグ制御部と、
   当該情報処理端末の起動時に、前記フラグのステータスに応じて改ざん検証の実施の要否を判断し、前記フラグ記憶部のフラグが立っている場合のみ前記プログラムの改ざん検証を行う改ざん検証部と、
   を備えた情報処理端末。
2. 請求項１に記載の情報処理端末であって、
   前記状態検知部は、
   当該情報処理端末に外部メモリデバイスが接続されたとき、又は、当該情報処理端末が外部接続部を介して所定量以上のデータを受信したとき、又は当該情報処理端末が外部接続部を介して所定量以下のデータの受信を所定回数連続して行ったときを前記プログラムが書き換えられ得る状態であると判断することを特徴とする情報処理端末。
3. 請求項１に記載の情報処理端末であって、
   電池の装着を検知して、前記電池の装着を示す信号を出力する電池装着検知部を備え、
   前記フラグ制御部は、前記電池装着検知部から出力された前記信号に応じて、前記フラグ記憶部が記憶する前記フラグを立てることを特徴とする情報処理端末。
4. 請求項１に記載の情報処理端末であって、
   過去に行った最後の改ざん検証を行った日時情報を記憶する記憶部を備え、
   前記フラグ制御部は、前記日時情報が示す日時から所定時間が経過している場合に前記フラグを立てることを特徴とする情報処理端末。
5. 請求項１に記載の情報処理端末であって、
   当該情報処理端末に接続された外部接続部に対する認証の有無を検知する認証処理部を備え、
   前記状態検知部は、前記認証処理部が当該情報処理端末に接続された外部接続部の認証を検知した場合に、前記プログラムが書き換えられ得る状態ではないと判断することを特徴とする情報処理端末。
6. 情報処理端末の外部接続部への接続又は外部接続部を介したデータ受信を検知し、前記情報処理端末に格納されているプログラムが書き換えられ得る状態であるかを判断する状態検知ステップと、
   前記状態検知ステップによる前記プログラムが書き換えられ得る状態であるとの判断結果に応じて、フラグを立てるフラグ制御ステップと、
   前記情報処理端末の起動時に、前記フラグのステータスに応じて改ざん検証の実施の要否を判断し、前記フラグが立っている場合のみ前記プログラムの改ざん検証を行う改ざん検証ステップと、
   を備えた改ざん検証方法。

Images