JP4906854B2 - 情報処理装置、情報記録装置、情報処理システム、プログラムアップデート方法、プログラムおよび集積回路 - Google Patents
情報処理装置、情報記録装置、情報処理システム、プログラムアップデート方法、プログラムおよび集積回路 Download PDFInfo
- Publication number
- JP4906854B2 JP4906854B2 JP2008523676A JP2008523676A JP4906854B2 JP 4906854 B2 JP4906854 B2 JP 4906854B2 JP 2008523676 A JP2008523676 A JP 2008523676A JP 2008523676 A JP2008523676 A JP 2008523676A JP 4906854 B2 JP4906854 B2 JP 4906854B2
- Authority
- JP
- Japan
- Prior art keywords
- information
- program
- information processing
- processing apparatus
- update
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 230000010365 information processing Effects 0.000 title claims description 212
- 238000000034 method Methods 0.000 title claims description 49
- 238000003860 storage Methods 0.000 claims description 75
- 238000012790 confirmation Methods 0.000 claims description 54
- 230000008569 process Effects 0.000 claims description 28
- 238000004590 computer program Methods 0.000 claims description 14
- 238000005259 measurement Methods 0.000 claims description 12
- 230000005540 biological transmission Effects 0.000 claims description 7
- 238000012795 verification Methods 0.000 claims description 4
- 238000003672 processing method Methods 0.000 claims 3
- 238000012545 processing Methods 0.000 description 39
- 238000004891 communication Methods 0.000 description 19
- 230000006870 function Effects 0.000 description 16
- 238000009826 distribution Methods 0.000 description 13
- 238000010586 diagram Methods 0.000 description 7
- 230000004913 activation Effects 0.000 description 6
- 238000005516 engineering process Methods 0.000 description 5
- 238000004364 calculation method Methods 0.000 description 4
- 230000010354 integration Effects 0.000 description 4
- 230000000694 effects Effects 0.000 description 3
- 230000007246 mechanism Effects 0.000 description 3
- 230000008859 change Effects 0.000 description 2
- 230000007547 defect Effects 0.000 description 2
- 230000001771 impaired effect Effects 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 239000004065 semiconductor Substances 0.000 description 2
- 238000010200 validation analysis Methods 0.000 description 2
- 238000004422 calculation algorithm Methods 0.000 description 1
- 239000000470 constituent Substances 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000008929 regeneration Effects 0.000 description 1
- 238000011069 regeneration method Methods 0.000 description 1
- 230000004044 response Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/44—Program or device authentication
- G06F21/445—Program or device authentication by mutual authentication, e.g. between devices or programs
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/51—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems at application loading time, e.g. accepting, rejecting, starting or inhibiting executable software based on integrity or source reliability
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/575—Secure boot
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
- H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
- H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2129—Authenticate client device independently of the user
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Multimedia (AREA)
- Technology Law (AREA)
- Storage Device Security (AREA)
Description
本発明は、プログラムによって動作する情報処理装置について、プログラムを確実に更新する技術に関する。
デジタルコンテンツの普及により、コンテンツの不正コピーが社会問題となっている。コンテンツの処理機能をソフトウェアで実現する場合、不正コピーを試みる悪意のあるユーザからプログラムを保護する必要がある。コンテンツの処理機能を実現するプログラムが悪意のあるユーザから改竄や盗聴された場合、コンテンツが平文状態で抜き取られたり、プログラムからコンテンツを暗号化している鍵を不正取得されコンテンツが復号化される危険性がある。デジタルコンテンツは、インターネットによる再配布が容易なため、平文状態のコンテンツが不正に配布されると権利者の利益が大きく損なわれる。このような事態を防止するため、コンテンツの処理プログラムへの攻撃を防止することは重要である。
しかしながら、処理プログラムのリリース時には、セキュリティホールがない完全なプログラムの提供を保証することは難しいため、悪意のあるユーザがこれらのセキュリティホールを突いてコンテンツ処理用のプログラムを改竄し、デジタルコンテンツを不正にコピーすることなどが予想される。このような事実が判明した場合には、そのプログラムをセキュリティホールへの対策を施した新しいプログラムに更新する必要があるが、そのような技術として以下のような技術がある。
例えば、特許文献１では、更新プログラムを供給するサーバと、端末のアップデートモジュールとが相互認証を行い、お互い正しいと認識しあった場合に、更新プログラムを渡し、端末内のプログラムをその更新プログラムでアップデートする技術が開示されている。また、特許文献２では、更新プログラムを格納するカードと端末のアップデートモジュールとが相互認証を行った上で、カードに格納されている更新プログラムを端末が取得し、端末自身が端末のプログラムをアップデートする技術が開示されている。
特開平１０−１９８５７１号公報
特開２００３−３３０７４５号公報
従来技術によるプログラムのアップデートは、更新プログラムを供給するカードやサーバと、端末のアップデートモジュールとが相互認証を行い、お互い正しいと認識しあった後、更新プログラムを渡す構成となっている。この仕組みは端末側のアップデートモジュールの信頼性に依存した方法である。
しかし、従来技術では、端末がハッキングされている場合、アップデートモジュールの信頼性が損なわれている可能性があるので、確実なプログラムのアップデートを保証することは困難である。例えば、アップデートモジュールもソフトウェアで構成されている場合、アップデートモジュール自身もハッキングされている可能性がある。この場合、アップデートモジュール自体が改竄されていると、本来のアップデート処理自体を回避したり、アップデートが必要であるか否かの判断を誤らせることができるので、ソフトウェアのアップデートを強制することができなくなる。
しかし、従来技術では、端末がハッキングされている場合、アップデートモジュールの信頼性が損なわれている可能性があるので、確実なプログラムのアップデートを保証することは困難である。例えば、アップデートモジュールもソフトウェアで構成されている場合、アップデートモジュール自身もハッキングされている可能性がある。この場合、アップデートモジュール自体が改竄されていると、本来のアップデート処理自体を回避したり、アップデートが必要であるか否かの判断を誤らせることができるので、ソフトウェアのアップデートを強制することができなくなる。
アップデートモジュール自身のハッキングを防止するためには、プログラム更新システムに対して更新対象のプログラムより強固な耐タンパシールドが必要となる。従来技術では耐タンパ化の例として、プログラム更新システムをハードウェアによりすべて構成する方法が開示されているが、プログラム更新システムはインターネットとの通信等も含むので大規模なシステムとなることが多く、全体をハードウェアとすることは事実上困難である。
そこで本発明は、上記の問題点に鑑みなされたものであって、プログラムのアップデートモジュールが信頼できない状態であっても、プログラムアップデートを確実に行わせることが可能な情報処理システム、情報記録装置、情報処理装置、プログラム更新方法、コンピュータプログラム及び集積回路を提供することを目的とする。
上記目的を達成するために、本発明は、情報処理装置と、前記情報処理装置に脱着可能な可搬型の情報記録装置とから構成される情報処理システムであって、前記情報処理装置は、当該情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムを格納している第１格納手段と、ロードされるときに前記動作プログラムの特徴を示す特徴量を測定する測定手段と、前記情報記録装置に対して、秘密情報を要求する要求手段と、前記情報記録装置における前記動作プログラムの正当性の確認結果に応じて、秘密情報及び更新プログラムのいずれか一方を受信する受信手段と、更新プログラムを受信した場合に、受信した更新プログラムに従って、前記第１格納手段に格納されている前記動作プログラムを更新する更新手段とを備え、前記情報記録装置は、秘密情報を安全に保持する情報保持手段と、前記動作プログラムの更新のための更新プログラムを格納している第２格納手段と、前記情報処理装置から秘密情報の要求を受信する受信手段と、前記要求を受信すると、前記測定手段により測定された前記特徴量を用いて、前記動作プログラムの正当性を判断する判断手段と、正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記情報処理装置へ出力し、正当でないと確認された場合、前記第２格納手段に格納されている前記更新プログラムを前記情報処理装置へ出力する出力手段とを備える。
また、前記情報記録装置は、さらに、過去に接続された情報処理装置を識別する装置識別子を格納している識別子格納手段と、サーバ装置から、ネットワーク及び当該ネットワークに接続された前記情報処理装置を介して、前記識別子格納手段に格納されている装置識別子に関連付けられている前記更新プログラムを取得し、取得した前記更新プログラムを前記第２格納手段に書き込む第１取得手段と、正当性情報格納手段と、前記サーバ装置から、ネットワーク及び当該ネットワークに接続された前記情報処理装置を介して、前記第２格納手段に格納されている前記更新プログラムに関連付けられ、前記動作プログラムの正当性を確認するための正当性確認情報を取得し、取得した正当性確認情報を前記正当性情報格納手段に書き込む第２取得手段とを含み、前記判断手段は、前記正当性情報格納手段に書き込まれている前記正当性確認情報に基づいて、前記動作プログラムの正当性を判断するとしてもよい。
これらの構成によると、情報処理装置が、受信した更新プログラムにより動作プログラムを更新しなければ、情報処理装置が所望する秘密情報の取得ができないので、情報処理装置に対して、動作プログラムの更新を強制することができる。
こうして、アップデートモジュール自体の信頼性に依存することなく、確実にプログラムをアップデートすることが可能となる。
こうして、アップデートモジュール自体の信頼性に依存することなく、確実にプログラムをアップデートすることが可能となる。
また、リボークされた情報処理装置を動作不能にすることなく、不正な情報処理装置をプログラムのアップデートにより正当な情報処理装置にすることができるので、継続して当該情報処理装置の使用を許可できる。こうして、リボークして動作不能にすることによるユーザへの被害を防止することができる。
また、可搬型の情報記録装置によりプログラムをアップデートしているので、インターネットに接続できない情報処理装置であっても、プログラムのアップデートが可能となり、情報処理装置への適用範囲を拡大することができる。
また、可搬型の情報記録装置によりプログラムをアップデートしているので、インターネットに接続できない情報処理装置であっても、プログラムのアップデートが可能となり、情報処理装置への適用範囲を拡大することができる。
また、本発明は、情報処理装置に脱着可能な可搬型の情報記録装置であって、秘密情報を安全に保持する情報保持手段と、前記情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムの更新のための更新プログラムを格納しているプログラム格納手段と、前記情報処理装置から秘密情報の要求を受信する受信手段と、前記要求を受信すると、前記情報処理装置から取得し、前記動作プログラムの特徴を示す測定特徴量を用いて、前記動作プログラムの正当性を判断する判断手段と、正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記情報処理装置へ出力し、正当でないと確認された場合、前記プログラム格納手段に格納されている前記更新プログラムを前記情報処理装置へ出力する出力手段とを備える。
この構成によると、情報処理装置が、受信した更新プログラムにより動作プログラムを更新しなければ、情報処理装置が所望する秘密情報の取得ができないので、情報処理装置に対して、動作プログラムの更新を強制することができる。
こうして、アップデートモジュール自体の信頼性に依存することなく、確実にプログラムをアップデートすることが可能となる。
こうして、アップデートモジュール自体の信頼性に依存することなく、確実にプログラムをアップデートすることが可能となる。
ここで、前記情報記録装置は、さらに、正当な動作プログラムの特徴を示す正規特徴量を格納する正規情報格納手段を含み、前記判断手段は、前記情報処理装置から取得した測定特徴量と前記正規特徴量とを比較することにより、前記動作プログラムの正当性を判断してもよい。
この構成によれば、情報記録装置は、情報処理装置に格納されている動作プログラムが正当であるか否かを、動作プログラムの特徴を示す特徴量に基づいて確認することができる。仮に、情報処理装置に格納されている動作プログラムが不正に改ざんされているなら、不正に改ざんされた動作プログラムから得られる測定特徴量と、正規特徴量とは一致しないので、動作プログラムの改ざんを確実に検出することができる。
この構成によれば、情報記録装置は、情報処理装置に格納されている動作プログラムが正当であるか否かを、動作プログラムの特徴を示す特徴量に基づいて確認することができる。仮に、情報処理装置に格納されている動作プログラムが不正に改ざんされているなら、不正に改ざんされた動作プログラムから得られる測定特徴量と、正規特徴量とは一致しないので、動作プログラムの改ざんを確実に検出することができる。
ここで、前記プログラム格納手段は、少なくとも過去に接続された１台以上の情報処理装置を識別する装置識別子と、前記情報処理装置のそれぞれに向けた更新プログラムとを対応付けて格納し、前記出力手段は、前記要求の発信元である前記情報処理装置を識別する装置識別子に対応する情報処理装置向けの更新プログラムを出力してもよい。
この構成によれば、各情報処理装置に対して適切な更新プログラムを出力することができる。
この構成によれば、各情報処理装置に対して適切な更新プログラムを出力することができる。
ここで、前記受信手段は、さらに、前記要求と共に前記要求の発信元である前記情報処理装置を識別する装置識別子を取得し、前記プログラム格納手段は、過去に前記要求を行った１以上の情報処理装置を識別する装置識別子と、前記情報処理装置のそれぞれに向けた更新プログラムとを対応付けて格納し、前記出力手段は、前記要求とともに受信した装置識別子に対応する情報処理装置向けの更新プログラムを出力してもよい。
この構成によれば、情報記録装置が複数の情報処理装置で共有される場合でも、各情報処理装置に対して適切な更新プログラムを出力することができる。
ここで、前記プログラム格納手段は、さらに、新たな情報処理装置からの前記要求を受信すると、新たな情報処理装置を識別する装置識別子を追加して格納してもよい。
この構成によれば、情報記録装置は、過去に要求を受け付けた情報処理装置の全てについて、更新プログラムの管理を行うことができる。
ここで、前記プログラム格納手段は、さらに、新たな情報処理装置からの前記要求を受信すると、新たな情報処理装置を識別する装置識別子を追加して格納してもよい。
この構成によれば、情報記録装置は、過去に要求を受け付けた情報処理装置の全てについて、更新プログラムの管理を行うことができる。
ここで、前記情報記録装置は、さらに、前記更新プログラムを提供するサーバ装置に対して、前記プログラム格納手段に格納されている情報処理装置を識別する装置識別子を送信する送信手段と、前記サーバ装置から、送信した前記装置識別子に対応する情報処理装置用の更新プログラムを取得する取得手段とを含み、前記プログラム格納手段は、さらに、取得した前記更新プログラムを前記装置識別子と対応付けて記録してもよい。
この構成によれば、情報記録装置は、自身が管理している情報処理装置について、更新プログラムのバージョンアップがあった場合、バージョンアップ後の更新プログラムを取
得して記録することができる。
また、本発明は、可搬型の情報記録装置が装着される情報処理装置であって、当該情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムを格納している第１格納手段と、ロードされるときに前記動作プログラムの特徴を示す特徴量を測定する測定手段と、前記情報記録装置に対して、秘密情報を要求する要求手段と、前記情報記録装置における前記動作プログラムの正当性の確認結果に応じて、秘密情報及び更新プログラムのいずれか一方を受信する受信手段と、更新プログラムを受信した場合に、受信した更新プログラムに従って、前記第１格納手段に格納されている前記動作プログラムを更新する更新手段とを備える。
得して記録することができる。
また、本発明は、可搬型の情報記録装置が装着される情報処理装置であって、当該情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムを格納している第１格納手段と、ロードされるときに前記動作プログラムの特徴を示す特徴量を測定する測定手段と、前記情報記録装置に対して、秘密情報を要求する要求手段と、前記情報記録装置における前記動作プログラムの正当性の確認結果に応じて、秘密情報及び更新プログラムのいずれか一方を受信する受信手段と、更新プログラムを受信した場合に、受信した更新プログラムに従って、前記第１格納手段に格納されている前記動作プログラムを更新する更新手段とを備える。
この構成によると、情報処理装置が、受信した更新プログラムにより動作プログラムを更新しなければ、情報処理装置が所望する秘密情報の取得ができないので、情報処理装置に対して、動作プログラムの更新を強制することができる。
ここで、前記測定手段は、耐タンパ化により保護されているとしてもよい。
この構成によれば、不正解析者による特徴情報の改ざんを防止できるので、情報処理装置を動作させているプログラムが不正なものである場合に、より確実に更新プログラムへのアップデートを行わせることができる。また、特徴情報算出手段さえ保護していれば、上述した不正を防止できるので、装置全体を耐タンパ化する場合に比べて、低コストでプログラムのアップデートを強制することができる。
ここで、前記測定手段は、耐タンパ化により保護されているとしてもよい。
この構成によれば、不正解析者による特徴情報の改ざんを防止できるので、情報処理装置を動作させているプログラムが不正なものである場合に、より確実に更新プログラムへのアップデートを行わせることができる。また、特徴情報算出手段さえ保護していれば、上述した不正を防止できるので、装置全体を耐タンパ化する場合に比べて、低コストでプログラムのアップデートを強制することができる。
ここで、サーバ装置と、ネットワークを介して前記サーバ装置に接続可能な第１情報処理装置と、前記サーバ装置に対する前記ネットワークを介した接続機能を有さない第２情報処理装置と、各情報処理装置に脱着可能な可搬型の情報記録装置とから構成される情報処理システムであって、前記第２情報処理装置は、無効化されており、前記サーバ装置は、前記第２情報処理装置を動作対象とする動作プログラムの更新のための更新プログラムを記憶しており、前記情報記録装置が前記第１情報処理装置に装着され、前記第１情報処理装置は、前記サーバ装置からネットワークを介して前記更新プログラムを取得し、取得した前記更新プログラムを前記情報記録装置へ出力し、前記情報記録装置が前記第２情報処理装置に装着され、前記情報記録装置は、秘密情報を安全に保持する情報保持手段と、前記第１情報処理装置から前記更新プログラムを受信して格納する第１格納手段と、前記第２情報処理装置から秘密情報の要求を受信する受信手段と、前記要求を受信すると、前記第２情報処理装置において測定された特徴量を用いて、前記第２情報処理装置に格納されている動作プログラムの正当性を判断する判断手段と、正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記第２情報処理装置へ出力し、正当でないと確認された場合、前記第２格納手段に格納されている前記更新プログラムを前記第２情報処理装置へ出力する出力手段とを備え、前記第２情報処理装置は、当該第２情報処理装置を動作対象とし、複数のコンピュータ命令を含む前記動作プログラムを格納している第２格納手段と、ロードされるときに前記動作プログラムの特徴を示す特徴量を測定する測定手段と、前記情報記録装置に対して、秘密情報を要求する要求手段と、前記情報記録装置における前記動作プログラムの正当性の確認結果に応じて、秘密情報及び更新プログラムのいずれか一方を受信する受信手段と、更新プログラムを受信した場合に、受信した更新プログラムに従って、前記第２格納手段に格納されている前記動作プログラムを更新する更新手段とを備えるとしてもよい。
この構成によると、ネットワークに接続できない情報処理装置であっても、プログラムのアップデートが可能となり、情報処理装置への適用範囲を拡大することができる。
また、本発明を、上述した特徴を持つ情報記録装置および情報処理装置から構成される情報処理システム、プログラムアップデート方法、プログラム、および集積回路として実現した場合もそれぞれ同様の効果を発揮することができる。
また、本発明を、上述した特徴を持つ情報記録装置および情報処理装置から構成される情報処理システム、プログラムアップデート方法、プログラム、および集積回路として実現した場合もそれぞれ同様の効果を発揮することができる。
以下、本発明の実施の形態について、図面を参照しながら説明する。
図１は、コンテンツ配布システム０１００の構成を示している。コンテンツ配布システム０１００は、サーバ０１０１、端末Ａ０１０２、端末Ｂ０１０３〜端末Ｍ０１０４、端末Ｎ０１０５〜端末Ｚ０１０６、カード０１０７から構成されており、サーバ０１０１は、端末Ａ０１０２、端末Ｂ０１０３、および端末Ｍ０１０４とインターネット０１０８を介して接続されている。端末Ｎ０１０５、端末Ｚ０１０６はサーバ０１０１と直接通信する手段を持っていない。端末Ａ０１０２、端末Ｂ０１０３〜端末Ｍ０１０４、および端末Ｎ０１０５〜端末Ｚ０１０６は、後述するようにカードインターフェースを備えており、カード０１０７を介してデータのやり取りが可能となっている。
図１は、コンテンツ配布システム０１００の構成を示している。コンテンツ配布システム０１００は、サーバ０１０１、端末Ａ０１０２、端末Ｂ０１０３〜端末Ｍ０１０４、端末Ｎ０１０５〜端末Ｚ０１０６、カード０１０７から構成されており、サーバ０１０１は、端末Ａ０１０２、端末Ｂ０１０３、および端末Ｍ０１０４とインターネット０１０８を介して接続されている。端末Ｎ０１０５、端末Ｚ０１０６はサーバ０１０１と直接通信する手段を持っていない。端末Ａ０１０２、端末Ｂ０１０３〜端末Ｍ０１０４、および端末Ｎ０１０５〜端末Ｚ０１０６は、後述するようにカードインターフェースを備えており、カード０１０７を介してデータのやり取りが可能となっている。
なお、図１ではサーバ０１０１と接続されている端末として、端末Ａ０１０２、端末Ｂ０１０３、端末Ｍ０１０４しか図示していないが、端末Ａ０１０２等と同一の構成を持つ１台以上の端末が、さらに、コンテンツ配布システム０１００に存在してもよい。また図１に示した台数よりも少ない台数だけ存在していてもよい。以後、端末Ｂ０１０３、端末Ｍ０１０４は端末Ａ０１０２と同様の構成であるため、必要な場合を除いて端末Ａ０１０２以外の端末についての説明は省略する。また、図１では、サーバ０１０１と接続されて
いない端末として、端末Ｎ０１０５、端末Ｚ０１０６しか図示していないが、端末Ｎ１０５または端末Ｚ０１０６と同一の構成を含む１台以上の端末が、さらに、コンテンツ配布システム０１００に存在してもよい。また、図１に示した台数よりも少ない台数だけ存在していてもよい。以後、端末Ｚ０１０６は端末Ｎ０１０５と同様の構成であるため、必要な場合を除いて端末Ｎ０１０５以外の端末についての説明は省略する。
いない端末として、端末Ｎ０１０５、端末Ｚ０１０６しか図示していないが、端末Ｎ１０５または端末Ｚ０１０６と同一の構成を含む１台以上の端末が、さらに、コンテンツ配布システム０１００に存在してもよい。また、図１に示した台数よりも少ない台数だけ存在していてもよい。以後、端末Ｚ０１０６は端末Ｎ０１０５と同様の構成であるため、必要な場合を除いて端末Ｎ０１０５以外の端末についての説明は省略する。
端末Ａ０１０２は、インターネット０１０８を介してサーバ０１０１と通信し、音楽や映画などのコンテンツをダウンロードする機能とダウンロードしたコンテンツを再生する機能を有している。ここで、コンテンツは著作権保護されており暗号化された形で端末Ａ０１０２にダウンロードされる。
カード０１０７は、端末Ａ０１０２、およびインターネット０１０８を介してサーバ０１０１と通信し、コンテンツを暗号化した鍵を取得し、端末Ａ０１０２の依頼に基づいてコンテンツを暗号化した鍵を端末Ａ０１０２に渡す。ここで、カード０１０７はコンテンツを暗号化した鍵を渡す際に、端末Ａ０１０２が正当な端末かどうかを確かめて、正当な端末でなければ鍵を出力しないよう構成されている。具体的には、公知の相互認証等により、相手の正当性を確認した上で鍵を渡している。
カード０１０７は、端末Ａ０１０２、およびインターネット０１０８を介してサーバ０１０１と通信し、コンテンツを暗号化した鍵を取得し、端末Ａ０１０２の依頼に基づいてコンテンツを暗号化した鍵を端末Ａ０１０２に渡す。ここで、カード０１０７はコンテンツを暗号化した鍵を渡す際に、端末Ａ０１０２が正当な端末かどうかを確かめて、正当な端末でなければ鍵を出力しないよう構成されている。具体的には、公知の相互認証等により、相手の正当性を確認した上で鍵を渡している。
図２は、端末Ａ０１０２の構成を示している。なお、端末Ｂ０１０３、端末Ｍ０１０４も同様の構成をしている。端末Ａ０１０２は、プロセッサ０２０１、ＲＡＭ０２０２、ブートコード０２０３、カードインターフェース０２０４、通信部０２０５、コンテンツ格納部０２０６、セキュアモジュール０２０７、プログラム格納部０２０８で構成されており、バス０２１３で相互に接続されている。プログラム格納部０２０８には、オペレーティングシステム０２０９、権利購入制御プログラム０２１０、再生制御プログラム０２１１、プログラム証明書０２１２が格納されている。
プロセッサ０２０１は、ブートコード０２０３、およびＲＡＭ０２０２にロードされているプログラムを実行し、端末Ａ０１０２の各種処理を行う。
ＲＡＭ０２０２は、プロセッサ０２０１で実行するプログラムがロードされる。ロードされるプログラムはプログラム格納部０２０８に格納されている。
ブートコード０２０３は、端末Ａ０１０２がリセットされた後、プロセッサ０２０１が初めに実行するコード（ブートコード）が格納されている。ブートコード０２０３は、プログラム格納部０２０８に格納されているオペレーティングシステム０２０９をＲＡＭ０２０２へ展開する。
ＲＡＭ０２０２は、プロセッサ０２０１で実行するプログラムがロードされる。ロードされるプログラムはプログラム格納部０２０８に格納されている。
ブートコード０２０３は、端末Ａ０１０２がリセットされた後、プロセッサ０２０１が初めに実行するコード（ブートコード）が格納されている。ブートコード０２０３は、プログラム格納部０２０８に格納されているオペレーティングシステム０２０９をＲＡＭ０２０２へ展開する。
カードインターフェース０２０４は、カード０１０７と端末Ａ０１０２を接続するインターフェースである。プロセッサ０２０１で動作するプログラムは、カードインターフェース０２０４と通信することで、カード０１０７と通信することができる。端末Ａ０１０２で動作するプログラムはカード０１０７と通信する時には常にカードインターフェース０２０４を使用する。以下、端末Ａ０１０２で動作するプログラムとカード０１０７の通信について記述する場合はカードインターフェース０２０４の記述は省略する。
通信部０２０５は、インターネット０１０８と端末Ａ０１０２を接続するインターフェースである。プロセッサ０２０１で動作するプログラムは、通信部０２０５と通信することで、インターネット０１０８を介してサーバ０１０１と通信することができる。
コンテンツ格納部０２０６は、端末Ａ０１０２がサーバ０１０１からダウンロードしたコンテンツを格納しておく場所である。
コンテンツ格納部０２０６は、端末Ａ０１０２がサーバ０１０１からダウンロードしたコンテンツを格納しておく場所である。
セキュアモジュール０２０７は、ＴＣＧ（Ｔｒｕｓｔｅｄ Ｃｏｍｐｕｔｉｎｇ Ｇｒｏｕｐ）で規格化されているＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）と同様の機能を有するデバイスである。ＴＰＭの詳細な仕様については、ＴＣＧのホームページ＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｔｒａｓｔｅｄｃｏｍｐｕｔｉｎｇｇｒｏｕｐ．ｏｒｇ＞で公開されている。
セキュアモジュール０２０７は、ＰＣＲ（Ｐｌａｔｆｏｒｍ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｒｅｇｉｓｔｏｒ）と呼ばれるレジスタを含んでおり、そのレジスタには端末Ａ０１０２のソフトウェア構成に依存する値が格納される。セキュアモジュール０２０７は、ＰＣＲを更新するコマンドを提供しており、そのコマンドが実行されると現在のＰＣＲの値とそのコマンドの引数を結合し、その結合した値に対して一方向性関数を施した結果でＰＣＲが更新される。以下、このコマンドをＰＣＲ拡張コマンドと呼ぶ。
セキュアモジュール０２０７は、セキュアモジュール０２０７内に外部に取り出されない形で保持されている秘密鍵を用いて、ＰＣＲの値に対し署名を施すサービスを提供することができる。このサービスはＡｔｔｅｓｔａｔｉｏｎと呼ばれる。例えば、端末Ａ０１０２内で動作するプログラムがセキュアモジュール０２０７のＡｔｔｅｓｔａｔｉｏｎサービスを用い、署名された現在のＰＣＲ値を取得してサーバ０１０１に送信する。この場合、サーバ０１０１は、認証局から得たセキュアモジュール０２０７の公開鍵を用いて署名検証することによって、送信された値がセキュアモジュール０２０７で生成されたＰＣＲの値であることを確かめることができる。なお、セキュアモジュール０２０７には耐タンパ処理が施されており、セキュアモジュール０２０７内で実行されるＰＣＲ拡張コマンド処理、およびＡｔｔｅｓｔａｔｉｏｎ処理を不正に変更することはできないようになっている。
プログラム格納部０２０８は、端末Ａ０１０２で動作するプログラムを格納する場所であり、オペレーティングシステム０２０９、権利購入制御プログラム０２１０、再生制御プログラム０２１１、プログラム証明書０２１２を格納している。
オペレーティングシステム０２０９は、一般的な端末Ａ０１０２の基盤ソフトウェアであり、オペレーティングシステム０２０９上で動作するアプリケーションにサービスを提供する。オペレーティングシステム０２０９は、プログラム格納部０２０８内に格納されているアプリケーションをＲＡＭ０２０２にロードする。
オペレーティングシステム０２０９は、一般的な端末Ａ０１０２の基盤ソフトウェアであり、オペレーティングシステム０２０９上で動作するアプリケーションにサービスを提供する。オペレーティングシステム０２０９は、プログラム格納部０２０８内に格納されているアプリケーションをＲＡＭ０２０２にロードする。
続いて、各プログラムが行う処理について説明する。
図３は権利購入制御プログラム０２１０の動作フローを示している。権利購入制御プログラム０２１０はオペレーティングシステム０２０９上で動作するアプリケーションである。権利購入制御プログラム０２１０は、端末Ａ０１０２において、サーバ０１０１から提供されるコンテンツの権利の取得をカード０１０７に依頼する処理とそのコンテンツのダウンロードを行う。以下、この処理の詳細を説明する。
図３は権利購入制御プログラム０２１０の動作フローを示している。権利購入制御プログラム０２１０はオペレーティングシステム０２０９上で動作するアプリケーションである。権利購入制御プログラム０２１０は、端末Ａ０１０２において、サーバ０１０１から提供されるコンテンツの権利の取得をカード０１０７に依頼する処理とそのコンテンツのダウンロードを行う。以下、この処理の詳細を説明する。
権利購入制御プログラム０２１０は、オペレーティングシステム０２０９にローディングされ制御権を取得すると、まず、サーバ０１０１に問い合わせて購入可能なコンテンツのリストを取得する。そのリストにはコンテンツを識別できる情報、例えば、コンテンツのＩＤやコンテンツのタイトル、コンテンツの概要等が含まれている。次に、そのリストを端末Ａ０１０２のユーザに提示し、購入するコンテンツを選択させ、選択したコンテンツのＩＤおよびそのコンテンツを購入する端末を識別する端末ＩＤ（端末Ａ０１０２の端末ＩＤ）を含むコンテンツ購入要求をカードＩ／Ｆ０２０４を介して、カード０１０７に
送信する（ステップＳ０３０１）。
送信する（ステップＳ０３０１）。
次に、権利購入制御プログラム０２１０は、カード０１０７に購入依頼したコンテンツのＩＤをサーバ０１０１に送信し、該当するコンテンツをサーバ０１０１からダウンロードし、コンテンツ格納部０２０６に格納する。ここで、ダウンロードするコンテンツは暗号化されているので、コンテンツ格納部から不正にコピーできたとしても著作権は保護される（ステップＳ０３０２）。
なお、端末Ａ０１０２は、端末Ｎ０１０５等のインターネット０１０８に接続されていない端末のためにコンテンツを購入する場合がある。この場合、コンテンツ購入要求に含ませる端末ＩＤは、端末Ｎ０１０５等の端末ＩＤとなる。さらに、コンテンツを端末Ｎ０１０５等に渡すため、ステップＳ０３０２の後にコンテンツをカード０１０７に移動するステップが追加で実行される。
図４は再生制御プログラム０２１１の動作フローを示している。再生制御プログラム０２１１はオペレーティングシステム０２０９上で動作するアプリケーションである。再生制御プログラム０２１１は、再生するコンテンツを暗号化している鍵をカード０１０７から取得し、その鍵でコンテンツを復号化してコンテンツを再生する。また、カードから端末Ａ０１０２内のプログラムの更新を依頼された場合は、プログラム格納部０２０８に格納されているプログラムを更新する。以下、再生制御プログラム０２１１の処理の詳細を述べる。
再生制御プログラム０２１１は、オペレーティングシステム０２０９にローディングされ制御権を取得すると、コンテンツ格納部０２０６に格納されているコンテンツのリストを取得し、カード０１０７に問い合わせて再生可能なコンテンツのリストを作成する。カード０１０７は、カード０１０７に格納されているコンテンツを暗号化している鍵とその鍵に対応するコンテンツＩＤを格納しており、再生制御プログラム０２１１は、カード０１０７に格納されているコンテンツを暗号化している鍵に対応するコンテンツＩＤのリストを取得して、コンテンツ格納部０２０６に格納されているコンテンツＩＤのリストと比較して再生可能なコンテンツのリストを作成する。このリストは例えばカードに鍵が格納されているコンテンツのリストとなる（ステップＳ０４０１）。
なお、再生制御プログラム０２１１は、カード０１０７に格納されているコンテンツＩＤのリストもカード０１０７から取得し、再生可能なコンテンツのリストに追加することができる。この追加リストは、端末Ａ０１０２内に格納されているコンテンツに対する再生可能なコンテンツのリストの作成手順と同様の手順で作成される。この追加リストも含めたリストは、カードを含む端末上に存在する鍵に対応したコンテンツのリストとなり、（コンテンツ格納部０２０６に格納されているか否かは問わず）その端末で再生できるコンテンツの一覧を示すリストとなる。
再生制御プログラム０２１１は、ステップＳ０４０１で生成した再生可能なコンテンツのリストを端末Ａ０１０２のユーザに提示し、再生したいコンテンツを選択させ、そのコンテンツのＩＤを取得する。再生制御プログラム０２１１は、コンテンツＩＤを含む鍵出力依頼情報をカード０１０７に送信し、対応するコンテンツを暗号化している鍵の出力を依頼する（ステップＳ０４０２）。鍵出力依頼情報は、コンテンツＩＤ、端末ＩＤ、プログラム証明書、署名された現在のＰＣＲ値を含む。ここで、署名された現在のＰＣＲ値は、再生制御プログラム０２１１がセキュアモジュールに対してＡｔｔｅｓｔａｔｉｏｎサービスを用いて取得したものであり、そのＰＣＲの値は現在、端末で動作しているソフトウェアに依存する値となっている。
次に、再生制御プログラム０２１１は、カード０１０７に依頼した鍵が出力されたかどうかをカード０１０７に問い合わせる。（ステップＳ０４０３）もし、鍵が出力されているのであれば（ステップＳ０４０３でＹＥＳ）、その鍵を用いてコンテンツ復号処理（ステップＳ０４０４）を行う。もし、鍵が出力されていないのであれば（ステップＳ０４０３でＮＯ）、カード０１０７からプログラムの更新依頼があるかどうかを確かめる処理（ステップＳ０４０６）を行う。ここで、プログラムの更新依頼は、コンテンツの処理プログラムにセキュリティホール等が発見されているとカード０１０７が判断した場合に、鍵を渡す前に、そのプログラムをアップデートすることを要求する依頼である。
再生制御プログラム０２１１は、鍵が出力されているのであれば（ステップＳ０４０３でＹＥＳ）、カード０１０７から鍵を取得し、再生すべきコンテンツをコンテンツ格納部０２０６、もしくはカード０１０７から取得して、コンテンツを復号化する（ステップＳ０４０４）。
再生制御プログラム０２１１は、コンテンツが復号化されるとそのコンテンツを再生する。（ステップＳ０４０５）再生制御プログラム０２１１は、復号化されたコンテンツの種別に応じた再生を行う。以降の再生の手順は一般的な再生方法であるので、説明は省略する。
再生制御プログラム０２１１は、コンテンツが復号化されるとそのコンテンツを再生する。（ステップＳ０４０５）再生制御プログラム０２１１は、復号化されたコンテンツの種別に応じた再生を行う。以降の再生の手順は一般的な再生方法であるので、説明は省略する。
再生制御プログラム０２１１は、鍵が出力されていないのであれば（ステップＳ０４０３でＮＯ）、カード０１０７にプログラムの更新依頼があるかどうかを問い合わせる。もし、プログラムの更新依頼があれば（ステップＳ０４０６でＹＥＳ）、カードから更新プログラムと後述する正規ＰＣＲ値を取得し、プログラム格納部０２０８のプログラムと後述するプログラム証明書０２１２を更新する（ステップＳ０４０７）。ここで、更新対象のプログラムとそのプログラムのプログラム証明書０２１２は、サーバ０１０１から取得され更新される。その後、再生制御プログラム０２１１は、端末Ａ０１０２を再起動するためにシステムリセット依頼をオペレーティングシステム０２０９に送信する（ステップＳ０４０８）。
もし、プログラムの更新依頼がなければ（ステップＳ０４０６でＮＯ）、再生制御プログラム０２１１は、処理を終了する。
以上が再生制御プログラム０２１１が行う処理の説明である。以下、プログラム格納部０２０８が格納している情報の説明に戻る。
プログラム証明書０２１２は、セキュアモジュール０２０７のＰＣＲの値に対して端末Ａ０１０２を製造したメーカのみ知る秘密鍵で署名したデータである。署名するＰＣＲの値は、端末Ａ０１０２が起動し、オペレーティングシステム０２０９や各種アプリケーションがローディングされた後のＰＣＲの値である。この時、メーカはオペレーティングシステム０２０９や各種アプリケーションが各種著作権保護規格の実装要件を満たしているかどうかを確認した後、署名する。ここで、署名に用いる秘密鍵は端末Ａ０１０２には搭載されていないため、プログラム証明書０２１２は端末Ａ０１０２では生成できない。プログラム証明書０２１２は、例えばメーカの工場で生成される。
以上が再生制御プログラム０２１１が行う処理の説明である。以下、プログラム格納部０２０８が格納している情報の説明に戻る。
プログラム証明書０２１２は、セキュアモジュール０２０７のＰＣＲの値に対して端末Ａ０１０２を製造したメーカのみ知る秘密鍵で署名したデータである。署名するＰＣＲの値は、端末Ａ０１０２が起動し、オペレーティングシステム０２０９や各種アプリケーションがローディングされた後のＰＣＲの値である。この時、メーカはオペレーティングシステム０２０９や各種アプリケーションが各種著作権保護規格の実装要件を満たしているかどうかを確認した後、署名する。ここで、署名に用いる秘密鍵は端末Ａ０１０２には搭載されていないため、プログラム証明書０２１２は端末Ａ０１０２では生成できない。プログラム証明書０２１２は、例えばメーカの工場で生成される。
ＰＣＲの値は、端末Ａ０１０２のソフトウェア構成に依存させるために、端末Ａ０１０２上でローディングされるプログラムのハッシュ値を引数としてＰＣＲ拡張コマンドを実行することで更新される。プログラムのロード時に必ずロード対象のプログラムのハッシュ値を計算し、ＰＣＲ拡張コマンドを用いて、そのハッシュ値でＰＣＲを更新していけば、ＰＣＲ値を端末Ａ０１０２のソフトウェア構成に常に依存させることができる。
図５は、セキュアモジュール０２０７内のＰＣＲを更新し、ＰＣＲに端末Ａ０１０２のソフトウェア構成に依存する値を格納する処理のフローを示している。これは、オペレーティングシステム０２０９をローディングするブートコード０２０３、および各種アプリケーションプログラムをローディングするオペレーティングシステム０２０９の動作に共通して含まれる。これは、ブートコード０２０３はオペレーティングシステム０２０９を読み込むことで端末Ａ０１０２内のソフトウェア構成を変更し、オペレーティングシステム０２０９はアプリケーションプログラムを読み込むことで端末Ａ０１０２内のソフトウェア構成を変更するからである。
以下の説明では、別のプログラムを呼び出す側（前者におけるブートコード０２０３と、後者におけるオペレーティングシステム０２０９）をロードするプログラムと、呼び出される側のプログラム（前者におけるオペレーティングシステム０２０９、後者におけるアプリケーションプログラム）をロード対象プログラムと呼ぶ。
ロードするプログラムは、まず、ロード対象プログラムのハッシュ値をハッシュ関数アルゴリズムで計算する（ステップＳ０５０１）。次に、このハッシュ値を引数として、ＰＣＲ拡張コマンドを実行し、セキュアモジュール０２０７内のＰＣＲの値を更新する（ステップＳ０５０２）。ロードするプログラムは、ＰＣＲ更新処理（ステップＳ０５０２）終了後、ロード対象プログラムをＲＡＭ０２０２に展開する（ステップＳ０５０３）。最後に、ロードするプログラムはＲＡＭ０２０２にロードしたプログラムに分岐する（ステップＳ０５０４）。
ロードするプログラムは、まず、ロード対象プログラムのハッシュ値をハッシュ関数アルゴリズムで計算する（ステップＳ０５０１）。次に、このハッシュ値を引数として、ＰＣＲ拡張コマンドを実行し、セキュアモジュール０２０７内のＰＣＲの値を更新する（ステップＳ０５０２）。ロードするプログラムは、ＰＣＲ更新処理（ステップＳ０５０２）終了後、ロード対象プログラムをＲＡＭ０２０２に展開する（ステップＳ０５０３）。最後に、ロードするプログラムはＲＡＭ０２０２にロードしたプログラムに分岐する（ステップＳ０５０４）。
端末Ａ０１０２は、電源投入後、もしくはリセット解除後、すなわち端末起動時、オペレーティングシステム０２０９や各種アプリケーションをＲＡＭ０２０２にロードしていく。端末Ａ０１０２は、プログラムをロードする時、図５で説明したようにＰＣＲの更新を行う。
図６は、端末Ａ０１０２の起動時の動作を表すフローチャートである。
図６は、端末Ａ０１０２の起動時の動作を表すフローチャートである。
電源投入後、もしくはリセット解除後、プロセッサ０２０１は、ブートコード０２０３を実行する（ステップＳ０６０１）。ブートコード０２０３は、端末Ａ０１０２のハードウェアの初期設定を行った後、ブートコード０２０３自身のハッシュ値を計算し、このハッシュ値をＰＣＲ拡張コマンドの引数として、セキュアモジュール０２０７のＰＣＲを更新する。ここで、セキュアモジュール０２０７のＰＣＲは、電源投入、もしくはリセット解除後には初期化されているものとする。
次にブートコード０２０３は、オペレーティングシステム０２０９をＲＡＭ０２０２にローディングする。ブートコード０２０３は、オペレーティングシステム０２０９をローディングする際、図５に示す手順で、オペレーティングシステム０２０９のハッシュ値を計算し、セキュアモジュール０２０７のＰＣＲを更新する。その後、プロセッサ０２０１は、オペレーティングシステム０２０９を実行し、オペレーティングシステム０２０９の初期化を行う。
オペレーティングシステム０２０９は、その後、各種アプリケーションのローディングを行う（ステップＳ０６０３）。各種アプリケーションがローディングされる際、図５に示す手順で、各種アプリケーションのハッシュ値を計算し、セキュアモジュール０２０７のＰＣＲを更新する。
その後、端末Ａ０１０２は、ユーザからの入力を待ち、その入力に応じたアプリケーションプログラムの処理を実行する（Ｓ０６０４）。
その後、端末Ａ０１０２は、ユーザからの入力を待ち、その入力に応じたアプリケーションプログラムの処理を実行する（Ｓ０６０４）。
このように、端末Ａ０１０２は、電源投入後、もしくはリセット後、ブートコード０２０３を含む端末Ａ０１０２で動作するプログラムのハッシュ値でＰＣＲ拡張コマンドを用い、セキュアモジュール０２０７のＰＣＲを更新していく。その結果、セキュアモジュール０２０７のＰＣＲは、端末Ａ０１０２で動作しているプログラムに依存した値となる。
以上で端末Ａ０１０２の構成の説明を終わる。続いて、端末Ｎ０１０５の構成の説明に移る。
以上で端末Ａ０１０２の構成の説明を終わる。続いて、端末Ｎ０１０５の構成の説明に移る。
図７は、端末Ｎ０１０５の構成を示している。なお、端末Ｚ０１０６も同様の構成をしている。端末Ｎ０１０５は、プロセッサ０７０１、ＲＡＭ０７０２、ブートコード０７０３、カードインターフェース０７０４、コンテンツ格納部０７０６、セキュアモジュール０７０７、プログラム格納部０７０８で構成されており、これらの要素はバス０７１３で相互に接続されている。プログラム格納部０７０８には、オペレーティングシステム０７０９、再生制御プログラム０７１１、プログラム証明書０７１２が格納されている。
端末Ｎ０１０５のこれらの構成要素は、図２に示す端末Ａ０１０２の構成要素と同一の機能を有するため説明は省略する。ただし、端末Ｎ０１０５には、端末Ａ０１０２の通信部０２０５、権利購入制御プログラム０２１０に相当する構成要素は存在しない。
以上で端末Ｎ０１０５の構成の説明を終わる。続いて、サーバ０１０１の構成の説明を行う。
以上で端末Ｎ０１０５の構成の説明を終わる。続いて、サーバ０１０１の構成の説明を行う。
図１２は、サーバ０１０１の構成を示している。サーバ０１０１は、通信部１２０１、ＣＲＬデータベース１２０２、ＣＲＬ管理部１２０３、権利管理部１２０４で構成されている。ＣＲＬデータベース１２０２はＣＲＬ管理部１２０３と接続されている。また、ＣＲＬ管理部１２０３、権利管理部１２０４は、通信部１２０１と接続されている。
通信部１２０１は、インターネット０１０８と接続されており、端末Ａ０１０２〜端末Ｍ０１０４と通信を行う。ＣＲＬ管理部１２０３、および権利管理部１２０４は、この通信部１２０１を介して端末Ａ０１０２〜端末Ｍ０１０４、および端末Ａ０１０２等に接続されたカード０１０７と通信する。
通信部１２０１は、インターネット０１０８と接続されており、端末Ａ０１０２〜端末Ｍ０１０４と通信を行う。ＣＲＬ管理部１２０３、および権利管理部１２０４は、この通信部１２０１を介して端末Ａ０１０２〜端末Ｍ０１０４、および端末Ａ０１０２等に接続されたカード０１０７と通信する。
ＣＲＬデータベース１２０２は、リボーク（無効化）されている端末の端末ＩＤ、その端末のリボークされた原因を取り除いた後の更新プログラム、およびその更新プログラムが端末上で実行された時のＰＣＲ値が格納されている。なお、端末のリボークは、一般的には、悪意の利用者の端末が特定できている場合にその端末を無効化することなど、プログラムの更新によって回復できない欠陥を持った端末の無効化も示すが、本実施の形態では、プログラムの更新によって回復できる欠陥を持った端末をリボーク対象として説明する。具体的には、本実施の形態では、セキュリティホールを持った古いソフトウェアを使用し続けている端末などが、リボーク対象としてＣＲＬデータベースに記録される。
図１３は、ＣＲＬデータベース１２０２の構成を示した図である。ＣＲＬデータベース１２０２は、ＣＲＬエントリＴ１３０１、Ｔ１３０２、Ｔ１３０３・・・から構成され、各ＣＲＬエントリには、端末ＩＤ、更新プログラム、および正規ＰＣＲ値のエリアが存在する。ＣＲＬデータベース１２０２は、リボークされている端末の情報により構成される。
端末ＩＤエリアには、リボークされている端末のＩＤが格納される。更新プログラムエリアには、リボークされた端末の更新プログラムが格納される。リボークされた原因がソ
フトウェアにある場合、この更新プログラムを用いて端末をアップデートすれば、端末は動作し続けることができる。このようなケースの具体例としては、ソフトウェアがハッキングされたことが判明した場合や、ソフトウェアにセキュリティホールが発見された場合などである。正規ＰＣＲ値エリアには、端末が更新プログラムエリアに格納されている更新プログラムでアップデートされ、正常に動作している時のＰＣＲ値が格納される。この正規ＰＣＲ値を用い、端末側でプログラムが正しくアップデートされているかどうかを確かめることができる。
フトウェアにある場合、この更新プログラムを用いて端末をアップデートすれば、端末は動作し続けることができる。このようなケースの具体例としては、ソフトウェアがハッキングされたことが判明した場合や、ソフトウェアにセキュリティホールが発見された場合などである。正規ＰＣＲ値エリアには、端末が更新プログラムエリアに格納されている更新プログラムでアップデートされ、正常に動作している時のＰＣＲ値が格納される。この正規ＰＣＲ値を用い、端末側でプログラムが正しくアップデートされているかどうかを確かめることができる。
ＣＲＬ管理部１２０３は、通信部１２０１および端末Ａ０１０２を介してカード０１０７と相互認証を行い正規のカードであることを確かめ、ＣＲＬ情報を通信部１２０１を介して提供する。より具体的には、ＣＲＬ管理部１２０３は、カード０１０７から送られてくる端末ＩＤがＣＲＬデータベース１２０２に存在するかどうか確かめ、存在していれば該当するエントリの更新プログラムおよび正規ＰＣＲ値をカード０１０７に提供する。
権利管理部１２０４は、コンテンツの権利情報を管理し、端末の要求に応じて課金処理を行い、コンテンツの権利情報を提供する。権利管理部１２０４は、カード０１０７と相互認証を行い、正当なカード０１０７であることを確かめた後に課金処理および権利情報の提供を行う。権利管理部１２０４は、通信部１２０１を介してインターネット０１０８と接続される。
以上でサーバ０１０１の構成の説明を終わる。続いて、カード０１０７の構成の説明に移る。
図８は、カード０１０７の構成を示している。カード０１０７は、プロセッサ０８０１、ＲＡＭ０８０２、ブートコード０８０３、端末Ｉ／Ｆ０８０４、ＣＲＬデータベース０８０５、コンテンツ格納部０８０７、プログラム格納部０８０８で構成されており、これらの構成要素はバス０８１３で相互に結合されている。また、カード０１０７は、耐タンパ性を有しており、カード内のプログラムやデータを容易に暴露されることは無いようになっている。
図８は、カード０１０７の構成を示している。カード０１０７は、プロセッサ０８０１、ＲＡＭ０８０２、ブートコード０８０３、端末Ｉ／Ｆ０８０４、ＣＲＬデータベース０８０５、コンテンツ格納部０８０７、プログラム格納部０８０８で構成されており、これらの構成要素はバス０８１３で相互に結合されている。また、カード０１０７は、耐タンパ性を有しており、カード内のプログラムやデータを容易に暴露されることは無いようになっている。
プロセッサ０８０１は、ブートコード０８０３、およびＲＡＭ０８０２にロードされているプログラムを実行し、カード０１０７の各種処理を行う。
ＲＡＭ０８０２は、プロセッサ０８０１で実行するプログラムがロードされる。ロードされるプログラムはプログラム格納部０８０８に格納されている。
ブートコード０８０３は、カード０１０７がリセットされた後、プロセッサ０８０１が初めに実行するコード（ブートコード）が格納されている。ブートコード０８０３は、プログラム格納部０８０８に格納されているオペレーティングシステム０８０９をＲＡＭ０８０２へ展開する。なお、カード０１０７は、端末に挿入され電力が供給された時点でリセットされる。
ＲＡＭ０８０２は、プロセッサ０８０１で実行するプログラムがロードされる。ロードされるプログラムはプログラム格納部０８０８に格納されている。
ブートコード０８０３は、カード０１０７がリセットされた後、プロセッサ０８０１が初めに実行するコード（ブートコード）が格納されている。ブートコード０８０３は、プログラム格納部０８０８に格納されているオペレーティングシステム０８０９をＲＡＭ０８０２へ展開する。なお、カード０１０７は、端末に挿入され電力が供給された時点でリセットされる。
端末Ｉ／Ｆ０８０４は、カード０１０７と端末を接続するインターフェースである。プロセッサ０８０１で動作するプログラムは、端末Ｉ／Ｆ０８０４と通信することで、端末と通信することができる。カード０１０７で動作するプログラムは端末Ｉ／Ｆ０８０４と通信する時には常に端末Ｉ／Ｆ０８０４を使用する。以下、カード０１０７で動作するプログラムと端末との通信について記述する場合は端末Ｉ／Ｆ０８０４の記述は省略する。
図１４は、ＣＲＬデータベース０８０５の構成を示した図である。ＣＲＬデータベース０８０５は、ＣＲＬエントリＴ１４０１、Ｔ１４０２、Ｔ１４０３・・・から構成され、
各ＣＲＬエントリには、端末ＩＤ、更新プログラム、および正規ＰＣＲ値のエリアが存在する。
端末ＩＤエリアには、カード０１０７が取得した端末のＩＤが格納される。なお、端末ＩＤのエリアに書かれている「ＩＤ＿Ａ」「ＩＤ＿Ｂ」「ＩＤ＿Ｎ」はそれぞれ、端末Ａ１０２、端末Ｂ１０３、端末Ｎ１０５の端末ＩＤである。更新プログラムエリアには、該当する端末ＩＤを持つ端末がリボークされている場合、その端末の更新プログラムが格納される。正規ＰＣＲ値エリアには、端末が更新プログラムエリアに格納されている更新プログラムでアップデートされ、正常に動作している時のＰＣＲ値が格納される。なお、Ｔ１４０３では、更新プログラムがＮＵＬＬに、正規のＰＣＲ値が現状のＰＣＲ値となっている。このエントリはカード０１０７が鍵出力依頼情報を受け取った後の状態でありかつ更新プログラムを取得していない状態である。例えば、カード０１０７が初めて端末Ｎ０１０５に挿入されて、鍵出力依頼情報を受け取った直後の状態である。
各ＣＲＬエントリには、端末ＩＤ、更新プログラム、および正規ＰＣＲ値のエリアが存在する。
端末ＩＤエリアには、カード０１０７が取得した端末のＩＤが格納される。なお、端末ＩＤのエリアに書かれている「ＩＤ＿Ａ」「ＩＤ＿Ｂ」「ＩＤ＿Ｎ」はそれぞれ、端末Ａ１０２、端末Ｂ１０３、端末Ｎ１０５の端末ＩＤである。更新プログラムエリアには、該当する端末ＩＤを持つ端末がリボークされている場合、その端末の更新プログラムが格納される。正規ＰＣＲ値エリアには、端末が更新プログラムエリアに格納されている更新プログラムでアップデートされ、正常に動作している時のＰＣＲ値が格納される。なお、Ｔ１４０３では、更新プログラムがＮＵＬＬに、正規のＰＣＲ値が現状のＰＣＲ値となっている。このエントリはカード０１０７が鍵出力依頼情報を受け取った後の状態でありかつ更新プログラムを取得していない状態である。例えば、カード０１０７が初めて端末Ｎ０１０５に挿入されて、鍵出力依頼情報を受け取った直後の状態である。
コンテンツ格納部０８０７には、暗号化されたコンテンツとコンテンツの権利が格納される。このコンテンツは端末Ａ０１０２のようなサーバ０１０１に接続可能な端末でダウンロードされ、コンテンツ格納部０８０７に格納される。コンテンツ格納部０８０７は、端末Ｎ０１０５のようなインターネット０１０８を経由してサーバ０１０１にアクセスできない端末にコンテンツを供給するために用いられる。また、コンテンツの権利は、後述する権利購入プログラム０８１０によってサーバ０１０１から取得されてコンテンツ格納部０８０７に格納される。
コンテンツ格納部０８０７に格納されるコンテンツの権利は、カード０１０７の外部から直接アクセスすることはできず、後述する権利確認・鍵生成プログラム０８１１しかアクセスできないような実装となっている。具体的には、権利確認・鍵生成プログラム０８１１でしか復号できないように暗号化したりすることで、このような実装を行うことができる。
プログラム格納部０８０８は、オペレーティングシステム０８０９、権利購入プログラム０８１０、権利確認・鍵生成プログラム０８１１を格納している。
オペレーティングシステム０８０９は、一般的なカード０１０７の基盤ソフトウェアであり、オペレーティングシステム０８０９上で動作するアプリケーションにサービスを提供する。オペレーティングシステム０８０９は、プログラム格納部０８０８内に格納されているアプリケーションをＲＡＭ０２０２にロードする。
オペレーティングシステム０８０９は、一般的なカード０１０７の基盤ソフトウェアであり、オペレーティングシステム０８０９上で動作するアプリケーションにサービスを提供する。オペレーティングシステム０８０９は、プログラム格納部０８０８内に格納されているアプリケーションをＲＡＭ０２０２にロードする。
権利購入プログラム０８１０は、端末の権利購入制御プログラム０２１０から受け取ったコンテンツ購入要求に基づき、サーバ０１０１と端末の通信機能を用いて通信して権利の購入およびカード０１０７のＣＲＬデータベース０８０５の更新を行う。なお、コンテンツ購入要求には、端末Ａ０１０２の説明で述べたように、購入対象のコンテンツＩＤおよびそのコンテンツを購入する端末を識別する端末ＩＤが含まれている。
図９は、権利購入プログラム０８１０の動作を示すフローチャートである。権利購入プログラム０８１０は、コンテンツ購入要求に含まれる端末ＩＤを取得してＣＲＬデータベース０８０５に格納する（ステップＳ０９０１）。権利購入プログラム０８１０は、ＣＲＬデータベース０８０５を操作し、ＣＲＬエントリを作成して端末ＩＤエリアに取得した端末ＩＤを格納する。権利購入プログラム０８１０は、既に取得した端末ＩＤを端末ＩＤエリアに持つＣＲＬエントリが存在する場合にはＣＲＬエントリの作成は行わない。
権利購入プログラム０８１０は、サーバ０１０１と相互認証を行い、コンテンツの購入
処理およびコンテンツの権利の取得を行う（ステップＳ０９０２）。取得したコンテンツの権利は、コンテンツ格納部０８０７に安全に保存される。コンテンツの権利には、コンテンツの利用期限、利用回数などのコンテンツ利用条件、およびコンテンツを暗号化している鍵が格納されている。コンテンツの権利は暗号化された形でコンテンツ格納部０８０７に保持される。
処理およびコンテンツの権利の取得を行う（ステップＳ０９０２）。取得したコンテンツの権利は、コンテンツ格納部０８０７に安全に保存される。コンテンツの権利には、コンテンツの利用期限、利用回数などのコンテンツ利用条件、およびコンテンツを暗号化している鍵が格納されている。コンテンツの権利は暗号化された形でコンテンツ格納部０８０７に保持される。
次に、権利購入プログラム０８１０は、サーバ０１０１に問い合わせ、ＣＲＬデータベース０８０５の更新を行う（ステップＳ０９０３）。ここで、権利購入プログラム０８１０は、ＣＲＬデータベース０８０５のＣＲＬエントリに格納されているすべての端末ＩＤをサーバ０１０１に送信する。サーバ０１０１のＣＲＬ管理部１２０３は、受け取った端末ＩＤがＣＲＬデータベース１２０２に格納されているかどうかを確かめ、該当する端末ＩＤが存在する場合、その端末ＩＤが格納されているＣＲＬエントリ内の更新プログラムと正規ＰＣＲ値を権利購入プログラム０８１０に送信する。権利購入プログラム０８１０は、受け取った更新プログラムと正規ＰＣＲ値をＣＲＬデータベース０８０５の該当する端末ＩＤを含むＣＲＬエントリに格納する。
図１０は、権利確認・鍵生成プログラム０８１１の動作を示すフローチャートである。
権利確認・鍵生成プログラム０８１１は、端末がリボークされていないかどうか確認し、されていなければ、コンテンツ利用条件をチェックして再生可能な状態であればコンテンツの暗号鍵を端末に出力する。また、リボークされている場合、更新プログラムを端末に出力する。
権利確認・鍵生成プログラム０８１１は、端末がリボークされていないかどうか確認し、されていなければ、コンテンツ利用条件をチェックして再生可能な状態であればコンテンツの暗号鍵を端末に出力する。また、リボークされている場合、更新プログラムを端末に出力する。
権利確認・鍵生成プログラム０８１１は、鍵出力依頼情報に含まれる端末ＩＤを取得してＣＲＬデータベース０８０５に格納する（ステップＳ１００１）。権利確認・鍵生成プログラム０８１１は、ＣＲＬデータベース０８０５を操作し、ＣＲＬエントリを作成して端末ＩＤエリアに取得した端末ＩＤを格納する。権利確認・鍵生成プログラム０８１１は、既に取得した端末ＩＤを端末ＩＤエリアに持つＣＲＬエントリが存在する場合にはＣＲＬエントリの作成は行わない。権利購入プログラム０８１０にも同様の処理を行う機能があるが、このステップは端末Ｎ０１０５のようなインターネット０１０８に接続されない端末で端末ＩＤを取得するために使用される。端末Ｎ０１０５のような端末は、権利購入プログラム０８１０を実行することはないからである。なお、これらの端末については、端末Ａ０１０２等のインターネット０１０８に接続された機器がカード０１０７を用いて事前に購入したコンテンツを再生することを想定している。
権利確認・鍵生成プログラム０８１１は、鍵出力依頼情報に含まれるＡｔｔｅｓｔａｔｉｏｎサービスにより署名されたＰＣＲ値の署名検証を行う（ステップＳ１００２）。署名検証の結果、ＰＣＲ値が正規のものでないと判断された場合（ステップＳ１００２でＮＯ）、権利確認・鍵生成プログラム０８１１は処理を終了する。
署名検証の結果、ＰＣＲの値が正規のものであると確認された場合（ステップＳ１００２でＯＫ）、権利確認・鍵生成プログラム０８１１は、端末の正当性確認をＰＣＲ値を用いて行う（ステップＳ１００３）。権利確認・鍵生成プログラム０８１１は、ＣＲＬデータベース０８０５を参照し、鍵出力依頼情報に含まれる端末ＩＤと一致するＣＲＬエントリ内の正規ＰＣＲ値と、端末より取得したＰＣＲ値を比較する。比較結果がＯＫの場合（ステップＳ１００３でＯＫ）、権利確認処理に移る。比較結果がＮＧの場合（ステップＳ１００３でＮＧ）、プログラム更新処理に移る。ここで、比較結果がＯＫとはＰＣＲ値と正規ＰＣＲ値とが一致することを意味し、比較結果がＮＧとはＰＣＲ値と正規ＰＣＲ値とが一致しないことを意味する。
署名検証の結果、ＰＣＲの値が正規のものであると確認された場合（ステップＳ１００２でＯＫ）、権利確認・鍵生成プログラム０８１１は、端末の正当性確認をＰＣＲ値を用いて行う（ステップＳ１００３）。権利確認・鍵生成プログラム０８１１は、ＣＲＬデータベース０８０５を参照し、鍵出力依頼情報に含まれる端末ＩＤと一致するＣＲＬエントリ内の正規ＰＣＲ値と、端末より取得したＰＣＲ値を比較する。比較結果がＯＫの場合（ステップＳ１００３でＯＫ）、権利確認処理に移る。比較結果がＮＧの場合（ステップＳ１００３でＮＧ）、プログラム更新処理に移る。ここで、比較結果がＯＫとはＰＣＲ値と正規ＰＣＲ値とが一致することを意味し、比較結果がＮＧとはＰＣＲ値と正規ＰＣＲ値とが一致しないことを意味する。
なお、鍵出力依頼情報に含まれる端末ＩＤと一致するＣＲＬエントリ内の正規ＰＣＲ値が存在しない場合、権利確認・鍵生成プログラム０８１１は、鍵出力依頼情報に含まれるプログラム証明書に含まれるＰＣＲ値を正規ＰＣＲ値の替わりに用いて端末の正当性を確認する。比較結果がＯＫの場合（ステップＳ１００３でＯＫ）、権利確認処理に移る。比較結果がＮＧの場合（ステップＳ１００３でＮＧ）、プログラム更新処理に移る。
ここで、権利確認・鍵生成プログラム０８１１は、正規ＰＣＲ値をサーバから取得していない場合に限って、鍵出力依頼情報に含まれるプログラム証明書中のＰＣＲ値をＣＲＬエントリに格納し、その後の端末の正当性確認に用いる。このプログラム証明書はメーカが出荷時に機器のソフトウェア構成を表すＰＣＲ値を含む状態で署名しているものであるため、実質的にはカード０１０７は端末が出荷時のソフトウェア構成であるかどうかの検証しかできないこととなる。しかしながら、後述するが、本実施の形態では、権利を購入する処理の中でＣＲＬエントリに格納されている端末ＩＤすべてについて更新プログラムが存在するかどうかの確認が行われ、更新プログラムが存在している場合は更新プログラムおよびその更新プログラムに対応した正規ＰＣＲがカード０１０７のＣＲＬエントリに格納される。そのため、一度端末ＩＤがＣＲＬエントリに格納され、権利購入処理が発生すると正規ＰＣＲ値を用いた端末の正当性検証が完全に機能することとなる。端末の利用者はコンテンツ配信サービスを受け続けるためには権利購入処理の実行が不可欠となるため、正規ＰＣＲ値の取得操作も避けることは困難である。
端末が正当であると判断された場合（ステップＳ１００３でＯＫ）、権利確認・鍵生成プログラム０８１１は、鍵出力依頼情報に含まれるコンテンツＩＤに該当するコンテンツの権利情報をコンテンツ格納部０８０７から取得し、利用条件をチェックする（ステップＳ１００４）。利用条件のチェックがＮＧの場合（ステップＳ１００４でＮＧ）、権利確認・鍵生成プログラム０８１１は処理を終了する。
利用条件のチェックがＯＫの場合（ステップＳ１００４でＯＫ）、権利確認・鍵生成プログラム０８１１は、コンテンツの権利情報に含まれるコンテンツ暗号鍵を端末に出力し、権利確認・鍵生成プログラムの処理を終了する（ステップＳ１００５）。
端末の正当性確認ステップで端末が正当でないと判断された場合（ステップＳ１００３でＮＧ）、権利確認・鍵生成プログラム０８１１は、ＣＲＬデータベース０８０５を参照し、鍵出力要求に含まれる端末ＩＤに該当するＣＲＬエントリの更新プログラムエリアに更新プログラムが存在するかどうかを確かめる（ステップＳ１００６）。更新プログラムが存在しない場合（ステップＳ１００６でＮＧ）、権利確認・鍵生成プログラム０８１１は、処理を終了する。
端末の正当性確認ステップで端末が正当でないと判断された場合（ステップＳ１００３でＮＧ）、権利確認・鍵生成プログラム０８１１は、ＣＲＬデータベース０８０５を参照し、鍵出力要求に含まれる端末ＩＤに該当するＣＲＬエントリの更新プログラムエリアに更新プログラムが存在するかどうかを確かめる（ステップＳ１００６）。更新プログラムが存在しない場合（ステップＳ１００６でＮＧ）、権利確認・鍵生成プログラム０８１１は、処理を終了する。
更新プログラムが存在する場合（ステップＳ１００６でＯＫ）、更新プログラムと正規ＰＣＲの値の出力処理を行う（ステップＳ１００７）。ここで、更新プログラムおよび正規ＰＣＲ値は、ＣＲＬデータベース０８０５内に格納されている鍵出力依頼情報に含まれる端末ＩＤに該当するＣＲＬエントリのものである。
次に、コンテンツ配布システム０１００の動作を説明する。
次に、コンテンツ配布システム０１００の動作を説明する。
まず、インターネット０１０８を介してサーバ０１０１に接続されている端末（端末Ａ０１０２〜端末Ｍ０１０４）についての動作を説明する。以下、端末Ａ０１０２を例として説明するが、端末Ｂ０１０３〜端末Ｍ０１０４も同様の構成を備えているため、以下で説明するものと同様の動作を行う。
図１１は、端末Ａ０１０２においてカード０１０７を用いてサーバ０１０１から権利を購入し、サーバ０１０１から取得したコンテンツを端末Ａ０１０２で再生する場合のコンテンツ配布システム０１００の動作を示すフローチャートである。ここで、端末Ａ０１０２はリボークされており、サーバ０１０１のＣＲＬデータベース１２０２には、端末Ａ０１０２の端末ＩＤを含むＣＲＬエントリが存在していると仮定する。また、更新プログラムとそれに対応する正規ＰＣＲ値もＣＲＬデータベース１２０２の該当するＣＲＬエントリ内に格納されているとする。以下、図１１に示すフローチャートに従ってコンテンツ配布システム０１００の動作ついて説明する。
図１１は、端末Ａ０１０２においてカード０１０７を用いてサーバ０１０１から権利を購入し、サーバ０１０１から取得したコンテンツを端末Ａ０１０２で再生する場合のコンテンツ配布システム０１００の動作を示すフローチャートである。ここで、端末Ａ０１０２はリボークされており、サーバ０１０１のＣＲＬデータベース１２０２には、端末Ａ０１０２の端末ＩＤを含むＣＲＬエントリが存在していると仮定する。また、更新プログラムとそれに対応する正規ＰＣＲ値もＣＲＬデータベース１２０２の該当するＣＲＬエントリ内に格納されているとする。以下、図１１に示すフローチャートに従ってコンテンツ配布システム０１００の動作ついて説明する。
端末Ａ０１０２は、図６で説明した端末起動フローに基づき端末の起動処理を行う（ステップＳ１１０１）。その結果、端末０１０２のセキュアモジュール０２０７内のＰＣＲが端末０１０２で動作しているプログラムに依存する値となる。カード０１０７は、ブートコード０８０３を用いてオペレーティングシステム０８０９をＲＡＭ０８０２にローディングし、その後、オペレーティングシステム０８０９が各種アプリケーションを起動することでカード０１０７を利用可能な状態にする。
次に端末Ａ０１０２は、図３に示すように権利購入制御プログラム０２１０を用い、権利の購入処理をカード０１０７を用いて行う（ステップＳ１１０２）。カード０１０７は、図９に示すように権利購入プログラムを動作させ権利購入処理を行う。
ここで、端末Ａ０１０２はリボークされているので、権利購入プログラム０８１０は、サーバ０１０１から該当する更新プログラムと正規ＰＣＲ値をＣＲＬデータベース０８０５に格納する（ステップＳ１１０３）。
ここで、端末Ａ０１０２はリボークされているので、権利購入プログラム０８１０は、サーバ０１０１から該当する更新プログラムと正規ＰＣＲ値をＣＲＬデータベース０８０５に格納する（ステップＳ１１０３）。
次に端末Ａ０１０２は、図４に示すように再生制御プログラム０２１１を動作させコンテンツの再生を行う。再生制御プログラム０２１１がカード０１０７に対し鍵の出力を依頼すると図１０に示すように権利確認・鍵生成プログラム０８１１が動作する。ここで、権利確認・鍵生成プログラム０８１１は、ＣＲＬデータベース０８０５内に端末Ａ０１０２の端末ＩＤを含むＣＲＬエントリがあり、また更新プログラムおよび正規ＰＣＲ値が存在するため、更新プログラムおよび正規ＰＣＲ値を端末Ａ０１０２に出力する。再生制御プログラム０２１１は、受け取った更新プログラムおよび正規ＰＣＲ値をそれぞれプログラム格納部０２０８に格納し、端末Ａ０１０２を再起動する（ステップＳ１１０４）。その後、端末Ａ０１０２は、ステップＳ１１０１と同様に起動する。
次に端末Ａ０１０２は、再生制御プログラム０２１１を動作させ、再度、カード０１０７の権利確認・鍵生成プログラム０８１１に鍵出力処理を依頼する。権利確認・鍵生成プログラム０８１１のステップＳ１００３で端末の正当性の確認が行われる（ステップＳ１１０５）。もし、正しくプログラムが更新されているならば（ステップＳ１１０５のＯＫ）、端末Ａ０１０２のセキュアモジュール０２０７から取得したＰＣＲ値とカード０１０７のＣＲＬデータベース０８０５に格納されているＰＣＲ値が一致することから、端末Ａ０１０２が正当であることが確認され、鍵が出力される。
一方、プログラムの更新処理を行う端末Ａ０１０２の再生制御プログラム０２１１が悪意のあるものから改竄され、プログラムの更新が行われなかった場合（ステップＳ１１０
５のＮＧ）、端末Ａ０１０２のセキュアモジュール０２０７から取得したＰＣＲ値とカード０１０７のＣＲＬデータベース０８０５に格納されているＰＣＲ値は一致することなく、端末Ａ０１０２は正当でないと判断され、端末Ａ０１０２の処理は終了する。
５のＮＧ）、端末Ａ０１０２のセキュアモジュール０２０７から取得したＰＣＲ値とカード０１０７のＣＲＬデータベース０８０５に格納されているＰＣＲ値は一致することなく、端末Ａ０１０２は正当でないと判断され、端末Ａ０１０２の処理は終了する。
プログラムの更新が正しく行われた場合（ステップＳ１１０５でＯＫ）、カード０１０７からコンテンツの暗号鍵が出力される（ステップＳ１１０６）。
鍵が出力されると、再生制御プログラム０２１１は、コンテンツ格納部０２０６から暗号化されたコンテンツを取り出し、鍵を用いて復号化した後に再生する（ステップＳ１１０７）。
鍵が出力されると、再生制御プログラム０２１１は、コンテンツ格納部０２０６から暗号化されたコンテンツを取り出し、鍵を用いて復号化した後に再生する（ステップＳ１１０７）。
このように、ＰＣＲ値を用いてプログラムが正しく更新されたことを確認しないとコンテンツ暗号鍵を出力しない構成とすることで、もし、正しくアップデートされていないならば、端末の正当性チェックがＮＧとなり、コンテンツを暗号化した鍵は端末に出力されないので、コンテンツを正しく再生するためには、プログラムをアップデートすることが必要となる。また、アップデートしたプログラムが改竄された場合であっても端末の正当性チェックがＮＧとなり、コンテンツが再生できなくなるため、コンテンツの著作権を適切に保護することができる。
さらに、本発明では、従来技術のようにプログラムアップデート手段全体を耐タンパ実装することなく、プログラムのアップデートを強制することができる。つまり、上述の処理を実現するためには、カード０１０７とセキュアモジュール０２０７のみを耐タンパ実装していればよくなるため、耐タンパ実装すべき箇所を大きく削減することができる。
また、コンテンツを再生する権利を要求する際に、必ずカード０１０７が端末の正当性を確認し、ＮＧの場合に端末のプログラムをアップデートするので、コンテンツを再生しようとする限り、必ずアップデートが行われることとなる。これにより、リボークされた端末のソフトウェアのアップデートを確実に行うことができる。なお、本実施の形態では、コンテンツの再生時に上記の処理を行ったが、これを記録時等に変更することで、他のタイミングでもソフトウェアのアップデートを強制することができることは言うまでもない。
また、コンテンツを再生する権利を要求する際に、必ずカード０１０７が端末の正当性を確認し、ＮＧの場合に端末のプログラムをアップデートするので、コンテンツを再生しようとする限り、必ずアップデートが行われることとなる。これにより、リボークされた端末のソフトウェアのアップデートを確実に行うことができる。なお、本実施の形態では、コンテンツの再生時に上記の処理を行ったが、これを記録時等に変更することで、他のタイミングでもソフトウェアのアップデートを強制することができることは言うまでもない。
続いて、インターネット０１０８と接続できない端末（端末Ｎ０１０５〜Ｚ０１０６）についての動作の説明を行う。以下では端末Ｎ０１０５を例として説明するが、端末Ｚ０１０６も同様の構成を備えているため、以下で説明するものと同様の動作を行う。
図１５は、インターネット０１０８を介してサーバ０１０１に接続することができない端末Ｎ０１０５のプログラムを更新する場合のコンテンツ配布システム０１００の動作を示すフローチャートである。ここで、端末Ｎ０１０５はリボークされており、サーバ０１０１のＣＲＬデータベース１２０２には、端末Ｎ０１０５の端末ＩＤを含むＣＲＬエントリが存在していると仮定する。また、更新プログラムとそれに対応する正規ＰＣＲ値もＣＲＬデータベース１２０２の該当するＣＲＬエントリ内に格納されているとする。ここで、端末Ｎ０１０５は、インターネット０１０８を介してサーバ０１０１に接続することができないため、権利の購入は端末Ａ０１０２を用いて行い、コンテンツとその権利はカード０１０７を用いることで端末Ｎ０１０５で利用可能となる。以下、図１５に示すフローチャートに従ってコンテンツ配布システム０１００の動作について説明する。
図１５は、インターネット０１０８を介してサーバ０１０１に接続することができない端末Ｎ０１０５のプログラムを更新する場合のコンテンツ配布システム０１００の動作を示すフローチャートである。ここで、端末Ｎ０１０５はリボークされており、サーバ０１０１のＣＲＬデータベース１２０２には、端末Ｎ０１０５の端末ＩＤを含むＣＲＬエントリが存在していると仮定する。また、更新プログラムとそれに対応する正規ＰＣＲ値もＣＲＬデータベース１２０２の該当するＣＲＬエントリ内に格納されているとする。ここで、端末Ｎ０１０５は、インターネット０１０８を介してサーバ０１０１に接続することができないため、権利の購入は端末Ａ０１０２を用いて行い、コンテンツとその権利はカード０１０７を用いることで端末Ｎ０１０５で利用可能となる。以下、図１５に示すフローチャートに従ってコンテンツ配布システム０１００の動作について説明する。
端末Ａ０１０２は、端末起動処理、および権利購入処理をそれぞれ図１１のステップＳ１１０１、およびステップＳ１１０２で説明したように行う。ここで、端末Ｎ０１０５で
もダウンロードしたコンテンツを再生できるようにするため、端末Ａ０１０２はカード０１０７のコンテンツ格納部０８０７にダウンロードしたコンテンツを格納する。
端末Ｎ０１０５は、図６で説明した端末起動フローに基づき端末の起動処理を行う（ステップＳ１５０３）。その結果、端末０１０５のセキュアモジュール０７０７内のＰＣＲが端末Ｎ０１０５で動作しているプログラムに依存する値となる。
もダウンロードしたコンテンツを再生できるようにするため、端末Ａ０１０２はカード０１０７のコンテンツ格納部０８０７にダウンロードしたコンテンツを格納する。
端末Ｎ０１０５は、図６で説明した端末起動フローに基づき端末の起動処理を行う（ステップＳ１５０３）。その結果、端末０１０５のセキュアモジュール０７０７内のＰＣＲが端末Ｎ０１０５で動作しているプログラムに依存する値となる。
次に、端末Ａ０１０２で購入したコンテンツを端末Ｎ０１０５で再生するためにカード０１０７を端末Ａ０１０２から端末Ｎ０１０５に移動させる。端末Ｎ０１０５は、再生制御プログラム０７１１を動作させ、カード０１０７に対し、コンテンツ鍵出力依頼を行う。カード０１０７は、図１０に示すような動作を行う権利確認・鍵生成プログラム０８１１を動作させる。ここで、権利確認・鍵生成プログラムは、ステップＳ１００１で端末Ｎ０１０５の端末ＩＤをＣＲＬデータベースに追加し、端末Ｎ０１０５の端末ＩＤを含むＣＲＬエントリを作成する（ステップＳ１５０４）。
権利確認・鍵生成プログラム０８１１はその後、ステップＳ１００３で端末Ｎ０１０５の正当性確認を行う（ステップＳ１５０５）。ここで、権利確認・鍵生成プログラム０８１１は、ＣＲＬデータベース０８０５を参照し、端末Ｎ０１０５の端末ＩＤを含むＣＲＬエントリを発見するが、正規ＰＣＲ値が存在しないため、端末Ｎ０１０５のプログラム証明書０７１２に格納されているＰＣＲ値を用いて端末の正当性を確認する。端末Ｎ０１０５のセキュアモジュール０７０７のＰＣＲ値とプログラム証明書０７１２のＰＣＲ値が一致しなければ（ステップＳ１５０５でＮＧ）、端末は正当で無いと判断し、権利確認・鍵生成プログラムは処理を終了する。
端末の正当性が確認された場合（ステップＳ１５０５でＯＫ）、権利確認・鍵生成プログラム０８１１は、権利確認処理Ｓ１００４を行った後、コンテンツ格納部０８０７に格納されているコンテンツの権利内のコンテンツ暗号化鍵を復号化し、端末Ｎ０１０５に出力する（ステップＳ１５０６）。
端末Ｎ０１０５の再生制御プログラム０７１１は、カード０１０７から受け取ったコンテンツ暗号鍵を用いて、カード０１０７のコンテンツ格納部０８０７に格納されているコンテンツを復号化した後、再生する（ステップＳ１５０７）。なお、カード０１０７のコンテンツ格納部０８０７から端末Ｎ０１０５のコンテンツ格納部０７０６にコンテンツを転送した後にコンテンツの再生を行っても良い。
端末Ｎ０１０５の再生制御プログラム０７１１は、カード０１０７から受け取ったコンテンツ暗号鍵を用いて、カード０１０７のコンテンツ格納部０８０７に格納されているコンテンツを復号化した後、再生する（ステップＳ１５０７）。なお、カード０１０７のコンテンツ格納部０８０７から端末Ｎ０１０５のコンテンツ格納部０７０６にコンテンツを転送した後にコンテンツの再生を行っても良い。
次に、カード０１０７を用いて新たにコンテンツの権利を購入するために、カード０１０７は端末Ａ０１０２に挿入される。以下、端末Ａ０１０２においてコンテンツの権利を購入するフローについて説明する。
次に端末Ａ０１０２は、図３に示すように権利購入制御プログラム０２１０を用い、権利の購入処理をカード０１０７を用いて行う（ステップＳ１５０８）。カード０１０７は、図９に示すように権利購入プログラムを動作させ権利購入処理を行う。権利購入の際にダウンロードされたコンテンツは、カード０１０７のコンテンツ格納部０８０７に格納される。
次に端末Ａ０１０２は、図３に示すように権利購入制御プログラム０２１０を用い、権利の購入処理をカード０１０７を用いて行う（ステップＳ１５０８）。カード０１０７は、図９に示すように権利購入プログラムを動作させ権利購入処理を行う。権利購入の際にダウンロードされたコンテンツは、カード０１０７のコンテンツ格納部０８０７に格納される。
ここで、端末Ｎ０１０５はリボークされているので、権利購入プログラム０８１０は、サーバ０１０１から該当する更新プログラムと正規ＰＣＲ値をＣＲＬデータベース０８０５に格納する（ステップＳ１５０９）。カード０１０７のＣＲＬデータベース０８０５には、端末Ｎ０１０５の端末ＩＤを含むＣＲＬエントリが存在しているので、権利購入プログラム０８１０のＣＲＬ更新処理（ステップＳ０９０３）において、端末Ｎ１００５の端
末ＩＤでサーバ０１０１のＣＲＬデータベース１２０２が検索される。検索の結果、端末Ｎ０１０５の端末ＩＤを含むＣＲＬエントリがＣＲＬデータベース１２０２に存在するので、権利購入プログラム０８１０は、そのＣＲＬエントリから端末Ｎ０１０５の更新プログラムと正規ＰＣＲ値をカード０１０７のＣＲＬデータベース０８０５に存在する端末Ｎ０１０５の端末ＩＤを含むＣＲＬエントリに格納する。
末ＩＤでサーバ０１０１のＣＲＬデータベース１２０２が検索される。検索の結果、端末Ｎ０１０５の端末ＩＤを含むＣＲＬエントリがＣＲＬデータベース１２０２に存在するので、権利購入プログラム０８１０は、そのＣＲＬエントリから端末Ｎ０１０５の更新プログラムと正規ＰＣＲ値をカード０１０７のＣＲＬデータベース０８０５に存在する端末Ｎ０１０５の端末ＩＤを含むＣＲＬエントリに格納する。
次に、カード０１０７は、端末Ｎ０１０５でコンテンツを再生するために端末Ｎ０１０５に挿入される。以下、端末Ｎ０１０５におけるコンテンツ再生動作について説明する。
端末Ｎ０１０５は、図１１のステップＳ１１０４において端末Ａ０１０２が行ったように端末Ｎ０１０５のプログラムを更新する（ステップＳ１５１０）。
端末Ｎ０１０５は、図１１のステップＳ１１０５において端末Ａ０１０２が行ったようにカード０１０７に対し鍵出力依頼を行うことで、カード０１０７によって正当性の確認を行われる（ステップＳ１５１１）。正当性が確認された場合（ステップＳ１５１１でＯＫ）、カード０１０７からコンテンツの暗号化鍵がカード０１０７から端末Ｎ０１０５に出力される。
端末Ｎ０１０５は、図１１のステップＳ１１０４において端末Ａ０１０２が行ったように端末Ｎ０１０５のプログラムを更新する（ステップＳ１５１０）。
端末Ｎ０１０５は、図１１のステップＳ１１０５において端末Ａ０１０２が行ったようにカード０１０７に対し鍵出力依頼を行うことで、カード０１０７によって正当性の確認を行われる（ステップＳ１５１１）。正当性が確認された場合（ステップＳ１５１１でＯＫ）、カード０１０７からコンテンツの暗号化鍵がカード０１０７から端末Ｎ０１０５に出力される。
一方、プログラムの更新処理を行う端末Ｎ０１０５の再生制御プログラム０７１１が悪意のあるものから改竄され、プログラムの更新が行われなかった場合（ステップＳ１５１１のＮＧ）、端末Ｎ０１０５のセキュアモジュール０７０７から取得したＰＣＲ値とカード０１０７のＣＲＬデータベース０８０５に格納されているＰＣＲ値は一致することなく、端末Ｎ０１０５は正当でないと判断され、端末Ｎ０１０５の処理は終了する。
プログラムの更新が正しく行われた場合（ステップＳ１５１１でＯＫ）、カード０１０７からコンテンツの暗号鍵が出力される（ステップＳ１５１２）。
端末Ｎ０１０５の再生制御プログラム０７１１は、カード０１０７から受け取ったコンテンツ暗号鍵を用いて、カード０１０７のコンテンツ格納部０８０７に格納されているコンテンツを復号化した後、再生する（ステップＳ１５１３）。なお、カード０１０７のコンテンツ格納部０８０７から端末Ｎ０１０５のコンテンツ格納部０７０６にコンテンツを転送した後にコンテンツの再生を行っても良い。
端末Ｎ０１０５の再生制御プログラム０７１１は、カード０１０７から受け取ったコンテンツ暗号鍵を用いて、カード０１０７のコンテンツ格納部０８０７に格納されているコンテンツを復号化した後、再生する（ステップＳ１５１３）。なお、カード０１０７のコンテンツ格納部０８０７から端末Ｎ０１０５のコンテンツ格納部０７０６にコンテンツを転送した後にコンテンツの再生を行っても良い。
これにより、インターネット０１０８経由でサーバ０１０１に接続できない端末Ｎ０１０５のような端末であっても、端末のリボークおよびプログラムの更新が可能となる。
また、一度カード０１０７が使用された端末に対応するリボケーションリストのみカード０１０７に取得するため、カード０１０７の少ないリソースでもリボケーションリストが取り扱える。
また、一度カード０１０７が使用された端末に対応するリボケーションリストのみカード０１０７に取得するため、カード０１０７の少ないリソースでもリボケーションリストが取り扱える。
また、端末がネットワーク接続されている場合の動作説明で述べたものと同様の効果が得られることは言うまでもない。
（変形例）
なお、本発明を上記実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
（変形例）
なお、本発明を上記実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
（１） 上述した実施の形態では、更新対象はソフトウェアであったが、ハードウェアの構成情報を更新するシステムに適用してもよい。このようなハードウェアの具体的な例としてはリコンフィギュアラブルプロセッサなどが考えられる。
（２） 上述した実施の形態では、カード、端末、サーバのいずれを制御するプログラムもオペレーティングシステムの上で動作していたが、これに限られるものではない。アプリケーションプログラム等が直接プロセッサで処理できる言語で書かれている場合には、必ずしもオペレーティングシステムはなくてもよい。
（２） 上述した実施の形態では、カード、端末、サーバのいずれを制御するプログラムもオペレーティングシステムの上で動作していたが、これに限られるものではない。アプリケーションプログラム等が直接プロセッサで処理できる言語で書かれている場合には、必ずしもオペレーティングシステムはなくてもよい。
（３） ＰＣＲはハッシュ値であるとしたが、これに限られるものではない。改竄検出に用いることのできる値であれば、どのようなものであってもよい。例えば、プログラムの一部を暗号化した値であったり、プログラムのチェックサム等であってもよい。
（４） 上述した実施の形態では、カード０１０７は、鍵の要求があった場合に端末がリボークされているか否かを確認するとしたが、これに限られるものではない。鍵情報以外にも、不正な端末に渡すと不利益のある情報であれば、他の情報であってもよい。さらに、端末が行う処理もコンテンツの再生に限るものではない。例えば、端末は、個人情報を取り扱うデータベースの処理を行うとしてもよい。この場合、端末がリボークされているか否かを確認するタイミングは、個人情報の要求が端末からあった場合などになる。
（４） 上述した実施の形態では、カード０１０７は、鍵の要求があった場合に端末がリボークされているか否かを確認するとしたが、これに限られるものではない。鍵情報以外にも、不正な端末に渡すと不利益のある情報であれば、他の情報であってもよい。さらに、端末が行う処理もコンテンツの再生に限るものではない。例えば、端末は、個人情報を取り扱うデータベースの処理を行うとしてもよい。この場合、端末がリボークされているか否かを確認するタイミングは、個人情報の要求が端末からあった場合などになる。
（５） 上述した実施の形態では、カード０１０７が端末がリボークされているか否かを確認するとしたが、これに限られるものではない。例えば、サーバが、権利情報を提供する際に、端末がリボークされているか否かを確認しても良い。この場合、端末は、権利情報の要求と共にＰＣＲを送信する。また、サーバは、正規ＰＣＲを記憶しており、端末から送られてきたＰＣＲと正規ＰＣＲとが不一致の場合（すなわち、ＮＧの場合）に端末のプログラムをアップデートさせる。なお、詳細な処理については、端末とカードとの間でのアップデートの処理と同様であるので省略する。
（６） 上述した実施の形態では、プログラムがアップデートされた後、端末は再起動されるとしたが、これに限られるものではない。再起動を必要としない小さなアップデートであれば、そのまま処理を続行してもよい。すなわち、アップデートが完了した後、再起動を行わずに、鍵情報が端末に出力され、コンテンツの復号及び再生処理が行われるとしてもよい。
（７）以上説明したように、本発明は、端末と端末から分離可能なカードによって構成される情報処理装置であって、端末は、端末で動作しているプログラムの特徴を測定し、保存する端末測定手段と、端末で動作するプログラムを格納するプログラム格納手段と、プログラム格納手段に格納されているプログラムを更新するプログラム更新手段から構成され、カードは、端末の更新プログラムを格納する更新プログラム格納手段と、端末測定手段から得た情報を用い端末の正当性を確認する正当性確認手段と、正当性確認手段により端末が正当であると判断された場合のみ、カード内に保持されている秘密情報を端末に提供する秘密情報提供手段と、正当性確認手段により端末が正当でないと判断された場合のみ、更新プログラム格納手段に格納された更新プログラムをプログラム更新手段に出力するプログラム出力手段から構成されることを特徴とする。
また、本発明のデータ処理装置において、カードはさらに、一度接続された端末の端末ＩＤを格納する端末ＩＤ格納手段と、接続されている端末がネットワークに接続できる場合、端末ＩＤ格納手段に格納されている端末ＩＤに関連付けられている更新プログラムをサーバから取得し、更新プログラム格納手段に格納する更新プログラム取得手段と、更新プログラム取得手段で取得した更新プログラムに関連付けられている端末の正当性確認情報を格納する正当性確認情報格納手段と、接続されている端末がネットワークに接続できる場合、更新プログラム取得手段で取得した更新プログラムに関連付けられている正当性確認情報をサーバから取得し、正当性確認情報格納手段に格納する正当性確認情報取得手段を具備し、正当性確認手段が正当性確認情報格納手段より取得した正当性確認情報を用いて、端末の正当性を確認することを特徴とする。
この構成によれば、アップデートモジュール自体の信頼性に依存しない、プログラムのアップデート方法を提供することが可能となる。
さらに、リボークされた端末を動作不能にすることなく、不正な端末をプログラムのアップデートにより正当な端末にすることができるので、コンテンツの再生を継続できる。リボークして動作不能にすることによるユーザへの被害を防止しつつ、コンテンツ配布システムの健全性を保つことが可能となる。
さらに、リボークされた端末を動作不能にすることなく、不正な端末をプログラムのアップデートにより正当な端末にすることができるので、コンテンツの再生を継続できる。リボークして動作不能にすることによるユーザへの被害を防止しつつ、コンテンツ配布システムの健全性を保つことが可能となる。
また、カード内部の機構によってプログラムをアップデートしているので、インターネットに接続できない端末でもプログラムのアップデートが可能となる。
また、本発明に係る情報記録装置は、プログラムによって動作する情報処理装置とともに用いられ、情報処理装置により利用される情報を記録している情報記録装置であって、情報処理装置から情報へのアクセス要求を受け付ける受付手段と、情報処理装置を動作させる更新プログラムを格納する更新プログラム格納手段と、アクセス要求が受け付けられ
た場合に、アクセス要求を行った情報処理装置を動作させているプログラムの特徴情報を取得する取得手段と、特徴情報に基づいて、情報処理装置を動作させているプログラムの正当性を確認する正当性確認手段と、プログラムが正当でないと確認された場合に、情報処理装置に対して更新プログラムを出力する出力手段とを備えることを特徴とする。
また、本発明に係る情報記録装置は、プログラムによって動作する情報処理装置とともに用いられ、情報処理装置により利用される情報を記録している情報記録装置であって、情報処理装置から情報へのアクセス要求を受け付ける受付手段と、情報処理装置を動作させる更新プログラムを格納する更新プログラム格納手段と、アクセス要求が受け付けられ
た場合に、アクセス要求を行った情報処理装置を動作させているプログラムの特徴情報を取得する取得手段と、特徴情報に基づいて、情報処理装置を動作させているプログラムの正当性を確認する正当性確認手段と、プログラムが正当でないと確認された場合に、情報処理装置に対して更新プログラムを出力する出力手段とを備えることを特徴とする。
この構成によれば、情報記録装置に対して情報を要求している情報処理装置を動作させているプログラムが正当なものでないと確認された場合、そのプログラムが更新プログラムにアップデートされる。したがって、情報を利用しようとする装置に対して、プログラムのアップデートを強制することができる。
本発明に係る情報記録装置は、出力手段は、さらに、プログラムが正当であると確認された場合にのみ、情報を情報処理装置に出力することを特徴とする。
本発明に係る情報記録装置は、出力手段は、さらに、プログラムが正当であると確認された場合にのみ、情報を情報処理装置に出力することを特徴とする。
この構成によれば、情報処理装置は、プログラムが正当であると判定されない限り、要求している情報を得ることができない。このことから、アクセス要求を出している情報を得るためには、情報処理装置はプログラムのアップデートを行わざるを得なくなるので、プログラムのアップデートを強制することができる。
本発明に係る情報記録装置は、さらに、情報処理装置を動作させる正当なプログラムの特徴情報である正規特徴情報を格納する正規特徴情報格納手段を備え、正当性確認手段は、情報処理装置から受信した特徴情報と正規特徴情報とを比較することにより、プログラムが正当であるか否かを確認することを特徴とする。
本発明に係る情報記録装置は、さらに、情報処理装置を動作させる正当なプログラムの特徴情報である正規特徴情報を格納する正規特徴情報格納手段を備え、正当性確認手段は、情報処理装置から受信した特徴情報と正規特徴情報とを比較することにより、プログラムが正当であるか否かを確認することを特徴とする。
この構成によれば、情報記録装置は、情報処理装置のプログラムが正当であるか否かを特徴情報に基づいて確認することができる。
本発明に係る情報記録装置は、受信手段は、さらに、アクセス要求と共に情報処理装置の識別情報を取得し、更新プログラム格納手段は、過去にアクセス要求を行った１以上の情報処理装置の識別情報と、情報処理装置のそれぞれに向けた更新プログラムとを対応付けて格納し、出力手段は、アクセス要求とともに受信した識別情報に対応する情報処理装置向けの更新プログラムを出力することを特徴とする。
本発明に係る情報記録装置は、受信手段は、さらに、アクセス要求と共に情報処理装置の識別情報を取得し、更新プログラム格納手段は、過去にアクセス要求を行った１以上の情報処理装置の識別情報と、情報処理装置のそれぞれに向けた更新プログラムとを対応付けて格納し、出力手段は、アクセス要求とともに受信した識別情報に対応する情報処理装置向けの更新プログラムを出力することを特徴とする。
この構成によれば、情報記録装置が複数の情報処理装置で共有される場合でも、各情報処理装置に対して適切な更新プログラムを出力することができる。
本発明に係る情報記録装置は、更新プログラム格納手段は、さらに、新たな情報処理装置からのアクセス要求が受け付けられると、新たな情報処理装置の識別情報を格納内容に追加することを特徴とする。
本発明に係る情報記録装置は、更新プログラム格納手段は、さらに、新たな情報処理装置からのアクセス要求が受け付けられると、新たな情報処理装置の識別情報を格納内容に追加することを特徴とする。
この構成によれば、情報記録装置は、過去にアクセス要求を受け付けた情報処理装置の全てについて、更新プログラムの管理を行うことができる。
本発明に係る情報記録装置は、さらに、更新プログラムを提供するサーバに対して、更新プログラム格納手段が格納している情報処理装置の識別情報を送信する送信手段と、サーバから送信した識別情報に対応する情報処理装置用の更新プログラムを取得する取得手段とを備え、更新プログラム格納手段は、取得した更新プログラムを識別情報と対応付けて記録することを特徴とする。
本発明に係る情報記録装置は、さらに、更新プログラムを提供するサーバに対して、更新プログラム格納手段が格納している情報処理装置の識別情報を送信する送信手段と、サーバから送信した識別情報に対応する情報処理装置用の更新プログラムを取得する取得手段とを備え、更新プログラム格納手段は、取得した更新プログラムを識別情報と対応付けて記録することを特徴とする。
この構成によれば、情報記録装置は、自身が管理している情報処理装置について、更新プログラムのバージョンアップがあった場合、バージョンアップ後の更新プログラムを取
得して記録することができる。
また、本発明に係る情報記録装置は、可搬型の記録媒体であることを特徴とする。
この構成によれば、可搬型の記録媒体内部の機構によって、情報処理装置内のプログラムをアップデートしているので、インターネットに接続できない情報処理装置に対してもプログラムのアップデートを強制することができる。
得して記録することができる。
また、本発明に係る情報記録装置は、可搬型の記録媒体であることを特徴とする。
この構成によれば、可搬型の記録媒体内部の機構によって、情報処理装置内のプログラムをアップデートしているので、インターネットに接続できない情報処理装置に対してもプログラムのアップデートを強制することができる。
また、本発明に係る情報処理装置は、プログラムによって動作し、プログラムの特徴情報によりプログラムの正当性を確認する情報記録装置と共に用いられる情報処理装置であって、プログラムの特徴情報を算出する特徴情報算出手段と、情報記録装置が記録する情報へのアクセス要求を行う際に、算出した特徴情報を情報記録装置へ送信する送信手段と、情報記録装置による確認に応じて、情報もしくは情報処理装置用の更新プログラムを受信する受信手段と更新プログラムを受信した場合、受信した更新プログラムによりプログラムを更新する更新手段とを備えることを特徴とする。
この構成によれば、情報処理装置は、情報記録媒体に情報の要求を行う際に、自身を動作させているプログラムが不正なものであれば、アップデートすることができる。
また、本発明に係る情報記録装置は、特徴情報算出手段は、耐タンパ化により保護されていることを特徴とする。
この構成によれば、不正解析者による特徴情報の改ざんを防止できるので、情報処理装置を動作させているプログラムが不正なものである場合に、より確実に更新プログラムへのアップデートを行わせることができる。また、特徴情報算出手段さえ保護していれば、上述した不正を防止できるので、装置全体を耐タンパ化する場合に比べて、低コストでプログラムのアップデートを強制することができる。
また、本発明に係る情報記録装置は、特徴情報算出手段は、耐タンパ化により保護されていることを特徴とする。
この構成によれば、不正解析者による特徴情報の改ざんを防止できるので、情報処理装置を動作させているプログラムが不正なものである場合に、より確実に更新プログラムへのアップデートを行わせることができる。また、特徴情報算出手段さえ保護していれば、上述した不正を防止できるので、装置全体を耐タンパ化する場合に比べて、低コストでプログラムのアップデートを強制することができる。
また、本発明を、上述した特徴を持つ情報記録装置および情報処理装置から構成されるシステム、プログラムアップデート方法、プログラム、および集積回路として実現した場合もそれぞれ同様の効果を発揮することができる。
（８）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
（８）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
（９）上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又は全てを含むように１チップ化されてもよい。
また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。
また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。
さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適応等が可能性としてありえる。
（１０）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
（１０）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
（１１）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
また、本発明は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。
また、本発明は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。
また、本発明は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。
また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。
また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（１２）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
（１２）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
プログラムを更新する情報処理装置で利用できる。
０１００ コンテンツ配布システム
０１０１ サーバ
０１０２ 端末Ａ
０１０３ 端末Ｂ
０１０４ 端末Ｍ
０１０５ 端末Ｎ
０１０６ 端末Ｚ
０１０７ カード
０１０８ インターネット
０２０１ プロセッサ
０２０２ ＲＡＭ
０２０３ ブートコード
０２０４ カードインターフェース
０２０５ 通信部
０２０６ コンテンツ復号部
０２０７ セキュアモジュール
０２０８ プログラム格納部
０２０９ オペレーティングシステム
０２１０ 権利購入制御プログラム
０２１１ 再生制御プログラム
０２１２ プログラム証明書
０２１３ バス
０７０１ プロセッサ
０７０２ ＲＡＭ
０７０３ ブートコード
０７０４ カードインターフェース
０７０６ コンテンツ格納部
０７０７ セキュアモジュール
０７０８ プログラム格納部
０７０９ オペレーティングシステム
０７１１ 再生制御プログラム
０２１２ プログラム証明書
０７１３ バス
０８０１ プロセッサ
０８０２ ＲＡＭ
０８０３ ブートコード
０８０４ 端末Ｉ／Ｆ
０８０５ ＣＲＬデータベース
０８０７ コンテンツ格納部
０８０８ プログラム格納部
０８０９ オペレーティングシステム
０８１０ 権利購入プログラム
０８１１ 権利確認・鍵生成プログラム
０８１３ バス
１２０１ 通信部
１２０２ ＣＲＬデータベース
１２０３ ＣＲＬ管理部
１２０４ 権利管理部
０１０１ サーバ
０１０２ 端末Ａ
０１０３ 端末Ｂ
０１０４ 端末Ｍ
０１０５ 端末Ｎ
０１０６ 端末Ｚ
０１０７ カード
０１０８ インターネット
０２０１ プロセッサ
０２０２ ＲＡＭ
０２０３ ブートコード
０２０４ カードインターフェース
０２０５ 通信部
０２０６ コンテンツ復号部
０２０７ セキュアモジュール
０２０８ プログラム格納部
０２０９ オペレーティングシステム
０２１０ 権利購入制御プログラム
０２１１ 再生制御プログラム
０２１２ プログラム証明書
０２１３ バス
０７０１ プロセッサ
０７０２ ＲＡＭ
０７０３ ブートコード
０７０４ カードインターフェース
０７０６ コンテンツ格納部
０７０７ セキュアモジュール
０７０８ プログラム格納部
０７０９ オペレーティングシステム
０７１１ 再生制御プログラム
０２１２ プログラム証明書
０７１３ バス
０８０１ プロセッサ
０８０２ ＲＡＭ
０８０３ ブートコード
０８０４ 端末Ｉ／Ｆ
０８０５ ＣＲＬデータベース
０８０７ コンテンツ格納部
０８０８ プログラム格納部
０８０９ オペレーティングシステム
０８１０ 権利購入プログラム
０８１１ 権利確認・鍵生成プログラム
０８１３ バス
１２０１ 通信部
１２０２ ＣＲＬデータベース
１２０３ ＣＲＬ管理部
１２０４ 権利管理部
Claims (18)
- 情報処理装置と、前記情報処理装置に脱着可能な可搬型の情報記録装置とから構成される情報処理システムであって、
前記情報処理装置は、
当該情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムを格納している第１格納手段と、
ロードされるときに前記動作プログラムの特徴を示す特徴量を測定する測定手段と、
前記情報記録装置に対して、秘密情報を要求する要求手段と、
前記情報記録装置における前記動作プログラムの正当性の確認結果に応じて、秘密情報及び更新プログラムのいずれか一方を受信する受信手段と、
更新プログラムを受信した場合に、受信した更新プログラムに従って、前記第１格納手段に格納されている前記動作プログラムを更新する更新手段とを備え、
前記情報記録装置は、
秘密情報を安全に保持する情報保持手段と、
前記動作プログラムの更新のための更新プログラムを格納している第２格納手段と、
前記情報処理装置から秘密情報の要求を受信する受信手段と、
前記要求を受信すると、前記測定手段により測定された前記特徴量を用いて、前記動作プログラムの正当性を判断する判断手段と、
正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記情報処理装置へ出力し、正当でないと確認された場合、前記第２格納手段に格納されている前記更新プログラムを前記情報処理装置へ出力する出力手段と
を備えることを特徴とする情報処理システム。 - 前記情報記録装置は、さらに、
過去に接続された情報処理装置を識別する装置識別子を格納している識別子格納手段と、
サーバ装置から、ネットワーク及び当該ネットワークに接続された前記情報処理装置を介して、前記識別子格納手段に格納されている装置識別子に関連付けられている前記更新プログラムを取得し、取得した前記更新プログラムを前記第２格納手段に書き込む第１取得手段と、
正当性情報格納手段と、
前記サーバ装置から、ネットワーク及び当該ネットワークに接続された前記情報処理装置を介して、前記第２格納手段に格納されている前記更新プログラムに関連付けられ、前記動作プログラムの正当性を確認するための正当性確認情報を取得し、取得した正当性確認情報を前記正当性情報格納手段に書き込む第２取得手段とを含み、
前記判断手段は、前記正当性情報格納手段に書き込まれている前記正当性確認情報に基づいて、前記動作プログラムの正当性を判断する
ことを特徴とする請求項１に記載の情報処理システム。 - 情報処理装置に脱着可能な可搬型の情報記録装置であって、
秘密情報を安全に保持する情報保持手段と、
前記情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムの更新のための更新プログラムを格納しているプログラム格納手段と、
前記情報処理装置から秘密情報の要求を受信する受信手段と、
前記要求を受信すると、前記情報処理装置から取得し、前記動作プログラムの特徴を示す測定特徴量を用いて、前記動作プログラムの正当性を判断する判断手段と、
正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記情報処理装置へ出力し、正当でないと確認された場合、前記プログラム格納手段に格納されている前記更新プログラムを前記情報処理装置へ出力する出力手段と
を備えることを特徴とする情報記録装置。 - 前記情報記録装置は、さらに、
正当な動作プログラムの特徴を示す正規特徴量を格納する正規情報格納手段を含み、
前記判断手段は、前記情報処理装置から取得した測定特徴量と前記正規特徴量とを比較することにより、前記動作プログラムの正当性を判断する
ことを特徴とする請求項３に記載の情報記録装置。 - 前記プログラム格納手段は、少なくとも過去に接続された１台以上の情報処理装置を識別する装置識別子と、前記情報処理装置のそれぞれに向けた更新プログラムとを対応付けて格納し、
前記出力手段は、前記要求の発信元である前記情報処理装置を識別する装置識別子に対応する情報処理装置向けの更新プログラムを出力する
ことを特徴とする請求項３に記載の情報記録装置。 - 前記受信手段は、さらに、前記要求と共に前記要求の発信元である前記情報処理装置を識別する装置識別子を取得し、
前記プログラム格納手段は、過去に前記要求を行った１以上の情報処理装置を識別する装置識別子と、前記情報処理装置のそれぞれに向けた更新プログラムとを対応付けて格納し、
前記出力手段は、前記要求とともに受信した装置識別子に対応する情報処理装置向けの更新プログラムを出力する
ことを特徴とする請求項５に記載の情報記録装置。 - 前記プログラム格納手段は、さらに、新たな情報処理装置からの前記要求を受信すると、新たな情報処理装置を識別する装置識別子を追加して格納する
ことを特徴とする請求項６に記載の情報記録装置。 - 前記情報記録装置は、さらに、
前記更新プログラムを提供するサーバ装置に対して、前記プログラム格納手段に格納されている情報処理装置を識別する装置識別子を送信する送信手段と、
前記サーバ装置から、送信した前記装置識別子に対応する情報処理装置用の更新プログラムを取得する取得手段とを含み、
前記プログラム格納手段は、さらに、取得した前記更新プログラムを前記装置識別子と対応付けて記録する
ことを特徴とする請求項７に記載の情報記録装置。 - 前記情報記録装置は、可搬型のメモリカードである
ことを特徴とする請求項３に記載の情報記録装置。 - 前記判断手段は、前記判断において、Trusted Computing Group(TCG)により仕様化されている構成証明技術に含まれる検証プロセスを用いる
ことを特徴とする請求項３に記載の情報記録装置。 - 可搬型の情報記録装置が装着される情報処理装置であって、
当該情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムを格納している第１格納手段と、
ロードされるときに前記動作プログラムの特徴を示す特徴量を測定する測定手段と、
前記情報記録装置に対して、秘密情報を要求する要求手段と、
前記情報記録装置における前記動作プログラムの正当性の確認結果に応じて、秘密情報及び更新プログラムのいずれか一方を受信する受信手段と、
更新プログラムを受信した場合に、受信した更新プログラムに従って、前記第１格納手段に格納されている前記動作プログラムを更新する更新手段と
を備えることを特徴とする情報処理装置。 - 前記測定手段は、耐タンパ化により保護されている
ことを特徴とする請求項１１に記載の情報処理装置。 - 前記情報処理装置は、さらに、
Trusted Computing Group(TCG)により仕様化されているTrusted Platform Moduleを構成し、少なくとも前記特徴量に基づいて、当該情報処理装置の正当性を証明する証明情報を生成する証明手段を含む
ことを特徴とする請求項１１に記載の情報処理装置。 - 情報処理装置に脱着可能な可搬型の情報記録装置において用いられるプログラム更新方法であって、
前記情報記録装置は、秘密情報を安全に保持する情報保持手段と、前記情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムの更新のための更新プログラムを格納しているプログラム格納手段とを備え、
前記プログラム更新方法は、
前記情報処理装置から秘密情報の要求を受信する受信ステップと、
前記要求を受信すると、前記情報処理装置から取得し、前記動作プログラムの特徴を示す測定特徴量を用いて、前記動作プログラムの正当性を判断する判断ステップと、
正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記情報処理装置へ出力し、正当でないと確認された場合、前記プログラム格納手段に格納されている前記更新プログラムを前記情報処理装置へ出力する出力ステップと
を含むことを特徴とするプログラム更新方法。 - コンピュータ読み取り可能な記録媒体に記録され、情報処理装置に脱着可能な可搬型の情報記録装置において用いられるプログラム更新のためのコンピュータプログラムであって、
前記情報記録装置は、秘密情報を安全に保持する情報保持手段と、前記情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムの更新のための更新プログラムを格納しているプログラム格納手段とを備え、
前記コンピュータプログラムは、コンピュータに、
前記情報処理装置から秘密情報の要求を受信する受信ステップと、
前記要求を受信すると、前記情報処理装置から取得し、前記動作プログラムの特徴を示す測定特徴量を用いて、前記動作プログラムの正当性を判断する判断ステップと、
正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記情報処理装置へ出力し、正当でないと確認された場合、前記プログラム格納手段に格納されている前記更新プログラムを前記情報処理装置へ出力する出力ステップと
を実行させることを特徴とするコンピュータプログラム。 - 情報処理装置に脱着可能な可搬型の情報記録装置を構成する集積回路であって、
前記情報記録装置は、秘密情報を安全に保持する情報保持手段と、前記情報処理装置を動作対象とし、複数のコンピュータ命令を含む動作プログラムの更新のための更新プログラムを格納しているプログラム格納手段とを備え、
前記集積回路は、
前記情報処理装置から秘密情報の要求を受信する受信手段と、
前記要求を受信すると、前記情報処理装置から取得し、前記動作プログラムの特徴を示す測定特徴量を用いて、前記動作プログラムの正当性を判断する判断手段と、
正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記情報処理装置へ出力し、正当でないと確認された場合、前記プログラム格納手段に格納されている前記更新プログラムを前記情報処理装置へ出力する出力手段と
を備えることを特徴とする集積回路。 - サーバ装置と、ネットワークを介して前記サーバ装置に接続可能な第１情報処理装置と、前記サーバ装置に対する前記ネットワークを介した接続機能を有さない第２情報処理装置と、各情報処理装置に脱着可能な可搬型の情報記録装置とから構成される情報処理システムであって、
前記第２情報処理装置は、無効化されており、
前記サーバ装置は、前記第２情報処理装置を動作対象とする動作プログラムの更新のための更新プログラムを記憶しており、
前記情報記録装置が前記第１情報処理装置に装着され、前記第１情報処理装置は、前記サーバ装置からネットワークを介して前記更新プログラムを取得し、取得した前記更新プログラムを前記情報記録装置へ出力し、
前記情報記録装置が前記第２情報処理装置に装着され、
前記情報記録装置は、
秘密情報を安全に保持する情報保持手段と、
前記第１情報処理装置から前記更新プログラムを受信して格納する第１格納手段と、
前記第２情報処理装置から秘密情報の要求を受信する受信手段と、
前記要求を受信すると、前記第２情報処理装置において測定された特徴量を用いて、前記第２情報処理装置に格納されている動作プログラムの正当性を判断する判断手段と、
正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記第２情報処理装置へ出力し、正当でないと確認された場合、前記第２格納手段に格納されている前記更新プログラムを前記第２情報処理装置へ出力する出力手段とを備え、
前記第２情報処理装置は、
当該第２情報処理装置を動作対象とし、複数のコンピュータ命令を含む前記動作プログラムを格納している第２格納手段と、
ロードされるときに前記動作プログラムの特徴を示す特徴量を測定する測定手段と、
前記情報記録装置に対して、秘密情報を要求する要求手段と、
前記情報記録装置における前記動作プログラムの正当性の確認結果に応じて、秘密情報及び更新プログラムのいずれか一方を受信する受信手段と、
更新プログラムを受信した場合に、受信した更新プログラムに従って、前記第２格納手段に格納されている前記動作プログラムを更新する更新手段とを備える
ことを特徴とする情報処理システム。 - サーバ装置と、ネットワークを介して前記サーバ装置に接続可能な第１情報処理装置と、前記サーバ装置に対する接続機能を有さない第２情報処理装置と、各情報処理装置に脱着可能な可搬型の情報記録装置とから構成される情報処理システムにおいて用いられる情報処理方法であって、
前記第２情報処理装置は、無効化されており、
前記サーバ装置は、前記第２情報処理装置を動作対象とする動作プログラムの更新のための更新プログラムを記憶しており、
前記情報記録装置は、秘密情報を安全に保持する情報保持手段を備え、
前記第２情報処理装置は、当該第２情報処理装置を動作対象とし、複数のコンピュータ命令を含む前記動作プログラムを格納している格納手段を備え、
前記情報処理方法は、
前記情報記録装置が前記第１情報処理装置に装着されたときに、前記第１情報処理装置により、前記サーバ装置からネットワークを介して前記更新プログラムを取得し、取得した前記更新プログラムを前記情報記録装置へ出力する出力ステップと、
前記情報記録装置が前記第２情報処理装置に装着されたときに、前記情報記録装置により、前記第１情報処理装置から前記更新プログラムを受信して格納する格納ステップと、
前記情報記録装置により、前記第２情報処理装置から秘密情報の要求を受信する受信ステップと、
前記情報記録装置により、前記要求を受信すると、前記第２情報処理装置において測定された特徴量を用いて、前記第２情報処理装置に格納されている動作プログラムの正当性を判断する判断ステップと、
前記情報記録装置により、正当であると確認された場合、前記情報保持手段に保持されている前記秘密情報を前記第２情報処理装置へ出力し、正当でないと確認された場合、前記第２格納手段に格納されている前記更新プログラムを前記第２情報処理装置へ出力する出力ステップと、
前記第２情報処理装置により、ロードされるときに前記動作プログラムの特徴を示す特徴量を測定する測定ステップと、
前記第２情報処理装置により、前記情報記録装置に対して、秘密情報を要求する要求ステップと、
前記第２情報処理装置により、前記情報記録装置における前記動作プログラムの正当性の確認結果に応じて、秘密情報及び更新プログラムのいずれか一方を受信する受信ステップと、
前記第２情報処理装置により、更新プログラムを受信した場合に、受信した更新プログラムに従って、前記格納手段に格納されている前記動作プログラムを更新する更新ステップと
を含むことを特徴とする情報処理方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2008523676A JP4906854B2 (ja) | 2006-07-03 | 2007-07-02 | 情報処理装置、情報記録装置、情報処理システム、プログラムアップデート方法、プログラムおよび集積回路 |
Applications Claiming Priority (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006182972 | 2006-07-03 | ||
| JP2006182972 | 2006-07-03 | ||
| PCT/JP2007/063249 WO2008004525A1 (fr) | 2006-07-03 | 2007-07-02 | Dispositif de traitement d'informations, dispositif d'enregistrement d'informations, système de traitement d'informations, procédé de mise à jour de programme, programme, et circuit intégré |
| JP2008523676A JP4906854B2 (ja) | 2006-07-03 | 2007-07-02 | 情報処理装置、情報記録装置、情報処理システム、プログラムアップデート方法、プログラムおよび集積回路 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPWO2008004525A1 JPWO2008004525A1 (ja) | 2009-12-03 |
| JP4906854B2 true JP4906854B2 (ja) | 2012-03-28 |
Family
ID=38894494
Family Applications (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2008523675A Expired - Fee Related JP4950195B2 (ja) | 2006-07-03 | 2007-07-02 | 証明装置、検証装置、検証システム、コンピュータプログラム及び集積回路 |
| JP2008523676A Expired - Fee Related JP4906854B2 (ja) | 2006-07-03 | 2007-07-02 | 情報処理装置、情報記録装置、情報処理システム、プログラムアップデート方法、プログラムおよび集積回路 |
Family Applications Before (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2008523675A Expired - Fee Related JP4950195B2 (ja) | 2006-07-03 | 2007-07-02 | 証明装置、検証装置、検証システム、コンピュータプログラム及び集積回路 |
Country Status (4)
| Country | Link |
|---|---|
| US (2) | US20100063996A1 (ja) |
| EP (1) | EP2037388A4 (ja) |
| JP (2) | JP4950195B2 (ja) |
| WO (2) | WO2008004525A1 (ja) |
Families Citing this family (68)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100556198C (zh) * | 2007-08-16 | 2009-10-28 | 中兴通讯股份有限公司 | 内容摘要验证接口方法 |
| JP4687703B2 (ja) * | 2007-10-02 | 2011-05-25 | ソニー株式会社 | 記録システム、情報処理装置、記憶装置、記録方法及びプログラム |
| JP5049179B2 (ja) * | 2008-03-31 | 2012-10-17 | 富士通フロンテック株式会社 | 情報処理端末装置及びアプリケーションプログラムの起動認証方法 |
| JP5072702B2 (ja) * | 2008-04-28 | 2012-11-14 | 株式会社東芝 | 記憶装置の制御装置、記憶装置及び記憶装置の制御方法 |
| WO2009134270A1 (en) * | 2008-05-02 | 2009-11-05 | Hewlett-Packard Development Company, L.P. | Binding data to a computing platform through use of a cryptographic module |
| US8515996B2 (en) | 2008-05-19 | 2013-08-20 | Emulex Design & Manufacturing Corporation | Secure configuration of authentication servers |
| EP2293216A1 (en) * | 2008-06-23 | 2011-03-09 | Panasonic Corporation | Information processing device, information processing method, and computer program and integrated circuit for the realization thereof |
| JP2010061374A (ja) * | 2008-09-03 | 2010-03-18 | Toshiba Corp | 表示装置および鍵管理方法 |
| US20100119068A1 (en) * | 2008-11-11 | 2010-05-13 | Harris Scott C | Digital File Anti pirating |
| KR101197182B1 (ko) * | 2008-12-23 | 2012-11-02 | 한국전자통신연구원 | 컴퓨터 시스템에서의 해킹 방지 장치 및 방법 |
| US8213618B2 (en) * | 2008-12-30 | 2012-07-03 | Intel Corporation | Protecting content on client platforms |
| US8768843B2 (en) * | 2009-01-15 | 2014-07-01 | Igt | EGM authentication mechanism using multiple key pairs at the BIOS with PKI |
| US8924742B2 (en) * | 2009-02-11 | 2014-12-30 | Blackberry Limited | Multi-level data storage |
| US20130132733A1 (en) * | 2009-05-26 | 2013-05-23 | Sunil C. Agrawal | System And Method For Digital Rights Management With System Individualization |
| DE102009046436A1 (de) * | 2009-11-05 | 2011-05-12 | Robert Bosch Gmbh | Kryptographisches Hardwaremodul bzw. Verfahren zur Aktualisierung eines kryptographischen Schlüssels |
| CN102725737B (zh) * | 2009-12-04 | 2016-04-20 | 密码研究公司 | 可验证防泄漏的加密和解密 |
| US8555059B2 (en) * | 2010-04-16 | 2013-10-08 | Microsoft Corporation | Secure local update of content management software |
| US8452957B2 (en) | 2010-04-27 | 2013-05-28 | Telefonaktiebolaget L M Ericsson (Publ) | Method and nodes for providing secure access to cloud computing for mobile users |
| US8959363B2 (en) * | 2010-06-03 | 2015-02-17 | Intel Corporation | Systems, methods, and apparatus to virtualize TPM accesses |
| WO2012033496A1 (en) * | 2010-09-10 | 2012-03-15 | Hewlett-Packard Development Company, L.P. | Unlock a storage device |
| US8402453B2 (en) * | 2010-09-22 | 2013-03-19 | Telefonaktiebolaget L M Ericsson (Publ) | In-service software upgrade of control and line cards of network element |
| US9525548B2 (en) | 2010-10-21 | 2016-12-20 | Microsoft Technology Licensing, Llc | Provisioning techniques |
| US8805434B2 (en) | 2010-11-23 | 2014-08-12 | Microsoft Corporation | Access techniques using a mobile communication device |
| US9509686B2 (en) * | 2010-12-03 | 2016-11-29 | Microsoft Technology Licensing, Llc | Secure element authentication |
| GB2501433B (en) | 2011-01-19 | 2014-06-04 | Ibm | Ensuring the integrity of software |
| WO2012112833A2 (en) * | 2011-02-17 | 2012-08-23 | Taasera, Inc. | System and method for application attestation |
| US8375221B1 (en) * | 2011-07-29 | 2013-02-12 | Microsoft Corporation | Firmware-based trusted platform module for arm processor architectures and trustzone security extensions |
| US20130339734A1 (en) * | 2011-08-12 | 2013-12-19 | Power-One, Inc. | Secure Method and System for Remote Field Upgrade of Power Device Firmware |
| US8797139B2 (en) * | 2012-02-23 | 2014-08-05 | Infineon Technologies Ag | System-level chip identify verification (locking) method with authentication chip |
| US8885562B2 (en) | 2012-03-28 | 2014-11-11 | Telefonaktiebolaget L M Ericsson (Publ) | Inter-chassis redundancy with coordinated traffic direction |
| US20140281539A1 (en) * | 2012-03-30 | 2014-09-18 | Goldman, Sachs & Co. | Secure Mobile Framework With Operating System Integrity Checking |
| US8776180B2 (en) | 2012-05-01 | 2014-07-08 | Taasera, Inc. | Systems and methods for using reputation scores in network services and transactions to calculate security risks to computer systems and platforms |
| JP5975097B2 (ja) * | 2012-05-21 | 2016-08-23 | ソニー株式会社 | 情報処理装置、情報処理システム、および情報処理方法、並びにプログラム |
| JP5990433B2 (ja) * | 2012-08-31 | 2016-09-14 | 株式会社富士通エフサス | ネットワーク接続方法および電子機器 |
| JP6128388B2 (ja) * | 2012-09-14 | 2017-05-17 | パナソニックＩｐマネジメント株式会社 | 情報処理装置 |
| US9292463B2 (en) * | 2012-09-26 | 2016-03-22 | Intel Corporation | Communication of device presence between boot routine and operating system |
| US9152793B2 (en) * | 2012-09-28 | 2015-10-06 | Intel Corporation | Methods, systems and apparatus to self authorize platform code |
| JP5695623B2 (ja) * | 2012-09-28 | 2015-04-08 | 株式会社東芝 | 送信装置及び通信システム及びプログラム |
| JP5986897B2 (ja) * | 2012-11-13 | 2016-09-06 | Kddi株式会社 | 端末装置、完全性検証システム、およびプログラム |
| US10038565B2 (en) * | 2012-12-20 | 2018-07-31 | GM Global Technology Operations LLC | Methods and systems for bypassing authenticity checks for secure control modules |
| US11539399B2 (en) * | 2013-03-04 | 2022-12-27 | Wind River Systems, Inc. | System and method for smart card based hardware root of trust on mobile platforms using near field communications |
| WO2014144601A1 (en) | 2013-03-15 | 2014-09-18 | Master Lock Company | Networked security system |
| US20160132681A1 (en) * | 2013-06-14 | 2016-05-12 | Nec Europe Ltd. | Method for performing a secure boot of a computing system and computing system |
| GB2515289A (en) * | 2013-06-17 | 2014-12-24 | Mastercard International Inc | Display card with user interface |
| US20150012402A1 (en) * | 2013-07-03 | 2015-01-08 | Trading Technologies International, Inc. | Trading System License Verification, Management and Control |
| US11310050B2 (en) | 2018-09-17 | 2022-04-19 | Microsoft Technology Licensing, Llc | Verifying a computing device after transport |
| JP5617981B2 (ja) * | 2013-09-18 | 2014-11-05 | 株式会社リコー | 機器、管理装置、機器管理システム、及びプログラム |
| JP6662561B2 (ja) * | 2014-03-31 | 2020-03-11 | フェリカネットワークス株式会社 | 情報処理方法、情報処理装置、認証サーバ装置及び確認サーバ装置 |
| US9692599B1 (en) * | 2014-09-16 | 2017-06-27 | Google Inc. | Security module endorsement |
| US10897707B2 (en) * | 2015-01-19 | 2021-01-19 | Telefonaktiebolaget Lm Ericsson (Publ) | Methods and apparatus for direct communication key establishment |
| JP6557473B2 (ja) * | 2015-01-23 | 2019-08-07 | キヤノン株式会社 | システム、通信装置、通信方法及びプログラム |
| US10367803B2 (en) * | 2015-04-12 | 2019-07-30 | Gropper Adrian | Managed open source medical devices |
| EP3086254A1 (en) * | 2015-04-22 | 2016-10-26 | Gemalto Sa | Method of managing applications in a secure element when updating the operating system |
| US9448785B1 (en) * | 2015-11-06 | 2016-09-20 | AO Kaspersky Lab | System and method updating full disk encryption software |
| JP6675227B2 (ja) * | 2016-02-26 | 2020-04-01 | キヤノン株式会社 | 情報処理装置、情報処理システム、情報処理方法、及びプログラム |
| US10621351B2 (en) | 2016-11-01 | 2020-04-14 | Raptor Engineering, LLC. | Systems and methods for tamper-resistant verification of firmware with a trusted platform module |
| US10524119B2 (en) * | 2016-11-23 | 2019-12-31 | Afero, Inc. | Apparatus and method for sharing credentials in an internet of things (IoT) system |
| JP6908914B2 (ja) * | 2017-02-24 | 2021-07-28 | 株式会社国際電気通信基礎技術研究所 | データ送信装置、データ受信装置、通信システム、および、プログラム |
| US10311224B1 (en) * | 2017-03-23 | 2019-06-04 | Amazon Technologies, Inc. | Digitally sealing equipment for authentication of components |
| WO2018189885A1 (ja) * | 2017-04-14 | 2018-10-18 | 三菱電機株式会社 | 鍵管理システム、通信機器および鍵共有方法 |
| CN111480161A (zh) * | 2017-12-20 | 2020-07-31 | 飞力凯网路股份有限公司 | 信息处理设备和信息处理方法 |
| JP7179482B2 (ja) * | 2018-04-19 | 2022-11-29 | キヤノン株式会社 | 情報処理装置、制御方法、およびそのプログラム |
| US11068600B2 (en) * | 2018-05-21 | 2021-07-20 | Kct Holdings, Llc | Apparatus and method for secure router with layered encryption |
| TWI682656B (zh) * | 2018-07-23 | 2020-01-11 | 陳明宗 | 利用兩種密鑰的通訊系統 |
| CN111125705B (zh) * | 2018-11-01 | 2022-08-19 | 华为终端有限公司 | 一种能力开放方法及装置 |
| CN113396398B (zh) * | 2019-01-30 | 2023-11-28 | 株式会社电装多利牡 | 存储器的改写历史记录装置 |
| JP7428049B2 (ja) | 2020-03-30 | 2024-02-06 | 大日本印刷株式会社 | デバイス、セキュアエレメント及びデバイスのセキュアブート方法 |
| US11863561B2 (en) * | 2021-11-10 | 2024-01-02 | Oracle International Corporation | Edge attestation for authorization of a computing node in a cloud infrastructure system |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002536757A (ja) * | 1999-02-15 | 2002-10-29 | ヒューレット・パッカード・カンパニー | 信用コンピューティング・プラットフォーム |
| JP2003303028A (ja) * | 2002-04-09 | 2003-10-24 | Matsushita Electric Ind Co Ltd | ナビゲーション装置のバージョンアップシステム |
| JP2005309759A (ja) * | 2004-04-21 | 2005-11-04 | Nippon Telegr & Teleph Corp <Ntt> | 電子データ提供システムと方法およびプログラム |
| JP2005316974A (ja) * | 2004-04-30 | 2005-11-10 | Microsoft Corp | ソフトウエアのアップデートを制限する方法およびシステム |
| US20060085848A1 (en) * | 2004-10-19 | 2006-04-20 | Intel Corporation | Method and apparatus for securing communications between a smartcard and a terminal |
| US20060095961A1 (en) * | 2004-10-29 | 2006-05-04 | Priya Govindarajan | Auto-triage of potentially vulnerable network machines |
| JP2007041694A (ja) * | 2005-08-01 | 2007-02-15 | Canon Inc | ファームウェアのバージョンアップ方法 |
Family Cites Families (39)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6008836A (en) | 1996-06-03 | 1999-12-28 | Webtv Networks, Inc. | Method and apparatus for adjusting television display control using a browser |
| US6141693A (en) | 1996-06-03 | 2000-10-31 | Webtv Networks, Inc. | Method and apparatus for extracting digital data from a video stream and using the digital data to configure the video stream for display on a television set |
| US5935207A (en) | 1996-06-03 | 1999-08-10 | Webtv Networks, Inc. | Method and apparatus for providing remote site administrators with user hits on mirrored web sites |
| US6311197B2 (en) | 1996-06-03 | 2001-10-30 | Webtv Networks, Inc. | Method for downloading a web page to a client for efficient display on a television screen |
| US6473099B1 (en) | 1996-06-03 | 2002-10-29 | Webtv Networks, Inc. | Automatically upgrading software over a satellite link |
| US5940074A (en) | 1996-06-03 | 1999-08-17 | Webtv Networks, Inc. | Remote upgrade of software over a network |
| US5996022A (en) | 1996-06-03 | 1999-11-30 | Webtv Networks, Inc. | Transcoding data in a proxy computer prior to transmitting the audio data to a client |
| US5918013A (en) | 1996-06-03 | 1999-06-29 | Webtv Networks, Inc. | Method of transcoding documents in a network environment using a proxy server |
| US6957260B1 (en) | 1996-06-03 | 2005-10-18 | Microsoft Corporation | Method of improving access to services provided by a plurality of remote service providers |
| US6034689A (en) | 1996-06-03 | 2000-03-07 | Webtv Networks, Inc. | Web browser allowing navigation between hypertext objects using remote control |
| US6259442B1 (en) | 1996-06-03 | 2001-07-10 | Webtv Networks, Inc. | Downloading software from a server to a client |
| US5974461A (en) | 1996-06-03 | 1999-10-26 | Webtv Networks, Inc. | Method for automatically regenerating information at a client system in the event of power or communication disruption between the client system and the server |
| US5896444A (en) | 1996-06-03 | 1999-04-20 | Webtv Networks, Inc. | Method and apparatus for managing communications between a client and a server in a network |
| US5851988A (en) | 1997-01-15 | 1998-12-22 | Terrapin Technologies, Inc. | Nonpeptide insulin receptor agonists |
| US5830918A (en) | 1997-01-15 | 1998-11-03 | Terrapin Technologies, Inc. | Nonpeptide insulin receptor agonists |
| US20030078188A1 (en) | 1997-01-15 | 2003-04-24 | Kauvar Lawrence M. | Modulators of insulin receptor activity |
| US6329431B1 (en) | 1997-01-15 | 2001-12-11 | Telik, Inc. | Nonpeptide insulin receptor agonists |
| US6848047B1 (en) | 1999-04-28 | 2005-01-25 | Casio Computer Co., Ltd. | Security managing system, data distribution apparatus and portable terminal apparatus |
| EP1085396A1 (en) * | 1999-09-17 | 2001-03-21 | Hewlett-Packard Company | Operation of trusted state in computing platform |
| US6671724B1 (en) * | 2000-03-21 | 2003-12-30 | Centrisoft Corporation | Software, systems and methods for managing a distributed network |
| US7353267B1 (en) | 2000-04-07 | 2008-04-01 | Netzero, Inc. | Targeted network video download interface |
| GB2382419B (en) * | 2001-11-22 | 2005-12-14 | Hewlett Packard Co | Apparatus and method for creating a trusted environment |
| US7620811B2 (en) | 2002-04-23 | 2009-11-17 | Panasonic Corporation | Server device and program management system |
| JP2003330745A (ja) | 2002-05-14 | 2003-11-21 | Mitsubishi Electric Corp | プログラム更新装置及びプログラム更新方法 |
| US7478433B2 (en) * | 2003-06-19 | 2009-01-13 | Panasonic Corporation | Program execution system having authentication function |
| US20050021968A1 (en) * | 2003-06-25 | 2005-01-27 | Zimmer Vincent J. | Method for performing a trusted firmware/bios update |
| US20050114682A1 (en) * | 2003-11-26 | 2005-05-26 | Zimmer Vincent J. | Methods and apparatus for securely configuring a machine in a pre-operating system environment |
| JP4064914B2 (ja) * | 2003-12-02 | 2008-03-19 | インターナショナル・ビジネス・マシーンズ・コーポレーション | 情報処理装置、サーバ装置、情報処理装置のための方法、サーバ装置のための方法および装置実行可能なプログラム |
| US20050132031A1 (en) * | 2003-12-12 | 2005-06-16 | Reiner Sailer | Method and system for measuring status and state of remotely executing programs |
| US7421588B2 (en) * | 2003-12-30 | 2008-09-02 | Lenovo Pte Ltd | Apparatus, system, and method for sealing a data repository to a trusted computing platform |
| US7382880B2 (en) * | 2004-01-26 | 2008-06-03 | Hewlett-Packard Development Company, L.P. | Method and apparatus for initializing multiple security modules |
| JP4144880B2 (ja) * | 2004-04-09 | 2008-09-03 | インターナショナル・ビジネス・マシーンズ・コーポレーション | プラットフォーム構成測定装置、プログラム及び方法、プラットフォーム構成認証装置、プログラム及び方法、プラットフォーム構成証明装置、プログラム及び方法、並びに、プラットフォーム構成開示装置、プログラム及び方法 |
| JP2004320793A (ja) | 2004-05-17 | 2004-11-11 | Matsushita Electric Ind Co Ltd | 管理基準作成方法、管理基準作成システム、及び記録媒体 |
| JP2005339472A (ja) | 2004-05-31 | 2005-12-08 | Fuji Electric Holdings Co Ltd | Ｉｃカードシステム |
| US7590867B2 (en) * | 2004-06-24 | 2009-09-15 | Intel Corporation | Method and apparatus for providing secure virtualization of a trusted platform module |
| EP1624691A1 (en) | 2004-08-03 | 2006-02-08 | Thomson Licensing | Forcing an action in a terminal |
| US20060047944A1 (en) * | 2004-09-01 | 2006-03-02 | Roger Kilian-Kehr | Secure booting of a computing device |
| CN101960464B (zh) * | 2008-02-25 | 2013-01-16 | 松下电器产业株式会社 | 信息处理装置 |
| US8793504B2 (en) * | 2012-02-22 | 2014-07-29 | International Business Machines Corporation | Validating a system with multiple subsystems using trusted platform modules and virtual platform modules |
-
2007
- 2007-07-02 WO PCT/JP2007/063249 patent/WO2008004525A1/ja active Application Filing
- 2007-07-02 US US12/305,100 patent/US20100063996A1/en not_active Abandoned
- 2007-07-02 EP EP07768023.9A patent/EP2037388A4/en not_active Withdrawn
- 2007-07-02 WO PCT/JP2007/063248 patent/WO2008004524A1/ja active Application Filing
- 2007-07-02 JP JP2008523675A patent/JP4950195B2/ja not_active Expired - Fee Related
- 2007-07-02 JP JP2008523676A patent/JP4906854B2/ja not_active Expired - Fee Related
- 2007-07-02 US US12/306,816 patent/US8296561B2/en not_active Expired - Fee Related
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002536757A (ja) * | 1999-02-15 | 2002-10-29 | ヒューレット・パッカード・カンパニー | 信用コンピューティング・プラットフォーム |
| JP2003303028A (ja) * | 2002-04-09 | 2003-10-24 | Matsushita Electric Ind Co Ltd | ナビゲーション装置のバージョンアップシステム |
| JP2005309759A (ja) * | 2004-04-21 | 2005-11-04 | Nippon Telegr & Teleph Corp <Ntt> | 電子データ提供システムと方法およびプログラム |
| JP2005316974A (ja) * | 2004-04-30 | 2005-11-10 | Microsoft Corp | ソフトウエアのアップデートを制限する方法およびシステム |
| US20060085848A1 (en) * | 2004-10-19 | 2006-04-20 | Intel Corporation | Method and apparatus for securing communications between a smartcard and a terminal |
| US20060095961A1 (en) * | 2004-10-29 | 2006-05-04 | Priya Govindarajan | Auto-triage of potentially vulnerable network machines |
| JP2007041694A (ja) * | 2005-08-01 | 2007-02-15 | Canon Inc | ファームウェアのバージョンアップ方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| EP2037388A1 (en) | 2009-03-18 |
| JP4950195B2 (ja) | 2012-06-13 |
| US8296561B2 (en) | 2012-10-23 |
| US20090204806A1 (en) | 2009-08-13 |
| US20100063996A1 (en) | 2010-03-11 |
| JPWO2008004524A1 (ja) | 2009-12-03 |
| WO2008004525A1 (fr) | 2008-01-10 |
| WO2008004524A1 (fr) | 2008-01-10 |
| EP2037388A4 (en) | 2016-12-14 |
| JPWO2008004525A1 (ja) | 2009-12-03 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4906854B2 (ja) | 情報処理装置、情報記録装置、情報処理システム、プログラムアップデート方法、プログラムおよび集積回路 | |
| US10489562B2 (en) | Modular software protection | |
| US10547604B2 (en) | Information recording apparatus with shadow boot program for authentication with a server | |
| JP4790021B2 (ja) | Ｓｒｍのデジタル著作権管理方法及び装置 | |
| US9281949B2 (en) | Device using secure processing zone to establish trust for digital rights management | |
| KR101122923B1 (ko) | 휴대용 매체 상의 콘텐트에 대한 암호화 및 데이터 보호 | |
| US8214630B2 (en) | Method and apparatus for controlling enablement of JTAG interface | |
| JP5457363B2 (ja) | 情報処理装置、認証システム、認証装置、情報処理方法、情報処理プログラム、記録媒体及び集積回路 | |
| KR100605071B1 (ko) | 디지털 전자 콘텐츠의 안전하고 편리한 관리 시스템 및 방법 | |
| JP5097130B2 (ja) | 情報端末、セキュリティデバイス、データ保護方法及びデータ保護プログラム | |
| US20120166781A1 (en) | Single security model in booting a computing device | |
| US20110299679A1 (en) | Controller, control method, computer program, recording medium for computer program, recording apparatus, and manufacturing method for recording apparatus | |
| US11838282B2 (en) | Information recording apparatus with server-based user authentication for accessing a locked operating system storage | |
| KR101711024B1 (ko) | 부정조작방지 장치 접근 방법 및 그 방법을 채용한 단말 장치 | |
| JP4702596B2 (ja) | 復号回路、復号装置、復号方法及び復号プログラム | |
| JP2009122923A (ja) | 著作権保護システム、再生装置、及び再生方法 | |
| JP2010061182A (ja) | ソフトウェア管理方法、ソフトウェア管理装置およびソフトウェア管理プログラム | |
| KR20100064057A (ko) | Ｄｒｍ 도메인 생성 방법 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20100329 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20111213 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120110 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150120 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4906854 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |