JP4937339B2 - 画像を直接レンダリングしてセキュアなメモリ領域で対応するユーザ入力と相関付ける方法およびシステム - Google Patents

Description

電子支払取引情報等のユーザ機密情報が機械的なキーボードまたはポインティングデバイスを介してコンピュータシステムに入力されると、その情報は、コンピュータシステムに伝達される際またはコンピュータシステム内で、キーストロークまたは入力座標を記録しうるスパイウェア等のマルウェアに曝されることとなる。

ユーザ機密情報の受信に関連付けられたアプリケーションプログラムもまた、スパイウェア等のマルウェアに曝される危険性がある。

データ入力画像をレンダリングして、保護されたメモリ領域で、レンダリングされた画像とユーザ入力とを相関付ける例示的な方法の処理フローチャートである。

図１の方法を呼び出して、ネットワーク接続を介して支払取引を行う例示的な方法の処理フローチャートである。

ディスプレイのランダムな位置に画像をレンダリングして、ユーザ入力に続いてディスプレイの別のランダムな位置に該画像を再度レンダリングする例示的な方法の処理フローチャートである。

セキュアなメモリ領域において、ユーザ画像の上に入力表示画像をレンダリングする例示的な方法の処理フローチャートである。

ディスプレイのランダムな位置に承認画像をレンダリングする例示的な方法の処理フローチャートである。

レンダリングされた画像に相関付けられていないユーザ入力の数が閾値を超えた場合に処理を中止する例示的な方法の処理フローチャートである。

データ入力画像をレンダリングして、保護されたメモリ領域でユーザ入力とレンダリングされた画像とを相関付ける別の例示的な方法の処理フローチャートである。

例示的なコンピュータ環境をグラフィックに示す図である。

図８の例示的なコンピュータ環境に対応する例示的なロジックおよびデータのブロック図である。

図面では、参照番号の左端の桁は、その参照番号を最初に利用する図面を示している。

図１は、データ入力画像をレンダリングして、保護されたメモリ領域で、レンダリングされた画像とユーザ入力とを相関付ける例示的な方法１００の処理フローチャートである。

１０２で、アクセス保護されたメモリ領域をコンピュータシステム内に構成する。保護されたメモリ領域へのアクセスは１以上の規則に則り制限され、保護されたメモリ領域内のデータおよび命令への、領域外の処理からのアクセスを実質的に不可能とする。保護されたメモリ領域は、システムメモリ、グラフィックメモリ、およびこれらの組み合わせの１以上の部分を含んでよい。保護されたメモリ領域は、仮想マシン管理技術を含む、ソフトウェア、ハードウェア、およびこれらの組み合わせの制御下で構成および施行されてよい。

１０４で、保護されたメモリ領域でアプリケーションを開始する。アプリケーションは、コンピュータシステムのプロセッサに、キーボード画像等のデータ入力画像をレンダリングさせ、保護されたメモリ領域で、後続のユーザ入力と該画像とを相関付けさせる命令を含むことができる。

アプリケーションは、開始前に、ソフトウェア、ハードウェア、およびこれらの組み合わせにより認証されていてよく、トラステッドエグゼキューションテクノロジーを含みうるコード署名ハッシュ技術を含む１以上のハッシュ技術により認証されていてよい。

アプリケーションは、セキュアなメモリ領域へロードされそこで認証されてよい。または、あるいはこれに加えて、アプリケーションまたはその一部が、トラステッド・エグゼキューション・テクノロジー・モジュールに関連するアクセス保護されたファームウェア等の別のセキュアなメモリ領域へロードされてもよい。

アプリケーションを起動する対応オペレーティングシステムがルートキット、ウィルス、ウォーム、またはスパイウェア等により危険に曝されている場合であっても、保護されたメモリ領域およびアプリケーション認証が、単独で、または互いに組み合わせられることで、アプリケーションおよび、そのアプリケーションに関連付けられたコード、制御フロー、およびデータ構造を、スパイウェアを含む悪意あるコードから保護することができる。

１０２における保護されたメモリ領域の構成、および／または、１０４におけるアプリケーションのロード、認証、および開始は、悪意あるコードによる覗き見行為および改ざんからメモリ内のコンポーネントを保護するハイパーバイザベースのセキュリティバイザの制御下で行うことができる。

ハイパーバイザベースのセキュリティバイザは、コードおよび／またはデータを特定して、認証対象としてコードおよび／またはデータと関連付けられた１以上の特徴を測定して、認証されたコードおよび／またはデータを保護するよう、構成されてよい。

ハイパーバイザベースのセキュリティバイザは、オペレーティングシステム上に修正を加えることなく動作可能に構成されうる。

ハイパーバイザベースのセキュリティバイザは、オペレーティングシステムの範囲外（つまり、動作環境に潜伏している可能性のあるマルウェアの範囲外）の保護された領域で動作するＩＭＭ（integrity measurement module）を含みうる。ＩＭＭ保護された領域は、仮想マシンマネージャ（ＶＭＭ）の上で動作する、保護されたハードウェアおよび／または保護された仮想マシン（ＶＭ）を含みうる。ＩＭＭは、コードのセクションのハッシュ（例えば、ＳＨＡ−１ハッシュ）を含む署名ファイルに対するアプリケーションのコードのＩＤおよびインテグリティを検証して、コードセクションおよび対応する再配置テーブルへのエントリポイントを検証するよう構成されてよい。

ハイパーバイザベースのセキュリティバイザは、メモリアクセス保護を遂行するメモリ保護モジュール（ＭＰＭ）を含んでよく、ＩＭＭは、ＩＭＭの検証が成功してアプリケーション計測が完了した後で、ＭＰＭにメモリアクセス保護遂行を促すよう構成されてよい。

ＭＰＭは、１以上の保護されたページテーブル（ＰＰＴ）を作成して、アプリケーションの、保護されたコードおよび対応するデータページを、ＰＰＴにマッピングして、アクティブページテーブル（ＡＰＴ）から対応するマッピングを切り離す（sever）よう構成されてよい。ＶＭＭ等のメモリマネージャは、保護されたメモリの仮想アドレス範囲および保護されたページに対応する物理アドレスのリストを管理するよう構成されてよい。ページフォルトが起こると、ＶＭＭは宛先ページの仮想アドレスを、保護されたページのアドレスのリストと比較するよう構成され、整合するものが見つかると、仮想マシン制御構造（ＶＭＣＳ）のページテーブルベースレジスタ（ＰＴＢＲ）を、ＰＰＴベースアドレスのアドレスに切り替える。そして、ＶＭＭは、ＰＴＢＲをＰＰＴアドレスからＡＰＴベースへ切り替える。ＶＭＭは、ＶＭＭがＡＰＴにページを追加しようとする度に、物理ページアドレスのリストをチェックしてよい。ＶＭＭが保護されたページを見つけると、ＶＭＭは保護されたページをＡＰＴに追加することを拒否して、エラー情報を生成してよい。メモリ保護が構成されている場合、アプリケーションに関連付けられた開始ベクトルは、保護されたアプリケーション領域内で実行される第１のコードセクションであってよい。

ハイパーバイザベースのセキュリティバイザは、我がインテルコーポレーションが開発したネットワーク（ＶＩＳＮ）システムのＶＴインテグリティサービスを含みうる。

１０６で、ビデオフレームバッファが、保護されたメモリ領域に割り当てられる。

アプリケーションは、グラフィックアダプタに対応するビデオフレームバッファを、保護されたメモリ領域へ組み込み（pull into）、ビデオフレームバッファへ直接レンダリングする。１以上のビデオフレームバックバッファおよび／または他のサーフェス（surface）が、さらに、保護されたメモリ領域に割り当てられてよい。保護されたメモリ領域にある間は、ビデオフレームバッファ（バックバッファその他のサーフェスをすべて含む）は、保護されたメモリ領域の外のオペレーティングシステムおよびその他の処理が開始する書き込みおよび／または読み出し処理から実質的に保護されうる。これに対応して、ビデオフレームバッファ（バックバッファその他のサーフェスをすべて含む）は、コンピュータシステム上で動作するマルウェア（マルウェアの優先度に関わらず）の影響を実質的に受けない。

アプリケーションは、主要な、またはビデオフレームフロントバッファおよび１以上のビデオフレームバックバッファに対応するメモリアドレスを特定または決定して、オペレーティングシステム（ＯＳ）に関連付けられたＡＰＴから対応するページを除去して、そのページを、アプリケーションの保護された部分および他の保護されたコードおよびデータページとともにＰＰＴに配置するよう構成されてよい。この結果、スクリーンスクレーピングアプリケーション／マルウェアによる、保護されたページに対する読み書きを防ぐことができる。

アプリケーションは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）のＤｉｒｅｃｔＺおよびＯｐｅｎＧＬ、およびＬｉｎｕｘ（登録商標） ＯＳのＯｐｅｎＧＬが提供するもののような直接グラフィックレンダリングを行うよう構成されうる。ビデオフレームバッファに対応するアドレスを見つけ、ＯＳの元で実行されるアプリケーションに関して存在しうる読み書き制限を取り除くべく、対応するライブラリにアクセスしてもよい。

１０２における保護されたメモリ領域でのアプリケーションの開始には、ビデオフレームバッファに対する読み書きを担う少なくともコードおよびそのコード用のデータセクションの保護が含まれてよい。

１０６における、ビデオフレームバッファの、保護されたメモリ領域への割り当てには、ポインタの位置をビデオフレームバッファに特定すること、またはポインタに対応するＡＰＴ変換が含まれてよい。

ポインタをビデオフレームバッファに配置することには、オペレーティングシステムに関連するアプリケーションプログラミングインタフェース（ＡＰＩ）を用いて、ポインタの仮想アドレスを決定することが含まれてよい。対応する物理アドレスが、オペレーティングシステムまたはＶＭＭが維持するページテーブルから特定されてよい。

ポインタをビデオフレームバッファに配置することには、ポインタの物理アドレスを取得して、ページテーブル等の対応する処理アドレススペース内を見回して、物理アドレスおよび対応する仮想アドレスを見つけることが含まれてよい。ポインタの物理アドレスは、既知の物理アドレス（断てばアドレス０ＸＡ０００）にマッピングされてよい。これには、各ステップに対するハイパーコール（hypercall）が含まれてよい。

仮想アドレスおよび対応する物理アドレスは、１以上のＰＰＴに組み込まれてよい。ビデオフレームバッファのＰＰＴへの組み込みには、対応するメモリページをＡＰＴに存在しないものとしてマーキングすること、および、これらメモリページをＰＰＴへの読み書きとしてマーキングすることが含まれてよい。

１０８で、ユーザ入力デバイスの画像を、ビデオフレームバッファにレンダリングする。画像は、キーボードの画像を含んでよく、これには、数字キーボード、英字キーボード、および英数字キーボードの画像の１以上が含まれてよい。

ユーザ入力デバイスの画像は、１０２のアプリケーションのロードの一貫として、保護されたメモリ領域にロードおよび認証されてよい。

グラフィックアダプタは、離散グラフィックアダプタ、共有システムメモリ（システムＲＡＭ）の場合には、グラフィックアダプタ内の１以上のメモリであるビデオＲＡＭ（ＶＲＡＭ）からレンダリングされてよく、エンベデッドグラフィックアダプタの場合には、アドバンスグラフィックアパーチャ（ＡＧＰ）等のような汎用プロセッサを有する共有システムＲＡＭまたはその組み合わせとして構成されてよい。

グラフィックカードは、通常ローカルＶＲＡＭを利用するよう構成されてよく、且つ、ローカルＶＲＡＭがシステム上の処理については不十分な場合にはシステムＲＡＭを利用するよう構成されてよい。グラフィックカードは、１以上の主要なビデオフレームバッファからレンダリングされてよい。ビデオフレームバックバッファの内容は、主要なバッファへブリット（blit）されてよく、または、アプリケーションが、バックバッファのチェーンを宣言したり、バックバッファを、チェーン内の主要なバッファにフリップしたりしてよい。

セキュアな入出力のためには、リング３アプリケーションが多数のサーフェスを宣言してよいが、これには、キーボードをレンダリングする際のテクスチャが含まれてよい。

グラフィックカードおよび／または対応するディスプレイは、セキュリティ保護を含んでよい。

１１０で、入力表示画像のレンダリングの後に、保護されたメモリ領域にユーザ入力が受信される。ユーザ入力には位置情報が含まれてよく、これはポインティングデバイス、マウスデバイス等のカーソルデバイス、タッチパッド、およびタッチスクリーンディスプレイの１以上により生成されてよい。

１１２で、ユーザ入力が入力表示画像の特徴と相関付けられる。この相関付けには、ユーザ入力の座標を、レンダリングされたキーボード画像のキーに相関付けて、キーボードのユーザ選択キーを特定することが含まれてよい。

１１４で、ユーザ入力に相関付けられる画像特徴の情報を、保護されたメモリ領域に格納する。画像がキーボード画像を含む場合、この格納には、ユーザ選択キーの情報の格納が含まれてよい。

１１６で、格納されているユーザ入力情報を、保護されたメモリ領域から出力して、ビデオフレームバッファを、保護されたメモリから解放してよい。

方法１００は、機密のユーザ入力（電子支払い情報等）を受信すべく呼び出される。図２は、方法１００を呼び出して、ネットワーク接続を介して支払取引を行う例示的な方法２００の処理フローチャートである。

２０２で、ユーザコンピュータシステムと、ユーザコンピュータシステムから遠隔にあってよい別のコンピュータシステムとの間で、ネットワークを介して通信セッションが行される。例えば通信セッションは、ユーザコンピュータシステム上で動作するウェブブラウザを介して、インターネットを介して販売業者ウェブサイトまたは金融カード処理業者ウェブサイトとの間で、行うことができる。

２０４で、遠隔コンピュータシステムから受信したユーザ情報のプロンプトがユーザコンピュータシステムで検出される。

２０４のプロンプト検出には、クレジットカード情報、デビットカード情報、または他の支払い照会情報等の電子支払い情報についてのプロンプトの検出が含まれてよい。

２０４のプロンプト検出には、工業規格のＨＴＭＬ（ハイパーテキスト・マークアップ・ランゲージ）クレジットカードフォーム等の１以上の規格化された支払いプロンプトの検出が含まれてよい。

２０４のプロンプト検出には、クレジットカード番号フィールド、日付フィールド、および通貨単位フィールド等のクレジットカード支払取引に共通したデータ入力フィールドを探して、受信するウェブページを検索することが含まれてよい。

プロンプトは、ウェブブラウザ等のユーザコンピュータシステム上で動作するアプリケーションにより検出可能である。プロンプトを検出するコンピュータ可読命令は、ブラウザアプリケーションと協働するブラウザプラグインとして実装可能であり、販売業者ウェブサイトまたは金融カード処理業者ウェブサイトにあまり修正を加えず、または全く修正を加えず、比較的シームレスに実装可能である。

プロンプトの検出には、ユーザコンピュータシステム上で動作するブラウザと、販売業者ウェブサイトまたは金融カード処理業者ウェブサイトとの間のセキュアなソケット層（ＳＳＬ）チャネルまたはトランスポート層セキュリティ（ＴＬＳ）チャネルの傍受が含まれてよい。

プロンプトは、ユーザコンピュータシステム上で動作するＶＭＭにより検出可能である。

２０６で、ユーザ情報のプロンプトの検出に呼応して、アプリケーションが呼び出される。２０６におけるアプリケーションの呼び出しは、方法１００またはその一部の実行を含んでよく、保護されたメモリ領域におけるユーザからのクレジットカード情報および支払い照会情報の取得を含んでよい。

２０８で、プロンプトには、保護されたメモリ領域からのユーザ入力データが読み込まれ（populated）、要求者へ返される。

図１に戻ると、１０８におけるレンダリングは、比較的ランダムな位置へ、または疑似ランダムな位置へ、入力表示画像をレンダリングすることを含んでよく、ユーザ入力に続いて別のランダムな位置へ画像を再度レンダリングすることを含んでよい。ランダムな配置には、真にランダムな配置、疑似ランダムな配置、および複数の所定の位置のいずれかに対する配置が含まれてよい。ランダムな配置は、スパイウェアまたは他の悪意のあるコードがユーザ入力をレンダリング画像と相関付ける能力を低下させる一助となる。

図３は、ランダムな位置に画像をレンダリングして、ユーザ入力に続いて別のランダムな位置に該画像を再度レンダリングする例示的な方法３００の処理フローチャートである。方法３００は、図１の１０２から１０６の後に行われうる。

３０２で、キーボード画像をビデオフレームバッファのランダムな位置にレンダリングする。キーボード画像は、ビデオフレームバッファのサイズより小さいサイズを有し、ビデオフレームバッファ内の多数のランダムな位置へのレンダリングを可能としてよい。

３０４で、ユーザ入力が受信される（図１の１１０に関して上述した説明を参照）。

３０６で、ユーザ入力の座標を、レンダリングされたキーボード画像に相関付けて、対応するユーザ選択キーの情報を、保護されたメモリへ格納する（図１の１１２から１１４に関して上述した説明を参照）。

３０８でユーザがさらなる入力を提供する場合には、３１０でキーボード画像をビデオフレームバッファの別のランダムな位置に再度レンダリングする。３０４におけるユーザ入力の受信および３０６における相関付けおよび格納は、ユーザデータ入力が完了するまで繰り返されてよい。キーボード画像は、各ユーザ入力毎に別のランダムな位置に再度レンダリングされてよい。例えば、ユーザが多数の桁の列を入力する場合、キーボード画像は、各桁の入力毎に別のランダムな位置に再度レンダリングされてよい。

キーボード画像は、ユーザデータ入力完了キーの画像を含むことで、ユーザが、データ入力の完了を示すことを許可してよい。

３０８でユーザデータ入力が完了すると、ユーザ選択キーの格納情報が、保護されたメモリ領域から出力されてよく、３１２で、ビデオフレームバッファが、保護されたメモリ領域から解放されてよい。

図１を参照すると、１０８の入力表示画像のレンダリングは、ユーザ画像の上への入力表示画像のレンダリングを含む。ユーザ画像は、ユーザにより選択されて、セキュリティの尺度として予めアプリケーションに関連付けられてよい。図４は、ユーザ画像の上に入力表示画像をレンダリングする例示的な方法４００の処理フローチャートである。

４０２で、保護されたメモリ領域を構成する（図１の１０２に関して上述した説明を参照）。

４０４で、保護されたメモリ領域でアプリケーションを開始する（図１の１０４に関して上述した説明を参照）。

４０６で、ユーザ画像またはビットマップを、保護されたメモリ領域にロードする。ユーザ画像を、暗号化されたユーザ画像として記憶デバイス（ハードドライブ等）から取得してよい。暗号化されたユーザ画像は、保護されたメモリ領域へロードされ、復号化される。

復号化は、４０４で開始されたアプリケーションの制御の元に行われてよく、復号化キーは、該アプリケーションのコードおよび／または静的データセクションが認証または確認された時点で、セキュリティバイザモジュールによりアプリケーションに提供されてよい。

４０８で、ビデオフレームフロントバッファおよび第１および第２のビデオフレームバックバッファが、保護されたメモリ領域に割り当てられる。

４１０で、第１のビデオフレームバックバッファのランダムな位置にキーボード画像をレンダリングする（図３の３０２に関して上述した説明を参照）。

４１２で、ユーザ画像を、第２のビデオフレームバックバッファの、第１のビデオフレームバックバッファのキーボード画像のランダムな位置に対応する位置にレンダリングする。ユーザ画像のサイズは、キーボード画像のサイズより大きく、ビデオフレームフロントバッファのサイズより小さい。

４１４で、第１および第２のビデオフレームバックバッファが、ビデオフレームフロントバッファとマージされる。マージは、ユーザ画像の一部をキーボード画像の上に重畳することを含む。マージは、ビットブリット（BitBlit）（bit block transfer）またはブロック画像転送（Blit）（block image transfer）として行われてよく、多数のビットマップがラスタ動作を用いて組み合わせられてよい。

４１６で、ユーザ入力が受信される（図１の１１０に関して上述した説明を参照）。

４１８で、ユーザ入力の座標を、レンダリングされたキーボード画像に相関付けて、保護されたメモリへ格納する（図１の１１２から１１４に関して上述した説明を参照）。

４２０でユーザがさらなる入力を提供する場合には、４２２でキーボード画像およびユーザ画像を、対応する第１および第２のビデオフレームバックバッファの別のランダムな位置に再度レンダリングする。

４１４におけるマージ、４１６におけるユーザ入力の受信、および４１８における相関付けおよび格納は、ユーザデータ入力が完了するまで繰り返されてよい。キーボード画像およびユーザ画像は、各ユーザ入力に続いて別のランダムな位置に再度レンダリングされてよい。

４２０でユーザデータ入力が完了すると、ユーザ選択キーの格納情報が、保護されたメモリ領域から出力されてよく、４２４で、ビデオフレームバッファは、保護されたメモリ領域から解放されてよい。

ユーザデータ入力が完了すると、承認画像がランダムな位置にレンダリングされて、ユーザに、対応する取引を終了させてよい。

図５は、ビデオフレームバッファのランダムな位置に承認画像をレンダリングする例示的な方法５００の処理フローチャートである。方法５００は、図１の１１４の後、図３の３０８の後、および図４の４２０の後等の、ユーザデータ入力の完了の後に実装されてよい。

５０２で、承認画像が、保護されたメモリ領域のビデオフレームバッファへレンダリングされる。承認画像はユーザ画像の上にレンダリングされてよい（図４に関して上述した説明を参照）。

５０４で、ユーザ入力が受信される（図１の１１０に関して上述した説明を参照）。

５０６で、ユーザ入力の座標を、レンダリングされた承認画像に相関付ける。

５０６で、ユーザ入力の座標が承認画像に相関付けられているとき、対応するユーザ入力データ（例えばユーザ選択キーの情報）が、保護されたメモリ領域から出力されてよく、ビデオフレームバッファが、保護されたメモリ領域から解放されてよい（５１０）。

５０６でユーザ入力の座標が承認画像に相関付けられていない場合、１以上のアクションが起こってよい。例えば、承認画像が取引キャンセル画像および編集データ画像の１以上を含むことで、取引のキャンセルまたは取引の編集といった選択肢をユーザに提供してよい。

上述の１以上の方法は、レンダリング画像に相関付けられていないユーザ入力をカウントして、相関付けられていない入力の数が閾値を超えたら取引を中止することを含んでよい。これにより、随所をクリックするアタック（click-everywhere attack）を防ぐことができる。

図６は、相関付けられていないユーザ入力を検出する例示的な方法６００の処理フローチャートである。方法６００は、ここに開示する１以上の他の方法に関して実装されうる。

６０２で、画像をビデオフレームバッファのランダムな位置にレンダリングする。画像は、入力表示画像、承認画像、およびユーザ画像の１以上を含んでよい。

６０４で、ユーザ入力を受信する。

６０６で、ユーザ入力が、レンダリングされた画像に相関しているか否かの判断を行う。

６０６でユーザ入力が、レンダリングされた画像に相関付けられている場合、処理は６０８へ進んで、ユーザ入力を相関付けに応じて処理する。これには、図１の１１２の相関付け、図３の３０６の相関付け、図４の４１８の相関付け、および図５の５０６の相関付けの１以上が含まれてよい。

ユーザ入力が、レンダリングされた画像に相関付けられていない場合、処理は６１０に進み、エラーカウントを増分する。

６１２で、エラーカウントが閾値未満である場合には、６１４で画像を別のランダムな位置にレンダリングして、処理は６０４に戻り、別のユーザ入力を受信する。

６１２でエラーカウントが閾値を超えている場合、６１６で１以上の処理を停止または終了させてよい。これには、対応するネットワーク接続の終了、ビデオフレームバッファのコンテンツおよび／または先に入力されたユーザデータの削除、管理者への警告または報告の送信、およびアプリケーションの終了の１以上が含まれてよい。

図７は、データ入力画像をレンダリングして、保護されたメモリ領域で、該画像に対応するユーザ入力選択を受信する例示的な方法７００の処理フローチャートである。方法７００の１以上の特徴は、ここに開示する１以上の他の方法に関して開示する１以上の特徴と組み合わせて実装することができる。

７０２で、暗号化された、もしくは保護されたユーザ画像がセキュアなメモリ領域にロードされ、そこで復号化される。セキュアなメモリ領域は、１以上の保護されたページテーブルを用いて構成されてよい。ユーザ画像はサイトキーに類似していてよい。

７０４で、キーボード画像が、セキュアな表示スクリーン上のランダムな位置の、ユーザ画像の上部にレンダリングされる。キーボード画像は、ユーザ画像の上部にブリットされてよい。キーボード画像とその元であるユーザとの組み合わせを、ここではセキュアな入力スクリーンと称する。

７０６で、ユーザがキーボード画像をクリックすると、対応するキーストロークが記録され、セキュアな表示スクリーン上の出力領域に表示され、セキュアな入力画像が別の位置にランダムに再配置される。これにより、攻撃者の類推によるアタックからの保護が可能となる。

ユーザは、クレジットカード／銀行カードの番号を、セキュアな入力スクリーンを介して入力することができる。または、あるいはこれに加えて、ユーザは、クレジットカード番号等の情報のセキュアな値にアクセスするべく、個人識別番号（ＰＩＮ）を入力してもよい。秘密の鍵は、アクセス鍵により安全性を保たれてよい（上述の、暗号化されたユーザ画像に関する説明を参照）。アクセスキーは、認証されたアプリケーションに対して開示されるセキュリティバイザの機密プラットフォームキーとしてセキュアに管理されてよい。アプリケーションは、秘密の値を解除する目的にＰＩＮを利用することができる。これにより、ユーザが入力するデータ量の低減が図られ、取引の安全性を高めることができる。

７０８で、ユーザデータ入力が完了すると、承認画像をセキュアな表示スクリーンにレンダリングして、ユーザに対して、取引パラメータの承認を促す。上述したように承認画像はユーザ画像の上にレンダリングされてよい。承認画像とその元であるユーザの組み合わせを、ここではセキュアな承認スクリーンと称する。

セキュアな承認スクリーンは、保護されたメモリ領域の別のサーフェスとして視ることができるが、これは、ユーザが信用および取引情報の入力を完了したときにレンダリングされる。セキュアな承認スクリーンは、販売業者またはカード処理業者のサイトへ送られる販売業者名、取引の金額、日付、および信用証明等の取引情報を含んでよい。セキュアな承認スクリーンは、情報表示のために１以上のラインを含むことができる。

７１０で、ユーザが承認画像をクリックすると、先に入力されたキーストロークまたは他の対応するユーザ情報が、セキュアなメモリ領域から出力されてよい。キーストロークその他のユーザ情報は、販売業者ネットワークサイトまたはクレジットカード処理業者ネットワークサイトへ出力されてよい。

キーストロークその他のユーザ情報は、出力の前に暗号化および署名がなされてよい。取引情報は、販売業者またはカード処理業者の公開鍵等により暗号化されてよく、ユーザの秘密鍵で署名されてよい。取引の金額、ユーザの入力したクレジットカード番号、取引カウント、および販売業者情報の１以上に、ハッシュ関数を適用して、セキュアな取引値を生成することもできる。セキュアな取引値を販売業者またはカード処理業者に送ってよい。

販売業者またはカード処理業者のネットワークサイトは、証明書等で、ユーザコンピュータにおいて認証されてよい。これにより、フィッシング詐欺を防ぐことができる。

承認画像は、ランダムな位置に配置されてよく、承認画像に相関付けられていないユーザクリックに続いてランダムに再配置されてよい。これにより、攻撃者は、先のクリックを分析して承認画像の位置を判断することができなくなる。取引は、相関付けられていないユーザのクリックの数が閾値を超えたときに中止することとしてもよい。これにより、しらみつぶしに行われる随所をクリックするアタックを防ぐことができる。

ここに開示する１以上の特徴は、ハードウェア、ソフトウェア、ファームウェア、およびこれらの組み合わせ（離散および集積回路ロジック、特定用途向けＩＣ（ＡＳＩＣ）ロジック、マイクロコントローラ）による実装が可能であり、特定領域向けＩＣパッケージまたは集積回路パッケージの組み合わせの一部としての実装が可能である。ここで利用されるソフトウェアという用語は、コンピュータプログラムロジックを記憶することで、コンピュータシステムに、ここに開示する１以上の特徴および／または特徴の組み合わせを行わせるコンピュータ可読媒体を含むコンピュータプログラムプロダクトのことを意味する。

図８は、例示的なコンピュータ環境８００をグラフィックに示す図であり、コンピュータ環境８００は、プロセッサ８０２およびグラフィックプロセッサＧＰＵ８０４と称されて記載される１以上のコンピュータ命令処理ユニットを含むことで、コンピュータプログラムロジックを実行する。プロセッサ８０２は、１以上の汎用プロセッサおよび／またはプロセッサコアを含みうる。

コンピュータシステム８００は、メモリ８０６を含み、このメモリは、１以上のビデオメモリまたはＶＲＡＭ８１２および物理システムメモリまたはランダムアクセスメモリ（ＲＡＭ）８０８を含みえて、これには、アドバンスト・グラフィック・プロセッシング（ＡＧＰ）アパーチャ・メモリ８１０が含まれてよい。ＡＧＰアパーチャメモリ８１０は、ＶＲＡＭ８１２に加えてＧＰＵ８０４により利用されうる。

メモリ８０６は、コンピュータ・プログラム・プロダクト・ロジックまたは命令を記憶することで、１以上のプロセッサ８０２およびＧＰＵ８０４に、これに応じた１以上の機能を行わせるコンピュータ可読媒体を含むことができる。

メモリ８０６の物理アドレス、あるいはその部分は、１以上の動作環境８１４およびアプリケーションに関して仮想化されていてよい。仮想−対−物理メモリアドレス間のメモリマッピングは、１以上のアクティブページテーブル（ＡＰＴ）８１８に維持されてよい。

１以上のアクセス保護されたメモリ領域がメモリ８０６内に構成されてよく、対応するメモリアドレスマッピングが、１以上の保護されたページテーブル（ＰＰＴ）８２０に維持されてよい。

ＡＰＴ８１８およびＰＰＴ８２０は、アクセス制御マネージャ８２４の制御下でセキュリティバイザ環境８２２内に構成および施行されうる。

図９は、図８のメモリ８０６に対応する例示的なロジックおよびデータのブロック図である。

図９では、メモリ８０６は、ＰＰＴ８２０で構成されうる、保護されたメモリ領域９０２を含む。

保護されたメモリ領域９０２は、図１の１０４に関して上述したように認証されていてよいアプリケーションロジック９０４を含む。

アプリケーションロジック９０４は、ビデオフレームバッファＩＤおよび保護ロジック９０６を含むことで、プロセッサ８０２に、ビデオフレームバッファに対応する位置またはアドレスマッピング、またはビデオフレームバッファへのポインタの位置またはアドレスマッピングを特定させることで、ビデオフレームバッファのアクセス保護を行ってよい（図１の１０６に関して上述した説明参照）。図９の例においては、ビデオフレームバッファ９０８は、保護されたメモリ領域９０２内に描かれている。ビデオフレームバッファ９０８は、１以上のバックバッファ９１０から９１２、および主要な、またはフロントバッファ９１４を含みうる。

アプリケーションロジック９０４は、プロセッサ８０２に、暗号化されたユーザ画像を保護されたメモリ領域９０２へと取得させるユーザ画像復号化ロジック９１６を含みうる（図４の４０６に関して上述した説明参照）。図９の例では、復号化されたユーザ画像９１８は、保護されたメモリ領域９０２内に描かれている。

アプリケーションロジック９０４は、図３に関して上述したように、プロセッサ８０２に、入力表示画像９２２をビデオフレームバッファ９０８のランダムな位置にレンダリングさせるランダムレンダリングロジック９２０を含みうる。ランダムレンダリングロジック９２０は、図４に関して上述したように、プロセッサ８０２に、入力表示画像９２２および復号化されたユーザ画像９１８をそれぞれバックバッファ９１０および９１２のランダムな位置にレンダリングさせて、バックバッファ９１０および９１２からフロントバッファ９１４へ画像をマージまたはブリットさせるロジックを含みうる。

ランダムレンダリングロジック９２０は、図５の５０２に関して上述したように、プロセッサ８０２に、承認画像９２４をビデオフレームバッファ９０８のランダムな位置にレンダリングさせるロジックを含みうる。ランダムレンダリングロジック９２０は、図４および５に関して上述したように、プロセッサ８０２に、承認画像９２４および復号化されたユーザ画像９１８をそれぞれバックバッファ９１０および９１２のランダムな位置にレンダリングさせて、バックバッファ９１０および９１２からフロントバッファ９１４へ画像をマージまたはブリットさせるロジックを含みうる。

アプリケーションロジック９０４は、図１の１１２および１１４でそれぞれ上述したように、プロセッサ８０２に、ユーザ入力とレンダリングされた画像とを相関付けさせ、対応するユーザ入力を、保護されたメモリ領域９０２に、ユーザ入力データ９２８として格納させる相関付けロジック９２６を含みうる。

アプリケーションロジック９０４は、図６に関して上述したように、プロセッサ８０２に、レンダリングされた画像に相関付けられていないユーザ入力をカウントさせ、相関付けられていないユーザ入力の数が閾値を超えたらアプリケーションロジック９０４の１以上の部分を中止させる中止ロジック９３０を含みうる。

アプリケーションロジック９０４は、図７に関して上述したように、プロセッサ８０２に、クレジットカード情報等の、暗号化されたユーザ値を、保護されたメモリ領域９０２へと取得させ、ユーザ値を復号化させるロジックを含みうる。図９の例では、復号化されたユーザ値９３２は、保護されたメモリ領域９０２内に描かれている。

メモリ８０６は、プロセッサ８０２に、ネットワークを介して１以上の遠隔コントローラシステムとインタフェースさせるブラウザロジック９３４を含みうる。ブラウザロジック９３４は、図２の２０４に関して上述したように、プロセッサ８０２に、遠隔コンピュータシステムからのプロンプト（例えば、電子支払い情報に関するプロンプト）を検出させるプロンプト検出ロジック９３６を含みうる。ブラウザロジック９３４は、図２の２０６に関して上述したように、プロセッサ８０２に、保護されたメモリ領域９０２内でアプリケーションロジック９０４を開始させ、プロンプトにユーザ入力データ９２８を読み込むアプリケーション開始ロジック９３８を含みうる。１以上のプロンプト検出ロジック９３６およびアプリケーション開始ロジック９３８、またはそれらの部分が、ＶＭＭ内に実装されてよい。

ここに開示した方法およびシステムは、バイオメトリックスキャナを含むがこれに限定はされないコンピュータシステムに情報を送るよう構成可能な他のデバイスに関しても実装可能である。

本明細書では、方法およびシステムを、機能、特徴、および関係を示す機能ブロックにより記載している。これら機能ブロック間の少なくとも幾らかの範囲は、説明の便宜上、自由に定義している場合がある。その機能および関係が適切に実現されるのであれば、別の定義づけも可能である。

当業者であれば、これら機能ブロックを、適切なソフトウェアおよびその組み合わせを実行する離散コンポーネント、特定用途向けＩＣ、プロセッサにより実装することが可能であることを理解する。

様々な実施形態を記載してきたが、これらはあくまで例示を目的として記載されており、限定を意図していないことを理解されたい。当業者には、ここに記載した方法およびシステムの精神および範囲を逸脱せずに形態および詳細に関する様々な変更が可能であることが明らかである。従って請求項の範囲は、ここに記載した例示的な実施形態のいずれによっても限定されるべきではない。

Claims (22)

1. アプリケーション開始手段が、アプリケーションプログラムの少なくとも一部を、メモリ内に構成されたアクセス保護されたメモリ領域で開始する段階と、
   メモリ保護手段が、ビデオフレームバッファを前記メモリ内に構成された前記アクセス保護されたメモリ領域に割り当てる段階と、
   レンダリング手段が、キーボード画像を、前記ビデオフレームバッファのランダムな位置にレンダリングする段階と、
   相関付け手段が、ポインティングデバイスを介してユーザ入力を受信する段階と、
   前記相関付け手段が、前記ユーザ入力の座標を、前記レンダリングされたキーボード画像のキーと相関付ける段階と、
   前記相関付け手段が、前記アクセス保護されたメモリ領域に、前記キーの情報を格納する段階と、
   前記相関付け手段が、全てのユーザ入力が完了したか否かを判断する段階と、
   前記レンダリング手段が、前記全てのユーザ入力が完了していない場合に、前記ビデオフレームバッファの別のランダムな位置に、前記キーボード画像を再度レンダリングする段階と、
   前記相関付け手段が、前記再度レンダリングする段階の後に、前記受信する段階、前記相関付ける段階、前記格納する段階、前記判断する段階を、更なるユーザ入力に対して繰り返す段階と、
   前記相関付け手段が、前記全てのユーザ入力が完了した場合に、前記アクセス保護されたメモリ領域から、前記キーの前記情報を出力する段階と
   を備える方法。
2. メモリマネージャが、前記ビデオフレームバッファ、前記キーボード画像、並びに前記アプリケーションプログラムおよび１以上の保護されたページテーブル内の対応するデータに関連付けられた物理アドレスおよび仮想アドレス間の変換を維持する段階と、
   前記メモリマネージャが、前記保護されたページテーブルへのアクセスを実質的に前記アプリケーションプログラムに制限する段階と、
   前記メモリマネージャが、前記ビデオフレームバッファへのポインタに関連付けられた物理アドレスおよび仮想アドレス間の変換を、アクティブページテーブル内で利用不可能として特定する段階とをさらに備える請求項１に記載の方法。
3. 前記アプリケーションプログラムの少なくとも前記一部を開始する段階は、前記アプリケーションプログラムの前記少なくとも一部を前記保護されたメモリ領域で、トラステッドエグゼキューションモジュールの制御下でロード、認証、および開始する段階を有する請求項１に記載の方法。
4. ブラウザ手段が、通信ネットワークの上で、遠隔コンピュータシステムとインタフェースする段階と、
   プロンプト検出手段が、前記遠隔コンピュータシステムからユーザ情報のプロンプトを検出する段階と、
   前記アプリケーション開始手段が、前記プロンプトに応じて、前記アプリケーションプログラムの前記少なくとも一部を前記アクセス保護されたメモリ領域内で呼び出す段階とをさらに備え、
   前記出力する段階は、前記プロンプトに前記キーの前記情報を読み込み、前記読み込みの行われたプロンプトを前記通信ネットワークを介して前記遠隔コンピュータシステムに返送する段階を有する請求項１から請求項３のいずれか1つに記載の方法。
5. 中止手段が、前記ユーザ入力が前記キーボード画像に相関付けられていない場合、エラーカウントを増分する段階と、
   前記中止手段が、前記エラーカウントが閾値を超える場合、前記アプリケーションの少なくとも一部を中止する段階と、
   前記レンダリング手段が、前記ユーザ入力が前記キーボード画像と相関付けされておらず、前記エラーカウントが前記閾値未満である場合、前記キーボード画像を前記ビデオフレームバッファの別のランダムな位置に再度レンダリングする段階とをさらに備える請求項１から請求項４のいずれか１つに記載の方法。
6. 画像復号化手段が、ユーザ画像を前記アクセス保護されたメモリ領域にロードして、復号化する段階をさらに備え、
   前記キーボード画像をレンダリングする段階および前記キーボード画像を再度レンダリングする段階は、各々、前記キーボード画像を、前記ユーザ画像の少なくとも一部の上の、前記ビデオフレームバッファの対応するランダムな位置にレンダリングする段階を有する請求項５に記載の方法。
7. 前記レンダリング手段が、ユーザデータ入力が完了すると、承認画像を、前記ユーザ画像の少なくとも一部の上の前記ビデオフレームバッファのランダムな位置にレンダリングする段階と、
   前記相関付け手段が、後続のユーザ入力の座標を、前記レンダリングされた承認画像と相関付ける段階と、
   前記相関付け手段が、前記後続のユーザ入力の前記座標と前記承認画像との相関付けに応じて、前記キーの前記情報を出力する段階と、
   前記中止手段が、前記後続のユーザ入力が前記承認画像と相関付けられていない場合、前記エラーカウントを増分する段階と、
   前記レンダリング手段が、前記後続のユーザ入力が前記承認画像と相関付けられておらず、前記エラーカウントが前記閾値未満である場合、前記承認画像を、前記ユーザ画像の少なくとも一部の上の、前記ビデオフレームバッファの別のランダムな位置に再度レンダリングする段階と、
   前記中止手段が、前記エラーカウントが閾値を超える場合、前記アプリケーションの少なくとも一部を中止する段階とをさらに備える請求項６に記載の方法。
8. 前記ビデオフレームバッファを前記アクセス保護されたメモリ領域に割り当てる段階は、
   前記ビデオフレームバッファの一部を前記アクセス保護されたメモリ領域に割り当て、前記アクセス保護されたメモリ領域の外の１以上の処理による前記ビデオフレームバッファの残りの部分へのアクセスを許可する段階を有し、
   前記レンダリングする段階および前記再度レンダリングする段階は、前記アクセス保護されたメモリ領域に割り当てられた前記ビデオフレームバッファの前記一部に関して行われる請求項１から請求項７のいずれか１つに記載の方法。
9. メモリ保護手段が、メモリ内にアクセス保護されたメモリ領域を構成する段階と、
   前記メモリ保護手段が、ビデオフレームバッファを前記アクセス保護されたメモリ領域に割り当てる段階と、
   レンダリング手段が、キーボード画像を、前記ビデオフレームバッファのランダムな位置にレンダリングする段階と、
   相関付け手段が、ポインティングデバイスを介してユーザ入力を受信する段階と、
   前記相関付け手段が、前記ユーザ入力の座標を、前記レンダリングされたキーボード画像のキーと相関付ける段階と、
   前記相関付け手段が、前記アクセス保護されたメモリ領域に、前記キーの情報を格納する段階と、
   前記相関付け手段が、全てのユーザ入力が完了したか否かを判断する段階と、
   前記レンダリング手段が、前記全てのユーザ入力が完了していない場合に、前記ビデオフレームバッファの別のランダムな位置に、前記キーボード画像を再度レンダリングする段階と、
   前記相関付け手段が、前記再度レンダリングする段階の後に、前記受信する段階、前記相関付ける段階、前記格納する段階、前記判断する段階を、更なるユーザ入力に対して繰り返す段階と、
   前記相関付け手段が、前記全てのユーザ入力が完了した場合に、前記アクセス保護されたメモリ領域から、前記キーの前記情報を出力する段階とをコンピュータに実行させるためのコンピュータプログラム。
10. トラステッドエグゼキューション手段が、前記保護されたメモリ領域で、前記キーボード画像をレンダリングするためのアプリケーションの少なくとも一部をロード、認証、および開始する段階を前記コンピュータにさらに実行させる請求項９に記載のコンピュータプログラム。
11. 画像復号化手段が、前記保護されたメモリ領域でユーザ画像をロードおよび復号化する段階と、
    前記レンダリング手段が、前記キーボード画像を、前記アクセス保護されたメモリ領域から、前記ビデオフレームバッファの前記ランダムな位置の、前記復号化されたユーザ画像の上にレンダリングおよび再度レンダリングする段階と
    を前記コンピュータにさらに実行させる請求項９または請求項１０に記載のコンピュータプログラム。
12. 前記レンダリング手段が、ユーザデータ入力に応じて、承認画像を、前記アクセス保護されたメモリ領域から、前記ビデオフレームバッファのランダムな位置の前記復号化されたユーザ画像の上にレンダリングする段階を前記コンピュータにさらに実行させる請求項１１に記載のコンピュータプログラム。
13. 中止手段が、レンダリングされた画像に相関付けられていないユーザ入力をカウントさせ、相関付けられていないユーザ入力の数が閾値を超える場合、前記キーボード画像をレンダリングするためのアプリケーションまたはその一部を中断させる段階を前記コンピュータにさらに実行させる請求項１２に記載のコンピュータプログラム。
14. プロンプト検出手段が、遠隔コンピュータシステムからのユーザ入力のプロンプトを検出する段階と、
    呼び出し手段が、検出されたプロンプトに応じて、対応するアクセス保護されたメモリ領域で前記キーボード画像をレンダリングするためのアプリケーションを呼び出す段階と、
    出力手段が、前記プロンプトに前記キーの前記情報を読み込ませ、前記読み込みの行われたプロンプトを前記遠隔コンピュータシステムへ出力する段階とを前記コンピュータにさらに実行させる請求項９から請求項１３のいずれか１つに記載のコンピュータプログラム。
15. 前記プロンプト検出手段が、ブラウザ上で前記プロンプトを検出する段階を前記コンピュータにさらに実行させる請求項１４に記載のコンピュータプログラム。
16. 前記プロンプト検出手段が、前記遠隔コンピュータシステムの対応するウェブサイトに対する修正を実質的に伴わずに前記プロンプトを検出する段階を前記コンピュータにさらに実行させる請求項１５に記載のコンピュータプログラム。
17. 前記プロンプト検出手段が、前記コンピュータおよび前記遠隔コンピュータシステムの間のセキュアなソケット層チャネルおよびトランスポート層セキュリティチャネルの１以上を傍受する段階を前記コンピュータにさらに実行させる請求項１５に記載のコンピュータプログラム。
18. メモリマネージャが、前記ビデオフレームバッファ、前記キーボード画像、並びに前記キーボード画像をレンダリングするためのアプリケーションおよび１以上の保護されたページテーブル内の対応するデータに関連付けられた物理アドレスおよび仮想アドレス間の変換を維持する段階と、
    前記メモリマネージャが、前記保護されたページテーブルへのアクセスを前記キーボード画像をレンダリングするためのアプリケーションに制限する段階と、
    前記メモリマネージャが、前記ビデオフレームバッファへのポインタに関連付けられた物理アドレスおよび仮想アドレス間の変換を、アクティブページテーブル内で利用不可能として特定する段階とを前記コンピュータにさらに実行させる請求項９から請求項１７のいずれか１つに記載のコンピュータプログラム。
19. メモリ内にアクセス保護されたメモリ領域を構成させ、ビデオフレームバッファを前記アクセス保護されたメモリ領域に割り当てるメモリ保護手段と、
    キーボード画像を、前記ビデオフレームバッファのランダムな位置にレンダリングするレンダリング手段と、
    ポインティングデバイスを介してユーザ入力を受信し、前記ユーザ入力の座標を、前記レンダリングされたキーボード画像のキーと相関付け、前記アクセス保護されたメモリ領域に、前記キーの情報を格納し、全てのユーザ入力が完了したか否かを判断する相関付け手段と
    を備え、
    前記レンダリング手段は、前記全てのユーザ入力が完了していない場合に、前記ビデオフレームバッファの別のランダムな位置に、前記キーボード画像を再度レンダリングする段階と、
    前記相関付け手段は、前記再度レンダリングした後に、前記受信、前記相関付け、前記格納、前記判断を、更なるユーザ入力に対して繰り返し、
    前記相関付け手段は、前記全てのユーザ入力が完了した場合に、前記アクセス保護されたメモリ領域から、前記キーの前記情報を出力するシステム。
20. 前記保護されたメモリ領域でユーザ画像をロードおよび復号化させる画像復号化手段をさらに備え、
    前記レンダリング手段は、前記キーボード画像を、前記アクセス保護されたメモリ領域から、前記ビデオフレームバッファの前記ランダムな位置の、前記復号化されたユーザ画像の上にレンダリングおよび再度レンダリングする請求項１９に記載のシステム。
21. 前記レンダリング手段は、ユーザデータ入力に応じて、承認画像を、前記アクセス保護されたメモリ領域から、前記ビデオフレームバッファのランダムな位置の前記復号化されたユーザ画像の上にレンダリングする請求項２０に記載のシステム。
22. レンダリングされた画像に相関付けられていないユーザ入力をカウントし、相関付けられていないユーザ入力の数が閾値を超える場合、前記キーボード画像をレンダリングするためのアプリケーションまたはその一部を中断する中止手段をさらに備える請求項２１に記載のシステム。

Images