JP4977778B2 - 電子端末、制御方法、コンピュータプログラム及び集積回路 - Google Patents

Description

本発明は、電子端末にて保持され、第三者に知られたくない情報（資産）に対する不正な解析を防止する技術に関する。

近年、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）やＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）などの大容量な可搬メディアによるデジタルコンテンツの配布・販売が一般的になってきている。ゲーム業界においてもゲーム機にこれらディスク読取装置を搭載し、ゲームが可搬メディアに書き込まれて販売されることがほとんどの据え置き型ゲーム機でみられる傾向である。

ところが、ゲーム機においてこのような汎用的なメディアを用いることによって、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）の汎用アプリケーションを利用してメディアを不正にコピーすることが可能となっている。

これを解決する手段として、特許文献１では、ディスク固有のディスクＩＤと機器固有の機器ＩＤのペアをサーバで管理し、ディスクの利用時にネットワーク経由でディスクＩＤと機器ＩＤとをサーバへ送り、正当な使用であることを認証する技術が開示されている。

特開２００２−３３４５１１号公報

しかしながら、特許文献１で開示されたディスクＩＤと機器ＩＤのペアを管理し比較する技術では、機器そのものに対して不正な改造が行われた場合、検知することが出来ない。すなわち、第三者が機器に対して不正な解析を行い、当該機器に改造を加え、意図とは異なるディスクＩＤを送信したり、機器ＩＤを改ざんしたりすることで、不正な使用が可能となる。この場合、ユーザの使用を管理する側は、このような不正な使用が広まるまで、機器に対して不正な解析が行われていることを知ることができない。そのため、不正使用に対する対処が遅れることとなる。

そこで、本発明は、機器に対する不正な解析を早期に検出し、第三者に知られたくない秘密の情報の不正な取得及び改ざんを防止する電子端末、制御方法、コンピュータプログラム及び集積回路を提供することを目的とする。

上記目的を達成するために、本発明の一実施態様である、電子端末は、保護対象である秘密情報を格納した第１記憶手段と、前記第１記憶手段に格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段と、前記複数の保護手段の各々への外部からの攻撃を監視する複数の監視手段と、前記秘密情報に付与され前記秘密情報の価値を表した価値情報及び前記複数の保護手段の各々に付与され外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報を記憶する第２記憶手段と、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する制御手段と、を具備することを特徴とする。

上記に示す構成によると、電子端末は、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新するので、既存の保護手段を強化した新たな保護状態で秘密情報を保護することができる。これにより、第三者による秘密の情報の不正な取得及び改ざんを防ぐことができる。

不正解析防止システム１の構成の概要を示す図である。 電子端末１０２の構成を示すブロック図である。 モデル情報２３０の構成を示す図である。 履歴管理テーブルＴ１００のデータ構造の一例を示す図である。 サーバ１０１の構成を示すブロック図である。 履歴管理テーブルＴ２００のデータ構造の一例を示す図である。 電子端末１０２における外部からの攻撃に対する監視時の動作を示す流れ図である。 更新処理の動作を示す流れ図である。 サーバ１０１の動作を示す流れ図である。 不正解析防止システム２の構成の概要を示す図である。 電子端末１１０２の構成を示すブロック図である。 サーバ１１０１の構成を示すブロック図である。 更新処理の動作を示す流れ図である。 サーバ１１０１の動作を示す流れ図である。 モデル情報２３０に対する更新後のモデル情報２３０ａの構成を示す図である。 電子端末１０２Ａの構成を示すブロック図である。 モデル情報２３０Ａの構成を示す図である。 防御力表Ｔ３００のデータ構造の一例を示す図である。 保護手段対応表Ｔ４００のデータ構造の一例を示す図である。 サーバ１０１Ａの構成を示すブロック図である。 保護手段の防御力低下時における電子端末１０２Ａの動作を示す流れ図である。 保護手段の防御力低下時におけるサーバ１０１Ａの動作を示す流れ図である。

本発明の一実施態様である、電子端末は、保護対象である秘密情報を格納した第１記憶手段と、前記第１記憶手段に格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段と、前記複数の保護手段の各々への外部からの攻撃を監視する複数の監視手段と、前記秘密情報に付与され前記秘密情報の価値を表した価値情報及び前記複数の保護手段の各々に付与され外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報を記憶する第２記憶手段と、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する制御手段と、を具備することを特徴とする。

この構成によると、電子端末は、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新するので、既存の保護手段を強化した新たな保護状態で秘密情報を保護することができる。これにより、第三者による秘密の情報の不正な取得及び改ざんを防ぐことができる。

ここで、前記秘密情報は所定のアルゴリズムにより暗号化され、前記更新可能な保護手段は、前記暗号化された秘密情報を復号する復号アルゴリズムを実行するプログラムであるとしてもよい。

この構成によると、電子端末は、前記部分ルートにおける防御力の総和が前記秘密情報にて表される価値を上回るように、前記秘密情報を暗号化する所定のアルゴリズムを実行するプログラムを更新するので、当該プログラムの防御力価値が上がり、更新前と比較して、当該プログラムの防御力を強化することができる。

ここで、所定のアルゴリズムにより暗号化された前記秘密情報の復号に用いる復号鍵を生成する鍵生成プログラムを格納する第３記憶手段と、前記第１記憶手段に格納された秘密情報への第２攻撃ルートであって前記第３記憶手段に格納された前記鍵生成プログラムを介して前記秘密情報へ到達する第２攻撃ルート上に設けられ且つ前記第２攻撃ルートを介した前記鍵生成プログラムへの外部からのアクセスを遮断する複数の第２保護手段と、前記複数の第２保護手段への外部からの攻撃を監視する複数の第２監視手段と、を設け、外部からの攻撃に対する前記鍵生成プログラム及び前記第２保護手段の各々の防御力価値を表した防御力情報が前記第２保護手段の各々に付与され、前記制御手段は、前記第２保護手段のいずれかへの攻撃が検出された場合、前記第２攻撃ルート上において前記攻撃が検出された第２保護手段から前記秘密情報までの前記攻撃がされていない第２部分ルート上に残存する第２保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記第２部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように、前記鍵生成プログラムを更新するとしてもよい。

この構成によると、電子端末は、外部から前記秘密情報へ到達する攻撃ルートに存在する保護手段の監視に加え、外部から前記鍵生成プログラムを介して前記秘密情報へ到達する第２攻撃ルートに存在する第２保護手段の監視をも行うので、第三者からの攻撃に対して、より強固な監視を行うことができる。また、電子端末は、第２部分ルート上の防御力価値の総和が前記秘密情報の価値を下回った場合に、当該第２部分ルート上における防御力価値の総和が前記秘密情報にて表わされる価値を上回るように前記鍵生成プログラムを更新するので、当該第２部分ルートへの攻撃に対する強化をも行うことができる。

ここで、所定のアルゴリズムにより暗号化された前記秘密情報の復号に用いる復号鍵を格納する第３記憶手段と、前記復号鍵にアクセスするための所定のプログラムを格納する第４記憶手段と、前記第１記憶手段に格納された秘密情報への第２攻撃ルートであって前記第４記憶手段に格納された前記所定のプログラムを介して前記秘密情報に到達する第２攻撃ルート上に設けられ且つ前記第２攻撃ルートを介した前記所定のプログラムへの外部からのアクセスを遮断する複数の第２保護手段と、前記複数の第２保護手段への外部からの攻撃を監視する複数の第２監視手段と、を設け、外部からの攻撃に対する前記所定のプログラム及び前記第２保護手段の各々の防御力価値を表した防御力情報が前記第２保護手段の各々に付与され、前記制御手段は、前記第２保護手段のいずれかへの攻撃が検出された場合、前記第２攻撃ルート上において前記攻撃が検出された第２保護手段から前記秘密情報までの前記攻撃がされていない第２部分ルート上に残存する第２保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記第２部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように、前記所定のプログラムを更新するとしてもよい。

この構成によると、電子端末は、外部から前記秘密情報へ到達する攻撃ルートに存在する保護手段の監視に加え、外部から前記復号鍵にアクセスするための所定のプログラムを介して前記秘密情報へ到達する第２攻撃ルートに存在する第２保護手段の監視をも行うので、第三者からの攻撃に対して、より強固な監視を行うことができる。また、電子端末は、第２部分ルート上の防御力価値の総和が前記秘密情報にて表される価値を下回った場合に、当該第２部分ルート上における防御力価値の総和が前記秘密情報にて表わされる価値を上回るように前記所定のプログラムを更新するので、当該第２部分ルートへの攻撃に対する強化をも行うことができる。

ここで、前記復号鍵にアクセスするための所定のプログラムは、前記復号鍵が暗号化されている場合に前記暗号化された前記復号鍵を復号する復号プログラムであるとしてもよい。

この構成によると、電子端末は、復号プログラムを更新することにより、復号鍵の攻撃に対する強化を行うことができる。
ここで、前記復号プログラムは、難読化されているとしてもよい。

この構成によると、電子端末は、難読化された復号プログラムを更新することにより、復号鍵の攻撃に対する強化を行うことができる。
ここで、更新用の保護手段を格納する第３記憶手段を設け、前記制御手段は、前記第３記憶手段に記憶された更新用の保護手段を用いて前記更新可能な保護手段を更新するとしてもよい。

この構成によると、電子端末は、他の装置を必要とすることなく、外部からの攻撃を検出すると、更新可能な保護手段を更新することができる。
ここで、本端末を管理する外部の管理装置と接続された通信手段を設け、前記制御手段は、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、その旨を示す検出情報を前記管理装置に前記管理手段を介して送信し、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るような新たな保護手段を前記検出情報に応じて前記管理装置から受信し、前記更新可能な保護手段を、前記新たな保護手段に更新するとしてもよい。

または、本端末を管理する外部の管理装置と接続された通信手段を設け、前記制御手段は、さらに、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、その旨を示す検出情報を前記管理装置に前記管理手段を介して送信し、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るような新たな保護手段を前記検出情報に応じて前記管理装置から受信し、前記部分ルート上に前記新たな保護手段を追加するとしてもよい。

この構成によると、電子端末は、外部の管理装置から更新対象、又は追加対象の新たな保護手段を受信するので、内部に新たな保護手段を予め保持するための記憶容量を備える必要がない。また、新たな保護手段を予め保持する場合には当該新たな保護手段に対しても第三者からの攻撃を防ぐための対策を施す必要がある。これらのことにより、内部に新たな保護手段を予め保持する場合に比べて、製造コストが軽減できる。

ここで、本端末を管理する外部の管理装置と接続された通信手段と、前記管理装置から受信した各保護手段の防御力価値を更新した第２防御力情報を格納する第３記憶手段と、を設け、前記制御手段は、さらに、前記第２記憶手段に格納された防御力情報それぞれと、前記第３記憶手段に格納された対応する第２防御力情報とをそれぞれ比較し、前記防御力情報にて表される防御力価値が第２防御力情報にて表される防御力価値より低下している場合において前記第２防御力情報を基準に前記複数の保護手段に対応する防御力価値の総和を算出すると、この算出された総和が前記価値情報にて表される価値を下回る場合、前記防御力情報を下回った第２防御力情報に対応する保護手段を、前記攻撃ルート上の防御力価値の総和が前記価値情報にて表される価値を上回るように更新するとしてもよい。

この構成によると、電子端末は、第三者からの攻撃を検出しなくても、保護手段の更新結果により、更新後の防御力価値が更新前の防御力価値を下回った場合には、当該保護手段を、攻撃ルート上の防御力価値が前記秘密情報にて表わされる価値を上回るように更新するので、更新前に比べて攻撃ルートに対する防御をより強固にすることができる。

また、本発明の一実施態様である、電子端末の制御方法は、保護対象である秘密情報を格納した第１記憶手段と、前記第１記憶手段に格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段と、前記複数の保護手段の各々への外部からの攻撃を監視する複数の監視手段と、前記秘密情報に付与され前記秘密情報の価値を表した価値情報及び前記複数の保護手段の各々に付与され外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報を記憶する第２記憶手段と、を具備した電子端末の制御方法であって、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回ったか否かを判断し、下回ったと判断された場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新することを特徴とする。

また、本発明の一実施態様である、電子端末を制御するコンピュータプログラムは、保護対象である秘密情報を格納した第１記憶手段と、前記第１記憶手段に格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段と、前記複数の保護手段の各々への外部からの攻撃を監視する複数の監視手段と、前記秘密情報に付与され前記秘密情報の価値を表した価値情報及び前記複数の保護手段の各々に付与され外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報を記憶する第２記憶手段と、を具備した電子端末を制御するコンピュータプログラムであって、前記電子端末のコンピュータに対して、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回ったか否かを判断する処理と、下回ったと判断された場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する処理とを実行させることを特徴とする。

上記制御方法及び上記コンピュータプログラムにより、電子端末は、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新するので、既存の保護手段を強化した新たな保護状態で秘密情報を保護することができる。これにより、第三者による秘密の情報の不正な取得及び改ざんを防ぐことができる。

また、本発明の一実施態様である、電子端末で用いられる集積回路は、保護対象である秘密情報を格納した第１記憶手段と、前記第１記憶手段に格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段と、前記複数の保護手段の各々への外部からの攻撃を監視する複数の監視手段と、前記秘密情報に付与され前記秘密情報の価値を表した価値情報及び前記複数の保護手段の各々に付与され外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報を記憶する第２記憶手段と、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルートにおける防御力価値の総和が前記価値情報にて表される価値を上回るように更新する制御手段と、を具備することを特徴とする。

この構成によると、集積回路は、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新するので、既存の保護手段を強化した新たな保護状態で秘密情報を保護することができる。これにより、第三者による秘密の情報の不正な取得及び改ざんを防ぐことができる。

また、本発明の一実施態様である、管理装置は、保護対象である秘密情報を格納し、この格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段を保持し、前記複数の保護手段の各々への外部からの攻撃を監視する電子端末と接続された通信手段と、前記秘密情報の価値を表した価値情報が前記秘密情報に付与され、外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報が各保護手段に付与され、前記複数の保護手段のいずれかへの攻撃が検出された旨を示す検出情報を前記電子端末から受信すると、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回ったか否かを判断し、下回ったと判断する場合に前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する、更新用の保護手段を前記電子端末に送信する制御を行う制御手段と、を具備し、前記電子端末は、前記更新用の保護手段を前記管理装置から受信すると、前記部分ルート上で残存する保護手段の中で更新可能な保護手段を前記更新用の保護手段へと更新することを特徴とする。

この構成によると、管理装置は、前記電子端末にて前記複数の保護手段のいずれかへの攻撃が検出された場合であって、部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する更新用の保護手段を前記電子端末へ送信する。これにより、電子端末側では、更新対象の保護手段を、管理装置から受信した更新用の保護手段へと更新するので、既存の保護手段を強化した新たな保護状態で秘密情報を保護することができる。これにより、第三者による秘密の情報の不正な取得及び改ざんを防ぐことができる。

また、本発明の一実施態様である、管理装置は、保護対象である秘密情報を格納し、この格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段を保持し、前記複数の保護手段の各々への外部からの攻撃を監視する電子端末と接続された通信手段と、前記秘密情報の価値を表した価値情報が前記秘密情報に付与され、外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報が各保護手段に付与され、前記複数の保護手段のいずれかへの攻撃が検出された旨を示す検出情報を前記電子端末から受信すると、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回ったか否かを判断し、下回ったと判断する場合に前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るような新たな保護手段を前記電子端末に送信する制御を行う制御手段と、を具備し、前記電子端末は、前記新たな保護手段を前記管理装置から受信すると、前記部分ルート上に前記新たな保護手段を追加することを特徴とする。

この構成によると、管理装置は、前記電子端末にて前記複数の保護手段のいずれかへの攻撃が検出された場合であって、部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るような新たな保護手段を前記電子端末へ送信する。これにより、電子端末側では、管理装置から受信した新たな保護手段を部分ルート上に追加するので、未だ攻撃されていない部分ルートの防御力を強化した新たな保護状態で秘密情報を保護することができる。これにより、第三者による秘密の情報の不正な取得及び改ざんを防ぐことができる。

また、本発明の一実施態様である、保護対象である秘密情報を格納し、この格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段を保持し、前記複数の保護手段の各々への外部からの攻撃を監視する電子端末と接続された管理装置の制御方法は、前記秘密情報の価値を表した価値情報が前記秘密情報に付与され、外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報が各保護手段に付与され、前記複数の保護手段のいずれかへの攻撃が検出された旨を示す検出情報を前記電子端末から受信し、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回ったか否かを判断し、下回ったと判断する場合に前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する、更新用の保護手段を前記電子端末に送信する制御を行うことを特徴とし、さらに、前記電子端末は、前記更新用の保護手段を前記管理装置から受信すると、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を前記更新用の保護手段へと更新することを特徴とする。

また、本発明の一実施態様である、保護対象である秘密情報を格納し、この格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段を保持し、前記複数の保護手段の各々への外部からの攻撃を監視する電子端末と接続された管理装置を制御するコンピュータプログラムは、前記管理装置のコンピュータに対し、前記秘密情報の価値を表した価値情報が前記秘密情報に付与され、外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報が各保護手段に付与され、前記複数の保護手段のいずれかへの攻撃が検出された旨を示す検出情報を前記電子端末から受信する処理と、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回ったか否かを判断する処理と、下回ったと判断する場合に前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する、更新用の保護手段を前記電子端末に送信する処理と、を実行させることを特徴とし、さらに、前記電子端末は、前記更新用の保護手段を前記管理装置から受信すると、前記部分ルート上で残存する保護手段の中で更新可能な保護手段を前記更新用の保護手段を更新することを特徴とする。

上記制御方法及び上記コンピュータプログラムにより、管理装置は、前記電子端末にて前記複数の保護手段のいずれかへの攻撃が検出された場合であって、部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する更新用の保護手段を前記電子端末へ送信する。これにより、電子端末側では、更新対象の保護手段を、管理装置から受信した更新用の保護手段へと更新するので、既存の保護手段を強化した新たな保護状態で秘密情報を保護することができる。これにより、第三者による秘密の情報の不正な取得及び改ざんを防ぐことができる。

また、本発明の一実施態様である、管理装置に用いられる集積回路は、保護対象である秘密情報を格納し、この格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段を保持し、前記複数の保護手段の各々への外部からの攻撃を監視する電子端末と接続された通信手段と、前記秘密情報の価値を表した価値情報が前記秘密情報に付与され、外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報が各保護手段に付与され、前記複数の保護手段のいずれかへの攻撃が検出された旨を示す検出情報を前記電子端末から受信すると、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回ったか否かを判断し、下回ったと判断する場合に前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する、更新用の保護手段を前記電子端末に送信する制御を行う制御手段と、を具備し、前記電子端末は、前記更新用の保護手段を前記管理装置から受信すると、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を前記更新用の保護手段へと更新することを特徴とする。

この構成によると、集積回路は、前記電子端末にて前記複数の保護手段のいずれかへの攻撃が検出された場合であって、部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する更新用の保護手段を前記電子端末へ送信する。これにより、電子端末側では、更新対象の保護手段を、管理装置から受信した更新用の保護手段へと更新するので、既存の保護手段を強化した新たな保護状態で秘密情報を保護することができる。これにより、第三者による秘密の情報の不正な取得及び改ざんを防ぐことができる。

１．実施の形態１
以下、本発明の実施の形態１における不正解析防止システム１について、図面を参照しながら説明する。

１．１ 不正解析防止システム１の概要
図１は、本発明の実施の形態１における不正解析防止システム１の全体構成を示す図である。

不正解析防止システム１は、サーバ１０１と電子端末１０２ａ、・・・、１０２ｂとから構成され、サーバ１０１と電子端末１０２ａ、・・・、１０２ｂとはネットワーク１０３を介して通信を行う。

以下、電子端末１０２ａ、・・・、１０２ｂの動作は同様であるので、電子端末１０２として説明する。
電子端末１０２は、ＣＰＵ、ＲＡＭ、データ読取装置（ドライブ装置）、ネットワーク接続インタフェースといった構成要素からなるコンピュータシステムである。電子端末１０２は、第三者に知られたくない資産を保持しており、当該資産を第三者による不正な解析を防止するための複数の保護手段により保護して管理している。

ここで、第三者に知られたくない資産とは、電子端末１０２に割り当てられた機器ＩＤやデバイス鍵、ＣＰＵとデータ読取装置との間における認証時の認証コードや認証プログラム、電子端末１０２とコンピュータプログラムが記録された記録媒体との間における認証時の認証コードや認証プログラムなどである。また、電子端末１０２の制御プログラムや、電子端末１０２がユーザに対して提供するサービスのプログラムなども含まれる。

また、保護手段とは、資産に対する暗号化、コード難読化、デバッガ端子の隠蔽、デバッガの無効化などである。デバッガ端子とは、電子端末１０２の出荷前において動作試験等を行う際に、デバッグを行う装置（デバッガ装置）と電子端末１０２とを接続するための端子であり、デバッガ装置との接続時には認証を行う。デバッガ端子は、例えば、回路基板上にあり、出荷後にユーザに利用されることを防ぐために出荷時に隠蔽される。

電子端末１０２は、前記複数の保護手段に対する外部からの攻撃を監視しており、攻撃を検出すると、その旨を示す検出情報を生成し、生成した検出情報をサーバ１０１へ送信する。このとき、電子端末１０２は、サーバ１０１へ検出情報を送信できない場合には、生成した検出情報を自身が持つ情報を安全に保持できるセキュアストレージに保存する。ここで、攻撃とは、本来接続されることない接続端子に外部装置を不正に接続する行為や、電子端末１０２が保持している情報やデータを不正に解析する行為などである。また、セキュアストレージとは耐タンパ技術などにより、改ざんが困難となるよう保護された不揮発性メモリなどである。

また、電子端末１０２は、不正な攻撃を検出すると、新たな保護手段を追加するか否かを判断し、追加すると判断する場合には、その旨を示す更新要求情報をサーバ１０１へ送信する。

サーバ１０１は、検出情報を電子端末１０２から受け取ると、受け取った検出情報を保持する。
また、サーバ１０１は、電子端末１０２から更新要求情報を電子端末１０２から受け取ると、その要求に応じた保護手段（具体的にはプログラムなど）を電子端末１０２に送信する。

１．２ 電子端末１０２の構成
ここでは、電子端末１０２の構成について説明する。
電子端末１０２は、図２にて示すように、検出情報生成部２０１、署名付与部２０２、時刻情報取得部２０３、保存先選択部２０４、履歴管理部２０５、モデル記憶部２０６、防御力算定部２０７、更新要否判別部２０８、更新箇所決定部２０９、更新要求生成部２１０、監視部２１１ａ、２１１ｂ、・・・、２１１ｎ、保護方法受信部２１２、保護方法更新部２１３、送信部２１４、識別子記憶部２１５及びセキュア情報記憶部２１６から構成されている。

（１）識別子記憶部２１５
識別子記憶部２１５は、電子端末１０２を識別するための識別子を記憶している。この識別子は、具体的には、サーバ１０１が各電子端末１０２を管理するために、サーバ１０１によって割り当てられた識別子である。以下、電子端末１０２に割り当てられた識別子を単に「管理ＩＤ」を呼ぶ。

（２）セキュア情報記憶部２１６
セキュア情報記憶部２１６は、情報を安全に保持できるセキュアストレージである。
セキュア情報記憶部２１６は、第三者に知られたくない資産を、１つ以上の保護手段により保護された状態で記憶している。

また、セキュア情報記憶部２１６は、資産を保護するために付随する他の資産（付随資産）を、１つ以上の保護手段により保護された状態で記憶している。
以下、保護された資産と、保護された付随資産とを含む情報を、セキュア情報と呼ぶ。また、本発明における秘密情報とは、資産及び付随資産に相当する。また、保護された資産及び保護された付随資産以外にセキュア情報として含まれるものとして、例えば、暗号化を復号するための復号処理のプログラムがある。

（３）モデル記憶部２０６
モデル記憶部２０６は、図３にて示すように、電子端末１０２における１以上の保護手段の構成を示すセキュリティ実装モデル情報（以下、単にモデル情報という）２３０が記録されている。

モデル情報２３０は、より具体的には、不正解析者が、保護すべき資産に到達するまでに各保護手段（具体的にはプログラムなど）に攻撃を加えるであろう順序に基づいて生成された情報である。

図３では、保護すべき資産２５０に対して暗号化による保護手段（以下、暗号化という）２３２を施すことにより、外部からの不正な攻撃を防止している場合のモデル情報２３０を示している。暗号化による保護手段とは、資産２５０に対して施された暗号化を復号する復号プログラムである。

ここで、暗号化された資産２５０に対して、以下の２つの攻撃パターンが考えられる。
１つは、デバッガ装置などの解析装置を接続して暗号化２３２そのもの、つまりは暗号化された資産２５０そのもの若しくは暗号化を復号する復号プログラムそのものを攻撃することで、暗号化された資産２５０の解析、改ざんを行うパターン（第１の攻撃パターン）である。可能な鍵の候補をすべて試す「全数探索」や鍵を予測する「線形解読法」などがこれに含まれる。

もう１つは、デバッガ装置などの解析装置を接続して暗号化された資産２５０を復号する鍵（復号鍵）２５１を攻撃することで、鍵の取得、解析、改ざんを行うパターン（第２の攻撃パターン）である。電子端末１０２は暗号化された資産２５０を利用する際には、暗号化を復号する必要があるので、復号鍵２５１をあらかじめ記憶している。この復号鍵２５１が得られれば、復号プログラムそのものを解析することができなくとも、資産２５０を復号化することが可能となり、保護手段２３２による保護を実質的に無効化することができる。そのため、第三者は第２の攻撃パターンを行うことが考えられる。そこで、第２の攻撃パターンに対する保護対策として、鍵２５１に対するコード難読化による保護手段（以下、単にコード難読化という）２４３を施している。さらにデバッグによる難読化されたコード（鍵）の解析を防ぐためのデバッガ無効化による保護手段（以下、単にデバッガ無効化という）２４２を施す。デバッガ無効化２４２は、例えば、デバッグによる割り込み処理を無効にするプログラムである。ここで、鍵２５１が上記にて示す付随資産に相当する。また、本実施の形態において鍵２５１に対するコード難読化とは、鍵２５１にアクセスするためのプログラム（例えば、鍵２５１を用いて暗号化された資産を復号する復号プログラム）を難読化することである。

つまり、図３にて示すモデル情報２３０には、複数の保護手段として、第１の攻撃パターンの経路（第１の保護経路２６０）においてはデバッガ端子隠蔽による保護手段（以下、単にデバッガ端子隠蔽という）２３１及び暗号化２３２が存在している。また、第２の攻撃パターンの経路（第２の保護経路２６１）においてはデバッガ端子隠蔽２４１、デバッガ無効化２４２及びコード難読化２４３が存在している。

また、各保護手段には、防御力と当該保護手段が保護経路上において配置された位置を識別するための保護識別子“Ｐｏｉｎｔ ｘ−ｙ”とが対応付けられている。例えば、暗号化２３２は、防御力が“１０”であり、保護識別子が“Ｐｏｉｎｔ １−２”である。

なお、本実施の形態では、保護識別子は、モデル情報２３０に含まれる各保護手段の識別子としても用いる。
また、防御力とは、例えばある保護手段に対して、どのくらいの費用のツールが必要か、それを用いて攻撃を行うエンジニアをどのくらいの費用で雇うことができるかなど保護手段を解析するためにどのくらいの費用を要するのか示す指標である。防御力は、例えば、以下の数式で算出される。

（数式） 保護手段の防御力 ＝ ツールの費用
＋ （エンジニアの時給 × 解析に要する時間）
また、電子端末１０２が保護すべき資産２５０には、当該資産に対する価値（資産価値、ここでは価値“１０”）が対応付けられている。資産価値は、例えば、ある資産に対して、その資産が奪われることによって発生することが予測される損害の額から計算する。この額を防御力と同様の基準で指標化し、防御力と対比可能な形式で表現したものが資産価値となる。

ここで、電子端末１０２は、モデル情報２３０にて示すように、暗号化２３２によって保護された資産２５０と、コード難読化２４３によって保護された鍵２５１とからなるセキュア情報をセキュア情報記憶部２１６に保存している。

（４）監視部２１１ａ、２１１ｂ、・・・、２１１ｎ
ここで、監視部２１１ａ、２１１ｂ、・・・、２１１ｎについて説明する。
なお、監視部２１１ａ、２１１ｂ、・・・、２１１ｎは同様の動作をするので、ここでは、監視部２１１として説明する。

監視部２１１は、監視対象である保護手段を監視するために、電子端末１０２内の所定の記憶領域に記憶されている。
監視部２１１は、監視対象である保護手段に対する保護識別子“Ｐｏｉｎｔ ｘ−ｙ”を予め記憶している。

監視部２１１は、監視対象である保護手段に対して、外部からの攻撃があったか否かを監視する。
監視部２１１は、攻撃があったと判断する場合には、その旨と、監視対象である保護手段に対する保護識別子とを検出情報生成部２０１へ通知する。

監視部２１１は、具体的には、接続されるはずがないデバッガなどの解析ツールを備える装置が電子端末１０２に接続されたことや、保護手段を実装するプログラムが不正に書き換えられたことなどを監視する。

監視部２１１は、デバッガ端子隠蔽２３１若しくは２４１を監視する場合は、隠蔽されているデバッガ端子が、外部の装置と認証を行ったか否かを監視する。そして、外部装置との認証を検知した場合には、攻撃があったと判断し、その旨を検出情報生成部２０１及び更新要否判別部２０８へ通知する。

また、暗号化２３２、デバッガ無効化２４２及びコード難読化それぞれを監視する場合は、監視部２１１は監視対象の保護手段のプログラムやデータの改ざんがなされた否かを監視する。例えば、監視対象のプログラムとデータ（例えば、暗号化された資産、難読化された鍵、デバッガ無効化のプログラム）に対するハッシュ値を予め記憶しておき、定期的に監視対象のプログラムとデータのハッシュ値を算出し、算出したハッシュ値と記憶しているハッシュ値とが一致するか否かを確認する。

また、監視部２１１ａ、２１１ｂ、・・・、２１１ｎ同士が相互に監視し合うとしてもよい。
また、以降の説明において、監視部２１１ａ、２１１ｂ、・・・、２１１ｎを区別する必要がない場合には、監視部２１１として記載する。

（５）履歴管理部２０５
履歴管理部２０５は、監視部２１１が不正な攻撃を検出したとき生成した攻撃の事実を伝える情報を記録するための履歴管理テーブルＴ１００を有している。

履歴管理テーブルＴ１００は、図４にて示すように、送信フラグ、時刻、保護識別子とからなる組を１以上記憶するための領域を有している。
送信フラグは、攻撃の事実を伝える情報をサーバ１０１へ送信済であるか否かを示す情報であり、値“０”は未送信を示し、値“１”は送信済を示す。

時刻は、監視部２１１が攻撃を検出した時刻である。保護識別子は、攻撃を検出した監視部２１１の監視対象である保護手段の識別子である。
（６）検出情報生成部２０１
検出情報生成部２０１は、監視部２１１から、攻撃があった旨の通知と、監視対象である保護手段に対する保護識別子とを受け取ると、現時点の時刻を取得するために、時刻取得指示を時刻情報取得部２０３へ出力する。

検出情報生成部２０１は、時刻情報取得部２０３から現在の時刻を示す時刻情報を受け取ると、当該時刻情報、及び監視対象の保護識別子を含む検出情報を生成する。
検出情報生成部２０１は、生成した検出情報がサーバ１０１へ送信可能か否かを判断を行う旨の送信判断指示を保存先選択部２０４へ通知する。

検出情報生成部２０１は、保存先選択部２０４からサーバ１０１へ送信が不可であることを示す送信不可情報を受け取ると、送信フラグに値“０”を設定する。そして、検出情報生成部２０１は、値“０”が設定された送信フラグに生成した検出情報を対応付けて履歴管理部２０５へ保存する。

検出情報生成部２０１は、サーバ１０１へ送信が可能であることを示す送信可能情報を受け取ると、履歴管理部２０５にて保存され、且つサーバ１０１へ未送信である検出情報（未送信検出情報）を全て取得する。具体的には、検出情報生成部２０１は、送信フラグの値が“０”である検出情報を全て取得する。

検出情報生成部２０１は、生成した検出情報及び取得した全ての未送信検出に対する署名データを付与するために、生成した検出情報を署名付与部２０２へ出力する。検出情報生成部２０１は、署名データが付与された検出情報及び未送信検出情報を受け取ると、識別子記憶部２１５から管理ＩＤを取得する。

検出情報生成部２０１は、署名データが付与された検出情報及び未送信検出情報と管理ＩＤとを、送信部２１４を介してサーバ１０１へ送信する。送信が完了すると、検出情報生成部２０１は、履歴管理部２０５にて保存されている未送信検出情報の送信フラグを“０”から“１”へと更新する。

なお、未送信検出情報が履歴管理部２０５に存在しない場合には、検出情報生成部２０１は、生成した検出情報のみを署名付与部２０２へ出力する。そして、検出情報生成部２０１は、署名付与部２０２から署名データが付与された検出情報のみを受け取り、受け取った署名データが付与された検出情報のみをサーバ１０１へ送信する。

検出情報生成部２０１は、送信した検出情報及び未送信検出情報それぞれに含まれる保護識別子を全て取得する。検出情報生成部２０１は、取得した全ての保護識別子と、更新要否の判別指示とを更新要否判別部２０８へ出力する。

（７）署名付与部２０２
署名付与部２０２は、検出情報に、その検出情報が電子端末１０２で生成されたことを証明するために署名データを付与する。この署名データを検証することで、検出情報が電子端末１０２で生成されたことが分かる。なお、以下では、検出情報が電子端末１０２で生成されたか否かの確認を、検出情報の正当性を確認する、もしくは、検出情報の送信元の正当性を確認するとも言う。

以下に、具体的な動作について説明する。
署名付与部２０２は、署名データの生成に用いる秘密鍵（ＳＫ）を予め記憶している。
署名付与部２０２は、検出情報生成部２０１から１つ以上の検出情報を受け取ると、受け取った検出情報全てに対して、秘密鍵（ＳＫ）を用いて署名データを生成する。なお、署名データの生成手順の詳細については、公知のデジタル署名技術を用いればよいので、説明を省略する。署名付与部２０２は、生成した署名データを署名対象の検出情報に付与して、検出情報生成部２０１へ出力する。

この署名データを検証することにより、サーバ１０１は、検出情報の送信元の正当性を確認することができる。
（８）時刻情報取得部２０３
時刻情報取得部２０３は、時刻を計時する時計機能を有している。

時刻情報取得部２０３は、検出情報生成部２０１から時刻取得指示を受け取ると、時計機能により、現在の時刻を示す時刻情報を取得し、取得した時刻情報を検出情報生成部２０１へ出力する。

なお、時刻情報は不正な解析が行えない形で実装されていることが望ましい。
（９）保存先選択部２０４
保存先選択部２０４は、検出情報をサーバ１０１へ送って保存するか、履歴管理部２０５に保存するかを選択し、その選択結果を検出情報生成部２０１へ通知する。

以下に、具体的な動作について説明する。
保存先選択部２０４は、ネットワーク接続の有無を判断する。
ネットワーク接続がされていないと判断する場合、つまりサーバ１０１と通信が不可能と判断する場合には、保存先選択部２０４は、送信不可情報を検出情報生成部２０１へ出力する。

ネットワーク接続がされていると判断する場合、つまりサーバ１０１と通信が可能と判断する場合には、保存先選択部２０４は、送信可能情報を検出情報生成部２０１へ出力する。

（１０）更新要否判別部２０８
更新要否判別部２０８は、検出情報生成部２０１から更新要否の判別指示と、１以上の保護識別子とを受け取ると、受け取った保護識別子それぞれと、防御力算定を指示する算定指示とを防御力算定部２０７へ出力する。

更新要否判別部２０８は、防御力算定部２０７から算定された１つ以上の防御力を受け取ると、モデル記憶部２０６で記録されているモデル情報２３０から保護すべき資産２５０の価値を取得する。そして、更新要否判別部２０８は、取得した価値と、受け取った防御力それぞれとを比較する。なお、防御力算定部２０７が算定する防御力は、不正解析者が各資産へ至るまで経路の防御力である。詳細は後述する。

比較の結果、１つ以上の経路の防御力について資産２５０の価値以下であるものが存在する場合には、更新要否判別部２０８は、更新が必要であると決定する。
更新要否判別部２０８は、更新箇所の決定を指示する旨の更新箇所決定指示と、検出情報生成部２０１から受け取った１つ以上の保護識別子とを更新箇所決定部２０９へ出力する。

（１１）防御力算定部２０７
防御力算定部２０７は、更新要否判別部２０８から算定指示と、１つ以上の保護識別子とを受け取る。

防御力算定部２０７は、不正解析者が保護すべき資産に到達するまでの保護経路全てのうち、受け取った１以上の保護識別子に対応する保護手段のうち少なくとも１つの保護手段を含む保護経路を全て取得する。

防御力算定部２０７は、取得した保護経路全てに対して、攻撃が検出された保護手段を除いたセキュリティ強度に関する防御力を算出する。
防御力算定部２０７は、取得した保護経路全てについて算出した防御力それぞれを更新要否判別部２０８へ出力する。

ここで、保護経路に対する防御力は、その保護経路上にある保護手段それぞれの防御力の和で表すことができる。例えば、保護経路に３つの保護手段がある場合のその保護経路の防御力は、以下のようして算出される。

保護経路の防御力 ＝ 第１の保護手段の防御力 ＋ 第２の保護手段の防御力 ＋ 第３の保護手段の防御力
具体的には、図３において、攻撃検出前では、第１の保護経路２６０及び第２の保護経路２６１それぞれに対する防御力は、２０（デバッガ端子隠蔽２３１の防御力“１０”と暗号化２３２の防御力“１０”との和）、及び１７（デバッガ端子隠蔽２４１の防御力“１０”とデバッガ無効化２４２の防御力“５”と、コード難読化２４３の防御力“２”との和）となる。

また、更新要否判別部２０８から算定指示と、保護識別子“Ｐｏｉｎｔ ２−１”を受け取ると、防御力算定部２０７は、保護識別子“Ｐｏｉｎｔ ２−１”の保護手段が攻撃を受けていることが分かる。そのため、防御力算定部２０７は、第２の保護経路２６１において、保護識別子“Ｐｏｉｎｔ ２−１”に対応するデバッガ端子隠蔽２４１を除く他の保護手段それぞれの防御力を用いて、攻撃検出後の第２の保護経路２６１に対する防御力“７”を算出する。

（１２）更新箇所決定部２０９
更新箇所決定部２０９は、更新要否判別部２０８から更新箇所決定指示と、１つ以上の保護識別子とを受け取ると、攻撃が行われた後のセキュリティ実装モデルに基づいて、１つ以上の更新が必要とされる箇所（以下、更新箇所とも呼ぶ）、及び各更新箇所が必要とする防御力を決定する。

更新箇所決定部２０９は、決定した１つ以上の更新箇所と、当該箇所にて必要とされる防御力とを更新要求生成部２１０へ出力する。
ここで、更新箇所決定部２０９は、更新箇所として、新規の保護手段を追加、若しくは既存の保護手段を更新（防御力を強化）することにより外部からの攻撃に対する防御に有効な箇所を選択する。一般的には攻撃された箇所（攻撃を検出した箇所）より保護すべき資産に近いところが選択される。つまりは攻撃が検出された保護経路上において攻撃された箇所から保護すべき資産までの部分経路上にて当該有効な箇所が選択される。これは、既に破られた保護手段の上に保護手段を追加したとしても、追加した保護手段が迂回され、破られた保護手段から直接攻撃を受ける可能性が高いためである。なお、更新箇所としては、複数の箇所が選択されてもよい。また、既存の保護手段の更新とは、例えば、既存の保護手段が暗号化プログラムである場合には、当該暗号化プログラムから、暗号化の強度がより強い暗号化プログラムへと変更することを意味する。

また、更新箇所決定部２０９は、新規の保護手段が追加される保護経路に対する防御力が資産価値を上回るように、当該新規の保護手段に対する防御力を決定（算出）する。
更新する箇所の決定は、例えば、更新箇所に隣接する少なくとも１つの保護手段の保護識別子を指定することにより、実現される。例えば、１つの保護識別子が指定されると、更新する箇所は、指定された１つの保護識別子に対応する保護手段と保護すべき資産との間である。また、２つの保護識別子が指定されると、更新する箇所は、指定された２つの保護識別子それぞれに対応する２つの保護手段の間である。

（１３）更新要求生成部２１０
更新要求生成部２１０は、更新箇所決定部２０９から決定された１つ以上の更新箇所と当該箇所が必要とする防御力とを受け取ると、識別子記憶部２１５から管理ＩＤを取得する。

更新要求生成部２１０は、取得した管理ＩＤと、受け取った１つ以上の更新箇所及び１つ以上の更新箇所それぞれに対応する防御力とからなる更新要求情報を生成し、生成した更新要求情報を、送信部２１４を介してサーバ１０１へ送信する。

（１４）送信部２１４
送信部２１４は、検出情報生成部２０１から署名データが付与された検出情報及び未送信検出情報と管理ＩＤとを受け取ると、受け取った署名データが付与された検出情報及び未送信検出情報と管理ＩＤとを、ネットワーク１０３を介してサーバ１０１へ送信する。

送信部２１４は、更新要求生成部２１０から更新要求情報を受け取ると、ネットワーク１０３を介してサーバ１０１へ送信する。
（１５）保護方法受信部２１２
保護方法受信部２１２は、サーバ１０１からネットワーク１０３を介して、送信した更新要求情報に基づいて決定された１つ以上の保護手段と、前記１以上の保護手段それぞれに対応する新たな監視部とを受信する。

具体的には、保護方法受信部２１２は、サーバ１０１から保護すべき資産２５０若しくは鍵２５１に対して新たな保護手段が施された新たなセキュア情報及び、当該セキュア情報を示す新たなモデル情報と、１つ以上の新たな監視部とを受け取る。

ここで、新たな保護手段が施された新たなセキュア情報とは、新たな保護手段が追加されたセキュア情報、又は既存の保護手段を当該既存の保護手段の防御力を強化した新たな保護手段へと置き換えたセキュア情報である。新たな保護手段が追加された状態とは、例えば、第２の保護経路２６１上のコード難読化２４３とデバッガ無効化２４２との間に、新たな保護手段として暗号化を追加した場合である。また、既存の保護手段を当該既存の保護手段の防御力を強化した新たな保護手段へと置き換えた状態とは、例えば、第１の保護経路２６０の暗号化２３２（防御力１０）を新たな保護手段として防御力が１０より大きい暗号化（例えば、防御力１２）に置き換えた状態である。

なお、新たな保護手段が暗号化である場合には、セキュア情報に含まれる情報として、暗号化を復号するための付随資産である鍵や、復号処理のプログラムがある。
（１６）保護方法更新部２１３
保護方法更新部２１３は、現在セキュアストレージ（セキュア情報記憶部２１６）に保持しているセキュア情報を、保護方法受信部２１２が受信した新たなセキュア情報へと置き換える、つまり更新する。

保護方法更新部２１３は、現在モデル記憶部２０６にて記憶しているモデル情報２３０を、保護方法受信部２１２が受信した新たなモデル情報へと置き換える、つまり更新する。

また、保護方法更新部２１３は、１以上の新たな保護手段を監視するために、受け取った１つ以上の監視部を、電子端末１０２内の所定の記憶領域に記憶する。
なお、セキュア情報に復号処理のプログラムが含まれている場合には、当該プログラムを所定の領域に格納する。

１．３ サーバ１０１
ここでは、サーバ１０１の構成について説明する。
サーバ１０１は、図５にて示すように、受信部３０２、履歴管理部３０４、保護方法選択部３０６、保護方法記憶部３０８、保護方法送付部３１０、及び検出情報受取部３１２から構成されている。

（１）受信部３０２
受信部３０２は、電子端末１０２からネットワーク１０３を介して、署名データが付与された１以上の検出情報と管理ＩＤとを受信すると、受信した署名データが付与された１以上の検出情報と管理ＩＤとを、検出情報受取部３１２へ出力する。

受信部３０２は、電子端末１０２からネットワーク１０３を介して、更新要求情報を受信すると、受信した更新要求情報を保護方法選択部３０６へ出力する。
（２）検出情報受取部３１２
電子端末１０２が保持している秘密鍵（ＳＫ）に対応する公開鍵（ＰＫ）を、電子端末１０２の管理ＩＤと対応付けて、予め記憶している。

検出情報受取部３１２は、受信部３０２から、署名データが付与された１以上の検出情報と管理ＩＤとを受け取ると、受け取った管理ＩＤに対応する公開鍵（ＰＫ）を取得する。

検出情報受取部３１２は、取得した公開鍵を用いて受け取った１以上の検出情報に対する署名データの検証を行う。なお、署名検証については、公知の技術であるので、ここでの説明は省略する。

検出情報受取部３１２は、署名検証により、受け取った１以上の検出情報が電子端末１０２から送信されたものであると判断する場合には、受け取った１以上の検出情報それぞれを、受け取った管理ＩＤと対応付けて履歴管理部３０４に保存する。

（３）履歴管理部３０４
履歴管理部３０４は、電子端末１０２から送信された検出情報を記録するための履歴管理テーブルＴ２００を有している。

履歴管理テーブルＴ２００は、図６にて示すように、管理ＩＤ、時刻、保護識別子とからなる組を１以上記憶するための領域を有している。
管理ＩＤは、検出情報を送信した電子端末１０２を識別する管理ＩＤである。

時刻は、管理ＩＤに対応する電子端末１０２が攻撃を検出した時刻であり、保護識別子は、攻撃が検出された保護手段の識別子である。
（４）保護方法記憶部３０８
保護方法記憶部３０８は、電子端末１０２で用いることのできる保護方法を記憶している。

以下、１つの具体例を示す。
保護方法記憶部３０８は、電子端末１０２にて保護すべき資産２５０に対する保護パターンが異なるモデル情報を複数種類保持している。なお、これらモデル情報それぞれは、当該モデル情報を識別するモデル識別子と、当該モデル情報が示すモデルによって保護されているセキュア情報とに対応付けられている。

保護方法記憶部３０８にて保持されているモデル情報は、例えば、図３にて示すモデル情報２３０、モデル情報２３０にて示す暗号化２３２とは異なる暗号化により資産２５０が保護されているモデル情報、モデル情報２３０にて示すコード難読化２４３とデバッガ無効化２４２との間にある保護手段が存在するモデル情報などである。

また、保護方法記憶部３０８は、保護手段それぞれに対して、監視するための監視部を対応付けて記憶している。
（５）保護方法選択部３０６
保護方法選択部３０６は、受信部３０２から更新要求情報を受け取ると、受け取った更新要求情報に含まれる１以上の更新が必要な箇所と、更新が必要な箇所それぞれが必要する防御力に基づいて、保護方法記憶部３０８より電子端末１０２に送信するのに適切な保護方法、及び１以上の監視部を選択する。

以下、１つの具体例を示す。
保護方法選択部３０６は、電子端末１０２が保持しているモデル情報に対応するモデル識別子を、電子端末１０２の管理ＩＤと対応付けてセキュアな記憶領域に記憶している。

保護方法選択部３０６は、受信部３０２から更新要求情報を受け取ると、受け取った更新要求情報に含まれる管理ＩＤを取得し、セキュアな記憶領域から、取得した管理ＩＤに対応付けられているモデル識別子を取得する。

保護方法選択部３０６は、取得したモデル識別子に対応するモデル情報を保護方法記憶部３０８から取得する。そして、保護方法選択部３０６は、取得したモデル情報と、受け取った更新要求情報に含まれる１つ以上の更新が必要な箇所と、更新が必要な箇所それぞれが必要とする防御力とに基づいて、新たなモデル情報と、当該モデル情報に対応する新たなモデル識別子及び新たなセキュア情報とを、保護方法記憶部３０８から取得する。なお、ここで取得する新たなセキュア情報は、更新箇所上に新たな保護手段が追加されたセキュア情報、又は、更新箇所上に存在する既存の保護手段を当該既存の保護手段の防御力を強化した新たな保護手段へと置き換えたセキュア情報である。

保護方法選択部３０６は、取得した新たなセキュア情報に含まれる１以上の新たな保護手段それぞれに対応する新たな監視部を取得する。
保護方法選択部３０６は、取得した新たなモデル情報、新たなセキュア情報、及び１以上の監視部を、保護方法送付部３１０を介して、更新要求のあった電子端末１０２へ送信する。

保護方法選択部３０６は、現在セキュアな記憶領域に記憶している送信先の電子端末１０２の管理ＩＤに対応付けられているモデル識別子を、取得した新たなモデル情報に対応するモデル識別子へと置き換える、つまり更新する。

なお、更新は以前のセキュア情報にロールバックされることのない、つまり戻されることのない形で行われることが望ましい。具体的には、バージョンを管理するといった方法で実現される。

（６）保護方法送付部３１０
保護方法送付部３１０は、保護方法選択部３０６から新たなモデル情報及び新たなセキュア情報を受け取ると、受け取った新たなモデル情報及び新たなセキュア情報を、ネットワーク１０３を介して更新要求のあった電子端末１０２へ送信する。

なお、新たな保護手段が暗号化である場合には、セキュア情報に、復号処理のプログラムを含めて送信する。
１．４ 電子端末１０２の動作
ここでは、電子端末１０２における外部からの攻撃に対する監視時の動作について、図７にて示す流れ図を用いて説明する。

（１）全体動作
電子端末１０２は、監視部２１１を用いて、監視対象である保護手段に対して、外部からの攻撃があったか否かを監視する（ステップＳ５）。

攻撃があったと判断する場合には（ステップＳ５における「ＹＥＳ」）、電子端末１０２は、時刻情報取得部２０３を用いて、現在の時刻を示す時刻情報を取得する（ステップＳ１０）。

電子端末１０２は、検出情報生成部２０１を用いて、取得した時刻情報と、攻撃のあった保護手段に対応する保護識別子とを含む検出情報を生成する（ステップＳ１５）。
電子端末１０２は、保存先選択部２０４を用いて、生成した検出情報をサーバ１０１へ送信可能であるか否かを判断する（ステップＳ２０）。具体的には、電子端末１０２は、保存先選択部２０４により、ネットワーク接続の有無を判断する。

送信可能であると判断する場合（ステップＳ２０における「ＹＥＳ」）、電子端末１０２は、署名付与部２０２により、生成した検出情報に署名データを付与する（ステップＳ２５）。電子端末１０２は、検出情報生成部２０１により、署名データを付与した検出情報と、管理ＩＤとをサーバ１０１へ送信する（ステップＳ３０）。このとき、未送信検出情報が存在する場合には、署名付与部２０２は、生成された検出情報及び全ての未送信検出情報に対して署名データを付与する。そして、検出情報生成部２０１は、署名データが付与された検出情報及び未送信検出情報全てと、管理ＩＤとをサーバ１０１へ送信する。なお、未送信検出情報が存在しない場合には、署名付与部２０２は、生成された検出情報に対してのみに署名データを付与し、検出情報生成部２０１は、署名データが付与された検出情報と、管理ＩＤとをサーバ１０１へ送信する。

電子端末１０２は、検出情報をサーバ１０１へ送信すると、後述する更新処理により、更新の要否を判断する。更新が必要であると判断する場合には、電子端末１０２は、サーバ１０１から新たなセキュア情報を受け取り、現在保持しているセキュア情報を新たなセキュア情報へと更新する（ステップＳ３５）。

送信不可であると判断する場合（ステップＳ２０における「ＮＯ」）、電子端末１０２は、検出情報生成部２０１を用いて、送信フラグに値“０”を設定する。そして、電子端末１０２は、検出情報生成部２０１を用いて、値“０”が設定された送信フラグに生成した検出情報を対応付けて履歴管理部２０５へ保存する（ステップＳ４０）。

（２）更新処理
ここでは、図７にて示すステップＳ３５にて行われる更新処理の動作について、図８に示す流れ図を用いて説明する。なお、図８は図７におけるステップＳ３５の更新処理の詳細を示した図である。

電子端末１０２は、防御力算定部２０７を用いて、攻撃が検出された１つ以上の保護手段のうち少なくとも１を含む保護経路それぞれに対して、当該保護手段を除いたセキュリティ強度に関する防御力を算出する（ステップＳ１００）。

電子端末１０２は、更新要否判別部２０８を用いて、防御力算定部２０７にて算定された防御力それぞれと、保護すべき資産２５０の価値とを比較して、更新の要否を判断する（ステップＳ１０５）。

更新が必要であると判断する場合には（ステップＳ１０５における「ＹＥＳ」）、電子端末１０２は、更新箇所決定部２０９を用いて、攻撃が行われた後のセキュリティ実装モデルに基づいて、１つ以上の更新が必要とされる箇所、及び１つ以上の更新箇所それぞれが必要とする防御力を決定する（ステップＳ１１０）。

電子端末１０２は、更新要求生成部２１０を用いて、更新箇所決定部２０９にて決定された更新箇所と必要とする防御力と、管理ＩＤとからなる更新要求情報を生成し（ステップＳ１１５）、生成した更新要求情報をサーバ１０１へ送信する（ステップＳ１２０）。

電子端末１０２は、保護方法受信部２１２を用いて、サーバ１０１から、送信した更新要求情報に基づいて決定された新たなセキュア情報及び、当該セキュア情報を示す新たなモデル情報と１以上の新たな監視部を受け取る（ステップＳ１２５）。

電子端末１０２は、保護方法更新部２１３を用いて、現在セキュアストレージ（セキュア情報記憶部２１６）に保持しているセキュア情報を、保護方法受信部２１２が受け取った新たなセキュア情報へと更新する。また、電子端末１０２は、保護方法更新部２１３を用いて、現在モデル記憶部２０６にて記憶しているモデル情報２３０を、保護方法受信部２１２にて受け取った新たなモデル情報へと更新する（ステップＳ１３０）。また、このとき、電子端末１０２は、保護方法更新部２１３を用いて、新たなセキュア情報に含まれる１以上の新たな保護手段を監視するために、受け取った１つ以上の監視部を、電子端末１０２内の所定の記憶領域に記憶する。

更新が必要でないと判断する場合には（ステップＳ１０５における「ＮＯ」）、電子端末１０２は、処理を終了する。
１．５ サーバ１０１の動作
ここでは、サーバ１０１の動作について、図９にて示す流れ図を用いて説明する。

サーバ１０１は、検出情報受取部３１２を用いて、署名データが付与された１以上の検出情報と管理ＩＤとを電子端末１０２から受け取る（ステップＳ２００）。
サーバ１０１は、検出情報受取部３１２を用いて、受け取った検出情報に対する署名検証を行う（ステップＳ２０５）。

署名検証により、受け取った検出情報の正当性が確認されると（ステップＳ２０５における「ＯＫ」）、サーバ１０１は、検出情報受取部３１２を用いて、受け取った１以上の検出情報それぞれを、受け取った管理ＩＤと対応付けて履歴管理部３０４に保存する（ステップＳ２１０）。

サーバ１０１は、電子端末１０２から更新要求情報を受け取ると（ステップＳ２１５）、保護方法選択部３０６を用いて受け取った更新要求情報に含まれる更新が必要な箇所と必要とされる防御力に基づいて、保護方法記憶部３０８より電子端末１０２に送信するのに適切な新たなセキュア情報、当該新たなセキュア情報に対応する新たなモデル情報及び１以上の新たな監視部を選択する（ステップＳ２２０）。

サーバ１０１は、保護方法送付部３１０を用いて、保護方法選択部３０６にて選択された新たなモデル情報、新たなセキュア情報、及び１以上の新たな監視部を、更新要求のあった電子端末１０２へ送信する（ステップＳ２２５）。

このとき、サーバ１０１は、保護方法選択部３０６を用いて、現在セキュアな記憶領域に記憶している送信先の電子端末１０２の管理ＩＤに対応付けられているモデル識別子を、取得した新たなモデル情報に対応するモデル識別子へと更新する動作も行う。

また、署名検証により、受け取った検出情報が不正であると判断された場合（ステップＳ２０５における「ＮＧ」）、サーバ１０１は、処理を終了する。
２． 実施の形態２
実施の形態２では、実施の形態１とは異なり、攻撃検出時の防御力の算定や更新箇所の決定などの処理をサーバ側で行う。

以下、各装置の構成及び動作について説明する。
２．１ 不正解析防止システム２の概要
図１０は、本発明の実施の形態２における不正解析防止システム２の全体構成を示す図である。

不正解析防止システム２は、サーバ１１０１と電子端末１１０２ａ、・・・、１１０２ｂとから構成され、サーバ１１０１と電子端末１１０２ａ、・・・、１１０２ｂとはネットワーク１１０３を介して通信を行う。

以下、電子端末１１０２ａ、・・・、１１０２ｂの動作は同様であるので、電子端末１１０２として説明する。
電子端末１１０２は、実施の形態１と同様に、第三者に知られたくない資産を保持しており、当該資産を複数の保護手段にて管理している。

電子端末１１０２は、前記複数の保護手段に対する外部からの不正な攻撃を監視しており、不正な攻撃を検出すると、その旨を示す検出情報を生成し、生成した検出情報をサーバ１１０１へ送信する。このとき、電子端末１１０２は、サーバ１１０１へ検出情報を送信できない場合には、生成した検出情報を自身が持つ安全に情報を保持できるセキュアストレージに保存する。

サーバ１１０１は、検出情報を電子端末１１０２から受け取ると、受け取った検出情報を保持する。
さらに、サーバ１１０１は、検出情報を受け取ると、新たな保護手段を追加するか否かを判断する。サーバ１１０１は、追加すると判断する場合には、更新箇所の決定及び必要とする防御力を算出し、決定した更新箇所及び防御力に基づいて、新たなセキュア情報及び当該新たなセキュア情報を、攻撃が検出された電子端末１１０２へ送信する。

２．２ 電子端末１１０２の構成
ここでは、電子端末１１０２の構成について説明する。
電子端末１１０２は、図１１にて示すように、検出情報生成部１２０１、署名付与部１２０２、時刻情報取得部１２０３、保存先選択部１２０４、履歴管理部１２０５、監視部１２１１ａ、１２１１ｂ、・・・、１２１１ｎ、保護方法受信部１２１２、保護方法更新部１２１３、送信部１２１４、識別子記憶部１２１５及びセキュア情報記憶部１２１６から構成されている。

（１）識別子記憶部１２１５
識別子記憶部１２１５は、電子端末１１０２を識別するための管理ＩＤを記憶している。

（２）セキュア情報記憶部１２１６
セキュア情報記憶部１２１６は、実施の形態１にて示すセキュア情報記憶部２１６と同様であるので、ここでの説明は省略する。

（３）監視部１２１１ａ、１２１１ｂ、・・・、１２１１ｎ
ここで、監視部１２１１ａ、１２１１ｂ、・・・、１２１１ｎについて説明する。
なお、監視部１２１１ａ、１２１１ｂ、・・・、１２１１ｎは同様の動作をするので、ここでは、監視部１２１１として説明する。

監視部１２１１は、監視対象である保護手段を監視するために、電子端末１１０２内の所定の記憶領域に記憶されている。監視部１２１１は、具体的にはプログラム等である。
監視部１２１１は、監視対象である保護手段に対する保護識別子“Ｐｏｉｎｔ ｘ−ｙ”を予め記憶している。

監視部１２１１は、監視対象である保護手段に対して、外部からの攻撃があったか否かを監視する。
監視部１２１１は、攻撃があったと判断する場合には、その旨と、監視対象である保護手段に対する保護識別子とを検出情報生成部１２０１へ通知する。

なお、以降の説明において、監視部１２１１ａ、１２１１ｂ、・・・、１２１１ｎを区別する必要がない場合には、監視部１２１１として記載する。
（４）履歴管理部１２０５
履歴管理部１２０５は、実施の形態１にて示す履歴管理部２０５と同様であるので、ここでの説明は省略する。

なお、以降の説明において、必要であれば、図４にて示す履歴管理テーブルＴ１００を用いる。
（５）検出情報生成部１２０１
検出情報生成部１２０１は、実施の形態１にて示す検出情報生成部２０１と同様であるので、ここでの説明は省略する。

（６）署名付与部１２０２
署名付与部１２０２は、実施の形態１にて示す署名付与部２０２と同様であるので、ここでの説明は省略する。

（７）時刻情報取得部１２０３
時刻情報取得部１２０３は、実施の形態１にて示す時刻情報取得部２０３と同様であるので、ここでの説明は省略する。

（８）保存先選択部１２０４
保存先選択部１２０４は、実施の形態１にて示す保存先選択部２０４と同様であるので、ここでの説明は省略する。

（９）送信部１２１４
送信部１２１４は、検出情報生成部１２０１から署名データが付与された検出情報及び未送信検出情報と管理ＩＤとを受け取ると、受け取った署名データが付与された検出情報及び未送信検出情報と管理ＩＤとを、ネットワーク１１０３を介してサーバ１１０１へ送信する。

（１０）保護方法受信部１２１２
保護方法受信部１２１２は、サーバ１１０１からネットワーク１１０３を介して、サーバ１１０１にて決定された保護手段及び１以上の監視部を受信する。

具体的には、保護方法受信部１２１２は、図３にて示す保護すべき資産２５０若しくは鍵２５１に対して新たな保護手段が施された新たなセキュア情報と、１以上の監視部とを、サーバ１１０１から受け取る。

（１１）保護方法更新部１２１３
保護方法更新部１２１３は、現在セキュアストレージ（セキュア情報記憶部１２１６）に保持しているセキュア情報を、保護方法受信部１２１２が受信した新たなセキュア情報へと置き換える、つまり更新する。

また、保護方法更新部１２１３は、１以上の新たな保護手段を監視するために、受け取った１つ以上の監視部を、電子端末１１０２内の所定の記憶領域に記憶する。
２．３ サーバ１１０１
ここでは、サーバ１１０１の構成について説明する。

サーバ１１０１は、図１２にて示すように、受信部１３０２、履歴管理部１３０４、保護方法選択部１３０６、保護方法記憶部１３０８、保護方法送付部１３１０、検出情報受取部１３１２、モデル記憶部１３１４、防御力算定部１３１６、更新要否判別部１３１８、及び更新箇所決定部１３２０から構成されている。

（１）受信部１３０２
受信部１３０２は、電子端末１１０２からネットワーク１１０３を介して、署名データが付与された１以上の検出情報と管理ＩＤとを受信すると、受信した署名データが付与された１以上の検出情報と管理ＩＤとを、検出情報受取部１３１２へ出力する。

（２）検出情報受取部１３１２
電子端末１１０２が保持している秘密鍵（ＳＫ）に対応する公開鍵（ＰＫ）を、電子端末１１０２の管理ＩＤと対応付けて、予め記憶している。

検出情報受取部１３１２は、受信部１３０２から、署名データが付与された１以上の検出情報と管理ＩＤとを受け取ると、受け取った管理ＩＤに対応する公開鍵（ＰＫ）を取得する。

検出情報受取部１３１２は、取得した公開鍵を用いて受け取った１以上の検出情報に対する署名データの検証を行う。なお、署名検証については、公知の技術であるので、ここでの説明は省略する。

検出情報受取部１３１２は、署名検証により、受け取った１以上の検出情報が電子端末１１０２から送信されたものであると判断する場合には、受け取った１以上の検出情報それぞれを、受け取った管理ＩＤと対応付けて履歴管理部１３０４に保存する。

さらに、検出情報受取部１３１２は、受け取った管理ＩＤと、検出情報それぞれに含まれる保護識別子と、更新要否の判別指示とを更新要否判別部１３１８へ出力する。
（３）履歴管理部１３０４
履歴管理部１３０４は、実施の形態１にて示す履歴管理部３０４と同様であるので、ここでの説明は省略する。

なお、以降の説明において必要であれば、図６にて示す履歴管理テーブルＴ２００を用いる。
（４）モデル記憶部１３１４
モデル記憶部１３１４は、電子端末１１０２における現時点での保護手段が施されたセキュリティ実装モデル情報（以下、単にモデル情報という）が、電子端末毎に記録されている。具体的には、モデル情報は、管理ＩＤと対応付けられて記録されている。

なお、以下の説明において、必要であれば図３にて示すモデル情報２３０を用いる。
（５）更新要否判別部１３１８
更新要否判別部１３１８は、検出情報受取部１３１２から判別指示と、管理ＩＤと、１以上の保護識別子とを受け取ると、受け取った１以上の保護識別子と、管理ＩＤと、防御力算定を指示する算定指示とを防御力算定部１３１６へ出力する。

更新要否判別部１３１８は、防御力算定部１３１６から算定された１以上の防御力を受け取ると、モデル記憶部１３１４で記録されているモデル情報２３０から保護すべき資産２５０の価値を取得する。そして、取得した価値と、受け取った防御力それぞれとを比較する。

防御力が資産２５０の価値以下であると判断する場合には、更新要否判別部１３１８は、更新箇所の決定を指示する旨の更新箇所決定指示と、管理ＩＤと、検出情報受取部１３１２から受け取った１以上の保護識別子とを更新箇所決定部１３２０へ出力する。

（６）防御力算定部１３１６
防御力算定部１３１６は、更新要否判別部１３１８から算定指示と、管理ＩＤと、１以上の保護識別子とを受け取る。

防御力算定部１３１６は、モデル記憶部１３１４に記憶されているモデル情報のうち受け取った管理ＩＤに対応するモデル情報を用いて、不正解析者が保護すべき資産に到達するまでの保護経路全てのうち、受け取った１以上の保護識別子に対応する保護手段のうち少なくとも１つの保護手段を含む保護経路を全て取得する。

防御力算定部１３１６は、取得した全ての保護経路それぞれに対して、攻撃が検出された保護手段を除いたセキュリティ強度に関する防御力を算出する。
防御力算定部１３１６は、取得した保護経路それぞれに対して算出した防御力それぞれを更新要否判別部１３１８へ出力する。

なお、保護経路に対する防御力は、実施の形態１と同様の算出方法で算出される。
（７）更新箇所決定部１３２０
更新箇所決定部１３２０は、更新要否判別部１３１８から更新箇所決定指示と、管理ＩＤと、１以上の保護識別子とを受け取ると、攻撃が行われた後のセキュリティ実装モデルに基づいて、１つ以上の更新が必要とされる箇所、及び１つ以上の更新箇所それぞれが必要とする防御力を決定する。

更新箇所決定部１３２０は、決定した１つ以上の更新箇所と、１つ以上の更新箇所それぞれが必要とする防御力と、管理ＩＤとを保護方法選択部１３０６へ出力する。
なお、更新箇所及び防御力の決定方法については、実施の形態１にて示す更新箇所決定部２０９と同様であるので、ここでの説明は省略する。

（８）保護方法記憶部１３０８
保護方法記憶部１３０８は、電子端末１１０２で用いることのできる複数の保護方法を、管理ＩＤ毎に記憶している。

以下、１つの具体例を示す。
保護方法記憶部１３０８は、電子端末１１０２にて保護すべき資産２５０に対する保護パターンが異なるモデル情報を複数種類保持している。なお、これらモデル情報それぞれは、管理ＩＤと、当該モデル情報を識別するモデル識別子と、当該モデル情報が示すセキュア情報とに対応付けられている。

保護方法記憶部１３０８にて保持されているモデル情報は、実施の形態１と同様に、例えば、図３にて示すモデル情報２３０、モデル情報２３０にて示す暗号化２３２とは異なる暗号化により資産２５０は保護されているモデル情報、モデル情報２３０にて示すコード難読化２４３とデバッガ無効化２４２との間にある保護手段が存在するモデル情報などである。

また、保護方法記憶部１３０８は、保護手段それぞれに対して、監視するための監視部を対応付けて記憶している。
（９）保護方法選択部１３０６
保護方法選択部１３０６は、更新箇所決定部１３２０から、管理ＩＤと、１つ以上の更新箇所及び１つ以上の更新箇所それぞれに対応する防御力とを受け取る。

保護方法選択部１３０６は、受け取った１つ以上の更新箇所、及びそれぞれに対応する防御力に基づいて、保護方法記憶部１３０８より電子端末１１０２に送信するのに適切な保護方法、及び１以上の監視部を選択する。

以下、１つの具体例を示す。
保護方法選択部１３０６は、電子端末１１０２が保持しているモデル情報に対応するモデル識別子を、電子端末１１０２の管理ＩＤと対応付けてセキュアな記憶領域に記憶している。

保護方法選択部１３０６は、更新箇所決定部１３２０から、管理ＩＤと、１つ以上の更新箇所及び１つ以上の更新箇所それぞれに対応する防御力とを受け取る。
保護方法選択部１３０６は、受け取った管理ＩＤに対応付けられているモデル識別子を、セキュアな記憶領域から取得する。

保護方法選択部１３０６は、取得したモデル識別子に対応するモデル情報を保護方法記憶部１３０８から取得する。そして、保護方法選択部１３０６は、取得したモデル情報と、受け取った１つ以上の更新が必要な箇所と、それぞれが必要とする防御力とに基づいて、新たなモデル情報と、当該モデル情報に対応する新たなモデル識別子及び新たなセキュア情報とを、保護方法記憶部１３０８から取得する。

保護方法選択部１３０６は、取得した新たなセキュア情報に含まれる１以上の新たな保護手段それぞれに対応する新たな監視部を取得する。
保護方法選択部１３０６は、取得した新たなセキュア情報及び１以上の新たな監視部を、保護方法送付部１３１０を介して、攻撃が検出された電子端末１１０２へ送信する。

保護方法選択部１３０６は、モデル記憶部１３１４にて記憶し、受け取った管理ＩＤに対応するモデル情報を、取得した新たなモデル情報へと書き換える、つまり更新する。
保護方法選択部１３０６は、現在セキュアな記憶領域に記憶している送信先の電子端末１１０２の管理ＩＤに対応付けられているモデル識別子を、取得した新たなモデル情報に対応するモデル識別子へと置き換える、つまり更新する。

（１０）保護方法送付部１３１０
保護方法送付部１３１０は、保護方法選択部１３０６から新たなセキュア情報を受け取ると、受け取った新たなセキュア情報を、ネットワーク１１０３を介して攻撃が検出された電子端末１１０２へ送信する。

２．４ 電子端末１１０２の動作
ここでは、電子端末１１０２における外部からの攻撃に対する監視時の動作について説明する。

（１）検出情報の送信処理
電子端末１１０２にて行われる検出情報の送信処理は、図７にて示すステップＳ５からＳ３０及びステップＳ４０により実現されるので、ここでの説明は省略する。

（２）更新処理
電子端末１１０２にて行われる更新処理について、図１３にて示す流れ図を用いて説明する。

電子端末１１０２の保護方法受信部１２１２は、サーバ１１０１から更新された新たなセキュア情報及び１以上の新たな監視部を受け取る（ステップＳ３００）。
電子端末１１０２は、保護方法更新部１２１３を用いて、現在セキュアストレージ（セキュア情報記憶部１２１６）に保持しているセキュア情報を、保護方法受信部１２１２にて受け取った新たなセキュア情報へと更新する（ステップＳ３０５）。また、このとき、電子端末１１０２は、保護方法更新部１２１３を用いて、新たなセキュア情報に含まれる１以上の新たな保護手段を監視するために、受け取った１つ以上の監視部を、電子端末１１０２内の所定の記憶領域に記憶する。

２．５ サーバ１１０１の動作
ここでは、サーバ１１０１の動作について、図１４にて示す流れ図を用いて説明する。
サーバ１１０１は、検出情報受取部１３１２を用いて、署名データが付与された１以上の検出情報と管理ＩＤとを電子端末１１０２から受け取る（ステップＳ３５０）。

サーバ１１０１は、検出情報受取部１３１２を用いて、受け取った検出情報に対する署名検証を行う（ステップＳ３５５）。
署名検証により、受け取った検出情報の正当性が確認されると（ステップＳ３５５における「ＯＫ」）、サーバ１１０１は、検出情報受取部１３１２を用いて、受け取った１以上の検出情報それぞれを、受け取った管理ＩＤと対応付けて履歴管理部１３０４に保存する（ステップＳ３６０）。

サーバ１１０１は、防御力算定部１３１６を用いて、攻撃が検出された１つ以上の保護手段のうち少なくとも１を含む保護経路それぞれに対して、当該保護手段を除いたセキュリティ強度に関する防御力を算出する（ステップＳ３６５）。

サーバ１１０１は、更新要否判別部１３１８を用いて、防御力算定部１３１６にて算定された防御力それぞれと、保護すべき資産２５０の価値とを比較して、更新の要否を判断する（ステップＳ３７０）。

更新が必要であると判断する場合には（ステップＳ３７０における「ＹＥＳ」）、サーバ１１０１は、更新箇所決定部１３２０を用いて、検出情報を送信した、つまり攻撃が検出された電子端末１１０２に対応付けられたセキュリティ実装モデルに基づいて、１つ以上の更新が必要とされる箇所、及び１つ以上の更新箇所それぞれが必要とする防御力を決定する（ステップＳ３７５）。

サーバ１１０１は、保護方法選択部１３０６を用いて、決定された１つ以上の更新が必要とされる箇所、及びそれぞれが必要とする防御力に基づいて、保護方法記憶部１３０８より新たなセキュア情報、当該新たなセキュア情報に対応する新たなモデル情報、及び１以上の新たな監視部を選択する（ステップＳ３８０）。
サーバ１１０１は、保護方法送付部１３１０を用いて、保護方法選択部１３０６にて選択された新たなモデル情報、及び１以上の新たな監視部を、攻撃が検出された電子端末１１０２へ送信する（ステップＳ３８５）。

サーバ１１０１は、保護方法選択部１３０６を用いて、モデル記憶部１３１４にて記憶し、且つ受け取った管理ＩＤに対応するモデル情報を、取得した新たなモデル情報へと更新する（ステップＳ３９０）。

このとき、サーバ１１０１は、保護方法選択部１３０６を用いて、現在セキュアな記憶領域に記憶している送信先の電子端末１１０２の管理ＩＤに対応付けられているモデル識別子を、取得した新たなモデル情報に対応するモデル識別子へと更新する動作も行う。

また、署名検証により、受け取った検出情報が不正であると判断された場合（ステップＳ３５５における「ＮＧ」）、及び更新が必要でないと判断する場合には（ステップＳ３７０における「ＮＯ」）、サーバ１１０１は、処理を終了する。

３．その他
上記実施の形態１、２では、更新後の新たなセキュア情報に対する監視については、言及していないが、新たなセキュア情報の更新内容によっては、さらに新たな付随資産が追加され、当該新たな付随資産についても保護すべきことは言うまでもない。

例えば、図３にて示すモデル情報２３０におけるデバッガ端子隠蔽２４１に対する攻撃を検出し、第２の保護経路２６１上のコード難読化２４３とデバッガ無効化２４２との間に、新たな保護手段として暗号化２４４を追加する場合を考える。

この場合、鍵２５１は、コード難読化され、さらに暗号化された状態で保護されることとなる。この暗号化された状態を復号するためには、鍵が必要となるので、新たなセキュア情報には、新たな付随資産として鍵２５２が追加される。この鍵２５２を保護しないと、鍵２５２の取得は容易に行うことができるので、暗号化２４４を追加することにより保護経路２６１を強化したことが無意味となる。そこで、新たな付随資産である鍵２５２を保護する必要がある。

図１５は、この場合における具体的なモデル情報２３０ａを示す。
図１５では、上記にて説明したように、コード難読化２４３とデバッガ無効化２４２との間に、新たな保護手段として暗号化２４４を追加し、この追加に伴い、新たな付随資産である鍵２５２が追加されている。そして、鍵２５２は、保護手段としてコード難読化２４５により保護されている。なお、追加された暗号化２４４、コード難読化２４５を監視する監視部２１１ｆ、２１１ｇも追加されることは言うまでもない。また、このとき、資産２５０までに至る第３の保護経路２６２が新たに形成され、第３の保護経路２６２に対する防御力は、１２となる。第２の保護経路２６１に対する防御力は、１７から１２へと変更される。

このように新たな付随資産に対しても保護手段を施すことで、新たなセキュア情報全体として、保護状態を強化することができる。
４．実施の形態３
ここでは、本発明の実施の形態３について、実施の形態１と異なる点を中心に説明する。

実施の形態３では、実施の形態１の記載した保護方法の更新に加えて、保護手段のバージョンアップや暗号化の解読の成功やコード難読化されたコードの解読の成功などにより、当該保護手段の防御力が低下した場合においても、保護方法を更新する。

以下、各装置の構成及び動作について説明する。なお、実施の形態１と同一の動作を行う構成要素については、同一の符号を付与し、ここでの説明は省略する。
４．１ 電子端末１０２Ａの構成
ここでは、電子端末１０２Ａの構成について説明する。

電子端末１０２Ａは、図１６にて示すように、検出情報生成部２０１、署名付与部２０２、時刻情報取得部２０３、保存先選択部２０４、履歴管理部２０５、モデル記憶部２０６、監視部２１１ａ、２１１ｂ、・・・、２１１ｎ、識別子記憶部２１５、セキュア情報記憶部２１６、防御力算定部２０７Ａ、更新要否判別部２０８Ａ、更新箇所決定部２０９Ａ、更新要求生成部２１０Ａ、保護方法受信部２１２Ａ、保護方法更新部２１３Ａ、送信部２１４Ａ、防御力表記憶部２２０Ａ、比較部２２１Ａ及び保護手段対応表記憶部２２２Ａから構成されている。

なお、モデル記憶部２０６には図１７にて示すモデル情報２３０Ａを記憶しているものとする。実施の形態１にて示すモデル情報２３０（図３を参照）との違いは、資産の価値である。図３では、資産２５０の価値を「１０」としたが、ここでは、資産２５０Ａの価値を「１５」としている。

以下において、防御力算定部２０７Ａ、更新要否判別部２０８Ａ、更新箇所決定部２０９Ａ、更新要求生成部２１０Ａ、保護方法受信部２１２Ａ、保護方法更新部２１３Ａ、送信部２１４Ａ、防御力表記憶部２２０Ａ、比較部２２１Ａ及び保護手段対応表記憶部２２２Ａについて説明する。

（１）防御力表記憶部２２０Ａ
防御力表記憶部２２０Ａは、サーバ１０１Ａから保護方法受信部２１２Ａが受け取った防御力表Ｔ３００を記憶している。

防御力表Ｔ３００は、図１８にて示すように、保護手段管理ＩＤと、保護手段と、防御力とからなる組を１つ以上記憶するための領域を有している。
保護手段管理ＩＤは、保護手段を一意に識別するためのものであり、保護手段は、保護手段管理ＩＤにて対応付けられた保護手段の名称を示すものである。防御力は、その保護手段の防御力を示すものである。

（２）保護手段対応表記憶部２２２Ａ
保護手段対応表記憶部２２２Ａは、モデル記憶部２０６にて記憶しているモデル情報２３０に含まれる１つ以上の保護手段と、防御力対応表に含まれる保護手段とを対応付けるための保護手段対応表Ｔ４００を記憶している。

保護手段対応表Ｔ４００は、図１９にて示すように、保護手段管理ＩＤは保護手段を一意に識別するためのものであり、保護手段は保護手段管理ＩＤにて対応付けられた保護手段の名称を示すものである。また、使用ポイントは、対応する保護手段がモデル情報２３０における位置を示すものであり、ここでは、実施の形態１にて示す保護識別子にて与えられる。

保護識別子を用いることで、どの保護経路上のどの位置に保護手段が用いられているかが分かる。例えば、防御力表Ｔ３００における暗号化Ａは、保護手段管理ＩＤ「ＩＤ１」と保護手段対応表Ｔ４００とから、モデル情報２３０にてＰｏｉｎｔ１−２に対応付けられた保護手段を示していることが分かる。

（３）比較部２２１Ａ
比較部２２１Ａは、モデル情報２３０に含まれる保護手段の防御力、つまり現時点で資産２３０を保護している保護手段の防御力（以下、「第１防御力」という。）と、防御力表Ｔ３００に含まれ当該保護手段に対応する防御力（以下、「第２防御力」という。）とを比較し、第２防御力が第１防御力を下回っているか否かを判別する。

下回っている場合には、比較部２２１Ａは、当該保護手段を含む保護経路を特定する。
例えば、図１６、１７、１８から、保護識別子「Ｐｏｉｎｔ１−２」に対応する保護手段（暗号化Ａ）、つまり図１６にて示す暗号化２３２は、現時点では防御力「１０」として管理しているが、防御力表Ｔ３００では、防御力「５」となっており、防御力が低下していることが分かる。そこで、比較部２２１Ａは、暗号化２３２を含む保護経路として第１の保護経路２６０を特定する。

なお、ここでは、特定される保護経路が１つあるが、防御力表Ｔ３００の内容によっては、特定される保護経路は複数となる場合もある。つまり、比較部２２１Ａは、比較結果に応じて、１つ以上の保護経路を特定する。

（４）防御力算定部２０７Ａ
防御力算定部２０７Ａは、実施の形態１にて示す防御力算定部２０７の動作内容に加えて、次の動作をも行う。

防御力算定部２０７Ａは、比較部２２１Ａにて特定された１つ以上の保護経路それぞれに対して、防御力が低下した保護手段に対応する第２防御力を用いて、当該保護経路に対する防御力を算定する。

例えば、防御力算定部２０７Ａは、防御力が低下した暗号化２３２を含む第１の保護経路２６０に対する防御力として、「１２」を算出する。
（５）更新要否判別部２０８Ａ
更新要否判別部２０８Ａは、実施の形態１にて示す更新要否判別部２０８の動作内容に加えて、次の動作をも行う。

更新要否判別部２０８Ａは、比較部２２１Ａにて特定された１つ以上の保護経路それぞれに対して、防御力算定部２０７Ａが算定した各防御力と、資産２５０Ａの価値とに基づいて、更新の要否を判別する。なお、判別方法は実施の形態１と同様である。

例えば、更新要否判別部２０８Ａは、第１の保護経路２６０に対して算定された防御力「１２」と、資産２５０Ａの価値「１５」とを比較して、その結果として更新が必要であると判断する。

（６）更新箇所決定部２０９Ａ
更新箇所決定部２０９Ａは、実施の形態１にて示す更新箇所決定部２０９の動作内容に加えて、次の動作をも行う。

更新箇所決定部２０９Ａは、更新要否判別部２０８Ａにて防御力が低下した保護手段を含む保護経路の更新が必要であると判断された場合、防御力表Ｔ３００を用いて、当該保護手段の代わりに用いることのできる新たな保護手段を特定する。なお、更新が必要であると判断された保護経路が複数ある場合には、保護経路毎に、新たな保護手段を特定する。

具体的には、更新箇所決定部２０９Ａは、当該保護経路の防御力が資産の価値以上となるような新たな保護手段を特定する。
例えば、更新箇所決定部２０９Ａは、資産２５０Ａの価値「１５」を上回るように防御力表Ｔ３００から暗号化Ｂを特定する。このとき、暗号化Ａを暗号化Ｂへと換えることで、第１の保護経路２６０の防御力は「１２」から「１８」となり、資産２５０Ａの価値「１５」を上回ることになる。

（７）更新要求生成部２１０Ａ
更新要求生成部２１０Ａは、実施の形態１にて示す更新要求生成部２１０の動作内容に加えて、次の動作をも行う。

更新要求生成部２１０Ａは、更新箇所決定部２０９Ａにて防御力が低下した保護手段の代わりに用いることのできる新たな保護手段が特定された場合、当該保護手段に対応する保護手段管理ＩＤ、防御力が低下した保護手段に対応付けられた保護識別子、及び識別子記憶部２１５にて記憶されている管理ＩＤとからなる第２更新要求情報を生成し、生成した第２更新要求情報を、送信部２１４を介してサーバ１０１Ａへ送信する。

なお、更新が必要であると判断された保護経路が複数ある場合には、更新要求生成部２１０Ａは、保護経路毎に特定された新たな保護手段それぞれに対して、当該新たな保護手段の保護手段管理ＩＤと、当該新たな保護手段へと更新する対象となる保護識別子とを１つの組として、第２更新要求情報を生成する。

（８）送信部２１４Ａ
送信部２１４Ａは、実施の形態１にて示す送信部２１４の動作内容に加えて、次の動作をも行う。

送信部２１４Ａは、更新要求生成部２１０Ａにて生成された第２更新要求情報を、サーバ１０１Ａへ送信する。
（９）保護方法受信部２１２Ａ
保護方法受信部２１２Ａは、実施の形態１にて示す保護方法受信部２１２の動作内容に加えて、次の動作をも行う。

保護方法受信部２１２Ａは、サーバ１０１Ａから防御力表Ｔ３００を受信する。
保護方法受信部２１２Ａは、保護手段の防御力低下時における保護方法の更新時において、実施の形態１と同様にサーバ１０１Ａから、送信した第２更新要求情報に基づいて決定された１つ以上の保護手段と、前記１以上の保護手段それぞれに対応する新たな監視部とを受信する。

具体的には、保護方法受信部２１２Ａは、サーバ１０１Ａから保護すべき資産２５０Ａ若しくは鍵２５１に対して新たな保護手段が施された新たなセキュア情報及び、当該セキュア情報を示す新たなモデル情報と、１つ以上の新たな監視部とを受け取る。

また、保護方法受信部２１２Ａは、さらに、新たなセキュア情報に含まれる１以上の保護手段それぞれに対応する保護手段管理ＩＤ、当該保護手段管理ＩＤに対応する保護手段及び使用ポイントに基づく新たな保護手段対応表を受信する。

（１０）保護方法更新部２１３Ａ
保護方法更新部２１３Ａは、実施の形態１にて示す保護方法更新部２１３の動作内容に加えて、次の動作をも行う。

保護方法更新部２１３Ａは、保護方法受信部２１２Ａが受信した防御力表Ｔ３００を防御力表記憶部２２０Ａへ格納する。
保護方法更新部２１３Ａは、保護手段の防御力低下時における保護方法の更新時において、現在保持しているセキュア情報を新たなセキュア情報へと更新、現在記憶しているモデル情報２３０を新たなモデル情報へと更新、及び１以上の新たな保護手段を監視するために、受け取った１つ以上の監視部を電子端末１０２内の所定の記憶領域に記憶する。なお、セキュア情報に復号処理のプログラムが含まれている場合には、当該プログラムを所定の領域に格納する。

また、保護方法更新部２１３Ａは、現在保護手段対応表記憶部２２２Ａにて記憶している保護手段対応表を、保護方法受信部２１２Ａが受信した新たな保護手段対応表へと更新する。

４．２ サーバ１０１Ａの構成
ここでは、サーバ１０１Ａの構成について説明する。
サーバ１０１Ａは、図２０にて示すように、履歴管理部３０４、検出情報受取部３１２、受信部３０２Ａ、保護方法選択部３０６Ａ、保護方法記憶部３０８Ａ、保護方法送付部３１０Ａ及び防御力表記憶部３１１Ａから構成されている。

以下において、受信部３０２Ａ、保護方法選択部３０６Ａ、保護方法記憶部３０８Ａ、保護方法送付部３１０Ａ及び防御力表記憶部３１１Ａについて説明する。
（１）受信部３０２Ａ
受信部３０２Ａは、実施の形態１にて示す受信部３０２の動作に加えて、以下の動作を行う。

受信部３０２Ａは、電子端末１０２Ａから、第２更新要求情報を受信すると、受信した第２更新要求情報を保護方法選択部３０６Ａへ出力する。
（２）保護方法記憶部３０８Ａ
保護方法記憶部３０８Ａは、実施の形態１にて示す保護方法記憶部３０８と同様に、電子端末１０２Ａにて保護すべき資産２５０Ａに対する保護パターンが異なるモデル情報を複数種類保持している。また、保護方法記憶部３０８Ａは、実施の形態１にて示す保護方法記憶部３０８と同様に、これらのモデル情報それぞれに対応するセキュア情報をも記憶している。

保護方法記憶部３０８Ａは、複数種類のモデル情報それぞれに対応する保護手段対応表を記憶している。
また、保護方法記憶部３０８Ａは、実施の形態１にて示す保護方法記憶部３０８と同様に、保護手段それぞれに対して監視するための監視部を対応付けて記憶している。

（３）保護方法選択部３０６Ａ
保護方法選択部３０６Ａは、実施の形態１にて示す保護方法選択部３０６の動作内容に加えて、以下の動作を行う。

保護方法選択部３０６Ａは、受信部３０２Ａから第２更新要求情報を受け取ると、受け取った第２更新要求情報に含まれる保護手段管理ＩＤと保護識別子とからなる１つ以上の組を用いて、保護方法記憶部３０８Ａからモデル情報及び当該モデル情報に対応する保護手段対応表を取得する。

以下、１つの具体例を示す。
保護方法選択部３０６Ａは、第２更新要求情報に含まれる全ての保護手段管理ＩＤそれぞれにて識別される保護手段が、対応する保護識別子（当該保護手段管理ＩＤを含む組に含まれる保護識別子）にて示される位置に施されているモデル情報を、保護方法記憶部３０８Ａから取得する。

保護方法選択部３０６Ａは、取得したモデル情報に対応するセキュア情報及び保護手段対応表を取得する。
保護方法選択部３０６Ａは、さらに、取得した新たなセキュア情報に含まれる１以上の新たな保護手段それぞれに対応する新たな監視部を取得する。

保護方法選択部３０６Ａは、取得した新たなモデル情報、新たなモデル情報に対応する保護手段対応表、新たなセキュア情報及び１以上の監視部を、保護方法送付部３１０Ａを介して、更新要求のあった電子端末１０２Ａへ送信する。

保護方法選択部３０６Ａは、実施の形態１にて示す保護方法選択部３０６と同様に、現在セキュアな記憶領域に記憶している送信先の電子端末１０２Ａの管理ＩＤに対応付けられているモデル識別子を、取得した新たなモデル情報に対応するモデル識別子へと更新する。

（４）防御力表記憶部３１１Ａ
防御力表記憶部３１１Ａは、電子端末１０２Ａへ送信すべき防御力表を記憶している。
（５）保護方法送付部３１０Ａ
保護方法送付部３１０Ａは、実施の形態１にて示す保護方法送付部３１０の動作内容に加えて、以下の動作を行う。

保護方法送付部３１０Ａは、ユーザの指示により、防御力表記憶部３１１Ａにて記憶されている防御力表を、電子端末１０２Ａへ送信する。
保護方法送付部３１０Ａは、保護方法選択部３０６Ａが取得した新たなモデル情報、新たなモデル情報に対応する保護手段対応表、新たなセキュア情報及び１以上の監視部を電子端末１０２Ａへ送信する。

なお、新たな保護手段が暗号化である場合には、保護方法送付部３１０Ａは、実施の形態１にて示す保護方法送付部３１０と同様に、セキュア情報に復号処理のプログラムを含めて送信する。

４．３ 電子端末１０２Ａの動作
ここでは、保護手段の防御力が低下した場合におけるセキュア情報の更新に係る処理について図２１にて示す流れ図を用いて説明する。

電子端末１０２Ａの保護方法受信部２１２Ａは、サーバ１０１Ａから防御力表を受信し、受信した防御力表を防御力表記憶部２２０Ａへ記憶する（ステップＳ５００）。
比較部２２０Ａは、モデル情報２３０に含まれる保護手段それぞれに対して、当該保護手段の第１防御力と、防御力表Ｔ３００に含まれ当該保護手段に対応する第２防御力とを比較し、第２防御力が第１防御力を下回っているか否かを判別する。下回っている場合には、比較部２２１Ａは、第２防御力が第１防御力を下回っている１つ以上の保護手段それぞれに対して、当該保護手段を含む保護経路を特定する（ステップＳ５０５）。

防御力算定部２０７Ａは、攻撃が検出された１つ以上の保護手段のうち少なくとも１を含む保護経路それぞれに対して、当該保護手段を除いたセキュリティ強度に関する防御力を算出する。更新要否判別部２０８Ａは、防御力算定部２０７Ａにて算定された防御力それぞれと、保護すべき資産２５０の価値とを比較して、更新の要否を判断する（ステップＳ５１０）。

更新が必要であると判断する場合には（ステップＳ５１０における「ＹＥＳ」）、電子端末１０２Ａの更新箇所決定部２０９Ａは、モデル記憶部２０６にて記憶されているモデル情報２３０Ａと、防御力表記憶部２２０Ａにて記憶されている防御力表Ｔ３００とを用いて、更新対象となる保護経路の防御力が資産価値より上回るような新たな保護手段を特定する（ステップＳ５１５）。

更新要求生成部２１０Ａは、保護経路毎に特定された新たな保護手段それぞれに対して、当該新たな保護手段の保護手段管理ＩＤと、当該保護経路上において更新対象となる保護手段の保護識別子とを１つの組として、第２更新要求情報を生成する（ステップＳ５２０）。送信部２１４Ａは、生成された第２更新要求情報をサーバ１０１Ａへ送信する（ステップＳ５２５）。

保護方法受信部２１２Ａは、サーバ１０１Ａから、送信した第２更新要求情報に基づいて決定された新たなセキュア情報、当該セキュア情報を示す新たなモデル情報、当該新たなモデル情報に対応する保護手段対応表、及び１以上の新たな監視部を受け取る（ステップＳ５３０）。

保護方法更新部２１３Ａは、現在セキュア情報記憶部２１６に保持しているセキュア情報を保護方法受信部２１２にて受け取った新たなセキュア情報へと更新、現在モデル記憶部２０６にて記憶しているモデル情報２３０を保護方法受信部２１２にて受け取った新たなモデル情報へと更新、及び現在保護手段対応表記憶部２２２Ａにて記憶している保護手段対応表を保護方法受信部２１２Ａにて受け取った新たな保護手段対応表へと更新する（ステップＳ５３５）。また、このとき、保護方法更新部２１３Ａは、新たなセキュア情報に含まれる１以上の新たな保護手段を監視するために、受け取った１つ以上の監視部を、電子端末１０２Ａ内の所定の記憶領域に記憶する。

更新が必要でないと判断する場合には（ステップＳ５１０における「ＮＯ」）、電子端末１０２Ａは、処理を終了する。
４．４ サーバ１０１Ａの動作
ここでは、サーバ１０１Ａの動作について、図２２にて示す流れ図を用いて説明する。

サーバ１０１Ａは、電子端末１０２Ａから第２更新要求情報を受け取る(ステップＳ６００)。
サーバ１０１Ａの保護方法選択部３０６Ａは、受け取った第２更新要求情報に含まれる保護手段管理ＩＤと保護識別子とからなる１つ以上の組を用いて、保護方法記憶部３０８Ａより電子端末１０２Ａに送信するのに適切な新たなセキュア情報、当該新たなセキュア情報に対応する新たなモデル情報及び１以上の新たな監視部を選択する（ステップＳ６０５）。

保護方法送付部３１０Ａは、保護方法選択部３０６Ａにて選択された新たなモデル情報、新たなセキュア情報、及び１以上の新たな監視部を、更新要求のあった電子端末１０２Ａへ送信する（ステップＳ６１０）。

このとき、サーバ１０１Ａの保護方法選択部３０６Ａは、セキュアな記憶領域に現在記憶している送信先の電子端末１０２Ａの管理ＩＤに対応付けられているモデル識別子を、取得した新たなモデル情報に対応するモデル識別子へと更新する動作も行う。

５．変形例
なお、本発明を上記実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。

（１）上記の実施の形態１および２では、セキュリティの更新として保護手段の追加、更新を考慮していたが、保護手段の削除を行っても良い。例えば、不正解析を受けた保護手段は、既に破られている可能性が高いので残しておいても無駄である可能性が高い。この場合、この保護手段を削除することで電子端末１０２の容量を有効に使うことが出来る。

同様に、サーバ１０１から新しい保護手段が得られた場合に、その保護手段を不正解析を受けた保護手段に上書きするとしてもよい。
（２）上記の実施の形態１および２では、不正な攻撃を受けた場合にのみ保護手段を更新していたが、これに限られるものではない。

例えば、電子端末は、定期的に、またはユーザやプログラムからの指示により、サーバにアクセスし、新しい保護手段が使えるようになっていれば、その保護手段を取得して防御力を強化するとしてもよい。言い換えると、電子端末は、サーバに新しい保護手段が施された新たな資産が存在する場合には、サーバからその新たな資産を取得して、現在保持している資産を取得した新たな資産へと更新する。

また、電子端末は、特に攻撃を受けていない場合であっても、定期的に、またはユーザやプログラムからの指示により、各保護手段を同等の防御力を持つ保護手段と取り替えるよう更新しても良い。これにより、不正解析の対象が変化するので、より解析を困難にすることが出来る。なお、同等の防御力を持つ保護手段ではなく、より防御力の強い保護手段と取り替えるとしても良いが、一般的に防御力が高い保護手段ほど実行時に時間がかかるので、必要最低限の防御力を維持する構成の方が電子端末の動作速度の面からは望ましい。また、保護経路全体での防御力が低下しなければ、一部の保護手段を防御力の低い保護手段に更新しても良い。

（３）上記の実施の形態１および２では、更新によって追加される保護手段は、その保護手段を追加することで、あらゆる保護経路の防御力が資産価値を上回るように決定されていた。しかし、このような例に限らず、例えば、資産価値と防御力の比較を行わずに更新すべき箇所および必要な防御力を定めることも可能である。具体的には、各保護経路の防御力を解析し、他の保護経路よりも防御力が弱い保護経路が発見された場合に、保護手段を追加するとしてもよい。

また、攻撃を受けた保護手段を同等の防御力を持つ保護手段と取り替えることも考えられる。なお、同等の防御力を持つ保護手段ではなく、より防御力の強い保護手段と取り替えるとしても良いが、一般的に防御力が高い保護手段ほど実行時に時間がかかるので、必要最低限の防御力を維持する構成の方が電子端末の動作速度の面からは望ましい。

また、資産価値以外の閾値に基づき、その閾値よりも保護経路の防御力が下がったかどうかを判断して、下がっていた場合にその保護経路に保護手段を追加するとしても良い。
（４）上記の実施の形態１および２では、保護経路の防御力が資産価値を下回った場合に保護手段を追加していたが、これに限られるものではない。例えば、防御力が資産価値を下回ったかどうかと関係なく、不正解析を受ければ保護手段を更新するとしてもよい。この場合の保護手段の選択方法としては、例えば、不正解析を受けた保護手段よりも防御力の強い保護手段を選択することが考えられる。

（５）資産価値は、技術水準や環境の変化により、変動する可能性がある。そのため、資産価値も更新できるとしてもよい。この場合、電子端末は、資産価値の更新を検知し、更新後の資産価値に合わせて保護手段を更新することが望ましい。

（６）上記の実施の形態１および２では、監視部は、保護手段に対する攻撃があるかどうかを監視しているが、さらに、履歴管理テーブル自体が不正に書き換えられたことなどを監視してもよい。

（７）上記の実施の形態１および２では、監視部は、保護手段に対する攻撃があるかどうかを監視しているが、さらに、保護手段に対して、ハニーポットのようなトラップを備えておき、攻撃者が、ハニーポットのトラップに対して攻撃したかどうかを監視してもよい。

（８）上記の実施の形態１および２では、監視部は、保護手段に対する攻撃があるかどうかを監視していた。ここで、電子端末は、さらに、監視部の監視結果をもとに不正な改竄をされずに、いつまで正常に利用されていたのかを示す情報を履歴管理テーブルに記録するようにしてもよい。この正常動作の記録の場合は、毎回正常動作の記録を蓄積することなく、前回記録した正常動作の記録情報に上書きする形で更新記録すればよい。この正常動作の記録は、例えば、各保護手段または保護手段に到達するまでのモデルに対する攻撃がどの程度困難であったのかを評価するために用いられる。具体的な例としては、次に作成するモデルにおいて各保護手段の防御力を算出する際に参考情報として用いることができる。

（９）上記の実施の形態１および２の監視部が行う監視のタイミングは、電子端末の起動時や、各保護手段を実行する前や、各保護手段の実行中や、各保護手段の実行終了後であってもよい。また、各保護手段の特定のイベントによって監視してもよいし、定期的に監視してもよいし、不定期なタイミングで監視してもよい。より安全に実装するには、監視のタイミングが、攻撃者に予期できないタイミングであることが望ましい。

（１０）上記の実施の形態１および２では、各保護手段および監視部は、プログラムによって実現されることを想定しているが、これに限られるものではない。例えば、電子端末に、回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサー等を用いている場合は、その回路により保護手段を実現することが考えられる。この場合、サーバから送られる保護手段は、リコンフィギュラブル・プロセッサー等の更新後の回路構成を示す設計データであるとしてもよい。このとき、電子端末１０２は、受け取った設計データに基づいて、リコンフィギュラブル・プロセッサーの回路構成を更新する。

（１１）上記の実施の形態１および２では、更新によって追加される保護手段は、サーバが保持するとしているが、電子端末側でいくつかの保護手段を予防として保持しておき、自己修復するような構成であってもよい。

例えば、電子端末は、保護手段としてコード難読化のプログラムを記憶している場合には、暗号化された資産を、記憶しているコード難読化のプログラムを用いて暗号化された資産を難読化する。電子端末は、現在保持しているセキュア情報を、コード難読化されたセキュア情報へと更新する。

また、保護手段として暗号化プログラムを記憶している場合には、暗号化されている資産を、さらに、記憶している暗号化プログラムにて暗号化して記憶してもよい。また、現在暗号化されている資産を復号して、記憶している暗号化プログラムにて暗号化してもよい。

また、電子端末は、上記において、保護すべき資産に対する保護状態を強化する旨を記載したが、これに限定されない。電子端末は、記憶している保護手段を、保護すべき資産ではなく、保護すべき資産に付随する他の資産（例えば、図３にて示す鍵２５１）に施してセキュア情報における防御力を強化してもよい。

（１２）上記実施の形態１、２において、電子端末は、外部からの攻撃を検出した際に、検出情報を送信したが、これに限定されない。
電子端末は、定期的に、電子端末にて記憶され、且つサーバへ送信していない検出情報を、定期的にサーバへ送信してもよい。

（１３）上記実施の形態１、２において、電子端末は、サーバへ送信する１以上の検出情報それぞれに対して、署名データを生成したが、これに限定されない。
電子端末の署名付与部は、サーバへ送信する１以上の検出情報を連結して、連結した検出情報に対して署名データを生成してもよい。

（１４）上記実施の形態１、２において、サーバは、電子端末にて保持されているセキュア情報を更新するために、新たなセキュア情報を取得したが、これに限定されない。セキュア情報を構成する内容のうち、更新された箇所のみを抽出し、抽出した箇所のみを電子端末へ送信してもよい。

このとき、電子端末は、更新された箇所のみをサーバから受け取ると、保持しているセキュア情報のうち、更新対象の箇所を、受け取った更新された箇所へと更新する。
（１５）防御力の算出方法は、上記実施の形態１、２にて示す方法に限定されない。

例えば、防御力の算出には、時間や費用だけでなく、解析に要する技術力を加味してもよい。または、資産のビット長を加味してもよい。
また、防御力は、セキュリティシステムにおいて解析された場合のシステムの深刻度によって、５段階や１０段階でレベル付けされてもよい。この場合、資産に対する価値も５段階や１０段階でレベル付けされた値となる。

（１６）上記実施の形態１において、モデル記憶部は、セキュリティ実装モデル情報を記憶したが、これに限定されない。
モデル記憶部は、セキュリティ実装モデル情報の代わりに、当該セキュリティ実装モデル情報のバージョン情報のようなもので管理していてもよい。

（１７）上記実施の形態１、２において、複数台の電子端末に１台のサーバが対応付けられた場合について説明したが、これに限定されない。
電子端末毎に、１台のサーバを割り当ててもよい。

この場合、電子端末は、管理ＩＤをサーバへ送信する必要はない。
また、サーバは、対応する電子端末のモデル情報、セキュア情報、モデル識別子などを記憶していればよい。

（１８）上記実施の形態１では、電子端末が攻撃を検出すると、電子端末側にて防御力の算定、更新の要否の判別、更新箇所の決定を行っている。また、実施の形態２では、電子端末が、攻撃を検出すると、サーバが、防御力の算定、更新の要否、更新箇所の決定を行っている。

各機能の振り分けは、上記の実施の形態１及び２にて示す振り分け方に限定されない。
どの機能をサーバとクライアントのどちらに持たせるかは適宜変更しても構わない。
例えば、防御力の算定、及び更新の要否の判別は電子端末側で行い、更新箇所の決定はサーバ側で行うとしてもよい。または、防御力の算定は電子端末側で行い、更新の要否の判別、及び更新箇所の決定はサーバ側で行うとしてもよい。

（１９）上記実施の形態１、２では、保護手段それぞれに対して１の監視部を割り当てたが、これに限定されない。
１の監視部が、全ての保護手段を監視してもよい。

このとき、監視部は、複数の保護手段それぞれに対して、攻撃の有無の監視を個別に行うように動作する。具体的には、各保護手段に対して、当該保護手段に対する攻撃を監視する監視部を割り当てることで実現できる。

（２０）上記実施の形態１、２において、電子端末１０２とサーバ１０１との間における情報の送受信は、暗号化して行ってもよい。
（２１）上記実施の形態１、２において、電子端末は、攻撃が検出された保護手段を、それ以降（攻撃が検出された以降）は監視対象から除外してもよい。

（２２）上記実施の形態１、２においては、保護手段および監視部が追加されるたびにセキュア情報もそれに合わせて更新していた。ただし、追加される保護手段によっては、必ずしもセキュア情報の更新は必要ない。例えば、追加される保護手段が特定の情報を持ったユーザにしかセキュア情報のある領域へのアクセスを許さないプログラム等である場合、保護手段の追加の前後でセキュア情報自体は変化しない。このような場合には、セキュア情報は更新しないとしても良い。なお、セキュア情報を更新すべきか否かは、電子端末が追加する保護手段の内容を確認して判断するとしてもよい。また、サーバから届く保護手段自体にセキュア情報の更新を必要とするか否かを示すフラグなどをつけることで制御するとしてもよい。

（２３）上記の実施の形態１、２においては、経路の防御力は各保護手段の防御力の総和としていた。しかし、経路の防御力の算出方法はこれに限られるものではない。例えば、加算ではなく乗算であってもよい。また、同一経路上に同様の保護手段（同じアルゴリズムによる暗号化など）が連続する場合には、１つの保護手段が破られると残りの保護手段も破られる可能性が高いので、防御力の加算量を減らしていくなどとしてもよい。

（２４）上記実施の形態１において、資産２５０と、付随資産（鍵２５１）とは、セキュア情報記憶部２１６にて格納されているとしたが、これに限定されない。資産２５０と、付随資産（鍵２５１）とをそれぞれ、異なる記憶部に格納してもよい。

また、実施の形態２においても、同様である。
（２５）上記各実施の形態において、付随資産として、暗号化された資産を復号するための復号鍵を挙げたが、これに限定されない。

例えば、復号鍵を生成する鍵生成プログラムであってもよい。この場合、この鍵生成プログラムに対して保護手段（例えば、暗号化やコード難読化など）が施されることとなる。

（２６）上記実施の形態１において、暗号化された資産２５０への攻撃の具体例として、暗号化された資産２５０そのもの若しくは復号プログラムを攻撃することを挙げている。

保護手段として暗号化がなされている場合において、当該保護手段への攻撃とは、上記にて示す具体例と同様に、暗号化されたデータや暗号化されたプログラムそのもの若しくは暗号化されたデータ及びプログラムを復号するための復号プログラムを攻撃することである。

なお、暗号化されたデータ及びプログラムを復号するための復号プログラムは、セキュア情報記憶部２１６に格納してもよいし、セキュア情報記憶部２１６とは異なる記憶領域に格納してもよい。

ここで、コード難読化に対する攻撃とは、コード難読化されたプログラムそのものを攻撃することである。コード難読化された対象となるプログラムは、例えば、鍵を生成する鍵生成プログラムや暗号化されたデータやプログラムを復号するための復号プログラムなどである。

なお、コード難読化されたプログラムは、復号プログラムと同様に、セキュア情報記憶部２１６に格納してもよいし、セキュア情報記憶部２１６とは異なる記憶領域に格納してもよい。

（２７）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。なお、各装置は、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどの全てを含むコンピュータシステムには限らず、これらの一部から構成されているコンピュータシステムであってもよい。

（２８）上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又は全てを含むように１チップ化されてもよい。
また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。

さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。

（２９）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

（３０）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本発明は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。

また、本発明は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。

また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

（３１）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
６．まとめ
（１）本発明は、第三者による攻撃を防御する複数の保護手段を順次施すことにより保護された秘密情報を保持する電子端末であって、前記複数の保護手段それぞれに対する攻撃を監視する監視手段と、前記監視手段にて１の保護手段に対する攻撃が検出されると、前記秘密情報の保護状態を更新するか否かを判断する更新判断手段と、前記更新判断手段にて更新すると判断する場合、前記秘密情報の保護状態を、新たな保護状態へと更新する更新手段とを備えることを特徴とする。

この構成によると、電子端末は、保護手段に対して外部からの攻撃を検出すると、保護状態の更新が必要である場合に、攻撃が検出された保護手段から秘密情報に至るまでの保護手段の列に対して新たな保護手段が追加された、又は既存の保護手段を強化した新たな保護状態で秘密情報を保護するので、第三者による秘密情報の改ざんを防止することができる。

（２）ここで、前記更新手段は、現在の保護状態にて保護されている秘密情報を、攻撃が検出された前記１の保護手段から前記秘密情報に至るまでの攻撃が検出されていない保護手段の列に対して新たな保護手段が追加された、又は、前記攻撃が検出されていない保護手段の列に含まれる既存の保護手段を強化した保護状態にて保護された秘密情報へと置き換えることで、前記秘密情報の保護状態を新たな保護状態へと更新するとしてもよい。

この構成によると、電子端末は、現在の保護状態で保持している秘密情報を、新たな保護状態で保護された秘密情報へと置き換えるので、第三者が置換前の保護状態と、置換後の保護状態との差分を把握することは困難となる。

（３）ここで、前記電子端末は、さらに、外部装置とネットワークを介して通信可能であるか否かを判断する通信判断手段と、通信可能であると判断する場合には、前記１の保護手段に対する攻撃を検出した旨を示す検出情報を、前記外部装置へ送信する送信手段とを備え、前記更新手段は、前記検出情報に基づいて前記手段の列のうちで更新すべき箇所が決定された前記新たな保護状態により保護された秘密情報を、前記外部装置から受け取るとしてもよい。

この構成によると、電子端末は、外部装置に攻撃を受けたことを知らせることができる。また、電子端末は、攻撃を受けた箇所に応じた新たな保護状態により保護された秘密情報を受け取ることができる。

（４）ここで、前記電子端末は、さらに、通信判断手段が通信不可であると判断する場合に前記検出情報を保持する保持手段を備え、前記送信手段は、さらに、通信可能であると判断し、且つ前記外部装置へ送信されていない１以上の未送信検出情報が前記保持手段にて保持されている場合には、前記１以上の未送信検出情報を前記外部装置へ送信するとしてもよい。

この構成によると、電子端末は、検出情報を外部装置へ送信できない場合には、自身で保持し、送信可能時に保持している１以上の未送信検出情報を送信することができる。
（５）ここで、前記複数の保護手段それぞれには、攻撃に対する防御力が対応付けられ、前記秘密情報には、価値が対応付けられており、前記更新判断手段は、攻撃がなされた前記１の保護手段から前記秘密情報に至るまでの攻撃が検出されていない保護手段の列からなる保護経路に存在する１以上の保護手段それぞれの防御力を用いて、前記経路に対する防御力を算出する算出部と、前記算出部にて算出された前記保護経路に対する防御力と、前記価値とを比較し、前記保護経路に対する防御力が前記価値以下である場合に、前記秘密情報の保護状態を更新すると判断する更新判断部とを備えるとしてもよい。

この構成によると、電子端末は、攻撃がなされた前記１の保護手段から前記秘密情報に至るまでの保護経路に対する防御力を算出し、算出した防御力と、秘密情報に対する価値とを用いて、更新の要否を決定することができる。したがって、電子端末は、守るべき秘密情報の価値に応じて必要十分な強度の保護状態に更新することができる。

（６）ここで、前記更新手段は、前記更新判断部にて更新すると決定する場合、前記保護経路において新たな保護手段を追加する位置、又は新たな保護手段へと置き換えるべき既存の保護手段の位置と、前記保護経路に対する防御力が前記価値を上回るために必要な防御力とを決定する決定部と、決定された前記位置に決定された前記防御力を有する新たな保護手段が追加、又は前記位置に存在する既存の保護手段を新たな保護手段へと置き換えた前記新たな保護状態により保護された秘密情報を取得する取得部と、現在の保護状態にて保護されている秘密情報を、前記取得部にて取得された前記新たな保護状態により保護された秘密情報へと置き換える置換部とを備えるとしてもよい。

この構成によると、電子端末は、新たな保護手段を追加、又は新たな保護手段に置き換えるべき既存の保護手段の位置及びその防御力を決定する。したがって、電子端末は、攻撃の検出時において、攻撃がなされた前記１の保護手段から前記秘密情報に至るまでの保護経路に対する防御力が秘密価値に対する価値より上回るような防御力を有する新たな保護手段を追加することができる。

（７）ここで、前記決定部は、決定された前記位置と前記防御力とを、ネットワークにて接続された外部装置へ送信し、前記取得部は、決定された前記防御力を有する前記新たな保護手段が前記位置に追加した、又は前記位置に存在する既存の保護手段を前記防御力を有する前記新たな保護手段に置き換えた前記新たな保護状態により保護された秘密情報を、前記外部装置から受け取るとしてもよい。

この構成によると、電子端末は、新たな保護手段を追加、又は新たな保護手段に置き換えるべき既存の保護手段の位置及びその防御力を外部装置へ送信することにより、送信した防御力を有する新たな保護手段が決定された位置に追加、又は決定された位置に存在する既存の保護手段の代わりに新たな保護手段が追加された新たな保護状態により保護された秘密情報を、外部装置に要求することができる。

（８）ここで、前記決定部は、前記複数の保護手段それぞれから前記秘密情報に至るまでの保護手段の列からなる保護経路を示す経路情報を記憶しており、前記経路情報を用いて、前記新たな保護手段を追加、又は新たな保護手段へと置き換えるべき既存の保護手段の位置を決定するとしてもよい。

この構成によると、電子端末は、経路情報を用いることにより、新たな保護手段を追加、又は新たな保護手段に置き換えるべき既存の保護手段の位置を容易に決定することができる。

（９）ここで、前記更新手段は、前記秘密情報、若しくは少なくとも１の保護手段が施され保護されている秘密情報を保護するために施すべき新たな保護手段を記憶している記憶部を備え、前記取得部は、前記記憶部に記憶されている前記新たな保護手段を前記決定された位置に追加、又は前記位置に存在する既存の保護手段を前記新たな保護手段に置き換えて、前記新たな保護状態を生成することにより、前記新たな保護状態により保護された秘密情報を取得するとしてもよい。

この構成によると、電子端末は、他の装置を必要とすることなく、外部からの攻撃を検出すると、自身で秘密情報に対する現在の保護状態を、新たな保護状態へと更新することができる。

（１０）ここで、前記更新判断手段は、前記監視手段にて１の保護手段に対する攻撃が検出されると、保護状態を更新すると判断し、前記更新手段は、前記複数の保護手段それぞれから前記秘密情報に至るまでの保護手段の列からなる保護経路を示す経路情報を記憶しており、前記経路情報を用いて、前記攻撃がなされた１の保護手段から前記秘密情報に至るまでの攻撃が検出されていない保護手段の列に対して新たな保護手段を追加する、又は新たな保護手段へと置き換えるべき既存の保護手段の位置を決定する決定部と、決定された位置に新たな保護手段が追加、又は前記位置に存在する既存の保護手段を前記新たな保護手段に置き換えた前記新たな保護状態により保護された秘密情報を取得する取得部と、現在の保護状態にて保護されている秘密情報を、前記取得部にて取得された前記新たな保護状態により保護された秘密情報へと置き換える置換部とを備えるとしてもよい。

この構成によると、電子端末は、保護手段に対して外部からの攻撃を検出すると、攻撃が検出された保護手段から秘密情報に至るまでの攻撃が検出されていない保護手段の列に対して新たな保護手段が追加された、又は既存の保護手段を強化した新たな保護状態で秘密情報を保護するので、第三者による秘密情報の改ざんを防止することができる。また、電子端末は、経路情報を用いることにより、新たな保護手段を追加する、又は又は既存の保護手段を当該既存の保護手段より強化された新たな保護手段に置き換える位置を容易に決定することができる。

（１１）ここで、前記更新判断手段は、外部装置とネットワーク介して通信可能であると判断する場合に、前記保護状態を更新すると判断し、前記更新手段は、前記１の保護手段に対する攻撃を検出した旨を示す検出情報を前記外部装置へ送信し、前記外部装置から前記外部装置から攻撃が検出された前記１の保護手段から前記秘密情報に至るまでの攻撃が検出されていない保護手段の列に対して新たな保護手段が追加された、又は既存の保護手段を新たな保護手段に置き換えた新たな保護状態にて保護されている秘密情報を受け取り、現在の保護状態にて保護されている秘密情報を、受け取った前記新たな保護状態にて保護されている秘密情報へと更新するとしてもよい。

この構成によると、電子端末は、外部装置から新たな保護手段が追加された保護状態にて保護されている秘密情報を受け取ると、現在の保護状態で保持している秘密情報を、新たな保護状態で保護された秘密情報へと更新するので、第三者が置換前の保護状態と、置換後の保護状態との差分を把握することは困難となる。

（１２）ここで、前記更新手段は、攻撃が検出された前記１の保護手段から前記秘密情報に至るまでの攻撃が検出されていない保護手段の列に対して新たな保護手段を追加し、又は、前記攻撃が検出されていない保護手段の列に含まれる既存の保護手段を新たな保護手段に置き換えることで、前記秘密情報の保護状態を新たな保護状態へと更新するとしてもよい。

この構成によると、電子端末は、保護手段の追加または強化するのみで、容易に保護状態を更新することができる。
（１３）また、本発明は、第三者による攻撃を防御する複数の保護手段を順次施すことにより保護された秘密情報を保持する電子端末を管理する管理装置であって、１の保護手段に対する攻撃が検出されたことを示す検出情報を、前記電子端末から受信する受信手段と、前記電子端末が保持している前記複数の保護手段により保護された秘密情報の保護状態を、前記１の保護手段から前記秘密情報に至るまでの攻撃が検出されていない保護手段の列からなる保護経路に対して新たな保護手段が追加された、又は、前記攻撃が検出されていない保護手段の列に含まれる既存の保護手段を強化した新たな保護状態へと更新するか否かを判断する更新判断手段と、前記更新判断手段にて更新すると判断する場合、前記保護経路において新たな保護手段が追加された、又は既存の保護手段を強化した保護状態で保護されている秘密情報を取得する取得手段と、前記取得手段にて取得した新たな保護状態で保護されている秘密情報を、前記電子端末へ送信する送信手段とを備えることを特徴とする。

この構成によると、管理装置は、電子端末から検出情報を受け取ると、保護状態の更新の要否を判断し、更新が必要であると判断する場合に、攻撃が検出された保護手段から秘密情報に至るまでの攻撃が検出されていない保護手段の列に対して新たな保護手段が追加された、又は既存の保護手段を強化した新たな保護状態で秘密情報を電子端末へ送信する。これにより、電子端末側では、保護手段に対して外部からの攻撃を検出し、管理装置が保護状態の更新が必要であると判断する場合に、新たな保護状態で秘密情報を保護するので、第三者による秘密情報の改ざんを防止することができる。

（１４）ここで、前記複数の保護手段それぞれには、攻撃に対する防御力が対応付けられ、前記秘密情報には、価値が対応付けられており、前記更新判断手段は、前記保護経路に存在する１以上の保護手段それぞれの防御力を用いて、前記保護経路に対する防御力を算出する算出部と、前記算出部にて算出された前記保護経路に対する防御力と、前記価値とを比較し、前記保護経路に対する防御力が前記価値以下である場合に、前記秘密情報の保護状態を更新すると判断する更新判断部とを備えるとしてもよい。

この構成によると、管理装置は、攻撃が検出された保護手段から秘密情報に至るまでの保護経路に対する防御力を算出し、算出した防御力と、秘密情報に対する価値とを用いて、更新の要否を決定することができる。したがって、電子端末側では、守るべき秘密情報の価値に応じて必要十分な強度の保護状態に更新することができる。

（１５）ここで、前記取得手段は、前記更新判断部にて更新すると判断する場合、前記保護経路において新たな保護手段を追加する位置、若しくは新たな保護手段へと置き換えるべき既存の保護手段の位置と、前記保護経路に対する防御力が前記価値を上回るために必要な防御力とを決定し、決定された防御力を有し、且つ決定された位置に新たな保護手段が追加された、又は前記位置に存在する既存の保護手段を新たな保護手段へと置き換えた前記新たな保護状態で保護されている秘密情報を取得するとしてもよい。

この構成によると、管理装置は、新たな保護手段の追加、又は新たな保護手段に置き換えるべき既存の保護手段の位置及びその防御力を決定するので、攻撃の検出時において、攻撃が検出された保護手段から秘密情報に至るまでの保護経路に対する防御力が秘密価値に対する価値より上回るような防御力を有する新たな保護手段を追加、又は既存の保護手段と置き換えることができる。

（１６）ここで、前記取得手段は、前記複数の保護手段それぞれから前記秘密情報に至るまでの保護経路を示す経路情報を記憶しており、前記経路情報を用いて、前記新たな保護手段を追加、又は前記新たな保護手段へと置き換えるべき既存の保護手段の位置を決定するとしてもよい。

この構成によると、管理装置は、経路情報を用いることにより、新たな保護手段を追加、又は新たな保護手段に置き換えるべき既存の保護手段の位置を容易に決定することができる。

（１７）ここで、前記更新判断手段は、前記受信手段にて前記検出情報を受け取ると、保護状態を更新すると判断し、前記取得手段は、前記攻撃がなされた１の保護手段から前記秘密情報に至るまでの攻撃が検出されていない保護手段の列に対して新たな保護手段を追加する、又は新たな保護手段へと置き換えるべき既存の保護手段の位置を決定し、決定された位置に新たな保護手段が追加、又は前記位置に存在する既存の保護手段を新たな保護手段へと置き換えた前記新たな保護状態により保護された秘密情報を取得するとしてもよい。

この構成によると、管理装置は、電子端末から検出情報を受け取ると、新たな保護手段を追加、又は新たな保護手段に置き換えるべき既存の保護手段の位置を決定し、決定した位置に新たな保護手段を追加、又は決定した位置に存在する既存の保護手段を新たな保護手段に置き換えた新たな保護情報で保護されている秘密情報を電子端末へ送信する。これにより、電子端末側では、保護手段に対して外部からの攻撃を検出すると、外部装置から受け取った新たな保護状態で秘密情報を保護するので、第三者による秘密情報の改ざんを防止することができる。

（１８）ここで、前記受信手段は、前記検出情報として、攻撃が検出された１の保護手段から前記秘密情報に至るまでの攻撃が検出されていない保護手段の列に対して新たな保護手段を追加する、又は新たな保護手段へと置き換えるべき既存の保護手段の位置を示す位置情報を受け取り、前記取得手段は、前記位置情報にて示される位置に新たな保護手段が追加された、又は前記位置情報にて示される位置に存在する既存の保護手段を新たな保護手段へと置き換えた前記新たな保護状態により保護された秘密情報を取得するとしてもよい。

この構成によると、管理装置は、電子端末から位置情報を受け取ると、位置情報にて示される位置に新たな保護手段が追加された、又は位置情報にて示される位置に存在する既存の保護手段を新たな保護手段に置き換えた新たな保護状態で保護された秘密情報を電子端末へ送信する。これにより、電子端末側では、保護手段に対して外部からの攻撃を検出すると、外部装置から受け取った新たな保護状態で秘密情報を保護するので、第三者による秘密情報の改ざんを防止することができる。

（１９）ここで、前記複数の保護手段それぞれには、攻撃に対する防御力が対応付けられ、前記秘密情報には、価値が対応付けられており、前記電子端末は、前記保護経路に存在する１以上の保護手段それぞれの防御力を用いて、前記保護経路に対する防御力を算出し、算出された防御力と、前記価値とを用いて、前記保護経路に対する防御力が前記価値を上回るのに必要な防御力を決定し、前記受信手段は、さらに、前記決定された防御力を受信し、前記取得手段は、前記位置情報にて示される位置に前記決定された防御力を有する新たな保護手段が追加、又は前記位置情報にて示される位置に存在する既存の保護手段を前記新たな保護状態へと置き換えることで保護された秘密情報を取得するとしてもよい。

この構成によると、管理装置は、電子端末から防御力を受け取ると、位置情報にて示される位置に受け取った防御力を有する新たな保護手段が追加された、又は位置情報にて示される位置に存在する既存の保護手段を新たな保護手段に置き換えた新たな保護状態で保護された秘密情報を電子端末へ送信する。これにより、電子端末側では、保護手段に対して外部からの攻撃を検出すると、外部装置から受け取った新たな保護状態で秘密情報を保護するので、第三者による秘密情報の改ざんを防止することができる。

（２０）また、本発明は、第三者による攻撃を防御する複数の保護手段を順次施すことにより保護された秘密情報を保持する電子端末を管理する管理装置であって、１の保護手段に対する攻撃が検出されたことを示す検出情報を、前記電子端末から受信する受信手段と、前記電子端末が保持している前記複数の保護手段により保護された秘密情報を、前記１の保護手段から前記秘密情報に至るまでの攻撃が検出されていない保護手段の列からなる保護経路に対して新たな保護手段が追加された、又は既存の保護手段を強化した新たな保護状態へと更新するか否かを判断する更新判断手段と、前記更新判断手段にて更新すると判断する場合、前記秘密情報に対して保護状態を強化するための新たな保護手段を取得する取得手段と、前記取得手段にて取得した新たな保護手段を、前記電子端末へ送信する送信手段とを備えることを特徴とする。

この構成によると、管理装置は、秘密情報の保護状態を強化するための保護手段を電子端末に送信するので、電子端末側では、保護手段の追加または強化のみで、容易に保護状態を更新することができる。これにより、電子端末側では、秘密情報に対する保護状態が強化されるので、第三者による秘密情報の改ざんを防止することができる。

本発明にかかる電子端末及びサーバを製造、販売する産業において、経営的、つまり反復的かつ継続的に利用されうる。

１ 不正解析防止システム
１０１ サーバ
１０２、１０２ａ、１０２ｂ 電子端末
１０３ ネットワーク
２０１ 検出情報生成部
２０２ 署名付与部
２０３ 時刻情報取得部
２０４ 保存先選択部
２０５ 履歴管理部
２０６ モデル記憶部
２０７ 防御力算定部
２０８ 更新要否判別部
２０９ 更新箇所決定部
２１０ 更新要求生成部
２１１、２１１ａ、・・・、２１１ｎ 監視部
２１２ 保護方法受信部
２１３ 保護方法更新部
２１４ 送信部
２１５ 識別子記憶部
２１６ セキュア情報記憶部
３０２ 受信部
３０４ 履歴管理部
３０６ 保護方法選択部
３０８ 保護方法記憶部
３１０ 保護方法送付部
３１２ 検出情報受取部

Claims (13)

1. 保護対象である秘密情報を格納した第１記憶手段と、
   前記第１記憶手段に格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段と、
   前記複数の保護手段の各々への外部からの攻撃を監視する複数の監視手段と、
   前記秘密情報に付与され前記秘密情報の価値を表した価値情報及び前記複数の保護手段の各々に付与され外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報を記憶する第２記憶手段と、
   前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する制御手段と、
   を具備することを特徴とする電子端末。
2. 前記秘密情報は所定のアルゴリズムにより暗号化され、
   前記更新可能な保護手段は、前記暗号化された秘密情報を復号する復号アルゴリズムを実行するプログラムである
   ことを特徴とする請求項１記載の電子端末。
3. 所定のアルゴリズムにより暗号化された前記秘密情報の復号に用いる復号鍵を生成する鍵生成プログラムを格納する第３記憶手段と、
   前記第１記憶手段に格納された秘密情報への第２攻撃ルートであって前記第３記憶手段に格納された前記鍵生成プログラムを介して前記秘密情報へ到達する第２攻撃ルート上に設けられ且つ前記第２攻撃ルートを介した前記鍵生成プログラムへの外部からのアクセスを遮断する複数の第２保護手段と、
   前記複数の第２保護手段への外部からの攻撃を監視する複数の第２監視手段と、を設け、
   外部からの攻撃に対する前記鍵生成プログラム及び前記第２保護手段の各々の防御力価値を表した防御力情報が前記第２保護手段の各々に付与され、
   前記制御手段は、前記第２保護手段のいずれかへの攻撃が検出された場合、前記第２攻撃ルート上において前記攻撃が検出された第２保護手段から前記秘密情報までの前記攻撃がされていない第２部分ルート上に残存する第２保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記第２部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように、前記鍵生成プログラムを更新する
   ことを特徴とする請求項１記載の電子端末。
4. 所定のアルゴリズムにより暗号化された前記秘密情報の復号に用いる復号鍵を格納する第３記憶手段と、
   前記復号鍵にアクセスするための所定のプログラムを格納する第４記憶手段と、
   前記第１記憶手段に格納された秘密情報への第２攻撃ルートであって前記第４記憶手段に格納された前記所定のプログラムを介して前記秘密情報に到達する第２攻撃ルート上に設けられ且つ前記第２攻撃ルートを介した前記所定のプログラムへの外部からのアクセスを遮断する複数の第２保護手段と、
   前記複数の第２保護手段への外部からの攻撃を監視する複数の第２監視手段と、を設け、
   外部からの攻撃に対する前記所定のプログラム及び前記第２保護手段の各々の防御力価値を表した防御力情報が前記第２保護手段の各々に付与され、
   前記制御手段は、前記第２保護手段のいずれかへの攻撃が検出された場合、前記第２攻撃ルート上において前記攻撃が検出された第２保護手段から前記秘密情報までの前記攻撃がされていない第２部分ルート上に残存する第２保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記第２部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように、前記所定のプログラムを更新する
   ことを特徴とする請求項１記載の電子端末。
5. 前記復号鍵にアクセスするための所定のプログラムは、前記復号鍵が暗号化されている場合に前記暗号化された前記復号鍵を復号する復号プログラムである
   ことを特徴とする請求項４記載の電子端末。
6. 前記復号プログラムは、難読化されている
   ことを特徴とする請求項５記載の電子端末。
7. 更新用の保護手段を格納する第３記憶手段を設け、
   前記制御手段は、前記第３記憶手段に記憶された更新用の保護手段を用いて前記更新可能な保護手段を更新する
   ことを特徴とする請求項１記載の電子端末。
8. 本端末を管理する外部の管理装置と接続された通信手段を設け、
   前記制御手段は、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、その旨を示す検出情報を前記管理装置に前記管理手段を介して送信し、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るような新たな保護手段を前記検出情報に応じて前記管理装置から受信し、前記更新可能な保護手段を、前記新たな保護手段に更新する
   ことを特徴とする請求項１記載の電子端末。
9. 本端末を管理する外部の管理装置と接続された通信手段を設け、
   前記制御手段は、さらに、前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、その旨を示す検出情報を前記管理装置に前記管理手段を介して送信し、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るような新たな保護手段を前記検出情報に応じて前記管理装置から受信し、前記部分ルート上に前記新たな保護手段を追加する
   ことを特徴とする請求項１記載の電子端末。
10. 本端末を管理する外部の管理装置と接続された通信手段と、前記管理装置から受信した各保護手段の防御力価値を更新した第２防御力情報を格納する第３記憶手段と、を設け、
    前記制御手段は、さらに、
    前記第２記憶手段に格納された防御力情報それぞれと、前記第３記憶手段に格納された対応する第２防御力情報とをそれぞれ比較し、前記防御力情報にて表される防御力価値が第２防御力情報にて表される防御力価値より低下している場合において前記第２防御力情報を基準に前記複数の保護手段に対応する防御力価値の総和を算出すると、この算出された総和が前記価値情報にて表される価値を下回る場合、
    前記防御力情報を下回った第２防御力情報に対応する保護手段を、前記攻撃ルート上の防御力価値の総和が前記価値情報にて表される価値を上回るように更新する
    ことを特徴とする請求項１記載の電子端末。
11. 保護対象である秘密情報を格納した第１記憶手段と、
    前記第１記憶手段に格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段と、
    前記複数の保護手段の各々への外部からの攻撃を監視する複数の監視手段と、
    前記秘密情報に付与され前記秘密情報の価値を表した価値情報及び前記複数の保護手段の各々に付与され外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報を記憶する第２記憶手段と、を具備した電子端末の制御方法であって、
    前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回ったか否かを判断し、
    下回ったと判断された場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する
    ことを特徴とする電子端末の制御方法。
12. 保護対象である秘密情報を格納した第１記憶手段と、
    前記第１記憶手段に格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段と、
    前記複数の保護手段の各々への外部からの攻撃を監視する複数の監視手段と、
    前記秘密情報に付与され前記秘密情報の価値を表した価値情報及び前記複数の保護手段の各々に付与され外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報を記憶する第２記憶手段と、を具備した電子端末を制御するコンピュータプログラムであって、
    前記電子端末のコンピュータに対して、
    前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回ったか否かを判断する処理と、
    下回ったと判断された場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルート上における防御力価値の総和が前記価値情報にて表される価値を上回るように更新する処理と、
    を実行させることを特徴とするコンピュータプログラム。
13. 電子端末に用いられる集積回路であって、
    保護対象である秘密情報を格納した第１記憶手段と、
    前記第１記憶手段に格納された秘密情報への外部からの攻撃ルート上に設けられ且つ前記攻撃ルートを介した前記秘密情報への外部からのアクセスを遮断する複数の保護手段と、
    前記複数の保護手段の各々への外部からの攻撃を監視する複数の監視手段と、
    前記秘密情報に付与され前記秘密情報の価値を表した価値情報及び前記複数の保護手段の各々に付与され外部からの攻撃に対する各保護手段の防御力価値を表した防御力情報を記憶する第２記憶手段と、
    前記複数の保護手段のいずれかへの攻撃が検出された場合であって、前記攻撃ルート上において前記攻撃が検出された保護手段から前記秘密情報までの前記攻撃がされていない部分ルート上に残存する保護手段に対応する防御力価値の総和が前記価値情報にて表される価値を下回った場合、前記部分ルート上に残存する保護手段の中で更新可能な保護手段を、前記部分ルートにおける防御力価値の総和が前記価値情報にて表される価値を上回るように更新する制御手段と、
    を具備することを特徴とする集積回路。

Images