JP5014726B2 - 無許可のブートローダの実行を防止することによって安全性を高めた実行環境 - Google Patents

Description

本発明は、一般に安全性を高めた装置の動作に関し、より詳細には、システムファームウェアが無許可のブートローダを実行することや対応するあらゆるファームウェア又はアプリケーションを実行することを防止することに関する。

例えば、基本入出力システム（ＢＩＯＳ）又はコアシステムソフトウェアコードなどのシステムファームウェアは、通常、例えばデスクトップコンピュータ、ラップトップコンピュータ、個人用携帯型情報端末（ＰＤＡ）、セットトップボックス、サーバ、販売時点情報管理（ＰＯＳ）装置、現金自動預け払い機（ＡＴＭ）、例えば携帯電話などの無線通信装置、その他の適切な装置やこれらの組み合わせなどの対応する電子デバイスの不揮発性メモリ内に保持される。システムファームウェアは、ハードウェアサブシステムと電子デバイスの構成要素を認識して初期化し、かつ、初期化プロセスが完了すると適用可能なオペレーティングシステムに電子デバイスの制御を転送するように動作する。ファームウェアは、電源投入時システムテスト（ＰＯＳＴ）プロセスと呼ばれる場合がある初期化プロセス中にオペレーティングシステムのブートローダをロードすることによって装置の制御をオペレーティングシステムに転送する。ブートローダは、不揮発性メモリ内の予め定められた位置からオペレーティングシステムを検索し、これを例えば電子デバイスがブートされるときにシステムメモリなどの装置のメモリにロードして、更にオペレーティングシステムを始動させるよう電子デバイスに行わせる小さなプログラムである。

通常、ファームウェアは、オペレーティングシステムのブートローダが許可されることにより、ブートローダに対していかなる許可、確認、又は検証の手順を行うことなくブートローダを実行するように想定している。上記の想定に関連する欠点は、ブートローダは悪意のあるコード又は不要なコードを組み込まれる可能性があり、ベースとなる電子デバイスのサブシステムの１つ又はそれ以上を害することにより電子デバイス上に実装されるあらゆるセキュリティ手順がバイパスされる場合があることである。前述の想定に関連する別の欠点は、ブートローダ又は対応するオペレーティングシステムが既に修正されたかどうかをベースとなる装置が判断できないことである。

ブートローダを許可するのに使用される従来の方法は、許可された最新のブートローダを提供することだけを認めるオペレーティングシステムのインストーラとシステムファームウェアベンダに依存している。このようなシステムに依存することに関する欠点は、破損したブートローダ又はオペレーティングシステムを第三者が電子デバイスに導入するといった潜在的な問題が解決されない点である。

本発明は、ベースとなる電子デバイスがブートローダコードを実行する前に、ブートローダが実行を許可される許可方法を提供する。本発明の許可方法を実行することにより、ブートローダに対する修正も検出することができる。許可は、例えば、メモリからブートローダを取り出してブートローダが実行を許可されるかどうかを判断することによって行われる。これは、例えばブートローダの少なくとも一部に対してハッシュ関数を実行し、生成されたハッシュ値を電子デバイスの不揮発性メモリ内に保持されたハッシュ値のリスト（又は事前に許可されたイメージ）と比較することによって行われる。或いは、ブートローダイメージが許可された権限者によって暗号的に署名されているか又は既に署名されていたかどうかを判断するために、公開／秘密キー交換法が用いられる。次いで、コードが許可されている場合にブートローダコードが実行される。

ブートローダコードが実行されるのを最初に許可されていないと判断された場合、次に本方法は、ブートローダを許可しようと試みる。これは、例えばブートローダコードのハッシュイメージを許可されたブートローダのリストに追加することによって行うことができる。このような追加は、例えば、ユーザがブートローダを許可されたリストに追加することを承認すること、又は信用できるサーバ又は他の適切なソース上に保持されたデータベースに由来するブートローダに基づいた承認リストにブートローダを追加することの結果とすることができる。ブートローダが実行を許可されない場合、プロセスは停止し、許可されない状態であることを通知するエラーメッセージがユーザに送られる。

本発明によって提供される利点は、本発明は、システム又はデバイス性能に影響を与えることなく無許可のブートローダ又は対応するオペレーティングシステムコードをシステムファームウェアが実行するのを阻止することである。

本発明によって提供される別の利点は、本発明がオペレーティングシステムのブートローダに対して行われた変更を検出することである。

本発明及びこれにより得られる利点並びに特徴は、同じ参照符号が同じ要素を表す以下の図面を参照しながら本発明の以下の詳細な説明を評価することによってより深く認識し理解されるであろう。

ここで本発明の例示的な実施形態を図１〜図３を参照して説明する。図１は、本発明の安全性を高めた実行環境を実装するように構成された、例えばデスクトップコンピュータ、ラップトップコンピュータ、パームトップコンピュータ、ルータ又はセットトップボックス、サーバ、個人用携帯情報端末（ＰＤＡ）、携帯電話又は他の適切な装置などの通信装置、これらの組み合わせである例示的な電子デバイス１００の概略ブロック図である。限定ではなく例証の目的で、電子デバイス１００はラップトップコンピュータとして実装される。

ラップトップコンピュータ１００は、装置の動作全体を制御するように構成されたプロセッサ１０２を含む。プロセッサ１０２は、計算を実行するための算術論理演算ユニット（ＡＬＵ）、データと命令を一時的に記憶するための１つ又はそれ以上のレジスタ、ラップトップコンピュータ１００の動作を制御するためのコントローラを含む。１つの実施形態では、プロセッサ１０２は、Ｉｎｔｅｌ Ｃｏｒｐｏｒａｔｉｏｎ製のｘ８６、Ｐｅｎｔｉｕｍ（商標）、Ｐｅｎｔｉｕｍ（登録商標） Ｐｒｏ（商標）、その他の適切なマイクロプロセッサ、或いはＭｏｔｏｒｏｌａ製の６８０Ｘ０プロセッサ、又はＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅ製のＰｏｗｅｒ ＰＣ（商標）又は他の適切なプロセッサのうちのいずれか１つを含む。加えて、プロセッサ１０２の実装において、Ｓｕｎ Ｍｉｃｒｏｓｙｓｔｅｍｓ、ＮＥＣ、Ｃｙｒｉｘ、及び他のものを含む種々の他のプロセッサのいずれかを使用することができる。プロセッサ１０２は、マイクロプロセッサに限定されるものではなく、マイクロコントローラ、ディジタル信号プロセッサ（ＤＳＰ）、専用ハードウェア（例えばＡＳＩＣ）、状態機械、又はネットワークにわたって分散された１つ又はそれ以上のプロセッサ上で実行されるソフトウェアの形態をとることができる。

プロセッサ１０２は、中央処理ユニット（ＣＰＵ）バス１０３を介してバスコントローラ１０４に結合されている。バスコントローラ１０４は、内部に組み込まれたメモリコントローラ１０５を含む。メモリコントローラ１０５によって、プロセッサ１０２又は他の装置が、例えばランダムアクセスメモリ（ＲＡＭ）又は他の高速アクセスメモリデバイスなどのシステムメモリ１０６へアクセスできる。システムメモリ１０６は、内部に保持された例えば文書処理アプリケーション、オーディオ／ビデオ／ＭＰ３アプリケーション、ウイルス保護アプリケーション、又はその他の適切なアプリケーションプログラムや、これらの組み合わせである１つ又はそれ以上のアプリケーションプログラム（ＡＰＰＬ）１２３を含む。

バスコントローラ１０４は、例えば、周辺コンポーネント相互接続（ＰＣＩ）バス、業界標準アーキテクチャ（ＩＳＡ）バス、ユニバーサルシリアルバス（ＵＳＢ)、無線接続、又は他の適切な通信媒体などのシステムバス１０８に結合される。システムバス１０８に結合されるのは、例えば、プロセッサ１０２による実行時に本発明による安全性を高めた実行環境手法を実施し提供するコードセグメント及び対応するデータセグメントを保持する、読み出し専用メモリ（ＲＯＭ）、不揮発性ランダムアクセスメモリ（ＮＲＡＭ）、ハードディスク、ＲＯＭ ＢＩＯＳなどの不揮発性メモリ１１０である。更に、不揮発性メモリ１１０内に保持されるのは、ラップトップコンピュータ１００の基本入出力システム（ＢＩＯＳ）コード１１１、ラップトップコンピュータ１００上で実行するオペレーティングシステム１１２、対応するブートローダ１１３である。ブートローダ１１３は、ラップトップコンピュータ１００がブートされたときに、不揮発性メモリ１１０内の所定の位置からオペレーティングシステムを取り出し、オペレーティングシステム１１２をシステムメモリ１０６などのデバイスメモリにロードし、更にオペレーティングシステム１１２を始動するようにプロセッサに行わせる小さなプログラム又はコードの一部である。同様に不揮発性メモリ１１０内に保持されるのは、ラップトップコンピュータ１００上で実行するように事前に許可された許可ブートローダ（ＡＢＬ）１２４のリストである。許可されたブートローダ１２４のリストは、ラップトップコンピュータ１００の製造者によって当初からインストールしておくか、ユーザがインストールするか、或いは、例えば本発明の安全性を高めた実行環境手法によってアップデート又は改訂してもよい。

同様にシステムバス１０８に結合されるのは、対応するディスプレイ装置１１６上に表示するためにデータ１１５を転送するよう動作可能なディスプレイコントローラ１１４であり、さらには入力／出力（Ｉ／Ｏ）コントローラ１１８や、無線ネットワークコントローラなどのネットワークコントローラ１２２である。ディスプレイコントローラ１１４は、例えば、適切に表示するためにディスプレイディジタルデータ１１５をフォーマットし、例えばフラットパネルディスプレイ、ＣＲＴディスプレイ、プリンタ、プロッタ、又は他の適切な表示装置、これらの組み合わせなどの対応するディスプレイ装置１１６上で視聴することが可能なグラフィックプロセッサなどのいずれかの適切な装置によって実装することができる。

Ｉ／Ｏコントローラ１１８は、プロセッサ１０２と、限定ではないがマウス１１９、キーボード１２０、ペン型入力装置１２１を含む種々の入力／出力装置との間で例えばデータ及び／又は命令を含む信号などの情報を転送することが可能ないずれかの適切な装置によって実装することができる。ペン型入力装置１２１は、タッチスクリーン、ソフトキー、光学入力装置、もしくは他の適切な入力装置、又はこれらの組み合わせとして実装することができる。

ネットワークコントローラ１２２は、例えば無線ネットワークアクセスコントローラか他の適切な装置、或いはベースとなるラップトップコンピュータ１００をインターネットなどのより大きなネットワークに接続することが可能な適用可能なソフトウェアによって実装することができる。

ソフトウェアで実現される場合には、本発明の要素は本質的には、必要なタスクを実行するためのコードセグメントである。プログラム又はコードセグメントは、例えばプロセッサが読み取り可能な媒体に保存し、或いは伝送媒体又は例えばネットワークコントローラ１２２がアクセスできる通信リンクを介して搬送波として具現化されたコンピュータデータ信号によって伝送することができる。プロセッサが読み取り可能な媒体は、例えば電子回路、半導体メモリデバイス、ＲＯＭ、ＲＡＭ、フラッシュメモリ、書き換え可能ＲＯＭ（ＥＲＯＭ）、フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭ、光ディスク、ハードディスク、光ファイバ媒体、無線周波数（ＲＦ）リンク、又はいずれかの適切な媒体、或いはこれらの組み合わせを含むことができる。コンピュータデータ信号は、電子ネットワークチャンネル、光ファイバ、空気、電磁気、ＲＦリンク、又はいずれかの他の適切な媒体、或いはこれらの組み合わせなどの伝送媒体を介して伝播することができるいずれかの信号を含むことができる。コードセグメントは、例えばインターネット、ＬＡＮ、ＷＡＮ、又はいずれかの適切なネットワーク、或いはこれらの組み合わせなどのコンピュータネットワークを介してダウンロードすることができる。

アプリケーションでは、ブートローダコード１１３は、プロセッサ１０２による実行のためにシステムメモリ１０６に伝送される。不揮発性メモリ１１０内に保持されることによって、ブートローダコード１１３及び許可されたブートローダ１２４のリストは、ラップトップコンピュータ１００の電源が切られる結果として失われず、又は上書きされることはない。ブートローダを許可し、ブートローダとオペレーティングシステムを確実に実行させる方法を図２−３を参照しながら説明する。

図２は、本発明による安全性を高めた実行環境を提供するためにラップトップコンピュータ１００によって実行される方法２００を示すフローチャートである。別の言い方をすれば、図２に示される方法２００は、ラップトップコンピュータによって実行されたときに、システムファームウェア（すなわち、ＢＩＯＳ又は他のコアシステムソフトウェア）が無許可のブートローダ、従って対応する無許可のオペレーティングシステムを実行するのを阻止する。このような無許可のコードは、例えばラップトップコンピュータに結合されたオプションの読み出し専用メモリ又は他の内部又は外部装置内に収容することができる。以下の段階は、ラップトップコンピュータ１００の起動又は初期化の期間（例えばＰＯＳＴ）中に、又は適用可能なオペレーションシステムが実行している期間外に実行される。従って、本発明は、事前オペレーティングシステム環境と呼ばれるもので実行する。本方法は、ステップ２０２で始まり、ラップトップコンピュータ１００の通常の動作が開始又は再開するステップ２０６まで続く。

ステップ２０２では、ラップトップコンピュータ１００は、メモリからブートローダを取り出す。これは、例えば、プロセッサが、ＰＯＳＴの間に不揮発性メモリの所定の部分又はセクションからブートローダコードを取り出すことによって、或いはブートローダを含むことができる構成要素に対するシステムバスに対応する内部拡張スロットもしくは外部接続ポート又は他の接続ポイントに結合されたあらゆる装置を検出するためにシステムバスをモニタすることによって達成することができる。

ステップ２０４では、取り出されたブートローダが、ラップトップコンピュータのプロセッサによって実行されるように許可されたかどうかに関して判断が行われる。これは、例えば、ブートローダコードの可視部分でＳＨＡ−１関数などのハッシュ関数を実行し、生成されたハッシュ値を不揮発性メモリの許可されたブートローダリスト内に保持されたハッシュ値のリスト（又は事前に許可されたブートローダイメージ）と比較するプロセッサ又は他の適切なコントローラによって行うことができる。許可されたブートローダのリストは、許可されたブートローダのイメージを表すハッシュ値のリストを含む。リストは、ラップトップコンピュータの製造者によって、既知のブートローダをリストに追加することでユーザによって、スマートトークン内に含まれる情報とデータによって、及び／又は信用できるサーバ内に含まれる中央データベースによって最初に読み込まれる。ブートローダが許可される場合、換言すればブートローダのイメージ（例えばハッシュ）が、許可されたリスト内に含まれる許可されたイメージのうちの１つである場合には、プロセッサはステップ２０６に進み、そうでない場合にはプロセスはステップ２０５に移動する。

ステップ２０５では、ブートローダが許可プロセスに進むことによって認証される。図３を簡単に参照し、認証プロセス３００を説明する。ステップ２０５１では、プロセッサは、取り出されたブートローダ上で例えばＳＨＡ−Ｉハッシュなどのハッシュ関数を実行する。ステップ２０５２では、ブートローダイメージを許可されたリストに追加するかどうかに関し判断を行う。これは、例えば、ラップトップコンピュータへのパスワードの入力又は他の権限の指示を通じてユーザがブートローダイメージを許可されたリストに追加することを承認することによって、又は信頼できるサーバに接続された中央データベースによって提供されるイメージによって、或いは許可されたスマートトークンから提供される許可されたオプションの読み取り専用メモリによりブートローダコードを提供することによって行うことができる。或いは、公開／秘密キー交換法を用いてブートローダイメージが許可された権限によって暗号的に署名されたか又は既に署名されていたかどうかを判断することができる。

許可されたブートローダリストにブートローダが追加される場合、プロセスはステップ２０５４に進み、ここでブートローダコードのハッシュイメージが、許可されたブートローダリストを保持している不揮発性メモリの該当部分に書き込まれる。次いでプロセスはステップ２０４に戻る。ブートローダコードイメージが承認された又は許可されたリストに追加されない場合、プロセスはステップ２０５３に移動する。

ステップ２０５３では、検出されたブートローダコードが許可されず、許可されたブートローダリストに追加又は実行されないことを示すエラーメッセージがユーザに表示される。結果として、ブートローダコードは、ラップトップコンピュータ上で又はこれと連動して実行することが認識又は許容されないことになる。ユーザに提供されるエラーメッセージは、視覚的警報として説明されたが、例えばアラームの吹鳴又は他の音響信号などの音響ワーニング、或いは視覚的ワーニングと音響ワーニングの組み合わせとすることができる。エラーメッセージがユーザに表示又は他の方法で提供されると、許可プロセスは終了し、ラップトップコンピュータは、事前許可の実行を再開し、中間の動作状態に入るか又はシャットダウンする。図２に戻ると、ブートローダコードが最初の許可されたリスト内に存在するか又はステップ２０５の許可プロセスで許可されたブートローダリストに追加される場合、プロセスはステップ２０６に進み、ここでブートローダコードが実行される。

本発明の方法を実装することで、システムファームウェア（例えばＢＩＯＳ又はコアシステムソフトウェア）が無許可のブートローダ及び対応するオペレーティングシステムコードを実行するのを阻止することにより、安全性を高めたオペレーティングシステムの実行環境が確立され、電子デバイス内に保持される。このようにして、無許可のブートローダ又は電子デバイス内のオペレーティングシステムのアプリケーション又は挿入に関連するセキュリティ違反は、実質的に低減又は排除される。

本発明の上述の詳細な説明は、例証及び説明の目的で提供されている。本発明の例示的な実施形態を添付図面を参照しながら本明細書で詳細に説明してきたが、本発明は開示された厳密な実施形態に限定されるものではなく、上記の教示に照らして本発明に対する種々の変更及び修正が可能であることは理解されるべきである。従って、本発明の範囲は本明細書に添付された請求項によって定義されるべきものである。

本発明により安全性を高めた実行環境を提供するように構成された例示的な電子デバイスの概略ブロック図である。 本発明により安全性を高めた実行環境を提供するように例示的な電子デバイスによって実行される動作を示すフローチャートである。 本発明の例示的な電子デバイスによって実行されるブートローダの許可動作を示すフローチャートである。

符号の説明

１０２ プロセッサ、１０４ バスコントローラ、１０５ ＭＥＭコントローラ、１０６ システムメモリ、１１０ 不揮発性メモリ、１１１ ＢＩＯＳ、１１２ ＯＳ、１１３ ブートローダ、１１４ ディスプレイコントローラ、１１６ ディスプレイ、１１８ 入力／出力コントローラ、１２１ 入力、１２２ ネットワークコントローラ、１２３ アプリケーション

Claims (7)

1. 安全性の高い実行環境を提供する方法であって、
   メモリからブートローダを取り出すステップと、
   前記ブートローダが実行を許可されたかどうかを判断するステップと、
   前記ブートローダが許可されていない場合にはブートローダコードの実行を阻止するステップと、
   を含み、
   前記許可ステップは更に、
   前記ブートローダの可視の要素に対してハッシュ関数を実行してハッシュ値を生成するステップと、
   生成された前記ハッシュ値を許可されたハッシュ値のリストと比較するステップと、
   を更に含み、
   前記許可された各ハッシュ値は、前記許可されたブートローダに対応し、
   前記生成されたハッシュ値が前記許可されたハッシュ値のリストに追加されるべきであることを示すデータを受け取るステップを更に含み、
   前記生成されたハッシュ値が前記許可されたハッシュ値のリストに追加されるべきであることを示す前記データは、外部エンティティからのものであり、
   前記外部エンティティは、信頼できるサーバに接続されたデータベース及びスマートトークンにより提供されるオプションの読み取り専用メモリイメージのうちの１つとすることができることを特徴とする、方法。
2. 前記ブートローダが許可されないときに該ブートローダを実行できないことの表示を提供するステップを更に含む請求項１に記載の方法。
3. プロセッサと、
   前記プロセッサに結合されたメモリと、
   を含み、
   前記メモリは、前記プロセッサによって実行されたときに、
   前記メモリからブートローダを取り出し、
   前記ブートローダが実行を許可されているかどうかを判断して、前記ブートローダが許可されていないときには前記ブートローダのコードの実行を阻止し、
   前記ブートローダの可視の要素に対してハッシュ関数を実行して、前記生成されたハッシュ値を許可された値のリストと比較する、ように前記プロセッサに行わせる命令を保持し、
   前記各許可されたハッシュ値は、許可されたブートローダに対応し、
   前記メモリは、前記プロセッサによって実行されたときに更に、前記生成されたハッシュ値が前記許可されたハッシュ値のリストに追加されるべきであることを示すデータを前記プロセッサに受け取らせる命令を保持し、
   前記生成されたハッシュ値が前記許可されたリストに追加されるべきであると示す前記受け取られたデータは、外部エンティティから受け取られ、
   前記外部エンティティは、信頼できるサーバに接続されたデータベース及びスマートトークンにより提供されるオプションの読み取り専用メモリイメージのうちの１つとすることができることを特徴とする、電子デバイス。
4. 前記メモリは更に、前記プロセッサによって実行されたときに、前記生成されたハッシュ値が前記許可されたハッシュ値のリストのいずれの要素にも対応しない場合には、前記ブートローダが前記装置上で実行を許可されていないことの表示を前記プロセッサに行わせる命令を更に保持することを特徴とする請求項３に記載の電子デバイス。
5. プロセッサによって実行されたときに、メモリからブートローダを取り出し、前記ブートローダが実行を許可されたかどうかを判断し、前記ブートローダが許可されていないときには前記ブートローダのコードの実行を阻止する、ように前記プロセッサに行わせるコードセグメントが記録されたコンピュータ読み取り可能な記録媒体であって、
   前記許可機能を提供する前記コードセグメントが、プロセッサによって実行されたときに、前記検出されたブートローダコードの可視の要素に対してハッシュ関数を実行してハッシュ値を生成し、前記生成されたハッシュ値を許可されたハッシュ値のリストと比較するように前記プロセッサに行わせるコードセグメントを更に含み、前記各許可されたハッシュ値は、許可されたローダに対応し、
   前記生成されたハッシュ値が前記許可されたハッシュ値のリストに追加されるべきであることを示すデータを受け取るように前記プロセッサに行わせるコードセグメントを更に含み、
   前記生成されたハッシュ値が前記許可されたハッシュ値のリストに追加されるべきであると示す前記データは、外部エンティティからのものであり、
   前記外部エンティティは、信頼できるサーバに接続されたデータベース及びスマートトークンにより提供されるオプションの読み取り専用メモリイメージのうちの１つとすることができることを特徴とするコンピュータ読み取り可能な記録媒体。
6. プロセッサによって実行されたときに、前記プロセッサに無許可のブートローダコードを実行させないコードセグメントを更に含むことを特徴とする請求項５に記載のコンピュータ読み取り可能な記録媒体。
7. プロセッサによって実行されたときの前記コードセグメントは、前記生成されたハッシュ値が前記許可されたハッシュ値のリストの入力に対応しないときには前記ブートローダがベースとなるデバイス上での実行を許可されていないことの表示を前記プロセッサに行わせることを特徴とする請求項５に記載のコンピュータ読み取り可能な記録媒体。

Images