JP6388765B2 - 無効化モジュールを備えた電子アセンブリ - Google Patents

Description

本発明は、ターミナルまたはスマートカード等の、少なくとも１つがトラスティッド実行環境（trusted execution environment）であり他の少なくとも１つがリッチＯＳ実行環境（Rich-OS execution environment）である複数の実行環境を備えた電子デバイスをセキュア化する分野に属する。

トラスティッド実行環境は、自身のタスク専用のプロセッサであってもよく他の機能を有していてもよいセキュアプロセッサと、書換え用のセキュアな不揮発性メモリ（secure rewrite non-volatile memory）とによって実装され、トラスティッド実行環境は、トラスティッドオペレーティングシステム（trusted operating system）に基づく。トラスティッドオペレーティングシステムに依存するアプリケーションは、ターミナルのユーザーが制御できない信頼ソースまたは認証ソースからオリジネートする。

リッチＯＳ実行環境は、インターネット等の種々の発行元のアプリケーションを実行させるリッチオペレーティングシステム（rich operating system）に基づく。

例えば、これらの２つのオペレーティングシステムは、ターミナルにおける単一のチップセットによって実行できる。

さらに、トラスティッドオペレーティングシステムは、電子デバイスで実行されるコード、特にトラスティッドオペレーティングシステムのコード、のインテグリティをベリファイすることによって電子デバイスが信頼された状態でスタートアップしていることをベリファイするセキュアなスタートアップメカニズムを有している。トラスティッドオペレーティングシステムは、他のオペレーティングシステムがスタートアップする前に、事前にスタートアップする。

リッチＯＳオペレーティングシステムが破損している場合には、ターミナルデータのセキュリティはもはや保証されない。この問題を解決するために、リッチＯＳオペレーティングシステムを無効化することがよく知られている。しかし、これは、人間のユーザーがターミナルをもはや使用できなくなりこのことは特に緊急時において明らかに好ましいことではない（緊急電話番号に電話をかけることが不可能となる）ため、人間のユーザーにとって便利な解決策ではない。

また、リムーバブルのセキュアエレメントであるＳＩＭ（ＵＩＣＣ）カードまたは埋め込み型のセキュアエレメントｅＳＥ等のセキュアエレメントを備えた電子デバイスも知られている。

米国特許出願公開第２００２／０１８６８４５号明細書は、無線によりブロッキングメッセージを送信することによってターミナルのセキュアエレメントへのアクセスを無効化し、その一方でフェイルソフトモードで機能するターミナルの一部の機能を使用することを許可するシステムを提案している。

しかし、この文献によって開示された解決策では、セキュリティアノマリ（security anomaly）を信号で伝えるタスクはターミナルのユーザーに任されており、ユーザーによってリクエストされた場合のみにターミナルのセキュア化がなされる。従って、ユーザーにトランスペアレントであり見えないセキュリティアノマリにターミナルが遭遇すると、ターミナルのセキュア化はなされない。さらに、上述の文献で提案されている解決策は、無線信号を受信可能とすることを必要とする。従って、ネットワーク接続が不十分であるターミナル（例えば、ネットワークホールまたは欠陥あるネットワークがあるターミナル）またはネットワーク接続がないターミナル（例えば、エアークラフトモード（aircraft mode）のターミナル）をユーザーが使用する場合には、ターミナルのセキュア化はなされ得ない。

従って、電子デバイスをセキュア化する既存の方法を改善する必要がある。

本発明は、主として、上述の問題点を解決することを目的とする。

このため、本発明は、電子デバイス用の電子アセンブリであって、トラスティッドオペレーティングシステムおよびリッチＯＳオペレーティングシステムが、当該電子アセンブリのメモリに記憶されかつ当該電子アセンブリで実行され、当該電子アセンブリは、リッチＯＳオペレーティングシステムのセキュリティアノマリを検出するモジュールと、この検出されたアノマリに応答してターミナルにおける少なくとも１つのセキュアな機能（secure function）を無効化するモジュールとを備え、これらの２つのモジュールはトラスティッドオペレーティングシステムに処理系依存し（being implementation-dependent）、一方で、無効化はフェイルソフトモードで電子デバイスを使用すること許可する、電子アセンブリに関する。

本発明はまた、トラスティッドオペレーティングシステムおよびリッチＯＳオペレーティングシステムが実行される電子デバイスをセキュア化する方法に関する。この方法の実装は、トラスティッドオペレーティングシステムに依存し、この方法は、リッチＯＳオペレーティングシステムのアノマリを検出するステップと、この検出ステップに応答して、電子デバイスにおける少なくとも１つのセキュアな機能を無効化するステップとを備える。無効化ステップは、一方で、フェイルソフトモードで電子デバイスを使用することを許可する。

本発明はさらに、上述のような電子アセンブリを備えたターミナルに関する。このターミナルは、携帯電話等であってもよく、また、タッチパッドまたはラップトップコンピュータであってもよい。変形例では、ターミナルは、例えば、車載コンピュータのような、マシンツーマシンタイプのアーキテクチャで広く用いられるセルフスタンディング（self-standing）または埋め込み型のインテリジェントなシステムであってもよい。

変形例では、ターミナルは、スマートカードであってもよい。

本発明は、デバイスのユーザーがセキュアな態様でデバイスを利用することを可能とするのであるが、これは、第１に、本発明が、セキュリティアノマリが検出されたときにデバイスのセキュア化をもたらすためであり、第２に、デバイスのセキュア化が一方ではユーザーがフェイルソフトモードで機能するデバイスの一部の機能を使用することを許可するためである。方法の実装はトラスティッドオペレーティングシステムに依存するため、ユーザーは、十分なセキュリティおよび信頼性をもって上述のデバイスを使用できる。先行文献（米国特許出願公開第２００２／０１８６８４５）で提案された解決策では、デバイスのセキュリティは、デバイスが遭遇し得るセキュリティアノマリへのユーザーの注意力に基づいており、トラスティッドオペレーティングシステムおよびそのアプリケーションにデバイスのセキュリティを直接委ねる本発明とは反対である。

本発明の１つの具体的な実施形態では、セキュアな機能は、電子デバイスによって実行されるセキュアエレメントのアプリケーション、または、電子デバイスがアクセス可能であるセキュリティエレメントのセンシティブなデータ、例えば暗号化キー、にアクセスするアクセス機能である。

デバイスのセキュア化は、セキュアでない機能（non-secure functions）が利用可能に維持されるように、なされる。

一例では、携帯電話の場合には、ユーザーは、例えば支払い機能等の一部のセキュアな機能が無効化されていても、ターミナルを用いて電話できる。

本発明の１つの具体的な実施形態では、セキュリティアノマリは、リッチＯＳオペレーティングシステムの破損（corruption）である。

リッチＯＳオペレーティングシステムの破損は、インテグリティベリファイモジュールによって、自動的および／またはシステマティックに検出できる。

リッチＯＳオペレーティングシステムの破損は、有害な現象（harmful phenomenon）であり、電子デバイスのユーザーには見えないことがよくあり、本発明のこの実施形態は、この不都合を減少するために、必要なセキュリティステップを採用する。

本発明の別の実施形態では、検出モジュールは、セキュア化指令を含むメッセージを受信可能である。

この実施形態には、遠隔で開始できるという利点がある。盗難されたまたは紛失した電子デバイスをセキュア化すること等には、大きな利点がある。

本発明の１つの具体的な実施形態では、無効化モジュールは、アプリケーションの無効化指令をそのアプリケーションに送信することと、そのアプリケーションの無効化の応答を待つことと、が可能である。トラスティッドオペレーティングシステムは、応答が否定的であれば、電子デバイスのセキュア化を確実とするために必要なステップを採用する。

つまり、無効化に失敗した場合であっても、トラスティッドオペレーティングシステムは、電子デバイスのセキュリティを確保するために必要なステップを採用できる。

本発明の１つの具体的な実施形態では、電子デバイスのセキュリティのべリファイに応答して検出モジュールが起動し、検出モジュールは：
トラスティッドオペレーティングシステム主導で（on the initiative of）電子デバイスのスタートアップのときにもしくは定期的に、または
電子デバイスのユーザー主導で、トリガーされる。

この実施形態の１つの利点は、トラスティッドオペレーティングシステム主導でベリファイされたときに、ユーザーからみて自動的に、電子デバイスのセキュア化がなされることである。

この実施形態のさらなる利点は、電子デバイスのセキュリティが疑わしいときに、電子デバイスのユーザーもまたべリファイを開始できることである。この利点は、ユーザーの電子デバイスが紛失しもしくは盗難され、または疑わしいアプリケーションのダウンロードのようなユーザーのターミナルが脆弱化する処理をユーザーが実施したときに、特に有利である。

本発明の１つの具体的な実施形態では、上述の方法のステップは、コンピュータプログラムの指令によって決定される。

本発明はまた、プログラムがプロセッサによって実行されたときに、上述のような方法のステップを実装する指令を含むコンピュータプログラムに関する。

このプログラムは、いずれのプログラム言語を用いたものであってもよく、ソースコード形式またはオブジェクトコード形式等であってもよい。プログラムは、コンパイルおよび／またはインタプリタされたものであってもよく、プロセッサによってインタプリタされ得る他の形式のものであってもよい。

本発明の１つの具体的な実施形態では、このコンピュータプログラムは、トラスティッドオペレーティングシステムである。

本発明の別の実施形態では、このコンピュータプログラムは、トラスティッドオペレーティングシステムのパッチである。このパッチは、既存のＡＰＩ基板をエンリッチ化（enriches）するという利点を有し、トラスティッドオペレーティングシステムのネイティブアプリケーションがデプロイされても該ネイティブアプリケーションが一部のサービスを提供できないときにそのネイティブアプリケーションの代替手段を構成したり、デプロイできないネイティブアプリケーションの代替手段を構成したりする。すなわち、パッチは、トラスティッドオペレーティングシステムによって最初に提供された機能に追加の機能を提供する。

本発明はまた、コンピュータによって読み出し可能で、上述のようなコンピュータプログラムの指令を備えたデータ媒体に関する。

データ媒体は、プログラムを格納可能な、埋め込み型またはリムーバブルのいずれのエンティティまたはデバイスであってもよい。例えば、媒体は、ＲＯＭメモリ、ＣＤ−ＲＯＭまたは超小型電子回路ＲＯＭ等の格納手段であってもよく、ハードディスク、またはフラッシュタイプもしくはＲＡＭタイプのメモリ等の磁気記憶手段であってもよい。

さらに、データ媒体は、電気ケーブルを介して、光ケーブルを介して、無線により、または他の手段により伝達される、電気信号または光信号等の伝送媒体であってもよい。本発明のプログラムは、具体的には、オンラインの格納領域またはインターネットのプラットフォームにダウンロードされてもよい。

あるいは、格納媒体は、コンピュータプログラムが組み込まれ、当該方法を実行したり当該方法の実行に用いられたりすることに適合した、集積回路であってもよい。

本発明の他の特徴および利点は、添付の図面を参照しながら以下の明細書から明らかとなり、これらは本発明の非限定的実施形態を示す。

図１は、本発明の一実施形態に係る電子デバイスを概略的に示す。 図２は、本発明の具体的な一実施形態に係る方法を概略的に示す。 図３は、図２に示す本発明の実施形態に係る方法を使用するシナリオを概略的に示す。 図４は、本発明の別の実施形態に係る方法を示すフローチャートである。

図１は、本発明の一実施形態に係る電子デバイス１を示す。この例では、電子デバイスは、ターミナルであり、例えばタッチパッド、ラップトップコンピュータまたは携帯電話である。

変形例では、電子デバイス１は、車載コンピュータ等のマシンツーマシンタイプのデバイス、または銀行のカードもしくは電子身分証明書等のスマートカードを有していてもよい。

図１の例では、ターミナルは、本発明に適合した電子アセンブリ１０とセキュアエレメント２０とを備えている。

この例では、電子アセンブリ１０自体が、プロセッサ３００と、２つのオペレーティングシステムの特定のコード、すなわち１００で示されているリッチＯＳオペレーティングシステムのコードおよび２００で示されているトラスティッドオペレーティングシステムのコード、が格納されたメモリ５００と、を備えている。

ターミナル１がスタートアップするときに、これらの２つのオペレーティングシステムは、協同して（jointly）スタートアップする。当業者に知られているように、トラスティッドオペレーティングシステム２００のセキュアな実行環境はセキュアなスタートアップメカニズム（セキュアブート）を有しており、それによりトラスティッドオペレーティングシステム２００が認証され次いで初期化すなわち起動され、リッチＯＳオペレーティングシステム１００のスタートアップが後続する。

より詳細には、セキュアブートは、ターミナルのスタートアップを完了に導く一連のステップであり、各ステップは後続をバリデート（validating）する。例えば、ステップｉがトランジション（transition）をバリデートした場合に限りステップｉ＋１がトリガーされる（triggered）。

ただし、オペレーティングシステムの各々におけるスタンバイとは反対のアクティブオペレーションは、排他的である。すなわち、オペレーティングシステムの１つがアクティブであるとき、残りは非アクティブモードにある。

この例では、トラスティッドオペレーティングシステム２００は、セキュリティアノマリを検出し２１０で示された検出モジュールと、無効化モジュール２２０とを備えている。トラスティッドオペレーティングシステムがモジュール２１０を用いてセキュリティアノマリを検出すると、これに続いて無効化モジュール２２０が機能する。

また、例えば、セキュアエレメントは、リーダーによってターミナルに接続される、ＳＩＭカード等のスマートカードであってもよく、ターミナルに接続される接続パッドを有する、ｅＳＥ等の集積回路であってもよい。

一般には、セキュアエレメントは、セキュリティ規格：ＩＳＯ／ＣＥＩ１５４０８規格、ＩＳＯ７８１６および／またはＦＩＰＳ１４０規格のようなコモンクライテリアを満たし、データと、ＮＦＣ（近接場通信）による非接触決済専用のアプリケーションのようなセンシティブなアプリケーションとを格納している。

この例では、セキュアエレメント２０は、ターミナルに特に移動体ネットワークによって通信させるＳＩＭカードである。トラスティッドオペレーティングシステム２００は、直接的にすなわちリッチＯＳオペレーティングシステムをモビライズする（mobilising）ことなく、ＳＩＭカード２０に格納されたアプリケーションにアクセスできる。

ＳＩＭカード２０は、ＳＩＭカード２０に格納されているアプリケーションの管理を担当するコンポーネントＣＭ（カードマネージャー）を備えている。カードマネージャーＣＭは、ＳＩＭカード２０のアプリケーションであってもよい。具体的に、カードマネージャーＣＭは、ＩＳＯ７８１６規格に準拠するＡＰＤＵタイプのフレームのルーティングを確実に行う。

セキュリティアノマリが検出されると、トラスティッドオペレーティングシステムは、無効化モジュール２２０を用いて、例えば支払い専用のアプリケーション等特別なタイプの全アプリケーションを無効化する無効化指令を送信し、カードマネージャーＣＭは、対象となる種々のアプリケーション、この具体例では支払い専用のアプリケーション、へと無効化指令をルーティングする。

この例では、ＳＩＭカード２０のセキュアな機能を無効化することのみについて説明した。しかし、本発明は、各々が無効化されるべきセキュアな機能を含む複数のセキュアエレメントを備えたターミナルのセキュア化をも対象とする。この構成では、これらのセキュアエレメントのリストおよびセキュアエレメントのアプリケーションのリストが、トラスティッドオペレーティングシステム２００によって制御される不揮発性メモリに記憶されている。

図２は、本発明の１つの具体的な実施形態に係る方法の主なステップを示し、その実装は、図１を参照して前述したようなターミナル１におけるトラスティッドオペレーティングシステム２００に依存する。

ステップＥ５では、トラスティッドオペレーティングシステムにおける特定のアプリケーションが、リッチＯＳオペレーティングシステムのインテグリティをベリファイする。

この例では、方法は、上述のように、ターミナル１のセキュアなスタートアップのときに、トラスティッドオペレーティングシステム２００主導で実装される。

変形例では、方法は、トラスティッドオペレーティングシステム２００主導でクロックを用いて定期的に実装されてもよく、ターミナル１のユーザー主導で実装されてもよく、ポーリング指令を受信したときに実装されてもよい。

当業者に知られた態様では、オペレーティングシステムのインテグリティのべリファイは、そのシステムの各レベル（コア、ネイティブライブラリ、実行環境、アプリケーション等）における、特有のオクテットの指紋のオンザフライでの計算を必要とし、例えば当業者によく知られたＳＨＡ１アルゴリズムを適用することによってこの指紋とリファレンス指紋とを比較する。

ステップＥ１０では、リッチＯＳオペレーティングシステムのインテグリティのべリファイを担当する特定のアプリケーションは、このシステムが破損していることを確認する。

実際には、破損が確認されたときには、トラスティッドオペレーティングシステム２００によって制御される不揮発性メモリに、セキュリティアノマリに関する情報が記憶され、この情報をリードできる当該オペレーティングシステム２００の特定のアプリケーションがターミナルにおける少なくとも１つのセキュアな機能を無効化する無効化ステップＥ１１が機能する。

トラスティッドオペレーティングシステム２００によって制御される不揮発性メモリにそのリストが記憶された複数のセキュアエレメントをターミナルが備えている特定の場合には、当該オペレーティングシステム２００の特定のアプリケーションがリストをリードし、各アプリケーションについて、リスト中の各セキュアエレメントを無効化する無効化ステップＥ１１を開始する。

図２に戻って、無効化ステップＥ１１は、この例ではＳＩＭカード２０のセンシティブなアプリケーションに直接的に無効化指令を送信するステップＥ２０と、対象のアプリケーションによって与えられる応答ＡＣＫを待つ待機ステップＥ３０とを備えている。

例えばＩＳＯ７８１６規格に従ったＡＰＤＵプロコトルを用いて、通信（指令および応答の送信および受信）が行われる。

図３は、図２を参照して前述した実施形態に係る方法を組み込んでいる、使用シナリオを概略的に示す。

このシナリオでは、ユーザーは、ターミナル１をオンにする。ステップＥ５では、トラスティッドオペレーティングシステムの特定のアプリケーションは、リッチＯＳオペレーティングシステムのインテグリティをベリファイする。

トラスティッドオペレーティングシステムは、リッチＯＳオペレーティングシステムが破損していることを確認し（ステップＥ１０）、ＳＩＭカードの支払いアプリケーションおよびＳＩＭカード２０が有する暗号化キーへのアクセスの無効化を開始する（ステップＥ１１）。電子商取引または電子購買のアプリケーション等のＳＩＭカード２０の支払いアプリケーションを用いるリッチＯＳオペレーティングシステムのアプリケーションは、ターミナル１のユーザーによるアクセスを可能なままとするが、ＳＩＭカードのアプリケーションまたは暗号化キーを用いた支払い動作はもはや不可能とされる。

この例では、リッチＯＳオペレーティングシステムのこれらのアプリケーションは、ＳＩＭカード２０に直接的にアクセスできる。そして、ユーザーは、移動体ネットワークによって電話するためにターミナル１を用いる。ＳＩＭカード２０に格納されたセキュアな支払いアプリケーションのみがブロックされるため、電話は可能である。一方、ユーザーは、購買および電子商取引のアプリケーションをもはや全く使用できない。ターミナルのこのような部分的な使用は、フェイルソフトモードと称される。

図４は、本発明の別の実施形態に係る方法の主なステップを示すが、これらのステップは、図１を参照して前述したようなターミナル１におけるトラスティッドオペレーティングシステム２００によっても実装できる。

さらに、この例では、ＳＩＭカードは、３つのアプリケーションＡＰＰ₀，ＡＰＰ₁およびＡＰＰ₂を備えており、ＡＰＰ₁およびＡＰＰ₂は支払いアプリケーションである。

ステップＥ１０では、トラスティッドオペレーティングシステム２００は、ＳＩＭカード２０に格納された支払いアプリケーションを無効化する指令を含むメッセージを受信する。

ステップＥ２００では、トラスティッドオペレーティングシステム２００は、支払いアプリケーションを無効化する指令をカードマネージャーＣＭに送信し、カードマネージャーＣＭは、
・ＡＰＰ₀アプリケーションは支払いアプリケーションではないためＡＰＰ₀アプリケーションを選択せず、
・両方が支払い専用であるＡＰＰ₁アプリケーションおよびＡＰＰ₂アプリケーションを選択する。

実際には、無効化指令は、ＡＰＤＵフレーム形式であり、カードマネージャーＣＭは、ＩＳＯ７８１６規格に基づいて、アプリケーションを、アプリケーション固有のＡＩＤ識別子（Application IDendifier）に従って選択する。

カードマネージャーは、無効化指令を含むＡＰＤＵフレームを、選択されたアプリケーション、すなわちＡＰＰ₁およびＡＰＰ₂に伝送する。

続いて、ＡＰＰ₁アプリケーションは無効化を実行して肯定応答ＡＣＫ＋を送信し、アプリケーションＡＰＰ₂は無効化を失敗して否定応答ＡＣＫ−を送信する。

この例では、カードマネージャーＣＭは、応答をとりまとめ、同様にＡＰＤＵフレーム形式であるグローバル応答ＡＣＫ（＋，−）をトラスティッドオペレーティングシステムに送信し、これによって応答待機ステップＥ３００がターミネートする。

この例では、前述のように、リッチＯＳオペレーティングシステムのアプリケーションは、必ずしもトラスティッドオペレーティングシステムをモビライズすることなくＳＩＭカード２０にアクセスできる。

変形例では、トラスティッドオペレーティングシステムは、リッチＯＳオペレーティングシステムとセキュアエレメントすなわちＳＩＭカード２０との間におけるシステマティックな媒体であってもよい。

ＳＩＭカード２０におけるセキュアな機能の無効化ステップは、トラスティッドオペレーティングシステムにおける通信制御コンポーネント（セキュアエレメントアクセスコントローラ）を組み込んでいてもよい。このコントローラは、フィルタとして作用し、事前に定義されたセキュリティポリシーを利用する。セキュリティアノマリを検出すると、このセキュリティポリシーは、例えば、セキュアな機能にアクセスすることをリクエストするリッチＯＳオペレーティングシステムからオリジネートしたリクエストを、トラスティッドオペレーティングシステムによってブロックし得る。

Claims (15)

1. 電子デバイス（１）用の電子アセンブリ（１０）であって、当該電子アセンブリ（１０）は、
   リッチＯＳオペレーティングシステム（１００）のセキュリティアノマリを検出する検出モジュール（２１０）と、
   前記検出に応答して、前記リッチＯＳオペレーティングシステムのアプリケーションによって用いられる、前記電子デバイス（１）における少なくとも１つのセキュアな機能を無効化する無効化モジュール（２２０）とを備え、
   前記無効化は、一方で、フェイルソフトモードで前記電子デバイス（１）を使用すること許可し、これらの２つのモジュールの実装は、トラスティッドオペレーティングシステムに依存し、前記トラスティッドオペレーティングシステム（２００）および前記リッチＯＳオペレーティングシステム（１００）は、当該電子アセンブリのメモリ（５００）に記憶され、当該電子アセンブリ（１０）で実行されることを特徴とする、電子アセンブリ（１０）。
2. 前記セキュリティアノマリは、前記リッチＯＳオペレーティングシステム（１００）の破損であることを特徴とする、請求項１に記載の電子アセンブリ（１０）。
3. 前記検出モジュール（２１０）は、セキュア化指令を含むメッセージを受信可能であることを特徴とする、請求項１または２に記載の電子アセンブリ（１０）。
4. 前記少なくとも１つのセキュアな機能は、
   前記電子デバイス（１）によって実行される、セキュアエレメント（２０）のアプリケーション（Ａｐｐ，Ａｐｐ₁，Ａｐｐ₂）、または
   前記電子デバイス（１）がアクセス可能であるセキュリティエレメント（２０）の少なくとも１つのセンシティブなデータアイテム、例えば暗号化キー、へのアクセスを可能とする機能であることを特徴とする、請求項１から３のいずれか１項に記載の電子アセンブリ（１０）。
5. 前記無効化モジュール（２２０）は、
   前記アプリケーション（Ａｐｐ）の無効化指令を該アプリケーション（Ａｐｐ）に送信することと、
   前記アプリケーション（Ａｐｐ）の無効化の応答を待つことと、が可能であり、
   前記トラスティッドオペレーティングシステムは、前記応答が否定的であれば、前記電子デバイスのセキュア化を確実とするために必要なステップを採用することを特徴とする、請求項４に記載の電子アセンブリ（１０）。
6. 前記電子デバイス（１）のセキュリティのべリファイ（Ｅ５）に応答して前記検出モジュール（２１０）が起動し、該検出モジュール（２１０）は：
   前記トラスティッドオペレーティングシステム（２００）主導で前記電子デバイス（１）のスタートアップのときにもしくは定期的に、または
   前記電子デバイス（１）のユーザー主導で、トリガーされることを特徴とする、請求項１から５のいずれか１項に記載の電子アセンブリ（１０）。
7. 前記検出モジュールは、オペレーティングシステムの各レベルにおける、特有のオクテットの指紋のオンザフライでの計算を実行し、前記指紋とリファレンス指紋とを比較する、請求項１に記載の電子アセンブリ（１０）。
8. 請求項１から７のいずれか１項に記載の電子アセンブリ（１０）を備えたターミナル（１）であって、前記電子デバイス（１）として設けられているターミナル（１）。
9. 携帯電話通信のターミナルであることを特徴とする、請求項８に記載のターミナル（１）。
10. 電子デバイス（１）をセキュア化する方法であって、当該方法は、リッチＯＳオペレーティングシステム（１００）のセキュリティアノマリを検出する検出ステップ（Ｅ１０）と、前記検出ステップに応答して、前記電子デバイス（１）における少なくとも１つのセキュアな機能を無効化する無効化ステップ（Ｅ１１）とを備え、前記無効化ステップは、一方で、フェイルソフトモードで前記電子デバイス（１）を使用することを許可し、当該方法の実装はトラスティッドオペレーティングシステム（２００）に依存し、前記トラスティッドオペレーティングシステム（２００）および前記リッチＯＳオペレーティングシステム（１００）が前記電子デバイスにおいて実行され、前記検出ステップ（Ｅ１０）および前記無効化ステップ（Ｅ１１）は、前記トラスティッドオペレーティングシステム（２００）によって実行されることを特徴とする、方法。
11. プロセッサ（３００）によって実行されたときに、請求項１０に記載の方法を実装する指令を備えたコンピュータプログラム（ＰＧ）。
12. 前記電子デバイスを、前記検出ステップ（Ｅ１０）を実行する検出モジュールおよび前記無効化ステップ（Ｅ１１）を実行する無効化モジュールとして機能させることによって前記検出モジュールおよび前記無効化モジュールを含む前記トラスティッドオペレーティングシステムとして機能させることを特徴とする、請求項１１に記載のコンピュータプログラム（ＰＧ）。
13. 前記トラスティッドオペレーティングシステムのパッチを、前記トラスティッドオペレーティングシステムによって最初に提供される機能に追加の機能を提供するものであると定義したとき、
    前記電子デバイスを、前記追加の機能を実行する手段として機能させることを特徴とする、請求項１１に記載のコンピュータプログラム（ＰＧ）。
14. 前記電子デバイスを、前記電子デバイスの前記トラスティッドオペレーティングシステムに処理系依存するアプリケーションであって前記電子デバイスのユーザーが制御できない信頼ソースまたは認証ソースからオリジネートされるアプリケーションを実行する手段として機能させることを特徴とする、請求項１１に記載のコンピュータプログラム（ＰＧ）。
15. コンピュータによって読み出し可能であり、請求項１０に記載の方法を実装する指令を備えたコンピュータプログラムが記録された、記録媒体（５００）。

Images