JP6418718B2 - セキュア方法及び装置 - Google Patents

Description

本発明はタッチ入力をセキュア（secure）するための方法及び装置に関し、特にタッチパネルを通じて入力される情報をセキュアする方法及び装置に関する。

最近、インターネット技術が普遍化されるにつれて、無線通信部を備えた電子機器ではインターネット連結を通じて多様な情報をウェブサーバと交換できるようになった。特に、生活の便宜のための情報が活発に交換されるが、そのうち、インターネットを用いたオンラインショッピングが大衆的な人気を集めている。オンラインショッピングでは物品購入を完了するために電子決済を遂行しなければならないが、この際、ユーザは電子機器で信用カードや銀行口座ピンコード（Personal Identification Number Code；ＰＩＮｃｏｄｅ）をウェブサーバに転送するようになる。近来、より便利で、かつ自然な入力方式を提供するタッチパネルが多くの電子機器に装着されるにつれて、ユーザは通常的にタッチパネルを通じてピンコードを入力する。このために、タッチパネルは一種のキーパッドを表示し、ユーザをしてピンコードを入力するように要求する。

もし、このようなピンコードが流出され、他人により悪用されるならば、ユーザに大きい財産被害が発生する。しかしながら、残念ながら電子決裁システムの活性化に伴ってピンコードハッキングが流行している。

現在、ピンコードハッキングプログラムはタッチパネルの上に表示されるキーパッドの数字のレイアウトを見抜いたり、タッチパネルで生成されるタッチ信号に接近したり、またはこれらの組合によりピンコードを流出し出すことができる。

したがって、このようなハッキング方式に対応して、タッチパネルを通じてのピンコード入力時、高度のセキュアを保証する対策が急いでいる。

本発明は前述した問題点を解決するために案出したものであって、タッチパネルを通じて入力される情報の流出を防止するようにサポートするセキュア方法及び装置を提供することをその目的とする。

本発明は、セキュア領域で第１画面をレンダリングするステップと、非セキュア領域で第２画面をレンダリングするステップと、前記第１画面を前記第２画面の上にオーバーレイしてセキュア入力画面を出力するステップと、を含むことを特徴とする。

また、本発明は、第１画面がレンダリングされるセキュアオーバーレイフレームバッファと、第２画面がレンダリングされる非セキュアオーバーレイフレームバッファと、セキュア入力画面を出力する表示部と、前記第１画面が前記第２画面の上にオーバーレイされて前記セキュア入力画面が出力されるように前記表示部を制御する制御部と、を含むことを特徴とする。

また、本発明は、タッチパネルと表示部とを含むタッチスクリーンと、ピンコード入力セキュアモジュールを格納するセキュア格納部と、ＰＩＮ ＵＩプログラム及びエージェントを格納する非セキュア格納部と、前記タッチスクリーン、前記セキュア格納部、及び前記非セキュア格納部を制御する制御部と、を含み、前記ＰＩＮ ＵＩプログラムがユーザ入力に応答してセキュア入出力要請を前記エージェントに転送し、エージェントは前記セキュア入出力要請に応答して前記ピンコード入力セキュアモジュールを実行し、前記ピンコード入力セキュアモジュールは前記タッチパネルをセキュアに設定し、キーパッド画面をセキュアオーバーレイフレームバッファがレンダリングするようにし、前記セキュアに設定されたタッチパネルからタッチ入力を受信し、前記タッチ入力を前記ＰＩＮ ＵＩプログラムに転送したりタッチ入力処理装置に転送することを特徴とする。

本発明の実施形態に従うセキュア方法及び装置は、セキュア入力画面を出力する時、セキュア画面が非セキュア画面の上にオーバーレイされるように出力し、タッチ入力をセキュアすることによって、タッチパネルを通じて入力される情報の流出を防止する利点を提供する。したがって、本発明の実施形態によれば、タッチパネルを通じて入力される個人情報がハッキングプログラムから保護できる。

本発明の概念図である。 本発明の実施形態に従うハードウェア構成を概略的に示すブロック図である。 本発明の実施形態が適用される端末機の構成部を概略的に示すブロック図である。 本発明の実施形態に従うタッチパネルを通じてのセキュア入力手続きを示すフローチャートである。 図３のセキュア入力手続きに対するソフトウェアアーキテクチャーブロック図である。 本発明の他の実施形態に従う図３のセキュア入力手続きに対するソフトウェアアーキテクチャーブロック図である。 本発明の一実施形態に従うタッチ入力画面を説明するための概念図である。 本発明の他の一実施形態に従うタッチ入力画面を説明するための概念図である。

本発明をより詳細に説明する前に、セキュア領域と非セキュア領域について説明する。

セキュア領域ではセキュア運営体制が実行され、セキュア応用プログラムが遂行され、このようなセキュア応用プログラムによってセキュアデータがアクセスできる。ここで、セキュア応用プログラムはハードウェア的及びソフトウェア的に離隔した格納部に格納される。一方、システム設計上、セキュア格納部の容量制限により、セキュア応用プログラムはセキュア領域で必ずサポートされなければならない機能のみを提供するために簡単設計される。そして、セキュアデータはセキュア領域に格納された情報や周辺機器で発生するセキュアされた信号を含む。

非セキュア領域では、非セキュア運営体制と非セキュア応用プログラムが提供される。非セキュア運営体制は端末機の全般的な機能を制御する一般的な運営体制であり、非セキュア応用プログラムは一般応用プログラムに準する。しかしながら、非セキュア領域では非セキュア応用プログラムのセキュアデータに対するアクセスが遮断される。例えば、非セキュア領域でハッキングプログラムが実行できる。したがって、ハッキングプログラムはセキュアデータやセキュア領域で実行される処理にアクセスできない。したがって、本発明はタッチ入力処理がセキュア領域でなされるようにサポートすることによって、一層高いセキュア性を提供することができる。

このようなセキュア領域と非セキュア領域はＡＲＭ（Advance RISC Machine）社のトラストゾーン（TrustZone）技術が適用されたセキュアプロセシングアーキテクチャーによってサポートできる。そして、本発明はセキュア領域と非セキュア領域を提供することを特徴とする。

図１を参照して本発明に対する概観を提供しようとする。図１は、本発明の概念図を図示する。

図１を参照すると、本発明はタッチスクリーン１２０を備えた端末機１００で具現される。ここで、タッチスクリーン１２０はタッチパネルを有することを必須にする。そして、端末機１００は図１でスマートフォン（Smart Phone）であることと図示されるが、これに限定されるものではない。

本発明はタッチスクリーン１２０を通じて入力される情報をセキュアするためのものであって、このためにセキュア入力画面及びタッチ入力信号のうち、少なくとも１つをセキュアすることを特徴とする。

特に、端末機１００はタッチスクリーン１２０が特定画面を出力する時、オーバーレイされる各々の画面を分離された領域でレンダリングする。具体的に、端末機１００は特定画面（以下、セキュア画面）１０をセキュア領域でレンダリングし、他の画面（以下、非セキュア画面）２０を非セキュア領域でレンダリングする。そして、端末機１００はこのようなセキュア画面１０を非セキュア画面２０の上にオーバーレイして表示する。本発明の一実施形態によれば、セキュア画面は入力パッドを表示する画面である。ここで、入力パッドとは、数字キー、記号キー、文字キーなどを示すキーパッドや、線やイメージを描くことができるドローイングパッド（drawing pad）になることができる。

したがって、非セキュア領域で実行されるハッキングプログラムはセキュア画面１０が表示する情報及びタッチ信号のうち、少なくとも１つにアクセスできない。したがって、ハッキングプログラムはタッチスクリーン１２０を通じて入力される情報を予測し難い。これによって、本発明はタッチスクリーン１２０を通じて入力される情報の流出を防止する利点を提供する。

一方、本発明は電子決済応用プログラム、端末機ロック応用プログラム、特定応用プログラムに対するアクセスロック応用プログラムのように、ピンコード（Personal Identification Number Code；ＰＩＮｃｏｄｅ）入力を要求する如何なる応用プログラムとも関連して具現できる。また、本発明は文書作成応用プログラムやメッセージング応用プログラムなどのように、一般文字や数字入力を要求する如何なる応用プログラムとも関連して具現できる。一方、以下では説明の便宜のために電子決済のためのピンコード入力を主な例に挙げて本発明を説明する。

本発明の端末機はタッチスクリーンを備えて、セキュア領域（secure world）及び非セキュア領域（non-secure world）をサポートするものであれば、如何なる電子機器でも具現可能である。例えば、携帯電話機、ＰＭＰ（Portable Multimedia Player）、ディジタル放送プレーヤー、ＰＤＡ（Personal Digital Assistant）、音楽ファイル再生機（例えば、ＭＰ３プレーヤー）、携帯ゲーム端末機、タブレットＰＣ、及びスマートフォンなどの移動可能な小型機器から自動車ナビゲーション機器、テレビ、冷蔵庫、洗濯機などの家電製品に至るまで、タッチスクリーンを備えて、セキュア領域と非セキュア領域をサポートする如何なる機器でもできる。

本発明は、図２ａに図示されるハードウェアアーキテクチャーにより具現できる。図２ａは、本発明の実施形態に従うハードウェア構成を概略的に示すブロック図である。

図２ａを参照すると、本発明の実施形態に従うハードウェア構成はＡＲＭ社のトラストゾーン（TrustZone）アーキテクチャーを有するシステムオンチップ（System on Chip;ＳｏＣ）、そしてＳｏＣと連結された周辺機器を含む。

ＳｏＣは、コアプロセッサ２１０、セキュアＲＯＭ（secure ROM）２２１、セキュアＲＡＭ（secure RAM）２２３、暗号エンジン（Crypto Engine）２２５、ＴＺＡＳＣ（Trust Zone Address Space Controller）２３１、メモリ制御部（Memory Controller）２３３、ＤＲＡＭ（Dynamic RAM）２３５、ＴＺＰＣ（Trust Zone Protection Controller）２４１、及びＴＺＩＣ（Trust Zone Interrupt Controller）２４３で構成される。そして、上記ＳｏＣ構成部は、システムバス、例えばＡＸＩ Ｂｕｓ（Advanced eXtensible Interface）２４５に連結されてそれら間のデータ通信がなされる。

コアプロセッサ２１０は、セキュア領域と非セキュア領域とに分離された応用プログラム実行環境を提供する。このために、コアプロセッサ２１０はセキュアコアプロセッサ２１１と非セキュアコアプロセッサ２１３とを含む。セキュアコアプロセッサ２１１は仮想プロセッサであって、セキュア領域を提供する。そして、非セキュアコアプロセッサ２１３やはり仮想プロセッサであり、非セキュア領域を提供する。

セキュアＲＯＭ ２２１とセキュアＲＡＭ ２２３はハードウェア及びソフトウェア的に離隔する。そして、セキュアＲＯＭ ２２１とセキュアＲＡＭ ２２３はセキュア領域運営体制とセキュア応用プログラム、及びこれらの実行に従うデータ各々を格納する。

暗号エンジン２２５は、暗号アルゴリズムを含んだ暗号ロジック及び処理を遂行する構成である。

ＴＺＡＳＣ ２３１はメモリ領域、特にＤＲＡＭ ２３５の制御を担当する。ＴＺＡＳＣ ２３１は特定アドレスを有するメモリ領域に対するセキュアを制御する。例えば、ＴＺＡＳＣ ２３１はＤＲＡＭ ２３５の特定領域のセキュリティ属性を‘セキュア’に設定することができる。これによって、非セキュアコアプロセッサ２１３がＤＲＡＭ ２３５の上記セキュア領域にアクセスしようとする場合、ＴＺＡＳＣ ２３１は上記セキュア領域に対するアクセスを断る。一方、ＴＺＡＳＣ ２３１はセキュアコアプロセッサ２１１が上記セキュア領域にアクセスできるようにサポートする。

例えば、本発明の実施形態に従うＤＲＡＭ ２３５は、セキュアオーバーレイフレームバッファと非セキュアオーバーレイフレームバッファとを備える。そして、セキュアオーバーレイフレームバッファはＴＺＡＳＣ ２３１によってセキュア設定されて、セキュア領域でアクセス可能である。そして、非セキュア応用プログラムはセキュアオーバーレイフレームバッファにアクセスできない。これによって、本発明は非セキュアプログラムがセキュアオーバーレイフレームバッファでレンダリングされるセキュア画面のレイアウト、即ち構成要素を把握できないようにする。したがって、たとえタッチ入力の位置情報が流出されても、ユーザがセキュア画面の構成要素の位置に基づいて提供しようとする情報のセキュアを保証することができる。一方、セキュア画面の後に表示される待受画面はＤＲＡＭ ２３５のうち、セキュア設定されていない非セキュアオーバーレイフレームバッファでレンダリングできる。

メモリ制御部２３３は、ＤＲＡＭ ２３５の内のデータの移動を担当する。

ＴＺＰＣ ２４１は周辺機器のセキュリティ属性を設定して、コアプロセッサ２１０からのアクセスを制御する。特に、本発明の実施形態に従うＴＺＰＣ ２４１はタッチスクリーン１２０をセキュア設定することができる。一方、セキュア設定されたタッチスクリーン１２０は非セキュア領域でアクセスできないが、これに対する説明は、以下のＡＸＩ２ＡＰＢブリッジ（AXI to APB bridge）２５０の関連説明で叙述される。

ＴＺＩＣ ２４３は割り込みラインのセキュリティ属性を設定する。特に、本発明の実施形態に従うＴＺＩＣ ２４３は、タッチパネル１２３と連結された割り込みラインをセキュア設定する。例えば、ユーザは表示部１２１に出力されるセキュア画面を参照して、提供を所望する情報が表示された個所にタッチ入力を加えることができる。このように、タッチパネル１２３で入力発生時、ＴＺＩＣ ２４３は生成される割り込み信号をセキュアする。これによって、セキュアされた割り込み信号はセキュアコアプロセッサ２１１により処理できる。したがって、ＴＺＩＣ ２４３によりセキュア処理され、上記接触によって発生した割り込み信号をセキュアコアプロセッサ２１１が受信して入力される情報を把握することができる。また、ＴＺＩＣ ２４３はセキュアされなければならない割り込み信号の割り込みソース（interrupt source）、即ちタッチパネル１２３が非セキュア割り込みコントローラからマスキング（masking）されるようにサポートする。したがって、ユーザのタッチ入力によってタッチパネル１２３で割り込み信号発生時、非セキュア割り込みコントローラは上記割り込み信号を非セキュアコアプロセッサ２１３に伝達しない。これによって、非セキュアコアプロセッサ２１３はユーザが入力しようとする情報に対して認知できず、入力情報はハッキングプログラムにより利用できない。

大部分の周辺機器はＡＰＢ（Advanced Peripheral Bus）１７０に連結され、データ通信する。表示部１２１とタッチパネル１２３とで構成されたタッチスクリーン１２０も周辺機器の一種である。

ＳｏＣと周辺機器２６０との間のデータ通信はＡＸＩ２ＡＰＢブリッジ２５０を通じてなされる。ＡＸＩ２ＡＰＢブリッジ２５０は、ＳｏＣ構成部の周辺機器２６０へのアクセスを仲裁することができる。ＡＸＩ２ＡＰＢブリッジ２５０は、セキュア設定された周辺機器２６０を認知している。これによって、ＡＸＩ２ＡＰＢブリッジ２５０は非セキュア領域でセキュア設定された周辺機器２６０へのアクセスが要請されたことと把握すれば、アクセス要請を拒否することができる。例えば、前述したＴＺＰＣ ２４１はタッチスクリーン１２０のセキュリティ属性を変更してセキュア設定することができる。そして、ハッキングプログラムにより非セキュアコアプロセッサ２１３がタッチスクリーン１２０にアクセスするためのアクセス要請をＡＸＩバス２４５に伝達することができる。これに応じて、ＡＸＩ２ＡＰＢブリッジ２５０は非セキュアコアプロセッサ２１３のアクセス要請を受信した後、タッチスクリーン１２０のセキュリティ属性を確認することができる。一方、タッチスクリーン１２０のセキュリティ属性が‘セキュア’に設定されたことと確認されれば、ＡＸＩ２ＡＰＢブリッジ２５０は上記アクセス要請を拒否することができる。したがって、ＡＸＩ２ＡＰＢブリッジ２５０は非セキュアプログラムがタッチスクリーン１２０にアクセスして入力される情報を流出していくことを防止することができる。したがって、ＡＸＩ２ＡＰＢブリッジ２５０はセキュアコアプロセッサ２１１のみタッチスクリーン１２０に情報要請できるようにサポートする。

図２ｂは、本発明の実施形態が適用される端末機の構成部を概略的に示すブロック図である。

図２ｂを参照すると、本発明の端末機１００は、無線通信部１１０、タッチスクリーン１２０、格納部１４０、及び制御部１６０を含む。一方、図２ｂには図示してはいないが、本発明の端末機１００はキー入力部及びオーディオ処理部などをさらに含むことができる。

無線通信部１１０は音声通話のための通信チャンネル形成及び画像通話のための通信チャンネル形成、映像やメッセージなどのデータ転送のための通信チャンネル（以下、データ通信チャンネル）形成などを制御部１６０の制御下に遂行する。特に、本発明の無線通信部１１０はウェブサーバまたは他端末機とのデータ通信チャンネルを形成し、上記データ通信チャンネルを通じてタッチ入力された情報、例えばユーザ個人情報を転送することができる。

タッチスクリーン１２０は、表示部１２１とタッチパネル１２３とを含む。このようなタッチスクリーン１２０は、表示部１２１の前面にタッチパネル１２３が配置される構造を有することができる。タッチスクリーン１２０のサイズはタッチパネル１２３のサイズにより決定できる。そして、タッチスクリーン１２０はセキュア領域または非セキュア領域で応用プログラムの実行画面を表示し、タッチ物体の接触を感知することができる。特に、本発明の実施形態に従うタッチスクリーン１２０はタッチ入力のためのグラフィックユーザインターフェース（Graphic User Interface；ＧＵＩ）を表示し、ユーザからタッチ物体の接触を通じてタッチ入力とＧＵＩから情報を獲得することを特徴とする。

表示部１２１は端末機１００の各種メニューを始めとしてユーザが入力した情報またはユーザに提供される情報を表示する。即ち、表示部１２１は端末機１００の利用に従う多様なユーザ機能の実行画面を提供することができる。このような表示部１２１は、液晶表示装置（Liquid Crystal Display）、ＯＬＥＤ（Organic Light Emitted Diode）などで形成できる。そして、表示部１２１はタッチパネル１２３の上部または下部に配置できる。特に、本発明の実施形態に従う表示部１２１はセキュア画面を非セキュア画面にオーバーレイして表示する機能をサポートする。このために、セキュア画面は非セキュアセキュアオーバーレイフレームバッファにレンダリングされ、非セキュア画面は非セキュアオーバーレイフレームバッファでレンダリングされる。そして、表示部１２１はセキュア及び非セキュアオーバーレイフレームバッファを合わせてセキュア画面を非セキュア画面の上にオーバーレイされるように表示する。

タッチパネル１２３は表示部１２１の上下部のうちの少なくとも１個所に配置され、タッチパネル１２３を構成するセンサーはマトリックス形態に配列される。これによって、タッチパネル１２３はタッチパネル１２３の上のタッチ物体の接触またはアクセス距離によってタッチ入力信号を生成し、生成されたタッチ入力信号を制御部１６０に伝達することができる。

特に、本発明の実施形態に従うタッチパネル１２３は制御部１６０によってセキュリティ属性が設定可能である。制御部１６０によりセキュア設定された場合、タッチパネル１２３はセキュア領域のみで使われることができ、非セキュア領域では使用不可能である。したがって、セキュア設定されたタッチパネル１２３は非セキュアプログラム、例えばハッキングプログラムによるアクセスから保護できる。

追加で、タッチパネル１２３と連結された割り込みラインのセキュリティ属性も変更可能である。制御部１６０の制御下にタッチパネル１２３の割り込みラインがセキュア設定されれば、タッチパネル１２３で生成される割り込み信号、即ちタッチ入力信号はセキュア領域で制御部１６０に転送されるように設定される。したがって、個人情報や、暗号のようにセキュアを要する情報を入力するためにユーザがタッチ物体でタッチパネル１２３に接触すれば、タッチ入力がセキュア領域で制御部１６０に伝えられる。一方、非セキュア領域での制御部１６０は上記タッチ入力信号を認知できないので、非セキュアプログラムは上記タッチ入力信号を把握できない。これによって、本発明はセキュア設定されたタッチパネル１２３と割り込みラインを通じて入力される情報のセキュアを保証することができる。

格納部１４０は本発明の実施形態に従ってセキュア領域及び非セキュア領域での機能動作に必要とする少なくとも１つの応用プログラム、ユーザにより生成されるユーザデータ、ネットワークと送受信するメッセージ、及び応用プログラム実行に従うデータなどを格納する。このような格納部１４０はセキュア格納部１４２と非セキュア格納部１４６とで構成される。

セキュア格納部１４２は前述したセキュアＲＯＭ ２２１とセキュアＲＡＭ ２２３に該当する構成部である。したがって、セキュア格納部１４２はハードウェア及びソフトウェア的に離隔するように端末機１００に搭載される。そして、セキュア格納部１４２はセキュア領域のための運営体制とセキュア応用プログラム関連情報を格納する。非セキュア領域で制御部１６０がセキュア格納部１４２にアクセスしようとする場合、セキュア格納部１４２へのアクセスが物理的に離隔することを特徴とする。設計の特性上、セキュア格納部１４２は限定された格納容量を有する。したがって、セキュア格納部１４２は単純な機能を処理するセキュア応用プログラムとその実行に従うデータを格納する。特に、本発明のセキュア格納部１４２はタッチ入力セキュアモジュール１４４をさらに格納する。また、セキュア格納部１４２はセキュア領域と非セキュア領域との間の切換をサポートするモニタプログラムをさらに格納する。

タッチ入力セキュアモジュール１４４は、セキュア画面を非セキュア画面の上にオーバーレイして表示し、タッチ信号をセキュアするようにサポートするルーチンを含む。また、本実施形態に従うタッチ入力セキュアモジュール１４４は、入力パッドを含むセキュア画面を表示するようにサポートするルーチンを含む。これによって、タッチ入力セキュアモジュール１４４は、タッチ入力と関連した周辺機器及びデータバスのセキュリティ属性を設定するセキュア設定ルーチンと、セキュア格納部１４２にセキュア画面をレンダリングして非セキュア画面の上にオーバーレイされるように出力するセキュア入力画面表示ルーチンと、セキュアされたタッチ信号を受信及び処理するタッチ信号処理ルーチンを含む。ここで、セキュア入力画面とは、セキュア画面が非セキュア画面の上にオーバーレイされるように表示された画面である。この際、セキュア画面は入力パッドを有することができる。

非セキュア格納部１４６は、大別してプログラム領域とデータ領域とを含むことができる。

プログラム領域は端末機１００のブーティング及び非セキュア領域で各構成部の運用のための運営体制とダウンロード及び設置された非セキュア応用プログラムなどを格納することができる。特に、本発明のプログラム領域はＵＩプログラム１４８を格納することができる。

ＵＩプログラム１４８はセキュア入力モードを開始し、非セキュア領域で所定の応用プログラムの実行画面のうち、非セキュア画面をレンダリングする。セキュア入力モードとは、タッチパネル１２３を通じて入力される情報をセキュアするモードである。セキュア入力モードで、本発明はセキュア入力画面を表示する。ＵＩプログラム１４８は実行画面のうち、他の画面の上にオーバーレイされる画面の以外のものであるが、オーバーレイされる画面のうち、入力パッドを含む画面の以外のものを非セキュア画面にレンダリングすることができる。一方、ＵＩプログラム１４８はピンコード入力を要求する応用プログラム、または文書作成応用プログラムやメッセージング応用プログラムなどの一般文字や数字入力を要求する応用プログラムの一部として含まれることができる。そして、ＵＩプログラム１４８を含む応用プログラムは、所定のタッチキー、例えば文字や数字、入力要求に応じて、セキュア入力モードに進入し、非セキュア領域がレンダリングされるようにサポートすることを特徴とする。

また、上記プログラム領域は、ユーザの意図に関わらず、ハッキングプログラムを格納することができる。そして、このようなハッキングプログラムは非セキュア領域で実行される。これによって、非セキュア領域ではハッキングプログラムによって各種の個人情報が流出される可能性がある。しかしながら、本発明のタッチ入力セキュア装置はセキュア領域でタッチ信号を受信及び処理するため、本発明は非セキュア領域のみで実行されるハッキングプログラムの攻撃からタッチパネル１２３を通じて入力される情報を保護することができる。

データ領域は、端末機１００の使用によって発生するデータが格納される領域である。特に、本発明のデータ領域はＵＩプログラム１４８が実行される中に使われたり生成されるデータを格納する。例えば、データ領域はＵＩプログラム１４８の実行時、表示されるＧＵＩをバッファリングまたは格納することができる。即ち、データ領域はセキュア設定可能なオーバーレイフレームバッファを含むことができる。

一方、本発明のデータ領域はセキュリティ属性が設定可能である。データ領域が‘セキュア’に設定されれば、セキュア領域のみで制御部１６０によりアクセス可能である。したがって、非セキュアプログラムはセキュア設定されたデータ領域にアクセスできない。特に、タッチ入力セキュアモジュール１４４により使われるデータ領域は制御部１６０によりセキュア設定できる。

制御部１６０は、端末機１００の全般的な動作を制御する。特に、本発明の制御部１６０はセキュア領域及び非セキュア領域を提供し、セキュア画面が最上にオーバーレイされるセキュア入力画面を表示し、タッチ信号をセキュアすることによって、タッチパネル１２３を通じて入力される情報の流出を防止することができる。このために、制御部１６０はセキュア／非セキュア領域提供子１６１とセキュア設定部１６３を含む。

セキュア／非セキュア領域提供子１６１は、仮想セキュア領域提供子（virtual secure world controller）、仮想非セキュア領域提供子（virtual normal world controller）、及びセキュア領域切換部に区分できる。セキュア／非セキュア領域提供子１６１はコアプロセッサ２１０に対応する構成である。仮想セキュア領域提供子は、セキュア領域でセキュア運用体制によってセキュアプログラムを実行する。

特に、本発明の仮想セキュア領域提供子はタッチ入力処理モジュール１４４を実行する。これによって、仮想セキュア領域提供子はセキュア領域で表示部１２１を制御してセキュア画面が非セキュア画面の上にオーバーレイされるように表示し、セキュアされたタッチ入力信号を受信及び処理する。

仮想非セキュア領域提供子は非セキュア運用体制によって非セキュアプログラムを実行する。特に、本発明の仮想非セキュア領域提供子は非セキュア領域でＵＩプログラム１４８を実行する。したがって、仮想非セキュア領域提供子はセキュア入力要請受信時、セキュア入力モードが開始されるようにサポートする。

セキュア領域切換部はモニタプログラムを遂行することによって、仮想セキュア領域提供子と仮想非セキュア領域提供子との間の役割切換をタイムスライシング方式によりスケジュール及び実行する。モニタプログラムは、セキュア格納部１４２の内に格納される。そして、セキュア領域と非セキュア領域との間の切換時、該当領域の状態が格納されるように領域切換を管理する。この際、モニタプログラムは領域切換時、レジスタの一部消去だけでなく、文脈の復元、以前の文脈の格納などの少なくとも一部分を担当する。特に、本発明のセキュア領域切換部は非セキュア領域でセキュア入力要請が受信されれば、セキュア領域に切換することを特徴とする。

セキュア設定部１６３は、端末機１００構成部のセキュリティ属性を設定する。これによって、端末機１００の構成部は通常的に非セキュア領域で作動してからセキュア設定部１６３によってセキュア設定されれば、セキュア領域のみで使用できる。セキュア設定部１６３は、ＴＺＩＣ ２４３、ＴＺＡＣ ２３１、及びＴＺＰＣ ２４１に対応する構成である。したがって、本発明の実施形態に従うセキュア設定部１６３は、タッチパネル１２３、タッチパネル１２３の割り込みライン、及びタッチ入力セキュアモジュール１４４のためのデータ領域のセキュリティ属性を設定する。

以上、本発明の実施形態に従うタッチ入力セキュア装置を説明し、以下ではタッチ入力セキュア方法について説明する。

図３は、本発明の実施形態に従うタッチパネルを通じてのセキュア入力手続きを示すフローチャートである。

図３を参照すると、上記手続きは非セキュア領域から出発する。制御部１６０はステップ３１０でセキュア入力要請を受信する。セキュア入力要請は、セキュア入力画面の表示を要請する。セキュア入力要請を受信すれば、制御部１６０はステップ３２０に分岐してセキュア領域に進入する。一方、制御部１６０はステップ３１０でセキュア入力要請の以外の他の入力が受信されたことと判断すれば、ステップ３１５に分岐して上記入力に対応する該当機能が遂行されるようにサポートする。

制御部１６０は、セキュア領域でセキュア格納部１４２に格納されたタッチ入力セキュアモジュール１４４を実行することによって、セキュア入力モードを遂行する。セキュア入力モードはステップ３３０乃至ステップ３６０で構成される。

制御部１６０は、ステップ３３０でタッチ入力に対するセキュア設定を実行する。例えば、制御部１６０はタッチ入力と関連した格納部１４０及びタッチスクリーン１２０のセキュリティ属性を‘セキュア’に変更することができる。次に、制御部１６０はステップ３４０でセキュア画面が非セキュア画面の上にオーバーレイされて、セキュア入力画面が出力されるように表示部１２１を制御する。ここで、制御部１６０はセキュア画面がセキュアオーバーレイフレームバッファにレンダリングされ、非セキュア画面が非セキュアオーバーレイフレームバッファにレンダリングされて、これらがオーバーレイされたセキュア入力画面が表示部１２１に出力されるようにサポートすることができる。

次に、制御部１６０はステップ３４５でタッチ入力か否かを確認する。制御部１６０はタッチパネル１２３にアクセスしてタッチ入力を受信する。一方、タッチ入力が予め設定された時間の間受信されないことと判断されれば、制御部１６０はステップ３４７に分岐してセキュア入力モードの終了か否かを把握する。制御部１６０は、ステップ３４７で予め設定された時間が経過するか、ユーザの終了入力によって上記終了か否かを判断することができる。セキュア入力モードが終了されてはならないことと判断されれば、制御部１６０はステップ３４０にリターンして持続的にセキュア入力画面が出力されるようにサポートする。これに反して、セキュア入力モードが終了されなければならないことと判断されれば、制御部１６０はステップ３７０に分岐して非セキュア領域に進入する。

タッチ入力が受信されたことと判断されれば、制御部１６０はステップ３５０に分岐してセキュアされたタッチ入力を処理する。ここで、制御部１６０はセキュア画面のレイアウト、即ち構成要素を把握して、タッチ入力が発生した個所に表示される構成要素を確認することができる。これによって、制御部１６０はセキュア領域でユーザが入力しようとする情報が何かを把握することができる。そして、制御部１６０はステップ３６０に進行してタッチ入力の完了か否かを把握する。制御部１６０は予め決まったタッチ入力個数や予め設定された時間に至ると、タッチ入力が完了したことと判断することができる。タッチ入力が完了すれば、制御部１６０はステップ３７０を遂行するが、未完了時、制御部１６０はタッチ入力終了か否かを判断するステップ３４７にリターンする。

セキュア入力の完了要請が受信されれば、制御部１６０はステップ３７０でまた非セキュア領域に進入して本発明の実施形態に従うタッチ入力セキュア手続きを終了する。したがって、本発明は図３に図示された手続きを通じてセキュア入力をサポートする。

前述したタッチ入力セキュア手続きは、図４ａ及び図４ｂのようなソフトウェアアーキテクチャーによって具現できる。

図４ａは、図３のセキュア入力手続きに対するソフトウェアアーキテクチャーブロック図である。ソフトウェアアーキテクチャーはＡＲＭ社のトラストゾーン（TrustZone）技術が適用されたスマートフォンで電子決済をサポートするためのものであるという前提下に説明される。

図４ａを参照すると、ソフトウェアアーキテクチャーは、概略的に、ピンＵＩプログラム１４８、エージェント（agent）４１０、及びピンコード入力セキュアモジュール１４４で構成される。そして、セキュア領域と非セキュア領域との間にはトラストゾーン（TrustZone）モニタ４２０が存在する。ピンＵＩプログラム１４８は非セキュア格納部１４６に格納され、電子決済のためのピンコード入力要請を受信する。エージェント（agent）４１０は非セキュア領域で運用され、セキュア領域の特定プログラムを呼び出す。ピンコード入力セキュアモジュール１４４はセキュア格納部１４２に格納され、キーパッドを表示し、入力されるピンコードを処理する。

以下、各ソフトウェア構成要素の間の相互作用を説明する。

第１ステップで、ピンＵＩプログラム１４８が実行される。ピンＵＩプログラム１４８は第２ステップでユーザの入力によってセキュア入出力要請をエージェント４１０に転送する。例えば、ユーザがオンラインショッピングを終えた後、電子決済ボタンを押さえれば、ピンＵＩプログラム１４８はセキュア入出力要請を生成してエージェント４１０に伝達することができる。これによって、エージェント４１０は第３ステップでセキュアタッチバックエンド（secure touch backend）を呼び出す。言い換えると、エージェント４１０はセキュア領域のピンコード入力セキュアモジュール１４４が実行されるようにする。より詳しくは、エージェント４１０は、まず非セキュア領域からセキュア領域への切換を要請する。この際、エージェント４１０はセキュアモニタコール（Secure Monitor Call；ＳＭＣ）を実行する。ＳＭＣが実行されれば、非セキュア領域からセキュア領域へ切換されながらトラストゾーン（TrustZone）モニタ４２０が実行される。この際、トラストゾーン（TrustZone）モニタ４２０は非セキュアコアプロセッサ２１３のレジスタ情報などをスタック（stack）に格納する。これによって、今後、非セキュア領域への切換時、トラストゾーン（TrustZone）モニタ４２０は非セキュア領域の物理的な状態を記憶することができる。次に、トラストゾーン（TrustZone）モニタ４２０はピンコード入力セキュアモジュール１４４が実行されるようにサポートする。

セキュア領域でセキュアキーパッド表示ステップとピンコード受信及び処理ステップ（第４ステップ乃至第１０ステップ）が遂行される。ピンコード入力セキュアモジュール１４４は、第４ステップでセキュア領域でタッチ入出力が受信されるように、タッチパネル１２３のハードウェア設定、即ちセキュリティ属性を‘セキュア’に変更する。この際、ピンコード入力セキュアモジュール１４４は、ＴＺＰＣ ２４１、ＴＺＩＣ ２４３、及びＴＺＡＳＣ ２３１を駆動してタッチパネル１２３、タッチパネル１２３と連結された割り込みライン、及びオーバーレイフレームバッファの各々のセキュリティ属性を変更することができる。また、ピンコード入力セキュアモジュール１４４は第５ステップでピンコード入力のためのキーパッド画面が非セキュア領域で使用するフレームバッファでない、セキュア設定されたオーバーレイフレームバッファでレンダリングされるようにする。

このようにキーパッド画面が出力された後、ユーザはピンコードを入力するために第６ステップでタッチ物体にタッチスクリーン１２０でキーが表示された領域に接触する。すると、ピンコード入力セキュアモジュール１４４は、第７ステップでセキュアされたタッチ入力を受信する。次に、ピンコード入力セキュアモジュール１４４は第８ステップでユーザによりキーが入力されたことを知らせる視覚効果を提供する‘＊’記号を出力することができる。そして、ピンコード入力セキュアモジュール１４４は、第９ステップでタッチ入力されたキー情報、即ちピンコードを暗号化する。

ピンコード入力セキュアモジュール１４４は、予め定まった個数だけのピンコードが入力されるまで第６ステップ乃至第９ステップを反復遂行することができる。一方、ピンコード入力セキュアモジュール１４４は、予め定まった個数だけのピンコードが入力された後、第９ステップを遂行することができる。そして、第８ステップは非セキュア領域でも遂行可能である。

ピンコード入力が終了されれば、ピンコード入力セキュアモジュール１４４は、第１０ステップで暗号化されたピンコードをピンＵＩプログラム１４８に伝達する。そして、ピンＵＩプログラム１４８は、第１１ステップで暗号化されたピンコードをタッチ入力処理装置、例えば、ＵＩＣＣ（Universal Integrated Circuit Card）またはＳＥ（Secure Element）に転送する。ここで、ＳＥは周知のように、加入者情報を有するＳＩＭ（Subscriber Identity Module）とＵＩＣＣとが結合されたものであって、別名ＵＳＩＭ（Universal Subscriber Identity Module）という。

そして、ＵＩＣＣまたはＳＥは、第１２ステップでピンコードを処理して暗号入力か否かを判断する。より詳しくは、ＵＩＣＣまたはＳＥはピンコードを復号化し、予め設定された暗号と比較することができる。

一方、本発明の他の実施形態によれば、ピンコード入力が終了された後、暗号化されたピンコードはセキュア領域でＵＩＣＣまたはＳＥに直ちに非セキュア領域を経由せずに伝達できる。図４ｂを参照して暗号化されたピンコードが上記他の実施形態に従ってＵＩＣＣまたはＳＥに伝えられる手続きを説明する。一方、図４ｂの第１ステップ乃至第９ステップは、図４ａの第１ステップ乃至第９ステップと同一であるので、これらに対する説明は省略する。

図４ｂを参照すると、ピンコード入力が終了された後、ピンコード入力セキュリティモジュール１４４は、第１０ステップで暗号化されたピンコードをピンＵＩプログラム１４８を経由せず、直接ＵＩＣＣまたはＳＥに伝達することができる。これによって、ピンコード入力セキュリティモジュール１４４は、ピンコード伝達ステップがセキュア領域でなされるようにサポートすることによって、一層高いセキュア性を提供することができる。

これに応じてＵＩＣＣまたはＳＥは第１１ステップでピンコードを処理し、暗号入力か否かを判断する。そして、ＵＩＣＣまたはＳＥがピンコード入力セキュリティモジュール１４４に暗号入力か否かを知らせてくれれば、ピンコード入力セキュリティモジュール１４４は、第１２ステップでピン処理結果をピンＵＩプログラム１４８に知らせることができる。これによって、ピンＵＩプログラム１４８は表示部１２１にピン処理結果が出力されるようにサポートすることができる。したがって、ユーザはピンＵＩプログラム１４８を通じて暗号が正しく入力されたかを確認することができる。

以上のように、本発明は電子決済応用プログラムのためのソフトウェアアーキテクチャーで具現できる。

図５は、本発明の一実施形態に従うタッチ入力画面を説明するためのものであって、図４ａまたは図４ｂのソフトウェアアーキテクチャーによって本発明が端末機１００でどんな形態に実現されるかを図示する概念図である。

図５を参照すると、図４ａまたは図４ｂのソフトウェアアーキテクチャーによって端末機１００はキーパッドセキュア画面５０１をピンＵＩプログラム１４８の実行画面５０３の上にオーバーレイしてセキュア入力画面５０５を出力する。これに加えて、端末機１００はタッチパネル１２３からの割り込みライン属性を‘セキュア’に変更することができる。

したがって、本発明の実施形態によれば、端末機１００はキーパッドを表示する画面をセキュアし、セキュア入力画面５０５の最上にキーパッド画面５０１がオーバーレイされるように出力し、タッチ入力をセキュアすることによって、タッチパネル１２３を通じて入力されるピンコード情報の流出を防止することができる。したがって、本発明は既存のピンコード入力方式を格納する同時に、入力される情報をハッキングプログラムから安全に保護することができる。

一方、電子決済応用プログラムは電子決済のためにピンコードの代わりに署名を必要とすることがある。このような場合、図６に図示されるように、端末機１００はキーパッドセキュア画面５０１の代わりにドローイングパッドセキュア画面６０３を使用することができる。

図６は、ドローイングパッドを使用したタッチ入力画面を説明するための概念図である。

図６を参照すると、端末機１００は図４ａまたは図４ｂのソフトウェアアーキテクチャーによってドローイングパッドセキュア画面６０１をピンＵＩプログラム１４８の実行画面６０３の上にオーバーレイしてセキュア入力画面６０５を出力することができる。端末機１００はドローイングパッドセキュア画面６０１もセキュア領域でレンダリングしてセキュア入力画面６０５の最上に表示されるようにサポートすることができる。そして、端末機１００はタッチパネル１２３を通じて入力される署名、即ちタッチ信号をセキュアすることができる。

このように、本発明はセキュア入力モードがサポートされる応用プログラムの種類によってセキュア画面に多様な入力パッドを導入することができる。例えば、本発明は電子決済応用プログラムの以外に、端末機ロック応用プログラム、特定応用プログラムに対するアクセスロック応用プログラムのように、ピンコード（Personal Identification Number Code;；ＰＩＮｃｏｄｅ）入力を要求する如何なる応用プログラムや、文書作成応用プログラムやメッセージング応用プログラムなどの一般文字や数字入力を要求する如何なる応用プログラムでもセキュア入力モードをサポートすることができる。

以上、説明したように、本発明の実施形態に従うセキュア入力方法及び装置によれば、セキュア入力画面を出力する時、セキュア画面が非セキュア画面の上にオーバーレイされるように出力し、タッチ入力をセキュアすることによって、ハッキングプログラムがタッチパネル１２３を通じて入力される情報を流出することを防止することができる。

一方、本発明はピンコードだけでなく、特定文字や数字入力を要求する多様な応用プログラムと連係されて具現できる。これによって、ユーザが特定文字や数字をタッチパネルの上に入力する時、本発明は前述したように、タッチパネル１２３で発生するタッチ信号をセキュアし、入力パッドのレイアウト情報をセキュアすることができる。したがって、本発明はタッチパネルを通じて入力される情報の流出を防止する利点を提供する。

Claims (26)

1. セキュア領域でタッチパネルを介してタッチ入力を受け取るためのユーザ入力画面をレンダリングするステップと、
   非セキュア領域で、前記タッチ入力を受け付ける領域なしに、前記タッチ入力を要求するユーザインターフェースプログラムの実行画面をレンダリングするステップと、
   前記ユーザ入力画面を前記実行画面の上にオーバーレイして表示することによってセキュア入力画面を出力するステップと、
   前記タッチパネルのセキュリティ属性と、前記セキュア領域に含まれ、前記ユーザ入力画面を格納するメモリ領域のセキュリティ属性とをセキュアに設定するステップと、
   前記セキュリティ属性がセキュアに設定されている場合に、前記非セキュア領域の第1のプログラムが前記タッチパネルと前記メモリ領域とにアクセスすることを遮断するとともに、前記セキュア領域の第2のプログラムが前記タッチパネルと前記メモリ領域とにアクセスすることを許可するステップと、
   予め設定された持続時間内に前記セキュア入力画面を介して前記タッチ入力が受信されたか否かを判断するステップと、
   前記タッチ入力が前記予め設定された持続時間内に受信されたとき、前記セキュア領域内で前記タッチ入力を処理するステップと、
   前記タッチ入力が前記予め設定された持続時間内に受信されない場合、または予め設定された数のタッチ入力に達した場合に、前記セキュア領域の前記第２のプログラムから非セキュア領域の前記第１のプログラムに動作を移行するステップと、
   を含み、
   前記セキュア領域は、セキュリティ保護を要するセキュア応用プログラムの実行環境であり、前記非セキュア領域は、前記セキュリティ保護を要しない非セキュア応用プログラムの実行環境であることを特徴とする、タッチ入力セキュア方法。
2. 前記タッチ入力を受信するステップと、
   前記タッチ入力と前記ユーザ入力画面を参照して入力された情報を識別するステップと、
   をさらに含むことを特徴とする、請求項１に記載のタッチ入力セキュア方法。
3. 前記タッチ入力を受信するステップは、前記セキュア領域で遂行されることを特徴とする、請求項２に記載のタッチ入力セキュア方法。
4. 前記ユーザ入力画面及び前記タッチ入力のうち、少なくとも１つに対するアクセスを制限するステップをさらに含むことを特徴とする、請求項１〜３のいずれか１項に記載のタッチ入力セキュア方法。
5. 前記ユーザ入力画面は、一部領域に仮想入力パッドを含むことを特徴とする、請求項１、２又は４のいずれか１項に記載のタッチ入力セキュア方法。
6. 前記仮想入力パッドは、キーパッドまたはドローイングパッドであることを特徴とする、請求項５に記載のタッチ入力セキュア方法。
7. 前記セキュア入力画面を出力するステップは、前記ユーザ入力画面を最上にオーバーレイして表示するステップであることを特徴とする、請求項１〜６のいずれか１項に記載のタッチ入力セキュア方法。
8. 前記セキュア入力画面は、セキュア入力要請信号の受信に応答して出力されることを特徴とする、請求項１に記載のタッチ入力セキュア方法。
9. セキュリティ保護を要するセキュア応用プログラムの実行環境であるセキュア領域でタッチパネルを介してタッチ入力を受け取るためのユーザ入力画面がレンダリングされるセキュアオーバーレイフレームバッファと、
   前記セキュリティ保護を要しない非セキュア応用プログラムの実行環境である非セキュア領域で、前記タッチ入力を受け付ける領域なしに、前記タッチ入力を要求するユーザインターフェースプログラムの実行画面がレンダリングされる非セキュアオーバーレイフレームバッファと、
   セキュア入力画面を出力する表示部と、
   前記タッチパネルのセキュリティ属性と、前記セキュア領域に含まれ、前記ユーザ入力画面を格納するメモリ領域のセキュリティ属性とをセキュアに設定し、前記実行画面の上にオーバーレイされて前記セキュア入力画面が出力されるように前記ユーザ入力画面を表示するように前記表示部を制御する制御部と、
   を含み、
   前記制御部は、前記非セキュア領域を提供する非セキュアコアプロセッサと、前記セキュア領域を提供するセキュアコアプロセッサを備え、
   前記セキュリティ属性がセキュアに設定されている場合に、前記非セキュアコアプロセッサが提供する前記非セキュア領域の第1のプログラムが前記タッチパネルと前記メモリ領域とにアクセスすることを遮断するとともに、前記セキュアコアプロセッサが提供する前記セキュア領域の第2のプログラムが前記タッチパネルと前記メモリ領域とにアクセスすることを許可し、
   前記制御部は、さらに、
   予め設定された持続時間内に前記セキュア入力画面を介して前記タッチ入力が受信されたか否かを判断し、
   前記タッチ入力が前記予め設定された持続時間内に受信されたとき、前記セキュア領域内で前記タッチ入力を処理し、
   前記タッチ入力が前記予め設定された持続時間内に受信されない場合、または予め設定された数のタッチ入力に達した場合に、前記セキュア領域の前記第２のプログラムから非セキュア領域の前記第１のプログラムに動作を移行する、
   ことを特徴とする、タッチ入力セキュア装置。
10. 前記制御部は、前記セキュアオーバーレイフレームバッファのセキュリティ属性を設定することを特徴とする、請求項９に記載のタッチ入力セキュア装置。
11. 前記タッチパネルに接続された割り込みラインをさらに含み、
    前記割り込みラインは、前記制御部にタッチ入力を送信し、前記制御部は、前記割り込みラインのセキュリティ属性を設定することを特徴とする、請求項９又は１０に記載のタッチ入力セキュア装置。
12. 前記制御部は、セキュア入力要請信号の受信に応答して前記セキュアオーバーレイフレームバッファと前記タッチパネルのセキュリティ属性を設定することを特徴とする、請求項９〜１１のいずれか１項に記載のタッチ入力セキュア装置。
13. 前記制御部は、前記ユーザ入力画面と前記タッチ入力を参照して、前記タッチパネルを通じて入力されるセキュア情報を識別することを特徴とする、請求項９〜１２のいずれか１項に記載のタッチ入力セキュア装置。
14. 前記制御部は、前記セキュア領域で前記セキュア情報を識別することを特徴とする、請求項１３に記載のタッチ入力セキュア装置。
15. 前記制御部は、前記セキュア領域で前記セキュア情報を暗号化し、前記セキュア領域または前記非セキュア領域でＵＩＣＣ（Universal Integrated Chip Card）またはＳＥ（Secure Element）の少なくとも一つに転送することを特徴とする、請求項１３又は１４に記載のタッチ入力セキュア装置。
16. 前記ＵＩＣＣ及びＳＥの少なくとも一つは、前記暗号化されたセキュア情報を復号化して、予め設定された暗号と一致するか否かを判断することを特徴とする、請求項１５に記載のタッチ入力セキュア装置。
17. 前記ユーザ入力画面は、一部領域に仮想入力パッドを含むことを特徴とする、請求項９〜１６のいずれか１項に記載のタッチ入力セキュア装置。
18. 前記仮想入力パッドは、キーパッドまたはドローイングパッドであることを特徴とする、請求項１７に記載のタッチ入力セキュア装置。
19. 前記制御部は、前記ユーザ入力画面が前記セキュア入力画面の最上にオーバーレイされるように前記表示部を制御することを特徴とする、請求項９〜１８のいずれか１項に記載のタッチ入力セキュア装置。
20. 前記制御部は、
    格納部の一部領域をセキュア領域として設定し、前記格納部のセキュア領域に対する非セキュアコアプロセッサのアクセスを遮断し、前記格納部のセキュア領域に対するセキュアコアプロセッサのアクセスをサポートするアドレス空間制御部（address space controller）と、
    周辺機器のセキュリティ属性を設定するプロテクション制御部（protection controller）と、
    セキュリティ属性が設定された周辺機器に対する前記非セキュアコアプロセッサのアクセスを遮断し、セキュリティ属性が設定された周辺機器に対する前記セキュアコアプロセッサのアクセスをサポートするブリッジ（bridge）と、
    割り込みラインのセキュリティ属性を設定し、セキュア設定された割り込みラインに対する前記非セキュアコアプロセッサのアクセスを遮断し、セキュリティ属性が設定された割り込みラインに対する前記セキュアコアプロセッサのアクセスをサポートする割り込み制御部（interrupt controller）を含むことを特徴とする、請求項９〜１９のいずれか１項に記載のタッチ入力セキュア装置。
21. 前記プロテクション制御部（protection controller）は、前記表示部と前記タッチパネルを含むタッチスクリーンのセキュリティ属性を設定することを特徴とする、請求項２０に記載のタッチ入力セキュア装置。
22. 前記割り込み制御部（interrupt controller）は、前記タッチパネルに連結された割り込みラインのセキュリティ属性を設定することを特徴とする、請求項２０に記載のタッチ入力セキュア装置。
23. タッチパネルと表示部とを含むタッチスクリーンと、
    ピンコード入力セキュリティモジュールを格納するセキュア格納部と、
    ＰＩＮ ＵＩプログラム及びエージェントを格納する非セキュア格納部と、
    前記タッチスクリーン、前記セキュア格納部、及び前記非セキュア格納部を制御する制御部と、を含み、
    前記制御部は、セキュリティ保護を要しない非セキュア応用プログラムの実行環境である非セキュア領域を提供する非セキュアコアプロセッサと、前記セキュリティ保護を要するセキュア応用プログラムの実行環境であるセキュア領域を提供するセキュアコアプロセッサとを備え、
    前記ＰＩＮ ＵＩプログラムがユーザ入力に応答してセキュア入出力要請を前記エージェントに転送し、
    エージェントは、前記セキュア入出力要請に応答して前記ピンコード入力セキュリティモジュールを起動し、
    前記ピンコード入力セキュリティモジュールは、前記タッチパネルのセキュリティ属性とオーバーレイフレームバッファのセキュリティ属性とをセキュアに設定し、セキュア入力画面を生成するために、前記セキュアに設定されたセキュアオーバーレイフレームバッファで、前記ＰＩＮ ＵＩプログラムの非セキュア実行画面の上にオーバーレイ表示されるキーパッド画面がレンダリングされるように指示し、
    予め設定された持続時間内にセキュリティ属性がセキュアに設定された前記タッチパネルから前記セキュア入力画面を介してタッチ入力が受信されたか否かを判断し、
    前記タッチ入力が前記予め設定された持続時間内に受信されたとき、前記受信されたタッチ入力を前記ＰＩＮ ＵＩプログラムに転送するか又はタッチ入力処理装置に転送し、
    前記ＰＩＮ ＵＩプログラムの前記非セキュア実行画面は、前記タッチ入力を受け付ける領域がない状態でレンダリングされ、
    前記タッチパネルのセキュリティ属性と、前記セキュアオーバーレイフレームバッファのセキュリティ属性とがセキュアに設定されている場合に、前記非セキュアコアプロセッサは、前記タッチパネルと前記キーパッド画面を格納している前記セキュアオーバーレイフレームバッファとにアクセスすることを遮断され、前記セキュアコアプロセッサは、前記タッチパネルと前記セキュアオーバーレイフレームバッファとにアクセスすることを許可され、
    前記タッチ入力が前記予め設定された持続時間内に受信されない場合に、前記セキュリティ属性がセキュアから非セキュアに遷移され、
    予め設定された数のタッチ入力が前記タッチパネル上で達成された場合に、前記セキュリティ属性がセキュアから非セキュアに遷移されることを特徴とする、タッチ入力セキュア装置。
24. 前記タッチ入力処理装置は、
    ＵＩＣＣ（Universal Integrated Circuit Card）またはＳＥ（Secure Element）の一つであることを特徴とする、請求項２３に記載のタッチ入力セキュア装置。
25. 前記ピンコード入力セキュリティモジュールは、
    前記タッチ入力に対応する記号を前記セキュアオーバーレイフレームバッファに出力することを特徴とする、請求項２３又は２４に記載のタッチ入力セキュア装置。
26. 前記ピンコード入力セキュリティモジュールは、前記受信したタッチ入力を暗号化し、前記暗号化されたタッチ入力を前記ＰＩＮ ＵＩプログラムに転送するか又はタッチ入力処理装置に転送することを特徴とする、請求項２３〜２５のいずれか１項に記載のタッチ入力セキュア装置。