JP6887522B2 - セキュリティコプロセッサにおける環境状況の検証およびユーザ認証 - Google Patents

Description

背景
今日のモバイル機器ユーザは、モバイル機器に、信頼性が高い通信を提供することを期待しているだけでなく、セキュリティ、ならびにモバイル機器の利用、モバイル機器上に格納されたデータ、およびモバイル機器が実行する動作に対する脅威からの保護を提供することも期待している。多くの脅威が存在する。脅威として、承認されていないユーザ、紛失または盗まれたモバイル機器、モバイル機器の意図しない使用（たとえば、モバイル機器上のマイクロフォンによる盗聴）、モバイル機器上のデータもしくはアプリケーションを危険に晒す可能性のあるマルウェアまたはスパイウェア、またはモバイル機器から意図しない受信者への通信が挙げられる。これらの各々は、モバイル機器のセキュリティ、モバイル機器のユーザ、またはモバイル機器上に格納されたデータを危険に晒す可能性がある。

従来のモバイル機器アーキテクチャは、モバイル機器を操作するためのメモリおよび複数の処理コアを有するＳｏＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）コンポーネントに依拠する。モバイル機器への脅威に対するセキュリティは、通常、ＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）コンポーネントまたは個別のＳＥ（Ｓｅｃｕｒｅ Ｅｌｅｍｅｎｔ）コンポーネントなど、ＳｏＣコンポーネントとは別の全く異なる１つのセキュアエレメントによって提供される機能に依拠する。モバイル機器上に格納されたデータを保護するために、ＴＰＭ／ＳＥコンポーネントは、たとえば、信号を受信し、この信号に基づいて、パスワード、暗号化キー、または証明書の認証などの認証サービスを目的とするセキュリティ操作を行うことができる。しかしながら、ＴＰＭ／ＳＥコンポーネントの利用には、モバイル機器を直接操作または制御することに関して制限がある。たとえば、ＴＰＭ／ＳＥコンポーネント自体が認証セキュリティ操作を実行することに費やされている、または、ＴＰＭ／ＳＥコンポーネント自体が危険に晒されている場合、モバイル機器機能を有効化または制限することを目的とするセキュリティ操作が実行可能でない場合がある。

概要
この概要は、詳細な説明および図面においてさらに説明する主題を紹介するために提供される。したがって、この概要を必須の特徴を説明するものとみなすべきでなく、クレームされた主題の範囲を限定するために用いるべきでもない。

いくつかの態様では、ＣＳＣ（Ｃｅｎｔｒａｌ Ｓｅｃｕｒｉｔｙ Ｃｈｉｐ）コンポーネントに含まれる中央セキュリティプロセッサデバイスと、ＳｏＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）コンポーネントに含まれるデリゲートセキュリティプロセッサデバイスと、ユーザ入力サブシステムとを備える装置を説明する。中央セキュリティプロセッサデバイスは、ユーザ入力サブシステムを介してユーザから入力信号を受信し、セキュリティ状況を判断し、セキュリティ状況を判断したことに応答してセキュリティ状況信号をデリゲートセキュリティプロセッサデバイスに送信するように構成される。デリゲートセキュリティプロセッサデバイスは、この信号を受信し、信号を受信したことに応答してＳｏＣコンポーネントにセキュリティ操作を行わせるように構成される。

いくつかの態様では、ＣＳＣコンポーネントに含まれる中央セキュリティプロセッサデバイスと、ＳｏＣコンポーネントに含まれるデリゲートセキュリティプロセッサデバイスと、センサーサブシステムとを備える装置を説明する。中央セキュリティプロセッサデバイスは、センサーサブシステムからの検知信号を受信し、セキュリティ状況を判断し、セキュリティ状況を判断したことに応答してデリゲートセキュリティプロセッサデバイスにセキュリティ状況信号を送信するように構成される。デリゲートセキュリティプロセッサデバイスは、この信号を受信し、信号を受信したことに応答してＳｏＣコンポーネントにセキュリティ操作を行わせるように構成される。

その他の態様では、装置によって実行される方法を記載する。この方法では、ＳｏＣコンポーネントに含まれるデリゲートプロセッサデバイスが、セキュリティ状況信号を受信する。セキュリティ状況信号は、ＳｏＣコンポーネントとは別の全く異なるＣＳＣコンポーネントに含まれる中央セキュリティプロセッサからの信号であって、中央セキュリティプロセッサデバイスが検知信号または入力信号を受信したことに応答して中央セキュリティプロセッサデバイスによって送られる。次に、デリゲートセキュリティプロセッサデバイスは、セキュリティ状況信号を受信したことに応答してＳｏＣコンポーネントにセキュリティ操作を行わせる。

１つ以上の実施形態の詳細を、添付の図面および以下の説明に説明する。その他の特徴および利点は、当該説明および図面から、ならびに請求の範囲から明らかになるだろう。

電子コンピューティングデバイス用の中央セキュリティプロセッサおよびデリゲートセキュリティプロセッサの１つ以上の態様の詳細を以下に説明する。説明および図面におけるそれぞれ異なる具体例での同じ参照番号の使用は、同様の要素を示し得る。
１つ以上の態様に応じて組み込まれた様々な電子コンピューティングデバイスを含む例示的な動作環境を示す図である。 １つ以上の態様に係る、入力信号がＣＳＣコンポーネントに送られ、次にＣＳＣコンポーネントが当該入力信号を処理してＳｏＣコンポーネントに通信する構成を有する例示的な装置を示す図である。 １つ以上の態様に係る、中央セキュリティプロセッサデバイスに信号で伝えられる例示的なユーザ入力を示す図である。 １つ以上の態様に係る、検知信号がＣＳＣコンポーネントに送られ、次にＣＳＣコンポーネントが当該検知信号を処理してＳｏＣコンポーネントに通信する構成を有する例示的な装置を示す図である。 １つ以上の態様に係る、センサーサブシステムによって検知され、中央セキュリティプロセッサデバイスに信号で伝えられる例示的な検知された環境状況を示す図である。 １つ以上の態様に係る、装置のデリゲートセキュリティプロセッサデバイスが実行する例示的な方法を説明する図である。 １つ以上の態様に係る、装置の中央セキュリティプロセッサデバイスが実行する例示的な方法を説明する図である。 １つ以上の態様に係る、中央セキュリティプロセッサデバイスとデリゲートセキュリティプロセッサデバイスとを有する装置上で実行される例示的な方法を説明する図である。

詳細な説明
モバイル機器の従来のアーキテクチャは、モバイル機器を操作するために必要なメモリおよび複数の処理コアデバイスから構成される集積回路（ＩＣ）を有するＳｏＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）コンポーネントに依拠する。モバイル機器への脅威に対するセキュリティは、通常、ＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）コンポーネントまたはさらなるＩＣ回路部を有する個別のＳＥ（Ｓｅｃｕｒｅ Ｅｌｅｍｅｎｔ）コンポーネントなど、１つのセキュアエレメントが提供するサービスに依拠する。モバイル機器上に格納されたデータを保護するために、このようなコンポーネントは、たとえば、信号を受信し、この信号に基づいて、パスワード、暗号化キー、または証明書の認証などの認証サービスを行うことができる。評価保証レベル（ＥＡＬ：Ｅｖａｌｕａｔｉｏｎ Ａｓｓｕｒａｎｃｅ Ｌｅｖｅｌ）カテゴリランキングなどのセキュリティ保証に関する認証（Ｓｅｃｕｒｉｔｙ Ａｓｓｕｒａｎｃｅ Ｃｅｒｔｉｆｉｃａｔｉｏｎ）の検査をモバイル機器が合格するためにはＴＰＭ／ＳＥコンポーネントがＳｏＣコンポーネントを含むモバイル機器のその他のコンポーネントとは別の全く異なるものである必要がある場合が多い。これに加えて、ＴＰＭ／ＳＥコンポーネントの一部として含まれ、かつ、ＴＰＭ／ＳＥコンポーネントが機能するために必要なＩＣ回路部、特定的には、ＴＰＭ／ＳＥ専用の記憶装置に必須のＩＣ回路部は、ＳｏＣ製造技術の限界により、ＳｏＣコンポーネントの一部として製造可能ではない可能性がある。これにより、ＴＰＭ／ＳＥ専用の記憶装置を有するＴＰＭ／ＳＥコンポーネントがＳｏＣコンポーネントとは別の全く異なるものであることをさらに必要とする。

特に、モバイル機器の操作を制御することに関して、ＴＰＭ／ＳＥコンポーネントはパッシブである。セキュリティ状況が進展した場合、ＴＰＭ／ＳＥコンポーネントは、たとえば、ユーザ入力機能、検知機能、電力管理機能、メモリ管理機能、または通信システム機能を実行するために利用され得るモバイル機器のサブシステムを直接有効化または無効化することができない。このような場合、モバイル機器のサブシステムの有効化または無効化を直接制御することを維持するためのＳｏＣを利用するアーキテクチャが必要である。

セキュリティポリシーは、通常、モバイル機器がセキュリティ状況を経験したときに、モバイル機器のサブシステムを有効化または無効化する場合に利用されるプロトコルを定義する。このようなセキュリティポリシーは、モバイル機器のユーザによって作られ、たとえば、モバイル機器の特定のユーザ、特定のセキュリティ状況、または特定のモバイル機器自体を含む様々な要因によって異なり得る。

本開示は、ＣＳＣ（Ｃｅｎｔｒａｌ Ｓｅｃｕｒｉｔｙ Ｃｈｉｐ）コンポーネントに含まれる中央セキュリティプロセッサデバイスおよびＳｏＣコンポーネントに含まれるデリゲートセキュリティプロセッサデバイスを利用して、セキュリティポリシーに従ってモバイル機器のセキュリティを維持するための装置および方法を説明する。中央セキュリティプロセッサデバイスは、受信した信号、および、こちらもＣＳＣに含まれる記憶装置に格納されたデータに基づいて、セキュリティ状況を判断する。次に、特定のセキュリティポリシーに従ってモバイル機器のセキュリティを維持するために、中央セキュリティプロセッサデバイスは、デリゲートセキュリティプロセッサデバイスにセキュア制御／通信ネットワークを介して信号を送信する。次に、デリゲートセキュリティプロセッサデバイスは、ＳｏＣコンポーネントに、セキュリティ操作を実行するためにＳｏＣコンポーネントに含まれる１つ以上のサブシステム処理コアに依拠してセキュリティ操作を行わせる。

下記の説明では、動作環境、この動作環境のコンポーネントを含めることができる装置、およびこの動作環境で使用され得る方法を記載する。本開示のコンテキストでは、一例として、この動作環境について言及する。

動作環境
図１は、１つ以上の態様に係る、様々な電子コンピューティングデバイスを含む例示的な動作環境１００を示す図である。様々な電子コンピューティングデバイスは、携帯電話１０２、携帯情報端末１０４、タブレット端末１０６、およびラップトップコンピュータ１０８など、モバイルコンピューティングデバイスを含む。また、動作環境は、パーソナルコンピュータ１１０など、非モバイルコンピューティングデバイスを含んでもよい。

一般に、様々な電子コンピューティングデバイスは、各々、様々なコンポーネント、ＩＣベースのコンポーネント、またはそれ以外が入れられた少なくとも１つのＰＣＢ（プリント回路基板）モジュール１２０を備えることになる。この例では、ＰＣＢモジュールは、１つ以上の層からなる誘電体および導電回路部を含むプリント回路基板１２２と、中央セキュリティプロセッサデバイス１２６を有するＣＳＣ（Ｃｅｎｔｒａｌ Ｓｅｃｕｒｉｔｙ Ｃｈｉｐ）コンポーネント１２４と、デリゲートセキュリティプロセッサデバイス１３０を有するＳｏＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）コンポーネント１２８とを備える。

動作環境１００のコンテキストにおいて、電子コンピューティングデバイスは、機密データへのアクセス、機密データの交換、表示、または記録を行う任意の数の機密操作を行ってもよい。機密データへのアクセス、機密データの交換、表示、または記録は、たとえば、金融取引を行うこと、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）の一部である物理デバイスの機能を開始すること、またはＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ−Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）を介して自動車操作を制御することの構成部分であってもよい。機密操作は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）などを含む様々なネットワークのうちの任意の１つを介して直接または間接的に別の電子コンピューティングデバイスに通信する電子コンピューティングデバイスを介して行われてもよい。様々なネットワークを介して通信することは、Ｗｉ−Ｆｉ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、光ファイバー、または赤外線通信を含む任意の数の通信技術によってサポートされてもよい。電子コンピューティングデバイスによって機密操作が行われていると、電子コンピューティングデバイスのセキュアな操作を脅かすセキュリティ状況が確かに存在しないことが望ましい。このようなセキュリティ状況は、たとえば、意図しないユーザによる電子コンピューティングデバイスのアクセス（直接であれリモートであれ）、または、使用される予定がない環境に電子コンピューティングデバイスが存在することであってもよい。動作環境１００のコンテキストにおいて、ＣＳＣコンポーネント１２４に含まれる中央セキュリティプロセッサデバイス１２６は、このようなセキュリティ状況が存在することを判断するために用いられ、これに応答してＳｏＣコンポーネント１２８に含まれるデリゲートセキュリティプロセッサデバイス１３０にセキュリティ状況信号を送信し、これに応答して、デリゲートセキュリティプロセッサデバイス１３０は、電子コンピューティングデバイスの任意の数のサブシステムを直接有効化または無効化するセキュリティ操作を行うことができる。しかしながら、セキュリティ状況が存在しないと判断され、かつ、ユーザデバイスがセキュア（または「安全」）である場合、中央セキュリティプロセッサデバイス１２６は、デリゲートセキュリティプロセッサデバイス１３０にセキュリティ状況信号を送信せず、ＳｏＣコンポーネント１２８は、セキュリティ操作を行わせられない。行われる特定のセキュリティ操作は、電子コンピューティングデバイスのユーザが履行するセキュリティポリシーによって規定されてもよい。

図２は、構成２００を有する例示的な装置を示す図であり、構成２００では、当該装置のＣＳＣコンポーネント１２４に含まれる中央セキュリティプロセッサデバイス１２６に入力信号２０２が送られる。中央セキュリティプロセッサデバイス１２６は、この装置のＳｏＣコンポーネント１２８上に含まれるデリゲートセキュリティプロセッサデバイス１３０と通信を行うように構成される。動作環境１００に応じて、かつ、評価保証レベル（Ｅｖａｌｕａｔｉｏｎ Ａｓｓｕｒａｎｃｅ Ｌｅｖｅｌ）要件によって決定されるように、ＳｏＣコンポーネント１２８は、ＣＳＣコンポーネント１２４とは別である。装置は、装置ユーザ入力サブシステム２０４、装置センサーサブシステム２０６、装置メモリサブシステム２０８、装置電力サブシステム２１０、装置ディスプレイサブシステム２１２、および装置通信サブシステム２１４を含む複数の装置サブシステムをさらに含む。

また、ＣＳＣコンポーネント１２４は、データを格納したＣＳＣコンポーネント記憶装置２１６を備えるＩＣ回路部を含む。中央セキュリティプロセッサデバイス１２６は、入力信号２０２を受信すると、受信した入力信号２０２およびＣＳＣコンポーネント記憶装置２１６に格納されたデータに基づいて、セキュリティ状況が存在するかどうかを判断するように構成される。セキュリティ状況が存在する場合、中央セキュリティプロセッサデバイス１２６は、デリゲートセキュリティプロセッサデバイス１３０にセキュリティ状況信号を送信する。

また、ＳｏＣコンポーネント１２８は、ＳｏＣコンポーネント記憶装置２１８を備えるＩＣ回路部を含む。ＳｏＣコンポーネント記憶装置２１８は、命令を格納したコンピュータ読み取り可能な記憶装置であり、命令は、実行されると、中央セキュリティプロセッサデバイス１２６に、セキュリティ状況信号を受信したことに応答してセキュリティ操作を行わせる。また、ＳｏＣコンポーネント１２８は、その他の命令を処理するために使用される複数の装置サブシステムコアデバイスのＩＣ回路部を構成する。当該その他の命令は、ＳｏＣコンポーネント記憶装置２１８に格納され、また、装置ユーザ入力コアデバイス２２０、装置センサーコアデバイス２２２、装置メモリコアデバイス２２４、装置電源管理コアデバイス２２６、装置ディスプレイコアデバイス２２８、および装置通信コアデバイス２３０が行う操作を含む装置の操作を制御する。対応するサブシステムを操作するために、装置サブシステムコアデバイス２２０〜２３０は、対応する装置サブシステム２０４〜２１４と通信を行ってもよい。

装置内の通信は、中央セキュリティプロセッサデバイス１２６およびデリゲートセキュリティプロセッサデバイス１３０が外部セキュア制御／通信バス２３２を介して通信を行うように構成される。ここで、外部セキュア制御／通信バス２３２は、ＣＳＣコンポーネント１２４およびＳｏＣコンポーネント１２８の外部にある。デリゲートセキュリティプロセッサデバイス１３０、ＳｏＣコンポーネント記憶装置２１８、および装置サブシステムコアデバイス２２０〜２３０は、内部ＳｏＣコンポーネント１２８である内部セキュア制御／通信バス２３４を介して通信する。

中央セキュリティプロセッサデバイス１２６が入力信号２０２を受信し、セキュリティ状況を判断し、デリゲートセキュリティプロセッサ１３０にセキュリティ状況信号を送信する場合、中央セキュリティプロセッサデバイス１２６は、セキュリティポリシーに従って、かつ、中央セキュリティプロセッサデバイス１２６から独立して、装置サブシステムコアデバイス２２０〜２３０に通信し、そして今度は装置サブシステムコアデバイス２２０〜２３０がセキュリティポリシーに従って１つ以上のセキュリティ操作を行うように装置サブシステム２０４〜２１４に信号で伝える。

これらのセキュリティ操作は、たとえば、情報が表示できないように装置のディスプレイを無効化すること、意図しないユーザがこのデバイスを使用できないように装置の電源を切ること、機密情報にアクセスできないように装置の記憶装置へのデータ経路を遮断すること、装置が装置の周囲のビジュアルまたは可聴状況を記録できないように装置のセンサーデバイスを無効化すること、または装置による意図しない情報の送信または受信を防ぐために装置の通信を無効化することを含む装置の機能を目的とするセキュリティ操作を含んでもよい。また、デリゲートセキュリティプロセッサデバイス１３０は、テンプレート照合操作、キーマスタ操作、または暗号化セキュリティ操作など、データセキュリティおよび認証を目的とするセキュリティ操作を行ってもよく、そうでない場合、これらの操作は中央セキュリティプロセッサデバイス１２６によって行われてもよい。

図３は、動作環境１００に従って中央セキュリティプロセッサデバイス１２６に信号で伝えられる例示的なユーザ入力を示す図である。ユーザ入力は、ユーザ入力サブシステム２０４を介した入力であり、ユーザ入力サブシステム２０４は、キーパッド、マイクロフォン、スキャナ、画像キャプチャ装置などを含み得る。ユーザ入力は、たとえば、指紋３００、虹彩パターン３０２、またはパスワードもしくは個人識別番号３０４を含んでもよい。また、ユーザ入力は、音声認識のための十分な音声コマンド３０６を含んでもよい。このようなユーザ入力は、たとえば、ＣＳＣ記憶装置２１６に格納されたデータに基づいて、装置のユーザの認証に関する１つ以上のセキュリティ状況を判断するために中央セキュリティプロセッサデバイス１２６によって用いられてもよい。

これに加えて、または、これに代えて、ユーザ入力サブシステム２０４は、中央セキュリティプロセッサデバイス１２６にパッシブに入力信号を提供してもよい。たとえば、ユーザ入力サブシステムのマイクロフォンまたは画像キャプチャ装置は、デバイスの周囲およびデバイスの近くのユーザをパッシブに監視してもよく、ユーザからの直接のアクティブな入力なしに、中央セキュリティプロセッサデバイス１２６に入力信号を送信してもよい。次に、中央セキュリティプロセッサデバイス１２６は、セキュリティ状況が存在すると判断してもよく、それに応じて中央セキュリティプロセッサデバイス１２６にセキュリティ状況信号を送信してもよい。

図４は、構成４００を有する例示的な装置を示す図であり、構成４００では、当該装置のＣＳＣコンポーネント１２４に含まれる中央セキュリティプロセッサデバイス１２６に検知信号４０２が送られる。中央セキュリティプロセッサデバイス１２６は、装置のＳｏＣコンポーネント１２８上に含まれるデリゲートセキュリティプロセッサデバイス１３０と通信を行うように構成される。動作環境１００に応じて、かつ、評価保証レベル（Ｅｖａｌｕａｔｉｏｎ Ａｓｓｕｒａｎｃｅ Ｌｅｖｅｌ）要件によって決定されるように、ＳｏＣコンポーネント１２８は、ＣＳＣコンポーネント１２４とは別である。装置は、装置ユーザ入力サブシステム２０４、装置センサーサブシステム２０６、装置メモリサブシステム２０８、装置電力サブシステム２１０、装置ディスプレイサブシステム２１２、および装置通信サブシステム２１４を含む複数の装置サブシステムをさらに含む。

また、ＣＳＣコンポーネント１２４は、データを格納したＣＳＣコンポーネント記憶装置２１６を備えるＩＣ回路部を含む。入力信号２０２を受信すると、中央セキュリティプロセッサデバイス１２６は、受信した入力信号２０２およびＣＳＣコンポーネント記憶装置２１６に格納されたデータに基づいて、セキュリティ状況が存在するかどうかを判断するように構成される。セキュリティ状況が存在する場合、中央セキュリティプロセッサデバイス１２６は、デリゲートセキュリティプロセッサデバイス１３０にセキュリティ状況信号を送信する。

また、ＳｏＣコンポーネント１２８は、ＳｏＣコンポーネント記憶装置２１８を備えるＩＣ回路部を含む。ＳｏＣコンポーネント記憶装置２１８は、命令を格納したコンピュータ読み取り可能な記憶装置であり、命令は、実行されると、中央セキュリティプロセッサデバイス１２６に、セキュリティ状況信号を受信したことに応答してセキュリティ操作を行わせる。また、ＳｏＣコンポーネント１２８は、その他の命令を処理するために使用される複数の装置サブシステムコアデバイスのＩＣ回路部を構成する。当該その他の命令は、ＳｏＣコンポーネント記憶装置２１８に格納され、また、装置ユーザ入力コアデバイス２２０、装置センサーコアデバイス２２２、装置メモリコアデバイス２２４、装置電源管理コアデバイス２２６、装置ディスプレイコアデバイス２２８、および装置通信コアデバイス２３０が行う操作を含む装置の操作を制御する。対応するサブシステムを操作するために、装置サブシステムコアデバイス２２０〜２３０は、対応する装置サブシステム２０４〜２１４と通信を行ってもよい。

装置内の通信は、中央セキュリティプロセッサデバイス１２６およびデリゲートセキュリティプロセッサデバイス１３０が外部セキュア制御／通信バス２３２を介して通信を行うように構成される。ここで、外部セキュア制御／通信バス２３２は、ＣＳＣコンポーネント１２４およびＳｏＣコンポーネント１２８の外部にある。デリゲートセキュリティプロセッサデバイス１３０、ＳｏＣコンポーネント記憶装置２１８、および装置サブシステムコアデバイス２２０〜２３０は、内部ＳｏＣコンポーネント１２８である内部セキュア制御／通信バス２３４を介して通信する。

中央セキュリティプロセッサデバイス１２６が検知信号４０２を受信し、セキュリティ状況を判断し、中央セキュリティプロセッサデバイス１２６にセキュリティ状況信号を送信する場合、中央セキュリティプロセッサデバイス１２６は、セキュリティポリシーに従って、かつ、中央セキュリティプロセッサデバイス１２６から独立して、装置サブシステムコアデバイス２２０〜２３０に通信し、そして今度は装置サブシステムコアデバイス２２０〜２３０がセキュリティポリシーに従って１つ以上のセキュリティ操作を行うように装置サブシステム２０４〜２１４に信号で伝える。

これらのセキュリティ操作は、たとえば、情報が表示できないように装置のディスプレイを無効化すること、意図しないユーザがこのデバイスを使用できないように装置の電源を切ること、機密情報にアクセスできないように装置の記憶装置へのデータ経路を遮断すること、装置が装置の周囲のビジュアルまたは可聴状況を記録できないように装置のセンサーデバイスを無効化すること、または装置による意図しない情報の送信または受信を防ぐために装置の通信を無効化することを含む装置の機能を目的とするセキュリティ操作を含んでもよい。

また、デリゲートセキュリティプロセッサデバイス１３０は、テンプレート照合操作、キーマスタ操作、または暗号化セキュリティ操作など、データセキュリティおよび認証を目的とするセキュリティ操作を行ってもよく、そうでない場合、これらの操作は中央セキュリティプロセッサデバイス１２６によって行われてもよい。

図５は、例示的な検知された環境状況を示す図であり、当該環境状況は、センサーサブシステムによって検知され、動作環境１００の１つ以上の態様に係る中央セキュリティプロセッサデバイス１２６に信号で伝えられる。環境状況を示す装置の周囲の状況は、装置センサーサブシステム２０６によって検知される。装置センサーサブシステム２０６は、たとえば、通信またはレーダー技術において用いられる電波５００、位置またはＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍｓ）のために用いられる位置信号５０２、装置周囲の温度状況５０４、装置の周囲に存在し得るまたは装置と通信し得る光波５０６、装置の周囲に存在し得る電磁フラックス５０８、またはユーザへの装置の近さを示す近接信号５１０を検知するセンサーデバイスの任意の組合せによって構成されてもよい。

検知した１つの環境状況または検知された複数の環境状況の組合せは、装置からデータを抽出する承認を受けていない別の装置が装置にアクセスしているセキュリティ状況、装置が盗まれているまたは動作しない場所に搬送されているセキュリティ状況、装置を操作することが当該装置を損傷する可能性があるセキュリティ状況、または、装置が装置の所有者の近くにないセキュリティ状況を判断するために、中央セキュリティプロセッサデバイス１２６によって用いられてもよい。このような検知された状況は、たとえば、ＣＳＣ記憶装置２１６に格納されたデータに基づいて、セキュアでない環境に装置が存在することに関する１つ以上のセキュリティ状況を判断するために中央セキュリティプロセッサデバイス１２６によって用いられてもよい。

図６は、装置のデリゲートセキュリティプロセッサデバイスが実行する例示的な方法６００を説明する図である。上述したように、デリゲートセキュリティプロセッサデバイス１３０は、ＳｏＣコンポーネント１２８上に含まれてもよい。ステージ６０２において、デリゲートセキュリティプロセッサデバイスは、セキュリティ状況信号を受信する。ステージ６０４において、デリゲートセキュリティプロセッサデバイスは、セキュリティ状況信号を受信したことに応答してセキュリティ操作を行わせる。セキュリティ操作は、たとえば、情報が表示できないように装置のディスプレイを無効化すること、意図しないユーザがこのデバイスを使用できないように装置の電源を切ること、機密情報にアクセスできないように装置の記憶装置へのデータ経路を遮断すること、装置が装置の周囲のビジュアルまたは可聴状況を記録できないように装置のセンサーデバイスを無効化すること、または装置による意図しない情報の送信または受信を防ぐために装置の通信を無効化することを含む装置の機能を目的とするセキュリティ操作であってもよい。これに代えて、セキュリティ操作は、テンプレート照合操作を行う、キーマスタ操作を行う、または暗号化操作を行うなど、データセキュリティおよび認証を目的とするセキュリティ操作であってもよい。ステージ６０６において、デリゲートセキュリティプロセッサデバイスは、セキュリティ操作が行われたことを確認したことを示す確認信号を、必要に応じて送信する。

図７は、装置の中央セキュリティプロセッサデバイスが実行する例示的な方法７００を説明する図である。上述したように、中央セキュリティプロセッサデバイスは、ＣＳＣコンポーネント１２４上に含まれてもよい。ステージ７０２において、中央セキュリティプロセッサデバイスは、入力信号または検知信号を受信する。場合によっては、入力信号は、装置のユーザ入力サブシステムから受信されてもよく、虹彩パターン、パスワード、個人識別番号、または、音声コマンドであってもよい。その他の場合では、検知信号は、電波、位置、温度状況、光波、電磁フラックス、またはユーザへの装置の近さを検知する装置のセンサーサブシステムから受信してもよい。ステージ７０４において、中央セキュリティプロセッサデバイスは、格納されたデータおよび受信した入力信号または検知信号に基づいてセキュリティ状況を判断する。ステージ７０６において、中央セキュリティプロセッサデバイスは、セキュリティ状況を判断したことに応答してセキュリティ状況信号を送信する。ステージ７０８において、中央セキュリティプロセッサデバイスは、セキュリティ操作が実行されたことを確認する確認信号を、必要に応じて受信する。

図８は、中央セキュリティプロセッサデバイスとデリゲートセキュリティプロセッサデバイスとを有する装置上で実行される例示的な方法８００を説明する図である。上述したように、中央セキュリティプロセッサデバイスは、ＣＳＣコンポーネント１２４上に含まれてもよい。上述したように、デリゲートセキュリティプロセッサデバイスは、ＳｏＣコンポーネント１２８上に含まれてもよい。

ステージ８０２において、中央セキュリティプロセッサデバイスは、信号を受信する。場合によっては、この信号は、装置のユーザ入力サブシステムから受信されてもよく、虹彩パターン、パスワード、個人識別番号、または音声コマンドであってもよい。その他の場合では、この信号は、電波、位置、温度状況、光波、電磁フラックス、またはユーザへの装置の近さを検知する装置のセンサーサブシステムから受信してもよい。

ステージ８０４において、信号を受信したことに応答して、中央セキュリティプロセッサデバイスは、ＣＳＣコンポーネント上に格納されたデータの少なくとも一部に基づいて、セキュリティ状況を判断する。次に、中央セキュリティプロセッサデバイスは、セキュリティ状況を判断したことに応答してセキュリティ状況信号をデリゲートセキュリティプロセッサデバイスに送信する。

ステージ８０６において、セキュリティ状況信号を受信したことに応答して、デリゲートセキュリティプロセッサデバイスは、ＳｏＣにセキュリティ操作を行わせる。セキュリティ操作は、たとえば、情報が表示できないように装置のディスプレイを無効化すること、意図しないユーザがこのデバイスを使用できないように装置の電源を切ること、機密情報にアクセスできないように装置の記憶装置へのデータ経路を遮断すること、装置が装置の周囲のビジュアルまたは可聴状況を記録できないように装置のセンサーデバイスを無効化すること、または装置による意図しない情報の送信または受信を防ぐために装置の通信を無効化することを含む装置の機能を目的とするセキュリティ操作を含んでもよい。これに代えて、セキュリティ操作は、テンプレート照合操作を行う、キーマスタ操作を行う、または暗号化操作を行うなど、データセキュリティおよび認証を対象とするセキュリティ操作であってもよい。

まとめ
中央セキュリティプロセッサデバイスを有するＣＳＣコンポーネントおよびデリゲートセキュリティプロセッサデバイスを有するＳｏＣコンポーネントを用いた技術、およびそれらを備える装置について説明したが、当然ながら、添付の特許請求の範囲の主題は、上述の具体的な特徴または方法によって必ずしも限定されるわけではない。むしろ、当該具体的な特徴または方法を、中央セキュリティプロセッサデバイスおよびデリゲートセキュリティプロセッサデバイスを実装できる例示的な方法として開示する。

Claims (15)

1. 装置であって、
   ユーザから入力を受信するように構成されたユーザ入力サブシステムと、
   第１のセキュリティプロセッサデバイスを有するセキュリティコンポーネントとを備え、前記第１のセキュリティプロセッサデバイスは、
   前記ユーザ入力サブシステムを介して前記ユーザから入力信号を受信し、
   前記ユーザ入力サブシステムから受信した前記入力信号に基づいてセキュリティ状況を判断し、
   前記セキュリティ状況を判断したことに応答してセキュリティ状況信号を送信するように構成され、前記装置は、さらに、
   第２のセキュリティプロセッサデバイスを有する、前記セキュリティコンポーネントとは別のＳｏＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）コンポーネントを備え、前記第２のセキュリティプロセッサデバイスは、
   前記第１のセキュリティプロセッサデバイスから前記セキュリティ状況信号を受信し、
   前記セキュリティ状況信号を受信したことに応答して前記ＳｏＣコンポーネントにセキュリティ操作を行わせるように構成される、装置。
2. 前記ＳｏＣコンポーネントの内部にあり、前記第２のセキュリティプロセッサデバイスからの信号を前記ＳｏＣコンポーネントに含まれる記憶装置および前記ＳｏＣコンポーネントに含まれる装置サブシステムコアデバイスに送信するように構成される内部セキュア制御／通信ネットワークをさらに備える、請求項１に記載の装置。
3. 前記ユーザ入力サブシステムから前記入力信号を受信するように構成される前記第１のセキュリティプロセッサデバイスは、前記ユーザ入力サブシステムが個人識別番号、パスワード、指紋、虹彩パターン、または音声コマンドを受信したことに応答して前記ユーザ入力サブシステムによって生成される信号を受信する、請求項１または２に記載の装置。
4. 装置であって、
   環境状況を検知するように構成されたセンサーサブシステムと、
   第１のセキュリティプロセッサデバイスを有するセキュリティコンポーネントとを備え、前記第１のセキュリティプロセッサデバイスは、
   前記センサーサブシステムを介して検知信号を受信し、
   前記センサーサブシステムから受信した前記検知信号に基づいてセキュリティ状況を判断し、
   前記セキュリティ状況を判断したことに応答してセキュリティ状況信号を送信するように構成され、前記装置は、
   第２のセキュリティプロセッサデバイスを有する、前記セキュリティコンポーネントとは別のＳｏＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）コンポーネントをさらに備え、前記第２のセキュリティプロセッサデバイスは、
   前記第１のセキュリティプロセッサデバイスから前記セキュリティ状況信号を受信し、
   前記セキュリティ状況信号を受信したことに応答して前記ＳｏＣコンポーネントにセキュリティ操作を行わせる、装置。
5. 前記ＳｏＣコンポーネントの内部にあり、前記第２のセキュリティプロセッサデバイスからの信号を前記ＳｏＣコンポーネントに含まれる記憶装置および前記ＳｏＣコンポーネントに含まれる装置コアデバイスに送信するように構成される内部セキュア制御／通信ネットワークをさらに備える、請求項４に記載の装置。
6. 前記センサーサブシステムから検知信号を受信するように構成される前記第１のセキュリティプロセッサデバイスは、前記センサーサブシステムが電波、位置信号、温度状況、光波、電磁フラックス、または近接信号を検知したことに応答して前記センサーサブシステムによって生成される信号を受信する、請求項４または５に記載の装置。
7. 前記第１のセキュリティプロセッサデバイスからの前記セキュリティ状況信号を前記第２のセキュリティプロセッサデバイスに送信するように構成される外部セキュア制御／通信バスをさらに備える、請求項１〜６のいずれか１項に記載の装置。
8. 前記セキュリティ状況を判断するように構成される前記第１のセキュリティプロセッサデバイスは、前記セキュリティコンポーネント上に格納されたデータに基づいて前記セキュリティ状況を判断する、請求項１〜７のいずれか１項に記載の装置。
9. 前記ＳｏＣコンポーネントにセキュリティ操作を行わせるように構成される前記第２のセキュリティプロセッサデバイスは、前記ＳｏＣコンポーネントに前記装置のディスプレイを無効化させるまたは前記装置の電源を切らせる、請求項１〜８のいずれか１項に記載の装置。
10. 前記ＳｏＣコンポーネントにセキュリティ操作を行わせるように構成される前記第２のセキュリティプロセッサデバイスは、前記ＳｏＣコンポーネントに前記装置の記憶装置へのデータ経路を遮断させるまたは暗号化操作を開始させる、請求項１〜９のいずれか１項に記載の装置。
11. 前記ＳｏＣコンポーネントにセキュリティ操作を行わせるように構成される前記第２のセキュリティプロセッサデバイスは、前記ＳｏＣコンポーネントにセキュアテンプレート照合操作またはキーマスタ操作を行わせる、請求項１〜１０のいずれか１項に記載の装置。
12. 前記ＳｏＣコンポーネントにセキュリティ操作を行わせるように構成される前記第２のセキュリティプロセッサデバイスは、前記ＳｏＣコンポーネントに前記装置のセンサーデバイスを無効化させる、請求項１〜１１のいずれか１項に記載の装置。
13. 装置によって実行される方法であって、
    ＳｏＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ）コンポーネントに含まれる第１のセキュリティプロセッサデバイスが、前記ＳｏＣコンポーネントとは別のセキュリティコンポーネントに含まれる第２のセキュリティプロセッサデバイスによって送られ、前記第２のセキュリティプロセッサデバイスが検知信号または入力信号を受信したことに応答して送られるセキュリティ状況信号を受信するステップと、
    前記第１のセキュリティプロセッサデバイスが、前記セキュリティ状況信号を受信したことに応答して、前記ＳｏＣコンポーネントにセキュリティ操作を行わせるステップと、
    前記第１のセキュリティプロセッサデバイスが、前記ＳｏＣコンポーネントに前記セキュリティ操作を行わせることに応答して、前記第２のセキュリティプロセッサデバイスに確認信号を送信するステップとを含む、方法。
14. 前記第２のセキュリティプロセッサデバイスが受信した前記検知信号または入力信号は、
    前記装置のユーザによって入力される入力である、または、
    前記装置のセンサーサブシステムによって検知される環境状況を示すものである、請求項１３に記載の方法。
15. 請求項１３または１４に記載の方法をコンピュータに実行させるプログラム。

Images