JP7004478B2 - 情報処理装置、情報処理方法及び情報処理プログラム - Google Patents

Description

本開示は、改ざん検知に関する。

一般的に、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の起動時にＯＳが改ざんされていないことを検証するためには、セキュアブートが有効である。セキュアブートでは、ＯＳがストレージから読み出されるときにＯＳイメージから計算されたハッシュ値と、保存されている真正のハッシュ値とが一致するか否かが検証される。ハイパーバイザ環境におけるゲストＯＳの改ざん検知においても、セキュアブートが有効である。しかしながら、ゲストＯＳはベアメタル環境のＯＳと比べて複製及び再起動が頻繁に行われる。そのため、ゲストＯＳの再起動におけるセキュアブートの高速化が必要である。

単純に設計されたセキュアブートでは、前述のように、ストレージに格納されているＯＳイメージ全体のハッシュ値と、保存されている真正のハッシュ値との比較が行われ、ＯＳイメージの真正性が検証される。このため、単純に設計されたセキュアブートでは、ＯＳ再起動時の遅延が大きいという課題がある。

この点、セキュアブートに要する時間を削減する技術として、特許文献１に開示の技術がある。
特許文献１では、ＯＳの起動ごとに、ＯＳを複数に区分した部分プログラムのうち、ハッシュ値の検証対象となる１つの部分プログラムが選択される。そして、選択された部分プログラムのハッシュ値が算出される。また、算出されたハッシュ値が、当該部分プログラムの正解のハッシュ値である正解部分ハッシュ値と一致するか否かが判定される。算出されたハッシュ値と正解部分ハッシュ値が一致する場合にシステムの起動処理が継続される。

特開２０１５－０２２５２１号公報

特許文献１の技術では、ＯＳ起動時に、ハッシュ値の算出対象として予め定められた１つの部分プログラムにのみハッシュ値を算出し、算出したハッシュ値と正解部分ハッシュ値とが比較される。
このため、一部のＯＳページデータに一時的な書換え処理が行われた後にＯＳの再起動が行われる場合は、特許文献１の技術では、ハッシュ値の算出対象のＯＳページデータについてのみハッシュ値を用いた検証のみが行われる。つまり、特許文献１の技術では、書換え処理が行われたＯＳページデータについてはハッシュ値を用いた検証は行われない。
従って、特許文献１の技術では、書換え処理が行われたＯＳページデータの元データ（ストレージ上のデータ）に改ざんが行われていたとしても、当該改ざんを検出することができないという課題がある。

本開示は、上記のような課題を解決することを主な目的の一つとしている。より具体的には、本開示は、書換え処理が行われたＯＳページデータの元データへの改ざんを検出できる構成を得ることを主な目的とする。

本開示に係る情報処理装置は、
ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の動作中にいずれかのＯＳページデータへの書換え処理が検知された場合に、書換え前のＯＳページデータである書換え前ＯＳページデータのハッシュ値を書換え前ハッシュ値として算出する書換え前ハッシュ値算出部と、
前記ＯＳの再起動時及び前記ＯＳの再起動後のいずれかにストレージからメモリにロードされた前記書換え前ＯＳページデータのハッシュ値を再起動ハッシュ値として算出する再起動ハッシュ値算出部と、
前記書換え前ハッシュ値と前記再起動ハッシュ値とを比較するハッシュ値比較部とを有する。

本開示によれば、書換え処理が行われたＯＳページデータの元データへの改ざんを検出することができる。

実施の形態１に係る情報処理装置のハードウェア構成例を示す図。 実施の形態１に係る情報処理装置の機能構成例を示す図。 実施の形態１に係るハッシュ値テーブルの例を示す図。 実施の形態１に係る情報処理装置の動作例を示すフローチャート。 実施の形態１に係る情報処理装置の動作例を示すフローチャート。 実施の形態２に係る情報処理装置の動作例を示すフローチャート。 実施の形態３に係る情報処理装置の機能構成例を示す図。 実施の形態３に係る情報処理装置の動作例を示すフローチャート。 実施の形態３に係る情報処理装置の動作例を示すフローチャート。

以下、実施の形態を図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る情報処理装置１００のハードウェア構成例を示す。
情報処理装置１００はコンピュータである。
情報処理装置１００の動作手順は、情報処理方法に相当する。また、情報処理装置１００の動作を実現するプログラムは、情報処理プログラムに相当する。

図１に示すように、情報処理装置１００はプロセッサ１０１、ＲＡＭ（Ｒａｎｄｏｍ・Ａｃｃｅｓｓ・Ｍｅｍｏｒｙ）１０３、ストレージ１０４、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）装置１０５及びセキュア領域１０６を備える。プロセッサ１０１、ＲＡＭ１０３、ストレージ１０４、Ｉ／Ｏ装置１０５及びセキュア領域１０６は、バス１０２で接続される。

プロセッサ１０１は、情報処理装置１００の制御を行う演算装置である。プロセッサ１０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。情報処理装置１００は、プロセッサ１０１を複数個備えていてもよい。

ＲＡＭ１０３は、プロセッサ１０１上で実行中のプログラム、スタック、変数等が格納される揮発性記憶装置である。

ストレージ１０４は、プログラム、データ等が格納される不揮発性記憶装置である。ストレージ１０４は、例えば、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。

Ｉ／Ｏ装置１０５は、ディスプレイ、キーボード等の外部デバイスを接続するためのインタフェースである。

セキュア領域１０６は、暗号化で使用する鍵等の保存、暗号化処理の高速化等に使用されるデバイスである。セキュア領域１０６は、ＨＳＭ（Ｈａｒｄｗａｒｅ・Ｓｅｃｕｒｉｔｙ・Ｍｏｄｕｌｅ）等で実現される。
また、セキュア領域１０６は、ＳｏＣ（Ｓｙｓｔｅｍ－ｏｎ－ａ－Ｃｈｉｐ）の構成によって、バス１０２を経由せずにプロセッサ１０１と直接接続されていてもよい。
本実施の形態では、セキュア領域１０６は、セキュアブートのハッシュ値を格納するために使用される。本実施の形態のようにセキュア領域１０６がハッシュ値を格納する場合でも、セキュア領域１０６は、バス１０２に接続されていても、プロセッサ１０１に直接接続されていてもよい。

ここでは、プロセッサ１０１、ＲＡＭ１０３、ストレージ１０４、Ｉ／Ｏ装置１０５、セキュア領域１０６がバス１０２で接続される例を示しているが、プロセッサ１０１、ＲＡＭ１０３、ストレージ１０４、Ｉ／Ｏ装置１０５、セキュア領域１０６が他の接続形態によって接続されていてもよい。

図２は、本実施の形態に係る情報処理装置１００の機能構成例を示す。
本実施の形態では、情報処理装置１００は、ハイパーバイザ構成の仮想マシンである。

図２では、ＲＡＭ１０３において、ハイパーバイザ２０３が動作している。ハイパーバイザ２０３には、起動処理部２０３１、ハッシュ値算出部２０３２及びハッシュ値比較部２０３３が含まれる。起動処理部２０３１、ハッシュ値算出部２０３２及びハッシュ値比較部２０３３の詳細は後述する。

また、ＲＡＭ１０３では、ハイパーバイザ２０３の上でゲストＯＳカーネル２０２が動作する。ＲＡＭ１０３では、ゲストＯＳカーネル２０２はメモリページであるゲストＯＳページデータとして管理される。図２では、ゲストＯＳカーネル２０２は、ゲストＯＳページデータ２０２１～２０２６として管理されている。
ＲＡＭ１０３にロードされるゲストＯＳカーネル２０２はストレージ１０４にゲストＯＳカーネル２０１として格納されている。ストレージ１０４に格納されるゲストＯＳカーネル２０１とＲＡＭ上に展開されるゲストＯＳカーネル２０２は、記録方式やロード方式によって、データ形式が異なってもよい。

セキュア領域１０６のハッシュ値記憶領域２０４は、ストレージ１０４にあるゲストＯＳカーネル２０１全体の真正性を確認するためのハッシュ値を保存する。ハッシュ値記憶領域２０４に保存されているゲストＯＳカーネル２０１全体の真正性を確認するためのハッシュ値を、以下では照合ハッシュ値という。

ストレージ１０４のハッシュ値テーブル２０５は、ＲＡＭ１０３に展開されているゲストＯＳカーネル２０２のＯＳページデータのハッシュ値（後述する書換え前ハッシュ値）とアドレスを保存する。

起動処理部２０３１は、ゲストＯＳカーネル２０２の起動処理及び再起動処理を行う。
なお、ゲストＯＳカーネル２０２の起動とは、いずれのゲストＯＳページデータにも書換え処理が行われずにゲストＯＳカーネル２０２の動作が終了した後のゲストＯＳカーネル２０２の起動をいう。一方、ゲストＯＳカーネル２０２の再起動とは、いずれかのゲストＯＳページデータに書換え処理が行われてゲストＯＳカーネル２０２のリブートが行われる場合のゲストＯＳカーネル２０２の起動をいう。
起動処理部２０３１は、置換え処理部に相当する。

ハッシュ値算出部２０３２は、ハッシュ値を算出する。ハッシュ値算出部２０３２は、暗号学的ハッシュ関数を適用してハッシュ値を算出する。
具体的には、ハッシュ値算出部２０３２は、ゲストＯＳカーネル２０２の起動時にゲストＯＳカーネル２０１全体のハッシュ値を起動ハッシュ値として算出する。
また、ハッシュ値算出部２０３２は、ゲストＯＳカーネル２０２の動作中にいずれかのゲストＯＳページデータへの書換え処理が検知された場合に、書換え前のゲストＯＳページデータである書換え前ゲストＯＳページデータのハッシュ値を書換え前ハッシュ値として算出する。
更に、ハッシュ値算出部２０３２は、ゲストＯＳカーネル２０２の再起動時に、ストレージ１０４からＲＡＭ１０３にロードされた書換え前ゲストＯＳページデータのハッシュ値を再起動ハッシュ値として算出する。
ハッシュ値算出部２０３２は、起動ハッシュ値算出部、書換え前ハッシュ値算出部、再起動ハッシュ値算出部に相当する。

ハッシュ値比較部２０３３は、ゲストＯＳカーネル２０２の起動時に、ハッシュ値算出部２０３２により算出された起動ハッシュ値と、ハッシュ値記憶領域２０４で保存されている照合ハッシュ値とを比較する。起動ハッシュ値と照合ハッシュ値とが一致する場合に、ハッシュ値比較部２０３３は、ゲストＯＳカーネル２０２の起動の継続を許可する。一方、起動ハッシュ値と照合ハッシュ値とが一致しない場合に、ハッシュ値比較部２０３３は、ゲストＯＳカーネル２０２の起動を停止する。
また、ハッシュ値比較部２０３３は、ゲストＯＳカーネル２０２の再起動時に、ハッシュ値算出部２０３２により算出された再起動ハッシュ値と、ハッシュ値テーブル２０５で保存されている書換え前ハッシュ値とを比較する。再起動ハッシュ値と書換え前ハッシュ値とが一致する場合に、ハッシュ値比較部２０３３は、ゲストＯＳカーネル２０２の再起動の継続を許可する。一方、再起動ハッシュ値と書換え前ハッシュ値とが一致しない場合に、ハッシュ値比較部２０３３は、ゲストＯＳカーネル２０２の再起動を停止する。

図３は、図２に示すハッシュ値テーブル２０５の例を示す。
ハッシュ値テーブル２０５では、書換え処理が行われたゲストＯＳページデータに対するエントリが管理されている。
具体的には、各エントリは、インデクス、メモリ上のアドレス、書換え前ハッシュ値で構成される。インデクスは、エントリの識別子である。メモリ上のアドレスは、書換え処理が行われたゲストＯＳページデータが存在するＲＡＭ１０３のアドレスである。書換え前ハッシュ値は、ハッシュ値算出部２０３２により生成された、書換え処理が行われたゲストＯＳページデータの書換え前ハッシュ値である。
なお、インデクスはデータベース一般に付与されるものである。ハッシュ値テーブル２０５では、インデクスはなくてもよい。

＊＊＊動作の説明＊＊＊
次に、本実施の形態に係る情報処理装置１００の動作を説明する。

なお、情報処理装置１００の動作の前提として、ゲストＯＳカーネル２０１イメージ全体に対して暗号学的ハッシュ関数を使用して求めたハッシュ値（照合ハッシュ値）がハッシュ値記憶領域２０４に格納されているものとする。この照合ハッシュ値は、開発環境でゲストＯＳカーネル２０１イメージを作成する時点で生成することも可能であるし、ゲストＯＳカーネル２０１イメージを情報処理装置１００にデプロイする時点で計算することも可能である。

図４は、本実施の形態に係る情報処理装置１００の動作例を示す。
より具体的には、図４は、情報処理装置１００の起動から、ゲストＯＳページデータへの書換え処理（ＣＯＷ（Ｃｏｐｙ－Ｏｎ－Ｗｒｉｔｅ））が発生し、リブートが発生するまでの動作フローを示す。

先ず、情報処理装置１００が起動し（ステップＳ３００）、ハイパーバイザ２０３が起動する（ステップＳ３０１）。つまり、ハイパーバイザ２０３を実現するプログラムがストレージ１０４からＲＡＭ１０３にロードされ、プロセッサ１０１によりハイパーバイザ２０３が起動される。

ハイパーバイザ２０３では、ハッシュ値算出部２０３２が、ゲストＯＳカーネル２０１イメージ全体のハッシュ値（起動ハッシュ値）を計算する（ステップＳ３０２）。

そして、ハッシュ値比較部２０３３が、ハッシュ値記憶領域２０４に格納してある照合ハッシュ値と起動ハッシュ値を比較する（ステップＳ３０３）。

起動ハッシュ値と照合ハッシュ値とが一致しない場合（ステップＳ３０３でＦＡＬＳＥ）は、起動処理部２０３１は、予め定められたポリシにしたがって、起動処理を停止する等のセキュアブート処理を行う（ステップＳ３０４）。

一方、起動ハッシュ値と照合ハッシュ値とが一致する場合（ステップＳ３０３でＴＲＵＥ）は、起動処理部２０３１は、ゲストＯＳカーネル２０２の起動処理を継続する（ステップＳ３０５）。

ゲストＯＳカーネル２０２が定常動作している間（ステップＳ３０６）に、いずれかのゲストＯＳページデータへの書換え（ＣＯＷ）が発生した場合（ステップＳ３０７でＴＲＵＥ）に、ハイパーバイザ２０３が書換え（ＣＯＷ）の発生（ゲストＯＳページデータへのアクセス）をトラップする（ステップＳ３０８）。

そして、ハッシュ値算出部２０３２が、暗号学的ハッシュ関数を使用して、ＲＡＭ１０３にある書換え前ゲストＯＳページデータの書換え前ハッシュ値を算出する（ステップＳ３０９）。

その後、ハッシュ値算出部２０３２が、ステップＳ３０９で算出した書換え前ハッシュ値と、書換え処理のあったゲストＯＳページデータのメモリアドレスを対応付けてハッシュ値テーブル２０５に格納する（ステップＳ３１０）。

なお、ステップＳ３０９及びＳ３１０と並行して、書換え対象のゲストＯＳページデータは書換えられている。

リブートが発生しなければ、ゲストＯＳページデータの書換えが発生するたびに、ステップＳ３０７～Ｓ３１０の手順が繰り返される。
なお、既に書換えが発生しているゲストＯＳページデータで更に書換えが発生した場合は、既に当該ゲストＯＳページデータの書換え前ハッシュ値がハッシュ値テーブル２０５に存在している。この場合に、ハッシュ値算出部２０３２は書換え前ハッシュ値の更新は行わない。つまり、ハッシュ値テーブル２０５に最初に登録された書換え前ハッシュ値が維持される。
リブートが発生したら（ステップＳ３１１でＴＲＵＥ）、処理が図５に進む（ステップＳ３１２）。

図５は、リブート発生後の情報処理装置１００の動作例を示す。

リブートが発生したら（ステップＳ３１１でＴＲＵＥ）、起動処理部２０３１がゲストＯＳカーネル２０２の再起動処理を開始する（ステップＳ３１３）。なお、再起動の高速化のために、ＲＡＭ１０３はクリアされない。すなわち、ゲストＯＳカーネル２０２の再起動時に、再起動前のゲストＯＳページデータ２０２１～２０２６がＲＡＭ１０３に残されている。つまり、書換え処理による書換え後のゲストＯＳページデータもＲＡＭ１０３に残されている。なお、書換え後のゲストＯＳページデータが格納されている領域をＣＯＷ領域という。図２のゲストＯＳページデータ２０２６に書換え処理が発生していた場合は、ゲストＯＳページデータ２０２６の領域がＣＯＷ領域である。

ハイパーバイザ２０３にＣＯＷ領域の再読み込みサポートがある場合、起動処理部２０３１が、ＣＯＷ領域の書換え前ゲストＯＳページデータをストレージ１０４からＲＡＭ１０３にロードする（ステップＳ３１４）。
図２のゲストＯＳページデータ２０２６に書換え処理が発生していた場合は、起動処理部２０３１は、ストレージ１０４から書換え前のゲストＯＳページデータ２０２６をロードする。

次に、ハッシュ値算出部２０３２が再起動ハッシュ値を算出する（ステップＳ３１５）。
前述の例では、ハッシュ値算出部２０３２は、ステップＳ３１４でロードされた書換え前のゲストＯＳページデータ２０２６のハッシュ値を再起動ハッシュ値として算出する。

次に、ハッシュ値比較部２０３３が、ハッシュ値テーブル２０５から書換え前ハッシュ値を読み込む（ステップＳ３１６）。
前述の例では、ハッシュ値算出部２０３２は、ゲストＯＳページデータ２０２６のメモリアドレスをキーにしてハッシュ値テーブル２０５を探索し、ゲストＯＳページデータ２０２６の書換え前ハッシュ値を取得する。

次に、ハッシュ値比較部２０３３が、ステップＳ３１５で算出された再起動ハッシュ値とステップＳ３１６で取得された書換え前ハッシュ値とを比較する（ステップＳ３１７）。

再起動ハッシュ値と書換え前ハッシュ値とが一致しない場合（ステップＳ３１７でＦＡＬＳＥ）は、起動処理部２０３１は、ゲストＯＳカーネル２０２の再起動を停止する（ステップＳ３２１）。ステップＳ３２１では、例えば、ステップＳ３０４と同様の動作が行われる。

一方、再起動ハッシュ値と書換え前ハッシュ値とが一致する場合（ステップＳ３１７でＴＲＵＥ）は、起動処理部２０３１は、ＣＯＷ領域の書換え後のゲストＯＳページデータを、ステップＳ３１４でロードされた書換え前のゲストＯＳページデータで置き換える（ステップＳ３１８）。
前述の例では、ＣＯＷ領域の書換え後のゲストＯＳページデータ２０２６を、書換え前のゲストＯＳページデータ２０２６で置き換える。

ステップＳ３１４以降の処理が行われていないＣＯＷ領域があれば（ステップＳ３１９でＦＡＬＳＥ）、ステップＳ３１４以降の処理が行われる。
一方、ステップＳ３１４以降の処理が全てのＣＯＷ領域で行われていれば（ステップＳ３１９でＴＲＵＥ）、起動処理部２０３１は、ゲストＯＳカーネル２０２の再起動処理を継続する（ステップＳ３２０）。

＊＊＊実施の形態の効果の説明＊＊＊
以上、本実施の形態では、ゲストＯＳの再起動時に、書換え処理が行われたゲストＯＳページデータについて、再起動ハッシュ値と書換え前ハッシュ値とが比較される。このため、本実施の形態によれば、書換え処理が行われたゲストＯＳページデータの元データ（ストレージ上のデータ）への改ざんを検出することができる。

また、本実施の形態では、ゲストＯＳ再起動時に、ゲストＯＳの再起動前のゲストＯＳページデータがＲＡＭ１０３に残されている。本実施の形態では、再起動時のストレージからの読み込みは、書換え処理があったゲストＯＳページデータに限られるので、ゲストＯＳの再起動を高速に行うことができる。

また、本実施の形態では、ゲストＯＳ再起動時に、書換え処理が行われたゲストＯＳページデータについてのみハッシュ値の比較が行われ、書換え処理が行われていないゲストＯＳページデータについてはハッシュ値の比較が行われない。この点からも、ゲストＯＳの再起動を高速に行うことができる。

例えば、特許文献１では、全てのゲストＯＳページデータの正解ハッシュ値を保存しておく必要がある。これに対して、本実施の形態では、書換え前ゲストＯＳページデータの書換え前ハッシュ値のみをストレージに保存すればよいので、ストレージ容量の削減が可能である。

実施の形態２．
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。

ハイパーバイザ又はゲストＯＳの設計によっては、ゲストＯＳの起動時に全てのＣＯＷ領域の書換え前ゲストＯＳページデータがＲＡＭ１０３にロードされていなくてもよい場合がある。つまり、ゲストＯＳの再起動後に、書換え前ゲストＯＳページデータのロードが必要になったときにオンデマンドで書換え前ゲストＯＳページデータがロードされる場合もある。
本実施の形態では、このようなゲストＯＳの再起動後にオンデマンドで書換え前ゲストＯＳページデータがロードされる例を説明する。

図６は、本実施の形態に係る情報処理装置１００の動作例を示す。
図６は、実施の形態１で説明した図５に対応する。すなわち、本実施の形態に係る情報処理装置１００は、図４のステップＳ３１１においてリブートが発生した場合に、図６に示すフローを実施する。

図５では、ゲストＯＳの再起動処理中にステップＳ３１４にて起動処理部２０３１がＣＯＷ領域の書換え前ゲストＯＳページデータをストレージからロードする。一方で、図６では、ゲストＯＳの起動処理が完了して、ゲストＯＳが定常動作を行っている際に、ＣＯＷ領域の書換え前ゲストＯＳページデータをストレージからロードする。

ゲストＯＳカーネル２０２が定常動作を行っている際に（ステップＳ３２２）、ＣＯＷ領域へのアクセスが発生した場合に、ハイパーバイザ２０３がＣＯＷ領域へのアクセスをトラップする（ステップＳ３２３）。

次に、起動処理部２０３１が、ＣＯＷ領域の書換え前のゲストＯＳページデータをストレージ１０４からＲＡＭ１０３にロードする（ステップＳ３１４）。

次に、ハッシュ値算出部２０３２が再起動ハッシュ値を算出する（ステップＳ３１５）。

次に、ハッシュ値比較部２０３３が、ハッシュ値テーブル２０５から書換え前ハッシュ値を読み込む（ステップＳ３１６）。

次に、ハッシュ値比較部２０３３が、ステップＳ３１５で算出された再起動ハッシュ値とステップＳ３１６で取得された書換え前ハッシュ値とを比較する（ステップＳ３１７）。

再起動ハッシュ値と書換え前ハッシュ値とが一致しない場合（ステップＳ３１７でＦＡＬＳＥ）は、起動処理部２０３１は、ゲストＯＳカーネル２０２を停止する（ステップＳ３２４）。ステップＳ３２４では、例えば、ステップＳ３０４と同様の動作が行われる。

一方、再起動ハッシュ値と書換え前ハッシュ値とが一致する場合（ステップＳ３１７でＴＲＵＥ）は、起動処理部２０３１は、ＣＯＷ領域の書換え後のゲストＯＳページデータを、ステップＳ３１４で読み込まれた書換え前のゲストＯＳページデータで置き換える（ステップＳ３１８）。
その後、処理がステップＳ３２２に戻り、ゲストＯＳカーネル２０２の定常動作が継続する。

本実施の形態によれば、ゲストＯＳの再起動後にも、書換え処理が行われたゲストＯＳページデータの元データ（ストレージ上のデータ）への改ざんを検出することができる。また、本実施の形態でも、ゲストＯＳの再起動を高速に行うことができ、更に、ストレージ容量の削減も可能である。

実施の形態３．
本実施の形態では、主に実施の形態１、２との差異を説明する。
なお、以下で説明していない事項は、実施の形態１、２と同様である。

実施の形態１及び実施の形態２では、情報処理装置１００がハイパーバイザによる仮想マシンである例を説明した。
本実施の形態では、情報処理装置１００がブートローダとベアメタルのＯＳで実現されている。

＊＊＊構成の説明＊＊＊
図７は、本実施の形態に係る情報処理装置１００の機能構成例を示す。なお、本実施の形態に係る情報処理装置１００のハードウェア構成例は、図１と同様である。

ブートローダ２０８は、情報処理装置１００の起動時にＲＡＭ１０３上にブートローダ２０９として展開されて動作する。
ブートローダ２０９には、起動処理部２０９１、ハッシュ値算出部２０９２及びハッシュ値比較部２０９３が含まれる。
起動処理部２０９１は、起動処理部２０３１と同様の処理を行う。起動処理部２０９１も置き換え処理部に相当する。
ハッシュ値算出部２０９２は、起動処理部２０３１と同様の処理を行う。ハッシュ値算出部２０９２も起動ハッシュ値算出部、書換え前ハッシュ値算出部及び再起動ハッシュ値算出部に相当する。
ハッシュ値比較部２０９３は、ハッシュ値比較部２０３３と同様の処理を行う。

なお、本実施の形態では、情報処理装置１００がソフトリセットする際に、ＲＡＭ１０３のデータが消去されないようになっているものとする。
本実施の形態では、ＯＳカーネル２１０がＲＡＭ１０３にロードされ、ＯＳカーネル２１１として動作する。ＯＳカーネル２１１は、ＲＡＭ１０３では、メモリページであるＯＳページデータとして管理される。図７では、ＯＳカーネル２１１は、ＯＳページデータ２１１１～２１１６として管理されている。
図７の他の要素は、図２に示したものと同様であるため、説明を省略する。

＊＊＊動作の説明＊＊＊
次に、本実施の形態に係る情報処理装置１００の動作を説明する。

本実施の形態でも、情報処理装置１００の動作の前提として、ＯＳカーネル２１０イメージ全体に対して暗号学的ハッシュ関数を使用して求めたハッシュ値（照合ハッシュ値）がハッシュ値記憶領域２０４に格納されているものとする。この照合ハッシュ値は、開発環境でＯＳカーネル２１０イメージを作成する時点で生成することも可能であるし、ＯＳカーネル２１０イメージを情報処理装置１００にデプロイする時点で計算することも可能である。

図８は、本実施の形態に係る情報処理装置１００の動作例を示す。
より具体的には、図４は、情報処理装置１００の起動から、ＯＳページデータへの書換え処理（ＣＯＷ）が発生し、リブートが発生するまでの動作フローを示す。

先ず、情報処理装置１００が起動し（ステップＳ３００）、ブートローダ２０８がＲＡＭ１０３にロードされ、ブートローダ２０９が実行される（ステップＳ４００）。

次に、ハッシュ値算出部２０９２が、ＯＳカーネルイ２０９メージ全体のハッシュ値（起動ハッシュ値）を計算する（ステップ４０１）。

そして、ハッシュ値比較部２０９３が、ハッシュ値記憶領域２０４に格納してある照合ハッシュ値と起動ハッシュ値を比較する（ステップＳ４０２）。

起動ハッシュ値と照合ハッシュ値とが一致しない場合（ステップＳ４０２でＦＡＬＳＥ）は、起動処理部２０９１は、予め定められたポリシにしたがって、起動処理を停止する等のセキュアブート処理を行う（ステップＳ４０３）。

一方、起動ハッシュ値と照合ハッシュ値とが一致する場合（ステップＳ４０２でＴＲＵＥ）は、起動処理部２０９１は、ＯＳカーネル２１１の起動処理を継続する（ステップＳ４０４）。
そして、ＯＳカーネル２１１は、一般的なＯＳが行っている外部からのトリガ入力を待つ状態に遷移する（ステップＳ４０５）。

ＯＳカーネル２１１が定常動作している間（ステップＳ４０５）に、いずれかのＯＳページデータへの書換え（ＣＯＷ）が発生した場合（ステップＳ４０６でＴＲＵＥ）に、ＭＭＵ（Ｍｅｍｏｒｙ Ｍａｎａｇｅｍｅｎｔ Ｕｎｉｔ）が書換え（ＣＯＷ）の発生（ＯＳページデータへのアクセス）をトラップする（ステップＳ４０７）。

そして、ハッシュ値算出部２０９２が、暗号学的ハッシュ関数を使用して、ＲＡＭ１０３にある書換え前のＯＳページデータの書換え前ハッシュ値を算出する（ステップＳ４０８）。

その後、ハッシュ値算出部２０９２が、ステップＳ４０８で算出した書換え前ハッシュ値と、書換え処理のあったＯＳページデータのメモリアドレスを対応付けてハッシュ値テーブル２０５に格納する（ステップＳ４０９）。

なお、ステップＳ４０８及びＳ４０９と並行して、書換え処理の対象のＯＳページデータは書換えられている。

リブートが発生しなければ、ＯＳページデータの書換えが発生するたびに、ステップＳ４０６～Ｓ４０９の手順が繰り返される。
なお、既に書換えが発生しているＯＳページデータで更に書換えが発生した場合は、既に当該ＯＳページデータの書換え前ハッシュ値がハッシュ値テーブル２０５に存在している。この場合に、ハッシュ値算出部２０９２は書換え前ハッシュ値の更新は行わない。つまり、ハッシュ値テーブル２０５に最初に登録された書換え前ハッシュ値が維持される。
リブートが発生したら（ステップＳ４１０でＴＲＵＥ）、起動処理部２０９１がハッシュ値テーブル２０５にあるメモリアドレスに対するＭＭＵのエントリを無効化し（ステップＳ４１１）、処理が図９に進む（ステップＳ４１２）。なお、図８では、ステップＳ４０５、ステップＳ４０６、ステップＳ４１０という順序の動作手順を記載しているが、ＯＳカーネル２１１はイベントドリブンに実装されているため、ステップＳ４０５から直接ステップＳ４１０に遷移することも可能である。

図９は、リブート発生後の情報処理装置１００の動作例を示す。

リブートが発生したら（ステップＳ４１０でＴＲＵＥ）、起動処理部２０９１がＯＳカーネル２１１の再起動処理を開始する（ステップＳ４１３）。なお、再起動の高速化のために、ＲＡＭ１０３はクリアされない。すなわち、ＯＳカーネル２１１の再起動時に、再起動前のＯＳページデータ２１１１～２１１６がＲＡＭ１０３に残されている。つまり、書換え処理による書換え後のＯＳページデータもＲＡＭ１０３に残されている。
このため、ＲＡＭ１０３に残されているＯＳページデータを用いて起動処理部２０９１は、ＯＳカーネル２１１の起動を行う。
そして、ＯＳカーネル２１１は定常動作に遷移する（ステップＳ４１４）。

ＯＳカーネル２１１が定常動作を行っている際に、ＣＯＷ領域へのアクセスが発生した場合に、ＭＭＵがページフォルトでＣＯＷ領域へのアクセスをトラップする（ステップＳ４１５）。

次に、起動処理部２０９１が、ＣＯＷ領域の書換え前のＯＳページデータをストレージ１０４からＲＡＭ１０３にロードする（ステップＳ４１６）。

次に、ハッシュ値算出部２０９２が再起動ハッシュ値を算出する（ステップＳ４１７）。

次に、ハッシュ値比較部２０９３が、ハッシュ値テーブル２０５から書換え前ハッシュ値を読み込む（ステップＳ４１８）。

次に、ハッシュ値比較部２０９３が、ステップＳ４１７で算出された再起動ハッシュ値とステップＳ４１８で取得された書換え前ハッシュ値とを比較する（ステップＳ４１９）。

再起動ハッシュ値と書換え前ハッシュ値とが一致しない場合（ステップＳ４１９でＦＡＬＳＥ）は、起動処理部２０９１は、ＯＳカーネル２１１を停止する（ステップＳ４２１）。ステップＳ４２１では、例えば、ステップＳ４０３と同様の動作が行われる。

一方、再起動ハッシュ値と書換え前ハッシュ値とが一致する場合（ステップＳ４１９でＴＲＵＥ）は、起動処理部２０９１は、ＣＯＷ領域の書換え後のＯＳページデータを、ステップＳ４１６でロードされた書換え前のゲストＯＳページデータで置き換え、またＭＭＵのエントリを更新する（ステップＳ４２０）。
その後、処理がステップＳ４１４に戻り、ＯＳカーネル２１１の定常動作が継続する。

＊＊＊実施の形態の効果の説明＊＊＊
以上、本実施の形態によれば、ブートローダとベアメタルのＯＳで実現されている情報処理装置１００でも、書換え処理が行われたＯＳページデータの元データ（ストレージ上のデータ）への改ざんを検出することができる。

また、本実施の形態でもＯＳの再起動を高速に行うことができ、更に、ストレージ容量の削減が可能である。

以上、実施の形態１～３を説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
また、これらの実施の形態に記載された構成及び手順を必要に応じて変更してもよい。
＊＊＊ハードウェア構成の補足説明＊＊＊
最後に、情報処理装置１００のハードウェア構成の補足説明を行う。

起動処理部２０３１、ハッシュ値算出部２０３２、ハッシュ値比較部２０３３、起動処理部２０９１、ハッシュ値算出部２０９２及びハッシュ値比較部２０９３の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、ＲＡＭ１０３、ストレージ１０４、プロセッサ１０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、起動処理部２０３１、ハッシュ値算出部２０３２、ハッシュ値比較部２０３３、起動処理部２０９１、ハッシュ値算出部２０９２及びハッシュ値比較部２０９３の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。そして、起動処理部２０３１、ハッシュ値算出部２０３２、ハッシュ値比較部２０３３、起動処理部２０９１、ハッシュ値算出部２０９２及びハッシュ値比較部２０９３の機能を実現するプログラムが格納された可搬記録媒体を流通させてもよい。

また、起動処理部２０３１、ハッシュ値算出部２０３２、ハッシュ値比較部２０３３、起動処理部２０９１、ハッシュ値算出部２０９２及びハッシュ値比較部２０９３の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
また、情報処理装置１００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）である。
なお、本明細書では、プロセッサと処理回路との上位概念を、「プロセッシングサーキットリー」という。
つまり、プロセッサと処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。

１００ 情報処理装置、１０１ プロセッサ、１０２ バス、１０３ ＲＡＭ、１０４ ストレージ、１０５ Ｉ／Ｏ装置、１０６ セキュア領域、２０１ ゲストＯＳカーネル、２０２ ゲストＯＳカーネル、２０３ ハイパーバイザ、２０４ ハッシュ値記憶領域、２０５ ハッシュ値テーブル、２０８ ブートローダ、２０９ ブートローダ、２１０ ＯＳカーネル、２１１ ＯＳカーネル、２０２１ ゲストＯＳページデータ、２０２２ ゲストＯＳページデータ、２０２３ ゲストＯＳページデータ、２０２４ ゲストＯＳページデータ、２０２５ ゲストＯＳページデータ、２０２６ ゲストＯＳページデータ、２０３１ 起動処理部、２０３２ ハッシュ値算出部、２０３３ ハッシュ値比較部、２１１１ ＯＳページデータ、２１１２ ＯＳページデータ、２１１３ ＯＳページデータ、２１１４ ＯＳページデータ、２１１５ ＯＳページデータ、２１１６ ＯＳページデータ、２０９１ 起動処理部、２０９２ ハッシュ値算出部、２０９３ ハッシュ値比較部。

Claims (7)

1. ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の動作中にいずれかのＯＳページデータへの書換え処理が検知された場合に、書換え前のＯＳページデータである書換え前ＯＳページデータのハッシュ値を書換え前ハッシュ値として算出する書換え前ハッシュ値算出部と、
   前記ＯＳの再起動時及び前記ＯＳの再起動後のいずれかにストレージからメモリにロードされた前記書換え前ＯＳページデータのハッシュ値を再起動ハッシュ値として算出する再起動ハッシュ値算出部と、
   前記書換え前ハッシュ値と前記再起動ハッシュ値とを比較するハッシュ値比較部とを有する情報処理装置。
2. 前記ＯＳの再起動時に、前記ＯＳの再起動前のＯＳページデータが前記メモリに残されている請求項１に記載の情報処理装置。
3. 前記情報処理装置は、更に、
   前記書換え前ハッシュ値と前記再起動ハッシュ値とが一致する場合に、前記メモリ内の、前記書換え処理による書換え後のＯＳページデータを、前記ストレージから前記メモリにロードされた前記書換え前ＯＳページデータで置換える置換え処理部を有する請求項１に記載の情報処理装置。
4. 前記情報処理装置は、更に、
   前記ＯＳの起動時に、前記ＯＳ全体のハッシュ値を起動ハッシュ値として算出する起動ハッシュ値算出部を有し、
   前記ハッシュ値比較部は、
   前記起動ハッシュ値と、予め生成されている前記ＯＳ全体のハッシュ値である照合ハッシュ値とを比較し、前記起動ハッシュ値と前記照合ハッシュ値とが一致する場合に、前記ＯＳの起動を許可する請求項１に記載の情報処理装置。
5. 前記書換え前ハッシュ値算出部は、
   ハイパーバイザ上で動作するゲストＯＳの動作中にいずれかのゲストＯＳページデータへの書換え処理が検知された場合に、書換え前のゲストＯＳページデータである書換え前ゲストＯＳページデータのハッシュ値を前記書換え前ハッシュ値として算出し、
   前記再起動ハッシュ値算出部は、
   前記ゲストＯＳの再起動時及び前記ゲストＯＳの再起動後のいずれかに前記ストレージから前記メモリにロードされた前記書換え前ゲストＯＳページデータのハッシュ値を前記再起動ハッシュ値として算出する請求項１に記載の情報処理装置。
6. ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の動作中にいずれかのＯＳページデータへの書換え処理が検知された場合に、書換え前ハッシュ値算出部が、書換え前のＯＳページデータである書換え前ＯＳページデータのハッシュ値を書換え前ハッシュ値として算出し、
   再起動ハッシュ値算出部が、前記ＯＳの再起動時及び前記ＯＳの再起動後のいずれかにストレージからメモリにロードされた前記書換え前ＯＳページデータのハッシュ値を再起動ハッシュ値として算出し、
   ハッシュ値比較部が、前記書換え前ハッシュ値と前記再起動ハッシュ値とを比較する情報処理方法。
7. ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の動作中にいずれかのＯＳページデータへの書換え処理が検知された場合に、書換え前のＯＳページデータである書換え前ＯＳページデータのハッシュ値を書換え前ハッシュ値として算出する書換え前ハッシュ値算出処理と、
   前記ＯＳの再起動時及び前記ＯＳの再起動後のいずれかにストレージからメモリにロードされた前記書換え前ＯＳページデータのハッシュ値を再起動ハッシュ値として算出する再起動ハッシュ値算出処理と、
   前記書換え前ハッシュ値と前記再起動ハッシュ値とを比較するハッシュ値比較処理とをコンピュータに実行させる情報処理プログラム。

Images