JP7218579B2 - デバイス、コンピュータプログラム及びファイルシステムアクセス方法 - Google Patents

Description

本発明は、デバイス、コンピュータプログラム及びファイルシステムアクセス方法に関する。

ＩｏＴ（Internet of Things）では、多種多様なデバイスがネットワークに接続されることで新たな付加価値を生み出している。このようなデバイスは、クラウド等のネットワークリソースを利用するためのセキュア情報を保有している。デバイス上におけるセキュリティ脅威の一つとして、デバイスが保有する機密情報の搾取がある。そこで、このような機密情報をセキュアエレメントに保持することが考えられる。

特許文献１には、秘匿性を高く保ちたい機密情報の保護先としてのＩＣカードをはじめとしたセキュアエレメントが記載されている。

特開２００５－５０２６２号公報

セキュアエレメントは、秘匿性の高い情報を保持できるよう、例えば、独自のファイルシステムを有し、ファイルシステムへのアクセスは専用のコマンドによって行う必要があり、アクセス容易性が著しく低い。このため、デバイスにセキュアエレメントを搭載して、セキュア情報をセキュアエレメントに保持した場合、ネットワークとの間でのアクセス処理が複雑となる。このため、セキュア情報の確実な保護とアクセス処理の利便性確保の両立が望まれる。

本発明は、斯かる事情に鑑みてなされたものであり、セキュア情報の確実な保護とアクセス処理の利便性確保との両立を図ることができるデバイス、コンピュータプログラム及びファイルシステムアクセス方法を提供することを目的とする。

本発明の実施の形態に係るデバイスは、デバイス本体に接続されたセキュアエレメントを搭載するデバイスであって、前記セキュアエレメントは、セキュア情報が格納された第１ファイルシステムと、前記第１ファイルシステムへのアクセス権限毎のアクセスの許諾可否を設定可能なアクセス設定部とを備え、前記デバイス本体は、第２ファイルシステムと、所定のサービス機能を実現するアプリケーションと、前記アプリケーションから前記第２ファイルシステムへのアクセス要求を受け付ける受付部と、前記受付部で受け付けたアクセス要求を、前記アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された前記第１ファイルシステムへのアクセスに変換する変換部とを備え、前記セキュアエレメントは、前記変換部で変換されたアクセスが前記アクセス設定部によって許諾可に設定されている場合、前記アクセスに対応するセキュア情報を前記デバイス本体へ出力する第１出力部を備え、前記デバイス本体は、前記第１出力部が出力したセキュア情報を前記アプリケーションへ送出する送出部を備える。

本発明の実施の形態に係るセキュアエレメントは、セキュア情報が格納されたセキュアエレメント側ファイルシステムと、デバイスの起動時に前記デバイスのデバイス認証情報を取得する取得部と、前記取得部で取得したデバイス認証情報を照合する照合部と、前記照合部が前記デバイス認証情報を照合した場合、デバイス側のファイルシステムへのアクセス要求に基づく前記セキュアエレメント側ファイルシステムへのアクセスを許可する許可部とを備える。

本発明の実施の形態に係るコンピュータプログラムは、コンピュータに、セキュアエレメントとの間で所定の情報の授受を行わせるためのコンピュータプログラムであって、コンピュータに、所定のサービス機能を実現するアプリケーションから前記コンピュータ側のファイルシステムへのアクセス要求を受け付ける処理と、受け付けたアクセス要求を、前記アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された前記セキュアエレメントのファイルシステムへのアクセスに変換する処理と、変換されたアクセスが前記セキュアエレメント内で許諾可に設定されている場合、前記セキュアエレメントが出力する前記アクセスに対応するセキュア情報を取得する処理と、取得したセキュア情報を前記アプリケーションへ送出する処理とを実行させる。

本発明の実施の形態に係るファイルシステムアクセス方法は、デバイス本体に接続されたセキュアエレメントを搭載するデバイスによるファイルシステムアクセス方法であって、所定のサービス機能を実現するアプリケーションから前記デバイス本体の本体側ファイルシステムへのアクセス要求を受け付け、受け付けられたアクセス要求を、前記アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された前記セキュアエレメントのファイルシステムへのアクセスに変換し、変換されたアクセスが前記セキュアエレメント内で許諾可に設定されている場合、前記セキュアエレメントが出力する前記アクセスに対応するセキュア情報を取得し、取得されたセキュア情報を前記アプリケーションへ送出する。

本発明によれば、セキュア情報の確実な保護とアクセス処理の利便性確保との両立を図ることができる。

本実施の形態のデバイスの構成の一例を示すブロック図である。 セキュアエレメント側ファイルシステムの構造の一例を示す模式図である。 セキュリティステータスの一例を示す模式図である。 デバイス側ファイルシステムの構造の一例を示す模式図である。 アクセス権対応テーブルの構造の一例を示す模式図である。 デバイス起動時のセキュアエレメントのアンロックの動作例を示す説明図である。 ユーザ認証の動作例を示す説明図である。 ＩｏＴサービスサーバに提示する認証情報の取得と使用の動作例を示す説明図である。 セキュアエレメント内の演算結果の取得と使用の動作例を示す説明図である。 秘匿通信路経由でのファイルアクセス許可の動作例を示す説明図である。 秘匿通信路経由でのファイル更新の動作例を示す説明図である。 本実施の形態のデバイスによるイベント発生時の認証処理の手順の一例を示すフローチャートである。 本実施の形態のデバイスによるＩｏＴサービス用のセキュア情報の取得処理の手順の一例を示すフローチャートである。

以下、本発明の実施の形態を図面に基づいて説明する。図１は本実施の形態のデバイス１００の構成の一例を示すブロック図である。デバイス１００は、「モノのインターネット」（ＩｏＴ）でいうところの「モノ」に該当するデバイス（電子デバイスとも称する）を含む。デバイス１００は、ＩｏＴデバイスとも称され、デバイス本体１０及びセキュアエレメント５０を備える。すなわち、デバイス１００は、セキュアエレメント５０を搭載し、デバイス１００のうち、セキュアエレメント５０以外の部分をデバイス本体１０と称する。セキュアエレメント５０は、耐タンパ性を有し、デバイス１００とは物理的に独立したものである。

デバイス１００（より具体的には、デバイス本体１０）は、クラウド側の、サーバ２１０（サービスＡを実現するサーバＡ）、サーバ２２０（サービスＢを実現するサーバＢ）と接続される。サーバ２１０、２２０は、デバイス１００と接続されることによって、所定のＩｏＴサービスを提供する。なお、図１では、サーバ２１０、２２０の２つを図示しているが、サーバの数は２つに限定されない。また、デバイス１００（より具体的には、セキュアエレメント５０）は、秘匿通信路サーバ３００と接続される。秘匿通信路サーバ３００は、セキュアエレメント５０とエンドツーエンドの秘匿通信路を確立するサーバであり、セキュアエレメント５０に対してファイルアクセス可否制御やファイル更新等の遠隔操作を実施する。

セキュアエレメント５０は、第１ファイルシステムとしてのセキュアエレメント側ファイルシステム５１、セキュリティステータス５２、コマンド授受処理部５３、秘匿通信路開設処理部５４、及び外部認証用機密情報部５５を備える。

デバイス本体１０は、アプリケーション１１（ＩｏＴアプリとも称する）、ＯＳ１２（ＯＳレイヤーとも称する）、及びデバイス証明書部１８を備える。ＯＳ１２は、第２ファイルシステムとしてのデバイス側ファイルシステム１３、アクセス権対応テーブル１４、コマンド授受処理部１５、ログイン処理部１６、及びファイルシステムアクセス処理部１７を備える。

セキュアエレメント側ファイルシステム５１は、セキュア情報を保持している。セキュア情報は、セキュアエレメントに格納されている情報という意味であり、例えば、認証情報、公開鍵及び秘密鍵などの鍵情報を含む。なお、セキュア情報には、秘密情報が含まれるが、秘密情報には限定されない。また、セキュア情報は、外部のサーバ（例えば、サーバ２１０、２２０）へ送信（提供）する情報だけでなく、外部のサーバには送信しないがデバイス本体１０（デバイス側）に提供する情報も含まれる。セキュアエレメント側ファイルシステム５１は、外部に対してファイルシステムとしての機能を提供する構成であればよく、ファイル構造には、ヒエラルキーがあるものも、ないものも含まれる。以下では、ヒエラルキーがある場合の例について説明するが、セキュアエレメント５０内の実施形態は、ＪａｖａＣａｒｄ（登録商標）等、他の形態でもよい。

図２はセキュアエレメント側ファイルシステム５１の構造の一例を示す模式図である。図２に示すように、セキュアエレメント側ファイルシステム５１は、ＭＦ－ＤＦ－ＥＦのヒエラルキーがある。ＭＦは主ファイル（Master File）であり、ファイル構造の根幹となるものであり、ＰＣ等で用いられるファイルシステムのルートディレクトリに相当するものである。ＤＦは専用ファイル（Dedicated File）であり、ＤＦの下位のＥＦやＤＦをグループ化するファイルである。なお、図示していないが、ＤＦのさらに下位にＤＦを置くことができる。ＥＦは基礎ファイル（Elementary File）であり、様々なデータを格納することができるファイルである。

図２では、便宜上、ＤＦ＿ＣＥＲＴ、ＥＦ＿ＣＥＲＴは、当該フォルダ又は当該ファイルに認証情報などのセキュア情報などが格納されることを示す。ＤＦ＿ＣＩＰＨＥＲＴＥＸＴ、ＥＦ＿ＣＩＰＨＥＲＴＥＸＴは、当該フォルダ又は当該ファイルに暗号化した文字列などが格納されていることを示す。ＤＦ＿ＳＥＣＲＥＴＫＥＹ、ＥＦ＿ＳＥＣＲＥＴＫＥＹは、当該フォルダ又は当該ファイルに鍵情報が格納されていることを示す。ＲＥＡＤは読み出し専用であることを示し、ＵＰＤＡＴＥは書き込み等の更新も可能であることを示す。「ＡＢＣＤ」はデータであることを示す。ＣＬＯＵＤ＿Ａは、サービスＡを実現するサーバ２１０に対応するフォルダ又はファイルであることを示し、ＣＬＯＵＤ＿Ｂは、サービスＢを実現するサーバ２２０に対応するフォルダ又はファイルであることを示す。本実施例では、ＩｏＴサービスサーバは２つ存在しており、それぞれ別の認証情報を含むセキュア情報が用いられ、対応するセキュア情報をファイル名の末尾（ＣＬＯＵＤ＿Ａ、ＣＬＯＵＤ＿Ｂ）で識別する。「ＮＥＶ」はアクセスを禁止（アクセス不可）していることを示す。

本実施例において、ＭＦ、ＤＦ及びＥＦには、当該フォルダ及び当該ファイルにアクセスするために必要となるセキュリティステータスが設定されている。なお、セキュアエレメント側ファイルシステム５１の構造は、図２の例に限定されない。

図３はセキュリティステータス５２の一例を示す模式図である。コマンド授受処理部５３は、アクセス設定部及び許可部としての機能を有し、セキュアエレメント側ファイルシステム５１へのアクセス権限毎のアクセスの許諾可否（すなわち、セキュリティステータス５２）を設定することができる。すなわち、セキュリティステータス５２は、現時点でセキュアエレメント側ファイルシステム５１に対し、どのレベルの認証が完了しているかを保持するフラグである。本実施例では、セキュリティステータス５２は、ＵＡＵ（Ｄｅｖ）、ＵＡＵ（ＰＩＮ）、ＵＡＵ（ＡＤＭＰＩＮ）、ＥＡＵで構成されている。ＵＡＵはUser Authenticationの略である。ＵＡＵ（Ｄｅｖ）は、デバイス１００の起動時のデバイス認証処理が正常終了（アクセス許諾可）していることを意味するフラグである。ＵＡＵ（ＰＩＮ）は、ユーザによるＰＩＮ認証が完了していることを意味するフラグである。Ｕ（ＡＤＭＰＩＮ）は、デバイス１００の管理者によるＰＩＮ認証が完了していることを意味するフラグである。ＥＡＵは、秘匿通信路経由での認証許可を受信していることを意味するフラグである。なお、図中、×は認証が未だ完了していないことを表す。また、セキュリティステータスは、図３の例に限定されない。

セキュアエレメント側ファイルシステム５１のあるファイルにアクセスするためには、当該ファイルに設定されているセキュリティステータスに加えて、当該ファイルの上位のフォルダで指定されているセキュリティステータス全てを充足する必要がある。例えば、ＭＦに対してＲＥＡＤを行うためには、ＭＦで要求されるＵＡＵ（Ｄｅｖ）のセキュリティステータスを充足する必要がある。また、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）に対してＲＥＡＤを行うためには、（１）ＭＦで要求されるＵＡＵ（Ｄｅｖ）、（２）ＤＦ＿ＣＥＲＴで要求されるＵＡＵ（ＰＩＮ）、及び（３）ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）で要求されるＥＡＵの全てのセキュリティステータスを充足する必要がある。なお、上述の階層的なセキュリティステータス検証のメカニズムは一例であって、これに限定されない。例えば、任意のセキュリティステータス検証のメカニズムや、ファイルアクセス権管理の機構を用いることができる。

セキュアエレメント側ファイルシステム５１から読み出し可能な値は固定値に限定されるものではなく、読み出し要求を受けた際に何らかの演算を行った値をファイルとして読み出す構成であってもよい。例えば、ＤＦ＿ＣＩＰＨＥＲＴＥＸＴ配下のＥＦ群のファイルは、ＥＦ＿ＳＥＣＲＥＴＫＥＹにより何らかの演算が行われた値を外部に出力するためのファイルとすることができる。

外部認証用機密情報部５５は、セキュアエレメント側ファイルシステム５１とは別に、セキュアエレメント５０が外部の主体を認証するために保持しているセキュア情報を有する。図１の例では、４つの認証情報（ＰＩＮ、ＡＤＭＰＩＮ、デバイス秘密鍵、秘匿通信路用鍵）を保持している。

コマンド授受処理部５３は、デバイス本体１０から実行されたデータ列をコマンドとして解釈し、解釈したコマンドで指定された内容を実行し、実行結果をデバイス本体１０へ返送する。

秘匿通信路開設処理部５４は、セキュアエレメント５０が外部の秘匿通信路サーバ３００とエンドツーエンドの秘匿通信路を開設する処理を行う。

アプリケーション１１は、ＩｏＴサービスの機能を実現するためにデバイス本体１０上で実行されるアプリケーションである。図では１つのアプリケーション１１を図示しているが、アプリケーション１１は複数存在してもよい。アプリケーション１１は、サーバ２１０、２２０と接続、通信することによってＩｏＴサービスの機能を実現することができる。

ファイルシステムアクセス処理部１７は、受付部としての機能を有し、ＯＳ１２において、アプリケーション１１からデバイス側ファイルシステム１３へのファイルアクセス要求を受け付けるモジュールであり、デバイス側ファイルシステム１３のインタフェース機能を有する。

図４はデバイス側ファイルシステム１３の構造の一例を示す模式図である。図４に示すように、デバイス側ファイルシステム１３は、「／」（ルートフォルダ）を最上位としたファイルツリーとして構成され、ルートフォルダの配下には、ｈｏｍｅフォルダ、ｂｉｎフォルダ、ｌｉｂフォルダ、ｓｅフォルダが存在している。なお、デバイス側ファイルシステム１３の構造は、図４の例に限定されない。

コマンド授受処理部１５は、セキュアエレメント５０に対してコマンドを実行し、セキュアエレメント５０からの実行結果を受け取る。

デバイス証明書部１８は、デバイス１００（デバイス本体１０）自身に対するデバイス証明書を保持する。デバイス証明書部１８は、デバイス本体１０のハードウェアに埋め込まれており、デバイス証明書は、デバイス１００の個体識別に用いられる。

図５はアクセス権対応テーブル１４の構造の一例を示す模式図である。アクセス権対応テーブル１４は、アクセス権限部としての機能を有し、所定のイベントとセキュアエレメント側ファイルシステム５１へのアクセス権限とを対応付ける。アクセス権限は、セキュアエレメント側ファイルシステム５１のどのレベルのアクセスを許容するかを定める情報である。アクセス権限は、例えば、前述のＰＩＮ（ユーザ権限）、ＡＤＭＰＩＮ（管理者権限）などとすることができる。

所定のイベントは、例えば、ユーザがログイン操作を行った場合のユーザ情報、管理者がログイン操作を行った場合の管理者情報、デバイス側ファイルシステム１３へのアクセスなどを含めることができる。図６の例では、ユーザ名ｕｓｅｒ１に対してＰＩＮが対応付けられ、管理者名ｒｏｏｔに対してＡＤＭＰＩＮが対応付けられている。なお、ユーザ名の数は１つに限定されるものではなく、複数のユーザ毎に割り当てることができる。

次に、本実施の形態のデバイス１００の動作について説明する。

図６はデバイス起動時のセキュアエレメント５０のアンロックの動作例を示す説明図である。セキュアエレメント５０を搭載したデバイス１００を運用する場合、セキュアエレメント５０へのアクセスを当該デバイス１００（デバイス本体１０）に限定することにより、セキュアエレメント５０へのアクセス性を必要最小限に限定することができ、不正なデバイスからのセキュアエレメント５０、及びサーバ２１０、２２０へのアクセスを制限できる。以下、符号Ｐ１～Ｐ４で示す処理について説明する。

Ｐ１（デバイス証明書の読み出し）：デバイス本体１０は、起動時に自身が保持しているデバイス証明書を読み出し、コマンド授受処理部１５へ出力する。

Ｐ２（デバイス証明書の送信）：コマンド授受処理部１５は、デバイス証明書をコマンドに含めて、セキュアエレメント５０へ送信する。デバイス証明書を送信する場合、所要の公開鍵演算結果を加えることもできる。例えば、デバイス証明書に対してハッシュ演算を行ってダイジェストを生成し、生成したダイジェストを公開鍵で暗号化し、暗号化したダイジェストをデバイス証明書に埋め込んで送信してもよい。

Ｐ３（デバイス証明書の検証）：セキュアエレメント５０は、受信したデバイス証明書を、自身が保持しているデバイス証明書に対応してデバイス秘密鍵で検証を行い、デバイス証明書及び公開鍵演算結果が正当なものであるかを確認する。

Ｐ４（セキュリティステータスの開錠）：処理Ｐ３において、正当なデバイス証明書、及び公開鍵であることが確認された場合、セキュアエレメント５０は、セキュリティステータスＵＡＵ（Ｄｅｖ）を開錠する。図６では、符号×が符号〇に変更されている。符号〇は、認証が完了したことを示す。

上述のように、デバイス証明書部１８は、第３出力部としての機能を有し、デバイス本体１０のデバイス証明書（デバイス認証情報）をセキュアエレメント５０へ出力する。セキュアエレメント５０のコマンド授受処理部５３は、第２照合部、取得部及び照合部としての機能を有し、デバイス証明書を取得し、取得したデバイス証明書を照合する。コマンド授受処理部５３は、デバイス証明書が正当であると確認された（照合された）場合、デバイス本体１０に対応するアクセス権限のアクセスを許諾可に設定する。

また、デバイス証明書部１８は、デバイス１００の起動時にデバイス証明書を出力することができる。これにより、デバイス１００の起動の都度、セキュア情報への不正なアクセスを防止できる。

上述の処理により、デバイス１００の起動時に、セキュアエレメント５０によるデバイス認証を行い、正当なデバイスであることを確認できた場合のみ、セキュアエレメント５０のセキュアエレメント側ファイルシステム５１へのアクセスを許可する。すなわち、セキュアエレメント側ファイルシステム５１のＭＦのアクセスに必要なセキュリティステータスは、ＵＡＵ（Ｄｅｖ）であるため、上述のデバイス認証を行わない限り、デバイス本体１０からセキュアエレメント側ファイルシステム５１へのアクセスを行うことができない。これにより、セキュアエレメント側ファイルシステム５１へのアクセスを正当なデバイスに限定することができるので、不正なデバイス接続や、デバイスに対する改造が実施された際に、セキュア情報への不正なアクセスを防止できる。

図７はユーザ認証の動作例を示す説明図である。ＩｏＴデバイスの場合、起動や運用に人が介在しないケースも多く、上述のデバイス認証で運用可能なケースも多くある。一方で、人が介在する現場（工場など）における運用や、セキュリティを高めたい場合などは、起動時に運用者認証を行うことが望ましい場合もある。以下、符号Ｐ１１～Ｐ１９で示す処理について説明する。

Ｐ１１（ユーザのログイン操作）：デバイス１００の運用開始時、ユーザ（ユーザ名：ｕｓｅｒ１）はデバイス１００に対してログイン操作を行う。ユーザは、ユーザ情報として、ユーザ名及びパスワードを入力する。

Ｐ１２（アクセス権対応テーブルの参照）：ログイン処理部１６は、ユーザが入力したユーザ名及びパスワードを確認し、アクセス権対応テーブル１４を確認し、当該ユーザ（ユーザ名：ｕｓｅｒ１）にマッピングされているセキュアエレメント５０の権限を確認する。図の例では、ｕｓｅｒ１に対してＰＩＮがマッピングされている。

Ｐ１３（セキュアエレメント認証指示）：ログイン処理部１６は、処理Ｐ１２で確認したマッピング結果をもとに、ユーザに対してセキュアエレメント５０に対する認証を指示する。図の例では、ＰＩＮがマッピングされているので、ユーザに対してＰＩＮの入力を求める画面を表示する。

Ｐ１４（セキュアエレメント認証情報入力）：ユーザは、認証指示に応じて認証情報であるＰＩＮを入力する。

Ｐ１５（認証コマンド生成）：ログイン処理部１６は、ユーザから得られた認証情報を元に、セキュアエレメント５０に対する認証コマンドを生成し、生成した認証コマンドをコマンド授受処理部１５へ出力して、認証コマンドをセキュアエレメント５０へ送信するよう指示する。ここでは、ＰＩＮを照合する認証コマンドが生成される。

Ｐ１６（認証コマンド送信）：コマンド授受処理部１５は、ＰＩＮが含まれる認証コマンドをセキュアエレメント５０に送信する。

Ｐ１７（認証情報比較）：コマンド授受処理部５３は、受信した認証コマンドに対して、外部認証用機密情報部５５から認証情報（認証用ＰＩＮ）を取り出して検証を行う。ここでは、検証は、受信したＰＩＮと取り出したＰＩＮとが一致するか否かを判定する。検証に失敗した場合（ＰＩＮが不一致の場合）、セキュアエレメント５０は、処理を終了し、デバイス本体１０に認証失敗の応答を返す。

Ｐ１８（セキュリティステータスの開錠）：処理Ｐ１７で認証に成功した場合（ＰＩＮが一致の場合）、コマンド授受処理部５３は、認証コマンドに対応しているセキュリティステータスＵＡＵ（ＰＩＮ）を開錠する。図７では、符号×が符号〇に変更されている。

Ｐ１９（認証レスポンス返送：認証成功）：コマンド授受処理部５３は、認証成功として認証コマンドのレスポンスをデバイス本体１０に返送する。

上述の手順でユーザ認証に成功した場合、ユーザ（ｕｓｅｒ１）による認証が成功したことになり、ｕｓｅｒ１に対応するセキュアエレメント５０内の権限（ＵＡＵ（ＰＩＮ））を利用して、セキュアエレメント５０内のセキュアエレメント側ファイルシステム５１へのアクセスが可能となる。

上述のように、ログイン処理部１６は、認証部としての機能を有し、所定のイベントとしての、ユーザがログイン操作を行った場合、ユーザのユーザ情報を認証する。コマンド授受処理部１５は、第２出力部としての機能を有し、ログイン処理部１６がユーザ情報の認証を行った場合、認証されたユーザ情報（イベント）に対応付けられたアクセス権限（ＰＩＮ）に対応する認証情報（アクセス認証情報）をセキュアエレメント５０へ出力する。

コマンド授受処理部５３は、第１照合部としての機能を有し、認証情報を照合する。コマンド授受処理部５３は、認証情報を照合された場合、認証情報に対応するアクセス権限（ＵＡＵ（ＰＩＮ））のアクセスを許諾可に設定する。

これにより、イベントが認証されると、イベントに対応するセキュアエレメント５０のセキュアエレメント側ファイルシステム５１のアクセス権限とのマッピングが行われ、セキュアエレメント５０に対して当該アクセス権限に対する認証の実施を自動的に行うことができ、セキュアエレメント５０に対する操作回数を低減して利便性を向上させることができる。

また、セキュアエレメント５０に対するアクセス権限に対する認証を、ユーザ情報の認証と同時に行うことができる。

図示していないが、所定のイベントとして、デバイス側ファイルシステム１３へのアクセスがあった場合のアクセス元を認証することもできる。これにより、セキュアエレメント５０に対するアクセス権限に対する認証を、デバイス側ファイルシステム１３へのアクセスの認証と同時に行うことができる。

なお、ＩｏＴデバイスの運用時のセキュリティポリシーに応じて、以下のような取り扱いを行うことができる。例えば、デバイス１００へのログインに成功したが、セキュアエレメント５０の認証に失敗した場合には、ユーザのパスワードは正当であるが、セキュアエレメント５０内の認証情報が不正な状態であると言える。このような場合には、ユーザを信用せずにログインを拒否してもよく、あるいはログインを許可しつつセキュアエレメント５０を使用させないこともできる。また、例えば、アクセス権対応テーブル１４にマッピングされていないユーザは、セキュアエレメント５０を使用可能なユーザとしてデバイス１００が認識していない状態であるので、上述のケースと同様の取り扱いをすることができる。

以上の手順により、セキュアエレメント５０の認証としてデバイス認証とユーザ認証の双方が行われ、デバイス本体１０からセキュアエレメント５０のセキュアエレメント側ファイルシステム５１へのアクセスに必要な認証が完了した。次に、デバイス本体１０のアプリケーション１１がクラウド上のサーバ２１０、２２０に対して認証情報を提示する際の動作について説明する。

図８はＩｏＴサービスサーバに提示する認証情報の取得と使用の動作例を示す説明図である。以下、符号Ｐ３１～Ｐ４１で示す処理について説明する。

Ｐ３１（認証情報ファイルアクセス）：アプリケーション１１は、ＩｏＴサービスサーバであるサーバ２１０へアクセスするための認証情報をファイルシステムアクセス処理部１７に要求する。ここでは、フォルダ／ｓｅ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）に対して読み出し（ＲＥＡＤ）を行ったものとする。また、アプリケーション１１は、デバイス１００に存在するユーザ名ｕｓｅｒ１で実行しているとする。

デバイス本体１０のデバイス側ファイルシステム１３をセキュアエレメント５０のセキュアエレメント側ファイルシステム５１にマッピングするには、両方のファイルシステムのパスに対応関係を持たせる必要がある。すなわち、ファイルシステムアクセス処理部１７は、両方のファイルシステムのパスの対応関係を保持している。例えば、デバイス側ファイルシステム１３の「／ｓｅ」をセキュアエレメント側ファイルシステム５１の「ＭＦ」に対応付けることができる。この場合、セキュアエレメント側ファイルシステム５１のＭＦ／ＤＦ＿ＣＩＰＨＥＲＴＥＸＴ／ＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ｂ）にアクセスする際には、デバイス側ファイルシステム１３の／ｓｅ／ＤＦ＿ＣＩＰＨＥＲＴＥＸＴ／ＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ｂ）というパスでアクセスすればよい。なお、デバイス本体１０側でセキュアエレメント側ファイルシステム５１のファイル構造（ツリー構造）を予め把握しておくことができる。また、デバイス本体１０側でセキュアエレメント側ファイルシステム５１のファイル構造を予め把握していない場合には、セキュアエレメント側ファイルシステム５１内の所要のセキュア情報を検索すればよい。

Ｐ３２（アクセス先の特定とリダイレクト）：ファイルシステムアクセス処理部１７は、デバイス側ファイルシステム１３にアクセスする。この時、フォルダ「／ｓｅ」へのアクセスを検知し、当該フォルダがセキュアエレメント側ファイルシステム５１に対応付けられていることを検知する。

Ｐ３３（コマンド実行指示）：ファイルシステムアクセス処理部１７は、コマンド授受処理部１５に対して、セキュアエレメント側ファイルシステム５１のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）へアクセスするためのコマンド実行を指示する。

Ｐ３４（コマンドの実行）：コマンド授受処理部１５は、セキュアエレメント５０に対してアクセス用コマンド実行を指示する。

Ｐ３５（ファイルへのアクセス要求）：コマンド授受処理部５３は、セキュアエレメント側ファイルシステム５１へのアクセスを行う。ここでは、コマンド授受処理部５３は、指定されたＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）へアクセスする。

Ｐ３６（セキュリティステータスの確認）：セキュアエレメント５０は、セキュリティステータス５２を確認し、受信したコマンドで要求されているファイルへのアクセス権が充足されていることを確認する。ここでは、アクセス先のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）が各階層で要求されるアクセス権（ＵＡＵ（Ｄｅｖ）とＵＡＵ（ＰＩＮ））が全て充足されていることを確認する。アクセス権が充足されていない場合、セキュアエレメント５０は、処理を終了し、アクセス拒否としてデバイス本体１０にレスポンスを返送する。

Ｐ３７（アクセス結果の取得）：セキュアエレメント側ファイルシステム５１は、指定されたファイルへのアクセス結果（読み出し結果、又は書き込み結果）をコマンド授受処理部５３へ返す。ここでは、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）の内容を取得できたとする。

Ｐ３８（レスポンスの送信）：コマンド授受処理部５３は、取得したファイルへのアクセス結果をレスポンスとしてデバイス本体１０へ返す。ここでは、コマンド授受処理部５３は、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）の内容をレスポンスとしてデバイス本体１０へ返す。

Ｐ３９（アクセス結果の取得）：コマンド授受処理部１５は、ファイルシステムアクセス処理部１７にレスポンスを返送する。ここでは、コマンド授受処理部１５は、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）の内容をレスポンスとしてファイルシステムアクセス処理部１７へ返す。

Ｐ４０（アプリケーションへの伝達）：ファイルシステムアクセス処理部１７は、アプリケーション１１から要求されたファイルアクセスの結果をアプリケーション１１に伝達する。ここで、アプリケーション１１は、所望のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）を取得する。

Ｐ４１（認証情報の使用）：アプリケーション１１は、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）を認証情報として、サーバ２１０に提示し、サーバ２１０による認証を受け、ＩｏＴサービスを受ける。

上述のように、ファイルシステムアクセス処理部１７は、アプリケーション１１からデバイス側ファイルシステム１３へのアクセス要求を受け付ける。ファイルシステムアクセス処理部１７は、変換部としての機能を有し、受け付けたアクセス要求を、当該アクセス要求に含まれるファイル情報に対応するセキュア情報が格納されたセキュアエレメント側ファイルシステム５１へのアクセスに変換する。このようなファイルシステムへのアクセスの変換を透過的なアクセスと称することができる。アクセス権限が全て充足している場合、ファイル情報とセキュア情報とは、結果的に同じ情報となるが、ここでは、便宜上、デバイス側ファイルシステム１３内のファイルをファイル情報と称し、セキュアエレメント側ファイルシステム５１のファイルを、認証情報を含むセキュア情報と称する。

ファイルシステムアクセス処理部１７は、デバイス本体１０のデバイス側ファイルシステム１３へのアクセスを、セキュアエレメント５０のセキュアエレメント側ファイルシステム５１へのアクセスにマッピングする機能を実現する。これにより、デバイス本体１０側でデバイス側ファイルシステム１３の所要のファイル情報にアクセスするだけで、セキュアエレメント５０のセキュアエレメント側ファイルシステム５１の当該ファイル情報に対応するセキュア情報へのアクセスを行うことができる。

コマンド授受処理部５３は、第１出力部及び出力部としての機能を有し、セキュアエレメント側ファイルシステム５１へのアクセスが許諾可に設定されている場合（すなわち、所要のアクセス権限を充足する場合）、当該アクセスに対応するセキュア情報をデバイス本体１０へ出力する。ファイルシステムアクセス処理部１７は、送出部としての機能を有し、セキュアエレメント５０が出力したセキュア情報をアプリケーション１１へ送出する。

上述の構成により、デバイス本体１０側でアプリケーション１１がデバイス側ファイルシステム１３の所要のファイル情報にアクセスするだけで、アプリケーション１１は、セキュアエレメント５０に格納された所要のセキュア情報を取得することができるので、セキュア情報の確実な保護と、ＩｏＴデバイスやＰＣ等で広く用いられているファイルシステムへのアクセス処理による利便性確保との両立を図ることができる。

セキュアエレメント５０とデバイス本体１０との間において、秘匿通信による保護等の対策は存在するものの、セキュアエレメント５０内のセキュアエレメント側ファイルシステム５１に対し、透過的なアクセスを許可した場合、セキュアエレメント５０とデバイス本体１０との間の通信を傍受することで情報を搾取することも不可能ではない。そうすると、外部からアクセス可能なセキュアエレメント５０の認証情報は、ＩＤや公開鍵証明書等の秘匿性のないデータに限定されてしまう。しかし、セキュアエレメント５０内のセキュアエレメント側ファイルシステム５１から読み出されるデータが、単なる不揮発性メモリから読み出される値ではなく、セキュアエレメント５０内の所定の演算結果であれば、デバイス本体１０は、デバイス側ファイルシステム１３のインタフェースを使用しつつ、秘匿性の高いセキュア情報を暴露することなく得ることができる。以下では、セキュアエレメント５０内の秘密鍵を用いた暗号演算結果をクラウド側のサーバに提示する場合について説明する。なお、本実施例では、所定の演算として暗号演算を用いて説明するが、本発明は、暗号演算に限定されるものではなく、暗号演算以外の演算により本発明を実施してもよい。

図９はセキュアエレメント５０内の演算結果の取得と使用の動作例を示す説明図である。以下、符号Ｐ５１～Ｐ６２で示す処理について説明する。

Ｐ５１（認証情報ファイルアクセス）：アプリケーション１１は、ＩｏＴサービスサーバであるサーバ２１０へアクセスするためのセキュアエレメント５０内の演算結果をファイルシステムアクセス処理部１７に要求する。ここでは、フォルダ／ｓｅ／ＤＦ＿ＣＩＰＨＥＲＴＥＸＴ／ＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ａ）に対して読み出し（ＲＥＡＤ）を行ったものとする。また、アプリケーション１１は、デバイス１００に存在するユーザ名ｕｓｅｒ１で実行しているとする。

Ｐ５２（アクセス先の特定とリダイレクト）：ファイルシステムアクセス処理部１７は、デバイス側ファイルシステム１３にアクセスする。この時、フォルダ「／ｓｅ」へのアクセスを検知し、当該フォルダがセキュアエレメント側ファイルシステム５１に対応付けられていることを検知する。

Ｐ５３（コマンド実行指示）：ファイルシステムアクセス処理部１７は、コマンド授受処理部１５に対して、セキュアエレメント側ファイルシステム５１のＭＦ／ＤＦ＿ＣＩＰＨＥＲＴＥＸＴ／ＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ａ）へアクセスするためのコマンド実行を指示する。

Ｐ５４（コマンドの実行）：コマンド授受処理部１５は、セキュアエレメント５０に対してアクセス用コマンド実行を指示する。

Ｐ５５（ファイルへのアクセス要求）：コマンド授受処理部５３は、セキュアエレメント側ファイルシステム５１へのアクセスを行う。ここでは、コマンド授受処理部５３は、指定されたＭＦ／ＤＦ＿ＣＩＰＨＥＲＴＥＸＴ／ＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ａ）へアクセスする。

Ｐ５６（セキュリティステータスの確認）：セキュアエレメント５０は、セキュリティステータス５２を確認し、受信したコマンドで要求されているファイルへのアクセス権が充足されていることを確認する。ここでは、アクセス先のＭＦ／ＤＦ＿ＣＩＰＨＥＲＴＥＸＴ／ＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ａ）が各階層で要求されるアクセス権（ＵＡＵ（Ｄｅｖ）とＵＡＵ（ＰＩＮ））が全て充足されていることを確認する。アクセス権が充足されていない場合、セキュアエレメント５０は、処理を終了し、アクセス拒否としてデバイス本体１０にレスポンスを返送する。

Ｐ５７（秘密鍵による演算）：セキュアエレメント５０は、ＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ａ）へのアクセスを契機として演算を行い、演算結果をＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ａ）の読み出し結果として返す。ここでは、対応する秘密鍵であるＭＦ／ＤＦ＿ＳＥＣＲＥＴＫＥＹ／ＥＦ＿ＳＥＣＲＥＴＫＥＹ（ＣＬＯＵＤ＿Ａ）を秘密鍵として、例えば、自身が生成した乱数に対してＲＳＡ暗号化した値を読み出し結果として設定することができる。

Ｐ５８（アクセス結果の取得）：セキュアエレメント側ファイルシステム５１は、指定されたファイルへのアクセス結果（読み出し結果、又は書き込み結果）をコマンド授受処理部５３へ返す。ここでは、セキュアエレメント５０は生成した乱数をＥＦ＿ＳＥＣＲＥＴＫＥＹ（ＣＬＯＵＤ＿Ａ）によりＲＳＡ暗号化した値を得ることができる。

Ｐ５９（レスポンスの送信）：コマンド授受処理部５３は、取得したファイルへのアクセス結果をレスポンスとしてデバイス本体１０へ返す。ここでは、セキュアエレメント５０が生成した演算結果をレスポンスとしてデバイス本体１０へ返す。

Ｐ６０（アクセス結果の取得）：コマンド授受処理部１５は、ファイルシステムアクセス処理部１７にレスポンスを返送する。ここでは、コマンド授受処理部１５は、セキュアエレメント５０が生成した演算結果をレスポンスとしてファイルシステムアクセス処理部１７へ返す。

Ｐ６１（アプリケーションへの伝達）：ファイルシステムアクセス処理部１７は、アプリケーション１１から要求されたファイルアクセスの結果をアプリケーション１１に伝達する。ここで、アプリケーション１１は、セキュアエレメント５０が生成した演算結果を取得する。

Ｐ６２（認証情報の使用）：アプリケーション１１は、セキュアエレメント５０が生成した演算結果（暗号化された乱数）をサーバ２１０へ送信する。サーバ２１０では、演算結果を共通の秘密鍵を用いて復号することができる。

上述のように、セキュアエレメント５０は、演算部としての機能を有し、セキュア情報を用いて所定の演算を行う。「セキュア情報を用いて」とは、所定の演算が行われる対象（加工対象）が、セキュア情報である場合を含むとともに、セキュア情報が加工対象でない場合も含む趣旨である。上述の例では、ＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ａ）が加工対象である。より具体的には、「セキュア情報を用いて」とは、例えば、所定の演算をセキュア情報に対して行って演算結果を得る場合、あるセキュア情報に対して別のセキュア情報を用いて所定の演算を行って演算結果を得る場合、セキュア情報ではないデータ（例えば、内部で一時的に生成されたデータ、あるいは、外部から入力されたデータ等）に対してセキュア情報を用いて所定の演算を行って演算結果を得る場合（セキュア情報が加工対象ではなく、加工に用いる入力の一つである場合）などが含まれる。所定の演算は、加工対象を固定値ではなく、可変の値とする演算であればよく、ハッシュ演算、平文の乱数、所要の暗号化演算などを含む。コマンド授受処理部５３は、所定の演算結果をデバイス本体１０へ出力する。これにより、セキュアエレメント５０とデバイス本体１０との間の通信を傍受されたとしても、加工対象が所定の演算によって固定値ではなく可変の値となっているので、秘匿性の高い加工対象（セキュア情報を含む）が外部に暴露されることなく、所望の演算結果をセキュアエレメント５０から取得することができる。

上述の例では、ＥＦ＿ＣＩＰＨＥＲＴＥＸＴ（ＣＬＯＵＤ＿Ａ）の内容として、セキュアエレメント５０が生成した乱数を、ＥＦ＿ＳＥＣＲＥＴＫＥＹ（ＣＬＯＵＤ＿Ａ）を秘密鍵として暗号化した値としているが、演算に用いる鍵、アルゴリズム等の演算方法、出力対象ファイルと鍵ファイルとの関係は、適宜所要のものを用いることができる。また、上述の例では、ファイルアクセスを契機として暗号演算を行っているが、暗号演算の契機は、ファイルアクセスに限定されるものではなく、例えば、リセット等、他のイベントを契機に事前に演算しておくことができる。

上述の例では、デバイス１００側のデバイス認証とユーザ認証により、セキュアエレメント５０内のセキュア情報へのアクセスを許可している。一方で、アクセス管理をクラウド側で集中的に実施する運用では、クラウド側への明示的な許可なくセキュア情報へアクセスすることを避けたいケースも考えられる。以下では、セキュアエレメント５０が独立して開設した秘匿通信路経由でアクセス可否をクラウド側から付与する場合について説明する。

図１０は秘匿通信路経由でのファイルアクセス許可の動作例を示す説明図である。以下、符号Ｐ７１～Ｐ８４で示す処理について説明する。

Ｐ７１（秘匿通信路の開設）：秘匿通信路開設処理部５４は、秘匿通信路サーバ３００との間でのエンドツーエンドの秘密通信路を開設する。セキュアエレメント５０が、Ｗｉｆｉ（登録商標）やイーサネット（登録商標）等の通信手段を有さない場合、デバイス本体１０の通信手段を用いてもよいが、秘匿通信のエンドポイントは、セキュアエレメント５０と秘匿通信路サーバ３００との間になるように秘匿通信路を開設する。

Ｐ７２（ファイルアクセス許可指示）：秘匿通信路サーバ３００は、セキュアエレメント５０に対して、ＥＡＵアクセス権限でのファイルアクセスを許可する。秘匿通信路上で別途コマンド実行を行うことで指示を行ってもよく、あるいは秘匿通信路開設時に自動的に行ってもよい。

Ｐ７３（セキュリティステータスの開錠）：秘匿通信路開設処理部５４は、ファイルアクセス許可指示を受信すると、セキュリティステータス５２を更新し、ファイルアクセス許可指示をセキュアエレメント５０自身の状態に反映する。ここでは、セキュリティステータスＥＡＵを開錠している。図１０では、符号×が符号〇に変更されている。

Ｐ７４（認証情報ファイルアクセス）：アプリケーション１１は、ＩｏＴサービスサーバであるサーバ２２０へアクセスするための認証情報をファイルシステムアクセス処理部１７に要求する。ここでは、フォルダ／ｓｅ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）に対して読み出し（ＲＥＡＤ）を行ったものとする。また、アプリケーション１１は、デバイス１００に存在するユーザ名ｕｓｅｒ１で実行しているとする。

Ｐ７５（アクセス先の特定とリダイレクト）：ファイルシステムアクセス処理部１７は、デバイス側ファイルシステム１３にアクセスする。この時、フォルダ「／ｓｅ」へのアクセスを検知し、当該フォルダがセキュアエレメント側ファイルシステム５１に対応付けられていることを検知する。

Ｐ７６（コマンド実行指示）：ファイルシステムアクセス処理部１７は、コマンド授受処理部１５に対して、セキュアエレメント側ファイルシステム５１のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）へアクセスするためのコマンド実行を指示する。

Ｐ７７（コマンドの実行）：コマンド授受処理部１５は、セキュアエレメント５０に対してアクセス用コマンド実行を指示する。

Ｐ７８（ファイルへのアクセス要求）：コマンド授受処理部５３は、セキュアエレメント側ファイルシステム５１へのアクセスを行う。ここでは、コマンド授受処理部５３は、指定されたＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）へアクセスする。

Ｐ７９（セキュリティステータスの確認）：セキュアエレメント５０は、セキュリティステータス５２を確認し、受信したコマンドで要求されているファイルへのアクセス権が充足されていることを確認する。ここでは、アクセス先のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）が各階層で要求されるアクセス権（ＵＡＵ（Ｄｅｖ）とＵＡＵ（ＰＩＮ））が全て充足されていることを確認する。アクセス権が充足されていない場合、セキュアエレメント５０は、処理を終了し、アクセス拒否としてデバイス本体１０にレスポンスを返送する。

Ｐ８０（アクセス結果の取得）：セキュアエレメント側ファイルシステム５１は、指定されたファイルへのアクセス結果（読み出し結果、又は書き込み結果）をコマンド授受処理部５３へ返す。ここでは、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）の内容を取得できたとする。

Ｐ８１（レスポンスの送信）：コマンド授受処理部５３は、取得したファイルへのアクセス結果をレスポンスとしてデバイス本体１０へ返す。ここでは、コマンド授受処理部５３は、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）の内容をレスポンスとしてデバイス本体１０へ返す。

Ｐ８２（アクセス結果の取得）：コマンド授受処理部１５は、ファイルシステムアクセス処理部１７にレスポンスを返送する。ここでは、コマンド授受処理部１５は、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）の内容をレスポンスとしてファイルシステムアクセス処理部１７へ返す。

Ｐ８３（アプリケーションへの伝達）：ファイルシステムアクセス処理部１７は、アプリケーション１１から要求されたファイルアクセスの結果をアプリケーション１１に伝達する。ここで、アプリケーション１１は、所望のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）を取得する。

Ｐ８４（認証情報の使用）：アプリケーション１１は、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）を認証情報として、サーバ２１０に提示し、サーバ２１０による認証を受け、ＩｏＴサービスを受ける。

上述のように、秘匿通信路開設処理部５４は、通信部としての機能を有し、秘匿通信路サーバ３００との間で暗号化された秘匿通信路を確立する。秘匿通信路開設処理部５４は、アクセス設定部としての機能を有し、秘匿通信路サーバ３００のアクセス権限のアクセス許可指示を受信した場合、秘匿通信路サーバ３００に対応するアクセス権限のアクセスを許諾可に設定する。これにより、セキュアエレメント５０内のセキュア情報に対して、遠隔でアクセス権限のアクセス許諾を設定できるので、セキュアな管理を行うことができる。

セキュア情報の危殆化等の理由により、セキュアエレメント５０内のセキュア情報を更新する運用も想定される。以下では、セキュア情報の更新について説明する。

図１１は秘匿通信路経由でのファイル更新の動作例を示す説明図である。以下、符号Ｐ９１～Ｐ１０４で示す処理について説明する。

Ｐ９１（秘匿通信路の開設）：秘匿通信路開設処理部５４は、秘匿通信路サーバ３００との間でのエンドツーエンドの秘密通信路を開設する。セキュアエレメント５０が、Ｗｉｆｉ（登録商標）やイーサネット（登録商標）等の通信手段を有さない場合、デバイス本体１０の通信手段を用いてもよいが、秘匿通信のエンドポイントは、セキュアエレメント５０と秘匿通信路サーバ３００との間になるように秘匿通信路を開設する。

Ｐ９２（ファイル更新指示）：秘匿通信路サーバ３００は、セキュアエレメント５０に対して、ＥＡＵアクセス権限で更新可能なファイルの更新を秘匿通信路経由で指示する。ここでは、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）の内容「ＡＢＣＤ」を「１２３４」とするように更新が指示されたとする。

Ｐ９３（ファイルの更新）：秘匿通信路開設処理部５４は、ファイル更新指示を受信すると、指定されたファイルの内容を指定された値で更新する。ここでは、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）の内容「ＡＢＣＤ」を「１２３４」で上書きする。

Ｐ９４（認証情報ファイルアクセス）：アプリケーション１１は、ＩｏＴサービスサーバであるサーバ２２０へアクセスするための認証情報をファイルシステムアクセス処理部１７に要求する。ここでは、フォルダ／ｓｅ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）に対して読み出し（ＲＥＡＤ）を行ったものとする。また、アプリケーション１１は、デバイス１００に存在するユーザ名ｕｓｅｒ１で実行しているとする。

Ｐ９５（アクセス先の特定とリダイレクト）：ファイルシステムアクセス処理部１７は、デバイス側ファイルシステム１３にアクセスする。この時、フォルダ「／ｓｅ」へのアクセスを検知し、当該フォルダがセキュアエレメント側ファイルシステム５１に対応付けられていることを検知する。

Ｐ９６（コマンド実行指示）：ファイルシステムアクセス処理部１７は、コマンド授受処理部１５に対して、セキュアエレメント側ファイルシステム５１のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）へアクセスするためのコマンド実行を指示する。

Ｐ９７（コマンドの実行）：コマンド授受処理部１５は、セキュアエレメント５０に対してアクセス用コマンド実行を指示する。

Ｐ９８（ファイルへのアクセス要求）：コマンド授受処理部５３は、セキュアエレメント側ファイルシステム５１へのアクセスを行う。ここでは、コマンド授受処理部５３は、指定されたＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）へアクセスする。

Ｐ９９（セキュリティステータスの確認）：セキュアエレメント５０は、セキュリティステータス５２を確認し、受信したコマンドで要求されているファイルへのアクセス権が充足されていることを確認する。ここでは、アクセス先のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）が各階層で要求されるアクセス権（ＵＡＵ（Ｄｅｖ）、ＵＡＵ（ＰＩＮ）、ＥＡＵ）が全て充足されていることを確認する。アクセス権が充足されていない場合、セキュアエレメント５０は、処理を終了し、アクセス拒否としてデバイス本体１０にレスポンスを返送する。

Ｐ１００（アクセス結果の取得）：セキュアエレメント側ファイルシステム５１は、指定されたファイルへのアクセス結果（読み出し結果、又は書き込み結果）をコマンド授受処理部５３へ返す。ここでは、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）の内容を取得できたとする。

Ｐ１０１（レスポンスの送信）：コマンド授受処理部５３は、取得したファイルへのアクセス結果をレスポンスとしてデバイス本体１０へ返す。ここでは、コマンド授受処理部５３は、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）の内容をレスポンスとしてデバイス本体１０へ返す。

Ｐ１０２（アクセス結果の取得）：コマンド授受処理部１５は、ファイルシステムアクセス処理部１７にレスポンスを返送する。ここでは、コマンド授受処理部１５は、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）の内容をレスポンスとしてファイルシステムアクセス処理部１７へ返す。

Ｐ１０３（アプリケーションへの伝達）：ファイルシステムアクセス処理部１７は、アプリケーション１１から要求されたファイルアクセスの結果をアプリケーション１１に伝達する。ここで、アプリケーション１１は、所望のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）を取得する。

Ｐ１０４（認証情報の使用）：アプリケーション１１は、ＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ｂ）を認証情報として、サーバ２２０に提示し、サーバ２２０による認証を受け、ＩｏＴサービスを受ける。

上述のように、秘匿通信路開設処理部５４は、更新指示取得部としての機能を有し、秘匿通信路経由で秘匿通信路サーバ３００からセキュアエレメント側ファイルシステム５１に格納されたセキュア情報の更新指示を取得する。秘匿通信路開設処理部５４は、更新部としての機能を有し、更新指示を取得した場合、セキュア情報を更新する。これにより、セキュアエレメント５０内のセキュア情報に対して、遠隔での更新を行うことができるので、セキュアな管理を行うことができる。

図１２は本実施の形態のデバイス１００によるイベント発生時の認証処理の手順の一例を示すフローチャートである。以下に説明する処理は、例えば、ＯＳ１２により行うことができるので、便宜上、処理の主体をＯＳ１２として説明する。ＯＳ１２は、所定のイベントがあるか否かを判定する（Ｓ１１）。所定のイベントは、ユーザのログイン操作時のユーザ情報、あるいは、デバイス側ファイルシステム１３へのアクセスがあった場合のアクセス元などとすることができる。

所定のイベントがない場合（Ｓ１１でＮＯ）、ＯＳ１２は、ステップＳ１１の処理を続ける。所定のイベントがあった場合（Ｓ１１でＹＥＳ）、ＯＳ１２は、イベントの認証処理を行い（Ｓ１２）、認証されたか否かを判定する（Ｓ１３）。認証された場合（Ｓ１３でＹＥＳ）、ＯＳ１２は、イベントに対応付けられたアクセス権限に対応するアクセス認証情報をセキュアエレメント５０へ出力する。具体的には、例えば、ユーザがログイン操作した場合にユーザ名がｕｓｅｒ１とすると、ＯＳ１２は、アクセス権対応テーブル１４を参照してｕｓｅｒ１に対応するアクセス権限がＰＩＮであることを確認し、ユーザに対してＰＩＮの入力を要求し、入力されたＰＩＮをセキュアエレメント５０へ出力する。

ＯＳ１２は、セキュアエレメント５０からアクセス認証情報の認証成功を取得したか否かを判定し（Ｓ１５）、認証成功を取得した場合（Ｓ１５でＹＥＳ）、セキュアエレメント５０のセキュアエレメント側ファイルシステム５１へのアクセスが可となったとして（Ｓ１６）、処理を終了する。イベントの認証がされなかった場合（Ｓ１３でＮＯ）、あるいは、認証成功を取得しなかった場合（Ｓ１５でＮＯ）、ＯＳ１２は、処理を終了する。

図１３は本実施の形態のデバイス１００によるＩｏＴサービス用のセキュア情報の取得処理の手順の一例を示すフローチャートである。図１３の処理を行う場合、図１２で示した処理によってセキュアエレメント側ファイルシステム５１へのアクセスが可となっているものとする。ＯＳ１２は、アプリケーション１１からデバイス側ファイルシステム１３へのアクセスがあったか否かを判定し（Ｓ２１）、アクセスがない場合（Ｓ２１でＮＯ）、ステップＳ２１の処理を続ける。

アクセスがあった場合（Ｓ２１でＹＥＳ）、ＯＳ１２は、アクセスに対応するセキュアエレメント５０のセキュアエレメント側ファイルシステム５１のセキュア情報を特定し（Ｓ２２）、セキュアエレメント５０のセキュアエレメント側ファイルシステム５１へのアクセスに変換する（Ｓ２３）。具体的には、デバイス側ファイルシステム１３に対するフォルダ「／ｓｅ」へのアクセスを検知した場合、デバイス側ファイルシステム１３の「／ｓｅ」をセキュアエレメント側ファイルシステム５１の「ＭＦ」に対応付けているとすると、ＯＳ１２は、セキュアエレメント側ファイルシステム５１のＭＦ／ＤＦ＿ＣＥＲＴ／ＥＦ＿ＣＥＲＴ（ＣＬＯＵＤ＿Ａ）へのアクセスに変換する。

ＯＳ１２は、アクセス要求をセキュアエレメント５０へ出力し（Ｓ２４）、セキュアエレメント５０からセキュア情報を取得したか否かを判定する（Ｓ２５）。セキュア情報を取得した場合（Ｓ２５でＹＥＳ）、ＯＳ１２は、取得したセキュア情報をアプリケーション１１へ送出し（Ｓ２６）、処理を終了する。アプリケーション１１は、セキュア情報をＩｏＴサービスサーバへ提示することによって、ＩｏＴサービスを実現することができる。セキュア情報を取得しなかった場合（Ｓ２５）、ＯＳ１２は、処理を終了する。

デバイス本体１０を、ＣＰＵ、ＲＡＭ及びＲＯＭなどを含むコンピュータで構成し、図１２及び図１３に示すような処理手順を定めたコンピュータプログラムをＲＡＭにロードし、ＣＰＵ（プロセッサ）により当該コンピュータプログラムを実行させることにより、デバイス１００の各処理をコンピュータプログラムによって実現することができる。

上述のように、本実施の形態によれば、セキュアエレメント５０内のアクセス権限の認証をデバイス１００のイベントと一体化し、認証が完了しているアクセス権限のファイルのみをデバイス本体１０からアクセス可能にし、デバイス本体１０のデバイス側ファイルシステム１３とセキュアエレメント５０のセキュアエレメント側ファイルシステム５１とをマッピングするので、デバイス本体１０のアプリケーション１１から見て、セキュアエレメント５０内のセキュア情報をデバイス側ファイルシステム１３のファイルと同様に扱うことができ（透過的なアクセスを可能とし）、セキュアエレメント５０の耐タンパ性によって、セキュアエレメント５０内のセキュア情報の確実な保護を実現することができる。さらに、秘匿通信路経由での遠隔更新を可能にするので、セキュア情報のセキュアな遠隔管理を実現することができる。このように、本実施の形態によれば、セキュア情報の確実な保護とアクセス処理の利便性確保との両立を図ることができる。

本実施の形態のデバイスは、デバイス本体に接続されたセキュアエレメントを搭載するデバイスであって、前記セキュアエレメントは、セキュア情報が格納された第１ファイルシステムと、前記第１ファイルシステムへのアクセス権限毎のアクセスの許諾可否を設定可能なアクセス設定部とを備え、前記デバイス本体は、第２ファイルシステムと、所定のサービス機能を実現するアプリケーションと、前記アプリケーションから前記第２ファイルシステムへのアクセス要求を受け付ける受付部と、前記受付部で受け付けたアクセス要求を、前記アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された前記第１ファイルシステムへのアクセスに変換する変換部とを備え、前記セキュアエレメントは、前記変換部で変換されたアクセスが前記アクセス設定部によって許諾可に設定されている場合、前記アクセスに対応するセキュア情報を前記デバイス本体へ出力する第１出力部を備え、前記デバイス本体は、前記第１出力部が出力したセキュア情報を前記アプリケーションへ送出する送出部を備える。

本実施の形態のコンピュータプログラムは、コンピュータに、セキュアエレメントとの間で所定の情報の授受を行わせるためのコンピュータプログラムであって、コンピュータに、所定のサービス機能を実現するアプリケーションから前記コンピュータ側のファイルシステムへのアクセス要求を受け付ける処理と、受け付けたアクセス要求を、前記アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された前記セキュアエレメントのファイルシステムへのアクセスに変換する処理と、変換されたアクセスが前記セキュアエレメント内で許諾可に設定されている場合、前記セキュアエレメントが出力する前記アクセスに対応するセキュア情報を取得する処理と、取得したセキュア情報を前記アプリケーションへ送出する処理とを実行させる。

本実施の形態のファイルシステムアクセス方法は、デバイス本体に接続されたセキュアエレメントを搭載するデバイスによるファイルシステムアクセス方法であって、所定のサービス機能を実現するアプリケーションから前記デバイス本体の本体側ファイルシステムへのアクセス要求を受け付け、受け付けられたアクセス要求を、前記アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された前記セキュアエレメントのファイルシステムへのアクセスに変換し、変換されたアクセスが前記セキュアエレメント内で許諾可に設定されている場合、前記セキュアエレメントが出力する前記アクセスに対応するセキュア情報を取得し、取得されたセキュア情報を前記アプリケーションへ送出する。

デバイスには、セキュアエレメントが搭載されている。セキュアエレメントは、耐タンパ性を有し、デバイスとは物理的に独立している。セキュアエレメントは、セキュア情報が格納された第１ファイルシステムと、第１ファイルシステムへのアクセス権限毎のアクセスの許諾可否を設定可能なアクセス設定部とを備える。セキュア情報は、セキュアエレメントに格納されている情報という意味であり、例えば、認証情報、公開鍵及び秘密鍵などの鍵情報を含む。なお、セキュア情報には、秘密情報が含まれるが、秘密情報には限定されない。第１ファイルシステムは、外部に対してファイルシステムとしての機能を提供する構成であればよく、ファイル構造には、ヒエラルキーがあるものも、ないものも含まれる。

デバイス本体は、第２ファイルシステムと、所定のサービス機能を実現するアプリケーションと、アプリケーションから第２ファイルシステムへのアクセス要求を受け付ける受付部と、受け付けたアクセス要求を、当該アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された第１ファイルシステムへのアクセスに変換する変換部とを備える。

第２ファイルシステムは、例えば、ＩｏＴデバイスやＰＣ等で広く用いられているファイルシステムとすることができる。アプリケーションは、例えば、ＩｏＴサービス機能を実現するためにデバイス上で実行されるアプリケーションである。例えば、ＩｏＴサービスを実現するためのサーバなどの外部のサーバと接続し通信を行うことにより、ＩｏＴサービスを実現できる。なお、外部のサーバとの通信を行うことは必須の構成ではない。

変換部は、デバイス本体の第２ファイルシステムへのアクセスを、セキュアエレメントの第１ファイルシステムへのアクセスにマッピングする機能を実現する。変換部は、両方のファイルシステムのパスの対応関係を保持している。これにより、デバイス本体側で第２ファイルシステムの所要のファイル情報にアクセスするだけで、セキュアエレメントの第１ファイルシステムの当該ファイル情報に対応するセキュア情報へのアクセスを行うことができる。

セキュアエレメントの第１出力部は、変換部で変換されたアクセスがアクセス設定部によって許諾可に設定されている場合、当該アクセスに対応するセキュア情報をデバイス本体へ出力する。デバイス本体の送出部は、第１出力部が出力したセキュア情報をアプリケーションへ送出する。

上述の構成により、デバイス本体側でアプリケーションが第２ファイルシステムの所要のファイル情報にアクセスするだけで、アプリケーションは、セキュアエレメントに格納された所要のセキュア情報を取得することができるので、セキュア情報の確実な保護と、ＩｏＴデバイスやＰＣ等で広く用いられているファイルシステムへのアクセス処理による利便性確保との両立を図ることができる。

本実施の形態のデバイスにおいて、前記デバイス本体は、所定のイベントと前記第１ファイルシステムへのアクセス権限とを対応付けるアクセス権限部と、所定のイベントを認証する認証部と、前記認証部が前記イベントを認証した場合、認証されたイベントに対応付けられたアクセス権限に対応するアクセス認証情報を前記セキュアエレメントへ出力する第２出力部とを備え、前記セキュアエレメントは、前記第２出力部が出力したアクセス認証情報を照合する第１照合部を備え、前記アクセス設定部は、前記第１照合部が前記アクセス認証情報を照合した場合、前記アクセス認証情報に対応するアクセス権限のアクセスを許諾可に設定する。

デバイス本体は、所定のイベントと第１ファイルシステムへのアクセス権限とを対応付けるアクセス権限部と、所定のイベントを認証する認証部と、認証部がイベントを認証した場合、認証されたイベントに対応付けられたアクセス権限に対応するアクセス認証情報をセキュアエレメントへ出力する第２出力部とを備える。

アクセス権限は、第１ファイルシステムのどのレベルのアクセスを許容するかを定める情報である。アクセス権限には、例えば、デバイスのユーザ権限、デバイスの管理者権限などが含まれる。

セキュアエレメントは、第２出力部が出力したアクセス認証情報を照合する第１照合部を備える。アクセス設定部は、第１照合部がアクセス認証情報を照合した場合、アクセス認証情報に対応するアクセス権限のアクセスを許諾可に設定する。

これにより、イベントが認証されると、イベントに対応するセキュアエレメントの第１ファイルシステムのアクセス権限とのマッピングが行われ、セキュアエレメントに対して当該アクセス権限に対する認証の実施を自動的に行うことができ、セキュアエレメントに対する操作回数を低減して利便性を向上させることができる。

本実施の形態のデバイスにおいて、前記認証部は、前記所定のイベントとして、ログイン操作を行ったユーザのユーザ情報を認証する。

認証部は、ユーザがログイン操作を行った場合、ユーザのユーザ情報を認証する。これにより、セキュアエレメントに対するアクセス権限に対する認証を、ユーザ情報の認証と同時に行うことができる。

本実施の形態のデバイスにおいて、前記認証部は、前記所定のイベントとして、前記第２ファイルシステムへのアクセスがあった場合のアクセス元を認証する。

認証部は、第２ファイルシステムへのアクセスがあった場合のアクセス元を認証する。これにより、セキュアエレメントに対するアクセス権限に対する認証を、第２ファイルシステムへのアクセスの認証と同時に行うことができる。

本実施の形態のデバイスにおいて、前記デバイス本体は、デバイス本体のデバイス認証情報を前記セキュアエレメントへ出力する第３出力部を備え、前記セキュアエレメントは、前記第３出力部が出力したデバイス認証情報を照合する第２照合部を備え、前記アクセス設定部は、前記第２照合部が前記デバイス認証情報を照合した場合、前記デバイス本体に対応するアクセス権限のアクセスを許諾可に設定する。

デバイス本体の第３出力部は、デバイス本体のデバイス認証情報をセキュアエレメントへ出力する。セキュアエレメントの第２照合部は、第３出力部が出力したデバイス認証情報を照合する。アクセス設定部は、第２照合部がデバイス認証情報を照合した場合、デバイス本体に対応するアクセス権限のアクセスを許諾可に設定する。

上述の構成により、不正なデバイス接続や、デバイスに対する改造が実施された際に、セキュア情報への不正なアクセスを防止できる。

本実施の形態のデバイスにおいて、前記第３出力部は、前記デバイスの起動時に前記デバイス認証情報を出力する。

第３出力部は、デバイスの起動時にデバイス認証情報を出力する。これにより、デバイスの起動の都度、セキュア情報への不正なアクセスを防止できる。

本実施の形態のデバイスにおいて、前記セキュアエレメントは、セキュア情報を用いて所定の演算を行う演算部を備え、前記第１出力部は、前記演算部で演算された演算結果を前記デバイス本体へ出力する。

セキュアエレメントの演算部は、セキュア情報を用いて所定の演算を行う。「セキュア情報を用いて」とは、所定の演算が行われる対象（加工対象）が、セキュア情報である場合を含むとともに、セキュア情報が加工対象でない場合も含む趣旨である。例えば、所定の演算をセキュア情報に対して行って演算結果を得る場合、あるセキュア情報に対して別のセキュア情報を用いて所定の演算を行って演算結果を得る場合、セキュア情報ではないデータ（例えば、内部で一時的に生成されたデータ、あるいは、外部から入力されたデータ等）に対してセキュア情報を用いて所定の演算を行って演算結果を得る場合などが含まれる。所定の演算は、加工対象を固定値ではなく、可変の値とする演算であればよく、ハッシュ演算、平文の乱数、所要の暗号化演算などを含む。第１出力部は、演算部で演算された演算結果をデバイス本体へ出力する。これにより、セキュアエレメントとデバイス本体との間の通信を傍受されたとしても、加工対象が所定の演算によって固定値ではなく可変の値となっているので、秘匿性の高い加工対象（セキュア情報を含む）が外部に暴露されることなく、所望の演算結果をセキュアエレメントから取得することができる。

本実施の形態のデバイスにおいて、前記セキュアエレメントは、秘匿通信路サーバとの間で暗号化された秘匿通信路を確立する通信部を備え、前記アクセス設定部は、前記通信部で前記秘匿通信路サーバのアクセス権限のアクセス許可指示を受信した場合、前記秘匿通信路サーバに対応するアクセス権限のアクセスを許諾可に設定する。

セキュアエレメントの通信部は、秘匿通信路サーバとの間で暗号化された秘匿通信路を確立する。アクセス設定部は、通信部で秘匿通信路サーバのアクセス権限のアクセス許可指示を受信した場合、秘匿通信路サーバに対応するアクセス権限のアクセスを許諾可に設定する。これにより、セキュアエレメント内のセキュア情報に対して、遠隔でアクセス権限のアクセス許諾を設定できるので、セキュアな管理を行うことができる。

本実施の形態のデバイスにおいて、前記セキュアエレメントは、前記通信部を介して前記秘匿通信路サーバから前記第１ファイルシステムに格納されたセキュア情報の更新指示を取得する更新指示取得部と、前記更新指示取得部で更新指示を取得した場合、前記セキュア情報を更新する更新部とを備える。

セキュアエレメントは、通信部を介して秘匿通信路サーバから第１ファイルシステムに格納されたセキュア情報の更新指示を取得する更新指示取得部と、更新指示取得部で更新指示を取得した場合、セキュア情報を更新する更新部とを備える。これにより、セキュアエレメント内のセキュア情報に対して、遠隔での更新を行うことができるので、セキュアな管理を行うことができる。

本実施の形態のセキュアエレメントは、セキュア情報が格納されたセキュアエレメント側ファイルシステムと、デバイスの起動時に前記デバイスのデバイス認証情報を取得する取得部と、前記取得部で取得したデバイス認証情報を照合する照合部と、前記照合部が前記デバイス認証情報を照合した場合、デバイス側のファイルシステムへのアクセス要求に基づく前記セキュアエレメント側ファイルシステムへのアクセスを許可する許可部とを備える。

取得部は、デバイスの起動時にデバイスのデバイス認証情報を取得する。照合部は、デバイス認証情報を照合する。許可部は、デバイス認証情報を照合した場合、デバイス側のファイルシステムへのアクセス要求に基づくセキュアエレメント側ファイルシステムへのアクセスを許可する。これにより、デバイスの起動時にデバイス認証情報を照合した場合（例えば、デバイス認証情報が正当な情報であることが確認された場合）、セキュアエレメント側ファイルシステムへのアクセスを許可するので、デバイス側のファイルシステムにアクセスするだけで、セキュアエレメント内のセキュア情報に透過的にアクセスできるので、セキュア情報の確実な保護と、ＩｏＴデバイスやＰＣ等で広く用いられているファイルシステムへのアクセス処理による利便性確保との両立を図ることができる。

本実施の形態のセキュアエレメントは、セキュア情報を用いて所定の演算を行う演算部と、前記演算部で演算された演算結果をデバイス側へ出力する出力部とを備える。

演算部は、セキュア情報を用いて所定の演算を行う。「セキュア情報を用いて」とは、所定の演算が行われる対象（加工対象）が、セキュア情報である場合を含むとともに、セキュア情報が加工対象でない場合も含む趣旨である。例えば、所定の演算をセキュア情報に対して行って演算結果を得る場合、あるセキュア情報に対して別のセキュア情報を用いて所定の演算を行って演算結果を得る場合、セキュア情報ではないデータ（例えば、内部で一時的に生成されたデータ、あるいは、外部から入力されたデータ等）に対してセキュア情報を用いて所定の演算を行って演算結果を得る場合などが含まれる。所定の演算は、加工対象を固定値ではなく、可変の値とする演算であればよく、ハッシュ演算、平文の乱数、所要の暗号化演算などを含む。第１出力部は、演算部で演算された演算結果をデバイス本体へ出力する。これにより、セキュアエレメントとデバイス本体との間の通信を傍受されたとしても、加工対象が所定の演算によって固定値ではなく可変の値となっているので、秘匿性の高い加工対象（セキュア情報を含む）が外部に暴露されることなく、所望の演算結果をセキュアエレメントから取得することができる。

１０ デバイス本体
１１ アプリケーション
１２ ＯＳ
１３ デバイス側ファイルシステム
１４ アクセス権対応テーブル
１５ コマンド授受処理部
１６ ログイン処理部
１７ ファイルシステムアクセス処理部
１８ デバイス証明書部
５０ セキュアエレメント
５１ セキュアエレメント側ファイルシステム
５２ セキュリティステータス
５３ コマンド授受処理部
５４ 秘匿通信路開設処理部
５５ 外部認証用機密情報部
１００ デバイス
２１０ サーバＡ
２２０ サーバＢ
３００ 秘匿通信路サーバ

Claims (11)

1. デバイス本体に接続されたセキュアエレメントを搭載するデバイスであって、
   前記セキュアエレメントは、
   セキュア情報が格納された第１ファイルシステムと、
   前記第１ファイルシステムへのアクセス権限毎のアクセスの許諾可否を設定可能なアクセス設定部と
   を備え、
   前記デバイス本体は、
   第２ファイルシステムと、
   所定のサービス機能を実現するアプリケーションと、
   前記アプリケーションから前記第２ファイルシステムへのアクセス要求を受け付ける受付部と、
   前記受付部で受け付けたアクセス要求を、前記アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された前記第１ファイルシステムへのアクセスに変換する変換部と
   を備え、
   前記セキュアエレメントは、
   前記変換部で変換されたアクセスが前記アクセス設定部によって許諾可に設定されている場合、前記アクセスに対応するセキュア情報を前記デバイス本体へ出力する第１出力部を備え、
   前記デバイス本体は、
   前記第１出力部が出力したセキュア情報を前記アプリケーションへ送出する送出部を備えるデバイス。
2. 前記デバイス本体は、
   所定のイベントと前記第１ファイルシステムへのアクセス権限とを対応付けるアクセス権限部と、
   所定のイベントを認証する認証部と、
   前記認証部が前記イベントを認証した場合、認証されたイベントに対応付けられたアクセス権限に対応するアクセス認証情報を前記セキュアエレメントへ出力する第２出力部と
   を備え、
   前記セキュアエレメントは、
   前記第２出力部が出力したアクセス認証情報を照合する第１照合部を備え、
   前記アクセス設定部は、
   前記第１照合部が前記アクセス認証情報を照合した場合、前記アクセス認証情報に対応するアクセス権限のアクセスを許諾可に設定する請求項１に記載のデバイス。
3. 前記認証部は、
   前記所定のイベントとして、ログイン操作を行ったユーザのユーザ情報を認証する請求項２に記載のデバイス。
4. 前記認証部は、
   前記所定のイベントとして、前記第２ファイルシステムへのアクセスがあった場合のアクセス元を認証する請求項２に記載のデバイス。
5. 前記デバイス本体は、
   デバイス本体のデバイス認証情報を前記セキュアエレメントへ出力する第３出力部を備え、
   前記セキュアエレメントは、
   前記第３出力部が出力したデバイス認証情報を照合する第２照合部を備え、
   前記アクセス設定部は、
   前記第２照合部が前記デバイス認証情報を照合した場合、前記デバイス本体に対応するアクセス権限のアクセスを許諾可に設定する請求項１から請求項４のいずれか一項に記載のデバイス。
6. 前記第３出力部は、
   前記デバイスの起動時に前記デバイス認証情報を出力する請求項５に記載のデバイス。
7. 前記セキュアエレメントは、
   セキュア情報を用いて所定の演算を行う演算部を備え、
   前記第１出力部は、
   前記演算部で演算された演算結果を前記デバイス本体へ出力する請求項１から請求項６のいずれか一項に記載のデバイス。
8. 前記セキュアエレメントは、
   秘匿通信路サーバとの間で暗号化された秘匿通信路を確立する通信部を備え、
   前記アクセス設定部は、
   前記通信部で前記秘匿通信路サーバのアクセス権限のアクセス許可指示を受信した場合、前記秘匿通信路サーバに対応するアクセス権限のアクセスを許諾可に設定する請求項１から請求項７のいずれか一項に記載のデバイス。
9. 前記セキュアエレメントは、
   前記通信部を介して前記秘匿通信路サーバから前記第１ファイルシステムに格納されたセキュア情報の更新指示を取得する更新指示取得部と、
   前記更新指示取得部で更新指示を取得した場合、前記セキュア情報を更新する更新部と
   を備える請求項８に記載のデバイス。
10. コンピュータに、セキュアエレメントとの間で所定の情報の授受を行わせるためのコンピュータプログラムであって、
    コンピュータに、
    所定のサービス機能を実現するアプリケーションから前記コンピュータ側のファイルシステムへのアクセス要求を受け付ける処理と、
    受け付けたアクセス要求を、前記アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された前記セキュアエレメントのファイルシステムへのアクセスに変換する処理と、
    変換されたアクセスが前記セキュアエレメント内で許諾可に設定されている場合、前記セキュアエレメントが出力する前記アクセスに対応するセキュア情報を取得する処理と、
    取得したセキュア情報を前記アプリケーションへ送出する処理と
    を実行させるコンピュータプログラム。
11. デバイス本体に接続されたセキュアエレメントを搭載するデバイスによるファイルシステムアクセス方法であって、
    所定のサービス機能を実現するアプリケーションから前記デバイス本体の本体側ファイルシステムへのアクセス要求を受け付け、
    受け付けられたアクセス要求を、前記アクセス要求に含まれるファイル情報に対応するセキュア情報が格納された前記セキュアエレメントのファイルシステムへのアクセスに変換し、
    変換されたアクセスが前記セキュアエレメント内で許諾可に設定されている場合、前記セキュアエレメントが出力する前記アクセスに対応するセキュア情報を取得し、
    取得されたセキュア情報を前記アプリケーションへ送出するファイルシステムアクセス方法。

Images