JP7287844B2 - 情報処理装置、セキュリティ強度の切替方法、及びプログラム - Google Patents

Description

本発明は、セキュリティに関する処理を実行するカードリーダなどの情報処理装置に関し、特に、実行する処理のセキュリティ強度の変更が可能な情報処理装置と、そのセキュリティ強度の切替方法と、この切替方法を実施するプログラムとに関する。

セキュリティに関する処理を実行する情報処理機器の例として、磁気カードに記録された磁気データの読み出しや磁気カードへのデータの書き込みを行うカードリーダがある。カードリーダは、例えば、ＡＴＭ（現金自動預け払い機；Automated teller machine）などにおいて広く用いられている。カードリーダは一般にマイクロプロセッサを内蔵しており、カードリーダ内に格納されたファームウェアをマイクロプロセッサが実行することで動作する。磁気カードに読み書きされるデータは秘匿を要するデータであり、カードリーダ内で暗号化処理などのセキュリティ処理がなされる。このセキュリティ処理もカードリーダ内に格納されたファームウェアに基づいて実行される。暗号化処理は、ファイルや通信データに対しても広く行われている。セキュリティ処理の別の例としては、電子署名、電子透かしの生成などもある。

一般にセキュリティ処理におけるセキュリティ強度にはいくつかのレベルが想定されており、一般に、セキュリティ強度が高いほど、処理に要する演算負荷が重くなる。処理内容などに応じてセキュリティ強度を変更することもある。例えば特許文献１には、装置が省電力モードであるときや他の処理によって負荷が高まっているときは、その装置において、相対的にセキュリティ強度が低い暗号化処理を行うことを開示している。

特開２０１４－１５０４１０号公報

処理負荷の高低に応じてセキュリティ強度を変更することは、セキュリティの向上に寄与するとは言えない。ファームウェアに基づいて動作する情報処理機器の場合、情報処理機器の出荷後により強固なセキュリティ処理を実行可能なファームウェアが提供されることがある。情報処理機器の製造者ではない情報処理機器を利用する側での管理者には、任意のタイミングで、セキュリティ上の後退を起こすことなく新しいファームウェアを情報処理機器にインストールしたいという要求がある。しかしながら、セキュリティアップデートを含む新しいファームウェアを運用者の要望に応じて柔軟に情報処理機器にインストールさせる仕組みは今まで提案されていない。

本発明の目的は、ファームウェアに基づいてセキュリティに関する処理を実行する情報処理装置であって、実行する処理のセキュリティ強度が異なるファームウェア間の切り替えを容易に行うことができる情報処理装置と、そのような情報処理装置におけるセキュリティ強度の切替方法と、そのような切替方法を実現するプログラムとを提供することにある。

本発明の情報処理装置は、上位装置に接続される情報処理装置であって、ファームウェアに基づいて動作する実行処理部と、第１レベルのセキュリティ強度の処理を実行する第１ファームウェアを格納する第１記憶領域と、第１レベルよりも高強度の第２レベルのセキュリティ強度の処理を実行する第２ファームウェアを格納する第２記憶領域と、第２ファームウェアが第２記憶領域に格納されかつ実行処理部が第１ファームウェアを実行可能な状態で、上位装置からの特定の入力により、実行処理部が実行するファームウェアを第１ファームウェアから第２ファームウェアに切り替える制御部と、を備える。

本発明の情報処理装置によれば、実行処理部が第１ファームウェアを実行中であっても、上位装置側から暗号キーなどの特定の入力が与えられるとセキュリティレベルがより高い第２ファームウェアの実行に切り替えることができるので、情報処理装置のセキュリティ強度を簡便に向上させることができる。

本発明の情報処理装置では、実行処理部が第１ファームウェアを実行している状態において第２ファームウェアが上位装置から第２記憶領域にダウンロードされる。このように構成することによって、情報処理装置の出荷後に提供される新たなファームウェアにも対応できるようになる。また、制御部は、第２ファームウェアに切り替えたのちは、暗号キーなどの特定の入力に基づく機器認証が行われない限り、情報処理装置へのファームウェアのダウンロードを禁止する。これにより、セキュリティ強度に劣るファームウェアなどが新たにダウンロードされることを防ぐことができ、セキュリティ強度をさらに向上することができる。さらに制御部は、第２ファームウェアに切り替えたのちに第１ファームウェアの実行を禁止することが好ましい。第１ファームウェアの実行を禁止することによって、セキュリティ強度の維持が可能になる。

本発明のセキュリティ強度の切替方法は、上位装置に接続され、ファームウェアに基づいてセキュリティに関する処理を実行する情報処理装置におけるセキュリティ強度の切替方法であって、情報処理装置に格納されて第１レベルのセキュリティ強度の処理を実行する第１ファームウェアを情報処理装置が実行可能な状態で、上位装置からの特定の入力により、既に情報処理装置に格納されていて第１レベルよりも高強度の第２レベルのセキュリティ強度の処理を実行する第２ファームウェアに、情報処理装置が実行するファームウェアを切り替える。

本発明の切替方法によれば、情報処理装置が第１ファームウェアを実行中であっても、上位装置側から暗号キーなどの特定の入力が与えられるとセキュリティレベルがより高い第２ファームウェアの実行に切り替えることができるので、情報処理装置のセキュリティ強度を簡便に向上させることができる。

本発明の切替方法では、第２ファームウェアへの切り替えの前に、情報処理装置が第１ファームウェアを実行している状態において、上位装置から情報処理装置に第２ファームウェアをダウンロードする。このように構成することによって、情報処理装置の出荷後に提供される新たなファームウェアにも対応できるようになる。また、第２ファームウェアに切り替えたのちは、暗号キーなどの特定の入力に基づく機器認証が行われない限り、情報処理装置へのファームウェアのダウンロードを禁止する。これにより、セキュリティ強度に劣るファームウェアなどが新たにダウンロードされることを防ぐことができ、セキュリティ強度をさらに向上することができる。さらに、第２ファームウェアに切り替えたのちに、第１ファームウェアの実行を禁止することが好ましい。第１ファームウェアの実行を禁止することにより、セキュリティ強度の維持が可能になる。

本発明のプログラムは、上位装置に接続されてファームウェアに基づいて動作する情報処理装置においてファームウェアの更新を管理するコンピュータに、情報処理装置の第１記憶領域に格納されて第１レベルのセキュリティ強度の処理を実行する第１ファームウェアが実行可能とする処理と、第１ファームウェアが実行可能な状態において、上位装置からの特定の入力により、既に情報処理装置の第２記憶領域に格納されていて第１レベルよりも高強度の第２レベルのセキュリティ強度の処理を実行する第２ファームウェアを実行可能な状態にして、情報処理装置が基づくファームウェアの切り替えを行う処理と、を実行させる。

本発明のプログラムによれば、情報処理装置が第１ファームウェアを実行中であっても、上位装置側から暗号キーなどの特定の入力が与えられるとセキュリティレベルがより高い第２ファームウェアの実行に切り替えることができるので、情報処理装置のセキュリティ強度を簡便に向上させることができる。

本発明のプログラムは、第１ファームウェアを実行している状態において、上位装置から第２記憶領域に第２ファームウェアをダウンロードする処理をコンピュータにさらに実行させる。このように構成することにより、情報処理装置の出荷後に提供される新たなファームウェアにも対応できるようになる。また本発明のプログラムは、情報処理装置が基づくファームウェアを第２ファームウェアに切り替えたのちは、特定の入力に基づく機器認証が行われない限り、情報処理装置へのファームウェアのダウンロードを禁止する処理をコンピュータに実行させる。これにより、セキュリティ強度に劣るファームウェアなどが新たにダウンロードされることを防ぐことができ、セキュリティ強度をさらに向上することができる。さらに本発明のプログラムは、第２ファームウェアにファームウェアを切り替えたのちは第１ファームウェアの実行を禁止する処理をコンピュータに実行させるものであることが好ましい。第１ファームウェアの実行を禁止することにより、セキュリティ強度の維持が可能になる。

本発明の実施の一形態の情報処理装置の構成を示すブロック図である。 情報処理装置の動作を説明するフローチャートである。

次に、本発明の好ましい実施の形態について、図面を参照して説明する。図１は、本発明の実施の一形態の情報処理装置の構成を示している。この情報処理装置１０は、例えばカードリーダとして構成されるものであり、上位装置３０に接続している。上位装置３０は、情報処理装置１０とのデータのやり取りを行い、例えば情報処理装置１０がカードリーダである場合には、情報処理装置１０から上位装置３０に対しては情報処理装置１０が磁気カードから読み取ったデータが送られる。また上位装置３０は、情報処理装置１０で用いられるファームウェアを情報処理装置１０に提供するサーバとしての機能も有する。カードリーダである場合を想定して、情報処理装置１０自体はその情報処理装置１０にコマンドなどを入力するためのキーボードやマウスなどを備えておらず、情報処理装置１０に対するコマンドなどは上位装置３０側から情報処理装置１０に与えられるようになっている。

情報処理装置１０は、ファームウェアに基づいて動作する実行処理部２１と、ファームウェアの管理と更新の処理を実行する制御部２２と、第１ファームウェアを格納するための記憶領域である第１記憶領域２３と、第２ファームウェアを格納するための記憶領域である第２記憶領域２４とを備えている。実行処理部２１がファームウェアに基づいて実行する処理には、例えば磁気データの暗号化などの、セキュリティに関する処理が含まれている。実行処理部２１が使用するファームウェアを格納する領域として第１記憶領域２３と第２記憶領域２４との２つが設けられているのは、あるファームウェアを実行処理部２１が実行可能な状態において新たなファームウェアを上位装置３０側から情報処理装置１０にダウンロードして格納することを可能にするためである。第１記憶領域２３に格納される第１ファームウェアはいわゆる工場出荷時のファームウェアであり、実行処理部２１によって第１レベルのセキュリティ強度の処理を実行するために用いられるものである。これに対して第２記憶領域２４に格納されることとなる第２ファームウェアは、第１レベルよりも高強度の第２レベルのセキュリティ強度の処理を実行処理部２１によって実行するためのものである。第２ファームウェアも工場出荷時に予め第２記憶領域２４に格納しておいてもよいが、工場出荷後、情報処理装置１０を実際に使用しているときに、上位装置３０を介して第２ファームウェアを第２記憶領域２４に格納するようにしてもよい。

図１に示すように、実行処理部２１、制御部２２、第１記憶領域２３及び第２記憶領域２４は、それらの全体として１つのプロセッサ２０を構成する。プロセッサ２０は例えばマイクロプロセッサであってよく、第１記憶領域２３及び第２記憶領域２４は、プロセッサ２０における不揮発性メモリ内の記憶領域として設けられる。制御部２２は、実行処理部２１のためのファームウェアとは独立したファームウェアによって実現することができる。あるいは制御部２２も第１記憶領域２３または第２記憶領域２４に格納されたファームウェアによって実現することができる。この場合、制御部２２が第１ファームウェアによって動作しているときに制御部２２が使用するファームウェアを第１ファームウェアから第２ファームウェアに切り替えることは、プロセッサ２０の再起動といわゆるブートストラップ技術を用いて容易に実現することができる。

制御部２２は、第１記憶領域２３に格納された第１ファームウェアを実行処理部２１が実行しているときに、任意のタイミングにおいて第２ファームウェアを上位装置３０からダウンロードして第２記憶領域２４に格納することを可能にする。第２ファームウェアのダウンロードは、情報処理装置１０の管理者からの指示で行ってもよいし、上位装置３０側からのプッシュ型の配信によるものであってもよい。第２ファームウェアの第２記憶領域２４のダウンロードを行っただけでは、実行処理部２１は依然として第１ファームウェアに基づいて処理を実行する。そして制御部２２は、上位装置３０側から情報処理装置１０に対する特定の入力、例えば暗号キーの入力があったときに、実行処理部２１が実行するファームウェアを第１ファームウェアから第２ファームウェアに切り替える、すなわち実行処理部２１が第２ファームウェアを実行可能な状態にしてファームウェアの更新を行う。本実施形態では、ファームウェアの更新を行う制御部２２を設けることにより、実行処理部２１が第１ファームウェアを実行中であっても、上位装置３０側から暗号キーなどの特定の入力が与えられるとセキュリティレベルがより高い第２ファームウェアの実行に切り替えることができるので、情報処理装置１０のセキュリティ強度を簡便に向上させることができる。

本実施形態では、実行処理部２１が実行するファームウェアを制御部２２が第１ファームウェアから第２ファームウェアに切り替えた場合、セキュリティ強度の低い第１ファームウェアが再度実行されることがないように、制御部２２は、第１ファームウェアの実行を禁止することができる。さらに制御部２２は、セキュリティ強度の低いファームウェアのダウンロードなどを防ぐために、第２ファームウェアに切り替えたのちには、第２ファームウェアへの切り替え際に上位装置３０側から与えられた特定の入力（例えば暗号キー）と同じ入力が上位装置３０から与えられて機器認証が終了しない限り、さらなるファームウェアの情報処理装置１０へのダウンロードを禁止することができる。図２は、このような付加的な機能を有する制御部２２を備える場合の、本実施形態の情報処理装置１０の動作を示している。

図２に示す動作において、情報処理装置１０が起動すると、ステップ１０１に示すように、実行処理部２１は第１記憶領域２３に格納されている第１ファームウェアを実行し、暗号化などのセキュリティに関する処理を実行する。この時点では第２記憶領域２４には第２ファームウェアは格納されていなくてよい。そののち、ステップ１０２において、第１ファームウェアの実行中に、あるいは第１ファームウェアが実行可能な状態で、第２ファームウェアが第２記憶領域２４にダウンロードされる。そして制御部２２は、ステップ１０３において上位装置３０の側から任意の暗号キーの入力があるか否かを判定し、暗号キーの入力があるまで待ち合わせる。入力された暗号キーは、後工程での機器認証のために制御部２２内に格納される。暗号キーが入力されたら、制御部２２は、ステップ１０４において、上位装置３０から情報処理装置１０へのダウンロードを禁止し、ステップ１０５において、実行処理部２１が実行するファームウェアを第２ファームウェアに切り替え、ステップ１０６において、第１ファームウェアの実行を禁止する。

その後、新たなファームウェアを情報処理装置１０に格納してこのファームウェアによって実行処理部２１に処理を行わせたいという要求が発生することがある。このとき、上述のステップ１０６において、新たなファームウェアのダウンロードが禁止されている。そこで本実施形態では、ステップ１０３において既に入力されている暗号キーを用いた機器認証を行い、機器認証が成功し場合に新たなファームウェアのダウンロードを可能とする。すなわち制御部２２は、ステップ１０７において、ステップ１０３で入力された暗号キーと同じ暗号キーが入力されたかどうかを判定し、同じ暗号キーが入力されるまで待ち合わせる。そして、ステップ１０３で入力された暗号キーと同じ暗号キーが入力されたことにより機器認証に成功したら、制御部２２は、ステップ１０８において、ダウンロードを許可し、新たなファームウェアのダウンロードとその新たなファームウェアによるファームウェアの再更新が可能な状態とする。

以上説明した本実施形態の情報処理装置１０によれば、情報処理装置１０の利用者側の管理者がその任意の判断によって暗号キーの書き込みを行うことによって、管理者の所望のタイミングで、情報処理装置１０が実行するセキュリティ関連の処理のセキュリティ強度を高めることが可能になる。セキュリティ強度を高めたのちは、暗号キーを用いた機器認証を経ないとファームウェアの切り替えを行うことができなくなるので、処理のセキュリティ強度を維持することが可能になる。

以上、本発明に基づく情報処理装置について、カードリーダにおいて磁気データを暗号化する処理のセキュリティ強度を高める場合を例に挙げて説明したが、本発明が適用可能な情報処理装置はこれに限定されるものではない。例えば、情報処理装置における暗号化強度以外の他の機能変更にも本発明を適用することができる。また、暗号キーの入力によって第１ファームウェアから第２ファームウェアに切り替え、その後は、第１ファームウェアを実行禁止とすることは、従来機能を意図して禁止したい場合や、不可逆性を持たせてシステムの機能を変更したい場合にも適用することができる。一例として試験運用用のファームウェアと本番運用用のファームウェアがあるときに、本番運用用のファームウェアに切り替えたら試験運用用のファームウェアを使用できなくする場合にも本発明を適用することができる。さらに本発明によれば、第２記憶領域に予め第２ファームウェアを格納しておけば、システム運用中にファームウェアのダウンロードを行うことなく柔軟にシステム変更を行うことが可能になる。

１０…情報処理装置；２０…プロセッサ；２１…処理実行部；２２…制御部；２３…第１記憶領域；２４…第２記憶領域。

Claims (6)

1. 上位装置に接続される情報処理装置であって、
   ファームウェアに基づいて動作する実行処理部と、
   第１レベルのセキュリティ強度の処理を実行する第１ファームウェアを格納する第１記憶領域と、
   前記第１レベルよりも高強度の第２レベルのセキュリティ強度の処理を実行する第２ファームウェアを格納する第２記憶領域と、
   前記第２ファームウェアが前記第２記憶領域に格納されかつ前記実行処理部が前記第１ファームウェアを実行可能な状態で、前記上位装置からの特定の入力により、前記実行処理部が実行するファームウェアを前記第１ファームウェアから前記第２ファームウェアに切り替える制御部と、
   を備え、
   前記第２ファームウェアは、前記実行処理部が前記第１ファームウェアを実行している状態において前記上位装置から前記第２記憶領域にダウンロードされ、
   前記制御部は、前記第２ファームウェアに切り替えたのちは、前記特定の入力に基づく機器認証が行われない限り、前記情報処理装置へのファームウェアのダウンロードを禁止する、情報処理装置。
2. 前記制御部は、前記第２ファームウェアに切り替えたのちに、前記第１ファームウェアの実行を禁止する、請求項１に記載の情報処理装置。
3. 上位装置に接続され、ファームウェアに基づいてセキュリティに関する処理を実行する情報処理装置におけるセキュリティ強度の切替方法であって、
   前記情報処理装置に格納されて第１レベルのセキュリティ強度の処理を実行する第１ファームウェアを前記情報処理装置が実行可能な状態で、上位装置からの特定の入力により、既に前記情報処理装置に格納されていて前記第１レベルよりも高強度の第２レベルのセキュリティ強度の処理を実行する第２ファームウェアに、前記情報処理装置が実行するファームウェアを切り替え、
   前記第２ファームウェアへの切り替えの前に、前記情報処理装置が前記第１ファームウェアを実行している状態において、前記上位装置から前記情報処理装置に前記第２ファームウェアをダウンロードし、
   前記第２ファームウェアに切り替えたのちは、前記特定の入力に基づく機器認証が行われない限り、前記情報処理装置へのファームウェアのダウンロードを禁止する、切替方法。
4. 前記第２ファームウェアに切り替えたのちに、前記第１ファームウェアの実行を禁止する、請求項３に切替方法。
5. 上位装置に接続されてファームウェアに基づいて動作する情報処理装置において前記ファームウェアの更新を管理するコンピュータに、
   前記情報処理装置の第１記憶領域に格納されて第１レベルのセキュリティ強度の処理を実行する第１ファームウェアが実行可能とする処理と、
   前記第１ファームウェアが実行可能な状態において、前記上位装置からの特定の入力により、既に前記情報処理装置の第２記憶領域に格納されていて前記第１レベルよりも高強度の第２レベルのセキュリティ強度の処理を実行する第２ファームウェアを実行可能な状態にして、前記情報処理装置が基づくファームウェアの切り替えを行う処理と、
   前記第１ファームウェアを実行している状態において前記上位装置から前記第２記憶領域に前記第２ファームウェアをダウンロードする処理と、
   前記情報処理装置が基づくファームウェアを前記第２ファームウェアに切り替えたのちは、前記特定の入力に基づく機器認証が行われない限り、前記情報処理装置へのファームウェアのダウンロードを禁止する処理と、
   を実行させるプログラム。
6. 前記情報処理装置が基づくファームウェアを前記第２ファームウェアに切り替えたのちは前記第１ファームウェアの実行を禁止する処理を前記コンピュータに実行させる、請求項５に記載のプログラム。

Images