JP7393269B2 - 端末装置、処理方法及び端末制御システム - Google Patents

Description

本発明の実施形態は、端末装置、処理方法及び端末制御システムに関する。

機器の起動の高速化を目的とした次のような技術がある。すなわち、当該機器のファームウェアを構成するソフトウェアは、当該機器の動作に最低限必要なものと、そうでないものとに分けられている。そして、当該機器は、機器の動作に最低限必要なソフトウェアのみに対して改ざんの有無の検査を行い、改ざんが無い場合には最低限必要なソフトウェアを用いて起動する。さらに、当該機器は、それ以外のソフトウェアに対して改ざんの有無の検査を行い、問題が無ければそれらのソフトウェアを起動する。

また、内部を複数の領域に分割し、複数の領域それぞれに対して個別にアクセス（読み書き）の可否を変更することができる記憶装置としてＯｐａｌ仕様のＳＥＤ（self-encrypting device）（Ｏｐａｌ－ＳＥＤ）などが知られている。

特開２０１５－５５８９８号公報

Ｏｐａｌ－ＳＥＤなどを用いると、機器の動作に最低限必要なソフトウェアと、それ以外のソフトウェアをそれぞれ別の領域に格納することができる。この状態では、ソフトウェアの一部が改ざんされている場合であっても、改ざんがないことが確認された必要最低限の機能のみは動作させる、いわゆる縮退運転が可能となる。
しかしながら、ソフトウェアの改ざんが無いことを根拠に安全であるとみなすことはセキュリティ上の問題がある。既知の脆弱性があるようなソフトウェアが含まれている場合があるためである。

本発明の実施形態が解決しようとする課題は、脆弱性の深刻度が高いソフトウェアを起動しないようにする端末装置、処理方法及び端末制御システムを提供することである。

実施形態の端末装置は、第１の記憶領域、第２の記憶領域及び起動部を備える。第１の記憶領域は、装置の動作に最低限必要なソフトウェアを含む第１のデータを記憶する。第２の記憶領域は、前記装置の動作に最低限必要ではないソフトウェアを含む第２のデータを記憶する。起動部は、前記装置を起動する際、前記第１のデータの脆弱性の深刻度が所定以上である場合、前記装置を起動しない。起動部は、前記第１のデータの脆弱性の深刻度が所定未満であり、前記第２のデータの脆弱性の深刻度が所定以上である場合、前記第２のデータを用いず前記第１のデータを用いて前記装置を起動する。起動部は、前記第１のデータ及び前記第２のデータの脆弱性の深刻度が所定未満である場合、前記第１のデータ及び前記第２のデータを用いて前記装置を起動する。

実施形態に係る端末制御システム及び当該端末制御システムに含まれる構成要素の要部回路構成の一例を示すブロック図。 図１中の端末装置のプロセッサーによる処理の一例を示すフローチャート。 図１中の端末装置のプロセッサーによる処理の一例を示すフローチャート。 図１中の脆弱性算出サーバーのプロセッサーによる処理の一例を示すフローチャート。

以下、実施形態に係る端末制御システムについて図面を用いて説明する。なお、以下の実施形態の説明に用いる各図面は、説明のため、構成を省略して示している場合がある。また、各図面及び本明細書中において、同一の符号は同様の要素を示す。
図１は、実施形態に係る端末制御システム１及び端末制御システム１に含まれる構成要素の要部回路構成の一例を示すブロック図である。端末制御システム１は、端末装置１００、脆弱性算出サーバー２００及びデータベースサーバー３００を含む。

端末装置１００、脆弱性算出サーバー２００及びデータベースサーバー３００は、ネットワークＮＷに接続する。ネットワークＮＷは、典型的にはインターネットを含む通信網である。ネットワークＮＷは、ＬＡＮ（local area network）を含む通信網であっても良い。また、ネットワークＮＷは、専用線又は公衆携帯電話網などを含む通信網であっても良い。

端末装置１００は、記憶しているソフトウェアのデータ整合性及び脆弱性に応じて異なる動作をする装置である。端末装置１００は、プログラムによって動作する装置である。例えば、端末装置１００は、ＰＣ（personal computer）、サーバー、携帯機器、ＰＯＳ（point of sale）端末、事務機器、産業用コンピューター、組み込み機器、又はＩｏＴ機器などである。端末装置１００は、一例として、プロセッサー１０１、ＲＯＭ（read-only memory）１０２、ＲＡＭ（random-access memory）１０３、補助記憶装置１０４、アクセス制御部１０５、通信インターフェース１０６、入力装置１０７及び表示装置１０８を含む。そして、バス１０９などが、これら各部を接続する。

プロセッサー１０１は、端末装置１００の動作に必要な演算及び制御などの処理を行うコンピューターの中枢部分に相当する。プロセッサー１０１は、ＲＯＭ１０２又は補助記憶装置１０４などに記憶されたファームウェア、システムソフトウェア及びアプリケーションソフトウェアなどのプログラムに基づいて、端末装置１００の各種の機能を実現するべく各部を制御する。また、プロセッサー１０１は、当該プログラムに基づいて後述する処理を実行する。なお、当該プログラムの一部又は全部は、プロセッサー１０１の回路内に組み込まれていても良い。プロセッサー１０１は、例えば、ＣＰＵ（central processing unit）、ＭＰＵ（micro processing unit）、ＳｏＣ（system on a chip）、ＤＳＰ（digital signal processor）、ＧＰＵ（graphics processing unit）、ＡＳＩＣ（application specific integrated circuit）、ＰＬＤ（programmable logic device）又はＦＰＧＡ（field-programmable gate array）などである。あるいは、プロセッサー１０１は、これらのうちの複数を組み合わせたものである。

ＲＯＭ１０２は、プロセッサー１０１を中枢とするコンピューターの主記憶装置に相当する。ＲＯＭ１０２は、専らデータの読み出しに用いられる不揮発性メモリである。ＲＯＭ１０２は、上記のプログラムのうち、例えばファームウェアなどを記憶する。当該ファームウェアは、例えば、ＢＩＯＳ（Basic Input/Output System）又はＵＥＦＩ（Unified Extensible Firmware Interface）などである。また、ＲＯＭ１０２は、プロセッサー１０１が各種の処理を行う上で使用するデータなども記憶する。

ＲＡＭ１０３は、プロセッサー１０１を中枢とするコンピューターの主記憶装置に相当する。ＲＡＭ１０３は、データの読み書きに用いられるメモリである。ＲＡＭ１０３は、プロセッサー１０１が各種の処理を行う上で一時的に使用するデータを記憶するワークエリアなどとして利用される。ＲＡＭ１０３は、典型的には揮発性メモリである。

補助記憶装置１０４は、プロセッサー１０１を中枢とするコンピューターの補助記憶装置に相当する。補助記憶装置１０４は、例えばＥＥＰＲＯＭ（electric erasable programmable read-only memory）、ＨＤＤ（hard disk drive）又はフラッシュメモリなどである。補助記憶装置１０４は、上記のプログラムのうち、例えば、システムソフトウェア及びアプリケーションソフトウェアなどを記憶する。また、補助記憶装置１０４は、プロセッサー１０１が各種の処理を行う上で使用するデータ、プロセッサー１０１での処理によって生成されたデータ及び各種の設定値などを記憶する。

補助記憶装置１０４は、例えば、ＴＣＧ（Trusted Computing Group）により策定されたＯｐａｌ仕様準拠の自己暗号化ドライブ（ＳＥＤ）である。したがって、補助記憶装置１０４は、データを暗号化して記憶している。

補助記憶装置１０４の記憶領域は、第１の記憶領域１０４１及び第２の記憶領域１０４２を含む。なお、第１の記憶領域１０４１及び第２の記憶領域１０４２は、例えばレンジなどによって区切られる。

第１の記憶領域１０４１は、端末装置１００の動作に必須な（最低限必要な）データの全てを記憶する。当該データは、端末装置１００の動作に必須な（最低限必要な）ソフトウェアを全て含む。当該ソフトウェアには、例えばＯＳ（operating system）などが含まれる。なお、第１の記憶領域１０４１に記憶されたデータは、第１のデータである。
ただし、第１の記憶領域１０４１は、端末装置１００の動作に必須な（最低限必要な）データ以外も記憶していても良い。ただし、端末装置１００の動作に最低限な必要なデータのみを記憶していることが好ましい。第１の記憶領域１０４１は、アクセス制御部１０５によってアクセス不可に設定されている。なお、第２の記憶領域１０４２に記憶されたデータは、第２のデータである。

第２の記憶領域１０４２は、端末装置１００の動作に必須ではないソフトウェア及びデータのみを記憶する。
ただし、第２の記憶領域１０４２は、端末装置１００の動作に必須なデータのコピーは記憶していても良い。なぜならば、当該コピーは、端末装置１００の動作に必須なデータではないためである。第２の記憶領域１０４２は、アクセス制御部１０５によってアクセス不可に設定されている。

アクセス制御部１０５は、補助記憶装置１０４のアクセス制御を行う。アクセス制御部１０５は、補助記憶装置１０４に内蔵されていても良い。また、プロセッサー１０１が、ＢＩＯＳ又はＵＥＦＩなどに基づいてアクセス制御部１０５として動作しても良い。

通信インターフェース１０６は、端末装置１００がネットワークＮＷなどを介して通信するためのインターフェースである。

入力装置１０７は、端末装置１００の操作者による操作を受け付ける。入力装置１０７は、例えば、キーボード、キーパッド、タッチパッド又はマウスなどである。

表示装置１０８は、端末装置１００の操作者に各種情報を通知するための画像を表示する。なお、文字なども画像である。表示装置１０８は、例えば、液晶ディスプレイ又は有機ＥＬ（electro-luminescence）ディスプレイなどのディスプレイである。また、入力装置１０７及び表示装置１０８としては、タッチパネルを用いることもできる。すなわち、タッチパネルが備える表示パネルを表示装置１０８として、タッチパネルが備えるタッチパッドを入力装置１０７として用いることができる。

バス１０９は、コントロールバス、アドレスバス及びデータバスなどを含み、端末装置１００の各部で授受される信号を伝送する。

以下、実施形態に係る端末装置１００の動作を図２～図４などに基づいて説明する。なお、以下の動作説明における処理の内容は一例であって、同様な結果を得ることが可能な様々な処理を適宜に利用できる。図２及び図３は、端末装置１００のプロセッサー１０１による処理の一例を示すフローチャートである。プロセッサー１０１は、例えば、ＲＯＭ１０２又は補助記憶装置１０４などに記憶されたプログラムに基づいて図２及び図３の処理を実行する。図４は、脆弱性算出サーバー２００のプロセッサー２０１による処理の一例を示すフローチャートである。プロセッサー２０１は、例えば、ＲＯＭ２０２又は補助記憶装置２０４などに記憶されたプログラムに基づいて図４の処理を実行する。

プロセッサー１０１は、例えば、端末装置１００の起動開始にともない図２及び図３に示す処理を開始する。

脆弱性算出サーバー２００は、ソフトウェアの脆弱性の評価及びデータ整合性を検証するサーバー装置である。脆弱性算出サーバー２００は、一例として、プロセッサー２０１、ＲＯＭ２０２、ＲＡＭ２０３、補助記憶装置２０４及び通信インターフェース２０５を含む。そして、バス２０６などが、これら各部を接続する。

プロセッサー２０１は、脆弱性算出サーバー２００の動作に必要な演算及び制御などの処理を行うコンピューターの中枢部分に相当する。プロセッサー２０１は、ＲＯＭ２０２又は補助記憶装置２０４などに記憶されたファームウェア、システムソフトウェア及びアプリケーションソフトウェアなどのプログラムに基づいて、脆弱性算出サーバー２００の各種の機能を実現するべく各部を制御する。また、プロセッサー２０１は、当該プログラムに基づいて後述する処理を実行する。なお、当該プログラムの一部又は全部は、プロセッサー２０１の回路内に組み込まれていても良い。プロセッサー２０１は、例えば、ＣＰＵ、ＭＰＵ、ＳｏＣ、ＤＳＰ、ＧＰＵ、ＡＳＩＣ、ＰＬＤ又はＦＰＧＡなどである。あるいは、プロセッサー２０１は、これらのうちの複数を組み合わせたものである。

ＲＯＭ２０２は、プロセッサー２０１を中枢とするコンピューターの主記憶装置に相当する。ＲＯＭ２０２は、専らデータの読み出しに用いられる不揮発性メモリである。ＲＯＭ２０２は、上記のプログラムのうち、例えばファームウェアなどを記憶する。また、ＲＯＭ２０２は、プロセッサー２０１が各種の処理を行う上で使用するデータなども記憶する。

ＲＡＭ２０３は、プロセッサー２０１を中枢とするコンピューターの主記憶装置に相当する。ＲＡＭ２０３は、データの読み書きに用いられるメモリである。ＲＡＭ２０３は、プロセッサー２０１が各種の処理を行う上で一時的に使用するデータを記憶するワークエリアなどとして利用される。ＲＡＭ２０３は、典型的には揮発性メモリである。

補助記憶装置２０４は、プロセッサー２０１を中枢とするコンピューターの補助記憶装置に相当する。補助記憶装置２０４は、例えばＥＥＰＲＯＭ、ＨＤＤ又はフラッシュメモリなどである。補助記憶装置２０４は、上記のプログラムのうち、例えば、システムソフトウェア及びアプリケーションソフトウェアなどを記憶する。また、補助記憶装置２０４は、プロセッサー２０１が各種の処理を行う上で使用するデータ、プロセッサー２０１での処理によって生成されたデータ及び各種の設定値などを記憶する。

また、補助記憶装置２０４は、ソフトウェアデータベース２０４１を記憶する。ソフトウェアデータベース２０４１は、端末装置１００にインストールされる各ソフトウェアについての情報を記憶及び管理する。ソフトウェアデータベース２０４１は、当該各ソフトウェアの各バージョンのデータの真正のハッシュ値を記憶する。

通信インターフェース２０５は、脆弱性算出サーバー２００がネットワークＮＷなどを介して通信するためのインターフェースである。

バス２０６は、コントロールバス、アドレスバス及びデータバスなどを含み、脆弱性算出サーバー２００の各部で授受される信号を伝送する。

データベースサーバー３００は、脆弱性データベース３０１を記憶する。
脆弱性データベース３０１は、脆弱性の評価などに用いることができるデータベースである。脆弱性データベース３０１は、例えば、ＪＶＮ（Japan Vulnerability Notes）などの脆弱性情報データベースである。

以下、実施形態に係る端末制御システム１の動作を図２～図４などに基づいて説明する。なお、以下の動作説明における処理の内容は一例であって、同様な結果を得ることが可能な様々な処理を適宜に利用できる。図２及び図３は、端末装置１００のプロセッサー１０１による処理の一例を示すフローチャートである。プロセッサー１０１は、例えば、ＲＯＭ１０２又は補助記憶装置１０４などに記憶されたプログラムに基づいて図２及び図３の処理を実行する。図４は、脆弱性算出サーバー２００のプロセッサー２０１による処理の一例を示すフローチャートである。プロセッサー２０１は、例えば、ＲＯＭ２０２又は補助記憶装置２０４などに記憶されたプログラムに基づいて図４の処理を実行する。

端末装置１００のプロセッサー１０１は、例えば、端末装置１００の起動開始にともない図２及び図３に示す処理を開始する。

図２のＡＣＴ１１において端末装置１００のプロセッサー１０１は、第１の記憶領域１０４１へのアクセスを許可するようにアクセス制御部１０５に指示する。当該指示に応じて、アクセス制御部１０５は、第１の記憶領域１０４１へのアクセスを許可するように補助記憶装置１０４の設定を変更する。これにより、プロセッサー１０１は、第１の記憶領域１０４１へのアクセスが可能となり、第１の記憶領域１０４１に記憶されたソフトウェアの起動、及び当該ソフトウェアに関する情報の取得などが可能となる。

ＡＣＴ１２においてプロセッサー１０１は、第１の記憶領域１０４１に記憶されたソフトウェアそれぞれのバージョンを示すバージョン情報を取得する。当該バージョン情報は、例えば、各ソフトウェアに含まれる。

ＡＣＴ１３においてプロセッサー１０１は、第１の記憶領域１０４１に記憶されたソフトウェアそれぞれのハッシュ値を取得する。例えば、プロセッサー１０１は、各ソフトウェアのデータの一部又は全部を入力値としてハッシュ値を算出することでハッシュ値を取得する。

ＡＣＴ１４においてプロセッサー１０１は、第１のソフトウェア情報を生成する。第１のソフトウェア情報は、第１の記憶領域１０４１に記憶されたソフトウェアそれぞれについての各種情報を含む。当該各種情報は、ＡＣＴ１２で取得されたバージョン情報及びＡＣＴ１３で取得されたハッシュ値を含む。プロセッサー１０１は、第１のソフトウェア情報を生成した後、当該第１のソフトウェア情報を脆弱性算出サーバー２００に送信するように通信インターフェース１０６に対して指示する。この送信の指示を受けて通信インターフェース１０６は、当該第１のソフトウェア情報を脆弱性算出サーバー２００に送信する。送信された当該第１のソフトウェア情報は、脆弱性算出サーバー２００の通信インターフェース２０５によって受信される。

一方、図４のＡＣＴ４１において脆弱性算出サーバー２００のプロセッサー２０１は、通信インターフェース２０５によってソフトウェア情報が受信されるのを待ち受けている。なお、ソフトウェア情報には、第１のソフトウェア情報と第２のソフトウェア情報の２種類がある。プロセッサー２０１は、ソフトウェア情報が受信されたならば、ＡＣＴ４１においてＹｅｓと判定してＡＣＴ４２へと進む。なお、ここで受信されたソフトウェア情報を、以下「受信ソフトウェア情報」という。受信ソフトウェア情報にハッシュ値及びバージョン情報が含まれるソフトウェアを、以下「対象ソフトウェア」という。

ＡＣＴ４２においてプロセッサー２０１は、対象ソフトウェアそれぞれについてデータの整合性を検証する。受信ソフトウェア情報には、対象ソフトウェアそれぞれのバージョン情報が含まれる。したがって、プロセッサー２０１は、ソフトウェアデータベース２０４１を参照して、対象ソフトウェアのバージョン情報が示すバージョンのハッシュ値を取得する。そして、プロセッサー２０１は、取得したハッシュ値と、受信ソフトウェア情報に含まれる対象ソフトウェアのハッシュ値が一致するか否かを判定する。一致すれば、受信ソフトウェア情報に含まれるハッシュ値の算出元のデータが正しいデータであることを示す。対して、一致しなければ、受信ソフトウェア情報に含まれるハッシュ値の算出元のデータが改ざん又は破損などにより正しくないデータとなっていることを示す。

ＡＣＴ４３においてプロセッサー２０１は、対象ソフトウェアのバージョン情報などを用いて、対象ソフトウェアの脆弱性を評価する。例えば、プロセッサー２０１は、受信ソフトウェアに含まれる対象ソフトウェアのバージョン情報から、各対象ソフトウェアの脆弱性を評価してそれぞれ数値（以下「単体脆弱性ポイント」という。）として示す。単体脆弱性ポイントは、それぞれが１つの対象ソフトウェアについての脆弱性を示す。そして、プロセッサー２０１は、例えば、各対象ソフトウェアの単体脆弱性ポイントから、対象ソフトウェア全体の脆弱性を示す数値（以下「総合脆弱性ポイント」という。）を求める。例えば、プロセッサー２０１は、各対象ソフトウェアの単体脆弱性ポイントを足し合わせた数値を総合脆弱性ポイントとする。あるいは、プロセッサー２０１は、その他の法則により、単体脆弱性ポイントから総合脆弱性ポイントを求めても良い。なお、単体脆弱性ポイント及び総合脆弱性ポイントは、脆弱性の深刻度を数値として示したものであり、ここでは数値が大きいほど脆弱性の深刻度が高い（セキュリティ上の問題が大きい）ことを示すものとする。また、反対に、単体脆弱性ポイント及び総合脆弱性ポイントは、数値が小さいほど安全度が高いことを示すといえる。単体脆弱性ポイント及び総合脆弱性ポイントは、脆弱性の深刻度を示す評価値の例である。
以上より、プロセッサー２０１は、ＡＣＴ４３の処理を行うことで、第１のデータ及び第２のデータの脆弱性の深刻度を評価する評価部として機能する。

プロセッサー２０１は、対象ソフトウェアの脆弱性を評価するために、例えば、当該対象ソフトウェアのベンダー名（ソフトウェア製作者名）、名称及びバージョンなどの情報に基づき、脆弱性データベース３０１を参照することで、当該対象ソフトウェアにどのような脆弱性があるかを調べる。なお、脆弱性算出サーバー２００は、通信インターフェース２０５を介してデータベースサーバー３００にアクセスすることで脆弱性データベース３０１を参照する。
そして、プロセッサー２０１は、当該対象ソフトウェアの脆弱性それぞれについて、ＣＶＳＳ（Common Vulnerability Scoring System）などにより深刻度の値を調べる。さらに、プロセッサー２０１は、脆弱性の深刻度の値の中で最大の値を当該対象ソフトウェアの単体脆弱性ポイントとする。あるいは、プロセッサー２０１は、脆弱性の深刻度の値を全て足し合わせたものを当該対象ソフトウェアの単体脆弱性ポイントとする。

また、プロセッサー２０１は、２種類以上の対象ソフトウェアの組み合わせの影響を考慮して脆弱性を評価しても良い。例えば、プロセッサー２０１は、特定の対象ソフトウェアの特定のバージョンと、当該特定の対象ソフトウェアとは別の対象ソフトウェアの特定のバージョンとを組み合わせると脆弱性の深刻度が高まることを考慮して総合脆弱性ポイントを評価する。

ＡＣＴ４４においてプロセッサー２０１は、対象ソフトウェア全てのデータに整合性があるか否かを判定する。プロセッサー２０１は、受信ソフトウェア情報に含まれる全てのハッシュ値それぞれと、ソフトウェアデータベース２０４１から取得したそれぞれのハッシュ値とが一致するならば、対象ソフトウェア全てのデータに整合性があると判定する。プロセッサー２０１は、対象ソフトウェア全てのデータに整合性があると判定するならば、ＡＣＴ４４においてＹｅｓと判定してＡＣＴ４５へと進む。

ＡＣＴ４５においてプロセッサー２０１は、対象ソフトウェアの脆弱性の深刻度が所定以上に高いか否かを判定する。プロセッサー２０１は、例えば、ＡＣＴ４３で求めた総合脆弱性ポイントが閾値Ｔａ以上であるならば、対象ソフトウェアの脆弱性の深刻度が所定以上に高いと判定する。また、プロセッサー２０１は、ＡＣＴ４３で求めた単体脆弱性ポイントのいずれかが閾値Ｔｂ以上であるならば、対象ソフトウェアの脆弱性の深刻度が所定以上に高いと判定しても良い。なお、閾値Ｔａ及び閾値Ｔｂは、例えば、脆弱性算出サーバー２００の管理者、又は図４に示す処理のプログラムの設計者などによって予め定められる。プロセッサー２０１は、対象ソフトウェアの脆弱性の深刻度が所定よりも低いと判定するならば、ＡＣＴ４５においてＮｏと判定してＡＣＴ４６へと進む。

ＡＣＴ４６においてプロセッサー２０１は、許可情報を脆弱性算出サーバー２００に送信するように通信インターフェース１０６に対して指示する。許可情報は、対象ソフトウェアの起動を許可することを受信ソフトウェア情報の送信元に示す情報である。この送信の指示を受けて通信インターフェース１０６は、当該許可情報を脆弱性算出サーバー２００に送信する。送信された当該許可情報は、脆弱性算出サーバー２００の通信インターフェース２０５によって受信される。プロセッサー２０１は、ＡＣＴ４６の処理の後、ＡＣＴ４１へと戻る。

また、プロセッサー２０１は、いずれかの対象ソフトウェアのデータに整合性がないと判定するならば、ＡＣＴ４４においてＮｏと判定してＡＣＴ４７へと進む。
ＡＣＴ４７においてプロセッサー２０１は、ＡＣＴ４５と同様にして、対象ソフトウェアの脆弱性の深刻度が所定以上に高いか否かを判定する。プロセッサー２０１は、対象ソフトウェアの脆弱性の深刻度が所定以上に高いと判定するならば、ＡＣＴ４７においてＹｅｓと判定してＡＣＴ４８へと進む。

ＡＣＴ４８においてプロセッサー２０１は、不許可情報を生成する。不許可情報は、対象ソフトウェアの起動を許可しないことを受信ソフトウェア情報の送信元に示す情報である。また、不許可情報は、理由情報を含む。理由情報は、対象ソフトウェアの起動を許可しない理由を示す情報である。ここでは、理由情報が示す理由は、対象ソフトウェアのデータに整合性がないこと、及び対象ソフトウェアの脆弱性の深刻度が所定以上に高いことである。また、理由情報は、どの対象ソフトウェアのデータに整合性がないかも示す。さらに、理由情報は、各対象ソフトウェアについての脆弱性も、単体脆弱性ポイントなどによって示す。プロセッサー２０１は、不許可情報を生成した後、当該不許可情報を脆弱性算出サーバー２００に送信するように通信インターフェース２０５に対して指示する。この送信の指示を受けて通信インターフェース２０５は、当該不許可情報を端末装置１００に送信する。送信された当該不許可情報は、端末装置１００の通信インターフェース１０６によって受信される。プロセッサー２０１は、ＡＣＴ４８の処理の後、ＡＣＴ４１へと戻る。

また、プロセッサー２０１は、ＡＣＴ４７において対象ソフトウェアの脆弱性の深刻度が所定よりも低いと判定するならば、Ｎｏと判定してＡＣＴ４９へと進む。

ＡＣＴ４９においてプロセッサー２０１は、不許可情報を生成する。ここでは、理由情報が示す理由は、対象ソフトウェアのデータに整合性がないことである。プロセッサー２０１は、不許可情報を生成した後、当該不許可情報を端末装置１００に送信するように通信インターフェース２０５に対して指示する。この送信の指示を受けて通信インターフェース２０５は、当該不許可情報を端末装置１００に送信する。送信された当該不許可情報は、端末装置１００の通信インターフェース１０６によって受信される。プロセッサー２０１は、ＡＣＴ４９の処理の後、ＡＣＴ４１へと戻る。

また、プロセッサー２０１は、ＡＣＴ４５において対象ソフトウェアの脆弱性の深刻度が所定以上に高いと判定するならば、Ｙｅｓと判定してＡＣＴ５０へと進む。

ＡＣＴ５０においてプロセッサー２０１は、不許可情報を生成する。ここでは、理由情報が示す理由は、対象ソフトウェアの脆弱性の深刻度が所定以上に高いことである。プロセッサー２０１は、不許可情報を生成した後、当該不許可情報を端末装置１００に送信するように通信インターフェース２０５に対して指示する。この送信の指示を受けて通信インターフェース２０５は、当該不許可情報を端末装置１００に送信する。送信された当該不許可情報は、端末装置１００の通信インターフェース１０６によって受信される。プロセッサー２０１は、ＡＣＴ５０の処理の後、ＡＣＴ４１へと戻る。
以上より、プロセッサー２０１は、許可情報又は不許可情報を送信させることで、端末装置１００を起動する又は起動しないように指示する指示部として機能する。

一方、図２のＡＣＴ１５において端末装置１００のプロセッサー１０１は、通信インターフェース１０６によって許可情報又は不許可情報が受信されるのを待ち受けている。プロセッサー１０１は、許可情報又は不許可情報が受信されたならば、ＡＣＴ１５においてＹｅｓと判定してＡＣＴ１６へと進む。

ＡＣＴ１６においてプロセッサー１０１は、脆弱性算出サーバー２００から対象ソフトウェアの起動許可を得たか否かを判定する。なお、ここでの対象ソフトウェアは、第１の記憶領域１０４１に記憶されたソフトウェアである。プロセッサー１０１は、ＡＣＴ１５で不許可情報を受信した、すなわち対象ソフトウェアの起動許可を得られなかったならば、ＡＣＴ１６においてＮｏと判定してＡＣＴ１７へと進む。

ＡＣＴ１７においてプロセッサー１０１は、第１のエラー画面に対応した画像を生成する。そして、プロセッサー１０１は、生成したこの画像を表示するように表示装置１０８に対して指示する。表示の指示を受けて表示装置１０８は、第１のエラー画面を表示する。
第１のエラー画面は、端末装置１００の起動を中止することを示す表示を含む。また、エラー画面は、ＡＣＴ１５で受信された不許可情報に含まれる理由情報が示す情報の表示を含む。

ＡＣＴ１８においてプロセッサー１０１は、第１の記憶領域１０４１へのアクセスを禁止するようにアクセス制御部１０５に指示する。当該指示に応じて、アクセス制御部１０５は、第１の記憶領域１０４１へのアクセスを禁止するように補助記憶装置１０４の設定を変更する。プロセッサー１０１は、ＡＣＴ１８の処理の後、図２及び図３に示す処理を終了する。

対して、プロセッサー１０１は、許可情報を受信した、すなわち対象ソフトウェアの起動許可を得たならば、ＡＣＴ１６においてＹｅｓと判定してＡＣＴ１９へと進む。
ＡＣＴ１９においてプロセッサー１０１は、第１の記憶領域１０４１に記憶されたＯＳなどを含むソフトウェアを起動する。これにより、端末装置１００は、動作が可能となる。プロセッサー１０１は、ＡＣＴ１９の処理の後、図３のＡＣＴ２０へと進む。
以上より、プロセッサー１０１は、ＡＣＴ１４～ＡＣＴ１６の処理を行うことで、第１のデータの脆弱性の深刻度が所定以上である場合端末装置１００を起動しない起動部として機能する。また、プロセッサー１０１は、ＡＣＴ１４～ＡＣＴ１６及びＡＣＴ１９の処理を行うことで、前記第１のデータの脆弱性の深刻度が所定未満である場合第１のデータを用いて端末装置１００を起動する起動部として機能する。

ＡＣＴ２０においてプロセッサー１０１は、第２の記憶領域１０４２へのアクセスを許可するようにアクセス制御部１０５に指示する。当該指示に応じて、アクセス制御部１０５は、第２の記憶領域１０４２へのアクセスを許可するように補助記憶装置１０４の設定を変更する。これにより、プロセッサー１０１は、第２の記憶領域１０４２へのアクセスが可能となり、第２の記憶領域１０４２に記憶されたソフトウェアの起動、及び当該ソフトウェアに関する情報の取得などが可能となる。

ＡＣＴ２１においてプロセッサー１０１は、第２の記憶領域１０４２に記憶されたソフトウェアそれぞれのバージョンを示すバージョン情報を取得する。当該バージョン情報は、例えば、各ソフトウェアに含まれる。

ＡＣＴ２２においてプロセッサー１０１は、第２の記憶領域１０４２に記憶されたソフトウェアそれぞれのハッシュ値を取得する。例えば、プロセッサー１０１は、各ソフトウェアのデータの一部又は全部を入力値としてハッシュ値を算出することでハッシュ値を取得する。

ＡＣＴ２３においてプロセッサー１０１は、第２のソフトウェア情報を生成する。第２のソフトウェア情報は、第２の記憶領域１０４２に記憶されたソフトウェアそれぞれについての各種情報を含む。当該各種情報は、ＡＣＴ２１で取得されたバージョン情報及びＡＣＴ２２で取得されたハッシュ値を含む。プロセッサー１０１は、第２のソフトウェア情報を生成した後、当該第２のソフトウェア情報を脆弱性算出サーバー２００に送信するように通信インターフェース１０６に対して指示する。この送信の指示を受けて通信インターフェース１０６は、当該第２のソフトウェア情報を脆弱性算出サーバー２００に送信する。送信された当該第２のソフトウェア情報は、脆弱性算出サーバー２００の通信インターフェース２０５によって受信される。

第２のソフトウェア情報を受信した脆弱性算出サーバー２００は、第１のソフトウェア情報を受信した場合と同様に処理を行う。ただし、脆弱性算出サーバー２００は、図４のＡＣＴ４５において、閾値Ｔａに代えて閾値Ｔｃを、閾値Ｔｂに代えて閾値Ｔｄを用いる。閾値Ｔｃは、閾値Ｔａと同じであっても異なっていても良い。閾値Ｔｄは、閾値Ｔｂと同じであっても異なっていても良い。そして、脆弱性算出サーバー２００は、許可情報又は不許可情報を端末装置１００に送信する。

ＡＣＴ２４においてプロセッサー１０１は、通信インターフェース１０６によって許可情報又は不許可情報が受信されるのを待ち受けている。プロセッサー１０１は、許可情報又は不許可情報が受信されたならば、ＡＣＴ２４においてＹｅｓと判定してＡＣＴ２５へと進む。

ＡＣＴ２５においてプロセッサー１０１は、脆弱性算出サーバー２００から対象ソフトウェアの起動許可を得たか否かを判定する。なお、ここでの対象ソフトウェアは、第２の記憶領域１０４２に記憶されたソフトウェアである。プロセッサー１０１は、不許可情報を受信した、すなわち対象ソフトウェアの起動許可を得られなかったならば、ＡＣＴ２５においてＮｏと判定してＡＣＴ２６へと進む。

ＡＣＴ２６においてプロセッサー１０１は、第２のエラー画面に対応した画像を生成する。そして、プロセッサー１０１は、生成したこの画像を表示するように表示装置１０８に対して指示する。表示の指示を受けて表示装置１０８は、第２のエラー画面を表示する。
第２のエラー画面は、第２の記憶領域１０４２に記憶されたソフトウェアの起動を中止すること、及び動作に最低限必要なソフトウェアを用いて端末装置１００を起動していることを示す表示を含む。また、エラー画面は、ＡＣＴ２４で受信された不許可情報に含まれる理由情報が示す情報の表示を含む。

ＡＣＴ２７においてプロセッサー１０１は、第２の記憶領域１０４２へのアクセスを禁止するようにアクセス制御部１０５に指示する。当該指示に応じて、アクセス制御部１０５は、第２の記憶領域１０４２へのアクセスを禁止するように補助記憶装置１０４の設定を変更する。

対して、プロセッサー１０１は、許可情報を受信した、すなわち対象ソフトウェアの起動許可を得たならば、ＡＣＴ２５においてＹｅｓと判定してＡＣＴ２８へと進む。
ＡＣＴ２８においてプロセッサー１０１は、第２の記憶領域１０４２に記憶されたソフトウェアを起動する。これにより、端末装置１００は、起動が完了する。
以上より、プロセッサー１０１は、ＡＣＴ１４～ＡＣＴ１６、ＡＣＴ１９及びＡＣＴ２３～ＡＣＴ２５の処理を行うことで、第２のデータの脆弱性の深刻度が所定以上である場合、第２のデータを用いず端末装置１００を起動する起動部として機能する。また、プロセッサー１０１は、ＡＣＴ１４～ＡＣＴ１６、ＡＣＴ１９、ＡＣＴ２３～ＡＣＴ２５及びＡＣＴ２８の処理を行うことで、第２のデータの脆弱性の深刻度が所定未満である場合、第２のデータを用いて端末装置１００を起動する起動部として機能する。また、プロセッサー１０１は、ＡＣＴ１５、ＡＣＴ１６、ＡＣＴ１９、ＡＣＴ２４、ＡＣＴ２５及びＡＣＴ２８の処理を行うことで、脆弱性算出サーバー２００の指示に基づいて端末装置１００を起動する起動部として機能する。

プロセッサー１０１は、ＡＣＴ２７又はＡＣＴ２８の処理の後、ＡＣＴ２９へと進む。
ＡＣＴ２９においてプロセッサー１０１は、端末装置１００をシャットダウンするように指示する入力を受けるのを待ち受ける。プロセッサー１０１は、端末装置１００をシャットダウンするように指示する入力を受けたならば、ＡＣＴ２９においてＹｅｓと判定してＡＣＴ３０へと進む。

ＡＣＴ３０においてプロセッサー１０１は、ＯＳなどを含む起動中のソフトウェア全てを終了する。

ＡＣＴ３１においてプロセッサー１０１は、第１の記憶領域１０４１及び第２の記憶領域１０４２へのアクセスを禁止するようにアクセス制御部１０５に指示する。当該指示に応じて、アクセス制御部１０５は、第１の記憶領域１０４１及び第２の記憶領域１０４２のうち、アクセスを許可する設定となっているものについて、アクセスを禁止するように補助記憶装置１０４の設定を変更する。これにより、補助記憶装置１０４の設定が図２及び図３の処理の開始前の状態に戻る。プロセッサー１０１は、ＡＣＴ３１の処理の後、図２及び図３に示す処理を終了する。

実施形態の端末制御システム１によれば、端末装置１００は、第１の記憶領域１０４１に、端末装置１００の動作に最低限必要なソフトウェアを記憶する。また、端末装置１００は、第２の記憶領域１０４２に、端末装置１００の動作に最低限必要でないソフトウェアを記憶する。そして、端末装置１００は、第１の記憶領域内のソフトウェアの脆弱性の深刻度が所定以上に高い場合、端末装置１００の起動を中止する。これにより、実施形態の端末装置１００は、セクリティリスクが高い状態で端末装置１００が起動することを防ぐ。
また、実施形態の端末装置１００は、第１の記憶領域内のソフトウェアの脆弱性の深刻度が所定未満であり、第２の記憶領域内のソフトウェアの脆弱性の深刻度が所定以上に高い場合、第１の記憶領域内のソフトウェアのみを用いて端末装置１００を起動する。そして、第１の記憶領域内のソフトウェア及び第２の記憶領域内のソフトウェアの脆弱性の深刻度がいずれも所定未満である場合、第１の記憶領域内のソフトウェア及び第２の記憶領域内のソフトウェアを用いて端末装置１００を起動する。したがって、実施形態の端末装置１００は、第２の記憶領域内のソフトウェアの脆弱性の深刻度が所定以上である場合には、第２の記憶領域内のソフトウェアを起動しないことで、第２の記憶領域内のセキュリティリスクが第２の記憶領域外に広がることなどを防ぐ。また、実施形態の端末装置１００は第２の記憶領域内のソフトウェアを起動しなくても、第１の記憶領域内のソフトウェアを用いて起動及び動作が可能である。

また、実施形態の端末装置１００は、第１の記憶領域内のソフトウェアのデータに整合性が無い場合、端末装置１００の起動を中止する。これにより、実施形態の端末装置１００は、セクリティリスクが高い状態で端末装置１００が起動することを防ぐ。

また、実施形態の端末装置１００は、第２の記憶領域内のソフトウェアのデータに整合性が無い場合、第２の記憶領域内のソフトウェアを用いずに端末装置１００を起動する。これにより、実施形態の端末装置１００は、第２の記憶領域内のソフトウェアのデータに整合性が無い場合、第２の記憶領域内のソフトウェアを起動しないことで、第２の記憶領域内のセキュリティリスクが第２の記憶領域外に広がることなどを防ぐ。

上記の実施形態は以下のような変形も可能である。
上記の実施形態では、対象ソフトウェアの起動の可否を脆弱性算出サーバー２００が判定した。しかしながら、端末装置１００が対象ソフトウェアの起動の可否を判定しても良い。この場合、脆弱性算出サーバー２００は、許可情報又は不許可情報に代えて、ＡＣＴ４２の整合性の検証結果、及びＡＣＴ４３の対象ソフトウェアの脆弱性の評価を示す情報を送信する。当該情報を受信した端末装置１００のプロセッサー１０１は、当該情報に基づき、対象ソフトウェアの起動の可否を判定する。なお、判定の方法は、上記の実施形態における脆弱性算出サーバー２００と同様で良い。

上記の実施形態では、脆弱性算出サーバー２００は、対象ソフトウェアのいずれかのデータの整合性が無い場合、対象ソフトウェアの起動を許可しない。しかしながら、脆弱性算出サーバー２００は、端末装置１００の動作への影響が少ない対象ソフトウェアのみがデータの整合性が無く、他の対象ソフトウェアについてはデータの整合性がある場合、対象ソフトウェアの起動を許可してもよい。なお、どのソフトウェアが端末装置１００の動作への影響が少ないかについては、予めソフトウェアデータベース２０４１が記憶しておく。

脆弱性算出サーバー２００のプロセッサー２０１は、対象ソフトウェアのデータの整合性の有無を用いて、脆弱性を示す数値を求めても良い。例えば、プロセッサー２０１は、対象ソフトウェアのデータの整合性が無い場合、総合脆弱性ポイントを増加させる。なお、プロセッサー２０１は、端末装置１００の動作への影響が多いソフトウェアほど、データの整合性が無い場合の総合脆弱性ポイントを増加させる量を大きくする。なお、各ソフトウェアの端末装置１００の動作への影響については、予めソフトウェアデータベース２０４１が記憶しておく。以上のように処理する場合、プロセッサー２０１は、ＡＣＴ４３の処理の後、ＡＣＴ４４の処理をスキップしてＡＣＴ４５へと進む。

上記の実施形態において脆弱性算出サーバー２００が行う処理の一部又は全部を端末装置１００が行っても良い。
上記の実施形態において端末装置１００が行う処理の一部を脆弱性算出サーバー２００が行っても良い。

プロセッサー１０１及びプロセッサー２０１は、上記実施形態においてプログラムによって実現する処理の一部又は全部を、回路のハードウェア構成によって実現するものであっても良い。

上記実施形態における各装置は、例えば、上記の各処理を実行するためのプログラムが記憶された状態で各装置の管理者などへと譲渡される。あるいは、当該各装置は、当該プログラムが記憶されない状態で当該管理者などに譲渡される。そして、当該プログラムが別途に当該管理者などへと譲渡され、当該管理者又はサービスマンなどによる操作に基づいて当該各装置に記憶される。このときのプログラムの譲渡は、例えば、ディスクメディア又は半導体メモリなどのようなリムーバブルな記憶媒体を用いて、あるいはインターネット又はＬＡＮなどを介したダウンロードにより実現できる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１……端末制御システム、１００……端末装置、１０１，２０１……プロセッサー、１０２，２０２……ＲＯＭ、１０３，２０３……ＲＡＭ、１０４，２０４……補助記憶装置、１０５……アクセス制御部、１０６，２０５……通信インターフェース、１０７……入力装置、１０８……表示装置、１０９，２０６……バス、２００……脆弱性算出サーバー、３００……データベースサーバー、３０１……脆弱性データベース、１０４１……第１の記憶領域、１０４２……第２の記憶領域、２０４１……ソフトウェアデータベース

Claims (5)

1. 装置の動作に最低限必要なソフトウェアを含む第１のデータを記憶する第１の記憶領域と、
   前記装置の動作に最低限必要ではないソフトウェアを含む第２のデータを記憶する第２の記憶領域と、
   前記装置を起動する際、前記第１のデータの脆弱性の深刻度が所定以上である場合、前記装置を起動せず、前記第１のデータの脆弱性の深刻度が所定未満であり、前記第２のデータの脆弱性の深刻度が所定以上である場合、前記第２のデータを用いず前記第１のデータを用いて前記装置を起動し、前記第１のデータ及び前記第２のデータの脆弱性の深刻度が所定未満である場合、前記第１のデータ及び前記第２のデータを用いて前記装置を起動する起動部と、を備える端末装置。
2. 前記起動部は、前記第１のデータの整合性が無い場合、前記装置を起動しない、請求項１に記載の端末装置。
3. 前記起動部は、前記第２のデータの整合性が無い場合において前記装置を起動する場合、前記第２のデータを用いずに前記装置を起動する、請求項１又は請求項２に記載の端末装置。
4. 端末装置が実行する処理方法であって、
   装置の動作に最低限必要なソフトウェアを含む第１のデータを記憶する第１の記憶領域、及び前記装置の動作に最低限必要ではないソフトウェアを含む第２のデータを記憶する第２の記憶領域を備える前記装置を起動する際、前記第１のデータの脆弱性の深刻度が所定以上である場合、前記装置を起動せず、前記第１のデータの脆弱性の深刻度が所定未満であり、前記第２のデータの脆弱性の深刻度が所定以上である場合、前記第２のデータを用いず前記第１のデータを用いて前記装置を起動し、前記第１のデータ及び前記第２のデータの脆弱性の深刻度が所定未満である場合には前記第１のデータ及び前記第２のデータを用いて前記装置を起動する、処理方法。
5. 端末装置及びサーバー装置を含み、
   前記端末装置は、
   装置の動作に最低限必要なソフトウェアを含む第１のデータを記憶する第１の記憶領域と、
   前記装置の動作に最低限必要ではないソフトウェアを含む第２のデータを記憶する第２の記憶領域と、
   前記サーバー装置の指示に基づいて前記装置を起動する起動部と、を備え、
   前記サーバー装置は、
   前記第１のデータ及び前記第２のデータの脆弱性の深刻度を評価する評価部と、
   前記第１のデータの脆弱性の深刻度が所定以上である場合、前記装置を起動しないよう前記端末装置に指示し、前記第１のデータの脆弱性の深刻度が所定未満であり、前記第２のデータの脆弱性の深刻度が所定以上である場合、前記第２のデータを用いず前記第１のデータを用いて前記装置を起動するように前記端末装置に指示し、前記第１のデータ及び前記第２のデータの脆弱性の深刻度が所定未満である場合には前記第１のデータ及び前記第２のデータを用いて前記装置を起動するように前記端末装置に指示する指示部と、を備える、端末制御システム。