JP7574367B2 - 情報処理装置、情報処理方法およびプログラム - Google Patents

Description

本発明は、改ざん検知を行う情報処理装置、情報処理方法およびプログラムに関する。

情報処理装置を制御するプログラム（以下、モジュールもしくは実行モジュールと呼称する場合がある）を第三者が不正な方法で改ざんし、情報処理装置内の情報資産を盗む攻撃や、モジュールが改ざんされた情報処理装置を踏み台にする攻撃が問題になっている。このような攻撃を防止するために、情報処理装置内のモジュールが第三者によって改ざんされていないことを検証する方法が考案されている。

ユーザが情報処理装置によって実現される機能を利用するときに情報処理装置内のモジュールが改ざんされていないことを保証するために、当該機能を実現するモジュールの実行の直前に完全性を検証する必要がある。

特許文献１では、モジュールの実行要求を受け、モジュールのハッシュ値を計算し、ホワイトリストと比較し、一致する場合のみモジュールの起動を行っている。ホワイトリストとは、起動が許可されたモジュールの一覧を示すリストであり、当該モジュールの改ざんを検知するために、モジュールごとに正常なモジュールのハッシュ値を正解ハッシュ値として保持している。稼働率を向上させるために、ホワイトリストに未登録のモジュールまたは拡張ＪＡＶＡ（登録商標）アプリケーションの改ざんを検知した場合、当該モジュールの実行を禁止するだけで、システムは停止しないので情報処理装置を継続利用できる。一方、それ以外のモジュールは、システムの正常稼働に影響するため、システムを停止し、稼働停止する。

特願２０１８－２１４１３８

しかしながら、特許文献１では、情報処理装置の起動モードを考慮しないため、現在の起動モードの機能には影響ないモジュールの改ざんを検知した場合でも、システムを停止するため、稼働率が下がる。例えば、情報処理装置の一例である画像形成装置ＭＦＰ（Ｍｕｌｔｉ－Ｆｕｎｃｔｉｏｎａｌ Ｐｅｒｉｐｈｅｒａｌ：複合機）は、通常起動モード（ＳＴＤモード）とアップデート用起動モード（ＳＡＦＥモード）とがある。それぞれの起動モード用のモジュールが存在する。特許文献１の場合、ＳＴＤモードで起動している際に、ＳＡＦＥモード用のモジュールの改ざんを検知した場合でも、ＳＴＤモードの機能には影響がないにも関わらず、システムを停止するため、稼働率が下がる。本発明は、上記課題を鑑みてなされたものであり、ホワイトリストを用いた実行モジュール検証で改ざんを検知する際の稼働率の低下を防止することを目的とする。

本発明は、稼働時の実行モジュールの実行時改ざん検知を行う情報処理装置であって、前記実行モジュールが発行した実行要求を受け取る要求受信部と、前記実行要求を発行した実行モジュールの改ざんを検知する改ざん検知部と、前記改ざん検知部で改ざんを検知した場合、前記実行要求を発行した実行モジュールが特定モード用のモジュールか否か応じて、前記情報処理装置のシステムを停止するか、前記実行要求を発行した実行モジュールの実行のみを禁止するかを選択して制御するエラー制御部と、を有することを特徴とする。

本発明によれば、複数の起動モードを有する情報処理装置において、現在の起動モードの機能には影響ないモジュールの改ざんを検知した場合、システムは止めず、当該モジュールの実行のみを防止するため、セキュリティを維持しつつ、稼働率を向上できる。

本発明に係わるＭＦＰとＰＣの接続形態を示すブロック構成図。 実施例１のＭＦＰのコントローラ部の内部構成図。 実施例１のＭＦＰのコントローラ内で実行されるソフトウェアのブロック構成図。 実施例２のＭＦＰのコントローラ内で実行されるソフトウェアのブロック構成図。 ＦｌａｓｈＲＯＭに配置されるデータの例。 ホワイトリストの例。 実施例１のＭＦＰ側の処理を実施するフローチャート。 実施例１の変形例のＭＦＰ側の処理を実施するフローチャート。 実施例２のＭＦＰ側の処理を実施するフローチャート。 実施例２のホワイトリスト再生成処理のＭＦＰ側の処理を実施するフローチャート。 実施例２のＭＦＰのコントローラ部の内部構成図。 モジュール停止時のエラー表示画面構成図。 システム停止時のエラー表示画面構成図。 実施例２の変形例の設定表示画面構成図。

以下、本発明にかかる実施例の情報処理を図面を参照して詳細に説明する。本実施例では、情報処理装置がモジュールを実行するときの実行時モジュール検証処理、及び検証失敗時の情報処理装置の制御処理について説明する。本書の実施例では情報処理装置の例として画像形成装置であるＭＦＰについて記述するが、本発明は複合機以外の情報処理装置にも適用可能な技術である。

（実施例１）
（実施例１の装置構成）
図１のブロック図により本発明に係るＭＦＰとクライアントＰＣの接続形態を説明する。

ＭＦＰ１００とクライアントＰＣ１１０はＬＡＮ１２０を介して接続されている。ＭＦＰ１００はユーザとの入出力を行う操作部１０２を有する。ＭＦＰ１００は電子データを紙媒体に出力するプリンタ部１０３を有する。ＭＦＰ１００は紙媒体を読み込み電子データに変換するスキャナ部１０４を有する。操作部１０２とプリンタ部１０３とスキャナ部１０４はコントローラ部１０１に接続され、コントローラ部１０１の制御に従い複合機としての機能を実現する。クライアントＰＣ１１０はＭＦＰ１００に対してプリントジョブの送信といった処理を行う。

図２はＭＦＰのコントローラ部１０１の詳細を示すブロック図である。ＣＰＵ２０１はコントローラ内の主な演算処理を行う。ＣＰＵ２０１はバスを介してＤＲＡＭ２０２と接続される。ＤＲＡＭ２０２はＣＰＵ２０１が演算する過程で演算命令を表すプログラムデータや、処理対象のデータを一時的に配置するための作業メモリとしてＣＰＵ２０１によって使用される。ＣＰＵ２０１はバスを介してＩ／Ｏコントローラ２０３と接続される。Ｉ／Ｏコントローラ２０３はＣＰＵ２０１の指示に従い各種デバイスに対する入出力を行う。Ｉ／Ｏコントローラ２０３にはＳＡＴＡ（Ｓｅｒｉａｌ Ａｄｖａｎｃｅｄ Ｔｅｃｈｎｏｌｏｇｙ Ａｔｔａｃｈｍｅｎｔ）Ｉ／Ｆ２０５が接続され、その先にＦｌａｓｈＲＯＭ２１１が接続される。ＣＰＵ２０１はＦｌａｓｈＲＯＭ２１１をＭＦＰの機能を実現するためのプログラム、およびドキュメントファイルを永続的に記憶するために使用する。Ｉ／Ｏコントローラ２０３にはネットワークＩ／Ｆ２０４が接続され、ネットワークＩ／Ｆ２０４の先には、有線ＬＡＮデバイス２１０が接続される。

ＣＰＵ２０１はネットワークＩ／Ｆ２０４を介して有線ＬＡＮデバイス２１０を制御することで、ＬＡＮ１２０上の通信を実現する。Ｉ／Ｏコントローラ２０３にはパネルＩ／Ｆ２０６が接続され、ＣＰＵ２０１はパネルＩ／Ｆ２０６を介して操作部１０２に対するユーザ向けの入出力を実現する。Ｉ／Ｏコントローラ２０３にはプリンタＩ／Ｆ２０７が接続され、ＣＰＵ２０１はプリンタＩ／Ｆ２０７を介してプリンタ部１０３を利用した紙媒体の出力処理を実現する。Ｉ／Ｏコントローラ２０３にはスキャナＩ／Ｆ２０８が接続され、ＣＰＵ２０１はスキャナＩ／Ｆ２０８を介してスキャナ部１０４を利用した原稿の読み込み処理を実現する。Ｉ／Ｏコントローラ２０３にはＵＳＢ Ｉ／Ｆ２０９が接続され、ＵＳＢ Ｉ／Ｆ２０９に接続された任意の機器の制御を行う。ＲＯＭ２２０はＣＰＵ２０１とバスで接続されていて、後述するＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）３６０を実現する制御プログラムを記憶している。

コピー機能を実施する場合は、ＣＰＵ２０１がＳＡＴＡ Ｉ／Ｆ２０５を介してＦｌａｓｈＲＯＭ２１１からプログラムデータ（モジュールデータ）をＤＲＡＭ２０２に読み込む。ＣＰＵ２０１がＤＲＡＭ２０２に読み込まれたプログラム（モジュール）に従いパネルＩ／Ｆ２０６を介して操作部１０２に対するユーザからのコピー指示を検出する。ＣＰＵ２０１はコピー指示を検出するとスキャナＩ／Ｆ２０８を介してスキャナ部１０４から原稿を電子データとして受け取りＤＲＡＭ２０２に格納する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データに対して出力に適した色変換処理などを実施する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データをプリンタＩ／Ｆ２０７を介してプリンタ部１０３に転送し、紙媒体への出力処理を実施する。

ＰＤＬ印刷を実施する場合は、クライアントＰＣ１１０がＬＡＮ１２０介して印刷指示を行う。ＣＰＵ２０１はＳＡＴＡ Ｉ／Ｆ２０５を介してＦｌａｓｈＲＯＭ２１１からモジュールデータをＤＲＡＭ２０２に読み込み、ＤＲＡＭ２０２に読み込まれたモジュールに従いネットワークＩ／Ｆ２０４を介して印刷指示を検出する。ＣＰＵ２０１はＰＤＬ送信指示を検出するとネットワークＩ／Ｆ２０４を介して印刷データを受信し、ＳＡＴＡ Ｉ／Ｆ２０５を介してＦｌａｓｈＲＯＭ２１１に印刷データを保存する。ＣＰＵ２０１は印刷データの保存が完了すると、ＦｌａｓｈＲＯＭ２１１に保存した印刷データをＤＲＡＭ２０２に画像データとして展開する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データに対して出力に適した色変換処理などを実施する。ＣＰＵ２０１はＤＲＡＭ２０２に格納した画像データをプリンタＩ／Ｆ２０７を介してプリンタ部１０３に転送し、紙媒体への出力処理を実施する。

以下、本実施例における、機能構成及び実行時改ざん検知処理フローについて説明する。

（実施例１の機能構成）
図３のブロック図により実施例１のＭＦＰのコントローラ部１０１で実行されるソフトウェアが実現する機能構成例を説明する。なお、コントローラ部１０１で実行されるソフトウェアは全て、ＣＰＵ２０１が実行する。

ＣＰＵ２０１は、ＲＯＭ２２０に記憶されたＢＩＯＳ３６０を実行する。ＣＰＵ２０１は、ＦｌａｓｈＲＯＭ２１１に記憶された、ローダ３７０、ｉｎｉｔｒｄ３８０、コントローラソフト３００をＤＲＡＭ２０２に読み込んだ後に実行する。ＢＩＯＳ３６０はＩ／Ｏコントローラ２０３やＤＲＡＭ２０２をＣＰＵ２０１が制御するための基本処理を実行する。さらにＢＩＯＳ３６０はＦｌａｓｈＲＯＭ２１１からローダ３７０を読み込み、開始する処理を含む。ローダ３７０はＦｌａｓｈＲＯＭ２１１から後述する起動モードに応じたカーネル３９０、ｉｎｉｔｒｄ３８０を読み込み、開始する処理を実行する。ｉｎｉｔｒｄ３８０はＦｌａｓｈＲＯＭ２１１からコントローラソフト３００を読み込み、開始する処理を実行する。

操作制御部３０１は、操作部１０２にユーザ向けの画面イメージを表示、およびユーザ操作の検知と画面上に表示したボタン等の画面部品に紐づけられた処理を実行する。

データ記憶部３０２は、他の制御部からの要求でデータをＦｌａｓｈＲＯＭ２１１に記憶、および読み出しを行う。例えば、ユーザが何らかの機器設定を変更したい場合は、操作部１０２にユーザが入力した内容を操作制御部３０１が検知し、操作制御部３０１からの要求でデータ記憶部３０２が設定値としてＦｌａｓｈＲＯＭ２１１に保存する。

ジョブ制御部３０３は、他の制御部からの指示に従って、ジョブ実行の制御を行う。

画像処理部３０４は、ジョブ制御部３０３からの指示に従って、画像データを用途ごとに適した形式に加工する。

印刷処理部３０５は、ジョブ制御部３０３からの指示に従い、プリンタＩ／Ｆ２０７を介して、紙媒体に画像を印刷し出力する。

読み取り処理部３０６は、ジョブ制御部３０３からの指示に従い、スキャナＩ／Ｆ２０８を介して、設置された原稿を読み込む。

ネットワーク制御部３０７は、データ記憶部３０２に記憶された設定値に従い、システム起動時や、設定変更検出時にＩＰアドレスなどネットワーク設定をＴＣＰ／ＩＰ制御部３０８に行う。

ＴＣＰ／ＩＰ制御部３０８は、他の制御からの指示に従い、ネットワークＩ／Ｆ２０４を介して、ネットワークパケットの送受信処理を行う。

ＵＳＢ制御部３０９は、ＵＳＢ Ｉ／Ｆ２０９を制御し、ＵＳＢ接続された任意の機器の制御を行う。

実行要求受信部３１０は、ＭＦＰ１００の稼働時に後述するＦｌａｓｈＲＯＭ２１１上に配置されるモジュールＡ５０２及びモジュールＢ５１２の実行要求を受信する。ここでＭＦＰ１００の稼働時とは、ＢＩＯＳ３６０、ローダ３７０、ｉｎｉｔｒｄ３８０、カーネル３９０、及びコントローラソフト３００が正常に起動し、ＭＦＰ１００の機能を提供可能になった状態のことをいう。つまり、実行要求受信部３１０は、ＭＦＰ１００の稼働時に適宜実行されるモジュールの実行要求を受信する機能を持つ。

第１の改ざん検知部３１１は、後述する図５のＦｌａｓｈＲＯＭ２１１上に配置されるＳＴＤ用ホワイトリスト５０３及びＳＡＦＥ用ホワイトリスト５１３の改ざんを検知する。改ざん検知の方法としては、例えば、公知の公開鍵暗号アルゴリズムを用いたデジタル署名検証を用いることができる。このとき、第１の改ざん検知部３１１は、署名検証鍵である公開鍵を用い、ホワイトリストの署名値（署名データ）を検証することで、当該ホワイトリストの改ざんを検知できる。ホワイトリストの改ざんを検知した場合、第１の改ざん検知部３１１は、後述する通知部３１４を介して、改ざんを検知した旨をユーザに通知し、システムを停止する。

第２の改ざん検知部３１２は、第１の改ざん検知部３１１で改ざんなしと判定したホワイトリストを用い、実行要求受信部３１０で受信した実行要求を発行したモジュールの改ざんを検知する。ホワイトリストの例としては、例えば図６で示すように、検証対象のモジュールごとに、モジュール名と当該モジュールの改ざんがない状態のハッシュ値（正解ハッシュ値）を併記した一覧表である。ハッシュ値としては、例えば公知のＳＨＡ２５６， ＳＨＡ５１２などが利用可能である。後述するエラー制御部３１３でどの起動モード用のモジュールかを判別するために、ＳＴＤ用のモジュールを記載したＳＴＤ用ホワイトリスト５０３と、ＳＡＦＥ用のモジュールを記載したＳＡＦＥ用ホワイトリスト５１３とに分ける。これはあくまで例示であり、１つのホワイトリスト６０１として、ＳＴＤ用モジュール、ＳＡＦＥ用モジュールとが区別できるようにモジュール名を修飾することでも本発明の実施例は実現できる。第２の改ざん検知部３１２は、実行要求を発行したモジュール（以下、実行モジュールと呼称する場合がある）が前述したホワイトリストに登録済みか否かを判定する。登録済みの場合、実行モジュールのハッシュ値を計算し、ホワイトリストの正解ハッシュ値と比較することで実行モジュールの改ざんを検知する。ホワイトリストに実行モジュールが未登録の場合は、当該実行モジュールの実行のみを禁止（実行停止）し、システムは停止せずに継続稼働し、実行モジュールを停止した旨を後述する通知部３１４を介して、ユーザに通知する。

エラー制御部３１３は、第２の改ざん検知部３１２で実行モジュールのハッシュ値が正解ハッシュ値と一致しないと判定された場合、当該実行モジュールが現起動モード用のモジュールか否かに応じて、エラー処理を切り替える。具体的には、実行モジュールが現起動モード用のモジュールでない場合、現起動モードの機能には影響がないと判断し、システムは停止させず、当該実行モジュールの実行要求のみを拒否する。このとき、当該モジュールの実行は禁止されることとなる。一方、実行モジュールが現起動モード用のモジュールである場合、現起動モードの機能に影響ありと判断し、システムを停止する。実行モジュールがどちらの起動モード用のモジュールかの判定方法としては、例えば、実行モジュールが保存されている領域が後述するＦｌａｓｈＲＯＭ２１１の通常起動用領域（ＳＴＤ領域）５０１の場合はＳＴＤ用モジュールと判定できる。アップデート起動用領域（ＳＡＦＥ領域）５１１の場合はＳＡＦＥ用モジュールと判定できる。現起動モードの判定については、例えば後述するＦｌａｓｈＲＯＭ２１１の起動モードフラグ５２１が０であれば現在の起動モードはＳＴＤ起動、１であればＳＡＦＥ起動と判定できる。これらにより、現起動モードと実行モジュールの起動モードが一致しているか否かを判断できる。なお、起動モードフラグ５２１の値はあくまで一例であり、例えば起動モードフラグ５２１が１であればＳＡＦＥ起動、０であればＳＴＤ起動と判断するようにしてもよい。

通知部３１４は、第１の改ざん検知部３１１、第２の改ざん検知部３１２、及びエラー制御部３１３で実行モジュールの停止またはシステム停止が行われた場合、その旨をユーザに通知する。通知方法としては、以下のものがある。例えば、「改ざんを検知したモジュール／ホワイトリスト名」、「検知した時間」、「実施したエラー処理（モジュール停止，システム停止）」を発生したイベントごとにログファイルとする。そして、ログファイルとして１行ずつデータ記憶部３０２に記録・保存する方法がある。記録・保存したログファイルは、外部の管理サーバに送信したり、操作部１０２に表示することで管理者はエラー状況を確認できる。また、図１２で示すように操作部１０２の表示領域１２０６を介し、改ざんを検知した旨を表示することもできる。図１２は、操作部１０２に表示されるメニュー画面１２０１であり、複合機が持つさまざまな機能の実行をユーザが指示するためのものである。ボタン１２０２はコピー機能をユーザが指示するために利用される。ボタン１２０３はスキャンして保存する機能をユーザが指示するために利用される。ボタン１２０４はスキャンして送信する機能をユーザが指示するために利用される。ボタン１２０５は機器の設定変更をユーザが指示するために利用される。表示領域１２０６は機器の動作中に発生したさまざまなユーザ向けのメッセージを表示する。例えば、ホワイトリストに未登録の実行モジュールを検知した場合は、表示領域１２０６に「未知のプログラムの実行をブロックしました」と表示することで、ユーザに通知できる。このようにシステムを停止させずに、実行モジュールのみを停止する場合は、表示領域１２０６を介した通知が利用できる。一方、システムを停止させる場合の通知としては、図１３に示すように操作部１０２の全面１３０１にシステムを停止した旨を表示する。システムを停止させるため、ボタン表示はなくし、全面１３０１に改ざん検知によりシステムを停止した旨を表示させる。上述したログファイルへの記録と、操作部１０２へのエラー表示はどちらか片方のみを行ってもよいし、両方とも行ってもよい。

図５にＦｌａｓｈＲＯＭ２１１に配置されるデータの例を示す。

ＦｌａｓｈＲＯＭ２１１は、起動モードごとに利用領域を論理的に分け、通常起動用領域（ＳＴＤ起動用領域）５０１、アップデート起動用領域（ＳＡＦＥ起動用領域）５１１、その他共通領域とに分かれる。これはあくまで例示であり、起動モードをＳＴＤ、ＳＡＦＥ以外にも追加で設けてもよく、その場合、ＦｌａｓｈＲＯＭ２１１の領域も追加で分けることが可能である。ＳＴＤ起動用領域５０１には、後述するモジュールＡ５０２、ＳＴＤ用ホワイトリスト５０３、ＳＴＤ用カーネル５０４、ＳＴＤ用ｉｎｉｔｒｄ５０５が含まれる。ＳＡＦＥ起動用領域５１１には、後述するモジュールＢ５１２、ＳＡＦＥ用ホワイトリスト５１３、ＳＡＦＥ用カーネル５１４、ＳＡＦＥ用ｉｎｉｔｒｄ５１５が含まれる。共通領域に保存される起動モードフラグ５２１は、現在の起動モードの判定などに用いられる。例えば、ローダ３７０は、起動モードフラグ５２１を読み取り、ＳＴＤ起動を示すフラグならＳＴＤ用カーネル５０４及びＳＴＤ用ｉｎｉｔｒｄ５０５をロードすることでＳＴＤ起動を開始する。同様に、起動モードフラグ５２１がＳＡＦＥ起動を示すフラグならローダ３７０は、ＳＡＦＥ用カーネル５１４及びＳＡＦＥ用ｉｎｉｔｒｄ５１５をロードすることでＳＡＦＥ起動を開始する。モジュールＡ５０２には、ＳＴＤ起動用のモジュールが含まれており、本モジュールを実行することで、通常起動に必要となる機能がＭＦＰ１００を介して提供される。同様にモジュールＢ５１２には、ＳＡＦＥ起動用のモジュールが含まれており、本モジュールを実行することで、アップデート用起動に必要となる機能がＭＦＰ１００を介して提供される。ＳＴＤ用ホワイトリスト５０３には、図６で示したように、実行モジュール検証の対象となるＳＴＤ起動用のモジュールＡ５０２が正解ハッシュ値とともに記載されている。ＳＡＦＥ用ホワイトリスト５１３にも、図６で示したように、実行モジュール検証の対象となるＳＡＦＥ起動用のモジュールＢ５１２が正解ハッシュ値とともに記載されている。なお、以下の説明ではＳＴＤ起動用領域５０１に含まれるモジュールはモジュールＡ５０２、ＳＡＦＥ起動用領域５１１に含まれるモジュールはモジュールＢ５１２として説明するが、モジュールはこれ以外にも複数含まれていてもよい。

（実施例１の処理フロー）
図７（Ａ），（Ｂ），（Ｃ），（Ｄ）のフローチャートにより本実施例の実行時改ざん検知処理及びエラー時（改ざん検知時）の処理を説明する。

実行要求受信部３１０は、モジュールの実行要求を受信する（Ｓ７０１）。第１の改ざん検知部３１１は、ホワイトリストに改ざんがあるか否かを検証する（Ｓ７０２）。ホワイトリストの改ざんを検知した場合（Ｓ７０２）、通知部３１４でログ記録、操作部１０２への画面表示を行うことで、ユーザ通知し、システムを停止する（Ｓ７１０，Ｓ７１１，Ｓ７１２）。ホワイトリストに改ざんがない場合（Ｓ７０２）、第２の改ざん検知部は、実行要求を発行したモジュールがホワイトリストに登録されているか否かを照合する（Ｓ７０４）。ホワイトリストに登録されていなければ（Ｓ７０５）、通知部３１４でログ記録、操作部１０２への画面表示を行うことで、ユーザ通知する。実行要求受信部３１０で受信した実行要求を棄却することで、当該モジュールの実行をブロック（停止）する（Ｓ７２０，Ｓ７２１，Ｓ７２２）。ホワイトリストに登録されていれば（Ｓ７０５）、第２の改ざん検知部は、当該モジュールのハッシュ値を計算し、ホワイトリストに登録された正解ハッシュ値と比較する（Ｓ７０６，Ｓ７０７）。比較した結果、ハッシュ値が一致すれば（Ｓ７０７）、当該モジュールの実行を許可することで当該モジュールを実行する（Ｓ７０８）。ハッシュ値が一致しなければ（Ｓ７０７）、エラー制御部３１３は、当該モジュールが現起動モード用のモジュールか否かを判定し（Ｓ７３１）、現起動モード用のモジュールであればシステム停止する（Ｓ７１０，Ｓ７１１，Ｓ７１２）。現起動モードとは異なる起動モード用のモジュールであれば（Ｓ７３１）、当該モジュールの停止のみを行う（Ｓ７２０，Ｓ７２１，Ｓ７２２）。

なお、ログ記録・ユーザ通知（Ｓ７１１）とシステム停止（Ｓ７１２）の順序及び、モジュール実行拒否（Ｓ７２１）とログ記録・ユーザ通知（Ｓ７２２）の処理順序はあくまで例示であり、順序を入れ替えてもよい。

このように、本実施例では、現在の起動モードの機能には影響ないモジュールの改ざんを検知した場合、システムは停止せず、当該実行モジュールのみを停止することで、セキュリティを維持したまま、稼働率を向上できる。

（実施例１の変形例）
実施例１では、実行モジュールの起動モードに応じて、エラー制御部３１３でエラー処理を切り替えたが、ホワイトリストの起動モードに応じても切り替えることができる。具体的には、第１の改ざん検知部３１１でホワイトリストの改ざんを検知した場合、実施例１では即座にシステム停止（Ｓ７１０）を行ったが、本変形例では、現起動モード用とは異なるホワイトリストの改ざんを検知した場合は、実行モジュールのみを停止する。現起動モード用のホワイトリストか否かの判定方法は、モジュールのときと同じように決定できる。具体的には、起動モードフラグ５２１で現起動モードを判定し、ホワイトリスト５０３，５１３の保存領域で現在参照しているホワイトリストがどちらの起動モード用かを判定できる。例えば、起動モードフラグ５２１がＳＴＤ起動モードを示している場合、ＳＴＤ用ホワイトリスト５０３の改ざんを検知した場合は、システム停止し、ＳＡＦＥ用ホワイトリスト５１３の改ざんを検知した場合は、実行モジュールのみを停止する。つまり、本変形例では、エラー制御部３１３は、上述したホワイトリストの起動モード判定によるエラー処理切り替え機能を更に具備することとなる。

図７（Ａ），（Ｃ），（Ｄ）及び図８を用い、本変形例の処理フローを説明する。実行要求受信部３１０は、モジュールの実行要求を受信する（Ｓ７０１）。第１の改ざん検知部３１１は、ホワイトリストに改ざんがあるか否かを検証する（Ｓ７０２）。ホワイトリストの改ざんを検知した場合、エラー制御部３１３は、当該ホワイトリストが現起動モード用のホワイトリストか否かを判定し（Ｓ８０１）、現起動モード用のホワイトリストであればシステム停止する（Ｓ７１０，Ｓ７１１，Ｓ７１２）。一方、現起動モードとは異なる起動モード用のホワイトリストと判定した場合は（Ｓ８０１）、実行要求を発行したモジュールの停止のみを行う（Ｓ７２０，Ｓ７２１，Ｓ７２２）。

このように、本変形例では、ホワイトリストの現在の起動モードとは無関係なホワイトリストの改ざんを検知した場合、システムは停止せず、実行モジュールのみを停止することで、セキュリティを維持したまま、稼働率を向上できる。

（実施例２）
以下、本発明にかかる実施例２の情報処理を説明する。なお、実施例２において、実施例１と略同様の構成については、同一符号を付して、その詳細説明を省略する。

実施例２では第１の改ざん検知部３１１でホワイトリストの改ざんを検知した場合、ＭＦＰ１００が正常な状態か否かを判定し、正常であれば、現在のモジュールからホワイトリストを生成しなおす。システム停止、モジュール停止をせず、可能であればホワイトリストを自動で生成しなおし、稼働継続するため、稼働率をさらに向上できる。

以下、本実施例における、装置構成、機能構成及び処理フローをそれぞれ説明する。

（実施例２の装置構成）
図１１のブロック図により実施例２の装置構成例を説明する。

実施例２では、実施例１の装置構成に加え、耐タンパーなセキュリティチップであるＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）１１０１及びＢＩＯＳ検証ユニット１１０２をさらに具備する。

ＴＰＭ１１０１は、耐タンパー性を有するセキュリティチップである。耐タンパー性とは、外部からの解析を困難にすると共に、外部から解析しようとした場合に内部に記憶されているモジュール、或いはデータを破壊することにより自己防衛する特性である。また、ＴＰＭ１１０１は、ＮＶＲＡＭと複数のＰＣＲを保持している。
ＮＶＲＡＭは、不揮発性メモリであり、任意のデータの書き込み・読み込みが可能である。
ＰＣＲは揮発性メモリであり、ＢＩＯＳ３６０、ローダ３７０、ｉｎｉｔｒｄ３８０、カーネル３９０などのハッシュ値をＭＦＰ１００の起動時に保存する。

ここで、ＰＣＲへのハッシュ値保存処理を説明する。ハッシュ値保存処理では、所定のＰＣＲに既に保存されているハッシュ値Ｈａｓｈ１と、ＴＰＭ１１０１の外部から入力されたソフトウェアまたはデータのハッシュ値Ｈａｓｈ２を用いて次の式を計算し、計算した値Ｒｅｓｕｌｔ１を当該ＰＣＲに保存する。

Ｒｅｓｕｌｔ１＝Ｈ（Ｈａｓｈ１｜Ｈａｓｈ２） （式１）
Ｈ（ｘ）は値ｘに対するハッシュ関数である。ハッシュ関数としては公知のＳＨＡ１、ＳＨＡ２５６、ＳＨＡ５１２等のアルゴリズムが適応可能である。「ｘ｜ｙ」は値ｘと値ｙの連結である。

以上説明したＰＣＲへのハッシュ値保存処理は、ＭＦＰ１００が起動する際などに実行される。

また、ＴＰＭ１１０１は、ＴＰＭ１１０１内で管理される署名生成鍵を用い、ＰＣＲに保存したハッシュ値にデジタル署名（署名データ）をつけて外部サーバに送信するｑｕｏｔｅ機能と呼ばれる機器証明機能も具備している。ｑｕｏｔｅ機能で生成された署名データとＰＣＲのハッシュ値を用い、ＭＦＰ１００で起動したモジュールの完全性検証を外部サーバで実施できる。具体的には、外部サーバは、ＭＦＰ１００から受信したＰＣＲのハッシュ値の署名データを署名検証鍵で検証することで、同じく受信したＰＣＲのハッシュ値の改ざん有無を検証する。署名検証が成功した場合、外部サーバが保持するＭＦＰ１００の各モジュールの正解ハッシュ値と、受信したＰＣＲのハッシュ値とを比較することで、ＭＦＰ１００の各モジュールの改ざんをリモートに検知できる。

ＢＩＯＳ検証ユニット１１０２はＲＯＭ２２０およびＣＰＵ２０１とバスで接続されていて、ＲＯＭ２２０に記憶されたＢＩＯＳデータの検証と、ＣＰＵ２０１へのＢＩＯＳ起動指示を行う。ここで、ＢＩＯＳ検証ユニット１１０２はハードウェアであることを明記し、ＢＩＯＳ検証がハードウェア検証であることを確認しておく。ＢＩＯＳ検証ユニット１１０２とＣＰＵ２０１を繋ぐバスは悪意のある第三者に細工をされないために、同一チップ、またはそれに準ずる構成で実現され外部から物理的に確認できない形態になっている。本実施例では、ＢＩＯＳ検証ユニット１１０２の制御機構は集積回路としてハードウェアで実現されている構成を想定するが、専用のＣＰＵ、制御ソフトを記憶したＲＯＭといった要素を同一チップ内に実装し、製造後に変更できない構成であっても良い。

（実施例２の機能構成）
図４のブロック図により実施例２の機能構成例を説明する。

実施例２では、実施例１の機能構成に加え、ローダ読み込み検証制御部４６１、カーネル、ｉｎｉｔｒｄ読み込み検証制御部４７１、起動時検証部４８１、ホワイトリスト生成部４０１、機器証明部４０２、ログ確認部４０３を更に具備する。また、ＢＩＯＳ３６０、ローダ３７０、ｉｎｉｔｒｄ３８０は、実施例１に加え、一部機能追加があるため、合わせて以下で説明する。

ＢＩＯＳ３６０は、実施例１の機能に加え、内部的にＢＩＯＳとしての制御ソフトと制御ソフトに対応する署名データで構成されている。

ローダ３７０は、実施例１の機能に加え、内部的にローダとしての制御ソフトと制御ソフトに対応する署名データで構成されている。

ｉｎｉｔｒｄ３８０は、実施例１の機能に加え、内部的にｉｎｉｔｒｄとしての制御ソフトと制御ソフトに対する署名データで構成されている。

ローダ読み込み検証制御部４６１は、ＢＩＯＳ３６０の制御ソフトに含まれ、ローダを検証する処理とローダに付与された署名に対応する公開鍵を含む。

カーネル、ｉｎｉｔｒｄ読み込み検証制御部４７１は、ローダ３７０に含まれ、カーネル、ｉｎｉｔｒｄを検証する処理とカーネル、ｉｎｉｔｒｄに付与された署名に対する公開鍵を含む。

起動時検証部４８１は、ｉｎｉｔｒｄ３８０に含まれ、コントローラソフト３００を構成する、全てのモジュールを起動時に検証する処理と、付与された署名に対する公開鍵を含む。ここで、全ての署名データに対する秘密鍵はソフトウェアの開発時にのみ利用され一般に流通することはない。

なお、前述したＢＩＯＳ検証ユニット１１０２、ローダ読み込み検証制御部４６１、カーネル、ｉｎｉｔｒｄ読み込み検証制御部４７１、起動時検証部４８１による起動時の各モジュールの検証を合わせて起動時検証機能と呼称する場合がある。

ホワイトリスト生成部４０１は、第１の改ざん検知部３１１でホワイトリストの改ざんを検知した際、ＭＦＰ１００が正常であると判断できる場合に限り、ホワイトリストを再生成する。ＭＦＰ１００が正常であるか否かの判断には、前述した起動時検証機能、または後述する機器証明部４０２による検証、またはログ確認部４０３による検証を用いることができる。正常と判断したＭＦＰ１００内の各種モジュール（モジュールＡ５０２、モジュールＢ５１２）からハッシュ値を計算し、図６で示すホワイトリストを生成し、改ざんされたホワイトリストと置き換えることで、ホワイトリストの再生成を実現する。また、ＴＰＭ１１０１などで保持する署名生成鍵を用い、再生成したホワイトリストの署名データを生成することで、ホワイトリストの改ざん検知も可能となる。

機器証明部４０２は、前述したＴＰＭ１１０１のｑｕｏｔｅ機能を用い、ＢＩＯＳ３６０、ローダ３７０、ｉｎｉｔｒｄ３８０、カーネル３９０などのモジュールが改ざんされているか否かを、ＴＣＰ／ＩＰ制御部３０８などを介し、外部サーバに問い合わせる。これによりリモートにＭＦＰ１００が正常か否かを判断できる。

ログ確認部４０３は、通知部３１４で記録したログファイルを読み取り、モジュールが改ざんされたログが記載されているか否かを確認することで、ＭＦＰ１００の各種モジュールが正常か否かを判断する。具体的には、モジュールが改ざんされた旨がログファイルに記載されている場合、ＭＦＰ１００には改ざんモジュールが存在するため、正常ではないと判断する。一方で、改ざんされた旨が１つも記載されていない場合は、全てのモジュールが正常と判断し、ＭＦＰ１００自体も正常であると判断する。なお、これは例示であり、例えば、ログファイルにモジュールが改ざんされた旨が記載されてあっても、その後に当該改ざんモジュールを正常な状態に復旧した旨を示す記載がある場合は、モジュールは正常に戻ったと判断し、ＭＦＰ１００を正常と判断してもよい。

（実施例２の処理フロー）
図９、及び図１０（Ａ），（Ｂ），（Ｃ）のフローチャートにより、実施例２の処理フローを説明する。

最初に、図９，図１０（Ａ）により、起動時検証機能によるホワイトリストの再生成処理フローを説明する。

実行要求受信部３１０は、モジュールの実行要求を受信する（Ｓ７０１）。第１の改ざん検知部３１１は、ホワイトリストに改ざんがあるか否かを検証する（Ｓ７０２）。ホワイトリストの改ざんを検知した場合（Ｓ９０１）、再起動をする（Ｓ１００１）。そして、ＢＩＯＳ検証ユニット１１０２、ローダ読み込み検証制御部４６１、カーネル、ｉｎｉｔｒｄ読み込み検証制御部４７１、起動時検証部４８１による起動時検証を行う（Ｓ１００２）。起動時検証で改ざんを検知しなかった場合（Ｓ１００３）、ＭＦＰ１００は正常と判断し、ホワイトリスト生成部４０１は、ホワイトリストを再生成する（Ｓ９０３）。起動時検証で改ざんを検知した場合は（Ｓ１００３）、ＭＦＰ１００が正常でないと判断し、システムを停止する（Ｓ７１０）。

次に、図９，図１０（Ｂ）により、ＴＰＭ１１０１の機器証明機能（ｑｕｏｔｅ機能）によるホワイトリストの再生成処理フローを説明する。

実行要求受信部３１０は、モジュールの実行要求を受信する（Ｓ７０１）。第１の改ざん検知部３１１は、ホワイトリストに改ざんがあるか否かを検証する（Ｓ７０２）。ホワイトリストの改ざんを検知した場合（Ｓ９０１）、ＴＰＭ１１０１のｑｕｏｔｅ機能により機器証明部４０２で機器証明を行う（Ｓ１０１１）。機器証明で改ざんを検知しなかった場合（Ｓ１０１２）、ＭＦＰ１００は正常と判断し、ホワイトリスト生成部４０１は、ホワイトリストを再生成する（Ｓ９０３）。機器証明で改ざんを検知した場合は（Ｓ１０１２）、ＭＦＰ１００が正常でないと判断し、システムを停止する（Ｓ７１０）。

最後に、図９，図１０（Ｃ）により、ログ確認部４０３によるホワイトリストの再生成処理フローを説明する。

実行要求受信部３１０は、モジュールの実行要求を受信する（Ｓ７０１）。第１の改ざん検知部３１１は、ホワイトリストに改ざんがあるか否かを検証する（Ｓ７０２，Ｓ７０３）。ホワイトリストの改ざんを検知した場合（Ｓ９０１）、ログ確認部４０３は、ログファイルを確認することで、ＭＦＰ１００が正常か否かを判断する（Ｓ１０２１）。ログファイルを確認した結果、ＭＦＰ１００が正常と判断できれば、ホワイトリスト生成部４０１はホワイトリストを再生成する（Ｓ９０３）。ＭＦＰ１００が正常でないと判断した場合は、システムを停止する（Ｓ７１０）。

このように、本実施例では、ホワイトリストが改ざんされていた場合、システムを停止せずに、ＭＦＰ１００の各種モジュールが正常である限りはホワイトリストの再生成を試みるため稼働率を向上できる。

（実施例２の変形例）
また、実施例２で、ホワイトリストの改ざんを検知した際にホワイトリスト生成部４０１がＭＦＰ１００が正常か否かを確認する手段を、利用できる手段に応じて動的に選択するようにすることもできる。図１４の設定画面１４０１を用い説明する。図１４は、図１２の設定ボタン１２０５の押下により、画面遷移した操作部１０２に表示される設定画面１４０１である。ログ記録１４０２が選択された場合は、前述した通知部３１４によるログファイルへのイベント記録機能が有効な状態である。ＴＰＭ機能１４０３が選択された場合は、前述したＴＰＭ１１０１のＰＣＲへのハッシュ値保存やｑｕｏｔｅによる機器証明機能が有効な状態である。起動時検証１４０４が選択された場合は、前述した起動時検証機能が有効な状態である。例えば、図１４の設定画面１４０１では、ＴＰＭ機能１４０３のみが有効となっているため、ホワイトリスト生成部４０１は、機器証明部４０２による機器証明機能を用いＭＦＰ１００が正常か否かを確認する（Ｓ１０１１、Ｓ１０１２）。同様に、ログ記録１４０２のみが有効な場合は、ホワイトリスト生成部４０１は、ログ確認部４０３を用いＭＦＰ１００が正常か否かを確認する（Ｓ１０２１）。起動時検証１４０４のみが有効な場合は、再起動する（Ｓ１００１）。そして、ＢＩＯＳ検証ユニット１１０２、ローダ読み込み検証制御部４６１、カーネル、ｉｎｉｔｒｄ読み込み検証制御部４７１、起動時検証部４８１による起動時検証を行うことで、ＭＦＰ１００が正常か否かを確認する（Ｓ１００２、Ｓ１００３）。

上述の説明では、いずれか１つの設定のみが有効な場合を説明したが、複数同時に有効にした場合でも本発明に適用できる。その場合、優先度をつけ、優先度が高いものを選択するようにすればよい。例えば、ログ記録１４０２、ＴＰＭ機能１４０３、起動時検証１４０４の全てが有効な場合、かつ優先度として、ログ記録１４０２を「１」、ＴＰＭ機能１４０３を「２」、起動時検証１４０４を「３」と設定した場合を考える（数字が大きいほど優先度高）。このとき、ホワイトリスト生成部４０１は、優先度が最も高い起動時検証機能を用い、ＭＦＰ１００が正常か否かを確認することができる。一方、全ての設定が無効な場合は、ＭＦＰ１００の状態を確認できないため、実施例１のようにホワイトリストの再生成は行わずにシステム停止または当該モジュールの停止のみを行う。

このように、本変形例により、利用できる機能に応じて、動的に最適な手段でホワイトリストの再生成を行うため、稼働率を向上できる。

（その他の実施例）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

Claims (12)

1. 稼働時の実行モジュールの実行時改ざん検知を行う情報処理装置であって、
   前記実行モジュールが発行した実行要求を受け取る要求受信部と、
   前記実行要求を発行した実行モジュールの改ざんを検知する改ざん検知部と、
   前記改ざん検知部で改ざんを検知した場合、
   前記実行要求を発行した実行モジュールが特定モード用のモジュールか否かに応じて、前記情報処理装置のシステムを停止するか、前記実行要求を発行した実行モジュールの実行のみを禁止するかを選択して制御するエラー制御部と、を有することを特徴とする情報処理装置。
2. 前記エラー制御部は、前記実行モジュールの保存領域によって前記実行要求を発行した実行モジュールが用いられる起動モードを決定し、
   決定した前記実行要求を発行した実行モジュールが用いられる起動モードと現在の起動モードが同じ場合は前記情報処理装置のシステムを停止し、
   決定した前記実行要求を発行した実行モジュールが用いられる起動モードと現在の起動モードが異なる場合は前記実行要求を発行した実行モジュールの実行のみを禁止することを特徴とする請求項１に記載の情報処理装置。
3. 前記エラー制御部はさらに、前記改ざん検知部で用いられるホワイトリストの改ざんが検知された場合、前記ホワイトリストの保存領域に応じて、
   前記情報処理装置のシステムを停止するか、前記実行要求を発行した実行モジュールの実行のみを禁止するかを選択して制御することを特徴とする請求項１または請求項２に記載の情報処理装置。
4. ホワイトリストによる稼働時の実行モジュールの実行時改ざん検知を行う情報処理装置であって、
   前記実行モジュールが発行した実行要求を受け取る要求受信部と、
   前記実行要求を受けて前記ホワイトリストの改ざんを検知する第１の改ざん検知部と、
   前記第１の改ざん検知部で改ざんなしと判定されたホワイトリストを用い前記実行要求を
   発行した実行モジュールの改ざんを検知する第２の改ざん検知部と、
   前記第２の改ざん検知部で改ざんを検知した場合、
   前記実行要求を発行した実行モジュールの種類に応じて、前記情報処理装置のシステムを停止するか、前記実行要求を発行した実行モジュールの実行のみを禁止するかを選択して制御するエラー制御部と、前記第１の改ざん検知部でホワイトリストの改ざんを検知した場合、前記情報処理装置が正常であるか否かを確認することでホワイトリストの再生成を行うホワイトリスト生成部と、を有することを特徴とする情報処理装置。
5. 前記ホワイトリスト生成部は、前記情報処理装置が正常であると確認できた場合にホワイトリストを再生成し、正常であると確認できなかった場合には前記情報処理装置のシステム停止または前記実行要求を発行した実行モジュールの実行のみを禁止することを特徴とする請求項４に記載の情報処理装置。
6. 前記情報処理装置はさらに、前記第１の改ざん検知部または前記第２の改ざん検知部で改ざんを検知したことを記録してあるログファイルを確認することで、
   前記情報処理装置が正常であるか否かを確認するログ確認部を有し、
   前記ホワイトリスト生成部は、前期ログ確認部を利用することで前記情報処理装置が正常であるか否かを確認することを特徴とする請求項４または請求項５に記載の情報処理装置。
7. 前記情報処理装置はさらに、前記情報処理装置の起動時に順に起動されるモジュールの改ざんを検知することで、前記情報処理装置が正常であるか否かを確認する起動時検証部を有することを特徴とする請求項４または請求項５のいずれか１項に記載の情報処理装置。
8. 前記情報処理装置はさらに、耐タンパーなセキュリティチップであるＴＰＭを具備し、前記ＴＰＭに保存された前記情報処理装置の起動時に順に起動されるモジュールのハッシュ値を外部サーバで検証することで、前記情報処理装置が正常であるか否かを確認する機器証明部を有することを特徴とする請求項４または請求項５のいずれか１項に記載の情報処理装置。
9. 稼働時の実行モジュールの実行時改ざん検知を行う情報処理装置を具備する情報処理方法であって、
   前記実行モジュールが発行した実行要求を受け取る要求受信工程と、
   前記実行要求を発行した実行モジュールの改ざんを検知する改ざん検知工程と、
   前記改ざん検知工程で改ざんを検知した場合、
   前記実行要求を発行した実行モジュールが特定モード用のモジュールか否かに応じて、
   前記情報処理装置のシステムを停止するか、前記実行要求を発行した実行モジュールの実行のみを禁止するかを選択して制御するエラー制御工程と、を有することを特徴とする情報処理方法。
10. ホワイトリストによる稼働時の実行モジュールの実行時改ざん検知を行う情報処理装置を具備する情報処理方法であって、
    前記実行モジュールが発行した実行要求を受け取る要求受信工程と、
    前記実行要求を受けて前記ホワイトリストの改ざんを検知する第１の改ざん検知工程と、
    前記第１の改ざん検知工程で改ざんなしと判定されたホワイトリストを用い前記実行要求を発行した実行モジュールの改ざんを検知する第２の改ざん検知工程と、
    前記第２の改ざん検知工程で改ざんを検知した場合、
    前記実行要求を発行した実行モジュールの種類に応じて、
    前記情報処理装置のシステムを停止するか、前記実行要求を発行した実行モジュールの実行のみを禁止するかを選択して制御するエラー制御工程と、
    前記第１の改ざん検知工程でホワイトリストの改ざんを検知した場合、前記情報処理装置が正常であるか否かを確認することでホワイトリストの再生成を行うホワイトリスト生成工程とを有すること、を特徴とする情報処理方法。
11. コンピュータを、
    稼働時の実行モジュールの実行時改ざん検知を行う情報処理装置であって、
    前記実行モジュールが発行した実行要求を受け取る要求受信部と、
    前記実行要求を発行した実行モジュールの改ざんを検知する改ざん検知部と、
    前記改ざん検知部で改ざんを検知した場合、
    前記実行要求を発行した実行モジュールが特定モード用のモジュールか否かに応じて、前記情報処理装置のシステムを停止するか、前記実行要求を発行した実行モジュールの実行のみを禁止するかを選択して制御するエラー制御部と、を有することを特徴とする情報処理装置として機能させるためのプログラム。
12. コンピュータを、
    ホワイトリストによる稼働時の実行モジュールの実行時改ざん検知を行う情報処理装置であって、
    前記実行モジュールが発行した実行要求を受け取る要求受信部と、
    前記実行要求を受けて前記ホワイトリストの改ざんを検知する第１の改ざん検知部と、
    前記第１の改ざん検知部で改ざんなしと判定されたホワイトリストを用い前記実行要求を発行した実行モジュールの改ざんを検知する第２の改ざん検知部と、
    前記第２の改ざん検知部で改ざんを検知した場合、
    前記実行要求を発行した実行モジュールの種類に応じて、前記情報処理装置のシステムを停止するか、前記実行要求を発行した実行モジュールの実行のみを禁止するかを選択して制御するエラー制御部と、前記第１の改ざん検知部でホワイトリストの改ざんを検知した場合、前記情報処理装置が正常であるか否かを確認することでホワイトリストの再生成を行うホワイトリスト生成部と、を有することを特徴とする情報処理装置として機能させるためのプログラム。

Images