JPH1069382A - アーキテクチャ中立プログラムの信頼された、アーキテクチャ特定の、コンパイルされたバージョンを生成するシステム及び方法 - Google Patents

Abstract

(57)【要約】 【課題】 アーキテクチャ中立（ＡＮ）プログラムが信
頼された第三者によってコンパイルされたことを証明で
きるようにコンパイルする装置及び方法を提供する。 【解決手段】 プログラムコンパイリングコンピュータ
はＡＮプログラムの発信パーティーの署名が証明される
とＡＮプログラムのＡＮプログラムコードをアーキテク
チャ特定（ＡＳ）言語でＡＳプログラムコードにコンパ
イルし、コンパイリングパーティーの署名を付加してＡ
Ｓプログラムを生成する。プログラム実行コンピュータ
は、ＡＮプログラムの発信パーティーの署名及びＡＳプ
ログラムのコンパイリングパーティーの署名が証明さ
れ、コンパイリングパーティーが信頼されたコンパイリ
ングパーティーの限定集合のメンバーであると決定され
るとＡＳプログラムのＡＳプログラムコードを実行す
る。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、一般的には分布コンピ
ュータシステムに関し、詳しく述べれば、コンパイルさ
れた受信者が対応するアーキテクチャ中立プログラムの
アイデンティティを検証することができ、またそれが信
頼された第三者によってコンパイルされたものであるこ
とを検証することができるように、アーキテクチャ中立
の実行可能なプログラムが信頼された第三者によってコ
ンパイルされるようなプログラムコンパイル( compilat
ion ) システム及び方法に関する。

【０００２】

【従来の技術】本明細書においては「アーキテクチャ」
とは、コンピュータモデルのファミリーの動作特性と定
義する。明確なアーキテクチャの例は、マッキントッシ
ュコンピュータ、ＤＯＳまたはウィンドウズオペレーテ
ィングシステムを使用するＩＢＭ ＰＣコンパチブルコ
ンピュータ、ソラリスオペレーティングシステムを走ら
せるサン( SUN ) マイクロシステムズコンピュータ、及
びユニックスオペレーティングシステムを使用するコン
ピュータシステムである。本明細書においては「アーキ
テクチャ中立（または不問：neutral ）」とは、多くの
異なるコンピュータアーキテクチャを使用する種々のコ
ンピュータプラットフォーム上で実行される Java （ S
un Microsystems, Inc. の商標）言語で書かれたプログ
ラムのような、若干のプログラムの能力と定義する。

【０００３】本明細書においては「アーキテクチャ特
定」とは、若干のプログラムを、単一のコンピュータア
ーキテクチャを使用するコンピュータプラットフォーム
上だけで実行させる要求であると定義する。例えば、80
486 アセンブラ言語で書かれたオブジェクト（または目
的）コードプログラムはＩＢＭ ＰＣコンパチブルコン
ピュータアーキテクチャを使用するコンピュータ上で
（並びにＩＢＭ ＰＣコンパチブルコンピュータエミュ
レータを含む他のコンピュータ内で）のみ実行すること
ができる。アーキテクチャ中立プログラム（ＡＮプログ
ラム）の重要な特色は、アーキテクチャ中立言語（ＡＮ
言語）で書かれたプログラムから独立したアーキテクチ
ャを含むことである。例えば Java バイトコードプログ
ラムは、 Java バイトコードインタプリタを有するコン
ピュータプラットフォーム上で実行することができる。
Java バイトコードプログラムの別の重要な特色は、 J
ava バイトコード検証手段による実行の前に、それらの
完全性を直接検証できることである。 Javaバイトコー
ド検証手段は、プログラムが所定の（または、予め定め
られた）完全性基準に準拠するか否かを決定する。この
基準は、オペランドスタック、及びデータ型使用制限と
を含む。このデータ型使用制限は、 Java バイトコード
プログラムが実行コンピュータのオペランドスタックの
オーバフローまたはアンダフローを生じさせないように
し、また全てのプログラム命令が既知のデータ型のデー
タだけを使用することを保証するものである。その結
果、 Java バイトコードプログラムはオブジェクトポイ
ンタを作成することはできず、また一般に、ユーザがそ
れを使用する許可を明示的に与えたもの以外のシステム
資源にアクセスすることはできない。

【０００４】不幸にも、ＡＮ言語内に実行可能なプログ
ラムを分布させると、ＡＮプログラムはアーキテクチャ
特定の特色を利用するよりも低効率で走るようになる。
例えば、 Java バイトコードインタプリタによって実行
される Java バイトコードプログラムは、典型的には対
応するアーキテクチャ特定言語（ＡＳ言語でコンパイル
された等価アーキテクチャ特定プログラム（ＡＳプログ
ラム）より 2.5乃至５倍程度遅く走る。５倍の速度低下
は、実際にはＡＮプログラム実行手段（ executer ：即
ち、インタプリタ）にとって異常に余裕があると考えら
れるが、若干のユーザがＡＳ言語でコンパイルされた等
価プログラムを使用する能力を要求するか、または強要
する程十分に効率を低下させている。ＡＮプログラムを
等価ＡＳプログラムにコンパイルできるコンパイラを書
くことはできる。しかしながら、それらはエンドユーザ
にとって極めて高価である。更に、等価のコンパイルさ
れたＡＳプログラムの完全性は、コンパイルされたＡＳ
プログラムコードからＡＮプログラム完全性検証手段に
よって直接検証することはできない。従って Java バイ
トコードプログラムの場合には、等価ＡＳプログラム内
にコンパイルされたＡＮプログラムを使用すると、ＡＮ
言語の最も価値ある特色の一つが潜在的に失われること
になる。

【０００５】しかしながら、完全性検証不能ＡＳプログ
ラムによって遂行することはできるが、完全性検証可能
ＡＮプログラムによっては遂行できない若干の適正な
（または正当な）タスクが存在している。これらは、そ
のようにしなければオペランドスタック、及び完全性検
証可能なＡＮプログラムに賦課されるデータ型使用制限
を侵害するタスクを含む。更に、これらのＡＳプログラ
ムは、ＡＮプログラムよりも遙かに早く実行することが
できる。その結果、完全性検証可能なＡＮプログラムを
主として実行するだけではなく、完全性検証不能なＡＳ
プログラムを実行する能力をも有するように設計された
コンピュータシステムが何故望まれているのかという多
くの理由が存在している。第三者によるＡＮプログラム
のコンパイルは可能であるが、これらのコンパイルはそ
の第三者を認証することを要求する。即ち、コンパイル
されたＡＳプログラム内の情報から、それが特定の信頼
された第三者によってコンパイルされたことを検証でき
るようにしなければならない。より良くするには、その
コンパイルされたＡＳプログラムが特定の信頼されたコ
ンパイラによって生成されたことを認証できるようにも
すべきである。また、所定の完全性基準に対して、コン
パイルされたＡＳプログラムの完全性を直接検証するこ
とはできないから、コンパイルされたＡＳプログラムは
そのＡＳプログラムをコンパイルした対応ＡＮプログラ
ム、及びＡＳプログラムをコンパイルするのに使用した
ＡＳ言語を識別する情報を検証可能な手法で含むべきで
ある。

【０００６】従って、本発明の目的は、対応するＡＮプ
ログラムからコンパイルされたＡＳプログラムのユーザ
が、誰がそのＡＮプログラムをコンパイルしたのかの識
別と、対応するＡＮプログラムのアイデンティティと、
そのＡＳプログラムをコンパイルしたＡＳ言語とを認証
することができるようにしたＡＮプログラムコンパイラ
及びコンパイル方法を提供することである。本発明の別
の目的は、完全性が検証できるＡＮプログラムを実行
し、完全性を検証することはできないが、信頼されてい
るか、または検証可能な源とコンパイル情報とを有する
ＡＳプログラムを呼出すようにし、それによって源、コ
ンパイル情報、及び完全性を検証できないＡＳプログラ
ムが呼出されるのを防ぎながら、本質的に全ての適正な
タスクを遂行することを可能にするＡＮプログラム実行
手段及び実行方法を提供することである。

【０００７】

【課題を解決するための手段】本発明の上記目的は、コ
ンピュータネットワークであって、コンパイリングパー
ティーによって作動され、発信パーティーによって生成
されたアーキテクチャ中立プログラムを受信するプログ
ラムコンパイリングコンピュータを備え、アーキテクチ
ャ中立プログラムはアーキテクチャ中立プログラムコー
ド及び発信パーティーのディジタル署名を含み、ディジ
タル署名は検証時にアーキテクチャ中立プログラムが発
信パーティーによって署名されたことを検証するように
なっており、プログラムコンパイリングコンピュータ
が、発信パーティーのディジタル署名を検証する署名検
証手段と、発信パーティーのディジタル署名が検証され
た時に、（Ａ）アー キテクチャ中立プログラムコード
をアーキテクチャ特定言語でアーキテクチャ特定プログ
ラムコードにコンパイルし、（Ｂ）検証時にアーキテク
チャ特定プログラムがコンパイリングパーティーによっ
て生成されたことを検証するコンパイリングパーティー
のディジタル署名を付加することによってアーキテクチ
ャ特定プログラムを生成するコンパイラと、コンパイリ
ングパーティーのディジタル署名を生成する署名発生手
段と、を含み、実行パーティーによって作動され、アー
キテクチャ特定プログラムを受信し、アーキテクチャ中
立プログラムを受信または実行するプログラム実行コン
ピュータを更に備え、プログラム実行コンピュータは、
コンパイリングパーティーのディジタル署名を検証する
署名検証手段と、コンパイリングパーティーの署名が検
証され、コンパイリングパーティーが信頼されたコンパ
イリングパーティーの限定集合のメンバーである時に、
アーキテクチャ特定言語で書かれたアーキテクチャ特定
プログラムコードを実行する実行手段と、を含むコンピ
ュータネットワークによって達成される。

【０００８】本発明のコンピュータネットワークでは、
署名発生手段は、検証時にアーキテクチャ特定プログラ
ムがコンパイラを用いて生成されたことを検証するコン
パイラのディジタル署名を生成し、コンパイラは更に、
アーキテクチャ特定プログラムコードをコンパイラのデ
ィジタル署名に付加することによってもアーキテクチャ
特定プログラムを生成し、実行コンピュータの署名検証
手段は、コンパイラのディジタル署名を検証し、実行手
段は、コンパイラのディジタル署名が検証され、コンパ
イラが信頼されたコンパイラの限定集合のメンバーであ
ることが決定された後に限って、アーキテクチャ特定プ
ログラムコードを実行するように構成してもよい。本発
明のコンピュータネットワークでは、発信パーティー及
びコンパイリングパーティーのために、ネットワークは
対応する私用暗号化キー、公開暗号化キー、及び対応す
るハッシュ機能を含み、発信パーティーのディジタル署
名は、アーキテクチャ中立プログラムに対して発信パー
ティーの対応するハッシュ機能を遂行することによって
生成したアーキテクチャ中立プログラムのメッセージダ
イジェストを含み、アーキテクチャ中立プログラムのメ
ッセージダイジェストは、発信パーティーの対応する私
用キーを用いて暗号化されており、プログラムコンパイ
リングコンピュータの署名検証手段は、（Ａ）発信パー
ティーの公開暗号化キーを用いてアーキテクチャ中立プ
ログラムのメッセージダイジェストを暗号解除し、
（Ｂ）アーキテクチャ中立プログラムコードに対して発
信パーティーのハッシュ機能を遂行することによってア
ーキテクチャ中立プログラムの対応する試験メッセージ
ダイジェストを生成し、そして（Ｃ）暗号解除されたメ
ッセージダイジェストとアーキテクチャ中立プログラム
の試験メッセージダイジェストとを比較することによっ
て発信パーティーのディジタル署名を検証させる命令を
含み、署名発生手段は、（Ａ）アーキテクチャ特定プロ
グラムコードに対してコンパイリングパーティーの対応
するハッシュ機能を遂行することによってアーキテクチ
ャ中立プログラムのメッセージダイジェストを生成し、
そして（Ｂ）コンパイリングパーティーの対応する私用
キーを用いてアーキテクチャ特定プログラムのメッセー
ジダイジェストを暗号化することによってコンパイリン
グパーティーのディジタル署名を生成させるための命令
を含み、プログラム実行コンピュータの署名検証手段
は、（Ａ）コンパイリングパーティーの対応する公開キ
ーを用いてアーキテクチャ特定プログラムのメッセージ
ダイジェストを暗号解除し、（Ｂ）アーキテクチャ特定
プログラムコードに対してコンパイリングパーティーの
ハッシュ機能を遂行することによってアーキテクチャ特
定プログラムの対応する試験メッセージダイジェストを
生成し、そして（Ｃ）暗号解除されたメッセージダイジ
ェストとアーキテクチャ特定プログラムの試験メッセー
ジダイジェストとを比較することによってコンパイリン
グパーティーのディジタル署名を検証させる命令を含む
ように構成してもよい。

【０００９】本発明のコンピュータ・ネットワークで
は、プログラム実行コンピュータは更に、アーキテクチ
ャ中立プログラムコードが所定のプログラム完全性基準
を満足することを検証することによってアーキテクチャ
中立プログラムコードの完全性を検証するアーキテクチ
ャ中立プログラム完全性検証手段を含み、実行手段は、
アーキテクチャ中立プログラムコードの完全性が検証さ
れた後に限って、アーキテクチャ特定プログラムコード
を実行するように構成してもよい。本発明のコンピュー
タネットワークでは、アーキテクチャ中立プログラムを
供給するプログラム発信コンピュータを更に備え、プロ
グラム発信コンピュータは、アーキテクチャ中立プログ
ラムコードに付加される発信パーティーのディジタル署
名を生成する署名発生手段を含み、プログラム発信コン
ピュータと連絡してプログラム発信コンピュータからア
ーキテクチャ中立プログラムを受信し、アーキテクチャ
特定プログラムをプログラム発信コンピュータへ供給す
るプログラムコンパイリングコンピュータを更に備え、
プログラム実行コンピュータはプログラム発信コンピュ
ータと連絡してプログラム発信コンピュータからアーキ
テクチャ中立プログラム及びアーキテクチャ特定プログ
ラムを受信し、プログラム実行コンピュータの署名検証
手段は、発信パーティーのディジタル署名をも検証し、
プログラム実行コンピュータは、発信パーティーのディ
ジタル署名が検証された後に限ってアーキテクチャ特定
プログラムを実行するように構成してもよい。

【００１０】また、本発明の上記目的は、コンピュータ
ネットワークを動作させる方法であって、コンパイリン
グパーティーによって作動されるプログラムコンパイリ
ングコンピュータにおいて、発信パーティーによって生
成され、アーキテクチャ中立プログラムコード、及び検
証時にアーキテクチャ中立プログラムが発信パーティー
によって署名されたことを検証する発信パーティーのデ
ィジタル署名を含むアーキテクチャ中立プログラムを受
信する段階と、発信パーティーのディジタル署名を検証
する段階と、アーキテクチャ中立プログラムをコンパイ
ラを用いてコンパイルし、発信パーティーのディジタル
署名が検証された時にアーキテクチャ特定プログラムを
生成し、そして検証時にアーキテクチャ特定プログラム
がコンパイリングパーティーによって生成されたことを
検証するコンパイリングパーティーのディジタル署名を
付加する段階と、を含み、実行パーティーによって作動
されるプログラム実行コンピュータにおいて、アーキテ
クチャ特定プログラムを受信し、アーキテクチャ中立プ
ログラムを受信または発信する段階と、コンパイリング
パーティーのディジタル署名を検証する段階と、コンパ
イラのディジタル署名が検証され、コンパイラが信頼さ
れたコンパイラの限定集合のメンバーであることが決定
された時に、アーキテクチャ特定プログラムコードを実
行する段階とを含む方法によって達成される。

【００１１】本発明の方法では、プログラムコンパイリ
ングコンピュータにおいて、検証時にアーキテクチャ特
定プログラムがコンパイラを用いて生成されたことを検
証するコンパイラのディジタル署名を生成する段階と、
アーキテクチャ特定プログラムコードにコンパイラのデ
ィジタル署名を付加する段階とを含み、プログラム実行
コンピュータにおいて、コンパイラのディジタル署名を
検証する段階と、コンパイラのディジタル署名が検証さ
れ、コンパイラが信頼されたコンパイラの限定集合のメ
ンバーであることが決定された後に限って、アーキテク
チャ特定プログラムコードを実行する段階と、を含むよ
うにしてもよい。

【００１２】本発明の方法では、発信パーティー及びコ
ンパイリングパーティーのために、ネットワークは対応
する私用暗号化キー、公開暗号化キー、及び対応するハ
ッシュ機能を含み、発信パーティーのディジタル署名
は、アーキテクチャ中立プログラムに対して発信パーテ
ィーの対応するハッシュ機能を遂行することによって生
成したアーキテクチャ中立プログラムのメッセージダイ
ジェストを含み、アーキテクチャ中立プログラムのメッ
セージダイジェストは、発信パーティーの対応する私用
キーを用いて暗号化されており、方法は、プログラムコ
ンパイリングコンピュータにおいて、（Ａ）発信パーテ
ィーの公開暗号化キーを用いてアーキテクチャ中立プロ
グラムのメッセージダイジェストを暗号解除し、（Ｂ）
アーキテクチャ中立プログラムコードに対して発信パー
ティーのハッシュ機能を遂行することによってアーキテ
クチャ中立プログラムの対応する試験メッセージダイジ
ェストを生成し、そして（Ｃ）暗号解除されたメッセー
ジダイジェストとアーキテクチャ中立プログラムの試験
メッセージダイジェストとを比較することによって発信
パーティーのディジタル署名を検証する段階と、（Ａ）
アーキテクチャ特定プログラムコードに対してコンパイ
リングパーティーの対応するハッシュ機能を遂行するこ
とによってアーキテクチャ中立プログラムのメッセージ
ダイジェストを生成し、そして（Ｂ）コンパイリングパ
ーティーの対応する私用キーを用いてアーキテクチャ特
定プログラムのメッセージダイジェストを暗号化するこ
とによってコンパイリングパーティーのディジタル署名
を生成する段階と、を含み、プログラム実行コンピュー
タにおいて、（Ａ）コンパイリングパーティーの公開キ
ーを用いてアーキテクチャ特定プログラムのメッセージ
ダイジェストを暗号解除し、（Ｂ）アーキテクチャ特定
プログラムコードに対してコンパイリングパーティーの
ハッシュ機能を遂行することによってアーキテクチャ特
定プログラムの対応する試験メッセージダイジェストを
生成し、そして（Ｃ）暗号解除されたメッセージダイジ
ェストとアーキテクチャ特定プログラムの試験メッセー
ジダイジェストとを比較することによってコンパイリン
グパーティーのディジタル署名を検証する段階と、を含
むように構成してもよい。

【００１３】本発明の方法では、プログラム実行コンピ
ュータにおいて、アーキテクチャ中立プログラムコード
が所定のプログラム完全性基準を満足することを検証す
ることによってアーキテクチャ中立プログラムコードの
完全性を検証する段階と、アーキテクチャ中立プログラ
ムコードの完全性が検証された後に限って、アーキテク
チャ特定プログラムコードを実行する段階と、を含むよ
うに構成してもよい。本発明の方法では、アーキテクチ
ャ中立プログラムを供給するプログラム発信コンピュー
タにおいて、発信パーティーのディジタル署名を生成
し、それをアーキテクチャ中立プログラムコードに付加
する段階を含み、プログラムコンパイリングコンピュー
タにおいて、プログラム発信コンピュータと連絡してプ
ログラム発信コンピュータからアーキテクチャ中立プロ
グラムを受信し、アーキテクチャ特定プログラムをプロ
グラム発信コンピュータへ供給する段階を含み、プログ
ラム実行コンピュータにおいて、プログラム発信コンピ
ュータと連絡してプログラム発信コンピュータからアー
キテクチャ中立プログラム及びアーキテクチャ特定プロ
グラムを受信する段階と、発信パーティーのディジタル
署名を検証する段階と、発信パーティーのディジタル署
名が検証された後に限ってアーキテクチャ特定プログラ
ムを実行する段階と、を含むように構成してもよい。

【００１４】本発明の方法では、プログラム実行コンピ
ュータにおいて、アーキテクチャ中立プログラムを供給
する段階と、アーキテクチャ中立プログラムに署名する
発信パーティーのディジタル署名を生成し、それをアー
キテクチャ中立プログラムコードに付加する段階と、を
含み、プログラムコンパイリングコンピュータにおい
て、プログラム実行コンピュータと連絡してプログラム
実行コンピュータからアーキテクチャ中立プログラムを
受信し、アーキテクチャ特定プログラムをプログラム実
行コンピュータへ供給する段階を含むように構成しても
よい。

【００１５】更に本発明の上記目的は、コンピュータ読
取り可能な媒体上に格納され、コンピュータによって実
行可能なコードを分配するシステムであって、コードは
各々がコンピュータの１つによって実行される少なくと
も１つの機能を遂行するように構成されている複数のモ
ジュールを含み、システムは、コンパイリングパーティ
ーによって作動され、プログラムコンパイリングコンピ
ュータと共に使用するように構成されている第１のモジ
ュールを備え、コンパイリングパーティーは、発信パー
ティーによって生成されるアーキテクチャ中立プログラ
ムを受信し、アーキテクチャ中立プログラムはアーキテ
クチャ中立プログラムコード及び発信パーティーのディ
ジタル署名を含み、ディジタル署名は検証時にアーキテ
クチャ中立プログラムが発信パーティーによって署名さ
れたことを検証するようになっており、第１のモジュー
ルは、発信パーティーのディジタル署名を検証する署名
検証手段と、発信パーティーのディジタル署名が検証さ
れた時に、（Ａ）アーキテクチャ中立プログラムコード
をアーキテクチャ特定言語でアーキテクチャ特定プログ
ラムコードにコンパイルし、（Ｂ）検証時にアーキテク
チャ特定プログラムがコンパイリングパーティーによっ
て生成されたことを検証するコンパイリングパーティー
のディジタル署名を付加することによってアーキテクチ
ャ特定プログラムを生成するコンパイラと、コンパイリ
ングパーティーのディジタル署名を生成する署名発生手
段と、を含み、実行パーティーによって作動され、プロ
グラム実行コンピュータと共に使用される第２のモジュ
ールを更に備え、実行パーティーはアーキテクチャ特定
プログラムを受信し、アーキテクチャ中立プログラムを
受信または発信し、第２のモジュールは、コンパイリン
グパーティーのディジタル署名を検証する署名検証手段
と、コンパイリングパーティーの署名が検証され、コン
パイリングパーティーが信頼されたコンパイリングパー
ティーの限定集合のメンバーである時に、アーキテクチ
ャ特定言語で書かれたアーキテクチャ特定プログラムコ
ードを実行する実行手段と、を含むシステムによって達
成される。

【００１６】本発明のシステムでは、署名発生手段は、
検証時にアーキテクチャ特定プログラムがコンパイラを
用いて生成されたことを検証するコンパイラのディジタ
ル署名を生成し、第１のモジュールは、アーキテクチャ
特定プログラムコードをコンパイラのディジタル署名に
付加し第２のモジュールの署名検証手段は、コンパイラ
のディジタル署名を検証し、第２のモジュールの実行手
段は、コンパイラのディジタル署名が検証され、コンパ
イラが信頼されたコンパイラの限定集合のメンバーであ
ることが決定された後に限って、アーキテクチャ特定プ
ログラムコードを実行するように構成してもよい。

【００１７】本発明のシステムでは、発信パーティー及
びコンパイリングパーティーのために、システムは対応
する私用暗号化キー、公開暗号化キー、及び対応するハ
ッシュ機能を含み、発信パーティーのディジタル署名
は、アーキテクチャ中立プログラムに対して発信パーテ
ィーの対応するハッシュ機能を遂行することによって生
成したアーキテクチャ中立プログラムのメッセージダイ
ジェストを含み、アーキテクチャ中立プログラムのメッ
セージダイジェストは、発信パーティーの対応する私用
キーを用いて暗号化されており、第１のモジュールの署
名検証手段は、（Ａ）発信パーティーの公開暗号化キー
を用いてアーキテクチャ中立プログラムのメッセージダ
イジェストを暗号解除し、（Ｂ）アーキテクチャ中立プ
ログラムコードに対して発信パーティーのハッシュ機能
を遂行することによってアーキテクチャ中立プログラム
の対応する試験メッセージダイジェストを生成し、そし
て（Ｃ）暗号解除されたメッセージダイジェストとアー
キテクチャ中立プログラムの試験メッセージダイジェス
トとを比較することによって発信パーティーのディジタ
ル署名を検証させる命令を含み、第１のモジュールの署
名発生手段は、（Ａ）アーキテクチャ特定プログラムコ
ードに対してコンパイリングパーティーの対応するハッ
シュ機能を遂行することによってアーキテクチャ中立プ
ログラムのメッセージダイジェストを生成し、そして
（Ｂ）コンパイリングパーティーの対応する私用キーを
用いてアーキテクチャ特定プログラムのメッセージダイ
ジェストを暗号化することによってコンパイリングパー
ティーのディジタル署名を生成させるための命令を含
み、第２のモジュールの署名検証手段は、（Ａ）コンパ
イリングパーティーの対応する公開キーを用いてアーキ
テクチャ特定プログラムのメッセージダイジェストを暗
号解除し、（Ｂ）アーキテクチャ特定プログラムコード
に対してコンパイリングパーティーのハッシュ機能を遂
行することによってアーキテクチャ特定プログラムの対
応する試験メッセージダイジェストを生成し、そして
（Ｃ）暗号解除されたメッセージダイジェストとアーキ
テクチャ特定プログラムの試験メッセージダイジェスト
とを比較することによってコンパイリングパーティーの
ディジタル署名を検証させる命令を含むように構成して
もよい。

【００１８】

【作用】要約すれば、本発明は、プログラムコンパイリ
ングコンピュータ及びプログラム実行コンピュータを備
えているコンピュータネットワークである。プログラム
コンパイリングコンピュータは、コンパイリングパーテ
ィーによって作動され、発信パーティーによって生成さ
れたアーキテクチャ中立プログラムを格納する記憶シス
テムを含んでいる。アーキテクチャ中立プログラムは、
アーキテクチャ中立プログラムコード及び発信パーティ
ーのディジタル署名を含む。プログラムコンパイリング
コンピュータは、発信パーティーのディジタル署名を検
証して発信パーティーのディジタル署名が（該署名が結
びつけられている）アーキテクチャ中立プログラムと、
発信パーティーの署名とが一致する（即ち、該署名を使
用して生成された）ことを検証する署名検証手段をも含
んでいる。

【００１９】プログラムコンパイリングコンピュータ
は、コンパイラを更に含んでいる。このコンパイラは、
発信パーティーのディジタル署名が検証された時に、ア
ーキテクチャ中立プログラムコードを、情報のコンパイ
ルによって識別されたアーキテクチャ特定言語でアーキ
テクチャ特定プログラムコードにコンパイルする。コン
パイラは、署名発生手段を使用してアーキテクチャ特定
プログラムコードにコンパイラプログラムのディジタル
署名を付加する（このコンパイラ署名は、コンパイルさ
れたアーキテクチャ特定プログラムコード＋アーキテク
チャ中立プログラム上の署名を含む情報のセットを署名
する）。好ましい実施例では、コンパイラは署名発生手
段を使用して、アーキテクチャ特定プログラムコードに
コンパイリングパーティーのディジタル署名をも付加す
る（このコンパイリングパーティー署名は、コンパイル
されたアーキテクチャ特定プログラムコードと、アーキ
テクチャ中立プログラム上の署名と、コンパイラ署名と
を含む情報のセットを署名する）。

【００２０】プログラム実行コンピュータは、実行パー
ティーによって作動され、アーキテクチャ中立プログラ
ム及びアーキテクチャ特定プログラムを格納する記憶手
段を含んでいる。プログラム実行コンピュータは更に、
（Ａ）アーキテクチャ中立プログラム内の発信パーティ
ーのディジタル署名を検証し、（Ｂ）アーキテクチャ特
定プログラム内のコンパイラのディジタル署名、及び／
またはアーキテクチャ特定プログラム内のコンパイリン
グパーティーのディジタル署名を検証する署名検証手段
をも含んでいる。「署名を検証する」とは、ある手順が
遂行されてその署名が、その署名によって署名されてい
る情報のセットと一致する（即ち、実際にそれから生成
された）と決定することを意味する。プログラム実行コ
ンピュータは更に、アーキテクチャ特定プログラム実行
手段をも含む。このアーキテクチャ特定プログラム実行
手段は、アーキテクチャ特定プログラム内のディジタル
署名が検証されると、そのアーキテクチャ特定プログラ
ムのアーキテクチャ特定プログラムコードを実行する。

【００２１】好ましい実施例では、アーキテクチャ中立
プログラムは、それに独特に関連付けられたメッセージ
ダイジェストを含むディジタル署名を含むオブジェクト
内に実現されている。コンパイラによって生成されたア
ーキテクチャ特定プログラムは、 ＊ コンパイルされた、アーキテクチャ特定コード、 ＊ アーキテクチャ中立プログラムを供給したパーティ
ーによって署名された対応するアーキテクチャ中立プロ
グラムのディジタル署名、 ＊ コンパイルされたプログラムのメッセージダイジェ
スト及びプログラムをコンパイルするのに使用したコン
パイラを識別する情報を含み、コンパイラの私用暗号化
キーを使用して署名されたコンパイラ自身によるディジ
タル署名、 ＊ コンパイルされたプログラムのメッセージダイジェ
スト及び信頼されたパーティーを識別する情報を含み、
コンパイリングパーティーの私用暗号化キーを使用して
署名されたコンパイルを遂行する信頼されたパーティー
によるディジタル署名、を含む。

【００２２】ネーミングサービスと呼ばれることがあ
る、広く使用可能な公開暗号化キーの信頼されたストレ
ージ（貯蔵）手段は、コンパイラ及び信頼されたコンパ
イリングパーティーのための公開キーを保持している。
これらの公開キーを使用して、コンパイルされたプログ
ラムの全ての受信手段は、コンパイルされたプログラム
内のディジタル署名を暗号解除し、そのコンパイルされ
たプログラムが指示された信頼されたパーティーによっ
て、及び指示されたコンパイラによってコンパイルされ
たこと、並びに対応するアーキテクチャ中立プログラム
のアイデンティティを検証することができる。本発明の
付加的な目的及び特色は、以下の添付図面に基づく詳細
な説明からより容易に明白になるであろう。

【００２３】

【実施例】図１に、多くの顧客コンピュータ１０２、サ
ーバコンピュータ１０４、及び信頼されたキーストレー
ジ手段１０６を有するコンピュータネットワーク１００
を示す。顧客コンピュータ１０２はネットワーク通信接
続１０８を介して互いに、及びサーバコンピュータ１０
４及び信頼されたキーストレージ手段１０６に接続され
ている。ネットワーク通信接続１０８は、ローカルまた
はワイドエリアネットワーク、インタネット、これらの
ネットワークの組合わせ、または他の型のネットワーク
通信接続であって差し支えない。殆どの顧客コンピュー
タ１０２は、サン( Sun ) ワークステーション、ＩＢＭ
コンパチブルコンピュータ、及びマッキントッシュコン
ピュータのようなデスクトップコンピュータであるが、
実質的にどのような型のコンピュータも顧客コンピュー
タであることができる。これらの各顧客コンピュータ
は、ＣＰＵ１１０、ユーザインタフェース１１２、メモ
リ１１４、及びネットワーク通信インタフェース１１６
を含んでいる。ネットワーク通信インタフェースは、顧
客コンピュータがネットワーク通信接続１０６を介して
互いに、サーバコンピュータ１０４と、及び信頼された
キーストレージ手段１０８と通信できるようにする。

【００２４】各顧客コンピュータ１０２のメモリ１１４
は、オペレーティングシステム１１８、ネットワーク通
信管理手段１２０、ＡＮプログラム（アーキテクチャ中
立プログラム）実行手段１２２、ＡＳプログラム（アー
キテクチャ特定プログラム）実行手段１２４、ＡＮプロ
グラム完全性検証手段１２６、ＡＮプログラムコンパイ
リング準備手段( preparer )１２８、署名発生手段１３
０、署名検証手段１３２、コンパイリング情報検証手段
１３４、オブジェクトクラスローダ１３６、ユーザアド
レス空間１３８、信頼されたオブジェクトクラスストレ
ージ手段１４０、信頼されないオブジェクトクラススト
レージ手段１４２、既知の信頼されたコンパイリングパ
ーティー及び信頼されたコンパイラのリスト１４４を格
納している。オペレーティングシステムはＣＰＵ１１０
上で走り、ユーザがユーザインタフェース１１２を使用
して発行したコマンドに応答してＣＰＵ上のプログラム
１２０−１３６を制御し、調整する。

【００２５】各顧客コンピュータ１０２のＡＮプログラ
ム実行手段１２２は、信頼されたオブジェクトクラスス
トレージ手段１４０及び信頼されないオブジェクトクラ
スストレージ手段１４２内に格納されているオブジェク
トクラス内のＡＮプログラムを実行する。更に、ＡＮプ
ログラムは、ユーザがスタック及びデータ使用制限のよ
うな所定の完全性基準を確立できるＡＮ言語で書かれて
いるので、ＡＮプログラムは不当なタスクを遂行しな
い。従ってＡＮプログラムの完全性は、実行の前に、こ
のプログラムが所定の完全性基準を満足しているか否か
を決定することによって、ＡＮプログラム完全性検証手
段１２６によって直接検証することができる。従ってこ
れらのＡＮプログラムは、完全性検証可能ＡＮプログラ
ムと考えられる。

【００２６】好ましい実施例では、完全性検証可能ＡＮ
プログラムは Java バイトコード言語で書かれている。
更に、ＡＮプログラム実行手段１２２、及びＡＮプログ
ラム検証手段１２４はそれぞれ、 Java バイトコードプ
ログラムを実行する Java バイトコードプログラムイン
タプリタ、及び Java バイトコードプログラムを検証す
る Java バイトコードプログラム検証手段である。 Jav
a バイトコードプログラム検証手段及びインタプリタ
は、Sun Microsystems, Inc.の製品である。しかしなが
ら各顧客コンピュータ１０２は、対応するＡＳ言語でプ
ログラムを書くことができ、ＡＳプログラム実行手段１
２４によって実行させることができる関連特定アーキテ
クチャを有している。ＡＳ言語は、ＡＳ言語で書かれた
ＡＳプログラムがＡＮ言語の所定の完全性基準を満足す
ることを要求しない。その結果ＡＳプログラムは、ＡＮ
プログラムによっては遂行することができないタスクを
遂行することができる（何故ならそれらは、ＡＮ言語の
所定の完全性基準によって負わされる制限によって悩ま
されないからである）。しかしながら不幸にもこれは、
それらの完全性がＡＮプログラム完全性検証手段１２６
によって直接検証することができず、従って完全性を検
証できないと考えられることも意味している。

【００２７】それにも拘わらず前述したようにＡＮプロ
グラムは、ＡＳ言語でコンパイルされた同一プログラム
よりも非効率的に走る。従って顧客コンピュータ１０２
のユーザは、ユーザの顧客コンピュータに関連するＡＳ
言語のためのサーバコンピュータ１０４によってコンパ
イルされたＡＮプログラムを持ち、それによってコンパ
イルされたＡＳプログラムをＡＳプログラム実行手段１
２４によって実行できるように願うかも知れない。また
は、もしコンパイルされたＡＳプログラムが分配され、
他の顧客コンピュータのＡＳプログラム実行手段１２４
によって実行される予定であれば、ユーザは、他のコン
ピュータに関連するＡＳ言語のためにコンパイルされた
ＡＮプログラムを持ちたいと願うかも知れない。 コンパイルのためにアーキテクチャ中立プログラムの準
備 図１及び２を参照する。発信パーティーがサーバコンピ
ュータ１０４によってコンパイルされたＡＮプログラム
２００を持つことを願う場合、発信パーティーはユーザ
インタフェース１１２を使用してコマンドを発行してＡ
Ｎプログラムコンパイリング準備手段１２８を呼出し、
コンパイルのためにＡＮプログラムを準備するようにそ
れに命令する。ＡＮプログラムは、信頼されたオブジェ
クトクラスストレージ手段１４０、または信頼されない
オブジェクトクラスストレージ手段１４２の一方内に含
まれているオブジェクトクラス内にあることができる。
表１は、サーバコンピュータ１０４によってコンパイル
されるＡＮプログラムを準備するためにＡＮプログラム
コンパイリング準備手段１２８が使用する手順の擬似コ
ード表現を含んでいる。表１−３に使用されている擬似
コードは、ユニバーサルコンピュータ言語協定を使用し
ている。ここに使用されている擬似コードは、この説明
の目的のためだけに開発したものであるが、この技術に
精通するコンピュータプログラマならば容易に理解でき
よう。

【００２８】図１及び２、及び表１を参照する。ＡＮプ
ログラムコンパイリング準備手段１２８は先ずＡＮプロ
グラム完全性検証手段１２６を呼出し、ＡＮプログラム
２００のＡＮプログラムコード２０２の完全性を検証す
るようにそれに命令する。これは、コンパイルのために
サーバコンピュータ１０４へ送られる前に、ＡＮプログ
ラムコードがＡＮ言語の所定の完全性基準を満足してお
くようにするために行われるのである。もしＡＮプログ
ラムコードが所定の完全性基準を満足しなければ、ＡＮ
プログラム完全性検証手段はＡＮプログラムコンパイリ
ング準備手段へ不合格結果を送り返す。それに応答して
ＡＮプログラムコンパイリング準備手段はコンパイリン
グ準備手順を打切り、これを指示する適切なメッセージ
を生成する。

【００２９】しかしながら、もしＡＮプログラムコード
２０２が所定の完全性基準を満足していれば、ＡＮプロ
グラム完全性検証手段１２６はＡＮプログラムコンパイ
リング準備手段１２８へ合格結果を送り返す。次いでＡ
Ｎプログラムコンパイリング準備手段１２８は署名発生
手段１３０を呼出し、発信パーティーのディジタル署名
OP２１０を生成するようにそれに命令する。このディジ
タル署名は、ＡＮプログラム２００が信頼された発信パ
ーティーによって生成されたものであることを確認する
ために検証することができる。署名発生手段は、まずＡ
Ｎプログラムコード２０２のメッセージダイジェストOP
２１２を生成することによってディジタル署名OPを生成
する。これは、ＡＮプログラムコードのデータビットに
対するハッシュ機能OPを計算することによって行われ
る。使用するハッシュ機能は、所定のハッシュ機能であ
っても、または発信パーティーによって選択されたハッ
シュ機能であってもよい。説明の目的からハッシュ機能
OPは発信パーティーに対応させているが、それはハッシ
ュ機能を発信パーティのディジタル署名OPのために使用
したからである。

【００３０】次いで署名発生手段１３０は、生成したメ
ッセージダイジェストOP２１２及びハッシュ機能OPＩＤ
２１４を、発信パーティの私用暗号化キーを用いて暗号
化する。次に署名発生手段は、発信パーティーＩＤ２１
６を明文で、暗号化された項目２１２及び２１４の終わ
りに付加してディジタル署名OPを形成する。発信パーテ
ィー私用キー及びＩＤは、発信パーティーによってユー
ザインタフェース１１２に供給される。ディジタル署名
OP２１０を生成した後に、ＡＮプログラムコンパイリン
グ準備手段１２８は、それをＡＮプログラムコード２０
２へ追加する。次いで、ＡＮプログラムコンパイリング
準備手段１２８は、ＡＮプログラム２００がサーバコン
ピュータ１０４によってコンパイルするために準備され
たことを指示するメッセージを生成する。

【００３１】次に、発信パーティーは、ユーザインタフ
ェース１１２を用いてネットワーク通信管理手段１２０
へコマンドを発行し、ＡＮプログラム２００を、そのプ
ログラムをコンパイルするアーキテクチャ特定言語を指
定する引き数（ＡＳ言語ＩＤ）及び使用するコンパイラ
（コンパイラＩＤ）と共に、サーバコンピュータ１０４
へ伝送させる。ネットワーク通信管理手段は、信頼され
たオブジェクトクラスストレージ手段１４０、または信
頼されないオブジェクトクラスストレージ手段１４２の
中に位置しているＡＮプログラムを検索し、それをネッ
トワーク通信インタフェース１１６へ供給する。次いで
ネットワーク通信管理手段は、ネットワーク通信インタ
フェースに命令してＡＮプログラムを、特定の引き数と
共にサーバコンピュータへ伝送させる。

【００３２】アーキテクチャ中立プログラムのコンパイ
リング 伝送されたＡＮプログラム２００はサーバコンピュータ
１０４において受信される。サーバコンピュータは、Ｃ
ＰＵ １５０、ユーザインタフェース１５２、メモリ１
５４、及びネットワーク通信インタフェース１５６を含
んでいる。ネットワーク通信インタフェースは、サーバ
コンピュータがネットワーク通信接続１０８を介して顧
客コンピュータ１０２及び信頼されたキーストレージ手
段１０６と通信できるようにする。サーバコンピュータ
１０４のメモリ１５４は、オペレーティングシステム１
５８、ネットワーク通信管理手段１６０、ＡＮプログラ
ムコンパイラ１６２、署名検証手段１６４、ＡＮプログ
ラム完全性検証手段１６６、署名発生手段１６８、ＡＮ
プログラムストレージ手段１７０、及びＡＳプログラム
ストレージ手段１７２を格納している。オペレーティン
グシステムはＣＰＵ１５０上で走り、コンパイリングパ
ーティーがユーザインタフェース１５２を用いて発行し
たコマンドに応答して、ＣＰＵ上でのプログラム１６０
−１６８の走りを制御し、調整する。

【００３３】ネットワーク通信インタフェース１５６は
ＡＮプログラムを受信し、ネットワーク通信管理手段１
６０にこれが行われたことを指示する。それに応答して
ネットワーク通信管理手段は、受信したＡＮプログラム
をＡＮプログラムストレージ手段１７０内に配置する。
サーバ１０４が自動コンパイラサービスとしてセットア
ップされていれば、これはネットワーク通信管理手段１
６０によって自動的に行われる。そうでない場合には、
コンパイリングパーティーがユーザインタフェースを用
いてコマンドを発行すると、ネットワーク通信管理手段
によってストレージ手段１７０内へ移動させられる。次
いで、自動的に、またはコンパイリングパーティーがユ
ーザインタフェース２５２を用いてコマンドを発行する
と、ＡＮプログラム２００をコンパイルするためにＡＮ
プログラムコンパイラ１６２が呼出される。表２は、Ａ
ＮプログラムをコンパイルするためにＡＮプログラムコ
ンパイラが使用するコンパイル手順の擬似コード表現を
含んでいる。

【００３４】図１−２、及び表２を参照する。ＡＮプロ
グラムコンパイラ１６２は先ず署名検証手段１６４を呼
出し、受信したＡＮプログラム２００内のディジタル署
名OP２１０を検証させ、ディジタル署名OP２１０がその
ＡＮプログラムのための発信パーティーの署名であるこ
とを確認させる（例えば、ＡＮプログラムの他のバージ
ョン上の捏造署名または発信パーティー署名であること
を見抜くために）。詳しく述べれば、署名検証手段は、
受信したＡＮプログラム内の「明文テキスト発信パーテ
ィＩＤ」２１６を使用して信頼されたキーストレージ手
段１０６から発信パーティの私用キーを入手する。次い
で署名検証手段は、発信パーティの暗号化された公開キ
ーを使用してディジタル署名OP内に暗号化されているメ
ッセージダイジェストOP２１２及びハッシュ機能OPＩＤ
２１４を暗号解除する。

【００３５】次に、署名検証手段１６４は、受信したＡ
Ｎプログラム２００のＡＮプログラムコード２０２に対
する対応ハッシュ機能OPを計算することによって、暗号
解除されたメッセージダイジェストOP２１２と突き合わ
される試験メッセージダイジェストOPを生成する。暗号
解除されたディジタル署名OPは、使用すべき適切なハッ
シュ機能OPを識別するのに使用される。次いで暗号解除
されたメッセージダイジェストOPと、生成された試験メ
ッセージダイジェストOPとが比較されてディジタル署名
OP２１０が検証される。もしメッセージダイジェストOP
２１２と試験メッセージダイジェストOPとが一致しなけ
れば、署名検証手段１６４はＡＮプログラムコンパイラ
１６２へ不合格結果を送り返す。それに応答してＡＮプ
ログラムコンパイラはコンパイリング手順を打切り、適
切なメッセージを生成する。

【００３６】一方、もしメッセージダイジェストOPと試
験メッセージダイジェストOPとが一致すれば、署名検証
手段１６４はＡＮプログラムコンパイラ１６２へ合格結
果を送り返し、ＡＮプログラムコンパイラはＡＮプログ
ラム完全性検証手段１６６を呼出す。ＡＮプログラムコ
ンパイラはＡＮプログラム完全性検証手段に命令し、受
信したＡＮプログラム２００のＡＮプログラムコード２
０２の完全性を検証させる。これは、前述したコンパイ
リングのためのＡＮプログラムの準備で説明したのと同
じ手法で、また同じ目的で行われる。従って、もしＡＮ
プログラムコードが所定の完全性基準を満足しなけれ
ば、ＡＮプログラム完全性検証手段はＡＮプログラムコ
ンパイラへ不合格結果を送り返す。それに応答してＡＮ
プログラムコンパイラはコンパイリング手順を打切り、
そのことを指示する適切なメッセージを生成する。

【００３７】しかしながら、もし受信したＡＮプログラ
ム２００のＡＮプログラムコード２０２が所定の完全性
基準を満足すれば、ＡＮプログラム完全性検証手段１６
６はＡＮプログラムコンパイラ１６２へ合格結果を送り
返す。そこでＡＮプログラムコンパイラはＡＮプログラ
ムコードを、発信パーティーによって指定されたＡＳ言
語ＩＤによって識別されたＡＳ言語にコンパイルする。
図１−３及び表２を参照する。コンパイラはＡＮプログ
ラムコード２０２、ディジタル署名OP２１０、及びコン
パイルされたＡＳプログラムコード３０２を、ＡＳプロ
グラムストレージ手段１７２内に格納されているＡＳプ
ログラム３００内に配置する。次いでＡＮプログラムコ
ンパイラ１６２は署名発生手段１６８を呼出し、ＡＮプ
ログラムコンパイラのディジタル署名C を生成するよう
に命令する（このディジタル署名は、ＡＳプログラム３
００が信頼されたＡＮプログラムコンパイラによりコン
パイルされたことを確認するために検証することができ
る）。これは、前述したディジタル署名OPを生成するの
と同じ手法で行うことができる。しかしながらこの場合
には、署名された情報のセットはＡＳプログラムコード
及びディジタル署名OPである。対応するハッシュ機能C
ＩＤ３２４と共に別の所定のハッシュ機能を使用して、
ディジタル署名C によって署名される情報のセットのメ
ッセージダイジェストC ３２２を生成することができ、
ＡＮプログラムコンパイラの私用暗号化キーを使用して
このメッセージダイジェストC 及びハッシュ機能CＩＤ
を暗号化し、そしてＡＮプログラムコンパイラのＩＤが
明文で、暗号化されたメッセージダイジェストC 及びハ
ッシュ機能C の終わりに付加される。コンパイラの私用
キー及びＩＤはＡＮプログラムコンパイラによって供給
される。

【００３８】ＡＮプログラムコンパイラ１６２は再度署
名発生手段１６８を呼出し、コンパイリングパーティー
のディジタル署名CP３１２を生成させる（このディジタ
ル署名は、ＡＳプログラム３００が信頼されたコンパイ
リングパーティーによりコンパイルされたことを確認す
るためにエンドユーザによって検証することができ
る）。これは、前述した（ＡＮプログラムのコンパイリ
ングの項において説明した）ディジタル署名CPを生成す
る手法と同じようにして行うことができる。しかしなが
らこの場合は、ディジタル署名CPのために生成されたメ
ッセージダイジェストCP３１４は、ＡＳプログラムコー
ド、ディジタル署名OP、及びディジタル署名C のデータ
ビットに対する所定の、または選択されたハッシュ機能
CPを計算することによって生成される。ハッシュ機能OP
と同様に、この説明の目的から、ハッシュ機能CPはコン
パイリングパーティーに対応させてある（何故ならば、
これはコンパイリングパーティーのディジタル署名CPの
ために使用されていたからである）。

【００３９】次いで署名発生手段１６８はコンパイリン
グパーティーの私用暗号化キーを使用してメッセージダ
イジェストCP３１４及びハッシュ機能CPのＩＤ３１６を
暗号化する。次に署名発生手段は、コンパイリングパー
ティーのＩＤ３１８を明文で、暗号化された項目３１４
及び３１６の終わりに付加してディジタル署名CPを形成
する。コンパイリングパーティーの私用キー及びＩＤ
は、ユーザインタフェース１５２を用いてコンパイリン
グパーティーから供給される。ディジタル署名C ３２０
及びディジタル署名CP３１２を生成した後に、ＡＮプロ
グラムコンパイラ１６２はそれらをＡＳプログラムコー
ド３０２に追加するので、得られたコンパイルされたＡ
Ｓプログラムファイルまたはオブジェクトは、以下の成
分をその中に有している。

【００４０】ＡＮプログラムコード、ディジタル署名O
P、ＡＳプログラムコード、ディジタル署名C 、及びデ
ィジタル署名CP。次に、ＡＮプログラムコンパイラは、
ＡＮプログラム２００がコンパイルされてＡＳプログラ
ム３００が形成され発信パーティーに送る準備が整って
いることを指示するメッセージを生成する。次いで発信
パーティーは、ネットワーク通信管理手段１６０を使用
してＡＳプログラム３００を発信パーティーの顧客コン
ピュータ１０２へ伝送する。ネットワーク通信管理手段
は、ＡＳプログラムストレージ手段１７２内に位置して
いるＡＳプログラムを検索し、それをネットワーク通信
インタフェース１５６へ供給することによってそれを行
う。次にネットワーク通信管理手段は、ネットワーク通
信インタフェースに命令してＡＳプログラムを発信パー
ティーの顧客コンピュータへ伝送させる。

【００４１】オブジェクト及びオブジェクトクラス作成
及び分配 次いで伝送されたＡＳプログラム３００は、発信パーテ
ィーの顧客コンピュータの通信インタフェース１１６に
よって受信され、ネットワーク通信管理手段１２０にそ
のことを指示する。それに応答して発信パーティーはユ
ーザインタフェース２５２を用いてコマンドを発行し、
ネットワーク通信インタフェースから受信したＡＳプロ
グラムを検索するようにネットワーク通信管理手段に命
令する。それによりネットワーク管理手段は、受信した
ＡＳプログラムを発信パーティーの顧客コンピュータの
信頼されないオブジェクトクラスストレージ手段１４２
内に配置する。これが行われた後に発信パーティーは、
受信したＡＳプログラムを将に１つの方法（即ち、コン
パイルされたプログラムコード）で新しいオブジェクト
クラスとして処理することができるか、またはＡＳプロ
グラム３００及び他のＡＮプログラム及びＡＳプログラ
ムを含むオブジェクトクラスを作成することができる。

【００４２】図４に、本発明による典型的なオブジェク
トクラス４００を示す。オブジェクトクラスは、１また
はそれ以上のＡＳプログラム４０２及び／または１また
はそれ以上のＡＮプログラム４０４、並びに仮想機能テ
ーブル４１０を含むことができる。仮想機能テーブル
は、各ＡＳプログラム毎に、それがＡＮ言語によってで
はないＡＳプログラム（即ち、ネイティブプログラム）
であることを指示する対応ＩＤ（ネイティブ ＡＳプロ
グラムＩＤ）４１２と、ネイティブプログラムを指し示
す対応ポインタ４１４とを含んでいる。同様に各ＡＮプ
ログラム毎に、仮想機能テーブルは、対応ＩＤ（ＡＮプ
ログラムＩＤ）４１６と、ＡＮプログラムを指し示す対
応ポインタ４１８とを含んでいる。このオブジェクトク
ラスの各オブジェクト４２０は、オブジェクトクラス４
００を指し示すオブジェクトヘッダ４２２を含んでい
る。

【００４３】これにより、発信パーティーは、オブジェ
クトクラス内のＡＳプログラム４０２の１つとしてサー
バコンピュータ１０４から受信したＡＳプログラム３０
０を用いて、オブジェクト４２０及びオブジェクトクラ
ス４００を作成することができる。発信パーティーがオ
ブジェクト、及びＡＳプログラム３００及びＡＮプログ
ラムを含むオブジェクトクラスを種々の実行パーティー
に分配することを望む場合は、発信パーティーはユーザ
インタフェース１１２を用いてコマンドを発行し、これ
らの項目を実行パーティーの顧客コンピュータ１０２へ
伝送するようにネットワーク通信管理手段に命令する。
ネットワーク通信管理手段は、それらが位置している信
頼されないオブジェクトクラスストレージ手段１４２を
検索し、それらを適切な伝送命令と共にネットワーク通
信インタフェース１１６へ供給することによってそれを
行う。代替として、発信パーティーのネットワーク通信
管理手段は、指定されたオブジェクトクラス４００のコ
ピーに関して実行パーティーによって指示された要求に
応答してもよい。

【００４４】オブジェクトクラス内のアーキテクチャ中
立プログラム及びアーキテクチャ特定プログラムの実行 顧客コンピュータ１０２のネットワーク通信インタフェ
ース１５６は、伝送されたオブジェクト及びオブジェク
トクラスを受信し、この受信が行われたことをネットワ
ーク通信管理手段１６０に指示する。それに応答して実
行パーティーはユーザインタフェース１１２を使用して
コマンドを発行し、ネットワーク通信インタフェースか
ら受信したオブジェクト及びオブジェクトクラスを検索
するようにネットワーク通信管理手段に命令する。次い
でネットワーク通信管理手段は、受信したオブジェクト
及びオブジェクトクラスを信頼されないオブジェクトク
ラスストレージ手段１４２内に格納する。

【００４５】各顧客コンピュータ１０２の信頼されない
オブジェクトクラスストレージ手段１４２は、オブジェ
クト及び信頼されないそれらの関連オブジェクトクラス
を含む。これらのオブジェクトクラスは、どのＡＮプロ
グラムも未だにそれらの完全性を検証されておらず、ま
たどのＡＳプログラムもそれらの源が検証されてもいな
いし、または適正なＡＮプログラムからコンパイルされ
たものであるとの検証も受けていなから信頼されないの
である。各顧客コンピュータの信頼されたオブジェクト
クラスストレージ手段１４０は、オブジェクト及びそれ
らの信頼されたオブジェクトクラスを含んでいる。これ
らのオブジェクトクラスは、それらが含むどのＡＮプロ
グラムも既にＡＮプログラム完全性検証手段１３６によ
って完全性が検証済みであり、またそれらが含むどのＡ
Ｓプログラムも信頼できることが確認されているので信
頼されるのである。実際にこれらのオブジェクトクラス
は信頼されており、従ってこれらのオブジェクトクラス
に対して完全性の検証を遂行する理由がないので、信頼
されたオブジェクトクラスストレージ手段１４０内の若
干の、または全てのオブジェクトクラスはディジタル署
名を有する必要はない。

【００４６】先に示唆したように、本質的に全ての正当
なタスクがオブジェクトクラスを用いて遂行できるよう
に、主としてＡＮプログラムを含むがＡＳプログラムを
も含むことができるオブジェクトクラスを持つことが望
ましい。従って、ＡＮプログラム実行手段１２２は完全
性検証可能なＡＮプログラムを実行し、またＡＳプログ
ラム実行手段を呼出し、（１）信頼されたオブジェクト
クラスストレージ手段１４０内の信頼されたオブジェク
トクラス内にあるか、または（２）信頼されないオブジ
ェクトクラスストレージ手段１４２内の信頼されないオ
ブジェクトクラス内にあって検証可能なディジタル署名
OP、ディジタル署名CP、及びディジタル署名C 情報を有
する完全性検証不能なＡＳプログラムを実行させること
が可能であるので、本質的に全ての正当なタスクを遂行
することができる。このようにして、ディジタル署名O
P、ディジタル署名CP、及びディジタル署名C 情報を有
していないか、またはそれらのディジタル署名が検証不
能な信頼されないオブジェクトクラスのＡＳプログラム
が実行されるのを防止している。表３は、ＡＮプログラ
ム実行手段が使用する実行手順の擬似コード表現を含ん
でいる。

【００４７】図１−４及び表３を参照する。実行パーテ
ィー（例えば、発信パーティーまたは他のパーティー）
の顧客コンピュータ１０２において、ＡＮプログラム実
行手段１２２は指定されたオブジェクトクラス内のある
方法を呼出すことを探索するＡＮプログラムを実行する
ことができる。この方法呼出しは、始めは、オブジェク
トクラスが既にロード済みであるか否かを決定するオブ
ジェクトクラスローダ１３６によって取り扱われる。オ
ブジェクトクラスが既に実行パーティーのユーザアドレ
ス空間１３８内にロードされている場合には、呼出され
た方法がＡＮプログラムであればＡＮプログラム実行手
段１２２がその呼出された方法を実行し、呼出された方
法がＡＳプログラムであればＡＳプログラム実行手段１
２４がその呼出された方法を実行する。

【００４８】しかしながら、もしオブジェクトクラスが
未だに実行パーティーのユーザアドレス空間１３８内に
ロードされていなければ、オブジェクトクラスローダ１
３６はそのオブジェクトクラスを実行パーティーのアド
レス空間内にロードし、その呼出された方法の実行が許
可されているか否かを決定する。例えば、もしオブジェ
クトクラスが信頼されたオブジェクトクラスストレージ
手段１４０からロードされていれば呼出された方法の実
行は許容されており、実行手順が呼出される。実行手順
（表３参照）は、もし呼出された方法がＡＮプログラム
であればＡＮプログラム実行手段１２２を呼出し、そう
でなければＡＳプログラム実行手段１２４を呼出して呼
出された方法を実行させる。しかしながら、もしそのオ
ブジェクトクラスが信頼されないオブジェクトクラスス
トレージ手段１４２からロードされていれば、クラスロ
ーダ１３６はそのオブジェクトのオブジェクトヘッダを
調べ、そのオブジェクトクラスがＡＳプログラムを含ん
でいるか否かを決定する。これは、そのオブジェクトの
仮想機能テーブル内にネイティブ ＡＳプログラムＩＤ
が存在するか否かを決定することによって行われる。

【００４９】もしオブジェクトクラス内にＡＳプログラ
ムが存在していなければ、クラスローダ１３６はＡＮプ
ログラム完全性検証手段１２６を呼出してオブジェクト
クラス内のＡＮプログラムの完全性を検証させる。これ
は、前述したＡＮプログラム２００の完全性を検証する
手法（ＡＮプログラムのコンパイリングに関して説明し
た手法）と同じ手法で行われる。従って、もしＡＮプロ
グラムの何れかの完全性が検証されなければ、ＡＮプロ
グラム完全性検証手段は不合格結果をクラスローダへ送
り返し、クラスローダはクラスローディング手順を打切
り、そのことを指示する適切なメッセージを生成する。
一方、もしＡＮプログラム完全性がオブジェクトクラス
のＡＮプログラムの全てが検証に合格であることを指示
する合格結果を送り返せば、クラスローダは呼出された
方法の実行を可能にする。

【００５０】もしオブジェクトクラス内にＡＳプログラ
ムが存在していれば、クラスローダ１３６は署名検証手
段１３２を呼出してコンパイラ署名である「ディジタル
署名C 」及びコンパイリングパーティー署名である「デ
ィジタル署名CP」を検証させる。もしＡＳプログラムの
何れもが「ディジタル署名CP」及び「ディジタル署名C
」を含んでいなければ、ＡＳプログラムの源の完全性
は検証されず、従って署名検証手段はＡＮプログラム実
行手段に不合格結果を送り返す。それに応答してクラス
ローダはそのオブジェクトクラスのローディング手順を
打切り、そのことを指示する適切なメッセージを生成す
る。更にもしそのオブジェクトクラスの内の全てのＡＳ
プログラムが「ディジタル署名CP」及び「ディジタル署
名C 」を含んでいれば、コンパイリングパーティー及び
コンパイラのアイデンティティーがこれら２つのディジ
タル署名内に指示され、既知の信頼されたコンパイリン
グパーティー及び信頼されたコンパイラのリスト１４４
（図１参照）と比較される。もしオブジェクトクラスの
内の何れかのＡＳプログラムが既知の信頼されたコンパ
イリングパーティー及び信頼されたコンパイラのセット
内に含まれていないコンパイリングパーティー及びコン
パイラによってコンパイルされていればクラスのローデ
ィング手順は打切られ、それによって呼出された方法の
実行は阻止される。同様にもし何れかのＡＳプログラム
内に識別されているＡＳ言語がＡＳプログラム実行手段
１２４によって使用されているＡＳ言語と一致しなけれ
ば、クラスのローディング手順は打切られる。

【００５１】しかしながら、もしオブジェクトクラスの
内の全てのＡＳプログラムが「ディジタル署名CP」及び
「ディジタル署名C 」を含んでおり、全てのＡＳプログ
ラムのための識別されたコンパイリングパーティー及び
コンパイラが信頼されたコンパイリングパーティー及び
信頼されたコンパイラであり、そして全てのＡＳプログ
ラムによって使用されているＡＳ言語がＡＳプログラム
実行手段によって使用されている言語であれば、署名検
証手段は、前述したディジタル署名OPの検証（ＡＮプロ
グラム２００のコンパイリングに関して説明済み）と同
じ手法でこれらの署名を検証する。しかしながらこの場
合には、コンパイラの私用キー及びコンパイリングパー
ティーの公開キーが信頼されたキーストレージ手段１０
６から検索され、ディジタル署名C 内のメッセージダイ
ジェストC 及びハッシュ機能C ＩＤ、及びディジタル署
名CP内のメッセージダイジェストCP及びハッシュ機能CP
ＩＤがそれぞれ暗号解除するのに使用される。更に、暗
号解除されたメッセージダイジェストCP及びメッセージ
ダイジェストC に対応する試験メッセージダイジェスト
（試験メッセージダイジェストC 及び試験メッセージダ
イジェストCP）が生成される。これは、暗号解除された
ハッシュ機能C ＩＤ及びハッシュ機能CPＩＤによって識
別されるハッシュ機能C 及びハッシュ機能CPにそれぞれ
従って、試験メッセージダイジェストC の場合にはＡＳ
プログラムコードのデータビット＋ディジタル署名OP、
また試験メッセージダイジェストCPの場合には同じデー
タビット＋ディジタル署名C に対するハッシュコードを
比較することによって生成される。

【００５２】もし各ＡＳプログラム毎のハッシュ機能C
及び／またはハッシュ機能CPが検査に不合格ならば（即
ち、メッセージダイジェストC ≠試験メッセージダイジ
ェストC 及び／またはメッセージダイジェストCP≠試験
メッセージダイジェストCP）、署名検証手段１３２はク
ラスローダ１３６に不合格結果を送り返す。それに応答
してクラスローダはクラスローディング手順を打切り、
そのことを指示する適切なメッセージを生成する。しか
しながら、もし各ＡＳプログラム毎のディジタル署名C
及びディジタル署名CPが共に検査に合格すれば、ＡＮプ
ログラム実行手段１２２は再度署名検証手段１３２を呼
出し、そのＡＳプログラムをコンパイルしたＡＮプログ
ラムのための発信パーティーの署名（ディジタル署名O
P）を検証する。発信パーティーのディジタル署名を検
証するために、各ディジタル署名OPは、ＡＮプログラム
２００のコンパイルで説明した手法と同じ手法で検証さ
れる。

【００５３】もしＡＳプログラムをコンパイルした各Ａ
Ｎプログラムのディジタル署名OPが検査に合格すれば、
クラスローダはＡＮプログラム完全性検証手段を呼出し
てそのオブジェクトクラス内の各ＡＮプログラム、及び
ＡＳプログラムをコンパイルしたＡＮプログラムの完全
性を検証する。これは前述した手法と同じ手法で行われ
る。もしこれらのＡＮプログラムの何れかの完全性が検
査に不合格であれば、ＡＮプログラム完全性検証手段は
クラスローダへ不合格結果を送り返してクラスローディ
ングを打切らせ、適切なメッセージを生成させる。しか
しながら、もし各ＡＮプログラムの完全性が検査に合格
すれば、ＡＮプログラム完全性検証手段１２６はクラス
ローダ１３６へ合格結果を送り返す。それに応答してク
ラスローダはＡＮプログラム実行手段またはＡＳプログ
ラム実行手段を呼出して呼出された方法を適切に実行さ
せる。

【００５４】以上の説明から明らかなように、実行パー
ティーは、信頼されないストレージ手段１４２内の、完
全性を検証できるＡＮプログラム及びＡＳプログラム
（それらのディジタル署名を検証することができる）を
有する信頼されないオブジェクトクラスだけをロード
し、それらのプログラムを実行することが保証される。 代替実施例 上述した本発明の特色の若干は任意選択的である。従っ
て当業者ならば、これらの特色を含まない代替実施例が
存在することは理解できよう。例えば、ＡＮプログラム
コンパイラに関しては、コンパイリングパーティー及び
ＡＮプログラムコンパイラのためのディジタル署名CP及
びディジタル署名C をそれぞれ生成するものとして説明
した。しかしながら、ＡＮプログラムコンパイラは、単
にこれらのディジタル署名の一方だけを生成し、ＡＳプ
ログラムをコンパイルするために使用されるコンパイ
ラ、またはコンパイリングパーティーの何れかの検証を
可能にするように構成することができる。

【００５５】同様に、プログラム実行手段に関しては、
ディジタル署名CP及びディジタル署名C の両者の検証が
必要であるとして説明した。しかしながら、プログラム
実行手段は、これらのディジタル署名の一方だけの検証
でよいように、またもし検証されるＡＳプログラムがそ
れを含んでいれば他方のディジタル署名を任意選択的に
検証するように構成することができる。更に、プログラ
ム実行手段は、コンパイリングパーティーが信頼されて
おり、またコンパイルを遂行する前にＡＳプログラムに
コンパイルされる各ＡＮプログラムを検証することがコ
ンパイリングパーティーの義務であると仮定して、各Ａ
Ｓプログラムに対応するＡＮプログラムの完全性を検証
する段階をスキップするように構成することができる。
発信パーティーが実行パーティーである場合、実行パー
ティーはＡＳプログラム３００にコンパイルされるＡＮ
プログラム２００をコンパイリングパーティーのサーバ
コンピュータ１０４へ実際に送ったことを知っている。
この場合、クラスローダ１３６はＡＮプログラム内のデ
ィジタル署名OPを検証するために署名検証手段を呼出さ
ない。実行パーティーは単に、ＡＮプログラムのローカ
ルコピー内のディジタル署名OPを、コンパイルされたＡ
Ｓプログラム内のディジタル署名OPと比較するだけでよ
い。また、クラスローダは、呼出されたＡＳプログラム
に対応するＡＮプログラムの完全性を検証するためにＡ
Ｎプログラム完全性検証手段１２６を呼出さないように
構成することができる（何故ならば、コンパイリングサ
ーバコンピュータへ送られる前にコンパイリング手順の
ための準備中にＡＮプログラムの完全性が検証されてい
るからである）。代替として、ＡＮプログラムコンパイ
リング準備手段１２８が、コンパイリング手順のための
準備中にＡＮプログラム完全性検証手段を呼出さないよ
うに構成することができる（何故ならばその完全性は、
コンパイラによって、及びクラスローダが対応するＡＳ
プログラムの実行の前にＡＮプログラム完全性検証手段
を呼出した時の両方で検証されるからである）。

【００５６】以上に本発明を幾つかの特定実施例に関し
て説明したが、この説明は本発明を例示したに過ぎず、
本発明を限定する意図は毛頭ない。当業者ならば、特許
請求の範囲に記載されている本発明の真の思想及び範囲
から逸脱することなく多くの変更を考案できるであろ
う。

【００５７】

【表１】

【００５８】

【表２】

【００５９】

【表３】

【００６０】

【表４】

【００６１】

【表５】

【００６２】

【表６】

【００６３】

【表７】

【００６４】

【発明の効果】本発明のコンピュータ・ネットワーク
は、コンパイリングパーティーによって作動され、発信
パーティーによって生成されたアーキテクチャ中立プロ
グラムを受信するプログラムコンパイリングコンピュー
タを備え、アーキテクチャ中立プログラムはアーキテク
チャ中立プログラムコード及び発信パーティーのディジ
タル署名を含み、ディジタル署名は検証時にアーキテク
チャ中立プログラムが発信パーティーによって署名され
たことを検証するようになっており、プログラムコンパ
イリングコンピュータが、発信パーティーのディジタル
署名を検証する署名検証手段と、発信パーティーのディ
ジタル署名が検証された時に、（Ａ）アー キテクチャ
中立プログラムコードをアーキテクチャ特定言語でアー
キテクチャ特定プログラムコードにコンパイルし、
（Ｂ）検証時にアーキテクチャ特定プログラムがコンパ
イリングパーティーによって生成されたことを検証する
コンパイリングパーティーのディジタル署名を付加する
ことによってアーキテクチャ特定プログラムを生成する
コンパイラと、コンパイリングパーティーのディジタル
署名を生成する署名発生手段と、を含み、実行パーティ
ーによって作動され、アーキテクチャ特定プログラムを
受信し、アーキテクチャ中立プログラムを受信または実
行するプログラム実行コンピュータを更に備え、プログ
ラム実行コンピュータは、コンパイリングパーティーの
ディジタル署名を検証する署名検証手段と、コンパイリ
ングパーティーの署名が検証され、コンパイリングパー
ティーが信頼されたコンパイリングパーティーの限定集
合のメンバーである時に、アーキテクチャ特定言語で書
かれたアーキテクチャ特定プログラムコードを実行する
実行手段と、を含むので、対応するＡＮプログラムから
コンパイルされたＡＳプログラムのユーザが、誰がその
ＡＮプログラムをコンパイルしたのかの識別と、対応す
るＡＮプログラムのアイデンティティと、そのＡＳプロ
グラムをコンパイルしたＡＳ言語とを認証することがで
き、かつ完全性が検証できるＡＮプログラムを実行し、
完全性を検証することはできないが、信頼されている
か、または検証可能な源とコンパイル情報とを有するＡ
Ｓプログラムを呼出すようにし、それによって源、コン
パイル情報、及び完全性を検証できないＡＳプログラム
が呼出されるのを防ぎながら、本質的に全ての適正なタ
スクを遂行することができる。

【００６５】本発明の方法は、コンピュータネットワー
クを動作させる方法であって、コンパイリングパーティ
ーによって作動されるプログラムコンパイリングコンピ
ュータにおいて、発信パーティーによって生成され、ア
ーキテクチャ中立プログラムコード、及び検証時にアー
キテクチャ中立プログラムが発信パーティーによって署
名されたことを検証する発信パーティーのディジタル署
名を含むアーキテクチャ中立プログラムを受信する段階
と、発信パーティーのディジタル署名を検証する段階
と、アーキテクチャ中立プログラムをコンパイラを用い
てコンパイルし、発信パーティーのディジタル署名が検
証された時にアーキテクチャ特定プログラムを生成し、
そして検証時にアーキテクチャ特定プログラムがコンパ
イリングパーティーによって生成されたことを検証する
コンパイリングパーティーのディジタル署名を付加する
段階と、を含み、実行パーティーによって作動されるプ
ログラム実行コンピュータにおいて、アーキテクチャ特
定プログラムを受信し、アーキテクチャ中立プログラム
を受信または発信する段階と、コンパイリングパーティ
ーのディジタル署名を検証する段階と、コンパイラのデ
ィジタル署名が検証され、コンパイラが信頼されたコン
パイラの限定集合のメンバーであることが決定された時
に、アーキテクチャ特定プログラムコードを実行する段
階とを含むので、対応するＡＮプログラムからコンパイ
ルされたＡＳプログラムのユーザが、誰がそのＡＮプロ
グラムをコンパイルしたのかの識別と、対応するＡＮプ
ログラムのアイデンティティと、そのＡＳプログラムを
コンパイルしたＡＳ言語とを認証することができ、かつ
完全性が検証できるＡＮプログラムを実行し、完全性を
検証することはできないが、信頼されているか、または
検証可能な源とコンパイル情報とを有するＡＳプログラ
ムを呼出すようにし、それによって源、コンパイル情
報、及び完全性を検証できないＡＳプログラムが呼出さ
れるのを防ぎながら、本質的に全ての適正なタスクを遂
行することができる。

【００６６】本発明のシステムは、コンピュータ読取り
可能な媒体上に格納され、コンピュータによって実行可
能なコードを分配するシステムであって、コードは各々
がコンピュータの１つによって実行される少なくとも１
つの機能を遂行するように構成されている複数のモジュ
ールを含み、システムは、コンパイリングパーティーに
よって作動され、プログラムコンパイリングコンピュー
タと共に使用するように構成されている第１のモジュー
ルを備え、コンパイリングパーティーは、発信パーティ
ーによって生成されるアーキテクチャ中立プログラムを
受信し、アーキテクチャ中立プログラムはアーキテクチ
ャ中立プログラムコード及び発信パーティーのディジタ
ル署名を含み、ディジタル署名は検証時にアーキテクチ
ャ中立プログラムが発信パーティーによって署名された
ことを検証するようになっており、第１のモジュール
は、発信パーティーのディジタル署名を検証する署名検
証手段と、発信パーティーのディジタル署名が検証され
た時に、（Ａ）アーキテクチャ中立プログラムコードを
アーキテクチャ特定言語でアーキテクチャ特定プログラ
ムコードにコンパイルし、（Ｂ）検証時にアーキテクチ
ャ特定プログラムがコンパイリングパーティーによって
生成されたことを検証するコンパイリングパーティーの
ディジタル署名を付加することによってアーキテクチャ
特定プログラムを生成するコンパイラと、コンパイリン
グパーティーのディジタル署名を生成する署名発生手段
と、を含み、実行パーティーによって作動され、プログ
ラム実行コンピュータと共に使用される第２のモジュー
ルを更に備え、実行パーティーはアーキテクチャ特定プ
ログラムを受信し、アーキテクチャ中立プログラムを受
信または発信し、第２のモジュールは、コンパイリング
パーティーのディジタル署名を検証する署名検証手段
と、コンパイリングパーティーの署名が検証され、コン
パイリングパーティーが信頼されたコンパイリングパー
ティーの限定集合のメンバーである時に、アーキテクチ
ャ特定言語で書かれたアーキテクチャ特定プログラムコ
ードを実行する実行手段と、を含むので、対応するＡＮ
プログラムからコンパイルされたＡＳプログラムのユー
ザが、誰がそのＡＮプログラムをコンパイルしたのかの
識別と、対応するＡＮプログラムのアイデンティティ
と、そのＡＳプログラムをコンパイルしたＡＳ言語とを
認証することができ、かつ完全性が検証できるＡＮプロ
グラムを実行し、完全性を検証することはできないが、
信頼されているか、または検証可能な源とコンパイル情
報とを有するＡＳプログラムを呼出すようにし、それに
よって源、コンパイル情報、及び完全性を検証できない
ＡＳプログラムが呼出されるのを防ぎながら、本質的に
全ての適正なタスクを遂行することができる。

【図面の簡単な説明】

【図１】本発明の好ましい実施例を組み入れた分布コン
ピュータシステムのブロック線図である。

【図２】本発明の好ましい実施例によるアーキテクチャ
中立プログラムの構造を示す図である。

【図３】本発明の好ましい実施例により生成されるコン
パイルされたアーキテクチャ特定プログラムの構造を示
す図である。

【図４】本発明の好ましい実施例によるオブジェクト及
び関連オブジェクトクラスを示す図である。

【符号の説明】

１００ コンピュータネットワーク １０２ 顧客コンピュータ １０４ サーバコンピュータ １０６ 信頼されたキーストレージ手段 １０８ ネットワーク通信接続 １１０ ＣＰＵ １１２ ユーザインタフェース １１４ メモリ １１６ ネットワーク通信インタフェース １１８ オペレーティングシステム １２０ ネットワーク通信管理手段 １２２ アーキテクチャ中立（ＡＮ）プログラム実行手
段 １２４ アーキテクチャ特定（ＡＳ）プログラム実行手
段 １２６ アーキテクチャ中立プログラム完全性検証手段 １２８ アーキテクチャ中立プログラムコンパイリング
準備手段 １３０ 署名発生手段 １３２ 署名検証手段 １３４ コンパイリング情報検証手段 １３６ オブジェクトクラスローダ １３８ ユーザアドレス空間 １４０ 信頼されたオブジェクトストレージ手段 １４２ 信頼されないオブジェクトストレージ手段 １４４ 信頼されたコンパイリングパーティー及び信頼
されたコンパイラのリスト １５０ ＣＰＵ １５２ ユーザインタフェース １５４ メモリ １５６ ネットワーク通信インタフェース １５８ オペレーティングシステム １６０ ネットワーク通信管理手段 １６２ アーキテクチャ中立プログラムコンパイラ １６４ 署名検証手段 １６６ アーキテクチャ中立プログラム完全性検証手段 １６８ 署名発生手段 １７０ アーキテクチャ中立プログラムストレージ手段 １７２ アーキテクチャ特定プログラムストレージ手段 ２００ アーキテクチャ中立プログラム ２０２ アーキテクチャ中立プログラムコード ２１０ ディジタル署名 ２１２ メモリダイジェストOP ２１４ ハッシュ機能OPＩＤ ２１６ 発信パーティーＩＤ ３００ アーキテクチャ特定プログラム ３０２ アーキテクチャ特定プログラムコード ３１２ ディジタル署名CP ３１４ メッセージダイジェストCP ３１６ ハッシュ機能CPＩＤ ３１８ 発信パーティーＩＤ ３２０ ディジタル署名C ３２２ メッセージダイジェストC ３２４ ハッシュ機能C ＩＤ ４００ オブジェクトクラス ４０２ アーキテクチャ特定プログラム ４０４ アーキテクチャ中立プログラム ４１０ 仮想機能テーブル ４１２ ネイティブ アーキテクチャ特定プログラムＩ
Ｄ ４１４ ポインタ ４１６ アーキテクチャ中立プログラムＩＤ ４１８ ポインタ ４２０ オブジェクト ４２２ オブジェクトヘッダ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 フランク イェーリン アメリカ合衆国 カリフォルニア州 94061 レッドウッド シティー ベリー ズフォード アベニュー 510

Claims (14)

【特許請求の範囲】
1. 【請求項１】 コンピュータネットワークであって、 コンパイリングパーティーによって作動され、発信パー
   ティーによって生成されたアーキテクチャ中立プログラ
   ムを受信するプログラムコンパイリングコンピュータを
   備え、前記アーキテクチャ中立プログラムはアーキテク
   チャ中立プログラムコード及び前記発信パーティーのデ
   ィジタル署名を含み、前記ディジタル署名は検証時に前
   記アーキテクチャ中立プログラムが前記発信パーティー
   によって署名されたことを検証するようになっており、
   前記プログラムコンパイリングコンピュータが、 前記発信パーティーのディジタル署名を検証する署名検
   証手段と、 前記発信パーティーのディジタル署名が検証された時
   に、（Ａ）前記アーキテクチャ中立プログラムコードを
   アーキテクチャ特定言語でアーキテクチャ特定プログラ
   ムコードにコンパイルし、（Ｂ）検証時に前記アーキテ
   クチャ特定プログラムが前記コンパイリングパーティー
   によって生成されたことを検証する前記コンパイリング
   パーティーのディジタル署名を付加することによってア
   ーキテクチャ特定プログラムを生成するコンパイラと、 前記コンパイリングパーティーのディジタル署名を生成
   する署名発生手段と、を含み、 実行パーティーによって作動され、前記アーキテクチャ
   特定プログラムを受信し、前記アーキテクチャ中立プロ
   グラムを受信または実行するプログラム実行コンピュー
   タを更に備え、前記プログラム実行コンピュータは、 前記コンパイリングパーティーのディジタル署名を検証
   する署名検証手段と、 前記コンパイリングパーティーの署名が検証され、前記
   コンパイリングパーティーが信頼されたコンパイリング
   パーティーの限定集合のメンバーである時に、前記アー
   キテクチャ特定言語で書かれたアーキテクチャ特定プロ
   グラムコードを実行する実行手段と、を含むことを特徴
   とするコンピュータネットワーク。
2. 【請求項２】 前記署名発生手段は、検証時に前記アー
   キテクチャ特定プログラムが前記コンパイラを用いて生
   成されたことを検証するコンパイラのディジタル署名を
   生成し、 前記コンパイラは更に、前記アーキテクチャ特定プログ
   ラムコードを前記コンパイラのディジタル署名に付加す
   ることによっても前記アーキテクチャ特定プログラムを
   生成し、 前記実行コンピュータの署名検証手段は、前記コンパイ
   ラのディジタル署名を検証し、 前記実行手段は、前記コンパイラのディジタル署名が検
   証され、前記コンパイラが信頼されたコンパイラの限定
   集合のメンバーであることが決定された後に限って、前
   記アーキテクチャ特定プログラムコードを実行する請求
   項１に記載のコンピュータネットワーク。
3. 【請求項３】 前記発信パーティー及び前記コンパイリ
   ングパーティーのために、前記ネットワークは対応する
   私用暗号化キー、公開暗号化キー、及び対応するハッシ
   ュ機能を含み、 前記発信パーティーのディジタル署名は、前記アーキテ
   クチャ中立プログラムに対して前記発信パーティーの対
   応するハッシュ機能を遂行することによって生成した前
   記アーキテクチャ中立プログラムのメッセージダイジェ
   ストを含み、前記アーキテクチャ中立プログラムのメッ
   セージダイジェストは、前記発信パーティーの対応する
   私用キーを用いて暗号化されており、 前記プログラムコンパイリングコンピュータの署名検証
   手段は、（Ａ）前記発信パーティーの公開暗号化キーを
   用いて前記アーキテクチャ中立プログラムの前記メッセ
   ージダイジェストを暗号解除し、（Ｂ）前記アーキテク
   チャ中立プログラムコードに対して前記発信パーティー
   のハッシュ機能を遂行することによって前記アーキテク
   チャ中立プログラムの対応する試験メッセージダイジェ
   ストを生成し、そして（Ｃ）前記暗号解除されたメッセ
   ージダイジェストと前記アーキテクチャ中立プログラム
   の試験メッセージダイジェストとを比較することによっ
   て前記発信パーティーのディジタル署名を検証させる命
   令を含み、 前記署名発生手段は、（Ａ）前記アーキテクチャ特定プ
   ログラムコードに対して前記コンパイリングパーティー
   の対応するハッシュ機能を遂行することによって前記ア
   ーキテクチャ中立プログラムのメッセージダイジェスト
   を生成し、そして（Ｂ）前記コンパイリングパーティー
   の対応する私用キーを用いて前記アーキテクチャ特定プ
   ログラムのメッセージダイジェストを暗号化することに
   よって前記コンパイリングパーティーのディジタル署名
   を生成させるための命令を含み、 前記プログラム実行コンピュータの署名検証手段は、
   （Ａ）前記コンパイリングパーティーの対応する公開キ
   ーを用いて前記アーキテクチャ特定プログラムのメッセ
   ージダイジェストを暗号解除し、（Ｂ）前記アーキテク
   チャ特定プログラムコードに対して前記コンパイリング
   パーティーのハッシュ機能を遂行することによって前記
   アーキテクチャ特定プログラムの対応する試験メッセー
   ジダイジェストを生成し、そして（Ｃ）前記暗号解除さ
   れたメッセージダイジェストと前記アーキテクチャ特定
   プログラムの試験メッセージダイジェストとを比較する
   ことによって前記コンパイリングパーティーのディジタ
   ル署名を検証させる命令を含む請求項１に記載のコンピ
   ュータネットワーク。
4. 【請求項４】 前記プログラム実行コンピュータは更
   に、前記アーキテクチャ中立プログラムコードが所定の
   プログラム完全性基準を満足することを検証することに
   よって前記アーキテクチャ中立プログラムコードの完全
   性を検証するアーキテクチャ中立プログラム完全性検証
   手段を含み、 前記実行手段は、前記アーキテクチャ中立プログラムコ
   ードの完全性が検証された後に限って、前記アーキテク
   チャ特定プログラムコードを実行する請求項１に記載の
   コンピュータネットワーク。
5. 【請求項５】 前記アーキテクチャ中立プログラムを供
   給するプログラム発信コンピュータを更に備え、 前記プログラム発信コンピュータは、前記アーキテクチ
   ャ中立プログラムコードに付加される発信パーティーの
   ディジタル署名を生成する署名発生手段を含み、 前記プログラム発信コンピュータと連絡して前記プログ
   ラム発信コンピュータから前記アーキテクチャ中立プロ
   グラムを受信し、前記アーキテクチャ特定プログラムを
   前記プログラム発信コンピュータへ供給するプログラム
   コンパイリングコンピュータを更に備え、 前記プログラム実行コンピュータは前記プログラム発信
   コンピュータと連絡して前記プログラム発信コンピュー
   タから前記アーキテクチャ中立プログラム及びアーキテ
   クチャ特定プログラムを受信し、 前記プログラム実行コンピュータの署名検証手段は、前
   記発信パーティーのディジタル署名をも検証し、 前記プログラム実行コンピュータは、前記発信パーティ
   ーのディジタル署名が検証された後に限って前記アーキ
   テクチャ特定プログラムを実行する請求項１に記載のコ
   ンピュータネットワーク。
6. 【請求項６】 コンピュータネットワークを動作させる
   方法であって、 コンパイリングパーティーによって作動されるプログラ
   ムコンパイリングコンピュータにおいて、 発信パーティーによって生成され、アーキテクチャ中立
   プログラムコード、及び検証時にアーキテクチャ中立プ
   ログラムが前記発信パーティーによって署名されたこと
   を検証する前記発信パーティーのディジタル署名を含む
   前記アーキテクチャ中立プログラムを受信する段階と、 前記発信パーティーのディジタル署名を検証する段階
   と、 前記アーキテクチャ中立プログラムをコンパイラを用い
   てコンパイルし、 前記発信パーティーのディジタル署名が検証された時に
   アーキテクチャ特定プログラムを生成し、そして検証時
   に前記アーキテクチャ特定プログラムが前記コンパイリ
   ングパーティーによって生成されたことを検証する前記
   コンパイリングパーティーのディジタル署名を付加する
   段階と、を含み、 実行パーティーによって作動されるプログラム実行コン
   ピュータにおいて、 前記アーキテクチャ特定プログラムを受信し、前記アー
   キテクチャ中立プログラムを受信または発信する段階
   と、 前記コンパイリングパーティーのディジタル署名を検証
   する段階と、 前記コンパイラのディジタル署名が検証され、前記コン
   パイラが信頼されたコンパイラの限定集合のメンバーで
   あることが決定された時に、前記アーキテクチャ特定プ
   ログラムコードを実行する段階と、を含むことを特徴と
   する方法。
7. 【請求項７】 前記プログラムコンパイリングコンピュ
   ータにおいて、 検証時に前記アーキテクチャ特定プログラムが前記コン
   パイラを用いて生成されたことを検証する前記コンパイ
   ラのディジタル署名を生成する段階と、 前記アーキテクチャ特定プログラムコードに前記コンパ
   イラのディジタル署名を付加する段階とを含み、 前記プログラム実行コンピュータにおいて、 前記コンパイラのディジタル署名を検証する段階と、 前記コンパイラのディジタル署名が検証され、前記コン
   パイラが信頼されたコンパイラの限定集合のメンバーで
   あることが決定された後に限って、前記アーキテクチャ
   特定プログラムコードを実行する段階と、を含む請求項
   ６に記載の方法。
8. 【請求項８】 前記発信パーティー及び前記コンパイリ
   ングパーティーのために、前記ネットワークは対応する
   私用暗号化キー、公開暗号化キー、及び対応するハッシ
   ュ機能を含み、 前記発信パーティーのディジタル署名は、前記アーキテ
   クチャ中立プログラムに対して前記発信パーティーの対
   応するハッシュ機能を遂行することによって生成した前
   記アーキテクチャ中立プログラムのメッセージダイジェ
   ストを含み、前記アーキテクチャ中立プログラムのメッ
   セージダイジェストは、前記発信パーティーの対応する
   私用キーを用いて暗号化されており、 前記方法は、 前記プログラムコンパイリングコンピュータにおいて、 （Ａ）前記発信パーティーの公開暗号化キーを用いて前
   記アーキテクチャ中立プログラムの前記メッセージダイ
   ジェストを暗号解除し、（Ｂ）前記アーキテクチャ中立
   プログラムコードに対して前記発信パーティーのハッシ
   ュ機能を遂行することによって前記アーキテクチャ中立
   プログラムの対応する試験メッセージダイジェストを生
   成し、そして（Ｃ）前記暗号解除されたメッセージダイ
   ジェストと前記アーキテクチャ中立プログラムの試験メ
   ッセージダイジェストとを比較することによって前記発
   信パーティーのディジタル署名を検証する段階と、 （Ａ）前記アーキテクチャ特定プログラムコードに対し
   て前記コンパイリングパーティーの対応するハッシュ機
   能を遂行することによって前記アーキテクチャ中立プロ
   グラムのメッセージダイジェストを生成し、そして
   （Ｂ）前記コンパイリングパーティーの対応する私用キ
   ーを用いて前記アーキテクチャ特定プログラムのメッセ
   ージダイジェストを暗号化することによって前記コンパ
   イリングパーティーのディジタル署名を生成する段階
   と、を含み、 前記プログラム実行コンピュータにおいて、 （Ａ）前記コンパイリングパーティーの公開キーを用い
   て前記アーキテクチャ特定プログラムのメッセージダイ
   ジェストを暗号解除し、（Ｂ）前記アーキテクチャ特定
   プログラムコードに対して前記コンパイリングパーティ
   ーのハッシュ機能を遂行することによって前記アーキテ
   クチャ特定プログラムの対応する試験メッセージダイジ
   ェストを生成し、そして（Ｃ）前記暗号解除されたメッ
   セージダイジェストと前記アーキテクチャ特定プログラ
   ムの試験メッセージダイジェストとを比較することによ
   って前記コンパイリングパーティーのディジタル署名を
   検証する段階と、を含む請求項６に記載の方法。
9. 【請求項９】 プログラム実行コンピュータにおいて、 前記アーキテクチャ中立プログラムコードが所定のプロ
   グラム完全性基準を満足することを検証することによっ
   て前記アーキテクチャ中立プログラムコードの完全性を
   検証する段階と、 前記アーキテクチャ中立プログラムコードの完全性が検
   証された後に限って、前記アーキテクチャ特定プログラ
   ムコードを実行する段階と、を含む請求項６に記載の方
   法。
10. 【請求項１０】 前記アーキテクチャ中立プログラムを
    供給するプログラム発信コンピュータにおいて、 前記発信パーティーのディジタル署名を生成し、それを
    前記アーキテクチャ中立プログラムコードに付加する段
    階を含み、 前記プログラムコンパイリングコンピュータにおいて、 前記プログラム発信コンピュータと連絡して前記プログ
    ラム発信コンピュータから前記アーキテクチャ中立プロ
    グラムを受信し、前記アーキテクチャ特定プログラムを
    前記プログラム発信コンピュータへ供給する段階を含
    み、 前記プログラム実行コンピュータにおいて、 前記プログラム発信コンピュータと連絡して前記プログ
    ラム発信コンピュータから前記アーキテクチャ中立プロ
    グラム及びアーキテクチャ特定プログラムを受信する段
    階と、 前記発信パーティーのディジタル署名を検証する段階
    と、 前記発信パーティーのディジタル署名が検証された後に
    限って前記アーキテクチャ特定プログラムを実行する段
    階と、を含む請求項６に記載の方法。
11. 【請求項１１】 前記プログラム実行コンピュータにお
    いて、 前記アーキテクチャ中立プログラムを供給する段階と、 前記アーキテクチャ中立プログラムに署名する発信パー
    ティーのディジタル署名を生成し、それを前記アーキテ
    クチャ中立プログラムコードに付加する段階と、を含
    み、 前記プログラムコンパイリングコンピュータにおいて、 前記プログラム実行コンピュータと連絡して前記プログ
    ラム実行コンピュータから前記アーキテクチャ中立プロ
    グラムを受信し、前記アーキテクチャ特定プログラムを
    前記プログラム実行コンピュータへ供給する段階を含む
    請求項６に記載の方法。
12. 【請求項１２】 コンピュータ読取り可能な媒体上に格
    納され、コンピュータによって実行可能なコードを分配
    するシステムであって、前記コードは各々が前記コンピ
    ュータの１つによって実行される少なくとも１つの機能
    を遂行するように構成されている複数のモジュールを含
    み、前記システムは、 コンパイリングパーティーによって作動され、プログラ
    ムコンパイリングコンピュータと共に使用するように構
    成されている第１のモジュールを備え、前記コンパイリ
    ングパーティーは、発信パーティーによって生成される
    アーキテクチャ中立プログラムを受信し、前記アーキテ
    クチャ中立プログラムはアーキテクチャ中立プログラム
    コード及び前記発信パーティーのディジタル署名を含
    み、前記ディジタル署名は検証時に前記アーキテクチャ
    中立プログラムが前記発信パーティーによって署名され
    たことを検証するようになっており、前記第１のモジュ
    ールは、 前記発信パーティーのディジタル署名を検証する署名検
    証手段と、 前記発信パーティーのディジタル署名が検証された時
    に、（Ａ）前記アーキテクチャ中立プログラムコードを
    アーキテクチャ特定言語でアーキテクチャ特定プログラ
    ムコードにコンパイルし、（Ｂ）検証時に前記アーキテ
    クチャ特定プログラムが前記コンパイリングパーティー
    によって生成されたことを検証する前記コンパイリング
    パーティーのディジタル署名を付加することによってア
    ーキテクチャ特定プログラムを生成するコンパイラと、 前記コンパイリングパーティーのディジタル署名を生成
    する署名発生手段と、を含み、 実行パーティーによって作動され、プログラム実行コン
    ピュータと共に使用される第２のモジュールを更に備
    え、前記実行パーティーは前記アーキテクチャ特定プロ
    グラムを受信し、前記アーキテクチャ中立プログラムを
    受信または発信し、前記第２のモジュールは、 前記コンパイリングパーティーのディジタル署名を検証
    する署名検証手段と、 前記コンパイリングパーティーの署名が検証され、前記
    コンパイリングパーティーが信頼されたコンパイリング
    パーティーの限定集合のメンバーである時に、前記アー
    キテクチャ特定言語で書かれたアーキテクチャ特定プロ
    グラムコードを実行する実行手段と、を含むことを特徴
    とするシステム。
13. 【請求項１３】 前記署名発生手段は、検証時に前記ア
    ーキテクチャ特定プログラムが前記コンパイラを用いて
    生成されたことを検証する前記コンパイラのディジタル
    署名を生成し、 前記第１のモジュールは、前記アーキテクチャ特定プロ
    グラムコードを前記コンパイラのディジタル署名に付加
    し前記第２のモジュールの署名検証手段は、前記コンパ
    イラのディジタル署名を検証し、 前記第２のモジュールの実行手段は、前記コンパイラの
    ディジタル署名が検証され、前記コンパイラが信頼され
    たコンパイラの限定集合のメンバーであることが決定さ
    れた後に限って、前記アーキテクチャ特定プログラムコ
    ードを実行する請求項１２に記載のシステム。
14. 【請求項１４】 前記発信パーティー及び前記コンパイ
    リングパーティーのために、前記システムは対応する私
    用暗号化キー、公開暗号化キー、及び対応するハッシュ
    機能を含み、 前記発信パーティーのディジタル署名は、前記アーキテ
    クチャ中立プログラムに対して前記発信パーティーの対
    応するハッシュ機能を遂行することによって生成した前
    記アーキテクチャ中立プログラムのメッセージダイジェ
    ストを含み、前記アーキテクチャ中立プログラムのメッ
    セージダイジェストは、前記発信パーティーの対応する
    私用キーを用いて暗号化されており、 前記第１のモジュールの署名検証手段は、（Ａ）前記発
    信パーティーの公開暗号化キーを用いて前記アーキテク
    チャ中立プログラムの前記メッセージダイジェストを暗
    号解除し、（Ｂ）前記アーキテクチャ中立プログラムコ
    ードに対して前記発信パーティーのハッシュ機能を遂行
    することによって前記アーキテクチャ中立プログラムの
    対応する試験メッセージダイジェストを生成し、そして
    （Ｃ）前記暗号解除されたメッセージダイジェストと前
    記アーキテクチャ中立プログラムの試験メッセージダイ
    ジェストとを比較することによって前記発信パーティー
    のディジタル署名を検証させる命令を含み、 前記第１のモジュールの前記署名発生手段は、（Ａ）前
    記アーキテクチャ特定プログラムコードに対して前記コ
    ンパイリングパーティーの対応するハッシュ機能を遂行
    することによって前記アーキテクチャ中立プログラムの
    メッセージダイジェストを生成し、そして（Ｂ）前記コ
    ンパイリングパーティーの対応する私用キーを用いて前
    記アーキテクチャ特定プログラムのメッセージダイジェ
    ストを暗号化することによって前記コンパイリングパー
    ティーのディジタル署名を生成させるための命令を含
    み、 前記第２のモジュールの署名検証手段は、（Ａ）前記コ
    ンパイリングパーティーの対応する公開キーを用いて前
    記アーキテクチャ特定プログラムのメッセージダイジェ
    ストを暗号解除し、（Ｂ）前記アーキテクチャ特定プロ
    グラムコードに対して前記コンパイリングパーティーの
    ハッシュ機能を遂行することによって前記アーキテクチ
    ャ特定プログラムの対応する試験メッセージダイジェス
    トを生成し、そして（Ｃ）前記暗号解除されたメッセー
    ジダイジェストと前記アーキテクチャ特定プログラムの
    試験メッセージダイジェストとを比較することによって
    前記コンパイリングパーティーのディジタル署名を検証
    させる命令を含む、請求項１２に記載のシステム。