WO2009098881A1 - 不正行為防止方法 - Google Patents

不正行為防止方法 Download PDF

Info

Publication number
WO2009098881A1
WO2009098881A1 PCT/JP2009/000446 JP2009000446W WO2009098881A1 WO 2009098881 A1 WO2009098881 A1 WO 2009098881A1 JP 2009000446 W JP2009000446 W JP 2009000446W WO 2009098881 A1 WO2009098881 A1 WO 2009098881A1
Authority
WO
WIPO (PCT)
Prior art keywords
electronic information
volatile memory
electronic
power
stored
Prior art date
Application number
PCT/JP2009/000446
Other languages
English (en)
French (fr)
Inventor
Tsutomu Baba
Original Assignee
Nidec Sankyo Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nidec Sankyo Corporation filed Critical Nidec Sankyo Corporation
Publication of WO2009098881A1 publication Critical patent/WO2009098881A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2143—Clearing memory, e.g. to prevent the data from being stolen

Definitions

  • the present invention relates to an unauthorized operation prevention method for preventing unauthorized operation of an electronic device that handles electronic information including confidential data.
  • electronic information including confidential data (for example, key data used for encryption processing, security information, personal information, etc.) is held in a volatile memory backed up by a secondary power source.
  • confidential data for example, key data used for encryption processing, security information, personal information, etc.
  • a volatile memory backed up by a secondary power source.
  • confidential data is read from the volatile memory to the working memory, and various processes are executed. Since the confidential data is indispensable for the execution of various processes, it is normally held so as not to disappear.
  • the power supply from the secondary power supply and the main power supply to the volatile memory is cut off and the confidential data is erased.
  • the tamper-proof device described in Patent Document 1 also holds security information and personal information so that they are not normally lost, and stores them in the storage unit when any abnormality is detected. Security information and personal information are erased unconditionally to prevent reading.
  • the tamper resistant device is a device that, for example, detects when the electronic device is disassembled by a switch and prevents reading out essential electronic information including stored confidential data. .
  • the non-volatile memory that holds these electronic information is removed together with the electronic device device, it is non-volatile if the electronic device device is temporarily removed to set up an illegal device such as skimming or steal electronic information.
  • the electronic information held in the memory remains as it is, and it is not only not possible to detect that an illegal act has occurred, but also there is a drawback that electronic information including confidential data leaks to the outside and the discovery is delayed.
  • the present invention has been made in view of the above points, and its purpose is to make an electronic device inoperable or to securely erase or erase electronic information including confidential data when an illegal act is detected. It is to provide a fraud prevention method that prevents fraud in advance.
  • the fraud prevention method of the present invention includes a nonvolatile memory in which electronic information including confidential data is stored, a volatile memory in which work data necessary for various operations is stored, Is provided in the electronic device device, and in the energized state of the electronic device device, the electronic information stored in the nonvolatile memory is stored in the volatile memory, the inside of the nonvolatile memory is erased, and a predetermined command is issued.
  • the electronic information in the volatile memory is erased, so that no electronic information is left in the electronic device.
  • the present invention provides the following.
  • the electronic information stored in the nonvolatile memory is stored in the volatile memory and the nonvolatile memory is erased. If the power is turned off without receiving a power-off permission command and the power is turned off, the electronic information in the volatile memory is lost, and the nonvolatile memory has already been erased. Electronic information in the device is lost and not left.
  • the power-off permission command is received and put into the non-energized state
  • the electronic information device device is put into the non-energized state through the process of storing the electronic information stored in the volatile memory in the nonvolatile memory. The electronic information is held in a nonvolatile memory.
  • the process of erasing the electronic information stored in the volatile memory from the nonvolatile memory from the nonvolatile memory is performed after the completion of the electronic information migration to the volatile memory or together with the electronic information migration to the volatile memory. It can be done at any time.
  • this process also writes specific data unrelated to the electronic information, effectively erasing the original electronic information and storing the stored electronic There is also a function that prevents information from being identified.
  • the non-energized state is entered without receiving the power-off permission command.
  • the execution program is also lost, and thereafter the operation of the electronic device can be disabled.
  • the electronic device is normally operated with the program stored in the nonvolatile memory and the volatile memory, while the power off permission command When the power is turned off without receiving the message, a part of the execution program is lost, and thereafter, the operation of the electronic device cannot be normally performed.
  • the present invention it is possible to prevent the electronic information held in the nonvolatile memory from leaking to the outside, and when an unauthorized operation is detected, the subsequent electronic device is disabled or cannot be operated normally. Therefore, such unauthorized operation can be prevented.
  • FIG. 1 is a block diagram of an electronic device apparatus 1 used in a fraud prevention method according to an embodiment of the present invention.
  • the electronic device apparatus 1 includes a CPU 10, a RAM 11, and an EEPROM 12, and various connections are made through a bus. Further, for example, the electronic device apparatus 1 is a card reader that reproduces information recorded on a card-like medium and / or records information on the card-like medium. In the case of such a card reader, as shown in FIG. 1, it is provided for grasping a shutter 13 provided for the purpose of protecting the inside of the apparatus or protecting the card during card processing, and the position of the card inside the apparatus. There are also sensors 14 etc., and various connections are made.
  • the card reader includes a recording / reproducing means for recording and reproducing information such as a magnetic head, an IC contact and / or a communication antenna, a conveying means for conveying a card-like medium, etc. These are controlled by a CPU 10 to be described later.
  • the CPU 10 controls the entire electronic device 1. For example, when the electronic device 1 is a card reader, the shutter 13 is opened and closed so that foreign matter or a continuous card-like medium is not taken into the device 1, or the inserted card-like medium is used as the card-like medium.
  • a command for notifying the card position detected by the detection sensor 14 for detecting the position of the card-like medium provided in the apparatus 1 by the conveying means and detecting the card-like medium position provided in the apparatus 1 is transmitted to and received from the host apparatus. It also serves to transfer various data between memories.
  • the RAM 11 is a work memory in which work data necessary for various operations of the electronic apparatus device 1 is stored.
  • the RAM 11 is an example of a volatile memory, and provides a work area for the CPU 10 to execute a program.
  • the work area stores work data necessary for various operations, and also stores electronic information from the EEPROM 12.
  • the EEPROM 12 is an example of a nonvolatile memory, and stores indispensable electronic information including confidential data. Examples of the electronic information include confidential data, execution programs, error detection codes (CRC, check SUM, BCC), security information, personal information, and the like.
  • Another nonvolatile memory may be a flash memory.
  • data is composed of key data and CRC as an error detection code, and is stored in the EEPROM 12.
  • the CRC value is stored in the block of key data for 8 bytes and the last 2 bytes.
  • FIG. 3 is a flowchart showing a processing routine executed by the electronic device 1 when operating normally.
  • step S1 When the electronic device 1 is powered on and energized (step S1), the CRC of the key data storage area of the EEPROM 12 is checked (step S2). If it is determined that the CRC value is correct, the process proceeds to step S5. On the other hand, if the CRC value is determined to be invalid as a result of the check, a security error is notified to the host device (step S4).
  • the security error is notified to the host device when it is determined that all or part of the key data is not in the key data storage area of the EEPROM 12 and is illegal. For example, there is a case where data is lost by an unauthorized operation at the previous use. If a security error is issued, further operations are impossible.
  • step S5 the key data is stored in the RAM 11 in order to save the key data in the EEPROM 12 in the RAM 11.
  • the key data storage area of the EEPROM 12 is erased together with the saving or after the saving is completed, and the key data stored in the RAM 11 from the EEPROM 12 is deleted from the EEPROM 12. Erasing may mean rewriting to “all 0xFF” or “all 0x00”, but rewriting to another specific data (for example, “all 0x11” or “all 0x22”) will have the same effect. Obtainable.
  • step S6 When these series of processes (steps S1 to S6) are completed, various processes are executed under the execution program stored in the RAM 11, and normal operation of the electronic device 1 can be performed (step S7).
  • a power-off permission command for permitting the power-off from the host device is transmitted to the electronic device 1 and the electronic device 1 receives the command (step). S8).
  • the electronic device 1 that has received the command writes the key data stored in the RAM 11 to the EEPROM 12 and stores it (step S9).
  • step S10 When the operation of writing the key data stored in the RAM 11 to the EEPROM 12 is completed, the power is turned off and the power is turned off (step S10). When the power is turned on again, the processing from step S1 is repeatedly executed.
  • the key data is held in the electronic device 1 by normally executing the various processes shown in FIG.
  • FIG. 4 is a flowchart showing a processing routine executed by the electronic device 1 when an illegal act is performed.
  • Step S7 in FIG. 4 is the same as in FIG. 3, and is a state in which the electronic apparatus 1 is normally operated.
  • step S11 When the power is turned off without receiving the power-off permission command in step S8 after the normal operation is finished (step S11), and then the power is turned on and energized (step S1), the CRC check (Step S2), the check result is an error, and a security error is notified to the host device (Step S4).
  • step S9 is not executed, so that the key data stored in the RAM 11 is not written into the EEPROM 12 and the power-off state is not generated. It becomes. For this reason, the key data stored in the RAM 11 is lost, and the key data in the EEPROM 12 has already been erased in step S6. Therefore, no key data remains in the electronic apparatus device 1, and a security error always occurs. Is.
  • the key data disappears without being held in the electronic apparatus device 1 by shifting to the non-energized state without executing the various processes shown in FIG.
  • the key data in the EEPROM 12 is stored in the RAM 11, and then all the key data stored in the RAM 11 is erased from the EEPROM 12.
  • key data in the EEPROM 12 is stored in the RAM 11, and then the key data stored in the RAM 11 is erased from the EEPROM 12 so that the key data before erasure cannot be specified.
  • the state that cannot be specified is as described above.
  • all electronic information including key data in the EEPROM 12 is stored in the RAM 11, and thereafter all electronic information including key data in the EEPROM 12 is erased.
  • all the electronic information including the key data in the EEPROM 12 is stored in the RAM 11, and then a part of all the electronic information including the key data in the EEPROM 12 is deleted to identify the key data before erasure. Make it impossible.
  • the state that cannot be specified is as described above.
  • a part of the execution program can also be stored in the RAM 11 and operated by the execution program stored in the RAM 11 and the EEPROM 12. In this case, the power is turned off without receiving the power-off permission command. When this happens, a part of the execution program will be lost, and it will no longer be able to operate normally.
  • Some of the execution programs that move from the EEPROM 12 to the RAM 11 include a table in which the jump destination of each interrupt is specified, and a task table in which a task to be monitored is specified.
  • the fraud prevention method according to the present invention is useful as a method capable of preventing external leakage of electronic information due to an unauthorized operation with a simple configuration.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

　本発明は、不正行為を検知したときは、電子機器装置を動作不能としたり、機密データを含む電子情報を確実に消去、消失することで、不正行為を未然に防止する不正行為防止方法を提供することを目的としている。この不正行為防止方法は、機密データを含む電子情報が格納された不揮発性メモリ１２と、各種動作に必要な作業データが格納される揮発性メモリ１１と、が電子機器装置１に備えられており、電子機器装置の通電状態においては、不揮発性メモリ１２に格納された電子情報が全て揮発性メモリ１１内に格納されて不揮発性メモリ１２内が消去され、所定のコマンドを実行することなく非通電状態に移行すると、揮発性メモリ１１内の電子情報は消去される結果、電子機器装置内に電子情報を残さないことを特徴とする。

Description

不正行為防止方法
　本発明は、機密データを含む電子情報を取り扱う電子機器装置の不正操作を防止する不正操作防止方法に関する。
　カードリーダ等の電子機器装置においては、機密データ（例えば、暗号処理に使用する鍵データ、セキュリティ情報、個人情報等）を含む電子情報を二次電源によりバックアップされている揮発性メモリに保持しておき、必要に応じてその都度、揮発性メモリから作業用メモリに例えば、機密データが読み出され、各種の処理が実行される。機密データは、各種処理の実行に際して必要不可欠なものであることから、通常は消失することがないように保持されている。何らかの異常を検知した際には揮発性メモリに対する二次電源及び主電源からの電源供給を遮断して機密データを消去する。
　また、特許文献１に記載の耐タンパ装置も、セキュリティ情報や個人情報は、通常は消失することがないように保持されており、何らかの異常を検出した際には、記憶部に格納しているセキュリティ情報や個人情報を無条件で消去して読み出しを防止するものである。
　なお、耐タンパ装置とは、例えば、電子機器装置が分解されるとき、分解されたことをスイッチにより検出し、格納されている機密データを含む必要不可欠な電子情報の読み出しを防止する装置である。
特開２００３－１８６７５２号公報（［０００２］）
　しかしながら、上記２例のような機能を構築するためには通常の機能に対して特別な回路や電子部品の追加が必要となりコストがかかるため、機密データ（例えば、暗号処理に使用する鍵データ、セキュリティ情報、個人情報等）を含む必要不可欠な電子情報を保持する手段として、安価な不揮発性メモリを搭載し、かつ耐タンパ性を考慮した回路や機構を組み込まないのが一般的である。
　そのため、これらの電子情報を保持する不揮発性メモリが電子機器装置ごと取り外された場合、スキミング等の不正な仕掛けを仕組むためや電子情報を盗み出すために一旦電子機器装置を取り外された場合、不揮発性メモリに保持されている電子情報はそのままで、不正行為があったことを検知できないのみならず、機密データを含む電子情報が外部へ漏洩し、その発見も遅れるという欠点がある。
　また、何らかの異常を検出して電子情報を無条件に消去するにしても、不揮発性メモリに保持されているデータを消去するには、時間と外部電力の供給が必要となることから、特許文献１に記載の技術によっては、不完全なデータの消去となる可能性があり、耐タンパ性の確保が完全に行われるとは限らない。
　また、機密データを含む電子情報を二次電源によりバックアップされている揮発性メモリに保持しておき、不正行為を回路的に検知して揮発性メモリへの電力供給を遮断する制御を行うものもあるが、これでは、二次電源や電力供給を制御する制御手段など構成が複雑になってしまう。
　本発明は、このような点に鑑みてなされたものであり、その目的は、不正行為を検知したときは、電子機器装置を動作不能としたり、機密データを含む電子情報を確実に消去、消失することで、不正行為を未然に防止する不正行為防止方法を提供することにある。
　以上のような課題を解決するために、本発明の不正行為防止方法は、機密データを含む電子情報が格納された不揮発性メモリと、各種動作に必要な作業データが格納される揮発性メモリと、が電子機器装置に備えられており、電子機器装置の通電状態においては、不揮発性メモリに格納された電子情報が揮発性メモリ内に格納されて不揮発性メモリ内が消去され、所定のコマンドを実行することなく非通電状態に移行すると、揮発性メモリ内の電子情報は消去される結果、電子機器装置内に電子情報を残さないことを特徴とする。
　より具体的には、本発明は、以下のものを提供する。
　（１）　機密データを含む電子情報が格納された不揮発性メモリと、各種動作に必要な作業データが格納される揮発性メモリと、が備えられた機密データを取り扱う電子機器装置の不正操作を防止する不正操作防止方法であって、電子機器装置の通電状態において、前記不揮発性メモリ内に格納されている電子情報を、前記揮発性メモリに格納する工程と、前記不揮発性メモリから揮発性メモリに格納された電子情報を、当該不揮発性メモリ内から消去する工程と、電子機器装置は、上位装置から電源を切ることを許可する電源切断許可コマンドを受信する工程と、前記電源切断許可コマンドを受信後、前記揮発性メモリ内に格納されている電子情報を前記不揮発性メモリに格納する工程と、を有し、前記電源切断許可コマンドを受信することなく非通電状態となった場合に、前記電子情報が消失されることを特徴とする不正行為防止方法。
　本発明によれば、電子機器装置の電源を立ち上げて通電状態となったときに、不揮発性メモリに格納された電子情報を揮発性メモリ内に格納し、不揮発性メモリ内を消去する。
電源切断許可コマンドを受信することなく電源が切れて非通電状態となった場合には、揮発性メモリ内の電子情報が消失され、また、不揮発性メモリ内も既に消去されているから、電子機器装置内の電子情報が消失されて残っていない。一方で、電源切断許可コマンドを受信して非通電状態にする場合は、揮発性メモリ内に格納されている電子情報を不揮発性メモリに格納する工程を経て非通電状態とするから、電子機器装置内の電子情報は不揮発性メモリに保持される。
　よって、電源切断許可コマンドを受信することなく非通電状態に移行した場合を不正操作として、かかる不正操作を防止することができる。
　ここで、「不揮発性メモリから揮発性メモリに格納された電子情報を、不揮発性メモリ内から消去する工程」は、揮発性メモリへの電子情報移行完了後又は揮発性メモリへの電子情報移行と共に随時行うことが可能である。また、かかる工程は、不揮発性メモリをフォーマット（初期化）する機能のほか、電子情報とは無関係の特定のデータを書きこんで、もとの電子情報を実質上消去し、格納されていた電子情報が特定できないようにする機能もある。
　（２）　前記電子情報には、実行プログラムを含むことを特徴とする不正行為防止方法。
　本発明によれば、機密データ以外の実行プログラムも不揮発性メモリに格納して、通電状態において不揮発性メモリから揮発性メモリに格納するから、電源切断許可コマンドを受信することなく非通電状態となった場合は実行プログラムも消失され、以後は電子機器装置の動作を不能とすることができる。また、実行プログラムの一部を不揮発性メモリから揮発性メモリに格納するとで、通常は不揮発性メモリと揮発性メモリとに格納されたプログラムで電子機器装置を正常に運用する一方、電源切断許可コマンドを受信することなく非通電状態となった場合は実行プログラムの一部が消失され、以後は電子機器装置の運用を正常に行うことができなくなる。
　本発明によれば、不揮発性メモリに保持されている電子情報を外部へ漏洩することを防ぎ、不正操作を検知したときは、以後の電子機器装置を動作不能としたり、正常な運用を不能としたりすることができることから、かかる不正操作を防止することができる。
本発明の実施の形態に係る不正行為防止方法にて使用する電子機器装置のブロック図である。 データ構造の一例を示す図である。 正常に運用されている時において電子機器装置にて実行される処理ルーチンを示すフローチャートである。 不正行為がされた時において電子機器装置にて実行される処理ルーチンを示すフローチャートである。
符号の説明
　　１　電子機器装置
　１０　ＣＰＵ
　１１　ＲＡＭ（揮発性メモリ）
　１２　ＥＥＰＲＯＭ（不揮発性メモリ）
　以下、本発明を実施するための最良の形態について、図面を参照しながら説明する。
［電子機器装置の構成］
　図１は、本発明の実施の形態に係る不正行為防止方法にて使用する電子機器装置１のブロック図である。
　電子機器装置１は、ＣＰＵ１０と、ＲＡＭ１１と、ＥＥＰＲＯＭ１２と、を有し、バスを介して各種接続がされている。また例えば、電子機器装置１は、カード状媒体に記録された情報の再生および／またはカード状媒体への情報の記録を行うカードリーダである。このようなカードリーダの場合、図１に示すように、装置内部の保護あるいはカード処理中のカード保護等の目的で具備されるシャッター１３や、装置内部でのカード位置を把握するために具備されるセンサ１４等も有し、各種接続がされている。さらに、カードリーダには、図示しないが、磁気ヘッド、ＩＣ接点および／または通信用アンテナ等の情報の記録や再生を行うための記録再生手段や、カード状媒体を搬送する搬送手段等を備え、これらは後述するＣＰＵ１０により制御されている。
　ＣＰＵ１０は、電子機器装置１の全体の制御を司る。例えば、電子機器装置１がカードリーダの場合には、異物や連続してカード状媒体が装置１内に取り込まれないようにシャッター１３の開閉を行ったり、挿入されたカード状媒体をカード状媒体搬送手段により装置１内部に取り込み、装置１内に設けたカード状媒体位置を検出する検出センサ１４で検知したカード位置を通知したりするためのコマンドを上位装置との間で送受信する。また、各種データをメモリ間で転送する役割も果たす。
　ＲＡＭ１１は、電子機器装置１の各種動作に必要な作業データが格納される作業メモリであり、揮発性メモリの一例であって、ＣＰＵ１０がプログラムを実行するための作業領域を提供する。作業領域には、各種動作に必要な作業データが格納され、ＥＥＰＲＯＭ１２からの電子情報も格納される。
　ＥＥＰＲＯＭ１２は、不揮発性メモリの一例であって、機密データを含む必要不可欠な電子情報が格納される。この電子情報としては、例えば、機密データ、実行プログラム、誤り検知符号（ＣＲＣ，チェックＳＵＭ，ＢＣＣ）、セキュリティ情報、個人情報等といったものである。その他の不揮発性メモリとして、フラッシュメモリでもよい。本実施の形態では、例えば、図２に示すように、鍵データ及び誤り検知符号としてのＣＲＣとによってデータが構成され、ＥＥＰＲＯＭ１２に格納される。１６バイト単位の書き込みができるＥＥＰＲＯＭ１２に８バイトの鍵データを格納するケースの場合、鍵データは８バイト分、最終２バイト分のブロックはＣＲＣ値が格納される。
［電子機器装置１が正常に運用されている時］
　図３は、正常に運用されている時において電子機器装置１にて実行される処理ルーチンを示すフローチャートである。
　電子機器装置１の電源を立ち上げて通電状態となると（ステップＳ１）、ＥＥＰＲＯＭ１２の鍵データ格納エリアのＣＲＣをチェックする（ステップＳ２）。チェックの結果、ＣＲＣ値が正しいと判断するとステップＳ５に処理を移す。一方で、チェックの結果、ＣＲＣ値が不正と判断するとセキュリティエラーを上位装置に通知する（ステップＳ４）。
　セキュリティエラーを上位装置に通知するのは、ＥＥＰＲＯＭ１２の鍵データ格納エリア内に鍵データの全部又は一部がなく不正であると判断した場合である。例えば、前回の使用時に不正操作によってデータを消失させた場合がある。セキュリティエラーが発せられると、以後の動作は不可能となる。
　ステップＳ５では、ＥＥＰＲＯＭ１２の鍵データをＲＡＭ１１に退避すべく、鍵データをＲＡＭ１１に格納する。退避と共に、或いは、退避完了後に、ＥＥＰＲＯＭ１２の鍵データ格納エリアを消去して、ＥＥＰＲＯＭ１２からＲＡＭ１１に格納された鍵データを、ＥＥＰＲＯＭ１２から消去する。消去とは、「all 0xFF」や「all 0x00」に書き換えることを意味する場合もあるが、別の特定のデータ（例えば「all 0x11」や「all 0x22」など）に書き換えることでも同等の効果を得ることができる。また、１ブロック（１６バイト）のデータ領域を、「0x00，0x01，0x02，0x03，・・・，0x0F」という16パターンで書き換えたり、「0x01，0x02」という２パターンを繰り返して書き換えることでも同等の効果が得られる。その他、乱数で書き換えることでも同等の効果が得られる。さらには、全データ領域について書き換えるではなく、予め指定された又はランダムに選択された特定のデータ領域のみについて、データを書き換えることでも同等の効果が得られる。
　これらの一連の処理（ステップＳ１～Ｓ６）が終わると、ＲＡＭ１１に格納されている実行プログラムの下で各種の処理が実行され、電子機器装置１の通常運用を行うことができる（ステップＳ７）。
　通常運用終了後、操作者が電源を切る操作を行うと、上位装置から電源を切ることを許可する電源切断許可コマンドが電子機器装置１に送信され、電子機器装置１はそれを受信する（ステップＳ８）。
　かかるコマンドを受信した電子機器装置１は、ＲＡＭ１１内に格納されている鍵データをＥＥＰＲＯＭ１２に書き込んで（write）格納する（ステップＳ９）。
　ＲＡＭ１１内に格納されている鍵データをＥＥＰＲＯＭ１２に書き込む作業が終了すると、電源が切断されて非通電状態となる（ステップＳ１０）。再度電源を投入すると、ステップＳ１からの処理が繰り返し実行される。
　このように、図３に示す各種の処理を正常に実行することで、鍵データは電子機器装置１内に保持される。
［不正行為がされた時］
　図４は、不正行為がされた時に、電子機器装置１にて実行される処理ルーチンを示すフローチャートである。
　図４のステップＳ７は、図３と同様であり、電子機器装置１の通常運用が行われている状態である。
　通常運用終了後、ステップＳ８の電源切断許可コマンドを受信することなく電源が切られた場合で（ステップＳ１１）、以後に、電源を投入して通電状態にすると（ステップＳ１）、ＣＲＣチェックにて（ステップＳ２）、チェック結果がエラーとなり、セキュリティエラーを上位装置に通知する（ステップＳ４）。
　これは、電源切断許可コマンドを受信することなく電源が切られた場合には、ステップＳ９を実行することがないので、ＲＡＭ１１内に格納されている鍵データをＥＥＰＲＯＭ１２に書き込むことなく、非通電状態となる。そのため、ＲＡＭ１１内に格納されている鍵データは消失され、ステップＳ６において既にＥＥＰＲＯＭ１２の鍵データは消去されていることから、電子機器装置１内に鍵データが残っておらず、常にセキュリティエラーとなるものである。
　このように、図３に示す各種の処理を実行することなく非通電状態に移行することで、鍵データは電子機器装置１内に保持されずに消失する。
［消去の例］
　以下、ＥＥＰＲＯＭ１２内に格納されている電子情報をＲＡＭ１１に格納して、ＥＥＰＲＯＭ１２の電子情報をＲＡＭ１１に退避した後に、ＥＥＰＲＯＭ１２内に格納されている電子情報を消去する例について説明する。なお、電子情報の退避は、ＥＥＰＲＯＭ１２内に格納されている電子情報の全てであってもよく、ＥＥＰＲＯＭ１２内に格納されている電子情報の一部（例えば、鍵データ）であってもよい。ＥＥＰＲＯＭ１２内に格納されている電子情報の全部又は一部を消去するのは、ＥＥＰＲＯＭ１２内の電子情報を特定することができないようにするためであり、以下では、電子情報の一部である鍵データを退避させて消去する例を説明する。
　第１の例として、既述したように、ＥＥＰＲＯＭ１２内の鍵データのみを全てＲＡＭ１１に格納し、その後、ＥＥＰＲＯＭ１２内の鍵データを全て消去する。
　第２の例として、ＥＥＰＲＯＭ１２内の鍵データのみを全てＲＡＭ１１に格納し、その後、ＥＥＰＲＯＭ１２内の鍵データを全て消去して、消去前の鍵データを特定不能な状態にする。特定不能な状態にするとは、鍵データのある特定の一部だけを消去したり、鍵データをランダムに一部だけを消去したりする。
　第３の例として、ＥＥＰＲＯＭ１２内の鍵データをＲＡＭ１１に格納し、その後、ＲＡＭ１１に格納した鍵データについて、ＥＥＰＲＯＭ１２から全て消去する。第４の例として、ＥＥＰＲＯＭ１２内の鍵データをＲＡＭ１１に格納し、その後、ＲＡＭ１１に格納した鍵データについて、ＥＥＰＲＯＭ１２から消去して、消去前の鍵データを特定不能な状態にする。特定不能な状態にするとは、既述した通りである。
　また、電子情報の全部を退避させて消去する例としては、以下のとおりである。
　第１の例として、ＥＥＰＲＯＭ１２内の鍵データを含む全ての電子情報をＲＡＭ１１に格納し、その後、ＥＥＰＲＯＭ１２の鍵データを含む全ての電子情報を消去する。
　第２の例として、ＥＥＰＲＯＭ１２内の鍵データを含む全ての電子情報をＲＡＭ１１に格納し、その後、ＥＥＰＲＯＭ１２の鍵データを含む全ての電子情報の一部を消去して、消去前の鍵データを特定不能な状態にする。特定不能な状態にするとは、既述した通りである。
［応用例］
　鍵データの他に、実行プログラムの一部もＲＡＭ１１に格納して、ＲＡＭ１１とＥＥＰＲＯＭ１２とに格納された実行プログラムで運用することもできる、この場合、電源切断許可コマンドを受信することなく電源が切断されたときは、実行プログラムの一部も消失されてしまうため、以後正常に動作できなくなる。ＥＥＰＲＯＭ１２からＲＡＭ１１に移動する実行プログラムの一部としては、各割り込みのジャンプ先が指定されているテーブルや、モニタ管理されるタスクが指定されているタスクテーブルなどがある。
　本発明に係る不正行為防止方法は、簡易な構成で不正操作による電子情報の外部漏洩を防ぐことができるものとして有用である。

Claims (2)

  1. 　機密データを含む電子情報が格納された不揮発性メモリと、各種動作に必要な作業データが格納される揮発性メモリと、が備えられた機密データを取り扱う電子機器装置の不正操作を防止する不正操作防止方法であって、
    　電子機器装置の通電状態において、前記不揮発性メモリ内に格納されている電子情報を、前記揮発性メモリに格納する工程と、
    　前記不揮発性メモリから揮発性メモリに格納された電子情報を、当該不揮発性メモリ内から消去する工程と、
    　電子機器装置は、上位装置から電源を切ることを許可する電源切断許可コマンドを受信する工程と、
    　前記電源切断許可コマンドを受信後、前記揮発性メモリ内に格納されている電子情報を前記不揮発性メモリに格納する工程と、
    　を有し、
    　前記電源切断許可コマンドを受信することなく非通電状態となった場合に、前記電子情報が消失されることを特徴とする不正行為防止方法。
  2. 　前記電子情報には実行プログラムを含むことを特徴とする請求項１記載の不正行為防止方法。
PCT/JP2009/000446 2008-02-08 2009-02-05 不正行為防止方法 WO2009098881A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008-028335 2008-02-08
JP2008028335A JP4675980B2 (ja) 2008-02-08 2008-02-08 不正行為防止方法

Publications (1)

Publication Number Publication Date
WO2009098881A1 true WO2009098881A1 (ja) 2009-08-13

Family

ID=40951961

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/000446 WO2009098881A1 (ja) 2008-02-08 2009-02-05 不正行為防止方法

Country Status (2)

Country Link
JP (1) JP4675980B2 (ja)
WO (1) WO2009098881A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5949357B2 (ja) * 2012-09-10 2016-07-06 大日本印刷株式会社 セキュリティトークン、データ改竄検知方法およびコンピュータプログラム
JP6171505B2 (ja) * 2013-04-04 2017-08-02 富士ゼロックス株式会社 情報処理装置およびプログラム
WO2017085795A1 (ja) * 2015-11-17 2017-05-26 株式会社リキッド・デザイン・システムズ 対象者発見支援システム及び対象者情報発信装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08504067A (ja) * 1992-11-30 1996-04-30 モトローラ・インコーポレイテッド 暗号化通信装置内の改善された機密性に関する方法および装置
JP2005045760A (ja) * 2003-07-24 2005-02-17 Hitachi Ltd 暗号処理方法及び装置
JP2007109148A (ja) * 2005-10-17 2007-04-26 Hitachi Ulsi Systems Co Ltd 外部記憶装置
JP2007293401A (ja) * 2006-04-21 2007-11-08 Csp Frontier Kenkyusho:Kk データ消去システム、管理サーバ、データ消去方法およびプログラム

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19942141C2 (de) * 1998-10-06 2003-12-04 Ricoh Kk Verfahren und Vorrichtung zum Löschen von Daten nach einer Fälschung
JP2002189636A (ja) * 2000-12-20 2002-07-05 Sega Corp セキュリティシステム
JP2006285446A (ja) * 2005-03-31 2006-10-19 Nec Engineering Ltd コンピュータシステムおよびそのクライアントコンピュータ

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08504067A (ja) * 1992-11-30 1996-04-30 モトローラ・インコーポレイテッド 暗号化通信装置内の改善された機密性に関する方法および装置
JP2005045760A (ja) * 2003-07-24 2005-02-17 Hitachi Ltd 暗号処理方法及び装置
JP2007109148A (ja) * 2005-10-17 2007-04-26 Hitachi Ulsi Systems Co Ltd 外部記憶装置
JP2007293401A (ja) * 2006-04-21 2007-11-08 Csp Frontier Kenkyusho:Kk データ消去システム、管理サーバ、データ消去方法およびプログラム

Also Published As

Publication number Publication date
JP2009187411A (ja) 2009-08-20
JP4675980B2 (ja) 2011-04-27

Similar Documents

Publication Publication Date Title
JP5421679B2 (ja) 不正行為を検知する検知方法
JP5412644B2 (ja) 電子機器装置の不正取り外し検知方法
US20020199054A1 (en) Method of overwriting data in nonvolatile memory and a control apparatus used for the method
WO2009098881A1 (ja) 不正行為防止方法
JP2002062956A (ja) 停電処理方法及び停電処理装置
JP5200410B2 (ja) ストレージ装置
JP4695434B2 (ja) 記録媒体価値付け装置
US8566572B2 (en) Method, device and non-transitory computer readable storage medium for masking the end of life transition of a electronic device
JP4734582B2 (ja) 不揮発性メモリのデータ更新方法、制御装置、及びデータ更新プログラム
WO2009087970A1 (ja) メモリ監視方法
JP3668514B2 (ja) 半導体記憶装置
JP3559498B2 (ja) セキュリティ機能付きのカードリーダ装置
JPH06231312A (ja) Ｉｃカード再発行方法
JP2005001218A (ja) プリンタ装置およびその制御方法
JP2001135000A (ja) ライブラリ装置
KR101591770B1 (ko) 보안데이터 자동 삭제 기능을 가지는 데이터 기록 장치 및 그 데이터 보안 방법
JP2018055598A (ja) 情報処理装置及び情報処理方法
JP2006214599A (ja) 空気調和機
JP2001084176A (ja) 不正読み出し防止装置およびその方法
JP2002229856A (ja) 高セキュリティｉｃチップ
JP3835753B2 (ja) Ｉｃカード
JPH09179787A (ja) 携帯可能情報記憶媒体
JP5503980B2 (ja) シーケンスプログラム、シーケンスプログラムを記録した記録媒体、シーケンスプログラムを格納したプログラマブルコントローラ、並びにプログラマブルコントローラにおけるシーケンスプログラムの保護支援方法及び装置
JP2006024279A (ja) 不揮発性メモリ
JP2010003130A (ja) 電子機器装置の不正行為防止方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09708650

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09708650

Country of ref document: EP

Kind code of ref document: A1