WO2016067473A1 - セキュリティシステム及びコンピュータ機器間の通信方法 - Google Patents

セキュリティシステム及びコンピュータ機器間の通信方法 Download PDF

Info

Publication number
WO2016067473A1
WO2016067473A1 PCT/JP2014/079144 JP2014079144W WO2016067473A1 WO 2016067473 A1 WO2016067473 A1 WO 2016067473A1 JP 2014079144 W JP2014079144 W JP 2014079144W WO 2016067473 A1 WO2016067473 A1 WO 2016067473A1
Authority
WO
WIPO (PCT)
Prior art keywords
output data
unit
program
trm
module
Prior art date
Application number
PCT/JP2014/079144
Other languages
English (en)
French (fr)
Inventor
清之 小檜山
橋本　伸
Original Assignee
富士通株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 富士通株式会社 filed Critical 富士通株式会社
Priority to JP2016556173A priority Critical patent/JP6547756B2/ja
Priority to PCT/JP2014/079144 priority patent/WO2016067473A1/ja
Publication of WO2016067473A1 publication Critical patent/WO2016067473A1/ja
Priority to US15/497,899 priority patent/US20170228546A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/561—Virus type analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/86—Secure or tamper-resistant housings
    • G06F21/87—Secure or tamper-resistant housings by means of encapsulation, e.g. for integrated circuits
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C9/00—Individual registration on entry or exit
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2123—Dummy operation
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C9/00—Individual registration on entry or exit
    • G07C9/00174—Electronically operated locks; Circuits therefor; Nonmechanical keys therefor, e.g. passive or active electrical keys or other data carriers without mechanical keys
    • G07C9/00309—Electronically operated locks; Circuits therefor; Nonmechanical keys therefor, e.g. passive or active electrical keys or other data carriers without mechanical keys operated with bidirectional data transmission between data carrier and locks
    • G07C2009/00412—Electronically operated locks; Circuits therefor; Nonmechanical keys therefor, e.g. passive or active electrical keys or other data carriers without mechanical keys operated with bidirectional data transmission between data carrier and locks the transmitted data signal being encrypted

Definitions

  • the present invention relates to a security system and a communication method between computer devices.
  • anti-virus software may be installed on the computer equipment included in the system.
  • An object of one aspect of the present invention is to provide a security system and a communication method between computer devices that can prevent adverse effects of cracking from being derived in various parts of the system.
  • the security system is a security system including a first device and a second device, and the first device is a first target to be monitored among programs operating on the first device.
  • a second protection unit that protects the second program, a second decryption unit that decrypts the encrypted data of the transmitted output data, and encrypts the output data by encrypting the decrypted output data
  • FIG. 1 is a diagram illustrating a configuration example of the surveillance camera system according to the first embodiment.
  • FIG. 2 is a diagram illustrating an example of communication executed by the monitoring camera system according to the first embodiment.
  • FIG. 3 is a block diagram illustrating a functional configuration of a computer device included in the monitoring camera system according to the first embodiment.
  • FIG. 4 is a sequence diagram illustrating a process flow of the monitoring camera system according to the first embodiment.
  • FIG. 5 is a block diagram illustrating a functional configuration of a PC according to an application example.
  • FIG. 6 is a block diagram illustrating a functional configuration of a PC according to an application example.
  • FIG. 7 is a diagram illustrating an example of an operation example of the survival confirmation function.
  • FIG. 8 is a diagram illustrating an example of multiplexing.
  • FIG. 1 is a diagram illustrating a configuration example of the surveillance camera system according to the first embodiment.
  • FIG. 1 illustrates a surveillance camera system 1 as an example of a security system.
  • the surveillance camera system 1 shown in FIG. 1 accommodates computer devices such as a personal computer (PC) 110, a surveillance camera 120, a card reader 130, an entrance qualification check server 140, an entrance qualification database 150, and a door controller 160.
  • PC 110, the monitoring camera 120, the card reader 130, the entrance qualification check server 140, the entrance qualification database 150, and the door controller 160 may be collectively referred to as “computer device 100”.
  • FIG. 2 is a diagram illustrating an example of communication executed by the surveillance camera system according to the first embodiment. For example, when an ID recorded on a card is read by the card reader 130 and a password is input via an input unit attached to the card reader 130, such as a numeric keypad, as shown in FIG. The ID and password are transmitted from the card reader 130 to the entry qualification check server 140.
  • the room entry qualification check server 140 inquires of the room entry qualification database 150 about the password corresponding to the ID received from the card reader 130 as shown in FIG.
  • the entry qualification database 150 returns a password corresponding to the ID inquired from the entry qualification check server 140 to the entry qualification check server 140 as shown in FIG.
  • the entry qualification check server 140 collates the password received from the card reader 130 with the password returned from the entry qualification database 150, and determines whether or not the two passwords match.
  • the room entry qualification check server 140 instructs the door controller 160 to open the door 61 as shown in FIG.
  • the door controller 160 opens the door 61 by driving the motor 60 in accordance with an instruction from the entrance qualification check server 140 as shown in FIG. Note that if the passwords of the two do not match, the door opening instruction is not transmitted from the entrance qualification check server 140 to the door controller 160.
  • the entry qualification check server 140 transmits the password verification result to the PC 110 as shown in FIG.
  • the password verification result for example, “OK” or “NG” is displayed on the PC 110 on the PC 110.
  • the surveillance camera 120 receives an image of the periphery of the door 61 captured at a predetermined frame rate, and the image is displayed on the display of the PC 110. Is done. For this reason, if the maintenance person who views the display of the PC 110 determines that the opening of the door or the operation of closing the door is received via the input unit of the PC 110, the PC 110 instructs the door controller 160 to stop opening the door. The door can be instructed to close.
  • Each computer device 100 included in the surveillance camera system 1 includes a central processing unit, a so-called CPU (Central Processing Unit) 111, 121, 131, 141, 151 and 161, and a main storage device, so-called memories 113, 123, 133, 143. , 153 and 163. Then, the CPU of each computer device executes various processes by developing various programs read from a ROM (Read Only Memory) or an auxiliary storage device (not shown) on the memory.
  • ROM Read Only Memory
  • auxiliary storage device not shown
  • the CPU of each computer device does not necessarily have to be implemented as a central processing unit, but may be implemented as an MPU (Micro Processing Unit).
  • These computer devices 100 are mounted with a general-purpose OS (Operating System), and the computer devices 100 are connected by Ethernet (registered trademark) as an example.
  • a general-purpose OS Operating System
  • Ethernet registered trademark
  • a general-purpose OS installed on the computer device 100 and realizing communication between the computer devices 100 of the surveillance camera system 1 by Ethernet, a system can be constructed at low cost.
  • a case where a general-purpose OS is mounted on each computer device 100 is illustrated, but a dedicated OS may be mounted from the viewpoint of improving security.
  • a case where each computer device 100 is connected by Ethernet is illustrated, but a part or all of the computer devices 100 may be connected by the Internet.
  • the internal structure of the computer device 100 in which the CPU, the memory, and the OS are constructed by general-purpose types is well known, there is still a possibility of being cracked.
  • a cracking route if the surveillance camera system 1 is connected to the Internet, a virus may enter via the Internet.
  • the cracking route is not limited to this, and there is a possibility that a virus may enter from a USB (Universal Serial Bus) memory.
  • the PC 110 may be illegally controlled and the following problems may occur.
  • the surveillance camera 120 is cracked, there is a possibility that a fake video is input to the PC 110 for overall control. Further, when the door controller 160 is cracked, the door 61 may remain open even if the PC 110 for overall control instructs the door 61 to close. Furthermore, when the card reader 130 is cracked, there is a possibility that false sensing information, that is, an ID and a password are input to the entrance qualification check server 140. Even when the other computer device 100 is cracked, the function as the surveillance camera system 1 may be impaired.
  • the function of the surveillance camera system 1 may be impaired due to information theft or false information.
  • each computer device 100 includes TRM (Tamper Resistant Module) 115, 125, 135, 145, 155 having a tamper-resistant structure that is difficult to peep from or tamper with from the outside. And 165 are implemented.
  • TRM Transmission Resistant Module
  • each TRM has a structure for physically and logically protecting TRM internal analysis and tampering, and is connected to the CPU and memory of a computer device via a PCI (Peripheral Component Interconnect) bus. It is implemented as an LSI (Large Scale Integration). Specifically, each TRM is coated with a strong and highly adhesive coating inside, and when the surface is peeled off, the internal circuit is destroyed or dummy wiring is arranged.
  • the CPU and the memory of the computer device are connected via the PCI bus, but the TRM may be mounted on the system board, and the TRM is connected via the USB. It doesn't matter.
  • each TRM performs monitoring of a program operating on the computer device 100, but does not necessarily protect all programs. That is, each TRM performs protection by focusing on a specific monitoring target program among programs such as an OS running on the computer apparatus 100, firmware, middleware, and application programs.
  • a program that is monitored by the TRM may be referred to as a “monitored program”.
  • An example of such a monitoring target program is a program responsible for functions related to the monitoring camera system 1.
  • the computer device 100 under the control of the PC 110, such as the surveillance camera 120, the card reader 130, the entrance qualification check server 140, the entrance qualification database 150, and the door controller 160. Protection can be limited to programs that are remotely controlled.
  • the function as the monitoring camera system 1 cannot always be maintained. This is because even if the monitoring target program itself is in a secure state, the output data output by the monitoring target program is not always safe.
  • each TRM has a section (A) until data is output from the monitored program to the transmission path and a section of the transmission path between the computer equipment 100 ( A method in which only the TRM of each other knows in advance between B) and the section (C) until the output data received from the transmission path is output to the monitoring target program operating on the transmission destination computer device 100.
  • communication between the computer devices 100 is performed in a state where the output data is not exposed in plain text to programs other than the TRM and the program to be monitored protected by the TRM.
  • FIG. 3 is a block diagram illustrating a functional configuration of the computer apparatus 100 included in the monitoring camera system 1 according to the first embodiment.
  • the PC 110 and the door controller 160 are extracted from the computer device 100 included in the surveillance camera system 1.
  • each TRM shown in FIG. 3 has a minimum function used when output data from the monitoring target program operating on the CPU 111 of the PC 110 is transmitted to the monitoring target program operating on the CPU 161 of the door controller 160.
  • the present invention is not necessarily limited to the functional configuration shown in FIG. For example, when the communication direction is reversed, the same communication can be realized by replacing the functional units of each TRM between the PC 110 and the door controller 160.
  • the PC 110 includes a CPU 111 and a CPU 117 of a TRM 115 connected to the CPU 111 via a PCI bus.
  • the CPU 111 of the PC 110 may be described as “PC CPU 111” and the CPU 117 of the TRM 115 may be described as “TRM CPU 117”.
  • FIG. 3 illustration of functional units other than the PC CPU 111 and the TRM CPU 117 is omitted.
  • the functional units included in the existing computer may be included.
  • the PC 110 may include a communication I / F (InterFace) unit realized by a network interface card, an input device for inputting various instructions, a display device for displaying various information, and the like.
  • I / F InterFace
  • the PC CPU 111 virtually develops the following processing units by developing various programs read from a ROM (Read Only Memory) or auxiliary storage device not shown in the work area on the memory 113 shown in FIG. Realize.
  • the PC CPU 111 includes an OS execution unit 111A, an application execution unit 111B, a communication processing unit 111C, and a monitoring target program execution unit 111D.
  • the OS execution unit 111A is a processing unit that controls the execution of the OS.
  • the application execution unit 111B is a processing unit that controls the execution of the application program.
  • the communication processing unit 111C is a processing unit that controls execution of the Ethernet controller. The software executed by these processing units does not correspond to the monitoring target program in the example shown in FIG.
  • the monitoring target program execution unit 111D is a processing unit that controls the execution of the monitoring target program.
  • a program for remotely controlling at least one computer device 100 among the monitoring camera 120, the card reader 130, the entrance qualification check server 140, the entrance qualification database 150, and the door controller 160 under the control of the PC 110 Is mentioned.
  • the following description will be given on the assumption that the monitoring target program is a program for remotely controlling the door controller 160.
  • the TRM CPU 117 virtually implements the following processing unit by developing a security program read from a ROM or auxiliary storage device in the TRM 115 (not shown) in a work area of a memory in the TRM 115 (not shown).
  • the TRM CPU 117 includes a protection unit 117A, a first decryption unit 117B, a first verification unit 117C, a first addition unit 117D, and a first encryption unit 117E.
  • the first decryption unit 117B, the first addition unit 117D, and the first encryption unit 117E can be implemented as software, or can be implemented as hardware such as a circuit.
  • the protection unit 117A is a processing unit that protects a monitoring target program among programs operating on the PC CPU 111.
  • techniques described in documents such as Japanese Patent Application Laid-Open Nos. 2008-118265, 2009-205627, 2012-234362, and 2012-38222 can be used.
  • the technique described in the above-mentioned document is illustrated, but other known techniques can be used as long as the technique protects the program.
  • the protection unit 117A has functions of code scan, reconstruction, and secret number communication (Secret number). Since these functions exist in the TRM 115 that is difficult to look into and tamper from the outside, it is difficult to analyze and tamper with the functions. For example, if the above code scan function is analyzed and it is known in advance which part of the code to be monitored is scanned, a fake code scan result is prepared in advance, and the monitored program has been altered. However, there is a possibility that the result is not tampered with. Further, the above reconfiguration is a technique that makes it difficult to analyze a program by a cracker by changing an internal program code even if the function of the monitored program is viewed from the outside.
  • the protection unit 117A embeds a secret number communication routine in the monitoring target program in advance, and performs “secret number communication” during the actual operation of the program, and the monitoring target program and the protection unit 117A. It is a technique to perform authentication between. For example, a certain number is output from the protection unit 117A to the monitoring target program, and the monitoring target program responds thereto. The protection unit 117A determines the legitimacy of the monitoring target program depending on whether the response is a regular response.
  • the protection unit 117A embeds a different secret number routine every predetermined number of times in the monitoring target program, cracking of this routine by a cracker is difficult. This can also be cracked if it is looked inside the TRM 115 and a secret number routine is predicted in advance. For these reasons, by embedding functions such as the above-described code scanning, reconfiguration, and secret number communication in the TRM 115 and making it impossible to peep from the outside, cracking to the monitoring target program can be made difficult. In addition, by making the TRM115 tamper resistant, tampering is difficult, and the risk of disabling the code scan function, disabling the reconfiguration function, or disabling the secret number communication function is suppressed. it can.
  • the monitored program thus protected is difficult to analyze the program code that is the premise of cracking due to the above reconfiguration, and even if the program code is analyzed and the program code is falsified, the code scanning function described above Tampering is detected.
  • the above-described secret number communication function enables authentication of the monitoring target program.
  • the protection unit 117A can embed the “number communication routine” in the monitoring target program and embed a “different secret key” each time. Using this key, data can be exchanged between the monitored program and the TRM 115 without being looked into by other programs.
  • Such a function can be used to receive encrypted output data from the monitored program, decrypt it, and check whether it has been tampered with. If the monitoring target program adds tampering detection information to the output data output by the monitoring target program, for example, a hash value of the output data, encrypts it with a “secret key different each time”, and sends it to the TRM 115, other protection is provided. It is difficult for a program that does not exist to peep at or tamper with output data from the monitored program.
  • This function can also be used to transmit data to a monitoring target program protected from the TRM 115 in a form that cannot be peeped or tampered with by other programs. In this way, by using the number communication routine described above, it is possible to share a key between the protection unit 117A and the monitoring target program.
  • the first decryption unit 117B is a processing unit that decrypts the encrypted data of the output data output by the monitoring target program.
  • the monitoring target program When such a communication trigger occurs, the monitoring target program adds the falsification verification information, for example, the hash value of the output data, as the falsification verification information to the output data output by the monitoring target program, and the output data and falsification verification information. Is encrypted.
  • a key exchanged between the monitoring target program and the first decryption unit 117B according to the number communication routine can be used for encryption of the output data.
  • AES Advanced Encryption Standard
  • NESSIE New European Schemes for Signature, Integrity, and Encryption
  • the encrypted data of the output data is output from the monitoring target program execution unit 111D to the first decryption unit 117B.
  • the first decryption unit 117B decrypts the encrypted data of the output data, and outputs the output data and the tampering verification information. 1 output to the verification unit 117C.
  • the first verification unit 117C is a processing unit that verifies the presence / absence of falsification of the output data using the falsification verification information decrypted from the encrypted data of the output data.
  • the first verification unit 117C includes the tampering verification information decrypted by the first decryption unit 117B and the output data calculated using the hash function from the output data decrypted by the first decryption unit 117B. Compare the hash value. At this time, if the falsification verification information and the hash value of the output data match each other, it can be estimated that the output data from the monitoring target program has not been falsified by another program operating on the PC CPU 111. In this case, the first verification unit 117C outputs the output data from the monitoring target program to the first addition unit 117D. When alteration of output data is detected, output to the first addition unit 117D can be stopped, or notification can be made via a display device (not shown).
  • 1st addition part 117D is a process part which adds the tampering verification information of output data to the output data decoded by the 1st decoding part 117B.
  • the first addition unit 117D uses the hash function to hash the output data decrypted by the first decryption unit 117B. Calculate the value. As a result, a digest of the output data is generated. This is used as an electronic signature, and the first addition unit 117D adds the electronic signature to the output data decrypted by the first decryption unit 117B as falsification verification information.
  • the first encryption unit 117E is a processing unit that encrypts the output data to which the falsification verification information is added by the first addition unit 117D.
  • the first encryption unit 117E uses the key exchanged with the TRM on the computer device 100 to which the output data is transmitted in accordance with a routine similar to the number communication routine described above,
  • the output data to which the falsification verification information is added is encrypted by the unit 117D.
  • AES encryption, NESSIE encryption, or the like can be applied to the encryption, as in the above-described monitoring target program.
  • the first encryption unit 117E outputs the encrypted data of the output data to the communication processing unit 111C on the PC CPU 111.
  • the communication processing unit 111C Upon receiving the encrypted data of the output data, the communication processing unit 111C divides the encrypted data of the output data received from the first encryption unit 117E, converts it into the Ethernet format, and sends it out over the Ethernet.
  • the monitoring target program execution unit 111D, the first decryption unit 117B, the first verification unit 117C, the first addition unit 117D, and the first encryption unit 117E transmit the above section (A), that is, the monitoring target program. It is possible to suppress the output data from being falsified in the section until the data is output to the road.
  • the communication processing unit 111C is cracked, since the data being handled is encrypted and digitally signed, it cannot be significantly altered.
  • the output data may be tampered even on the Ethernet line, but since it is encrypted and digitally signed, significant tampering is difficult. Therefore, significant alteration can be suppressed in the section (B), that is, the section of the transmission path between the computer devices 100.
  • the door controller 160 has a CPU 161 and a CPU 167 of a TRM 165 connected to the CPU 161 via a PCI bus.
  • the CPU 161 of the door controller 160 is sometimes referred to as “door CPU 161” and the CPU 167 of the TRM 165 is sometimes referred to as “TRM CPU 167” from the viewpoint of distinguishing between the CPUs.
  • FIG. 3 illustration of functional units other than the door CPU 161 and the TRM CPU 167 is omitted, but the functional units included in an existing computer may be included.
  • a drive unit such as the motor 60 shown in FIG. 2 or an input device such as a dip switch may be provided.
  • Door CPU 161 virtually implements the following processing unit by developing various programs read from a ROM or auxiliary storage device (not shown) in the work area on memory 163 shown in FIG.
  • the door CPU 161 includes an OS execution unit 161A, an application execution unit 161B, a communication processing unit 161C, and a monitoring target program execution unit 161D.
  • the OS execution unit 161A is a processing unit that controls the execution of the OS.
  • the application execution unit 161B is a processing unit that controls the execution of the application program.
  • the communication processing unit 161C is a processing unit that controls execution of the Ethernet controller. The software executed by these processing units does not correspond to the monitoring target program in the example shown in FIG.
  • the monitoring target program execution unit 161D is a processing unit that controls the execution of the monitoring target program.
  • the monitoring target program there is a program for controlling the opening and closing of the door 61 under the control of the door CPU 161.
  • the following description will be made on the assumption that the monitoring target program is a program for controlling the opening or closing of the door 61.
  • the TRM CPU 167 virtually implements the following processing unit by developing a security program read from a ROM or auxiliary storage device in the TRM 165 (not shown) in a work area of the memory in the TRM 165 (not shown).
  • the TRM CPU 167 includes a protection unit 167A, a second decryption unit 167B, a second verification unit 167C, a second addition unit 167D, and a second encryption unit 167E.
  • the second decryption unit 167B, the second addition unit 167D, and the second encryption unit 167E can be implemented as software, or can be implemented as hardware such as a circuit.
  • the protection unit 167A is a processing unit that protects the monitoring target program among the programs operating on the door CPU 161. Since the method for protecting the monitoring target program is the same as that of the protection unit 117A, the description thereof is omitted.
  • the second decryption unit 167B is a processing unit that decrypts the encrypted data of the output data received by the communication processing unit 161C.
  • the second decoding unit 167B performs a PKI (Public Key Infrastructure) or the like with the computer device 100 that is the transmission source of output data, for example, the TRM 115 on the PC 110, according to a routine similar to the number communication routine described above.
  • Key information for decrypting the encrypted data by mutual communication based on the public key, the secret key algorithm, etc., and the communication processing unit 161C uses the public key and the like thus exchanged.
  • the encrypted data of the received output data is decrypted, and the output data and falsification verification information are output to the second verification unit 167C.
  • the second verification unit 167C is a processing unit that verifies the presence / absence of falsification of the output data using the falsification verification information decrypted from the encrypted data of the output data by the second decryption unit 167B.
  • the second verification unit 167C includes the tampering verification information decrypted by the second decryption unit 167B and the output data calculated using the hash function from the output data decrypted by the second decryption unit 167B. Compare the hash value. At this time, if the falsification verification information and the hash value of the output data match, it can be estimated that the output data from the monitoring target program has not been falsified by another program operating on the Ethernet and the door CPU 161. In this case, the second verification unit 167C outputs the output data from the monitoring target program to the second addition unit 167D. When alteration of the output data is detected, output to the second addition unit 167D can be stopped, or notification can be made via a display device (not shown).
  • the second adding unit 167D is a processing unit that adds output data alteration verification information to the output data decoded by the second decoding unit 167B.
  • the second addition unit 167D uses the hash function to hash the output data decrypted by the second decryption unit 167B. Calculate the value. As a result, a digest of the output data is generated. This is used as an electronic signature, and the second addition unit 167D adds the electronic signature to the output data decrypted by the second decryption unit 167B as falsification verification information.
  • the second encryption unit 167E is a processing unit that encrypts the output data to which the tampering verification information is added by the second addition unit 167D.
  • the second encryption unit 167E uses a key exchanged with the monitoring target program executed by the monitoring target program execution unit 161D according to a routine similar to the number communication routine described above, and the like. 2
  • the output data to which the falsification verification information is added by the adding unit 167D is encrypted.
  • an arbitrary algorithm such as an AES cipher or a NESSIE cipher can be applied to the encryption.
  • the second encryption unit 167E outputs the encrypted data of the output data to the monitoring target program operating on the door CPU 161.
  • the monitoring target program of the door controller 160 executes a process corresponding to the output data from the monitoring target program of the transmission source computer device 100.
  • the door 61 is opened or closed by the monitoring target program of the door controller 160 in accordance with the opening or closing instruction specified by the monitoring target program of the PC 110.
  • a series of processes of the second decryption unit 167B, the second verification unit 167C, the second addition unit 167D, the second encryption unit 167E, and the monitored program execution unit 161D receive the above section (C), that is, from the transmission path.
  • the output data can be prevented from being falsified in the interval until the output data is output to the monitoring target program operating on the transmission destination computer device 100.
  • significant alteration of the output data can be suppressed over each of the sections (A) to (C), it is possible to protect the monitoring target program and to crack a program other than the monitoring target program, such as an OS or an application program.
  • a timer is provided in each of the PC 110 and the TRM of the door controller 160, and legitimate communication (based on a public key such as PKI in the TRM, a secret key algorithm, etc.) If mutual communication, etc.) cannot be confirmed, it is possible to further enhance security by performing optional processing such as warning the system administrator of the possibility of inadvertent tampering.
  • FIG. 4 is a sequence diagram illustrating a processing flow of the monitoring camera system 1 according to the first embodiment.
  • FIG. 4 shows, as an example, a sequence in a case where data output from the monitoring target program operating on the PC 110 is transmitted to the monitoring target program operating on the door controller 160. This process is started when output data is transmitted from the PC 110 to the door controller 160.
  • the monitoring target program operating on the PC CPU 111 adds the hash value of the output data to the output data output by the monitoring target program as falsification verification information (step S101). Subsequently, the monitoring target program operating on the PC CPU 111 encrypts the output data to which the falsification verification information is added in step S101 (step S102).
  • the monitoring target program operating on the PC CPU 111 outputs the encrypted data of the output data encrypted in step S102 to the first decryption unit 117B (step S103).
  • the first decryption unit 117B decrypts the encrypted data of the output data output from the monitoring target program in step S103 (step S104), and outputs the output data and the falsification verification information to the first verification unit 117C. To do.
  • the first verification unit 117C verifies whether or not the output data decrypted in step S104 has been falsified using the falsification verification information decrypted from the encrypted data of the output data in step S104 (step S105). .
  • the first addition unit 117D After the falsification verification verifies that the output data has not been falsified, the first addition unit 117D newly adds the falsification verification information of the output data to the output data decoded in step S104 (step S106).
  • the first encryption unit 117E encrypts the output data to which the falsification verification information is added in step S106 (step S107), and outputs the encrypted data of the output data to the communication processing unit 111C on the PC CPU 111.
  • the communication processing unit 111C of the PC CPU 111 divides the encrypted data of the output data encrypted in step S107, converts the data into the Ethernet format, and sends the encrypted data of the output data to the Ethernet. It transmits to the door controller 160 (step S108).
  • the second decryption unit 167B of the TRM CPU 167 decrypts the encrypted data of the output data received by the communication processing unit 161C by the transmission in step S108 (step S109). Subsequently, the second verification unit 167C verifies whether or not the output data decrypted in step S109 has been falsified by using the falsification verification information decrypted from the encrypted data of the output data in step S109 (step S110). ).
  • the second addition unit 167D After verifying that the output data is not falsified by the falsification verification, the second addition unit 167D adds the falsification verification information of the output data to the output data decoded in step S109 (step S111).
  • the second encryption unit 167E encrypts the output data to which the falsification verification information is added in Step S111 (Step S112), and outputs the encrypted data of the output data to the monitoring target program operating on the door CPU 161 (Step S112). S113).
  • the monitoring target program operating on the door CPU 161 is obtained by decrypting the encrypted data of the output data received from the second encryption unit 167E (step S114) and using the falsification verification information in the decryption of step S114. Whether the output data is falsified is verified (step S115).
  • processing corresponding to the output data from the monitoring target program of the transmission source computer device 100, for example, opening and closing of the door 61 Control is executed (step S116), and the process is terminated.
  • the monitoring camera system 1 protects the monitoring target program and performs communication from the monitoring target program of the transmission source when performing communication between the monitoring target programs operating on different computer devices 100.
  • the section until data is output to the transmission path and the section until output data received from the transmission path is output to the monitoring target program at the transmission destination are encrypted and communicated. Therefore, in the surveillance camera system 1 according to the present embodiment, significant alteration of output data can be suppressed over the sections (A) to (C). Therefore, according to the monitoring camera system 1 according to the present embodiment, it is possible to suppress cracking to the monitoring target program and to prevent the adverse effects of cracking from being derived in various parts of the system.
  • the minimum functional units used when the output data from the monitoring target program operating on the PC CPU 111 is transmitted to the monitoring target program operating on the door CPU 161 are the functions of the PC 110 and the door controller 160. Although illustrated as a function part, it is not limited to this.
  • the TRM CPU 117 can receive not only output data from a monitoring target program operating on the CPU 111 but also output data from a monitoring target program transmitted from another computer device 100.
  • FIG. 5 is a block diagram showing a functional configuration of a PC according to an application example.
  • the same reference numerals as those shown in FIG. 3 are given to functional units that exhibit the same functions as those shown in FIG. 3, and the description thereof will be omitted.
  • the TRM CPU 117 when receiving output data from a monitoring target program transmitted from another computer device 100, the TRM CPU 117, as shown in FIG. 5, the second decoding unit 167B of the door controller 160 shown in FIG.
  • the second verification unit 167C, the second addition unit 167D, the second decryption unit 117b, the second verification unit 117c, the second addition unit 117d, and the second encryption unit 117e that perform the same functions as the second encryption unit 167E By providing, output data from the monitoring target program transmitted from the other computer device 100 can be received.
  • Each computer device 100 does not necessarily have to input / output data through a device connected to the CPU of the computer device 100. For example, since a warning signal to a system administrator or the like may be cracked, notification is made through a display device directly connected to the TRM of each computer device 100, for example, an LED (Light Emitting Diode) lamp. You can also.
  • a display device directly connected to the TRM of each computer device 100, for example, an LED (Light Emitting Diode) lamp. You can also.
  • FIG. 6 is a block diagram showing a functional configuration of the PC 210 according to the application example.
  • the PC 210 is provided with an LED 212 that is directly connected to the TRM 115.
  • the accuracy of issuing a notification such as a warning signal can be improved by controlling the lighting or blinking of the directly connected LED 212 that can be directly controlled by the TRM 115 without being controlled by the PC CPU 111.
  • a case where one LED is connected is illustrated, but a plurality of LEDs can also be connected to the TRM 115. For example, a first LED that emits blue light and a second LED that emits red light are connected to the TRM 115.
  • each computer device 100 While each computer device 100 is not cracked, the first LED is turned on and the first LED is turned on.
  • a warning can be issued by turning off the first LED and turning on or blinking the second LED.
  • there are three or more LEDs such as red, blue, and green. Blue is normal, red is regular communication abnormal, and green is the status that the monitored program may have been cracked. Can be warned.
  • the TRM 115 determines whether output data received from a monitoring target program operating on another computer device 100 is a control command or content. If the output data is content, the TRM 115 embeds predetermined data in the content. be able to.
  • the embedding unit 217 shown in FIG. A region such as a part or an edge is detected at random, and a predetermined sign, for example, a figure such as a red circle or a character string is embedded in the randomly detected region.
  • the embedding unit 217 embeds the sign in the image by randomly setting the frequency of the sign embedded in the image between the frames of the image.
  • the embedding unit 217 uses a software or a random number generator that generates random numbers from 0 to 3 including a decimal point, for example, to generate an image over a period corresponding to the random number every time a random number is generated. The process of embedding the sign and then stopping the embedding of the sign in the image over a period corresponding to the random number generated thereafter is repeated. At the same time, the embedding unit 217 turns on the LED 212 in synchronization with the timing at which the sign is embedded in the image.
  • the viewer can view the video displayed on the display 214 as a video decoded by the TRM CPU 117. You can check if there is. Furthermore, since the display interval is random and the display location is also random, it is difficult to analyze the data immediately before being displayed and embed a label in another video and display it in real time.
  • the TRM CPU 117 of the PC 210 embeds the sign
  • the CPU of the TRM 125 of the monitoring camera 120 may embed the sign.
  • the TRM CPU 117 of the PC 210 can light the LED 212 in synchronization with the sign.
  • the TRM of each computer device 100 generates a public key of a public encryption key method for mutual authentication. For example, when the N number of TRM from TRM T 1 to TRM T N exists, the management terminal used by the system administrator, the public key P 1, TRM T 2 that TRM T 1 is generated to generate public Collect the public key P N generated by the keys P 2 ,..., TRM TN .
  • the management terminal distributes N sets (P 1 , P 2 ,..., P N ) of N TRM public keys to each TRM T i to perform mutual authentication.
  • each TRM T i has a public key corresponding to TRM T i out of N sets (P 1 , P 2 ,..., P N ) of N public keys of N TRMs.
  • Data C 1 , C 2 ,... Obtained by encrypting the hash value obtained with the number G identifying the mutual authentication groups of TRM T 1 to T N using individual public keys , and it returns the C N to the management terminal.
  • the management terminal is configured to send each C i to T i, and sends each T i is built-in computing device 100 of the address, for example to collect an IP address from each T i to each T i.
  • Each TRM T i is decrypted with the secret key p i corresponding to the public key P i and held in the internal memory of each TRM T i .
  • each TRM T i causes the CPU of each computer device 100 to start up a communication process M i for mutual authentication.
  • the communication process M i for mutual authentication activated by the TRM T i performs IP communication with the communication process M i + 1 for mutual authentication among other communication processes for mutual authentication. Do.
  • the mutual authentication communication process M N transmits a message to the mutual authentication communication process M 1 .
  • the communication process M i for mutual authentication calls TRM T i at regular intervals and receives a message for sending.
  • each TRM T i adds a hash to the communication message including the group identification number G held in the internal memory of the TRM T i and the time t at that time, and encrypts it with the public key P i + 1 of the TRM T i + 1 Pass the message for sending.
  • the operation passes a message indicating that a problem has occurred.
  • the communication process M i + 1 for mutual authentication decrypts the message received from the communication process M i for mutual authentication with its own private key p i + 1 and confirms that the content has not been altered. If the message does not reach a predetermined time from the communication process M i for or if mutual authentication content is wrong, by lighting the LED 212, a warning.
  • FIG. 7 is a diagram illustrating an example of an operation example of the survival confirmation function.
  • FIG. 7 exemplifies a process developed in the memory of the computer device and the memory of the TRM when the survival confirmation is performed among the three TRMs TRM T 1 to TRM T 3 .
  • each TRM T 1 to TRM T 3 has the public key, group identification number, etc. of other TRMs stored in the internal memory of the TRM, and operates by the CPU on the computer device 100 side.
  • the communication processes M 1 to M 3 for mutual authentication are kept secret. Therefore, it is possible to suppress a situation in which the message transmitted from the mutual authentication communication process M 1 to the mutual authentication communication process M i + 1 is forged.
  • FIG. 8 is a diagram illustrating an example of multiplexing.
  • the monitoring camera system when the door controller 160 is tripled the entrance qualification check server 140 is quadruplicated, the PC 110 is duplexed, and the entrance qualification database 150 is duplexed.
  • the entrance qualification database 150 is duplexed.
  • One deployment example is shown. Even when such multiplexing is performed, the above-described survival confirmation function can be performed.
  • the data shown in FIG. 8 can be stored as follows. That is, P 1 1 , P 1 2 , P 1 3 , separator, P 2 1 , P 2 2 , P 2 3 , P 2 4 , separator, P 3 1 , P 3 2 , separator, P 4 1 , P 4 2. Can be stored as an end symbol. Then, if the data is encrypted and delivered in the same manner as described in the section “Surviving confirmation function”, each TRM can obtain the above data.
  • the communication process M for mutual authentication of the computer devices 100 on which the respective TRMs are mounted does not operate as long as the computer device 100 having higher priority than that of the computer device 100 having the same function is operating. For example, T 1 2 does not operate if T 1 1 is operating, and T 1 3 does not operate if either T 1 1 or T 1 2 is operating.
  • the computer device 100 having higher priority than the user is not operating, a message is sent to all of the spares and all of the next numbers. For example, in the case of T 1 1, and it sends a message to T 1 2, T 1 3 with T 2 1, T 2 2, T 2 3, T 2 4.
  • the communication process M for mutual authentication of the TRM to which the message has been transmitted confirms whether or not it has to operate according to the transmitted information.
  • each TRM notifies its reserves that it will stop if the application it manages has been modified or has stopped operating. Also inform all of your next numbers to be replaced. Then restart your machine. After restarting, take over the work if possible.
  • Each TRM alerts the user by turning on a yellow warning lamp when a part of his / her number stops or when a part of his / her number stops working.
  • Each TRM alerts the user by turning on a red warning lamp when all of the previous numbers stop or when it is confirmed that the message from the previous number has not come for a certain period of time.
  • each component of each illustrated apparatus does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution / integration of each device is not limited to that shown in the figure, and all or a part thereof may be functionally or physically distributed or arbitrarily distributed in arbitrary units according to various loads or usage conditions. Can be integrated and configured.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Bioethics (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Small-Scale Networks (AREA)
  • Alarm Systems (AREA)

Abstract

　ＰＣ（１１０）は、ＰＣ（１１０）上で動作するプログラムのうち監視対象とする第１のプログラムを保護し、第１のプログラムからの出力データが暗号化された暗号化データを復号化し、復号化された出力データを暗号化し、暗号化された出力データの暗号化データを扉コントローラ（１６０）へ伝送する。扉コントローラ（１６０）は、扉コントローラ（１６０）上で動作するプログラムのうち監視対象とする第２のプログラムを保護し、伝送された出力データの暗号化データを復号化し、復号化された出力データを暗号化し、暗号化された出力データの暗号化データを第２のプログラムへ出力する。

Description

セキュリティシステム及びコンピュータ機器間の通信方法
　本発明は、セキュリティシステム及びコンピュータ機器間の通信方法に関する。
　インターネット機器の広がりと共に、インターネット接続あるいはインターネット接続技術を流用したシステムが普及している。１つの理由として、インターネット関連技術の普及が目覚ましく、大量生産されたインターネット関連技術を流用することで安価にシステムを組むことができる点が挙げられる。
　一方、多数の違法侵入、違法アクセス制御などが発生しており、これらに対抗するためのセキュリティシステムが構築されている。これらのセキュリティシステムを構築する場合にも、上記の理由からインターネット技術を流用する場合が多い。
　一般に、各種のコンピュータウィルスからコンピュータ機器を保護するために、ウィルス対策ソフトなどがシステムに含まれるコンピュータ機器にインストールされる場合がある。
特開２００８－１１８２６５号公報 特開２００９－２０５６２７号公報 特開２０１２－２３４３６２号公報 特開２０１２－３８２２２号公報
　しかしながら、インターネット関連技術は、大量生産されているので、その仕様が多数の人間によって認識されている。このため、これらのインターネット関連技術で構築されたセキュリティシステムは、上記のウィルス対策ソフトなどの対策を講じたとしても、セキュリティが破られる可能性が依然として残る。そして、複数のコンピュータ機器によりシステムが構築される場合、一部のコンピュータ機器がウィルスに感染すると、その悪影響がシステムの各所に派生することもある。
　１つの側面では、クラッキングによる悪影響がシステムの各所に派生するのを抑制できるセキュリティシステム及びコンピュータ機器間の通信方法を提供することを目的とする。
　一態様のセキュリティシステムは、第１の装置及び第２の装置を含むセキュリティシステムであって、前記第１の装置は、前記第１の装置上で動作するプログラムのうち監視対象とする第１のプログラムを保護する第１保護部と、前記第１のプログラムからの出力データが暗号化された暗号化データを復号化する第１復号部と、復号化された出力データを暗号化して該出力データの暗号化データを前記第１の装置とは異なる第２の装置へ伝送させる第１暗号部とを有し、前記第２の装置は、前記第２の装置上で動作するプログラムのうち監視対象とする第２のプログラムを保護する第２保護部と、伝送された出力データの暗号化データを復号化する第２復号部と、復号化された出力データを暗号化して該出力データの暗号化データを前記第２のプログラムへ出力する第２暗号部とを有する。
　クラッキングによる悪影響がシステムの各所に派生するのを抑制できる。
図１は、実施例１に係る監視カメラシステムの構成例を示す図である。 図２は、実施例１に係る監視カメラシステムで実行される通信の一例を示す図である。 図３は、実施例１に係る監視カメラシステムに含まれるコンピュータ機器の機能的構成を示すブロック図である。 図４は、実施例１に係る監視カメラシステムの処理の流れを示すシーケンス図である。 図５は、応用例に係るＰＣの機能的構成を示すブロック図である。 図６は、応用例に係るＰＣの機能的構成を示すブロック図である。 図７は、生存確認機能の動作例の一例を示す図である。 図８は、多重化の一例を示す図である。
　以下に添付図面を参照して本願に係るセキュリティシステム及びコンピュータ機器間の通信方法について説明する。なお、この実施例は開示の技術を限定するものではない。そして、各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。
［システム構成］
　図１は、実施例１に係る監視カメラシステムの構成例を示す図である。図１には、セキュリティシステムの一例として、監視カメラシステム１が例示されている。図１に示す監視カメラシステム１には、パーソナルコンピュータ（ＰＣ：Personal　Computer）１１０、監視カメラ１２０、カードリーダ１３０、入室資格チェックサーバ１４０、入室資格データベース１５０及び扉コントローラ１６０などのコンピュータ機器が収容される。なお、以下では、ＰＣ１１０、監視カメラ１２０、カードリーダ１３０、入室資格チェックサーバ１４０、入室資格データベース１５０及び扉コントローラ１６０を総称する場合に「コンピュータ機器１００」と記載する場合がある。
　図２は、実施例１に係る監視カメラシステムで実行される通信の一例を示す図である。例えば、カードリーダ１３０によりカードに記録されたＩＤが読み取られるとともに、カードリーダ１３０に付設された入力部、例えばテンキーなどを介してパスワードが入力された場合、図２に示す（イ）の通り、ＩＤ及びパスワードがカードリーダ１３０から入室資格チェックサーバ１４０へ送信される。
　続いて、入室資格チェックサーバ１４０は、図２に示す（ロ）の通り、カードリーダ１３０から受信したＩＤに対応するパスワードを入室資格データベース１５０へ問い合わせる。一方、入室資格データベース１５０は、図２に示す（ハ）の通り、入室資格チェックサーバ１４０から問合せがあったＩＤに対応するパスワードを入室資格チェックサーバ１４０へ返信する。
　その後、入室資格チェックサーバ１４０は、カードリーダ１３０から受信したパスワードと、入室資格データベース１５０から返信されたパスワードとを照合し、両者のパスワードが一致するか否かを判定する。
　そして、入室資格チェックサーバ１４０は、両者のパスワードが一致する場合、図２の（ニ）の通り、扉６１の開扉を扉コントローラ１６０へ指示する。続いて、扉コントローラ１６０は、図２の（ヘ）の通り、入室資格チェックサーバ１４０からの指示にしたがってモータ６０を駆動させることにより、扉６１を開扉する。なお、両者のパスワードが一致しない場合には、入室資格チェックサーバ１４０から扉コントローラ１６０へ開扉の指示は送信されない。
　上記の（ニ）が実行されるタイミングで、入室資格チェックサーバ１４０は、図２の（ホ）の通り、パスワードの照合結果をＰＣ１１０へ送信する。その上で、ＰＣ１１０には、パスワードの照合結果、例えば「ＯＫ」または「ＮＧ」などがＰＣ１１０のディスプレイに表示される。
　このＰＣ１１０では、上記の（イ）～（ヘ）とは並行して、監視カメラ１２０により所定のフレームレートで扉６１の周辺部が撮像された画像を受信し、当該画像がＰＣ１１０のディスプレイに表示される。このため、ＰＣ１１０のディスプレイを閲覧する保守担当者の判断により、ＰＣ１１０の入力部を介して開扉の中止や閉扉の操作を受け付けた場合、ＰＣ１１０から扉コントローラ１６０へ開扉の中止指示を行ったり、閉扉の指示を行ったりすることもできる。
　この監視カメラシステム１に含まれる各コンピュータ機器１００は、中央処理装置、いわゆるＣＰＵ（Central　Processing　Unit）１１１、１２１、１３１、１４１、１５１及び１６１や主記憶装置、いわゆるメモリ１１３、１２３、１３３、１４３、１５３及び１６３などを含んで構成される。そして、各コンピュータ機器のＣＰＵは、図示しないＲＯＭ（Read　Only　Memory）または補助記憶装置等から読み出された各種のプログラムをメモリ上に展開することにより、各種の処理を実行する。なお、ここでは、各コンピュータ機器がＣＰＵ及びメモリを有する場合を例示したが、一部のコンピュータ機器がＣＰＵやメモリを有さずともかまわない。また、各コンピュータ機器のＣＰＵは、必ずしも中央処理装置として実装されずともよく、ＭＰＵ（Micro　Processing　Unit）として実装されることとしてもかまわない。
　これらコンピュータ機器１００には、汎用のＯＳ（Operating　System）が実装されると共に、各コンピュータ機器１００の間は、一例として、イーサネット（登録商標）により接続される。このように、コンピュータ機器１００に汎用のＯＳを実装すると共に監視カメラシステム１の各コンピュータ機器１００の通信をイーサネットにより実現することにより、安価にシステムを構築することができる。なお、ここでは、各コンピュータ機器１００に汎用のＯＳを実装する場合を例示したが、セキュリティを向上させる観点から専用のＯＳを実装することとしてもかまわない。また、ここでは、各コンピュータ機器１００がイーサネットにより接続される場合を例示したが、一部または全部のコンピュータ機器１００がインターネットにより接続されることとしてもかまわない。
　ここで、ＣＰＵ、メモリ及びＯＳが汎用のタイプで構築されるコンピュータ機器１００は、その内部構造が周知であるので、クラッキングされる可能性が依然として残る。かかるクラッキングの経路の一例として、仮に監視カメラシステム１がインターネット接続されていた場合には、インターネット経由でウィルスが入って来る可能性がある。また、クラッキングの経路はこれに限らず、ＵＳＢ（Universal　Serial　Bus）メモリなどからウィルスが入って来る可能性もある。
　例えば、全体制御用のＰＣ１１０がクラッキングされると、ＰＣ１１０が違法制御され、以下のような不具合が出る可能性がある。
　１）「扉コントローラ１６０」が制御する「扉」が常に「開」の状態にされる
　２）「監視カメラ１２０」の映像が偽の映像に置き換えられる
　３）不法侵入を「監視カメラ１２０」や「カードリーダ１３０」などで検知しても警報が鳴らない、或いは扉６１が開く
　また、監視カメラ１２０がクラッキングされると偽の映像が全体制御用のＰＣ１１０に入力される可能性がある。また、扉コントローラ１６０がクラッキングされると全体制御用のＰＣ１１０が扉６１の閉扉を指示しても扉６１が開状態のままになる可能性がある。さらに、カードリーダ１３０がクラッキングされると、偽のセンシング情報、すなわちＩＤとパスワードが入室資格チェックサーバ１４０へ入力される可能性がある。この他のコンピュータ機器１００がクラッキングされた場合にも、監視カメラシステム１としての機能が損なわれる可能性がある。
　さらに、コンピュータ機器１００がクラッキングされる他にも、イーサネット回線がクラッキングされると、情報の盗難、偽情報により、監視カメラシステム１としての機能が損なわれる可能性がある。
　このようなクラッキングを抑制するために、各コンピュータ機器１００には、外部からの覗き見や改ざんが困難である耐タンパ性の構造を持つＴＲＭ（Tamper　Resistant　Module）１１５、１２５、１３５、１４５、１５５及び１６５が実装される。
　例えば、各ＴＲＭは、ＴＲＭの内部解析や改ざんを物理的および論理的に防衛するための構造を有し、コンピュータ機器のＣＰＵやメモリとＰＣＩ（Peripheral　Component　Interconnect）バスを介して接続されるワンチップのＬＳＩ（Large　Scale　Integration）として実装される。具体的には、各ＴＲＭは、内部に強固で粘着力が高いコーティングが施されており、その表面が剥がされると内部の回路が破壊されたり、ダミーの配線が配されていたりする。なお、ここでは、コンピュータ機器のＣＰＵやメモリとＰＣＩバスを介して接続される場合を想定するが、ＴＲＭはシステムボード上に実装されることとしてもよく、また、ＴＲＭはＵＳＢ経由で接続されることとしてもかまわない。
　ここで、各ＴＲＭは、コンピュータ機器１００上で動作するプログラムの監視を実行するが、必ずしも全てのプログラムの保護を実施する訳ではない。すなわち、各ＴＲＭは、コンピュータ機器１００上で動作するＯＳを始め、ファームウェア、ミドルウェアやアプリケーションプログラムなどのプログラムのうち、特定の監視対象とするプログラムに絞って保護を行う。なお、以下では、ＴＲＭが監視対象とするプログラムのことを「監視対象プログラム」と記載する場合がある。
　かかる監視対象プログラムの一例として、監視カメラシステム１に関する機能を担うプログラムが挙げられる。例えば、監視カメラシステム１の全体制御を行うＰＣ１１０の場合、ＰＣ１１０の制御下にあるコンピュータ機器１００、例えば監視カメラ１２０、カードリーダ１３０、入室資格チェックサーバ１４０、入室資格データベース１５０及び扉コントローラ１６０などを遠隔制御するプログラムに絞って保護することができる。
　このように、監視対象プログラムが保護されたからと言って必ずしも監視カメラシステム１としての機能を維持できるとは限らない。なぜなら、監視対象プログラムそのものがセキュアな状態であったとしても、監視対象プログラムにより出力された出力データまでが安全であるとは限らないからである。
　例えば、コンピュータ機器１００で動作するＯＳ、アプリケーションプログラムやイーサネットコントローラなどがクラッキングされた場合、監視対象プログラムによりデータが出力された時点で監視対象プログラムが出力する出力データがマルウェア等により改ざんされるおそれがある。さらには、コンピュータ機器１００間で出力データが伝送される場合、出力データが伝送される伝送路上でクラッキングを受ける可能性も残る。その上、伝送先のコンピュータ機器１００上で動作する監視対象プログラム以外のプログラムがクラッキングされた場合にも、伝送先のコンピュータ機器１００で出力データが受信された時点で出力データが改ざんされるおそれがある。
　これらのことから、各ＴＲＭは、コンピュータ機器１００で通信が実行される場合、監視対象プログラムから伝送路へデータが出力されるまでの区間（Ａ）と、コンピュータ機器１００間の伝送路の区間（Ｂ）と、伝送路から受信された出力データが伝送先のコンピュータ機器１００で動作する監視対象プログラムへ出力されるまでの区間（Ｃ）との間で、事前に互いのＴＲＭにしか分からない方法で暗号化することにより、ＴＲＭ及びＴＲＭにより保護された監視対象プログラム以外のプログラムに出力データが平文のまま晒されない状態でコンピュータ機器１００間の通信を実施する。
［ＰＣ１１０の機能的構成］
　図３は、実施例１に係る監視カメラシステム１に含まれるコンピュータ機器１００の機能的構成を示すブロック図である。図３には、監視カメラシステム１に含まれるコンピュータ機器１００のうちＰＣ１１０及び扉コントローラ１６０が抜粋して図示されている。さらに、図３に示す各ＴＲＭには、ＰＣ１１０のＣＰＵ１１１上で動作する監視対象プログラムからの出力データが扉コントローラ１６０のＣＰＵ１６１上で動作する監視対象プログラムへ伝送される場合に用いられる最小限の機能部が示されているが、必ずしも図３に示す機能構成に限定されない。例えば、通信方向が逆である場合などにはＰＣ１１０及び扉コントローラ１６０の間で各ＴＲＭが有する機能部を入れ替えることにより、同様の通信が実現できる。
　図３に示すように、ＰＣ１１０は、ＣＰＵ１１１を有すると共に、ＣＰＵ１１１にＰＣＩバスを介して接続されたＴＲＭ１１５のＣＰＵ１１７を有する。以下では、両者のＣＰＵを区別する観点から、ＰＣ１１０のＣＰＵ１１１のことを「ＰＣ　ＣＰＵ１１１」と記載すると共に、ＴＲＭ１１５のＣＰＵ１１７のことを「ＴＲＭ　ＣＰＵ１１７」と記載する場合がある。なお、図３では、ＰＣ　ＣＰＵ１１１及びＴＲＭ　ＣＰＵ１１７以外の機能部の図示が省略されているが、既存のコンピュータが有する機能部を有していてもかまわない。例えば、ＰＣ１１０は、ネットワークインターフェースカードにより実現される通信Ｉ／Ｆ（InterFace）部、各種の指示入力を行う入力デバイスや各種の情報表示を行う表示デバイスなどを具備していてもかまわない。
　ＰＣ　ＣＰＵ１１１は、図示しないＲＯＭ（Read　Only　Memory）または補助記憶装置等から読み出された各種のプログラムを図１に示したメモリ１１３上のワークエリアに展開することにより、下記の処理部を仮想的に実現する。例えば、ＰＣ　ＣＰＵ１１１は、ＯＳ実行部１１１Ａと、アプリ実行部１１１Ｂと、通信処理部１１１Ｃと、監視対象プログラム実行部１１１Ｄとを有する。
　このうち、ＯＳ実行部１１１Ａは、ＯＳの実行を制御する処理部である。また、アプリ実行部１１１Ｂは、アプリケーションプログラムの実行を制御する処理部である。さらに、通信処理部１１１Ｃは、イーサネットコントローラの実行を制御する処理部である。これらの処理部で実行されるソフトウェアは、図３に示す例で監視対象プログラムに該当しない。
　監視対象プログラム実行部１１１Ｄは、監視対象プログラムの実行を制御する処理部である。
　上記の監視対象プログラムの一例として、ＰＣ１１０の制御下にある監視カメラ１２０、カードリーダ１３０、入室資格チェックサーバ１４０、入室資格データベース１５０及び扉コントローラ１６０のうち少なくとも１つのコンピュータ機器１００を遠隔制御するプログラムが挙げられる。ここでは、一例として、監視対象プログラムが扉コントローラ１６０の遠隔制御を行うプログラムである場合を想定して以下の説明を行う。
　ＴＲＭ　ＣＰＵ１１７は、図示しないＴＲＭ１１５内のＲＯＭまたは補助記憶装置等から読み出されたセキュリティプログラムを図示しないＴＲＭ１１５内のメモリのワークエリアに展開することにより、下記の処理部を仮想的に実現する。
　例えば、ＴＲＭ　ＣＰＵ１１７は、保護部１１７Ａと、第１復号部１１７Ｂと、第１検証部１１７Ｃと、第１付加部１１７Ｄと、第１暗号部１１７Ｅとを有する。なお、第１復号部１１７Ｂ、第１付加部１１７Ｄ及び第１暗号部１１７Ｅは、ソフトウェアとして実装することもできるし、回路などのハードウェアとして実装することもできる。
　保護部１１７Ａは、ＰＣ　ＣＰＵ１１１上で動作するプログラムのうち監視対象プログラムを保護する処理部である。例えば、特開２００８－１１８２６５号公報、特開２００９－２０５６２７号公報、特開２０１２－２３４３６２号公報や特開２０１２－３８２２２号公報などの文献に記載の技術を用いることができる。ここでは、上記の文献に記載の技術を用いる場合を例示するが、プログラムを保護する技術であれば他の公知技術を用いることもできる。
　一実施形態として、保護部１１７Ａは、コードスキャン（Code　scan）、再構成（Reconstruction）、秘密の番号通信（Secret　number）の機能が存在する。これらの機能は、外から覗き見や改ざんが困難なＴＲＭ１１５に存在するので、機能を解析したり、改ざんするのは、困難である。例えば、上記のコードスキャン機能が解析され、事前に監視対象プログラムのどの部分のコードをスキャンするか分かってしまうと、偽のコードスキャン結果を事前に用意され、監視対象プログラムが改ざんされているのに、改ざんされていないような結果が出る可能性がある。また、上記の再構成は、監視対象プログラムを外から見た機能は同じでも内部のプログラムコードを変更し、クラッカーによるプログラム解析を困難にする技術である。この再構成機能が解析されると事前にクラッカーに再構成の方法が漏えいし、解析されてしまう可能性がある。また、上記の秘密の番号通信は、監視対象プログラムに秘密の番号通信ルーチンを事前に保護部１１７Ａが埋め込み、プログラムが実動作中に「秘密の番号通信」を行い、監視対象プログラムと保護部１１７Ａの間で認証を行う手法である。例えば、保護部１１７Ａからある番号を監視対象プログラムに出力し、それに監視対象プログラムが応答する。その応答が正規の応答であるかどうかにより、監視対象プログラムの正当性を保護部１１７Ａが判断する。保護部１１７Ａは、所定の回おきに異なる秘密の番号ルーチンを監視対象プログラムに埋め込むのでクラッカーによるこのルーチンのクラッキングは困難である。これもＴＲＭ１１５内部を覗き見され、秘密の番号ルーチンを事前予測されるとクラッキングされる可能性がある。これらのことから、ＴＲＭ１１５内に上記のコードスキャン、再構成および秘密の番号通信などの機能を埋め込み、外部から覗き見ができないようにすることで監視対象プログラムへのクラッキングを困難にできる。さらに、ＴＲＭ１１５を耐タンパ性構造とすることにより、改ざんも困難となり、コードスキャン機能を無効化されたり、再構成機能を無効化されたり、秘密の番号通信機能を無効化されたりする危険を抑制できる。
　このように保護された監視対象プログラムは、上記の再構成によりクラッキングの前提であるプログラムコードの解析が困難であり、たとえプログラムコードを解析し、プログラムコードを改ざんしても、上記のコードスキャン機能で改ざんが検出される。また、上記の秘密の番号通信機能により、監視対象プログラムの認証が可能になる。
　また、保護部１１７Ａは、監視対象プログラムに上記の「番号通信ルーチン」を埋め込むと共に「毎回異なる秘密の鍵」を埋め込むことも可能である。この鍵を利用し、監視対象プログラムとＴＲＭ１１５の間で他のプログラムから覗かれることなくデータを授受することができる。このような機能は、監視対象プログラムから暗号化された出力データを受け取り、復号し、改ざんされていないか確認するのに使える。監視対象プログラムが監視対象プログラムにより出力される出力データに改ざん検出情報、例えば出力データのハッシュ値を付加した上で「毎回違う秘密の鍵」で暗号化してＴＲＭ１１５に送れば、他の守られていないプログラムは、監視対象プログラムからの出力データを覗き見することも改ざんすることも困難である。この機能は、ＴＲＭ１１５から保護された監視対象プログラムに対し、他のプログラムから覗き見や改ざんができない形でデータを送信するのにも用いることができる。このように、上記の番号通信ルーチンを用いることにより、保護部１１７Ａ及び監視対象プログラムの間で鍵の共有を行うことができる。
　第１復号部１１７Ｂは、監視対象プログラムにより出力される出力データの暗号化データを復号化する処理部である。
　これを説明すると、ＰＣ１１０から他のコンピュータ機器１００へ出力データが送信される場合、コンピュータ機器１００間における監視対象プログラムの出力データの通信が開始される。例えば、ＰＣ１１０上で動作する監視対象プログラムが扉コントローラ１６０上で動作する監視対象プログラムに対し、扉６１の開扉または閉扉を指示する場合が挙げられる。なお、ここでは、あくまで一例として、ＰＣ１１０上で動作する監視対象プログラムが扉コントローラ１６０上で動作する監視対象プログラムに対し、扉６１の開扉または閉扉を指示する場合を例示するが、この例に限定されない。すなわち、図２を用いて上述した（イ）～（ヘ）などを含む各種の場面においてコンピュータ機器１００間で同様の通信が行われることは言うまでもない。
　このような通信のトリガが発生した場合、監視対象プログラムにより、監視対象プログラムが出力する出力データに改ざん検証情報、例えば出力データのハッシュ値を改ざん検証情報として付加した上で出力データ及び改ざん検証情報が暗号化される。このとき、出力データの暗号化には、一例として、上記の番号通信ルーチンにしたがって監視対象プログラム及び第１復号部１１７Ｂの間で授受された鍵を用いることができる。また、暗号化方式の一例として、ＡＥＳ（Advanced　Encryption　Standard）暗号やＮＥＳＳＩＥ（New　European　Schemes　for　Signature,　Integrity,　and　Encryption）暗号などを適用することができる。その上で、監視対象プログラム実行部１１１Ｄから第１復号部１１７Ｂへ出力データの暗号化データが出力される。このようにしてＰＣ　ＣＰＵ１１１上で動作する監視対象プログラムから出力データの暗号化データを受け付けた場合、第１復号部１１７Ｂは、出力データの暗号化データを復号化し、出力データ及び改ざん検証情報を第１検証部１１７Ｃへ出力する。
　第１検証部１１７Ｃは、出力データの暗号化データから復号化された改ざん検証情報を用いて、出力データの改ざんの有無を検証する処理部である。
　一実施形態として、第１検証部１１７Ｃは、第１復号部１１７Ｂにより復号化された改ざん検証情報と、第１復号部１１７Ｂにより復号化された出力データからハッシュ関数を用いて算出した出力データのハッシュ値とを比較する。このとき、改ざん検証情報及び出力データのハッシュ値が互いに一致する場合、監視対象プログラムからの出力データがＰＣ　ＣＰＵ１１１上で動作する他のプログラムにより改ざんされていないと推定できる。この場合、第１検証部１１７Ｃは、監視対象プログラムからの出力データを第１付加部１１７Ｄへ出力する。なお、出力データの改ざんが検出された場合には、第１付加部１１７Ｄへの出力を中止したり、図示しない表示デバイスを介して通知を行うこともできる。
　第１付加部１１７Ｄは、第１復号部１１７Ｂにより復号化された出力データに出力データの改ざん検証情報を付加する処理部である。
　一実施形態として、第１付加部１１７Ｄは、第１検証部１１７Ｃにより出力データの改ざんがないと検証された場合、ハッシュ関数を用いて、第１復号部１１７Ｂにより復号化された出力データのハッシュ値を算出する。これによって、出力データのダイジェストを生成する。これを電子署名とし、第１付加部１１７Ｄは、第１復号部１１７Ｂにより復号化された出力データに電子署名を改ざん検証情報として付加する。
　第１暗号部１１７Ｅは、第１付加部１１７Ｄにより改ざん検証情報が付加された出力データを暗号化する処理部である。
　一実施形態として、第１暗号部１１７Ｅは、上記の番号通信ルーチンと同様のルーチンにしたがって出力データの伝送先のコンピュータ機器１００上のＴＲＭとの間で授受された鍵を用いて、第１付加部１１７Ｄにより改ざん検証情報が付加された出力データを暗号化する。かかる暗号化には、一例として、上記の監視対象プログラムと同様、ＡＥＳ暗号やＮＥＳＳＩＥ暗号などを適用することができる。その上で、第１暗号部１１７Ｅは、出力データの暗号化データをＰＣ　ＣＰＵ１１１上の通信処理部１１１Ｃへ出力する。
　かかる出力データの暗号化データを受け付けた通信処理部１１１Ｃは、第１暗号部１１７Ｅから受け付けた出力データの暗号化データを分割した上でイーサネット形式に変換し、イーサネット上に送り出す。
　これら監視対象プログラム実行部１１１Ｄ、第１復号部１１７Ｂ、第１検証部１１７Ｃ、第１付加部１１７Ｄ及び第１暗号部１１７Ｅの一連の処理により、上記の区間（Ａ）、すなわち監視対象プログラムから伝送路へデータが出力されるまでの区間で出力データが改ざんされるのを抑制できる。
　さらに、通信処理部１１１Ｃは、クラッキングを受ける可能性は残るが、扱っているデータが暗号化され且つ電子署名されているので、有意な改ざんを行うことができない。加えて、イーサネット回線上でも出力データは改ざんされる可能性があるが、暗号化され且つ電子署名されているので、有意な改ざんは困難である。よって、上記の区間（Ｂ）、すなわちコンピュータ機器１００間の伝送路の区間で有意な改ざんが行われるのも抑制できる。
［扉コントローラ１６０の機能的構成］
　図３に示すように、扉コントローラ１６０は、ＣＰＵ１６１を有すると共に、ＣＰＵ１６１にＰＣＩバスを介して接続されたＴＲＭ１６５のＣＰＵ１６７を有する。以下では、両者のＣＰＵを区別する観点から、扉コントローラ１６０のＣＰＵ１６１のことを「扉　ＣＰＵ１６１」と記載すると共に、ＴＲＭ１６５のＣＰＵ１６７のことを「ＴＲＭ　ＣＰＵ１６７」と記載する場合がある。なお、図３では、扉　ＣＰＵ１６１及びＴＲＭ　ＣＰＵ１６７以外の機能部の図示が省略されているが、既存のコンピュータが有する機能部を有していてもかまわない。例えば、図２に示したモータ６０などの駆動部やディップスイッチなどの入力デバイスなどを具備していてもかまわない。
　扉　ＣＰＵ１６１は、図示しないＲＯＭまたは補助記憶装置等から読み出された各種のプログラムを図１に示したメモリ１６３上のワークエリアに展開することにより、下記の処理部を仮想的に実現する。例えば、扉　ＣＰＵ１６１は、ＯＳ実行部１６１Ａと、アプリ実行部１６１Ｂと、通信処理部１６１Ｃと、監視対象プログラム実行部１６１Ｄとを有する。
　このうち、ＯＳ実行部１６１Ａは、ＯＳの実行を制御する処理部である。また、アプリ実行部１６１Ｂは、アプリケーションプログラムの実行を制御する処理部である。さらに、通信処理部１６１Ｃは、イーサネットコントローラの実行を制御する処理部である。これらの処理部で実行されるソフトウェアは、図３に示す例で監視対象プログラムに該当しない。
　監視対象プログラム実行部１６１Ｄは、監視対象プログラムの実行を制御する処理部である。上記の監視対象プログラムの一例として、扉　ＣＰＵ１６１の制御下にある扉６１の開閉を制御するプログラムなどが挙げられる。ここでは、一例として、監視対象プログラムが扉６１の開扉または閉扉の制御を行うプログラムである場合を想定して以下の説明を行う。
　ＴＲＭ　ＣＰＵ１６７は、図示しないＴＲＭ１６５内のＲＯＭまたは補助記憶装置等から読み出されたセキュリティプログラムを図示しないＴＲＭ１６５内のメモリのワークエリアに展開することにより、下記の処理部を仮想的に実現する。
　例えば、ＴＲＭ　ＣＰＵ１６７は、保護部１６７Ａと、第２復号部１６７Ｂと、第２検証部１６７Ｃと、第２付加部１６７Ｄと、第２暗号部１６７Ｅとを有する。なお、第２復号部１６７Ｂ、第２付加部１６７Ｄ及び第２暗号部１６７Ｅは、ソフトウェアとして実装することもできるし、回路などのハードウェアとして実装することもできる。
　保護部１６７Ａは、扉　ＣＰＵ１６１上で動作するプログラムのうち監視対象プログラムを保護する処理部である。かかる監視対象プログラムの保護方法については、上記の保護部１１７Ａと同様であるので、その説明は省略する。
　第２復号部１６７Ｂは、通信処理部１６１Ｃにより受信された出力データの暗号化データを復号化する処理部である。
　一実施形態として、第２復号部１６７Ｂは、上記の番号通信ルーチンと同様のルーチンなどにしたがって出力データの伝送元のコンピュータ機器１００、例えばＰＣ１１０上のＴＲＭ１１５との間でＰＫＩ（Public　Key　Infrastructure）などの公開鍵、秘密鍵アルゴリズムなどに基づく相互通信により上記暗号化データを復号化する鍵情報などを互いに授受しており、このようにして授受された公開鍵等を用いて、通信処理部１６１Ｃにより受信された出力データの暗号化データを復号化し、出力データ及び改ざん検証情報を第２検証部１６７Ｃへ出力する。
　第２検証部１６７Ｃは、第２復号部１６７Ｂにより出力データの暗号化データから復号化された改ざん検証情報を用いて、出力データの改ざんの有無を検証する処理部である。
　一実施形態として、第２検証部１６７Ｃは、第２復号部１６７Ｂにより復号化された改ざん検証情報と、第２復号部１６７Ｂにより復号化された出力データからハッシュ関数を用いて算出した出力データのハッシュ値とを比較する。このとき、改ざん検証情報及び出力データのハッシュ値が一致する場合、監視対象プログラムからの出力データがイーサネット上及び扉　ＣＰＵ１６１上で動作する他のプログラムにより改ざんされていないと推定できる。この場合、第２検証部１６７Ｃは、監視対象プログラムからの出力データを第２付加部１６７Ｄへ出力する。なお、出力データの改ざんが検出された場合には、第２付加部１６７Ｄへの出力を中止したり、図示しない表示デバイスを介して通知を行うこともできる。
　第２付加部１６７Ｄは、第２復号部１６７Ｂにより復号化された出力データに出力データの改ざん検証情報を付加する処理部である。
　一実施形態として、第２付加部１６７Ｄは、第２検証部１６７Ｃにより出力データの改ざんがないと検証された場合、ハッシュ関数を用いて、第２復号部１６７Ｂにより復号化された出力データのハッシュ値を算出する。これによって、出力データのダイジェストを生成する。これを電子署名とし、第２付加部１６７Ｄは、第２復号部１６７Ｂにより復号化された出力データに電子署名を改ざん検証情報として付加する。
　第２暗号部１６７Ｅは、第２付加部１６７Ｄにより改ざん検証情報が付加された出力データを暗号化する処理部である。
　一実施形態として、第２暗号部１６７Ｅは、上記の番号通信ルーチンと同様のルーチンなどにしたがって監視対象プログラム実行部１６１Ｄで実行される監視対象プログラムとの間で授受された鍵を用いて、第２付加部１６７Ｄにより改ざん検証情報が付加された出力データを暗号化する。かかる暗号化には、一例として、ＡＥＳ暗号やＮＥＳＳＩＥ暗号などの任意のアルゴリズムを適用することができる。その上で、第２暗号部１６７Ｅは、出力データの暗号化データを扉　ＣＰＵ１６１上で動作する監視対象プログラムへ出力する。
　このように第２暗号部１６７Ｅから監視対象プログラムへ出力データが出力された場合、監視対象プログラムにより出力データが復号化された上で電子署名の改ざん検証が実行される。そして、出力データに改ざんがないことが確認された場合、伝送元のコンピュータ機器１００の監視対象プログラムからの出力データに対応する処理が扉コントローラ１６０の監視対象プログラムにより実行される。この場合、ＰＣ１１０の監視対象プログラムから指示された開扉また閉扉の指示にしたがって扉コントローラ１６０の監視対象プログラムにより扉６１が開扉または閉扉される。
　これら第２復号部１６７Ｂ、第２検証部１６７Ｃ、第２付加部１６７Ｄ及び第２暗号部１６７Ｅ及び監視対象プログラム実行部１６１Ｄの一連の処理により、上記の区間（Ｃ）、すなわち伝送路から受信された出力データが伝送先のコンピュータ機器１００で動作する監視対象プログラムへ出力されるまでの区間で出力データが改ざんされるのを抑制できる。つまり、区間（Ａ）～（Ｃ）の各区間にわたって出力データの有意な改ざんを抑制できるので、監視対象プログラムを保護すると共に、監視対象プログラム以外のプログラム、例えばＯＳやアプリケーションプログラムがクラッキングされたとしても、その悪影響がシステムの各所に派生するのを抑制できる。
　このように、監視カメラシステム１では、当該情報の有意な改ざんは不可能であるが、無為の改ざんは可能である。無為の改ざんを確実に検出するために、例えば、ＰＣ１１０や扉コントローラ１６０のＴＲＭの各々にタイマを設け、一定期間内に正当な通信（ＴＲＭ内のＰＫＩなどの公開鍵、秘密鍵アルゴリズムなどに基づく相互通信など）が確認できない場合は、無為な改ざんの可能性をシステム管理者に警告するなどの処理をオプションとして実施することにより、更なるセキュリティ強化を図ることも可能である。
［処理の流れ］
　図４は、実施例１に係る監視カメラシステム１の処理の流れを示すシーケンス図である。図４には、一例として、ＰＣ１１０上で動作する監視対象プログラムが出力するデータが扉コントローラ１６０上で動作する監視対象プログラムへ伝送される場合のシーケンスが示されている。この処理は、ＰＣ１１０から扉コントローラ１６０へ出力データが送信される場合に開始される。
　図４に示すように、ＰＣ　ＣＰＵ１１１上で動作する監視対象プログラムは、当該監視対象プログラムが出力する出力データに出力データのハッシュ値を改ざん検証情報として付加する（ステップＳ１０１）。続いて、ＰＣ　ＣＰＵ１１１上で動作する監視対象プログラムは、ステップＳ１０１で改ざん検証情報が付加された出力データを暗号化する（ステップＳ１０２）。
　その後、ＰＣ　ＣＰＵ１１１上で動作する監視対象プログラムは、ステップＳ１０２で暗号化された出力データの暗号化データを第１復号部１１７Ｂへ出力する（ステップＳ１０３）。
　これを受けて、第１復号部１１７Ｂは、ステップＳ１０３で監視対象プログラムから出力された出力データの暗号化データを復号化し（ステップＳ１０４）、出力データ及び改ざん検証情報を第１検証部１１７Ｃへ出力する。
　そして、第１検証部１１７Ｃは、ステップＳ１０４で出力データの暗号化データから復号化された改ざん検証情報を用いて、ステップＳ１０４で復号化された出力データの改ざんの有無を検証する（ステップＳ１０５）。
　かかる改ざん検証で出力データに改ざんがないことが検証された後、第１付加部１１７Ｄは、ステップＳ１０４で復号化された出力データに出力データの改ざん検証情報を改めて付加する（ステップＳ１０６）。
　そして、第１暗号部１１７Ｅは、ステップＳ１０６で改ざん検証情報が付加された出力データを暗号化し（ステップＳ１０７）、出力データの暗号化データをＰＣ　ＣＰＵ１１１上の通信処理部１１１Ｃへ出力する。
　続いて、ＰＣ　ＣＰＵ１１１の通信処理部１１１Ｃは、ステップＳ１０７で暗号化された出力データの暗号化データを分割した上でイーサネット形式に変換し、イーサネット上に送り出すことにより、出力データの暗号化データを扉コントローラ１６０へ伝送する（ステップＳ１０８）。
　一方、ＴＲＭ　ＣＰＵ１６７の第２復号部１６７Ｂは、ステップＳ１０８の伝送で通信処理部１６１Ｃにより受信された出力データの暗号化データを復号化する（ステップＳ１０９）。続いて、第２検証部１６７Ｃは、ステップＳ１０９で出力データの暗号化データから復号化された改ざん検証情報を用いて、ステップＳ１０９で復号化された出力データの改ざんの有無を検証する（ステップＳ１１０）。
　かかる改ざん検証で出力データに改ざんがないことが検証された後、第２付加部１６７Ｄは、ステップＳ１０９で復号化された出力データに出力データの改ざん検証情報を改めて付加する（ステップＳ１１１）。
　そして、第２暗号部１６７Ｅは、ステップＳ１１１で改ざん検証情報が付加された出力データを暗号化し（ステップＳ１１２）、出力データの暗号化データを扉　ＣＰＵ１６１上で動作する監視対象プログラムへ出力する（ステップＳ１１３）。
　その後、扉　ＣＰＵ１６１上で動作する監視対象プログラムは、第２暗号部１６７Ｅから受け付けた出力データの暗号化データを復号化し（ステップＳ１１４）、改ざん検証情報を用いて、ステップＳ１１４の復号化で得られた出力データの改ざんの有無を検証する（ステップＳ１１５）。そして、扉　ＣＰＵ１６１上で動作する監視対象プログラムは、出力データに改ざんがないことが確認された場合、伝送元のコンピュータ機器１００の監視対象プログラムからの出力データに対応する処理、例えば扉６１の開閉制御を実行し（ステップＳ１１６）、処理を終了する。
［効果の一側面］
　上述してきたように、本実施例に係る監視カメラシステム１は、異なるコンピュータ機器１００で動作する監視対象プログラム間の通信を行う場合に、監視対象プログラムを保護すると共に、伝送元の監視対象プログラムから伝送路へデータが出力されるまでの区間と、伝送路から受信された出力データが伝送先の監視対象プログラムへ出力されるまでの区間とを暗号化して通信する。それ故、本実施例に係る監視カメラシステム１では、区間（Ａ）～（Ｃ）の各区間にわたって出力データの有意な改ざんを抑制できる。したがって、本実施例に係る監視カメラシステム１によれば、監視対象プログラムへのクラッキングを抑制すると共に、クラッキングによる悪影響がシステムの各所に派生するのを抑制できる。
　さて、これまで開示の装置に関する実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。
［出力データの送受信］
　上記の実施例１では、ＰＣ　ＣＰＵ１１１上で動作する監視対象プログラムからの出力データが扉　ＣＰＵ１６１上で動作する監視対象プログラムへ伝送される場合に用いられる最小限の機能部をＰＣ１１０及び扉コントローラ１６０の機能部として例示したがこれに限定されない。例えば、ＴＲＭ　ＣＰＵ１１７は、ＣＰＵ１１１上で動作する監視対象プログラムからの出力データを送信するだけでなく、他のコンピュータ機器１００から送信された監視対象プログラムからの出力データを受信することもできる。
　図５は、応用例に係るＰＣの機能的構成を示すブロック図である。以下では、図３に示した機能と同様の機能を発揮する機能部には図３に示した符号と同一の符号を付し、その説明は省略することとする。例えば、他のコンピュータ機器１００から送信された監視対象プログラムからの出力データを受信する場合、ＴＲＭ　ＣＰＵ１１７は、図５に示すように、図３に示した扉コントローラ１６０の第２復号部１６７Ｂと、第２検証部１６７Ｃと、第２付加部１６７Ｄと、第２暗号部１６７Ｅと同様の機能を発揮する第２復号部１１７ｂ、第２検証部１１７ｃ、第２付加部１１７ｄ及び第２暗号部１１７ｅを具備することにより、他のコンピュータ機器１００から送信された監視対象プログラムからの出力データを受信することができる。
［ＴＲＭへの直接接続］
　各コンピュータ機器１００では、コンピュータ機器１００が有するＣＰＵと接続されるデバイスを通じて、必ずしもデータの入出力を行わずともかまわない。例えば、システム管理者等への警告信号は、それ自体がクラッキングされる可能性があるので、各コンピュータ機器１００のＴＲＭに直接接続された表示デバイス、例えばＬＥＤ（Light　Emitting　Diode）ランプを通じて通知を行うこともできる。
　図６は、応用例に係るＰＣ２１０の機能的構成を示すブロック図である。図６に示すように、ＰＣ２１０には、ＴＲＭ１１５に直接接続されたＬＥＤ２１２が設けられている。このように、ＰＣ　ＣＰＵ１１１の制御下におかずにＴＲＭ１１５が直接制御できる直接接続されたＬＥＤ２１２の点灯や点滅などの制御により、警告信号などの通知を発する精度を高めることができる。図６の例では、１つのＬＥＤが接続される場合を例示したが、複数のＬＥＤをＴＲＭ１１５に接続することもできる。例えば、青色に発光する第１のＬＥＤと、赤色に発光する第２のＬＥＤとをＴＲＭ１１５に接続しておき、各コンピュータ機器１００がクラッキングを受けていない間は第１のＬＥＤを点灯させると共に第２のＬＥＤを消灯し、各コンピュータ機器１００がクラッキングを受けた場合には、第１のＬＥＤを消灯させると共に第２のＬＥＤを点灯または点滅することにより、警告を発することができる。さらに、赤、青、緑など３つ以上のＬＥＤを設け、青が正常状態、赤が定期交信異常状態、緑は監視対象プログラムがクラッキングされた可能性がある状態などに区分してシステム管理者等へ警告することもできる。
［コンテンツ出力］
　例えば、ＴＲＭ１１５は、他のコンピュータ機器１００上で動作する監視対象プログラムから受信された出力データが制御命令またはコンテンツであるかを判定し、出力データがコンテンツである場合、コンテンツに所定のデータを埋め込むことができる。
　ここで、一例として、図６に示すディスプレイ２１４に対し、監視カメラ１２０により撮像された画像がコンテンツの一例として表示される場合を想定する。この場合、図６に示す埋込部２１７は、第２検証部１１７ｃにより復号後の画像に改ざんがないことが検出される度に、当該画像から標示を埋め込む対象とする領域、例えば画像の余白部もしくは端部などの領域をランダムに検出し、ランダムに検出された領域に所定の標示、例えば赤丸などの図形や文字列などを埋め込む。このとき、埋込部２１７は、画像のフレーム間で画像に埋め込む標示の頻度をランダムにして画像に標示を埋め込む。例えば、埋込部２１７は、所定の区間、例えば小数点を含む０～３の乱数を発生させるソフトウェアや乱数発生器などを用いて、乱数が発生される度に当該乱数に対応する期間にわたって画像に標示を埋め込み、その後に発生された乱数に対応する期間にわたって画像への標示の埋め込みを中止するという処理を繰り返す。これと共に、埋込部２１７は、画像に標示が埋め込まれるタイミングと同期させてＬＥＤ２１２を点灯させる。
　これによって、ＬＥＤ２１２で点灯される発光と、ディスプレイ２１４に表示された標示とが同期しているかどうかを見比べることにより、閲覧者はディスプレイ２１４に表示されている映像がＴＲＭ　ＣＰＵ１１７により復号された映像であるかどうかを確認できる。さらに、表示間隔がランダムであり、表示場所もランダムであるため、表示される直前のデータを解析して、別の映像に標示を埋め込んでリアルタイムで表示させることを困難にできる。
　なお、ここでは、ＰＣ２１０のＴＲＭ　ＣＰＵ１１７が標示を埋め込む場合を例示したが、監視カメラ１２０のＴＲＭ１２５のＣＰＵが標示を埋め込むこととしてもかまわない。この場合、画像のメタ情報などに標示の有無を付加させておくことにより、ＰＣ２１０のＴＲＭ　ＣＰＵ１１７で標示に同期させてＬＥＤ２１２を点灯させることができる。
［生存確認機能］
　各ＴＲＭ間で互いを暗号化通信により認証するＴＲＭ用のソフトウェアを各ＴＲＭのファームウェア等に実装することにより、各コンピュータ機器１００のＴＲＭの間で生存確認を実行することができる。
　かかる生存確認の手順について説明すると、各コンピュータ機器１００のＴＲＭは、相互認証用に公開暗号鍵方式の公開鍵を生成する。例えば、ＴＲＭ　Ｔ１からＴＲＭ　ＴＮまでのＮ台のＴＲＭが存在するとしたとき、システム管理者により使用される管理端末は、ＴＲＭ　Ｔ１が生成する公開鍵Ｐ１、ＴＲＭ　Ｔ２が生成する公開鍵Ｐ２、・・・、ＴＲＭ　ＴＮが生成する公開鍵ＰＮを収集する。なお、ＴＲＭ　Ｔｉには、図１に示したＰＣ１１０のＴＲＭ１１５、監視カメラ１２０のＴＲＭ１２５、カードリーダ１３０のＴＲＭ１３５、入室資格チェックサーバ１４０のＴＲＭ１４５、入室資格データベース１５０のＴＲＭ１５５や扉コントローラ１６０のＴＲＭ１６５などの任意のＴＲＭが該当する。
　続いて、管理端末は、相互認証を実施するために、Ｎ台のＴＲＭの公開鍵のＮ個の組（Ｐ１、Ｐ２、・・・、ＰＮ）を各々のＴＲＭ　Ｔｉへ配信する。これを受けて、各々のＴＲＭ　Ｔｉは、Ｎ台のＴＲＭの公開鍵のＮ個の組（Ｐ１、Ｐ２、・・・、ＰＮ）のうちＴＲＭ　Ｔｉに対応する公開鍵と各々のＴＲＭ　Ｔ１～　ＴＮの相互認証グループを識別する番号Ｇを合わせたデータとの間で求めたハッシュ値を、個々の公開鍵を使って暗号化したデータＣ１、Ｃ２、・・・、ＣＮを管理端末へ返送する。
　その後、管理端末は、各ＣｉをＴｉに送付すると共に、各Ｔｉが組み込まれているコンピュータ機器１００のアドレス、例えばＩＰアドレスを各Ｔｉから収集して各Ｔｉへ送付する。そして、各々のＴＲＭ　Ｔｉは、公開鍵Ｐｉに対応する秘密鍵ｐｉで復号し、各ＴＲＭ　Ｔｉの内部メモリに保持する。その上で、各々のＴＲＭ　Ｔｉは、各々のコンピュータ機器１００のＣＰＵに相互認証用の通信プロセスＭｉを立ち上げさせる。
　以上のような手順の下、ＴＲＭ　Ｔｉにより起動された相互認証用の通信プロセスＭｉは、他の相互認証用の通信プロセスのうち相互認証用の通信プロセスＭｉ＋１との間でＩＰ通信を行う。なお、相互認証用の通信プロセスＭＮは、相互認証用の通信プロセスＭ１へメッセージを送信する。
　その後、相互認証用の通信プロセスＭｉは、一定時間ごとにＴＲＭ　Ｔｉを呼びだし、送付用メッセージを受け取る。このとき、各ＴＲＭ　Ｔｉは、ＴＲＭ　Ｔｉの内部メモリに保持されたグループ識別番号Ｇ、その時の時刻ｔを含む通信文にハッシュを追加し、ＴＲＭ　Ｔｉ＋１の公開鍵Ｐｉ＋１で暗号化した送付用メッセージを渡す。このとき、ＴＲＭ　Ｔｉの監視対象プログラムのうちいずれかが改変されるか、あるいは動作を停止したことを検出した場合には、問題が発生したことを知らせるメッセージを渡す。
　一方、相互認証用の通信プロセスＭｉ＋１は、相互認証用の通信プロセスＭｉから受け取ったメッセージを自分の秘密鍵ｐｉ＋１で復号し、内容が改変されていないことを確認する。内容が間違っている場合や相互認証用の通信プロセスＭｉからメッセージが一定時間届かない場合には、ＬＥＤ２１２を点灯させることにより、警告を行う。
　図７は、生存確認機能の動作例の一例を示す図である。図７には、ＴＲＭ　Ｔ１～ＴＲＭ　Ｔ３までの３つのＴＲＭ間で生存確認を行う場合におけるコンピュータ機器のメモリとＴＲＭのメモリに展開されたプロセスが例示されている。図７に示すように、各ＴＲＭ　Ｔ１～ＴＲＭ　Ｔ３は、他のＴＲＭの公開鍵、グループ識別番号などはＴＲＭの内部メモリに格納されているのであって、コンピュータ機器１００側のＣＰＵで動作する相互認証用の通信プロセスＭ１～Ｍ３からは秘匿されている。したがって、相互認証用の通信プロセスＭ１が相互認証用の通信プロセスＭｉ＋１へ送信するメッセージを偽造させる事態を抑制できる。
［システムの多重化］
　上記の実施例１では、１つの機能につき１つのコンピュータ機器を設ける場合を例示したが、監視カメラシステム１には、１つの機能につき複数のコンピュータ機器を設置することにより多重化することもできる。
　図８は、多重化の一例を示す図である。図８の例では、扉コントローラ１６０が３重化され、入室資格チェックサーバ１４０が４重化され、ＰＣ１１０が２重化されると共に、入室資格データベース１５０が２重化される場合の監視カメラシステム１の配備例が示されている。このような多重化が実施される場合にも、上記の生存確認機能を実施することができる。
　図８に示すように、多重化が実施されている場合には、図８に示すデータを次のように格納することができる。すなわち、Ｐ１ １、Ｐ１ ２、Ｐ１ ３、セパレータ、Ｐ２ １、Ｐ２ ２、Ｐ２ ３、Ｐ２ ４、セパレータ、Ｐ３ １、Ｐ３ ２、セパレータ、Ｐ４ １、Ｐ４ ２、終了記号として格納できる。その上で、上記の「生存確認機能」の項で説明したのと同様に暗号化して配信すれば、各々のＴＲＭは、上記のデータを入手できる。
　ここで、各々のＴＲＭが搭載されたコンピュータ機器１００の相互認証用の通信プロセスＭは、同一機能のコンピュータ機器１００において自分よりも優先順位が高いコンピュータ機器１００が動作している限りは動作しない。例えば、Ｔ１ ２は、Ｔ１ １が動作していれば動作しないし、また、Ｔ１ ３は、Ｔ１ １またはＴ１ ２のいずれかが動作していれば動作しない。
　一方、自分よりも優先順位が高いコンピュータ機器１００が動作していない場合は、自分の予備全員と、自分の次の番号全員にメッセージを送る。例えば、Ｔ１ １の場合、Ｔ１ ２、Ｔ１ ３と共にＴ２ １、Ｔ２ ２、Ｔ２ ３、Ｔ２ ４にメッセージを送る。メッセージが送信されたＴＲＭの相互認証用の通信プロセスＭは、送られた情報によって、自分が動作しなければならないかを確認する。
　また、各ＴＲＭは、自分が管理しているアプリケーションが改変されたか動作を停止した場合には、自分が停止することを自分の予備たちに通知する。また、自分の次の番号全員に交代することを知らせる。その後、自分のマシンを再起動する。再起動後、可能であれば自分が作業を引き継ぐ。
　各ＴＲＭは、自分の前の番号の一部が停止したとき、あるいは、自分番号の一部が動作しなくなったときに黄色い警告ランプをつけて、ユーザに警告する。各ＴＲＭは、自分の前の番号の全員が停止したとき、あるいは、自分の前の番号からのメッセージが一定時間来なくなったことを確認すると赤い警告ランプをつけて、ユーザに警告する。
　このようにしてコンピュータ機器１００が多重化された場合でも、生存確認機能を実現できる。
［分散および統合］
　また、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
　　　１　　　監視カメラシステム
　１１０　　　ＰＣ
　１１１　　　ＣＰＵ
　１１１Ａ　　ＯＳ実行部
　１１１Ｂ　　アプリ実行部
　１１１Ｃ　　通信処理部
　１１１Ｄ　　監視対象プログラム実行部
　１１３　　　メモリ
　１１５　　　ＴＲＭ
　１１７　　　ＣＰＵ
　１１７Ａ　　保護部
　１１７Ｂ　　第１復号部
　１１７Ｃ　　第１検証部
　１１７Ｄ　　第１付加部
　１１７Ｅ　　第１暗号部
　１２０　　　監視カメラ
　１２１　　　ＣＰＵ
　１２３　　　メモリ
　１２５　　　ＴＲＭ
　１３０　　　カードリーダ
　１３１　　　ＣＰＵ
　１３３　　　メモリ
　１３５　　　ＴＲＭ
　１４０　　　入室資格チェックサーバ
　１４１　　　ＣＰＵ
　１４３　　　メモリ
　１４５　　　ＴＲＭ
　１５０　　　入室資格データベース
　１５１　　　ＣＰＵ
　１５３　　　メモリ
　１５５　　　ＴＲＭ
　１６０　　　扉コントローラ
　１６１　　　ＣＰＵ
　１６１Ａ　　ＯＳ実行部
　１６１Ｂ　　アプリ実行部
　１６１Ｃ　　通信処理部
　１６１Ｄ　　監視対象プログラム実行部
　１６３　　　メモリ
　１６５　　　ＴＲＭ
　１６７　　　ＣＰＵ
　１６７Ｂ　　第２復号部
　１６７Ｃ　　第２検証部
　１６７Ｄ　　第２付加部
　１６７Ｅ　　第２暗号部

Claims (7)

  1. 　第１の装置及び第２の装置を含むセキュリティシステムであって、
    　前記第１の装置は、
    　前記第１の装置上で動作するプログラムのうち監視対象とする第１のプログラムを保護する第１保護部と、
    　前記第１のプログラムからの出力データが暗号化された暗号化データを復号化する第１復号部と、
    　復号化された出力データを暗号化して該出力データの暗号化データを前記第１の装置とは異なる第２の装置へ伝送させる第１暗号部とを有し、
    　前記第２の装置は、
    　前記第２の装置上で動作するプログラムのうち監視対象とする第２のプログラムを保護する第２保護部と、
    　伝送された出力データの暗号化データを復号化する第２復号部と、
    　復号化された出力データを暗号化して該出力データの暗号化データを前記第２のプログラムへ出力する第２暗号部とを有する
    　ことを特徴とするセキュリティシステム。
  2. 　前記第１暗号部は、前記第１復号部により復号された出力データの改ざん検証情報が付加された出力データを暗号化し、
    　前記第２復号部は、伝送された出力データの暗号化データを復号化した上で当該出力データの改ざんの有無を検証し、
    　前記第２暗号部は、前記出力データに改ざんがないと検証された場合に、前記第２復号部により復号化された出力データの暗号化を実行することを特徴とする請求項１に記載のセキュリティシステム。
  3. 　前記第１の装置は、内部に格納された情報を外部から参照できない構造を有する第１のモジュールを当該第１の装置が有するプロセッサ及びメモリとは独立した状態で具備すると共に、前記第２の装置は、内部に格納された情報を外部から参照できない構造を有する第２のモジュールを当該第２の装置が有するプロセッサ及びメモリとは独立した状態で具備し、
    　前記第１のモジュールは、前記第１保護部、前記第１復号部及び前記第１暗号部を有すると共に、前記第２のモジュールは、前記第２保護部、前記第２復号部及び前記第２暗号部を有することを特徴とする請求項１に記載のセキュリティシステム。
  4. 　前記第１の装置及び前記第２の装置は、
    　前記第１のモジュール及び前記第２のモジュールの間の通信を所定の間隔で実行する通信処理部を有し、
    　前記第１復号部または前記第１暗号部は、前記第１のモジュール及び前記第２のモジュールの間で通信が途絶していない場合に処理の実行が許可され、
    　前記第２復号部または前記第２暗号部は、前記第１のモジュール及び前記第２のモジュールの間で通信が途絶していない場合に処理の実行が許可されることを特徴とする請求項３に記載のセキュリティシステム。
  5. 　前記第１の装置または前記第２の装置は、
    　前記第１のモジュールまたは前記第２のモジュールに接続された第１表示部を有することを特徴とする請求項３に記載のセキュリティシステム。
  6. 　前記第２の装置は、
    　前記第２のモジュールに接続されない第２表示部と、
    　前記第２復号部により復号化された出力データが画像である場合、前記画像のフレーム間で前記第２表示部に表示させる画像に埋め込む標示の頻度をランダムにして前記画像に標示を埋め込むと共に、前記画像に標示が埋め込まれるタイミングと同期させて前記第２表示部の表示内容を制御することを特徴とする請求項５に記載のセキュリティシステム。
  7. 　第１の装置が、
    　前記第１の装置上で動作するプログラムのうち監視対象とする第１のプログラムを保護し、
    　前記第１のプログラムからの出力データが暗号化された暗号化データを復号化し、
    　復号化された出力データを暗号化し、
    　暗号化された出力データの暗号化データを前記第１の装置とは異なる第２の装置へ伝送し、
    　前記第２の装置が、
    　前記第２の装置上で動作するプログラムのうち監視対象とする第２のプログラムを保護し、
    　伝送された出力データの暗号化データを復号化し、
    　復号化された出力データを暗号化し、
    　暗号化された出力データの暗号化データを前記第２のプログラムへ出力する
    　ことを特徴とするコンピュータ機器間の通信方法。
PCT/JP2014/079144 2014-10-31 2014-10-31 セキュリティシステム及びコンピュータ機器間の通信方法 WO2016067473A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2016556173A JP6547756B2 (ja) 2014-10-31 2014-10-31 セキュリティシステム及びコンピュータ機器間の通信方法
PCT/JP2014/079144 WO2016067473A1 (ja) 2014-10-31 2014-10-31 セキュリティシステム及びコンピュータ機器間の通信方法
US15/497,899 US20170228546A1 (en) 2014-10-31 2017-04-26 Security system and communication method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2014/079144 WO2016067473A1 (ja) 2014-10-31 2014-10-31 セキュリティシステム及びコンピュータ機器間の通信方法

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/497,899 Continuation US20170228546A1 (en) 2014-10-31 2017-04-26 Security system and communication method

Publications (1)

Publication Number Publication Date
WO2016067473A1 true WO2016067473A1 (ja) 2016-05-06

Family

ID=55856851

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/079144 WO2016067473A1 (ja) 2014-10-31 2014-10-31 セキュリティシステム及びコンピュータ機器間の通信方法

Country Status (3)

Country Link
US (1) US20170228546A1 (ja)
JP (1) JP6547756B2 (ja)
WO (1) WO2016067473A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112627669A (zh) * 2020-12-31 2021-04-09 深圳市汇健医疗工程有限公司 急诊复合手术室电动三折门控制系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08223560A (ja) * 1995-02-15 1996-08-30 Secom Co Ltd 監視システム
WO1997039552A1 (en) * 1996-04-17 1997-10-23 Intel Corporation An apparatus and method for re-encrypting data
WO2005086452A1 (en) * 2004-03-09 2005-09-15 International Business Machines Corporation Key-based encryption
US20050213768A1 (en) * 2004-03-24 2005-09-29 Durham David M Shared cryptographic key in networks with an embedded agent
US20110060947A1 (en) * 2009-09-09 2011-03-10 Zhexuan Song Hardware trust anchor

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08223560A (ja) * 1995-02-15 1996-08-30 Secom Co Ltd 監視システム
WO1997039552A1 (en) * 1996-04-17 1997-10-23 Intel Corporation An apparatus and method for re-encrypting data
WO2005086452A1 (en) * 2004-03-09 2005-09-15 International Business Machines Corporation Key-based encryption
US20050213768A1 (en) * 2004-03-24 2005-09-29 Durham David M Shared cryptographic key in networks with an embedded agent
US20110060947A1 (en) * 2009-09-09 2011-03-10 Zhexuan Song Hardware trust anchor

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
MENEZES, A. J. ET AL., HANDBOOK OF APPLIED CRYPTOGRAPHY, 1996, pages 360, 364 - 368 *

Also Published As

Publication number Publication date
JP6547756B2 (ja) 2019-07-24
JPWO2016067473A1 (ja) 2017-09-07
US20170228546A1 (en) 2017-08-10

Similar Documents

Publication Publication Date Title
US6973570B1 (en) Integrated circuit comprising encryption circuitry selectively enabled by verifying a device
US8972730B2 (en) System and method of using a signed GUID
US20090300368A1 (en) User interface for secure data entry
US20080024268A1 (en) Component authentication for computer systems
EP0686906A2 (en) Method and apparatus for enhancing software security and distributing software
EP2869231B1 (en) Verification of authenticity of a maintenance means connected to a controller of a passenger transportation/access device of a building and provision and obtainment of a license key for use therein
Nguyen et al. Cloud-based secure logger for medical devices
CN105099705B (zh) 一种基于usb协议的安全通信方法及其系统
JP6547756B2 (ja) セキュリティシステム及びコンピュータ機器間の通信方法
CN110445774B (zh) IoT设备的安全防护方法、装置及设备
CN110830507B (zh) 资源访问方法、装置、电子设备及系统
US8355508B2 (en) Information processing apparatus, information processing method, and computer readable recording medium
CN107968777B (zh) 网络安全监控系统
CN108270601B (zh) 移动终端、告警信息获取、告警信息发送方法及装置
JP6967399B2 (ja) ヘッドレス電子デバイスの復元
US20180307870A1 (en) Process and Detachable Device for Using and Managing Encryption Keys
KR101754519B1 (ko) 일회용 키를 이용하여 키보드를 통해 입력된 데이터를 보호하기 위한 키보드 보안 시스템 및 방법
Fournaris et al. Trusted hardware sensors for anomaly detection in critical infrastructure systems
EP1962218B1 (en) Method for detecting that a protected software program is cracked
KR100880512B1 (ko) Ｓａｍ 내장 출입단말기
JP2016071644A (ja) ライセンス管理方法及びライセンス管理システム
US20230012696A1 (en) True secure airgap
CN116644458B (zh) 一种电子系统信息安全保护系统
CN115001749B (zh) 设备授权方法、装置、设备及介质
TWI649672B (zh) 用於固定環境的更新防護系統及其更新防護方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14904847

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016556173

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14904847

Country of ref document: EP

Kind code of ref document: A1