データ処理装置、通信端末機器、および、データ処理装置を用いたデータ処理方法
【課題】データ処理装置にデータをセキュリティを確保した状態で入力する。
【解決手段】データ入力を行うデータ入力ユニットと、第１プロセッサと、第２プロセッサとが設けられている。第１プロセッサは、第１データ入力モード時に、データ入力ユニットに入力されたデータの受信および処理を行うように設計されている。第２プロセッサは、セキュリティ関連データを入力する第２データ入力モード時に、データ入力ユニットに入力されたデータの受信および処理を行うように設計されている。
【解決手段】データ入力を行うデータ入力ユニットと、第１プロセッサと、第２プロセッサとが設けられている。第１プロセッサは、第１データ入力モード時に、データ入力ユニットに入力されたデータの受信および処理を行うように設計されている。第２プロセッサは、セキュリティ関連データを入力する第２データ入力モード時に、データ入力ユニットに入力されたデータの受信および処理を行うように設計されている。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ処理装置、通信端末機器、および、データ処理装置を用いたデータ処理方法に関するものである。
【背景技術】
【０００２】
固定電話機器および携帯電話機器の分野において、特にデータ伝送およびデータ処理（一般的には、２つ以上の通信端末機器間のデータ通信）に関するセキュリティは、ますます重要性を増している。
【０００３】
また、通信システムのユーザにとって、ユーザのプライバシーの保護および個人データの守秘を脅かさずにユーザの個人データを保護することが、ますます重要になっている。電子取引についても、データと、ビジネスの資産の構成要素と、これに関する機密情報とを確実に保護し、特に、リモートアクセス（Remote Access）を非常に確実に形成するとともに、電子ビジネストランザクションを確実に実行できるようすることが、重要である。
【０００４】
コンピュータと、コンピュータ間の通信とへの多くの攻撃は、特にいわゆるオープンオペレーティングシステムに内在する弱点に基づいているか、あるいは、上記弱点を利用したものである。特に、上記攻撃は、ダウンロードされたコンピュータプログラム（ソフトウェア）をオープンオペレーティングシステムがインストールされた各コンピュータにおいて実行するという、オープンオペレーティングシステムの性能に基づいているか、あるいは、上記性能を利用したものである。これに関して、無線インタフェースを有し、オープンオペレーティングシステム（例えば、リナックス（Ｌｉｎｕｘ：トルヴアルドズ リヌスの登録商標）オペレーティングシステム、ユニックス（ＵＮＩＸ：エックス／オープン・カンパニー・リミテッドの登録商標）オペレーティングシステム、シンビアン（ＳＹＭＢＩＡＮ：トルヴアルドズ リヌスの登録商標）オペレーティングシステム、ウインドウズ（ＷＩＮＤＯＷＳ：マイクロソフト コーポレイションの登録商標）オペレーティングシステム、または、ジャバ（ＪＡＶＡ：サン・マイクロシステムズ・インコーポレーテッドの登録商標）プラットフォーム）をインストールしたコンピュータ、を備えた機器は、特に危険である。
【０００５】
例えば、コンピュータウイルス、コンピュータワーム、または、トロイの木馬といった、悪意のある、つまり損害を与えるコンピュータプログラム（以下では、損害を与えるコンピュータプログラムとも記載する）は、通信網において非常に早く伝播する能力を有しているので、このような脅威に対する適切な対策をとることが非常に重要である。
【０００６】
１人または複数のユーザ間で金融電子トランザクションが行われる多くのアプリケーションコンピュータプログラムでは、通常、１人のユーザからその認証データ（例えば、いわゆるＰＩＮコード（個人識別番号コード）、言い換えるとユーザを一義的に識別する一連の数字）を照会する。この典型的な例は、携帯電話などの移動通信端末機器（例えば、ＧＳＭ携帯電話またはＵＭＴＳ携帯電話）である。この機器では、ユーザがＰＩＮコードを通信端末機器に入力する。また、この機器では、入力されたコードをスマートカード（加入者識別モジュール、ＳＩＭと呼ばれる）に格納された値と比較し、入力されたＰＩＮコードが格納されたコードと一致すると、ユーザが初めに移動通信端末機器のファンクションにアクセスする。他のアプリケーションコンピュータプログラムでは、秘密暗号鍵を用いて暗号演算を実行するために、いわゆるＷＩＭ（無線識別モジュール）を備える必要がある。
【０００７】
プロセッサ（つまりコンピュータ）においてセキュリティ関連のコンピュータプログラムを実行するときには常に、プラットフォーム上では（つまり、プロセッサによっては）、損害を与えるコンピュータプログラム、例えば、認証手順において（一般的には供給されたセキュリティサービスにおいて）データを傍受するコンピュータプログラムが実行されないようにする、ということを確実にすることが重要である。そのようにできない場合には、損害を与えるコンピュータプログラムは、傍受した認証データを、意図していない無許可の電子金融トランザクションにおいて使用可能となってしまい、認証データを用いたトランザクションに対して唯一権利のある本来のユーザは、このことに気づかない。
【０００８】
一般的に、上記問題は、
複数のプロセッサを備え、プロセッサのうちの少なくとも１つにオープンオペレーティングシステムがインストールされているシステムにおいて、どのように、安全な認証手順が得られるのか、と表現することができる。
【０００９】
このために、従来技術では、様々なアプローチが知られている。
【００１０】
一方では、認証を保護するために、厳格なソフトウェアインストールセキュリティソリューションを提供することにより、損害を与えるコンピュータプログラムがダウンロードされる可能性を低くすることができる。このソリューションは、通常、いわゆるコンピュータプログラム証明書を利用することにより、行われる。例えば、デジタル署名された正確なコンピュータプログラム（アプリケーションコンピュータプログラム）のみが、システムにインストールされ、各プロセッサによって実行される。つまり、このシステムは、各コンピュータプログラムを介して、デジタル署名が正しいことを証明し、コンピュータプログラムに対応したソフトウェア証明書の有効性を検査できる必要がある。この方法の不都合な点は、特に、用いるセキュリティモデルが複雑である点にある。証明プロセスには、ユーザに認識されない複数の様々なエンティティが関係している。これにより、結局は、各ソフトウェア証明書および各コンピュータプログラムを信頼するかしないかの決定に関して、ユーザに過大な要求をすることになる。
【００１１】
他のアプローチでは、損害を与えるコンピュータプログラムからコンピュータを保護するために、いわゆるアンチウイルスソフトウェアが用いられる。つまり、損害を与えるコンピュータプログラムを認識し、それらを駆除するための適切な対策を提供するコンピュータプログラムを利用する。この構想では、システムにすでにダウンロードされた、損害を与えるコンピュータプログラムを認識し、それらを消去することを試みる。このアプローチの特に不都合な点は、知られている脅威、すなわち、知られている、損害を与えるコンピュータプログラムにしか対処できないことである。アンチウイルスコンピュータプログラムにまだ知られていない、損害を与えるコンピュータプログラムについては、アンチウイルスコンピュータプログラムがインストールされているシステムは、アンチウイルスコンピュータプログラムが更新されるまで、損害を与えるコンピュータプログラムによる危険から保護されない。このアンチウイルスコンピュータには、例えば損害を与えるコンピュータプログラムの新たな署名が保持されており、したがって、この損害を与えるコンピュータプログラムが認識され、次に、それに対して適切な措置が講じられる。
【００１２】
つまり、上記２つのアプローチでは、コンピュータにダウンロードされたソフトウェアがコンピュータシステムのセキュリティを確実に侵さないようにすることは、困難である。
【００１３】
［１］から、ＡＲＭのマイクロプロセッサのＡＲＭＶ６アーキテクチャとして、「トラストゾーン」と呼ばれるセキュリティの拡張が知られている。ここでは、［４］と同様に、単一のプロセッサが、セキュリティとは関係のない動作モードから、セキュリティ動作モードに移行することが記載されている。セキュリティ動作モードでは、データ（例えば、パスワード）を安全に入力、処理、および、表示できる。［１］および［４］では、セキュリティ動作モードに移行する、または、それから出るために、複数の命令が必要である。したがって、各コンピュータシステムのデータ処理速度が低下してしまう。さらに、これらのアプローチでは、マイクロプロセッサにおける安全でない割り込みを無効にするなどの特別な対抗措置を講じる必要がある。これにより、セキュリティ関連のデータを入力または処理する間は、セキュリティ動作モードを出ることができなくなる。パスワードまたは他のセキュリティ関連のデータを入力するために、アプリケーションコンピュータプログラムは、押されたキーを認識する、または、キーにアクセスできるようにする、または、入力されたデータの表示を操作できるようにする、ということを確実に行う必要がある。これにより、トロイの木馬の場合がそうであるように、ユーザに、そのパスワードを入力させることができるようになる。このため、データ入力またはデータ出力を安全に行うためのセキュリティ動作モードにおいて、データ入力ユニットおよびデータ表示ユニットをセキュリティ動作モードで完全に駆動する必要がある。［１］および［４］では、安全でないデータとセキュリティ関連のデータとが、同じ表示ユニット（特に同じ画面）において混合できないようになっており、これにより、アプリケーションコンピュータプログラムでは、セキュリティ関連のデータをコンピュータシステムに入力する際に、「ルック・アンド・フィール」という操作感をユーザに伝えることが、入力されるデータの表示範囲内に限って可能となる。さらに、これらのアプローチでは、マイクロプロセッサに適した割り込み操作の開発が、非常に困難で技術的にコストがかかるが可能である。これにより、リアルタイムに処理されることが重要なタスクが、それらの実行時に、ユーザの側からの例えばデータ入力によって遮断されない。それゆえに、単一のセキュリティ動作モードを供給するだけでは不十分であり、データをコンピュータシステムに入力および出力するための周辺機器の機能を改善する必要がある。
【００１４】
パーソナルコンピュータのうちの１つにおいて自由度および柔軟性を維持しながらパーソナルコンピュータを保護するために、「トラスティドコンピューティンググループ（Trusted Computing Group；ＴＣＧ）」が作られた。トラスティドコンピューティンググループは、全セキュリティソリューションの重要な範囲の仕様（特に、［２］に記載されているように、「トラスティドプラットフォームモジュール（Trusted Platform Module；ＴＰＭ）」と呼ばれるハードウェアコンピュータチップ）に焦点を当てている。トラスティドプラットフォームモジュールは、暗号の観点から情報を格納するための安全な場所を有し、さらに、機密保護された環境において実行される一セットの暗号演算を有し、さらに、完全性のメトリクスを格納および報告する、ハードウェアデバイスである。トラスティドプラットフォームモジュールは、コンピュータシステムの全セキュリティソリューションのほんの一部である。現在の信頼できるキーボード、および、（セキュリティ特性を改善したプロセッサとそれに相当するチップセットとのような）信頼できるグラフィック表示ユニットについては、ここでは取り上げない。さらに、トラスティドコンピューティンググループがパーソナルコンピュータのトラスティドプラットフォームモジュールの仕様に焦点をあてていることが分かる。しかし、近年、トラスティドコンピューティンググループは、例えば［３］に見られるように、移動通信端末機器、ハンドヘルドコンピュータ、および、サーバコンピュータのための、トラスティドプラットフォームモジュールを規定し始めている。
【００１５】
［４］から、さらに、コンピュータがセキュリティ動作モード中であるということをコンピュータシステムのユーザに通知する、セキュリティ動作モードの表示装置が知られている。しかし、そのセキュリティ表示装置は発光ダイオードであるため、ユーザが見落としてしまう可能性がある。
【００１６】
［５］には、信用できるユーザインタフェースを提供するためのシステムについて記載されている。このシステムでは、信用できるデータ表示プロセッサが備えられている。ここでは、この信用できるプロセッサおよび信用できるメモリは、物理的におよび機能的に、本来のコンピュータシステムのプロセッサおよびメモリとは区別される。
【００１７】
さらに、［６］のように、セキュリティコントローラがゲームコンピュータプログラムを実行し、データ表示命令のストリームをデータ表示エンジンに伝送する、コンピュータを保護するゲーム操作台が知られている。このデータ表示エンジンは、その観点から、ゲームのビデオ表示を、ビデオ出力信号を用いて生成する。ビデオ出力信号は、セキュリティコントローラ内のビデオマルチプレクサに転送される。ビデオマルチプレクサは、出力選択機能の制御により、ゲームビデオ出力と監査操作モードビデオ出力とのうちのどちらかを選択する。。出力選択機能は、セキュリティコントローラによって制御される。しかし、［６］では、データ表示（つまり、ユーザへビデオ出力）する場合に、ビデオ出力を様々な領域に分配することは不可能である。なお、分配されたデータストリームは、様々なソースによって制御される。
【００１８】
［７］は、グラフィカルユーザインタフェースを用いて、キーボードによってデータを安全に入力するための装置について記載している。ここでは、ユーザは、コンピュータマウス、ディスプレイ、または、これに適した他の装置を用いて、カーソルを動かし、グラフィカルユーザインタフェース表示装置に、記号およびシンボルを選択することにより、セキュリティコードを入力する。それぞれ新しい選択を行った後、グラフィカルユーザインタフェースのシンボルおよび記号がディスプレイに新たに配置される。これにより、セキュリティコードを入力する際に、ユーザが画面のカーソルの動きを把握する場合でさえ、セキュリティコードの入力を復元できる。
【００１９】
［８］に記載されたシステムでは、信用できるデータ入力ユニットがコプロセッサに連結されており、セキュリティ操作モードを表示するために、信用できないキーボードがセキュリティ情報表示装置を備えている。
【００２０】
［９］は、パスワードを移動通信端末機器に入力するための方法を記載している。この方法では、数えられる数の特定の記号キーの指示に相当する（パスワード記号表の中の）特定の記号を探す。
【００２１】
［１０］は、チップカードインタフェースと、キーボードコントローラと、チップカードコントローラとを備えた、コンピュータキーボード配列について記載している。キーボードによって生成された信号は、コントローラから、パーソナルコンピュータまたはチップカードインタフェースに転送される。
【発明の概要】
【発明が解決しようとする課題】
【００２２】
本発明の目的は、データ処理装置にデータをセキュリティを確保した状態で入力することである。
【課題を解決するための手段】
【００２３】
本発明の目的は、独立請求項に記載された特徴を有するデータ処理装置、通信端末機器、および、データ処理装置を用いたデータ処理方法により達成される。
【００２４】
また、従属請求項に、本発明の好適な発展形態を示す。本発明の上記発展形態は、データ処理装置、通信端末機器、およびデータ処理装置を用いたデータ処理の方法に関する。
【００２５】
本発明のデータ処理装置は、データ処理装置にデータを入力するためのデータ入力ユニットを有する。さらに、データ処理装置には、第１プロセッサと、第２プロセッサとが備えられている。第１プロセッサは、第１データ入力モード（好ましくは、セキュリティ関連のデータではないデータの入力モード）において、データ入力ユニットに入力されたデータの受信および処理を行うように、設計されている。第２プロセッサは、セキュリティ関連のデータを入力する第２データ入力モードにおいて、データ入力ユニットに入力されたデータの受信および処理を行うように、設計されている。
【００２６】
また、前記通信端末機器は、上述のデータ処理装置を有する。
【００２７】
さらに、データ処理の方法では、データ入力ユニットを用いて、データをデータ処理装置に入力する。第１データ入力モード（好ましくは、セキュリティ関連のデータではないデータの入力モード）では、第１プロセッサが、データ入力ユニットに入力されたデータの受信および処理を行う。セキュリティ関連のデータを入力する第２データ入力モードでは、第２プロセッサが、データ入力ユニットに入力されたデータの受信および処理を行う。
【００２８】
上述の従来技術の処理手順とは異なり、本発明は、オープンオペレーティングシステム環境において、機密入力データを傍受し得るような損害を与えるコンピュータプログラムまたは損害を与えるプログラムコンポーネントを、認識することも計算機システムから除去することもしない。
【００２９】
従来技術とは異なり、本願の一つの発明は、機密データ（つまり慎重を期する内容のデータ）を、データ処理装置内の信頼できる部分を用いて（好ましくは第２プロセッサを用いて）、システム中すなわちデータ処理装置中に入力するように制御する点であることは明確である。第２プロセッサではトラスティドコンピュータプログラムのみが実行されている、この第２プロセッサは、「トラスティドコア」プロセッサとも呼ばれる。この第２プロセッサが存在するがゆえに、本発明の実装では、確実に、機密データを取り扱いかつ処理するために導入されたトラスティドコンピュータプログラムのみが、すなわち、信頼できるソフトウェアのみが、第２プロセッサ上で実行可能になる。
【００３０】
本発明のアプローチの特徴は、ソフトウェア証明書の一般的な使用方法とは異なり、特に、コンピュータプログラムの一部分のみが、セキュリティに関連していて、対応する証明書またはその他のセキュリティ方策により保護される必要がある、ということが認識さた点である。例えば、本発明のアプローチは、第２プロセッサが、この第２プロセッサのみがアクセス可能であるメモリ中に制限された少ない数のコンピュータプログラムを保存しておき、これらのコンピュータプログラムを実行し、コンピュータプログラムによって、以下に詳細に説明するようなセキュリティ関連のサービスを実現すなわち提供する。したがって、証明済でかつ信頼できるデータ完全性を有するソフトウェアのみが第２プロセッサにより実行される、ということが保証される。
【００３１】
本願の一つの発明では、ＰＩＮコードあるいはパスワードなどのセキュリティ関連のデータ（すなわち、機密データ）を安全に入力するための信頼できる機構が、システムのユーザに提供される。この機構がオープンオペレーティングシステム（すなわち、オープンなコンピュータ環境）において傍受から保護されることは明確である。データ処理装置の動作を、安全な動作モード（第２のセキュリティ関連のデータ入力モード）と、安全ではない動作モード（第１のデータ入力モード）とに規定し、これらを提供するための手段が設けられている。
【００３２】
データ処理装置は、以下の要素を有することが好ましい。
・例えばキーボードなどのデータ入力ユニット。このデータ入力ユニットは、通常動作モード（第１データ入力モード）では、好ましくはアプリケーションプロセッサとして設けられている第１プロセッサに割り当てられており、一時的に、データ処理装置内の第２プロセッサ（トラスティドコア）に割り当てられる。
・あるいは、通常動作モードでは、データ入力ユニットは、入力されたシンボル（例えば、押されたキーに割り当てられたデータシンボル）を、直接アプリケーションプロセッサに渡してもよい。第２プロセッサがデータ入力の受信をするようにとの問い合わせに応じて起動された後は、データ入力ユニットは、データが入力されてもこのデータを通常動作モードの場合のようにアプリケーションプロセッサに直接は伝送せず、好ましくは、各キーが押されたことに応答して、すなわち、各データシンボルが入力されたことに応答して、予め設定可能な記号／データシンボル（例えば、「*」シンボル）を、実際に入力されたデータシンボルないしはデータ記号の代わりに、アプリケーションプロセッサに伝送する。アプリケーションプロセッサは、この予め設定可能な記号／データシンボルを、例えばアプリケーションプロセッサおよび／または第２プロセッサがグラフィカルユーザインタフェース（ＧＵＩ）上に準備した入力マスク内のＰＩＮ入力領域に出力する。この場合に、予め設定可能な制御キー（例えば、消去キー）の機能は、さらに、アプリケーションプロセッサへ移行されることが好ましい。入力されたデータ、すなわち、より正確には、入力された各記号ないしデータシンボルは、メモリまたはメモリの一部分に蓄積すなわち収集される。このメモリないしメモリの一部分に対しては、第２プロセッサのみが書き込みおよび読み込み可能である。すなわち、第２プロセッサのみが、このメモリないしメモリの一部分に対してアクセス権を有する。機密データの入力終了後に、入力された一連のデータは、第２プロセッサにより処理され、例えば、比較表中の１つまたは複数の対応する値と比較される。上記１つまたは複数の値は、例えば、スマートカードまたはフラッシュメモリに、プレーンテキストでまたは符号化されて保存可能である。比較データが符号化された形式で保存されている場合には、第２プロセッサは、対応する復号化に適した暗号鍵と復号化方法とにアクセス権を有する。この上述のプログラム工程の間は、マイクロプロセッサの通常の割り込みモードは無効にされ、その結果、機密データのデータ入力のためのセキュリティサービスは中断されず、これにより、データ入力が「カプセル化」されることは明らかである。一般に、このように、提供される各セキュリティサービスは「カプセル化」されている。
【００３３】
・第２プロセッサは、データ処理装置が第２データ入力モードであることを、データ表示ユニット上に表示することが好ましい。この表示は、例えば、視覚的に（好ましくは、発光ダイオードを用いて、キーの背景部分を光らせるなど、または、データ表示ユニット上で示されるシンボル（印章）を用いて）、または、音声情報の提示（好ましくは、警告信号により、または、第２データ入力モードであることを明らかに特定する一連の音）により行われる。この際に、データ表示ユニット（グラフィック形式、または、音声情報の出力）の制御は、確実に第２プロセッサのみにより行われ、第１プロセッサすなわちアプリケーションプロセッサによっては行われないようにされている。これにより、ユーザは、データ処理装置が第２データ入力モード中であり、したがってユーザは疑うことなく信頼できるデータまたは機密データの入力を行うことができるとの情報を、単純で信頼できる方法で得ることができる。
【００３４】
データ入力ユニットは、
・キーボード
・データ通信インタフェース
・タッチパネル
・接触感知型の表示ユニット（タッチスクリーン）
・コンピュータマウス
・音声認識ユニットを含むマイク（この音声認識ユニットは、例えば、発話者に依存する音声認識を行うユニットおよび／または発話者に依存しない音声認識を行うユニットである）
のいずれか１つである。
【００３５】
このことは、本発明がいかなる種類のデータ入力にも、すなわち、データ処理装置への直接入力、あるいは、通信網（固定通信網または移動通信網）を介しての入力にも適していることを意味している。セキュリティ関連のデータの入力を保護せねばならなくなるや否や、データ処理装置は、入力された機密データを第２プロセッサで受信および処理するために切り換わる。この第２プロセッサは、入力されたデータを信頼を持って処理するために、適切に設計されており機密保護されている。
【００３６】
好ましくは、第１プロセッサは、オープンオペレーティングシステム上でアプリケーションコンピュータプログラムを実行するように設計されたアプリケーションプロセッサである。ここで、上記オープンオペレーティングシステムは、好ましくは、オペレーティングシステム外との通信インタフェースを少なくとも１つ有するオペレーティングシステムである。これゆえに、このオペレーティングシステムは、例えば、コンピュータウイルス、トロイの木馬、コンピュータワーム、または、一般的に述べると、損害を与えるコンピュータプログラムの外からの攻撃により、損害を受ける可能性がある。
【００３７】
オープンオペレーティングシステムの一例としては、ウインドウズオペレーティングシステム、リナックスオペレーティングシステム、ユニックスオペレーティングシステム、シンビアンオペレーティングシステム、または、ジャバプラットフォームが挙げられる。
【００３８】
本発明の別の一発展形態によれば、第２プロセッサは、いわゆるトラスティドコアプロセッサとして設計されている。これにより、第２プロセッサは、１つまたは複数のトラスティドコンピュータプログラムのみを実行可能であるように設計されていることは明確である。このための実現方法としては、例えば、製造者側で、第２プロセッサのみによりアクセス可能なメモリ中に、所定の数のセキュリティ関連サービスを実現する方法手順を、コンピュータプログラムの形式で、所定の量保存しておくことが挙げられる。あるいは、第２プロセッサが、実現される各セキュリティサービスに適用されるソフトウェア証明書、すなわち、各セキュリティサービスを実現するコンピュータプログラムに割り当てられるソフトウェア証明書を、各プログラム実行の前に検査し、ソフトウェア証明書の検査に合格した場合のみ、プログラムが第２プロセッサ上で実行されるようにする。
【００３９】
トラスティドコンピュータプログラムとは、完全性が保証されており（好ましくは、暗号化により完全性が保証されており）、特に、少なくとも１つのセキュリティ関連のサービス（好ましくは、暗号化によるセキュリティサービス）を行うコンピュータプログラムであることが好ましい。
【００４０】
第２プロセッサは、データ処理装置を通信端末機器（特に、移動通信端末機器）として構成した場合に、特に、１つまたは複数の各セキュリティサービスを実施するように設計されたデジタル信号プロセッサである。
【００４１】
好ましくは、第２プロセッサはマイクロコントローラであり、例えばこの場合に、データ処理装置中に複数のマイクロコントローラがあり、必要に応じて追加のデジタル信号プロセッサが設けられている。すなわち、例えば、アプリケーション用の１つのマイクロコントローラと、信頼できるサービス（トラスティドサービス）用の１つのマイクロコントローラと、モデムサービス用の１つのマイクロコントローラと、リアルタイムであることが重要なサービス用のデジタル信号プロセッサとが、特にデジタル信号処理用に設けられている。
【００４２】
これに関連して、信頼できる、すなわち「トラスティド」な第２プロセッサの動作が、（信頼できない、すなわち「アントラスティド」な）第１プロセッサによって妨害されてはならない、ということを確実にしたほうがよい。このことは、例えば、各プロセッサ用の専用のメインメモリを用いることにより、または、１つのメインメモリを共通で用いた場合には、「トラスティド」な第２プロセッサにより制御され、所定のアドレス領域に対する明示的なアクセス権を予め設定できるメモリ制御装置を設けることにより達成される。
【００４３】
好ましくは、暗号を用いたセキュリティサービスは、少なくとも１つの暗号鍵を用いて行われる。例えば、少なくとも１つの秘密（プライベート）暗号鍵および／または少なくとも１つの公開暗号鍵を用いて行われる。
【００４４】
換言すれば、暗号を用いたセキュリティサービスは、各セキュリティサービスにおいて対称暗号鍵機構および非対称暗号鍵機構を用いて、実現される。
【００４５】
暗号を用いたセキュリティサービスは、
・デジタル署名
・デジタル印章
・認証
・データ符号化
・ログイン
・アクセス制御
・データ通信内のトラフィック分析の阻止
・ハッシュ法
の少なくともいずれか１つである。
【００４６】
基本的には、暗号を用いた各セキュリティサービスの実施、特に、ユーザによるデータ入力ユニットを介したデータ処理装置へのセキュリティ関連情報すなわち機密情報の入力は、第２プロセッサにより実行されるコンピュータプログラムとして実現される。
【００４７】
このようにして、特に第２プロセッサの動作がプログラミング可能なことにより、暗号利用に関してデータ処理装置の拡張性を非常に柔軟に保ちつつ、ユーザのデータ入力の安全性を確保することができる。
【００４８】
本発明の別の発展形態によれば、入力されたデータの少なくとも１部分をユーザに対して表示するためのデータ表示ユニットが備えられている。
【００４９】
このようにして、セキュリティ関連データまたはセキュリティ関連データではないデータを、データ処理装置に入力する際に、特に、ユーザの操作感「ルック・アンド・フィール（見た目と感じ）」が得られる。
【００５０】
データ処理装置は、第２データ入力モードでは、第２プロセッサが、入力されたデータを受信し、入力されたデータとは異なるデータであって好ましくは入力されたデータのデータシンボルと等しい数のデータシンボルを有するデータを、第１プロセッサおよび／またはデータ表示ユニットに伝送するように設計されていることが好ましい。このようにして、有用性はさらに高められ、特にユーザの操作感「ルック・アンド・フィール」はさらに改善されるが、この理由は、ユーザが、行った入力、例えばキーを押す毎に、実際に行った入力すなわち例えばどのキーを実際に押したかについては表示がなされないものの、行った入力についての領収書すなわち入力がうまくいったとの確認がユーザに示されるからである。
【００５１】
第２プロセッサから、第１プロセッサおよび／またはデータ表示ユニットに伝送されるデータが、一連の所定のデータシンボルであり、特に、一連のある１つの所定のデータシンボルであり、データシンボルの数は入力されるデータのデータシンボルの数に等しいように、データ処理装置が設計されることが好ましい。
【００５２】
さらに、第２プロセッサは、例えば、第２データ入力モードでは、第１プロセッサおよび／またはデータ表示ユニットに、セキュリティモード表示情報を伝送するように設計されていてもよい。このようにして、単純な方法で、信頼される形で、ユーザが危険性なくデータ入力ユニットを介してデータ処理装置に機密情報を入力できる、という情報がユーザに対して提供される。
【００５３】
セキュリティモード表示情報は、視覚情報および／または音声情報であることが好ましい。
【００５４】
さらに例えば、第１プロセッサから第２プロセッサへ、または、第２プロセッサから第１プロセッサへ、データ入力ユニットの制御が移行される際に、第１プロセッサと第２プロセッサとの間での通信を行うためのプロセッサ間連絡ユニットが設けられている。換言すれば、本発明のこの発展形態によれば、データ入力ユニットの制御の移行ないし入力されたデータの受信および処理の移行は、２つのプロセッサ間のプロセッサ間連絡により行われる。
【００５５】
特に、この実現方法の利点は、２つのプロセッサ間の通信用にそれ自体は公知の機構を用い、権利の移行が、安全なデータ入力の枠内で、単純で安価な方法で行われる点である。
【００５６】
さらに、好ましくはコンピュータプログラムとして設計されているデータ入力ユニットの駆動ユニットが備えられていてもよい。上記データ入力ユニットの駆動ユニットは、第１データ入力モードで入力されたデータを第１プロセッサに伝送し、第２データ入力モードで入力されたデータを第２プロセッサに伝送するように設計される。
【００５７】
したがって、本発明のこの発展形態により、データ入力ユニットの駆動ユニットは、一種の切替ポイントのようなものとなる。このユニット中で、入力されたデータが機密性のあるものであり、それゆえに第２プロセッサに伝送されるべきか、または、入力されたデータがセキュリティ関連データではなく、それゆえにこのデータが直接、好ましくはアプリケーションプロセッサである第１プロセッサに伝送されるか否かが判断される。
【００５８】
データ入力ユニットの駆動ユニットの設計において、第２データ入力モードで入力されたデータとは異なるデータであって、好ましくは第２データ入力モードで入力されたデータのデータシンボルの数と等しい数のデータシンボルを有するデータが、第１プロセッサおよび／またはデータ表示ユニットに伝送されるようにしてもよい。
【００５９】
本発明のこの発展形態によれば、好ましくは第１プロセッサおよび／またはデータ表示ユニットに伝送されるデータは、一連の所定のデータシンボルであり、特に一連のすなわち複数の所定のデータシンボルであり、データシンボルの数は、入力されたデータのデータシンボルの数に等しい。
【００６０】
本発明の別の一発展形態によれば、第２プロセッサは、チップカードプロセッサとして設計されている。換言すれば、第２プロセッサはチップカード上に実現されており、このチップカードは、例えばパーソナルコンピュータまたは通信装置に接続されたチップカード読み取り機により、第１プロセッサおよびデータ入力ユニットと通信接続される。このようにして、一般的なパーソナルコンピュータにおいてさえも、特に関連するセキュリティアーキテクチャで今日しばしば見受けられるチップカード読み取り機（チップカード上のプロセッサを利用したもの）を用いることにより、安全なデータ入力が行われる。これにより、例えばパーソナルコンピュータへのデータ入力も確実に安全に行われる。
【００６１】
特に、データ処理装置が通信端末機器、特に移動通信端末機器として設計されている場合に、本発明の発展形態では、第２プロセッサは、通信端末機器、特に移動通信端末機器中の参加者識別モジュールに組み込まれている。本発明のある実施形態では、ＳＩＭモジュール（Subscriber Indentity Module;加入者識別モジュール）に組み込まれたプロセッサを、第２プロセッサとして用い、これにより各セキュリティサービスを実現する。
【００６２】
本発明は、特に、好ましくはユーザのみが知っているパスワードまたはＰＩＮコード、すなわち一連の認証シンボルを入力する際や、データの符号化またはデジタル署名（例えば、ＰＩＮコードまたはパスワードの形式でのユーザ入力が必要である暗号化手段を用いて電子メールを符号化またはデジタル署名をするなど）する際に適している。各電子メールは、例えば、通信端末機器を用いて、好ましくは無線インタフェースを介して受信機に伝送されてもよいが、自身で、計算機システム中の対応するディレクトリ中に単にバッファリングされており、ユーザまたは他のユーザにより照会があった際に、必要に応じて再び復号化されてもよい。
【発明の効果】
【００６３】
本発明は、データ処理装置にデータをセキュリティを確保した状態で入力することでができるという効果を奏する。
【図面の簡単な説明】
【００６４】
【図１】発明の一実施例のデータ処理装置のアーキテクチャを示すブロック図である。
【図２】本発明の一実施例の移動通信端末機器の構成を示す平面図である。
【図３】本発明の他の一実施例の移動通信端末機器の構成を示す平面図である。
【図４】本発明のさらに他の一実施例のデータ処理装置の構成を示す図である。
【図５】本発明の他の一実施例のさらに他のデータ処理装置の構成を示すブロック図である。
【図６】２つのデータ入力モード間の様々な切り替えを示すメッセージフローチャートである。
【図７】本発明の一実施例の第２データ入力モードで確実なデータ入力を提供するための個々の工程を示すフローチャートである。
【図８】データ処理装置の代替的な一実施例を示すブロック図である。
【発明を実施するための形態】
【００６５】
本発明の実施例を、図に示し、以下で詳しく説明する。
【００６６】
図１は、本発明の一実施例のデータ処理装置のアーキテクチャを示すブロック図である。
【００６７】
図２は、本発明の一実施例の移動通信端末機器の構成を示す平面図である。
【００６８】
図３は、本発明の他の一実施例の移動通信端末機器の構成を示す平面図である。
【００６９】
図４は、本発明のさらに他の一実施例のデータ処理装置の構成を示す図である。
【００７０】
図５は、本発明の他の一実施例のさらに他のデータ処理装置の構成を示すブロック図である。
【００７１】
図６は、２つのデータ入力モード間の様々な切り替えを示すメッセージフローチャートである。
【００７２】
図７は、本発明の一実施例の第２データ入力モードで確実なデータ入力を提供するための個々の工程を示すフローチャートである。
【００７３】
図８は、データ処理装置の代替的な一実施例を示すブロック図である。
【００７４】
図中、類似または同様の素子に、同じ参照番号が付されていることがある。
【００７５】
図２に、データ処理装置としての移動通信端末機器２００を示す。このモバイル無線通信端末機器２００は、ＧＳＭなどのセルベースのモバイル無線標準、例えばＵＭＴＳなどの３ＧＰＰ標準、に基づく通信用に設計されている。
【００７６】
移動通信端末機器２００は、筐体２０１を備えている。この筐体２０１に、アンテナ２０２、表示部２０３、スピーカ２０４、マイク２０５が備えられており、キーボード２０６に、多数のキーが備えられている。多数のキーは、数字、シンボル、または、文字を既知のように入力するための番号キーまたはシンボルキー２０７と、通信接続を確立または終了するための通信接続確立キー２０８および通信接続終了キー２０９などの特別機能キーとを含む。さらに、少なくとも１つの特別機能キー２１０が備えられている。この特別機能キー２１０は、例えば移動通信端末機器２００に格納されたアドレス帳／電話帳を呼び出せるように割り当てられていてもよい。
【００７７】
さらに、移動通信端末機器２００には、ＳＩＭカード（加入者識別モジュールカード）２１１が含まれている。このＳＩＭカード２１１に、ユーザを一義的に識別する情報（ユーザ識別子とも呼ばれる）が格納されている。
【００７８】
移動式通信端末機器２００は、以下で詳しく説明されるように、２つのプロセッサ（図示せず）を備えている。２つのプロセッサとはすなわち、アプリケーションプログラムを実行するための第１プロセッサ（以下ではアプリケーションプロセッサとも呼ぶ）と、例えばモバイル無線信号などを復号するために、物理的なインタフェースの機能、すなわち、無線信号伝送の機能を特に提供するための第２プロセッサとしてのデジタル信号プロセッサ（ＤＳＰ）とである。さらに、メモリ（図示せず）が備えられている。双方のプロセッサとメモリとは、コンピュータバスを介して相互に接続されている。
【００７９】
本発明の代替的な一発展形態では、移動通信端末機器２００は、マイクロコントローラとして設計された２つのプロセッサを備えている。さらに、この代替実施例では、他の少なくとも１つの付加的なマイクロコントローラが備えられており、場合によってはさらに１つの付加的なデジタル信号プロセッサが備えられている。マイクロコントローラでは、アプリケーションコンピュータプログラムが実行される。ある１つのマイクロコントローラでは、信頼できるサービス（トラスティドサービス）、場合によっては付加的なモデムサービスが実行、すなわち、提供される。さらに、特にデジタル信号処理においては、リアルタイムであることが重要なサービスであるために、さらに１つのデジタル信号プロセッサが備えられている。
【００８０】
ユーザは、移動通信端末機器２００の電源を投入した後、移動通信網にログインしたいならば、ユーザは、移動通信端末機器２００から、個人識別番号(Personal Identification Number, PIN)をキー２０７によって入力するように、要請される。ここでは、移動通信端末機器２００へのＰＩＮの入力は、以下に記載のセキュリティ関連の機能または手順で処理される。
【００８１】
入力された個人識別番号は、ＳＩＭカード２１１に格納されてあるユーザ識別子（User IDentity, UID）と比較され、参加者は、権利付与された参加者として移動通信網に受け入れられる。したがって、入力された番号がＳＩＭカード２１１に格納されていたユーザ識別子に対応する場合に、ユーザは権利付与された参加者としてモバイル通信網にログインすることとなる。
【００８２】
ログイン手順における、キーボード２０６のキー２０７・２０８・２０９・２１０の制御権、特に数字キーの間の本発明による切り替えについては、以下で詳しく説明する。
【００８３】
図３に、本発明の第２実施例のデータ処理装置としての移動通信端末機器３００を示す。
【００８４】
移動通信端末機器３００は、本発明の第１実施例の移動通信端末機器２００と構造的に同じように形成されているが、前記デジタル信号プロセッサを省いてもよく、個人識別番号のセキュリティ関連のデータ入力に関連して備えられている本発明による第２プロセッサが、マイクロプロセッサとしてＳＩＭカード３０１に含まれている点が異なっている。このＳＩＭカード３０１は、マイクロプロセッサ３０２と不揮発性メモリ３０３とを備え、第１実施例のＳＩＭカード２１１のように、ユーザ識別子を格納するための不揮発性メモリだけを備えているのではない。
【００８５】
図４に、第３実施例のデータ処理装置としてのシステムブロック４００を示す。システムブロック４００はパーソナルコンピュータ４０１を含み、このパーソナルコンピュータ４０１は、１つのアプリケーションプロセッサ（図示せず）と、１つまたは複数のメモリ素子と、を備えている。プロセッサとメモリとは相互にコンピュータバスを介して接続されており、さらに、外部通信インタフェースと接続されており、さらに、多数の周辺機器（例えば、キーボード４０２、コンピュータマウス４０３、データ表示ユニットとしてのディスプレイ４０４、チップカード読み込み装置４０５）と接続されている。チップカード読み込み装置４０５を用いて、チップカード４０６（すなわち、チップカードに格納されている情報）を読み込み、パーソナルコンピュータ４０１へ伝送できる。
【００８６】
図４に記載のシステムブロック４００を参照して、様々な状況について以下で説明する。まず、一つの取り得る形態として、第１プロセッサがパーソナルコンピュータ４０１に備えられており、第２プロセッサがチップカード読み込み装置４０５に備えられている構成が挙げられる。これらのプロセッサは、以下で説明するサービスを提供するものである。また、これに代えて、チップカード４０６が独自のマイクロプロセッサを備えている構成も可能である。この独自のマイクロプロセッサは、第２プロセッサとして、後述する方法の範囲内で使用されるものである。また、他に取り得る形態として、第２プロセッサが、パーソナルコンピュータ４０１に備えられている構成が挙げられる。また、さらに取り得る他の形態として、１つのプロセッサが第２プロセッサとしてディスプレイ４０４に備えられており、機密データを保護するデータ入力において使用される。
【００８７】
セキュリティ関連のデータを各周辺インタフェース４０７・４０８・４０９・４１０を介してパーソナルコンピュータ４０１へ入力するために、必要に応じて、図４に記載のデータ入力ユニットの１つまたは複数を使用できる。
データの入力は、キーボード４０２、コンピュータマウス４０３、例えば接触感知型ディスプレイとして構成されたディスプレイ４０４、または、チップカード読み込み装置４０５によって行える。
【００８８】
図５に、本発明の第４実施例に係るデータ処理装置であるシステムブロック５００を示す。
【００８９】
このシステムブロック５００では、複数のクライアントコンピュータ５０１・５０２・５０３・５０４・５０５は、キーボード５０６・５０７・５０８・５０９・５１０および／またはコンピュータマウス（図示せず）を、データ入力ユニットとしてそれぞれ備えている。これらのクライアントコンピュータ５０１・５０２・５０３・５０４・５０５は、通信網５１１を介して、サーバコンピュータ５１２と接続されている。
【００９０】
この場合、セキュリティ関連のデータ（特に認証データ）は、通信網（好ましくはインターネット／イントラネット）５１１を介して、サーバコンピュータ５１２へ伝送され、このサーバコンピュータ５１２においてクライアントコンピュータ５０１〜５０５の認証のために使用される。この場合、サーバコンピュータ５１２は２つのプロセッサを備えており、上記データ入力ユニットはサーバコンピュータ５１２の通信網５１１への入出力インタフェースであって、この入出力インタフェースを介して、一連のデータシンボルがサーバコンピュータ５１２へ供給される。
【００９１】
以下で一般的に説明する処理手順は、全ての上記使用状況に当てはまるものである。２つのプロセッサが備えられており、これらは相互に通信することができ、または、入力されたデータが、備えられている２つのプロセッサの１つに、選択的に供給されることがあってもよい、ということだけは必要である。
【００９２】
上述のように、各データ入力ユニットは、キーボード；データ通信インタフェースとしての、通信網またはデータ処理装置の他の一周辺装置に接続されている入出力インタフェース；タッチパネル；接触感知型のデータ表示ユニット；コンピュータマウス；または、マイクであってもよい。マイクを介してデータ処理装置に入力される発話信号は、音声認識ユニットによって、入力されたデータとして認識可能なデータシンボルに変換される。
【００９３】
したがって、全ての上記の使用状況、すなわち、織りまぜた構造は、図１に例示的に示したシステムアーキテクチャ１００に鑑みたものである。
【００９４】
大抵のアプリケーションコンピュータプログラムは、ユーザインタフェース（例えば、周辺機器とデータの送受信を行うための入出力インタフェース）も備えており、アプリケーションプロセッサ１０１（第１プロセッサ）によって実行される。アプリケーションプロセッサ１０１は、オープンオペレーティングシステム（好ましくはウィンドウズオペレーティングシステム）を有し、あるいは、リナックスオペレーティングシステム、ユニックスオペレーティングシステム、シンビアンオペレーティングシステム、またはジャバプラットフォームをインストールし、これを実行する。
【００９５】
さらに、信頼できるモード（トラスティドモード）で動作する第２プロセッサ１０２が備えられている。この第２プロセッサ１０２は、トラスティドコアプロセッサとも呼ばれ、それゆえ、信頼できる（好ましくは暗号化によって）保護された環境で動作する。また、第２プロセッサ１０２は、以下ではセキュリティ関連のサービス（特に暗号化された信頼性サービス）を提供するために使用され、あるいは、または、さらに、データ伝送（特にモバイル無線データ伝送）などにおいて物理的なインタフェースの機能を提供するための他のサービスにも使用される。データ処理装置が移動通信端末機器として形成されている使用状況（図１および図２参照）では、この移動通信端末機器に、通常、２つのプロセッサ、すなわち、アプリケーションプロセッサとデジタル信号プロセッサ（ＤＳＰ）とが備えられている。
【００９６】
第１動作モード（通常動作モード）では、キーボード１０３（一般的にはデータ入力ユニット）は、アプリケーションプロセッサ１０１に割り当てられており、アプリケーションプロセッサ１０１によって制御される。したがって、アプリケーションプロセッサ１０１は、キーボード１０３（一般的には上記の代替的なデータ入力ユニット）を用いて入力されるデータ１０４を、キーボード周辺ブロック１０５を用いて制御および処理することを担当している。キーボード周辺ブロック１０５は、システムバス１０６によってアプリケーションプロセッサ１０１と第２プロセッサ１０２とに共通して接続されており、共通の集積システムコントローラ回路１０７に配置されていることが好ましい。
【００９７】
第２プロセッサ１０２がアプリケーションプロセッサ１０１と共に１つの集積回路１０７に備えられていない上記使用状況では、双方のプロセッサ１０１・１０２は、例えばケーブルまたは他の通信接続方法（例えば無線通信接続）によって相互に接続されている。
【００９８】
セキュリティ関連のデータが例えばユーザの認証において、ユーザによってデータ処理装置１００に入力されるほうがよい場合には、データ入力ユニット（好ましくはキーボード１０３）の制御は、機密データの入力が終了するまで、第２プロセッサ１０２に委ねられる。このようにして、システム１００の信頼できる環境において機密データを入力できる。
【００９９】
データ処理装置が移動通信端末機器に集積されている例では、たとえばこれらのプロセッサが双方ともＡＲＭ９２６プロセッサである、あるいは、アプリケーションプロセッサがＡＲＭ１１プロセッサである。
【０１００】
以下に、データ処理装置の範囲内で、セキュリティ関連のデータ入力モードを実現するために選択し得るさまざまな実施例について説明する。
【０１０１】
第１の好ましい例では、データ入力ユニット（好ましくは、キーボード１０３）の制御が、アプリケーションプロセッサ１０１から信頼できる第２プロセッサ１０２へ明示的に移行し、また逆に第２プロセッサ１０２からアプリケーションプロセッサ１０１へ明示的に移行する。
【０１０２】
この場合、占有すなわちデータ入力ユニット（好ましくはキーボード１０３）の制御は、明示的なプロセッサ間連絡によって、アプリケーションプロセッサ１０１から第２プロセッサ１０２へ、または、逆にこの第２プロセッサ１０２からアプリケーションプロセッサ１０１へ明示的に移行される。
【０１０３】
このことは、双方のプロセッサ（すなわち、アプリケーション１０１と第２プロセッサ１０２との双方）がコンピュータプログラムをそれぞれ有しているとともにそれを実行できる、ということを前提条件とする。なお、このコンピュータプログラムは、これらのプロセッサに、現在は誰が実際にデータ入力ユニット１０３の制御を司っているのか、ということを伝えることができる。また、コンピュータプログラムは、データ入力ユニット１０３の制御を、他方のプロセッサ１０１または１０２へそれぞれ伝送（言い換えれば、移行）する。
【０１０４】
トラスティドコアプロセッサ（第２プロセッサ）１０２は、セキュリティ関連のデータ入力モードの間の制限された期間に、データ入力ユニット１０３の制御を司る。このデータ入力ユニット１０３を介して、セキュリティ関連の（すなわち、機密）データが、データ処理装置１００へ入力される。一方、この期間に、トラスティドコアプロセッサ１０２は、安全入力表示を起動することが好ましい。なお、この安全入力表示は、データ処理装置１００が第２の安全なデータ入力モードである、ということをユーザに示すものである。さらに、第２の（すなわち、セキュリティ関連の）データ入力モードの表示を実現するための様々なオプションについて、以下で詳しく説明する。
【０１０５】
この点に関して、第２データ入力モードをユーザに確実に表示するには、ユーザにこの情報を表示している間はアプリケーションプロセッサ１０１がこの表示を制御できないようにすることが望ましい。
【０１０６】
図６のメッセージフローチャート６００に示す一例では、パスワードが一連の機密データシンボルとしてデータ処理装置へ入力され、このパスワードが、データファイルのデジタル署名に使用される。
【０１０７】
フローチャート６００に示すフローでは、電子データファイルを署名するようにとの要求メッセージを受信することにより、トラスティドコアプロセッサ１０２において第２データ入力モード（ソース入力モード）が暗黙的に起動される。
【０１０８】
図６に示すように、この例では、アプリケーションプロセッサ１０１によって署名要求メッセージ６０１が生成され、好ましくはシステムバス１０６を介して、第２プロセッサ（すなわち、トラスティドコアプロセッサ）１０２へ伝送される。署名要求メッセージ６０１には、必要とされる信頼性サービス、つまり電子データファイルへのデジタル署名（サイン）６０２、ならびに、必要とされるサービスのパラメータとして、デジタル署名される電子データ（テキスト）６０３およびキー識別情報（キーＩＤ）６０４が示されている。
【０１０９】
トラスティドコアプロセッサ１０２は、署名要求メッセージ６０１を受信すると、トラスティドコアプロセッサ１０２だけがアクセスできる不揮発性メモリ６０５にプライベートキープロファイル６０６を問い合わせ、読み出したプライベートキープロファイル６０６を使用して署名要求メッセージ６０１を検証する（工程６０７）。
【０１１０】
この時点まで、データ処理装置１００は、依然として第１データ入力モード（すなわち、安全でないデータ入力モード）である。この第１入力モードでは、依然としてアプリケーションプロセッサ１０１が、データ入力ユニット１０３の制御を司っている。
【０１１１】
このことは、第１データ入力モードを示す第１データ入力モード表示６０８により、ディスプレイ上でユーザに示される。
【０１１２】
次に、データ処理装置１００のデータ入力モードは、第２のセキュリティ関連のデータ入力モードに変化する。
【０１１３】
後続の工程で、トラスティドコアプロセッサ１０２は、第１モード変更要求メッセージ６０９を、アプリケーションプロセッサ１０１へ送信する。なお、第１モード変更要求メッセージ６０９は、アプリケーションプロセッサ１０１のデータ入力モードを第１データ入力モードから第２データ入力モードへ変更するように、との要求をするものである。
【０１１４】
アプリケーションプロセッサ１０１は、第１モード変更要求メッセージ６０９を受け取った後、データ入力ユニット１０３（特にキーボード１０３）の制御を解除する（工程６１０）。
【０１１５】
アプリケーションプロセッサ１０１は、キーボード制御を解除したことを、第１モード変更確認メッセージ６１１によってトラスティドコアプロセッサ１０２へ伝える。
【０１１６】
トラスティドコアプロセッサ１０２は、第１モード変更確認メッセージ６１１を受信してから、データ入力ユニット１０３（特にキーボード１０３）の制御を引き受ける（工程６１２）。
【０１１７】
続いて、トラスティドコアプロセッサ１０２は、データ入力モード表示を起動し、このデータ入力モード表示を、第２データ入力モード表示６１４に設定する。この第２データ入力モード表示６１４によって、データ処理装置が第２データ入力モードである、ということが示される（工程６１３）。この起動は、トラスティドコアプロセッサ１０２による制御のみで行われる。すなわち、アプリケーションプロセッサ１０１は、データ入力モード表示６０８・６１４にアクセスできないし、これを制御することもできない。
【０１１８】
続いて、トラスティドコアプロセッサ１０２は、ユーザによって逐次的に入力された、機密の入力データを示す記号またはデータシンボルを収集する（工程６１４）。例えば、問い合わせられたパスワードの個々のシンボルは、次々と不揮発性メモリ、例えば、トラスティドコアプロセッサ１０２の不揮発性メモリ６０５にバッファリングされる。
【０１１９】
不揮発性メモリ中のパスワードは、「アントラスティド」な第１プロセッサのアクセスから保護されているほうがよい。あるいは、「トラスティドコア」（すなわち、第２）プロセッサは、この目的のために、専用に確保した不揮発性メモリを有している。パスワードは符号化されて不揮発性メモリに保存されており、第２プロセッサだけが「占有」しているキー（例えば、１つまたは複数の特別なハードウエアモジュールによって保証されたキー）のみによって解号できることが好ましい。このことは、第２プロセッサだけが、パスワードを解号するためのキーにアクセスできるということを意味している。
【０１２０】
上記例に代わり得る例、または上記例とは別の例として、処理効率を上げるために、パスワードが揮発性メモリにバッファリングされるようになっていてもよい。この目的のために、揮発性メモリは、「アントラスティド」な第１プロセッサによる操作から保護されているほうがよい。
【０１２１】
言い換えれば、このことは、信頼できる、すなわち「トラスティド」な第２プロセッサの動作が、確実に、（信頼できない、すなわち「アントラスティド」な）第１プロセッサによって妨害されないようにするのがよい、ということを意味している。このことは、例えば、双方のプロセッサのそれぞれに専用のメインメモリを用いることにより達成される、または、１つのメインメモリを共通で用いた場合には「トラスティド」な第２プロセッサにより制御され、特定のアドレス領域への明示的なアクセス権を予設定できるメモリ制御器を使用することにより達成される。
【０１２２】
以下の工程（工程６１５）では、トラスティドコアプロセッサ１０２によって読み込まれたパスワードが、不揮発性メモリ６０５に予め格納された秘密パスワード６１６と比較される。
【０１２３】
入力されたパスワードが、不揮発性メモリ６０５に格納されたユーザの秘密鍵に対するパスワード６１６と一致すれば、続いて、トラスティドコアプロセッサ１０２は、不揮発性メモリ６０５から、ユーザのプライベート（すなわち、秘密）キー６１７を読み出し、ユーザの秘密キーを使用して、要求メッセージ６０１中に示されたテキスト６０３に署名する（工程６１８）。
【０１２４】
続いて、トラスティドコアプロセッサ１０２は、再びデータ入力ユニット１０３の制御を放棄し（工程６１９）、第２データ入力モードを表示するために使用される第２データモード表示６１４を無効にし、機密でないデータを入力するための第１データ入力モードが、データモード表示６０８によって、ユーザに再び表示される（工程６２０）。
【０１２５】
続いて、トラスティドコアプロセッサ１０２は、第２モード変更要求メッセージ６１２を、アプリケーションプロセッサ１０１へ送信する。この第２モード変更要求メッセージ６１２は、この時点では、セキュリティ関連の第２データ入力モードから、第１データ入力モード（すなわち、機密でないデータをデータ処理装置１００へ入力するための通常動作モード）へ、データ入力モードを改めて変更するように、との要求をするものである。
【０１２６】
アプリケーションプロセッサ１０１は、第２モード変更要求メッセージ６１２を受信した後、データ入力ユニット１０３の制御を再び引き受ける（工程６２２）。
【０１２７】
アプリケーションプロセッサ１００は、データ入力ユニット１０３の制御の新たな引継ぎが完了したことを、第２モード変更確認メッセージ６２３によってトラスティドコアプロセッサ１０２へ伝え、これにより、第２データ入力モード（図６に参照番号６２４で示す）が終了する。
【０１２８】
続いて、トラスティドコアプロセッサ１０２は、アプリケーションプロセッサ１０１に、要求された信頼性サービスの結果（この例の場合は、署名要求メッセージ６０１中で示された電子データファイル６０３へのデジタル署名６２５）を伝送する。
【０１２９】
これに代わり得る例として、アプリケーションプロセッサ１０１のためのデータ入力ユニット（特に、キーボード１０３）は、アプリケーションプロセッサ１０１によって、また場合によってはアプリケーションプロセッサ１０１とトラスティドコアプロセッサ１０２との双方によって透過的に使用される。
【０１３０】
本例では、アプリケーションプロセッサ１０１には、第２データ入力モードにおいてはデータ入力ユニット１０３が一時的にトラスティドコアプロセッサ１０２によって使用される、ということが分かっていない。言い換えれば、アプリケーションプロセッサ１０１には、データ入力モードが第１データ入力モードから第２データ入力モードへ、およびその逆へと移行される、ということは知らされていない。
【０１３１】
第２データ入力モードの間に（すなわち、機密データの入力が終了するまでに）、次のような準備が行われる。すなわち、トラスティドコアプロセッサ１０２の安全な環境において実施されている、トラスティドコアプロセッサ１０２によって実行されるデータ入力ユニットの駆動コンピュータプログラム（好ましくはキーボードの駆動コンピュータプログラム）を用いて、入力された各記号またはデータ入力ユニット１０３を用いてデータ処理装置へ入力されるデータシンボルを処理および受信するための以下のメカニズムが準備される：１．データ入力ユニット１０３とアプリケーションプロセッサ１０１との間の接続を切り離す（「切断」）。２．第２データ入力モード（安全入力モード）において、入力されたデータシンボルを読み込む。３．アプリケーションプロセッサ１０１のためにデータシンボルの入力をシミュレーションするために、備えられているキーボード周辺レジスタに所定のシンボル（好ましくは「*」シンボル）を書き込む。４．データ入力ユニット１０３とアプリケーションプロセッサ１０１とを元のように接続する（「接続」）。
【０１３２】
工程３では、構造８００の、図８に示すデータ入力ユニット周辺ブロック８０１が使用されることが好ましい、ということが分かる。
【０１３３】
アプリケーションプロセッサ１０１から見れば、トラスティドコアプロセッサ１０２に対する上記の、および以下で図７に関連して示す実現は、第２データ入力モードでは所定の記号だけが入力されるように、すなわち、所定のキー（例えば、シンボル「*」を有するキー）だけが押されるように作用している。したがって、アプリケーションプロセッサ１０１は、キーボードの駆動コンピュータプロセッサから受信する「*」シンボルを、データ入力ユニットに示す。このようにして、ＰＩＮコードまたはパスワードを入力する場合に「ルック・アンド・フィール」という操作感がユーザに提供される。
【０１３４】
データ処理装置１００が第２データ入力モードである間に、データ表示ユニットの対応する信頼性モード表示情報を任意に準備してもよい。さらに、データ表示ユニットは、対応するデータ入力モード表示６１４をユーザに対して出力する。その都度存在するデータ入力モードすなわちその都度起動されるデータ入力モードの表示のための、さまざまな例について、さらに、以下でより詳しく説明する。
【０１３５】
図７に、フローチャート７００で、上述の第２の例の処理手順を記載する。
【０１３６】
トラスティドコアプロセッサ１０２は、第２データ入力モード（工程７０１）が起動された後、アプリケーションプロセッサによるデータ入力ユニット割り込み（特にキーボード割り込み）の実施または誘発を無効に（７０２）し、アプリケーションプロセッサ１０１によるキーボード周辺ブロック（一般的には、データ入力ユニット周辺ブロック）８０１へのアクセスも無効にする（工程７０３）。
【０１３７】
その後、押されたキーの情報が格納されているキーボードブロックレジスタは、第２プロセッサ（すなわち、トラスティドコアプロセッサ）１０２の問い合わせを受ける（工程７０４）。
【０１３８】
キーボードに予め備えられていることが好ましい安全データ入力モード終了キーが押された場合は、このことが試験工程７０５において試験され、安全なデータ入力が終了したとされ、問い合わせられたレジスタ値から、１つまたは複数の機密入力データ値が生成される（工程７０６）。
【０１３９】
その後、アプリケーションプロセッサ１０１は、キーボード周辺ブロック８０１（工程７０７）へ新たにアクセスし、キーボード割り込みがアプリケーションプロセッサ１０１に対して再び行われる（工程７０８）。
【０１４０】
したがって、第２データ入力モードは、再び無効にされる（工程７０９）。
【０１４１】
しかしながら、安全データ入力モード終了キーが押されない限り、押された各キーに対して、押された各キーを示す値が、トラスティドコアプロセッサ１０２だけがアクセスできるメモリに格納される（工程７１０）。
【０１４２】
続いて、キーボードブロックレジスタにおいて、入力された各シンボルに対して、１つの「*」シンボルが書き込まれ（工程７１１）、アプリケーションプロセッサ１０１は、キーボード周辺ブロックに再びアクセスし（工程７１２）、続いて、アプリケーションプロセッサ１０１に対するキーボード割り込みが再び任意に行われる（工程７１３）。続いて、アプリケーションプロセッサ１０１が「*」シンボルをキーボード周辺ブロックレジスタから読み出すまで待機し（工程７１４）、工程７０２に戻る。言い換えれば、アプリケーションプロセッサ１０１が「*」シンボルをキーボード周辺レジスタから読み出したということが保証される。
【０１４３】
図８から分かるように、キーボード周辺ブロック８０１に、スキャニングおよびキーボードのデバウンシングロジック８０２と、スイッチングユニット８０３とが備えられている。このスイッチングユニット８０３を用いて、スキャニングおよびキーボードのデバウンシングロジック８０２から入力されるシンボルを、スイッチングユニット８０３が第１スイッチング状態（Ａ）である場合は、スキャニング結果レジスタ８０４へ供給し、または、スイッチングユニット８０３が第２スイッチング状態（Ｂ）である場合は、コンピュータバスインタフェース８０５へ直接供給する。コンピュータバスインタフェース８０５は、スキャニング結果レジスタ８０４の出力部とも接続されている。さらに、上記コンピュータバスインタフェース８０５は、制御レジスタ８０６と接続されており、制御レジスタ８０６に格納されたデータは、場合によっては、スイッチング状態制御信号８０７を生成し、このスイッチング状態制御信号８０７によって、スイッチングユニット８０３を駆動する。
【０１４４】
第３の例として、通常データ入力モードにおいて、キーボードまたはキーパッドが、押されたキーについての情報をアプリケーションプロセッサ１０１へ直接伝送するようにしてもよい。
【０１４５】
第２データ入力モード（安全なデータ入力モード）が起動された後、かつ、トラスティドコアプロセッサ１０２が機密データシンボルの入力を要求した後、キーボード周辺の駆動装置は、押されたキーについての情報の代わりに、予め定めておくことのできる交換データ記号／データシンボル（例えば、「*」シンボル）を出力する。なお、この交換データ記号／データシンボルは、データ表示ユニット１０３のグラフィカルユーザインタフェース上のＰＩＮ入力フィールドでユーザに表示される。
【０１４６】
ユーザが数字キーを押した場合は、この情報は、キー情報の交換がされずに、アプリケーションプロセッサ１０１へ直接転送される。したがって、アプリケーションプロセッサ１０１は、有効なキー情報を常に受信する。有効なキー情報を、アプリケーションプロセッサ１０１は、グラフィカルユーザインタフェースにおいて（すなわち、データ表示ユニット上で）ユーザに表示でき、したがって、ユーザに「ルック・アンド・フィール」という操作感を提供できる。実際に入力されるキーは、メモリまたはメモリの一部に順次に蓄積される。なお、メモリまたはメモリの一部には、トラスティドコアプロセッサ１０２だけがアクセス可能である。
【０１４７】
アプリケーションプロセッサ１０１は、このメモリまたはメモリの一部にアクセスしない。機密情報の入力が完全に終了した後、入力されたデータ連続は、トラスティドコアプロセッサ１０２によって、検証のために、さらに処理される。
【０１４８】
こうして、入力されたデータシーケンスは、例えばスマートカード上またはフラッシュメモリ中に格納された対応する値と比較される。
【０１４９】
この例では、機密データ記号／データシンボルの入力中（好ましくはパスワード入力中ＰＩＮ入力中）に、アプリケーションプロセッサ１０１における何らかの割り込みを無効にする必要はない。割り込みは、トラスティドコアプロセッサ１０２によるパスワードの検証中のみ無効にされたほうがよい。しかしながら、パスワードまたはＰＩＮコードの検証は、付加的に備えられている、暗号化によって機密保護されたブロックにおいて行われてもよい。この方法では、パスワードはアプリケーションプロセッサ１０１によって直接調査されることはない。言い換えれば、アプリケーションプロセッサ１０１は、暗号化ブロックに格納されているパスワードにアクセスしない。
【０１５０】
パスワードを、アプリケーションプロセッサ１０１によって調査できない。言い換えれば、アプリケーションプロセッサ１０１は、暗号化ブロックに格納されているパスワードにアクセスしない。
【０１５１】
キーボードの駆動装置またはキーパッドの駆動装置、あるいは、その機能を、直接ハードウェアで、すなわち、特別な電子回路を用いて（例えば、ＦＰＧＡまたはＡＳＩＣを用いて）実現してもよいし、または、多重プロセッサ環境においてソフトウェアで、コンピュータプログラムを用いて実現してもよいし、または、任意のハイブリッドフォームで（すなわち、ハードウェアおよびソフトウェアにおける任意の割り当て部分で）実現してもよい。駆動装置の機能が、コンピュータプログラムによって実現される場合、このコンピュータプログラムは、トラスティドコアプロセッサ１０２上で実行され、押されたキーまたは押されたキーのための交換記号についての情報は、プロセッサ間連絡（ＩＰＣ）を使用してアプリケーションプロセッサ１０１へ伝送される。
【０１５２】
以下で、第２データ入力モードを起動するための様々な変形例について説明する。
【０１５３】
第１変形例として、第２データ入力モードが暗黙的に起動されてもよい。第２データ入力モードが暗黙的に起動される場合は、データ処理装置を第２データ入力モードにするために、ユーザが独自の行動をとる必要はない。トラスティドコアプロセッサ１０２によって実行されるソフトウェアは、信頼性サービスを含む（あるいは、信頼性サービス自体であってもよい）機能が呼び出された途端に、第２データ入力モードを自動的に起動し、その範囲内で、ユーザによって入力される機密情報が処理される。このことは、トラスティドコアプロセッサ１０２側で、アプリケーションプロセッサ１０１からの対応する要求メッセージが受信されることにより、図５のフローチャート５００に関連して説明したように、行われてもよい。
【０１５４】
別の一発展形態では、第２データ入力モードの明示的な起動または無効化を、特別にこの目的のために設けられたデータ入力モード変更キーを用いて行う。この場合、データ入力モードの変更は、ユーザが特別なキーを押すことにより行われる。ここで、このキーは、トラスティドコアプロセッサ１０２のみの制御下にある。換言すれば、トラスティドコアプロセッサ１０２のみが、この特別なキーの押圧が示す情報を受信し、処理することができる。この場合、アプリケーションコンピュータプログラムは、対応するグラフィカルユーザインタフェースを用いて、ユーザにパスワードまたはＰＩＮコードを入力するよう依頼する。機密データの入力の要請を受けたユーザは、この特別なキーを押し、これにより、第１データ入力モードから第２の安全なデータ入力モードへの移行が行われる。これにしたがって、キーボード（一般的に述べるとデータ入力ユニット）の制御ないし占有は、アプリケーションプロセッサ１０１からトラスティドコアプロセッサ１０２に移る。その後、異なる実施形態に関して上で述べたように、トラスティドコアプロセッサ１０２は、対応するデータ入力モード表示を能動化する。これは、例えば、追加的に設けられた発光ダイオードを用いて、または、データ表示ユニット上に示されたシンボルを用いて行われる。これに引き続いて、ユーザは、安全な環境において、パスワードをデータ処理装置に入力できる。
【０１５５】
次に、データ処理装置が第２データ入力モード、すなわち、安全なデータ入力モードであることを、ユーザに表示するための様々な可能性ないし例を挙げて説明する。
【０１５６】
第１の実装例によれば、［４］に記載されているように、トラスティドコアプロセッサ１０２は、この目的のために特別に設けられた発光ダイオード（または、これに適した別の出力装置）を用い、ユーザに対して、第２の安全なデータ入力モードが起動されていることを表示する。
【０１５７】
この際、これらの使用される各データ出力装置が、トラスティドコアプロセッサ１０２によってのみ駆動および制御され、アプリケーションプロセッサ１０１によっては駆動および制御されないことが好ましい。安全なデータ入力モードであることの表示は、第２データ入力モードが起動されている限り、ユーザに提示され続ける。
【０１５８】
別の例では、安全なディスプレイ、または、機密保護されたＧＵＩもしくはＧＵＩの機密保護された部分を用いて、データ処理装置が第２データ表示モードであることを表示する。
【０１５９】
これは以下のように実現される。
・例えば、移動通信端末機器を用いる場合、ユーザは、移動通信端末機器に個人のコード（一連の数字またはパスワード）を入力するように要請される。
・入力されたコードは、外部のフラッシュメモリに、好ましくは符号化された形式で保存され、外部のフラッシュメモリにはフラグが立てられ、その結果、初期化状態であると検知される。機密データを安全に入力する方法が、この時点で初期化され、作動準備が完了する。これらすべては、トラスティドコアプロセッサ１０２の制御の下で行われる。
・作動準備が完了すれば、上述した［４］に記載された方法と同じ方法が実施されるが、［４］に記載の方法とは以下の点が異なる。ユーザが、機密保護されたトランザクションを行おうとする場合、移動通信端末機器は、自身が安全なデータ入力モードにあることを示す。この安全なデータ入力モードでは、発光ダイオードが能動化されるのではなく、ユーザに対してユーザ固有の個人的なコードないしユーザ固有のパスワードが、データ表示ユニット上で表示される。
・この後、ユーザは、機密保護されたトランザクションを行うことができる。
【０１６０】
さらに別の発展形態では、信頼できるディスプレイ（トラスティド・ディスプレイ）を用い、データ処理装置が安全なデータ入力モードであることを示す。
【０１６１】
この実施形態では、信頼できるアプリケーションデータを表示するために、および、安全なデータ入力モードが起動されているか否かを表示するために、データ表示ユニットが１つだけ設けられている。
【０１６２】
安全なデータ入力モードが起動されると、データ表示ユニットの１つの所定のプログラム可能な部分領域（好ましくは、ＧＵＩの１つの所定のプログラム可能な部分領域）またはデータ表示ユニット全体（好ましくは、ＧＵＩ全体）のみが、トラスティドコアプロセッサ１０２によってのみ制御可能になる。すなわち、トラスティドコアプロセッサ１０２のみが、上記の部分領域または全体部分にアクセス可能になる。アプリケーションプロセッサ１０１は、データ表示ユニットもしくはＧＵＩ中、または、データ表示ユニットもしくはＧＵＩの各選択された部分領域中に表示された情報の内容にアクセスする権利がない。これにより、アプリケーションプロセッサ１０１上にインストールされた、損害を与えるコンピュータプログラム（例えば、トロイの木馬プログラム）が、データ表示ユニット上ないしはＧＵＩ上に表示された機密情報を読んだり、操作したりすることを防ぐことができる。アプリケーションプロセッサ１０１が、上記の領域へアクセスすることを禁止するために、アプリケーションプロセッサ１０１上で実行されたコンピュータプログラムコードが、例えば、ユーザへのある種の入力要請を行って、データ表示ユニットまたはデータ表示ユニットもしくはＧＵＩの対応する機密保護された部分領域中にあるデータを上書するために利用されないようにする。
【０１６３】
これは以下のように実現することができる。
・移動通信端末機器を用いる場合、ユーザは、データ入力ユニットを用いて、移動通信端末機器に個人のコード（例えば、一連の数字またはパスワード）を入力するように要請される。これに加えて、任意選択的ではあるが、デジタル印章を表すシンボルを選択するように要請され、このデジタル印章を用いて、第２データ入力モード（トラスティド入力モード）であることがユーザに表示される。ユーザが要請された入力を行うと、この入力は外部のフラッシュメモリに、好ましくは符号化された形式で保存され、外部のフラッシュメモリには、フラグが立てられる、これにより初期化状態であることが表示される。これにより、機密データを安全に入力するための工程が、初期化され、作動準備が完了する。これらすべては、トラスティドコアプロセッサ１０２の制御の下で行われる。アプリケーションプロセッサ１０１は、これらのデータに対してアクセスすることはできない。
・第２データ入力モードが能動化されれば、［４］に記載された方法と同じ方法が実施されるが、［４］に記載の方法とは以下の点が異なる。
【０１６４】
ユーザが、機密保護されたトランザクションを行おうとする場合、トラスティドコアプロセッサ１０２は、自身が機密保護された状態であることを示す。このセキュリティされた状態では、ユーザの個人的なコードないしユーザの個人的なパスワードが、ユーザに対して表示される。または、ユーザが選択したデジタル印章で示されるシンボルが、データ表示ユニットの領域中で表示される。この場合、データ表示ユニットは、トラスティドコアプロセッサ１０２のみにより駆動される、換言すれば、データ表示ユニットは、トラスティドコアプロセッサ１０２のみによりアクセス可能である。
【０１６５】
ユーザに対して、信頼できる領域の各領域を、データ表示ユニットまたはグラフィカルユーザインタフェース上に表示するために、シンボルまたは個人コードを、信頼できる領域の境界を示すパターンとして使用してもよいし、または、データ表示ユニットまたはグラフィカルユーザインタフェースの背景の対応して変更された色または対応して変更された変更パターンが機密保護された領域にあってもよい。［５］では、この表示は、例えば信頼できる絵を用いて実現されている。
【０１６６】
あるいは、カーソル（マスキング）が使用されてもよい。カーソルの絵は、この発展形態では、トラスティドコアプロセッサによってのみプログラミングされ、または、駆動される。この絵は、データ表示ユニットの範囲内またはグラフィカルユーザインタフェースの範囲内のカーソルの位置によって決まり、かつ、位置が信頼できる領域にあるかないないかによって決まる。カーソルが信頼できる領域（すなわち、機密保護された領域）にあれば、カーソルは、機密保護されたデータ入力モードを表示するためにユーザが選択した表示形状を維持し、カーソルが機密保護された領域外にあれば、通常データ入力モードを示すために使用されるデフォルトカーソルがユーザに対して表示される。
【０１６７】
第２データ入力モードでは、ユーザによって行われるデータの入力が、トラスティドコアプロセッサ１０２のみによって処理される。
【０１６８】
他の一発展形態では、信頼できる絵を表す画素カードを、データ表示ユニット上に表示してもよいし、または、指示を提供（すなわち、ユーザによって入力されるデータが、機密保護されていないデータ入力モードで入力され、それゆえアプリケーションプロセッサ１０１へ供給されるのか、それとも、データが機密保護されたデータ入力モードで入力され、トラスティドコアプロセッサ１０２だけに供給されるのかに応じて、ユーザに対して絵をそれぞれ異なるように表示）してもよい。
【０１６９】
表示形状に応じて各データ入力モードを一義的に表すプログラミング可能なグラフィカルユーザインタフェース（マスク）を使用する場合は、データ表示ユニットの範囲内に、データ表示用の機密保護された領域と機密保護されていない領域とを設けることが可能である。
【０１７０】
したがって、ユーザは、データ処理装置に機密データを入力することにより、機密保護された取引を行うことができ、または、ディスプレイ（一般的には、データ表示ユニット）上に表示された情報を信用できる、ということが確実となる。
本特許明細書の出典は、以下の出版物である。
[1] Tom R. Halfhill, ARM Dons Armor Microprocessor Report, 25. August 2003
[2] TPM Main Part 1 Design Principals, Specification Version 1.2, Revision 62, 2. Oktober 2003
[3] R. Meinschein, Trusted Computing Group Helping Intel Secure the PC, Technology Intel Magazine, Januar 2004-12-01
[4] EP 1 329 787 A2
[5] EP 1 056 014 A1
[6] US 2002/0068627 A1
[7] WO 02/100016 A1
[8] WO 99/61989 A1
[9] US 2003/110402 A1
[10] US 5,920,730
【符号の説明】
【０１７１】
１００ データ処理装置
１０１ アプリケーションプロセッサ
１０２ トラスティドコアプロセッサ
１０３ キーボード
１０４ データ
１０５ キーボード周辺ブロック
１０６ システムバス
１０７ 集積システムコントローラ
２００ 移動通信端末機器
２０１ 筐体
２０２ アンテナ
２０３ データ表示ユニット
２０４ スピーカ
２０５ マイク
２０６ キーボード
２０７ 番号キー
２０８ スイッチオンキー
２０９ スイッチオフキー
２１０ 特別機能キー
２１１ ＳＩＭカード
３００ 移動通信端末機器
３０１ ＳＩＭカード
３０２ マイクロプロセッサＳＩＭカード
３０３ メモリＳＩＭカード
４００ データ処理構造
４０１ パーソナルコンピュータ
４０２ キーボード
４０３ コンピュータマウス
４０４ スクリーン
４０５ チップカード読み込み装置
４０６ チップカード
４０７ インタフェース
４０８ インタフェース
４０９ インタフェース
４１０ インタフェース
５００ データ処理構造
５０１ クライアントコンピュータ
５０２ クライアントコンピュータ
５０３ クライアントコンピュータ
５０４ クライアントコンピュータ
５０５ クライアントコンピュータ
５０６ キーボード
５０７ キーボード
５０８ キーボード
５０９ キーボード
５１０ キーボード
５１１ 通信網
５１２ サーバコンピュータ
６００ メッセージフローチャート
６０１ 署名要求メッセージ
６０２ 署名要求
６０３ 電子データファイルの表示
６０４ キー識別の表示
６０５ 不揮発性メモリ
６０６ 秘密キープロファイル
６０７ 方法の工程
６０８ 第１データ入力モードの表示
６０９ 第１データ入力モード変更要求メッセージ
６１０ 方法の工程
６１１ 確認メッセージ
６１２ 方法の工程
６１３ 方法の工程
６１４ 第２データ入力モードの表示
６１４ 方法の工程
６１５ 方法の工程
６１６ 秘密キー
６１７ 方法の工程
６１８ 方法の工程
６１９ 方法の工程
６２０ 第２データ入力モード変更メッセージ
６２１ 方法の工程
６２２ 第２確認メッセージ
６２３ デジタル署名
７００ フローチャート
７０１ 方法の工程
７０２ 方法の工程
７０３ 方法の工程
７０４ 方法の工程
７０５ 試験工程
７０６ 方法の工程
７０７ 方法の工程
７０８ 方法の工程
７０９ 方法の工程
７１０ 方法の工程
７１１ 方法の工程
７１２ 方法の工程
７１３ 方法の工程
７１４ 方法の工程
８００ データ処理装置
８０１ 補正されたキーボード周辺ブロック
８０２ スキャニングおよびデバウンシングロジック
８０３ スイッチングユニット
８０４ スキャニング結果レジスタ
８０５ コンピュータバスインタフェース
８０６ 制御レジスタ
８０７ 選択信号
【技術分野】
【０００１】
本発明は、データ処理装置、通信端末機器、および、データ処理装置を用いたデータ処理方法に関するものである。
【背景技術】
【０００２】
固定電話機器および携帯電話機器の分野において、特にデータ伝送およびデータ処理（一般的には、２つ以上の通信端末機器間のデータ通信）に関するセキュリティは、ますます重要性を増している。
【０００３】
また、通信システムのユーザにとって、ユーザのプライバシーの保護および個人データの守秘を脅かさずにユーザの個人データを保護することが、ますます重要になっている。電子取引についても、データと、ビジネスの資産の構成要素と、これに関する機密情報とを確実に保護し、特に、リモートアクセス（Remote Access）を非常に確実に形成するとともに、電子ビジネストランザクションを確実に実行できるようすることが、重要である。
【０００４】
コンピュータと、コンピュータ間の通信とへの多くの攻撃は、特にいわゆるオープンオペレーティングシステムに内在する弱点に基づいているか、あるいは、上記弱点を利用したものである。特に、上記攻撃は、ダウンロードされたコンピュータプログラム（ソフトウェア）をオープンオペレーティングシステムがインストールされた各コンピュータにおいて実行するという、オープンオペレーティングシステムの性能に基づいているか、あるいは、上記性能を利用したものである。これに関して、無線インタフェースを有し、オープンオペレーティングシステム（例えば、リナックス（Ｌｉｎｕｘ：トルヴアルドズ リヌスの登録商標）オペレーティングシステム、ユニックス（ＵＮＩＸ：エックス／オープン・カンパニー・リミテッドの登録商標）オペレーティングシステム、シンビアン（ＳＹＭＢＩＡＮ：トルヴアルドズ リヌスの登録商標）オペレーティングシステム、ウインドウズ（ＷＩＮＤＯＷＳ：マイクロソフト コーポレイションの登録商標）オペレーティングシステム、または、ジャバ（ＪＡＶＡ：サン・マイクロシステムズ・インコーポレーテッドの登録商標）プラットフォーム）をインストールしたコンピュータ、を備えた機器は、特に危険である。
【０００５】
例えば、コンピュータウイルス、コンピュータワーム、または、トロイの木馬といった、悪意のある、つまり損害を与えるコンピュータプログラム（以下では、損害を与えるコンピュータプログラムとも記載する）は、通信網において非常に早く伝播する能力を有しているので、このような脅威に対する適切な対策をとることが非常に重要である。
【０００６】
１人または複数のユーザ間で金融電子トランザクションが行われる多くのアプリケーションコンピュータプログラムでは、通常、１人のユーザからその認証データ（例えば、いわゆるＰＩＮコード（個人識別番号コード）、言い換えるとユーザを一義的に識別する一連の数字）を照会する。この典型的な例は、携帯電話などの移動通信端末機器（例えば、ＧＳＭ携帯電話またはＵＭＴＳ携帯電話）である。この機器では、ユーザがＰＩＮコードを通信端末機器に入力する。また、この機器では、入力されたコードをスマートカード（加入者識別モジュール、ＳＩＭと呼ばれる）に格納された値と比較し、入力されたＰＩＮコードが格納されたコードと一致すると、ユーザが初めに移動通信端末機器のファンクションにアクセスする。他のアプリケーションコンピュータプログラムでは、秘密暗号鍵を用いて暗号演算を実行するために、いわゆるＷＩＭ（無線識別モジュール）を備える必要がある。
【０００７】
プロセッサ（つまりコンピュータ）においてセキュリティ関連のコンピュータプログラムを実行するときには常に、プラットフォーム上では（つまり、プロセッサによっては）、損害を与えるコンピュータプログラム、例えば、認証手順において（一般的には供給されたセキュリティサービスにおいて）データを傍受するコンピュータプログラムが実行されないようにする、ということを確実にすることが重要である。そのようにできない場合には、損害を与えるコンピュータプログラムは、傍受した認証データを、意図していない無許可の電子金融トランザクションにおいて使用可能となってしまい、認証データを用いたトランザクションに対して唯一権利のある本来のユーザは、このことに気づかない。
【０００８】
一般的に、上記問題は、
複数のプロセッサを備え、プロセッサのうちの少なくとも１つにオープンオペレーティングシステムがインストールされているシステムにおいて、どのように、安全な認証手順が得られるのか、と表現することができる。
【０００９】
このために、従来技術では、様々なアプローチが知られている。
【００１０】
一方では、認証を保護するために、厳格なソフトウェアインストールセキュリティソリューションを提供することにより、損害を与えるコンピュータプログラムがダウンロードされる可能性を低くすることができる。このソリューションは、通常、いわゆるコンピュータプログラム証明書を利用することにより、行われる。例えば、デジタル署名された正確なコンピュータプログラム（アプリケーションコンピュータプログラム）のみが、システムにインストールされ、各プロセッサによって実行される。つまり、このシステムは、各コンピュータプログラムを介して、デジタル署名が正しいことを証明し、コンピュータプログラムに対応したソフトウェア証明書の有効性を検査できる必要がある。この方法の不都合な点は、特に、用いるセキュリティモデルが複雑である点にある。証明プロセスには、ユーザに認識されない複数の様々なエンティティが関係している。これにより、結局は、各ソフトウェア証明書および各コンピュータプログラムを信頼するかしないかの決定に関して、ユーザに過大な要求をすることになる。
【００１１】
他のアプローチでは、損害を与えるコンピュータプログラムからコンピュータを保護するために、いわゆるアンチウイルスソフトウェアが用いられる。つまり、損害を与えるコンピュータプログラムを認識し、それらを駆除するための適切な対策を提供するコンピュータプログラムを利用する。この構想では、システムにすでにダウンロードされた、損害を与えるコンピュータプログラムを認識し、それらを消去することを試みる。このアプローチの特に不都合な点は、知られている脅威、すなわち、知られている、損害を与えるコンピュータプログラムにしか対処できないことである。アンチウイルスコンピュータプログラムにまだ知られていない、損害を与えるコンピュータプログラムについては、アンチウイルスコンピュータプログラムがインストールされているシステムは、アンチウイルスコンピュータプログラムが更新されるまで、損害を与えるコンピュータプログラムによる危険から保護されない。このアンチウイルスコンピュータには、例えば損害を与えるコンピュータプログラムの新たな署名が保持されており、したがって、この損害を与えるコンピュータプログラムが認識され、次に、それに対して適切な措置が講じられる。
【００１２】
つまり、上記２つのアプローチでは、コンピュータにダウンロードされたソフトウェアがコンピュータシステムのセキュリティを確実に侵さないようにすることは、困難である。
【００１３】
［１］から、ＡＲＭのマイクロプロセッサのＡＲＭＶ６アーキテクチャとして、「トラストゾーン」と呼ばれるセキュリティの拡張が知られている。ここでは、［４］と同様に、単一のプロセッサが、セキュリティとは関係のない動作モードから、セキュリティ動作モードに移行することが記載されている。セキュリティ動作モードでは、データ（例えば、パスワード）を安全に入力、処理、および、表示できる。［１］および［４］では、セキュリティ動作モードに移行する、または、それから出るために、複数の命令が必要である。したがって、各コンピュータシステムのデータ処理速度が低下してしまう。さらに、これらのアプローチでは、マイクロプロセッサにおける安全でない割り込みを無効にするなどの特別な対抗措置を講じる必要がある。これにより、セキュリティ関連のデータを入力または処理する間は、セキュリティ動作モードを出ることができなくなる。パスワードまたは他のセキュリティ関連のデータを入力するために、アプリケーションコンピュータプログラムは、押されたキーを認識する、または、キーにアクセスできるようにする、または、入力されたデータの表示を操作できるようにする、ということを確実に行う必要がある。これにより、トロイの木馬の場合がそうであるように、ユーザに、そのパスワードを入力させることができるようになる。このため、データ入力またはデータ出力を安全に行うためのセキュリティ動作モードにおいて、データ入力ユニットおよびデータ表示ユニットをセキュリティ動作モードで完全に駆動する必要がある。［１］および［４］では、安全でないデータとセキュリティ関連のデータとが、同じ表示ユニット（特に同じ画面）において混合できないようになっており、これにより、アプリケーションコンピュータプログラムでは、セキュリティ関連のデータをコンピュータシステムに入力する際に、「ルック・アンド・フィール」という操作感をユーザに伝えることが、入力されるデータの表示範囲内に限って可能となる。さらに、これらのアプローチでは、マイクロプロセッサに適した割り込み操作の開発が、非常に困難で技術的にコストがかかるが可能である。これにより、リアルタイムに処理されることが重要なタスクが、それらの実行時に、ユーザの側からの例えばデータ入力によって遮断されない。それゆえに、単一のセキュリティ動作モードを供給するだけでは不十分であり、データをコンピュータシステムに入力および出力するための周辺機器の機能を改善する必要がある。
【００１４】
パーソナルコンピュータのうちの１つにおいて自由度および柔軟性を維持しながらパーソナルコンピュータを保護するために、「トラスティドコンピューティンググループ（Trusted Computing Group；ＴＣＧ）」が作られた。トラスティドコンピューティンググループは、全セキュリティソリューションの重要な範囲の仕様（特に、［２］に記載されているように、「トラスティドプラットフォームモジュール（Trusted Platform Module；ＴＰＭ）」と呼ばれるハードウェアコンピュータチップ）に焦点を当てている。トラスティドプラットフォームモジュールは、暗号の観点から情報を格納するための安全な場所を有し、さらに、機密保護された環境において実行される一セットの暗号演算を有し、さらに、完全性のメトリクスを格納および報告する、ハードウェアデバイスである。トラスティドプラットフォームモジュールは、コンピュータシステムの全セキュリティソリューションのほんの一部である。現在の信頼できるキーボード、および、（セキュリティ特性を改善したプロセッサとそれに相当するチップセットとのような）信頼できるグラフィック表示ユニットについては、ここでは取り上げない。さらに、トラスティドコンピューティンググループがパーソナルコンピュータのトラスティドプラットフォームモジュールの仕様に焦点をあてていることが分かる。しかし、近年、トラスティドコンピューティンググループは、例えば［３］に見られるように、移動通信端末機器、ハンドヘルドコンピュータ、および、サーバコンピュータのための、トラスティドプラットフォームモジュールを規定し始めている。
【００１５】
［４］から、さらに、コンピュータがセキュリティ動作モード中であるということをコンピュータシステムのユーザに通知する、セキュリティ動作モードの表示装置が知られている。しかし、そのセキュリティ表示装置は発光ダイオードであるため、ユーザが見落としてしまう可能性がある。
【００１６】
［５］には、信用できるユーザインタフェースを提供するためのシステムについて記載されている。このシステムでは、信用できるデータ表示プロセッサが備えられている。ここでは、この信用できるプロセッサおよび信用できるメモリは、物理的におよび機能的に、本来のコンピュータシステムのプロセッサおよびメモリとは区別される。
【００１７】
さらに、［６］のように、セキュリティコントローラがゲームコンピュータプログラムを実行し、データ表示命令のストリームをデータ表示エンジンに伝送する、コンピュータを保護するゲーム操作台が知られている。このデータ表示エンジンは、その観点から、ゲームのビデオ表示を、ビデオ出力信号を用いて生成する。ビデオ出力信号は、セキュリティコントローラ内のビデオマルチプレクサに転送される。ビデオマルチプレクサは、出力選択機能の制御により、ゲームビデオ出力と監査操作モードビデオ出力とのうちのどちらかを選択する。。出力選択機能は、セキュリティコントローラによって制御される。しかし、［６］では、データ表示（つまり、ユーザへビデオ出力）する場合に、ビデオ出力を様々な領域に分配することは不可能である。なお、分配されたデータストリームは、様々なソースによって制御される。
【００１８】
［７］は、グラフィカルユーザインタフェースを用いて、キーボードによってデータを安全に入力するための装置について記載している。ここでは、ユーザは、コンピュータマウス、ディスプレイ、または、これに適した他の装置を用いて、カーソルを動かし、グラフィカルユーザインタフェース表示装置に、記号およびシンボルを選択することにより、セキュリティコードを入力する。それぞれ新しい選択を行った後、グラフィカルユーザインタフェースのシンボルおよび記号がディスプレイに新たに配置される。これにより、セキュリティコードを入力する際に、ユーザが画面のカーソルの動きを把握する場合でさえ、セキュリティコードの入力を復元できる。
【００１９】
［８］に記載されたシステムでは、信用できるデータ入力ユニットがコプロセッサに連結されており、セキュリティ操作モードを表示するために、信用できないキーボードがセキュリティ情報表示装置を備えている。
【００２０】
［９］は、パスワードを移動通信端末機器に入力するための方法を記載している。この方法では、数えられる数の特定の記号キーの指示に相当する（パスワード記号表の中の）特定の記号を探す。
【００２１】
［１０］は、チップカードインタフェースと、キーボードコントローラと、チップカードコントローラとを備えた、コンピュータキーボード配列について記載している。キーボードによって生成された信号は、コントローラから、パーソナルコンピュータまたはチップカードインタフェースに転送される。
【発明の概要】
【発明が解決しようとする課題】
【００２２】
本発明の目的は、データ処理装置にデータをセキュリティを確保した状態で入力することである。
【課題を解決するための手段】
【００２３】
本発明の目的は、独立請求項に記載された特徴を有するデータ処理装置、通信端末機器、および、データ処理装置を用いたデータ処理方法により達成される。
【００２４】
また、従属請求項に、本発明の好適な発展形態を示す。本発明の上記発展形態は、データ処理装置、通信端末機器、およびデータ処理装置を用いたデータ処理の方法に関する。
【００２５】
本発明のデータ処理装置は、データ処理装置にデータを入力するためのデータ入力ユニットを有する。さらに、データ処理装置には、第１プロセッサと、第２プロセッサとが備えられている。第１プロセッサは、第１データ入力モード（好ましくは、セキュリティ関連のデータではないデータの入力モード）において、データ入力ユニットに入力されたデータの受信および処理を行うように、設計されている。第２プロセッサは、セキュリティ関連のデータを入力する第２データ入力モードにおいて、データ入力ユニットに入力されたデータの受信および処理を行うように、設計されている。
【００２６】
また、前記通信端末機器は、上述のデータ処理装置を有する。
【００２７】
さらに、データ処理の方法では、データ入力ユニットを用いて、データをデータ処理装置に入力する。第１データ入力モード（好ましくは、セキュリティ関連のデータではないデータの入力モード）では、第１プロセッサが、データ入力ユニットに入力されたデータの受信および処理を行う。セキュリティ関連のデータを入力する第２データ入力モードでは、第２プロセッサが、データ入力ユニットに入力されたデータの受信および処理を行う。
【００２８】
上述の従来技術の処理手順とは異なり、本発明は、オープンオペレーティングシステム環境において、機密入力データを傍受し得るような損害を与えるコンピュータプログラムまたは損害を与えるプログラムコンポーネントを、認識することも計算機システムから除去することもしない。
【００２９】
従来技術とは異なり、本願の一つの発明は、機密データ（つまり慎重を期する内容のデータ）を、データ処理装置内の信頼できる部分を用いて（好ましくは第２プロセッサを用いて）、システム中すなわちデータ処理装置中に入力するように制御する点であることは明確である。第２プロセッサではトラスティドコンピュータプログラムのみが実行されている、この第２プロセッサは、「トラスティドコア」プロセッサとも呼ばれる。この第２プロセッサが存在するがゆえに、本発明の実装では、確実に、機密データを取り扱いかつ処理するために導入されたトラスティドコンピュータプログラムのみが、すなわち、信頼できるソフトウェアのみが、第２プロセッサ上で実行可能になる。
【００３０】
本発明のアプローチの特徴は、ソフトウェア証明書の一般的な使用方法とは異なり、特に、コンピュータプログラムの一部分のみが、セキュリティに関連していて、対応する証明書またはその他のセキュリティ方策により保護される必要がある、ということが認識さた点である。例えば、本発明のアプローチは、第２プロセッサが、この第２プロセッサのみがアクセス可能であるメモリ中に制限された少ない数のコンピュータプログラムを保存しておき、これらのコンピュータプログラムを実行し、コンピュータプログラムによって、以下に詳細に説明するようなセキュリティ関連のサービスを実現すなわち提供する。したがって、証明済でかつ信頼できるデータ完全性を有するソフトウェアのみが第２プロセッサにより実行される、ということが保証される。
【００３１】
本願の一つの発明では、ＰＩＮコードあるいはパスワードなどのセキュリティ関連のデータ（すなわち、機密データ）を安全に入力するための信頼できる機構が、システムのユーザに提供される。この機構がオープンオペレーティングシステム（すなわち、オープンなコンピュータ環境）において傍受から保護されることは明確である。データ処理装置の動作を、安全な動作モード（第２のセキュリティ関連のデータ入力モード）と、安全ではない動作モード（第１のデータ入力モード）とに規定し、これらを提供するための手段が設けられている。
【００３２】
データ処理装置は、以下の要素を有することが好ましい。
・例えばキーボードなどのデータ入力ユニット。このデータ入力ユニットは、通常動作モード（第１データ入力モード）では、好ましくはアプリケーションプロセッサとして設けられている第１プロセッサに割り当てられており、一時的に、データ処理装置内の第２プロセッサ（トラスティドコア）に割り当てられる。
・あるいは、通常動作モードでは、データ入力ユニットは、入力されたシンボル（例えば、押されたキーに割り当てられたデータシンボル）を、直接アプリケーションプロセッサに渡してもよい。第２プロセッサがデータ入力の受信をするようにとの問い合わせに応じて起動された後は、データ入力ユニットは、データが入力されてもこのデータを通常動作モードの場合のようにアプリケーションプロセッサに直接は伝送せず、好ましくは、各キーが押されたことに応答して、すなわち、各データシンボルが入力されたことに応答して、予め設定可能な記号／データシンボル（例えば、「*」シンボル）を、実際に入力されたデータシンボルないしはデータ記号の代わりに、アプリケーションプロセッサに伝送する。アプリケーションプロセッサは、この予め設定可能な記号／データシンボルを、例えばアプリケーションプロセッサおよび／または第２プロセッサがグラフィカルユーザインタフェース（ＧＵＩ）上に準備した入力マスク内のＰＩＮ入力領域に出力する。この場合に、予め設定可能な制御キー（例えば、消去キー）の機能は、さらに、アプリケーションプロセッサへ移行されることが好ましい。入力されたデータ、すなわち、より正確には、入力された各記号ないしデータシンボルは、メモリまたはメモリの一部分に蓄積すなわち収集される。このメモリないしメモリの一部分に対しては、第２プロセッサのみが書き込みおよび読み込み可能である。すなわち、第２プロセッサのみが、このメモリないしメモリの一部分に対してアクセス権を有する。機密データの入力終了後に、入力された一連のデータは、第２プロセッサにより処理され、例えば、比較表中の１つまたは複数の対応する値と比較される。上記１つまたは複数の値は、例えば、スマートカードまたはフラッシュメモリに、プレーンテキストでまたは符号化されて保存可能である。比較データが符号化された形式で保存されている場合には、第２プロセッサは、対応する復号化に適した暗号鍵と復号化方法とにアクセス権を有する。この上述のプログラム工程の間は、マイクロプロセッサの通常の割り込みモードは無効にされ、その結果、機密データのデータ入力のためのセキュリティサービスは中断されず、これにより、データ入力が「カプセル化」されることは明らかである。一般に、このように、提供される各セキュリティサービスは「カプセル化」されている。
【００３３】
・第２プロセッサは、データ処理装置が第２データ入力モードであることを、データ表示ユニット上に表示することが好ましい。この表示は、例えば、視覚的に（好ましくは、発光ダイオードを用いて、キーの背景部分を光らせるなど、または、データ表示ユニット上で示されるシンボル（印章）を用いて）、または、音声情報の提示（好ましくは、警告信号により、または、第２データ入力モードであることを明らかに特定する一連の音）により行われる。この際に、データ表示ユニット（グラフィック形式、または、音声情報の出力）の制御は、確実に第２プロセッサのみにより行われ、第１プロセッサすなわちアプリケーションプロセッサによっては行われないようにされている。これにより、ユーザは、データ処理装置が第２データ入力モード中であり、したがってユーザは疑うことなく信頼できるデータまたは機密データの入力を行うことができるとの情報を、単純で信頼できる方法で得ることができる。
【００３４】
データ入力ユニットは、
・キーボード
・データ通信インタフェース
・タッチパネル
・接触感知型の表示ユニット（タッチスクリーン）
・コンピュータマウス
・音声認識ユニットを含むマイク（この音声認識ユニットは、例えば、発話者に依存する音声認識を行うユニットおよび／または発話者に依存しない音声認識を行うユニットである）
のいずれか１つである。
【００３５】
このことは、本発明がいかなる種類のデータ入力にも、すなわち、データ処理装置への直接入力、あるいは、通信網（固定通信網または移動通信網）を介しての入力にも適していることを意味している。セキュリティ関連のデータの入力を保護せねばならなくなるや否や、データ処理装置は、入力された機密データを第２プロセッサで受信および処理するために切り換わる。この第２プロセッサは、入力されたデータを信頼を持って処理するために、適切に設計されており機密保護されている。
【００３６】
好ましくは、第１プロセッサは、オープンオペレーティングシステム上でアプリケーションコンピュータプログラムを実行するように設計されたアプリケーションプロセッサである。ここで、上記オープンオペレーティングシステムは、好ましくは、オペレーティングシステム外との通信インタフェースを少なくとも１つ有するオペレーティングシステムである。これゆえに、このオペレーティングシステムは、例えば、コンピュータウイルス、トロイの木馬、コンピュータワーム、または、一般的に述べると、損害を与えるコンピュータプログラムの外からの攻撃により、損害を受ける可能性がある。
【００３７】
オープンオペレーティングシステムの一例としては、ウインドウズオペレーティングシステム、リナックスオペレーティングシステム、ユニックスオペレーティングシステム、シンビアンオペレーティングシステム、または、ジャバプラットフォームが挙げられる。
【００３８】
本発明の別の一発展形態によれば、第２プロセッサは、いわゆるトラスティドコアプロセッサとして設計されている。これにより、第２プロセッサは、１つまたは複数のトラスティドコンピュータプログラムのみを実行可能であるように設計されていることは明確である。このための実現方法としては、例えば、製造者側で、第２プロセッサのみによりアクセス可能なメモリ中に、所定の数のセキュリティ関連サービスを実現する方法手順を、コンピュータプログラムの形式で、所定の量保存しておくことが挙げられる。あるいは、第２プロセッサが、実現される各セキュリティサービスに適用されるソフトウェア証明書、すなわち、各セキュリティサービスを実現するコンピュータプログラムに割り当てられるソフトウェア証明書を、各プログラム実行の前に検査し、ソフトウェア証明書の検査に合格した場合のみ、プログラムが第２プロセッサ上で実行されるようにする。
【００３９】
トラスティドコンピュータプログラムとは、完全性が保証されており（好ましくは、暗号化により完全性が保証されており）、特に、少なくとも１つのセキュリティ関連のサービス（好ましくは、暗号化によるセキュリティサービス）を行うコンピュータプログラムであることが好ましい。
【００４０】
第２プロセッサは、データ処理装置を通信端末機器（特に、移動通信端末機器）として構成した場合に、特に、１つまたは複数の各セキュリティサービスを実施するように設計されたデジタル信号プロセッサである。
【００４１】
好ましくは、第２プロセッサはマイクロコントローラであり、例えばこの場合に、データ処理装置中に複数のマイクロコントローラがあり、必要に応じて追加のデジタル信号プロセッサが設けられている。すなわち、例えば、アプリケーション用の１つのマイクロコントローラと、信頼できるサービス（トラスティドサービス）用の１つのマイクロコントローラと、モデムサービス用の１つのマイクロコントローラと、リアルタイムであることが重要なサービス用のデジタル信号プロセッサとが、特にデジタル信号処理用に設けられている。
【００４２】
これに関連して、信頼できる、すなわち「トラスティド」な第２プロセッサの動作が、（信頼できない、すなわち「アントラスティド」な）第１プロセッサによって妨害されてはならない、ということを確実にしたほうがよい。このことは、例えば、各プロセッサ用の専用のメインメモリを用いることにより、または、１つのメインメモリを共通で用いた場合には、「トラスティド」な第２プロセッサにより制御され、所定のアドレス領域に対する明示的なアクセス権を予め設定できるメモリ制御装置を設けることにより達成される。
【００４３】
好ましくは、暗号を用いたセキュリティサービスは、少なくとも１つの暗号鍵を用いて行われる。例えば、少なくとも１つの秘密（プライベート）暗号鍵および／または少なくとも１つの公開暗号鍵を用いて行われる。
【００４４】
換言すれば、暗号を用いたセキュリティサービスは、各セキュリティサービスにおいて対称暗号鍵機構および非対称暗号鍵機構を用いて、実現される。
【００４５】
暗号を用いたセキュリティサービスは、
・デジタル署名
・デジタル印章
・認証
・データ符号化
・ログイン
・アクセス制御
・データ通信内のトラフィック分析の阻止
・ハッシュ法
の少なくともいずれか１つである。
【００４６】
基本的には、暗号を用いた各セキュリティサービスの実施、特に、ユーザによるデータ入力ユニットを介したデータ処理装置へのセキュリティ関連情報すなわち機密情報の入力は、第２プロセッサにより実行されるコンピュータプログラムとして実現される。
【００４７】
このようにして、特に第２プロセッサの動作がプログラミング可能なことにより、暗号利用に関してデータ処理装置の拡張性を非常に柔軟に保ちつつ、ユーザのデータ入力の安全性を確保することができる。
【００４８】
本発明の別の発展形態によれば、入力されたデータの少なくとも１部分をユーザに対して表示するためのデータ表示ユニットが備えられている。
【００４９】
このようにして、セキュリティ関連データまたはセキュリティ関連データではないデータを、データ処理装置に入力する際に、特に、ユーザの操作感「ルック・アンド・フィール（見た目と感じ）」が得られる。
【００５０】
データ処理装置は、第２データ入力モードでは、第２プロセッサが、入力されたデータを受信し、入力されたデータとは異なるデータであって好ましくは入力されたデータのデータシンボルと等しい数のデータシンボルを有するデータを、第１プロセッサおよび／またはデータ表示ユニットに伝送するように設計されていることが好ましい。このようにして、有用性はさらに高められ、特にユーザの操作感「ルック・アンド・フィール」はさらに改善されるが、この理由は、ユーザが、行った入力、例えばキーを押す毎に、実際に行った入力すなわち例えばどのキーを実際に押したかについては表示がなされないものの、行った入力についての領収書すなわち入力がうまくいったとの確認がユーザに示されるからである。
【００５１】
第２プロセッサから、第１プロセッサおよび／またはデータ表示ユニットに伝送されるデータが、一連の所定のデータシンボルであり、特に、一連のある１つの所定のデータシンボルであり、データシンボルの数は入力されるデータのデータシンボルの数に等しいように、データ処理装置が設計されることが好ましい。
【００５２】
さらに、第２プロセッサは、例えば、第２データ入力モードでは、第１プロセッサおよび／またはデータ表示ユニットに、セキュリティモード表示情報を伝送するように設計されていてもよい。このようにして、単純な方法で、信頼される形で、ユーザが危険性なくデータ入力ユニットを介してデータ処理装置に機密情報を入力できる、という情報がユーザに対して提供される。
【００５３】
セキュリティモード表示情報は、視覚情報および／または音声情報であることが好ましい。
【００５４】
さらに例えば、第１プロセッサから第２プロセッサへ、または、第２プロセッサから第１プロセッサへ、データ入力ユニットの制御が移行される際に、第１プロセッサと第２プロセッサとの間での通信を行うためのプロセッサ間連絡ユニットが設けられている。換言すれば、本発明のこの発展形態によれば、データ入力ユニットの制御の移行ないし入力されたデータの受信および処理の移行は、２つのプロセッサ間のプロセッサ間連絡により行われる。
【００５５】
特に、この実現方法の利点は、２つのプロセッサ間の通信用にそれ自体は公知の機構を用い、権利の移行が、安全なデータ入力の枠内で、単純で安価な方法で行われる点である。
【００５６】
さらに、好ましくはコンピュータプログラムとして設計されているデータ入力ユニットの駆動ユニットが備えられていてもよい。上記データ入力ユニットの駆動ユニットは、第１データ入力モードで入力されたデータを第１プロセッサに伝送し、第２データ入力モードで入力されたデータを第２プロセッサに伝送するように設計される。
【００５７】
したがって、本発明のこの発展形態により、データ入力ユニットの駆動ユニットは、一種の切替ポイントのようなものとなる。このユニット中で、入力されたデータが機密性のあるものであり、それゆえに第２プロセッサに伝送されるべきか、または、入力されたデータがセキュリティ関連データではなく、それゆえにこのデータが直接、好ましくはアプリケーションプロセッサである第１プロセッサに伝送されるか否かが判断される。
【００５８】
データ入力ユニットの駆動ユニットの設計において、第２データ入力モードで入力されたデータとは異なるデータであって、好ましくは第２データ入力モードで入力されたデータのデータシンボルの数と等しい数のデータシンボルを有するデータが、第１プロセッサおよび／またはデータ表示ユニットに伝送されるようにしてもよい。
【００５９】
本発明のこの発展形態によれば、好ましくは第１プロセッサおよび／またはデータ表示ユニットに伝送されるデータは、一連の所定のデータシンボルであり、特に一連のすなわち複数の所定のデータシンボルであり、データシンボルの数は、入力されたデータのデータシンボルの数に等しい。
【００６０】
本発明の別の一発展形態によれば、第２プロセッサは、チップカードプロセッサとして設計されている。換言すれば、第２プロセッサはチップカード上に実現されており、このチップカードは、例えばパーソナルコンピュータまたは通信装置に接続されたチップカード読み取り機により、第１プロセッサおよびデータ入力ユニットと通信接続される。このようにして、一般的なパーソナルコンピュータにおいてさえも、特に関連するセキュリティアーキテクチャで今日しばしば見受けられるチップカード読み取り機（チップカード上のプロセッサを利用したもの）を用いることにより、安全なデータ入力が行われる。これにより、例えばパーソナルコンピュータへのデータ入力も確実に安全に行われる。
【００６１】
特に、データ処理装置が通信端末機器、特に移動通信端末機器として設計されている場合に、本発明の発展形態では、第２プロセッサは、通信端末機器、特に移動通信端末機器中の参加者識別モジュールに組み込まれている。本発明のある実施形態では、ＳＩＭモジュール（Subscriber Indentity Module;加入者識別モジュール）に組み込まれたプロセッサを、第２プロセッサとして用い、これにより各セキュリティサービスを実現する。
【００６２】
本発明は、特に、好ましくはユーザのみが知っているパスワードまたはＰＩＮコード、すなわち一連の認証シンボルを入力する際や、データの符号化またはデジタル署名（例えば、ＰＩＮコードまたはパスワードの形式でのユーザ入力が必要である暗号化手段を用いて電子メールを符号化またはデジタル署名をするなど）する際に適している。各電子メールは、例えば、通信端末機器を用いて、好ましくは無線インタフェースを介して受信機に伝送されてもよいが、自身で、計算機システム中の対応するディレクトリ中に単にバッファリングされており、ユーザまたは他のユーザにより照会があった際に、必要に応じて再び復号化されてもよい。
【発明の効果】
【００６３】
本発明は、データ処理装置にデータをセキュリティを確保した状態で入力することでができるという効果を奏する。
【図面の簡単な説明】
【００６４】
【図１】発明の一実施例のデータ処理装置のアーキテクチャを示すブロック図である。
【図２】本発明の一実施例の移動通信端末機器の構成を示す平面図である。
【図３】本発明の他の一実施例の移動通信端末機器の構成を示す平面図である。
【図４】本発明のさらに他の一実施例のデータ処理装置の構成を示す図である。
【図５】本発明の他の一実施例のさらに他のデータ処理装置の構成を示すブロック図である。
【図６】２つのデータ入力モード間の様々な切り替えを示すメッセージフローチャートである。
【図７】本発明の一実施例の第２データ入力モードで確実なデータ入力を提供するための個々の工程を示すフローチャートである。
【図８】データ処理装置の代替的な一実施例を示すブロック図である。
【発明を実施するための形態】
【００６５】
本発明の実施例を、図に示し、以下で詳しく説明する。
【００６６】
図１は、本発明の一実施例のデータ処理装置のアーキテクチャを示すブロック図である。
【００６７】
図２は、本発明の一実施例の移動通信端末機器の構成を示す平面図である。
【００６８】
図３は、本発明の他の一実施例の移動通信端末機器の構成を示す平面図である。
【００６９】
図４は、本発明のさらに他の一実施例のデータ処理装置の構成を示す図である。
【００７０】
図５は、本発明の他の一実施例のさらに他のデータ処理装置の構成を示すブロック図である。
【００７１】
図６は、２つのデータ入力モード間の様々な切り替えを示すメッセージフローチャートである。
【００７２】
図７は、本発明の一実施例の第２データ入力モードで確実なデータ入力を提供するための個々の工程を示すフローチャートである。
【００７３】
図８は、データ処理装置の代替的な一実施例を示すブロック図である。
【００７４】
図中、類似または同様の素子に、同じ参照番号が付されていることがある。
【００７５】
図２に、データ処理装置としての移動通信端末機器２００を示す。このモバイル無線通信端末機器２００は、ＧＳＭなどのセルベースのモバイル無線標準、例えばＵＭＴＳなどの３ＧＰＰ標準、に基づく通信用に設計されている。
【００７６】
移動通信端末機器２００は、筐体２０１を備えている。この筐体２０１に、アンテナ２０２、表示部２０３、スピーカ２０４、マイク２０５が備えられており、キーボード２０６に、多数のキーが備えられている。多数のキーは、数字、シンボル、または、文字を既知のように入力するための番号キーまたはシンボルキー２０７と、通信接続を確立または終了するための通信接続確立キー２０８および通信接続終了キー２０９などの特別機能キーとを含む。さらに、少なくとも１つの特別機能キー２１０が備えられている。この特別機能キー２１０は、例えば移動通信端末機器２００に格納されたアドレス帳／電話帳を呼び出せるように割り当てられていてもよい。
【００７７】
さらに、移動通信端末機器２００には、ＳＩＭカード（加入者識別モジュールカード）２１１が含まれている。このＳＩＭカード２１１に、ユーザを一義的に識別する情報（ユーザ識別子とも呼ばれる）が格納されている。
【００７８】
移動式通信端末機器２００は、以下で詳しく説明されるように、２つのプロセッサ（図示せず）を備えている。２つのプロセッサとはすなわち、アプリケーションプログラムを実行するための第１プロセッサ（以下ではアプリケーションプロセッサとも呼ぶ）と、例えばモバイル無線信号などを復号するために、物理的なインタフェースの機能、すなわち、無線信号伝送の機能を特に提供するための第２プロセッサとしてのデジタル信号プロセッサ（ＤＳＰ）とである。さらに、メモリ（図示せず）が備えられている。双方のプロセッサとメモリとは、コンピュータバスを介して相互に接続されている。
【００７９】
本発明の代替的な一発展形態では、移動通信端末機器２００は、マイクロコントローラとして設計された２つのプロセッサを備えている。さらに、この代替実施例では、他の少なくとも１つの付加的なマイクロコントローラが備えられており、場合によってはさらに１つの付加的なデジタル信号プロセッサが備えられている。マイクロコントローラでは、アプリケーションコンピュータプログラムが実行される。ある１つのマイクロコントローラでは、信頼できるサービス（トラスティドサービス）、場合によっては付加的なモデムサービスが実行、すなわち、提供される。さらに、特にデジタル信号処理においては、リアルタイムであることが重要なサービスであるために、さらに１つのデジタル信号プロセッサが備えられている。
【００８０】
ユーザは、移動通信端末機器２００の電源を投入した後、移動通信網にログインしたいならば、ユーザは、移動通信端末機器２００から、個人識別番号(Personal Identification Number, PIN)をキー２０７によって入力するように、要請される。ここでは、移動通信端末機器２００へのＰＩＮの入力は、以下に記載のセキュリティ関連の機能または手順で処理される。
【００８１】
入力された個人識別番号は、ＳＩＭカード２１１に格納されてあるユーザ識別子（User IDentity, UID）と比較され、参加者は、権利付与された参加者として移動通信網に受け入れられる。したがって、入力された番号がＳＩＭカード２１１に格納されていたユーザ識別子に対応する場合に、ユーザは権利付与された参加者としてモバイル通信網にログインすることとなる。
【００８２】
ログイン手順における、キーボード２０６のキー２０７・２０８・２０９・２１０の制御権、特に数字キーの間の本発明による切り替えについては、以下で詳しく説明する。
【００８３】
図３に、本発明の第２実施例のデータ処理装置としての移動通信端末機器３００を示す。
【００８４】
移動通信端末機器３００は、本発明の第１実施例の移動通信端末機器２００と構造的に同じように形成されているが、前記デジタル信号プロセッサを省いてもよく、個人識別番号のセキュリティ関連のデータ入力に関連して備えられている本発明による第２プロセッサが、マイクロプロセッサとしてＳＩＭカード３０１に含まれている点が異なっている。このＳＩＭカード３０１は、マイクロプロセッサ３０２と不揮発性メモリ３０３とを備え、第１実施例のＳＩＭカード２１１のように、ユーザ識別子を格納するための不揮発性メモリだけを備えているのではない。
【００８５】
図４に、第３実施例のデータ処理装置としてのシステムブロック４００を示す。システムブロック４００はパーソナルコンピュータ４０１を含み、このパーソナルコンピュータ４０１は、１つのアプリケーションプロセッサ（図示せず）と、１つまたは複数のメモリ素子と、を備えている。プロセッサとメモリとは相互にコンピュータバスを介して接続されており、さらに、外部通信インタフェースと接続されており、さらに、多数の周辺機器（例えば、キーボード４０２、コンピュータマウス４０３、データ表示ユニットとしてのディスプレイ４０４、チップカード読み込み装置４０５）と接続されている。チップカード読み込み装置４０５を用いて、チップカード４０６（すなわち、チップカードに格納されている情報）を読み込み、パーソナルコンピュータ４０１へ伝送できる。
【００８６】
図４に記載のシステムブロック４００を参照して、様々な状況について以下で説明する。まず、一つの取り得る形態として、第１プロセッサがパーソナルコンピュータ４０１に備えられており、第２プロセッサがチップカード読み込み装置４０５に備えられている構成が挙げられる。これらのプロセッサは、以下で説明するサービスを提供するものである。また、これに代えて、チップカード４０６が独自のマイクロプロセッサを備えている構成も可能である。この独自のマイクロプロセッサは、第２プロセッサとして、後述する方法の範囲内で使用されるものである。また、他に取り得る形態として、第２プロセッサが、パーソナルコンピュータ４０１に備えられている構成が挙げられる。また、さらに取り得る他の形態として、１つのプロセッサが第２プロセッサとしてディスプレイ４０４に備えられており、機密データを保護するデータ入力において使用される。
【００８７】
セキュリティ関連のデータを各周辺インタフェース４０７・４０８・４０９・４１０を介してパーソナルコンピュータ４０１へ入力するために、必要に応じて、図４に記載のデータ入力ユニットの１つまたは複数を使用できる。
データの入力は、キーボード４０２、コンピュータマウス４０３、例えば接触感知型ディスプレイとして構成されたディスプレイ４０４、または、チップカード読み込み装置４０５によって行える。
【００８８】
図５に、本発明の第４実施例に係るデータ処理装置であるシステムブロック５００を示す。
【００８９】
このシステムブロック５００では、複数のクライアントコンピュータ５０１・５０２・５０３・５０４・５０５は、キーボード５０６・５０７・５０８・５０９・５１０および／またはコンピュータマウス（図示せず）を、データ入力ユニットとしてそれぞれ備えている。これらのクライアントコンピュータ５０１・５０２・５０３・５０４・５０５は、通信網５１１を介して、サーバコンピュータ５１２と接続されている。
【００９０】
この場合、セキュリティ関連のデータ（特に認証データ）は、通信網（好ましくはインターネット／イントラネット）５１１を介して、サーバコンピュータ５１２へ伝送され、このサーバコンピュータ５１２においてクライアントコンピュータ５０１〜５０５の認証のために使用される。この場合、サーバコンピュータ５１２は２つのプロセッサを備えており、上記データ入力ユニットはサーバコンピュータ５１２の通信網５１１への入出力インタフェースであって、この入出力インタフェースを介して、一連のデータシンボルがサーバコンピュータ５１２へ供給される。
【００９１】
以下で一般的に説明する処理手順は、全ての上記使用状況に当てはまるものである。２つのプロセッサが備えられており、これらは相互に通信することができ、または、入力されたデータが、備えられている２つのプロセッサの１つに、選択的に供給されることがあってもよい、ということだけは必要である。
【００９２】
上述のように、各データ入力ユニットは、キーボード；データ通信インタフェースとしての、通信網またはデータ処理装置の他の一周辺装置に接続されている入出力インタフェース；タッチパネル；接触感知型のデータ表示ユニット；コンピュータマウス；または、マイクであってもよい。マイクを介してデータ処理装置に入力される発話信号は、音声認識ユニットによって、入力されたデータとして認識可能なデータシンボルに変換される。
【００９３】
したがって、全ての上記の使用状況、すなわち、織りまぜた構造は、図１に例示的に示したシステムアーキテクチャ１００に鑑みたものである。
【００９４】
大抵のアプリケーションコンピュータプログラムは、ユーザインタフェース（例えば、周辺機器とデータの送受信を行うための入出力インタフェース）も備えており、アプリケーションプロセッサ１０１（第１プロセッサ）によって実行される。アプリケーションプロセッサ１０１は、オープンオペレーティングシステム（好ましくはウィンドウズオペレーティングシステム）を有し、あるいは、リナックスオペレーティングシステム、ユニックスオペレーティングシステム、シンビアンオペレーティングシステム、またはジャバプラットフォームをインストールし、これを実行する。
【００９５】
さらに、信頼できるモード（トラスティドモード）で動作する第２プロセッサ１０２が備えられている。この第２プロセッサ１０２は、トラスティドコアプロセッサとも呼ばれ、それゆえ、信頼できる（好ましくは暗号化によって）保護された環境で動作する。また、第２プロセッサ１０２は、以下ではセキュリティ関連のサービス（特に暗号化された信頼性サービス）を提供するために使用され、あるいは、または、さらに、データ伝送（特にモバイル無線データ伝送）などにおいて物理的なインタフェースの機能を提供するための他のサービスにも使用される。データ処理装置が移動通信端末機器として形成されている使用状況（図１および図２参照）では、この移動通信端末機器に、通常、２つのプロセッサ、すなわち、アプリケーションプロセッサとデジタル信号プロセッサ（ＤＳＰ）とが備えられている。
【００９６】
第１動作モード（通常動作モード）では、キーボード１０３（一般的にはデータ入力ユニット）は、アプリケーションプロセッサ１０１に割り当てられており、アプリケーションプロセッサ１０１によって制御される。したがって、アプリケーションプロセッサ１０１は、キーボード１０３（一般的には上記の代替的なデータ入力ユニット）を用いて入力されるデータ１０４を、キーボード周辺ブロック１０５を用いて制御および処理することを担当している。キーボード周辺ブロック１０５は、システムバス１０６によってアプリケーションプロセッサ１０１と第２プロセッサ１０２とに共通して接続されており、共通の集積システムコントローラ回路１０７に配置されていることが好ましい。
【００９７】
第２プロセッサ１０２がアプリケーションプロセッサ１０１と共に１つの集積回路１０７に備えられていない上記使用状況では、双方のプロセッサ１０１・１０２は、例えばケーブルまたは他の通信接続方法（例えば無線通信接続）によって相互に接続されている。
【００９８】
セキュリティ関連のデータが例えばユーザの認証において、ユーザによってデータ処理装置１００に入力されるほうがよい場合には、データ入力ユニット（好ましくはキーボード１０３）の制御は、機密データの入力が終了するまで、第２プロセッサ１０２に委ねられる。このようにして、システム１００の信頼できる環境において機密データを入力できる。
【００９９】
データ処理装置が移動通信端末機器に集積されている例では、たとえばこれらのプロセッサが双方ともＡＲＭ９２６プロセッサである、あるいは、アプリケーションプロセッサがＡＲＭ１１プロセッサである。
【０１００】
以下に、データ処理装置の範囲内で、セキュリティ関連のデータ入力モードを実現するために選択し得るさまざまな実施例について説明する。
【０１０１】
第１の好ましい例では、データ入力ユニット（好ましくは、キーボード１０３）の制御が、アプリケーションプロセッサ１０１から信頼できる第２プロセッサ１０２へ明示的に移行し、また逆に第２プロセッサ１０２からアプリケーションプロセッサ１０１へ明示的に移行する。
【０１０２】
この場合、占有すなわちデータ入力ユニット（好ましくはキーボード１０３）の制御は、明示的なプロセッサ間連絡によって、アプリケーションプロセッサ１０１から第２プロセッサ１０２へ、または、逆にこの第２プロセッサ１０２からアプリケーションプロセッサ１０１へ明示的に移行される。
【０１０３】
このことは、双方のプロセッサ（すなわち、アプリケーション１０１と第２プロセッサ１０２との双方）がコンピュータプログラムをそれぞれ有しているとともにそれを実行できる、ということを前提条件とする。なお、このコンピュータプログラムは、これらのプロセッサに、現在は誰が実際にデータ入力ユニット１０３の制御を司っているのか、ということを伝えることができる。また、コンピュータプログラムは、データ入力ユニット１０３の制御を、他方のプロセッサ１０１または１０２へそれぞれ伝送（言い換えれば、移行）する。
【０１０４】
トラスティドコアプロセッサ（第２プロセッサ）１０２は、セキュリティ関連のデータ入力モードの間の制限された期間に、データ入力ユニット１０３の制御を司る。このデータ入力ユニット１０３を介して、セキュリティ関連の（すなわち、機密）データが、データ処理装置１００へ入力される。一方、この期間に、トラスティドコアプロセッサ１０２は、安全入力表示を起動することが好ましい。なお、この安全入力表示は、データ処理装置１００が第２の安全なデータ入力モードである、ということをユーザに示すものである。さらに、第２の（すなわち、セキュリティ関連の）データ入力モードの表示を実現するための様々なオプションについて、以下で詳しく説明する。
【０１０５】
この点に関して、第２データ入力モードをユーザに確実に表示するには、ユーザにこの情報を表示している間はアプリケーションプロセッサ１０１がこの表示を制御できないようにすることが望ましい。
【０１０６】
図６のメッセージフローチャート６００に示す一例では、パスワードが一連の機密データシンボルとしてデータ処理装置へ入力され、このパスワードが、データファイルのデジタル署名に使用される。
【０１０７】
フローチャート６００に示すフローでは、電子データファイルを署名するようにとの要求メッセージを受信することにより、トラスティドコアプロセッサ１０２において第２データ入力モード（ソース入力モード）が暗黙的に起動される。
【０１０８】
図６に示すように、この例では、アプリケーションプロセッサ１０１によって署名要求メッセージ６０１が生成され、好ましくはシステムバス１０６を介して、第２プロセッサ（すなわち、トラスティドコアプロセッサ）１０２へ伝送される。署名要求メッセージ６０１には、必要とされる信頼性サービス、つまり電子データファイルへのデジタル署名（サイン）６０２、ならびに、必要とされるサービスのパラメータとして、デジタル署名される電子データ（テキスト）６０３およびキー識別情報（キーＩＤ）６０４が示されている。
【０１０９】
トラスティドコアプロセッサ１０２は、署名要求メッセージ６０１を受信すると、トラスティドコアプロセッサ１０２だけがアクセスできる不揮発性メモリ６０５にプライベートキープロファイル６０６を問い合わせ、読み出したプライベートキープロファイル６０６を使用して署名要求メッセージ６０１を検証する（工程６０７）。
【０１１０】
この時点まで、データ処理装置１００は、依然として第１データ入力モード（すなわち、安全でないデータ入力モード）である。この第１入力モードでは、依然としてアプリケーションプロセッサ１０１が、データ入力ユニット１０３の制御を司っている。
【０１１１】
このことは、第１データ入力モードを示す第１データ入力モード表示６０８により、ディスプレイ上でユーザに示される。
【０１１２】
次に、データ処理装置１００のデータ入力モードは、第２のセキュリティ関連のデータ入力モードに変化する。
【０１１３】
後続の工程で、トラスティドコアプロセッサ１０２は、第１モード変更要求メッセージ６０９を、アプリケーションプロセッサ１０１へ送信する。なお、第１モード変更要求メッセージ６０９は、アプリケーションプロセッサ１０１のデータ入力モードを第１データ入力モードから第２データ入力モードへ変更するように、との要求をするものである。
【０１１４】
アプリケーションプロセッサ１０１は、第１モード変更要求メッセージ６０９を受け取った後、データ入力ユニット１０３（特にキーボード１０３）の制御を解除する（工程６１０）。
【０１１５】
アプリケーションプロセッサ１０１は、キーボード制御を解除したことを、第１モード変更確認メッセージ６１１によってトラスティドコアプロセッサ１０２へ伝える。
【０１１６】
トラスティドコアプロセッサ１０２は、第１モード変更確認メッセージ６１１を受信してから、データ入力ユニット１０３（特にキーボード１０３）の制御を引き受ける（工程６１２）。
【０１１７】
続いて、トラスティドコアプロセッサ１０２は、データ入力モード表示を起動し、このデータ入力モード表示を、第２データ入力モード表示６１４に設定する。この第２データ入力モード表示６１４によって、データ処理装置が第２データ入力モードである、ということが示される（工程６１３）。この起動は、トラスティドコアプロセッサ１０２による制御のみで行われる。すなわち、アプリケーションプロセッサ１０１は、データ入力モード表示６０８・６１４にアクセスできないし、これを制御することもできない。
【０１１８】
続いて、トラスティドコアプロセッサ１０２は、ユーザによって逐次的に入力された、機密の入力データを示す記号またはデータシンボルを収集する（工程６１４）。例えば、問い合わせられたパスワードの個々のシンボルは、次々と不揮発性メモリ、例えば、トラスティドコアプロセッサ１０２の不揮発性メモリ６０５にバッファリングされる。
【０１１９】
不揮発性メモリ中のパスワードは、「アントラスティド」な第１プロセッサのアクセスから保護されているほうがよい。あるいは、「トラスティドコア」（すなわち、第２）プロセッサは、この目的のために、専用に確保した不揮発性メモリを有している。パスワードは符号化されて不揮発性メモリに保存されており、第２プロセッサだけが「占有」しているキー（例えば、１つまたは複数の特別なハードウエアモジュールによって保証されたキー）のみによって解号できることが好ましい。このことは、第２プロセッサだけが、パスワードを解号するためのキーにアクセスできるということを意味している。
【０１２０】
上記例に代わり得る例、または上記例とは別の例として、処理効率を上げるために、パスワードが揮発性メモリにバッファリングされるようになっていてもよい。この目的のために、揮発性メモリは、「アントラスティド」な第１プロセッサによる操作から保護されているほうがよい。
【０１２１】
言い換えれば、このことは、信頼できる、すなわち「トラスティド」な第２プロセッサの動作が、確実に、（信頼できない、すなわち「アントラスティド」な）第１プロセッサによって妨害されないようにするのがよい、ということを意味している。このことは、例えば、双方のプロセッサのそれぞれに専用のメインメモリを用いることにより達成される、または、１つのメインメモリを共通で用いた場合には「トラスティド」な第２プロセッサにより制御され、特定のアドレス領域への明示的なアクセス権を予設定できるメモリ制御器を使用することにより達成される。
【０１２２】
以下の工程（工程６１５）では、トラスティドコアプロセッサ１０２によって読み込まれたパスワードが、不揮発性メモリ６０５に予め格納された秘密パスワード６１６と比較される。
【０１２３】
入力されたパスワードが、不揮発性メモリ６０５に格納されたユーザの秘密鍵に対するパスワード６１６と一致すれば、続いて、トラスティドコアプロセッサ１０２は、不揮発性メモリ６０５から、ユーザのプライベート（すなわち、秘密）キー６１７を読み出し、ユーザの秘密キーを使用して、要求メッセージ６０１中に示されたテキスト６０３に署名する（工程６１８）。
【０１２４】
続いて、トラスティドコアプロセッサ１０２は、再びデータ入力ユニット１０３の制御を放棄し（工程６１９）、第２データ入力モードを表示するために使用される第２データモード表示６１４を無効にし、機密でないデータを入力するための第１データ入力モードが、データモード表示６０８によって、ユーザに再び表示される（工程６２０）。
【０１２５】
続いて、トラスティドコアプロセッサ１０２は、第２モード変更要求メッセージ６１２を、アプリケーションプロセッサ１０１へ送信する。この第２モード変更要求メッセージ６１２は、この時点では、セキュリティ関連の第２データ入力モードから、第１データ入力モード（すなわち、機密でないデータをデータ処理装置１００へ入力するための通常動作モード）へ、データ入力モードを改めて変更するように、との要求をするものである。
【０１２６】
アプリケーションプロセッサ１０１は、第２モード変更要求メッセージ６１２を受信した後、データ入力ユニット１０３の制御を再び引き受ける（工程６２２）。
【０１２７】
アプリケーションプロセッサ１００は、データ入力ユニット１０３の制御の新たな引継ぎが完了したことを、第２モード変更確認メッセージ６２３によってトラスティドコアプロセッサ１０２へ伝え、これにより、第２データ入力モード（図６に参照番号６２４で示す）が終了する。
【０１２８】
続いて、トラスティドコアプロセッサ１０２は、アプリケーションプロセッサ１０１に、要求された信頼性サービスの結果（この例の場合は、署名要求メッセージ６０１中で示された電子データファイル６０３へのデジタル署名６２５）を伝送する。
【０１２９】
これに代わり得る例として、アプリケーションプロセッサ１０１のためのデータ入力ユニット（特に、キーボード１０３）は、アプリケーションプロセッサ１０１によって、また場合によってはアプリケーションプロセッサ１０１とトラスティドコアプロセッサ１０２との双方によって透過的に使用される。
【０１３０】
本例では、アプリケーションプロセッサ１０１には、第２データ入力モードにおいてはデータ入力ユニット１０３が一時的にトラスティドコアプロセッサ１０２によって使用される、ということが分かっていない。言い換えれば、アプリケーションプロセッサ１０１には、データ入力モードが第１データ入力モードから第２データ入力モードへ、およびその逆へと移行される、ということは知らされていない。
【０１３１】
第２データ入力モードの間に（すなわち、機密データの入力が終了するまでに）、次のような準備が行われる。すなわち、トラスティドコアプロセッサ１０２の安全な環境において実施されている、トラスティドコアプロセッサ１０２によって実行されるデータ入力ユニットの駆動コンピュータプログラム（好ましくはキーボードの駆動コンピュータプログラム）を用いて、入力された各記号またはデータ入力ユニット１０３を用いてデータ処理装置へ入力されるデータシンボルを処理および受信するための以下のメカニズムが準備される：１．データ入力ユニット１０３とアプリケーションプロセッサ１０１との間の接続を切り離す（「切断」）。２．第２データ入力モード（安全入力モード）において、入力されたデータシンボルを読み込む。３．アプリケーションプロセッサ１０１のためにデータシンボルの入力をシミュレーションするために、備えられているキーボード周辺レジスタに所定のシンボル（好ましくは「*」シンボル）を書き込む。４．データ入力ユニット１０３とアプリケーションプロセッサ１０１とを元のように接続する（「接続」）。
【０１３２】
工程３では、構造８００の、図８に示すデータ入力ユニット周辺ブロック８０１が使用されることが好ましい、ということが分かる。
【０１３３】
アプリケーションプロセッサ１０１から見れば、トラスティドコアプロセッサ１０２に対する上記の、および以下で図７に関連して示す実現は、第２データ入力モードでは所定の記号だけが入力されるように、すなわち、所定のキー（例えば、シンボル「*」を有するキー）だけが押されるように作用している。したがって、アプリケーションプロセッサ１０１は、キーボードの駆動コンピュータプロセッサから受信する「*」シンボルを、データ入力ユニットに示す。このようにして、ＰＩＮコードまたはパスワードを入力する場合に「ルック・アンド・フィール」という操作感がユーザに提供される。
【０１３４】
データ処理装置１００が第２データ入力モードである間に、データ表示ユニットの対応する信頼性モード表示情報を任意に準備してもよい。さらに、データ表示ユニットは、対応するデータ入力モード表示６１４をユーザに対して出力する。その都度存在するデータ入力モードすなわちその都度起動されるデータ入力モードの表示のための、さまざまな例について、さらに、以下でより詳しく説明する。
【０１３５】
図７に、フローチャート７００で、上述の第２の例の処理手順を記載する。
【０１３６】
トラスティドコアプロセッサ１０２は、第２データ入力モード（工程７０１）が起動された後、アプリケーションプロセッサによるデータ入力ユニット割り込み（特にキーボード割り込み）の実施または誘発を無効に（７０２）し、アプリケーションプロセッサ１０１によるキーボード周辺ブロック（一般的には、データ入力ユニット周辺ブロック）８０１へのアクセスも無効にする（工程７０３）。
【０１３７】
その後、押されたキーの情報が格納されているキーボードブロックレジスタは、第２プロセッサ（すなわち、トラスティドコアプロセッサ）１０２の問い合わせを受ける（工程７０４）。
【０１３８】
キーボードに予め備えられていることが好ましい安全データ入力モード終了キーが押された場合は、このことが試験工程７０５において試験され、安全なデータ入力が終了したとされ、問い合わせられたレジスタ値から、１つまたは複数の機密入力データ値が生成される（工程７０６）。
【０１３９】
その後、アプリケーションプロセッサ１０１は、キーボード周辺ブロック８０１（工程７０７）へ新たにアクセスし、キーボード割り込みがアプリケーションプロセッサ１０１に対して再び行われる（工程７０８）。
【０１４０】
したがって、第２データ入力モードは、再び無効にされる（工程７０９）。
【０１４１】
しかしながら、安全データ入力モード終了キーが押されない限り、押された各キーに対して、押された各キーを示す値が、トラスティドコアプロセッサ１０２だけがアクセスできるメモリに格納される（工程７１０）。
【０１４２】
続いて、キーボードブロックレジスタにおいて、入力された各シンボルに対して、１つの「*」シンボルが書き込まれ（工程７１１）、アプリケーションプロセッサ１０１は、キーボード周辺ブロックに再びアクセスし（工程７１２）、続いて、アプリケーションプロセッサ１０１に対するキーボード割り込みが再び任意に行われる（工程７１３）。続いて、アプリケーションプロセッサ１０１が「*」シンボルをキーボード周辺ブロックレジスタから読み出すまで待機し（工程７１４）、工程７０２に戻る。言い換えれば、アプリケーションプロセッサ１０１が「*」シンボルをキーボード周辺レジスタから読み出したということが保証される。
【０１４３】
図８から分かるように、キーボード周辺ブロック８０１に、スキャニングおよびキーボードのデバウンシングロジック８０２と、スイッチングユニット８０３とが備えられている。このスイッチングユニット８０３を用いて、スキャニングおよびキーボードのデバウンシングロジック８０２から入力されるシンボルを、スイッチングユニット８０３が第１スイッチング状態（Ａ）である場合は、スキャニング結果レジスタ８０４へ供給し、または、スイッチングユニット８０３が第２スイッチング状態（Ｂ）である場合は、コンピュータバスインタフェース８０５へ直接供給する。コンピュータバスインタフェース８０５は、スキャニング結果レジスタ８０４の出力部とも接続されている。さらに、上記コンピュータバスインタフェース８０５は、制御レジスタ８０６と接続されており、制御レジスタ８０６に格納されたデータは、場合によっては、スイッチング状態制御信号８０７を生成し、このスイッチング状態制御信号８０７によって、スイッチングユニット８０３を駆動する。
【０１４４】
第３の例として、通常データ入力モードにおいて、キーボードまたはキーパッドが、押されたキーについての情報をアプリケーションプロセッサ１０１へ直接伝送するようにしてもよい。
【０１４５】
第２データ入力モード（安全なデータ入力モード）が起動された後、かつ、トラスティドコアプロセッサ１０２が機密データシンボルの入力を要求した後、キーボード周辺の駆動装置は、押されたキーについての情報の代わりに、予め定めておくことのできる交換データ記号／データシンボル（例えば、「*」シンボル）を出力する。なお、この交換データ記号／データシンボルは、データ表示ユニット１０３のグラフィカルユーザインタフェース上のＰＩＮ入力フィールドでユーザに表示される。
【０１４６】
ユーザが数字キーを押した場合は、この情報は、キー情報の交換がされずに、アプリケーションプロセッサ１０１へ直接転送される。したがって、アプリケーションプロセッサ１０１は、有効なキー情報を常に受信する。有効なキー情報を、アプリケーションプロセッサ１０１は、グラフィカルユーザインタフェースにおいて（すなわち、データ表示ユニット上で）ユーザに表示でき、したがって、ユーザに「ルック・アンド・フィール」という操作感を提供できる。実際に入力されるキーは、メモリまたはメモリの一部に順次に蓄積される。なお、メモリまたはメモリの一部には、トラスティドコアプロセッサ１０２だけがアクセス可能である。
【０１４７】
アプリケーションプロセッサ１０１は、このメモリまたはメモリの一部にアクセスしない。機密情報の入力が完全に終了した後、入力されたデータ連続は、トラスティドコアプロセッサ１０２によって、検証のために、さらに処理される。
【０１４８】
こうして、入力されたデータシーケンスは、例えばスマートカード上またはフラッシュメモリ中に格納された対応する値と比較される。
【０１４９】
この例では、機密データ記号／データシンボルの入力中（好ましくはパスワード入力中ＰＩＮ入力中）に、アプリケーションプロセッサ１０１における何らかの割り込みを無効にする必要はない。割り込みは、トラスティドコアプロセッサ１０２によるパスワードの検証中のみ無効にされたほうがよい。しかしながら、パスワードまたはＰＩＮコードの検証は、付加的に備えられている、暗号化によって機密保護されたブロックにおいて行われてもよい。この方法では、パスワードはアプリケーションプロセッサ１０１によって直接調査されることはない。言い換えれば、アプリケーションプロセッサ１０１は、暗号化ブロックに格納されているパスワードにアクセスしない。
【０１５０】
パスワードを、アプリケーションプロセッサ１０１によって調査できない。言い換えれば、アプリケーションプロセッサ１０１は、暗号化ブロックに格納されているパスワードにアクセスしない。
【０１５１】
キーボードの駆動装置またはキーパッドの駆動装置、あるいは、その機能を、直接ハードウェアで、すなわち、特別な電子回路を用いて（例えば、ＦＰＧＡまたはＡＳＩＣを用いて）実現してもよいし、または、多重プロセッサ環境においてソフトウェアで、コンピュータプログラムを用いて実現してもよいし、または、任意のハイブリッドフォームで（すなわち、ハードウェアおよびソフトウェアにおける任意の割り当て部分で）実現してもよい。駆動装置の機能が、コンピュータプログラムによって実現される場合、このコンピュータプログラムは、トラスティドコアプロセッサ１０２上で実行され、押されたキーまたは押されたキーのための交換記号についての情報は、プロセッサ間連絡（ＩＰＣ）を使用してアプリケーションプロセッサ１０１へ伝送される。
【０１５２】
以下で、第２データ入力モードを起動するための様々な変形例について説明する。
【０１５３】
第１変形例として、第２データ入力モードが暗黙的に起動されてもよい。第２データ入力モードが暗黙的に起動される場合は、データ処理装置を第２データ入力モードにするために、ユーザが独自の行動をとる必要はない。トラスティドコアプロセッサ１０２によって実行されるソフトウェアは、信頼性サービスを含む（あるいは、信頼性サービス自体であってもよい）機能が呼び出された途端に、第２データ入力モードを自動的に起動し、その範囲内で、ユーザによって入力される機密情報が処理される。このことは、トラスティドコアプロセッサ１０２側で、アプリケーションプロセッサ１０１からの対応する要求メッセージが受信されることにより、図５のフローチャート５００に関連して説明したように、行われてもよい。
【０１５４】
別の一発展形態では、第２データ入力モードの明示的な起動または無効化を、特別にこの目的のために設けられたデータ入力モード変更キーを用いて行う。この場合、データ入力モードの変更は、ユーザが特別なキーを押すことにより行われる。ここで、このキーは、トラスティドコアプロセッサ１０２のみの制御下にある。換言すれば、トラスティドコアプロセッサ１０２のみが、この特別なキーの押圧が示す情報を受信し、処理することができる。この場合、アプリケーションコンピュータプログラムは、対応するグラフィカルユーザインタフェースを用いて、ユーザにパスワードまたはＰＩＮコードを入力するよう依頼する。機密データの入力の要請を受けたユーザは、この特別なキーを押し、これにより、第１データ入力モードから第２の安全なデータ入力モードへの移行が行われる。これにしたがって、キーボード（一般的に述べるとデータ入力ユニット）の制御ないし占有は、アプリケーションプロセッサ１０１からトラスティドコアプロセッサ１０２に移る。その後、異なる実施形態に関して上で述べたように、トラスティドコアプロセッサ１０２は、対応するデータ入力モード表示を能動化する。これは、例えば、追加的に設けられた発光ダイオードを用いて、または、データ表示ユニット上に示されたシンボルを用いて行われる。これに引き続いて、ユーザは、安全な環境において、パスワードをデータ処理装置に入力できる。
【０１５５】
次に、データ処理装置が第２データ入力モード、すなわち、安全なデータ入力モードであることを、ユーザに表示するための様々な可能性ないし例を挙げて説明する。
【０１５６】
第１の実装例によれば、［４］に記載されているように、トラスティドコアプロセッサ１０２は、この目的のために特別に設けられた発光ダイオード（または、これに適した別の出力装置）を用い、ユーザに対して、第２の安全なデータ入力モードが起動されていることを表示する。
【０１５７】
この際、これらの使用される各データ出力装置が、トラスティドコアプロセッサ１０２によってのみ駆動および制御され、アプリケーションプロセッサ１０１によっては駆動および制御されないことが好ましい。安全なデータ入力モードであることの表示は、第２データ入力モードが起動されている限り、ユーザに提示され続ける。
【０１５８】
別の例では、安全なディスプレイ、または、機密保護されたＧＵＩもしくはＧＵＩの機密保護された部分を用いて、データ処理装置が第２データ表示モードであることを表示する。
【０１５９】
これは以下のように実現される。
・例えば、移動通信端末機器を用いる場合、ユーザは、移動通信端末機器に個人のコード（一連の数字またはパスワード）を入力するように要請される。
・入力されたコードは、外部のフラッシュメモリに、好ましくは符号化された形式で保存され、外部のフラッシュメモリにはフラグが立てられ、その結果、初期化状態であると検知される。機密データを安全に入力する方法が、この時点で初期化され、作動準備が完了する。これらすべては、トラスティドコアプロセッサ１０２の制御の下で行われる。
・作動準備が完了すれば、上述した［４］に記載された方法と同じ方法が実施されるが、［４］に記載の方法とは以下の点が異なる。ユーザが、機密保護されたトランザクションを行おうとする場合、移動通信端末機器は、自身が安全なデータ入力モードにあることを示す。この安全なデータ入力モードでは、発光ダイオードが能動化されるのではなく、ユーザに対してユーザ固有の個人的なコードないしユーザ固有のパスワードが、データ表示ユニット上で表示される。
・この後、ユーザは、機密保護されたトランザクションを行うことができる。
【０１６０】
さらに別の発展形態では、信頼できるディスプレイ（トラスティド・ディスプレイ）を用い、データ処理装置が安全なデータ入力モードであることを示す。
【０１６１】
この実施形態では、信頼できるアプリケーションデータを表示するために、および、安全なデータ入力モードが起動されているか否かを表示するために、データ表示ユニットが１つだけ設けられている。
【０１６２】
安全なデータ入力モードが起動されると、データ表示ユニットの１つの所定のプログラム可能な部分領域（好ましくは、ＧＵＩの１つの所定のプログラム可能な部分領域）またはデータ表示ユニット全体（好ましくは、ＧＵＩ全体）のみが、トラスティドコアプロセッサ１０２によってのみ制御可能になる。すなわち、トラスティドコアプロセッサ１０２のみが、上記の部分領域または全体部分にアクセス可能になる。アプリケーションプロセッサ１０１は、データ表示ユニットもしくはＧＵＩ中、または、データ表示ユニットもしくはＧＵＩの各選択された部分領域中に表示された情報の内容にアクセスする権利がない。これにより、アプリケーションプロセッサ１０１上にインストールされた、損害を与えるコンピュータプログラム（例えば、トロイの木馬プログラム）が、データ表示ユニット上ないしはＧＵＩ上に表示された機密情報を読んだり、操作したりすることを防ぐことができる。アプリケーションプロセッサ１０１が、上記の領域へアクセスすることを禁止するために、アプリケーションプロセッサ１０１上で実行されたコンピュータプログラムコードが、例えば、ユーザへのある種の入力要請を行って、データ表示ユニットまたはデータ表示ユニットもしくはＧＵＩの対応する機密保護された部分領域中にあるデータを上書するために利用されないようにする。
【０１６３】
これは以下のように実現することができる。
・移動通信端末機器を用いる場合、ユーザは、データ入力ユニットを用いて、移動通信端末機器に個人のコード（例えば、一連の数字またはパスワード）を入力するように要請される。これに加えて、任意選択的ではあるが、デジタル印章を表すシンボルを選択するように要請され、このデジタル印章を用いて、第２データ入力モード（トラスティド入力モード）であることがユーザに表示される。ユーザが要請された入力を行うと、この入力は外部のフラッシュメモリに、好ましくは符号化された形式で保存され、外部のフラッシュメモリには、フラグが立てられる、これにより初期化状態であることが表示される。これにより、機密データを安全に入力するための工程が、初期化され、作動準備が完了する。これらすべては、トラスティドコアプロセッサ１０２の制御の下で行われる。アプリケーションプロセッサ１０１は、これらのデータに対してアクセスすることはできない。
・第２データ入力モードが能動化されれば、［４］に記載された方法と同じ方法が実施されるが、［４］に記載の方法とは以下の点が異なる。
【０１６４】
ユーザが、機密保護されたトランザクションを行おうとする場合、トラスティドコアプロセッサ１０２は、自身が機密保護された状態であることを示す。このセキュリティされた状態では、ユーザの個人的なコードないしユーザの個人的なパスワードが、ユーザに対して表示される。または、ユーザが選択したデジタル印章で示されるシンボルが、データ表示ユニットの領域中で表示される。この場合、データ表示ユニットは、トラスティドコアプロセッサ１０２のみにより駆動される、換言すれば、データ表示ユニットは、トラスティドコアプロセッサ１０２のみによりアクセス可能である。
【０１６５】
ユーザに対して、信頼できる領域の各領域を、データ表示ユニットまたはグラフィカルユーザインタフェース上に表示するために、シンボルまたは個人コードを、信頼できる領域の境界を示すパターンとして使用してもよいし、または、データ表示ユニットまたはグラフィカルユーザインタフェースの背景の対応して変更された色または対応して変更された変更パターンが機密保護された領域にあってもよい。［５］では、この表示は、例えば信頼できる絵を用いて実現されている。
【０１６６】
あるいは、カーソル（マスキング）が使用されてもよい。カーソルの絵は、この発展形態では、トラスティドコアプロセッサによってのみプログラミングされ、または、駆動される。この絵は、データ表示ユニットの範囲内またはグラフィカルユーザインタフェースの範囲内のカーソルの位置によって決まり、かつ、位置が信頼できる領域にあるかないないかによって決まる。カーソルが信頼できる領域（すなわち、機密保護された領域）にあれば、カーソルは、機密保護されたデータ入力モードを表示するためにユーザが選択した表示形状を維持し、カーソルが機密保護された領域外にあれば、通常データ入力モードを示すために使用されるデフォルトカーソルがユーザに対して表示される。
【０１６７】
第２データ入力モードでは、ユーザによって行われるデータの入力が、トラスティドコアプロセッサ１０２のみによって処理される。
【０１６８】
他の一発展形態では、信頼できる絵を表す画素カードを、データ表示ユニット上に表示してもよいし、または、指示を提供（すなわち、ユーザによって入力されるデータが、機密保護されていないデータ入力モードで入力され、それゆえアプリケーションプロセッサ１０１へ供給されるのか、それとも、データが機密保護されたデータ入力モードで入力され、トラスティドコアプロセッサ１０２だけに供給されるのかに応じて、ユーザに対して絵をそれぞれ異なるように表示）してもよい。
【０１６９】
表示形状に応じて各データ入力モードを一義的に表すプログラミング可能なグラフィカルユーザインタフェース（マスク）を使用する場合は、データ表示ユニットの範囲内に、データ表示用の機密保護された領域と機密保護されていない領域とを設けることが可能である。
【０１７０】
したがって、ユーザは、データ処理装置に機密データを入力することにより、機密保護された取引を行うことができ、または、ディスプレイ（一般的には、データ表示ユニット）上に表示された情報を信用できる、ということが確実となる。
本特許明細書の出典は、以下の出版物である。
[1] Tom R. Halfhill, ARM Dons Armor Microprocessor Report, 25. August 2003
[2] TPM Main Part 1 Design Principals, Specification Version 1.2, Revision 62, 2. Oktober 2003
[3] R. Meinschein, Trusted Computing Group Helping Intel Secure the PC, Technology Intel Magazine, Januar 2004-12-01
[4] EP 1 329 787 A2
[5] EP 1 056 014 A1
[6] US 2002/0068627 A1
[7] WO 02/100016 A1
[8] WO 99/61989 A1
[9] US 2003/110402 A1
[10] US 5,920,730
【符号の説明】
【０１７１】
１００ データ処理装置
１０１ アプリケーションプロセッサ
１０２ トラスティドコアプロセッサ
１０３ キーボード
１０４ データ
１０５ キーボード周辺ブロック
１０６ システムバス
１０７ 集積システムコントローラ
２００ 移動通信端末機器
２０１ 筐体
２０２ アンテナ
２０３ データ表示ユニット
２０４ スピーカ
２０５ マイク
２０６ キーボード
２０７ 番号キー
２０８ スイッチオンキー
２０９ スイッチオフキー
２１０ 特別機能キー
２１１ ＳＩＭカード
３００ 移動通信端末機器
３０１ ＳＩＭカード
３０２ マイクロプロセッサＳＩＭカード
３０３ メモリＳＩＭカード
４００ データ処理構造
４０１ パーソナルコンピュータ
４０２ キーボード
４０３ コンピュータマウス
４０４ スクリーン
４０５ チップカード読み込み装置
４０６ チップカード
４０７ インタフェース
４０８ インタフェース
４０９ インタフェース
４１０ インタフェース
５００ データ処理構造
５０１ クライアントコンピュータ
５０２ クライアントコンピュータ
５０３ クライアントコンピュータ
５０４ クライアントコンピュータ
５０５ クライアントコンピュータ
５０６ キーボード
５０７ キーボード
５０８ キーボード
５０９ キーボード
５１０ キーボード
５１１ 通信網
５１２ サーバコンピュータ
６００ メッセージフローチャート
６０１ 署名要求メッセージ
６０２ 署名要求
６０３ 電子データファイルの表示
６０４ キー識別の表示
６０５ 不揮発性メモリ
６０６ 秘密キープロファイル
６０７ 方法の工程
６０８ 第１データ入力モードの表示
６０９ 第１データ入力モード変更要求メッセージ
６１０ 方法の工程
６１１ 確認メッセージ
６１２ 方法の工程
６１３ 方法の工程
６１４ 第２データ入力モードの表示
６１４ 方法の工程
６１５ 方法の工程
６１６ 秘密キー
６１７ 方法の工程
６１８ 方法の工程
６１９ 方法の工程
６２０ 第２データ入力モード変更メッセージ
６２１ 方法の工程
６２２ 第２確認メッセージ
６２３ デジタル署名
７００ フローチャート
７０１ 方法の工程
７０２ 方法の工程
７０３ 方法の工程
７０４ 方法の工程
７０５ 試験工程
７０６ 方法の工程
７０７ 方法の工程
７０８ 方法の工程
７０９ 方法の工程
７１０ 方法の工程
７１１ 方法の工程
７１２ 方法の工程
７１３ 方法の工程
７１４ 方法の工程
８００ データ処理装置
８０１ 補正されたキーボード周辺ブロック
８０２ スキャニングおよびデバウンシングロジック
８０３ スイッチングユニット
８０４ スキャニング結果レジスタ
８０５ コンピュータバスインタフェース
８０６ 制御レジスタ
８０７ 選択信号
【特許請求の範囲】
【請求項１】
データ処理装置であって、
前記データ処理装置にデータを入力するためのデータ入力ユニットと、
第１プロセッサと、
第２プロセッサと、
データ入力ユニット周辺ブロックと、
を有し、
前記第１プロセッサは、第１データ入力モードにおいて、前記データ入力ユニット周辺ブロックを介して前記データ入力ユニットを制御して、前記データ入力ユニットに入力されたデータの受信および処理を行い、
前記第２プロセッサは、セキュリティ関連データを入力する第２データ入力モードにおいて、前記データ入力ユニット周辺ブロックを介して前記データ入力ユニットを制御して、前記データ入力ユニットに入力されたデータの受信および処理を行い、
前記第１プロセッサおよび前記第２プロセッサは、システムバスによって、前記データ入力ユニット周辺ブロックに接続されることを特徴とするデータ処理装置。
【請求項２】
前記データ入力ユニットは、
キーボード、データ通信インタフェース、タッチパネル、接触感知型の表示ユニット、コンピュータマウス、および、マイクのいずれか１つであることを特徴とする請求項１に記載のデータ処理装置。
【請求項３】
前記第１プロセッサは、アプリケーションコンピュータプログラムを実行するアプリケーションプロセッサとして設計されていることを特徴とする請求項１または２に記載のデータ処理装置。
【請求項４】
前記第１プロセッサにより、オープンオペレーティングシステムが実行されることを特徴とする請求項１ないし３のいずれか１項に記載のデータ処理装置。
【請求項５】
前記オープンオペレーティングシステムは、オペレーティングシステム外の通信インタフェースを少なくとも１つ有することを特徴とする請求項４に記載のデータ処理装置。
【請求項６】
前記オープンオペレーティングシステムは、ＷＩＮＤＯＷＳ（マイクロソフト コーポレイションの登録商標）オペレーティングシステム、Ｌｉｎｕｘ（トルヴアルドズ リヌスの登録商標）オペレーティングシステム、ＵＮＩＸ（エックス／オープン・カンパニー・リミテッドの登録商標）オペレーティングシステム、ＳＹＭＢＩＡＮ（シンビアン リミテッドの登録商標）、および、ＪＡＶＡ（サン・マイクロシステムズ・インコーポレーテッドの登録商標）プラットフォームのいずれか１つであることを特徴とする請求項４または５に記載のデータ処理装置。
【請求項７】
前記第２プロセッサは、１つまたは複数のトラスティッドコンピュータプログラムのみを実行可能であるように設計されていることを特徴とする請求項１ないし６のいずれか１項に記載のデータ処理装置。
【請求項８】
前記トラスティッドコンピュータプログラムは、完全性が保証されたコンピュータプログラムであることを特徴とする請求項７に記載のデータ処理装置。
【請求項９】
前記完全性が保証されたコンピュータプログラムは、暗号化により完全性が保証されたコンピュータプログラムであることを特徴とする請求項８に記載のデータ処理装置。
【請求項１０】
トラスティッドコンピュータプログラムは、少なくとも１つのセキュリティ関連サービスを行うように設計されていることを特徴とする請求項７ないし９のいずれか１項に記載のデータ処理装置。
【請求項１１】
前記セキュリティ関連サービスは、暗号を用いたセキュリティサービスであることを特徴とする請求項１０に記載のデータ処理装置。
【請求項１２】
前記暗号を用いたセキュリティサービスは、少なくとも１つの暗号鍵を用いて行われることを特徴とする請求項１１に記載のデータ処理装置。
【請求項１３】
前記暗号を用いたセキュリティサービスは、少なくとも１つの秘密暗号鍵および／または少なくとも１つの公開暗号鍵を用いて行われることを特徴とする請求項１２に記載のデータ処理装置。
【請求項１４】
前記暗号を用いたセキュリティサービスは、デジタル署名、デジタル印章、認証、データ符号化、ログイン、アクセス制御、データ通信内のトラフィック分析の阻止、および、ハッシュ法の少なくともいずれか１つであることを特徴とする請求項１１ないし１３のいずれか１項に記載のデータ処理装置。
【請求項１５】
入力されたデータの少なくとも１部分を表示するためのデータ表示ユニットを備えていることを特徴とする請求項１ないし１４のいずれか１項に記載のデータ処理装置。
【請求項１６】
前記第２プロセッサは、前記第２データ入力モードでは入力されたデータを受信し、
入力されたデータとは異なるデータであって、入力されたデータのデータシンボルと等しい数のデータシンボルを有するデータを、前記第１プロセッサおよび／または前記データ表示ユニットに伝送するように設計されていることを特徴とする請求項１５に記載のデータ処理装置。
【請求項１７】
前記第２プロセッサから、前記第１プロセッサおよび／または前記データ表示ユニットに伝送されるデータは、一連の所定のデータシンボルであり、前記データシンボルの数は入力されるデータのデータシンボルの数に等しいことを特徴とする請求項１６に記載のデータ処理装置。
【請求項１８】
前記第２データ入力モードでは、前記第２プロセッサが、前記第１プロセッサおよび／または前記データ表示ユニットに、セキュリティモード表示情報を伝送するように、前記第２プロセッサが設計されていることを特徴とする請求項１５ないし１７のいずれか１項に記載のデータ処理装置。
【請求項１９】
前記セキュリティモード表示情報は、視覚情報および／または音声情報であることを特徴とする請求項１８に記載のデータ処理装置。
【請求項２０】
前記第１プロセッサから前記第２プロセッサへ、または、前記第２プロセッサから前記第１プロセッサへ、前記データ入力ユニットの制御が移行される際に、前記第１プロセッサと前記第２プロセッサとの間での通信を行うためのプセセッサ間連絡ユニットが設けられていることを特徴とする請求項１ないし１９のいずれか１項に記載のデータ処理装置。
【請求項２１】
前記第１データ入力モードで入力されたデータを前記第１プロセッサに伝送し、前記第２データ入力モードで入力されたデータを前記第２プロセッサに伝送するように設計された前記データ入力ユニットの駆動ユニットが設けられていることを特徴とする請求項１ないし１９のいずれか１項に記載のデータ処理装置。
【請求項２２】
前記データ入力ユニットの駆動ユニットは、前記第２データ入力モードで入力されたデータとは異なるデータであって、前記第２データ入力モードで入力されたデータのデータシンボルの数と等しい数のデータシンボルを有するデータを、前記第１プロセッサおよび／または前記データ表示ユニットに伝送するように設計されていることを特徴とする請求項２１に記載のデータ処理装置。
【請求項２３】
前記第１プロセッサおよび／または前記データ表示ユニットに伝送されるデータは、一連の所定のデータシンボルであり、前記データシンボルの数は、入力されたデータのデータシンボルの数に等しいことを特徴とする請求項２２に記載のデータ処理装置。
【請求項２４】
前記第２プロセッサは、デジタル信号プロセッサであることを特徴とする請求項１ないし２３のいずれか１項に記載のデータ処理装置。
【請求項２５】
前記第２プロセッサは、チップカードプロセッサとして設計されていることを特徴とする請求項１ないし２３のいずれか１項に記載のデータ処理装置。
【請求項２６】
前記第２プロセッサは、通信端末機器中の参加者識別モジュールに組み込まれていることを特徴とする請求項１ないし２３のいずれか１項に記載のデータ処理装置。
【請求項２７】
請求項１ないし２６のいずれか１項に記載のデータ処理装置を有する通信端末機器。
【請求項２８】
データ処理装置を用いてデータ処理を行うデータ処理方法であって、
データ入力ユニットを用いて、データを前記データ処理装置に入力する工程と、
第１プロセッサが、システムバスによって前記第１プロセッサに接続されるデータ入力ユニット周辺ブロックを介して前記データ入力ユニットを制御して、前記データ入力ユニットに入力されたデータの受信および処理を行う、第１データ入力モードを実行する工程と、
第２プロセッサが、前記システムバスによって前記第２プロセッサに接続される前記データ入力ユニット周辺ブロックを介して前記データ入力ユニットを制御して、前記データ入力ユニットに入力されたデータの受信および処理を行う、セキュリティ関連データを入力する第２データ入力モードを実行する工程と、
を含む方法。
【請求項１】
データ処理装置であって、
前記データ処理装置にデータを入力するためのデータ入力ユニットと、
第１プロセッサと、
第２プロセッサと、
データ入力ユニット周辺ブロックと、
を有し、
前記第１プロセッサは、第１データ入力モードにおいて、前記データ入力ユニット周辺ブロックを介して前記データ入力ユニットを制御して、前記データ入力ユニットに入力されたデータの受信および処理を行い、
前記第２プロセッサは、セキュリティ関連データを入力する第２データ入力モードにおいて、前記データ入力ユニット周辺ブロックを介して前記データ入力ユニットを制御して、前記データ入力ユニットに入力されたデータの受信および処理を行い、
前記第１プロセッサおよび前記第２プロセッサは、システムバスによって、前記データ入力ユニット周辺ブロックに接続されることを特徴とするデータ処理装置。
【請求項２】
前記データ入力ユニットは、
キーボード、データ通信インタフェース、タッチパネル、接触感知型の表示ユニット、コンピュータマウス、および、マイクのいずれか１つであることを特徴とする請求項１に記載のデータ処理装置。
【請求項３】
前記第１プロセッサは、アプリケーションコンピュータプログラムを実行するアプリケーションプロセッサとして設計されていることを特徴とする請求項１または２に記載のデータ処理装置。
【請求項４】
前記第１プロセッサにより、オープンオペレーティングシステムが実行されることを特徴とする請求項１ないし３のいずれか１項に記載のデータ処理装置。
【請求項５】
前記オープンオペレーティングシステムは、オペレーティングシステム外の通信インタフェースを少なくとも１つ有することを特徴とする請求項４に記載のデータ処理装置。
【請求項６】
前記オープンオペレーティングシステムは、ＷＩＮＤＯＷＳ（マイクロソフト コーポレイションの登録商標）オペレーティングシステム、Ｌｉｎｕｘ（トルヴアルドズ リヌスの登録商標）オペレーティングシステム、ＵＮＩＸ（エックス／オープン・カンパニー・リミテッドの登録商標）オペレーティングシステム、ＳＹＭＢＩＡＮ（シンビアン リミテッドの登録商標）、および、ＪＡＶＡ（サン・マイクロシステムズ・インコーポレーテッドの登録商標）プラットフォームのいずれか１つであることを特徴とする請求項４または５に記載のデータ処理装置。
【請求項７】
前記第２プロセッサは、１つまたは複数のトラスティッドコンピュータプログラムのみを実行可能であるように設計されていることを特徴とする請求項１ないし６のいずれか１項に記載のデータ処理装置。
【請求項８】
前記トラスティッドコンピュータプログラムは、完全性が保証されたコンピュータプログラムであることを特徴とする請求項７に記載のデータ処理装置。
【請求項９】
前記完全性が保証されたコンピュータプログラムは、暗号化により完全性が保証されたコンピュータプログラムであることを特徴とする請求項８に記載のデータ処理装置。
【請求項１０】
トラスティッドコンピュータプログラムは、少なくとも１つのセキュリティ関連サービスを行うように設計されていることを特徴とする請求項７ないし９のいずれか１項に記載のデータ処理装置。
【請求項１１】
前記セキュリティ関連サービスは、暗号を用いたセキュリティサービスであることを特徴とする請求項１０に記載のデータ処理装置。
【請求項１２】
前記暗号を用いたセキュリティサービスは、少なくとも１つの暗号鍵を用いて行われることを特徴とする請求項１１に記載のデータ処理装置。
【請求項１３】
前記暗号を用いたセキュリティサービスは、少なくとも１つの秘密暗号鍵および／または少なくとも１つの公開暗号鍵を用いて行われることを特徴とする請求項１２に記載のデータ処理装置。
【請求項１４】
前記暗号を用いたセキュリティサービスは、デジタル署名、デジタル印章、認証、データ符号化、ログイン、アクセス制御、データ通信内のトラフィック分析の阻止、および、ハッシュ法の少なくともいずれか１つであることを特徴とする請求項１１ないし１３のいずれか１項に記載のデータ処理装置。
【請求項１５】
入力されたデータの少なくとも１部分を表示するためのデータ表示ユニットを備えていることを特徴とする請求項１ないし１４のいずれか１項に記載のデータ処理装置。
【請求項１６】
前記第２プロセッサは、前記第２データ入力モードでは入力されたデータを受信し、
入力されたデータとは異なるデータであって、入力されたデータのデータシンボルと等しい数のデータシンボルを有するデータを、前記第１プロセッサおよび／または前記データ表示ユニットに伝送するように設計されていることを特徴とする請求項１５に記載のデータ処理装置。
【請求項１７】
前記第２プロセッサから、前記第１プロセッサおよび／または前記データ表示ユニットに伝送されるデータは、一連の所定のデータシンボルであり、前記データシンボルの数は入力されるデータのデータシンボルの数に等しいことを特徴とする請求項１６に記載のデータ処理装置。
【請求項１８】
前記第２データ入力モードでは、前記第２プロセッサが、前記第１プロセッサおよび／または前記データ表示ユニットに、セキュリティモード表示情報を伝送するように、前記第２プロセッサが設計されていることを特徴とする請求項１５ないし１７のいずれか１項に記載のデータ処理装置。
【請求項１９】
前記セキュリティモード表示情報は、視覚情報および／または音声情報であることを特徴とする請求項１８に記載のデータ処理装置。
【請求項２０】
前記第１プロセッサから前記第２プロセッサへ、または、前記第２プロセッサから前記第１プロセッサへ、前記データ入力ユニットの制御が移行される際に、前記第１プロセッサと前記第２プロセッサとの間での通信を行うためのプセセッサ間連絡ユニットが設けられていることを特徴とする請求項１ないし１９のいずれか１項に記載のデータ処理装置。
【請求項２１】
前記第１データ入力モードで入力されたデータを前記第１プロセッサに伝送し、前記第２データ入力モードで入力されたデータを前記第２プロセッサに伝送するように設計された前記データ入力ユニットの駆動ユニットが設けられていることを特徴とする請求項１ないし１９のいずれか１項に記載のデータ処理装置。
【請求項２２】
前記データ入力ユニットの駆動ユニットは、前記第２データ入力モードで入力されたデータとは異なるデータであって、前記第２データ入力モードで入力されたデータのデータシンボルの数と等しい数のデータシンボルを有するデータを、前記第１プロセッサおよび／または前記データ表示ユニットに伝送するように設計されていることを特徴とする請求項２１に記載のデータ処理装置。
【請求項２３】
前記第１プロセッサおよび／または前記データ表示ユニットに伝送されるデータは、一連の所定のデータシンボルであり、前記データシンボルの数は、入力されたデータのデータシンボルの数に等しいことを特徴とする請求項２２に記載のデータ処理装置。
【請求項２４】
前記第２プロセッサは、デジタル信号プロセッサであることを特徴とする請求項１ないし２３のいずれか１項に記載のデータ処理装置。
【請求項２５】
前記第２プロセッサは、チップカードプロセッサとして設計されていることを特徴とする請求項１ないし２３のいずれか１項に記載のデータ処理装置。
【請求項２６】
前記第２プロセッサは、通信端末機器中の参加者識別モジュールに組み込まれていることを特徴とする請求項１ないし２３のいずれか１項に記載のデータ処理装置。
【請求項２７】
請求項１ないし２６のいずれか１項に記載のデータ処理装置を有する通信端末機器。
【請求項２８】
データ処理装置を用いてデータ処理を行うデータ処理方法であって、
データ入力ユニットを用いて、データを前記データ処理装置に入力する工程と、
第１プロセッサが、システムバスによって前記第１プロセッサに接続されるデータ入力ユニット周辺ブロックを介して前記データ入力ユニットを制御して、前記データ入力ユニットに入力されたデータの受信および処理を行う、第１データ入力モードを実行する工程と、
第２プロセッサが、前記システムバスによって前記第２プロセッサに接続される前記データ入力ユニット周辺ブロックを介して前記データ入力ユニットを制御して、前記データ入力ユニットに入力されたデータの受信および処理を行う、セキュリティ関連データを入力する第２データ入力モードを実行する工程と、
を含む方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１０−９２４８５（Ｐ２０１０−９２４８５Ａ）
【公開日】平成２２年４月２２日（２０１０．４．２２）
【国際特許分類】
【出願番号】特願２００９−２３４１５７（Ｐ２００９−２３４１５７）
【出願日】平成２１年１０月８日（２００９．１０．８）
【分割の表示】特願２００５−３７３５４１（Ｐ２００５−３７３５４１）の分割
【原出願日】平成１７年１２月２６日（２００５．１２．２６）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＧＳＭ
【出願人】（５０１２０９０７０）インフィネオン テクノロジーズ アクチエンゲゼルシャフト (331)
【Ｆターム（参考）】
【公開日】平成２２年４月２２日（２０１０．４．２２）
【国際特許分類】
【出願日】平成２１年１０月８日（２００９．１０．８）
【分割の表示】特願２００５−３７３５４１（Ｐ２００５−３７３５４１）の分割
【原出願日】平成１７年１２月２６日（２００５．１２．２６）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＧＳＭ
【出願人】（５０１２０９０７０）インフィネオン テクノロジーズ アクチエンゲゼルシャフト (331)
【Ｆターム（参考）】
[ Back to top ]