情報処理装置及びプログラム
【課題】トラステッドブートを行うコンピュータのセキュリティを向上させること。
【解決手段】自己の装置の起動（トラステッドブート）後の所定のタイミングで、起動制御手段が保持するＰＣＲ情報と、前記プラットフォーム情報取得手段が取得した現時点でのプラットフォーム情報との組を、真正性が保証された時点でのＰＣＲ情報とプラットフォーム情報との組を保持する管理サーバに送信することで、当該管理サーバに両組が一致するか否かの一致判定を要求し、不一致となったハードウェア構成及びソフトウェア構成の何れかの構成について、当該構成に応じた対処方法を指示した応答情報を、管理サーバから受信し、この応答情報に基づいて不一致となった構成を制御する。
【解決手段】自己の装置の起動（トラステッドブート）後の所定のタイミングで、起動制御手段が保持するＰＣＲ情報と、前記プラットフォーム情報取得手段が取得した現時点でのプラットフォーム情報との組を、真正性が保証された時点でのＰＣＲ情報とプラットフォーム情報との組を保持する管理サーバに送信することで、当該管理サーバに両組が一致するか否かの一致判定を要求し、不一致となったハードウェア構成及びソフトウェア構成の何れかの構成について、当該構成に応じた対処方法を指示した応答情報を、管理サーバから受信し、この応答情報に基づいて不一致となった構成を制御する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施の形態は、情報処理装置及びプログラムに関するものである。
【背景技術】
【０００２】
従来、コンピュータが有するプラットフォーム（ハードウェア構成及びソフトウェア構成）の信頼性を確保するため、ＴＰＭ（Trusted Platform Module）と呼ばれるセキュリティチップが用いられている。係るＴＰＭは、コンピュータの起動時に、予め保持しておいた自己の装置のプラットフォームのハッシュ値と、現時点でのプラットフォームのハッシュ値とを比較し、両ハッシュ値が一致した場合にのみ起動を行う“トラステッドブート”という仕組みを実現させる。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
しかしながら、従来の技術では、コンピュータの起動後において、不正に改変されたプラットフォームのハッシュ値をＴＰＭが保持してしまった場合これを検出することができず、セキュリティ上改善の余地があった。
【課題を解決するための手段】
【０００４】
実施の形態の情報処理装置は、起動制御手段と、プラットフォーム情報取得手段と、送信手段と、受信手段と、制御手段とを備える。起動制御手段は、自己の装置が具備するハードウェア構成及びソフトウェア構成の各要素を一意に特定可能なハッシュ値をＰＣＲ情報として予め保持し、自己の装置の起動時に取得した前記各要素ハッシュ値と前記ＰＣＲ情報とが一致した場合に、自己の装置の起動を許可する。プラットフォーム情報取得手段は、ハードウェア構成及びソフトウェア構成から、当該ハードウェア構成及びソフトウェア構成の各要素を示したプラットフォーム情報を取得する。送信手段は、自己の装置の起動後の所定のタイミングで、起動制御手段が保持するＰＣＲ情報と、プラットフォーム情報取得手段が取得した現時点でのプラットフォーム情報との組を、信頼性が確保された時点でのＰＣＲ情報とプラットフォーム情報との組を保持する管理サーバに送信し、この両組が一致するか否かの一致判定を管理サーバに要求する。受信手段は、一致判定の結果、不一致となった前記ハードウェア構成及び前記ソフトウェア構成の何れかの要素について、当該要素に応じた対処方法を指示した応答情報を管理サーバから受信する。制御手段は、応答情報に基づいて、不一致となった要素を制御する。
【図面の簡単な説明】
【０００５】
【図１】図１は、実施形態に係る情報処理システムの構成を模式的に示すブロック図である。
【図２】図２は、図１に示した管理テーブルのデータ構成の一例を示す図である。
【図３】図３は、ＰＣＲ情報及びプラットフォーム情報の登録時における情報処理システムの動作を示すフローチャートである。
【図４】図４は、図３に示した照合用ハッシュ値登録処理の手順を示すフローチャートである。
【図５】図５は、情報処理装置の起動時における情報処理システムの動作を示すフローチャートである。
【図６】図６は、図５に示した真正性確認処理の手順を示すフローチャートである。
【図７】図７は、情報処理装置のアプリケーション起動時における情報処理システムの動作を示すフローチャートである。
【図８】図８は、暗号鍵の再生成時における情報処理装置及びセキュリティデバイスの動作を示すフローチャートである。
【発明を実施するための形態】
【０００６】
図１は、本実施形態に係る情報処理システム１の構成を模式的に示すブロック図である。同図に示すように、情報処理システム１は、情報処理装置１０と、セキュリティデバイス２０と、管理サーバ３０とを有している。
【０００７】
情報処理装置１０は、ＰＣ（Personal Computer）やＰＯＳ端末等、真正性の保護対象となる情報処理装置であって、制御部１１、ＢＩＯＳ（Basic Input/Output System）１２、ＨＤＤ（Hard Disk Drive）１３、ＵＳＢインタフェース１４及びＬＡＮインタフェース１５等を備えている。
【０００８】
制御部１１は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）及びＲＡＭ（Random Access Memory）等で構成され、情報処理装置１０の各部の動作を統括的に制御する。
【０００９】
具体的に、制御部１１は、情報処理装置１０の起動時において、ＢＩＯＳ１２に記憶されたプログラムを実行することで、情報処理装置１０に搭載された各部を動作可能な状態とする。また、制御部１１は、ＢＩＯＳ１２を実行した後、セキュリティデバイス２０から送信されるコマンドに従いＨＤＤ１３に記憶されたＯＳ１３１を実行することで、アプリケーション１３２を実行可能な環境を提供する。
【００１０】
また、制御部１１は、アプリケーション１３２の起動に際し、後述するＰＣＲ情報を要求するコマンドをセキュリティデバイス２０に送信することで、セキュリティデバイス２０からＰＣＲ情報を取得する。そして、制御部１１は、管理サーバ３０から受信したＰＣＲ情報を、自己の装置を識別する端末識別情報と、プラットフォームを特定する後述するプラットフォーム情報とともに管理サーバ３０に送信する。
【００１１】
ここで、“端末識別情報”は、情報処理装置１０を識別可能な情報であって、例えば、ＬＡＮインタフェース１５に割り当てられたＩＰアドレスや、ネットワークＮでの情報処理装置１０のホストネームを用いることができる。また、“プラットフォーム”とは、アプリケーション１３２の動作環境を提供するための基盤であって、情報処理装置１０のハードウェア構成と、ＢＩＯＳ１２、ＯＳ１３１及びアプリケーション１３２等のソフトウェア構成とを組み合わせたものを意味する。
【００１２】
また、制御部１１は、端末識別情報、ＰＣＲ情報及びプラットフォーム情報の送信に伴い、管理サーバ３０から送信される応答情報の指示内容に従い、アプリケーション１３２の起動や情報処理装置１０の各部の動作を制御する。また、制御部１１は、セキュリティデバイス２０から送信される暗号鍵をＲＡＭ（図示せず）に保持することで、この暗号鍵を用いて所定のデータ（コマンド、ファイル、フォルダ等）の暗号化／復号化を行う。
【００１３】
ＢＩＯＳ１２は、情報処理装置１０を構成する各部を制御するためのプログラムを記憶している。ＨＤＤ１３は、情報処理装置１０の補助記憶装置であって、情報処理装置１０の基本ソフトウェアとなるＯＳ１３１や、所定の業務処理を実現させるためのプログラムであるアプリケーション１３２を記憶している。なお、ＨＤＤ１３内のデータが、後述する暗号鍵により暗号化されている形態としてもよい。
【００１４】
ＵＳＢインタフェース１４は、ＵＳＢ機器を着脱自在に接続するためのインタフェースであって、ＵＳＢ機器と制御部１１との間の通信を制御する。なお、本実施形態では、ＵＳＢインタフェース１４にセキュリティデバイス２０が接続された状態で使用されることを前提としている。
【００１５】
ＬＡＮインタフェース１５は、インターネットやイントラネット等のネットワークＮに接続するためのインタフェースであり、ネットワークＮに接続された管理サーバ３０と制御部１１との間の通信を制御する。
【００１６】
セキュリティデバイス２０は、情報処理装置１０のＵＳＢインタフェース１４に接続される耐タンパ性を有した外付けデバイスである。セキュリティデバイス２０は、情報処理装置１０の起動時にプラットフォームの真正性を確認することで、情報処理装置１０のトラステッドブートを実現させる。
【００１７】
図１に示すように、セキュリティデバイス２０は、制御部２１、ＴＰＭ２２、認証処理部２３及びＵＳＢインタフェース２４等を備えている。
【００１８】
制御部２１は、ＣＰＵ、ＲＯＭ及びＲＡＭ等により構成され、セキュリティデバイス２０の各部の動作を統括的に制御する。具体的に、制御部２１は、ＴＰＭ２２及び認証処理部２３と協働し、情報処理装置１０のプラットフォームの真正性確認に係る各種の処理を実行する。
【００１９】
また、制御部２１は、後述するＰＣＲ情報を要求するコマンドを情報処理装置１０から受け付けると、ＴＰＭ２２と協働することで、後述する記憶領域２２１に記憶されたＰＣＲ情報を読み出し情報処理装置１０に送信する。
【００２０】
ＴＰＭ２２は、ハードウェア耐タンパ性をもつセキュリティチップであって、コンピュータプラットフォームの真正性確認に係る各種の機能を有する。
【００２１】
具体的に、ＴＰＭ２２は、情報処理装置１０を構成する各機器や当該情報処理装置１０に接続された各機器（以下、総称して構成機器という）について、各構成機器を識別可能な製品名や製造番号等の固有情報からハッシュ値を算出する。ここで算出されたハッシュ値は、固有の値となるため現在の構成機器、つまりハードウェア構成を一意に特定することが可能となる。なお、ハッシュ値は、固有情報毎に算出する形態としてもよいし、複数の固有情報から一のハッシュ値を算出する形態としてもよい。また、セキュリティデバイス２０自身も情報処理装置１０の構成機器となるが、セキュリティデバイス２０自身の固有情報を含める形態としてもよいし、含めない形態としてもよい。
【００２２】
また、ＴＰＭ２２は、情報処理装置１０の制御部１１がプログラムとして実行するＢＩＯＳ１２、ＯＳ１３１及びアプリケーション１３２の各々について、そのプログラムのファイルイメージからハッシュ値を算出する。ここで算出されたハッシュ値は、固有の値となるためＢＩＯＳ１２、ＯＳ１３１及びアプリケーション１３２のそれぞれを一意に特定することが可能となる。
【００２３】
また、ＴＰＭ２２は、照合用となるハッシュ値の設定時（例えば、情報処理装置１０への初回接続時等）において、情報処理装置１０のハードウェア構成及びソフトウェア構成について算出した各ハッシュ値を記憶領域２２１に記憶する。ここで、記憶領域２２１は、書き換え可能な不揮発性の記憶媒体であって、ＰＣＲ（Platform Configuration Register）に相当する。以下、記憶領域２２１に記憶した、ハードウェア構成及びソフトウェア構成（ＢＩＯＳ１２、ＯＳ１３１、アプリケーション１３２）のハッシュ値を総称して“ＰＣＲ情報”という。
【００２４】
また、ＴＰＭ２２は、情報処理装置１０とのコマンド授受に必要な暗号鍵を生成する機能を有し、生成した暗号鍵を記憶領域２２１に記憶する。ここで、暗号鍵は、セキュリティデバイス２０と情報処理装置１０との間で授受するコマンドや、所定のデータ（ファイル、フォルダ）を暗号化／復号化するためのものである。
【００２５】
ここで、暗号化対象となるデータは特に問わないものとする。例えば、情報処理装置１０とセキュリティデバイス２０との間で授受される通信内容や、各種判定処理の判定結果、情報処理装置１０の制御部１１が行う処理内容等の履歴をログファイルとして記憶領域２１１や情報処理装置１０に出力するよう設定されている場合、このログファイルを暗号化の対象とする形態としてもよい。なお、暗号鍵の暗号方式及び生成方法は特に問わないものとするが、例えば、記憶領域２２１に記憶されたＰＣＲ情報（ハッシュ値）を用いて、暗号鍵を生成する形態としてもよい。
【００２６】
情報処理装置１０の起動時において、制御部２１はＴＰＭ２２と協働し、情報処理装置１０のハードウェア構成及びソフトウェア構成のそれぞれについてハッシュ値を算出すると、記憶領域２２１に記憶された対応するハッシュ値と比較し、一致するか否かを判定する。ここで、ＴＰＭ２２が全てのハッシュ値について一致を確認すると、制御部２１は、記憶領域２２１に記憶された暗号鍵を情報処理装置１０に送信することで、この暗号鍵を情報処理装置１０に保持させる。また、ＴＰＭ２２がハッシュ値の不一致を確認すると、制御部２１は、プラットフォームが改変されたと判断し、情報処理装置１０の起動又は使用を制限するエラー処理を実行する。
【００２７】
ここで、エラー処理は情報処理装置１０の起動や使用を制限するためのものであり、その制限方法は種々の形態が挙げられる。例えば、情報処理装置１０の起動処理をロックすることで、情報処理装置１０が立ち上がらないよう制御する形態としてもよい。また、情報処理装置１０及びＴＰＭ２２が保持する暗号鍵を消去するよう制御することで、該暗号鍵で暗号化されたデータへのアクセスを制限する形態としてもよい。また、情報処理装置１０のＨＤＤ１３に記憶されたアプリケーション１３２を削除するよう制御することで、該アプリケーション１３２の起動や使用を制限する形態としてもよい。
【００２８】
認証処理部２３は、制御部２１と協働することで、セキュリティデバイス２０の操作者が、予め定められた正規の操作者か否かを認証する。具体的に、認証処理部２３は、予め登録された正規操作者の認証情報を照合用認証情報として、不揮発性の記憶媒体である記憶領域２３１に記憶し、次回以降入力される認証情報をこの照合用認証情報と照合することで、正規操作者か否かを判定する。認証情報の不一致により、認証処理部２３がセキュリティデバイス２０の操作者が正規操作者でないと判定すると、制御部２１は上述したエラー処理を実行する。
【００２９】
なお、認証処理部２３の認証方式は特に問わず、公知の技術を用いることができる。例えば、図示しないテンキーやキーボードを介して入力されるユーザＩＤ及びパスワードの組を、認証情報として用いるパスワード認証方式としてもよい。また、操作者の指紋や顔画像、虹彩等の生体情報の読み取りを行う生体情報読取装置を別途備えることで、この生体情報を認証情報として用いるバイオメトリクス認証方式としてもよい。また、ＲＦＩＤリーダ装置を別途備え、このＲＦＩＤリーダ装置で読み取り可能なＲＦＩＤカードを操作者に配布しておくことで、このＲＦＩＤカードに記憶された情報を認証情報として用いる方式としてもよい。
【００３０】
ＵＳＢインタフェース２４は、情報処理装置１０と着脱自在に接続するためのインタフェースであって、情報処理装置１０と制御部２１との間の通信を制御する。また、ＵＳＢインタフェース２４は、情報処理装置１０から供給される電源を、セキュリティデバイス２０の各部に供給する。
【００３１】
管理サーバ３０は、ネットワークＮを介して情報処理装置１０に接続されるサーバー装置である。図１に示すように、管理サーバ３０は、制御部３１、ＨＤＤ３２及びＬＡＮインタフェース３３等を備えている。
【００３２】
制御部３１は、ＣＰＵ、ＲＯＭ及びＲＡＭ等で構成され、管理サーバ３０の各部の動作を統括的に制御する。具体的に、制御部３１は、ＬＡＮインタフェース３３を介して、情報処理装置１０から、端末識別情報、プラットフォーム情報及びＰＣＲ情報を含んだ登録要求を受け付けると、これらの情報を関連付け管理テーブル３２１に登録する。
【００３３】
図２は、管理テーブル３２１のデータ構成の一例を示す図である。同図に示すように、管理テーブル３２１は、端末識別情報が登録される領域と、プラットフォーム情報が登録される領域と、ＰＣＲ情報が登録される領域と、バックアッププログラムが登録される領域とから構成されている。ここで、プラットフォーム情報が登録される領域は、ハードウェア構成となる接続機器の各要素と、ソフトウェア構成となるＢＩＯＳ、ＯＳ及びアプリケーションの各要素とから構成され、各要素に対応する固有情報がそれぞれ登録される。また、プラットフォーム情報の各要素に関連付けて、対応するハッシュ値が登録される。
【００３４】
バックアッププログラムには、プラットフォーム情報に登録されたＢＩＯＳ、ＯＳ及びアプリケーションの要素の固有情報に対応するプログラム本体（以下、バックアッププログラムという）が関連付けて登録（バックアップ）されている。ここで、バックアッププログラムは、その真正性が確認されたものであるとする。なお、バックアッププログラムの登録方法は特に問わないものとする。例えば、ＢＩＯＳ、ＯＳ及びアプリケーションの要素の固有情報に基づいて、制御部３１が、これらのプログラムを提供する製造メーカ等の信頼性のおけるインターネットサイトからバックアッププログラムを取得し、管理テーブル３２１に登録する形態としてもよい。
【００３５】
なお、図２では、プラットフォーム情報として、ハードウェア構成及びソフトウェア構成の各要素の固有情報を保持する例を示しているが、これに限らず、他の情報を保持する形態としてもよい。例えば、情報処理装置１０において、アプリケーション１３２の設定に係る設定ファイルや、各種のログファイル等の保護対象とされたデータ（以下、保護データという）をプラットフォーム情報の一要素として保持する形態としてもよい。
【００３６】
図１に戻り、制御部３１は、情報処理装置１０から端末識別情報、プラットフォーム情報及びＰＣＲ情報を含んだ真正性の確認要求を受け付けると、この端末識別情報に関連付けられたプラットフォーム情報及びＰＣＲ情報を管理テーブル３２１から読み出す。そして、制御部３１は、情報処理装置１０から受け付けたプラットフォーム情報及びＰＣＲ情報と、管理テーブル３２１から読み出したハードウェア構成及びソフトウェア構成との対応する各要素について、その固有情報及びハッシュ値の両値を比較し、一致するか否かを判定する。また、情報処理装置１０から受け付けたプラットフォーム情報に保護データが含まれる場合には、管理テーブル３２１に登録された対応する保護データと比較し、一致するか否かを判定する。
【００３７】
ここで、制御部３１は、情報処理装置１０から送信されたハードウェア構成及びソフトウェア構成の全ての要素について、管理テーブル３２１に登録されたものとの一致を確認、即ちプラットフォームに改変が無いことを確認すると、その旨を指示する応答信号をセキュリティデバイス２０に送信する。
【００３８】
また、制御部３１は、情報処理装置１０から送信されたハードウェア構成及びソフトウェア構成のうち何れかの要素について不一致を確認すると、この不一致となった要素について、当該要素に応じた対処方法を指示した応答情報をセキュリティデバイス２０に送信する。
【００３９】
具体的に、制御部３１は、ハードウェア構成について不一致を確認した場合、情報処理装置１０のハードウェア構成が改変されたと判断する。この場合、制御部３１は、ハードウェア構成のうち不一致となった接続機器（例えば、情報処理装置１０のＵＳＢインタフェース１４に接続されたセキュリティデバイス２０以外の外部機器）の使用を禁止することを指示した指示内容を、応答情報としてセキュリティデバイス２０に送信する。
【００４０】
また、ＢＩＯＳについて不一致を確認した場合、制御部３１は、情報処理装置１０のＢＩＯＳ１２が改変されたと判断する。この場合、制御部３１は、ＢＩＯＳに関連付けられたバックアッププログラムとともに、当該バックアッププログラムを用いてＢＩＯＳ１２を復旧することを指示した指示内容を、応答情報として情報処理装置１０に送信する。なお、ＢＩＯＳ１２の改変により、アプリケーション１３２の機能が情報処理装置１０の正常動作に影響を及ぼす可能性がある場合、このアプリケーション１３２の機能の一部又は全てを禁止する指示内容を応答情報に含めることが好ましい。
【００４１】
また、ＯＳについて不一致を確認した場合、制御部３１は、情報処理装置１０のＯＳ１３１が改変されたと判断する。この場合、制御部３１は、ＯＳに関連付けられたバックアッププログラムとともに、当該バックアッププログラムを用いてＯＳ１３１を復旧することを指示した指示内容を、応答情報としてセキュリティデバイス２０に送信する。なお、ＯＳ１３１の改変により、アプリケーション１３２の機能が情報処理装置１０の正常動作に影響を及ぼす可能性がある場合、このアプリケーション１３２の機能の一部又は全てを禁止する指示内容を応答情報に含めることが好ましい。また、ＨＤＤ１３内のデータが暗号鍵により暗号化されている場合、この暗号鍵が盗まれている可能性もあるため、暗号鍵を再生成することを指示した指示内容を応答情報に含めることが好ましい。
【００４２】
また、アプリケーションについて不一致を確認した場合、制御部３１は、アプリケーション１３２が改変されたと判断する。この場合、制御部３１は、アプリケーションに関連付けられたバックアッププログラムとともに、当該バックアッププログラムを用いてアプリケーション１３２を復旧することを指示した指示内容を、応答情報としてセキュリティデバイス２０に送信する。また、アプリケーション１３２の改変により、このアプリケーション１３２自身の機能が情報処理装置１０の正常動作に影響を及ぼす可能性がある場合、このアプリケーション１３２の機能の一部又は全てを禁止する指示内容を応答情報として送信する形態としてもよい。また、ＨＤＤ１３内のデータが暗号鍵により暗号化されている場合、この暗号鍵が盗まれている可能性もあるため、暗号鍵を再生成することを指示した指示内容を応答情報に含めることが好ましい。
【００４３】
なお、保護データについて不一致を確認した場合、制御部３１は、情報処理装置１０の保護データが改変されたと判断し、管理テーブル３２１に登録された対応する保護データとともに、この保護データを用いて情報処理装置１０内の保護データを復旧（上書き）することを指示した指示内容を、応答情報としてセキュリティデバイス２０に送信する。
【００４４】
ＨＤＤ３２は、管理サーバ３０の補助記憶装置であって、制御部３１が実行するプログラム（ＯＳや各種アプリケーションを含む）や、上述した管理テーブル３２１を記憶している。
【００４５】
ＬＡＮインタフェース３３は、インターネットやイントラネット等のネットワークＮに接続するためのインタフェースであり、ネットワークＮに接続された情報処理装置１０と制御部３１との間の通信を制御する。
【００４６】
次に、図３〜図８を参照して、情報処理システム１の動作について説明する。ここで、図３は、ＰＣＲ情報及びプラットフォーム情報の登録時における情報処理システム１の動作を示すフローチャートである。なお、本処理の前提として、情報処理装置１０の電源がオフ状態にあるものとする。また、セキュリティデバイス２０及び管理サーバ３０は、情報処理装置１０に接続されているものとする。
【００４７】
まず、情報処理装置１０の電源がオンとされ、この情報処理装置１０の各部に電源が供給されると、制御部１１は情報処理装置１０の起動を開始する（ステップＳ１１）。また、情報処理装置１０の電源オンに伴い、ＵＳＢインタフェース１４を通じて供給される電源により、セキュリティデバイス２０が起動する（ステップＳ２１）。
【００４８】
セキュリティデバイス２０が起動すると、制御部２１は、認証処理部２３の動作を制御し、情報処理装置１０の操作者から入力される認証情報の受付を開始させる。認証処理部２３は、認証情報の入力を受け付けると（ステップＳ２２）、記憶領域２３１に記憶された照合用認証情報と比較し（ステップＳ２３）、両認証情報が一致するか否かを判定する（ステップＳ２４）。ここで、認証処理部２３が不一致と判定した場合（ステップＳ２４；Ｎｏ）、制御部２１は、正規の操作者以外の者が操作していると判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ２５）、本処理を終了する。
【００４９】
また、ステップＳ２４において、認証処理部２３が一致と判定した場合（ステップＳ２４；Ｙｅｓ）、制御部２１は、正規の操作者が操作していると判断し、ステップＳ２６の処理に移行する。
【００５０】
一方、情報処理装置１０では、制御部１１がＢＩＯＳ１２を起動し（ステップＳ１２）、この起動が完了すると情報処理装置１０の各部は動作可能な状態となる。これにより、ＵＳＢインタフェース１４とＵＳＢインタフェース２４との間の通信が確立する。なお、続くＯＳ１３１の起動は、セキュリティデバイス２０からのコマンドに応じて行うことになるため、制御部１１は、ＯＳ１３１の起動を保留する。
【００５１】
セキュリティデバイス２０では、制御部２１がＵＳＢインタフェース間の通信の確立を検出すると（ステップＳ２６）、ＴＰＭ２２と協働することで照合用ハッシュ値登録処理を実行する（ステップＳ２７）。以下、図４を参照して、ステップＳ２７の照合用ハッシュ値登録処理について説明する。
【００５２】
図４は、照合用ハッシュ値登録処理の手順を示すフローチャートである。まず、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０を構成する各構成機器の固有情報を検出すると（ステップＳ２７１１）、この検出結果をＴＰＭ２２に出力することでハッシュ値を各々算出させる（ステップＳ２７１２）。そして、制御部２１は、ステップＳ２７１２で算出されたハッシュ値を、ハードウェア構成のハッシュ値としてＴＰＭ２２の記憶領域２２１に記憶する（ステップＳ２７１３）。
【００５３】
続いて、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０が保持するＢＩＯＳ１２のファイルイメージを検出すると（ステップＳ２７１４）、この検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ２７１５）。そして、制御部２１は、ステップＳ２７１５で算出されたハッシュ値を、ＢＩＯＳ１２のハッシュ値としてＴＰＭ２２の記憶領域２２１に記憶する（ステップＳ２７１６）。
【００５４】
続いて、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０のＨＤＤ１３に記憶されたＯＳ１３１のファイルイメージを検出すると（ステップＳ２７１７）、この検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ２７１８）。そして、制御部２１は、ステップＳ２７１８で算出されたハッシュ値を、ＯＳ１３１のハッシュ値としてＴＰＭ２２の記憶領域２２１に記憶する（ステップＳ２７１９）。
【００５５】
続いて、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０のＨＤＤ１３に記憶されたアプリケーション１３２のファイルイメージを検出すると（ステップＳ２７２０）、この検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ２７２１）。そして、制御部２１は、ステップＳ２７２１で算出されたハッシュ値を、アプリケーション１３２のハッシュ値としてＴＰＭ２２の記憶領域２２１に記憶する（ステップＳ２７２２）。なお、ステップＳ２７１６、Ｓ２７１９及びＳ２７２２で記憶領域２２１に記憶された各ハッシュ値は、情報処理装置１０のソフトウェア構成を一意に特定するものとなる。
【００５６】
次いで、制御部２１はＴＰＭ２２と協働することで、暗号鍵を生成すると（ステップＳ２７２３）、この生成した暗号鍵をＴＰＭ２２の記憶領域２２１に記憶し（ステップＳ２７２４）、図３のステップＳ２８に移行する。
【００５７】
図３に戻り、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶された暗号鍵を読み出すと、ＵＳＢインタフェース２４を介して情報処理装置１０に送信する（ステップＳ２８）。一方、情報処理装置１０では、制御部１１がＵＳＢインタフェース１４を介してセキュリティデバイス２０から暗号鍵を受け付けると、この暗号鍵をＲＡＭに保持する（ステップＳ１１３）。これにより、制御部１１は、ＲＡＭに保持した暗号鍵を用いることで、この暗号鍵により暗号化されたコマンドや各種データの暗号化／復号化が可能となる。
【００５８】
また、セキュリティデバイス２０では、情報処理装置１０に暗号鍵を送信すると、制御部２１は、ＴＰＭ２２の記憶領域２２１に記憶された暗号鍵を用いて、ＯＳ１３１の起動を指示するコマンドを暗号化し、この暗号化済みのコマンドを情報処理装置１０へ送信する（ステップＳ２９）。
【００５９】
一方、情報処理装置１０では、制御部１１がステップＳ２９で送信された暗号化済みのコマンドを受け付けると、ＲＡＭに保持した暗号鍵を用いてコマンドを復号する（ステップＳ１４）。次いで、制御部１１は、復号したコマンドに従い、ＨＤＤ１３に記憶されたＯＳ１３１を起動する（ステップＳ１５）。
【００６０】
また、セキュリティデバイス２０では、情報処理装置１０のＯＳ１３１が起動すると、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶されたハードウェア構成及びソフトウェア構成（ＢＩＯＳ、ＯＳ、アプリケーション）の各ハッシュ値をＰＣＲ情報として取得する（ステップＳ３０）。次いで、制御部２１は、ＰＣＲ情報を管理サーバ３０への送信を指示するコマンドとともに暗号鍵で暗号化し、情報処理装置１０へ送信する（ステップＳ３１）。
【００６１】
情報処理装置１０では、制御部１１が、ステップＳ３１で送信されたＰＣＲ情報及びコマンドを受け付けると、ＲＡＭに保持した暗号鍵を用いて復号する（ステップＳ１６）。次いで、制御部１１は、復号したコマンドに従い、自己の装置のハードウェア構成及びソフトウェア構成の各要素が有する固有情報をプラットフォーム情報として取得する（ステップＳ１７）。そして、制御部１１は、端末識別情報、ＰＣＲ情報及びプラットフォーム情報とともに、これらの情報の登録要求を管理サーバ３０へ送信する（ステップＳ１８）。なお、ステップＳ１７の処理において、情報処理装置１０の保護データをプラットフォーム情報に含める形態としてもよい。
【００６２】
一方、管理サーバ３０では、制御部３１が、情報処理装置１０から送信された端末識別情報、ＰＣＲ情報及びプラットフォーム情報の登録要求を受け付けると、これらの情報を関連付けて管理テーブル３２１に登録し（ステップＳ４１）、本処理を終了する。
【００６３】
上記の処理で管理サーバ３０の管理テーブル３２１に登録されたＰＣＲ情報及びプラットフォーム情報は、以下に説明する各処理において、情報処理装置１０の信頼性が確保された時点でのＰＣＲ情報及びプラットフォーム情報として取り扱われる。
【００６４】
次に、図５を参照して、情報処理装置１０の起動時の動作について説明する。ここで、図５は、情報処理装置１０の起動時における情報処理システム１の動作を示すフローチャートである。なお、本処理の前提として、情報処理装置１０の電源がオフ状態にあるものとする。また、セキュリティデバイス２０は、情報処理装置１０に接続されているものとする。
【００６５】
ステップＳ５１、Ｓ５２及びステップＳ６１〜Ｓ６６は、上述したステップＳ１１、Ｓ１２及びステップＳ２１〜Ｓ２８と同様の処理であるため説明を省略する。セキュリティデバイス２０では、ＵＳＢインタフェース間の通信確立を検出すると、制御部２１はＴＰＭ２２と協働し、真正性確認処理を実行する（ステップＳ６７）。以下、図６を参照して、ステップＳ６７の真正性確認処理について説明する。
【００６６】
図６は、真正性確認処理の手順を示すフローチャートである。まず、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０を構成する各構成機器の固有情報を検出すると（ステップＳ６７１１）、この検出結果をＴＰＭ２２に出力することでハッシュ値を各々算出させる（ステップＳ６７１２）。
【００６７】
次いで、制御部２１はＴＰＭ２２と協働し、ステップＳ６７１２で算出されたハッシュ値と、記憶領域２２１に記憶されたハードウェア構成のハッシュ値とを比較し（ステップＳ６７１３）、両ハッシュ値が一致するか否かを判定する（ステップＳ６７１４）。ここで、両ハッシュ値が不一致と判定すると（ステップＳ６７１４；Ｎｏ）、制御部２１は、情報処理装置１０の構成機器が改変されたと判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ６７２７）、本処理を終了する。
【００６８】
また、ステップＳ６７１４において、両ハッシュ値が一致と判定すると（ステップＳ６７１４；Ｙｅｓ）、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０が保持するＢＩＯＳ１２のファイルイメージを検出する（ステップＳ６７１５）。次いで、制御部２１は、検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ６７１６）。
【００６９】
次いで、制御部２１はＴＰＭ２２と協働し、ステップＳ６７１６で算出されたハッシュ値と、記憶領域２２１に記憶されたＢＩＯＳ１２のハッシュ値とを比較し（ステップＳ６７１７）、両ハッシュ値が一致するか否かを判定する（ステップＳ６７１８）。ここで、両ハッシュ値が不一致と判定すると（ステップＳ６７１８；Ｎｏ）、制御部２１は、情報処理装置１０のＢＩＯＳ１２が改変されたと判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ６７２７）、本処理を終了する。
【００７０】
また、ステップＳ６７１８において、両ハッシュ値が一致と判定すると（ステップＳ６７１８；Ｙｅｓ）、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０のＨＤＤ１３に記憶されたＯＳ１３１のファイルイメージを検出する（ステップＳ６９１９）。次いで、制御部２１は、検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ６７２０）。
【００７１】
次いで、制御部２１はＴＰＭ２２と協働し、ステップＳ６７２０で算出されたハッシュ値と、記憶領域２２１に記憶されたＯＳ１３１のハッシュ値とを比較し（ステップＳ６７２１）、両ハッシュ値が一致するか否かを判定する（ステップＳ６７２２）。ここで、両ハッシュ値が不一致と判定すると（ステップＳ６７２２；Ｎｏ）、制御部２１は、情報処理装置１０のＯＳ１３１が改変されたと判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ６７２７）、本処理を終了する。
【００７２】
また、ステップＳ６７２２において、両ハッシュ値が一致と判定すると（ステップＳ６７２２；Ｙｅｓ）、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０のＨＤＤ１３に記憶されたアプリケーション１３２のファイルイメージを検出する（ステップＳ６７２３）。次いで、制御部２１は、検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ６７２４）。
【００７３】
次いで、制御部２１はＴＰＭ２２と協働し、ステップＳ６７２４で算出されたハッシュ値と、記憶領域２２１に記憶されたアプリケーション１３２のハッシュ値とを比較し（ステップＳ６７２５）、両ハッシュ値が一致するか否かを判定する（ステップＳ６７２６）。ここで、両ハッシュ値が不一致と判定すると（ステップＳ６７２６；Ｎｏ）、制御部２１は、情報処理装置１０のアプリケーション１３２が改変されたと判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ６７２７）、本処理を終了する。また、ステップＳ６７２６において、両ハッシュ値が一致と判定すると（ステップＳ６７２６；Ｙｅｓ）、図５のステップＳ６８に移行する。
【００７４】
図５に戻り、制御部２１はＴＰＭ２２と協働し、ＴＰＭ２２の記憶領域２２１に記憶された暗号鍵を、ＵＳＢインタフェース２４を介して情報処理装置１０に送信する（ステップＳ６８）。情報処理装置１０では、制御部１１がセキュリティデバイス２０から暗号鍵を受け付けると、この暗号鍵をＲＡＭ（図示せず）に保持する（ステップＳ５３）。
【００７５】
また、セキュリティデバイス２０では、情報処理装置１０に暗号鍵を送信すると、制御部２１は、ＴＰＭ２２の記憶領域２２１に記憶された暗号鍵を用いて、ＯＳ１３１の起動を指示するコマンドを暗号化し、この暗号化済みのコマンドを情報処理装置１０へ送信する（ステップＳ６９）。
【００７６】
一方、情報処理装置１０では、制御部１１がステップＳ６９で送信された暗号化済みのコマンドを受け付けると、ＲＡＭに保持した暗号鍵を用いてコマンドを復号する（ステップＳ５４）。次いで、制御部１１は、復号したコマンドに従い、ＨＤＤ１３に記憶されたＯＳ１３１を起動する（ステップＳ５５）。
【００７７】
このように、セキュリティデバイス２０では、情報処理装置１０の起動時に、情報処理装置１０が具備するハードウェア構成及びソフトウェア構成の真正性を確認し、この真正性が保持されていると判断した場合のみ、情報処理装置１０の起動を許可するよう制御する。これにより、情報処理装置１０のプラットフォーム（ハードウェア構成及びソフトウェア構成）が所定の構成から改変されていた場合に、情報処理装置１０が不用意に起動してしまうことを防止することができるため、情報処理装置１０のセキュリティを向上させることができる。
【００７８】
次に、図７を参照して、情報処理装置１０がアプリケーション１３２を実行する際の情報処理システム１の動作について説明する。図７は、情報処理装置１０のアプリケーション起動時における情報処理システム１の動作を示すフローチャートである。なお、本処理の前提として、情報処理装置１０及びセキュリティデバイス２０は、図５の処理で真正性の確認が正常に終了した状態にあるものとする。
【００７９】
まず、情報処理装置１０の制御部１１は、ＨＤＤ１３に記憶されたアプリケーション１３２の起動に先立つ起動準備として（ステップＳ７１）、ＰＣＲ情報を要求するコマンドを暗号鍵で暗号化すると、この暗号化済みのコマンドをセキュリティデバイス２０へ送信する（ステップＳ７２）。なお、アプリケーション１３２の起動は、情報処理装置１０の操作者から指示される形態としてもよいし、制御部１１が自動で起動する形態としてもよい。
【００８０】
一方、セキュリティデバイス２０では、制御部２１がＴＰＭ２２と協働し、ステップＳ７２で情報処理装置１０から送信されたコマンドを記憶領域２２１の暗号鍵で復号すると（ステップＳ８１）、このコマンドの指示内容に従い、記憶領域２２１に記憶されたハードウェア構成及びソフトウェア構成の各ハッシュ値をＰＣＲ情報として読み出す（ステップＳ８２）。次いで、制御部２１は、読み出したＰＣＲ情報を記憶領域２２１の暗号鍵で暗号化した後、情報処理装置１０へ送信する（ステップＳ８３）。
【００８１】
情報処理装置１０では、制御部１１がＲＡＭに保持した暗号鍵を用いて、ステップＳ８３でセキュリティデバイス２０から送信されたＰＣＲ情報を復号する（ステップＳ７３）。次いで、制御部１１は、自己の装置のハードウェア構成及びソフトウェア構成の各要素が有する固有情報をプラットフォーム情報として取得する（ステップＳ７４）。続いて、制御部１１は、端末識別情報と、ＰＣＲ情報と、プラットフォーム情報とを含んだ真正性の確認要求を管理サーバ３０へ送信する（ステップＳ７５）。なお、ステップＳ７４の処理において、情報処理装置１０の保護データをプラットフォーム情報に含める形態としてもよい。
【００８２】
一方、管理サーバ３０では、制御部３１が、情報処理装置１０から確認要求を受け付けると、この確認要求に含まれたＰＣＲ情報及びプラットフォーム情報と、この確認要求に含まれた端末識別情報に対応する管理テーブル３２１のＰＣＲ情報及びプラットフォーム情報とを比較し（ステップＳ９１）、対応する要素同士が一致するか否かを判定する（ステップＳ９２）。
【００８３】
ここで、制御部３１は、ハードウェア構成及びソフトウェア構成の全ての要素について一致を確認すると（ステップＳ９２；Ｙｅｓ）、情報処理装置１０のプラットフォームの真正性が保持されていると判断し、その旨を示した応答情報を情報処理装置１０に送信する（ステップＳ９３）。また、ステップＳ９２において、ハードウェア構成及びソフトウェア構成のうち何れかの要素について不一致を確認すると（ステップＳ９２；Ｎｏ）、制御部３１は、この不一致となった要素について、当該要素に応じた対象方法を指示した応答情報を、セキュリティデバイス２０に送信する（ステップＳ９４）。
【００８４】
情報処理装置１０では、管理サーバ３０から応答情報を受け付けると、制御部１１は、この応答情報が真正性の保持を指示するものか否かを判定する（ステップＳ７６）。ここで、真正性の保持を示すものと判定した場合（ステップＳ７６；Ｙｅｓ）、制御部１１は、アプリケーション１３２を起動し（ステップＳ７７）、本処理を終了する。
【００８５】
一方、ステップＳ７６において、応答情報が真正性の保持を指示するもの以外と判定した場合、即ち、プラットフォームの改変が通知された場合には、制御部１１は、この応答情報で指示された指示内容に従い、自己の装置を保護するための対応処理を実行する（ステップＳ７８）。
【００８６】
ここで、ステップＳ７８の対応処理の内容は、応答情報で指示された指示内容に準じたものとなる。例えば、指示内容が、特定の接続機器の使用を禁止することを指示するものである場合、制御部１１は、指定された接続機器を認識しないよう無効化することで、情報処理装置１０の操作者が使用できないよう制御する。これにより、不正なデバイスが情報処理装置１０に接続された場合であっても、このデバイスの使用を抑制することができるため、情報処理装置１０のセキュリティを向上させることができる。
【００８７】
また、指示内容が、特定のプログラム（ＢＩＯＳ１２、ＯＳ１３１又はアプリケーション１３２）の復旧を指示するものである場合、制御部１１は、この指示内容とともに受け付けたバックアッププログラムを用いて指定されたプログラムの復旧を行う。ここで、復旧とは、バックアッププログラムの再導入（インストール）や、バックアッププログラムでの上書き等を意味する。
【００８８】
なお、指示データが、保護データの復旧を指示するものである場合、制御部１１は、この指示内容とともに受け付けた保護データを用いて、既存の保護データを上書する。
【００８９】
これにより、プログラムの改竄や不正なプログラムへの置き換えが行われ、このプログラムのハッシュ値がセキュリティデバイス２０の記憶領域２２１に登録されてしまった場合であっても、正規のプログラムに復旧することができるため、不正なプログラムが実行されてしまうことを抑制することができる。なお、この場合、セキュリティデバイス２０が保持するソフトウェア構成のハッシュ値も不正なプログラムを特定するものとなっているため、復旧後のプログラムのハッシュ値を記憶領域２２１に登録することを指示したコマンドを、制御部１１がセキュリティデバイス２０に送信することが好ましい。
【００９０】
また、指示内容が、アプリケーション１３２の実行を一部制限又は禁止するものである場合、制御部１１は、ステップＳ７１で起動準備を行ったアプリケーション１３２が有する機能の一部又は全てを無効化するよう制御する。これにより、情報処理装置１０の正常動作に影響を及ぼす可能性のある、アプリケーション１３２の機能の一部又は全てを無効化することができるため、情報処理装置１０のセキュリティを向上させることができる。
【００９１】
また、指示内容が、暗号鍵の再生成を指示したものである場合、制御部１１は、暗号鍵の再生成を依頼するコマンドを生成し暗号鍵を用いて暗号化すると、セキュリティデバイス２０へ送信する。以下、図８を参照して、暗号鍵の再生成を行う際の情報処理装置１０とセキュリティデバイス２０の動作について説明する。
【００９２】
図８は、暗号鍵の再生成時における情報処理装置１０及びセキュリティデバイス２０の動作を示すフローチャートである。まず、情報処理装置１０では、制御部１１が暗号鍵の再生成を指示する応答情報を受け付けると（ステップＳ１０１）、暗号鍵の再生成を要求するコマンドを暗号鍵で暗号化し、セキュリティデバイス２０へ送信する（ステップＳ１０２）。
【００９３】
一方、セキュリティデバイス２０では、ステップＳ１０２で送信された暗号化済みのコマンドを受け付けると、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶された暗号鍵を用いて復号する（ステップＳ１１１）。続いて、制御部２１は、ステップＳ１１１で復号したコマンドの指示内容に従い、以下の処理を実行する。まず、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶された既存の暗号鍵を用いることで、暗号化対象とされた所定のデータを復号する（ステップＳ１１２）。
【００９４】
次いで、制御部２１はＴＰＭ２２と協働し、新たな暗号鍵を生成すると（ステップＳ１１３）、この暗号鍵を記憶領域２２１に記憶（上書き）する（ステップＳ１１４）。続いて、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶した新たな暗号鍵を用いて、暗号化対象とされた所定のデータを暗号化する（ステップＳ１１５）。そして、制御部２１は、記憶領域２２１に記憶した新たな暗号鍵を情報処理装置１０に送信し（ステップＳ１１６）、処理を終了する。
【００９５】
情報処理装置１０では、セキュリティデバイス２０から送信された新たな暗号鍵を受け付けると、制御部１１は、この暗号鍵をＲＡＭに保持し（ステップＳ１０３）、処理を終了する。
【００９６】
これにより、制御部１１では、新たな暗号鍵を用いてデータの暗号化／復号化を行うことが可能となる。また、既存の暗号鍵で暗号化されていたデータを該暗号鍵で復号した後、新たな暗号鍵で暗号化を行うため、このデータを引き続き利用することができる。なお、セキュリティデバイス２０にて暗号鍵の生成を行う前に（ステップＳ１１２の前）、認証処理部２３にて正規操作者か否か確認を行う処理を含める形態としてもよい。
【００９７】
図７に戻り、制御部２１は、ステップＳ７８の対応処理を実行すると、この対応処理を実行した条件の下で、アプリケーション１３２を起動し（ステップＳ７９）、本処理を終了する。
【００９８】
以上のように、本実施形態によれば、情報処理装置１０の起動（トラステッドブート
）後の所定のタイミングで、セキュリティデバイス２０のＰＣＲ情報と情報処理装置１０のプラットフォーム情報とを管理サーバ３０に送信する。また、管理サーバ３０は、情報処理装置１０から送信されたＰＣＲ情報とプラットフォーム情報との組を、真正性が保証された時点でのＰＣＲ情報とプラットフォーム情報との組と比較し、不一致となった前記ハードウェア構成及び前記ソフトウェア構成の何れかの要素について、その対処方法を指示した応答情報を情報処理装置１０に送信する。情報処理装置１０では、管理サーバ３０から提供された応答情報に基づき、情報処理装置１０を保護するための制御を不一致となった構成に施す。
【００９９】
これにより、情報処理装置１０のプラットフォームが改変され、且つこの改変された状態のハッシュ値が、セキュリティデバイス２０のＰＣＲ情報として記憶されてしまった場合であっても、管理サーバ３０が提供する応答情報に基づいて情報処理装置１０を保護することができるため、情報処理装置１０のセキュリティを向上させることができる。
【０１００】
また、本実施形態では、情報処理装置１０の起動時において、そのプラットフォームの真正性の確認をセキュリティデバイス２０が行うため、情報処理装置１０にセキュリティチップ（ＴＰＭ）が実装されていない場合あっても、セキュリティデバイス２０を接続することでトラステッドブートを実現することができる。
【０１０１】
以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく、本発明の主旨を逸脱しない範囲での種々の変更、置換、追加等が可能である。
【０１０２】
例えば、上記実施形態では、セキュリティデバイス２０において、制御部２１とＴＰＭ２２とが独立的に設けられた例を説明したが、制御部２１がＴＰＭ２２の機能を一体的に有する形態としてもよい。
【０１０３】
また、上記実施形態では、情報処理装置１０のセキュリティチップ（ＴＰＭ２２）を、外付けのセキュリティデバイス２０に搭載する形態としたが、これに限らず、セキュリティデバイス２０の各部を、情報処理装置１０自体が搭載する形態としてもよい。なお、この形態の場合、情報処理装置１０の制御部１１は、セキュリティデバイス２０の制御部２１と同様の機能を有するものとする。
【０１０４】
また、上記実施形態では、情報処理装置１０の制御部１１は、アプリケーション１３２の実行に際して図７の動作を行う形態としたが、これに限らず、情報処理装置１０の起動後の任意のタイミングで行う形態としてもよい。
【符号の説明】
【０１０５】
１ 情報処理システム
１０ 情報処理装置
１１ 制御部
１２ ＢＩＯＳ
１３ ＨＤＤ
１３１ ＯＳ
１３２ アプリケーション
１４ ＵＳＢインタフェース
１５ ＬＡＮインタフェース
２０ セキュリティデバイス
２１ 制御部
２１１ 記憶領域
２２ ＴＰＭ
２２１ 記憶領域
２３ 認証処理部
２３１ 記憶領域
２４ ＵＳＢインタフェース
３０ 管理サーバ
３１ 制御部
３２ ＨＤＤ
３２１ 管理テーブル
３３ ＬＡＮインタフェース
Ｎ ネットワーク
【先行技術文献】
【特許文献】
【０１０６】
【特許文献１】特許第３７７７１７０号
【技術分野】
【０００１】
本発明の実施の形態は、情報処理装置及びプログラムに関するものである。
【背景技術】
【０００２】
従来、コンピュータが有するプラットフォーム（ハードウェア構成及びソフトウェア構成）の信頼性を確保するため、ＴＰＭ（Trusted Platform Module）と呼ばれるセキュリティチップが用いられている。係るＴＰＭは、コンピュータの起動時に、予め保持しておいた自己の装置のプラットフォームのハッシュ値と、現時点でのプラットフォームのハッシュ値とを比較し、両ハッシュ値が一致した場合にのみ起動を行う“トラステッドブート”という仕組みを実現させる。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
しかしながら、従来の技術では、コンピュータの起動後において、不正に改変されたプラットフォームのハッシュ値をＴＰＭが保持してしまった場合これを検出することができず、セキュリティ上改善の余地があった。
【課題を解決するための手段】
【０００４】
実施の形態の情報処理装置は、起動制御手段と、プラットフォーム情報取得手段と、送信手段と、受信手段と、制御手段とを備える。起動制御手段は、自己の装置が具備するハードウェア構成及びソフトウェア構成の各要素を一意に特定可能なハッシュ値をＰＣＲ情報として予め保持し、自己の装置の起動時に取得した前記各要素ハッシュ値と前記ＰＣＲ情報とが一致した場合に、自己の装置の起動を許可する。プラットフォーム情報取得手段は、ハードウェア構成及びソフトウェア構成から、当該ハードウェア構成及びソフトウェア構成の各要素を示したプラットフォーム情報を取得する。送信手段は、自己の装置の起動後の所定のタイミングで、起動制御手段が保持するＰＣＲ情報と、プラットフォーム情報取得手段が取得した現時点でのプラットフォーム情報との組を、信頼性が確保された時点でのＰＣＲ情報とプラットフォーム情報との組を保持する管理サーバに送信し、この両組が一致するか否かの一致判定を管理サーバに要求する。受信手段は、一致判定の結果、不一致となった前記ハードウェア構成及び前記ソフトウェア構成の何れかの要素について、当該要素に応じた対処方法を指示した応答情報を管理サーバから受信する。制御手段は、応答情報に基づいて、不一致となった要素を制御する。
【図面の簡単な説明】
【０００５】
【図１】図１は、実施形態に係る情報処理システムの構成を模式的に示すブロック図である。
【図２】図２は、図１に示した管理テーブルのデータ構成の一例を示す図である。
【図３】図３は、ＰＣＲ情報及びプラットフォーム情報の登録時における情報処理システムの動作を示すフローチャートである。
【図４】図４は、図３に示した照合用ハッシュ値登録処理の手順を示すフローチャートである。
【図５】図５は、情報処理装置の起動時における情報処理システムの動作を示すフローチャートである。
【図６】図６は、図５に示した真正性確認処理の手順を示すフローチャートである。
【図７】図７は、情報処理装置のアプリケーション起動時における情報処理システムの動作を示すフローチャートである。
【図８】図８は、暗号鍵の再生成時における情報処理装置及びセキュリティデバイスの動作を示すフローチャートである。
【発明を実施するための形態】
【０００６】
図１は、本実施形態に係る情報処理システム１の構成を模式的に示すブロック図である。同図に示すように、情報処理システム１は、情報処理装置１０と、セキュリティデバイス２０と、管理サーバ３０とを有している。
【０００７】
情報処理装置１０は、ＰＣ（Personal Computer）やＰＯＳ端末等、真正性の保護対象となる情報処理装置であって、制御部１１、ＢＩＯＳ（Basic Input/Output System）１２、ＨＤＤ（Hard Disk Drive）１３、ＵＳＢインタフェース１４及びＬＡＮインタフェース１５等を備えている。
【０００８】
制御部１１は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）及びＲＡＭ（Random Access Memory）等で構成され、情報処理装置１０の各部の動作を統括的に制御する。
【０００９】
具体的に、制御部１１は、情報処理装置１０の起動時において、ＢＩＯＳ１２に記憶されたプログラムを実行することで、情報処理装置１０に搭載された各部を動作可能な状態とする。また、制御部１１は、ＢＩＯＳ１２を実行した後、セキュリティデバイス２０から送信されるコマンドに従いＨＤＤ１３に記憶されたＯＳ１３１を実行することで、アプリケーション１３２を実行可能な環境を提供する。
【００１０】
また、制御部１１は、アプリケーション１３２の起動に際し、後述するＰＣＲ情報を要求するコマンドをセキュリティデバイス２０に送信することで、セキュリティデバイス２０からＰＣＲ情報を取得する。そして、制御部１１は、管理サーバ３０から受信したＰＣＲ情報を、自己の装置を識別する端末識別情報と、プラットフォームを特定する後述するプラットフォーム情報とともに管理サーバ３０に送信する。
【００１１】
ここで、“端末識別情報”は、情報処理装置１０を識別可能な情報であって、例えば、ＬＡＮインタフェース１５に割り当てられたＩＰアドレスや、ネットワークＮでの情報処理装置１０のホストネームを用いることができる。また、“プラットフォーム”とは、アプリケーション１３２の動作環境を提供するための基盤であって、情報処理装置１０のハードウェア構成と、ＢＩＯＳ１２、ＯＳ１３１及びアプリケーション１３２等のソフトウェア構成とを組み合わせたものを意味する。
【００１２】
また、制御部１１は、端末識別情報、ＰＣＲ情報及びプラットフォーム情報の送信に伴い、管理サーバ３０から送信される応答情報の指示内容に従い、アプリケーション１３２の起動や情報処理装置１０の各部の動作を制御する。また、制御部１１は、セキュリティデバイス２０から送信される暗号鍵をＲＡＭ（図示せず）に保持することで、この暗号鍵を用いて所定のデータ（コマンド、ファイル、フォルダ等）の暗号化／復号化を行う。
【００１３】
ＢＩＯＳ１２は、情報処理装置１０を構成する各部を制御するためのプログラムを記憶している。ＨＤＤ１３は、情報処理装置１０の補助記憶装置であって、情報処理装置１０の基本ソフトウェアとなるＯＳ１３１や、所定の業務処理を実現させるためのプログラムであるアプリケーション１３２を記憶している。なお、ＨＤＤ１３内のデータが、後述する暗号鍵により暗号化されている形態としてもよい。
【００１４】
ＵＳＢインタフェース１４は、ＵＳＢ機器を着脱自在に接続するためのインタフェースであって、ＵＳＢ機器と制御部１１との間の通信を制御する。なお、本実施形態では、ＵＳＢインタフェース１４にセキュリティデバイス２０が接続された状態で使用されることを前提としている。
【００１５】
ＬＡＮインタフェース１５は、インターネットやイントラネット等のネットワークＮに接続するためのインタフェースであり、ネットワークＮに接続された管理サーバ３０と制御部１１との間の通信を制御する。
【００１６】
セキュリティデバイス２０は、情報処理装置１０のＵＳＢインタフェース１４に接続される耐タンパ性を有した外付けデバイスである。セキュリティデバイス２０は、情報処理装置１０の起動時にプラットフォームの真正性を確認することで、情報処理装置１０のトラステッドブートを実現させる。
【００１７】
図１に示すように、セキュリティデバイス２０は、制御部２１、ＴＰＭ２２、認証処理部２３及びＵＳＢインタフェース２４等を備えている。
【００１８】
制御部２１は、ＣＰＵ、ＲＯＭ及びＲＡＭ等により構成され、セキュリティデバイス２０の各部の動作を統括的に制御する。具体的に、制御部２１は、ＴＰＭ２２及び認証処理部２３と協働し、情報処理装置１０のプラットフォームの真正性確認に係る各種の処理を実行する。
【００１９】
また、制御部２１は、後述するＰＣＲ情報を要求するコマンドを情報処理装置１０から受け付けると、ＴＰＭ２２と協働することで、後述する記憶領域２２１に記憶されたＰＣＲ情報を読み出し情報処理装置１０に送信する。
【００２０】
ＴＰＭ２２は、ハードウェア耐タンパ性をもつセキュリティチップであって、コンピュータプラットフォームの真正性確認に係る各種の機能を有する。
【００２１】
具体的に、ＴＰＭ２２は、情報処理装置１０を構成する各機器や当該情報処理装置１０に接続された各機器（以下、総称して構成機器という）について、各構成機器を識別可能な製品名や製造番号等の固有情報からハッシュ値を算出する。ここで算出されたハッシュ値は、固有の値となるため現在の構成機器、つまりハードウェア構成を一意に特定することが可能となる。なお、ハッシュ値は、固有情報毎に算出する形態としてもよいし、複数の固有情報から一のハッシュ値を算出する形態としてもよい。また、セキュリティデバイス２０自身も情報処理装置１０の構成機器となるが、セキュリティデバイス２０自身の固有情報を含める形態としてもよいし、含めない形態としてもよい。
【００２２】
また、ＴＰＭ２２は、情報処理装置１０の制御部１１がプログラムとして実行するＢＩＯＳ１２、ＯＳ１３１及びアプリケーション１３２の各々について、そのプログラムのファイルイメージからハッシュ値を算出する。ここで算出されたハッシュ値は、固有の値となるためＢＩＯＳ１２、ＯＳ１３１及びアプリケーション１３２のそれぞれを一意に特定することが可能となる。
【００２３】
また、ＴＰＭ２２は、照合用となるハッシュ値の設定時（例えば、情報処理装置１０への初回接続時等）において、情報処理装置１０のハードウェア構成及びソフトウェア構成について算出した各ハッシュ値を記憶領域２２１に記憶する。ここで、記憶領域２２１は、書き換え可能な不揮発性の記憶媒体であって、ＰＣＲ（Platform Configuration Register）に相当する。以下、記憶領域２２１に記憶した、ハードウェア構成及びソフトウェア構成（ＢＩＯＳ１２、ＯＳ１３１、アプリケーション１３２）のハッシュ値を総称して“ＰＣＲ情報”という。
【００２４】
また、ＴＰＭ２２は、情報処理装置１０とのコマンド授受に必要な暗号鍵を生成する機能を有し、生成した暗号鍵を記憶領域２２１に記憶する。ここで、暗号鍵は、セキュリティデバイス２０と情報処理装置１０との間で授受するコマンドや、所定のデータ（ファイル、フォルダ）を暗号化／復号化するためのものである。
【００２５】
ここで、暗号化対象となるデータは特に問わないものとする。例えば、情報処理装置１０とセキュリティデバイス２０との間で授受される通信内容や、各種判定処理の判定結果、情報処理装置１０の制御部１１が行う処理内容等の履歴をログファイルとして記憶領域２１１や情報処理装置１０に出力するよう設定されている場合、このログファイルを暗号化の対象とする形態としてもよい。なお、暗号鍵の暗号方式及び生成方法は特に問わないものとするが、例えば、記憶領域２２１に記憶されたＰＣＲ情報（ハッシュ値）を用いて、暗号鍵を生成する形態としてもよい。
【００２６】
情報処理装置１０の起動時において、制御部２１はＴＰＭ２２と協働し、情報処理装置１０のハードウェア構成及びソフトウェア構成のそれぞれについてハッシュ値を算出すると、記憶領域２２１に記憶された対応するハッシュ値と比較し、一致するか否かを判定する。ここで、ＴＰＭ２２が全てのハッシュ値について一致を確認すると、制御部２１は、記憶領域２２１に記憶された暗号鍵を情報処理装置１０に送信することで、この暗号鍵を情報処理装置１０に保持させる。また、ＴＰＭ２２がハッシュ値の不一致を確認すると、制御部２１は、プラットフォームが改変されたと判断し、情報処理装置１０の起動又は使用を制限するエラー処理を実行する。
【００２７】
ここで、エラー処理は情報処理装置１０の起動や使用を制限するためのものであり、その制限方法は種々の形態が挙げられる。例えば、情報処理装置１０の起動処理をロックすることで、情報処理装置１０が立ち上がらないよう制御する形態としてもよい。また、情報処理装置１０及びＴＰＭ２２が保持する暗号鍵を消去するよう制御することで、該暗号鍵で暗号化されたデータへのアクセスを制限する形態としてもよい。また、情報処理装置１０のＨＤＤ１３に記憶されたアプリケーション１３２を削除するよう制御することで、該アプリケーション１３２の起動や使用を制限する形態としてもよい。
【００２８】
認証処理部２３は、制御部２１と協働することで、セキュリティデバイス２０の操作者が、予め定められた正規の操作者か否かを認証する。具体的に、認証処理部２３は、予め登録された正規操作者の認証情報を照合用認証情報として、不揮発性の記憶媒体である記憶領域２３１に記憶し、次回以降入力される認証情報をこの照合用認証情報と照合することで、正規操作者か否かを判定する。認証情報の不一致により、認証処理部２３がセキュリティデバイス２０の操作者が正規操作者でないと判定すると、制御部２１は上述したエラー処理を実行する。
【００２９】
なお、認証処理部２３の認証方式は特に問わず、公知の技術を用いることができる。例えば、図示しないテンキーやキーボードを介して入力されるユーザＩＤ及びパスワードの組を、認証情報として用いるパスワード認証方式としてもよい。また、操作者の指紋や顔画像、虹彩等の生体情報の読み取りを行う生体情報読取装置を別途備えることで、この生体情報を認証情報として用いるバイオメトリクス認証方式としてもよい。また、ＲＦＩＤリーダ装置を別途備え、このＲＦＩＤリーダ装置で読み取り可能なＲＦＩＤカードを操作者に配布しておくことで、このＲＦＩＤカードに記憶された情報を認証情報として用いる方式としてもよい。
【００３０】
ＵＳＢインタフェース２４は、情報処理装置１０と着脱自在に接続するためのインタフェースであって、情報処理装置１０と制御部２１との間の通信を制御する。また、ＵＳＢインタフェース２４は、情報処理装置１０から供給される電源を、セキュリティデバイス２０の各部に供給する。
【００３１】
管理サーバ３０は、ネットワークＮを介して情報処理装置１０に接続されるサーバー装置である。図１に示すように、管理サーバ３０は、制御部３１、ＨＤＤ３２及びＬＡＮインタフェース３３等を備えている。
【００３２】
制御部３１は、ＣＰＵ、ＲＯＭ及びＲＡＭ等で構成され、管理サーバ３０の各部の動作を統括的に制御する。具体的に、制御部３１は、ＬＡＮインタフェース３３を介して、情報処理装置１０から、端末識別情報、プラットフォーム情報及びＰＣＲ情報を含んだ登録要求を受け付けると、これらの情報を関連付け管理テーブル３２１に登録する。
【００３３】
図２は、管理テーブル３２１のデータ構成の一例を示す図である。同図に示すように、管理テーブル３２１は、端末識別情報が登録される領域と、プラットフォーム情報が登録される領域と、ＰＣＲ情報が登録される領域と、バックアッププログラムが登録される領域とから構成されている。ここで、プラットフォーム情報が登録される領域は、ハードウェア構成となる接続機器の各要素と、ソフトウェア構成となるＢＩＯＳ、ＯＳ及びアプリケーションの各要素とから構成され、各要素に対応する固有情報がそれぞれ登録される。また、プラットフォーム情報の各要素に関連付けて、対応するハッシュ値が登録される。
【００３４】
バックアッププログラムには、プラットフォーム情報に登録されたＢＩＯＳ、ＯＳ及びアプリケーションの要素の固有情報に対応するプログラム本体（以下、バックアッププログラムという）が関連付けて登録（バックアップ）されている。ここで、バックアッププログラムは、その真正性が確認されたものであるとする。なお、バックアッププログラムの登録方法は特に問わないものとする。例えば、ＢＩＯＳ、ＯＳ及びアプリケーションの要素の固有情報に基づいて、制御部３１が、これらのプログラムを提供する製造メーカ等の信頼性のおけるインターネットサイトからバックアッププログラムを取得し、管理テーブル３２１に登録する形態としてもよい。
【００３５】
なお、図２では、プラットフォーム情報として、ハードウェア構成及びソフトウェア構成の各要素の固有情報を保持する例を示しているが、これに限らず、他の情報を保持する形態としてもよい。例えば、情報処理装置１０において、アプリケーション１３２の設定に係る設定ファイルや、各種のログファイル等の保護対象とされたデータ（以下、保護データという）をプラットフォーム情報の一要素として保持する形態としてもよい。
【００３６】
図１に戻り、制御部３１は、情報処理装置１０から端末識別情報、プラットフォーム情報及びＰＣＲ情報を含んだ真正性の確認要求を受け付けると、この端末識別情報に関連付けられたプラットフォーム情報及びＰＣＲ情報を管理テーブル３２１から読み出す。そして、制御部３１は、情報処理装置１０から受け付けたプラットフォーム情報及びＰＣＲ情報と、管理テーブル３２１から読み出したハードウェア構成及びソフトウェア構成との対応する各要素について、その固有情報及びハッシュ値の両値を比較し、一致するか否かを判定する。また、情報処理装置１０から受け付けたプラットフォーム情報に保護データが含まれる場合には、管理テーブル３２１に登録された対応する保護データと比較し、一致するか否かを判定する。
【００３７】
ここで、制御部３１は、情報処理装置１０から送信されたハードウェア構成及びソフトウェア構成の全ての要素について、管理テーブル３２１に登録されたものとの一致を確認、即ちプラットフォームに改変が無いことを確認すると、その旨を指示する応答信号をセキュリティデバイス２０に送信する。
【００３８】
また、制御部３１は、情報処理装置１０から送信されたハードウェア構成及びソフトウェア構成のうち何れかの要素について不一致を確認すると、この不一致となった要素について、当該要素に応じた対処方法を指示した応答情報をセキュリティデバイス２０に送信する。
【００３９】
具体的に、制御部３１は、ハードウェア構成について不一致を確認した場合、情報処理装置１０のハードウェア構成が改変されたと判断する。この場合、制御部３１は、ハードウェア構成のうち不一致となった接続機器（例えば、情報処理装置１０のＵＳＢインタフェース１４に接続されたセキュリティデバイス２０以外の外部機器）の使用を禁止することを指示した指示内容を、応答情報としてセキュリティデバイス２０に送信する。
【００４０】
また、ＢＩＯＳについて不一致を確認した場合、制御部３１は、情報処理装置１０のＢＩＯＳ１２が改変されたと判断する。この場合、制御部３１は、ＢＩＯＳに関連付けられたバックアッププログラムとともに、当該バックアッププログラムを用いてＢＩＯＳ１２を復旧することを指示した指示内容を、応答情報として情報処理装置１０に送信する。なお、ＢＩＯＳ１２の改変により、アプリケーション１３２の機能が情報処理装置１０の正常動作に影響を及ぼす可能性がある場合、このアプリケーション１３２の機能の一部又は全てを禁止する指示内容を応答情報に含めることが好ましい。
【００４１】
また、ＯＳについて不一致を確認した場合、制御部３１は、情報処理装置１０のＯＳ１３１が改変されたと判断する。この場合、制御部３１は、ＯＳに関連付けられたバックアッププログラムとともに、当該バックアッププログラムを用いてＯＳ１３１を復旧することを指示した指示内容を、応答情報としてセキュリティデバイス２０に送信する。なお、ＯＳ１３１の改変により、アプリケーション１３２の機能が情報処理装置１０の正常動作に影響を及ぼす可能性がある場合、このアプリケーション１３２の機能の一部又は全てを禁止する指示内容を応答情報に含めることが好ましい。また、ＨＤＤ１３内のデータが暗号鍵により暗号化されている場合、この暗号鍵が盗まれている可能性もあるため、暗号鍵を再生成することを指示した指示内容を応答情報に含めることが好ましい。
【００４２】
また、アプリケーションについて不一致を確認した場合、制御部３１は、アプリケーション１３２が改変されたと判断する。この場合、制御部３１は、アプリケーションに関連付けられたバックアッププログラムとともに、当該バックアッププログラムを用いてアプリケーション１３２を復旧することを指示した指示内容を、応答情報としてセキュリティデバイス２０に送信する。また、アプリケーション１３２の改変により、このアプリケーション１３２自身の機能が情報処理装置１０の正常動作に影響を及ぼす可能性がある場合、このアプリケーション１３２の機能の一部又は全てを禁止する指示内容を応答情報として送信する形態としてもよい。また、ＨＤＤ１３内のデータが暗号鍵により暗号化されている場合、この暗号鍵が盗まれている可能性もあるため、暗号鍵を再生成することを指示した指示内容を応答情報に含めることが好ましい。
【００４３】
なお、保護データについて不一致を確認した場合、制御部３１は、情報処理装置１０の保護データが改変されたと判断し、管理テーブル３２１に登録された対応する保護データとともに、この保護データを用いて情報処理装置１０内の保護データを復旧（上書き）することを指示した指示内容を、応答情報としてセキュリティデバイス２０に送信する。
【００４４】
ＨＤＤ３２は、管理サーバ３０の補助記憶装置であって、制御部３１が実行するプログラム（ＯＳや各種アプリケーションを含む）や、上述した管理テーブル３２１を記憶している。
【００４５】
ＬＡＮインタフェース３３は、インターネットやイントラネット等のネットワークＮに接続するためのインタフェースであり、ネットワークＮに接続された情報処理装置１０と制御部３１との間の通信を制御する。
【００４６】
次に、図３〜図８を参照して、情報処理システム１の動作について説明する。ここで、図３は、ＰＣＲ情報及びプラットフォーム情報の登録時における情報処理システム１の動作を示すフローチャートである。なお、本処理の前提として、情報処理装置１０の電源がオフ状態にあるものとする。また、セキュリティデバイス２０及び管理サーバ３０は、情報処理装置１０に接続されているものとする。
【００４７】
まず、情報処理装置１０の電源がオンとされ、この情報処理装置１０の各部に電源が供給されると、制御部１１は情報処理装置１０の起動を開始する（ステップＳ１１）。また、情報処理装置１０の電源オンに伴い、ＵＳＢインタフェース１４を通じて供給される電源により、セキュリティデバイス２０が起動する（ステップＳ２１）。
【００４８】
セキュリティデバイス２０が起動すると、制御部２１は、認証処理部２３の動作を制御し、情報処理装置１０の操作者から入力される認証情報の受付を開始させる。認証処理部２３は、認証情報の入力を受け付けると（ステップＳ２２）、記憶領域２３１に記憶された照合用認証情報と比較し（ステップＳ２３）、両認証情報が一致するか否かを判定する（ステップＳ２４）。ここで、認証処理部２３が不一致と判定した場合（ステップＳ２４；Ｎｏ）、制御部２１は、正規の操作者以外の者が操作していると判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ２５）、本処理を終了する。
【００４９】
また、ステップＳ２４において、認証処理部２３が一致と判定した場合（ステップＳ２４；Ｙｅｓ）、制御部２１は、正規の操作者が操作していると判断し、ステップＳ２６の処理に移行する。
【００５０】
一方、情報処理装置１０では、制御部１１がＢＩＯＳ１２を起動し（ステップＳ１２）、この起動が完了すると情報処理装置１０の各部は動作可能な状態となる。これにより、ＵＳＢインタフェース１４とＵＳＢインタフェース２４との間の通信が確立する。なお、続くＯＳ１３１の起動は、セキュリティデバイス２０からのコマンドに応じて行うことになるため、制御部１１は、ＯＳ１３１の起動を保留する。
【００５１】
セキュリティデバイス２０では、制御部２１がＵＳＢインタフェース間の通信の確立を検出すると（ステップＳ２６）、ＴＰＭ２２と協働することで照合用ハッシュ値登録処理を実行する（ステップＳ２７）。以下、図４を参照して、ステップＳ２７の照合用ハッシュ値登録処理について説明する。
【００５２】
図４は、照合用ハッシュ値登録処理の手順を示すフローチャートである。まず、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０を構成する各構成機器の固有情報を検出すると（ステップＳ２７１１）、この検出結果をＴＰＭ２２に出力することでハッシュ値を各々算出させる（ステップＳ２７１２）。そして、制御部２１は、ステップＳ２７１２で算出されたハッシュ値を、ハードウェア構成のハッシュ値としてＴＰＭ２２の記憶領域２２１に記憶する（ステップＳ２７１３）。
【００５３】
続いて、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０が保持するＢＩＯＳ１２のファイルイメージを検出すると（ステップＳ２７１４）、この検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ２７１５）。そして、制御部２１は、ステップＳ２７１５で算出されたハッシュ値を、ＢＩＯＳ１２のハッシュ値としてＴＰＭ２２の記憶領域２２１に記憶する（ステップＳ２７１６）。
【００５４】
続いて、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０のＨＤＤ１３に記憶されたＯＳ１３１のファイルイメージを検出すると（ステップＳ２７１７）、この検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ２７１８）。そして、制御部２１は、ステップＳ２７１８で算出されたハッシュ値を、ＯＳ１３１のハッシュ値としてＴＰＭ２２の記憶領域２２１に記憶する（ステップＳ２７１９）。
【００５５】
続いて、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０のＨＤＤ１３に記憶されたアプリケーション１３２のファイルイメージを検出すると（ステップＳ２７２０）、この検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ２７２１）。そして、制御部２１は、ステップＳ２７２１で算出されたハッシュ値を、アプリケーション１３２のハッシュ値としてＴＰＭ２２の記憶領域２２１に記憶する（ステップＳ２７２２）。なお、ステップＳ２７１６、Ｓ２７１９及びＳ２７２２で記憶領域２２１に記憶された各ハッシュ値は、情報処理装置１０のソフトウェア構成を一意に特定するものとなる。
【００５６】
次いで、制御部２１はＴＰＭ２２と協働することで、暗号鍵を生成すると（ステップＳ２７２３）、この生成した暗号鍵をＴＰＭ２２の記憶領域２２１に記憶し（ステップＳ２７２４）、図３のステップＳ２８に移行する。
【００５７】
図３に戻り、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶された暗号鍵を読み出すと、ＵＳＢインタフェース２４を介して情報処理装置１０に送信する（ステップＳ２８）。一方、情報処理装置１０では、制御部１１がＵＳＢインタフェース１４を介してセキュリティデバイス２０から暗号鍵を受け付けると、この暗号鍵をＲＡＭに保持する（ステップＳ１１３）。これにより、制御部１１は、ＲＡＭに保持した暗号鍵を用いることで、この暗号鍵により暗号化されたコマンドや各種データの暗号化／復号化が可能となる。
【００５８】
また、セキュリティデバイス２０では、情報処理装置１０に暗号鍵を送信すると、制御部２１は、ＴＰＭ２２の記憶領域２２１に記憶された暗号鍵を用いて、ＯＳ１３１の起動を指示するコマンドを暗号化し、この暗号化済みのコマンドを情報処理装置１０へ送信する（ステップＳ２９）。
【００５９】
一方、情報処理装置１０では、制御部１１がステップＳ２９で送信された暗号化済みのコマンドを受け付けると、ＲＡＭに保持した暗号鍵を用いてコマンドを復号する（ステップＳ１４）。次いで、制御部１１は、復号したコマンドに従い、ＨＤＤ１３に記憶されたＯＳ１３１を起動する（ステップＳ１５）。
【００６０】
また、セキュリティデバイス２０では、情報処理装置１０のＯＳ１３１が起動すると、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶されたハードウェア構成及びソフトウェア構成（ＢＩＯＳ、ＯＳ、アプリケーション）の各ハッシュ値をＰＣＲ情報として取得する（ステップＳ３０）。次いで、制御部２１は、ＰＣＲ情報を管理サーバ３０への送信を指示するコマンドとともに暗号鍵で暗号化し、情報処理装置１０へ送信する（ステップＳ３１）。
【００６１】
情報処理装置１０では、制御部１１が、ステップＳ３１で送信されたＰＣＲ情報及びコマンドを受け付けると、ＲＡＭに保持した暗号鍵を用いて復号する（ステップＳ１６）。次いで、制御部１１は、復号したコマンドに従い、自己の装置のハードウェア構成及びソフトウェア構成の各要素が有する固有情報をプラットフォーム情報として取得する（ステップＳ１７）。そして、制御部１１は、端末識別情報、ＰＣＲ情報及びプラットフォーム情報とともに、これらの情報の登録要求を管理サーバ３０へ送信する（ステップＳ１８）。なお、ステップＳ１７の処理において、情報処理装置１０の保護データをプラットフォーム情報に含める形態としてもよい。
【００６２】
一方、管理サーバ３０では、制御部３１が、情報処理装置１０から送信された端末識別情報、ＰＣＲ情報及びプラットフォーム情報の登録要求を受け付けると、これらの情報を関連付けて管理テーブル３２１に登録し（ステップＳ４１）、本処理を終了する。
【００６３】
上記の処理で管理サーバ３０の管理テーブル３２１に登録されたＰＣＲ情報及びプラットフォーム情報は、以下に説明する各処理において、情報処理装置１０の信頼性が確保された時点でのＰＣＲ情報及びプラットフォーム情報として取り扱われる。
【００６４】
次に、図５を参照して、情報処理装置１０の起動時の動作について説明する。ここで、図５は、情報処理装置１０の起動時における情報処理システム１の動作を示すフローチャートである。なお、本処理の前提として、情報処理装置１０の電源がオフ状態にあるものとする。また、セキュリティデバイス２０は、情報処理装置１０に接続されているものとする。
【００６５】
ステップＳ５１、Ｓ５２及びステップＳ６１〜Ｓ６６は、上述したステップＳ１１、Ｓ１２及びステップＳ２１〜Ｓ２８と同様の処理であるため説明を省略する。セキュリティデバイス２０では、ＵＳＢインタフェース間の通信確立を検出すると、制御部２１はＴＰＭ２２と協働し、真正性確認処理を実行する（ステップＳ６７）。以下、図６を参照して、ステップＳ６７の真正性確認処理について説明する。
【００６６】
図６は、真正性確認処理の手順を示すフローチャートである。まず、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０を構成する各構成機器の固有情報を検出すると（ステップＳ６７１１）、この検出結果をＴＰＭ２２に出力することでハッシュ値を各々算出させる（ステップＳ６７１２）。
【００６７】
次いで、制御部２１はＴＰＭ２２と協働し、ステップＳ６７１２で算出されたハッシュ値と、記憶領域２２１に記憶されたハードウェア構成のハッシュ値とを比較し（ステップＳ６７１３）、両ハッシュ値が一致するか否かを判定する（ステップＳ６７１４）。ここで、両ハッシュ値が不一致と判定すると（ステップＳ６７１４；Ｎｏ）、制御部２１は、情報処理装置１０の構成機器が改変されたと判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ６７２７）、本処理を終了する。
【００６８】
また、ステップＳ６７１４において、両ハッシュ値が一致と判定すると（ステップＳ６７１４；Ｙｅｓ）、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０が保持するＢＩＯＳ１２のファイルイメージを検出する（ステップＳ６７１５）。次いで、制御部２１は、検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ６７１６）。
【００６９】
次いで、制御部２１はＴＰＭ２２と協働し、ステップＳ６７１６で算出されたハッシュ値と、記憶領域２２１に記憶されたＢＩＯＳ１２のハッシュ値とを比較し（ステップＳ６７１７）、両ハッシュ値が一致するか否かを判定する（ステップＳ６７１８）。ここで、両ハッシュ値が不一致と判定すると（ステップＳ６７１８；Ｎｏ）、制御部２１は、情報処理装置１０のＢＩＯＳ１２が改変されたと判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ６７２７）、本処理を終了する。
【００７０】
また、ステップＳ６７１８において、両ハッシュ値が一致と判定すると（ステップＳ６７１８；Ｙｅｓ）、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０のＨＤＤ１３に記憶されたＯＳ１３１のファイルイメージを検出する（ステップＳ６９１９）。次いで、制御部２１は、検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ６７２０）。
【００７１】
次いで、制御部２１はＴＰＭ２２と協働し、ステップＳ６７２０で算出されたハッシュ値と、記憶領域２２１に記憶されたＯＳ１３１のハッシュ値とを比較し（ステップＳ６７２１）、両ハッシュ値が一致するか否かを判定する（ステップＳ６７２２）。ここで、両ハッシュ値が不一致と判定すると（ステップＳ６７２２；Ｎｏ）、制御部２１は、情報処理装置１０のＯＳ１３１が改変されたと判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ６７２７）、本処理を終了する。
【００７２】
また、ステップＳ６７２２において、両ハッシュ値が一致と判定すると（ステップＳ６７２２；Ｙｅｓ）、制御部２１は、ＵＳＢインタフェース２４を介して、情報処理装置１０のＨＤＤ１３に記憶されたアプリケーション１３２のファイルイメージを検出する（ステップＳ６７２３）。次いで、制御部２１は、検出結果をＴＰＭ２２に出力することでハッシュ値を算出させる（ステップＳ６７２４）。
【００７３】
次いで、制御部２１はＴＰＭ２２と協働し、ステップＳ６７２４で算出されたハッシュ値と、記憶領域２２１に記憶されたアプリケーション１３２のハッシュ値とを比較し（ステップＳ６７２５）、両ハッシュ値が一致するか否かを判定する（ステップＳ６７２６）。ここで、両ハッシュ値が不一致と判定すると（ステップＳ６７２６；Ｎｏ）、制御部２１は、情報処理装置１０のアプリケーション１３２が改変されたと判断する。そして、制御部２１は、上述したエラー処理を実行した後（ステップＳ６７２７）、本処理を終了する。また、ステップＳ６７２６において、両ハッシュ値が一致と判定すると（ステップＳ６７２６；Ｙｅｓ）、図５のステップＳ６８に移行する。
【００７４】
図５に戻り、制御部２１はＴＰＭ２２と協働し、ＴＰＭ２２の記憶領域２２１に記憶された暗号鍵を、ＵＳＢインタフェース２４を介して情報処理装置１０に送信する（ステップＳ６８）。情報処理装置１０では、制御部１１がセキュリティデバイス２０から暗号鍵を受け付けると、この暗号鍵をＲＡＭ（図示せず）に保持する（ステップＳ５３）。
【００７５】
また、セキュリティデバイス２０では、情報処理装置１０に暗号鍵を送信すると、制御部２１は、ＴＰＭ２２の記憶領域２２１に記憶された暗号鍵を用いて、ＯＳ１３１の起動を指示するコマンドを暗号化し、この暗号化済みのコマンドを情報処理装置１０へ送信する（ステップＳ６９）。
【００７６】
一方、情報処理装置１０では、制御部１１がステップＳ６９で送信された暗号化済みのコマンドを受け付けると、ＲＡＭに保持した暗号鍵を用いてコマンドを復号する（ステップＳ５４）。次いで、制御部１１は、復号したコマンドに従い、ＨＤＤ１３に記憶されたＯＳ１３１を起動する（ステップＳ５５）。
【００７７】
このように、セキュリティデバイス２０では、情報処理装置１０の起動時に、情報処理装置１０が具備するハードウェア構成及びソフトウェア構成の真正性を確認し、この真正性が保持されていると判断した場合のみ、情報処理装置１０の起動を許可するよう制御する。これにより、情報処理装置１０のプラットフォーム（ハードウェア構成及びソフトウェア構成）が所定の構成から改変されていた場合に、情報処理装置１０が不用意に起動してしまうことを防止することができるため、情報処理装置１０のセキュリティを向上させることができる。
【００７８】
次に、図７を参照して、情報処理装置１０がアプリケーション１３２を実行する際の情報処理システム１の動作について説明する。図７は、情報処理装置１０のアプリケーション起動時における情報処理システム１の動作を示すフローチャートである。なお、本処理の前提として、情報処理装置１０及びセキュリティデバイス２０は、図５の処理で真正性の確認が正常に終了した状態にあるものとする。
【００７９】
まず、情報処理装置１０の制御部１１は、ＨＤＤ１３に記憶されたアプリケーション１３２の起動に先立つ起動準備として（ステップＳ７１）、ＰＣＲ情報を要求するコマンドを暗号鍵で暗号化すると、この暗号化済みのコマンドをセキュリティデバイス２０へ送信する（ステップＳ７２）。なお、アプリケーション１３２の起動は、情報処理装置１０の操作者から指示される形態としてもよいし、制御部１１が自動で起動する形態としてもよい。
【００８０】
一方、セキュリティデバイス２０では、制御部２１がＴＰＭ２２と協働し、ステップＳ７２で情報処理装置１０から送信されたコマンドを記憶領域２２１の暗号鍵で復号すると（ステップＳ８１）、このコマンドの指示内容に従い、記憶領域２２１に記憶されたハードウェア構成及びソフトウェア構成の各ハッシュ値をＰＣＲ情報として読み出す（ステップＳ８２）。次いで、制御部２１は、読み出したＰＣＲ情報を記憶領域２２１の暗号鍵で暗号化した後、情報処理装置１０へ送信する（ステップＳ８３）。
【００８１】
情報処理装置１０では、制御部１１がＲＡＭに保持した暗号鍵を用いて、ステップＳ８３でセキュリティデバイス２０から送信されたＰＣＲ情報を復号する（ステップＳ７３）。次いで、制御部１１は、自己の装置のハードウェア構成及びソフトウェア構成の各要素が有する固有情報をプラットフォーム情報として取得する（ステップＳ７４）。続いて、制御部１１は、端末識別情報と、ＰＣＲ情報と、プラットフォーム情報とを含んだ真正性の確認要求を管理サーバ３０へ送信する（ステップＳ７５）。なお、ステップＳ７４の処理において、情報処理装置１０の保護データをプラットフォーム情報に含める形態としてもよい。
【００８２】
一方、管理サーバ３０では、制御部３１が、情報処理装置１０から確認要求を受け付けると、この確認要求に含まれたＰＣＲ情報及びプラットフォーム情報と、この確認要求に含まれた端末識別情報に対応する管理テーブル３２１のＰＣＲ情報及びプラットフォーム情報とを比較し（ステップＳ９１）、対応する要素同士が一致するか否かを判定する（ステップＳ９２）。
【００８３】
ここで、制御部３１は、ハードウェア構成及びソフトウェア構成の全ての要素について一致を確認すると（ステップＳ９２；Ｙｅｓ）、情報処理装置１０のプラットフォームの真正性が保持されていると判断し、その旨を示した応答情報を情報処理装置１０に送信する（ステップＳ９３）。また、ステップＳ９２において、ハードウェア構成及びソフトウェア構成のうち何れかの要素について不一致を確認すると（ステップＳ９２；Ｎｏ）、制御部３１は、この不一致となった要素について、当該要素に応じた対象方法を指示した応答情報を、セキュリティデバイス２０に送信する（ステップＳ９４）。
【００８４】
情報処理装置１０では、管理サーバ３０から応答情報を受け付けると、制御部１１は、この応答情報が真正性の保持を指示するものか否かを判定する（ステップＳ７６）。ここで、真正性の保持を示すものと判定した場合（ステップＳ７６；Ｙｅｓ）、制御部１１は、アプリケーション１３２を起動し（ステップＳ７７）、本処理を終了する。
【００８５】
一方、ステップＳ７６において、応答情報が真正性の保持を指示するもの以外と判定した場合、即ち、プラットフォームの改変が通知された場合には、制御部１１は、この応答情報で指示された指示内容に従い、自己の装置を保護するための対応処理を実行する（ステップＳ７８）。
【００８６】
ここで、ステップＳ７８の対応処理の内容は、応答情報で指示された指示内容に準じたものとなる。例えば、指示内容が、特定の接続機器の使用を禁止することを指示するものである場合、制御部１１は、指定された接続機器を認識しないよう無効化することで、情報処理装置１０の操作者が使用できないよう制御する。これにより、不正なデバイスが情報処理装置１０に接続された場合であっても、このデバイスの使用を抑制することができるため、情報処理装置１０のセキュリティを向上させることができる。
【００８７】
また、指示内容が、特定のプログラム（ＢＩＯＳ１２、ＯＳ１３１又はアプリケーション１３２）の復旧を指示するものである場合、制御部１１は、この指示内容とともに受け付けたバックアッププログラムを用いて指定されたプログラムの復旧を行う。ここで、復旧とは、バックアッププログラムの再導入（インストール）や、バックアッププログラムでの上書き等を意味する。
【００８８】
なお、指示データが、保護データの復旧を指示するものである場合、制御部１１は、この指示内容とともに受け付けた保護データを用いて、既存の保護データを上書する。
【００８９】
これにより、プログラムの改竄や不正なプログラムへの置き換えが行われ、このプログラムのハッシュ値がセキュリティデバイス２０の記憶領域２２１に登録されてしまった場合であっても、正規のプログラムに復旧することができるため、不正なプログラムが実行されてしまうことを抑制することができる。なお、この場合、セキュリティデバイス２０が保持するソフトウェア構成のハッシュ値も不正なプログラムを特定するものとなっているため、復旧後のプログラムのハッシュ値を記憶領域２２１に登録することを指示したコマンドを、制御部１１がセキュリティデバイス２０に送信することが好ましい。
【００９０】
また、指示内容が、アプリケーション１３２の実行を一部制限又は禁止するものである場合、制御部１１は、ステップＳ７１で起動準備を行ったアプリケーション１３２が有する機能の一部又は全てを無効化するよう制御する。これにより、情報処理装置１０の正常動作に影響を及ぼす可能性のある、アプリケーション１３２の機能の一部又は全てを無効化することができるため、情報処理装置１０のセキュリティを向上させることができる。
【００９１】
また、指示内容が、暗号鍵の再生成を指示したものである場合、制御部１１は、暗号鍵の再生成を依頼するコマンドを生成し暗号鍵を用いて暗号化すると、セキュリティデバイス２０へ送信する。以下、図８を参照して、暗号鍵の再生成を行う際の情報処理装置１０とセキュリティデバイス２０の動作について説明する。
【００９２】
図８は、暗号鍵の再生成時における情報処理装置１０及びセキュリティデバイス２０の動作を示すフローチャートである。まず、情報処理装置１０では、制御部１１が暗号鍵の再生成を指示する応答情報を受け付けると（ステップＳ１０１）、暗号鍵の再生成を要求するコマンドを暗号鍵で暗号化し、セキュリティデバイス２０へ送信する（ステップＳ１０２）。
【００９３】
一方、セキュリティデバイス２０では、ステップＳ１０２で送信された暗号化済みのコマンドを受け付けると、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶された暗号鍵を用いて復号する（ステップＳ１１１）。続いて、制御部２１は、ステップＳ１１１で復号したコマンドの指示内容に従い、以下の処理を実行する。まず、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶された既存の暗号鍵を用いることで、暗号化対象とされた所定のデータを復号する（ステップＳ１１２）。
【００９４】
次いで、制御部２１はＴＰＭ２２と協働し、新たな暗号鍵を生成すると（ステップＳ１１３）、この暗号鍵を記憶領域２２１に記憶（上書き）する（ステップＳ１１４）。続いて、制御部２１はＴＰＭ２２と協働し、記憶領域２２１に記憶した新たな暗号鍵を用いて、暗号化対象とされた所定のデータを暗号化する（ステップＳ１１５）。そして、制御部２１は、記憶領域２２１に記憶した新たな暗号鍵を情報処理装置１０に送信し（ステップＳ１１６）、処理を終了する。
【００９５】
情報処理装置１０では、セキュリティデバイス２０から送信された新たな暗号鍵を受け付けると、制御部１１は、この暗号鍵をＲＡＭに保持し（ステップＳ１０３）、処理を終了する。
【００９６】
これにより、制御部１１では、新たな暗号鍵を用いてデータの暗号化／復号化を行うことが可能となる。また、既存の暗号鍵で暗号化されていたデータを該暗号鍵で復号した後、新たな暗号鍵で暗号化を行うため、このデータを引き続き利用することができる。なお、セキュリティデバイス２０にて暗号鍵の生成を行う前に（ステップＳ１１２の前）、認証処理部２３にて正規操作者か否か確認を行う処理を含める形態としてもよい。
【００９７】
図７に戻り、制御部２１は、ステップＳ７８の対応処理を実行すると、この対応処理を実行した条件の下で、アプリケーション１３２を起動し（ステップＳ７９）、本処理を終了する。
【００９８】
以上のように、本実施形態によれば、情報処理装置１０の起動（トラステッドブート
）後の所定のタイミングで、セキュリティデバイス２０のＰＣＲ情報と情報処理装置１０のプラットフォーム情報とを管理サーバ３０に送信する。また、管理サーバ３０は、情報処理装置１０から送信されたＰＣＲ情報とプラットフォーム情報との組を、真正性が保証された時点でのＰＣＲ情報とプラットフォーム情報との組と比較し、不一致となった前記ハードウェア構成及び前記ソフトウェア構成の何れかの要素について、その対処方法を指示した応答情報を情報処理装置１０に送信する。情報処理装置１０では、管理サーバ３０から提供された応答情報に基づき、情報処理装置１０を保護するための制御を不一致となった構成に施す。
【００９９】
これにより、情報処理装置１０のプラットフォームが改変され、且つこの改変された状態のハッシュ値が、セキュリティデバイス２０のＰＣＲ情報として記憶されてしまった場合であっても、管理サーバ３０が提供する応答情報に基づいて情報処理装置１０を保護することができるため、情報処理装置１０のセキュリティを向上させることができる。
【０１００】
また、本実施形態では、情報処理装置１０の起動時において、そのプラットフォームの真正性の確認をセキュリティデバイス２０が行うため、情報処理装置１０にセキュリティチップ（ＴＰＭ）が実装されていない場合あっても、セキュリティデバイス２０を接続することでトラステッドブートを実現することができる。
【０１０１】
以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく、本発明の主旨を逸脱しない範囲での種々の変更、置換、追加等が可能である。
【０１０２】
例えば、上記実施形態では、セキュリティデバイス２０において、制御部２１とＴＰＭ２２とが独立的に設けられた例を説明したが、制御部２１がＴＰＭ２２の機能を一体的に有する形態としてもよい。
【０１０３】
また、上記実施形態では、情報処理装置１０のセキュリティチップ（ＴＰＭ２２）を、外付けのセキュリティデバイス２０に搭載する形態としたが、これに限らず、セキュリティデバイス２０の各部を、情報処理装置１０自体が搭載する形態としてもよい。なお、この形態の場合、情報処理装置１０の制御部１１は、セキュリティデバイス２０の制御部２１と同様の機能を有するものとする。
【０１０４】
また、上記実施形態では、情報処理装置１０の制御部１１は、アプリケーション１３２の実行に際して図７の動作を行う形態としたが、これに限らず、情報処理装置１０の起動後の任意のタイミングで行う形態としてもよい。
【符号の説明】
【０１０５】
１ 情報処理システム
１０ 情報処理装置
１１ 制御部
１２ ＢＩＯＳ
１３ ＨＤＤ
１３１ ＯＳ
１３２ アプリケーション
１４ ＵＳＢインタフェース
１５ ＬＡＮインタフェース
２０ セキュリティデバイス
２１ 制御部
２１１ 記憶領域
２２ ＴＰＭ
２２１ 記憶領域
２３ 認証処理部
２３１ 記憶領域
２４ ＵＳＢインタフェース
３０ 管理サーバ
３１ 制御部
３２ ＨＤＤ
３２１ 管理テーブル
３３ ＬＡＮインタフェース
Ｎ ネットワーク
【先行技術文献】
【特許文献】
【０１０６】
【特許文献１】特許第３７７７１７０号
【特許請求の範囲】
【請求項１】
自己の装置が具備するハードウェア構成及びソフトウェア構成の各要素を一意に特定可能なハッシュ値をＰＣＲ情報として予め保持し、自己の装置の起動時に取得した前記各要素ハッシュ値と前記ＰＣＲ情報とが一致した場合に、自己の装置の起動を許可する起動制御手段と、
前記ハードウェア構成及びソフトウェア構成から、当該ハードウェア構成及びソフトウェア構成の各要素を示したプラットフォーム情報を取得するプラットフォーム情報取得手段と、
自己の装置の起動後の所定のタイミングで、前記起動制御手段が保持するＰＣＲ情報と、前記プラットフォーム情報取得手段が取得した現時点でのプラットフォーム情報との組を、信頼性が確保された時点での前記ＰＣＲ情報と前記プラットフォーム情報との組を保持する管理サーバに送信し、この両組が一致するか否かの一致判定を前記管理サーバに要求する送信手段と、
前記一致判定の結果、不一致となった前記ハードウェア構成及び前記ソフトウェア構成の何れかの要素について、当該要素に応じた対処方法を指示した応答情報を前記管理サーバから受信する受信手段と、
前記応答情報に基づいて、前記不一致となった要素を制御する制御手段と、
を備えたことを特徴とする情報処理装置。
【請求項２】
前記制御手段は、前記応答情報に前記ハードウェア構成に含まれた特定のハードウェアの使用を禁止する指示内容が含まれる場合に、この特定のハードウェアを無効化するよう制御することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記制御手段は、前記応答情報に前記ソフトウェア構成に含まれた特定のプログラムの復旧の指示する指示内容が含まれる場合に、この特定のプログラムを復旧することを特徴とする請求項１又は２に記載の情報処理装置。
【請求項４】
前記制御手段は、前記応答情報に前記ソフトウェア構成に含まれた特定のプログラムの機能の一部又は全てを無効化する指示内容が含まれる場合に、この特定のプログラムの実行に際し、当該プログラムの機能の一部又は全てを無効化することを特徴とする請求項１〜３の何れか一項に記載の情報処理装置。
【請求項５】
所定のデータを暗号化／復号化する暗号鍵を生成する暗号鍵生成手段を更に備え、
前記制御手段は、前記応答情報に前記暗号鍵を再生成する指示内容が含まれる場合に、前記暗号鍵再生成手段に前記暗号鍵を再生成させることを特徴とする請求項１〜４の何れか一項に記載の情報処理装置。
【請求項６】
前記起動制御手段及び前記暗号鍵生成手段は、自己の装置と着脱自在に接続されたセキュリティデバイスに設けられていることを特徴とする請求項５に記載の情報処理装置。
【請求項７】
コンピュータを、
自己の装置が具備するハードウェア構成及びソフトウェア構成の各要素を一意に特定可能なハッシュ値をＰＣＲ情報として予め保持し、自己の装置の起動時に取得した前記ハードウェア構成及びソフトウェア構成のハッシュ値と前記ＰＣＲ情報とが一致した場合に、自己の装置の起動を許可する起動制御手段と、
前記ハードウェア構成及びソフトウェア構成から、当該前記ハードウェア構成及びソフトウェア構成の各要素を示したプラットフォーム情報を取得するプラットフォーム情報取得手段と、
自己の装置の起動後の所定のタイミングで、前記起動制御手段が保持するＰＣＲ情報と、前記プラットフォーム情報取得手段が取得した現時点でのプラットフォーム情報との組を、真正性が保証された時点での前記ＰＣＲ情報と前記プラットフォーム情報との組を保持する管理サーバに送信し、この両組が一致するか否かの一致判定を前記管理サーバに要求する送信手段と、
前記一致判定の結果、不一致となった前記ハードウェア構成及び前記ソフトウェア構成の何れかの要素について、当該要素に応じた対処方法を指示した応答情報を前記管理サーバから受信する受信手段と、
前記応答情報に基づいて、前記不一致となった要素を制御する制御手段と、
して機能させるためのプログラム。
【請求項１】
自己の装置が具備するハードウェア構成及びソフトウェア構成の各要素を一意に特定可能なハッシュ値をＰＣＲ情報として予め保持し、自己の装置の起動時に取得した前記各要素ハッシュ値と前記ＰＣＲ情報とが一致した場合に、自己の装置の起動を許可する起動制御手段と、
前記ハードウェア構成及びソフトウェア構成から、当該ハードウェア構成及びソフトウェア構成の各要素を示したプラットフォーム情報を取得するプラットフォーム情報取得手段と、
自己の装置の起動後の所定のタイミングで、前記起動制御手段が保持するＰＣＲ情報と、前記プラットフォーム情報取得手段が取得した現時点でのプラットフォーム情報との組を、信頼性が確保された時点での前記ＰＣＲ情報と前記プラットフォーム情報との組を保持する管理サーバに送信し、この両組が一致するか否かの一致判定を前記管理サーバに要求する送信手段と、
前記一致判定の結果、不一致となった前記ハードウェア構成及び前記ソフトウェア構成の何れかの要素について、当該要素に応じた対処方法を指示した応答情報を前記管理サーバから受信する受信手段と、
前記応答情報に基づいて、前記不一致となった要素を制御する制御手段と、
を備えたことを特徴とする情報処理装置。
【請求項２】
前記制御手段は、前記応答情報に前記ハードウェア構成に含まれた特定のハードウェアの使用を禁止する指示内容が含まれる場合に、この特定のハードウェアを無効化するよう制御することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記制御手段は、前記応答情報に前記ソフトウェア構成に含まれた特定のプログラムの復旧の指示する指示内容が含まれる場合に、この特定のプログラムを復旧することを特徴とする請求項１又は２に記載の情報処理装置。
【請求項４】
前記制御手段は、前記応答情報に前記ソフトウェア構成に含まれた特定のプログラムの機能の一部又は全てを無効化する指示内容が含まれる場合に、この特定のプログラムの実行に際し、当該プログラムの機能の一部又は全てを無効化することを特徴とする請求項１〜３の何れか一項に記載の情報処理装置。
【請求項５】
所定のデータを暗号化／復号化する暗号鍵を生成する暗号鍵生成手段を更に備え、
前記制御手段は、前記応答情報に前記暗号鍵を再生成する指示内容が含まれる場合に、前記暗号鍵再生成手段に前記暗号鍵を再生成させることを特徴とする請求項１〜４の何れか一項に記載の情報処理装置。
【請求項６】
前記起動制御手段及び前記暗号鍵生成手段は、自己の装置と着脱自在に接続されたセキュリティデバイスに設けられていることを特徴とする請求項５に記載の情報処理装置。
【請求項７】
コンピュータを、
自己の装置が具備するハードウェア構成及びソフトウェア構成の各要素を一意に特定可能なハッシュ値をＰＣＲ情報として予め保持し、自己の装置の起動時に取得した前記ハードウェア構成及びソフトウェア構成のハッシュ値と前記ＰＣＲ情報とが一致した場合に、自己の装置の起動を許可する起動制御手段と、
前記ハードウェア構成及びソフトウェア構成から、当該前記ハードウェア構成及びソフトウェア構成の各要素を示したプラットフォーム情報を取得するプラットフォーム情報取得手段と、
自己の装置の起動後の所定のタイミングで、前記起動制御手段が保持するＰＣＲ情報と、前記プラットフォーム情報取得手段が取得した現時点でのプラットフォーム情報との組を、真正性が保証された時点での前記ＰＣＲ情報と前記プラットフォーム情報との組を保持する管理サーバに送信し、この両組が一致するか否かの一致判定を前記管理サーバに要求する送信手段と、
前記一致判定の結果、不一致となった前記ハードウェア構成及び前記ソフトウェア構成の何れかの要素について、当該要素に応じた対処方法を指示した応答情報を前記管理サーバから受信する受信手段と、
前記応答情報に基づいて、前記不一致となった要素を制御する制御手段と、
して機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１２−９９３８（Ｐ２０１２−９９３８Ａ）
【公開日】平成２４年１月１２日（２０１２．１．１２）
【国際特許分類】
【出願番号】特願２０１０−１４１６６７（Ｐ２０１０−１４１６６７）
【出願日】平成２２年６月２２日（２０１０．６．２２）
【出願人】（０００００３５６２）東芝テック株式会社 (5,631)
【Ｆターム（参考）】
【公開日】平成２４年１月１２日（２０１２．１．１２）
【国際特許分類】
【出願日】平成２２年６月２２日（２０１０．６．２２）
【出願人】（０００００３５６２）東芝テック株式会社 (5,631)
【Ｆターム（参考）】
[ Back to top ]