JP7207519B2 - 情報処理装置、情報処理方法及びプログラム - Google Patents

Description

本発明は、情報処理装置、情報処理方法及びプログラムに関し、特にプログラムの検証を行う情報処理装置、情報処理方法及びプログラムに関する。

セキュリティ対策として、プログラムの改ざんがなされているか否かを検証する技術が提案されている。近年、ＩｏＴデバイスの普及により、ネットワークカメラやスマートメータ等の計算能力の低いデバイスにおいてもセキュリティ対策が必要になっている。こうしたセキュリティ対策では計算能力の低さに対応する必要がある（例えば非特許文献１）。

また、この技術に関連し、特許文献１は、動的な記憶領域に対する改竄を検出できるようにする改竄検出方法を開示する。特許文献１にかかる方法では、プログラムコードに係る処理の実行に伴って変更され得る情報を記憶する動的な記憶領域に記憶されたアドレス情報を参照する。そして、静的な記憶領域に記憶された情報に基づく制御に移行する場合に、第２の改竄検出部により動的な記憶領域から参照したアドレス情報が静的記憶領域の範囲内を指定するものであるか否かをチェックする。これにより、参照したアドレス情報が静的記憶領域の範囲内を指定するものでなければ、動的な記憶領域に記憶されたアドレス情報に対して改竄が行われたと判断する。

特開２０１１－０４８８５１号公報

Kobayashi, Toshiki, et al. "SAFES: Sand-boxed Architecture for Frequent Environment Self-measurement." Proceedings of the 3rd Workshop on System Software for Trusted Execution. ACM, 2018.

上記の特許文献１の技術では、プログラムの分岐条件に対応したプログラムの部分について考慮されていない。したがって、実際のプログラムの実行中には実行されないプログラムの部分についても検証を行ってしまうおそれがあるので、検証時間が増大するおそれがあった。

本開示の目的は、このような課題を解決するためになされたものであり、プログラムの検証時間を削減することが可能な情報処理装置、情報処理方法及びプログラムを提供することにある。

本開示にかかる情報処理装置は、実行前にプログラムを解析して、前記プログラムにおける分岐を抽出し、前記分岐に関する分岐情報と、前記分岐における分岐先から次の分岐までに実行され得る前記プログラムの部分に関するプログラム部分情報とを取得する解析手段と、前記分岐情報と、前記プログラム部分情報と、前記プログラム部分情報に関するプログラム部分について予め取得され検証のために使用される第１の固有値とを記憶する記憶手段と、前記プログラムが実行されて実行箇所が前記分岐に到達すると、前記プログラム部分についての検証のために使用される第２の固有値を取得し、前記第２の固有値と前記第１の固有値とが一致するか否かを判定することで、前記プログラム部分の完全性を検証する検証手段とを有する。

また、本開示にかかる情報処理方法は、実行前にプログラムを解析して、前記プログラムにおける分岐を抽出し、前記分岐に関する分岐情報と、前記分岐における分岐先から次の分岐までに実行され得る前記プログラムの部分に関するプログラム部分情報とを取得し、前記分岐情報と、前記プログラム部分情報と、前記プログラム部分情報に関するプログラム部分について予め取得され検証のために使用される第１の固有値とを記憶し、前記プログラムが実行されて実行箇所が前記分岐に到達すると、前記プログラム部分についての検証のために使用される第２の固有値を取得し、前記第２の固有値と前記第１の固有値とが一致するか否かを判定することで、前記プログラム部分の完全性を検証する。

また、本開示にかかるプログラムは、実行前にプログラムを解析して、前記プログラムにおける分岐を抽出し、前記分岐に関する分岐情報と、前記分岐における分岐先から次の分岐までに実行され得る前記プログラムの部分に関するプログラム部分情報とを取得するステップと、前記分岐情報と、前記プログラム部分情報と、前記プログラム部分情報に関するプログラム部分について予め取得され検証のために使用される第１の固有値とを記憶するステップと、前記プログラムが実行されて実行箇所が前記分岐に到達すると、前記プログラム部分についての検証のために使用される第２の固有値を取得し、前記第２の固有値と前記第１の固有値とが一致するか否かを判定することで、前記プログラム部分の完全性を検証するステップとをコンピュータに実行させる。

本開示によれば、プログラムの検証時間を削減することが可能な情報処理装置、情報処理方法及びプログラムを提供できる。

本開示の実施の形態にかかる情報処理装置の概要を示す図である。 実施の形態１に係る情報処理装置の機能を示すブロック図である。 実施の形態１にかかる検証情報記憶部によって記憶される検証情報を示すテーブルを例示する図である。 実施の形態１に係る情報処理装置の検証処理を示すフローチャートである。 実施の形態２に係る情報処理装置の機能を示すブロック図である。 実施の形態２にかかる解析部の解析処理で抽出されたデータを列挙したテーブルを例示する図である。 図６に例示したテーブルに関するプログラムの構造を示すグラフである。 実施の形態２にかかる解析部によって集約された分岐を列挙したテーブルを例示する図である。 実施の形態２にかかる検証情報記憶部によって記憶される検証情報を示すテーブルを例示する図である。 実施の形態２にかかる解析部によって実行される解析処理を示すフローチャートである。 実施の形態２に係る情報処理装置の検証処理を示すフローチャートである。 実施の形態２に係る情報処理装置の検証処理を示すフローチャートである。 実施の形態３に係る情報処理装置の機能を示すブロック図である。

（本開示にかかる実施の形態の概要）
本開示の実施の形態の説明に先立って、本開示にかかる実施の形態の概要について説明する。図１は、本開示の実施の形態にかかる情報処理装置１の概要を示す図である。情報処理装置１は、例えばコンピュータである。情報処理装置１は、解析部２と、記憶部４と、検証部６とを有する。解析部２は、解析手段として機能する。記憶部４は、記憶手段として機能する。検証部６は、検証手段として機能する。

解析部２は、実行前にプログラムを解析して、プログラム中の分岐を抽出する。解析部２は、分岐に関する分岐情報と、分岐における分岐先から次の分岐までに実行され得るプログラムの部分に関するプログラム部分情報とを取得する。記憶部４は、分岐情報と、プログラム部分情報と、プログラム部分情報に関するプログラム部分について予め取得された第１の固有値とを記憶する。なお、「第１の固有値」は、プログラム部分についての検証のために使用されるデータである。

検証部６は、プログラムが実行されて実行箇所が分岐に到達すると、プログラム部分について第２の固有値を取得する。なお、「第２の固有値」は、プログラム部分についての検証のために使用されるデータである。そして、検証部６は、第２の固有値と第１の固有値とが一致するか否かを判定することで、プログラム部分の完全性を検証する。検証部６は、第２の固有値と第１の固有値とが一致する場合に、プログラム部分が改ざんされていないと判定する。

以下、関連技術の問題点について説明する。上述した非特許文献１では、入出力の内容に応じてプログラム検証の検証範囲を削減する。これにより検証にかかる計算時間を削減している。非特許文献１にかかるプログラム検証方法は、デバイスの入出力を監視し、入出力の内容を取得する。また、非特許文献１にかかるプログラム検証方法は、この内容に応じて検証すべきプログラムの部分を特定し、検証を行う。非特許文献１にかかるプログラム検証方法は、検証においては該当部分に対する固有値を算出し、予め記憶しておいた固有値と比較することで、プログラムが改ざんされていないというプログラムの完全性を検証する。

非特許文献１に記載の方法では、入出力のタイミングにおいて、入出力の内容を利用して限定的なプログラムの部分のみの完全性の検証を行うが、内部に含まれる分岐条件などは考慮されていない。入出力によるプログラムの部分については、入力されたコマンドなどを利用して、各コマンドに対応するプログラムの部分のみが検証される。一方で、内部に含まれる分岐条件が考慮されない問題は、入出力のタイミングでは、内部の分岐条件が確定していないことに起因する。この問題点は、実際のプログラムの実行中には実行されないプログラムの部分についても検証を行ってしまうため、検証不要で削減可能な計算量が存在してしまうことを誘発し得る。これは、検証時間及び電力消費の増大につながる。また一方で、こうした分岐の情報を取得することで、プログラムの完全性に加えてプログラムの実行フローの完全性を検証できる。こうしたプログラムの実行フローの完全性の検証は、プログラムの悪用の検知につながり、デバイスをより堅牢化できる。以下、プログラムの完全性の検証を「第１のインテグリティチェック」と呼び、プログラムの実行フローの完全性の検証を「第２のインテグリティチェック」と呼ぶ。

ここで、本開示の実施の形態にかかる情報処理装置１は、上記のように、事前にプログラムを解析しプログラム中の分岐と各分岐以降に実行されるプログラムの部分の情報を収集する。また、情報処理装置１は、プログラム実行中の各分岐時点において該当するプログラムの部分の完全性を検証する。これにより、情報処理装置１は、情報処理装置１におけるプログラムの完全性とプログラムの実行フローの完全性とを検証する。これにより、情報処理装置１は、プログラムの分岐を考慮した第１のインテグリティチェックを行うことができる。したがって、情報処理装置１は、検証不要なプログラム部分について検証されることが抑制されるので、プログラムの検証時間を削減することが可能となる。また、情報処理装置１によって実行される情報処理方法及び情報処理方法を実行するプログラムも、プログラムの検証時間を削減することが可能となる。

また、情報処理装置１は、プログラム実行中の各分岐時点において該当するプログラムの部分の完全性およびプログラムの実行フローの完全性を検証する。具体的には、記憶部４は、分岐元アドレスと分岐先アドレスとの組を含む分岐情報を記憶する。そして、検証部６は、実行されているプログラムの分岐元のアドレスと分岐先のアドレスとの組が、記憶部４に存在するか否かを判定することで、プログラムの実行フローの完全性を検証する。これにより、情報処理装置１は、情報処理装置１におけるプログラムの完全性とプログラムの実行フローの完全性とを検証する。したがって、情報処理装置１は、第１のインテグリティチェックに加えて第２のインテグリティチェックを同時に実行できるので、効率的に、より確実なプログラムの検証を行うことができる。

（実施の形態１）
以下、実施の形態について、図面を参照しながら説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。

図２は、実施の形態１に係る情報処理装置１００の機能を示すブロック図である。情報処理装置１００は、例えばコンピュータである。なお、情報処理装置１００は、中央演算装置においてソフトウェアプログラムを実行することで、図２に示す各構成要素を実現してもよい。また、情報処理装置１００において実現される各構成要素は、個々の装置、又は機能部もしくは電子回路として実現してもよい。このことは、後述する他の実施の形態についても同様である。

情報処理装置１００は、制御部１０１、プログラム記憶部１０２、通信部１０３、解析部１０４、検証情報記憶部１０５、及び検証部１０６を備える。解析部１０４、検証情報記憶部１０５及び検証部１０６は、それぞれ、図１に示した解析部２、記憶部４及び検証部６に対応する。

制御部１０１は、情報処理装置１００の全体の制御及び演算処理を行う制御装置である。プログラム記憶部１０２は、制御部１０１において実行されるプログラムを記憶する記憶装置である。通信部１０３は、インターネット等のネットワーク（図示せず）を介して接続先の装置との通信を行う。

解析部１０４は、プログラム記憶部１０２に記憶されるプログラムを事前に（プログラムの実行前に）解析し、分岐箇所の抽出を行う。加えて、解析部１０４は、プログラム中の各分岐の直前又は直後に、検証部１０６への呼び出しを挿入する。ここで、解析部１０４は、分岐として、条件分岐のみを抽出してもよいし、関数コール、リターン、及び、条件ジャンプなどのプログラムの実行フローに関わる命令を全て抽出してもよい。また、解析部１０４は、短い命令のループ処理、及び、内部にＩ／Ｏ処理がなく攻撃を受けるおそれがないループ処理などに係る条件分岐を、分岐抽出の対象外と設定してもよい。なお、検証部１０６への呼び出しは、実際のプログラム中に命令として記載されてもよいし、ブレイクポイントとして割り込むように設定されてもよいし、デバッグポートを利用して特定のタイミングで割り込むように設定されてもよい。

また、分岐抽出の解析の例として、例えば、解析部１０４は、ソースコードが利用できる場合は、ＩＦ文及びＷＨＩＬＥ文などの特定の構文を抽出し、コンパイル後の実行形式のバイナリデータで対応するアドレス番地を収集することで、分岐を抽出してもよい。また、例えば、解析部１０４は、ソースコードがなくバイナリデータのみ利用可能である場合は、逆アセンブルを行いＣＡＬＬ命令及びＪＭＰ命令等の特定の命令セットに対してアドレス番地を収集することで、分岐を抽出してもよい。

解析部１０４は、得られた分岐箇所を基に、各分岐箇所に対する分岐先と、その分岐先から次の分岐箇所までに実行されるプログラムの部分（プログラム部分）とを取得する。そして、解析部１０４は、これらの情報を、検証情報記憶部１０５に格納（登録）する。また、解析部１０４は、各分岐箇所から分岐し得る分岐先の情報を取得し、検証情報記憶部１０５に格納（登録）する。なお、本実施の形態では、解析部１０４は、情報処理装置１００に含まれる。しかしながら、情報処理装置１００の外の情報処理装置などの他の装置が、解析部１０４の役割を担ってもよい。

検証情報記憶部１０５は、解析部１０４で登録された各分岐箇所の情報（分岐情報）とプログラムの部分の情報（プログラム部分情報）とを含む検証情報を記憶する。具体的には、検証情報記憶部１０５は、図３に例示するようなテーブルを記憶する。

図３は、実施の形態１にかかる検証情報記憶部１０５によって記憶される検証情報を示すテーブルを例示する図である。図３に例示するように、ここで、検証情報記憶部１０５に記憶されるテーブルは、分岐元のアドレス値（分岐元アドレス）と分岐先のアドレス値（分岐先アドレス）との組と、アドレス値の個数と、１つ以上の開始アドレス及び終了アドレスと、固有値とを含む。

図３に例示するテーブルでは、各分岐元アドレスと分岐先アドレスとの組に対して、次の分岐先までに実行されるプログラムの部分のアドレス値が記憶される。ここで、図３の例では、検証情報記憶部１０５は、プログラム部分のアドレス値については、連続するアドレス値をひとまとめにして、開始アドレス値と終了アドレス値とで記憶している。また、図３の例では、検証情報記憶部１０５は、この開始アドレスの個数を、アドレス値の個数として登録している。なお、このアドレス値の記憶方法として、開始アドレス値及びサイズが記憶されてもよい。また、ここでいうアドレス値とは、プログラムが実行される際の物理メモリのアドレス値、又は、仮想メモリのアドレス値を指す。例えば、ＯＳが存在しプログラムが仮想メモリ上で動作する場合は、仮想メモリのアドレス値が、「アドレス値」に対応し得る。一方、仮想メモリを持たないシステムの場合は、物理メモリのアドレスが、「アドレス値」に対応し得る。

また、検証情報記憶部１０５は、図３に示すように、プログラムの部分に対する固有値（以下、第１の値ともいう）を記憶する。第１の値は、「第１の固有値」に対応する。第１の値は、プログラムの実行前に取得（算出）され、第１のインテグリティチェックで使用される。第１の値として、プログラム記憶部１０２に記憶されるプログラムの実体（例えば、バイナリデータ）から算出でき改ざんの有無が確認できるような指標値を用いることができる。指標値として、例えば、ハッシュ値、チェックサム、又は誤り訂正符号の値を用いることができる。また、第１の値として、プログラムの実体そのものを用いることもできる。

検証部１０６は、プログラム実行中に分岐に差し掛かると呼び出され、第１のインテグリティチェックと第２のインテグリティチェックとを行う。つまり、検証部１０６は、プログラムの実行中に、解析部１０４によって挿入された呼び出しに応じて処理を開始する。第２のインテグリティチェックとして、検証部１０６は、プログラムがどこに分岐しようとしているかを確認し、実行中のプログラムの分岐に関する分岐情報と、検証情報記憶部１０５の記憶する分岐情報との整合性を確認する。具体的には、検証部１０６は、現在の（つまり実行中のプログラムの）分岐元アドレスと分岐先アドレスとの組が、検証情報記憶部１０５に記憶された分岐元アドレスと分岐先アドレスとの組に含まれるか否かを確認する。検証部１０６は、現在の分岐元アドレスと分岐先アドレスとの組が検証情報記憶部１０５に含まれていた場合に、検証が成功した、すなわち、情報処理装置１００におけるプログラムの実行フローに関する不正は生じていない、と判定する。

さらに、検証部１０６は、現在の分岐元アドレスと分岐先アドレスとの組に対応するプログラムの部分に対して、第１のインテグリティチェックを行う。第１のインテグリティチェックでは、検証部１０６は、実行中のプログラムについて、検証情報記憶部１０５に記憶されるアドレス範囲で指定されるプログラムの部分の固有値（以下、第２の値ともいう）を算出（取得）する。第２の値は、「第２の固有値」に対応する。第２の値の算出方法は、第１の値の算出方法と同じであり得る。つまり、第１の値がハッシュ値である場合、第２の値もハッシュ値であり得る。検証部１０６は、この第２の値と検証情報記憶部１０５に記憶される第１の値とを比較することによって、検証の成否を判断する。検証部１０６は、第１の値と第２の値とが一致した場合に、検証が成功した、すなわち、情報処理装置１００におけるプログラムに関する不正は生じていない、と判定する。

検証部１０６は、第１のインテグリティチェック又は第２のインテグリティチェックに失敗した場合、セキュリティ違反を報告する。つまり、検証部１０６は、実行中のプログラムについての分岐先アドレスと分岐元アドレスとの組が検証情報記憶部１０５に存在しない場合、又は、第１の値と第２の値とが一致しない場合に、セキュリティ違反を報告する。セキュリティ違反の報告の例として、検証部１０６は、情報処理装置１００内部でのソフトウェア違反割り込みの発生、セキュリティ違反のログの記録、又は、通信部１０３を介した外部への異常報告などを行う。本実施の形態では、セキュリティ違反の報告後は、プログラムの実行を継続せず、プログラムの実行を停止する。しかしながら、違反報告後にプログラムの実行を継続してもよい。

図４は、実施の形態１に係る情報処理装置１００の検証処理を示すフローチャートである。この処理は、検証部１０６によって実行される。まず、検証処理は、制御部１０１のプログラム実行中に分岐に差し掛かり、検証部１０６が検証呼び出しを受けることで開始される（ステップＳ１０１）。これにより、検証部１０６の処理が開始する。呼び出された検証部１０６は、差し掛かった分岐の先の分岐先アドレスを算出する（ステップＳ１０２）。そして、検証部１０６は、第２のインテグリティチェックを行う。つまり、検証部１０６は、このときに得られる分岐元アドレスと分岐先アドレスとの組が、検証情報記憶部１０５に存在するか否かを判定する（ステップＳ１０３）。

分岐元アドレスと分岐先アドレスとの組が検証情報記憶部１０５に存在しない場合（Ｓ１０３のＮＯ）、検証部１０６は、検証が失敗したと判定する。したがって、処理はＳ１０８に進む。一方、検証情報記憶部１０５に該当する項目が存在する場合（Ｓ１０３のＹＥＳ）、検証部１０６は、プログラムの部分に対応するアドレスの範囲を取得する（ステップＳ１０４）。そして、検証部１０６は、第１のインテグリティチェックを行う。つまり、検証部１０６は、取得したアドレス範囲のメモリ上に存在するプログラムに対して第２の値を算出し（ステップＳ１０５）、得られた第２の値が検証情報記憶部１０５の第１の値と等しいか否かを判定する（ステップＳ１０６）。

第１の値と第２の値とが等しい場合（Ｓ１０６のＹＥＳ）、検証部１０６は、検証が成功したと判定する。したがって、検証部１０６は、プログラムの実行を検証部１０６の呼び出し元つまり分岐元に返し、検証を終了する（ステップＳ１０６）。一方、第１の値と第２の値とが等しくない場合（Ｓ１０６のＮＯ）、検証部１０６は、検証が失敗したと判定する。第１のインテグリティチェック（Ｓ１０６）又は第２のインテグリティチェック（Ｓ１０３）で違反を検知した場合（Ｓ１０３のＮＯ，Ｓ１０６のＮＯ）、検証部１０６は、検証の失敗を報告し、検証処理を終了する（ステップＳ１０８）。

以上説明したように、実施の形態１にかかる情報処理装置１００は、プログラムの解析結果を検証情報として用いて、各分岐において、制御部１０１によって実行されているプログラムの完全性の検証及びプログラムの実行フローの完全性の検証を行う。したがって、非特許文献１の入出力を基にプログラムの一部の完全性を検証する場合に比べ、より少ない範囲のプログラムの部分について検証を行うことができ、同時に分岐に対する実行フローの完全性も検証される。つまり、情報処理装置１００は、プログラムの解析の結果得られた分岐情報に対応するプログラム部分について取得された第１の値と、そのプログラム部分に対応するアドレス範囲のプログラムに対して取得された第２の値とを比較する。これによってプログラム部分それぞれについて検証を行うことで、非特許文献１の入出力を基にプログラムの一部の完全性を検証する場合に比べ、より少ない範囲のプログラムの部分について検証を行うことができる。したがって、検証時間を削減することが可能となる。

さらに、解析部１０４は、プログラムを解析することによって、分岐元アドレスと分岐先アドレスとの組を含む分岐情報を取得して、検証情報記憶部１０５に格納する。そして、検証部１０６は、実行されているプログラムについての分岐元アドレスと分岐先アドレスとの組が検証情報記憶部１０５に存在するか否かを判定することで、プログラムの実行フローの完全性の検証を行う。したがって、第１のインテグリティチェックに加えて第２のインテグリティチェックを同じタイミングで実行できるので、効率的に、より確実なプログラムの検証を行うことができる。

（実施の形態２）
次に、実施の形態２について、図面を参照しながら説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。したがって、以下の説明では、上述した実施の形態１と異なる箇所について説明する。

図５は、実施の形態２に係る情報処理装置２００の機能を示すブロック図である。情報処理装置２００は、制御部１０１、プログラム記憶部１０２、通信部１０３、解析部２０４、検証情報記憶部１０５、及び検証部２０６を備える。解析部２０４、検証情報記憶部１０５及び検証部２０６は、それぞれ、図１に示した解析部２、記憶部４及び検証部６に対応する。

実施の形態２では、解析部２０４が、事前の解析において、各分岐に対して分岐条件の確定するタイミングを解析する。このタイミングに応じて、検証部２０６が、検証対象として、複数の分岐を集約する。この集約によって、情報処理装置２００による検証処理の呼び出し回数を削減することができる。したがって、検証領域のサイズによらないで、検証処理の呼び出し毎に要する計算時間（検証時間）を削減することが可能となる。

例えば、各分岐条件に対して、分岐条件の判定直前には既に分岐先は確定している。また、判定直前の命令が分岐条件を変えないような命令であれば、その命令以前に分岐先は確定している。この分岐条件を変えない命令を省いた際に、分岐条件の判定直前に当たる命令の実行直後を、分岐先が確定するタイミングとする。ここで、ある分岐条件の判定時点で、その後に実行される次の分岐条件が確定しているのであれば、検証部２０６は、同時にこれらの２つの分岐条件を判定し、まとめて検証を行う。このように２つの分岐条件をまとめることを、分岐の集約と呼ぶ。実施の形態２における例では２つの分岐条件を集約したが、実際には２つ以上の分岐を集約してもよい。

解析部２０４は、実施の形態１と同様にして抽出された分岐元アドレスと分岐先アドレスとの組に対して、その分岐条件が確定するタイミングに対応する分岐確定アドレスおよび分岐条件を解析する。さらに、解析部２０４は、分岐先アドレスの次に現れる分岐に対応する次分岐元アドレスを解析する。分岐確定アドレスの解析には、プログラムスライシングと呼ばれる、プログラム中の特定の命令又はデータに対してデータ依存性および制御依存性がある部分のみを切り出す技術を用いてもよい。例えば、ソースコード中の特定の命令を指定すると、命令中に含まれるデータを扱う他の命令が、データ依存関係にある命令として抽出される。また、例えば、指定された命令が実行されるか否かに関わる他の命令が、制御依存関係にある命令として抽出される。このデータ依存関係又は制御依存関係にあるデータ又は命令を再帰的に抽出することで、プログラム全体から、指定された命令に関与する部分が抽出される。このプログラムスライシングを分岐条件の判定部分に対して行うことで、分岐条件に関わるプログラムの一部が抽出される。このプログラムの一部の実行の流れを確認することで、分岐条件に関与するデータが最後に取り扱われる命令の実行タイミングとして、分岐確定アドレスが抽出され得る。

図６は、実施の形態２にかかる解析部２０４の解析処理で抽出されたデータを列挙したテーブルを例示する図である。また、図７は、図６に例示したテーブルに関するプログラムの構造を示すグラフである。図６に例示するように、解析処理で抽出されたデータは、各分岐ａ～ｄそれぞれについて、分岐元アドレスと、分岐先アドレスと、分岐確定アドレスと、次分岐元アドレスと、分岐条件とを含む。なお、図６の例では、単一の分岐確定アドレスが得られているが、実際には並列した複数のアドレスが抽出されてもよい。

例えば、分岐ａ及び分岐ｂについて、アドレス「０ｘ１０１０」のｘの値が確定すれば、分岐元アドレス「０ｘ１１００」に対する分岐先アドレスは、「０ｘ１２００」（ｘ＞ｙ）となるか「０ｘ１３００」（ｘ≦ｙ）となるかが決定される。したがって、分岐元アドレス「０ｘ１１００」の分岐ａ（分岐先アドレス「０ｘ１２００」）及び分岐ｂ（分岐先アドレス「０ｘ１３００」）の分岐確定アドレスは、「０ｘ１０１０」となる。また、分岐ａについて、分岐先アドレス「０ｘ１２００」の次の分岐元アドレスは「０ｘ１２１０」である。分岐ｂについて、分岐先アドレス「０ｘ１３００」の次の分岐元アドレスは「０ｘ１３１０」である。

また、分岐ｃ及び分岐ｄについて、アドレス「０ｘ１０２０」のｚの値が確定すれば、分岐元アドレス「０ｘ１３１０」に対する分岐先アドレスは、「０ｘ１４００」（ｚ＞ｗ）となるか「０ｘ１５００」（ｚ≦ｗ）となるかが決定される。したがって、分岐元アドレス「０ｘ１３１０」の分岐ｃ（分岐先アドレス「０ｘ１４００」）及び分岐ｄ（分岐先アドレス「０ｘ１５００」）の分岐確定アドレスは、「０ｘ１０２０」となる。

続いて、解析部２０４は、図６に例示するような、解析処理で抽出されたデータから、集約可能な分岐の組を探索する。ここで、集約可能な分岐の組とは、ある分岐Ａに対して、次分岐である分岐Ｂの分岐条件が分岐Ａの条件判定以前に確定しているような、分岐Ａと分岐Ｂとの組み合わせを言う。手順として、まず、解析部２０４は、連続した実行順序関係にある分岐の組を抽出する。具体的には、解析部２０４は、分岐Ａ及び分岐Ｂを選び、分岐Ａの次分岐元アドレスと分岐Ｂの分岐元アドレスとが一致する組み合わせを探索する。例えば、図６の例では、太枠で示される「０ｘ１３１０」といったデータがこれに該当する。つまり、分岐ｂの次分岐元アドレスは、分岐ｃ及び分岐ｄの分岐元アドレスと一致している。したがって、分岐ｂは上述した分岐Ａに対応し、分岐ｃ及び分岐ｄは、上述した分岐Ｂに対応する。つまり、解析部２０４は、分岐ｂと分岐ｃとの組み合わせ、及び、分岐ｂと分岐ｄとの組み合わせを探索する。

続いて、解析部２０４は、この該当した分岐Ａと分岐Ｂとが集約可能か否かを判定する。具体的には、解析部２０４は、分岐Ａの分岐元アドレスよりも、分岐Ｂの分岐確定アドレスの方が、実行フロー上で先に現れる場合に、二つの分岐を集約可能とみなす。例えば、図６及び図７の例における分岐ｂと分岐ｃ，ｄとの組について、分岐ｂの分岐元アドレス「０ｘ１１００」に対し、分岐ｃ，ｄの分岐確定アドレス「０ｘ１０２０」が先に現れる。したがって、解析部２０４は、分岐ｂと分岐ｃとを集約可能とし、分岐ｂと分岐ｄとを集約可能とする。

図８は、実施の形態２にかかる解析部２０４によって集約された分岐を列挙したテーブルを例示する図である。解析部２０４は、集約可能な２つの分岐を集約する。具体的には、解析部２０４は、図８に例示するように、分岐Ａ及び分岐Ｂの、分岐確定アドレス、次分岐元アドレス、分岐先アドレス及び分岐条件について全て列挙する形で保存する。例えば、図６に示した分岐ｂ及び分岐ｃは、分岐ｅとして集約される。また、図６に示した分岐ｂ及び分岐ｄは、分岐ｆとして集約される。なお、分岐ａは、いずれの分岐とも集約できなかったので、図６に示したものと同じデータとなっている。ここで、分岐確定アドレス及び次分岐元アドレスの列挙されたものについて、分岐Ｂ（分岐ｃ，ｄ）のアドレスのみを保存することで情報量を節約してもよい。また、解析部２０４は、分岐条件について、具体的にプログラム中で評価できるように、各変数値が保存されるメモリアドレス、データ型の情報、又は実際に評価を行うために必要な命令セット等を、検証情報として保存し得る。

解析部２０４は、集約可能な組み合わせがなくなるまで、集約処理を繰り返す。その後、実施の形態１と同様に、解析部２０４は、プログラムの部分に対するアドレス値の個数、開始アドレスと終了アドレスの組、および第１の値（固有値）の算出を行い、検証情報記憶部１０５に記憶する。

図９は、実施の形態２にかかる検証情報記憶部１０５によって記憶される検証情報を示すテーブルを例示する図である。図９に例示するように、実施の形態２にかかる検証情報記憶部１０５に記憶されるテーブルは、分岐元アドレスと分岐先アドレスとの組と、次分岐元アドレスと、分岐条件と、アドレス値の個数と、１つ以上の開始アドレス及び終了アドレスと、固有値とを含む。なお、分岐確定アドレスは、検証に不要のため省略され得る。また、次分岐元アドレスについても、最後に現れるもののみが保存され得る。

さらに、解析部２０４は、検証を行うタイミングとして、集約後の分岐元アドレスに、検証部２０６への呼び出しを挿入する。検証部２０６への呼び出しは、実際のプログラム中に命令として記載されてもよいし、ブレイクポイントとして割り込むように設定されてもよいし、デバッグポートを利用して特定のタイミングで割り込むように設定されてもよい。

図１０は、実施の形態２にかかる解析部２０４によって実行される解析処理を示すフローチャートである。まず、解析部２０４は、プログラムにおける分岐の抽出を行う（ステップＳ２０１）。続いて、解析部２０４は、得られた分岐の分岐元アドレスと分岐先アドレスとの組に対して、次分岐元アドレス、分岐確定アドレス及び分岐条件を解析する（ステップＳ２０２）。そして、解析部２０４は、各分岐に対して、当該分岐よりも先に分岐条件が確定する次分岐が存在するか否かを判定する（ステップＳ２０３）。このような分岐が存在する場合（Ｓ２０３のＹＥＳ）、解析部２０４は、分岐確定アドレス及び次分岐元アドレスと、分岐先アドレスと、分岐条件とについて全て列挙する形で集約する（ステップＳ２０４）。そして、処理はＳ２０３に戻る。

集約する対象がなくなった場合（Ｓ２０３のＮＯ）、解析部２０４は、各項目に対して、該当するプログラムの部分のアドレス値の個数、開始アドレスと終了アドレスとの組、および第１の値（固有値）を算出する（ステップＳ２０５）。解析部２０４は、得られた結果を検証情報記憶部１０５に記憶し、解析処理を終了する（ステップＳ２０６）。

検証部２０６（図５）は、実施の形態１にかかる検証部１０６が行う検証処理に加えて、検証情報記憶部１０５に記憶されるデータに示される分岐条件を基に、実行中のプログラムについて分岐先アドレスの算出を行う。この算出された分岐先アドレスに対応する項目について、検証部２０６は、プログラム部分のアドレス範囲を取得し、第２の値を算出する。検証部２０６は、得られた第２の値を第１の値と比較することで検証の成否を判断する。検証部２０６は、第１の値と第２の値とが一致した場合に、第１のインテグリティチェックに成功した、すなわち、情報処理装置１００におけるプログラムに関する不正は生じていない、と判定する。

さらに、検証部２０６は、検証後に、実行中のプログラムについての次分岐元アドレスを検証情報記憶部１０５に保存する。この次分岐元アドレスは、次回の分岐において呼び出された検証部２０６が前回の検証において予想されていた分岐に正しく到達したかどうかを判定するために使用される。すなわち、検証呼び出しの際には、検証部２０６は、保存された次分岐元アドレスの存在の有無を確認し、保存された次分岐元アドレスが正しく現在の分岐元アドレスと一致していることを確認することで、集約された分岐の実行フローの検証を行う。そのため、実施の形態１にかかる第２のインテグリティチェックに加え、現在の分岐元アドレスと保存された次分岐元アドレスとの比較を行うことが、実施の形態２における第２のインテグリティチェックとなる。

図１１及び図１２は、実施の形態２に係る情報処理装置２００の検証処理を示すフローチャートである。この処理は、検証部２０６によって実行される。まず、検証処理は、制御部１０１のプログラム実行中に分岐に差し掛かり、検証部２０６が検証呼び出しを受けることで開始される（ステップＳ２１１）。これにより、検証部２０６の処理が開始する。呼び出された検証部２０６は、以前に検証（分岐検証）が行われていたか否かを判定する（ステップＳ２１２）。具体的には、検証部２０６は、後述するＳ２２０の処理が以前の分岐検証において行われることによって次分岐元アドレスが保存されているか否かを判定する。次分岐元アドレスが保存されていない場合、つまり検証が行われていなかった場合（Ｓ２１２のＮＯ）、Ｓ２１３の処理は行われず、処理はＳ２１４に進む。

一方、次分岐元アドレスが保存されている場合、つまり検証が行われていた場合（Ｓ２１２のＹＥＳ）、検証部２０６は、第２のインテグリティチェックとして、検証部２０６は、保存されている次分岐元アドレスと現在の分岐元アドレスとが一致するか否かを判定する（ステップＳ２１３）。両者が一致しなかった場合（Ｓ２１３のＮＯ）、検証部２０６は、検証が失敗したと判定する。したがって、処理はＳ２２２に進む。一方、両者が一致した場合（Ｓ２１３のＹＥＳ）、処理はＳ２１４に進み、検証部２０６は、引き続き検証処理を実行する。

検証部２０６は、現在の分岐の分岐先アドレスを算出する（ステップＳ２１４）。検証部２０６は、第２のインテグリティチェックとして、このときに得られる分岐元アドレスと分岐先アドレスとの組が、検証情報記憶部１０５に存在するか否かを判定する（ステップＳ２１５）。分岐元アドレスと分岐先アドレスとの組が検証情報記憶部１０５に存在しない場合（Ｓ２１５のＮＯ）、検証部２０６は、検証が失敗したと判定する。したがって、処理はＳ２２２に進む。

一方、検証情報記憶部１０５に該当する項目があった場合（Ｓ２１５のＹＥＳ）、検証部２０６は、検証情報記憶部１０５に記載される分岐条件を基に、集約された分岐の分岐先アドレスを算出する（ステップＳ２１６）。検証部２０６は、得られた分岐先アドレスの組に対応するプログラムの部分のアドレスの範囲を取得する（ステップＳ２１７）。そして、検証部２０６は、第１のインテグリティチェックを行う。つまり、検証部２０６は、取得したアドレス範囲のメモリ上に存在するプログラムに対して第２の値を算出し（ステップＳ２１８）、得られた第２の値が検証情報記憶部１０５の第１の値と等しいか否かを判定する（ステップＳ２１９）。

第１の値と第２の値とが等しい場合（Ｓ２１９のＹＥＳ）、検証部２０６は、検証が成功したと判定する。この場合、検証部２０６は、次分岐元アドレスを次回の検証（Ｓ２１３）のために保存する（ステップＳ２２０）。その後、検証部２０６は、プログラムの実行を検証部２０６の呼び出し元つまり分岐元に返し、検証を終了する（ステップＳ２２１）。一方、第１の値と第２の値とが等しくない場合（Ｓ２１９のＮＯ）、検証部２０６は、検証が失敗したと判定する。第１のインテグリティチェック又は第２のインテグリティチェックで違反を検知した場合（Ｓ２１９のＮＯ，Ｓ２１３のＮＯ，Ｓ２１５のＮＯ）、検証部２０６は、検証の失敗を報告し、検証処理を終了する（ステップＳ２２２）。

以上説明したように、実施の形態２かかる情報処理装置２００は、プログラムの解析結果を検証情報として用いて、集約された分岐情報に対して、制御部１０１によって実行されているプログラムの完全性の検証及びプログラムの実行フローの完全性の検証を行う。これにより、実施の形態１と比較して少ない検証の呼び出し回数で、第１のインテグリティチェック及び第２のインテグリティチェックを実行することができる。したがって、実施の形態２かかる情報処理装置２００は、実施の形態１の場合と比較して、検証時間をさらに削減することが可能となる。

また、実施の形態２にかかる情報処理装置２００は、検証後に、実行中のプログラムについての次分岐元アドレスを保存する。そして、この保存された次分岐元アドレスは、次回の分岐において呼び出された検証部２０６が前回の検証において予想されていた分岐に正しく到達したかどうかを判定するために使用される。つまり、検証部２０６は、第１の分岐に対する検証が成功した場合に、分岐条件が確定している次の分岐（第２の分岐）に関する分岐情報（次分岐元アドレス）を保存する。そして、検証部２０６は、第１の分岐の次の分岐（第２の分岐）の検証の際に、保存された分岐情報を用いて、プログラムの実行フローの完全性を検証する。これにより、実施の形態２にかかる情報処理装置２００は、第２のインテグリティチェックとして、さらに、分岐元アドレスと保存された次分岐元アドレスとの比較を行う。したがって、実施の形態２にかかる情報処理装置２００は、実施の形態１の場合と比較して、効率的に、より確実なプログラムの検証を行うことができる。

（実施の形態３）
次に、実施の形態３について、図面を参照しながら説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。したがって、以下の説明では、上述した実施の形態１及び実施の形態２と異なる箇所について説明する。

図１３は、実施の形態３に係る情報処理装置３００の機能を示すブロック図である。情報処理装置３００は、制御部１０１、プログラム記憶部１０２、通信部１０３、解析部３０４、検証情報記憶部１０５、及び検証部３０６を備える。また、情報処理装置３００は、通常のプログラム実行環境であるノーマル空間３０１と、セキュア空間３０２とを有する。セキュア空間３０２は、ハードウェア的にノーマル空間３０１側からのアクセスが制限されたセキュアな実行環境である。セキュア空間３０２は、例えばＩｎｔｅｌ ＳＧＸ（Software Guard Extensions）、又は、ＡＲＭ Ｔｒｕｓｔ Ｚｏｎｅ（登録商標）を利用することで構築され得る。

ノーマル空間３０１には、制御部１０１、プログラム記憶部１０２、及び通信部１０３が配置される。これに対し、セキュア空間３０２には、解析部３０４、検証情報記憶部１０５、及び検証部３０６が配置される。なお、本実施の形態では、解析部３０４は、情報処理装置３００に含まれる。しかしながら、情報処理装置３００の外の情報処理装置などの他の信頼できる装置が、解析部３０４の役割を担ってもよい。

解析部３０４は、実施の形態１にかかる解析部１０４と同様に、検証情報を検証情報記憶部１０５に登録する。さらに、解析部３０４は、プログラム中の各分岐に埋め込まれた検証部３０６への呼び出しのアドレス値と、このアドレス値に対応するプログラムの部分の第１の値とを、検証情報記憶部１０５に登録する。つまり、検証情報記憶部１０５は、検証の呼び出しについての第１の値（第１の固有値）を記憶する。

検証部３０６は、実施の形態１にかかる検証部１０６と同様に、制御部１０１の行うプログラム実行中に分岐に差し掛かると呼び出され、上述した検証を行う。さらに、検証部３０６は、設定された特定の周期で、分岐ごとに検証部３０６を呼び出すプログラムの部分の完全性を確認する。つまり、検証部３０６は、周期的に、検証の呼び出しについての第２の値（第２の固有値）を算出する。そして、検証部３０６は、算出された第２の値と、検証情報記憶部１０５に記憶された第１の値とを比較することで、検証の呼び出しの完全性を検証する。

このように、実施の形態３に係る情報処理装置３００は、周期的に検証部３０６への呼び出しを監視するように構成されている。これにより、非セキュアな実行環境にあるプログラム中の検証部３０６の呼び出しの無効化を検出できる。

（変形例）
なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、上述したフローチャートの各ステップの処理の１つ以上は、省略され得る。例えば、図４のＳ１０３の処理はなくてもよい。しかしながら、Ｓ１０３の処理（第２のインテグリティチェック）が実行されることで、より確実に、プログラムの検証処理を行うことが可能となる。図１１のＳ２１５の処理、及びＳ２１２，Ｓ２１３の処理についても同様である。

上述の例において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ）を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

上記の実施の形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
実行前にプログラムを解析して、前記プログラムにおける分岐を抽出し、前記分岐に関する分岐情報と、前記分岐における分岐先から次の分岐までに実行され得る前記プログラムの部分に関するプログラム部分情報とを取得する解析手段と、
前記分岐情報と、前記プログラム部分情報と、前記プログラム部分情報に関するプログラム部分について予め取得され検証のために使用される第１の固有値とを記憶する記憶手段と、
前記プログラムが実行されて実行箇所が前記分岐に到達すると、前記プログラム部分についての検証のために使用される第２の固有値を取得し、前記第２の固有値と前記第１の固有値とが一致するか否かを判定することで、前記プログラム部分の完全性を検証する検証手段と
を有する情報処理装置。
（付記２）
前記記憶手段は、分岐元アドレスと分岐先アドレスとの組を含む前記分岐情報を記憶し、
前記検証手段は、実行されているプログラムの分岐元のアドレスと分岐先のアドレスとの組が前記記憶手段に存在するか否かを判定することで、前記プログラムの実行フローの完全性を検証する
付記１に記載の情報処理装置。
（付記３）
前記解析手段は、プログラム中の前記分岐の分岐条件の確定するタイミングを解析して、複数の分岐を集約し、
前記検証手段は、集約された分岐ごとに前記プログラム部分の完全性を検証する
付記１又は２に記載の情報処理装置。
（付記４）
前記解析手段は、前記タイミングの前に前記分岐の次の分岐の分岐条件が確定している場合に、当該分岐と前記次の分岐とを集約する
付記３に記載の情報処理装置。
（付記５）
前記検証手段は、
第１の分岐に対する検証が成功した場合に、前記分岐条件が確定している次の分岐に関する前記分岐情報を保存し、
前記第１の分岐の次の分岐の検証の際に、保存された前記分岐情報を用いて、前記プログラムの実行フローの完全性を検証する
付記４に記載の情報処理装置。
（付記６）
前記解析手段は、前記プログラムにおける前記分岐に対して検証の呼び出しを挿入し、
前記検証手段は、前記プログラムの実行中に、前記解析手段によって挿入された前記呼び出しに応じて、処理を開始する
付記１～５のいずれか１項に記載の情報処理装置。
（付記７）
前記解析手段、前記記憶手段、及び前記検証手段が配置されるセキュアな実行環境
をさらに有し、
前記記憶手段は、前記呼び出しについての第１の固有値を記憶し、
前記検証手段は、周期的に、前記呼び出しについての第２の固有値を算出し、算出された前記第２の固有値と前記第１の固有値とを比較することで、検証の呼び出しの完全性を検証する
付記６に記載の情報処理装置。
（付記８）
実行前にプログラムを解析して、前記プログラムにおける分岐を抽出し、前記分岐に関する分岐情報と、前記分岐における分岐先から次の分岐までに実行され得る前記プログラムの部分に関するプログラム部分情報とを取得し、
前記分岐情報と、前記プログラム部分情報と、前記プログラム部分情報に関するプログラム部分について予め取得され検証のために使用される第１の固有値とを記憶し、
前記プログラムが実行されて実行箇所が前記分岐に到達すると、前記プログラム部分についての検証のために使用される第２の固有値を取得し、前記第２の固有値と前記第１の固有値とが一致するか否かを判定することで、前記プログラム部分の完全性を検証する
情報処理方法。
（付記９）
分岐元アドレスと分岐先アドレスとの組を含む前記分岐情報を記憶し、
実行されているプログラムの分岐元のアドレスと分岐先のアドレスとの組が記憶されているか否かを判定することで、前記プログラムの実行フローの完全性を検証する
付記８に記載の情報処理方法。
（付記１０）
プログラム中の前記分岐の分岐条件の確定するタイミングを解析して、複数の分岐を集約し、
集約された分岐ごとに前記プログラム部分の完全性を検証する
付記８又は９に記載の情報処理方法。
（付記１１）
前記タイミングの前に前記分岐の次の分岐の分岐条件が確定している場合に、当該分岐と前記次の分岐とを集約する
付記１０に記載の情報処理方法。
（付記１２）
第１の分岐に対する検証が成功した場合に、前記分岐条件が確定している次の分岐に関する前記分岐情報を保存し、
前記第１の分岐の次の分岐の検証の際に、保存された前記分岐情報を用いて、前記プログラムの実行フローの完全性を検証する
付記１１に記載の情報処理方法。
（付記１３）
前記プログラムにおける前記分岐に対して検証の呼び出しを挿入し、
前記プログラムの実行中に、挿入された前記呼び出しに応じて、処理を開始する
付記８～１２のいずれか１項に記載の情報処理方法。
（付記１４）
前記解析する処理、前記記憶する処理、及び前記検証する処理は、セキュアな実行環境で実行され、
前記呼び出しについての第１の固有値を記憶し、
周期的に、前記呼び出しについての第２の固有値を算出し、算出された前記第２の固有値と前記第１の固有値とを比較することで、検証の呼び出しの完全性を検証する
付記１３に記載の情報処理方法。
（付記１５）
実行前にプログラムを解析して、前記プログラムにおける分岐を抽出し、前記分岐に関する分岐情報と、前記分岐における分岐先から次の分岐までに実行され得る前記プログラムの部分に関するプログラム部分情報とを取得するステップと、
前記分岐情報と、前記プログラム部分情報と、前記プログラム部分情報に関するプログラム部分について予め取得され検証のために使用される第１の固有値とを記憶するステップと、
前記プログラムが実行されて実行箇所が前記分岐に到達すると、前記プログラム部分についての検証のために使用される第２の固有値を取得し、前記第２の固有値と前記第１の固有値とが一致するか否かを判定することで、前記プログラム部分の完全性を検証するステップと
をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。

１・・・情報処理装置
２・・・解析部
４・・・記憶部
６・・・検証部
１００，２００，３００・・・情報処理装置
１０１・・・制御部
１０２・・・プログラム記憶部
１０３・・・通信部
１０４，２０４，３０４・・・解析部
１０５・・・検証情報記憶部
１０６，２０６，３０６・・・検証部
３０１・・・ノーマル空間
３０２・・・セキュア空間

Claims (13)

1. 実行前にプログラムを解析して、前記プログラムにおける分岐を抽出し、前記分岐に関する分岐情報と、前記分岐における分岐先から次の分岐までに実行され得る前記プログラムの部分に関するプログラム部分情報とを取得する解析手段と、
   前記分岐情報と、前記プログラム部分情報と、前記プログラム部分情報に関するプログラム部分について予め取得され検証のために使用される第１の固有値とを記憶する記憶手段と、
   前記プログラムが実行されて実行箇所が前記分岐に到達すると、前記プログラム部分についての検証のために使用される第２の固有値を取得し、前記第２の固有値と前記第１の固有値とが一致するか否かを判定することで、前記プログラム部分の完全性を検証する検証手段と
   を有し、
   前記解析手段は、プログラム中の前記分岐の分岐条件の確定するタイミングを解析して、複数の分岐を集約し、
   前記検証手段は、集約された分岐ごとに前記プログラム部分の完全性を検証する
   情報処理装置。
2. 前記記憶手段は、分岐元アドレスと分岐先アドレスとの組を含む前記分岐情報を記憶し、
   前記検証手段は、実行されているプログラムの分岐元のアドレスと分岐先のアドレスとの組が前記記憶手段に存在するか否かを判定することで、前記プログラムの実行フローの完全性を検証する
   請求項１に記載の情報処理装置。
3. 前記解析手段は、前記タイミングの前に前記分岐の次の分岐の分岐条件が確定している場合に、当該分岐と前記次の分岐とを集約する
   請求項１に記載の情報処理装置。
4. 前記検証手段は、
   第１の分岐に対する検証が成功した場合に、前記分岐条件が確定している次の分岐に関する前記分岐情報を保存し、
   前記第１の分岐の次の分岐の検証の際に、保存された前記分岐情報を用いて、前記プログラムの実行フローの完全性を検証する
   請求項３に記載の情報処理装置。
5. 前記解析手段は、前記プログラムにおける前記分岐に対して検証の呼び出しを挿入し、
   前記検証手段は、前記プログラムの実行中に、前記解析手段によって挿入された前記呼び出しに応じて、処理を開始する
   請求項１～４のいずれか１項に記載の情報処理装置。
6. 前記解析手段、前記記憶手段、及び前記検証手段が配置されるセキュアな実行環境
   をさらに有し、
   前記記憶手段は、前記呼び出しについての第１の固有値を記憶し、
   前記検証手段は、周期的に、前記呼び出しについての第２の固有値を算出し、算出された前記第２の固有値と前記第１の固有値とを比較することで、検証の呼び出しの完全性を検証する
   請求項５に記載の情報処理装置。
7. コンピュータによって実行される情報処理方法であって、前記コンピュータが、
   実行前にプログラムを解析して、前記プログラムにおける分岐を抽出し、前記分岐に関する分岐情報と、前記分岐における分岐先から次の分岐までに実行され得る前記プログラムの部分に関するプログラム部分情報とを取得し、
   プログラム中の前記分岐の分岐条件の確定するタイミングを解析して、複数の分岐を集約し、
   前記分岐情報と、前記プログラム部分情報と、前記プログラム部分情報に関するプログラム部分について予め取得され検証のために使用される第１の固有値とを記憶し、
   前記プログラムが実行されて実行箇所が前記分岐に到達すると、前記プログラム部分についての検証のために使用される第２の固有値を取得し、前記第２の固有値と前記第１の固有値とが一致するか否かを判定することで、集約された分岐ごとに前記プログラム部分の完全性を検証する
   情報処理方法。
8. 前記コンピュータが、
   分岐元アドレスと分岐先アドレスとの組を含む前記分岐情報を記憶し、
   実行されているプログラムの分岐元のアドレスと分岐先のアドレスとの組が記憶されているか否かを判定することで、前記プログラムの実行フローの完全性を検証する
   請求項７に記載の情報処理方法。
9. 前記コンピュータが、
   前記タイミングの前に前記分岐の次の分岐の分岐条件が確定している場合に、当該分岐と前記次の分岐とを集約する
   請求項７に記載の情報処理方法。
10. 前記コンピュータが、
    第１の分岐に対する検証が成功した場合に、前記分岐条件が確定している次の分岐に関する前記分岐情報を保存し、
    前記第１の分岐の次の分岐の検証の際に、保存された前記分岐情報を用いて、前記プログラムの実行フローの完全性を検証する
    請求項９に記載の情報処理方法。
11. 前記コンピュータが、
    前記プログラムにおける前記分岐に対して検証の呼び出しを挿入し、
    前記プログラムの実行中に、挿入された前記呼び出しに応じて、処理を開始する
    請求項７～１０のいずれか１項に記載の情報処理方法。
12. 前記解析する処理、前記記憶する処理、及び前記検証する処理は、前記コンピュータによって、セキュアな実行環境で実行され、
    前記コンピュータが、
    前記呼び出しについての第１の固有値を記憶し、
    周期的に、前記呼び出しについての第２の固有値を算出し、算出された前記第２の固有値と前記第１の固有値とを比較することで、検証の呼び出しの完全性を検証する
    請求項１１に記載の情報処理方法。
13. 実行前にプログラムを解析して、前記プログラムにおける分岐を抽出し、前記分岐に関する分岐情報と、前記分岐における分岐先から次の分岐までに実行され得る前記プログラムの部分に関するプログラム部分情報とを取得し、プログラム中の前記分岐の分岐条件の確定するタイミングを解析して、複数の分岐を集約するステップと、
    前記分岐情報と、前記プログラム部分情報と、前記プログラム部分情報に関するプログラム部分について予め取得され検証のために使用される第１の固有値とを記憶するステップと、
    前記プログラムが実行されて実行箇所が前記分岐に到達すると、前記プログラム部分についての検証のために使用される第２の固有値を取得し、前記第２の固有値と前記第１の固有値とが一致するか否かを判定することで、集約された分岐ごとに前記プログラム部分の完全性を検証するステップと
    をコンピュータに実行させるプログラム。

Images