JP7364674B2 - 安全な無線ファームウェアアップグレード - Google Patents

Description

関連アプリケーションの相互参照
この出願は、２０１８年１１月１２日に出願された「安全な無線ファームウェアアップグレード」という表題の米国特許出願第１６／１８６，８６８号の優先権及び利益を主張し、その全体が参照により本明細書に組み込まれる。

この明細書は、組み込み機器のファームウェアをアップグレードするための安全な無線通信のためのシステム、デバイス及び／又は方法に関する。

組み込み機器は、機能の強化、問題の解決及び／又はファームウェアの更新のために、ファームウェアをアップグレードする必要がある。これらの組み込み機器は、ファームウェアアップグレードを受信するための物理インタフェースを有しないワイヤレス組み込み機器である可能性があり、したがって、ワイヤレス組み込み機器は、ワイヤレスリンク又は無線を介してファームウェアアップグレードを受信する必要がある。さらに、これらの組み込み機器は、ファームウェアアップグレードを提供するサービスプロバイダとの継続接続又は常時接続がない場合もあり、したがって、組み込み機器は、ファームウェアの更新を調整する方法でサービスプロバイダのサーバと対話して合意に達する必要がある場合がある。

ファームウェアアップグレードが無線で送信されるとき、パッケージはセキュリティの脆弱性の影響を受けやすくなる。例えば、悪意のある当事者が無線通信を盗聴する又はターゲットデバイスになりすますことによってファームウェアアップグレードにアクセスする可能性がある。他の例では、アクティブな攻撃者がファームウェアアップグレードの変更バージョンを作成し、変更バージョンのファームウェアアップグレードをターゲットデバイスに送信する可能性がある。

したがって、ファームウェアアップグレードへの不正アクセスを防止するのと同時にファームウェアアップグレードのインテグリティ及びソースを検証及び認証するシステム、方法及び／又はデバイスが必要である。

一般的には、本明細書に記載されている主題の一態様は、ファームウェアアップグレードをワイヤレス又は無線で安全に提供するためのデバイス、システム及び／又は装置において具体化されている。システムは、ファームウェアアップグレードを受信するように構成された組み込み機器を有する。システムは、第１の鍵暗号化鍵、ファームウェアアップグレード及びファームウェア鍵を格納するように構成されたメモリを有し、メモリに結合されたプロセッサを有するサーバを有する。プロセッサは、ファームウェアアップグレード、ファームウェア鍵及び第１の鍵暗号化鍵を取得するように構成されている。プロセッサは、ファームウェア鍵を使用してファームウェアアップグレードを暗号化するように構成されている。プロセッサは、ファームウェア鍵を第１の鍵暗号化鍵で暗号化し、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵を組み込み機器に送信するように構成されている。

これらの実施形態及び他の実施形態は、任意選択で、以下の特徴のうちの一つ以上を有してもよい。メモリは、サーバの秘密鍵を格納するように更に構成されてもよい。プロセッサは、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵を組み込み機器に送信する前に、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵にデジタル署名するように更に構成されてもよい。

システムは、コントローラデバイスを有してもよい。コントローラデバイスは、一つ以上の鍵暗号化鍵又はサーバ公開証明書を格納するように構成してもよいメモリを有してもよい。コントローラデバイスは、一つ以上の鍵暗号化鍵を使用してサーバとの接続を確立するように構成してもよいプロセッサを有してもよい。プロセッサは、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵を取得するように構成されてもよく、サーバの公開証明書を使用してデジタル署名を検証してもよい。プロセッサは、一つ以上の鍵暗号化鍵を使用して組み込み機器との接続を確立するように構成されてもよく、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵を組み込み機器に提供してもよい。

サーバのプロセッサは、ファームウェア配信要求を受信するように構成されてもよい。ファームウェア配信要求は、ファームウェアアップグレードの配信モードを有してもよい。配信の異なるモードは、サーバと組み込み機器との間に直接チャネルを確立する第１のモード、オフラインコントローラを介してサーバと組み込み機器との間に間接チャネルを確立する第２のモード及びオンラインコントローラを介してサーバと組み込み機器の間に間接チャネルを確立する第３のモードを有してもよい。

第１の鍵暗号化鍵はセッション鍵であってもよい。ファームウェア鍵は、第３モードのときにセッション鍵を使用して事前暗号化してもよい、又は、第２モードのときに以前のファームウェアバージョン内で難読化されてもよい一般組み込み機器鍵を使用して事前暗号化してもよい。

組み込み機器は、メモリを有してもよい。メモリは、ファームウェア及び第１の鍵暗号化鍵を格納するように構成してもよい。組み込み機器は、メモリに結合されたプロセッサを有してもよい。プロセッサは、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵を格納するように構成されてもよい。プロセッサは、第１の鍵暗号化鍵を使用して、暗号化されたファームウェア鍵を復号化するように構成されてもよい。プロセッサは、ファームウェア鍵を使用して、暗号化されたファームウェアアップグレードを復号化するように構成されてもよい。プロセッサは、ファームウェアアップグレードを使用してファームウェアを更新するように構成されてもよい。

他の態様では、主題は、ファームウェアアップグレードの安全な配信のためのシステムにおいて具体化される。システムは、ファームウェアアップグレードを受信するように構成された組み込み機器を有する。システムは、セッション鍵、ファームウェアアップグレード及びファームウェア鍵を格納するように構成されたメモリを有するサーバを有する。システムは、メモリに結合されたプロセッサを有する。プロセッサは、ファームウェア鍵を使用してファームウェアアップグレードを暗号化するとともにセッション鍵を使用してファームウェア鍵を暗号化するように構成されている。プロセッサは、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵を安全なチャネルを介して組み込み機器に送信するように構成されている。

他の態様では、主題は、ファームウェアの安全な配信のための方法において具体化される。方法は、ファームウェア鍵を使用してファームウェアアップグレードを暗号化することを有する。方法は、セッション鍵を使用してファームウェア鍵を暗号化することを有する。方法は、組み込み機器が第１のモード、第２のモード又は第３のモードにあることを判断することを有する。方法は、ファームウェアアップグレード及び暗号化されたファームウェア鍵を、組み込み機器が第１のモードにあるときに組み込み機器に送信するとともに組み込み機器が第２のモード又は第３のモードにあるときにコントローラデバイスに送信することを有する。

本発明の他のシステム、方法、特徴及び利点は、以下の図面及び詳細な説明を検討することにより、当業者に明らかになる又は明らかになるであろう。そのようなすべての追加のシステム、方法、特徴及び利点は、本明細書に含まれ、本発明の範囲内にあり、添付する特許請求の範囲によって保護されることが意図される。図面に示されている構成部品は、必ずしも一定の縮尺である必要はなく、本発明の重要な特徴を更によく説明するために誇張されている場合がある。図面において、同様の参照番号は、互いに異なる図の全体に亘って同様の部品を示す。

本発明の一態様による、組み込み機器のファームウェアのようなソフトウェアをアップグレードする無線（ＯＴＡ）アップグレードシステムの例示的なブロック図を示す。 本発明の一態様による、組み込み機器へのファームウェアアップグレードを安全に提供するために図１のＯＴＡアップグレードシステムのサーバ上に実装された例示的なプロセスの流れ図である。 本発明の一態様による、ファームウェアアップグレードを安全に取得及び配信するために図１のＯＴＡアップグレードシステムの組み込み機器上に実装された例示的なプロセスの流れ図である。 本発明の一態様による、ファームウェアアップグレードを安全に取得及び復号化するために図１のＯＴＡアップグレードシステムのコントローラ上に実装された例示的なプロセスの流れ図である。 本発明の一態様による、図１のＯＴＡシステムが直接モードであるときの暗号化されたファームウェアアップグレード及び／又はファームウェア鍵の例を示す。 本発明の一態様による、図１のＯＴＡシステムが間接オフラインモード又は間接オンラインモードであるときの暗号化されたファームウェアアップグレード及び／又はファームウェア鍵の例を示す。

サービスプロバイダのサーバ又は他のコンピューティングデバイスから組み込み機器へのファームウェアアップグレードの無線配信を保護するためのシステム、デバイス及び方法をここに開示する。組み込み機器は、ファームウェアアップグレード又は他のソフトウェアのアップグレードを取得するために、無線又はワイヤレス通信に依存してもよいスマートデバイス又は他の組み込み機器であってもよい。組み込み機器は、ファームウェア又は他のソフトウェアアップグレードを受信又は取得するための物理インタフェースを有しても有しなくてもよく、したがって、ファームウェアアップグレードを無線で送受信する必要がある場合がある。

安全な無線アップグレードシステム（「ＯＴＡアップグレードシステム」）は、サーバ及び組み込み機器を有する。サービスプロバイダのコンピューティングデバイスのようなサーバは、スマートウェアラブルデバイス、モノのインターネット（ＩｏＴ）デバイス、医療機器又は他の組み込み機器のような組み込み機器に、組み込み機器上のソフトウェアを更新するために使用してもよいファームウェアアップグレードのようなソフトウェアパッケージを提供する。ＯＴＡアップグレードシステムは、オフライン機能を提供する及び／又はソフトウェアパッケージを一つ以上の組み込み機器に配信するための更なる可動性（ｍｏｂｉｌｉｔｙ）及び／又は適応性（ｆｌｅｘｉｂｉｌｉｔｙ）を提供するようにサーバと組み込み機器との間をインタフェースで接続するためにコントローラデバイス（「コントローラ」）を利用してもよい。

他の利益及び利点は、ＯＴＡアップグレードシステムがサーバ、組み込み機器及び／又はコントローラの間に安全な通信チャネルを確立できることを有する。安全な通信チャネルは、転送前、転送後及び転送中にソフトウェアパッケージを保護するために暗号化、認証、署名及び／又は他のセキュリティ対策（ｓｅｃｕｒｉｔｙ ｍｅｃｈａｎｉｓｍ）を利用する。例えば、ソフトウェアパッケージは、無線での転送中のソフトウェアパッケージの機密性を保護するために暗号化されてもよい。他の例では、ソフトウェアパッケージは、輸送中のソフトウェアパッケージの変更を防止するとともにソフトウェアパッケージのソースを認証するために署名されてもよい。複数の暗号化アルゴリズム及び／又は鍵を、ソフトウェアパッケージ及び転送中にソフトウェアパッケージの配布に必要な鍵の両方を保護するために使用してもよい。これにより、ＯＴＡアップグレードシステムは、検証済み及び認証済みの機密ソフトウェアパッケージを組み込み機器に無線で提供することができる。

図１は、組み込み機器１０４のファームウェアのようなソフトウェアをサーバ１０２からアップグレードするＯＴＡアップグレードシステム１００のブロック図を示す。以下、組み込み機器上のファームウェアをアップグレード又は更新するファームウェアアップグレードについて言及するとしても、ＯＴＡアップグレードシステム１００は、組み込み機器１０４のアプリケーション、オペレーティングシステム又は任意の低レベルソフトウェアを含む他のソフトウェアのような任意のタイプのソフトウェアを同様の方法でアップグレードしてもよい。

ＯＴＡアップグレードシステム１００は、組み込み機器１０４及びサーバ１０２を有する。ＯＴＡアップグレードシステム１００は、組み込み機器１０４とサーバ１０２の間の仲介物であるコントローラデバイス（「コントローラ」）１０６を有してもよい。組み込み機器１０４は、ウェアラブルであってもウェアラブルなくてもよいスマートデバイス、医療機器、デジタル時計若しくはオーディオプレーヤーのようなポータブルデバイス、ルータ、スマートフォン、工場用若しくは産業用コントローラ又は他の専用コンピュータ若しくはプロセッサであってもよい。いくつかの実装形態では、ＯＴＡアップグレードシステム１００は、汎用コンピュータに接続され、ソフトウェアアップグレードを汎用コンピュータに提供してもよい。

組み込み機器１０４は、プロセッサ１０８及びメモリ１１０を有してもよい。プロセッサ１０８は、単一のプロセッサ又は複数のプロセッサであってもよい。プロセッサ１０８は、一つ以上のコンポーネントからデータを受信し、受信又は決定したデータに基づいて一つ以上のコンポーネントの動作を制御してもよい。例えば、プロセッサ１０８は、サーバ１０２からのファームウェアアップグレードを復号化してもよい、ファームウェアアップグレードを検証及び認証してもよい、及び／又は、ファームウェアアップグレードで組み込み機器１０４のファームウェアを更新してもよい。

プロセッサ１０８をメモリ１１０に結合してもよい。メモリ１１０は、プロセッサ１０８上で実行するための命令を格納してもよく、一つ以上のランダムアクセスメモリ（ＲＡＭ）又は他の揮発性若しくは不揮発性メモリを有してもよい。メモリ１１０は、ハードディスクドライブ、ソリッドステートディスクドライブ、ハイブリッドディスクドライブ又は他の適切なデータストレージのような非一時的メモリ又はデータストレージデバイスであってもよく、プロセッサ１０８によってロード及び実行してもよい機械可読命令を更に格納してもよい。メモリ１１０は、クラウド－組み込み機器鍵のような暗号化及び／又は復号化に使用される一つ以上の鍵、及び／又は、署名検証に使用されるサーバ公開証明書のような一つ以上の証明書を格納してもよい。

組み込み機器１０４は、物理的インタフェースを有さないことがあるので、組み込み機器１０４は、ネットワークアクセスインタフェース１１２を有してもよい。ネットワークアクセスインタフェース１１２は、一つ以上のＷｉ-Ｆｉ（登録商標）ユニット、ブルートゥース（登録商標）ユニット、無線周波数識別（ＲＦＩＤ）タグ若しくはリーダー又は（３Ｇ、４Ｇ、５Ｇのような）セルラーネットワークにアクセスするためのセルラーネットワークユニットのような通信ポート又はチャネルを有してもよい。ネットワークアクセスインタフェース１１２は、直接接続されていないデバイスとシステムの間でデータを送受信してもよい。組み込み機器１０４は、例えば、ネットワーク１３８を介してサーバ１０２及び／又はコントローラ１０６に接続するためにネットワークアクセスインタフェース１１２を使用してもよい。

ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、セルラーネットワーク、インターネット又はその組合せのようなネットワーク１３８は、無線又はワイヤレスファームウェアのアップデートを受信するために組み込み機器１０４をサーバ１０２に接続する。例えば、組み込み機器１０４を、サーバ１０２内のデータベースからアップデートにアクセス及びダウンロードするためにサーバ１０２に結合してもよい。いくつかの実装形態では、サーバ１０２は、アップデートを組み込み機器１０４に転送する。

組み込み機器１０４は、サーバ１０２に結合してもよい。サーバは、ファイルへのアクセス又は周辺機器の共有のようなサービスをネットワーク内の他のコンピュータに提供するために使用されるネットワーク内のコンピュータであってもよい。サーバ１０２は、組み込み機器１０４にファームウェアアップグレードを提供するサービスプロバイダあってもよい。サーバ１０２は、プロセッサ１１４、メモリ１１６及びネットワークアクセスデバイス１１８を有する。プロセッサ１１４は、同様のコンポーネント及び／又は機能を有してもよいが、組み込み機器１０４のプロセッサ１０８よりも多くのリソースを有する。プロセッサ１１４は、パッケージ及び／又はメッセージを暗号化、復号化及び／又は署名するために、クラウド－組み込み機器鍵及び／又はクラウド－コントローラデバイス鍵のような一つ以上の鍵、及び／又は、サーバ秘密鍵のような一つ以上の証明書を使用してもよい。

プロセッサ１１４をメモリ１１６に結合してもよい。メモリ１１６は、同様のコンポーネント及び／又は機能を有してもよいが、メモリ１１０よりも多くのリソースを有する。 メモリ１１６は、例えば、クラウド－組み込み機器鍵及び／又はクラウド－コントローラデバイス鍵のような一つ以上の鍵、及び／又は、一つ以上の証明書を格納してもよい。

メモリ１１６は、データベースを格納してもよい。データベースは、例えば、コンピュータによる検査及び検索のために構成された情報のコレクションであり、データベースは、テーブル、スキーマ、クエリ、レポート又は他のデータ構造で構成されてもよい。データベースは、任意の数のデータベース管理システムを使用してもよい。情報は、リアルタイム情報、定期的に更新される情報又はユーザが入力した情報を有してもよい。例えば、データベースは、様々な組み込み機器の様々なファームウェアアップグレードの複数のバージョンを格納してもよい。データベースは、様々なファームウェアアップグレードを暗号化／復号化するために及び／又は様々な組み込み機器と安全に通信するために使用される一つ以上の鍵及び／又は一つ以上の証明書を格納してもよい。

サーバ１０２は、ネットワークアクセスデバイス１１８を有する。ネットワークアクセスデバイス１１８は、サーバ１０２、組み込み機器１０４及び／又はコントローラ１０６の間で送信及び／又は受信を行うようにネットワーク１３８にアクセスするために、組み込み機器１０４のネットワークアクセスインタフェース１１２と同様の構成要素及び／又は機能を有する。

サーバ１０２は、ユーザインタフェース１２０を有してもよい。ユーザインタフェース１２０は、ユーザインタフェース要素、ボタン、ダイヤル、マイクロフォン、キーボード又はタッチスクリーンのようなユーザ入力を受信することができる入力／出力デバイス１２２及びディスプレイ、スピーカー又は再生可能な点字ディスプレイのような出力が可能な任意のデバイスを有してもよい。ユーザインタフェース１２０は、例えば、ファームウェアアップグレード、一つ以上の鍵及び／又は一つ以上の証明書を含むユーザ入力を受け取ってもよい。他の例では、ユーザインタフェース１２０は、バージョン番号のようなファームウェアアップグレードを補足するための追加情報及び／又は一つ以上の不変の識別子のような一つ以上の証明書を補足するための追加情報を受信してもよい。

ＯＴＡアップグレードシステム１００は、コントローラ１０６を有してもよい。コントローラ１０６は、組み込み機器１０４とサーバ１０２の間にオンラインインタフェース又はオフラインインタフェースを提供してもよい。コントローラ１０６がオンラインインタフェースを提供するとき、サーバ１０２及び組み込み機器１０４は、ネットワーク１３８を使用してコントローラ１０６を介して接続を確立し、三つのデバイスの全てが同時に接続される。サーバ１０２は、確立された接続を通じてコントローラ１０６を介して組み込み機器１０４にファームウェアアップグレードを提供する。コントローラ１０６が組み込み機器１０４とサーバ１０２の間にオフラインインタフェースを提供するとき、サーバ１０２は、コントローラ１０６が組み込み機器１０４に接続するときとは別個にかつ異なるようにコントローラ１０６に接続する。サーバ１０２は、転送中に組み込み機器１０４に接続されていないコントローラ１０６にファームウェアアップグレードを提供する。その後、コントローラ１０６は、接続を確立し、組み込み機器１０４にファームウェアアップグレードを提供する。

コントローラ１０６は、プロセッサ１２４及びメモリ１２６を有する。プロセッサ１２４は、プロセッサ１０８，１１４と同様の構成要素及び／又は機能を有してもよい。メモリ１２６は、メモリ１１０，１１６と同様の構成要素及び／又は機能を有してもよい。いくつかの実装形態では、メモリ１２６は、暗号化されたメモリであってもよい。コントローラ１０６は、ユーザインタフェース１２８及び／又はネットワークアクセスデバイス１３０を有してもよい。ユーザインタフェース１２８及び／又はネットワークアクセスデバイス１３０はそれぞれ、ユーザインタフェース１２０及び／又はネットワークアクセスデバイス１１８又はネットワークアクセスインタフェース１１２と同様の構成要素及び／又は機能を有する。

コントローラ１０６は、信頼できる実行環境（「信頼できる環境」）１３４及び／又は信頼できない実行環境（「信頼できない環境」）１３６を有してもよい。信頼できる環境１３４内のコンポーネントは、信頼できない環境１３６内の他のコンポーネントから論理的及び／又は物理的に分離及び／又はサンドボックス（ｓａｎｄｂｏｘｅｄ）されている。信頼できる環境１３４は、別個の及び／又は異なるオペレーティングシステムを実行するとともに信頼できない環境１３６とは異なるリソースを有してもよい。信頼できる環境１３４及び信頼できない環境１３６は、例えば、互いに異なるプロセッサを有してもよい。

コントローラ１０６は、セキュアエレメント１３２を有してもよい。セキュアエレメント１３２は、鍵生成、鍵記憶及び／又は他の暗号化機能を提供してもよい。いくつかの実装形態では、セキュアエレメント１３２は、コントローラ１０６に含まれる、コントローラ１０６の中に埋め込まれる又はコントローラ１０６に挿入される。セキュアエレメント１３２は、別個のハードウェアトークン若しくはデバイス又は証明書、鍵若しくは他の認証若しくは識別情報データを安全に格納する集積回路及び／又はメモリのようなセキュアエレメントチップであってもよい。コントローラ１０６は、サーバ１０２及び／又は組み込み機器１０４との安全な接続のペアリング又は確立及び／又はコントローラ１０６がオフラインであるときのファームウェアアップグレードの格納のような安全な機能を実行するために、セキュアエレメント１３２及び／又は信頼できる環境１３４を利用してもよい。

プロセッサ１２４、メモリ１２６、ユーザインタフェース１２８又はネットワークアクセスデバイス１３０のようなコントローラ１０６の構成要素のいずれか、全て又は一部は、信頼できる実行環境１３４、セキュアエレメント１３２及び／又は信頼できない実行環境１３６内にあってもよい。

図２は、組み込み機器１０４にファームウェアアップグレードを安全に提供するためにサーバ１０２上に実装されたプロセス２００の流れ図である。適切にプログラムされた、図１のＯＴＡアップグレードシステム１００の一つ以上のコンピュータ又はデータ処理装置、例えば、サーバ１０２のプロセッサ１１４は、ファームウェアアップグレードを組み込み機器１０４に供給、送信又は伝送することができる。

サーバ１０２は、一つ以上のファームウェアアップグレード、一つ以上の鍵、一つ以上の不変の識別子及び／又は一つ以上の証明書を取得してもよい（２０２）。サーバ１０２は、一つ以上のファームウェアアップグレード、一つ以上の鍵、一つ以上の不変の識別子及び／又は一つ以上の証明書をユーザから取得してもよい。ＯＴＡアップグレードシステム１００の管理者は、一つ以上のファームウェアアップグレード、一つ以上の鍵、一つ以上の不変の識別子及び／又は一つ以上の証明書を、ユーザインタフェース１２０を介してサーバ０１２に供給してもよい。サーバ１０２は、後にコントローラ１０６又は組み込み機器１０４に供給又は配信するために一つ以上のファームウェアアップグレード、一つ以上の鍵、一つ以上の不変識別子及び／又は一つ以上のコレ証明書（ｋｏｒｅ ｃｅｒｔｉｆｉｃａｔｅｓ）をメモリ１１６に格納してもよい。

一つ以上のファームウェアアップグレードは、バージョン番号及び／又は組み込み機器の関連付けを有してもよい。バージョン番号は、サービスプロバイダがファームウェアアップグレードをリリースした日付及び／又はファームウェアアップグレードのバージョンに関連する変更のような情報を提供するバージョン管理番号であってもよい。組み込み機器の関連付けは、ファームウェアアップグレードが更新する組み込み機器の型又はカテゴリーごとの一意の識別子であってもよい。

一つ以上の鍵は、一つ以上のファームウェア鍵及び／又は一つ以上の鍵暗号化鍵（ＫＥＫ）を有してもよい。一つ以上の鍵をランダムに生成してもよい。サーバ１０２は、ファームウェアアップグレードを組み込み機器１０４に配信する前、ファームウェアアップグレードを組み込み機器１０４に配信した後及び／又はファームウェアアップグレードを組み込み機器１０４に配信する配信する間にファームウェアアップグレードを暗号化／復号化するために、一つ以上のファームウェア鍵を使用してもよい。サーバは、一つ以上のファームウェア鍵を組み込み機器１０４に配信する前、一つ以上のファームウェア鍵を組み込み機器１０４に配信した後及び／又は一つ以上のファームウェア鍵を組み込み機器１０４に配信する間に一つ以上のファームウェア鍵を暗号化／復号化するために、一つ以上のＫＥＫを使用してもよい。

一つ以上の証明書は、一つ以上のデバイス証明書を有してもよい。一つ以上のデバイス証明書は、サーバ秘密鍵のような秘密鍵証明書及び／又はサーバ公開鍵のような公開デバイス証明書を有してもよい。サーバ１０２は、組み込み機器１０４に配信する前にファームウェアアップグレード及び／又はファームウェア鍵にデジタル署名するためにプライベート証明書を使用してもよい。組み込み機器１０４は、デジタル署名を検証するために公開証明書を使用してもよい。プライベート証明書／パブリック証明書を使用すると、署名されたコンテンツが転送中に変更されていないことが保証される、すなわち、デジタル署名は、署名されたコンテンツのインテグリティを保護する及び／又は署名されたコンテンツのソースを識別する。さらに、一つ以上の証明書は、証明書にバインドされている一つ以上の不変の識別子を有してもよい。これは、署名されたコンテンツのソースの追加認証を提供する。

一つ以上の不変の識別子は、デバイス証明書にバインドされるとともに関連付けられてもよい国際携帯機器識別（ＩＭＥＩ）番号、電話番号、ブルートゥース（登録商標）ローエナジー（ＢＬＥ）メディアアクセス制御（ＭＡＣ）アドレス、ＴｒｕｓｔＺｏｎｅ（登録商標）識別子（ＩＤ）又は他のデバイス識別子を有してもよい。一つ以上の不変の識別子は、不変である及び／又は変えられない組み込み機器１０４の特定の識別子であってもよい。

サーバ１０２は、ファームウェアバージョン番号及び関連する有効期限のリストに署名するとともに当該リストをコントローラ１０６又は組み込み機器１０４に送信してもよい（２０３）。ファームウェアのバージョン番号及び関連する有効期限のリストを、ファームウェアのバージョンの有効期限が切れるとき及び／又はファームウェアアップグレードが必要になるときを確認するために使用してもよい。

サーバ１０２は、配信モード要求を取得してもよい又はファームウェアアップグレード内から配信モードを取得してもよい（２０４）。配信モード要求は、特定のモードを使用してファームウェアアップグレードを配信するための組み込み機器１０４からの要求である。配信モード要求は、ファームウェアアップグレードの配信の特定の実装及び方法を有してもよい。いくつかの実装形態では、ファームウェアアップグレードは、実装及び配信の方法を指定し、サーバ１０２は、ファームウェアアップグレードから配信モードを抽出する。

配信モード要求は、一つ以上の配信モードを識別してもよい。もう一つのモードは、直接クラウド－組み込み機器モード（「直接モード」）、間接オフラインクラウド－コントローラ－組み込み機器モード（「間接オフラインモード」）及び／又は間接クラウド－コントローラ－組み込み機器モード（「間接オンラインモード」）を有してもよい。直接モードでは、サーバ１０２は、サーバ１０２と組み込み機器１０４の間に直接チャネルを確立する。間接オフラインモードでは、サーバ１０２は、オフラインコントローラ１０６を介してサーバ１０２と組み込み機器１０４の間に間接チャネルを確立する。間接オンラインモードでは、サーバ１０２は、オンラインコントローラ１０６を介してサーバ１０２と組み込み機器１０４の間に間接チャネルを確立する。

サーバ１０２は、サーバ１０２及び組み込み機器１０４がペアリングされた後及び／又はサーバ１０２と組み込み機器１０４との間に安全な通信チャネルを確立した後、組み込み機器１０４から配信モード要求を取得してもよい。いくつかの実装形態では、サーバ１０２は、第１のファームウェアアップグレードが組み込み機器１０４に無事に配信されるまで初期化されるとともに直接モードにデフォルトしてもよい。例えば、組み込み機器１０４は、最初のファームウェアアップグレードが直接モードを介して配信されることを要求するように予め構成されてもよい。

サーバ１０２は、ファームウェアアップグレードを暗号化してもよい（２０６）。サーバ１０２は、ファームウェア鍵を使用してファームウェアアップグレードを暗号化してもよい。ファームウェア鍵は、各組み込み機器１０４の各ファームウェアアップグレード又はファームウェアの各バージョンの一意の鍵であってもよい。したがって、組み込み機器１０４は、サーバ１０２からファームウェア鍵を取得する前にファームウェア鍵を有さなくてもよく、したがって、ファームウェアアップグレードが意図しない他の組み込み機器に伝送される場合、意図しない他の組み込み機器は、ファームウェアアップグレードを復号化することができない。すなわち、他のデバイスが、暗号化されたファームウェアアップグレードにアクセスできる場合でも、他のデバイスは、ファームウェアアップグレードを復号化することができず、ファームウェアアップグレードにアクセスすることができない。

サーバ１０２は、ファームウェアアップグレードの配信のために、配信モードが直接モード、間接オンラインモード又は間接オフラインモードのいずれであるかを判断してもよい（２０８）。直接モード及び間接オンラインモードは、オンライン配信モードである。オンライン配信モードは、ファームウェアアップグレードの配信前、ファームウェアアップグレードの配信後及び／又はファームウェアアップグレードの配信中にサーバ１０２が直接的な又はコントローラ１０６を介して間接的なサーバ１０２と組み込み機器１０４の間の継続接続を維持することを必要とする。一方、間接オフライン配信モードは、サーバ１０２がファームウェアアップグレードをコントローラ１０６に格納した後に組み込み機器１０４に配信することを可能にするオフライン配信モードである。

サーバ１０２は、ファームウェアアップグレードの特定の実装及び配信方法、例えば、配信モード要求で指定された又はファームウェアアップグレードで指定された一つ以上の配信モードに基づいて、配信モードを決定してもよい。サーバ１０２は、配信モード要求から一つ以上の配信モードを抽出するとともに配信モードを決定してもよい。配信モード要求に含まれるモードを、配信モードを示すフラグ、ビット又は他のインジケータとして表してもよい。

サーバ１０２が、モードが間接オンラインモードであると判断した場合、サーバ１０２は、第１の鍵暗号化鍵を使用してファームウェア鍵を事前暗号化してもよい（２１０）。第１の鍵暗号化鍵は、クラウド－組み込み機器セッション鍵であってもよい。ファームウェア鍵をクラウド－組み込み機器セッション鍵で暗号化することにより、サーバ１０２は、コントローラ１０６がファームウェア鍵にアクセスするのを防止し、これによって、ファームウェアアップグレードの機密性を保護する。その理由は、コントローラがクラウド－組み込み機器セッション鍵にアクセスできないからである。さらに、クラウド－組み込み機器セッション鍵は、各組み込み機器及び／又は組み込み機器の各型に固有の一意の鍵であってもよいので、サーバ１０２は、他の意図しない組み込み機器又は意図しない型の組み込み機器がファームウェア鍵にアクセスするのを防止することができる。その理由は、これらの他の組み込み機器が特定のクラウド－組み込み機器セッション鍵を有しないからである。

サーバ１０２が、モードが間接オフラインモードであると判断した場合、サーバ１０２は、第２の鍵暗号化鍵を使用してファームウェア鍵を事前暗号化してもよい（２１２）。第２の鍵暗号化鍵は、一般組み込み機器鍵（ｇｅｎｅｒａｌ ｅｍｂｅｄｄｅｄ ｄｅｖｉｃｅ ｋｅｙ）であってもよい。一般組み込み機器鍵は、以前のファームウェアバージョンのファームウェアコード内で難読化されてもよい。元のファームウェアバージョン又は初期のファームウェアバージョンは、製造中及び／又はプロビジョニング中に含まれるファームウェアコードを有してもよい。例えば、ファームウェア鍵に関連付けられているファームウェアアップグレードがバージョン２．０である場合、以前のバージョンのファームウェア、例えば、バージョン１．０は、現在のファームウェアアップグレードバージョン２．０に関連付けられている一般組み込み機器鍵を有してもよい。配信されるファームウェアアップグレードの現在のバージョンは、次のファームウェアアップグレード用の一般組み込み機器鍵を有してもよい。例えば、ファームウェアアップグレードバージョン２．０は、ファームウェアアップグレードバージョン３．０の一般組み込み機器鍵を有してもよい。

ファームウェア鍵を一般組み込み機器鍵で暗号化することにより、サーバ１０２は、コントローラ１０６がファームウェア鍵にアクセスするのを防止し、これによって、ファームウェアアップグレードの機密性を保護する。その理由は、コントローラ１０６が一般組み込み機器鍵にアクセスできないからである。しかしながら、一般組み込み機器鍵は、以前のファームウェアバージョンを利用する全ての組み込み機器のファームウェアコード内で難読化されてもよく、各組み込み機器に固有ではなくてもよい。しかしながら、コントローラ１０６はファームウェア鍵にアクセスできないので、組み込み機器１０４がファームウェアアップグレードを要求するまでファームウェアアップグレードをコントローラ１０６に格納するとともにコントローラ１０６と連動して移送してもよい。

いくつかの実装形態では、ファームウェア鍵を、クラウド－組み込み機器セッション鍵又は間接オンラインモード若しくは間接オフラインモードの一般組み込み機器鍵をそれぞれ使用して、サーバ１０２以外の別のエンティティによって事前暗号化され、単に取得するとともにサーバ１０２内に格納する。

サーバ１０２が、モードが間接オンラインモード又は間接オフラインモードであると判断するとき、サーバ１０２は、事前暗号化されたファームウェア鍵を、クラウド－コントローラデバイスセッション鍵のような第３の鍵暗号化鍵で暗号化する（２１４）。これは、後に一つ以上の組み込み機器に配布するためにコントローラ１０６に転送する間のファームウェア鍵を保護する。いくつかの実装形態では、サーバ１０２は、追加のセキュリティのために、暗号化されたファームウェアアップグレードを第３の鍵暗号化鍵で暗号化してもよい。

サーバ１０２が、モードが直接モードであると判断する場合、サーバ１０２がファームウェア鍵を事前に暗号化する必要がない。その理由は、ファームウェアアップグレードがコントローラ１０６又は他のデバイスを横断することなくサーバ１０２がファームウェアアップグレードを組み込み機器１０４に直接配信又は提供するからである。代わりに、サーバ１０２は、クラウド－組み込み機器セッション鍵のような第４の鍵暗号化鍵でファームウェア鍵を暗号化する（２１６）。クラウド－組み込み機器セッション鍵は、サーバ１０２及び組み込み機器１０４にのみに既知であってもよく、事前共有されていてもよい。 ファームウェア鍵をクラウド－組み込み機器セッション鍵で暗号化することにより、他のデバイスがファームウェア鍵及びファームウェアアップグレードにアクセスできなくなるようにしてもよい。いくつかの実装形態では、サーバ１０２は、暗号化されたファームウェアアップグレードを第４の鍵暗号化鍵で暗号化してもよい。

サーバ１０２は、ファームウェアアップグレード及び／又はファームウェア鍵を送信、伝送又は他の方法で供給する前に、ファームウェアアップグレード及び／又はファームウェア鍵に署名してもよい（２１８）。サーバ１０２は、以前に暗号化された可能性のあるファームウェアアップグレード及び／又はファームウェア鍵を組み合わせて単一のデータパッケージにしてもよい。いくつかの実装形態では、サーバ１０２は、傍受を更に困難にするために、ファームウェアアップグレード及びファームウェア鍵の配信を別個のパッケージ配信として保持する。サーバ１０２は、メモリ１１６からサーバ秘密鍵を取得し、ファームウェアアップグレード及び／又はファームウェア鍵にデジタル署名するためにサーバ秘密鍵を使用してもよい。サーバ１０２は、一つ以上のファームウェアアップグレード、ファームウェアアップグレード鍵、ファームウェアアップグレードバージョン番号及び／又は組み込み機器識別子の連結の暗号化ハッシュ関数出力にデジタル署名してもよい。サーバ１０２がファームウェアアップグレード及び／又はファームウェア鍵に署名するとき、サーバ１０２は、サーバ１０２がファームウェアアップグレード及び／又はファームウェア鍵を送信するときにサーバ公開鍵を有してもよい。ファームウェアアップグレード及び／又はファームウェア鍵にデジタル署名することにより、ファームウェアアップグレード及び／又はファームウェア鍵が変更されていないこと及びファームウェアアップグレード及び／又はファームウェア鍵の発信元がサーバ１０２であることを確実にするためにデジタル署名を検証してもよい。

サーバ１０２がファームウェア鍵及び／又はファームウェアアップグレードを暗号化した後、サーバ１０２は、コントローラ１０６又は組み込み機器１０４との接続を確立する（２２０）。サーバ１０２は、配信モードに基づいて、コントローラ１０６又は組み込み機器１０４との接続を確立する。モードが間接オフラインモード又は間接オンラインモードである場合、サーバ１０２は、コントローラ１０６との接続を確立する。サーバ１０２は、コントローラ１０６との安全な接続を確立するためにクラウド－コントローラデバイスセッション鍵を使用してもよい。モードが直接モードである場合、サーバ１０２は、組み込み機器１０４との接続を確立する。サーバ１０２は、組み込み機器１０４との安全な接続を確立するためにクラウド－組み込み機器セッション鍵を使用してもよい。

サーバ１０２がコントローラ１０６又は組み込み機器１０４との接続を確立するとともにファームウェア鍵及びファームウェアアップグレードを暗号化すると、サーバ１０２は、暗号化されたファームウェア鍵及び暗号化されたファームウェアアップグレードをコントローラ１０６又は組み込み機器１０４に伝送、供給及び／又は送信する（２２２）。モードが間接オフラインモード又は間接オンラインモードである場合、サーバ１０２は、暗号化されたファームウェア鍵及び暗号化されたファームウェアアップグレードをコントローラ１０６に伝送、送信又は供給する。そして、モードが直接モードである場合、サーバ１０２は、暗号化されたファームウェア鍵及び暗号化されたファームウェアアップグレードを組み込み機器１０４に伝送、送信又は供給する。

図３は、ファームウェアアップグレードを安全に取得及び復号化するために組み込み機器１０４上に実装されたプロセス３００の流れ図である。適切にプログラムされた、図１のＯＴＡアップグレードシステム１００の組み込み機器１０４の一つ以上のコンピュータ又はデータ処理装置、例えば、プロセッサ１０８は、ファームウェアアップグレードを取得及び復号化してもよい。

組み込み機器１０４は、ファームウェアアップグレードが必要であると判断してもよい（３０２）。組み込み機器１０４は、ファームウェアバージョン番号及び関連する有効期限のリストをコントローラ１０６及び／又はサーバ１０２から取得又は予め取得してもよく、ファームウェアバージョン番号のリスト上の署名を検証してもよく、バージョンの有効期限が切れているか否かを確かめるためにファームウェアバージョンをチェックしてもよい。一部の実装では、各ファームウェアバージョンは、バージョンの有効期限が切れたことを示す有効期限情報を有してもよい。組み込み機器１０４は、現在の日付がファームウェアの有効期限よりも古い場合にファームウェアが古くなっていると判断することができ、これは、新しいファームウェアアップグレードが必要であることを示す。

いくつかの実装形態では、組み込み機器１０４は、ファームウェアバージョンをサーバ１０２に伝送する。そして、それに応じて、組み込み機器１０４は、ファームウェアバージョンが古くなっている又は有効期限切れである及び／又は新しいファームウェアアップグレードが組み込み機器１０４に利用可能であることを示す指示をサーバ１０２から受信してもよい。ファームウェアのバージョンが古くなっている又は有効期限切である場合、組み込み機器は、通常の動作を停止してもよく、ファームウェアアップグレードが必要なセーフモードに入ってもよい。

組み込み機器１０４は、起動時にファームウェアアップグレードが必要であると判断してもよい。組み込み機器１０４は、現在の日付及び／又は時刻のタイムスタンプを要求及び取得し、タイムスタンプをファームウェアの有効期限と比較し、現在の日付及び／又は時刻が有効期限を超える場合、ファームウェアアップグレードが必要であると判断してもよい。例えば、組み込み機器は、コントローラ１０６又はサーバ１０２から署名されたタイムスタンプを受信してもよい、署名の有効性をチェックしてもよい、及び／又は、証明書及び／又はファームウェアバージョンのタイムスタンプ及び有効期限の日付及び／又は時間を使用して現在のファームウェアバージョンが期限切れになっていないことをチェックしてもよい。署名は、検証又は立証することができる、組み込み機器のＩＤ、コントローラのＩＤ及び組み込み機器からコントローラに送信されるランダムナンスのような他の識別子を有してもよい。署名は、コントローラの秘密鍵又はサーバの秘密鍵を使用する署名であってもよい。

いくつかの実装形態では、組み込み機器１０４は、最初の使用時に通常の動作を開始しなくてもよく、組み込み機器がファームウェアバージョン番号及びそれらの有効期限のリストを、例えば、コントローラ１０６から取得するまでファームウェアアップグレードをサーバ１０２のデジタル署名と共に要求してもよい。組み込み機器１０４は、最初の使用時に、組み込み機器のファームウェアバージョンをファームウェアバージョン番号のリストに含めること及び組み込み機器のファームウェアバージョンがサーバの公開鍵及び／又はコントローラの公開鍵を使用したデジタル署名の検証と共に有効期限切れにならないことを要求してもよい

組み込み機器１０４は、ファームウェアアップグレード及び／又はファームウェア鍵の配信モードを決定してもよい（３０４）。組み込み機器１０４は、最初に、例えば、工場で直接モードに設定してもよく、これは、初期ファームウェアアップグレード及び／又はファームウェア鍵を無線又はワイヤレスでダウンロードするためにサーバ１０２への直接接続を確立するとともに要求とする。組み込み機器１０４は、次のファームウェアアップグレードのために、間接オフラインモード及び／又は間接オンラインモードのような異なるモードに変更するための指示を受け取ってもよい。

組み込み機器１０４は、直接モード又は間接オンライン／オフラインモードのときにそれぞれ、クラウド－組み込み機器セッション鍵を使用してサーバ１０２との接続を確立する又はコントローラ－組み込み機器セッション鍵を使用してコントローラ１０６との接続を確立する。組み込み機器１０４は、直接的又は確立された接続を通じてコントローラ１０６を介して間接的にサーバ１０２への配信モードを含む配信モード要求を伝送又は供給する（３０６）。

組み込み機器１０４がファームウェアアップグレードを必要とすると判断した後、組み込み機器１０４は、暗号化されたファームウェアアップグレード及び／又は暗号化されたファームウェア鍵を取得してもよい（３０８）。組み込み機器１０４は、配信モードに基づいて、暗号化されたファームウェアアップグレード及び／又は暗号化されたファームウェア鍵を取得してもよい。組み込み機器１０４が直接モードに設定されている場合、組み込み機器１０４は、暗号化されたファームウェアアップグレード及び／又は暗号化されたファームウェア鍵をサーバ１０２から直接取得する。組み込み機器１０４が間接オフラインモード又は間接オンラインモードに設定されている場合、組み込み機器１０４は、暗号化されたファームウェアアップグレード及び／又は暗号化されたファームウェア鍵をコントローラ１０６から取得する。

いくつかの実装形態では、組み込み機器１０４は、サーバ公開鍵及び／又は公開鍵証明書を受信してもよい。いくつかの実装形態では、サーバ公開鍵及び／又は公開鍵証明書は、組み込み機器１０４内に事前に格納されている又は既に格納されている。例えば、サーバ公開鍵及び／又は公開鍵証明書は、組み込み機器１０４の製造、プロビジョニング及び／又は配布中に組み込み機器１０４内に事前にインストールされてもよい。

組み込み機器１０４は、暗号化されたファームウェアアップグレード及び／又は暗号化されたファームウェア鍵にデジタル署名するためにサーバ１０２が使用されたデジタル署名を検証してもよい（３１０）。組み込み機器１０４は、デジタル署名を検証するためにサーバ公開鍵を使用してもよい。デジタル署名を検証することにより、組み込み機器１０４は、ファームウェアアップグレード及び／又はファームウェア鍵に変更が加えらなかったことを検証する。さらに、組み込み機器１０４は、ファームウェアアップグレード及び／又はファームウェア鍵がサーバ１０２から到着したことを検証する。すなわち、デジタル署名は、ファームウェアアップグレード及び／又はファームウェア鍵の発信元及びインテグリティを認証する。

組み込み機器１０４は、一つ以上の不変の識別子を検証してもよい（３１２）。一つ以上の不変の識別子は、デジタル署名に関連付けられた公開鍵証明書内に含まれてもよい。例えば、組み込み機器１０４は、国際携帯機器識別（ＩＭＥＩ）番号、電話番号、ブルートゥース（登録商標）ローエナジー（ＢＬＥ）メディアアクセス制御（ＭＡＣ）アドレス、ＴｒｕｓｔＺｏｎｅ（登録商標）識別子（ＩＤ）又は他のデバイス識別子のような組み込み機器１０４に関連付けられた一意の識別子を検証してもよい。組み込み機器１０４は、例えば、情報のデータベースと比較するために一つ以上の不変の識別子をサーバ１０２に伝送してもよい。

組み込み機器１０４は、配信モードに基づいて、第４の鍵暗号化鍵又は第５の鍵暗号化鍵を使用して、暗号化されたファームウェア鍵を復号化する（３１４）。組み込み機器１０４が間接オフラインモード又は間接オンラインモードである場合、組み込み機器１０４は、コントローラ－組み込み機器セッション鍵のような第５の鍵暗号化鍵を使用して、暗号化されたファームウェア鍵を復号化してもよい。組み込み機器１０４が直接モードである場合、組み込み機器１０４は、クラウド－組み込み機器セッション鍵のような第４の鍵暗号化鍵を使用して、暗号化されたファームウェア鍵を復号化してもよい。

組み込み機器１０４が間接オンラインモード又は間接オフラインモードであるとき、ファームウェア鍵がクラウド－組み込み機器セッション鍵のような第１の鍵暗号化鍵又はファームウェア内で難読化された一般組み込み機器鍵のような第２の鍵暗号化鍵を使用して事前に暗号化されている可能性があるので、組み込み機器１０４は、ファームウェア鍵を更に復号化してもよい。組み込み機器１０４は、組み込み機器が間接オンラインモード又は間接オフラインモードにあるときに第１の鍵暗号化鍵又は第２の鍵暗号化鍵をそれぞれ使用してファームウェア鍵を更に復号化してもよい。

ファームウェア鍵が復号化されると、組み込み機器１０４は、暗号化されたファームウェアアップグレードを復号化するためにファームウェア鍵を使用する（３１６）。いくつかの実装形態では、暗号化されたファームウェアアップグレードが第５の鍵暗号化鍵又は第４の鍵暗号化鍵で更に暗号化された場合、組み込み機器１０４は、ファームウェア鍵を使用してファームウェアアップグレードを復号化する前に、第５の鍵暗号化鍵又は第４の鍵暗号化鍵で暗号化されたファームウェアアップグレードを更に復号化してもよい。組み込み機器１０４は、ファームウェアアップグレードを使用してファームウェアの現在のバージョンを更新する（３１８）。例えば、組み込み機器１０４は、現在のファームウェアをファームウェアアップグレードで上書きしてもよい。

図４は、ファームウェアアップグレードを安全に取得及び復号化するためにコントローラ１０６に実装されたプロセス４００の流れ図である。適切にプログラムされた、図１のＯＴＡアップグレードシステム１００のコントローラ１０６の一つ以上のコンピュータ又はデータ処理装置、例えば、プロセッサ１２４は、ファームウェアアップグレードを取得及び復号化してもよい。

コントローラ１０６は、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵を取得する（４０２）。コントローラ１０６は、組み込み機器１０４が間接オンラインモード又は間接オフラインモードに設定されているときに、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵を受信する。コントローラ１０６は、クラウド－コントローラデバイスセッション鍵を使用して、暗号化されたファームウェアアップグレードを、確立された接続を介して受信してもよい。

コントローラ１０６は、ファームウェアバージョン番号及び関連する有効期限のリストをサーバ１０２から取得してもよい（４０３）。コントローラ１０６は、後に組み込み機器１０４に供給するためにファームウェアバージョン番号及び関連する有効期限のリストを格納してもよい。いくつかの実装形態では、ファームウェアバージョン番号及び関連する有効期限のリストは、サーバ１０２によって署名されていてもよい、及び／又は、コントローラ１０６は、ファームウェアバージョン番号及び関連する有効期限のリストにデジタル署名してもよい。

コントローラ１０６は、サーバ公開鍵を格納及び／又は取得し、デジタル署名を検証するためにサーバ公開鍵を使用してもよい（４０４）。一つ以上の鍵を、例えば、セキュアエレメント１３２に格納してもよい。次に、組み込み機器１０４が間接オフラインモード又は間接オンラインモードに設定されている場合、コントローラ１０６は、クラウド－コントローラデバイスセッション鍵のような第３の鍵暗号化鍵を使用して、暗号化されたファームウェア鍵を復号化する（４０６）。ファームアップグレードが第３の鍵暗号化鍵で暗号化されている場合、コントローラ１０６は、第３の鍵暗号化鍵を使用してファームウェアアップグレードを復号化してもよい。

ファームウェア鍵が事前暗号化されたままであるので、コントローラ１０６は、ファームウェア鍵にアクセスできず、ファームウェア鍵がないと、コントローラ１０６は、ファームウェアアップグレードにアクセスすることができない。

第３の鍵暗号化鍵を使用してファームウェア鍵が復号化されると、コントローラ１０６は、暗号化されたファームウェアアップグレード及び事前暗号化されたファームウェア鍵をメモリ１２６及び／又はセキュアエレメント１３２内に格納してもよい（４０８）。したがって、例えば、組み込み機器１０４が間接オフラインモードであるときのように暗号化されたファームウェアアップグレード及び／又は事前暗号化されたファームウェア鍵を組み込み機器１０４に送信するために、コントローラ１０６を組み込み機器１０４に同時に接続する必要はない。

コントローラ１０６が、ファームウェアアップグレード及び／又はファームウェア鍵を組み込み機器１０４に送信又は供給する準備ができているとき、コントローラ１０６は、コントローラ－組み込み機器鍵のような第５の鍵暗号化鍵を使用して、事前暗号化されたファームウェア鍵を再暗号化する（４１０）。コントローラは、セキュリティを強化するために、暗号化されたファームウェアアップグレードを第５の鍵暗号化鍵で更に暗号化してもよいが、これは通常は必要でない。

コントローラ１０６は、コントローラ－組み込み機器セッション鍵を使用して接続を確立する（４１２）。コントローラ１０６は、コントローラ－組み込み機器セッションを使用して接続を確立してもよい。事前暗号化されたファームウェア鍵が再暗号化されると、コントローラ１０６は、暗号化されたファームウェアアップグレード及び暗号化されたファームウェア鍵を組み込み機器１０４に伝送、送信又は供給する（４１４）。コントローラ１０６は、組み込み機器１０４がネットワーク１３８上で利用可能になったときにファームウェアアップグレード及びファームウェア鍵を伝送してもよい。コントローラ１０６は、接続が確立されている間、ファームウェアバージョン番号及び関連する有効期限のリストを組み込み機器１０４に供給又は配信してもよい。

図５Ａ及び図５Ｂは、図１のＯＴＡシステムが互いに異なるモードであるときの暗号化されたファームウェアアップグレード及び／又は暗号化されたファームウェア鍵を示す。図５Ａは、ＯＴＡシステム１００が直接モードにあるときにファームウェア鍵５０４を使用して暗号化されたファームウェアアップグレード５０２を示す。さらに、ファームウェア鍵５０４は、直接モードでのクラウド－組み込み機器セッション鍵のような鍵暗号化鍵を使用して暗号化される。

図５Ｂは、ファームウェア鍵５０４及び事前暗号化されたファームウェア鍵５０４を使用して暗号化されたファームウェアアップグレード５０２を示す。ファームウェア鍵５０４は、ＯＴＡシステム１００がそれぞれ間接オフラインモード又は間接オンラインモードにあるときにそれぞれ一般組み込み機器鍵又はクラウド－組み込み機器鍵を使用して事前暗号化されてもよい。次に、ファームウェア鍵５０４は、クラウド－コントローラデバイスセッション鍵又はコントローラ－組み込み機器セッション鍵のような他の鍵暗号化鍵を使用して更に暗号化される。

明細書及び特許請求の範囲を通じて使用される場合、「Ａ又はＢの少なくとも一つ」は、「Ａ」のみ、「Ｂ」のみ又は「Ａ及びＢ」を含む。方法／システムの例示的な実施形態を、例示的な様式で開示した。したがって、全体を通して使用される用語は、非限定的な方法で解釈する必要がある。当業者は、ここでの教示に対する僅かな修正を思い浮かべるが、ここで保証される特許の範囲内で限定されることを意図するものは理想的には貢献される技術の進歩の範囲内にあるそのような全ての実施形態であること及び添付した特許請求の範囲及びその等価物を除いて範囲が限定されないことを理解すべきである。
本明細書に開示される発明は以下を含む。
［態様１］
ファームウェアアップグレードを安全に無線で配信するためのシステムであって、
ファームウェアアップグレードを受信するように構成された組み込み機器と、
第１の鍵暗号化鍵、ファームウェアアップグレード及びファームウェア鍵を格納するように構成されたメモリを有するとともに前記メモリに結合されたプロセッサを有するサーバであって、前記プロセッサは、
前記ファームウェアアップグレード、前記ファームウェア鍵及び前記第１の鍵暗号化鍵を取得し、
前記ファームウェア鍵を使用して前記ファームウェアアップグレードを暗号化し、
前記第１の鍵暗号化鍵で前記ファームウェア鍵を暗号化し、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を組み込み機器に送信するように構成された、サーバと、
を備える、システム。
［態様２］
前記メモリは、サーバ秘密鍵を格納するように更に構成され、前記プロセッサは、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を前記組み込み機器に送信する前に、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵にデジタル署名するように更に構成された、態様１に記載のシステム。
［態様３］
一つ以上の鍵暗号化鍵又はサーバ公開証明書を格納するように構成されたメモリを有し、
一つ以上の鍵暗号化鍵を使用して前記サーバとの接続を確立し、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を取得し、
前記サーバ公開証明書を使用して前記デジタル署名を検証し、
前記一つ以上の鍵暗号化鍵を使用して前記組み込み機器との接続を確立し、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を前記組み込み機器に供給するように構成されたプロセッサを有するコントローラデバイスを更に備える、態様２に記載のシステム。
［態様４］
前記プロセッサは、
前記ファームウェアアップグレードの配信の複数のモードのうちの一つのモードを有するファームウェア配信要求を受信し、前記複数のモードは、前記サーバと前記組み込み機器の間の直接チャネルを確立する第１のモード、オフラインコントローラを介した前記サーバと前記組み込み機器の間の間接チャネルを確立する第２のモード及びオンラインコントローラを介した前記サーバと前記組み込み機器の間の間接チャネルを確立する第３のモードを有するように構成された、態様１に記載のシステム。
［態様５］
前記第１の鍵暗号化鍵は、セッション鍵である、態様４に記載のシステム。
［態様６］
前記ファームウェア鍵は、前記第３のモードにあるときに前記セッション鍵を使用して又は前記第２のモードにあるときに以前のファームウェアバージョン内で難読化された一般組み込み機器鍵を使用して事前暗号化される、態様５に記載のシステム。
［態様７］
前記組み込み機器は、ファームウェア及び前記第１の鍵暗号化鍵を格納するように構成されたメモリを有するとともに前記メモリに結合されたプロセッサを有し、前記プロセッサは、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を取得し、
前記第１の鍵暗号化鍵を使用して暗号化された前記ファームウェア鍵を復号化し、
前記ファームウェア鍵を使用して暗号化された前記ファームウェアアップグレードを復号化し、
前記ファームウェアアップグレードを使用して前記ファームウェアを更新するように構成された、態様１に記載のシステム。
［態様８］
ファームウェアアップグレードを安全に配信するためのシステムであって、
前記ファームウェアアップグレードを受信するように構成された組み込み機器と、
セッション鍵、ファームウェアアップグレード及びファームウェア鍵を格納するように構成されたメモリを有するとともに前記メモリに結合されたプロセッサを有するサーバであって、前記プロセッサは、
前記ファームウェア鍵を使用して前記ファームウェアアップグレードを暗号化し、
前記ファームウェア鍵を前記セッション鍵で暗号化し、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を安全なチャネルを介して前記組み込み機器に送信するように構成された、サーバと、
を備える、システム。
［態様９］
前記メモリは、サーバ秘密鍵を格納するように更に構成され、前記プロセッサは、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を前記組み込み機器に送信する前に、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵にデジタル署名するように更に構成された、態様８に記載のシステム。
［態様１０］
前記組み込み機器は、ファームウェア及び前記セッション鍵を格納するように構成されたメモリを有するとともに前記メモリに結合されたプロセッサを有し、前記プロセッサは、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵の前記デジタル署名を確認し、
暗号化された前記ファームウェア鍵を復号化し、
前記ファームウェア鍵を使用して、暗号化された前記ファームウェアアップグレードを復号化し、
前記ファームウェアアップグレードを使用して前記ファームウェアを更新するように構成された、態様９に記載のシステム。
［態様１１］
前記プロセッサは、
前記ファームウェアアップグレードの配信の複数のモードのうちの一つのモードを含むファームウェア配信要求を受信し、前記複数のモードは、前記サーバと組み込み機器の間の直接チャネルを確立する第１のモード、オフラインコントローラを介したサーバと組み込み機器の間の間接チャネルを確立する第２のモード及びオンラインコントローラを介したサーバと組み込み機器間の間接チャネルを確立する第３のモードを有するように構成された、態様１０に記載のシステム。
［態様１２］
前記ファームウェア鍵は、前記第２のモードにあるときに以前のファームウェアバージョン内で難読化された一般組み込み機器鍵を使用して事前暗号化される、態様１１に記載のシステム。
［態様１３］
前記セッション鍵又はサーバ公開証明書を含む一つ以上の鍵暗号化鍵を格納するように構成されたメモリを有し、
前記一つ以上の鍵暗号化鍵を使用して前記サーバとの接続を確立し、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を取得し、
前記サーバ公開証明書を使用して署名を検証し、
前記一つ以上の鍵暗号化鍵を使用して前記組み込み機器との接続を確立し、
暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を前記組み込み機器に供給するように構成されたプロセッサを有するコントローラデバイスを更に備える、態様１１に記載のシステム。
［態様１４］
前記プロセッサは、前記ファームウェアアップグレードを前記組み込み機器に送信する前に一つ以上の不変の識別子を検証するように更に構成された、態様８に記載のシステム。
［態様１５］
ファームウェアを安全に配信するための方法であって、
サーバのプロセッサによって、ファームウェア鍵を使用してファームウェアアップグレードを暗号化することと、
前記サーバのプロセッサによって、セッション鍵を使用してファームウェア鍵を暗号化することと、
前記サーバのプロセッサによって、組み込み機器が第１のモード、第２のモード又は第３のモードにあることを判断することと、
前記サーバのプロセッサによって、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を、前記組み込み機器が第１のモードにあるときに前記組み込み機器に送信するとともに前記組み込み機器が第２のモード又は第３のモードにあるときにコントローラデバイスに送信することと、
を備える、方法。
［態様１６］
前記組み込み機器のプロセッサによって、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を、前記組み込み機器が前記第１のモードにあるときに前記サーバから直接受信するとともに前記組み込み機器が前記第２のモード又は前記第３のモードにあるときに前記コントローラデバイスを介して前記サーバから受信することと、
前記組み込み機器のプロセッサによって、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を、前記セッション鍵及び前記ファームウェア鍵を使用してそれぞれ復号化することと、
を更に備える、態様１５に記載の方法。
［態様１７］
前記サーバのプロセッサによって、サーバ秘密鍵を使用して、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵にデジタル署名することを更に備える、態様１６に記載の方法。
［態様１８］
前記組み込み機器のプロセッサによって、ファームウェアバージョン番号及び有効期限のリストを取得することと、
前記組み込み機器のプロセッサによって、前記ファームウェアバージョン番号のリスト内の有効期限に対する前記組み込み機器のファームウェアの有効期限をチェックすることと、
前記組み込み機器のプロセッサによって、前記組み込み機器のファームウェアが期限切れになっていないことを判断することと、
を更に備える、態様１５に記載の方法。
［態様１９］
前記ファームウェア鍵は、前記第３のモードにあるときに前記セッション鍵を使用して事前暗号化される又は前記第２のモードにあるときに以前のファームウェアバージョン内で難読化された一般組み込み機器鍵を使用して事前暗号化される、態様１５に記載の方法。
［態様２０］
前記コントローラデバイスが、暗号化された前記ファームウェア鍵及び暗号化された前記ファームウェアアップグレードを受信するとともに前記第２のモードにあるときに、前記コントローラデバイスは、前記組み込み機器に接続されない、態様１５に記載の方法。

Claims (20)

1. ファームウェアアップグレードを安全に無線で配信するためのシステムであって、
   前記ファームウェアアップグレードを受信するように構成された組み込み機器と、
   第１の鍵暗号化鍵、前記ファームウェアアップグレード及びファームウェア鍵を格納するように構成されたメモリを有するとともに前記メモリに結合されたプロセッサを有するサーバであって、前記プロセッサは、
   前記ファームウェアアップグレード、前記ファームウェア鍵及び前記第１の鍵暗号化鍵を取得し、
   前記ファームウェアアップグレードの複数の配信モードのうちの一つの配信モードを有するファームウェア配信要求を取得し、
   前記ファームウェア鍵を使用して、前記ファームウェアアップグレードを暗号化し、
   前記第１の鍵暗号化鍵で前記ファームウェア鍵を暗号化し、
   前記配信モードに基づいて、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を前記組み込み機器に送信するように構成されたサーバと、
   を備える、システム。
2. 前記メモリは、サーバ秘密鍵を格納するように更に構成され、前記プロセッサは、
   暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を前記組み込み機器に送信する前に、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵にデジタル署名するように更に構成された、請求項１に記載のシステム。
3. 一つ以上の鍵暗号化鍵又はサーバ公開証明書を格納するように構成されたメモリを有するコントローラデバイスであって、
   前記一つ以上の鍵暗号化鍵を使用して前記サーバとの接続を確立し、
   暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を取得し、
   前記サーバ公開証明書を使用して、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵の前記デジタル署名を検証し、
   前記一つ以上の鍵暗号化鍵を使用して、前記組み込み機器との接続を確立し、
   暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を前記組み込み機器に供給するように構成された、前記メモリに結合されるとともに前記コントローラデバイスにある又はその内部にあるプロセッサを有する、コントローラデバイスを更に備える、請求項２に記載のシステム。
4. 前記複数の配信モードは、前記サーバと前記組み込み機器の間の直接チャネルを確立する第１の配信モード、オフラインコントローラを介した前記サーバと前記組み込み機器の間の間接チャネルを確立する第２の配信モード及びオンラインコントローラを介した前記サーバと前記組み込み機器の間の間接チャネルを確立する第３の配信モードを有するように構成された、請求項１に記載のシステム。
5. 前記第１の鍵暗号化鍵は、セッション鍵である、請求項４に記載のシステム。
6. 前記ファームウェア鍵は、前記第３の配信モードに基づく暗号化された前記ファームウェア鍵の送信の際に第２のセッション鍵を使用して又は前記第２の配信モードに基づく暗号化された前記ファームウェア鍵の送信の際に以前のファームウェアバージョン内で難読化された一般組み込み機器鍵を使用して事前暗号化される、請求項５に記載のシステム。
7. 前記組み込み機器は、ファームウェア及び前記第１の鍵暗号化鍵を格納するように構成されたメモリを有し、前記メモリに結合されるとともに前記組み込み機器にある又はその内部にあるプロセッサを有し、前記組み込み機器にある又はその内部にあるプロセッサは、
   暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を取得し、
   前記第１の鍵暗号化鍵を使用して、暗号化された前記ファームウェア鍵を復号化し、
   前記ファームウェア鍵を使用して、暗号化された前記ファームウェアアップグレードを復号化し、
   前記ファームウェアアップグレードを使用して、前記ファームウェアを更新するように構成された、請求項１に記載のシステム。
8. ファームウェアアップグレードを安全に配信するためのシステムであって、
   前記ファームウェアアップグレードを受信するように構成された組み込み機器と、
   セッション鍵、前記ファームウェアアップグレード及びファームウェア鍵を格納するように構成されたメモリを有するとともに前記メモリに結合されたプロセッサを有するサーバであって、前記プロセッサは、
   前記ファームウェアアップグレードの複数の無線配信モードのうちの一つの無線配信モードを有するファームウェア配信要求を取得し、
   前記ファームウェア鍵を使用して、前記ファームウェアアップグレードを暗号化し、
   前記ファームウェア鍵を前記セッション鍵で暗号化し、
   前記無線配信モードに基づいて、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を安全なチャネルを介して前記組み込み機器に送信するように構成された、サーバと、
   を備える、システム。
9. 前記メモリは、サーバ秘密鍵を格納するように更に構成され、前記プロセッサは、
   暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を前記組み込み機器に送信する前に、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵にデジタル署名するように更に構成された、請求項８に記載のシステム。
10. 前記組み込み機器は、ファームウェア及び前記セッション鍵を格納するように構成されたメモリを有し、前記メモリに結合されるとともに前記組み込み機器にある又はその内部にあるプロセッサを有し、前記組み込み機器にある又はその内部にあるプロセッサは、
    暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵の前記デジタル署名を確認し、
    暗号化された前記ファームウェア鍵を復号化し、
    前記ファームウェア鍵を使用して、暗号化された前記ファームウェアアップグレードを復号化し、
    前記ファームウェアアップグレードを使用して、前記ファームウェアを更新するように構成された、請求項９に記載のシステム。
11. 前記複数の無線配信モードは、前記サーバと前記組み込み機器の間の直接チャネルを確立する第１の無線配信モード、オフラインコントローラを介した前記サーバと前記組み込み機器の間の間接チャネルを確立する第２の無線配信モード及びオンラインコントローラを介した前記サーバと前記組み込み機器間の間接チャネルを確立する第３の無線配信モードを有するように構成された、請求項８に記載のシステム。
12. 前記ファームウェア鍵は、前記第２の無線配信モードに基づく暗号化された前記ファームウェア鍵の送信の際に以前のファームウェアバージョン内で難読化された一般組み込み機器鍵を使用して事前暗号化される、請求項１１に記載のシステム。
13. 前記セッション鍵又はサーバ公開証明書を含む一つ以上の鍵暗号化鍵を格納するように構成されたメモリを有するコントローラデバイスであって、
    前記一つ以上の鍵暗号化鍵を使用して、前記サーバとの接続を確立し、
    暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を取得し、
    前記サーバ公開証明書を使用して、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵の前記デジタル署名を検証し、
    前記一つ以上の鍵暗号化鍵を使用して、前記組み込み機器との接続を確立し、
    暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を前記組み込み機器に供給するように構成された、前記メモリに結合されるとともに前記コントローラデバイスにある又はその内部にあるプロセッサを有する、コントローラデバイスを更に備える、請求項９に記載のシステム。
14. 前記プロセッサは、暗号化された前記ファームウェアアップグレードを前記組み込み機器に送信する前に一つ以上の不変の識別子を検証するように更に構成された、請求項８に記載のシステム。
15. ファームウェアを安全に配信するための方法であって、
    サーバにある又はその内部にあるプロセッサによって、ファームウェア鍵を使用して、ファームウェアアップグレードを暗号化することと、
    前記プロセッサによって、セッション鍵を使用して、前記ファームウェア鍵を暗号化することと、
    前記プロセッサによって、組み込み機器が第１のモード、第２のモード又は第３のモードにあることを判断することと、
    前記プロセッサによって、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を、前記組み込み機器が前記第１のモードにあるという判断に応答して前記組み込み機器に送信する又は前記組み込み機器が前記第２のモード若しくは前記第３のモードにあるという判断に応答してコントローラデバイスに送信することと、
    を備える、方法。
16. 前記組み込み機器にある又はその内部にあるプロセッサによって、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を、前記組み込み機器が前記第１のモードにあるという前記組み込み機器にある又はその内部にあるプロセッサの判断に応答して、前記サーバから直接受信すること、又は、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵を、前記組み込み機器が前記第２のモード若しくは前記組み込み機器が前記第３のモードにあるという前記組み込み機器にある又はその内部にあるプロセッサの判断に応答して、前記コントローラデバイスを介して前記サーバから受信することと、
    前記組み込み機器にある又はその内部にあるプロセッサによって、前記セッション鍵及び前記ファームウェア鍵を使用して、暗号化された前記ファームウェア鍵及び暗号化された前記ファームウェアアップグレードをそれぞれ復号化することと、
    を更に備える、請求項１５に記載の方法。
17. 前記サーバにある又はその内部にあるプロセッサによって、サーバ秘密鍵を使用して、暗号化された前記ファームウェアアップグレード及び暗号化された前記ファームウェア鍵にデジタル署名することを更に備える、請求項１６に記載の方法。
18. 前記組み込み機器にある又はその内部にあるプロセッサによって、ファームウェアバージョン番号及び有効期限のリストを取得することと、
    前記組み込み機器にある又はその内部にあるプロセッサによって、前記リスト内の有効期限に対する前記組み込み機器のファームウェアの有効期限をチェックすることと、
    前記組み込み機器にある又はその内部にあるプロセッサによって、前記組み込み機器のファームウェアが期限切れになっていないことを判断することと、
    を更に備える、請求項１５に記載の方法。
19. 前記ファームウェア鍵は、前記組み込み機器が前記第３のモードにあるときに第２のセッション鍵を使用して事前暗号化される又は前記組み込み機器が前記第２のモードにあるときに以前のファームウェアバージョン内で難読化された一般組み込み機器鍵を使用して事前暗号化される、請求項１５に記載の方法。
20. 前記コントローラデバイスが、暗号化された前記ファームウェア鍵及び暗号化された前記ファームウェアアップグレードを受信し、かつ、前記組み込み機器が、前記第２のモードにあるときに、前記コントローラデバイスは、前記組み込み機器に接続されない、請求項１５に記載の方法。