JP7367471B2 - 情報処理装置、ファイル保証方法、及びファイル保証プログラム - Google Patents

Description

本発明は、情報処理装置、ファイル保証方法、及びファイル保証プログラムに関する。

近年、情報処理装置において、システムを構成するファイル（ファームウェア、ソフトウェア）に対して不正な改竄を検知し、システム起動中に正当なファイルのみ実行できるようにして完全性・真正性を保証する技術（例えばＴｒｕｓｔｅｄ ＢｏｏｔやＬｉｎｕｘ‐ＩＭＡなど）が知られている。

特許文献１には、システム起動時に使用されるファイルの完全性を確認する目的で、ファイルの識別子をもとにしたデータと正解データとをファイルごとに照合し、データが一致しない場合にはシステムの起動を中断させる構成が開示されている。

しかし、特許文献１に記載の従来手法では、システム更新時（ＲＯＭ更新時）に更新するファイルが正しいファイルかどうかまでは確認できず、更新するファイルに対して完全性・真正性を保証できない。

本発明は、システム更新時に更新するファイルの完全性・真正性を保証することができることを目的とする。

上述した課題を解決するために、本発明の一観点に係る情報処理装置は、更新用ファイルから一意に計算される値と前記更新用ファイルに対する署名ファイルによって署名検証を行うことで、システム更新時に前記更新用ファイルの完全性・真正性を保証する第一の機能と、システム起動中に実行する起動用ファイルの完全性・真正性を保証する第二の機能と、を有し、前記第一の機能によって完全性・真正性を保証された前記更新用ファイルを用いてシステムを更新した後に、前記第二の機能によって完全性・真正性を保証された前記起動用ファイルを用いてシステムを起動させることで、システム更新時とシステム起動中に取り扱うファイルに対して完全性・真正性を保証し、前記第一の機能は、前記署名検証に成功した場合には、システム起動用署名情報を作成し、前記更新用ファイルのメタデータ領域に保存し、前記第二の機能は、システム起動時に利用するファームウェアに対する完全性・真正性の確認をＴｒｕｓｔｅｄ Ｂｏｏｔ１１Ａで行い、前記メタデータ領域に保存された前記システム起動用署名情報を用いて前記更新用ファイルの完全性・真正性の確認をＬｉｎｕｘ－ＩＭＡ１１Ｂで行い、前記ファームウェアによる起動後に実行されるファイルの完全性・真正性の確認を前記Ｌｉｎｕｘ－ＩＭＡ１１Ｂで行う。

システム更新時に更新するファイルの完全性・真正性を保証することができる。

実施形態に係る情報処理装置のハードウェア構成図 システム更新に係る情報処理装置のソフトウェア構成図 本実施形態の特徴を説明する図 システム更新時にファイルの完全性・真正性を確認する処理イメージを説明する図 署名作成アプリのアクティビティ図 システム更新アプリのアクティビティ図 署名検証アプリのアクティビティ図 強制インストールに係る情報処理装置のソフトウェア構成図 強制インストール時のファイルの完全性・真正性を確認する処理イメージを説明する図 強制インストール時の署名作成アプリのアクティビティ図 強制インストール時のシステム更新アプリのアクティビティ図 強制インストール時の署名検証アプリのアクティビティ図 ＰＣ（サーバ）のハードウェア構成図 ＭＦＰのハードウェア構成図

以下、添付図面を参照しながら実施形態について説明する。説明の理解を容易にするため、各図面において同一の構成要素に対しては可能な限り同一の符号を付して、重複する説明は省略する。

＜ハードウェア構成＞
図１は、実施形態に係る情報処理装置１のハードウェア構成図である。図１に示すように、情報処理装置１は、コントローラ２と、外部メモリ３と、システム起動用のストレージ４とを備える。情報処理装置１は、ネットワークサーバ５と例えばインターネットなどのネットワーク回線を介して通信可能に接続されている。

コントローラ２は、情報処理装置１の動作全体を制御し、特に本実施形態ではシステム起動時やシステム更新時に用いられる、システムを構成するファイル（ファームウェア、ソフトウェアなど）に対して不正な改竄を検知し、システム起動時やシステム更新時に正当なファイルのみを実行できるようにして、ファイルの完全性・真正性を保証する。

コントローラ２は、ＣＰＵ２１、ＲＯＭ２２、ＲＡＭ２３を有する。

ストレージ４には、システムを構成するファイル（ファームウェア、ソフトウェア）が保存されている。ストレージの例としてはｅＭＭＣ等が挙げられる。

外部メモリ３には、ネットワークサーバ５に保存された新しいシステム更新（ＲＯＭ更新）ファイル（システム更新用情報１４、システム更新用署名情報１５）が保存されている。このファイルはストレージ４に書き込まれる外部メモリ３の例としてはＳＤカード等が挙げられる。

ネットワークサーバ５には、新しいシステム更新（ＲＯＭ更新）を行うためのファイル（システム更新用情報１４）が保存されている。

＜システム更新時のファイル保証＞
図２～図７を参照して、システム更新時に用いるファイル（更新用ファイル）の完全性・真正性を保証する機能（第一の機能）について説明する。

図２は、システム更新に係る情報処理装置１のソフトウェア構成図である。図２に示すように、情報処理装置１は、ＯＳ１１、システム更新アプリ１２、署名検証アプリ１３を備える。また、情報処理装置１には、システム更新用情報１４、システム更新用署名情報１５、署名検証用公開鍵１６の各データが格納されている。

ＯＳ１１は、情報処理装置１の全体を制御する。また、ＯＳ１１内の機能としてＴｒｕｓｔｅｄ Ｂｏｏｔ１１Ａ及びＬｉｎｕｘ－ＩＭＡ１１Ｂがある。Ｔｒｕｓｔｅｄ Ｂｏｏｔ１１Ａは、システム起動時に利用するファームウェア（例えば、ＢＩＯＳやブートローダ）に対する改竄検知を行う。Ｌｉｎｕｘ－ＩＭＡ１１Ｂは、システム起動時に利用するファームウェアによる起動後に実行されるファイルの署名作成と署名検証（ファイルの完全性・真正性の確認）を行う。

システム更新アプリ１２は、外部メモリ３に置かれたシステム更新用情報１４をシステム起動用ストレージ４に保存する。

署名検証アプリ１３は、システム更新時にシステム起動用ストレージ４に保存するシステム更新用情報１４の署名検証結果を通知する。

システム更新用情報１４は、システムを構成するためのファイル（ファームウェア、ソフトウェア）を格納する。

システム更新用署名情報１５は、システム更新用情報１４に関する署名情報を格納する。

署名検証用公開鍵１６は、署名検証時に利用する公開鍵情報を格納する。

ネットワークサーバ５は、ＯＳ５１、署名作成アプリ５２を備える。また、ネットワークサーバ５には、システム更新用情報１４、及び署名作成用秘密鍵５３の各データが格納されている。

ＯＳ５１は、ネットワークサーバ５の全体の制御を行う。

署名作成アプリ５２は、システム更新時にシステム起動用ストレージ４に保存するシステム更新用情報１４の完全性・真正性を確認するための署名情報（システム更新用署名情報１５）を作成する。

署名作成用秘密鍵５３は、署名作成時に利用する秘密鍵情報を格納する。

図３は、本実施形態の特徴を説明する図である。図３に示すように、一般的にシステムの動作は、システム起動開始、システム稼働中、システム更新という流れであり、システム更新が行われると再びシステムが起動される。このような一連の動作中にシステムが利用するファイルの完全性・真正性を検証する必要がある。

従来は、システム起動時の完全性・真正性の確認はＴｒｕｓｔｅｄ Ｂｏｏｔ１１ＡやＬｉｎｕｘ－ＩＭＡ１１Ｂといった従来の機能を利用して実現できるが、システム更新時の完全性・真正性の確認は実現できない。つまりＴｒｕｓｔｅｄ Ｂｏｏｔ１１ＡやＬｉｎｕｘ－ＩＭＡ１１Ｂではシステム更新時の完全性・真正性を検証できない。

これに対して本実施形態では、従来のＴｒｕｓｔｅｄ Ｂｏｏｔ１１ＡやＬｉｎｕｘ－ＩＭＡ１１Ｂの機能を利用して、システム起動時に利用する、ストレージ４に保存されたファイル（起動用ファイル）に対する完全性・真正性の確認（第２の機能）を行いつつ、システム更新時に利用する、外部メモリ３のシステム更新用ファイルに対する完全性・真正性の確認（第１の機能）を行うことで、システムが利用する一連のファイルに対して完全性・真正性を保証することを特徴としている。なお、本実施形態では、第１の機能を情報処理装置１の署名検証アプリ１３が実行し、第２の機能を情報処理装置１のＴｒｕｓｔｅｄ Ｂｏｏｔ１１ＡやＬｉｎｕｘ－ＩＭＡ１１Ｂが実行する。

図４は、システム更新時にファイルの完全性・真正性を確認する処理イメージを説明する図である。

システム更新時には、まず始めにネットワークサーバ５上でシステム更新したい情報（システム更新用情報１４（更新用ファイル））をもとに、署名作成アプリ５２がこの更新用ファイル１４に係る署名情報（システム更新用署名情報１５（署名ファイル））を作成する。

次に、作成した署名情報１５とシステム更新用情報１４を外部メモリ３に保存し、情報処理装置１内のシステム更新アプリ１２がシステム更新処理を行う。システム更新処理を行う際には、まず署名検証アプリ１３が外部メモリ３に保存されたシステム更新用情報１４とシステム更新用署名情報１５から署名検証を行う。

署名検証に成功した場合には、情報処理装置１内部のシステム起動用ストレージ４にシステム更新用情報１４を保存し、システム更新を行う。また、署名検証に成功した場合には、システム起動用署名情報１７を作成し、システム更新用情報１４のメタデータ領域に保存する。このシステム起動用署名情報１７は、システム起動時にＬｉｎｕｘ－ＩＭＡ１１Ｂの機能を使いシステム更新用情報１４の完全性・真正性を確認するために用いられる。署名検証に失敗した場合にはシステムを停止する。

システム更新完了後、システムを通常起動させる際にはシステム起動時に利用するファームウェア（例えば、ＢＩＯＳやブートローダ）の完全性・真正性の確認をＴｒｕｓｔｅｄ Ｂｏｏｔ１１Ａで行い、システム起動時に利用するファームウェアによる起動後に実行するファイルの完全性・真正性の確認（署名検証）をＬｉｎｕｘ－ＩＭＡ１１Ｂが行う。

このように本実施形態では、システム更新時に利用するシステム更新用情報１４に対する完全性・真正性の確認（第１の機能）において、システム更新用情報１４と、システム更新用署名情報１５は、ネットワークサーバ５から情報処理装置１にダウンロードされる。この構成により、情報処理装置１とは別の装置であるネットワークサーバ５に保管された秘密鍵をもとにシステム更新用署名情報１５が生成されるので、情報処理装置１側ではネットワークサーバ５の秘密鍵がわからない。この結果、情報処理装置１側の情報をもとに不正な署名ファイルを作成させないようにすることができ、また、この不正な署名ファイルを用いてシステムが不正に更新されないようにすることができる。

図５は、署名作成アプリ５２のアクティビティ図である。

ネットワークサーバ５上で実行される署名作成アプリ５２は、システム更新用情報１４に対してハッシュ演算を行う（Ｓ１０１）。

次に、ネットワークサーバ５に保管された署名作成用秘密鍵５３によって、ステップＳ１０１にてハッシュ演算した計測値を暗号化し、システム更新用の電子署名（システム更新用署名情報１５）を作成する（Ｓ１０２）。

図６は、システム更新アプリ１２のアクティビティ図である。

まず外部メモリ３からシステム更新用情報１４とシステム更新用署名情報１５を読み込み（Ｓ２０１）、署名検証アプリ１３を利用して署名検証を行う（Ｓ２０２）。署名検証アプリ１３による署名検証処理の詳細は図７を参照して後述する。

署名検証アプリ１３から送信された署名検証結果が成功だった場合、システム更新用情報１４をシステム起動用ストレージ４に書き込みシステムを更新する（Ｓ２０３）。また、Ｌｉｎｕｘ－ＩＭＡ１１Ｂの署名作成機能を利用し、システムの通常起動時にシステム更新用情報１４を署名検証するための署名（システム起動用署名情報１７）を作成し、システム起動用ストレージ４に保存されたシステム更新用情報１４のメタデータ領域に署名を保存する（Ｓ２０４）。

署名検証アプリ１３から送信された署名検証結果が失敗だった場合、システムを停止させる（Ｓ２０５）。

図７は、署名検証アプリ１３のアクティビティ図である。

署名検証アプリ１３はシステム更新用情報１４にハッシュ演算を行う（Ｓ３０１）。

また、システム更新用署名情報１５をシステム起動用ストレージ４に保存してある署名検証用公開鍵１６で復号化する（Ｓ３０２）。

システム更新用情報１４のハッシュ演算結果とシステム更新用署名情報１５を復号化した結果が一致するか比較検証する（Ｓ３０３）。

比較検証した結果、署名検証に成功した場合、成功した結果をシステム更新アプリ１２に送信する（Ｓ３０４）。署名検証に失敗した場合、失敗した結果をシステム更新アプリ１２に送信する（Ｓ３０５）。

＜強制インストール時のファイル保証＞
本実施形態の情報処理装置は、図２～図７を参照して説明したシステム更新時の他にも、システム全体を新しく書き換える強制インストールの際にも、強制インストールに用いるファイルに対する完全性・真正性を保証する機能（第三の機能）を設けることができる。これにより、システム起動時、システム更新時に加えて、さらに強制インストール時に更新するファイルの完全性・真正性も保証することが可能となり、システムが利用する一連のファイルに対してより一層完全性・真正性を保証することができる。本実施形態では、第３の機能を情報処理装置１の署名検証アプリ１３が実行する。図８～図１２を参照して、この機能について説明する。

図８は、強制インストールに係る情報処理装置１のソフトウェア構成図である。

強制インストールを行う場合は、システム更新用情報１４とシステム更新用署名情報１５の代わりに、強制インストール情報１８と強制インストール用署名情報１９を持つソフトウェア構成になる。

図９は、強制インストール時のファイルの完全性・真正性を確認する処理イメージを説明する図である。システム立ち上げ時等にシステム全体を強制インストールする場合の処理は下記流れのようになる。

強制インストール時には、まず始めにネットワークサーバ５上で強制インストール情報１８（強制インストール用ファイル）をもとに署名作成アプリ５２がこの強制インストール情報１８に係る署名情報（強制インストール用署名情報１９）を作成する。

次に、作成した署名情報１９と強制インストール情報１８を外部メモリ３に保存し、情報処理装置１内のシステム更新アプリ１２でシステム更新処理を行う。強制インストール処理を行う際には、まず署名検証アプリ１３が外部メモリ３に保存された強制インストール情報１８と強制インストール用署名情報１９から署名検証を行う。

署名検証に成功した場合には、情報処理装置１内部のシステム起動用ストレージ４に強制インストール情報１８を保存し、強制インストールを行う。また、署名検証に成功した場合には、強制インストール用署名情報２０を作成し、強制インストール情報１８のメタデータ領域に保存する。この署名情報２０は、システム起動時にＬｉｎｕｘ－ＩＭＡ１１Ｂの機能を使い強制インストール情報１８の完全性・真正性を確認するために用いられる。署名検証に失敗した場合にはシステムを停止する。

強制インストール完了後、システムを通常起動させる際には、システム起動時に利用するファームウェア（例えば、ＢＩＯＳやブートローダ）の完全性・真正性の確認をＴｒｕｓｔｅｄ Ｂｏｏｔ１１Ａで行い、システム起動時に利用するファームウェアによる起動後に実行するファイルの完全性・真正性の確認（署名検証）をＬｉｎｕｘ－ＩＭＡ１１Ｂが行う。

図１０は、強制インストール時の署名作成アプリ５２のアクティビティ図である。

ネットワークサーバ５上で実行される署名作成アプリ５２は、強制インストール情報１８に対してハッシュ演算を行う（Ｓ４０１）。

次に、ネットワークサーバ５に保管された署名作成用秘密鍵５３によって、ステップＳ３０１にてハッシュ演算した計測値を暗号化し、強制インストール用の電子署名（強制インストール用署名情報１９）を作成する（Ｓ４０２）。

図１１は、強制インストール時のシステム更新アプリ１２のアクティビティ図である。

外部メモリ３から強制インストール情報１８と強制インストール用署名情報１９を読み込み（Ｓ５０１）、署名検証アプリ１３を利用して署名検証を行う（Ｓ５０２）。署名検証アプリ１３による署名検証処理の詳細は図１２を参照して後述する。

署名検証アプリ１３から送信された署名検証結果が成功だった場合、強制インストール情報１８をシステム起動用ストレージ４に書き込みシステムを更新する（Ｓ５０３）。また、Ｌｉｎｕｘ‐ＩＭＡ１１Ｂの署名作成機能を利用し、システムの通常起動時に強制インストール情報１８を署名検証するための署名（強制インストール用署名情報２０）を作成し、システム起動用ストレージ４に保存された強制インストール情報１８のメタデータ領域に署名を保存する（Ｓ５０４）。

署名検証アプリ１３から送信された署名検証結果が失敗だった場合、システムを停止させる（Ｓ５０５）。

図１２は、強制インストール時の署名検証アプリ１３のアクティビティ図である。

署名検証アプリ１３は強制インストール情報１８にハッシュ演算を行う（Ｓ６０１）。

また、強制インストール用署名情報１９をシステム起動用ストレージ４に保存してある署名検証用公開鍵１６で復号化する（Ｓ６０２）。

強制インストール情報１８のハッシュ演算結果と強制インストール用署名情報１９を復号化した結果が一致するか比較検証する（Ｓ６０３）。

比較検証した結果、署名検証に成功した場合、成功した結果をシステム更新アプリ１２に送信する（Ｓ６０４）。署名検証に失敗した場合、失敗した結果をシステム更新アプリ１２に送信する（Ｓ６０５）。

なお、本実施形態に係る情報処理装置１は、システム更新時等にファイルの正当性を検証する機能を備えた装置であれば図１に例示した構成に限られない。例えば、ＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ノートＰＣ（Personal Computer）、携帯電話、スマートフォン、タブレット端末、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。

例えば、実施形態に係る情報処理装置１は、図１３、図１４に示すハードウェア構成を有する、ＰＣ（サーバ）６、またはＭＦＰ７のいずれかであってもよい。

図１３は、ＰＣ（サーバ）５のハードウェア構成図である。ここでは、サーバ５のハードウェア構成について説明する。

図１３に示されているように、サーバ６は、コンピュータによって構築されており、図１３に示されているように、ＣＰＵ６０１、ＲＯＭ６０２、ＲＡＭ６０３、ＨＤ６０４、ＨＤＤ(Hard Disk Drive)コントローラ６０５、ディスプレイ６０６、外部機器接続Ｉ／Ｆ(Interface)６０８、ネットワークＩ／Ｆ６０９、データバス６１０、キーボード６１１、ポインティングデバイス６１２、ＤＶＤ－ＲＷ(Digital Versatile Disk Rewritable)ドライブ６１４、メディアＩ／Ｆ６１６を備えている。

これらのうち、ＣＰＵ６０１は、サーバ６全体の動作を制御する。ＲＯＭ６０２は、ＩＰＬ等のＣＰＵ６０１の駆動に用いられるプログラムを記憶する。ＲＡＭ６０３は、ＣＰＵ６０１のワークエリアとして使用される。ＨＤ６０４は、プログラム等の各種データを記憶する。ＨＤＤコントローラ６０５は、ＣＰＵ６０１の制御にしたがってＨＤ６０４に対する各種データの読み出し又は書き込みを制御する。ディスプレイ６０６は、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示する。外部機器接続Ｉ／Ｆ６０８は、各種の外部機器を接続するためのインターフェースである。この場合の外部機器は、例えば、ＵＳＢ(Universal Serial Bus)メモリやプリンタ等である。ネットワークＩ／Ｆ６０９は、通信ネットワークを利用してデータ通信をするためのインターフェースである。バスライン６１０は、図１３に示されているＣＰＵ６０１等の各構成要素を電気的に接続するためのアドレスバスやデータバス等である。

また、キーボード６１１は、文字、数値、各種指示などの入力のための複数のキーを備えた入力手段の一種である。ポインティングデバイス６１２は、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行う入力手段の一種である。ＤＶＤ－ＲＷドライブ６１４は、着脱可能な記録媒体の一例としてのＤＶＤ－ＲＷ６１３に対する各種データの読み出し又は書き込みを制御する。なお、ＤＶＤ－ＲＷに限らず、ＤＶＤ－Ｒ等であってもよい。メディアＩ／Ｆ６１６は、フラッシュメモリ等の記録メディア６１５に対するデータの読み出し又は書き込み（記憶）を制御する。

図１４は、ＭＦＰ９のハードウェア構成図である。図１４に示されているように、ＭＦＰ(Multifunction Peripheral/Product/Printer)９は、コントローラ９１０、近距離通信回路９２０、エンジン制御部９３０、操作パネル９４０、ネットワークＩ／Ｆ９５０を備えている。

これらのうち、コントローラ９１０は、コンピュータの主要部であるＣＰＵ９０１、システムメモリ（ＭＥＭ－Ｐ）９０２、ノースブリッジ（ＮＢ）９０３、サウスブリッジ（ＳＢ）９０４、ＡＳＩＣ(Application Specific Integrated Circuit)９０６、記憶部であるローカルメモリ（ＭＥＭ－Ｃ）９０７、ＨＤＤコントローラ９０８、及び、記憶部であるＨＤ９０９を有し、ＮＢ９０３とＡＳＩＣ９０６との間をＡＧＰ(Accelerated Graphics Port)バス９２１で接続した構成となっている。

これらのうち、ＣＰＵ９０１は、ＭＦＰ９の全体制御を行う制御部である。ＮＢ９０３は、ＣＰＵ９０１と、ＭＥＭ－Ｐ９０２、ＳＢ９０４、及びＡＧＰバス９２１とを接続するためのブリッジであり、ＭＥＭ－Ｐ９０２に対する読み書きなどを制御するメモリコントローラと、ＰＣＩ(Peripheral Component Interconnect)マスタ及びＡＧＰターゲットとを有する。

ＭＥＭ－Ｐ９０２は、コントローラ９１０の各機能を実現させるプログラムやデータの格納用メモリであるＲＯＭ９０２ａ、プログラムやデータの展開、及びメモリ印刷時の描画用メモリなどとして用いるＲＡＭ９０２ｂとからなる。なお、ＲＡＭ９０２ｂに記憶されているプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよい。

ＳＢ９０４は、ＮＢ９０３とＰＣＩデバイス、周辺デバイスとを接続するためのブリッジである。ＡＳＩＣ９０６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ(Integrated Circuit)であり、ＡＧＰバス９２１、ＰＣＩバス９２２、ＨＤＤ９０８およびＭＥＭ－Ｃ９０７をそれぞれ接続するブリッジの役割を有する。このＡＳＩＣ９０６は、ＰＣＩターゲットおよびＡＧＰマスタ、ＡＳＩＣ９０６の中核をなすアービタ（ＡＲＢ）、ＭＥＭ－Ｃ９０７を制御するメモリコントローラ、ハードウェアロジックなどにより画像データの回転などを行う複数のＤＭＡＣ(Direct Memory Access Controller)、並びに、スキャナ部９３１及びプリンタ部９３２との間でＰＣＩバス９２２を介したデータ転送を行うＰＣＩユニットとからなる。なお、ＡＳＩＣ９０６には、ＵＳＢ(Universal Serial Bus)のインターフェースや、ＩＥＥＥ１３９４(Institute of Electrical and Electronics Engineers 1394）のインターフェースを接続するようにしてもよい。

ＭＥＭ－Ｃ９０７は、コピー用画像バッファ及び符号バッファとして用いるローカルメモリである。ＨＤ９０９は、画像データの蓄積、印刷時に用いるフォントデータの蓄積、フォームの蓄積を行うためのストレージである。ＨＤ９０９は、ＣＰＵ９０１の制御にしたがってＨＤ９０９に対するデータの読出又は書込を制御する。ＡＧＰバス９２１は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレータカード用のバスインタフェースであり、ＭＥＭ－Ｐ９０２に高スループットで直接アクセスすることにより、グラフィックスアクセラレータカードを高速にすることができる。

また、近距離通信回路９２０には、近距離通信回路９２０ａが備わっている。近距離通信回路９２０は、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の通信回路である。

更に、エンジン制御部９３０は、スキャナ部９３１及びプリンタ部９３２によって構成されている。また、操作パネル９４０は、現在の設定値や選択画面等を表示させ、操作者からの入力を受け付けるタッチパネル等のパネル表示部９４０ａ、並びに、濃度の設定条件などの画像形成に関する条件の設定値を受け付けるテンキー及びコピー開始指示を受け付けるスタートキー等からなる操作パネル９４０ｂを備えている。コントローラ９１０は、ＭＦＰ９全体の制御を行い、例えば、描画、通信、操作パネル９４０からの入力等を制御する。スキャナ部９３１又はプリンタ部９３２には、誤差拡散やガンマ変換などの画像処理部分が含まれている。

なお、ＭＦＰ９は、操作パネル９４０のアプリケーション切り替えキーにより、ドキュメントボックス機能、コピー機能、プリンタ機能、およびファクシミリ機能を順次に切り替えて選択することが可能となる。ドキュメントボックス機能の選択時にはドキュメントボックスモードとなり、コピー機能の選択時にはコピーモードとなり、プリンタ機能の選択時にはプリンタモードとなり、ファクシミリモードの選択時にはファクシミリモードとなる。

また、ネットワークＩ／Ｆ９５０は、通信ネットワーク１００を利用してデータ通信をするためのインターフェースである。近距離通信回路９２０及びネットワークＩ／Ｆ９５０は、ＰＣＩバス９２２を介して、ＡＳＩＣ９０６に電気的に接続されている。

以上、具体例を参照しつつ本実施形態について説明した。しかし、本開示はこれらの具体例に限定されるものではない。これら具体例に、当業者が適宜設計変更を加えたものも、本開示の特徴を備えている限り、本開示の範囲に包含される。前述した各具体例が備える各要素およびその配置、条件、形状などは、例示したものに限定されるわけではなく適宜変更することができる。前述した各具体例が備える各要素は、技術的な矛盾が生じない限り、適宜組み合わせを変えることができる。

１ 情報処理装置
１４ システム更新用情報（更新用ファイル）
１５ システム更新用署名情報（署名ファイル）
１８ 強制インストール情報（強制インストール用ファイル）
５ ネットワークサーバ

特開２０１９－００３２７５号公報

Claims (6)

1. 更新用ファイルから一意に計算される値と前記更新用ファイルに対する署名ファイルによって署名検証を行うことで、システム更新時に前記更新用ファイルの完全性・真正性を保証する第一の機能と、
   システム起動中に実行する起動用ファイルの完全性・真正性を保証する第二の機能と、
   を有し、
   前記第一の機能によって完全性・真正性を保証された前記更新用ファイルを用いてシステムを更新した後に、前記第二の機能によって完全性・真正性を保証された前記起動用ファイルを用いてシステムを起動させることで、システム更新時とシステム起動中に取り扱うファイルに対して完全性・真正性を保証し、
   前記第一の機能は、前記署名検証に成功した場合には、システム起動用署名情報を作成し、前記更新用ファイルのメタデータ領域に保存し、
   前記第二の機能は、システム起動時に利用するファームウェアに対する完全性・真正性の確認をＴｒｕｓｔｅｄ Ｂｏｏｔ１１Ａで行い、前記メタデータ領域に保存された前記システム起動用署名情報を用いて前記更新用ファイルの完全性・真正性の確認をＬｉｎｕｘ－ＩＭＡ１１Ｂで行い、前記ファームウェアによる起動後に実行されるファイルの完全性・真正性の確認を前記Ｌｉｎｕｘ－ＩＭＡ１１Ｂで行う、
   情報処理装置。
2. 前記第一の機能において、
   前記更新用ファイルと、前記署名ファイルは、ネットワークサーバからダウンロードされる、
   請求項１に記載の情報処理装置。
3. システム全体を書き換えて新しく書き換える強制インストールファイルによってシステムを更新する際に、強制インストール用ファイルから一意に計算される値と前記強制インストール用ファイルに対する署名ファイルによって署名検証を行うことで、強制インストール時に前記強制インストール用ファイルに対する完全性・真正性を保証する第３の機能を有する、
   請求項１または２に記載の情報処理装置。
4. 前記一意に計算される値は、ハッシュ演算結果である、
   請求項１～３のいずれか１項に記載の情報処理装置。
5. 更新用ファイルから一意に計算される値と前記更新用ファイルに対する署名ファイルによって署名検証を行うことで、システム更新時に前記更新用ファイルの完全性・真正性を保証する更新ステップと、
   前記更新ステップによって完全性・真正性を保証された前記更新用ファイルを用いてシステムを更新した後に、システムを起動させ、システム起動中に実行する起動用ファイルの完全性・真正性を保証する起動ステップと、
   を含み、
   前記更新ステップは、前記署名検証に成功した場合には、システム起動用署名情報を作成し、前記更新用ファイルのメタデータ領域に保存し、
   前記起動ステップは、システム起動時に利用するファームウェアに対する完全性・真正性の確認をＴｒｕｓｔｅｄ Ｂｏｏｔ１１Ａで行い、前記メタデータ領域に保存された前記システム起動用署名情報を用いて前記更新用ファイルの完全性・真正性の確認をＬｉｎｕｘ－ＩＭＡ１１Ｂで行い、前記ファームウェアによる起動後に実行されるファイルの完全性・真正性の確認を前記Ｌｉｎｕｘ－ＩＭＡ１１Ｂで行う、
   情報処理装置のファイル保証方法。
6. 更新用ファイルから一意に計算される値と前記更新用ファイルに対する署名ファイルによって署名検証を行うことで、システム更新時に前記更新用ファイルの完全性・真正性を保証する第一の機能と、
   前記第一の機能によって完全性・真正性を保証された前記更新用ファイルを用いてシステムを更新した後に、システム起動中に実行する実行用ファイルの完全性・真正性を保証する第二の機能と、
   をコンピュータに実行させ、
   前記第一の機能は、前記署名検証に成功した場合には、システム起動用署名情報を作成し、前記更新用ファイルのメタデータ領域に保存し、
   前記第二の機能は、システム起動時に利用するファームウェアに対する完全性・真正性の確認をＴｒｕｓｔｅｄ Ｂｏｏｔ１１Ａで行い、前記メタデータ領域に保存された前記システム起動用署名情報を用いて前記更新用ファイルの完全性・真正性の確認をＬｉｎｕｘ－ＩＭＡ１１Ｂで行い、前記ファームウェアによる起動後に実行されるファイルの完全性・真正性の確認を前記Ｌｉｎｕｘ－ＩＭＡ１１Ｂで行う、
   情報処理装置のファイル保証プログラム。

Images