(57)【要約】【課題】情報伝達経路において、入出力情報が改ざんされてないことを、表示する情報量によらず、ユーザが確認可能であるユーザインタフェースを有する情報処理装置、情報処理システム及び情報処理方法を提供すること。【解決手段】情報処理装置１は、ＮＵＩ機能部３０と、ＮＵＩ機能部３０より保護レベルが高いＳＵＩ機能部２０と、情報の入力を受け付けるとともに、情報を表示出力する表示出力する入出力部１１とを有し、ＮＵＩ機能部３０は、クエリＱ０の入力を受け付けるＮＵＩ画面を入出力部１１に表示させ、ＮＵＩ画面を介して入力されたクエリＱ０をクエリＱ１としてＳＵＩ機能部２０に送信し、ＳＵＩ機能部２０は、クエリと該クエリに対応するサマリとを含む証明データ５０を基に、クエリＱ１に対応するサマリＭ１を作成し、クエリＱ１とサマリＭ１とを有するＳＵＩ画面を入出力部１１に表示させる。【選択図】図１
2020021154.tif 000002
【特許請求の範囲】
【請求項１】
第１のソフトウェア機能部と、前記第１のソフトウェア機能部より保護レベルが高い第２のソフトウェア機能部とを有する情報処理装置であって、
情報の入力を受け付けるとともに、情報を表示出力する表示出力する入出力部を有し、
前記第１のソフトウェア機能部は、
少なくとも第１のクエリの入力を受け付ける第１の画面を前記入出力部に表示させ、前記第１の画面を介して入力された第１のクエリを第２のクエリとして前記第２のソフトウェア機能部に送信する第１の入出力制御部
を有し、
前記第２のソフトウェア機能部は、
クエリと該クエリに対応するサマリとを含む証明データを基に、前記第２のクエリに対応する第２のサマリを作成する作成部と、
前記第２のクエリと前記第２のサマリとを有する第２の画面を前記入出力部に表示させる第２の入出力制御部と、
を有することを特徴とする情報処理装置。
【請求項２】
前記第２の入出力制御部は、前記第２の画面を前記入出力部に表示させる場合に、前記第２の画面が保護されているか否かを確認可能である表示機能を前記第２の画面に追加することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記第１の画面に表示された前記第１のクエリと、前記第２の画面に表示された前記第２のクエリと前記第２のサマリとは、前記入出力部から前記第１のソフトウェア機能部を介する情報伝達経路において入出力情報の改ざんの有無を確認する際に使用されることを特徴とする請求項１または２に記載の情報処理装置。
【請求項４】
前記証明データを、該証明データの完全性が検証可能である状態で記憶する記憶部をさらに有し、
前記作成部は、前記第２のクエリを基に前記証明データを検索し、完全性が検証された検索結果を基に前記第２のサマリを作成することを特徴とする請求項１〜３のいずれか一つに記載の情報処理装置。
【請求項５】
第１のソフトウェア機能部と前記第１のソフトウェア機能部より保護レベルが高い第２のソフトウェア機能部とを有する第１の情報処理装置と、前記第１のソフトウェア機能部より保護レベルが高い第３のソフトウェア機能部とを有する第２の情報処理装置とを有する情報処理システムであって、
前記第１の情報処理装置は、
情報の入力を受け付けるとともに、情報を表示出力する表示出力する入出力部を有し、
前記第１のソフトウェア機能部は、
少なくとも第１のクエリの入力を受け付ける第１の画面を前記入出力部に表示させ、前記第１の画面を介して入力された第１のクエリを第２のクエリとして前記第１のソフトウェア機能部に送信する第１の入出力制御部
を有し、
前記第２のソフトウェア機能部は、
前記第２のクエリに対応する第２のサマリの作成を依頼し、該依頼に応じて送信された前記第２のサマリの完全性を検証する検証部と、
前記第２のクエリと前記第２のサマリとを有する第２の画面を前記入出力部に表示させる第２の入出力制御部と、
を有し、
前記第２の情報処理装置は、
クエリと該クエリに対応するサマリとを含む証明データを、該証明データの完全性が検証可能である状態で記憶する記憶部
を有し、
前記第３のソフトウェア機能部は、
前記検証部からの依頼に応じて、前記第２のクエリを基に前記証明データを検索し、検索結果を基に前記第２のサマリを作成して、前記検証部に送信する作成部
を有することを特徴とする情報処理システム。
【請求項６】
第１のソフトウェア機能部と、前記第１のソフトウェア機能部より保護レベルが高い第２のソフトウェア機能部とを有する情報処理装置が実行する情報処理方法であって、
前記情報処理装置は、情報の入力を受け付けるとともに、情報を表示出力する表示出力する入出力部を有し、
前記第１のソフトウェア機能部は、第１の入出力制御部を有し、
前記第２のソフトウェア機能部は、作成部と、第２の入出力制御部とを有し、
前記第１の入出力制御部が、少なくとも第１のクエリの入力を受け付ける第１の画面を入出力部に表示させる工程と、
前記第１の入出力制御部が、前記第１の画面を介して前記入出力部から入力された第１のクエリを第２のクエリとして前記第２のソフトウェア機能部に送信する工程と、
前記作成部が、クエリと該クエリに対応するサマリとを含む証明データを基に、前記第２のクエリに対応する第２のサマリを作成する工程と、
前記第２の入出力制御部が、前記第２のクエリと前記第２のサマリとを有する第２の画面を前記入出力部に表示させる工程と、
を含んだことを特徴とする情報処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理システム及び情報処理方法に関する。
【背景技術】
【０００２】
プログラムが、ユーザの入力要求に応じて、セキュリティチェックの確認結果など大量情報の処理結果を表示する際、プログラムからユーザまでの情報伝達経路において、入出力情報が改ざんされてないことを、ユーザが確認可能であるユーザインタフェース（ＵＩ）が求められている。以下では、求められているＵＩとして、次の要件を満たす技術を総称してセキュアユーザインタフェース（ＳＵＩ）と呼ぶ。
【０００３】
まず、ＳＵＩの第１の要件は、情報処理装置の構成要素（ソフトウェア、ハードウェア）を、保護された領域と、保護されない領域とに区分されていることである。
【０００４】
ＳＵＩの第２の要件は、保護された領域のソフトウェアが生成した情報（trusted  output：ＴＯＵＴ）をユーザに通知するとき、及び、ユーザが入力した情報（trusted  input：ＴＩＮ）を保護された領域のソフトウェアに通知する場合であることである。
【０００５】
ＳＵＩの第３の要件は、保護されない領域の構成要素が、ＴＩＮあるいはＴＯＵＴを、改ざんできないユーザインタフェースであることである。
【０００６】
ＳＵＩの第４の要件は、ユーザがユーザインタフェースを利用するにあたり、それがＳＵＩであるか否かをユーザが確認できる手段（ＳＵＩ確認方法）を有するユーザインタフェースであることである。
【０００７】
一般に、ＳＵＩは、情報処理装置の入出力部（スクリーンやキーボードなど）を用いて実現する。例えば、通常状態では保護されない領域のソフトウェアがスクリーンに情報を表示しており、ＳＵＩが必要な場合のみ、保護された領域のソフトウェアが同じスクリーンに割り込み、ＴＯＵＴを表示する。このようなケースでは、ユーザがスクリーン上の情報がＴＯＵＴであるか否かを確認できる手段（ＳＵＩ確認方法）が必須となる。
【０００８】
そして、ＳＵＩ確認方法が提供されていなければ、保護されない領域のソフトウェアが、ＳＵＩか否か見分けのつかないＴＯＵＴをスクリーンに表示し、ユーザを詐称できる。以下、ＳＵＩを実現できると考えられる第１の従来技術及び第２の従来技術について説明する。第１及び第２の従来技術では、ユーザアカウント制御のためのセキュアなデスクトップを提供する。
【０００９】
まず、第１の従来技術について説明する（非特許文献１参照）。第１の従来技術は、特権ユーザへの昇格操作時に、画面が暗転し、特権ユーザへの昇格操作のためのウィンドウ以外は一時的に操作できないようにすることによって、ユーザに、セキュアなデスクトップを提供するＵＩである。この第１の従来技術を、ＳＵＩととらえたときに、上記ＳＵＩの第１〜第４の要件に、第１の従来技術の各内容を当てはめて説明する。
【００１０】
第１の従来技術において、第１の要件で示す保護された領域は、オペレーティングシステムおよびオペレーティングシステムと同等の保護がなされたアプリケーションプログラム（以下、以上を総称して「ＯＳ」とする）になる。また、第１の従来技術において、第１の要件で示す保護されない領域は、ＯＳ以外のアプリケーションプログラムになる。
【００１１】
第１の従来技術において、第２の要件で示すＴＯＵＴは、ＯＳがユーザに対して表示する、特権ユーザに昇格するためパスワード入力画面（昇格操作画面であることの表示と、パスワード入力欄）であり、ＴＩＮは、ユーザがＯＳに対して入力する、特権ユーザに昇格するためパスワードである。これらのＴＯＵＴ及びＴＩＮは、ＯＳによるものであるため、ＯＳ以外のアプリケーションプログラムによって改ざんはできない第３の要件を満たす。
【００１２】
そして、第１の従来技術においては、画面が暗転し、昇格操作のためのウィンドウ以外は一時的に操作できなくなるようにすることによって、ユーザに、該ウィンドウがセキュアかどうかを確認できるようにしている。この確認方法が、第４の要件で示すＳＵＩ確認方法に該当する。
【００１３】
この第１の従来技術によるＳＵＩが提供されない場合には、以下のような脅威が生じる。具体的には、保護されない領域のソフトウェア（マルウェアなど）がＴＯＵＴ（パスワード入力画面）を偽造して表示した場合、ユーザは、ＯＳではなくマルウェアに対してパスワードを入力するおそれがある。この場合には、装置のセキュリティの根幹をなす特権ユーザのパスワードがマルウェアに奪われてしまう。
【００１４】
また、第１の従来技術によるＳＵＩが提供されない場合には、保護されない領域のソフトウェア（マルウェアなど）がＴＩＮ（パスワード）を改ざんするおそれがある。この場合には、特権ユーザへの昇格ができなくなり、業務が妨害されてしまう。
【００１５】
次に、第２の従来技術について説明する（非特許文献２参照）。第２の従来技術は、例えば、セキュリティモジュール内に記録した、ユーザのみが知りうる情報（例、母親の旧姓）の表示や、セキュリティモジュール内のプログラムのみが操作できるＬＥＤランプなどの点灯によって、ユーザに、セキュアなデスクトップを提供するＵＩである。この第２の従来技術を、ＳＵＩととらえたときに、上記ＳＵＩの第１〜第４の要件に、第２の従来技術の各内容を当てはめて説明する。
【００１６】
第２の従来技術において、第１の要件で示す保護された領域は、セキュリティモジュールの内部で記録されたデータ及びセキュリティモジュール内で動作するトラステッドアプリケーション（ＴＡ）である。なお、セキュリティモジュールは、情報処理装置の構成要素をなすハードウェアであり、情報処理装置の主たるプロセッサやメモリとは独立に、セキュリティモジュール自体の内部に演算機能やメモリを有し、内部の情報に対して外部から改ざんや盗聴することは極めて困難である。そして、第２の従来技術において、第１の要件で示す保護されない領域は、セキュリティモジュールの外部に記録されたデータ、及びセキュリティモジュールの外部で動作するソフトウェア（セキュリティモジュール外のＯＳを含む）である。
【００１７】
第２の従来技術において、第２の要件で示すＴＯＵＴは、例えば、ＴＡがユーザに対して表示する、代金請求画面（購入物品名、請求金額の表示と、決済用ＰＩＮコード入力欄）である。そして、第２の従来技術において、第２の要件で示すＴＩＮは、例えば、ユーザがＴＡに対して入力する、決済用ＰＩＮコードである。
【００１８】
第２の従来技術においては、例えば、セキュリティモジュール内に記録した、ユーザのみが知りうる情報を表示（例、母親の旧姓）する他、セキュリティモジュール内のプログラムのみが操作できるＬＥＤランプなどを点灯することによって、ユーザに、該ウィンドウがセキュアかどうかを確認できるようにしている。この確認方法が、第４の要件で示すＳＵＩ確認方法に該当する。このユーザのみが知りうる情報は、セキュリティモジュール内に記録したものであり改ざんはできない。そして、ＬＥＤランプなどは、セキュリティモジュール内のプログラムのみが操作できるものであるため、操作処理を改ざんできない。このため、第２の従来技術は、第３の要件を満たす。
【００１９】
第２の従来技術によれば、入力されたＰＩＮコードに対して、保護された領域内部で暗号化などの処理を行うことによって、安全に保護された領域の外部（決済機関など）に送信することができる。
【００２０】
そして、この第２の従来技術によるＳＵＩが提供されなければ、以下のような脅威が生じる。具体的には、保護されない領域のソフトウェア（マルウェアなど）がＴＯＵＴ（代金請求画面）を偽造して表示した場合、ユーザはＯＳではなくマルウェアに対してＰＩＮコードを入力するおそれがある。この場合には、マルウェアに奪われたＰＩＮコードが使用されることによって、金銭的被害が生じてしまう。
【００２１】
そして、保護されない領域のソフトウェア（マルウェアなど）がＴＯＵＴ（代金請求画面の購入物品名、請求金額）を偽造して表示した場合、ユーザはこれに対して支払いを行うおそれがある。この場合には、購入された物品の価値または支払った金額の、差額にともなう被害が、ユーザまたは販売側に発生してしまう。
【００２２】
また、保護されない領域のソフトウェア（マルウェアなど）がＴＩＮ（決済用ＰＩＮコード）を改ざんするおそれがある。この場合には、決済におけるＰＩＮ照合がエラーとなり、サービスが妨害される。
【先行技術文献】
【非特許文献】
【００２３】
【非特許文献１】User  Account  Control:  Switch  to  the  secure  desktop  when  prompting  for  elevation，Microsoft，［平成３０年４月６日検索］，インターネット＜ＵＲＬ：https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/user-account-control-switch-to-the-secure-desktop-when-prompting-for-elevation＞
【非特許文献２】‘Trusted’  User  Interface，GlobalPlatform，［平成３０年４月６日検索］，インターネット＜ＵＲＬ：https://www.globalplatform.org/mediapressview.asp?id=1029＞
【発明の概要】
【発明が解決しようとする課題】
【００２４】
ここで、第１の従来技術及び第２の従来技術ともに、情報量の少ないＴＯＵＴ及びＴＩＮを取り扱う用途に使用される。しかしながら、第１の従来技術及び第２の従来技術に比べ情報量が大きいＴＯＵＴ及びＴＩＮをＳＵＩで取り扱いたい用途もある。
【００２５】
例えば、ウィルススキャンの結果確認や、ファイルの改ざんチェックの結果確認などの用途（以下、セキュリティ確認と総称する）に、ＳＵＩを適用することが要望されている。
【００２６】
セキュリティ確認用途において、ユーザ操作が偽造された場合、以下のような脅威が生じる。具体的には、ウィルスに感染しているが、感染してないように偽装する脅威である。また、ファイルを改ざんされているが、改ざんされてないように偽装する脅威である。
【００２７】
通常、ウィルススキャンやファイル改ざんチェックを、ＰＣやサーバ機器で行うと、１回のスキャンで大量（数万件〜）の確認結果が出力される。多数の機器で構成されるシステムに対してセキュリティ確認を実施すると、さらに多くの確認結果を出力する。
【００２８】
このようなセキュリティ確認の操作をＳＵＩで行う場合、第１の従来技術及び第２の従来技術と比べて、「多くの情報を扱う多機能な」ユーザインタフェースが必要となる。例えば、以下のような機能である。大量の確認結果をスクリーン表示するための画面遷移やスクロール機能、確認結果のスクリーン表示条件（期間、機器のＩＤ、イベント種別、及びこれらのＡＮＤ，ＯＥなど論理関係表示順序）を入力する機能である。
【００２９】
しかしながら、上記のＳＵＩを第１の従来技術または第２の従来技術を用いて実現する場合、以下の課題がある。
【００３０】
まず、ＯＳの一部としてＳＵＩを実装する場合の課題について説明する。この場合、ＳＵＩ確認方法を確保するために、ＳＵＩとして実装できるＵＩの機能が制限されるという課題が生じる。
【００３１】
例えば、第１の従来技術のＳＵＩ確認方法は、「画面が暗転し、昇格操作のためのウィンドウ以外は一時的に操作できなくなる」であった。この昇格操作の画面は、ＩＤ／パスワードの入力ボックスと、「ＯＫ」／「キャンセル」を選択するボタン程度しか配置されない。このようなＵＩであれば、ユーザはそれがＳＵＩであることを認識するのは容易である。一方もし、ＳＵＩとして多機能なＵＩの実装を許容すると、ユーザは、それは通常のアプリケーションのＵＩであると判別するのが困難となる。
【００３２】
次に、セキュリティモジュール内のＴＡで実装する場合の第２の課題について説明する。この場合、ＳＵＩ実装に要するコストが高くなるという課題が生じる。
【００３３】
セキュリティモジュール内で動作するＴＡの実装は、セキュリティモジュール外の“リッチＯＳ”上で動作するアプリケーションの実装と比べて高コストになる。開発／テスト環境（ＳＤＫ（Software  Development  Kit）など）、利用できるコンピュータリソース（ＣＰＵ（Central  Processing  Unit）やメモリなど）、利用できるサブモジュール（サービスやライブラリなど）などが、リッチＯＳ上でのアプリケーション開発と比べて限定されるためである。
【００３４】
さらに、ＴＡを実装する構成では、暗号や認証などＴＡとして動作するために必要な処理機構をさらに実装する必要が生じやすい。このため、高機能なＳＵＩを実装するためのコストが高くなる。また同様の理由でメンテナンスコストも高くなる。
【００３５】
本発明は、上記に鑑みてなされたものであって、情報伝達経路において、入出力情報が改ざんされてないことを、表示する情報量によらず、ユーザが確認可能であるユーザインタフェースを有する情報処理装置、情報処理システム及び情報処理方法を提供することを目的とする。
【課題を解決するための手段】
【００３６】
上述した課題を解決し、目的を達成するために、本発明に係る情報処理装置は、第１のソフトウェア機能部と、第１のソフトウェア機能部より保護レベルが高い第２のソフトウェア機能部とを有する情報処理装置であって、情報の入力を受け付けるとともに、情報を表示出力する表示出力する入出力部を有し、第１のソフトウェア機能部は、少なくとも第１のクエリの入力を受け付ける第１の画面を入出力部に表示させ、第１の画面を介して入力された第１のクエリを第２のクエリとして第２のソフトウェア機能部に送信する第１の入出力制御部を有し、第２のソフトウェア機能部は、クエリと該クエリに対応するサマリとを含む証明データを基に、第２のクエリに対応する第２のサマリを作成する作成部と、第２のクエリと第２のサマリとを有する第２の画面を入出力部に表示させる第２の入出力制御部と、を有することを特徴とする。
【００３７】
また、本発明に係る情報処理システムは、第１のソフトウェア機能部と第１のソフトウェア機能部より保護レベルが高い第２のソフトウェア機能部とを有する第１の情報処理装置と、第１のソフトウェア機能部より保護レベルが高い第３のソフトウェア機能部とを有する第２の情報処理装置とを有する情報処理システムであって、第１の情報処理装置は、情報の入力を受け付けるとともに、情報を表示出力する表示出力する入出力部を有し、第１のソフトウェア機能部は、少なくとも第１のクエリの入力を受け付ける第１の画面を入出力部に表示させ、第１の画面を介して入力された第１のクエリを第２のクエリとして第１のソフトウェア機能部に送信する第１の入出力制御部を有し、第２のソフトウェア機能部は、第２のクエリに対応する第２のサマリの作成を依頼し、該依頼に応じて送信された第２のサマリの完全性を検証する検証部と、第２のクエリと第２のサマリとを有する第２の画面を入出力部に表示させる第２の入出力制御部と、を有し、第３のソフトウェア機能部は、クエリと該クエリに対応するサマリとを含む証明データを、該証明データの完全性が検証可能である状態で記憶する記憶部と、検証部からの依頼に応じて、第２のクエリを基に証明データを検索し、検索結果を基に第２のサマリを作成して、検証部に送信する作成部と、を有することを特徴とする。
【発明の効果】
【００３８】
本発明によれば、情報伝達経路において、入出力情報が改ざんされてないことを、表示する情報量によらず、ユーザが確認可能であるユーザインタフェースを有する情報処理装置、情報処理システム及び情報処理方法を提供することができる。
【図面の簡単な説明】
【００３９】
【図１】図１は、実施の形態に係る情報処理装置の要部構成を示す図である。
【図２】図２は、図１に示す入出力部が表示する画面の一例を示す図である。
【図３】図３は、実施の形態に係る情報処理の処理手順について説明するフローチャートである。
【図４】図４は、本実施の形態の効果を説明する図である。
【図５】図５は、実施例１に係る情報処理装置の構成の一例を示す図である。
【図６】図６は、図５に示す情報処理装置における処理の流れを説明する図である。
【図７】図７は、実施例１に係る情報処理の処理手順について説明するフローチャートである。
【図８】図８は、実施例２に係る情報処理装置の構成の一例を示す図である。
【図９】図９は、図８に示す情報処理装置における処理の流れを説明する図である。
【図１０】図１０は、実施例２に係る情報処理の処理手順について説明するフローチャートである。
【図１１】図１１は、実施例３に係る情報処理装置の構成の一例を示す図である。
【図１２】図１２は、図１１に示す情報処理装置における処理の流れを説明する図である。
【図１３】図１３は、図１３は、実施例３に係る情報処理の処理手順について説明するフローチャートである。
【図１４】図１４は、実施例４に係る情報処理システムの構成の一例を示す図である。
【図１５】図１５は、図１４に示す情報処理システムにおける処理の流れを説明する図である。
【図１６】図１６は、実施例４に係る情報処理の処理手順について説明するシーケンス図である。
【図１７】図１７は、プログラムが実行されることにより、情報処理装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００４０】
以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００４１】
［実施の形態］
本発明の実施の形態について説明する。実施の形態では、プログラムが、ユーザの入力要求に対して、セキュリティチェックの確認結果など大量情報処理結果を表示する際であっても、プログラムからユーザまでの情報伝達経路において、入出力情報が改ざんされていないことをユーザが確認可能であるＳＵＩ確認方法を提案する。
【００４２】
［情報処理装置の要部構成］
まず、本実施の形態に係る情報処理装置の要部構成と情報処理方法について説明する。図１は、実施の形態に係る情報処理装置の要部構成を示す図である。実施の形態に係る情報処理装置１は、ＲＯＭ（Read  Only  Memory）、ＲＡＭ（Random  Access  Memory）、ＣＰＵ等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、情報処理装置１は、ＮＩＣ（Network  Interface  Card）等を有し、ＬＡＮ（Local  Area  Network）やインターネットなどの電気通信回線を介した他の装置との間の通信を行うことも可能である。
【００４３】
図１に示すように、実施の形態に係る情報処理装置１は、入出力部１１、保護された機能部（ＳＵＩ機能部）２０（第２のソフトウェア機能部）、保護されない機能部（ノーマルユーザインターフェース（ＮＵＩ）機能部）（第１のソフトウェア機能部）３０、及び、記憶部４０を少なくとも有する。
【００４４】
入出力部１１は、ユーザの操作によって情報の入力を受け付けるとともに、情報を表示出力して、ユーザに情報を提示する。入出力部１１は、ディスプレイ等の表示装置、キーボードやマウス等の入力デバイスによって構成される。また、入出力部１１は、タッチパネル方式を採用した入出力デバイスであってもよい。
【００４５】
ＳＵＩ機能部２０は、ＯＳ及びＯＳと同等の保護がなされたアプリケーションプログラムである。ＮＵＩ機能部３０は、ＳＵＩ機能部２０と比して、マルウェアや不正なオペレーションからの保護レベルが、ＳＵＩ機能部２０より低い。言い換えると、ＳＵＩ機能部２０は、ＮＵＩ機能部３０より保護レベルが高い。
【００４６】
記憶部４０は、証明データ５０を記憶する。証明データ５０は、クエリと該クエリに対応するサマリとを含む。
【００４７】
［処理の流れ］
次に、図１及び図２を参照して、情報処理装置１の処理の流れについて説明する。図２は、図１に示す入出力部１１が表示する画面の一例を示す図である。前提として、クエリＱ０（第１のクエリ）は、既知であり、ユーザが自ら入力する。
【００４８】
まず、第１のステップとして、ＮＵＩ機能部３０は、クエリＱ０（第１のクエリ）の入力を受け付けるＮＵＩ画面Ｍｎ（第１の画面）（図２参照）を入出力部１１に表示させて、クエリＱ０の入力を受け付ける。クエリＱ０は、証明データ５０の検索条件である。ＮＵＩ画面Ｍｎは、例えば、クエリＱ０の入力領域Ａ１を有し、ＮＵＩ機能部３０は、ＮＵＩ画面Ｍｎの入力領域Ａ１へのキーボード入力等によりクエリＱ０の入力を受付ける。
【００４９】
一般に、入力されたクエリＱ０は、入力と同時にＮＵＩ画面Ｍｎの入力領域Ａ１に表示される。そして、ＮＵＩ画面Ｍｎの入力領域Ａ１には、ＮＵＩ付加機能欄Ａ１１が表示される。ＮＵＩ付加機能欄Ａ１１は、例えば、値のメニュー表示、入力の自動補完などのクエリの入力や出力を支援する機能が表示され、ＮＵＩ機能部３０の実装により実現される。
【００５０】
そして、一般的に、ＮＵＩ機能部３０は、クエリＱ０に基づき証明データ５０をサーチし、サーチ結果のサマリＭ０も、ＮＵＩ画面Ｍｎの表示領域Ａ２に表示する。サマリＭ０は、ＮＵＩ画面Ｍｎで表示した、クエリＱ０に対する証明データ５０の検索結果の要約やＮＧ記録の件数などである。そして、ＮＵＩ画面Ｍｎの表示領域Ａ２には、サマリＭ１とともに、ＮＵＩ付加機能欄Ａ１２が表示される。ＮＵＩ付加機能欄１２は、例えば、サマリ（ＮＧ記録の件数）の元データ（ＮＧ記録データ）の閲覧機能、スクロール、ソート、属性単位の検索などのサマリＭ０の詳細が参照できる機能が表示され、ＮＵＩ機能部３０の実装により実現される。
【００５１】
このように、情報処理装置１では、ＮＵＩ機能部３０にＮＵＩ付加機能欄Ａ１１，Ａ１２で例示するＮＵＩ付加機能を実装するため、ＳＵＩ機能部２０で実装する場合と比して、容易に、高機能な入出力表示を提供できる。したがって、情報処理装置１によれば、ユーザは、値のメニュー表示、入力の自動補完などのクエリの入力や出力を支援する機能や、サマリの元データの閲覧機能、スクロール、ソート、属性単位の検索などのサマリの詳細を示す大量データの処理結果については、ＮＵＩ付加機能欄Ａ１１，Ａ１２を参照すれば、確認可能である。
【００５２】
ユーザは、ＮＵＩ機能部３０を用いて、クエリの修正、サマリの確認を必要に応じて繰り返し、ＳＵＩにて確認する対象のクエリＱ０及びサマリＭ０を確定する。この段階で入出力部１１に表示された（ユーザが認知した）情報を、クエリＱ０、サマリＭ０とする。ＮＵＩ機能部３０は、ＮＵＩ画面Ｍｎを介してクエリＱ０、サマリＭ０の入力を受け付ける（図１の（１）参照）。なお、この段階では、クエリＱ０だけ入力されてもよい。
【００５３】
このＮＵＩ機能部３０は、保護されない機能であるため、ＮＵＩ機能部３０に関する処理経路のいずれかで情報が改ざんされて、サマリＭ０がクエリＱ０の正しい応答でない可能性がある。これが第１の脅威である。
【００５４】
続いて、第２のステップとして、ＮＵＩ機能部３０がＮＵＩ画面ＭｎからＳＵＩ画面Ｍｓ（図２参照）への表示切り替えを指示する。一般的には、ＮＵＩ画面ＭｎにＳＵＩ切り替えボタンＡ３（図２参照）を表示し、これをユーザが選択する等によって、ＳＵＩ機能部２０によるＳＵＩ画面Ｍｓ（図２参照）に表示が切り替えられる。また、ユーザの操作ではなく、ＮＵＩ機能部３０へのクエリＱ０の入力を契機に、自動的にＳＵＩ画面Ｍｓに切り替わってもよい。
【００５５】
この際、ＮＵＩ画面Ｍｎは保護されていないため、切り替え指示が改ざんされるおそれがあり、ＳＵＩ画面Ｍｓへの切り替えがキャンセルされ、移行の第３のステップが偽装される可能性がある。これが第２の脅威である。
【００５６】
そして、第３のステップとして、ＮＵＩ機能部３０が、ＮＵＩ画面Ｍｎを介して入力されたクエリＱ０をクエリＱ１（第２のクエリ）としてＳＵＩ機能部２０に送信する（図１の（２）参照）。ＮＵＩ機能部３０は、保護されないため、送信されたクエリＱ１と、ユーザが認知したクエリＱ０が一致してない可能性がある。これが、第３の脅威である。
【００５７】
続いて、第４のステップとして、ＳＵＩ３０が、クエリＱ１を基に証明データを検索し（図１の（３）参照）、クエリＱ１に対応するサマリＭ１を取得する（図１の（４）参照）。サマリＭ１の取得方法として、各種方法を適用可能である。ＳＵＩ機能部２０は保護されているため、クエリＱ１とサマリＭ１の対応関係は信頼できるものである。
【００５８】
そして、第５のステップとして、ＳＵＩ機能部２０が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面を作成する。続いて、第６のステップとして、ＳＵＩ機能部２０がＳＵＩ画面Ｍｓを表示する。ここで、ＳＵＩ機能部２０は、ＳＵＩ画面Ｍｓを入出力部１１に表示させる場合に、ＳＵＩ画面Ｍｓが保護されているか否かを確認可能である表示機能（例えば、ＳＵＩ確認情報Ｂ３）（図２参照）を付加する（図１の（５）参照）。
【００５９】
例えば、ＳＵＩ機能部２０は、画面が暗転して昇格操作のためのウィンドウ以外は一時的に操作できなくなる表示機能や、ユーザのみが知りうる秘密情報を表示する他、セキュリティモジュール内のプログラムのみが操作できるＬＥＤランプなどの物理手段を点灯する表示機能を付加する（図２参照）。ユーザは、これらの表示機能によってＳＵＩ確認情報を確認できた場合、第２の脅威が発生してないことを確認できる。一方、ユーザは、ＳＵＩ確認情報を確認できない場合には、第２の脅威が発生している可能性があることを認識できるため、インシデントハンドリングに進む。
【００６０】
そして、ＳＵＩ機能部２０が表示するＳＵＩ画面Ｍｓは、クエリＱ１とサマリＭ１とを含む（図１の（６）参照）。具体的には、クエリＱ１の表示領域Ｂ１とサマリＭ１の表示領域Ｂ２とを有するＳＵＩ画面Ｍｓ（図２参照）を入出力部１１に表示させる。クエリＱ１は、証明データ５０の検索条件である。サマリＭ１は、クエリＱ１に対する証明データ５０の検索結果の要約やＮＧ記録の件数などである。
【００６１】
ここで、ＭＵＩ画面Ｍｓに表示されたクエリＱ０と、ＳＵＩ画面Ｍｓに表示されたクエリＱ１とサマリＭ１とは、入出力部１１からＮＵＩ機能部３０を介する情報伝達経路において入出力情報の改ざんの有無を確認する際に使用される情報である。すなわち、ユーザは、ユーザが認知しているクエリＱ０及びサマリＭ０と、ＳＵＩ画面Ｍｓに表示されたクエリＱ１及びサマリＭ１とが同値であれば、第１の脅威及び第３の脅威が発生してないことを確認できる。ユーザは、クエリＱ０及びサマリＭ０と、ＳＵＩ画面Ｍｓに表示されたクエリＱ１及びサマリＭ１とが同値でなければ、第１の脅威或いは第３の脅威が発生している可能性があることを認識できるため、インシデントハンドリングに進む。
【００６２】
［情報処理の処理手順］
次に、実施の形態に係る情報処理の処理手順について説明する。図３は、実施の形態に係る情報処理の処理手順について説明するフローチャートである。
【００６３】
まず、ＮＵＩ機能部３０は、クエリＱ０の入力を受け付けるＮＵＩ画面を作成し、ＮＵＩ画面の表示を入出力部１１に指示し（ステップＳ１）、入出力部１１にＮＵＩ画面を表示させる。ＮＵＩ機能部３０は、ＮＵＩ画面を介してユーザからクエリＱ０の入力を受け付ける（ステップＳ２）。そして、ＮＵＩ機能部３０が、入出力部１１に、ＮＵＩ画面からＳＵＩ画面への表示切り替えを指示する（ステップＳ３）。続いて、ＮＵＩ機能部３０が、ＮＵＩ画面を介して入力されたクエリＱ０をクエリＱ１としてＳＵＩ機能部２０に送信する（ステップＳ４）。
【００６４】
続いて、ＳＵＩ機能部２０が、クエリＱ１に基づき証明データ５０を検索し、クエリＱ１に対応するサマリＭ１を取得する（ステップＳ５）。ＳＵＩ機能部２０が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面の画面情報を作成し（ステップＳ６）、ＳＵＩ画面の表示を入出力部１１に指示する（ステップＳ７）。
【００６５】
この際、ＳＵＩ機能部２０は、ＳＵＩ確認情報を追加し（ステップＳ８）、表示させる。ユーザは、このＳＵＩ確認情報をチェックすることによって、ＳＵＩ画面が偽装されているおそれがあるか否かを認識できる。ユーザは、ＳＵＩ画面が偽装されているおそれがあると認識した場合には、インシデントハンドリングに進む。
【００６６】
ユーザは、ユーザが認知しているクエリＱ０及びサマリＭ０と、ＳＵＩ画面Ｍｓに表示されたクエリＱ１及びサマリＭ１とが同値であるか否かを基に、ＮＵＩ機能部３０に関する入出力経路が改ざんされているおそれがあるか否かを認識できる。ユーザは、Ｑ０及びサマリＭ０と、ＳＵＩ画面Ｍｓに表示されたクエリＱ１及びサマリＭ１とが同値であることを確認できた場合には、ＮＵＩ機能部３０に関する入出力経路が改ざんされているおそれ（第１及び第３の脅威）がないことを確認できる。ユーザは、クエリＱ０及びサマリＭ０と、ＳＵＩ画面Ｍｓに表示されたクエリＱ１及びサマリＭ１とが同値でないことを確認した場合に、ＮＵＩ機能部３０に関する入出力経路が改ざんされているおそれがあることを認識できるため、インシデントハンドリングに進む。
【００６７】
［実施の形態の効果］
このように、実施の形態に係る情報処理装置１では、大量データの処理結果についてはＮＵＩ機能部３０のＮＵＩ画面Ｍｎで閲覧可能に実装し、ＮＵＩ画面Ｍｎを表示する。そして、ＳＵＩ機能部２０によるＳＵＩ画面ＭｓとＮＵＩ機能部によるＮＵＩ画面Ｍｎとを比較することによって、保護されない経路を含む情報伝達経路において、入出力情報が改ざんされてないことをユーザが確認可能にする（図４参照）。実施の形態では、ＳＵＩ機能部２０によるＳＵＩ画面Ｍｓを局所化しているため、ＳＵＩ機能部２０に実装できる機能が制限されたままでも、ユーザによる入出力情報の改ざんの有無の確認が可能である。
【００６８】
すなわち、本実施の形態によれば、保護されない経路を含む情報伝達経路において、入出力情報が改ざんされてないことを、表示する情報量によらず、ユーザが確認可能であるユーザインタフェースを提供することができる。
【００６９】
なお、本実施の形態では、ＮＵＩ画面ＭｎとＳＵＩ画面Ｍｓとを切り替え可能に表示した場合を例に説明したが、これに限らない。例えば、情報処理装置１は、クエリＱ０及びサマリＭ０，Ｍ１を比較しやすいように、入出力部１１に、ＮＵＩ画面ＭｎとＳＵＩ画面Ｍｓとを並列表示してもよい。
【００７０】
［実施例１］
次に、実施例１について説明する。実施例１は、第１の従来技術をＳＵＩ確認方法に採用した場合の例であり、簡単のために、保護されないソフトウェア領域の構成要素を最小とした例である。図５は、実施例１に係る情報処理装置の構成の一例を示す図である。
【００７１】
なお、実施例１に係る情報処理装置１０１は、保護されたハードウェア装置であり、安全な室内に設置してある等の対策により、ハードウェアの改ざんはなされないものと前提する。以降の実施例２〜４に説明する情報処理装置も同様の前提を有する。また、情報処理装置１０１は、ＲＯＭ、ＲＡＭ、ＣＰＵ等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、情報処理装置１０１は、ＮＩＣを有し、ＬＡＮやインターネットなどの電気通信回線を介した他の装置との間の通信を行うことも可能である。以降の実施例２〜４に説明する情報処理装置も同様に実現される。
【００７２】
図５に示すように、情報処理装置１０１は、保護されたソフトウェア領域（ＳＵＩ機能部）１２０（第２のソフトウェア機能部）、保護されないソフトウェア領域（ＮＵＩ機能部）１３０（第１のソフトウェア機能部）及び記憶部４０を少なくとも有する。
【００７３】
記憶部４０は、証明データ５０を、該証明データ５０の完全性が検証可能である状態で記憶する。例えば、証明データ５０にデジタル署名を付与することによって、事後的に改ざんの検知或いは改ざんされてないことの証明が可能になる。また、証明データ５０が、ログなどのように多数のデータで構成される場合、個々のログに前のログのハッシュ値であるハッシュチェーンデータを付与することによって、ログ単位の部分的な削除の検知も可能になる。
【００７４】
ＮＵＩ機能部１３０は、ＳＵＩ機能部１２０以外のアプリケーションプログラムであり、ＳＵＩ機能部１２０よりも、マルウェアや不正なオペレーションからの保護レベルが低い。ＮＵＩ機能部１３０は、入出力制御部１３１（第１の入出力制御部）を有する。
【００７５】
入出力制御部１３１は、少なくともクエリＱ０の入力を受け付けるＮＵＩ画面（例えば、図２のＮＵＩ画面Ｍｎ）を入出力部１１に表示させる。入出力制御部１３１は、ＮＵＩ画面Ｍｎを介して入力されたクエリＱ０をクエリＱ１としてＳＵＩ機能部１２０に送信する。ここで、このＮＵＩ機能部１３０は、保護されない機能であるため、入出力制御部１３１を介する処理経路のいずれかでクエリＱ０、サマリＭ０が改ざんされる可能性（第１の脅威）が生じる。具体的には、ＮＵＩ機能部１３０のマルウェアなどが、ＴＩＮ（パスワード）を改ざんする可能性がある。この場合、特権ユーザへの昇格ができなくなり、業務が妨害される。
【００７６】
ＳＵＩ機能部１２０は、ＯＳ及びＯＳと同等の保護がなされたアプリケーションプログラムである。ＳＵＩ機能部１２０は、セキュアブートなどによって保護される。ＳＵＩ機能部１２０は、制御・通信部１２１と、クエリ・サマリ作成部１２２（作成部）と、ＵＩ作成部１２３と、入出力制御部１２４（第２の入出力制御部）と、を有する。
【００７７】
制御・通信部１２１は、ＳＵＩ機能部１２０の各構成部位の機能を制御するとともに、他の装置との間の通信を制御する。
【００７８】
クエリ・サマリ作成部１２２は、証明データ５０を基に、クエリＱ０に対応するサマリＭ１を作成する。クエリ・サマリ作成部１２２は、クエリＱ１を基に証明データ５０を検索し、完全性が検証された検索結果を基にサマリＭ１を作成する。
【００７９】
ＵＩ作成部１２３は、入出力部１１に表示するＮＵＩ画面（例えば、図２のＮＵＩ画面Ｍｎ）及びＳＵＩ画面（例えば、図２のＳＵＩ画面Ｍｓ）を作成する。本実施例１では、ＵＩ作成部１２３は、ＳＵＩ画面とＮＵＩ画面との双方を作成する。なお、前述したように、ＳＵＩ画面は保護されるが、ＮＵＩ画面は保護されない。ＳＵＩ画面は、一つの画面にクエリＱ１とサマリＭ１を表示するだけの画面であり、ＮＵＩ画面は、クエリの入力支援や、サマリの詳細参照など多機能な画面を提供する画面である。
【００８０】
入出力制御部１２４は、入出力部１１と制御・通信部１２１との間の入出力情報を制御する。入出力制御部１２４は、ＳＵＩ画面を表示させる。この際、入出力制御部１２４は、ＳＵＩ画面が保護されているか否かを確認可能であるＳＵＩ確認情報をＳＵＩ画面に追加する。
【００８１】
例えば、入出力制御部１２４は、例えば、ユーザが、ＴＯＵＴ（例えば、パスワード入力画面）の偽造表示の有無の確認を可能とする、「画面が暗転し、昇格操作のためのウィンドウ以外は一時的に操作できなくなる」表示機能をＳＵＩ画面に追加する。この機能によって、ユーザがマルウェアに対してパスワードの入力を防止でき、装置のセキュリティの根幹を成す特権ユーザのパスワードがマルウェアに奪われることを防止する。
【００８２】
［処理の流れ］
次に、情報処理装置１０１における処理の流れについて説明する。図６は、図５に示す情報処理装置１０１における処理の流れを説明する図である。
【００８３】
まず、ＮＵＩ機能部１３０が、ＮＵＩ画面を表示し、クエリＱ０、サマリＭ０の入力を受け付ける（図６の（１）参照）。なお、この段階では、クエリＱ０だけ入力されてもよい。言い換えると、ユーザは、入出力制御部１３１を経由して、少なくともクエリＱ０を入力する。ここで、ＮＵＩ画面の画面情報は、ＳＵＩ機能部１２０のＵＩ作成部１２３で生成し、画面を構成するクエリ・サマリ情報は、保護されたクエリ・サマリ作成部１２２が記憶部４０を検索して生成するが、ＮＵＩ機能部１３０の入出力制御部１３１が保護されてないため、サマリＭ１が改ざんされる可能性があり、前述した第１の脅威は存在する。
【００８４】
次に、ＮＵＩ機能部１３０が、ＳＵＩ機能部１２０によるＳＵＩ画面への表示切り替えを指示する。ユーザは、ＮＵＩ機能部１３０の入出力制御部１３１を経由して画面の切り替えを指示する。なお、入出力制御部１３１は、保護されてないため、切り替え指示が改ざんされるおそれがあり、ＳＵＩ画面への切り替えがキャンセルされ、移行の第３のステップが偽装される第２の脅威が生じる可能性がある。
【００８５】
ＮＵＩ機能部１３０の入出力制御部１３１が、ＮＵＩ画面を介して入力されたクエリＱ０をクエリＱ１としてＳＵＩ機能部１２０の制御・通信部１２１に送信する（図６の（２）参照）。なお、入出力制御部１３１は、保護されてないため、送信されたクエリＱ１と、ユーザが認知したクエリＱ０が一致しない第３の脅威が生じる可能性がある。
【００８６】
ＳＵＩ機能部１２０では、クエリＱ１に対応する、サマリＭ１を取得する。制御・通信部１２１は、クエリＱ１をクエリ・サマリ作成部１２２に送信し、クエリＱ１に対応するサマリＭ１を作成する。クエリ・サマリ作成部１２２は、制御・通信部１２１を介して、クエリＱ１を基に証明データを検索し（図６の（３）参照）、クエリＱ１に対応するサマリＭ１を作成する（図６の（４）参照）。ここで、クエリＱ１自体は改ざんされた可能性があるが、そのクエリＱと生成したサマリＭ１との対応関係は、信頼できるものである。
【００８７】
そして、ＳＵＩ機能部１２０では、ＵＩ作成部１２３が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面の画面情報を作成する。そして、ＳＵＩ機能部１２０では、入出力制御部１２４が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面を入出力部１１に表示させる際に、ＳＵＩ画面が保護されているか否かを確認可能であるＳＵＩ確認情報の表示をＳＵＩ画面に追加する（図６の（５）参照）。例えば、入出力制御部１２４は、ＳＵＩ確認情報として「画面が暗転し、昇格操作のためのウィンドウ以外は一時的に操作できなくなる」表示機能を追加する。
【００８８】
ユーザは、ＳＵＩ確認情報を確認できた場合、第２の脅威が発生してないことを確認できる。一方、ユーザは、ＳＵＩ確認情報を確認できない場合には、第２の脅威が発生している可能性があることを認識できるため、インシデントハンドリングに進む。
【００８９】
そして、ユーザは、このＳＵＩ画面を確認することによって、ユーザが認知しているクエリＱ０及びサマリＭ０と、ＳＵＩ画面に表示されたクエリＱ１及びサマリＭ１とが同値であれば、第１の脅威及び第３の脅威が発生してないことを認識できる。ユーザは、クエリＱ０及びサマリＭ０と、ＳＵＩ画面に表示されたクエリＱ１及びサマリＭ１とが同値でなければ、第１の脅威或いは第３の脅威が発生している可能性があることを認識できるため、インシデントハンドリングに進む。
【００９０】
［情報処理の処理手順］
次に、実施例１に係る情報処理手順について説明する。図７は、実施例１に係る情報処理の処理手順について説明するフローチャートである。
【００９１】
まず、入出力制御部１３１が、入出力部１１にＮＵＩ画面を表示させる（ステップＳ１１）。ＮＵＩ機能部１３０では、入出力制御部１３１が、ＮＵＩ画面を介してユーザからクエリＱ０の入力を受け付ける（ステップＳ１２）。そして、ＮＵＩ機能部１３０では、入出力制御部１３１が、入出力部１１に、ＮＵＩ画面からＳＵＩ画面への表示切り替えを指示する（ステップＳ１３）。続いて、ＮＵＩ機能部１３０では、入出力制御部１３１が、ＮＵＩ画面を介して入力されたクエリＱ０をクエリＱ１としてＳＵＩ機能部１２０に送信する（ステップＳ１４）。
【００９２】
続いて、ＳＵＩ機能部１２０では、クエリ・サマリ作成部１２２が、クエリＱ１に基づき証明データ５０を検索し、クエリＱ１に対応するサマリＭ１を作成する（ステップＳ１５）。ＳＵＩ機能部１２０では、ＵＩ作成部１２３が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面の画面情報を作成し（ステップＳ１６）、制御・通信部１２１が、ＳＵＩ画面の表示を入出力部１１に指示する（ステップＳ１７）。
【００９３】
この際、ＳＵＩ機能部１２０では、入出力制御部１２４が、ＳＵＩ確認情報を追加し（ステップＳ１８）、ＳＵＩ確認情報を追加した状態でＳＵＩ画面を入出力部１１に表示させる（ステップＳ１９）。
【００９４】
この実施例１の構成を適用することによって、第１の従来技術をＳＵＩ確認方法に採用しながら、保護されないソフトウェア領域の構成要素を最小とすることができる。
【００９５】
［実施例２］
次に、実施例２について説明する。実施例２は、第１の従来技術をＳＵＩ確認方法に採用した場合の例であり、保護されないソフトウェア領域の構成要素を実施例１と比して増やした例である。図８は、実施例２に係る情報処理装置の構成の一例を示す図である。
【００９６】
図８に示すように、情報処理装置２０１では、保護されないソフトウェア領域（ＮＵＩ機能部）２３０（第１のソフトウェア機能部）は、入出力制御部２３３（第１の入出力制御部）に加えて、制御・通信部２３１、ＮＵＩ作成部２３２及びクエリ・サマリ作成部２３４を有する。
【００９７】
制御・通信部２３１は、ＮＵＩ機能部２３０の各構成部位の機能を制御するとともに、他の装置との間の通信を制御する。
【００９８】
ＮＵＩ作成部２３２は、ＮＵＩ画面（例えば、図２に示すＮＵＩ画面Ｍｎ）を作成する。ＮＵＩ画面は、前述したように、クエリの入力支援や、サマリの詳細参照など多機能かつ大量の情報を提供することが可能である。
【００９９】
入出力制御部２３３は、入出力部１１と制御・通信部２３１の間の入出力情報を制御する。入出力情報には、実施例１と同様に、改ざんされる可能性（第１の脅威）が生じる。入出力制御部２３３は、ＮＵＩ作成部２３２が作成したＮＵＩ画面を入出力部１１に表示させ、クエリＱ０等の入力を受け付ける。入出力制御部２３３は、受け付けたクエリＱ０をクエリＱ１として、制御・通信部２３１を介して、保護されたソフトウェア領域（ＳＵＩ機能部）２２０に出力する。
【０１００】
クエリ・サマリ作成部２３４は、クエリＱ０（検索条件）に基づき、記憶部４０の証明データ５０を検索し、検索結果からサマリＭ０を作成する。なお、この時点で、証明データの完全性検証は必ずしも必要ない。
【０１０１】
また、ＳＵＩ機能部２２０（第２のソフトウェア機能部）は、制御・通信部１２１と同様の機能を有する制御・通信部２２１、クエリ・サマリ作成部１２２、ＳＵＩ作成部２２３及び入出力制御部１２４を有する。
【０１０２】
ＳＵＩ作成部２２３は、ＳＵＩ画面（例えば、図２のＳＵＩ画面Ｍｓ参照）を作成する。本実施例２では、ＮＵＩ画面は、ＮＵＩ作成部２３２が作成するため、ＳＵＩ作成部２２３は、一つの画面にクエリＱ１とサマリＭ１を表示するだけのＳＵＩ画面のみを作成する。
【０１０３】
［処理の流れ］
次に、情報処理装置２０１における処理の流れについて説明する。図９は、図８に示す情報処理装置２０１における処理の流れを説明する図である。
【０１０４】
まず、ＮＵＩ機能部２３０では、ＮＵＩ作成部２３２がＮＵＩ画面を作成し、入出力制御部２３３が入出力部１１にＮＵＩ画面を表示させる。ＮＵＩ機能部２３０では、入出力制御部２３３が、クエリＱ０、サマリＭ０の入力を受け付ける（図９の（１）参照）。ここで、ＮＵＩ機能部２３０の入出力制御部２３３が保護されてないため、第１の脅威が生じる可能性がある。
【０１０５】
次に、ＮＵＩ機能部２３０では、ＳＵＩ機能部２２０によるＳＵＩ画面への表示切り替えを指示する。ユーザは、ＮＵＩ機能部２３０の入出力制御部２３３を経由して画面の切り替えを指示する。なお、入出力制御部２３３は、保護されてないため、第２の脅威が生じる可能性がある。
【０１０６】
ＮＵＩ機能部２３０の入出力制御部２３３が、ＮＵＩ画面を介して入力されたクエリＱ０を、クエリＱ１として、ＳＵＩ機能部２２０の制御・通信部２２１に制御・通信部２３１を介して送信する（図９の（２）参照）。なお、入出力制御部２３３及び制御・通信部２３１は、保護されてないため、第３の脅威が生じる可能性がある。
【０１０７】
ＳＵＩ機能部２２０では、クエリＱ１に対応する、サマリＭ１を取得する。制御・通信部２２１は、クエリＱ１をクエリ・サマリ作成部１２２に送信し、クエリＱ１に対応するサマリＭ１を作成する。クエリ・サマリ作成部１２２は、制御・通信部２２１を介して、クエリＱ１を基に証明データを検索し（図９の（３）参照）、クエリＱ１に対応するサマリＭ１を作成する（図９の（４）参照）。ここで、クエリＱ１自体は改ざんされた可能性があるが、そのクエリＱ１と生成したサマリＭ１との対応関係は、信頼できるものである。
【０１０８】
そして、ＳＵＩ機能部２２０では、ＳＵＩ作成部２２３が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面の画面情報を作成する。続いて、ＳＵＩ機能部２２０では、入出力制御部１２４が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面を入出力部１１に表示させる際に、ＳＵＩ確認情報の表示をＳＵＩ画面に追加する（図９の（５）参照）。例えば、入出力制御部１２４は、ＳＵＩ確認情報として「画面が暗転し、昇格操作のためのウィンドウ以外は一時的に操作できなくなる」表示機能を追加する。
【０１０９】
実施例１と同様に、ユーザは、ＳＵＩ確認情報を確認できた場合、第２の脅威が発生してないことを確認できる。一方、ユーザは、ＳＵＩ確認情報を確認できない場合には、第２の脅威が発生している可能性があることを認識できるため、インシデントハンドリングに進む。
【０１１０】
そして、ユーザは、このＳＵＩ画面を確認することによって、ユーザが認知しているクエリＱ０及びサマリＭ０と、ＳＵＩ画面に表示されたクエリＱ１及びサマリＭ１とが同値であれば、第１の脅威及び第３の脅威が発生してないことを認識できる。ユーザは、クエリＱ０及びサマリＭ０と、ＳＵＩ画面に表示されたクエリＱ１及びサマリＭ１とが同値でなければ、第１の脅威或いは第３の脅威が発生している可能性があることを認識できるため、インシデントハンドリングに進む。
【０１１１】
［情報処理の処理手順］
次に、実施例２に係る情報処理手順について説明する。図１０は、実施例２に係る情報処理の処理手順について説明するフローチャートである。
【０１１２】
まず、ＮＵＩ機能部２３０では、ＮＵＩ作成部２３２がＮＵＩ画面を作成し、入出力制御部２３３が入出力部１１にＮＵＩ画面を表示させる（ステップＳ２１）。ＮＵＩ機能部２３０では、入出力制御部２３３が、ＮＵＩ画面を介してユーザからクエリＱ０の入力を受け付ける（ステップＳ２２）。そして、ＮＵＩ機能部２３０では、クエリ・サマリ作成部２３４が、クエリＱ０に基づき証明データ５０を検索し、サマリＭ０を作成する（ステップＳ２３）。制御・通信部２３１は、ＮＵＩ画面からＳＵＩ画面への表示切り替えを指示する（ステップＳ２４）。続いて、ＮＵＩ機能部２３０では、入出力制御部２３３が、ＮＵＩ画面を介して入力されたクエリＱ０をクエリＱ１としてＳＵＩ機能部２２０に、制御・通信部２３１を介して送信する（ステップＳ２５）。
【０１１３】
ＳＵＩ機能部２２０では、クエリ・サマリ作成部１２２が、クエリＱ１に基づき証明データ５０を検索し、クエリＱ１に対応するサマリＭ１を作成する（ステップＳ２６）。ＳＵＩ機能部２２０では、ＳＵＩ作成部２２３が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面の画面情報を作成し（ステップＳ２７）、制御・通信部２２１が、ＳＵＩ画面の表示を入出力制御部１２４に指示する（ステップＳ２８）。
【０１１４】
この際、ＳＵＩ機能部２２０では、入出力制御部１２４が、ＳＵＩ確認情報を追加し（ステップＳ２９）、ＳＵＩ確認情報を追加した状態でＳＵＩ画面を入出力部１１に表示させる（ステップＳ３０）。
【０１１５】
この実施例２の構成のように、第１の従来技術をＳＵＩ確認方法に採用しながら、保護されないソフトウェア領域の構成要素を実施例１と比して増やすこともできる。
【０１１６】
［実施例３］
次に、実施例３について説明する。実施例３は、第２の従来技術をＳＵＩ確認方法に採用した場合の例である。第２の従来技術をＳＵＩ確認方法に採用する場合、保護されたソフトウェア領域に多数の構成要素を配置することは難しいため、実施例３では、保護されないソフトウェア領域に複数の構成要素を配置する構成を一例として提案する。図１１は、実施例３に係る情報処理装置の構成の一例を示す図である。
【０１１７】
図１１に示すように、情報処理装置３０１は、保護されたソフトウェア領域（ＳＵＩ機能部）３２０（第２のソフトウェア機能部）、保護されないソフトウェア領域（ＮＵＩ機能部）３３０（第１のソフトウェア機能部）及び記憶部４０を少なくとも有する。
【０１１８】
ＳＵＩ機能部３２０は、セキュリティモジュールの内部で記録されたデータ及びセキュリティモジュール内で動作するトラステッドアプリケーション（ＴＡ）である。ＮＵＩ機能部３３０は、セキュリティモジュールの外部に記録されたデータ、及びセキュリティモジュールの外部で動作するソフトウェアであり、セキュリティモジュール外のＯＳを含む。
【０１１９】
ＮＵＩ機能部３３０は、制御・通信部３３１、ＮＵＩ作成部２３２、入出力制御部３３３（第１の入出力制御部）及びクエリ・サマリ作成部２３４を有する。
【０１２０】
制御・通信部３３１は、ＮＵＩ機能部３３０の、各構成要素の機能を制御するとともに、他の装置との通信を制御する。制御・通信部３３１は、セキュリティモジュールの外部で動作するソフトウェア、例えば、セキュリティモジュール外のＯＳを含む。
【０１２１】
入出力制御部３３３は、入出力部１１と制御・通信部３３１の間の入出力情報を制御する。入出力情報には、改ざんされる可能性（第１の脅威）が生じる。具体的には、ＮＵＩ機能部３３０のマルウェアなどが、ＴＩＮ（ＰＩＮ）を改ざんする可能性がある。この場合、決済におけるＰＩＮ称号がエラーとなりサービスが妨害される。入出力制御部３３３は、ＮＵＩ作成部２３２が作成したＮＵＩ画面を入出力部１１に表示させ、クエリＱ０等の入力を受け付ける。入出力制御部３３３は、受け付けたクエリＱ０をクエリＱ１として、制御・通信部３３１を介して、ＳＵＩ機能部３２０に出力する。
【０１２２】
ＳＵＩ機能部３２０は、制御・通信部３２１、クエリ・サマリ作成部１２２、ＳＵＩ作成部３２３及び入出力制御部３２４を有する。
【０１２３】
制御・通信部３２１は、セキュリティモジュール内のアプリケーション（ＴＡ）及びオペレーティングシステムのうち、各構成部位の機能を制御するとともに、他の装置との間の通信を制御する。
【０１２４】
ＳＵＩ作成部３２３は、ＳＵＩ機能部３２０が表示するＳＵＩ画面（例えば、図２のＳＵＩ画面Ｍｓ参照）の画面情報を作成するソフトウェアである。ＳＵＩ作成部３２３は、一つの画面にクエリＱ１とサマリＭ１を表示するだけのＳＵＩ画面のみを作成する。また、ＳＵＩ確認情報として、例えば、「セキュリティモジュール内に記録した、ユーザのみが知りうる情報（例、母親の旧姓）」を表示する場合は、ＳＵＩ作成部３２３が、ＳＵＩ画面にユーザのみが知りうる情報の表示情報を付加する。これによって、ユーザは、例えば、ＴＯＵＴ（例えば、代金請求画面）の偽造の有無の確認を可能になる。この機能によって、ユーザが、マルウェアに対してＰＩＮコードの入力を防止でき、マルウェアに奪われたＰＩＮコードが使用される等による金銭的被害を防止できる。
【０１２５】
入出力制御部３２４は、セキュリティモジュール内で、入出力部１１と制御・通信部３２１との間の入出力情報を制御する。入出力制御部３２４は、ＳＵＩ画面を表示させる。この際、入出力制御部３２４は、ＳＵＩ画面が保護されているか否かを確認可能であるＳＵＩ確認情報をＳＵＩ画面に追加する。実施例３では、入出力制御部３２４は、例えば、「セキュリティモジュール内のプログラムのみが操作できるＬＥＤランプなどの物理手段を点灯させる」制御を行う。
【０１２６】
ユーザは、このＬＥＤランプなどの点灯の有無を確認することによって、表示されている画面が、ＮＵＩ機能部３３０のソフトウェア（マルウェアなど）によるＴＯＵＴ（例えば、代金請求画面）の偽造であるか否かを確認でき、ユーザがＯＳではなくマルウェアに対してＰＩＮコードを入力することを防止できる。これによって、マルウェアにＰＩＮコードが奪われることがなく、ＰＩＮコードの不正使用による金銭的被害を防止できる。また、ユーザは、このＬＥＤランプなどの点灯の有無を確認することによって、表示されている画面が、ＮＵＩ機能部３３０のソフトウェア（マルウェアなど）によるＴＯＵＴ（例えば、代金請求画面の購入物品名、請求金額）の偽造であるか否かを確認できる。このため、ユーザは、このような偽造画面に対して支払いを行うことも防止でき、ユーザまたは販売側において、購入された物品の価値または支払った金額の、差額にともなう被害の発生を防止できる。
【０１２７】
［処理の流れ］
次に、情報処理装置３０１における処理の流れについて説明する。図１２は、図１１に示す情報処理装置３０１における処理の流れを説明する図である。
【０１２８】
まず、ＮＵＩ機能部３３０では、表示したＮＵＩ画面（例えば、図２のＮＵＩ画面Ｍｎ参照）を介して、クエリＱ０、サマリＭ０の入力を受け付ける（図１２の（１）参照）。ここで、ＮＵＩ機能部３３０の入出力制御部３３３が保護されてないため、第１の脅威が生じる可能性がある。
【０１２９】
次に、ＮＵＩ機能部３３０では、制御・通信部３３１が、ＳＵＩ機能部３２０によるＳＵＩ画面への表示切り替えを指示する。ユーザは、ＮＵＩ機能部３３０の入出力制御部３３３を経由して画面の切り替えを指示する。なお、入出力制御部３３３は、保護されてないため、第２の脅威が生じる可能性がある。
【０１３０】
ＮＵＩ機能部３３０の入出力制御部３３３が、ＮＵＩ画面を介して入力されたクエリＱ０をクエリＱ１として、制御・通信部３３１を介して、ＳＵＩ機能部３２０の制御・通信部３２１に送信する（図１２の（２）参照）。なお、制御・通信部３３１は、保護されてないため、第３の脅威が生じる可能性がある。
【０１３１】
ＳＵＩ機能部３２０では、クエリ・サマリ作成部１２２が、制御・通信部３２１を介して、クエリＱ１を基に証明データを検索し（図１２の（３）参照）、クエリＱ１に対応するサマリＭ１を作成する（図１２の（４）参照）。ここで、クエリＱ１自体は改ざんされた可能性があるが、そのクエリＱ１と生成したサマリＭ１との対応関係は、信頼できるものである。
【０１３２】
そして、ＳＵＩ機能部３２０では、ＳＵＩ作成部３２３が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面（例えば、図２のＳＵＩ画面Ｍｓ参照）の画面情報を作成する。この際、ＳＵＩ作成部３２３が、ＳＵＩ画面にユーザのみが知りうる情報の表示情報をＳＵＩ確認情報として付加する（図１２の（５）参照）。そして、ＳＵＩ機能部３２０では、入出力制御部３２４が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面を入出力部１１に表示させる際に、セキュリティモジュール内のプログラムのみが操作できるＬＥＤランプなどを点灯させる。
【０１３３】
ユーザは、ユーザのみが知りうる情報の表示情報やＬＥＤランプの点灯等を含むＳＵＩ確認情報を確認できた場合、第２の脅威が発生してないことを確認できる。一方、ユーザは、ＳＵＩ確認情報を確認できない場合には、第２の脅威が発生している可能性があることを認識できるため、インシデントハンドリングに進む。
【０１３４】
そして、ユーザは、このＳＵＩ画面を確認することによって、ユーザが認知しているクエリＱ０及びサマリＭ０と、ＳＵＩ画面に表示されたクエリＱ１及びサマリＭ１とが同値であれば、第１の脅威及び第３の脅威が発生してないことを認識できる。ユーザは、クエリＱ０及びサマリＭ０と、ＳＵＩ画面に表示されたクエリＱ１及びサマリＭ１とが同値でなければ、第１の脅威或いは第３の脅威が発生している可能性があることを認識できるため、インシデントハンドリングに進む。
【０１３５】
［情報処理の処理手順］
次に、実施例３に係る情報処理手順について説明する。図１３は、実施例３に係る情報処理の処理手順について説明するフローチャートである。
【０１３６】
図１３に示すステップＳ３１〜ステップＳ３６は、図１０に示すステップＳ２１〜ステップＳ２６と同じ処理である。ＳＵＩ機能部２２０では、ＳＵＩ作成部３２３が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面の画面情報を作成する（ステップＳ３７）。この際、ＳＵＩ作成部３２３が、ＳＵＩ画面にユーザのみが知りうる情報の表示情報を付加する。制御・通信部３２１が、ＳＵＩ画面の表示を入出力制御部３２４に指示する（ステップＳ３８）。
【０１３７】
そして、ＳＵＩ機能部３２０では、入出力制御部３２４が、ＳＵＩ確認情報をＳＵＩ画面に追加する（ステップＳ３９）。この際、入出力制御部３２４は、セキュリティモジュール内のプログラムのみが操作できるＬＥＤランプなどの点灯を制御して、ＳＵＩ確認情報として付加する。入出力制御部３２４は、ＳＵＩ確認情報を追加した状態でＳＵＩ画面を入出力部１１に表示させる（ステップＳ４０）。
【０１３８】
この実施例３の構成のように、第２の従来技術をＳＵＩ確認方法に採用することも可能である。
【０１３９】
［実施例４］
次に、実施例４について説明する。実施例４では、入出力部１１を有する情報処理装置と、証明データ５０を記憶する情報処理装置とに分割した構成について説明する。なお、実施例４として、実施例２に適用した場合を例に説明するが、実施例３に対しても適用可能である。
【０１４０】
図１４は、実施例４に係る情報処理システムの構成の一例を示す図である。図１４に示すように、情報処理システム４００は、入出力部１１を有する情報処理装置４０１（第１の情報処理装置）と、証明データを記憶する情報処理装置５０１（第２の情報処理装置）とを有する。
【０１４１】
情報処理装置４０１は、保護されないソフトウェア領域（ＮＵＩ機能部）４３０（第１のソフトウェア機能部）と、保護されたソフトウェア領域（ＳＵＩ機能部）４２０（第２のソフトウェア機能部）とを有する。
【０１４２】
ＮＵＩ機能部４３０は、図８のＮＵＩ機能部２３０と比して、クエリ・サマリ作成部２３４を削除した構成を有する。ＮＵＩ機能部４３０の制御・通信部４３１は、ＮＵＩ機能部４３０の各構成部位の機能を制御するとともに、情報処理装置５０１を含む他の装置との間の通信を制御する。また、制御・通信部４３１は、ＮＵＩ画面（例えば、図２のＮＵＩ画面Ｍｎ）にサマリＭ０を表示する場合には、情報処理装置５０１に、クエリＱ０に対応するサマリＭ０を依頼し、該依頼に応じて送信されたサマリＭ０をＮＵＩ画面に表示する。
【０１４３】
ＳＵＩ機能部４２０は、図８のＳＵＩ機能部２２０と比して、クエリ・サマリ作成部１２２に代えてクエリ・サマリ検証部４２２を有する。なお、ＳＵＩ機能部４２０の制御・通信部４２１は、ＳＵＩ機能部４２０の各構成部位の機能を制御するとともに、情報処理装置５０１を含む他の装置との間の通信を制御する。
【０１４４】
クエリ・サマリ検証部４２２は、クエリＱ１に対応するサマリＭ１の作成を、制御・通信部４２１を介して、情報処理装置５０１に依頼する。クエリ・サマリ検証部４２２は、該依頼に応じて送信されたサマリＭ１の完全性を検証する。
【０１４５】
情報処理装置５０１は、クエリと該クエリに対応するサマリとを含む証明データ５０を、該証明データの完全性が検証可能である状態で記憶する記憶部４０を有する。情報処理装置５０１は、制御・通信部５２１とクエリ・サマリ作成部５２２とを有する保護されたソフトウェア領域５２０（第３のソフトウェア機能部）を有する。
【０１４６】
制御・通信部５２１は、保護されたソフトウェア領域５２０の各構成部位の機能を制御するとともに、情報処理装置５０１を含む他の装置との間の通信を制御する。
【０１４７】
クエリ・サマリ作成部５２２は、サマリ作成の依頼に応じて、クエリを基に制御・通信部５２１を介して証明データ５０を検索し、検索結果を基にサマリを作成する。クエリ・サマリ作成部５２２は、制御・通信部５２１を介して、作成したサマリを依頼元に送信する。
【０１４８】
例えば、クエリ・サマリ作成部５２２は、情報処理装置４０１のＮＵＩ機能部４３０からサマリＭ０の作成依頼を受けた際には、クエリＱ０を基に証明データ５０を検索し、検索結果を基にサマリＭ０を作成し、ＮＵＩ機能部４３０に送信する。
【０１４９】
また、クエリ・サマリ作成部５２２は、情報処理装置４０１のクエリ・サマリ検証部４２２から、サマリＭ１の作成依頼を受けた際には、クエリＱ１を基に証明データ５０を検索し、検索結果を基にサマリＭ１を作成し、クエリ・サマリ検証部４２２に送信する。この際、クエリ・サマリ作成部５２２は、作成したサマリＭ１にデジタル署名を付与する。クエリ・サマリ検証部４２２は、サマリＭ１に付与されたデジタル署名を検証することによって、クエリＱ１とサマリＭ１との対応関係が正当であることを確認できる。
【０１５０】
［処理の流れ］
次に、情報処理システム４００における処理の流れについて説明する。図１５は、図１４に示す情報処理システム４００における処理の流れを説明する図である。
【０１５１】
まず、情報処理装置４０１では、表示したＮＵＩ画面（例えば、図２のＮＵＩ画面）を介して、クエリＱ０、サマリＭ０の入力を受け付ける（図１５の（１）参照）。ここで、ＮＵＩ機能部４３０の入出力制御部２３３が保護されてないため、第１の脅威が生じる可能性がある。
【０１５２】
次に、情報処理装置４０１では、ＮＵＩ機能部４３０が、ＳＵＩ機能部４２０によるＳＵＩ画面（例えば、図２に示すＳＵＩ画面Ｍｓ）への表示切り替えを指示する。ユーザは、ＮＵＩ機能部４３０の入出力制御部２３３を経由して画面の切り替えを指示する。なお、入出力制御部２３３は、保護されてないため、第２の脅威が生じる可能性がある。
【０１５３】
そして、情報処理装置４０１では、ＮＵＩ機能部４３０の入出力制御部２３３が、ＮＵＩ画面Ｍｎを介して入力されたクエリＱ０をクエリＱ１として、ＳＵＩ機能部４２０の制御・通信部４２１に制御・通信部４３１を介して送信する（図１５の（２）参照）。なお、入出力制御部２３３及び制御・通信部４２１は、保護されてないため、第３の脅威が生じる可能性がある。
【０１５４】
情報処理装置４０１のＳＵＩ機能部４２０では、クエリ・サマリ検証部４２２が、クエリＱ１に対応するサマリＭ１の作成を、制御・通信部４２１を介して、情報処理装置５０１に依頼する（図１５の（３），（４）参照）。
【０１５５】
情報処理装置５０１では、クエリ・サマリ作成部５２２は、制御・通信部５２１を介してサマリ作成の依頼を受けると、依頼に応じて、クエリＱ１を基に証明データを検索し（図１５の（５）参照）、クエリＱ１に対応するサマリＭ１を作成する（図１５の（６）参照）。クエリ・サマリ作成部５２２は、制御・通信部５２１を介して、作成したサマリＭ１を、情報処理装置４０１の制御・通信部４２１に送信する（図１５の（７）参照）。制御・通信部４２１は、受信したサマリＭ１をクエリ・サマリ検証部４２２に出力する（図１５の（８）参照）。
【０１５６】
情報処理装置４０１のＳＵＩ機能部４２０では、クエリ・サマリ検証部４２２が、受信したサマリＭ１を検証する（図１５の（９）参照）。ここで、サマリＭ１の完全性が検証できた場合には、そのクエリＱ１と受信したサマリＭ１との対応関係は、信頼できるものである。
【０１５７】
そして、ＳＵＩ機能部４２０では、ＳＵＩ作成部２２３が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面の画面情報を作成する。そして、ＳＵＩ機能部２２０では、入出力制御部１２４が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面を入出力部１１に表示させる際に、ＳＵＩ確認情報の表示をＳＵＩ画面に追加する（図１５の（１０）参照）。
【０１５８】
［情報処理の処理手順］
次に、実施例４に係る情報処理手順について説明する。図１６は、実施例４に係る情報処理の処理手順について説明するシーケンス図である。
【０１５９】
まず、情報処理装置４０１では、ＮＵＩ機能部４３０において、ＮＵＩ作成部２３２がＮＵＩ画面を作成し（ステップＳ４１）、入出力制御部２３３が入出力部１１にＮＵＩ画面を表示させる（ステップＳ４２，４３）。ＮＵＩ機能部４３０では、入出力制御部２３３が、ＮＵＩ画面を介してユーザからクエリＱ０の入力を受け付ける（ステップＳ４４，４５）。ＮＵＩ画面にサマリＭ０を表示する際には、ＮＵＩ機能部２３０では、制御・通信部４３１が、情報処理装置５０１にクエリＱ０に基づくサマリ作成依頼を送信する（ステップＳ４６）。
【０１６０】
情報処理装置５０１の保護されたソフトウェア領域５２０では、クエリ・サマリ作成部５２２が、クエリＱ０を基に証明データ５０を検索し（ステップＳ４７）、検索結果を基にサマリＭ０を作成する（ステップＳ４８）。情報処理装置５０１では、保護されたソフトウェア領域５２０の制御・通信部５２１が、情報処理装置４０１のＮＵＩ機能部４３０にサマリＭ０を送信する（ステップＳ４９）。
【０１６１】
情報処理装置４０１では、ＮＵＩ機能部４３０では、入出力制御部２３３が、ＮＵＩ画面を介して入力されたクエリＱ０をクエリＱ１としてＳＵＩ機能部４２０に制御・通信部４３１を介して送信する（ステップＳ５０）。ＮＵＩ機能部４３０が、ＮＵＩ画面からＳＵＩ画面への表示切り替えを指示する（ステップＳ５１）。
【０１６２】
情報処理装置４０１のＳＵＩ機能部４２０では、クエリ・サマリ検証部４２２が、制御・通信部４３１を介して、情報処理装置５０１にクエリＱ１に基づくサマリ作成依頼を送信する（ステップＳ５２）。
【０１６３】
情報処理装置５０１の保護されたソフトウェア領域５２０では、クエリ・サマリ作成部５２２が、クエリＱ１を基に証明データ５０を検索し（ステップＳ５３）、検索結果を基にサマリＭ１を作成する（ステップＳ５４）。この際、クエリ・サマリ作成部５２２は、作成したサマリＭ１にデジタル署名を付与する。情報処理装置５０１では、保護されたソフトウェア領域５２０の制御・通信部５２１が、情報処理装置４０１のＳＵＩ機能部４２０にサマリＭ１を送信する（ステップＳ５５）。
【０１６４】
情報処理装置４０１のＳＵＩ機能部４２０では、クエリ・サマリ検証部４２２が、受信したサマリＭ１を検証する（ステップＳ５６）。ＳＵＩ機能部４２０では、ＳＵＩ作成部２２３が、クエリＱ１とサマリＭ１とを含むＳＵＩ画面の画面情報を作成し（ステップＳ５７）、制御・通信部４２１が、ＳＵＩ画面の表示を入出力制御部１２４に指示する（ステップＳ５８）。
【０１６５】
この際、ＳＵＩ機能部４２０では、入出力制御部１２４が、ＳＵＩ確認情報を追加し（ステップＳ５９）、ＳＵＩ確認情報を追加した状態でＳＵＩ画面を入出力部１１に表示させる（ステップＳ６０）。
【０１６６】
この実施例４の構成によれば、実施例２の構成と比して、情報処理装置４０１のＳＵＩ機能部４２０において、証明データ５０の検索機構を省略できるため、情報処理装置４０１のＳＵＩ機能部４２０の実装を最小化することができる。
【０１６７】
なお、前述したように、実施例４の構成は、実施例３についても適用可能である。また、情報処理装置５０１は、さらに複数台に分割することも可能である。
【０１６８】
［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１６９】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的におこなうこともでき、あるいは、手動的に行なわれるものとして説明した処理の全部又は一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０１７０】
［プログラム］
図１７は、プログラムが実行されることにより、情報処理装置１０１，２０１，３０１，４０１，５０１が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【０１７１】
メモリ１０１０は、ＲＯＭ１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【０１７２】
ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating  System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、情報処理装置１０１，２０１，３０１，４０１，５０１の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、情報処理装置１０１，２０１，３０１，４０１，５０１における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【０１７３】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【０１７４】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【０１７５】
以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例及び運用技術等は全て本発明の範疇に含まれる。
【符号の説明】
【０１７６】
１，１０１，２０１，３０１，４０１，５０１  情報処理装置
１１  入出力部
２０  保護された機能部（ＳＵＩ機能部）
３０  保護されない機能部（ＮＵＩ機能部）
４０  記憶部
５０  証明データ
１２０，２２０，３２０，４２０，５２０  保護されたソフトウェア領域
１２１，２２１，２３１，３２１，３３１，４２１，４３１，５２１  制御・通信部
１２２，２３４，５２２  クエリ・サマリ作成部
１２３  ＵＩ作成部
１２４，１３１，２３３，３２４，３３３  入出力制御部
１３０，２３０，３３０，４３０  保護されないソフトウェア領域
２２３，３２３  ＳＵＩ作成部
２３２  ＮＵＩ作成部
４２２  クエリ・サマリ検証部
【図１】
2020021154.tif 000003
【図２】
2020021154.tif 000004
【図３】
2020021154.tif 000005
【図４】
2020021154.tif 000006
【図５】
2020021154.tif 000007
【図６】
2020021154.tif 000008
【図７】
2020021154.tif 000009
【図８】
2020021154.tif 000010
【図９】
2020021154.tif 000011
【図１０】
2020021154.tif 000012
【図１１】
2020021154.tif 000013
【図１２】
2020021154.tif 000014
【図１３】
2020021154.tif 000015
【図１４】
2020021154.tif 000016
【図１５】
2020021154.tif 000017
【図１６】
2020021154.tif 000018
【図１７】
2020021154.tif 000019