(57)【要約】      （修正有）【課題】ユーザによるリクエストが不要で、ネットワーク接続が不十分であってもターミナルのセキュア化がなされるようにする。【解決手段】電子デバイス１用の電子アセンブリ１０であって、当該電子アセンブリ１０は、リッチＯＳオペレーティングシステム１００のセキュリティアノマリを検出する検出モジュール２１０と、検出に応答して、電子デバイス１における少なくとも１つのセキュアな機能を無効化する無効化モジュール２２０とを備え、無効化は、一方で、フェイルソフトモードで電子デバイス１を使用すること許可し、これらの２つのモジュールの実装は、トラスティッドオペレーティングシステムに依存し、トラスティッドオペレーティングシステム２００およびリッチＯＳオペレーティングシステム１００は、当該電子アセンブリのメモリ５００に記憶され、当該電子アセンブリ１０で実行される。【選択図】図１
2014112369.tif 000002
【特許請求の範囲】
【請求項１】
電子デバイス（１）用の電子アセンブリ（１０）であって、当該電子アセンブリ（１０）は、
リッチＯＳオペレーティングシステム（１００）のセキュリティアノマリを検出する検出モジュール（２１０）と、
前記検出に応答して、前記リッチＯＳオペレーティングシステムのアプリケーションによって用いられる、前記電子デバイス（１）における少なくとも１つのセキュアな機能を無効化する無効化モジュール（２２０）とを備え、
前記無効化は、一方で、フェイルソフトモードで前記電子デバイス（１）を使用すること許可し、これらの２つのモジュールの実装は、トラスティッドオペレーティングシステムに依存し、前記トラスティッドオペレーティングシステム（２００）および前記リッチＯＳオペレーティングシステム（１００）は、当該電子アセンブリのメモリ（５００）に記憶され、当該電子アセンブリ（１０）で実行されることを特徴とする、電子アセンブリ（１０）。
【請求項２】
前記セキュリティアノマリは、前記リッチＯＳオペレーティングシステム（１００）の破損であることを特徴とする、請求項１に記載の電子アセンブリ（１０）。
【請求項３】
前記検出モジュール（２１０）は、セキュア化指令を含むメッセージを受信可能であることを特徴とする、請求項１または２に記載の電子アセンブリ（１０）。
【請求項４】
前記少なくとも１つのセキュアな機能は、
前記電子デバイス（１）によって実行される、セキュアエレメント（２０）のアプリケーション（Ａｐｐ，Ａｐｐ1，Ａｐｐ2）、または
前記電子デバイス（１）がアクセス可能であるセキュリティエレメント（２０）の少なくとも１つのセンシティブなデータアイテム、例えば暗号化キー、へのアクセスを可能とする機能であることを特徴とする、請求項１から３のいずれか１項に記載の電子アセンブリ（１０）。
【請求項５】
前記無効化モジュール（２２０）は、
前記アプリケーション（Ａｐｐ）の無効化指令を該アプリケーション（Ａｐｐ）に送信することと、
前記アプリケーション（Ａｐｐ）の無効化の応答を待つことと、が可能であり、
前記トラスティッドオペレーティングシステムは、前記応答が否定的であれば、前記電子デバイスのセキュア化を確実とするために必要なステップを採用することを特徴とする、請求項４に記載の電子アセンブリ（１０）。
【請求項６】
前記電子デバイス（１）のセキュリティのべリファイ（Ｅ５）に応答して前記検出モジュール（２１０）が起動し、該検出モジュール（２１０）は：
前記トラスティッドオペレーティングシステム（２００）主導で前記電子デバイス（１）のスタートアップのときにもしくは定期的に、または
前記電子デバイス（１）のユーザー主導で、トリガーされることを特徴とする、請求項１から５のいずれか１項に記載の電子アセンブリ（１０）。
【請求項７】
前記検出モジュールは、オペレーティングシステムの各レベルにおける、特有のオクテットの指紋のオンザフライでの計算を実行し、前記指紋とリファレンス指紋とを比較する、請求項１に記載の電子アセンブリ（１０）。
【請求項８】
請求項１から７のいずれか１項に記載の電子アセンブリ（１０）を備えたターミナル（１）。
【請求項９】
携帯電話通信のターミナルであることを特徴とする、請求項８に記載のターミナル（１）。
【請求項１０】
電子デバイス（１）をセキュア化する方法であって、当該方法は、リッチＯＳオペレーティングシステム（１００）のセキュリティアノマリを検出する検出ステップ（Ｅ１０）と、前記検出ステップに応答して、前記電子デバイス（１）における少なくとも１つのセキュアな機能を無効化する無効化ステップ（Ｅ１１）とを備え、前記無効化ステップは、一方で、フェイルソフトモードで前記電子デバイス（１）を使用することを許可し、当該方法の実装はトラスティッドオペレーティングシステム（２００）に依存し、前記トラスティッドオペレーティングシステム（２００）および前記リッチＯＳオペレーティングシステム（１００）が前記電子デバイスにおいて実行されることを特徴とする、方法。
【請求項１１】
プロセッサ（３００）によって実行されたときに、請求項１０に記載の方法を実装する指令を備えたコンピュータプログラム（ＰＧ）。
【請求項１２】
前記トラスティッドオペレーティングシステムを構成することを特徴とする、請求項１１に記載のコンピュータプログラム（ＰＧ）。
【請求項１３】
前記トラスティッドオペレーティングシステムのパッチを構成することを特徴とする、請求項１１に記載のコンピュータプログラム（ＰＧ）。
【請求項１４】
前記トラスティッドオペレーティングシステムに処理系依存するアプリケーションを構成することを特徴とする、請求項１１に記載のコンピュータプログラム（ＰＧ）。
【請求項１５】
コンピュータによって読み出し可能であり、請求項１０に記載の方法を実装する指令を備えたコンピュータプログラムが記録された、記録媒体（５００）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ターミナルまたはスマートカード等の、少なくとも１つがトラスティッド実行環境（trusted execution environment）であり他の少なくとも１つがリッチＯＳ実行環境（Rich-OS execution environment）である複数の実行環境を備えた電子デバイスをセキュア化する分野に属する。
【背景技術】
【０００２】
トラスティッド実行環境は、自身のタスク専用のプロセッサであってもよく他の機能を有していてもよいセキュアプロセッサと、書換え用のセキュアな不揮発性メモリ（secure rewrite non-volatile memory）とによって実装され、トラスティッド実行環境は、トラスティッドオペレーティングシステム（trusted operating system）に基づく。トラスティッドオペレーティングシステムに依存するアプリケーションは、ターミナルのユーザーが制御できない信頼ソースまたは認証ソースからオリジネートする。
【０００３】
リッチＯＳ実行環境は、インターネット等の種々の発行元のアプリケーションを実行させるリッチオペレーティングシステム（rich operating system）に基づく。
【０００４】
例えば、これらの２つのオペレーティングシステムは、ターミナルにおける単一のチップセットによって実行できる。
【０００５】
さらに、トラスティッドオペレーティングシステムは、電子デバイスで実行されるコード、特にトラスティッドオペレーティングシステムのコード、のインテグリティをベリファイすることによって電子デバイスが信頼された状態でスタートアップしていることをベリファイするセキュアなスタートアップメカニズムを有している。トラスティッドオペレーティングシステムは、他のオペレーティングシステムがスタートアップする前に、事前にスタートアップする。
【０００６】
リッチＯＳオペレーティングシステムが破損している場合には、ターミナルデータのセキュリティはもはや保証されない。この問題を解決するために、リッチＯＳオペレーティングシステムを無効化することがよく知られている。しかし、これは、人間のユーザーがターミナルをもはや使用できなくなりこのことは特に緊急時において明らかに好ましいことではない（緊急電話番号に電話をかけることが不可能となる）ため、人間のユーザーにとって便利な解決策ではない。
【０００７】
また、リムーバブルのセキュアエレメントであるＳＩＭ（ＵＩＣＣ）カードまたは埋め込み型のセキュアエレメントｅＳＥ等のセキュアエレメントを備えた電子デバイスも知られている。
【０００８】
米国特許出願公開第２００２／０１８６８４５号明細書は、無線によりブロッキングメッセージを送信することによってターミナルのセキュアエレメントへのアクセスを無効化し、その一方でフェイルソフトモードで機能するターミナルの一部の機能を使用することを許可するシステムを提案している。
【０００９】
しかし、この文献によって開示された解決策では、セキュリティアノマリ（security anomaly）を信号で伝えるタスクはターミナルのユーザーに任されており、ユーザーによってリクエストされた場合のみにターミナルのセキュア化がなされる。従って、ユーザーにトランスペアレントであり見えないセキュリティアノマリにターミナルが遭遇すると、ターミナルのセキュア化はなされない。さらに、上述の文献で提案されている解決策は、無線信号を受信可能とすることを必要とする。従って、ネットワーク接続が不十分であるターミナル（例えば、ネットワークホールまたは欠陥あるネットワークがあるターミナル）またはネットワーク接続がないターミナル（例えば、エアークラフトモード（aircraft mode）のターミナル）をユーザーが使用する場合には、ターミナルのセキュア化はなされ得ない。
【発明の概要】
【発明が解決しようとする課題】
【００１０】
従って、電子デバイスをセキュア化する既存の方法を改善する必要がある。
【課題を解決するための手段】
【００１１】
本発明は、主として、上述の問題点を解決することを目的とする。
【００１２】
このため、本発明は、電子デバイス用の電子アセンブリであって、トラスティッドオペレーティングシステムおよびリッチＯＳオペレーティングシステムが、当該電子アセンブリのメモリに記憶されかつ当該電子アセンブリで実行され、当該電子アセンブリは、リッチＯＳオペレーティングシステムのセキュリティアノマリを検出するモジュールと、この検出されたアノマリに応答してターミナルにおける少なくとも１つのセキュアな機能（secure function）を無効化するモジュールとを備え、これらの２つのモジュールはトラスティッドオペレーティングシステムに処理系依存し（being implementation-dependent）、一方で、無効化はフェイルソフトモードで電子デバイスを使用すること許可する、電子アセンブリに関する。
【００１３】
本発明はまた、トラスティッドオペレーティングシステムおよびリッチＯＳオペレーティングシステムが実行される電子デバイスをセキュア化する方法に関する。この方法の実装は、トラスティッドオペレーティングシステムに依存し、この方法は、リッチＯＳオペレーティングシステムのアノマリを検出するステップと、この検出ステップに応答して、電子デバイスにおける少なくとも１つのセキュアな機能を無効化するステップとを備える。無効化ステップは、一方で、フェイルソフトモードで電子デバイスを使用することを許可する。
【００１４】
本発明はさらに、上述のような電子アセンブリを備えたターミナルに関する。このターミナルは、携帯電話等であってもよく、また、タッチパッドまたはラップトップコンピュータであってもよい。変形例では、ターミナルは、例えば、車載コンピュータのような、マシンツーマシンタイプのアーキテクチャで広く用いられるセルフスタンディング（self-standing）または埋め込み型のインテリジェントなシステムであってもよい。
【００１５】
変形例では、ターミナルは、スマートカードであってもよい。
【００１６】
本発明は、デバイスのユーザーがセキュアな態様でデバイスを利用することを可能とするのであるが、これは、第１に、本発明が、セキュリティアノマリが検出されたときにデバイスのセキュア化をもたらすためであり、第２に、デバイスのセキュア化が一方ではユーザーがフェイルソフトモードで機能するデバイスの一部の機能を使用することを許可するためである。方法の実装はトラスティッドオペレーティングシステムに依存するため、ユーザーは、十分なセキュリティおよび信頼性をもって上述のデバイスを使用できる。先行文献（米国特許出願公開第２００２／０１８６８４５）で提案された解決策では、デバイスのセキュリティは、デバイスが遭遇し得るセキュリティアノマリへのユーザーの注意力に基づいており、トラスティッドオペレーティングシステムおよびそのアプリケーションにデバイスのセキュリティを直接委ねる本発明とは反対である。
【００１７】
本発明の１つの具体的な実施形態では、セキュアな機能は、電子デバイスによって実行されるセキュアエレメントのアプリケーション、または、電子デバイスがアクセス可能であるセキュリティエレメントのセンシティブなデータ、例えば暗号化キー、にアクセスするアクセス機能である。
【００１８】
デバイスのセキュア化は、セキュアでない機能（non-secure functions）が利用可能に維持されるように、なされる。
【００１９】
一例では、携帯電話の場合には、ユーザーは、例えば支払い機能等の一部のセキュアな機能が無効化されていても、ターミナルを用いて電話できる。
【００２０】
本発明の１つの具体的な実施形態では、セキュリティアノマリは、リッチＯＳオペレーティングシステムの破損（corruption）である。
【００２１】
リッチＯＳオペレーティングシステムの破損は、インテグリティベリファイモジュールによって、自動的および／またはシステマティックに検出できる。
【００２２】
リッチＯＳオペレーティングシステムの破損は、有害な現象（harmful phenomenon）であり、電子デバイスのユーザーには見えないことがよくあり、本発明のこの実施形態は、この不都合を減少するために、必要なセキュリティステップを採用する。
【００２３】
本発明の別の実施形態では、検出モジュールは、セキュア化指令を含むメッセージを受信可能である。
【００２４】
この実施形態には、遠隔で開始できるという利点がある。盗難されたまたは紛失した電子デバイスをセキュア化すること等には、大きな利点がある。
【００２５】
本発明の１つの具体的な実施形態では、無効化モジュールは、アプリケーションの無効化指令をそのアプリケーションに送信することと、そのアプリケーションの無効化の応答を待つことと、が可能である。トラスティッドオペレーティングシステムは、応答が否定的であれば、電子デバイスのセキュア化を確実とするために必要なステップを採用する。
【００２６】
つまり、無効化に失敗した場合であっても、トラスティッドオペレーティングシステムは、電子デバイスのセキュリティを確保するために必要なステップを採用できる。
【００２７】
本発明の１つの具体的な実施形態では、電子デバイスのセキュリティのべリファイに応答して検出モジュールが起動し、検出モジュールは：
トラスティッドオペレーティングシステム主導で（on the initiative of）電子デバイスのスタートアップのときにもしくは定期的に、または
電子デバイスのユーザー主導で、トリガーされる。
【００２８】
この実施形態の１つの利点は、トラスティッドオペレーティングシステム主導でベリファイされたときに、ユーザーからみて自動的に、電子デバイスのセキュア化がなされることである。
【００２９】
この実施形態のさらなる利点は、電子デバイスのセキュリティが疑わしいときに、電子デバイスのユーザーもまたべリファイを開始できることである。この利点は、ユーザーの電子デバイスが紛失しもしくは盗難され、または疑わしいアプリケーションのダウンロードのようなユーザーのターミナルが脆弱化する処理をユーザーが実施したときに、特に有利である。
【００３０】
本発明の１つの具体的な実施形態では、上述の方法のステップは、コンピュータプログラムの指令によって決定される。
【００３１】
本発明はまた、プログラムがプロセッサによって実行されたときに、上述のような方法のステップを実装する指令を含むコンピュータプログラムに関する。
【００３２】
このプログラムは、いずれのプログラム言語を用いたものであってもよく、ソースコード形式またはオブジェクトコード形式等であってもよい。プログラムは、コンパイルおよび／またはインタプリタされたものであってもよく、プロセッサによってインタプリタされ得る他の形式のものであってもよい。
【００３３】
本発明の１つの具体的な実施形態では、このコンピュータプログラムは、トラスティッドオペレーティングシステムである。
【００３４】
本発明の別の実施形態では、このコンピュータプログラムは、トラスティッドオペレーティングシステムのパッチである。このパッチは、既存のＡＰＩ基板をエンリッチ化（enriches）するという利点を有し、トラスティッドオペレーティングシステムのネイティブアプリケーションがデプロイされても該ネイティブアプリケーションが一部のサービスを提供できないときにそのネイティブアプリケーションの代替手段を構成したり、デプロイできないネイティブアプリケーションの代替手段を構成したりする。すなわち、パッチは、トラスティッドオペレーティングシステムによって最初に提供された機能に追加の機能を提供する。
【００３５】
本発明はまた、コンピュータによって読み出し可能で、上述のようなコンピュータプログラムの指令を備えたデータ媒体に関する。
【００３６】
データ媒体は、プログラムを格納可能な、埋め込み型またはリムーバブルのいずれのエンティティまたはデバイスであってもよい。例えば、媒体は、ＲＯＭメモリ、ＣＤ−ＲＯＭまたは超小型電子回路ＲＯＭ等の格納手段であってもよく、ハードディスク、またはフラッシュタイプもしくはＲＡＭタイプのメモリ等の磁気記憶手段であってもよい。
【００３７】
さらに、データ媒体は、電気ケーブルを介して、光ケーブルを介して、無線により、または他の手段により伝達される、電気信号または光信号等の伝送媒体であってもよい。本発明のプログラムは、具体的には、オンラインの格納領域またはインターネットのプラットフォームにダウンロードされてもよい。
【００３８】
あるいは、格納媒体は、コンピュータプログラムが組み込まれ、当該方法を実行したり当該方法の実行に用いられたりすることに適合した、集積回路であってもよい。
【００３９】
本発明の他の特徴および利点は、添付の図面を参照しながら以下の明細書から明らかとなり、これらは本発明の非限定的実施形態を示す。
【図面の簡単な説明】
【００４０】
【図１】図１は、本発明の一実施形態に係る電子デバイスを概略的に示す。
【図２】図２は、本発明の具体的な一実施形態に係る方法を概略的に示す。
【図３】図３は、図２に示す本発明の実施形態に係る方法を使用するシナリオを概略的に示す。
【図４】図４は、本発明の別の実施形態に係る方法を示すフローチャートである。
【発明を実施するための形態】
【００４１】
図１は、本発明の一実施形態に係る電子デバイス１を示す。この例では、電子デバイスは、ターミナルであり、例えばタッチパッド、ラップトップコンピュータまたは携帯電話である。
【００４２】
変形例では、電子デバイス１は、車載コンピュータ等のマシンツーマシンタイプのデバイス、または銀行のカードもしくは電子身分証明書等のスマートカードを有していてもよい。
【００４３】
図１の例では、ターミナルは、本発明に適合した電子アセンブリ１０とセキュアエレメント２０とを備えている。
【００４４】
この例では、電子アセンブリ１０自体が、プロセッサ３００と、２つのオペレーティングシステムの特定のコード、すなわち１００で示されているリッチＯＳオペレーティングシステムのコードおよび２００で示されているトラスティッドオペレーティングシステムのコード、が格納されたメモリ５００と、を備えている。
【００４５】
ターミナル１がスタートアップするときに、これらの２つのオペレーティングシステムは、協同して（jointly）スタートアップする。当業者に知られているように、トラスティッドオペレーティングシステム２００のセキュアな実行環境はセキュアなスタートアップメカニズム（セキュアブート）を有しており、それによりトラスティッドオペレーティングシステム２００が認証され次いで初期化すなわち起動され、リッチＯＳオペレーティングシステム１００のスタートアップが後続する。
【００４６】
より詳細には、セキュアブートは、ターミナルのスタートアップを完了に導く一連のステップであり、各ステップは後続をバリデート（validating）する。例えば、ステップｉがトランジション（transition）をバリデートした場合に限りステップｉ＋１がトリガーされる（triggered）。
【００４７】
ただし、オペレーティングシステムの各々におけるスタンバイとは反対のアクティブオペレーションは、排他的である。すなわち、オペレーティングシステムの１つがアクティブであるとき、残りは非アクティブモードにある。
【００４８】
この例では、トラスティッドオペレーティングシステム２００は、セキュリティアノマリを検出し２１０で示された検出モジュールと、無効化モジュール２２０とを備えている。トラスティッドオペレーティングシステムがモジュール２１０を用いてセキュリティアノマリを検出すると、これに続いて無効化モジュール２２０が機能する。
【００４９】
また、例えば、セキュアエレメントは、リーダーによってターミナルに接続される、ＳＩＭカード等のスマートカードであってもよく、ターミナルに接続される接続パッドを有する、ｅＳＥ等の集積回路であってもよい。
【００５０】
一般には、セキュアエレメントは、セキュリティ規格：ＩＳＯ／ＣＥＩ１５４０８規格、ＩＳＯ７８１６および／またはＦＩＰＳ１４０規格のようなコモンクライテリアを満たし、データと、ＮＦＣ（近接場通信）による非接触決済専用のアプリケーションのようなセンシティブなアプリケーションとを格納している。
【００５１】
この例では、セキュアエレメント２０は、ターミナルに特に移動体ネットワークによって通信させるＳＩＭカードである。トラスティッドオペレーティングシステム２００は、直接的にすなわちリッチＯＳオペレーティングシステムをモビライズする（mobilising）ことなく、ＳＩＭカード２０に格納されたアプリケーションにアクセスできる。
【００５２】
ＳＩＭカード２０は、ＳＩＭカード２０に格納されているアプリケーションの管理を担当するコンポーネントＣＭ（カードマネージャー）を備えている。カードマネージャーＣＭは、ＳＩＭカード２０のアプリケーションであってもよい。具体的に、カードマネージャーＣＭは、ＩＳＯ７８１６規格に準拠するＡＰＤＵタイプのフレームのルーティングを確実に行う。
【００５３】
セキュリティアノマリが検出されると、トラスティッドオペレーティングシステムは、無効化モジュール２２０を用いて、例えば支払い専用のアプリケーション等特別なタイプの全アプリケーションを無効化する無効化指令を送信し、カードマネージャーＣＭは、対象となる種々のアプリケーション、この具体例では支払い専用のアプリケーション、へと無効化指令をルーティングする。
【００５４】
この例では、ＳＩＭカード２０のセキュアな機能を無効化することのみについて説明した。しかし、本発明は、各々が無効化されるべきセキュアな機能を含む複数のセキュアエレメントを備えたターミナルのセキュア化をも対象とする。この構成では、これらのセキュアエレメントのリストおよびセキュアエレメントのアプリケーションのリストが、トラスティッドオペレーティングシステム２００によって制御される不揮発性メモリに記憶されている。
【００５５】
図２は、本発明の１つの具体的な実施形態に係る方法の主なステップを示し、その実装は、図１を参照して前述したようなターミナル１におけるトラスティッドオペレーティングシステム２００に依存する。
【００５６】
ステップＥ５では、トラスティッドオペレーティングシステムにおける特定のアプリケーションが、リッチＯＳオペレーティングシステムのインテグリティをベリファイする。
【００５７】
この例では、方法は、上述のように、ターミナル１のセキュアなスタートアップのときに、トラスティッドオペレーティングシステム２００主導で実装される。
【００５８】
変形例では、方法は、トラスティッドオペレーティングシステム２００主導でクロックを用いて定期的に実装されてもよく、ターミナル１のユーザー主導で実装されてもよく、ポーリング指令を受信したときに実装されてもよい。
【００５９】
当業者に知られた態様では、オペレーティングシステムのインテグリティのべリファイは、そのシステムの各レベル（コア、ネイティブライブラリ、実行環境、アプリケーション等）における、特有のオクテットの指紋のオンザフライでの計算を必要とし、例えば当業者によく知られたＳＨＡ１アルゴリズムを適用することによってこの指紋とリファレンス指紋とを比較する。
【００６０】
ステップＥ１０では、リッチＯＳオペレーティングシステムのインテグリティのべリファイを担当する特定のアプリケーションは、このシステムが破損していることを確認する。
【００６１】
実際には、破損が確認されたときには、トラスティッドオペレーティングシステム２００によって制御される不揮発性メモリに、セキュリティアノマリに関する情報が記憶され、この情報をリードできる当該オペレーティングシステム２００の特定のアプリケーションがターミナルにおける少なくとも１つのセキュアな機能を無効化する無効化ステップＥ１１が機能する。
【００６２】
トラスティッドオペレーティングシステム２００によって制御される不揮発性メモリにそのリストが記憶された複数のセキュアエレメントをターミナルが備えている特定の場合には、当該オペレーティングシステム２００の特定のアプリケーションがリストをリードし、各アプリケーションについて、リスト中の各セキュアエレメントを無効化する無効化ステップＥ１１を開始する。
【００６３】
図２に戻って、無効化ステップＥ１１は、この例ではＳＩＭカード２０のセンシティブなアプリケーションに直接的に無効化指令を送信するステップＥ２０と、対象のアプリケーションによって与えられる応答ＡＣＫを待つ待機ステップＥ３０とを備えている。
【００６４】
例えばＩＳＯ７８１６規格に従ったＡＰＤＵプロコトルを用いて、通信（指令および応答の送信および受信）が行われる。
【００６５】
図３は、図２を参照して前述した実施形態に係る方法を組み込んでいる、使用シナリオを概略的に示す。
【００６６】
このシナリオでは、ユーザーは、ターミナル１をオンにする。ステップＥ５では、トラスティッドオペレーティングシステムの特定のアプリケーションは、リッチＯＳオペレーティングシステムのインテグリティをベリファイする。
【００６７】
トラスティッドオペレーティングシステムは、リッチＯＳオペレーティングシステムが破損していることを確認し（ステップＥ１０）、ＳＩＭカードの支払いアプリケーションおよびＳＩＭカード２０が有する暗号化キーへのアクセスの無効化を開始する（ステップＥ１１）。電子商取引または電子購買のアプリケーション等のＳＩＭカード２０の支払いアプリケーションを用いるリッチＯＳオペレーティングシステムのアプリケーションは、ターミナル１のユーザーによるアクセスを可能なままとするが、ＳＩＭカードのアプリケーションまたは暗号化キーを用いた支払い動作はもはや不可能とされる。
【００６８】
この例では、リッチＯＳオペレーティングシステムのこれらのアプリケーションは、ＳＩＭカード２０に直接的にアクセスできる。そして、ユーザーは、移動体ネットワークによって電話するためにターミナル１を用いる。ＳＩＭカード２０に格納されたセキュアな支払いアプリケーションのみがブロックされるため、電話は可能である。一方、ユーザーは、購買および電子商取引のアプリケーションをもはや全く使用できない。ターミナルのこのような部分的な使用は、フェイルソフトモードと称される。
【００６９】
図４は、本発明の別の実施形態に係る方法の主なステップを示すが、これらのステップは、図１を参照して前述したようなターミナル１におけるトラスティッドオペレーティングシステム２００によっても実装できる。
【００７０】
さらに、この例では、ＳＩＭカードは、３つのアプリケーションＡＰＰ0，ＡＰＰ1およびＡＰＰ2を備えており、ＡＰＰ1およびＡＰＰ2は支払いアプリケーションである。
【００７１】
ステップＥ１０では、トラスティッドオペレーティングシステム２００は、ＳＩＭカード２０に格納された支払いアプリケーションを無効化する指令を含むメッセージを受信する。
【００７２】
ステップＥ２００では、トラスティッドオペレーティングシステム２００は、支払いアプリケーションを無効化する指令をカードマネージャーＣＭに送信し、カードマネージャーＣＭは、
・ＡＰＰ0アプリケーションは支払いアプリケーションではないためＡＰＰ0アプリケーションを選択せず、
・両方が支払い専用であるＡＰＰ1アプリケーションおよびＡＰＰ2アプリケーションを選択する。
【００７３】
実際には、無効化指令は、ＡＰＤＵフレーム形式であり、カードマネージャーＣＭは、ＩＳＯ７８１６規格に基づいて、アプリケーションを、アプリケーション固有のＡＩＤ識別子（Application IDendifier）に従って選択する。
【００７４】
カードマネージャーは、無効化指令を含むＡＰＤＵフレームを、選択されたアプリケーション、すなわちＡＰＰ1およびＡＰＰ2に伝送する。
【００７５】
続いて、ＡＰＰ1アプリケーションは無効化を実行して肯定応答ＡＣＫ＋を送信し、アプリケーションＡＰＰ2は無効化を失敗して否定応答ＡＣＫ−を送信する。
【００７６】
この例では、カードマネージャーＣＭは、応答をとりまとめ、同様にＡＰＤＵフレーム形式であるグローバル応答ＡＣＫ（＋，−）をトラスティッドオペレーティングシステムに送信し、これによって応答待機ステップＥ３００がターミネートする。
【００７７】
この例では、前述のように、リッチＯＳオペレーティングシステムのアプリケーションは、必ずしもトラスティッドオペレーティングシステムをモビライズすることなくＳＩＭカード２０にアクセスできる。
【００７８】
変形例では、トラスティッドオペレーティングシステムは、リッチＯＳオペレーティングシステムとセキュアエレメントすなわちＳＩＭカード２０との間におけるシステマティックな媒体であってもよい。
【００７９】
ＳＩＭカード２０におけるセキュアな機能の無効化ステップは、トラスティッドオペレーティングシステムにおける通信制御コンポーネント（セキュアエレメントアクセスコントローラ）を組み込んでいてもよい。このコントローラは、フィルタとして作用し、事前に定義されたセキュリティポリシーを利用する。セキュリティアノマリを検出すると、このセキュリティポリシーは、例えば、セキュアな機能にアクセスすることをリクエストするリッチＯＳオペレーティングシステムからオリジネートしたリクエストを、トラスティッドオペレーティングシステムによってブロックし得る。
【図１】
2014112369.tif 000003
【図２】
2014112369.tif 000004
【図３】
2014112369.tif 000005
【図４】
2014112369.tif 000006
【外国語明細書】
2014112369000001.pdf