(57)【特許請求の範囲】
【請求項１】
携帯型情報端末において、
(1) 管理特権を有する第１の管理用アプリケーション・プログラムを構成し、他のアプリケーション・プログラムとの間で情報を伝達可能な第１のプロセス間通信機能部、(2) 前記第１の管理用アプリケーションを構成し、情報の伝達元であるアプリケーション・プログラムの認証に使用する認証アプリケーション名、(3) 管理特権を有しない第２の管理用アプリケーション・プログラムと、(4) 前記第２の管理用アプリケーション・プログラムのアプリケーション名、共有名、署名を格納するＲＯＭ領域と、
インストールされたアプリケーション・プログラムのアプリケーション名、共有名、ＩＤを格納し、ＯＳ（Operation System）を通じて管理されるＲＡＭ領域と
を有し、
前記第１のプロセス間通信機能部は、
情報の伝達元であるアプリケーション・プログラムのＩＤを取得した後、対応する共有名を前記ＲＡＭ領域から取得し、前記共有名が取得できた場合には、更に前記共有名と前記認証アプリケーション名を比較し、一致する場合には、伝達元のアプリケーション・プログラムを認証する
ことを特徴とする携帯型情報端末。
【請求項２】
請求項１に記載の携帯型情報端末において、
前記ＲＯＭ領域には、更に、管理特権を有しない第２の管理用アプリケーション・プログラムを構成し、他のアプリケーション・プログラムとの間で情報を伝達する第２のプロセス間通信機能部が格納される
ことを特徴とする携帯型情報端末。
【請求項３】
請求項１に記載の携帯型情報端末において、
前記ＲＡＭ領域には、更に、(1) 管理特権を有しない第３の管理用アプリケーション・プログラムと、(2) 前記第３の管理用アプリケーション・プログラムを構成し、他のアプリケーション・プログラムとの間で情報を伝達する第３のプロセス間通信機能部と、(3) 前記第３の管理用アプリケーション・プログラムのアプリケーション名、共有名、署名とが格納される
ことを特徴とする携帯型情報端末。
【請求項４】
請求項１に記載の携帯型情報端末において、
前記署名を作成する際に使用した鍵と前記共有名とが同じアプリケーション・プログラムには同じＩＤが割り当てられる
ことを特徴とする携帯型情報端末。
【請求項５】
(1) 管理特権を有する第１の管理用アプリケーション・プログラムを構成し、他のアプリケーション・プログラムとの間で情報を伝達可能な第１のプロセス間通信機能部、(2) 前記第１の管理用アプリケーションを構成し、情報の伝達元であるアプリケーション・プログラムの認証に使用する認証アプリケーション名、(3) 管理特権を有しない第２の管理用アプリケーション・プログラムと、(4) 前記第２の管理用アプリケーション・プログラムのアプリケーション名、共有名、署名を格納するＲＯＭ領域と、インストールされたアプリケーション・プログラムのアプリケーション名、共有名、ＩＤを格納し、ＯＳ（Operation System）を通じて管理されるＲＡＭ領域とを有する携帯型情報端末に実装されるコンピュータに、
情報の伝達元であるアプリケーション・プログラムのＩＤを取得する処理と、
取得されたＩＤに対応する共有名を前記ＲＡＭ領域から取得する処理と、
前記共有名が取得できた場合には、前記共有名と前記認証アプリケーション名を比較する処理と、
前記共有名と前記認証アプリケーション名が一致する場合には、伝達元のアプリケーション・プログラムを認証する処理と、
前記共有名が取得できない場合には終了する処理と
を実行させる前記第１のプロセス間通信機能部としてのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、携帯型情報端末上で動作するアプリケーション・プログラム間における認証技術に関する。
【背景技術】
【０００２】
近年、スマートフォンやタブレット端末に代表される携帯型情報端末が普及してきている。これに伴い、携帯型情報端末を業務に活用するニーズが高まっている。一般に、企業が携帯型情報端末の業務への利用を検討する場合、企業側が社員に対して携帯型情報端末を貸与し、それら携帯型情報端末を企業側の情報管理者が管理する。
【０００３】
この際、貸与される全ての携帯型情報端末の設定は、企業側で定めるポリシに基づいて管理されることが望まれる。設定の例には、ＶＰＮ（Virtual Private Network）接続等の各種設定、アプリケーション・プログラムのバージョンアップ等がある。
【０００４】
携帯型情報端末に搭載されるＯＳ（Operating System）の特徴の一つに、サンドボックス機構がある。サンドボックス機構の特徴は、原則、個々のアプリケーション・プログラム間の通信を許可しないことである。すなわち、あるアプリケーション・プログラムで作成されたデータに対する、別のアプリケーション・プログラムのアクセスを原則禁止する。また、原則として、アプリケーション・プログラムは、ＯＳ上において一般ユーザ権限で動作し、特権で動作することは許可されない。
【０００５】
このような状況では、企業側の情報管理者は、貸与した携帯型情報端末において特権が必要となるアプリケーション上の設定を行うことができない。結果として、企業側で定めるセキュリティポリシの適用を携帯型情報端末に徹底できない問題がある。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】Secure interprocess communication：http://cr.yp.to/docs/secureipc.html
【発明の概要】
【発明が解決しようとする課題】
【０００７】
この問題を解決する方法として、特権で動作する設定変更アプリケーション・プログラムを、携帯型情報端末で予め動作させておく方法が考えられる。この場合、企業側が用意した設定要求アプリケーション・プログラムからの指示は、プロセス間通信を用いて、設定変更アプリケーションに伝達され、伝達を受けた設定変更アプリケーションがその指示に従って設定処理を実行する。
【０００８】
ただし、この方法は、設定変更アプリケーション・プログラムにおいて、設定要求アプリケーション・プログラムの信頼性を確認することができない。このため、指示の伝達元が悪意のアプリケーション・プログラムである場合、企業側の情報管理者が意図しない設定が携帯型情報端末に適用される可能性がある。
【０００９】
非特許文献１は、プロセス間通信の際に、送信元のアプリケーション・プログラムのＵＩＤ（User ID）を特定する技術を開示する。しかし、携帯型情報端末においては、アプリケーション・プログラムが動作するＵＩＤは、そのインストール時に決定される。従って、同一のアプリケーション・プログラムであったとしても、インストールされる携帯型情報端末が異なれば、アプリケーション・プログラムが動作するＵＩＤが異なる可能性がある。このため、特定のＵＩＤを有するか否かだけで、悪意のアプリケーション・プログラムか否かを識別することはできない。また、非特許文献１の方法は、特権で動作する設定変更アプリケーションにおいて、情報の送信元であるアプリケーション・プログラムのＵＩＤしか取得することができない。
【００１０】
このように、現在の技術では、情報の送信元であるアプリケーション・プログラムが、企業側で用意した設定要求アプリケーション・プログラムであるか否かを確定することは不可能である。
【００１１】
本発明は、以上の技術的課題を考慮したものであり、携帯型情報端末にインストールされたアプリケーション・プログラムのＵＩＤが端末毎に異なる場合にも、特権で動作する設定変更アプリケーション・プログラムにおいて、情報の送信元であるアプリケーション・プログラムを信頼できるか否かを確実に認証できる認証技術を提案する。
【課題を解決するための手段】
【００１２】
前述した技術的課題を解決するため、本発明に係る携帯型情報端末は、(1) 管理特権を有する第１の管理用アプリケーション・プログラムを構成し、他のアプリケーション・プログラムとの間で情報を伝達する第１のプロセス間通信機能部、(2) 前記第１の管理用アプリケーションを構成し、情報の伝達元であるアプリケーション・プログラムの認証に使用される認証アプリケーション名、(3) 管理特権を有しない第２の管理用アプリケーション・プログラムと、(4) 前記第２の管理用アプリケーション・プログラムのアプリケーション名、共有名、署名を格納するＲＯＭ領域と、インストールされたアプリケーション・プログラムのアプリケーション名、共有名、ＩＤを格納し、ＯＳ（Operation System）を通じて管理されるＲＡＭ領域とを有し、前記第１のプロセス間通信機能部は、情報の伝達元であるアプリケーション・プログラムのＩＤを取得した後、対応する共有名を前記ＲＡＭ領域から取得し、前記共有名が取得できた場合には、更に前記共有名と前記認証アプリケーション名と比較し、一致する場合には、伝達元のアプリケーション・プログラムが信頼できると判定する。
【発明の効果】
【００１３】
本発明によれば、管理特権を有しないアプリケーション・プログラムが動作するＩＤが携帯型情報端末毎に異なっていても、管理特権を有する管理用アプリケーション・プログラムにおいて、情報の伝送元であるアプリケーション・プログラムの信頼性を確実に認証することができる。前述した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【００１４】
【図１】実施例１に係るネットワーク・システムの概念構成を示す図。
【図２】実施例１に係る携帯型情報端末の機能構成を示す図。
【図３】アプリケーション固有情報の概念構成を示す図。
【図４】アプリケーション管理情報の概念構成を示す図。
【図５】実施例１に係る管理サーバの機能構成を示す図。
【図６】実施例１に係る設定情報適用手順を示すフローチャート。
【図７】実施例１に係るアプリケーション認証手順を示すフローチャート。
【図８】実施例２に係る携帯型情報端末の他の機能構成を示す図。
【発明を実施するための形態】
【００１５】
以下、図面に基づいて、本発明の実施の形態を説明する。なお、本発明の実施の態様は、後述する実施例に限定されるものではなく、その技術思想の範囲において、種々の変形が可能である。
【００１６】
［実施例１］
［システム構成］
図１に、本実施例に係るネットワーク・システムの概念構成を示す。携帯型情報端末１０１は、ネットワーク１０２を介して管理サーバ１０３と相互に接続されている。ネットワーク１０２は、情報の伝達が可能であれば良く、その接続形態は任意である。ネットワーク１０２は、有線接続及び無線接続のどちらか一方、又は両方で構成される。なお、図１では、携帯型情報端末１０１及び管理サーバ１０３をそれぞれ１つだけ記載しているが、任意の個数でよい。本実施例の場合、携帯型情報端末１０１には、企業側から社員に貸与される端末装置を想定する。また、管理サーバ１０３には、貸与した携帯型情報端末１０１を管理する企業側のサーバ装置を想定する。
【００１７】
以下では、管理サーバ１０３が携帯型情報端末１０１に対して指示を出し、端末の設定情報を変更する場合を想定する。設定情報には、例えば端末のＶＰＮ接続設定、端末にインストール可能なアプリケーション・プログラムの一覧設定、アプリケーション・プログラムのバージョンアップ指示等が相当する。勿論、これらの設定情報は一例であり、本実施例の内容に限定されるわけではない。
【００１８】
［携帯型情報端末１０１の構成］
図２に、本実施例に係る携帯型情報端末１０１の機能ブロック構成を示す。携帯型情報端末１０１は、管理用特権処理部２０２と、ネットワーク接続部２０６と、管理用非特権処理部２０１０と、非特権処理部２０２０と、記憶部２０７とから構成されている。図２に示す各部は、ハードウェアとして構成されても良いし、ソフトウェア上の機能として実現しても良い。また、管理用特権処理部２０２、管理用非特権処理部２０１０、非特権処理部２０２０は、任意の個数を有していても良い。なお、非特権処理部２０２０は、携帯型情報端末１０１の利用者又は情報管理者がインストール可能なアプリケーション・プログラムである。
【００１９】
［前提条件］
本実施例において、管理用特権処理部２０２は、管理上の特権を有するプログラムとして動作する。管理上の特権を有するとは、管理者権限を有する意味である。例えばＬｉｎｕｘでは、ｒｏｏｔ権限、つまりＵＩＤ（UserID）が０で動作するプログラムを指す。
【００２０】
管理用非特権処理部２０１０及び非特権処理部２０２０は、非特権のプログラムとして動作する。非特権とは、管理上の特権は有さないことを意味である。例えばＬｉｎｕｘでは、非ｒｏｏｔ権限、つまりＵＩＤが非０で動作するプログラムを指す。
【００２１】
管理用特権処理部２０２と管理用非特権処理部２０１０は、携帯型情報端末１０１のＲＯＭ領域（図示せず）に格納されている。従って、それらの処理内容を携帯型情報端末１０１の利用者が自由に変更することはできない。なお、非特権処理部２０２０と記憶部２０７は、携帯型情報端末１０１のＲＡＭ領域（図示せず）に格納されている。
【００２２】
管理用特権処理部２０２と、管理用非特権処理部２０１０と、非特権処理部２０２０には、プログラム毎に異なるＩＤが割り当てられている。例えば、ＬｉｎuｘではＵＩＤが相当する。署名情報（２０１５・２０２３）が互いに同一の鍵を用いて作成されたプログラム同士であり、かつ、アプリケーション固有情報（２０１４・２０２２）内の共有名３０２（図３）が同一の場合に、アプリケーション・プログラムには、同一のＵＩＤが割り当てられる。つまり、共有名が同じでも、署名情報が異なる鍵を用いられて作成された複数のプログラムは、同一のＵＩＤを持つことはできない。 
【００２３】
また、既にある共有名を持つアプリケーション・プログラムがインストールされている状況において、前記共有名と同一の共有名を持ち、かつ署名情報が異なる鍵を用いて作成されたアプリケーション・プログラムはインストールできない。即ち、共有名が同一で、署名情報が同じ鍵を用いて作成された複数のプログラム・アプリケーションは同一のＵＩＤを持つ。逆に、複数のプログラム・アプリケーションが同一のＵＩＤを持つならば、これらのプログラム・アプリケーションは同一の共有名を持ち、かつ署名情報が同じ鍵を用いて作成されていることになる。
【００２４】
本実施例の場合、携帯型情報端末１０１は、例えばスマートフォンやタブレット端末を想定する。この場合、携帯型情報端末１０１は、コンピュータと、通信モジュールと、フラットディスプレイ等を基本構成として有する。もっとも、携帯型情報端末１０１は、これらの端末に限るものではなく、ノート型のコンピュータ端末や携帯型の専用端末も含む。なお、携帯型情報端末１０１には、不図示ではあるが、この種の端末に一般的なデバイスが必要に応じて搭載されている。例えばＣＰＵ、メモリ、フラッシュＲＯＭ、入力指示装置（タッチパネル）、ＧＰＳ（Global Positioning System）受信装置、Ｗｉ−Ｆｉ（商標）に準拠した無線通信装置などが搭載されている。
【００２５】
ネットワーク接続部２０６は、携帯型情報端末１０１とネットワーク１０２とを接続する装置であり、例えば無線ＬＡＮ（Local Area Network）装置や３Ｇ（第３世代移動通信システム）無線装置が相当する。なお、ネットワーク接続部２０６の数は任意で良い。
【００２６】
［携帯型情報端末１０１の管理用特権処理部２０２の構成］
管理用特権処理部２０２は、プロセス間通信部２０３と、メッセージ受信部２０４と、認証アプリケーション名２０５とを有している。
【００２７】
プロセス間通信部２０３は、管理用特権処理部２０２と管理用非特権処理部２０１０とが情報交換をするためのプログラム間通信を実行する。情報の交換先であるプログラム側のプロセス間通信部２０３は、情報の交換元であるプログラムのＵＩＤを取得する処理、又は、認証や設定情報をやり取りするためのデータの送受信経路を作成する処理を実行する。例えばＬｉｎｕｘの場合、プロセス間通信は、ＵＮＩＸドメインソケット通信が相当する。情報の交換元であるプログラムのＵＩＤを取得する方法には、ｇｅｔｓｏｃｋｏｐｔ関数にSO_PEERCREDを引数として渡すことが挙げられる。
【００２８】
メッセージ受信部２０４は、プロセス間通信部２０３を通じて受信した情報に応じた処理を実行する。処理の内容は、受信した情報による。従って、本実施例では、処理の内容は規定しない。例えばＶＰＮ接続設定の変更等の特権が必要となる処理が相当する。
【００２９】
認証アプリケーション名２０５は、管理用非特権処理部２０１０や非特権処理部２０２０を識別するために使用されるアプリケーション名である。認証アプリケーション名２０５の使用方法については後述する。ここで、認証アプリケーション名２０５は、管理用非特権処理部２０１０や非特権処理部２０２０から変更することができないデータ領域に格納されていればよく、格納場所は規定しない。例えば認証アプリケーション名２０５をファイルとして格納するのであれば、ファイルのパーミッションの設定により、管理用非特権処理部２０１０や非特権処理部２０２０が前記ファイル内容を変更できなければよい。本明細書では、ファイルのパーミッションの設定による場合も含めて、データの変更ができないデータ領域をＲＯＭ領域と呼ぶ。
【００３０】
管理用特権処理部２０２は、例えば携帯型情報端末１０１の起動時などに起動し、他のアプリケーション・プログラムからのプロセス間通信を待ち受ける状態となる。ただし、管理用特権処理部２０２が起動するタイミングについては規定しない。
【００３１】
［携帯型情報端末１０１の管理用非特権処理部２０１０の構成］
管理用非特権処理部２０１０は、プロセス間通信部２０１１と、メッセージ送信部２０１２と、管理データ受信部２０１３と、アプリケーション固有情報２０１４と、署名情報２０１５とから構成されている。
【００３２】
プロセス間通信部２０１１は、管理用特権処理部２０２と管理用非特権処理部２０１０が情報交換をするためのプログラム間通信を実行する。その内容は、前述したプロセス間通信部２０３と同様である。
【００３３】
管理データ受信部２０１３は、管理サーバ１０３の管理データ送信部３０２から送信された情報を受信し、メッセージ送信部２０１２に渡す機能を提供する。すなわち、管理データ受信部２０１３は、外部のアプリケーション・プログラム間でのデータ伝達に使用される。情報を受け取ったメッセージ送信部２０１２は、プロセス間通信部２０１１に情報を渡す。
【００３４】
署名情報２０１５は、プロセス間通信部２０１１〜アプリケーション固有情報２０１４に対する電子署名の情報を指す。なお、本実施例では電子署名のアルゴリズムは限定しない。
【００３５】
アプリケーション固有情報２０１４は、管理用非特権処理部２０１０に含まれるアプリケーション・プログラムを特徴づける情報である。図３に、アプリケーション固有情報２０１４の詳細例３０３を示す。アプリケーション固有情報２０１４は、アプリケーション名３０１と共有名３０２とから構成されている。ただし、アプリケーション固有情報２０１４は、前述した２つ以外にも任意の項目を含んで良い。
【００３６】
アプリケーション名３０１は、アプリケーションの名前を表す文字列である。共有名３０２は、任意に設定可能な文字列であり、別のアプリケーションと同一のＩＤで動作させたい場合に設定する。共有名３０２を設定しない場合や共有名３０２が他アプリケーションと異なる場合、当該アプリケーション・プログラムには他アプリケーション・プログラムと異なるＩＤが与えられる。
【００３７】
詳細例３０３の場合、アプリケーション名３０１として「ＡＰＰ１」が、共有名３０２として「ＡＢＣ」が設定されている。
【００３８】
［携帯型情報端末１０１の非特権処理部２０２０の構成］
非特権処理部２０２０は、データ処理部２０２１と、アプリケーション固有情報２０２２と、署名情報２０２３とから構成されている。
【００３９】
データ処理部２０２１は、本実施例では処理内容を特に規定しない。アプリケーション固有情報２０２２と署名情報２０２３には、適切な情報が設定されている。なお、アプリケーション固有情報２０２２は、非特権処理部２０２０に含まれるアプリケーション・プログラムを特徴づける情報である。署名情報２０２３は、データ処理部２０２１〜アプリケーション固有情報２０２２に対する電子署名の情報を指す。なお、本実施例では電子署名のアルゴリズムは限定しない。
【００４０】
［携帯型情報端末１０１の記憶部２０７の構成］
記憶部２０７は、アプリケーション管理情報２０８から構成されている。記憶部２０７は、データの書き換えが可能な領域として用意される。アプリケーション管理情報２０８は、ＯＳが管理しており、アプリケーション・プログラムはその内容を変更できないものとする。図４に、アプリケーション管理情報２０８の詳細例を示す。アプリケーション管理情報２０８は、アプリケーション名４０１と、共有名４０２と、ＵＩＤ４０３とから構成されている。なお、記憶部２０７には、アプリケーション管理情報２０８以外の情報も格納されていていても良い。
【００４１】
［アプリケーション管理情報２０８の作成方法］
アプリケーション管理情報２０８は、アプリケーション・プログラムを携帯型情報端末１０１にインストールする際に、ＯＳの機能により作成・変更される。
【００４２】
例えば図３に示すデータ構造のアプリケーション固有情報２０１４を持つアプリケーション・プログラムを携帯型情報端末１０１にインストールする場合、ＯＳは、後述する手順に従って、インストールするアプリケーション・プログラムにＵＩＤを割り当て、割り当てたＵＩＤとアプリケーション固有情報２０１４とを組み合わせたアプリケーション管理情報２０８を記憶部２０７に格納する。
【００４３】
図４に、アプリケーション管理情報２０８の詳細例４０４〜４０６を示す。
詳細例４０４は、アプリケーション名３０１が「ＡＰＰ１」、共有名３０２が「ＡＢＣ」で与えられるアプリケーション固有情報２０１４を有するアプリケーション・プログラムを、携帯型情報端末１０１にインストールした場合に相当する。この例の場合、インストール時に、アプリケーション・プログラムのＵＩＤとして、「１００００」がＯＳにより割り当てられる。この結果、アプリケーション名４０１が「ＡＰＰ１」、共有名４０２が「ＡＢＣ」、ＵＩＤ４０３が「１００００」である詳細例４０４が作成される。
【００４４】
詳細例４０５は、アプリケーション名３０１が「ＡＰＰ２」、共有名３０２が「ＡＢＣ」で与えられるアプリケーション固有情報２０２２を有するアプリケーション・プログラムを、携帯型情報端末１０１にインストールした場合に相当する。この例の場合、共有名３０２の「ＡＢＣ」は、アプリケーション管理情報２０８に既に存在する。また、この実施例の場合、詳細例４０５に対応するアプリケーション・プログラムの署名情報２０２３の作成に用いた鍵は、先に登録された詳細例４０４に対応するアプリケーション・プログラムの署名情報２０１５の作成に用いられた鍵と同一であるものとする。この場合、当該アプリケーション・プログラムには、同じ共有名「ＡＢＣ」を持つ詳細列４０４についてＵＩＤ４０３に格納されている「１００００」が割り当てられる。結果として、アプリケーション名４０１として「ＡＰＰ２」、共有名４０２として「ＡＢＣ」、ＵＩＤ４０３として「１００００」である詳細例４０５が作成される。
【００４５】
詳細例４０６は、アプリケーション名３０１が「ＡＰＰ３」である一方で、共有名３０２が設定されていないアプリケーション・プログラムを、携帯型情報端末１０１にインストールした場合に相当する。この例の場合は、新規にＵＩＤが割り当てられる。この例の場合は「１００１０」が割り当てられる。この結果、アプリケーション名４０１が「ＡＰＰ３」、共有名４０２は無し、ＵＩＤ４０３が「１００１０」である詳細例４０６が作成される。
【００４６】
なお、特権の有無によらず管理用のアプリケーション・プログラムは、優先的に携帯型情報端末１０１にインストールする。悪意のアプリケーション・プログラムは、管理用のアプリケーション・プログラムの署名情報の作成に使用された鍵を知ることができない。
従って、管理用のアプリケーション・プログラムを優先的に携帯型情報端末１０１にインストールしておくことにより、事後的にインストールされる悪意のアプリケーション・プログラムに同じＵＩＤが割り当てられる事態を避けることができる。
【００４７】
［管理サーバ１０３の構成］
図５に、管理サーバ１０３の機能ブロック構成を示す。管理サーバ１０３は、管理データ送信部５０２とネットワーク接続部５０３とから構成されている。図５の各部は、ハードウェアとして構成されても良いし、ソフトウェア上の機能として実現しても良い。
【００４８】
本実施例の場合、管理サーバ１０３には、不図示ではあるが、サーバに一般的な装置が必要に応じて搭載されている。例えばＣＰＵ、メモリ、ＨＤＤ、入力指示装置（キーボード・マウス）、ディスプレイなどが搭載されている。
【００４９】
ネットワーク接続部５０３は、携帯型情報端末１０１等と接続する装置であり、例えばＮＩＣ（ネットワーク・インタフェース・カード）が相当する。
【００５０】
管理データ送信部５０２は、携帯型情報端末１０１（具体的には、管理用非特権処理部２０１０の管理データ受信部２０１３）に対し、不図示であるが、例えばＶＰＮの設定情報を含んだ設定変更データを送信する。ここでは、実施例の説明のためにＶＰＮ設定の例を示しているが、この例に限定されるわけではない。
【００５１】
［携帯型情報端末１０１の設定変更手順］
以下、管理サーバ１０３から携帯型情報端末１０１の設定を変更する場合の具体例を説明する。勿論、携帯型情報端末１０１は、その管理用特権処理部２０２において、情報送信元のアプリケーションを認証し、認証できた場合に限り、管理サーバ１０３が送信した設定情報に基づき携帯型情報端末１０１の設定を変更する。
【００５２】
図６に、本実施例に係る設定変更手順のフローチャートを示す。
まず、管理サーバ１０３の管理データ送信部５０２が、携帯型情報端末１０１に対して設定情報を送信する（Ｓ６０1）。設定情報の一例には、携帯型情報端末１０１のＶＰＮ接続設定が挙げられる。設定情報はアプリケーション・プログラムの形態で送信され、携帯型情報端末１０１にインストールされる。または、設定情報はインストール済みのアプリケーション・プログラムに対する指示として与えられる。アプリケーション・プログラムのインストール時には、割り当てられたＵＩＤとアプリケーション固有情報がアプリケーション管理情報２０８として記憶部２０７に記憶される。
【００５３】
この設定情報は、携帯型情報端末１０１の管理用非特権処理部２０１０が受信する。具体的には、管理用非特権処理部２０１０の管理データ受信部２０１３が設定情報を受信する（Ｓ６０２）。ここでの設定情報の受信は、携帯型情報端末１０１にインストールされたアプリケーション・プログラムからの要求として与えられる。
【００５４】
管理データ受信部２０１３は、受信した設定情報を、同じ管理用非特権処理部２０１０のメッセージ送信部２０１２に送信する（Ｓ６０３）。
【００５５】
メッセージ送信部２０１２は、受信した設定情報を、同じ管理用非特権処理部２０１０のプロセス間通信部２０１１に送信する（Ｓ６０４）。
【００５６】
プロセス間通信部２０１１は、受信した設定情報を、管理用特権処理部２０２のプロセス間通信部２０３に送信する（Ｓ６０５）。このように、管理サーバ１０３は、管理用特権処理部２０２に直接アクセスすることはできず、管理用非特権処理部２０１０を介在した通信を実行する。
【００５７】
管理用特権処理部２０２のプロセス間通信部２０３は、設定情報の送信元であるアプリケーション・プログラムを認証する（Ｓ６０６）。なお、認証時に実行される具体的な処理手順については後述する。
【００５８】
プロセス間通信部２０３は、認証が成功したか否かを判定する（Ｓ６０７）。認証が失敗した場合は、処理を終了する。すなわち、管理用特権処理部２０２のメッセージ受信部２０４による処理を認めない。
【００５９】
これに対し、認証が成功した場合、プロセス間通信部２０３は、受信した設定情報を、同じ管理用特権処理部２０２内のメッセージ受信部２０４に送信する（Ｓ６０８）。
【００６０】
この後、メッセージ受信部２０４は、受信した設定情報に基づく設定処理を実行する（Ｓ６０９）。Ｓ６０９で実行される設定処理の内容は特定の設定処理に限定されないが、この実施例の場合には、前述の通り、ＶＰＮ接続設定が実行される。
【００６１】
［アプリケーションの認証手順］
図７に、図６のステップＳ６０６に記載した認証処理の具体例を示す。
まず、管理用特権処理部２０２のプロセス間通信部２０３は、ＯＳの機能を使用して、設定情報の送信元であるアプリケーション・プログラムのＵＩＤを取得する（Ｓ７０１）。
【００６２】
次に、プロセス間通信部２０３は、取得したＵＩＤに基づいてアプリケーション管理情報２０８を探索し、同じＵＩＤが現れる行の共有名４０２を取得する（Ｓ７０２）。なお、Ｓ７０２で一致するＵＩＤ４０３が複数行見つかったとしても、ＵＩＤの割り振りルールより、ＵＩＤ４０３が同一であれば共有名４０２も同一である。従って、Ｓ７０２で取得される共有名４０２は一つに限定される。
【００６３】
次に、プロセス間通信部２０３は、ＵＩＤの取得に成功したか否かを判定する（Ｓ７０３）。一致する行がＳ７０２で見つからなかった場合、プロセス間通信部２０３は、認証失敗として処理を終了する。これに対し、共有名４０２がＳ７０２で取得できた場合、プロセス間通信部２０３は、Ｓ７０２で取得した共有名４０２が認証アプリケーション名２０５と一致するか比較する（Ｓ７０４）。
【００６４】
一致しない場合、プロセス間通信部２０３は認証失敗として処理を終了し、一致した場合、プロセス間通信部２０３は認証成功として処理を終了する。
【００６５】
［実施例１のまとめ］
以上説明したように、本実施例に係る携帯型情報端末１０１は、アプリケーション・プログラムが固有情報として有する共有名と、署名情報の作成に使用した鍵の情報が同一の場合には同じＵＩＤを割り当て、インストールされるアプリケーション・プログラムを管理する。また、特権を有する管理用特権処理部２０２は、当該処理部に対する設定情報の送信元アプリケーション・プログラムが有しているＵＩＤと共有名とに基づいて認証する。
【００６６】
前述したように、セキュリティポリシに合致するアプリケーション・プログラムのみが、ＲＯＭ領域で管理される管理用非特権処理部２０１０の署名情報２０１５の作成に使用した鍵と同じ鍵を使用して作成された署名情報２０２３を持つことができ、かつ、認証アプリケーション名と同じ共有名を使用できる。
【００６７】
しかも、記憶部２０７のアプリケーション管理情報２０８は、ＯＳが管理しており、アプリケーション・プログラムが改ざんすることはできない。
【００６８】
従って、認証時には、まず、特権を有する管理用特権処理部２０２に設定情報の実行を要求するアプリケーション・プログラムからＵＩＤを取得し、当該ＵＩＤに対して事前に登録されている共有名と認証アプリケーション名２０５とを照合するという手順を踏むことにより、悪意のアプリケーション・プログラムによる設定が管理用特権処理部２０２において実行される事態を確実に回避することができる。
【００６９】
すなわち、ＵＩＤを外部から指定することができない携帯型情報端末１０１においても、情報管理者の意図するセキュリティポリシを徹底することができる。
【００７０】
［実施例２］
続いて、実施例２に係る携帯型情報端末８０１を説明する。図８に、本実施例に係る携帯型情報端末８０１の機能ブロック構成を示す。なお、図８には、図２との対応部分に同一符号を付して示す。携帯型情報端末８０１は、管理用特権処理部２０２と、ネットワーク接続部２０６と、第１の管理用非特権処理部８０１０と、第２の管理用非特権処理部８ ０２０と、記憶部２０７とから構成されている。
【００７１】
この実施例の場合も、管理用特権処理部２０２と第１の管理用非特権処理部８０１０は、携帯型情報端末１０１のＲＯＭ領域（図示せず）に格納されており、その処理内容を携帯型情報端末１０１の利用者が自由に変更できないものとする。なお、第１の管理用非特権処理部８０１０には、プロセス間通信部、メッセージ送信部、管理データ受信部が含まれていない。すなわち、第１の管理用非特権処理部８０１０は、他のアプリケーションとの間で情報を伝送することができない点で実施例１と異なっている。
【００７２】
図８では、第１の管理用非特権処理部８０１０にデータ処理部８０１１が含まれているが、その処理内容は任意である。データ処理部８０１１は、実体はないダミープログラムでも構わない。このようにアプリケーション間の通信機能を有しない第１の管理用非特権処理部８０１０をＲＯＭ領域に格納する理由の一つは、アプリケーション管理情報２０８に、セキュリティポリシに合致した共有名を事前に登録することにある。すなわち、認証アプリケーション名２０５と同じ共有名が、悪意のアプリケーション・プログラムによって事後的に登録されないようにするためである。
【００７３】
第２の管理用非特権処理部８０２０は、携帯型情報端末１０１の利用者又は情報管理者がインストール可能なアプリケーション・プログラムである。すなわち、第２の管理用非特権処理部８０２０は、携帯型情報端末１０１のＲＡＭ領域にインストールされる。この実施例の場合、第１の管理用非特権処理部８０１０の署名情報８０１３と第２の管理用非特権処理部８０２０の署名情報８０２５の作成には、同じ鍵が用いられているものとする。また、アプリケーション固有情報８０１２とアプリケーション固有情報８０２４の共有名４０２には、同一の文字列が設定されているものとする。この他、第２の管理用非特権処理部８０２０には、プロセス間通信部２０１１、メッセージ送信部２０１２、管理データ受信部２０１３が含まれている。
【００７４】
従って、本実施例の場合には、管理サーバ１０３による設定情報の送信先は、第２の管理用非特権処理部８０２０となり、前述したプロセス間通信部２０１１、メッセージ送信部２０１２、管理データ受信部２０１３を経由して、管理用特権処理部２０２に設定情報が送信される点で実施例１と異なる。なお、認証処理等は実施例１と同様であるため、詳細な説明は省略する。
【００７５】
本実施例のように、ＲＡＭ領域に第２の管理用非特権処理部８０２０をインストールすると、第２の管理用非特権処理部８０２０自体のバージョンアップ等を容易に実行することができるようになる。
【００７６】
［実施例３］
以下、実施例３に係る携帯型情報端末１０１を説明する。実施例１及び２の場合には、設定情報は、管理サーバ１０３から送信される場合を想定した。
【００７７】
しかし、携帯型情報端末１０１の利用者が、特定の設定アプリケーション（管理用非特権処理部２０１０に相当）を操作して、携帯型情報端末１０１の設定を変更する実施方法も想定できる。
【００７８】
この場合、管理データ受信部２０１３は、管理用非特権処理部２０１０が不図示のディスプレイに表示するＧＵＩ（図示せず）を通じて利用者が入力した設定情報を受信する。設定情報受信後のアプリケーション・プログラムの認証手順は、実施例１と同様である。
【００７９】
本実施例の使用方法の場合、企業が予め用意した特定のアプリケーション・プログラムに限り、携帯型情報端末１０１の設定変更を許可するという利用方法が可能になる。
【００８０】
［他の実施例］
上述した実施例は、本発明を説明するために詳細に記述したものであり、本発明は、図中に示す全ての要素を備える構成に限定されない。例えば実施例１〜３の組み合わせなど様々な変形例が含まれる。また、各実施例に対し、不図示の構成を追加、削除又は置換することも可能である。
【符号の説明】
【００８１】
１０１…携帯型情報端末
１０２…ネットワーク
１０３…管理サーバ
２０１…携帯型情報端末
２０２…管理用特権処理部
２０３…プロセス間通信部
２０４…メッセージ受信部
２０５…認証アプリケーション名
２０６…ネットワーク接続部
２０７…記憶部
２０８…アプリケーション管理情報
２０１０…管理用非特権処理部
２０１１…プロセス間通信部
２０１２…メッセージ送信部
２０１３…管理データ受信部
２０１４…アプリケーション固有情報
２０１５…署名情報
２０２０…非特権処理部
２０２１…データ処理部
２０２２…アプリケーション固有情報
２０２３…署名情報
３０１…アプリケーション名
３０２…共有名
３０３…詳細例
４０１…アプリケーション名
４０２…共有名
４０３…ＵＩＤ
４０４…詳細例
４０５…詳細例
４０６…詳細例
５０１…管理サーバ
５０２…管理データ送信部
５０３…ネットワーク接続部
８０１…携帯型情報端末
８０１０…第１の管理用非特権処理部
８０１１…データ処理部
８０１２…アプリケーション固有情報
８０１３…署名情報
８０２０…第２の管理用非特権処理部
８０２４…アプリケーション固有情報
８０２５…署名情報
【図１】
0005841467.tif 000002
【図２】
0005841467.tif 000003
【図３】
0005841467.tif 000004
【図４】
0005841467.tif 000005
【図５】
0005841467.tif 000006
【図６】
0005841467.tif 000007
【図７】
0005841467.tif 000008
【図８】
0005841467.tif 000009