(57)【特許請求の範囲】
【請求項１】
通常のランタイム環境（ＮＺ）及び保護されたランタイム環境（ＴＺ）が実装されるマイクロプロセッサユニットを含む端末のディスプレイデバイス上に情報を表示する方法であって、前記ディスプレイデバイス上で再生されるディスプレイデータ（ＤＤ１、ＤＤ２、ＤＤ２’、ＴＤＤ２）が、前記通常のランタイム環境（ＮＺ）及び前記保護されたランタイム環境（ＴＺ）を介して供され得る法において、
前記通常のランタイム環境（ＮＺ）を介して供されるディスプレイデータ（ＤＤ２）が、前記保護されたランタイム環境（ＴＺ）に少なくとも部分的に移動されるステップであって、
前記保護されたランタイム環境（ＴＺ）は、前記移動されたディスプレイデータ（ＤＤ２）が、一つ以上のセキュリティ基準を満たすか否かをチェックし、前記ディスプレイデータ（ＤＤ２）が少なくとも一つのセキュリティ基準を満たさない場合、それらは拒否されるか、又は前記ディスプレイデバイス上で続いて再生される間、前記保護されたランタイム環境（ＴＺ）を介して供されるディスプレイデータ（ＴＤＤ２）から区別されることができるように変更し、前記一つ以上のセキュリティ基準は、前記移動されたディスプレイデータ（ＤＤ２）が、前記ディスプレイデバイス上で再生される間、前記保護されたランタイム環境（ＴＺ）を介して供されるディスプレイデータから区別可能であるという基準を含むステップであることを特徴とする方法。
【請求項２】
前記ディスプレイデバイスが、第一のディスプレイエレメント（Ｄ１）及び第二のディスプレイエレメント（Ｄ２）を含み、
前記第一のディスプレイエレメント（Ｄ１）は、前記通常のランタイム環境（ＮＺ）によって供されるディスプレイデータ（ＤＤ１）を排他的に再生するために使用され、
前記第二のディスプレイエレメント（Ｄ２）は、
前記保護されたランタイム環境（ＴＺ）によって供されるディスプレイデータ（ＴＤＤ２）と、
前記保護されたランタイム環境（ＴＺ）に前もって移動され、一つ以上のセキュリティ基準についてのチェックを受ける、前記通常のランタイム環境（ＮＺ）によって供されるディスプレイデータ（ＤＤ２、ＤＤ２’）と
を再生するために使用されることを特徴とする、請求項１に記載の方法。
【請求項３】
前記第一及び第二のディスプレイエレメント（Ｄ１、Ｄ２）が、二つの別個に駆動されるディスプレイであることを特徴とする、請求項２に記載の方法。
【請求項４】
前記第一及び第二のディスプレイエレメント（Ｄ１、Ｄ２）が、単一ディスプレイ上の二つのディスプレイ領域であることを特徴とする、請求項２に記載の方法。
【請求項５】
前記保護されたランタイム環境（ＴＺ）が、ＡＲＭ（登録商標）ＴｒｕｓｔＺｏｎｅ（登録商標）であることを特徴とする、請求項１ないし４のいずれか一つに記載の方法。
【請求項６】
前記端末が、携帯電話であり、
前記携帯電話のオペレーティングシステムが、前記通常のランタイム環境（ＮＺ）上で動くことを特徴とする、請求項１ないし５のいずれか一つに記載の方法。
【請求項７】
少なくとも一つのセキュリティ基準が満たされない場合、前記保護されたランタイム環境（ＴＺ）が、前記移動されたディスプレイデータ（ＤＤ２）を、これに警告メッセージを加えるように変更することを特徴とする、請求項１ないし６のいずれか一つに記載の方法。
【請求項８】
少なくとも一つのセキュリティ基準が満たされない場合、前記保護されたランタイム環境（ＴＺ）が、前記移動されたディスプレイデータ（ＤＤ２）を、これが含み、前記ディスプレイデバイス上で再生されるディスプレイデータが前記保護されたランタイム環境（ＴＺ）を介して供されているとユーザが認識することを可能にする、一つ以上のあらかじめ定められたグラフィックエレメントが、前記移動されたディスプレイデータ（ＤＤ２）から修正又は除去されるように変更することを特徴とする、請求項１ないし７のいずれか一つに記載の方法。
【請求項９】
前記保護されたランタイム環境（ＴＺ）が、前記ディスプレイデバイス上で再生されるディスプレイデータが前記保護されたランタイム環境（ＴＺ）によって供されているとユーザが認識することを可能にする、一つ以上のあらかじめ定められたグラフィックエレメントであって、前記移動されたディスプレイデータ（ＤＤ２）がこれを含む場合は、少なくとも一つのセキュリティ基準が満たされないこととなるグラフィックエレメントを、前記移動されたディスプレイデータ（ＤＤ２）が含むか否かを判定するために、前記移動されたディスプレイデータ（ＤＤ２）をグラフィックな方法で解析することを特徴とする、請求項１ないし８のいずれか一つに記載の方法。
【請求項１０】
前記グラフィックエレメントが、あらかじめ定められたフレーム及び／又は一つ以上の動画画像エレメント及び／又はキャプションを含むことを特徴とする、請求項８および９のいずれか一つに記載の方法。
【請求項１１】
前記保護されたランタイム環境（ＴＺ）による一つ以上のセキュリティ基準についての前記チェックが、暗号チェックを含むことを特徴とする、請求項１ないし１０のいずれか一つに記載の方法。
【請求項１２】
前記移動されたディスプレイデータ（ＤＤ２）中の一つ以上のグラフィックエレメントに対して、前記暗号チェックが行われることを特徴とする、請求項１１に記載の方法。
【請求項１３】
通常のランタイム環境（ＮＺ）及び保護されたランタイム環境（ＴＺ）が実装されるマイクロプロセッサユニットと、ディスプレイデバイス（Ｄ１、Ｄ２）とを含む端末であって、前記ディスプレイデバイス上で再生されるディスプレイデータ（ＤＤ１、ＤＤ２、ＤＤ２’、ＴＤＤ２）が、前記通常のランタイム環境（ＮＺ）及び前記保護されたランタイム環境（ＴＺ）を介して供され得る端末において、
前記通常のランタイム環境を介して供されたディスプレイデータ（ＤＤ２）が、前記保護されたランタイム環境（ＴＺ）に少なくとも部分的に移動されるよう設計された端末であって、
前記保護されたランタイム環境（ＴＺ）は、前記移動されたディスプレイデータ（ＤＤ２）が一つ以上のセキュリティ基準を満たすか否かがチェックし、前記ディスプレイデータ（ＤＤ２）が一つ以上のセキュリティ基準を満たさない場合、それらは拒否されるか、又は、前記ディスプレイデバイス上で続いて再生される間、前記保護されたランタイム環境（ＴＺ）を介して供されるディスプレイデータ（ＴＤＤ２）から区別されることができるように変更し、前記一つ以上のセキュリティ基準は、前記移動されたディスプレイデータ（ＤＤ２）が、前記ディスプレイデバイス上で再生される間、前記保護されたランタイム環境（ＴＺ）を介して供されるディスプレイデータから区別可能であるという基準を含む端末であることを特徴とする、端末。
【請求項１４】
前記端末が、請求項２ないし１２のいずれか一つに記載の方法を遂行するために使用できるように設計される、請求項１３に記載の端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末、特に、携帯端末のディスプレイデバイス上に情報を表示する方法、及び適切な端末に関する。
【背景技術】
【０００２】
従来技術は、端末のマイクロプロセッサユニットにおいて、通常の、分離されて保護されていないランタイム環境のみならず、通常のランタイム環境から隔離されていて、そしてセキュリティが重要なアプリケーションを実行するために使用される、保護されたランタイム環境の実現の実務を開示している。そのような保護されたランタイム環境の例は従来技術から知られているＡＲＭ（登録商標）ＴｒｕｓｔＺｏｎｅ（登録商標）である。この場合、このＴｒｕｓｔＺｏｎｅは、その内部で動作する、同様に知られたＭｏｂｉＣｏｒｅ（登録商標）オペレーティグシステムのような、別個のオペレーティグシステムを有する。
【０００３】
保護されたランタイム環境において、ユーザが適切なアプリケーションとやりとりをするために、例えば、ＴｒｕｓｔＺｏｎｅからのアプリケーションのためのユーザーインターフェイスとして供されることが可能である、別個のディスプレイ又は別個のディスプレイ領域を備えた、端末において供されるディスプレイデバイスが通常使用される。この場合、通常のランタイム環境と平行した保護されたランタイム環境の使用に伴う一つの問題は、ユーザに、自らが現在、保護されたランタイム環境からの信頼できるアプリケーションとやりとりをしているという事実の表示が、−可能な限り、改ざんから保護されるような方法で−どのようにして供されるかである。特に、この場合の目的は、通常のランタイム環境から改ざんされたアプリケーションを使用して、ユーザを、自らが保護されたランタイム環境とやりとりをしていると信じるよう誘導しようとする攻撃を防ぐことである。この場合、不正な第三者によって、適切な入力要求が、パスワード、ＰＩＮなどのようなユーザに関するデータを抜き取るために、使用され得る。
【０００４】
従来技術は、複数のディスプレイエレメントを端末に装備する実務を開示している。特許文献１には、二つの別個に駆動され得るディスプレイエレメントを有する端末が記載されていて、ディスプレイエレメントの一つはセキュリティエレメントに接続されている。このディスプレイエレメントは信頼できる情報を再生するために使用される。特許文献２は、端末用の多層ディスプレイを開示しており、本多層ディスプレイは幾つかの情報を重ね合わせるために使用される。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】ドイツ特許公開公報  第１０  ２００９  ０２２  ２２２号公報
【特許文献２】ドイツ実用新案公報  第６０  ２００４  ００７  １５２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明の目的は、情報が信頼できるか否かの表示が、−改ざんから保護されるような方法で−ユーザに供されるように、端末のディスプレイデバイス上に情報を再生することである。
【課題を解決するための手段】
【０００７】
この目的は、請求項１に記載の方法、及び請求項１４に記載の端末によって達成される。本発明の展開は従属請求項において定義される。
【０００８】
本発明の方法（inventive method）は、端末、特に、携帯電話、ＰＤＡなどの携帯端末のディスプレイデバイス上に情報を表示するために使用される。端末は、その中で通常のランタイム環境及び保護されたランタイム環境が実現されるマイクロプロセッサユニットを含み、ここで、ディスプレイデバイス上で再生するためのディスプレイデータは、通常のランタイム環境及び保護されたランタイム環境を介して供することができる。
【０００９】
本発明の方法は、通常のランタイム環境を介して供されるディスプレイデータが、少なくとも部分的に、保護されたランタイム環境に移動され、そこで、移動されたディスプレイデータが一つ又はそれ以上のセキュリティ基準を満たすか否かをチェックするという点で、特有のものである。セキュリティ基準は任意の設計のものであり得る。それらは、セキュリティ基準が満たされるとき、ユーザがディスプレイデータを、権限なく改ざんされたものではないとして、信頼することが可能であることを必要とするに過ぎない。ディスプレイデータが少なくとも一つのセキュリティ基準を満たさない場合、本発明の一つの変形によれば、ディスプレイデータは拒否される、つまりディスプレイデバイス上に全くディスプレイされないことになる。同様に、ユーザが、保護されたランタイム環境を介して供されるディスプレイデータから、その後のディスプレイデバイス上での再生中に、それらを区別することができるように、ディスプレイデータを変更することも可能である。これによって、改ざんされたアプリケーションの場合でさえ、アプリケーションが通常の又は保護されたランタイム環境において実行されているか否かをユーザが認識できるようにさせることが保証される。
【００１０】
本発明の方法は、ディスプレイデバイスが保護されたランタイム環境及び通常のランタイム環境の両方によって使用できて、適切なセキュリティ基準に関するチェックによって、権限なく改ざんされているアプリケーションが認識できることが同時に保証されているという有利な点を有する。一つの好ましい実施形態において、保護されたランタイム環境に移動されたディスプレイデータは、それらが一つ又は複数のセキュリティ基準（つまり、全てのセキュリティ基準）を満たす場合、変更なしで、ディスプレイデバイス上で再生される。
【００１１】
一つの特に好ましい実施形態において、上述の一つ又は複数のセキュリティ基準は、移動されたディスプレイデータが、ディスプレイデバイス上での該ディスプレイデータの再生中に、保護されたランタイム環境を介して供されるディスプレイデータから区別され得るという基準を含む。即ち、データが区別可能ならば、このセキュリティ基準は満たされる。本発明のこの変形において、情報の信頼性の欠如は、通常のランタイム環境からのディスプレイデータに基づいた保護されたランタイム環境の偽装に直接、結び付けられる。
【００１２】
一つの特に好ましい実施形態において、本発明の方法は、第一のディスプレイエレメント及び第二のディスプレイエレメントを含むディスプレイデバイスを有する端末において使用される。この場合、第一のディスプレイエレメントは、通常のランタイム環境によって供されるディスプレイデータのみをもっぱら再生するために使用される。通常、第一のディスプレイエレメントは、この場合、第二のディスプレイエレメントよりもより大きい。対照的に、第二のディスプレイエレメントは、本発明においては、保護されたランタイム環境によって供されるディスプレイデータ及び通常のランタイム環境によって供されるディスプレイデータの両方を再生するために使用される。この場合、第二のディスプレイエレメント上での再生を目的で供される、通常のランタイム環境によって供されるディスプレイデータは、保護されたランタイム環境に移動され、セキュリティ基準について本発明のチェックを受ける。このように、保護されたランタイム環境によってのみ、通常、使用される（第二の）ディスプレイエレメントが、誤用を防ぐ上述のセキュリティ基準に関するチェックによって、通常のランタイム環境からのアプリケーションのためにも使用されることが可能である。
【００１３】
第一及び第二のディスプレイエレメントは、ことによると二つの別個に駆動されるディスプレイであるかもしれない。同様に、第一及び第二のディスプレイエレメントが単一ディスプレイ上の二つのディスプレイ領域であるという選択もあり得る。
【００１４】
本発明の一つの特に好ましい実施形態において、使用される保護されたランタイム環境は、よく知られたＡＲＭ（登録商標）ＴｒｕｓｔＺｏｎｅ（登録商標）であり、その上では、好ましくは、同様に知られているＭｏｂｉＣｏｒｅ（登録商標）オペレーティングシステムが動く。本発明の更なる変形において、端末は携帯電話であり、そして携帯電話のオペレーティングシステムは通常のランタイム環境上で動く。特に、携帯電話は、拡大された機能範囲を備えたオペレーティングシステム（リッチＯＳとも呼ばれる）を使用するスマートフォンとして知られているものである。
【００１５】
本発明の方法によって、保護されたランタイム環境に移動されたディスプレイデータが、少なくとも一つのセキュリティ基準が満たされない場合に変更されるとき、この変更は種々の方法でされることが可能で、それは、ディスプレイデータが保護されたランタイム環境を介して供されているものではないことをユーザが認識できることを保証することが必要であるに過ぎない。これは、例えば、警告メッセージをディスプレイデータに追加することによって達成できる。この警告メッセージは、ディスプレイデータが、そうでないにもかかわらず、それらが保護されたランタイム環境によって供されていると人に信じこませようとしていることをユーザに指摘する。保護されたランタイム環境に移動されたディスプレイデータを変更する更なる方法によって、移動されたディスプレイデータが含み、そして、ディスプレイデバイス上で再生されたディスプレイデータが、保護されたランタイム環境によって供されていることをユーザが認識することを可能にする、一つ又はそれ以上の前もって定められたグラフィックエレメントが、ディスプレイデータから修正され又は除かれる。
【００１６】
更なる、特に好ましい実施形態において、上述のセキュリティ基準が、ディスプレイデータのグラフィック解析に基づいてチェックされる。この場合、保護されたランタイム環境は、移動されたディスプレイデータを、ディスプレイデバイス上で再生されたディスプレイデータが保護されたランタイム環境によって供されていることをユーザが認識することを可能にする一つ又はそれ以上の前もって定められたグラフィックエレメントをそれらが含むか否かを定めるために解析するが、ここでは、ディスプレイデータが前もって定められたグラフィックエレメントを含む場合、少なくとも一つのセキュリティ基準が満たされない。
【００１７】
ディスプレイデータから修正され若しくは除かれる、又はグラフィック解析の一部として処理される、上述のグラフィックエレメントは任意のデザインのものであり得る。例として、それらは前もって定めされたフレーム、特に、前もって定められた色（例えば、赤）であり得る。同様に、グラフィックエレメントは、一つ又はそれ以上の動画画像エレメント及び／又はキャプション「TrustZone active」などのキャプションを含み得る。
【００１８】
保護されたランタイム環境によって行われるセキュリティ基準に関するチェックは、暗号チェックも含み得る。この場合、暗号チェックの用語は広義に理解されることができる。特に、暗号チェックは、保護されたランタイム環境に移動されたディスプレイデータが含む、一つ又はそれ以上のデジタル署名に関するチェックも含む。この場合、署名チェックは、一つ又は複数の署名が有効であり、及び／又は信頼できる場合、関連するセキュリティ基準が満たされるように設計され得る。特に、暗号チェックが、移動されたディスプレイデータ中の一つ又はそれ以上のグラフィックエレメントに関するチェックを必然的に含むような選択がある。好ましくは、これは各々ディスプレイデータ中のグラフィックエレメントに関連付けられている一つ又はそれ以上のデジタル署名についてのチェックを必要とする。この場合、チェックは、署名が有効である及び／又は信頼できるとして分類される場合、セキュリティ基準が満たされるように、再び設計することができる。
【００１９】
上述の方法の他に、本発明は端末、特に、携帯端末にも関する。この端末は、そこで通常のランタイム環境及び保護されたランタイム環境が実現されるマイクロプロセッサユニットと、また、ディスプレイデバイスとをも含み、ここで、ディスプレイデバイス上で再生するためのディスプレイデータが、通常のランタイム環境及び保護されたランタイム環境を介して供されることができる。この場合、端末は、通常のランタイム環境を介して供されるディスプレイデータが、少なくとも部分的に保護されたランタイム環境に移動され、それは、移動されたディスプレイデータが一つ又はそれ以上のセキュリティ基準を満たすか否かをチェックし、ここで、ディスプレイデータが一つ又は複数のセキュリティ基準を満たさない場合、それらは拒否されるか、又は、ディスプレイデバイス上での後の再生中に、ユーザが、それらを、保護されたランタイム環境を介して供されるディスプレイデータと区別することができるように変更されるよう、設計される。この場合、本発明の端末は、好ましくは、上述の本発明の方法の一つ又はそれ以上の変形を実行するために端末を使用することができるように設計される。
【図面の簡単な説明】
【００２０】
【図１】本発明の方法の実施形態に対するシーケンスの模式的説明図。
【発明を実施するための形態】
【００２１】
本発明の例示的実施形態が、添付の図１を参照して以下に詳細に述べられる。この図は、本発明の方法の実施形態に対するシーケンスの模式的説明を示す。
【００２２】
以下の文章は、二つのディスプレイエレメント又はディスプレイの形態のディスプレイデバイスを備えた携帯電話の形態の端末に基づく、本発明の方法の例示的実施形態を述べる。それらのディスプレイ及びハードウエアは、図１においてＤ１及びＤ２によって模式的に表示される。携帯電話中に装備されるマイクロコントローラは、通常のランタイム環境ＮＺ、及び、そこで実施されるＡＲＭ（登録商標）ＴｒｕｓｔＺｏｎｅ（登録商標）として知られている形態での保護されたランタイム環境ＴＺを有する。本明細書において述べられた実施形態において、従来技術から知られており、図１においてＭＣと表されている、ＭｏｂｉＣｏｒｅ（登録商標）オペレーティングシステムがＴｒｕｓｔＺｏｎｅ上で動く。対照的に、通常のランタイム環境は、従来の携帯電話オペレーティングシステムＯＳを含む。携帯電話がスマートフォンである場合、オペレーティングシステムは、広汎な範囲の機能を備えたリッチＯＳとして知られたものである。例えば、支払取引又は銀行アプリケーション又は個人的なユーザ固有のデータを処理する他のアプリケーションを行うなど、セキュリティが重要なアプリケーションを、携帯電話を用いて実行するために、ＴｒｕｓｔＺｏｎｅ  ＴＺが使用される。この場合、保護されたランタイム環境は、通常のランタイム環境から隔離され、セキュリティが重要なプロセスをカプセル化し、それによって、不正な第三者からの攻撃に対する効率的な保護が達成される。ＴｒｕｓｔＺｏｎｅ  ＴＺ内で動いているセキュリティが重要なアプリケーションはＴｒｕｓｔｌｅｔと呼ばれ、Ｔｒｕｓｔｌｅｔ  ＴＲＡ及びＴＲＢが、図１において、例として再生されている。対照的に、図１においてＡＰ１及びＡＰ２によって表される従来のアプリケーションが、例として、通常のランタイム環境ＮＺ中で動いている。
【００２３】
Ｔｒｕｓｔｌｅｔがユーザと相互作用することを可能にするために、携帯電話中のディスプレイＤ２が使用され、そこからユーザはＴｒｕｓｔｌｅｔからの適切な出力を読み取ることができ、その上で該ユーザはキーパッドを用いて入力することもできる。この場合、ユーザには、現在動いているアプリケーションが保護されたランタイム環境に由来するという事実のグラフィック表示が供され、これは本明細書において述べられた実施形態において、ディスプレイ上で再生され、そして特に、赤などの特定の色で提示されるフレームによって達成される。現在、自分がＴｒｕｓｔＺｏｎｅ中のアプリケーションとやりとりをしていることを、ディスプレイＤ２によってグラフィックな方法でユーザに指摘するための他のオプションもあり得る。特に、動画アイコンなどの、特定の画像又はアイコンがＴｒｕｓｔｌｅｔのために使用されることが可能であり、又はディスプレイ表示がＴｒｕｓｔＺｏｎｅ中のアプリケーションに関連することを指摘するキャプションを再生するために、ディスプレイを使用することができる。例えば、これは、「TrustZone active」又は「protected display」のようなキャプションによって達成できる。
【００２４】
ＴｒｕｓｔＺｏｎｅ中のＴｒｕｓｔｌｅｔは、より小さい容量のデータを、通常は、処理し表示するために使用されるので、通常は、ディスプレイＤ２はディスプレイＤ１よりはるかにより小さい。ここで、本発明は、より小さいディスプレイＤ２も、通常のランタイム環境ＮＺからのアプリケーションによるやりとりのために使用されるという選択肢を供する。例えば、ディスプレイＤ２は、ショートメッセージなどの、短いステータスメッセージ、又は他の短い情報を再生するアプリケーションによって使用されることができる。更なる例は、ＭＰ３プレーヤーソフトウエアのディスプレイ、新しいｅメール又はＳＭＳが受信されたことのディスプレイなどである。この場合、これらの小さい容量の情報を再生するために、大きなディスプレイＤ１が操作状態に保持される必要はもはやない。これにより、携帯電話については、低電力消費、したがって長い電池寿命がもたらされる。
【００２５】
ディスプレイＤ２上で再生される関連アプリケーションがＴｒｕｓｔＺｏｎｅに由来するものではないことをユーザに知らせるために、（上述の赤枠などの）ディスプレイ上でＴｒｕｓｔｌｅｔの使用を示す適切なマーカー又はグラフィックエレメントが、通常のランタイム環境ＮＺ中のアプリケーションでは省略される。しかしながら、この場合、改ざんされたアプリケーションを用いた、通常のランタイム環境を介した、ディスプレイＤ２へのアクセスによって、そうではないにもかかわらず、アプリケーションがＴｒｕｓｔＺｏｎｅにおいて動いていると人が信じこませられ得るという問題がある。改ざんされたアプリケーションは、自身が、Ｔｒｕｓｔｌｅｔと安全にやりとりをしていると考えているユーザに、パスワード又はＰＩＮなどの個人情報を入力すること求めることができ、そして、改ざんされたアプリケーションによって抜き取られる。この種類の攻撃に対抗するために、本発明によって、以下に更に詳細に説明される通り、ディスプレイＤ２上で再生されることが意図された、通常のランタイム環境からのディスプレイデータに対するチェックが、ＴｒｕｓｔＺｏｎｅ  ＴＺ内で行われる。
【００２６】
図１におけるシナリオにおいて、通常のランタイム環境ＮＺ中のアプリケーションＡＰ１は、より大きいディスプレイＤ１と相互作用する。この目的のために、適切なレンダリングコマンド（render command）ＲＣが、ディスプレイＤ１を担当するディスプレイレンダラＤＲ１に送られ、このディスプレイレンダラは、コマンドを、ディスプレイＤ１上で表示されるピクセルベースのディスプレイデータＤＤ１に変換する。同様に、別個の信頼できるディスプレイレンダラＴＤＲ２は、ＴｒｕｓｔＺｏｎｅ  ＴＺにおいてＴｒｕｓｔｌｅｔ  ＴＲＡ及びＴＲＢからディスプレイデータを再生するために使用される。Ｔｒｕｓｔｌｅｔ  ＴＲＡ及びＴＲＢからの適切なレンダリングコマンドＲＣは、このレンダラによってピクセルベースのディスプレイデータに変換され、そしてディスプレイＤ２上で再生される。この場合、レンダラＴＤＲ２は、ディスプレイデータがＴｒｕｓｔＺｏｎｅに由来することを認識するために使用できる適切なエレメント（例えば、上述の赤枠）を加える。アプリケーションＡＰ２は、生み出されたディスプレイデータが、より小さいディスプレイＤ２上で再生されることを意図されている点においてアプリケーションＡＰ１から区別される。この目的のために、レンダリングコマンドをアプリケーションＡＰ２から、ディスプレイＤ２のために意図されるピクセルベースのディスプレイデータＤＤ２に変換する適切なディスプレイレンダラＤＲ２が使用される。
【００２７】
ディスプレイデータＤＤ２を使用してアクティブなＴｒｕｓｔＺｏｎｅを偽装する前述の改ざんされたアプリケーションから保護するために、ディスプレイデータＤＤ２は、ＭｏｂｉＣｏｒｅオペレーティングシステムＭＣ内のアルゴリズムＣＨに移動され、アルゴリズムがこれらのデータをチェックする。この目的のために、ＭｏｂｉＣｏｒｅオペレーティングシステムは、アクティブなＴｒｕｓｔＺｏｎｅがディスプレイＤ２上に表示される方法を知っている。これは、例えば、上で既に述べた、ディスプレイＤ２中の赤枠によって達成できる。この場合、アルゴリズムＣＨは、表示される情報の周囲に赤枠があるか否かを決定するために、ディスプレイＤ２上の表示が意図されたディスプレイデータＤＤ２をグラフィックな方法でチェックする。そのようなチェックは画像認識における複雑なアルゴリズムを必要とせず、従って限られたリソースを備えた携帯電話上で容易に実施することができる。
【００２８】
アルゴリズムＣＨが、ディスプレイデータＤＤ２が赤枠又は類似の表示を含むとここで認識すると、表示前に少なくとも部分的にこのフレームがピクセルデータＤＤ２から除かれるか、又はディスプレイＤ２のユーザが、それをＴｒｕｓｔＺｏｎｅの赤枠と混同するいかなるリスクも、もはやなくなるように変更される。例えば、これは、ディスプレイＤ２の周辺領域における赤の割合を減らし、フレームがもはや赤色で現れないようにすることによって達成できる。このように、携帯電話のユーザは、アプリケーションがＴｒｕｓｔＺｏｎｅにおいて動いていないことを知らされ、その結果、ユーザは、そのようなデータを要求された場合でさえ、そのアプリケーションとの相互作用中に、いかなる個人データも、好ましくは、入力すべきでないことを知る。それに応じて変更されそしてディスプレイＤ２上に表示されるピクセルデータは、この例では、図１においてＤＤ２’によって表される。セキュリティを更に増すために、アルゴリズムＣＨは、ピクセルデータを完全に拒絶することもおそらくでき、及び／又はディスプレイＤ２に攻撃の可能性の警告を示すこともでき、その結果、好ましくは、このアプリケーションを使用中に、いかなる個人データも入力すべきでないことがユーザに明示的に指摘される。
【００２９】
赤枠を用いてアクティブなＴｒｕｓｔＺｏｎｅを示す代わりに、これは、既に上で述べられた通り、静的な又は動画の画像を使用することによっても達成できる。携帯電話上の今日のオペレーティングシステムにおいて、使用される画像又は動画はアイコンとして保存され、ウィンドウの内容が描画される（render）（すなわち、描かれる）まで、適切なグラフイックメモリにコピーされない。アイコンは通常、アプリケーションの実行時ではなくて、むしろ関連するアプリケーションのための実際のソフトウエアの開発又はソフトウエアの書き込みの間に作成される。ここで、動画アイコンによって、アクティブなＴｒｕｓｔＺｏｎｅが指し示されると、関連するディスプレイデータＤＤ２がＴｒｕｓｔＺｏｎｅを偽装するためにそのようなアイコンを含むか否かについてのグラフィックチェックは、上述の赤枠などの、より単純なエレメントの場合より、もっとより困難である。特に、これは、ヒトの目に対する類似性を決定するために、ＴｒｕｓｔＺｏｎｅの側で複雑な解析アルゴリズムを必要とする。
【００３０】
一つの修正された実施形態においては、アイコンについてのグラフィックチェックは、従って、署名チェックによって置き換えられる。この場合、通常のランタイム環境からＴｒｕｓｔＺｏｎｅに移動されたアイコンは、当該アプリケーションのためのソフトウエアの実際の開発中に導入されているデジタル署名を有する。もし、ディスプレイデータＤＤ２内のアイコンがそのようなデジタル署名を有するならば、この署名のみが、アイコンがディスプレイＤ２上に表示される前にＴｒｕｓｔＺｏｎｅによってチェックされる。そして、個々のアイコンの署名が有効又は信頼できると認識されると、この場合アプリケーションが信頼できると分類されるので、アイコンを含むディスプレイデータは変更なしで再生される。デジタル署名が、できるだけまれにしかチェックされる必要がないように、ＴｒｕｓｔＺｏｎｅは、アイコン自身、又は、ＴｒｕｓｔＺｏｎｅ自身が計算していたアイコンのためのハッシュ値を、キャッシュに保存することができる。一つ又はそれ以上のアイコンがデジタル署名を有しない場合、ディスプレイデータはディスプレイＤ２上に全く表示できないか、又はそれらがアクティブなＴｒｕｓｔＺｏｎｅを偽装すると推定されるアイコンであるか否かを決定するために、アイコンについてのグラフィックチェックが引き続いて行われる。その場合、アイコンはディスプレイデータから除かれるか、又は警告メッセージが出力され、その結果、ユーザは、アプリケーションが保護されたランタイム環境において動いていないことを知らされる。
【００３１】
図１を参照して述べられてきた本発明の実施形態は、二つの別個に駆動されるディスプレイＤ１及びＤ２に基づいて説明されてきた。しかしながら、本発明は、ディスプレイＤ２が、より大きなディスプレイＤ１と一緒に使用される端末にも、適用できる。つまり、二つのディスプレイは、共通の大きなディスプレイ内の二つのディスプレイ領域であるといえる。この場合、適切なドライバを備えた通常のランタイム環境内のオペレーティングシステムＯＳは、表示されるべきデータを描画することを担う。そして、個々のアプリケーションの観点では、単一ディスプレイのみがあることになる。
【００３２】
上で述べられてきた本発明の実施形態は一連の有利な点を有する。特に、保護されていない通常のランタイム環境からのアプリケーションからのディスプレイデータも、保護されたランタイム環境のために本来供されるディスプレイ領域内で再生できる。これによって、ユーザは、現在使用されているアプリケーションがＴｒｕｓｔＺｏｎｅ上で動いているか、または信頼できるかを安全にかつ容易に認識できることが保証される。通常のランタイム環境からのアプリケーションによるアクティブなＴｒｕｓｔＺｏｎｅの偽装は、ディスプレイデータに関するグラフィックチェックによって、又はことによると署名についてのチェックによっても達成される。本発明によれば、現在、ＴｒｕｓｔＺｏｎｅがアクティブであることを端末上に表示するのに、ＬＥＤなどのような追加のエレメントは全く必要とされない。
【符号の説明】
【００３３】
ＮＺ  通常のランタイム環境
ＴＺ  保護されたランタイム環境
ＡＰ１、ＡＰ２  通常のランタイム環境におけるアプリケーション
ＴＲＡ、ＴＲＢ  Ｔｒｕｓｔｌｅｔ
ＲＣ  レンダリングコマンド
ＤＲ１、ＤＲ２、ＴＤＲ２  ディスプレイレンダラ
ＣＨ  チェックアルゴリズム
ＤＤ１、ＤＤ２、ＤＤ２’、ＴＤＤ２  ディスプレイデータ
ＯＳ  通常のランタイム環境におけるオペレーティングシステム
ＭＣ  ＭｏｂｉＣｏｒｅオペレーティングシステム
Ｄ１、Ｄ２  ディスプレイ
【図１】
0005864723.tif 000002