(57)【要約】  デバイスの実行可能プログラムの各々に個別のユーザ・アイデンティティを提供することにより、プロセス権限ベースのセキュリティモデルをエミュレートする能力を備えた、ユーザ承認に基づくセキュリティモデルを有するコンピュータデバイスが提供される。【特許請求の範囲】
【請求項１】
ユーザ承認に基づくセキュリティモデルを有するコンピュータデバイスを動作させる方法であって、該方法は、
前記コンピュータデバイスの実行可能プログラムの各々に個別のユーザ・アイデンティティを提供することにより、前記コンピュータデバイスによる権限ベースのセキュリティモデルのエミュレートを可能にするステップを含むことを特徴とする方法。
【請求項２】
実行可能プログラムに付与されるユーザ・アイデンティティは、
ａ．連続した次の空きアイデンティティの使用を含むがそれに限定されない手段により、インストール時に決定されるか、
または
ｂ．インストールされるプログラムパッケージ内へのアイデンティティの内包を含むがそれに限定されない手段により、インストール前に決定されるか、
の何れかであることを特徴とする請求項１に記載の方法。
【請求項３】
ユーザ・アイデンティティの各々は当該ユーザ・アイデンティティに予約されたプライベート・ファイル記憶領域にアクセスする能力を付与することを特徴とする請求項１または２に記載の方法。
【請求項４】
複数のユーザ・アイデンティティは、相互に排他的でなくともよい複数のグループ・アイデンティティに集約され、任意のグループのメンバシップは、当該グループのメンバでないユーザ・アイデンティティに与えられていないシステムリソースにアクセスする能力を付与することを特徴とする請求項１乃至３の何れか一項に記載の方法。
【請求項５】
前記コンピュータデバイスはＵｎｉｘ（登録商標）オペレーティング・システムまたは関連するオペレーティング・システムを含み、実行可能プログラムのｓｅｔｕｉｄビットおよびｓｅｔｇｉｄビットは、当該プログラムのユーザ・アイデンティティおよびグループ・アイデンティティにプロセスを適合可能とするために使用されることを特徴とする請求項１乃至４の何れか一項に記載の方法。
【請求項６】
請求項１乃至５の何れか一項に記載の方法に従って動作するよう構成されたコンピュータデバイス。
【請求項７】
コンピュータデバイスを、請求項１乃至５の何れか一項に記載の方法に従って動作させるオペレーティング・システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータデバイスにおけるユーザベースの保護環境内でのプロセスベースの保護システムの実装に関するものであり、特に、ユーザ権限に基づく保護モデルを使用するＵｎｉｘ（登録商標）およびその派生物のようなマルチユーザ・オペレーティングシステムを実行するシングルユーザ・コンピュータデバイスが利用可能なセキュリティを改善する方法に関するものである。
【背景技術】
【０００２】
コンピュータデバイスという用語は、デスクトップおよびラップトップ・コンピュータ、パーソナル携帯情報機器（ＰＤＡ）、携帯電話、スマートフォン、デジタルカメラおよびデジタル音楽プレーヤが挙げられるが、これに限定されるものではない。多くの他の産業用および家庭用電子機器と共にこの種のデバイスの１種類以上の機能性を組み込んだ集約デバイスも含まれる。
【０００３】
デバイスの所有者（ユーザ）が購入後に、新規の用途を利用可能にするか新規の機能性を提供するソフトウェアをインストールすることの出来るコンピュータデバイスはオープンデバイスと呼ばれる。デバイスの所有者（ユーザ）が、データおよび指示の交換のために他のコンピュータデバイスと通信可能なコンピュータデバイスはコネクテッドデバイスと呼ばれる。
【０００４】
これらの方法でデバイスの有用性を拡張可能とすることには明瞭な利点があるが、追加ソフトウェアを追加し他の機器と通信する機能は所有者（ユーザ）に重大なセキュリティ・リスクとなる。非当業者と同様、当業者は粗悪なあるいは悪意のあるプログラム（マルウェア）がオープンまたはコネクテッド・コンピュータデバイスに影響する重大なリスクがあることに気付いており、今日利用可能な多くのデバイスはオープンでありコネクテッドであるのでリスクをかなり増大させる。ネットワークを介して他のデバイスに接続するコネクテッドデバイスの場合、リスクは当該ネットワークに接続している他の全デバイスに及び得、当該ネットワーク自体の保全性を脅かすことになる。これらのマルウェアの変種が多く存在し、一般のタイプは（限定はされないが）ウイルス、トロイの木馬、スパイウェアおよびアドウェアを含む。
【０００５】
権限ベース（capability-based）のセキュリティシステムが全てのコンピュータデバイス、特に携帯電話やＰＤＡなどのシングルユーザ・携帯型オープン・コネクテッドデバイスに対してマルウェアからの保護に有意な利点を提供することは公知である。権限ベースのシステムは、携帯電話および他のコネクテッドデバイスの高度なオペレーティングシステムであるシンビアンＯＳ（商標）の製造業者である英国のロンドンにあるシンビアンソフトウェア社により提出された多くの英国特許出願において開示された。特に、この点における特定の関心は、”Secure Mobile Wireless Device”というタイトルのＧＢ２３８９７４７、および”Mobile Wireless Device With Protected File System”というタイトルのＧＢ２３９１６５５にある。
【０００６】
ＧＢ２３８９７４７に説明されているような権限保護モデルにおいて、実行可能プログラムは、必要とされるときに、各々の実行可能プログラムが機能性のどのエリアにアクセス可能であるかを定義する特定の特権を与えられる。例えば、ネットワーク権限のないプログラムは、他のコンピュータへのネットワーク接続の開始が禁止される。類似した権限の範囲は、対象となるデバイスの機能性のさまざまな他の側面へのアクセスを制御する。権限は、実行可能プログラムが最初にコンパイルされビルドされる際に付与され得、追加することは出来ず、テストおよび認証システムは、実行可能プログラムに付与される権限を制御する。特定の非常に重要度の高い権限（例えば、ディスクをフォーマットする能力の制御）は、当該デバイスのオペレーティングシステムのコアにあるトラスティドコンピューティング基盤（ＴＣＢ）の一部である実行可能コード・コンポーネントに対してのみ付与される。
【０００７】
権限ベースの保護を実装するデバイスに利用可能な追加機能が、ＧＢ２３９１６５に開示されている。この文書は、デバイス上にインストールされる実行可能プログラムがどのようにして当該デバイス上の全ファイルシステムに対する無制限の可視性を有しないようにするかを述べている。実行可能プログラムは、全データファイルが格納され他のアプリケーションはアクセスしない全ファイルシステム内の自身のプライベート領域または制限領域と共に提供される。さらに、アクセスが無制限であるファイルシステムの特定の共通領域を除けば、実行可能プログラムは、ファイルシステムの他のいかなる部分に対しても可視性を有しない。特に、実行可能プログラムは、他の任意のアプリケーションのプライベート領域に対して可視性を有さない。この特徴は、アプリケーションが自身のファイルシステム領域において効率的に閉じ込められる（caged）ことから、データ・ケージングとして知られており、この制限は、当該デバイスを制御するオペレーティングシステムにより実施される。
【０００８】
しかしながら、権限ベースのセキュリティシステムは、攻撃からコンピュータデバイスを保護するための唯一の利用可能な方法というわけではない。権限ベースのシステムは保護をプログラムと関連付けるが、保護を別のエンティティと関連付ける代替のモデルが存在する。最も注目すべき代替モデルは、マルチユーザ・コンピュータ分野を起源としており、保護を、データまたはプログラムの代わりにデバイスのユーザと関連付ける。このモデルの下では、別のユーザは、他のユーザのデータを通常見ることができず、、システム上のいくつかの能力は、特別なシステム許可を与えられる特定のクラスのユーザ（例えば管理者）と関係付けられている。
【０００９】
ユーザ承認ベースの保護システムの１つの注目すべき実施例はＵｎｉｘ（登録商標）およびその派生物（Ｌｉｎｕｘを含む）である。それらは、所与のプログラムに対してどのユーザの保護ドメインを関連付けるべきかを選択する能力を提供する。
【００１０】
システム全体の権限をベースにした保護システムとユーザ承認をベースとした保護システムとの間には明瞭な違いがある。権限モデルにおいては、重要度が高いか、潜在的に破壊的である任意の機能性へのアクセス権限は悪意のある実行可能プログラムに対して決して付与されないであろう。そして、この種の権限が付与されない場合、危害を及ぼし得る権限は極めて制限される。
【００１１】
一方で、ユーザ承認をベースとしたモデルを有するデバイスで動作する悪意のある実行可能プログラムは、当該実行可能プログラムを実行させているユーザに与えられた任意の承認を継承するだろう。ユーザに管理者レベルの特権があり、ファイルシステムおよび任意の周辺機器の任意の部分及びデバイス上のサブシステムにアクセスする場合、管理者承認の下で動作する任意のマルウェアは重要な損傷を与えうることになる。
【００１２】
特にシングルユーザ・デバイスにおいて、権限をベースにした保護システムと比較してユーザ承認に基づくセキュリティモデルは、特段の付加的な機能性を提供せず、非常に大きな運用リスクとなる。
【発明の概要】
【発明が解決しようとする課題】
【００１３】
しかしながら、異なる保護モデルに基づく別の環境からソフトウェアを統合する場合に、例えば、権限モデルにより提供されるようなプログラム・ベースの保護が期待される任意のソフトウェアを、ユーザ承認をベースとした保護が行なわれるソフトウェア環境と調停することは困難である。
【００１４】
実際、２つの保護モデルの統合を容易にする従来技術は知られていない。現時点での方法は、変更しないままでの動作を可能とするシステム全体の解決法を提供するのではく、ソフトウェアをある保護システムから他の保護システムに変換することである。
【課題を解決するための手段】
【００１５】
本発明の第１の態様によれば、ユーザ承認に基づくセキュリティモデルを有するコンピュータデバイスを動作させる方法が提供され、該方法は、コンピュータデバイスの実行可能プログラムの各々に個別のユーザ・アイデンティティを提供することにより、前記コンピュータデバイスによる権限ベースのセキュリティモデルのエミュレートを可能にするステップを含む。
【００１６】
本発明の第２の態様によれば、第１の態様の方法に従って動作するよう構成されたコンピュータデバイスが提供される。
【００１７】
本発明の第３の態様によれば、第１の態様の方法に従って動作するコンピュータデバイスを実現するオペレーティング・システムが提供される。
【発明を実施するための形態】
【００１８】
更なる例としてのみ、本発明の実施例について説明する。
【００１９】
本発明は、ＧＢ２３９１６５５に開示されたような権限保護モデルにおけるデータ・ケージングの特徴をＵｎｉｘ（登録商標）およびその派生物（例えばＬｉｎｕｘ）で利用可能なユーザ承認の権限モデルにマッピングする方法を開示している。
【００２０】
これは、コンピュータデバイス上の各々および全てのインストールされたプログラムに対して”擬似ユーザ”を作成することによって自動的に達成され、当該デバイス上の各々のプログラムが当該プログラムに対して作成された擬似ユーザとして動作する。このように動作するためのメカニズムは、好ましくはＵｎｉｘ（登録商標）のｓｅｔｕｉｄビットによって提供され、実行プロセスのユーザＩＤが実行可能プログラムファイルの所有者のユーザＩＤにマッチするよう変化することが出来る。
【００２１】
Ｕｎｉｘ（登録商標）システムにおいては、ユーザ（擬似ユーザを含む）はファイルシステムにおける自身の異なるプライベート領域を有することができ、同様に実行可能プログラムは上述したＧＢ２３９１６５５を実装するデバイス上で同様に動作する。従って、各々のインストールされたプログラムに対し一意の擬似ユーザ・アイデンティティを提供することにより、各々の実行可能プログラムに自身のファイル領域を与えることによってプログラム毎のデータ・ケージングのエミュレーションを動作可能に効率的に提供することが出来る。
【００２２】
キー・システム・サーバのコンポーネント（例えば主要ファイルサーバ）がクライアントの擬似ユーザ・アイデンティティをチェックするのを確実にすることにより、この方法を管理下におくことが出来る。
【００２３】
擬似ユーザの最初のアイデンティティは、インストール時に（例えば名前または数値の何らかの論理的順番の次の空きアイデンティティを用いて）決定しても良く、または、プログラムファイルまたはインストール可能パッケージ内にアイデンティティを内包するかまたは別の手段により、インストール前に決定しても良い。
【００２４】
根底にあるユーザ承認の保護モデルでは、ユーザを互いに異なるグループと関係付けることができ、さらに、実行可能プログラムが特定グループまたはグループセットのメンバである場合にのみ、特定の実行可能プログラムは実行するする能力をサポートする。擬似ユーザ・アイデンティティの方式は、ＧＢ２３８９７４７に説明される権限のようなプログラムベースの信用設定の方式にマッピングするために使用される。Ｕｎｉｘ（登録商標）のｓｅｔｇｉｄビットを、この目的に使うことができる。
【００２５】
従って、本発明は、複雑なリエンジニアリングを必要とすること無く、権限ベースの保護方式の利点をユーザ承認ベースの保護方式をネイティブ実装する権限ベースの保護方式に実際に拡張することが理解でき、本質的にシングルユーザであるがマルチユーザ・コンピュータシステムのために設計されるオペレーティングシステムソフトウェアを動作させるデバイスのコンテキストの特定の効用である。Ｌｉｎｕｘを動作させている高度な携帯電話およびスマートフォンは、この種のコンピュータデバイスの好適な実施例である。
【００２６】
従って、本発明は既存のセキュリティ基盤ツールを新規な方法で用いることにより難しい技術的問題を解決することが考慮されている。
【００２７】
本発明を具体的な例に関して説明したが、添付の特許請求の範囲で規定される本発明の範囲内で変更態様が可能であることは明白である。
【国際調査報告】
2009540446.tif 000002
2009540446.tif 000003
2009540446.tif 000004