(57)【要約】  発明は第１の電子デバイス（２）、保全モジュール（１）及び第２の電子デバイス（９，１０，１４，２１）を備えるシステムに関する。保全モジュール（１）は第１の電子デバイス（２）に堅固に結合され、データを安全に格納するため及び／または暗号法操作を実行するための保全ユニット（３）及び第１の電子デバイス（２）と通信するための第１のインターフェース（４）を有する。発明にしたがうシステムの特徴は保全モジュール（１）が第２の電子デバイス（９，１０，１４，２１）との直接非接触通信のための第２のインターフェースを有することである。
2009500735.tif 000002
【特許請求の範囲】
【請求項１】
−  第１の電子デバイス（２）、
−  前記第１の電子デバイス（２）に堅固に結合され、データを安全に格納するため及び／または暗合法操作を実行するための保全ユニット（３）及び前記第１の電子デバイス（２）と通信するための第１のインターフェース（４）を有する、保全モジュール（１）、及び
−  第２の電子デバイス（９，１０，１４，２１）、
を備えるシステムにおいて、
前記保全モジュール（１）が前記第２の電子デバイス（９，１０，１４，２１）との直接非接触通信を自律的に実行するための第２のインターフェース（５，８，１３）を有することを特徴とするシステム。
【請求項２】
前記第１のインターフェース（４）が前記第１の電子デバイス（２）と直流で接続されることを特徴とする請求項１に記載のシステム。
【請求項３】
前記第２のインターフェースが前記保全ユニット（３）の一体部分として構成されることを特徴とする請求項１または２に記載のシステム。
【請求項４】
前記第２のインターフェースが受動非接触インターフェース（５）として構成されることを特徴とする請求項１から３のいずれか１項に記載のシステム。
【請求項５】
動作に必要なエネルギーが前記受動非接触インターフェース（５）を介して非接触で前記保全モジュール（１）に供給され得ることを特徴とする請求項４に記載のシステム。
【請求項６】
前記第２のインターフェースが能動非接触インターフェース（１３）として構成されることを特徴とする請求項１から３のいずれか１項に記載のシステム。
【請求項７】
前記能動非接触インターフェース（１３）が様々な通信モードで動作できることを特徴とする請求項６に記載のシステム。
【請求項８】
前記保全モジュール（１）が受動非接触インターフェース（５）及び能動非接触インターフェース（１３）を有することを特徴とする請求項１から３のいずれか１項に記載のシステム。
【請求項９】
前記保全モジュール（１）が前記受動非接触インターフェース（５）または前記能動非接触インターフェース（１３）を選択的に起動するための制御デバイス（１７）を有することを特徴とする請求項８に記載のシステム。
【請求項１０】
前記制御デバイス（１７）が前記保全モジュール（１）に前記第１の電子デバイス（２）から動作電圧が供給されているか否かに依存して前記起動を実施することを特徴とする請求項９に記載のシステム。
【請求項１１】
前記能動非接触インターフェース（１３）がＮＦＣ標準にしたがって構成されることを特徴とする請求項６から１０のいずれか１項に記載のシステム。
【請求項１２】
前記保全ユニット（３）に格納されたデータが前記第２のインターフェースを介して前記第２の電子デバイス（９，１０，１４，２１）に送信されることを特徴とする請求項１から１１のいずれか１項に記載のシステム。
【請求項１３】
前記データが前記第１の電子デバイス（２）の診断データまたは暗号法データであることを特徴とする請求項１２に記載のシステム。
【請求項１４】
前記第１の電子デバイス（２）及び前記第２の電子デバイス（９，１０，１４，２１）が、相互間のデータ通信がリリースされている、同じ電子デバイスグループのメンバーであるときに限り、前記データが送信されることを特徴とする請求項１２または１３に記載のシステム。
【請求項１５】
前記第２の電子デバイス（９，１０，１４，２１）が、前記第１の電子デバイス（２）の前記保全モジュール（１）と直接非接触通信を行う、保全モジュールを有することを特徴とする請求項１から１４のいずれか１項に記載のシステム。
【請求項１６】
前記第２のインターフェースを介して現金不要支払取引が実施され、これによって前記保全ユニット（３）に格納される認可が取得されることを特徴とする請求項１から１５のいずれか１項に記載のシステム。
【請求項１７】
前記第２の電子デバイス（９，１０，１４，２１）に入力されたパスワードが前記第２のインターフェースを介して前記第１の電子デバイス（２）の前記保全モジュール（１）に送信されることを特徴とする請求項１から１６のいずれか１項に記載のシステム。
【請求項１８】
前記第１の電子デバイス（２）がコンピュータまたは携帯電話であることを特徴とする請求項１から１７のいずれか１項に記載のシステム。
【請求項１９】
前記第２の電子デバイス（９，１０，１４，２１）が、ＲＦＩＤ読取デバイス、ＮＦＣデバイス、非接触ＩＣカード、コンピュータまたは携帯電話であることを特徴とする請求項１から１８のいずれか１項に記載のシステム。
【請求項２０】
前記保全モジュール（１）がTrusted Platform Module（信頼されるプラットフォームモジュール）として構成されることを特徴とする請求項１から１９のいずれか１項に記載のシステム。
【請求項２１】
電子デバイスであって、前記電子デバイス（２）に堅固に結合され、データを安全に格納するため及び／または暗合法操作を実行するための保全ユニット（３）及び前記電子デバイス（２）と通信するための第１のインターフェース（４）を有する保全モジュール（１）を備える電子デバイスにおいて、前記保全モジュール（１）が前記電子デバイス（２）とは独立に外部との非接触通信を自律的に実行するための第２のインターフェースを有することを特徴とする電子デバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は複数の電子デバイス及び電子デバイスの内の１つに堅固に結合された保全モジュールを備えるシステムに関する。さらに、本発明は保全モジュールが堅固に結合されている電子デバイスに関する。
【背景技術】
【０００２】
コンピュータシステムに堅固に結合された保全チップとして構成された保全モジュールを備えるコンピュータシステムの提供は既に知られている。そのような保全モジュールは、Trusted Computing Group（ＴＧＣ：コンピュータの信頼性を向上させるための標準技術を策定するための業界団体）の仕様に準拠している場合に、ＴＰＭと略記される、Trusted Platform Module（信頼されるプラットフォームモジュール）とも称される。これらの仕様により、確定された保全標準が可能になる。
【０００３】
保全モジュールを用いることにより、コンピュータシステムは信頼できると認定されることができ、悪意のある操作に対抗して保護されることができる。これは、特にそのようなコンピュータシステムで保全該当操作が実行される場合に、重要である。
【０００４】
保全モジュールは定められたインターフェースを介してコンピュータシステムのオペレーティングシステムまたはアプリケーションソフトウエアによってアドレスすることができる。例えば、保全モジュールは保全メモリ、すなわち、不正なアクセスに対して保護されるメモリとして用いることができる。この場合、特にコンピュータシステムの状態を保全モジュールに格納することができる。格納されたコンピュータシステムの状態はサードパーティ、例えばサーバによるリクエストを受けることができる。受信側に送信されたデータが悪意のある操作を受けていないことを受領側が信頼できる態様で保証するため、保全モジュールは、例えばＲＳＡ署名機能をもつ、信頼するに足る送信を実行できる。さらに、保全モジュールは、乱数発生等の、例えばＨＭＡＣのような、暗号法アルゴリズムをさらに実行するために供することができる。
【０００５】
既知の保全モジュールにより極めて効果的な態様でコンピュータシステムを保護することが既に可能である。しかし、コンピュータシステムの故障または悪意のある操作により、保全モジュールがいかなる有用な情報も供給せず、したがってコンピュータシステムの実状態を、保全モジュールを用いて決定できないという事実に至り得る。保全モジュールの意図的に生じさせた故障は、別途の悪意のある操作とともに、保全モジュールにアクセスしているサードパーティに対して適切な機能を装うために用いられることさえあり得るであろう。
【０００６】
さらに、特許文献１により、それによって例えば携帯電話を介する銀行端末への安全な取引が許可されるように、２つの電子デバイス、例えば携帯電話及び銀行端末を相互に認証するため及び２つの電子デバイスの間の通信を暗号化によって保全するために供される、保全モジュールが知られている。保全モジュールは第１のデバイス、例えば携帯電話との接続のための第１のインターフェース及び第２の電子デバイス、例えば銀行端末の対応する保全モジュールとの通信のための、特にブルートゥースインターフェースとして構成された、第２のインターフェースを有する。これを用いるため、保全モジュールはデバイスの内の一方、例えば携帯電話に接続され、次いで、携帯電話を用いてユーザは他方のデバイス、例えば銀行端末との通信を開始し、例えば取引を実行する。この場合、保全モジュールは安全な媒介手段としてはたらく。
【特許文献１】国際公開第００/１４９８４Ａ号パンフレット
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明の課題は、電子デバイスに堅固に結合された保全モジュールの有用性を確実に保証することである。
【課題を解決するための手段】
【０００８】
上記課題は特許請求項１の特徴の組合せを備えるシステム及び特許請求項２１にしたがう電子デバイスによって解決される。
【０００９】
本発明にしたがうシステムは、第１の電子デバイス、保全モジュール及び第２の電子デバイスを有する。保全モジュールは第１の電子デバイスに堅固に結合され、データを安全に格納するため及び／または暗号法操作を実行するための保全ユニット及び第１の電子デバイスと通信するための第１のインターフェースを有する。本発明にしたがうシステムの特徴は、保全モジュールが第２の電子デバイスとの直接非接触通信を自律的に実行するための第２のインターフェースを有することである。第２の電子デバイスは特に外部デバイスとすることができる。
【００１０】
本発明は、第１の電子デバイスの保全モジュールと通信しているデバイスが第２の電子デバイスである公算が確実に保証されるという利点を有する。第１の電子デバイスと保全モジュールの間の接続が独立に実施されるから、特に第１の電子デバイスに悪意のある操作または故障があっても、そのような通信は可能であり、信頼でき、標準化された態様で実行できる。これは、保全モジュールを用いて、第１の電子デバイスの信頼性を高い安全レベルでチェックできることを意味する。
【００１１】
第１のインターフェースは第１の電子デバイスと直流で接続されることが好ましい。
【００１２】
第２のインターフェースは保全ユニットの一体部品として構成することができる。
【００１３】
第１の異形において、第２のインターフェースは受動非接触インターフェースとして構成される。これには、第１の電子デバイスが完全に故障している場合であっても、保全モジュールは動作可能であり、第２の電子デバイスと通信できるという利点がある。この場合、動作に必要なエネルギーが受動非接触インターフェースを介して保全モジュールに非接触で供給されることが可能になる。これにより、第１の電子デバイスがいかなる動作電圧も保全モジュールに供給しなくとも、保全モジュールは動作することができる。
【００１４】
第２の異形において、第２のインターフェースは能動非接触インターフェースとして構成される。この手段によって、それ自身では非接触データ通信のための電磁場をつくることができない、第２の電子デバイスとの通信が可能になる。能動非接触インターフェースが様々な通信モードで動作できれば特に有利である。これにより、様々に構成された通信相手との通信が可能になる。
【００１５】
保全モジュールが受動非接触インターフェース及び能動非接触インターフェースを有することも可能である。これには、２つの異なるインターフェース形態の利点を利用できるという利点がある。この場合、保全モジュールは受動非接触インターフェースまたは能動非接触インターフェースを選択的に起動するための制御デバイスを有することができる。詳しくは、制御デバイスは、第１の電子デバイスから保全モジュールに動作電圧が供給されるか否かに依存して起動を実施できる。これにより、例えば動作電圧停止の場合にも、受動非接触インターフェースを介して保全モジュールにアクセスできることを保証することができる。
【００１６】
能動非接触インターフェースはＮＦＣ標準にしたがって構成されることが好ましい。
【００１７】
第２のインターフェースを介して、例えば、保全ユニットに格納されたデータを第２の電子デバイスに送信することができる。特に、そのようなデータは第１の電子デバイスの診断データまたは暗号法データとすることができる。さらに、第１の電子デバイス及び第２の電子デバイスが、相互間のデータ送信がリリースされた、電子デバイスグループのメンバーである場合に限りデータが送信される態様を提供することができる。このようにすれば、例えば同じ個人に属している電子デバイス間で簡単なデータ送信を実施することができる。
【００１８】
第２の電子デバイスは、第１の電子デバイスの保全モジュールと直接非接触通信を行う、保全モジュールを有することができる。
【００１９】
第２のインターフェースを介して、例えば現金不要支払取引を実施することができ、これにより保全ユニットに格納される認可が取得される。第２の電子デバイスに入れられたパスワードを第２のインターフェースを介して第１の電子デバイスの保全モジュールに送信することも可能である。
【００２０】
第１の電子デバイスは、例えば、コンピュータまたは携帯電話とすることができる。第２の電子デバイスは、例えば、ＲＦＩＤ読取デバイス、ＮＦＣデバイス、非接触ＩＣカード、コンピュータまたは携帯電話とすることができる。保全モジュールはTrusted Platform Moduleとして構成されることが好ましい。
【００２１】
本発明はさらに、電子デバイスに堅固に結合された保全モジュールをもつ電子デバイスに関する。保全モジュールはデータを安全に格納するため及び／または暗号法操作を実行するための保全ユニット及び電子デバイスと通信するための第１のインターフェースを有する。本発明にしたがう電子デバイスの特徴は、保全モジュールが電子デバイスとは独立に外部との非接触通信を自律的に実行するための第２のインターフェースを有することである。
【発明を実施するための最良の形態】
【００２２】
図に示される実施形態を参照して本発明を以下に説明する。
【００２３】
図１は、本発明にしたがって構成された保全モジュール１を有するシステムの第１の実施形態の略図を示す。保全モジュール１は、電子デバイス２，例えば、パーソナルコンピュータ、電子手帳（ＰＤＡ）または携帯電話、のコンポーネントとして構成され、保全ユニット３，デバイスインターフェース４及び受動非接触インターフェース５を有する。保全ユニット３は、保全モジュール１がTrusted Platform Module（ＴＰＭ）として採用され得るように、Trusted Computing Group（ＴＧＣ）の仕様にしたがう、例えば、アクセスから安全なデータの格納、暗号法操作の実行等のような、様々な保全機能を提供する。したがって、それだけでは安全ではない、電子デバイス２内の保全モジュール１を用いて一定の保全標準を実施することができる。
【００２４】
デバイスインターフェース４及び受動非接触インターフェース５はそれぞれ、保全ユニット３に接続される。電子デバイス２のソフトウエア６への、デバイスインターフェース４を介する、通信接続がある。電子デバイス２のソフトウエア６は、例えば、オペレーティングシステムまたはアプリケーションである。通信接続は、例えば、パーソナルコンピュータのマザーボード、ＰＤＡのマイクロプロセッサまたは携帯電話のコントローラへの、直流接続として構成される。この通信接続を介して、特に、電子デバイス２の信頼性を保証するに必要な電子デバイス２のソフトウエア６との保全ユニット３の通信が実施される。さらに、ネットワーク７，例えばインターネットへの接続をそのような通信接続を介して確立することができる。
【００２５】
受動非接触インターフェース５を介して、デバイスインターフェース４の通信接続とは独立の、第２の電子デバイス９，１０との通信を実行するための通信接続を確立することができる。２つの通信接続は互いに独立しているから、受動非接触インターフェース５を介する通信の実行は自律的に実施することができる。とりわけ、インターフェース５を介する通信はいかなる時点でも実行することができる。第２の電子デバイス９，１０は外部デバイスとすることができる。非接触通信のため、受動非接触インターフェース５にアンテナコイル８が接続される。アンテナコイル８は、例えば保全チップの形態を有する、保全モジュール１上に直接に配置することができる。半導体チップ上に単独に与えられたアンテナは「コイルオンチップ」として知られている。このアンテナコイル８の実施形態において、非接触通信範囲は極めて狭く、通常は数ｍｍから数ｃｍの範囲に限定される。したがって、電子デバイス２が大型になると、外部通信相手の保全モジュール１との非接触通信を可能にするために、初めに電子デバイス２を機械的に開いておかなければならない。
【００２６】
保全モジュール１上に直接配置する代りに、電子デバイス２が十分にアクセスできる位置にアンテナコイル８を取り付けて、ケーブル接続、例えば同軸配線を介して保全モジュール１の受動非接触インターフェース５と接続することもできる。アンテナコイル８の組込みが可能性な場所は、例えば、パーソナルコンピュータの５.２５インチ（１３３.３５ｍｍ）ベイである。さらに、アンテナコイル８を外部コンポーネントとして構成し、プラグインタイプのケーブル接続を介して電子デバイス２に接続することも可能である。この場合、アンテナコイル８は、電子デバイス２とは別に構成することができる、例えば目立つように設計されたハウジングに収めることができる。
【００２７】
図１には、例としてＲＦＩＤ読取デバイス９及びＮＦＣデバイス１０が、保全モジュール１との非接触通信に対する通信相手として示される。ここでＲＦＩＤは無線周波数識別を意味する。ＮＦＣは近距離場通信を意味し、例えば周波数が１３.５６ＭＨｚの、高周波数交番磁場を用いるデータ通信を指す。ＲＦＩＤ読取デバイス９は、例えばＩＳＯ/ＩＥＣ標準１４４４３にしたがって構成され、アンテナコイル１１が備えられる。ＮＦＣデバイス１０は、アンテナコイル１２が備えられ、保全モジュール１の受動非接触インターフェース５との通信のための読取器として動作する。
【００２８】
電子デバイス２のスイッチを入れると、電子デバイス２は、保全モジュール１が動作可能になり、例えば、電子デバイス２のための暗号法操作等を実行するため、デバイスインターフェース４を介して受け取られる電子デバイス２の動作パラメータを記録できるように、必要な動作電圧を保全モジュール１に供給する。
【００２９】
さらに、図１に示される保全モジュール１の構成により、電子デバイス２のスイッチが切られるかまたはその他の理由のために電子デバイス２が保全モジュール１にいかなる動作電圧も供給しない場合でさえ、保全モジュール１の動作が可能になる。電子デバイス２とは独立のそのような保全モジュール１の動作は、電磁場が十分に強い領域に保全モジュール１のアンテナコイル８がおかれれば、必ず可能である。この場合、アンテナコイル８に誘起され、受動非接触インターフェース５に供給される電圧を、保全モジュール１のための動作電圧として用いることができる。このために適する電磁場は、ＲＦＩＤデバイス９及びＮＦＣデバイス１０のいずれによってもつくることができ、例えば１３.５６ＭＨｚの周波数を有する。
【００３０】
特に、動作電圧が電子デバイス２から供給されているときには、電子デバイス２によって供給される動作電圧を常に保全モジュール１に供給する態様が備えられる。電子デバイス２による動作電圧が利用できず、それでも保全モジュール１の動作が望まれれば、受動非接触インターフェース５へのアンテナコイル８を介する非接触エネルギー伝送によって動作電圧がつくられる。
【００３１】
受動非接触インターフェース５はエネルギーを受け取る目的だけでなく、エネルギーが伝送される電磁場と同じ電磁場を用いることが好ましい、データの非接触送受信の目的も果たす。これは、保全モジュール１が電子デバイス２の機能状態または動作状態とは独立に動作でき、特に、外部世界と通信できることを意味する。この通信は電子デバイス２が妨げることも、操作することもできず、よって送信されるデータは極めて信頼できる。保全モジュール１は受動非接触インターフェース５を介し、例えば信頼できるチャネルを介して、安全な通信を実施できることが好ましい。このようにすれば、保全モジュール１により、例えば、電子デバイス２の信頼できる監視または重要なデータの喪失に対する信頼できる保護を実現することができる。保全モジュール１の具体的な用途は以下でさらに詳細に説明する。
【００３２】
第１の実施形態に関する説明は全て別の実施形態にも、異なる説明がそこで与えられない限り、適用される。
【００３３】
図２は保全モジュール１を有するシステムの第２の実施形態の略図を示す。第２の実施形態において、保全モジュール１は受動非接触インターフェース５の代りに能動非接触インターフェース１３を有する。これにより、保全モジュール１に対する通信相手として非接触ＩＣカード１４をさらに用意することができる。その他については、第２の実施形態は図１に示されるような第１の実施形態に対応する。
【００３４】
能動非接触インターフェース１３はそれ自体で、例えば周波数が１３.５６ＭＨｚの、高周波数交番磁場をつくることができる。この能動不接触インターフェース１３により、アンテナコイル８が通信相手の電磁場内にないときであっても、通信を実行することができる。これにより、例えば、通信能力に関しては第１の実施形態にしたがう保全モジュール１の受動非接触インターフェース５に類似の、非接触ＩＣカード１４との能動非接触インターフェース１３の通信が可能になる。しかし、これには能動非接触インターフェース１３を動作させるための保全モジュール１へのエネルギーの供給が必要である。これは、電子デバイス２が保全モジュール１に十分な動作電圧を供給しているときに限り、保全モジュール１の動作及び特に能動非接触インターフェース１３を介する通信が可能であることを意味する。
【００３５】
能動非接触インターフェース１３は例えばＮＦＣインターフェースとして構成され、その場合はＮＦＣデバイス１０と同様の通信応力を有する。図２に示される通信相手との通信のため、能動非接触インターフェース１３は様々な通信モードで動作することができる。例えば、ＲＦＩＤ読取デバイス９との通信のため、能動非接触インターフェース１３は通信モード「ビーイングカード（being card）」で動作する。そのような通信モードにおいて、能動非接触インターフェース１３はカードのように振る舞い、例えばＩＳＯ/ＩＥＣ標準１４４４にしたがってＲＦＩＤ読取デバイス９と通信する。ＮＦＣデバイス１０との通信に対しては、能動非接触インターフェース１３は通信モード「ピアツーピア（peer to peer）」で動作する。すなわち、同じ種類の通信相手間の通信が行われる。最後に、非接触ＩＣカード１４との通信に対しては、能動非接触インターフェース１３が読取デバイスのように振る舞い、例えばＩＳＯ/ＩＥＣ標準１４４４３または１５６９３にしたがって通信する、通信モード「ビーイングリーダー（being reader）」が備えられている。
【００３６】
すなわち、能動非接触インターフェース１３は受動非接触インターフェース５より多くの通信能力を提供する。しかし、能動非接触インターフェース１３は、電子デバイス２が保全モジュール１に動作電圧を供給しているときに限り使用可能であるが、受動非接触インターフェース５では電子デバイス２とは独立な保全モジュール１の動作が可能になる。図３に示される別の実施形態では、これらの利点の全てが合せて存在する。
【００３７】
図３は保全モジュール１を有するシステムの第３の実施形態の略図を示す。第３の実施形態において、保全モジュール１は、第１の実施形態の受動非接触インターフェース５及び第２の実施形態の能動非接触インターフェース１３の両者を有し、これらは並列に接続され、選択的に動作させることができる。この場合、保全モジュール１は、第１の切換デバイス１５，第２の切換デバイス１６及び電圧検出器１７を有する。第１の切換デバイス１５は、切換状態に依存して、保全ユニット３を受動非接触インターフェース５または能動非接触インターフェース１３に接続する。第２の切換デバイス１６は、切換状態に依存して、アンテナコイル８を受動非接触インターフェース５または能動非接触インターフェース１３に接続する。電圧検出器１７は電子デバイス２によって保全モジュール１に供給される動作電圧を監視し、２つの切換デバイス１５及び１６を制御する。電圧検出器１７が十分な動作電圧を検出している場合、電圧検出器１７は保全ユニット３及びアンテナコイル８がそれぞれ能動非接触インターフェース１３に接続されるような態様で２つの切換デバイス１５及び１６を作動させる。この場合、第２の実施形態について説明した機能が利用できる。しかし、電圧検出器１７が検出した動作電圧が低すぎる場合、電圧検出器１７は保全ユニット３及びアンテナコイル８がそれぞれ受動非接触インターフェース５に接続されるような態様で２つの切換デバイス１５及び１６を作動させる。この場合、第１の実施形態について説明した機能が利用できる。
【００３８】
図４は保全モジュール１を有する第４の実施形態の略図を示す。保全モジュール１は図１に示されるような第１の実施形態に対応する態様で構成される。保全モジュール１が組み込まれている電子デバイス２は、ソフトウエアスタック１８，システムソフトウエア１９及びアプリケーションソフトウエア２０を有し、ネットワーク７に接続される。
【００３９】
さらに、図４には、電子デバイス２の保全モジュール１と非接触で通信する、別の電子デバイス２１が示されている。そのような別の電子デバイス２１は、アンテナコイル１１をもつＲＦＩＤ読取デバイス９，アンテナコイル１２をもつＮＦＣデバイス１０，保全ユニット２２、デバイスインターフェース２３、ソフトウエアスタック２４、システムソフトウエア２５，アプリケーションソフトウエアエア２６及びキーボード２７を有する。ＲＦＩＤ読取デバイス９またはＮＦＣデバイス１０を介して、別の電子デバイス２１は電子デバイス２の保全モジュール１の受動非接触インターフェース５と直接に非接触で通信することができる。
【００４０】
保全モジュール１を有するシステムについての説明した実施形態においては、保全モジュール１の能力、特に直接非接触データ通信の能力を使用するための複数の可能性がある。いくつかの考えうる応用を例として以下で説明する。これらの応用において電子デバイス２の状態とは独立に保全モジュール１の動作可能性を保証することが必要であれば、図１，３及び４に示されるような受動非接触インターフェース２をもつ保全モジュール１の内の１つが用いられるであろう。あるいは、電子デバイス２が動作電圧を供給しているときに限り動作できる、図２に示されるような能動非接触インターフェース１３をもつ保全モジュール１を用いることができる。
【００４１】
第１の応用において、受動非接触インターフェース５は保全モジュール１のデータのバックアップをつくるために用いられる。この応用は特に、電子デバイス２が、例えば、電源の故障あるいは他のハードウエアの機能不全またはソフトウエアエラーが生じたために電子デバイス２がもはや動作できない場合に、重要である。同様に、ソフトウエア６またはシステムソフトウエア１９またはアプリケーションソフトウエア２０が悪意のある操作を受け、よってこれらがもはや信頼できないこともあり得よう。
【００４２】
第１の応用においては、例えば、図４に示される別の電子デバイス２１が、ＲＦＩＤ読取デバイス９またはＮＦＣデバイス１０を用い、受動非接触インターフェース５を介して保全モジュール１と通信する。認証成立後、保全ユニット３のデータが別の電子デバイス２１に送信され、別の電子デバイス２１に格納される。これらのデータは、例えば、暗号化または解読及び／またはデータの署名の生成のための非対称ＲＳＡキーのような、暗号法アルゴリズムのためのキーとすることができ、あるいはパスワードとすることができる。保全モジュール１から送信されたデータは別の電子デバイス２１の保全ユニット２２に格納することができ、あるいはまた別の動作可能で信頼できる電子デバイスの保全モジュール内に送信される。ハードディスクを暗号化するためのキーまたはそのようなキーを暗号化するためのキーが読み出されると、それらのキーは電子デバイス２のメモリに格納されている暗号化されたデータの解読に用いることができる。欠陥のある電子デバイス２の場合、そのようなデータは別のバックアップ機構がなければ回復できないであろう。
【００４３】
第２の応用は、ＲＦＩＤ読取デバイス９またはＮＦＣデバイス１０を用い、受動非接触インターフェース５を介して保全モジュールから電子デバイス２の診断データを読み出すことである。診断データはシステム状態、例えば、ＢＩＯＳ，オペレーティングシステム、アプリケーションに関する測定データとすることができる。測定データは、電子デバイス２のブート過程中にＴＧＣの概念にしたがって測定され、保全ユニット３のいわゆるプラットフォームコンフィギュレーションレジスタ（ＰＣＲ）に格納される。認可されたユーザはそのようなＰＣＲから直接に測定データを読み出すことができる。欠陥があるかまたは悪意のある操作を受けたシステムソフトウエア１９またはアプリケーションソフトウエア２０は、認可されたユーザへの測定データの回送を防止することはできない。そのような確実に保護されたＰＣＲデータにより、ユーザ、例えば管理者は、ソフトウエア６またはシステムソフトウエア１９またはアプリケーションソフトウエア２０のどの領域が未だに信頼でき、どの領域が信頼できないかを判定することができる。保全モジュール１からの測定データの読出しは電子デバイス２が完全に故障している場合であっても可能である。
【００４４】
第３の応用は、サービス請求権の安全な取得及び安全な格納に関する。そのようなサービス請求権は、公共輸送機関の乗車券、入場券またはその他の金銭等価サービスとすることができる。サービス請求権は、例えばネットワーク７を介して、保全モジュール１に確実にロードすることができる。この目的のため、ＴＧＣ規定にしたがうＴＬＳ接続のような、特別なプロトコルがＴＣＧによって提供される。ＲＦＩＤ読取デバイス９またはＮＦＣデバイス１０を用い、保全モジュール１の受動非接触インターフェース５を介して支払プロセスを実施することができる。この目的のため、安全なチャネルを介して安全な通信が実行されることが好ましい。そのような安全なチャネルは、ＲＦＩＤ読取デバイス９またはＮＦＣデバイス１０，保全ユニット２２及びソフトウエアスタック２３を用いて確立することができる。
【００４５】
第４の応用は別の電子デバイス２１のキーボード２７または別の入力ユニットによるパスワードの安全な入力に関し、パスワードはＲＦＩＤ読取デバイス９またはＮＦＣデバイス１０を用い、受動非接触インターフェース５を介して電子デバイス２の保全ユニット３に送信される。非接触送信により、直接送信経路が可能になる。これにより、悪意のある操作が行われている可能性がある電子デバイス２のシステムソフトウエア１９またはアプリケーションソフトウエア２０によりパスワードが探り出される危険が低減される。発展形において、パスワードの送信は電子デバイス２と別の電子デバイス２１の間の暗号法で保全されたチャネルを介して実施することもできる。安全なチャネルは、特に保全ユニット３及び２２を用い、ＴＣＧの概念にしたがって確立することができる。
【００４６】
第５の応用は携帯型データ記憶媒体、例えばＣＤのコピー保護に関する。この場合、携帯型データ記憶媒体は、能動非接触インターフェース１３を介して保全モジュール１と通信できる、図２に示される非接触ＩＣカード１４と類似の、非接触データ記憶媒体を含むように構成される。この場合、権利対象は、権利対象の不正な複製を防止する、特別な保護機構を用いて管理することができる。そのような保護機構は、例えば、制御されたアクセスリードコマンドを用いて実現することができる。リードコマンドは、一篇の音楽を聴くための権利対象のような、特別なデータのコピーを、引き続いて権利対象が電子デバイス２から削除される場合に限り、可能にする。欠陥のある電子デバイス２の場合においても、このようにすれば、不正な複製を誤って用いる危険を存在させずに、権利対象を保全することができよう。
【００４７】
別の可能な保護機構には、ソフトウエアがインストールされたときに、携帯型データ記憶媒体及び電子デバイス２の保全モジュール１に賦課される保全規準データの格納がある。賦課されたデータを用いて、携帯型データ記憶媒体のデータの不正な複製を防止することができる。
【００４８】
第６の応用は大データ量の安全な送信である。この場合、電子デバイス２の保全モジュール１は別の電子デバイスの保全モジュールと、受動非接触インターフェース５または能動非接触インターフェース１３を介して、キーのような、保全が不可欠なデータだけを交換する。この応用において、保全モジュール１は、大データ量の暗号化及び、ＩＲＤＡまたはＷＬＡＮのような、高速インターフェースを介する送信後のそれらの解読の作業も負う。
【００４９】
第７の応用は、それぞれに保全モジュール１が備えられている、複数の電子デバイス２をリンクしてグループを構成することである。例えば、携帯電話及び固定ネットワーク電話、さらに電子デバイス２，例えばＰＤＡが同じグループのメンバーである状況を考えられることができよう。グループのメンバーであること、特に同じグループの電子デバイス２間の通信であることの判定は、保全モジュールによって実施される。同じグループ内では、グループ外の電子デバイス２とでは実行され得ない動作が実行され得る。例えば、データ同期化を行うことができ、あるいは別の電子デバイス２のデータをリクエストに応じて読み出すことができる。したがって固定ネットワーク接続のユーザは、例えば、ユーザの携帯電話に格納されている電話番号に、携帯電話の電源を入れずに、アクセスすることができるであろう。欠陥があるかまたは悪意のある操作が行われた電子デバイス２によるデータへのエラー持込みが不可能であるように、保全ユニット３のパスワード機構を用いることができる。この場合、危険なデータはＨＭＡＣを介してパスワードにより「暗号化」され、パスワードが正しく入力されない限り読み出すことはできない。
【００５０】
保全モジュール１を有するシステムについては、上述した応用に加えて、多くの別の応用可能性が存在する。それぞれの応用において、少なくとも１つの電子デバイス２が保全モジュール１を有する。電子デバイス２の通信相手も、保全ユニット３，デバイスインターフェース４及び受動非接触インターフェース５または能動非接触インターフェース１３をもつ保全モジュール１を有することができる。この場合、電子デバイス２の保全モジュール１と通信相手の間の直接通信を提供することもできる。同様に、通信相手だけが保全ユニット３及び適切なデバイスインターフェース４を有するか、あるいはＴＰＭ保護を全くもたないことさえも、可能である。
【図面の簡単な説明】
【００５１】
【図１】本発明にしたがって構成された保全モジュールを備えるシステムの第１の実施形態の略図である
【図２】保全モジュールを備えるシステムの第２の実施形態の略図である
【図３】保全モジュールを備えるシステムの第３の実施形態の略図である
【図４】保全モジュールを備えるシステムの第４の実施形態の略図である
【符号の説明】
【００５２】
１    保全モジュール
２，９，１０，１４，２１    電子デバイス
３，２２    保全ユニット
４，５，８，１３，２３    インターフェース
６，１９，２０，２５，２６    ソフトウエア
７    ネットワーク
８，１１，１２    アンテナコイル
１４    ＩＣカード
１５，１６    切換デバイス
１７    電圧検出器
１８，２４    ソフトウエアスタック
２７    キーボード
【図１】
2009500735.tif 000003
【図２】
2009500735.tif 000004
【図３】
2009500735.tif 000005
【図４】
2009500735.tif 000006
【国際調査報告】
2009500735.tif 000007
2009500735.tif 000008
2009500735.tif 000009
2009500735.tif 000010