(57)【要約】【課題】  所定サービスのセキュリティ要求に端末の構成を適合させる。【解決手段】  本発明に係る端末３０は、所定サービスのサービス種別と所定サービス構成情報とを関連付けて保持する構成管理部３２と、所定サービスの利用要求に応じて、所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する構成選択部３３と、選択された所定サービス構成情報に基づいて端末の構成を変更する構成変更部３４と、変更後構成情報を測定する構成測定部４３と、所定サービス構成情報と変更後構成情報とが一致するか否かについて比較することによって、端末３０が所定サービスを利用可能であるか否かについて検証する構成検証部４４とを具備する。【選択図】  図１
2006338554.tif 000002
【特許請求の範囲】
【請求項１】
所定サービスを利用する端末であって、
前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する構成管理部と、
前記所定サービスの利用要求に応じて、前記構成管理部を参照して、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する構成選択部と、
選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する構成変更部と、
変更された前記端末の構成を示す変更後構成情報を測定する構成測定部と、
選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する構成検証部とを具備することを特徴とする端末。
【請求項２】
前記構成変更部は、ユーザによって許可された場合にのみ、前記端末の構成を変更することを特徴とする請求項１に記載の端末。
【請求項３】
外部の端末検証装置に対して、前記サービス種別と前記変更後構成情報とを含む構成証明要求を送信することによって、前記端末が前記所定サービスを利用可能であるか否かについての検証を要求する検証要求部を具備することを特徴とする請求項１又は２に記載の端末。
【請求項４】
サーバに対して、前記構成証明要求に対する応答として前記外部の端末検証装置から受信した構成証明応答に含まれる構成証明書を用いて、前記所定サービスの利用要求を送信する構成証明送信部を具備することを特徴とする請求項３に記載の端末。
【請求項５】
前記所定サービスに係るセッションの状態を管理するセッション管理部を具備し、
前記構成選択部は、前記セッションの開始時に、前記構成管理部を参照して、前記所定サービス種別に関連付けられている所定サービス構成情報を選択することを特徴とする請求項１乃至４のいずれか一項に記載の端末。
【請求項６】
前記所定サービスの利用要求に応じて、前記構成管理部を参照して、該所定サービスのサービス種別に関連付けられている所定サービス構成情報と、前記端末の現在の構成を示す現状構成情報との間の競合関係の有無を判定する競合検知部と、
前記競合関係を解消するように前記所定サービス構成情報を変更する競合解消部とを具備し、
前記構成変更部は、前記競合関係を解消するために変更された前記所定サービス構成情報に基づいて、前記端末の構成を変更することを特徴とする請求項１乃至５のいずれか一項に記載の端末。
【請求項７】
前記所定サービス構成情報には、複数の制約が付与されており、
前記競合解消部は、前記制約を考慮して、前記競合関係を解消するように前記所定サービス構成情報を変更することを特徴とする請求項６に記載の端末。
【請求項８】
前記所定サービスに係るセッションの終了時に、変更前の前記端末の構成を示す変更前構成情報に基づいて、前記端末の構成を復旧する構成復旧部を具備することを特徴とする請求項１乃至７のいずれか一項に記載の端末。
【請求項９】
前記構成復旧部は、ユーザによって許可された場合にのみ、前記端末の構成を復旧することを特徴とする請求項８に記載の端末。
【請求項１０】
前記端末の現在の構成を示す現状構成情報と、前記変更前構成情報との間の競合関係の有無を判定する復旧競合検知部と、
前記競合関係を解消するように前記変更前構成情報を変更する復旧競合解消部とを具備し、
前記構成復旧部は、前記競合関係を解消するために変更された前記変更前構成情報に基づいて、前記端末の構成を復旧することを特徴とする請求項８又は９に記載の端末。
【請求項１１】
外部の装置から、前記サービス種別と前記所定サービス構成情報とを受信する構成情報取得部を具備することを特徴とする請求項１乃至１０のいずれか一項に記載の端末。
【請求項１２】
前記構成変更部は、プロセスを制御するプロセス制御部を具備することを特徴とする請求項１乃至１１のいずれか一項に記載の端末。
【請求項１３】
前記構成変更部は、プログラム及びデータファイルを制御するファイル制御部を具備することを特徴とする請求項１乃至１２のいずれか一項に記載の端末。
【請求項１４】
前記構成変更部は、前記端末の起動を制御する起動制御部を具備することを特徴とする請求項１乃至１３のいずれか一項に記載の端末。
【請求項１５】
端末を用いて所定サービスを利用するサービス利用方法であって、
前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する工程と、
前記所定サービスの利用要求に応じて、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する工程と、
選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する工程と、
変更された前記端末の構成を示す変更後構成情報を測定する工程と、
選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する工程とを有することを特徴とするサービス利用方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末を用いて所定サービスを利用するサービス利用方法、及び、所定サービスを利用する端末に関する。
【背景技術】
【０００２】
従来、端末の安全性を考慮した上で当該端末に所定サービスを提供するために、サービス提供者（ＳＰ：Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）が、端末検証装置によって当該端末内の信頼できる装置を利用して調査した当該端末の構成を利用して、当該端末に当該所定サービスを提供するか否かについて決定する技術が知られている（例えば、特許文献１参照）。
【０００３】
ここで、調査結果（端末の構成を示す構成情報）は、当該端末に搭載されているソフトウェア群のハッシュ値のリストを含むものである。また、上述の信頼できる装置によって、当該調査結果にはデジタル署名が付与されている。
【０００４】
サービス提供者は、当該端末に搭載されているソフトウェア群の正当なハッシュ値のリストを保持しており、上述の調査結果に付与されているデジタル署名を検証した後、保持している正当なハッシュ値と当該調査結果に含まれているハッシュ値とを比較することによって、改ざんの有無を調べる。
【０００５】
サービス提供者は、特定のソフトウェアにおいて改ざんが検出された場合や、正当なソフトウェア群以外のソフトウェアのハッシュ値が含まれていた場合等には、当該端末に対する所定サービスの提供を拒否することができる。
【特許文献１】特開２００３-７６５８５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述の方法では、端末の構成を示す構成情報が、端末検証装置のポリシーに適合しない場合には、当該端末を用いた所定サービスの利用が妨げたられるという問題点があった。
【０００７】
例えば、端末検証装置によって保持されているソフトウェアのリストに含まれないソフトウェアが、端末に含まれていた場合、上述の検証が失敗し、当該端末は、所定サービスを利用することができない。
【０００８】
また、従来の端末には、所定サービスの利用に適切な構成を管理する手段や、所定サービスの利用に適切な構成に当該端末の構成を変更する手段が設けられていないという問題点があった。
【０００９】
そこで、本発明は、以上の点に鑑みてなされたもので、所定サービスのセキュリティ要求に端末の構成を適合させることができるサービス利用方法及び端末を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の第１の特徴は、所定サービスを利用する端末であって、前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する構成管理部と、前記所定サービスの利用要求に応じて、前記構成管理部を参照して、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する構成選択部と、選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する構成変更部と、変更された前記端末の構成を示す変更後構成情報を測定する構成測定部と、選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する構成検証部とを具備することを要旨とする。
【００１１】
かかる発明によれば、端末の構成を、所定サービスの利用に適切な構成に変更することができるので、サービス提供者は、変更された端末の構成を検証した上で、所定サービスを安全に利用できる。
【００１２】
また、かかる発明によれば、上述の検証によって端末の構成が正しく変更されていないと判断された場合、再度、端末の構成の変更を試みることもできる。
【００１３】
本発明の第１の特徴において、前記構成変更部が、ユーザによって許可された場合にのみ、前記端末の構成を変更してもよい。
【００１４】
かかる発明によれば、ユーザは、変更される端末の構成を確認することができ、かかる端末の構成の変更を実行したくない場合には、当該端末の構成の変更を取りやめることができる。
【００１５】
本発明の第１の特徴において、外部の端末検証装置に対して、前記サービス種別と前記変更後構成情報とを含む構成証明要求を送信することによって、前記端末が前記所定サービスを利用可能であるか否かについての検証を要求する検証要求部を具備してもよい。
【００１６】
かかる発明によれば、端末の構成が所定サービスに対応した構成であることの証明を外部の端末検証装置から取得することができる。
【００１７】
本発明の第１の特徴において、サーバに対して、前記構成証明要求に対する応答として前記外部の端末検証装置から受信した構成証明応答に含まれる構成証明書を用いて、前記所定サービスの利用要求を送信する構成証明送信部を具備してもよい。
【００１８】
かかる発明によれば、サーバは、端末が所定サービスに対応する構成を採っていることを確認した上で、当該端末に対して所定サービスを提供することができる。
【００１９】
本発明の第１の特徴において、前記所定サービスに係るセッションの状態を管理するセッション管理部を具備し、前記構成選択部が、前記セッションの開始時に、前記構成管理部を参照して、前記所定サービス種別に関連付けられている所定サービス構成情報を選択してもよい。
【００２０】
かかる発明によれば、所定サービスに係るセッションと同期して、端末の構成を変更して、当該所定サービスを利用することができる。
【００２１】
本発明の第１の特徴において、前記所定サービスの利用要求に応じて、前記構成管理部を参照して、該所定サービスのサービス種別に関連付けられている所定サービス構成情報と、前記端末の現在の構成を示す現状構成情報との間の競合関係の有無を判定する競合検知部と、前記競合関係を解消するように前記所定サービス構成情報を変更する競合解消部とを具備し、前記構成変更部が、前記競合関係を解消するために変更された前記所定サービス構成情報に基づいて、前記端末の構成を変更してもよい。
【００２２】
かかる発明によれば、端末の現在の構成と所定サービスに対応する構成との間の競合関係を解消して、安全にサービスを利用することができる。
【００２３】
本発明の第１の特徴において、前記所定サービス構成情報には、複数の制約が付与されており、前記競合解消部が、前記制約を考慮して、前記競合関係を解消するように前記所定サービス構成情報を変更してもよい。
【００２４】
かかる発明によれば、競合関係が発生している場合であっても、より適切な競合関係の解消を行うことができるので、所定サービスの利用可能性を向上させると共に、セキュリティ要求を満たすことができる。
【００２５】
本発明の第１の特徴において、前記所定サービスに係るセッションの終了時に、変更前の前記端末の構成を示す変更前構成情報に基づいて、前記端末の構成を復旧する構成復旧部を具備してもよい。
【００２６】
かかる発明によれば、ユーザは、所定サービスの利用が終了した後には、端末の構成を、所定サービス利用前の構成に戻すことができる。
【００２７】
本発明の第１の特徴において、前記構成復旧部が、ユーザによって許可された場合にのみ、前記端末の構成を復旧してもよい。
【００２８】
かかる発明によれば、ユーザは、復旧する端末の構成を確認することができ、復旧したくない端末の構成については復旧をとりやめることができる。
【００２９】
本発明の第１の特徴において、前記端末の現在の構成を示す現状構成情報と、前記変更前構成情報との間の競合関係の有無を判定する復旧競合検知部と、前記競合関係を解消するように前記変更前構成情報を変更する復旧競合解消部とを具備し、前記構成復旧部が、前記競合関係を解消するために変更された前記変更前構成情報に基づいて、前記端末の構成を復旧してもよい。
【００３０】
かかる発明によれば、競合関係を解消して、端末の構成を安全に復元した後、所定サービスを利用することができる。
【００３１】
本発明の第１の特徴において、外部の装置から、前記サービス種別と前記所定サービス構成情報とを受信する構成情報取得部を具備してもよい。
【００３２】
かかる発明によれば、端末は、新たなサービスに対応した端末の構成を示す所定サービス構成情報、及び、更新された所定サービス構成情報を、適宜取得することができる。
【００３３】
本発明の第１の特徴において、前記構成変更部が、プロセスを制御するプロセス制御部を具備してもよい。
【００３４】
かかる発明によれば、プロセスの一時停止や終了や権限制限や再開や起動等を行うことができるので、端末の構成を適切に変更することができる。
【００３５】
本発明の第１の特徴において、前記構成変更部が、プログラム及びデータファイルを制御するファイル制御部を具備してもよい。
【００３６】
かかる発明によれば、プログラムやデータファイルの削除や導入や暗号化や復号化や外部記憶への一時退避や復旧等を行うことができるので、端末の構成を適切に変更することができる。
【００３７】
本発明の第１の特徴において、前記構成変更部が、前記端末の起動を制御する起動制御部を具備してもよい。
【００３８】
かかる発明によれば、端末の起動モードを選択したり、指定ソフトウェアのみを起動させる起動プロセスを実行したりすることができるので、端末の構成を適切に変更することができる。
【００３９】
本発明の第２の特徴は、端末を用いて所定サービスを利用するサービス利用方法であって、前記所定サービスのサービス種別と、該所定サービスの利用に適切な構成を示す所定サービス構成情報とを関連付けて保持する工程と、前記所定サービスの利用要求に応じて、該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択する工程と、選択された前記所定サービス構成情報に基づいて、前記端末の構成を変更する工程と、変更された前記端末の構成を示す変更後構成情報を測定する工程と、選択された前記所定サービス構成情報と、測定された前記変更後構成情報とが一致するか否かについて比較することによって、前記端末が前記所定サービスを利用可能であるか否かについて検証する工程とを有することを要旨とする。
【発明の効果】
【００４０】
以上説明したように、本発明によれば、所定サービスのセキュリティ要求に端末の構成を適合させることができるサービス利用方法及び端末を提供することを目的とする。
【発明を実施するための最良の形態】
【００４１】
（本発明の第１の実施形態に係る端末の構成）
図１及び図２を参照して、本発明の第１の実施形態に係る端末３０の構成について説明する。
【００４２】
本発明の第１の実施形態に係る端末３０は、例えば、携帯電話やＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔ）やノートブックパソコン等の携帯通信端末であり、図示しない通信インタフェースを備えている。
【００４３】
また、端末３０は、セルラー方式や無線ＬＡＮ方式やＢｌｕｅｔｏｏｔｈ方式や赤外線方式等の無線通信や、イーサネット（登録商標）やバス等の有線通信によって、端末検証装置１０や、端末３０に対して所定サービスを提供するサーバ２０と通信することができる。
【００４４】
ここで、サーバ２０は、ＰＣやワークステーションや携帯通信端末や情報家電端末やテレビチューナや指紋認証機器や無線ＬＡＮカードやＧＰＳ機器等の任意の装置であり、端末３０との間で通信を行うことができる。
【００４５】
図１に示すように、端末３０は、セッション管理部３１と、構成管理部３２と、構成選択部３３と、構成変更部３４と、プロセス制御部３５と、ファイル制御部３６と、起動制御部３７と、競合検知部３８と、競合解消部３９と、構成変更提示部４０と、構成変更照合部４１と、制御部４２と、構成測定部４３と、構成検証部４４と、検証要求部４５と、構成証明送信部４６と、構成復旧部４７と、構成記憶部４８と、復旧可否判定部４９と、復旧可否提示部５０と、復旧可否照会部５１と、復旧競合検知部５２と、復旧競合解消部５３と、構成情報取得部５４とを具備している。
【００４６】
セッション管理部３１は、所定サービスに係るセッションの状態を示すセッション状態情報を管理するように構成されている。
【００４７】
ここで、セッション状態情報は、セッションの開始や終了や中断等を示すものであり、アプリケーションやミドルウェアやＯＳからの通知やセッション管理部３１自身の監視手段によって獲得されるものである。
【００４８】
また、所定サービスは、サーバ２０を利用するためのプログラムである。なお、所定サービスは、例えば、アプリケーションやミドルウェアやデバイスドライバ等のいずれの形態を採ることができるように、その実装形態や種別を問わない。
【００４９】
構成管理部３２は、図２に示すように、所定サービスの「サービス種別」と、当該所定サービスの利用に適切な構成を示す「所定サービス構成情報（すなわち、所定サービスのセキュリティ要求を満たす端末の構成を示す情報）」とを関連付けて保持するように構成されている。
【００５０】
図２の例では、「サービス１（無線対戦ゲーム）」に関連付けられている所定サービス構成情報としては、「信頼できる機関によるデジタル署名を保持しないプロセス（信頼できないプロセス）を終了させること」、「対戦ゲームのセッション中にサービス１の実行に関係のない他プロセスの起動を禁止する」という端末の構成が指定されている。
【００５１】
また、「サービス２（外付けＴＶチューナーデバイス）」に関連付けられている所定サービス構成情報としては、「外付けチューナーデバイスによるＴＶ視聴のセッション中に、端末上のプロセスの通信先や保存先やビデオフレームバッファへのアクセス等を制限する」、「導入できるドライバを制限する」という端末の構成が指定されている。
【００５２】
また、「サービス３（バンキングアプリケーション）」に関連付けられている所定サービス構成情報としては、「複数の起動モード（通常のアプリケーションを動作させるための通常起動モードや、セキュリティ要求の高いアプリケーション実行用のセキュア起動モード等）を持つ端末において、バンキングサーバにアクセスする前に、セキュア起動モードで再起動する」という端末の構成が指定されている。
【００５３】
また、構成管理部３２は、端末３０の現在の構成を示す現状構成情報や、構成変更部４０による変更の前後の端末３０の構成を示す変更前構成情報及び変更後構成情報を記憶するように構成されている。
【００５４】
具体的には、構成管理部３２は、上述の構成情報として、起動しているプロセスのリストや、組み込まれているモジュール（デバイスドライバ等）のリストや、端末３０内のプログラム及びデータファイルのリストや、現在の起動モード等を、データベースやテーブルに保持する。
【００５５】
構成選択部３３は、所定サービスの利用要求（サービス利用イベント）に応じて、構成管理部３２を参照して、当該所定サービスのサービス種別に関連付けられている所定サービス構成情報を選択するように構成されている。
【００５６】
例えば、構成選択部３３は、所定サービスに係るセッションの開始時に、構成管理部３２を参照して、当該所定サービス種別に関連付けられている所定サービス構成情報を選択するように構成されていてもよい。
【００５７】
構成変更部３４は、構成選択部３３によって選択された所定サービス構成情報に基づいて、すなわち、所定サービスに対応した構成に適合するように、端末３０の構成を変更するように構成されている。
【００５８】
また、構成変更部３４は、競合検知部３８及び競合解消部３９からの指示に応じて、端末３０の構成を変更するように構成されていてもよい。
【００５９】
構成変更部３４は、競合解消部３９により競合関係を解消するために変更された所定サービス構成情報に基づいて、端末３０の構成を変更するように構成されていてもよい。
【００６０】
また、構成変更部３４は、ユーザによって許可された場合にのみ、端末３０の構成を変更するように構成されていてもよい。
【００６１】
また、構成変更部３４は、プロセス制御部３５に対して、特定のプロセスに対する制御を行うように指示する。また、構成変更部３４は、ファイル制御部３６に対して、プログラム及びデータファイルを制御するように指示する。また、構成変更部３４は、起動制御部３７に対して、端末３０の起動（再起動）する際の構成を指定して、端末３０の起動（再起動）を制御するように指示する。
【００６２】
プロセス制御部３５は、構成変更部３４からの指示に応じて、特定のプロセスの一時停止や終了や再開や起動や権限制限等について制御することができる。
【００６３】
ファイル制御部３６は、構成変更部３４からの指示に応じて、プログラムやデータファイルの削除や導入や暗号化や復号化や外部記憶への一時退避や復旧等について制御することができる。
【００６４】
端末起動制御部３７は、構成変更部３４からの指示に応じて、端末３０の起動モードを選択したり、指定ソフトウェアのみを起動させる起動プロセスを実行したりすることができる。
【００６５】
競合検知部３８は、所定サービスの利用要求（サービス利用イベント）に応じて、構成管理部３２を参照して、当該所定サービスのサービス種別に関連付けられている所定サービス構成情報と、端末３０の現在の構成を示す現状構成情報との間の競合関係の有無を判定するように構成されている。
【００６６】
例えば、競合検知部３８は、所定サービスに係るセッション開始の際に、上述の競合関係の有無を判定するように構成されていてもよい。
【００６７】
競合関係がないと判定された場合（端末３０の現在の構成、すなわち、端末３０において実行中のサービスに対応する構成に影響を与えない場合）、構成変更部３４は、端末の構成を変更することができ、実行中のサービスに加えて、所定サービスを新たに利用することができる。
【００６８】
一方、上述の競合関係があると判定される場合、競合解消部３８が、かかる競合関係を解消するように、所定サービス構成情報を変更する。
【００６９】
なお、競合解消部３８は、上述の競合関係があると判定された所定サービス構成情報をユーザに対して提示し、ユーザの指示に従って当該所定サービス構成情報を変更するように構成されている。
【００７０】
以下、図２に示す所定サービス構成情報において発生し得る競合関係の一例について説明する。
【００７１】
＜競合１−１＞
端末は、サービス１を実行中に、サービス１の実行に関連のないサービスｘを実行することができない。
【００７２】
＜競合１−２＞
端末は、サービス１の起動時に、信頼できないサービスｙを終了することができず、サービス１を起動できない。
【００７３】
＜競合２−１＞
端末は、サービス２を実行中に、サービスａを起動しても権限の制限により、サービスａについての必要な処理ができない。
【００７４】
＜競合２−２＞
端末は、サービス２の起動時に、ドライバｂを利用しているサービスｃが終了できず、サービス２を起動できない。
【００７５】
＜競合３−１＞
端末は、サービス３を実行中に、サービスｅを起動しようとしても、セキュア起動モードで動作しているため、必要なライブラリが利用不可能であり、起動できない。
【００７６】
＜競合３−２＞
端末は、サービスｆを実行中のため、セキュアモードで再起動できず、サービス３を起動できない。
【００７７】
以下、上述の競合関係を解消するための手段の一例について説明する。ここで、実行中のサービスを「サービスｉ」とし、セッションを開始するサービスを「サービスｘ」とする。
【００７８】
＜解消手段１＞  「サービスｉ」を一時停止/終了
＜解消手段２＞  「サービスｘ」の開始を「サービスｉ」の終了まで延期
＜解消手段３＞  「サービスｉ」の権限を一時制限
＜解消手段４＞  「サービスｘ」の権限を制限して起動
＜解消手段５＞  要求された端末の構成にカスタマイズされた仮想マシンを起動
さらに、所定サービス構成情報に、複数の制約（段階的な制約）が付与されている場合、よりきめ細かく適切な端末の構成を選択することができる。かかる制約としては、例えば、競合関係が生じた場合に端末３０の構成を必ずしも適合させる必要の無い構成を示す「ソフト制約」や、競合関係が生じた場合であっても必ず端末３０の構成適合させなければならない構成を示す「ハード制約」等が考えられる。
【００７９】
例えば、図２のサービス１では、「信頼できる機関によるデジタル署名を保持しない信頼できないサービスを終了させること」及び「対戦ゲームのセッション中にサービス１の実行に関係のない信頼できないプロセスの起動を禁止すること」という構成が「ハード制約」であり、「対戦ゲームのセッション中にサービス１の実行に関係のない他のサービスの起動を禁止すること」という構成が「ソフト制約」であるものとする。
【００８０】
かかる場合、「サービス１を実行中に、（サービス１と関連のない）サービスｘを実行することができない」という競合関係（＜競合１−１＞）の一部については解消することができ、信頼できるサービスに限って実行可能となる。
【００８１】
競合解消部３９は、上述の制約を考慮して、上述の競合関係を解消するように所定サービス構成情報を変更する。
【００８２】
構成変更提示部４０は、構成変更部３４によって変更される予定の構成についてユーザに提示するように構成されている。
【００８３】
構成変更照会部４１は、ユーザに対して、かかる変更処理を行ってもよいか否かについて問い合わせるように構成されている。
【００８４】
構成変更照会部４１は、ユーザに対して、かかる変更処理を行ってもよいか否かについての二択で問い合わせてもよいし、端末３０の構成ごとに変更処理を行ってもよいか否かについて問い合わせてもよい。
【００８５】
制御部４２は、端末３０に設けられている各部を制御するように構成されている。制御部４２は、後述する端末３０の構成変更手順や構成復旧手順に従って、各部の起動や各部の間の入出力を制御する。
【００８６】
構成測定部４３は、構成変更部３４によって変更された端末３０の構成を示す変更後構成情報を測定するように構成されている。
【００８７】
例えば、構成測定部４３は、ＯＳが提供するコマンドや専用の測定プログラムを用いて、プログラムやデータファイルのハッシュ値を計算したり、ファイル名や属性を獲得したり、ＯＳが提供するコマンドにより起動しているプロセスや組み込まれているモジュール情報を取得したり、これまでに起動したプロセスの履歴やこれまでにロード又はアンロードされたモジュールの履歴等を測定することによって、上述の変更後構成情報を測定するように構成されている。
【００８８】
構成検証部４４は、構成選択部３３によって選択された所定サービス構成情報と、構成測定部４３によって測定された変更後構成情報とが一致するか否かについて比較することによって、端末３０が所定サービスを利用可能であるか否か（すなわち、端末３０が所定サービスに対応する構成（所定サービスのセキュリティ要求を満たす構成）を具備しているか否か）について検証するように構成されている。
【００８９】
具体的には、構成検証部４４は、所定サービス構成情報と変更後構成情報との間に異なる部分が無い場合、変更された端末３０の構成が所定サービスを利用するのに適切であると判断する。
【００９０】
なお、構成検証部４４は、変更された端末３０の構成が所定サービスを利用するのに適切であると判断された場合、そのことを証明する構成証明書を作成して保持してもよい。
【００９１】
検証要求部４５は、外部の端末検証装置１０に対して、サービス種別と変更後構成情報とを含む構成証明要求を送信することによって、端末３０が所定サービスを利用可能であるか否かについての検証を要求するように構成されている。
【００９２】
また、検証要求部４５は、上述の構成証明要求に対する応答として、外部の端末検証装置１０から構成証明応答を受信する。
【００９３】
なお、構成証明要求には、構成情報の改ざんやリプレイを防ぐため、「ｎｏｎｃｅ」やデジタル署名が含められていてもよい。
【００９４】
かかる検証が成功した場合、構成証明応答に、端末検証装置１０による構成証明書が含まれており、検証が失敗した場合、構成証明応答に、構成証明書が含まれておらず、例えば、端末３０の構成が不適合であるとの応答メッセージや不適合の箇所を示すメッセージが含まれる。
【００９５】
構成証明送信部４６は、サーバ２０に対して、上述の構成証明書を用いて、所定サービスの利用要求を送信するように構成されている。
【００９６】
ここで、サーバ２０は、受信した構成証明書について検証することにより、端末３０が信頼できることを確認することができ、所定サービスの提供の可否を選択することができる。
【００９７】
構成復旧部４７は、所定サービスに係るセッションの終了時に、構成管理部３２に記憶されている変更前構成情報に基づいて、端末３０の構成を復旧するように構成されている。
【００９８】
具体的には、構成復旧部４７は、一時停止又は終了したプロセスの再開や、モジュールのロード又はアンロードや、プロセスに与える権限を通常通りに設定することや、プログラムやデータファイルの再インストールや、端末３０の通常モードにおける再起動等を行うことによって、端末３０の構成を復旧するように構成されている。
【００９９】
また、構成復旧部４７は、ユーザによって許可された場合にのみ、端末３０の構成を復旧するように構成されていてもよい。
【０１００】
また、構成復旧部４７は、後述するように競合関係を解消するために復旧競合解消部５３によって変更された変更前構成情報に基づいて、端末３０の構成を復旧するように構成されていてもよい。
【０１０１】
復旧可否判定部４９は、端末３０の構成の復旧を試みる前に、かかる復旧が可能であるか否かについて判定するように構成されている。
【０１０２】
例えば、復旧可否判定部４９は、プロセス制御やモジュール制御やファイル制御や起動制御等の復旧手段において、かかる復旧を実行することができるか否かについての判断を行う。
【０１０３】
復旧可否提示部５０は、復旧可否判定部４９によって生成された復旧対象の構成についてユーザに提示するように構成されている。
【０１０４】
復旧可否照会部５１は、ユーザに対して、かかる復旧処理を行ってもよいか否かについて問い合わせるように構成されている。
【０１０５】
復旧可否照会部５１は、ユーザに対して、かかる復旧処理を行ってもよいか否かについての二択で問い合わせてもよいし、構成ごとに復旧処理を行ってもよいか否かについて問い合わせてもよい。
【０１０６】
復旧競合検知部５２は、現状構成情報と変更前構成情報との間の競合関係の有無を判定するように構成されている。
【０１０７】
復旧競合解消部５３は、上述の競合関係を解消するように変更前構成情報を変更するように構成されている。
【０１０８】
構成情報取得部５４は、外部の装置から、サービス種別と所定サービス構成情報とを受信するように構成されている。
【０１０９】
例えば、構成情報取得部５４は、端末検証装置１０から、ネットワークや外部ストレージ等を通じて、サービス種別と所定サービス構成情報とを取得して、構成管理部３２に渡して保持させる。
【０１１０】
なお、構成情報取得部５４は、定期的に、サービス種別と所定サービス構成情報とを取得してもよい。また、構成情報取得部５４は、ユーザからの要求や、端末３０を管理するＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）又は通信事業者等のオペレータからの要求に基づいて、オンデマンドに、サービス種別と所定サービス構成情報とを取得してもよい。
【０１１１】
（本発明の第１の実施形態に係るサービス利用方法の動作）
図３乃至図７を参照して、本発明の第１の実施形態に係るサービス利用方法の動作について説明する。
【０１１２】
第１に、図３乃至図５を参照して、本発明の第１の実施形態に係るサービス利用方法において、端末３０の構成を変更する手順について説明する。
【０１１３】
図３に示すように、ステップＳ１０１において、端末３０は、サーバ２０に対して、所定サービスを提供するように要求するためのサービス接続要求（構成証明書を含まない）を送信した場合に、サーバ２０から、所定サービスのセキュリティ要求を満たす構成を採るように指示されるものとする。
【０１１４】
ステップＳ１０２において、端末３０は、端末３０の構成を、所定サービスのセキュリティ要求を満たす構成に変更する。以下、図４を参照して、かかる変更処理について具体的に説明する。
【０１１５】
図４に示すように、ステップＳ１０２ａにおいて、制御部４２が、所定のアプリケーションの起動や、所定のサーバへの接続や、所定の外部デバイスへの接続等のサービス利用イベントを契機に、構成選択部３３を呼び出し、パラメータとして、所定サービスのサービス種別を渡す。ここで、構成選択部３３は、渡されたサービス種別をキーに、構成管理部３２から、所定サービスの利用に適切な構成を示す所定サービス情報を選択する。
【０１１６】
ステップＳ１０２ｂにおいて、構成管理部３２が、端末の現在の構成を示す現状構成情報を記憶する。
【０１１７】
ステップＳ１０２ｃ及びＳ１０２ｄにおいて、構成変更部３４が呼び出され、構成変更提示部４０が、ユーザに対して変更する予定の構成（変更項目）を提示し、構成変更照会部４１が、かかる構成の変更を実行してよいか否かについて確認する。
【０１１８】
ユーザによって変更が許可された場合、本手順は、ステップＳ１０２ｅに進み、ユーザによって変更が拒否された場合（又は、そもそも変更の必要がない場合）、本手順は、端末の構成を変更することなく終了する。
【０１１９】
ステップＳ１０２ｅにおいて、構成変更部３４が、ユーザによって変更が許可された端末の構成について変更処理を実行し、ステップＳ１０２ｆにおいて、構成測定部４３が、変更後の端末の構成を示す変更後構成情報を測定する。
【０１２０】
ステップＳ１０２ｇにおいて、構成検証部４４が、測定された変更後構成情報と、選択された所定サービス構成情報とを比較することによって、端末３０の構成が所定サービスに適合しているか否かについて検証する。
【０１２１】
検証結果が失敗である場合、再度、端末の構成の変更処理を試みてもよい（ステップＳ１０２ｉ）。
【０１２２】
検証結果が成功である場合、所定サービスを利用するために外部の端末検証装置１０によって発行された構成証明書が必要であるため、検証要求部４５が、ステップＳ１０３において、端末検証装置１０に対して、所定サービスのサービス種別及び変更後構成情報を含む構成証明要求を送信して上述の検証を依頼し、ステップＳ１０４において、外部の端末検証装置１０から、構成証明書を含む構成証明書応答を受信する。
【０１２３】
構成証明送信部４６が、ステップＳ１０５において、構成証明書を含むサービス接続要求をサーバ２０に対して送信し、ステップＳ１０６において、サービス接続応答を受信する。
【０１２４】
ステップＳ１０７乃至Ｓ１０９において、端末３０は、サービス接続応答の受信に応じて、サーバ２０に接続して、所定サービスを利用する。
【０１２５】
ここで、図５を参照して、所定サービス構成情報と現状構成情報との間に競合関係が発生している場合の手順について説明する。
【０１２６】
図５に示すように、ステップＳ２０１において、制御部４２が、所定のアプリケーションの起動や、所定のサーバへの接続や、所定の外部デバイスへの接続等のサービス利用イベントを契機に、構成選択部３３を呼び出し、パラメータとして、所定サービスのサービス種別を渡す。ここで、構成選択部３３は、渡されたサービス種別をキーに、構成管理部３２から、所定サービスの利用に適切な構成を示す所定サービス情報を選択する。
【０１２７】
ステップＳ２０２において、構成管理部３２が、端末の現在の構成を示す現状構成情報を記憶する。
【０１２８】
ステップＳ２０３及びＳ２０４において、競合検知部３８が、所定サービス構成情報と現状構成情報とを比較して競合関係の有無を判定する。
【０１２９】
競合関係がないと判断された場合（実行中のサービスに対応する構成に影響を与えない場合）、本手順は、ステップＳ２０７に進む。
【０１３０】
一方、競合関係があると判断された場合、ステップＳ２０５及びＳ２０６において、競合解消部３９が、かかる競合関係を回避するための構成情報を生成する（すなわち、かかる競合関係を回避するために所定サービス構成情報を変更する）。
【０１３１】
競合関係が解消された場合、ステップＳ２０７において、構成変更部３４が呼び出され、構成変更提示部４０が、ユーザに対して変更する予定の構成（変更項目）を提示し、構成変更照会部４１が、かかる構成の変更を実行してよいか否かについて確認する。以下、本手順は、図４に示すＳ１０２ｄに進む。
【０１３２】
一方、競合関係を解消することができる構成がない場合、ステップＳ２０８において、競合解消部３９が、その旨をユーザに提示して、本手順は、終了する。
【０１３３】
第２に、図６を参照して、本発明の第１の実施形態に係るサービス利用方法において、端末３０の構成を復旧する手順について説明する。
【０１３４】
図６に示すように、ステップＳ３０１において、制御部４２が、所定のアプリケーションの終了や、所定のサーバとの切断や、所定の外部デバイスの着脱等のサービス利用イベントを契機に、構成復旧部４７を起動する。
【０１３５】
そして、構成復旧部４７は、端末３０の構成の復旧を試みる前に、復旧可否判定部４９を呼び出し、復旧可否を判定させる。
【０１３６】
ステップＳ３０２において、復旧可否提示部５０が、復旧可否判定部４９によって生成された復旧可否項目（復旧対象構成）をユーザに提示する。
【０１３７】
ステップＳ３０３において、復旧可否照会部５１が、ユーザに対して、復旧処理を行ってもよいかどうかについて問い合わせる。
【０１３８】
端末３０の構成の復旧についてユーザによって拒否された場合は、本手順は、当該端末３０の構成の復旧をとりやめて終了する。
【０１３９】
一方、端末３０の構成の復旧についてユーザによって許可された場合は、ステップＳ３０５において、構成復旧部４７が、ユーザによって選択された復旧項目（復旧対象構成）について復旧処理を行う。
【０１４０】
第３に、図７を参照して、本発明の第１の実施形態に係るサービス利用方法において、端末３０が構成情報を取得する手順について説明する。
【０１４１】
図７に示すように、ステップＳ４０１において、制御部４２が、定期的に、或いは、ユーザの要求や、端末を管理するＩＳＰや通信事業者等のオペレータからの要求に基づいて、オンデマンドに、構成情報取得部５４を呼び出し、端末検証装置１０等の外部装置から、サービス種別及び所定サービス構成情報を受信する。
【０１４２】
構成情報取得部５４が、かかる外部装置に接続した後、ステップＳ４０２において、構成情報の取得要求を発行して、サービス種別と所定サービス構成情報との組からなる構成情報を取得する。
【０１４３】
ステップＳ４０３において、構成管理部３２は、かかる構成情報を保持する。
【０１４４】
（本実施形態に係る端末及びサービス利用方法の作用・効果）
本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスに適合するように端末３０の構成を変更し、変更された端末３０の構成を検証した上で、所定サービスを安全に利用することができる。
【０１４５】
本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスに係るセッションの開始及び終了を契機として、端末の構成についての変更処理及び復旧処理を行うことで、ユーザの操作負担を減らして、所定サービスを安全に利用することができる。
【０１４６】
本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスのセキュリティ要求に係る競合関係を検知して回避・解消することで、複数のサービスを安全に利用することができる。
【０１４７】
本実施形態に係る端末３０及びサービス利用方法によれば、上述の検証によって端末３０の構成が正しく変更されていないと判断された場合、再度、端末３０の構成の変更を試みることもできる。
【０１４８】
本実施形態に係る端末３０及びサービス利用方法によれば、ユーザは、変更される端末３０の構成を確認することができ、かかる端末３０の構成の変更を実行したくない場合には、当該端末３０の構成の変更を取りやめることができる。
【０１４９】
本実施形態に係る端末３０及びサービス利用方法によれば、端末３０の構成が所定サービスに対応した構成であることの証明を外部の端末検証装置１０から取得することができる。
【０１５０】
本実施形態に係る端末３０及びサービス利用方法によれば、サーバ２０は、端末３０が所定サービスに対応する構成を採っていることを確認した上で、当該端末３０に対して所定サービスを提供することができる。
【０１５１】
本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスに係るセッションと同期して、端末３０の構成を変更して、当該所定サービスを利用することができる。
【０１５２】
本実施形態に係る端末３０及びサービス利用方法によれば、所定サービスのセキュリティ要求に係る競合関係が発生している場合であっても、より適切な競合関係の解消を行うことができるので、所定サービスの利用可能性を向上させると共に、セキュリティ要求を満たすことができる。
【０１５３】
本実施形態に係る端末３０及びサービス利用方法によれば、ユーザは、所定サービスの利用が終了した後には、端末３０の構成を、所定サービス利用前の構成に戻すことができる。
【０１５４】
本実施形態に係る端末３０及びサービス利用方法によれば、ユーザは、復旧する端末３０の構成を確認することができ、復旧したくない端末の構成については復旧をとりやめることができる。
【０１５５】
本実施形態に係る端末３０及びサービス利用方法によれば、競合関係を解消して、端末の構成を安全に復元した後、所定サービスを利用することができる。
【０１５６】
本実施形態に係る端末３０及びサービス利用方法によれば、端末３０は、新たなサービスに対応した端末３０の構成を示す所定サービス構成情報、及び、更新された所定サービス構成情報を、適宜取得することができる。
【０１５７】
本実施形態に係る端末３０及びサービス利用方法によれば、プロセスの一時停止や終了や権限制限や再開や起動等を行うことができるので、端末３０の構成を適切に変更することができる。
【０１５８】
本実施形態に係る端末３０及びサービス利用方法によれば、プログラムやデータファイルの削除や導入や暗号化や復号化や外部記憶への一時退避や復旧等を行うことができるので、端末３０の構成を適切に変更することができる。
【０１５９】
本実施形態に係る端末３０及びサービス利用方法によれば、端末３０の起動モードを選択したり、指定ソフトウェアのみを起動させる起動プロセスを実行したりすることができるので、端末３０の構成を適切に変更することができる。
【０１６０】
（本発明の第２の実施形態）
図８に示すように、本発明の第２の実施形態に係る端末３０は、仮想マシンモニタ（Ｖｉｒｔｕａｌ  Ｍａｃｈｉｎｅ  Ｍｏｎｉｔｏｒ：ＶＭＭ）の機能を具備するように構成されている。端末３０内に、ＶＭＭの機能によって仮想マシン（ＶＭ）を複数起動することができ、図８では、管理ＶＭ（仮想マシン）、通常モードＶＭ、セキュアモードＶＭが記載されている。
【０１６１】
本発明の第２の実施形態に係る端末３０は、端末３０の各部３１乃至５４が管理ＶＭ（仮想マシン）に配置される点と、端末３０によって複数の仮想マシンが起動される点とを除いて、本発明の第１の実施形態に係る端末３０の同様である。
【０１６２】
本発明の第２の実施形態に係る端末３０によれば、仮想マシンモニタによってサービスごとに異なる端末の構成を共存することが可能であるため、複数のサービスのセキュリティ要求に係る競合関係を回避することができる。例えば、セキュア起動モードによる起動を要求するサービス３に対して、通常モードＶＭ内の構成を維持しながら、セキュアモードＶＭを起動して、その中でサービス３を実行することができる。すなわち、サービス３と通常モードＶＭ内のサービスの競合関係を回避することができる。
【０１６３】
また、本発明の第２の実施形態に係る端末３０によれば、所定サービスを利用する際に、端末の現在の構成を変更せずに、所定サービスに適合した仮想マシンを構成することで、安全にサービスを利用することができる。
【図面の簡単な説明】
【０１６４】
【図１】本発明の第１の実施形態に係る端末の構成を示すブロック図である。
【図２】本発明の第１の実施形態に係る端末の構成を示す構成情報の一例を示す図である。
【図３】本発明の第１の実施形態に係るサービス利用方法の動作を示すシーケンス図である。
【図４】本発明の第１の実施形態に係るサービス利用方法において、端末の構成を変更する手順を示すフローチャートである。
【図５】本発明の第１の実施形態に係るサービス利用方法において、競合関係を解消する手順を示す図である。
【図６】本発明の第１の実施形態に係るサービス利用方法において、端末の構成を復旧する手順を示すフローチャートである。
【図７】本発明の第１の実施形態に係るサービス利用方法において、所定サービス構成情報を取得する手順を示すフローチャートである。
【図８】本発明の第２の実施形態に係る端末の構成を示すブロック図である。
【符号の説明】
【０１６５】
１０…端末検証装置
２０…サーバ
３０…端末
３１…セッション管理部
３２…構成管理部
３３…構成選択部
３４…構成変更部
３５…プロセス制御部
３６…ファイル制御部
３７…起動制御部
３８…競合検知部
３９…競合解消部
４０…構成変更提示部
４１…構成変更照合部
４２…制御部
４３…構成測定部
４４…構成検証部
４５…検証要求部
４６…構成証明送信部
４７…構成復旧部
４８…構成記憶部
４９…復旧可否判定部
５０…復旧可否提示部
５１…復旧可否照会部
５２…復旧競合検知部
５３…復旧競合解消部
５４…構成情報取得部
【図１】
2006338554.tif 000003
【図２】
2006338554.tif 000004
【図３】
2006338554.tif 000005
【図４】
2006338554.tif 000006
【図５】
2006338554.tif 000007
【図６】
2006338554.tif 000008
【図７】
2006338554.tif 000009
【図８】
2006338554.tif 000010