(57)【要約】セキュリティサブシステムは、コモンバスを介して安全なシステムのコンポーネント間のデータ送信権を制御する。セキュリティサブシステムは、アクセスコントローラに結合され、好ましくはこのコントローラへの配線による接続を介して結合されたセキュアブロックを備える。このセキュアブロックは、コンポーネント間のアクセス権を排他的に制御し、セキュリティ機能およびデータをメインプロセッサから有効に分離できる。セキュリティはアクセスコントロールを介してコンポーネントへ、または、コモンバスを介してコンポーネントのサブセットへ提供されるので、安全なシステム内のセキュリティサブシステムの能率的かつ有効な統合が実現可能である。
2005531079.tif 000002
【特許請求の範囲】
【請求項１】
システム内の主要な機能を達成するため構成されたメインプロセッサと、
前記メインプロセッサと共通のバスを介してデータを送信するため構成された複数のコンポーネントと、
定義されたアクセス権に基づいて、前記メインプロセッサと前記複数のコンポーネントの１つまたはそれ以上のコンポーネントとの間のデータの送信を選択的に禁止するため構成されたアクセスコントローラと、
前記メインプロセッサとは独立して、前記アクセス権を定義するために構成されたセキュアブロックと、
を備えるシステム。
【請求項２】
前記アクセスコントローラは、前記メインプロセッサと前記１つまたはそれ以上のコンポーネントとの間の前記アクセス権を定義するアクセスコントロールマトリックスのコンテンツに基づいて前記データの送信を選択的に禁止するために構成され、
前記セキュアブロックは、前記アクセスコントロールマトリックスのコンテンツを排他的に制御するために構成されている請求項１に記載のシステム。
【請求項３】
前記アクセスコントロールマトリックスは、前記アクセスコントロールマトリックスのコンテンツを前記セキュアブロックへと変形するための権利を排他的に制限するそれ自身へのアクセス権の定義を含む請求項２に記載のシステム。
【請求項４】
前記複数のコンポーネントは、前記メインプロセッサと作用可能に結合された第１の入力／出力コンポーネントを含み、
前記セキュアブロックは、前記メインプロセッサから分離された第２の入力／出力コンポーネントを含む請求項１に記載のシステム。
【請求項５】
前記セキュアブロックは、
セキュリティプロセッサと、
メモリと、
入力／出力コンポーネントと、
を備える請求項１に記載のシステム。
【請求項６】
前記セキュアブロックはさらに、
暗号処理を容易にする１つまたはそれ以上の素子、
を備える請求項５に記載のシステム。
【請求項７】
前記複数のコンポーネントは、
キーコンポーネントと、
前記メインプロセッサに作用可能に結合されて、前記キーコンポーネントに含まれるキーの値に基づく暗号処理を提供する暗号コンポーネントと、を備え、
前記セキュアブロックは、前記キーコンポーネントに対して前記キーの値を提供するために構成され、
前記アクセスコントローラは、前記セキュアブロックと前記キーコンポーネントとの間で、および、前記バスを介して前記亜号コンポーネントと前記キーコンポーネントとの間で、データ送信が許可されているが、前記バスを介して前記キーコンポーネントと前記メインプロセッサとの間でのデータの送信を前記セキュアブロックにより禁止するために構成されている請求項１に記載のシステム。
【請求項８】
前記複数のコンポーネントは、
外部の資源からの情報を受信するために構成された入力／出力コンポーネントと、
前記情報を記憶するために構成されたメモリコンポーネントと、を備え、
前記セキュアブロックは、
前記情報の認証を決定し、
前記認証が決定されるまでに、前記メモリコンポーネントと前記メインプロセッサとの間のアクセス権を拒否する
ように構成されている請求項１に記載のシステム。
【請求項９】
前記セキュアブロックに作用可能に結合され、時間の持続の測定を与えるように構成されたタイミング装置をさらに備え、
前記セキュアブロックは、前記時間の持続の測定の少なくとも１つに基づいて、１つまたはそれ以上のアクセス権を定義するために構成されている請求項１に記載のシステム。
【請求項１０】
複数のコンポーネント、メインプロセッサ、セキュアブロックの間のデータ送信用のコモンバスを有する保護されたシステムを安全にする方法において、
前記複数のコンポーネント、前記メインプロセッサ、前記セキュアブロックの間のアクセス権を定義する、および、
前記複数のコンポーネント、前記メインプロセッサ、前記セキュアブロックの間の前記アクセス権に基づいて、前記コモンバス上の精選されたデータ送信を禁止すると共に、
前記アクセス権は、前記メインプロセッサから独立して、前記セキュアブロックにより定義される方法。
【請求項１１】
前記アクセス権を定義することは、前記セキュアブロックとキーコンポーネントとの間のデータ送信を許可すること、および、前記メインプロセッサと前記キーコンポーネントとの間のデータ送信を禁止すること、を含み、
前記セキュアブロックから前記キーコンポーネントに対してキーの値を送信すること、および
前記キーコンポーネントでの前記キーの値に基づいて、前記メインプロセッサの制御の下、暗号処理を達成すること、
を更に含む請求項１０に記載の方法。
【請求項１２】
前記アクセス権を定義することは、前記メインプロセッサと前記複数のコンポーネントの精選されたコンポーネントとの間のデータ送信を禁止することを含み、さらに、
前記コモンバスからは分離された入力／出力コンポーネントを介して前記セキュアブロックで情報を受信し、
前記コモンバスを介して前記セキュアブロックから前記精選されたコンポーネントに前記情報を送信することを含む請求項１０に記載の方法。
【請求項１３】
前記アクセス権を定義することは、前記メインプロセッサと前記複数のコンポーネントの精選されたコンポーネントとの間のデータ送信を禁止することを含み、さらに、
外部情報源から前記精選されたコンポーネントで情報を受信し、
前記外部情報源からの前記情報の認証を決定し、
前記認証に基づいて、前記メインプロセッサと前記精選されたコンポーネントとの間のデータ送信を許可するアクセス権を再定義することを含む請求項１０に記載の方法。
【請求項１４】
時間の持続を測定し、
前記時間の持続に基づいて、前記アクセス権を再定義することをさらに含む請求項１０に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、電子システムの分野に関し、特に、メインプロセッサから精選［select］ブロックを分離させて、これにより前記精選ブロックをメインプロセッサの潜在的危うさから分離できる、セキュリティコプロセッサを備える電子システムに関する。
【背景技術】
【０００２】
電子システムをハッカーから防護するセキュリティシステムの必要性、および／または何人かのハッカーが作るウィルスは、増え続けている。エンターテインメントシステムの領域においては、ハッカーは、直接またはウィルスプログラムの頒布を介しての何れかにより、他のコンピュータ内の情報へのアクセスおよび／または情報の変更を継続的に試みている。ホームオートメーションおよび消費者の設備について途切れることなく統合の進歩がなされるのにつれて、“コンピューティングシステム”、“エンターテインメントシステム”、“家庭電化製品ネットワーク”その他との間の区別は、ますます不明確になってくるであろうし、電子装置の集合のほとんど全てまたは大部分は、ハッカーに対して影響を受け易いであろう。
【０００３】
例えばコンテンツマテリアル（content material）をテレビジョンコンバータボックスから選択するアクセスを防止するために用いられる、典型的なセキュリティシステムでは“スマートカード”のようなセキュリティ装置は、コンテンツマテリアルの購入のようなユーザの行為を確実に保証するために用いられる。典型的には、スマートカードは、暗号解読装置との間で通信される暗号キーを生成しており、解読装置はこのキーを用いてコンテンツマテリアルを解読する。さらに典型的には、変調器の設計の実務を考慮するためにスマートカード装置は、一般的にはコンバータボックスの内部の他の機能をもまた制御するプロセッサの制御の下、コモンバスを介して解読装置へこのキーを通信する。プロセッサにより使用されるコードの変造は、例えば、キーをコピーしたりこのマテリアルを購入しなかったユーザに対してこのキーを分配したりすることにより、スマートカードより与えられるセキュリティを危うくする（compromise）可能性がある。
【０００４】
他のセキュリティシステムでは、セキュリティ装置は、コモンバスから、さらにコモンプロセッサから分離されている。しかしながら、このようなシステムは、直接二地点間接続を必要とするので、一般的には高価であり、個別の装置間の直接の接続であるから、多用途性は低くなる。また、これらのシステムはコモンプロセッサから目的を持って分離されているので、これらのシステムは、しばしば、例えばコモンプロセッサより提供されたインターフェースとは異なるユーザインターフェースを有しており、一般的にはコモンシステムに良好には統合されていない。パーソナルコンピュータの分野、または、家庭用電化製品の分野では、信頼できるコプロセッサは、信頼できるプロセスと手順とを提供するために用いられているが、家電製品またはコンピュータのメインプロセッサと共に最小のインターフェースで敢えて提供される。
【発明の開示】
【０００５】
この発明は、コモンシステムバスを介して信頼できる情報の送信を許容するセキュリティシステムを提供することを目的とする。この発明は、他の機能やデータのメインプロセッサへの統合を許容しながら、選択機能やデータをメインプロセッサから分離するセキュリティシステムを提供することを他の目的とする。この発明は、コモンバスを介して信頼できる通信チャネルを提供することをさらに他の目的としている。
【０００６】
これらの目的およびその他は、コモンバスを介して、保護されたシステムのコンポーネント（components―構成要素―）間のデータ送信権を制御するセキュリティサブシステムを提供することにより達成される。このセキュリティサブシステムは、アクセスコントローラに、好ましくは配線で接続された接続を介してコントローラに、結合されたセキュア（secure―安全にする―）ブロックを備えている。このセキュアブロックは、コンポーネント間のアクセス権を排他的に制御して、セキュリティ機能とデータとをメインプロセッサから有効に分離できる。このセキュリティはアクセス制御を介してコンポーネントに提供され、または、コモンバスを介してコンポーネントのサブセットへと提供されているので、保護されたシステム内部へのセキュリティサブシステムの能率的および有効な統合が実現できる。
【発明を実施するための最良の形態】
【０００７】
この発明は、添付図面を参照しながら実施例の方法によりさらに詳細に説明される。
【０００８】
図面を通して、同一の参照符号は同一または相当する特徴または機能を示している。
【０００９】
図１は、この発明による保護システム１００の実施例のブロック図を示している。このシステム１００は、従来のメインプロセッサ１２０、入力／出力コンポーネント１３０、メモリ素子１４０，１４５、および、ＤＥＳ（Data Encryption Standard―データ暗号化規格―）解読素子１７０，１７５を備えるように示されている。これらの要素は、従来のプロセッシングシステムの例示的なコンポーネントを表現するために示されており、しかしながら、この発明の原理はこのシステムすなわち保護されているシステムを備える個別のコンポーネントにより限定されない。すなわち、システム１００の要素１２０〜１７５は、何れかのプロセッシングシステムを表現することを目的としており、このシステムではメインプロセッサ１２０は、要求されるままに、補助的な要素および装置１３０〜１７５を用いて、このシステムの主要な機能をもたらしている。
【００１０】
この発明によれば、さらに後に説明される、アクセスコントローラ２００がコモンバス構成を介してシステム１００の幾つかのまたは全てのコンポーネント間のデータおよび／または制御信号の通信を制御する。この発明の好適な実施形態においては、アクセスマトリックス２６０は、システム１００のコンポーネントのペアの間の、許可されたおよび／または禁止された、通信チャネルを識別する。特に注目すべきなのは、アクセスコントローラ２００はこのシステムのコンポーネントを選択するためにメインプロセッサ１２０からの通信を妨げて、これにより、メインプロセッサ１２０によって実行されるコードを改悪し、または、取り替えるハッカーやウィルスからこれらのコンポーネントを保護することができる。この明細書において定義されるように、コンポーネントは独自にアクセスしやすい資源であり、１つの装置、複数の装置または装置のサブセットに対応していても良い。例えば、装置の選択レジスタは、装置の残りのレジスタが他のコンポーネントを形成している間に、システム１００の１つのコンポーネントを形成しても良い。
【００１１】
セキュアブロック１１０は、メインプロセッサ１２０から独立して、アクセスマトリックス２６０の制御を持続するために設けられている。上述したように、アクセスマトリックス２６０は、それ自身へのアクセス権を含む、システム１００のコンポーネントを選択するアクセス権を定義する。セキュアブロック１１０を、アクセスマトリックス２６０への“書き込み”特権を有するシステム１００のただ１つのコンポーネントとして識別することにより、たとえこのシステム１００のそれぞれのコンポーネントがコモンバス構造を介して通信していたとしても、アクセスコントローラ２００が他のどのコンポーネントよりもアクセスマトリックス２６０のコンテンツを変形することを防止するであろう。
【００１２】
好ましい実施形態において、セキュアブロック１１０は、システム１００の全ての感度の良くないコンポーネントにメインプロセッサ１２０がアクセスすることを許可するために構成されており、これにより、コンポーネントまたは機能を選択するための保護されたチャネルを依然として提供している間に、システム１００内の機能の統合を許可することができる。すなわち、この発明のシステム１００は、このコモンバス構造内で安全なチャネルを依然として維持し続けている間に、機能の効率的な統合と標準寸法設計技術とのためのコモンバス構造の利点を享受する。
【００１３】
セキュアブロック１１０の例は、セキュリティプロセッサ１１１、メモリ１１２、入力／出力コンポーネント１１３、バスインターフェース１１５、および、暗号化処理を円滑に行なうコンポーネント１１６，１１７を備えるように図示されている。この明細書に定義されているように、“メモリ”は、ＲＯＭ，ＲＡＭ，レジスタ，ファイルその他を含んでおり、その後の検索のための、１つまたはそれ以上のデータ項目を記憶するために構成された何れかの素子を含んでいる。これらのコンポーネント１１１〜１１７は、以下にさらに説明するようにたとえセキュアブロック１１０の特定の実施例がこの一例の実施例に図示されたコンポーネントよりも、より多くの、または、より少ないコンポーネントを含んでいるかもしれないとしても、安全にする機能を提供する機能的なブロックの典型的な実施例における例示的なコンポーネントとして図示されている。
【００１４】
アクセスマトリックス２６０のコンテンツを制御することに加えて、セキュリティプロセッサ１１１は、安全のキーの生成や変換のような、特に暗号化の機能を達成させるためのコプロセッシング（coprocessing―共同で処理する―）コンポーネント１１６，１１７を用いて、暗号化のサービスを提供するために構成されている。入力／出力コンポーネント１１３は、スマートカードやＰＩＮキーパッド等のような、他のセキュリティ装置との安全な通信を容易にするための１つまたはそれ以上の入力／出力チャネルを提供する。入力／出力コンポーネント１１３により提供されたこれらのチャネルが、システム１００の“安全でない”部分での入力／出力コンポーネント１３０により提供される入力／出力チャネルから孤立されていることは、注目される。バスインターフェース１１５は、システム１００のコモンバス構造を介して、セキュアブロック１１０とシステム１００の残りのものとの間の通信を提供する。アクセスコントローラ２００は、精選されたペアのコンポーネントの間のアクセス権を強化するために設けられているという理由で、このバスインターフェース１１５は、幾つかのコンポーネントとの間で安全なチャネルを効果的に提供し、さらに、状況が必要とするときに、他のコンポーネントとの間でオープンチャネルを提供する。
【００１５】
図２は、この発明によるセキュリティシステムでの使用のためのバスアクセスコントローラ２００の例を図示しており、この明細書に参考のために組み入れられる、代理人ドケットＵＳ０２１４８として、発明者ティモシ・ポンティウム（Timothy Pontius）、ルネ・ジェンセン（Rune Jensen）、および、ソーワルド・ラブラー（Thorwald Rabeler）のために、２００２年５月２４日に出願された同時に係属している米国特許出願“アクセスコントロールバスシステム”に開示されている。他のアクセスコントロール技術は、同様にうまく実現されても良い。
【００１６】
この同時係属の出願に開示されているように、アクセスコントローラ２００は、データ送信要求の“イニシエータ（initiator―開始プログラム―）”および、この要求の“ターゲット（target―対象―）”の間の定義されたアクセス権に基づいて、システム内の装置のペアの間のデータ送信を制御する。例えば、プロセッサは、典型的には、ターゲットメモリからデータ用の要求の読出し、または、ターゲットメモリへのデータ用の要求の書き込みのイニシエータである。コントローラ２００の例では、各イニシエータ２１０は、独立したインターフェース２１６を介してコントローラ２００に結合され、独立した結合は各イニシエータを独自にかつ安全に識別するために役立っている。他方で、各ターゲットはコモンデータインターフェース２２８を介して、および、コモンバスインターフェース２２８を介してターゲットを選択的に情報を送信または受信できるようにしたりまたはできないようにしたりするための独立したインターフェース２２６を介して、バスに結合されている。好適な実施形態において、コントローラへのこの結合は、コントローラ２００およびイニシエータ２１０およびターゲット２２０のそれぞれを含む集積化回路内に経路を決められた配線のセットのような、配線された接続を介して行なわれている。このようにして、偽物のイニシエータを置き換える試みは、保護されたシステムへの物理的な変形を必要とし、セキュリティは、遠く離れたハッカーまたはソフトウェアウィルスから保護される。アクセスコントローラ２００は、アクセスコントロールマトリックス２６０のコンテンツに基づいて、それぞれ必要とされるデータ送信のアクセス権を決定する。同時係属している出願に開示されているように、コントロールマトリックスの２６０の実際の構成は、リストやレジスタ等を含む種々の形の何れであっても良い。この用語マトリックスは、情報の形に関係なく、各イニシエータと各ターゲットとの間のアクセス権のマッピングが決定できることを意味するものとして用いられる。
【００１７】
図３は、この発明による保護されたシステム内の装置の間のアクセス権を確認するためのアクセスコントロールマトリックス２６０の例を示している。この例のマトリックス２６０におけるＡ、ＢおよびＣとラベルを付けられた列（row）は、図２のイニシエータＡ、イニシエータＢ、イニシエータＣのイニシエータにそれぞれ対応する。１，２および３とラベルを付けられた行（column）は、図２のターゲット１、ターゲット２およびターゲット３のターゲットにそれぞれ対応する。（行‘０’は後で説明される。）この例のマトリックス２６０において、“ａ”は全てのアクセス権が許可されることを示し、“ｒ”は読出し専用アクセス権が許可されることを示し、“ｗ”は書き込み専用アクセス権が許可されることを示し、そして、“−”はアクセス権が許可されないことを示している。より簡単な実施形態では、アクセス権は、データ送信の方向とは独立し、２つの成分“イエス”と“ノー”のみを含んでいても良いし；または、全てのイニシエータが全ての装置に対する読出し権を有しても良く、このアクセス権はターゲットを選択するためにデータを書き込む権利を単に制限するかも知れない。これらの代替例やその他の例は、この開示に鑑みて、この技術分野の熟練者にとっては明白であろう。例えば、より複雑な実施形態において、アクセスコントロールマトリックスは、ブロックデータ送信その他を達成できるイニシエータ−ターゲットのペアのような、権利だけでなく可能性の表示も同様に含んでいても良い。
【００１８】
このアクセスコントロールマトリックス２６０は、イニシエータ２１０またはターゲット２２０が付加され、または、保護されたシステムから取り外されるので、アクセス権の作成や変形を許可するために、好ましくはプログラム可能である。アクセスコントロールマトリックス２６０へのアクセスを制御するために、アクセスコントロールマトリックス２６０は、“０”のラベルを付された行を含み、この例では、バスコントローラ２００、具体的にはアクセスコントロールマトリックス２６０に対応する。
【００１９】
上述したように、図２のバスコントローラ２００は、アクセスコントロールマトリックス２６０により表示されたアクセス権に基づいて、各イニシエータ２１０からのデータ送信要求を受信して、そして、このデータ送信要求のターゲット２２０を選択的に可能にするように構成される。図３のマトリックス２６０の例を用いて、もしもイニシエータＡまたはイニシエータＣがターゲット３へのデータ送信要求を提出するならば、バスコントローラ２００は、アクセスコントロールマトリックス２６０の行“３”内の“−”（権利なし）のエントリーに基づいて、要求を拒否するであろうし、ターゲット３に要求された送信を達成させることを可能にさせないようにするであろう。同様にもしもイニシエータＢがターゲット３からイニシエータＢへのデータ送信を要求するのならば（すなわち、“読出し”要求）、コントローラ２００はこの要求を拒否するであろう。他方、もしもイニシエータＢがイニシエータＢからターゲット３へのデータ送信を要求するのならば（すなわち、“書き込み”要求）、コントローラ２００は、アクセスコントロールマトリックス２６０内への“ｗ”（書き込み専用）のエントリーに基づいて、ターゲット３にこのデータを受信することを可能にするであろう。
【００２０】
同様に、図２のアクセスコントロールマトリックス２６０の例に基づいて、図１のバスコントローラ２００は、行“０”の第１の列内の“ａ”（全ての権利あり）のエントリーに対応して、イニシエータＡにアクセスコントロールマトリックス２６０への読出しまたは書き込みを許可するであろうが、行“０”のその他の列のそれぞれへの“−”（権利なし）のエントリーに基づいて、他のイニシエータ２１０のそれぞれがアクセスコントロールマトリックス２６０ヘアクセスするのを防止するであろう。このようにして、イニシエータＡのみが、イニシエータ２１０およびターゲット２２０の間のアクセス権を変形することを許可される。上述したように、この発明の原理によれば、この例のイニシエータＡは図１のセキュアブロック１１０に対応する。他方、図１のメインプロセッサ１２０は、異なるイニシエータに対応し、これにより、イニシエータ２１０とターゲット２２０の間のアクセス権の変形から防止される。
【００２１】
以下の複数の段落は、他のプロセスがこの開示に鑑みてこの技術分野における熟練者にとって明白であったとしても、セキュアブロック１１０、アクセスコントローラ２００およびアクセスマトリックス２６０により形成されるセキュリティサブシステムにより提供されるセキュリティプロセスの例を定義する。
【００２２】
メインプロセッサ１２０の精選されたコンポーネントからの分離―このアクセスコントロールマトリックス２６０は、装置内の精選されたレジスタから、および、メモリの精選された領域から、メインプロセッサ１２０を分離できる。図１に示されるように、システムのメモリは、区別可能な領域へと論理的に分割されても良いし、各領域へのアクセス権は、異なっていても良い。例えば、全ての装置は、メモリ領域１４０へのアクセスを有していても良いが、セキュアブロック１１０は、メモリ領域１４５へ書き込むことができる装置のみであっても良いし、解読装置１７０は、このメモリ領域１４５から読み出すことができる精選されたいくつかの装置のうちの１つであっても良い。好適な実施形態において、メモリの論理的な分割は、動的であり、アクセスコントロールマトリックスは、各区画に対応してメモリ空間の上部および下部の境界を含むように構成される。好適な実施形態において、セキュアブロック１１０はまた、他のコンポーネントが、その専属的な使用または半専属的な使用のためにコンポーネントが用いられるメモリ空間の割り当てを要求することを許可するために構成される。
【００２３】
キーの暗号ユニットへの安全な注入―セキュアブロック１１０は暗号化処理装置１７０に１つまたはそれ以上のキー１７５を提供でき、他のコンポーネントの何れか特にメインプロセッサ１２０により、これらのキーに対するアクセスを防ぐことができる。暗号化装置１７０は、メインプロセッサ１２０により制御されても良く、プロセッサ１２０の代わりに暗号化または暗号解読のサービスを提供しても良いが、セキュアブロック１１０のみがキー１７５への書き込みアクセスを有するであろうし、装置１７０のみが読出しアクセスを有するであろう。同様に、暗号化／暗号解読の動作の起点と行く先は、特定の装置またはプロセスへのアクセス不能であるかも知れず、これにより、セキュリティプロセスの区分化を許容できる。例えば、メインプロセッサ１２０は、暗号化されたコンテンツマテリアルへアクセスすることを許容されても良いが、暗号解読されたマテリアルへのアクセスは、表示装置へ暗号解読されたマテリアルを移動させるダイレクトメモリアクセス（ＤＭＡ―Direct Memory Access―）装置に限定されるかもしれない。セキュアブロック１１０のみが装置間でのアクセス権を変形できるので、これらのセキュリティの特徴は、メインプロセッサ１２０により実行されるコードの改悪または置き換えに関係なく、引き続き有効である。
【００２４】
他のプロセッサとの安全な通信―入力／出力コンポーネント１１３は、メインプロセッサ１２０から分離された１つまたはそれ以上の通信チャネルを準備する。したがって、セキュアプロセッサ１１１は、セキュア通信チャネルを、例えばスマートカードといった外部プロセッサと共に確立する。スマートカードは、このセキュア通信チャネルを介して、セキュアブロック１１０に対して、暗号化／暗号解読キーを提供でき、これらのキーは、上述したように、キー装置１７５へのアクセス制御通信を介して、暗号装置１７０へ引き続いて通信されることができる。メインプロセッサ１２０は、たとえこのメインプロセッサ１２０により実行されるコードが危うくなっているとしても、この安全な送信を危うくすることはない。同様に、セキュアブロック１１０は、入力／出力コンポーネント１１３の安全なチャネルを介して遠く離れたプロセッサからのキー更新メッセージを受信でき、メインテナンスプロセッサによりシステム１００への安全なアクセスを許可できる。
【００２５】
外部装置との安全な通信―入力／出力コンポーネント１１３は、個人識別番号（ＰＩＮ―Personal Identification Number―）を入力するのに用いられる例えばキーパッドのような外部装置との通信を、メインプロセッサ１２０により監視されているＰＩＮを用いないで、許可する。代替的に、キーパッドは、共通の入力／出力コンポーネント１３０における特定のポートに接続される可能性があり、そのポートへのアクセスは制限される可能性があり、特に、メインプロセッサ１２０によるそのポートへのアクセスを排除する。このように、安全なチャネルは、セキュアブロック１１０を介して流れる情報を必要とすることなしに外部装置とで確立することができる。
【００２６】
プログラムまたはデータの安全なダウンロード―セキュアブロック１１０は、メインプロセッサ１２０またはシステム１００内の他の装置により実行される前に、安全でない入力／出力ポート１３０から受信されたプログラムまたはデータの信憑性を確認するために構成できる。従来のディジタル署名照合技術、そして必要なときには装置１７０〜１７５を用いて、セキュアブロック１１０は、メモリ１４０，１４５へのアクセスを制限でき、これらのメモリにおいては、適切な照合確認が決定されるまで、受信されたプログラムまたはデータが記憶される。このような照合確認が決定されるまで、メインプロセッサ１２０またはその他の装置により受信されたマテリアルへのアクセスは、アクセスコントローラ２００により妨げられる。照合確認が受信されたとき、セキュアブロック１１０は、適切な装置により照合確認されたマテリアルへのアクセスを許可するように、アクセスコントロールマトリックス２６０を変更する。
【００２７】
上述した内容は単に、この発明の原理を説明している。従って、この明細書にはっきりと説明されていなくとも、この発明の原理を具体化してその精神と適用範囲内にある種々の構成をこの技術分野の熟練者が考え出すことができることは、十分に理解されるであろう。例えば、この発明のセキュリティのアスペクトは、制限された持続時間のアクセス権を提供するためのタイミング装置の使用を介して、さらに向上させることができる。例えば娯楽のマテリアルに関する暗号解読キーのような安全な項目は、“１日乗車券（one-day pass）”または他の時間を基準とした承諾・授権に関連づける可能性もある。もしもセキュリティプロセッサ１１１がタイミング装置への書き込みアクセスを許可されただけの装置であるならば、外部プロセッサは、承諾された時間の持続を延長するための“クロックバック（clock back―時計を戻す―）をセット”することができないようになるであろう。さらに、セキュリティプロセッサ１１１は、承諾された時間が経過したときに、コンテンツマテリアルおよび／または暗号解読キーを例えば削除するために、特定の対策を達成するために構成される可能性もあり、これにより、このマテリアルへのアクセス権を永遠に終了させることもできる。これらおよびその他のシステムの構成および最適化の特徴は、この開示を鑑みて、この技術分野の熟練者にとって明白であろうし、これらの特徴は添付の特許請求の範囲の範囲内に含まれている。
【図面の簡単な説明】
【００２８】
【図１】この発明による保護されたシステムを示すブロック図である。
【図２】この発明によるセキュリティシステム内の使用のためのアクセスコントローラの例を示すブロック図である。
【図３】この発明による保護されたシステム内の装置間のアクセス権を識別するためのアクセスコントロールマトリックスの例を示す説明図である。
【図１】
2005531079.tif 000003
【図２】
2005531079.tif 000004
【図３】
2005531079.tif 000005
【国際調査報告】
2005531079.tif 000006
2005531079.tif 000007
2005531079.tif 000008