(57)【要約】【課題】トラステッド実行環境で実行されるトラステッドアプリケーションのインストールの自由度を高くすることができるセキュアエレメント、コンピュータプログラム、デバイス、サーバ及びトラステッドアプリケーションのインストレーション方法を提供する。【解決手段】セキュアエレメントは、通常実行環境よりも安全なトラステッド実行環境でトラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得する取得部と、トラステッドアプリケーションを記憶する記憶部と、インストール要求を取得した場合、記憶部に記憶したトラステッドアプリケーションをデバイス本体へ出力する出力部とを備える。【選択図】図１
2019016281.tif 000002
【特許請求の範囲】
【請求項１】
通常実行環境よりも安全なトラステッド実行環境でトラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得する取得部と、
トラステッドアプリケーションを記憶する記憶部と、
前記取得部でインストール要求を取得した場合、前記記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する出力部と
を備えるセキュアエレメント。
【請求項２】
所定のサーバとの間でネットワーク接続の存否を判定する存否判定部を備え、
前記出力部は、
前記存否判定部でネットワーク接続が存在しないと判定した場合、前記記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する請求項１に記載のセキュアエレメント。
【請求項３】
前記存否判定部でネットワーク接続が存在すると判定した場合、前記サーバとの間で暗号化された秘匿通信路を確立する通信部と、
前記秘匿通信路を経由して前記サーバからトラステッドアプリケーションを受信する受信部と
を備え、
前記出力部は、
前記受信部で受信したトラステッドアプリケーションを前記デバイス本体へ出力する請求項２に記載のセキュアエレメント。
【請求項４】
前記受信部で受信したトラステッドアプリケーションで前記記憶部に記憶したトラステッドアプリケーションを更新する更新部を備える請求項３に記載のセキュアエレメント。
【請求項５】
前記デバイス本体が保持するトラステッドアプリケーションに係る情報を取得するアプリケーション取得部と、
該アプリケーション取得部で取得したトラステッドアプリケーションに係る情報と前記記憶部に記憶したトラステッドアプリケーションに係る情報との一致・不一致を判定する判定部と、
該判定部での判定結果を前記デバイス本体へ通知する通知部と
を備える請求項１から請求項４のいずれか一項に記載のセキュアエレメント。
【請求項６】
前記出力部は、
前記判定部で不一致と判定した場合、前記記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する請求項５に記載のセキュアエレメント。
【請求項７】
前記判定部は、
前記トラステッドアプリケーションに係る情報にハッシュ関数を適用して得られたハッシュ値の一致・不一致を判定する請求項５又は請求項６に記載のセキュアエレメント。
【請求項８】
コンピュータに、アプリケーションをインストールさせるためのコンピュータプログラムであって、
コンピュータに、
通常実行環境よりも安全なトラステッド実行環境でトラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得する処理と、
インストール要求を取得した場合、記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する処理と
を実行させるコンピュータプログラム。
【請求項９】
請求項１から請求項７のいずれか一項に記載のセキュアエレメントと、デバイス本体とを備えるデバイス。
【請求項１０】
前記デバイス本体は、
前記セキュアエレメントが記憶するトラステッドアプリケーションを取得する取得部と、
該取得部で取得したトラステッドアプリケーションと前記デバイス本体のトラステッド実行環境で実行するトラステッドアプリケーションとの一致・不一致を判定する判定部と
を備える請求項９に記載のデバイス。
【請求項１１】
通常実行環境よりも安全なトラステッド実行環境で実行されるトラステッドアプリケーションを複数記憶する記憶部と、
トラステッドアプリケーションの送信要求をセキュアエレメントから取得する取得部と、
該取得部で送信要求を取得した場合、前記記憶部に記憶した複数のトラステッドアプリケーションの中から送信要求に係るトラステッドアプリケーションを特定する特定部と、
該特定部で特定したトラステッドアプリケーションを前記セキュアエレメントへ送信する送信部と
を備えるサーバ。
【請求項１２】
通常実行環境よりも安全なトラステッド実行環境で実行されるトラステッドアプリケーションのインストレーション方法であって、
セキュアエレメントは、
トラステッドアプリケーションを記憶し、
トラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得し、
インストール要求を取得した場合、記憶したトラステッドアプリケーションを前記デバイス本体へ出力するトラステッドアプリケーションのインストレーション方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュアエレメント、コンピュータプログラム、デバイス、サーバ及びトラステッドアプリケーションのインストレーション方法に関する。
【背景技術】
【０００２】
ＩｏＴ（Internet of Things）では、多種多様なデバイスがネットワークに接続されることで新たな付加価値を生み出している。インターネットに接続されるデバイスが爆発的に増加することにより、攻撃者が狙う攻撃対象が拡大し、セキュリティ上の問題が徐々に顕在化している。
【０００３】
このような状況に対し、予めデバイスにセキュリティ対策を組み込む方法が開発されている。例えば、特許文献１には、プロセッサが搭載されたデバイスにおいて、ソフトウェアの実行環境を通常の実行環境（ノーマルワールド）と安全な実行環境（セキュアワールト、すなわち、ＴＥＥ：トラステッド実行環境）との二つの実行環境に物理的に分離し、セキュリティ上保護すべきソフトウェア又はデータを安全な実行環境に配置し、通常の実行環境及び外部からの安全な実行環境に対するアクセスを制限するという技術仕様に基づいて、デバイスのセキュリティを確保する技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特表２０１４−５２５１０５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
通常の実行環境で実行される汎用アプリケーションは、自由度が大きく、ネットワーク経由又はローカルストレージ経由でインストールすることができる。しかし、上述の技術仕様では、トラステッド実行環境で実行されるトラステッドアプリケーションは、通常の実行環境経由のみでしかインストールすることができないという制限が存在する。このため、例えば、デバイスのセットアップ時のように、デバイスがネットワークと接続されていない状態（オフライン環境）では、所定のサーバとトラステッド実行環境との間の通信を利用して、トラステッドアプリケーションをインストールすることができない。また、通常の実行環境からトラステッド実行環境へコマンドを実行してトラステッドアプリケーションをインストールする場合、通常の実行環境とトラステッド実行環境との相互認証のための秘密鍵等の秘密情報をコマンド実行者に開示する必要がある。このように、オフライン環境においては、秘密情報を開示することなくトラステッドアプリケーションをインストールする方法がない。
【０００６】
本発明は、斯かる事情に鑑みてなされたものであり、トラステッド実行環境で実行されるトラステッドアプリケーションのインストールの自由度を高くすることができるセキュアエレメント、コンピュータプログラム、デバイス、サーバ及びトラステッドアプリケーションのインストレーション方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の実施の形態に係るセキュアエレメントは、通常実行環境よりも安全なトラステッド実行環境でトラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得する取得部と、トラステッドアプリケーションを記憶する記憶部と、前記取得部でインストール要求を取得した場合、前記記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する出力部とを備える。
【０００８】
本発明の実施の形態に係るコンピュータプログラムは、コンピュータに、アプリケーションをインストールさせるためのコンピュータプログラムであって、コンピュータに、通常実行環境よりも安全なトラステッド実行環境でトラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得する処理と、インストール要求を取得した場合、記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する処理とを実行させる。
【０００９】
本発明の実施の形態に係るデバイスは、本発明の実施の形態に係るセキュアエレメントと、デバイス本体とを備える。
【００１０】
本発明の実施の形態に係るサーバは、通常実行環境よりも安全なトラステッド実行環境で実行されるトラステッドアプリケーションを複数記憶する記憶部と、トラステッドアプリケーションの送信要求をセキュアエレメントから取得する取得部と、該取得部で送信要求を取得した場合、前記記憶部に記憶した複数のトラステッドアプリケーションの中から送信要求に係るトラステッドアプリケーションを特定する特定部と、該特定部で特定したトラステッドアプリケーションを前記セキュアエレメントへ送信する送信部とを備える。
【００１１】
本発明の実施の形態に係るトラステッドアプリケーションのインストレーション方法は、通常実行環境よりも安全なトラステッド実行環境で実行されるトラステッドアプリケーションのインストレーション方法であって、セキュアエレメントは、トラステッドアプリケーションを記憶し、トラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得し、インストール要求を取得した場合、記憶したトラステッドアプリケーションを前記デバイス本体へ出力する。
【発明の効果】
【００１２】
本発明によれば、トラステッド実行環境で実行されるトラステッドアプリケーションのインストールの自由度を大きくすることができる。
【図面の簡単な説明】
【００１３】
【図１】本実施の形態のトラステッドアプリケーションのインストレーションシステムの構成の一例を示すブロック図である。
【図２】本実施の形態の導入システムのオフライン時のトラステッドアプリケーションのインストール動作の一例を示す説明図である。
【図３】本実施の形態の導入システムのオンライン時のトラステッドアプリケーションのインストール動作の一例を示す説明図である。
【図４】本実施の形態の導入システムのトラステッドアプリケーションの改ざん検出と再インストール動作の一例を示す説明図である。
【図５】本実施の形態のセキュアエレメントによるトラステッドアプリケーションのインストール処理手順の一例を示すフローチャートである。
【図６】本実施の形態のセキュアエレメントによるトラステッドアプリケーションの改ざん検出及び再インストール処理手順の一例を示すフローチャートである。
【発明を実施するための形態】
【００１４】
以下、本発明の実施の形態を図面に基づいて説明する。図１は本実施の形態のトラステッドアプリケーションのインストレーションシステムの構成の一例を示すブロック図である。以下では、便宜上、トラステッドアプリケーションのインストレーションシステムを単に導入システムとも称する。本実施の形態の導入システムは、セキュアエレメント５０が組み込まれたデバイス１００、及びサーバ２００などを備える。デバイス１００は、「モノのインターネット」（ＩｏＴ）でいうところの「モノ」に該当するデバイス（電子デバイスとも称する）を含む。
【００１５】
デバイス１００は、セキュアエレメント５０の他に、デバイス本体１０を備える。デバイス本体１０とセキュアエレメント５０との間は、Ｉ２Ｃ（Inter-Integrated Circuit）、ＳＰＩ（Serial Peripheral Interface）等の通信路４５で物理的に接続されている。なお、セキュアエレメント５０は、ＵＩＣＣ（Universal Integrated Circuit Card）のように着脱可能な構成とすることもできる。
【００１６】
デバイス本体１０の大部分は、単一のＳｏＣ（System on a Chip）で構成され、一個の半導体チップ上にシステムの動作に必要な機能（例えば、ＣＰＵ４１、不図示のメモリなどを含む）の多く、あるいは全ての機能を一体化して実装している。
【００１７】
デバイス本体１０は、例えば、ＴｒｕｓｔＺｏｎｅ（登録商標）と称される技術を用いることによって、ソフトウェア（ＯＳ、アプリケーションなど）の実行環境を通常実行環境２０（ノーマルワールド、ＲＥＥ：Rich Execution Environmentとも称する）と、トラステッド実行環境３０（セキュアワールド、ＴＥＥ：Trusted Execution Environmentとも称する）との二つに分けている。通常実行環境２０とトラステッド実行環境３０との間では、メモリ空間、入出力装置などが分離されている。
【００１８】
通常実行環境２０は、広く一般的に利用されているＯＳの実行環境であり、トラステッド実行環境３０へのアクセスが制限される以外、特段の機能制約がない実行環境である。
【００１９】
トラステッド実行環境３０は、セキュリティ機能を隔離する目的で、同一のＳｏＣ上で通常実行環境２０とは別に提供される独立した実行環境である。トラステッド実行環境３０は、通常実行環境２０からのアクセスが制限されており、実行可能な機能も限定されている。なお、トラステッド実行環境３０は、例えば、ＴＥＥのような称呼に限定されるものではなく、通常実行環境２０と分離され、セキュリティ上より安全な実行環境であれば、どのような称呼の実行環境であってもよい。
【００２０】
セキュリティ上保護すべきソフトウェア及びデータをトラステッド実行環境３０に配置するとともに、通常実行環境２０及びデバイス１００の外部からのアクセスを制限することによって、デバイス１００のセキュリティを確保することができる。なお、ＴＥＥは、ＴｒｕｓｔＺｏｎｅの設計思想に基づく仕様を表す用語としても用いられる。
【００２１】
上述のように、通常実行環境２０からトラステッド実行環境３０にはアクセスできないように制限されるので、通常実行環境２０からはトラステッド実行環境３０の存在を認識することはできない。通常実行環境２０からトラステッド実行環境３０で実行する処理を呼び出すためには、セキュアモニタ４０を経由しなければならない。
【００２２】
通常実行環境２０では、汎用ＯＳ２１、汎用アプリケーション２２などを実行することができる。また、トラステッド実行環境３０では、トラステッドＯＳ３１、トラステッドアプリケーション３２、管理用トラステッドアプリケーション３３などを実行することができる。
【００２３】
汎用ＯＳ２１は、通常実行環境２０においてＯＳの機能を果たすソフトウェアである。汎用ＯＳ２１は、汎用アプリケーション２２からの要求に応じ、デバイス１００に接続されたハードウェア（入出力装置）の制御等を含む各種ＯＳ機能を提供する。汎用ＯＳ２１は、トラステッドアプリケーション３２を利用するためのインタフェースとして機能することもできる。
【００２４】
汎用アプリケーション２２は、汎用ＯＳ２１上で動作するアプリケーションである。なお、図１では、便宜上、一つの汎用アプリケーション２２を図示しているが、汎用アプリケーション２２の数は複数でもよい。
【００２５】
トラステッドＯＳ３１は、トラステッド実行環境３０においてＯＳの機能を果たすソフトウェアである。トラステッドＯＳ３１は、トラステッドアプリケーション３２からの要求に応じて、セキュリティ機能を中心としたＯＳ機能を提供する。また、トラステッドＯＳ３１は、通常実行環境２０とトラステッド実行環境３０との通信（例えば、通常実行環境２０からの機能実行要求又はデータの授受など）を行うためのインタフェース機能を有し、通常実行環境２０（汎用アプリケーション２２）とトラステッドアプリケーション３２との間の通信路としても機能する。
【００２６】
トラステッドアプリケーション３２は、トラステッドＯＳ３１上で動作するアプリケーションである。トラステッドアプリケーション３２は、セキュリティ上の保護が必要な機能（例えば、鍵管理、暗号演算など）を実装することができる。なお、図１では、便宜上、一つのトラステッドアプリケーション３２を図示しているが、トラステッドアプリケーション３２の数は複数でもよい。
【００２７】
管理用トラステッドアプリケーション３３は、トラステッドアプリケーション３２のインストール又は削除等、トラステッドＯＳ３１上のトラステッドアプリケーション３２のインストール状況を管理するためのアプリケーションである。
【００２８】
ネットワーク通信部４２は、デバイス１００をネットワークに接続する機能を有し、ネットワーク上のサービスサーバ（不図示）との間で情報の送受信を行うことができる。ネットワーク通信部４２は、不図示のセンサ類で検出した情報をサービスサーバ（不図示）送信することができる。
【００２９】
セキュアエレメント５０は、インストール処理部５１、検証処理部５２、ダウンロード処理部５３、記憶部５４などを備える。
【００３０】
記憶部５４は、トラステッドアプリケーション５４１を記憶する。なお、図１では、便宜上、記憶部５４に一つのトラステッドアプリケーション５４１を図示しているが、記憶部５４に記憶されるトラステッドアプリケーション５４１の数は複数でもよい。記憶部５４に記憶されるトラステッドアプリケーション５４１は、デバイス本体１０（より具体的には、トラステッド実行環境３０）へのインストール対象となるトラステッドアプリケーションである。
【００３１】
記憶部５４には、予めトラステッド実行環境３０で動作する１又は複数のトラステッドアプリケーション５４１を記憶しておくことができる。また、記憶部５４に記憶するトラステッドアプリケーション５４１には、デバイス１００が設置されて動作を開始した後に、初めてインストールされる可能性のあるトラステッドアプリケーション（すなわち、デバイス本体１０に当初インストールされていないトラステッドアプリケーション）を含めることができる。
【００３２】
インストール処理部５１は、取得部としての機能を有し、デバイス本体１０（より具体的には、管理用トラステッドアプリケーション３３）からトラステッドアプリケーションのインストール要求を取得する。
【００３３】
インストール処理部５１は、出力部としての機能を有し、インストール要求を取得した場合、記憶部５４に記憶したトラステッドアプリケーションをデバイス本体１０（より具体的には、トラステッド実行環境３０）へ出力する。この場合、管理用トラステッドアプリケーション３３は、セキュアエレメント５０から出力されたトラステッドアプリケーション５４１をデバイス本体１０（より具体的には、トラステッド実行環境３０）内にインストールすることができる。
【００３４】
インストール処理部５１は、存否判定部としての機能を有し、インストール要求を取得した場合、サーバ２００との間でネットワーク接続の存否を判定する。ネットワーク接続の存否は、ネットワーク接続が確立されているか、遮断されているかを判定する。デバイス本体１０又はセキュアエレメント５０とサーバ２００との間のネットワークは、例えば、イーサーネット、Ｗｉｆｉ、３Ｇ回線などの一般的なネットワークである。サーバ２００は、デバイス１００に対してトラステッドアプリケーションを配信することができるサーバとすることができる。サーバ２００の詳細は後述する。
【００３５】
また、インストール処理部５１は、ネットワーク接続が存在しないと判定した場合、インストール要求に係る（インストール対象となる）トラステッドアプリケーションを、記憶部５４を検索して特定し、特定したトラステッドアプリケーション５４１をトラステッド実行環境３０へ出力することができる。
【００３６】
これにより、例えば、デバイス１００がネットワークと接続されていない状態（オフライン環境）であっても、秘密情報を開示することなくトラステッドアプリケーションをインストールすることができ、トラステッド実行環境３０で実行されるトラステッドアプリケーションのインストールの自由度を大きくすることができる。
【００３７】
ダウンロード処理部５３は、通信部としての機能を有し、インストール処理部５１でネットワーク接続が存在すると判定した場合、サーバ２００との間で暗号化された秘匿通信路６１を確立する。
【００３８】
ダウンロード処理部５３は、受信部としての機能を有し、確立された秘匿通信路６１を経由してサーバ２００からインストール要求に係る（インストール対象となる）トラステッドアプリケーションを受信する。
【００３９】
秘匿通信路６１においては、例えば、ＴＬＳ（Transport Layer Security）などのプロトコルによって通信を行うことができる。これにより、トラステッドアプリケーションをサーバ２００から受信する際に、トラステッドアプリケーションに関する情報の改ざんの防止、あるいは受信の妨害を回避することができる。
【００４０】
この場合、インストール処理部５１は、ダウンロード処理部５３で受信したトラステッドアプリケーションをトラステッド実行環境３０へ出力する。オンライン環境において、トラステッドアプリケーションをサーバ２００から受信し、受信したトラステッドアプリケーションをトラステッド実行環境３０へ出力するので、トラステッド実行環境３０では、最新のトラステッドアプリケーションをインストールすることができる。
【００４１】
ダウンロード処理部５３は、更新部としての機能を有し、サーバ２００から受信したトラステッドアプリケーションで記憶部５４に記憶したトラステッドアプリケーションを更新する。
【００４２】
例えば、サーバ２００から受信したトラステッドアプリケーションのバージョン又はエディションが記憶部５４に記憶したトラステッドアプリケーションのバージョン又はエディションよりも新しい場合、トラステッドアプリケーションを更新することにより、セキュアエレメント５０内で最新のトラステッドアプリケーションを記憶することができる。なお、サーバ２００から受信したトラステッドアプリケーションが記憶部５４に記憶されていない場合には、受信したトラステッドアプリケーションをそのまま記憶部５４に記憶すればよい。
【００４３】
検証処理部５２は、アプリケーション取得部としての機能を有し、デバイス本体１０が保持するトラステッドアプリケーション（より具体的には、トラステッド実行環境３０で実行されるトラステッドアプリケーション３２のうちの判定対象（検証対象とも称する）のトラステッドアプリケーション３２）に係る情報を取得する。トラステッドアプリケーションに係る情報とは、トラステッドアプリケーション全体のデータでもよく、トラステッドアプリケーションの一部のデータでもよく、あるいはトラステッドアプリケーションのデータを変換（例えば、ハッシュ変換など）して得られたデータでもよい。
【００４４】
検証処理部５２は、判定部としての機能を有し、トラステッド実行環境３０から取得したトラステッドアプリケーション３２に係る情報と記憶部５４に記憶したトラステッドアプリケーション５４１に係る情報との一致・不一致を判定（検証とも称する）する。
【００４５】
両者が一致する場合には、トラステッド実行環境３０内の判定対象のトラステッドアプリケーション３２が、セキュアエレメント５０で記憶するトラステッドアプリケーション５４１と同じであるので、問題はないと判定することができる。両者が不一致である場合には、トラステッド実行環境３０内の判定対象のトラステッドアプリケーション３２が、例えば、改ざんされている、あるいは破損していると判定することができる。
【００４６】
検証処理部５２は、通知部としての機能を有し、判定結果を管理用トラステッドアプリケーション３３へ通知する。これにより、管理用トラステッドアプリケーション３３は、トラステッド実行環境３０内のトラステッドアプリケーション３２が改ざん又は破損しているか否かを確認することができる。
【００４７】
インストール処理部５１は、検証処理部５２で不一致と判定した場合、トラステッド実行環境３０内のトラステッドアプリケーション３２を置き換えるべくトラステッドアプリケーションの再インストールを行う。
【００４８】
トラステッド実行環境３０内のトラステッドアプリケーション３２の置き換え（再インストール）は、例えば、セキュアエレメント５０（より具体的には、インストール処理部５１）が、判定対象としたトラステッドアプリケーションをトラステッド実行環境３０へ出力し、管理用トラステッドアプリケーション３３が、トラステッド実行環境３０内のトラステッドアプリケーション３２を削除し、セキュアエレメント５０から取得したトラステッドアプリケーションを再インストールことにより行うことができる。これにより、デバイス本体１０は、当該トラステッドアプリケーションが行う機能を停止させることなく、当該トラステッドアプリケーションによる正常な動作を続けることが可能となる。
【００４９】
また、検証処理部５２は、トラステッドアプリケーションに係る情報にハッシュ関数を適用して得られたハッシュ値の一致・不一致を判定する。ハッシュ関数は、適宜のものを用いることができる。これにより、一致・不一致の判定に要するデータ量を少なくすることができ、セキュアエレメント５０の処理に係る負荷を軽減することができる。
【００５０】
セキュアエレメント５０は、耐タンパ性を有する。セキュアエレメント５０の記憶部５４は、例えば、不揮発性メモリで構成することができ、記憶されたトラステッドアプリケーション５４１を安全に保持することができる。セキュアエレメント５０の機能（例えば、インストール処理部５１、検証処理部５２、ダウンロード処理部５３、記憶部５４など）をハードウェアのモジュールで実現する場合、耐タンパ性を有するためには、セキュアエレメント５０を１チップ化にしてもよく、あるいは、モジュール表面をコーティングしてもよい。また、セキュアエレメント５０の機能をソフトウェアのモジュールで実現する場合、耐タンパ性を有するためには、実行コードを暗号化し、実行時に必要な部分だけをメモリ上で復号するようにすればよい。
【００５１】
なお、上述の例では、トラステッドアプリケーションの一致・不一致の判定処理をセキュアエレメント５０で行う構成であるが、これに限定されるものではなく、デバイス本体１０において、トラステッドアプリケーションの一致・不一致の判定処理を行うこともできる。
【００５２】
デバイス本体１０がトラステッドアプリケーションの一致・不一致の判定処理を行う場合、例えば、管理用トラステッドアプリケーション３３が、セキュアエレメント５０が記憶するトラステッドアプリケーションを取得する。管理用トラステッドアプリケーション３３は、トラステッドアプリケーションとデバイス本体１０のトラステッド実行環境３０で実行するトラステッドアプリケーションのうち判定対象のトラステッドアプリケーションとの一致・不一致を判定する。管理用トラステッドアプリケーション３３は、両者が不一致である場合には、トラステッド実行環境３０内の判定対象のトラステッドアプリケーションが、例えば、改ざんされている、あるいは破損していると判定することができる。
【００５３】
サーバ２００は、セキュアエレメント５０と通信することによって、セキュアエレメント５０内、及びデバイス本体１０のトラステッド実行環境３０内のトラステッドアプリケーションを管理することができる。
【００５４】
サーバ２００は、記憶部２０１、配信処理部２１０などを備える。記憶部２０１は、複数のトラステッドアプリケーション２０２、２０３、…を記憶する。
【００５５】
配信処理部２１０は、取得部としての機能を有し、秘匿通信路６１を介してトラステッドアプリケーションの送信要求をセキュアエレメント５０から取得する。
【００５６】
配信処理部２１０は、特定部としての機能を有し、送信要求を取得した場合、記憶部２０１に記憶した複数のトラステッドアプリケーションの中から送信要求に係るトラステッドアプリケーションを特定する。
【００５７】
配信処理部２１０は、送信部としての機能を有し、秘匿通信路６１を介して特定したトラステッドアプリケーションをセキュアエレメント５０へ送信する。これにより、サーバは２００、セキュアエレメント５０が必要とするトラステッドアプリケーションをセキュアエレメント５０に提供することができる。
【００５８】
次に、本実施の形態の導入システムの動作について説明する。以下では、オフライン時のトラステッドアプリケーションのインストール動作、オンライン時のトラステッドアプリケーションのインストール動作、トラステッドアプリケーションの改ざん検出と再インストール動作について説明する。
【００５９】
図２は本実施の形態の導入システムのオフライン時のトラステッドアプリケーションのインストール動作の一例を示す説明図である。以下、符号Ｐ１〜Ｐ３で示す処理について説明する。なお、セキュアエレメント５０内のトラステッドアプリケーション５４１は、製造段階などの工場出荷時、あるいはオンライン時のインストールによって、記憶部５４に記憶されている。また、以下の図２〜図４では、デバイス本体１０のうち所要の箇所のみ図示する。
【００６０】
Ｐ１（トラステッドアプリケーションのインストール要求）：管理用トラステッドアプリケーション３３は、セキュアエレメント５０のインストール処理部５１に対して、所要のトラステッドアプリケーションのインストール要求を出力する。
【００６１】
Ｐ２（インストール対象のトラステッドアプリケーションの特定）：インストール処理部５１は、トラステッドアプリケーションのインストール要求を取得すると、サーバ２００へのネットワーク接続が遮断されていることを確認した上で、記憶部５４を検索することによって、インストール対象のトラステッドアプリケーションを特定する。
【００６２】
Ｐ３（セキュアエレメント５０からトラステッド実行環境３０へインストール）：インストール処理部５１は、トラステッド実行環境３０に対し、特定した（インストール対象の）トラステッドアプリケーションを出力する。
【００６３】
なお、図２の例では、トラステッド実行環境３０とセキュアエレメント５０との間でインストール要求及びトラステッドアプリケーションのインストールを行っているが、これに限定されない。例えば、通常実行環境２０とセキュアエレメント５０との間で秘匿通信を確立した上で、通常実行環境２０に対してトラステッドアプリケーションを出力し、出力されたトラステッドアプリケーションを通常実行環境２０からトラステッド実行環境３０にインストールしてもよい。
【００６４】
図３は本実施の形態の導入システムのオンライン時のトラステッドアプリケーションのインストール動作の一例を示す説明図である。以下、符号Ｐ１１〜Ｐ１８で示す処理について説明する。
【００６５】
Ｐ１１（トラステッドアプリケーションのインストール要求）：管理用トラステッドアプリケーション３３は、セキュアエレメント５０のインストール処理部５１に対して、所要のトラステッドアプリケーションのインストール要求を出力する。
【００６６】
Ｐ１２（トラステッドアプリケーションのダウンロード依頼）：インストール処理部５１は、トラステッドアプリケーションのインストール要求を取得すると、サーバ２００へのネットワーク接続が存在する場合、ダウンロード処理部５３に対し、インストール対象のトラステッドアプリケーションのダウンロードを依頼する。
【００６７】
Ｐ１３（秘匿通信路６１の開設）：ダウンロード処理部５３は、ダウンロードの依頼を取得すると、セキュアエレメント５０とサーバ２００との間で、エンドツーエンドの秘匿通信路６１を開設する。セキュアエレメント５０が自ら物理的な通信手段（例えば、ＬＡＮ又はＷｉｆｉ等）を有する場合、通信路開設（通信路確立）を独力で行うことができるが、通信手段を有しない場合には、デバイス１００の物理的な通信手段を介してもよい。
【００６８】
Ｐ１４（サーバ２００への要求）：ダウンロード処理部５３は、秘匿通信路６１を経由してサーバ２００の配信処理部２１０に対し、トラステッドアプリケーションのダウンロード要求（送信要求）を行う。
【００６９】
Ｐ１５（配信対象の特定）：配信処理部２１０は、ダウンロード要求を取得すると、セキュアエレメント５０に対し、配信すべきトラステッドアプリケーションを特定する。
【００７０】
Ｐ１６（トラステッドアプリケーションの配信）：配信処理部２１０は、秘匿通信路６１を経由して、特定したトラステッドアプリケーションをセキュアエレメント５０へ配信する。
【００７１】
Ｐ１７（セキュアエレメント５０内のトラステッドアプリケーションの更新）：ダウンロード処理部５３は、セキュアエレメント５０の記憶部５４にダウンロード済の旧バージョンのトラステッドアプリケーションが存在する場合、旧バージョンのトラステッドアプリケーションをダウンロードした最新版のトラステッドアプリケーションで更新する。
【００７２】
Ｐ１８（セキュアエレメント５０からトラステッド実行環境３０へインストール）：インストール処理部５１は、トラステッド実行環境３０に対し、ダウンロードした最新版のトラステッドアプリケーションを出力する。
【００７３】
図４は本実施の形態の導入システムのトラステッドアプリケーションの改ざん検出と再インストール動作の一例を示す説明図である。以下、符号Ｐ２１〜Ｐ２５で示す処理について説明する。
【００７４】
Ｐ２１（トラステッド実行環境３０のトラステッドアプリケーションに係る情報の送信）：管理用トラステッドアプリケーション３３は、改ざん検出対象（判定対象）のトラステッドアプリケーションに係る情報を、セキュアエレメント５０の検証処理部５２に送信し、改ざん検出を要求する。
【００７５】
Ｐ２２（検出対象のトラステッドアプリケーションの特定）：検証処理部５２は、記憶部５４を検索することにより、改ざん検出要求を受けたトラステッドアプリケーションと比較すべきトラステッドアプリケーションを特定する。
【００７６】
Ｐ２３（判定処理の実行）：検証処理部５２は、管理用トラステッドアプリケーション３３から取得したトラステッドアプリケーションに係る情報と、特定したトラステッドアプリケーションに係る情報との一致・不一致を判定し、両者が一致しているか否かを検証する。判定の結果、両者が一致している場合、検証処理部５２は、判定結果を管理用トラステッドアプリケーション３３へ出力し、処理を終了する。
【００７７】
Ｐ２４（トラステッドアプリケーションの再インストール要求）：検証処理部５２は、判定の結果、両者が不一致である場合、トラステッド実行環境３０のトラステッドアプリケーションが改ざんされている、あるいは破損していると判定し、インストール処理部５１に対し、トラステッドアプリケーションの再インストールを要求する。
【００７８】
Ｐ２５（トラステッドアプリケーションの再インストール）：インストール処理部５１は、トラステッドアプリケーションの再インストールの要求を取得すると、記憶部５４に記憶したトラステッドアプリケーションのうち、判定対象としたトラステッドアプリケーションをトラステッド実行環境３０に出力する。管理用トラステッドアプリケーション３３は、インストール処理部５１が出力したトラステッドアプリケーションを再インストールする。これにより、トラステッド実行環境３０内の改ざんされたトラステッドアプリケーション又は破損したトラステッドアプリケーションを再インストールすることができる。
【００７９】
なお、図４に示す処理において、セキュアエレメント５０とサーバ２００との間で秘匿通信路６１を開設することができる場合、サーバ２００に対して、最新のトラステッドアプリケーションを配信するように要求し、取得した最新のトラステッドアプリケーションを再インストールしてもよい。
【００８０】
図５は本実施の形態の導入システムによるトラステッドアプリケーションのインストール処理手順の一例を示すフローチャートである。セキュアエレメント５０は、管理用トラステッドアプリケーション３３からトラステッドアプリケーションのインストール要求の有無を判定し（Ｓ１１）、インストール要求がない場合（Ｓ１１でＮＯ）、ステップＳ１１の処理を続ける。
【００８１】
トラステッドアプリケーションのインストール要求がある場合（Ｓ１１でＹＥＳ）、セキュアエレメント５０は、サーバ２００とのネットワーク接続が存在するか否かを判定する（Ｓ１２）。サーバ２００とのネットワーク接続が存在しない場合（Ｓ１２でＮＯ）、すなわち、オフライン環境である場合、セキュアエレメント５０は、インストール対象のトラステッドアプリケーションを検索し特定する（Ｓ１３）。
【００８２】
セキュアエレメント５０は、特定したインストール対象のトラステッドアプリケーションをデバイス本体１０（具体的には、トラステッド実行環境３０）へ出力し（Ｓ１４）、処理を終了する。
【００８３】
サーバ２００とのネットワーク接続が存在する場合（Ｓ１２でＹＥＳ）、すなわち、オンライン環境である場合、セキュアエレメント５０は、サーバ２００との間で秘匿通信路６１を確立（開設）し（Ｓ１５）、インストール対象のトラステッドアプリケーションのダウンロード要求をサーバ２００へ送信する（Ｓ１６）。
【００８４】
サーバ２００は、ダウンロード要求を受信し（Ｓ１０１）、記憶部２０１を検索することによってダウンロード要求に係るトラステッドアプリケーションを特定する（Ｓ１０２）。サーバ２００は、特定したトラステッドアプリケーションをセキュアエレメント５０へ送信する（Ｓ１０３）。
【００８５】
セキュアエレメント５０は、サーバ２００が送信したトラステッドアプリケーションを受信し（Ｓ１７）、受信したトラステッドアプリケーションをデバイス本体１０（具体的には、トラステッド実行環境３０）へ出力し（Ｓ１８）、受信したトラステッドアプリケーションを記憶部５４に記憶し（Ｓ１９）、処理を終了する。
【００８６】
図６は本実施の形態のセキュアエレメント５０によるトラステッドアプリケーションの改ざん検出及び再インストール処理手順の一例を示すフローチャートである。セキュアエレメント５０は、管理用トラステッドアプリケーション３３からトラステッドアプリケーションの改ざん検出要求の有無を判定し（Ｓ３１）、改ざん検出要求がない場合（Ｓ３１でＮＯ）、ステップＳ３１の処理を続ける。
【００８７】
改ざん検出要求がある場合（Ｓ３１でＹＥＳ）、セキュアエレメント５０は、改ざん検出対象のトラステッドアプリケーションの情報を取得し（Ｓ３２）、記憶部５４に記憶したトラステッドアプリケーションの中から改ざん検出対象のトラステッドアプリケーションを検索し特定する（Ｓ３３）。
【００８８】
セキュアエレメント５０は、管理用トラステッドアプリケーション３３から取得したトラステッドアプリケーションの情報と、特定したトラステッドアプリケーションの情報とが一致するか否かを判定する（Ｓ３４）。
【００８９】
情報が一致しない場合（Ｓ３４でＮＯ）、改ざん検出対象のトラステッドアプリケーションが改ざんされている（あるいは破損している）と判断し、セキュアエレメント５０は、特定したトラステッドアプリケーションをデバイス本体１０（具体的には、トラステッド実行環境３０）へ出力し（Ｓ３５）、処理を終了する。情報が一致する場合（Ｓ３４でＹＥＳ）、改ざん検出対象のトラステッドアプリケーションが改ざんされていない（あるいは破損していない）と判断し、セキュアエレメント５０は、処理を終了する。
【００９０】
なお、図６に示すようなトラステッドアプリケーションの改ざん検出処理は、デバイス本体１０で行うこともできる。
【００９１】
図５及び図６に示すような処理手順を定めたコンピュータプログラムをＲＡＭにロードし、ＣＰＵ（プロセッサ）により当該コンピュータプログラムを実行させることにより、セキュアエレメント５０の各処理をコンピュータプログラムによって実現することができる。
【００９２】
上述のように、本実施の形態によれば、ネットワーク接続を確保せずに、セキュアエレメント５０からデバイス本体１０（具体的には、トラステッド実行環境３０）に所要のトラステッドアプリケーションをインストールすることができる。また、セキュアエレメント５０が耐タンパ性を有することにより、トラステッドアプリケーションを物理的に保護することができる。
【００９３】
また、本実施の形態によれば、セキュアエレメント５０が独立した開設した秘匿通信路６１経由でサーバ２００から最新のトラステッドアプリケーションをダウンロードし、セキュアエレメント５０が記憶するトラステッドアプリケーションを最新のものに更新することができる。
【００９４】
また、本実施の形態によれば、ネットワーク接続が確保されていない状態であっても、改ざん又は破損したトラステッドアプリケーションを再インストールすることができる。
【００９５】
本実施の形態に係るセキュアエレメントは、通常実行環境よりも安全なトラステッド実行環境でトラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得する取得部と、トラステッドアプリケーションを記憶する記憶部と、前記取得部でインストール要求を取得した場合、前記記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する出力部とを備える。
【００９６】
本実施の形態に係るコンピュータプログラムは、コンピュータに、アプリケーションをインストールさせるためのコンピュータプログラムであって、コンピュータに、通常実行環境よりも安全なトラステッド実行環境でトラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得する処理と、インストール要求を取得した場合、記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する処理とを実行させる。
【００９７】
本実施の形態に係るデバイスは、本実施の形態に係るセキュアエレメントと、デバイス本体とを備える。
【００９８】
本実施の形態に係るトラステッドアプリケーションのインストレーション方法は、通常実行環境よりも安全なトラステッド実行環境で実行されるトラステッドアプリケーションのインストレーション方法であって、セキュアエレメントは、トラステッドアプリケーションを記憶し、トラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得し、インストール要求を取得した場合、記憶したトラステッドアプリケーションを前記デバイス本体へ出力する。
【００９９】
取得部は、通常実行環境よりも安全なトラステッド実行環境でトラステッドアプリケーションを実行するデバイス本体からトラステッドアプリケーションのインストール要求を取得する。インストール要求は、例えば、トラステッド実行環境でトラステッドアプリケーションのインストール又は削除、トラステッドアプリケーションのインストール状況を管理する管理用トラステッドアプリケーションが行うことができる。
【０１００】
記憶部は、トラステッドアプリケーションを記憶する。記憶部には、予めトラステッド実行環境で動作する１又は複数のトラステッドアプリケーションを記憶しておくことができる。また、記憶部に記憶するトラステッドアプリケーションには、デバイスが設置されて動作を開始した後に、初めてインストールされる可能性のあるトラステッドアプリケーション（すなわち、デバイス本体にインストールされていないトラステッドアプリケーション）を含めることができる。
【０１０１】
出力部は、取得部でインストール要求を取得した場合、記憶部に記憶したトラステッドアプリケーションをデバイス本体へ出力する。この場合、管理用トラステッドアプリケーションは、セキュアエレメントから出力されたトラステッドアプリケーションをデバイス本体内にインストールすることができる。これにより、例えば、デバイスがネットワークと接続されていない状態（オフライン環境）であっても、秘密情報を開示することなくトラステッドアプリケーションをインストールすることができ、トラステッド実行環境で実行されるトラステッドアプリケーションのインストールの自由度を大きくすることができる。
【０１０２】
本実施の形態に係るセキュアエレメントは、所定のサーバとの間でネットワーク接続の存否を判定する存否判定部を備え、前記出力部は、前記存否判定部でネットワーク接続が存在しないと判定した場合、前記記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する。
【０１０３】
存否判定部は、所定のサーバとの間でネットワーク接続の存否を判定する。所定のサーバは、例えば、デバイスに対してトラステッドアプリケーションを配信することができるサーバとすることができる。ネットワーク接続の存否は、ネットワーク接続が確立されているか、遮断されているかを判定する。
【０１０４】
出力部は、存否判定部でネットワーク接続が存在しないと判定した場合、記憶部に記憶したトラステッドアプリケーションをデバイス本体へ出力する。これにより、例えば、デバイスがネットワークと接続されていない状態（オフライン環境）であっても、秘密情報を開示することなくトラステッドアプリケーションをインストールすることができ、トラステッド実行環境で実行されるトラステッドアプリケーションのインストールの自由度を大きくすることができる。
【０１０５】
本実施の形態に係るセキュアエレメントは、前記存否判定部でネットワーク接続が存在すると判定した場合、前記サーバとの間で暗号化された秘匿通信路を確立する通信部と、前記秘匿通信路を経由して前記サーバからトラステッドアプリケーションを受信する受信部とを備え、前記出力部は、前記受信部で受信したトラステッドアプリケーションを前記デバイス本体へ出力する。
【０１０６】
通信部は、存否判定部でネットワーク接続が存在すると判定した場合、サーバとの間で暗号化された秘匿通信路を確立する。受信部は、確立された秘匿通信路を経由してサーバからトラステッドアプリケーションを受信する。秘匿通信路においては、例えば、ＴＬＳ（Transport Layer Security）などのプロトコルによって通信を行うことができる。これにより、トラステッドアプリケーションをサーバから受信する際に、トラステッドアプリケーションに関する情報の改ざんの防止、あるいは受信の妨害を回避することができる。
【０１０７】
出力部は、受信部で受信したトラステッドアプリケーションをデバイス本体へ出力する。オンライン環境において、トラステッドアプリケーションをサーバから受信し、受信したトラステッドアプリケーションをデバイス本体へ出力するので、デバイス本体では、最新のトラステッドアプリケーションをインストールすることができる。
【０１０８】
本実施の形態に係るセキュアエレメントは、前記受信部で受信したトラステッドアプリケーションで前記記憶部に記憶したトラステッドアプリケーションを更新する更新部を備える。
【０１０９】
更新部は、受信部で受信したトラステッドアプリケーションで記憶部に記憶したトラステッドアプリケーションを更新する。例えば、サーバから受信したトラステッドアプリケーションのバージョン又はエディションが記憶部に記憶したトラステッドアプリケーションのバージョン又はエディションよりも新しい場合、トラステッドアプリケーションを更新することにより、セキュアエレメント内で最新のトラステッドアプリケーションを記憶することができる。なお、サーバから受信したトラステッドアプリケーションが記憶部に記憶されていない場合には、受信したトラステッドアプリケーションをそのまま記憶部に記憶すればよい。
【０１１０】
本実施の形態に係るセキュアエレメントは、前記デバイス本体が保持するトラステッドアプリケーションに係る情報を取得するアプリケーション取得部と、該アプリケーション取得部で取得したトラステッドアプリケーションに係る情報と前記記憶部に記憶したトラステッドアプリケーションに係る情報との一致・不一致を判定する判定部と、該判定部での判定結果を前記デバイス本体へ通知する通知部とを備える。
【０１１１】
アプリケーション取得部は、デバイス本体が保持するトラステッドアプリケーションに係る情報を取得する。トラステッドアプリケーションに係る情報とは、トラステッドアプリケーション全体のデータでもよく、トラステッドアプリケーションの一部のデータでもよく、あるいはトラステッドアプリケーションのデータを変換（例えば、ハッシュ変換など）して得られたデータでもよい。
【０１１２】
判定部は、アプリケーション取得部で取得したトラステッドアプリケーションに係る情報と記憶部に記憶したトラステッドアプリケーションに係る情報との一致・不一致を判定する。両者が一致する場合には、デバイス本体が保持するトラステッドアプリケーションが、セキュアエレメントで記憶するトラステッドアプリケーションと同じであるので、問題はないと判定することができる。両者が不一致である場合には、デバイス本体が保持するトラステッドアプリケーションが、例えば、改ざんされている、あるいは破損していると判定することができる。
【０１１３】
通知部は、判定部での判定結果をデバイス本体へ通知する。これにより、デバイス本体は、デバイス本体が保持するトラステッドアプリケーションが改ざん又は破損しているか否かを確認することができる。
【０１１４】
本実施の形態に係るセキュアエレメントにおいて、前記出力部は、前記判定部で不一致と判定した場合、前記記憶部に記憶したトラステッドアプリケーションを前記デバイス本体へ出力する。
【０１１５】
出力部は、判定部で不一致と判定した場合、記憶部に記憶したトラステッドアプリケーションをデバイス本体へ出力する。すなわち、トラステッドアプリケーションの再インストールを行う。ここで、再インストールとは、デバイス本体にインストール済のトラステッドアプリケーションを置き換えることである。トラステッドアプリケーションの再インストールは、例えば、セキュアエレメントが、判定対象としたトラステッドアプリケーションをデバイス本体へ出力し、管理用トラステッドアプリケーションが、デバイス本体が保持するトラステッドアプリケーションを削除し、セキュアエレメントから取得したトラステッドアプリケーションを再インストールことにより行うことができる。これにより、デバイス本体は、当該トラステッドアプリケーションが行う機能を停止させることなく、当該トラステッドアプリケーションによる正常な動作を続けることが可能となる。
【０１１６】
本実施の形態に係るセキュアエレメントにおいて、前記判定部は、前記トラステッドアプリケーションに係る情報にハッシュ関数を適用して得られたハッシュ値の一致・不一致を判定する。
【０１１７】
判定部は、トラステッドアプリケーションに係る情報にハッシュ関数を適用して得られたハッシュ値の一致・不一致を判定する。ハッシュ関数は、適宜のものを用いることができる。これにより、一致・不一致の判定に要するデータ量を少なくすることができ、セキュアエレメントの処理に係る負荷を軽減することができる。
【０１１８】
本実施の形態に係るデバイスにおいて、前記デバイス本体は、前記セキュアエレメントが記憶するトラステッドアプリケーションを取得する取得部と、該取得部で取得したトラステッドアプリケーションと前記デバイス本体のトラステッド実行環境で実行するトラステッドアプリケーションとの一致・不一致を判定する判定部とを備える。
【０１１９】
デバイス本体の取得部は、セキュアエレメントが記憶するトラステッドアプリケーションを取得する。判定部は、取得部で取得したトラステッドアプリケーションとデバイス本体のトラステッド実行環境で実行するトラステッドアプリケーションとの一致・不一致を判定する。デバイス本体は、両者が不一致である場合には、デバイス本体が保持するトラステッドアプリケーションが、例えば、改ざんされている、あるいは破損していると判定することができる。
【０１２０】
本実施の形態に係るサーバは、通常実行環境よりも安全なトラステッド実行環境で実行されるトラステッドアプリケーションを複数記憶する記憶部と、トラステッドアプリケーションの送信要求をセキュアエレメントから取得する取得部と、該取得部で送信要求を取得した場合、前記記憶部に記憶した複数のトラステッドアプリケーションの中から送信要求に係るトラステッドアプリケーションを特定する特定部と、該特定部で特定したトラステッドアプリケーションを前記セキュアエレメントへ送信する送信部とを備える。
【０１２１】
記憶部は、通常実行環境よりも安全なトラステッド実行環境で実行されるトラステッドアプリケーションを複数記憶する。取得部は、トラステッドアプリケーションの送信要求をセキュアエレメントから取得する。特定部は、取得部で送信要求を取得した場合、記憶部に記憶した複数のトラステッドアプリケーションの中から送信要求に係るトラステッドアプリケーションを特定する。送信部は、特定部で特定したトラステッドアプリケーションをセキュアエレメントへ送信する。これにより、サーバは、セキュアエレメントが必要とするトラステッドアプリケーションを当該セキュアエレメントに提供することができる。
【符号の説明】
【０１２２】
１０  デバイス本体
２０  通常実行環境
２１  汎用ＯＳ
２２  汎用アプリケーション
３０  トラステッド実行環境
３１  トラステッドＯＳ
３２  トラステッドアプリケーション
３３  管理用トラステッドアプリケーション
４０  セキュアモニタ
４１  ＣＰＵ
４２  ネットワーク通信部
４５  通信路
５０  セキュアエレメント
５１  インストール処理部
５２  検証処理部
５３  ダウンロード処理部
５４  記憶部
５４１  トラステッドアプリケーション
６１  秘匿通信路
２００  サーバ
２０１  記憶部
２０２、２０３  トラステッドアプリケーション
２１０  配信処理部
【図１】
2019016281.tif 000003
【図２】
2019016281.tif 000004
【図３】
2019016281.tif 000005
【図４】
2019016281.tif 000006
【図５】
2019016281.tif 000007
【図６】
2019016281.tif 000008