(57)【要約】【課題】携帯端末装置のソフトウェアをアップデートするに際し、簡便な構成で容易に、改竄の無い正規のソフトウェアにアップデートすることを可能とする。【解決手段】ハードウェア・キーを接続可能なコンピュータとデータ通信を行う携帯端末装置であって、前記ハードウェア・キーの識別情報を含む認証メッセージの送受信によって前記コンピュータの認証を行う認証手段と、前記認証手段による認証が成立した場合にのみ前記コンピュータから送信されるデータ（例えば、携帯端末装置のソフトウェア）を受信する受信手段と、を含む構成とした。【選択図】      図１
2008233965.tif 000002
【特許請求の範囲】
【請求項１】
ハードウェア・キーを接続可能なコンピュータとデータ通信を行う携帯端末装置であって、
前記ハードウェア・キーの識別情報を含む認証メッセージの送受信によって前記コンピュータの認証を行う認証手段と、
前記認証手段による認証が成立した場合にのみ前記コンピュータから送信されるデータを受信する受信手段と、
を含むことを特徴とする携帯端末装置。
【請求項２】
前記認証手段は、
乱数と端末識別情報とを含むメッセージを生成する手段と、
公開鍵を用いて前記メッセージを暗号化する手段と、
前記コンピュータにおいて秘密鍵を用いて復号化され前記ハードウェア・キーの識別情報が埋め込まれ前記秘密鍵で署名された前記メッセージを、前記コンピュータから受信する手段と、
署名された前記メッセージに基づいて前記コンピュータを認証する認証処理手段と、
を含むことを特徴とする請求項１に記載の携帯端末装置。
【請求項３】
前記認証処理手段では、署名情報と前記乱数と前記端末識別情報とに基づいて、前記コンピュータの認証を行う、ことを特徴とする請求項２に記載の携帯端末装置。
【請求項４】
前記認証処理手段では、署名情報と前記乱数と前記端末識別情報と前記ハードウェア・キーの識別情報とに基づいて、前記コンピュータの認証を行う、ことを特徴とする請求項２に記載の携帯端末装置。
【請求項５】
前記認証処理手段では、署名情報と前記乱数と前記端末識別情報と前記ハードウェア・キーの識別情報の内の何れか２つの情報に基づいて、前記コンピュータの認証を行う、ことを特徴とする請求項２に記載の携帯端末装置。
【請求項６】
所定の入力手段を接続可能なコンピュータとデータ通信を行う携帯端末装置であって、
前記所定の入力手段から入力される一時的ＩＤを含む認証メッセージの送受信によって前記コンピュータの認証を行う認証手段と、
前記認証手段による認証が成立した場合にのみ前記コンピュータから送信されるデータを受信する受信手段と、
を含むことを特徴とする携帯端末装置。
【請求項７】
前記認証手段は、
乱数と端末識別情報とを含むメッセージを生成する手段と、
公開鍵を用いて前記メッセージを暗号化する手段と、
前記コンピュータにおいて秘密鍵を用いて復号化され前記一時的ＩＤが埋め込まれ前記秘密鍵で署名された前記メッセージを、前記コンピュータから受信する手段と、
署名された前記メッセージに基づいて前記コンピュータを認証する認証処理手段と、
を含むことを特徴とする請求項６に記載の携帯端末装置。
【請求項８】
前記認証処理手段では、署名情報と前記乱数と前記端末識別情報とに基づいて、前記コンピュータの認証を行う、ことを特徴とする請求項７に記載の携帯端末装置。
【請求項９】
前記認証処理手段では、署名情報と前記乱数と前記端末識別情報と前記一時的ＩＤとに基づいて、前記コンピュータの認証を行う、ことを特徴とする請求項７に記載の携帯端末装置。
【請求項１０】
前記認証処理手段では、署名情報と前記乱数と前記端末識別情報と前記一時的ＩＤの内の何れか２つの情報に基づいて、前記コンピュータの認証を行う、ことを特徴とする請求項７に記載の携帯端末装置。
【請求項１１】
ハードウェア・キーを接続可能なコンピュータ装置とデータ通信を行う携帯端末装置のコンピュータに、
前記ハードウェア・キーの識別情報を含む認証メッセージの送受信によって前記コンピュータ装置の認証を行う認証処理と、
前記認証処理による認証が成立した場合にのみ前記コンピュータ装置から送信されるデータを受信する受信処理と、
を少なくとも実行させることを特徴とするプログラム。
【請求項１２】
所定の入力手段を接続可能なコンピュータ装置とデータ通信を行う携帯端末装置のコンピュータに、
前記所定の入力手段から入力される一時的ＩＤを含む認証メッセージの送受信によって前記コンピュータ装置の認証を行う認証処理と、
前記認証処理による認証が成立した場合にのみ前記コンピュータ装置から送信されるデータを受信する受信処理と、
を少なくとも実行させることを特徴とするプログラム。
【請求項１３】
ハードウェア・キーを接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、前記第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含む改竄防止システムであって、
前記第２のコンピュータは、前記第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認手段を含み、
前記第１のコンピュータは、前記第２のコンピュータによる承認が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信手段を含む、
ことを特徴とする改竄防止システム。
【請求項１４】
前記承認手段は、前記第１のコンピュータから送信された内部個別情報が前記第２のコンピュータに予め登録されている内部個別情報と一致した場合にのみ前記第１のコンピュータによる前記アップデートを承認する、
ことを特徴とする請求項１３に記載の改竄防止システム。
【請求項１５】
前記携帯端末装置は、前記第１のコンピュータから前記通信証明要求を受信した場合にのみ前記第１のコンピュータの認証を開始する認証手段を含む、ことを特徴とする請求項１３或いは請求項１４に記載の改竄防止システム。
【請求項１６】
前記認証手段は、前記第１のコンピュータの前記ハードウェア・キーの識別情報を含む認証メッセージの送受信によって前記第１のコンピュータの認証を行い、
前記携帯端末装置は更に、前記認証手段による認証が成立した場合にのみ前記第１のコンピュータから送信されるデータを受信する受信手段を含む、ことを特徴とする請求項１５に記載の改竄防止システム。
【請求項１７】
前記認証手段は、
乱数と端末識別情報とを含むメッセージを生成する手段と、
公開鍵を用いて前記メッセージを暗号化する手段と、
前記第１のコンピュータにおいて秘密鍵を用いて復号化され前記ハードウェア・キーの識別情報が埋め込まれ前記秘密鍵で署名された前記メッセージを、前記第１のコンピュータから受信する手段と、
署名された前記メッセージに基づいて前記第１のコンピュータを認証する認証処理手段と、
を含むことを特徴とする請求項１６に記載の改竄防止システム。
【請求項１８】
所定の入力手段を接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、前記第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含む改竄防止システムであって、
前記第２のコンピュータは、前記第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認手段を含み、
前記第１のコンピュータは、前記第２のコンピュータによる承認が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信手段を含む、
ことを特徴とする改竄防止システム。
【請求項１９】
前記承認手段は、前記第１のコンピュータから送信された内部個別情報が前記第２のコンピュータに予め登録されている内部個別情報と一致した場合にのみ前記第１のコンピュータによる前記アップデートを承認する、
ことを特徴とする請求項１８に記載の改竄防止システム。
【請求項２０】
前記携帯端末装置は、前記第１のコンピュータから前記通信証明要求を受信した場合にのみ前記第１のコンピュータの認証を開始する認証手段を含む、ことを特徴とする請求項１８或いは請求項１９に記載の改竄防止システム。
【請求項２１】
前記認証手段は、前記第１のコンピュータの前記所定の入力手段から入力される一時的ＩＤを含む認証メッセージの送受信によって前記第１のコンピュータの認証を行い、
前記携帯端末装置は更に、前記認証手段による認証が成立した場合にのみ前記第１のコンピュータから送信されるデータを受信する受信手段を含む、ことを特徴とする請求項２０に記載の改竄防止システム。
【請求項２２】
前記認証手段は、
乱数と端末識別情報とを含むメッセージを生成する手段と、
公開鍵を用いて前記メッセージを暗号化する手段と、
前記第１のコンピュータにおいて秘密鍵を用いて復号化され前記一時的ＩＤが埋め込まれ前記秘密鍵で署名された前記メッセージを、前記第１のコンピュータから受信する手段と、
署名された前記メッセージに基づいて前記第１のコンピュータを認証する認証処理手段と、
を含むことを特徴とする請求項２１に記載の改竄防止システム。
【請求項２３】
ハードウェア・キーを接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、前記第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含むシステムにおいて、
前記第２のコンピュータは、前記第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認処理を少なくとも行い、
前記第１のコンピュータは、前記第２のコンピュータによる承認処理が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信処理を少なくとも行う、
ことを特徴とする改竄防止方法。
【請求項２４】
前記携帯端末装置は、前記第１のコンピュータから前記通信証明要求を受信した場合にのみ前記第１のコンピュータの認証処理を開始し、
前記認証処理においては前記ハードウェア・キーの識別情報を含む認証メッセージを前記第１のコンピュータとの間で送受信することによって前記第１のコンピュータの認証を行い、
前記第１のコンピュータの認証が成立した場合にのみ前記第１のコンピュータから送信されるデータを受信する、
ことを特徴とする請求項２３に記載の改竄防止方法。
【請求項２５】
所定の入力手段を接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、前記第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含むシステムにおいて、
前記第２のコンピュータは、前記第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認処理を少なくとも行い、
前記第１のコンピュータは、前記第２のコンピュータによる承認が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信処理を少なくとも行う、
ことを特徴とする改竄防止方法。
【請求項２６】
前記携帯端末装置は、前記第１のコンピュータから前記通信証明要求を受信した場合にのみ前記第１のコンピュータの認証処理を開始し、
前記認証処理においては前記所定の入力手段から入力される一時的ＩＤを含む認証メッセージを前記第１のコンピュータとの間で送受信することによって前記第１のコンピュータの認証を行い、
前記第１のコンピュータの認証が成立した場合にのみ前記第１のコンピュータから送信されるデータを受信する、
ことを特徴とする請求項２５に記載の改竄防止方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、携帯端末装置とそのプログラム、及び、改竄防止システムと改竄防止方法に関し、特に、携帯端末装置のソフトウェアをアップデートするに際し、改竄の無い正規のソフトウェアにアップデートすることを可能とする、携帯端末装置とそのプログラム、及び、改竄防止システムと改竄防止方法に関する。
【背景技術】
【０００２】
近年、携帯電話やＰＨＳ（Ｐｅｒｓｏｎａｌ  Ｈａｎｄｙｐｈｏｎｅ  Ｓｙｓｔｅｍ：パーソナルハンディホンシステム）端末、或いは、ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｃｅ：携帯情報端末）などの所謂、携帯端末装置が、急速に普及してきている。そして、ほとんどの携帯端末装置は、コンピュータのソフトウェアによって稼動するよう構成されている。
【０００３】
このような携帯端末装置に新たな機能を追加する場合、或いは、不具合の修正を行なう場合、などにおいては、そのソフトウェアを更新することによって対応できるようになっている。
【０００４】
このように、携帯端末装置の諸機能が、ソフトウェアで実現されるようになってきているため、一方では、不当なソフトウェアを入れさえすれば、携帯端末装置を改竄してしまうことも出来てしまうものとなっている。
【０００５】
最近では、携帯端末装置に対する改竄行為は増加の一途を辿っており、このような行為を防止しきれない場合には、携帯電話やＰＨＳの事業会社、および携帯端末装置の製造会社に大きな損失をもたらす重大な事項になってきている。従って、このような改竄行為を防止することが急務となってきている。
【０００６】
携帯端末装置のソフトウェアの改竄が行なわれる一事例について、図１１を参照して説明する。
【０００７】
図１１は、ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ：パーソナルコンピュータ）２００からＵＥ（Ｕｓｅｒ  Ｅｑｕｉｐｍｅｎｔ：移動端末）１００に対し、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ：ユーエスビー）ケーブル４００を介して、ＵＥ１００のソフトウェアをダウンロードする構成を示している。
【０００８】
通常の場合は、ＰＣ２００からＵＥ１００に対し、直にソフトウェアをダウンロードするのであるが、図１１の場合は、ＰＣ２００とＵＥ１００の間にデータ搾取機器９００を挿入・設置している。そして、データ搾取機器９００によってダウンロードすべきソフトウェアを抜き取り、ソフトウェアの内容を解析し、改竄した後、ＵＥ１００にダウンロードする。こうして、ＵＥ１００の改竄を行なっている。
【０００９】
なお、「ＵＥ」という略称は、第３世代携帯電話における移動端末を意味するものであるが、以降においては、上述した携帯端末装置（携帯電話、ＰＨＳ端末、ＰＤＡ、など）全ての代表として、該ＵＥを用いるものとする。
【００１０】
上述したような、ソフトウェアの改竄を防止する一手法としては、ダウンロードするデータ（すなわち、ソフトウェア）の全てを暗号化して携帯端末装置に送出し、携帯端末装置側でこれを復号化して使用するようにしているものがある（例えば、特許文献１参照。）。
【００１１】
上述した特許文献１「通信装置、データ処理方法、通信方法およびそのシステム」には、以下のような手法が記載されている。
【００１２】
すなわち、サーバ装置とコンピュータとの間、並びにコンピュータと小型メモリカードとの間でそれぞれ相互認証を行なって、暗号化された更新用通信プログラムが小型メモリカードに書き込まれる。小型メモリカードは、無線端末装置に装着され、無線端末装置との間で相互認証を行ない、更新用通信プログラムが無線端末装置の制御に適合したものであるかが検証された後に、無線端末装置に設定される。
【００１３】
このようにすることにより、通信装置の通信処理を規定するプログラムが、不適切な処理を行なう更新用プログラムで更新されることを回避できるようになる、としている。
【００１４】
また、ネットワークを介したソフトウェアのダウンロードシステムで、相手認証や非改竄性保証などのセキュリティ要件を満足させるシステムを提案しているものもある（例えば、特許文献２参照。）。
【００１５】
上述した特許文献２「ソフトウェアダウンロードシステム、サーバ装置、端末装置、サーバ制御プログラム、端末制御プログラム、サーバ制御方法、端末制御方法」には、以下のようなダウンロードシステムが記載されている。
【００１６】
すなわち、ダウンロードサーバに属する複数の端末毎に、予め登録された端末識別子の有効性を判定することで、相手認証を確実に行なう。また、ダウンロードサーバから端末へのダウンロードソフトウェアは、その都度生成される暗号鍵により暗号化され、その暗号鍵は端末からその都度生成取得される端末鍵により暗号化されて、共に端末へダウンロードされる。
【００１７】
このようにすることで、ダウンロードソフトウェアの秘匿性を十分に確保できる、としている。また、ダウンロードされた暗号化ソフトウェアに電子署名を付し、この有効性を確認することにより、非改竄性を保証できる、としている。
【００１８】
さらに、図１１におけるＰＣ２００内の、ダウンロード操作を行なうソフトウェア（プログラム）が外部に流出した場合には、悪意ある第三者がそれを用いることにより、ＵＥ１００のソフトウェアを都合よくアップデートして改竄することが出来てしまう。
【００１９】
このような改竄を行なわせないためには、ＰＣ２００の不正使用を行なわせないような仕組みが必要となってくる。
【００２０】
パーソナルコンピュータなどの端末の不正使用を防ぐ技術の一例としては、端末にハード・キーを設け、ハード・キーが存在しない環境では、その端末を使用できないようにしているものも提案されている（例えば、特許文献３参照。）。
【００２１】
上述した特許文献３「ストレージサービスシステム」は、インターネットを介して利用者のデータを管理し、そのファイルの保存や共有ができるストレージサービスにおけるセキュリティ向上のための、以下のようなシステムを記載している。
【００２２】
すなわち、ストレージサービス運営者は専用網にストレージサーバならびに利用者認証用サーバを設置する。ＰＣなどの端末の利用者がストレージサービスを受ける時には、端末にハード・キーを装着する必要がある。このハード・キーには、ストレージサービス運営者の発行するクライアント証明書及び公開鍵、秘密鍵が内蔵されている。そして、利用者認証用サーバは、端末から送信されるハード・キー内のクライアント証明書で、利用者の認証を行なうようになっている。利用者認証用サーバで認証されると、その端末でストレージサーバを利用することができるようになる。
【００２３】
このことにより、利用者のセキュリティや認証の強度を高めることができる、としている。
【００２４】
【特許文献１】特開２００３−２８３４１７号公報（第５−９頁、図１−７）
【特許文献２】特開２００３−２０２９３１号公報（第５−１０頁、図１−１１）
【特許文献３】特開２００４−００５０３７号公報（第７−１０頁、図１、２）
【発明の開示】
【発明が解決しようとする課題】
【００２５】
上述した従来の特許文献１には、無線端末装置の更新用通信プログラムが、暗号化されて無線端末装置に書き込まれるようになっている。そのため、送信側のサーバ装置では、更新用通信プログラム暗号化する必要があり、受信側の無線端末装置側では復号化する必要がある。従って、サーバ装置側には暗号化処理の、無線端末装置側には復号化処理のための追加の回路もしくはソフトウェアが必要となり、構成が複雑となってサーバ装置や無線端末装置のコストアップを招いてしまう、という問題を有している。また、暗号化や復号化のための時間が必要となり、ダウンロードの時間も増大してしまうため、ソフトウェア更新の生産性も低下してしまう、という問題を有している。
【００２６】
従来の特許文献２に記載のダウンロードシステムにおいても、ソフトウェアを暗号化してダウンロードするようになっている。従って、特許文献１におけると同様に、送信側には暗号化するための手段が必要で、受信側の端末側には復号化するための手段が必要となり、送／受信側双方のコストアップを招き、ソフトウェア更新の生産性も低下してしまう、という問題を有している。
【００２７】
また、従来の特許文献３には、端末の不正利用を防止する方法が記載されている。しかしながら、端末から、ダウンロード操作を行なうソフトウェア（プログラム）の流出と同時にハード・キーも流出してしまうと、悪意ある第三者による不正使用を防ぐことが出来ない、という問題を有している。
【００２８】
本発明は、上述した事情を改善するために成されたものであり、従って本発明の目的は、携帯端末装置のソフトウェアをアップデートするに際し、簡便な構成で容易に、改竄の無い正規のソフトウェアにアップデートすることを可能とする、携帯端末装置とそのプログラム、及び、改竄防止システムと改竄防止方法を提供することにある。
【課題を解決するための手段】
【００２９】
本発明の携帯端末装置は、ハードウェア・キーを接続可能なコンピュータとデータ通信を行う携帯端末装置であって、
前記ハードウェア・キーの識別情報を含む認証メッセージの送受信によって前記コンピュータの認証を行う認証手段と、
前記認証手段による認証が成立した場合にのみ前記コンピュータから送信されるデータを受信する受信手段と、
を含むことを特徴とする。
【００３０】
また、具体的には、前記認証手段は、
乱数と端末識別情報とを含むメッセージを生成する手段と、
公開鍵を用いて前記メッセージを暗号化する手段と、
前記コンピュータにおいて秘密鍵を用いて復号化され前記ハードウェア・キーの識別情報が埋め込まれ前記秘密鍵で署名された前記メッセージを、前記コンピュータから受信する手段と、
署名された前記メッセージに基づいて前記コンピュータを認証する認証処理手段と、
を含んでもよい。
【００３１】
さらに、具体的には、前記認証処理手段では、署名情報と前記乱数と前記端末識別情報とに基づいて、前記コンピュータの認証を行ってもよい。
【００３２】
また、具体的には、前記認証処理手段では、署名情報と前記乱数と前記端末識別情報と前記ハードウェア・キーの識別情報とに基づいて、前記コンピュータの認証を行ってもよい。
【００３３】
さらに、具体的には、前記認証処理手段では、署名情報と前記乱数と前記端末識別情報と前記ハードウェア・キーの識別情報の内の何れか２つの情報に基づいて、前記コンピュータの認証を行ってもよい。
【００３４】
また、所定の入力手段を接続可能なコンピュータとデータ通信を行う携帯端末装置であって、
前記所定の入力手段から入力される一時的ＩＤを含む認証メッセージの送受信によって前記コンピュータの認証を行う認証手段と、
前記認証手段による認証が成立した場合にのみ前記コンピュータから送信されるデータを受信する受信手段と、
を含むことを特徴とする。
【００３５】
さらに、具体的には、前記認証手段は、
乱数と端末識別情報とを含むメッセージを生成する手段と、
公開鍵を用いて前記メッセージを暗号化する手段と、
前記コンピュータにおいて秘密鍵を用いて復号化され前記一時的ＩＤが埋め込まれ前記秘密鍵で署名された前記メッセージを、前記コンピュータから受信する手段と、
署名された前記メッセージに基づいて前記コンピュータを認証する認証処理手段と、
を含んでもよい。
【００３６】
また、具体的には、前記認証処理手段では、署名情報と前記乱数と前記端末識別情報とに基づいて、前記コンピュータの認証を行ってもよい。
【００３７】
さらに、具体的には、前記認証処理手段では、署名情報と前記乱数と前記端末識別情報と前記一時的ＩＤとに基づいて、前記コンピュータの認証を行ってもよい。
【００３８】
また、具体的には、前記認証処理手段では、署名情報と前記乱数と前記端末識別情報と前記一時的ＩＤの内の何れか２つの情報に基づいて、前記コンピュータの認証を行ってもよい。
【００３９】
本発明のプログラムは、ハードウェア・キーを接続可能なコンピュータ装置とデータ通信を行う携帯端末装置のコンピュータに、
前記ハードウェア・キーの識別情報を含む認証メッセージの送受信によって前記コンピュータ装置の認証を行う認証処理と、
前記認証処理による認証が成立した場合にのみ前記コンピュータ装置から送信されるデータを受信する受信処理と、
を少なくとも実行させることを特徴とする。
【００４０】
また、所定の入力手段を接続可能なコンピュータ装置とデータ通信を行う携帯端末装置のコンピュータに、
前記所定の入力手段から入力される一時的ＩＤを含む認証メッセージの送受信によって前記コンピュータ装置の認証を行う認証処理と、
前記認証処理による認証が成立した場合にのみ前記コンピュータ装置から送信されるデータを受信する受信処理と、
を少なくとも実行させることを特徴とする。
【００４１】
本発明の改竄防止システムは、ハードウェア・キーを接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、前記第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含む改竄防止システムであって、
前記第２のコンピュータは、前記第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認手段を含み、
前記第１のコンピュータは、前記第２のコンピュータによる承認が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信手段を含む、
ことを特徴とする。
【００４２】
また、具体的には、前記承認手段は、前記第１のコンピュータから送信された内部個別情報が前記第２のコンピュータに予め登録されている内部個別情報と一致した場合にのみ前記第１のコンピュータによる前記アップデートを承認してもよい。
【００４３】
さらに、具体的には、前記携帯端末装置は、前記第１のコンピュータから前記通信証明要求を受信した場合にのみ前記第１のコンピュータの認証を開始する認証手段を含んでもよい。
【００４４】
また、具体的には、前記認証手段は、前記第１のコンピュータの前記ハードウェア・キーの識別情報を含む認証メッセージの送受信によって前記第１のコンピュータの認証を行い、
前記携帯端末装置は更に、前記認証手段による認証が成立した場合にのみ前記第１のコンピュータから送信されるデータを受信する受信手段を含んでもよい。
【００４５】
さらに、具体的には、前記認証手段は、
乱数と端末識別情報とを含むメッセージを生成する手段と、
公開鍵を用いて前記メッセージを暗号化する手段と、
前記第１のコンピュータにおいて秘密鍵を用いて復号化され前記ハードウェア・キーの識別情報が埋め込まれ前記秘密鍵で署名された前記メッセージを、前記第１のコンピュータから受信する手段と、
署名された前記メッセージに基づいて前記第１のコンピュータを認証する認証処理手段と、
を含んでもよい。
【００４６】
また、所定の入力手段を接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、前記第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含む改竄防止システムであって、
前記第２のコンピュータは、前記第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認手段を含み、
前記第１のコンピュータは、前記第２のコンピュータによる承認が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信手段を含む、
ことを特徴とする。
【００４７】
さらに、具体的には、前記承認手段は、前記第１のコンピュータから送信された内部個別情報が前記第２のコンピュータに予め登録されている内部個別情報と一致した場合にのみ前記第１のコンピュータによる前記アップデートを承認してもよい。
【００４８】
また、具体的には、前記携帯端末装置は、前記第１のコンピュータから前記通信証明要求を受信した場合にのみ前記第１のコンピュータの認証を開始する認証手段を含んでもよい。
【００４９】
さらに、具体的には、前記認証手段は、前記第１のコンピュータの前記所定の入力手段から入力される一時的ＩＤを含む認証メッセージの送受信によって前記第１のコンピュータの認証を行い、
前記携帯端末装置は更に、前記認証手段による認証が成立した場合にのみ前記第１のコンピュータから送信されるデータを受信する受信手段を含んでもよい。
【００５０】
また、具体的には、前記認証手段は、
乱数と端末識別情報とを含むメッセージを生成する手段と、
公開鍵を用いて前記メッセージを暗号化する手段と、
前記第１のコンピュータにおいて秘密鍵を用いて復号化され前記一時的ＩＤが埋め込まれ前記秘密鍵で署名された前記メッセージを、前記第１のコンピュータから受信する手段と、
署名された前記メッセージに基づいて前記第１のコンピュータを認証する認証処理手段と、
を含んでもよい。
【００５１】
本発明の改竄防止方法は、ハードウェア・キーを接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、前記第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含むシステムにおいて、
前記第２のコンピュータは、前記第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認処理を少なくとも行い、
前記第１のコンピュータは、前記第２のコンピュータによる承認処理が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信処理を少なくとも行う、
ことを特徴とする。
【００５２】
また、具体的には、前記携帯端末装置は、前記第１のコンピュータから前記通信証明要求を受信した場合にのみ前記第１のコンピュータの認証処理を開始し、
前記認証処理においては前記ハードウェア・キーの識別情報を含む認証メッセージを前記第１のコンピュータとの間で送受信することによって前記第１のコンピュータの認証を行い、
前記第１のコンピュータの認証が成立した場合にのみ前記第１のコンピュータから送信されるデータを受信する、ようにしてもよい。
【００５３】
さらに、所定の入力手段を接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、前記第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含むシステムにおいて、
前記第２のコンピュータは、前記第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認処理を少なくとも行い、
前記第１のコンピュータは、前記第２のコンピュータによる承認が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信処理を少なくとも行う、
ことを特徴とする。
【００５４】
また、具体的には、前記携帯端末装置は、前記第１のコンピュータから前記通信証明要求を受信した場合にのみ前記第１のコンピュータの認証処理を開始し、
前記認証処理においては前記所定の入力手段から入力される一時的ＩＤを含む認証メッセージを前記第１のコンピュータとの間で送受信することによって前記第１のコンピュータの認証を行い、
前記第１のコンピュータの認証が成立した場合にのみ前記第１のコンピュータから送信されるデータを受信する、ようにしてもよい。
【発明の効果】
【００５５】
本発明の携帯端末装置は、ハードウェア・キーを接続可能なコンピュータとデータ通信を行うよう構成されている。そして、前記ハードウェア・キーの識別情報を含む認証メッセージの送受信によって前記コンピュータの認証を行う認証手段と、前記認証手段による認証が成立した場合にのみ前記コンピュータから送信されるデータを受信する受信手段と、を含んでいる。
【００５６】
つまり、コンピュータの認証がなされない場合には、コンピュータから送信されるデータ、例えば、携帯端末装置のソフトウェア、を受信せず、コンピュータの認証がなされた場合にのみ、コンピュータから送信されるデータを受信するように構成されている。
【００５７】
従って、第三者による携帯端末装置のソフトウェアの不当なアップデートを防止することができる、という効果を有している。
【発明を実施するための最良の形態】
【００５８】
次に、本発明の実施の形態について図面を参照して説明する。
【００５９】
図１は、本発明の改竄防止システムの一実施形態を示すブロック図である。
【００６０】
図１に示す本実施の形態は、ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ：パーソナルコンピュータ）２００からＵＥ（Ｕｓｅｒ  Ｅｑｕｉｐｍｅｎｔ：移動端末）１００に対し、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ：ユーエスビー）ケーブル４００を介して、ＵＥ１００のソフトウェアをダウンロードするものである。
【００６１】
なお、本実施形態においては、「ＵＥ」という略称を、移動端末や携帯電話だけでなく、ＰＨＳ（Ｐｅｒｓｏｎａｌ  Ｈａｎｄｙｐｈｏｎｅ  Ｓｙｓｔｅｍ：パーソナルハンディホンシステム）端末やＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｃｅ：携帯情報端末）、なども含めた携帯端末装置全ての代表として用いるものとする。
【００６２】
そして、ＰＣ２００は、ＵＥ１００にダウンロードするソフトウェアの改竄防止のため、ハード・キー２８０を備える構成となっている。ここで、「ハード・キー」という語は、通常、ハードウェア・キーと称されているものの略記として用いるものである。
【００６３】
また、ＰＣ２００は、セキュアなインターネット５００を介して、他のＰＣ３００に接続されている。
【００６４】
次に、図２を参照して、図１の実施形態の詳細構成について説明する。
【００６５】
図２は、本実施形態の詳細構成の一例を示す詳細ブロック図である。
【００６６】
ＵＥ１００は、ＵＥ１００全体の制御を行う制御部１１０を備えている。また、ＵＥ１００のデータやアプリケーションのソフトウェアを記憶するメモリ１２０と、ＰＣ２００とケーブル接続するためのＵＳＢ−ＩＦ（Ｉｎｔｅｒｆａｃｅ：インタフェース）１３０を備えている。
【００６７】
制御部１１０は、図示しないＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ：中央処理装置）によって制御動作を行なうようになっており、少なくとも、認証部１１２、暗号化／復号化部１１４、擬似乱数生成部１１６を備えている。
【００６８】
認証部１１２は、ＵＥ１００とＰＣ２００との間で相互認証を行なうために必要となるメッセージの生成やその送受信の制御を行なう。
【００６９】
暗号化／復号化部１１４は、認証部１１２が生成或いは受信したメッセージの暗号化、及び復号化を行なう。
【００７０】
擬似乱数生成部１１６は、認証部１１２が生成するメッセージに挿入する疑似乱数の生成を行なう。
【００７１】
ＰＣ２００は、ＰＣ２００全体の制御を行う制御部２１０を備えている。また、ＰＣ２００のデータやアプリケーションのソフトウェア、及び、ＵＥ１００へダウンロードするＵＥ１００のソフトウェア、などを記憶するメモリ２２０を備えている。さらに、ＵＥ１００とケーブル接続するためのＵＳＢ−ＩＦ２３０と、ハード・キー２８０と接続するためのＵＳＢ−ＩＦ２４０を備えている。またさらに、インターネット５００を介してＰＣ３００と接続するためのＮＷ（Ｎｅｔｗｏｒｋ：ネットワーク）−ＩＦ２５０を備えている。
【００７２】
制御部２１０は、図示しないＣＰＵによって制御動作を行なうようになっており、少なくとも、認証部２１２、暗号化／復号化部２１４、ダウンロード部２１８を備えている。
【００７３】
認証部２１２は、ＵＥ１００或いはＰＣ３００との間で相互認証を行なうために必要となるメッセージの生成やその送受信の制御を行なう。
【００７４】
暗号化／復号化部２１４は、認証部２１２が生成或いは受信したメッセージの暗号化、及び復号化を行なう。
【００７５】
ダウンロード部２１８は、メモリ２２０に記憶しているＵＥ１００のソフトウェアを、ＵＥ１００にダウンロードする。
【００７６】
また、ＵＥ１００とＰＣ２００は、ＵＳＢのインタフェースであるところのＵＳＢ−ＩＦ１３０とＵＳＢ−ＩＦ２３０の間を、ＵＳＢケーブル４００を介して接続されている。
【００７７】
ＰＣ３００は、ＰＣ３００全体の制御を行う制御部３１０を備えている。また、ＰＣ３００のデータやアプリケーションのソフトウェアなどを記憶するメモリ３２０を備えている。さらに、インターネット５００を介してＰＣ２００と接続するためのＮＷ−ＩＦ３５０を備えている。
【００７８】
制御部３１０は、図示しないＣＰＵによって制御動作を行なうようになっており、少なくとも、認証部３１２を備えている。
【００７９】
認証部３１２は、ＰＣ２００が、ＵＥ１００のソフトウェアをＵＥ１００にダウンロードする正規の装置であることの承認を行なうために、ＰＣ２００との間で必要となるメッセージの生成やその送受信の制御を行なう。
【００８０】
ここで、図２に示した実施形態における動作の概略について説明する。
【００８１】
ＰＣ２００は、メモリ２２０に蓄えられたデータ（例えば、ＵＥ１００のソフトウェア）を、制御部２１０の制御により、ＵＳＢ−ＩＦ２３０を経由してＵＥ１００へ送出する。ＵＥ１００の制御部１１０は、ＵＳＢ−ＩＦ１３０を経由して取得したデータ（ＵＥ１００のソフトウェアなど）を、メモリ１２０に格納する。格納されたデータは、それがＵＥ１００のソフトウェアである場合には、ＵＥ１００の動作用プログラムとなる。
【００８２】
ＵＥ１００とＰＣ２００の間のデータの流れとしては、上述とは逆の流れもある。すなわち、ＵＥ１００において、メモリ１２０に蓄えられたデータを、制御部１１０がＵＳＢ−ＩＦ１３０を経由してＰＣ２００側へ送出する。ＰＣ２００の制御部２１０は、ＵＳＢ−ＩＦ２３０を経由して取得したデータを、メモリ２２０に格納する。
【００８３】
また、ＰＣ２００においては、ＵＳＢ−ＩＦ２４０を経由して外部のハード・キー２８０とデータの送受信を行って、認証用のデータを生成し、メモリ２２０に格納する。
【００８４】
さらに、ＰＣ２００は、ＮＷ−ＩＦ２５０を介して、セキュアなインターネット５００と接続されている他のＰＣ３００と、データの送受信を行う。ＰＣ２００が受信したデータは、メモリ２２０に格納する。
【００８５】
次に、図３、図４、図５を参照して、本実施形態の動作について説明する。
【００８６】
図３は、本実施形態の動作を説明する第１のシーケンス図である。なお、図３において図１、２に示す構成要素に対応するものは同一の参照数字または符号を付し、その説明を省略する。
【００８７】
図３は、ＰＣ２００からＵＥ１００に対してソフトウェアをダウンロードする前に、ＰＣ２００が正規のものであることを証明するために、ＰＣ３００にＰＣ２００の正当性を認証してもらうためのメッセージシーケンスを示すものである。
【００８８】
まず、ＰＣ２００の制御部２１０の認証部２１２は、ＵＥ１００に対してソフトウェアのダウンロードを行なう許可を得るために、ローディング許可要求（Ｌｏａｄｉｎｇ  Ｐｅｒｍｉｓｓｉｏｎ  Ｒｅｑｕｅｓｔ）のメッセージを生成する。認証部２１２は、このローディング許可要求のメッセージに、ＰＣ２００の内部個別情報を付加する。ここで、内部個別情報は、制御部２１０のＣＰＵのＣＰＵ−ＩＤ、ＮＷ−ＩＦ２５０のＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ：媒体アクセス制御）アドレス、および、ＰＣ３００へログインする為のユーザＩＤとパスワードである。そして、認証部２１２は、生成したローディング許可要求を、ＮＷ−ＩＦ２５０を経由してＰＣ３００に対し送信する（図３のステップＳ１１）。
【００８９】
ＰＣ３００の制御部３１０の認証部３１２は、ＮＷ−ＩＦ３５０を経由して、ローディング許可要求を受信する。そして、ローディング許可要求に付加されている内部個別情報と、ＰＣ３００のメモリ３２０に予め登録されているＰＣ２００の内部個別情報とを比較する。比較の結果、両者が一致することを確認できた場合には、認証部３１２は、ＰＣ２００に対するセンドキー（Ｓｅｎｄ  Ｋｅｙ）を生成し、ＮＷ−ＩＦ３５０を経由してＰＣ２００に返送する（ステップＳ１２）。なお、センドキーは、通常、アプリケーションに対してキー操作を自動化するために送信されるコマンドであるが、本実施形態においては、ＰＣ２００を認証した証としてセンドキーを用いるものである。
【００９０】
ＰＣ２００の制御部２１０の認証部２１２は、ＮＷ−ＩＦ２５０を経由してセンドキーを受信する。認証部２１２は、正しいセンドキーを受信することにより初めて、ＵＥ１００に対して通信証明要求（Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ａｕｔｈｅｎｔｉｃａｔｅ  Ｒｅｑｕｅｓｔ）を送信できるよう構成されている。そこで、センドキーを受信したＰＣ２００の制御部２１０の認証部２１２は、通信証明要求のメッセージを生成し、ＵＳＢ−ＩＦ２３０を経由して、ＵＥ１００に対し通信証明要求を送信する（ステップＳ１３）。
【００９１】
ＵＥ１００は、通信証明要求を受信することにより初めて、ＰＣ２００とのデータ授受が可能となるよう構成されており、以降、本来のソフトウェアデータのダウンロードが可能となる。
【００９２】
次に、図４を参照して、本実施形態の第２の動作について説明する。
【００９３】
図４は、本実施形態の動作を説明する第２のシーケンス図である。なお、図４において図１、２に示す構成要素に対応するものは同一の参照数字または符号を付し、その説明を省略する。
【００９４】
図４は、ＰＣ２００からＵＥ１００に対してソフトウェアをダウンロードするにあたり、ＰＣ２００が正規のものであることを証明・認証するために、ＵＥ１００とＰＣ２００の間で送受信されるメッセージのシーケンスを示すものである。
【００９５】
最初に、ＰＣ２００からＵＥ１００に対し、上述した通信証明要求を発行し送信する（図４のステップＳ２１）。ＵＥ１００は、通信証明要求を受信する前は、他の如何なるコマンドもＰＣ２００から受け付けないよう構成されている。
【００９６】
通信証明要求を受信したＵＥ１００は、制御部１１０の認証部１１２において擬似乱数（ｐｓｅｕｄｏ  ｒａｎｄｏｍ  ｎｕｍｂｅｒ）を発生する（ステップＳ２２）。この擬似乱数は、例えば、１２８ビットで構成され、他のＵＥとは異なる数となるように発生させる。これは、ＵＥ１００に固有のシステムパラメータ、例えば、装置製造番号や、或いは、ＵＥ１００のユーザが独自に設定した数値などを、制御部１１０の擬似乱数生成部１１６に投入する事によって生成する事が可能である。
【００９７】
次に、ＵＥ１００の制御部１１０の認証部１１２は、発生させた擬似乱数を含む返送メッセージを生成する。図５に返送メッセージの形式の一例を示す。
【００９８】
図５に示すように、ＵＥ１００の制御部１１０の認証部１１２が生成する返送メッセージ７０は、ステップＳ２２で発生した擬似乱数７１の欄と、ＵＥ１００のＩＭＥＩ（Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｍｏｂｉｌｅ  Ｅｑｕｉｐｍｅｎｔ  Ｉｄｅｎｔｉｔｙ：国際携帯電話機識別情報）７２の欄とを有している。また、ＰＣ２００のハード・キー２８０のドングル（ｄｏｎｇｌｅ）ＩＤ７３の欄を有している。ドングルとは、ソフトウェアの不正コピーを防止するために使われるハードウェア・キーの一種であるが、該ハードウェア・キーは、識別情報すなわちドングルＩＤを有するよう構成可能となっている。ここで、ＵＥ１００の制御部１１０の認証部１１２が生成する返送メッセージ７０のドングルＩＤ７３の欄は、０（ゼロ）パディングしておくものとする。
【００９９】
そして、認証部１１２は、ＵＥ１００の制御部１１０の暗号化／復号化部１１４によって、この返送メッセージ７０を、公開鍵を用いて暗号化（Ｅｎｃｒｙｐｔ）し（ステップＳ２３）、ＵＳＢ−ＩＦ１３０を経由してＰＣ２００へ送信する（ステップＳ２４）。
【０１００】
返送メッセージ７０を受信したＰＣ２００の制御部２１０の認証部２１２は、受信した返送メッセージ７０を、暗号化／復号化部２１４によって秘密鍵を用いて復号化（Ｄｅｃｒｙｐｔ）する（ステップＳ２５）。
【０１０１】
ＰＣ２００の制御部２１０の認証部２１２は次に、ＰＣ２００のハード・キー２８０から得られるドングルＩＤを、復号化された返送メッセージ７０のドングルＩＤ７３の欄に埋め込む（ステップＳ２６）。ＰＣ２００の制御部２１０の認証部２１２は引き続き、そのメッセージ全体を、秘密鍵を用いて署名して署名メッセージを生成する（ステップＳ２７）。その後、認証部２１２は、署名メッセージをＵＳＢ−ＩＦ２３０を経由してＵＥ１００へ送信する（ステップＳ２８）。
【０１０２】
ＵＥ１００の制御部１１０の認証部１１２は、受信した署名メッセージの確認（Ｖａｌｉｄａｔｅ）を行う（ステップＳ２９）。
【０１０３】
署名メッセージの確認は、以下の（α）（β）（γ）の３点に関して行う。
（α）署名情報が、ＰＣ２００の署名であることに間違いないか。
（β）擬似乱数が、自身の生成した擬似乱数（図４のステップＳ２２で生成した擬似乱数      ）に間違いないか。
（γ）ＩＭＥＩが、自身のＩＭＥＩに間違いないか。
【０１０４】
この時に、確認した上記３点の内容に一つでも問題がある場合には、以降のＰＣ２００とのデータ送受信を行わないこととする。
【０１０５】
なお、ここでの確認は、上記（α）（β）（γ）の３点に関して行っているが、認証の精度を向上させるため、他の要素（例えば、ドングルＩＤ）を更に加えて確認を行なうようにしてもよい。或いは、認証の精度が保証される場合には、署名情報とＩＭＥＩの２点のみ確認するなど、適宜変更してもよい。
【０１０６】
ステップＳ２９で、問題なく確認が取れた場合には、ＵＥ１００の制御部１１０の認証部１１２は、ＵＥ１００からＰＣ２００に対し、問題ないことを通知する通信証明応答（Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ａｕｔｈｅｎｔｉｃａｔｅ  Ｒｅｓｐｏｎｓｅ）を発生し、ＵＳＢ−ＩＦ１３０を経由して送信する（ステップＳ３０）。
【０１０７】
通信証明応答を受信したＰＣ２００は、その後、制御部２１０のダウンロード部２１８の制御に基づき、メモリ２２０に蓄積されているＵＥ１００のソフトウェアを、ＵＥ１００に対してダウンロードする（ステップＳ３１）。ここで、ダウンロードするソフトウェアには、暗号化などの秘匿操作は行わず、そのままのソフトウェアをダウンロードする。
【０１０８】
以上説明したように、本実施形態によれば、以下に示すような効果を奏する。
【０１０９】
第１に、携帯端末装置（携帯電話、ＰＨＳ端末、ＰＤＡ、など）の改竄を防止できることである。
【０１１０】
なぜなら、本発明の第１の実施の形態における携帯端末装置は、ハードウェア・キーを接続可能なコンピュータとデータ通信を行うよう構成されている。そして、そのハードウェア・キーの識別情報を含む認証メッセージの送受信によってコンピュータの認証を行う認証手段と、その認証手段による認証が成立した場合にのみコンピュータから送信されるデータを受信する受信手段と、を含んでいるからである。
【０１１１】
つまり、コンピュータの認証がなされない場合には、コンピュータから送信されるデータ、例えば、携帯端末装置のソフトウェア、を受信せず、コンピュータの認証がなされた場合にのみ、コンピュータから送信されるデータを受信するように構成されているからである。
【０１１２】
また、本発明の第１の実施の形態における改竄防止システムでは、コンピュータがソフトウェアを携帯端末装置にダウンロードする前に、コンピュータが正当なものであるかの確証を取るので、ソフトウェアのデータの改竄を防止する効果を上げることができる。
【０１１３】
すなわち、改竄防止システムが、ハードウェア・キーを接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、この第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含む。さらに、第２のコンピュータは、第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認手段を含み、第１のコンピュータは、前記第２のコンピュータによる承認が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信手段を含む。
【０１１４】
具体的には、先ず、ＰＣ２００からＰＣ３００に対してローディング許可要求を送信し、ＰＣ３００がＰＣ２００を認証できた場合にのみ、センドキーを返送している。ＰＣ２００は、正しいセンドキーを受信することにより、初めてＵＥ１００へのデータ通信手続を開始するようになっている。
【０１１５】
これにより、携帯端末装置に対してソフトウェアのダウンロードを開始する前に、ダウンロードする側とダウンロードされる側の装置の接続の可否を判定し、相互が正当な装置であることを確認して、改竄の防止の効果を上げている。
【０１１６】
また、本発明の第１の実施の形態においては、携帯端末装置の認証手段は、乱数と端末識別情報とを含むメッセージを生成する手段と、公開鍵を用いて前記メッセージを暗号化する手段と、コンピュータ（第１のコンピュータ）において秘密鍵を用いて復号化されハードウェア・キーの識別情報が埋め込まれ秘密鍵で署名されたメッセージを、前記コンピュータから受信する手段と、署名された前記メッセージに基づいて前記コンピュータを認証する第２の認証手段と、を含む。
【０１１７】
具体的には、ＰＣ２００からの通信証明要求に対し、ＵＥ１００で、擬似乱数とＩＭＥＩを用いて返送メッセージを生成し、公開鍵を用いて暗号化してＰＣ２００に送信する。ＰＣ２００は、秘密鍵を用いて返送メッセージを復号化し、そのメッセージにＰＣ２００の実際のドングルＩＤを埋め込み、秘密鍵を用いて署名して、署名メッセージをＵＥ１００に送信する。ＵＥ１００では、署名情報、擬似乱数、ＩＭＥＩ、必要であれば更に、ドングルＩＤを確認して、ＰＣ２００を認証している。そして、ＰＣ２００が認証された場合のみ、以降のデータ通信を行なうようにしている。
【０１１８】
従って、簡易な構成でありながら、コンピュータ（ＰＣ２００）と携帯端末装置（ＵＥ１００）の相互認証を、迅速、確実に行なうことができ、携帯端末装置のソフトウェアのダウンロード及びアップデートに際して、第三者による不当なアップデートを容易に防止することができる。
【０１１９】
第２の効果は、ソフトウェアダウンロードの処理量の軽減と実行時間の短縮がなされることである。
【０１２０】
その理由は、ダウンロードするソフトウェア全てのデータを暗号化・復号化することなく、ダウンロード開始前の接続可否判定の通信メッセージだけを、暗号化・復号化するように絞ったからである。
【０１２１】
次に、図６〜１０を参照して、本発明の第２の実施形態について説明する。
【０１２２】
図６は、本発明の改竄防止システムの第２の実施形態を示すブロック図である。
【０１２３】
図６に示す第２の実施の形態は、第１の実施の形態と同様に、ＰＣ２００からＵＥ１００に対し、ＵＳＢケーブル４００を介して、ＵＥ１００のソフトウェアをダウンロードするものである。
【０１２４】
但し、ＰＣ２００は、第１の実施形態のハード・キー２８０に代えて、キーボード２９０を備える点でのみ、第１の実施形態と異なっている。キーボード２９０は、ＵＥ１００にダウンロードするソフトウェアの改竄防止のため、ＰＣ２００に一時的ＩＤを入力するために用いられるものである。
【０１２５】
第２の実施形態は、上述したキーボード２９０を備える点でのみ第１の実施形態と異なるものであるため、図６において図１に示す構成要素に対応するものは同一の参照数字または符号を付し、図６に関するこれ以上の説明を省略するものとする。
【０１２６】
次に、図７を参照して、図６の実施形態の詳細構成について説明する。
【０１２７】
図７は、第２の実施形態の詳細構成の一例を示す詳細ブロック図である。なお、図７において図２に示す構成要素に対応するものは同一の参照数字または符号を付すものとし、略記の意味などの説明は省略するものとする。
【０１２８】
ＰＣ２００は、第１の実施の形態のＰＣ２００のＵＳＢ−ＩＦ２４０の代りに、キーボード２９０と接続するためのＵＳＢ−ＩＦ２４０−１を備えている。そのほかの構成は、第１の実施の形態と同様であるので、図７に関するこれ以上の説明を省略するものとする。
【０１２９】
ここで、図７に示した第２の実施形態における動作の概略について説明する。
【０１３０】
ＰＣ２００は、メモリ２２０に蓄えられたデータ（例えば、ＵＥ１００のソフトウェア）を、制御部２１０の制御により、ＵＳＢ−ＩＦ２３０を介してＵＥ１００へ送出する。ＵＥ１００の制御部１１０は、ＵＳＢ−ＩＦ１３０を経由して取得したデータ（ＵＥ１００のソフトウェアなど）を、メモリ１２０に格納する。格納されたデータは、それがＵＥ１００のソフトウェアである場合には、ＵＥ１００の動作用プログラムとなる。
【０１３１】
ＵＥ１００とＰＣ２００の間のデータの流れとしては、上述とは逆の流れもある。すなわち、ＵＥ１００において、メモリ１２０に蓄えられたデータを、制御部１１０がＵＳＢ−ＩＦ１３０を介してＰＣ２００側へ送出する。ＰＣ２００の制御部２１０は、ＵＳＢ−ＩＦ２３０を経由して取得したデータを、メモリ２２０に格納する。
【０１３２】
また、ＰＣ２００においては、ＵＳＢ−ＩＦ２４０−１を介して外部のキーボード２９０からデータの受信を行って、認証用のデータを生成し、メモリ２２０に格納する。
【０１３３】
さらに、ＰＣ２００は、ＮＷ−ＩＦ２５０を介して、セキュアなインターネット５００と接続されている他のＰＣ３００と、データの送受信を行う。ＰＣ２００が受信したデータは、メモリ２２０に格納する。
【０１３４】
次に、図８、図９、図１０を参照して、第２の実施形態の動作について説明する。
【０１３５】
図８は、第２の実施形態の動作を説明する第１のシーケンス図である。なお、図８において図６、７に示す構成要素に対応するものは同一の参照数字または符号を付し、その説明を省略する。
【０１３６】
図８は、ＰＣ２００からＵＥ１００に対してソフトウェアをダウンロードする前に、ＰＣ２００が正規のものであることを証明するために、ＰＣ３００にＰＣ２００の正当性を認証してもらうためのメッセージシーケンスを示すものである。
【０１３７】
まず、ＰＣ２００の制御部２１０の認証部２１２は、ＵＥ１００に対してソフトウェアのダウンロードを行なう許可を得るために、ローディング許可要求のメッセージを生成する。認証部２１２は、このローディング許可要求のメッセージに、ＰＣ２００の内部個別情報を付加する。ここで、内部個別情報は、制御部２１０のＣＰＵのＣＰＵ−ＩＤ、ＮＷ−ＩＦ２５０のＭＡＣアドレス、および、ＰＣ３００へログインする為のユーザＩＤとパスワードである。そして、認証部２１２は、生成したローディング許可要求を、ＮＷ−ＩＦ２５０を経由してＰＣ３００に対し送信する（図８のステップＳ４１）。
【０１３８】
ＰＣ３００の制御部３１０の認証部３１２は、ＮＷ−ＩＦ３５０を経由して、ローディング許可要求を受信する。そして、ローディング許可要求に付加されている内部個別情報と、ＰＣ３００のメモリ３２０に予め登録されているＰＣ２００の内部個別情報とを比較する。比較の結果、両者が一致することを確認できた場合には、認証部３１２は、ＰＣ２００に対するセンドキーを生成し、ＮＷ−ＩＦ３５０を経由してＰＣ２００に返送する（ステップＳ４２）。なお、センドキーは、通常、アプリケーションに対してキー操作を自動化するために送信されるコマンドであるが、第２の実施形態においては、ＰＣ２００を認証した証としてセンドキーを用いるものである。
【０１３９】
ＰＣ２００の制御部２１０の認証部２１２は、ＮＷ−ＩＦ２５０を経由してセンドキーを受信する。認証部２１２は、正しいセンドキーを受信することにより初めて、ＵＥ１００に対して通信証明要求を送信できるよう構成されている。そこで、センドキーを受信したＰＣ２００の制御部２１０の認証部２１２は、通信証明要求のメッセージを生成し、ＵＳＢ−ＩＦ２３０を経由して、ＵＥ１００に対し通信証明要求を送信する（ステップＳ４３）。
【０１４０】
ＵＥ１００は、通信証明要求を受信することにより初めて、ＰＣ２００とのデータ授受が可能となるよう構成されており、以降、本来のソフトウェアデータのダウンロードが可能となる。
【０１４１】
次に、図９を参照して、第２の実施形態の第２の動作について説明する。
【０１４２】
図９は、第２の実施形態の動作を説明する第２のシーケンス図である。なお、図９において図６、７に示す構成要素に対応するものは同一の参照数字または符号を付し、その説明を省略する。
【０１４３】
図９は、ＰＣ２００からＵＥ１００に対してソフトウェアをダウンロードするにあたり、ＰＣ２００が正規のものであることを証明・認証するために、ＵＥ１００とＰＣ２００の間で送受信されるメッセージのシーケンスを示すものである。
【０１４４】
最初に、ＰＣ２００からＵＥ１００に対し、上述した通信証明要求を発行し送信する（図９のステップＳ５１）。ＵＥ１００は、通信証明要求を受信する前は、他の如何なるコマンドもＰＣ２００から受け付けないよう構成されている。
【０１４５】
通信証明要求を受信したＵＥ１００は、制御部１１０の認証部１１２において擬似乱数を発生する（ステップＳ５２）。この擬似乱数は、例えば、１２８ビットで構成され、他のＵＥとは異なる数となるように発生させる。これは、ＵＥ１００に固有のシステムパラメータ、例えば、装置製造番号や、或いは、ＵＥ１００のユーザが独自に設定した数値などを、制御部１１０の擬似乱数生成部１１６に投入する事によって生成する事が可能である。
【０１４６】
次に、ＵＥ１００の制御部１１０の認証部１１２は、発生させた擬似乱数を含む返送メッセージを生成する。図１０に返送メッセージの形式の一例を示す。
【０１４７】
図１０に示すように、ＵＥ１００の制御部１１０の認証部１１２が生成する返送メッセージ８０は、ステップＳ５２で発生した擬似乱数８１の欄と、ＵＥ１００のＩＭＥＩ８２の欄とを有している。また、ＰＣ２００のキーボード２９０から入力される一時的ＩＤ（Ｏｎｅ  Ｔｉｍｅ  ＩＤ）８３の欄を有している。一時的ＩＤとは、ＰＣ２００のユーザが、その時限りの一時的に使用するキーワードや数値などを示すものである。ここで、ＵＥ１００の制御部１１０の認証部１１２が生成する返送メッセージ８０の一時的ＩＤ８３の欄は、０（ゼロ）パディングしておくものとする。
【０１４８】
そして、認証部１１２は、ＵＥ１００の制御部１１０の暗号化／復号化部１１４によって、この返送メッセージ８０を、公開鍵を用いて暗号化し（ステップＳ５３）、ＵＳＢ−ＩＦ１３０を経由してＰＣ２００へ送信する（ステップＳ５４）。
【０１４９】
返送メッセージ８０を受信したＰＣ２００の制御部２１０の認証部２１２は、受信した返送メッセージ８０を、暗号化／復号化部２１４によって秘密鍵を用いて復号化する（ステップＳ５５）。
【０１５０】
ＰＣ２００の制御部２１０の認証部２１２は次に、ＰＣ２００のキーボード２９０から入力される一時的ＩＤを、復号化された返送メッセージ８０の一時的ＩＤ８３の欄に埋め込む（ステップＳ５６）。ＰＣ２００の制御部２１０の認証部２１２は引き続き、そのメッセージ全体を、秘密鍵を用いて署名して署名メッセージを生成する（ステップＳ５７）。その後、認証部２１２は、署名メッセージをＵＳＢ−ＩＦ２３０を経由してＵＥ１００へ送信する（ステップＳ５８）。
【０１５１】
ＵＥ１００の制御部１１０の認証部１１２は、受信した署名メッセージの確認を行う（ステップＳ５９）。
【０１５２】
署名メッセージの確認は、以下の（δ）（ε）（ζ）の３点に関して行う。
（δ）署名情報が、ＰＣ２００の署名であることに間違いないか。
（ε）擬似乱数が、自身の生成した擬似乱数（図９のステップＳ５２で生成した擬似乱数      ）に間違いないか。
（ζ）ＩＭＥＩが、自身のＩＭＥＩに間違いないか。
【０１５３】
この時に、確認した上記３点の内容に一つでも問題がある場合には、以降のＰＣ２００とのデータ送受信を行わないこととする。
【０１５４】
なお、ここでの確認は、上記（δ）（ε）（ζ）の３点に関して行っているが、認証の精度を向上させるため、他の要素（例えば、一時的ＩＤ）を更に加えて確認を行なうようにしてもよい。或いは、認証の精度が保証される場合には、署名情報とＩＭＥＩの２点のみ確認するなど、適宜変更してもよい。
【０１５５】
ステップＳ５９で、問題なく確認が取れた場合には、ＵＥ１００の制御部１１０の認証部１１２は、ＵＥ１００からＰＣ２００に対し、問題ないことを通知する通信証明応答を発生し、ＵＳＢ−ＩＦ１３０を経由して送信する（ステップＳ６０）。
【０１５６】
通信証明応答を受信したＰＣ２００は、その後、制御部２１０のダウンロード部２１８の制御に基づき、メモリ２２０に蓄積されているＵＥ１００のソフトウェアを、ＵＥ１００に対してダウンロードする（ステップＳ６１）。ここで、ダウンロードするソフトウェアには、暗号化などの秘匿操作は行わず、そのままのソフトウェアをダウンロードする。
【０１５７】
以上説明したように、第２の実施形態によれば、以下に示すような効果を奏する。
【０１５８】
第１に、携帯端末装置（携帯電話、ＰＨＳ端末、ＰＤＡ、など）の改竄を防止できることである。
【０１５９】
なぜなら、本発明の第２の実施の形態における携帯端末装置は、所定の入力手段を接続可能なコンピュータとデータ通信を行うよう構成されている。そして、その所定の入力手段から入力される一時的ＩＤを含む認証メッセージの送受信によってコンピュータの認証を行う認証手段と、その認証手段による認証が成立した場合にのみコンピュータから送信されるデータを受信する受信手段と、を含んでいるからである。
【０１６０】
つまり、コンピュータの認証がなされない場合には、コンピュータから送信されるデータ、例えば、携帯端末装置のソフトウェア、を受信せず、コンピュータの認証がなされた場合にのみ、コンピュータから送信されるデータを受信するように構成されているからである。
【０１６１】
また、本発明の第２の実施の形態における改竄防止システムでは、コンピュータがソフトウェアを携帯端末装置にダウンロードする前に、コンピュータが正当なものであるかの確証を取るので、ソフトウェアのデータの改竄を防止する効果を上げることができる。
【０１６２】
すなわち、改竄防止システムが、所定の入力手段を接続可能で、携帯端末装置のソフトウェアをアップデートする第１のコンピュータと、この第１のコンピュータにセキュアな通信回線を介して接続可能な第２のコンピュータとを含む。さらに、第２のコンピュータは、第１のコンピュータの内部個別情報に基づいて前記アップデートの可不可を承認する承認手段を含み、第１のコンピュータは、前記第２のコンピュータによる承認が成立した場合にのみ前記携帯端末装置とのデータ通信を行うことを可能とする通信証明要求を前記携帯端末装置に送信するデータ通信手段を含む。
【０１６３】
具体的には、先ず、ＰＣ２００からＰＣ３００に対してローディング許可要求を送信し、ＰＣ３００がＰＣ２００を認証できた場合にのみ、センドキーを返送している。ＰＣ２００は、正しいセンドキーを受信することにより、初めてＵＥ１００へのデータ通信手続を開始するようになっている。
【０１６４】
これにより、携帯端末装置に対してソフトウェアのダウンロードを開始する前に、ダウンロードする側とダウンロードされる側の装置の接続の可否を判定し、相互が正当な装置であることを確認して、改竄の防止の効果を上げている。
【０１６５】
また、本発明の第２の実施の形態においては、携帯端末装置の認証手段は、乱数と端末識別情報とを含むメッセージを生成する手段と、公開鍵を用いて前記メッセージを暗号化する手段と、コンピュータ（第１のコンピュータ）において秘密鍵を用いて復号化され一時的ＩＤが埋め込まれ秘密鍵で署名されたメッセージを、前記コンピュータから受信する手段と、署名された前記メッセージに基づいて前記コンピュータを認証する第２の認証手段と、を含む。
【０１６６】
具体的には、ＰＣ２００からの通信証明要求に対し、ＵＥ１００で、擬似乱数とＩＭＥＩを用いて返送メッセージを生成し、公開鍵を用いて暗号化してＰＣ２００に送信する。ＰＣ２００は、秘密鍵を用いて返送メッセージを復号化し、そのメッセージにＰＣ２００に入力される一時的ＩＤを埋め込み、秘密鍵を用いて署名して、署名メッセージをＵＥ１００に送信する。ＵＥ１００では、署名情報、擬似乱数、ＩＭＥＩ、必要であれば更に、一時的ＩＤを確認して、ＰＣ２００を認証している。そして、ＰＣ２００が認証された場合のみ、以降のデータ通信を行なうようにしている。
【０１６７】
従って、簡易な構成でありながら、コンピュータ（ＰＣ２００）と携帯端末装置（ＵＥ１００）の相互認証を、迅速、確実に行なうことができ、携帯端末装置のソフトウェアのダウンロード及びアップデートに際して、第三者による不当なアップデートを容易に防止することができる。
【０１６８】
第２の効果は、ソフトウェアダウンロードの処理量の軽減と実行時間の短縮がなされることである。
【０１６９】
その理由は、ダウンロードするソフトウェア全てのデータを暗号化・復号化することなく、ダウンロード開始前の接続可否判定の通信メッセージだけを、暗号化・復号化するように絞ったからである。
【０１７０】
なお、上述した第１・第２の実施形態では、ＵＥ１００とＰＣ２００とをＵＳＢケーブル４００で接続してデータ通信を行うようにしているが、データ通信の方法は任意のものを利用することができる。例えば、ＳＣＳＩ（Ｓｍａｌｌ  Ｃｏｍｐｕｔｅｒ  Ｓｙｓｔｅｍ  Ｉｎｔｅｒｆａｃｅ：スカジー）ケーブルやＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ：ラン）ケーブルなど、他の種類のケーブルを利用するようにしたデータ通信を利用するようにしてもよい。
【０１７１】
また、ＵＥ１００とＰＣ２００間のデータ通信の手段として、ケーブル接続でなく、無線通信方式による機器間接続を利用するようにしてもよい。
【０１７２】
無線通信方式としては、例えば、無線ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ：ラン）やブルートゥース（Ｂｌｕｅｔｏｏｔｈ）などを利用することができる。或いは、ＷＵＳＢ（Ｗｉｒｅｌｅｓｓ  ＵＳＢ：ワイヤレスユーエスビー）やＨｏｍｅＲＦ（Ｈｏｍｅ  Ｒａｄｉｏ  Ｆｒｅｑｕｅｎｃｙ：ホームアールエフ）などを利用してもよい。なお、上記の何れかの無線通信方式を利用する場合には、ＵＥ１００及びＰＣ２００に、各無線通信方式に対応するインタフェース（ＬＡＮカード、トランシーバ、など）と、無線通信のプロトコル処理を実行する機能を実装させるようにすればよい。
【図面の簡単な説明】
【０１７３】
【図１】本発明の改竄防止システムの一実施形態を示すブロック図である。
【図２】本実施形態の詳細構成の一例を示す詳細ブロック図である。
【図３】本実施形態の動作を説明する第１のシーケンス図である。
【図４】本実施形態の動作を説明する第２のシーケンス図である。
【図５】返送メッセージの形式の一例を示す図である。
【図６】本発明の改竄防止システムの第２の実施形態を示すブロック図である。
【図７】第２の実施形態の詳細構成の一例を示す詳細ブロック図である。
【図８】第２の実施形態の動作を説明する第１のシーケンス図である。
【図９】第２の実施形態の動作を説明する第２のシーケンス図である。
【図１０】返送メッセージの形式の第２の例を示す図である。
【図１１】従来の携帯端末装置のソフトウェアの改竄の一事例を示す図である。
【符号の説明】
【０１７４】
１００    ＵＥ
１１０    制御部
１１２    認証部
１１４    暗号化／復号化部
１１６    擬似乱数生成部
１２０    メモリ
１３０    ＵＳＢ−ＩＦ
２００    ＰＣ
２１０    制御部
２１２    認証部
２１４    暗号化／復号化部
２１８    ダウンロード部
２２０    メモリ
２３０    ＵＳＢ−ＩＦ
２４０    ＵＳＢ−ＩＦ
２４０−１    ＵＳＢ−ＩＦ
２５０    ＮＷ−ＩＦ
２８０    ハード・キー
２９０    キーボード
３００    ＰＣ
３１０    制御部
３１２    認証部
３２０    メモリ
３５０    ＮＷ−ＩＦ
４００    ＵＳＢケーブル
５００    インターネット
９００    データ搾取機器
【図１】
2008233965.tif 000003
【図２】
2008233965.tif 000004
【図３】
2008233965.tif 000005
【図４】
2008233965.tif 000006
【図５】
2008233965.tif 000007
【図６】
2008233965.tif 000008
【図７】
2008233965.tif 000009
【図８】
2008233965.tif 000010
【図９】
2008233965.tif 000011
【図１０】
2008233965.tif 000012
【図１１】
2008233965.tif 000013