(57)【特許請求の範囲】
【請求項１】
データ・コンテンツとコードとのうちの少なくとも１つを格納するサード・パーティ・データ・リポジトリと、
前記サード・パーティ・データ・リポジトリからの前記データ・コンテンツとコードとのうちの少なくとも１つのダウンロードを要求する手段を有するノードと、を備える通信システムにおいて、
前記サード・パーティ・データ・リポジトリに応答し且つ前記ノードに結合された健全性チェック・ポイント手段であって、前記ノードがそのようなダウンロードを要求することに応答して前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとのうちの少なくとも１つをインタセプトするよう動作する健全性チェック・ポイント手段を更に備え、
前記健全性チェック・ポイント手段が、
前記ノードを表し、且つ前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと対話するエミュレータと、
前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと、前記ノードを表す前記エミュレータとの対話の後で前記エミュレータの動作状態を評価するコード評価手段と、
前記動作状態が所定の動作状態を満たすという評価を受けた前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つを前記ノードへ選択的に送出する手段と
を含み、前記通信システムが、
前記健全性チェック・ポイント手段を含むホーム・ネットワークへのゲートウエイと、
少なくとも１つのサード・パーティ・データ・リポジトリとの間の専用セキュリティ・リンクとを更に備え、
前記ホーム・ネットワークが、データ・コンテンツとコードとのうちの少なくとも１つを前記専用セキュリティ・リンクを介してダウンロードする要求に応答して前記健全性チェック・ポイント手段を選択的に使用不能にする手段を更に備える、通信システム。
【請求項２】
前記健全性チェック・ポイント手段が、前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとの互換性と、前記ダウンロードされたデータ・コンテンツとコード内の複数のセキュリティ攻撃とのうちの少なくとも１つを評価する手段を含む請求項１記載の通信システム。
【請求項３】
前記健全性チェック・ポイント手段に結合されたコード及び障害リポジトリを更に備え、
前記コード及び障害リポジトリは、
前記健全性チェック・ポイント手段に結合された異なる形式のノードと関連した複数の異なるノード・エミュレーションと、
識別されたサード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツと、
識別されたサード・パーティ・データ・リポジトリからダウンロードされたコードと、
識別されたサード・パーティ・データ・リポジトリと関連して前記コード評価手段が前に引き受けた評価からノードへのデータ・コンテンツ及びコードのダウンロードに対する適性に関係する指示と
のうちの少なくとも一部を格納する
請求項１記載の通信システム。
【請求項４】
前記健全性チェック・ポイント手段は、
前記ダウンロードを要求する手段により発生されたサード・パーティ・データ・リポジトリのアドレスに応答して、前記アドレスを前記コード及び障害リポジトリ内で検索する手段と、
前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つが、前記コード及び障害リポジトリに格納され、且つ所定の動作状態を満たす前記エミュレータの動作状態を前に生成するそのように格納されたデータ・コンテンツ及びコードの影響を受けているとき、前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つを前記コード及び障害リポジトリから前記ノードへ直接ダウンロードする手段と
を含む、請求項３記載の通信システム。
【請求項５】
前記ホーム・ネットワークに結合された訪問先ネットワークを更に備え、
前記訪問先ネットワークが、前記ホーム・ネットワークに主に加入している加入者ユニットに対する通信をサポートし、
前記通信システムは更に、前記訪問先ネットワーク内の前記加入者ユニットからのダウンロードに対する要求を前記ホーム・ネットワーク内の前記健全性チェック・ポイント手段に照会する手段を備える
請求項１記載の通信システム。
【請求項６】
前記ノードが無線通信資源によりサービスされる請求項１記載の通信システム。
【請求項７】
前記サード・パーティ・データ・リポジトリと前記健全性チェック・ポイント手段との間に結合された全球的にアクセス可能なネットワークを更に備える請求項１記載の通信システム。
【請求項８】
前記所定の動作状態が全体的動作コンプライアンスである請求項１記載の通信システム。
【請求項９】
データ・コンテンツとコードとのうちの少なくとも１つを格納するサード・パーティ・データ・リポジトリを有する通信システムのネットワークにおいてノードへのデータ・ダウンロードを制御する方法であって、
前記ノードにおいて、前記サード・パーティ・データ・リポジトリからの前記データ・コンテンツとコードとのうちの少なくとも１つのダウンロードを要求するステップと、
前記ノードが前記のようなダウンロードを要求することに応答して、前記サード・パーティ・データ・リポジトリに応答し且つ前記ノードに結合された健全性チェック・ポイント手段が、前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとのうちの少なくとも１つを前記ネットワーク内でインタセプトするステップと、
前記健全性チェック・ポイント手段が、前記ノードを表すエミュレーションを発生するステップと、
前記健全性チェック・ポイント手段が、前記エミュレーションと、前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つとの間で動作的対話を生じさせるステップと、
前記健全性チェック・ポイント手段が、前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つを、前記ノードを表すエミュレータとの動作的対話の後で前記エミュレーションの動作状態を評価するステップと、
前記健全性チェック・ポイント手段が、前記動作状態が所定の動作状態を満たすという評価を受けた前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つを前記ノードへ選択的に送出するステップと
を備え、
前記ネットワークが更に、前記健全性チェック・ポイント手段を含むホーム・ネットワークへのゲートウェイであって、少なくとも１つのサード・パーティ・データ・リポジトリに専用セキュリティ・リンクを介して結合された、ゲートウエイを含み、前記方法は更に、
データ・コンテンツとコードとのうちの少なくとも１つを前記専用セキュリティ・リンクを介してダウンロードするための要求に応答して、前記ホーム・ネットワークが、前記エミュレーションの発生、及び動作状態の評価を選択的に使用不能にするステップを更に備えるデータ・ダウンロードを制御する方法。
【請求項１０】
前記健全性チェック・ポイント手段が、前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとの互換性と、前記ダウンロードされたデータ・コンテンツとコード内の複数のセキュリティ攻撃とのうちの少なくとも１つを評価するステップを更に備える請求項９記載のデータ・ダウンロードを制御する方法。
【請求項１１】
前記通信システム内の異なる形式のノードと関連した複数の異なるノード・エミュレーションと、
識別されたサード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツと、
識別されたサード・パーティ・データ・リポジトリからダウンロードされたコードと、
識別されたサード・パーティ・データ・リポジトリと関連して前記コード評価手段が前に引き受けた評価からノードへのデータ・コンテンツ及びコードのダウンロードに対する適性に関係する指示と
のうちの少なくとも一部を、前記健全性チェック・ポイント手段に結合された、前記ネットワーク内のコード及び障害リポジトリが、前記コード及び障害リポジトリ内に格納するステップを更に備える請求項９記載のデータ・ダウンロードを制御する方法。
【請求項１２】
前記健全性チェック・ポイント手段が、サード・パーティ・データ・リポジトリのアドレスを前記ネットワークのコード及び障害リポジトリ内で検索するステップと、
前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つが、前記コード及び障害リポジトリに格納され、且つ所定の動作状態を満たす前記エミュレータの動作状態を前に生成するそのように格納されたデータ・コンテンツ及びコードの影響を受けているとき、前記健全性チェック・ポイント手段が、前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つを前記コード及び障害リポジトリから前記ノードへ直接ダウンロードするステップと
を更に備える請求項１１記載のデータ・ダウンロードを制御する方法。
【請求項１３】
前記通信システムが、訪問先ネットワーク内の加入者ユニットからホーム・ネットワークを介したダウンロードの要求を照会する手段を備える請求項９記載のデータ・ダウンロードを制御する方法。
【請求項１４】
前記ノードが無線通信資源によりサービスされる請求項９記載のデータ・ダウンロードを制御する方法。
【請求項１５】
全球的にアクセス可能なネットワークが、前記サード・パーティ・データ・リポジトリを前記ホーム・ネットワークに結合する請求項９記載のデータ・ダウンロードを制御する方法。
【請求項１６】
データ・コンテンツとコードとのうちの少なくとも１つを格納するサード・パーティ・データ・リポジトリを有する通信システムのネットワークにおいてノードへのデータのダウンロードを調節する制御装置において、
前記ノードがそのようなダウンロードを要求することに応答して、前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとのうちの少なくとも１つをインタセプトするよう動作的に構成された手段と、
前記ノードを表し、且つ前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと対話するエミュレータと、
前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと、前記ノードを表す前記エミュレータとの対話の後で前記エミュレータの動作状態を評価するコード評価手段と、
前記動作状態が所定の動作状態を満たすという評価を受けた前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つを前記ノードへ選択的に送出する手段と、
前記制御装置に付随する専用セキュリティ・リンクを介してデータ・コンテンツとコードとのうちの少なくとも１つをダウンロードする要求に応答して、前記エミュレータを選択的に使用不能にする手段と
を備える制御装置。
【請求項１７】
前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとの互換性と、前記ダウンロードされたデータ・コンテンツとコード内の複数のセキュリティ攻撃とのうちの少なくとも１つを評価する手段を更に備える請求項１６記載の制御装置。
【請求項１８】
健全性チェック・ポイント手段に結合された異なる形式のノードと関連した複数の異なるノード・エミュレーションと、
識別されたサード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツと、
識別されたサード・パーティ・データ・リポジトリからダウンロードされたコードと、
識別されたサード・パーティ・データ・リポジトリと関連して前記コード評価手段が前に引き受けた評価からノードへのデータ・コンテンツ及びコードのダウンロードに対する適性に関係する指示と
のうちの少なくとも一部を格納するコード及び障害リポジトリに結合された請求項１６記載の制御装置。
【請求項１９】
前記ノードにより発生されたサード・パーティ・データ・リポジトリのアドレスに応答して、前記アドレスを前記コード及び障害リポジトリ内で検索する手段と、
前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つが、前記コード及び障害リポジトリに格納され、且つ所定の動作状態を満たす前記エミュレータの動作状態を前に生成するそのように格納されたデータ・コンテンツ及びコードの影響を受けているとき、前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つを前記コード及び障害リポジトリから前記ノードへ直接ダウンロードする手段と
を更に含む請求項１８記載の制御装置。
【請求項２０】
請求項９の方法ステップを実行するため制御器に手順を実行させるコンピュータ・プログラム・コードを含むコンピュータ・プログラム。
【請求項２１】
コンピュータ可読記録媒体上に格納された請求項２０記載のコンピュータ・プログラム。
【請求項２２】
データ・コンテンツとコードとのうちの少なくとも１つを格納するサード・パーティ・データ・リポジトリを有する通信システムのホーム・ネットワークにおいてデータのノードへのダウンロードを制御する制御器のためのコンピュータ・プログラムであって、
前記ノードがダウンロードを要求することに応答するコードであって、前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとのうちの少なくとも１つをインタセプトするよう前記制御器に命令するコードと、
前記制御器に前記ノードを表すエミュレーションを発生するよう命令するコードと、
前記エミュレーションと、前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つとの間での動作的対話を生じさせるよう前記制御器に命令するコードと、
前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと前記ノードを表すエミュレータとの動作的対話の後で前記エミュレーションの動作状態を評価するよう前記制御器に命令するコードと、
前記動作状態が所定の動作状態を満たすという評価を受けた前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つを前記ノードへ選択的に送出するよう前記制御器に命令するコードと、を含み、
前記コンピュータ・プログラムはコンピュータ可読記録媒体に格納され、
前記ネットワークが更に、少なくとも１つのサード・パーティ・データ・リポジトリへ専用セキュリティ・リンクを介して結合されたゲートウエイを含み、前記コンピュータ・プログラムは、
データ・コンテンツとコードとのうちの少なくとも１つを前記専用セキュリティ・リンクを介してダウンロードする要求に応答して、前記エミュレーションの発生、及び前記動作状態の評価を選択的に使用不能にするよう前記制御器に命令するコードを更に含むコンピュータ・プログラム。
【請求項２３】
前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとの互換性と、前記ダウンロードされたデータ・コンテンツとコード内の複数のセキュリティ攻撃とのうちの少なくとも１つを評価するよう前記制御器に命令するコードを更に含む請求項２２記載のコンピュータ・プログラム。
【請求項２４】
ホーム・ネットワークのコード及び障害リポジトリの中でサード・パーティ・データ・リポジトリのアドレスを検索するよう前記制御器に命令するコードと、
前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つが、前記コード及び障害リポジトリに格納され、且つ所定の動作状態を満たす前記エミュレータの動作状態を前に生成するそのように格納されたデータ・コンテンツ及びコードの影響を受けているとき、前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つを前記コード及び障害リポジトリから前記ノードへ直接ダウンロードするよう前記制御器に命令するコードと
を更に含む請求項２２記載のコンピュータ・プログラム。
【請求項２５】
加入者ユニットのホーム・ネットワークを介した訪問先ネットワーク内の前記加入者ユニットからのダウンロードに対する要求を照会するよう前記制御器に命令するコードを更に含む請求項２２記載のコンピュータ・プログラム。
【発明の詳細な説明】
【０００１】
［発明の分野］
本発明は、一般に、適応可能な加入者装置へのデータのダウンロードを制御する通信システムに関し、特に、それに限定されないが、第３世代無線通信装置のようなダウンロード可能な端末内でのアプリケーション・ソフトウエアの調整に適用可能である。
【０００２】
［発明の背景］
通信技術の発展により、個人の（又はグループの）要求に適合するため加入者装置の機能を個人専用化（ｐｅｒｓｏｎａｌｉｓｅ）しようとする加入者の要求が絶えず増大している。そのような加入者装置は、（それに限定されないが、）ｉ）移動通信用汎用システム（ＵＭＴＳ）のような第３世代セルラ・システムにおいて提案されたいわゆるソフトウエア無線、及びｉｉ）ローカル・エリア・ネットワーク（ＬＡＮ）上のコンピュータのような適応可能な端末装置を含む多数の形式を取り得る。
【０００３】
かなりの期間にわたり、ソフトウエアをダウンロードすることが希望であった。今、インターネット・アクセス、及び無線周波数領域におけるデータ・パケット転送技術の発展により、ソフトウエアのダウンロード及び端末の適応が現実になりつつある。サーバ（又はコンテンツ・プロバイダ）からのソフトウエアのダウンロードが勿論多数の見せかけである場合があり、それには、ソフトウエア・アプリケーション全体（例えば、交換移動特定ファームウエアのような）と、コードの初期リリース（ｒｅｌｅａｓｅ）後に識別されてしまう特定の技術障害に対処するソフトウエア・パッチが含まれる。ソフトウエアのダウンロードはまた、それがコンテンツ・プロバイダからのデマンド・ベースで評価される点でコンテンツ特有である場合があり、従ってＥコマース（電子商取引）・メッセージ、ウェブ・ページ等のような一般的インターネット情報であるように見える場合がある。更に、ソフトウエアは、加入者装置内で使用の付属の「プラグイン」メモリ拡張カード又はＳＩＭカード上のコードの形式で与えられることができる。
【０００４】
次世代の移動通信システムにおいては、移動加入者ユニットは、エアー・インターフェース（ａｉｒ−ｉｎｔｅｒｆａｃｅ）及び有線（ｗｉｒｅｌｉｎｅ）又は光のネットワークの両方に跨るパケット交換ベアラ（ｂｅａｒｅｒ）を介してインターネットに直接アクセスすることができるであろう。更に、将来におけるサービスが通信ネットワークから切り離され、ネットワークのオペレータ、サービス・プロバイダ及び製造者の役割が明瞭に区別され、そして無関係のパーティ（ｕｎｒｅｌａｔｅｄ  ｐａｒｔｉｅｓ）により独立にサポートされることができることが予想される。従って、理論的には、ソフトウエア及びコンテンツのいずれのダウンロードも、任意のアクセス可能なソースから獲得されることができる。更に、インターネットの開放性は、望ましいにも拘わらず、加入者が彼自身の加入者装置の機能を互換性のない又はことさら悪意のあるコード（ｍａｌｉｃｉｏｕｓ  ｃｏｄｅ）をダウンロードすることを通して不注意で危険にさらす場合がある非常に不安全なネットワークをまねく。前者の場合、加入者ユニット内における既存のソフトウエア／ファームウエアと同時に起こったダウンロード済みコードの操作は、単にシステム障害又はシステム・クラッシュをうっかり起こす場合がある。悪意をもって製作されたローグ（ｒｏｇｕｅ）・ソフトウエアは一般にサポーティング「セキュリティ攻撃」と呼ばれるが、このローグ・ソフトウエアは、加入者ユニットにより処理されたデータを中断（ｄｉｓｒｕｐｔ）させ且つ脇にそらすことを、又はより警戒心を抱かせるように、重大な機能又はデータに恒久的に上書きし又はそれらを使用不能にすることによりサード・パーティ（第三者）の装置を破壊することを故意にしようとする場合がある。確かに、セキュリティ保護無しでは、セキュリティ攻撃は、特定の通信パケット又はピリオド（ｐｅｒｉｏｄｓ）に関して（呼び又はインターネット・アクセス・セッション内で）且つネットワーク・ノード（例えば、加入者ユニット及びサーバのような）に対して比較的容易に実行されることができる。
【０００５】
従って、加入者装置の個人専用化に関して、加入者装置によりサポートされた多数のソフトウエア・アプリケーションにおける拡大と、インターネットのような不安全な通信資源を介した一般的に信頼性を確かめていない（ｕｎｖｅｔｔｅｄ）データ・リポジトリからのコードの更新又は置換との両方とにあいにく関連しない固有の危険が存在する。
【０００６】
幾つかの形式のセキュリティ攻撃に対処するため、ウイルス・チェッカーが、ホスト・コンピュータを侵すために故意に製作されたローグ・ソフトウエアを捜すため走査するよう（コンピュータ・ベースの端末技術に使用のため）開発されてきた。そのようなウイルス・チェッカーは、コンピュータ・ウイルスの新しい歪める力（ｓｔｒａｉｎ）に対処するため絶えず更新されねばならない。
【０００７】
セキュリティ攻撃の種類に関して、これらは、一般に２つのカテゴリ、即ち情報への変換アクセスを探し求めることが望まれる第１のカテゴリと、合法のシステム又は加入者ユニットの動作を中断、適合又はさもなければ危険にさらすよう動作する第２のカテゴリとの２つのカテゴリの１つに入るように分類される。
【０００８】
第１のカテゴリにおけるセキュリティ攻撃は、ｉ）ユーザ要求を嗅ぎ（ｓｎｉｆｆ  ａｔ）、次いでユーザ要求の知覚された重要さ／関連性に基づいてソフトウエア（又はコンテンツ）をインタセプトすることと、ｉｉ）エンティティ（ｅｎｔｉｔｙ）がユーザと認証局との間での認証要求をインタセプトすることにより、セキュリティを危険にさらす「中間の人による（“ｍａｎ  ｉｎ  ｔｈｅ  ｍｉｄｄｌｅ”）」アクセス（例えば、電子商取引環境において）と、ｉｉｉ）ダウンロードの一般的割り込みとの概念を含む。これらの形式のセキュリティ攻撃間の共通スレッドは、例えば、専用通信経路のタッピングを通して、情報への直接のアクセスが存在することである。１つのハイブリッド攻撃のメカニズムは、サード・パーティ・エンティティ（例えば、悪意をもつ従業員）が全ての認証局の背景チェックを通すことにより有効な「署名付き証明書（ｓｉｇｎｉｎｇ  ｃｅｒｔｉｆｉｃａｔｅ）」を獲得するが、しかしその後にサード・パーティが悪意のあるコンテンツを生成し、且つ署名する悪意のあるコードの使用に関連する。セキュリティ攻撃の第１のカテゴリは、安全な通信リンクを提供することに基づくこと以外に基づいて対処するのが難しい。
【０００９】
セキュリティ攻撃の第２のカテゴリは、加入者ユニット又はホスト・プロセッサにおける（コードの改ざん（ｃｏｒｒｕｐｔｉｏｎ）による）機能の改変に直接行く。そのような改ざんの多数の形式があり、主要なメカニズムが以下で明確にされる。第１に、サード・パーティは、ネットワーク・サーバ／ノードのような、要求している加入者ユニット又はＬＡＮゲートウエイ装置へのダウンロードの過程でソフトウエア（又はコンテンツ）を変更し得る。第２に、いわゆるトロイの木馬攻撃は、処理システムが要求された手順を動作させ／実行するように見えるのに反して、その処理システムは実際には、要求された手順に対して不正で且つ補充的な何かをしつつある、例えば、加入者ユニットの制御が合法の所有者と接続されていないサード・パーティにより実効的にとって代えられることをもたらす。第３に、ソフトウエアのダウンロードに対するアップリンク・メッセージがインタセプトされ、そして（サード・パーティにより）アドレスされたサーバの非個人専用化は、ダウンロードを要求するプロセッサへ悪意のある又は敵意のあるコードをダウンロードすることをまねく。第４に、ダウンロードされたソフトウエアに付随した加入者ユニット又はサーバは、単純にダミー・コードで溢れさせられる場合がある。第５に、サード・パーティのハッカーは、ソフトウエアのダウンロードのプロセスの開始前にサーバ上のソフトウエア又はコンテンツを変更する危険にサーバをさらす場合がある。
【００１０】
一般に、アドレスされたサーバ又はデータ・リポジトリが適正に防護されていない場合には、ハッカーは、サーバに格納されたデータを改ざんすることによりサーバを危険にさらすことができる。この場合、サーバにより提供されたデータが改ざんされていることの外への指示がなく、そこで、信頼された真正なサーバとして、サーバがアドレスしているノード（例えば、加入者ユニットのような）とサーバ自体との間を通る認証証明書に基づいて依然アクセス可能であり且つ対話的である。この事例では、加入者ユニットは、悪意のある性質の改ざんされたソフトウエアをうっかりダウンロードし得ることが明らかである。実際に、改ざんされたミッション・クリティカルな実行可能の無線ソフトウエア（ＲＦ／ＩＦベースバンド・アルゴリズム）が移動ユニットにダウンロードされる場合、移動ユニットは、機能不全（誤動作）（ｍｉｓ−ｆｕｎｃｔｉｏｎ）をする又は機能を早すぎて終了させることが生じさせられる場合がある。なお、これは特定の関心事である。より詳細には、移動環境における改ざんされたダウンロードされたコードの問題は、加入者ユニット（例えば、セルラ電話器又はＵＭＴＳ端末）の固有の移動性質により悪化させられる。それは、移動ユニットとの接触が切断され、又はさもなければ妨げられ、そうしてそのような接触が直接再確立されることができないからである。従って、移動加入者及びサーバ・プロバイダは、両方とも、いずれの電話器／装置エラー又は障害が全体的に明らかであり得る。そういうものだから、加入者の立場から、サービスの損失の認識できる指示が単純にない一方、オペレータが関連のサービス収入の損失を被るであろう。
【００１１】
ここで、ソフトウエアのダウンロードは１つ以上のセキュリティ攻撃に非常に傷つきやすく、従って強力なセキュリティ機構が一般にセキュリティ攻撃からソフトウエアのダウンロードを防護することが好ましいことが明らかに認められるであろう。
【００１２】
いわゆる移動実行環境（ＭＥｘＥ）は、アプリケーション、アプレット及びコンテンツの自動的で安全な転送を提供するため３ＧＰＰ  Ｔ２において提案された。ＭＥｘＥにおいて実行される認証機構は、加入者ユニット及びサーバが互いに実効的に認証するのを可能にするＣＣＩＴＴ  Ｘ．５０９ディジタル証明書に基づいている。スタンドアローンの暗号化機構を用いて、ダウンロードされたソフトウエア（又はコンテンツ）に対してプライバシーを与える。安全にされたソフトウエア／コンテンツのダウンロードに対する現在のＭＥｘＥアプローチは、トラスト（信頼）認証局により認証されたディジタル証明書を用いてソフトウエア／コンテンツを署名することである。証明書は、ダウンロードされたソフトウエア／コンテンツが信頼されたサーバから来ることを加入者に認証するため一義的に識別するであろう。そのようなシナリオが、例えば、サーバが電話器製造者に属するところに存在する。換言すると、証明書は、本質的に、装置に対して一義的なディジタル署名と、加入者ユニットとサーバとの間で転送されるデータ・パケット（又は類似のもの）を復号するのに後で使用する暗号鍵とを含む。
【００１３】
あいにく、ＭＥｘＥに設けられたセキュリティ機構は、ダウンロードにおけるある一定のセキュリティ攻撃、原理的にはソフトウエアの変更を防止することができるだけである。Ｊａｖａサンドボックスにおいて実行されているバイトコード検証に加えて、ＭＥｘＥは、発信サーバに直接影響を及ぼし且つ有効な認証証明書をごまかして獲得するセキュリティ攻撃に対する明示的セキュリティ保護を提供しない。
【００１４】
幾分かより詳細には、Ｊａｖａ言語は、Ｊａｖａ互換性のあるウェブ・ブラウザがコード・フラグメントを動的にダウンロードし、次いでこのコードをマシンで実行するのを可能にする。元のＪａｖａセキュリティは、アプレットに対する権利を制限することによりＪａｖａプログラムが何をすることができ又はすることができないかについて厳格な制御を課するサンドボックスを利用する。Ｊａｖａコードの特別な特権を認可することから離れて、Ｊａｖａサンドボックスは、ダウンロードされたコードのためのシステム資源に対するアクセスを制御する。
【００１５】
コンピュータ端末／ワークステーションのコンテクストにおいては、一旦コードがワークステーションのＪａｖａサンドボックスへダウンロードされると、Ｊａｖａサンドボックスは、クラス・ファイル・フォーマット検査及びバイトコード検証を含む、検証のシリアル・レジメ（ｓｅｒｉａｌ  ｒｅｇｉｍｅｓ）を実行するであろう。バイトコード検証においては、バイトコードは、ランタイム・システム、即ち仮想マシンの命令セットのためのエミュレータにより実行される。バイトコード検証器は、ｉ）データフローを解析してスタック・オーバフローに対する侵害があるかを知ることと、ｉｉ）レジスタに直接アクセスすることとにより全てのバイトコードを検証する。バイトコード検証器は、それらのルーチン又はサブルーチンを「呼ぶ（ｃａｌｌ）」（即ち、改ざんされている可能性のあるものとして識別する）よう構成されている。なお、それらのルーチン又はサブルーチンに対して、例えば、不適切な引数が獲得され、又は引数が不適切なタイプで獲得される。しかしながら、Ｊａｖａサンドボックス・バイトコード検証機構は、言語依存型の検査を実行するのみで、そして局所的資源を不許可のアクセスから防護するよう動作し、更にコードが所定の拘束に準拠していることを保証することにより侵害動作を防止する。所定の拘束は、スタック・オーバフローもスタック・アンダーフローもなく、且つ有効なレジスタ・アクセス及び格納があることを保証し得る。更に、バイトコード検証器は、全バイトコード命令へのパラメータの正しい割当てに頼り、そして更に非合法のデータ変換が起こらないことを保証する。このレベルの複雑さを伴ってすら、Ｊａｖａサンドボックスは、それが、サーバに格納されたソフトウエアに対するハッキングされる危険なこと、インタセプトされた認証証明書の使用、及びトロイの木馬攻撃のうちのいずれかに続くセキュリティ攻撃を調整する（ａｃｃｏｍｍｏｄａｔｅ）ことができない点で不完全である。
【００１６】
Ｊａｖａサンドボックス技術の中間的概括として、ここで、Ｊａｖａサンドボックスは限定的なアクセス機能をＪａｖａコードに与え、それにより、さもなければ特定のＪａｖａアプレットと関連のないメモリ位置へのアクセスを防止することが認められるであろう。従って、ソフトウエアの対話は、絶対的なセキュリティ・カーテンを与えるＪａｖａサンドボックスでもって制限される。
【００１７】
パーソナルＪａｖａ（Ｐｅｒｓｏｎａｌ  Ｊａｖａ）に基づいているＭＥｘＥ分類記号（ｃｌａｓｓｍａｒｋ）ＩＩにおいては、バイトコード検証を用いて、ダウンロードされたＪａｖａコードが仮想マシン実行条件に適合することを検証する。しかしながら、製造者が単一のコード・フォーマットを利用するための要件が無く、そこでＪａｖａ以外の言語でのコードが、実行可能な無線システム（又はサブシステム）のソフトウエアの場合におけるようなダウンロード可能な環境において用いられ得る。
【００１８】
勿論、人は、保護のブルート・フォース機構（総当たり機構）（ｂｒｕｔｅ−ｆｏｒｃｅ  ｍｅｃｈａｎｉｓｍ）を採用することができるであろうし、それにより全ての形式の機能個人専用化（ｆｕｎｃｔｉｏｎ  ｐｅｒｓｏｎａｌｉｓａｔｉｏｎ）が制限される。例えば、コンピュータ・システムは、ファイアウォール／プロキシ／キャッシュを用いて動作するよう設計されてきた。ファイアウォール／プロキシは、コンテンツ及びその結果生じるフェッチされたコンテンツを検索する試みをフィルタリング／ブロッキングすることによりクライアントに対して保護を与えることができる。現在インターネットのファイアウォール／プロキシにより用いられている機構は、非常に粗く（例えば、全てのＪａｖａＳｃｒｉｐｔ（ジャバ・スクリプト）をフィルタリングして選別し、サイトｈｔｔｐ：／／ｈａｃｋｅｄｃｏｄｅ．ｃｏｍへの全てのアクセスを阻止することであり）、そして今日の進化している通信環境において必要とされるきめ細かいアプローチをサポートすることができない。
【００１９】
［発明の概要］
本発明の第１の局面に従って、データ・コンテンツとコードとのうちの少なくとも１つを格納するサード・パーティ・データ・リポジトリと、前記サード・パーティ・データ・リポジトリからの前記データ・コンテンツとコードとのうちの少なくとも１つのダウンロードを要求する手段を有するノードとを備える通信システムにおいて、前記サード・パーティ・データ・リポジトリに応答する健全性チェック・ポイント機能であって、前記ノードがそのようなダウンロードを要求することに応答して前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとのうちの少なくとも１つをインタセプトするよう動作する健全性チェック・ポイント機能を更に備え、前記健全性チェック・ポイント機能は、前記ノードを表し、且つ前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと対話するエミュレータと、前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと前記ノードを表す前記エミュレータとの対話の後で前記エミュレータの動作状態を評価するコード評価手段と、前記動作状態が所定の動作状態を満たすという評価を受けた前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つを前記ノードへ選択的に送出する手段とを含む通信システムが提供される。
【００２０】
好適な実施形態においては、前記健全性チェック・ポイント機能が、前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとの互換性と、前記ダウンロードされたデータ・コンテンツとコード内の複数のセキュリティ攻撃とのうちの少なくとも１つを評価する手段を含む。
【００２１】
好ましくは、コード及び障害リポジトリが、前記健全性チェック・ポイント機能に結合され、前記コード及び障害リポジトリは、前記健全性チェック・ポイントに結合された異なる形式のノードと関連した複数の異なるノード・エミュレータと、識別されたサード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツと、識別されたサード・パーティ・データ・リポジトリからダウンロードされたコードと、識別されたサード・パーティ・データ・リポジトリと関連して前記コード評価手段が前に引き受けた評価からノードへのデータ・コンテンツ及びコードのダウンロードに対する適性に関係する指示とのうちの少なくとも一部を格納する。
【００２２】
一実施形態においては、前記健全性チェック・ポイント機能は、前記ダウンロードを要求する手段により発生されたサード・パーティ・データ・リポジトリのアドレスに応答して前記アドレスを前記コード及び障害リポジトリ内で検索する手段と、前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つが、前記コード及び障害リポジトリに格納され、且つ所定の動作状態を満たす前記エミュレータの動作状態を前に生成するそのように格納されたデータ・コンテンツ及びコードの影響を受けているとき、前記アドレスと関連したデータ・コンテンツとコードとのうちの少なくとも１つを前記コード及び障害リポジトリから前記ノードへ直接ダウンロードする手段とを含む。
【００２３】
前記通信システムは更に、前記健全性チェック・ポイント機能を含むホーム・ネットワークへのゲートウエイと、少なくとも１つのサード・パーティ・データ・リポジトリとの間の専用セキュリティ・リンクとを更に備え、そこにおいて前記ホーム・ネットワークが更に、データ・コンテンツとコードとのうちの少なくとも１つを前記専用セキュリティ・リンクを介してダウンロードする要求に応答して前記健全性チェック・ポイント機能を選択的に使用不能にする手段を備える。
【００２４】
訪問先ネットワークが前記ホーム・ネットワークに結合され得て、前記訪問先ネットワークが、前記ホーム・ネットワークに主に加入している加入者ユニットに対する通信をサポートする。次いで、前記通信システムは更に、前記訪問先ネットワーク内の前記加入者ユニットからのダウンロードに対する要求を前記ホーム・ネットワーク内の前記健全性チェック・ポイント機能に照会する手段を備え得る。
【００２５】
インターネットのような全球的にアクセス可能なネットワークが、典型的には、前記サード・パーティ・データ・リポジトリと前記健全性チェック・ポイント機能との間に結合される。
【００２６】
所定の動作状態に関して、そのレベルは任意に設定されるが、しかしそのレベルは、重要なオペレーティング・システムが影響を及ぼされる程度まで影響を受ける場合がある。その結果、全体的動作コンプライアンスは、ある一定の場合には、要求され得るが、一方他の場合には、後続のノード動作におけるより小さい障害が受け入れ可能であり得る（例えば、既存のファームウエア問題がセル電話器のようなノード内で知られている場合、部分的に動作しているシステム・ソフトウエアへのアップグレードは、動作の機能性における改善を表し得る。）。
【００２７】
本発明の第２の局面においては、データ・コンテンツとコードとのうちの少なくとも１つを格納するサード・パーティ・データ・リポジトリを有する通信システムのネットワークにおいてノードへのデータ・ダウンロードを制御する方法であって、前記ノードにおいて、前記サード・パーティ・データ・リポジトリからのデータ・コンテンツとコードとのうちの少なくとも１つのダウンロードを要求するステップと、前記ノードがそのようなダウンロードを要求することに応答して、前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとのうちの少なくとも１つを前記ネットワーク内でインタセプトするステップと、前記ノードを表すエミュレーションを発生するステップと、前記エミュレーションと、前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つとの間で動作的対話（ｏｐｅｒａｔｉｏｎａｌ  ｉｎｔｅｒａｃｔｉｏｎ）を生じさせるステップと、前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと、前記ノードを表すエミュレータとの動作的対話の後で前記エミュレーションの動作状態を評価するステップと、前記動作状態が所定の動作状態を満たすという評価を受けた前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つを前記ノードへ選択的に送出するステップとを備えるデータ・ダウンロードを制御する方法が提供される。
【００２８】
本発明の第４の局面においては、データ・コンテンツとコードとのうちの少なくとも１つを格納するサード・パーティ・データ・リポジトリを有する通信システムのネットワークにおいてノードへのデータのダウンロードを調節する制御装置であって、前記ノードがそのようなダウンロードを要求することに応答して、前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとのうちの少なくとも１つをインタセプトするよう動作的に構成された手段と、前記ノードを表し、且つ前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと対話するエミュレータと、前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとの少なくとも１つと前記ノードを表す前記エミュレータとの対話の後で前記エミュレータの動作状態を評価するコード評価手段と、前記動作状態が所定の動作状態を満たすという評価を受けた前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つを前記ノードへ選択的に送出する手段とを備える制御装置が提供される。
【００２９】
本発明の更に別の局面においては、データ・コンテンツとコードとのうちの少なくとも１つを格納するサード・パーティ・データ・リポジトリを有する通信システムのホーム・ネットワークにおいてデータのノードへのダウンロードを制御する制御器のためのコンピュータ・プログラム製品において、前記ノードがダウンロードを要求することに応答するコードであって、前記サード・パーティ・データ・リポジトリからダウンロードされたデータ・コンテンツとコードとのうちの少なくとも１つをインタセプトするよう前記制御器に命令するコードと、前記ノードを表すエミュレーションを発生するよう前記制御器に命令するコードと、前記エミュレーションと前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つとの間での動作的対話を生じさせるよう前記制御器に命令するコードと、前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つと前記ノードを表すエミュレーションとの動作的対話の後で前記エミュレーションの動作状態を評価するよう前記制御器に命令するコードと、前記動作状態が所定の動作状態を満たすという評価を受けた前記サード・パーティ・データ・リポジトリからダウンロードされた前記データ・コンテンツとコードとのうちの少なくとも１つを前記ノードへ選択的に送出するよう前記制御器に命令するコードとを備え、前記コードがコンピュータ可読媒体に存在する、コンピュータ・プログラム製品が提供される。
【００３０】
移動加入者が、例えば、そのオペレーティング・システムに悪影響を及ぼすことができるであろうコードのダウンロードを要求するとき、そのようなコードは、常に、移動加入者がどこに位置されていようとも関係なく、コード互換性の決定論的な健全性チェック・ポイント機能へ送られることが好ましい。
【００３１】
本発明は、それによりシステム・オペレータ（又は他のシステム管理者）が加入者により要求されてしまった疑わしさに可能性があるダウンロード可能コードについて健全性チェックを実行して、既存コードを加入者のノード又は通信装置内で更新又は増大（ａｕｇｍｅｎｔ）することができる機構を有利に提供する。本発明を移動無線通信装置環境に適用することを考慮すると、システム・オペレータ（又はシステム管理者）がソフトウエアのアップグレードを調節する能力は、移動ユニットの動作に悪影響を及ぼす破局的である可能性があるソフトウエアのアップグレードを緩和する。より詳細には、本発明は、システム・オペレータが、さもなければ移動無線通信装置への（アップリンク及びダウンリンクの両方のコネクションの意味においての）両方のシステム・アクセスを中断させ且つ妨げることができるであろうソフトウエアのダウンロードを拒否するのを可能にする。しかしながら、本発明がソフトウエアのダウンロードを厳密に調節することができる一方、それは、システム・オペレータが加入者のアクセスされたサイト又は専用経路において持つ確信のレベルに基づいて調節するそのアプローチにおいて選択的であることができる。例えば、加入者が安全なイントラネット内でのサイトにアクセスする場合、ソフトウエア（特に、対話型Ｊａｖａアプレットのようなアプリケーション・コード）のダウンロードは、直ちに、管理者の点検及び対話なしに是認されることができる。逆に、加入者が（複数のゲートウエイを介して広域インターネット・ドメインに入るような）不安全と考えられるサイトにアクセスする場合、より臨界的立場が管理者により採用されることができ、それによりダウンロード可能なコードが特に取り扱われ、従って本発明の原理に従って保全性／互換性評価を受けさせられる。
【００３２】
従って、本発明は、ソフトウエアに対する、（ソフトウエア健全性チェックとして動作する）検証機構を提供し、その機構は、ソフトウエアのダウンロード及びアップグレードの両方の前に一時に動作可能である。従って、本発明は、ミッション−クリティカルなソフトウエアの改ざんを防止しながら、移動又は他の加入者ユニット又はノードの個人専用化の必要性に対処する。好適な実施形態は、通信システム内の多数の代替ノードで実行されることができ、従ってＬＡＮ（又は類似のもの）と関連した加入者のサービスの調節を提供し得て、それにより検証機構を複数の加入者ユニット又はノード間で共用するのを可能にする。
【００３３】
本発明を、例えば、移動通信ソフトウエア・ダウンロード製品で用いることができ、そしてこの発明を用いてＭＥｘＥ及びソフトウエアで定義された無線（ＳＤＲ）におけるセキュリティ強度を増強することができる。本発明はまた、例えば、３ＧＰＰ  ＴＳＧ  Ｔ２  ＭＥｘＥ標準、ＳＤＲフォーラム及びヨーロッパ連合によりファンド化された第５次フレームワークＴＲＵＳＴ（トランスペアレントな再構成可能ユビキタス端末）プロジェクトに適用を見つける。
【００３４】
本発明の代表的実施形態がここで図面を参照して説明されるであろう。
［好適な実施形態の詳細な説明］
図１を参照すると、本発明の好適な実施形態に従った通信システム１０のブロック図が示されている。通信システム１０の構成要素の多くは通常の設計である。
【００３５】
インターネットのような不安全なネットワーク１２は、（典型的には、）パケット交換トランスポート・ドメインを提供し、このパケット交換トランスポート・ドメインにわたってデータ・トラフィックが、ホーム・ネットワーク１３（これはＬＡＮであり得る。）と選択的周辺エンティティ１４−１８との間を通される。例としてであり限定することなしで、周辺エンティティは、アプリケーションベースのコード２０（即ち、ソフトウエア及びファームウエア）及びビリング情報２２を含むサービス・プロバイダ１４の形式を取り得る。代替として、周辺エンティテイは、一般に電子商取引２４又は情報２６に対するサービス及びアクセスを提供するコンテンツ・プロバイダ１６であり得る。周辺エンティテイ１８の第３の形式は製造者のサーバであり得て、このデータ・サイトはＪａｖａアプレット又は類似のものの形式でファームウエア２８を格納する。
【００３６】
システム製造者と関連したいずれのサーバ１８に関して、サイトがホーム・ネットワーク１３に不安全なネットワーク１２を介して相互接続されるよう示されているにも拘わらず、サーバ１８への補足の又は代替の接続が、専用の（従って安全と考えられる）リンク３０によるものであることができるであろう。一般的に、製造者と関連したサーバ１８とホーム・ネットワーク１３との間で転送される情報は、（本発明が実効的に証明書の使用を緩和するにも拘わらず、）追加の安全を与えるための証明書３２を含むであろう。
【００３７】
様々な周辺エンティティは、サード・パーティ・データ・リポジトリと相互交換可能に知られ又は呼ばれる。それは、それらが、要求によりダウンロードされることができるアクセス可能なコード又はコンテンツ資源を提供するからである。
【００３８】
ホーム・ネットワーク１３に関連して、ゲートウエイ３４は、ホーム・ネットワーク１３と不安全なネットワーク１２との間の物理的インタフェースを与える。容易に認められるように、ゲートウエイ３４は、スイッチの形式を取り得て、そして一般にある形式のルーティング及び／又は相互オペラビリティ機能を提供する。ゲートウエイ３４は従って制御論理３５を含むが、このゲートウエイ３４は、次いで、ホーム・ネットワーク１３内のデータ・ネットワーク３６（例えば、パケット指向ドメイン（ｐａｃｋｅｔ−ｏｒｉｅｎｔａｔｅｄ  ｄｏｍａｉｎ）に結合され、そのデータ・ネットワーク３６は関心の相互接続を可能にする。ゲートウエイ３４は無線アプリケーション・プロトコル（ＷＡＰ）ゲートウエイであり得るが、このゲートウエイ３４は、メッセージを悩まされていない方法で通信のエンドポイント間で通すよう動作する。
【００３９】
セルラ型の環境においては、データ・ネットワーク３６は、典型的には、複数の基地局トランシーバ（ＢＴＳ）４０−４２を管理する基地局制御器（ＢＳＣ）３８に結合される。
【００４０】
データ・ネットワーク３６は更に、一般にプロセッサ又は類似のもの内で実現される健全性チェック・ポイント機能４４への相互接続を与える。本発明の好適な実施形態に従った健全性チェック・ポイント機能４４は、データ・ネットワーク３６に相互接続された少なくとも１つのノードを表すコードベースのエミュレータである。健全性チェック・ポイント機能４４は更に、コード及び障害リポジトリ４６に結合され、当該コード及び障害リポジトリ４６は、不安全なネットワーク１２を越えてダウンロードされてしまったエミュレーション・コード並びにコンテンツ及びアプリケーション（例えば、ソフトウエア又はファームウエア・コード）を格納する。コード及び障害リポジトリ４６はまた、ダウンロードされたコード又はコンテンツに関連して健全性チェック・ポイント機能４４のエミュレータにより引き受けられた前のエミュレーション・トレール（ｔｒａｉｌｓ）に関係する結果キャッシュ（ｒｅｓｕｌｔｓ  ｃａｃｈｅ）を含み得る。
【００４１】
データ・ネットワーク３６はまた、追加の訪問先ネットワーク４８への配線点（ｄｉｓｔｒｉｂｕｔｉｏｎ  ｐｏｉｎｔ）であり、その追加の訪問先ネットワーク４８へ加入者ユニット５０（通常ホーム・ネットワーク１３と関連している。）が一時的に参加されることができる。従って、加入者ユニット５０は、例えば、移動電話器の形式を取り得る。訪問先ネットワーク４８の構成は、ホーム・ネットワーク１３を反映し得て、そして実例として、ホーム・ネットワークのデータ・ネットワーク３６に結合されたデータ・ネットワーク（例えば、パケットベースのネットワークをサポートするインターネット・プロトコル又は類似のもの）５２を含むよう示されている。更に、データ・ネットワーク５２が、コンピュータ５４に専用有線又は光接続５６を介して結合されるよう示されている。訪問先ネットワーク４８のデータ・ネットワーク５２は、周辺エンティティ１４−１８間での、例えば、訪問先ＢＳＣ５８を介する加入者ユニット５０と関連のＢＴＳ６０−６２との間での情報転送のためのトランスポート機構を与えるよう動作する。
【００４２】
本発明がより広い適用を有するにも拘わらず、本発明は、周辺エンティティに格納されたコードに直接影響を与えるセキュリティ攻撃に対して原理的に保護する機構を提供する。ホーム・ネットワーク１３の中の健全性チェック・ポイント機能４４内のエミュレータは、周辺エンティティ１４−１８からのコンテンツ又はコードのダウンロードを要求する加入者ユニットの表示（ｒｅｐｒｅｓｅｎｔａｔｉｏｎ）を与えるよう動作する。ゲートウエイは、不安全なネットワーク１２を越えてダウンロードされる少なくとも選択的コード又はコンテンツが最初にコード及び障害リポジトリ４６へルーティングされ、そして典型的にはその後にそのコード及び障害リポジトリ４６に（少なくとも一時的に）格納されることを保証するよう命令される。次いで、コード又はコンテンツがエミュレータ上でラン（動作）され、そのコード及びコンテンツの互換性及び相互運用性（ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ）が、その結果生じるエミュレーションとのその対話によりアクセスされる。より詳細には、健全性チェック・ポイント機能４４は、それぞれのタイプのノード（例えば、ＢＳＣ、ＢＴＳ又は加入者ユニット又はコンピュータ）に対して加入者ユニット・エミュレータをサポートするであろう。従って、健全性チェック・ポイント機能４４は、敵意のあるコードの検査プログラムを動作させて、ダウンロードされたコード内に隠れているトロイの木馬、サービス不能、又は他の形式の悪意のある（セキュリティに対して）コード攻撃のような、セキュリティ攻撃を検出する。従って、エミュレータは、（コード及び障害リポジトリ４６に前に格納されたように）現実に要求している加入者エンティティの正確な機能をシミュレートする。その結果として、一旦コード及びコンテンツの互換性が評価されてしまったときだけ、要求している加入者エンティティへのダウンロードが実際に生じる。コードに互換性がなく又はコードが有害であると考えられる場合、コードはエミュレータ及びコード及び障害リポジトリ４６からパージ（削除）され、そして発信コード又はコンテンツのサイトが将来懐疑的に取り扱われ又は常に無視されるべきであるとの指示が、コード及び障害リポジトリ４６内で作られるのが好ましい。サード・パーティ・サイトのそのようなラベル付けがホーム・ネットワーク１３により周期的に見直され、サード・パーティの周辺エンティテイによる合法的試みに対処して、有害な又は互換性のないコード又はコンテンツに対処し得る。
【００４３】
理解されるように、エミュレーションとのコードの互換性及び相互運用性の評価は、引数、オーバフロー又はアンダフローのようなパラメータ・チェック、及びエミュレーション内の有効なレジスタ・アクセス及び格納を利用する技術に基づくことができる。
【００４４】
ホーム・ネットワーク１３が常に信頼されるパーティであると想定することができ、十分に保護されたネットワークがネットワーク・オペレータ・ドメイン（Ｎｅｔｗｏｒｋ−Ｏｐｅｒａｔｏｒ−Ｄｏｍａｉｎ）に存在するので、健全性チェック・ポイント機能４４はホーム・ネットワーク１３により所有されるのが好ましい。そのように、ホーム・ネットワーク内部のネットワーク・ノード（ＢＳＣ３８、ＢＴＳ４０−４２及び加入者ユニット５０のようなもの）は、一般に通常のインターネット発信のセキュリティ攻撃から独立している。また、ホーム・ネットワーク１３は、通常、参加（加盟）している加入者装置の適正な動作及び機能に責任があり、それは、要求している加入者ユニットに対してダウンロードされる加入者特定のソフトウエアがホーム・ネットワーク内で適正に動作し、そうして全ての加入者ユニット機能を提供することを保証する全体的責任をホーム・ネットワーク１３が有することができることを意味する。
【００４５】
図２のフロー図を参照すると、本発明の好適な動作方法が示されている。プロセスは、遠隔のサード・パーティ・サイトからのコード又はコンテンツのダウンロードに対するノードによる要求１００で始まる。ある形式の証明書の認証１０２が、セキュリティを増大するため行われてもよいことは任意である。コンテンツ又はコードのダウンロード（サード・パーティ・サイトから）は、中間の健全性チェック・ポイント機能４４に対して生じ（１０４）、これは、多分コードをコード及び障害リポジトリ４６内に一時的に格納することを要求する。プロセスのある時点で、アドレスされた（遠隔の）サード・パーティ・サイトが、類似の又は同一のコード又はコンテンツのダウンロードのために前に評価されてしまったか否かを識別するため、コード及び障害リポジトリ４６をチェックし得る（１０６−１０８）。肯定１０９においては、本発明のシステムは、メモリにアクセスして（１１０）、そのような前に要求したコード又はコンテンツが相互運用性の障害の許容可能なレベル以下のもの（そのレベルはゼロ許容値を有してもよい。）を含んだか否かを決定する（１１２）。判断ブロック１１２からの肯定の結果１１４は、コード及び障害リポジトリ４６から要求しているノードへのコード又はコンテンツのローカル・ダウンロード（１１６）をもたらし、それにより広域トラフィック（ｗｉｄｅ  ａｒｅａ  ｔｒａｆｆｉｃ）を低減する。判断ブロック１１２からの否定の結果１１４は、ダウンロードに対する要求が拒否され、従ってそのことをノードが知らされる（１１８）ことをもたらす。
【００４６】
アクセスの記録がサード・パーティ・サイトのため有効に存在しない場合、プロセスは、判断ブロック１０８から第２の経路１２０を取り、その第２の経路は、要求しているノード、例えば移動加入者ユニット５０を表すエミュレータを呼び出す（１２２）ことに至る。サード・パーティ・サイトからダウンロードされたコード又はコンテンツがエミュレータにより実行され（１２４）、そして敵意のあるコードのチェッキング・プログラムは、有害な又はノード非互換性コードを識別する（１２６−１２８）。エミュレーションがダウンロードされたコード又はコンテンツにより影響を受けない又は実質的に影響を受けない（即ち、重大な影響を受けない（ｎｏｎ−ｃｒｉｔｉｃａｌｌｙ  ａｆｆｅｃｔｅｄ）と考えられる場合、フローは、経路１３０に沿って進み、そこで、ダウンロードされたコードの局所的記録が行われ（１３２）（、そして将来の参照のためコード及び障害リポジトリ４６に格納される）ことが好ましい。次いで、コード又はコンテンツのダウンロードを要求したノードは、ダウンロードされたデータ・コンテンツ又はコードの提供を介してサービスされる（１３４）。ブロック１２８での判断が肯定である場合（１３７）、システムは、コードを、しかし少なくともそのコードの中の障害の存在をコード及び障害リポジトリ４６（即ち、適当なデータベース又は記憶装置）に記録し、そしてダウンロードが非互換性の問題から見て拒否されたことをノードに知らせることが好ましい。
【００４７】
勿論、システム（ダウンロード要求の時点における）がアドレスされた周辺エンティティへの専用の従って安全な経路にアクセスする（１４０）ことができる場合、要求しているノードへのコードのダウンロードは即刻であり（１４２）得て、そしてエミュレーション・プロセス及び関連した互換性／有害評価を受けない。
【００４８】
つまり、健全性チェック・ポイント機能はコード及び障害リポジトリ４６と対話して、コード又はコンテンツがホーム・ネットワーク１３内の他のノードにより前にダウンロードされてしまったかどうかを知る。肯定の場合、コード及び障害リポジトリ４６に前に格納されたコード又はコンテンツは、そのノードにダウンロードされて、余計なエミュレーション又はＷＡＮアクセスを回避することができる。さもなければ、健全性チェック・ポイント機能は、ダウンロードを要求しているノードのタイプにとって適切なエミュレータを呼び出し、次いでダウンロードされたコードをノード・エミュレータに対して実行する。敵意のあるコードのチェッキング・プログラムは、あり得るセキュリティ攻撃を検出する。一旦、ダウンロードされたコード又はコンテンツが健全性チェックを通ってしまうと、それは、他の似たノードによる後続のアクセス及び使用のためコード及び障害リポジトリ４６にインストールされ得る。逆に、重大な相互運用性障害／問題が検出された場合、同じノード又は類似のノードのいずれかからの類似のしかし後の要求に応答してエミュレーション・プロセスを繰り返す必要性を回避するため、ダウンロードされたコード又はコンテンツ（及び関連した障害記録）が、コード及び障害リポジトリ４６に格納され得る。
【００４９】
勿論、上記の説明は、例示としてのみ与えられ、そして詳細における変更が本発明の範囲内で行い得ることが認められるであろう。例えば、中間のエミュレーション装置を、典型的には仮想マシンの形式（全体的にコード内でサポートされる）で利用する構想が、中央ノードに供給される全てのソフトウエア又はコンテンツに適用されることができる。従って、用語「サード・パーティ・データ・リポジトリ」、「周辺エンティティ」又は類似のものは、より広い意味で考えられるべきであり、必要に応じてまたコンテクストが要求するとき、デマンド駆動ベースでの後続の配布のためサード・パーティＣＤ−ＲＯＭ（又は類似のもの）の中央ノードへのローディングを含む。その結果、ソフトウエアの相互運用性が本発明によりアクセスされることができ、それによりソフトウエアのアップグレード（より早いオフライン段階で潜在的非互換性／有害なコードを識別する能力から生じる）の改善されたロールアウトを生じる。従って、ソフトウエアのアップグレードを受信している加入者は、彼らの加入者ユニットがそのような新しいソフトウエアと互換性があり、従っていずれの後続の障害が一般にハードウエア機能障害の原因になりそうであることを確信することができる。
【図面の簡単な説明】
【図１】  図１は、本発明の好適な実施形態に従った通信システムのブロック図である。
【図２】  図２は、本発明の好適な動作方法のブロック図である。
【図１】
0004664565.tif 000002
【図２】
0004664565.tif 000003