(57)【特許請求の範囲】
【請求項１】
複数の利用者により利用される端末の正当性を保証するための端末正当性保証システムであって、
事前に当該端末に固有の鍵ペアのうちの秘密鍵と、前記鍵ペアのうち公開鍵を含んだ状態で認証機関から発行された電子証明書とを有する正当性証明モジュールを備えた保証対象端末と、
前記保証対象端末に接続可能であり、前記保証対象端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かを確認する正当性確認サーバとを含み、
前記保証対象端末が、
当該端末内のソフトウェアおよびハードウェアが改竄されたことを検出する改竄検出部と、
前記正当性確認サーバからの任意の乱数が添付された確認要求に応じて、前記改竄検出部の改竄検出結果に乱数を付加したものを、前記秘密鍵を用いて電子署名し、これに前記電子証明書を添付して、前記正当性確認サーバへ送信する正当性証明部を備え、
前記正当性確認サーバが、
利用者が保持する利用者端末から保証対象端末の端末識別子を添えて前記保証対象端末の正当性の問い合わせを受けると、任意の乱数を生成して、前記端末識別子により特定される前記保証対象端末に対して当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かの正当性確認要求に前記乱数を付加して確認要求を行うと共に、当該保証対象端末の前記正当性証明部から送信された、前記電子署名された改竄検出結果および乱数と添付された前記電子証明書とに基づき当該端末の正当性を確認し、確認結果を前記利用者端末へ送信する正当性確認部を備え、
前記改竄検出部は、前記正当性証明モジュール内に保存された、改竄検出対象のソフトウェアおよびハードウェアについてハッシュ関数を用いて予め求められたハッシュ値を、前記保証対象端末のソフトウェアおよびハードウェアについて前記ハッシュ関数で求められるハッシュ値と比較することによって改竄を検出し、
前記正当性証明部および前記改竄検出部は、モジュール外部からの直接的なアクセスが不可能な領域を持つセキュリティチップで構成された前記正当性証明モジュールにより実現されたことを特徴とする端末正当性保証システム。
【請求項２】
モジュール外部からの直接的なアクセスが不可能な領域を持つセキュリティチップで構成され、事前に当該端末に固有の鍵ペアのうちの秘密鍵と、前記鍵ペアのうち公開鍵を含んだ状態で認証機関から発行された電子証明書とを記憶している正当性証明モジュールを備えた保証対象端末の正当性を、前記保証対象端末に接続可能な正当性確認サーバおよび前記正当性確認サーバに接続可能な利用者端末を用いて保証する端末正当性保証方法であって、
前記利用者端末が、前記正当性確認サーバへ、保証対象端末の正当性の問い合わせを保証対象端末の端末識別子を添えて送信するステップと、
前記正当性確認サーバが、前記問い合わせを受信すると、任意の乱数を生成して、前記端末識別子により特定される前記保証対象端末に対して当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かの正当性確認要求に前記乱数を付加して確認要求を行うステップと、
前記保証対象端末の正当性証明モジュールが、当該端末内のソフトウェアおよびハードウェアが改竄されたことを検出する改竄検出ステップと、
前記保証対象端末の正当性証明モジュールが、前記正当性確認サーバからの前記任意の乱数が添付された確認要求に応じて、前記改竄検出ステップの改竄検出結果に乱数を付加したものを、前記秘密鍵を用いて電子署名し、これに前記電子証明書を添付して、前記正当性確認サーバへ送信するステップと、
前記正当性確認サーバが、前記保証対象端末から送信された前記電子署名された改竄検出結果および乱数と、添付された前記電子証明書に基づき、当該保証対象端末の正当性を確認し、確認結果を前記利用者端末へ送信するステップと、
前記利用者端末が、前記正当性確認サーバから送信された確認結果を利用者へ提示するステップとを含み、
前記改竄検出ステップでは、前記正当性証明モジュールは、前記正当性証明モジュール内に保存された、改竄検出対象のソフトウェアおよびハードウェアについてハッシュ関数を用いて予め求められたハッシュ値を、前記保証対象端末のソフトウェアおよびハードウェアについて前記ハッシュ関数で求められるハッシュ値と比較することによって改竄を検出することを特徴とする端末正当性保証方法。
【請求項３】
前記保証対象端末に当該端末を特定する端末識別子を提示する端末識別子提示部が設けられており、
前記利用者端末が、前記正当性確認サーバへ保証対象端末の正当性の問い合わせを送信するステップにおいて、前記端末識別子提示部から前記端末識別子を取得し、取得した端末識別子を前記問い合わせに含めて送信する、請求項２に記載の端末正当性保証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不特定多数の者がアクセス可能である端末の正当性を確認することにより、当該端末が安全に利用できることを保証するための端末正当性保証システムに関する。
【背景技術】
【０００２】
従来より、いわゆるインターネットカフェなどでは、不特定多数の利用者によってパーソナルコンピュータ（以下、ＰＣと略称する）が共用されている。また、企業や学校内などでも、複数人が一台のＰＣを共用することがある。しかし、従来のＰＣでは、端末に利用履歴が残ったり、それが第三者に漏れたり、端末に仕込まれたスパイウェアなどの盗聴用ソフトにより、利用履歴情報が盗まれたりする危険性がある。個人所有の端末については、改竄検出機能や情報漏洩防止機能を組み込んでおくことにより、上記のような危険を回避することができる。しかし、前記のような共用端末の場合、そのような安全対策が施された端末であるかどうか、あるいは、その端末が、改竄などによって安全性に問題がある状態となっていないかどうかを、容易に確認することはできない。
【０００３】
ここで、図４および図５を参照し、端末の正当性を確認するための従来の方法について説明する。図４は、従来の方法の一例として、正当性確認サーバ２００を用いる方法を示す。図５は、従来の方法の他の例として、スマートカードを用いる方法を示す。
【０００４】
図４に示す方法では、正当性確認サーバ２００の正当性確認部２１０によって保証対象端末１００の正当性を確認する。この場合、例えば、対象となるソフトウェア１６０のハッシュ値を、原本のハッシュ値と比較することによって改竄を検出することにより、正当性を確認する。まず、ハッシュ値計算用のハッシュ関数をあらかじめ定めておく。また、改竄検出の対象となるソフトウェア１６０の原本を、正当性確認サーバ２００で保管しておく。保証対象端末１００において、前記ハッシュ関数を用いて現時点でのソフトウェア１６０のハッシュ値を求めたものと、正当性確認サーバ２００で、同じハッシュ関数を用いてソフトウェア１６０の原本のハッシュ値を求めたものとを比較し、一致すれば、ソフトウェア１６０は改竄されていないと言うことができる。ただし、これだけでは、ハッシュ値が知られてしまうと、正当性を詐称される可能性がある。それを避けるためには、正当性確認時に、正当性確認サーバ２００で乱数を発生し、ソフトウェア１６０の原本および端末上のソフトウェア１６０のそれぞれに対して乱数を加えてハッシュ値を計算したものを比較すれば良い。そうすれば、毎回ハッシュ値が異なるため、詐称が困難となる。
【０００５】
正当性確認サーバ２００を用いる別の方法として、ソフトウェア１６０に関してあらかじめ計算しておいたハッシュ値を外部から取り出せない形で保管する機能と、現在のソフトウェア１６０に関して内部でハッシュ値を計算する機能と、保管されたハッシュ値と今回新たに求めたハッシュ値を比較することによって改竄の有無の検出を行い、さらにその結果に電子署名を付加する機能とを備えた、正当性証明モジュール１２０、たとえばＴＰＭ（Ｔｒｕｓｔｅｄ  Ｐｌａｔｆｏｒｍ  Ｍｏｄｕｌｅ）を用いて、ソフトウェア１６０の正当性の確認を行い、その結果を正当性確認サーバ２００に電子署名付きで通知する方法がある。
【０００６】
この場合、正当性確認サーバ２００にソフトウェア１６０の原本を保存する必要は無く、正当性証明モジュール１２０が正当であることが、電子署名によって確認できれば良い。
【０００７】
しかしながら、上記のような方法だけでは、正当性確認サーバ２００が保証対象端末１００の正当性を知ることはできても、利用者が保証対象端末１００の正当性を確認することはできない。すなわち、単に、保証対象端末１００上に正当性確認結果を表示するだけでは、あまり意味が無い。なぜならば、保証対象端末１００が既に改竄されていて、不正なソフトウェアによって、端末の正当性が確認できたという表示が出されることも考えられる。このような場合、利用者はその表示が、不正なソフトウェアによって出されたものであるかどうかを確認できないからである。
【０００８】
その対策として、正当性確認サーバ２００に、各利用者しか知りえない情報を、利用者別正当性判別用情報２５０として保存しておき、正当性確認部２１０によって保証対象端末１００の正当性が確認された場合のみ、利用者別正当性判別用情報２５０を、保証対象端末１００の表示部１７０上に表示する方法もある。すなわち、利用者しか知りえない、利用者別正当性判別用情報２５０が表示されたならば、その端末は正当であると利用者が判断することができる。この場合、利用者が端末の正当性を確認する以前に、どの利用者別正当性判別用情報２５０を表示させるかを選択するために、利用者を識別するための情報を、保証対象端末１００の入力部１４０から入力する必要がある。しかし、この場合、保証対象端末１００の正当性が保証されていない状態にも関わらず、利用者を識別するための情報を保証対象端末１００に入力することとなり、プライバシ上問題がある。
【０００９】
一方、図５のように、正当性確認サーバ２００のかわりに、スマートカード４００を用いる方法も、従来から知られている（非特許文献１参照）。スマートカード４００内に、利用者しか知りえない、利用者別正当性判別用情報２５０を保持しておき、このスマートカード４００を、保証対象端末１００に設けられたスマートカード接続部１８０に接続する。そして、正当性証明部１１０が保証対象端末１００の正当性確認を行い、正当性が確認された場合、スマートカード４００内にある利用者別正当性判別用情報２５０を保証対象端末１００に渡し、保証対象端末１００がそれを表示部１７０に表示することにより、利用者はその端末が正当であることを確認することができる。しかしながら、この方法では、利用者が保証対象端末１００が正当であるか否かを確認する以前にスマートカード４００を接続する必要があり、もしその端末が不正である場合、スマートカード４００内の情報のうち、保護されていない部分の情報が漏れる可能性があり、前記と同様にプライバシ上の問題がある。また、利用者別正当性判別情報２５０が漏れてしまった場合、不正なソフトウェアによってそれを表示されてしまうと、利用者はそれが正当な端末であるか確認できない。
【非特許文献１】シアニ・ピアーソン（Siani Pearson）他著、「トラスティッド・コンピューティング・プラットフォームズ（Trusted Computing Platforms）」、プレンティス・ホール・ＰＴＲ（Prentice Hall PTR）、２００２年７月２２日、ｐ．５３−５６、ｐ．２６５−２７６
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上記のように、不特定多数の利用者が利用する共用端末について、その端末が正当であること、すなわち、不正に改竄されていないことを、その端末自体が利用者に表示し、それによって利用者が正当性を確認することは容易ではない。なぜなら、その端末に不正な機能が加えられているにもかかわらず、自らが正当であるという表示を利用者に対して提示している場合、それを利用者が見破ることができない可能性があるからである。
【００１１】
一つの方法として、その端末の正当性を、信頼できるサーバから確認し、サーバが対象端末の正当性を確認できた場合、その利用者しか知りえない情報を端末上に表示することによって、利用者がその端末の正当性を確認する方法がある。しかしこの場合、まず利用者を特定するための情報を端末側から入力する必要があるため、もしその端末が不正である場合、その時点で個人情報が盗まれる危険性がある。
【００１２】
また、前述のように、サーバのかわりにスマートカードから端末の正当性を確認することも可能であるが、この場合も、スマートカード上の保護されていない情報が取得され、悪用される可能性があり、完全に安全とは言えない。
【００１３】
そこで、本発明は、利用者がまだ正当性を確認できていない端末に、利用者自身に関する情報を一切渡すことなく、利用者がその端末の正当性を確認することを可能とする端末正当性保証システムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
上記の目的を達成するために、本発明にかかる端末正当性保証システムは、複数の利用者により利用される端末の正当性を保証するための端末正当性保証システムであって、保証対象端末と、前記保証対象端末に接続可能であり、前記保証対象端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かを確認する正当性確認サーバとを含み、前記保証対象端末が、前記正当性確認サーバからの確認要求に応じて、当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かを表す正当性証明情報を前記正当性確認サーバへ送信する正当性証明部を備え、前記正当性確認サーバが、利用者が保持する利用者端末から保証対象端末の正当性の問い合わせを受けると、前記保証対象端末に対して当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かの確認要求を行うと共に、当該端末の前記正当性証明部から送信された前記正当性証明情報に基づき当該端末の正当性を確認し、前記確認結果を前記利用者端末へ送信する正当性確認部とを備えたことを特徴とする。
【００１５】
このシステムによれば、利用者端末から正当性確認サーバに対して、保証対象端末の正当性の問い合わせを行うと、正当性確認サーバの正当性確認部が、保証対象端末に対して、当該保証対象端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かの確認要求を行う。そして、保証対象端末の正当性証明部が、この確認要求に応じて、同端末内のソフトウェアおよびハードウェアが正当な状態にあるかどうかを確認し、その結果を含んだ正当性証明情報を、正当性確認サーバに送信する。正当性確認サーバは、正当性確認部により、通知された情報に基づいて当該保証対象端末の正当性を確認し、確認結果を利用者端末へ送信する。
【００１６】
これにより、利用者は、利用者端末および正当性確認サーバを介して、保証対象端末の正当性を確認することができる。従って、利用者は、正当性を確認できていない端末に利用者自身に関する情報を一切渡すことなく、その端末の正当性を確認することが可能となる。
【００１７】
上記の端末正当性保証システムにおいて、前記保証対象端末が、当該端末内のソフトウェアおよびハードウェアが改竄されたことを検出する改竄検出部をさらに備えると共に、前記正当性証明部が、前記改竄検出部の検出結果を前記正当性証明情報に含めて前記正当性確認サーバへ送信することが好ましい。
【００１８】
この構成では、改竄検出部により、保証対象端末のハードウェアおよびソフトウェアが改竄されたか否かを検出し、前記改竄検出部の検出結果を前記正当性証明情報に含めて前記正当性確認サーバへ送信する。あるいは、改竄されていないと判断された場合にのみ、正当性証明情報を正当性確認サーバに通知するようにしても良い。この構成によれば、保証対象端末上のハードウェアおよびソフトウェアが不正に改竄されていないことを確認可能となる。
【００１９】
上記の端末正当性保証システムにおいて、前記正当性証明部が、モジュール外部からの直接的なアクセスが不可能な領域を持つ正当性証明モジュールを用いて構成されたことが好ましい。この構成によれば、正当性証明部自体が改竄されることを防ぐことができる。
【００２０】
また、上記の目的を達成するために、本発明にかかる端末正当性保証方法は、複数の利用者により利用される端末を保証対象端末とし、当該保証対象端末の正当性を、当該端末に接続可能な正当性確認サーバおよび前記正当性確認サーバに接続可能な利用者端末を用いて保証する端末正当性保証方法であって、前記利用者端末が、前記正当性確認サーバへ、保証対象端末の正当性の問い合わせを送信するステップと、前記正当性確認サーバが、前記問い合わせを受信し、前記保証対象端末に対して当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かの確認要求を行うステップと、前記保証対象端末が、前記正当性確認サーバからの確認要求に応じて、当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かを表す正当性証明情報を前記正当性確認サーバへ送信するステップと、前記正当性確認サーバが、前記保証対象端末から送信された前記正当性証明情報に基づき、当該保証対象端末の正当性を確認し、確認結果を前記利用者端末へ送信するステップと、前記利用者端末が、前記正当性確認サーバから送信された確認結果を利用者へ提示するステップとを含むことを特徴とする。
【００２１】
また、前記保証対象端末に当該端末を特定する端末識別子を提示する端末識別子提示部が設けられている場合、上記の端末正当性保証方法において、前記利用者端末が、前記正当性確認サーバへ保証対象端末の正当性の問い合わせを送信するステップにおいて、前記端末識別子提示部から前記端末識別子を取得し、取得した端末識別子を前記問い合わせに含めて送信することが好ましい。保証対象端末の正当性確認を行う際に、保証対象端末を特定するための情報の入力が容易となるからである。
【発明の効果】
【００２２】
不特定多数の利用者が利用する共用端末を利用する際に、利用者がまだ正当性を確認できていない端末に、利用者自身に関する情報を一切渡すことなく、その端末の正当性を確認することができる。
【発明を実施するための最良の形態】
【００２３】
本発明の一実施形態について、図面を参照しながら以下に説明する。
【００２４】
図１に示すように、本実施形態にかかる端末正当性保証システムは、保証対象端末１０、正当性確認サーバ２０、および、利用者端末３０を含む。保証対象端末１０は、例えばインターネットカフェやパブリックスペースに置かれた、不特定多数の利用者が利用するＰＣである。
【００２５】
正当性確認サーバ２０は、利用者が信頼することのできる、厳重に管理されたサーバであり、保証対象端末１０の正当性を確認する機能を持つ。正当性確認サーバ２０は、利用者端末３０および保証対象端末１０と無線または有線通信により接続可能である。正当性確認サーバ２０は、例えば、保証対象端末１０からのインターネット接続サービスを提供するサービスプロバイダ、保証対象端末１０からのインターネット接続に用いられる通信回線を提供する電気通信事業者、保証対象端末１０の管理者、あるいは公共団体などによって管理・運営されるものである。利用者端末３０は、利用者が管理する携帯端末であり、携帯型ＰＣ、携帯電話、ＰＤＡなどにより実現される。
【００２６】
保証対象端末１０は、既存のハードウェア１５およびソフトウェア１６の他に、正当性証明部１１、改竄検出部１３、端末識別子提示部１９を持つ。本実施形態では、正当性証明部１１および改竄検出部１３は、その内容にモジュール外部から直接アクセスすることのできない正当性証明モジュール１２を用いて実現される。正当性証明モジュール１２は、たとえばＴＰＭ（Ｔｒｕｓｔｅｄ  Ｐｌａｔｆｏｒｍ  Ｍｏｄｕｌｅ）である。
【００２７】
改竄検出部１３は、保証対象端末１０内のソフトウェア１６およびハードウェア１５が改竄されていないかどうかを検出する機能を持つ。改竄検出部１３は、保証対象端末１０に導入されているソフトウェア１６の改竄を検出するために、例えば、次のような方法をとる。すなわち、改竄検出対象とするソフトウェア１６について、あらかじめ定めたハッシュ関数を用いてハッシュ値を求め、求められたハッシュ値を正当性証明モジュール１２内に安全に保存しておく。そして、保存されたハッシュ値と、現在の保証対象端末１０上の改竄検出対象ソフトウェア１６について前記のハッシュ関数で求められるハッシュ値とを比較し、値が同一であれば改竄されていないと判断する。
【００２８】
正当性証明部１１は、正当性確認対象端末１０が改竄されておらず、正当であることを、正当性確認サーバ２０に対して証明する機能を持つ。例えば、正当性証明部１１は、正当性証明モジュール１２内に、保証対象端末１０に固有の鍵ペア（秘密鍵と公開鍵）の秘密鍵と、信頼できる認証機関から発行された電子証明書とを有する。前記電子証明書は、前記公開鍵を含んだ状態で、前記認証機関から発行される。正当性確認サーバ２０は、保証対象端末１０の正当性証明部１１に正当性の問い合わせを行う際に、任意の乱数を生成し、それを添付して問い合わせを行う。正当性証明部１１は、正当性確認サーバ２０からの問い合わせがあった場合、改竄検出部１３より改竄検出結果を受領し、受領した改竄検出結果に上記乱数を付加したものに対して、前記秘密鍵により電子署名を行い、それに前記電子証明書を添付して、正当性確認サーバ２０へ回答する。これにより、正当性証明部１１は、保証対象端末１０の正当性を証明することができる。
【００２９】
なお、本実施形態では、改竄検出部１３による改竄検出結果と電子証明書との両方を正当性確認サーバ２０へ回答するものとしたが、電子証明書だけで十分なセキュリティレベルが確保できる場合には、改竄検出部１３を省略することも可能である。その場合、正当性証明部１１は、正当性確認サーバ２０からの問い合わせに添付されていた乱数に電子署名を行い、それに前記電子証明書を添付して、正当性確認サーバ２０へ回答する。正当性確認サーバ２０は、問い合わせの都度、添付する乱数を変更することにより、正当性確認サーバ２０への回答が、今回の問い合わせに対して、保証対象端末１０の正当性証明部１１によって為されたものであることを確認することができる。
【００３０】
このような構成にすることによる利点は次のとおりである。すなわち、保証対象端末１０からの回答が毎回同じであったような場合、たとえそれが電子署名されたものであっても、その情報が一旦漏れると成りすましが行われる可能性がある。これを避けるため、保証対象端末１０からの回答は毎回異なり、正当な端末のみが正しく回答し得るようなものとすることが好ましい。その条件を満たすため、上記の構成では署名対象に乱数を含めるものとしているが、「乱数」とは、数字に限らない。「乱数」としては、例えば、正当性確認サーバ２０で生成した任意の文字列または記号列あるいは文字、数字、記号の組み合わせや、保証対象端末１０の時計機能により生成した時刻データ、あるいは、識別が用意な絵などを利用することも可能である。
【００３１】
また、電子証明書が改竄される可能性まで考慮すれば、正当性確認サーバ２０において電子証明書が改竄されていないかどうかを確認することが好ましい。この場合、信頼できる認証機関によって発行されたルート証明書を、正当性確認サーバ２０に保管しておき、保証対象端末１０から送られた電子証明書とこのルート証明書とを比較すれば、電子証明書に対する改竄の有無を確認することができる。
【００３２】
端末識別子提示部１９は、無線タグ（ＲＦＩＤ）、バーコード、２次元バーコード、赤外線インタフェース、あるいは数字ラベルなどによって実現され、利用者端末３０から保証対象端末１０の個体を一意に識別可能とするものである。
【００３３】
正当性確認サーバ２０は、正当性確認部２１、端末特定部２９、利用者別サービス提供部２８を備える。
【００３４】
正当性確認部２１は、利用者端末３０からの問い合わせに基づき、保証対象端末１０の正当性を確認する。その際に、保証対象端末１０の正当性証明部１１に対して正当性の問い合わせを行い、保証対象端末１０から返された回答に基づき、保証対象端末１０の正当性が保証できるか判断する。正当性確認部２１は、その結果を、利用者端末３０に通知する。
【００３５】
端末特定部２９は、管理下にある複数の保証対象端末１０に関するデータベースを保有しており、保証対象端末１０の端末識別子提示部１９で提示される端末識別子から、その保証対象端末１０を特定し、当該端末のネットワークアドレスなどを特定する。
【００３６】
利用者別サービス提供部２８は、利用者に関するデータベースを保有しており、保証対象端末１０の正当性が確認された後、利用者ごとにカスタマイズされたサービスを、保証対象端末１０を通して提供する。利用者ごとにカスタマイズされたサービスとは、例えば、各利用者による保証対象端末１０の使用開始時に、当該利用者があらかじめ登録してあるポータルサイトを表示するなどのサービスである。
【００３７】
利用者端末３０は、正当性問い合わせ部３１、正当性確認結果通知部３２、端末識別子取得部３９、利用者認識部３８を備える。
【００３８】
端末識別子取得部３９は、保証対象端末１０の端末識別子提示部１９の態様に対応して、無線タグ（ＲＦＩＤ）リーダ、バーコードスキャナ、カメラおよびバーコード認識機能、赤外線インタフェース、あるいはキーボードなどによる識別子入力部を含み、保証対象端末１０の端末識別子提示部１９から、保証対象端末１０の端末識別子を取得する。
【００３９】
正当性問い合わせ部３１は、正当性確認サーバ２０に、端末識別子取得部３９で取得した端末識別子を添えて、保証対象端末１０の正当性の問い合わせを行なう。
【００４０】
正当性確認結果通知部３２は、正当性確認サーバ２０で保証対象端末１０の正当性確認を行なった結果を、画面に表示するなどの方法で利用者に通知する。
【００４１】
利用者認証部３８は、たとえば、接触型または非接触型のＩＣカードリーダを用いた利用者認証機能、あるいは、指紋センサおよび指紋認証機能などのバイオメトリックス認証機能、あるいはそれらの組み合わせによって実現し、利用者端末３０を現在保持している利用者を特定するものである。
【００４２】
図２は、本実施形態にかかる端末正当性保証システムの動作の概要を表すシーケンス図である。
【００４３】
まず、利用者は、利用者端末３０に対して、利用者認証を要求する（ステップＳ１０１）。ここで、利用者端末３０では、利用者認証部３８が、利用者認証を行う（ステップＳ１０２）。利用者認証部３８による利用者認証は、たとえば、接触型または非接触型のＩＣカードリーダを用いた利用者認証機能、あるいは、指紋センサおよび指紋認証機能などのバイオメトリックス認証機能、あるいはそれらの組み合わせによって行うことが好ましい。
【００４４】
ステップＳ１０２で正しく利用者が認証されたならば、利用者は、利用者端末３０に対し、保証対象端末１０の正当性確認の指示を出す（ステップＳ１０３）。この指示を受け、利用者端末３０は、保証対象端末１０に対し、端末識別子を要求する（ステップＳ１０４）。それに対し、保証対象端末１０は、端末識別子を返す（ステップＳ１０５）。ステップＳ１０５における端末識別子の受け渡しは、保証対象端末１０が、端末識別子を能動的に利用者端末３０へ送っても良いし、あるいは、利用者端末３０が保証対象端末１０から端末識別子を取得するようにしても良い。
【００４５】
利用者端末３０は、正当性確認サーバ２０に対し、引数として上記で取得した端末識別子を添えて、保証対象端末１０の正当性に関する問い合わせを行なう（ステップＳ１０６）。
【００４６】
上記の問い合わせを受けて、正当性確認サーバ２０は、任意の乱数を生成し、それを添付して、保証対象端末１０に対し、端末の正当性判断に必要な情報を要求する（ステップＳ１０７）。
【００４７】
ステップＳ１０７による要求を受けた保証対象端末１０は、改竄検出部１３によりハードウェア１５およびソフトウェア１６の改竄検出を行い（ステップＳ１０８）、その結果とともに、正当性確認サーバ２０に、保証対象端末１０の正当性の確認結果を通知する（ステップＳ１０９）。同時に、保証対象端末１０は、正当性確認サーバ２０より受け取った上記乱数を、利用者に対して表示する（ステップＳ１１０）。なお、ステップＳ１０８により保証対象端末１０の改竄の有無が確認できた場合は、ステップＳ１０９において、端末の正当性を証明するための情報を通知する。
【００４８】
正当性確認サーバ２０は、ステップＳ１０９で受け取った情報をもとに、保証対象端末１０の正当性が証明できるかどうかを確認し（ステップＳ１１１）、前記乱数を添えて、その確認結果を利用者端末３０に通知する（ステップＳ１１２）。利用者端末３０は、利用者に、前記乱数とともに、正当性確認結果を表示する（ステップＳ１１３）。
【００４９】
以上の処理により、利用者は、保証対象端末１０が正当であることを、保証対象端末１０に個人情報を渡すことなく、確認することができる。
【００５０】
正当性が確認できた場合、利用者はさらに、利用者端末３０に対し、保証対象端末１０上でのサービス利用の開始を要求してもよい（ステップＳ１１４）。その場合、利用者端末３０から正当性確認サーバ２０に対し、利用者情報を引数として添えて、利用者別サービス利用要求が送られ（ステップＳ１１５）、利用者情報によって特定された利用者の利用者別サービスが、正当性確認済みの保証対象端末１０に対して提供される（ステップＳ１１６）。
【００５１】
以上により、不特定多数が利用する共用端末（保証対象端末１０）上で、安全に、利用者ごとにカスタマイズされたサービスを利用することができる。
【００５２】
図３は、図２に示した処理の流れを、利用者端末３０、正当性確認サーバ２０、保証対象端末１０の各部の動作主体が明らかになるよう、さらに詳細に記述したものである。なお、図３において、利用者端末３０に関して、利用者認証部３８などと共に構成要素の一つとして示した「中央制御装置」とは、利用者端末３０において端末の全体動作を制御する部分である。また、正当性確認サーバ２０、保証対象端末１０に関して示した「中央制御装置」も同様であり、それぞれにおいて全体動作を制御する部分である。また、図３において、図２の各ステップに対応するステップに同じステップ番号を付与したが、例えば、図２の一つのステップに対応するステップが複数存在する場合は、ステップ番号の末尾にアルファベットを付けて、例えば、ステップＳ１０４ａ、ステップＳ１０４ｂ、・・・のように示す。
【００５３】
ステップＳ１０１で、利用者が、利用者端末３０に対して利用者認証を要求すると、この要求は、中央制御装置から利用者認証部３８に渡される。利用者認証部３８は、たとえば、接触型または非接触型のＩＣカードリーダを用いた利用者認証機能、あるいは、指紋センサおよび指紋認証機能などのバイオメトリックス認証機能、あるいはそれらの組み合わせによって、利用者認証を行い、その結果を、ステップＳ１０２において、利用者端末３０の中央制御装置へ返す。ここで、利用者が正当に認証された場合にのみ、以降のサービスが利用できる。
【００５４】
ステップＳ１０３で、利用者は、利用者端末３０に対し、保証対象端末１０の正当性確認の指示を出す。利用者端末３０の中央制御装置は、ステップＳ１０４ａで、端末識別子取得部３９に対して、端末識別子の取得を要求する。端末識別子取得部３９は、ステップＳ１０４ｂで、保証対象端末１０の端末識別子提示部１９に対し、端末識別子を要求する。それに対し、ステップＳ１０５ａで、端末識別子提示部１９は端末識別子取得部３９へ端末識別子を返し、ステップＳ１０５ｂで、端末識別子取得部３９が利用者端末３０の中央制御装置へ端末識別子を返すことにより、利用者端末３０による端末識別子取得が完了する。
【００５５】
続いて、利用者端末３０の中央制御装置は、ステップＳ１０６ａで、正当性問い合わせ部３１を起動する。そして、ステップＳ１０６ｂで、正当性問い合わせ部３１は、正当性確認サーバ２０に、上記で取得した端末識別子を引数として添えて、保証対象端末１０の正当性確認の要求を出す。
【００５６】
正当性確認サーバ２０の中央制御装置は、ステップＳ１０７ａで、端末特定部２９へ指示を出し、上記で引数として受け取った端末識別子が示す端末を特定させる。ステップＳ１０７ｂでは、端末特定部２９により特定された端末のネットワークアドレスなどの端末情報が、正当性確認サーバ２０の中央制御装置へ返される。
【００５７】
ステップＳ１０７ｃで、正当性確認サーバ２０の中央制御装置は、正当性確認部２１に対し、上記で特定された保証対象端末１０の正当性確認の指示を出す。それを受けて、正当性確認部２１は、任意の乱数を生成し、ステップＳ１０７ｄで、その乱数を添えて、保証対象端末１０に対し、正当性を証明するために必要となる情報の提供を求める。
【００５８】
それを受けて、保証対象端末１０の中央制御装置は、ステップＳ１０８ａで、正当性証明部１１に対し、正当性の証明のための作業を要求する。正当性証明部１１は、ステップＳ１０８ｂにおいて、改竄検出部１３に対して改竄検出を依頼し、改竄検出部１３は、ステップＳ１０８ｃで、改竄検出結果を正当性証明部１１に返す。正当性証明部１１は、上記で返された改竄検出結果をもとに、ステップＳ１０８ｄで、保証対象端末１０が現時点で正当な状態にあるかどうかを判断し、判断結果に電子署名し、ステップＳ１０８ｅで保証対象端末１０の中央制御装置へ渡す。保証対象端末１０の中央制御装置は、ステップＳ１０８ｅで渡された結果を、ステップＳ１０９で、正当性確認サーバ２０の正当性確認部２１に返す。同時に、ステップＳ１１０で、正当性確認サーバ２０より受け取った前記乱数値を、利用者に対して表示する。
【００５９】
ステップＳ１１１ａで、正当性確認部２１は、ステップＳ１０９ａで受け取った判断結果および署名内容などに基づき、正当性が保証できるかどうかの判断を行なう。判断結果は、前記乱数とともに、ステップＳ１１１ｂで正当性確認サーバ２０の中央制御装置へ渡される。正当性確認サーバ２０の中央制御装置は、それらを、ステップＳ１１２ａで、利用者端末３０の正当性問い合わせ部３１に送る。それらを受け取った正当性問い合わせ部３１は、ステップＳ１１２ｂで、結果を利用者端末３０の中央制御装置に通知する。
【００６０】
上記の判断結果に基づき、利用者端末３０の中央制御装置は、ステップＳ１１３ａで、正当性確認結果通知部３２に、利用者への結果通知の指示を出し、正当性確認結果通知部３２は、ステップＳ１１３ｂで、確認結果および前記乱数を画面に表示するなどして、利用者に通知する。ここで、利用者端末３０に表示される乱数と、保証対象端末１０に表示される乱数とは同一であるので、利用者端末３０に表示されている乱数と同じ乱数が、保証対象端末１０と思われる端末に表示されているかどうかを確認することにより、利用者は、その端末が、現在正当性を確認中の保証対象端末１０であるかどうかを確認することができる。
【００６１】
以上により、利用者は、保証対象端末１０を安全に利用できるかどうか、確認することができる。
【００６２】
保証対象端末１０を安全に利用できることが確認されたならば、利用者はステップＳ１１４で、利用者端末３０に対し、保証対象端末１０の上でのサービス利用開始要求を出す。利用者端末３０の中央制御装置は、ステップＳ１１５で、正当性確認サーバ２０に対し、ステップＳ１０２で認証された利用者の情報を添えて、保証対象端末１０上でのサービス利用開始要求を出す。正当性確認サーバ２０の中央制御装置は、上記の利用者情報に基づき、ステップＳ１１６ａで、利用者別サービス提供部２８にサービス提供の指示を出す。利用者別サービス提供部２８は、ステップＳ１１６ｂで、前記で正当性確認済みの保証対象端末１０を経由して、利用者にカスタマイズされたサービスを提供する。
【００６３】
上記のようにして、ステップＳ１１６ｃで、利用者は、保証対象端末１０の上で、安全に、自分向けにカスタマイズされたサービスを利用することができる。
【００６４】
以上のとおり、本実施形態にかかる端末正当性保証システムによれば、不特定多数の利用者が利用する共用端末を利用する際に、利用者が正当性を未確認の端末に利用者自身に関する情報を一切渡すことなく、その端末の正当性を確認することができる。このように、利用者が携帯する利用者端末３０を用いることにより、利用者が共用端末（保証対象端末１０）を利用しようとした時に、その場で共用端末の正当性を確認できるということが、従来にはない利点である。また、その際に、改竄検出部１３により、保証対象端末１０上のハードウェアおよびソフトウェアが不正に改竄されていないことの確認ができる。なお、本実施形態では、保証対象端末１０の正当性の確認に際して、利用者端末３０が改竄されていないことが前提となるが、個人で管理される利用者端末３０は、共用端末である保証対象端末１０とは異なり、パスワードを設定するなどして適切に管理することにより、比較的容易に改竄を防ぐことが可能である。
【００６５】
さらに、端末識別子取得部３９により保証対象端末１０の端末識別子を取得することにより、保証対象端末１０の正当性確認を利用者端末３０から行う場合に、対象端末を特定するための情報を素早く容易に入力することができる。これにより、保証対象端末１０の正当性を素早く確認し、保証対象端末１０の上で素早くサービスを利用できる。さらに、正当性が確認できた保証対象端末１０の上で、利用者ごとにカスタマイズされたサービスを、安全に利用することができる。
【００６６】
以上の実施形態に関し、更に以下の付記を開示する。
【００６７】
（付記１）
複数の利用者により利用される端末の正当性を保証するための端末正当性保証システムであって、
保証対象端末と、
前記保証対象端末に接続可能であり、前記保証対象端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かを確認する正当性確認サーバとを含み、
前記保証対象端末が、
前記正当性確認サーバからの確認要求に応じて、当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かを表す正当性証明情報を前記正当性確認サーバへ送信する正当性証明部を備え、
前記正当性確認サーバが、
利用者が保持する利用者端末から保証対象端末の正当性の問い合わせを受けると、前記保証対象端末に対して当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かの確認要求を行うと共に、当該端末の前記正当性証明部から送信された前記正当性証明情報に基づき当該端末の正当性を確認し、確認結果を前記利用者端末へ送信する正当性確認部を備えたことを特徴とする端末正当性保証システム。
【００６８】
（付記２）
前記保証対象端末が、当該端末内のソフトウェアおよびハードウェアが改竄されたことを検出する改竄検出部をさらに備えると共に、
前記正当性証明部が、前記改竄検出部の検出結果を前記正当性証明情報に含めて前記正当性確認サーバへ送信する、付記１に記載の端末正当性保証システム。
【００６９】
（付記３）
前記正当性証明部が、モジュール外部からの直接的なアクセスが不可能な領域を持つ正当性証明モジュールを用いて構成された、付記１または２に記載の端末正当性保証システム。
【００７０】
（付記４）
前記正当性確認サーバが、乱数を生成して前記利用者端末および保証対象端末に通知する乱数生成部をさらに備え、
前記保証対象端末が、前記正当性確認サーバから通知された乱数を表示する、付記１ないし３のいずれかに記載の端末正当性保証システム。
【００７１】
（付記５）
前記正当性証明情報が、秘密鍵による電子署名と、前記秘密鍵に対応する公開鍵を含む電子証明書とを含み、
前記正当性確認サーバが、前記電子証明書の正当性を確認するためのルート証明書を保持している、付記１ないし４のいずれかに記載の端末正当性保証システム。
【００７２】
（付記６）
複数の利用者により利用される端末を保証対象端末とし、当該保証対象端末の正当性を、当該端末に接続可能な正当性確認サーバおよび前記正当性確認サーバに接続可能な利用者端末を用いて保証する端末正当性保証方法であって、
前記利用者端末が、前記正当性確認サーバへ、保証対象端末の正当性の問い合わせを送信するステップと、
前記正当性確認サーバが、前記問い合わせを受信し、前記保証対象端末に対して当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かの確認要求を行うステップと、
前記保証対象端末が、前記正当性確認サーバからの確認要求に応じて、当該端末内のソフトウェアおよびハードウェアが正当な状態にあるか否かを表す正当性証明情報を前記正当性確認サーバへ送信するステップと、
前記正当性確認サーバが、前記保証対象端末から送信された前記正当性証明情報に基づき、当該保証対象端末の正当性を確認し、確認結果を前記利用者端末へ送信するステップと、
前記利用者端末が、前記正当性確認サーバから送信された確認結果を利用者へ提示するステップとを含むことを特徴とする端末正当性保証方法。
【００７３】
（付記７）
前記保証対象端末に当該端末を特定する端末識別子を提示する端末識別子提示部が設けられており、
前記利用者端末が、前記正当性確認サーバへ保証対象端末の正当性の問い合わせを送信するステップにおいて、前記端末識別子提示部から前記端末識別子を取得し、取得した端末識別子を前記問い合わせに含めて送信する、付記６に記載の端末正当性保証方法。
【図面の簡単な説明】
【００７４】
【図１】本発明の一実施形態にかかる端末正当性保証システムの概略構成を示すブロック図
【図２】前記端末正当性保証システムの動作を示すシーケンス図
【図３】前記端末正当性保証システムの動作の詳細を示すシーケンス図
【図４】従来の端末正当性保証システムの概略構成の一例を示すブロック図
【図５】従来の端末正当性保証システムの概略構成の他の例を示すブロック図
【符号の説明】
【００７５】
１０  保証対象端末
１１  正当性証明部
１２  正当性証明モジュール
１３  改竄検出部
１５  ハードウェア
１６  ソフトウェア
１９  端末識別子提示部
２０  正当性確認サーバ
２１  正当性確認部
２８  利用者別サービス提供部
２９  端末特定部
３０  利用者端末
３１  正当性問い合わせ部
３２  正当性確認結果通知部
３８  利用者認証部
３９  端末識別子取得部
【図１】
0004671619.tif 000002
【図２】
0004671619.tif 000003
【図３】
0004671619.tif 000004
【図４】
0004671619.tif 000005
【図５】
0004671619.tif 000006