(57)【特許請求の範囲】
【請求項１】
情報処理装置内に実装されたセキュリティチップであって、
前記情報処理装置外と前記情報処理装置との通信の安全性を認証する通信認証ハードウェアと、
前記通信認証ハードウェアによる通信の安全性の認証とは異なる認証処理を実行する複数の認証ハードウェアと、
前記セキュリティチップ内を監視する監視ハードウェアと、
前記情報処理装置外からのデータの正当性を検証する検証ハードウェアと、内蔵し、
前記通信認証ハードウェアは、
前記セキュリティチップ内に存在する更新対象データの提供元と前記情報処理装置との通信の安全性を認証する通信認証処理を実行し、
前記監視ハードウェアは、
前記通信認証処理により前記提供元との通信の安全性が認証された場合に、前記提供元から前記情報処理装置に送信された更新データと、当該更新データおよび前記提供元の秘密鍵によって生成された電子署名と、前記更新データの提供先ハードウェアである、前記通信認証ハードウェアおよび前記複数の認証ハードウェアのうち１つを示す識別情報と、の入力を受け付ける入力処理と、
前記通信認証処理および前記入力処理を経て入力された前記更新データが、前記通信認証ハードウェアおよび前記複数の認証ハードウェアのうち、どの提供先ハードウェア内に存在する更新対象データに対するデータであるかを、前記識別情報に基づいて判定する判定処理と、
前記判定処理によって判定された提供先ハードウェアの公開鍵で前記電子署名を復号することによりハッシュ値を生成するとともに、前記更新データのメッセージダイジェストを生成する生成処理と、を実行し、
前記検証ハードウェアは、
前記生成処理によって生成されたハッシュ値およびメッセージダイジェストに基づいて、前記電子署名の正当性を検証する検証処理と、
前記検証処理によって正当性が検証された場合、前記更新データにより、前記判定処理によって判定された提供先ハードウェア内に存在する前記更新対象データを更新する更新処理と、を実行することを特徴とするセキュリティチップ。
【請求項２】
前記複数の認証ハードウェアは、
前記情報処理装置が有する生体センサから検出される生体情報と前記情報処理装置内に記憶されている生体情報とを認証する生体認証ハードウェアと、前記情報処理装置外からの情報と前記情報処理装置内に記憶されている情報とを認証する装置内情報認証ハードウェアと、を含むことを特徴とする請求項１に記載のセキュリティチップ。
【請求項３】
情報処理装置外との通信の安全性を認証する通信認証ハードウェアと、前記通信認証ハードウェアによる通信の安全性の認証とは異なる認証処理を実行する複数の認証ハードウェアと、内部を監視する監視ハードウェアと、情報処理装置外からのデータの正当性を検証する検証ハードウェアと、内蔵し、前記情報処理装置内に実装されたセキュリティチップが、
前記通信認証ハードウェアにより、前記セキュリティチップ内に存在する更新対象データの提供元と前記情報処理装置との通信の安全性を認証する通信認証工程を実行し、
前記監視ハードウェアにより、前記通信認証ハードウェアによって通信の安全性が認証された場合に、前記提供元から前記情報処理装置に送信された更新データと、当該更新データおよび前記提供元の秘密鍵によって生成された電子署名と、前記更新データの提供先ハードウェアである、前記通信認証ハードウェアおよび前記複数の認証ハードウェアのうち１つを示す識別情報と、の入力を受け付ける入力工程と、
前記監視ハードウェアにより、前記通信認証工程および前記入力工程を経て入力された前記更新データが、前記通信認証ハードウェアおよび前記複数の認証ハードウェアのうち、どの提供先ハードウェア内に存在する更新対象データに対するデータであるかを、前記識別情報に基づいて判定する判定工程と、
前記監視ハードウェアにより、前記判定工程によって判定された提供先ハードウェアの公開鍵で前記電子署名を復号することによりハッシュ値を生成するとともに、前記更新データのメッセージダイジェストを生成する生成工程と、を実行し、
前記検証ハードウェアにより、前記生成工程によって生成されたハッシュ値およびメッセージダイジェストに基づいて、前記電子署名の正当性を検証する検証工程と、
前記検証ハードウェアにより、前記検証工程によって正当性が検証された場合、前記更新データにより、前記判定工程によって判定された提供先ハードウェア内に存在する前記更新対象データを更新する更新工程と、を実行することを特徴とする情報管理方法。
【請求項４】
前記複数の認証ハードウェアは、
前記情報処理装置が有する生体センサから検出される生体情報と前記情報処理装置内に記憶されている生体情報とを認証する生体認証ハードウェアと、前記情報処理装置外からの情報と前記情報処理装置内に記憶されている情報とを認証する装置内情報認証ハードウェアと、を含むことを特徴とする請求項３に記載の情報管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置において情報を管理するセキュリティチップおよび情報管理方法に関する。
【背景技術】
【０００２】
近年、ＩＰｖ６（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ｖｅｒｓｉｏｎ６）の導入により、インターネットなどの通信網に接続される情報処理装置は、パーソナルコンピュータ、サーバコンピュータ、および携帯電話機のほか、冷蔵庫、電子レンジ、エアコン、ＴＶ、ＤＶＤ等の家電機器、コピー機、さらにはロボットなども通信網に接続され、情報の送受信をおこなうことができる。このように通信網に接続される情報処理装置が増加するにしたがって、安全性（セキュリティ）が低下することになる。
【０００３】
特に家電機器は安全性が低く、外部から機器の正常な動作に支障をきたすプログラムを送り込まれるケースや、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）の踏み台にされるおそれがある。そこで、このような情報処理装置の安全性を高めるために、指紋などを用いたバイオメトリック認証機能を情報処理装置に搭載する試みがなされている（例えば、下記特許文献１を参照。）。
【０００４】
また、これらの情報処理装置を用いた電子商取引を行う際には、情報処理装置が、正当な所有者が使用しているか、所有者自らの情報処理装置を用いた取引であるか、情報処理装置に安全性を損なう機器が接続、またはＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）、ブラウザ、プラグインソフト等のソフトウェアがインストールされていないかなどの安全性をまず確保した上で、商取引を行うことが好ましい。
【０００５】
さらに、生体情報を用いた生体認証、認証機関を利用した電子証明書による本人認証（ＰＫＩ（Ｐｕｂｌｉｃ  Ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）認証）、および情報処理装置に関する情報を機密管理する環境認証もおこなわれている。また、製造コストの上昇を招くことなく、様々なセキュリティを実行することが可能な記憶媒体駆動装置が提案されている（例えば、下記特許文献２を参照。）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開平３−５８１７４号公報
【特許文献２】特開平１０−２８３１９０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記従来の技術では、認証用の指紋情報が流出する場合もあり、バイオメトリック認証のみでは、高度な安全性を確保することが難しいという問題があった。
【０００８】
また、これらの情報処理装置にパッチ用のソフトウェア、ファームウェア等を提供する場合、第三者に送信中のソフトウェアを改竄されるおそれがあることから、情報送信側の装置と情報処理装置との間での安全性を十分に確保する必要があった。その一方、安全性のレベルを高めすぎると、情報の送受信を円滑におこなうことが困難になるという問題があった。
【０００９】
また、生体認証、本人認証、環境認証などの複数種類の認証処理を、一の情報処理装置において独立しておこなう場合、各認証処理の相互間での情報の授受の際に、相互の認証が必要となる。したがって、それぞれの認証機能の他に、他の認証機能との情報授受のための認証機能を備えることになり、製品コストおよび認証処理時間が増大するという問題が生じるおそれがある。
【００１０】
一方、上述した生体認証、本人認証、環境認証は、元々異なる目的で用いられる認証機能であるため、それぞれの認証処理を実行するためのファームウェアなどのプログラムやデータについての更新頻度、更新量、更新方法が異なっている。
【００１１】
したがって、上述した生体認証、本人認証、環境認証の認証機能を単一のチップに組み込む場合、それぞれの認証機能についてのプログラムやデータが更新される都度、チップ全体を更新、多くの場合、作り替えをすることになり、コスト面から事実上不可能である。また、更新の都度、作り替え作業が生じる場合、ユーザにとってはその間利用することができないため不便である。
【００１２】
したがって、これら個々の認証機能の更新は、元々の認証の使命上、可及的速やかに行われるべきものであるため、他の更新を待って、同時に更新するということでは認証をおこなう意味がないこととなる。
【００１３】
本発明は、上記問題点に鑑みてなされたものであって、生体認証、本人認証（ＰＫＩ認証）、および環境認証におけるプログラムおよびデータの更新を、柔軟かつ厳密に実行可能とすることにより、安全性の向上を図ることができる情報管理装置および情報管理方法を提供することを目的とする。
【課題を解決するための手段】
【００１４】
上述した課題を解決し、目的を達成するため、本発明のセキュリティチップは、情報処理装置内に実装されたセキュリティチップであって、前記情報処理装置外と前記情報処理装置との通信の安全性を認証する通信認証ハードウェアと、前記通信認証ハードウェアによる通信の安全性の認証とは異なる認証処理を実行する複数の認証ハードウェアと、前記セキュリティチップ内を監視する監視ハードウェアと、前記情報処理装置外からのデータの正当性を検証する検証ハードウェアと、内蔵し、前記通信認証ハードウェアは、前記セキュリティチップ内に存在する更新対象データの提供元と前記情報処理装置との通信の安全性を認証する通信認証処理を実行し、前記監視ハードウェアは、前記通信認証処理により前記提供元との通信の安全性が認証された場合に、前記提供元から前記情報処理装置に送信された更新データと、当該更新データおよび前記提供元の秘密鍵によって生成された電子署名と、前記更新データの提供先ハードウェアである、前記通信認証ハードウェアおよび前記複数の認証ハードウェアのうち１つを示す識別情報と、の入力を受け付ける入力処理と、前記通信認証処理および前記入力処理を経て入力された前記更新データが、前記通信認証ハードウェアおよび前記複数の認証ハードウェアのうち、どの提供先ハードウェア内に存在する更新対象データに対するデータであるかを、前記識別情報に基づいて判定する判定処理と、前記判定処理によって判定された提供先ハードウェアの公開鍵で前記電子署名を復号することによりハッシュ値を生成するとともに、前記更新データのメッセージダイジェストを生成する生成処理と、を実行し、前記検証ハードウェアは、前記生成処理によって生成されたハッシュ値およびメッセージダイジェストに基づいて、前記電子署名の正当性を検証する検証処理と、前記検証処理によって正当性が検証された場合、前記更新データにより、前記判定処理によって判定された提供先ハードウェア内に存在する前記更新対象データを更新する更新処理と、を実行することを特徴とする。
【発明の効果】
【００１５】
この発明によれば、修正プログラムを受信する暗号路の安全性の認証と、受信した修正プログラムによる更新の正当性の認証とを、単一チップによっておこなうことができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の実施の形態にかかる情報管理システムの概略構成を示す説明図である。
【図２】情報処理装置のハードウェア構成を示すブロック図である。
【図３】セキュリティチップのハードウェア構成を示すブロック図である。
【図４】第３図に示した各ハードウェアの具体的構成を示すブロック図である。
【図５】メモリ／ストレージに記憶された電子証明書を示す説明図である。
【図６】メモリ／ストレージに記憶された登録情報を示す説明図である。
【図７】メモリ／ストレージに記憶された装置内情報を示す説明図である。
【図８】この発明の実施の形態にかかる情報管理装置の通信認証処理手順を示すフローチャートである。
【図９】更新情報の一例を示す説明図である。
【図１０】識別情報がＡ〜Ｃのいずれかの情報である場合の更新情報を示す説明図である。
【図１１】識別情報がＤの情報である場合の更新情報を示す説明図である。
【図１２】通信認証ハードウェアによって通信の安全性が認証された場合のセキュリティチップの更新処理手順を示すフローチャートである。
【図１３】通信認証プログラム（または装置内情報認証プログラム）の更新処理手順を示すフローチャートである。
【図１４】生体認証プログラムの更新処理手順を示すフローチャートである。
【図１５】ユーザの電子証明書の更新処理手順を示すフローチャートである。
【図１６】登録情報を書き込む場合の通信認証処理手順を示すフローチャートである。
【図１７】入力情報を示す説明図である。
【図１８】登録情報の書き込み処理手順を示すフローチャートである。
【図１９】登録指示情報を示す説明図である。
【図２０】セキュリティチップによる通常の動作処理手順を示すフローチャートである。
【発明を実施するための形態】
【００１７】
以下に、本発明の実施の形態について図面を参照しつつ詳細に説明する。
【００１８】
（実施の形態）
（情報管理システムの概略構成）
第１図は、本発明の実施の形態にかかる情報管理システムの概略構成を示す説明図である。第１図において、情報管理システム１００は、ユーザの情報処理装置１０１と、情報処理装置１０１内の実行プログラムまたはデータを提供する情報提供装置１０２と、認証局の認証装置１０３と、が、インターネットなどのネットワーク１０４を介して接続されている。
【００１９】
ユーザの情報処理装置１０１には、たとえば、携帯電話機、パーソナルコンピュータ、その他冷蔵庫、電子レンジ、エアコン、ＴＶ、ＤＶＤ等の家電機器、コピー機、ロボットなどが含まれる。この情報処理装置１０１には、セキュリティチップが実装されている。
【００２０】
情報提供装置１０２は、実行プログラムや各種データを開発または販売するするベンダーやメーカー、情報処理装置１０１を製造または販売する業者などが管理する。この情報提供装置１０２は、実行プログラムのパッチなどの修正プログラムや各種データを格納したり、ネットワーク１０４上にアップロードする。また、実行プログラムや各種データの電子署名を生成する。認証装置１０３は、ユーザ、メーカー、ベンダー、販売業者などの電子証明書の発行および管理をおこなう。また、発行した電子証明書の電子署名を生成する。
【００２１】
（情報処理装置１０１のハードウェア構成）
つぎに、情報処理装置１０１のハードウェア構成について説明する。第２図は、情報処理装置１０１のハードウェア構成を示すブロック図である。第２図において、情報処理装置１０１は、ＣＰＵ２０１と、ＲＯＭ２０２と、ＲＡＭ２０３と、ＨＤＤ（ハードディスクドライブ）２０４と、ＨＤ（ハードディスク）２０５と、ＦＤＤ（フレキシブルディスクドライブ）２０６と、着脱可能な記録媒体の一例としてのＦＤ（フレキシブルディスク）２０７と、ディスプレイ２０８と、通信Ｉ／Ｆ（インターフェース）２０９と、入力キー(キーボード、マウス含む）２１０と、生体センサ２１１と、セキュリティチップ２１
５と、から構成されている。また、各構成部はバス２００によってそれぞれ接続されている。
【００２２】
ここで、ＣＰＵ２０１は、情報処理装置１０１の全体の制御を司る。ＲＯＭ２０２は、ブートプログラムなどのプログラムを記憶している。ＲＡＭ２０３は、ＣＰＵ２０１のワークエリアとして使用される。ＨＤＤ２０４は、ＣＰＵ２０１の制御にしたがってＨＤ２０５に対するデータのリード／ライトを制御する。ＨＤ２０５は、ＨＤＤ２０４の制御で書き込まれたデータを記憶する。
【００２３】
ＦＤＤ２０６は、ＣＰＵ２０１の制御にしたがってＦＤ２０７に対するデータのリード／ライトを制御する。ＦＤ２０７は、ＦＤＤ２０６の制御で書き込まれたデータを記憶したり、ＦＤ２０７に記憶されたデータを情報処理装置１０１に読み取らせたりする。
【００２４】
また、着脱可能な記録媒体として、ＦＤ２０７のほか、ＣＤ−ＲＯＭ（ＣＤ−Ｒ、ＣＤ−ＲＷ）、ＭＯ、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）、メモリーカードなどであってもよい。ディスプレイ２０８は、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータを表示する。このディスプレイ２０８は、たとえば、ＣＲＴ、ＴＦＴ液晶ディスプレイ、プラズマディスプレイなどを採用することができる。
【００２５】
通信Ｉ／Ｆ２０９は、通信回線を通じてインターネットなどのネットワーク１０４に接続され、このネットワーク１０４を介して他の装置に接続される。そして、通信Ｉ／Ｆ２０９は、ネットワーク１０４と内部のインターフェースを司り、外部装置からのデータの入出力を制御する。通信Ｉ／Ｆ２０９には、たとえばモデムやＬＡＮアダプタなどを採用することができる。
【００２６】
入力キー２１０は、文字、数字、各種指示などの入力のためのキーを備え、データの入力をおこなう。また、タッチパネル式の入力パッドやテンキーなどであってもよい。
【００２７】
生体センサ２１１は、一例として、指紋センサ２１２、カメラ２１３、およびマイク２１４が挙げられる。指紋センサ２１２は、およそ５０μｍ間隔で指の指紋の凹凸を検出して電気信号に変換するデバイスであり、指紋の読取方式としては、たとえば、半導体式、光学式、感圧式、感熱式などが挙げられる。カメラ２１３は、眼球の虹彩や網膜を撮像する生体センサ２１１である。また、マイク２１４は、声の特徴をあらわす声紋を検出する生体センサ２１１である。
【００２８】
セキュリティチップ２１５は、ＴＰＭ（Ｔｒｕｓｔｅｄ  Ｐｌａｔｆｏｒｍ  Ｍｏｄｕｌｅ）と呼ばれ、情報処理装置１０１のメインボードに実装される。セキュリティチップ２１５は、セキュリティやプライバシーを実現するための基本機能のみを提供するチップである。また、このセキュリティチップ２１５は、ＴＣＧ（Ｔｒｕｓｔｅｄ  Ｃｏｍｐｕｔｉｎｇ  Ｇｒｏｕｐ）の仕様書によって定義されている。一の情報処理装置１０１に実装されたＴＰＭは、他の情報処理装置１０１に実装できないようになっており、情報処理装置１０１からＴＰＭを取り外すと、当該情報処理装置１０１は起動することができなくなる。このセキュリティチップ２１５は、この発明の実施の形態にかかる情報管理装置である。
【００２９】
（セキュリティチップ２１５のハードウェア構成）
つぎに、上述したセキュリティチップ２１５のハードウェア構成について説明する。第３図は、セキュリティチップ２１５のハードウェア構成を示すブロック図である。第３図において、セキュリティチップ２１５は、バスを介して、通信Ｉ／Ｆ２０９、生体センサ２１１、ＣＰＵ２０１、メモリ／ストレージ３００に接続されている。また、情報処理装置１０１内には、各種ソフトウェア３０１がインストールされており、これらのソフトウェア３０１に関する情報も取得可能である。さらに、情報処理装置１０１に接続されている周辺機器３０２に関する情報も取得可能である。
【００３０】
また、メモリ／ストレージ３００は、情報処理装置１０１内であれば、セキュリティチップ２１５内またはセキュリティチップ２１５外のいずれの領域に設けられていてもよい。セキュリティチップ２１５内に設けられる場合は、メモリ／ストレージ３００の取り外しや改ざんを防止することができる。
【００３１】
また、セキュリティチップ２１５は、通信認証ハードウェア３１１と、生体認証ハードウェア３１２と、装置内情報認証ハードウェア３１３と、監視ハードウェア３１４と、検証ハードウェア３１５と、から構成されている。
【００３２】
通信認証ハードウェア３１１は、情報処理装置１０１外、たとえば、第１図に示した提供サーバや認証サーバとの通信の安全性を認証する。通信認証ハードウェア３１１は、具体的には、認証局を利用した電子証明書による本人認証（ＰＫＩ（Ｐｕｂｌｉｃ  Ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）認証）をおこなうことにより、外部と通信をおこなう者が、認証局によって正規に登録された者であるかどうかを判別することができる。また、この通信認証ハードウェア３１１には、通信認証処理を実行する通信認証プログラム３２１がインストールされている。
【００３３】
生体認証ハードウェア３１２は、生体センサ２１１によって検出された生体情報と情報処理装置１０１内に登録されたユーザの登録生体情報とが一致するかどうかを認証する。生体認証ハードウェア３１２では、情報処理装置１０１を操作する者が、正規のユーザであるかどうかを判別することができる。この生体認証ハードウェア３１２には、生体認証処理を実行する生体認証プログラム３２２がインストールされている。
【００３４】
装置内情報認証ハードウェア３１３は、前記情報処理装置１０１または前記単一チップ内の情報（装置内情報）を認証する。この装置内情報は、環境情報と呼ばれ、情報処理装置１０１に接続された周辺機器３０２から取得した当該周辺機器３０２に関する情報（たとえば、機器名、バージョン情報）や、情報処理装置１０１内にインストールされているソフトウェア３０１に関する情報（たとえば、ソフトウェア名、バージョン情報）、メモリ／ストレージ３００に記憶されている各種情報（たとえば、電子証明書）などを含む。このため、装置内情報認証ハードウェア３１３は、環境認証ハードウェアとも呼ばれる。
【００３５】
また、装置内情報認証ハードウェア３１３は、メモリ／ストレージ３００に記憶されている情報を機密管理する。具体的には、装置内情報認証ハードウェア３１３が取得した情報を、固有の暗号鍵で暗号化して、メモリ／ストレージ３００に記憶する。一方、他のハードウェアからの呼び出しがあった場合、暗号鍵と対になる固有の復号鍵で、暗号化されて記憶されている情報を復号する。この暗号化および復号処理により、情報処理装置１０１内において改ざんされていないことを認証することができる。この装置内情報認証ハードウェア３１３には、上述した処理を実行する装置内情報認証プログラム３２３がインストールされている。
【００３６】
また、監視ハードウェア３１４には、常駐プログラム３２４がインストールされており、情報管理装置内の情報の授受を監視する。具体的な監視処理については後述する。
【００３７】
また、検証ハードウェア３１５には、検証プログラム３２５がインストールされており、通信認証ハードウェア３１１によって外部との通信の安全性が認証された場合に、当該外部からセキュリティチップ２１５に入力されてくる情報の正当性の検証や一致検証などをおこなう。具体的な検証処理については後述する。
【００３８】
（各ハードウェアの具体的構成）
つぎに、第３図に示した各ハードウェア３１１〜３１５の具体的構成について説明する。第４図は、第３図に示した各ハードウェア３１１〜３１５の具体的構成を示すブロック図である。第４図において、各ハードウェア３１１〜３１５は、プロセッサ４０１と、ＲＯＭ４０２と、ＲＡＭ４０３と、ＥＥＰＲＯＭ４０４と、入力Ｉ／Ｆ（インターフェース）４０５と、暗号処理器４０６と、から構成されている。また、各構成部４０１〜４０６はバス４００によってそれぞれ接続されている。
【００３９】
ここで、プロセッサ４０１は、各ハードウェア３１１〜３１５の全体の制御を司る。ＲＯＭ４０２は、ブートプログラムなどのプログラムを記憶している。ＲＡＭ４０３は、プロセッサ４０１のワークエリアとして使用される。ＥＥＰＲＯＭ４０４は、各ハードウェア３１１〜３１５によって実行されるプログラムを記憶する。暗号処理器４０６は、非対称の暗号鍵の生成、暗号処理、復号処理、メッセージダイジェストの生成（ハッシュ値の生成）、電子署名の生成などをおこなう。
【００４０】
（メモリ／ストレージ３００の記憶内容）
つぎに、第３図に示したメモリ／ストレージ３００の記憶内容について説明する。第５図は、メモリ／ストレージ３００に記憶された電子証明書を示す説明図であり、第６図は、メモリ／ストレージ３００に記憶された登録情報を示す説明図であり、第７図は、メモリ／ストレージ３００に記憶された装置内情報を示す説明図である。
【００４１】
第５図において、電子証明書Ｃａ〜Ｃｚは、被証明者ごとに記憶されている。「被証明者名」とは、電子証明書Ｃａ〜Ｃｚによって証明された者、たとえば、ユーザ、メーカー、ベンダー、認証局などが挙げられる。また、電子証明書Ｃａ〜Ｃｚには、バージョン情報、署名アルゴリズム、発行者名、有効期限、公開鍵、その他の関連情報が含まれている。この電子証明書Ｃａ〜Ｃｚは、第３図に示した装置内情報認証ハードウェア３１３によって暗号化されて記憶されている。
【００４２】
また、第６図において、登録情報６００は、登録者名６０１、センサ種情報６０２、および生体情報６０３によって構成される。第６図では、その一例として、ユーザである登録者「Ｘ」が、「指紋センサ」によって検出された登録者「Ｘ」の指紋の画像データ「Ｘａ」を、生体情報６０３として登録している。登録情報６００は、第３図に示した装置内情報認証ハードウェア３１３によって暗号化されて記憶されている。
【００４３】
また、第７図において、装置内情報として、第３図に示した周辺機器３０２、ソフトウェア３０１、および各ハードウェアにインストールされた、通信認証プログラム３２１などの実行プログラムの名称およびバージョンが記憶されている。
【００４４】
（通信認証処理手順）
つぎに、この発明の実施の形態にかかる情報管理装置（セキュリティチップ２１５）の通信認証処理の内容について説明する。第８図は、この発明の実施の形態にかかる情報管理装置（セキュリティチップ２１５）の通信認証処理手順を示すフローチャートである。
【００４５】
第８図において、まず、通信Ｉ／Ｆ２０９において、更新情報が受信されたかどうかを判定する（ステップＳ８０１）。ここで、更新情報について説明する。第９図は、更新情報の一例を示す説明図である。
【００４６】
第９図において、更新情報９００は、識別情報９０１と、更新データ９０２と、提供元の電子署名９０３と、提供元の電子証明書（提供元が認証局である場合は、認証局の電子証明書）９０４と、認証局の電子署名９０５と、から構成されている。識別情報９０１は、更新データ９０２の内容を特定する情報である。
【００４７】
たとえば、識別情報９０１が『Ａ』の場合、更新データ９０２は『通信認証プログラム３２１のパッチ』である。また、識別情報９０１が『Ｂ』の場合、更新データ９０２は『装置内情報認証プログラム３２３のパッチ』である。さらに、識別情報９０１が『Ｃ』の場合、更新データ９０２は『生体認証プログラム３２２のパッチ』である。また、識別情報９０１が『Ｄ』の場合、更新データ９０２は『ユーザのあらたな電子証明書』である。
【００４８】
更新データ９０２は、識別情報９０１によって特定されるパッチまたは電子証明書である。また、更新データ９０２には、提供元の電子署名９０３が添付されている。この提供元の電子署名９０３は、提供元において、更新データ９０２のハッシュ値９１１を、提供元の秘密鍵で暗号化したデータである。
【００４９】
また、提供元の電子証明書９０４は、任意の認証局が発行した電子証明書である。この電子証明書９０４には、認証局の電子署名９０５が添付されている。認証局の電子署名９０５は、提供元において、電子証明書９０４のハッシュ値９１２を、認証局の秘密鍵で暗号化したデータである。
【００５０】
ここで、識別情報９０１がＡ〜Ｃのいずれかの情報である場合の更新情報について説明する。第１０図は、識別情報がＡ〜Ｃのいずれかの情報である場合の更新情報を示す説明図である。
【００５１】
第１０図に示した更新情報１０００において、更新前プログラム１００１およびパッチ１００２は、メーカーやベンダーなどの提供元で作成されたデータである。また、更新後プログラム１００３も、メーカーやベンダーなどの提供元で作成されたプログラムであり、更新前プログラム１００１をパッチ１００２で修正したプログラムである。
【００５２】
提供元の電子署名１００４は、パッチ１００２のハッシュ値１０１１を提供元の秘密鍵で暗号化した電子署名である。また、提供元の電子署名１００５も添付してもよい。この電子署名１００５は、更新後プログラム１００３のハッシュ値１０１２を提供元の秘密鍵で暗号化した電子署名である。
【００５３】
また、識別情報９０１がＤの情報である場合の更新情報について説明する。第１１図は、識別情報９０１がＤの情報である場合の更新情報を示す説明図である。この更新情報１１００は、認証局で発行されたユーザのあらたな電子証明書１１０１を有している。この電子証明書１１０１は、たとえば、現在のユーザの有効期限が経過した場合に認証局の認証装置１０３において速やかに発行される更新データである。また、ユーザに対して新規に発行される電子証明書でもよい。
【００５４】
認証局の電子署名１１０２は、ユーザのあらたな電子証明書１１０１のハッシュ値１１１１を、認証局の秘密鍵で暗号化した電子署名である。また、認証局の電子証明書１１０４は、認証局自身または他の認証局が発行した電子証明書である。認証局の電子署名１１０５は、電子証明書１１０４のハッシュ値１１１２を、この電子証明書１１０４を発行した認証局の秘密鍵によって暗号化した電子証明書である。
【００５５】
また、第８図において、更新情報９００（または１０００、１１００）が受信された場合（ステップＳ８０１：Ｙｅｓ）、通信Ｉ／Ｆ２０９を介して、通信認証ハードウェア３１１に、提供元の電子証明書９０４（または認証局の電子証明書１１０４）および認証局の電子署名９０５（または１１０５）を入力する（ステップＳ８０２）。なお、ここで、電子証明書９０４（または電子証明書１１０４）に含まれている発行元の認証局と通信して、電子証明書９０４（または電子証明書１１０４）が現時点で有効であるか否かを検証することとしてもよい。これにより、通信の安全性の向上を図ることができる。
【００５６】
そして、通信認証ハードウェア３１１は、入力された提供元の電子証明書９０４（または認証局の電子証明書１１０４）に含まれている認証局名を抽出し、この電子証明書９０４（または１１０４）を発行した認証局を特定する（ステップＳ８０３）。
【００５７】
通信認証ハードウェア３１１は、特定された認証局を装置内情報認証ハードウェア３１３に出力する。装置内情報認証ハードウェア３１３では、メモリ／ストレージ３００に暗号化されて記憶されている電子証明書の中から、通信認証ハードウェア３１１で特定された認証局の電子証明書を抽出する。そして、この抽出された電子証明書を、装置内情報認証ハードウェア３１３の復号鍵で復号して、特定された認証局の公開鍵を取得する（ステップＳ８０４）。この公開鍵が取得できたということは、メモリ／ストレージ３００内の情報が改ざんされていないということであり、安全であることが認証されたこととなる。
【００５８】
取得した認証局の公開鍵は、通信認証ハードウェア３１１に出力される。通信認証ハードウェア３１１では、取得した認証局の公開鍵で、認証局の電子署名９０５（または１１０５）を復号して、ハッシュ値を生成する（ステップＳ８０５）。つぎに、通信認証ハードウェア３１１は、入力された提供元の電子証明書９０４（または認証局の電子証明書１１０４）のメッセージダイジェスト（ハッシュ値）を生成する（ステップＳ８０６）。
【００５９】
そして、通信認証ハードウェア３１１は、ステップＳ８０５で生成されたハッシュ値とステップＳ８０６で生成されたハッシュ値とが一致するかどうかを判定する（ステップＳ８０７）。一致する場合（ステップＳ８０７：Ｙｅｓ）は、提供元（または認証局）との通信の安全性が認証されたこととなり（ステップＳ８０８）、安全性の高い通信路が生成されたことになる。一方、一致しなかった場合（ステップＳ８０７：Ｎｏ）、提供元（または認証局）との通信の安全性が認証されず、通信をおこなうことができない。
【００６０】
（セキュリティチップ２１５の更新処理手順）
つぎに、通信認証ハードウェア３１１によって通信の安全性が認証された場合のセキュリティチップ２１５の更新処理手順について説明する。第１２図は、通信認証ハードウェア３１１によって通信の安全性が認証された場合のセキュリティチップ２１５の更新処理手順を示すフローチャートである。
【００６１】
第１２図において、まず、通信の安全性が認証された場合（ステップＳ１２０１：Ｙｅｓ）、監視ハードウェア３１４は、通信Ｉ／Ｆ２０９まで受信された識別情報９０１、更新データ９０２、および更新データ９０２の電子署名９０３を入力する（ステップＳ１２０２）。
【００６２】
そして、監視ハードウェア３１４は、入力された識別情報９０１を参照する。識別情報９０１が『Ａ』の場合（ステップＳ１２０３：Ａ）、更新データ９０１は、通信認証プログラム３２１のパッチ１００２であると判断され、通信認証プログラム３２１の更新処理をおこなう（ステップＳ１２０４）。
【００６３】
また、識別情報９０１が『Ｂ』の場合（ステップＳ１２０３：Ｂ）、更新データ９０１は、装置内情報認証プログラム３２３のパッチ１００２であると判断され、装置内情報認証プログラム３２３の更新処理をおこなう（ステップＳ１２０５）。
【００６４】
さらに、識別情報９０１が『Ｃ』の場合（ステップＳ１２０３：Ｃ）、更新データ９０１は、生体認証プログラム３２２のパッチ１００２であると判断され、生体認証プログラム３２２の更新処理をおこなう（ステップＳ１２０６）。
【００６５】
また、識別情報９０１が『Ｄ』の場合（ステップＳ１２０３：Ｄ）、更新データ９０１は、ユーザのあらたな電子証明書１１０１であると判断され、ユーザの電子証明書の更新処理をおこなう（ステップＳ１２０７）。
【００６６】
（通信認証プログラム３２１の更新処理手順）
つぎに、通信認証プログラム３２１（または装置内情報認証プログラム３２３）の更新処理手順について説明する。第１３図は、通信認証プログラム３２１（または装置内情報認証プログラム３２３）の更新処理手順を示すフローチャートである。
【００６７】
第１３図において、監視ハードウェア３１４は、パッチの提供元の公開鍵を取得する（ステップＳ１３０１）。具体的には、監視ハードウェア３１４は装置内情報認証ハードウェア３１３に対して、パッチの提供元の公開鍵を取得要求する。装置内情報認証ハードウェア３１３は、メモリ／ストレージ３００に暗号化されて記憶されている電子証明書の中から、パッチの提供元の電子証明書を抽出する。
【００６８】
そして、装置内情報認証ハードウェア３１３の復号鍵で、抽出された電子証明書を復号し、復号された電子証明書の中から公開鍵を抽出する。この抽出された公開鍵を監視ハードウェア３１４に供給することで、監視ハードウェア３１４は、パッチの提供元の公開鍵を取得することができる。
【００６９】
つぎに、監視ハードウェア３１４は、取得した提供元の公開鍵で、提供元の電子署名を復号してハッシュ値を生成する（ステップＳ１３０２）。また、監視ハードウェア３１４は、パッチのメッセージダイジェスト（ハッシュ値）を生成する（ステップＳ１３０３）。そして、監視ハードウェア３１４は、ステップＳ１３０２で生成されたハッシュ値とステップＳ１３０３で生成されたハッシュ値を、検証ハードウェア３１５に出力する。
【００７０】
検証ハードウェア３１５は、ステップＳ１３０２で生成されたハッシュ値とステップＳ１３０３で生成されたハッシュ値とが一致するかどうかを判定する（ステップＳ１３０４）。一致しない場合（ステップＳ１３０４：Ｎｏ）、パッチが改ざんされているおそれがあるため、更新処理をおこなわず、一連の処理を終了する。
【００７１】
一方、一致する場合（ステップＳ１３０４：Ｙｅｓ）は、パッチが改ざんされておらず、正当であることを認証する（ステップＳ１３０５）。そして、正当であると認証されたパッチにより、通信認証プログラム３２１（装置内情報認証プログラム３２３の更新処理手順の場合は、装置内情報認証プログラム３２３）の更新処理をおこなう（ステップＳ１３０６）。
【００７２】
また、監視ハードウェア３１４は、入力された更新情報の中に、更新後プログラム１００３の電子署名１００５があるかどうかを検出する（ステップＳ１３０７）。更新後プログラム１００３の電子署名１００５がない場合（ステップＳ１３０７：Ｎｏ）、一連の処理を終了する。
【００７３】
一方、更新後プログラム１００３の電子署名１００５がある場合（ステップＳ１３０７：Ｙｅｓ）、監視ハードウェア３１４は、ステップＳ１３０１で取得した公開鍵で電子署名１００５を復号してハッシュ値を生成する（ステップＳ１３０８）。
【００７４】
また、監視ハードウェア３１４は、ステップＳ１３０７の更新処理によって更新された通信認証プログラム３２１（装置内情報認証プログラム３２３の更新処理手順の場合は、装置内情報認証プログラム３２３）のメッセージダイジェスト（ハッシュ値）を生成する（ステップＳ１３０９）。そして、監視ハードウェア３１４は、ステップＳ１３０８で生成されたハッシュ値とステップＳ１３０９で生成されたハッシュ値を、検証ハードウェア３１５に出力する。
【００７５】
検証ハードウェア３１５は、ステップＳ１３０８で生成されたハッシュ値とステップＳ１３０９で生成されたハッシュ値とが一致するかどうかを判定する（ステップＳ１３１０）。一致しない場合（ステップＳ１３１０：Ｎｏ）、正常な更新がされていないこととなり、一連の処理を終了する。一方、一致する場合（ステップＳ１３１０：Ｙｅｓ）は、更新された通信認証プログラム３２１（装置内情報認証プログラム３２３の更新処理手順の場合は、装置内情報認証プログラム３２３）は、提供元の更新後プログラム１００３と同一プログラムとなり、正常な更新がおこなわれたことを確認することができる（ステップＳ１３１１）。
【００７６】
これにより、提供元からデータ量の大きい更新後プログラム１００３全体をダウンロードしなくても、パッチと電子署名だけで更新されたプログラム全体の更新処理が正常におこなわれたことを確認することができる。したがって、安全かつ速やかな認証処理を実現することができる。
【００７７】
（生体認証プログラム３２２の更新処理手順）
つぎに、生体認証プログラム３２２の更新処理手順について説明する。第１４図は、生体認証プログラム３２２の更新処理手順を示すフローチャートである。第１４図において、まず、装置内情報認証ハードウェア３１３が、ユーザが指定した生体センサ２１１のセンサ種情報を取得する（ステップＳ１４０１）。装置内情報認証ハードウェア３１３は、取得したセンサ種情報を監視ハードウェア３１４に通知する。
【００７８】
そして、入力されてきた更新情報内のパッチによって修正をおこなう生体認証プログラム３２２のセンサ種情報と、装置内情報認証ハードウェア３１３によって通知されたセンサ種情報とが一致するかどうかを判定する（ステップＳ１４０２）。
【００７９】
一致しない場合（ステップＳ１４０２：Ｎｏ）、ユーザが指定した生体認証ではないため、一連の処理を終了する。一方、センサ種情報が一致した場合（ステップＳ１４０２：Ｙｅｓ）、監視ハードウェア３１４は、パッチの提供元の公開鍵を取得する（ステップＳ１４０３）。具体的には、監視ハードウェア３１４は装置内情報認証ハードウェア３１３に対して、パッチの提供元の公開鍵を取得要求する。装置内情報認証ハードウェア３１３は、メモリ／ストレージ３００に暗号化されて記憶されている電子証明書の中から、パッチの提供元の電子証明書を抽出する。
【００８０】
そして、装置内情報認証ハードウェア３１３の復号鍵で、抽出された電子証明書を復号し、復号された電子証明書の中から公開鍵を抽出する。この抽出された公開鍵を監視ハードウェア３１４に供給することで、監視ハードウェア３１４は、パッチの提供元の公開鍵を取得することができる。
【００８１】
つぎに、監視ハードウェア３１４は、取得した提供元の公開鍵で、提供元の電子署名を復号してハッシュ値を生成する（ステップＳ１４０４）。また、監視ハードウェア３１４は、パッチのメッセージダイジェスト（ハッシュ値）を生成する（ステップＳ１４０５）。そして、監視ハードウェア３１４は、ステップＳ１４０４で生成されたハッシュ値とステップＳ１４０５で生成されたハッシュ値を、検証ハードウェア３１５に出力する。
【００８２】
検証ハードウェア３１５は、ステップＳ１４０４で生成されたハッシュ値とステップＳ１４０５で生成されたハッシュ値とが一致するかどうかを判定する（ステップＳ１４０６）。一致しない場合（ステップＳ１４０６：Ｎｏ）、パッチが改ざんされているおそれがあるため、更新処理をおこなわず、一連の処理を終了する。
【００８３】
一方、一致する場合（ステップＳ１４０６：Ｙｅｓ）は、パッチが改ざんされておらず、正当であることを認証する（ステップＳ１４０７）。そして、正当であると認証されたパッチにより、生体認証プログラム３２２の更新処理をおこなう（ステップＳ１４０８）。
【００８４】
また、監視ハードウェア３１４は、入力された更新情報の中に、更新後プログラム１００３の電子署名１００５があるかどうかを検出する（ステップＳ１４０９）。更新後プログラム１００３の電子署名１００５がない場合（ステップＳ１４０９：Ｎｏ）、一連の処理を終了する。
【００８５】
一方、更新後プログラム１００３の電子署名１００５がある場合（ステップＳ１４０９：Ｙｅｓ）、監視ハードウェア３１４は、ステップＳ１４０３で取得した公開鍵で電子署名１００５を復号してハッシュ値を生成する（ステップＳ１４１０）。
【００８６】
また、監視ハードウェア３１４は、ステップＳ１４０９の更新処理によって更新された生体認証プログラム３２１のメッセージダイジェスト（ハッシュ値）を生成する（ステップＳ１４１１）。そして、監視ハードウェア３１４は、ステップＳ１４１０で生成されたハッシュ値とステップＳ１４１１で生成されたハッシュ値を、検証ハードウェア３１５に出力する。
【００８７】
検証ハードウェア３１５は、ステップＳ１４１０で生成されたハッシュ値とステップＳ１４１１で生成されたハッシュ値とが一致するかどうかを判定する（ステップＳ１４１２）。一致する場合（ステップＳ１４１２：Ｙｅｓ）は、更新された生体認証プログラム３２２は、提供元の更新後プログラム１００３と同一プログラムとなり、正常な更新がおこなわれたことを確認することができる（ステップＳ１４１３）。一方、一致しない場合（ステップＳ１４１２：Ｎｏ）、正常な更新がされていないこととなり、一連の処理を終了する。
【００８８】
（ユーザの電子証明書の更新処理手順）
つぎに、ユーザの電子証明書の更新処理手順について説明する。第１５図は、ユーザの電子証明書の更新処理手順を示すフローチャートである。第１５図において、監視ハードウェア３１４は、ユーザのあらたな電子証明書１１０１を提供した認証局の公開鍵を取得する（ステップＳ１５０１）。具体的には、監視ハードウェア３１４は、電子証明書１１０１の中から、当該電子証明書１１０１を発行した認証局名を抽出し、発行元の認証局を特定する。監視ハードウェア３１４は、装置内情報認証ハードウェア３１３に対して、特定された認証局の公開鍵を取得要求する。装置内情報認証ハードウェア３１３は、メモリ／ストレージ３００に暗号化されて記憶されている電子証明書の中から、特定された認証局の電子証明書を抽出する。
【００８９】
そして、装置内情報認証ハードウェア３１３の復号鍵で、抽出された電子証明書を復号し、復号された電子証明書の中から公開鍵を抽出する。この抽出された公開鍵を監視ハードウェア３１４に供給することで、監視ハードウェア３１４は、特定された認証局の公開鍵を取得することができる。
【００９０】
つぎに、監視ハードウェア３１４は、取得した認証局の公開鍵で、認証局の電子署名１１０２を復号してハッシュ値を生成する（ステップＳ１５０２）。また、監視ハードウェア３１４は、電子証明書１１０１のメッセージダイジェスト（ハッシュ値）を生成する（ステップＳ１５０３）。そして、監視ハードウェア３１４は、ステップＳ１５０２で生成されたハッシュ値とステップＳ１５０３で生成されたハッシュ値を、検証ハードウェア３１５に出力する。
【００９１】
検証ハードウェア３１５は、ステップＳ１５０２で生成されたハッシュ値とステップＳ１５０３で生成されたハッシュ値とが一致するかどうかを判定する（ステップＳ１５０４）。一致しない場合（ステップＳ１５０４：Ｎｏ）、電子証明書１１０１が改ざんされているおそれがあるため、更新処理をおこなわず、一連の処理を終了する。
【００９２】
一方、一致する場合（ステップＳ１５０４：Ｙｅｓ）は、電子証明書１１０１が改ざんされておらず、正当であることを認証する（ステップＳ１５０５）。そして、ユーザの現在の電子証明書から、正当であると認証された電子証明書１１０１への更新処理をおこなう（ステップＳ１５０６）。
【００９３】
これにより、有効期限が経過したユーザの電子証明書を、安全かつ速やかに更新することができる。
【００９４】
（登録情報を書き込む場合の通信認証処理手順）
つぎに、登録情報を書き込む場合の通信認証処理手順について説明する。第１６図は、登録情報を書き込む場合の通信認証処理手順を示すフローチャートである。
【００９５】
第１６図において、まず、通信認証ハードウェア３１１は、通信Ｉ／Ｆ２０９を介して、電子登録指示書を提供する提供元の電子証明書、および当該電子証明書の認証局による電子署名を入力する（ステップＳ１６０１）。第１７図は、ステップＳ１６０１によって入力される入力情報を示す説明図である。第１７図において、入力情報１７００は、電子登録指示書を提供する提供元の電子証明書１７０１と、当該電子証明書１７０１の認証局による電子署名１７０２とを含んでいる。電子署名１７０２は、電子証明書１７０１のハッシュ値１７０３を、電子登録指示書を提供する提供元の秘密鍵で暗号化した電子署名である。
【００９６】
第１６図において、通信認証ハードウェア３１１は、電子証明書１７０１の中から、当該電子証明書１７０１を発行した認証局名を抽出し、発行元の認証局を特定する（ステップＳ１６０２）。
【００９７】
通信認証ハードウェア３１１は、特定された認証局を装置内情報認証ハードウェア３１３に出力する。装置内情報認証ハードウェア３１３では、メモリ／ストレージ３００に暗号化されて記憶されている電子証明書の中から、通信認証ハードウェア３１１で特定された認証局の電子証明書を抽出する。そして、この抽出された電子証明書を、装置内情報認証ハードウェア３１３の復号鍵で復号して、特定された認証局の公開鍵を取得する（ステップＳ１６０３）。この公開鍵が取得できたということは、メモリ／ストレージ３００内の情報が改ざんされていないということであり、安全であることが認証されたこととなる。
【００９８】
取得した認証局の公開鍵は、通信認証ハードウェア３１１に出力される。通信認証ハードウェア３１１では、取得した認証局の公開鍵で、認証局の電子署名１７０２を復号して、ハッシュ値を生成する（ステップＳ１６０４）。つぎに、通信認証ハードウェア３１１は、入力された提供元の電子証明書１７０１のメッセージダイジェスト（ハッシュ値）を生成する（ステップＳ１６０５）。
【００９９】
そして、通信認証ハードウェア３１１は、ステップＳ１６０４で生成されたハッシュ値とステップＳ１６０５で生成されたハッシュ値とが一致するかどうかを判定する（ステップＳ１６０６）。一致する場合（ステップＳ１６０６：Ｙｅｓ）は、認証局との通信の安全性が認証されたこととなり（ステップＳ１６０７）、安全性の高い通信路が生成されたことになる。一方、一致しなかった場合（ステップＳ１６０６：Ｎｏ）、認証局との通信の安全性が認証されず、通信をおこなうことができない。
【０１００】
（登録情報の書き込み処理手順）
つぎに、登録情報の書き込み処理手順について説明する。第１８図は、登録情報の書き込み処理手順を示すフローチャートである。第１８図において、まずユーザが指定した生体センサ２１１のセンサ種情報を取得する（ステップＳ１８０１）。そして、第１６図に示した通信認証処理手順において、通信の安全性が認証されている場合（ステップＳ１８０２：Ｙｅｓ）、提供元から、通信Ｉ／Ｆ２０９を介して登録指示情報を入力する（ステップＳ１８０３）。
【０１０１】
ここで、登録指示情報について説明する。第１９図は、登録指示情報を示す説明図である。第１９図において、登録指示情報１９００は、電子登録指示書１９０１と、提供元（電子証明書１７０１の提供元）の電子署名１９０２とを含んでいる。
【０１０２】
電子登録指示書１９０１は、ユーザが指定した生体センサ２１１によって検出される生体情報を登録する旨の指示に関するデータであり、提供者名と、ユーザの情報処理装置１０１で利用可能な生体センサ２１１のセンサ種情報とが記述されている。また、提供元の電子署名１９０２は、電子登録指示書１９０１のハッシュ値１９０３を、提供元の秘密鍵によって暗号化した電子署名である。
【０１０３】
また、第１８図において、監視ハードウェア３１４は、電子登録指示書１９０１の中に、ステップＳ１８０１にて取得したセンサ種情報が含まれているか否かを判定する（ステップＳ１８０４）。取得したセンサ種情報が含まれていない場合（ステップＳ１８０４：Ｎｏ）、ユーザが使用したい生体センサ２１１が利用できないため、一連の処理を終了する。
【０１０４】
一方、取得したセンサ種情報が含まれている場合（ステップＳ１８０４：Ｙｅｓ）、監視ハードウェア３１４は、電子登録指示書１９０１の提供元の公開鍵を取得する（ステップＳ１８０５）。具体的には、監視ハードウェア３１４は、装置内情報認証ハードウェア３１３に対して、電子登録指示書１９０１の提供元の公開鍵を取得要求する。装置内情報認証ハードウェア３１３は、メモリ／ストレージ３００に暗号化されて記憶されている電子証明書の中から、電子登録指示書１９０１の提供元の電子証明書を抽出する。
【０１０５】
そして、装置内情報認証ハードウェア３１３の復号鍵で、抽出された電子証明書を復号し、復号された電子証明書の中から公開鍵を抽出する。この抽出された公開鍵を監視ハードウェア３１４に供給することで、監視ハードウェア３１４は、電子登録指示書１９０１の提供元の公開鍵を取得することができる。
【０１０６】
つぎに、監視ハードウェア３１４は、取得した提供元の公開鍵で、提供元の電子署名を復号してハッシュ値を生成する（ステップＳ１８０６）。また、監視ハードウェア３１４は、電子登録指示書１９０１のメッセージダイジェスト（ハッシュ値）を生成する（ステップＳ１８０７）。そして、監視ハードウェア３１４は、ステップＳ１８０６で生成されたハッシュ値とステップＳ１８０７で生成されたハッシュ値を、検証ハードウェア３１５に出力する。
【０１０７】
検証ハードウェア３１５は、ステップＳ１８０６で生成されたハッシュ値とステップＳ１８０７で生成されたハッシュ値とが一致するかどうかを判定する（ステップＳ１８０８）。一致しない場合（ステップＳ１８０８：Ｎｏ）、電子登録指示書１９０１が改ざんされているおそれがあるため、登録処理をおこなわず、一連の処理を終了する。
【０１０８】
一方、一致する場合（ステップＳ１８０８：Ｙｅｓ）、検証ハードウェア３１５は、生体認証ハードウェア３１２に、生体情報の登録処理を指示する（ステップＳ１８０９）。このとき、情報処理装置１０１は、生体情報の入力を待ち受けている。
【０１０９】
そして、ユーザが指定した生体センサ２１１から生体情報が入力された場合（ステップＳ１８１０：Ｙｅｓ）、ユーザ名（登録者名）、センサ種情報（たとえば、指紋センサなど）、生体情報（たとえば、ユーザの指紋画像データ）からなる登録情報を、メモリ／ストレージ３００に書き込む（ステップＳ１８１１）。この書き込み処理は、生体認証ハードウェア３１２を介して、装置内情報認証ハードウェア３１３が、登録情報を暗号化して、メモリ／ストレージ３００に記憶する。これにより、ユーザの登録情報を、安全かつ速やかにおこなうことができる。
【０１１０】
（セキュリティチップ２１５による通常の動作処理手順）
つぎに、セキュリティチップ２１５による通常の動作処理手順について説明する。第２０図は、セキュリティチップ２１５による通常の動作処理手順を示すフローチャートである。第２０図において、生体センサ２１１によって検出された生体情報が入力された場合（ステップＳ２００１：Ｙｅｓ）、装置内情報認証ハードウェア３１３は、メモリ／ストレージ３００から暗号化された登録情報を抽出し、復号鍵で復号する（ステップＳ２００２）。
【０１１１】
そして、生体認証ハードウェア３１２では、入力された生体情報と、復号された生体情報とを照合する。生体情報が一致しない場合（ステップＳ２００３：Ｎｏ）、アクセス拒否となり、一連の処理を終了する。一方、生体情報が一致した場合（ステップＳ２００３：Ｙｅｓ）、通信認証ハードウェア３１１は、環境認証をおこなう送信先との通信認証をおこなう（ステップＳ２００４）。
【０１１２】
通信の安全性が認証されない場合（ステップＳ２００５：Ｎｏ）、改ざんの危険性があるため、一連の処理を終了する。一方、通信の安全性が認証された場合（ステップＳ２００５：Ｙｅｓ）、装置内情報認証ハードウェア３１３は、周辺機器３０２、ソフトウェア３０１、各ハードウェアの実行プログラムの装置内情報を収集し（ステップＳ２００６）、環境レポートを生成する（ステップＳ２００７）。
【０１１３】
そして、装置内情報認証ハードウェア３１３は、環境レポートを暗号化し（ステップＳ２００８）、この暗号化された環境レポートに電子署名を添付して送信先に送信する（ステップＳ２００９）。送信先では、この環境レポートを受信、復号して、環境認証に用いることができる。
【０１１４】
このように、通信認証ハードウェア３１１、生体認証ハードウェア３１２および装置内情報認証ハードウェア３１３は、元々異なる目的で用いられる認証機能であるため、それぞれの処理を実行するプログラムやデータについての更新頻度、更新量、更新方法が異なる。
【０１１５】
しかしながら、この実施の形態によれば、通信認証ハードウェア３１１、生体認証ハードウェア３１２および装置内情報認証ハードウェア３１３を単一のセキュリティチップ２１５に内蔵し、更新情報や登録指示情報の入力を通信認証ハードウェア３１１によって形成される安全な暗号路に一本化し、監視ハードウェア３１４（常駐プログラム３２４）によって、更新対象となるハードウェアを分別している。
【０１１６】
したがって、各ハードウェア間における相互認証が不要となり、安全かつ速やかな更新処理を実現することができる。通信認証ハードウェア３１１、生体認証ハードウェア３１２および装置内情報認証ハードウェア３１３を単一のセキュリティチップ２１５に内蔵していても、プログラムを更新する場合、セキュリティチップ２１５を作り替える必要がないため、ユーザの利便性の向上を図ることができる。
【０１１７】
また、監視ハードウェア３１４や検証ハードウェア３１５であつかうデータであるパッチ、電子証明書、電子登録指示書、電子署名は、比較的データ量の小さいデータであり、処理内容も電子署名の復号処理や、ハッシュ値の一致検証など比較的簡単な処理であるため、低コストで実現することができる。
【０１１８】
以上説明したように、この発明によれば、生体認証、通信認証（本人（ＰＫＩ）認証）、および装置内情報認証（環境認証）におけるプログラムおよびデータの更新を、柔軟かつ厳密に実行可能とすることにより、安全性の向上を図ることができるという効果を奏する。
【産業上の利用可能性】
【０１１９】
以上のように本発明は、パーソナルコンピュータ、サーバコンピュータ、および携帯電話機のほか、冷蔵庫、電子レンジ、エアコン、ＴＶ、ＤＶＤ等の家電機器、コピー機、さらにはロボットに実装することに適している。
【符号の説明】
【０１２０】
１００  情報管理システム
１０１  情報処理装置
１０２  情報提供装置
１０３  認証装置
２１５  セキュリティチップ
３００  ストレージ
３０１  ソフトウェア
３１１  通信認証ハードウェア
３１２  生体認証ハードウェア
３１３  装置内情報認証ハードウェア
３１４  監視ハードウェア
３１５  検証ハードウェア
【図１】
0004724655.tif 000002
【図２】
0004724655.tif 000003
【図３】
0004724655.tif 000004
【図４】
0004724655.tif 000005
【図５】
0004724655.tif 000006
【図６】
0004724655.tif 000007
【図７】
0004724655.tif 000008
【図８】
0004724655.tif 000009
【図９】
0004724655.tif 000010
【図１０】
0004724655.tif 000011
【図１１】
0004724655.tif 000012
【図１２】
0004724655.tif 000013
【図１３】
0004724655.tif 000014
【図１４】
0004724655.tif 000015
【図１５】
0004724655.tif 000016
【図１６】
0004724655.tif 000017
【図１７】
0004724655.tif 000018
【図１８】
0004724655.tif 000019
【図１９】
0004724655.tif 000020
【図２０】
0004724655.tif 000021