(57)【特許請求の範囲】
【請求項１】
コンピュータ・ネットワークを介して遠隔的に構成することができる、前記コンピュータ・ネットワーク上のコンピュータ・システムであって、
システムインストールＰＡＰを不揮発性メモリ内の第１の場所に記憶する手段と、
前記コンピュータ・ネットワークを介して供給されたネットワーク供給ＰＡＰを前記不揮発性メモリ内の第２の場所に記憶する手段と、
前記ネットワーク供給ＰＡＰに応答して前記コンピュータ・システムを停止し、前記停止に引き続いてブートアップ・オペレーションを実行する手段と、
前記コンピュータ・システムのブートアップ・オペレーションの間に前記ネットワーク供給ＰＡＰに応答して、前記ネットワーク供給ＰＡＰを前記システムインストールＰＡＰと比較する手段と、
前記ネットワーク供給ＰＡＰが前記システムインストールＰＡＰにマッチしないときに前記コンピュータ・システム内に不正立証機構をセットする手段と、
前記ネットワーク供給ＰＡＰが前記システムインストールＰＡＰとマッチするときに、前記ブートアップ・オペレーションを続行する手段と、
前記ブートアップ・オペレーションの完了後、前記コンピュータ・システムの構成を前記コンピュータ・ネットワークを介して遠隔的に実行することを可能にする手段と
を含むコンピュータ・システム。
【請求項２】
前記システムインストールＰＡＰが、前記コンピュータ・システムに対応するキーボードを介して事前に入力される、請求項１記載のコンピュータ・システム。
【請求項３】
前記第ネットワーク供給ＰＡＰが、ネットワーク・メッセージを介して前記コンピュータ・システムに供給される、請求項１記載のコンピュータ・システム。
【請求項４】
前記不正立証機構をセットする手段が、前記コンピュータを停止する手段を含む、請求項１記載のコンピュータ・システム。
【請求項５】
前記ネットワーク供給ＰＡＰを前記不揮発性メモリ内の第２の場所に記憶した後に前記コンピュータ・システムのオペレーティング・システムをシャットダウンしてＢＩＯＳフラッシュ・ユーティリティに制御を移す手段を含む請求項１記載のコンピュータ・システム。
【請求項６】
前記コンピュータ・ネットワークを介して前記ネットワーク供給ＰＡＰと一緒に供給されたロック機構識別情報フィールドを前記不揮発性メモリに記憶する手段を含む請求項１記載のコンピュータ・システム。
【請求項７】
前記不正立証機構をセットする手段が、前記ネットワーク供給ＰＡＰ及び前記ロック機構識別情報フィールドを消去する手段を含む請求項６記載のコンピュータ・システム。
【請求項８】
前記ブートアップ・オペレーションを続行する手段が、前記ブートアップ・オペレーションを経る１回だけのパスにおいて前記ロック機構識別情報フィールドの選択されたビットに対応する前記不揮発性メモリの区域を非ロック状態にするため前記ネットワーク供給ＰＡＰ及び前記ロック機構識別情報フィールドを消去する手段を含む請求項６記載のコンピュータ・システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、一般にデータ処理の方法およびシステムに関し、特に、コンピュータ上でシステム・セキュリティを提供する方法およびシステムに関する。さらに具体的には、本発明は、コンピュータの遠隔構成を許すことができるよう、コンピュータ・ネットワーク上のコンピュータにセキュリティを提供する方法に関する。
【０００２】
【従来の技術】
概して、パーソナル・コンピュータは、多くの方法で、また種々のスキームの使用によって互いに接続されてコンピュータ・ネットワークを形成することができる。一部のコンピュータ・ネットワークでは、パーソナル・コンピュータは、本質的に、通常はメインフレームとして知られる、大きなデータベースを提供するように働き、アプリケーション・プログラムの常駐場所として働くより強力なホスト・コンピュータと通信するための「不能」端末として使用される。他のコンピュータ・ネットワークでは、パーソナル・コンピュータは、アプリケーション・プログラムおよびときにはデータを中央ファイル・サーバ（大容量の直接アクセス記憶装置を備え、比較的速いデータ回収速度で作動することができる別のパーソナル・コンピュータであってもよい）から取得し、データ入力を操作または受信し、データをファイル・サーバに戻す「知的」端末として使用される。さらに他のコンピュータ・ネットワークでは、パーソナル・コンピュータのグループが、コンピュータ・ネットワーク内の一つ以上のパーソナル・コンピュータに利用可能である周辺装置、たとえばプリンタ、スキャナ、モデムなどを含むグループ・リソースならびにそれぞれがリソース共用パーソナル・コンピュータの１台とより直接的に対応する種々の直接アクセス記憶装置に位置するアプリケーション・プログラムまたはデータ・ファイルを共用することができる。このタイプのコンピュータ・ネットワーク構成は通常、ローカル・エリア・ネットワーク（ＬＡＮ）として公知である。
【０００３】
【発明が解決しようとする課題】
コンピュータ・ネットワークはソフトウェア更新および資産管理をより効率的に実行することを可能にするが、コンピュータ・ネットワークから恩恵を受けていない一つの分野が構成管理である。コンピュータ・ネットワーク内の個々のコンピュータに対する遠隔構成更新を妨げる問題の一部は、一部の更新が物理的動作を要するという事実にある。これらの更新は、アダプタ・カードを入出力チャネルに加えたり、さらなるメモリをローカル・メモリ・バスにインストールしたりすることを含む。しかし、他の構成動作、たとえばＤＭＡチャネル利用を変更したり、入出力アドレス空間を割り当てたり、割り込みレベルを割り当てたりすることは、遠隔ネットワーク管理点で実行することもできる。唯一の問題は、コンピュータ・ネットワーク内のパーソナル・コンピュータの構成を規制なしで遠隔的に変更することを許すならば、コンピュータ・ネットワークのセキュリティが犠牲になるおそれがあるということである。本開示は、コンピュータ・ネットワーク内のパーソナル・コンピュータに対する遠隔構成を許す前にネットワーク・セキュリティを保証する方法を提供する。
【０００４】
【課題を解決するための手段】
本発明は、コンピュータの遠隔構成を許すためにコンピュータ・ネットワーク上のコンピュータにセキュリティを提供する。本発明の好ましい実施態様にしたがって、コンピュータのシステム・ブートアップ・オペレーションの間にネットワーク供給特権アクセス・パスワード（ＰＡＰ）に遭遇すると、そのネットワーク供給ＰＡＰをシステムインストールＰＡＰと比較する。ネットワーク供給ＰＡＰは、コンピュータの不揮発性メモリの第一の場所に記憶され、システムインストールＰＡＰは、コンピュータの不揮発性メモリの第二の場所に記憶される。システムインストールＰＡＰは、コンピュータのキーボートを介して事前にコンピュータに入力される。ネットワーク供給ＰＡＰがシステムインストールＰＡＰとマッチしないならば、コンピュータ内に不正立証機構(tamper evident mechanism)をセットする。そうではなく、ネットワーク供給ＰＡＰがシステムインストールＰＡＰとマッチするならば、ブートアップ・オペレーションを続行する。ブートアップ・オペレーションが完了したのち、コンピュータの構成を、コンピュータ・ネットワークを介して遠隔的に実行することができる。
【０００５】
本発明のすべての目的、特徴および利点は、以下の詳細な記述で明らかになるであろう。
【０００６】
本発明そのものならびにその好ましい使用形態、さらなる目的および利点は、添付図面と併せて読まれる例示的な実施態様の以下の詳細な説明を参照することによって明確に理解されるであろう。
【０００７】
【発明の実施の形態】
本発明は、多数の異なるオペレーティング・システムの下、多様な分散コンピューティング・ネットワーク、たとえばローカル・エリア・ネットワーク（ＬＡＮ）またはワイド・エリア・ネットワーク（ＷＡＮ）に応用することができる。分散コンピューティング・ネットワーク内のコンピュータは、パーソナル・コンピュータ、ミッドレンジ・コンピュータまたはメインフレーム・コンピュータであることができる。
【０００８】
Ｉ．概観
本発明によると、コンピュータ・ネットワークに接続されたパーソナル・コンピュータ・システムをコンピュータ・ネットワークを介して遠隔構成する前に、そのパーソナル・コンピュータ・システムのセキュリティを保証する。パーソナル・コンピュータ・システムは、二つの異なるパスワード、すなわち特権アクセス・パスワード（Privileged-Access Password；ＰＡＰ）およびパワーオン・パスワード（Power-On Password；ＰＯＰ）によって保護される。これら二つのパスワードは、互いに独立して使用されることを意図する。ＰＯＰは、パーソナル・コンピュータ・システムに対する無認可アクセスを防ぐために使用される。ＰＡＰは、ＩＰＬ装置ブート・リスト、パスワード・ユーティリティおよびシステム参照ディスケット・イメージに対するアクセスを保護することにより、パーソナル・コンピュータ・システムに対する無認可アクセスからシステム所有者をさらに保護するように設計されている。ＰＡＰの存在は、ＰＯＰを使用する正規ユーザにとっては透過的である。ＰＡＰは、システム参照ディスケット・イメージ上のユーティリティによってインストール、変更または削除することができる。ＰＡＰは、正しくセットされ、入力されると、ＰＯＰを打ち消して、全コンピュータ・システムに対する完全なアクセスをユーザに与える。
【０００９】
本発明の説明を容易にするため、特定の術語を次のように定義する。
【００１０】
システム所有者
システム所有者とは、パーソナル・コンピュータ・システムを構成し、保安(secured)モードに配する責任を負う認可ユーザまたは正規ユーザである。システム所有者は、はじめに、また構成更新を実施しなければならないたび、システム構成を管理する。システム所有者はまた、ＰＡＰを管理し、ＰＡＰの完全性を維持する責任を負う。システム所有者は、不正立証カバー施錠キーの物理的セキュリティを維持する。システム所有者は、パーソナル・コンピュータ・システム上にセキュリティ・ログを維持する責任を負う。システム所有者は、試みられたすべてのセキュリティ違反を記録しなければならない。システム所有者は、２台以上のパーソナル・コンピュータ・システムを所有してもよい。
【００１１】
認可ユーザ
ＰＡＰを使用する許可を与えられたユーザ。この人物は、システム所有者であってもなくてもよい。この人物はまた、特定のパーソナル・コンピュータ・システムまたはパーソナル・コンピュータ・システムのセットのためのキーを有することができる。この人物はまた、パーソナル・コンピュータ・システムをセキュリティ違反から回復することに関与するならば、セキュリティ違反をシステム所有者に報告する責任を負う。認可ユーザは、正規ユーザであってもよい。
【００１２】
正規ユーザ
システム施設の使用を認められたパーソナル・コンピュータ・システムのユーザ。パーソナル・コンピュータ・システムの構成を変更したり、問題を解決したりするため、正規ユーザは、システム所有者または認可ユーザの支援を要する。正規ユーザは、同時に認可ユーザまたはシステム所有者でない限り、ＰＡＰまたは不正立証カバー施錠キーを有しない。
【００１３】
無認可ユーザ
無認可ユーザとは、システム所有者、認可ユーザまたは正規ユーザとして定義されない人物である。不成功なパワーオン以外、無認可ユーザによる保安パーソナル・コンピュータ・システムの使用はセキュリティ違反とみなされ、そのような違反を示す監査証跡が存在しなければならない。
【００１４】
保安モード
システム所有者がＰＡＰをパーソナル・コンピュータ・システム上に正常にインストールして、セキュリティおよび完全性要素によって提供されるセキュリティ保護を呼び出したとき。
【００１５】
ＥＥＰＲＯＭ
ＥＥＰＲＯＭとは、電気的に消去可能なプログラマブル読み取り専用メモリの略号である。このタイプのメモリ技術は、ハードウェア論理の制御の下で変更することができるデータの不揮発性記憶を提供する。ＥＥＰＲＯＭ内に記憶された内容は、電力がなくなっても完全なまま残る。ＥＥＰＲＯＭ内に記憶された内容は、ＥＥＰＲＯＭにおける適切な制御信号が所定のシーケンスで起動される場合のみ、変更することができる。
【００１６】
コンピュータ・ネットワークを介する遠隔構成を可能にするために、保安コンピュータ・ネットワーク内のパーソナル・コンピュータ・システムは、ＰＡＰを受諾することができ、ネットワーク・コマンドを受けしだいシステム・パワーオフを実行することができ、時間（たとえばインターバル・タイマまたは時刻に基づくアラームを使用）、呼び出し表示(ring indicator)付きモデムまたは受信ＬＡＮメッセージ機構（たとえばＬＡＮ上ウェイクアップ能力を有するＬＡＮアダプタを使用）に基づいてセルフ・パワーアップを提供することができなければならない。ニューヨーク州ArmonkのInternational  Business  Machines（ＩＢＭ）社によって製造されるすべてのパーソナル・コンピュータ・システムおよびいわゆるＩＢＭ互換機である他のコンピュータ・システムを含む大部分のパーソナル・コンピュータ・システムは、リアルタイム・クロック（ＲＴＣ）として知られる装置を含む。ＲＴＣは、クロック、アラーム・クロックおよびバッテリバックアップ式記憶装置を含む。ＲＴＣで供給されるアラーム・クロックは、ＲＴＣから電源までの正しいハードウェア接続によってコンピュータ・システムをパワーアップするために使用することができる。同様に、インターバル・タイマ、呼び出し表示検出または受信ＬＡＮウェイクアップ・メッセージは、アラーム・クロックと同じパワーオン能力を提供するため、外部ハードウェア論理を提供されることができる。
【００１７】
ここで図面、特に図１を参照すると、本発明の好ましい実施態様を実現することができるコンピュータ・ネットワークの絵画図が示されている。図示するように、コンピュータ・ネットワーク１０は、それぞれが複数のコンピュータ１２および１４を含むいくつかのローカ・エリア・ネットワーク（ＬＡＮ）、たとえばＬＡＮ１１および１３を含む。コンピュータ１２、１４のいくつかまたは全部はパーソナル・コンピュータである。加えて、各コンピュータ１２および１４は、ＥＥＰＲＯＭ（図示せず）を含むことが好ましい。コンピュータ１２、１４のいくつかは、出力装置、たとえばプリンタ１６に接続されていてもよい。
【００１８】
加えて、コンピュータ・ネットワーク１０は、いくつかのメインフレーム・コンピュータ、たとえばメインフレーム・コンピュータ１８およびメインフレーム・コンピュータ１９を含むこともできる。メインフレーム・コンピュータ１８は、通信リンク１５によってＬＡＮ１１に結合されている。ＬＡＮ１３は、ゲートウェイ・サーバ１７および通信制御装置として働くメインフレーム・コンピュータ１９を介してＬＡＮ１１に結合されている。
【００１９】
II．特権アクセス・パスワード（ＰＡＰ）の説明
すでに述べたように、ＰＡＰは、ＩＰＬ装置ブート・リスト、パスワード・ユーティリティおよびシステム参照ディスケット上もしくはハード・ドライブのシステム区画中のシステム参照ディスケット・イメージへのアクセスを保護することにより、パーソナル・コンピュータのシステム所有者にシステム・セキュリティを提供するように設計されている。一般に、ハードディスクのシステム区画中のシステム参照ディスケット・イメージをブートすることを、システム区画をブートするという。システム区画は、ＰＡＰがインストールされていないか、ＰＡＰがパワーオン・シーケンス中にはじめて入力されたか、ＰＡＰが以下に記載するネットワーク・エントリ手続きを経て入力された場合のみ、パワーオン・セルフ・テスト（ＰＯＳＴ）エラーに応答してブートされる。ＰＡＰがＰＡＰネットワーク・エントリ手続きを経て入力される場合、ディスケット・ドライブがＩＰＬ装置ブート・リストに含まれていない限り、ディスケット・ドライブからの初期ＢＩＯＳロード（ＩＢＬ）は許可されない。また、ＰＡＰがネットワーク・エントリ手続きを経て入力される場合、ＰＡＰ保守オペレーションは許可されない。
【００２０】
ＰＡＰは、パーソナル・コンピュータ・システムのキーボードを介して手作業で入力される場合のみ、システム参照ディスケット・イメージ上のソフトウェア・ユーティリティによってインストール、変更または削除することができる。コンピュータ・ネットワークを介してＰＡＰを入力するために、パーソナル・コンピュータは、ネットワーク供給ＰＡＰを記憶するための不揮発性メモリ、不揮発性メモリ内の、ネットワーク供給ＰＡＰが記憶される区域のための読み書き保護機構、パーソナル・コンピュータ・システムにおけるセルフ・パワーオフ能力、以下の少なくとも一つ、すなわち指定期間、タイマ、アラーム、呼び出し表示時ウェイクアップまたはＬＡＮメッセージ受信時ウェイクアップに基づくセルフ・パワーアップ能力、パワーオフ状態からの次のパワーオンにおけるＰＯＳＴの完了時に非ロック状態に残しておくべき所望のロック機構を識別する情報を含むロック機構識別情報フィールドを含むための不揮発性メモリ中の少なくとも１個のバイトならびにロック機構識別情報フィールドを含む不揮発性メモリのための読み取り専用保護機構を備えていることが好ましい。
【００２１】
好ましくは、不揮発性メモリは、各パーソナル・コンピュータ・システムに含まれるＥＥＰＲＯＭである。加えて、ロック機構識別情報フィールドは多数のビットを含み、それらの各ビットが、ロック機構を適用することができるパーソナル・コンピュータの異なる区域を表す。たとえば、ロック機構識別情報フィールドの第一のビットがＥＥＰＲＯＭ内の第一の区域を表すことができ、ロック機構識別情報フィールドの第二のビットがＥＥＰＲＯＭ内の第二の区域を表すことができ、ロック機構識別情報フィールドの第三のビットがブート・リスト区域を表すことができるなどである。ロック機構識別情報フィールド内のある特定のビットがセットされる（すなわち論理「１」）ならば、ネットワーク供給ＰＡＰがシステムインストールＰＡＰとマッチするならば、対応する区域は、パワーオフ状態からの次のパワーオンでＰＯＳＴの完了時に非ロック状態に残される。ひとたび起動されると、読み書き保護機構は、パーソナル・コンピュータ・システムをパワーオフすることでしかリセットすることはできない。
【００２２】
III．クライアント・サービス・ソフトウェア
本発明の好ましい実施態様として、クライアント・サービス・ソフトウェアは、ネットワーク・サーバによってコンピュータ・ネットワーク内のパーソナル・コンピュータ・システムに送信されるネットワーク・メッセージを認識するように改良された小さなアプリケーション・ソフトウェア・ユーティリティまたはネットワーク装置ドライバである。加えて、ネットワーク・メッセージは、ネットワーク供給ＰＡＰおよびロック機構識別情報フィールドを含むことが好ましい。
【００２３】
次に図２を参照すると、本発明の好ましい実施態様にしたがってクライアント・サービス・ソフトウェアによって実行される種々のオペレーションの高レベル論理流れ図が示されている。ブロック２０で出発して、クライアント・サービス・ソフトウェアは、ブロック２１、２２で示すように、すべてのネットワーク・メッセージをモニタして、ネットワーク供給ＰＡＰを含むメッセージを捜す。ひとたびネットワーク供給ＰＡＰを含むネットワーク・メッセージを受けると、クライアント・サービス・ソフトウェアは、ブロック２３で示すように、受信したネットワーク・メッセージからネットワーク供給ＰＡＰおよびロック機構識別情報フィールドを開封する。そして、クライアント・サービス・ソフトウェアは、ブロック２４で示すように、ネットワーク供給ＰＡＰおよびロック機構識別情報フィールドを、パーソナル・コンピュータ・システムの不揮発性メモリ内の指定区域に記憶する。さらに、クライアント・サービス・ソフトウェアは、ブロック２５で示すように、不揮発性メモリをロックして、不揮発性メモリをロック解除することができる次のパワーアップまでいかなるアクセスをも防ぐ。続いて、クライアント・サービス・ソフトウェアは、パーソナル・コンピュータ・システムの現在の状態を保存することを可能にするオペレーティング・システムの落とし戸を呼び出す。現在の環境から落とし戸環境までの移行中、オペレーティング・システムは、ブロック２６で示すように、落とし戸が呼び出される前にすべての活動中の入出力オペレーション、たとえばディスク書き込みが完了していることを保証する。これは、ひとたびＢＩＯＳフラッシュ更新を実行したならば、パーソナル・コンピュータ・システムの状態を復元することができるように実施される。ブロック２７で示すように、パーソナル・コンピュータ・システム内のプロセッサのリアル・モードで実際に実行するオペレーティング・システム、たとえばＰＣ／ＤＯＳをブートする。ひとたび落とし戸が呼び出されると、ＢＩＯＳフラッシュ・ユーティリティがロードされ、実行される。この時点で、ブロック２８で示すように、制御をＢＩＯＳフラッシュ・ユーティリティに移す。
【００２４】
IV．ＢＩＯＳフラッシュ・ユーティリティ
次に図３を参照すると、本発明の好ましい実施態様にしたがってＢＩＯＳフラッシュ・ユーティリティによって実行される種々のオペレーションの高レベル論理流れ図が示されている。ブロック３０で出発して、ＢＩＯＳフラッシュ・ユーティリティは、ブロック３１で示すように、ＢＩＯＳインタフェースを使用して、パーソナル・コンピュータ・システムのパワーオフに備えて、パーソナル・コンピュータ・システム内のウェイクアップ機構をセットアップする。たとえば、パーソナル・コンピュータ・システムがタイマ上にウェイクアップ機構を有するならば、ＢＩＯＳフラッシュ・ユーティリティは、所定の量の時間をウェイクアップ時間として現在時の値に加算し、たとえば供給されるＢＩＯＳインタフェースを使用して、ウェイクアップ時間をウェイクアップ・アラームに書き込む。そうではなく、パーソナル・コンピュータ・システムが時間間隔でウェイクアップ機構を有するならば、ＢＩＯＳフラッシュ・ユーティリティは、たとえば供給されるＢＩＯＳインタフェースを同じく使用して、タイマを指定の時間にセットする。同様に、供給されるＢＩＯＳインタフェースを使用して、呼び出し表示時ウェイクアップまたはＬＡＮメッセージ受信時ウェイクアップ機構を動作可能にすることもできる。そして、ＢＩＯＳフラッシュ・ユーティリティは、ブロック３２で示すように、供給されたＢＩＯＳインタフェースを使用して、パーソナル・コンピュータ・システムをパワーオフする。
【００２５】
パーソナル・コンピュータ・システムがシャットダウンされ、再起動されたのち、通常のコールド・パワーアップ手続きがＰＯＳＴによって実行される。この時点で、ＰＯＳＴがネットワーク供給ＰＡＰの存在を認識するならば、ＰＯＳＴは、ブロック３３で示すように、必要な妥当性チェックを実行する。妥当性チェックの詳細は、図４でさらに説明する。ＰＯＳＴが必要な妥当性チェックを完了したのち、ブロック３４で示すように、ＢＩＯＳフラッシュ・ユーティリティを、ネットワーク・サーバからパーソナル・コンピュータ・システムにダウンロードするか、オペレーティング・システムによってローカル・ディスク・ドライブ（あるならば）からロードすることができる。すると、ＢＩＯＳフラッシュ・ユーティリティは、ブロック３５で示すように、その特定のパーソナル・コンピュータ・システムに適切なＢＩＯＳイメージをネットワーク・サーバまたはローカル・ディスク・ドライブ（あるならば）から要求し、更新を実行する。ＢＩＯＳフラッシュ・ユーティリティは、ブロック３６で示すように、フラッシュ・オペレーションを実行する。ＢＩＯＳフラッシュ・ユーティリティは、ブロック３７で示すように、供給されたＢＩＯＳインタフェースを使用してＢＩＯＳフラッシュ保護機構を起動したのち、パーソナル・コンピュータ・システムにパワーオフを指示する。この時点で、パーソナル・コンピュータは、ブロック３８で示すように、コンピュータ・ネットワークを介してネットワーク管理者によって遠隔構成される用意ができる。そして、ブロック３９で示すように、新たなフラッシュ・イメージをただちに有効にすべきかどうかに関して決定を下す。システム所有者が新たなフラッシュ・イメージをただちに有効にすることを望むならば、ブロック５２で示すように、ウェイクアップ機構を動作可能にし、ブロック５３で示すように、パーソナル・コンピュータ・システムをパワーオフすることができる。そうではなく、新たなフラッシュ・イメージをただちに有効にする必要がないならば、プロセスは完了する。
【００２６】
Ｖ．パワーオン・セルフ・テスト（ＰＯＳＴ）
ＰＯＳＴは、保安コンピュータ・システムの完全性を維持するのに必須の役割を演じる。たとえば、ＰＡＰのキーボード入力はＰＯＳＴによって制御される。ＰＯＳＴは、ネットワーク供給ＰＡＰの存在を認識することができるように改良されている。次に図４を参照すると、本発明の好ましい実施態様にしたがってＰＯＳＴによって実行される種々のオペレーションの高レベル論理流れ図が示されている。ブロック４０で示すように、パーソナル・コンピュータ・システムが再起動され、パワーアップされたのち、ＰＯＳＴは、ブロック４１で示すように、その通常のコールド・パワーアップ手続きを経る。続いて、ブロック４２で示すように、ＰＡＰのキーボード入力が必要であるかどうかに関して判断を下す。ＰＡＰのキーボード入力が必要であるならば、ＰＯＳＴは、ブロック４３で示すように、ユーザからパスワードを催促し、ブロック４４で示すように、その通常のコールド・パワーアップ手続きを続行する。しかし、ＰＡＰのキーボード入力が必要ないならば、ブロック４５で示すように、ネットワーク供給ＰＡＰが現在、不揮発性メモリに記憶されているかどうかに関してもう一つの決定を下す。ネットワーク供給ＰＡＰが現在、不揮発性メモリに記憶されていないならば、ＰＯＳＴは、ブロック４４で示すように、その通常のコールド・パワーアップ手続きを続行する。そうではなく、ネットワーク供給ＰＡＰが現在、不揮発性メモリに記憶されているならば、ＰＯＳＴは、ブロック４６で示すように、妥当性チェックとして、ネットワーク供給ＰＡＰをシステムインストールＰＡＰと比較する。システムインストールＰＡＰは、不揮発性メモリ内の、ネットワーク供給ＰＡＰとは異なる保護された場所に記憶されることが好ましい。
【００２７】
ネットワーク供給ＰＡＰがシステムインストールＰＡＰとマッチしないならば、ＰＯＳＴは、ブロック４７で示すように、不正立証プロセスを呼び出す。ひとたびこれらのプロセスが呼び出されると、ネットワーク供給ＰＡＰおよびロック機構識別情報フィールドを不揮発性メモリから消去し、ブロック４８で示すように、ネットワーク不正フィールドをセットして不正立証プロセスの起動の原因を示す。不正立証プロセスはまた、無認可ユーザによって起こされる他のイベントの検出によって起動することもできる。その場合、ＰＯＳＴは、ブロック４９で示すように、パーソナル・コンピュータ・システムを停止させ、指定されたオペレーティング・システムをブートしない。この時点で、パーソナル・コンピュータがパワーオフされ、再びパワーオンされるならば、ＰＯＳＴは、ＰＡＰのキーボード入力を催促する。ＰＯＳＴは、ＰＡＰがキーボードから正しく入力されるまで、指定されたオペレーティング・システムのブートを許可しない。
【００２８】
ネットワーク供給ＰＡＰがシステムインストールＰＡＰとマッチするならば、ＰＯＳＴは、ロック機構識別情報フィールドにアクセスし、ブロック５０で示すように、ブート・ルーチンに対し、次のブートアップのためにセキュリティ・フィールド・ロック機構のどれを非ロック状態に残しておくべきかを示す。そして、ＰＯＳＴは、ブロック５１で示すように、ネットワーク供給ＰＡＰおよびロック機構識別情報フィールドを不揮発性メモリから消去して、ＰＯＳＴを経るこの１回のパスだけがロック機構識別情報フィールドの選択されたビットをブート時に非ロック状態に残すことを保証する。ＰＯＳＴは、ディスケット・ドライブが保安ＩＰＬ装置リストに具体的に掲載されていない限り、ブート・シーケンスの一部としてディスケット・ドライブをブートしない。これは、ＰＯＳＴがネットワーク供給ＰＡＰとシステムインストールＰＡＰとのミスマッチを認識するとき、パーソナル・コンピュータ・システムを無認可ユーザから物理的に守ることができないため、ディスケット・ドライブを使用して未知のオペレーティング・システムをブートすることを防ぐためである。そして、ＰＯＳＴは、ブロック４４で示すように、その通常のコールド・パワーアップ手続きを続行する。
【００２９】
ＰＯＳＴがパワーアップ時にネットワーク供給ＰＡＰを見いださないならば、ＰＯＳＴは、上記手続きを無視し、通常に続行し、ブート時にネットワーク供給ＰＡＰおよびロック機構識別情報フィールドを非ロック状態に残す。ＰＯＳＴはまた、パワーオフ状態またはパワーオン状態のいずれからのブートの間にも不揮発性メモリ中のネットワーク供給ＰＡＰおよびロック機構識別情報フィールドにおいて保護機構を非ロック状態に残すことを求められる。これは、クライアント・サービス・ソフトウェアがコンピュータ・ネットワークから受けたＰＡＰをインストールすることを許可するためである。ネットワーク供給ＰＡＰおよびロック機構識別情報フィールドは、ＰＡＰの入力およびロック機構識別情報フィールド保護機構がクライアント・サービス・ソフトウェアまたはネットワーク装置ドライバによって満たされてはじめてロックされる。
【００３０】
説明したように、本発明は、コンピュータ・ネットワークを介してパーソナル・コンピュータ・システムの遠隔構成が許されるよう、コンピュータ・ネットワーク上のパーソナル・コンピュータ・システムにセキュリティを提供する方法を提供する。パーソナル・コンピュータ・システムを使用して本発明を例示するが、当業者には、本発明がいかなるタイプのコンピュータ・システムにも応用可能であることが理解されよう。また、本発明は、完全に機能的なパーソナル・コンピュータ・システムに関して記載したが、当業者は、本発明の機構を多様な形態のプログラム製品として配布することもでき、本発明が、配布を実際に実行するための信号搬送媒体の具体的なタイプにかかわらず、等しく当てはまることを理解するであろう。信号搬送媒体の例は、記録可能なタイプの媒体、たとえばフロッピー（Ｒ）・ディスクまたはＣＤ  ＲＯＭおよび伝送タイプ媒体、たとえばアナログまたはデジタル通信リンクを含むが、これらに限定されない。
【００３１】
好ましい実施態様を参照して本発明を具体的に示し、説明したが、本発明の本質および範囲を逸することなく、形態および詳細に種々の変更を加えうることが当業者によって理解されよう。
【００３２】
まとめとして、本発明の構成に関して以下の事項を開示する。
（１）コンピュータ・ネットワーク上のコンピュータの遠隔構成を許すために前記コンピュータにセキュリティを提供する方法であって、
前記コンピュータのブートアップ・オペレーションの間にネットワーク供給特権アクセス・パスワード（ＰＡＰ）に応答して、前記ネットワーク供給ＰＡＰをシステムインストールＰＡＰと比較するステップと、
前記ネットワーク供給ＰＡＰが前記システムインストールＰＡＰとマッチしないならば、前記コンピュータ内に不正立証機構(tamper evident mechanism)をセットするステップと、
前記ネットワーク供給ＰＡＰが前記システムインストールＰＡＰとマッチするならば、前記ブートアップ・オペレーションを続行するステップと、
前記ブートアップ・オペレーションの完了後、前記コンピュータの構成を前記コンピュータ・ネットワークを介して遠隔的に実行することを可能にするステップと、
を含む方法。
（２）前記システムインストールＰＡＰは、前記コンピュータに対応するキーボードを介して、事前に入力される上記（１）記載の方法。
（３）前記ネットワーク供給ＰＡＰは、ネットワーク・メッセージを介して前記コンピュータに供給される上記（１）記載の方法。
（４）前記システムインストールＰＡＰを不揮発性メモリ内の第一の場所に記憶するステップをさらに含む、上記（１）記載の方法。
（５）前記ネットワーク供給ＰＡＰを前記不揮発性メモリ内の第二の場所に記憶するステップをさらに含む、上記（４）記載の方法。
（６）前記システムインストールＰＡＰおよび前記ネットワーク供給ＰＡＰをロックして前記システムインストールＰＡＰおよび前記ネットワーク供給ＰＡＰに対するアクセスを防ぐステップをさらに含む、上記（５）記載の方法。
（７）前記セットするステップが、前記コンピュータを停止するステップをさらに含む、上記（１）記載の方法。
（８）コンピュータ・ネットワークを介して遠隔的に構成することができる、前記コンピュータネット・ワーク上のコンピュータ・システムであって、
前記コンピュータ・システムのブートアップ・オペレーションの間にネットワーク供給特権アクセス・パスワード（ＰＡＰ）に応答して、前記ネットワーク供給ＰＡＰをシステムインストールＰＡＰと比較するための手段と、
前記ネットワーク供給ＰＡＰが前記システムインストールＰＡＰとマッチしないならば、前記コンピュータ・システム内に不正立証機構をセットするための手段と、
前記ネットワーク供給ＰＡＰが前記システムインストールＰＡＰとマッチするならば、前記ブートアップ・オペレーションを続行するための手段と、
前記ブートアップ・オペレーションの完了後、前記コンピュータ・システムの構成を前記コンピュータ・ネットワークを介して遠隔的に実行することを可能にするための手段と、
を含むコンピュータ・システム。
（９）前記システムインストールＰＡＰが、前記コンピュータに対応するキーボードを介して事前に入力される、上記（８）記載のコンピュータ・システム。
（１０）前記ネットワーク供給ＰＡＰが、ネットワーク・メッセージを介して前記コンピュータに供給される、上記（８）記載のコンピュータ・システム。
（１１）前記システムインストールＰＡＰを不揮発性メモリ内の第一の場所に記憶するための手段をさらに含む、上記（８）記載のコンピュータ・システム。
（１２）前記ネットワーク供給ＰＡＰを前記不揮発性メモリ内の第二の場所に記憶するための手段をさらに含む、上記（１１）記載のコンピュータ・システム。
（１３）前記システムインストールＰＡＰおよび前記ネットワーク供給ＰＡＰをロックして前記システムインストールＰＡＰおよび前記ネットワーク供給ＰＡＰに対するアクセスを防ぐためのロック機構をさらに含む、上記（１２）記載のコンピュータ・システム。
（１４）前記セットする手段が、前記コンピュータを停止するための手段をさらに含む、上記（８）記載のコンピュータ・システム。
【図面の簡単な説明】
【図１】  本発明の好ましい実施態様を実現することができるコンピュータ・ネットワークの絵画図である。
【図２】  本発明の好ましい実施態様にしたがってクライアント・サービス・ソフトウェアによって実行される種々のオペレーションの高レベル論理流れ図である。
【図３】  本発明の好ましい実施態様にしたがってＢＩＯＳフラッシュ・ユーティリティによって実行される種々のオペレーションの高レベル論理流れ図である。
【図４】  本発明の好ましい実施態様にしたがってパワーオン・セルフ・テスト（ＰＯＳＴ）によって実行される種々のオペレーションの高レベル論理流れ図である。
【符号の説明】
１０        コンピュータ・ネットワーク
１１、１３  ローカ・エリア・ネットワーク
１２、１４  コンピュータ
１５        通信リンク
１６        プリンタ
１７        ゲートウェイ・サーバ
１８、１９  メインフレーム・コンピュータ
【図１】
0003764656.tif 000002
【図２】
0003764656.tif 000003
【図３】
0003764656.tif 000004
【図４】
0003764656.tif 000005