特許 6392879 モバイル通信装置およびその動作方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6392879

(24)【登録日】2018年8月31日

(45)【発行日】2018年9月19日

(54)【発明の名称】モバイル通信装置およびその動作方法

(51)【国際特許分類】

   G06F 21/57 20130101AFI20180910BHJP

   G06F 9/06 20060101ALI20180910BHJP

   G06F 12/14 20060101ALI20180910BHJP

   G06F 21/64 20130101ALI20180910BHJP

   G06F 9/46 20060101ALI20180910BHJP

【ＦＩ】

   G06F21/57

   G06F9/06

   G06F12/14 510A

   G06F21/64 350

   G06F9/46

【請求項の数】9

【全頁数】25

(21)【出願番号】特願2016-541959(P2016-541959)

(86)(22)【出願日】2014年7月1日

(65)【公表番号】特表2016-536713(P2016-536713A)

(43)【公表日】2016年11月24日

(86)【国際出願番号】US2014045017

(87)【国際公開番号】WO2015038219

(87)【国際公開日】20150319

【審査請求日】2017年6月16日

(31)【優先権主張番号】14/025,556

(32)【優先日】2013年9月12日

(33)【優先権主張国】US

(73)【特許権者】

【識別番号】500520743

【氏名又は名称】ザ・ボーイング・カンパニー

【氏名又は名称原語表記】Ｔｈｅ Ｂｏｅｉｎｇ Ｃｏｍｐａｎｙ

(74)【代理人】

【識別番号】100108453

【弁理士】

【氏名又は名称】村山 靖彦

(74)【代理人】

【識別番号】100133400

【弁理士】

【氏名又は名称】阿部 達彦

(74)【代理人】

【識別番号】100163522

【弁理士】

【氏名又は名称】黒田 晋平

(74)【代理人】

【識別番号】100154922

【弁理士】

【氏名又は名称】崔 允辰

(72)【発明者】

【氏名】アロン・ジェイ・スターン

(72)【発明者】

【氏名】ジョン・ヘイリー

【審査官】 岸野 徹

(56)【参考文献】

【文献】 特開２００９−１６９８４１（ＪＰ，Ａ）

【文献】 国際公開第２００９／１０７３４９（ＷＯ，Ａ１）

【文献】 米国特許出願公開第２０１０／０１６１９９８（ＵＳ，Ａ１）

【文献】 特開２０１０−２０５２０９（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００６／０２３０４３９（ＵＳ，Ａ１）

【文献】 特開２０１３−１５２７１７（ＪＰ，Ａ）

【文献】 米国特許出願公開第２０１０／０３２５６２８（ＵＳ，Ａ１）

【文献】 米国特許出願公開第２０１０／０２２９１７１（ＵＳ，Ａ１）

【文献】 太田 賢 Ken Ohta，携帯機の安全な機能拡張のための信頼できるデバイスフレームワーク Trusted Device Framework for Secure，情報処理学会研究報告 Ｖｏｌ．２００５ Ｎｏ．１６ IPSJ SIG Technical Reports，日本，社団法人情報処理学会 Information Processing Socie，２００５年 ２月２３日，第2005巻，p.49-56

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／５７

Ｇ０６Ｆ ９／０６

Ｇ０６Ｆ ９／４６

Ｇ０６Ｆ １２／１４

Ｇ０６Ｆ ２１／６４

(57)【特許請求の範囲】

【請求項1】

モバイル通信装置（１０）が、
第１のペルソナ（１１０）に対する信頼のルートを確立するステップであって、前記第１のペルソナ（１１０）は第１のオペレーティング・システム（１１２）および第１の信頼された実行環境（１１４）を含むステップと、
第２のペルソナ（１２０）に対する信頼のルートを確立するステップであって、前記第２のペルソナ（１２０）は第２のオペレーティング・システム（１２２）および第２の信頼された実行環境（１２４）を含むステップと、
前記第１のペルソナ（１１０）に対する前記信頼のルートを定義する測定値を第１の信頼されたプラットフォーム・モジュール（６０）に格納するステップと、
前記第２のペルソナ（１２０）に対する前記信頼のルートを定義する測定値を第２の信頼されたプラットフォーム・モジュール（６２）に格納するステップと、
前記第１のペルソナ（１１０）および第２のペルソナ（１２０）に対する前記信頼のルートを用いて前記第１のペルソナ（１１０）および前記第２のペルソナ（１２０）をロードするステップと、
前記第１のペルソナ（１１０）が前記第２のペルソナ（１２０）と通信して接続されるように、前記第１の信頼された実行環境（１１４）および前記第２の信頼された実行環境（１２４）の間で相互信頼を確立するステップと、
を実行する、方法。

【請求項2】

前記第１のペルソナ（１１０）および前記第２のペルソナ（１２０）を互いから隔離された状況で実行するステップをさらに含む、請求項１に記載の方法。

【請求項3】

前記第１のペルソナ（１１０）および第２の（１２０）ペルソナに対する前記信頼のルートを確立するステップは、前記第１のオペレーティング・システム（１１２）および前記第２のオペレーティング・システム（１２２）のイメージを、ロード中に前記第１のペルソナ（１１０）および第２のペルソナ（１２０）の前記信頼のルートに対して検証するステップを含む、請求項１に記載の方法。

【請求項4】

前記第１のペルソナおよび第２のペルソナがロードされた後に、前記第１の信頼されたプラットフォーム・モジュール（６０）の制御を前記第１のペルソナ（１１０）に移し、前記第２の信頼されたプラットフォーム・モジュール（６２）の制御を前記第２のペルソナ（１２０）に移すステップをさらに含む、請求項１に記載の方法。

【請求項5】

前記第１のペルソナと第２のペルソナに対する信頼のルートを確立するステップは、
前記第１のペルソナ（１１０）および第２のペルソナ（１２０）の信頼のルートを確立するために使用されるソフトウェアコンポーネントを測定するステップと、
前記測定値を前記第１の信頼されたプラットフォーム・モジュール（６０）および第２の信頼されたプラットフォーム・モジュール（６２）に拡張するステップであって、第１の信頼アンカに対する前記測定値は前記第１の信頼されたプラットフォーム・モジュール（６０）に拡張され、第２の信頼アンカに対する前記測定値は前記第２の信頼されたプラットフォーム・モジュール（６２）に拡張するステップと、
を含む、請求項１に記載の方法。

【請求項6】

前記第１のペルソナ（１１０）および前記第２のペルソナ（１２０）に対するセキュリティ・ポリシを定義するステップであって、前記セキュリティ・ポリシはどのように前記第１のペルソナ（１１０）および前記第２のペルソナ（１２０）が前記モバイル通信装置（１０）上の物理装置にアクセスするかを定義するステップと、
前記セキュリティ・ポリシをセキュリティ・スーパバイザ（１０８）で強制するステップと、
をさらに含む、請求項１に記載の方法。

【請求項7】

前記セキュリティ・ポリシを強制するステップは、
前記第１のペルソナ（１１０）および前記第２のペルソナ（１２０）の１つの、前記物理装置の少なくとも１つに対する排他アクセスを可能とするステップと、
前記第１のペルソナ（１１０）および前記第２のペルソナ（１２０）の間の前記物理装置の少なくとも１つに対する共有アクセスを可能とするステップと、
前記物理装置の少なくとも１つの、前記第１のペルソナ（１１０）および前記第２のペルソナ（１２０）のうち１つに対するアクセスを拒否するステップと、
のうち少なくとも１つを含む、請求項６に記載の方法。

【請求項8】

前記第１のペルソナ（１１０）および前記第２のペルソナ（１２０）をロードするステップは、基盤となるオペレーティング・システムをデバイス製造者の信頼のルートにより署名されたブート・ローダ（１４４）でロードするステップを含む、請求項７に記載の方法。

【請求項9】

第１の信頼されたプラットフォーム・モジュール（６０）と、
第２の信頼されたプラットフォーム・モジュール（６２）と、
プロセッサ（２４）と、
請求項１乃至５の何れか１項に記載の方法を前記プロセッサ（２４）に実施させる命令を含む、記憶媒体（２２）と、
を備える、モバイル通信装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の分野は一般にモバイル通信装置に関し、より具体的には、実行されている１つまたは複数の隔離された、仮想化されたオペレーティング・システムの信頼された動作を可能とするモバイル通信装置に関する。

【背景技術】

【0002】

スマートフォン、携帯電話、および携帯情報端末（ＰＤＡ）のようなモバイル通信装置は、多種多様なユーザの間で利用され人気を博している。少なくとも幾つかの既知のデバイスは、複数のオペレーティング・システム（ＯＳ）を１つのデバイスで同時に実行するように仮想化できる中央演算処理装置（ＣＰＵ）を備える。例えば、ハイパバイザとして知られているソフトウェア・プログラムを使用して、当該コンピュータシステムに含まれるＯＳとハードウェアデバイスの間で送信される入出力（Ｉ／Ｏ）アクセス動作を管理することによって、様々なＯＳを分離してもよい。より具体的には、ハイパバイザは、ＣＰＵや関連する周辺機器（例えば、表示装置、タッチスクリーン、および通信インタフェース）のような基盤となるハードウェアを、ハードェアで実行されるＯＳから分離することを容易にする。

【0003】

デバイス仮想化は、１組のソフトウェアを既知のコンピューティング装置上の１組の別のソフトウェアから分離することを容易にできるが、基盤となるプラットフォームは多様なセキュリティ脆弱性を受けやすいかもしれない。このため、既知のコンピューティング装置のセキュリティを高めることが、コンピュータ業界の人達にはますます重要なものになっている。

【発明の概要】

【発明が解決しようとする課題】

【0004】

したがって、強化されたセキュリティをデバイス仮想化アーキテクチャに組み込むのが望ましいであろう。

【課題を解決するための手段】

【0005】

１態様では、モバイル通信装置が提供される。当該モバイル通信装置は第１の信頼されたプラットフォーム・モジュール、第２の信頼されたプラットフォーム・モジュール、プロセッサ、および記憶媒体を備える。当該記憶媒体は当該プロセッサに第１のペルソナと第２のペルソナに対する信頼のルートを確立させる命令を含む。第１のペルソナは第１のオペレーティング・システムおよび第１の信頼された実行環境を備え、第２のペルソナは第２のオペレーティング・システムおよび第２の信頼された実行環境を備える。当該命令はまた、当該プロセッサに、第１のペルソナに対する信頼のルートを定義する測定値を第１の信頼されたプラットフォーム・モジュールに格納し、第２のペルソナに対する信頼のルートを定義する測定値を第２の信頼されたプラットフォーム・モジュールに格納し、第１のペルソナと第２のペルソナに対する信頼のルートを用いて第１のペルソナおよび第２のペルソナをロードさせる。

【0006】

別の態様では、モバイル通信装置を動作させる方法が提供される。当該方法は、第１のペルソナと第２のペルソナに対する信頼のルートを確立するステップを含む。第１のペルソナは第１のオペレーティング・システムおよび第１の信頼された実行環境を備え、第２のペルソナは第２のオペレーティング・システムおよび第２の信頼された実行環境を備える。当該方法はまた、第１のペルソナに対する信頼のルートを定義する測定値を第１の信頼されたプラットフォーム・モジュールに格納し、第２のペルソナに対する信頼のルートを定義する測定値を第２の信頼されたプラットフォーム・モジュールに格納し、第１のペルソナと第２のペルソナに対する信頼のルートを用いて第１のペルソナおよび第２のペルソナをロードするステップを含む。

【0007】

さらに別の態様では、モバイル通信装置を動作させるためのコンピュータ実行可能命令を格納した非一時的なコンピュータ可読媒体が提供される。当該モバイル通信装置はプロセッサ、第１の信頼されたプラットフォーム・モジュール、および第２の信頼されたプラットフォーム・モジュールを備える。当該コンピュータ実行可能命令は、当該プロセッサに第１のペルソナと第２のペルソナに対する信頼のルートを確立させる。第１のペルソナは第１のオペレーティング・システムおよび第１の信頼された実行環境を備え、第２のペルソナは第２のオペレーティング・システムおよび第２の信頼された実行環境を備える。当該コンピュータ実行可能命令はまた、当該プロセッサに、第１のペルソナに対する信頼のルートを定義する測定値を第１の信頼されたプラットフォーム・モジュールに格納し、第２のペルソナに対する信頼のルートを定義する測定値を第２の信頼されたプラットフォーム・モジュールに格納し、第１のペルソナと第２のペルソナに対する信頼のルートを用いて第１のペルソナおよび第２のペルソナをロードさせる。

【図面の簡単な説明】

【0008】

【図1】例示的なモバイル通信装置の前面斜視図である。

【図2】図１に示したモバイル通信装置の背面斜視図である。

【図3】図１に示したモバイル通信装置とともに使用できる例示的なハードウェアアーキテクチャの略図である。

【図4】図１に示したモバイル通信装置とともに使用できる例示的なソフトウェア・アーキテクチャの略図である。

【図5】図１に示したモバイル通信装置とともに使用できるペルソナのオーナシップを主張する例示的な方法の流れ図である。

【図6】図１に示したモバイル通信装置で実施される動作を認証する際に使用するための例示的なシステムの略図である。

【図7】図１に示したモバイル通信装置とともに使用できるペルソナ・ソフトウェアの例示的な方法の流れ図である。

【図8】図１に示したモバイル通信装置とともに使用できるペルソナのオーナシップを移す例示的な方法の流れ図である。

【図9】図１に示したモバイル通信装置とともに使用できる新規のペルソナをロードする例示的な方法の流れ図である。

【発明を実施するための形態】

【0009】

本明細書で説明するシステムおよび方法を使用してモバイル通信装置を動作させてもよい。例示的な実装では、当該モバイル通信装置は、公開鍵と秘密鍵に基づく暗号化のような暗号化を用いてそこで実行されているオペレーティング・システムの安全性確保を促進するハードウェアおよびソフトウェアのアーキテクチャにより管理される。より具体的には、当該モバイル通信装置は、デバイスで同時に実行されそれぞれ別々の信頼のルートを有する複数の仮想化されたオペレーティング・システムをサポートする。したがって、デバイス上のハードウェアに対する仮想化されたオペレーティング・システムのアクセスが、当該デバイスの信頼された動作を可能とするために所定のセキュリティ・ポリシにより強制される。

【0010】

図１と図２は例示的なモバイル通信装置１０を示す。例示的な実装では、別のモバイル通信装置のような別のデバイスとの音声通信をサポートするためのモバイル通信装置１０が提供される。さらに、モバイル通信装置１０が、ネットワーク・アクセス、ＳＭＳメッセージング、１つまたは複数のアプリケーションのホスト、データ処理、暗号化、および／または他の機能を含む、多様な他の機能を含んでもよい。モバイル通信装置１０が、１つまたは複数のセルラ・ネットワークを通じて通信するように構成されたスマートフォンであってもよい。代替的な実装では、モバイル通信装置１０が、ＷｉＦｉおよび／または衛星ネットワークのような非セルラ・ネットワーク上で排他的に動作してもよい。

【0011】

図示したように、モバイル通信装置１０は筐体１２と少なくとも筐体１２内部に配置された複数の提示装置１４とを備える。提示装置１４は、モバイル通信装置１０の動作に関連するデータ、コマンド、要求されたデータ、メッセージ、（仮想キーボードのような）１つまたは複数の入力デバイス、および／または他の任意の種類のデータのような情報をユーザに出力するがこれらに限られない。幾つかの例では、提示装置１４が、例えば、液晶ディスプレイ（ＬＣＤ）、発光ダイオード（ＬＥＤ）ディスプレイ、発光ダイオード（ＬＥＤ）、カメラフラッシュ、有機ＬＥＤ（ＯＬＥＤ）ディスプレイ、および／または「電気インク」ディスプレイを含んでもよい。幾つかの実装では、複数の提示装置１４を、データをユーザに視覚的におよび／または音声的に提供するために含めてもよい。例示的な実装では、提示装置１４は音声通信で使用するためのオーディオ出力を備える。

【0012】

モバイル通信装置１０はさらに少なくとも部分的に筐体１２内部に配置された複数の入力デバイス１６を備える。各入力デバイス１６を、本明細書で説明した方法および／またはプロセスのうち１つまたは複数に従って、選択肢、要求、コマンド、情報、データ、および／または他の任意の種類の入力を受信するように構成してもよい。入力デバイス１６が、例えば、ボタン、キーボード、マイクロフォン、バイブ、ポインティング・デバイス、スタイラスペン、タッチセンシティブパネル（例えば、タッチパッドまたはタッチスクリーン）、ジャイロスコープ、加速度計、デジタルコンパス、位置検出器、カメラ、第２のカメラ、周辺光センサ、および／またはオーディオ入力インタフェースを含んでもよい。例示的な実装では、タッチスクリーン１８のような単一のコンポーネントが、提示装置１４と入力デバイス１６の両方として機能する。

【0013】

１実装では、モバイル通信装置１０は、安全なモバイル通信装置１０の動作を促進するセキュリティ機能を備える。セキュリティ機能には、セキュリティ・ボタン１７のような入力デバイス１６および複数のＬＥＤのような提示装置１４が含まれる。より具体的には、モバイル通信装置１０は第１のＬＥＤ１９と第２のＬＥＤ２１を備える。下記でさらに詳細に説明するように、当該セキュリティ機能を使用して、モバイル通信装置１０の動作上の信頼されたステータスを変更および／または検証してもよい。代替的な実装では、モバイル通信装置１０が、当該セキュリティ機能が本明細書で説明したように機能できるようにする任意の種類および／または数の提示装置を備えてもよい。

【0014】

モバイル通信装置１０は筐体１２と係合した背面パネル２０を備える。背面パネル２０は、筐体１２と十分に一貫した断面を定義し、それにより、筐体１２に接続されたとき筐体１２とともに十分に統合したユニットを形成する。背面パネル２０は、モバイル通信装置１０の１つまたは複数の態様へのアクセスを提供するためにモバイル通信装置１０から取外し可能である。

【0015】

図３は、（図１に示す）モバイル通信装置１０とともに使用できる例示的なハードウェアアーキテクチャの略図である。例示的な実装では、モバイル通信装置１０は、メモリ２２とプログラムされた命令を実行するためのメモリ２２に接続されたプロセッサ２４とを備える。プロセッサ２４が、（例えば、マルチコア構成での）１つまたは複数の処理ユニットを備えてもよく、かつ／または、暗号加速器（図示せず）を備えてもよい。モバイル通信装置１０は、メモリ２２および／またはプロセッサ２４をプログラムすることにより本明細書で説明した１つまたは複数の動作を実施するようにプログラム可能である。例えば、プロセッサ２４を、動作を実行可能命令として符号化し、当該実行可能命令をメモリ２２に提供することでプログラムしてもよい。

【0016】

プロセッサ２４が、汎用目的中央演算処理装置（ＣＰＵ）、マイクロコントローラ、縮小命令セットコンピュータ（ＲＩＳＣ）プロセッサ、オープン・メディア・アプリケーションプラットフォーム（ＯＭＡＰ）、特殊用途向け集積回路（ＡＳＩＣ）、プログラム可能論理回路（ＰＬＣ）、および／または本明細書で説明した機能を実行できる任意の他の回路またはプロセッサを含んでもよいが、これらに限られない。本明細書で説明した方法を、限定ではなく、記憶デバイスおよび／またはメモリ・デバイスを含むコンピュータ可読媒体で具体化した実行可能命令として符号化してもよい。かかる命令は、プロセッサ２４により実行されたとき、本明細書で説明した機能の少なくとも一部をプロセッサ２４に実施させる。上述の例は例示的なものにすぎず、したがって、プロセッサという用語の定義および／または意味を何ら限定しようとするものではない。

【0017】

メモリ２２は、本明細書で説明したように、実行可能命令および／または他のデータのような情報を格納し取り出すことができる１つまたは複数のデバイスである。メモリ２２が、限定ではなく、ダイナミック・ランダム・アクセス・メモリ（ＤＲＡＭ）、同期ダイナミック・ランダム・アクセス・メモリ（ＳＤＲＡＭ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、固体ディスク、および／またはハードディスクのような１つまたは複数のコンピュータ可読媒体を含んでもよい。メモリ２２を、限定ではなく、実行可能命令、オペレーティング・システム、アプリケーション、リソース、インストール・スクリプトおよび／または本明細書で説明した方法およびシステムとの使用に適した他の任意の種類のデータを格納するように構成してもよい。

【0018】

オペレーティング・システムおよびアプリケーションに対する命令は、本明細書で説明したプロセスの１つまたは複数を実施するようにプロセッサ２４により実行するために、機能的な形態で非一時的なメモリ２２に配置される。別の実装では、これらの命令を、メモリ２２のような異なる物理的または有形のコンピュータ可読媒体またはコンピュータ可読媒体２６のような別のメモリで具体化してもよく、これらが、限定ではなく、フラッシュ・ドライブおよび／またはサム・ドライブを含んでもよい。さらに、命令は機能的な形態で非一時的なコンピュータ可読媒体２６に配置される。非一時的なコンピュータ可読媒体２６は、限定ではなく、スマートメディア（ＳＭ）メモリ、コンパクトフラッシュ（登録商標）（ＣＦ）メモリ、セキュアデジタル（ＳＤ）メモリ、メモリスティック（ＭＳ）メモリ、マルチメディアカード（ＭＭＣ）メモリ、組込み型マルチメディアカード（ｅ−ＭＭＣ）、およびマイクロ−ドライブメモリを含んでもよい。コンピュータ可読媒体２６が、プロセッサ２４によるアクセスおよび／または実行を許可するために、モバイル通信装置１０から選択的に挿入可能および／または取外し可能であってもよい。幾つかの実装では、コンピュータ可読媒体２６は取外し可能ではない。

【0019】

図３を再度参照すると、モバイル通信装置１０がＧＰＳコンポーネント３０を備えてもよい。ＧＰＳコンポーネント３０は位置データをプロセッサ２４に提供するように構成される。当該位置データは、プロセッサ２４が、モバイル通信装置１０の位置を決定し、かつ／または、例えばナビゲーション機能のような、モバイル通信装置１０の位置に依存する機能を提供することを可能とする。代替的な実装では、位置データを、近傍の８０２．１１および／またはＢｌｕｅｔｏｏｔｈ（登録商標）基地局またはデバイス、および／またはそれらの組合せを特定することによって、セルラ・ネットワークを用いてモバイル通信装置１０に対して取得してもよい。

【0020】

幾つかの実装では、モバイル通信装置１０はさらに少なくとも１つの暗号化プロセッサを備える。より具体的には、モバイル通信装置１０は第１の信頼されたプラットフォーム・モジュール（ＴＰＭ）６０および第２のＴＰＭ６２を備える。当該ＴＰＭは、モバイル通信装置１０との通信および／またはモバイル通信装置１０への格納のためにプロセッサ２４によりアクセスされるデータの少なくとも一部を暗号化する。したがって、幾つかのデータを、モバイル通信装置１０の他のアプリケーションおよび／または動作から分離し、かかるアプリケーション／動作より高いレベルのセキュリティに保ってもよい。したがって、ＴＰＭ６０および６２は、例えば、信頼されたブート、測定されたブート、安全なブート、リモート証明、および保護されたキーストアを促進する。

【0021】

さらに、モバイル通信装置はプロセッサ２４に接続されたセキュア要素６４を備える。より具体的には、セキュア要素６４を、ユニバーサル集積回路カード（ＵＩＣＣ）、マイクロＳＤカードのうち少なくとも１つとしてモバイル通信装置１０と統合してもよく、かつ／またはモバイル通信装置１０に組み込んでもよい。セキュア要素６４は、キーストアデバイスとしておよび／またはモバイル通信装置１０で実行されているプラットフォーム向けのハードウェア信頼アンカとして使用できる、耐タンパ性の記憶および実行環境である。より具体的には、セキュア要素６４は、データ暗号化鍵、パスワード、およびハードウェアおよびソフトウェア構成情報を格納する。さらに、セキュア要素６４は、公開鍵対を生成し、関連する秘密鍵のエクスポートの制限を促進する。代替的な実装では、セキュア要素６４をＴＰＭで実装してもよい。

【0022】

モバイル通信装置１０はまた、セキュリティ・スーパバイザ・メモリ６６を備える。セキュリティ・スーパバイザ・メモリ６６は、複数の鍵を含みうるタンパ耐性データを格納し、セキュア要素６４および／または第１のＴＰＭ６０もしくは第２のＴＰＭ６２の内部にデータをラップしてもよい。動作に際して、改竄事象を検出した際に、ラップしたデータが復元できないように、タンパ耐性データをクリアしてもよい。セキュリティ・スーパバイザ・メモリ６６が、モバイル通信装置１０が本明細書で説明したように機能できるようにする任意量のタンパ耐性データを保持してもよい。

【0023】

モバイル通信装置１０はさらに、プロセッサ２４に接続されたセルラ・コントローラ３１を備える。セルラ・コントローラ３１により、モバイル通信装置１０は１つまたは複数のセルラ・ネットワーク（図示せず）と通信して、音声および／またはデータ通信を当該セルラ・ネットワークに提供することができる。本例では、モバイル通信装置１０は、セルラ・コントローラ３１に接続された２つのサブスクライバ・アイデンティティ・モジュール（ＳＩＭ）カード・ソケット３３Ａおよび３３Ｂを備える。このように、モバイル通信装置１０は、モバイル通信装置１０のユーザにより選択可能な、２つの異なるセルラ・アカウントに関連付けられた２つのＳＩＭカードを受信することができる。例えば、モバイル通信装置１０は個人的なセルラアカウントおよびビジネスのセルラアカウントにアクセスして、ユーザが個人的な利用およびビジネス利用を分けるためにそれらの間で選択できるようにしてもよい。他の実装では、異なる数のＳＩＭカード・ソケットを含めてもよいことに留意されたい。

【0024】

さらに、モバイル通信装置１０はプロセッサ２４に接続されたＵＳＢコントローラ３５を備える。図３に図示したように、ＵＳＢコントローラ３５はコネクタ３７を通じてアクセス可能である。このように、１つまたは複数の異なるデバイスがモバイル通信装置１０と通信してもよい。同様に、モバイル通信装置１０はさらに、プロセッサ２４に接続された高解像度マルチメディアインタフェース（ＨＤＭＩ（登録商標））コントローラ３９を備え、コネクタ４１を通じてアクセス可能である。少なくとも１つの実装では、コネクタ３７および／または４１が、モバイル通信装置１０に対するマイクロＵＳＢおよび／またはマイクロＨＤＭＩ（登録商標）接続を提供してもよい。

【0025】

追加または代替として、モバイル通信装置１０が、１つまたは複数の無線通信チャネルを提供するために、Ｂｌｕｅｔｏｏｔｈ（登録商標）コントローラ、ＺｉｇＢｅｅコントローラ、および／またはＷｉ−Ｆｉコントローラのうち１つまたは複数を含んでもよい。ＧＰＳコンポーネント３０、第１のＴＰＭ６０、第２のＴＰＭ６２、およびセルラ・コントローラ３１が少なくとも部分的にハードウェアで提供されるが、モバイル通信装置１０に統合された１つまたは複数のコンポーネントを、プロセッサ２４に関連付けられたソフトウェアおよび／またはファームウェアを介して提供してもよいことはさらに理解される。１例では、プロセッサ２４は、モバイル通信装置１０の低レベルエアインタフェースプロトコルを分析し、承認されたネットワークのＩＤおよび特性に基づいてネットワーク送信を許可または拒否するように構成されたエアインタフェースファイアウォールを提供する。本例では、セルラ・ネットワークのＩＤおよび特性を含むセルラ・コントローラ３１からのエアインタフェースプロトコルデータが、プロセッサ２４に提供され、セルラ・コントローラ３１により識別されたセルラ・ネットワークを介してネットワーク送信を行うことをモバイル通信装置１０が許可されるべきであるかどうかを判定するために、プロセッサ２４により分析される。本例では、提供された分析のレベルが、セルラ・コントローラ３１の標準セルラ・ネットワーク・プロトコル認証機構をそれら自身が使用すること以外に、プロセッサ２４にさらにセルラ・コントローラ３１のネットワーク接続を認証させることによって、ネットワークセキュリティをモバイル通信装置１０に追加する。例えばＢｌｕｅｔｏｏｔｈ（登録商標）コントローラおよび／またはＷｉ−Ｆｉコントローラのようなモバイル通信装置１０の他のエアインタフェースコンポーネントをエアインタフェースファイアウォールにより監視してもよいことに留意されたい。代替的な実装では、第１のＴＰＭ６０および第２のＴＰＭ６２をソフトウェアで実装してもよい。

【0026】

他のモバイル通信装置の実装が、プロセッサ２４に統合されるかまたはプロセッサ２４の外部にあるより多いかまたは少ないコンポーネントを含んでもよいことに留意されたい。

【0027】

図４は、（図１に示す）モバイル通信装置１０とともに使用できる例示的なソフトウェア・アーキテクチャ１００の略図である。例示的な実装では、ソフトウェア・アーキテクチャ１００は、プロセッサ２４とメモリ２２を備えるハードウェア・プラットフォーム１０２にインストールされたオペレーティング・システム１０４を備える。ハードウェア・プラットフォーム１０２は上述のモバイル通信装置１０のコンポーネントを備える。ソフトウェア・アーキテクチャ１００はまた、ハイパバイザ１０６と通信して接続されるオペレーティング・システム１０４（即ち、タイプ２のハイパバイザ）およびセキュリティ・スーパバイザ１０８の上で実行される、ハイパバイザ１０６のような仮想化ソフトウェア層を備える。代替的な実装では、ハイパバイザ１０６を、ハードウェア・プラットフォーム１０２（即ち、タイプ１ハイパバイザ）にインストールしそこで動作させてもよい。ハイパバイザ１０６は、複数の仮想マシンを並列にインスタンス化し実行できるように、複数の仮想マシン実行空間をサポートする。

【0028】

ハイパバイザ１０６は、ハイパバイザ１０６の上で実行できる第１のペルソナ１１０および第２のペルソナ１２０を仮想化する。第１のペルソナ１１０は第１のペルソナのオペレーティング・システム（ＯＳ）１１２および第１の信頼された実行環境（ＴＥＥ）１１４を備え、第２のペルソナ１２０は第２のペルソナのオペレーティング・システム１２２および第２の信頼された実行環境１２４を備える。

【0029】

第１のペルソナ１１０および第２のペルソナ１２０はそれぞれ、信頼を検証し、各ペルソナにより実施されるアクションを認証するために使用できる定義された信頼アンカを有する。より具体的には、第１のペルソナ１１０は第１の信頼アンカを有し、第２のペルソナ１２０は第１の信頼アンカとは別の第２の信頼アンカを有する。本明細書で使用する際「信頼アンカ」という用語は、ペルソナのオーナを定義しペルソナ資産を署名するために使用できる１つまたは複数の秘密暗号化鍵（即ち、暗号証明書）のことをいう。反対に、本明細書で使用する際、「オーナ」および／または「オーナシップ」という用語は、信頼アンカを保持することでペルソナに対する管理上の制御を有する人またはエンティティのことをいう。幾つかの実装では、信頼アンカルートの証明書を使用して、ペルソナ・パッケージの資産を署名する中間認証局を署名してもよい。

【0030】

各信頼アンカはルート認証局に遡る。ルート認証局が、企業組織であってもよく、かつ／または、デスクトップ・コンピュータ上で単一のユーザに対して軽量に定義されてもよい。したがって、第１のペルソナ１１０のリソースを第２のペルソナ１２０と分離したままにしてもよく、各信頼アンカに合意され署名されたアクセスポリシを強制してもよい。ルート認証局を、オフラインかつ安全な位置に格納してもよい。さらに、信頼アンカが、特別に定義された能力を有する複数の中間認証局を含んでもよい。例示的な能力には、オペレーティング・システムを定義する権利、ＴＥＥを定義する権利、セキュリティ・ポリシを定義する権利、他の中間認証局および／またはユーザ証明書を定義する権利、バックアップ能力、バックアップ・ポリシ、オペレーティング・システムを更新する能力、ＴＥＥを更新する能力、モバイル・デバイス管理（ＭＤＭ）機能、および鍵インポートおよび／またはエクスポートが含まれるがこれらに限られれない。

【0031】

第１のペルソナ１１０および第２のペルソナ１２０の信頼されたソフトウェアはそれぞれ、デフォルト条件下で他のソフトウェアから隔離された状況で実行される。より具体的には、上述のように、ハイパバイザ１０６は、第１のＴＥＥ１１４および第２のＴＥＥ１２４を互いに分離し隔離することを容易にする。したがって、各ペルソナは、モバイル通信装置１０で実行されている他のオペレーティング・システムの影響を受けない。さらに、第１のペルソナ１１０および第２のペルソナ１２０を、第１のＴＥＥ１１４および第２のＴＥＥ１２４の間で相互信頼を確立するように構成してもよい。かかる相互信頼を確立することにより、第１のペルソナ１１０および第２のペルソナ１２０の間で信頼された通信経路を形成することができる。第１のＴＥＥ１１４および第２のＴＥＥ１２４の間の通信を、第１のペルソナ１１０および第２のペルソナ１２０のセキュリティ・ポリシにおける相互同意によってのみ可能としてもよい。さらに、高保証ガード（図示せず）を、第１のペルソナ１１０および第２のペルソナ１２０の間のデータの流れの制限を容易にするように実装してもよい。例えば、当該高保証ガードが、第１のペルソナ１１０および第２のペルソナ１２０の間のセンシティブなおよび／または分類されたデータの流れの制限を、それらの間の未分類のデータの流れを許可しつつ、容易にしてもよい。

【0032】

第１のペルソナ１１０とその要素を以下でさらに詳細に説明するが、同一の説明を第２のペルソナ１２０とその要素に適用してもよいことは理解される。例示的な実装では、第１のペルソナＯＳ１１２は、フル・オペレーティング・システムの実行を可能とするリソースおよび仮想デバイス・ドライバを有する実行環境である。例示的なフル・オペレーティング・システムが、アンドロイド「登録商標」オープン・ソース・プロジェクト（ＡＯＳＰ）オペレーティング・システムを含んでもよいが、これらに限られない。第１のペルソナＯＳ１１２が、第１のペルソナＯＳ１１２が第１のＴＥＥ１１４と通信できるようにするライブラリを含んでもよい。さらに、複数のアプリケーション１３０を、外部ソース（図示せず）から取得し、第１のペルソナＯＳ１１２の上で実行してもよい。

【0033】

第１のＴＥＥ１１４は、第１のペルソナＯＳ１１２と分離され第１のペルソナＯＳ１１２と通信接続される軽量実行環境である。第１のＴＥＥ１１４は、センシティブデータを格納してセンシティブアプリケーションを実行するために使用できる領域を提供するセキュア環境である。代替的な実装では、第１のＴＥＥ１１４が、フル・オペレーティング・システムの実行を可能とし、かつ／または別々のハードウェアで実行できるリソースおよび仮想デバイス・ドライバを有する実行環境であってもよい。さらに、第１のペルソナ１１０が複数の信頼された実行環境を含んでもよい。

【0034】

第１のＴＥＥ１１４はＩＳＯ７８１６サブスクライバ識別モジュール（ＳＩＭ）インタフェースおよび／またはＴＰＭへの直接アクセスを有する。より具体的には、第１のＴＰＭ６０（図３に示す）は第１のペルソナ１１０に割り当てられ、第２のＴＰＭ６２（図３に示す）は第２のペルソナ１２０に割り当てられる。したがって、第１のＴＰＭ６０を第１のペルソナ１１０のオーナに対するハードウェア信頼アンカとして使用してもよく、第２のＴＰＭ６２を第２のペルソナ１２０のオーナに対するハードウェア信頼アンカとして使用してもよい。さらに、第１のＴＥＥ１１４は、第１のＴＰＭ６０に対する直接アクセスを有し、例えば、認証、キーストアアクセス、仮想プライベートネットワーク（ＶＰＮ）構成、および／またはボイス・オーバー・インターネットプロトコル（ＶｏＩＰ）ソフトウェアのような信頼された実行環境サービスに対する直接アクセスを有する。かかるセンシティブなデータの経路を第１のＴＥＥ１１４内部で第１のペルソナＯＳ１１２から隔離することで、ＴＥＥサービスの制御をペルソナ・オーナで維持しつつ、信頼されたモバイル通信装置１０の動作を保証するのを促進する。さらに、第１のＴＥＥ１１４が第１のＴＰＭ６０を制御できるようにすることで、センシティブ情報を第１のペルソナＯＳ１１２から隔離するのを促進して、当該情報がより安全な保護された環境にあるようにする。

【0035】

さらに、第１のペルソナＯＳ１１２に平文鍵を晒すことなく暗号動作を第１のペルソナＯＳ１１２の代わりに実施できるように、第１のＴＥＥ１１４が暗号サービスに対するアクセスを有してもよい。より具体的には、第１のＴＥＥ１１４が、無認証のハードウェア加速暗号化、スイートＢ、および／またはＦＩＰＳ−１４０−２認証暗号化を可能とする、第１のＴＰＭ６０内の暗号化モジュールを利用してもよい。モバイル通信装置１０がＶＰＮモジュールおよび／またはＶｏＩＰモジュールを備えてもよい。当該ＶＰＮモジュールにより、第１のペルソナ１１０はＶＰＮを認証し、信頼されていないコードに対して認証または暗号化鍵が可視であることなく、暗号化と通信することができる。さらに、当該ＶｏＩＰモジュールにより、第１のペルソナ１１０はＶｏＩＰ呼を確立し認証し、信頼されていないコードに対して認証または暗号化鍵が可視であることなく、暗号化と通信することができる。

【0036】

第１のペルソナＯＳ１１２および第２のペルソナＯＳ１２２の信頼は、プラットフォーム・ハードウェア１０２によりロードされる各ペルソナのブート・イメージの整合性により定義される。例えば、第１のＴＥＥ１１４の信頼は、下記でさらに詳細に説明するように、プラットフォーム・ハードウェア１０２によりロードされたときにその静的イメージの整合性により定義される。より具体的には、第１のＴＥＥ１１４にロードされたコードがロード中に信頼アンカに対して検証され、当該イメージは一旦ロードされると不変である。当該イメージが不変であるので、第１のＴＥＥ１１４を、第１のＴＥＥ１１４で新規に署名されたイメージをロードすることによってのみ、変更してもよい。さらに、第１のペルソナＯＳ１１２および第２のペルソナＯＳ１２２が自己の実行環境の外部のリソースを利用して、その整合性を管理してもよい。例えば、オペレーティング・システムのロードを暗号化して検証してもよく、ハードウェア・リソースに対するオペレーティング・システムのアクセスを、その制御の外部の構成を通じて制限し、強制してもよい。

【0037】

ソフトウェア・アーキテクチャ１００はまた、オペレーティング・システム１０４をロードする一次ブート・ローダ１４０、第１のペルソナＯＳ１１２をロードする第１の二次ブート・ローダ１４２、および第２のペルソナＯＳ１２２をロードする第２の二次ブート・ローダ１４４を備える。例示的な実装では、モバイル通信装置１０は、ブートプロセス中にプラットフォーム信頼の確立を促進するプロセッサを使用する。より具体的には、当該プロセッサは、各オペレーティング・システムのロード中の信頼確立を促進するためのブート・ローダの署名検証を可能とする。例えば、モバイル通信装置１０は、信頼のチェーンがハードウェア・プラットフォーム１０２から第１のペルソナ１１０と第２のペルソナ１２０に伸びた際に壊れないように、固定のハッシュ値と署名検証の組合せを使用する。

【0038】

動作に際して、プロセッサ２４は一次ブート・ローダ１４０を、それがデバイス製造者の信頼のルートによりデジタル的に署名されている場合に、ロードする。本明細書で使用する際、「デバイス製造者の信頼のルート」という用語は、モバイル通信装置１０にインストールされている資産を署名するためにデバイス製造者により使用される１つまたは複数の秘密暗号化鍵（即ち、暗号証明書）をいう。信頼のチェーンは、隔離された実行環境を確立すること、モバイル通信装置１０内部のコンポーネントを検証すること、および／または信頼された状態に対して束縛するためのユーザ・コードにより後に使用するための信頼されたプラットフォーム・モジュールに測定値を格納することを促進するように、ハイパバイザ１０６を通じて破壊されないままであり続ける。

【0039】

ＴＰＭ６０および６２の測定されたブート態様を第１のペルソナ１１０および第２のペルソナ１２０により使用できるように、第１のＴＰＭ６０の制御は第１のペルソナ１１０に移され、第２のＴＰＭ６２の制御は第２のペルソナ１２０に移される。より具体的には、ＴＰＭ６０および６２がモバイル通信装置１０の信頼されたブート・ソフトウェアにより開始され、次いで制御が、ペルソナがロードされた後にその排他的な利用のために各ペルソナに移される。ペルソナが信頼されたブートに対するＴＰＭを使用する場合、デバイス全体をリセットせずには当該ペルソナをリブートできないように、ハードウェアおよび／またはソフトウェアの変更により、元の構成に対して束縛されている鍵を取り出せないようにしてもよい。

【0040】

ブートプロセスの間、ＴＰＭは、モバイル通信装置１０内で使用される重大なソフトウェアおよびファームウェアのコンポーネントを測定（即ち、ハッシュ）する。例えば、測定に関する信頼のルートを、一次ブート・ローダ１４０、オペレーティング・システム１０４、ハイパバイザ１０６、セキュリティ・スーパバイザ１０８、ブート・ローダ１４２、および第１のペルソナＯＳ１１２に対する測定値が第１のＴＰＭ６０に延長されるときに確立してもよい。当該測定値を、第１のＴＰＭ６０内に配置されたプラットフォーム構成レジスタ（ＰＣＲ）内に格納し、オペレーティング・システムのイメージを関連する信頼アンカに対してブート時に検証するために使用してもよい。したがって、ＰＣＲに束縛できるセンシティブ情報にアクセスできる前に当該システムの整合性を検証してもよい。

【0041】

ブート・ローディング中にデバイス製造者の信頼のルートから一旦制御が移されると、ペルソナがその整合性に対して責任を負ってもよい。例えば、第１のペルソナＯＳ１１２にインストールされ実行されるアプリケーション１３０を検証するのは第１のペルソナＯＳ１１２の責任である。したがって、悪意あるアプリケーション（図示せず）が、モバイル通信装置１０で実行されているゲスト・オペレーティング・システムの整合性を危機に晒す場合には、このように危機に晒されることは、他のゲスト・オペレーティング・システムの整合性に対し、危機に晒されたオペレーティング・システムとそれらが信頼関係を有さない場合には、影響を及ぼさない。

【0042】

セキュリティ・スーパバイザ１０８が第１のペルソナＯＳ１１２および第２のペルソナＯＳ１２２と通信して接続される。セキュリティ・スーパバイザ１０８は、モバイル通信装置１０の動作に際して使用するためのセキュリティ・ポリシの格納と実行を促進するオペレーティング・システムである。セキュリティ・スーパバイザ１０８は隔離された環境で実行され、プラットフォームのリソース、追加のインタフェース、および／または追加の能力に対するアクセスを有してもよい。幾つかの実装では、第１のペルソナ１１０および第２のペルソナ１２０は、ペルソナ・オーナが、そのペルソナ・オーナが所有しないペルソナのセキュリティ・ポリシを構成できないように、信頼された機構（即ち、ＣＰＵ仮想化）を通じて分離される。例えば、第１のペルソナ１１０のセキュリティ・ポリシが第１のペルソナ・オーナによってのみ構成でき、第２のペルソナ１２０のセキュリティ・ポリシは第２のペルソナ・オーナによってのみ構成することができる。より具体的には、各セキュリティ・ポリシを、ペルソナ・オーナの秘密鍵により署名してもよく、当該署名を、セキュリティ・スーパバイザ１０８がセキュリティ・ポリシを関連するペルソナに適用する前に、当該ペルソナ・オーナの対応する公開鍵を用いてモバイル通信装置１０により検証してもよい。第１のペルソナ１１０および第２のペルソナ１２０に対するオーナシップおよびセキュリティ・ポリシは、セキュリティ・スーパバイザ１０８により維持できる構成ファイルに格納される。さらに、当該オーナシップおよびセキュリティ・ポリシは暗号証明書により検証される。したがって、各ペルソナ・オーナが、それが所有するペルソナに関するオペレーティング・システム、信頼された実行環境、およびセキュリティ・ポリシを定義してもよい。

【0043】

第１のペルソナ１１０および第２のペルソナ１２０のセキュリティ・ポリシを、ペルソナ・オーナにより定義してもよく、ペルソナのコードから隔離して定義し、格納し、強制してもよい。当該セキュリティ・ポリシは、どのように各関連するペルソナがモバイル通信装置１０の物理装置にアクセスできるかを定義する。例えば、当該セキュリティ・ポリシは、１つまたは複数の物理装置に対するペルソナのアクセスを制限し、１つまたは複数の物理装置に対するペルソナの排他的アクセスに関するガイドラインを定義し、かつ／または、第１のペルソナ１１０および第２のペルソナ１２０に対する共有デバイス・アクセスに関するガイドラインを定義する。より具体的には、共有デバイスに対するアクセスに関するガイドラインにより、ユーザインタフェースの制御下にあるペルソナのみが共有デバイスにアクセスするように、当該デバイスの共有を可能としてもよい。さらに、共有デバイスにアクセスするための１つまたは複数のセキュリティ・ポリシ内の指定されたルールにより、バックグラウンドで実行されているペルソナが依然として共有デバイスにアクセスできるように、当該デバイスの共有を可能としてもよい。したがって、当該セキュリティ・ポリシにより定義されたルールにより、ペルソナ・オーナはそのニーズに適合するように、モバイル通信装置１０を多様な構成でカスタマイズすることができる。

【0044】

第１のペルソナ１１０のベースラインイメージおよび／またはファイル・システムを暗号化して、内部の媒体および／または取外し可能な媒体に格納してもよい。さらに、第１のペルソナ１１０のブートボリュームを暗号化して、第１のペルソナ１１０がブートしてそこに格納されたセンシティブなデータにアクセスできる前に、信頼されたブートプロセスからの事前ブート認証を必要とできるようにしてもよい。より具体的には、信頼されたブートプロセスの間、ユーザに、第１のペルソナ１１０をブートできる前に証明書を入力するように促してもよい。当該ユーザは、自己の証明書を入力する前にモバイル通信装置１０のステータスを検証したいかもしれない。例えば、当該ユーザが、入力画面が真正であることを保証するためにパスワードおよび／または個人的な識別番号（ＰＩＮ）を入力する前に、モバイル通信装置１０が信頼された状態にあるとの検証を要求してもよい。上述のように、モバイル通信装置１０は（図１に示す）セキュリティ・ボタン１７および／またはＬＥＤ１９および２１のようなセキュリティ機能を備える。当該セキュリティ機能は、入力画面が真正であることの検証を容易にするために、モバイル通信装置１０で実行されている信頼されていないコードからアクセス不能なハードウェアにおいて隔離されている。

【0045】

動作に際して、ユーザは、認証ダイアログが（図１に示す）タッチスクリーン１８に現れたときにセキュリティ・ボタン１７を作動してもよい。セキュリティ・ボタン１７を作動すると、モバイル通信装置１０に対する信頼のルート情報が表示され、かつ／または、当該認証ダイアログが現れるのを要求するソフトウェア要求に対する信頼のルート情報が表示される。例えば、当該信頼のルート情報が、モバイル通信装置１０および／またはモバイル通信装置１０で実行されているペルソナに関する信頼のルート情報を含んでもよい。したがって、ユーザは当該信頼のルート情報を検証し、要求された証明書を安全に入力してもよい。代替的な実装では、ＬＥＤ１９および２１が所定の構成で起動されたときに認証ダイアログを検証してもよい。

【0046】

１実装では、ユーザが、モバイル通信装置の動作ステータスを変更するのを望むかもしれない。より具体的には、ユーザが、モバイル通信装置１０で実行されているペルソナ間のモバイル通信装置１０のフォーカスを移すことを望むかもしれない。例えば、セキュリティ・ボタン１７を作動することで、第１のペルソナ１１０および第２のペルソナ１２０の間でフォーカスを移すのを容易にする。さらに、第１のＬＥＤ１９は第１のペルソナ１１０に割り当てられ、第２のＬＥＤ２１は第２のペルソナ１２０に割り当てられる。第１のペルソナ１１０にフォーカスがあるとき、第１のＬＥＤ１９を起動し、第２のＬＥＤ２１を停止してもよく、第２のペルソナ１２０にフォーカスがあるとき、第２のＬＥＤ２１を起動し、第１のＬＥＤ１９を停止してもよい。したがって、第１のＬＥＤ１９および第２のＬＥＤ２１は、モバイル通信装置１０の動作ステータスに基づいて、視覚的フィードバックをユーザに提供する。

【0047】

ＴＰＭ６０および６２のうち少なくとも１つは、モバイル通信装置１０に関するその存在を検証するようにユーザに促す物理的存在機能を有する。例えば、当該物理的存在機能を、モバイル通信装置１０で実行されている動作がリモートに実行されていないことを検証するように実装してもよい。したがって、セキュリティ・ボタン１７を押下してユーザの物理的存在を検証してもよい。

【0048】

図５は、モバイル通信装置１０とともに使用できるペルソナのオーナシップを要求する例示的な方法の流れ図である。例示的な実装では、モバイル通信装置１０は暗号の信頼のルートを使用して、第１のペルソナ１１０および第２のペルソナ１２０のオーナシップを定義する。例えば、第１のペルソナ１１０を或るエンティティにより使用するために構成してもよく、第２のペルソナ１２０を別のエンティティにより使用するために構成してもよい。モバイル通信装置１０の発行者（即ち、企業）は１つまたは複数のモバイル通信装置１０をユーザ（例えば、顧客および／または従業員）に発行してもよい。かかる実装では、第１のペルソナ１１０をビジネス利用のために構成してもよく、第２のペルソナ１２０を個人的な利用のために構成してもよい。代替的な実装では、モバイル通信装置１０を、別個のＳＩＭ、別個のサービスを割り当てることによって、および／または、第１のペルソナ１１０および第２のペルソナ１２０のデータ、オペレーティング・システム、およびセルラ通信を隔離することによって、ペルソナを分離するように構成してもよい。

【0049】

暗号の信頼のルートを使用することによって、モバイル通信装置１０は、ペルソナ構成の整合性を検証し、ペルソナの修正権限を認証されたパーティに限定することができる。例えば、モバイル通信装置１０を、そこにインストールされた少なくとも１つのデフォルトのペルソナ（即ち、定義されたオーナシップのないペルソナ）を有するエンド・ユーザに提供してもよい。デフォルトのペルソナは、製造者によるデフォルトの信頼アンカにより署名される。これは、ペルソナが修正されておらず、デフォルトのポリシがそれに割り当てられていることを示す。エンド・ユーザは次いで、当該デフォルトのペルソナを利用できるが、信頼のルートを定義することで最初にオーナシップを得ずにそれをカスタマイズすることはできない。

【0050】

オペレータ２００は、ペルソナマネージャ（ＰＭ）２０２のワークステーション上でペルソナに対する信頼のルートを生成することによって（２１２）、第２のペルソナ１２０のようなペルソナのオーナシップを主張する。幾つかの実装では、ＰＭ２０２により、オペレータ２００は、ペルソナに対するセキュリティ・ポリシを編集および／または定義でき、かつ／または、ペルソナのイメージおよび／または第２のＴＥＥ１２４のような信頼された実行環境を更新することができる。オペレータ２００は、オーナシップをデフォルトの信頼アンカから生成された（２１２）信頼のルートに移すために、デバイス・マネージャ（ＤＭ）２０４が第２のペルソナＯＳ１２２のようなオペレーティング・システムを主張するためのクレーム・チケットを生成する（２１４）ことを要求する。次いで当該転送が認証され（２１６）、モバイル通信装置１０がリブートされる（２１８）。

【0051】

リブート２１８の間、オペレータ２００はユニバーサル・シリアル・バス（ＵＳＢ）ケーブルをＤＭ２０４とモバイル通信装置１０の間で接続し、モバイル通信装置１０は当該ＵＳＢ接続を検出し、ペルソナのオペレーティング・システムがロードしないようにプログラミング・モードに入る。オペレータ２００は次いで、ＤＭ２０４がソフトウェアを実行してペルソナを新規のオーナに移すことをワークステーションに要求する（２２０）。当該要求は、セキュリティ・スーパバイザ２０６に向けられ（２２２）、新規のペルソナ信頼アンカを定義してもよい。セキュリティ・スーパバイザ２０６は次いで、生成された（２１４）クレーム・チケットを使用して、そのアイデンティティを検証するための認証をオペレータ２００に要求し（２２４）、オペレータ２００は認証要求２２４に応答して所定のデバイス・パスワードを入力する（２２６）。要求２２４を、生成された（２１２）信頼のルートにより署名してもよい。

【0052】

モバイル通信装置１０は次いで、セキュリティ・スーパバイザ２０６からの認証要求２２８をユーザに提供して、セキュア要素２０８を解除するための証明書を入力する。デフォルトの信頼アンカによりペルソナがオーナをもたないと確認された場合には、古いペルソナ資産のハッシュおよび署名がＤＭ２０４に転送される（２３４）。ＤＭ２０４は当該署名を検証し、関連する資産を署名することを認証された新規のペルソナの署名鍵で当該ハッシュを再度署名する。さらに、ペルソナ媒体鍵へのアクセスを可能とするペルソナ鍵が変更される。次いで置換署名がＤＭ２０４からモバイル通信装置１０に移され（２３６）、モバイル通信装置１０が当該署名を検証し、ペルソナ資産上の古い署名を新規の署名で置き換える。

【0053】

次いでペルソナ遷移ファイルが生成され（２３８）、ペルソナの構成ファイルの妥当性、および、既にモバイル通信装置１０にある他の構成ファイルとの衝突がチェックされる。当該構成ファイルの正当性が確認された場合にはプロセスは進行し、構成ファイルの間に衝突が存在する場合にはソフトウェア更新は停止する。ユーザのペルソナ認証は、媒体鍵が新規の信頼のルートによりアクセスできＤＭ２０４に返却できる（２４２）ように、認証が進んだ際に更新される（２４０）。

【0054】

ＤＭ２０４は、更新されている資産を署名し、署名されたハッシュを返す。例えば、更新されている資産が、再署名されたハッシュで更新された署名を有してもよく、かつ／または、新規の署名で更新してもよい（２４６）。ペルソナ遷移ファイルは、プロセスを割り込まれた更新から再開できるように、各更新の後にチェックポイントされる（２４４）。当該更新が完了した後、バッファ・データがフラッシュ２１０にフラッシュされ（２４８）、ペルソナ遷移ファイルが削除され（２５０）、モバイル通信装置１０がリブートされる（２５２）。

【0055】

図６は、モバイル通信装置１０で実施される動作を認証する際に使用するための例示的なシステム３００の略図である。例示的な実装では、エンティティを、モバイル通信装置１０のような対象のコンピューティング装置にインストールされたソフトウェアを修正するのが許可される前に、認証する必要があってもよい。例えば、一旦ペルソナがモバイル通信装置１０にロードされると、デバイス・ホルダはそのペルソナを削除および／または置換するための権限を保持するが、ペルソナ・オーナはそれを修正する権限を有する。したがって、当該ペルソナ・オーナの代わりに動作するエンティティを、ペルソナを修正するための所定の許可を当該ペルソナ・オーナにより当該エンティティに付与する際に認証する必要があってもよい。本明細書で使用する際、「デバイス・ホルダ」という用語は、デフォルトのペルソナを使用してモバイル通信装置１０を操作するエンティティをいう。

【0056】

デバイス・マネージャ（ＤＭ）３０２のような管理者コンピュータが、モバイル通信装置１０での動作を実施するための認証についての要求を生成し認証サーバ３０４に送信してもよい。当該要求は、モバイル通信装置１０で実施する動作に関するパラメータを指定するファイルである。例示的なパラメータには、対象のコンピューティング装置（例えば、モバイル通信装置１０）の識別、当該対象のコンピューティング装置で実施される動作、当該動作が実施される期間、および当該対象のコンピューティング装置の地理的位置が含まれるがこれらに限られない。さらに、当該要求は管理者に割り当てられた秘密鍵と公開鍵の対の第１の秘密鍵により署名される。幾つかの実装では、当該要求を、取外し可能媒体（図示せず）を介して送信してもよい。

【0057】

認証サーバ３０４は当該要求をＤＭ３０２から受信し、ＤＭ３０２の署名を第１の秘密鍵と公開鍵の対のうち公開鍵で検証する。認証サーバ３０４はまた、実施する動作に関するパラメータがモバイル通信装置１０に対するセキュリティ・ポリシと整合するかどうかを判定する。認証されたパラメータを認証データベース３０６に格納してもよい。認証データベース３０６は、認証サーバ３０４によりアクセス可能である。認証サーバ３０４は次いで、当該要求が認証された場合に認証応答を生成する。当該認証応答がＤＭ３０２からの要求と認証サーバ３０４により生成された認証トークンとを含んでもよい。当該認証トークンを使用して、当該要求された動作を認証してもよい。幾つかの実施形態では、当該認証トークンが、当該要求された動作を実施でき、特定の対象のコンピューティング装置に対する権限の付与に制限でき、かつ／またはモバイル通信装置１０での単一の動作または複数の動作の実行を認証できる、所定の認証期間を有してもよい。例としてのみ、当該認証トークンが、所定の対象のコンピューティング装置で動作を実施するための認証、および／または、当該対象のコンピューティング装置で所定の動作を実施するための認証を含んでもよい。さらに、当該認証トークンを、モバイル通信装置１０で動作を実施する要求を受信する前、および、モバイル通信装置１０で動作を実施する要求の検証に応答して、のうち少なくとも１つで生成してもよい。当該認証応答を次いで、当該認証サーバのコンピュータに関連付けられた秘密鍵と公開鍵の対のうち第２の秘密鍵により署名し、管理者のコンピュータに送信してもよい。代替的な実装では、当該認証応答を認証オペレータにより署名してもよい。例えば、当該要求を待ち行列に入れ、認証オペレータにより署名、許可、または拒否してもよい。幾つかの実装では、当該認証応答を、取外し可能媒体（図示せず）を介して送信してもよい。

【0058】

ＤＭ３０２は、認証応答を受信し、認証トークンが要求された動作を認証するかどうかを判定する。例えば、ＤＭ３０２が当該認証応答を第２の秘密鍵と公開鍵の対の公開鍵で検証してもよい。当該認証応答は第２の秘密鍵と公開鍵の対のうち秘密鍵で署名される。ＤＭ３０２は次いで、当該認証応答のファイルをモバイル通信装置１０に送信して、当該要求が認証された場合に実施される動作を要求する。当該認証応答を送信するステップが、第１の秘密鍵と公開鍵の対の秘密鍵で当該認証応答を署名するステップを含んでもよい。モバイル通信装置１０は、当該認証応答を受信し、管理者のコンピュータに関連付けられた第１の秘密鍵と公開鍵の対のうち公開鍵で当該署名を検証し、当該認証応答で指定されたパラメータがモバイル通信装置１０に対するセキュリティ・ポリシと整合するかどうかを判定する。当該署名が検証され当該パラメータが整合する場合、モバイル通信装置１０により当該要求された動作を進行することができる。次いで、その特権動作をモバイル通信装置１０で実施してもよい。代替的な実装では、当該認証応答が認証信頼のルートに対する証明書チェーンを含んでもよい。さらに、代替的な実装では、認証トークンを、スニーカーネットを介して生成し送信してもよい。

【0059】

図７は、モバイル通信装置１０とともに使用できるペルソナ・ソフトウェアを更新する例示的な方法の流れ図である。例示的な実装では、オペレータ４００は、第２のペルソナ１２０のような既存のペルソナＯＳを、ＵＳＢケーブルをデバイス・マネージャ（ＤＭ）のワークステーション４０２からモバイル通信装置１０に接続することによって、更新してもよい。デバイス管理ソフトウェアが実行され、オペレータ４００はモバイル通信装置１０にリブート４１０するよう指示する。リブート４１０の間、ペルソナのオペレーティング・システムがロードしないように、モバイル通信装置１０は当該ＵＳＢ接続を検出しプログラミング・モードに入る。オペレータ４００は次いで、モバイル通信装置１０上のペルソナＯＳに対する更新を要求する（４１４）ようにＤＭソフトウェア４１２に指示する。ＤＭワークステーション４０２は認証サーバにコンタクトして認証トークンを取得する。当該認証トークンをキャッシュし、かつ／または、オフラインソースからロードしてもよい。セキュリティ・スーパバイザ４０４は次いで当該要求４１４を認証してもよく（４１６）、ペルソナ更新４１８が進行してもよい。幾つかの実装では、正当な認証トークンが存在しない場合には、当該ＤＭソフトウェアはオペレータ４００に警告し、更新プロセスの実施を拒否する。

【0060】

ＤＭワークステーション４０２は、セキュア要素４０６を解錠するために使用できる共有秘密鍵を含む。認証されたペルソナに関連する記憶暗号化鍵のみを、当該共有秘密鍵により提供された認証を用いてセキュア要素４０６から取り出してもよい。モバイル通信装置１０は次いで、当該認証トークンを検証し、オペレータ４００が当該要求された動作を実施するための特権を有することを検証する。当該ユーザがセキュア要素４０６により認証され（４２０）、オペレータ４００が正しい証明書を有さない場合には当該動作が中断される。

【0061】

当該ＤＭソフトウェアは次いでペルソナのデバイス・ジオメトリ・データをモバイル通信装置１０に要求する（４２２）。当該デバイス・ジオメトリ・データがＯＳのサイズおよびペルソナのＴＥＥコンポーネントを含んでもよいが、これらに限られない。当該ペルソナのジオメトリが当該デバイス・ジオメトリにマッチする場合にはソフトウェア更新が進み、ミスマッチが存在する場合には当該ソフトウェア更新を停止しエラーを表示する。代替的な実装では、ペルソナ・オーナが当該更新の互換性を検証できるように、ペルソナが所有するパッケージのリビジョン番号を提供してもよい。

【0062】

当該ＤＭソフトウェアは、更新すべきソフトウェアをモバイル通信装置１０に送信する（４２４）ことでロード・プロセスを開始する。１実装では、ソフトウェア更新は、ペルソナの構成が当該更新に含まれる場合には、当該ペルソナの構成を送信する（４２６）ことで開始する。セキュリティ・スーパバイザ４０４は次いで当該構成ファイルのジオメトリ、信頼のルート、および署名を検証し評価して、モバイル通信装置１０に既にロードされている他の構成ファイルとの衝突が生ずるかどうかを判定する。当該構成ファイルの正当性が確認されている（４２８）場合、および／または、当該構成ファイルが更新されていない場合、ソフトウェア更新は進行し、構成ファイルの間に衝突が存在する場合には当該ソフトウェア更新は停止する。さらに、更新されたオペレーティング・システムおよび／または信頼された実行環境をモバイル通信装置１０にロードしてもよい（４３０および４３２）。

【0063】

送信されたソフトウェア更新がフラッシュメモリ４０８に格納され、信頼アンカに対して検証される。次いでペルソナ遷移ファイルを生成して（４３４）どのソフトウェアを更新すべきかを示し、当該ソフトウェアがフラッシュ４０８に書き込まれ、各更新後にチェックポイントが当該遷移ファイル内に生成される。例えば、当該新規の構成ファイルがフラッシュ４０８に書き込まれ（４３６）、当該遷移ファイルがチェックポイントされ（４３８）、新規のペルソナのＯＳファイル・システムがフラッシュ４０８に書き込まれ（４４０）、当該遷移ファイルがチェックポイントされ（４４２）、当該新規のペルソナのＴＥＥファイル・システムがフラッシュ４０８に書き込まれ（４４４）、当該遷移ファイルがチェックポイントされる（４４６）。例示的な実装では、ターゲットのフラッシュ・ファイル・システムが、以前に格納されたメモリ内容からプログラムされ、当該構成ファイルからの記憶鍵を用いた転送中に暗号化される。更新が完了した後、バッファ・データがフラッシュ４０８にフラッシュされ（４４８）、ペルソナ遷移ファイルが削除され（４５０）、モバイル通信装置１０がリブートされる（４５２）。

【0064】

図８は、モバイル通信装置１０とともに使用できるペルソナのオーナシップを移す例示的な方法の流れ図である。モバイル通信装置１０にロードされたペルソナのオーナシップを、ペルソナのデータを更新することなく新規のオーナに移してもよい。例示的な実装では、当該新規のオーナは、デバイス・マネージャ（ＤＭ）（新たなＲｏＴ）５０２内部の転送チケットを生成する（５１０）。当該転送チケットが、移すべき特定のデバイスと期待される現在の信頼のルートとを詳述するデータのブロックであってもよい。当該データのブロックは次いで現在のペルソナ・オーナに送信され、現在のペルソナ・オーナは現在のペルソナのオーナＤＭ（新たなＲｏＴ）５０２内部の情報を検証する。

【0065】

現在のペルソナ・オーナの代わりに動作しているオペレータ５００は次いで、ペルソナを移すことについてオペレータおよび現在のペルソナ・オーナがＤＭ（古いＲｏＴ）５０３により認証された（５１２および５１４）かどうかを示す認証トークンを取得する。次いで当該認証トークンが追加され転送チケットを署名し、署名された転送チケットが移されてフラッシュ５０８に格納される（５１６）。署名された転送チケットを、将来の新規のペルソナ・オーナに、セキュア要素５０６内部のペルソナ・スロットに対する認証鍵とともに返却してもよい。かかる実装では、当該認証鍵を、当該転送チケットに付加された新規のペルソナ・オーナのＤＭオペレータ公開鍵を用いてラップしてもよい。当該新規のペルソナ・オーナの代わりに動作するオペレータが次いで、ラップした転送チケットを使用して転送プロセスを開始してもよい。より具体的には、モバイル通信装置１０は当該新規のペルソナ・オーナの証明書を検証し、当該転送を認証してもよい。

【0066】

オペレータ５００は次いで、ＵＳＢケーブルをＤＭ（新たなＲｏＴ）５０２のワークステーションからモバイル通信装置１０に接続する。デバイス管理ソフトウェアが実行され、オペレータ５００がリブート５１８するようにモバイル通信装置１０に指示する。リブート５１８の間、モバイル通信装置１０は、当該ＵＳＢ接続を検出し、ペルソナのオペレーティング・システムをロードしないようにプログラミング・モードに入る。オペレータ５００は次いで、現在のペルソナ・オーナが所有するペルソナを新規のペルソナ・オーナに移すようにＤＭソフトウェアに指示する。転送チケットは、認証に必要な情報、および遷移されたペルソナの過去のオーナに対する信頼のルートにより署名された要求を認証する役割を果たすオペレータ５００の公開鍵インフラ（ＰＫＩ）証明書を含む。

【0067】

当該ＤＭソフトウェアは、オペレータ５００の秘密鍵を使用して、認証鍵を転送チケットから開封する。次いで当該認証鍵を使用して（５２０）、ペルソナの転送を要求し（５２２）、当該オペレータがモバイル通信装置１０でセキュア要素５０６を解除するのを認証してもよい（５２４）。かかる実装では、認証５２４により、認証されたペルソナに関連する記憶暗号化鍵のみをセキュア要素５０６から取り出すことができる。

【0068】

当該遷移はさらに、古いペルソナ資産のハッシュをＤＭ５０２に転送するステップ（５３０）を含む。ＤＭ５０２は署名を検証し、関連する資産を署名するのが認証された新規のペルソナ署名鍵でハッシュを再度署名する。さらに、ペルソナ媒体鍵へのアクセスを可能とするペルソナ鍵が変更され、新規の値がＤＭ５０２に移される。次いで置換署名が、ＤＭ５０２からモバイル通信装置１０に移され（５３２）、モバイル通信装置１０が当該署名を検証し、ペルソナ資産の古い署名を新規の署名で置き換える。

【0069】

次いでペルソナ遷移ファイルが生成され（５３４）、当該ペルソナに対する構成ファイルの妥当性と、既にモバイル通信装置１０にロードされている他の構成ファイルとの衝突ががチェックされる。当該構成ファイルの妥当性が確認された場合にはプロセスは進行し、構成ファイルの間に衝突が存在する場合にはソフトウェア更新は停止する。媒体鍵に新規の信頼のルートによってアクセスしＤＭ５０２に返却できる（５３８）ように、進行が認証された際にユーザのペルソナ認証が更新される（５３６）。

【0070】

ＤＭ５０２は更新されている資産を署名し、署名されたハッシュを返す。例えば、更新されている資産は、再署名されたハッシュで更新される署名を有し、かつ／または、新規の署名で更新してもよい（５４２）。ペルソナ遷移ファイルは、割り込まれた更新からプロセスを再開できるように、各更新の後にチェックポイントされる（５４０）。当該更新が完了した後、バッファ・データがフラッシュ５０８にフラッシュされ（５４４）、当該ペルソナ遷移ファイルが削除され（５４６）、モバイル通信装置１０がリブートされる（５４８）。

【0071】

ペルソナ・オーナシップが新規のペルソナ・オーナに転送された後、新規の信頼関係を、遷移されたペルソナと、過去のペルソナ・オーナと信頼関係を有する任意のペルソナとの間で確立する必要があってもよい。より具体的には、モバイル通信装置１０で実行されている他のペルソナのペルソナ構成を、過去のペルソナ・オーナと同一の機能を維持するための新規のペルソナ・オーナとの信頼関係を確立するために、更新する必要があってもよい。

【0072】

図９は、モバイル通信装置１０とともに使用できる新規のペルソナをロードする例示的な方法の流れ図である。例示的な実装では、オペレータ６００はＵＳＢケーブルをデバイス・マネージャ（ＤＭ）ワークステーション６０２からモバイル通信装置１０に接続する。デバイス管理ソフトウェアが実行され、オペレータ６００がモバイル通信装置１０にリブートする（６１２）よう指示する。リブート６１２の間、モバイル通信装置１０は、ペルソナのオペレーティング・システムがロードしないように、当該ＵＳＢ接続を検出し、プログラミング・モードに入る。次いで、デバイスオーナにより保持されるデバイス・パスワードでＵＳＢ接続を認証するようにオペレータ６００を促し（６１４）、セキュア要素６０６を解除するためにデバイス・パスワードを入力し（６１６）、認証する（６１８）。代替的な実装では、モバイル通信装置１０を、工場出荷時の構成に再初期化しリセットしてもよい。

【0073】

次いでＤＭソフトウェアはペルソナのデバイス・ジオメトリ・データをモバイル通信装置１０に要求し（６２０）、オペレータ６００が、ペルソナ・パッケージを特定のペルソナ・スロットにロードする（６２２）ようにＤＭワークステーション６０２に指示する。当該デバイス・ジオメトリ・データが、ＯＳのサイズおよびペルソナのＴＥＥコンポーネントを含んでもよいが、これらに限られない。当該ペルソナのジオメトリが当該デバイス・ジオメトリとマッチする場合にはソフトウェア更新は進み、ミスマッチが存在する場合には当該ソフトウェア更新を停止しエラーを表示する。代替的な実装では、当該ペルソナのオーナが当該更新の互換性を検証できるように、ペルソナが所有するパッケージのリビジョン番号を提供してもよい。

【0074】

当該ＤＭソフトウェアは、モバイル通信装置１０にロードすべきソフトウェアを送信することによってロード・プロセスを開始する。１実装では、当該ソフトウェアのロードは、ペルソナの構成ファイルをモバイル通信装置１０に送信する（６２４）ことによって開始する。次いでセキュリティ・スーパバイザ６０４は当該構成ファイルのジオメトリ、信頼のルート、および署名を検証し評価して、モバイル通信装置１０に既にロードされている他の構成ファイルと衝突が生ずるかどうかを判定する。当該構成ファイルの妥当性が確認された場合には（６２６）、当該ソフトウェアのロードは進行し、構成ファイルの間に衝突が存在する場合には当該ソフトウェアのロードは停止する。幾つかの実装では、新規のペルソナＯＳと新規のＴＥＥがモバイル通信装置１０にロードされる（６２８および６３０）。

【0075】

送信されたソフトウェアはフラッシュメモリ６０８に格納され、信頼アンカに対して検証される。次いでペルソナ遷移ファイルが生成され（６３２）、上書きを示すように書き込まれる。更新プロセスが割り込まれた場合に障害から復旧するための適切な復旧措置を取れるように、当該上書き指示は永続的に書き込まれるセンチネル値である。より具体的には、ペルソナに対するセキュア要素６０６内の記憶媒体鍵が削除され（６３４）、古いペルソナ構成ファイルが消去され（６３６）、ペルソナのフラッシュ・ファイルシステムが消去され（６３８）、信頼されたプラットフォーム・モジュール（ＴＰＭ）６１０が強制クリアされる（６４０）。

【0076】

次いで新規のペルソナをモバイル通信装置１０に永続的にロードしてもよい。より具体的には、新規の構成ファイルがフラッシュ６０８に書き込まれ（６４２）、ユーザ認証データがセキュリティ・スーパバイザ６０４により読み出され（６４４）、ユーザがセキュア要素６０６の解除について認証される（６４６）。次いで秘密鍵と公開鍵の対の公開暗号化鍵（ＰＥＫ）を生成して（６４８）、セキュア要素６０６からペルソナ・オーナにエクスポートしてもよい（６５０）。当該ペルソナ・オーナは当該ＰＥＫをその認証局で署名し、構成ファイルの妥当性が確認された場合に（６５２）、ソフトウェアのロード６５４が進行する。次いで当該ＰＥＫを返却し、セキュア要素６０６に格納する（６５６）。

【0077】

ＰＥＫ秘密鍵と公開鍵の対の秘密鍵は、それがセキュア要素６０６からエクスポートされないように、セキュア要素６０６内に格納され、保護される。これにより、ペルソナ・オーナは、当該秘密鍵により署名された応答によって、サービスを実施する要求が認証されたデバイスから来たことを検証することができる。当該ＰＥＫを、ペルソナ・オーナシップが定義された時点で生成してもよく、例えば、ソフトウェア更新、要求、および／またはパッケージを認証するために使用してもよい。代替的な実装では、ペルソナ・オーナが特定のデバイスを対象とするデータを暗号化できるように、かつ、他のデバイスが当該データを復号化できないように、第２の秘密鍵と公開鍵の対を生成して、暗号化のために使用してもよい。

【0078】

次いで新規のペルソナＯＳファイル・システムがフラッシュ６０８に書き込まれ（６５８）、新規のペルソナＴＥＥファイル・システムがフラッシュ６０８に書き込まれ（６６０）、新規のペルソナ・データ・パーティションが生成される（６６２）。ターゲットのフラッシュのファイル・システムは、以前に格納されたメモリ内容からプログラムされ、構成ファイルからの記憶鍵を用いた転送中に暗号化される。更新が完了した後、ペルソナの遷移ファイルが削除され（６６４）、モバイル通信装置１０がリブートされる（６６６）。

【0079】

さらに、本発明は以下の項に従う実施形態を含む。

【0080】

項１：プロセッサ、第１の信頼されたプラットフォーム・モジュール、および第２の信頼されたプラットフォーム・モジュールを備えたモバイル通信装置を動作させるためのコンピュータ実行可能命令を格納した非一時的なコンピュータ可読媒体であって、当該コンピュータ実行可能命令は、当該プロセッサに、
第１のオペレーティング・システムおよび第１の信頼された実行環境を含む第１のペルソナに対する信頼のルートを確立させ、
第２のオペレーティング・システムおよび第２の信頼された実行環境を含む第２のペルソナに対する信頼のルートを確立させ、
第１のペルソナに対する信頼のルートを定義する測定値を第１の信頼されたプラットフォーム・モジュールに格納させ、
第２のペルソナに対する信頼のルートを定義する測定値を第２の信頼されたプラットフォーム・モジュールに格納させ、
第１のペルソナと第２のペルソナに対する信頼のルートを用いて第１のペルソナおよび第２のペルソナをロードさせる
非一時的なコンピュータ可読記憶媒体。

【0081】

項２：当該プロセッサに、第１のペルソナが第２のペルソナと通信して接続されるように、第１の信頼された実行環境と第２の信頼された実行環境の間で相互信頼を確立させるコンピュータ実行可能命令をさらに含む、項１に記載の非一時的なコンピュータ可読記憶媒体。

【0082】

項３：当該プロセッサに、基盤となるオペレーティング・システムをデバイス製造者の信頼のルートにより署名されたブート・ローダでロードさせるコンピュータ実行可能命令をさらに含む、項１に記載の非一時的なコンピュータ可読記憶媒体。

【0083】

項４：当該プロセッサに、第１のペルソナと第２のペルソナがロードされた後に、第１の信頼されたプラットフォーム・モジュールの制御を第１のペルソナに移し、第２の信頼されたプラットフォーム・モジュールの制御を第２のペルソナに移させる、コンピュータ実行可能命令をさらに含む、項１に記載の非一時的なコンピュータ可読記憶媒体。

【0084】

項５：当該プロセッサに、第１のペルソナおよび第２のペルソナに対するセキュリティ・ポリシを定義し、当該セキュリティ・ポリシをセキュリティ・スーパバイザで強制させる、コンピュータ実行可能命令をさらに含み、当該セキュリティ・ポリシはどのように第１のペルソナおよび第２のペルソナが当該モバイル通信装置上の物理装置にアクセスするかを定義する、項１に記載の非一時的なコンピュータ可読記憶媒体。

【0085】

記載した説明では、ベスト・モードを含む様々な実装を開示し、任意のデバイスまたはシステムを生成し使用することおよび任意の取り込まれた方法を実施することを含めて、当業者が様々な実装を実施できるようにするための例を使用した。本発明の特許可能な範囲は、特許請求の範囲により定義され、当業者が想到する他の例を含んでもよい。かかる他の例は、それらが諸請求項の文言と相違しない構造的要素を有する場合、または、それらが諸請求項の文言と実質的に相違しない均等な構造的要素を含む場合に、諸請求項の範囲内にあるものである。

【符号の説明】

【0086】

１４ 提示装置
１６ 入力装置
２２ メモリ
２４ プロセッサ
２６ コンピュータ可読媒体
３１ セルラ・コントローラ
３３A SIMソケット
３３B SIMソケット
３５ USBコントローラ
３９ ＨＤＭＩ（登録商標）コントローラ
６４ セキュア要素
６６ セキュリティ・スーパバイザ・メモリ
１０６ ハイパバイザ
１０８ セキュリティ・スーパバイザ
１４０ ブート・ローダ
１４４ ブート・ローダ
１４２ ブート・ローダ
２００ オペレータ
２１０ フラッシュ
２５２ リブート
３０２ デバイス・マネージャ
３０４ 認証サーバ
３０６ 認証データベース
４００ オペレータ
４０２ DMワークステーション
４０８ フラッシュ
４５２ リブート
５００ オペレータ
５０２ DM（新たなRoT）
５０３ DM（古いRoT）
５０８ フラッシュ
５４８ リブート
６００ オペレータ
６０２ DMワークステーション
６０８ フラッシュ
６６６ リブート

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】