特開 2023-84913 情報処理システム、情報処理装置、情報処理方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023084913

(43)【公開日】2023-06-20

(54)【発明の名称】情報処理システム、情報処理装置、情報処理方法、及びプログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20230613BHJP

   G06F 21/64 20130101ALI20230613BHJP

【ＦＩ】

G06F21/57 320

G06F21/57 350

G06F21/64

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2021199303

(22)【出願日】2021-12-08

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．Ｌｉｎｕｘ

(71)【出願人】

【識別番号】000006747

【氏名又は名称】株式会社リコー

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(72)【発明者】

【氏名】櫻田 大樹

(57)【要約】

【課題】更新用ファイルを用いて情報処理装置の起動用ファイルを更新する情報処理システムにおいて、更新した起動用ファイルをより正しく検証できるようにする。
【解決手段】情報処理システムは、更新用ファイルから求めたハッシュ値を用いて第１の署名データを作成する第１の作成部と、更新用ファイルと第１の署名データとを取得する取得部と、起動用ファイルを更新するときに、第１の署名データを用いて更新用ファイルを検証する第１の検証部と、検証した更新用ファイルで第２の情報処理装置の起動用ファイルを更新する更新部と、第１の署名データから取得したハッシュ値に基づいて、更新した起動用ファイルを検証する検証データを作成する第２の作成部と、更新した起動用ファイルを用いて第２の情報処理装置を起動するときに、検証データを用いて更新部が更新した起動用ファイルを検証する第２の検証部と、を有する。
【選択図】図４

【特許請求の範囲】

【請求項1】

更新用ファイルを提供する第１の情報処理装置と、前記更新用ファイルを用いて起動用ファイルを更新する第２の情報処理装置とを含む情報処理システムであって、
前記第１の情報処理装置は、
前記更新用ファイルから求めたハッシュ値を用いて、前記更新用ファイルに対する第１の署名データを作成する第１の作成部を有し、
前記第２の情報処理装置は、
前記更新用ファイルと前記第１の署名データとを取得する取得部と、
前記更新用ファイルで前記起動用ファイルを更新するときに、前記第１の署名データを用いて前記更新用ファイルを検証する第１の検証部と、
前記第１の検証部が検証した前記更新用ファイルで前記第２の情報処理装置の前記起動用ファイルを更新する更新部と、
前記第１の署名データから取得した前記ハッシュ値に基づいて、前記更新部が更新した前記起動用ファイルを検証する検証データを作成する第２の作成部と、
前記更新部が更新した前記起動用ファイルを用いて前記第２の情報処理装置を起動するときに、前記検証データを用いて前記更新部が更新した前記起動用ファイルを検証する第２の検証部と、
を有する、情報処理システム。

【請求項2】

前記検証データは、前記第１の署名データから取得した前記ハッシュ値を用いて作成した第２の署名データを含む、請求項１に記載の情報処理システム。

【請求項3】

前記検証データは、前記第１の署名データから取得した前記ハッシュ値を含む、請求項１に記載の情報処理システム。

【請求項4】

前記情報処理装置は、前記第１の検証部が前記更新用ファイルの検証に失敗したときに、エラーを通知する通知部を有する、請求項１乃至３のいずれか一項に記載の情報処理システム。

【請求項5】

前記情報処理装置は、前記第２の検証部が前記起動用ファイルの検証に失敗したときに、エラーを通知する通知部を有する、請求項１乃至３のいずれか一項に記載の情報処理システム。

【請求項6】

前記通知部は、前記エラーを通知するエラー通知画面を表示する、請求項４又は５に記載の情報処理システム。

【請求項7】

前記第２の作成部は、前記検証データを作成するときに、前記更新部が更新した前記起動用ファイルのハッシュ値の算出を行わずに、前記検証データを作成する、請求項１乃至６のいずれか一項に記載の情報処理システム。

【請求項8】

更新用ファイルを用いて起動用ファイルを更新する情報処理装置であって、
他の情報処理装置が作成した、起動用ファイルを更新する更新用ファイルと前記更新用ファイルを検証する第１の署名データとを取得する取得部と、
前記更新用ファイルで前記起動用ファイルを更新するときに、前記第１の署名データを用いて前記更新用ファイルを検証する第１の検証部と、
前記第１の検証部が検証した前記更新用ファイルで前記情報処理装置の前記起動用ファイルを更新する更新部と、
前記第１の署名データから取得したハッシュ値に基づいて、前記更新部が更新した前記起動用ファイルを検証する検証データを作成する第２の作成部と、
前記更新部が更新した前記起動用ファイルを用いて前記情報処理装置を起動するときに、前記検証データを用いて前記更新部が更新した前記起動用ファイルを検証する第２の検証部と、
を有する、情報処理装置。

【請求項9】

更新用ファイルを用いて起動用ファイルを更新する情報処理装置が、
他の情報処理装置が作成した、起動用ファイルを更新する更新用ファイルと前記更新用ファイルを検証する第１の署名データとを取得する取得処理と、
前記更新用ファイルで前記起動用ファイルを更新するときに、前記第１の署名データを用いて前記更新用ファイルを検証する第１の検証処理と、
前記第１の検証処理で検証した前記更新用ファイルで前記情報処理装置の前記起動用ファイルを更新する更新処理と、
前記第１の署名データから取得したハッシュ値に基づいて、前記更新処理で更新した前記起動用ファイルを検証する検証データを作成する第２の作成処理と、
前記更新処理で更新した前記起動用ファイルを用いて前記情報処理装置を起動するときに、前記検証データを用いて前記更新処理で更新した前記起動用ファイルを検証する第２の検証部と、
を実行する、情報処理方法。

【請求項10】

請求項９に記載の情報処理方法を情報処理装置に実行させる、プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理システム、情報処理装置、情報処理方法、及びプログラムに関する。

【背景技術】

【0002】

情報処理装置において、起動用のファイル（ファームウェア、又はソフトウェア）に対して改竄、又は破損等を検知し、起動中に正当なファイルのみ実行できるように検証する技術（例えばＴｒｕｓｔｅｄ Ｂｏｏｔ、又はＬｉｎｕｘ‐ＩＭＡ等）が知られている。

【0003】

また、更新時に、ネットワークサーバが作成した署名データを用いて更新用ファイルを検証するとともに、起動時に、Ｌｉｎｕｘ－ＩＭＡ等の署名ファイルで、更新した起動用ファイルを検証する情報処理システムが知られている（例えば、特許文献１参照）。

【発明の概要】

【発明が解決しようとする課題】

【0004】

特許文献１の技術では、ストレージデバイス等に書き込んだ更新後の起動用ファイルの一部が予期せぬエラー等で破損した場合、破損した起動用ファイルに基づいて検証用の署名データが作成されるため、起動用ファイルを正しく検証できないという問題がある。

【0005】

本発明の一実施形態は、上記の問題点に鑑みてなされたものであって、更新用ファイルを用いて情報処理装置の起動用ファイルを更新する情報処理システムにおいて、更新した起動用ファイルをより正しく検証できるようにする。

【課題を解決するための手段】

【0006】

上記の課題を解決するため、一実施形態に係る情報処理システムは、更新用ファイルを提供する第１の情報処理装置と、前記更新用ファイルを用いて起動用ファイルを更新する第２の情報処理装置とを含む情報処理システムであって、前記第１の情報処理装置は、前記更新用ファイルから求めたハッシュ値を用いて、前記更新用ファイルに対する第１の署名データを作成する第１の作成部を有し、前記第２の情報処理装置は、前記更新用ファイルと前記第１の署名データとを取得する取得部と、前記更新用ファイルで前記起動用ファイルを更新するときに、前記第１の署名データを用いて前記更新用ファイルを検証する第１の検証部と、前記第１の検証部が検証した前記更新用ファイルで前記第２の情報処理装置の前記起動用ファイルを更新する更新部と、前記第１の署名データから取得した前記ハッシュ値に基づいて、前記更新部が更新した前記起動用ファイルを検証する検証データを作成する第２の作成部と、前記更新部が更新した前記起動用ファイルを用いて前記第２の情報処理装置を起動するときに、前記検証データを用いて前記更新部が更新した前記起動用ファイルを検証する第２の検証部と、を有する。

【発明の効果】

【0007】

本発明の一実施形態によれば、更新用ファイルを用いて情報処理装置の起動用ファイルを更新する情報処理システムにおいて、更新した起動用ファイルをより正しく検証できるようになる。

【図面の簡単な説明】

【0008】

【図1】一実施形態に係る情報処理システムのシステム構成の例を示す図である。

【図2】一実施形態に係るコンピュータのハードウェア構成の例を示す図である。

【図3】一実施形態に係る画像形成装置のハードウェア構成の例を示す図である。

【図4】一実施形態に係る情報処理システムの機能構成の例を示す図である。

【図5】第１の実施形態に係るサーバ装置の処理のイメージを示す図である。

【図6】第１の実施形態に係るサーバ装置の処理の例を示すフローチャートである。

【図7】第１の実施形態に係る情報処理装置の更新時の処理のイメージを示す図である。

【図8】第１の実施形態に係る情報処理装置の更新時の処理の例を示すフローチャートである。

【図9】第１の実施形態に係るエラー通知画面の例を示す図（１）である。

【図10】第１の実施形態に係る情報処理装置の起動時の処理のイメージを示す図である。

【図11】第１の実施形態に係る情報処理装置の起動時の処理の例を示すフローチャートである。

【図12】第１の実施形態に係るエラー通知画面の例を示す図（２）である。

【図13】第２の実施形態に係る情報処理装置の更新時の処理の例を示すフローチャートである。

【図14】第２の実施形態に係る情報処理装置の起動時の処理の例を示すフローチャートである。

【発明を実施するための形態】

【0009】

以下、本発明の実施形態について、図面を参照しながら詳細に説明する。
＜システム構成＞
図１は、一実施形態に係る情報処理システムのシステム構成の例を示す図である。情報処理システム１は、情報処理装置１００の更新用ファイル２１を提供するサーバ装置１０と、更新用ファイル２１を用いて起動用ファイル１２１を更新する情報処理装置１００とを含む。

【0010】

サーバ装置（第１の情報処理装置）１０は、例えば、コンピュータの構成を有する情報処理装置、又は複数のコンピュータを含むシステムである。なお、コンピュータは、物理マシン（コンピュータ）に限られず、クラウド上の仮想マシン等であってもよい。サーバ装置１０は、１つ以上のコンピュータで、所定のプログラム（署名作成アプリケーション等）を実行することにより、更新用ファイル２１を検証するための第１の署名データ２２を作成する。また、サーバ装置１０は、更新用ファイル２１と第１の署名データ２２とを含むダウンロードファイル２０を情報処理装置１００に提供する。このとき、サーバ装置１０は、更新用ファイル２１から求めたハッシュ値を用いて、更新用ファイル２１に対する第１の署名データ２２を作成する。

【0011】

ここで、更新用ファイル２１は、情報処理装置１００が起動時に読み込んで実行するプログラム（ソフトウェア、又はファームウェア）である起動用ファイル１２１を更新するためのプログラムである。なお、更新用ファイル２１、及び起動用ファイル１２１には、プログラムに加えて、例えば、設定データ等のデータが含まれていてもよい。第１の署名データ２２は、更新用ファイル２１が改竄されていないことを確認するためのデジタル署名である。

【0012】

情報処理装置（第２の情報処理装置）１００は、例えば、コンピュータの構成を有する画像形成装置等の電子機器、又はＰＣ（Personal Computer）、タブレット端末、又はスマートフォン等の汎用の情報処理装置である。なお、電子機器は、画像形成装置に限られず、例えば、ＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、又はＨＵＤ（Head Up Display）装置等であってもよい。また、電子機器は、例えば、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブル端末等であってもよい。

【0013】

ここでは、一例として、情報処理装置１００が、スキャン機能、コピー機能、印刷機能、及びＦＡＸ機能等を一つの筐体に搭載したＭＦＰ（Multifunction Peripheral）等の画像形成装置であるものとして以下の説明を行う。

【0014】

情報処理装置１００は、サーバ装置１０が提供するダウンロードファイル２０を取得し、例えば、外部メモリ、又は情報処理装置１００が備えるストレージデバイス等の一時記憶領域１１０に記憶する。例えば、情報処理装置１００は、通信ネットワーク２を介して、サーバ装置１０からダウンロードファイル２０をダウンロードして一時記憶領域１１０に記憶してもよい。或いは、情報処理装置１００は、他の情報処理装置がダウンロードしたダウンロードファイル２０を、他の情報処理装置を介して取得してもよい。例えば、情報処理装置１００は、他の情報処理装置がダウンロードファイル２０を保存した外部メモリを、一時記憶領域１１０として使用してもよい。

【0015】

情報処理装置１００は、起動用ファイル１２１を更新するときに、更新用ファイル２１を第１の署名データ２２で検証し、検証に成功した場合、記憶部１２０に記憶している起動用ファイル１２１を、更新用ファイル２１で更新する。これにより、情報処理装置１００は、起動用ファイル１２１の更新に用いる更新用ファイル２１が改竄されていないこと（完全性、又は真正性）を保証することができる。

【0016】

このとき、情報処理装置１００は、更新した起動用ファイル１２１を検証する検証データを作成し、起動用ファイル１２１のメタデータ領域に格納する。また、情報処理装置１００は、更新した起動用ファイル１２１を用いて起動するときに、更新した起動用ファイル１２１を、メタデータ領域に格納した検証データで検証し、検証に成功した場合、更新した起動用ファイル１２１へのアクセスを許可する。これにより、情報処理装置１００は、更新した起動用ファイル１２１が改竄されていないこと（完全性、又は真正性）を保証することができる。

【0017】

ただし、従来の技術では、例えば、Ｌｉｎｕｘ－ＩＭＡ（Integrity Measurement. Architecture）等の署名データを使って、更新した起動用ファイル１２１が改竄されていないことを検証していた。この方法では、更新した起動用ファイル１２１が、予期せぬエラー等により一部のデータが破損した場合、破損した起動用ファイル１２１に基づいて署名データを作成するため、破損した起動用ファイル１２１を正しく検証することができないという問題がある。

【0018】

また、従来の技術では、更新した起動用ファイル１２１を記憶部１２０に記憶した後に、更新した起動用ファイル１２１に対してハッシュ演算を行い、署名データ等を作成しているため、ハッシュ演算のための処理時間を要するという問題がある。

【0019】

そこで、本実施形態に係る情報処理装置１００は、ダウンロードファイル２０に含まれる第１の署名データ２２から、サーバ装置１０が算出したハッシュ値を取得し、取得したハッシュ値に基づいて、更新した起動用ファイル１２１を検証する検証データを作成する。これにより、本実施形態に係る情報処理装置１００は、更新した起動用ファイル１２１の一部のデータが破損した場合でも、サーバ装置１０が算出したハッシュ値に基づく検証データを用いて、更新した起動用ファイル１２１を正しく検証することができる。また、情報処理装置１００は、更新した起動用ファイル１２１に対してハッシュ演算を行わずに、検証データを作成するため、ハッシュ演算のための処理時間を削減することができる。

【0020】

以上、本実施形態によれば、更新用ファイルを用いて情報処理装置１００の起動用ファイルを更新する情報処理システム１において、更新した起動用ファイルをより正しく検証できるようになる。

【0021】

なお、図１に示した情報処理システム１のシステム構成は一例である。例えば、サーバ装置１０と情報処理装置１００とは、通信ネットワーク２を介して接続されていなくてもよい。具体的な一例として、情報処理装置１００は、他の情報処理装置がサーバ装置１０からダウンロードしたダウンロードファイル２０を、外部メモリ等を介して取得してもよい。

【0022】

＜ハードウェア構成＞
サーバ装置１０は、例えば、図２に示すようなコンピュータ２００のハードウェア構成を有している。或いは、サーバ装置１０は、複数のコンピュータ２００によって構成される。

【0023】

図２は、一実施形態に係るコンピュータのハードウェア構成の例を示す図である。コンピュータ２００は、例えば、図２に示されるように、ＣＰＵ（Central Processing Unit）２０１、ＲＯＭ（Read Only Memory）２０２、ＲＡＭ（Random Access Memory）２０３、ＨＤ（Hard Disk）２０４、ＨＤＤ（Hard Disk Drive）コントローラ２０５、ディスプレイ２０６、外部機器接続Ｉ／Ｆ（Interface）２０７、ネットワークＩ／Ｆ２０８、キーボード２０９、ポインティングデバイス２１０、ＤＶＤ－ＲＷ（Digital Versatile Disk Rewritable)ドライブ２１２、メディアＩ／Ｆ２１４、及びバスライン２１５等を備えている。

【0024】

これらのうち、ＣＰＵ２０１は、コンピュータ２００全体の動作を制御する。ＲＯＭ２０２は、例えば、起動用ファイル等のコンピュータ２００の起動に用いられるプログラム、及びデータ等を記憶する。ＲＡＭ２０３は、例えば、ＣＰＵ２０１のワークエリア等として使用される。ＨＤ２０４は、例えば、ＯＳ（Operating System）、アプリケーション、デバイスドライバ等のプログラムや、各種データを記憶する。ＨＤＤコントローラ２０５は、例えば、ＣＰＵ２０１の制御に従ってＨＤ２０４に対する各種データの読み出し又は書き込みを制御する。

【0025】

ディスプレイ２０６は、例えば、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示する。なお、ディスプレイ２０６は、コンピュータ２００の外部に設けられていても良い。外部機器接続Ｉ／Ｆ２０７は、コンピュータ２００に、例えば、外部メモリ等の様々な外部装置を接続するためのインタフェースである。ネットワークＩ／Ｆ２０８は、例えば、通信ネットワーク２等を利用してデータ通信をするためのインタフェースである。

【0026】

キーボード２０９は、文字、数値、各種指示などの入力のための複数のキーを備えた入力手段の一種である。ポインティングデバイス２１０は、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行なう入力手段の一種である。なお、キーボード２０９、及びポインティングデバイス２１０は、コンピュータ２００の外部に設けられていても良い。

【0027】

ＤＶＤ－ＲＷドライブ２１２は、着脱可能な記録媒体の一例としてのＤＶＤ－ＲＷ２１１に対する各種データの読み出し又は書き込みを制御する。なお、ＤＶＤ－ＲＷ２１１は、ＤＶＤ－ＲＷに限らず、他の着脱可能な記録媒体であっても良い。メディアＩ／Ｆ２１４は、フラッシュメモリ等のメディア２１３に対するデータの読み出し又は書き込み（記憶）を制御する。バスライン２１５は、上記の各構成要素を電気的に接続するためのアドレスバス、データバス及び各種の制御信号等を含む。

【0028】

なお、図２に示すコンピュータ２００の構成は一例である。コンピュータ２００は、例えば、ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、及びネットワークＩ／Ｆ２０８等を有していれば、他は任意の構成であって良い。

【0029】

（画像形成装置のハードウェア構成）
ここでは、情報処理装置１００の一例である画像形成装置３００のハードウェア構成について説明する。なお、情報処理装置１００は、図２に示すようなコンピュータ２００のハードウェア構成を有していてもよい。

【0030】

図３は、一実施形態に係る画像形成装置のハードウェア構成の例を示す図である。画像形成装置３００は、例えば、図３に示されるように、コントローラ３１０、近距離通信回路３２０、エンジン制御部３３０、操作パネル３４０、ネットワークＩ／Ｆ３５０、及び外部機器接続Ｉ／Ｆ３６０等を備えている。

【0031】

これらのうち、コントローラ３１０は、コンピュータの主要部であるＣＰＵ３０１、システムメモリ（ＭＥＭ－Ｐ）３０２、ノースブリッジ（ＮＢ）３０３、サウスブリッジ（ＳＢ）３０４、ＡＳＩＣ（Application Specific Integrated Circuit）３０５、記憶部であるローカルメモリ（ＭＥＭ－Ｃ）３０６、ＨＤＤコントローラ３０７、及び、記憶部であるＨＤ３０８等を有し、ＮＢ３０３とＡＳＩＣ３０５との間をＡＧＰ（Accelerated Graphics Port）バス３１１で接続した構成となっている。

【0032】

これらのうち、ＣＰＵ３０１は、画像形成装置３００の全体制御を行なう制御部である。ＮＢ３０３は、ＣＰＵ３０１と、ＭＥＭ－Ｐ３０２、ＳＢ３０４、及びＡＧＰバス３１１とを接続するためのブリッジであり、ＭＥＭ－Ｐ３０２に対する読み書きなどを制御するメモリコントローラと、ＰＣＩ（Peripheral Component Interconnect）マスタ及びＡＧＰターゲットとを有する。

【0033】

ＭＥＭ－Ｐ３０２は、コントローラ３１０の各機能を実現させるプログラムやデータの格納用メモリであるＲＯＭ３０２ａ、プログラムやデータの展開、及びメモリ印刷時の描画用メモリなどとして用いるＲＡＭ３０２ｂとからなる。なお、ＲＡＭ３０２ｂに記憶されているプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成しても良い。また、ＲＯＭ３０１ａは、起動用ファイル１２１を記憶する起動用の記憶領域の一例である。

【0034】

ＳＢ３０４は、ＮＢ３０３とＰＣＩデバイス、周辺デバイスとを接続するためのブリッジである。ＡＳＩＣ３０５は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ(Integrated Circuit)であり、ＡＧＰバス３１１、ＰＣＩバス３１２、ＨＤＤコントローラ３０７、及びＭＥＭ－Ｃ３０６をそれぞれ接続するブリッジの役割を有する。このＡＳＩＣ３０５は、ＰＣＩターゲット及びＡＧＰマスタ、ＡＳＩＣ３０５の中核をなすアービタ（ＡＲＢ）、ＭＥＭ－Ｃ３０６を制御するメモリコントローラ、ハードウェアロジック等により画像データの回転などを行なう複数のＤＭＡＣ（Direct Memory Access Controller）、並びに、スキャナ部３３１及びプリンタ部３３２との間でＰＣＩバス３１２を介したデータ転送を行なうＰＣＩユニットとからなる。なお、ＡＳＩＣ３０５には、ＵＳＢのインタフェースや、ＩＥＥＥ１３９４（Institute of Electrical and Electronics Engineers 1394）のインタフェースを接続するようにしても良い。

【0035】

ＭＥＭ－Ｃ３０６は、コピー用画像バッファ及び符号バッファとして用いるローカルメモリである。ＨＤ３０８は、画像データの蓄積、印刷時に用いるフォントデータの蓄積、フォームの蓄積を行なうためのストレージである。なお、ＨＤ３０８は、例えば、ＯＳ、アプリケーション、デバイスドライバ等のプログラムや、各種データを記憶しても良い。ＨＤＤコントローラ３０７は、ＣＰＵ３０１の制御に従ってＨＤ３０８に対するデータの読出又は書込を制御する。ＡＧＰバス３１１は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレータカード用のバスインタフェースであり、ＭＥＭ－Ｐ３０２に高スループットで直接アクセスすることにより、グラフィックスアクセラレータカードを高速にすることができる。

【0036】

近距離通信回路３２０は、近距離通信回路用のアンテナ３２０ａ等を用いて、各種の近距離無線通信を行なう。エンジン制御部３３０は、例えば、スキャナ部３３１及びプリンタ部３３２等によって構成されている。スキャナ部３３１は、原稿等を読み取る読取装置である。プリンタ部３３２は、印刷データを印刷媒体に印刷する印刷装置である。スキャナ部３３１又はプリンタ部３３２には、例えば、誤差拡散やガンマ変換等の画像処理部分が含まれている。

【0037】

操作パネル３４０は、現在の設定値や選択画面等を表示させ、操作者からの入力を受け付けるタッチパネル等のパネル表示部３４０ａ、並びに、濃度の設定条件などの画像形成に関する条件の設定値を受け付けるテンキー及びコピー開始指示を受け付けるスタートキー等からなる操作ボタン３４０ｂを備えている。コントローラ３１０は、画像形成装置３００全体の制御を行ない、例えば、描画、通信、操作パネル３４０からの入力等を制御する。

【0038】

なお、画像形成装置３００は、例えば、操作パネル３４０のアプリケーション切り替えキーにより、ドキュメントボックス機能、コピー機能、プリンタ機能、及びファクシミリ機能を順次に切り替えて選択することが可能となる。例えば、ドキュメントボックス機能の選択時にはドキュメントボックスモードとなり、コピー機能の選択時にはコピーモードとなり、プリンタ機能の選択時にはプリンタモードとなり、ファクシミリモードの選択時にはファクシミリモードとなる。

【0039】

ネットワークＩ／Ｆ３５０は、通信ネットワーク２を利用してデータ通信をするためのインタフェースである。外部機器接続Ｉ／Ｆ３６０は、画像形成装置３００に、例えば、外部メモリ等の様々な外部装置を接続するためのインタフェースである。近距離通信回路３２０、ネットワークＩ／Ｆ３５０、及び外部機器接続Ｉ／Ｆ３６０は、例えば、ＰＣＩバス３１２を介して、ＡＳＩＣ３０５に電気的に接続されている。

【0040】

なお、図３に示した画像形成装置３００のハードウェア構成は、情報処理装置１００のハードウェア構成の一例である。情報処理装置１００は、例えば、ＣＰＵ３０１、ＲＯＭ３０２ａ、ＲＡＭ３０２ｂ、ネットワークＩ／Ｆ２０８、及び外部機器接続Ｉ／Ｆ３６０等を有していれば、他は任意の構成であって良い。

【0041】

＜機能構成＞
続いて、情報処理システム１の機能構成について説明する。図４は、一実施形態に係る情報処理システムの機能構成の例を示す図である。

【0042】

（サーバ装置の機能構成）
サーバ装置（第１の情報処理装置）１０は、例えば、記憶部４２１、第１の作成部４２２、及び提供部４２３等を有する。

【0043】

記憶部４２１は、例えば、ＣＰＵ２０１が実行するプログラム、及びＨＤ２０４、ＨＤＤコントローラ２０５等によって実現され、ダウンロードファイル２０、及び秘密鍵Ａ４２４等を記憶する。情報処理システム１は、公開鍵暗号の秘密鍵Ａと公開鍵Ａの組合せを生成し、サーバ装置１０の記憶部４２１に秘密鍵Ａを予め記憶するとともに、情報処理装置１００の記憶部１２０に公開鍵Ａを予め記憶しておく。

【0044】

第１の作成部４２２は、例えば、ＣＰＵ２０１が実行するプログラム（署名作成アプリケーション等）によって実現され、更新用ファイル２１を検証するための第１の署名データ２２を作成する第１の作成処理を実行する。また、第１の作成部４２２は、更新用ファイル２１と第１の署名データ２２とを含むダウンロードファイル２０を作成し、記憶部４２１に記憶する。

【0045】

提供部４２３は、例えば、ＣＰＵ２０１が実行するプログラム（署名作成アプリケーション等）によって実現され、第１の作成部４２２が作成したダウンロードファイル２０を提供する提供処理を実行する。例えば、サーバ装置１０は、情報処理装置１００からのダウンロード要求に応じて、情報処理装置１００にダウンロードファイル２０を提供してもよい。或いは、サーバ装置１０は、情報処理装置１００とは異なる他の情報処理装置からの要求に応じて、他の情報処理装置にダウンロードファイル２０を提供してもよい。この場合、他の情報処理装置を利用するユーザは、サーバ装置１０からダウンロードしたダウンロードファイル２０を外部メモリに格納して、当該外部メモリを情報処理装置１００に接続する。

【0046】

（情報処理装置の機能構成）
情報処理装置１００は、例えば、取得部４０１、第１の検証部４０２、更新部４０３、第２の作成部４０４，第２の検証部４０５、通知部４０６、一時記憶領域１１０、及び記憶部１２０等を有する。

【0047】

取得部４０１は、例えば、ＣＰＵ３０１が実行するプログラム（システム更新アプリケーション等）によって実現され、更新用ファイル２１と第１の署名データ２２とを含むダウンロードファイル２０を取得する取得処理を実行する。例えば、取得部４０１は、外部メモリ等を介して、サーバ装置１０が提供するダウンロードファイル２０を取得してもよいし、通信ネットワーク２を介して、サーバ装置１０が提供するダウンロードファイル２０を取得してもよい。

【0048】

第１の検証部４０２は、例えば、ＣＰＵ３０１が実行するプログラム（システム更新アプリケーション等）によって実現される。第１の検証部４０２は、更新用ファイル２１で起動用ファイル１２１を更新するときに、第１の署名データ２２を用いて更新用ファイル２１を検証する第１の検証処理を実行する。例えば、第１の検証部４０２は、第１の署名データ２２を、公開鍵Ａで復号して第１のハッシュ値を取得するとともに、更新用ファイル２１にハッシュ演算を行い、第２のハッシュ値を求める。また、第１の検証部４０２は、第１のハッシュ値と第２のハッシュ値とを比較して一致した場合、更新用ファイル２１が正当なファイル（改竄されていない）と判断する。一方、第１の検証部４０２は、第１のハッシュ値と第２のハッシュ値とを比較して一致しない場合、更新用ファイル２１が不正なファイル（改竄されている）と判断する。

【0049】

なお、情報処理システム１は、前述したように、公開鍵暗号の秘密鍵Ａと公開鍵Ａの組合せを生成し、サーバ装置１０の記憶部４２１に秘密鍵Ａを予め記憶するとともに、情報処理装置１００の記憶部１２０に公開鍵Ａを予め記憶しておく。

【0050】

更新部４０３は、例えば、ＣＰＵ３０１が実行するプログラム（システム更新アプリケーション等）によって実現され、第１の検証部４０２が検証した更新用ファイル２１で情報処理装置１００の起動用ファイル１２１を更新する更新処理を実行する。例えば、更新部４０３は、第１の検証部４０２が正当と判断した更新用ファイル２１を、記憶部１２０の起動用ファイル１２１に上書きする。

【0051】

第２の作成部４０４は、例えば、ＣＰＵ３０１が実行するプログラム（システム更新アプリケーション等）によって実現される。第２の作成部４０４は、例えば、第１の署名データ２２から取得した第１のハッシュ値に基づいて、４０３更新部が更新した起動用ファイル１２１を検証する検証データ１２２を作成する第２の作成処理を実行する。一例として、第２の作成部４０４は、第１の署名データ２２から取得した第１のハッシュ値を、起動時用の秘密鍵Ｂで暗号化して作成した第２の署名データを、検証データ１２２とする。この場合、情報処理装置１００は、起動時用の秘密鍵Ｂと公開鍵Ｂとの組合せを、記憶部１２０に予め記憶しておく。

【0052】

別の一例として、第２の作成部４０４は、第１の署名データ２２から取得した第１のハッシュ値を、検証データ１２２としてもよい。

【0053】

第２の検証部４０５は、例えば、ＣＰＵ３０１が実行するプログラム（システム更新アプリケーション等）によって実現される。第２の検証部４０５は、例えば、更新部４０３が更新した起動用ファイル１２１を用いて情報処理装置１００を起動するときに、第２の作成部４０４が作成した検証データ１２２を用いて、更新部４０３が更新した起動用ファイル１２を検証する第２の検証処理を実行する。一例として、第２の検証部４０５は、第２の作成部４０４が作成した第２の署名データ（検証データの一例）を公開鍵Ｂで復号して第１のハッシュ値を取得するとともに、更新した起動用ファイル１２１にハッシュ演算を行い、第３のハッシュ値を求める。また、第２の検証部４０５は、第１のハッシュ値と第３のハッシュ値とを比較して一致した場合、更新した起動用ファイル１２１が正当なファイル（改竄されていない）と判断する。この場合、情報処理装置１００は、更新された起動用ファイル１２１を、ＲＡＭ領域に展開し、当該起動用ファイル１２１へのアクセスを許可する。

【0054】

一方、第２の検証部４０５は、第１のハッシュ値と第３のハッシュ値とを比較して一致しない場合、更新した起動用ファイル１２１が不正なファイル（改竄されている）と判断する。この場合、情報処理装置１００は、更新された起動用ファイル１２１のＲＡＭ領域への展開を中止、又は当該起動用ファイル１２１へのアクセスを禁止する。

【0055】

通知部４０６は、例えば、ＣＰＵ３０１が実行するプログラム（システム更新アプリケーション等）によって実現される。通知部４０６は、第１の検証部４０２が、更新用ファイル２１の検証に失敗した場合、エラーを通知する通知処理（第１の通知処理）を実行する。また、通知部４０６は、第２の検証部４０５が、起動用ファイル１２１の検証に失敗した場合、エラーを通知する通知処理（第２の通知処理）を実行する。一例として、通知部４０６は、エラー通知画面を、操作パネル３４０等の表示部に表示することにより、エラーを通知する。別の一例として、通知部４０６は、所定の端末装置等に、メール送信、又はプッシュ通知することにより、エラーを通知してもよい。

【0056】

一時記憶領域１１０は、例えば、情報処理装置１００に接続された外部メモリ、ＲＡＭ３０２ｂ、又はＨＤ３０８等のストレージデバイス等によって実現され、更新用ファイル２１、及び第１の署名データ２２等を一時的に記憶する。

【0057】

記憶部１２０は、例えば、ＲＯＭ３０２ａ、ＲＡＭ３０２ｂ、ＭＥＭ－Ｃ３０６、ＨＤ３０８等のストレージデバイス、又はＡＳＩＣ３０５の内部の記憶領域等によって実現される。記憶部１２０は、例えば、公開鍵Ａ４１１、秘密鍵Ｂ４１２、公開鍵Ｂ４１３、起動用ファイル１２１、及び検証データ１２２等を記憶する。なお、記憶部１２０には、例えば、起動用の記憶領域、及びＲＡＭ領域等が含まれる。

【0058】

＜処理の流れ＞
続いて、本実施形態に係る情報処理方法の処理の流れについて説明する。

【0059】

［第１の実施形態］
（サーバ装置の処理）
図５は、第１の実施形態に係るサーバ装置の処理のイメージを示す図である。図５のステップＳ１において、サーバ装置１０の第１の作成部４２２は、更新用ファイル２１を取得する。このとき、第１の作成部４２２は、サーバ装置１０が備える記憶部４２１等から更新用ファイル２１を取得してもよいし、情報処理システム１の外部のサーバ装置等から更新用ファイル２１を取得してもよい。

【0060】

ステップＳ２において、第１の作成部４２２は、取得した更新用ファイル２１にハッシュ演算を行い、第１のハッシュ値を算出する。例えば、第１の作成部４２２は、ＳＨＡ－２５６（Secure Hash Algorithm 256-bit）等のハッシュ関数を用いて、更新用ファイル２１のハッシュ演算を行う。

【0061】

ステップＳ３において、第１の作成部４２２は、算出した第１のハッシュ値を、更新用の秘密鍵Ａで暗号化し、第１の署名データ１１を作成する。また、ステップＳ４において、第１の作成部４２２は、更新用ファイル２１と第１の署名データ２２とを含むダウンロードファイル２０を作成し、記憶部４２１に記憶する。

【0062】

なお、複数の更新用ファイル２１がある場合には、第１の作成部４２２は、ステップＳ１～Ｓ４の処理を、複数の更新用のファイルの各々に対して実行し、複数のダウンロードファイル２０を作成する。

【0063】

ステップＳ５において、サーバ装置１０の提供部４２３は、例えば、情報処理装置１００等からの要求に応じて、記憶部４２１に記憶した１つ以上のダウンロードを提供する。なお、図５の処理をフローチャートで表すと図６のようになる。

【0064】

（サーバ装置の処理のフローチャート）
図６は、第１の実施形態に係るサーバ装置の処理の例を示すフローチャートである。この処理は、サーバ装置１０が、更新用ファイル２１と第１の署名データ２２とを含むダウンロードファイル２０を作成し、提供する処理の例を示している。なお、図６の処理の処理内容は、図５で説明した処理内容と同様なので、ここでは同様の処理に対する詳細な説明は省略する。

【0065】

ステップＳ６０１において、サーバ装置１０の第１の作成部４２２は、更新用ファイル２１を取得する。

【0066】

ステップＳ６０２において、第１の作成部４２２は、取得した更新用ファイル２１に対してハッシュ演算を行い、第１のハッシュ値を算出する。

【0067】

ステップＳ６０３において、第１の作成部４２２は、第１のハッシュ値を秘密鍵Ａで暗号化して第１の署名データを作成する。

【0068】

ステップＳ６０４において、第１の作成部４２２は、取得した更新用ファイル２１と、作成した第１の署名データ２２とを含むダウンロードファイル２０を作成する。

【0069】

ステップＳ６０５において、サーバ装置１０の提供部４２３は、ダウンロードファイル２０を、例えば、情報処理装置１００、又は他の情報処理装置等に提供する。

【0070】

（更新時の処理）
図７は、第１の実施形態に係る情報処理装置の更新時の処理のイメージを示す図である。図７のステップＳ１１において、情報処理装置１００の取得部４０１は、サーバ装置１０が提供する１つ以上のダウンロードファイル２０を取得する。例えば、取得部４０１は、通信ネットワーク２を介して、サーバ装置１０から１つ以上のダウンロードファイル２０をダウンロードして、一時記憶領域１１０に記憶してもよい。或いは、取得部４０１は、情報処理装置１００に接続された外部メモリ等から、１つ以上のダウンロードファイル２０を取得してもよい。ここでは、説明を容易にするため、ダウンロードファイル２０が１つであるものとして、以下の説明を行う。

【0071】

ステップＳ１２において、情報処理装置１００の第１の検証部４０２は、取得部４０１が取得したダウンロードファイル２０に含まれる更新用ファイル２１のハッシュ演算を行い、第２のハッシュ値を取得する。例えば、第１の検証部４０２は、ＳＨＡ－２５６等のハッシュ関数を用いて、更新用ファイル２１のハッシュ演算を行う。

【0072】

ステップＳ１３において、第１の検証部４０２は、取得部４０１が取得したダウンロードファイル２０に含まれる第１の署名データ２２を、更新用の公開鍵Ａ４１１で復号して、第１のハッシュ値を取得する。

【0073】

ステップＳ１４において、第１の検証部４０２は、第１の署名データ２２を検証する。例えば、第１の検証部４０２は、第１のハッシュ値と第２のハッシュ値とを比較し、一致した場合、更新用ファイル２１が改竄されていない正当なファイルであると判断する。この場合、情報処理装置１００の更新部４０３は、ステップＳ５１ａにおいて、正当なファイルと判断した更新用ファイル２１で、記憶部１２０の起動用の記憶領域に記憶されている起動用ファイル１２１を更新し、ステップＳ１６以降の処理を実行する。

【0074】

一方、第１の検証部４０２は、第１のハッシュ値と第２のハッシュ値とを比較し、一致しない場合、更新用ファイル２１が改竄された（又は壊れた）不当なファイルであると判断する。この場合、情報処理装置１００の通知部４０６は、システムエラー通知を行い、ステップＳ１６以降の処理の実行を中止する。

【0075】

ステップＳ１６において、情報処理装置１００の第２の作成部４０４は、ステップＳ１３で、第１の検証部４０２が取得した第１のハッシュ値を、起動用の秘密鍵Ｂ４１２で暗号化して、第２の署名データ７０１を作成する。

【0076】

ステップＳ１７において、第２の作成部４０４は、作成した第２の署名データを、記憶部１２０の起動用の記憶領域に記憶した、更新した起動用ファイル１２１のメタデータ領域に格納する。

【0077】

なお、複数のダウンロードファイル２０がある場合には、情報処理装置１００は、複数のダウンロードファイル２０の各々に対して、ステップＳ１２～Ｓ１７の処理を実行する。図７の処理をフローチャートで表すと図８のようになる。

【0078】

（更新時の処理のフローチャート）
図８は、第１の実施形態に係る情報処理装置の更新時の処理の例を示すフローチャートである。この処理は、情報処理装置１００が、サーバ装置１０が提供するダウンロードファイル２０を用いて、情報処理装置１００の起動用ファイル１２１を更新する処理の一例を示している。なお、図８の処理の処理内容は、図７で説明した処理内容と同様なので、ここでは同様の処理に対する詳細な説明は省略する。

【0079】

ステップＳ８０１において、情報処理装置１００の取得部４０１は、サーバ装置１０が提供するダウンロードファイル２０に含まれる更新用ファイル２１と、第１の署名データ２２とを取得する。

【0080】

ステップＳ８０２において、情報処理装置１００の第１の検証部４０２は、取得部４０１が取得した更新用ファイル２１にハッシュ演算を行い、ハッシュ値（第２のハッシュ値）を取得する。

【0081】

ステップＳ８０３において、第１の検証部４０２は、取得部４０１が取得した第１の署名データ２２を、記憶部１２０に予め記憶した更新用の公開鍵Ａ４１１で復号して、サーバ装置１０が作成した第１のハッシュ値を取得する。なお、ステップＳ８０３の処理は、ステップＳ８０２の処理の前に実行してもよいし、ステップＳ８０２の処理と並行して実行してもよい。

【0082】

ステップＳ８０４において、第１の検証部４０２は、第１のハッシュ値と第２のハッシュ値との２つのハッシュ値が一致するか否かを判断する。２つハッシュ値が一致した場合、第１の検証部４０２は、処理をステップＳ８０５に移行させる。一方、２つのハッシュ値が一致しない場合、第１の検証部４０２は、処理をステップＳ８０５に移行させる。

【0083】

ステップＳ８０５に移行すると、情報処理装置１００の更新部４０３は、取得部４０１が取得した更新用ファイル２１が正当なファイルであると判断し、当該更新用ファイル２１で、記憶部１２０に記憶している起動用ファイル１２１を更新する。

【0084】

ステップＳ８０６において、情報処理装置１００の第２の作成部４０４は、ステップＳ８０３で、第１の検証部４０２が取得した第１のハッシュ値を、起動用の秘密鍵Ｂ４１２で暗号化して、第２の署名データ７０１を作成する。

【0085】

ステップＳ８０７において、第２の作成部４０４は、作成した第２の署名データ７０１を、更新した起動用ファイル１２１のメタデータ領域に格納する。なお、第２の署名データ７０１は、更新した起動用ファイル１２１を検証するための検証データ１２２の一例である。例えば、検証データ１２２は、第２の実施形態で後述するように、第１のハッシュ値等であってもよい。

【0086】

一方、ステップＳ８０４からステップＳ８０８に移行すると、情報処理装置１００は、更新処理を中止し、情報処理装置１００の通知部４０６は、エラーを通知する。例えば、通知部４０６は、図９に示すようなエラー通知画面９００を、操作パネル３４０等の表示部に表示する。図９の例では、エラー通知画面９００には、起動用ファイル１２１の更新に失敗したことを示すメッセージ、エラーコード、及び問い合わせ先等の情報が表示されている。このように、本実施形態に係る情報処理装置１００は、第１の署名データ２２の検証に失敗したときに、エラー情報を操作パネル３４０等の表示部の画面上で知らせることができる。

【0087】

（起動時の処理）
図１０は、第１の実施形態に係る情報処理装置の起動時の処理のイメージを示す図である。図１０のステップＳ２１において、情報処理装置１００は、図７、又は図８の処理により、起動用ファイル１２１を更新した後に起動（又は再起動）する。

【0088】

ステップＳ２２において、情報処理装置１００の第２の検証部４０５は、起動用ファイル１２１がファイルアクセスされたときに、起動用ファイル１２１にハッシュ演算を行い、第３のハッシュ値を取得する。

【0089】

ステップＳ２３において、第２の検証部４０５は、ファイルアクセスされた起動用ファイル１２１のメタデータ領域にある第２の署名データ７０１を、起動用の公開鍵Ｂで復号して、第１のハッシュ値を取得する。

【0090】

ステップＳ２４において、第２の検証部４０５は、第１の検証部４０２は、第１の署名データ２２を検証する。例えば、第２の検証部４０５は、第１のハッシュ値と第３のハッシュ値とを比較し、一致した場合、起動用ファイル１２１が改竄されていない正当なファイルであると判断する。この場合、第２の検証部４０５は、ステップＳ２４ａにおいて、正当なファイルと判断した起動用ファイル１２１を、記憶部１２０のＲＡＭ領域に展開し、当該起動用ファイル１２１に対するファイルアクセスを許可する。

【0091】

一方、第２の検証部４０５は、第１のハッシュ値と第３のハッシュ値とを比較し、一致しない場合、起動用ファイル１２１が改竄されている、又は破損している不当なファイルであると判断する。この場合、情報処理装置１００の通知部４０６は、システムエラー通知を行い、ステップＳ２４ａの処理を中止する。なお、図１０の処理をフローチャートで表すと図１１のようになる。

【0092】

（起動時の処理のフローチャート）
図１１は、第１の実施形態に係る情報処理装置の起動時の処理の例を示すフローチャートである。この処理は、情報処理装置１００が、例えば、図８の処理により、起動用ファイル１２１を更新した後に、起動、又は再起動するときに実行する起動処理の一例を示している。なお、図１１の処理の処理内容は、図１０で説明した処理内容と同様なので、ここでは同様の処理に対する詳細な説明は省略する。

【0093】

ステップＳ１１０１において、情報処理装置１００が、更新した起動用ファイル１２１にアクセスすると、情報処理装置１００は、ステップＳ１１０２以降の処理を実行する。

【0094】

ステップＳ１１０２において、情報処理装置１００の第２の検証部４０５は、更新した起動用ファイル１２１にハッシュ演算を行い、ハッシュ値（第３のハッシュ値）を取得する。

【0095】

ステップＳ１１０３において、第２の検証部４０５は、更新した起動用ファイル１２１のメタデータ領域にある第２の署名データ７０１を、起動用の公開鍵Ｂで復号して、ハッシュ値（第１のハッシュ値）を取得する。なお、ステップＳ１１０３の処理は、ステップＳ１１０２の処理の前に実行してもよいし、ステップＳ１１０２の処理と並行して実行してもよい。

【0096】

ステップＳ１１０４において、第２の検証部４０５は、第１のハッシュ値と第３のハッシュ値の２つのハッシュ値が一致するか否かを判断する。２つのハッシュ値が一致する場合、第２の検証部４０５は、処理をステップＳ１１０５に移行させる。一方、２つのハッシュ値が一致しない場合、第２の検証部４０５は、処理をステップＳ１１０６に移行させる。

【0097】

ステップＳ１１０５に移行すると、第２の検証部４０５は、正当なファイルと判断した起動用ファイル１２１を、記憶部１２０のＲＡＭ領域に展開し、当該起動用ファイル１２１に対するファイルアクセスを許可する。これにより、情報処理装置１００は、当該起動用ファイル１２１を実行することができるようになる。

【0098】

一方、ステップＳ１１０６に移行すると、情報処理装置１００は、不当なファイルと判断した起動用ファイル１２１へのアクセスを禁止し、情報処理装置１００の通知部４０６は、エラーを通知する。例えば、通知部４０６は、図１２に示すようなエラー通知画面１２００を、操作パネル３４０等の表示部に表示する。

【0099】

図１２の例では、エラー通知画面１２００には、起動用ファイル１２１が起動できないことを示すメッセージ、エラーコード、及び問い合わせ先等の情報が表示されている。このように、本実施形態に係る情報処理装置１００は、第１の署名データ２２の検証に失敗したときに、エラー情報を操作パネル３４０等の表示部の画面上で知らせることができる。

【0100】

このように、第１の実施形態では、情報処理装置１００は、起動用ファイル１２１を更新した後の起動時に、サーバ装置１０が算出した第１のハッシュデータを用いて、更新した起動用ファイル１２１の正当性を検証することができる。

【0101】

［第２の実施形態］
第１の実施形態では、更新した起動用ファイル１２１を検証するための検証データ１２２が、第２の署名データである場合の処理の例について説明した。ただし、これは一例であり、更新した起動用ファイル１２１を検証するための検証データ１２２は、第１のハッシュ値であってもよい。第２の実施形態では、更新した起動用ファイル１２１を検証するための検証データ１２２が、第１のハッシュ値である場合の処理の例について説明する。

【0102】

（更新時の処理のフローチャート）
図１３は、第２の実施形態に係る情報処理装置の更新時の処理の例を示すフローチャートである。この処理は、情報処理装置１００が、サーバ装置１０が提供するダウンロードファイル２０を用いて、情報処理装置１００の起動用ファイル１２１を更新する処理の別の一例を示している。なお、図１３に示す処理のうち、ステップＳ８０１～Ｓ８０５、Ｓ８０８の処理は、図８で説明した第１の実施形態に係る更新時の処理と同様なので、ここでは、第１の実施形態との相違点について説明する。

【0103】

図１３のステップＳ１３０１において、情報処理装置１００の第２の作成部４０４は、第１の検証部４０２が取得した第１のハッシュ値を、検証データ１２２として、更新した起動用ファイル１２１のメタデータ領域に格納する。なお、第１のハッシュ値は、更新した起動用ファイル１２１を検証するための検証データ１２２の別の一例である。

【0104】

（起動時の処理のフローチャート）
図１４は、第２の実施形態に係る情報処理装置の更新時の処理の例を示すフローチャートである。この処理は、情報処理装置１００が、図１３の処理により、起動用ファイル１２１を更新した後に、起動、又は再起動するときに実行する起動処理の別の一例を示している。なお、図１４に示す処理のうち、ステップＳ１１０１、１１０２、Ｓ１１０４～Ｓ１１０６の処理は、図１１で説明した第１の実施形態に係る起動時の処理と同様なので、ここでは、第１の実施形態との相違点について説明する。

【0105】

図１４のステップＳ１４０１において、情報処理装置１００の第２の検証部４０５は、更新した起動用ファイル１２１のメタデータ領域に、検証データ１２２として格納された第１のハッシュ値を取得する。第２の検証部４０５は、取得した第１のハッシュ値を用いて、起動用ファイル１２１の正当性を検証する。

【0106】

このように、起動用ファイル１２１を検証するための検証データ１２２は、第２の署名データ７０１に限られず、第１のハッシュデータ等であってもよい。第２の実施形態においても、情報処理装置１００は、起動用ファイル１２１を更新した後の起動時に、サーバ装置１０が算出した第１のハッシュデータを用いて、更新した起動用ファイル１２１の正当性を検証することができる。

【0107】

以上、本発明の各実施形態によれば、更新用ファイル２１を用いて情報処理装置１００の起動用ファイル１２１を更新する情報処理システム１において、更新した起動用ファイル１２１をより正しく検証できるようになる。

【0108】

＜補足＞
上記で説明した各実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたＡＳＩＣ（Application Specific Integrated Circuit）、ＤＳＰ（digital signal processor）、ＦＰＧＡ（field programmable gate array）や従来の回路モジュール等のデバイスを含むものとする。

【0109】

また、実施例に記載された装置群は、本明細書に開示された実施形態を実施するための複数のコンピューティング環境のうちの１つを示すものに過ぎない。ある実施形態では、サーバ装置１０は、サーバクラスタといった複数のコンピューティングデバイスを含む。複数のコンピューティングデバイスは、ネットワークや共有メモリなどを含む任意のタイプの通信リンクを介して互いに通信するように構成されており、本明細書に開示された処理を実施する。

【0110】

また、サーバ装置１０は、１つの装置にまとめられていても良いし、複数の装置に分けられていても良い。さらに、サーバ装置１０、及び情報処理装置１００の機能構成のうち、少なくとも一部は、外部のクラウドサービス等を利用して実行するものであってもよい。

【符号の説明】

【0111】

１ 情報処理システム
１０ サーバ装置（第１の情報処理装置）
２１ 更新用ファイル
２２ 第１の署名データ
１００ 情報処理装置（第２の情報処理装置）
１２１ 起動用ファイル
１２２ 検証データ
４０１ 取得部
４０２ 第１の検証部
４０３ 更新部
４０４ 第２の作成部
４０５ 第２の検証部
４０６ 通知部
４２２ 第１の作成部
９００、１２００ エラー通知画面

【先行技術文献】

【特許文献】

【0112】

【特許文献1】特開２０２１－０７７９７１号公報

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】