知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024106688
(43)【公開日】2024-08-08
(54)【発明の名称】情報処理装置、情報処理方法及びプログラム
(51)【国際特許分類】
H04L 9/32 20060101AFI20240801BHJP
H04L 9/08 20060101ALI20240801BHJP
G06F 21/64 20130101ALI20240801BHJP
H04L 9/10 20060101ALI20240801BHJP
【ＦＩ】
H04L9/32 200A
H04L9/08 A
H04L9/08 E
G06F21/64
H04L9/10 A
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2023011083
(22)【出願日】2023-01-27
(71)【出願人】
【識別番号】000006747
【氏名又は名称】株式会社リコー
(74)【代理人】
【識別番号】100107766
【弁理士】
【氏名又は名称】伊東 忠重
(74)【代理人】
【識別番号】100070150
【弁理士】
【氏名又は名称】伊東 忠彦
(74)【代理人】
【識別番号】100107515
【弁理士】
【氏名又は名称】廣田 浩一
(72)【発明者】
【氏名】櫻田 大樹
(57)【要約】
【課題】ストレージのデータの復号に利用する暗号鍵データの改ざんを検知できる情報処理装置を提供すること。
【解決手段】第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手段と、暗号鍵ファイルの復号に利用する第２の暗号鍵データで第２のストレージの暗号鍵ファイルを復号する復号手段と、復号した暗号鍵ファイルに含まれる第１の暗号鍵データから第２のハッシュ値を算出し、第１のハッシュ値と第２のハッシュ値との一致の検証を行う正当性検証手段と、一致の検証に失敗した場合に、検証の結果を通知する通知手段と、を有する情報処理装置により上記課題を解決する。
【選択図】図２
【解決手段】第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手段と、暗号鍵ファイルの復号に利用する第２の暗号鍵データで第２のストレージの暗号鍵ファイルを復号する復号手段と、復号した暗号鍵ファイルに含まれる第１の暗号鍵データから第２のハッシュ値を算出し、第１のハッシュ値と第２のハッシュ値との一致の検証を行う正当性検証手段と、一致の検証に失敗した場合に、検証の結果を通知する通知手段と、を有する情報処理装置により上記課題を解決する。
【選択図】図２
【特許請求の範囲】
【請求項1】
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手段と、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号手段と、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証手段と、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知手段と、
を有する情報処理装置。
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号手段と、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証手段と、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知手段と、
を有する情報処理装置。
【請求項2】
前記第２のストレージは非暗号ストレージであり、前記第２の暗号鍵データはシステムの起動時にファームウェアの完全性及び真正性の検証に成功したセキュリティチップから取得されること
を特徴とする請求項１記載の情報処理装置。
を特徴とする請求項１記載の情報処理装置。
【請求項3】
前記暗号鍵ファイル書込手段は、前記第２のストレージに、暗号化された前記暗号鍵ファイルを複製して、複数個、書き込み、前記第２のストレージに書き込まれた複数個の暗号化された前記暗号鍵ファイルのうち、前記正当性検証手段による前記一致の検証に失敗した一の前記暗号鍵ファイルを、前記正当性検証手段による前記一致の検証に成功した他の前記暗号鍵ファイルで復旧すること
を特徴とする請求項１又は２記載の情報処理装置。
を特徴とする請求項１又は２記載の情報処理装置。
【請求項4】
前記通知手段は、前記暗号鍵ファイル書込手段が前記正当性検証手段による前記一致の検証に失敗した一の前記暗号鍵ファイルを、前記正当性検証手段による前記一致の検証に成功した他の前記暗号鍵ファイルで復旧したあと、前記検証の結果を通知すること
を特徴とする請求項３記載の情報処理装置。
を特徴とする請求項３記載の情報処理装置。
【請求項5】
情報処理装置が、
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込ステップと、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号ステップと、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証ステップと、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知ステップと、
を実行する情報処理方法。
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込ステップと、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号ステップと、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証ステップと、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知ステップと、
を実行する情報処理方法。
【請求項6】
情報処理装置に、
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手順、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号手順、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証手順、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知手順、
を実行させるためのプログラム。
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手順、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号手順、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証手順、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知手順、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、情報処理装置、情報処理方法及びプログラムに関する。
【背景技術】
【0002】
近年、情報処理装置において、システムを構成するファイル（ファームウェア、ソフトウェア）に対して不正な改ざんを検知し、正当なファイルのみ実行できるようにして完全性及び真正性を保証する技術が知られている。システムを構成するファイルに対して不正な改ざんを検知する技術では、予め対象となるファイルに対してハッシュ値（計測値）の期待値や電子署名といった認証データを保管しておき、期待値や電子署名と比較検証することで、完全性及び真正性の確認をファイル単位で行っていた。
【0003】
また、起動したソフトウェアの正当性に関する信頼性の高い情報を通知できる技術は従来から知られている（例えば特許文献１参照）。
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、暗号鍵によって暗号化されたデータを保存する暗号ストレージを有する情報処理装置では、暗号鍵が不正に改ざんされたことを検知できず、暗号化されたデータを正しく再現できない場合があった。なお、特許文献１は、このような課題について記載されたものではない。
【0005】
本発明の実施の形態は、ストレージのデータの復号に利用する暗号鍵データの改ざんを検知できる情報処理装置を提供することを目的とする。
【課題を解決するための手段】
【0006】
上記の課題を達成するために本願請求項１の情報処理装置は、第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手段と、前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号手段と、復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証手段と、前記一致の検証に失敗した場合に、前記検証の結果を通知する通知手段と、を有する。
【発明の効果】
【0007】
本発明の実施の形態によれば、ストレージのデータの復号に利用する暗号鍵データの改ざんを検知できる。
【図面の簡単な説明】
【0008】
【図1】実施形態に係る情報処理装置の一例のハードウェア構成図である。
【図2】本実施形態に係る情報処理装置の一例のソフトウェア構成図である。
【図3】本実施形態に掛かるデバイス暗号鍵データの完全性及び真正性の検証時の一例の処理イメージについて説明する図である。
【図4】ハッシュ値による検証時の一例の処理イメージについて説明する図である。
【図5】暗号鍵ファイル書込アプリの処理フローの一例について説明する図である。
【図6】暗号鍵ファイルを復号する復号アプリの処理フローの一例について説明する図である。
【図7】デバイス暗号鍵データをハッシュ検証する正当性検証アプリの処理フローの一例について説明する図である。
【図8】非暗号ストレージに書き込まれた二つの暗号鍵ファイルの一例について説明する図である。
【図9】暗号鍵ファイルが複数の場合の正当性検証アプリの処理フローの一例について説明する図である。
【図10】ＰＣの一例のハードウェア構成図である。
【図11】ＭＦＰの一例のハードウェア構成図である。
【発明を実施するための形態】
【0009】
以下、添付図面を参照しながら実施形態について説明する。説明の理解を容易にするため、各図面において同一の構成要素に対しては可能な限り同一の符号を付して、重複する説明は省略する。
【0010】
［第１の実施形態］
＜ハードウェア構成＞
図１は実施形態に係る情報処理装置の一例のハードウェア構成図である。図１の情報処理装置１は、コントローラ２及び操作部３を備える。コントローラ２は、情報処理装置１の動作全体を制御する。
＜ハードウェア構成＞
図１は実施形態に係る情報処理装置の一例のハードウェア構成図である。図１の情報処理装置１は、コントローラ２及び操作部３を備える。コントローラ２は、情報処理装置１の動作全体を制御する。
【0011】
コントローラ２は、ＣＰＵ(Central Processing Unit)２１、ＲＯＭ(Read Only Memory)２２、ＲＡＭ(Random Access Memory)２３、非暗号ストレージ２４、暗号ストレージ２５、及びセキュリティチップ２６を有する。ＣＰＵ２１は情報処理装置１全体の動作を制御する。ＲＯＭ２２はＣＰＵ２１やＩＰＬ(Initial Program Loader)等のＣＰＵ２１の駆動に用いられるプログラムを記憶する。ＲＡＭ２３は、ＣＰＵ２１のワークエリアとして使用される。
【0012】
非暗号ストレージ２４は、システムを構成するファイル（例えばファームウェア、ソフトウェア）及び後述の暗号鍵ファイルを保存する。非暗号ストレージ２４は、例えばｅＭＭＣ(embedded Multi Media Card)である。暗号ストレージ２５は、暗号化されたデータを保存する。暗号化されたデータは、例えばアプリケーションが利用するアドレス帳、ログ、又は機器の設定値などのデータである。また、暗号ストレージ２５は、例えばＨＤＤ(Hard Disk Drive)である。
【0013】
セキュリティチップ２６は、システム起動時に、ファームウェアの完全性及び真正性を検証するために利用される。セキュリティチップ２６は、例えばＴＰＭ（Trusted Platform Module）である。操作部３は、入力部と出力部とを有し、入力部からユーザの操作を受け付け、出力部から表示などの出力を行う。
【0014】
＜ソフトウェア構成＞
図２は、本実施形態に係る情報処理装置の一例のソフトウェア構成図である。図２に示す情報処理装置１は、暗号鍵ファイル３０、暗号鍵ファイル復号用の暗号鍵データ３２、起動アプリ３４、正当性検証アプリ３６、復号アプリ３８、暗号鍵ファイル書込アプリ４０、通知アプリ４２、アプリケーション４４、及びＯＳ５０を有する。
図２は、本実施形態に係る情報処理装置の一例のソフトウェア構成図である。図２に示す情報処理装置１は、暗号鍵ファイル３０、暗号鍵ファイル復号用の暗号鍵データ３２、起動アプリ３４、正当性検証アプリ３６、復号アプリ３８、暗号鍵ファイル書込アプリ４０、通知アプリ４２、アプリケーション４４、及びＯＳ５０を有する。
【0015】
情報処理装置１のＯＳ５０は、オペレーティングシステムであり、情報処理装置１の全体を制御する。暗号鍵ファイル３０は、暗号ストレージ２５に保存されたデータの復号に利用するデバイス暗号鍵データ、及びデバイス暗号鍵データのハッシュ値（期待値）を含むファイルである。暗号鍵ファイル３０は、暗号鍵ファイル暗号用の暗号鍵データにより暗号化されている。暗号鍵ファイル復号用の暗号鍵データ３２は、暗号鍵ファイル３０の復号に利用する暗号鍵データである。暗号鍵ファイル復号用の暗号鍵データ３２は、システムの起動時にファームウェアの完全性及び真正性の検証に成功したセキュリティチップ２６から取得される。
【0016】
起動アプリ３４は情報処理装置１で実行されることで起動部として機能する。起動部はシステムを構成するファイル（ファームウェア、ソフトウェア）を起動する。正当性検証アプリ３６は情報処理装置１で実行されることで正当性検証部として機能する。正当性検証部は、システムの起動時に、ファームウェア及び暗号鍵ファイル３０の完全性及び真正性の検証を行う。システムの起動時に、正当性検証部はセキュリティチップ２６を利用してファームウェアの完全性及び真正性の検証を行う。また、正当性検証部はシステムの起動時にファームウェアの完全性及び真正性の検証に成功したセキュリティチップ２６から暗号鍵ファイル復号用の暗号鍵データ３２を取得し、後述のように暗号鍵ファイル３０の完全性及び真正性の検証を行う。
【0017】
復号アプリ３８は、情報処理装置１で実行されることで復号部として機能する。例えば復号部は暗号鍵ファイル復号用の暗号鍵データ３２を利用して暗号鍵ファイル３０を復号する。また、例えば復号部は暗号鍵ファイル３０に含まれるデバイス暗号鍵データを利用して、暗号ストレージ２５に保存されたデータを復号する。
【0018】
暗号鍵ファイル書込アプリ４０は、情報処理装置１で実行されることで暗号鍵ファイル書込部として機能する。例えば暗号鍵ファイル書込部は、暗号化された暗号鍵ファイル３０を非暗号ストレージ２４に書き込むときに実行される。暗号鍵ファイル書込部は、暗号ストレージ２５に保存されたデータの復号に利用するデバイス暗号鍵データ、及びデバイス暗号鍵データのハッシュ値（期待値）をまとめて暗号化した暗号鍵ファイル３０を非暗号ストレージ２４に書き込む。
【0019】
通知アプリ４２は、情報処理装置１で実行されることにより通知部として機能する。通知部は、正当性検証アプリ３６による完全性及び真正性の検証に失敗した場合、検証の結果を通知する。例えば通知部は、正当性検証アプリ３６による暗号鍵ファイル３０の完全性及び真正性の検証に失敗した場合、検証の結果を操作部３などに表示することでユーザにエラーを通知する。アプリケーション４４は暗号ストレージ２５のデータを利用するアプリケーションの一例である。アプリケーション４４は起動部により起動される。
【0020】
情報処理装置１は、例えばＴｒｕｓｔｅｄ Ｂｏｏｔにより、システムの起動時に利用するファームウェア（例えば、ＢＩＯＳ／ＵＥＦＩやブートローダ）に対する改ざん検知を行う。
【0021】
例えば図２の情報処理装置１は、図１に示したＣＰＵ２１がＲＡＭ２３をワークエリアとして使用して、プログラムに従った処理を実行することで、起動部、正当性検証部、復号部、暗号鍵ファイル書込部、通知部、及びＯＳ５０を実現する。なお、以下の説明では正当性検証部、復号部、暗号鍵ファイル書込部、及び通知部を、便宜上、正当性検証アプリ３６、復号アプリ３８、暗号鍵ファイル書込アプリ４０、及び通知アプリ４２と記載することがある。
【0022】
＜実施形態の処理または動作＞
以降、各実施形態の処理または動作について説明する。図３は、本実施形態に掛かるデバイス暗号鍵データの完全性及び真正性の検証時の一例の処理イメージについて説明する図である。
以降、各実施形態の処理または動作について説明する。図３は、本実施形態に掛かるデバイス暗号鍵データの完全性及び真正性の検証時の一例の処理イメージについて説明する図である。
【0023】
ステップＳ１～Ｓ３において、セキュリティチップ２６はシステムの起動時に扱うＢＩＯＳ／ＵＥＦＩ、ブートローダ、カーネル、及びｒｏｏｔｆｓといったファームウェアから計測したハッシュ値が書き込まれる。
【0024】
ステップＳ４～Ｓ５において、セキュリティチップ２６は事前に登録されたハッシュ値の期待値と、ステップＳ１～３において計測したハッシュ値とが一致しているか否かを検証する。事前に登録されたハッシュ値の期待値と、ステップＳ１～３において計測したハッシュ値とが一致していれば、セキュリティチップ２６は検証が成功と判定する。事前に登録されたハッシュ値の期待値と、ステップＳ１～３において計測したハッシュ値とが一致していなければ、セキュリティチップ２６は検証が失敗と判定する。
【0025】
検証が成功と判定すると、セキュリティチップ２６はステップＳ６において、暗号鍵ファイル復号用の暗号鍵データ３２を正当性検証アプリ３６に提供する。ステップＳ７において正当性検証アプリ３６はステップＳ６で提供された暗号鍵ファイル復号用の暗号鍵データ３２をＲＡＭ２３に書き込む。
【0026】
ステップＳ８において、復号アプリ３８は非暗号ストレージ２４から暗号化された暗号鍵ファイル３０を読み出す。ステップＳ９において、復号アプリ３８はステップＳ８において読み出した暗号化された暗号鍵ファイル３０を、ステップＳ７でＲＡＭ２３に書き込まれた暗号鍵ファイル復号用の暗号鍵データ３２を利用して復号する。
【0027】
ステップＳ１０において、正当性検証アプリ３６は復号した暗号鍵ファイルに含まれるデバイス暗号鍵データのハッシュ値を計測する。また、正当性検証アプリ３６は計測したデバイス暗号鍵データのハッシュ値と、ステップＳ９で復号した暗号鍵ファイルに含まれるハッシュ値の期待値とが一致しているか否かを検証する。
【0028】
計測したデバイス暗号鍵データのハッシュ値と、ステップＳ９で復号した暗号鍵ファイルに含まれるハッシュ値の期待値とが一致していれば、セキュリティチップ２６は検証が成功と判定する。計測したデバイス暗号鍵データのハッシュ値と、ステップＳ９で復号した暗号鍵ファイルに含まれるハッシュ値の期待値とが一致していなければ、セキュリティチップ２６は検証が失敗と判定する。
【0029】
検証が成功と判定すると、正当性検証アプリ３６は復号した暗号鍵ファイルに含まれるデバイス暗号鍵データを、ステップＳ１１－１において、ＲＡＭ２３に書き込む。検証が失敗と判定すると、ステップＳ１１－２において、通知アプリ４２は検証の結果を操作部３などに表示することでユーザにエラーを通知する。
【0030】
ステップＳ１２において、復号アプリ３８はＲＡＭ２３からデバイス暗号鍵データを読み出す。ステップＳ１３において、復号アプリ３８はステップＳ１２でＲＡＭ２３から読み出したデバイス暗号鍵データを利用して、暗号ストレージ２５に保存されている暗号化されたデータを復号する。
【0031】
図３に示すように、本実施形態に係る情報処理装置１は、非暗号ストレージ２４に保存されているデバイス暗号鍵データの完全性及び真正性の検証を行うことができ、デバイス暗号鍵データの改ざんを検知できる。
【0032】
【0033】
図４に示すように、暗号鍵ファイル３０には、デバイス暗号鍵データ（平文）及びデバイス暗号鍵データ（平文）のハッシュ値（期待値）が含まれる。非暗号ストレージ２４から読み出す暗号化された暗号鍵ファイル３０は図４において暗号鍵ファイル（暗号文）と記載している。また、暗号鍵ファイル復号用の暗号鍵データ３２を利用して復号した暗号鍵ファイル３０は図４において暗号鍵ファイル（平文）と記載している。また、デバイス暗号鍵データ（平文）は、単にデバイス暗号鍵データと呼ぶ。
【0034】
正当性検証アプリ３６は、暗号鍵ファイル（平文）に含まれるデバイス暗号鍵データのハッシュ値を算出する。図４において暗号鍵ファイル（平文）に含まれるデバイス暗号鍵データから算出したハッシュ値を、ハッシュ値（起動時）と記載している。ハッシュ値の算出は、例えばｓｈａ２５６のハッシュアルゴリズムを用いたハッシュ関数により算出できる。
【0035】
正当性検証アプリ３６は、暗号鍵ファイル（平文）に含まれるハッシュ値（期待値）と算出したデバイス暗号鍵データのハッシュ値（起動時）との一致を検証する。正当性検証アプリ３６は、暗号鍵ファイル（平文）に含まれるハッシュ値（期待値）と算出したデバイス暗号鍵データのハッシュ値（起動時）とが一致していれば、デバイス暗号鍵データが改ざんされていないことを検知できるので、検証が成功と判定する。検証が成功と判定すると、正当性検証アプリ３６は暗号鍵ファイル（平文）に含まれるデバイス暗号鍵データをＲＡＭ２３に書き込む。
【0036】
正当性検証アプリ３６は、暗号鍵ファイル（平文）に含まれるハッシュ値（期待値）と算出したデバイス暗号鍵データのハッシュ値（起動時）とが一致していなければ、デバイス暗号鍵データが改ざんされていることを検知できるので、検証が失敗と判定する。検証が失敗と判定すると、通知アプリ４２は検証の結果を操作部３などに表示することでユーザにエラーを通知する。
【0037】
図４に示したように、本実施形態に係る情報処理装置１は、暗号鍵ファイル復号用の暗号鍵データ３２を利用して復号される暗号鍵ファイル（暗号文）にデバイス暗号鍵データのハッシュ値（期待値）を含ませておくことで、ハッシュ値（期待値）の改ざんを防止している。
【0038】
図５は暗号鍵ファイル書込アプリの処理フローの一例について説明する図である。暗号鍵ファイル書込アプリ４０はステップＳ５０において、非暗号ストレージ２４からデバイス暗号鍵データを取得する。
【0039】
ステップＳ５２において、暗号鍵ファイル書込アプリ４０はステップＳ５０で取得したデバイス暗号鍵データのハッシュ値を計測する。ステップＳ５４において、暗号鍵ファイル書込アプリ４０はステップＳ５０で取得したデバイス暗号鍵データと、ステップＳ５２で計測したハッシュ値（期待値）とを含む暗号鍵ファイル３０を生成し、暗号鍵ファイル３０を暗号化する。ステップＳ５６において、暗号鍵ファイル書込アプリ４０はステップＳ５４で暗号化した暗号鍵ファイル３０を非暗号ストレージ２４に書き込む。
【0040】
図６は暗号鍵ファイルを復号する復号アプリの処理フローの一例について説明する図である。ステップＳ６０において、復号アプリ３８は非暗号ストレージ２４から暗号化された暗号鍵ファイルを取得する。ステップＳ６２において、復号アプリ３８はＲＡＭ２３から読み出した暗号鍵ファイル復号用の暗号鍵データ３２を利用して、暗号鍵ファイルを復号する。
【0041】
図７はデバイス暗号鍵データをハッシュ検証する正当性検証アプリの処理フローの一例について説明する図である。ステップＳ７０において、正当性検証アプリ３６は復号された暗号鍵ファイル３０に含まれていたデバイス暗号鍵データのハッシュ値（起動時）を計測する。
【0042】
ステップＳ７２において、正当性検証アプリ３６は計測したハッシュ値（起動時）と、復号された暗号鍵ファイル３０に含まれていたデバイス暗号鍵データのハッシュ値（期待値）とが一致しているか否かを検証する。
【0043】
ハッシュ値の検証が成功と判定すると、正当性検証アプリ３６はステップＳ７４においてデバイス暗号鍵データをＲＡＭ２３に書き込むことで、復号アプリ３８がデバイス暗号鍵データを利用できる状態にする。ハッシュ値の検証が失敗と判定すると、通知アプリ４２はステップＳ７６において、検証の結果を操作部３などに表示することでユーザにエラーを通知する。情報処理装置１は、エラーを通知後、システムを停止するようにしてもよい。
【0044】
以上、本実施形態に係る情報処理装置１は、システムの起動時に、暗号ストレージ２５のデータの復号に利用するデバイス暗号鍵データの改ざんを検知できる。
【0045】
上記では、暗号化された一つの暗号鍵ファイル３０を非暗号ストレージ２４に書き込む例を説明したが、暗号化された複数の暗号鍵ファイル３０を非暗号ストレージ２４に書き込むようにしてもよい。
【0046】
図８は非暗号ストレージに書き込まれた二つの暗号鍵ファイルの一例について説明する図である。図８は、暗号化された暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａ及び暗号化された暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂが非暗号ストレージ２４に書き込まれている例を示している。なお、ＭＡＳＴＥＲ及びＭＩＲＲＯＲは、暗号ファイルを区別するための呼び方の一例であって、第１及び第２などの呼び方であってもよい。暗号化された暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂは、暗号化された暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａを複製して非暗号ストレージ２４に書き込んでもよい。
【0047】
また、暗号化された暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａ及び暗号化された暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂの一方を、非暗号ストレージ２４以外のストレージに書き込むようにしてもよい。暗号化された暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａ及び暗号化された暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂは、同一のストレージに書き込むようにしてもよいし、異なるストレージに書き込むようにしてもよい。
【0048】
図８に示すように、暗号化された暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａ及び暗号化された暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂを非暗号ストレージ２４に書き込んでおくことにより、一方の暗号鍵ファイル３０が改ざんされたとしても、改ざんされていない他方の暗号鍵ファイル３０を使って、改ざんされた暗号鍵ファイル３０を復旧できる。
【0049】
図９は暗号鍵ファイルが複数の場合の正当性検証アプリの処理フローの一例について説明する図である。ステップＳ８０において、復号アプリ３８は非暗号ストレージ２４から暗号化された暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａを読み出す。復号アプリ３８は暗号化された暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａを、ＲＡＭ２３に書き込まれた暗号鍵ファイル復号用の暗号鍵データ３２を利用して復号する。
【0050】
ステップＳ８２において、正当性検証アプリ３６は復号した暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａに含まれるデバイス暗号鍵データのハッシュ値を計測する。また、正当性検証アプリ３６は計測したデバイス暗号鍵データのハッシュ値と、ステップＳ８０で復号した暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａに含まれるハッシュ値の期待値とが一致しているか否かを検証する。
【0051】
計測したデバイス暗号鍵データのハッシュ値と、復号した暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａに含まれるハッシュ値の期待値とが一致していれば、セキュリティチップ２６は検証が成功と判定する。計測したデバイス暗号鍵データのハッシュ値と、復号した暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａに含まれるハッシュ値の期待値とが一致していなければ、セキュリティチップ２６は検証が失敗と判定する。
【0052】
検証が成功と判定すると、正当性検証アプリ３６は復号した暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａに含まれるデバイス暗号鍵データを、ＲＡＭ２３に書き込み、ステップＳ８４の処理に進む。検証が失敗と判定すると、正当性検証アプリ３６はステップＳ９２の処理に進む。
【0053】
ステップＳ８４において、復号アプリ３８は非暗号ストレージ２４から暗号化された暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂを読み出す。復号アプリ３８は暗号化された暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂを、ＲＡＭ２３に書き込まれた暗号鍵ファイル復号用の暗号鍵データ３２を利用して復号する。
【0054】
ステップＳ８６において、正当性検証アプリ３６は復号した暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂに含まれるデバイス暗号鍵データのハッシュ値を計測する。また、正当性検証アプリ３６は計測したデバイス暗号鍵データのハッシュ値と、ステップＳ８４で復号した暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂに含まれるハッシュ値の期待値とが一致しているか否かを検証する。
【0055】
計測したデバイス暗号鍵データのハッシュ値と、復号した暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂに含まれるハッシュ値の期待値とが一致していれば、セキュリティチップ２６は検証が成功と判定する。計測したデバイス暗号鍵データのハッシュ値と、復号した暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂに含まれるハッシュ値の期待値とが一致していなければ、セキュリティチップ２６は検証が失敗と判定する。
【0056】
検証が成功と判定すると、正当性検証アプリ３６は図９の処理フローを終了する。検証が失敗と判定すると、正当性検証アプリ３６はステップＳ８８の処理に進む。ステップＳ８８において、正当性検証アプリ３６は暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａを暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂにコピーする。このように、正当性検証アプリ３６は検証が失敗した暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂを復旧できる。
【0057】
ステップＳ９０において、通知アプリ４２は検証の結果を操作部３などに表示することでユーザにエラーを通知する。エラーの通知後、情報処理装置１はシステムの起動を停止してもよいし、継続してもよい。
【0058】
ステップＳ８２の検証が失敗と判定すると、ステップＳ９２において、復号アプリ３８は非暗号ストレージ２４から暗号化された暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂを読み出す。復号アプリ３８は暗号化された暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂを、ＲＡＭ２３に書き込まれた暗号鍵ファイル復号用の暗号鍵データ３２を利用して復号する。
【0059】
ステップＳ９４において、正当性検証アプリ３６は復号した暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂに含まれるデバイス暗号鍵データのハッシュ値を計測する。また、正当性検証アプリ３６は計測したデバイス暗号鍵データのハッシュ値と、ステップＳ９２で復号した暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂに含まれるハッシュ値の期待値とが一致しているか否かを検証する。
【0060】
計測したデバイス暗号鍵データのハッシュ値と、復号した暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂに含まれるハッシュ値の期待値とが一致していれば、セキュリティチップ２６は検証が成功と判定する。計測したデバイス暗号鍵データのハッシュ値と、復号した暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂに含まれるハッシュ値の期待値とが一致していなければ、セキュリティチップ２６は検証が失敗と判定する。
【0061】
検証が成功と判定すると、正当性検証アプリ３６は暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂを暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａにコピーする。このように、正当性検証アプリ３６は検証が失敗した暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａを復旧できる。検証が失敗と判定すると、正当性検証アプリ３６は検証の結果を操作部３などに表示することでユーザにエラーを通知する。エラーの通知後、情報処理装置１は暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａ及び暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂの検証が失敗したため、システムの起動を停止する。
【0062】
図９の処理フローによれば、暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａ及び暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂの何れか一方が改ざんされたとしても、完全性及び真正性の検証に成功した暗号鍵ファイル（ＭＡＳＴＥＲ）３０Ａ又は暗号鍵ファイル（ＭＩＲＲＯＲ）３０Ｂを利用して復旧できる。
【0063】
［他の実施形態］
なお、本実施形態に係る情報処理装置１は、システムの起動時等にファイルの完全性及び真正性を検証する機能を備えた装置であれば図１に例示した構成に限られない。情報処理装置１は組み込み機器であってもよい。
なお、本実施形態に係る情報処理装置１は、システムの起動時等にファイルの完全性及び真正性を検証する機能を備えた装置であれば図１に例示した構成に限られない。情報処理装置１は組み込み機器であってもよい。
【0064】
情報処理装置１はＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ノートＰＣ（Personal Computer）、携帯電話、スマートフォン、タブレット端末、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。
【0065】
【0066】
図１０は、ＰＣの一例のハードウェア構成図である。図１０に示されているように、ＰＣ６００は、コンピュータによって構築されており、ＣＰＵ６０１、ＲＯＭ６０２、ＲＡＭ６０３、ＨＤ６０４、ＨＤＤコントローラ６０５、ディスプレイ６０６、外部機器接続Ｉ／Ｆ(Interface)６０８、ネットワークＩ／Ｆ６０９、データバス６１０、キーボード６１１、ポインティングデバイス６１２、ＤＶＤ－ＲＷ(Digital Versatile Disk Rewritable)ドライブ６１４、及びメディアＩ／Ｆ６１６を備えている。
【0067】
ＣＰＵ６０１は、ＰＣ６００全体の動作を制御する。ＲＯＭ６０２はＩＰＬ等のＣＰＵ６０１の駆動に用いられるプログラムを記憶する。ＲＡＭ６０３はＣＰＵ６０１のワークエリアとして使用される。ＨＤ６０４はプログラム等の各種データを記憶する。ＨＤＤコントローラ６０５は、ＣＰＵ６０１の制御にしたがってＨＤ６０４に対する各種データの読み出し又は書き込みを制御する。
【0068】
ディスプレイ６０６は、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示する。外部機器接続Ｉ／Ｆ６０８は、各種の外部機器を接続するためのインタフェースである。この場合の外部機器は、例えば、ＵＳＢ(Universal Serial Bus)メモリやプリンタ等である。ネットワークＩ／Ｆ６０９は、通信ネットワークを利用してデータ通信をするためのインタフェースである。データバス６１０は、図１０のＣＰＵ６０１等の各構成要素を電気的に接続するためのアドレスバスやデータバス等である。
【0069】
キーボード６１１は、文字、数値、各種指示などの入力のための複数のキーを備えた入力手段の一種である。ポインティングデバイス６１２は、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行う入力手段の一種である。ＤＶＤ－ＲＷドライブ６１４は、着脱可能な記録媒体の一例としてのＤＶＤ－ＲＷ６１３に対する各種データの読み出し又は書き込みを制御する。なお、ＤＶＤ－ＲＷに限らず、ＤＶＤ－Ｒ等であってもよい。メディアＩ／Ｆ６１６は、フラッシュメモリ等の記録メディア６１５に対するデータの読み出し又は書き込み（記憶）を制御する。
【0070】
図１１は、ＭＦＰの一例のハードウェア構成図である。図１１に示されているようにＭＦＰ(Multifunction Peripheral/Product/Printer)９００は、コントローラ９１０、近距離通信回路９２０、エンジン制御部９３０、操作パネル９４０、ネットワークＩ／Ｆ９５０を備えている。コントローラ９１０は、コンピュータの主要部であるＣＰＵ９０１、システムメモリ（ＭＥＭ－Ｐ）９０２、ノースブリッジ（ＮＢ）９０３、サウスブリッジ（ＳＢ）９０４、ＡＳＩＣ(Application Specific Integrated Circuit)９０６、記憶部であるローカルメモリ（ＭＥＭ－Ｃ）９０７、ＨＤＤコントローラ９０８、及び、記憶部であるＨＤ９０９を有し、ＮＢ９０３とＡＳＩＣ９０６との間をＡＧＰ(Accelerated Graphics Port)バス９２１で接続した構成となっている。
【0071】
ＣＰＵ９０１はＭＦＰ９の全体制御を行う制御部である。ＮＢ９０３は、ＣＰＵ９０１と、ＭＥＭ－Ｐ９０２、ＳＢ９０４、及びＡＧＰバス９２１とを接続するためのブリッジであり、ＭＥＭ－Ｐ９０２に対する読み書きなどを制御するメモリコントローラと、ＰＣＩ(Peripheral Component Interconnect)マスタ及びＡＧＰターゲットとを有する。
【0072】
ＭＥＭ－Ｐ９０２は、コントローラ９１０の各機能を実現させるプログラムやデータの格納用メモリであるＲＯＭ９０２ａ、プログラムやデータの展開、及びメモリ印刷時の描画用メモリなどとして用いるＲＡＭ９０２ｂとからなる。なお、ＲＡＭ９０２ｂに記憶されているプログラムはインストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよい。ＳＢ９０４はＮＢ９０３とＰＣＩデバイス及び周辺デバイスとを接続するためのブリッジである。ＡＳＩＣ９０６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ(Integrated Circuit)であり、ＡＧＰバス９２１、ＰＣＩバス９２２、ＨＤＤ９０８およびＭＥＭ－Ｃ９０７をそれぞれ接続するブリッジの役割を有する。
【0073】
ＡＳＩＣ９０６は、ＰＣＩターゲットおよびＡＧＰマスタ、ＡＳＩＣ９０６の中核をなすアービタ（ＡＲＢ）、ＭＥＭ－Ｃ９０７を制御するメモリコントローラ、ハードウェアロジックなどにより画像データの回転などを行う複数のＤＭＡＣ(Direct Memory Access Controller)、並びに、スキャナ部９３１及びプリンタ部９３２との間でＰＣＩバス９２２を介したデータ転送を行うＰＣＩユニットとからなる。なお、ＡＳＩＣ９０６には、ＵＳＢのインタフェースや、ＩＥＥＥ１３９４(Institute of Electrical and Electronics Engineers 1394）のインタフェースを接続するようにしてもよい。
【0074】
ＭＥＭ－Ｃ９０７は、コピー用画像バッファ及び符号バッファとして用いるローカルメモリである。ＨＤ９０９は、画像データの蓄積、印刷時に用いるフォントデータの蓄積、フォームの蓄積を行うためのストレージである。ＨＤ９０９は、ＣＰＵ９０１の制御にしたがってＨＤ９０９に対するデータの読出又は書込を制御する。ＡＧＰバス９２１は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレータカード用のバスインタフェースであり、ＭＥＭ－Ｐ９０２に高スループットで直接アクセスすることにより、グラフィックスアクセラレータカードを高速にすることができる。
【0075】
また、近距離通信回路９２０には、近距離通信回路９２０ａが備わっている。近距離通信回路９２０は、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の通信回路である。
【0076】
更に、エンジン制御部９３０は、スキャナ部９３１及びプリンタ部９３２によって構成されている。また、操作パネル９４０は、現在の設定値や選択画面等を表示させ、操作者からの入力を受け付けるタッチパネル等のパネル表示部９４０ａ、並びに、濃度の設定条件などの画像形成に関する条件の設定値を受け付けるテンキー及びコピー開始指示を受け付けるスタートキー等からなる操作パネル９４０ｂを備えている。コントローラ９１０はＭＦＰ９全体の制御を行い、例えば、描画、通信、操作パネル９４０からの入力等を制御する。スキャナ部９３１又はプリンタ部９３２には、誤差拡散やガンマ変換などの画像処理部分が含まれている。
【0077】
なお、ＭＦＰ９００は、操作パネル９４０のアプリケーション切り替えキーにより、ドキュメントボックス機能、コピー機能、プリンタ機能、およびファクシミリ機能を順次に切り替えて選択することが可能となる。ＭＦＰ９００はドキュメントボックス機能の選択時にドキュメントボックスモードとなり、コピー機能の選択時にコピーモードとなり、プリンタ機能の選択時にプリンタモードとなり、ファクシミリモードの選択時にファクシミリモードとなる。
【0078】
また、ネットワークＩ／Ｆ９５０は、通信ネットワークを利用してデータ通信をするためのインタフェースである。近距離通信回路９２０及びネットワークＩ／Ｆ９５０は、ＰＣＩバス９２２を介して、ＡＳＩＣ９０６に電気的に接続されている。
【0079】
本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。なお、本実施形態で説明した情報処理装置１は一例であって、用途や目的に応じて様々な構成例があることは言うまでもない。
【0080】
上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたＡＳＩＣ（Application Specific Integrated Circuit）、ＤＳＰ（digital signal processor）、ＦＰＧＡ（field programmable gate array）や従来の回路モジュール等のデバイスを含むものとする。
【0081】
実施例に記載された装置群は、本明細書に開示された実施形態を実施するための複数のコンピューティング環境のうちの１つを示すものにすぎない。
【0082】
本発明の態様は、例えば、以下の通りである。
＜１＞
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手段と、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号手段と、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証手段と、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知手段と、
を有する情報処理装置。
＜２＞
前記第２のストレージは非暗号ストレージであり、前記第２の暗号鍵データはシステムの起動時にファームウェアの完全性及び真正性の検証に成功したセキュリティチップから取得されること
を特徴とする＜１＞記載の情報処理装置。
＜３＞
前記暗号鍵ファイル書込手段は、前記第２のストレージに、暗号化された前記暗号鍵ファイルを複製して、複数個、書き込み、前記第２のストレージに書き込まれた複数個の暗号化された前記暗号鍵ファイルのうち、前記正当性検証手段による前記一致の検証に失敗した一の前記暗号鍵ファイルを、前記正当性検証手段による前記一致の検証に成功した他の前記暗号鍵ファイルで復旧すること
を特徴とする請求項１又は２記載の情報処理装置。
＜４＞
前記通知手段は、前記暗号鍵ファイル書込手段が前記正当性検証手段による前記一致の検証に失敗した一の前記暗号鍵ファイルを、前記正当性検証手段による前記一致の検証に成功した他の前記暗号鍵ファイルで復旧したあと、前記検証の結果を通知すること
を特徴とする＜３＞記載の情報処理装置。
＜５＞
情報処理装置が、
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込ステップと、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号ステップと、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証ステップと、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知ステップと、
を実行する情報処理方法。
＜６＞
情報処理装置に、
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手順、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号手順、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証手順、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知手順、
を実行させるためのプログラム。
＜１＞
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手段と、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号手段と、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証手段と、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知手段と、
を有する情報処理装置。
＜２＞
前記第２のストレージは非暗号ストレージであり、前記第２の暗号鍵データはシステムの起動時にファームウェアの完全性及び真正性の検証に成功したセキュリティチップから取得されること
を特徴とする＜１＞記載の情報処理装置。
＜３＞
前記暗号鍵ファイル書込手段は、前記第２のストレージに、暗号化された前記暗号鍵ファイルを複製して、複数個、書き込み、前記第２のストレージに書き込まれた複数個の暗号化された前記暗号鍵ファイルのうち、前記正当性検証手段による前記一致の検証に失敗した一の前記暗号鍵ファイルを、前記正当性検証手段による前記一致の検証に成功した他の前記暗号鍵ファイルで復旧すること
を特徴とする請求項１又は２記載の情報処理装置。
＜４＞
前記通知手段は、前記暗号鍵ファイル書込手段が前記正当性検証手段による前記一致の検証に失敗した一の前記暗号鍵ファイルを、前記正当性検証手段による前記一致の検証に成功した他の前記暗号鍵ファイルで復旧したあと、前記検証の結果を通知すること
を特徴とする＜３＞記載の情報処理装置。
＜５＞
情報処理装置が、
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込ステップと、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号ステップと、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証ステップと、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知ステップと、
を実行する情報処理方法。
＜６＞
情報処理装置に、
第１のストレージに保存されたデータの復号に利用する第１の暗号鍵データ、及び前記第１の暗号鍵データの第１のハッシュ値を含む暗号化された暗号鍵ファイルを第２のストレージに書き込む暗号鍵ファイル書込手順、
前記暗号鍵ファイルの復号に利用する第２の暗号鍵データで前記第２のストレージの前記暗号鍵ファイルを復号する復号手順、
復号した前記暗号鍵ファイルに含まれる前記第１の暗号鍵データから第２のハッシュ値を算出し、前記第１のハッシュ値と前記第２のハッシュ値との一致の検証を行う正当性検証手順、
前記一致の検証に失敗した場合に、前記検証の結果を通知する通知手順、
を実行させるためのプログラム。
【符号の説明】
【0083】
１ 情報処理装置
２ コントローラ
３ 操作部
２１ ＣＰＵ(Central Processing Unit)
２２ ＲＯＭ(Read Only Memory)
２３ ＲＡＭ(Random Access Memory)
２４ 非暗号ストレージ
２５ 暗号ストレージ
２６ セキュリティチップ
３０ 暗号鍵ファイル
３２ 暗号鍵ファイル復号用の暗号鍵データ
３６ 正当性検証アプリ
３８ 復号アプリ
４０ 暗号鍵ファイル書込アプリ
４２ 通知アプリ
２ コントローラ
３ 操作部
２１ ＣＰＵ(Central Processing Unit)
２２ ＲＯＭ(Read Only Memory)
２３ ＲＡＭ(Random Access Memory)
２４ 非暗号ストレージ
２５ 暗号ストレージ
２６ セキュリティチップ
３０ 暗号鍵ファイル
３２ 暗号鍵ファイル復号用の暗号鍵データ
３６ 正当性検証アプリ
３８ 復号アプリ
４０ 暗号鍵ファイル書込アプリ
４２ 通知アプリ
【先行技術文献】
【特許文献】
【0084】
【特許文献1】特開２００８－２３４０７９号公報
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】