特開 2024-175588 コンピュータプログラム、プログラム保護装置及びプログラム保護方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024175588

(43)【公開日】2024-12-18

(54)【発明の名称】コンピュータプログラム、プログラム保護装置及びプログラム保護方法

(51)【国際特許分類】

   G06F 21/56 20130101AFI20241211BHJP

【ＦＩ】

G06F21/56 360

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2023093487

(22)【出願日】2023-06-06

(71)【出願人】

【識別番号】398055691

【氏名又は名称】株式会社ＤＮＰハイパーテック

(74)【代理人】

【識別番号】100114557

【弁理士】

【氏名又は名称】河野 英仁

(74)【代理人】

【識別番号】100078868

【弁理士】

【氏名又は名称】河野 登夫

(72)【発明者】

【氏名】内海 聖木

(72)【発明者】

【氏名】馬場 隆

(72)【発明者】

【氏名】伊吹 友孝

(72)【発明者】

【氏名】菱川 薫

(57)【要約】

【課題】不正プログラムによるデバッガアタッチを防止することができるコンピュータプログラム、プログラム保護装置及びプログラム保護方法を提供する。
【解決手段】コンピュータプログラムは、保護対象プログラムに第１監視プロセスを起動させ、前記保護対象プログラム又は前記第１監視プロセスに第２監視プロセスを起動させ、前記第２監視プロセスに、前記第１監視プロセスの動作を監視させる、処理をコンピュータに実行させる。
【選択図】図２

【特許請求の範囲】

【請求項1】

保護対象プログラムに第１監視プロセスを起動させ、
前記保護対象プログラム又は前記第１監視プロセスに第２監視プロセスを起動させ、
前記第２監視プロセスに、前記第１監視プロセスの動作を監視させる、
処理をコンピュータに実行させるコンピュータプログラム。

【請求項2】

前記保護対象プログラムに対して前記第１監視プロセスをアタッチさせる、
処理をコンピュータに実行させる請求項１に記載のコンピュータプログラム。

【請求項3】

前記第２監視プロセスが前記第１監視プロセスの異常を検知した場合、前記第２監視プロセスに前記保護対象プログラムの動作を終了させる、
処理をコンピュータに実行させる請求項１に記載のコンピュータプログラム。

【請求項4】

前記第２監視プロセスに、異なるプロセスＩＤを有する第２監視プロセスを起動させる、
処理をコンピュータに実行させる請求項１から請求項３までのいずれか一項に記載のコンピュータプログラム。

【請求項5】

新たな第２監視プロセスを起動させた場合、直近の古い第２監視プロセスを終了させる、
処理をコンピュータに実行させる請求項４に記載のコンピュータプログラム。

【請求項6】

制御部を備え、
前記制御部は、
保護対象プログラムに第１監視プロセスを起動させ、
前記保護対象プログラム又は前記第１監視プロセスに第２監視プロセスを起動させ、
前記第２監視プロセスに、前記第１監視プロセスの動作を監視させる、
プログラム保護装置。

【請求項7】

保護対象プログラムに第１監視プロセスを起動させ、
前記保護対象プログラム又は前記第１監視プロセスに第２監視プロセスを起動させ、
前記第２監視プロセスに、前記第１監視プロセスの動作を監視させる、
プログラム保護方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、コンピュータプログラム、プログラム保護装置及びプログラム保護方法に関する。

【背景技術】

【0002】

悪意を持った攻撃者が不正プログラムをコンピュータに侵入させ、アタッチという行為を行うことで保護対象のプログラムの下で実行中のプロセスのメモリ情報の内容を変更し、あるいはメモリ情報をダンプすることが可能である。このような不正プログラムによって、例えば、メモリ上からデータを抜き取られて海賊版が作成され、あるいは有用な情報が漏洩してしまう。

【0003】

特許文献１には、ルーチンが攻撃者からのデバッガアタッチを検出した場合、保護対象のプログラムの実行を停止することにより、プログラムに対する許可されていないアクセスを阻止する方法が開示されている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開平１１－１７５３３６号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかし、攻撃者は、プロセスの停止や終了を行う権限を有するため、デバッガアタッチを検出するプロセスの停止や終了を行うことで、不正プログラムがデバッガアタッチを実行して保護対象のプログラムの下で実行中のプロセスのメモリ情報の内容を変更し、あるいはメモリ情報をダンプすることが可能になる。

【0006】

本発明は、斯かる事情に鑑みてなされたものであり、不正プログラムによるデバッガアタッチを防止することができるコンピュータプログラム、プログラム保護装置及びプログラム保護方法を提供することを目的とする。

【課題を解決するための手段】

【0007】

本願は上記課題を解決する手段を複数含んでいるが、その一例を挙げるならば、コンピュータプログラムは、保護対象プログラムに第１監視プロセスを起動させ、前記保護対象プログラム又は前記第１監視プロセスに第２監視プロセスを起動させ、前記第２監視プロセスに、前記第１監視プロセスの動作を監視させる、処理をコンピュータに実行させる。

【発明の効果】

【0008】

本発明によれば、不正プログラムによるデバッガアタッチを防止することができる。

【図面の簡単な説明】

【0009】

【図1】本実施形態のプログラム保護装置の構成の一例を示す図である。

【図2】プログラム保護装置のソフトウェア構成の一例を示す図である。

【図3】第１監視プロセスによるアタッチの一例を示す図である。

【図4】第２監視プロセスの動作の第１例を示す図である。

【図5】攻撃者による攻撃パターンの第１例を示す図である。

【図6】攻撃者による攻撃パターンの第２例を示す図である。

【図7】第２監視プロセスの動作の第２例を示す図である。

【図8】攻撃者による攻撃パターンの第３例を示す図である。

【図9】プログラム保護装置による処理手順の一例を示す図である。

【発明を実施するための形態】

【0010】

以下、本発明の実施の形態を説明する。図１は本実施形態のプログラム保護装置５０の構成の一例を示す図である。プログラム保護装置５０は、装置全体を制御する制御部５１、通信部５２、表示部５３、操作部５４、メモリ５５、記憶部５６、及び記録媒体読取部５７を備える。プログラム保護装置５０は、例えば、パーソナルコンピュータ（ＰＣ）、ワークステーション（ＷＳ）、ゲーム用デバイス、タブレット端末などで構成することができる。

【0011】

制御部５１は、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro-Processing Unit）、ＧＰＵ（Graphics Processing Unit）等が所要数組み込まれて構成されている。また、制御部５１は、ＤＳＰ（Digital Signal Processors）、ＦＰＧＡ（Field-Programmable Gate Arrays）などを組み合わせて構成してもよい。

【0012】

通信部５２は、通信モジュールを備え、外部の装置（不図示）との間の通信機能を有する。

【0013】

表示部５３は、液晶ディスプレイ又は有機ＥＬディスプレイなどで構成することができる。なお、表示部５３に代えて、外部の表示装置をプログラム保護装置５０に接続するようにしてもよい。

【0014】

操作部５４は、例えば、キーボード、マウス、タッチパッド又はタッチパネル等で構成され、表示部５３に表示される情報に対する操作を受け付けることができる。

【0015】

メモリ５５は、ＳＲＡＭ（Static Random Access Memory）、ＤＲＡＭ（Dynamic Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等の半導体メモリで構成することができる。

【0016】

記憶部５６は、例えば、ハードディスク又は半導体メモリ等で構成することができ、コンピュータプログラム（プログラム製品）としてのアプリケーション１０、ＯＳ（オペレーティングシステム）６０、及び所要の情報を記憶することができる。ＯＳ６０は、例えば、Ｗｉｎｄｏｗｓ、ＭａｃＯＳ、Ｌｉｎｕｘ（いずれも登録商標）などを含む。

【0017】

コンピュータプログラム（アプリケーション）１０、及びＯＳ６０は、メモリ５５に展開されて、制御部５１により実行される。制御部５１は、コンピュータプログラム１０で定められた処理（具体的には、後述の保護対象プログラム２０、第１監視プロセス３０及び第２監視プロセス４０それぞれの処理）を実行することができる。ここで、アプリケーション１０は、保護対象プログラム２０、第１監視プロセス３０及び第２監視プロセス４０の各実行プログラムを総称するものである。すなわち、制御部５１による処理は、保護対象プログラム２０、第１監視プロセス３０及び第２監視プロセス４０による処理でもある。

【0018】

コンピュータプログラム１０は、通信部５２を介して、外部の装置からダウンロードして記憶部５６に格納してもよい。また、記録媒体（例えば、ＣＤ－ＲＯＭ等の光学可読ディスク記憶媒体）５７１に記録されたコンピュータプログラム１０を記録媒体読取部５７で読み取って記憶部５６に格納してもよい。コンピュータプログラム１０は、単一のコンピュータ上で、または１つのサイトにおいて配置されるか、もしくは複数のサイトに亘って分散され、通信ネットワークによって相互接続された複数のコンピュータ上で実行されるように展開することができる。

【0019】

図２はプログラム保護装置５０のソフトウェア構成の一例を示す図である。図２に示すように、プログラム保護装置５０内では、ＯＳ６０の制御の下でアプリケーション１０が実行される。アプリケーション１０は、保護対象プログラム２０、第１監視プロセス、及び第２監視プロセス４０の各実行プログラムが組み込まれている。保護対象プログラム２０は、アプリ本体部に相当し、自身の起動処理モジュール及びアプリ実行モジュールなどを含む。保護対象プログラム２０、第１監視プロセス３０、及び第２監視プロセス４０の間の処理は、ＯＳ６０が提供する機能を用いて行われる。

【0020】

アプリケーション１０が起動すると、保護対象プログラム２０が起動するとともに、保護対象プログラム２０は、自身の子プロセスとして第１監視プロセス３０を起動する。また、保護対象プログラム２０は、自身の子プロセスとして第２監視プロセス４０を起動する。なお、第１監視プロセス３０が、自身の子プロセスとして第２監視プロセス４０を起動してもよい。

【0021】

第１監視プロセス３０は、親プロセスである保護対象プログラム２０に対しアタッチを実行する。

【0022】

図３は第１監視プロセス３０によるアタッチの一例を示す図である。第１監視プロセス３０は、保護対象プログラム２０にアタッチすることで実行中の保護対象プログラム２０の挙動を確認することができる。アタッチは、例えば、ptraceというシステムコールを用いて行うことができる。第１監視プロセス３０が、保護対象プログラム２０に対してメモリ情報要求を出力すると、保護対象プログラム２０は、メモリ情報を第１監視プロセス３０へ出力する。保護対象プログラム２０と第１監視プロセス３０との間の信号（シグナル）のやり取りは、ＯＳ６０を介して実行される。具体的には、ＯＳ６０から保護対象プログラム２０に発行される制御シグナルはアタッチ後、第1監視プロセス３０が受信し、第1監視プロセス３０は当該制御シグナルにより保護対象プログラム２０への制御シグナルを観測する事ができ、ＯＳ６０を介して当該シグナルを保護対象プログラム２０に再送信する事で、保護対象プログラム２０の動作を制御する事ができる。第１監視プロセス３０が保護対象プログラム２０にアタッチした場合、他のプロセス（不正プログラムを含む）は、保護対象プログラム２０にアタッチすることはできない。アタッチすることができるプロセスは１個に限定されているからである。

【0023】

保護対象プログラム２０は、第１監視プロセス３０を起動し、保護対象プログラム２０又は第１監視プロセス３０は、第２監視プロセス４０を起動する。プロセスの起動は、例えば、forkというシステムコールを用いて行うことができる。第２監視プロセス４０は、第１監視プロセス３０の動作を監視する。第２監視プロセス４０は、保護対象プログラム２０の動作を監視してもよい。第１監視プロセス３０や保護対象プログラム２０の動作の監視は、第２監視プロセス４０自身の機能、あるいはＯＳ６０が備える機能を用いることができる。

【0024】

図４は第２監視プロセス４０の動作の第１例を示す図である。第１監視プロセス３０は、保護対象プログラム２０にアタッチすることで実行中の保護対象プログラム２０の挙動を確認することができる。第２監視プロセス４０は、第１監視プロセス３０の動作を監視する。なお、第２監視プロセス４０は、保護対象プログラム２０の動作を監視してもよい。第２監視プロセス４０が実施する監視は、例えば、ＯＳ６０のプロセス管理用のファイルを解析して、当該プロセスの動作状態、アタッチ状態を観測することで行うことができる。

【0025】

図５は攻撃者による攻撃パターンの第１例を示す図である。第１監視プロセス３０は、実行中の保護対象プログラム２０にアタッチ中である。この場合、攻撃者が、実行中の保護対象プログラム２０に対してアタッチを実行しようとしても、保護対象プログラム２０は既に他のプロセス（第１監視プロセス３０）によってアタッチされているため、攻撃者は保護対象プログラムにアタッチすることはできない。これにより、保護対象プログラムを不正なアクセスから保護することができ、メモリ上からデータが不正に抜き取られることを防止できる。

【0026】

図６は攻撃者による攻撃パターンの第２例を示す図である。図６Ａに示すように、保護対象プログラム２０は、第１監視プロセス３０にアタッチされ、攻撃者は保護対象プログラム２０にアタッチすることができない。そこで、攻撃者は、保護対象プログラム２０にアタッチしている第１監視プロセスを終了させようとする。しかし、第２監視プロセス４０は、第１監視プロセス３０の動作を監視しているので、第１監視プロセス３０の終了を検知することができる。図６Ｂに示すように、第１監視プロセス３０の終了を検知した第２監視プロセス４０は、保護対象プログラム２０の動作を終了させる。

【0027】

上述のように、制御部５１は、第２監視プロセス４０が第１監視プロセス３０の異常（例えば、不正な一時停止や終了）を検知した場合、第２監視プロセス４０に保護対象プログラム２０の動作を終了させる。また、制御部５１は、第２監視プロセス４０が保護対象プログラム２０の異常（例えば、不正な一時停止や終了）を検知した場合、第２監視プロセス４０に保護対象プログラム２０の動作を終了させてもよい。

【0028】

これにより、第２監視プロセス４０は、第１監視プロセス３０及び保護対象プログラム２０に対する攻撃を検知することができ、結果として、保護対象プログラム２０を不正なアクセスから保護することができる。また、攻撃者が保護対象プログラム２０にアタッチしようとしても、保護対象プログラム２０は終了しているので、攻撃者は保護対象プログラム２０にアタッチすることができず（図６Ｂ参照）、保護対象プログラム２０を不正なアクセスから保護することができ、メモリ上からデータが不正に抜き取られることを防止できる。

【0029】

図７は第２監視プロセス４０の動作の第２例を示す図である。第２監視プロセス４０は、定期または不定期に自身と同じ動作を実行する別プロセス（新たなプロセス）を生成するとともに、現在のプロセスを終了する。これにより、第２監視プロセス４０は、自身が一時停止や終了などの攻撃対象として特定されることを防止できる。

【0030】

図７の例では、第２監視プロセス４０（プロセスＩＤ＝０１）が動作を実行中に、自身と同じ動作をする新たなプロセスである第２監視プロセス４０（プロセスＩＤ＝１０）を生成し、現在実行中の第２監視プロセス４０（プロセスＩＤ＝０１）を終了する。

【0031】

次に、第２監視プロセス４０（プロセスＩＤ＝１０）が動作を実行中に、自身と同じ動作をする新たなプロセスである第２監視プロセス４０（プロセスＩＤ＝２２）を生成し、現在実行中の第２監視プロセス４０（プロセスＩＤ＝１０）を終了する。

【0032】

同様に、第２監視プロセス４０（プロセスＩＤ＝２２）が動作を実行中に、自身と同じ動作をする新たなプロセスである第２監視プロセス４０を生成し、現在実行中の第２監視プロセス４０（プロセスＩＤ＝２２）を終了する。以降、同様の処理を繰り返す。なお、プロセスＩＤの例は、プロセスＩＤが異なることを便宜上示すためのものでＩＤ自体は数字に限定されない。

【0033】

上述のように、制御部５１は、第２監視プロセス４０に、異なるプロセスＩＤを有する第２監視プロセス４０を起動させる。また、制御部５１は、新たな第２監視プロセス４０を起動させた場合、直近の古い第２監視プロセス４０を終了させる。

【0034】

図８Ａ及び図８Ｂは攻撃者による攻撃パターンの第３例を示す図である。第１監視プロセス３０は、保護対象プログラム２０にアタッチ中であるとする。第２監視プロセス（プロセスＩＤ＝０１）４０は、第１監視プロセス３０の動作を監視している。攻撃者は、第２監視プロセス（プロセスＩＤ＝０１）４０を停止又は終了させるべく、第２監視プロセス４０のプロセスＩＤを特定しようとする。第２監視プロセス（プロセスＩＤ＝０１）４０は、自身と同じ動作をする新たな第２監視プロセス（プロセスＩＤ＝０２）４０を生成する。

【0035】

新たに生成された第２監視プロセス（プロセスＩＤ＝０２）４０は、第１監視プロセス３０の動作を監視する。直近の古い第２監視プロセス（プロセスＩＤ＝０１）４０は、自身を終了する。前述のようなプロセスの世代交代（新しいプロセスを生成して古いプロセスを終了する）は、攻撃者によるプロセスＩＤ特定動作よりも短い（好ましくは十分短い）時間間隔で行うことができる。攻撃者は、既に終了した古い第２監視プロセス４０のプロセスＩＤ＝０１のみ特定できるので、新しく生成された第２監視プロセス（プロセスＩＤ＝０２）を停止又は終了させるような介入をすることができない。

【0036】

上述のように、本実施形態によれば、攻撃者は、動作中の第２監視プロセス４０のプロセスを特定する情報（プロセスＩＤ）を知ることができないので、第２監視プロセス４０の停止や終了などの攻撃を困難にする。

【0037】

図９はプログラム保護装置５０による処理手順の一例を示す図である。図９の処理の主体は、保護対象プログラム２０、第１監視プロセス３０及び第２監視プロセス４０であるが、これらの主体を纏めて制御部５１としてもよい。保護対象プログラム２０が起動し（Ｓ１１）、保護対象プログラム２０は、自身の子プロセスとして第１監視プロセス３０を起動する（Ｓ１２）。第１監視プロセス３０が保護対象プログラム２０にアタッチする（Ｓ１３）。アタッチを実行する際には、第１監視プロセス３０は、保護対象プログラム２０のプロセスＩＤを取得する。

【0038】

保護対象プログラム２０は、自身の子プロセスとして第２監視プロセス４０を起動する（Ｓ１４）。第２監視プロセス４０は、第１監視プロセス３０のプロセスＩＤを取得して、第１監視プロセス３０の動作を監視する（Ｓ１５）。なお、第２監視プロセス４０に、保護対象プログラム２０のプロセスＩＤを取得させて保護対象プログラム２０の動作を監視させてもよい。

【0039】

第２監視プロセス４０が第１監視プロセス３０の異常（一時停止や終了など）を検知したか否かを判定し（Ｓ１６）、異常を検知した場合（Ｓ１６でＹＥＳ）、保護対象プログラム２０を終了させ（Ｓ１７）、処理を終了する。

【0040】

異常を検知していない場合（Ｓ１６でＮＯ）、第２監視プロセス４０は、第２監視プロセス４０のプロセスＩＤを特定するアクションの有無を判定する（Ｓ１８）。ここで、第２監視プロセス４０のプロセスＩＤを特定するアクションは、攻撃者によるものとする。プロセスＩＤを特定するアクションの有無の判定は、第２監視プロセス４０自身の機能、あるいはＯＳ６０が備える機能を用いることができる。プロセスＩＤを特定するアクションがある場合（Ｓ１８でＹＥＳ）、第２監視プロセス４０は、新しいプロセスＩＤを有する新たな第２監視プロセス４０を生成し（Ｓ１９）、古い第２監視プロセス４０を終了し（Ｓ２０）、後述のステップＳ２１の処理を行う。

【0041】

プロセスＩＤを特定するアクションがない場合（Ｓ１８でＮＯ）、第２監視プロセス４０は、処理を終了するか否かを判定し（Ｓ２１）、処理を終了しない場合（Ｓ２１でＮＯ）、ステップＳ１５以降の処理を続ける。処理を終了する場合（Ｓ２１でＹＥＳ）、保護対象プログラム２０、第１監視プロセス３０及び第２監視プロセス４０の処理を終了する。

【0042】

上述のように、本実施形態によれば、保護対象プログラム２０及び第１監視プロセス３０の動作を監視する新たな第２監視プロセス４０を生成し、第２監視プロセス４０は、保護対象プログラム２０及び第１監視プロセス３０の一時停止や終了などの不正な介入を検知した場合、保護対象プログラム２０を終了させるので、メモリに対する不正なアクセスによってメモリ上からデータが抜き取られることを防止できる。

【0043】

また、第２監視プロセス４０は、自身と同じ動作を実行する別プロセスを生成し、現在実行中のプロセスを終了させるので、第２監視プロセス４０自身のプロセスＩＤが特定されることを防止でき、第２監視プロセス４０への攻撃を困難にすることができる。

【0044】

（付記１）コンピュータプログラムは、保護対象プログラムに第１監視プロセスを起動させ、前記保護対象プログラム又は前記第１監視プロセスに第２監視プロセスを起動させ、前記第２監視プロセスに、前記第１監視プロセスの動作を監視させる、処理をコンピュータに実行させる。

【0045】

（付記２）コンピュータプログラムは、付記１において、前記保護対象プログラムに対して前記第１監視プロセスをアタッチさせる、処理をコンピュータに実行させる。

【0046】

（付記３）コンピュータプログラムは、付記１又は付記２において、前記第２監視プロセスが前記第１監視プロセスの異常を検知した場合、前記第２監視プロセスに前記保護対象プログラムの動作を終了させる、処理をコンピュータに実行させる。

【0047】

（付記４）コンピュータプログラムは、付記１から付記３のいずれか一つにおいて、前記第２監視プロセスに、異なるプロセスＩＤを有する第２監視プロセスを起動させる、処理をコンピュータに実行させる。

【0048】

（付記５）コンピュータプログラムは、付記４において、新たな第２監視プロセスを起動させた場合、直近の古い第２監視プロセスを終了させる、処理をコンピュータに実行させる。

【0049】

（付記６）プログラム保護装置は、制御部を備え、前記制御部は、保護対象プログラムに第１監視プロセスを起動させ、前記保護対象プログラム又は前記第１監視プロセスに第２監視プロセスを起動させ、前記第２監視プロセスに、前記第１監視プロセスの動作を監視させる。

【0050】

（付記７）プログラム保護方法は、保護対象プログラムに第１監視プロセスを起動させ、前記保護対象プログラム又は前記第１監視プロセスに第２監視プロセスを起動させ、前記第２監視プロセスに、前記第１監視プロセスの動作を監視させる。

【0051】

各実施形態に記載した事項は相互に組み合わせることが可能である。また、特許請求の範囲に記載した独立請求項及び従属請求項は、引用形式に関わらず全てのあらゆる組み合わせにおいて、相互に組み合わせることが可能である。さらに、特許請求の範囲には他の２以上のクレームを引用するクレームを記載する形式（マルチクレーム形式）を用いているが、これに限るものではない。マルチクレームを少なくとも一つ引用するマルチクレーム（マルチマルチクレーム）を記載する形式を用いて記載してもよい。

【符号の説明】

【0052】

１０ アプリケーション
２０ 保護対象プログラム
３０ 第１監視プロセス
４０ 第２監視プロセス
５０ プログラム保護装置
５１ 制御部
５２ 通信部
５３ 表示部
５４ 操作部
５５ メモリ
５６ 記憶部
５７ 記録媒体読取部
５７１ 記録媒体
６０ ＯＳ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】