特開 2024-56410 コンピュータ

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024056410

(43)【公開日】2024-04-23

(54)【発明の名称】コンピュータ

(51)【国際特許分類】

   G06F 21/51 20130101AFI20240416BHJP

【ＦＩ】

G06F21/51

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2022163269

(22)【出願日】2022-10-11

(71)【出願人】

【識別番号】000136136

【氏名又は名称】株式会社ＰＦＵ

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】篠原 啓志

(57)【要約】

【課題】起動時にファームフェアの改ざんチェックを行うコンピュータの起動時間を短縮すること。
【解決手段】コンピュータ１において、第一ＦＭ２０は、ＢＩＯＳ２１を記憶し、ＥＣ１０は、改ざんされていないＢＩＯＳ２１が第一ＦＭ２０に記憶されている第一時点で実行されたＢＩＯＳ２１の第一の実行履歴と、第一時点より後の第二時点のコンピュータ１の起動時に実行されたＢＩＯＳ２１の第二の実行履歴とを比較することにより、ＢＩＯＳ２１の改ざんの有無を検証する。例えば、第一の実行履歴は第一時点でのＢＩＯＳ２１のプログラムサイズである第一サイズを示し、第二の実行履歴は第二時点でのＢＩＯＳ２１のプログラムサイズである第二サイズを示し、ＥＣ１０は、第二サイズが第一サイズに一致するときにＢＩＯＳ２１が改ざんされていないと判定し、第二サイズが第一サイズに一致しないときにＢＩＯＳ２１が改ざんされていると判定する。
【選択図】図１

【特許請求の範囲】

【請求項1】

ファームウェアを記憶する記憶部と、
前記ファームウェアの改ざんの有無を検証する集積回路と、
を具備するコンピュータであって、
前記集積回路は、改ざんされていない前記ファームウェアが前記記憶部に記憶されている第一時点で実行された前記ファームウェアの第一の実行履歴と、前記第一時点より後の第二時点の前記コンピュータの起動時に実行された前記ファームウェアの第二の実行履歴とを比較することにより、前記ファームウェアの改ざんの有無を検証する、
コンピュータ。

【請求項2】

前記ファームウェアは複数のプログラムから形成され、
前記第一の実行履歴は前記第一時点での前記複数のプログラムの実行順序である第一順序を示し、前記第二の実行履歴は前記第二時点での前記複数のプログラムの実行順序である第二順序を示し、
前記集積回路は、前記第二順序が前記第一順序に一致するときに前記ファームウェアが改ざんされていないと判定し、前記第二順序が前記第一順序に一致しないときに前記ファームウェアが改ざんされていると判定する、
請求項１に記載のコンピュータ。

【請求項3】

前記第一の実行履歴は前記第一時点での前記ファームウェアの実行時間である第一時間を示し、前記第二の実行履歴は前記第二時点での前記ファームウェアの実行時間である第二時間を示し、
前記集積回路は、前記第二時間が前記第一時間に対する所定範囲内にあるときに前記ファームウェアが改ざんされていないと判定し、前記第二時間が前記所定範囲内にないときに前記ファームウェアが改ざんされていると判定する、
請求項１に記載のコンピュータ。

【請求項4】

前記第一の実行履歴は前記第一時点での前記ファームウェアのプログラムサイズである第一サイズを示し、前記第二の実行履歴は前記第二時点での前記ファームウェアのプログラムサイズである第二サイズを示し、
前記集積回路は、前記第二サイズが前記第一サイズに一致するときに前記ファームウェアが改ざんされていないと判定し、前記第二サイズが前記第一サイズに一致しないときに前記ファームウェアが改ざんされていると判定する、
請求項１に記載のコンピュータ。

【請求項5】

前記第一の実行履歴は前記第一時点で前記ファームウェアが配置されたメモリアドレスである第一アドレスを示し、前記第二の実行履歴は前記第二時点で前記ファームウェアが配置されたメモリアドレスである第二アドレスを示し、
前記集積回路は、前記第二アドレスが前記第一アドレスに一致するときに前記ファームウェアが改ざんされていないと判定し、前記第二アドレスが前記第一アドレスに一致しないときに前記ファームウェアが改ざんされていると判定する、
請求項１に記載のコンピュータ。

【請求項6】

前記第一の実行履歴は前記第一時点での前記ファームウェアに対するチェックサム結果である第一結果を示し、前記第二の実行履歴は前記第二時点での前記ファームウェアに対するチェックサム結果である第二結果を示し、
前記集積回路は、前記第二結果が前記第一結果に一致するときに前記ファームウェアが改ざんされていないと判定し、前記第二結果が前記第一結果に一致しないときに前記ファームウェアが改ざんされていると判定する、
請求項１に記載のコンピュータ。

【請求項7】

前記集積回路は、前記第一の実行履歴と前記第二の実行履歴との比較結果に基づいて前記ファームウェアが改ざんされていると判定したときに、前記ファームウェアから算出した第一のハッシュ値と、前記ファームウェアの電子署名を復号化することにより取得した第二のハッシュ値とを比較することにより、前記ファームウェアの改ざんの有無を再度検証する、
請求項１に記載のコンピュータ。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、コンピュータに関する。

【背景技術】

【0002】

昨今、コンピュータのファームウェアの改ざん対策を、アメリカ国立標準技術研究所（ＮＩＳＴ）が定めたセキュリティガイドラインに沿って行うことが求められている。このセキュリティガイドラインでは、ファームウェアの実行開始前にRoot of Trust（以下
では「ＲｏＴ」と呼ぶことがある）がファームウェアの改ざんチェックを行い、信頼できるファームウェアであることを確認することが要求されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０２０－１５５０２９号公報

【特許文献2】国際公開第２０２０／１５８３７７号

【特許文献3】特開２０１７－０３３２４８号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかし、コンピュータの起動時にファームウェアの改ざんチェックが行われる場合には、コンピュータの起動時間が長くなってしまう。改ざんチェックにかかる時間はコンピュータの起動時間全体に占める割合として小さくないため、改ざんチェックに要する時間の短縮が求められる。

【0005】

そこで、本開示では、起動時にファームフェアの改ざんチェックを行うコンピュータの起動時間を短縮できる技術を提案する。

【課題を解決するための手段】

【0006】

本開示のコンピュータは、記憶部と、集積回路とを有する。前記記憶部は、ファームウェアを記憶する。前記集積回路は、前記ファームウェアの改ざんの有無を検証する。また、前記集積回路は、改ざんされていない前記ファームウェアが前記記憶部に記憶されている第一時点で実行された前記ファームウェアの第一の実行履歴と、前記第一時点より後の第二時点の前記コンピュータの起動時に実行された前記ファームウェアの第二の実行履歴とを比較することにより、前記ファームウェアの改ざんの有無を検証する。

【発明の効果】

【0007】

本開示によれば、起動時にファームフェアの改ざんチェックを行うコンピュータの起動時間を短縮できる。

【図面の簡単な説明】

【0008】

【図1】図１は、本開示の実施例のコンピュータの構成例を示す図である。

【図2】図２は、本開示の実施例のＢＩＯＳのプログラム構成例を示す図である。

【図3】図３は、本開示の実施例のコンピュータにおける処理手順の一例を示すフローチャートである。

【図4】図４は、本開示の実施例の実行履歴の一例を示す図である。

【図5】図５は、本開示の実施例の実行履歴の一例を示す図である。

【図6】図６は、本開示の実施例の実行履歴の一例を示す図である。

【図7】図７は、本開示の実施例の実行履歴の一例を示す図である。

【図8】図８は、本開示の実施例の実行履歴の一例を示す図である。

【図9】図９は、本開示の実施例の実行履歴テーブルの一例を示す図である。

【図10】図１０は、本開示の実施例のコンピュータの動作例を示す図である。

【図11】図１１は、本開示の実施例のコンピュータの動作例を示す図である。

【図12】図１２は、本開示の実施例のコンピュータの動作例を示す図である。

【発明を実施するための形態】

【0009】

以下、本開示の実施例を図面に基づいて説明する。以下の実施例において同一の構成、及び、同一の処理を行うステップには同一の符号を付す。

【0010】

［実施例］
＜コンピュータの構成＞
図１は、本開示の実施例のコンピュータの構成例を示す図である。図１において、コンピュータ１は、ＥＣ（Embedded Controller）１０と、第一ＦＭ（Flash Memory）２０
と、第二ＦＭ（Flash Memory）３０と、ＣＰＵ（Central Processing Unit）４０と、ＰＣＨ（Platform Controller Hub）５０と、ＤＩＭＭ（Dual Inline Memory Module）６０と、ストレージ７０と、第一スイッチＳＷ１と、第二スイッチＳＷ２とを有する
。

【0011】

ＥＣ１０はＲｏＴに該当し、集積回路により実現される。ＥＣ１０を実現する集積回路の一例として、ＳＰＬＤ（Simple PLD）、ＣＰＬＤ（Complex PLD）、ＦＰＧＡ（Field
Programmable Gate Array）等のＰＬＤ、ＡＳＩＣ（Application Specific Integrated Circuit）等のＬＳＩ（Large Scale Integration）、及び、ＭＣＵ（Micro Controller Unit）等が挙げられる。ＥＣ１０は、内部メモリとしてのセキュアなＲＯＭ（Read Only Memory）１１を有し、ＲＯＭ１１には公開鍵１２が記憶されている。

【0012】

第一ＦＭ２０には、ＢＩＯＳ（Basic Input Output System）２１と、電子署名２２とが記憶されている。ＢＩＯＳ２１は、コンピュータ１の起動時に実行されるファームフェアの一例である。また、ＢＩＯＳ２１は、コンピュータ１の起動時に改ざんチェックが行われるファームフェアの一例である。電子署名２２は、公開鍵１２とペアの秘密鍵によってＢＩＯＳ２１が予め署名されることにより生成されたものである。

【0013】

第二ＦＭ３０には、ＢＩＯＳ２１のリカバリ用のＢＩＯＳであるリカバリＢＩＯＳ３１が記憶されている、また、第二ＦＭ３０には、ＥＣ１０によって生成される基準実行履歴テーブルＥＨＴ１が記録される。

【0014】

ストレージ７０には、ＯＳ（Operating System）７１が記憶されている。ストレージ
７０の一例として、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等が挙げられる。

【0015】

ＥＣ１０と第一ＦＭ２０とはＳＰＩ（Serial Peripheral Interface）を用いて接続
され、ＥＣ１０と第二ＦＭ３０とはＳＰＩを用いて接続される。ＰＣＨ５０と第一ＦＭ２０とはＳＰＩを用いて接続される。ＣＰＵ４０とＰＣＨ５０とはｅＳＰＩ（Enhanced Serial Peripheral Interface）またはＬＰＣ（Low Pin Count）を用いて接続される。

【0016】

＜ＢＩＯＳのプログラム構成＞
図２は、本開示の実施例のＢＩＯＳのプログラム構成例を示す図である。図２に示すように、ＢＩＯＳ２１及びリカバリＢＩＯＳ３１の各々は複数のＢＩＯＳプログラムから形成され、ＢＩＯＳ２１及びリカバリＢＩＯＳ３１の各々には、例えば、ＢＩＯＳプログラムＡ～Ｆの６個のＢＩＯＳプログラムが含まれる。

【0017】

＜コンピュータにおける処理手順＞
図３は、本開示の実施例のコンピュータにおける処理手順の一例を示すフローチャートである。図３に示すフローチャートは、コンピュータ１の電源が投入されてコンピュータ１が起動されたときに開始される。

【0018】

図３において、ステップＳ１００では、ＥＣ１０が起動する。

【0019】

次いで、ステップＳ１０５では、ＥＣ１０が、トレース機能が有効（ＯＮ）か無効（ＯＦＦ）かを判定する。トレース機能の有効または無効は、セキュリティ要件に応じてコンピュータ１のユーザによって予めコンピュータ１に設定されている。ここで、「トレース機能」とは、ＢＩＯＳプログラムＡ～Ｆの各々の実行履歴をトレースすることによりＢＩＯＳ２１の改ざんチェックを行う機能である。トレース機能が有効（ＯＮ）に設定されているときは（ステップＳ１０５：Ｙｅｓ）、処理はステップＳ１１０へ進み、トレース機能が無効（ＯＦＦ）に設定されているときは（ステップＳ１０５：Ｎｏ）、処理はステップＳ１１５へ進む。

【0020】

ステップＳ１１０では、ＥＣ１０が、基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に存在しているか否かを確認する。基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に存在していないときは（ステップＳ１１０：Ｎｏ）、処理はステップＳ１１５へ進み、基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に存在しているときは（ステップＳ１１０：Ｙｅｓ）、処理はステップＳ１４０へ進む。

【0021】

ステップＳ１１５では、ＥＣ１０が、第一スイッチＳＷ１を接続するとともに、第二スイッチＳＷ２を切断する。これにより、ＥＣ１０と第一ＦＭ２０とが接続される一方で、ＰＣＨ５０と第一ＦＭ２０とが切断される。

【0022】

次いで、ステップＳ１２０では、ＥＣ１０が、第一ＦＭ２０からＢＩＯＳ２１をリードし、リードしたＢＩＯＳ２１に所定のハッシュ関数を適用することにより、ＢＩＯＳ２１のハッシュ値（以下では「ＢＩＯＳハッシュ値」と呼ぶことがある）を算出する。

【0023】

次いで、ステップＳ１２５では、ＥＣ１０が、第一ＦＭ２０から電子署名２２をリードし、リードした電子署名２２を公開鍵１２によって復号化することにより、電子署名２２のハッシュ値（以下では「署名ハッシュ値」と呼ぶことがある）を取得する。

【0024】

次いで、ステップＳ１３０では、ＥＣ１０が、ＢＩＯＳハッシュ値が署名ハッシュ値に一致するか否かを判定することにより、ＢＩＯＳ２１の改ざんの有無を検証する。ＢＩＯＳハッシュ値が署名ハッシュ値に一致しないときは（ステップＳ１３０：Ｎｏ）、ＥＣ１０はＢＩＯＳ２１が改ざんされていると判定し、処理はステップＳ１３５へ進む。一方で、ＢＩＯＳハッシュ値が署名ハッシュ値に一致するときは（ステップＳ１３０：Ｙｅｓ）、ＥＣ１０はＢＩＯＳ２１が改ざんされていないと判定し、ＥＣ１０はＢＩＯＳ２１が改ざんされていないことをＣＰＵ４０へ通知し、ステップＳ１３５の処理が行われることなく、処理はステップＳ１４０へ進む。

【0025】

なお、秘密鍵、公開鍵、及び、ハッシュ関数を利用した改ざん有無検証方法は、一般に「公開鍵暗号検証方式」と呼ばれ、安全性の高い検証方法として広く利用されている。

【0026】

ステップＳ１３５では、ＥＣ１０が、第二ＦＭ３０からリカバリＢＩＯＳ３１をリードし、第一ＦＭ２０に記憶されているＢＩＯＳ２１をリカバリＢＩＯＳ３１によってオーバライトする。これにより、改ざんされていると判定されたＢＩＯＳ２１がリカバリＢＩＯ
Ｓ３１によってリカバリされる。ステップＳ１３５の処理後、処理はステップＳ１４０へ進む。

【0027】

ステップＳ１４０では、ＥＣ１０が、第一スイッチＳＷ１を切断するとともに、第二スイッチＳＷ２を接続する。これにより、ＥＣ１０と第一ＦＭ２０とが切断される一方で、ＰＣＨ５０と第一ＦＭ２０とが接続される。

【0028】

次いで、ステップＳ１４５では、ＣＰＵ４０が、第一ＦＭ２０からＰＣＨ５０を介してＢＩＯＳ２１をリードし、リードしたＢＩＯＳ２１をＤＩＭＭ６０に展開し、ＤＩＭＭ６０に展開したＢＩＯＳ２１の実行を開始する。

【0029】

次いで、ステップＳ１５０では、ＣＰＵ４０が、ＢＩＯＳ２１の実行が完了したか否か、つまり、ＢＩＯＳプログラムＡ～Ｆ（図２）のすべての実行が完了したか否かを判定する。ＢＩＯＳ２１の実行が完了していないときは（ステップＳ１５０：Ｎｏ）、処理はステップＳ１５５へ進み、ＢＩＯＳ２１の実行が完了しているときは（ステップＳ１５０：Ｙｅｓ）、ＣＰＵ４０はＢＩＯＳ２１の実行が完了したことをＥＣ１０へ通知し、処理はステップＳ１７５へ進む。

【0030】

次いで、ステップＳ１５５では、ＣＰＵ４０が、ＢＩＯＳプログラムＡ～Ｆの各プログラムを順次実行する。以下では、一例として、ＢＩＯＳプログラムＡ～Ｆは、ＢＩＯＳプログラムＡ，Ｅ，Ｃ，Ｂ，Ｆ，Ｄの順で実行されるものとする。よって、ステップＳ１５０では、ＢＩＯＳプログラムＤの実行が完了しているときにＢＩＯＳ２１の実行が完了したと判定される。

【0031】

次いで、ステップＳ１６０では、ＥＣ１０が、トレース機能が有効（ＯＮ）か無効（ＯＦＦ）かを判定する。トレース機能が有効（ＯＮ）に設定されているときは（ステップＳ１６０：Ｙｅｓ）、処理はステップＳ１６５へ進み、トレース機能が無効（ＯＦＦ）に設定されているときは（ステップＳ１６０：Ｎｏ）、処理はステップＳ１５０に戻る。

【0032】

ステップＳ１６５では、ＣＰＵ４０が、ＢＩＯＳプログラムＡ～Ｆの各々を実行する度に、ＢＩＯＳプログラムＡ～Ｆの各々の実行履歴をＰＣＨ５０を介してＥＣ１０へ通知し、ステップＳ１７０では、ＥＣ１０が、ＣＰＵ４０から通知された実行履歴を取得する。ステップＳ１７０の処理後、処理はステップＳ１５０に戻る。

【0033】

一方で、ステップＳ１７５では、ＥＣ１０が、ステップＳ１７０で取得した複数の実行履歴（以下では「取得実行履歴」と呼ぶことがある）に基づいて、取得実行履歴テーブルＥＨＴ２を生成する。

【0034】

次いで、ステップＳ１８０では、ＥＣ１０が、トレース機能が有効（ＯＮ）か無効（ＯＦＦ）かを判定する。トレース機能が有効（ＯＮ）に設定されているときは（ステップＳ１８０：Ｙｅｓ）、処理はステップＳ１８５へ進み、トレース機能が無効（ＯＦＦ）に設定されているときは（ステップＳ１８０：Ｎｏ）、ステップＳ１８５，Ｓ１９０，Ｓ１９５，Ｓ２００の処理が行われることなく、処理はステップＳ２０５へ進む。

【0035】

ステップＳ１８５では、ＥＣ１０が、基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に存在しているか否かを確認する。基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に存在しているときは（ステップＳ１８５：Ｙｅｓ）、ステップＳ１９０の処理が行われることなく、処理はステップＳ１９５へ進み、基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に存在していないときは（ステップＳ１８５：Ｎｏ）、処理はステップＳ１９０へ進む。

【0036】

ステップＳ１９０では、ＥＣ１０が、ステップＳ１７５で生成した取得実行履歴テーブルＥＨＴ２を基準実行履歴テーブルＥＨＴ１として第二ＦＭ３０に記録する。ステップＳ１９０の処理後、処理はステップＳ２０５へ進む。

【0037】

ここで、基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に存在していないときに（ステップＳ１１０：Ｎｏ）、ステップＳ１３０においてＢＩＯＳハッシュ値が署名ハッシュ値に一致するときは（ステップＳ１３０：Ｙｅｓ）、第一ＦＭ２０に記憶されているＢＩＯＳ２１が改ざんされていないと判定される。また、基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に存在していないときに（ステップＳ１１０：Ｎｏ）、ステップＳ１３０においてＢＩＯＳハッシュ値が署名ハッシュ値に一致しないときは（ステップＳ１３０：Ｎｏ）、ステップＳ１３５において、第一ＦＭ２０に記憶されているＢＩＯＳ２１がリカバリＢＩＯＳ３１によってオーバライトされることにより、改ざんされていないＢＩＯＳ２１が第一ＦＭ２０に記憶されることになる。よって、ステップＳ１９０において第二ＦＭ３０に記録される基準実行履歴テーブルＥＨＴ１には、改ざんされていないＢＩＯＳ２１が第一ＦＭ２０に記憶されている時点（以下では「無改ざん時点」と呼ぶことがある）で実行されたＢＩＯＳ２１の実行履歴が示される。

【0038】

ステップＳ１９５では、ＥＣ１０が、ステップＳ１７５で生成した取得実行履歴テーブルＥＨＴ２と、第二ＦＭ３０に記録されている基準実行履歴テーブルＥＨＴ１とを比較し、ステップＳ１７５で生成した取得実行履歴テーブルＥＨＴ２の内容が、第二ＦＭ３０に記録されている基準実行履歴テーブルＥＨＴ１の内容に一致するか否かを判定することにより、ＢＩＯＳ２１の改ざんの有無を検証する。。取得実行履歴テーブルＥＨＴ２の内容が基準実行履歴テーブルＥＨＴ１の内容に一致しないときは（ステップＳ１９５：Ｎｏ）、ＥＣ１０はＢＩＯＳ２１が改ざんされていると判定し、処理はステップＳ２００へ進む。一方で、取得実行履歴テーブルＥＨＴ２の内容が基準実行履歴テーブルＥＨＴ１の内容に一致するときは（ステップＳ１９５：Ｙｅｓ）、ＥＣ１０はＢＩＯＳ２１が改ざんされていないと判定し、ＥＣ１０はＢＩＯＳ２１が改ざんされていないことをＣＰＵ４０へ通知し、処理はステップＳ２０５へ進む。

【0039】

ここで、ステップＳ１９５で基準実行履歴テーブルＥＨＴ１と比較される取得実行履歴テーブルＥＨＴ２は、コンピュータ１の前回の起動時のステップＳ１９０で基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に記録された後に、コンピュータ１の今回の起動時のステップＳ１７５で生成されたものであるため、無改ざん時点より後の時点のコンピュータ１の起動時に実行されたＢＩＯＳ２１の実行履歴が示される。また、第一ＦＭ２０に記憶されているＢＩＯＳ２１は、コンピュータ１の前回の起動時とコンピュータ１の今回の起動時との間に改ざんされている可能性がある。

【0040】

ステップＳ２０５では、ＣＰＵ４０が、ストレージ７０からＰＣＨ５０を介してＯＳ７１をリードし、リードしたＯＳ７１をＤＩＭＭ６０に展開し、ＤＩＭＭ６０に展開したＯＳ７１を起動させる。ステップＳ２０５の処理後、図３に示すフローチャートは終了する。

【0041】

一方で、ステップＳ２００では、ＥＣ１０が、第二ＦＭ３０に記録されている基準実行履歴テーブルＥＨＴ１を削除する。ステップＳ２００の処理後、処理はステップＳ１１０に戻る。

【0042】

＜実行履歴及び実行履歴テーブル＞
図４、図５、図６、図７及び図８は、本開示の実施例の実行履歴の一例を示す図である。また、図９は、本開示の実施例の実行履歴テーブルの一例を示す図である。

【0043】

コンピュータ１の構成に変化がないときや、ユーザによるＢＩＯＳ２１の変更がないときは、ＢＩＯＳプログラムＡ～Ｆの実行順は、コンピュータ１の毎回の起動時において同一である可能性が高い。そこで、例えば、図４に示すように、ＣＰＵ４０は、ＢＩＯＳプログラムＡ～Ｆの各々を一意に特定する数値０Ａｈ，０Ｂｈ，０Ｃｈ，０Ｄｈ，０Ｅｈ，０ＦｈをＢＩＯＳプログラムＡ～Ｆの実行順にＢＩＯＳプログラムＡ～Ｆの各々から取得し、順に取得した数値をＥＣ１０へ通知する。ＥＣ１０は、ＣＰＵ４０から順に通知された数値によって示されるＢＩＯＳプログラムＡ～Ｆの実行順をＢＩＯＳ２１の第一実行履歴ＥＨＡとして取得する。上記のように、ＢＩＯＳプログラムＡ～ＦはＢＩＯＳプログラムＡ，Ｅ，Ｃ，Ｂ，Ｆ，Ｄの順で実行されるため、ＥＣ１０は、ＢＩＯＳプログラムＡ～Ｆの実行順として、０Ａｈ，０Ｅｈ，０Ｃｈ，０Ｂｈ，０Ｆｈ，０ＤｈをＣＰＵ４０から取得する。

【0044】

また、コンピュータ１の構成に変化がないときや、ユーザによるＢＩＯＳ２１の変更がないときは、ＢＩＯＳプログラムＡ～Ｆの各々の実行時間は、コンピュータ１の毎回の起動時においてほぼ同一となる。そこで、例えば、図５に示すように、ＣＰＵ４０は、ＢＩＯＳプログラムＡ～Ｆの各々の実行時間を実測し、実測した実行時間をＢＩＯＳプログラムＡ～Ｆの実行順にＥＣ１０へ通知する。ＥＣ１０は、ＣＰＵ４０から通知された実行時間をＢＩＯＳ２１の第二実行履歴ＥＨＢとして取得する。

【0045】

また、コンピュータ１の構成に変化がないときや、ユーザによるＢＩＯＳ２１の変更がないときは、ＢＩＯＳプログラムＡ～Ｆの各々のプログラムサイズは、コンピュータ１の毎回の起動時において同一となる。そこで、例えば、図６に示すように、ＣＰＵ４０は、ＢＩＯＳプログラムＡ～Ｆの各々のプログラムサイズをＢＩＯＳプログラムＡ～Ｆの各々から取得し、取得したプログラムサイズをＢＩＯＳプログラムＡ～Ｆの実行順にＥＣ１０へ通知する。ＥＣ１０は、ＣＰＵ４０から通知されたプログラムサイズをＢＩＯＳ２１の第三実行履歴ＥＨＣとして取得する。

【0046】

また、ＤＩＭＭ６０においてＢＩＯＳプログラムＡ～Ｆの各々が配置されるメモリアドレス（以下では「配置アドレス」と呼ぶことがある）は、コンピュータ１の毎回の起動時において同一となる可能性が高い。そこで、例えば、図７に示すように、ＣＰＵ４０は、配置アドレスを検出し、検出した配置アドレスをＢＩＯＳプログラムＡ～Ｆの実行順にＥＣ１０へ通知する。ＥＣ１０は、ＣＰＵ４０から通知された配置アドレスをＢＩＯＳ２１の第四実行履歴ＥＨＤとして取得する。

【0047】

また、コンピュータ１の構成に変化がないときや、ユーザによるＢＩＯＳ２１の変更がないときは、ＢＩＯＳプログラムＡ～Ｆの各々のチェックサムは、コンピュータ１の毎回の起動時において同一となる。そこで、例えば、図８に示すように、ＣＰＵ４０は、ＢＩＯＳプログラムＡ～Ｆの各々のチェックサムを算出し、算出したチェックサム結果をＢＩＯＳプログラムＡ～Ｆの実行順にＥＣ１０へ通知する。ＥＣ１０は、ＣＰＵ４０から通知されたチェックサム結果をＢＩＯＳ２１の第五実行履歴ＥＨＥとして取得する。

【0048】

そして、ＥＣ１０は、図４、図５、図６、図７及び図８に示すような第一実行履歴ＥＨＡ、第二実行履歴ＥＨＢ、第三実行履歴ＥＨＣ、第四実行履歴ＥＨＤ、及び、第五実行履歴ＥＨＥをまとめることにより、図３に示すステップＳ１７５において、図９に示すような取得実行履歴テーブルＥＨＴ２を生成する。また、図３に示すステップＳ１８５において基準実行履歴テーブルＥＨＴ１が第二ＦＭ３０に存在していない判定されるときに（ステップＳ１８５：Ｎｏ）、図９に示す取得実行履歴テーブルＥＨＴ２が基準実行履歴テーブルＥＨＴ１として第二ＦＭ３０に記録される（ステップＳ１９０）。

【0049】

＜コンピュータの動作＞
図１０、図１１及び図１２は、本開示の実施例のコンピュータの動作例を示す図である。図１０、図１１及び図１２の各々には、図３に示すステップＳ１９５において行われる取得実行履歴テーブルＥＨＴ２と基準実行履歴テーブルＥＨＴ１との比較例１，２，３を示す。

【0050】

図１０の比較例１に示すように、ＥＣ１０は、取得実行履歴テーブルＥＨＴ２と基準実行履歴テーブルＥＨＴ１との比較において、実行順、ＢＩＯＳプログラム毎のプログラムサイズ、ＢＩＯＳプログラム毎の配置アドレス、及び、ＢＩＯＳプログラム毎のチェックサム結果のすべてが一致し、かつ、取得実行履歴テーブルＥＨＴ２におけるＢＩＯＳプログラム毎の実行時間のすべてが基準実行履歴テーブルＥＨＴ１におけるＢＩＯＳプログラム毎の実行時間の±１０％の範囲内であるときに、取得実行履歴テーブルＥＨＴ２の内容が基準実行履歴テーブルＥＨＴ１の内容に一致すると判定する（ステップＳ１９５：Ｙｅｓ）。

【0051】

一方で、ＥＣ１０は、取得実行履歴テーブルＥＨＴ２と基準実行履歴テーブルＥＨＴ１との比較において、実行順、ＢＩＯＳプログラム毎のプログラムサイズ、ＢＩＯＳプログラム毎の配置アドレス、または、ＢＩＯＳプログラム毎のチェックサム結果の少なくとも一つが不一致のとき、または、取得実行履歴テーブルＥＨＴ２におけるＢＩＯＳプログラム毎の実行時間の少なくとも一つが基準実行履歴テーブルＥＨＴ１におけるＢＩＯＳプログラム毎の実行時間の±１０％の範囲内にないときに、取得実行履歴テーブルＥＨＴ２の内容が基準実行履歴テーブルＥＨＴ１の内容に一致しないと判定する（ステップＳ１９５：Ｎｏ）。

【0052】

例えば、図１１の比較例２に示すように、ＥＣ１０は、取得実行履歴テーブルＥＨＴ２と基準実行履歴テーブルＥＨＴ１との比較において、取得実行履歴テーブルＥＨＴ２におけるＢＩＯＳプログラムＦのチェックサム結果が、基準実行履歴テーブルＥＨＴ１におけるＢＩＯＳプログラムＦのチェックサム結果に一致しないときに、取得実行履歴テーブルＥＨＴ２の内容が基準実行履歴テーブルＥＨＴ１の内容に一致しないと判定する。

【0053】

また例えば、図１２の比較例３に示すように、ＥＣ１０は、取得実行履歴テーブルＥＨＴ２と基準実行履歴テーブルＥＨＴ１との比較において、取得実行履歴テーブルＥＨＴ２におけるＢＩＯＳプログラムＦの実行時間が、基準実行履歴テーブルＥＨＴ１におけるＢＩＯＳプログラムＦの実行時間の±１０％の範囲内にないときに、取得実行履歴テーブルＥＨＴ２の内容が基準実行履歴テーブルＥＨＴ１の内容に一致しないと判定する。

【0054】

以上、実施例について説明した。

【0055】

以上のように、本開示のコンピュータ（実施例のコンピュータ１）は、記憶部（実施例の第一ＦＭ２０）と、集積回路（実施例のＥＣ１０）とを有する。記憶部は、ファームウェア（実施例のＢＩＯＳ２１）を記憶する。集積回路は、ファームウェアの改ざんの有無を検証する。また、集積回路は、改ざんされていないファームウェアが記憶部に記憶されている第一時点（実施例の無改ざん時点）で実行されたファームウェアの第一の実行履歴（実施例の基準実行履歴テーブルＥＨＴ１）と、第一時点より後の第二時点のコンピュータの起動時に実行されたファームウェアの第二の実行履歴（実施例の取得実行履歴テーブルＥＨＴ２）とを比較することにより、ファームウェアの改ざんの有無を検証する。

【0056】

例えば、ファームウェアは複数のプログラム（実施例のＢＩＯＳプログラムＡ～Ｆ）から形成される。第一の実行履歴は第一時点での複数のプログラムの実行順序である第一順序を示し、第二の実行履歴は第二時点での複数のプログラムの実行順序である第二順序を示す。集積回路は、第二順序が第一順序に一致するときにファームウェアが改ざんされて
いないと判定し、第二順序が第一順序に一致しないときにファームウェアが改ざんされていると判定する。

【0057】

また例えば、第一の実行履歴は第一時点でのファームウェアの実行時間である第一時間を示し、第二の実行履歴は第二時点でのファームウェアの実行時間である第二時間を示す。集積回路は、第二時間が第一時間に対する所定範囲内（実施例の±１０％の範囲内）にあるにあるときにファームウェアが改ざんされていないと判定し、第二時間が第一時間に対する所定範囲内にないときにファームウェアが改ざんされていると判定する。

【0058】

また例えば、第一の実行履歴は第一時点でのファームウェアのプログラムサイズである第一サイズを示し、第二の実行履歴は第二時点でのファームウェアのプログラムサイズである第二サイズを示す。集積回路は、第二サイズが第一サイズに一致するときにファームウェアが改ざんされていないと判定し、第二サイズが第一サイズに一致しないときにファームウェアが改ざんされていると判定する。

【0059】

また例えば、第一の実行履歴は第一時点でファームウェアが配置されたメモリアドレスである第一アドレスを示し、第二の実行履歴は第二時点でファームウェアが配置されたメモリアドレスである第二アドレスを示す。集積回路は、第二アドレスが第一アドレスに一致するときにファームウェアが改ざんされていないと判定し、第二アドレスが第一アドレスに一致しないときにファームウェアが改ざんされていると判定する。

【0060】

また例えば、第一の実行履歴は第一時点でのファームウェアに対するチェックサム結果である第一結果を示し、第二の実行履歴は第二時点でのファームウェアに対するチェックサム結果である第二結果を示す。集積回路は、第二結果が第一結果に一致するときにファームウェアが改ざんされていないと判定し、第二結果が第一結果に一致しないときにファームウェアが改ざんされていると判定する。

【0061】

ここで、ＳＰＩの通信速度はおおよそ１ＭＢ／ｓ程度の低速であり、かつ、ハッシュ値の算出には数百ミリ秒を要するため、コンピュータの毎回の起動時に公開鍵暗号検証方を用いてファームウェアの改ざんの有無を検証すると、検証に時間を要し、毎回、コンピュータの起動時間が長くなってしまう。これに対し、第一の実行履歴と第二の実行履歴とを比較することによりファームウェアの改ざんの有無を検証することで、ＳＰＩを介した通信頻度が減少するとともに、ハッシュ値の算出が不要となるため、セキュリティレベルの低下を最小限に抑えた上で、起動時にファームフェアの改ざんチェックを行うコンピュータの起動時間を短縮できる。

【0062】

また、集積回路は、第一の実行履歴と第二の実行履歴との比較結果に基づいてファームウェアが改ざんされていると判定したときに（実施例のステップＳ１９５：Ｎｏ）、ファームウェアから算出した第一のハッシュ値（実施例のＢＩＯＳハッシュ値）と、ファームウェアの電子署名（実施例の電子署名２２）を復号化することにより取得した第二のハッシュ値（実施例の署名ハッシュ値）とを比較することにより、ファームウェアが改ざんされているか否かを再度検証する（実施例のステップＳ１３０）。

【0063】

こうすることで、ファームウェアの改ざんの有無の検証の信頼性を高めることができる。

【符号の説明】

【0064】

１ コンピュータ
１０ ＥＣ
２０ 第一ＦＭ
３０ 第二ＦＭ
４０ ＣＰＵ
５０ ＰＣＨ
６０ ＤＩＭＭ
７０ ストレージ
ＳＷ１ 第一スイッチ
ＳＷ２ 第二スイッチ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】