知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024068593
(43)【公開日】2024-05-20
(54)【発明の名称】情報処理装置および情報処理方法
(51)【国際特許分類】
H04L 9/32 20060101AFI20240513BHJP
H04L 9/08 20060101ALI20240513BHJP
G06F 21/57 20130101ALI20240513BHJP
G06F 21/64 20130101ALI20240513BHJP
【ＦＩ】
H04L9/32 200B
H04L9/08 A
G06F21/57 320
G06F21/64
【審査請求】未請求
【請求項の数】8
【出願形態】ＯＬ
(21)【出願番号】P 2022179171
(22)【出願日】2022-11-08
(71)【出願人】
【識別番号】000005223
【氏名又は名称】富士通株式会社
(74)【代理人】
【識別番号】100104190
【弁理士】
【氏名又は名称】酒井 昭徳
(72)【発明者】
【氏名】山▲嵜▼ 晃
(57)【要約】
【課題】セキュリティを確保しつつ、対象データの書き換えを可能にすること。
【解決手段】情報処理装置１０１は、可変領域１１２に対象データ１２０を格納するにあたり、対象データ１２０の書き込みを許可された者固有の第１秘密鍵Ｋ１－２で署名された対象データ１２０を取得する。情報処理装置１０１は、固定領域１１１に格納された第２公開鍵Ｋ２－１を用いて、公開鍵証明書１３０を検証する。公開鍵証明書１３０は、第２秘密鍵Ｋ２－２で署名された情報であり、第１公開鍵Ｋ１－１を含む。第２公開鍵Ｋ２－１は、情報処理装置１０１と同一機種の装置間で共通の鍵情報である。情報処理装置１０１は、公開鍵証明書１３０の検証に成功した場合、公開鍵証明書１３０に含まれる第１公開鍵Ｋ１－１を用いて、対象データ１２０を検証する。情報処理装置１０１は、対象データ１２０の検証に成功した場合、可変領域１１２に対象データ１２０を書き込む。
【選択図】図１
【解決手段】情報処理装置１０１は、可変領域１１２に対象データ１２０を格納するにあたり、対象データ１２０の書き込みを許可された者固有の第１秘密鍵Ｋ１－２で署名された対象データ１２０を取得する。情報処理装置１０１は、固定領域１１１に格納された第２公開鍵Ｋ２－１を用いて、公開鍵証明書１３０を検証する。公開鍵証明書１３０は、第２秘密鍵Ｋ２－２で署名された情報であり、第１公開鍵Ｋ１－１を含む。第２公開鍵Ｋ２－１は、情報処理装置１０１と同一機種の装置間で共通の鍵情報である。情報処理装置１０１は、公開鍵証明書１３０の検証に成功した場合、公開鍵証明書１３０に含まれる第１公開鍵Ｋ１－１を用いて、対象データ１２０を検証する。情報処理装置１０１は、対象データ１２０の検証に成功した場合、可変領域１１２に対象データ１２０を書き込む。
【選択図】図１
【特許請求の範囲】
【請求項1】
自装置の起動時に実行されるファームウェアが管理する不揮発性記憶領域と、
前記不揮発性記憶領域のうち書き換え可能な可変領域に対象データを格納するにあたり、当該対象データの書き込みを許可された者固有の第１秘密鍵を用いて署名された前記対象データを取得し、自装置と同一機種の装置間で共通の第２秘密鍵を用いて署名された、前記第１秘密鍵に対応する第１公開鍵を含む公開鍵証明書を取得し、前記不揮発性記憶領域のうち書き換えが制限される固定領域に格納された、前記第２秘密鍵に対応する第２公開鍵を用いて、前記公開鍵証明書を検証し、前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記対象データを検証し、前記対象データの検証に成功した場合、前記可変領域に前記対象データを書き込む制御部と、
を有することを特徴とする情報処理装置。
前記不揮発性記憶領域のうち書き換え可能な可変領域に対象データを格納するにあたり、当該対象データの書き込みを許可された者固有の第１秘密鍵を用いて署名された前記対象データを取得し、自装置と同一機種の装置間で共通の第２秘密鍵を用いて署名された、前記第１秘密鍵に対応する第１公開鍵を含む公開鍵証明書を取得し、前記不揮発性記憶領域のうち書き換えが制限される固定領域に格納された、前記第２秘密鍵に対応する第２公開鍵を用いて、前記公開鍵証明書を検証し、前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記対象データを検証し、前記対象データの検証に成功した場合、前記可変領域に前記対象データを書き込む制御部と、
を有することを特徴とする情報処理装置。
【請求項2】
前記制御部は、
前記対象データの検証に成功した場合、前記可変領域に前記公開鍵証明書を書き込む、ことを特徴とする請求項１に記載の情報処理装置。
前記対象データの検証に成功した場合、前記可変領域に前記公開鍵証明書を書き込む、ことを特徴とする請求項１に記載の情報処理装置。
【請求項3】
前記制御部は、
前記可変領域に格納された前記対象データを使用するにあたり、前記可変領域から前記公開鍵証明書を取得し、前記固定領域に格納された前記第２公開鍵を用いて、取得した前記公開鍵証明書を検証し、前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記可変領域に格納された前記対象データを検証し、前記対象データの検証に成功した場合、前記対象データの使用を許可する、
ことを特徴とする請求項２に記載の情報処理装置。
前記可変領域に格納された前記対象データを使用するにあたり、前記可変領域から前記公開鍵証明書を取得し、前記固定領域に格納された前記第２公開鍵を用いて、取得した前記公開鍵証明書を検証し、前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記可変領域に格納された前記対象データを検証し、前記対象データの検証に成功した場合、前記対象データの使用を許可する、
ことを特徴とする請求項２に記載の情報処理装置。
【請求項4】
前記ファームウェアは、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）である、ことを特徴とする請求項１～３のいずれか一つに記載の情報処理装置。
【請求項5】
前記対象データは、前記ＢＩＯＳの画面を表示するための外観情報である、ことを特徴とする請求項４に記載の情報処理装置。
【請求項6】
前記第２公開鍵および前記第２秘密鍵は、前記ＢＩＯＳのセキュアブート機能に用いられる、自装置と同一機種の装置間で共通の公開鍵および秘密鍵である、ことを特徴とする請求項４に記載の情報処理装置。
【請求項7】
前記対象データの書き込みを許可された者は、自装置の製造委託元である、ことを特徴とする請求項１～３のいずれか一つに記載の情報処理装置。
【請求項8】
自装置の起動時に実行されるファームウェアが管理する不揮発性記憶領域のうち書き換え可能な可変領域に対象データを格納するにあたり、当該対象データの書き込みを許可された者固有の第１秘密鍵を用いて署名された前記対象データを取得し、
自装置と同一機種の装置間で共通の第２秘密鍵を用いて署名された、前記第１秘密鍵に対応する第１公開鍵を含む公開鍵証明書を取得し、
前記不揮発性記憶領域のうち書き換えが制限される固定領域に格納された、前記第２秘密鍵に対応する第２公開鍵を用いて、前記公開鍵証明書を検証し、
前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記対象データを検証し、
前記対象データの検証に成功した場合、前記可変領域に前記対象データを書き込む、
処理をコンピュータが実行することを特徴とする情報処理方法。
自装置と同一機種の装置間で共通の第２秘密鍵を用いて署名された、前記第１秘密鍵に対応する第１公開鍵を含む公開鍵証明書を取得し、
前記不揮発性記憶領域のうち書き換えが制限される固定領域に格納された、前記第２秘密鍵に対応する第２公開鍵を用いて、前記公開鍵証明書を検証し、
前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記対象データを検証し、
前記対象データの検証に成功した場合、前記可変領域に前記対象データを書き込む、
処理をコンピュータが実行することを特徴とする情報処理方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、情報処理装置および情報処理方法に関する。
【背景技術】
【0002】
従来、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）が管理する不揮発性領域には、書き換えが制限される固定領域と、許可なく書き換え可能な可変領域とがある。ＢＩＯＳのロゴやメニューなどを表示するための外観情報は、通常固定領域に格納される。このため、外観情報をカスタマイズする場合には、固定領域に格納された外観情報の書き換えが行われていた。
【0003】
先行技術としては、例えば、ＢＩＯＳのコードを記憶するコード領域と、可変設定領域と、構成要素の設定情報を記憶する固定設定領域とを有し、製造初期状態において、メイン基板に実装可能な構成要素の設定情報を可変設定領域に記憶するものがある。また、ＢＩＯＳメモリのソース画像ファイルを更新するための技術がある。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２０２２－７５１８３号公報
【特許文献2】特開２００９－５９３４３号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかしながら、従来技術では、ＢＩＯＳの固定領域に格納されていた外観情報などのデータを、セキュリティを確保しつつ、所望のデータに書き換え可能にすることが難しい。
【0006】
一つの側面では、本発明は、セキュリティを確保しつつ、対象データの書き換えを可能にすることを目的とする。
【課題を解決するための手段】
【0007】
１つの実施態様では、自装置の起動時に実行されるファームウェアが管理する不揮発性記憶領域を有し、前記不揮発性記憶領域のうち書き換え可能な可変領域に対象データを格納するにあたり、当該対象データの書き込みを許可された者固有の第１秘密鍵を用いて署名された前記対象データを取得し、自装置と同一機種の装置間で共通の第２秘密鍵を用いて署名された、前記第１秘密鍵に対応する第１公開鍵を含む公開鍵証明書を取得し、前記不揮発性記憶領域のうち書き換えが制限される固定領域に格納された、前記第２秘密鍵に対応する第２公開鍵を用いて、前記公開鍵証明書を検証し、前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記対象データを検証し、前記対象データの検証に成功した場合、前記可変領域に前記対象データを書き込む、情報処理装置が提供される。
【発明の効果】
【0008】
本発明の一側面によれば、セキュリティを確保しつつ、対象データの書き換えを可能にすることができるという効果を奏する。
【図面の簡単な説明】
【0009】
【発明を実施するための形態】
【0010】
以下に図面を参照して、本発明にかかる情報処理装置および情報処理方法の実施の形態を詳細に説明する。
【0011】
（実施の形態）
図１は、実施の形態にかかる情報処理方法の一実施例を示す説明図である。図１において、情報処理装置１０１は、対象データ１２０の書き込みを制御するコンピュータである。対象データ１２０は、情報処理装置１０１の起動時に実行されるファームウェアが使用する情報である。情報処理装置１０１は、例えば、サーバやＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）などのコンピュータシステムである。
図１は、実施の形態にかかる情報処理方法の一実施例を示す説明図である。図１において、情報処理装置１０１は、対象データ１２０の書き込みを制御するコンピュータである。対象データ１２０は、情報処理装置１０１の起動時に実行されるファームウェアが使用する情報である。情報処理装置１０１は、例えば、サーバやＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）などのコンピュータシステムである。
【0012】
サーバなどのコンピュータシステムには、ＢＩＯＳが管理する不揮発性記憶領域が存在する。不揮発性記憶領域は、固定領域と可変領域とのデータ領域に分かれている。固定領域は、改ざん防止のため署名されており、出荷後の書き換えが制限される（ＢＩＯＳアップデートを除く）。可変領域は、署名されておらず、エンドユーザが自由に書き換え可能である。
【0013】
例えば、固定領域は、ＢＩＯＳを作成する際に署名され、コンピュータシステムの起動時に、ＢＩＯＳ自身が固定領域の書き換えが行われていないかを毎回検証することで、意図しない書き換えを防ぐことができる。一方、可変領域は、エンドユーザが自由に書き換え可能な領域となっており、意図しない書き換えを防ぐことはできない。
【0014】
ただし、可変領域には、セキュアブート（Ｓｅｃｕｒｅ Ｂｏｏｔ）機能に関する設定を格納することができる。セキュアブート機能とは、ＵＥＦＩ（Ｕｎｉｆｉｅｄ Ｅｘｔｅｎｓｉｂｌｅ Ｆｉｒｍｗａｒｅ Ｉｎｔｅｒｆａｃｅ）仕様に準拠したＢＩＯＳの一機能であり、コンピュータ起動時の安全性を確保するためのものである。
【0015】
セキュアブート機能を有効にすると、セキュアブート機能に関する設定は意図しない書き換えを防ぐことができる。セキュアブート機能では、固定領域に格納されるＰＫ（Ｐｌａｔｆｏｒｍ Ｋｅｙ）と、可変領域に格納されるＫＥＫ（Ｋｅｙ Ｅｘｃｈａｎｇｅ Ｋｅｙ）、ｄｂ（Ｓｅｃｕｒｅ Ｂｏｏｔ Ｓｉｇｎａｔｕｒｅ Ｓｔｏｒｅ）を用いて、意図しない書き換えが行われていないかを検証する。
【0016】
例えば、既存のコンピュータシステムでは、セキュアブート機能により、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ） Ｅｘｐｒｅｓｓカードに含まれるモジュールやＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）起動前にブートローダが意図せず書き換えられていないかを検証することができる。
【0017】
ここで、ＢＩＯＳは、コンピュータシステムの起動中に、企業や製品のロゴマークを表示したり、予め設定された配色でメニュー画面を表示したりする。ロゴマークや配色を含む外観の情報は、意図せずに書き換えられることを防ぐために、一般的にはＢＩＯＳが管理する不揮発領域のうち、固定領域に格納される。
【0018】
一方、コンピュータシステムをＯＥＭ（Ｏｒｉｇｉｎａｌ Ｅｑｕｉｐｍｅｎｔ Ｍａｎｕｆａｃｔｕｒｉｎｇ）委託企業の製品として出荷する場合がある。この場合、外観の情報を、企業や製品ごとに変更したいという要望が多い。従来、固定領域に外観の情報が含まれており、固定領域の署名はＢＩＯＳを作成するときに実施される。
【0019】
このため、外観の情報をＯＥＭ委託企業ごとに変更する場合、ＯＥＭ委託企業の数だけＢＩＯＳを個別に作成することになる。また、別のＢＩＯＳとなることから、例えば、ＯＥＭ委託企業の数だけ再評価が必要となり、個別に作成したＢＩＯＳの数に比例して手番が増加する。
【0020】
さらに、ＢＩＯＳのアップデート時は、アップデートファイルが分かれるため、カスタマイズを希望するＯＥＭ委託企業が増加すると、アップデートファイルの管理や評価が煩雑となる。また、個別にアップデートファイルの評価を行うため、毎回の共通ＢＩＯＳの公開と連動してアップデートファイルを個別提供することが難しく、機能追加、障害修正にタイムラグが生じる。
【0021】
また、外観の情報を、固定領域ではなく可変領域に格納することが考えられる。ここで、外観の情報は、コンピュータシステムを製造するＯＥＭ受託企業と、外観を変更して自社製品として販売するＯＥＭ委託企業の２者のみが変更可能にすることが求められる。しかし、可変領域はＯＥＭ受託企業やＯＥＭ委託企業だけでなく、エンドユーザが自由に変更可能なため、要件を満たすことができない。
【0022】
また、外観の情報に署名を付与し、その署名を検証するための公開鍵証明書を、セキュアブート機能有効時にＯＳのブートローダなどを検証する公開鍵証明書の一群に追加することで、可変領域に格納する外観の情報を検証可能にすることが考えられる。しかし、外観の情報のカスタマイズに使用するＫＥＫやｄｂを生成するための鍵が漏れた場合、不正な外部モジュールやＯＳのブートローダが実行可能となるリスクがある。また、セキュアブート機能は無効化できるため、無効化設定時に任意の第三者が外観の情報を変更可能となるという問題がある。
【0023】
そこで、本実施の形態では、セキュリティを確保しつつ、対象データ１２０の書き換えを可能にする情報処理方法について説明する。
【0024】
まず、情報処理装置１０１が有する不揮発性記憶領域１１０について説明する。不揮発性記憶領域１１０は、情報処理装置１０１の起動時に実行されるファームウェアがアクセス可能な記憶領域である。ファームウェアは、例えば、ＢＩＯＳである。
【0025】
不揮発性記憶領域１１０は、固定領域１１１と可変領域１１２とを含む。固定領域１１１は、書き換えが制限される記憶領域である。固定領域１１１は、例えば、ＢＩＯＳのアップデートを除いて、出荷後の書き換えが制限される。可変領域１１２は、書き換え可能な記憶領域である。
【0026】
つぎに、対象データ１２０の検証に用いられる鍵情報について説明する。対象データ１２０は、例えば、ＢＩＯＳの画面を表示するための外観情報である。外観情報をカスタマイズすることで、例えば、ＢＩＯＳの起動時に表示されるロゴマークや、ＢＩＯＳのメニュー画面の配色などを変更することができる。また、対象データ１２０は、例えば、ＯＳの設定値を変更するための情報であってもよい。
【0027】
ここで、第１公開鍵Ｋ１－１および第１秘密鍵Ｋ１－２は、対象データ１２０の書き込みを許可された者固有の鍵情報である。例えば、情報処理装置１０１をＯＥＭで製造される製品とする。この場合、対象データ１２０の書き込みを許可された者は、例えば、情報処理装置１０１の製造委託元（ＯＥＭベンダーなど）である。
【0028】
第２公開鍵Ｋ２－１および第２秘密鍵Ｋ２－２は、情報処理装置１０１と同一機種の装置間で共通の鍵情報である。第２公開鍵Ｋ２－１は、固定領域１１１に格納されている。第２秘密鍵Ｋ２－２は、固定領域１１１の書き換え権限を有する者によって管理される。固定領域１１１の書き換え権限を有する者は、例えば、情報処理装置１０１の製造委託先（ＯＥＭ受託企業など）である。
【0029】
以下、不揮発性記憶領域１１０の可変領域１１２に対象データ１２０を格納する際の情報処理装置１０１の処理例について説明する。
【0030】
（１）情報処理装置１０１は、可変領域１１２に対象データ１２０を格納するにあたり、第１秘密鍵Ｋ１－２を用いて署名された対象データ１２０を取得する。第１秘密鍵Ｋ１－２は、例えば、情報処理装置１０１の製造委託元固有の鍵情報である。
【0031】
（２）情報処理装置１０１は、第２秘密鍵Ｋ２－２を用いて署名された公開鍵証明書１３０を取得する。ここで、公開鍵証明書１３０は、第２秘密鍵Ｋ２－２を用いて署名された証明書情報であり、第１公開鍵Ｋ１－１を含む。公開鍵証明書１３０は、例えば、情報処理装置１０１の製造委託元からの要求に応じて、製造委託先によって生成される。
【0032】
（３）情報処理装置１０１は、不揮発性記憶領域１１０のうち固定領域１１１に格納された第２公開鍵Ｋ２－１を用いて、公開鍵証明書１３０を検証する。第２公開鍵Ｋ２－１は、情報処理装置１０１と同一機種の装置間で共通の鍵情報であり、例えば、ＢＩＯＳのセキュアブート機能に用いられる鍵情報（ＰＫ公開鍵）である。
【0033】
ここで、公開鍵証明書１３０には、例えば、第１公開鍵Ｋ１－１のハッシュ値を第２秘密鍵Ｋ２－２で暗号化されたデータ（署名）が含まれる。まず、情報処理装置１０１は、固定領域１１１に格納された第２公開鍵Ｋ２－１を用いて、公開鍵証明書１３０に含まれる暗号化されたデータ（署名）を復号する。
【0034】
つぎに、情報処理装置１０１は、復号したデータと、公開鍵証明書１３０に含まれる第１公開鍵Ｋ１－１のハッシュ値とを比較する。ここで、復号したデータとハッシュ値とが一致する場合、情報処理装置１０１は、公開鍵証明書１３０の検証に成功したと判断する。
【0035】
一方、復号したデータとハッシュ値とが一致しない場合、情報処理装置１０１は、公開鍵証明書１３０の検証に失敗したと判断する。公開鍵証明書１３０の検証に成功した場合、公開鍵証明書１３０に含まれる第１公開鍵Ｋ１－１が、対象データ１２０の書き込みを許可された者固有の鍵情報であるといえる。
【0036】
（４）情報処理装置１０１は、公開鍵証明書１３０の検証に成功した場合、公開鍵証明書１３０に含まれる第１公開鍵Ｋ１－１を用いて、対象データ１２０を検証する。具体的には、例えば、情報処理装置１０１は、第１公開鍵Ｋ１－１を用いて、対象データ１２０に付与された署名（暗号化されたデータ）を復号する。
【0037】
つぎに、情報処理装置１０１は、復号したデータと、対象データ１２０のハッシュ値とを比較する。ここで、復号したデータとハッシュ値とが一致する場合、情報処理装置１０１は、対象データ１２０の検証に成功したと判断する。一方、復号したデータとハッシュ値とが一致しない場合、情報処理装置１０１は、対象データ１２０の検証に失敗したと判断する。
【0038】
対象データ１２０の検証に成功した場合、対象データ１２０が、対象データ１２０の書き込みを許可された者によって生成（カスタマイズ）された情報であるといえる。
【0039】
（５）情報処理装置１０１は、対象データ１２０の検証に成功した場合、可変領域１１２に対象データ１２０を書き込む。一方、情報処理装置１０１は、対象データ１２０の検証に失敗した場合、可変領域１１２への対象データ１２０の書き込みを許可しない。
【0040】
このように、情報処理装置１０１によれば、セキュリティを確保しつつ、対象データ１２０の書き換えを可能にすることができる。例えば、対象データ１２０をＢＩＯＳの外観情報とすると、製造委託元が、出荷後にＢＩＯＳの外観を変更することができる。また、対象データ１２０をＢＩＯＳの設定情報とすると、製造委託元が、出荷後にＯＳの設定値を変更することができる。
【0041】
（情報処理システム２００のシステム構成例）
つぎに、図１に示した情報処理装置１０１を含む情報処理システム２００のシステム構成例について説明する。
つぎに、図１に示した情報処理装置１０１を含む情報処理システム２００のシステム構成例について説明する。
【0042】
以下の説明では、図１に示した情報処理装置１０１を、情報処理システム２００内の対象装置Ｍ１～Ｍｎに適用した場合を例に挙げて説明する。また、対象装置Ｍ１～Ｍｎの起動時に実行されるファームウェアを「ＢＩＯＳ」とし、対象データとして「ＢＩＯＳの外観情報」を例に挙げて説明する。
【0043】
図２は、情報処理システム２００のシステム構成例を示す説明図である。図２において、情報処理システム２００は、対象装置Ｍ１～Ｍｎ（ｎ：２以上の自然数）と、受託側端末２０１と、委託側端末２０２と、を含む。情報処理システム２００において、対象装置Ｍ１～Ｍｎ、受託側端末２０１および委託側端末２０２は、有線または無線のネットワーク２１０を介して接続される。ネットワーク２１０は、例えば、インターネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）などである。
【0044】
ここで、対象装置Ｍ１～Ｍｎは、同一機種の装置であり、ＯＥＭで製造される製品（コンピュータシステム）の一例である。対象装置Ｍ１～Ｍｎは、例えば、ＵＥＦＩ仕様に準拠したＢＩＯＳを有する。ＢＩＯＳの外観情報は、ＯＥＭ委託企業によってカスタマイズ可能である。
【0045】
以下の説明では、対象装置Ｍ１～Ｍｎのうちの任意の対象装置を「対象装置Ｍｉ」と表記する場合がある（ｉ＝１，２，…，ｎ）。
【0046】
受託側端末２０１は、ＯＥＭ受託企業のユーザが使用するコンピュータである。ＯＥＭ受託企業は、対象装置Ｍ１～Ｍｎの製造委託先となる企業である。受託側端末２０１は、例えば、ＰＣ、タブレット端末、スマートフォンなどである。
【0047】
委託側端末２０２は、ＯＥＭ委託企業のユーザが使用するコンピュータである。ＯＥＭ委託企業は、対象装置Ｍ１～Ｍｎの製造委託元となる企業（ＯＥＭベンダ）である。委託側端末２０２は、例えば、ＰＣ、タブレット端末、スマートフォンなどである。
【0048】
なお、ここでは受託側端末２０１と委託側端末２０２をそれぞれ１台のみ表示したが、これに限らない。例えば、情報処理システム２００には、複数の受託側端末２０１や委託側端末２０２が含まれてもよい。
【0049】
（対象装置Ｍｉのハードウェア構成例）
つぎに、対象装置Ｍｉのハードウェア構成例について説明する。
つぎに、対象装置Ｍｉのハードウェア構成例について説明する。
【0050】
図３は、対象装置Ｍｉのハードウェア構成例を示すブロック図である。図３において、対象装置Ｍｉは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ディスクドライブ３０３と、ディスク３０４と、通信Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０５と、可搬型記録媒体Ｉ／Ｆ３０６と、可搬型記録媒体３０７と、を有する。また、各構成部は、バス３００によってそれぞれ接続される。
【0051】
ここで、ＣＰＵ３０１は、対象装置Ｍｉの全体の制御を司る。ＣＰＵ３０１は、複数のコアを有していてもよい。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭがＯＳのプログラムを記憶し、ＲＯＭがアプリケーションプログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。
【0052】
ディスクドライブ３０３は、ＣＰＵ３０１の制御に従ってディスク３０４に対するデータのリード／ライトを制御する。ディスク３０４は、ディスクドライブ３０３の制御で書き込まれたデータを記憶する。ディスク３０４は、例えば、磁気ディスク、光ディスクなどである。
【0053】
通信Ｉ／Ｆ３０５は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して外部のコンピュータ（例えば、図２に示した受託側端末２０１や委託側端末２０２など）に接続される。そして、通信Ｉ／Ｆ３０５は、ネットワーク２１０と装置内部とのインターフェースを司り、外部のコンピュータからのデータの入出力を制御する。
【0054】
可搬型記録媒体Ｉ／Ｆ３０６は、ＣＰＵ３０１の制御に従って可搬型記録媒体３０７に対するデータのリード／ライトを制御する。可搬型記録媒体３０７は、可搬型記録媒体Ｉ／Ｆ３０６の制御で書き込まれたデータを記憶する。可搬型記録媒体３０７は、例えば、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）－ＲＯＭ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリなどである。
【0055】
なお、対象装置Ｍｉは、上述した構成部のほかに、例えば、入力装置、ディスプレイなどを有してもよい。また、対象装置Ｍｉは、上述した構成部のうち、例えば、可搬型記録媒体Ｉ／Ｆ３０６、可搬型記録媒体３０７を有さなくてもよい。また、図２に示した受託側端末２０１、委託側端末２０２についても、対象装置Ｍｉと同様のハードウェア構成により実現することができる。ただし、受託側端末２０１、委託側端末２０２は、上述した構成部のほかに、例えば、入力装置、ディスプレイなどを有する。
【0056】
（対象装置Ｍｉ内部のシステム構成例）
つぎに、対象装置Ｍｉ内部のシステム構成例について説明する。
つぎに、対象装置Ｍｉ内部のシステム構成例について説明する。
【0057】
図４は、対象装置Ｍｉ内部のシステム構成例を示す説明図である。図４において、対象装置Ｍｉは、ＳＰＩ（Ｓｅｒｉａｌ Ｐｅｒｉｐｈｅｒａｌ Ｉｎｔｅｒｆａｃｅ）フラッシュ４１０と、メインメモリ４２０と、ＰＣＩ Ｅｘｐｒｅｓｓカード４３０と、ストレージ４４０とを含む。ＳＰＩフラッシュ４１０およびメインメモリ４２０は、例えば、図３に示したメモリ３０２に対応する。ＰＣＩ Ｅｘｐｒｅｓｓカード４３０は、例えば、図３に示した通信Ｉ／Ｆ３０５に対応する。ストレージ４４０は、例えば、図３に示したディスク３０４に対応する。
【0058】
ＳＰＩフラッシュ４１０は、ＢＩＯＳが管理する不揮発性記憶領域であり、固定領域４１１と可変領域４１２とを含む。ＢＩＯＳは、ＵＥＦＩ仕様に準拠したＢＩＯＳである。固定領域４１１は、出荷後の書き換えが制限されるデータ領域である（ＢＩＯＳアップデートを除く）。固定領域４１１には、モジュール群４１４が格納される。
【0059】
モジュール群４１４は、ＢＩＯＳについてのモジュールの集合体であり、例えば、外観表示モジュール４２１、ＳｅｃｕｒｅＢｏｏｔ検証モジュール４２２、Ｖａｒｉａｂｌｅ管理モジュール４２３、外観情報検証・更新モジュール４２４などを含む。外観表示モジュール４２１は、ＢＩＯＳの外観情報Ａｄ（例えば、ロゴマークやメニュー画面など）を表示するためのモジュールである。
【0060】
ＳｅｃｕｒｅＢｏｏｔ検証モジュール４２２は、セキュアブート機能により、ＰＣＩ Ｅｘｐｒｅｓｓカード管理モジュール４３１やＯＳブートローダ４４１などを検証するためのモジュールである。ＰＣＩ Ｅｘｐｒｅｓｓカード管理モジュール４３１は、ＰＣＩ Ｅｘｐｒｅｓｓカード４３０に含まれるモジュールである。また、ＯＳブートローダ４４１は、ＯＳを起動するためのソフトウェアである。
【0061】
Ｖａｒｉａｂｌｅ管理モジュール４２３は、可変領域４１２にアクセスするためのモジュールである。外観情報検証・更新モジュール４２４は、ＢＩＯＳの外観情報を検証したり更新したりするためのモジュールである。モジュール群４１４（例えば、外観表示モジュール４２１、ＳｅｃｕｒｅＢｏｏｔ検証モジュール４２２、Ｖａｒｉａｂｌｅ管理モジュール４２３、外観情報検証・更新モジュール４２４）は、メインメモリ４２０に読み出されて実行される。
【0062】
また、固定領域４１１には、ＰＫ公開鍵ｋ１１が格納される。ＰＫ公開鍵ｋ１１は、ＢＩＯＳのセキュアブート機能に用いられる鍵情報であり、対象装置Ｍｉと同一機種の装置間（例えば、対象装置Ｍ１～Ｍｎ）で共通の公開鍵である。ＰＫ公開鍵ｋ１１は、例えば、図１に示した第２公開鍵Ｋ２－１に対応する。
【0063】
可変領域４１２は、書き換え可能なデータ領域である。可変領域４１２には、例えば、ＯＥＭ公開鍵証明書Ｃｄが格納される。ＯＥＭ公開鍵証明書Ｃｄは、ＯＥＭ公開鍵ｋ２１の真正性を検証するための証明情報である。ＯＥＭ公開鍵証明書Ｃｄは、ＯＥＭ公開鍵ｋ２１と暗号化データｅ１とを含む。ＯＥＭ公開鍵ｋ２１は、ＯＥＭ委託企業（対象装置Ｍｉの製造委託元）固有の鍵情報である。
【0064】
暗号化データｅ１は、ＯＥＭ公開鍵ｋ２１のハッシュ値をＰＫ秘密鍵ｋ１２（例えば、後述する図６参照）で暗号化したデータ（署名）である。ＯＥＭ公開鍵証明書Ｃｄは、例えば、図１に示した公開鍵証明書１３０に対応する。ＯＥＭ公開鍵ｋ２１は、例えば、図１に示した第１公開鍵Ｋ１－１に対応する。ＰＫ秘密鍵ｋ１２は、例えば、図１に示した第２秘密鍵Ｋ２－２に対応する。
【0065】
また、可変領域４１２には、外観情報領域４１３が設けられる。外観情報領域４１３は、外観情報Ａｄを格納するための特定のデータ領域である。外観情報Ａｄは、ＢＩＯＳのロゴマークやメニュー画面などを表示するための情報である。外観情報Ａｄは、例えば、ＯＥＭ委託企業ごとにカスタマイズされる。外観情報Ａｄには、署名Ｓが付与される。
【0066】
なお、図示は省略するが、可変領域４１２には、例えば、セキュアブート機能に用いられるＫＥＫやｄｂなどが格納される。
【0067】
（外観情報ＡｄおよびＯＥＭ公開鍵証明書Ｃｄの生成時の動作例）
つぎに、情報処理システム２００における外観情報ＡｄおよびＯＥＭ公開鍵証明書Ｃｄの生成時の動作例について説明する。外観情報ＡｄおよびＯＥＭ公開鍵証明書Ｃｄの生成は、例えば、ＢＩＯＳのロゴマークやメニュー画面などをＯＥＭ委託企業ごとにカスタマイズする際に行われる。
つぎに、情報処理システム２００における外観情報ＡｄおよびＯＥＭ公開鍵証明書Ｃｄの生成時の動作例について説明する。外観情報ＡｄおよびＯＥＭ公開鍵証明書Ｃｄの生成は、例えば、ＢＩＯＳのロゴマークやメニュー画面などをＯＥＭ委託企業ごとにカスタマイズする際に行われる。
【0068】
図５は、外観情報ＡｄおよびＯＥＭ公開鍵証明書Ｃｄの生成時の動作例を示す説明図である。図５において、ＯＥＭ受託企業Ｐ１は、対象装置Ｍｉの製造委託先となる企業を示す。ＯＥＭ委託企業Ｐ２は、対象装置Ｍｉの製造委託元となる企業（ＯＥＭベンダ）を示す。ここでは、ＯＥＭ受託企業Ｐ１によって製造された対象装置ＭｉのＢＩＯＳの外観情報ＡｄをＯＥＭ委託企業Ｐ２がカスタマイズする場合を想定する。
【0069】
この場合、まず、ＯＥＭ委託企業Ｐ２は、外観情報Ａｄの更新（カスタマイズ）に使用するＯＥＭ公開鍵ｋ２１とＯＥＭ秘密鍵ｋ２２とのペアを生成する。つぎに、ＯＥＭ委託企業Ｐ２は、生成したＯＥＭ公開鍵ｋ２１をＯＥＭ受託企業Ｐ１に渡す。
【0070】
ＯＥＭ受託企業Ｐ１は、ＯＥＭ委託企業Ｐ２からＯＥＭ公開鍵ｋ２１を受け取ると、ＯＥＭ公開鍵ｋ２１をＰＫ秘密鍵ｋ１２で署名することにより、ＯＥＭ公開鍵証明書Ｃｄを生成する。具体的には、例えば、ＯＥＭ受託企業Ｐ１は、所定のハッシュ関数からＯＥＭ公開鍵ｋ２１のハッシュ値を算出し、算出したハッシュ値をＰＫ秘密鍵ｋ１２で暗号化することにより、暗号化データｅ１（図４参照）を生成する。そして、ＯＥＭ受託企業Ｐ１は、受け取ったＯＥＭ公開鍵ｋ２１と、生成した暗号化データｅ１とを含むＯＥＭ公開鍵証明書Ｃｄを生成する。
【0071】
ＯＥＭ受託企業Ｐ１は、生成したＯＥＭ公開鍵証明書ＣｄをＯＥＭ委託企業Ｐ２に渡す。また、ＯＥＭ受託企業Ｐ１は、対象装置Ｍｉの製造時に、ＢＩＯＳの固定領域４１１（図４参照）にＰＫ公開鍵ｋ１１を格納する。ＰＫ公開鍵ｋ１１とＰＫ秘密鍵ｋ１２は、ＢＩＯＳのセキュアブート機能に用いられる鍵情報である。
【0072】
ＯＥＭ委託企業Ｐ２は、対象装置ＭｉのＢＩＯＳの外観情報Ａｄを作成する。具体的には、例えば、ＯＥＭ委託企業Ｐ２は、ＯＥＭ受託企業Ｐ１から提供されるカスタマイズツールを用いて、ＢＩＯＳ起動時のロゴマークやＢＩＯＳのメニュー画面の配色などを指定することにより、外観情報Ａｄを作成する。
【0073】
つぎに、ＯＥＭ委託企業Ｐ２は、作成した外観情報ＡｄをＯＥＭ秘密鍵ｋ２２で署名する。ＯＥＭ秘密鍵ｋ２２は、例えば、図１に示した第１秘密鍵Ｋ１－２に対応する。具体的には、例えば、ＯＥＭ委託企業Ｐ２は、所定のハッシュ関数から外観情報Ａｄのハッシュ値を算出し、算出したハッシュ値をＯＥＭ秘密鍵ｋ２２で暗号化したデータ（署名Ｓ）を外観情報Ａｄに付与する。
【0074】
これにより、ＯＥＭ委託企業Ｐ２は、外観情報Ａｄ（署名Ｓ付き）およびＯＥＭ公開鍵証明書Ｃｄを生成することができる。生成された外観情報ＡｄおよびＯＥＭ公開鍵証明書Ｃｄは、対象装置Ｍｉにおいて、真正性が検証された上で書き込まれる。なお、ＯＥＭ受託企業Ｐ１とＯＥＭ委託企業Ｐ２との各種情報のやり取りは、セキュリティが確保された手段を用いて行われる。また、図２に示した対象装置Ｍ１～ＭｎをＯＥＭ委託企業Ｐ２のＯＥＭ製品として出荷する場合、外観情報Ａｄは、例えば、対象装置Ｍ１～Ｍｎで共通の外観情報となる。
【0075】
（対象装置Ｍｉの機能的構成例）
つぎに、対象装置Ｍｉの機能的構成例について説明する。
つぎに、対象装置Ｍｉの機能的構成例について説明する。
【0076】
図６は、対象装置Ｍｉの機能的構成例を示すブロック図である。図６において、対象装置Ｍｉは、受付部６０１と、取得部６０２と、第１の検証部６０３と、第２の検証部６０４と、書込制御部６０５と、を含む。受付部６０１～書込制御部６０５は制御部６００となる機能であり、具体的には、例えば、図３に示したメモリ３０２、ディスク３０４、可搬型記録媒体３０７などの記憶装置に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、通信Ｉ／Ｆ３０５により、その機能を実現する。各機能部の処理結果は、例えば、メモリ３０２、ディスク３０４などの記憶装置に記憶される。より具体的には、例えば、各機能部は、ＢＩＯＳの一モジュールである、図４に示した外観情報検証・更新モジュール４２４によって実現される。
【0077】
受付部６０１は、対象データ書込要求を受け付ける。ここで、対象データ書込要求は、対象装置Ｍｉへの外観情報Ａｄ（対象データ）の書き込みを要求するものである。対象データ書込要求は、例えば、外観情報Ａｄの初回の書き込み時、または、外観情報Ａｄの更新時に行われる。対象データ書込要求は、例えば、外観情報Ａｄを含む。また、対象データ書込要求は、ＯＥＭ公開鍵証明書Ｃｄを含むものであってもよい。
【0078】
具体的には、例えば、受付部６０１は、図２に示した委託側端末２０２から受信することにより、対象データ書込要求を受け付ける。また、外観情報ＡｄとＯＥＭ公開鍵証明書ＣｄがＯＥＭ委託企業Ｐ２からＯＥＭ受託企業Ｐ１に渡された場合、受付部６０１は、図２に示した受託側端末２０１から受信することにより、対象データ書込要求を受け付けてもよい。
【0079】
取得部６０２は、ＢＩＯＳが管理する不揮発性記憶領域（例えば、ＳＰＩフラッシュ４１０）のうちの可変領域４１２に外観情報Ａｄを格納するにあたり、ＯＥＭ秘密鍵ｋ２２を用いて署名された外観情報Ａｄと、ＰＫ秘密鍵ｋ１２を用いて署名されたＯＥＭ公開鍵証明書Ｃｄとを取得する。
【0080】
ここで、ＯＥＭ秘密鍵ｋ２２は、ＯＥＭ公開鍵ｋ２１とペアとなる秘密鍵である。ＯＥＭ公開鍵ｋ２１およびＯＥＭ秘密鍵ｋ２２は、ＯＥＭ委託企業Ｐ２固有の鍵情報である。ＯＥＭ公開鍵証明書Ｃｄは、ＯＥＭ公開鍵ｋ２１の真正性を検証するための証明情報である。ＰＫ秘密鍵ｋ１２は、ＰＫ公開鍵ｋ１１とペアとなる秘密鍵である。ＰＫ公開鍵ｋ１１およびＰＫ秘密鍵ｋ１２は、ＢＩＯＳのセキュアブート機能に用いられる鍵情報であり、対象装置Ｍｉと同一機種の装置間で共通の鍵情報である。
【0081】
具体的には、例えば、取得部６０２は、委託側端末２０２（または、受託側端末２０１）から受信することにより、外観情報ＡｄとＯＥＭ公開鍵証明書Ｃｄとを取得する。より詳細に説明すると、例えば、取得部６０２は、受け付けた対象データ書込要求に含まれる外観情報ＡｄとＯＥＭ公開鍵証明書Ｃｄとを取得してもよい。
【0082】
なお、ＯＥＭ公開鍵証明書Ｃｄは、可変領域４１２に格納されている場合がある（例えば、外観情報Ａｄの２回目以降の書き込み時）。この場合、取得部６０２は、ＯＥＭ公開鍵証明書Ｃｄについては、可変領域４１２から取得してもよい。
【0083】
第１の検証部６０３は、ＢＩＯＳが管理する不揮発性記憶領域のうちの固定領域４１１に格納されたＰＫ公開鍵ｋ１１を用いて、取得されたＯＥＭ公開鍵証明書Ｃｄを検証する。具体的には、例えば、第１の検証部６０３は、固定領域４１１からＰＫ公開鍵ｋ１１を読み出す。
【0084】
つぎに、第１の検証部６０３は、読み出したＰＫ公開鍵ｋ１１を用いて、ＯＥＭ公開鍵証明書Ｃｄに含まれる暗号化データｅ１（例えば、図４参照）を復号する。また、第１の検証部６０３は、所定のハッシュ関数からＯＥＭ公開鍵証明書Ｃｄに含まれるＯＥＭ公開鍵ｋ２１のハッシュ値を算出する。
【0085】
そして、第１の検証部６０３は、復号したデータと、算出したＯＥＭ公開鍵ｋ２１のハッシュ値とを比較する。ここで、復号したデータとハッシュ値とが一致する場合、第１の検証部６０３は、ＯＥＭ公開鍵証明書Ｃｄの検証に成功したと判断する。一方、復号したデータとハッシュ値とが一致しない場合、第１の検証部６０３は、ＯＥＭ公開鍵証明書Ｃｄの検証に失敗したと判断する。
【0086】
第２の検証部６０４は、ＯＥＭ公開鍵証明書Ｃｄの検証に成功した場合、ＯＥＭ公開鍵証明書Ｃｄに含まれるＯＥＭ公開鍵ｋ２１を用いて、取得された外観情報Ａｄを検証する。具体的には、例えば、第２の検証部６０４は、ＯＥＭ公開鍵ｋ２１を用いて、外観情報Ａｄに付与された署名Ｓ（暗号化されたデータ）を復号する。また、第２の検証部６０４は、所定のハッシュ関数から外観情報Ａｄのハッシュ値を算出する。
【0087】
つぎに、第２の検証部６０４は、復号したデータと、算出した外観情報Ａｄのハッシュ値とを比較する。ここで、復号したデータとハッシュ値とが一致する場合、第２の検証部６０４は、外観情報Ａｄの検証に成功したと判断する。一方、復号したデータとハッシュ値とが一致しない場合、第２の検証部６０４は、外観情報Ａｄの検証に失敗したと判断する。
【0088】
書込制御部６０５は、外観情報Ａｄの検証に成功した場合、可変領域４１２に外観情報Ａｄを書き込む。また、書込制御部６０５は、外観情報Ａｄの検証に成功した場合、可変領域４１２にＯＥＭ公開鍵証明書Ｃｄを書き込む。具体的には、例えば、書込制御部６０５は、外観情報Ａｄの検証に成功した場合、可変領域４１２内の外観情報領域４１３（図４参照）に外観情報Ａｄ（署名Ｓ付き）を書き込むとともに、可変領域４１２にＯＥＭ公開鍵証明書Ｃｄを書き込む。
【0089】
より詳細に説明すると、例えば、書込制御部６０５（外観情報検証・更新モジュール４２４）は、Ｖａｒｉａｂｌｅ管理モジュール４２３（図４参照）を介して、可変領域４１２にＯＥＭ公開鍵証明書Ｃｄを書き込み、外観情報領域４１３に外観情報Ａｄ（署名Ｓ付き）を書き込む。
【0090】
また、書込制御部６０５は、可変領域４１２に外観情報Ａｄを格納するにあたり、ＯＥＭ公開鍵証明書Ｃｄの検証に失敗した場合、または、外観情報Ａｄの検証に失敗した場合、可変領域４１２への外観情報Ａｄの書き込みを拒否する。具体的には、例えば、書込制御部６０５は、受け付けた対象データ書込要求に対して、外観情報Ａｄの書き込みを許可しない旨のエラー応答を行ってもよい。
【0091】
また、第１の検証部６０３は、可変領域４１２に格納された外観情報Ａｄを使用するにあたり、可変領域４１２からＯＥＭ公開鍵証明書Ｃｄを取得する。外観情報Ａｄは、例えば、対象装置Ｍｉの起動時に、ロゴマークを表示したり、ＢＩＯＳのメニュー画面を表示したりするために使用される。具体的には、例えば、書込制御部６０５（外観情報検証・更新モジュール４２４）は、Ｖａｒｉａｂｌｅ管理モジュール４２３を介して、可変領域４１２からＯＥＭ公開鍵証明書Ｃｄを取得する。
【0092】
そして、第１の検証部６０３は、固定領域４１１に格納されたＰＫ公開鍵ｋ１１を用いて、取得したＯＥＭ公開鍵証明書Ｃｄを検証する。ＯＥＭ公開鍵証明書Ｃｄを検証する具体的な処理内容は、可変領域４１２に外観情報Ａｄを格納する際の処理内容と同様である。
【0093】
また、第２の検証部６０４は、ＯＥＭ公開鍵証明書Ｃｄの検証に成功した場合、ＯＥＭ公開鍵証明書Ｃｄに含まれるＯＥＭ公開鍵ｋ２１を用いて、可変領域４１２に格納された外観情報Ａｄを検証する。外観情報Ａｄを検証する具体的な処理内容は、可変領域４１２に外観情報Ａｄを格納する際の処理内容と同様である。
【0094】
そして、書込制御部６０５は、外観情報Ａｄの検証に成功した場合、可変領域４１２に格納された外観情報Ａｄの使用を許可する。具体的には、例えば、書込制御部６０５は、外観表示モジュール４２１（図４）による外観情報Ａｄの使用を許可する。この結果、外観表示モジュール４２１により、可変領域４１２に格納された外観情報Ａｄを用いて、ロゴマークやメニュー画面が表示される。なお、ロゴマークやメニュー画面は、対象装置Ｍｉに接続されたディスプレイ（不図示）に表示される。
【0095】
また、書込制御部６０５は、可変領域４１２に格納された外観情報Ａｄを使用するにあたり、ＯＥＭ公開鍵証明書Ｃｄの検証に失敗した場合、または、外観情報Ａｄの検証に失敗した場合、外観情報Ａｄの使用を許可しない。具体的には、例えば、書込制御部６０５は、外観情報Ａｄの使用を許可しない旨のエラー応答を行って、対象装置Ｍｉの起動を中断してもよい。
【0096】
（外観情報Ａｄの更新時の動作例）
ここで、外観情報Ａｄの更新（書き込み）時の動作例について説明する。まず、図７を用いて、ＯＳブート前の外観情報Ａｄの更新時の動作例について説明する。
ここで、外観情報Ａｄの更新（書き込み）時の動作例について説明する。まず、図７を用いて、ＯＳブート前の外観情報Ａｄの更新時の動作例について説明する。
【0097】
図７は、外観情報Ａｄの更新時の第１の動作例を示す説明図である。図７において、ＢＭＣ（Ｂａｓｅｂｏａｒｄ Ｍａｎａｇｅｍｅｎｔ Ｃｏｎｔｒｏｌｌｅｒ）７００は、対象装置Ｍｉが有する制御用チップである。ＢＭＣ７００は、例えば、遠隔から対象装置Ｍｉを管理するために用いられる。
【0098】
ＯＥＭ委託企業Ｐ２は、委託側端末２０２を用いて、ＯＳブート前の対象装置ＭｉのＢＭＣ７００に対して、外観情報ＡｄとＯＥＭ公開鍵証明書Ｃｄとを含む対象データ書込要求を送信する。外観情報Ａｄには、署名Ｓが付与されている。ＢＭＣ７００は、受信した対象データ書込要求を外観情報検証・更新モジュール４２４に送信する。
【0099】
外観情報検証・更新モジュール４２４は、対象データ書込要求を受信すると、固定領域４１１からＰＫ公開鍵ｋ１１を取得する。つぎに、外観情報検証・更新モジュール４２４は、取得したＰＫ公開鍵ｋ１１を用いて、対象データ書込要求に含まれるＯＥＭ公開鍵証明書Ｃｄを検証する。ここで、ＯＥＭ公開鍵証明書Ｃｄの検証に成功した場合、外観情報検証・更新モジュール４２４は、ＯＥＭ公開鍵証明書Ｃｄに含まれるＯＥＭ公開鍵ｋ２１を用いて、対象データ書込要求に含まれる外観情報Ａｄの署名Ｓを検証する。
【0100】
そして、外観情報検証・更新モジュール４２４は、外観情報Ａｄの署名Ｓの検証に成功した場合に、外観情報領域４１３に外観情報Ａｄを格納する。また、外観情報検証・更新モジュール４２４は、Ｖａｒｉａｂｌｅ管理モジュール４２３を介して、ＯＥＭ公開鍵証明書Ｃｄを可変領域４１２に格納する。
【0101】
これにより、外観情報検証・更新モジュール４２４は、ＯＳブート前に外観情報Ａｄを更新するにあたり、セキュリティを確保しつつ、カスタマイズされた外観情報Ａｄを格納することができる。例えば、外観情報検証・更新モジュール４２４は、ＯＥＭ公開鍵ｋ２１が改ざんされている場合、ＯＥＭ公開鍵証明書Ｃｄの検証に失敗するため、第三者によるなりすましを防ぐことができる。また、外観情報検証・更新モジュール４２４は、外観情報Ａｄが改ざんされている場合、外観情報Ａｄの検証に失敗するため、ＯＥＭ委託企業Ｐ２が意図しない外観情報が格納されるのを防ぐことができる。
【0102】
なお、２回目以降の更新時に外観情報Ａｄのみを更新する場合は、対象データ書込要求にＯＥＭ公開鍵証明書Ｃｄが含まれていなくてもよい。この場合、外観情報検証・更新モジュール４２４は、可変領域４１２に格納されたＯＥＭ公開鍵証明書Ｃｄの検証を行う。
【0103】
つぎに、図８を用いて、ＯＳ起動後の外観情報Ａｄの更新時の動作例について説明する。
【0104】
図８は、外観情報Ａｄの更新時の第２の動作例を示す説明図である。図８において、更新アプリ８００は、対象装置ＭｉのＯＳ上で動作するアプリケーションである。更新アプリ８００は、例えば、外観情報ＡｄやＯＥＭ公開鍵証明書Ｃｄを更新するために用いられる。
【0105】
ＯＥＭ委託企業Ｐ２は、委託側端末２０２を用いて、ＯＳ起動後の対象装置Ｍｉの更新アプリ８００に対して、外観情報ＡｄとＯＥＭ公開鍵証明書Ｃｄとを含む対象データ書込要求を送信する。外観情報Ａｄには、署名Ｓが付与されている。更新アプリ８００は、例えば、ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を呼び出して、受信した対象データ書込要求を外観情報検証・更新モジュール４２４に送信する。
【0106】
外観情報検証・更新モジュール４２４は、対象データ書込要求を受信すると、固定領域４１１からＰＫ公開鍵ｋ１１を取得する。つぎに、外観情報検証・更新モジュール４２４は、取得したＰＫ公開鍵ｋ１１を用いて、対象データ書込要求に含まれるＯＥＭ公開鍵証明書Ｃｄを検証する。ここで、ＯＥＭ公開鍵証明書Ｃｄの検証に成功した場合、外観情報検証・更新モジュール４２４は、ＯＥＭ公開鍵証明書Ｃｄに含まれるＯＥＭ公開鍵ｋ２１を用いて、対象データ書込要求に含まれる外観情報Ａｄの署名Ｓを検証する。
【0107】
そして、外観情報検証・更新モジュール４２４は、外観情報Ａｄの署名Ｓの検証に成功した場合に、外観情報領域４１３に外観情報Ａｄを格納する。また、外観情報検証・更新モジュール４２４は、Ｖａｒｉａｂｌｅ管理モジュール４２３を介して、ＯＥＭ公開鍵証明書Ｃｄを可変領域４１２に格納する。
【0108】
これにより、外観情報検証・更新モジュール４２４は、ＯＳ起動後に外観情報Ａｄを更新するにあたり、セキュリティを確保しつつ、カスタマイズされた外観情報Ａｄを格納することができる。
【0109】
（外観情報Ａｄの使用時の動作例）
ここで、図９を用いて、外観情報Ａｄおよびの使用時の動作例について説明する。
ここで、図９を用いて、外観情報Ａｄおよびの使用時の動作例について説明する。
【0110】
図９は、外観情報Ａｄの使用時の動作例を示す説明図である。図９において、外観情報検証・更新モジュール４２４は、ＯＳブート前に外観情報Ａｄを使用するにあたり、固定領域４１１からＰＫ公開鍵ｋ１１を取得する。
【0111】
つぎに、外観情報検証・更新モジュール４２４は、Ｖａｒｉａｂｌｅ管理モジュール４２３を介して、可変領域４１２からＯＥＭ公開鍵証明書Ｃｄを取得する。そして、外観情報検証・更新モジュール４２４は、取得したＰＫ公開鍵ｋ１１を用いて、取得したＯＥＭ公開鍵証明書Ｃｄを検証する。
【0112】
ここで、ＯＥＭ公開鍵証明書Ｃｄの検証に成功した場合、外観情報検証・更新モジュール４２４は、ＯＥＭ公開鍵証明書Ｃｄに含まれるＯＥＭ公開鍵ｋ２１を用いて、取得された外観情報Ａｄの署名Ｓを検証する。そして、外観情報検証・更新モジュール４２４は、外観情報Ａｄの署名Ｓの検証に成功した場合に、外観情報領域４１３に格納された外観情報Ａｄの使用を許可する。
【0113】
これにより、外観情報検証・更新モジュール４２４は、セキュリティを確保しつつ、カスタマイズされた外観情報Ａｄを使用することができる。例えば、外観情報検証・更新モジュール４２４は、可変領域４１２に格納されたＯＥＭ公開鍵証明書Ｃｄに含まれるＯＥＭ公開鍵ｋ２１が改ざんされた場合、ＯＥＭ公開鍵証明書Ｃｄの検証に失敗するため、外観情報Ａｄの不正使用を防ぐことができる。また、外観情報検証・更新モジュール４２４は、外観情報領域４１３に格納された外観情報Ａｄが改ざんされた場合、外観情報Ａｄの検証に失敗するため、ＯＥＭ委託企業Ｐ２が意図しないＢＩＯＳの外観が表示されるのを防ぐことができる。
【0114】
（ＢＩＯＳアップデート時の状態）
つぎに、図１０を用いて、ＢＩＯＳアップデート時の状態について説明する。
つぎに、図１０を用いて、ＢＩＯＳアップデート時の状態について説明する。
【0115】
図１０は、ＢＩＯＳアップデート時の状態を示す説明図である。図１０において、対象装置ＭｉのＢＩＯＳのアップデートが実施される場合、ＳＰＩフラッシュ４１０の固定領域４１１のみが書き換えられる。このため、可変領域４１２の外観情報ＡｄやＯＥＭ公開鍵証明書Ｃｄは維持される。
【0116】
また、ＢＩＯＳのアップデートが実施されても、ＰＫ公開鍵ｋ１１は更新されない。したがって、ＢＩＯＳのアップデート後も、外観情報検証・更新モジュール４２４は、セキュリティを確保しつつ、カスタマイズされた外観情報Ａｄを使用することができる。
【0117】
（対象装置Ｍｉの情報処理手順）
つぎに、対象装置Ｍｉの情報処理手順について説明する。まず、図１１を用いて、対象装置Ｍｉの外観情報更新時の情報処理手順について説明する。外観情報更新時の情報処理は、例えば、対象装置ＭｉのＢＩＯＳ（モジュール群４１４）により実行される。
つぎに、対象装置Ｍｉの情報処理手順について説明する。まず、図１１を用いて、対象装置Ｍｉの外観情報更新時の情報処理手順について説明する。外観情報更新時の情報処理は、例えば、対象装置ＭｉのＢＩＯＳ（モジュール群４１４）により実行される。
【0118】
図１１は、対象装置Ｍｉの外観情報更新時の検証処理手順の一例を示すフローチャートである。図１１のフローチャートにおいて、まず、対象装置Ｍｉは、対象データ書込要求を受け付けたか否かを判断する（ステップＳ１１０１）。ここで、対象装置Ｍｉは、対象データ書込要求を受け付けるのを待つ（ステップＳ１１０１：Ｎｏ）。
【0119】
対象装置Ｍｉは、対象データ書込要求を受け付けた場合（ステップＳ１１０１：Ｙｅｓ）、ＳＰＩフラッシュ４１０の固定領域４１１からＰＫ公開鍵ｋ１１を取得する（ステップＳ１１０２）。つぎに、対象装置Ｍｉは、取得したＰＫ公開鍵ｋ１１を用いて、対象データ書込要求に含まれるＯＥＭ公開鍵証明書Ｃｄを検証する（ステップＳ１１０３）。
【0120】
そして、対象装置Ｍｉは、ＯＥＭ公開鍵証明書Ｃｄの検証に成功したか否かを判断する（ステップＳ１１０４）。ここで、ＯＥＭ公開鍵証明書Ｃｄの検証に成功した場合（ステップＳ１１０４：Ｙｅｓ）、対象装置Ｍｉは、ＯＥＭ公開鍵証明書Ｃｄに含まれるＯＥＭ公開鍵ｋ２１を用いて、対象データ書込要求に含まれる外観情報Ａｄの署名Ｓを検証する（ステップＳ１１０５）。
【0121】
そして、対象装置Ｍｉは、外観情報Ａｄの署名Ｓの検証に成功したか否かを判断する（ステップＳ１１０６）。ここで、外観情報Ａｄの署名Ｓの検証に成功した場合（ステップＳ１１０６：Ｙｅｓ）、ＳＰＩフラッシュ４１０の可変領域４１２にＯＥＭ公開鍵証明書Ｃｄを書き込む（ステップＳ１１０７）。
【0122】
そして、対象装置Ｍｉは、ＳＰＩフラッシュ４１０の可変領域４１２内の外観情報領域４１３に外観情報Ａｄ（署名Ｓ付き）を書き込んで（ステップＳ１１０８）、本フローチャートによる一連の処理を終了する。
【0123】
また、ステップＳ１１０４において、ＯＥＭ公開鍵証明書Ｃｄの検証に失敗した場合（ステップＳ１１０４：Ｎｏ）、または、ステップＳ１１０６において、外観情報Ａｄの署名Ｓの検証に失敗した場合（ステップＳ１１０６：Ｎｏ）、対象装置Ｍｉは、エラー処理を実行して（ステップＳ１１０９）、本フローチャートによる一連の処理を終了する。エラー処理では、例えば、対象データ書込要求に対して、外観情報Ａｄの書き込みを許可しない旨のエラー応答が行われる。
【0124】
これにより、対象装置Ｍｉは、セキュリティを確保しつつ、ＢＩＯＳの外観情報Ａｄを更新することができる。
【0125】
つぎに、図１２を用いて、対象装置Ｍｉの外観情報使用時の情報処理手順について説明する。外観情報使用時の情報処理は、例えば、対象装置Ｍｉの起動時にＢＩＯＳの外観情報検証・更新モジュール４２４により実行される。
【0126】
図１２は、対象装置Ｍｉの外観情報使用時の検証処理手順の一例を示すフローチャートである。図１２のフローチャートにおいて、まず、対象装置Ｍｉは、自装置の起動時に、ＳＰＩフラッシュ４１０の固定領域４１１からＰＫ公開鍵ｋ１１を取得する（ステップＳ１２０１）。
【0127】
つぎに、対象装置Ｍｉは、ＳＰＩフラッシュ４１０の可変領域４１２からＯＥＭ公開鍵証明書Ｃｄを取得する（ステップＳ１２０２）。そして、対象装置Ｍｉは、取得したＰＫ公開鍵ｋ１１を用いて、取得したＯＥＭ公開鍵証明書Ｃｄを検証する（ステップＳ１２０３）。
【0128】
対象装置Ｍｉは、ＯＥＭ公開鍵証明書Ｃｄの検証に成功したか否かを判断する（ステップＳ１２０４）。ここで、ＯＥＭ公開鍵証明書Ｃｄの検証に成功した場合（ステップＳ１２０４：Ｙｅｓ）、対象装置Ｍｉは、ＳＰＩフラッシュ４１０の可変領域４１２内の外観情報領域４１３から外観情報Ａｄを取得する（ステップＳ１２０５）。
【0129】
そして、対象装置Ｍｉは、ＯＥＭ公開鍵証明書Ｃｄに含まれるＯＥＭ公開鍵ｋ２１を用いて、取得した外観情報Ａｄの署名Ｓを検証する（ステップＳ１２０６）。そして、対象装置Ｍｉは、外観情報Ａｄの署名Ｓの検証に成功したか否かを判断する（ステップＳ１２０７）。
【0130】
ここで、外観情報Ａｄの署名Ｓの検証に成功した場合（ステップＳ１２０７：Ｙｅｓ）、外観情報Ａｄの使用を許可して（ステップＳ１２０８）、本フローチャートによる一連の処理を終了する。この結果、例えば、ＢＩＯＳの外観表示モジュール４２１により、外観情報Ａｄを用いて、ロゴマークやメニュー画面が表示される。
【0131】
また、ステップＳ１２０４において、ＯＥＭ公開鍵証明書Ｃｄの検証に失敗した場合（ステップＳ１２０４：Ｎｏ）、または、ステップＳ１２０７において、外観情報Ａｄの署名Ｓの検証に失敗した場合（ステップＳ１２０７：Ｎｏ）、対象装置Ｍｉは、自装置の起動を中断して（ステップＳ１２０９）、本フローチャートによる一連の処理を終了する。
【0132】
これにより、対象装置Ｍｉは、セキュリティを確保しつつ、ＢＩＯＳの外観情報Ａｄを使用することができる。
【0133】
以上説明したように、実施の形態にかかる対象装置Ｍｉによれば、ＢＩＯＳが管理するＳＰＩフラッシュ４１０の可変領域４１２に外観情報Ａｄを格納するにあたり、ＯＥＭ秘密鍵ｋ２２を用いて署名された外観情報Ａｄと、ＰＫ秘密鍵ｋ１２を用いて署名されたＯＥＭ公開鍵証明書Ｃｄとを取得することができる。外観情報Ａｄは、ＢＩＯＳの画面を表示するための情報である。ＯＥＭ秘密鍵ｋ２２は、外観情報Ａｄの書き込みを許可された者固有の鍵情報である。外観情報Ａｄの書き込みを許可された者は、例えば、対象装置Ｍｉの製造委託元（ＯＥＭベンダ）である。ＰＫ秘密鍵ｋ１２は、ＢＩＯＳのセキュアブート機能に用いられる、対象装置Ｍｉと同一機種の装置（例えば、対象装置Ｍ１～Ｍｎ）間で固有の鍵情報である。そして、対象装置Ｍｉによれば、ＳＰＩフラッシュ４１０の固定領域４１１に格納されたＰＫ公開鍵ｋ１１を用いて、公開鍵証明書Ｃ１を検証し、公開鍵証明書Ｃ１の検証に成功した場合、公開鍵証明書Ｃ１に含まれるＯＥＭ公開鍵ｋ２１を用いて、外観情報Ａｄを検証し、外観情報Ａｄの検証に成功した場合、可変領域４１２に外観情報Ａｄを書き込むことができる。
【0134】
これにより、対象装置Ｍｉは、セキュリティを確保しつつ、カスタマイズされた外観情報Ａｄを書込可能にすることができる。例えば、製造委託元（例えば、ＯＥＭ受託企業Ｐ１）は、ＢＩＯＳの外観を任意に変更することができる。また、対象装置Ｍｉは、検証の根元となる鍵として、同一機種の装置間で共通のセキュアブート機能の鍵情報（ＰＫ公開鍵ｋ１１、ＰＫ秘密鍵ｋ１２）を使用することで、製造委託先（例えば、ＯＥＭ受託企業Ｐ１）が管理する鍵の数を減らせるとともに、固定領域４１１の使用量を抑えることができる。
【0135】
また、対象装置Ｍｉによれば、外観情報Ａｄの検証に成功した場合、可変領域４１２に公開鍵証明書Ｃ１を書き込むことができる。
【0136】
これにより、対象装置Ｍｉは、自装置の起動時に可変領域４１２に格納された外観情報Ａｄを使用する際に、可変領域４１２に格納された公開鍵証明書Ｃ１を用いて、外観情報Ａｄを検証することができる。
【0137】
また、対象装置Ｍｉによれば、可変領域４１２に外観情報Ａｄを格納するにあたり、外観情報Ａｄの検証に成功した場合、可変領域４１２内の外観情報領域４１３（特定の領域）に外観情報Ａｄを書き込むことができる。
【0138】
これにより、対象装置Ｍｉは、可変領域４１２が他のデータに使用されて外観情報Ａｄを格納できなくなることを防ぐことができる。
【0139】
また、対象装置Ｍｉによれば、可変領域４１２に外観情報Ａｄを格納するにあたり、公開鍵証明書Ｃ１の検証に失敗した場合、または、外観情報Ａｄの検証に失敗した場合、可変領域４１２への外観情報Ａｄの書き込みを拒否することができる。
【0140】
これにより、対象装置Ｍｉは、第三者によるなりすましを防ぎ、製造委託元（例えば、ＯＥＭ受託企業Ｐ１）が意図しない外観情報が書き込まれるのを防ぐことができる。
【0141】
また、対象装置Ｍｉによれば、可変領域４１２に格納された外観情報Ａｄを使用するにあたり、可変領域４１２から公開鍵証明書Ｃ１を取得し、固定領域４１１に格納されたＰＫ公開鍵ｋ１１を用いて、取得した公開鍵証明書Ｃ１を検証することができる。そして、対象装置Ｍｉによれば、公開鍵証明書Ｃ１の検証に成功した場合、公開鍵証明書Ｃ１に含まれるＯＥＭ公開鍵ｋ２１を用いて、可変領域４１２に格納された外観情報Ａｄを検証し、外観情報Ａｄの検証に成功した場合、外観情報Ａｄの使用を許可することができる。
【0142】
これにより、対象装置Ｍｉは、セキュリティを確保しつつ、カスタマイズされた外観情報Ａｄを使用することができる。
【0143】
また、対象装置Ｍｉによれば、可変領域４１２に格納された外観情報Ａｄを使用するにあたり、公開鍵証明書Ｃ１の検証に失敗した場合、または、外観情報Ａｄの検証に失敗した場合、外観情報Ａｄの使用を許可しないことができる。
【0144】
これにより、対象装置Ｍｉは、外観情報Ａｄの不正使用を防ぐとともに、製造委託元（例えば、ＯＥＭ受託企業Ｐ１）が意図しないＢＩＯＳの外観が表示されるのを防ぐことができる。
【0145】
これらのことから、対象装置Ｍｉによれば、出荷後にＢＩＯＳのロゴマークやメニュー画面などの外観を変更することが可能となり、製造委託元の利便性を向上させることができる。また、対象装置Ｍｉによれば、カスタマイズ後のＢＩＯＳのアップデートでは、共通のアップデートファイルを使用できるため、アップデートファイルの管理や評価にかかる負荷の増加を抑えることができる。また、対象装置Ｍｉによれば、セキュアブート機能が無効化された場合であっても、許可されていない第三者による外観の変更を制限することができる。また、製造委託元（ＯＥＭベンダ）が管理する鍵が漏れた場合であっても、影響を受ける範囲を外観のみに絞ることができるため、悪意ある改造が加えられたＯＳブートローダなどが起動できるようになることを防ぐことができる。
【0146】
なお、本実施の形態で説明した情報処理方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本情報処理プログラムは、ハードディスク、フレキシブルディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）－ＲＯＭ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本情報処理プログラムは、インターネット等のネットワークを介して配布してもよい。
【0147】
上述した実施の形態に関し、さらに以下の付記を開示する。
【0148】
（付記１）自装置の起動時に実行されるファームウェアが管理する不揮発性記憶領域と、
前記不揮発性記憶領域のうち書き換え可能な可変領域に対象データを格納するにあたり、当該対象データの書き込みを許可された者固有の第１秘密鍵を用いて署名された前記対象データを取得し、自装置と同一機種の装置間で共通の第２秘密鍵を用いて署名された、前記第１秘密鍵に対応する第１公開鍵を含む公開鍵証明書を取得し、前記不揮発性記憶領域のうち書き換えが制限される固定領域に格納された、前記第２秘密鍵に対応する第２公開鍵を用いて、前記公開鍵証明書を検証し、前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記対象データを検証し、前記対象データの検証に成功した場合、前記可変領域に前記対象データを書き込む制御部と、
を有することを特徴とする情報処理装置。
前記不揮発性記憶領域のうち書き換え可能な可変領域に対象データを格納するにあたり、当該対象データの書き込みを許可された者固有の第１秘密鍵を用いて署名された前記対象データを取得し、自装置と同一機種の装置間で共通の第２秘密鍵を用いて署名された、前記第１秘密鍵に対応する第１公開鍵を含む公開鍵証明書を取得し、前記不揮発性記憶領域のうち書き換えが制限される固定領域に格納された、前記第２秘密鍵に対応する第２公開鍵を用いて、前記公開鍵証明書を検証し、前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記対象データを検証し、前記対象データの検証に成功した場合、前記可変領域に前記対象データを書き込む制御部と、
を有することを特徴とする情報処理装置。
【0149】
（付記２）前記制御部は、
前記対象データの検証に成功した場合、前記可変領域に前記公開鍵証明書を書き込む、ことを特徴とする付記１に記載の情報処理装置。
前記対象データの検証に成功した場合、前記可変領域に前記公開鍵証明書を書き込む、ことを特徴とする付記１に記載の情報処理装置。
【0150】
（付記３）前記制御部は、
前記可変領域に格納された前記対象データを使用するにあたり、前記可変領域から前記公開鍵証明書を取得し、前記固定領域に格納された前記第２公開鍵を用いて、取得した前記公開鍵証明書を検証し、前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記可変領域に格納された前記対象データを検証し、前記対象データの検証に成功した場合、前記対象データの使用を許可する、
ことを特徴とする付記２に記載の情報処理装置。
前記可変領域に格納された前記対象データを使用するにあたり、前記可変領域から前記公開鍵証明書を取得し、前記固定領域に格納された前記第２公開鍵を用いて、取得した前記公開鍵証明書を検証し、前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記可変領域に格納された前記対象データを検証し、前記対象データの検証に成功した場合、前記対象データの使用を許可する、
ことを特徴とする付記２に記載の情報処理装置。
【0151】
（付記４）前記ファームウェアは、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）である、ことを特徴とする付記１～３のいずれか一つに記載の情報処理装置。
【0152】
（付記５）前記対象データは、前記ＢＩＯＳの画面を表示するための外観情報である、ことを特徴とする付記４に記載の情報処理装置。
【0153】
（付記６）前記第２公開鍵および前記第２秘密鍵は、前記ＢＩＯＳのセキュアブート機能に用いられる、自装置と同一機種の装置間で共通の公開鍵および秘密鍵である、ことを特徴とする付記４または５に記載の情報処理装置。
【0154】
（付記７）前記対象データの書き込みを許可された者は、自装置の製造委託元である、ことを特徴とする付記１～６のいずれか一つに記載の情報処理装置。
【0155】
（付記８）前記制御部は、
前記可変領域に前記対象データを格納するにあたり、前記対象データの検証に成功した場合、前記可変領域内の特定のデータ領域に前記対象データを書き込む、ことを特徴とする付記１～７のいずれか一つに記載の情報処理装置。
前記可変領域に前記対象データを格納するにあたり、前記対象データの検証に成功した場合、前記可変領域内の特定のデータ領域に前記対象データを書き込む、ことを特徴とする付記１～７のいずれか一つに記載の情報処理装置。
【0156】
（付記９）前記制御部は、
前記可変領域に前記対象データを格納するにあたり、前記公開鍵証明書の検証に失敗した場合、または、前記対象データの検証に失敗した場合、前記可変領域への前記対象データの書き込みを拒否する、ことを特徴とする付記１～８のいずれか一つに記載の情報処理装置。
前記可変領域に前記対象データを格納するにあたり、前記公開鍵証明書の検証に失敗した場合、または、前記対象データの検証に失敗した場合、前記可変領域への前記対象データの書き込みを拒否する、ことを特徴とする付記１～８のいずれか一つに記載の情報処理装置。
【0157】
（付記１０）前記制御部は、
前記可変領域に格納された前記対象データを使用するにあたり、前記公開鍵証明書の検証に失敗した場合、または、前記対象データの検証に失敗した場合、前記対象データの使用を許可しない、ことを特徴とする付記３に記載の情報処理装置。
前記可変領域に格納された前記対象データを使用するにあたり、前記公開鍵証明書の検証に失敗した場合、または、前記対象データの検証に失敗した場合、前記対象データの使用を許可しない、ことを特徴とする付記３に記載の情報処理装置。
【0158】
（付記１１）自装置の起動時に実行されるファームウェアが管理する不揮発性記憶領域のうち書き換え可能な可変領域に対象データを格納するにあたり、当該対象データの書き込みを許可された者固有の第１秘密鍵を用いて署名された前記対象データを取得し、
自装置と同一機種の装置間で共通の第２秘密鍵を用いて署名された、前記第１秘密鍵に対応する第１公開鍵を含む公開鍵証明書を取得し、
前記不揮発性記憶領域のうち書き換えが制限される固定領域に格納された、前記第２秘密鍵に対応する第２公開鍵を用いて、前記公開鍵証明書を検証し、
前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記対象データを検証し、
前記対象データの検証に成功した場合、前記可変領域に前記対象データを書き込む、
処理をコンピュータが実行することを特徴とする情報処理方法。
自装置と同一機種の装置間で共通の第２秘密鍵を用いて署名された、前記第１秘密鍵に対応する第１公開鍵を含む公開鍵証明書を取得し、
前記不揮発性記憶領域のうち書き換えが制限される固定領域に格納された、前記第２秘密鍵に対応する第２公開鍵を用いて、前記公開鍵証明書を検証し、
前記公開鍵証明書の検証に成功した場合、前記公開鍵証明書に含まれる前記第１公開鍵を用いて、前記対象データを検証し、
前記対象データの検証に成功した場合、前記可変領域に前記対象データを書き込む、
処理をコンピュータが実行することを特徴とする情報処理方法。
【符号の説明】
【0159】
１０１ 情報処理装置
１１０ 不揮発性記憶領域
１１１，４１１ 固定領域
１１２，４１２ 可変領域
１２０ 対象データ
１３０ 公開鍵証明書
２００ 情報処理システム
２０１ 受託側端末
２０２ 委託側端末
２１０ ネットワーク
３００ バス
３０１ ＣＰＵ
３０２ メモリ
３０３ ディスクドライブ
３０４ ディスク
３０５ 通信Ｉ／Ｆ
３０６ 可搬型記録媒体Ｉ／Ｆ
３０７ 可搬型記録媒体
４１０ ＳＰＩフラッシュ
４１３ 外観情報領域
４１４ モジュール群
４２０ メインメモリ
４２１ 外観表示モジュール
４２２ ＳｅｃｕｒｅＢｏｏｔ検証モジュール
４２３ Ｖａｒｉａｂｌｅ管理モジュール
４２４ 外観情報検証・更新モジュール
４３０ ＰＣＩ Ｅｘｐｒｅｓｓカード
４３１ ＰＣＩ Ｅｘｐｒｅｓｓカード管理モジュール
４４０ ストレージ
４４１ ＯＳブートローダ
６００ 制御部
６０１ 受付部
６０２ 取得部
６０３ 第１の検証部
６０４ 第２の検証部
６０５ 書込制御部
７００ ＢＭＣ
８００ 更新アプリ
Ａｄ 外観情報
Ｃｄ ＯＥＭ公開鍵証明書
ｋ１１ ＰＫ公開鍵
ｋ１２ ＰＫ秘密鍵
ｋ２１ ＯＥＭ公開鍵
ｋ２２ ＯＥＭ秘密鍵
１１０ 不揮発性記憶領域
１１１，４１１ 固定領域
１１２，４１２ 可変領域
１２０ 対象データ
１３０ 公開鍵証明書
２００ 情報処理システム
２０１ 受託側端末
２０２ 委託側端末
２１０ ネットワーク
３００ バス
３０１ ＣＰＵ
３０２ メモリ
３０３ ディスクドライブ
３０４ ディスク
３０５ 通信Ｉ／Ｆ
３０６ 可搬型記録媒体Ｉ／Ｆ
３０７ 可搬型記録媒体
４１０ ＳＰＩフラッシュ
４１３ 外観情報領域
４１４ モジュール群
４２０ メインメモリ
４２１ 外観表示モジュール
４２２ ＳｅｃｕｒｅＢｏｏｔ検証モジュール
４２３ Ｖａｒｉａｂｌｅ管理モジュール
４２４ 外観情報検証・更新モジュール
４３０ ＰＣＩ Ｅｘｐｒｅｓｓカード
４３１ ＰＣＩ Ｅｘｐｒｅｓｓカード管理モジュール
４４０ ストレージ
４４１ ＯＳブートローダ
６００ 制御部
６０１ 受付部
６０２ 取得部
６０３ 第１の検証部
６０４ 第２の検証部
６０５ 書込制御部
７００ ＢＭＣ
８００ 更新アプリ
Ａｄ 外観情報
Ｃｄ ＯＥＭ公開鍵証明書
ｋ１１ ＰＫ公開鍵
ｋ１２ ＰＫ秘密鍵
ｋ２１ ＯＥＭ公開鍵
ｋ２２ ＯＥＭ秘密鍵
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】