特許 7406013 構成設定の安全な署名

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-18

(45)【発行日】2023-12-26

(54)【発明の名称】構成設定の安全な署名

(51)【国際特許分類】

   G06F 21/57 20130101AFI20231219BHJP

   H04L 9/32 20060101ALI20231219BHJP

   H04L 9/10 20060101ALI20231219BHJP

   G06F 21/64 20130101ALI20231219BHJP

   G06F 21/72 20130101ALI20231219BHJP

   G06F 21/62 20130101ALI20231219BHJP

【ＦＩ】

G06F21/57 350

H04L9/32 200B

H04L9/32 200E

H04L9/10 A

G06F21/64

G06F21/72

G06F21/62 309

【請求項の数】 19

(21)【出願番号】P 2022577761

(86)(22)【出願日】2021-06-18

(65)【公表番号】

(43)【公表日】2023-07-19

(86)【国際出願番号】 US2021038039

(87)【国際公開番号】W WO2021262545

(87)【国際公開日】2021-12-30

【審査請求日】2022-12-16

(31)【優先権主張番号】63/042,050

(32)【優先日】2020-06-22

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】17/092,030

(32)【優先日】2020-11-06

(33)【優先権主張国・地域又は機関】US

【早期審査対象出願】

(73)【特許権者】

【識別番号】503260918

【氏名又は名称】アップル インコーポレイテッド

【氏名又は名称原語表記】Ａｐｐｌｅ Ｉｎｃ．

【住所又は居所原語表記】Ｏｎｅ Ａｐｐｌｅ Ｐａｒｋ Ｗａｙ，Ｃｕｐｅｒｔｉｎｏ， Ｃａｌｉｆｏｒｎｉａ ９５０１４， Ｕ．Ｓ．Ａ．

(74)【代理人】

【識別番号】110003281

【氏名又は名称】弁理士法人大塚国際特許事務所

(72)【発明者】

【氏名】コヴェ， ゼノ エス．

(72)【発明者】

【氏名】スクレイ， ニコライ

(72)【発明者】

【氏名】メンシュ， トーマス ピー．

(72)【発明者】

【氏名】ベンソン， ウェイド

(72)【発明者】

【氏名】ハウク， ジェラルド ヴィー．

(72)【発明者】

【氏名】デ チェーザレ， ジョシュ ピー．

(72)【発明者】

【氏名】ジェニンング， オースティン ジー．

(72)【発明者】

【氏名】ドン， ジョン ジェイ．

(72)【発明者】

【氏名】グラハム， ロバート シー．

(72)【発明者】

【氏名】フォルティエ， ジャック

【審査官】岸野 徹

(56)【参考文献】

【文献】国際公開第２０１２／１６０７６０（ＷＯ，Ａ１）

【文献】特開２０１８－０３８０３６（ＪＰ，Ａ）

【文献】特開２００６－１３９４８９（ＪＰ，Ａ）

【文献】特表２００８－５４１２７９（ＪＰ，Ａ）

【文献】特開２０１２－１１３６１６（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１８／０３６５４２７（ＵＳ，Ａ１）

【文献】米国特許出願公開第２０１３／０１１１６０５（ＵＳ，Ａ１）

【文献】米国特許第１００５７２４３（ＵＳ，Ｂ１）

【文献】特開２０１８－１１７１８５（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

Ｈ０４Ｌ ９／３２

Ｈ０４Ｌ ９／１０

Ｇ０６Ｆ ２１／６４

Ｇ０６Ｆ ２１／７２

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

コンピューティングデバイスであって、
プロセッサと、
セキュア回路であって、
公開鍵ペアを生成し、
前記公開鍵ペアの秘密鍵を使用して、前記コンピューティングデバイスのオペレーティングシステムのための構成設定に署名し、前記構成設定は前記コンピューティングデバイスの動作を保護するために前記オペレーティングシステムによって実施される１つ以上の保護システムを有効又は無効にする１つ以上のセキュリティ設定を含む、ように構成された、セキュア回路と、
前記プロセッサによって実行可能なプログラム命令が記憶されたメモリと、を備え、前記プログラム命令は、前記コンピューティングデバイスに、
ブートローダにおいて、認証局から前記公開鍵ペアのための証明書を受信させ、
前記ブートローダによって、前記オペレーティングシステムをロードするためのブートシーケンスを開始させる、ように実行可能であり、前記ブートシーケンスは、前記ブートローダが、前記証明書及び前記公開鍵ペアに含まれる公開鍵を使用して前記署名された構成設定を検証することを含む、コンピューティングデバイス。

【請求項2】

前記セキュア回路は、
ユーザのパスコードに基づいて前記秘密鍵を暗号的に保護するように更に構成されており、前記パスコードは、前記コンピューティングデバイスに対して認証するために前記ユーザによって使用可能である、請求項１に記載のコンピューティングデバイス。

【請求項3】

前記セキュア回路は、
前記コンピューティングデバイスを他のコンピューティングデバイスから一意に識別する一意識別子（ＵＩＤ）を記憶し、
前記セキュア回路によって記憶された前記ＵＩＤに基づいて、前記秘密鍵を暗号的に保護する、ように更に構成されている、請求項２に記載のコンピューティングデバイス。

【請求項4】

前記プログラム命令は、前記コンピューティングデバイスに、
前記構成設定を変更する要求を前記ユーザから受信させ、前記要求は前記パスコードを含み、
前記要求に応答して、前記構成設定及び前記パスコードの変更されたバージョンを前記セキュア回路に提供させる、ように更に実行可能であり、
前記セキュア回路は、
前記パスコードを使用して、前記秘密鍵へのアクセスを取得し、
前記秘密鍵を使用して、前記構成設定の前記変更されたバージョンに署名する、ように更に構成されている、
請求項２に記載のコンピューティングデバイス。

【請求項5】

前記プログラム命令は、前記コンピューティングデバイスに、
前記構成設定を変更する前記要求に応答して、
前記構成設定の前記変更されたバージョンに包含するためのノンスを生成させ、
前記セキュア回路に、前記秘密鍵を使用して、前記構成設定の前記変更されたバージョンの前記署名を用いて前記ノンスに署名させる、ように更に実行可能である、請求項４に記載のコンピューティングデバイス。

【請求項6】

前記プログラム命令は、前記コンピューティングデバイスに、
ユーザ資格情報の検証と、所有者が前記コンピューティングデバイスの無効化を要求していないことの確認とを実行するように動作可能なサーバシステムに前記ユーザ資格情報を送信させ、
前記検証及び前記確認に基づいて、前記コンピューティングデバイスが前記秘密鍵の証明を要求することを許可されていることを示す認証を前記サーバシステムから受信させ、
前記認証と、前記公開鍵ペアについての証明書署名要求とを、前記コンピューティングデバイスの外部の認証局に送信させる、ように更に実行可能である、請求項１に記載のコンピューティングデバイス。

【請求項7】

前記セキュア回路は、
前記コンピューティングデバイス内の特定のハードウェアの存在を識別するために、製造時に埋め込まれたハードウェア識別子を読み取り、
前記証明書署名要求に署名するために前記ハードウェア識別子を使用する、ように更に構成されている、請求項６に記載のコンピューティングデバイス。

【請求項8】

前記プログラム命令は、前記コンピューティングデバイスに、
前記セキュア回路から前記署名された構成設定を取得する前に、前記オペレーティングシステムが、サーバシステムから、前記サーバシステムによって署名された構成設定の初期セットを要求するリカバリモードに、前記オペレーティングシステムをブートさせ、
前記署名された構成設定が前記セキュア回路から取得されるまで、前記オペレーティングシステムによる使用のために前記構成設定の初期セットを提供させる、ように更に実行可能である、請求項１に記載のコンピューティングデバイス。

【請求項9】

前記オペレーティングシステムは、前記メモリに記憶されたプログラム命令を有する複数のオペレーティングシステムのうちの１つであり、
前記セキュア回路は、
前記秘密鍵を使用して、前記複数のオペレーティングシステムのそれぞれの構成設定に署名するように構成されている、請求項１に記載のコンピューティングデバイス。

【請求項10】

方法であって、
コンピューティングデバイスのセキュア回路に、前記コンピューティングデバイスのオペレーティングシステムのための構成設定に署名するために、秘密鍵を使用する要求を送信することであって、前記構成設定は、前記コンピューティングデバイスによって実施される１つ以上のセキュリティシステムを制御する、ことと、
前記コンピューティングデバイスによって、前記オペレーティングシステムをロードするためのブートシーケンスであって、前記ブートシーケンスが、
前記署名された構成設定と、前記秘密鍵を含む公開鍵ペアに対して発行された証明書とを読み取ることと、
前記証明書に含まれる公開鍵を使用して、前記署名された構成設定を検証することと、を含む、ブートシーケンスを開始することと、
を含む、方法。

【請求項11】

前記セキュア回路に、前記構成設定に署名するための前記秘密鍵へのアクセスを取得するために、ユーザのパスコードを提供すること、
を更に含む、請求項１０に記載の方法。

【請求項12】

前記セキュア回路によって署名された前記構成設定に包含するためのノンスを生成することと、
前記署名された構成設定を検証するときに、前記ノンスの前記包含を検証することと、
を更に含む、請求項１０に記載の方法。

【請求項13】

前記オペレーティングシステムを、前記オペレーティングシステムがサーバシステムから、前記サーバシステムによって署名された構成設定の初期セットを要求するリカバリモードにブートすることと、
前記署名された構成設定が前記セキュア回路から取得されるまで、前記構成設定の初期セットを使用することと、
を更に含む、請求項１０に記載の方法。

【請求項14】

コンピューティングデバイスによって実行可能であるプログラム命令を有するコンピュータプログラムであって、前記プログラム命令は、前記コンピューティングデバイスに、
前記コンピューティングデバイスのセキュア回路に、前記コンピューティングデバイスのオペレーティングシステムのための構成設定に署名するために秘密鍵を使用する要求を送信することであって、前記構成設定は、前記コンピューティングデバイスによって実施される１つ以上のセキュリティシステムを制御する、ことと、
ブートローダによって、前記オペレーティングシステムをロードするためのブートシーケンスを開始することと、を含む動作を実行させ、前記ブートシーケンスは、
前記ブートローダによって、前記署名された構成設定と、前記秘密鍵を含む公開鍵ペアに対して発行された証明書とを読み取ることと、
前記ブートローダによって、前記証明書に含まれる公開鍵を使用して、前記署名された構成設定を検証することと、を含む、コンピュータプログラム。

【請求項15】

前記動作は、
前記セキュア回路に、ユーザのパスコードを提供して、前記構成設定に署名するための前記秘密鍵へのアクセスを取得することを更に含む、請求項１４に記載のコンピュータプログラム。

【請求項16】

前記動作は、
前記セキュア回路によって署名された前記構成設定に包含するためのノンスを生成することと、
前記ブートローダが、前記署名された構成設定を検証するときに、前記ノンスの前記包含を検証することと、を更に含む、請求項１４に記載のコンピュータプログラム。

【請求項17】

前記動作は、
前記ブートローダによって、前記オペレーティングシステムが、サーバシステムから、前記サーバシステムによって署名された構成設定の初期セットを要求するリカバリモードに、前記オペレーティングシステムをブートすることと、
前記署名された構成設定が前記セキュア回路から取得されるまで、前記構成設定の初期セットを使用することと、を更に含む、請求項１４に記載のコンピュータプログラム。

【請求項18】

装置であって、
プロセッサと、
セキュア回路であって、
公開鍵ペアを生成し、
前記公開鍵ペアの秘密鍵を使用して、前記装置のオペレーティングシステムのための構成設定に署名する、ように構成された、セキュア回路と、
前記プロセッサによって実行可能なプログラム命令が記憶されたメモリと、を備え、前記プログラム命令は、前記装置に、
ブートローダにおいて、認証局から前記公開鍵ペアのための証明書を受信させ、
前記ブートローダによって、前記オペレーティングシステムをロードするためのブートシーケンスを開始させ、前記ブートシーケンスは、前記ブートローダが、前記証明書及び前記公開鍵ペアに含まれる公開鍵を使用して前記署名された構成設定を検証することを含み、
ユーザのパスコードに基づいて前記秘密鍵を暗号的に保護させ、前記パスコードは、前記装置に対して認証するために前記ユーザによって使用可能であり、
前記構成設定を変更する要求を前記ユーザから受信させ、前記要求は前記パスコードを含み、
前記要求に応答して、前記構成設定及び前記パスコードの変更されたバージョンを前記セキュア回路に提供させる、ように実行可能であり、
前記セキュア回路は、
前記パスコードを使用して、前記秘密鍵へのアクセスを取得し、
前記秘密鍵を使用して、前記構成設定の前記変更されたバージョンに署名する、ように更に構成されている、装置。

【請求項19】

装置であって、
プロセッサと、
セキュア回路であって、
公開鍵ペアを生成し、
前記公開鍵ペアの秘密鍵を使用して、前記装置のオペレーティングシステムのための構成設定に署名する、ように構成された、セキュア回路と、
前記プロセッサによって実行可能なプログラム命令が記憶されたメモリと、を備え、前記プログラム命令は、前記装置に、
ユーザ資格情報の検証と、所有者が前記装置の無効化を要求していないことの確認とを実行するように動作可能なサーバシステムに前記ユーザ資格情報を送信させ、
前記検証及び前記確認に基づいて、前記装置が前記秘密鍵の証明を要求することを許可されていることを示す認証を前記サーバシステムから受信させ、
前記認証と、前記公開鍵ペアについての証明書署名要求とを、前記装置の外部の認証局に送信させ、
ブートローダにおいて、前記認証局から前記公開鍵ペアのための証明書を受信させ、
前記ブートローダによって、前記オペレーティングシステムをロードするためのブートシーケンスを開始させように実行可能であり、前記ブートシーケンスは、前記ブートローダが、前記証明書及び前記公開鍵ペアに含まれる公開鍵を使用して前記署名された構成設定を検証することを含む、装置。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、一般にコンピューティングデバイスに関し、より詳細には、ブート中にコンピューティングデバイスを保護することに関する。

【背景技術】

【0002】

（関連技術の説明）
コンピュータは、電源が投入されると、ブートストラッピング手順を実行して、最終的にオペレーティングシステムをロードすることができる。この手順を実行することの一部として、コンピュータは、オペレーティングシステムによって使用される様々なリソース及びロードドライバを初期化し得る。コンピュータはまた、コンピュータが意図されたように動作していることを判定するために様々なチェックを実行することができる。これらのチェックは、例えば、メモリ、ユーザインタフェースデバイス、プロセッサ機能などをテストすることを含み得る。コンピュータはまた、セキュリティ侵害に対して特に脆弱であり得るので、コンピュータは、例えば、ブートローダ及びオペレーティングシステムが更なる実行を可能にする前に改ざんされていないことを確認するために、様々なチェックを実行し得る。

【図面の簡単な説明】

【0003】

【図1】ブートシーケンス中に構成設定をセキュアに検証するように構成されたコンピューティングデバイスの一例を示すブロック図である。

【0004】

【図2】構成設定に署名するために使用される鍵に対する証明書署名要求のためのコンポーネントの生成の一例を示すブロック図である。

【0005】

【図3】構成設定に署名するためのプロセスの一例を示す通信図である。

【0006】

【図4A】構成設定を安全に検証するための方法の例を示す流れ図である。

【図4B】構成設定を安全に検証するための方法の例を示す流れ図である。

【図4C】構成設定を安全に検証するための方法の例を示す流れ図である。

【0007】

【図5】コンピューティングデバイスに含まれるセキュアエンクレーブプロセッサ内の要素の一例を示すブロック図である。

【0008】

【図6】例示的なコンピューティングデバイスの一実施形態のブロック図である。

【0009】

本開示は、「ｏｎｅ ｅｍｂｏｄｉｍｅｎｔ（一実施形態）」又は「ａｎ ｅｍｂｏｄｉｍｅｎｔ（ある実施形態）」に対する参照を含む。「ｉｎ ｏｎｅ ｅｍｂｏｄｉｍｅｎｔ（一実施形態において）」又は「ｉｎ ａｎ ｅｍｂｏｄｉｍｅｎｔ（ある実施形態において）」という語句表現は、必ずしも同一の実施形態を指すわけではない。特定の特徴、構造、又は特性は、本開示と一貫性を有するいずれかの適切な方式で組み合わされてもよい。

【0010】

本開示内で、（「ユニット」、「回路」、他の構成要素などと様々に呼ばれることがある）様々な実在物は、１つ以上のタスク又は動作を実施するように「構成されている（configured）」ものとして記述又は主張されることがある。［１つ以上のタスクを実施する］ように構成されている［実在物］というこの表現は、本明細書では構造（すなわち、電子回路など、物理的なもの）を指すために使用される。より具体的には、この表現は、この構造が動作中に１つ以上のタスクを実施するように配置されたことを示すために使用される。構造は、その構造が現在動作していない場合でも、何らかのタスクを実施する「ように構成されている」と述べられることがある。「オペレーティングシステムの構成設定に署名するように構成されたセキュア回路」は、例えば、対象の集積回路が現在使用されていない（例えば、電力供給装置がそれに接続されていない）場合でさえ、動作中にこの機能を実行する回路（例えば、専用暗号ハードウェア）を有する集積回路を網羅することが意図される。このように、何らかのタスクを実施する「ように構成されている」ものとして記述又は説明されるエンティティは、デバイス、回路、そのタスクを実現するように実行可能なプログラム命令を記憶したメモリなど、物理的なものを指す。この語句は、本明細書では無形のものを指すためには使用されない。したがって、「～のように構成されている」との言い方は、本明細書では、アプリケーションプログラミングインタフェース（application programming interface、ＡＰＩ）などのソフトウェアエンティティを指すためには使用されない。

【0011】

「～ように構成されている」という用語は、「～ように構成可能な」を意味することを意図していない。例えば、プログラムされていないＦＰＧＡは、何らかの特定の機能を実行する「ように構成可能」であり得るが、その機能を実施する「ように構成されている」とは見なされず、プログラミング後にその機能を実施する「ように構成されている」と言えよう。

【0012】

添付の請求項において、ある構造が１つ以上のタスクを実行する「ように構成されている」と説明することは、その請求項要素について米国特許法第１１２条（ｆ）を援用しないことを明示的に意図している。したがって、出願された本出願中の請求項のいずれも、ミーンズプラスファンクション要素を有するものとして解釈されることを意図していない。出願人が審査過程中に１１２条（ｆ）を援用することを望む場合、それは、［機能を実行する］「ための手段」という構成体を使用して請求項要素を説明することになる。

【0013】

本明細書で使用される用語「第１の」、「第２の」等は、名詞の前に付くラベルとして使用され、特に言及しない限りいかなるタイプの順序（例えば、空間的、時間的、論理的、等）も意味しない。例えば、セキュア回路は、第１及び第２の暗号鍵を導出することができる。「第１の」という用語は、セキュア回路によって導出される初期暗号鍵に限定されない。「第１の」という用語は、鍵が１つだけ存在する場合にも使用されてよい。

【0014】

本明細書で使用する「～に基づいて」という用語は、判定に影響を及ぼす１つ以上の要因を記述するために使用される。この用語は、追加の要因が判定に影響を及ぼすことがある可能性を除外しない。すなわち、決定は、指定された要因のみに基づくか、又は、指定された要因並びに他の指定されていない要因に基づき得る。「Ｂに基づいてＡを判定する」という語句を検討する。この語句により、Ｂは、Ａを判定するために使用されるか、又はＡの判定に影響を及ぼす要因であることが特定される。この語句は、Ａの判定が、Ｃなど、何らかの他の要因にも基づき得ることを除外しない。この語句は、ＡがＢのみに基づいて判定される実施形態をも網羅することを意図している。本明細書で使用する「～に基づいて」という語句はしたがって、「～に少なくとも部分的に基づいて」という語句と同義である。

【発明を実施するための形態】

【0015】

オペレーティングシステムは、コンピューティングデバイスの挙動を修正するために変更され得る様々な構成設定を提供することができる。これらの設定は、例えば、デバイスセキュリティ、ネットワークインタフェース挙動、ユーザアカウントアクセス、アクセシビリティ機能などに関連し得る。これらの設定の変更を容易にするために、オペレーティングシステムは、これらの設定を変更することができるユーザインタフェース（例えば、コントロールパネル）又はアクセス可能な構成ファイルを提供し得る。これらの設定の変更は、ユーザが自分のデバイスの動作をパーソナライズすることを有利に可能にすることができるが、これらの設定はまた、権限のない行為者がこれらの設定を悪意のある方法で修正しようと試みる可能性があるため、潜在的な脆弱性を提示する。例えば、権限のない行為者は、デバイスを更に危険にさらすために、デバイスの様々なセキュリティ機能を無効にしようと試みることがある。

【0016】

本開示は、コンピューティングデバイスの構成設定が、例えば、設定の無許可の修正を防止するために、コンピューティングデバイス内のセキュアハードウェアによってセキュアに署名される実施形態を説明する。様々な実施形態において以下で説明されるように、コンピューティングデバイス内のセキュア回路は、構成設定に署名するためにセキュア回路によって使用される秘密鍵を生成及び維持する。コンピューティングデバイスのブートシーケンスが開始されると、ブートローダは、秘密鍵に対応する公開鍵を使用して署名された構成設定を検証する。セキュア回路が署名を実行していることを確立するために、セキュア回路は、署名された構成設定に対する更なる信頼のしるしを提供するために、ブートローダによって信頼される認証局が公開鍵ペアを認証することを要求し得る。いくつかの実施形態では、構成設定に署名するために使用される秘密鍵は、許可されたユーザのパスコードに基づいてセキュア回路によって暗号的に保護される。したがって、ユーザが設定を変更したい場合、ユーザは、セキュア回路が秘密鍵へのアクセスを取得し、変更された設定に署名することを可能にするためにパスコードを提供することができる。一方、ユーザがパスコードを提示することができない場合、ユーザは、設定を変更することを禁止され得る。いくつかの実施形態では、更なるセキュリティを追加するために、秘密署名鍵の証明は、例えば、デバイスが紛失又は盗難されたことを報告する所有者によってアクティブ化ロックがデバイスにかけられていないことを確認するために、コンピューティングデバイスが（例えば、デバイスの製造業者に関連付けられた）外部サーバに接触することを条件としてもよい。

【0017】

ここで図１を参照すると、オペレーティングシステムの構成設定を検証するためのシステム１０のブロック図が示されている。図示された実施形態において、システム１０は、コンピューティングデバイス１００と、コンピューティングデバイス１００の外部にある認証局（ＣＡ）２０とを含む。コンピューティングデバイス１００は、中央処理装置（ＣＰＵ）１１０、不揮発性メモリ（ＮＶＭ）１２０、及びセキュアエンクレーブプロセッサ（ＳＥＰ）１３０を含んでもよく、これらは相互接続１４０を介して接続されてもよい。ＮＶＭ１２０は、オペレーティングシステム（ＯＳ）１２２と、ブートローダ１２４と、構成設定１２６とを含み得る。ＳＥＰ１３０は、暗号エンジン１３２を含むことができる。いくつかの実施形態では、コンピューティングデバイス１００は、図に示すものとは異なるように実装されてもよい。したがって、デバイス１００は、図６に関して以下で説明するような追加の構成要素を含むことができる。いくつかの実施形態では、要素１２２～１２６は、異なるメモリ内にあってもよい。

【0018】

ＯＳ１２２は、様々な実施形態において、コンピューティングデバイス１００の様々な動作を管理するために実行可能なオペレーティングシステムである。したがって、ＯＳ１２２は、コンピューティングデバイス１００の様々なハードウェアリソースとのインタフェースを容易にする様々なドライバを含むことができる。ＯＳ１２２はまた、デバイスリソースのスケジューリング及び管理を容易にするためのカーネルを含み得る。ＯＳ１２２はまた、様々なサービスを提供するためにデバイス１００内のハードウェアによって実行される様々なファームウェアを含んでもよい。上述したように、ＯＳ１２２は、ＯＳ１２２（又はより一般的にはコンピューティングデバイス１００）の動作を制御する様々な構成設定１２６を読み取ることができる。これらの構成設定１２６は、上記のような任意の適切な設定に対応することができる。例えば、いくつかの実施形態では、構成設定は、コンピューティングデバイス１００の動作を保護するためにＯＳ１２２によって実施される１つ以上の保護システムを有効又は無効にする１つ以上のセキュリティ設定を含む。例えば、一実施形態において、ＯＳ１２２は、ＯＳ１２２のカーネル空間に存在するような重要なシステムファイルへのアクセスを制限するために使用されるファイル保護システムを実装してもよく、設定１２６は、この保護を有効又は無効にするための設定を含んでもよい。単一のＯＳ１２２が図１に示されているが、いくつかの実施形態では、ＯＳ１２２は、複数のオペレーティングシステムのうちの１つであってもよく、各々が、本明細書で説明される技法を使用して保護され得る、関連する設定１２６のセットを有する。

【0019】

ブートローダ１２４は、様々な実施形態において、コンピューティングデバイス１００のＯＳ１２２などのオペレーティングシステムをブート／ロードするために、ＣＰＵ１１０によって実行可能である。したがって、ブートローダ１２４は、デバイス１００上の初期化ハードウェアの処理、１つ以上の検証チェックの実行、ＯＳカーネルの実行の開始などを含むブートシーケンスを実行することができる。いくつかの実施形態では、ブートローダ１２４は、ｕｎｉｆｉｅｄ ｅｘｔｅｎｓｉｂｌｅ ｆｉｒｍｗａｒｅ ｉｎｔｅｒｆａｃｅ（ＵＥＦＩ）仕様に準拠する。上述したように、様々な実施形態において、ブートローダ１２４は、例えば、設定１２６が不正に変更されていないことを確実にするために、ブートプロセス中に構成設定１２６を更に検証する。以下で説明するように、ブートローダ１２４は、公開鍵を含む証明書１２８と共にＳＥＰ１３０によって生成された署名１２７を使用して構成設定を検証することができる。

【0020】

ＳＥＰ１３０は、様々な実施形態において、コンピューティングデバイス１００のための暗号サービスを実行するように構成されたセキュア回路である。本明細書で使用する「セキュア回路」という用語は、１つ以上のサービスを実行し、認証された応答を外部要求者に返すように構成された回路のクラスのうちの１つを指す。セキュア回路によって返された結果は、いかなる形態の認証もなしで単に結果を返す回路の信頼性を超える信頼性のしるしを有すると考えられる。いくつかの実施形態では、ＳＥＰ１３０からの応答は、デジタル署名又は暗号化されたデータを提供するなど、暗号法の使用を通じて認証される。いくつかの実施形態では、ＳＥＰ１３０からの応答は、ＳＥＰ１３０と以下で説明する他の当事者との間の専用バス又はメールボックス機構などの信頼できる通信チャネルを介して通信されることによって認証される。例えば、様々な実施形態において、ＳＥＰ１３０及びＮＶＭ１２０のＮＶＭコントローラは、共有暗号鍵を使用して確立されたセキュアチャネルを介して通信する。対照的に、単に何らかの受信された値に対して動作し、結果を返すハードウェアアクセラレータなどの回路は、本出願の意味の範囲内のセキュア回路とは見なされない。例えば、検証可能なデジタル署名で署名することなどによって、返される結果を認証することによって、セキュア回路は、なりすまし防止機能を提供することができる。更に、場合によっては、セキュア回路は、「改ざん防止性」であると言われることがあり、この用語は、１つ以上のサービスを実行するセキュア回路の部分の危殆化を防止する機構を指す、当該技術分野の用語である。

【0021】

様々な実施形態において、ＳＥＰ１３０は、署名１２７を生成するために構成設定１２６に署名するための秘密鍵（署名鍵１３４として示される）を有する公開鍵ペアを生成するように（暗号エンジン１３２を介して）構成される。いくつかの実施形態では、署名鍵１３４は、権限のない行為者がユーザの同意なしに設定１２６を修正することを防止するために、鍵１３４へのＳＥＰ１３０のアクセスを制限するために、権限のあるユーザのパスコードに基づいて暗号的に保護される。いくつかの実施形態では、署名鍵１３４はまた、ＳＥＰ１３０に記憶され、コンピューティングデバイスを他のコンピューティングデバイスから一意に識別する一意識別子によって保護される。この一意識別子の保護は、例えば、構成設定１２６が別のコンピューティングデバイスにその使用のために提供されること（又は逆に、コンピューティングデバイス１００が別のデバイスから取得された構成設定を使用すること）を防止するために実行されてもよい。署名鍵１３４に対する更なる信頼のしるしを提供するために、図示された実施形態では、ＳＥＰ１３０は、ブートローダ１２４によって信頼され得るＣＡ２０が署名鍵１３４を認証することを要求する。本明細書で使用される場合、「認証された鍵」という用語は、概して、証明書１２８などの対応する証明書が発行されている鍵ペアの公開鍵又は秘密鍵を指す。

【0022】

ＣＡ２０は、様々な実施形態において、公開鍵の所有権を認証し、所有者が対応する秘密鍵を所有していることを検証するために使用可能な証明書を発行する。示されるように、ＳＥＰ１３０は、ＳＥＰ１３０によって生成された公開鍵ペアのために証明書署名要求（ＣＳＲ）１３６をＣＡ２０に発行することによって、署名鍵１３４の証明を要求することができる。本明細書で使用される場合、「証明書署名要求」という用語は、一般に、公開鍵ペアの有効性を証明する情報の集合を検証するための、信頼できる機関に対する要求を指す。ＣＳＲ１３６は、任意の適切な情報を含み得る。いくつかの実施形態では、ＣＳＲ１３６は、鍵１３４の意図された使用の識別子（例えば、署名設定１２６）と、公開鍵と、対応する秘密鍵（すなわち、鍵１３４）から生成された署名とを含む。図２に関連して以下で説明するように、いくつかの実施形態では、ＳＥＰ１３０は更に、ＳＥＰ１３０の製造（又は、より一般的には、コンピューティングデバイス１００の製造）中に埋め込まれた識別子から導出された信頼できる鍵を使用して、ＣＳＲ１３６のコンポーネントに署名する。いくつかの実施形態では、ＣＳＲ１３６は、公開鍵暗号規格（ＰＫＣＳ）＃１０仕様によって定義されるような標準フォーマットに準拠する。ＣＳＲ１３６の検証の成功に基づいて、ＣＡ２０は、証明書１２８を発行することができる。本明細書で使用される場合、「証明書」という用語は、一般に、信頼できる機関が公開鍵ペアの有効性を証明する検証された情報を有することを確立するために提示され得る情報の集合（例えば、トークン）を指す。証明書１２８は、任意の適切な情報を含むことができる。いくつかの実施形態では、証明書１２８は、ＣＡ２０の識別子、ＣＳＲ１３６に提示される公開鍵、証明書が有効である期間、及びＣＡ２０によって保持され、ブートローダ１２４によって信頼される秘密鍵を使用して証明書１２８から生成された署名を含む。いくつかの実施形態では、証明書１２８は、Ｘ．５０９規格によって定義されるような標準フォーマットに準拠する。

【0023】

証明書１２８を受信すると、コンピューティングデバイス１００は、証明書１２８を設定１２６と共にＮＶＭ１２０に記憶することができる。次いで、ＳＥＰ１３０は、認証された署名鍵１３４を使用して、設定１２６に署名することができる。いくつかの実施形態では、これは、ＯＳ１２２が設定１２６からハッシュ値を生成し、ＳＥＰ１３０に鍵１３４を用いてハッシュ値に署名させて、設定１２６及び証明書１２８と共に記憶される署名１２７を提供させることを含んでもよい。ＯＳ１２２の後続のブートが後で実行されるとき、ブートローダ１２４は、署名１２７及び証明書に含まれる公開鍵（図２に関して次に説明する公開鍵２１２）を使用して、署名された構成設定１２６を検証することができる。いくつかの実施形態では、この検証は、設定１２６から別のハッシュ値を生成することと、このハッシュ値を、公開鍵を使用して署名１２７から取得された以前のハッシュ値と比較することとを含み得る。ハッシュが一致する場合、ブートローダ１２４は、ＯＳ１２２のロードを継続し、それが設定１２６にアクセスすることを可能にし得る。しかしながら、設定１２６の検証が失敗した場合、ブートローダ１２４は、ＯＳ１２２のロードを一時停止し、デバイス１００のユーザインタフェースを介して問題を識別することができる。

【0024】

様々な実施形態では、許可されたユーザが後で設定１２６を変更したい場合、ユーザは、自身のパスコードと共に対応する要求をＯＳ１２２に提供することができる。次いで、ＯＳ１２２は、要求された変更を行い、構成設定１２６の変更されたバージョン及びパスコードをＳＥＰ１３０に提供することができる。次に、ＳＥＰ１３０は、パスコードを使用して署名鍵１３４へのアクセスを取得し、次いで、署名鍵１３４を使用して構成設定１２６の変更されたバージョンに署名することができる。いくつかの実施形態では、構成設定１２６の変更されたバージョンに署名する前に、ＯＳ１２２（又は他の実施形態ではＳＥＰ１３０）は、ＳＥＰ１３０によって署名された構成設定１２６の変更されたバージョンに含めるためのノンスを生成してもよい。そのような実施形態では、ブートローダ１２４は、設定１２６の以前に署名されたバージョンが再使用されることを防止するために、最も最近署名されたノンスを追跡し、それを構成設定１２６の署名された変更バージョンに含まれるノンスと比較することができる。

【0025】

次に図２を参照すると、ＣＳＲ生成２００のブロック図が示されている。図示の実施形態では、エンジン１３２は、１つ以上の鍵導出関数（ＫＤＦ）２１０を実行し、その後、デジタル署名アルゴリズム（ＤＳＡ）２２０を適用して、ＣＳＲ１３６に含めるための署名２２４及び公開鍵２１２を生成することによって、ＣＳＲ１３６の生成を容易にするように構成される。いくつかの実施形態では、ＣＳＲ生成２００は、以下で説明されるように、示されるものとは異なって実装されてもよい。

【0026】

ＫＤＦ２１０は、図示される実施形態では、一意識別子（ＵＩＤ）２０２及びパスコード２０４を使用して、署名鍵１３４及びその対応する公開鍵２１２を含む公開鍵ペアを作成する。ＫＤＦ２１０は、暗号ブロック連鎖（ＡＥＳ－ＣＢＣ）モードにおける高度暗号化標準（ＡＥＳ）の適用、鍵つきハッシュメッセージ認証コード（ＨＭＡＣ）、セキュアハッシュアルゴリズム（ＳＨＡ）などの任意の適切な鍵導出関数に対応することができる。様々な実施形態において、ＵＩＤ２０２は、コンピューティングデバイス１００を他のコンピューティングデバイスから（又はコンピューティングデバイス１００内のハードウェアを他のコンピューティングデバイス内の同様のハードウェアから、したがってＵＩＤ２０２はＫＤＦ２１０へのハードウェアシードであり得る）一意に識別する値である。いくつかの実施形態では、ＵＩＤ２０２は、ＳＥＰ１３０（又はより一般的にはデバイス１００）の製造中にＵＩＤ２０２を符号化するためにヒューズのセットを焼くことによってＳＥＰ１３０に記憶される。様々な実施形態において、パスコード２０４は、コンピューティングデバイス１００に対して認証するためにユーザによって使用可能なパスコードである。したがって、パスコード２０４は、キーボード、タッチスクリーンなどのコンピューティングデバイス１００の入力デバイスを介して受信され得る、ユーザが供給した英数字のシーケンスを含むことができる。２つの入力が示されているが、いくつかの実施形態では、ＫＤＦ２１０は、初期化ベクトル（ＩＶ）、他のハードウェア識別子、ソルト、キーシードなどの追加の入力を取ることができる。

【0027】

図示された実施形態では、ＵＩＤ２０２及びパスコード２０４がＫＤＦ２１０への入力であるので、署名鍵１３４は、ＵＩＤ２０２及びパスコード２０４が鍵１３４を導出するために使用されるので、ＵＩＤ２０２及びパスコード２０４に基づいて暗号的に保護されるものとして説明され得る。他の実施形態では、署名鍵１３４は、間接レベルを使用することによって、ＵＩＤ２０２及びパスコード２０４に基づいて暗号的に保護される。すなわち、ＵＩＤ２０２及びパスコード２０４は、署名鍵１３４を暗号化し、したがって鍵１３４を保護するために使用されるマスタ鍵を生成するＫＤＦへの入力であってもよいが、そのような実施形態では、署名鍵１３４及び公開鍵２１２は、ＵＩＤ２０２及びパスコード２０４から直接導出されなくてもよい。本明細書で使用されるように、鍵が何かを「復号／暗号化するために使用可能」であることへの言及は、鍵を用いて復号／暗号化すること、又は鍵を使用して、その物を復号／暗号化するために使用される１つ以上の追加の鍵を導出（又は復号）することのいずれかを含む。また、単一のＫＤＦ２１０が示されているが、いくつかの実施形態では、複数のネストされたＫＤＦ２１０が使用されてもよい。

【0028】

ＤＳＡ２２０は、図示の実施形態では、ＣＡによって信頼されるハードウェア鍵２１４を使用して公開鍵２１２に署名し、ＣＳＲ１３６を検証するためにＣＡ２０によって使用可能な署名２２４を生成する。様々な実施形態において、ハードウェア鍵２１４は、例えば、コンピューティングデバイス内の特定のハードウェアの存在を識別するために製造時に埋め込まれたハードウェア識別子を読み取ることによって導出されるので、ＣＡ２０によって信頼される。例えば、製造者は、ＳＥＰ１３０内のヒューズを焼き付けて、ＳＥＰ１３０などの特定のハードウェアを有することが知られている特定のクラスのデバイスの各々に生成識別子を記憶することができ、これにより、デバイスのセキュリティを向上させることができる。このハードウェア識別子は、鍵２１４を導出するために使用されてもよく、次に、鍵２１２に署名して署名２２４を生成するために使用される。しかしながら、他の実施形態では、署名２２４を生成するために他の形式の信頼できる鍵が使用されてもよい。いくつかの実施形態では、ＤＳＡ２２０はまた、上述のノンスなどのＣＳＲ１３６に含まれる追加の図示されていない入力を取得してもよい。ＤＳＡとして示されているが、他の署名アルゴリズムが使用されてもよい。

【0029】

次に図３を参照すると、構成署名プロセス３００の通信図が示されている。図示される実施形態では、プロセス３００は、コンピューティングデバイス１００のユーザ３０２、ＯＳ１２２、ＳＥＰ１３０、１つ以上の外部サーバ３０４、及びＣＡ２０の間の様々な交換を含む。示されるように、プロセス３００は、ステップ３１２～３２４を含むアクティブ化フェーズ３１０と、ステップ３３２～３３８を含む鍵証明フェーズ３３０と、ステップ３５２～３５８を含む構成署名フェーズ３５０とを含み得る。いくつかの実施形態では、モバイルデバイス３００は、図に示すものとは異なるように実装されてもよい。したがって、より多くの（又はより少ない）ステップが実行されてもよい。いくつかの実施形態において、プロセス３００の実行は、フェーズ３３０及び３５０のみ（又はフェーズ３５０のみ）の実行を含んでもよい。

【0030】

図示された実施形態では、プロセス３００は、コンピューティングデバイス１００を最初にセットアップし、デバイス１００が署名鍵１３４の証明を実行することを可能にするために、アクティブ化フェーズ３１０から開始することができる。後述するように、いくつかの実施形態では、このフェーズ３１０は、署名された構成設定１２６がプロセス３００の終了時に取得され得るまで、ＯＳ１２２によって使用され得る信頼された構成設定の初期セットをダウンロードすることを含み得る。いくつかの実施形態では、このフェーズ３１０はまた、例えば、所有者がデバイス１００を紛失又は盗まれたとして外部サーバ３０４に報告したために、デバイスの所有者がデバイス１００の起動を防止するためにロックの配置を要求したかどうかを判定するために実行されてもよい。

【0031】

図示されるように、フェーズ３１０は、ユーザがプロセス３００を開始するための開始要求を行うステップ３１２で開始することができる。いくつかの実施形態では、この要求は、デバイス１００の電源をオンにすることと、ブートローダ１２４にＯＳ１２２をリカバリモードにブートさせることとを含み得る。ステップ３１４において、ＯＳ１２２は、サーバシステム３０４から、サーバシステム３０４によって署名された構成設定の初期セットを要求する。いくつかの実施形態では、この構成設定の初期セットは、デバイス１００のための構成設定の一般的なセットであってもよく、信頼のしるしを設定に提供するために、外部サーバ３０４によって署名されてもよい。ステップ３１６において、外部サーバ３０４は、所有者がアクティブ化ロックをかけることによってコンピューティングデバイス１００の無効化を要求したかどうかをチェックすることができる。ステップ３１８において、外部サーバ３０４は、署名された構成設定１２６をＳＥＰ１３０から取得することができるまで、ＯＳ１２２による使用のための構成設定の初期セットを提供することができる。アクティブ化ロックがデバイス１００に対して設定されている場合、外部サーバ３０４は、アクティブ化ロックを除去するために、所有者に登録されたユーザ資格情報を要求することもできる。ステップ３２０において、ユーザ３０２は、デバイス１００を介してこの所有者資格情報をサーバ３０４に提供することができる。外部サーバ３０４は、ステップ３２２において、所有者資格情報の検証を実行することができる。所有者資格情報の検証が成功したことに応答して（又はアクティブ化ロックがかけられていないことに応答して）、サーバ３０４は、ステップ３２４において、コンピューティングデバイス１００が署名鍵１３４の証明を要求する権限を与えられていることを示す認証を提供する。

【0032】

次いで、プロセス３００は、ＳＥＰ１３０が認証された署名鍵１３４を取得する鍵証明フェーズ３３０に進むことができる。図示のように、フェーズ３３０は、ＳＥＰ１３０が（暗号エンジン１３２を使用して）公開鍵２１２及び署名鍵１３４を含む公開鍵ペアを生成することから開始することができる。次いで、ＳＥＰ１３０は、ＯＳ１２２によって提供され得る、ステップ３２４において受信された登録認証と共に、３３４においてＣＳＲ１３６をＣＡ２０に発行し得る。（署名２２４を使用した）ＣＳＲ１３６の検証の成功及び登録認証に応答して、ＣＡ２０は、３３８において、証明書１２８を発行し、これは、ＯＳ１２２によって、構成設定１２６と共にＮＶＭ１２０に記憶され得る。

【0033】

次いで、プロセス３００は、ＳＥＰ１３０が構成設定１２６に署名する構成署名フェーズ３５０で終了することができる。図示された実施形態において、フェーズ３５０は、３５２において、ユーザが設定１２６の変更を要求することから始まる。しかしながら、いくつかの実施形態では、このステップは、例えば、ユーザが変更を要求する任意の機会を有する前に、設定１２６のデフォルトセットが署名されている場合、省略されてもよい。ステップ３５４において、ＯＳ１２２は、要求された変更を行い、署名のために、変更された（現在はユーザ個人向けの）設定１２６をＳＥＰ１３０に提供することができる。いくつかの実施形態では、ＯＳ１２２は、設定１２６全体を提供するのではなく、設定１２６から生成されたハッシュ値を単に提供することができる。いくつかの実施形態では、ステップ３５４は、コンピューティングデバイス１００によって実行されるバイナリ、ブートチェーンオブジェクト、キャッシュ情報など、ＯＳ１２２によって使用される他の情報に署名するために署名鍵１３４を使用することを含み得る。３５６において、ＯＳ１２２はまた、署名鍵１３４へのアクセスを取得するためにＳＥＰ１３０に提供されるパスコード２０４をユーザに促し得る。ステップ３５８において、ＳＥＰ１３０は、署名鍵１３４を使用して設定１２６に署名し、署名１２７を生成することができ、これは、設定１２６と共にＮＶＭ１２０に記憶するためにＯＳ１２２に返される。次のブートにおいて、ブートローダ１２４は、この署名１２７を証明書１２８と共に使用して、設定１２６の完全性を検証することができる。

【0034】

ここで図４Ａを参照すると、方法４００のフロー図が示されている。方法４００は、コンピューティングデバイス１００などのコンピューティングデバイスの構成設定をセキュアに検証するための方法の一実施形態である。多くの場合、方法４００の性能は、コンピューティングデバイスの全体的なセキュリティを改善することができる。

【0035】

方法４００は、ステップ４０５において、コンピューティングデバイスのセキュア回路（例えば、ＳＥＰ１３０）が公開鍵ペア（例えば、鍵１３４及び２１２）を生成することから始まる。いくつかの実施形態では、コンピューティングデバイスは、ユーザ資格情報（例えば、３２０における所有者資格情報）を、ユーザ資格情報の検証と、所有者がコンピューティングデバイスの無効化を要求していないことの確認とを実行するように動作可能なサーバシステムに送信する。検証及び確認に基づいて、コンピューティングデバイスは、サーバシステムから、コンピューティングデバイスが秘密鍵の証明を要求する権限を与えられていることを示す認証（例えば、３２４における登録認証）を受信し、認証及び公開鍵ペアに対する証明書署名要求（例えば、ＣＳＲ１３６）をコンピューティングデバイスの外部の認証局（例えば、ＣＡ２０）に送信する。いくつかの実施形態では、セキュア回路は、コンピューティングデバイス内の特定のハードウェアの存在を識別するために製造時に埋め込まれたハードウェア識別子（例えば、ハードウェア鍵２１４）を読み取り、そのハードウェア識別子を使用して証明書署名要求に署名する（例えば、署名２２４を介して）。

【0036】

ステップ４１０において、セキュア回路は、公開鍵ペアの秘密鍵（例えば、署名鍵１３４）を使用して、コンピューティングデバイスのオペレーティングシステム（例えば、ＯＳ１２２）のための構成設定（例えば、構成設定１２６）に署名する。様々な実施形態において、セキュア回路は、ユーザのパスコード（例えば、パスコード２０４）に基づいて秘密鍵を暗号的に保護し、パスコードは、コンピューティングデバイスに対して認証するためにユーザによって使用可能である。いくつかの実施形態では、セキュア回路は、コンピューティングデバイスを他のコンピューティングデバイスから一意に識別する一意識別子（ＵＩＤ）（例えば、ＵＩＤ２０２）を記憶し、セキュア回路によって記憶されたＵＩＤに基づいて秘密鍵を暗号的に保護する。いくつかの実施形態では、構成設定は、コンピューティングデバイスの動作を保護するためにオペレーティングシステムによって実装される１つ以上の保護システムを有効又は無効にする１つ以上のセキュリティ設定を含む。いくつかの実施形態では、オペレーティングシステムは、メモリに記憶されたプログラム命令を有する複数のオペレーティングシステムのうちの１つであり、セキュア回路は、秘密鍵を使用して、複数のオペレーティングシステムのうちのそれぞれのオペレーティングシステムの構成設定に署名する。

【0037】

ステップ４１５において、コンピューティングデバイスは、ブートローダ（例えば、ブートローダ１２４）において、公開鍵ペアについての証明書（例えば、証明書１２８）を認証局から受信する。

【0038】

ステップ４２０において、コンピューティングデバイスは、ブートローダによって、オペレーティングシステムをロードするためのブートシーケンスを開始する。様々な実施形態において、ブートシーケンスは、ブートローダが、証明書に含まれる、公開鍵ペアの公開鍵（例えば、公開鍵２１２）を使用して、署名された構成設定を検証することを含む。

【0039】

様々な実施形態において、方法４００は、コンピューティングデバイスが、構成設定を変更するために、パスコードを含む要求（例えば、３５２における設定変更）をユーザから受信することを更に含む。要求に応答して、コンピューティングデバイスは、構成設定及びパスコードの変更されたバージョンをセキュア回路に提供する。セキュア回路は、パスコードを使用して秘密鍵へのアクセスを取得し、秘密鍵を使用して構成設定の変更されたバージョンに署名する。いくつかの実施形態では、構成設定を変更する要求に応答して、コンピューティングデバイスは、構成設定の変更されたバージョンに含めるためのノンスを生成し、セキュア回路に、秘密鍵を使用させて、構成設定の変更されたバージョンの署名でノンスに署名させる。いくつかの実施形態において、セキュア回路から署名された構成設定を取得する前に、コンピューティングデバイスは、オペレーティングシステムをリカバリモードにブートし、リカバリモードでは、オペレーティングシステムは、サーバシステムから、サーバシステムによって署名された構成設定の初期セット（例えば、３１８における汎用署名設定）を要求し、署名された構成設定がセキュア回路から取得されるまで、オペレーティングシステムによる使用のために構成設定の初期セットを提供する。

【0040】

ここで図４Ｂを参照すると、方法４３０のフロー図が示されている。方法４３０は、コンピューティングデバイスの構成設定を安全に検証するための方法の一実施形態であり、外部ＣＡ２０などの認証局を実装するサーバシステムによって実行される。

【0041】

方法４３０は、ステップ４３５において、サーバシステムが、コンピューティングデバイスのセキュア回路によって生成された公開鍵ペアに対する証明書署名要求（例えば、ＣＳＲ１３６）を受信することから始まる。いくつかの実施形態では、サーバシステムは、証明書署名要求の署名（例えば、署名２２４）を検証し、署名は、コンピューティングデバイス内の特定のハードウェアの存在を識別するために製造時に埋め込まれたハードウェア識別子（例えば、ハードウェア鍵２１４）を使用して生成される。様々な実施形態において、証明書を発行する前に、サーバシステムは、コンピューティングデバイスから受信したユーザ資格情報（例えば、３２０における所有者資格情報）を検証し、コンピューティングデバイスの所有者がコンピューティングデバイスの無効化を要求していないことを確認する。いくつかの実施形態では、検証及び確認に基づいて、サーバシステムは、コンピューティングデバイスが公開鍵ペアの証明を要求する権限を与えられていることを示す認証（例えば、３２４における登録認証）を提供し、認証が証明書署名要求と共に提供されていることを検証する。

【0042】

ステップ４４０において、サーバは、公開鍵ペアに対する証明書（例えば、証明書１２８）を発行する。様々な実施形態において、発行することは、コンピューティングデバイスのブートローダ（例えば、ブートローダ１２４）によって信頼される秘密鍵で証明書に署名することを含み、ブートローダは、セキュア回路によって生成される公開鍵ペアの秘密鍵（例えば、認証された署名鍵１３４）によって署名されるオペレーティングシステム（例えば、ＯＳ１２２）のための構成設定（例えば、構成設定１２６）を検証するためにブートシーケンス中に証明書を使用するように実行可能である。いくつかの実施形態では、構成設定が署名される前に、サーバシステムは、署名された構成設定がセキュア回路から取得されるまで、オペレーティングシステムによる使用のために構成設定の初期セット（例えば、３１８における汎用署名設定）を提供する。

【0043】

ここで図４Ｃを参照すると、方法４６０のフロー図が示されている。方法４６０は、コンピューティングデバイス１００などのコンピューティングデバイスの構成設定を安全に検証するための方法の別の実施形態である。

【0044】

方法４６０は、ステップ４６５において、コンピューティングデバイスのオペレーティングシステム（例えば、ＯＳ１２２）のための構成設定（例えば、設定１２６）に署名するために秘密鍵（例えば、認証された署名鍵１３４）を使用する要求をコンピューティングデバイスのセキュア回路（例えば、ＳＥＰ１３０）に送信することから始まる。いくつかの実施形態では、ユーザのパスコード（例えば、パスコード２０４）がセキュア回路に提供されて、構成設定に署名するための秘密鍵へのアクセスを取得する。いくつかの実施形態では、ノンスは、セキュア回路によって署名された構成設定に含めるために生成される。いくつかの実施形態では、構成設定は、コンピューティングデバイスによって実装される１つ以上のセキュリティシステムを制御する。

【0045】

ステップ４７０において、ブートローダ（例えば、ブートローダ１２４）は、オペレーティングシステムをロードするためのブートシーケンスを開始する。いくつかの実施形態では、ブートローダは、オペレーティングシステムをリカバリモードにブートし、リカバリモードでは、オペレーティングシステムは、サーバシステムから、サーバシステムによって署名された構成設定の初期セットを要求し、署名された構成設定がセキュア回路から取得されるまで、構成設定の初期セットが使用される。

【0046】

ステップ４７５において、ブートローダは、署名された構成設定と、秘密鍵を含む公開鍵ペアに対して発行された証明書（例えば、証明書１２８）とを読み取る。

【0047】

ステップ４８０で、ブートローダは、証明書に含まれる公開鍵を使用して、署名された構成設定を検証する。いくつかの実施形態では、ブートローダは、署名された構成設定を検証するときに、ノンスの包含を検証する。

【0048】

次に図５を参照すると、ＳＥＰ１３０のブロック図が示されている。図示の実施形態では、ＳＥＰ１３０は、相互接続５８０を介して互いに結合されたフィルタ５１０、セキュアメールボックス機構５２０、プロセッサ５３０、セキュアＲＯＭ５４０、暗号エンジン１３２、鍵ストレージ５６０、及びバイオセンサパイプライン５７０を含む。いくつかの実施形態において、ＳＥＰ１３０は、図５に示したよりも多くの（又は少ない）コンポーネントを含んでもよい。上述したように、ＳＥＰ１３０は、耐タンパ性を有するセキュア回路である。以下で説明するように、ＳＥＰ１３０は、フィルタ５１０及びセキュアメールボックス５２０を使用することによって、耐タンパ性を実装する。

【0049】

フィルタ５１０は、ＳＥＰ１３０へのアクセスを厳密に制御して、コンピューティングデバイス１００の残りの部分からのＳＥＰ１３０の分離を高め、したがって、デバイス１００の全体的なセキュリティを高めるように構成された回路である。より詳細には、一実施形態では、フィルタ５１０は、ＣＰＵ１１０（又は相互接続１４０に結合された他の周辺機器）からの読み取り／書き込み動作がセキュアメールボックス５２０をアドレス指定する場合にのみ、その動作がＳＥＰ１３０に入ることを許可することができる。他の動作は、相互接続１４０からＳＥＰ１３０に進行しなくてもよい。更に詳細には、フィルタ５１０は、セキュアメールボックス５２０のインボックス部分に割り当てられたアドレスへの書き込み動作、及びセキュアメールボックス５２０のアウトボックス部分に割り当てられたアドレスへの読み取り動作を許可することができる。他の全ての読み取り／書き込み動作は、フィルタ５１０によって防止／フィルタリングされ得る。いくつかの実施形態では、フィルタ５１０は、エラーを有する他の読み出し／書き込み動作に応答してもよい。一実施形態では、フィルタ５１０は、書き込みデータをローカル相互接続５８０に渡すことなく、フィルタされた書き込み動作に関連する書き込みデータをシンクし得る。一実施形態では、フィルタ５１０は、フィルタリングされた読み出し動作のための読み出しデータとしてノンスデータを供給し得る。ノンスデータ（例えば、「ガーベッジデータ」）は、概して、ＳＥＰ１３０内のアドレス指定されたリソースに関連付けられていないデータであり得る。フィルタ５１０は、ノンスデータとして任意のデータ（例えば、全てゼロ、全て１、乱数発生器からのランダムデータ、読み取りデータとして応答するようにフィルタ５１０にプログラムされたデータ、読み取りトランザクションのアドレスなど）を供給することができる。

【0050】

様々な実施形態において、フィルタ５１０は、着信する読み出し／書き込み動作のみをフィルタリングしてもよい。したがって、ＳＥＰ１３０のコンポーネントは、ＮＶＭ１２０などのコンピューティングデバイス１００の他のコンポーネントへの完全なアクセスを有することができる。したがって、フィルタ５１０は、ＳＥＰ１３０によって発行された読み取り／書き込み動作に応答して提供される相互接続１４０からの応答をフィルタリングしなくてもよい。

【0051】

セキュアメールボックス５２０は、いくつかの実施形態では、インボックス及びアウトボックスを含む回路である。インボックス及びアウトボックスの両方は、データ用の先入れ先出しバッファ（ＦＩＦＯ）であってもよい。バッファは、任意のサイズ（例えば、各エントリが読み出し／書き込み動作からのデータを格納することができる任意の数のエントリ）を有してもよい。特に、インボックスは、相互接続１４０から供給される書き込み動作からの書き込みデータを記憶するように構成されてもよい。アウトボックスは、プロセッサ５３０によって供給される書き込み動作からの書き込みデータを記憶することができる。（本明細書で使用される場合、「メールボックス機構」は、１）セキュア回路のための入力を、その回路によって取り出すことができるまで、及び／又は２）セキュア回路の出力を、外部回路によって取り出すことができるまで、一時的に記憶するメモリ回路を指す。

【0052】

いくつかの実施形態では、ＣＰＵ１１０上で実行されるソフトウェアは、ＯＳ１２２によってサポートされるアプリケーションプログラミングインタフェース（ＡＰＩ）を介してＳＥＰ１３０のサービスを要求することができ、すなわち、リクエスタは、ＳＥＰ１３０のサービスを要求するＡＰＩコールを行うことができる。これらの呼び出しによって、対応する要求がメールボックス機構５２０に書き込まれ、次にメールボックス５２０から取り出され、プロセッサ５３０によって分析されて、要求を処理すべきかどうかが判定され得る。したがって、このＡＰＩは、メールボックス５２０を介して、例えばパスコード２０４、鍵１３４及び２１２を含む認証された鍵ペアを生成する要求５０４、バイオメトリックデータ５０２などを送信し、メールボックス５２０を介して、署名１２７及びＣＳＲ１３６を受信するために使用され得る。このようにしてＳＥＰ１３０を分離することによって、ＳＥＰ１３０の完全性を高めることができる。

【0053】

ＳＥＰプロセッサ５３０は、コンピューティングデバイス１００内の様々なソースから受信されたコマンドを処理するように構成され、様々なセキュア周辺機器を使用してコマンドを達成することができる。次いで、プロセッサ５３０は、認証アプリケーション５４２などのＲＯＭ５４０に記憶された命令を実行して、上記で説明した署名鍵１３４を使用して動作を実行するなど、ＳＥＰの暗号サービスを使用するためにユーザの認証を実行することができる。例えば、ＳＥＰプロセッサ５３０は、アプリケーション５４２を実行して、デバイス１００のバイオセンサによって収集されたバイオメトリックデータ５０２を検証するために、バイオセンサセンサパイプライン５７０に適切なコマンドを提供することができる。いくつかの実施形態では、ＳＥＰプロセッサ５３０によって実行されるプログラム命令は、それらの完全性を保証するために、信頼できる機関（例えば、デバイス１０の製造業者）によって署名される。

【0054】

セキュアＲＯＭ５４０は、ＳＥＰ１３０をブートするためのプログラム命令を記憶するように構成されたメモリである。いくつかの実施形態では、ＲＯＭ５４０は、ローカル相互接続５８０上のセキュアＲＯＭ５４０に割り当てられた特定のアドレス範囲のみに応答し得る。アドレス範囲はハードワイヤードであってもよく、プロセッサ５３０は、セキュアＲＯＭ５４０からブートするために、ブート時にアドレス範囲からフェッチするようにハードワイヤードであってもよい。フィルタ５１０は、（上述したように）セキュアＲＯＭ５４０に割り当てられたアドレス範囲内のアドレスをフィルタリングし、ＳＥＰ１３０の外部のコンポーネントからセキュアＲＯＭ５４０へのアクセスを防止することができる。いくつかの実施形態では、セキュアＲＯＭ５４０は、使用中にＳＥＰプロセッサ５３０によって実行される他のソフトウェアを含むことができる。このソフトウェアは、インボックスメッセージを処理し、アウトボックスメッセージを生成するなどのプログラム命令を含むことができる。

【0055】

暗号エンジン１３２は、鍵ストレージ５６０内の鍵を使用して、鍵生成並びに暗号化及び復号を含む、ＳＥＰ１３０のための暗号動作を実行するように構成された回路である。暗号エンジン１３２は、データ暗号化規格（Data Encryption Standard、ＤＥＳ）、先進暗号化規格（Advanced Encryption Standard、ＡＥＳ）、Ｒｉｖｅｓｔ Ｓｈａｍｉｒ Ａｄｌｅｍａｎ（ＲＳＡ）等の任意の適切な暗号化アルゴリズムを実装することができる。いくつかの実施形態において、エンジン１３２は更に、楕円曲線暗号（elliptic curve cryptography、ＥＣＣ）を実装することができる。上述したように、様々な実施形態において、エンジン１３２は、署名１２７を生成するために使用される署名鍵１３４を生成する役割を果たす。

【0056】

鍵ストレージ５６０は、署名鍵１３４、ハードウェア鍵２１４、及び／又は公開鍵２１２などの暗号鍵を記憶するように構成されたローカルメモリ（すなわち、内部メモリ）である。いくつかの実施形態では、これらの鍵は、ＳＥＰ１３０と、ＮＶＭ１２０のＮＶＭコントローラ及びバイオセンサなどの他の要素との間にセキュアチャネルを確立するために使用される鍵を含むことができる。鍵ストレージ５６０は、図７に関して以下に列挙される揮発性又は不揮発性メモリの様々な例など、任意のタイプのメモリを含み得る。いくつかの実施形態では、ストレージ５６０は、上述したＵＩＤ２０２などの鍵を記録するために、ＳＥＰ１３０（又はより一般的にはデバイス１００）の製造中に焼かれるヒューズのセットを含むこともできる。

【0057】

バイオセンサセンサパイプライン５７０は、一実施形態では、認証されているユーザからバイオセンサによって取り込まれたバイオメトリックデータ５０２を、許可されたユーザのバイオメトリックデータ５７２と比較するように構成された回路である。（別の実施形態では、データ５０２及び５２７は、認証アプリケーション５４２等のソフトウェアによって比較されてもよい。）バイオメトリックデータは、ユーザの身体的又は行動的特徴に基づいて、他の人間の中からユーザを一意に（少なくとも高精度に）識別するデータであり得る。データ５０２がユーザの顔から収集されるいくつかの実施形態では、パイプライン５７０は、パイプライン５７０に含まれるニューラルネットワークの集合を使用して比較を実行することができ、各ネットワークは、単一のフレームにおいてキャプチャされたバイオメトリックデータ５０２を、許可されたユーザのための複数のフレームにおいてキャプチャされたバイオメトリックデータ５７２と比較するように構成される。図示されるように、パイプライン５７０は、ＮＶＭ１２０からバイオメトリックデータ５７２を読み出すように構成されてもよく、バイオメトリックデータは、いくつかの実施形態では暗号化によって保護されてもよく、及び／又はＳＥＰ１３０にのみアクセス可能なＮＶＭ１２０の関連部分に記憶されてもよい。（別の実施形態では、ＳＥＰ１３０はデータ５７２を内部に記憶することができる。）バイオメトリックデータ５０２及び５７２の比較に基づいて、ＳＥＰ１３０は、認証が成功したか失敗したかを示す認証結果を提供することができる。そのような認証結果は、例えば、署名鍵１３４の使用を許可するために使用され得る。

【0058】

例示的なコンピュータシステム
ここで図６を参照すると、コンピューティングデバイス１００の機能を実装し得るコンピューティングデバイス６００の例示的な実施形態を示すブロック図が示されている。デバイス６００は、サーバシステム、パーソナルコンピュータシステム、デスクトップコンピュータ、ラップトップ又はノートブックコンピュータ、メインフレームコンピュータシステム、タブレットコンピュータ、ハンドヘルドコンピュータ、ワークステーション、ネットワークコンピュータ、携帯電話、音楽プレイヤ、携帯情報端末（ＰＤＡ）、ウェアラブルデバイス、モノのインターネット（ＩｏＴ）デバイスなどの任意の適切なコンピューティングデバイスに対応し得る。図示の実施形態では、デバイス６００は、ファブリック６１０、プロセッサコンプレックス６２０、グラフィックスユニット６３０、ディスプレイユニット６４０、キャッシュ／メモリコントローラ６５０、入出力（Ｉ／Ｏ）ブリッジ６６０を含む。いくつかの実施形態では、デバイス６００の要素は、システムオンチップ（ＳＯＣ）内に含まれてもよい。

【0059】

ファブリック６１０は、様々な相互接続、バス、ＭＵＸ、コントローラなどを含んでもよく、デバイス６００の様々な要素間の通信を容易にするように構成されてもよい。いくつかの実施形態では、ファブリック６１０の部分は、様々な異なる通信プロトコルを実装するように構成されてもよい。他の実施形態では、ファブリック６１０は単一の通信プロトコルを実装してもよく、ファブリック６１０に結合される要素は単一の通信プロトコルからその他の通信プロトコルに内部で変換してもよい。本明細書で使用するとき、用語「連結された」は、要素間の１つ以上の接続を示すことができ、連結は介在要素を含んでもよい。例えば、図６では、グラフィックスユニット６３０は、ファブリック６１０及びキャッシュ／メモリコントローラ６５０を介してメモリに「連結されている」と記載されてもよい。対照的に、図６の図示する実施形態では、介在要素が存在しないため、グラフィックスユニット６３０はファブリック６１０に「直接結合されている」。いくつかの実施形態では、ファブリック６１０は相互接続１４０に対応する。

【0060】

図示する実施形態では、プロセッサコンプレックス６２０は、バスインタフェースユニット（ＢＩＵ）６２２、キャッシュ６２４、並びにコア６２６Ａ及びコア６２６Ｂを含む。様々な実施形態では、プロセッサコンプレックス６２０は、様々な数のプロセッサ、プロセッサコア及び／又はキャッシュを含んでもよい。例えば、プロセッサコンプレックス６２０は、１、２又は４個のプロセッサコア、又は任意の他の好適な数を含んでもよい。一実施形態では、キャッシュ６２４は、セットアソシエイティブＬ２キャッシュである。いくつかの実施形態では、コア６２６Ａ及び／又は６２６Ｂは、内部命令及び／又はデータキャッシュを含み得る。いくつかの実施形態では、ファブリック６１０、キャッシュ６２４、又はデバイス６００内の他の場所のコヒーレンシユニット（図示せず）は、デバイス６００の様々なキャッシュ間のコヒーレンシを維持するように構成されてもよい。ＢＩＵ６２２は、プロセッサコンプレックス６２０とデバイス６００の他の要素との間の通信を管理するように構成されてもよい。コア６２６などのプロセッサコアは、ＯＳ１２２、ブートローダ１２４、ユーザアプリケーションなどの命令を含み得る特定の命令セットアーキテクチャ（ＩＳＡ）の命令を実行するように構成されてもよい。これらの命令は、以下で説明するメモリコントローラ６５０に結合されたメモリなどのコンピュータ可読媒体に記憶されてもよい。いくつかの実施形態では、ＣＰＵ１１０はコンプレックス６２０に対応する。

【0061】

グラフィックスユニット６３０は、１つ以上のプロセッサ及び／又は１つ以上のグラフィックスプロセッシングユニット（ＧＰＵ）を含んでもよい。グラフィックスユニット６３０は、例えば、ＯＰＥＮＧＬ（登録商標）、Ｍｅｔａｌ、又はＤＩＲＥＣＴ３Ｄ（登録商標）命令などの、グラフィックス指向の命令を受信することができる。グラフィックスユニット６３０は、特化したＧＰＵ命令を実行してもよいし、受信したグラフィックス指向の命令に基づいて他の動作を実行してもよい。グラフィックスユニット６３０は一般的に、大ブロックのデータを並行して処理するように構成されてもよく、ディスプレイに出力するためにフレームバッファに画像を構築してもよい。グラフィックスユニット６３０は、１つ以上のグラフィックス処理パイプラインに変換、照明、三角形、及び／又はレンダリングのエンジンを含んでもよい。グラフィックスユニット６３０は、表示画像のための画素情報を出力することができる。

【0062】

ディスプレイユニット６４０は、フレームバッファからデータを読み取り、表示のための画素値のストリームを提供するように構成されてもよい。ディスプレイユニット６４０は、いくつかの実施形態では、ディスプレイパイプラインとして構成することができる。加えて、ディスプレイユニット６４０は、出力フレームを生成するように複数のフレームをブレンドするように構成されてもよい。更に、ディスプレイユニット６４０は、ユーザディスプレイ（例えば、タッチスクリーン又は外部ディスプレイ）に結合するための１つ以上のインタフェース（例えば、ＭＩＰＩ（登録商標）又は埋込みディスプレイポート（ｅＤＰ））を含んでもよい。

【0063】

キャッシュ／メモリコントローラ６５０は、ファブリック６１０と１つ以上のキャッシュ及び／又はメモリとの間のデータの転送を管理するように構成されてもよい。例えば、キャッシュ／メモリコントローラ６５０は、Ｌ３キャッシュに結合されてもよく、これは次にシステムメモリに結合されてもよい。他の実施形態では、キャッシュ／メモリコントローラ６５０は、メモリに直接結合されてもよい。いくつかの実施形態では、キャッシュ／メモリコントローラ６５０は、１つ以上の内部キャッシュを含み得る。コントローラに結合されたメモリ６５０は、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、シンクロナスＤＲＡＭ（ＳＤＲＡＭ）、ダブルデータレート（ＤＤＲ、ＤＤＲ２、ＤＤＲ３等）ＳＤＲＡＭ（ｍＤＤＲ３などのモバイルバージョンのＳＤＲＡＭ、及び／又はＬＰＤＤＲ４などの低電力バージョンのＳＤＲＡＭを含む）、ＲＡＭＢＵＳ ＤＲＡＭ（ＲＤＲＡＭ）、スタティックＲＡＭ（ＳＲＡＭ）などの、任意の種類の揮発性メモリであってもよい。シングルインラインメモリモジュール（ＳＩＭＭ）、デュアルインラインメモリモジュール（ＤＩＭＭ）などのメモリモジュールを形成するために、１つ以上のメモリデバイスが回路基板に接続されていてもよい。代替として、デバイスは、集積回路と共に、チップオンチップ構成、パッケージオンパッケージ構成、又はマルチチップモジュール構成で搭載されていてもよい。コントローラ６５０に結合されたメモリは、ＮＡＮＤフラッシュメモリ、ＮＯＲフラッシュメモリ、ナノＲＡＭ（ＮＲＡＭ）、磁気抵抗ＲＡＭ（ＭＲＡＭ）、相変化ＲＡＭ（ＰＲＡＭ）、レーストラックメモリ、メモリスタメモリなどなどの任意のタイプの不揮発性メモリであってもよい。上述のように、このメモリは、デバイス６００に本明細書に記載の機能を実行させるためにプロセッサコンプレックス６２０によって実行可能なプログラム命令を記憶してもよい。

【0064】

Ｉ／Ｏブリッジ６６０は、例えば、ユニバーサルシリアルバス（ＵＳＢ）通信、セキュリティ、オーディオ、及び／又は低電力常時オン機能を実装するように構成された様々な要素を含み得る。Ｉ／Ｏブリッジ６６０はまた、例えば、パルス幅変調（ＰＷＭ）、汎用入出力（ＧＰＩＯ）、シリアル周辺インタフェース（ＳＰＩ）、及び／又はインターインテグレーテッドサーキット（Ｉ２Ｃ）などのインタフェースを含んでもよい。様々な種類の周辺機器及びデバイスは、Ｉ／Ｏブリッジ６６０を介してデバイス６００に連結されてもよい。例えば、これらのデバイスは、様々なタイプのワイヤレス通信（例えば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、セルラー、全地球測位システムなど）、追加のストレージ（例えば、ＲＡＭストレージ、ソリッドステートストレージ、又はディスクストレージ）、ユーザインタフェースデバイス（例えば、キーボード、マイクロフォン、スピーカなど）などを含み得る。

【0065】

特定の実施形態が上記に記載されているが、これらの実施形態により本開示の範囲を限定する意図はなく、これは特定の特徴に対して単一の実施形態のみが記載されている場合でも同様である。本開示で提供されている特徴の実施例は、別途記載がない限り、例示的な性質のものであって、限定的な目的を意図していない。上記の記載は、本開示による恩恵を受ける当業者には明らかであるような代替物、改変、及び均等物を網羅することが意図されている。

【0066】

本開示の範囲は、本開示において取り組まれている問題の一部又は全てを軽減するか否かを問わず、本開示において（明示的又は暗黙的に）開示されている全ての特徴若しくはそれら特徴の組み合わせ、又はそれらの一般化を含む。したがって、このような特徴の組み合わせのいずれに対しても、本願（又は、本願に対する優先権を主張する出願）の審査手続き中に、新しい特許請求を策定し得る。特に、特許請求の範囲に関しては、従属クレームの特徴は独立クレームの特徴と組み合わされる場合があり、それぞれの独立クレームの特徴は、任意の適切な方法で、かつ、単に添付の特許請求の範囲で列挙されている特定の組み合わせではない形で組み合わされる場合がある。

【図1】

【図2】

【図3】

【図4A】

【図4B】

【図4C】

【図5】

【図6】