知財求人 - 知財ポータルサイト「IP Force」
特許7558460プログラム処理装置、プログラム処理方法、およびプログラム処理プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-09-19
(45)【発行日】2024-09-30
(54)【発明の名称】プログラム処理装置、プログラム処理方法、およびプログラム処理プログラム
(51)【国際特許分類】
G06F 12/14 20060101AFI20240920BHJP
【ＦＩ】
G06F12/14 510D
【請求項の数】
9
(21)【出願番号】P 2024534203
(86)(22)【出願日】2022-09-15
(86)【国際出願番号】 JP2022034643
(87)【国際公開番号】W WO2024057507
(87)【国際公開日】2024-03-21
【審査請求日】2024-06-07
【早期審査対象出願】
(73)【特許権者】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(74)【代理人】
【識別番号】110002491
【氏名又は名称】弁理士法人クロスボーダー特許事務所
(72)【発明者】
【氏名】梨本 翔永
【審査官】松平 英
(56)【参考文献】
【文献】特開２０１６－６６８６０（ＪＰ，Ａ）
【文献】特開２０１１－８７７８（ＪＰ，Ａ）
【文献】特開２００３－１５０４５０（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ１２／１４
２１／００－２１／８８
Ｇ０９Ｃ １／００－５／００
Ｈ０４Ｋ １／００－３／００
Ｈ０４Ｌ ９／００－９／４０
(57)【特許請求の範囲】
【請求項1】
プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスとを指定する設定データをもとにアドレスマスクテーブルを生成するアドレスマスクテーブル生成部と、プログラムにコンテキストスイッチを行う関数であるコールラッパーを付与し、プログラムからコンテキストスイッチを行う遷移処理を特定し、前記遷移処理を前記コールラッパーが展開される物理アドレスを指定してジャンプする処理に置換する対策適用部と、
対策を適用したプログラムを実行する中で、前記アドレスマスクテーブルを参照してメモリを確保して論理アドレス割り当てを行い、前記遷移処理においてジャンプアドレスをそのまま取得する代わりに、前記アドレスマスクテーブルを参照して取得したジャンプアドレスを、設定された分離設定をもとにアンマスクしたものを使用するように変更する実行部と
を備えたプログラム処理装置。
【請求項2】
前記アドレスマスクテーブル生成部は、前記設定データにおいて、プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスにバリエーションを持たせて、複数の組み合わせで前記アドレスマスクテーブルを生成する請求項１に記載のプログラム処理装置。
【請求項3】
前記対策適用部は、プログラムの実行前に前記コールラッパーを静的に付与する代わりに、前記コールラッパーのリンク処理を追加し、前記実行部は、プログラムの実行時には動的な前記リンク処理を実行することにより前記コールラッパーをリンクする請求項１または請求項２に記載のプログラム処理装置。
【請求項4】
前記アドレスマスクテーブル生成部は、前記アドレスマスクテーブルをハッシュテーブルとして生成する請求項１または請求項２に記載のプログラム処理装置。
【請求項5】
プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスを指定する設定データをもとにアドレスマスクテーブルを生成するアドレスマスクテーブル生成部と、プログラムに、コンテキストスイッチを行う関数であるコールラッパーを付与し、プログラムからコンテキストスイッチを行う遷移処理を特定し、前記遷移処理を前記コールラッパーが展開される物理アドレスを指定してジャンプする処理に置換し、前記アドレスマスクテーブルにしたがって論理アドレスおよび物理アドレスを指定してメモリ確保して論理アドレス割り当てを行うプログラム対策適用部と、
セキュリティモニタのコンテキストスイッチを特定し、特定されたコンテキストスイッチの前に存在するジャンプアドレス取得処理を、前記アドレスマスクテーブルを参照してマスクされたジャンプアドレスをマスクジャンプアドレスとして取得し、取得したマスクジャンプアドレスを、設定された分離設定をもとにアンマスク処理してジャンプアドレスを計算する処理に変更するセキュリティモニタ対策適用部と
を備えたプログラム処理装置。
【請求項6】
コンピュータが、プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスとを指定する設定データをもとにアドレスマスクテーブルを生成し、コンピュータが、プログラムにコンテキストスイッチを行う関数であるコールラッパーを付与し、プログラムからコンテキストスイッチを行う遷移処理を特定し、前記遷移処理を前記コールラッパーが展開される物理アドレスを指定してジャンプする処理に置換し、
コンピュータが、対策を適用したプログラムを実行する中で、前記アドレスマスクテーブルを参照してメモリを確保して論理アドレス割り当てを行い、前記遷移処理においてジャンプアドレスをそのまま取得する代わりに、前記アドレスマスクテーブルを参照して取得したジャンプアドレスを、設定された分離設定をもとにアンマスクしたものを使用するように変更するプログラム処理方法。
【請求項7】
プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスとを指定する設定データをもとにアドレスマスクテーブルを生成するアドレスマスクテーブル生成処理と、プログラムにコンテキストスイッチを行う関数であるコールラッパーを付与し、プログラムからコンテキストスイッチを行う遷移処理を特定し、前記遷移処理を前記コールラッパーが展開される物理アドレスを指定してジャンプする処理に置換する対策適用処理と、
対策を適用したプログラムを実行する中で、前記アドレスマスクテーブルを参照してメモリを確保して論理アドレス割り当てを行い、前記遷移処理においてジャンプアドレスをそのまま取得する代わりに、前記アドレスマスクテーブルを参照して取得したジャンプアドレスを、設定された分離設定をもとにアンマスクしたものを使用するように変更する実行処理と
をコンピュータに実行させるプログラム処理プログラム。
【請求項8】
コンピュータが、プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスを指定する設定データをもとにアドレスマスクテーブルを生成し、コンピュータが、プログラムに、コンテキストスイッチを行う関数であるコールラッパーを付与し、プログラムからコンテキストスイッチを行う遷移処理を特定し、前記遷移処理を前記コールラッパーが展開される物理アドレスを指定してジャンプする処理に置換し、前記アドレスマスクテーブルにしたがって論理アドレスおよび物理アドレスを指定してメモリ確保して論理アドレス割り当てを行い、
コンピュータが、セキュリティモニタのコンテキストスイッチを特定し、特定されたコンテキストスイッチの前に存在するジャンプアドレス取得処理を、前記アドレスマスクテーブルを参照してマスクされたジャンプアドレスをマスクジャンプアドレスとして取得し、取得したマスクジャンプアドレスを、設定された分離設定をもとにアンマスク処理してジャンプアドレスを計算する処理に変更するプログラム処理方法。
【請求項9】
プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスを指定する設定データをもとにアドレスマスクテーブルを生成するアドレスマスクテーブル生成処理と、プログラムに、コンテキストスイッチを行う関数であるコールラッパーを付与し、プログラムからコンテキストスイッチを行う遷移処理を特定し、前記遷移処理を前記コールラッパーが展開される物理アドレスを指定してジャンプする処理に置換し、前記アドレスマスクテーブルにしたがって論理アドレスおよび物理アドレスを指定してメモリ確保して論理アドレス割り当てを行うプログラム対策適用処理と、
セキュリティモニタのコンテキストスイッチを特定し、特定されたコンテキストスイッチの前に存在するジャンプアドレス取得処理を、前記アドレスマスクテーブルを参照してマスクされたジャンプアドレスをマスクジャンプアドレスとして取得し、取得したマスクジャンプアドレスを、設定された分離設定をもとにアンマスク処理してジャンプアドレスを計算する処理に変更するセキュリティモニタ対策適用処理と
をコンピュータに実行させるプログラム処理プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、プログラム処理装置、プログラム処理方法、およびプログラム処理プログラムに関する。
【背景技術】
【0002】
ＴＥＥは、プロセッサの有するメモリ保護機構を使用してアプリケーション間のアクセス制御を行うセキュアな実行環境である。ＴＥＥは、Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔの略語である。例えば、セキュリティにクリティカルなアプリケーションをＴＥＥ上で実行することで、ライブラリまたはアプリケーションに脆弱性が見つかったとしても、その脆弱性の影響がセキュリティにクリティカルなアプリケーションに伝搬することを防ぐことができる。
【0003】
ＴＥＥはソフトウェアによる攻撃を防ぐ仕組みである。一方、組込み機器のように物理アクセスが可能な機器でのＴＥＥ環境については、フォールト攻撃と呼ばれる物理攻撃の危険性が指摘されている。フォールト攻撃とは、プロセッサに対して能動的に作用し、命令スキップあるいはデータ誤りを生じさせ、一時的な計算あるいはデータの誤りを誘発する攻撃である。非特許文献１では、故障注入攻撃と呼ばれる物理的な攻撃方法によりメモリ保護機構のアクセス権限の設定を無効化し、本来は許可されないメモリアクセスが可能になることが示されている。
【先行技術文献】
【非特許文献】
【0004】
【文献】Ｎａｓｈｉｍｏｔｏ， Ｓｈｏｅｉ， ｅｔ ａｌ． “Ｂｙｐａｓｓｉｎｇ Ｉｓｏｌａｔｅｄ Ｅｘｅｃｕｔｉｏｎ ｏｎ ＲＩＳＣ－Ｖ ｕｓｉｎｇ Ｓｉｄｅ―Ｃｈａｎｎｅｌ―Ａｓｓｉｓｔｅｄ Ｆａｕｌｔ―Ｉｎｊｅｃｔｉｏｎ ａｎｄ Ｉｔｓ Ｃｏｕｎｔｅｒｍｅａｓｕｒｅ．” ＩＡＣＲ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｈａｒｄｗａｒｅ ａｎｄ Ｅｍｂｅｄｄｅｄ Ｓｙｓｔｅｍｓ （２０２２）： ２８―６８．
【発明の概要】
【発明が解決しようとする課題】
【0005】
例えば、ＴＥＥへの物理攻撃を防ぐために、エントリーポイントを保護対象の値、すなわちアクセス権限の設定値でマスクしておき、実行時にアンマスクして元のエントリーポイントを計算する方式がある。
【0006】
しかし、保護対象となるプログラムを動的にロードしマップするＯＳの場合、分離設定が実行の度に動的に変化するため、エントリーポイントのマスキングは利用できない。ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略語である。保護対象となるプログラムを動的にロードしマップするＯＳとは、プログラムをメモリへ読み込み、物理メモリを確保して論理アドレスを割り当てることでプログラムを実行できるようにするＯＳのことである。
【0007】
本開示では、プログラムへの遷移を予め期待される分離設定の値でマスクされたジャンプアドレスをもとに計算することにより、許可されないメモリアクセスを防止することを目的とする。
【課題を解決するための手段】
【0008】
本開示に係るプログラム処理装置は、
プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスとを指定する設定データと、
コンテキストスイッチを行う関数であるコールラッパーと、
前記設定データをもとにアドレスマスクテーブルを生成するアドレスマスクテーブル生成部と、
プログラムに前記コールラッパーを付与し、プログラムからコンテキストスイッチを行う遷移処理を特定し、前記遷移処理を前記コールラッパーが展開される物理アドレスを指定してジャンプする処理に置換する対策適用部と、
対策を適用したプログラムを実行する中で、前記アドレスマスクテーブルを参照してメモリを確保して論理アドレス割り当てを行い、前記遷移処理においてジャンプアドレスをそのまま取得する代わりに、前記アドレスマスクテーブルを参照して取得したジャンプアドレスを、設定された分離設定をもとにアンマスクしたものを使用するように変更する実行部とを備えた。
プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスとを指定する設定データと、
コンテキストスイッチを行う関数であるコールラッパーと、
前記設定データをもとにアドレスマスクテーブルを生成するアドレスマスクテーブル生成部と、
プログラムに前記コールラッパーを付与し、プログラムからコンテキストスイッチを行う遷移処理を特定し、前記遷移処理を前記コールラッパーが展開される物理アドレスを指定してジャンプする処理に置換する対策適用部と、
対策を適用したプログラムを実行する中で、前記アドレスマスクテーブルを参照してメモリを確保して論理アドレス割り当てを行い、前記遷移処理においてジャンプアドレスをそのまま取得する代わりに、前記アドレスマスクテーブルを参照して取得したジャンプアドレスを、設定された分離設定をもとにアンマスクしたものを使用するように変更する実行部とを備えた。
【発明の効果】
【0009】
本開示では、保護対象となるプログラムを動的にロードしマップするＯＳ環境であっても、アドレスマスクテーブルを使用してプログラムをロードしマップすることで、分離設定とエントリーポイントおよびジャンプアドレスとを固定することができる。本開示では、プログラムへの遷移は予め期待される分離設定の値でマスクされたジャンプアドレスをもとに計算されるため、攻撃などにより分離設定が予期せぬ値になっている場合には正しく遷移が実行されず、攻撃は成立しない。よって、本開示に係るプログラム処理装置によれば、許可されないメモリアクセスを防止することができるという効果を奏する。
【図面の簡単な説明】
【0010】
【図1】実施の形態１に係るプログラム処理装置の構成例を示す図。
【図2】実施の形態１に係るアドレスマスクテーブルの構成例を示す図。
【図3】実施の形態１に係るプログラム処理装置の動作を示すフロー図。
【図4】実施の形態１に係るアドレスマスクテーブル生成部の動作を示すフロー図。
【図5】実施の形態１に係るアクセス制御を実現するための分離設定の例を示す図。
【図6】実施の形態１に係る対策適用部の動作を示すフロー図。
【図7】実施の形態１に係る実行部の動作を示すフロー図。
【図8】実施の形態１に係る分離設定の変更からジャンプアドレスアンマスク処理の実行を示す図。
【図9】実施の形態２に係るプログラム処理装置１００の構成例を示す図。
【図10】実施の形態２に係るプログラム処理装置１００の動作を示すフロー図。
【図11】実施の形態２に係るアドレスマスクテーブル生成部の動作を示すフロー図。
【図12】実施の形態２に係るプログラム対策適用部の動作を示すフロー図。
【図13】実施の形態２に係るセキュリティモニタ対策適用部の動作を示すフロー図。
【発明を実施するための形態】
【0011】
以下、本実施の形態について、図を用いて説明する。各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。図中の矢印はデータの流れまたは処理の流れを主に示している。
【0012】
実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係るプログラム処理装置１００の構成例を示す図である。
プログラム処理装置１００は、プロセッサ１０１と、主記憶メモリ１０２と、記憶装置１０３と、入出力インタフェース１０４と、ストレージ１０５とを備えるコンピュータである。これらのハードウェアは信号線を介して互いに接続されてる。
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係るプログラム処理装置１００の構成例を示す図である。
プログラム処理装置１００は、プロセッサ１０１と、主記憶メモリ１０２と、記憶装置１０３と、入出力インタフェース１０４と、ストレージ１０５とを備えるコンピュータである。これらのハードウェアは信号線を介して互いに接続されてる。
【0013】
プロセッサ１０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。
プロセッサ１０１は、演算レジスタを有し、演算レジスタに命令とデータとをロードして命令に従ったデータ処理を実行する。
例えば、プロセッサ１０１は、ＣＰＵあるいはＦＰＧＡである。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
ＦＰＧＡは、Ｆｉｅｌｄ Ｐｒｏｇｒａｍａｂｌｅ Ｇａｔｅｄ Ａｒｒａｙの略称である。
プロセッサ１０１は、プロセッシングサーキットリとも呼ばれる。つまり、プログラム処理装置１００の機能は、プロセッシングサーキットリにより実現される。
プロセッサ１０１は、演算レジスタを有し、演算レジスタに命令とデータとをロードして命令に従ったデータ処理を実行する。
例えば、プロセッサ１０１は、ＣＰＵあるいはＦＰＧＡである。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
ＦＰＧＡは、Ｆｉｅｌｄ Ｐｒｏｇｒａｍａｂｌｅ Ｇａｔｅｄ Ａｒｒａｙの略称である。
プロセッサ１０１は、プロセッシングサーキットリとも呼ばれる。つまり、プログラム処理装置１００の機能は、プロセッシングサーキットリにより実現される。
【0014】
主記憶メモリ１０２は、揮発性の記憶装置と不揮発性の記憶装置との少なくともいずれかである。揮発性の記憶装置の具体例は、ＲＡＭである。不揮発性の記憶装置の具体例は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。
ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。
ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。
以下、アドレスとは、主記憶メモリ１０２のメモリアドレスをいう。
ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。
ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。
以下、アドレスとは、主記憶メモリ１０２のメモリアドレスをいう。
【0015】
記憶装置１０３は、データを保管する不揮発性の記憶装置である。不揮発性の記憶装置の具体例は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。
【0016】
入出力インタフェース１０４は、入出力のためのインタフェースである。例えば、入出力インタフェース１０４は、シリアル通信インタフェースあるいはデバッグインタフェースである。シリアル通信インタフェースの具体例は、ＳＰＩ、ＵＡＲＴまたはＩ２Ｃである。デバッグインタフェースの具体例は、ＪＴＡＧまたはＪＷＤである。
ＳＰＩは、Ｓｅｒｉａｌ Ｐｅｒｉｐｈｅｒａｌ Ｉｎｔｅｒｆａｃｅの略称である。
ＵＡＲＴは、Ｕｎｉｖｅｒｓａｌ Ａｓｙｎｃｈｒｏｎｏｕｓ Ｒｅｃｅｉｖｅｒ Ｔｒａｎｓｍｉｔｔｅｒの略称である。
Ｉ２Ｃは、Ｉｎｔｅｒ－Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＪＴＡＧは、Ｊｏｉｎｔ Ｔｅｓｔ Ａｃｔｉｏｎ Ｇｒｏｕｐの略称である。
ＳＷＤは、Ｓｅｒｉａｌ Ｗｉｒｅ Ｄｅｂｕｇの略称である。
ＳＰＩは、Ｓｅｒｉａｌ Ｐｅｒｉｐｈｅｒａｌ Ｉｎｔｅｒｆａｃｅの略称である。
ＵＡＲＴは、Ｕｎｉｖｅｒｓａｌ Ａｓｙｎｃｈｒｏｎｏｕｓ Ｒｅｃｅｉｖｅｒ Ｔｒａｎｓｍｉｔｔｅｒの略称である。
Ｉ２Ｃは、Ｉｎｔｅｒ－Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＪＴＡＧは、Ｊｏｉｎｔ Ｔｅｓｔ Ａｃｔｉｏｎ Ｇｒｏｕｐの略称である。
ＳＷＤは、Ｓｅｒｉａｌ Ｗｉｒｅ Ｄｅｂｕｇの略称である。
【0017】
ストレージ１０５は、記憶装置である。
ストレージ１０５の具体例は、メモリ、または、レジスタである。
ストレージ１０５は、プロセッサ１０１によりアクセスされるデータを記憶する。
ストレージ１０５は、主記憶メモリ１０２の一部でも構わないし、記憶装置１０３の一部でも構わないし、プロセッサ１０１のレジスタでもよいし、独立した記憶デバイスでもよい。
ストレージ１０５の具体例は、メモリ、または、レジスタである。
ストレージ１０５は、プロセッサ１０１によりアクセスされるデータを記憶する。
ストレージ１０５は、主記憶メモリ１０２の一部でも構わないし、記憶装置１０３の一部でも構わないし、プロセッサ１０１のレジスタでもよいし、独立した記憶デバイスでもよい。
【0018】
プロセッサ１０１は、メモリ監視部１１０、アドレスマスクテーブル生成部１２０、対策適用部１３０、実行部１４０といった要素を備える。
メモリ監視部１１０は、プロセッサに内蔵されるメモリ監視ユニットのようなハードウェアにより実現される。例えば、メモリ監視部１１０は、ソフトウェアが扱う論理アドレスとハードウェアが扱う物理アドレスとを変換するメモリ管理ユニットあるいはプログラムの不正なメモリアクセスを防止するためのメモリ保護ユニットである。
アドレスマスクテーブル生成部１２０、対策適用部１３０、および実行部１４０とはソフトウェアで実現される。
メモリ監視部１１０は、プロセッサに内蔵されるメモリ監視ユニットのようなハードウェアにより実現される。例えば、メモリ監視部１１０は、ソフトウェアが扱う論理アドレスとハードウェアが扱う物理アドレスとを変換するメモリ管理ユニットあるいはプログラムの不正なメモリアクセスを防止するためのメモリ保護ユニットである。
アドレスマスクテーブル生成部１２０、対策適用部１３０、および実行部１４０とはソフトウェアで実現される。
【0019】
メモリ監視部１１０とアドレスマスクテーブル生成部１２０と対策適用部１３０と実行部１４０の各部の「部」を「回路」、「工程」、「手順」、「処理」、あるいは「サーキットリー」に読み替えてもよい。プログラム処理プログラムは、メモリ監視処理とアドレスマスクテーブル生成処理と対策適用処理と実行処理を、コンピュータに実行させる。メモリ監視処理とアドレスマスクテーブル生成処理と対策適用処理と実行処理の「処理」を「プログラム」、「プログラムプロダクト」、「プログラムを記憶したコンピュータ読取可能な記憶媒体」、または「プログラムを記録したコンピュータ読取可能な記録媒体」に読み替えてもよい。また、プログラム処理方法は、プログラム処理装置１００がプログラム処理プログラムを実行することにより行われる方法である。
プログラム処理プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、プログラム処理プログラムは、プログラムプロダクトとして提供されてもよい。
プログラム処理プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、プログラム処理プログラムは、プログラムプロダクトとして提供されてもよい。
【0020】
記憶装置１０３には、プロセッサ１０１によって動作するＵｎｔｒｕｓｔｅｄプログラム１５０と
単一あるいは複数のＴｒｕｓｔｅｄプログラム１５１と
アドレスマスクテーブル生成部１２０と対策適用部１３０と実行部１４０とを実行する対策プログラム１５２と
前記対策プログラム１５２が対策適用部１３０を実行することで生成された対策済みＵｎｔｒｕｓｔｅｄプログラム１５３および対策済みＴｒｕｓｔｅｄプログラム１５４と、
前記対策プログラム１５２がアドレスマスクテーブル生成部１２０を実行することで生成されたアドレスマスクテーブル１５５と
前記対策済みＵｎｔｒｕｓｔｅｄプログラム１５３および前記対策済みＴｒｕｓｔｅｄプログラム１５４を実行するために必要なメモリ監視部１１０の分離設定を変更するセキュリティモニタ１５６と
前記対策プログラム１５２がアドレスマスクテーブル生成部１２０、対策適用部１３０および実行部１４０を実行するために必要なコールラッパー１５７と
前記対策プログラム１５２がアドレスマスクテーブル生成部１２０を実行するために必要な設定データ１５８とが記憶されている。記憶装置１０３には、オペレーティングシステム、ネットワークドライバおよびストレージドライバが記憶されている。
図１に示すように、主記憶メモリ１０２には、記憶装置１０３に記憶されたソフトウェアとデータが読み込まれる。
単一あるいは複数のＴｒｕｓｔｅｄプログラム１５１と
アドレスマスクテーブル生成部１２０と対策適用部１３０と実行部１４０とを実行する対策プログラム１５２と
前記対策プログラム１５２が対策適用部１３０を実行することで生成された対策済みＵｎｔｒｕｓｔｅｄプログラム１５３および対策済みＴｒｕｓｔｅｄプログラム１５４と、
前記対策プログラム１５２がアドレスマスクテーブル生成部１２０を実行することで生成されたアドレスマスクテーブル１５５と
前記対策済みＵｎｔｒｕｓｔｅｄプログラム１５３および前記対策済みＴｒｕｓｔｅｄプログラム１５４を実行するために必要なメモリ監視部１１０の分離設定を変更するセキュリティモニタ１５６と
前記対策プログラム１５２がアドレスマスクテーブル生成部１２０、対策適用部１３０および実行部１４０を実行するために必要なコールラッパー１５７と
前記対策プログラム１５２がアドレスマスクテーブル生成部１２０を実行するために必要な設定データ１５８とが記憶されている。記憶装置１０３には、オペレーティングシステム、ネットワークドライバおよびストレージドライバが記憶されている。
図１に示すように、主記憶メモリ１０２には、記憶装置１０３に記憶されたソフトウェアとデータが読み込まれる。
【0021】
Ｕｎｔｒｕｓｔｅｄプログラム１５０は、通常のＯＳ上で実行される信頼できないプログラムである。
【0022】
Ｔｒｕｓｔｅｄプログラム１５１は、セキュアな環境（ＴＥＥ）上で実行される信頼できるプログラムである。
Ｔｒｕｓｔｅｄプログラム１５１は、保護の対象となる保護対象プログラムである。
Ｔｒｕｓｔｅｄプログラム１５１は、保護の対象となる保護対象プログラムである。
【0023】
対策済みＵｎｔｒｕｓｔｅｄプログラム１５３および対策済みＴｒｕｓｔｅｄプログラム１５４は、対策プログラム１５２によって攻撃対策を施されたプログラムである。
【0024】
セキュリティモニタ１５６は、ストレージ１０５に保存される分離設定の変更および対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４のコンテキストスイッチを主に行うプログラムである。
セキュリティモニタ１５６は、一般的に対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４およびＯＳよりも高い権限で動作するプログラムである。
セキュリティモニタ１５６は、一般的に対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４およびＯＳよりも高い権限で動作するプログラムである。
【0025】
本実施の形態のＵｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１と対策プログラム１５２と対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４とセキュリティモニタ１５６は、エグゼキュータブルな形式の実行モジュールである。
実行モジュールは、バイナリコードで記載されており、プロセッサ１０１が解釈できるマシンランゲージで記載されている。
図１は、プロセッサ１０１が、対策プログラム１５２を主記憶メモリ１０２に読み込み、実行部１４０を実行する直前の状態を示している。
実行モジュールは、バイナリコードで記載されており、プロセッサ１０１が解釈できるマシンランゲージで記載されている。
図１は、プロセッサ１０１が、対策プログラム１５２を主記憶メモリ１０２に読み込み、実行部１４０を実行する直前の状態を示している。
【0026】
対策プログラム１５２は、Ｔｒｕｓｔｅｄプログラム１５１のセキュリティを強化するプログラムである。そのためには、Ｕｎｔｒｕｓｔｅｄプログラム１５０も含めて対策を適用する。
対策プログラム１５２は、アドレスマスクテーブル生成部１２０と対策適用部１３０と実行部１４０の機能を実現するプログラムである。
対策プログラム１５２は、アドレスマスクテーブル生成部１２０と対策適用部１３０と実行部１４０の機能を実現するプログラムである。
【0027】
コールラッパー１５７は、エントリーポイントのアドレスを固定化するために付与するコンテキストスイッチを代理するラッパー（ある処理を抽象化して提供する）関数である。コールラッパー１５７は、端的には、セキュリティモニタ１５６を呼び出すための環境呼び出し例外命令を実行する。
コールラッパー１５７は、ライブラリなどの形式の実行モジュールである。
コールラッパー１５７は、ライブラリなどの形式の実行モジュールである。
【0028】
ストレージ１０５は、分離設定を記憶する。分離設定とは、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３および対策済みＴｒｕｓｔｅｄプログラム１５４とセキュリティモニタ１５６とこれらのプログラムで共有される共有メモリが使用する物理メモリに対応付けられた値である。すなわち、これらの物理アドレスを対象として、コンテキスト状態に応じてメモリ監視部１１０がメモリアクセスの監視を行うための設定値である。例えば、保護対象となる物理アドレスとその範囲とアクセス権限を有する。アクセス権限とは、あるメモリに対して実行・読込・書込を行うための権限である。
【0029】
設定データ１５８は、アドレスマスクテーブル１５５を生成するための設定値である。
具体的には、
対策済みＵｎｔｒｕｓｔｅｄプログラム１５３が実行するコールラッパー１５７をマップする論理アドレスと
対策済みＴｒｕｓｔｅｄプログラム１５４をマップする論理アドレスと
共有メモリで使用する物理アドレスと
共有メモリとして使用する可能性があるサイズのバリエーション（例えば、１２８ＭＢあるいは１ＧＢなど）とである。
具体的には、
対策済みＵｎｔｒｕｓｔｅｄプログラム１５３が実行するコールラッパー１５７をマップする論理アドレスと
対策済みＴｒｕｓｔｅｄプログラム１５４をマップする論理アドレスと
共有メモリで使用する物理アドレスと
共有メモリとして使用する可能性があるサイズのバリエーション（例えば、１２８ＭＢあるいは１ＧＢなど）とである。
【0030】
対策適用部１３０は、遷移特定部１１１と遷移処理置換部１１２と対策時リンク部１１３とを含む。これらは、対策適用部１３０を実現するための補助的な機能である。
【0031】
実行部１４０は、メモリ確保部１４１とロード部１４２とジャンプアドレスアンマスク部１４３と実行時リンク部１４４とを含む。これらは、セキュリティモニタ１５６あるいはＯＳの処理の一部を拡張して実行部１４０の機能を実現するための補助的な機能である。
【0032】
【0033】
図２では、アドレスマスクテーブル１５５と、アドレスマスクテーブル１５５を利用して対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４を実行する時の主記憶メモリ１０２の状態を表している。
【0034】
アドレスマスクテーブル１５５では、番号（ＩＤ）とサイズ（ｓｉｚｅ）を指定して、論理アドレス、物理アドレス、マスクエントリーポイント、マスクリターンアドレス、および用途とを参照することができる。論理アドレス、物理アドレス、マスクエントリーポイント、マスクリターンアドレス、および用途といった各情報をｃｏｎｔｅｎｔともいう。論理アドレスは、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３が呼び出すコールラッパー１５７をマップする論理アドレス、あるいは対策済みＴｒｕｓｔｅｄプログラム１５４をマップする論理アドレスとして使用される。物理アドレスは、共有メモリが使用するベース物理アドレス（使用する物理メモリの先頭アドレス）を表す。
【0035】
主記憶メモリ１０２には、セキュリティモニタ１５６が展開済みである。
対策済みＵｎｔｒｕｓｔｅｄプログラム１５３は実行時にロード・マップされるため、自動で物理アドレスおよび論理アドレスが割り当てられる。コールラッパー１５７は、アドレスマスクテーブル１５５のＩＤ＝０の行から論理アドレスを参照して割り当てられる。物理アドレスは自動で確保された領域で良い。また、同行のマスクリターンアドレスをアンマスクした値はコールラッパー１５７の呼び出し元ルーチンへの復帰命令を示す。
対策済みＵｎｔｒｕｓｔｅｄプログラム１５３は実行時にロード・マップされるため、自動で物理アドレスおよび論理アドレスが割り当てられる。コールラッパー１５７は、アドレスマスクテーブル１５５のＩＤ＝０の行から論理アドレスを参照して割り当てられる。物理アドレスは自動で確保された領域で良い。また、同行のマスクリターンアドレスをアンマスクした値はコールラッパー１５７の呼び出し元ルーチンへの復帰命令を示す。
【0036】
対策済みＴｒｕｓｔｅｄプログラム１５４は、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３が動作する中でアドレスマスクテーブル１５５を参照してロード・マップされる。対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と同様に、使用する物理アドレスは自動で確保された領域を、マップする論理アドレスはアドレスマスクテーブル１５５のＩＤ＝１の行を参照して割り当てられる。同行のマスクエントリーポイントをアンマスクした値は、対策済みＴｒｕｓｔｅｄプログラム１５４の先頭に付与したコールラッパー１５７の先にあるエントリーポイントを表す。同様にマスクリターンアドレスをアンマスクした値は、同コールラッパー１５７の呼び出し元ルーチンへの復帰命令を示す。
【0037】
共有メモリは、物理アドレスを指定して領域を確保される。マップする論理アドレスは自動で確保されるもので良い。なお、共有メモリは対策済みＵｎｔｒｕｓｔｅｄプログラム１５３の動作に応じてサイズにバリエーションを持つことを想定している。このため、対策済みＴｒｕｓｔｅｄプログラム１５４のマスクジャンプアドレスは複数のバリエーションを持っている。
【0038】
＊＊＊動作の説明＊＊＊
次に、本実施の形態に係るプログラム処理装置１００の動作について説明する。プログラム処理装置１００の動作手順は、プログラム処理方法に相当する。また、プログラム処理装置１００の動作を実現するプログラムは、プログラム処理プログラムに相当する。
次に、本実施の形態に係るプログラム処理装置１００の動作について説明する。プログラム処理装置１００の動作手順は、プログラム処理方法に相当する。また、プログラム処理装置１００の動作を実現するプログラムは、プログラム処理プログラムに相当する。
【0039】
図３は、本実施の形態に係るプログラム処理装置１００の動作を示すフロー図である。
動作開始前には、セキュリティモニタ１５６は既に動作済みであり、設定データ１５８には値が設定されているものとする。
図３は、プログラム処理装置１００が対策プログラム１５２を実行した時の動作を表す。
動作開始前には、セキュリティモニタ１５６は既に動作済みであり、設定データ１５８には値が設定されているものとする。
図３は、プログラム処理装置１００が対策プログラム１５２を実行した時の動作を表す。
【0040】
ステップＳ１１０において、対策プログラム１５２は、アドレスマスクテーブル生成部１２０の機能を実行する。アドレスマスクテーブル生成部１２０は、プログラムあるいはプログラムが使用するメモリについて物理アドレスと論理アドレスとを指定する設定データ１５８をもとに、アドレスマスクテーブル１５５を生成する。アドレスマスクテーブル１５５の生成では、設定データ１５８とコールラッパー１５７を入力とし、アドレスマスクテーブル１５５を出力する。
【0041】
ステップＳ１２０において、対策プログラム１５２は、対策適用部１３０の機能を実行する。対策適用部１３０は、プログラムにコンテキストスイッチを行う関数であるコールラッパー１５７を付与し、プログラムからコンテキストスイッチを行う遷移処理を特定する。そして、対策適用部１３０は、遷移処理を、コールラッパー１５７が展開される物理アドレスを指定してジャンプする処理に置換する。対策の適用では、アドレスマスクテーブル１５５とコールラッパー１５７とＵｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１とを入力とし、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４とを出力する。
【0042】
具体的には、対策時リンク部１１３が、プログラムにコールラッパー１５７を付与する。遷移特定部１１１が、プログラムからコンテキストスイッチを行う処理を特定する。遷移処理置換部１１２が、特定した遷移処理を、コールラッパー１５７が展開されるアドレスを指定してジャンプする処理に置換する。
【0043】
ステップＳ１３０において、対策プログラム１５２は、実行部１４０の機能を実行する。実行部１４０は、対策を適用したプログラムを実行する中で、アドレスマスクテーブル１５５を参照してメモリを確保して論理アドレス割り当てを行う。そして、実行部１４０は、遷移処理においてジャンプアドレスをそのまま取得する代わりに、アドレスマスクテーブル１５５を参照して取得したジャンプアドレスを、設定された分離設定をもとにアンマスクしたものを使用するように変更する。プログラムの実行では、アドレスマスクテーブル１５５とコールラッパー１５７と対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４とを入力とし、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４の処理を実行する。なお、セキュリティモニタ１５６もフローチャートでは明示的に入力のように示しているが、先述のとおり事前に実行されていることを想定している。
【0044】
具体的には、メモリ確保部１４１およびロード部１４２が、対策を適用したプログラムを実行する中で、アドレスマスクテーブル１５５を参照してメモリ確保し論理アドレス割り当てを行う。ジャンプアドレスアンマスク部１４３が、コンテキストスイッチの遷移処理においてジャンプアドレスをそのまま取得する代わりに、アドレスマスクテーブル１５５を参照して取得したジャンプアドレスを、設定された分離設定をもとにアンマスクしたものを使用するように変更する。
通常は、どこかのメモリからジャンプアドレスを取得する。一方、本実施の形態における対策では、以下の処理が実施される。
１）アドレスマスクテーブルを参照してマスクされたジャンプアドレスを取得する。
２）設定された分離設定（具体的には後述するｐｍｐｃｆｇ，ｐｍｐａｄｄｒといったレジスタ）をもとにアンマスクする。
以上により、通常と同じジャンプアドレスが復元される。ジャンプアドレスアンマスク部１４３では、このような処理が実施される。
通常は、どこかのメモリからジャンプアドレスを取得する。一方、本実施の形態における対策では、以下の処理が実施される。
１）アドレスマスクテーブルを参照してマスクされたジャンプアドレスを取得する。
２）設定された分離設定（具体的には後述するｐｍｐｃｆｇ，ｐｍｐａｄｄｒといったレジスタ）をもとにアンマスクする。
以上により、通常と同じジャンプアドレスが復元される。ジャンプアドレスアンマスク部１４３では、このような処理が実施される。
【0045】
＜アドレスマスクテーブル生成処理＞
図４は、本実施の形態に係るアドレスマスクテーブル生成部１２０の動作を示すフロー図である。
図４に基づいて、アドレスマスクテーブル生成部１２０の動作（ステップＳ１１０）を説明する。
図４は、本実施の形態に係るアドレスマスクテーブル生成部１２０の動作を示すフロー図である。
図４に基づいて、アドレスマスクテーブル生成部１２０の動作（ステップＳ１１０）を説明する。
【0046】
アドレスマスクテーブル生成部１２０の目的は、図２に示したプログラム割り当てを実現するためのテーブルを生成することである。アドレスマスクテーブル生成部１２０は、プログラムあるいはプログラムが使用するメモリの物理アドレスおよび論理アドレスにバリエーションを持たせて、複数の組み合わせでアドレスマスクテーブル１５５を生成する。
設定データ１５８とは、図２に示す論理アドレスおよび物理アドレスと、共有メモリのサイズバリエーションである。すなわち、Ｕｎｔｒｕｓｔｅｄプログラム１５０が呼び出すコールラッパー１５７をマップする論理アドレスと各Ｔｒｕｓｔｅｄプログラム１５１に割り当てる論理アドレスと共有メモリの物理アドレスおよびそのサイズバリエーションである。
設定データ１５８とは、図２に示す論理アドレスおよび物理アドレスと、共有メモリのサイズバリエーションである。すなわち、Ｕｎｔｒｕｓｔｅｄプログラム１５０が呼び出すコールラッパー１５７をマップする論理アドレスと各Ｔｒｕｓｔｅｄプログラム１５１に割り当てる論理アドレスと共有メモリの物理アドレスおよびそのサイズバリエーションである。
【0047】
ステップＳ１１１において、アドレスマスクテーブル生成部１２０は、アドレスマスクテーブル１５５を初期化する。具体的には、図２に示したアドレスマスクテーブル１５５のすべての行を空にする。
【0048】
ステップＳ１１２において、アドレスマスクテーブル生成部１２０は、コールラッパーのサイズとリターンアドレスを計算する。
コールラッパーのサイズは、実行モジュールのサイズである。
リターンアドレスは、コールラッパーにおいて呼び出し元ルーチンへの復帰命令が配置されたアドレスである。例えば、プロセッサが持つリターンアドレスレジスタが指すアドレスへのジャンプ命令のような命令である。
コールラッパーのサイズは、実行モジュールのサイズである。
リターンアドレスは、コールラッパーにおいて呼び出し元ルーチンへの復帰命令が配置されたアドレスである。例えば、プロセッサが持つリターンアドレスレジスタが指すアドレスへのジャンプ命令のような命令である。
【0049】
ステップＳ１１３において、アドレスマスクテーブル生成部１２０は、設定データ１５８で示された共有メモリサイズのサイズバリエーションの数だけ繰り返し処理を実行する。これは、イテレーションｊ＝１からｊ＝（サイズバリエーション数）まで処理を繰り返すことを意味する。
【0050】
ステップＳ１１４において、アドレスマスクテーブル生成部１２０は、セキュリティモニタ１５６の配置物理アドレスおよびプログラムサイズを取得する。これは、設定データ１５８とは別に、予め記憶装置に記憶しておいた値を想定する。セキュリティモニタ１５６は対策プログラム１５２の実行前に既に実行済みであり、かつ、メモリ監視部１１０により保護されていることから、本実施の形態の方式とは別に、既に実行される物理アドレスおよびプログラムサイズは決まっているものである。
【0051】
ステップＳ１１５において、アドレスマスクテーブル生成部１２０は、設定データ１５８を参照して共有メモリが使用する物理アドレスを取得する。
【0052】
ステップＳ１１６において、アドレスマスクテーブル生成部１２０は、分離設定からマスク値を計算する。
例として、ＲＩＳＣ－Ｖアーキテクチャにおいては、保護対象となる物理ベースアドレスおよび保護サイズを表すｐｍｐａｄｄｒレジスタ（アドレスレジスタ）とアクセス権限を決めるｐｍｐｃｆｇレジスタ（コンフィグレジスタ）で分離設定が決まる。これを保護対象プログラムの数だけ設定することになる。すなわち、一般的に、分離設定を決めるためには、物理アドレスとサイズとアクセス権限の情報が必要となる。
例として、ＲＩＳＣ－Ｖアーキテクチャにおいては、保護対象となる物理ベースアドレスおよび保護サイズを表すｐｍｐａｄｄｒレジスタ（アドレスレジスタ）とアクセス権限を決めるｐｍｐｃｆｇレジスタ（コンフィグレジスタ）で分離設定が決まる。これを保護対象プログラムの数だけ設定することになる。すなわち、一般的に、分離設定を決めるためには、物理アドレスとサイズとアクセス権限の情報が必要となる。
【0053】
図５は、本実施の形態に係るアクセス制御を実現するための分離設定の例を示す図である。
図５では、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３の動作時と対策済みＴｒｕｓｔｅｄプログラム１５４とが動作する時のアクセス制御状態を表す。また、そのために、アクセス制御対象に対して設定すべき分離設定、すなわち物理アドレス、サイズ、アクセス権限を表す。Ｕｎｓｔｒｕｓｔｅｄ動作時には、アクセスしてはいけないプログラム（セキュリティモニタ１５６および対策済みＴｒｕｓｔｅｄプログラム１５４）を除き、全領域にアクセスできることを想定する。一方で、Ｔｒｕｓｔｅｄ動作時には、対策済みＴｒｕｓｔｅｄプログラム１５４は、自身のメモリ領域と共有メモリを除いてアクセスが禁止されていると想定する。なお、明示的に権限が設定されていない場合はアクセスできないと想定する。
図５では、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３の動作時と対策済みＴｒｕｓｔｅｄプログラム１５４とが動作する時のアクセス制御状態を表す。また、そのために、アクセス制御対象に対して設定すべき分離設定、すなわち物理アドレス、サイズ、アクセス権限を表す。Ｕｎｓｔｒｕｓｔｅｄ動作時には、アクセスしてはいけないプログラム（セキュリティモニタ１５６および対策済みＴｒｕｓｔｅｄプログラム１５４）を除き、全領域にアクセスできることを想定する。一方で、Ｔｒｕｓｔｅｄ動作時には、対策済みＴｒｕｓｔｅｄプログラム１５４は、自身のメモリ領域と共有メモリを除いてアクセスが禁止されていると想定する。なお、明示的に権限が設定されていない場合はアクセスできないと想定する。
【0054】
このようなアクセス制御を実現するための分離設定は図５のとおりである。分離設定では、Ｕｎｔｒｕｓｔｅｄ動作時およびＴｒｕｓｔｅｄ１動作時の物理アドレス、サイズ、権限を表す。
物理アドレスの「既定」とは、プログラム処理装置１００として既定値が存在することを意味する。具体的には、セキュリティモニタ１５６あるいは主記憶メモリ１０２の全領域を表す場合である。物理アドレスの「未定」とは、実行時に決まることを意味する。例えば、対策済みＴｒｕｓｔｅｄプログラム１５４は、実行時に物理メモリが確保されてロード・マップされるため、基本的には物理アドレスとサイズは実行前には定まらない。物理アドレスの「設定」とは、設定データ１５８により規定されることを表す。共有メモリの物理アドレスが該当する。
物理アドレスの「既定」とは、プログラム処理装置１００として既定値が存在することを意味する。具体的には、セキュリティモニタ１５６あるいは主記憶メモリ１０２の全領域を表す場合である。物理アドレスの「未定」とは、実行時に決まることを意味する。例えば、対策済みＴｒｕｓｔｅｄプログラム１５４は、実行時に物理メモリが確保されてロード・マップされるため、基本的には物理アドレスとサイズは実行前には定まらない。物理アドレスの「設定」とは、設定データ１５８により規定されることを表す。共有メモリの物理アドレスが該当する。
【0055】
権限の「〇」は、実行・書込・読込のすべての権限を持つことを意味する。Ｕｎｔｒｕｓｔｅｄ動作時の全領域、Ｔｒｕｓｔｅｄ１動作時の対策済みＴｒｕｓｔｅｄプログラム１５４の領域、および共有メモリはアクセス可能となっている。権限の「×」は、実行・書込・読込のすべての権限を持たないことを意味する。例えば、セキュリティモニタ１５６については、常にアクセスが禁じられている。
【0056】
以上をまとめると、セキュリティモニタ１５６のすべての分離設定、対策済みＴｒｕｓｔｅｄプログラム１５４の権限、その他（共有メモリなど）のＵｎｔｒｕｓｔｅｄ動作時のすべての分離設定、その他（共有メモリなど）の権限は、プログラムの実行前に定まることが分かる。さらに、設定データのサイズバリエーションを考慮すると、その他（共有メモリなど）のＴｒｕｓｔｅｄ動作時のサイズも確定することが可能である。
【0057】
以上のことから、図５のような動作を想定した場合、マスク値算出に利用できる分離設定は、セキュリティモニタ１５６とその他（共有メモリなど）のすべての分離設定と対策済みＴｒｕｓｔｅｄプログラム１５４の権限である。すなわち、対策済みＴｒｕｓｔｅｄプログラム１５４の物理アドレスおよびサイズはマスク値算出には利用しない。
【0058】
以降では、物理アドレスとサイズを規定するアドレスレジスタをＲｅｇＡｄｄｒ、権限を規定するコンフィグレジスタをＲｅｇＣｆｇと表現する。また、図５のとおり、ｎ個のレジスタペア（これ以降、エントリと呼ぶ）に従って分離設定がなされると想定する。
【0059】
ステップＳ１１６に戻り、分離設定からマスク値を計算する方法を説明する。
マスク値は、次の式１のように計算できる。
マスク値は、次の式１のように計算できる。
【0060】
Ｍａｓｋ［ｊ］＝Ｈａｓｈ（ＲｅｇＡｄｄｒ［０］｜｜ＲｅｇＣｆｇ［０］｜｜ＲｅｇＣｆｇ［１］｜｜…｜｜ＲｅｇＣｆｇ［ｎ―１］｜｜ＲｅｇＡｄｄｒ［ｎ、ｊ］｜｜ＲｅｇＣｆｇ［ｎ］） 式（１）
Ｍａｓｋ［ｊ］は、ｊ番目のサイズバリエーションに基づくマスク値、
Ｈａｓｈ（）は、ハッシュ関数、
｜｜は、ビット列同士の結合、
ＲｅｇＡｄｄｒ［ｉ］（ｉ＝１．．．ｎ―１）は、ｉ番目のアドレスレジスタ、
ＲｅｇＡｄｄｒ［ｎ、ｊ］（ｉ＝１．．．ｎ）は、ｊ番目のサイズバリエーションに基づくｎ番目のアドレスレジスタ、
ＲｅｇＣｆｇ［ｉ］（ｉ＝１．．．ｎ）は、ｉ番目のコンフィグレジスタを表す。
Ｍａｓｋ［ｊ］は、ｊ番目のサイズバリエーションに基づくマスク値、
Ｈａｓｈ（）は、ハッシュ関数、
｜｜は、ビット列同士の結合、
ＲｅｇＡｄｄｒ［ｉ］（ｉ＝１．．．ｎ―１）は、ｉ番目のアドレスレジスタ、
ＲｅｇＡｄｄｒ［ｎ、ｊ］（ｉ＝１．．．ｎ）は、ｊ番目のサイズバリエーションに基づくｎ番目のアドレスレジスタ、
ＲｅｇＣｆｇ［ｉ］（ｉ＝１．．．ｎ）は、ｉ番目のコンフィグレジスタを表す。
【0061】
図５に示すとおり、Ｔｒｕｓｔｅｄ動作時の共有メモリ設定はサイズバリエーションを考慮することでアドレスレジスタの設定が定まるため、ＲｅｇＡｄｄｒ［ｎ、ｊ］のように、ｎ番目のアドレスレジスタのみ、バリエーションを持つ。
【0062】
ステップＳ１１７において、設定データが持つ論理アドレスの数だけ繰り返し処理を実行する。これは、イテレーションｉ＝１からｉ＝（論理アドレスの数）まで処理を繰り返すことを意味する。
【0063】
ステップＳ１１８において、設定データ１５８を参照してｉ番目の論理アドレスを取り出す。
【0064】
ステップＳ１１９において、ステップＳ１１８で取得した論理アドレスとステップＳ１１６で計算したマスク値からマスクされた論理アドレスを計算する。計算すべきマスクされた論理アドレスには、図２に示すとおり、マスクエントリーポイントとマスクリターンアドレスの２種類がある。この計算は、式（２）のように表すことができる。
【0065】
ＡｄｄｒＭａｓｋ［ｉ、ｊ］＝（Ａｄｄｒ［ｉ］＋Ｏｆｆｓｅｔ）（＋）Ｍａｓｋ［ｊ］ 式（２）
ＡｄｄｒＭａｓｋ［ｉ、ｊ］は、ｉ番目の論理アドレスをｊ番目のマスク値でマスキングしたマスクジャンプアドレス（エントリーポイントあるいはリターンアドレス）、
Ｏｆｆｓｅｔはエントリーポイントあるいはリターンアドレスを表すためのオフセット値、
（＋）はＸＯＲ（ｅＸｃｌｕｓｉｖｅ ＯＲ）演算を表す。
ＡｄｄｒＭａｓｋ［ｉ、ｊ］は、ｉ番目の論理アドレスをｊ番目のマスク値でマスキングしたマスクジャンプアドレス（エントリーポイントあるいはリターンアドレス）、
Ｏｆｆｓｅｔはエントリーポイントあるいはリターンアドレスを表すためのオフセット値、
（＋）はＸＯＲ（ｅＸｃｌｕｓｉｖｅ ＯＲ）演算を表す。
【0066】
Ｏｆｆｓｅｔは、ステップＳ１１２で計算したコールラッパーのサイズおよびリターンアドレスである。
Ｏｆｆｓｅｔがコールラッパーのサイズを表す場合、図２に示すとおりエントリーポイントとなる。
Ｏｆｆｓｅｔがコールラッパーのリターンアドレスを表す場合、図２に示すとおりリターンアドレスとなる。
なお、Ｕｎｔｒｕｓｔｅｄプログラム１５０にはエントリーポイントが不要であるため、マスクリターンアドレスのみが計算される。
また、Ｕｎｔｒｕｓｔｅｄプログラム１５０は、図５に示すとおりサイズバリエーションが不要である。そのため、ｊ＝１のサイズバリエーションは例外的にＵｎｔｒｕｓｔｅｄプログラム１５０を処理することを表すこととし、ステップＳ１１７ではｉ＝１のみを扱うことで、このような目的の動作を達成できる。逆に、ｊ＞１の場合は、ステップＳ１１７ではｉ＝１を無視することで、目的の動作を達成できる。すなわち、図２に示すようなアドレスマスクテーブル１５５を構成できる。
Ｏｆｆｓｅｔがコールラッパーのサイズを表す場合、図２に示すとおりエントリーポイントとなる。
Ｏｆｆｓｅｔがコールラッパーのリターンアドレスを表す場合、図２に示すとおりリターンアドレスとなる。
なお、Ｕｎｔｒｕｓｔｅｄプログラム１５０にはエントリーポイントが不要であるため、マスクリターンアドレスのみが計算される。
また、Ｕｎｔｒｕｓｔｅｄプログラム１５０は、図５に示すとおりサイズバリエーションが不要である。そのため、ｊ＝１のサイズバリエーションは例外的にＵｎｔｒｕｓｔｅｄプログラム１５０を処理することを表すこととし、ステップＳ１１７ではｉ＝１のみを扱うことで、このような目的の動作を達成できる。逆に、ｊ＞１の場合は、ステップＳ１１７ではｉ＝１を無視することで、目的の動作を達成できる。すなわち、図２に示すようなアドレスマスクテーブル１５５を構成できる。
【0067】
ステップＳ１１１０において、元の論理アドレス（Ａｄｄｒ［ｉ］）とマスクした論理アドレス（ＡｄｄｒＭａｓｋ［ｉ、ｊ］）をアドレスマスクテーブル１５５に登録する。ステップＳ１１７において取得した論理アドレスがＴｒｕｓｔｅｄプログラム１５１に対応するアドレスだった場合、マスクエントリーポイントとマスクリターンアドレスの両方が登録されることになる。
【0068】
ステップＳ１１１１において、ステップＳ１１７のイテレーションの終了判定が行われる。すなわち、ｉが論理アドレス数以上かを判定する。ｉ＜論理アドレス数の場合、ステップＳ１１７に進み、ｉ＞＝論理アドレス数の場合、ステップＳ１１１２に進む。
【0069】
ステップＳ１１１２において、ステップＳ１１３のイテレーションの終了判定が行われる。すなわち、ｊが論理アドレス数以上かを判定する。ｊ＜サイズバリエーション数の場合、ステップＳ１１３に進み、ｊ＞＝サイズバリエーション数の場合、ステップＳ１１１３に進む。
【0070】
ステップＳ１１１３において、ステップＳ１１５で取得した共有メモリの物理アドレスをアドレスマスクテーブル１５５に登録する。
以上の処理をもって、図２に示すようなアドレスマスクテーブル１５５を生成できる。
以上の処理をもって、図２に示すようなアドレスマスクテーブル１５５を生成できる。
【0071】
【0072】
ステップＳ１２１において、対策適用部１３０は、Ｕｎｔｒｕｓｔｅｄプログラム１５０を解析し、Ｔｒｕｓｔｅｄプログラム１５１への遷移を特定する。
具体的には、環境呼び出し例外命令である。例えば、ＲＩＳＣ－Ｖアーキテクチャの場合には、ＴｒｕｓｔｅｄとＵｎｔｒｕｓｔｅｄの切り替えには、環境呼び出し例外を用いてより権限の高いプログラム（セキュリティモニタ１５６）を呼ぶことが一般的である。すなわち、環境呼び出し例外命令ＥＣＡＬＬの実行箇所を特定する。ステップＳ１２１は、例えば、対策適用部１３０の遷移特定部１１１による処理である。
具体的には、環境呼び出し例外命令である。例えば、ＲＩＳＣ－Ｖアーキテクチャの場合には、ＴｒｕｓｔｅｄとＵｎｔｒｕｓｔｅｄの切り替えには、環境呼び出し例外を用いてより権限の高いプログラム（セキュリティモニタ１５６）を呼ぶことが一般的である。すなわち、環境呼び出し例外命令ＥＣＡＬＬの実行箇所を特定する。ステップＳ１２１は、例えば、対策適用部１３０の遷移特定部１１１による処理である。
【0073】
ステップＳ１２２において、対策適用部１３０は、アドレスマスクテーブル１５５を参照し、遷移処理をラッパー関数へのジャンプ命令に置換する。遷移先のジャンプアドレスは、図２に示すとおり、Ｕｎｔｒｕｓｔｅｄプログラム１５０の場合も、Ｔｒｕｓｔｅｄプログラム１５１の場合も、アドレスマスクテーブル１５５の論理アドレスである。すなわち、このアドレスがコールラッパーのアドレス（関数へのエントリーポイント）を表す。ステップＳ１２２は、例えば、対策適用部１３０の遷移処理置換部１１２による処理である。
【0074】
ステップＳ１２３において、対策適用部１３０は、プログラムの実行前にコールラッパー１５７を静的に付与する代わりに、Ｕｎｔｒｕｓｔｅｄプログラム１５０にコールラッパー１５７のリンク処理を追加する。これにより、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３の生成が完了する。ステップＳ１２３は、例えば、対策適用部１３０の対策時リンク部１１３による処理である。
【0075】
なお、この時点でコールラッパーを付与しない理由は、次のとおりである。コールラッパー１５７をＵｎｔｒｕｓｔｅｄプログラム１５０の先頭に付与した場合はエントリーポイントが実行された場合にコールラッパー１５７が動作するため元の処理が実行されない。また、コールラッパー１５７をＵｎｔｒｕｓｔｅｄプログラム１５０の末尾に付与した場合はプログラムサイズによってエントリーポイントが変化し、アドレスマスクテーブル１５５の論理アドレスがプログラム毎に変化する。すなわち、汎用的なアドレスマスクテーブル１５５を生成しつつ、処理の完全性を保証するために実行時にリンクする必要がある。
対策適用部１３０ではＴｒｕｓｔｅｄプログラムについては静的にコールラッパーを付与しておく。一方、Ｕｎｔｒｕｓｔｅｄプログラムについては上記の理由によりコールラッパーを付与しない。
対策適用部１３０ではＴｒｕｓｔｅｄプログラムについては静的にコールラッパーを付与しておく。一方、Ｕｎｔｒｕｓｔｅｄプログラムについては上記の理由によりコールラッパーを付与しない。
【0076】
ステップＳ１２４において、対策適用部１３０は、Ｔｒｕｓｔｅｄプログラム１５１の数だけ繰り返し処理を実行する。これは、イテレーションｉ＝１からｉ＝（Ｔｒｕｓｔｅｄプログラム１５１の数）まで処理を繰り返すことを意味する。
【0077】
ステップＳ１２５において、対策適用部１３０は、イテレーションｉに対応するＴｒｕｓｔｅｄプログラム１５１を解析し、Ｕｎｓｔｒｕｓｔｅｄプログラムへの遷移を特定する。この処理はステップＳ１２１と同様である。
【0078】
ステップＳ１２６において、対策適用部１３０は、アドレスマスクテーブル１５５を参照し、遷移処理をラッパー関数へのジャンプ命令に置換する。この処理は、ステップＳ１２２と同様である。
【0079】
ステップＳ１２７において、対策適用部１３０は、Ｔｒｕｓｔｅｄプログラム１５１の先頭にコールラッパーを付与する。すなわち、ビット列として結合することを意味する。これにより、対策適用部１３０は、ｉ番目の対策済みＴｒｕｓｔｅｄプログラム１５４の生成を完了する。
この時、対策適用部１３０は、コールラッパーのサイズに応じてプロセッサのビット幅に合わせて０パディングしてアラインメントしてもよい。その場合、ステップＳ１１２では、対策適用部１３０は、０パディングも考慮してコールラッパーのサイズを計算する。
この時、対策適用部１３０は、コールラッパーのサイズに応じてプロセッサのビット幅に合わせて０パディングしてアラインメントしてもよい。その場合、ステップＳ１１２では、対策適用部１３０は、０パディングも考慮してコールラッパーのサイズを計算する。
【0080】
ステップＳ１２８において、ステップＳ１２４のイテレーションの終了判定が行われる。すなわち、ｉがＴｒｕｓｔｅｄプログラム数以上かを判定する。ｉ＜Ｔｒｕｓｔｅｄプログラム数の場合、ステップＳ１２４に戻り、ｉ＞＝Ｔｒｕｓｔｅｄプログラム数の場合、処理を終了する。
【0081】
【0082】
実行部１４０は、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３とセキュリティモニタ１５６と対策済みＴｒｕｓｔｅｄプログラム１５４とが交互に制御を持ち合って実行される。
【0083】
●対策済みＵｎｔｒｕｓｔｅｄプログラム１５３
ステップ１３１において、実行部１４０は、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３を主記憶メモリ１０２にロードしマップして実行する。具体的には、実行部１４０は、物理メモリを確保して論理アドレスを割り当て、プログラムカウンタをエントリーポイントに設定する。これは、ＯＳがバイナリプログラムを実行する時の通常の動作である。
ステップ１３１において、実行部１４０は、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３を主記憶メモリ１０２にロードしマップして実行する。具体的には、実行部１４０は、物理メモリを確保して論理アドレスを割り当て、プログラムカウンタをエントリーポイントに設定する。これは、ＯＳがバイナリプログラムを実行する時の通常の動作である。
【0084】
ステップＳ１３２において、実行部１４０は、プログラムの実行時には、ステップＳ１２３において追加された動的なリンク処理を動作し、コールラッパー１５７をリンクする。つまり、実行部１４０は、ステップ１２３で対策適用部１３０が付与した動的なリンク処理の動作により、コールラッパー１５７をロード・マップする。実行部１４０は、物理メモリを確保して論理アドレスを割り当てる。この時、割り当てるべき論理アドレスはアドレスマスクテーブル１５５を参照して決定する。具体的には、図２に示すとおり、ＩＤ＝０の論理アドレスを採用する。
この処理はステップ１２３で対策適用部１３０が付与した動的なリンク処理である。
この処理はステップ１２３で対策適用部１３０が付与した動的なリンク処理である。
【0085】
ステップＳ１３３において、実行部１４０は、共有メモリの確保を行う。この時、ＯＳが空き物理メモリを使用する処理の代わりに、メモリ確保部１４１が機能し、アドレスマスクテーブル１５５を参照して物理メモリを割り当てる。具体的には、ＩＤ＝－１の物理アドレスを選択する。論理アドレスは自動で割り当てられるものを利用しても良い。
【0086】
ステップＳ１３４において、実行部１４０は、対策済みＴｒｕｓｔｅｄプログラム１５４のロードとマップを行う。この時、ＯＳが空き物理メモリを使用してロードしマップする代わりに、ロード部１４２が機能し、空き物理メモリに対して割り当てる論理アドレスをアドレスマスクテーブル１５５から取得する。具体的には、ロードしマップする対策済みＴｒｕｓｔｅｄプログラム１５４の個数がＩＤに該当する。例えば、一つ目のプログラムであればＩＤ＝１、ｎ個目のプログラムであればＩＤ＝ｎとする。
【0087】
ステップＳ１３５において、実行部１４０は、ステップＳ１３４でマップした対策済みＴｒｕｓｔｅｄプログラム１５４に遷移する。この処理は、ステップＳ１２２で置換した処理であり、コールラッパー１５７が呼び出される。すなわち、対策済みＴｒｕｓｔｅｄプログラム１５４への遷移の橋渡しとしてセキュリティモニタ１５６が呼ばれる。
【0088】
●セキュリティモニタ１５６
ステップＳ１３６において、実行部１４０は、セキュリティモニタ１５６が分離設定を変更する。すなわち、図５に示すとおり、ＵｎｔｒｕｓｔｅｄとＴｒｕｓｔｅｄの動作時のアクセス権限のとおり、設定を行う。
ステップＳ１３６において、実行部１４０は、セキュリティモニタ１５６が分離設定を変更する。すなわち、図５に示すとおり、ＵｎｔｒｕｓｔｅｄとＴｒｕｓｔｅｄの動作時のアクセス権限のとおり、設定を行う。
【0089】
ステップＳ１３７において、実行部１４０は、アドレスマスクテーブル１５５からジャンプアドレスを参照し、アンマスクしてジャンプする。この時、通常はセキュリティモニタ１５６が管理するアドレステーブルに従って対策済みＴｒｕｓｔｅｄプログラム１５４のエントリーポイントへ遷移するが、その代わりにジャンプアドレスアンマスク部１４３の機能により、このような処理に置き換えられる。
【0090】
図８は、本実施の形態に係る分離設定の変更からジャンプアドレスアンマスク処理の実行を示す図である。
図８に基づいて、ステップＳ１３６における分離設定の変更から、ステップＳ１３７におけるジャンプアドレスをアンマスクしてジャンプするジャンプアドレスアンマスク処理について説明する。
図８は、アドレスマスクテーブル１５５に従って、ジャンプアドレスアンマスク部１４３の機能が実行される様子を示している。
図８に基づいて、ステップＳ１３６における分離設定の変更から、ステップＳ１３７におけるジャンプアドレスをアンマスクしてジャンプするジャンプアドレスアンマスク処理について説明する。
図８は、アドレスマスクテーブル１５５に従って、ジャンプアドレスアンマスク部１４３の機能が実行される様子を示している。
【0091】
１００行目で、ジャンプアドレスアンマスク部１４３は、５００行目を参照してデータを取得し、ストレージ１０５の分離設定を司るレジスタｒｅｇに代入する。これにより、分離設定が変更される。
【0092】
１１０～１５０行目で、ジャンプアドレスアンマスク部１４３は、アドレスマスクテーブル１５５から対策済みＴｒｕｓｔｅｄプログラム１５４のマスクされたエントリーポイントを取得する。そのために、ベースアドレス、ＩＤ、サイズ、取得する内容（エントリーポイント、リターンアドレスなど）を指定してデータをロードする。
【0093】
ジャンプアドレスアンマスク部１４３は、１６０、１７０行目でアンマスク処理を行う。すなわち、ジャンプアドレスアンマスク部１４３は、ストレージ１０５に記録された分離設定を使用して、１５０行目でロードしたマスクされたアドレスをアンマスクする。この処理は、式（１）および（２）の逆の処理であり、以下の式（３）のように表すことができる。
【0094】
Ａｄｄｒ＝ＡｄｄｒＭａｓｋ（＋）Ｈａｓｈ（ＲｅｇＡｄｄｒ［０］｜｜ＲｅｇＣｆｇ［０］｜｜ＲｅｇＣｆｇ［１］｜｜…｜｜ＲｅｇＣｆｇ［ｎ―１］｜｜ＲｅｇＡｄｄｒ［ｎ］｜｜ＲｅｇＣｆｇ［ｎ］） 式（３）
【0095】
このようにして得られた論理アドレスの値は、例えば、図８の１７０行目に示す「０ｘ９０００ ０１００」のような値である。すなわち、これは、後述するとおり、「０ｘ９０００ ００００～０ｘ９０００ ０１００」をコールラッパーが使用しており、エントリーポイントは「０ｘ９０００ ０１００」から始まっていることを意味する。
【0096】
１８０行目でアンマスクして得られたアドレスにジャンプする。
以上の操作により、分離設定の変更からマスクされたジャンプアドレスをアンマスクして適切な処理に遷移することを実現できる。
以上の操作により、分離設定の変更からマスクされたジャンプアドレスをアンマスクして適切な処理に遷移することを実現できる。
【0097】
●対策済みＴｒｕｓｔｅｄプログラム１５４
図７に戻り、ステップＳ１３８において、実行部１４０は、対策済みＴｒｕｓｔｅｄプログラム１５４の処理を実行する。
図７に戻り、ステップＳ１３８において、実行部１４０は、対策済みＴｒｕｓｔｅｄプログラム１５４の処理を実行する。
【0098】
ステップＳ１３９において、実行部１４０は、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３に復帰する。この処理は、ステップＳ１２６で置換した処理であり、コールラッパー１５７が呼び出される。すなわち、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３への復帰の橋渡しとしてセキュリティモニタ１５６が呼ばれる。
【0099】
●セキュリティモニタ１５６
ステップＳ１３１０において、実行部１４０は、分離設定を変更する。この処理はステップＳ１３６と同様である。ただし、分離設定はＵｎｔｒｕｓｔｅｄ時の設定になる。
ステップＳ１３１０において、実行部１４０は、分離設定を変更する。この処理はステップＳ１３６と同様である。ただし、分離設定はＵｎｔｒｕｓｔｅｄ時の設定になる。
【0100】
ステップＳ１３１１において、実行部１４０は、アドレスマスクテーブル１５５からジャンプアドレスを参照し、アンマスクしてジャンプする。この処理はステップＳ１３７と同様である。ただし、アドレスマスクテーブル１５５から参照するアドレスはＵｎｔｒｕｓｔｅｄプログラムのマスクされたリターンアドレスである。
【0101】
●対策済みＵｎｔｒｕｓｔｅｄプログラム１５３
ステップＳ１３１２において、実行部１４０は、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３の処理に復帰し、残りの処理を実行する。
ステップＳ１３１２において、実行部１４０は、対策済みＵｎｔｒｕｓｔｅｄプログラム１５３の処理に復帰し、残りの処理を実行する。
【0102】
以上がプログラム処理装置１００の動作である。ただし、図７においては、各プログラムが持つ本来の処理は割愛し、コンテキストスイッチに関係する処理のみを抜き出して説明した。
【0103】
＊＊＊特徴の説明＊＊＊
本実施の形態に係るプログラム処理装置１００では、図５を用いて説明したとおり、マスク値の計算に使用する分離設定を重要なものに絞って選択している。すなわち、あらゆる可能性を考慮した時に生じる組み合わせ爆発を防ぎ、現実的なサイズのアドレスマスクテーブル１５５を生成することができる。
また、ここでの分離設定の選択は、プログラムのサイズを制約しないことにもつながっている。具体的には、対策済みＴｒｕｓｔｅｄプログラム１５４が使用する物理アドレスはマスク値の計算に使用しないことで、予めプログラムサイズを規定しなければいけなくなることを防いでいる。
本実施の形態に係るプログラム処理装置１００では、図５を用いて説明したとおり、マスク値の計算に使用する分離設定を重要なものに絞って選択している。すなわち、あらゆる可能性を考慮した時に生じる組み合わせ爆発を防ぎ、現実的なサイズのアドレスマスクテーブル１５５を生成することができる。
また、ここでの分離設定の選択は、プログラムのサイズを制約しないことにもつながっている。具体的には、対策済みＴｒｕｓｔｅｄプログラム１５４が使用する物理アドレスはマスク値の計算に使用しないことで、予めプログラムサイズを規定しなければいけなくなることを防いでいる。
【0104】
コールラッパー１５７を利用することは、ＵｎｔｒｕｓｔｅｄおよびＴｒｕｓｔｅｄ間のコンテキストスイッチにおけるリターンアドレスを一意に制限することに繋がっている。すなわち、ジャンプアドレスのマスキングを実現するためにリターンアドレスを固定化するだけでなく、アドレスマスクテーブル１５５のテーブルサイズを削減する効果も持つ。
【0105】
設定データ１５８にサイズバリエーションを持たせることで、共有メモリサイズに制限をかけることを防いでいる。これは対策済みＴｒｕｓｔｅｄプログラム１５４のプログラムサイズを規定しないことと同じ意味を持つが、共有メモリの物理アドレスのサイズに起因するアドレスレジスタはマスク値の計算に採用する必要がある。これは、図５に示したとおり、ＵｎｔｒｕｓｔｅｄとＴｒｕｓｔｅｄ間のコンテキストスイッチにおいて、Ｎｏ．ｎのアドレスレジスタ（物理アドレスおよびサイズ）の設定が変化していることから分かるように、マスク計算に含めない場合にはこの値が破壊されたことに気付けないためである。
【0106】
アドレスマスクテーブル１５５のバリエーションは、図２の形式に限定されない。
例えば、一つ以上の対策済みＴｒｕｓｔｅｄプログラムの物理アドレスおよびそのサイズを制限する形でバリエーションを持たせ、アドレスマスクテーブル１５５を作成しても良い。その場合、アドレスマスクテーブル１５５のｓｉｚｅの列が増え、組み合わせが掛け算で増える。その場合、実行部１４０の動作時に、ロード部１４２に加えてメモリ確保部１４１の機能も利用する必要がある。
あるいは、共有メモリが使用する物理アドレスのバリエーションを考慮せず、固定化しても良い。
例えば、一つ以上の対策済みＴｒｕｓｔｅｄプログラムの物理アドレスおよびそのサイズを制限する形でバリエーションを持たせ、アドレスマスクテーブル１５５を作成しても良い。その場合、アドレスマスクテーブル１５５のｓｉｚｅの列が増え、組み合わせが掛け算で増える。その場合、実行部１４０の動作時に、ロード部１４２に加えてメモリ確保部１４１の機能も利用する必要がある。
あるいは、共有メモリが使用する物理アドレスのバリエーションを考慮せず、固定化しても良い。
【0107】
アドレスマスクテーブル１５５は共有メモリサイズのバリエーションを考慮して生成しているため、対策プログラム１５２により処理されて生成された対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４での使用に限定されない。すなわち、別のＵｎｔｒｕｓｔｅｄプログラム１５０およびＴｒｕｓｔｅｄプログラム１５１を与えて対策プログラム１５２を動作させた場合であっても、設定データ１５８が同じであれば、同じアドレスマスクテーブル１５５が生成される。
【0108】
対策プログラム１５２は、アドレスマスクテーブル生成（ステップＳ１１０）と対策適用（ステップＳ１２０）と実行（ステップＳ１３０）をシリアルに実行するように説明したが、いずれかのみを動作させても良い。
例えば、２度目以降の実行の際には、実行部１４０のみを実行しても良い。すなわち、生成された対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４とアドレスマスクテーブル１５５を利用して、既存のコールラッパー１５７とセキュリティモニタ１５６とを動作させ、プログラムを実行することができる。
あるいは、設定データ１５８が変わらないという前提の下、新たなＵｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１に対して、対策適用から実行しても良い。
例えば、２度目以降の実行の際には、実行部１４０のみを実行しても良い。すなわち、生成された対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４とアドレスマスクテーブル１５５を利用して、既存のコールラッパー１５７とセキュリティモニタ１５６とを動作させ、プログラムを実行することができる。
あるいは、設定データ１５８が変わらないという前提の下、新たなＵｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１に対して、対策適用から実行しても良い。
【0109】
アドレスマスクテーブル１５５は、ハッシュテーブルとして実装しても良い。すなわち、図８に示すとおり、ＩＤ，ｓｉｚｅ，ｃｏｎｔｅｎｔを指定してハッシュを取った値が示すアドレスにＩＤ，ｓｉｚｅ，ｃｏｎｔｅｎｔを指定した時に本来参照できる値を格納しても良い。これにより、アドレスマスクテーブル１５５の参照処理においてフォールト攻撃が実施された場合であっても、意図しない値（例えば生の論理アドレス値）が露呈することを防ぐことができる。
【0110】
このような方法にしたがってアドレスマスクテーブル生成部１２０が生成したアドレスマスクテーブル１５５は、よりサイズが大きく、スパースなテーブルとなる。また、アドレスマスクテーブル１５５を参照する場合には、ＩＤ，ｓｉｚｅ，ｃｏｎｔｅｎｔをハッシュ化した値をキーとしてアドレスマスクテーブル１５５を参照するように変更する。ハッシュ化の例としては、以下の式（４）のとおりである。
Ｈａｓｈ（ＩＤ｜｜ｓｉｚｅ｜｜ｃｏｎｔｅｎｔ） 式（４）
Ｈａｓｈ（ＩＤ｜｜ｓｉｚｅ｜｜ｃｏｎｔｅｎｔ） 式（４）
【0111】
＊＊＊効果の説明＊＊＊
本実施の形態に係るプログラム処理装置１００では、設定データで指定された論理アドレスと物理アドレスとプログラムごとの分離設定をもとにマスク値を計算する。そして、プログラム処理装置１００は、元の論理アドレスおよび物理アドレスとともにマスクされたジャンプアドレスが記載されたアドレスマスクテーブルを生成する。さらに、プログラム処理装置１００は、実行対象プログラムのコンテキストスイッチ処理（ＵｎｔｒｕｓｔｅｄとＴｒｕｓｔｅｄが変化する処理）の遷移処理をコールラッパー呼び出しに置換する。また、プログラム処理装置１００は、実行時に、アドレスマスクテーブルを参照して物理アドレスを確保したり論理アドレスを割り当てたりする。プログラム処理装置１００は、コンテキストスイッチにおいてはアドレスマスクテーブルから取り出したマスクされたジャンプアドレスを、分離設定を用いてアンマスクし、遷移する。
以上の動作により、本実施の形態に係るプログラム処理装置１００によれば、ＯＳ環境でも論理アドレスあるいは物理アドレスを部分的に固定してプログラムを実行することで、ジャンプアドレスのマスキングスキームを適用可能にする。
本実施の形態に係るプログラム処理装置１００では、設定データで指定された論理アドレスと物理アドレスとプログラムごとの分離設定をもとにマスク値を計算する。そして、プログラム処理装置１００は、元の論理アドレスおよび物理アドレスとともにマスクされたジャンプアドレスが記載されたアドレスマスクテーブルを生成する。さらに、プログラム処理装置１００は、実行対象プログラムのコンテキストスイッチ処理（ＵｎｔｒｕｓｔｅｄとＴｒｕｓｔｅｄが変化する処理）の遷移処理をコールラッパー呼び出しに置換する。また、プログラム処理装置１００は、実行時に、アドレスマスクテーブルを参照して物理アドレスを確保したり論理アドレスを割り当てたりする。プログラム処理装置１００は、コンテキストスイッチにおいてはアドレスマスクテーブルから取り出したマスクされたジャンプアドレスを、分離設定を用いてアンマスクし、遷移する。
以上の動作により、本実施の形態に係るプログラム処理装置１００によれば、ＯＳ環境でも論理アドレスあるいは物理アドレスを部分的に固定してプログラムを実行することで、ジャンプアドレスのマスキングスキームを適用可能にする。
【0112】
本実施の形態に係るプログラム処理装置１００では、アドレスマスクテーブル生成部１２０が、設定データをもとにエントリーポイントおよびリターンアドレスのマスク値、プログラムあるいは共有メモリが使用する論理アドレスおよび物理アドレスの一覧を記録したアドレスマスクテーブルを生成する。設定データには、ＴＥＥのアクセス権限の設定（分離設定）とプログラム（アプリケーション）が使用する論理アドレス・物理アドレス・共有メモリ、およびプログラムサイズのサイズバリエーションが記録されている。
また、対策適用部は、前記アドレスマスクテーブルに基づいてＵｎｔｒｕｓｔｅｄおよびＴｒｕｓｔｅｄプログラムに対してコンテキストスイッチを代理処理するコールラッパーを実行前に付与する。
また、実行部は、前記アドレスマスクテーブルを用いて、前記コールラッパーを実行時に動的に付与し、前記対策済みＵｎｔｒｕｓｔｅｄプログラム、Ｔｒｕｓｔｅｄプログラム、およびセキュリティモニタを実行する。
メモリ監視部は、設定された分離設定に基づいてメモリアクセスを監視する。
また、対策適用部は、前記アドレスマスクテーブルに基づいてＵｎｔｒｕｓｔｅｄおよびＴｒｕｓｔｅｄプログラムに対してコンテキストスイッチを代理処理するコールラッパーを実行前に付与する。
また、実行部は、前記アドレスマスクテーブルを用いて、前記コールラッパーを実行時に動的に付与し、前記対策済みＵｎｔｒｕｓｔｅｄプログラム、Ｔｒｕｓｔｅｄプログラム、およびセキュリティモニタを実行する。
メモリ監視部は、設定された分離設定に基づいてメモリアクセスを監視する。
【0113】
本実施の形態に係るプログラム処理装置１００によれば、ＯＳ環境のＴＥＥであっても、プログラムあるいは共有メモリが配置される物理アドレス、あるいは割り当てられる論理アドレスを部分的に固定して実行することで、ジャンプアドレスをマスク・アンマスクすることができる。もしも分離設定が破壊された状態でコンテキストスイッチが生じる場合には、アンマスク処理において正しいジャンプアドレスを計算できず、異常なアドレスへのジャンプが生じる。このような動作はメモリ監視部１１０によって補足され、許可されないメモリアクセスを防止することができる。すなわち、プログラムが動作する時には正しい分離設定になっていることを保証できる。
【0114】
実施の形態２．
本実施の形態では、主に、実施の形態１と異なる点および実施の形態１に追加する点について説明する。
本実施の形態において、実施の形態１と同様の機能を有する構成については同一の符号を付し、その説明を省略する。
本実施の形態では、主に、実施の形態１と異なる点および実施の形態１に追加する点について説明する。
本実施の形態において、実施の形態１と同様の機能を有する構成については同一の符号を付し、その説明を省略する。
【0115】
【0116】
プロセッサ１０１は、アドレスマスクテーブル生成部２１０とプログラム対策適用部２２０とセキュリティモニタ対策適用部２３０といった要素を備える。プログラム対策適用部２２０は、遷移特定部１１１と遷移処理置換部１１２とアドレス指定部２２１とリンク部２２２を含む。セキュリティモニタ対策適用部２３０はコンテキストスイッチ特定部２３１とアンマスク処理追加部２３２を含む。
アドレスマスクテーブル生成部２１０とプログラム対策適用部２２０とセキュリティモニタ対策適用部２３０とはソフトウェアで実現される。
アドレスマスクテーブル生成部２１０とプログラム対策適用部２２０とセキュリティモニタ対策適用部２３０とはソフトウェアで実現される。
【0117】
記憶装置１０３には、プロセッサ１０１によって動作する対策プログラム１５２と対策プログラム１５２が使用するコールラッパー１５７とが記憶されている。
図９に示すように、主記憶メモリ１０２には、記憶装置１０３に記憶されたソフトウェアとデータが読み込まれ、対策プログラム１５２が生成したアドレスマスクテーブル１５５と対策済みプログラム２４０と対策済みセキュリティモニタ２４１とが記憶される。
図９に示すように、主記憶メモリ１０２には、記憶装置１０３に記憶されたソフトウェアとデータが読み込まれ、対策プログラム１５２が生成したアドレスマスクテーブル１５５と対策済みプログラム２４０と対策済みセキュリティモニタ２４１とが記憶される。
【0118】
入出力インタフェース１０４を介して、Ｕｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１とセキュリティモニタ１５６と設定データ２５０とが入力される。また、対策プログラム１５２が動作することにより、対策済みプログラム２４０と対策済みセキュリティモニタ２４１とが出力される。
【0119】
設定データ２５０は、論理アドレス、物理アドレス、メモリ確保処理指定を含む。論理アドレスおよび物理アドレスは実施の形態１の設定データ１５８と同様である。ただし、物理アドレスとして、セキュリティモニタ１５６の物理アドレスを含む。
設定データ２５０は、実施の形態１の設定データ１５８のようにサイズバリエーションを持たず、入力されたＵｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１に適した形でマスクされたアドレスを計算する。そのために、設定データ２５０は、メモリ確保処理指定を持つ。すなわち、保護対象のＵｎｔｒｕｓｔｅｄプログラム１５０が確保する共有メモリあるいはＴｒｕｓｔｅｄプログラム１５１のロードおよびマップ処理の箇所を指定することでそれらを解析できるようにし、ジャンプアドレスマスキングを適用できるように処理を置換する。
設定データ２５０は、実施の形態１の設定データ１５８のようにサイズバリエーションを持たず、入力されたＵｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１に適した形でマスクされたアドレスを計算する。そのために、設定データ２５０は、メモリ確保処理指定を持つ。すなわち、保護対象のＵｎｔｒｕｓｔｅｄプログラム１５０が確保する共有メモリあるいはＴｒｕｓｔｅｄプログラム１５１のロードおよびマップ処理の箇所を指定することでそれらを解析できるようにし、ジャンプアドレスマスキングを適用できるように処理を置換する。
【0120】
本実施の形態のＵｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１とセキュリティモニタ１５６はソースコードである。
対策済みプログラム２４０と対策済みセキュリティモニタ２４１とはエグゼキュータブルな実行モジュールである。
すなわち、プログラム処理装置１００は、端的にはコンパイル装置である。また、コンパイル後のプログラムはメモリ監視部１１０を備えるプロセッサ上で動作させることを想定する。
対策済みプログラム２４０と対策済みセキュリティモニタ２４１とはエグゼキュータブルな実行モジュールである。
すなわち、プログラム処理装置１００は、端的にはコンパイル装置である。また、コンパイル後のプログラムはメモリ監視部１１０を備えるプロセッサ上で動作させることを想定する。
【0121】
＊＊＊動作の説明＊＊＊
次に、本実施の形態に係るプログラム処理装置１００の動作について説明する。プログラム処理装置１００の動作手順は、プログラム処理方法に相当する。また、プログラム処理装置１００の動作を実現するプログラムは、プログラム処理プログラムに相当する。
次に、本実施の形態に係るプログラム処理装置１００の動作について説明する。プログラム処理装置１００の動作手順は、プログラム処理方法に相当する。また、プログラム処理装置１００の動作を実現するプログラムは、プログラム処理プログラムに相当する。
【0122】
【0123】
ステップＳ２１０において、対策プログラム１５２は、アドレスマスクテーブル生成部２１０の機能を実行し、アドレスマスクテーブルを生成する。アドレスマスクテーブルの生成では、設定データ２５０とコールラッパー１５７とセキュリティモニタ１５６を入力として、アドレスマスクテーブル１５５を生成する。
【0124】
ステップＳ２２０において、対策プログラム１５２は、プログラム対策適用部２２０の機能を実行し、プログラムへの対策適用を行う。プログラム対策適用部２２０は、プログラムに、コンテキストスイッチを行う関数であるコールラッパー１５７を付与し、プログラムからコンテキストスイッチを行う遷移処理を特定する。そして、プログラム対策適用部２２０は、遷移処理を、コールラッパー１５７が展開される物理アドレスを指定してジャンプする処理に置換し、アドレスマスクテーブル１５５にしたがって論理アドレスおよび物理アドレスを指定してメモリ確保して論理アドレス割り当てを行う。
この時、設定データ２５０とコールラッパー１５７とセキュリティモニタ１５６とＵｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１を入力として、対策済みプログラム２４０（対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４）を生成する。
この時、設定データ２５０とコールラッパー１５７とセキュリティモニタ１５６とＵｎｔｒｕｓｔｅｄプログラム１５０とＴｒｕｓｔｅｄプログラム１５１を入力として、対策済みプログラム２４０（対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４）を生成する。
【0125】
具体的には、リンク部２２２が、プログラムにコールラッパー１５７を付与する。遷移特定部１１１が、プログラムからコンテキストスイッチを行う処理を特定する。遷移処理置換部１１２が、特定した遷移処理を、コールラッパー１５７が展開されるアドレスを指定してジャンプする処理に置換する。アドレス指定部２２１が、アドレスマスクテーブル１５５にしたがって論理アドレスおよび物理アドレスを指定してメモリ確保し論理アドレス割り当てを行う。
【0126】
ステップＳ２３０において、対策プログラム１５２は、セキュリティモニタ対策適用部２３０の機能を実行し、セキュリティモニタ１５６に対策を適用する。セキュリティモニタ対策適用部２３０は、セキュリティモニタ１５６のコンテキストスイッチを特定する。そして、セキュリティモニタ対策適用部２３０は、特定されたコンテキストスイッチの前に存在するジャンプアドレス取得処理を、以下の処理に変更する。すなわち、「アドレスマスクテーブル１５５を参照してマスクされたジャンプアドレスをマスクジャンプアドレスとして取得し、取得したマスクジャンプアドレスを、設定された分離設定をもとにアンマスク処理してジャンプアドレスを計算する処理」に変更する。この時、アドレスマスクテーブル１５５とセキュリティモニタ１５６を入力として、対策済みセキュリティモニタ２４１を出力する。
【0127】
具体的には、コンテキストスイッチ特定部２３１が、セキュリティモニタ１５６のコンテキストスイッチを特定する。そして、アンマスク処理追加部２３２が、特定されたコンテキストスイッチの前に存在するジャンプアドレス取得処理を次のように変更する。すなわち、アンマスク処理追加部２３２は、上記ジャンプアドレス取得処理を、「マスクされたジャンプアドレスをアドレスマスクテーブル１５５から取得し、ジャンプ処理が実行される時点の分離設定をもとにアンマスク処理を行い、ジャンプアドレスを計算する処理」に変更する。
【0128】
より具体的な例を用いて説明する。例えば、プログラム１のエントリーポイントにジャンプすることを想定する。
通常は以下の通りである。
通常：
ＲｅｇＪｕｍｐ＜－Ｍｅｍ（ｅｎｔｒｙ＿ｐｒｏｇｒａｍ１）；
ＪＵＭＰ ＲｅｇＪｕｍｐ；
通常は以下の通りである。
通常：
ＲｅｇＪｕｍｐ＜－Ｍｅｍ（ｅｎｔｒｙ＿ｐｒｏｇｒａｍ１）；
ＪＵＭＰ ＲｅｇＪｕｍｐ；
【0129】
本実施の形態に係るプログラム処理装置１００では以下のようになる。
アンマスク処理追加：
ＲｅｇＴｅｍｐｏｒａｒｙ＜－Ｍｅｍ（ａｄｄｒｅｓｓ＿ｍａｓｋ＿ｔａｂｌｅ＋ｏｆｆｓｅｔ）；
ＲｅｇＴｅｍｐｏｒａｒｙ＜－ＲｅｇＴｅｍｐｏｒａｒｙ ｘｏｒ ｐｍｐａｄｄｒ； ＲｅｇＴｅｍｐｏｒａｒｙ＜－ＲｅｇＴｅｍｐｏｒａｒｙ ｘｏｒ ｐｍｐｃｆｇ；
ＲｅｇＪｕｍｐ＜－ＲｅｇＴｅｍｐｏｒａｒｙ；
ＪＵＭＰ ＲｅｇＪｕｍｐ；
アンマスク処理追加：
ＲｅｇＴｅｍｐｏｒａｒｙ＜－Ｍｅｍ（ａｄｄｒｅｓｓ＿ｍａｓｋ＿ｔａｂｌｅ＋ｏｆｆｓｅｔ）；
ＲｅｇＴｅｍｐｏｒａｒｙ＜－ＲｅｇＴｅｍｐｏｒａｒｙ ｘｏｒ ｐｍｐａｄｄｒ； ＲｅｇＴｅｍｐｏｒａｒｙ＜－ＲｅｇＴｅｍｐｏｒａｒｙ ｘｏｒ ｐｍｐｃｆｇ；
ＲｅｇＪｕｍｐ＜－ＲｅｇＴｅｍｐｏｒａｒｙ；
ＪＵＭＰ ＲｅｇＪｕｍｐ；
【0130】
ここで、ｏｆｆｓｅｔは、ジャンプアドレステーブルの何番目、すなわち図８のＩＤのような意味を有する。ここに、ｅｎｔｒｙ＿ｐｒｏｇｒａｍ１をマスクしておいたマスクアドレスが格納されている想定である。したがって、マスクアドレステーブルを作る時、すなわちマスク時には、「ｅｎｔｒｙ＿ｐｒｏｇｒａｍ１ ｘｏｒ ｐｍｐａｄｄｒ ｘｏｒ ｐｍｐｃｆｇ」を「ａｄｄｒｅｓｓ＿ｍａｓｋ＿ｔａｂｌｅ＋ｏｆｆｓｅｔ」のアドレスに置いておくことになる。
【0131】
【0132】
ステップＳ２１１、ステップＳ２１２、およびステップＳ２１４～ステップＳ２１１１は、ステップＳ１１１、ステップＳ１１２、ステップＳ１１５～ステップＳ１１１１、およびステップＳ１１１３と同様である。
以下では、差異のあるステップについて説明する。
以下では、差異のあるステップについて説明する。
【0133】
ステップＳ２１３において、アドレスマスクテーブル生成部２１０は、設定データ２５０を参照してセキュリティモニタ１５６の配置物理アドレスを取得し、セキュリティモニタ１５６からプログラムサイズを取得する。これらの情報は、実施の形態１と同様に、ステップＳ２１５において、分離設定からマスク値を計算するために用いる。
なお、プログラムサイズの取得のために、１度ソースコードをコンパイルしても良い。あるいは、設定データ２５０としてセキュリティモニタ１５６のために使用するメモリサイズを与えても良い。
なお、プログラムサイズの取得のために、１度ソースコードをコンパイルしても良い。あるいは、設定データ２５０としてセキュリティモニタ１５６のために使用するメモリサイズを与えても良い。
【0134】
【0135】
ステップＳ２２１、ステップＳ２２２、およびステップＳ２２６～Ｓ２２１０は、ステップＳ１２１、ステップＳ１２２、およびステップＳ１２４～ステップＳ１２８と同様である。
以下では、差異のあるステップについて説明する。
以下では、差異のあるステップについて説明する。
【0136】
ステップＳ２２３において、プログラム対策適用部２２０は、Ｕｎｔｒｕｓｔｅｄプログラム１５０にコールラッパー１５７を付与し、アドレスマスクテーブル１５５を参照してリンク処理を追加する。
先述したように、Ｕｎｔｒｕｓｔｅｄプログラム１５０は最初に実行されＯＳが展開した後に実行されるため、先頭あるいは末尾にコールラッパーを付与しても適切に実行されない。そこで、一度Ｕｎｔｒｕｓｔｅｄプログラム１５０にコールラッパー１５７を付与しておき、実行時に再配置する。
まず、Ｕｎｔｒｕｓｔｅｄプログラム１５０に、コールラッパー１５７を追加する。次に、コールラッパー１５７をアドレスマスクテーブル１５５で示されるアドレスにコピーする処理をＵｎｔｒｕｓｔｅｄプログラム１５０に追加する。
ステップＳ２２２において、遷移処理は上記のコピー先のアドレスに格納されていることを想定する関数を呼び出すように書き換えられているため、コールラッパー１５７の呼び出しに成功する。
先述したように、Ｕｎｔｒｕｓｔｅｄプログラム１５０は最初に実行されＯＳが展開した後に実行されるため、先頭あるいは末尾にコールラッパーを付与しても適切に実行されない。そこで、一度Ｕｎｔｒｕｓｔｅｄプログラム１５０にコールラッパー１５７を付与しておき、実行時に再配置する。
まず、Ｕｎｔｒｕｓｔｅｄプログラム１５０に、コールラッパー１５７を追加する。次に、コールラッパー１５７をアドレスマスクテーブル１５５で示されるアドレスにコピーする処理をＵｎｔｒｕｓｔｅｄプログラム１５０に追加する。
ステップＳ２２２において、遷移処理は上記のコピー先のアドレスに格納されていることを想定する関数を呼び出すように書き換えられているため、コールラッパー１５７の呼び出しに成功する。
【0137】
ステップＳ２２４において、まず、プログラム対策適用部２２０は、設定データ１５８で示されるメモリ確保処理指定を参照して、Ｔｒｕｓｔｅｄプログラム１５１のロードおよびマップ処理を特定する。次に、この時にマップする左記の論理アドレスとして、アドレスマスクテーブル１５５で示される論理アドレスを指定する。
【0138】
ステップＳ２２５において、まず、プログラム対策適用部２２０は、設定データ１５８で示されるメモリ確保処理指定を参照して、共有メモリの確保処理を特定する。次に、プログラム対策適用部２２０は、この時に確保する物理アドレスとして、アドレスマスクテーブル１５５で示される物理アドレスを指定する。
【0139】
ステップＳ２２１１において、これまでに生成した対策済みＵｎｔｒｕｓｔｅｄプログラム１５３と対策済みＴｒｕｓｔｅｄプログラム１５４を結合し、対策済みプログラム２４０を生成する。
【0140】
図１３に基づいて、セキュリティモニタ対策適用（ステップＳ２３０）を説明する。
【0141】
ステップＳ２３１において、セキュリティモニタ１５６にアドレスマスクテーブル１５５を付与する。例えば、２次元配列で示されるアドレスマスクテーブル１５５をそのままセキュリティモニタ１５６のソースコードに追加する。
【0142】
ステップＳ２３２において、コンテキストスイッチの箇所を特定する。例えば、ＲＩＳＣ－Ｖアーキテクチャでは、環境呼び出し例外命令（ＥＣＡＬＬ）で呼び出されたセキュリティモニタ１５６は、例外リターン命令（ＭＲＥＴ）を実行することで切り替えたコンテキスト先に遷移する。すなわち、このような命令の実行箇所を特定することで、コンテキストスイッチの箇所は特定できる。
【0143】
ステップＳ２３３において、アドレスマスクテーブル１５５を参照し、アンマスク処理を追加する。ステップＳ２３２において特定したコンテキストスイッチの前に、遷移先アドレスを設定する箇所が存在する。この処理を次のように置換する。
変更前：ジャンプアドレス（エントリーポイントあるいはリターンアドレス）を特定の箇所から取得し、遷移先に設定する。
変更後：ジャンプアドレスをアドレスマスクテーブル１５５から取得し、アンマスク処理してジャンプアドレスを計算し、遷移先に設定する。
アンマスク方法は実施の形態１と同様である。
変更前：ジャンプアドレス（エントリーポイントあるいはリターンアドレス）を特定の箇所から取得し、遷移先に設定する。
変更後：ジャンプアドレスをアドレスマスクテーブル１５５から取得し、アンマスク処理してジャンプアドレスを計算し、遷移先に設定する。
アンマスク方法は実施の形態１と同様である。
【0144】
＊＊＊効果の説明＊＊＊
本実施の形態のプログラム処理装置１００によれば、ＯＳ環境のＴＥＥを想定した対策済みプログラム２４０と対策済みセキュリティモニタ２４１とを生成できる。すなわち、プログラムあるいは共有メモリが配置される物理アドレス、および割り当てられる論理アドレスを部分的に固定して実行することで、ジャンプアドレスをマスク・アンマスクすることができる。もしも分離設定が破壊された状態でコンテキストスイッチが生じる場合には、アンマスク処理において正しいジャンプアドレスを計算できず、異常なアドレスへのジャンプが生じる。このような動作はメモリ監視部１１０によって補足され、許可されないメモリアクセスを防止することができる。すなわち、プログラムが動作する時には正しい分離設定になっていることを保証できる。
本実施の形態のプログラム処理装置１００によれば、ＯＳ環境のＴＥＥを想定した対策済みプログラム２４０と対策済みセキュリティモニタ２４１とを生成できる。すなわち、プログラムあるいは共有メモリが配置される物理アドレス、および割り当てられる論理アドレスを部分的に固定して実行することで、ジャンプアドレスをマスク・アンマスクすることができる。もしも分離設定が破壊された状態でコンテキストスイッチが生じる場合には、アンマスク処理において正しいジャンプアドレスを計算できず、異常なアドレスへのジャンプが生じる。このような動作はメモリ監視部１１０によって補足され、許可されないメモリアクセスを防止することができる。すなわち、プログラムが動作する時には正しい分離設定になっていることを保証できる。
【0145】
以上の実施の形態１および２では、プログラム処理装置の各部を独立した機能ブロックとして説明した。しかし、プログラム処理装置の構成は、上述した実施の形態のような構成でなくてもよい。プログラム処理装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、どのような構成でもよい。また、プログラム処理装置は、１つの装置でなく、複数の装置から構成されたシステムでもよい。
また、実施の形態１および２のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これら実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１および２では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
また、実施の形態１および２のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これら実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１および２では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
【0146】
なお、上述した実施の形態は、本質的に好ましい例示であって、本開示の範囲、本開示の適用物の範囲、および本開示の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。例えば、フロー図あるいはシーケンス図を用いて説明した手順は、適宜に変更してもよい。
【符号の説明】
【0147】
１００ プログラム処理装置、１０１ プロセッサ、１０２ 主記憶メモリ、１０３ 記憶装置、１０４ 入出力インタフェース、１０５ ストレージ、１１０ メモリ監視部、１２０ アドレスマスクテーブル生成部、１３０ 対策適用部、１１１ 遷移特定部、１１２ 遷移処理置換部、１１３ 対策時リンク部、１４０ 実行部、１４１ メモリ確保部、１４２ ロード部、１４３ ジャンプアドレスアンマスク部、１４４ 実行時リンク部、１５０ Ｕｎｔｒｕｓｔｅｄプログラム、１５１ Ｔｒｕｓｔｅｄプログラム、１５２ 対策プログラム、１５３ 対策済みＵｎｔｒｕｓｔｅｄプログラム、１５４ 対策済みＴｒｕｓｔｅｄプログラム、１５５ アドレスマスクテーブル、１５６ セキュリティモニタ、１５７ コールラッパー、１５８ 設定データ、２１０ アドレスマスクテーブル生成部、２２０ プログラム対策適用部、２２１ アドレス指定部、２２２ リンク部、２３０ セキュリティモニタ対策適用部、２３１ コンテキストスイッチ特定部、２３２ アンマスク処理追加部、２４０ 対策済みプログラム、２４１ 対策済みセキュリティモニタ、２５０ 設定データ。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】