特表 2023-525576 ソフトウェア更新のための認証キーの制御範囲

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2023-06-16

(54)【発明の名称】ソフトウェア更新のための認証キーの制御範囲

(51)【国際特許分類】

   G06F 8/65 20180101AFI20230609BHJP

   H04L 9/32 20060101ALI20230609BHJP

【ＦＩ】

G06F8/65

H04L9/32 200B

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2022569070

(86)(22)【出願日】2021-05-13

(85)【翻訳文提出日】2023-01-10

(86)【国際出願番号】 US2021032175

(87)【国際公開番号】W WO2021231686

(87)【国際公開日】2021-11-18

(31)【優先権主張番号】15/931,794

(32)【優先日】2020-05-14

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】507107291

【氏名又は名称】テキサス インスツルメンツ インコーポレイテッド

(74)【代理人】

【識別番号】230129078

【弁護士】

【氏名又は名称】佐藤 仁

(72)【発明者】

【氏名】バラク チェルチェス

(72)【発明者】

【氏名】エリック シエリー ジーン ペーターズ

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376CA48

(57)【要約】

クライアントデバイスを更新するための手法が提供され、この手法は、ソフトウェア更新（２０４）とソフトウェア更新（２０４）に関連する証明書（２０６）とをクライアントデバイスによって受け取ることと、クライアントデバイス（２３０）の格納された公開鍵に基づいて、ソフトウェア更新（２０４）に関連する証明書（２０６）をクライアントデバイスによって検証することと、証明書から更新範囲値（２１６～２２４）を抽出することと、更新範囲値（２１６～２２４）を更新の対応する属性と比較することと、比較に基づいてソフトウェア更新を適用するか又は比較に基づいてソフトウェア更新を拒否するかのいずれかを行うこととを含む。

【特許請求の範囲】

【請求項1】

クライアントデバイスを更新するための方法であって、
ソフトウェア更新と前記ソフトウェア更新に関連する証明書とをクライアントデバイスによって受け取ることと、
前記クライアントデバイスの格納された公開鍵に基づいて、前記ソフトウェア更新に関連する前記証明書を前記クライアントデバイスによって検証することと、
前記証明書から更新範囲値を抽出することと、
更新範囲値を前記更新の対応する属性と比較することと、
を含み、さらに、
前記比較に基づいて前記ソフトウェア更新を適用すること、又は前記比較に基づいて前記ソフトウェア更新を拒否することとの一方、
を含む、方法。

【請求項2】

請求項１に記載の方法であって、
前記更新範囲値が証明書更新シーケンス番号を含み、
前記対応する属性が、前記クライアントデバイスのシーケンス番号を含む、方法。

【請求項3】

請求項２に記載の方法であって、前記比較することが、前記証明書更新シーケンス番号が前記シーケンス番号よりも大きいことを検証することを含み、
この方法がさらに、前記クライアントデバイスの前記シーケンス番号を前記証明書更新シーケンス番号で置換することを含む、方法。

【請求項4】

請求項１に記載の方法であって、
前記更新範囲値がバージョン番号を含み、
前記対応する属性が前記ソフトウェア更新のバージョン番号を含み、
前記比較することが、前記バージョン番号が前記ソフトウェア更新の前記バージョン番号と一致することを検証することを含む、
方法。

【請求項5】

請求項１に記載の方法であって、
前記更新範囲値がバージョン番号の範囲を含み、
前記対応する属性が前記ソフトウェア更新のバージョン番号を含み、
前記比較することが、前記ソフトウェア更新の前記バージョン番号がバージョン番号の前記範囲内であることを検証することを含む、
方法。

【請求項6】

請求項１に記載の方法であって、前記更新範囲値が、前記証明書のデジタル署名によって保護される、方法。

【請求項7】

請求項１に記載の方法であって、前記クライアントデバイスの前記格納された公開鍵が、前記クライアントデバイスの製造業者の公開鍵を含む、方法。

【請求項8】

非一時的プログラムストレージデバイスであって、前記非一時的プログラムストレージデバイスが、前記非一時的プログラムストレージデバイスに格納された命令を含み、前記命令が、１つ又は複数のプロセッサに、
ソフトウェア更新のための属性を定義する更新範囲値を生成させ、
更新範囲値を保護するデジタル署名を生成させ、
前記デジタル署名と前記更新範囲値とを含む証明書を生成させ、
前記証明書及び前記更新範囲値をクライアントデバイスへ送信させる、
ためのものであり、
前記更新範囲値が、前記クライアントデバイスが前記更新範囲値を前記更新の対応する属性と比較することを可能にするように構成される、
非一時的プログラムストレージデバイス。

【請求項9】

請求項８に記載の非一時的プログラムストレージデバイスであって、前記更新範囲値が証明書更新シーケンス番号を含み、前記対応する属性が、前記クライアントデバイスのシーケンス番号を含む、非一時的プログラムストレージデバイス。

【請求項10】

請求項８に記載の非一時的プログラムストレージデバイスであって、
前記更新範囲値が証明書更新バージョン番号を含み、前記対応する属性が前記ソフトウェア更新のバージョン番号を含み、
前記命令がさらに、前記１つ又は複数のプロセッサに、前記バージョン番号が前記ソフトウェア更新の前記バージョン番号と一致することを検証させる、
非一時的プログラムストレージデバイス。

【請求項11】

請求項８に記載の非一時的プログラムストレージデバイスであって、前記更新範囲値がバージョン番号の範囲を含み、前記対応する属性が前記ソフトウェア更新のバージョン番号を含み、前記比較することが、前記ソフトウェア更新の前記バージョン番号がバージョン番号の前記範囲内であることを検証することを含む、非一時的プログラムストレージデバイス。

【請求項12】

請求項８に記載の非一時的プログラムストレージデバイスであって、前記更新範囲値が、前記証明書のデジタル署名によって保護される、非一時的プログラムストレージデバイス。

【請求項13】

請求項８に記載の非一時的プログラムストレージデバイスであって、前記ソフトウェア更新がファームウェア更新を含む、非一時的プログラムストレージデバイス。

【請求項14】

デバイスであって、
メモリと、
前記メモリに動作可能に結合される１つ又は複数のプロセッサと、
を含み、前記１つ又は複数のプロセッサが、非一時的命令を実行するように構成され、前記非一時的命令が、前記１つ又は複数のプロセッサに、
ソフトウェア更新と前記ソフトウェア更新に関連する証明書とを前記デバイスによって受け取らせることと、
前記デバイスの格納された公開鍵に基づいて前記ソフトウェア更新に関連する前記証明書を前記デバイスによって検証させることと、
前記証明書から更新範囲値のセットを抽出させることと、
前記更新範囲値を前記更新の対応する属性と比較させることと、
前記比較に基づいて前記ソフトウェア更新を適用させるか、又は、前記比較に基づいて前記ソフトウェア更新を拒否させることと、
デバイス。

【請求項15】

請求項１４に記載のデバイスであって、前記更新範囲値が証明書更新シーケンス番号を含み、前記対応する属性が、前記デバイスのシーケンス番号を含む、デバイス。

【請求項16】

請求項１５に記載のデバイスであって、前記比較することが、前記証明書更新シーケンス番号が前記シーケンス番号よりも大きいことを検証することを含み、
前記デバイスに格納された前記命令がさらに、前記１つ又は複数のプロセッサに、前記デバイスの前記シーケンス番号を前記証明書更新シーケンス番号で置換させる、
デバイス。

【請求項17】

請求項１４に記載のデバイスであって、前記更新範囲値がバージョン番号を含み、前記対応する属性が前記ソフトウェア更新のバージョン番号を含み、前記比較することが、前記バージョン番号が前記ソフトウェア更新の前記バージョン番号と一致することを検証することを含む、デバイス。

【請求項18】

請求項１４に記載のデバイスであって、前記更新範囲値がバージョン番号の範囲を含み、前記対応する属性が前記ソフトウェアのバージョン番号を含み、前記比較することが、前記ソフトウェアの前記バージョン番号がバージョン番号の前記範囲内であることを検証することを含む、デバイス。

【請求項19】

請求項１４に記載のデバイスであって、前記更新範囲値が、前記証明書のデジタル署名によって保護される、デバイス。

【請求項20】

請求項１４に記載のデバイスであって、前記クライアントデバイスの前記格納された公開鍵が、前記デバイスの製造者の公開鍵を含む、デバイス。

【発明の詳細な説明】

【技術分野】

【0001】

一般に、本明細書では接続デバイス（connected device）と呼ばれる、インターネットに接続することができるデバイスは、出荷済ソフトウェアバージョンがデバイスに事前にインストールされた状態で、ユーザによって入手される。多くの場合、出荷済ソフトウェアがリリースされた後、出荷済ソフトウェアに対するソフトウェア更新として、種々の機能を強化又は付加するための付加的な変更、バグの修正、セキュリティの問題への対処などが成され得る。ソフトウェアの更新により、接続デバイス上で実行されるソフトウェアが、リリース時に固定されたままではなく環境と共に進化することを可能にすることによって、接続デバイスが、絶えず変化する環境に適応することが可能になる。

【0002】

多くの場合、接続デバイス更新プロセスには、ソフトウェア更新パッケージに関連するデジタル署名及び証明書を検証することなどによって、ソフトウェア更新パッケージをダウンロードするか又はその他の方式で取得すること、及び、ソフトウェア更新パッケージを認証することが含まれる。このデジタル署名又は証明書は、接続デバイスベンダの公開鍵を用いて検証される。しかしながら、これらの公開鍵及び証明書は無制限の範囲を有することがあり、比較的複雑な取消メカニズムを用いて証明書が取消されない限り、動作可能であることがある。場合によっては、ソフトウェア更新を適用するために必要とされるメモリ、ネットワークリソース、及び処理能力の量を最小限に抑えるのに役立つように、取消プロセスに関連する複雑さを低減又は除去することが望ましい。

【発明の概要】

【0003】

本記載は、ソフトウェアの更新に関する。より詳細には、限定は意図していないが、本記載の態様は、ソフトウェアを更新するための手法に関し、この手法は、ソフトウェア更新及び証明書をクライアントデバイスによって受け取ることと、クライアントデバイスの格納された公開鍵に基づいてソフトウェア更新に関連する証明書をクライアントデバイスによって検証することと、証明書から更新範囲値を抽出することと、更新範囲値を更新の対応する属性と比較することと、比較に基づいてソフトウェア更新を適用することか又は比較に基づいてソフトウェア更新を拒否するかのいずれかを行うこととによって成される。

【0004】

本記載の別の態様は、非一時的プログラムストレージデバイスに関し、非一時的プログラムストレージデバイスは、そのデバイスに格納された命令を含み、命令は、１つ又は複数のプロセッサに、ソフトウェア更新のための属性を定義する更新範囲値を生成させ、更新範囲値を保護するデジタル署名を生成させ、デジタル署名と更新範囲値とを含む証明書を生成させ、証明書及び更新範囲値をクライアントデバイスへ送信させ、更新範囲値は、クライアントデバイスが更新範囲値を更新の対応する属性と比較することを可能にするように構成される。

【0005】

本記載の別の態様は、メモリと、メモリに動作可能に結合された１つ又は複数のプロセッサとを含むデバイスに関し、１つ又は複数のプロセッサは非一時的命令を実行するように構成され、非一時的命令は、１つ又は複数のプロセッサに、ソフトウェア更新とソフトウェア更新に関連する証明書とをデバイスによって受信させ、デバイスの格納された公開鍵に基づいてソフトウェア更新に関連する証明書をデバイスによって検証させ、証明書から更新範囲値のセットを抽出させ、更新範囲値を更新の対応する属性と比較させ、比較に基づいてソフトウェア更新を適用させるか又は比較に基づいてソフトウェア更新を拒否させるかのいずれかをさせる。

【0006】

種々の例の詳細な説明のため、ここで、添付の図面を参照する。

【図面の簡単な説明】

【0007】

【図1】デジタル証明書のチェーンを図示するブロック図である。

【0008】

【図2】幾つかの例においてソフトウェア更新２００を適用するための手法を図示するブロック図である。

【0009】

【図3】幾つかの例においてソフトウェアを更新するための手法を図示する。

【0010】

【図4】幾つかの例においてソフトウェアを更新するための手法を図示する。

【0011】

【図5】幾つかの例における、コンピューティングシステムの実施例の概略図である。

【0012】

【図6】幾つかの例における、接続デバイスの実施例のブロック図である。

【発明を実施するための形態】

【0013】

公開鍵暗号は、多くの場合、デジタル証明書及び署名と併せて用いられる。公開鍵暗号において、一対の鍵、公開鍵、及び秘密鍵は、一方向関数を用いて数学的に関連される。公開鍵及び秘密鍵は、公開鍵を用いて符号化されたメッセージが秘密鍵を用いてのみ復号され得、逆もまた同様であるように関連付けられる。そのため、デジタル文書（例えば、任意の種類のファイル）が、秘密鍵を用いてハッシュを符号化するデジタル文書のビットをハッシュし、次いで、符号化されたハッシュを公開鍵とともにデジタル文書に添付することによって、デジタル的に署名することができる。次いで、公開鍵を用いてハッシュを復号し、次いで、復号されたハッシュをデジタル文書のハッシュと比較することによって、検証を実施することができる。デジタル署名は、特定のソフトウェア更新が、接続デバイス又はシステムのベンダなどの信頼できるソースからのものであることを検証するために、用いられ得る。

【0014】

或る接続デバイスは、デジタル署名によって検証されるように、信頼できるソースからのソフトウェア更新のみをインストールする。多くの場合、接続デバイスは、接続デバイスのベンダに関連する公開鍵を含む。この公開鍵又は証明書は、接続デバイスを生成する一部として、接続デバイスにインストールされ得る。ソフトウェア更新が開発されるとき、ソフトウェアはベンダの秘密鍵を用いて署名され、署名はソフトウェア更新パッケージに添付される。接続デバイスがソフトウェア更新パッケージを受け取った後、接続デバイスは、例えば、接続デバイスの製造中に、接続デバイス上に事前に格納された公開鍵又は証明書を用いてデジタル署名を検証することによって、ソフトウェア更新を検証する。ソフトウェア更新の公開鍵又は証明書がデバイスによって検証されると、ソフトウェア更新は信頼され、適用され得る。

【0015】

図１は、デジタル証明書のチェーン１００を図示するブロック図である。或る場合において、接続デバイスのベンダが、そのベンダに関連する接続デバイスのためのルート証明書認証局としての役割を果たし得る。ルート証明書１０２は、ルート証明書認証局の名前、識別子、証明書の有効日などの、ルートメタデータ１０４を含む。ルート証明書１０２の公開鍵は、ルート証明書認証局の秘密鍵に関連付けられる。ルート証明書１０２はまた、ルート公開鍵１０６及びルート署名１０８を含む。ルート署名１０８は、ルート証明書１０２が自己署名されるので、ルート証明書認証局の秘密鍵を用いて、ルートメタデータ及びルート公開鍵１０６に基づいて計算され得る。ベンダがルート証明書認証局である場合、ルート公開鍵１０６は、信頼公開鍵のルート（ＲＯＴＰＫ:root of trust public key）として機能する。

【0016】

ベンダがルート証明書認証局である場合、そのベンダは、ルート証明書のセキュリティを維持するのを助けるために証明書を直接発行するルート証明書１０２を使用することを望まないことがある。そのような場合、ベンダは、ルート証明書１０２に基づいて１つ又は複数の中間証明書１１０を作成することができる。ここで、中間証明書１１０は中間メタデータ１１２を含み、これは、中間証明書１１０が誰のためのものであるか、又はどの目的のためのものであるかなど、中間認証局を識別するメタデータを含み得る。例えば、中間メタデータ１１２は、中間証明書１１０がファームウェア更新に署名するためのファームウェア認証キー（ＦＷＡＫ）であり、特定の人又はチームに発行されることを示し得る。ファームウェアは、接続デバイスのハードウェアを制御する低レベルソフトウェアを指し得る。ファームウェアという用語が用いられる場合、本明細書で説明する概念は一般に、ソフトウェア及びデバイスにより広く適用することもできる。中間メタデータ１１２は、例えば、ルート公開鍵１０６、又はルート証明書認証局の名称を含むことにより、ルート証明書認証局も識別し得る。中間メタデータ１１２は、中間署名１１４を作成するためにルート証明書認証局の秘密鍵を用いてハッシュされ署名され得る。中間証明書は、中間認証局の秘密鍵に基づく中間公開鍵１１６も含む。

【0017】

或る場合において、ベンダがルート証明書認証局として機能しなくてもよく、ルート証明書１０２は、商業証明書認証局などの証明書認証局によって保持される。そのような場合、ベンダは、証明書認証局に第１の中間証明書１１０を要求し、取得することができる。次いで、ベンダは、第１の中間証明書１１０に基づいて、ＦＷＡＫとして使用するための第２の中間証明書を生成することもできる。必要に応じて、付加的な中間証明書を生成することもできる。第２の中間証明書は、第１の中間公開鍵１１６及び／又は第１の中間証明書認証局の名前を含めることによって、中間証明書認証局、すなわち第１の中間証明書が発行された組織、を識別することができる。

【0018】

ファームウェア更新の開発及び／又はリリース部分の間、デジタル署名がファームウェア更新に適用され得る。このデジタル署名を作成するには、中間証明書１１０又はルート証明書１０２に関連する秘密鍵の使用が必要となり得る。場合によって、秘密鍵のセキュリティが従業員の交替又は不正行為などによって、潜在的に損なわれる可能性があり、秘密鍵を取り消し、また、その他の方式で置換する必要がある場合がある。しかしながら、これらの鍵の取消は接続デバイスでは困難であり得る。というのも、これらのデバイスがオフラインであり得るか又は取消情報で更新することが困難であり得るためである。

【0019】

図２は、幾つかの例においてソフトウェア更新２００を適用するための手法を図示するブロック図である。或る場合において、更新パッケージ２０２が、更新証明書２０６とともに、接続デバイス２３０を更新するための更新コード２０４を含む。更新証明書２０６は、更新コード２０４とともに、図１に関連して説明したような証明書のチェーンに基づくことができる。例えば、或る組織が中間証明書認証局として機能し、開発又は更新チームなどの下位組織、又は開発者などの個人にさえも、証明書を発行することができる。より詳細な例として、開発者が公開／秘密鍵ペアを生成し得、それらの公開鍵を中間証明書認証局に提出して証明書を要求することができる。その後、組織は、例えば、開発者の公開鍵、例えば、サブジェクト公開鍵２１２、及び組織のデジタル署名、例えば、発行者署名２１０を含む、その開発者に基づく証明書を発行し得る。発行者署名２１０は、サブジェクト公開鍵２１２及びサブジェクトメタデータのハッシュに少なくとも部分的に基づき得る。

【0020】

更新証明書２０６はまた、証明書シーケンス番号２１４、ファームウェアバージョン２１６、ターゲットファームウェア構成要素２１８、有効期間２２０、デバイスＩＤ２２２などの、範囲フィールドを含み得る。更新証明書２０６は、必要に応じて付加的な範囲フィールド２２４を含み得る。或る場合において、範囲フィールドが、メタデータとして、例えば、サブジェクトメタデータに含まれてもよい。例えば、発行者メタデータ２０８は、１つ又は複数の範囲フィールドを含み得る。範囲フィールドは、ファームウェア更新の範囲を定義し、ファームウェア更新の範囲を識別する付加情報を含む。範囲フィールドは、デジタル署名によって署名され保護される。例えば、範囲フィールドは、ハッシュされ発行者によって署名される証明書の一部に含まれ、範囲は更新証明書２０６に対して固定される。場合によっては、範囲フィールド内の値によって定義されるように、更新証明書ごとに異なる範囲が設定され得る。例えば、証明書は、ＦＷの各ビルドに対して更新される証明書が有効である更新コード２０４の特定のバージョンを含み得る。或る場合において、範囲フィールドの値が更新コードのプロパティに基づいてもよく、サブジェクトによって提供されてもよく、又は発行者によって提供されてもよい。

【0021】

更新パッケージ２０２が接続デバイス２３０によって受け取られた後、ファームウェア更新２０２は、接続デバイス２３０のメモリに格納され得る。接続デバイス２３０の証明書検証モジュール２３６が、ファームウェア更新が信頼できるソースからのものであることを検証する。例えば、接続デバイス２３０は、現在のファームウェアバージョン２３４を有する現在のファームウェア２３２を含む。ファームウェア更新２０２が更新プロトコル２５０を介して受け取られた後、証明書検証モジュール２３６は、発行者の公開鍵２１２を用いて更新証明書２０６を検証し、発行者署名２１０を検証する。証明書検証モジュール２３６は、ファームウェア更新２０２から中間証明書２２６にアクセスして、中間証明書２２６からルート公開鍵を取得し得る。次いで、この取得されたルート公開鍵は、接続デバイス２３０の生産中にインストールされたベンダ証明書２３８からのＲＯＴＰＫに対して検証される。中間証明書２２６をＲＯＴＰＫに対して検証することは、接続デバイス２３０が発行者が信頼できるソースであることを検証することを可能にする。ファームウェア更新が信頼できるソースからのものである場合、更新証明書の範囲が検証され得る。

【0022】

証明書の範囲は、更新を適用するために満たされなければならない一連の条件を定義する。範囲フィールドによって定義されるファームウェア更新２０２の範囲は、ファームウェア更新２０２を受け取る接続デバイス２３０によって実施される。接続デバイス２３０の範囲検証モジュール２４０は、例えば、ファームウェア更新２０２の所有権、デバイスの所有権、更新がどのように適用されているかなどに基づいて、証明書によって定義される範囲を更新の条件に対して検証し得る。一例として、更新の範囲は、証明書に関連するシーケンス番号に基づき得る。この例では、シーケンス番号が一度だけ使用することができ、証明書は一意の増加する番号である証明書シーケンス番号２１４を用いて生成され得る。従って、新しい証明書が生成されるたびに、新しい証明書には、前の証明書に関連する証明書シーケンス番号よりも大きい異なる証明書シーケンス番号が提供される。接続デバイス２３０が更新を適用すると、接続デバイス２３０は、この例では、更新に関連するシーケンス番号を、現在のシーケンス番号２４２として格納する。次の更新が受け取られると、範囲検証モジュール２４０は、格納されたＲＯＴＰＫに対して証明書のデジタル署名を検証した後、更新証明書２０６から証明書シーケンス番号２１４を取得する。範囲検証モジュール２４０は、接続デバイス２３０の現在のシーケンス番号２４２を取得し、現在のシーケンス番号２４２をファームウェア更新の証明書シーケンス番号２１４と比較して、証明書シーケンス番号２１４が現在のシーケンス番号２４２と同じであることを検証する。証明書シーケンス番号２１４が現在のシーケンス番号２４２を超える場合、証明書及び関連する更新は、範囲内であり得る。所与の証明書シーケンス番号が複数回使用され得る場合、接続デバイス２３０は、特定のシーケンス番号が使用されるたびに増分され、制限に対して比較されるカウンタを含み得る。

【0023】

別の例として、更新の範囲は、ファームウェアバージョンに基づき得る。この例では、範囲検証モジュール２４０は、証明書のデジタル署名が格納されたＲＯＴＰＫに対して検証された後、証明書の範囲フィールドからバージョン範囲２１６を取得し得る。このバージョン範囲２１６は、場合によっては、証明書が有効であるバージョン、又はバージョンの範囲を指定する。範囲検証モジュール２４０はまた、更新されたコード２０４の更新バージョン、ならびに現在のファームウェアバージョン２３４を取得し得る。範囲検証モジュールは、更新バージョンが現在のファームウェアバージョンよりも大きいことを検証し、また、更新コード２０４の更新バージョンが、バージョン範囲２１６と一致するか、又はバージョン範囲２１６の範囲内であることを検証する。更新コード２０４の更新バージョンがバージョン範囲２１６に対して検証できない場合、更新コード２０４は拒否される。

【0024】

別の例として、更新の範囲は、接続デバイス２３０の構成要素に基づき得る。或る場合において、接続デバイス２３０のファームウェアは、例えば、接続デバイスの構成に基づいて、変化し得る。接続デバイスの特定のバージョンは、異なるサポートされるネットワーキングプロトコル、利用可能なセンサ、ロケーション固有の相違など、異なる特徴をサポートし得る。接続デバイスのこれらの異なるバージョンは、サポートされる機能に基づいて異なるファームウェア構成要素を有し得る。特定の現在のファームウェア構成要素２３４に関する情報は、現在のファームウェア２３２に含まれ得る。範囲検証モジュール２４０は、ファームウェア更新２０２の範囲をチェックする一部として、ターゲットファームウェア構成要素２１８範囲フィールド及び現在のファームウェア構成要素２３４にアクセスし得る。範囲検証モジュール２４０は、現在のファームウェア構成要素２３４を比較して、ターゲットファームウェア構成要素２１８が現在のファームウェア構成要素２３４と一致すると判定し得る。或る場合において、範囲検証モジュール２４０は、ターゲットファームウェア構成要素２１８が現在のファームウェア構成要素２３４のうちの少なくとも幾つかを含むことをチェックし得る。

【0025】

別の例として、更新の範囲は、デバイス識別子（ＩＤ）２４４に基づき得る。或る場合において、接続デバイス２３０は、接続デバイス２３０の生産中にインストールされ得るデバイスＩＤ２２４を含む。範囲検証モジュール２４０は、ファームウェア更新２０２からデバイスＩＤ２２２のリストにアクセスして、接続デバイス２３０のデバイスＩＤ２４４がデバイスＩＤ２２２のリストにあることを検証することができる。

【0026】

或る場合において、ファームウェア更新２０２の範囲は、付加的なプロパティによって定義されてもよく、例えば、付加的な範囲フィールド２２４に含まれてもよい。例えば、付加的な範囲フィールド２２４は、ファームウェア更新２０２が或る更新プロトコル２５０を介して受け取られた場合、接続デバイス２３０が範囲内であり得ることを示し得る。この更新プロトコルは、更新がどのように取得されたか、例えば、更新を取得するために用いられるネットワークプロトコル、又は、更新が例えばＵＳＢを介してデバイスに直接コピーされたかどうかを定義し得る。更新プロトコルは、ファームウェア更新２０２とともに、識別されメモリ２４６に格納され得る。ファームウェア更新２０２の範囲を定義する他のプロパティも、例えば、付加的な範囲フィールド２２４に含まれてもよい。

【0027】

図３は、幾つかの例においてソフトウェア３００を更新するための手法を図示する。工程３０２において、クライアントデバイスが、ソフトウェア更新と、ソフトウェア更新に関連する証明書とを受け取る。例えば、接続デバイスが、ファームウェア更新を受信し得る。ファームウェア更新は、証明書範囲フィールドのハッシュに基づくデジタル署名と共にデジタル証明書を含み得る。或る場合において、デジタル証明書は、ソフトウェア更新とは別に受信されてもよい。工程３０４において、クライアントデバイスは、クライアントデバイス上の格納された公開鍵に基づいて、ソフトウェア更新に関連する証明書を検証する。例えば、証明書は中間機関の公開鍵を含み得、この証明書は署名を抽出するために使用することができ、この署名は、接続デバイス上に格納された製造業者の公開鍵によって復号されてそのソフトウェア更新が製造業者から発信されたことを検証し得る。この公開鍵は、例えば、デバイスが製造されたときに、デバイス上に格納され得る。工程３０６において、更新範囲値が証明書から抽出される。例えば、１つ又は複数の範囲フィールドが、更新証明書とともに含まれ得る。これらの範囲フィールドは、ファームウェア更新の範囲を定義する。範囲フィールドの例には、証明書シーケンス番号、ソフトウェアバージョン番号又は範囲、及び更新プロトコルが含まれる。工程３０８において、更新範囲値は、更新の対応する属性と比較される。更新の属性は、例えば、クライアントデバイスのプロパティ、更新を取得するために用いられるプロトコル又は手法などの環境値、更新に関連するメタデータ、証明書と更新との間の関係などを含み得る。例えば、更新シーケンス番号は、接続デバイス上に既にあるソフトウェアに関連する現在のシーケンス番号と比較されて、更新シーケンス番号がより大きいことを検証し得る。他の例には、アップグレードバージョン番号が範囲フィールド内のバージョン番号と等しいか又はその範囲内であることを検証することが含まれる。工程３１０において、ソフトウェア更新は比較に基づいて適用されるか、又はソフトウェア更新は比較に基づいて拒否される。例えば、比較が成功した場合、ソフトウェア更新が適用され得る。別の例における、ソフトウェア更新バージョンが証明書で定義されたバージョンの範囲外である場合など、比較が失敗した場合にソフトウェア更新が拒否される。

【0028】

図４は、幾つかの例においてソフトウェア４００を更新するための手法を図示する。工程４０２において、更新範囲値が生成され、更新範囲値は、更新のための属性を定義する。上述のように、更新の属性は、例えば、クライアントデバイスのプロパティ、更新を取得するために用いられるプロトコル又は手法などの環境値、更新に関連するメタデータ、証明書と更新との間の関係などを含み得る。場合によって、複数の属性が含まれ得る。４０４において、更新範囲値を保護するデジタル署名が生成され得る。例えば、範囲値は、デジタル証明書の１つ又は複数のフィールドに含まれ得る。デジタル署名は、範囲値を含む、デジタル証明書のフィールドに基づいて生成され得る。次いで、デジタル署名は、範囲値を保護する。或る場合において、デジタル署名は証明書の発行者のデジタル署名であってもよい。工程４０６において、デジタル署名及び更新範囲値を含む証明書が生成される。工程４０８において、ソフトウェア更新及び更新範囲値が接続デバイスに送信され、更新範囲値は、クライアントデバイスが更新範囲値を更新の対応する属性と比較することを可能にするように構成される。

【0029】

図５は、本記載の実施例が機能し得るコンピューティングシステム５００の実施例の概略図である。コンピューティングシステム５００は、接続デバイス５０２Ａ－５０２Ｃ（総称して５０２）、更新サーバ５０４、及びインターネット等のネットワーク５０６を含み得る。幾つかの実施例において、更新サーバ５０４は、単一のサーバではなく、統一資源位置指定子（ＵＲＬ）などの単一のネットワークアドレスを介してアクセス可能な１つ又は複数のサーバであってもよい。場合によっては、更新サーバ５０４は、代替ダウンロードソースのリストであってもよく、第三者のサーバを含んでもよい。ＵＲＬは、ソフトウェア更新を販売する機関によって利用されてもよい。図５には具体的に示されていないが、更新サーバ５０４は１つ又は複数のデータセンタを含むこともできる。データセンタは複数のサーバインスタンスを含み得、各サーバインスタンスは、単一の電子コンピューティングデバイス（例えば、単一の物理ハードウェアサーバ）などの物理コンピューティングシステム上で実装され得、又はマルチコンピューティングデバイス（例えば、複数の物理ハードウェアサーバ）の形態としてもよい。サーバインスタンスは、１つ又は複数のネットワークデバイス（例えば、ゲートウェイ又はルータ）、又はデバイスの組合せを介して接続されて、ネットワークトラフィックを適切なサーバにルーティング又は方向付けることができる。或る場合において、サーバがローカルエリアネットワーク（ＬＡＮ）内に配置されてもよい。

【0030】

接続デバイス５０２は、ＩｏＴデバイス、スマートフォン、タブレットなどのモバイルデバイス、パーソナルコンピュータ、ウェアラブルデバイスなどを含み得るが、これらに限定されない。接続デバイス５０２Ａ及び５０２Ｂのような或る接続デバイス５０２は、ネットワーク５０６を介して更新サーバ５０４と接続され通信し得る。或る接続デバイス５０２Ｃは、１つ又は複数の他の接続デバイス５０２Ｄに結合され、１つ又は複数の他の接続デバイス５０２Ｄ及びネットワーク５０６を介して更新を取得することができる。ネットワーク５０６は、ＬＡＮ、ワイドエリアネットワーク（ＷＡＮ）、インターネット、及び／又は他のリモートネットワークなど、今日利用可能な１つ又は複数のコンピューティングネットワークを含み得る。ネットワーク５０６は、電気的及び／又は光学的ドメインで動作する有線及び／又はワイヤレスのプログラマブルデバイスを含み得る。例えば、ネットワーク５０６は、イーサネット、ＵＳＢ（ユニバーサルシリアルバス）、光ファイバー接続などの有線ネットワーク、セルラーネットワーク（例えば、ＧＳＭ（Global System for Mobile Communications）ベースのセルラーネットワーク）、ワイヤレスフィディリティ（ＷｉＦｉ（登録商標）（ＷＩＦＩはワイ－ファイ アライアンス法人によって所有される登録商標である）ネットワークなどのワイヤレスネットワーク、及び／又は、本明細書を読めば当業者に理解されるような他の好適な無線ベースのネットワークを含み得る。ネットワーク５０６はまた、ＴＣＰ（送信制御プロトコル）及びＩＰ（インターネットプロトコル）など、任意の数のネットワーク通信プロトコルを採用し得る。図５には明示的に示されていないが、ネットワーク５０６は、サーバ、ルータ、ネットワークスイッチ、及び／又は、ネットワークを介してデータを転送するように構成された他のネットワークハードウェアデバイスなど、様々なネットワークデバイスを含み得る。場合によっては、更新サーバ５０４は、接続デバイス５０２に直接接続され得る。例えば、更新サーバ５０４は、ダイレクトシリアルインタフェース、短距離無線周波数接続、パラレルケーブルなどを介して接続され得る。

【0031】

図６に図示されるように、接続デバイス６００は、１つ又は複数のハードウェアプロセッサを含むプロセッサ６０５などの処理要素を含み、各ハードウェアプロセッサが、単一の又は多数のプロセッサコアを有し得る。プロセッサの例は、中央処理装置（ＣＰＵ）又はマイクロプロセッサを含むが、これらに限定されない。図６には示されていないが、プロセッサ６０５の処理要素はまた、グラフィックスプロセッシングユニット（ＧＰＵ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、及び／又はデジタルシグナルプロセッサ（ＤＳＰ）など、１つ又は複数の他のタイプのハードウェア処理構成要素を含み得る。

【0032】

図６は、メモリ６１０がプロセッサ６０５に動作可能かつ通信可能に結合され得ることを図示する。メモリ６１０は、様々なタイプのデータを格納するように構成された非一時的コンピュータ可読記憶媒体であり得る。例えば、メモリ６１０は、ランダムアクセスメモリ（ＲＡＭ）などの１つ又は複数の揮発性装置を含み得る。不揮発性ストレージデバイス６２０は、１つ又は複数のディスクドライブ、光学ドライブ、ソリッドステートドライブ（ＳＳＤ）、テープドライブ、フラッシュメモリ、電気的プログラマブル読み出し専用メモリ（ＥＥＰＲＯＭ）、及び／又は、電力損失又はシャットダウン動作後の時間期間にわたってデータを維持するように設計された任意の他のタイプのメモリを含み得る。不揮発性ストレージデバイス６２０はまた、そのようなプログラムが実行されるときにＲＡＭにロードされるプログラムを格納するために用いられ得る。

【0033】

当業者は、ソフトウェアプログラムが、様々なソフトウェアプラットフォーム及び／又は、オペレーティングシステムのための様々なコンピューティング言語で開発、符号化、及びコンパイルされ、その後、プロセッサ６０５によってロードされ、実行され得ることを認識している。一実施例において、ソフトウェアプログラムのコンパイルプロセスは、プロセッサ６０５がプログラミングコードを実行できるように、プログラミング言語で書かれたプログラムコードを別のコンピュータ言語に変換することができる。例えば、ソフトウェアプログラムのコンパイルプロセスは、プロセッサ６０５が、特定の非汎用の特定のコンピューティング機能を達成できるように、符号化された命令（例えば、機械コード命令）を提供する実行可能プログラムを生成し得る。

【0034】

コンパイル処理の後、符号化された命令は、コンピュータ実行可能命令又は処理工程として、ストレージ６２０から、メモリ６１０からプロセッサ６０５にロードされ得、及び／又は（例えば、キャッシュ又はオンボードＲＯＭを介して）プロセッサ６０５内に埋め込まれ得る。プロセッサ６０５は、コンピューティングデバイスを、非汎用の、特に、特別にプログラムされた機械又は装置に変換するための命令又は処理工程を実行するために、格納された命令又は処理工程を実行するように構成され得る。格納されたデータ、例えば、ストレージデバイス６２０によって格納されたデータは、コンピュータ実行可能命令又は処理工程の実行中にプロセッサ６０５によってアクセスされて、コンピューティングデバイス６００内の１つ又は複数の構成要素に命令することができる。ストレージ６２０は、異なるソフトウェアプログラムによってアクセスされ得る複数のセクションに区分又は分割され得る。例えば、ストレージ６２０は、コンピューティングデバイス６００のソフトウェアを更新するためのプログラム命令又はデータを格納するなど、特定の目的のために指定されたセクションを含み得る。一実施例において、更新されるソフトウェアは、コンピューティングデバイスのＲＯＭ又はファームウェアを含む。或る場合において、コンピューティングデバイス６００は、複数のオペレーティングシステムを含み得る。例えば、コンピューティングデバイス６００は、通常の動作に利用される汎用オペレーティングシステムを含み得る。コンピューティングデバイス６００はまた、汎用オペレーティングシステムのアップグレード及び回復などの特定のタスクを実施し、汎用オペレーティングシステムを通して一般に利用可能ではないレベルでコンピューティングデバイス６００へのアクセスを可能にするための、ブートローダなどの別のオペレーティングシステムを含み得る。汎用オペレーティングシステムと別のオペレーティングシステムの両方が、特定の目的のために指定されたストレージ６２０のセクションへのアクセスを有し得る。

【0035】

コンピューティングデバイス６００はまた、プロセッサ６０５に通信可能に結合され得る１つ又は複数の通信インタフェース６２５を含み得る。１つ又は複数の通信インタフェースは、１つ又は複数の無線通信デバイスとインタフェースするための無線通信インタフェースを含み得る。場合によっては、プロセッサに結合された要素が、プロセッサと共有されるハードウェア上に含まれ得る。例えば、通信インタフェース６２５、ストレージ６２０、及びストレージ６１０は、デジタル無線などの他の要素と共に、システムオンチップ（ＳＯＣ）などの単一のチップ又はパッケージに含まれてもよい。コンピューティングデバイス６００はまた、入力デバイス６３０を含み得る。入力デバイスの例には、センサ、カメラ、及びマウス、キーボード、タッチスクリーンなどの人間による入力デバイスが含まれる。処理された入力は、通信インタフェース６２５を介してコンピューティングデバイス６００から１つ又は複数の他のデバイスに出力され得る。或る場合において、コンピューティングデバイス６００はまた、例えば、ユーザに出力を提供するための、図示されていない出力デバイスを含み得る。出力デバイスの例には、例えば、ディスプレイスクリーン、触覚又は動き生成器、スピーカー、ライト等が含まれる。

【0036】

「結合する」という用語は本明細書全体を通して用いられている。この用語は、本明細書の説明と一貫する機能的関係を可能にする、接続、通信、又は信号経路を網羅し得る。例えば、デバイスＡが、或る行為を行なうためにデバイスＢを制御するための信号を生成する場合、第１の例においてデバイスＡがデバイスＢに結合されるか、又は第２の例において、介在構成要素ＣがデバイスＡとデバイスＢとの間の機能関係を実質的に変化させない場合にデバイスＢがデバイスＡによって生成される制御信号を介してデバイスＡによって制御されるように、デバイスＡは介在構成要素Ｃを介してデバイスＢに結合される。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【国際調査報告】