特表 2024-529914 セキュリティエレメントにおけるソフトウェア更新

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-08-14

(54)【発明の名称】セキュリティエレメントにおけるソフトウェア更新

(51)【国際特許分類】

   G06F 8/65 20180101AFI20240806BHJP

【ＦＩ】

G06F8/65

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024503482

(86)(22)【出願日】2022-07-26

(85)【翻訳文提出日】2024-02-09

(86)【国際出願番号】 EP2022025349

(87)【国際公開番号】W WO2023006246

(87)【国際公開日】2023-02-02

(31)【優先権主張番号】21382706.6

(32)【優先日】2021-07-28

(33)【優先権主張国・地域又は機関】EP

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＪＡＶＡ

(71)【出願人】

【識別番号】523479709

【氏名又は名称】ギーゼッケプラスデフリエント モバイル セキュリティ ジャーマニー ゲーエムベーハー

(74)【代理人】

【識別番号】100079108

【弁理士】

【氏名又は名称】稲葉 良幸

(74)【代理人】

【識別番号】100109346

【弁理士】

【氏名又は名称】大貫 敏史

(74)【代理人】

【識別番号】100117189

【弁理士】

【氏名又は名称】江口 昭彦

(74)【代理人】

【識別番号】100134120

【弁理士】

【氏名又は名称】内藤 和彦

(72)【発明者】

【氏名】ルアウ，マリアノ

(72)【発明者】

【氏名】ジフレ，クララ

(72)【発明者】

【氏名】ガルシア ファレス，アンドリュー

(72)【発明者】

【氏名】ゴメス ソル，パブロ ダニエル

【テーマコード（参考）】

5B376

【Ｆターム（参考）】

5B376CA48

(57)【要約】

第一の態様では、本発明は、セキュアエレメント（１００）におけるインストールされたソフトウェア（６０ａ）、特にオペレーティングシステム、ＯＳ（３０ａ）を更新する方法に関する。この方法は、セキュアエレメント（１００）に更新エージェント（１０）を提供するステップＳ１と、インストールされたソフトウェア（３０ａ、６０ａ）を動作させるために必要な特定データ（３５ａ、６５ａ）を更新エージェント（１０）のメモリ（１２）内に確保するステップＳ３と、ソフトウェアイメージ（３０ｂ）、（６０ｂ）をセキュアエレメント（１００）にロードするステップＳ４ａであって、ソフトウェアイメージ（３０ｂ、６０ｂ）は、インストールされたソフトウェア（３０ａ、６０ａ）の更新を表す、ステップＳ４ａと、ソフトウェアイメージ（３０ｂ、６０ｂ）を、確保された特定データ（３５ｂ、６５ｂ）によって動作可能にするステップとを含む。さらなる態様によれば、本発明は、本発明の他の態様に関連するそれぞれのセキュアエレメント（１００）、更新エージェント（１０）及びコンピュータプログラム製品に関する。

【特許請求の範囲】

【請求項1】

セキュアエレメント、ＳＥ（１００）におけるインストールされたソフトウェア（６０ａ）、特にオペレーティングシステム、ＯＳ（３０ａ）を更新する方法であって、
－ 前記ＳＥ（１００）に更新エージェント（１０）を提供すること（Ｓ１）、
－ 前記インストールされたソフトウェア（３０ａ、６０ａ）を動作させるために必要な特定データ（３５ａ、６５ａ）を前記更新エージェント（１０）のメモリ（１２）内に確保すること（Ｓ３）、
－ ソフトウェアイメージ（３０ｂ、６０ｂ）を前記ＳＥ（１００）にロードすること（Ｓ４ａ）であって、前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記インストールされたソフトウェア（３０ａ、６０ａ）の更新を表す、ロードすること（Ｓ４ａ）、
－ 前記ソフトウェアイメージ（３０ｂ、６０ｂ）を、前記確保された特定データ（３５ｂ、６５ｂ）によって動作可能にすること（Ｓ５）
を含む方法。

【請求項2】

前記確保するステップ（Ｓ３）において、前記インストールされたソフトウェア（３０ａ、６０ａ）の個人化データ、特に安全なクレデンシャル及び／又は暗号鍵を含む特定データ（３５ａ、６５ａ）が確保される、請求項１に記載の方法。

【請求項3】

前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記個人化データ（３５ａ、６５ａ）で個人化されており、及び前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記ソフトウェアイメージ（３０ｂ、６０ｂ）が、前記個人化データ（３５ｂ、６５ｂ）を使用して前記ソフトウェアイメージ（３０ｂ、６０ｂ）を個人化することによって動作可能にされる（Ｓ５）ことにおいて更新される（Ｓ４、Ｓ５）、請求項２に記載の方法。

【請求項4】

前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記特定データ（３５ａ、６５ａ）と共に前記ＳＥ（１００）のメモリ領域（５５）内に記憶され、及び前記特定データ（３５ａ、６５ａ）は、前記ＳＥ（１００）の前記メモリ領域（５５）からの前記特定データ（３５ｂ、６５ｂ）を再使用し、及び／又はそれを前記更新エージェント（１０）の前記メモリ（１２）にコピーすることによって確保される（Ｓ３）、請求項１～３の何れか一項に記載の方法。

【請求項5】

前記インストールされたソフトウェア（６０ａ、３０ａ）は、前記ソフトウェアイメージ（３０ｂ、６０ｂ）をロードする（Ｓ４ａ）前に、又は前記ソフトウェアイメージ（３０ｂ、６０ｂ）を前記メモリ領域（５５）にロードした（Ｓ４ａ）結果として、前記ＳＥ（１００）の前記メモリ領域（５５）を削除することにより、前記特定データ（３５ａ、６５ａ）と共に削除される（Ｓ４）、請求項４に記載の方法。

【請求項6】

前記特定データ（３５ａ、６５ａ）は、前記ＳＥ（１００）の生産段階（Ｉ）中に確保され（Ｓ３）、及び前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記ＳＥ（１００）の前記生産段階（Ｉ）後の後続段階（ＩＩ、ＩＩＩ、ＩＶ）でロードされ（Ｓ４ａ）、及び動作可能にされる（Ｓ５）、請求項１～５の何れか一項に記載の方法。

【請求項7】

前記特定データ（３５ａ、６５ａ）は、前記特定データ（３５ａ、６５ａ）が前記ＳＥ（１００）の生産段階（Ｉ）中に変更される場合、前記更新エージェント（１０）によって確保され（Ｓ３）、前記更新エージェント（１０）は、前記ＳＥ（１００）が前記ＳＥ（１００）の前記生産段階（Ｉ）後の後続段階（ＩＩ、ＩＩＩ、ＩＶ）に進む場合、前記特定データ（３５ａ、６５ａ）を確保することを停止する、請求項１～６の何れか一項に記載の方法。

【請求項8】

前記更新エージェント（１０）は、前記ＳＥ（１００）の生産段階（Ｉ）中に前記更新エージェント（１０）を前記ＳＥ（１００）にロードする（Ｓ１）ことによって提供される、請求項１～７の何れか一項に記載の方法。

【請求項9】

インストールされたソフトウェア（６０ａ）、特にオペレーティングシステム（３０ａ）と更新エージェントとを含むセキュアエレメント（１００）であって、前記更新エージェント（１０）は、前記インストールされたソフトウェア（３０ａ、６０ａ）を動作させるために必要な特定データ（３５ｂ、６５ｂ）が確保されるメモリ（１２）を含み、及びソフトウェアイメージ（３０ｂ、６０ｂ）を、前記確保された特定データ（６５ｂ、３５ｂ）によって動作可能にするように構成され、前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記セキュアエレメント（１００）にロードされ、及び前記インストールされたソフトウェア（３０ａ、６０ａ）の更新を表す、セキュアエレメント（１００）。

【請求項10】

前記確保された特定データ（３５ｂ、６５ｂ）は、前記インストールされたソフトウェア（３０ａ、６０ａ）の個人化データ、特に安全なクレデンシャル及び／又は暗号鍵を含み、及び前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記個人化データ（３５ａ、６５ａ）で個人化されている一方、前記更新エージェント（１０）は、前記ロードされたソフトウェアイメージ（３０ｂ、６０ｂ）が、前記確保された個人化データ（３５ｂ、６５ｂ）を使用してそれを個人化することによって動作可能にされることにおいて、前記インストールされたソフトウェア（３０ａ、６０ａ）を更新するように構成される、請求項９に記載のセキュアエレメント（１００）。

【請求項11】

前記更新エージェント（１０）の前記メモリ（１２）内に確保された前記特定データ（３５ｂ、６５ｂ）は、前記インストールされたソフトウエア（３０ａ、６０ａ）と共に前記セキュアエレメント（１００）のメモリ領域（５５）内に記憶された特定データ（３５ａ、６５ａ）の再使用及び／又はコピーである、請求項９又は１０に記載のセキュアエレメント（１００）。

【請求項12】

セキュアエレメント（１００）で使用するための更新エージェント（１０）であって、メモリ（１２）を含み、及び
－ 前記セキュアエレメント（１００）にインストールされたソフトウェア（３０ａ、６０ａ）を動作させるために必要な特定データ（３５ａ、６５ａ）を前記セキュアエレメント（１００）のメモリ領域（５５）内に確保することと、
－ ソフトウェアイメージ（３０ｂ、６０ｂ）を、前記確保された特定データ（３５ｂ、６５ｂ）によって動作可能にすることであって、前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記セキュアエレメント（１００）にロードされ、及び前記インストールされたソフトウェア（３０ａ、６０ａ）の更新を表す、動作可能にすることと
を行うように構成される更新エージェント（１０）。

【請求項13】

個人化データであって、それにより、前記インストールされたソフトウェア（３０ａ、６０ａ）が個人化されている、個人化データ、特に安全なクレデンシャル及び／又は暗号鍵を含む特定データ（３５ａ、６５ａ）を確保し、及び前記確保された個人化データ（３５ｂ、６５ｂ）を使用して、前記ロードされたソフトウェアイメージ（３０ｂ、６０ｂ）を個人化することにより、前記インストールされたソフトウェア（３０ａ、６０ａ）を更新するように構成される一方、好ましくは、前記特定データ（３５ａ、６５ａ）は、前記ＳＥ（１００）の生産段階（Ｉ）中に確保され、及び前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記ＳＥ（１００）の前記生産段階（Ｉ）後の後続段階（ＩＩ、ＩＩＩ、ＩＶ）で更新される、請求項１２に記載の更新エージェント（１０）。

【請求項14】

請求項１～８の何れか一項に記載の方法を実施するように構成され、及び／又は請求項９～１１の何れか一項に記載のセキュリティエレメント（１００）にインストールされ、及び前記セキュリティエレメント（１００）のプロセッサ（４０）によって実行されるように構成された実行可能ソフトウェア製品として実現される、請求項１２～１４の何れか一項に記載の更新エージェント（１０）。

【請求項15】

電子デバイス内のセキュアエレメント（１００）と共に使用するためのコンピュータプログラム製品であって、前記電子デバイス内の前記セキュアエレメント（１００）にソフトウェアをロードするための非一時的コンピュータ可読記憶媒体及びその中に組み込まれたコンピュータプログラムメカニズムを含み、前記コンピュータプログラムメカニズムは、
－ 前記セキュアエレメント（１００）にインストールされたソフトウェア（３０ａ、６０ａ）を動作させるために必要な特定データ（３５ａ、６５ａ）をメモリ領域（５５）内に確保するための命令であって、前記特定データ（３５ａ、６５ａ）は、個人化データであって、それを用いて、前記インストールされたソフトウェア（３０ａ、６０ａ）が個人化されている、個人化データを含む、命令と、
－ 前記セキュアエレメント（１００）にロードされるソフトウェアイメージ（３０ｂ、６０ｂ）を受け取るための命令であって、前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記インストールされたソフトウェア（３０ａ、６０ａ）の更新を表す、命令と、
－ 前記ソフトウェアイメージ（３０ｂ、６０ｂ）を、前記確保された特定データ（３５ｂ、６５ｂ）によって動作可能にし、及び／又は前記ソフトウェアイメージ（３０ｂ、６０ｂ）を、前記特定のメモリ（１２）に含まれる前記個人化データによって個人化するための命令と
を含む、コンピュータプログラム製品。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、セキュアエレメントにインストールされたソフトウェアの更新、特にセキュアエレメントの個人化されたトラステッドソフトウェア、例えばオペレーティングシステムの更新に関する。

【背景技術】

【0002】

発明の背景
セキュアエレメントは、モバイルフォン、スマートカード、支払カード、アクセスカードなどの様々なシステムにおいて、本人確認、真正性証明、データ記憶及びアプリケーション処理を提供するために広く使用されている。

【0003】

例えば、支払カードの場合など、セキュリティクリティカルなアプリケーション及び機密データがスマートカードに含まれる場合、データを記憶するためにセキュアエレメントが使用される。セキュアエレメントは、耐タンパー性エレメント、ＴＲＥであり、アプリケーションコード及びアプリケーションデータを安全に記憶して管理できる安全なメモリ及び実行環境を提供する。セキュアエレメントにより、カードに記憶されたデータへのアクセスが、許可された場合にのみ可能であることが確実となる。このようなセキュアエレメントは、ＵＩＣＣ、エンベデッドＳＥ、smartSD、smart microSD、ｅＳＴＭ等、何れのフォームファクタでも存在し得る。

【0004】

セキュアエレメントは、例えば、セキュリティ分野において、ファームウェア／オペレーティングシステム、パッケージ、アプレット、アプリケーション等のデータ集合を含み、これは、これらを動作させるために必要な特定データ、例えばセキュリティキーを使用して真正性が証明される個人化データ等を含む。オペレーティングシステム及びアプリケーションは、セキュアエレメント内で揮発性及び不揮発性メモリモジュールに記憶され、セキュアエレメントの安全なプロセッサ内で実行される。

【0005】

Global Platform Card Technology Open Firmware Loader for Tamper resistant Elements v1.3の仕様書は、ファームウェア（すなわちオペレーティングシステム及びアプリケーションデータを含み得るユースケース依存データ）及び個人化データをセキュアエレメントにロードするための標準化されたメカニズムを記載している。特に、セキュアエレメント内で提供されるImage Trusted Loader、ＩＴＬ又は更新エージェントは、オペレーティングシステムのイメージを受け取り、そのイメージについてセキュリティチェック、特に真正性及び完全性のチェックを実行し、イメージを操作するために必要な特定データを使用してセキュアエレメントのメモリへのイメージコンテンツのインストールをトリガして、動作可能なオペレーティングシステムをセキュアエレメントにインストールさせるように構成される。

【0006】

図１は、ファームウェア（例えば、オペレーティングシステム、ＯＳ）をセキュアエレメントにロードする従来のプロセスの概略図を示す。上段は、対応する生産段階（Ｉ、ＩＩ、ＩＩＩ、ＩＶ）を担当するエンティティを示し、下段は、その特定の生産段階におけるセキュアエレメント（すなわちチップ）の内容を示す。第一の生産段階Ｉでは、チップ生産現場（すなわちチップ工場）において、チップメーカは、セキュアオペレーティングシステム等、トラステッドソフトウェアをロードされるセキュアエレメント１００を提供する。チップ生産現場では、トラステッドソフトウェアは、クレデンシャル６５ａで個人化され、これらは、鍵又は証明書を含む特定データであり、個人化されると、個人化されたソフトウェアイメージ、例えば個人化されたオペレーティングシステム、ＯＳ ３０ａに記憶され、これは、図１で「maxiInit」と呼ばれる。トラステッドソフトウェア又はＯＳは、チップ生産現場の外部個人化装置からセキュアエレメントに送られる特定のコマンド、いわゆるＡＰＤＵによって個人化される。最後に、個人化されたソフトウェアは、チップにロードされる。

【0007】

その個人化されたソフトウェアを有するチップは、その後、装置メーカの現場で（ｅ）ＵＩＣＣ又は（ｅ）ＳＩＭ等のポータブルカード式デバイスに組み込まれるか（段階ＩＩ）、又は他のデバイスメーカの現場に送られて、スマートフォン、コンピュータ、自動車、測定機器等の最終的な電子デバイスに含められ得（段階ＩＩＩ）、最後に市場で販売される（段階ＩＶ）。チップのライフサイクルの何れかの段階において、個人化されたトラステッドソフトウェアを修正又は更新する必要が生じた場合、修正又は更新対象のインストールされたソフトウェアを個人化するために使用された個人化データは、失われるが、それでもなお、修正又は更新されたバージョン、それぞれのソフトウェアイメージは、個人化されなければならない点に留意されたい。

【発明の概要】

【発明が解決しようとする課題】

【0008】

したがって、前述の欠点を克服する、セキュアエレメントにインストールされたトラステッドソフトウェアの更新を可能にすることが依然として必要とされている。

【課題を解決するための手段】

【0009】

発明の概要
本発明は、独立請求項によって包含される主題により、上述の目的に対処する。本発明の好ましい実施形態は、従属請求項に定義される。

【0010】

本発明の第一の態様によれば、セキュアエレメント、ＳＥにおけるインストールされたソフトウェア、特にオペレーティングシステム、ＯＳを更新する方法が提供される。方法は、第一のステップにおいて、ＳＥに更新エージェントを提供することを含む。さらなるステップでは、インストールされたソフトウェア、特にオペレーティングシステムをＳＥ上で動作させるために必要な特定データが更新エージェントの特定のメモリ内に確保される。さらに、インストールされたソフトウェア、特にオペレーティングシステムの更新を表し、及びそれを置き換えることが意図されるソフトウェアイメージがＳＥにロードされる。最後のステップでは、ソフトウェアイメージは、確保された特定データによって動作可能にされ、及びインストールされたソフトウェア、特にオペレーティングシステムをその更新として置き換える。

【0011】

本願全体を通して、「ソフトウェア」という用語は、セキュアエレメントにロードされ、その中で実行されるあらゆるトラステッドソフトウェアを指す。このようなソフトウェアの例は、ファームウェア、オペレーティングシステム（ＯＳ）及び他のあらゆるユースケース依存セキュアアプリケーションを含む。「ソフトウェアイメージ」（又は「ＯＳイメージ」）という表現は、オペレーティングシステム又はＳＥのエージェント、例えば本発明による更新エージェントによって使用されるソフトウェアバージョン及び暗号データを包含する包括的なデータフォーマットを指す。

【0012】

好ましくは、特定データは、インストールされたソフトウェア又はソフトウェアイメージの一体部分ではないが、それにもかかわらず、インストールされたソフトウェア（及びインストールされたソフトウェアイメージ）を動作させ、及び／又はソフトウェアイメージをセキュアエレメントにインストールして、それを実行できるようにするために必要である。すなわち、特定データがなければ、ソフトウェアイメージは、インストールされたソフトウェアの更新として動作及び／又はインストールされ得ず、それを置き換え及び／又は更新し得ない。

【0013】

本発明の本質は、更新エージェントにより、インストールされたソフトウェアに関連付けられる特定データがソフトウェアイメージを動作可能にするために再使用、すなわち「リサイクル」され、新しい特定データセットを生成するか、又は安全が証明された環境内で外部エンティティから安全に取得若しくは取り扱う必要がないことである。更新エージェント自体が、認証されたトラステッドソフトウェアであるため、これは、チップメーカの現場における安全が証明された環境の機能的置き換えとして見ることができ、なぜなら、それにより、インストールされたソフトウェアの特定データをその更新時に安全に再使用、すなわち「リサイクル」できるためである。これにより、特定データは、セキュアエレメントの安全な環境内において、信頼できるエンティティ、すなわち更新エージェントの制御下に保持され、改ざんされ得ず、したがってソフトウェアイメージの完全性が確保される。

【0014】

本発明に関して、ソフトウェアイメージを、確保された特定データによって動作可能にするという記述は、その特定データを利用して、ソフトウェアイメージが、特定データがなければ動作しないようにするあらゆるプロセスを含む。したがって、ソフトウェアイメージを動作可能にするとは、ソフトウェアイメージが特定データを使用することによってセキュアエレメントに正しく動作可能にインストールされることを意味する。すなわち、ソフトウェアイメージをインストールするプロセスの特定の時点において特定データが存在することは、それが、インストールされたソフトウェアの更新として適正に機能するための要件である。これは、ソフトウェアイメージのインストール時に特定データを使用するという要件又は好ましくはソフトウェアイメージの個人化時に特定データを使用するという要件を含み得る。

【0015】

したがって、好ましくは、特定データは、ソフトウェアイメージを個人化するために必要な個人化データ、特に安全なクレデンシャル及び／又は暗号鍵を含むか又はそれらからなる。その意味において、本発明は、安全が証明された環境内でソフトウェアイメージを個人化するという従来の要件を克服し、したがってセキュアエレメントにインストールされたソフトウェアを更新するための選択肢が広がる。換言すれば、本発明により、インストールされたソフトウェア、特にセキュアエレメントのトラステッドオペレーティングシステムをチップメーカの現場外において、いかなる安全が証明された環境とも関係なく安全に更新することが可能となる。更新エージェントは、従来、チップメーカの安全が証明された環境によって提供される必要なセキュリティレベルを提供するため、置き換えられるインストールされたソフトウェアの個人化データの再使用、すなわち「リサイクル」が可能となる。

【0016】

提案される方法は、従来のセキュリティの概念に関係なく、トラステッドソフトウェアを更新するための効率的で安全な解決策を提供する。インストールされたソフトウェアを更新するトラステッドソフトウェアイメージは、インストールされたソフトウェアが、もともと個人化されたのと同じように個人化される必要がないため、セキュアエレメントのライフサイクル中の何れかの時点でソフトウェア更新を個人化するための柔軟な解決策が提供される。インストールされたソフトウェアを適当なソフトウェアイメージによって更新するための提案された方法により、極秘の個人化データが更新エージェント内の厳格に安全な条件下にとどまり、したがって不正な変更から保護されることが確実となる。

【0017】

好ましくは、特定又は機密データ及び／又は個人化データは、更新エージェントの特定のメモリ又はメモリ構造、例えば更新エージェントのみが独占的にアクセスできる不揮発性メモリの専用の安全なセグメントに記憶される。

【0018】

本発明の幾つかの実施形態において、インストールされたソフトウェアは、特定データに含まれる個人化データで個人化されており、インストールされたソフトウェアは、特定データ及び／又は個人化データと共に、セキュアエレメントの不揮発性メモリ等、インストールされた及び／又は実行可能なソフトウェアが記憶されるＳＥのメモリ領域内に記憶される。

【0019】

更新エージェントは、インストールされたソフトウェアと共に記憶された特定データ及び／又は個人化データを、後の使用に備えて特定データ及び／又は個人化データを更新エージェントの特定のメモリにコピー又は複製することによって確保する。特定データ及び／又は個人化データは、更新プロセス中、例えばインストールされたソフトウェアをそれぞれの特定データ及び／又は個人化データと共に削除することによって削除されるか、又は劣化することから保護される。特定データ及び／又は個人化データが更新エージェントの特定のメモリ内に確保され、及び／又はそれにコピーされると、インストールされたソフトウェアを更新することができ、これは、そのときに初めて、インストールされたソフトウェアの更新を表すソフトウェアイメージを動作可能にできるためである。最後に、インストールされたソフトウェアは、個人化データを使用してソフトウェアイメージを個人化し、及び／又は更新エージェントの特定のメモリ内に記憶された特定データを使用してソフトウェアイメージを動作可能にすることによって更新される。

【0020】

本発明の幾つかの実施形態において、ソフトウェアイメージを、動作可能にすること及び／又は個人化することを含めてインストールする前に、インストールされたソフトウェアの全体は、すなわち、それを動作可能にするために使用された特定データ及び／又は個人化データと共にキャンセルされる。これは、セキュアエレメントの、インストールされたソフトウェアがその中にあるか又はその一部が存在する何れかのメモリ又はメモリ領域をキャンセルすることを含む。例えば、更新されるインストールされたソフトウェアがセキュアエレメントのオペレーティングシステムである場合、完全なオペレーティングシステムをキャンセルすることは、全ての個人化データ、ＯＳ固有のデータ、証明書、暗号鍵、クレデンシャルなどをキャンセルすることも含む。

【0021】

ソフトウェアイメージ又はオペレーティングシステムイメージが、キャンセルされたソフトウェアの更新を提供するためにセキュアエレメントにロードされると、更新エージェント内において、それにより安全が確保される特定データ及び／又は個人化データは、ロードされたソフトウェアイメージを動作可能にし、及び／又はそれを個人化するために必要となる。

【0022】

最初に、インストールされたソフトウェア、例えばＳＥのトラステッドオペレーティングシステムは、ＳＥの第一の生産段階中に特定データによって動作可能にされるか又は個人化データによって個人化されるため、その特定データ及び／又は個人化データは、この初期生産段階中にチップメーカの現場で更新エージェントによって確保される。したがって、それ自体がトラステッドソフトウェアである更新エージェントは、ＳＥにロードされ、同じくチップメーカの安全が証明された環境内でのＳＥの第一の生産段階中、そのデータ／個人化データによって動作可能にされる／個人化される。これにより、インストールされたソフトウェア、例えばトラステッドオペレーティングシステムの特定データ／個人化データをすでにこの早期の生産段階で更新エージェントによって確保することが可能となる。

【0023】

本発明の幾つかの実施形態によれば、更新エージェントは、ＳＥのインストールされたソフトウェアの特定データ及び／又は個人データを、その特定データ及び／又は個人化データがインストールプロセス中に変更又は調整される場合にその特定のメモリ内に確保する。ＳＥのインストールされたソフトウェアのこのサブセットは、ＳＥのオペレーティングシステムのみを含み得、ＳＥ上にインストールされた、ＳＥのライフサイクル中におそらく更新され得る何れのソフトウェア又はアプリケーションも含み得る。

【0024】

ＳＥの最初の生産段階Ｉ中に更新エージェントによって特定データ及び／又は個人化データが確保された後、ソフトウェアイメージがＳＥの最初の生産段階よりも後の段階でＳＥにロードされることが好ましい。これにより、セキュアエレメント及びそのアプリケーションの電子デバイス内でのそれらの利用の柔軟性及び多用途性が増大する一方、ソフトウェアの個人化のために必要なセキュリティレベルが依然として提供され、これは、このようなソフトウェアイメージが、その後、チップメーカの安全が証明された環境外で動作可能にされ、及び／又は個人化され得るためである。

【0025】

好ましくは、特定データ及び／又は個人化データが信頼できる状態で確保されることを確実にするために、個人データ及び／又は個人化データの確保は、セキュアエレメントが最初の生産段階から製造プロセスのその後の段階に進む際に停止される。これにより、インストールされたソフトウェアの更新時、それぞれの特定データ及び／又は個人化データが改ざんされていないことが確実となる。

【0026】

本発明の第二の態様によれば、インストールされたソフトウェア、特にオペレーティングシステムを含むセキュアエレメント及び更新エージェントが提供される。更新エージェントは、インストールされたソフトウェアを動作させるために必要な特定データが確保され得るか又は確保される、特定のメモリ又はメモリ構造を含むか又はそれにアクセスすることができる。

【0027】

セキュアエレメントがチップ工場から出荷される時点において、インストールされたソフトウェアを動作させるために必要な特定データは、更新エージェントのよるその後の更新プロセスのために確保されている。

【0028】

チップ生産段階後の段階（図１で段階ＩＩ、ＩＩＩ又はＩＶとされる）において、ソフトウェアイメージは、ある時点でセキュアエレメントにロードされ、それによりインストールされたソフトウェアが更新される。更新エージェントは、ロードされたソフトウェアイメージを、確保された特定データを用いて動作可能にすることにより、インストールされたソフトウェアの更新を完了させるように構成される。

【0029】

好ましくは、更新エージェントのメモリ構造内に確保された特定データは、インストールされたソフトウェアの個人化データ、特にインストールされたソフトウェアがそれにより個人化されている安全なクレデンシャル及び／又は暗号鍵を含む。すなわち、更新エージェントにより、その中に確保された特定又は個人化データは、インストールされたソフトウェアの個人化に使用された個人化データの複製であるか又は少なくともそれを含む。この意味において、更新エージェントは、ロードされたソフトウェアイメージが、確保された個人化データを使用して個人化されることにおいて、インストールされたソフトウェアを更新するように構成される。

【0030】

幾つかの実施形態において、セキュアエレメントは、プロセッサと、プロセッサに連結され、及びプロセッサによって実行されるプログラムモジュールを記憶するメモリとを含む。プログラムモジュールは、セキュアエレメントによって実行される前述の動作の少なくとも幾つか、例えば本発明による更新エージェントのものに関する命令を含み得る。

【0031】

本発明の第三の態様によれば、セキュアエレメントで使用するための更新エージェントが提供される。第一及び第二の態様に関してすでに詳述したように、更新エージェントは、メモリを含み、セキュアエレメントにインストールされたソフトウェアを動作させるために必要な特定データを確保し、アップロードされたソフトウェアイメージを、インストールされたソフトウェアの更新を表す確保された特定データによって動作可能にするように構成される。更新エージェントは、好ましくは、本発明によるセキュアエレメントにインストールされ、それにより実行されて、セキュアエレメントにインストールされたソフトウェアを更新できるようにするソフトウェアとして設計される。

【0032】

上述の態様の何れかによる本発明の幾つかの実施形態において、更新エージェントは、ソフトウェアイメージのロード時、更新エージェントのメモリに記憶された認証データを使用してソフトウェアイメージの認証を行うように構成される。好ましくは、セキュアエレメント、特に更新エージェントは、ソフトウェアイメージを、そのセキュアエレメントのベンダ又はそのセキュアエレメントが組み込まれている電子デバイスのプロバイダに関連付けられ得るデジタル署名を検証することによって認証する。例えば、更新エージェントは、特定のベンダ又はデバイスに関連付けられる暗号鍵を使用して、ソフトウェアイメージの完全性を検証し得る。更新エージェントは、ソフトウェアイメージがセキュアエレメントにロードされたとき、更新エージェントのメモリに記憶された認証データを使用してソフトウェアイメージを復号することもできる。

【0033】

更新エージェントは、したがって、工場でセキュアエレメントにロードされるスタンドアロンのエンティティであり、これによりオペレーティングシステム及び／又は他のトラステッドソフトウェアイメージを、任意の時点において、セキュアエレメント又はセキュアエレメントが組み込まれているデバイスがすでに現場で展開されていてもその上にロードすることができる。したがって、更新エージェントは、ソフトウェアイメージ又はオペレーティングシステムを現場で、すなわち安全が証明された環境外で直接ロードして、セキュアエレメントにインストールされたソフトウェアを更新することを可能にする。

【0034】

本発明のまた別の態様によれば、第二の態様によるセキュアエレメントと共に、セキュアエレメントが組み込まれているか又はそれを組み込むことができる電子デバイス内で使用するためのコンピュータプログラムが提供される。コンピュータプログラム製品は、ソフトウェアイメージを電子デバイス内のセキュアエレメントにロードするための非一時的コンピュータ可読記憶媒体及びそれに組み込まれたコンピュータプログラムメカニズムを含む。コンピュータプログラムメカニズムは、セキュアエレメントにインストールされたソフトウェアを動作させるために必要な特定データをメモリ内に確保するための命令であって、特定データは、個人化データであって、それを用いて、インストールされたソフトウェアが個人化されている、個人化データを含む、命令と、セキュアエレメントにロードされるソフトウェアイメージを受け取る命令であって、ソフトウェアイメージは、インストールされたソフトウェアの更新を表す、命令と、ソフトウェアイメージを、確保された特定データによって動作可能にし、及び／又はソフトウェアイメージを、特定データに含まれる個人化データによって個人化するための命令とを含む。

【0035】

本願に記載されているデバイス、エレメント、ユニット及び手段は、全てソフトウェア若しくはハードウェアエレメント又はそれらの組合せで実装できることに留意する必要がある。本願に記載されている各種のエンティティによって実行される全ステップ及び記載されている機能は、それぞれのエンティティがそれぞれのステップ及び機能を実行するように適合又は構成されることを意味するものとする。

【0036】

本発明の他の態様、特徴及び利点は、本発明の好ましい実施形態及び変形形態に関する以下の詳細な説明を添付の図と共に読むことで当業者に明らかになるであろう。

【0037】

図面の簡単な説明
ここで、下記の添付の図を参照する。

【図面の簡単な説明】

【0038】

【図1】セキュアエレメントの従来の生産フローの概略図を示す。

【図2a】本発明の第一の好ましい実施形態による、インストールされたソフトウェアがそれにより更新されるセキュアエレメントの構造を示す。

【図2b】本発明の第二の好ましい実施形態による、オペレーティングシステムがそれにより更新されるセキュアエレメントの構造を示す。

【図3】本発明による方法を図解するフロー図を示す。

【発明を実施するための形態】

【0039】

詳細な説明
以下では、本発明の具体的な実施例を示す添付図面を参照して本発明の詳細な説明がなされる。これらの実施形態は、当業者が本発明を実践できるように十分に詳細に説明される。本発明の各種の実施形態は、異なっていても、必ずしも相互に排他的ではないと理解されたい。例えば、本明細書において１つの実施形態に関して記載されている特定の特徴、構造又は特長は、他の実施形態でも実装され得、それも本発明の範囲から逸脱しない。加えて、開示される各実施形態の個々の要素の位置又は配置は、変更され得、それも本開示の範囲から逸脱しないと理解されたい。したがって、以下の詳細な説明は、限定的な意味で解釈されるべきではなく、本発明の範囲は、適切に解釈される付属の請求項及び請求項が有し得る均等物の全範囲によってのみ定義される。図面において、複数の図を通して同様の番号は、同じ又は類似の機能を指す。

【0040】

図２ａ及び２ｂは、２つの好ましい実施形態によるセキュアエレメント、ＳＥ １００の構造をより詳細に示す。図３は、図２ａ及び２ｂに関する本発明による方法のステップを示す。

【0041】

図２ａに示されるＳＥ １００は、耐タンパー性エレメントであり、更新エージェント１０、オペレーティングシステム、ＯＳ ３０及びプロセッサ、ＣＰＵ ４０を含む。更新エージェント１０とＯＳ ３０は、何れもＳＥ １００内のメモリ、例えば不揮発性メモリ５０に記憶され得る。ＯＳ ３０と更新エージェント１０は、独立したエンティティであり、これらは、適切なインタフェース、例えばアプリケーションプログラミングインタフェース、ＡＰＩを通して相互に通信できる。メモリ５０は、ＳＥ １００の不揮発性メモリであり、これは、メモリ領域５５を含み、そこに、ＳＥ １００上にインストールされてＣＰＵ ４０によって実行可能であるソフトウェアが記憶される。このようなインストールされたソフトウェアは、図２ａにおいて参照番号６０ａで識別される、セキュアエレメントに特定の機能を提供する実行可能アプリケーション若しくはプログラムであり得るか、又はさらに図２ｂにおいて参照番号３０ａで識別されるセキュアエレメント１００のオペレーティングシステムであり得、これは、本願に関して、ＳＥ １００のライフサイクル中の特定の時点で更新する必要があり得るインストールされたソフトウェアでもある。図２ｂのＯＳ ３５ａ及び図２ａのＯＳ ３０の何れも、例えばJava Cardプラットフォームに基づくセキュアエレメント又はスマートカードの標準的オペレーティングシステムである。これらは、均等であり、図２ａ及び２ｂ間の違いは、図２ａのＯＳ ３０が図２ｂで本発明によるソフトウェア更新の対象であることである。図２ａの個人化されたＯＳ ３０ａは、図１で「maxInit」として示されている。

【0042】

更新エージェント１０は、オペレーティングシステム３０又はローダエンティティの機能部分であるか又はその機能として実現され得、ＳＥ １００内でのソフトウェア（例えば、ユースケース依存ファームウェア）のプロビジョニングを可能にする。このようなローダエンティティは、当技術分野でImage Trusted Loader、ＩＴＬとも呼ばれる。更新エージェントは、ソフトウェア又はソフトウェアイメージをセキュアエレメントにロードすること及びそれに関係する他のあらゆる手順、例えば更新、復元、ロールバックなどを担当する主なエンティティである。図２ａ及び２ｂにおいて、ＳＥ １００にロードされるソフトウェアイメージは、それぞれ任意のソフトウェアイメージを識別する参照番号６０ｂ及びオペレーティングシステムイメージを識別する３０ｂで示される。更新エージェント１０は、それが独立したエンティティとして実現されるか、又はオペレーティングシステム３０の機能部分として実現されるかを問わず、工場での生産中にもＳＥ １００にロードされ（図３のステップＳ１を参照されたい）、これは、それがＳＥ １００のセキュリティクリティカルのエンティティを反映しているためである（図１、段階Ｉ）。

【0043】

更新エージェント１０は、それ自体の留保されたメモリ空間をメモリ構造１２の形態で含み得、そこに機密データ、例えば個人データ及び／又は認証データが記憶され、後者は、ソフトウェアイメージ３０ｂ、６０ｂをその個人化の前に認証及び／又は復号するために使用さる。したがって、個人化プロセスの何れかの時点において、更新エージェント１０のメモリ構造１２は、個人化データ３５ｂ、６５ｂを含み得、オペレーティングシステム３０は、メモリ構造１２の少なくとも一部にアクセスでき得る。

【0044】

図２ａによれば、実行可能ソフトウェア６０ａが個人化されてＳＥ １００にインストールされる。インストールされたソフトウェア６０ａは、したがって、それに関連付けられる個人化データ６５ａ、例えば安全なクレデンシャル及び／又は暗号鍵であり、それにより、インストールされたソフトウェアは、認証され、信頼できる改ざんされていないソフトウェアであることが確実となる。インストールされたソフトウェア６０ａ及び個人化データ６５ａは、ＳＥ １００のメモリ領域５５に一緒に記憶される。メモリ領域５５内には、インストールされたソフトウェア６０ａ及びその個人化データ６５ａが絡み合せて記憶され得、これは、インストール時、ソフトウェア６０ａに個人化データ６５ａが様々な方法で備えられるか又は補足されているためである。ソフトウェア６０ａは、ＳＥ １００の工場での生産中に個人化されてＳＥ １００上にインストールされ（図３のステップＳ２を参照されたい）、これは、個人化が、従来、ＳＥ １００のメーカの生産現場の安全が証明された環境内で行われるセキュリティクリティカルな動作であるためである。

【0045】

図２ｂは、インストールされたソフトウェアが実際にはＳＥ １００のオペレーティングシステム３０ａ自体であり、そこに個々の個人化データ３５ａが付属している場合に関する点で図２ａと異なる。前述の理由から、オペレーティングシステム３０ａは、ＳＥ １００の工場での生産中に個人化されてＳＥ １００にインストールされる（図３のステップＳ２を参照されたい）。

【0046】

図２ａ及び２ｂに示された状態のＳＥ １００は、最初のチップ生産（図１の段階Ｉ）を終えて、チップメーカの安全が証明された環境外に出ている。この状況では、個人化データ６５ａ、３５ａのコピー６５ｂ、３５ｂは、更新エージェント１０のメモリ構造１２内に確保され、ソフトウェアイメージ６０ｂ、３０ｂは、外部サーバ２００によって提供されてセキュアエレメント１００にロードされ、インストールされたソフトウェア６０ａ、３０ｂを更新し、置き換える。ソフトウェアイメージ６０ｂ、３０ｂは、それぞれインストールされたソフトウェア６０ａ又はオペレーティングシステム３０ａのソフトウェア更新を表す。外部サーバ２００は、ＳＥ １００と通信するエンティティを表し得る。これは、ＬＰＡ（ローカルプロファイルアシスタント）、端末又はＳＥが接続され得るあらゆるデバイスであり得る。特に、外部サーバ２００は、イメージ送達サーバであるか又はそれを含み、その後の生産段階（図１の段階ＩＩ、ＩＩＩ、ＩＶ）中、カスタムインタフェースを通してソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂをＳＥに提供する。

【0047】

図３は、セキュアエレメント１００におけるインストールされたソフトウェア６０ａ（図２ａを参照されたい）、例えばオペレーティングシステム、ＯＳ ３０ａ（図２ｂを参照されたい）を更新する方法の主なステップのフローチャートを示す。方法のステップは、図２ａ及び図２ｂに示されるＳＥに関して詳細に説明される。

【0048】

本発明による方法は、以下に説明するように、特定の種類のソフトウェア又はソフトウェアイメージに限定されない。実際に、セキュアエレメント１００にインストールし、それにより実行できる何れのセキュアソフトウェア又はソフトウェアイメージも、本願で開示される更新方法の対象であり得、これは、例えば、ＳＥ １００のファームウェア若しくはＯＳ又はアプレット／アプリケーションである。

【0049】

ステップＳ１～Ｓ３は、ＳＥ １００の工場での生産段階中に安全が証明された環境内で実行され、それによりそのソフトウェアコンポーネント及びデータのセキュリティ及び真正性が確保される。ステップＳ４及びＳ５は、ソフトウェア更新プロセスを表し、これは、その後の段階ＩＩ又はＩＩＩ、さらにそれ以降にチップメーカの安全が証明された環境外で実行できる（図１を参照されたい）。

【0050】

図３に関して、最初のチップ生産段階Ｉで実行される第一のステップＳ１において、更新エージェント１０がＳＥ １００にロードされる。更新エージェント１０は、工場での生産中にＳＥ １００にロードされるＳＥ １００のセキュリティクリティカルなエンティティを反映する。

【0051】

第二のステップＳ２では、ソフトウェアがＳＥ １００にインストールされ、これは、例えば、ＳＥ １００の他のソフトウェア６０ａ又はオペレーティングシステム３０ａのアプリケーションである。ソフトウェア６０ａ又はオペレーティングシステム３０ａのインストール時、これらは、それぞれの個人化データ６５ａ、３５ｂによってそれぞれ個人化される。これは、特にセキュリティクレデンシャル及び暗号鍵を含む両方の個人化データ６５ａ、３５ａと、ＳＥ １００にインストールされるソフトウェア６０ａ又はオペレーティングシステム３０ａとをロードすることを含む。クレデンシャル及び鍵６５ａ、３５ａを使用することにより、ロードされたソフトウェア６０ａ又はオペレーティングシステム６０ａは、最後に個人化されて、実行可能なソフトウェア６０ａ、６５ａ又はオペレーティングシステム３０ａ、３５ａがＳＥ １００上にインストールされるようにし、これは、図１で「maxInit」として示されている。

【0052】

更新エージェント１０は、それが個人化データ６５ａ、３５ａをメモリ構造１２にロードし、ロードされた個人化データ６５ａ、３５ａを使用してソフトウェア６０ａ又はオペレーティングシステム３０ａを個人化することにおいて、ステップＳ２を容易にするか又はさらに実行し得る。実際に、インストールされたソフトウェアは、動作可能ソフトウェア６０ａ及びクレデンシャルを含むその特定の個人化／構成６５ａを含む。同様に、図２ｂに関して、オペレーティングシステムは、動作可能システム３０ａ及びその特定の個人化／構成３５ａを含む。

【0053】

ステップＳ１及びＳ２は、逐次的に、すなわち２つ以上のロードコマンド（例えば、ＡＰＤＵコマンド）又は更新エージェント１０がソフトウェア６０ａ／オペレーティングシステム３０ａ及び／又は個人化データ６５ａ、３５ａと共にセキュアエレメント１００にロードされる１ステップでも実行され得る。

【0054】

本発明によるチップメーカの安全が証明された環境外でのインストールされたソフトウェア６０ａ又はオペレーティングシステム３０ａの更新を可能にするために、更新エージェント３０は、ステップＳ３において、インストールされたソフトウェア６０ａ又はオペレーティングシステム３０ａの特定の機密データ、例えば個人化データ６５ａ、３５ａをメモリ構造１２内に確保する。セキュアエレメント１００にインストールされたソフトウェア６０ａ、３０ａに関して、このような確保された特定データ６５ｂ、３５ｂは、それがインストールされたソフトウェア６０ａ又はオペレーティングシステム３０ａ自体の一体部分ではなく、別々にロードされ、インストールされたソフトウェア６０ａ又はオペレーティングシステム６０ａを動作させるために必要となることによって特徴付けられる。本発明に関して、確保された特定データ６５ｂ、３５ｂは、ＳＥ １００にロードされた何れかのソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂを、インストールされたソフトウェア６０ａ又はオペレーティングシステム６０ａのそれに置き換わる更新として動作可能にするか又は動作させるためにも必要である。特に、個人化データ６５ａ、３５ａは、前述の意味で特定データであり、ステップＳ３において、更新エージェント１０によって複製された個人化データ６５ｂ、３５ｂとして確保される。

【0055】

特定及び／又は個人化データ６５ｂ、３５ｂを確保するステップＳ３は、チップ生産段階Ｉ内の連続プロセスであり得、その過程において、特定及び／又は個人化データ６５ｂ、３５ｂは、特定及び／又は個人化データ６５ａ、３５ａがソフトウェア６０ａ又はオペレーティングシステム３０ａのインストール中に修正される際に毎回確保される。

【0056】

個人化データ６５ｂ、３５ｂ及びセキュアエレメント１００及び／又は特定のインストールされたソフトウェア６０ａ、例えばオペレーティングシステム３０ａに固有の、それを動作させるために必要な他の機密データは、ステップＳ３で更新エージェント１０によって確保され、それは、特定の種類のその後の更新時、このようなデータが、例えば、特定データ領域が更新されるか又はメモリ領域５５の特定の部分が上書きされる際に失われ得るためである。

【0057】

インストールされたソフトウェア６０ａ、例えばオペレーティングシステム３０ａの更新を、ソフトウェア６０ａ、３０ａの個人化及びしたがって動作性を損なうことなくチップメーカの安全が証明された環境外で更新できるようにするために、このような特定データ６５ｂ、３５ｂは、更新エージェント１０内にそれにより確保されることにより、それを後で取り出して、ソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂを更新してインストールし、それを動作可能にできるようにする。

【0058】

本発明によれば、ステップＳ３は、セキュアエレメント１００の生産段階中にのみ、すなわちセキュアエレメント１００が依然としてチップメーカの安全が確認された環境内にある間に行われる。セキュアエレメント１００が図１によるその後の生産段階ＩＩ、ＩＩＩ又はＩＶに進むと、確保されたデータ３５ｂ、６５ｂは、ＳＥ １００が生産段階Ｉを完了したときの状態に保持される。したがって、更新エージェント１０は、生産サイクルのこの時点における特定及び／又は個人化データ６５ｂ、３５ｂを確保することを停止する。

【0059】

ステップＳ４及びＳ５は、その後の生産段階ＩＩ若しくはＩＩＩ又はその後（図１を参照されたい）における、インストールされたソフトウェア６０ａ又はインストールされたオペレーティングシステム３０ａのソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂによる実際の更新を示す。

【0060】

ステップＳ４の一環として、ソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂが外部のイメージサーバ２００からＳＥ １００のメモリ領域５５にロードされる（ステップＳ４ａ）。イメージアップロード前又は本質的にイメージアップロードの過程の何れかにおいて、インストールされたソフトウェア６０ａ又はインストールされたオペレーティングシステム３０ａは、メモリ領域５５から、それぞれ関係する又は関連付けられた特定及び個人化データ６５ａ、３５ａの全てと共に完全に削除される。この削除は、ときに「フルリフラッシュ」と呼ばれ、ソフトウェア更新時に必要となり、これは、ＲＯＭ更新が不可能であるためである。フルリフラッシュ時、メモリ領域５５は、削除され、すなわちインストールされたソフトウェア６０ａの全体又はインストールされたオペレーティングシステム３０ａの全体がその個人化データ６５ａ、３５ａ、例えばプライベートクレデンシャル及び暗号鍵並びにインストールされたソフトウェア６０ａ又はオペレーティングシステム３０ａを動作させるために必要なあらゆる特定データと共に削除される。

【0061】

ステップＳ４ａでは、更新エージェント１０は、更新されたソフトウェアバージョン又はオペレーティングシステムバージョンを、イメージサーバ２００によって提供されたソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂの形態でメモリ領域５５にロードする。フルリフラッシュにより、ソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂがＳＥ １００のメモリ領域５５にロードされると、何れの特定又は個人化データ６５ａ、３５ａも利用できない。この時点において、セキュアエレメント１０００は、従来、無用とされ、それは、何れのソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂも個人化する必要がないためであり、これは、従来、生産段階Ｉの安全が証明された環境外では不可能であった。

【0062】

ステップＳ５では、更新エージェント１０は、ロードされたソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂを、ステップＳ３でメモリ構造１２内にすでに確保された特定及び個人化データ６５ｂ、３５ｂによって個人化する。特定及び個人化データ６５ｂ、３５ｂは、ステップＳ４におけるフルリフラッシュの過程で削除された特定及び個人化データ６５ａ、３５ａの複製を表すため、更新エージェント１０は、ステップＳ５で確保された特定及び個人化データ６５ｂ、３５ｂを回復する。データ回復の影響として、アップロードされたソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂは、確保された特定及び個人化データ６５ｂ、３５ｂにより、例えばアップロードされたソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂが個人化データ６５ｂ、３５ｂを使用して個人化されることにおいて動作可能にされる。したがって、ステップＳ５では、更新エージェント１０は、ロードされたソフトウェア６０ｂ又はオペレーティングシステムイメージ３０ｂを、それがＳＥ １００にインストールされる新しい更新された動作可能なソフトウェア又はオペレーティングシステムとなるように変換する。

【0063】

このプロセスの終わりにおいて、ソフトウェアイメージ６０ａ又はオペレーティングシステムイメージ３０ａは、それぞれ個人化データ６５ｂ、３５ｂによって個人化されている。オペレーティングシステム３０ａをオペレーティングシステムイメージ３０ｂによって更新する場合、個人化されたオペレーティングシステムイメージは、図１で「maxiInit」と呼ばれる。これは、それが動作可能なシステム及びクレデンシャルを含むその特定の個人化／構成を含むことを意味する。

【0064】

この更新プロセスは、ＳＥ １００のライフサイクル中に複数回繰り返される可能性があるため、インストールされたソフトウェア６０ａ又はインストールされたオペレーティングシステム３０ａが更新されるたびに、更新エージェント１０は、フルリフラッシュ、それに続くＳＥ １００のチップ生産段階Ｉ中に確保された特定及び個人化データ６５ｂ、３５ｂの回収を行う。このプロセスにより、チップ生産段階Ｉ後の段階でＳＥ １００にアップロードされたソフトウェアイメージ６０ｂ又はオペレーティングシステムイメージ３０ｂは、それでもなお、それがセキュアエレメント１００の生産段階Ｉ中に従来の方法で個人化されるかのように、同等に安全に動作可能にし、個人化することができる。

【0065】

上述の実施形態を通して説明した方法及び装置は、チップメーカの現場の安全が証明された環境外でトラステッドソフトウェアイメージを個人化するための効率的で安全な解決策を提供する。ソフトウェアイメージは、後の段階においてチップメーカの環境外で個人化できるため、セキュアエレメントのライフサイクル中の何れの時点でもソフトウェアを個人化できる柔軟な解決策が提供される。

【0066】

上記の本明細書において、本発明は、その特定の実施形態に関して説明されている。しかしながら、本発明のより広い範囲から逸脱することなく、それらに対する様々な修正形態及び変更形態がなされることが明らかであろう。例えば、前述のプロセスフローは、プロセス動作の特定の順序に関して説明されている。しかしながら、説明されたプロセス動作の多くの順序は、本発明の範囲又は動作に影響を与えずに変更され得る。本明細書及び図面は、したがって、限定的な意味ではなく、例示としてみなされる。

【図1】

【図2a】

【図2b】

【図3】

【手続補正書】

【提出日】2024-02-09

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

セキュアエレメント、ＳＥ（１００）におけるインストールされたソフトウェア（６０ａ）、特にオペレーティングシステム、ＯＳ（３０ａ）を更新する方法であって、
－ 前記ＳＥ（１００）に更新エージェント（１０）を提供すること（Ｓ１）、
－ 前記インストールされたソフトウェア（３０ａ、６０ａ）を動作させるために必要な特定データ（３５ａ、６５ａ）を前記更新エージェント（１０）のメモリ（１２）内に確保すること（Ｓ３）、
－ ソフトウェアイメージ（３０ｂ、６０ｂ）を前記ＳＥ（１００）にロードすること（Ｓ４ａ）であって、前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記インストールされたソフトウェア（３０ａ、６０ａ）の更新を表す、ロードすること（Ｓ４ａ）、
－ 前記ソフトウェアイメージ（３０ｂ、６０ｂ）を、前記確保された特定データ（３５ｂ、６５ｂ）によって動作可能にすること（Ｓ５）
を含む方法。

【請求項2】

前記確保するステップ（Ｓ３）において、前記インストールされたソフトウェア（３０ａ、６０ａ）の個人化データ、特に安全なクレデンシャル及び／又は暗号鍵を含む特定データ（３５ａ、６５ａ）が確保される、請求項１に記載の方法。

【請求項3】

前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記個人化データ（３５ａ、６５ａ）で個人化されており、及び前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記ソフトウェアイメージ（３０ｂ、６０ｂ）が、前記個人化データ（３５ｂ、６５ｂ）を使用して前記ソフトウェアイメージ（３０ｂ、６０ｂ）を個人化することによって動作可能にされる（Ｓ５）ことにおいて更新される（Ｓ４、Ｓ５）、請求項２に記載の方法。

【請求項4】

前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記特定データ（３５ａ、６５ａ）と共に前記ＳＥ（１００）のメモリ領域（５５）内に記憶され、及び前記特定データ（３５ａ、６５ａ）は、前記ＳＥ（１００）の前記メモリ領域（５５）からの前記特定データ（３５ｂ、６５ｂ）を再使用し、及び／又はそれを前記更新エージェント（１０）の前記メモリ（１２）にコピーすることによって確保される（Ｓ３）、請求項１～３の何れか一項に記載の方法。

【請求項5】

前記インストールされたソフトウェア（６０ａ、３０ａ）は、前記ソフトウェアイメージ（３０ｂ、６０ｂ）をロードする（Ｓ４ａ）前に、又は前記ソフトウェアイメージ（３０ｂ、６０ｂ）を前記メモリ領域（５５）にロードした（Ｓ４ａ）結果として、前記ＳＥ（１００）の前記メモリ領域（５５）を削除することにより、前記特定データ（３５ａ、６５ａ）と共に削除される（Ｓ４）、請求項４に記載の方法。

【請求項6】

前記特定データ（３５ａ、６５ａ）は、前記ＳＥ（１００）の生産段階（Ｉ）中に確保され（Ｓ３）、及び前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記ＳＥ（１００）の前記生産段階（Ｉ）後の後続段階（ＩＩ、ＩＩＩ、ＩＶ）でロードされ（Ｓ４ａ）、及び動作可能にされる（Ｓ５）、請求項１に記載の方法。

【請求項7】

前記特定データ（３５ａ、６５ａ）は、前記特定データ（３５ａ、６５ａ）が前記ＳＥ（１００）の生産段階（Ｉ）中に変更される場合、前記更新エージェント（１０）によって確保され（Ｓ３）、前記更新エージェント（１０）は、前記ＳＥ（１００）が前記ＳＥ（１００）の前記生産段階（Ｉ）後の後続段階（ＩＩ、ＩＩＩ、ＩＶ）に進む場合、前記特定データ（３５ａ、６５ａ）を確保することを停止する、請求項１に記載の方法。

【請求項8】

前記更新エージェント（１０）は、前記ＳＥ（１００）の生産段階（Ｉ）中に前記更新エージェント（１０）を前記ＳＥ（１００）にロードする（Ｓ１）ことによって提供される、請求項１に記載の方法。

【請求項9】

インストールされたソフトウェア（６０ａ）、特にオペレーティングシステム（３０ａ）と更新エージェントとを含むセキュアエレメント（１００）であって、前記更新エージェント（１０）は、前記インストールされたソフトウェア（３０ａ、６０ａ）を動作させるために必要な特定データ（３５ｂ、６５ｂ）が確保されるメモリ（１２）を含み、及びソフトウェアイメージ（３０ｂ、６０ｂ）を、前記確保された特定データ（６５ｂ、３５ｂ）によって動作可能にするように構成され、前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記セキュアエレメント（１００）にロードされ、及び前記インストールされたソフトウェア（３０ａ、６０ａ）の更新を表す、セキュアエレメント（１００）。

【請求項10】

前記確保された特定データ（３５ｂ、６５ｂ）は、前記インストールされたソフトウェア（３０ａ、６０ａ）の個人化データ、特に安全なクレデンシャル及び／又は暗号鍵を含み、及び前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記個人化データ（３５ａ、６５ａ）で個人化されている一方、前記更新エージェント（１０）は、前記ロードされたソフトウェアイメージ（３０ｂ、６０ｂ）が、前記確保された個人化データ（３５ｂ、６５ｂ）を使用してそれを個人化することによって動作可能にされることにおいて、前記インストールされたソフトウェア（３０ａ、６０ａ）を更新するように構成される、請求項９に記載のセキュアエレメント（１００）。

【請求項11】

前記更新エージェント（１０）の前記メモリ（１２）内に確保された前記特定データ（３５ｂ、６５ｂ）は、前記インストールされたソフトウエア（３０ａ、６０ａ）と共に前記セキュアエレメント（１００）のメモリ領域（５５）内に記憶された特定データ（３５ａ、６５ａ）の再使用及び／又はコピーである、請求項９又は１０に記載のセキュアエレメント（１００）。

【請求項12】

セキュアエレメント（１００）で使用するための更新エージェント（１０）であって、メモリ（１２）を含み、及び
－ 前記セキュアエレメント（１００）にインストールされたソフトウェア（３０ａ、６０ａ）を動作させるために必要な特定データ（３５ａ、６５ａ）を前記セキュアエレメント（１００）のメモリ領域（５５）内に確保することと、
－ ソフトウェアイメージ（３０ｂ、６０ｂ）を、前記確保された特定データ（３５ｂ、６５ｂ）によって動作可能にすることであって、前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記セキュアエレメント（１００）にロードされ、及び前記インストールされたソフトウェア（３０ａ、６０ａ）の更新を表す、動作可能にすることと
を行うように構成される更新エージェント（１０）。

【請求項13】

個人化データであって、それにより、前記インストールされたソフトウェア（３０ａ、６０ａ）が個人化されている、個人化データ、特に安全なクレデンシャル及び／又は暗号鍵を含む特定データ（３５ａ、６５ａ）を確保し、及び前記確保された個人化データ（３５ｂ、６５ｂ）を使用して、前記ロードされたソフトウェアイメージ（３０ｂ、６０ｂ）を個人化することにより、前記インストールされたソフトウェア（３０ａ、６０ａ）を更新するように構成される一方、好ましくは、前記特定データ（３５ａ、６５ａ）は、前記ＳＥ（１００）の生産段階（Ｉ）中に確保され、及び前記インストールされたソフトウェア（３０ａ、６０ａ）は、前記ＳＥ（１００）の前記生産段階（Ｉ）後の後続段階（ＩＩ、ＩＩＩ、ＩＶ）で更新される、請求項１２に記載の更新エージェント（１０）。

【請求項14】

請求項１に記載の方法を実施するように構成され、及び／又は請求項９に記載のセキュアエレメント（１００）にインストールされ、及び前記セキュアエレメント（１００）のプロセッサ（４０）によって実行されるように構成された実行可能ソフトウェア製品として実現される、請求項１２～１３の何れか一項に記載の更新エージェント（１０）。

【請求項15】

電子デバイス内のセキュアエレメント（１００）と共に使用するためのコンピュータプログラム製品であって、前記電子デバイス内の前記セキュアエレメント（１００）にソフトウェアをロードするための非一時的コンピュータ可読記憶媒体及びその中に組み込まれたコンピュータプログラムメカニズムを含み、前記コンピュータプログラムメカニズムは、
－ 前記セキュアエレメント（１００）にインストールされたソフトウェア（３０ａ、６０ａ）を動作させるために必要な特定データ（３５ａ、６５ａ）をメモリ領域（５５）内に確保するための命令であって、前記特定データ（３５ａ、６５ａ）は、個人化データであって、それを用いて、前記インストールされたソフトウェア（３０ａ、６０ａ）が個人化されている、個人化データを含む、命令と、
－ 前記セキュアエレメント（１００）にロードされるソフトウェアイメージ（３０ｂ、６０ｂ）を受け取るための命令であって、前記ソフトウェアイメージ（３０ｂ、６０ｂ）は、前記インストールされたソフトウェア（３０ａ、６０ａ）の更新を表す、命令と、
－ 前記ソフトウェアイメージ（３０ｂ、６０ｂ）を、前記確保された特定データ（３５ｂ、６５ｂ）によって動作可能にし、及び／又は前記ソフトウェアイメージ（３０ｂ、６０ｂ）を、前記特定のメモリ（１２）に含まれる前記個人化データによって個人化するための命令と
を含む、コンピュータプログラム製品。

【国際調査報告】