JP2021002081A - 情報処理装置、その制御方法、及びプログラム - Google Patents

Abstract

【課題】本発明は、ソフトウェアをアップデートする際に、プログラムの正当性を検証しつつ、処理時間の増大を防止し、ダウンタイムの削減とセキュリティ機能を両立する仕組みを提供する。【解決手段】本情報処理装置は、プログラムのアップデートを受け付けると、プログラムの正当性を検証する検証機能に関わる設定情報に基づいて、検証機能に含まれる所定の検証機能を有効又は無効に切り替える。より詳細には、本情報処理装置は、プログラムのアップデートが行われる前に、所定の検証機能を無効に切り替え、当該プログラムのアップデートが終了すると、当該所定の検証機能を有効に切り替える。【選択図】 図４

Description

本発明は、情報処理装置、その制御方法、及びプログラムに関する。

画像形成装置等の情報処理装置にインストールされたアプリケーションやファームウェアなどのプログラムは、不具合の修正や機能追加のために、市場リリース後においてリリース先でしばしばアップデートされるケースがある。ファームウェアを配信する際には、改ざんされて不正なアップデートが行われないように、配信するファームウェアに対して署名暗号化を行うことが一般的となっている。配信されるファームウェアを圧縮し署名暗号化して配信することで、データの転送サイズを減らすとともに、実際にインストールする前に、ダウンロードした暗号化ファームウェアの署名検証を行うことで改ざんを防止することができる。

配信時にファイルを圧縮して配信するケースでは、インストール時に情報処理装置の記憶装置に対して配信されたファームウェアの圧縮ファイルを展開して配置する。従って、展開後のファイルの改ざん及び経年劣化（以下、まとめて”改ざん”と称する。）に対しては、ファームウェア配信時に署名暗号化する方法では防止できない。アップデート後のファイルの正当性の検証手法として、特許文献１には、電源投入時に、書き換え不可の領域に保存されたブートプログラムを最初に起動し、ブートプログラムを除くその他のプログラム起動時にプログラムの正当性を検証する手法が提案されている。この正当性の検証では、それぞれのプログラムの正解値を計算し、予め保存されたプログラムの正解値と一致するかが判定され、一致する場合に起動を行うことで不正なプログラムの起動を防止している。

更に、画像形成装置の稼働中においてランタイムでプログラムの正当性を検証する方法（改ざん検知方法）として、ホワイトリスト方式を用いた改ざん検知手法も知られている。ホワイトリスト方式では、使用可能なファームウェアの個々のファイルの検証データを予め保管し、ファームウェアの使用時に検証データを用いて当該ファームウェアの改ざんを検証し、正しいファームウェアだけを使用可能とする手法である。ここで、検証データとは、ファームウェアの一意性を確認するために、ファームウェアが格納された個々のファイルのバイナリデータから、ハッシュ関数を用いて作成されたハッシュ値を用いるのが一般的である。ハッシュ値には、ある値からハッシュ値を作成した際に、当該ハッシュ値を変更せずに元の値を改変することが不可能であるという特徴があり、正しいファームウェアであるかどうかの改ざん検証に使用することが可能である。また改ざん確認とは、ファームウェアを実行する際やファイルをオープンする際にファイル全体のハッシュ値を算出し、ホワイトリストに保管された当該ファイルに対する検証データと一致しているかの確認を行う。ここで、一致しなければ改ざんされたと見なし、使用者に対して警告などなどの通告が行われる。

ホワイトリストを使用したチェック方式においては、アップデート時に展開されたファイルが後に改ざんされたとしても、ホワイトリストで管理されたファイルが実行される際に改ざんを検知することが可能となる。通常、ホワイトリストは、プログラムによる書き込み処理を禁止して管理されるものであるが、ホワイトリストで管理されたファイルを含むファームウェアをアップデートする際には、ファームウェアとホワイトリストを正しく更新する必要がある。特許文献２には、ホワイトリストに含まれないソフトウェアをインストールする際に、ホワイトリストを無効化してインストールを行い、インストールされたソフトウェアをホワイトリストに登録することが提案されている。

特開２０１９−７５０００号公報 特開２０１６−１３９３２２号公報

上記従来技術における起動時のシステム検証のみでは、起動処理の完了後にランタイムでのプログラムでの正当性の検証を実施しないため、画像処理装置の稼働中に正当でないプログラムを実行される脅威への対策は不十分であると考えられる。一方、プログラム更新中にホワイトリストを無効化してホワイトリストの更新を行う方法では、更新されたプログラムに対するホワイトリストの更新は可能である。しかし、ホワイトリストを用いた正当性の検証を無効にするため、悪意のある正当でないプログラムが実行されてしまう可能性がある。

また、ホワイトリストを適切に管理し、正当性の検証を実行しながらファームウェアをアップデートすることも考えられる。ただし、単位時間に更新する対象ファイルが多数である場合や、ファイルを記憶する領域が複数の記憶デバイスに跨って、ディスクが多重にマウントされているような場合には、ファイルパスの探索やそれに伴う検知処理の実行に時間が掛かってしまう。そのため、プログラムを記憶するディレクトリの構成やシステムの複雑度によっては、プログラムの更新処理が大きく増加する可能性がある。

本発明は、上述の問題の少なくとも一つに鑑みて成されたものであり、ソフトウェアをアップデートする際に、プログラムの正当性を検証しつつ、処理時間の増大を防止し、ダウンタイムの削減とセキュリティ機能を両立する仕組みを提供する。

本発明は、例えば、情報処理装置であって、プログラムのアップデートを受け付けると、プログラムの正当性を検証する検証機能に関わる設定情報に基づいて、前記検証機能に含まれる所定の検証機能を有効又は無効に切り替える切替手段と、前記プログラムのアップデートを行う更新手段とを備え、前記切替手段は、前記更新手段によって前記プログラムのアップデートが行われる前に、前記所定の検証機能を無効に切り替え、該プログラムのアップデートが終了すると、該所定の検証機能を有効に切り替えることを特徴とする。

本発明によれば、ソフトウェアをアップデートする際に、プログラムの正当性を検証しつつ、処理時間の増大を防止し、ダウンタイムの削減とセキュリティ機能を両立することができる。

一実施形態に係る画像形成装置の構成を表すハードウェアブロック図。 一実施形態に係る画像形成装置の構成を表すソフトウェアブロック図。 一実施形態に係る正当性の検証機能の切替の一例を示す図。 一実施形態に係るファームウェアアップデート時のフローチャート。 一実施形態に係る操作パネル１２０に表示させるシステム検証の設定画面の一例を示す図。

以下、添付図面を参照して実施形態を詳しく説明する。なお、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。

なお、実施形態に係る情報処理装置として画像形成装置である複合機（デジタル複合機／ＭＦＰ／Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）を例に説明する。しかしながら適用範囲は複合機に限定はせず、情報処理装置であればよい。

＜ハードウェア構成＞
以下では、本発明の一実施形態について説明する。まず、図１を参照して、一実施形態に係る複合機である画像形成装置１００のハードウェア構成を説明する。なお、本実施形態では、画像形成装置１００に含まれるソフトウェアの更新処理として、主に、ファームウェアの更新処理を例に説明する。しかしながら、本発明はこのような更新処理に限定されず、他のソフトウェアの更新処理に対しても適用可能である。

画像形成装置１００は、メインコントローラ１１０、組み込みコントローラ１０３、操作パネル１２０、プリンタユニット１３０、及びスキャナユニット１４０を備える。組み込みコントローラ１０３には、書き換え不可のＲＯＭが備えられ、ブートプログラムが意図せず変化していないかの確認を行う検証部を有する。これには、一般的に広く用いられる公開鍵暗号方式を応用した電子署名技術を使用することを想定している。画像形成装置１００に電源が投入されると、組み込みコントローラ１０３がまずブートプログラムの検証を行い、正当性を検証した後に当該ブートプログラムの起動を行う。そのため、詳細な説明は割愛する。なお、組み込みコントローラ１０３を搭載せずに、メインコントローラ１１０で同様の処理を行うように構成してもよい。

メインコントローラ１１０は、ＣＰＵ１１１、ＲＯＭ１１２、ＲＡＭ１１３、ＨＤＤ１１４、操作部Ｉ／Ｆ１１５、プリンタＩ／Ｆ１１６、スキャナＩ／Ｆ１１７、ＵＳＢホストＩ／Ｆ１１８、及びネットワークＩ／Ｆ１１９を備える。ＣＰＵ１１１は、ＲＯＭ１１２に記憶されたメインコントローラ１１０用のファームウェアをＲＡＭ１１３に読み出して実行する。また、ＲＯＭ１１２には、実行プログラムの他に、正当性の検証に使用する正解値データや信頼されたプログラムを示すホワイトリストが記憶されている。ＲＯＭ１１２には、メインコントローラ１１０の機能を有効にするためのライセンス情報も記憶される。

ハードディスクドライブ（ＨＤＤ）１１４は、ネットワークＩ／Ｆ１１９を介してＰＣ１８０から受信した印刷データを記憶する。なお、ＲＯＭ１１２から読み出されＣＰＵ１１１により実行されるプログラムには、プリント用アプリケーションプログラムが含まれる。そして、このプリント用アプリケーションプログラムにより、ＨＤＤ１１４に記憶された印刷データがプリンタユニット１３０によるプリントが可能な画像データに変換される。そして、ＨＤＤ１１４には、プリンタユニット１３０によるプリントが可能な画像データも記憶される。また、ＲＯＭ１１２から読み出されＣＰＵ１１１により実行されるファームウェアには、スキャン用アプリケーションプログラムが含まれる。そして、このスキャン用アプリケーションプログラムの実行により、スキャナユニット１４０によって原稿から画像が読み取られて画像データが出力され、出力された画像データがＨＤＤ１１４に転送される。そして、ＨＤＤ１１４には、出力された画像データが記憶される。

操作部Ｉ／Ｆ１１５は、操作パネル１２０を介して画像形成装置１００の使用者により入力される指示をＣＰＵ１１１に伝達するためのＩ／Ｆである。また、操作部Ｉ／Ｆ１１５は、操作パネル１２０に表示する内容を切り替えるための処理内容をＣＰＵ１１１から受信して操作パネル１２０の表示を制御する。なお、操作パネル１２０は、タッチパネル機能を有する液晶表示部やキーボードなどが備えられ、使用者の指示を受け付けることができる。

プリンタＩ／Ｆ１１６は、メインコントローラ１１０とプリンタユニット１３０を接続するためのインタフェースである。ここで、プリンタユニット１３０は、プリンタＩ／Ｆ１１６を介してＨＤＤ１１４から転送される画像データに基づいて記録媒体（シート等）上にプリントを行う。

スキャナＩ／Ｆ１１７は、メインコントローラ１１０とスキャナユニット１４０を接続するためのインタフェースである。ここで、スキャナユニット１４０は、原稿上の画像をＣＣＤ（ＣｈａｒｇｅＣｏｕｐｌｅｄＤｅｖｉｃｅ）等により構成されるラインセンサを用いて読み取って、画像データを出力するものである。そして、スキャナユニット１４０は、当該画像データをスキャナＩ／Ｆ１１７を介してＨＤＤ１１４へ転送する。ＨＤＤ１１４へ転送され、記憶された画像データは、前述したプリンタユニット１３０によりプリントすることが可能である。従って、スキャナユニット１４０により読み取った画像データをプリンタユニット１３０によりプリントすることにより、複写（コピー）処理が可能となる。

ＵＳＢホストＩ／Ｆ１１８は、メインコントローラ１１０と外部ＵＳＢデバイス１６０を接続するためのインタフェースである。ここで、外部ＵＳＢデバイス１６０の例としてはＦＡＸユニットが挙げられる。ＦＡＸユニットの例では、ＵＳＢホストＩ／Ｆ１１８を介してＨＤＤ１１４から転送される画像データに基づいてＦＡＸ送信を行う。また、受信するデータに基づいて画像データを生成し、ＵＳＢホストＩ／Ｆ１１８を介してＨＤＤ１１４に画像データを転送する。なお、ＨＤＤ１１４に記憶された画像データは、前述したようにプリンタユニット１３０により記憶媒体へプリントされる。外部ＵＳＢデバイス１６０は、ＵＳＢメモリやＵＳＢキーボードなども例として挙げられる。ＵＳＢメモリからは、ファームウェアアップデートに必要な更新ファイルの転送も可能である。

ネットワークＩ／Ｆ１１９は、メインコントローラ１１０をＬＡＮ１５０に接続し、ＬＡＮ上のＰＣ１８０との通信を行う。ＰＣ１８０は画像形成装置１００とＬＡＮ１５０で接続され、画像形成装置１００に対して、印刷データの送信、ＷＥＢブラウザ経由での機器の操作、ファームウェアファイルの転送等が可能である。

さらに画像形成装置１００は、ＬＡＮ１５０を介して、サーバ装置１７０と接続され、ファームウェアアップデート等に必要なソフトウェアの更新ファイルをダウンロードすることができる。ここでの更新ファイルのダウンロードは、ＨＴＴＰ、ＦＴＰなどの通信プロトコルに従って行われるが、他の通信プロトコルが利用されてもよい。

サーバ装置１７０には、出荷された製品に対してアップデートが必要な最新のファームウェア等が常にアップロードされており、画像形成装置１００から問い合わせを行うことで、必要なファームウェアを取得することができる。ただし、画像形成装置１００の設置環境によっては、サーバ装置１７０には接続しないケースもありうる。

＜ソフトウェア構成＞
次に、図２を参照して、本実施形態に係るメインコントローラ１１０のＣＰＵ１１１により実行されるソフトウェアの構成例について説明する。なお、図２に示されるプログラムは、図１のＲＯＭ１１２に記憶されているものとする。

メインコントローラ１１０は、ソフトウェア構成として、メインシステム２１０を備え、メインシステム２１０には本実施形態における画像形成装置１００の各種機能を実現するためのプログラムが配置される。メインシステム２１０は、起動制御部２１１、操作部制御部２１２、プリンタ制御部２１３、スキャナ制御部２１４、ＵＳＢ制御部２１５、通信処理部２１６、更新処理部２１７、ホワイトリスト管理部２１８、検知制御部２１９、制御切替部２２０、及び検証部２２１を備える。

起動制御部２１１はメインシステム２１０の起動時の処理を制御するプログラムであり、メインシステム２１０のＯＳ（オペレーションシステム）を起動させ、各種プログラムを動作させるための基本システムの立ち上げを行う。操作部制御部２１２は、操作部Ｉ／Ｆ１１６を介して、操作パネル１２０の制御を行うためのプログラムである。プリンタ制御部２１３は、プリンタＩ／Ｆ１１６を介したプリンタユニット１３０の制御を行うためのプログラムである。スキャナ制御部２１４は、スキャナＩ／Ｆ１１７を介したスキャナユニット１４０の制御を行うためのプログラムである。

ＵＳＢ制御部２１５はＵＳＢホストＩ／Ｆ１１８を介して、その先のＵＳＢデバイスの制御を行うためのプログラムである。外部ＵＳＢデバイス１６０にＵＳＢメモリが接続されている場合、ＵＳＢ制御部２１５は、ＵＳＢメモリから、ファームウェアアップデートに必要な更新ファイル及び更新情報の転送処理に関する制御を行う。転送されたファイルはＨＤＤ１１４に保存される。通信処理部２１６は、ネットワークＩ／Ｆ１１９を介して、ＰＣ１８０やサーバ装置１７０との通信を行い、ＬＡＮ１５０を介して、ファームウェアアップデートに必要な更新ファイル及び更新情報の転送処理を行う。転送されたファイルはＨＤＤ１１４に保存される。

更新処理部２１７は、操作パネル１２０を介してユーザからファームウェアアップデート等の実行の指示があった際や予め設定された時刻に到達した際に、メインシステム２１０を構成するプログラムの更新処理を行うものである。更新処理部２１７によるプログラムの更新処理は、具体的には下記の３つの処理に分けられる。
（１）外部ＵＳＢデバイス１６０やサーバ装置１７０からのファームウェア（更新対象のプログラム）の転送処理。
（２）ＲＯＭ１１２に記憶された旧ファームウェアのバックアップ処理。
（３）ＲＯＭ１１２に記憶されたプログラムの更新処理。

旧プログラムのバックアップ処理を実行するのは、プログラムの更新処理の間に電源の不良や記憶領域の書き込みエラー等により更新処理が正常に実行できなかった場合に、アップデート前の旧プログラムへロールバックするためのものである。旧プログラムのバックアップ処理や、メインコントローラ１１０の構成、アップデート処理の設定に応じて、当該バックアップ処理を実行しないケースもある。

ホワイトリスト管理部２１８はメインシステム２１０で動作するプログラムに対するホワイトリストの管理を行う。ホワイトリストはメインシステム２１０のプログラムに対する検証データとして生成され、稼働中の画像形成装置１００に対して、ランタイムでの正当でないプログラムの実行を防止する。ホワイトリストに記載されたファームウェアのアップデートなどの書換処理が発生する場合は、アップデートを実行するプログラムに特殊な権限を与えて書換処理を実行する。

検知制御部２１９は、第２検証手段として機能し、ファームウェアを実行する際やファイルをオープンする際に正当性（改ざんや経年劣化による変化）の検証を行う。なお、以下では、プログラムの改ざんや経年劣化による変化を検出するための、プログラムの正当性の検証を単に改ざん検知と表現する。つまり、以下で使用する用語「改ざん検知」には、プログラムの改ざん検知に加えて、経年劣化によるプログラムの変化の検知も含むものである。これらの改ざん検知には、ファイル全体のハッシュ値を算出し、ホワイトリスト管理部２１８で管理されているホワイトリストに含まれる当該ファイルに対する検証データと一致しているかを確認し、一致しなければ改ざんされたと判断する。検知制御部２１９が防御するファイルアクセスには以下のようなものがある。
（１）ＲＯＭ１１２及びＨＤＤ１１４内のファイルの書換制御。
（２）ＲＯＭ１１２及びＨＤＤ１１４内のファイルの読込制御。
（３）ＲＯＭ１１２及びＨＤＤ１１４内のバイナリ実行制御。
（４）ＲＯＭ１１２及びＨＤＤ１１４内のスクリプト実行制御。
これらの詳細については図３を用いて後述する。

制御切替部２２０は、検知制御部２１９で実行される改ざん検知機能の切替制御を実行する。通常は、改ざん検知のセキュリティのレベルは、システムとしてデフォルトで規定された内容や、予め管理ユーザによって設定された内容に従って管理されるが、本実施形態ではファームウェアのアップデート処理時に動的に切り替えを実施する。

ホワイトリストに記載されたプログラムの更新処理は、検知制御部２１９によって更新処理部２１７に一時的に特殊な権限を与えることにより実施される。ここで、プログラムの更新処理が、ファイルの書き換えに対する改ざん防御処理と同時に実行される場合、ファイルに対する書き込みのシステムコールをフックして、ホワイトリストにハッシュ値の確認を行うことで検知処理を実施する。この際、単位時間に更新する対象ファイルが多数ある場合や、ファイルを記憶する領域が複数の記憶デバイスに跨っていて、ディスクが多重にマウントされている場合には、正しいファイルパス情報の探索やそれに伴う検知処理の実行に時間がかかる場合がある。そのため、プログラムを記憶するディレクトリの構成やシステムの複雑度によっては、プログラムの更新処理の実行時間が増大する問題が発生する。このような問題に対処するため、プログラム更新処理の実行時に、ホワイトリストを用いたセキュリティ設定が有効になっている場合は、制御切替部２２０による改ざん検知機能の切替制御を実行する。それによりユーザにとって画像形成装置１００のダウンタイムの要因となるアップデート時間の増大を防止する。

検証部２２１は、第１検証手段として機能し、メインコントローラ１１０のシステム起動時に、ＲＯＭ１１２に記憶されたプログラムの検証を実行する。具体的には、予めＲＯＭ１１２内のプログラムに署名と次に起動するプログラムの署名を検証するための公開鍵を付与しておき、起動直前に署名検証を行って、検証に成功した場合のみ当該プログラムを起動する。このようなシステム起動時のファームウェア検証を段階的に実施する順次起動する。なお、上述したように、画像形成装置１００のブートプログラムの検証については、組み込みコントローラ１０３で行ってもよいし、メインコントローラ１１０で行うようにしてもよい。

＜改ざん検知制御＞
次に、図３を参照して、本実施形態における改ざん検知機能の切替制御について説明する。画像形成装置１００が稼働中に検知制御部（第２検証手段）２１９が実行する改ざん検知機能には、少なくとも、書換制御、読込制御、バイナリ実行制御、及びスクリプト実行制御が含まれる。各機能について説明する。なお、図３に示す情報は、テーブルとして、画像形成装置１００のＲＡＭ１１３やＨＤＤ１１４等の記憶部に記憶されることが望ましい。

（書換制御）
書換制御機能は、ＲＯＭ１１２及びＨＤＤ１１４内の指定された領域のファイルへの書き換えを監視して、許可していないプログラムや悪意のあるユーザからの編集を防止する。ＲＯＭ１１２に記憶されるプログラムは、各アプリケーションから読込専用で利用されることを想定しているため、本実施形態では、当該機能をデフォルトで有効（ＯＮ）に設定する。

（読込制御）
読込制御機能は、ＲＯＭ１１２及びＨＤＤ１１４内の指定された領域のファイルの読込を禁止して、許可していないプログラムや悪意のあるユーザからのアクセスを防止する。ＲＯＭ１１２に記憶されるプログラムは、各アプリケーションから読み込まれることを想定しているため、本実施形態では、当該機能をデフォルトで無効（ＯＦＦ）に設定する。

（バイナリ実行制御、スクリプト実行制御）
バイナリ実行制御及びスクリプト実行制御の機能は、ＲＯＭ１１２及びＨＤＤ１１４内のファイルに対して、ホワイトリストに記載されたバイナリファイルやスクリプトファイルの実行の制限を行う。これにより、不正に追加又は編集された、悪意のあるプログラムの実行を防止する。本実施形態では、これらの機能をデフォルトでＯＮに設定する。

図３は、各機能について、通常動作時３０１、ファームウェア転送時３０２、旧ファームウェアバックアップ時３０３、及びプログラム更新時３０４のそれぞれの動作時における各機能の設定状況を示す。図３に示すように、本実施形態によれば、改ざん検知機能について、通常動作時３０１と他の動作時（アップデート動作時）３０２〜３０３とにおいて動的な切替を行う。

通常動作時３０１は、書換制御、バイナリ実行制御、及びスクリプト実行制御を有効とし、読込制御はＯＦＦとする。本実施形態ではシステムの特性上、読込制御をデフォルトＯＦＦとするが、読込を許可するプログラムを指定した上で読込制御をＯＮとしてもよい。

また、本実施形態によれば、プログラムの更新処理が開始された時点で動的に書換制御を無効に設定し、ファームウェア転送時３０２、旧ファームウェアバックアップ時３０３、及びプログラム更新時３０４において書換制御が無効となる。一方で、これらの動作時３０２〜３０４においては、バイナリ実行制御及びスクリプト実行制御を有効な状態とする。書換制御を無効にすることで、セキュリティのレベルが一時的に下がる状況にはなるが、バイナリ実行制御及びスクリプト実行制御が常に動作するため、アップデート処理中のマルウェアの実行を防止することが可能となる。また、ファームウェアアップデート後は必ずシステムリブート（画像形成装置１００の再起動）が実行される。その後、検証部２２１による起動時のシステム検証を実施するため、万が一何らかの不正な書換処理があったとしても、ファイルの改ざんを正常に検知することが可能となる。

ここでは、図３を用いてアップデート処理の開始から終了までを通して、改ざん検知制御のうちの書換制御を無効に切り替える例を説明した。しかし、本発明はこれに限定されず、プログラムの配置方法やシステムの特性によって、切り替えるタイミングや切り替える機能は変更してもよい。例えば、外部記憶装置から転送されるファイルの数が少なく、書換制御に伴うアップデート処理時間の増加が無視できる範囲であれば、ファームウェア転送処理の後に改ざん検知制御を切り替えればよい。また、ユーザの設定等によって旧ファームウェアのバックアップ処理を実施しないようなアップデートシーケンスの場合は、プログラムの更新処理の直前に改ざん検知制御を切り替えてもよい。

＜処理手順＞
次に、図４を参照して、本実施形態における画像形成装置１００のファームウェアアップデート時の処理手順を説明する。本フローチャート記載の動作を実現するプログラムは、例えば、ＲＯＭ１１２に記憶され、ＣＰＵ１１１によりＲＡＭ１１３に読み出して実行される。

まずＳ４０１で、ＣＰＵ１１１は、ファームウェアアップデートの指示を受け付ける。この指示の受け付けは、操作パネル１２０を介したユーザからの入力であってもよいし、ＰＣ１８０やサーバ装置１７０からの通信を介して入力されるものでもよい。続いて、Ｓ４０２で、ＣＰＵ１１１は、メインコントローラ１１０のシステム動作時における改ざん検知機能の設定が有効かどうかを判断する。本実施形態における改ざん検知の設定は、起動時のシステム検証の有無とシステム動作時の改ざん検知機能の有無があるが、詳細な設定については図５を用いて後述する。システム動作時の改ざん検知機能の設定が有効でない場合はＳ４０４以降の処理へ進み、通常のファームウェアアップデート処理を実行する。一方、有効である場合は、Ｓ４０３に進む。

Ｓ４０３で、制御切替部２２０は、有効となっている改ざん検知機能のうち、即ち、書換制御、バイナリ実行制御、及びスクリプト実行制御のうち、書換制御を有効から無効に変更する。その後、Ｓ４０４以降の処理へ進み、ＣＰＵ１１１は、機能を切り替えた後の改ざん検知機能で、ファームウェアアップデート処理を実行する。

Ｓ４０４で、ＣＰＵ１１１は、外部記憶装置から更新すべきファームウェアファイルを転送し、ＨＤＤ１１４に保存する。ここで、ファームウェアファイルの転送元である外部記憶装置は、ＵＳＢホストＩ／Ｆ１１８を介した外部ＵＳＢデバイス１６０であってもよいし、ネットワークＩ／Ｆ１１９を介したＰＣ１８０又はサーバ装置１７０でもよい。

続いて、Ｓ４０５で、ＣＰＵ１１１は、旧ファームウェアのバックアップ処理を実行する。具体的には、ＣＰＵ１１１は、ＲＯＭ１１２に記憶されたプログラムのうち、バックアップ処理が必要と判断されたプログラムについて、ＨＤＤ１１４に対してコピー処理を実行する。一連のアップデート処理の間に電源の不良や記憶領域の書き込みエラー等により更新処理が正常に実行できなかった場合は、ここでバックアップしたプログラムを用いて、ＲＯＭ１１２内のプログラムをアップデート前のバージョンへロールバックを実行する。更に、Ｓ４０６で、更新処理部２１７は、Ｓ４０４でＨＤＤ１１４に転送されたファームウェアのデータを用いて、ＲＯＭ１１２内のプログラム群の更新処理を実行する。プログラムの更新処理が正常に終了すると、Ｓ４０７へ進む。

Ｓ４０７で、ＣＰＵ１１１は、Ｓ４０３で改ざん検知の書換制御が無効に変更されているかどうかを判断し、無効になっていればＳ４０８へ進み、無効から有効に変更した上で、Ｓ４０９に進む。一方、書換制御が有効のままであった場合は、そのままＳ４０９に進む。Ｓ４０９で、ＣＰＵ１１１は、システムリブートを実行する。

次に、Ｓ４１０で、ＣＰＵ１１１は、メインコントローラ１１０の起動時のシステム検証機能の設定が有効かどうかを判断する。ここでの設定については図５を用いて後述する。Ｓ４１０で起動時のシステム検証機能の設定が無効だった場合はＳ４１３に進み、画像形成装置１００の起動処理を実行して、本処理フローを終了する。一方、Ｓ４１０で起動時のシステム検証機能の設定が有効だった場合は、Ｓ４１１に進み、検証部２２１は、メインコントローラ１１０のシステム起動時に、ＲＯＭ１１２に記憶されたプログラムの検証処理を段階的に実行する。

その後、Ｓ４１２で、ＣＰＵ１１１は、システム検証が正常に完了したかどうかを判断する。システム検証で不正が見つかった場合はＳ４１４に進み、操作パネル１２０に対して画面を表示してエラーを通知し、本処理フローを終了する。一方、Ｓ４１２で検証結果が正常と判断された場合は、Ｓ４１３に進み、ＣＰＵ１１１は、画像形成装置１００の起動処理を実行して、本処理フローを終了する。

＜画面例＞
次に、図５を参照して、本実施形態に係る操作パネル１２０に表示させるシステム検証の設定画面５００の一例を説明する。設定画面５００は、ユーザ入力を受け付け、メインコントローラ１１０に対する、起動時のシステム検証の設定、及び、システム動作時の改ざん検知に関する機能の有効、無効の設定を行う設定画面である。

起動時のシステム検証、及びシステム動作時の改ざん検知は、デフォルトではＯＦＦに設定されている。起動時のシステム検証は、セキュリティ上の安全を確保することはできるが、検証対象のプログラムの規模によっては起動時間が長くなる。その場合、主電源投入時にユーザが画像形成装置１００の通常機能を使用できるようになるまでの時間が長くなってしまうため、使用環境やユーザの要望により、起動時におけるシステム検証の実行の有無を設定可能としている。

ＯＮボタン５０１及びＯＦＦボタン５０２は起動時のシステム検証の実行についての選択ボタンであり、ＯＮボタン５０３及びＯＦＦボタン５０４はシステム動作時の改ざん検知の実行についての選択ボタンである。ここで、初期値ではＯＮボタン５０１及びＯＦＦボタン５０２が選択可能となっており、ＯＮボタン５０１を選択して、起動時のシステム検証を有効に設定すると、ＯＮボタン５０３及びＯＦＦボタン５０４が選択可能となる。起動時のシステム検証とシステム動作時の改ざん検知は同時に有効にすることは可能であるが、システム動作時の改ざん検知のみを有効にすることはできない。起動時のシステム検証が有効になっていることがシステム動作時の改ざん検知を有効にする前提条件となる。

上記前提条件より、検知制御部（第２検証手段）２１９による制御が有効な場合は必ず、検証部（第１検証手段）２２１が有効となる。従って、ファームウェアアップデート時に書換制御を無効にしたとしても、Ｓ４０９でのシステムリブート後のＳ４１１で必ず起動時のシステム検証が実行されるので、アップデート処理中に書き換えに対する防御も適切に実行することが可能となる。

ＯＮボタン５０１及びＯＦＦボタン５０２のいずれか、ＯＮボタン５０１を選択した際は、ＯＮボタン５０３及びＯＦＦボタン５０４のいずれかをさらに選択し、ＯＫボタン５０５を押下することで、それぞれの機能の有効と無効の設定が可能となる。設定変更をキャンセルし、画面を閉じる場合はキャンセルボタン５０６を選択する。

以上説明したように、本実施形態に係る情報処理装置は、プログラムのアップデートを受け付けると、プログラムの正当性を検証する検証機能に関わる設定情報に基づいて、検証機能に含まれる所定の検証機能を有効又は無効に切り替える。より詳細には、本情報処理装置は、プログラムのアップデートが行われる前に、所定の検証機能を無効に切り替え、当該プログラムのアップデートが終了すると、当該所定の検証機能を有効に切り替える。これにより、本発明は、ソフトウェアをアップデートする際に、プログラムの正当性を検証しつつ、処理時間の増大を防止し、ダウンタイムの削減とセキュリティ機能を両立することができる。

なお、本発明は上記実施形態に限らず様々な変形が可能である。例えば、上記実施形態では、ファームウェアの転送（取得）から、バックアップ処理、プログラムの更新処理までの間（Ｓ４０４〜Ｓ４０６）で、書換制御を無効にしたが、本発明はこれに限定されず、他のタイミングで検証機能の有効／無効を切り替えてもよい。また、有効／無効を切り替える機能についても、当該画像形成装置の仕様や設置環境等に応じて任意に変更されてもよい。例えば、ファームウェアの転送から、バックアップ処理、プログラムの更新処理までの間で、書換制御を有効にして、読込制御、バイナリ実行制御、及びスクリプト実行制御のうちの少なくとも１つの制御を無効にしてもよい。

＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。

１００：画像形成装置、１０３：組み込みコントローラ、１１１：ＣＰＵ、１１２：ＲＯＭ、１１３：ＲＡＭ、１１４：ＨＤＤ、１１５：操作部Ｉ／Ｆ、１１６：プリンタＩ／Ｆ、１１７：スキャナＩ／Ｆ、１１８：ＵＳＢホストＩ／Ｆ、１１９：ネットワークＩ／Ｆ、１２０：操作パネル、１３０：プリンタユニット、１４０：スキャナユニット、１６０：外部ＵＳＢデバイス、１７０：サーバ装置、１８０：ＰＣ

Claims (9)

1. 情報処理装置であって、
   プログラムのアップデートを受け付けると、プログラムの正当性を検証する検証機能に関わる設定情報に基づいて、前記検証機能に含まれる所定の検証機能を有効又は無効に切り替える切替手段と、
   前記プログラムのアップデートを行う更新手段と
   を備え、
   前記切替手段は、前記更新手段によって前記プログラムのアップデートが行われる前に、前記所定の検証機能を無効に切り替え、該プログラムのアップデートが終了すると、該所定の検証機能を有効に切り替えることを特徴とする情報処理装置。
2. 前記情報処理装置のシステム起動時に、ハッシュ関数を用いて作成されたハッシュ値を用いてプログラムの正当性を検証する第１検証手段と、
   前記情報処理装置のシステム動作時に、ホワイトリストを用いてプログラムの正当性を検証する第２検証手段と
   をさらに備え、
   前記所定の検証機能は、前記第２検証手段によって実行される検証機能であることを特徴とする請求項１に記載の情報処理装置。
3. 前記第２検証手段によって実行される検証機能には、ホワイトリストを用いたプログラムの実行を監視する機能と、指定された領域のファイルに対する書換を監視する機能と、及び指定された領域のファイルに対する読込を監視する機能とが少なくとも含まれ、
   前記所定の検証機能は、指定された領域のファイルに対する書換を監視する機能であることを特徴とする請求項２に記載の情報処理装置。
4. 前記検証機能の有効及び無効を設定する設定手段をさらに備え、
   前記設定手段は、前記第１検証手段による検証機能の有効及び無効と、前記第２検証手段による検証機能の有効及び無効とをそれぞれ設定可能な設定画面を表示部に表示し、該設定画面を介して受け付けたユーザ入力に従って、各検証機能の有効及び無効を設定することを特徴とする請求項２又は３に記載の情報処理装置。
5. 前記更新手段は、
   更新対象のプログラムを取得する外部から取得する手段と、
   旧プログラムのバックアップを行う手段と、
   取得されたプログラムを用いて前記旧プログラムの更新を行う手段と
   を備え、
   前記切替手段は、前記更新対象のプログラムの取得から前記旧プログラムの更新まで、前記所定の検証機能を無効にすることを特徴とする請求項１乃至４の何れか１項に記載の情報処理装置。
6. 前記更新手段は、さらに、前記プログラムの更新が終了すると、前記情報処理装置を再起動し、
   前記切替手段は、前記情報処理装置の再起動の前に、前記所定の検証機能を有効にすることを特徴とする請求項５に記載の情報処理装置。
7. 前記プログラムとは、前記情報処理装置のファームウェアであることを特徴とする請求項１乃至６の何れか１項に記載の情報処理装置。
8. 情報処理装置の制御方法であって、
   プログラムのアップデートを受け付けると、プログラムの正当性を検証する検証機能に関わる設定情報に基づいて、前記検証機能に含まれる所定の検証機能を有効又は無効に切り替える切替工程と、
   前記プログラムのアップデートを行う更新工程と
   を含み、
   前記切替工程は、前記更新工程によって前記プログラムのアップデートが行われる前に、前記所定の検証機能を無効に切り替え、該プログラムのアップデートが終了すると、該所定の検証機能を有効に切り替えることを特徴とする情報処理装置の制御方法。
9. 情報処理装置の制御方法における各工程をコンピュータに実行させるためのプログラムであって、前記制御方法は、
   プログラムのアップデートを受け付けると、プログラムの正当性を検証する検証機能に関わる設定情報に基づいて、前記検証機能に含まれる所定の検証機能を有効又は無効に切り替える切替工程と、
   前記プログラムのアップデートを行う更新工程と
   を含み、
   前記切替工程は、前記更新工程によって前記プログラムのアップデートが行われる前に、前記所定の検証機能を無効に切り替え、該プログラムのアップデートが終了すると、該所定の検証機能を有効に切り替えることを特徴とするプログラム。

Images