JP2022541734A

JP2022541734A - ハードウェア検出方法ならびに装置、デバイス、および記憶媒体

Info

Publication number: JP2022541734A
Application number: JP2021578090A
Authority: JP
Inventors: ジャン、メンナン; チアオ、リジョン; チェン、ハイウ
Original assignee: ホアウェイ・テクノロジーズ・カンパニー・リミテッド
Priority date: 2019-07-24
Filing date: 2020-07-13
Publication date: 2022-09-27
Anticipated expiration: 2040-07-13
Also published as: BR112022001162A2; JP7347895B2; US20220150260A1; US12047388B2; CN112311718B; CN112311718A; EP3982610B1; EP3982610A4; EP3982610A1; WO2021012978A1

Abstract

本願は、ハードウェア検出方法ならびに装置、デバイス、および記憶媒体を開示する。方法は、物理キャリアに第１検証データを送信する段階であって、ここで物理キャリアは複数のハードウェアを保持する段階と；物理キャリアにより返された暗号文およびバインディング関係情報を受信する段階であって、ここで暗号文は、それぞれのキーを使用して複数のハードウェアのうちの少なくとも２つのそれぞれが第１検証データを暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェアの間におけるバインディング関係を示すために使用される段階と；暗号文およびバインディング関係情報を検証して、検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定する段階とを含む。ハードウェアのセキュリティは、物理キャリア上に保持されたハードウェアと、ハードウェアによるそれぞれのキーを使用した暗号化によって取得された暗号文との間のバインディング関係に基づいて検証される。これは、ハードウェアの置換および偽造などの攻撃行動を防止し得る。

Description

本願は、２０１９年７月２４日に中国国家知識産権局に出願された「ハードウェア検出方法、装置、デバイス、および記憶媒体（ＨＡＲＤＷＡＲＥＤＥＴＥＣＴＩＯＮＭＥＴＨＯＤＡＮＤＡＰＰＡＲＡＴＵＳ，ＤＥＶＩＣＥ，ＡＮＤＳＴＯＲＡＧＥＭＥＤＩＵＭ）」と題する中国特許出願第２０１９１０６７３１７６．６号に基づく優先権を主張し、当該特許出願はその全体が参照により本明細書に組み込まれる。

本願は、セキュリティ技術分野、特に、ハードウェア検出方法ならびに装置、デバイス、および記憶媒体に関連する。

ハードウェアのセキュリティは、暗号アルゴリズムおよびセキュリティプロトコルなどのソフトウェアセキュリティ技術の基礎である。近年、ハードウェアをターゲットとする攻撃行動がより一般的になっている。したがって、ハードウェアレベルのデバイスセキュリティを保証するためにどのようにハードウェア検出を実行するかが、セキュリティ分野において重要な話題になっている。

本願の実施形態は、関連技術における問題を解消すべく、ハードウェア検出方法ならびに装置、デバイス、および記憶媒体を提供する。技術的解決手段は、以下の通りである。

第１態様によると、ハードウェア検出方法が提供される。方法は、物理キャリアに第１検証データを送信する段階であって、ここで物理キャリアは複数のハードウェアを保持する段階と；物理キャリアにより返された暗号文およびバインディング関係情報を受信する段階であって、ここで暗号文は、それぞれのキーを使用して複数のハードウェアのうちの少なくとも２つのそれぞれが第１検証データを暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェアの間におけるバインディング関係を示すために使用される段階と；暗号文およびバインディング関係情報を検証して、検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定する段階とを含む。

ハードウェアのセキュリティは、物理キャリア上に保持されたハードウェアと、ハードウェアによるそれぞれのキーを使用した暗号化によって取得された暗号文との間のバインディング関係に基づいて検証される。これは、ハードウェアの置換および偽造などの攻撃行動を防止し得る。

第１態様を参照すると、第１態様の第１の可能な実装において、バインディング関係情報は、少なくとも２つのハードウェアに対応するキー間のバインディング関係を含み；暗号文およびバインディング関係情報を検証する段階は、少なくとも２つのハードウェアに対応するキーを取得して、少なくとも２つのハードウェアに対応するキーに基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証する段階と；少なくとも２つのハードウェアによる暗号化によって取得された暗号文をそれぞれ復号すべく少なくとも２つのハードウェアに対応するキーを使用して、復号によって取得された第２検証データが第１検証データと一致するかどうかを検証する段階とを含み；検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定する段階は、バインディング関係情報に含まれるバインディング関係が正しい、且つ復号によって取得された第２検証データが第１検証データと一致するという検証結果である場合、少なくとも２つのハードウェアが安全であると決定する段階を含む。

第１態様または第１態様の第１の可能な実装を参照すると、第１態様の第２の可能な実装において、物理キャリアにより返された暗号文およびバインディング関係情報を受信する段階は、物理キャリアにより返された暗号文および公証証明書を受信する段階であって、ここで公証証明書は少なくとも２つのハードウェアに対応するキー間のバインディング関係を含む、且つバインディング関係のデジタル署名をさらに含む段階を含み；暗号文およびバインディング関係情報を検証する段階は、公証証明書内のデジタル署名に基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証する段階と；少なくとも２つのハードウェアによる暗号化によって取得された暗号文をそれぞれ復号すべく公証証明書内の少なくとも２つのハードウェアに対応するキーを使用して、復号によって取得された第２検証データが第１検証データと一致するかどうかを検証する段階とを含み；検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定する段階は、バインディング関係情報に含まれるバインディング関係が正しい、且つ復号によって取得された第２検証データが第１検証データと一致するという検証結果である場合、少なくとも２つのハードウェアが安全であると決定する段階を含む。

ハードウェア間のバインディング関係は公証証明書を使用して検証され、標準的なＴＣＧ認証プロトコルと互換性があり得る。加えて、ハードウェア間のバインディング関係はプロトコルにおいて拡張し、したがって強い実行可能性を有する。

第１態様もしくは第１態様の第１または第２の可能な実装を参照すると、第１態様の第３の可能な実装において、少なくとも２つのハードウェアに対応するキーは、それぞれのハードウェア識別子に基づいて少なくとも２つのハードウェアのそれぞれにより生成される。

ハードウェア識別子はハードウェアの固有属性であり、固有且つ複製不可能であり、ハードウェアにより保護される。したがって、ハードウェアのそれぞれのハードウェア識別子に基づいてハードウェアのキーを生成することは、キーのセキュリティを強化するのみならず、ハードウェアのセキュリティもさらに強化する。

第１態様の第３の可能な実装を参照すると、第１態様の第４の可能な実装において、ハードウェア識別子は、ハードウェアユニークキーＨＵＫ、物理複製困難関数ＰＵＦ、および機密性が保護されたワンタイムプログラマブルＯＴＰにおける識別情報もしくは承認キーＥＫを含む。

第１態様のいずれか１つ、または第１態様の第１から第４の可能な実装を参照すると、第１態様の第５の可能な実装において、キーは対称キーまたは非対称キーを含む。

第１態様の第５の可能な実装を参照すると、第１態様の第６の可能な実装において、キーが非対称キーである場合、キーはパブリックキーおよびプライベートキーを含み；暗号文は、少なくとも２つのハードウェアがそれぞれのプライベートキーを使用して第１検証データをそれぞれ暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される。ハードウェアのセキュリティは非対称キーを使用してさらに高まる。

第２態様によると、ハードウェア検出方法が提供される。方法は、検証ユニットにより送信された第１検証データを受信する段階と；暗号文およびバインディング関係情報を取得する段階であって、ここで暗号文は、物理キャリア上に保持された複数のハードウェアのうちの少なくとも２つがそれぞれのキーを使用して第１検証データをそれぞれ暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェア間のバインディング関係を示すために使用される段階と；暗号文およびバインディング関係情報を検証ユニットに送信する段階であって、ここで検証ユニットは、暗号文およびバインディング関係情報を検証して、検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定する段階とを含む。

第２態様を参照すると、第２態様の第１の可能な実装において、バインディング関係情報を取得する段階の前に、方法はさらに、少なくとも２つのハードウェアのキーを取得する段階と、少なくとも２つのハードウェアのキー間のバインディング関係に基づいてバインディング関係情報を取得する段階と、バインディング関係情報を格納する段階とを含む。

第２態様の第１の可能な実装を参照すると、第２態様の第２の可能な実装において、少なくとも２つのハードウェアのキー間のバインディング関係に基づいてバインディング関係情報を取得する段階、およびバインディング関係情報を格納する段階は、少なくとも２つのハードウェアのキーを登録して公証証明書を取得する段階と、公証証明書を格納する段階であって、ここで公証証明書は少なくとも２つのハードウェアに対応するキー間のバインディング関係を含み、バインディング関係のデジタル署名をさらに含む段階とを含み；バインディング関係情報を取得する段階は、公証証明書を取得する段階を含む。

第２態様もしくは第２態様の第１または第２の可能な実装を参照すると、第２態様の第３の可能な実装において、少なくとも２つのハードウェアに対応するキーは、それぞれのハードウェア識別子に基づいて少なくとも２つのハードウェアのそれぞれにより生成される。

第２態様の第３の可能な実装を参照すると、第２態様の第４の可能な実装において、ハードウェア識別子は、ＨＵＫ、ＰＵＦ、および機密性が保護されたＯＴＰにおける識別情報またはＥＫを含む。

第２態様のいずれか１つ、または第２態様の第１から第４の可能な実装を参照すると、第２態様の第５の可能な実装において、キーは対称キーまたは非対称キーを含む。

第２態様の第５の可能な実装を参照すると、第２態様の第６の可能な実装において、キーが非対称キーである場合、キーはパブリックキーおよびプライベートキーを含み；暗号文は、少なくとも２つのハードウェアがそれぞれのプライベートキーを使用して第１検証データをそれぞれ暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される。

第３態様によると、ハードウェア検出装置が提供される。装置は、物理キャリアに第１検証データを送信するように構成された送信モジュールであって、ここで物理キャリアは複数のハードウェアを保持する送信モジュールと；物理キャリアにより返された暗号文およびバインディング関係情報を受信するように構成された受信モジュールであって、ここで暗号文は、それぞれのキーを使用して複数のハードウェアのうちの少なくとも２つのそれぞれが第１検証データを暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェアの間におけるバインディング関係を示すために使用される受信モジュールと；暗号文およびバインディング関係情報を検証して、検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定するように構成された検証モジュールとを含む。

第３態様を参照すると、第３態様の第１の可能な実装において、バインディング関係情報は、少なくとも２つのハードウェアに対応するキー間のバインディング関係を含み；検証モジュールは、少なくとも２つのハードウェアに対応するキーを取得して、少なくとも２つのハードウェアに対応するキーに基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証することと；少なくとも２つのハードウェアによる暗号化によって取得された暗号文をそれぞれ復号すべく少なくとも２つのハードウェアに対応するキー使用して、復号によって取得された第２検証データが第１検証データと一致するかどうかを検証することと；バインディング関係情報に含まれるバインディング関係が正しい、且つ復号によって取得された第２検証データが第１検証データと一致するという検証結果である場合、少なくとも２つのハードウェアが安全であると決定することとを行うように構成される。

第３態様または第３態様の第１の可能な実装を参照すると、第３態様の第２の可能な実装において、受信モジュールは、物理キャリアにより返された暗号文および公証証明書を受信することであって、ここで公証証明書は少なくとも２つのハードウェアに対応するキー間のバインディング関係を含む、且つバインディング関係のデジタル署名をさらに含むことを行うように構成され；検証モジュールは、公証証明書内のデジタル署名に基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証することと；少なくとも２つのハードウェアによる暗号化によって取得された暗号文をそれぞれ復号すべく公証証明書内の少なくとも２つのハードウェアに対応するキーを使用して、復号によって取得された第２検証データが第１検証データと一致するかどうかを検証することと；バインディング関係情報に含まれるバインディング関係が正しい、且つ復号によって取得された第２検証データが第１検証データと一致するという検証結果である場合、少なくとも２つのハードウェアが安全であると決定することとを行うように構成される。

第３態様もしくは第３態様の第１または第２の可能な実装を参照すると、第３態様の第３の可能な実装において、少なくとも２つのハードウェアに対応するキーは、それぞれのハードウェア識別子に基づいて少なくとも２つのハードウェアのそれぞれにより生成される。

第３態様の第３の可能な実装を参照すると、第３態様の第４の可能な実装において、ハードウェア識別子は、ハードウェアユニークキーＨＵＫ、物理複製困難関数ＰＵＦ、および機密性が保護されたワンタイムプログラマブルＯＴＰにおける識別情報もしくは承認キーＥＫを含む。

第３態様のいずれか１つ、または第３態様の第１から第４の可能な実装を参照すると、第３態様の第５の可能な実装において、キーは対称キーまたは非対称キーを含む。

第３態様の第５の可能な実装を参照すると、第３態様の第６の可能な実装において、キーが非対称キーである場合、キーはパブリックキーおよびプライベートキーを含み；暗号文は、少なくとも２つのハードウェアがそれぞれのプライベートキーを使用して第１検証データをそれぞれ暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される。

第４態様によると、ハードウェア検出装置が提供される。装置は、検証ユニットにより送信された第１検証データを受信するように構成された受信モジュールと；暗号文およびバインディング関係情報を取得するように構成された第１取得モジュールであって、ここで暗号文は、物理キャリア上に保持された複数のハードウェアのうちの少なくとも２つがそれぞれのキーを使用して第１検証データをそれぞれ暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェア間のバインディング関係を示すために使用される、第１取得モジュールと；暗号文およびバインディング関係情報を検証ユニットに送信するように構成された送信モジュールであって、ここで検証ユニットは、暗号文およびバインディング関係情報を検証して、検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定する送信モジュールとを含む。

第４態様を参照すると、第４態様の第１の可能な実装において、装置はさらに、少なくとも２つのハードウェアのキーを取得することと、少なくとも２つのハードウェアのキー間のバインディング関係に基づいてバインディング関係情報を取得することとを行うように構成された第２取得モジュールと；バインディング関係情報を格納するように構成されたストレージモジュールとを含む。

第４態様の第１の可能な実装を参照すると、第４態様の第２の可能な実装において、第２取得モジュールは、公証証明書を取得すべく少なくとも２つのハードウェアのキーを登録するように構成され、ここで公証証明書は少なくとも２つのハードウェアに対応するキー間のバインディング関係を含み、バインディング関係のデジタル署名をさらに含み；ストレージモジュールは公証証明書を格納するように構成され；第１取得モジュールは公証証明書を取得するように構成される。

第４態様もしくは第４態様の第１または第２の可能な実装を参照すると、第４態様の第３の可能な実装において、少なくとも２つのハードウェアに対応するキーは、それぞれのハードウェア識別子に基づいて少なくとも２つのハードウェアのそれぞれにより生成される。

第４態様の第３の可能な実装を参照すると、第４態様の第４の可能な実装において、ハードウェア識別子は、ハードウェアユニークキーＨＵＫ、物理複製困難関数ＰＵＦ、および機密性が保護されたワンタイムプログラマブルＯＴＰにおける識別情報もしくは承認キーＥＫを含む。

第４態様のいずれか１つ、または第４態様の第１から第４の可能な実装を参照すると、第４態様の第５の可能な実装において、キーは対称キーまたは非対称キーを含む。

第４態様の第５の可能な実装を参照すると、第４態様の第６の可能な実装において、キーが非対称キーである場合、キーはパブリックキーおよびプライベートキーを含み；暗号文は、少なくとも２つのハードウェアがそれぞれのプライベートキーを使用して第１検証データをそれぞれ暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される。

第５態様によると、ハードウェア検出デバイスが提供される。デバイスは、メモリおよびプロセッサを含む。メモリは少なくとも１つの命令を格納し、少なくとも１つの命令はプロセッサによりロードおよび実行され、本願の第１態様または第２態様の任意の可能な実装における方法を実装する。

第６態様によると、通信装置が提供される。装置は、トランシーバ、メモリ、およびプロセッサを含む。トランシーバ、メモリ、およびプロセッサは、内部接続チャネルによって互いに通信する。メモリは、命令を格納するように構成されている。プロセッサは、信号を受信するトランシーバを制御すべく、且つ信号を送信するトランシーバを制御すべく、メモリに格納された命令を実行するように構成される。加えて、プロセッサがメモリに格納された命令を実行する場合、プロセッサは、第１態様または第２態様の任意の可能な実装における方法を実行することが可能となる。

任意選択的に、１または複数のプロセッサが存在し、且つ、１または複数のメモリが存在する。

任意選択的に、メモリはプロセッサと統合されてもよく、または、メモリおよびプロセッサは別個に配置される。

具体的な実装プロセスにおいて、メモリは、例えばリードオンリメモリ（ｒｅａｄ－ｏｎｌｙｍｅｍｏｒｙ，ＲＯＭ）のような非一時的（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ）メモリであり得る。メモリおよびプロセッサは同じチップ上に統合されてもよく、または、異なるチップ上に別個に配置されてもよい。メモリの種類、ならびに、メモリおよびプロセッサを配置する方式は、本願のこの実施形態に限定されない。

第７態様によると、コンピュータプログラム（製品）が提供される。コンピュータプログラム（製品）は、コンピュータプログラムコードを含み、コンピュータプログラムコードがコンピュータにより実行される場合、コンピュータは、第１態様または第２態様の任意の可能な実装における方法を実行することが可能となる。

第８態様によると、可読記憶媒体が提供される。可読記憶媒体は、プログラムまたは命令を格納する。プログラムまたは命令がコンピュータ上で実行される場合、第１態様または第２態様の任意の可能な実装における方法が実行される。

第９態様によると、チップが提供され、チップはプロセッサを含む。プロセッサは、メモリに格納された命令をメモリから呼び出してそれを実行し、その結果、チップが設置されている通信デバイスが第１態様または第２態様の任意の可能な実装における方法を実行するように構成される。

第１０態様によると、別のチップが提供され、当該チップは、入力インタフェース、出力インタフェース、プロセッサ、およびメモリを含む。入力インタフェース、出力インタフェース、プロセッサ、およびメモリは、内部接続チャネルによって互いに接続される。プロセッサは、メモリ内のコードを実行するように構成される。コードが実行される場合、プロセッサは、第１態様または第２態様の任意の可能な実装における方法を実行するように構成される。

本願の実施形態に係るハードウェア検出のための実装環境の概略図である。

本願の実施形態に係るハードウェア検出方法のフローチャートである。

本願の実施形態に係るバインディング関係を確立する処理の概略図である。

本願の実施形態に係るハードウェア検出の処理の概略図である。

本願の実施形態に係る証明書の構造の概略図である。

本願の実施形態に係る関連技術におけるハードウェア検出の処理の概略図である。

本願の実施形態に係るハードウェア検出装置の構造の概略図である。

本願の実施形態に係るハードウェア検出デバイスの構造の概略図である。

本願の実装において使用される用語は、本願の実施形態を説明するために使用されるに過ぎず、本願を限定することを意図するものではない。

ハードウェアのセキュリティは、暗号アルゴリズムおよびセキュリティプロトコルなどのソフトウェアセキュリティ技術の基礎である。近年、ハードウェアをターゲットとする攻撃行動がより一般的になっている。例えば、攻撃行動としては、ハードウェアの偽造および置換が挙げられる。

これを考慮して、本願の実施形態はハードウェア検出方法を提供する。当該方法において、ハードウェアの偽造および置換などの攻撃行動に対して、ハードウェアバインディングセキュリティソリューションが提案されており、物理キャリア上に保持されたハードウェアのセキュリティは、暗号原理に基づいて保証されている。物理キャリアは、限定されないが、基板を含む。基板は、プリント回路基板（ｐｒｉｎｔｅｄｃｉｒｃｕｉｔｂｏａｒｄ，ＰＣＢ）、コンポーネント、およびコネクタなどの部品を含む。基板は特定の機能を実行できる回路ユニットであり、基板はバックプレーンにおけるコネクタに挿入され得る。複数のハードウェアが基板上に保持される。ハードウェアは、限定されないが、プロセッサ、マイクロコントローラユニット（ＭｉｃｒｏｃｏｎｔｒｏｌｌｅｒＵｎｉｔ，ＭＣＵ）、トラステッドプラットフォームモジュール（ｔｒｕｓｔｅｄｐｌａｔｆｏｒｍｍｏｄｕｌｅ，ＴＰＭ）、フィールドプログラマブルゲートアレイ（ｆｉｅｌｄｐｒｏｇｒａｍｍａｂｌｅｇａｔｅａｒｒａｙ，ＦＰＧＡ）、コンプレックスプログラマブルロジックデバイス（ｃｏｍｐｌｅｘｐｒｏｇｒａｍｍａｂｌｅｌｏｇｉｃｄｅｖｉｃｅ，ＣＰＬＤ）等を含む。基板およびバックプレーンは、ネットワークデバイスのコンポーネントとして使用され得る。ネットワークデバイスは、例えばルータまたは上位レイヤスイッチのようなルーティングデバイスである。上位レイヤスイッチは、レイヤ３スイッチからレイヤ７スイッチを含み、例えば、レイヤ３スイッチ、レイヤ４スイッチ、レイヤ５スイッチ、レイヤ６スイッチ、またはレイヤ７スイッチである。スイッチングデバイスは、イーサネット（登録商標）スイッチまたはレイヤ３スイッチからレイヤ７スイッチを含む。代替的に、物理キャリアは、例えば、ハンドヘルドデバイスのメインボード、コンピュータのメインボード、サーバのメインボード、または、別の電子デバイスに含まれるＰＣＢのような別の機能を有するＰＣＢであり得る。

物理キャリアが基板を含み当該基板が２つのハードウェアを保持する例は、本願のこの実施形態に提供される方法が適用された実装環境を説明するために使用される。図１に示されるように、実装環境は、検証ユニット、基板、および認証機関（ｃｅｒｔｉｆｉｃａｔｅａｕｔｈｏｒｉｔｙ，ＣＡ）を含む。検証ユニットは基板と同じ側にある場合があり、すなわち、基板に対して検証ユニットはローカルデバイスであり、検証ユニットは、基板上のハードウェアに対する検出をローカルに実装する。代替的に、検証ユニットは基板と同じ側でない場合があるが、基板と遠隔的に接続されており、基板上のハードウェアに対する検出を遠隔的に実装する。検証ユニットがローカルに配備されているかどうかは、本願のこの実施形態に限定されない。図１に示されるように、基板上に保持された２つのハードウェアは、チップ１およびチップ２である。チップ１およびチップ２は、各々がコアサービス機能を処理するチップであり得る。チップが置き換えられたまたは偽造された場合、それはサービスセキュリティに直接的な脅威となる。したがって、本願のこの実施形態において、セキュリティ検出は、チップによりチップアイデンティティキーを生成して、チップアイデンティティキーに基づいてチップ間にバインディング関係を確立し、暗号に基づいてチップの完全性を検証するなどの方式で基板上のチップに対して実行される。アイデンティティキーは、異なるチップの識別情報を表すために使用されるキーであり、ルートキーから派生する場合もある。

図１に示されるように、検証ユニットは第１検証データを基板に送信し、基板上のチップ１およびチップ２はそれぞれ、それぞれのハードウェア識別子に基づいてキーを生成する。例えば、チップ１のハードウェア識別子はｃｈｉｐＩＤ１であり、チップ２のハードウェア識別子はｃｈｉｐＩＤ２である。チップ１により生成されたキーはＩＤ１ｋｅｙ（キー）であり、チップ２により生成されたキーはＩＤ２ｋｅｙである。チップ１は、チップ１により生成されたキーに基づいて第１検証データを暗号化して、例えば暗号文１のような暗号文を取得する。チップ２は、チップ２により生成されたキーに基づいて第１検証データを暗号化して、例えば暗号文２のような暗号文を取得する。加えて、チップ１とチップ２との間のバインディング関係が、チップ１およびチップ２により生成されたキーに基づいて確立され、バインディング関係情報が取得される。基板は、暗号文１、暗号文２、およびバインディング関係情報を検証ユニットに送信する。例えば、基板上のチップ１またはチップ２は、暗号文１、暗号文２、およびバインディング関係情報を検証ユニットに送信し得；または、暗号文を取得すべくチップ１およびチップ２が第１検証データを暗号化した後、チップ１およびチップ２はそれぞれ、それぞれの取得された暗号文１および暗号文２を基板上のチップ１およびチップ２以外のコンポーネントに送信し得、コンポーネントは、暗号文１、暗号文２、およびバインディング関係情報を検証ユニットに送信し；または、チップ１は暗号文１を検証ユニットに送信し、チップ２は暗号文２を検証ユニットに送信し、チップ１および／またはチップ２はバインディング関係を検証ユニットに送信する。本願のこの実施形態において、基板が暗号文１、暗号文２、およびバインディング関係情報を検証ユニットに送信する方式は限定されない。検証ユニットが暗号文１、暗号文２、およびバインディング関係情報を受信した後、検証ユニットは、バインディング関係の正確性および暗号化オペレーション結果の正確性を検証して、これにより、チップ１およびチップ２のセキュリティを決定する。

チップ１およびチップ２がキーを生成する処理において、キーは、検証ユニットにより送信された第１検証データが受信される前または受信された後に生成され得る。これは、第１検証データが暗号化される前にキーが生成できることが保証され得る限り、本願のこの実施形態に限定されない。加えて、チップ１およびチップ２により第１データを暗号化し、チップ１およびチップ２により生成されたキーに基づいてチップ１とチップ２との間のバインディング関係を確立し、バインディング関係情報を取得するいくつかのプロセスの実行順序も、本願のこの実施形態に限定されない。

例示的な実装において、バインディング関係は証明書の形態で実装され得る。図１に示される実装環境において、基板がＣＡにおいてキー登録を実行することが例として使用される。ＣＡは、認証機関である。基板はキー登録をＣＡに申請し、ＣＡはバインディング関係を決定して公証証明書を生成する。公証証明書は、チップ１およびチップ２のキー間のバインディング関係、例えば、ＩＤ１ｋｅｙとＩＤ２ｋｅｙとの間のバインディング関係を含む。加えて、公証証明書はさらに、ＣＡがバインディング関係に署名した後取得されるデジタル署名を含む。公証証明書におけるデジタル署名は、ＣＡがＣＡのプライベートキーを使用してバインディング関係に署名することにより取得される。ＣＡは公証証明書を基板に返し、基板は公証証明書を格納する。例えば、公証証明書はチップ１またはチップ２に格納されてもよく、または、チップ１およびチップ２以外の基板上の別の記憶領域に格納されてもよい。検証ユニットにより送信された第１検証データを受信した後、基板は格納された公証証明書を取得して、公証証明書および暗号文を検証ユニットに送信する。

以下では、図１に示される実装環境に基づいて、本願のこの実施形態に提供されるハードウェア検出方法を説明する。図２に示されるように、この方法は、以下のいくつかのステップを含む。

ステップ２０１：検証ユニットは第１検証データを物理キャリアに送信し、ここで、物理キャリアは複数のハードウェアを保持する。

検証ユニットにより物理キャリアに送信された第１検証データは、後続の検証に使用される。第１検証データの内容は、本願のこの実施形態に限定されない。例えば、検証ユニットは、課題‐応答メカニズムに基づいて物理キャリアに対する課題を開始し得、例えば、乱数（Ｎｏｎｃｅ）を物理キャリアに送信し、ここで乱数は第１検証データである。さらに、乱数に加えて、通信プロトコルに従って決定された他のデータも送信され得る。この場合、乱数と、通信プロトコルに従って決定された他のデータと、のうち１または複数は、第１検証データとして使用され得る。例えば、通信プロトコルにより決定された他のデータは、トラステッドコンピューティンググループ（ＴｒｕｓｔｅｄＣｏｍｐｕｔｉｎｇＧｒｏｕｐ，ＴＣＧ）の引用（Ｑｕｏｔｅ）プロトコルに従って決定されたデータ、簡易ネットワーク管理プロトコル（ｓｉｍｐｌｅｎｅｔｗｏｒｋｍａｎａｇｅｍｅｎｔｐｒｏｔｏｃｏｌ，ＳＮＭＰ）に従って決定されたデータ、またはネットワークコンフィギュレーションプロトコル（ｎｅｔｗｏｒｋｃｏｎｆｉｇｕｒａｔｉｏｎｐｒｏｔｏｃｏｌ，ＮＥＴＣＯＮＦ）に従って決定されたデータ等を含む。

物理キャリアは複数のハードウェアを保持するので、第１検証データは物理キャリア上の１つのハードウェアに直接送信され得、例えば、検出される必要があるハードウェアに送信される。代替的に、第１検証データは、物理キャリア上のデータインタフェースによって受信され得、次いで、物理キャリアのハードウェア（例えば、検出される必要があるハードウェア）に伝送される。

ステップ２０２：物理キャリアは、検証ユニットにより送信された第１検証データを受信する。

物理キャリアは、検証ユニットにより送信された第１検証データを受信する。第１検証データは、物理キャリア上に保持された複数のハードウェアのうち１つによって受信されてもよく、または、物理キャリア上のデータインタフェースによって受信されてもよい。第１検証データが物理キャリアに到達した後、ハードウェア検出が実行される必要がある各ハードウェアが後続の検出手順を実行するように第１検証データを暗号化することを可能にするために、検出される必要がある各ハードウェアに第１検証データが伝送される必要がある。

ステップ２０３：物理キャリアは、暗号文およびバインディング関係情報を取得する。

暗号文は、検出されたハードウェアのキーを使用して、検出されたハードウェアにより第１検証データを暗号化することによって取得され得る。検出されたハードウェアは、物理キャリア上に保持された複数のハードウェアのうちの少なくとも２つであり得る。言い換えれば、暗号文は、物理キャリア上に保持された複数のハードウェアのうちの少なくとも２つがそれぞれのキーを使用して第１検証データをそれぞれ暗号化した後に取得される。物理キャリア上に保持された全てのハードウェアが検出される必要がある場合、物理キャリア上に保持された各ハードウェアは、それぞれのキーを使用して第１検証データを暗号化し、暗号文を取得し得る。

バインディング関係情報は、少なくとも２つのハードウェア間のバインディング関係を示すために使用される。物理キャリアによりバインディング関係情報を取得する方式は、少なくとも２つのハードウェア間のバインディング関係を確立して、バインディング関係情報を取得することであり得る。例えば、物理キャリアは、少なくとも２つのハードウェアのキーを結合して、キー間のバインディング関係をハードウェア間のバインディング関係として使用する。物理キャリア上に保持された全てのハードウェアが検出される必要がある場合、全てのハードウェア間のバインディング関係が確立され得る。言い換えれば、暗号文またはバインディング関係情報が取得されているかどうかに関係なく、関連物理キャリア上に保持された複数のハードウェアのうちの少なくとも２つは、物理キャリア上に保持された全てのハードウェアであってよく、または、物理キャリア上に保持されたいくつかのハードウェアであってよい。

２つより多くのハードウェアが検出される必要がある場合、検出される必要がある全てのハードウェアは、１つのバインディング関係を使用して結合され得る。例えば、１つのバインディング関係は、検出される必要がある全てのハードウェアのキーを含む。代替的に、２つより多くのハードウェアが検出される必要がある場合、複数のバインディング関係が結合に使用され得る。例えば、１つのバインディング関係が２つのハードウェア毎にその間に確立されるか、または、１つのバインディング関係が３つのハードウェア毎に確立される。本願のこの実施形態において、バインディング関係が確立されるハードウェアの数は限定されず、確立されたバインディング関係の数も限定されない。これは、検出される必要がある各ハードウェアに対して検証を実装するためにバインディング関係が使用できることが保証されることを前提とする。複数のバインディング関係の場合、各バインディング関係は以下の検証方式で検証され得る。例えば、検出される必要があるハードウェア１に対して、検証ユニットは、ハードウェア１の暗号文と、ハードウェア１とバインディング関係を有する１または複数のハードウェアにより生成された暗号文と、バインディング関係とを取得して、ハードウェア１が正しい、且つ信頼されているかどうかを検出し得る。ハードウェア１とバインディング関係を有する複数のハードウェアによって暗号文を生成する方式は、実施形態において説明される方式と同様であり、詳細については再度説明しない。

第１検証データを暗号化するためにハードウェアによって使用されるキーは、本願のこの実施形態に限定されない。例えば、ルートキーは、ハードウェアの生産および製造工程においてハードウェアに注入され、アイデンティティキーはルートキーに基づいて派生され得る。この場合、第１検証データは、アイデンティティキーを使用して暗号化され得る。

ルートキーに基づいてアイデンティティキーを生成する前述の方式の代替例として、例示的な実施形態においては、ハードウェア識別子（ＩＤ）がハードウェアの信頼性およびサプライチェーンのトレーサビリティを保証するために使用できるので、ハードウェアＩＤはハードウェアの固有属性であり、固有且つ複製不可能であり、ハードウェアにより保護される。しかしながら、ハードウェアＩＤは現在、サプライチェーン保護における使用に限定されており、セキュリティの技術的解決手段において広範囲に使用されていない。したがって、本願のこの実施形態に提供される方法において、ハードウェアに対応するキーはそれぞれ、少なくとも２つのハードウェアのそれぞれのハードウェア識別子に基づいて、少なくとも２つのハードウェアにより生成される。ハードウェアＩＤのストレージはハードウェアにより保護されており、生産中に注入されたルートキーに基づいてアイデンティティキーを派生する方式において、アイデンティティキーはルートキーに基づいており、ルートキーのセキュリティは、ハードウェア生産環境のセキュリティとキー注入方式のセキュリティに大きく依存する。したがって、一般的なキーの生成方式と比較して、ハードウェアＩＤを使用してキーを生成する方式はより高いセキュリティを有する。

例えば、ハードウェアＩＤは、限定されないが、ハードウェアユニークキー（ｈａｒｄｗａｒｅｕｎｉｑｕｅｋｅｙ，ＨＵＫ）、物理複製困難関数（ｐｈｙｓｉｃａｌｕｎｃｌｏｎａｂｌｅｆｕｎｃｔｉｏｎ，ＰＵＦ）、および機密性が保護されたワンタイムプログラマブル（ｏｎｅ－ｔｉｍｅｐｒｏｇｒａｍｍａｂｌｅ，ＯＴＰ）における識別情報もしくは承認キー（ｅｎｄｏｒｓｅｍｅｎｔｋｅｙ，ＥＫ）を含む。ハードウェア識別子として、ＨＵＫ、ＰＵＦ、およびＯＴＰにおける識別情報もしくはＥＫは各々が、一意、ランダム、改ざん防止、および安全なアクセスなどの特徴を有する。したがって、ハードウェア識別子に基づいてキーを生成することで、キーのセキュリティを保証できる。キーを生成するために使用されるハードウェア識別子の種類は、ハードウェアに基づいて決定され得る。どの種類のハードウェア識別子が使用されるかに関係なく、生成されたキーは、対称キーまたは非対称キーであり得る。生成されたキーが対称キーである場合、対称キーは、第１検証データが暗号化された場合と、バインディング関係が確立された場合との両方において使用される。

例示的な実施形態において、キーが非対称キーである場合、キーは、パブリックキーおよびプライベートキーを含む。暗号文は、少なくとも２つのハードウェアがそれぞれ、それぞれのプライベートキーを使用して第１検証データを暗号化した後に取得される。バインディング関係情報は、少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される。

加えて、第１検証データが受信され、ハードウェア間にバインディング関係が確立された後、バインディング関係情報が取得され得る。代替的に、第１検証データが受信される前に、バインディング関係がまず確立され得、バインディング関係情報が格納される。バインディング関係情報が取得される前に、方法はさらに、少なくとも２つのハードウェアのキーを取得する段階と、少なくとも２つのハードウェアのキー間のバインディング関係に基づいてバインディング関係情報を取得する段階と、バインディング関係情報を格納する段階とを含む。第１検証データが受信された後、格納済のバインディング関係情報が取得される。

例えば、物理キャリアが少なくとも２つのハードウェアのキー間のバインディング関係に基づいてバインディング関係情報を取得する段階と、バインディング関係情報を格納する段階とは、物理キャリアが少なくとも２つのハードウェアのキーをＣＡに登録することと、確立される必要があるバインディング関係を決定した後、ＣＡがバインディング関係を確立して、バインディング関係に署名することで、公証証明書を取得することとを含む。物理キャリアが少なくとも２つのハードウェアのキーをＣＡに一元的に登録する方式の代替例として、例示的な実施形態において、物理キャリア上のハードウェアは、登録のためにＣＡにそれぞれのキーを送信し得る。例えば、検出された各ハードウェアは、検出されたハードウェアおキーと、検出されたハードウェアが配置されている物理キャリアの識別子とをＣＡに送信する。ＣＡは、ハードウェアにより送信された物理キャリア識別子に基づいて同じ物理キャリア上のハードウェアのキーを結合し、バインディング関係を取得し、バインディング関係に署名することで、公証証明書を取得する。公証証明書におけるデジタル署名は、物理キャリアが登録を一様に実行するかまたは物理キャリア上の各ハードウェアが登録をそれぞれ実行するかに関係なく、バインディング関係に署名するためにＣＡのプライベートキーを使用してＣＡにより取得される。公証証明書を取得した後、ＣＡは公証証明書を物理キャリアに送信し、物理キャリアは公証証明書を格納する。公証証明書は、少なくとも２つのハードウェアに対応するキー間のバインディング関係を含み、さらに、バインディング関係に署名された後に取得されたデジタル署名を含む。バインディング関係が証明書の形態で実装される場合、物理キャリアがバインディング関係情報を取得するということは、公証証明書を取得することを含む。ハードウェア間のバインディング関係は、キーを使用して確立され、したがって、バインディング関係は暗号方法により保護される。加えて、バインディング関係は、証明書の形態で表現され得る。したがって、使用が容易である。

認証取得方式の場合、図１に示される実装環境に説明されるように、物理キャリア上のハードウェアまたは物理キャリアは、キーをＣＡに登録し得、具体的には、チップ１のキー（ＩＤ１ｋｅｙ）およびチップ２のキー（ＩＤ２ｋｅｙ）を登録し得る。チップ１のキーとチップ２のキーとの間のバインディング関係を決定した後、ＣＡは、チップ１のキー（ＩＤ１ｋｅｙ）とチップ２のキー（ＩＤ２ｋｅｙ）との間のバインディング関係を確立し、次いで、ＣＡのプライベートキーを使用して確立済のバインディング関係に署名することで、公証証明書を取得する。言い換えれば、公証証明書は、バインディング関係が確立されたハードウェアのキーを含み、公証証明書はさらに、バインディング関係に署名することによって取得されるデジタル署名を含む。例えば、ハードウェアにより生成されたキーが対称キーである場合、公証証明書に含まれるハードウェア間のバインディング関係は、ハードウェアの対称キー間のバインディング関係である。ハードウェアにより生成されたキーが非対称キーである場合、公証証明書に含まれるハードウェア間のバインディング関係は、ハードウェアの非対称キーにおけるパブリックキー間のバインディング関係であり得、ハードウェアのプライベートキーは、ハードウェアの安全な環境に格納される。安全な環境は、限定されないが、信頼できる実行環境（ｔｒｕｓｔｅｄｅｘｅｃｕｔｉｏｎｅｎｖｉｒｏｎｍｅｎｔ，ＴＥＥ）、すなわち、コードの安全な実行環境を含むか、または、安全な生産環境であってもよい。

ステップ２０４：物理キャリアは、暗号文およびバインディング関係情報を検証ユニットに送信する。

暗号文およびバインディング関係情報を取得した後、物理キャリアは、暗号文およびバインディング関係情報を検証ユニットに送信する。物理キャリアが暗号文およびバインディング関係情報を検証ユニットに送信する場合、物理キャリア上の検出されたハードウェアの任意のハードウェアは、暗号文およびバインディング関係情報を送信し得る。このように、暗号文を取得した後、物理キャリア上の検出された各ハードウェアは暗号文を任意のハードウェアに送信し、任意のハードウェアは、暗号文およびバインディング関係情報を併せて検証ユニットに送信する。代替的に、暗号文およびバインディング関係情報は、物理キャリア上の検出されたハードウェア以外の別のコンポーネントにより送信され得る。このように、暗号文を取得した後、物理キャリア上の検出された各ハードウェアは暗号文を別のコンポーネントに送信し、別のコンポーネントは、暗号文およびバインディング関係情報を併せて検証ユニットに送信する。例えば、どのエンティティが暗号文およびバインディング関係情報を検証ユニットに送信するかに関係なく、検出されたハードウェアはそれぞれ第１検証データを暗号化して暗号文を取得する、且つ暗号文の数は検出されたハードウェアの数と一致するので、各暗号文は、順次接続され、送信のためにデータ形式に追加され得る。例えば、暗号文のフォーマットは、以下の表１に示される。
［表１］

当然ながら、暗号文およびバインディング関係情報を送信することに加えて、物理キャリアは、他のデータを検証ユニットにさらに送信し得、または、検証ユニットにより送信された第１検証データを併せて返し得る。この場合、第１検証データが乱数Ｎｏｎｃｅである例が使用され、暗号文のフォーマットは以下の表２に示される。データは、他のデータであり得る。他のデータの内容は、本願のこの実施形態に限定されない。
［表２］

ステップ２０５：検証ユニットは、物理キャリアにより返された暗号文およびバインディング関係情報を受信する。

検証ユニットは、物理キャリアにより返された暗号文およびバインディング関係情報を受信する。バインディング関係情報が公証証明書の形態で送信される場合、検証ユニットが物理キャリアにより返された暗号文およびバインディング関係情報を受信することは、物理キャリアにより返された暗号文および公証証明書を受信することを含み、ここで、公証証明書は、少なくとも２つのハードウェアに対応するキー間のバインディング関係を含み、さらに、バインディング関係のデジタル署名を含む。

ステップ２０６：検証ユニットは、暗号文およびバインディング関係情報を検証し、検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定する。

例えば、バインディング関係情報は、少なくとも２つのハードウェアに対応するキー間のバインディング関係を含む。検証ユニットが暗号文およびバインディング関係情報を検証することは、少なくとも２つのハードウェアに対応するキーを取得して、少なくとも２つのハードウェアに対応するキーに基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証する段階と；少なくとも２つのハードウェアに対応するキーを使用して、少なくとも２つのハードウェアにより暗号化された暗号文をそれぞれ復号して、復号によって取得された第２検証データが第１検証データと一致するかどうかを検証することとを含む。

検証ユニットが少なくとも２つのハードウェア対応するキーを取得する方式は、バインディング関係情報を確立した後、物理キャリアは、各ハードウェアのキーを検証ユニットに送信し、検証ユニットはキーを格納することであり得る。各ハードウェアのキーは、物理キャリア上のコンポーネントにより検証ユニットに一元的に送信されてもよく、または、各ハードウェアによりそれぞれ送信されてもよい。各ハードウェアのキーを検証ユニットに送信する方式は、本願に限定されない。物理キャリアが各ハードウェアのキーを検証ユニットに一元的に送信する例が使用される。検証ユニットは複数の物理キャリア上のハードウェアを検出する必要があり得るので、検証ユニットは、複数の物理キャリアにより送信されるキーを受信し得る。キーを格納する場合、検証ユニットは物理キャリア識別子に対応して各キーを格納し、これにより、物理キャリア識別子を使用して異なる物理キャリア上のハードウェアのキーを区別し得る。その後物理キャリア上のハードウェアが検出される場合、検証ユニットは、格納されたキーから、物理キャリアにより保持される少なくとも２つのハードウェアのキーを取得する。当然ながら、別の対応する格納方式が代替的に使用されてもよい。これは、本願のこの実施形態に限定されない。

少なくとも２つのハードウェアの前に格納したキーを取得した後、検証ユニットは、少なくとも２つのハードウェアに対応するキーに基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証する。例えば、バインディング関係における２つのキーは、検証ユニットにより前に格納されたそれらと同じであるかどうかを検証する。バインディング関係におけるキーが前に格納されたそれらと同じである場合、バインディング関係は正しい。バインディング関係におけるキーが前に格納されたそれらと異なる場合、バインディング関係は正しくない。この方式の代替例として、バインディング関係が証明書の形態で実装される場合、公証証明書は、バインディング関係のみならず、バインディング関係に署名された後に取得されるデジタル署名も含む；この場合、検証ユニットは、認証機関によりフィードバックされたキーを使用し、認証機関によりフィードバックされたキーに基づいて公証証明書内のデジタル署名を検証する；検証に成功した場合、バインディング関係は正しく、または、検証に失敗した場合、バインディング関係は正しくない。公証証明書内のデジタル署名は、認証機関のプライベートキーを使用してバインディング関係に署名することにより認証機関により取得される。次いで、検証ユニットは、認証機関のパブリックキーに基づいて、公証証明書内のデジタル署名を検証し得る。

バインディング関係が正しい場合、少なくとも２つのハードウェアに対応するキーは少なくとも２つのハードウェアによる暗号化によって取得された暗号文をそれぞれ復号するために使用され、復号によって取得された第２検証データが第１検証データと一致するかどうかが検証される。少なくとも２つのハードウェアのセキュリティが検証結果に基づいて決定されることは、バインディング関係情報に含まれるバインディング関係が正しい、且つ復号によって取得された第２検証データが第１検証データと一致するという検証結果である場合、少なくとも２つのハードウェアが安全であると決定する段階を含む。例えば、バインディング関係情報に含まれるバインディング関係が正しくないまたは復号によって取得された第２検証データが第１検証データと一致しないという検証結果である場合、物理キャリア上のハードウェアは安全でないと決定され得、セキュリティリスクが存在し得、対応する例外処理が実行され得る。

前述の説明において、まず、少なくとも２つのハードウェアに対応するキーが取得され、バインディング関係情報に含まれるバインディング関係が正しいかどうかが少なくとも２つのハードウェアに対応するキーに基づいて検証され、次いで、少なくとも２つのハードウェアに対応するキーは少なくとも２つのハードウェアによる暗号化によって取得された暗号文をそれぞれ復号するために使用され、復号によって取得された第２検証データが第１検証データと一致するかどうかが検証されることに留意されたい。例示的な実施形態において、代替的に、少なくとも２つのハードウェアに対応するキーが取得され得、少なくとも２つのハードウェアに対応するキーは少なくとも２つのハードウェアによる暗号化によって取得された暗号文をそれぞれ復号するために使用され、復号によって取得された第２検証データが第１検証データと一致するかどうかが検証される。復号によって取得された第２検証データが第１検証データと一致することが検証された場合、バインディング関係情報に含まれるバインディング関係が正しいかどうかが、少なくとも２つのハードウェアに対応するキーに基づいて検証される。言い換えれば、検証ユニットによる暗号文の検証およびバインディング関係情報の検証のシーケンスは、本願のこの実施形態に限定されない。

加えて、例えば、第２検証データが第１検証データと一致するかどうかを検証する場合、検証ユニットは、第１検証データにおける各フィールドを第２検証データにおける各フィールドと一つずつ比較し得、第２検証データにおける全てのフィールドが第１検証データにおける全てのフィールドと完全に一致する場合にのみ、第２検証データが第１検証データと一致すると決定し得る。このように、第１検証データにおける全てのフィールドが第２検証データにおける全てのフィールドと比較されるので、検証結果は正確であり信頼性が高い。例えば、全てのフィールドの検証の代替例として、比較は、第２検証データにおけるターゲットフィールドと第１検証データにおけるターゲットフィールドとの間で実行され得、ここで、ターゲットフィールドは、ランダムに選択されてもよく、または、キーフィールドがターゲットフィールドとして使用されてもよい。第２検証データにおけるターゲットフィールドが第１検証データにおけるターゲットフィールドと一致する場合、第２検証データが第１検証データと一致すると決定され得る。ターゲットフィールドを比較するこの方式において、第２検証データにおける全てのフィールドを第１検証データにおける全てのフィールドと一つずつ比較する必要はなく、したがって、検証速度が改善できる。第２検証データが第１検証データと一致するかどうかを検証するために使用される方式は、本願のこの実施形態に限定されない。

第２検証データが第１検証データと一致するかどうかを検証する方式としてどのような方式が使用されるかに関係なく、第１検証データは物理キャリアにより送信され得ることに留意されたい。言い換えれば、検証ユニットが第１検証データを物理キャリアに送信した後、暗号文およびバインディング関係情報を検証ユニットに返す場合、物理キャリアは、第１検証データも検証ユニットに返す。暗号文を復号した後、検証ユニットは、復号によって取得された第２検証データを第１検証データと比較する。例示的な実施形態において、代替的に、物理キャリアは第１検証データを返さなくてもよい。この場合、検証ユニットは、前に物理キャリアに送信された第１検証データを記録し、次いで、物理キャリアにより送信された暗号文およびバインディング関係情報を受信して暗号文を復号した後、復号によって取得された第２検証データを記録済の第１検証データと比較し得る。検証ユニットが物理キャリアに送信された第１検証データを記録する方式は、本願のこの実施形態に限定されない。これは、物理キャリアに送信された第１検証データの内容がその後物理キャリアに対して決定できることを前提とする。

図３は、物理キャリアを基板として、物理キャリア上のハードウェアをチップとして使用してバインディング関係情報を取得する処理の例を示す。図３において、チップＩＤに基づいてアイデンティティキーを生成した後、基板上のチップは、バインディング関係情報の発行証明書のためにアプリケーション要求を提出する。基板からアプリケーション要求を受信して要求の有効性を検証した後、ＣＡは、バインディング関係情報、すなわち、公証証明書を発行する。公証証明書、すなわち、バインディング関係情報は、基板に送信される。バインディング関係情報の有効性を検証した後、基板は、バインディング関係情報をローカルに格納する。次いで、ハードウェア検出が基板上のチップに対して実行される必要がある場合、図４を参照する。図４は、ハードウェア検出プロセスを示す。図４において、検証ユニットは基板に対して課題を開始し、基板上のチップは、アイデンティティキーを生成し、検証ユニットにより送信された第１検証データを暗号化するためにアイデンティティキーを使用し、暗号文を取得する。加えて、基板は、図３における取得済の公証証明書などの、チップ間のバインディング関係に基づいて取得されたバインディング関係情報を取得する。次いで、基板は、暗号文およびバインディング関係情報の両方を検証ユニットに送信する。検証ユニットは、バインディング関係情報の正確性を検証して、対応するアイデンティティキーを使用することで、暗号化されたデータ、すなわち、暗号文の正確性を検証する。物理キャリア上に保持されたハードウェアが結合された後、ハードウェアが偽造されたまたは置き換えられた場合、ハードウェア間のバインディング関係が変更され、後続の検証は失敗する。したがって、基板上のハードウェアのセキュリティは、バインディング関係および暗号文の検証によって決定できる。暗号文は、基板上のハードウェアの信頼性を検証するために使用され、バインディング関係は、基板上のハードウェアの完全性を検証するために使用される。

前述のハードウェア検出方法は、基板上のハードウェアの検出を例として使用して説明されることに留意されたい。基板に適用されることに加えて、この実施形態に提供される方法はさらに、デバイス全体における複数の基板に対するハードウェア検出を別個に実行するために使用され得る。前述の方法は、各基板に対してハードウェア検出方式を実装するために使用され得る。デバイス全体について、基板がハードウェア検出を通過していない場合、例えば、未認証基板が挿入された場合、デバイスは、警告を生成するか、または、未認証基板によりサービスを提供することを拒否する。当然ながら、警告は、デバイス間の基板交換によって実装されてもよく、その結果、デバイス全体のハードウェア完全性がさらに保護できる。

加えて、例示的な実施形態において、本願のこの実施形態に提供される方法では、ハードウェア検出に基づいて、ハードウェア検出結果はさらに、別の技術と組み合わせられ得る。例えば、本願のこの実施形態に提供される方法を使用して取得されたハードウェア検出結果は、ジョイントテストアクショングループ（ｊｏｉｎｔｔｅｓｔａｃｔｉｏｎｇｒｏｕｐ，ＪＴＡＧ）認証技術と組み合わせられる。ＪＴＡＧ認証機能は、未認証のエミュレータまたは制御ユニットがチップＪＴＡＧデバッグ制御許可を取得できないことを保証する。本願のこの実施形態に提供される方法がＪＴＡＧ認証技術と統合された場合、例えば、ＪＴＡＧ権限は、ハードウェアが検出を通過した場合、すなわち、ＪＴＡＧ認証機能がＪＴＡＧ権限によって使用される場合にのみ付与され得る。ハードウェアセキュリティは、ＪＴＡＧ認証技術と、本願のこの実施形態に提供されるハードウェア検出方法との組み合わせによって、より広い範囲で保証され得る。

結論として、本願のこの実施形態に提供される方法によると、ハードウェアのセキュリティは、物理キャリア上に保持されたハードウェアと、ハードウェアによるそれぞれのキーを使用した暗号化によって取得された暗号文との間のバインディング関係に基づいて検証される。これは、ハードウェアの置換および偽造などの攻撃行動を防止し得る。

加えて、ハードウェアキーおよび暗号化方法（デジタル署名、非対称暗号化および復号など）を使用して、ハードウェアの信頼性を検証する。検証プロセスは、課題‐応答メカニズムに基づいてよい。各ハードウェアは、課題に応答するためにプライベートキーを使用する。検証ユニットは、各ハードウェアのパブリックキーを使用して応答の正確性を検証し、ハードウェアが改ざんされたかどうかを決定する。検証プロセスは、トラステッドコンピューティンググループ（ｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇｇｒｏｕｐ，ＴＣＧ）検証仕様またはインターネットエンジニアリングタスクフォース（ｉｎｔｅｒｎｅｔｅｎｇｉｎｅｅｒｉｎｇｔａｓｋｆｏｒｃｅ，ＩＥＴＦ）‐ＲＡＴＳ検証仕様と互換性があり得る。

本願のこの実施形態に提供されるハードウェア検出方法は複数のシナリオに適用され得、複数の種類のハードウェアの検出に適用可能である。次に、前述のハードウェア検出方法に基づいて、例を使用して異なる適用シナリオを説明する。

シナリオ１：ハードウェアのルートオブトラストを保護するシナリオ

ハードウェアルートオブトラストは、基板の安全な起動および信頼できる起動の基礎である。したがって、ハードウェアルートオブトラストの完全性を保護することが特に重要である。基板のハードウェアルートオブトラストは通常、プロセッサおよびＴＰＭセキュリティチップを含む。プロセッサは、測定のためのルートオブトラストとして使用され、ＴＰＭチップは、レポートのためのルートオブトラストおよびストレージのためのルートオブトラストとして使用される。この場合、ハードウェア検出は、基板上のプロセッサおよびＴＰＭチップに対して実行される。プロセッサがシステムオンチップ（ｓｙｓｔｅｍｏｎａｃｈｉｐ，ＳｏＣ）であることが例として使用される。ハードウェア検出方法の実装環境は、図５に示される。図５に示される実装環境を参照すると、本願の実施形態に提供されるハードウェア検出方法は、図６に示され得る。物理キャリアが基板であり検証ユニットがリモート認証（ｒｅｍｏｔｅａｔｔｅｓｔａｔｉｏｎ，ＲＡ）サーバであることが例として使用される。ハードウェア検出方法は、以下のいくつかのステップを含む。

ステップ６０１：ＲＡサーバは、乱数を基板に送信し、ここで基板はＳｏＣおよびＴＰＭを保持する。

ＲＡサーバにより基板に送信された乱数は後続の検証に使用され、乱数の内容は、本願のこの実施形態に限定されない。例えば、ＲＡサーバは、課題‐応答メカニズムに基づいて基板に対して課題を開始し、乱数（Ｎｏｎｃｅ）を基板に送信し得る。さらに、乱数に加えて、通信プロトコルに従って決定された他のデータも送信され得る。この場合、乱数と、通信プロトコルに従って決定された他のデータと、の各々は、第１検証データとして使用され得る。例えば、本願のこの実施形態において、乱数に加えて、ＲＡサーバはさらに、ポートコマンドレジスタ（ｐｏｒｔｃｏｍｍａｎｄｒｅｇｉｓｔｅｒ，ＰＣＲ）の値を基板に送信し得る。

乱数のみが送信された例が使用される。基板は、ＳｏＣおよびＴＰＭの２つのハードウェアを保持し、したがって、乱数は基板上のＳｏＣに送信され、次いで、基板の内部でＴＰＭに送信され得る。代替的に、乱数は基板上のデータインタフェースにより受信され、次いで、ＳｏＣおよびＴＰＭに伝送され得る。

ステップ６０２：基板は、ＲＡサーバにより送信された乱数を受信する。

ＲＡサーバにより送信された乱数を基板が受信した後、ハードウェア検出が実行される必要があるＳｏＣおよびＴＰＭの両方が乱数を暗号化して後続の検出手順を実行できるように、乱数はＳｏＣおよびＴＰＭに伝送される必要がある。

ステップ６０３：基板は、暗号文およびバインディング関係情報を取得する。

暗号文は、基板上に保持されたＳｏＣおよびＴＰＭのそれぞれがそれぞれのキーを使用して乱数を暗号化した後に取得される。ＲＡサーバが乱数とＰＣＲレジスタの値との両方を送信する場合、暗号文は、基板上に保持されたＳｏＣおよびＴＰＭのそれぞれがそれぞれのキーを使用して乱数とＰＣＲレジスタの値とを暗号化した後に取得される。例示的な実施形態において、ハードウェアに対応するキーは、それぞれのハードウェア識別子に基づいてハードウェアにより生成される。

現在、ＴＥＥは全てのメインストリームプロセッサ、例えば、高度縮小命令セットコンピューティングマシン（ａｄｖａｎｃｅｄｒｅｄｕｃｅｄｉｎｓｔｒｕｃｔｉｏｎｓｅｔｃｏｍｐｕｔｉｎｇｍａｃｈｉｎｅｓ，ＡＲＭ）プロセッサのトラストゾーン（ｔｒｕｓｔｚｏｎｅ）、および、インテル（登録商標）（Ｉｎｔｅｌ）プロセッサのソフトウェアガードエクステンション（ｓｏｆｔｗａｒｅｇｕａｒｄｅｘｔｅｎｓｉｏｎｓ，ＳＧＸ）によりサポートされる。ＴＥＥは、高いセキュリティ機能を有し、非対称キー（特にプライベートキー）の機密性および完全性を保証できる。したがって、図５に示されるように、ＳｏＣは、ＴＥＥの信頼できる実行環境に基づいて（例えば、トラストゾーンにおいて）、ＨＵＫ情報を読み出し、アイデンティティキーのペアを生成し得、すなわち、ＳｏＣは、ＨＵＫを使用して、パブリックキーおよびプライベートキーを含む非対称キーを生成し、プライベートキーをＴＥＥに安全に格納し得る。例えば、図５においてＳｏＣにより生成されたキーはＩＤｋｅｙである。

ＴＰＭチップの場合、トラステッドコンピューティンググループ（ｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇｇｒｏｕｐ，ＴＣＧ）の技術的仕様によると、ＥＫを使用して、ＴＰＭチップのアイデンティティキーとして使用される認証アイデンティティキー（ａｔｔｅｓｔａｔｉｏｎｉｄｅｎｔｉｔｙｋｅｙ，ＡＩＫ）を生成する。加えて、ＴＰＭチップのセキュリティ属性は、キーストレージおよびアクセスに高いセキュリティ保護環境を提供できる。

バインディング関係情報は、ＳｏＣとＴＰＭとの間のバインディング関係を示すために使用される。例えば、ハードウェア検出が実行される前に、バインディング関係情報は、ＳｏＣおよびＴＰＭのキー間のバインディング関係に基づいて取得され、バインディング関係情報が格納され得る。例えば、基板はＣＡにＡＩＫ証明書を申請する。例えば、基板は、ＳｏＣおよびＴＰＭのパブリックキーを登録して、ＣＡは基板にＡＩＫ証明書を発行する。基板は、ＡＩＫ証明書をＴＰＭに格納する。ＡＩＫ証明書は、ＳｏＣのパブリックキーとＴＰＭのＡＩＫパブリックキーとの間のバインディング関係、およびデジタル署名を含む。デジタル署名は、ＣＡがＣＡのプライベートキーを使用してバインディング関係に署名することにより取得される。図７は、ＡＩＫ証明書の構造を示す。図７において、ＡＩＫ証明書は、基本フィールドおよび拡張フィールドを含む。基本フィールドは、バージョン（ｖｅｒｓｉｏｎ）、シリアル番号（ｓｅｒｉａｌｎｏ．）、発行者署名アルゴリズム（ｉｓｓｕｅｒｓｉｇｎａｔｕｒｅａｌｇｏｒｉｔｈｍ）、対象のパブリックキー情報（ｓｕｂｊｅｃｔｐｕｂｌｉｃｋｅｙｉｎｆｏｒｍａｔｉｏｎ）、および発行者の署名（ｉｓｓｕｅｒ'ｓｓｉｇｎａｔｕｒｅ）を含む。パブリックキー情報は、ＡＩＫパブリックキーを格納し、発行者署名は、ＣＡがバインディング関係に署名した後に取得されるデジタル署名である。拡張フィールドは、対象の別名（ｓｕｂｊｅｃｔａｌｔｅｒｎａｔｉｖｅｎａｍｅ）およびキーの用途（ＫｅｙＵｓａｇｅ）を含み、ここで、ｓｕｂｊｅｃｔａｌｔｅｒｎａｔｉｖｅｎａｍｅは、ＨＵＫから派生したキーのパブリックキー情報を格納する。

加えて、ＡＩＫ証明書は、Ｘ５０９．ｖ３フォーマットまたはユーザ定義フォーマットであり得る。これは、本願のこの実施形態に限定されない。規格Ｘ５０９．ｖ３バージョンは、図７の例として使用される。ＡＩＫ証明書の承認がＣＡにより提供されるので、本願のこの実施形態に提供される方法において、ＴＣＧにおけるＡＩＫ証明書は、プロセッサとＴＰＭチップとの間のバインディング関係を表現するために借用される。

この場合、基板がバインディング関係情報を取得することは、公証証明書を取得することを含む。図５に示される実装環境において、基板はキーをＣＡに登録して公証証明書を取得し得、ここで、公証証明書は、バインディング関係が確立されたハードウェアのキーと、バインディング関係のデジタル署名とを含む。ＳｏＣおよびＴＰＭにより生成されたキーの場合、ＡＩＫ証明書に含まれるバインディング関係は、ＩＤｋｅｙとＡＩＫとの間のバインディング関係であり得る。すなわち、ハードウェアルートオブトラストのバインディング関係は、ＡＩＫ証明書を使用して確立される。バインディング関係のデジタル署名は、ＣＡがＣＡのプライベートキーを使用してバインディング関係に署名することにより取得され得る。

ステップ６０４：基板は、暗号文およびバインディング関係情報をＲＡサーバに送信する。

暗号文およびバインディング関係情報を取得した後、基板は、暗号文およびバインディング関係情報をＲＡサーバに送信する。例えば、ＳｏＣとＴＰＭとは別個に乱数を暗号化して暗号文を取得するので、２つの暗号文が存在する。例えば、ＳｏＣは乱数を暗号化してＳｏＣ署名を取得し、ＴＰＭは乱数を暗号化してＡＩＫ署名を取得する。この場合、ＳｏＣ署名とＡＩＫ署名とは順次接続され、送信のためにデータ形式に追加され得る。例えば、データ形式は以下の表３に示される。
［表３］

当然ながら、暗号文およびバインディング関係情報をＲＡサーバに送信することに加えて、基板は、ＲＡサーバに他のデータも送信してよく、または、ＲＡサーバにより送信された乱数を併せて返してもよい。例えば、ＲＡサーバが乱数とＰＣＲレジスタの値との両方を基板に送信する場合、基板はＳｏＣ署名とＡＩＫ署名とをＲＡサーバに送信するとともに、乱数とＰＣＲレジスタの値との両方をＲＡサーバに送信する場合もある。この場合、例えば、データ形式は以下の表４に示される。
［表４］

ステップ６０５：ＲＡサーバは、基板により返された暗号文およびバインディング関係情報を受信する。

ＲＡサーバは、基板により返された暗号文およびバインディング関係情報を受信する。図５に示されるように、バインディング関係情報は、公証証明書の形態で送信される。この場合、ＲＡサーバは、基板により返された暗号文およびＡＩＫ証明書を受信し、ここで、証明書は、ＳｏＣおよびＴＰＭに対応するキー間のバインディング関係を含む。

ステップ６０６：ＲＡサーバは、暗号文およびバインディング関係情報を検証し、検証結果に基づいてＳｏＣおよびＴＰＭのセキュリティを決定する。

例えば、バインディング関係情報は、少なくとも２つのハードウェアに対応するキー間のバインディング関係を含む。ＲＡサーバが暗号文およびバインディング関係情報を検証することは、ＳｏＣおよびＴＰＭに対応するパブリックキーを取得することと；ＳｏＣおよびＴＰＭに対応するパブリックキーに基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを決定することと；ＳｏＣおよびＴＰＭに対応するパブリックキーを使用して、ＳｏＣおよびＴＰＭによる暗号化によって取得された暗号文をそれぞれ復号して、復号によって取得されたデータが乱数と一致するかどうかを検証することとを含む。

ＲＡサーバがＳｏＣおよびＴＰＭに対応するパブリックキーを取得する方式は、バインディング関係情報を確立した後、基板は、ＳｏＣおよびＴＰＭのパブリックキーをＲＡサーバに送信し、ＲＡサーバは、ＳｏＣおよびＴＰＭのパブリックキーを格納する方式であり得る。ＲＡサーバは複数の基板上のハードウェアを検出する必要があり得るので、ＲＡサーバは、複数の基板により送信されたキーを受信し得る。キーを格納する場合、ＲＡサーバは基板識別子に対応して各キーを格納し、これにより、基板識別子を使用して異なる基板上のハードウェアのキーを区別し得る。その後、基板上のハードウェアが検出された場合、ＲＡサーバは、格納されたキーから、基板上に保持された少なくとも２つのハードウェアのキーを取得する。

ＳｏＣおよびＴＰＭの前に格納したパブリックキーを取得した後、ＲＡサーバは、ＳｏＣおよびＴＰＭに対応するパブリックキーに基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを決定する。バインディング関係が証明書の形態で実装される場合、公証証明書は、バインディング関係のみならず、バインディング関係に署名された後に取得されるデジタル署名も含む。デジタル署名は、認証機関のプライベートキーを使用して認証機関により署名される。この場合、ＲＡサーバは、公証証明書内のデジタル署名に基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証する。例えば、ＲＡサーバは、認証機関のパブリックキーを使用して、公証証明書内のデジタル署名を検証する。検証に成功した場合、バインディング関係は正しい。検証に失敗した場合、バインディング関係は正しくない。証明書が使用されるかどうかに関係なく、バインディング関係が正しいと検証される場合、ＳｏＣおよびＴＰＭに対応するキーは、ＳｏＣおよびＴＰＭによる暗号化によって取得された暗号文をそれぞれ復号するために使用され、復号によって取得されたデータが乱数と一致するかどうかが検証される。次いで、ＳｏＣおよびＴＰＭのセキュリティは、検証結果に基づいて決定される。例えば、バインディング関係情報に含まれるバインディング関係が正しい、且つ復号によって取得されたデータが乱数と一致するという検証結果である場合、ＳｏＣおよびＴＰＭは安全であると決定される。ＳｏＣおよびＴＰＭが本物であり、偽造または置換などの攻撃が存在しないことが示される。例えば、バインディング関係情報に含まれるバインディング関係が正しくないまたは復号によって取得されたデータが乱数と一致しないという検証結果である場合、基板上のＳｏＣおよびＴＰＭは安全でないと決定され得、セキュリティリスクが存在し得、対応する例外処理が実行され得る。例外処理の方式は、本願のこの実施形態に限定されない。

結論として、本願のこの実施形態に提供される方法によると、ＳｏＣおよびＴＰＭのセキュリティは、基板上に保持されたＳｏＣとＴＰＭとの間のバインディング関係、および、ＳｏＣおよびＴＰＭのそれぞれのキーを使用したＳｏＣおよびＴＰＭによる暗号化によって取得された暗号文に基づいて検証され、その結果、置換および偽造などの攻撃行動がＳｏＣおよびＴＰＭに発生することが防止され得る。加えて、本願のこの実施形態において、ＲＡサーバは検証ユニットとして使用され、ＴＣＧにおける信頼できる認証手順は、Ｎｏｎｃｅ（乱数）に対する暗号化および復号オペレーションに使用され得る。前述のサービス手順は、標準的な信頼できるコンピューティング手順に基づいて確立され得る。したがって、前述のサービスプロセスは、システムのハードウェア実装の複雑性を増大させないことが可能で、実現可能性がある。

シナリオ２：データ処理ユニットを保護するシナリオ。

プロセッサおよびＦＰＧＡは、基板上の重要なデータ処理ユニットである。通常、プロセッサは、制御、格納、およびデータ処理機能を実装する傾向がある。データストリーム処理性能に対して高い要求を有するシナリオにおいて、ハードウェア加速機能がＦＰＧＡを使用して実装される。例えば、暗号加速器カードにおいて、ＦＰＧＡは通常、暗号化オペレーションのハードウェア加速を担当し、プロセッサは主に、管理および基板間データ通信を実行するように構成される。プロセッサまたはＦＰＧＡがハードウェアトロイ（Ｔｒｏｊａｎ）およびスパイウェア（Ｓｐｙｗａｒｅ）を含むことは、システムのセキュリティリスクを直接引き起こす。したがって、基板上のＦＰＧＡおよびプロセッサのハードウェア完全性および信頼性を保証することが特に重要である。プロセッサがＳｏＣである例が例として使用される。ハードウェア検出方法の実装環境は、図８に示される。図８に示される実装環境を参照すると、本願の実施形態に提供されるハードウェア検出方法は、図９に示され得、以下のいくつかのステップを含む。

ステップ９０１：検証ユニットは、乱数を基板に送信し、ここで基板はＳｏＣおよびＦＰＧＡを保持する。

検証ユニットにより基板に送信された乱数は後続の検証に使用され、乱数の内容は、本願のこの実施形態に限定されない。例えば、検証ユニットは、課題‐応答メカニズムに基づいて基板に対して課題を開始し、乱数（Ｎｏｎｃｅ）を基板に送信し得る。さらに、乱数に加えて、通信プロトコルに従って決定された他のデータも送信され得る。この場合、乱数と、通信プロトコルに従って決定された他のデータと、の各々は、第１検証データとして使用され得る。

基板は、ＳｏＣおよびＦＰＧＡの２つのハードウェアを保持し、したがって、乱数は基板上のＳｏＣに送信され、次いで、基板の内部でＦＰＧＡに送信され得る。代替的に、乱数は基板上のデータインタフェースにより受信され、次いで、ＳｏＣおよびＦＰＧＡに伝送され得る。

ステップ９０２：基板は、検証ユニットにより送信された乱数を受信する。

検証ユニットにより送信された乱数を基板が受信した後、ハードウェア検出が実行される必要があるＳｏＣおよびＦＰＧＡの両方が乱数を暗号化して後続の検出手順を実行できるように、乱数はＳｏＣおよびＦＰＧＡに伝送される必要がある。

ステップ９０３：基板は、暗号文およびバインディング関係情報を取得する。

暗号文は、基板上に保持されたＳｏＣおよびＦＰＧＡのそれぞれがそれぞれのキーを使用して乱数を暗号化した後に取得される。例示的な実施形態において、ハードウェアに対応するキーは、それぞれのハードウェア識別子に基づいてハードウェアにより生成される。

現在、ＴＥＥは全てのメインストリームプロセッサ、例えば、高度縮小命令セットコンピューティングマシン（ａｄｖａｎｃｅｄｒｅｄｕｃｅｄｉｎｓｔｒｕｃｔｉｏｎｓｅｔｃｏｍｐｕｔｉｎｇｍａｃｈｉｎｅｓ，ＡＲＭ）プロセッサのトラストゾーン（ｔｒｕｓｔｚｏｎｅ）、および、インテル（登録商標）（Ｉｎｔｅｌ）プロセッサのＳＧＸによりサポートされる。ＴＥＥは、高いセキュリティ機能を有し、非対称キー（特にプライベートキー）の機密性および完全性を保証できる。したがって、図５に示されるように、ＳｏＣは、ＴＥＥの信頼できる実行環境に基づいて、ＨＵＫ情報を読み出し、アイデンティティキーのペアを生成し得、すなわち、ＳｏＣは、ＨＵＫを使用して、パブリックキーおよびプライベートキーを含む非対称キーを生成し、プライベートキーをＴＥＥに安全に格納し得る。例えば、図８においてＳｏＣにより生成されたキーはＩＤ１ｋｅｙである。

ＦＰＧＡチップの場合、非対称キーがＰＵＦに従って生成され、ＦＰＧＡチップのアイデンティティキーとして使用される。図８に示されるように、ＦＰＧＡにより生成されたキーはＩＤ２ｋｅｙである。加えて、ＦＰＧＡチップは、キーストレージおよびアクセスに高いセキュリティ保護環境を提供する。

バインディング関係情報は、ＳｏＣとＦＰＧＡとの間のバインディング関係を示すために使用される。例えば、検出前に、バインディング関係情報は、ＳｏＣおよびＦＰＧＡのキー間のバインディング関係に基づいて取得され、バインディング関係情報が格納され得る。例えば、ＳｏＣおよびＦＰＧＡのパブリックキーは公証証明書を取得するために登録され、公証証明書は格納される。公証証明書は、ＳｏＣおよびＦＰＧＡに対応するパブリックキー間のバインディング関係を含み、さらに、バインディング関係のデジタル署名を含む。この場合、バインディング関係情報を取得することは、公証証明書を取得することを含む。図８に示される実装環境において、基板はキーをＣＡに登録し得、公証証明書を取得した後、ＣＡは公証証明書を基板に送信する。公証証明書は、バインディング関係が確立されたハードウェアのキーと、バインディング関係のデジタル署名とを含む。デジタル署名は、ＣＡがＣＡのプライベートキーを使用してバインディング関係に署名することにより取得され得る。ＳｏＣおよびＦＰＧＡにより生成されたキーの場合、公証証明書に含まれるバインディング関係は、ＩＤ１ｋｅｙとＩＤ２ｋｅｙとの間のバインディング関係であり得る。

ステップ９０４：基板は、暗号文およびバインディング関係情報を検証ユニットに送信する。

暗号文およびバインディング関係情報を取得した後、基板は、暗号文およびバインディング関係情報を検証ユニットに送信する。例えば、ＳｏＣおよびＦＰＧＡはそれぞれ乱数を暗号化して暗号文を取得して、２つの暗号文が存在するので、各暗号文は順次接続され、送信のためにデータ形式に追加され得る。当然ながら、暗号文およびバインディング関係情報を送信することに加えて、基板は、他のデータを検証ユニットにさらに送信し得、または、検証ユニットにより送信された乱数を併せて返し得る。図８に示される実装環境において、基板は、暗号文および証明書を検証ユニットに送信する。

ステップ９０５：検証ユニットは、基板により返された暗号文およびバインディング関係情報を受信する。

検証ユニットは、基板により返された暗号文およびバインディング関係情報を受信する。図８に示されるように、バインディング関係情報は、公証証明書の形態で送信される。この場合、検証ユニットは、基板により返された暗号文およびＡＩＫ証明書を受信し、ここで、証明書は、ＳｏＣおよびＦＰＧＡに対応するキー間のバインディング関係と、バインディング関係のデジタル署名とを含む。

ステップ９０６：検証ユニットは、暗号文およびバインディング関係情報を検証し、検証結果に基づいてＳｏＣおよびＦＰＧＡのセキュリティを決定する。

例えば、バインディング関係情報は、少なくとも２つのハードウェアに対応するキー間のバインディング関係を含む。検証ユニットが暗号文およびバインディング関係情報を検証することは、ＳｏＣおよびＦＰＧＡに対応するパブリックキーを取得することと；ＳｏＣおよびＦＰＧＡに対応するパブリックキーに基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを決定することと；ＳｏＣおよびＦＰＧＡに対応するパブリックキーを使用して、ＳｏＣおよびＦＰＧＡによる暗号化によって取得された暗号文をそれぞれ復号して、復号によって取得されたデータが乱数と一致するかどうかを検証することとを含む。

検証ユニットがＳｏＣおよびＦＰＧＡに対応するパブリックキーを取得する方式は、バインディング関係情報を確立した後、基板は、ＳｏＣおよびＦＰＧＡのパブリックキーを検証ユニットに送信し、検証ユニットは、パブリックキーを格納する方式であり得る。検証ユニットは複数の基板上のハードウェアを検出する必要があり得るので、検証ユニットは、複数の基板により送信されたキーを受信し得る。キーを格納する場合、検証ユニットは基板識別子に対応して各キーを格納し、これにより、基板識別子を使用して異なる基板上のハードウェアのキーを区別し得る。その後、基板上のハードウェアが検出された場合、検証ユニットは、格納されたキーから、基板上に保持された少なくとも２つのハードウェアのキーを取得する。

ＳｏＣおよびＦＰＧＡの前に格納したパブリックキーを取得した後、検証ユニットは、ＳｏＣおよびＦＰＧＡに対応するパブリックキーに基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証する。バインディング関係が正しい場合、ＳｏＣおよびＦＰＧＡに対応するキーは、ＳｏＣおよびＦＰＧＡによる暗号化によって取得された暗号文をそれぞれ復号するために使用され、復号によって取得されたデータが乱数と一致するかどうかが検証される。次いで、ＳｏＣおよびＦＰＧＡのセキュリティは、検証結果に基づいて決定される。バインディング関係が証明書の形態で実装される場合、公証証明書は、バインディング関係のみならず、バインディング関係に署名された後に取得されるデジタル署名も含む。デジタル署名は、認証機関のプライベートキーを使用して認証機関により署名される。この場合、検証ユニットは、公証証明書内のデジタル署名に基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証する。例えば、検証ユニットは、認証機関のパブリックキーを使用して、公証証明書内のデジタル署名を検証する。検証に成功した場合、バインディング関係は正しい。検証に失敗した場合、バインディング関係は正しくない。

例えば、バインディング関係情報に含まれるバインディング関係が正しい、且つ復号によって取得されたデータが乱数と一致するという検証結果である場合、ＳｏＣおよびＦＰＧＡは安全であると決定される。例えば、バインディング関係情報に含まれるバインディング関係が正しくないまたは復号によって取得されたデータが乱数と一致するという検証結果である場合、基板上のＳｏＣおよびＦＰＧＡは安全でないと決定され得、セキュリティリスクが存在し得、対応する例外処理が実行され得る。例えば、検証ユニットは警告を送信するか、または、検証ユニットは表示デバイスにプロンプト情報を送信して、基板上のハードウェアがセキュリティリスクを有していることを示す。例外処理の別の方式が代替的に使用され得る。これは、本願のこの実施形態に限定されない。

結論として、本願のこの実施形態に提供される方法によると、ＳｏＣおよびＦＰＧＡのセキュリティは、基板上に保持されたＳｏＣとＦＰＧＡとの間のバインディング関係、および、ＳｏＣおよびＦＰＧＡのそれぞれのキーを使用したＳｏＣおよびＦＰＧＡによる暗号化によって取得された暗号文に基づいて検証され、その結果、置換および偽造などの攻撃行動がＳｏＣおよびＦＰＧＡに発生することが防止され得る。

ハードウェアルートオブトラストを保護するシナリオの場合、ハードウェア識別子に基づいてハードウェアを検出する方式は、関連技術において提案されている。例えば、図１０に示されるように、デバイスの電源がオンにされた後、まず安全な起動サービス手順を実行することで起動ソフトウェアの完全性を保証し、次いで、ハードウェアＴＰＭの信頼性が、信頼できるソフトウェアオペレーティングシステム（ＯＳ）により検証される。ＯＳはＴＰＭセキュリティチップの固有ＩＤを検証し、ＴＰＭセキュリティチップにより合法的に保持されている証明書を決定する。このように、ＴＰＭセキュリティモジュールの信頼性が決定される。言い換えれば、関連技術において、ソフトウェア完全性は安全な起動によって保証され、ハードウェア信頼性は信頼できるソフトウェアによって保証される。しかしながら、この方式は特定の制限を有する。例えば、関連技術に提供される解決手段はＴＰＭ信頼性のみを保証するが、ハードウェア間のバインディング関係は有さず、基板における別のハードウェアが置き換えられた攻撃シナリオに対する防御能力を有さず、別のハードウェアが偽造された攻撃シナリオに対する防御能力も有さない。

本願のこの実施形態に提供される方法によると、暗号文はキーを使用した暗号化を実行することにより取得され、完全性保護は暗号文の検証に基づいて基板上のハードウェアに対して実行され、基板上のハードウェアが偽造されるまたは置き換えられることを効率的に防止する。加えて、複数のハードウェア間の結合はさらに、ハードウェアが偽造されるまたは置き換えられることを防止する。加えて、本願のこの実施形態に提供される方法において、バインディング関係は証明書の形態であり得、標準的なＴＣＧ認証プロトコルと互換性があり得、ハードウェア間のバインディング関係は、ＴＣＧ標準認証要件に従いながらプロトコルにおいて拡張され得る。このように、バインディング関係は強い実行可能性を有する。加えて、本願のこの実施形態に提供される方法において、キーはハードウェアＩＤを使用して生成され得、その結果、ハードウェアＩＤ、およびハードウェアの安全なストレージなどのセキュリティ特徴が十分に使用され、それによりセキュリティが改善される。したがって、本願のこの実施形態に提供される方法は、出荷中であり、実際のネットワーク上で実行中であり、製品として使用される基板のハードウェア信頼性を確実に保証する能力を有する。

図１１を参照する。本願の実施形態は、ハードウェア検出装置を提供する。装置は、前述の検証部により実行される検証プロセスを実行し得る。
装置は、
第１検証データを物理キャリアに送信するように構成された送信モジュール１１０１であって、ここで、物理キャリアは複数のハードウェアを保持する送信モジュール１１０１と、
物理キャリアにより返された暗号文およびバインディング関係情報を受信するように構成された受信モジュール１１０２であって、ここで暗号文は、複数のハードウェアのうちの少なくとも２つのそれぞれがそれぞれのキーを使用して第１検証データを暗号化した後に取得され、バインディング関係情報は、少なくとも２つのハードウェア間のバインディング関係を示すために使用される、受信モジュール１１０２と、
暗号文およびバインディング関係情報を検証し、検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定するように構成された検証モジュール１１０３と
を含む。

例示的な実施形態において、バインディング関係情報は、少なくとも２つのハードウェアに対応するキー間のバインディング関係を含み；検証モジュール１１０３は、少なくとも２つのハードウェアに対応するキーを取得して、少なくとも２つのハードウェアに対応するキーに基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証することと；少なくとも２つのハードウェアによる暗号化によって取得された暗号文をそれぞれ復号すべく少なくとも２つのハードウェアに対応するキーを使用して、復号によって取得された第２検証データが第１検証データと一致するかどうかを検証することと；
バインディング関係情報に含まれるバインディング関係が正しい、且つ復号によって取得された第２検証データが第１検証データと一致するという検証結果である場合、少なくとも２つのハードウェアが安全であると決定することとを行うように構成される。

例示的な実施形態において、受信モジュール１１０２は、物理キャリアにより返された暗号文および公証証明書を受信することであって、ここで公証証明書は少なくとも２つのハードウェアに対応するキー間のバインディング関係を含む、且つバインディング関係のデジタル署名をさらに含むことを行うように構成され；
検証モジュール１１０３は、公証証明書内のデジタル署名に基づいて、バインディング関係情報に含まれるバインディング関係が正しいかどうかを検証することと；少なくとも２つのハードウェアによる暗号化によって取得された暗号文をそれぞれ復号すべく公証証明書内の少なくとも２つのハードウェアに対応するキーを使用して、復号によって取得された第２検証データが第１検証データと一致するかどうかを検証することと；
バインディング関係情報に含まれるバインディング関係が正しい、且つ復号によって取得された第２検証データが第１検証データと一致するという検証結果である場合、少なくとも２つのハードウェアが安全であると決定することとを行うように構成される。

例示的な実施形態において、少なくとも２つのハードウェアに対応するキーは、それぞれのハードウェア識別子にそれぞれ基づいて少なくとも２つのハードウェアにより生成される。

例示的な実施形態において、ハードウェア識別子は、ＨＵＫ、ＰＵＦ、および機密性が保護されたＯＴＰにおける識別情報もしくはＥＫを含む。

例示的な実施形態において、キーは、対称キーまたは非対称キーを含む。

例示的な実施形態において、キーが非対称キーである場合、キーはパブリックキーおよびプライベートキーを含み；
暗号文は、少なくとも２つのハードウェアがそれぞれのプライベートキーを使用して第１検証データをそれぞれ暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される。

図１２を参照する。本願の実施形態は、ハードウェア検出装置を提供する。装置は、前述の物理キャリアの機能を実行し得る。
装置は、
検証ユニットにより送信された第１検証データを受信するように構成された受信モジュール１２０１と；
暗号文およびバインディング関係情報を取得するように構成された第１取得モジュール１２０２であって、ここで暗号文は、物理キャリア上に保持された複数のハードウェアのうちの少なくとも２つがそれぞれのキーを使用して第１検証データをそれぞれ暗号化した後に取得され、バインディング関係情報は少なくとも２つのハードウェア間のバインディング関係を示すために使用される、第１取得モジュール１２０２と；
暗号文およびバインディング関係情報を検証ユニットに送信するように構成された送信モジュール１２０３であって、ここで検証ユニットは、暗号文およびバインディング関係情報を検証して、検証結果に基づいて少なくとも２つのハードウェアのセキュリティを決定する送信モジュール１２０３とを含む。

例示的な実施形態において、図１３を参照する。
装置はさらに、
少なくとも２つのハードウェアのキーを取得することと、少なくとも２つのハードウェアのキー間のバインディング関係に基づいてバインディング関係情報を取得することとを行うように構成された第２取得モジュール１２０４と；
バインディング関係情報を格納するように構成されたストレージモジュール１２０５とを含む。

例示的な実施形態において、第２取得モジュール１２０４は、公証証明書を取得すべく少なくとも２つのハードウェアのキーを登録するように構成され、ここで公証証明書は少なくとも２つのハードウェアに対応するキー間のバインディング関係を含み、バインディング関係のデジタル署名をさらに含み；
ストレージモジュール１２０５は公証証明書を格納するように構成され；
第１取得モジュール１２０２は公証証明書を取得するように構成される。

前述の説明に提供された装置が装置の機能を実装する場合、前述の機能モジュールに分割することは、説明のための例として使用されるものに過ぎないことを理解されたい。実際の適用では、前述の機能は、要件に基づいて、実装のために異なる機能モジュールに割り当てられ得る。言い換えれば、デバイスは、上記で説明された機能の全てまたは一部を実装するべく、内部構造の面で、異なる機能モジュールに分割される。加えて、前述の実施形態における装置と方法の実施形態とは同じ概念に基づいている。具体的な実装プロセスについては、方法の実施形態を参照されたく、詳細については、本明細書で再度説明しない。

同じ概念に基づいて、本願の実施形態はさらに、ハードウェア検出デバイスを提供する。図１４を参照する。デバイスは、メモリ１４０１およびプロセッサ１４０２を含む。メモリ１４０１は少なくとも１つの命令を格納し、少なくとも１つの命令はプロセッサ１４０２によりロードおよび実行され、本願の実施形態に提供された前述のハードウェア検出方法のいずれか１つを実装する。

本願の実施形態はさらに、トランシーバ１５０１、メモリ１５０２、およびプロセッサ１５０３を含むハードウェア検出デバイスを提供する。メモリ１５０２およびプロセッサ１５０３は、内部接続パスによって互いに通信する。メモリ１５０２は、命令を格納するように構成されている。プロセッサ１５０３は、信号を受信するトランシーバ１５０１を制御すべく、且つ信号を送信するトランシーバ１５０１を制御すべく、メモリに格納された命令を実行するように構成される。加えて、プロセッサ１５０３がメモリ１５０２に格納された命令を実行する場合、プロセッサ１５０３は、前述のハードウェア検出方法のいずれか１つを実行することが可能となる。

本願の実施形態はさらに、ハードウェア検出システムを提供する。システムは、図１１に示されるハードウェア検出装置と、図１２または図１３に示されるハードウェア検出装置とを含む。

本願の実施形態はさらに、コンピュータ可読記憶媒体を提供する。記憶媒体は少なくとも１つの命令を格納し、命令はプロセッサによりロードおよび実行され、本願の実施形態に提供された前述のハードウェア検出方法のいずれか１つを実装する。

本願の実施形態はさらに、プロセッサを含むチップを提供する。プロセッサは、メモリに格納された命令をメモリから呼び出してそれを実行し、その結果、チップが設置された通信デバイスが前述のハードウェア検出方法のいずれか１つを実行するように構成される。

本願の実施形態はさらに、入力インタフェースと、出力インタフェースと、プロセッサと、メモリとを含むチップを提供する。入力インタフェース、出力インタフェース、プロセッサ、およびメモリは、内部接続パスによって接続される。プロセッサは、メモリ内のコードを実行するように構成される。コードが実行される場合、プロセッサは、前述のハードウェア検出方法のいずれか１つを実行するように構成される。

プロセッサは、中央演算処理装置（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ，ＣＰＵ）であってもよく、または、別の汎用プロセッサ、デジタル信号プロセッサ（ｄｉｇｉｔａｌｓｉｇｎａｌｐｒｏｃｅｓｓｏｒ，ＤＳＰ）、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ－ｓｐｅｃｉｆｉｃｉｎｔｅｇｒａｔｅｄｃｉｒｃｕｉｔ，ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ｆｉｅｌｄ－ｐｒｏｇｒａｍｍａｂｌｅｇａｔｅａｒｒａｙ，ＦＰＧＡ）もしくは別のプログラマブル論理デバイス、ディスクリートゲートもしくはトランジスタロジックデバイス、またはディスクリートハードウェアコンポーネント等であってもよいことを理解されたい。汎用プロセッサは、マイクロプロセッサ、または任意の従来のプロセッサ等であり得る。プロセッサは、高度縮小命令セットコンピューティングマシン（ａｄｖａｎｃｅｄＲＩＳＣｍａｃｈｉｎｅｓ，ＡＲＭ）アーキテクチャをサポートするプロセッサであり得ることに留意されたい。

さらに、任意選択的な実施形態において、１または複数のプロセッサが存在し、且つ、１または複数のメモリが存在する。任意選択的に、メモリはプロセッサと統合されてもよく、または、メモリおよびプロセッサは別個に配置される。メモリは、リードオンリメモリおよびランダムアクセスメモリを含み、命令およびデータをプロセッサに提供し得る。メモリはさらに、不揮発性ランダムアクセスメモリを含み得る。例えば、メモリはさらに、デバイスタイプについての情報を格納し得る。

メモリは、揮発性メモリもしくは不揮発性メモリであってもよく、または、揮発性メモリおよび不揮発性メモリの両方を含んでもよい。不揮発性メモリは、リードオンリメモリ（ｒｅａｄ－ｏｎｌｙｍｅｍｏｒｙ，ＲＯＭ）、プログラマブルリードオンリメモリ（ｐｒｏｇｒａｍｍａｂｌｅＲＯＭ，ＰＲＯＭ）、消去可能プログラマブルリードオンリメモリ（ｅｒａｓａｂｌｅＰＲＯＭ，ＥＰＲＯＭ）、電気的消去可能プログラマブルリードオンリメモリ（ｅｌｅｃｔｒｉｃａｌｌｙＥＰＲＯＭ，ＥＥＰＲＯＭ）、またはフラッシュメモリであってよい。揮発性メモリは、外部キャッシュとして使用されるランダムアクセスメモリ（ｒａｎｄｏｍａｃｃｅｓｓｍｅｍｏｒｙ，ＲＡＭ）であってよい。例えば、限定されるものではないが、多くの形態のＲＡＭ、例えば、スタティックランダムアクセスメモリ（ｓｔａｔｉｃＲＡＭ，ＳＲＡＭ）、ダイナミックランダムアクセスメモリ（ｄｙｎａｍｉｃｒａｎｄｏｍａｃｃｅｓｓｍｅｍｏｒｙ，ＤＲＡＭ）、シンクロナスダイナミックランダムアクセスメモリ（ｓｙｎｃｈｒｏｎｏｕｓＤＲＡＭ，ＳＤＲＡＭ）、ダブルデータレートシンクロナスダイナミックランダムアクセスメモリ（ｄｏｕｂｌｅｄａｔａｒａｔｅＳＤＲＡＭ，ＤＤＲＳＤＲＡＭ）、拡張型シンクロナスダイナミックランダムアクセスメモリ（ｅｎｈａｎｃｅｄＳＤＲＡＭ，ＥＳＤＲＡＭ）、シンクリンクダイナミックランダムアクセスメモリ（ｓｙｎｃｈｌｉｎｋＤＲＡＭ，ＳＬＤＲＡＭ）、およびダイレクトラムバスランダムアクセスメモリ（ｄｉｒｅｃｔｒａｍｂｕｓＲＡＭ，ＤＲＲＡＭ）が利用可能である。

本願は、コンピュータプログラムを提供する。コンピュータプログラムがコンピュータにより実行される場合、プロセッサまたはコンピュータは、前述の方法の実施形態における対応するステップおよび／または手順を実行することが可能となる。

前述の実施形態の全てまたは一部が、ソフトウェア、ハードウェア、ファームウェア、またはこれらの任意の組み合わせを使用して実装され得る。実施形態を実装するのにソフトウェアが使用される場合、実施形態の全てまたは一部は、コンピュータプログラム製品の形態で実装され得る。コンピュータプログラム製品は、１または複数のコンピュータ命令を含む。コンピュータプログラム命令がコンピュータ上にロードされて実行される場合、本願に係る手順または機能は全てがまたは部分的に生成される。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、または別のプログラマブル装置であってよい。コンピュータ命令は、コンピュータ可読記憶媒体に格納されてもよく、または、あるコンピュータ可読記憶媒体から別のコンピュータ可読記憶媒体に伝送されてもよい。例えば、コンピュータ命令は、ウェブサイト、コンピュータ、サーバ、またはデータセンタから、別のウェブサイト、コンピュータ、サーバ、またはデータセンタに、有線（例えば、同軸ケーブル、光ファイバ、またはデジタル加入者線）または無線（例えば、赤外線、無線、またはマイクロ波）方式で伝送されてよい。コンピュータ可読記憶媒体は、コンピュータによりアクセス可能な任意の使用可能な媒体、または、統合された１または複数の使用可能な媒体を含む、サーバまたはデータセンタなどのデータストレージデバイスであってよい。使用可能な媒体は、磁気媒体（例えば、フロッピディスク、ハードディスクドライブ、または磁気テープ）、光媒体（例えば、ＤＶＤ）、または半導体媒体（例えば、ソリッドステートドライブ（ｓｏｌｉｄ－ｓｔａｔｅｄｒｉｖｅ，ＳＳＤ））等であってよい。

前述の説明は、本発明の特定の実装に過ぎず、本発明の保護範囲を限定することを意図するものではない。本発明において開示された技術的範囲内で当業者が容易に想到するあらゆる変形例または置換例は、本発明の保護範囲に含まれるものとする。したがって、本発明の保護範囲は、特許請求の範囲の保護範囲に従うものとする。

Claims

ハードウェア検出方法であって、
物理キャリアに第１検証データを送信する段階であって、前記物理キャリアは複数のハードウェアを保持する段階と、
前記物理キャリアにより返された暗号文およびバインディング関係情報を受信する段階であって、前記暗号文は、それぞれのキーを使用して前記複数のハードウェアのうちの少なくとも２つのそれぞれが前記第１検証データを暗号化した後に取得され、前記バインディング関係情報は前記少なくとも２つのハードウェアの間におけるバインディング関係を示すために使用される段階と、
前記暗号文および前記バインディング関係情報を検証して、検証結果に基づいて前記少なくとも２つのハードウェアのセキュリティを決定する段階と
を備える、方法。
前記バインディング関係情報は、前記少なくとも２つのハードウェアに対応する前記キー間のバインディング関係を含み、
前記暗号文および前記バインディング関係情報を検証する前記段階は、
前記少なくとも２つのハードウェアに対応する前記キーを取得して、前記少なくとも２つのハードウェアに対応する前記キーに基づいて、前記バインディング関係情報に含まれる前記バインディング関係が正しいかどうかを検証する段階と、
前記少なくとも２つのハードウェアによる暗号化によって取得された前記暗号文をそれぞれ復号すべく前記少なくとも２つのハードウェアに対応する前記キーを使用して、復号によって取得された第２検証データが前記第１検証データと一致するかどうかを検証する段階と
を含み、
検証結果に基づいて前記少なくとも２つのハードウェアのセキュリティを決定する前記段階は、
前記バインディング関係情報に含まれる前記バインディング関係が正しい、且つ復号によって取得された前記第２検証データが前記第１検証データと一致するという前記検証結果である場合、前記少なくとも２つのハードウェアが安全であると決定する段階を含む、請求項１に記載の方法。
前記物理キャリアにより返された暗号文およびバインディング関係情報を受信する前記段階は、
前記物理キャリアにより返された前記暗号文および公証証明書を受信する段階であって、前記公証証明書は前記少なくとも２つのハードウェアに対応する前記キー間のバインディング関係を含む、且つ前記バインディング関係のデジタル署名をさらに含む段階
を含み、
前記暗号文および前記バインディング関係情報を検証する前記段階は、
前記公証証明書内の前記デジタル署名に基づいて、前記バインディング関係情報に含まれる前記バインディング関係が正しいかどうかを検証する段階と、
前記少なくとも２つのハードウェアによる暗号化によって取得された前記暗号文をそれぞれ復号すべく前記公証証明書内の前記少なくとも２つのハードウェアに対応する前記キーを使用して、復号によって取得された第２検証データが前記第１検証データと一致するかどうかを検証する段階と
を含み、
検証結果に基づいて前記少なくとも２つのハードウェアのセキュリティを決定する前記段階は、
前記バインディング関係情報に含まれる前記バインディング関係が正しい、且つ復号によって取得された前記第２検証データが前記第１検証データと一致するという前記検証結果である場合、前記少なくとも２つのハードウェアが安全であると決定する段階を含む、請求項１に記載の方法。
前記少なくとも２つのハードウェアに対応する前記キーは、それぞれのハードウェア識別子にそれぞれ基づいて前記少なくとも２つのハードウェアにより生成される、請求項１から３のいずれか一項に記載の方法。
前記ハードウェア識別子は、ハードウェアユニークキーＨＵＫ、物理複製困難関数ＰＵＦ、および機密性が保護されたワンタイムプログラマブルＯＴＰにおける識別情報もしくは承認キーＥＫを含む、請求項４に記載の方法。
前記キーは、対称キーまたは非対称キーを含む、請求項１から５のいずれか一項に記載の方法。
前記キーが非対称キーである場合、前記キーはパブリックキーおよびプライベートキーを含み、
前記暗号文は、前記少なくとも２つのハードウェアがそれぞれのプライベートキーを使用して前記第１検証データをそれぞれ暗号化した後に取得され、前記バインディング関係情報は前記少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される、請求項６に記載の方法。
ハードウェア検出方法であって、
検証ユニットにより送信された第１検証データを受信する段階と、
暗号文およびバインディング関係情報を取得する段階であって、前記暗号文は、物理キャリア上に保持された複数のハードウェアのうちの少なくとも２つがそれぞれのキーを使用して前記第１検証データをそれぞれ暗号化した後に取得され、前記バインディング関係情報は前記少なくとも２つのハードウェア間のバインディング関係を示すために使用される段階と、
前記暗号文および前記バインディング関係情報を前記検証ユニットに送信する段階であって、前記検証ユニットは、前記暗号文および前記バインディング関係情報を検証して、検証結果に基づいて前記少なくとも２つのハードウェアのセキュリティを決定する段階と
を備える、方法。
バインディング関係情報を取得する前記段階の前に、前記方法はさらに、
前記少なくとも２つのハードウェアの前記キーを取得する段階と、前記少なくとも２つのハードウェアの前記キー間のバインディング関係に基づいて前記バインディング関係情報を取得する段階と、前記バインディング関係情報を格納する段階とを含む、請求項８に記載の方法。
前記少なくとも２つのハードウェアの前記キー間のバインディング関係に基づいて前記バインディング関係情報を取得する前記段階、および前記バインディング関係情報を格納する前記段階は、
前記少なくとも２つのハードウェアの前記キーを登録して公証証明書を取得する段階と、前記公証証明書を格納する段階であって、前記公証証明書は前記少なくとも２つのハードウェアに対応する前記キー間の前記バインディング関係を含み、前記バインディング関係のデジタル署名をさらに含む段階とを含み、
バインディング関係情報を取得する前記段階は、前記公証証明書を取得する段階を含む、請求項９に記載の方法。
前記少なくとも２つのハードウェアに対応する前記キーは、それぞれのハードウェア識別子にそれぞれ基づいて前記少なくとも２つのハードウェアにより生成される、請求項８から１０のいずれか一項に記載の方法。
前記ハードウェア識別子は、ハードウェアユニークキーＨＵＫ、物理複製困難関数ＰＵＦ、および機密性が保護されたワンタイムプログラマブルＯＴＰにおける識別情報もしくは承認キーＥＫを含む、請求項１１に記載の方法。
前記キーは、対称キーまたは非対称キーを含む、請求項８から１２のいずれか一項に記載の方法。
前記キーが非対称キーである場合、前記キーはパブリックキーおよびプライベートキーを含み、
前記暗号文は、前記少なくとも２つのハードウェアがそれぞれのプライベートキーを使用して前記第１検証データをそれぞれ暗号化した後に取得され、前記バインディング関係情報は前記少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される、請求項１３に記載の方法。
ハードウェア検出装置であって、
物理キャリアに第１検証データを送信するように構成された送信モジュールであって、前記物理キャリアは複数のハードウェアを保持する送信モジュールと、
前記物理キャリアにより返された暗号文およびバインディング関係情報を受信するように構成された受信モジュールであって、前記暗号文は、それぞれのキーを使用して前記複数のハードウェアのうちの少なくとも２つのそれぞれが前記第１検証データを暗号化した後に取得され、前記バインディング関係情報は前記少なくとも２つのハードウェアの間におけるバインディング関係を示すために使用される受信モジュールと、
前記暗号文および前記バインディング関係情報を検証して、検証結果に基づいて前記少なくとも２つのハードウェアのセキュリティを決定するように構成された検証モジュールと
を含む、装置。
前記バインディング関係情報は、前記少なくとも２つのハードウェアに対応する前記キー間のバインディング関係を含み、
前記検証モジュールは、
前記少なくとも２つのハードウェアに対応する前記キーを取得して、前記少なくとも２つのハードウェアに対応する前記キーに基づいて、前記バインディング関係情報に含まれる前記バインディング関係が正しいかどうかを検証することと、前記少なくとも２つのハードウェアによる暗号化によって取得された前記暗号文をそれぞれ復号すべく前記少なくとも２つのハードウェアに対応する前記キーを使用して、復号によって取得された第２検証データが前記第１検証データと一致するかどうかを検証することと、
前記バインディング関係情報に含まれる前記バインディング関係が正しい、且つ復号によって取得された前記第２検証データが前記第１検証データと一致するという前記検証結果である場合、前記少なくとも２つのハードウェアが安全であると決定することと
を行うように構成される、請求項１５に記載の装置。
前記受信モジュールは、前記物理キャリアにより返された前記暗号文および公証証明書を受信することであって、前記公証証明書は前記少なくとも２つのハードウェアに対応する前記キー間のバインディング関係を含む、且つ前記バインディング関係のデジタル署名をさらに含むことを行うように構成され、
前記検証モジュールは、
前記公証証明書内の前記デジタル署名に基づいて、前記バインディング関係情報に含まれる前記バインディング関係が正しいかどうかを検証することと、前記少なくとも２つのハードウェアによる暗号化によって取得された前記暗号文をそれぞれ復号すべく前記公証証明書内の前記少なくとも２つのハードウェアに対応する前記キーを使用して、復号によって取得された第２検証データが前記第１検証データと一致するかどうかを検証することと、
前記バインディング関係情報に含まれる前記バインディング関係が正しい、且つ復号によって取得された前記第２検証データが前記第１検証データと一致するという前記検証結果である場合、前記少なくとも２つのハードウェアが安全であると決定することと
を行うように構成される、請求項１５または１６に記載の装置。
前記少なくとも２つのハードウェアに対応する前記キーは、それぞれのハードウェア識別子にそれぞれ基づいて前記少なくとも２つのハードウェアにより生成される、請求項１５から１７のいずれか一項に記載の装置。
前記ハードウェア識別子は、ハードウェアユニークキーＨＵＫ、物理複製困難関数ＰＵＦ、および機密性が保護されたワンタイムプログラマブルＯＴＰにおける識別情報もしくは承認キーＥＫを含む、請求項１８に記載の装置。
前記キーは、対称キーまたは非対称キーを含む、請求項１５から１９のいずれか一項に記載の装置。
前記キーが非対称キーである場合、前記キーはパブリックキーおよびプライベートキーを含み、
前記暗号文は、前記少なくとも２つのハードウェアがそれぞれのプライベートキーを使用して前記第１検証データをそれぞれ暗号化した後に取得され、前記バインディング関係情報は前記少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される、請求項２０に記載の装置。
ハードウェア検出装置であって、
検証ユニットにより送信された第１検証データを受信するように構成された受信モジュールと、
暗号文およびバインディング関係情報を取得するように構成された第１取得モジュールであって、前記暗号文は、物理キャリア上に保持された複数のハードウェアのうちの少なくとも２つがそれぞれのキーを使用して前記第１検証データをそれぞれ暗号化した後に取得され、前記バインディング関係情報は前記少なくとも２つのハードウェア間のバインディング関係を示すために使用される、第１取得モジュールと、
前記暗号文および前記バインディング関係情報を前記検証ユニットに送信するように構成された送信モジュールであって、前記検証ユニットは、前記暗号文および前記バインディング関係情報を検証して、検証結果に基づいて前記少なくとも２つのハードウェアのセキュリティを決定する送信モジュールと
を備える、装置。
前記装置はさらに、
前記少なくとも２つのハードウェアの前記キーを取得することと、前記少なくとも２つのハードウェアの前記キー間のバインディング関係に基づいて前記バインディング関係情報を取得することとを行うように構成された第２取得モジュールと、
前記バインディング関係情報を格納するように構成されたストレージモジュールと
を含む、請求項２２に記載の装置。
前記第２取得モジュールは、公証証明書を取得すべく前記少なくとも２つのハードウェアの前記キーを登録するように構成され、前記公証証明書は前記少なくとも２つのハードウェアに対応する前記キー間の前記バインディング関係を含み、前記バインディング関係のデジタル署名をさらに含み、
前記ストレージモジュールは前記公証証明書を格納するように構成され、
前記第１取得モジュールは前記公証証明書を取得するように構成される、請求項２３に記載の装置。
前記少なくとも２つのハードウェアに対応する前記キーは、それぞれのハードウェア識別子にそれぞれ基づいて前記少なくとも２つのハードウェアにより生成される、請求項２２から２４のいずれか一項に記載の装置。
前記ハードウェア識別子は、ハードウェアユニークキーＨＵＫ、物理複製困難関数ＰＵＦ、および機密性が保護されたワンタイムプログラマブルＯＴＰにおける識別情報もしくは承認キーＥＫを含む、請求項２５に記載の装置。
前記キーは、対称キーまたは非対称キーを含む、請求項２２から２６のいずれか一項に記載の装置。
前記キーが非対称キーである場合、前記キーはパブリックキーおよびプライベートキーを含み、
前記暗号文は、前記少なくとも２つのハードウェアがそれぞれのプライベートキーを使用して前記第１検証データをそれぞれ暗号化した後に取得され、前記バインディング関係情報は前記少なくとも２つのハードウェアに対応するパブリックキー間のバインディング関係に基づいて取得される、請求項２７に記載の装置。
コンピュータ可読記憶媒体であって、少なくとも１つの命令を格納し、前記命令はプロセッサによりロードおよび実行され、請求項１から７のいずれか一項に記載のハードウェア検出方法を実装するか、または、請求項８から１４のいずれか一項に記載のハードウェア検出方法を実装する、コンピュータ可読記憶媒体。
コンピュータに、請求項１から７のいずれか一項に記載の方法を実行させる、または、請求項８から１４のいずれか一項に記載の方法を実行させるためのコンピュータプログラム。