JP2019133220A

JP2019133220A - Integrity verification device, integrity verification system, integrity verification method and integrity verification program

Info

Publication number: JP2019133220A
Application number: JP2018012302A
Authority: JP
Inventors: 諒慈松田; Ryoji Matsuda
Original assignee: NEC Platforms Ltd
Current assignee: NEC Platforms Ltd
Priority date: 2018-01-29
Filing date: 2018-01-29
Publication date: 2019-08-08
Anticipated expiration: 2038-01-29
Also published as: JP7050503B2

Abstract

To efficiently acquire an expected value of integrity guarantee information which has different values according to the configuration of an information processing device and is used for verifying the integrity of the information processing device.SOLUTION: An integrity verification device 50 comprises: a storage unit 51 which stores setting information 511 to an information processing device 60 which realizes the configuration, for each configuration which the information processing device 60 can adopt; a start unit 52 which executes the start of the information processing device 60 with each setting information while changing the setting information to be selected after performing the setting to the information processing device 60 by using the setting information 511, when the integrity of the information processing device 60 is guaranteed; and an acquisition unit 53 which acquires an expected value 512 of integrity guarantee information based on start control information 601 used when the information processing device 60 is started, and stores the expected value 512 of the integrity guarantee information in the storage unit 51 in association with the configuration, whenever the information processing device 60 is started by the start unit 52.SELECTED DRAWING: Figure 8

Description

本願発明は、情報処理装置を構成するプラットフォームの完全性を検証する技術に関する。 The present invention relates to a technique for verifying the integrity of a platform constituting an information processing apparatus.

近年、サーバ装置、あるいはＩｏＴ(Internet of Things)等において用いられる情報処理装置には、より高い信頼性や完全性（情報処理装置が使用する情報に対する不正な改ざんが行なわれていない状態であること、即ち、情報処理装置が使用する情報が正当であること）が求められている。この完全性を確保するための技術の１つとして、ＴＰＭ（Trusted Platform Module）を用いたTrusted Bootが知られている。 In recent years, information processing devices used in server devices or IoT (Internet of Things) have higher reliability and completeness (the information used by the information processing devices has not been tampered with. That is, the information used by the information processing apparatus is valid). As one of techniques for ensuring this completeness, Trusted Boot using TPM (Trusted Platform Module) is known.

ＴＰＭは、ＴＣＧ（Trusted Computing Group）によって定義されたセキュリティの仕様に準拠したハードウェアに関する耐タンパー性（内部情報および内部構造の解析を目的とした攻撃に対する安全性）を持つセキュリティチップである。ＴＰＭは、通常、ＰＣ（Personal Computer）などのマザーボードに直付けされており、ＳＰＩ(Serial Peripheral Interface)やＬＰＣ（Low Pin Count）インタフェースを経由してアクセス可能なコプロセッサとして動作する。そして、ＴＰＭは、暗号化や署名などの様々なセキュリティに関する機能を提供する。 The TPM is a security chip having tamper resistance (security against attacks for the purpose of analyzing internal information and internal structure) related to hardware that complies with the security specifications defined by TCG (Trusted Computing Group). The TPM is usually directly attached to a motherboard such as a PC (Personal Computer), and operates as a coprocessor accessible via an SPI (Serial Peripheral Interface) or an LPC (Low Pin Count) interface. The TPM provides various security-related functions such as encryption and signature.

ＴＰＭは、ＰＣＲ(Platform Configuration Register）と呼ばれるバンクを備えている。このバンクは、記憶領域として、情報処理装置がＰＯＳＴ(Power On Self-Test)を実行しているときやＯＳ（Operating System）を起動しているときに参照するデータ（設定値やプログラム等）のハッシュ値を、完全性保証情報として記録することができる。このデータのハッシュ値は、ＴＰＭが備えるExtendと呼ばれる機能（操作）によって、ＰＣＲに登録される。上述したTrusted Bootでは、この機能を利用することによって、情報処理装置の完全性が保証されているときに取得したハッシュ値を、ハッシュ値の期待値として取得する。そして、Trusted Bootでは、情報処理装置を新たに起動したときに取得したハッシュ値と、事前に取得して管理しているハッシュ値の期待値とを比較することによって、情報処理装置が起動時に用いるデータに対する改ざんの有無を判別することができる。そして、このようなＴＰＭを用いた情報処理装置の完全性に関する検証をより確実かつ効率的に行なうことを実現する技術への期待が高まってきている。 The TPM has a bank called PCR (Platform Configuration Register). This bank is used as a storage area for data (setting values, programs, etc.) to be referred to when the information processing device is executing POST (Power On Self-Test) or starting up the OS (Operating System). A hash value can be recorded as integrity assurance information. The hash value of this data is registered in the PCR by a function (operation) called Extend included in the TPM. In the Trusted Boot described above, by using this function, the hash value acquired when the integrity of the information processing apparatus is guaranteed is acquired as the expected value of the hash value. In Trusted Boot, the information processing apparatus uses it at startup by comparing the hash value acquired when the information processing apparatus is newly started with the expected value of the hash value acquired and managed in advance. It is possible to determine whether data has been tampered with. And the expectation for the technique which implement | achieves verification about the completeness of the information processing apparatus using such TPM more reliably and efficiently is increasing.

このような技術に関連する技術として、特許文献１には、システムの起動時間の遅延を引き起こすことなく、Trusted Bootによりプラットフォームの完全性に関する検証を行えるようにしたプラットフォーム完全性検証システムが開示されている。このシステムにおけるプラットフォーム計測装置は、次回起動時のためのプラットフォームの完全性に関する検証を、シャットダウンシーケンスの最後のタイミングで計測を実行し、その結果をシステムの電源状態に関わらず外部のコンピュータから取得可能な不揮発性記憶領域に記録する。その後、このシステムにおける完全性検証コンピュータは、不揮発性記憶領域に記憶された計測値を、ネットワークを介して取得し、取得した計測値と、予め用意した期待される計測値との比較を行うことにより完全性を検証する。 As a technique related to such a technique, Patent Document 1 discloses a platform integrity verification system that enables verification of platform integrity by Trusted Boot without causing a delay in the startup time of the system. Yes. The platform measurement device in this system can verify the integrity of the platform for the next startup at the end of the shutdown sequence, and obtain the result from an external computer regardless of the system power status. In a non-volatile storage area. After that, the integrity verification computer in this system acquires the measurement value stored in the nonvolatile storage area via the network, and compares the acquired measurement value with the expected measurement value prepared in advance. To verify the completeness.

また、特許文献２には、ネットワークサービスに接続する際のセキュリティを強化した情報処理システムが開示されている。このシステムでは、ユーザは、端末を操作して起動プロセス変更サーバにアクセスし、盗難された携帯端末の起動プロセスの一部の変更を要求する。起動プロセス変更サーバは、この要求に応じて携帯端末の起動プロセスの一部の変更有りを示すフラグを登録する。携帯端末は、起動プロセス中に、起動プロセス変更サーバにアクセスし、フラグ情報を確認する。そして携帯端末は、フラグ情報が起動プロセスの一部の変更有りを示す場合、起動プロセスの一部を変更し、一部が変更された起動プロセスの処理過程を計測して、その計測結果をＴＰＭに保存する。 Patent Document 2 discloses an information processing system with enhanced security when connecting to a network service. In this system, the user operates the terminal to access the activation process change server, and requests a partial change of the activation process of the stolen portable terminal. In response to this request, the activation process change server registers a flag indicating that a part of the activation process of the portable terminal has been changed. During the startup process, the mobile terminal accesses the startup process change server and checks the flag information. When the flag information indicates that there is a change in the startup process, the mobile terminal changes a part of the startup process, measures the processing process of the startup process in which the part is changed, and displays the measurement result as a TPM. Save to.

また、特許文献３には、アプリケーションの動作環境を提供するプラットフォームを有した本体装置と、当該本体装置のTrusted Bootを実現するセキュリティデバイスと間の通信を保護するようにした信号レベル変換装置が開示されている。この装置は、アプリケーションの動作環境を提供するプラットフォームを有した本体装置と接続する第１インタフェース手段を備える。この装置は、真正性が確認されたプラットフォームを特定するハッシュ値をＰＣＲ情報として予め保持し、当該ＰＣＲ情報と本体装置の起動時のプラットフォームのハッシュ値とが一致した場合に、本体装置の起動を許可する信号を本体装置に送信するセキュリティデバイスと接続する第２インタフェース手段を備える。そしてこの装置は、第１インタフェース手段と第２インタフェース手段との間で授受される信号をレベルシフトする。 Patent Document 3 discloses a signal level conversion apparatus that protects communication between a main body device having a platform that provides an operating environment for an application and a security device that implements Trusted Boot of the main body device. Has been. The apparatus includes first interface means for connecting to a main body apparatus having a platform for providing an operating environment for applications. This device holds a hash value that identifies a platform whose authenticity has been confirmed in advance as PCR information, and when the PCR information matches the hash value of the platform at the time of activation of the main device, activation of the main device is performed. Second interface means for connecting to a security device that transmits a signal to be permitted to the main unit is provided. The apparatus shifts the level of signals exchanged between the first interface means and the second interface means.

特開2012-032925号公報JP 2012-032925 特開2014-078185号公報JP 2014-078185 特開2012-008642号公報JP 2012-008642 A

"TCG PC Client Platform Firmware Profile Specification Family "2.0" Level 00 Revision 1.03 v51 May 1, 2017"、［Online］、［２０１８年１月２６日検索］、インターネット<URL: https://trustedcomputinggroup.org/wp-content/uploads/PC-ClientSpecific_Platform_Profile_for_TPM_2p0_Systems_v51.pdf>"TCG PC Client Platform Firmware Profile Specification Family" 2.0 "Level 00 Revision 1.03 v51 May 1, 2017", [Online], [Search January 26, 2018], Internet <URL: https://trustedcomputinggroup.org/wp -content / uploads / PC-ClientSpecific_Platform_Profile_for_TPM_2p0_Systems_v51.pdf>

前述したＴＰＭを用いたTrusted Bootについて、詳細に説明する。例えば非特許文献１に示されているＴＣＧによって定義されたＴＰＭ２．０では、ＰＣＲとして２４個のバンクが存在する。これらの２４個のＰＣＲに登録される各ハッシュ値（完全性保証情報）のカテゴリは、非特許文献１に示す通りである。 The Trusted Boot using the TPM described above will be described in detail. For example, in TPM 2.0 defined by TCG shown in Non-Patent Document 1, there are 24 banks as PCR. The categories of hash values (integrity assurance information) registered in these 24 PCRs are as shown in Non-Patent Document 1.

例えば、２４個のＰＣＲのうちのＰＣＲ０は、Ｓ−ＣＲＴＭ(Static Core Root of Trust Measurement)と呼ばれ、ＢＩＯＳの実装に依存して装置や機種ごとに異なる値が登録される。また、ＰＣＲ１には、情報処理装置の構成情報等を示すハッシュ値が登録される。例えば、ＢＩＯＳ(Basic Input Output System)の設定によってネットワークデバイスのOption ROM展開を無効にした場合、ＰＣＲ１の値が変わることが知られている。但し、情報処理装置の構成に関するどの設定を変更したときに、どのＰＣＲに登録されるハッシュ値が変更されるかについては、例えば装置開発ベンダーに依存する場合がある。 For example, PCR0 out of 24 PCRs is called S-CRTM (Static Core Root of Trust Measurement), and a different value is registered for each apparatus and model depending on the implementation of BIOS. In addition, a hash value indicating the configuration information of the information processing apparatus is registered in PCR1. For example, it is known that the value of PCR1 changes when Option ROM expansion of a network device is disabled by setting a BIOS (Basic Input Output System). However, it may depend on, for example, an apparatus development vendor, for which hash value registered in which PCR is changed when which setting related to the configuration of the information processing apparatus is changed.

非特許文献１に示されているＰＣＲは、また、ＢＩＯＳ等のファームウェア（ＦＷ(Firmware)）によりハッシュ値が登録されるＰＣＲ０−７と、ＯＳやアプリケーションによりハッシュ値が登録されるＰＣＲ８−２３とに大別される。また、各ＰＣＲには、複数のハッシュ値が登録可能であるが、各ＰＣＲを参照した際に見える値は１つである。即ち、各ＰＣＲを参照した際に見える値は、既に登録されているハッシュ値と新たに登録するハッシュ値とが連結（合算）された値となる。 The PCR shown in Non-Patent Document 1 includes PCR0-7 in which a hash value is registered by firmware (FW (Firmware)) such as BIOS, and PCR8-23 in which a hash value is registered by an OS or an application. It is divided roughly into. A plurality of hash values can be registered in each PCR, but only one value is visible when each PCR is referred to. That is, the value that can be seen when referring to each PCR is a value obtained by concatenating (adding) the already registered hash value and the newly registered hash value.

情報処理装置の完全性の検証に用いられる、ＰＣＲに登録されるハッシュ値の期待値は、一般的に、運用前に事前に取得した（検証した）値を用いている。例えば、組み込み用途として出荷され、出荷後に構成変更が行なわれないような情報処理装置の場合、その固定された装置構成において取得されたハッシュ値を、その期待値として管理している。また、運用中にある程度の構成変更が見込まれる情報処理装置の場合、各構成に関してハッシュ値の期待値を事前に計測し、装置構成ごとに計測された期待値をホワイトリストとして管理している。 The expected value of the hash value registered in the PCR used for verifying the integrity of the information processing apparatus generally uses a value acquired (verified) in advance before operation. For example, in the case of an information processing apparatus that is shipped for embedded use and whose configuration is not changed after shipment, the hash value acquired in the fixed apparatus configuration is managed as the expected value. Further, in the case of an information processing apparatus that is expected to undergo some configuration change during operation, the expected value of the hash value is measured in advance for each configuration, and the expected value measured for each device configuration is managed as a white list.

しかしながら、サーバなどの情報処理装置では、運用開始後に例えば不具合を解消するためのファームウェアの更新が行われ、これによってファームウェアに関するデータ（設定値やプログラム等）を表すハッシュ値が変わる場合がある。このような場合、変更されたハッシュ値を、運用開始時点において事前に計測しておくことは困難である。また、運用中に装置構成を変更したり、プロセッサやメモリ等に発生した障害などによって、一部のモジュールを縮退したりすることもある。 However, in an information processing apparatus such as a server, for example, firmware is updated in order to solve a problem after the operation is started, and thereby a hash value representing data (setting value, program, etc.) related to firmware may change. In such a case, it is difficult to measure the changed hash value in advance at the start of operation. Also, some modules may be degenerated due to a change in the device configuration during operation or a failure that occurs in the processor, memory, or the like.

そして、装置構成やファームウェアに関する変更等によって、ＰＣＲに登録されるハッシュ値がどのように変更されるかを示す情報は、一般的に、プラットフォームベンダー等から提供されることはない。したがって、装置構成やファームウェアに関する変更等が行なわれた場合、ユーザ（システムの設計者や管理者等）は、期待値となるＰＣＲに登録されるハッシュ値を計測する必要がある。しかしながら、上述した通り、多様な構成を採り得る情報処理装置において、全ての構成に関してＰＣＲに登録される多数のハッシュ値の期待値をユーザが計測することは、ユーザに対する負担が大きくなることから困難である。特許文献１乃至３は、この問題について言及していない。本願発明の主たる目的は、この問題を解決する完全性検証装置等を提供することである。 In general, information indicating how the hash value registered in the PCR is changed due to a change in the device configuration, firmware, or the like is not provided from a platform vendor or the like. Therefore, when a change related to the device configuration or firmware is made, the user (system designer, administrator, etc.) needs to measure the hash value registered in the PCR that is the expected value. However, as described above, in an information processing apparatus that can take various configurations, it is difficult for the user to measure the expected value of a large number of hash values registered in the PCR for all configurations because the burden on the user increases. It is. Patent Documents 1 to 3 do not mention this problem. The main object of the present invention is to provide an integrity verification device or the like that solves this problem.

本願発明の一態様に係る完全性検証装置は、情報処理装置が採り得る構成ごとに、前記構成を実現する、前記情報処理装置に対する設定情報が格納された記憶手段と、前記情報処理装置に関する完全性が保証されているときに、前記設定情報を用いて前記情報処理装置に対する設定を行ったのち、前記情報処理装置を起動することを、複数の前記設定情報のうち選択する設定情報を変更しながら個々の前記設定情報に関して実行する起動手段と、前記情報処理装置に関する完全性が保証されているときに、前記情報処理装置が起動する際に使用する起動制御情報に基づいて生成される完全性保証情報の期待値を前記情報処理装置から取得し、取得した前記完全性保証情報の期待値を前記構成と関連付けて前記記憶手段に格納することを、前記起動手段によって前記情報処理装置が起動される度に実行する取得手段と、を備える。 An integrity verification apparatus according to an aspect of the present invention includes a storage unit that stores the setting information for the information processing apparatus that realizes the configuration for each configuration that the information processing apparatus can take, and a completeness related to the information processing apparatus. The setting information to be selected from among the plurality of setting information is changed to start the information processing apparatus after setting the information processing apparatus using the setting information. However, completeness generated based on activation control information used when the information processing device is activated when integrity associated with the information processing device is ensured, and activation means executed with respect to each of the setting information Obtaining the expected value of the guarantee information from the information processing apparatus, and storing the obtained expected value of the integrity guarantee information in the storage means in association with the configuration; It comprises an acquisition unit for executing every time the information processing apparatus is started by the motion means.

上記目的を達成する他の見地において、本願発明の一態様に係る完全性検証方法は、第一の情報処理装置が採り得る構成ごとに、前記構成を実現する、前記第一の情報処理装置に対する設定情報が記憶手段に格納されている場合に、第二の情報処理装置によって、前記第一の情報処理装置に関する完全性が保証されているときに、前記設定情報を用いて前記第一の情報処理装置に対する設定を行ったのち、前記第一の情報処理装置を起動することを、複数の前記設定情報のうち選択する設定情報を変更しながら個々の前記設定情報に関して実行し、前記第一の情報処理装置に関する完全性が保証されているときに、前記第一の情報処理装置が起動する際に使用する起動制御情報に基づいて生成される完全性保証情報の期待値を前記第一の情報処理装置から取得し、取得した前記完全性保証情報の期待値を前記構成と関連付けて前記記憶手段に格納することを、前記第一の情報処理装置が起動される度に実行する。 In another aspect of achieving the above object, an integrity verification method according to an aspect of the present invention is provided for the first information processing device that realizes the configuration for each configuration that the first information processing device can take. When the setting information is stored in the storage means, and the second information processing device guarantees the completeness of the first information processing device, the first information is used using the setting information. After setting the processing device, starting the first information processing device is executed for each of the setting information while changing setting information to be selected from among the plurality of setting information. When the integrity related to the information processing device is guaranteed, the expected value of the integrity assurance information generated based on the activation control information used when the first information processing device is activated is the first information. Obtained from management device performs an expected value of the acquired integrity assurance information to be stored in the storage means in association with the configuration, each time the first information processing apparatus is started.

また、上記目的を達成する更なる見地において、本願発明の一態様に係る完全性検証プログラムは、情報処理装置が採り得る構成ごとに、前記構成を実現する、前記情報処理装置に対する設定情報が格納された記憶手段にアクセス可能なコンピュータに、前記情報処理装置に関する完全性が保証されているときに、前記設定情報を用いて前記情報処理装置に対する設定を行ったのち、前記情報処理装置を起動することを、複数の前記設定情報のうち選択する設定情報を変更しながら個々の前記設定情報に関して実行する起動処理と、前記情報処理装置に関する完全性が保証されているときに、前記情報処理装置が起動する際に使用する起動制御情報に基づいて生成される完全性保証情報の期待値を前記情報処理装置から取得し、取得した前記完全性保証情報の期待値を前記構成と関連付けて前記記憶手段に格納することを、前記起動処理によって前記情報処理装置が起動される度に実行する取得処理と、を実行させるためのプログラムである。 Further, in a further aspect of achieving the above object, the integrity verification program according to one aspect of the present invention stores setting information for the information processing apparatus that realizes the configuration for each configuration that the information processing apparatus can take. When the integrity of the information processing apparatus is guaranteed in a computer accessible to the storage means, the information processing apparatus is set using the setting information and then the information processing apparatus is activated. When the information processing device is guaranteed the integrity of the startup processing executed for each piece of the setting information while changing the setting information to be selected from among the plurality of pieces of setting information, and the integrity of the information processing device, Obtaining the expected value of the integrity assurance information generated based on the activation control information used when starting from the information processing device, the acquired A program for executing an acquisition process executed every time the information processing apparatus is activated by the activation process to store an expected value of integrity guarantee information in the storage unit in association with the configuration. .

更に、本願発明は、係る完全性検証プログラム（コンピュータプログラム）が格納された、コンピュータ読み取り可能な、不揮発性の記録媒体によっても実現可能である。 Furthermore, the present invention can be realized by a computer-readable non-volatile recording medium in which the integrity verification program (computer program) is stored.

本願発明は、情報処理装置の構成によって値が異なる、情報処理装置の完全性を検証する際に使用する完全性保証情報の期待値を、効率的に取得することを可能とする。 The present invention makes it possible to efficiently obtain an expected value of integrity assurance information used when verifying the integrity of an information processing apparatus, which varies depending on the configuration of the information processing apparatus.

本願発明の第１の実施形態に係る完全性検証システム１の構成を概念的に示すブロック図である。1 is a block diagram conceptually showing the configuration of an integrity verification system 1 according to a first embodiment of the present invention. 本願発明の第１の実施形態に係る設定情報１１３の構成を概念的に例示する図である。It is a figure which illustrates notionally the structure of the setting information 113 which concerns on 1st Embodiment of this invention. 本願発明の第１の実施形態に係る完全性保証情報の期待値１１５の構成を概念的に例示する図である。It is a figure which illustrates notionally the structure of the expected value 115 of the integrity guarantee information which concerns on 1st Embodiment of this invention. 本願発明の第１の実施形態に係る完全性保証情報の期待値１１５と完全性保証情報の計測値とを比較した結果を例示する図である。It is a figure which illustrates the result of having compared the expected value 115 of the integrity guarantee information which concerns on 1st Embodiment of this invention, and the measured value of integrity guarantee information. 本願発明の第１の実施形態に係る情報処理装置１０の動作を示すフローチャート（１／２）である。It is a flowchart (1/2) which shows operation | movement of the information processing apparatus 10 which concerns on 1st Embodiment of this invention. 本願発明の第１の実施形態に係る情報処理装置１０の動作を示すフローチャート（２／２）である。It is a flowchart (2/2) which shows operation | movement of the information processing apparatus 10 which concerns on 1st Embodiment of this invention. 本願発明の第１の実施形態の変形例に係る完全性検証システム１Ａの構成を概念的に示すブロック図である。It is a block diagram which shows notionally the structure of the integrity verification system 1A which concerns on the modification of 1st Embodiment of this invention. 本願発明の第１の実施形態の変形例に係る設定情報４１３の構成を概念的に例示する図である。It is a figure which illustrates notionally the structure of the setting information 413 which concerns on the modification of 1st Embodiment of this invention. 本願発明の第２の実施形態に係る完全性検証装置５０の構成を概念的に示すブロック図である。It is a block diagram which shows notionally the structure of the integrity verification apparatus 50 which concerns on 2nd Embodiment of this invention.

以下、本願発明の実施の形態について図面を参照して詳細に説明する。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.

＜第１の実施形態＞
図１は、本願発明の第１の実施の形態に係る完全性検証システム１の構成を概念的に示すブロック図である。完全性検証システム１は、大別して、情報処理装置１０、及び、管理端末装置（アテステーション端末装置）２０を含んでいる。情報処理装置１０と管理端末装置２０とは、通信可能に接続されている。 <First Embodiment>
FIG. 1 is a block diagram conceptually showing the structure of an integrity verification system 1 according to the first embodiment of the present invention. The integrity verification system 1 roughly includes an information processing device 10 and a management terminal device (attestation terminal device) 20. The information processing device 10 and the management terminal device 20 are connected to be communicable.

情報処理装置１０は、例えばサーバ装置であり、記憶部１１、ＣＰＵ（Central Processing Unit）１２、主記憶１３、ＩＯ(Input Output)コントローラ１４、ハードディスク１５、ＣＤ（Compact Disc）／ＤＶＤ（Digital Versatile Disc）ドライブ１６、入出力装置１７、拡張機器１８、及び、ＴＰＭ１９を備えている。ＣＰＵ１２は、主記憶１３及びＩＯコントローラ１４の間でデータ（情報）を入出力する。ＣＰＵ１２は、また、ＩＯコントローラ１４を介して、ハードディスク１５、ＣＤ／ＤＶＤドライブ１６、入出力装置１７、拡張機器１８、及び、ＴＰＭ１９との間でデータを入出力することが可能である。入出力装置１７は、例えば、キーボード、マウス、ディスプレイ等の、ユーザインタフェース機能を備えた装置である。拡張機器１８は、例えばＰＣＩ（Peripheral Component Interconnect）バスに接続可能な、情報処理装置１０の機能を拡張するデバイスである。ハードディスク１５は、大容量記憶装置の一例である。ＣＤ／ＤＶＤドライブ１６は、記録媒体１６０からのデータの読み出しや記録媒体１６０へのデータの書き込みを行なう装置の一例である。 The information processing apparatus 10 is, for example, a server apparatus, and includes a storage unit 11, a CPU (Central Processing Unit) 12, a main memory 13, an IO (Input Output) controller 14, a hard disk 15, a CD (Compact Disc) / DVD (Digital Versatile Disc). ) Drive 16, input / output device 17, expansion device 18, and TPM 19 are provided. The CPU 12 inputs and outputs data (information) between the main memory 13 and the IO controller 14. The CPU 12 can also input / output data to / from the hard disk 15, the CD / DVD drive 16, the input / output device 17, the expansion device 18, and the TPM 19 via the IO controller 14. The input / output device 17 is a device having a user interface function such as a keyboard, a mouse, and a display. The expansion device 18 is a device that expands the function of the information processing apparatus 10 that can be connected to, for example, a PCI (Peripheral Component Interconnect) bus. The hard disk 15 is an example of a mass storage device. The CD / DVD drive 16 is an example of a device that reads data from the recording medium 160 and writes data to the recording medium 160.

情報処理装置１０は、ＴＰＭ１９を用いたTrusted Bootを行なうことが可能な装置である。即ち、情報処理装置１０は、自装置の完全性を検証する完全性検証装置としての機能を有する。本願では、以降、本実施形態に係る情報処理装置１０が有する完全性検証装置としての機能について、その詳細を説明する。 The information processing apparatus 10 is an apparatus capable of performing Trusted Boot using the TPM 19. That is, the information processing apparatus 10 has a function as an integrity verification apparatus that verifies the integrity of its own apparatus. Hereinafter, the details of the function as the integrity verification device included in the information processing apparatus 10 according to the present embodiment will be described.

記憶部１１は、ＢＩＯＳ１１０、設定情報１１３、現在の設定情報１１４、完全性保証情報の期待値１１５、起動モードフラグ１１６、及び、起動制御情報１１７を格納した、不揮発性のフラッシュメモリである。ＣＰＵ１２はＢＩＯＳ１１０を実行することによって、後述する起動処理１１１及び取得処理１１２を実行する。即ち、ＢＩＯＳ１１０は、ＣＰＵ１２が起動処理１１１及び取得処理１１２を実行するためのプログラムを含んでいる。尚、本願では以降、ＣＰＵ１２が起動処理１１１及び取得処理１１２を実行することによって行なう動作に関して、起動処理１１１及び取得処理１１２を、その動作を行なう主体として記載することとする。 The storage unit 11 is a nonvolatile flash memory that stores the BIOS 110, setting information 113, current setting information 114, expected value 115 of integrity assurance information, a start mode flag 116, and start control information 117. The CPU 12 executes a BIOS 110 to execute a startup process 111 and an acquisition process 112 described later. That is, the BIOS 110 includes a program for the CPU 12 to execute the startup process 111 and the acquisition process 112. In the present application, regarding the operations performed by the CPU 12 executing the activation process 111 and the acquisition process 112, the activation process 111 and the acquisition process 112 will be described as subjects performing the operations.

起動処理１１１は、記憶部１１に格納されている設定情報１１３を用いて情報処理装置１０に対する設定を行ったのち、情報処理装置１０を起動する。但し、情報処理装置１０に対する設定を行なうとは、例えば、情報処理装置１０の動作環境を制御する情報を保持するメモリ（レジスタ）等に、値を設定することである。 The activation process 111 activates the information processing apparatus 10 after setting the information processing apparatus 10 using the setting information 113 stored in the storage unit 11. However, setting the information processing apparatus 10 means setting a value in, for example, a memory (register) that holds information for controlling the operating environment of the information processing apparatus 10.

図２は、本実施形態に係る設定情報１１３の構成を概念的に例示する図である。図２に例示する通り、設定情報１１３は、少なくとも、構成番号、登録フラグ、運用モード、ＰＣＩデバイス構成、第１ブートエントリ、第２ブートエントリという項目を含み、これらの項目を関連付ける情報である。 FIG. 2 is a diagram conceptually illustrating the configuration of the setting information 113 according to the present embodiment. As illustrated in FIG. 2, the setting information 113 is information that includes at least items such as a configuration number, a registration flag, an operation mode, a PCI device configuration, a first boot entry, and a second boot entry, and associates these items.

構成番号は、情報処理装置１０が採り得る構成を識別可能な識別子である。運用モードは、情報処理装置１０が採り得る構成ごとに、その運用ポリシーを示す項目である。図２に例示する設定情報１１３では、例えば、構成番号が「１」である構成（以降、本願では「構成１」と称する）に関する運用モードは「高性能」である。即ち、設定情報１１３は、構成１を有する情報処理装置１０は性能が高いことを優先した運用を行なうことを示している。構成１に関して、拡張機器１８に関する構成を表す拡張機器構成は、「全て有効」に設定されている。また、構成１に関して、起動用デバイスとしての優先順位が最も高い第１ブートエントリは「ＨＤＤ」（即ちハードディスク１５）に設定され、起動用デバイスとしての優先順位が２番目に高い第２ブートエントリは「ＣＤ／ＤＶＤ」（即ちＣＤ／ＤＶＤドライブ１６）に設定されている。 The configuration number is an identifier that can identify a configuration that the information processing apparatus 10 can take. The operation mode is an item indicating an operation policy for each configuration that the information processing apparatus 10 can take. In the setting information 113 illustrated in FIG. 2, for example, the operation mode related to the configuration having the configuration number “1” (hereinafter referred to as “configuration 1” in the present application) is “high performance”. That is, the setting information 113 indicates that the information processing apparatus 10 having the configuration 1 performs an operation giving priority to high performance. Regarding the configuration 1, the extended device configuration representing the configuration related to the extended device 18 is set to “all valid”. In the configuration 1, the first boot entry with the highest priority as the boot device is set to “HDD” (that is, the hard disk 15), and the second boot entry with the second highest priority as the boot device is “CD / DVD” (that is, the CD / DVD drive 16) is set.

図２に例示する設定情報１１３では、例えば、構成番号が「２」である構成（以降、本願では「構成２」と称する）に関する運用モードは「省電力」である。即ち、設定情報１１３は、構成２を有する情報処理装置１０は、省電力を優先した運用を行なうことを示している。構成２では、構成１とは異なり、拡張機器構成は「ＧＰＧＰＵ無効」に設定されている。その理由は、省電力を優先する構成２では、消費電力が高いデバイスであるＧＰＧＰＵ（General-Purpose computing on Graphics Processing Units）を無効にする必要があるからである。 In the setting information 113 illustrated in FIG. 2, for example, the operation mode related to the configuration having the configuration number “2” (hereinafter referred to as “configuration 2” in the present application) is “power saving”. That is, the setting information 113 indicates that the information processing apparatus 10 having the configuration 2 performs an operation that prioritizes power saving. In the configuration 2, unlike the configuration 1, the extended device configuration is set to “GPGPU invalid”. The reason is that in the configuration 2 in which power saving is prioritized, it is necessary to invalidate GPGPU (General-Purpose computing on Graphics Processing Units), which is a device with high power consumption.

図２に例示する設定情報１１３では、例えば、構成番号が「３」である構成（以降、本願では「構成３」と称する）に関する運用モードは「保守」である。即ち、設定情報１１３は、構成３を有する情報処理装置１０は、保守性を優先した運用を行なうことを示している。構成３では、構成１及び２とは異なり、第１ブートエントリは「Ｎｅｔｗｏｒｋ」に設定されている。その理由は、保守性を優先する構成３では、ネットワーク上から保守用ツールを組み込んだＯＳ等を起動する必要があるからである。 In the setting information 113 illustrated in FIG. 2, for example, the operation mode related to the configuration having the configuration number “3” (hereinafter referred to as “configuration 3” in the present application) is “maintenance”. That is, the setting information 113 indicates that the information processing apparatus 10 having the configuration 3 performs an operation with priority on maintainability. In the configuration 3, unlike the configurations 1 and 2, the first boot entry is set to “Network”. The reason is that in the configuration 3 in which maintainability is given priority, it is necessary to start an OS or the like incorporating a maintenance tool from the network.

また、設定情報１１３に含まれる登録フラグは、その構成に関する、図１に示す完全性保証情報の期待値１１５が、後述する取得処理１１２によって記憶部１１に登録済みであるか否かを示す項目である。本実施形態に係る登録フラグは、完全性保証情報の期待値１１５が記憶部１１に登録済みである場合に「１」を示すこととする。 Further, the registration flag included in the setting information 113 is an item indicating whether or not the expected value 115 of the integrity assurance information shown in FIG. 1 relating to the configuration has been registered in the storage unit 11 by the acquisition process 112 described later. It is. The registration flag according to the present embodiment indicates “1” when the expected value 115 of the integrity assurance information has been registered in the storage unit 11.

起動処理１１１は、記憶部１１に格納されている起動モードフラグが示す値により、情報処理装置１０の起動に関して異なる制御を行う。起動モードフラグ１１６は、情報処理装置１０の起動に関して、情報処理装置１０を通常通りに起動するモードであるのか、あるいは後述する通り、情報処理装置１０が採り得る構成ごとの完全性保証情報の期待値１１５を生成するモードであるのかを示すフラグである。本実施形態では、起動モードフラグ１１６が「０」である場合、情報処理装置１０を通常に立ち上げるモードであることを示し、起動モードフラグ１１６が「１」である場合、完全性保証情報の期待値１１５を生成するモードであることを示すこととする。そして、起動モードフラグ１１６は、例えば、管理端末装置２０を介してユーザによりその値が設定される。そしてユーザは、情報処理装置１０に関する完全性が保証されていることが事前に確認できており、かつ、情報処理装置１０に関する新たな構成が発生した場合などに、起動モードフラグ１１６を「１」に設定することとする。 The activation process 111 performs different control regarding activation of the information processing apparatus 10 according to the value indicated by the activation mode flag stored in the storage unit 11. The activation mode flag 116 is a mode in which the information processing apparatus 10 is normally activated with respect to the activation of the information processing apparatus 10 or, as will be described later, expectation of integrity assurance information for each configuration that the information processing apparatus 10 can take. It is a flag indicating whether or not the mode for generating the value 115 is set. In the present embodiment, when the activation mode flag 116 is “0”, it indicates that the information processing apparatus 10 is normally started. When the activation mode flag 116 is “1”, the integrity assurance information It is assumed that the mode for generating the expected value 115 is indicated. Then, the value of the activation mode flag 116 is set by the user via the management terminal device 20, for example. Then, the user can confirm in advance that the integrity related to the information processing apparatus 10 is guaranteed, and the activation mode flag 116 is set to “1” when a new configuration related to the information processing apparatus 10 occurs. Set to.

起動処理１１１は、起動モードフラグ１１６が示す値が「０」である場合、現在の設定情報１１４を用いて情報処理装置１０を通常通りに起動する（立ち上げる）。現在の設定情報１１４は、情報処理装置１０の複数の構成に関する設定情報を表す設定情報１１３のうち、情報処理装置１０の現在の運用構成を実現するために使用される設定情報を表し、例えば、設定情報１１３において、現在の運用構成を示すフラグを設けることによって示されるようにしてもよい。 When the value indicated by the activation mode flag 116 is “0”, the activation process 111 activates (starts up) the information processing apparatus 10 normally using the current setting information 114. The current setting information 114 represents setting information used for realizing the current operation configuration of the information processing apparatus 10 among the setting information 113 representing setting information regarding a plurality of configurations of the information processing apparatus 10, for example, The setting information 113 may be indicated by providing a flag indicating the current operation configuration.

起動処理１１１は、起動モードフラグ１１６が示す値が「１」である場合、設定情報１１３において、登録フラグが「０」である情報処理装置１０の構成に関して、設定情報１１３を用いて情報処理装置１０に対する設定を行ったのち情報処理装置１０を起動（リブート）するという一連の処理を、選択する構成を変更しながら繰り返し実行する
図１に示す取得処理１１２は、情報処理装置１０が起動する際に使用する起動制御情報１１７に基づいて生成される完全性保証情報を、情報処理装置１０から取得する。但し、起動制御情報１１７は、情報処理装置１０が起動する（ＰＯＳＴを実行する、ＯＳを起動する等）際に情報処理装置１０が参照するデータ（各設定値やプログラム等）を表す。起動制御情報１１７は、例えば、当該データが記憶部１１あるいは主記憶１３に格納されているアドレスを示すようにしてもよい。また、当該完全性保証情報は、ＴＰＭ１９によるExtend機能によって、例えばＴＰＭ１９が備えるＰＣＲに非特許文献１に示す通り格納される、起動制御情報１１７に基づくハッシュ値である。 When the value indicated by the activation mode flag 116 is “1”, the activation process 111 uses the setting information 113 to configure the information processing apparatus 10 regarding the configuration of the information processing apparatus 10 in which the registration flag is “0”. 1 is executed repeatedly while changing the configuration to be selected. The acquisition process 112 illustrated in FIG. 1 is performed when the information processing apparatus 10 is activated. The integrity assurance information generated based on the activation control information 117 used for the processing is acquired from the information processing apparatus 10. However, the activation control information 117 represents data (each set value, program, etc.) that the information processing apparatus 10 refers to when the information processing apparatus 10 is activated (executes POST, activates the OS, etc.). For example, the activation control information 117 may indicate an address at which the data is stored in the storage unit 11 or the main memory 13. Further, the integrity guarantee information is a hash value based on the activation control information 117 stored as shown in Non-Patent Document 1, for example, in the PCR provided in the TPM 19 by the Extend function of the TPM 19.

取得処理１１２は、起動モードフラグ１１６が「１」であることによって、上述した起動処理１１１が、選択する設定情報１１３が示す構成を変更しながら繰り返し情報処理装置１０を起動するのに応じて、完全性保証情報（ハッシュ値）を、情報処理装置１０から取得する。取得処理１１２は、この完全性保証情報を、設定情報１１３における選択した構成の構成番号と関連付けて、完全性保証情報の期待値１１５として、記憶部１１に格納する。即ち、完全性保証情報の期待値１１５は、完全性保証情報のホワイトリストである。 In the acquisition process 112, when the activation mode flag 116 is “1”, the activation process 111 described above repeatedly activates the information processing apparatus 10 while changing the configuration indicated by the setting information 113 to be selected. Integrity guarantee information (hash value) is acquired from the information processing apparatus 10. The acquisition process 112 stores the integrity guarantee information in the storage unit 11 as the expected value 115 of the integrity guarantee information in association with the configuration number of the selected configuration in the setting information 113. That is, the expected value 115 of the integrity guarantee information is a white list of integrity guarantee information.

図３は、本実施形態に係る完全性保証情報の期待値１１５の構成を概念的に例示する図である。図３おいてＰＣＲ０乃至ＰＣＲ７等は、非特許文献１に示すＰＣＲの構成に基づくこととする。 FIG. 3 is a diagram conceptually illustrating the configuration of the expected value 115 of the integrity assurance information according to the present embodiment. In FIG. 3, PCR0 to PCR7 and the like are based on the PCR configuration shown in Non-Patent Document 1.

図３において、例えばＰＣＲ０に関しては、完全性保証情報の期待値１１５は、構成１乃至構成３とも同じ値を示している。これは、ＰＣＲ０に関する完全性保証情報は、ＢＩＯＳ１１０に固有の値であることに基づく。尚、ＢＩＯＳ１１０自体が更新された場合、ＰＣＲ０に関する完全性保証情報の期待値１１５も更新される。 In FIG. 3, for example, with respect to PCR0, the expected value 115 of the integrity assurance information shows the same value in both configurations 1 to 3. This is based on the fact that the integrity guarantee information related to PCR0 is a value unique to the BIOS 110. Note that when the BIOS 110 itself is updated, the expected value 115 of the integrity assurance information related to PCR0 is also updated.

図３において、例えばＰＣＲ１に関しては、完全性保証情報の期待値１１５は、構成１乃至構成３において値が互いに異なる。これは、ＰＣＲ１に関する完全性保証情報は、情報処理装置１０の構成ごとに異なる値を採ることに基づく。 In FIG. 3, for example, for PCR1, the expected value 115 of the integrity assurance information is different from each other in the configurations 1 to 3. This is based on the fact that the integrity assurance information regarding PCR1 takes different values for each configuration of the information processing apparatus 10.

図３において、例えばＰＣＲ４、ＰＣＲ５に関しては、完全性保証情報の期待値１１５は、構成１及び構成２において値が同じであり、構成３において構成１及び構成２とは異なる値を示している。これは、ＰＣＲ４、ＰＣＲ５に関する完全性保証情報は、情報処理装置１０におけるブートプログラム、パーティション構成等が異なる値を採り、図２に例示する通り、構成３が第１ブートエントリに関して構成１及び構成２とは異なることに基づく。 In FIG. 3, for example, regarding PCR4 and PCR5, the expected value 115 of the integrity assurance information has the same value in the configuration 1 and the configuration 2, and shows a value different from the configuration 1 and the configuration 2 in the configuration 3. This is because the integrity assurance information related to PCR4 and PCR5 takes different values for the boot program, partition configuration, etc. in the information processing apparatus 10, and as illustrated in FIG. 2, configuration 3 relates to the first boot entry as configurations 1 and 2 Based on different things.

尚、本願では説明の便宜上、完全性保証情報の期待値１１５を図３に示す通り省略した態様で記載している。完全性保証情報の期待値１１５は、ＴＰＭ１９が用いるハッシュ値の生成アルゴリズム（ハッシュ関数）に基づく値である。ＴＰＭ１９がハッシュ値の生成アルゴリズムとして、例えばＳＨＡ（Secure Hash Algorithm）−１を用いる場合、各ＰＣＲに関する完全性保証情報は２０バイトのデータとなる。また、ＴＰＭ１９がハッシュ値の生成アルゴリズムとして、例えばＳＨＡ−２を用いる場合、各ＰＣＲに関する完全性保証情報は３２バイトのデータとなる。 In this application, for convenience of explanation, the expected value 115 of the integrity assurance information is described in a manner omitted as shown in FIG. The expected value 115 of the integrity guarantee information is a value based on a hash value generation algorithm (hash function) used by the TPM 19. When the TPM 19 uses, for example, SHA (Secure Hash Algorithm) -1 as a hash value generation algorithm, the integrity assurance information regarding each PCR is 20-byte data. Further, when the TPM 19 uses, for example, SHA-2 as a hash value generation algorithm, the integrity guarantee information regarding each PCR is 32-byte data.

取得処理１１２は、設定情報１１３における選択した構成の構成番号と関連付けて、完全性保証情報の期待値１１５として記憶部１１に格納したのち、設定情報１１３における当該構成に関する登録フラグを「０」から「１」に更新する。 The acquisition process 112 associates with the configuration number of the selected configuration in the setting information 113 and stores it in the storage unit 11 as the expected value 115 of the integrity assurance information, and then sets the registration flag for the configuration in the setting information 113 from “0”. Update to “1”.

図１に示す管理端末装置２０は、情報処理装置１０の運用ポリシーの変更、あるいは情報処理装置１０における障害の発生等によって、情報処理装置１０の構成を変更する場合に、ユーザが使用する例えばパーソナルコンピュータ等の端末装置である。管理端末装置２０は、また、情報処理装置１０が新たに起動する際に、取得処理１１２がＴＰＭ１９から読み出した完全性保証情報の計測値と、情報処理装置１０が起動した構成に関する完全性保証情報の期待値１１５とを比較する。 The management terminal device 20 shown in FIG. 1 is used by a user when the configuration of the information processing device 10 is changed due to a change in the operation policy of the information processing device 10 or the occurrence of a failure in the information processing device 10, for example. A terminal device such as a computer. When the information processing apparatus 10 is newly activated, the management terminal apparatus 20 also measures the integrity assurance information read from the TPM 19 by the acquisition process 112 and the integrity assurance information regarding the configuration in which the information processing apparatus 10 is activated. Is compared with the expected value 115.

図４は、本実施形態に係る完全性保証情報の期待値１１５と完全性保証情報の計測値とを比較した結果を例示する図である。図４に示す例では、ＰＣＲ１に関して、完全性保証情報の期待値１１５と完全性保証情報の計測値とが異なることを示している。この場合、管理端末装置２０は、起動制御情報１１７が不正に改ざんされたと判定し、その判定結果を、例えば管理端末装置２０の表示画面（図１に不図示）に表示することによってユーザに提示する。 FIG. 4 is a diagram illustrating a result of comparing the expected value 115 of the integrity assurance information and the measured value of the integrity assurance information according to the present embodiment. In the example illustrated in FIG. 4, regarding PCR1, the expected value 115 of the integrity assurance information and the measured value of the integrity assurance information are different. In this case, the management terminal device 20 determines that the activation control information 117 has been tampered with and presents the determination result to the user, for example, by displaying it on a display screen (not shown in FIG. 1) of the management terminal device 20. To do.

情報処理装置１０は、完全性保証情報の期待値１１５と完全性保証情報の計測値とを管理端末装置２０へ送信する際に、これらの情報が送信される過程において改ざんされないように、例えばこれらの情報を、ＴＰＭ１９を用いて暗号化して送信するようにしてもよい。この場合、管理端末装置２０は、暗号化されたこれらの情報を復号可能な復号キーを保持していることとする。 When the information processing apparatus 10 transmits the expected value 115 of the integrity assurance information and the measurement value of the integrity assurance information to the management terminal device 20, the information processing apparatus 10 may be configured so that the information is not tampered in the process of transmission. The information may be encrypted using the TPM 19 and transmitted. In this case, it is assumed that the management terminal device 20 holds a decryption key that can decrypt the encrypted information.

次に、図５Ａ及び図５Ｂのフローチャートを参照して、本実施形態に係る情報処理装置１０（完全性検証装置）の動作（処理）について詳細に説明する。 Next, the operation (processing) of the information processing apparatus 10 (integrity verification apparatus) according to the present embodiment will be described in detail with reference to the flowcharts of FIGS. 5A and 5B.

情報処理装置１０は、ＰＯＳＴを実行する（ステップＳ１０１）。取得処理１１２は、ＴＰＭ１９のＰＣＲに登録された完全性保証情報の計測値を取得する（ステップＳ１０２）。起動処理１１１は、起動モードフラグ１１６を確認する（ステップＳ１０３）。 The information processing apparatus 10 executes POST (step S101). The acquisition process 112 acquires the measurement value of the integrity assurance information registered in the PCR of the TPM 19 (step S102). The activation process 111 confirms the activation mode flag 116 (step S103).

起動モードフラグ１１６が「１」でない（即ち「０」である）場合（ステップＳ１０４でＮｏ）、起動処理１１１は、現在の設定情報１１４に基づき、情報処理装置１０を通常通りに起動し（ステップＳ１０５）、全体の処理は終了する。 When the activation mode flag 116 is not “1” (that is, “0”) (No in Step S104), the activation process 111 activates the information processing apparatus 10 as usual based on the current setting information 114 (Step S104). S105), the entire process ends.

起動モードフラグ１１６が「１」である場合（ステップＳ１０４でＹｅｓ）、起動処理１１１は、設定情報１１３において、登録フラグが「０」である構成を検索する（ステップＳ１０６）。登録フラグが「０」である構成が存在する場合（ステップＳ１０７でＹｅｓ）、起動処理１１１は、設定情報１１３において、登録フラグが「０」である構成のいずれかを選択する（ステップＳ１０８）。 When the activation mode flag 116 is “1” (Yes in step S104), the activation process 111 searches the setting information 113 for a configuration in which the registration flag is “0” (step S106). If there is a configuration with the registration flag “0” (Yes in step S107), the activation process 111 selects one of the configurations with the registration flag “0” in the setting information 113 (step S108).

起動処理１１１は、選択した構成に関する設定情報１１３に基づいて、情報処理装置１０に対する設定を行なう（ステップＳ１０９）。起動処理１１１は、情報処理装置１０をリブートすることにより、ＰＯＳＴを実行する（ステップＳ１１０）。取得処理１１２は、完全性保証情報の計測値を取得し、取得した完全性保証情報の計測値を、選択した構成に関する完全性保証情報の期待値１１５として、記憶部１１に格納する（ステップＳ１１１）。取得処理１１２は、設定情報１１３における選択した構成に関する登録フラグを「０」から「１」に更新し（ステップＳ１１２）、処理はステップＳ１０６へ戻る。 The activation process 111 performs setting for the information processing apparatus 10 based on the setting information 113 related to the selected configuration (step S109). The activation process 111 executes POST by rebooting the information processing apparatus 10 (step S110). The acquisition process 112 acquires the measurement value of the integrity assurance information, and stores the acquired measurement value of the integrity assurance information in the storage unit 11 as the expected value 115 of the integrity assurance information related to the selected configuration (step S111). ). The acquisition process 112 updates the registration flag related to the selected configuration in the setting information 113 from “0” to “1” (step S112), and the process returns to step S106.

登録フラグが「０」である構成が存在しない場合（ステップＳ１０７でＮｏ）、取得処理１１２は、更新した完全性保証情報の期待値１１５を、管理端末装置２０へ送信する（ステップＳ１１３）。取得処理１１２は、起動モードフラグ１１６を「１」から「０」に更新する（ステップＳ１１４）。 When there is no configuration whose registration flag is “0” (No in step S107), the acquisition process 112 transmits the updated expected value 115 of the integrity assurance information to the management terminal device 20 (step S113). The acquisition process 112 updates the activation mode flag 116 from “1” to “0” (step S114).

起動処理１１１は、現在の設定情報１１４に基づいて情報処理装置１０に対する設定を行なう（ステップＳ１１５）。起動処理１１１は、情報処理装置１０をリブートし（ステップＳ１１６）、処理はステップＳ１０１へ戻る。 The activation process 111 performs setting for the information processing apparatus 10 based on the current setting information 114 (step S115). The activation process 111 reboots the information processing apparatus 10 (step S116), and the process returns to step S101.

本実施形態に係る情報処理装置１０（完全性検証装置）は、情報処理装置の構成によって値が異なる、情報処理装置の完全性を検証する際に使用する完全性保証情報の期待値を、効率的に取得することができる。その理由は、情報処理装置１０は、情報処理装置１０に関する完全性が保証されているときに、設定情報１１３における選択する構成を変更しながら情報処理装置１０を起動するとともに、その際に取得した完全性保証情報の期待値を選択した構成と関連付けて記憶部１１に記憶することを、繰り返し実行するからである。 The information processing apparatus 10 (integrity verification apparatus) according to the present embodiment uses the expected value of the integrity assurance information used when verifying the integrity of the information processing apparatus, the value of which varies depending on the configuration of the information processing apparatus, Can be obtained. The reason is that the information processing apparatus 10 starts up the information processing apparatus 10 while changing the configuration to be selected in the setting information 113 when the integrity of the information processing apparatus 10 is guaranteed, and the information acquired at that time This is because it is repeatedly executed to store the expected value of the integrity guarantee information in the storage unit 11 in association with the selected configuration.

以下に、本実施形態に係る情報処理装置１０によって実現される効果について、詳細に説明する。 Below, the effect implement | achieved by the information processing apparatus 10 which concerns on this embodiment is demonstrated in detail.

例えばＴＰＭ用いたTrusted Bootを行なう情報処理装置において、運用開始後にファームウェアの更新が行われたり、あるいは装置構成が変更されたりすることによって、ＴＰＭのＰＣＲに登録される完全性保証情報（ハッシュ値）が変わる場合がある。このような装置構成やファームウェアに関する変更等が行なわれた場合、ユーザは、期待値となるＰＣＲに登録される完全性保証情報を計測する必要がある。しかしながら、多様な構成を採り得る情報処理装置において、全ての構成に関してＰＣＲに登録される完全性保証情報の期待値をユーザが計測することは、情報処理装置の運用に関する効率性（コスト）の観点から、現実的でないという問題がある。 For example, in an information processing apparatus that performs Trusted Boot using TPM, the integrity assurance information (hash value) registered in the PCR of the TPM when the firmware is updated after the start of operation or the apparatus configuration is changed. May change. When such a change regarding the device configuration or firmware is made, the user needs to measure the integrity assurance information registered in the PCR that is the expected value. However, in an information processing apparatus that can take various configurations, the fact that the user measures the expected value of the integrity assurance information registered in the PCR with respect to all configurations is a viewpoint of efficiency (cost) related to the operation of the information processing apparatus. Therefore, there is a problem that it is not realistic.

このような問題に対して、本実施形態に係る情報処理装置１０（完全性検証装置）は、記憶部１１を備えるとともに、起動処理１１１と取得処理１１２とを実行することによって、例えば図１乃至図５（図５Ａ及び５Ｂ）を参照して上述した通り動作する。即ち、記憶部１１は、情報処理装置１０が採り得る構成ごとに、当該構成を実現する、情報処理装置１０に対する設定情報１１３を格納している。起動処理１１１は、情報処理装置１０に関する完全性が保証されているときに、設定情報１１３を用いて情報処理装置１０に対する設定を行ったのち、情報処理装置１０を起動することを、選択する設定情報１１３における情報処理装置１０の構成を変更しながら個々の設定情報に関して実行する。取得処理１１２は、情報処理装置１０に関する完全性が保証されているときに、情報処理装置１０が起動する際に使用する起動制御情報１１７に基づいて生成される完全性保証情報の期待値１１５を情報処理装置１０から取得する。そして、取得処理１１２は、取得した完全性保証情報の期待値１１５を当該構成と関連付けて記憶部１１に格納することを、起動処理１１１によって情報処理装置１０が起動される度に実行する。 In response to such a problem, the information processing apparatus 10 (integrity verification apparatus) according to the present embodiment includes the storage unit 11 and executes a startup process 111 and an acquisition process 112, for example, FIG. It operates as described above with reference to FIG. 5 (FIGS. 5A and 5B). That is, the storage unit 11 stores setting information 113 for the information processing apparatus 10 that realizes the configuration for each configuration that the information processing apparatus 10 can take. The activation process 111 is a setting for selecting activation of the information processing apparatus 10 after setting the information processing apparatus 10 using the setting information 113 when integrity regarding the information processing apparatus 10 is guaranteed. The information 113 is executed for each piece of setting information while changing the configuration of the information processing apparatus 10. The acquisition process 112 obtains the expected value 115 of the integrity assurance information generated based on the activation control information 117 used when the information processing apparatus 10 is activated when the integrity of the information processing apparatus 10 is assured. Obtained from the information processing apparatus 10. Then, the acquisition process 112 executes the process of storing the expected value 115 of the acquired integrity assurance information in the storage unit 11 in association with the configuration every time the information processing apparatus 10 is activated by the activation process 111.

即ち、本実施形態に係る情報処理装置１０（完全性検証装置）は、多様な構成を採り得る情報処理装置において、採り得る構成に関してＰＣＲに登録される完全性保証情報の期待値を、ユーザの手作業による計測ではなく自動で取得する。これにより、本実施形態に係る情報処理装置１０は、情報処理装置の構成によって値が異なる、情報処理装置の完全性を検証する際に使用する完全性保証情報の期待値を、効率的に取得することができる。 That is, in the information processing apparatus 10 (integrity verification apparatus) according to the present embodiment, in the information processing apparatus that can take various configurations, the expected value of the integrity assurance information registered in the PCR with respect to the possible configurations is determined by It is acquired automatically rather than by manual measurement. Thereby, the information processing apparatus 10 according to the present embodiment efficiently acquires the expected value of the integrity assurance information used when verifying the integrity of the information processing apparatus, the value of which varies depending on the configuration of the information processing apparatus. can do.

また、本実施形態に係る情報処理装置１０は、上述した完全性保証情報と同等な情報を取得することを実現する、ＴＰＭとは異なる構成を、ＴＰＭ１９の代わりに備えるようにしてもよい。 In addition, the information processing apparatus 10 according to the present embodiment may include a configuration different from the TPM that realizes obtaining information equivalent to the integrity guarantee information described above instead of the TPM 19.

また、本実施形態に係る起動処理１１１及び取得処理１１２が実現する機能は、ＣＰＵ１２がＢＩＯＳ１１０を実行する構成以外の構成によっても実現可能である。情報処理装置１０は、例えば、起動処理１１１及び取得処理１１２と同等の機能を実現するハードウェアである起動部及び取得部を備えてもよい。 Further, the functions realized by the startup process 111 and the acquisition process 112 according to the present embodiment can be realized by a configuration other than the configuration in which the CPU 12 executes the BIOS 110. The information processing apparatus 10 may include, for example, an activation unit and an acquisition unit that are hardware that realizes functions equivalent to the activation process 111 and the acquisition process 112.

また、本実施形態に係る完全性検証システム１では、情報処理装置１０が、自装置の完全性を検証する完全性検証装置としての機能を有するが、完全性検証システム１は、情報処理装置１０の完全性を検証する完全性検証装置を、情報処理装置１０とは異なる装置として備えるようにしてもよい。 In the integrity verification system 1 according to the present embodiment, the information processing apparatus 10 has a function as an integrity verification apparatus that verifies the integrity of its own apparatus. An integrity verification device that verifies the integrity of the information processing device 10 may be provided as a device different from the information processing device 10.

また、本実施形態に係る起動処理１１１及び取得処理１１２を実現する、ＢＩＯＳ１１０等のファームウェア（コンピュータプログラム）の供給方法は、現在では一般的な手順を採用することができる。その手順としては、例えば、ＣＤ−ＲＯＭ等の各種記録媒体１６０を介して情報処理装置内にインストールする方法や、インターネット等の通信回線を介して外部よりダウンロードする方法等がある。そして、このような場合において、本願発明は、係るコンピュータプログラムを構成するコード或いは、そのコードが格納された記録媒体１６０によって構成されると捉えることができる。 In addition, as a method for supplying firmware (computer program) such as the BIOS 110 that implements the startup process 111 and the acquisition process 112 according to the present embodiment, a general procedure can be adopted at present. The procedure includes, for example, a method of installing in an information processing apparatus via various recording media 160 such as a CD-ROM, and a method of downloading from the outside via a communication line such as the Internet. In such a case, it can be understood that the present invention is configured by a code constituting the computer program or a recording medium 160 in which the code is stored.

＜第１の実施形態の変形例＞
図６は、本願発明の第１の実施形態の変形例に係る完全性検証システム１Ａの構成を概念的に示すブロック図である。尚、本変形例において、上述した第１の実施形態と機能あるいは内容が同等である構成に関しては、第１の実施形態と同じ番号を付与することによって、その詳細な説明を省略する。 <Modification of First Embodiment>
FIG. 6 is a block diagram conceptually showing the structure of an integrity verification system 1A according to a modification of the first embodiment of the present invention. In addition, in this modification, about the structure in which a function or content is equivalent to 1st Embodiment mentioned above, the detailed description is abbreviate | omitted by providing the same number as 1st Embodiment.

完全性検証システム１Ａは、大別して、情報処理装置３０、管理端末装置２０、及び、ＢＭＣ（Baseboard Management Controller）４０を含んでいる。ＢＭＣ４０は、情報処理装置３０に関する、構成管理や障害処理等を含むシステム管理全般を制御するデバイスである。管理端末装置２０は、ＢＭＣ４０と通信可能に接続されており、ユーザが管理端末装置２０を使用して操作入力した情報は、ＢＭＣ４０を介して情報処理装置３０へ入力される。また、ユーザは、管理端末装置２０を使用してＢＭＣ４０へアクセスすることによって、情報処理装置３０のシステム管理に関する情報を確認可能である。本変形例では、情報処理装置３０とＢＭＣ４０とによって、完全性検証装置１０Ａを構成すると見なすことができる。 The integrity verification system 1 </ b> A roughly includes an information processing device 30, a management terminal device 20, and a BMC (Baseboard Management Controller) 40. The BMC 40 is a device that controls overall system management related to the information processing apparatus 30 including configuration management and failure processing. The management terminal device 20 is communicably connected to the BMC 40, and information input by the user using the management terminal device 20 is input to the information processing device 30 via the BMC 40. Further, the user can confirm information related to system management of the information processing apparatus 30 by accessing the BMC 40 using the management terminal apparatus 20. In this modification, it can be considered that the information processing apparatus 30 and the BMC 40 constitute the integrity verification apparatus 10A.

本変形例に係る情報処理装置３０は、記憶部３１を除く構成に関しては、上述した第１の実施形態に係る情報処理装置１０と同等の構成を備える。記憶部３１は、ＢＩＯＳ３１０、及び、起動制御情報３１７を格納した、不揮発性のフラッシュメモリである。本変形例に係る起動制御情報３１７は、上述した第１の実施形態に係る起動制御情報１１７に相当する。 The information processing apparatus 30 according to the present modification has a configuration equivalent to that of the information processing apparatus 10 according to the first embodiment described above with respect to the configuration excluding the storage unit 31. The storage unit 31 is a nonvolatile flash memory that stores the BIOS 310 and the activation control information 317. The activation control information 317 according to this modification corresponds to the activation control information 117 according to the first embodiment described above.

ＢＭＣ４０は、記憶部４１を備えている。本変形例では、情報処理装置３０が実行するＯＳによる記憶部４１に対するアクセスは不能であることとする。記憶部４１は、記憶部４１は、現在のＢＩＯＳ設定情報４１１、現在のＢＭＣ設定情報４１２、設定情報４１３、完全性保証情報の期待値４１５、起動モードフラグ１１６を格納した、不揮発性のフラッシュメモリである。本変形例に係る現在のＢＩＯＳ設定情報４１１、及び、現在のＢＭＣ設定情報４１２は、上述した第１の実施形態に係る現在の設定情報１１４に相当する。即ち、本変形例に係る記憶部４１は、第１の実施形態に係る現在の設定情報１１４に相当する情報を、ＢＩＯＳ３１０に関する設定情報を表す現在のＢＩＯＳ設定情報４１１と、ＢＭＣ４０に関する設定情報を表す現在のＢＭＣ設定情報４１２として格納している。本変形例に係る完全性保証情報の期待値４１５は、上述した第１の実施形態に係る完全性保証情報の期待値１１５に相当する。 The BMC 40 includes a storage unit 41. In this modification, it is assumed that access to the storage unit 41 by the OS executed by the information processing apparatus 30 is impossible. The storage unit 41 is a non-volatile flash memory that stores current BIOS setting information 411, current BMC setting information 412, setting information 413, integrity guarantee information expected value 415, and boot mode flag 116. It is. The current BIOS setting information 411 and the current BMC setting information 412 according to this modification correspond to the current setting information 114 according to the first embodiment described above. That is, the storage unit 41 according to the present modification represents information corresponding to the current setting information 114 according to the first embodiment, current BIOS setting information 411 indicating setting information regarding the BIOS 310, and setting information regarding the BMC 40. The current BMC setting information 412 is stored. The expected value 415 of the integrity assurance information according to this modification corresponds to the expected value 115 of the integrity assurance information according to the first embodiment described above.

本変形例に係る設定情報４１３は、上述した第１の実施形態に係る設定情報１１３に相当する。図７は、本変形例に係る設定情報４１３の構成を概念的に例示する図である。図７に例示する通り、設定情報４１３は、図２に例示する第１の実施形態に係る設定情報１１３に加えて、ＣＰＵ構成という項目を含んでいる。このＣＰＵ構成は、ＣＰＵ１２に障害が発生したことによるＣＰＵの縮退構成等を表す項目であり、ＣＰＵの縮退制御はＢＭＣ４０が備える機能である。尚、図６には説明の便宜上、ＣＰＵに関してはＣＰＵ１２のみを記載しているが、情報処理装置３０は、ＣＰＵ１２に加えて図示しないＣＰＵも備えていることとする。 The setting information 413 according to this modification corresponds to the setting information 113 according to the first embodiment described above. FIG. 7 is a diagram conceptually illustrating the configuration of the setting information 413 according to this modification. As illustrated in FIG. 7, the setting information 413 includes an item “CPU configuration” in addition to the setting information 113 according to the first embodiment illustrated in FIG. 2. This CPU configuration is an item representing a CPU degeneration configuration or the like due to a failure in the CPU 12, and CPU degeneration control is a function provided in the BMC 40. For convenience of explanation, FIG. 6 shows only the CPU 12 for the CPU, but the information processing apparatus 30 includes a CPU (not shown) in addition to the CPU 12.

図６に示す本変形例に係る起動処理３１１は、第１の実施形態に係る起動処理１１１と同等の処理を行い、本変形例に係る取得処理３１２は、第１の実施形態に係る取得処理１１２と同等の処理を行う。但し、起動処理３１１及び取得処理３１２は、ＣＰＵ１２がＢＩＯＳ３１０を実行することと、ＢＭＣ４０が備える機能とによって実現される。尚、本変形例に係るＢＩＯＳ３１０は、ＢＭＣ４０からの指示に基づいて情報処理装置３０に対する設定を行なう機能、情報処理装置３０の起動やシャットダウンを行なう機能、及び、ＴＰＭ１９によるExtend機能によって完全性保証情報（ハッシュ値）を取得する機能を備えることとする。以上のことから、起動処理３１１及び取得処理３１２は、ＢＭＣ４０における記憶部４１に格納されている上述した情報を使用して、第１の実施形態に係る起動処理１１１及び取得処理１１２と同等の処理を行うことが可能である。 The startup process 311 according to this modification shown in FIG. 6 performs the same process as the startup process 111 according to the first embodiment, and the acquisition process 312 according to this modification is the acquisition process according to the first embodiment. Processing equivalent to 112 is performed. However, the startup process 311 and the acquisition process 312 are realized by the CPU 12 executing the BIOS 310 and the functions of the BMC 40. Note that the BIOS 310 according to this modification has integrity assurance information by a function for setting the information processing apparatus 30 based on an instruction from the BMC 40, a function for starting and shutting down the information processing apparatus 30, and an Extend function by the TPM 19. A function of acquiring (hash value) is provided. From the above, the activation process 311 and the acquisition process 312 are processes equivalent to the activation process 111 and the acquisition process 112 according to the first embodiment using the above-described information stored in the storage unit 41 in the BMC 40. Can be done.

本変形例に係る完全性検証装置１０Ａは、情報処理装置の構成によって値が異なる、情報処理装置の完全性を検証する際に使用する完全性保証情報の期待値を、効率的に取得することができる。その理由は、第１の実施形態において説明した通りである。 The integrity verification apparatus 10A according to the present modification efficiently obtains the expected value of the integrity assurance information used when verifying the integrity of the information processing apparatus, the value of which varies depending on the configuration of the information processing apparatus. Can do. The reason is as described in the first embodiment.

また、本変形例に係る完全性検証装置１０Ａは、完全性を検証するために使用する設定情報４１３や完全性保証情報の期待値４１５等の情報を、情報処理装置３０が実行するＯＳによるアクセスが不能である、ＢＭＣ４０における記憶部４１に格納して管理する。ＯＳのような通信ネットワークを介して外部からアクセス可能であって、複数のプログラム（アプリケーション）が動作する環境は、一般的に、不正アクセスによる攻撃を受けやすいと考えられる。本変形例に係る完全性検証装置１０Ａは、上述した通り、完全性を検証するために使用する情報を、ＯＳから独立した環境において管理するので、より安全性が高いシステムを構築することができる。 In addition, the integrity verification apparatus 10A according to the present modification accesses information such as the setting information 413 used for verifying the integrity and the expected value 415 of the integrity assurance information by the OS executed by the information processing apparatus 30. Is stored in the storage unit 41 of the BMC 40 and managed. An environment in which a plurality of programs (applications) can be accessed from the outside via a communication network such as an OS is generally considered to be easily attacked by unauthorized access. As described above, the integrity verification apparatus 10A according to the present modification manages information used for verifying integrity in an environment independent of the OS, so that a more secure system can be constructed. .

＜第２の実施形態＞
図８は、本願発明の第２の実施形態に係る完全性検証装置５０の構成を概念的に示すブロック図である。 <Second Embodiment>
FIG. 8 is a block diagram conceptually showing the structure of the integrity verification apparatus 50 according to the second embodiment of the present invention.

本実施形態に係る完全性検証装置５０は、記憶部５１、起動部５２、及び、取得部５３を備えている。 The integrity verification apparatus 50 according to the present embodiment includes a storage unit 51, an activation unit 52, and an acquisition unit 53.

記憶部５１には、情報処理装置６０が採り得る構成ごとに、当該構成を実現する、情報処理装置６０に対する設定情報５１１が格納されている。 For each configuration that the information processing device 60 can take, the storage unit 51 stores setting information 511 for the information processing device 60 that realizes the configuration.

起動部５２は、情報処理装置６０に関する完全性が保証されているときに、設定情報５１１を用いて情報処理装置６０に対する設定を行ったのち、情報処理装置６０を起動することを、設定情報５１１が示す複数の設定情報のうち選択する設定情報を変更しながら個々の設定情報に関して実行する。 When the integrity related to the information processing apparatus 60 is guaranteed, the activation unit 52 performs setting for the information processing apparatus 60 using the setting information 511 and then activates the information processing apparatus 60. This is executed for each piece of setting information while changing the setting information to be selected from among the plurality of setting information indicated by.

取得部５３は、情報処理装置６０に関する完全性が保証されているときに、情報処理装置６０が起動する際に使用する起動制御情報６０１に基づいて生成される完全性保証情報の期待値５１２を情報処理装置６０から取得する。そして取得部５３は、取得した完全性保証情報の期待値５１２を当該構成と関連付けて記憶部５１に格納することを、起動部５２によって情報処理装置６０が起動される度に実行する。 The acquisition unit 53 obtains the expected value 512 of the integrity assurance information generated based on the activation control information 601 used when the information processing device 60 is activated when the integrity of the information processing device 60 is guaranteed. Obtained from the information processing apparatus 60. Then, the acquisition unit 53 stores the expected value 512 of the acquired integrity assurance information in the storage unit 51 in association with the configuration every time the information processing device 60 is activated by the activation unit 52.

本実施形態に係る完全性検証装置５０は、情報処理装置６０の構成によって値が異なる、情報処理装置６０の完全性を検証する際に使用する完全性保証情報の期待値を、効率的に取得することができる。その理由は、完全性検証装置５０は、情報処理装置６０に関する完全性が保証されているときに、設定情報５１１を変更しながら情報処理装置６０を起動するとともに、その際に取得した完全性保証情報の期待値５１２を、選択した設定情報５１１に関する構成と関連付けて記憶部５１に記憶することを、繰り返し実行するからである。 The integrity verification apparatus 50 according to the present embodiment efficiently obtains the expected value of the integrity assurance information used when verifying the integrity of the information processing apparatus 60, the value of which varies depending on the configuration of the information processing apparatus 60. can do. The reason is that the integrity verification device 50 starts the information processing device 60 while changing the setting information 511 when the integrity of the information processing device 60 is guaranteed, and the integrity assurance acquired at that time This is because it repeatedly executes storing the expected value 512 of information in the storage unit 51 in association with the configuration related to the selected setting information 511.

以上、上述した実施形態を模範的な例として本願発明を説明した。しかしながら、本願発明は、上述した実施形態には限定されない。即ち、本願発明は、本願発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。 The present invention has been described above using the above-described embodiment as an exemplary example. However, the present invention is not limited to the embodiment described above. That is, the present invention can apply various modes that can be understood by those skilled in the art within the scope of the present invention.

１完全性検証システム
１０情報処理装置
１０Ａ完全性検証装置
１１記憶部
１１０ＢＩＯＳ
１１１起動処理
１１２取得処理
１１３設定情報
１１４現在の設定情報
１１５完全性保証情報の期待値
１１６起動モードフラグ
１１７起動制御情報
１２ＣＰＵ
１３主記憶
１４ＩＯコントローラ
１５ハードディスク
１６ＣＤ／ＤＶＤドライブ
１６０記録媒体
１７入出力装置
１８拡張機器
１９ＴＰＭ
２０管理端末装置
３０情報処理装置
３１０ＢＩＯＳ
３１１起動処理
３１２取得処理
３１７起動制御情報
４０ＢＭＣ
４１記憶部
４１１現在のＢＩＯＳ設定情報
４１２現在のＢＭＣ設定情報
４１３設定情報
４１５完全性保証情報の期待値
５０完全性検証装置
５１記憶部
５１１設定情報
５１２完全性保証情報の期待値
５２起動部
５３取得部
６０情報処理装置
６０１起動制御情報 DESCRIPTION OF SYMBOLS 1 Integrity verification system 10 Information processing apparatus 10A Integrity verification apparatus 11 Memory | storage part 110 BIOS
111 Startup Process 112 Acquisition Process 113 Setting Information 114 Current Setting Information 115 Expected Value of Integrity Assurance Information 116 Startup Mode Flag 117 Startup Control Information 12 CPU
13 Main Memory 14 IO Controller 15 Hard Disk 16 CD / DVD Drive 160 Recording Medium 17 Input / Output Device 18 Expansion Device 19 TPM
20 Management terminal device 30 Information processing device 310 BIOS
311 Startup processing 312 Acquisition processing 317 Startup control information 40 BMC
41 storage unit 411 current BIOS setting information 412 current BMC setting information 413 setting information 415 expected value of integrity assurance information 50 integrity verification device 51 storage unit 511 setting information 512 expected value of integrity assurance information 52 startup unit 53 acquisition Unit 60 Information processing device 601 Activation control information

Claims

For each configuration that can be adopted by the information processing device, a storage unit that realizes the configuration and stores setting information for the information processing device;
When completeness of the information processing apparatus is guaranteed, after setting the information processing apparatus using the setting information, the information processing apparatus is activated and selected from among the plurality of setting information Starting means for executing the individual setting information while changing the setting information to be performed;
When the integrity related to the information processing apparatus is guaranteed, an expected value of the integrity assurance information generated based on activation control information used when the information processing apparatus is activated is acquired from the information processing apparatus. Storing the expected value of the acquired integrity assurance information in association with the configuration in the storage unit, the acquisition unit executing the information processing apparatus every time the information processing device is started by the starting unit;
An integrity verification device comprising:

The integrity assurance information represents a hash value generated based on the activation control information registered in a TPM (Trusted Platform Module) included in the information processing apparatus.
The integrity verification apparatus according to claim 1.

The storage means stores start mode information indicating that integrity of the information processing apparatus is guaranteed;
The activation unit performs setting for the information processing apparatus using the setting information when the activation mode information indicates that integrity regarding the information processing apparatus is guaranteed, Activating the information processing apparatus with respect to each of the setting information while changing setting information to be selected from among the plurality of setting information;
The integrity verification apparatus according to claim 1 or 2.

The activation unit and the acquisition unit are realized by the information processing apparatus that executes a basic input output system (BIOS).
The integrity verification apparatus according to any one of claims 1 to 3.

The activation unit and the acquisition unit are realized by the information processing apparatus that executes BIOS and a BMC (Baseboard Management Controller).
The integrity verification apparatus according to any one of claims 1 to 3.

The storage means is provided in a BMC that cannot be accessed by an OS (Operating System) executed by the information processing apparatus.
The integrity verification apparatus according to claim 5.

The configuration that the information processing apparatus can take is at least one of a configuration that prioritizes performance regarding the information processing apparatus, a configuration that prioritizes power saving regarding the information processing apparatus, and a configuration that prioritizes maintainability regarding the information processing apparatus. including,
The integrity verification apparatus according to any one of claims 1 to 6.

An integrity verification apparatus according to any one of claims 1 to 7,
A management terminal device communicably connected to the integrity verification device;
Have
The acquisition means acquires the measurement value of the integrity assurance information when the information processing apparatus set to the specific configuration is activated,
The management terminal device compares the measurement value of the integrity assurance information obtained from the integrity verification device with the expected value of the integrity assurance information associated with the specific configuration, and performs the measurement. If the value does not match the expected value, it is determined that the activation control information has been tampered with.
Having an integrity verification system.

For each configuration that can be adopted by the first information processing device, when setting information for the first information processing device that realizes the configuration is stored in the storage unit,
By the second information processing device
Activating the first information processing apparatus after setting the first information processing apparatus using the setting information when integrity regarding the first information processing apparatus is guaranteed. , Executing each of the setting information while changing the setting information to be selected from among the plurality of setting information,
When the integrity related to the first information processing device is guaranteed, the expected value of the integrity assurance information generated based on the activation control information used when the first information processing device is activated is Acquired from the first information processing apparatus, and stores the acquired expected value of the integrity assurance information in the storage means in association with the configuration every time the first information processing apparatus is activated ,
Integrity verification method.

For each configuration that can be adopted by the information processing device, a computer that can realize the configuration and that can access a storage unit that stores setting information for the information processing device.
When completeness of the information processing apparatus is guaranteed, after setting the information processing apparatus using the setting information, the information processing apparatus is activated and selected from among the plurality of setting information Starting processing to be executed for each of the setting information while changing the setting information to be performed;
When the integrity related to the information processing apparatus is guaranteed, an expected value of the integrity assurance information generated based on activation control information used when the information processing apparatus is activated is acquired from the information processing apparatus. Storing the expected value of the acquired integrity assurance information in the storage means in association with the configuration, an acquisition process that is executed each time the information processing apparatus is activated by the activation process;
An integrity verification program for running