セキュアな分割

专利摘要:
セキュアな処理環境及び非セキュアな処理環境を含むブランド保護特徴／タガントリーダ及び／又はライタ機器を提供し、この機器が、所定の基準に基づいてセキュアな環境と非セキュアな環境との間で分けられた処理を実行する。
公开号:JP2011511355A
申请号:JP2010544781
申请日:2009-01-30
公开日:2011-04-07
发明作者:ピーター ケリー；スティーブン マクスパデン；マーク ワイルズ
申请人:アイティーアイ スコットランド リミテッド；
IPC主号:G06F21-14

专利说明:

[0001] 本発明は、ブランド保護管理システム（ＢＰＭＳ）においてセキュリティを実行するための方法及び装置に関する。具体的には、本発明は、セキュアアプリケーションモジュールなどのセキュアな処理環境を統合したセキュリティ機能リーダ／ライタに関する。]
背景技術

[0002] ＰＣＴ／ＧＢ２００７／００１２４８はブランド保護管理システムについて記載しており、該特許の内容は引用により本明細書に組み入れられる。同文献では、認証情報を含む機械読み取り可能なタグが商品に備えられる。このタグからタグリーダを使用して認証情報を読み取り、記憶済みの認証データと比較することにより、商品の信頼性があるかどうかを判断する。]
[0003] ＰＣＴ／ＧＢ２００７／００１２４８
ＰＣＴ／ＧＢ２００７／００２９６７
ＰＣＴ／ＧＢ２００７／００２４９６]
先行技術

[0004] ＩＳＯ／ＩＥＣＩＳＯ ７８１６−１
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−２
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−３
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−４
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−８
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−１１]
発明が解決しようとする課題

[0005] 認証処理のセキュリティは必須である。]
課題を解決するための手段

[0006] 本発明の第１の態様によれば、ブランド保護管理システムで使用するためのブランド保護／タガントリーダ及び／又はライタ機器が提供され、この機器は、セキュアな処理環境及び非セキュアな処理環境を有し、定められた手順に従ってセキュアな環境と非セキュアな環境との間で動作を分ける。この動作は、ブランド保護特徴／タガントの認証、及びブランド保護特徴／タガントの発行又は登録の少なくとも一方とすることができる。]
[0007] セキュアな機能の一部を、セキュアアプリケーションモジュール（ＳＡＭ）などのセキュアな処理環境に任せることにより、重要なステップを保護できると同時に、．ＮＥＴ又はＪａｖａ（登録商標） Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅにより提供されるような豊富でオープンなソフトウェア環境で処理の大部分を実行することができる。]
[0008] 機器は、セキュリティ特徴を読み取るためのリーダ、及び／又はセキュリティ特徴を書き込むためのライタとすることができる。動作は、例えば、機械読み取り可能なタグなどの読み取るセキュリティ特徴が信頼できるものであるかどうかをチェックすることであってもよい。これに加えて、或いはこれとは別に、動作は、機械読み取り可能なタグなどのセキュリティ特徴の発行を含むことができる。]
[0009] 機器は、１又はそれ以上の種類の機械読み取り可能なタガント／ブランド保護特徴を読み取ることができる。このようなタガントは、例えば、一次元又は二次元バーコード、ＲＦＩＤタグ、蛍光タグ、又はその他のあらゆる適当なタガントタイプを含むことができる。]
[0010] ほとんどの場合、機械読み取り可能なブランド保護特徴／タガントは、認証する物品に物理的に取り付けられ、又は別様に組み込まれる。]
[0011] 場合によっては、ブランド保護特徴／タガントは、リーダ手段が検出し／読み取るように設計された目に見える又は隠れた特徴などの物品自体の固有の特徴を含むことができ、ブランド保護特徴／タガント機器はこれらを読み取るように構成される。]
[0012] 明確にするために説明すれば、当然ながら、本明細書で使用する「ブランド保護特徴」又は「タガント」という用語は、認証する物品に取り付けられた物理的なタグ又はマーカに限定されることを意図するものではなく、物品自体に固有の目に見える又は隠れた特徴も含むことを意図するものである。]
[0013] 以下の図面を参照しながら本発明を単に一例として説明する。]
図面の簡単な説明

[0014] ブランド保護管理システムのブロック図である。
ブランド保護管理システムと共に使用するための認証機器の概略図である。
ブランド保護管理システムと共に使用するための代替の認証機器の概略図である。
図２の機器を使用してセキュリティタグを初期化するための処理の概略図である。
図２のシステムで使用するためのワークフロースプリッタの概略図である。
ワークフローを分けるための方法を示す図である。
ワークフロー例を示す図である。] 図２
実施例

[0015] 図１は、ＰＣＴ／ＧＢ２００７／００１２４８の教示によるブランド保護管理システムを示している。このシステムは、製品流通チェーン内の様々な場所に設けられる、ポイント・オブ・レジストレーション（ＰｏＲ）ブランド保護特徴リーダ／ライタ装置及びポイント・オブ・オーセンティケーション（ＰｏＡ）リーダ装置と通信することができるブランド保護サーバを有する。リーダ装置は、認証する物品上のブランド保護特徴／タガントを読み取るためのブランド保護特徴リーダを含む。このようなタガントは、例えば、一次元又は二次元バーコード、ＲＦＩＤタグ、蛍光タグ、又は他のあらゆる適当なタガントタイプを含むことができる。リーダ装置は、ユーザが提供するユーザ識別情報を認証目的で読み取るための、例えばスマートカードリーダ又は生体認証リーダなどのユーザ認証装置を含むことができる。場合によっては、リーダ装置が書き込み能力を有することもできることにより、これらの装置がタガントなどのブランド保護特徴をラベルの形で生成し、同時にこれらを読み取ることができるようになる。例えば、ＰｏＲ装置は、以前に認証されていない新しい物品に適用されるブランド保護特徴を開始点又は登録点で生成することができる。] 図１
[0016] ＰｏＲ及びＰｏＡ装置は、固定装置の場合にはＬＡＮを介したＴＣＰ／ＩＰ、又は携帯装置又はＧＳＭの場合にはＷｉＦｉなどの、これらに最も適したあらゆる標準的通信方法を使用してブランド保護管理サーバシステムと通信する。１又はそれ以上のＰｏＲリーダ／ライタ装置を、ＷｉＦｉ又はイーサネット（Ｅｔｈｅｒｎｅｔ）（登録商標）などのローカルネットワーキングを使用してクライアントのパーソナルコンピュータ（ＰＣ）などの単一のポイント・オブ・レジストレーション（ＰｏＲ）制御装置にリンク／提供することができる。同様に、複数のＰｏＡ装置を同様の方法でクライアントのパーソナルコンピュータ（ＰＣ）などのメインＰｏＡ装置によりリンク／提供することができる。以下の説明では、「ＰｏＡ／ＰｏＲ機器」への言及は、ＰｏＡ装置、又はＰｏＲ装置、或いはＰｏＲ及びＰｏＡ装置を組み合わせた単一の機器を意味するということを理解されたい。]
[0017] ブランド保護サーバ側には、プラットフォーム全体にわたってセキュリティを確実にするための信用管理システム（ＴＭＳ）、及びブランド管理データを分析して記憶し、ブランドに関連する特徴又は機能を制御するためのブランド保護管理システムが含まれる。また、サーバ側には、システム内の個々のＰｏＲ及びＰｏＡ機器を制御するポリシを管理するための機器構成管理システム（ＩＣＭＳ）が提供される。ポリシは、例えば、読み取るブランド保護特徴の種類、特定のブランド保護特徴を認証するために使用すべき処理の種類、リーダの使用を認められたユーザのグレード又は役割、リーダを操作するユーザが取るべきステップであるワークフローを特定する制御情報又は構成情報、及びその他のあらゆるブランド保護特徴リーダ情報を含む。ワークフローの詳細の説明はＰＣＴ／ＧＢ２００７／００２９６７で提供されており、該特許はその内容が引用により本明細書に組み入れられる。ＩＣＭＳには、通常、ハードウェアセキュリティモジュール（ＨＳＭ）又はセキュアアクセス及び認証モジュール（ＳＡＡＭ）上に実装される信用管理システムの構成要素、又はその他の何らかの改ざん防止セキュリティ構成要素が含まれる。データは、中央ＴＭＳからＩＣＭＳを経由して現場の機器へ流れる。ローカルセキュリティを確実にするために、個々のＰｏＲ及びＰｏＡ装置は独自の信用管理システム構成要素を含む。]
[0018] 図２は、ブランド保護管理システム（ＢＰＭＳ）と共に使用するための機器５を示している。機器５は、ＢＰＭＳに代わって商品又はリソース上のセキュアなタグと相互作用する。機器５は、入出力モジュール１０、メモリ１５、機器５内の全ての処理動作を制御するためのコアプロセッサ２５を有するコア処理サブシステム２０、タグ固有の特徴抽出及び構成ブロック３０、及び機密情報を記憶、操作、及び／又は処理するためのセキュアアプリケーションモジュール（ＳＡＭ）を有するセキュリティサブシステムを含む。装置の全ての構成要素に給電するための電力サブシステムも提供される。] 図２
[0019] 入出力モジュール１０は、例えば、キーパッド、スマートカードスロット、又は生体認証スキャナであってもよいユーザ入力５０、及びユーザディスプレイ５５を有する。機器５は、通常は機器とは異なる地理的場所に物理的に配置されたＴＭＳと通信するための、例えばＬＡＮ又はＷｉＦｉであってもよいインターフェイス６０を備える。機器ストレージ設備１５は、変換された認証データのためのデータストア、及びブランド保護特徴抽出モジュール３０の構成を設定する構成データのためのデータストアを含む。構成の詳細としては、製品ＩＤ、認証イベント、これらのパラメータ、これらの順序付け、どのタグ技術を使用すべきか、及び１つのブランド保護特徴から読み取ったデータと同じ製品上の別のデータとの間にリンクが存在するかどうかが挙げられる。構成データは、機器構成マネージャから機器にダウンロードされる。]
[0020] タグ固有の特徴抽出及び構成ブロック３０は、センサインターフェイス３５及びタグ固有のプロセッサ４０を含む。センサは、例えば、バーコードスキャナ、ＲＦＩＤタグリーダ、又はその他のいずれの選択された機械読み取り可能なタグリーダ及び／又はライタ装置であってもよい。センサインターフェイス３５及びタグ固有のプロセッサ４０は、タグに関連する識別情報を抽出し及び／又はタグを構成するために、センサを制御し、センサと交換したデータを処理してタグからの読み取り及び／又はタグへの書き込みを行う。タグから抽出されたデータは、共通ブランド保護特徴インターフェイス４５により共通プラットフォームフォーマットに変換されて機器構成要素の残り部分に伝えられ、及び逆に機器からタグに伝えられる。]
[0021] セキュリティを維持するために、機器５は、タグリーダとブランド保護管理サーバとの間の認証データの通信を処理及び制御するためのセキュアアプリケーションモジュール（ＳＡＭ）を含む。ＳＡＭは、認証情報を記憶し及び／又は認証要求を少なくとも部分的に処理するための物理的及び論理的にセキュアなモジュールを提供する。ＳＡＭ６５は、ＢＰＭＳの信用管理エージェントとしての役割を果たし、例えば、ＭＡＣ又はデジタル署名などの暗号化されたチェックのような、例えば重複する検証可能なコンテンツを有するタグの特徴を使用してタグを認証するためのセキュアな情報を処理して記憶するようになっている。一般的に言えば、ＳＡＭは、メモリ及びコンピューティング能力が限られた実行環境である。]
[0022] ＳＡＭ６５は、例えばスマートカードであってもよい。ＳＡＭと、電気信号、通信プロトコル、及びこのような全てのモジュールが互換性を有するべきアプリケーションプロトコルデータユニット（ＡＰＤＵ）について詳述するその他の集積回路カード（ＩＣＣ）とに関する明確に定義された一連の仕様が存在する。関連するＩＳＯ７８１６仕様が、以下の参考文献に詳述されている。
ＩＳＯ／ＩＥＣＩＳＯ ７８１６−１、ＩＤカード−−（単複の）接触型集積回路カード−−第１部：物理特性、１９９８年（２００３年補正）、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−２、ＩＤカード−−集積回路カード−−第２部：接触型カード−−接触の寸法及び位置、１９９９年（２００４年補正）、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−３、情報技術−−ＩＤカード−−（単複の）接触型集積回路カード−−第３部：電子信号及び送信プロトコル、１９９７年（２００２年補正）、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−４、ＩＤカード−−集積回路カード−−第４部：構成、セキュリティ、及び交換用コマンド、２００５年、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−８、ＩＤカード−−（単複の）接触型集積回路カード−−第８部：セキュリティ動作用コマンド、２００４年、
ＩＳＯ／ＩＥＣ ＩＳＯ ７８１６−１１、生体認証法を通じた個人の確認、２００４年。]
[0023] 図２の機器を認証装置として使用している場合、ユーザが自分自身及び使用するタグの種類を識別することにより、タグ固有のプロセッサ４０が、読み取られようとしているタグに必要な処理を識別できるようになる。読み取ることにより、センサインターフェイス３５内に代表的信号が発生し、これがタグ固有処理モジュール４０に伝えられてタグ機能のタグ固有の第１レベルの処理及び抽出が行われる。タグ信号を共通データフォーマットに変換し、信頼性調査のためにＳＡＭ６５へ送ることによりタグのオフライン認証が行われる。] 図２
[0024] タグの認証処理は、リーダ機器を使用して物理的現象を処理可能な電気信号に変換する段階、この信号をフィルタリング又は変換して検証可能な出力を生成する段階、及びこの出力をいくつかの所定の基準に照らして検証する段階という３段階を含む。多くの場合、偽造防止機能のセキュリティの有効性は、第２段階で行われる処理の詳細の秘匿性又は内密性を保持することに由来する。これを確実にするために、及び本発明によれば、リーダ機器内のセキュアな処理構成要素の利用可能性及び能力に基づいて、認証処理をセキュアな機能と非セキュアな機能とに分割して、全ての又はできるだけ多くの重要なセキュリティ機能を信頼できるＳＡＭの環境で実施する。]
[0025] セキュアな分割処理を説明するために、内容が引用により本明細書に組み入れられる同時係属中の国際特許出願ＰＣＴ／ＧＢ２００７／００２４９６に記載されるような、隠れた二次効果を含む線形バーコードの認証について考察する。従来の線形バーコードは、単位幅Ｘの倍数である様々な幅の複数のバー及びスペースを有する。バーコード読取装置を使用してバー及びスペースをデコードすることにより、一次データを明らかにすることができる。個々のバーは長方形で、所定の均一な高さを有する。ＰＣＴ／ＧＢ２００７／００２４９６の教示によれば、バーの少なくとも１本の形状全体を変化させることにより、例えば、バーの幅を単位幅Ｘの倍数でない量だけ変化させることにより、従来のバーコード内に追加の又は二次的な情報を組み込むことができる。このようにして、バーコード内に二次情報をエンコードすることができる。バーの形状の変化は、一次データを読み取るための標準的バーコードリーダの能力には影響を与えないが、二次情報を伝えるのに十分な、好ましくは見た目に分からないようなものでなければならない。]
[0026] 二次効果を有する画像をデコードする主な段階は、この変調に関わらず同じものであり、これらは、二次元データマトリクスの読み取りである一次データのデコード、及びこのマトリクス内に組み込まれた二次効果のデコードである。セキュリティ上の観点から、関心領域は、二次効果変調データのデータ抽出及びその後の処理である。これを観察可能な方法で、又は重要なデータ値の直接操作にさらされるプラットフォーム上で実際に行えば、その提供物は、重要処理及びこれらの動作の監視、例えば閾値の監視などの重要なセキュリティパラメータの決定、サービス拒否攻撃を悪用する機会、以前に記録したデータを重要ポイントで挿入することにより処理を完全に迂回する機会を含む数多くの種類の攻撃にさらされる。]
[0027] 図３は、二次効果を有するバーコードの読み取りに関与するステップを示している。この場合、バーの幅を一次データに使用する単位幅とは異なる量だけ変化させることにより、バーコードに二次情報が組み込まれる。バーコードが読み取られると、個々のポイントごとにグレースケール値が生成され、勾配計算を実行してブロックが真に黒から白に変化するポイントが判定され、これについてはステップＡ及びＢを参照されたい。これは、分析のエッジ判定部分である。同時に一次データがデコードされ、これについてはステップＣを参照されたい。このデータから、二次効果データを保持できるブロックの位置が判定され、これについてはステップＤを参照されたい。デコード処理の分岐が交わるステップＥでは、二次効果データを含むことができる画像位置をチェックして、これらが実際に二次効果データを含むかどうかを判定する。そのほとんどの基本形では、内部的に記憶された隠れた閾値と単純に比較することにより、この判定を行うことができる。二次効果が検出されない場合、このブロックは論理ビット０として解釈される。二次効果が検出された場合、このブロックは論理ビット１として解釈される。この検出は、水平及び垂直の両方のブロックに適用される。ビットがデコードされると、適用されたあらゆるエラー訂正をデコードして、結果データ内のビットエラーレートを低減することができ、これについてはステップＦを参照されたい。] 図３
[0028] 図３の処理のセキュリティを改善するために、図４に示すように、選択したステップをＳＡＭ内で実施する。これらの第１のステップは、一次データ内の二次効果をエンコードできる位置の判定、すなわちステップＤである。ＳＡＭ内で実施されることが理想的なもう１つのステップは、一次データ内の二次効果がエンコードされた位置の判定、すなわちステップＥである。データのエラー訂正もＳＡＭ内で実施することができ、すなわちこれはステップＦである。このようにした場合、最終結果データがＳＡＭの環境を離れる必要はなく、したがって、例えばこのデータが実際に一次データのセキュアなデジタル署名又はＭＡＣの一部であれば、二次効果を介したタグの認証は、信頼できるコンピューティングドメイン内に完全にカプセル化される。どのブロックが二次データを含むことができるかについての計算、及びどのビットがデータ並びに任意にエラー訂正データを実際に含むかについての判定を隠すことにより、攻撃者は、ブランド保護特徴がどのように機能しているかについての鍵となる情報を奪われる。] 図３ 図４
[0029] 図１の偽造防止システムでは、ＰｏＡ及びＰｏＲは様々であってよい。例えば、図２に示すように、ＳＡＭを有するものもあればＳＡＭを有していないものもあってよい。同様に、異なる処理能力のスマートカードを有することができるものもある。ＩＣＭＳは個々の機器の能力の記録を有し、これらの機器の能力に応じて、あらゆる処理をセキュアな部分と非セキュアな部分とに別々に分割することを選択することができる。例えば、機器は、完全に保護された高機能プロセッサを有することができる。この場合、処理は分割されず、又は全ての分割されたステップが再編成されてセキュアなプロセッサ上にダウンロードされる。別の場合には、機器が、処理全体ではないが全てのセキュリティ実行ステップを実行できる高性能なスマートカードを有することができ、したがって、アルゴリズムをセキュリティ実行ステップとセキュリティ非実行ステップとに分割し、これに応じて機器を構成することもできる。さらに別の例では、機器が、セキュリティ実行ステップの全てではないがいくつかを実行できるスマートカードを含むことができる。ＩＣＭＳが、記憶された構成情報に基づいてＰｏＲ及びＰｏＡを構成できるようにすることにより、所望のレベルのセキュリティ実行のみを行う最適化したリーダ機器を使用して、単一の偽造防止機能をサポートすることができる。] 図１ 図２
[0030] ＰｏＲ及びＰｏＡ装置により実行されるステップを、セキュアなＳＡＭ内で実施されるセキュアな部分と、それほどセキュアでない処理環境２０において実施される非セキュアな部分とに分割することに関しては多くの用途がある。例えば、認証及び検証する必要があるワークフローに基づいてＰｏＲ及びＰｏＡ装置を使用しているときに、分割を使用することができる。ワークフロー保証技術の詳細については、同時係属中の国際特許出願ＰＣＴ／ＧＢ２００７／００１２４８に詳細に記載されており、該特許出願はその内容が引用により本明細書に組み入れられる。]
[0031] ワークフロー又は実行可能ポリシは、ＩＣＭＳにより提供されるワークフロー及び機器構成情報を使用してＢＰＭＳ内で生成される。ワークフロー又はポリシが機器に導入されると、これを悪意を持って変更できないことを確実にすることが望ましい。これを実施するために、例えば読み取るタグの認証を含む指定されたワークフローのステップをＳＡＭに割り当てることができる。その他の非セキュアなステップは、汎用プロセッサ２５上で実施される。ワークフロー保証エンティティの構成管理は、動作が所定の処理の正しい段階で実行されることを確認することにより重要なステップを実行する。この結果、偶然に或いは故意に間違った順序で続いた場合に違反が起きたことを示すためのメカニズムが提供される。]
[0032] ワークフローを分割するために、図５に示すように、ワークフロースプリッタによりセキュリティ仕様が生成される。あらゆる入力済みのポリシ／ワークフローに関して、スプリッタは、ＰｏＲ／ＰｏＡ上で実行されるハードウェアセキュリティモジュール（ＳＡＭ）のための命令を含む新たな表現にポリシを変換したものである一連の仕様を計算することができ、この結果、所定の機器構成に基づいて、ポリシをセキュアな部分と非セキュアな部分とに分裂又は分割できるようになる。機器上でワークフローが実行中の場合には、ワークフロースプリッタは、セキュアなプリミティブの正当な順序を識別できるようにワークフローを処理することが好ましい。その後、処理のセキュアな部分及び非セキュアな部分が、機器の適切な領域内で実施されるようにラベル付けされる。] 図５
[0033] ワークフローが分けられると、ＩＣＭＳはポリシを処理して、ポリシがターゲット機器のための適切な形式又はバージョンであることを確実にする。その後、ＳＡＭ内にワークフロー手順のセキュアなステップが組み込まれるとともに非セキュアなステップが汎用処理環境２５内に位置する状態でポリシがＢＰＭＳに戻され、１又はそれ以上の選択されたＰｏＲ及び／又はＰｏＡ装置に送られてダウンロードされる。]
[0034] 機器にワークフローが導入されると、ワークフローのための命令が表示され、手順を通じてオペレータを誘導する。全ての重要なワークフローイベントが取り込まれ、直ちに又は後でバッチ転送の一部としてＢＰＭＳへ送られる。ワークフローの実行における様々なポイントにおいて、ＳＡＭ上でセキュアなプリミティブが呼び出される。これらのセキュアなプリミティブをＳＡＭ上で実行することにより、ＳＡＭが、財務的グレードのセキュリティを含む環境内にセキュアなプリミティブをカプセル化するので、１つのレベルのセキュリティが提供される。セキュアなプリミティブは、ブランド保護特徴を検証するための、及び遠隔のＢＰＭＳへ検証イベントをセキュアに送信するための能力を含む。]
[0035] 図６は、ワークフローを分けるための方法をより詳細に示している。ワークフローポリシを生成したＢＰＭＳにより、ＩＣＭＳ−ＳＡＡＭへメッセージが送信される。メッセージ内容はワークフローポリシのＸＭＬ表現であり、これはＩＣＭＳ−ＳＡＡＭの内部表現に一致しても又はしなくてもよい。変換が必要な場合にはポリシマッパが使用される。この機能を拡張して、ＸＭＬ以外の技術をポリシ交換に使用できるようにすることができる。ポリシ内の個々のプリミティブが処理され、これがセキュアなプリミティブであるかどうかが所定のセキュアなプリミティブセットに照らしてチェックされる。ＩＣＭＳ−ＳＡＡＭによって事前に定められたセキュアなプリミティブを使用してポリシが構築されていることが前提となる。] 図６
[0036] セキュアなプリミティブが検出されると（ステップ１．１．１．２．１において）、これがＩＣＭＳ−ＳＡＡＭポリシ内のＳｅｃｕｒｅＴａｓｋＮｏｄｅにマッピングされる。非セキュアなプリミティブが検出されると（ステップ１．１．１．３．１において）、これがＩＣＭＳ−ＳＡＡＭポリシ内のＴａｓｋＮｏｄｅにマッピングされる。セキュアな及び非セキュアなノードを識別して、ＩＣＭＳ−ＳＡＡＭは、機器内のワークフロー保証実行エンティティのための構成スクリプトを生成する。この例では、ステップ１．２に示すように、ＳｅｃｕｒｅＴａｓｋＮｏｄｅ及びＴａｓｋＮｏｄｅを含む分割されたポリシがＳｃｒｉｐｔＭａｎａｇｅｒに渡されて、機器内のＳＡＭのための構成スクリプトに変換される。次に、このスクリプトが機器のＳＡＭへ転送され、ＳＡＭが、ポリシ実行中に使用する適当なセキュリティ実行データ値を構築して正しいワークフローに従っていることを確実にする。]
[0037] ポリシ内でセキュアなプリミティブステップが検出されると、信用エージェントモジュールを呼び出して、ポリシの特定のポイントに達したことをポリシがアサートしたがっている旨をＳＡＭに通知する。事実上、これはワークフローポリシのセキュア面の状態管理である。ＳＡＭは、数多くの異なる方法でこれを確認することができる。例えば、ＳＡＭは、モジュールに渡された特定のパラメータを確認して、これが以前に定めた許容範囲内にあること、或いは例えば行った測定又はデジタル署名又はメッセージ認証暗号文（ＭＡＣ）の認証のための常識的な値であることさえも確実にすることができる。この確認はまた、ユーザの生体認証データ又はＰＩＮ値などのその他のユーザ認証データを確認して、これらがステップの実行を許可されていることを確実にすることにも関与することができる。次のステップは、セキュアなプリミティブ自体の実行である。このステップは、処理の早期段階から収集したさらなる認証データをこのステップに関連付けることができ、又はＢＰＦの生成などのセンシティブとみなされる動作を行うための要求であってもよい。このステップは、以前のノードのアサーション及び求められるデータ／結果をＳＡＭが生成するかどうかを判断するために使用するプリミティブ実行呼び出し中に渡される他のいずれかのデータに基づいてこのコマンドにより実行される内部チェックであるため、重要なワークフロー保証ステップである。]
[0038] 機器は、呼び出しを行うポリシノードの識別子をセキュアなプリミティブに提供する必要がある。ＳＡＭは、この識別子を使用して、現在のセキュアなプリミティブを表すトークンを現在のノードＩＤに連結することにより現在のノード記述を生成する。ＳＡＭは、ハッシュテーブル、又は現在の実行ノード記述のセキュアなプリミティブから考えられる前身のノード記述へのマッピングを含むその他の適当なデータ構造を保持する。ノードは、セキュアなプリミティブの名前をポリシ内で定義されるようなノードの一意の識別子と連結させたものから成ると定義される。実行時、ＳＡＭは、「ｌａｓｔ ｎｏｄｅ」変数及び「ｌａｓｔ ｓｅｃｕｒｅ ｐｒｉｍｉｔｉｖｅ」変数を保持しなければならない。ＳＡＭに対して呼び出しが行われるたびに、ＳＡＭは、データ構造／ハッシュテーブル内の有効なノード記述の組を調べることにより、最後のセキュアなプリミティブと最後のノード識別子との連結が、現在のノード記述の有効な前身であるかどうかをチェックする。]
[0039] 図７は、ワークフローの例を示している。ワークフローの実行が、ＳＡＭの構成されたポリシにマッチすることを保証するために、特定の重要なイベントの順序を確実にする必要がある。ＰｏＲ又はＰｏＡがタガントの読み取り及び書き込みを行うことができる場合、これらの一方は、ＲｅａｄＢＰＦ［１］及びＧｅｎｅｒａｔｅＢＰＦ［４］というノード記述となる。ＧｅｎｅｒａｔｅＢＰＦ［４］ステップは、エンドユーザがラベルの印刷として認識するセキュアなプリミティブの呼び出しである。ＲｅａｄＢＰＦ［１］が行われない限り、決してラベルを印刷することはできない。ポリシが故意にハッキングされ、最初のＲｅａｄＢＰＦ［１］ノードが削除されるようになった場合について考察する。このようなポリシは、偽造者が、既存のパッケージとは関係なく流通チェーン内に無限の数のパッケージを導入できるようにすると思われる。ＧｅｎｅｒａｔｅＢＰＦ［４］ステップの実行時に、以前のコマンドがＲｅａｄＢＰＦ［１］だった場合にのみＧｅｎｅｒａｔｅＢＰＦ［４］が正当であることをＳＡＭが認識している限り、ＳＡＭは、このハッキングされたポリシの実行を拒否することができる。様々な呼び出しを区別するために、実行中のプリミティブの名前にノードＩｄが加えられる。したがって、「ＧｅｎｅｒａｔｅＢＰＦ」は、加えられたノードｉｄ４を有する。] 図７
[0040] ワークフローステップが指定した順序で行われることを確実にするために、遭遇する個々のセキュアなプリミティブごとに全ての考えられるノード記述をセキュアな動作に対応する個々のノードからバックトラックするようにポリシが処理される。したがって、一例として、
ＲｅａｄＢＰＦ［１］の場合にはＳｔａｒｔ［０］のみが可能であり、
ＧｅｎｅｒａｔｅＢＰＦ［４］の場合にはＲｅａｄＢＰＦ［１］のみが可能であり、
ＲｅａｄＢＰＦ［５］の場合にはＰｒｉｎｔＬａｂｅｌ［１］のみが可能である。]
[0041] これには、真（ｔｒｕｅ）のままでなければならない遷移上の制約の小集合が含まれる。これらはセキュアな処理環境で記憶されるので、この指定した順序が保護され、この順序からのあらゆる逸脱がワークフローの違反を示すことになる。]
[0042] 現在のノードをキーとして前提条件のリストをルックアップテーブルに記憶することはできるが、ルックアップテーブルの値は一般的な場合の配列又は集合である必要があり、一例では、ルックアップテーブルがハッシュテーブルなどの場合、これらは｛”Ｓｔａｒｔ［０］”｝などの単一の要素の集合となり、
Ｈａｓｈ ｃｏｎｓｔｒａｉｎｔｓ＝｛
“ＲｅａｄＢＰＦ［１］”＝｛“Ｓｔａｒｔ［０］”｝
“ＰｒｉｎｔＬａｂｅｌ［２］”＝｛“ＲｅａｄＢＰＦ［１］”｝
“ＲｅａｄＢＰＦ［５］”＝｛“ＧｅｎｅｒａｔｅＢＰＦ［４］”｝
となる。]
[0043] 所与のノードに対してより可能性の高い前身が存在する状況では、ハッシュテーブルエントリに関して以下のようなものを認識するであろう。
“ＲｅａｄＢＰＦ［５］”＝｛“ＰｒｉｎｔＬａｂｅｌ［１］，“ＲｅａｄＢＰＦ［２］”｝]
[0044] これは、“ＰｒｉｎｔＬａｂｅｌ［１］”又は“ＲｅａｄＢＰＦ［２］”のいずれかが、“ＲｅａｄＢＰＦ［５］”の有効な前身であったことを意味する。]
[0045] ｅｘｅｃＳｅｃｕｒｅＰｒｉｍｉｔｉｖｅ（ｐｒｉｍｉｔｉｖｅＮａｍｅ，ａｒｇｓ，ｎｏｄｅＩｄｅｎｔｉｆｉｅｒ）
という署名を含むメッソドによって全てのセキュアなメッソドが呼び出されることを前提とすると、]
[0046] これは擬似コードでは、
ｅｘｅｃＳｅｃｕｒｅＰｒｉｍｉｔｉｖｅ（ｐｒｉｍｉｔｉｖｅＮａｍｅ，ａｒｇｓ，ｎｏｄｅＩｄｅｎｔｉｆｉｅｒ）｛
Ｓｔｒｉｎｇ［］ ａｌｌｏｗａｂｌｅＮｏｄｅｓ ＝ ｃｏｎｓｔｒａｉｎｔｓ．ｇｅｔ（ ｐｒｉｍｉｔｉｖｅＮａｍｅ ＋“［“ ＋ｎｏｄｅＩｄｅｎｔｉｆｉｅｒ＋”］”；
ｉｆ（ｌａｓｔＲｅｃｏｒｄｅｄＯｐｅｒａｔｉｏｎ ｉｓ ｎｏｔ ｉｎ ａｌｌｏｗａｂｌｅＮｏｄｅｓ）｛
ｒａｉｓｅ ａ ｗｏｒｋｆｌｏｗ ｖｅｒｉｆｉｃａｔｉｏｎ ｅｘｃｅｐｔｉｏｎ
｝
ｅｌｓｅ｛
ｅｘｅｃ（ｐｒｉｍｉｔｉｖｅＮａｍｅ，ａｒｇｓ）；
ｌａｓｔＲｅｃｏｒｄｅｄＯｐｅｒａｔｉｏｎ＝ｐｒｉｍｉｔｉｖｅＮａｍｅ＋“［“＋ ｎｏｄｅＩｄｅｎｔｉｆｉｅｒ＋”］”
｝
｝
となる。]
[0047] ワークフロー検証の例外が発生した場合には、機器にワークフロー順序違反が通知され、この結果、機器が適切なステップを行ってポリシ及びＢＰＭＳ又はその他のシステムへの変換イベントを無効にし、調査すべき潜在的なセキュリティ違反が存在することを管理者に通知できるようにすることができる。]
[0048] 当業者であれば、本発明の範囲から逸脱することなく、開示した構成を変更できる点を理解するであろう。したがって、特定の実施形態についての上記説明は、限定目的ではなく例示目的でのみ行ったものである。当業者であれば、上述の動作に大きな変更を加えることなく僅かな修正を行うことができる点を理解するであろう。]
[0049] ５機器
１０ 機器入出力サブシステム
１５メモリサブシステム
２５プロセッサシステム
３０タガント固有サブシステム
３５センサインターフェイス
４０ タガント固有処理
４５ 共通タガントインタフェース（ＣＴＩ）
５０ユーザ入力（キーパッド、キーボード）
５５ユーザディスプレイ
６５セキュアアプリケーションモジュール（ＳＡＭ）]

权利要求:

請求項1
セキュアな処理環境及び非セキュアな処理環境を含むブランド保護特徴／タガントリーダ及び／又はライタ機器であって、所定の基準に基づいて前記セキュアな環境と前記非セキュアな環境との間で分けられた処理を実行する、ことを特徴とする機器。
請求項2
前記処理が、ブランド保護特徴／タガントの抽出又は識別、及びブランド保護特徴／タガントの発行又は登録の少なくとも一方である、ことを特徴とする請求項１に記載の機器。
請求項3
ブランド保護特徴／タガントの抽出又は識別が前記セキュアな処理環境で行われる、ことを特徴とする請求項２に記載の機器。
請求項4
隠れた情報／データを含むブランド保護特徴／タガントを読み取り又は書き込むようになっている、ことを特徴とする請求項１から請求項３のいずれかに記載の機器。
請求項5
前記ブランド保護特徴／タガントを読み取り、これを前記セキュアな環境で処理して前記隠れたデータの潜在的な位置を判定するようになっている、ことを特徴とする請求項４に記載の機器。
請求項6
前記ブランド保護特徴／タガントを読み取り、これを前記セキュアな環境で処理して前記隠れたデータを識別するようになっている、ことを特徴とする請求項４又は請求項５に記載の機器。
請求項7
前記隠れたデータを読み取り、これを処理して前記ブランド保護特徴／タガントを認証するようになっている、ことを特徴とする請求項４から請求項６のいずれかに記載の機器。
請求項8
前記処理がワークフロー又はポリシである、ことを特徴とする請求項１に記載の機器。
請求項9
前記処理が、指定された順序で実行すべき複数のステップを含み、前記指定された順序が前記セキュアな環境に記憶され、前記機器が、ステップを実行する前記実際の順序を前記セキュアに記憶された指定された順序に照らしてチェックするようになっている、ことを特徴とする請求項１から請求項８のいずれかに記載の機器。
請求項10
前記ブランド保護特徴／タガントが機械読み取り可能である、ことを特徴とする請求項１から請求項９のいずれかに記載の機器。
請求項11
前記動作が、ブランド保護特徴の認証及びブランド保護特徴の発行又は登録の少なくとも一方である、ことを特徴とする請求項１に記載の機器。
請求項12
前記セキュアな処理環境が改ざん防止されている、ことを特徴とする請求項１から請求項１１のいずれかに記載の機器。
請求項13
前記セキュアな処理環境が完全にカプセル化される、ことを特徴とする請求項１２に記載の機器。
請求項14
前記セキュアな処理環境が、前記機器から取り外し可能である、ことを特徴とする請求項１から請求項１３のいずれかに記載の機器。
請求項15
前記セキュアな処理環境が、セキュアアプリケーションモジュール又はハードウェアセキュリティモジュールを含む、ことを特徴とする請求項１から請求項１４のいずれかに記載の機器。
請求項16
一次元又は二次元バーコード、ＲＦＩＤタグ、蛍光タグのうちの１又はそれ以上を読み取り及び／又は書き込むようになっている、ことを特徴とする請求項１から請求項１５のいずれかに記載の機器。
請求項17
ブランド保護特徴リーダ／ライタ機器に関するセキュリティを改善する方法であって、実行する処理をセキュアな処理環境と非セキュアな処理環境との間で分割するステップを含む、ことを特徴とする方法。
請求項18
前記機器の前記構成に関する既知の情報を使用して前記処理を分割するステップを含む、ことを特徴とする請求項１７に記載の方法。
請求項19
前記処理を前記機器にダウンロードするステップを含む、ことを特徴とする請求項１６又は請求項１８に記載の方法。
請求項20
請求項１７から請求項１９に記載の前記方法を実施するためのコード又は命令を有する、ことを特徴とする好ましくはデータキャリア又はコンピュータ可読媒体又はプロセッサ上のコンピュータプログラム。
請求項21
請求項１から請求項１６のいずれかに従って、機器から認証データを収集するようになっている、ことを特徴とするブランド保護管理システム（ＢＰＭＳ）。
請求項22
タガントリーダ及び／又はライタ機器上で実施するための処理を分配するようになっているブランド保護管理システムであって、前記処理が、部分的に前記機器上のセキュアな環境で、及び部分的に非セキュアな環境で実行するように分割される、ことを特徴とするブランド保護管理システム。
請求項23
複数の異なるタガントリーダ及び／又はライタ機器と共に使用するようになっているブランド保護管理システムであって、前記処理の異なるバージョンが準備され、個々のバージョンが、前記機器のタイプの一方の前記能力に従って分割される、ことを特徴とする請求項２２に記載のブランド保護管理システム。