CN1918526A - 信息管理装置以及信息管理方法 - Google Patents

Abstract

安全芯片(215)通过总线而与通信I/F(209)、生物传感器(211)、CPU(201)、存储器/存储设备(300)连接。在信息处理装置(101)内安装有各种软件(301)，也可以取得与这些软件(301)相关的信息。并且，还可以取得与连接在信息处理装置(101)上的外围设备(302)相关的信息。另外，安全芯片(215)由通信认证硬件(311)、生物认证硬件(312)、装置内部信息认证硬件(313)、监视硬件(314)、以及验证硬件(315)构成。

Description

信息管理装置以及信息管理方法

技术领域

本发明涉及在信息处理装置中管理信息的信息管理装置以及信息管理方法。

背景技术

近年来，通过引入IPV6(Internet Protocol Version 6：互联网协议版本6)，连接在互联网等通信网络上的信息处理装置，即个人计算机、服务器计算机、以及移动电话，还有冰箱、微波炉、空调、TV、DVD等家用电器、复印机、以及机器人等均可以连接到通信网络上来进行信息的接收发送。随着这样连接在通信网络上的信息处理装置的增加，安全性(security)却在下降。

尤其是家用电器的安全性很低，有可能从外部接收到影响机器正常工作的程序，或被DDoS(Distributed Denial of Service：分布式拒绝服务)滥用。因此，为了提高这种信息处理装置的安全性，进行了使信息处理装置具有使用指纹等的生物认证功能的尝试(例如，参考下述专利文献1)。

另外，当使用这些信息处理装置进行电子商务交易时，最好使信息处理装置在首先确保以下所述的安全性的基础上进行交易，即：是否由合法的所有者在使用，是否是使用所有者自己的信息处理装置的交易，在信息处理装置上是否连接了破坏安全性的设备、或者安装了OS(OperatingSystem：操作系统)、浏览器、插件软件等软件等等。

并且，还进行以下认证：使用生物信息的生物认证、利用认证机关发行的电子证书的本人认证(PKI(Public Key Infrastructure：公开密钥基础设施)认证)、以及对与信息处理装置相关的信息进行保密管理的环境认证。另外，提出了不会导致制造成本上升就能够采取各种安全措施的存储介质驱动装置(例如，参考下述专利文献2)。

专利文献1：日本专利文献特开平3-58174号公报；

专利文献2：日本专利文献特开平10-283190号公报。

但是，在上述现有的技术中，有时认证用的指纹信息会泄漏，仅仅通过生物认证，难以确保高度的安全性。

另外，当向这些信息处理装置提供补丁用的软件、固件等时，由于在向第三者发送的过程中软件有可能被窜改，所以需要充分地确保信息发送侧的装置与信息处理装置之间的安全性。另一方面，如果将安全级别提高过高，则又会存在难以顺畅地进行收信息的接收发送的问题。

另外，在一个信息处理装置中独立进行生物认证、本人认证、环境认证等多种认证处理的情况下，当在各个认证处理相互之间接收发送信息时，需要相互的认证。因此，除了各自的认证功能以外，还需要具有用于与其他认证功能进行信息授受的认证功能，因此有可能导致制品成本和认证处理时间增加的问题。

另一方面，由于上述的生物认证、本人认证、环境认证是用于原本不同的目的的认证功能，所以用于执行各自的认证处理的固件等程序、数据的更新频率、更新量、更新方法均不同。

因此，在将上述的生物认证、本人认证、环境认证的认证功能组入一个芯片中的情况下，每次更新有关各个认证功能的程序或数据时，都要更新芯片整体，大多情况下需要重做，因此从成本方面来看事实上是不可能的。另外，在每次更新时产生重做作业的情况下，对于用户来说，由于在此期间无法使用而非常不便。

因此，对于上述各个认证功能的更新来说，从认证的原本使命出发，应尽可能快速进行，因此，如果等待其他的更新而同时进行更新的话，就会丧失进行认证的意义。

本发明是鉴于以上问题而完成的，其目的在于，提供一种通过使生物认证、本人认证(PKI认证)、以及环境认证中的程序和数据的更新可以灵活且严密地进行，能够提高安全性的信息处理装置以及信息管理方法。

发明内容

为了解决上述问题，并达到所述目的，本发明的信息管理装置安装在信息处理装置内并由单一芯片构成，在该单一芯片中内置有：通信认证硬件，对与所述信息处理装置外部的通信的安全性进行认证；以及处理硬件，进行与该通信认证硬件不同的规定的处理；该信息管理装置的特征在于，包括：输入单元，当由所述通信认证硬件认证了安装在所述单一芯片内的任意的执行程序的提供源与所述信息处理装置之间的通信的安全性时，接受由所述提供源发送给所述信息处理装置的、修正所述执行程序的修正程序，以及通过该修正程序和所述提供源的秘密密钥而生成的电子签名的输入；程序判断单元，判断通过由所述输入单元输入的修正程序来修正的执行程序是安装在所述通信认证硬件或所述处理硬件中的哪一硬件中的执行程序；合法性(正当性)验证单元，基于所述修正程序的消息摘要、由所述输入单元输入的电子签名、以及所述提供源的公开密钥，来验证使用所述修正程序对由所述程序判断单元判断的执行程序进行更新是否合法；以及更新单元，根据由所述合法性验证单元验证的验证结果，使用所述修正程序来对由所述程序判断单元判断的执行程序进行更新。

根据本发明，可以通过单一芯片来进行接收修正程序的加密线路的安全性的认证、和使用所接收的修正程序进行的更新的合法性的认证。

附图说明

图1是示出本发明实施方式的信息处理系统的概要结构的说明图；

图2是示出信息处理装置的硬件结构的框图；

图3是示出安全芯片的硬件结构的框图；

图4是示出图3所示的各个硬件的具体结构的框图；

图5是示出存储在存储器/存储设备中的电子证书的说明图；

图6是示出存储在存储器/存储设备中的注册信息的说明图；

图7是示出存储在存储器/存储设备中的装置内部信息的说明图；

图8是示出本发明实施方式的信息管理装置的通信认证处理过程的流程图；

图9是示出更新信息的一个例子的说明图；

图10是示出识别信息为A～C中的某一信息时的更新信息的说明图；

图11是示出识别信息为D的信息时的更新信息的说明图；

图12是示出通过通信认证硬件认证了通信的安全性的情况下的安全芯片的更新处理过程的流程图；

图13是示出通信认证程序(或装置内部信息认证程序)的更新处理过程的流程图；

图14是示出生物认证程序的更新处理过程的流程图；

图15是示出用户的电子证书的更新处理过程的流程图；

图16是示出写入注册信息时的通信认证处理过程的流程图；

图17是示出输入信息的说明图；

图18是示出注册信息的写入处理步骤的流程图；

图19是示出注册指示信息的说明图；

图20是示出利用安全芯片的通常的动作处理过程的流程图。

具体实施方式

下面，参考附图来详细说明本发明的实施方式。

(实施方式)

(信息管理系统的概要结构)

图1是示出本发明实施方式的信息处理系统的概要结构的说明图。在图1中，信息管理系统100由用户的信息处理装置101、提供信息处理装置101内的执行程序或数据的信息提供装置102、以及认证局的认证装置103经由互联网等网络104相连而构成。

用户的信息处理装置101例如除了移动电话、个人计算机之外，还包括冰箱、微波炉、空调、TV、DVD等家用电器、以及复印机、机器人等。在该信息处理装置101中安装有安全芯片。

信息提供装置102由开发或销售执行程序或各种数据的销售商或制造商、制造或销售信息处理装置101的工商业者等来管理。该信息提供装置102存储执行程序的补丁等修正程序或各种数据，并将其上传到网络104上。另外，生成执行程序或各种数据的电子签名。认证装置103发行并管理用户、制造商、销售商、经销商等的电子证书。另外，生成所发行的电子证书的电子签名。

(信息处理装置101的硬件结构)

接着，对信息处理装置101的硬件结构进行说明。图2是示出信息处理装置101的硬件结构的框图。在图2中，信息处理装置101由CPU201、ROM 202、RAM 203、HDD(硬盘驱动器)204、HD(硬盘)205、FDD(软盘驱动器)206、作为可装卸的存储介质的一个示例的FD(软盘)207、显示器208、通信I/F(接口)209、输入键(包括键盘、鼠标)210、生物传感器211、以及安全芯片215构成。另外，各个构成部分通过总线200而相互连接。

这里，CPU 201掌管信息处理装置101的整体控制。ROM 202存储启动程序等程序。RAM 203被用作CPU 201的工作区。HDD 204在CPU201的控制下控制对HD 205的数据的读/写。HD 205存储在HDD 204的控制下写入的数据。

FDD 206在CPU 201的控制下控制对FD 207的数据的读/写。FD 207在FDD 206的控制下存储写入的数据，或者使信息处理装置101读取存储在FD 207中的数据。

另外，可装卸的存储介质除了FD 207以外，也可以是CD-ROM(CD-R、CD-RW)、MO、DVD(Digital Versatile Disk：数字多功能光碟)、存储卡等。显示器208显示以光标、图标、工具箱为主的文档、图像、功能信息等数据。该显示器208例如可以采用CRT、TFT液晶显示器、等离子显示器等。

通信I/F 209通过通信线路而与互联网等网络104连接，并经由该网络104与其他装置连接。另外，通信I/F 209是网络104与内部的接口，控制来自外部装置的数据的输入输出。通信I/F 209例如可以采用调制解调器或LAN适配器等等。

输入键210具有用于输入文字、数字、各种指示等的键，用于进行数据的输入。另外，也可以是触摸面板式的输入板或数字键盘等。

作为生物传感器211的一个示例，可以列举出指纹传感器212、照相机213、以及麦克风214。指纹传感器212是以大约50μm的间隔来检测指头指纹的凹凸并将其转变为电信号的设备，作为指纹的读取方式，例如可以列举出半导体式、光学式、感压式、感热式等。照相机213是对眼球的虹膜或视网膜进行摄像的生物传感器211。另外，麦克风是检测表示声音特征的声波纹的生物传感器211。

安全芯片215被称为TPM(Trusted Platform Module：可信平台模块)，被安装在信息处理装置101的主板上。安全芯片215是仅提供用于实现安全或隐私的基本功能的芯片。另外，该安全芯片215由TCG(Trusted Computing Group：可信计算工作组)的规格书来定义。安装在一个信息处理装置101中的TPM不能安装在其他的信息处理装置101中，从信息处理装置101拆下TPM后，该信息处理装置101就无法启动。该安全芯片215是根据本发明实施方式的信息管理装置。

(安全芯片215的硬件结构)

接着，对上述安全芯片215的硬件结构进行说明。图3是示出安全芯片215的硬件结构的框图。在图3中，安全芯片215通过总线与通信I/F209、生物传感器211、CPU 201、存储器/存储设备300连接。另外，在信息处理装置101内部安装有各种软件301，还可以取得与该软件301相关的信息。并且，也可以取得与连接在信息处理装置101上的外围设备302相关的信息。

另外，存储器/存储设备300只要在信息处理装置101的内部，也可以设置在安全芯片215内部或安全芯片215外的某个区域中。当设置在安全芯片215内部时，可以防止存储器/存储设备300的拆卸或窜改。

另外，安全芯片215由通信认证硬件311、生物认证硬件312、装置内部信息认证硬件313、监视硬件314、以及验证硬件315构成。

通信认证硬件311可以对与信息处理装置101外部，例如图1所示的提供服务器或认证服务器的通信的安全性进行认证。具体来说，通信认证硬件311通过基于利用认证局的电子证书的本人认证(PKI(Public KeyInfrastructure：公开密钥基础设施)认证)，能够判断与外部进行通信的通信者是否是被认证局正规注册的人。另外，在该通信认证硬件311中安装有进行通信认证处理的通信认证程序321。

生物认证硬件312认证由生物传感器211检测出的生物信息与注册在信息处理装置101内的用户的注册生物信息是否一致。在生物认证硬件312中可以辨别操作信息处理装置101的人是否为正规的用户。在该生物认证硬件312中安装有执行生物认证处理的生物认证程序322。

装置内部信息认证硬件313认证所述信息处理装置101或所述单一芯片内的信息(装置内部信息)。该装置内部信息被称为环境信息，包括从连接在信息处理装置101上的外围设备302取得的与该外围设备302相关的信息(例如，设备名称、版本信息)、与安装在信息处理装置101内的软件301相关的信息(例如，软件名称、版本信息)、以及存储在存储器/存储设备300中的各种信息(例如，电子证书)等。因此，装置内部信息认证硬件313被称为环境认证硬件。

另外，装置内部信息认证硬件313对存储在存储器/存储设备300中的信息进行机密管理。具体来说，用固有的加密密钥对存储器/存储设备300取得的信息进行加密并将其存储在存储器/存储设备300中。另一方面，当有来自其他硬件的调用时，使用与加密密钥成对的固有的解密密钥对加密存储的信息进行解密。通过所述加密处理和解密处理，可以认证在信息处理装置101内部没有被窜改。在该装置内部信息认证硬件313中安装有执行上述处理的装置内部信息认证程序323。

另外，在监视硬件314中安装有驻留程序324，用于监视信息处理装置内部的信息授受。具体的监视处理将在后面描述。

另外，在验证硬件315中安装有验证程序325，当通过通信认证硬件311来认证了与外部的通信的安全性时，进行从该外部输入到安全芯片215中的信息的合法性的验证和一致性验证等。具体的验证处理将在后面描述。

(各个硬件的具体结构)

下面，对图3所示的各个硬件311～315的具体结构进行说明。图4是示出图3所示的各个硬件311～315的具体结构的框图。在图4中，各个硬件311～315由处理器401、ROM 402、RAM 403、EEPROM 404、输入I/F(接口)405、以及加密处理器406构成。另外，各个构成部分401～406通过总线400而相互连接。

这里，处理器401掌管各个硬件311～315的整体控制。RAM 403被用作处理器401的工作区。EEPROM 404存储由各个硬件311～315执行的程序。加密处理器406进行非对称的密钥的生成、加密处理、解密处理、消息摘要的生成(杂凑值的生成)、以及电子签名的生成等。

(存储器/存储设备300的存储内容)

接着，对图3所示的存储器/存储设备300的存储内容进行说明。图5是示出存储在存储器/存储设备300中的电子证书的说明图，图6是示出存储在存储器/存储设备300中的注册信息的说明图，图7是示出存储在存储器/存储设备300中的装置内部信息的说明图。

在图5中，电子证书Ca～Cz按每个被证明者来存储。“被证明者名称”是指通过电子证书Ca～Cz而被证明的对象，例如可以列举出用户、制造商、销售商、认证局等。另外，在电子证书Ca～Cz中包含版本信息、签名运算法则、发行者名称、有效期限、公开密钥、以及其他的关联信息。该电子证书Ca～Cz由图3所示的装置内部信息认证硬件313加密存储。

另外，在图6中，注册信息600由注册者名称601、传感器种类信息602、以及生物信息603构成。在图6中，作为其一个示例，作为用户的注册者“X”注册了作为生物信息603的、通过“指纹传感器”检测的注册者“X”的指纹的图像数据“Xa”。注册信息600由图3所示的装置内部信息认证硬件313加密存储。

另外，在图7中，作为装置内部信息存储了图3所示的外围设备302、软件301、以及安装在各个硬件中的通信认证程序312等执行程序的名称以及版本。

(通信认证处理过程)

接着，对本发明实施方式的信息管理装置(安全芯片215)的通信认证处理的内容进行说明。图8是示出本发明实施方式的信息管理装置(安全芯片215)的通信认证处理过程的流程图。

在图8中，首先，判断是否在通信I/F 209中接收了更新信息(步骤S801)。这里，对更新信息进行说明。图9是示出更新信息的一个例子的说明图。

在图9中，更新信息900由识别信息901、更新数据902、提供源的电子签名903、提供源的电子证书(当提供源为认证局时，为认证局的电子证书)904、以及认证局的电子签名905构成。识别信息901是特别指定更新数据902的内容的信息。

例如，当识别信息901为“A”时，更新数据902为“通信认证程序321的补丁”。当识别信息901为“B”时，更新数据902为“装置内部信息认证程序323的补丁”。当识别信息901为“C”时，更新数据902为“生物认证程序322的补丁”。另外，当识别信息901为“D”时，更新数据902为“用户的新的电子证书”。

更新数据902是被识别信息901特别指定的补丁或电子证书。另外，在更新数据902中添加了提供源的电子签名903。该提供源的电子签名903是提供源的密钥对更新数据902的杂凑值911进行加密后形成的数据。

另外，提供源的电子证书904是由任意的认证局发行的电子证书。在该电子证书904中添加了认证局的电子签名905。认证局的电子签名905是在提供源中通过认证局的密钥对电子证书904的杂凑值912进行加密后形成的数据。

这里，对识别信息901为A～C中某一信息时的更新信息进行说明。图10是示出识别信息为A～C中某一信息时的更新信息的说明图。

在图10所示的更新信息1000中，更新前程序1001和补丁1002是由制造商或销售商等提供源制作的数据。另外，更新后程序1003也是由制造商或销售商等提供源制作的程序，是通过补丁1002对更新前程序1001进行了修正后的程序。

提供源的电子签名1004是使用提供源的密钥对补丁1002的杂凑值1011进行了加密的电子签名。另外，也可以添加提供源的电子签名1005。该电子签名1005是使用提供源的密钥对更新后程序1003的杂凑值1012进行了加密的电子签名。

另外，对识别信息901为D的信息时的更新信息进行说明。图11是示出识别信息901为D的信息时的更新信息的说明图。该更新信息1100具有在认证局中发行的用户的新的电子证书1101。该电子证书1101例如是在当前的用户的有效期限过期时在认证局的认证装置103中迅速发行的更新数据。另外，也可以是对用户新发行的电子证书。

认证局的电子签名1102是使用认证局的密钥对用户的新的电子证书1101的杂凑值1111进行了加密的电子签名。另外，认证局的电子证书1104是由认证局自己或其他的认证局发行的电子证书。认证局的电子签名1105是使用发行该电子证书1104的认证局的密钥对电子证书1104的杂凑值1112进行了加密的电子证书。

在图8中，当接收到更新信息900(或1000、1100)时(步骤S801：是)，通过通信I/F 209而向通信认证硬件311输入提供源的电子证书904(或认证局的电子证书1104)和认证局的电子签名905(或1105)(步骤S802)。这里，也可以与包含在电子证书904(或电子证书1104)中的发行源的认证局进行通信，来验证电子证书904(或电子证书1104)在当前时间是否有效。由此，可以提高通信的安全性。

然后，通信认证硬件311提取包含在所输入的提供源的电子证书904(或认证局的电子证书1104)中的认证局名称，并特别指定发行该电子证书904(或1104)的认证局(步骤S803)。

通信认证硬件311将特别指定的认证局输出给装置内部信息认证硬件313。在装置内部信息认证硬件313中，从加密存储在存储器/存储设备300内的电子证书中提取在通信认证硬件311中特别指定的认证局的电子证书。然后，使用装置内部信息认证硬件313的解密密钥来对所述提取的电子证书进行解密，从而取得特别指定的认证局的公开密钥(步骤S804)。该公开密钥的成功取得意味着存储器/存储设备300内的信息未被窜改，从而安全性被认证。

取得的认证局的公开密钥被输出给通信认证硬件311。在通信认证硬件311中，使用所取得的认证局的公开密钥来对认证局的电子签名905(或1105)进行解密，并生成杂凑值(步骤S805)。接着，通信认证硬件311生成所输入的提供源的电子证书904(或认证局的电子证书1104)的消息摘要(杂凑值)(步骤S806)。

然后，通信认证硬件311判断在步骤S805中生成的杂凑值与在步骤S806中生成的杂凑值是否一致(步骤S807)。当一致时(步骤S807：是)，与提供源(或认证局)的通信的安全性被认证(步骤S808)，生成安全性高的通信路径。另一方面，当不一致时(步骤S807：否)，与提供源(或认证局)的通信的安全性不被认证，不能进行通信。

(安全芯片215的更新处理过程)

下面，对通过通信认证硬件311认证了通信的安全性时的安全芯片215的更新处理过程进行说明。图12是示出通过通信认证硬件311认证了通信的安全性时的安全芯片215的更新处理过程的流程图。

在图12中，首先，当认证了通信的安全性时(步骤S120：是)，监视硬件314输入接收到通信I/F 209中的识别信息901、更新数据902、以及更新数据902的电子签名903(步骤S1202)。

然后，监视硬件314参考输入的识别信息901。当识别信息901为“A”时(步骤S1203：A)，判断更新数据901为通信认证程序321的补丁1002，从而进行通信认证程序321的更新处理(步骤S1204)。

当识别信息901为“B”时(步骤S1203：B)，判断更新数据901为装置内部信息认证程序323的补丁1002，从而进行装置内部信息认证程序323的更新处理(步骤S1205)。

当识别信息901为“C”时(步骤S1203：C)，判断更新数据901为生物认证程序322的补丁1002，从而进行生物认证程序322的更新处理(步骤S1206)。

另外，当识别信息901为“D”时(步骤S1203：D)，判断更新数据901为用户的新的电子证书1101，从而进行用户的电子证书的更新处理(步骤S1207)。

(通信认证程序321的更新处理过程)

接着，对通信认证程序321(或装置内部信息认证程序323)的更新处理过程进行说明。图13是示出通信认证程序321(或装置内部信息认证程序323)的更新处理过程的流程图。

在图13中，监视硬件314取得补丁的提供源的公开密钥(步骤S1301)。具体来说，监视硬件314向装置内部信息认证硬件313请求取得补丁的提供源的公开密钥。装置内部信息认证硬件313从加密存储在存储器/存储设备300内的电子证书中提取补丁的提供源的电子证书。

然后，使用装置内部信息认证硬件313的解密密钥来对提取的电子证书进行解密，并从解密的电子证书中提取公开密钥。通过将所述提取的公开密钥提供给监视硬件314，监视硬件314可以取得补丁的提供源的公开密钥。

接着，监视硬件314使用取得的提供源的公开密钥来对提供源的电子签名进行解密并生成杂凑值(步骤S1302)。另外，监视硬件314生成补丁的消息摘要(杂凑值)(步骤S1303)。然后，监视硬件314将在步骤S 1302中生成的杂凑值和在步骤S1303中生成的杂凑值输出给验证硬件315。

验证硬件315判断在步骤S1302中生成的杂凑值与在步骤S1303中生成的杂凑值是否一致(步骤S1304)。当不一致时(步骤S1304：否)，由于补丁有可能已被窜改，所以不进行更新处理并结束一系列的处理。

另一方面，当一致时(步骤S1304：是)，认证为补丁未被窜改，是合法的(步骤S1305)。然后，通过被认证为合法的补丁来进行通信认证程序321(在装置内部信息认证程序323的更新处理过程的情况下，为装置内部信息认证程序323)的更新处理(步骤S1306)。

另外，监视硬件314检测所输入的更新信息中是否有更新后程序1003的电子签名1005(步骤S1307)。当没有更新后程序1003的电子签名1005时(步骤S1307：否)，结束一系列的处理。

另一方面，当有更新后程序1003的电子签名1005时(步骤S1307：是)，监视硬件314使用在步骤S1301中取得的公开密钥来对电子签名1005进行解密并生成杂凑值(步骤S1308)。

另外，监视硬件314生成通过步骤S1307的更新处理而更新的通信认证程序321(下装置内部信息认证程序323的更新处理过程的情况下，为装置内部信息认证程序323)的消息摘要(杂凑值)(步骤1309)。然后，监视硬件314将在步骤S1308中生成的杂凑值和在步骤S1309中生成的杂凑值输出给验证硬件315。

验证硬件315判断在步骤S1308中生成的杂凑值与在步骤S1309中生成的杂凑值是否一致(步骤S1310)。当不一致时(步骤S1310：否)，未进行正常的更新，因此结束一系列的处理。另一方面，当一致时(步骤S1310：是)，可以确认被更新的通信认证程序321(在装置内部信息认证程序323的更新处理过程的情况下，为装置内部信息认证程序323)是与提供源的更新后程序1003相同的程序，进行了正常的更新(步骤S1311)。

由此，即使不从提供源下载数据量大的更新后程序1003的整体，也可以仅通过补丁和电子签名来确认正常地进行了程序整体的更新处理。因此，能够实现安全并快速的认证处理。

(生物认证程序322的更新处理过程)

接着，对生物认证程序322的更新处理过程进行说明。图14是示出生物认证程序322的更新处理过程的流程图。在图14中，首先，装置内部信息认证硬件313取得用户指定的生物传感器211的传感器种类信息(步骤S1401)。装置内部信息认证硬件313将取得的传感器种类信息通知给监视硬件314。

然后，判断通过所输入的更新信息内的补丁来进行修正的生物认证程序322的传感器种类信息与由装置内部信息认证硬件313通知的传感器种类信息是否一致(步骤S1402)。

当不一致时(步骤S1402：否)，由于不是用户指定的生物认证，所以结束一系列的处理。另一方面，当传感器种类信息一致时(步骤S1402：是)，监视硬件314取得补丁的提供源的公开密钥(步骤S1403)。具体来说，监视硬件314向装置内部信息认证硬件313请求取得补丁的提供源的公开密钥。装置内部信息认证硬件313从加密存储在存储器/存储设备300内的电子证书中提取补丁的提供源的电子证书。

然后，使用装置内部信息认证硬件313的解密密钥来对提取的电子证书进行解密，并从被解密的电子证书中提取公开密钥。通过将所述提取的公开密钥提供给监视硬件314，监视硬件314可以取得补丁的提供源的公开密钥。

接着，监视硬件314通过取得的提供源的公开密钥来对提供源的电子签名进行解密并生成杂凑值(步骤S1404)。另外，监视硬件314生成补丁的消息摘要(杂凑值)(步骤S1405)。然后，监视硬件314将在步骤S1404中生成的杂凑值和在步骤S1405中生成的杂凑值输出给验证硬件315。

验证硬件315判断在步骤S1404中生成的杂凑值与在步骤S1405中生成的杂凑值是否一致(步骤S1406)。当不一致时(步骤S1406：否)，由于补丁可能已被窜改，所以不进行更新处理并结束一系列的处理。

另一方面，当一致时(步骤S1406：是)，认证为补丁未被窜改，是合法的(步骤S1407)。然后，通过被认证为合法的补丁来进行生物认证程序322的更新处理(步骤S1408)。

另外，监视硬件314检测所输入的更新信息中是否有更新后程序1003的电子签名1005(步骤S1409)。当没有更新后程序1003的电子签名1005时(步骤S1409：否)，结束一系列的处理。

另一方面，当有更新后程序1003的电子签名1005时(步骤S1409：是)，监视硬件314通过在步骤S1403中取得的公开密钥来对电子签名1005进行解密并生成杂凑值(步骤S1410)。

另外，监视硬件314生成通过步骤S1409的更新处理而更新的生物认证程序321的消息摘要(杂凑值)(步骤1411)。然后，监视硬件314将在步骤S1410中生成的杂凑值和在步骤S1411中生成的杂凑值输出给验证硬件315。

验证硬件315判断在步骤S1410中生成的杂凑值与在步骤S1411中生成的杂凑值是否一致(步骤S1412)。当一致时(步骤S1412：是)，可以确认被更新的生物认证程序322是与提供源的更新后程序1003相同的程序，进行了正常的更新(步骤S1413)。另一方面，当不一致时(步骤S1412：否)，未进行正常的更新，因此结束一系列的处理。

(用户的电子证书的更新处理过程)

接着，对用户的电子证书的更新过程进行说明。图15是示出用户的电子证书的更新处理过程的流程图。在图15中，监视硬件314取得提供了用户的新的电子证书1101的认证局的公开密钥(步骤S1501)。具体来说，监视硬件314从电子证书1101中提取发行该电子证书1101的认证局的名称并特别指定发行源的认证局。监视硬件314向装置内部信息认证硬件313请求取得被特别指定的认证局的公开密钥。装置内部信息认证硬件313从加密存储在存储器/存储设备300内的电子证书中提取被特别指定的认证局的电子证书。

然后，适应装置内部信息认证硬件313的解密密钥来对提取的电子证书进行解密，并从解密的电子证书中提取公开密钥。通过将所述提取的公开密钥提供给监视硬件314，监视硬件314可以取得被特别指定的认证局的公开密钥。

接着，监视硬件314使用取得的认证局的公开密钥来对认证局的电子签名1102进行解密并生成杂凑值(步骤S1502)。另外，监视硬件314生成电子证书1101的消息摘要(杂凑值)(步骤S1503)。然后，监视硬件314将在步骤S1502中生成的杂凑值和在步骤S1503中生成的杂凑值输出给验证硬件315。

验证硬件315判断在步骤S1502中生成的杂凑值与在步骤S1503中生成的杂凑值是否一致(步骤S1504)。当不一致时(步骤S1504：否)，由于电子证书1101可能已被窜改，所以不进行更新处理并结束一系列的处理。

另一方面，当一致时(步骤S1504：是)，认证为电子证书1101未被窜改，是合法的(步骤S1505)。然后，进行将用户当前的电子证书更新为被认证为合法的电子证书1101的更新处理(步骤S1506)。

由此，能够安全并迅速地对有效期限过期的电子证书进行更新。

(写入注册信息时的通信认证处理过程)

接着，对写入注册信息时的通信认证处理过程进行说明。图16是示出写入注册信息时的通信认证处理过程的流程图。

在图16中，首先，通信认证硬件311通过通信I/F 209来输入提供电子注册指示书的提供源的电子证书、和该电子证书的认证局的电子签名(步骤S1601)。图17是示出通过步骤S1601来输入的输入信息的说明图。在图17中，输入信息1700包括提供电子注册指示书的提供源的电子证书1701、和该电子证书1701的认证局的电子签名1702。电子签名1702是使用提供电子注册指示书的提供源的秘密密钥来对电子证书1701的杂凑值1703进行加密的电子签名。

在图16中，通信认证硬件311从电子证书1701中提取发行该电子证书1701的认证局的名称，并特别指定发行源的认证局(步骤S1602)。

通信认证硬件311将特别指定的认证局输出给装置内部信息认证硬件313。在装置内部信息认证硬件313中，从加密存储在存储器/存储设备300内的电子证书中提取在通信认证硬件311中特别指定的认证局的电子证书。然后，通过装置内部信息认证硬件313的解密密钥来对所述提取的电子证书进行解密，并取得被特别指定的认证局的公开密钥(步骤S1603)。该公开密钥的成功取得意味着存储器/存储设备300内的信息未被窜改，从而安全性被认证。

取得的认证局的公开密钥被输出给通信认证硬件311。在通信认证硬件311中，通过取得的认证局的公开密钥来对认证局的电子签名1702进行解密并生成杂凑值(步骤S1604)。接着，通信认证硬件311生成所输入的提供源的电子证书1701的消息摘要(杂凑值)(步骤S1605)。

然后，通信认证硬件311判断在步骤S1604中生成的杂凑值和在步骤S1605中生成的杂凑值是否一致(步骤S1606)。当一致时(步骤S1606：是)，与认证局的通信的安全性被认证(步骤S1607)，生成安全性高的通信路径。另一方面，当不一致时(步骤S1606：否)，与认证局的通信的安全性不被认证，不能进行通信。

(注册信息的写入处理过程)

接着，对注册信息的写入处理过程进行说明。图18是示出注册信息的写入处理过程的流程图。在图18中，首先取得用户指定的生物传感器211的传感器种类信息(步骤S1801)。然后，当在图16所示的通信认证处理过程中，认证了通信的安全性时(步骤S1802：是)，从提供源通过通信I/F 209而输入注册指示信息(步骤S1803)

这里，对注册指示信息进行说明。图19是示出注册指示信息的说明图。在图19中，注册指示信息1900包括电子注册指示书1901、和提供源(电子证书1701的提供源)的电子签名1902。

电子注册指示书1901是与注册由用户指定的生物传感器211检测的生物信息的指示相关的数据，其中记载着提供者名称、可在用户的信息处理装置101中利用的生物传感器211的传感器种类信息。另外，提供源的电子签名1902是通过提供源的秘密密钥来对电子注册指示书1901的杂凑值1903进行了加密的电子签名。

另外，在图18中，监视硬件314判断电子注册指示书1901中是否包含通过步骤S1801而取得的传感器种类信息(步骤S1804)。当不包含取得的传感器种类信息时(步骤S1804：否)，由于无法利用用户想要使用的生物传感器211，所以结束一系列的处理。

另一方面，当包含有取得的传感器种类信息时(步骤S1804：是)，监视硬件314取得电子注册指示书1901的提供源的公开密钥(步骤S1805)。具体来说，监视硬件314向装置内部信息认证硬件请求取得电子注册指示书1901的提供源的公开密钥。装置内部信息认证硬件313从加密存储在存储器/存储设备300内的电子证书中提取电子注册指示书1901的提供源的电子证书。

然后，通过装置内部信息认证硬件313的解密密钥来对提取的电子证书进行解密，并从解密的电子证书中提取公开密钥。通过将所述提取的公开密钥提供给监视硬件314，监视硬件314能够取得电子注册指示书1901的提供源的公开密钥。

然后，监视硬件314使用取得的提供源的公开密钥来对提供源的电子签名进行解密并生成杂凑值(步骤S1806)。另外，监视硬件314生成电子注册指示书1901的消息摘要(杂凑值)(步骤S1807)。然后，监视硬件314将在步骤S1806中生成的杂凑值和在步骤S1807中生成的杂凑值输出给验证硬件315。

验证硬件315判断在步骤S1806中生成的杂凑值与在步骤S1807中生成的杂凑值是否一致(步骤S1808)。当不一致时(步骤S1808：否)，由于电子注册指示书1901有可能已被窜改，所以不进行更新处理并结束一系列的处理。

另一方面，当一致时(步骤S1808：是)，验证硬件315向生物认证硬件312指示生物信息的注册处理(步骤S1809)。此时，信息处理装置101等待生物信息的输入。

然后，当从用户指定的生物传感器211输入了生物信息时(步骤S1810：是)，将由用户名(注册者名称)、传感器种类信息(例如，指纹传感器等)、生物信息(例如，用户的指纹图像数据)构成的注册信息写入存储器/存储设备300中(步骤S1811)。在该写入处理中，装置内部信息认证硬件313通过生物认证硬件312而将注册信息加密后存储到存储器/存储设备300中。由此，能够安全并快速地写入用户的注册信息。

(安全芯片215的通常的动作处理过程)

接着，对安全芯片215的通常的动作处理过程进行说明。图20是示出安全芯片215的通常的动作处理过程的流程图。在图20中，当输入了由生物传感器211检测的生物信息时(步骤S2001：是)，装置内部信息认证硬件313从存储器/存储设备300中提取被加密的注册信息，并使用解密密钥对其进行解密(步骤S2002)。

然后，在生物认证硬件312中，核对输入的生物信息和解密的生物信息。当生物信息不一致时(步骤S2003：否)，拒绝访问，并结束一系列的处理。另一方面，当生物信息一致时(步骤S2003：是)，通信认证硬件311进行与进行环境认证的发送目的地的通信认证(步骤S2004)。

当通信的安全性未被认证时(步骤S2005：否)，由于存在窜改的危险，所以结束一系列的处理。另一方面，当认证了通信的安全性时(步骤S2005：是)，装置内部信息认证硬件313收集外围设备302、软件301、各个硬件的执行程序的装置内部信息(步骤S2006)并生成环境报告(步骤S2007)。

然后，装置内部信息认证硬件313对环境报告进行加密(步骤S2008)，并在该加密的环境报告中添加电子签名后向发送目的地发送(步骤S2009)。在发送目的地，接收并解密该环境报告，从而可将其用于环境认证中。

如上所述，通信认证硬件311、生物认证硬件312、以及装置内部信息认证硬件313由于是用于原本不同目的的认证功能，所以执行各自的处理的程序、数据的更新频率、更新量、更新方法均不同。

但是，根据本实施方式，将通信认证硬件311、生物认证硬件312以及装置内部信息认证硬件313内置于一个安全芯片215中，通过由通信认证硬件311形成的安全的加密路径进行更新信息和注册指示信息的输入，并通过监视硬件314(驻留程序324)来区别作为更新对象的硬件。

因此，不需要进行各个硬件间的相互认证，从而能够实现安全并快速的更新处理。尽管将通信认证硬件311、生物认证硬件312以及装置内部信息认证硬件313内置于一个安全芯片215中，但由于在更新程序时不需要重做安全芯片215，因此能够提高用户的便利性。

另外，由于作为由监视硬件314或验证硬件315处理的数据的补丁、电子证书、电子注册指示书、电子签名是数据量较小的数据，并且处理内容也为电子签名的解密处理、杂凑值的一致性验证等比较简单的处理，因此能够实现低成本。

如上所述，根据本发明，能够灵活且严密地进行生物认证、通信认证(本人(PKI)认证)、以及装置内部信息认证(环境认证)中的程序及数据的更新，由此可获得提高安全性的效果。

工业实用性

如上所述，本发明除了适于安装在个人计算机、服务器计算机、移动电话中以外，还适于安装在冰箱、微波炉、空调、TV、DVD等家用电器、复印机、以及机器人等中。

Claims (18)

1.一种信息管理装置，安装在信息处理装置内并由单一芯片构成，在该单一芯片中内置有：通信认证硬件，对与所述信息处理装置外部的通信的安全性进行认证；以及处理硬件，进行与该通信认证硬件不同的规定的处理；该信息管理装置的特征在于，包括：

输入单元，当由所述通信认证硬件认证了安装在所述单一芯片内的任意的执行程序的提供源与所述信息处理装置之间的通信的安全性时，接受由所述提供源发送给所述信息处理装置的、修正所述执行程序的修正程序，以及通过该修正程序和所述提供源的秘密密钥而生成的电子签名的输入；

程序判断单元，判断通过由所述输入单元输入的修正程序来修正的执行程序是安装在所述通信认证硬件或所述处理硬件中的哪一硬件中的执行程序；

合法性验证单元，基于所述修正程序的消息摘要、由所述输入单元输入的电子签名、以及所述提供源的公开密钥，来验证使用所述修正程序对由所述程序判断单元判断的执行程序进行更新是否合法；以及

更新单元，根据由所述合法性验证单元验证的验证结果，使用所述修正程序来对由所述程序判断单元判断的执行程序进行更新。

2.如权利要求1所述的信息管理装置，其特征在于，所述处理硬件包括装置内部信息认证硬件，该装置内部信息认证硬件认证所述信息处理装置或所述单一芯片内的信息。

3.如权利要求2所述的信息管理装置，其特征在于，所述处理硬件包括生物认证硬件，该生物认证硬件认证由生物传感器检测的生物信息与所述信息处理装置的用户的注册生物信息是否一致。

4.如权利要求3所述的信息管理装置，其特征在于，包括：

传感器种类信息输入单元，接受与所述生物传感器的种类相关的传感器种类信息的输入；以及

传感器种类信息判断单元，判断与在所述生物认证硬件的认证中使用的生物传感器的种类相关的传感器种类信息和通过所述传感器种类信息输入单元而输入的传感器种类信息是否一致，

所述合法性验证单元还根据由所述传感器种类信息判断单元判断的判断结果，来验证通过所述修正程序对由所述程序判断单元判断的执行程序进行更新是否合法。

5.如权利要求2至4中任一项所述的信息管理装置，其特征在于，

所述输入单元还接受由所述信息处理装置接收的与所述执行程序的提供源相关的电子证书以及通过该电子证书和认证局的秘密密钥而生成的第二电子签名的输入，

当由所述输入单元输入了与所述提供源相关的电子证书时，所述装置内部信息认证硬件对加密存储在所述信息处理装置内的所述认证局的公开密钥进行解密，

所述通信认证硬件基于由所述输入单元输入的与提供源相关的电子证书的消息摘要、由所述输入单元输入的第二电子签名、以及被所述装置内部信息认证硬件解密的所述认证局的公开密钥，来认证所述提供源与所述信息处理装置之间的通信的安全性。

6.如权利要求5所述的信息管理装置，其特征在于，

所述装置内部信息认证硬件基于由所述程序判断单元判断的判断结果，对加密存储在所述信息处理装置内的所述提供源的公开密钥进行解密，

所述合法性验证单元基于所述修正程序的消息摘要、由所述输入单元输入的电子签名、以及被所述装置内部信息认证硬件解密的所述提供源的公开密钥，来验证使用所述修正程序对由所述程序判断单元判断的执行程序进行更新是否合法。

7.如权利要求1至4中任一项所述的信息管理装置，其特征在于，

所述输入单元还接受第三电子签名的输入，该第三电子签名是通过使用所述修正程序对所述执行程序进行更新后的更新后程序、和所述提供源的秘密密钥而生成的，

所述信息管理装置包括一致性验证单元，该一致性验证单元基于由所述输入单元输入的第三电子签名、通过所述更新单元而得到的程序的消息摘要、以及所述提供源的公开密钥，来验证通过所述更新单元而得到的程序与所述更新后程序是否一致。

8.如权利要求7所述的信息管理装置，其特征在于，

所述装置内部信息认证硬件基于由所述合法性验证单元验证的验证结果，对加密存储在所述信息处理装置内的所述提供源的公开密钥进行解密，

所述一致性验证单元基于由所述输入单元输入的第三电子签名、通过所述更新单元而得到的程序的消息摘要、以及被所述装置内部信息认证硬件解密的所述提供源的公开密钥，来验证通过所述更新单元而得到的程序与所述更新后程序是否一致。

9.一种信息管理装置，安装在信息处理装置内并由单一芯片构成，在该单一芯片中内置有：通信认证硬件，认证与所述信息处理装置外部的通信的安全性；装置内部信息认证硬件，认证所述信息处理装置或所述单一芯片内的信息；以及生物认证硬件，认证由生物传感器检测的生物信息与注册在所述信息处理装置中的用户的生物信息是否一致；所述信息管理装置的特征在于，包括：

传感器种类信息输入单元，接受与所述生物传感器的种类相关的传感器种类信息的输入；

输入单元，当由所述通信认证硬件认证了与所述生物信息的注册指示相关的电子注册指示书的提供源与所述信息处理装置之间的通信的安全性时，接受从所述提供源发送给所述信息处理装置的、所述电子注册指示书以及通过该电子注册指示书和所述提供源的秘密密钥而生成的电子签名的输入；

传感器种类信息判断单元，判断由所述传感器种类信息输入单元输入的传感器种类信息与由所述输入单元输入的电子注册指示书中所包含的传感器种类信息是否一致；以及

合法性验证单元，当由所述传感器种类信息判断单元判断为一致时，基于该电子注册指示书的消息摘要、由所述输入单元输入的电子签名、以及所述提供源的公开密钥，来验证所述电子注册指示书是否合法；

当通过所述合法性验证单元判断为合法时，所述生物认证硬件接受由与所述传感器种类信息相关的生物传感器检测的生物信息的输入，

所述装置内部信息认证硬件注册由所述生物认证硬件输入的生物信息。

10.如权利要求9所述的信息管理装置，其特征在于，

所述装置内部信息认证硬件在通过所述传感器种类信息判断单元判断为一致时，对加密存储在所述信息处理装置内的所述提供源的公开密钥进行解密，

所述合法性验证单元在通过所述传感器种类判断单元判断为一致时，基于该电子注册指示书的消息摘要、由所述输入单元输入的电子签名、以及被所述装置内部信息认证硬件解密的所述提供源的公开密钥，来验证所述电子注册指示书是否合法。

11.如权利要求9或10所述的信息管理装置，其特征在于，

所述装置内部信息认证硬件在通过所述传感器种类信息判断单元判断为一致时，对加密存储在所述信息处理装置内的所述提供源的公开密钥进行解密，

使用被解密的所述提供源的公开密钥对由所述生物认证硬件输入的生物信息进行加密，并作为所述注册生物信息而注册。

12.一种信息管理装置，由安装在信息处理装置内的单一芯片构成，其特征在于，包括：

通信认证硬件，对发行了与所述信息处理装置的用户相关的当前的电子证书的认证局与所述信息处理装置之间的通信的安全性进行认证；

输入单元，当通过所述通信认证硬件认证为安全时，接受从所述认证局发送给所述信息处理装置的、由所述认证局发行的与用户相关的新的电子证书以及通过该电子证书和所述认证局的秘密密钥而生成的电子签名的输入；

合法性验证单元，基于由所述输入单元输入的新的电子证书的消息摘要、由所述输入单元输入的电子签名、以及所述认证局的公开密钥，来验证从所述当前的电子证书向所述输入单元所输入的新的电子证书的更新是否合法；

更新单元，基于由所述合法性验证单元验证的验证结果，从所述当前的电子证书更新为所述新的电子证书。

13.如权利要求12所述的信息管理装置，其特征在于，

还包括内置于所述单一芯片内的装置内部信息认证硬件，该装置内部信息认证硬件认证所述信息处理装置或所述单一芯片内的信息，

所述装置内部信息认证硬件在有来自所述输入单元的输入时，对加密存储在所述信息处理装置内的所述认证局的公开密钥进行解密，

所述合法性验证单元基于由所述输入单元输入的新的电子证书的消息摘要、由所述输入单元输入的电子签名、以及由所述装置内部信息认证硬件解密的所述认证局的公开密钥，来验证从所述当前的电子证书向所述输入单元所输入的新的电子证书的更新是否合法。

14.如权利要求12所述的信息管理装置，其特征在于，

还包括内置于所述单一芯片内的装置内部信息认证硬件、该装置内部信息认证硬件认证所述信息处理装置或所述单一芯片内的信息，

所述装置内部信息认证硬件在通过所述更新单元而更新为新的电子证书时，对加密存储在所述信息处理装置内的所述认证局的公开密钥进行解密，

使用被解密的所述认证局的公开密钥来加密存储通过所述更新单元而更新的新的电子证书。

15.一种信息管理装置，由通过通信认证和环境认证来认证信息的安全性的单一芯片构成，其特征在于，包括：

进行所述通信认证的通信认证硬件和通信认证程序；

进行所述环境认证的环境认证硬件和环境认证程序；

更新单元，当需要更新所述通信认证程序或环境认证程序时，在通过所述通信认证硬件确认了修正程序的来源的合法性的基础上，接收所述修正程序，并且在使所述环境认证硬件获取密钥信息并确认了通过所述修正程序进行改版处理的合法性的基础上，进行更新处理。

16.一种信息管理方法，其利用内置于信息处理装置内所安装的单一芯片中的通信认证硬件和处理硬件，其中，所述通信认证硬件认证与所述信息处理装置外部的通信的安全性，所述处理硬件进行与该通信认证硬件不同的规定的处理，该信息管理方法的特征在于，包括：

通信认证步骤，认证安装在所述单一芯片内的任意的执行程序的提供源与所述信息处理装置之间的通信的安全性；

输入步骤，当通过所述通信认证步骤认证了安全性时，输入由所述提供源发送给所述信息处理装置的、修正所述执行程序的修正程序以及通过该修正程序和所述提供源的秘密密钥而生成的电子签名；

程序判断步骤，判断通过由所述输入步骤输入的修正程序而修正的执行程序是安装在所述通信认证硬件或所述处理硬件中的哪一硬件中的执行程序；

合法性验证步骤，基于所述修正程序的消息摘要、通过所述输入步骤输入的电子签名、以及所述提供源的公开密钥，来验证使用所述修正程序对由所述程序判断步骤判断的执行程序进行更新是否合法；以及

更新步骤，基于由所述合法性验证步骤验证的验证结果，使用所述修正程序对由所述程序判断步骤判断的执行程序进行更新。

17.一种信息管理方法，其利用内置于信息处理装置内所安装的单一芯片中的通信认证硬件、装置内部信息认证硬件、以及生物认证硬件，其中，所述通信认证硬件认证与所述信息处理装置外部的通信的安全性，所述装置内部信息认证硬件认证所述信息处理装置或所述单一芯片内的信息，所述生物认证硬件认证由生物传感器检测出的生物信息与注册在所述信息处理装置中的用户的生物信息是否一致，该信息管理方法的特征在于，包括：

传感器种类信息输入步骤，输入与所述生物传感器的种类相关的传感器种类信息；

通信认证步骤，认证与所述生物信息的注册指示相关的电子注册指示书的提供源与所述信息处理装置之间的通信的安全性；

输入步骤，当通过所述通信认证步骤认证了安全性时，输入由所述提供源发送给所述信息处理装置的、所述电子注册指示书以及通过该电子注册指示书和所述提供源的秘密密钥而生成的电子签名；

传感器种类信息判断步骤，判断通过所述传感器种类信息输入步骤输入的传感器种类信息与通过所述输入步骤输入的电子注册指示书中所包含的传感器种类信息是否一致；

合法性验证步骤，当由所述传感器种类信息判断步骤判断为一致时，基于该电子注册指示书的消息摘要、通过所述输入步骤输入的电子签名、以及所述提供源的公开密钥，来验证所述电子注册指示书是否合法；

生物信息输入步骤，当通过所述合法性验证步骤判断为合法时，输入由与所述传感器种类信息相关的生物传感器检测出的生物信息；以及

注册步骤，注册通过所述生物信息输入步骤输入的生物信息。

18.一种信息管理方法，利用内置于信息处理装置内所安装的单一芯片中的通信认证硬件，其特征在于，包括：

通信认证步骤，对发行了与所述信息处理装置的用户相关的当前的电子证书的认证局与所述信息处理装置之间的通信的安全性进行认证；

输入步骤，当通过所述通信认证步骤认证了安全性时，输入由所述认证局发送给所述信息处理装置的、由所述认证局发行的与用户相关的新的电子证书以及通过该电子证书和所述认证局的秘密密钥而生成的电子签名；

合法性验证步骤，基于通过所述输入步骤输入的新的电子证书的消息摘要、通过所述输入步骤输入的电子签名、以及所述认证局的公开密钥，来验证从所述当前的电子证书向所述输入单元所输入的新的电子证书的更新是否合法；以及

更新步骤，基于通过所述合法性验证步骤验证的验证结果，从所述当前的电子证书更新为所述新的电子证书。

Images