JP7758735B2 - ハードウェア・セキュリティ・モジュールのリモート管理 - Google Patents

Description

本発明は、一般に、暗号に関連しており、より詳細には、ハードウェア・セキュリティ・モジュールのリモート管理に関連している。

コンピューティング・システムは、許可されていないアクセスからデータを保護するために、さまざまなデータ・セキュリティ手段を利用することができる。例えば、ハードウェア・セキュリティ・モジュール（ＨＳＭ：hardware security module）は、デジタル署名、強力な認証のための暗号化関数および復号関数、ならびに他の暗号関数を含む、暗号鍵を保護および管理するための暗号関数を提供するコンピューティング・デバイスおよび関連するソフトウェアである。ＨＳＭは、セキュアなコンピューティング・デバイスまたはネットワーク・サーバに直接接続されるか、または取り付けられる、物理的なプラグイン・カードまたは外部コンピューティング・デバイスの形態であることができる。

ＨＳＭ管理の解決策のための既存の技術は、データの保護を保証するために、二重制御および他のセキュリティ技術を利用する。例えば、ＨＳＭ管理の解決策は、ＨＳＭ用のマスター鍵の鍵の部分を含んでいるスマート・カードを持っている複数の管理者が、同時にセキュアな物理的空間内に集まり、各鍵の部分を含んでいる管理者のスマート・カードをシステムに提示して、ＨＳＭを構成することを要求することができる。しかし、管理者が同時に同じセキュアな物理的空間内に集まることができない状況では、ＨＳＭ管理は、非実用的であり、必要とされるプロセスを妨げる可能性がある。例えば、１人または複数の管理者が、各鍵の部分を含んでいる管理者のスマート・カードを提示するために物理的空間内にいることができない場合、マスター鍵を形成するために必要な鍵の部分のすべてが存在していないため、ＨＳＭは構成され得ない。これは、全員が自宅から作業しなければならないか、１人または複数の管理者が、セキュアな空間に移動することが物理的にできないか、または必要とされる管理者のすべてがセキュアな空間内に物理的に存在することを妨げる他の同様の障害の場合に、発生する可能性がある。

ＨＳＭをリモートで管理するための従来技術は、リモート管理者によって必要とされる共有された秘密をめぐるセキュリティ、および本物のリモート管理者からの要求の信頼性に関する懸念を引き起こした。共有された秘密は、セキュア通信において、関与する関係者のみに知られたデータである。システムのリモート管理者は、セキュアな環境の外側でＨＳＭを管理するために、共有された秘密を利用する必要がある。ＨＳＭ管理のための既存の技術から生じる１つのセキュリティ上の懸念は、共有された秘密をリモート管理者との間で安全に輸送する方法を含む。一部の例では、モバイル・デバイスとサーバの間の接続が侵害される可能性があり、共有された秘密が、許可されていないユーザによって傍受され、このようにして、共有された秘密のセキュリティを侵害することがある。

一部の既存のＨＳＭ管理の解決策は、共有された秘密がセキュアな環境の外側で生成されることを可能にする。場合によっては、ＨＳＭ管理システムは、エンドユーザまたはリモート管理者が、自分自身の識別情報またはモバイル・デバイスに関する情報を使用して自分自身の共有された秘密を生成することを許可する。攻撃者が、共有された秘密を生成するために使用された情報（例えば、ユーザ識別情報、モバイル・デバイス情報など）にアクセスし、共有された秘密を復号するか、または他の方法で取得できる場合、リモート管理者によってセキュアな環境の外側で生成されて共有された秘密は、悪用に対して脆弱であることがある。攻撃者がユーザに関する十分な情報を収集したか、またはユーザのデバイスにアクセスできる場合、システムを攻撃に対して脆弱にすることができ、そのようなシステムは、破壊されることがある。

一部の既存のＨＳＭ管理の解決策では、共有された秘密は、リモート管理者によって保持された場合、セキュアな環境の外側で十分に保護されないことがある。例えば、共有された秘密は、モバイル・デバイスによって暗号化されず、暗号化されていない状態でモバイル・デバイスに格納される可能性がある。許可されていないユーザがモバイル・デバイスにアクセスした場合、許可されていないユーザは、保護されていない共有された秘密を取得できることがあり、このようにして、システムを許可されていないユーザによるアクセスに対して脆弱にする。

一部の既存のＨＳＭ管理の解決策では、リモート管理者から受信された管理上の要求が、有効でなく、または本物でないことがある。攻撃者は、リモート管理者によって制御されているデバイスのクローンを作成するか、またはリモート管理者の知識なしでデバイスにアクセスし、システムにアクセスしようとすることがある。そのような要求は、有効または本物であるように見え、許可されていないユーザに、システムに対するアクセス権限を提供することがある。

本発明の実施形態は、ハードウェア・セキュリティ・モジュール（ＨＳＭ）をリモートで管理することを対象にする。本発明の態様によれば、コンピューティング・デバイスのプロセッサによって、モバイル・デバイスからコマンド要求を受信することを含んでいるコンピュータ実装方法が提供されており、コマンド要求は、暗号化された鍵の部分および暗号化された署名鍵を含む。ＨＳＭは、モバイル・デバイスのセキュリティ・ゾーンに関連付けられた鍵を使用してコマンド要求を復号する。ＨＳＭは、暗号化された鍵の部分および暗号化された署名鍵を復号して、復号された鍵の部分および復号された署名鍵を生成する。暗号化された鍵の部分および暗号化された署名鍵を復号することは、モバイル・デバイスのセキュリティ・ゾーンに関連付けられた鍵、およびモバイル・デバイスに関連付けられたリモート管理者に関連付けられた鍵を使用することを含む。コマンドは、ターゲットＨＳＭを含んでいるドメインに対して生成され、コマンド要求に基づく。コマンドは、復号された鍵の部分および復号された署名鍵を使用して生成される。コマンドは、ターゲットＨＳＭによる実行のために、ドメインに送信される。

本発明の別の態様によれば、ＨＳＭをリモートで管理するためのシステムが提供されている。システムの非限定的な例は、コンピュータ可読命令を含んでいるメモリ、およびコンピュータ可読命令を実行するための１つまたは複数のプロセッサを含む。コンピュータ可読命令は、上記の方法を実施してよい。

本発明の別の態様によれば、ＨＳＭをリモートで管理するためのコンピュータ・プログラム製品が提供されており、コンピュータ・プログラム製品は、プログラム命令が具現化されているコンピュータ可読ストレージ媒体を含む。これらのプログラム命令は、プロセッサに上記の方法を実行させるために、プロセッサによって実行可能である。

したがって有利に、本発明の１つまたは複数の実施形態は、ＨＳＭをリモートで管理するために使用される共有された秘密を安全に管理する。これによって、共有された秘密が保護されたままであることを保証しながら、リモート管理者が、１か所に集まることを必要とせずに、ＨＳＭ管理を実行することを可能にすることができる。

本発明は、コマンド要求が、リモート管理者に関連付けられた暗号化されたログオン鍵をさらに含むことができ、コンピュータ実装方法が、ＨＳＭが暗号化されたログオン鍵を復号して、復号されたログオン鍵を生成することをさらに含む、方法を提供するのが好ましい。暗号化されたログオン鍵を復号することは、モバイル・デバイスのセキュリティ・ゾーンに関連付けられた鍵、およびモバイル・デバイスに関連付けられたリモート管理者に関連付けられた鍵を使用することを含む。復号されたログオン鍵は、コマンドと共にドメインに送信される。このようにして、有利に、ログオン鍵がコマンドと共にドメインに送信され得る。

本発明は、第２のモバイル・デバイスからの第２のコマンド要求が受信され得る、方法を提供するのが好ましい。第２のコマンド要求は、第２の暗号化された鍵の部分および第２の暗号化された署名鍵を含むことができる。ＨＳＭは、モバイル・デバイスのセキュリティ・ゾーンに関連付けられた鍵を使用して第２のコマンド要求を復号する。ＨＳＭは、第２の暗号化された鍵の部分および第２の暗号化された署名鍵を復号して、第２の復号された鍵の部分および第２の復号された署名鍵を生成する。第２の暗号化された鍵の部分および第２の暗号化された署名鍵を復号することは、セキュリティ・ゾーンに関連付けられた鍵、および第２のモバイル・デバイスに関連付けられた異なるリモート管理者に関連付けられた異なる鍵を使用することを含む。第２のコマンドは、第２の復号された鍵の部分および第２の復号された署名鍵を使用して、ターゲットＨＳＭを含んでいるドメインに対して生成され得る。第２のコマンドは、ドメインに送信され得る。したがって有利に、異なる鍵の部分を持っている複数のリモート管理者が、共有された秘密が保護されたままであることを保証しながら、１か所に集まることを必要とせずに、ＨＳＭをリモートで管理することができる。

本発明は、復号された鍵の部分および第２の復号された鍵の部分が、ドメインのターゲットＨＳＭに関連付けられたマスター鍵の部分である、方法を提供するのが好ましい。したがって有利に、ＨＳＭは、ＨＳＭのマスター鍵の部分である異なる鍵の部分を使用する異なる管理者によって、二重制御を使用して管理され得る。

本発明は、セキュリティ・ゾーン内でモバイル・デバイスを登録し、モバイル・デバイスをリモート管理者に関連付けることによって、モバイル・デバイスがプロビジョニングされ得る、方法を提供するのが好ましい。したがって有利に、ＨＳＭをリモートで管理するために使用されるモバイル・デバイスは、システムによって使用される共有された秘密の保護を保証するように構成される。

本発明は、ターゲットＨＳＭによる実行のために、コマンドをドメインに送信する前に、復号された署名鍵を使用してコマンドが署名され得る、方法を提供するのが好ましい。したがって有利に、ＨＳＭをリモートで管理するためのコマンドが、ドメインへの送信中にセキュリティの追加の層によって保護される。

本発明は、ドメインから受信された結果に基づいて、メッセージがモバイル・デバイスに送信され得る、方法を提供するのが好ましい。したがって有利に、ドメインから受信されたコマンドの結果を使用して、リモート管理者が更新される。

本発明の別の態様によれば、ＨＳＭをリモートで管理することを対象にするコンピュータ実装方法が提供されている。コンピュータ実装方法の非限定的な例は、コンピューティング・デバイスのプロセッサによって、リモート管理者に関連付けられたモバイル・デバイスから、暗号化された鍵の部分および暗号化された署名鍵を含んでいる鍵読み込み要求を受信することを含む。モバイル・デバイスからの鍵読み込み要求の妥当性が確認され得る。暗号化された鍵の部分および暗号化された署名鍵が復号され、復号された鍵の部分および復号された署名鍵を生成することができる。暗号化された鍵の部分および暗号化された署名鍵を復号することは、セキュリティ・ゾーン用の認証機関（ＣＡ：certificate authority）証明書の公開鍵に対応する秘密鍵、およびリモート管理者のプロファイルのＣＡ証明書の公開鍵に対応する秘密鍵を使用することを含むことができる。鍵読み込みコマンドは、鍵読み込み要求によって指定されたドメインに対して構築され得る。鍵読み込みコマンドは、復号された鍵の部分を含むことができ、復号された署名鍵を使用して署名される。鍵読み込みコマンドは、ドメインのターゲット・ハードウェア・セキュリティ・モジュール（ＨＳＭ）による実行のために、ドメインに送信され得る。

したがって有利に、本発明の１つまたは複数の実施形態は、ＨＳＭをリモートで管理するために使用される共有された秘密を安全に管理する。これによって、共有された秘密が保護されたままであることを保証しながら、リモート管理者が、１か所に集まることを必要とせずに、ＨＳＭ管理を実行することを可能にすることができる。

本発明は、セキュリティ・ゾーン用のＣＡ証明書の公開鍵を使用して鍵読み込み要求が暗号化され、鍵読み込み要求の妥当性を確認することが、セキュリティ・ゾーン用のＣＡ証明書の公開鍵に対応する秘密鍵を使用して鍵読み込み要求を復号することを含む、コンピュータ実装方法を提供するのが好ましい。したがって有利に、システムへの要求の送信中に、共有された秘密が保護されることを保証するために、モバイル・デバイスによって鍵読み込み要求が暗号化される。

本発明の別の態様によれば、ＨＳＭをリモートで管理することを対象にするコンピュータ実装方法が提供されている。コンピュータ実装方法の非限定的な例は、セキュアなコンピューティング・デバイスのプロセッサによって、リモート管理者に関連付けられたモバイル・デバイスから、暗号化された鍵の部分および暗号化された署名鍵を含んでいる暗号化されたハードウェア・セキュリティ・モジュール（ＨＳＭ）コマンド要求を受信することを含むことができる。モバイル・デバイスからの暗号化されたＨＳＭコマンド要求が復号され得る。セキュアなコンピューティング・デバイスのＨＳＭは、暗号化された鍵の部分および暗号化された署名鍵を復号して、復号された鍵の部分および復号された署名鍵を生成する。復号された鍵の部分および復号された署名鍵に少なくとも部分的に基づいて、指定されたドメインに対する暗号化されたＨＳＭコマンド要求に対応するＨＳＭコマンドが生成され得る。ＨＳＭコマンドは、指定されたドメインのターゲットＨＳＭによる実行のために、指定されたドメインに送信され得る。

したがって有利に、本発明の１つまたは複数の実施形態は、ＨＳＭをリモートで管理するために使用される共有された秘密を安全に管理する。これによって、共有された秘密が保護されたままであることを保証しながら、リモート管理者が、１か所に集まることを必要とせずに、ＨＳＭ管理を実行することを可能にすることができる。

本発明は、セキュリティ・ゾーン用のＣＡ証明書の公開鍵を使用して鍵読み込み要求が暗号化され、鍵読み込み要求の妥当性を確認することが、セキュリティ・ゾーン用のＣＡ証明書の公開鍵に対応する秘密鍵を使用して鍵読み込み要求を復号することを含む、コンピュータ実装方法を提供するのが好ましい。したがって有利に、システムへの要求の送信中に、共有された秘密が保護されることを保証するために、モバイル・デバイスによって鍵読み込み要求が暗号化される。

本発明は、指定されたドメインから受信された結果に基づいて、メッセージがモバイル・デバイスに送信され得る、コンピュータ実装方法を提供するのが好ましい。したがって有利に、ドメインから受信されたコマンドの結果を使用して、リモート管理者が更新される。

その他の技術的特徴および利点が、本発明の技術によって実現される。本発明の実施形態および態様は、本明細書において詳細に説明され、請求される主題の一部と見なされる。さらに良く理解するために、詳細な説明および図面を参照されたい。

本明細書に記載された専有権の詳細は、本明細書の最後にある特許請求の範囲において具体的に指摘され、明確に請求される。本発明の各実施形態の前述およびその他の特徴および長所は、添付の図面と共に、以下で行われる詳細な説明から明らかになる。

１つまたは複数の実施形態例に従って、ハードウェア・セキュリティ・モジュールのリモート管理のためのモバイル・デバイスのプロビジョニングを示す概略図である。 １つまたは複数の実施形態例に従って、ハードウェア・セキュリティ・モジュールのリモート管理を示す概略図である。 １つまたは複数の実施形態例に従って、ハードウェア・セキュリティ・モジュールのリモート管理のためにモバイル・デバイスをプロビジョニングするための例示的な方法のプロセス・フロー図である。 １つまたは複数の実施形態例に従って、モバイル・デバイスによるハードウェア・セキュリティ・モジュールのリモート管理のための例示的な方法のプロセス・フロー図である。 １つまたは複数の実施形態例に従って、セキュア・サーバによるハードウェア・セキュリティ・モジュールのリモート管理のための例示的な方法のプロセス・フロー図である。 本発明の１つまたは複数の実施形態に従う、コンピュータ・システムの図である。

本明細書において示された図は、例示である。本発明の範囲から逸脱することなく、本明細書に記載された図または動作の多くの変形が存在することが可能である。例えば、動作は異なる順序で実行されることが可能であり、または動作は追加、削除、もしくは変更されることが可能である。また、「結合される」という用語およびその変形は、２つの要素間に通信経路が存在することを表しており、それらの要素間に要素／接続が介在しない要素間の直接的接続を意味していない。これらのすべての変形は、本明細書の一部であると見なされる。

本発明の実施形態例は、特に、ハードウェア・セキュリティ・モジュール（ＨＳＭ）のリモート管理のためのシステム、方法、コンピュータ可読媒体、技術、および手段に関連する。ＨＳＭをリモートで管理するための従来の手法は、リモート管理者によって必要とされる共有された秘密のセキュリティ、およびリモート管理者からの要求の信頼性に関する懸念を引き起こす。ＨＳＭを管理するための既存の技術は、通常、適合性レベル管理技術を使用してＨＳＭが管理されることを必要とする規格および規制の順守を保証するために、管理者が同時に同じ物理的空間内に集まることを必要とする。しかし、管理者が１か所に集まることが物理的にできない環境では、そのような技術は非実用的である。

本発明の１つまたは複数の実施形態は、リモートＨＳＭ管理を対象にし、ＨＳＭ用のマスター鍵は、鍵の部分に分けられ、保護されたストレージに格納され、保護された環境内で異なるリモート管理者に安全に配布される。管理者は、同じセキュアな物理的空間内に物理的に集まることを必要とせずに、二重制御の要件を順守しながら、ＨＳＭをリモートで管理することができる。共有された秘密は、要求が許可された管理者から来ていること、および管理者のモバイル・デバイスのセキュリティが侵害されていないことを保証するために、システムによって管理者から受信された要求が許可されていることを保証しながら、安全に配布される。

一部の実施形態では、セキュア・サーバなどのセキュア・デバイスが、セキュアな環境内にある。セキュアな環境は、アクセスが制限された建物内のセキュアな部屋または階などの、セキュアな場所であり、その場所に、リモートＨＳＭ管理をサポートするために使用されるセキュア・デバイスが位置している。セキュア・デバイスは、Ｗｅｂアプリケーションなどのアプリケーションを実行して、リモートＨＳＭ管理用のセキュアな環境の外側にある、リモートに位置しているモバイル・デバイスと通信する。スマートフォンなどのモバイル・デバイスは、セキュアな環境内でプロビジョニングされる。モバイル・デバイスは、セキュリティ・ゾーンに登録され、リモート管理者に割り当てられる。ＨＳＭ管理に使用される共有された秘密は、セキュアな環境内にいるときに、プロビジョニングされたモバイル・デバイスに読み込まれる。共有された秘密は、指定されたＨＳＭによって使用されるマスター鍵の構成要素である鍵の部分を含むことができる。共有された秘密は、モバイル・デバイスに転送される前に、セキュアな環境内で暗号化され、モバイル・デバイスのセキュリティが含まれている場合、モバイル・デバイス上の共有された秘密が、安全であり、デバイスのユーザによっても、または誰によっても、復号され得ないことを保証する。

リモート管理者は、モバイル・デバイスをセキュアな環境の外側に持ち運び、それらのモバイル・デバイスをリモートＨＳＭ管理に使用することができる。例えば、リモート管理者は、セキュアな環境の外側にいながら、自分のモバイル・デバイス上でアプリケーションを開き、多要素認証を使用することなどによって、自分自身を認証することができる。リモート管理者は、ＨＳＭのリストから構成されるＨＳＭを選択し、指定されたドメインのターゲットＨＳＭ上で実行するコマンドを選択する。リモート管理者は、セキュアな環境内ですでに暗号化されている鍵の部分または署名鍵あるいはその両方などの、必要とされる（例えば、プロビジョニング時にモバイル・デバイスに読み込まれた）共有された秘密を選択する。アプリケーションは、リモート管理者の選択を使用して要求を構築し、リモート管理者の認証機関（ＣＡ）証明書内の公開鍵を使用して、この要求を暗号化する。暗号化された要求は、セキュアな環境内のセキュア・デバイスに送信される。

セキュア・デバイスは、リモート管理者のモバイル・デバイスから、暗号化された要求を受信する。セキュア・デバイスは、要求の妥当性を確認し、リモート管理者のモバイル・デバイスから受信された各要求からの情報を使用してＨＳＭコマンドを構築する。各ＨＳＭコマンドは、各要求から取得された署名鍵を使用して署名され、各要求によって指定されたドメインに送信される。このコマンドは、指定されたドメインのターゲットＨＳＭによって実行される。ターゲットＨＳＭは、指定されたすべてのリモート管理者から要求を受信し、収集された鍵の部分を使用してマスター鍵が形成されるまで、リモート管理者の各々から鍵の部分を集めることができる。マスター鍵の完成時に、ターゲットＨＳＭによってＨＳＭコマンドが実行される。ターゲットＨＳＭによって実行されたコマンドの結果が、セキュア・デバイスに返送される。セキュア・デバイスは、ドメインから受信された結果を示すメッセージを生成し、このメッセージをモバイル・デバイスに送信することができる。本明細書に記載されたシステムおよび方法は、二重制御などの適合性レベル管理技術を使用して、さまざまな規格および規制を順守しながら、ＨＳＭをリモートで管理する能力を提供する。

ＨＳＭ管理のための既存の技術から生じる１つのセキュリティ上の懸念は、共有された秘密をリモート管理者との間で安全に輸送する方法である。一部の例では、モバイル・デバイスとサーバの間の接続が侵害される可能性があり、共有された秘密が、意図されない受信者によって傍受され、このようにして、共有された秘密のセキュリティを侵害することがある。本発明の１つまたは複数の実施形態は、セキュアな環境内にあるセキュア・デバイスのＨＳＭによる共有された秘密の生成を容易にする。共有された秘密は、二重に暗号化され得る。例えば、鍵の部分などの共有された秘密は、モバイル・デバイスのセキュリティ・ゾーン用の共有された秘密を使用して暗号化され、特定のリモート管理者に関連付けられた共有された秘密を使用して暗号化され得る。次に、二重に暗号化されて共有された秘密は、ＨＳＭのリモート管理のためにリモート管理者によって使用されているプロビジョニングされたモバイル・デバイスに読み込まれ得る。セキュアな環境内でＨＳＭによって生成された、二重に暗号化されて共有された秘密は、セキュアな環境の外側にいる間、復号されることは決してない。リモート管理者がＨＳＭをリモートで管理する場合、リモート管理者は、セキュア・デバイスに送信されるコマンド要求に含めるために、二重に暗号化されて共有された秘密を選択することができる。したがって、セキュアな場所でセキュア・デバイスによって、二重に暗号化されて共有された秘密の送信元であるモバイル・デバイスの妥当性が適切に確認されない限り、二重に暗号化されて共有された秘密は、傍受された場合でも、許可されていないユーザによって復号され得ず、ＨＳＭをリモートで管理するために使用され得ない。

一部の既存のＨＳＭ管理の解決策は、共有された秘密がセキュアな環境の外側で生成されることを可能にする。ＨＳＭ管理システムは、エンドユーザが、自分自身の識別情報またはモバイル・デバイスに関する情報を使用して、共有された秘密を生成することを可能にしてよい。攻撃者が、共有された秘密を生成するために使用された情報にアクセスし、共有された秘密を復号するか、または他の方法で取得できる場合、リモート管理者によってセキュアな環境の外側で生成されて共有された秘密は、悪用に対して脆弱であることがある。本発明の１つまたは複数の実施形態は、セキュア・デバイスおよび関連するＨＳＭによってセキュアな環境内で生成されて暗号化された、二重に暗号化されて共有された秘密の使用を容易にする。共有された秘密は、セキュアな環境の外側で復号されず、復号された状態でモバイル・デバイスに格納されない。したがって、セキュア・デバイスのＨＳＭによって生成されて共有された秘密は、モバイル・デバイスに読み込まれるときに二重に暗号化され、モバイル・デバイスによって、ＨＳＭをリモートで管理するためのＨＳＭコマンド要求の一部として、セキュア・デバイスに返送されるときに、さらに暗号化されるため、セキュアな環境の外側で保護され、このようにして、既存のＨＳＭ管理の解決策によって示される脆弱性を取り除く。

以下では、図１および２を参照して、ＨＳＭのリモート管理のための例示的なシステムを詳細に説明する。図３～５に関連して、対応するコンピュータ実装方法が詳細に説明される。加えて、図６に関連して、本明細書に記載された実施形態のうちの１つまたは複数を実装するための例示的なコンピューティング・システムおよびネットワーク・アーキテクチャが詳細に説明される。

図１は、ＨＳＭをリモートで管理するモバイル・デバイスのプロビジョニングのための例示的なシステム１００のブロック図である。この図に示されているように、例示的なシステム１００は、１つまたは複数のタスクを実行するための１つまたは複数のモジュールを含んでよい。下でさらに詳細に説明されるように、モジュールは、セキュア・サーバ１３０のＨＳＭ管理モジュール１３５、または各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃのアプリケーション１１５Ａ、１１５Ｂ、１１５Ｃ、あるいはその両方を含んでよい。図１のモジュールは別々の要素として示されているが、図１のモジュールのうちの１つまたは複数は、単一のモジュールまたはアプリケーションの一部を表してよい。

ここで図１を参照すると、本発明の実施形態例に従って構成されたシステム１００は、セキュアな環境１０５を含んでいる。セキュア・サーバ１３０は、セキュアな環境１０５内にあることができる。セキュアな環境１０５は、組織または実体の建物内のセキュアな部屋または階などの、セキュアな場所であることができる。セキュアな環境１０５は、限定されたアクセスまたは制限されたアクセスを含むことができる。図１の実施形態に示されているように、セキュア・サーバ１３０は、ＨＳＭ管理モジュール１３５およびＨＳＭ１４０を含んでいる。本発明の１つまたは複数の実施形態では、ＨＳＭ１４０は、セキュア・サーバ１３０に接続されるか、または取り付けられる。

一部の実施形態では、セキュア・サーバ１３０を設定または構成することは、ＨＳＭ管理モジュール１３５が１つまたは複数のターゲットＨＳＭへのパスを作成することを含むことができる。ＨＳＭ管理モジュール１３５は、１つまたは複数のターゲットＨＳＭをリモートで管理するためにセキュアな環境１０５の外側からプロビジョニングされて使用されているモバイル・デバイス（例えば、１１０Ａ、１１０Ｂ、１１０Ｃ）と通信するために使用される、Ｗｅｂアプリケーションなどのアプリケーションを実行すること、または管理すること、あるいはその両方が可能である。さらに、セキュア・サーバ１３０は、セキュリティ・ゾーンに登録され得る。セキュリティ・ゾーンは、認証機関（ＣＡ）によって指定され、証明書を発行するか、または管理するか、あるいはその両方を行う実体または組織を表すことができる。一部の実施形態では、ＣＡスマート・カード、ＣＡ証明書などが、セキュリティ・ゾーンを定義することができる。ＣＡ証明書は、デバイス（例えば、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃ、セキュア・サーバ１３０など）を暗号によってリンクすることができる。

一部の実施形態では、ＨＳＭ管理モジュール１３５は、共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃ、１２０Ｄの生成および管理を容易にすることができる。ＨＳＭ管理モジュール１３５は、ＨＳＭ１４０によって、共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃ、１２０Ｄの生成および管理を容易にすることができる。共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃ、１２０Ｄの例としては、リモート管理者のプロファイルのログオン鍵、ＣＣＡ通常モード署名鍵（CCA normal mode signing keys）、ＣＣＡ ＰＣＩモード署名鍵（CCAPCI mode signing keys）、ＥＰ１１署名鍵（EP11 signing keys）、または鍵の部分、あるいはその組み合わせが挙げられ得る。ＣＣＡ通常署名鍵（CCA normal signing keys）は、クレジットカード業界（ＰＣＩ：payment card industry）の制約の影響を受けない非対称鍵であることができる。ＣＣＡ ＰＣＩモード署名鍵は、ＰＣＩルールを順守している非対称鍵であることができる。ＥＰ１１署名鍵は、暗号トークンへのＰＫＣＳ＃１１公開鍵暗号ＡＰＩインターフェイスに従う非対称鍵であることができる．ＨＳＭ管理モジュール１３５は、ターゲットＨＳＭのマスター鍵を異なる鍵の部分に分けるか、分割するか、または他の方法で分解し、それらの鍵の部分を異なるリモート管理者に割り当てるのを容易にすることができる。各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、セキュリティ・ゾーンを定義するＣＡ証明書の公開鍵、および各リモート管理者に関連付けられた各リモート管理者のプロファイルの各公開鍵によって暗号化され得る異なる共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃ（例えば、鍵の部分、署名鍵など）を含んでいる。ＨＳＭ管理モジュール１３５は、ＨＳＭをリモートで管理するために使用されるモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに配布される、暗号化されて共有された秘密１２０Ｄを生成して格納することができる。

セキュア・サーバ１３０のＨＳＭ管理モジュール１３５は、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃがプロビジョニングされた後に、共有された秘密１２０Ｄがモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに読み込まれ、特定のリモート管理者に割り当てられ得るように、共有された秘密１２０Ｄを準備することができる。ＨＳＭ管理モジュール１３５は、セキュリティ・ゾーンを定義するＣＡ証明書の公開鍵を使用して、共有された秘密１２０Ｄ（例えば、鍵の部分、署名鍵、リモート管理者のログオン鍵など）を暗号化することができる。ＨＳＭ管理モジュール１３５は、リモート管理者のプロファイルの証明書の公開鍵を使用して、共有された秘密を暗号化することができる。一部の実施形態では、ＨＳＭ管理モジュール１３５は、ある期間内に共有された秘密１２０Ｄがモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃにダウンロードされ得る回数を制限するために、最大ダウンロード数を設定することができる。

モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、セキュアな環境１０５内でプロビジョニングされる。一部の実施形態では、各モバイル・デバイスは、セキュア・サーバ１３０に直接接続される。例えば、モバイル・デバイス１１０Ａは、ユニバーサル・シリアル・バス（ＵＳＢ：Universal Serial Bus）接続などの直接接続１５０を介してセキュア・サーバ１３０に接続され得る。一部の実施形態では、モバイル・デバイス１１０Ａは、必要なデータを含んでいるメモリ・カードをモバイル・デバイス１１０Ａに取り付けること、モバイル・デバイス１１０ＡによってＱＲコードをスキャンすること、Ｂｌｕｅｔｏｏｔｈ（ＴＭ）もしくは近距離無線通信（ＮＦＣ：Near Field Communication）などの短距離無線技術を使用すること、または同様の技術によって、プロビジョニングされ得る。

一部の実施形態では、モバイル・デバイス１１０Ａはセキュリティ・ゾーンに登録される。モバイル・デバイス１１０Ａは、セキュリティ・ゾーンを定義するＣＡ証明書をダウンロードすることによって、セキュリティ・ゾーンに登録され得る。セキュリティ・ゾーンは、ＣＡ証明書を管理するか、または発行するか、あるいはその両方を行う実体または組織とのデバイスの連係を示す。モバイル・デバイス１１０Ａは、リモート管理者に割り当てられ得る。一部の実施形態では、モバイル・デバイス１１０Ａは、リモート管理者のプロファイルのログオン鍵の共有された秘密をモバイル・デバイス１１０Ａに読み込むことによって、リモート管理者に割り当てられ、この共有された秘密は、セキュア・サーバ１３０のＨＳＭ１４０に格納されたリモート管理者のプロファイルの証明書の公開鍵であることができる。

一部の実施形態では、プロビジョニングされたモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃにインストールするためのアプリケーション１１５Ａ、１１５Ｂ、１１５Ｃは、セキュア・サーバ１３０に格納され、プロビジョニング時にモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに転送され得る。一部の実施形態では、アプリケーション１１５Ａ、１１５Ｂ、１１５Ｃは、アプリ・ストアまたはアプリ・マーケットプレイスなどのアプリケーション配布プラットフォームからダウンロードできる。アプリケーション１１５Ａ、１１５Ｂ、１１５Ｃは、セキュア・サーバ１３０とのセキュアな接続を確立し、セキュア・サーバ１３０と通信して１つまたは複数のＨＳＭをリモートで管理するために、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃによって使用され得る。モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃがアプリケーション配布プラットフォームからアプリケーション１１５Ａ、１１５Ｂ、１１５Ｃダウンロードする場合、セキュアな環境１０５内で、別々のステップでモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃのプロビジョニングが実行され得る。モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃ上のアプリケーション１１５Ａ、１１５Ｂ、１１５Ｃは、アプリケーションが最初に実行されるときにリモート管理者によって設定されたＰＩＮによってＰＩＮ保護され得る。さらに、プロビジョニングされたモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、リモート管理者によって設定された異なるＰＩＮによって保護され得る。モバイル・デバイスのＰＩＮは、システム１００の管理者によって決定された１つまたは複数のセキュリティ・ポリシーに従うことが必要とされ得る。一部の実施形態では、アプリケーション１１５Ａ、１１５Ｂ、１１５Ｃは、プロビジョニング時に、ＨＳＭ１４０によって生成されて暗号化され、各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに転送された、共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃを格納することができる。一部の実施形態では、共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃは、各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに割り当てられた異なる鍵の部分を含むことができ、これらの鍵の部分が結合されて、ＨＳＭにアクセスして管理するためのマスター鍵を形成する。一部の実施形態では、共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃは、セキュアな環境１０５内にある間に、プロビジョニング時にモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに読み込まれ得る。共有された秘密１２０Ｄは、モバイル・デバイスが、セキュアな環境１０５内にある間にプロビジョニングされ後に、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに安全に送信され、その後、セキュアな環境１０５の外側に運ばれ得る。

一部の実施形態では、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、セキュアな環境１０５内でプロビジョニングされ、セキュアな環境１０５の外側にいるリモート管理者に送られるか、またはセキュアな環境１０５から外へ運ばれて、各リモート管理者に物理的に配達されるか、あるいはその両方が行われ得る。

図１のシステム１００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

図２は、ＨＳＭをリモートで管理するための例示的なシステム２００のブロック図である。この図に示されているように、例示的なシステム２００は、１つまたは複数のタスクを実行するための１つまたは複数のモジュールを含んでよい。下でさらに詳細に説明されるように、モジュールは、セキュア・サーバ１３０のＨＳＭ管理モジュール１３５、または各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃ上で実行されているアプリケーション１１５Ａ、１１５Ｂ、１１５Ｃ、あるいはその両方を含んでよい。図１のモジュールは別々の要素として示されているが、図１のモジュールのうちの１つまたは複数は、単一のモジュールまたはアプリケーションの一部を表してよい。

モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃがプロビジョニングされた後に、図１で説明され、図３でさらに詳細に説明されるように、これらのモバイル・デバイスは、セキュアな環境１０５から遠く離れた場所にあり、セキュアな環境１０５の外側からＨＳＭをリモートで管理するために、モバイル・デバイスに割り当てられたリモート管理者によって使用され得る。各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに読み込まれたアプリケーション１１５Ａ、１１５Ｂ、１１５Ｃは、プロビジョニング時またはプロビジョニングが完了した後にこれらの各デバイスに読み込まれた、これらのモバイル・デバイスの各共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃを安全に格納するために使用され得る。一部の例では、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃのリモート管理者は、これらのモバイル・デバイスの各アプリケーション１１５Ａ、１１５Ｂ、１１５Ｃを実行し、ネットワーク２１０を経由して、セキュアな環境１０５内にあるセキュア・サーバ１３０とのセキュアな接続を確立することができる。例えば、モバイル・デバイス１１０Ａのリモート管理者は、アプリケーション１１５Ａを使用して、パラメータ（例えば、構成するドメイン、共有された秘密１２０Ａの選択、コマンドの選択など）を選択し、指定されたドメインのＨＳＭで実行するためのＨＳＭコマンド要求を生成することができる。アプリケーション１１５Ａは、ＨＳＭコマンド要求を暗号化し、コマンド要求をセキュア・サーバ１３０のＨＳＭ管理モジュール１３５に安全に送信することができる。

ＨＳＭ管理モジュール１３５は、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃから１つまたは複数のＨＳＭコマンド要求を受信し、処理することができる。一部の実施形態では、ＨＳＭ管理モジュール１３５は、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃから受信されたＨＳＭコマンド要求の妥当性を確認することができる。一部の例では、ＨＳＭ管理モジュール１３５は、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃから受信された、暗号化された要求を復号すること、または共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃを復号すること、あるいはその両方を実行することを、ＨＳＭ１４０に指示することができる。ＨＳＭ１４０は、ＨＳＭ１４０に格納されている対応する共有された秘密１２０Ｄを使用して、暗号化された要求を復号すること、または共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃを復号すること、あるいはその両方を実行することができる。次に、ＨＳＭ管理モジュール１３５は、受信されたＨＳＭコマンド要求に基づいてＨＳＭコマンドを構築し、このコマンドを、ＨＳＭコマンド要求内で指定された通りに、ターゲットＨＳＭによって実行するために、指定されたドメインに送信することができる。

指定されたドメイン（図示されていない）は、ＨＳＭ管理モジュール１３５からコマンドを受信することができる。ＨＳＭ管理モジュール１３５は、各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃからの複数のコマンドを送信することができる。指定されたドメインのターゲットＨＳＭは、ＨＳＭ管理モジュール１３５から受信された異なるコマンドから共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃを取得することができ、マスター鍵が形成されるまで、共有された秘密１２０Ａ、１２０Ｂ、１２０ＣをターゲットＨＳＭの内部のレジスタに追加することができる。一部の例では、ターゲットＨＳＭは、論理演算（例えば、排他的ＯＲ）またはデータを結合する他の手段を実行して、ＨＳＭ管理モジュール１３５から受信された異なるコマンドから受信された共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃ（例えば、鍵の部分）を集め、マスター鍵を生成することができ、マスター鍵は、ＨＳＭ管理モジュール１３５から受信されたコマンドを実行するために使用され得る。指定されたドメインのターゲットＨＳＭによるコマンドの実行の完了時に、結果がＨＳＭ管理モジュール１３５に返送される。ＨＳＭ管理モジュール１３５は、結果を受信し、ターゲットＨＳＭによって実行されたコマンドの結果を示す、各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃへのメッセージを生成することができる。

図２のシステム２００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

ここで図３を参照すると、本発明の実施形態例に従って構成されたシステム１００は、１つまたは複数のモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃをプロビジョニングする。１つまたは複数のモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃをプロビジョニングするために、図３を参照して説明される処理のすべてまたは一部が、図１のセキュアな環境１０５内のセキュア・サーバ１３０によって実行され得る。モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、セキュアな環境１０５内で１つずつプロビジョニングされる。モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、ＵＳＢ接続を使用すること、ＱＲコードをスキャンすること、ＮＦＣ技術またはＢｌｕｅｔｏｏｔｈ（ＴＭ）を使用することなどの直接接続１５０を使用して、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃをセキュア・サーバ１３０と（１つずつ）接続することによって、プロビジョニングされ得る。

ブロック３０２で、モバイル・デバイスをプロビジョニングするための方法３００は、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃをセキュリティ・ゾーンに登録することを含む。一部の実施形態では、モバイル・デバイス１１０Ａは、セキュリティ・ゾーンを定義するＣＡ証明書をモバイル・デバイス１１０Ａにダウンロードすることによって、セキュリティ・ゾーンに登録される。ＣＡ証明書は、ＣＡ証明書を管理するか、または発行するか、あるいはその両方を行う実体または組織とのデバイス（モバイル・デバイス１１０Ａなど）の連係を示す。

ブロック３０４で、モバイル・デバイスをプロビジョニングするための方法３００は、モバイル・デバイス１１０Ａをリモート管理者に割り当てることを含む。一部の実施形態では、ＨＳＭ管理モジュール１３５は、ユーザを定義または識別し、リモート管理者のプロファイルに割り当てることができる。一部の実施形態では、リモート管理者のプロファイルは、リモート管理者プロファイル・オブジェクトのセットとして格納され得る。一部の実施形態では、リモート管理者プロファイル・オブジェクトは、セキュア・サーバ１３０のＨＳＭ１４０に格納されるか、または含まれ得る。リモート管理者プロファイル・オブジェクトは、リモート管理者のプロファイルの証明書、およびリモート管理者のプロファイルの証明書内の公開鍵に対応する秘密鍵を含むことができる。一部の実施形態では、リモート管理者のプロファイルのログオン鍵の秘密を読み込むことによって、モバイル・デバイス１１０Ａがリモート管理者に割り当てられる。

ブロック３０６で、モバイル・デバイスをプロビジョニングするための方法３００は、共有された秘密１２０Ａをモバイル・デバイス１１０Ａに読み込むことを含む。一部の実施形態では、共有された秘密１２０Ａは、プロビジョニング時にモバイル・デバイス１１０Ａに読み込まれ得る。一部の実施形態では、ユーザは、モバイル・デバイス１１０Ａ上で実行されているアプリケーション１１５Ａを介して、共有された秘密１２０Ａ（例えば、暗号化された鍵の部分、暗号化された署名鍵など）を送信するようにセキュア・サーバ１３０に要求することができる。一部の実施形態では、モバイル・デバイス１１０Ａは、モバイル・デバイス１１０Ａ上で実行されているアプリケーション１１５Ａを介して、その特定のリモート管理者のために生成された新しい共有された秘密１２０Ａを要求することができる。新しい共有された秘密１２０Ａは、セキュア・サーバ１３０によって暗号化されて、モバイル・デバイス１１０Ａに送信され得る。この方法は、モバイル・デバイスごとに繰り返され得る。例えば、ブロック３０２～３０６は、直接接続１５０を使用してモバイル・デバイス１１０Ｂをセキュア・サーバ１３０に接続し、モバイル・デバイス１１０Ｂをプロビジョニングし、アプリケーション１１５Ｂをダウンロードし、モバイル・デバイス１１０Ｂ用に生成されて暗号化された、共有された秘密１２０Ｂを読み込むことによって、モバイル・デバイス１１０Ｂを使用して繰り返され得る。ブロック３０２～３０６は、直接接続１５０を使用してモバイル・デバイス１１０Ｃをセキュア・サーバ１３０に接続し、モバイル・デバイス１１０Ｃをプロビジョニングし、アプリケーション１１５Ｃをダウンロードし、モバイル・デバイス１１０Ｃ用に生成されて暗号化された、共有された秘密１２０Ｃを読み込むことによって、モバイル・デバイス１１０Ｃを使用して繰り返され得る。共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃが各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに対応するため、各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、単独でプロビジョニングされる。

図３のプロセス・フロー図は、方法３００の動作がいずれかの特定の順序で実行されるということも、方法３００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、方法３００は、任意の適切な数の追加の動作を含むことができる。

ここで図４を参照すると、方法４００のブロック４０２で、本発明の実施形態例に従って構成されたシステム２００が、セキュア・サーバ１３０との接続を確立する。ＨＳＭをリモートで管理するために、図４を参照して説明される処理のすべてまたは一部が、通常は図２のセキュアな環境１０５の外側にあるモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃによって実行され得る。一部の例では、モバイル・デバイス１１０Ａのアプリケーション１１５Ａが、１つまたは複数のネットワーク２１０を経由してセキュア・サーバ１３０との接続を確立する。リモート管理者は、モバイル・デバイス１１０Ａ上でアプリケーション１１５Ａを開くことができる。モバイル・デバイス１１０Ａ上のアプリケーション１１５Ａは、アプリケーション１１５Ａが最初に開かれるときにリモート管理者によって設定されたＰＩＮによって保護され得る。一部の実施形態では、リモート管理者は、セキュア・サーバ１３０上で実行されているＷｅｂアプリケーションにアクセスするために、Ｗｅｂアドレスを指定できる。リモート管理者は、多要素認証チャレンジなどによって、モバイル・デバイス１１０Ａ上で実行されているアプリケーション１１５Ａに対して認証する。

方法４００のブロック４０４で、モバイル・デバイス１１０Ａ上で実行されているアプリケーション１１５Ａのコンピュータ実行可能命令は、ドメインのターゲットＨＳＭに対するＨＳＭコマンド要求を生成する。アプリケーション１１５Ａは、リモート管理者による、使用可能なＨＳＭのリストからの、構成されるターゲットＨＳＭの選択を容易にする。リモート管理者は、ＬＯＡＤＫＥＹコマンドなどの、ターゲットＨＳＭ上で実行するためのコマンドを選択し、ターゲットＨＳＭ上でコマンドを実行するために必要とされる共有された秘密１２０Ａを選択することができる。モバイル・デバイス１１０Ａの共有された秘密１２０Ａは、リモート管理者のプロファイルに関連付けられ、モバイル・デバイス１１０Ａのプロビジョニング時、またはモバイル・デバイス１１０Ａがプロビジョニングされた後、あるいはその両方で読み込まれた、暗号化された鍵の部分、暗号化された署名鍵、または暗号化されたログオン鍵の秘密、あるいはその組み合わせを含むことができる。アプリケーション１１５Ａは、リモート管理者の選択を使用して、指定されたドメインのターゲットＨＳＭに対するＨＳＭコマンド要求を生成することができる。

方法４００のブロック４０６で、モバイル・デバイス１１０Ａ上で実行されているアプリケーション１１５Ａのコンピュータ実行可能命令は、ＨＳＭコマンド要求を暗号化する。一部の実施形態では、アプリケーション１１５Ａは、セキュリティ・ゾーンを定義するＣＡ証明書の公開鍵を使用してＨＳＭコマンド要求を暗号化する。アプリケーション１１５Ａは、暗号化されたＨＳＭコマンド要求を、セキュアな環境１０５内で実行しているセキュア・サーバ１３０に送信する。一部の例では、アプリケーション１１５Ａは、暗号化されたＨＳＭコマンド要求を、セキュア・サーバ１３０のＨＳＭ管理モジュール１３５に送信する。

方法４００のブロック４０８で、アプリケーション１１５Ａのコンピュータ実行可能命令は、セキュア・サーバ１３０からメッセージを受信する。例えば、このメッセージは、指定されたドメインのターゲットＨＳＭ上で実行されたＨＳＭコマンドの結果を含むことができる。一部の例では、このメッセージは、指定されたドメインのターゲットＨＳＭ上で実行されたＨＳＭコマンドの実行の成功または失敗を示す肯定的ステートメントまたは否定的ステートメントを表示することができる。

図４のプロセス・フロー図は、方法４００の動作がいずれかの特定の順序で実行されるということも、方法４００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、方法４００は、任意の適切な数の追加の動作を含むことができる。

ここで図５を参照すると、方法５００のブロック５０２で、本発明の実施形態例に従って構成されたシステム２００が、１１０Ａ、１１０Ｂ、または１１０Ｃなどのモバイル・デバイスから受信されたＨＳＭコマンド要求を復号する。ＨＳＭ管理モジュール１３５は、図３で説明されているように、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃ上で実行されている各アプリケーション１１５Ａ、１１５Ｂ、１１５Ｃによって確立された接続を経由して、暗号化されたＨＳＭコマンド要求を受信することができる。ＨＳＭ管理モジュール１３５は、ＨＳＭ１４０によって、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃから受信された要求を復号することを容易にすることができる。例えば、ＨＳＭ１４０は、セキュリティ・ゾーンを定義するＣＡ証明書の公開鍵に対応する秘密鍵を使用して、受信されたＨＳＭコマンド要求を復号することができる。ＨＳＭ管理モジュール１３５は、復号された要求内で受信された、共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃの復号を容易にすることができる。ＨＳＭ１４０は、例えば、リモート管理者のプロファイルに関連付けられた鍵の部分、署名鍵、またはログオン鍵、あるいはその組み合わせを復号することができ、これらの各々は、互いに独立して暗号化され、セキュリティ・ゾーンを定義するＣＡ証明書の公開鍵、およびリモート管理者のプロファイルのＣＡ証明書の公開鍵を使用して、二重に暗号化され得る。ＨＳＭ１４０は、ＨＳＭ管理モジュール１３５の指示に従って、セキュリティ・ゾーンを定義するＣＡ証明書の公開鍵に対応する秘密鍵などの、ＨＳＭに格納されている対応する共有された秘密１２０Ｄを使用して、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃから受信されたＨＳＭコマンド要求の共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃを復号することができる。ＨＳＭ１４０は、リモート管理者のプロファイルのＣＡ証明書の公開鍵に対応する秘密鍵などの、共有された秘密１２０Ｄを使用して、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃから受信されたＨＳＭコマンド要求の共有された秘密１２０Ａ、１２０Ｂ、１２０Ｃを復号することができる。

方法５００のブロック５０４で、セキュア・サーバ１３０上で実行されているＨＳＭ管理モジュール１３５のコンピュータ実行可能命令は、構成されるドメインに対するＨＳＭコマンドを生成する。ＨＳＭコマンドは、モバイル・デバイス１１０Ａから受信されたＨＳＭコマンド要求に基づいて生成される。ＨＳＭコマンドは、ＨＳＭ１４０によって復号された、リモート管理者に割り当てられた鍵の部分を含む。ＨＳＭコマンドは、ＨＳＭコマンド要求が生成されたときにリモート管理者によって指定された通りに構成されるドメインを含むことができる。ＨＳＭコマンドは、構成されるドメインのターゲットＨＳＭによって実行するために生成され得る。

方法５００のブロック５０６で、セキュア・サーバ１３０上で実行されているＨＳＭ管理モジュール１３５のコンピュータ実行可能命令は、ＨＳＭコマンドをドメインに送信する。一部の実施形態では、リモート管理者に割り当てられた鍵の部分は、構成されているターゲットＨＳＭとセキュア・サーバ１３０の間でネゴシエートされた輸送鍵を使用してラップされ得る。

方法５００のブロック５０８で、セキュア・サーバ１３０上で実行されているＨＳＭ管理モジュール１３５のコンピュータ実行可能命令は、ＨＳＭコマンド要求を送信したモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃにメッセージを送信する。一部の実施形態では、このメッセージは、構成されているドメインのターゲットＨＳＭによってＨＳＭコマンドを実行した結果を受信することに応答して生成される。ターゲットＨＳＭの結果は、セキュア・サーバ１３０のＨＳＭ管理モジュール１３５に送信され、モバイル・デバイスへのメッセージは、構成されているドメインのターゲットＨＳＭから受信された結果に基づいて、肯定的指示または否定的指示を含む。

一部の実施形態では、セキュア・サーバ１３０は、各割り当てられたリモート管理者に関連付けられた異なるモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃから、暗号化された要求を受信する。セキュア・サーバ１３０のＨＳＭ管理モジュール１３５は、要求の妥当性を確認し、リモート管理者のモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃから受信された各要求からの情報を使用してＨＳＭコマンドを構築する。各ＨＳＭコマンドは、各要求から取得された署名鍵を使用して署名され、各要求によって指定されたドメインに送信される。このコマンドは、指定されたドメインのターゲットＨＳＭによって実行される。ターゲットＨＳＭは、すべての指定されたリモート管理者からセキュア・サーバ１３０によって受信されたＨＳＭコマンド要求に基づいて、ＨＳＭコマンドを受信する。指定されたドメインのターゲットＨＳＭは、収集された鍵の部分を使用してマスター鍵が形成されるまで、リモート管理者の各々から鍵の部分を集める。一部の例では、ターゲットＨＳＭによって受信されたコマンドの各々からの鍵の部分は、ターゲットＨＳＭの内部のレジスタに追加される。ターゲットＨＳＭのレジスタに格納された鍵の部分は、マスター鍵を生成するために、論理演算（例えば、ＸＯＲ（排他的論理和））またはデータを結合する他の手段を使用して結合され得る。マスター鍵の完成または形成時に、ターゲットＨＳＭによってＨＳＭコマンドが実行される。ターゲットＨＳＭによって実行されたコマンドの結果が、ＨＳＭ管理モジュール１３５に返送される。ＨＳＭ管理モジュール１３５は、ドメインから受信された結果を示すメッセージを生成し、このメッセージを各モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃに送信する。

一部の実施形態では、セキュア・サーバ１３０上で実行されているＨＳＭ管理モジュール１３５は、リモート管理者のモバイル・デバイスによる異常なアクセスまたは許可されていないアクセスを検出する。例えば、ＨＳＭ管理モジュール１３５は、同じＩＰアドレスから複数の無効な要求を受信する。ＨＳＭ管理モジュール１３５は、このＩＰアドレスに関連付けられたモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃを識別し、無効な要求の数が、指定されたしきい値を超えているということを決定する。モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、制限されたリストまたは拒否リストに追加され得る。一部の例では、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、指定された期間（例えば、１時間）の間、リストに追加される。一部の実施形態では、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃは、管理者がモバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃを制限されたリストまたは拒否リストから除去するまで、セキュア・サーバ１３０へのアクセスを拒否される。一部の実施形態では、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃが制限されたリストまたは拒否リスト上に存在する場合、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃがリモートで消去されることが可能であるか、またはリモート管理者のプロファイルの証明書が取り消され、それによって、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃによるセキュア・サーバ１３０へのアクセスを除去する。一部の実施形態では、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃが、セキュリティを侵害されているか、または侵入されている疑いがある場合、１つまたは複数のセキュリティ・ポリシーに基づいてＨＳＭ管理モジュール１３５によって、またはシステムの管理者によって、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃがリモートで消去されることが可能であるか、またはリモート管理者のプロファイルの証明書が取り消されることが可能である。モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃが消去されたか、またはリモート管理者のプロファイルの証明書が取り消された場合、リモート管理者がセキュア・サーバ１３０に対するアクセス権限を獲得するためには、モバイル・デバイス１１０Ａ、１１０Ｂ、１１０Ｃが、セキュアな環境１０５に戻されて再びプロビジョニングされる必要があるか、またはリモート管理者のために新しいモバイル・デバイスがセキュアな環境１０５内でプロビジョニングされて、リモート管理者に配達される必要がある。

図５のプロセス・フロー図は、方法５００の動作がいずれかの特定の順序で実行されるということも、方法５００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、方法５００は、任意の適切な数の追加の動作を含むことができる。

ここで図６を参照すると、本発明の実施形態に従って、コンピュータ・システム６００が概して示されている。コンピュータ・システム６００は、本明細書において説明されているように、さまざまな通信技術を利用する任意の数および組み合わせのコンピューティング・デバイスおよびネットワークを備えるか、または採用するか、あるいはその両方である、電子的コンピュータ・フレームワークであることができる。コンピュータ・システム６００は、容易に拡縮可能、拡張可能、およびモジュール式であり、異なるサービスに変化する能力、または他の機能とは無関係に、一部の機能を再構成する能力を有することができる。コンピュータ・システム６００は、例えば、サーバ、デスクトップ・コンピュータ、ラップトップ・コンピュータ、タブレット・コンピュータ、またはスマートフォンであってよい。一部の例では、コンピュータ・システム６００は、クラウド・コンピューティング・ノードであってよい。コンピュータ・システム６００は、コンピュータ・システムによって実行されているプログラム・モジュールなどの、コンピュータ・システムによって実行可能な命令との一般的な関連において説明されてよい。通常、プログラム・モジュールは、特定のタスクを実行するか、または特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、論理、データ構造などを含んでよい。コンピュータ・システム６００は、通信ネットワークを介してリンクされたリモート処理デバイスによってタスクが実行される、分散クラウド・コンピューティング環境で実行されてよい。分散クラウド・コンピューティング環境において、プログラム・モジュールは、メモリ・ストレージ・デバイスを含む、ローカルおよびリモートの両方のコンピュータ・システム・ストレージ媒体に配置されてよい。

図６に示されているように、コンピュータ・システム６００は、１つまたは複数の中央処理装置（ＣＰＵ：central processing units）６０１ａ、６０１ｂ、６０１ｃなど（集合的または一般的に、プロセッサ６０１と呼ばれる）を含んでいる。プロセッサ６０１は、シングルコア・プロセッサ、マルチコア・プロセッサ、コンピューティング・クラスタ、または任意の数の他の構成であることができる。プロセッサ６０１は、処理回路とも呼ばれ、システム・バス６０２を介してシステム・メモリ６０３およびさまざまな他のコンポーネントに結合される。システム・メモリ６０３は、読み取り専用メモリ（ＲＯＭ：read only memory）６０４およびランダム・アクセス・メモリ（ＲＡＭ：random access memory）６０５を含むことができる。ＲＯＭ６０４は、システム・バス６０２に結合され、コンピュータ・システム６００の特定の基本機能を制御する基本入出力システム（ＢＩＯＳ：basic input/output system）を含んでよい。ＲＡＭは、プロセッサ６０１によって使用するためにシステム・バス６０２に結合された読み取り書き込みメモリである。システム・メモリ６０３は、動作中の前述の命令の動作のための一時的メモリ空間を提供する。システム・メモリ６０３は、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ、フラッシュ・メモリ、または任意の他の適切なメモリ・システムを含むことができる。

コンピュータ・システム６００は、システム・バス６０２に結合された入出力（Ｉ／Ｏ：input/output）アダプタ６０６および通信アダプタ６０７を備えている。Ｉ／Ｏアダプタ６０６は、ハード・ディスク６０８または任意の他の類似するコンポーネントあるいはその両方と通信する小型コンピュータ・システム・インターフェイス（ＳＣＳＩ：small computer system interface）アダプタであってよい。Ｉ／Ｏアダプタ６０６およびハード・ディスク６０８は、本明細書では、マス・ストレージ６１０と総称される。

コンピュータ・システム６００上で実行するためのソフトウェア６１１は、マス・ストレージ６１０に格納されてよい。マス・ストレージ６１０は、プロセッサ６０１によって読み取り可能な有形のストレージ媒体の例であり、ソフトウェア６１１は、プロセッサ６０１による実行のための命令として格納され、コンピュータ・システム６００に、さまざまな図に関して本明細書において以下で説明されているように動作させる。本明細書では、コンピュータ・プログラム製品およびそのような命令の実行の例がさらに詳細に説明される。通信アダプタ６０７は、システム・バス６０２を、外部のネットワークであってよいネットワーク６１２と相互接続し、コンピュータ・システム６００が他のそのようなシステムと通信できるようにする。１つの実施形態では、システム・メモリ６０３およびマス・ストレージ６１０の一部は、図６に示されたさまざまなコンポーネントの機能を調整するために、ＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎのｚ／ＯＳまたはＡＩＸオペレーティング・システムなどの、任意の適切なオペレーティング・システムであってよいオペレーティング・システムを集合的に格納する。

ディスプレイ・アダプタ６１５およびインターフェイス・アダプタ６１６を介してシステム・バス６０２に接続されているように、その他の入出力デバイスが示されている。１つの実施形態では、アダプタ６０６、６０７、６１５、および６１６は、１つまたは複数のＩ／Ｏバスに接続されてよく、Ｉ／Ｏバスは、中間バス・ブリッジ（図示されていない）を介してシステム・バス６０２に接続される。ディスプレイ６１９（例えば、画面または表示モニタ）は、ディスプレイ・アダプタ６１５によってシステム・バス６０２に接続され、ディスプレイ・アダプタ６１５は、グラフィックス重視のアプリケーションおよびビデオ・コントローラの性能を向上するために、グラフィック・コントローラを含んでよい。キーボード６２１、マウス６２２、スピーカ６２３などは、インターフェイス・アダプタ６１６を介してシステム・バス６０２に相互接続されることが可能であり、例えばインターフェイス・アダプタ６１６は、複数のデバイス・アダプタを単一の集積回路に統合するスーパーＩ／Ｏチップを含んでよい。ハード・ディスク・コントローラ、ネットワーク・アダプタ、およびグラフィックス・アダプタなどの周辺機器を接続するのに適したＩ／Ｏバスは、通常、ＰＣＩ（Peripheral Component Interconnect）などの一般的なプロトコルを含む。したがって、図６で構成されているように、コンピュータ・システム６００は、プロセッサ６０１の形態での処理能力と、システム・メモリ６０３およびマス・ストレージ６１０を含んでいるストレージ能力と、キーボード６２１およびマウス６２２などの入力手段と、スピーカ６２３およびディスプレイ６１９を含んでいる出力能力とを含む。

一部の実施形態では、通信アダプタ６０７は、特に、インターネット、小型コンピュータ・システム・インターフェイスなどの任意の適切なインターフェイスまたはプロトコルを使用して、データを送信することができる。ネットワーク６１２は、特に、セルラー・ネットワーク、無線ネットワーク、広域ネットワーク（ＷＡＮ：wide area network）、ローカル・エリア・ネットワーク（ＬＡＮ：local area network）、またはインターネットであってよい。外部コンピューティング・デバイスは、ネットワーク６１２を介してコンピュータ・システム６００に接続してよい。一部の例では、外部コンピューティング・デバイスは、外部Ｗｅｂサーバまたはクラウド・コンピューティング・ノードであってよい。

図６のブロック図は、コンピュータ・システム６００が図６に示されたコンポーネントのすべてを含むことになるということを示すよう意図されていないということが、理解されるべきである。むしろ、コンピュータ・システム６００は、任意の適切なより少ないコンポーネントまたは図６に示されていない追加のコンポーネント（例えば、追加のメモリ・コンポーネント、組み込まれたコントローラ、モジュール、追加のネットワーク・インターフェイスなど）を含むことができる。さらに、コンピュータ・システム６００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

本発明は、任意の可能な統合の技術的詳細レベルで、システム、方法、またはコンピュータ・プログラム製品、あるいはその組み合わせであってよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を含んでいるコンピュータ可読ストレージ媒体を含んでよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および格納できる有形のデバイスであることができる。コンピュータ可読ストレージ媒体は、例えば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、またはこれらの任意の適切な組み合わせであってよいが、これらに限定されない。コンピュータ可読ストレージ媒体のさらに具体的な例の非網羅的リストは、ポータブル・フロッピー（Ｒ）・ディスク、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ：erasable programmable read-only memoryまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：static random access memory）、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ－ＲＯＭ：compact disc read-only memory）、デジタル・バーサタイル・ディスク（ＤＶＤ：digital versatile disk）、メモリ・スティック、フロッピー（Ｒ）・ディスク、命令が記録されているパンチカードまたは溝の中の隆起構造などの機械的にエンコードされるデバイス、およびこれらの任意の適切な組み合わせを含む。本明細書において使用されるとき、コンピュータ可読ストレージ媒体は、電波もしくは他の自由に伝搬する電磁波、導波管もしくは他の送信媒体を伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを介して送信される電気信号などの，それ自体が一過性の信号であると解釈されるべきではない。

本明細書に記載されたコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体から各コンピューティング・デバイス／処理デバイスへ、またはネットワーク（例えば、インターネット、ローカル・エリア・ネットワーク、広域ネットワーク、またはワイヤレス・ネットワーク、あるいはその組み合わせ）を介して外部コンピュータもしくは外部ストレージ・デバイスへダウンロードされ得る。このネットワークは、銅伝送ケーブル、光伝送ファイバ、ワイヤレス送信、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組み合わせを備えてよい。各コンピューティング・デバイス／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェイスは、コンピュータ可読プログラム命令をネットワークから受信し、それらのコンピュータ可読プログラム命令を各コンピューティング・デバイス／処理デバイス内のコンピュータ可読ストレージ媒体に格納するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：instruction-set-architecture）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、またはＳｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語もしくは同様のプログラミング言語などの手続き型プログラミング言語を含む１つもしくは複数のプログラミング言語の任意の組み合わせで記述されたソース・コードもしくはオブジェクト・コードであってよい。コンピュータ可読プログラム命令は、ユーザのコンピュータ上で全体的に実行すること、ユーザのコンピュータ上でスタンドアロン・ソフトウェア・パッケージとして部分的に実行すること、ユーザのコンピュータ上およびリモート・コンピュータ上でそれぞれ部分的に実行すること、またはリモート・コンピュータ上もしくはサーバ上で全体的に実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）もしくは広域ネットワーク（ＷＡＮ）を含む任意の種類のネットワークを介してユーザのコンピュータに接続されてよく、または接続は、（例えば、インターネット・サービス・プロバイダを使用してインターネットを介して）外部コンピュータに対して行われてよい。一部の実施形態では、本発明の態様を実行するために、例えばプログラマブル論理回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ：field-programmable gate arrays）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：programmable logic arrays）を含む電子回路は、コンピュータ可読プログラム命令の状態情報を利用することによって、電子回路をカスタマイズするためのコンピュータ可読プログラム命令を実行してよい。

本発明の態様は、本明細書において、本発明の実施形態に従って、方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して説明される。フローチャート図またはブロック図あるいはその両方の各ブロック、およびフローチャート図またはブロック図あるいはその両方に含まれるブロックの組み合わせが、コンピュータ可読プログラム命令によって実装され得るということが理解されるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作を実施する手段を作り出すべく、汎用コンピュータ、専用コンピュータ、または他のプログラム可能なデータ処理装置のプロセッサに提供されてマシンを作り出すものであってよい。これらのコンピュータ可読プログラム命令は、命令が格納されたコンピュータ可読ストレージ媒体がフローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作の態様を実施する命令を含んでいる製品を備えるように、コンピュータ可読ストレージ媒体に格納され、コンピュータ、プログラム可能なデータ処理装置、または他のデバイス、あるいはその組み合わせに特定の方式で機能するように指示できるものであってもよい。

コンピュータ可読プログラム命令は、コンピュータ上、他のプログラム可能な装置上、または他のデバイス上で実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作を実施するように、コンピュータ、他のプログラム可能なデータ処理装置、または他のデバイスに読み込まれてもよく、それによって、一連の動作可能なステップを、コンピュータ上、他のプログラム可能な装置上、またはコンピュータ実装プロセスを生成する他のデバイス上で実行させる。

図内のフローチャートおよびブロック図は、本発明のさまざまな実施形態に従って、システム、方法、およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能、および動作を示す。これに関連して、フローチャートまたはブロック図内の各ブロックは、規定された論理機能を実装するための１つまたは複数の実行可能な命令を備える、命令のモジュール、セグメント、または部分を表してよい。一部の代替の実装では、ブロックに示された機能は、図に示された順序とは異なる順序で発生してよい。例えば、連続して示された２つのブロックは、実際には、含まれている機能に応じて、実質的に同時に実行されるか、または場合によっては逆の順序で実行されてよい。ブロック図またはフローチャート図あるいはその両方の各ブロック、およびブロック図またはフローチャート図あるいはその両方に含まれるブロックの組み合わせは、規定された機能もしくは動作を実行するか、または専用ハードウェアとコンピュータ命令の組み合わせを実行する専用ハードウェアベースのシステムによって実装され得るということにも注意する。

本発明のさまざまな実施形態の説明は、例示の目的で提示されているが、網羅的であることは意図されておらず、開示された実施形態に制限されない。説明された実施形態の範囲から逸脱することなく、多くの変更および変形が、当業者にとって明らかになるであろう。本明細書で使用された用語は、実施形態の原理、実際の適用、または市場で見られる技術を超える技術的改良を最も適切に説明するため、または他の当業者が本明細書に記載された実施形態を理解できるようにするために選択されている。

本明細書では、関連する図面を参照して、本発明のさまざまな実施形態が説明される。本発明の範囲を逸脱することなく、本発明の代替の実施形態が考案され得る。以下の説明および図面において、要素間のさまざまな接続および位置関係（例えば、上、下、隣接など）が示される。それらの接続または位置関係あるいはその両方は、特に規定されない限り、直接的または間接的であることができ、本発明はこの点において限定するよう意図されていない。したがって、実体の結合は、直接的結合または間接的結合を指すことができ、実体間の位置関係は、直接的位置関係または間接的位置関係であることができる。さらに、本明細書に記載されたさまざまな作業および工程段階は、本明細書に詳細に記載されない追加の段階または機能を含んでいるさらに包括的な手順または工程に組み込まれ得る。

以下の定義および略称が、特許請求の範囲および本明細書の解釈に使用される。本明細書において使用されるとき、「備える」、「備えている」、「含む」、「含んでいる」、「有する」、「有している」、「含有する」、もしくは「含有している」という用語、またはこれらの任意の他の変形は、非排他的包含をカバーするよう意図されている。例えば、要素のリストを含んでいる組成、混合、工程、方法、製品、または装置は、それらの要素のみに必ずしも限定されず、明示されていないか、またはそのような組成、混合、工程、方法、製品、または装置に固有の、他の要素を含むことができる。

さらに、「例示的」という用語は、本明細書では「例、事例、または実例としての役割を果たす」ことを意味するために使用される。「例示的」として本明細書に記載された実施形態または設計は、必ずしも他の実施形態または設計よりも好ましいか、または有利であると解釈されるべきではない。「少なくとも１つ」および「１つまたは複数」という用語は、１以上の任意の整数（すなわち、１、２、３、４など）を含んでいると理解されてよい。「複数」という用語は、２以上の任意の整数（すなわち、２、３、４、５など）を含んでいると理解されてよい。「接続」という用語は、間接的「接続」および直接的「接続」の両方を含んでよい。

「約」、「実質的に」、「近似的に」、およびこれらの変形の用語は、本願書の出願時に使用できる機器に基づいて、特定の量の測定に関連付けられた誤差の程度を含むよう意図されている。例えば、「約」は、特定の値の±８％もしくは５％、または２％の範囲を含むことができる。

簡潔さの目的で、本発明の態様の作成および使用に関連する従来技術は、本明細書に詳細に記載されることもあれば、または記載されないこともある。具体的には、本明細書に記載されたさまざまな技術的特徴を実装するためのコンピューティング・システムおよび特定のコンピュータ・プログラムのさまざまな態様は、よく知られている。したがって、簡潔さのために、多くの従来の実装に関する詳細は、本明細書では、既知のシステムまたは工程あるいはその両方の詳細を提供することなく、簡潔にのみ述べられるか、または完全に省略される。

Claims (25)

1. コンピューティング・デバイスのプロセッサによって、モバイル・デバイス（１１０Ａ）からコマンド要求を受信することであって、前記コマンド要求が、暗号化された鍵の部分および暗号化された署名鍵を含む、前記受信することと、
   ハードウェア・セキュリティ・モジュール（ＨＳＭ）（１４０）によって、前記モバイル・デバイスのセキュリティ・ゾーンに関連付けられた鍵を使用して前記コマンド要求を復号することと、
   前記ＨＳＭによって、前記暗号化された鍵の部分および前記暗号化された署名鍵を復号して、復号された鍵の部分および復号された署名鍵を生成することであって、前記暗号化された鍵の部分および前記暗号化された署名鍵を復号することが、前記モバイル・デバイスの前記セキュリティ・ゾーンに関連付けられた前記鍵、および前記モバイル・デバイスに関連付けられたリモート管理者に関連付けられた鍵を使用することを含む、前記生成することと、
   前記復号された鍵の部分および前記復号された署名鍵を使用して、ターゲットＨＳＭを含んでいるドメインに対して、前記コマンド要求に基づいてコマンドを生成することと、
   前記コマンドを、前記ターゲットＨＳＭによる実行のために前記ドメインに送信することとを含む、コンピュータ実装方法。
2. 前記コマンド要求が、前記リモート管理者に関連付けられた暗号化されたログオン鍵をさらに含み、前記コンピュータ実装方法が、
   前記ＨＳＭ（１４０）によって、前記暗号化されたログオン鍵を復号して、復号されたログオン鍵を生成することであって、前記暗号化されたログオン鍵を復号することが、前記モバイル・デバイスの前記セキュリティ・ゾーンに関連付けられた前記鍵、および前記モバイル・デバイスに関連付けられた前記リモート管理者に関連付けられた前記鍵を使用することを含む、前記生成することと、
   前記復号されたログオン鍵を、前記コマンドと共に前記ドメインに送信することとをさらに含む、請求項１に記載のコンピュータ実装方法。
3. 前記コンピューティング・デバイスの前記プロセッサによって、第２のモバイル・デバイス（１１０Ｂ）から第２のコマンド要求を受信することであって、前記第２のコマンド要求が、第２の暗号化された鍵の部分および第２の暗号化された署名鍵を含む、前記受信することと、
   前記ＨＳＭ（１４０）によって、前記モバイル・デバイス（１１０Ａ）の前記セキュリティ・ゾーンに関連付けられた前記鍵を使用して前記第２のコマンド要求を復号することと、
   前記ＨＳＭによって、前記第２の暗号化された鍵の部分および前記第２の暗号化された署名鍵を復号して、第２の復号された鍵の部分および第２の復号された署名鍵を生成することであって、前記第２の暗号化された鍵の部分および前記第２の暗号化された署名鍵を復号することが、前記セキュリティ・ゾーンに関連付けられた前記鍵、および前記第２のモバイル・デバイスに関連付けられた異なるリモート管理者に関連付けられた異なる鍵を使用することを含む、前記生成することと、
   前記第２の復号された鍵の部分および前記第２の復号された署名鍵を使用して、前記ターゲットＨＳＭを含んでいる前記ドメインに対して、第２のコマンドを生成することと、
   前記第２のコマンドを前記ドメインに送信することとをさらに含む、請求項１に記載のコンピュータ実装方法。
4. 前記復号された鍵の部分および前記第２の復号された鍵の部分が、前記ドメインの前記ターゲットＨＳＭに関連付けられたマスター鍵の部分である、請求項３に記載のコンピュータ実装方法。
5. 前記セキュリティ・ゾーン内で前記モバイル・デバイスを登録し、前記モバイル・デバイスを前記リモート管理者に関連付けることによって、前記モバイル・デバイス（１１０Ａ）をプロビジョニングすることをさらに含む、請求項１に記載のコンピュータ実装方法。
6. 前記ターゲットＨＳＭによる実行のために、前記コマンドを前記ドメインに前記送信する前に、前記復号された署名鍵を使用して前記コマンドに署名することをさらに含む、請求項１に記載のコンピュータ実装方法。
7. 前記ドメインから受信された結果に基づいて前記モバイル・デバイス（１１０Ａ）にメッセージを送信することをさらに含む、請求項１に記載のコンピュータ実装方法。
8. コンピュータ可読命令を実行するための１つまたは複数のプロセッサを備えているシステムであって、前記コンピュータ可読命令が、前記１つまたは複数のプロセッサを制御して、
   モバイル・デバイス（１１０Ａ）からコマンド要求を受信することであって、前記コマンド要求が、暗号化された鍵の部分および暗号化された署名鍵を含む、前記受信することと、
   ハードウェア・セキュリティ・モジュール（ＨＳＭ）（１４０）によって、前記モバイル・デバイスのセキュリティ・ゾーンに関連付けられた鍵を使用して前記コマンド要求を復号することと、
   前記ＨＳＭによって、前記暗号化された鍵の部分および前記暗号化された署名鍵を復号して、復号された鍵の部分および復号された署名鍵を生成することであって、前記暗号化された鍵の部分および前記暗号化された署名鍵を復号することが、前記モバイル・デバイスの前記セキュリティ・ゾーンに関連付けられた前記鍵、および前記モバイル・デバイスに関連付けられたリモート管理者に関連付けられた鍵を使用することを含む、前記生成することと、
   前記復号された鍵の部分および前記復号された署名鍵を使用して、ターゲットＨＳＭを含んでいるドメインに対して、前記コマンド要求に基づいてコマンドを生成することと、
   前記コマンドを、前記ターゲットＨＳＭによる実行のために前記ドメインに送信することとを含む動作を実行する、システム。
9. 前記コマンド要求が、前記リモート管理者に関連付けられた暗号化されたログオン鍵をさらに含み、前記動作が、
   前記ＨＳＭ（１４０）によって、前記暗号化されたログオン鍵を復号して、復号されたログオン鍵を生成することであって、前記暗号化されたログオン鍵を復号することが、前記モバイル・デバイスの前記セキュリティ・ゾーンに関連付けられた前記鍵、および前記モバイル・デバイスに関連付けられた前記リモート管理者に関連付けられた前記鍵を使用することを含む、前記生成することと、
   前記復号されたログオン鍵を、前記コマンドと共に前記ドメインに送信することとをさらに含む、請求項８に記載のシステム。
10. 前記動作が、
    第２のモバイル・デバイス（１１０Ｂ）から第２のコマンド要求を受信することであって、前記第２のコマンド要求が、第２の暗号化された鍵の部分および第２の暗号化された署名鍵を含む、前記受信することと、
    前記ＨＳＭ（１４０）によって、前記モバイル・デバイス（１１０Ａ）の前記セキュリティ・ゾーンに関連付けられた前記鍵を使用して前記第２のコマンド要求を復号することと、
    前記ＨＳＭによって、前記第２の暗号化された鍵の部分および前記第２の暗号化された署名鍵を復号して、第２の復号された鍵の部分および第２の復号された署名鍵を生成することであって、前記第２の暗号化された鍵の部分および前記第２の暗号化された署名鍵を復号することが、前記セキュリティ・ゾーンに関連付けられた前記鍵、および前記第２のモバイル・デバイスに関連付けられた異なるリモート管理者に関連付けられた異なる鍵を使用することを含む、前記生成することと、
    前記第２の復号された鍵の部分および前記第２の復号された署名鍵を使用して、前記ターゲットＨＳＭを含んでいる前記ドメインに対して、第２のコマンドを生成することと、
    前記第２のコマンドを前記ドメインに送信することとをさらに含む、請求項８に記載のシステム。
11. 前記復号された鍵の部分および前記第２の復号された鍵の部分が、前記ドメインの前記ターゲットＨＳＭに関連付けられたマスター鍵の部分である、請求項１０に記載のシステム。
12. 前記動作が、前記セキュリティ・ゾーン内で前記モバイル・デバイスを登録し、前記モバイル・デバイスを前記リモート管理者に関連付けることによって、前記モバイル・デバイス（１１０Ａ）をプロビジョニングすることをさらに含む、請求項８に記載のシステム。
13. 前記動作が、前記ターゲットＨＳＭによる実行のために、前記コマンドを前記ドメインに前記送信する前に、前記復号された署名鍵を使用して前記コマンドに署名することをさらに含む、請求項８に記載のシステム。
14. 前記動作が、前記ドメインから受信された結果に基づいて前記モバイル・デバイス（１１０Ａ）にメッセージを送信することをさらに含む、請求項８に記載のシステム。
15. プログラム命令が具現化されているコンピュータ可読ストレージ媒体を備えているコンピュータ・プログラムであって、１つまたは複数のプロセッサに、
    モバイル・デバイス（１１０Ａ）からコマンド要求を受信することであって、前記コマンド要求が、暗号化された鍵の部分および暗号化された署名鍵を含む、前記受信することと、
    ハードウェア・セキュリティ・モジュール（ＨＳＭ）（１４０）によって、前記モバイル・デバイスのセキュリティ・ゾーンに関連付けられた鍵を使用して前記コマンド要求を復号することと、
    前記ＨＳＭによって、前記暗号化された鍵の部分および前記暗号化された署名鍵を復号して、復号された鍵の部分および復号された署名鍵を生成することであって、前記暗号化された鍵の部分および前記暗号化された署名鍵を復号することが、前記モバイル・デバイスの前記セキュリティ・ゾーンに関連付けられた前記鍵、および前記モバイル・デバイスに関連付けられたリモート管理者に関連付けられた鍵を使用することを含む、前記生成することと、
    前記復号された鍵の部分および前記復号された署名鍵を使用して、ターゲットＨＳＭを含んでいるドメインに対して、前記コマンド要求に基づいてコマンドを生成することと、
    前記コマンドを、前記ターゲットＨＳＭによる実行のために前記ドメインに送信することとを含む動作を実行させる、コンピュータ・プログラム。
16. 前記コマンド要求が、前記リモート管理者に関連付けられた暗号化されたログオン鍵をさらに含み、前記動作が、
    前記ＨＳＭ（１４０）によって、前記暗号化されたログオン鍵を復号して、復号されたログオン鍵を生成することであって、前記暗号化されたログオン鍵を復号することが、前記モバイル・デバイスの前記セキュリティ・ゾーンに関連付けられた前記鍵、および前記モバイル・デバイスに関連付けられた前記リモート管理者に関連付けられた前記鍵を使用することを含む、前記生成することと、
    前記復号されたログオン鍵を、前記コマンドと共に前記ドメインに送信することとをさらに含む、請求項１５に記載のコンピュータ・プログラム。
17. 第２のモバイル・デバイス（１１０Ｂ）から第２のコマンド要求を受信することであって、前記第２のコマンド要求が、第２の暗号化された鍵の部分および第２の暗号化された署名鍵を含む、前記受信することと、
    前記ＨＳＭ（１４０）によって、前記モバイル・デバイス（１１０Ａ）の前記セキュリティ・ゾーンに関連付けられた前記鍵を使用して前記第２のコマンド要求を復号することと、
    前記ＨＳＭによって、前記第２の暗号化された鍵の部分および前記第２の暗号化された署名鍵を復号して、第２の復号された鍵の部分および第２の復号された署名鍵を生成することであって、前記第２の暗号化された鍵の部分および前記第２の暗号化された署名鍵を復号することが、前記セキュリティ・ゾーンに関連付けられた前記鍵、および前記第２のモバイル・デバイスに関連付けられた異なるリモート管理者に関連付けられた異なる鍵を使用することを含む、前記生成することと、
    前記第２の復号された鍵の部分および前記第２の復号された署名鍵を使用して、前記ターゲットＨＳＭを含んでいる前記ドメインに対して、第２のコマンドを生成することと、
    前記第２のコマンドを前記ドメインに送信することとをさらに含む、請求項１５に記載のコンピュータ・プログラム。
18. 前記復号された鍵の部分および前記第２の復号された鍵の部分が、前記ドメインの前記ターゲットＨＳＭに関連付けられたマスター鍵の部分である、請求項１７に記載のコンピュータ・プログラム。
19. 前記セキュリティ・ゾーン内で前記モバイル・デバイスを登録し、前記モバイル・デバイスを前記リモート管理者に関連付けることによって、前記モバイル・デバイス（１１０Ａ）をプロビジョニングすることをさらに含む、請求項１５に記載のコンピュータ・プログラム。
20. 前記ターゲットＨＳＭによる実行のために、前記コマンドを前記ドメインに前記送信する前に、前記復号された署名鍵を使用して前記コマンドに署名することをさらに含む、請求項１５に記載のコンピュータ・プログラム。
21. 前記ドメインから受信された結果に基づいて前記モバイル・デバイス（１１０Ａ）にメッセージを送信することをさらに含む、請求項１５に記載のコンピュータ・プログラム。
22. コンピューティング・デバイスのプロセッサによって、リモート管理者に関連付けられたモバイル・デバイス（１１０Ａ）から、暗号化された鍵の部分および暗号化された署名鍵を含んでいる鍵読み込み要求を受信することと、
    前記モバイル・デバイスからの前記鍵読み込み要求の妥当性を確認することと、
    前記暗号化された鍵の部分および前記暗号化された署名鍵を復号して、復号された鍵の部分および復号された署名鍵を生成することであって、前記暗号化された鍵の部分および前記暗号化された署名鍵を復号することが、セキュリティ・ゾーン用の認証機関（ＣＡ）証明書の公開鍵に対応する秘密鍵、および前記リモート管理者のプロファイルのＣＡ証明書の公開鍵に対応する秘密鍵を使用することを含む、前記生成することと、
    前記鍵読み込み要求によって指定されたドメインに対する鍵読み込みコマンドを構築することであって、前記鍵読み込みコマンドが、前記復号された鍵の部分を含み、前記復号された署名鍵を使用して署名される、前記構築することと、
    前記鍵読み込みコマンドを、前記ドメインのターゲット・ハードウェア・セキュリティ・モジュール（ＨＳＭ）による実行のために、前記ドメインに送信することとを含む、コンピュータ実装方法。
23. 前記セキュリティ・ゾーン用の前記ＣＡ証明書の前記公開鍵を使用して前記鍵読み込み要求が暗号化され、前記鍵読み込み要求の妥当性を確認することが、前記セキュリティ・ゾーン用の前記ＣＡ証明書の前記公開鍵に対応する前記秘密鍵を使用して前記鍵読み込み要求を復号することを含む、請求項２２に記載のコンピュータ実装方法。
24. セキュアなコンピューティング・デバイスのプロセッサによって、リモート管理者に関連付けられたモバイル・デバイス（１１０Ａ）から、暗号化された鍵の部分および暗号化された署名鍵を含んでいる暗号化されたハードウェア・セキュリティ・モジュール（ＨＳＭ）コマンド要求を受信することと、
    前記モバイル・デバイスからの前記暗号化されたＨＳＭコマンド要求を復号することと、
    前記セキュアなコンピューティング・デバイスのＨＳＭ（１４０）によって、前記暗号化された鍵の部分および前記暗号化された署名鍵を復号して、復号された鍵の部分および復号された署名鍵を生成することと、
    前記復号された鍵の部分および前記復号された署名鍵に少なくとも部分的に基づいて、指定されたドメインに対する前記暗号化されたＨＳＭコマンド要求に対応するＨＳＭコマンドを生成することと、
    前記ＨＳＭコマンドを、前記指定されたドメインのターゲットＨＳＭによる実行のために、前記指定されたドメインに送信することとを含む、コンピュータ実装方法。
    
25. 前記指定されたドメインから受信された結果に基づいて前記モバイル・デバイス（１１０Ａ）にメッセージを送信することをさらに含む、請求項２４に記載のコンピュータ実装方法。