WO2020262456A1

WO2020262456A1 - 実行コード提供方法およびソフトウェア開発システム

Info

Publication number: WO2020262456A1
Application number: PCT/JP2020/024799
Authority: WO
Inventors: 久利寿帝都
Original assignee: Connectfree Corp
Current assignee: Connectfree Corp
Priority date: 2019-06-26
Filing date: 2020-06-24
Publication date: 2020-12-30
Anticipated expiration: 2021-12-26
Also published as: JP7672041B2; JP2024023911A; US20250284793A1; US20220269773A1; TW202101200A; TWI842920B; JP7842412B2; TW202443383A; EP3992777A4; EP3992777C0; TWI899959B; EP3992777B1; JP2021005250A; US12332994B2; EP3992777A1

Abstract

アプリケーションプログラムの安全性を担保できるソリューションが提供される。実行コード提供方法は、ユーザ操作に従ってソースコードを作成するステップと、ソースコードから中間表現を生成するステップと、中間表現が所定の規定あるいは規約を満たしているか否かを検証するステップと、中間表現が所定の規定あるいは規約を満たしている場合に、中間表現から生成される実行コードの実行を実現するステップとを含む。

Description

実行コード提供方法およびソフトウェア開発システム

　本開示は、実行コード提供方法およびソフトウェア開発システムに関する。

　近年の情報通信技術（Information　and　Communication　Technology：ＩＣＴ）の進歩は目覚ましく、インターネットなどのネットワークに接続されるデバイスは、従来のパーソナルコンピュータやスマートフォンといった情報処理装置に限らず、様々なモノ（things）に広がっている。このような技術トレンドは、「ＩｏＴ（Internet　of　Things；モノのインターネット）」と称され、様々な技術およびサービスが提案および実用化されつつある。将来的には、地球上の数十億人と数百億または数兆のデバイスとが同時につながる世界が想定されている。このようなネットワーク化された世界を実現するためには、よりシンプル、より安全、より自由につながることができるソリューションを提供する必要がある。

　ＩｏＴで利用されるデバイス（「エッジデバイス」とも称される。）のインテリジェント化に伴って、エッジデバイスでは様々な種類のアプリケーションプログラムが実行可能になる。一方で、エッジデバイスに対する安全性は、リソース制約などによって、サーバやパーソナルコンピュータなどに対する安全性と同程度まで高めることは容易ではない。そのため、エッジデバイスに組み入れられるアプリケーションプログラムに対する検証などが重要になってくる。

　例えば、特開２０１４－１７４５７７号公報（特許文献１）は、Ｗｅｂアプリケーションの脆弱性をソースコードレベルで検証する静的解析ツールの改良を開示する。

特開２０１４－１７４５７７号公報

　エッジデバイスなどで利用されるアプリケーションプログラムは、ソースコードの形態ではなく、実行コード生成前の中間表現（intermediate　representation）として流通することも多い。このような中間表現を採用することで、ソースコードに含まれるノウハウなどを秘匿化するとともに、データ量を低減できるという利点がある。

　上述の特許文献１に開示されるように、ソースコードを解析してセキュリティホールや脆弱性などを評価することは一般的であるが、ソースコード以外の形式でセキュリティホールや脆弱性などを評価することは容易ではない。

　本開示の典型的な目的は、エッジデバイスなどに好適な、アプリケーションプログラムの安全性を担保できるソリューションを提供することである。

　本開示のある形態に従う実行コード提供方法は、ユーザ操作に従ってソースコードを作成するステップと、ソースコードから中間表現を生成するステップと、中間表現が所定の規定あるいは規約を満たしているか否かを検証するステップと、中間表現が所定の規定あるいは規約を満たしている場合に、中間表現から生成される実行コードの実行を実現するステップとを含む。

　実行コードの実行を実現するステップは、中間表現が所定の規定あるいは規約を満たしていることを条件として、中間表現から実行コードを生成するステップを含んでいてもよい。

　実行コードの実行を実現するステップは、中間表現が所定の規定あるいは規約を満たしていることを条件として、中間表現から生成された実行コードの実行を許可するステップを含んでいてもよい。

　実行コード提供方法は、実行コードが実行されるコントローラの起動時に、当該実行コードを生成した中間表現に関連付けて発行された証明書に基づいて、当該実行コードの正当性を評価するステップをさらに含んでいてもよい。

　検証するステップは、中間表現が所定の規定あるいは規約を満たしている場合に、中間表現に関連付けられる証明書を発行するステップを含み、中間表現から生成された実行コードの実行を許可するステップは、証明書に基づいて実行の可否を判断するステップを含んでいてもよい。

　検証するステップは、中間表現が所定の規定あるいは規約を満たしていない場合に、所定の規定あるいは規約を満たしていない内容をユーザに通知するステップを含んでいてもよい。

　本開示の別の形態に従うソフトウェア開発システムは、ソースコードの作成を支援するソフトウェア開発装置と、ソフトウェア開発装置からアクセス可能な検証サーバとを含む。ソフトウェア開発装置は、ソースコードから中間表現を生成する手段を含む。検証サーバは、中間表現が所定の規定あるいは規約を満たしているか否かを検証する手段を含む。中間表現が所定の規定あるいは規約を満たしている場合に、中間表現から生成される実行コードの実行が実現される。

　本開示によれば、アプリケーションプログラムの安全性を担保できるソリューションを提供できる。

本実施の形態に従うソフトウェア開発システムにおける処理の概要を説明するための図である。本実施の形態に従うソフトウェア開発システムにおけるソースコードから実行コードを生成する手順の概要を示す図である。本実施の形態に従うソフトウェア開発システムにおけるソースコードから実行コードを生成する手順の概要を示す図である。本実施の形態に従うソフトウェア開発装置のハードウェア構成例を示す模式図である。本実施の形態に従う検証サーバのハードウェア構成例を示す模式図である。本実施の形態に従うソフトウェア開発システムにおける処理手順の一例を示すフローチャートである。

　本開示に係る実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰り返さない。

　＜Ａ．概要＞
　まず、本実施の形態に従うソフトウェア開発システム１における処理の概要を説明する。本実施の形態においては、ソースコード１０から生成される中間表現２０自体を検証し、その検証結果が適切であることを条件に、対応する実行コード３０の生成、あるいは、生成された実行コード３０の実行を許容する。中間表現２０に対する検証において、中間表現２０が所定の規定あるいは規約を満たす場合に適切と判断される。

　本明細書において、「中間表現」は、コンパイラ基盤において、任意のプログラミング言語（通常は、高級言語）で記載されたソースコードを特定の仮想マシンをターゲットとして生成される、当該仮想マシン用のマシン語を包含する。但し、「中間表現」は、必ずしもバイナリ形式である必要はなく、アセンブラ言語のような自然言語に類似した形式で表現されてもよい。さらに、「中間表現」は、特定の仮想マシンをターゲットとして生成されるものであれば、どのような表現形式を採用してもよい。

　通常、「中間表現」は、実行コード３０が実行されるプラットフォームおよびアーキテクチャとは独立して生成される。このようなソースコード１０から中間表現２０の生成には、静的コンパイラが用いられてもよい。さらに、「中間表現」は、特定のプラットフォームおよびアーキテクチャに向けられた実行コード３０としてコンパイルされてもよい。「中間表現」および「実行コード」は、セットとして生成される。「中間表現」は、元になったソースコードに比較してデータ量が削減されるとともに、記述される処理自体も効率化できる。

　ソースコード１０から中間表現２０の生成は、基本的には一方向の変換であり、中間表現２０からソースコード１０を完全に復元することは難しい。中間表現２０と実行コード３０との間は、双方向に変換することも可能である。

　図１は、本実施の形態に従うソフトウェア開発システム１における処理の概要を説明するための図である。図１（Ａ）には、ソースコード１０から生成される中間表現２０に対する検証が成功したことを、実行コード３０の生成条件とする例を示す。図１（Ｂ）には、ソースコード１０から生成される中間表現２０に対する検証が成功したことを、中間表現２０から生成された実行コード３０の実行条件とする例を示す。

　図１（Ａ）および（Ｂ）に示すように、ソースコード１０から生成された中間表現２０が任意の主体により検証される。図１（Ａ）および（Ｂ）に示す例では、検証サーバ２００が中間表現２０を検証する例を示すが、これに限られず、任意の主体によって検証されてもよい。

　図１（Ａ）を参照して、検証サーバ２００による検証結果が適切なものである場合には、検証サーバ２００は、中間表現２０に対して認証を与える。中間表現２０に対する認証が生成条件として、中間表現２０から実行コード３０が生成される。このように、中間表現２０に対する検証を実行コード３０の生成条件に含めるようにしてもよい。このような生成条件を採用することで、生成される実行コード３０についての安全性を高めることができる。

　図１（Ｂ）を参照して、検証サーバ２００による検証結果が適切なものである場合には、検証サーバ２００は、中間表現２０に対する認証を含む証明書４０を発行する。並行して、中間表現２０から実行コード３０が生成される。生成された実行コード３０の実行には、対応する証明書４０の存在を条件としてもよい。このように、中間表現２０に対する証明書４０の存在を実行コード３０の実行条件に含めるようにしてもよい。このような実行条件を採用することで、安全性が損なわれた状態で実行コード３０が実行される可能性を低減できる。

　以上のように、本実施の形態における一連のプロセスにおいては、中間表現２０が所定の規定あるいは規約を満たす場合（検証結果が適切である場合）に、その中間表現２０に対応する実行コード３０の生成または実行を許可するとの認証が与えられる。逆に、中間表現２０が所定の規定あるいは規約を満たさない場合（検証結果が不適切である場合）には、認証が与えられず、その中間表現２０に対応する実行コード３０の生成または実行ができない。すなわち、中間表現２０が所定の規定あるいは規約を満たしている場合に、中間表現２０から生成される実行コード３０の実行が実現される。

　実行コード３０の実行を実現する処理としては、図１（Ａ）に示すように、中間表現２０が所定の規定あるいは規約を満たしていることを条件として、中間表現２０から実行コード３０を生成する処理を採用してもよい。あるいは、実行コード３０の実行を実現する処理としては、図１（Ｂ）に示すように、中間表現２０が所定の規定あるいは規約を満たしていることを条件として、中間表現２０から生成された実行コード３０の実行を許可する処理を採用してもよい。このとき、中間表現２０から生成された実行コード３０の実行を許可するか否かは、中間表現２０に関連付けられた証明書４０に基づいて判断してもよい。なお、実行の可否は、実行コード３０の実行環境（プロセッサあるいはプロセッサを含むマイクロコンピュータなど）で判断してもよい。

　このように、本実施の形態においては、ソースコード１０ではなく中間表現２０に対する検証を行うことで、ソースコード１０に含まれるノウハウなどを秘匿化した状態で、アプリケーションプログラムに含まれる安全性についてのリスクをより効率的に発見できる。また、中間表現２０に対する検証を行うことで、ソースコード１０の記述に用いられたプログラミング言語の種類に応じた複数の検証ルールセットなどを用意する必要がなく、効率的な検証を実現できる。

　次に、本実施の形態に従うソフトウェア開発システム１を用いた実行コード３０の生成手順の一例について説明する。

　図２および図３は、本実施の形態に従うソフトウェア開発システム１におけるソースコード１０から実行コード３０を生成する手順の概要を示す図である。

　図２を参照して、ソフトウェア開発システム１は、１または複数のソフトウェア開発装置１００と、ソフトウェア開発装置１００からインターネット２などを介してアクセス可能な検証サーバ２００とを含む。

　ソフトウェア開発装置１００は、エッジデバイス４に含まれるコントローラ３００で実行されるアプリケーションプログラムの作成を支援する。但し、本発明の技術的範囲は、エッジデバイス４で実行されるアプリケーションプログラムの作成に限定されるものではなく、任意のコンピューティングデバイスで実行されるアプリケーションプログラムの作成に適用可能である。

　ソフトウェア開発装置１００には、統合開発環境（ＩＤＥ：Integrated　Development　Environment）が提供されており、ユーザは統合開発環境上で任意のアプリケーションプログラムを作成できる。

　エッジデバイス４に含まれるコントローラ３００は、コンピューティングデバイスの一例であり、プロセッサを含む。エッジデバイス４としては、どのようなデバイスであってもよいが、典型的には、工場設備、家庭内の各種装置、社会インフラ設備、車両などの移動体、任意の携帯デバイスなどが想定される。後述するように、コントローラ３００は、プロセッサを有しており、ソフトウェア開発装置１００からのアプリケーションプログラムを実行可能になっている。

　まず、ユーザは、ソフトウェア開発装置１００を用いてソースコードを作成する（（１）ソースコード作成）。そして、作成されたソースコードは、ソフトウェア開発装置１００においてコンパイルされて中間表現２０が生成される（（２）中間表現生成）。

　中間表現２０から実行コード３０が生成される前に中間表現２０が検証される。図２に示す例においては、生成された中間表現２０が検証サーバ２００へ送信される（（３）中間表現検証依頼）。そして、検証サーバ２００は、ソフトウェア開発装置１００からの中間表現２０を検証する（（４）中間表現の検証）。検証サーバ２００はソフトウェア開発装置１００へ検証結果を応答する。対象の中間表現２０がすべての検証にパスすれば、検証サーバ２００は、検証結果が適切であったことを示す認証をソフトウェア開発装置１００へ送信することになる。

　ソフトウェア開発装置１００は、検証結果が適切であったことを示す認証を検証サーバ２００から受信すると（（５）検証結果（認証）受信）、中間表現２０から実行コード３０を生成する（（６）実行コード生成）。

　そして、ソフトウェア開発装置１００は、生成した実行コード３０をエッジデバイス４のコントローラ３００へ転送する（（７）実行コード転送）。そして、エッジデバイス４のコントローラ３００は、必要に応じて、転送された実行コード３０を実行する（（８）実行コードの実行）。

　図２および図３に示すような一連の処理によって、エッジデバイス４のコントローラ３００において、セキュアなアプリケーションプログラムを実行させることができる。

　＜Ｂ．ハードウェア構成例＞
　次に、本実施の形態に従うソフトウェア開発システム１を構成する主要装置のハードウェア構成例について説明する。

　（ｂ１：ソフトウェア開発装置１００）
　ソフトウェア開発装置１００は、典型的には汎用コンピュータで実現される。

　図４は、本実施の形態に従うソフトウェア開発装置１００のハードウェア構成例を示す模式図である。図４を参照して、ソフトウェア開発装置１００は、主たるコンポーネントとして、プロセッサ１０２と、メインメモリ１０４と、入力部１０６と、ディスプレイ１０８と、ハードディスク１１０と、通信インターフェイス１２２とを含む。これらのコンポーネントは、内部バス１２０を介して接続されている。

　プロセッサ１０２は、例えば、ＣＰＵ（Central　Processing　Unit）やＧＰＵ（Graphics　Processing　Unit）などで構成される。複数のプロセッサ１０２が配置されてもよいし、複数のコアを有するプロセッサ１０２を採用してもよい。

　メインメモリ１０４は、ＤＲＡＭ（Dynamic　Random　Access　Memory）やＳＲＡＭ（Static　Random　Access　Memory）などの揮発性記憶装置で構成される。ハードディスク１１０は、プロセッサ１０２で実行される各種プログラムや各種データを保持する。なお、ハードディスク１１０に代えて、ＳＳＤ（Solid　State　Drive）やフラッシュメモリなどの不揮発性記憶装置を採用してもよい。ハードディスク１１０に格納されたプログラムのうち、指定されたプログラムコードがメインメモリ１０４上に展開され、プロセッサ１０２は、メインメモリ１０４上に展開されたプログラムコードに含まれるコンピュータ可読命令（computer-readable　instructions）を順次実行することで、後述するような各種機能を実現する。

　典型的には、ハードディスク１１０には、ユーザが任意に作成するソースコード１０と、統合開発環境を実現するためのソフトウェア開発プログラム１１４と、ソースコード１０から生成される実行コード３０とが格納される。ソフトウェア開発プログラム１１４は、ユーザが任意に作成するソースコード１０から中間表現２０を介して実行コード３０を生成するものであり、アプリケーションプログラムの開発環境を提供するモジュールを含む。但し、中間表現２０を検証した結果が適切であることを条件に、対応する実行コード３０の生成あるいは実行が許容される。

　入力部１０６は、ソフトウェア開発装置１００を操作するユーザの入力操作を受け付ける。入力部１０６は、例えば、キーボード、マウス、表示デバイス上に配置されたタッチパネル、ソフトウェア開発装置１００の筐体に配置された操作ボタンなどであってもよい。

　ディスプレイ１０８は、プロセッサ１０２での処理結果などを表示する。ディスプレイ１０８は、例えば、ＬＣＤ（Liquid　Crystal　Display）や有機ＥＬ（Electro-Luminescence)ディスプレイなどであってもよい。

　通信インターフェイス１２２は、検証サーバ２００とのデータ交換を担当する。通信インターフェイス１２２は、例えば、インターネットを介した通信ができるように、イーサネット（登録商標）ポートを含んでいてもよい。

　なお、ソフトウェア開発装置１００の全部または一部は、コンピュータ可読命令に相当する回路が組み込まれたＡＳＩＣ（Application　Specific　Integrated　Circuit）などのハードワイヤード回路を用いて実現してもよい。さらにあるいは、ＦＰＧＡ（field-programmable　gate　array）上にコンピュータ可読命令に相当する回路を用いて実現してもよい。また、プロセッサ１０２およびメインメモリ、ＡＳＩＣ、ＦＰＧＡなどを適宜組み合わせて実現してもよい。

　ソフトウェア開発装置１００は、コンピュータ可読命令を含むソフトウェア開発プログラム１１４を格納する非一過性（non-transitory）のメディアから、当該格納しているプログラムなどを読み出すためのコンポーネントをさらに有していてもよい。メディアは、例えば、ＤＶＤ（Digital　Versatile　Disc）などの光学メディア、ＵＳＢメモリなどの半導体メディアなどであってもよい。

　なお、ソフトウェア開発プログラム１１４は、メディアを介してソフトウェア開発装置１００にインストールされるだけではなく、ネットワーク上の配信サーバから提供されるようにしてもよい。

　（ｂ２：検証サーバ２００）
　検証サーバ２００についても、典型的には汎用コンピュータで実現される。

　図５は、本実施の形態に従う検証サーバ２００のハードウェア構成例を示す模式図である。図５を参照して、検証サーバ２００は、主たるコンポーネントとして、１または複数のプロセッサ２０２と、メインメモリ２０４と、入力部２０６と、ディスプレイ２０８と、ハードディスク２１０と、通信インターフェイス２２２とを含む。これらのコンポーネントは、内部バス２２０を介して接続されている。

　プロセッサ２０２は、例えば、ＣＰＵやＧＰＵなどで構成される。複数のプロセッサ２０２が配置されてもよいし、複数のコアを有するプロセッサ２０２を採用してもよい。

　メインメモリ２０４は、ＤＲＡＭやＳＲＡＭなどの揮発性記憶装置で構成される。ハードディスク２１０は、プロセッサ２０２で実行される各種プログラムや各種データを保持する。なお、ハードディスク２１０に代えて、ＳＳＤやフラッシュメモリなどの不揮発性記憶装置を採用してもよい。ハードディスク２１０に格納されたプログラムのうち、指定されたプログラムコードがメインメモリ２０４上に展開され、プロセッサ２０２は、メインメモリ２０４上に展開されたプログラムコードに含まれるコンピュータ可読命令を順次実行することで、後述するような各種機能を実現する。

　典型的には、ハードディスク２１０には、外部からの依頼を受けて評価処理を実行するための評価エンジン２１２と、評価エンジン２１２による評価結果に応じて証明書を発行するための証明書発行エンジン２１４と、評価エンジン２１２による評価処理に用いられる評価ルール２１６とが格納される。評価エンジン２１２は、中間表現２０が所定の規定あるいは規約を満たしているか否かを検証する。証明書発行エンジン２１４は、中間表現２０が所定の規定あるいは規約を満たしている場合に、中間表現２０に関連付けられる証明書４０を発行する。これらの要素の動作およびデータ構造などの詳細については後述する。

　入力部２０６は、コントローラ３００を操作するユーザの入力操作を受け付ける。ディスプレイ２０８は、プロセッサ２０２での処理結果などを表示する。

　通信インターフェイス２２２は、ソフトウェア開発装置１００とのデータ交換を担当する。通信インターフェイス２２２は、例えば、インターネットを介した通信ができるように、イーサネット（登録商標）ポートを含んでいてもよい。

　なお、検証サーバ２００の全部または一部は、コンピュータ可読命令に相当する回路が組み込まれたＡＳＩＣなどのハードワイヤード回路を用いて実現してもよい。さらにあるいは、ＦＰＧＡ上にコンピュータ可読命令に相当する回路を用いて実現してもよい。また、プロセッサ２０２およびメインメモリ、ＡＳＩＣ、ＦＰＧＡなどを適宜組み合わせて実現してもよい。

　なお、実行に必要なプログラムは、メディアを介して検証サーバ２００にインストールされるだけではなく、ネットワーク上の配信サーバから提供されるようにしてもよい。

　＜Ｃ．検証処理＞
　次に、本実施の形態に従うソフトウェア開発システム１における検証処理について説明する。

　上述したように、本実施の形態における中間表現２０に対する検証は、中間表現２０が所定の規定あるいは規約を満たすか否かを判断する処理を含む。

　所定の規定あるいは規約としては、アプリケーションプログラム（中間表現２０および対応する実行コード３０）が安全であるための条件を含む。このような安全であるための条件としては、典型的には、以下のようなものが挙げられる。

　（１）安全性が確認できないメモリ操作（あるいは、危険なメモリ操作）が含まれていないこと（あるいは、そのようなメモリ操作がコンパイル可能ではないこと）
　（２）コード中に未定義動作が存在しないこと
　（３）エラー処理構文が欠如していないこと（エラー処理構文が適切に含まれていること）
　（４）無秩序なエラー処理が含まれていないこと
　上記（１）の安全性が確認できないメモリ操作（あるいは、危険なメモリ操作）は、システム領域やセキュア領域に対するメモリアクセスや、メモリ領域に対するブロック消去やブロック書き込みなどのメモリ操作を含む。

　上記（２）の未定義動作は、コード中に処理が定義されていないプロシージャやファンクションを含む。

　上記（３）のエラー処理構文は、例外が発生した場合の処理を規定する記述を含む。
　上記（４）の無秩序なエラー処理は、例外が発生した場合の過度なエラー処理などを含む。

　さらに、所定の規定あるいは規約としては、アプリケーションプログラム（中間表現２０および対応する実行コード３０）に、いわゆるバックドアが存在しないことを含む。バックドアは、アプリケーションプログラムの利用者が認識しない方法で、（通常は、悪意のある）第三者がアプリケーションプログラムにアクセスするための機能や接続口などを意味する。中間表現２０に対する検証においては、外部からのアクセス経路が中間表現２０に含まれるか否かが判断される。

　上述したような検証処理は、所定の規定あるいは規約を含む評価ルール２１６（図５）を参照することで実現するようにしてもよいし、いわゆるＡＩ（Artificial　Intelligence）などの機械学習を用いて、検証処理を実現するための検証モデルを逐次更新するようにしてもよい。

　本実施の形態に従うソフトウェア開発システム１における検証処理については、検証サーバ２００で実行するようにしてもよいし、ソフトウェア開発装置１００において実行するようにしてもよい。検証サーバ２００で実行する場合には、クラウドコンピューティングの形態で実装してもよい。さらに、ソフトウェア開発装置１００において検証処理を実行する場合には、外部の認証機関により認証された評価ルール２１６を用いるようにしてもよい。

　本実施の形態に従うソフトウェア開発システム１における検証処理については、所定の規定あるいは規約を満たさないと判断された内容の詳細をユーザなどの通知するようにしてもよい。

　＜Ｄ．処理手順＞
　次に、本実施の形態に従うソフトウェア開発システム１における処理手順について説明する。

　図６は、本実施の形態に従うソフトウェア開発システム１における処理手順の一例を示すフローチャートである。図６に示すソフトウェア開発装置１００が実行する処理については、典型的には、ソフトウェア開発装置１００のプロセッサ１０２がソフトウェア開発プログラム１１４を実行することで実現されてもよい。同様に、検証サーバ２００が実行する処理については、典型的には、検証サーバ２００のプロセッサ２０２が必要なプログラムを実行することで実現されてもよい。

　図６を参照して、ソフトウェア開発装置１００は、ユーザ操作に従ってソースコード１０を作成する（ステップＳ１００）。ソースコード１０の作成後、ソフトウェア開発装置１００は、ユーザ操作に従って、ソースコード１０をコンパイルして、ソースコード１０から中間表現２０を生成する（ステップＳ１０２）。

　ソフトウェア開発装置１００は、生成した中間表現２０に対する検証を検証サーバ２００へ依頼し（ステップＳ１０４）、検証サーバ２００からの応答を待つ（ステップＳ１０６）。検証サーバ２００は、ソフトウェア開発装置１００からの検証依頼に応答して、依頼された中間表現２０に対する検証を行う（ステップＳ２００）。

　すなわち、ステップＳ１０４およびＳ２００においては、中間表現２０が所定の規定あるいは規約を満たしているか否かを検証する処理が実行される。

　検証結果が適切であれば（ステップＳ２０２においてＹＥＳ）、ソフトウェア開発装置１００は、中間表現２０に対する認証をソフトウェア開発装置１００へ応答する（ステップＳ２０４）。一方、検証結果が適切でなければ（ステップＳ２０２においてＮＯ）、ソフトウェア開発装置１００は、中間表現２０に対する認証を与えず、検証結果が不適切であった旨をソフトウェア開発装置１００へ応答する（ステップＳ２０６）。

　検証サーバ２００から中間表現２０に対する認証が応答されると（ステップＳ１０８においてＹＥＳ）、ソフトウェア開発装置１００は、対象の中間表現２０から実行コード３０を生成する（ステップＳ１１０）。そして、ソフトウェア開発装置１００は、生成した実行コード３０をターゲットのコントローラ３００へ転送する（ステップＳ１１２）。そして、処理は終了する。

　このように、中間表現２０が所定の規定あるいは規約を満たしている場合に、中間表現２０から生成される実行コード３０の実行が実現される。

　一方、検証サーバ２００から中間表現２０に対する認証が応答されなければ（ステップＳ１０８においてＮＯ）、ソフトウェア開発装置１００は、ソースコード１０または中間表現２０が所定の規定あるいは規約を満たしていない旨をユーザに通知する（ステップＳ１１４）。このように、中間表現２０が所定の規定あるいは規約を満たしていない場合に、所定の規定あるいは規約を満たしていない内容をユーザに通知する処理を採用してもよい。そして、処理は終了する。

　＜Ｅ．実行環境＞
　本実施の形態に従うソフトウェア開発システム１において生成された実行コード３０は、配布先のコントローラ３００を構成するプロセッサあるいはマイクロコンピュータのセキュア領域に格納されることが好ましい。すなわち、中間表現２０に対する認証を条件として生成された実行コード３０に対して、何らかの改ざん行為が行われないように、実行環境において何らかの対処を行うことが好ましい。

　また、本実施の形態に従うソフトウェア開発システム１において生成された中間表現２０に対する証明書４０および中間表現２０から生成される実行コード３０のいずれにも共通の署名（例えば、認証された中間表現２０から生成されるハッシュ値）を埋め込んでおき、対応する証明書４０が存在することを条件としてもよい。この場合には、実行コード３０を実行する環境（典型的には、マイクロコンピュータのファームウェア）において、実行コード３０に含まれる署名と、対応する証明書４０に含まれる署名との一致を確認する処理を実装してもよい。

　また、実行環境において、実行コード３０を実行するか否かの評価（正当性の判断）は、いずれのタイミングで行ってもよいが、典型的には、実行環境であるコントローラ３００の起動時（ファームウェアの起動中あるいは起動直後のアプリケーション実行開始前）に行うようにしてもよい。すなわち、実行コード３０が実行されるコントローラ３００の起動時に、その実行コード３０を生成した中間表現２０に関連付けて発行された証明書４０に基づいて、その実行コード３０の正当性を評価するようにしてもよい。コントローラ３００の起動時に、アプリケーションプログラムの実行コード３０が認証されていることを確認することで、コントローラ３００などで好ましくない処理が実行される事態を回避できる。

　＜Ｆ．変形例＞
　ソフトウェア開発装置１００から検証サーバ２００へ中間表現２０の検証を依頼する際には、対象の中間表現２０を暗号化してもよい。これによって、ソフトウェア開発装置１００と検証サーバ２００との間で遣り取りされる中間表現２０に対する改ざんなどを防止できる。

　検証サーバ２００が発行する証明書４０には、認証局からの署名などを付与するようにしてもよい。これによって、検証サーバ２００が発行する証明書４０に対する改ざんなどの不正行為を防止できる。

　上述の説明においては、ソフトウェア開発装置１００がソースコード１０の生成処理、中間表現２０の生成処理および実行コード３０の生成処理を実行する構成例について説明した、これらの処理を複数のコンピューティングデバイスで分散的に実行するようにしてもよい。

　本実施の形態に従う中間表現２０に対する検証および検証結果を示す証明書４０の発行というフレームワークは、アプリケーションを販売あるいは配布する仕組みにも応用可能である。例えば、アプリケーションの開発者がアプリケーションプログラム（実行コード３０）をアプリケーション配布サーバにアップロードする際には、対応する中間表現２０および／または証明書４０を併せてアップロードすることを要求することで、アプリケーション配布サーバ側において、配布予定の実行コード３０を直接的または間接的に検証できる。このように、本実施の形態に従う仕組みを導入することで、バックドアなどが仕組まれたアプリケーションプログラムが配布されるような事態を回避できる。

　＜Ｇ．利点＞
　本実施の形態においては、ソースコード１０ではなく中間表現２０に対する検証を行うことで、ソースコード１０に含まれるノウハウなどを秘匿化した状態で、アプリケーションプログラムに含まれる安全性についてのリスクをより効率的に発見できる。また、中間表現２０に対する検証を行うことで、ソースコード１０の記述に用いられたプログラミング言語の種類に応じた複数の検証ルールセットなどを用意する必要がなく、効率的な検証を実現できる。

　今回開示された実施の形態はすべての点で例示であって制限的なものでないと考えられるべきである。本発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

　１　ソフトウェア開発システム、２　インターネット、４　エッジデバイス、１０　ソースコード、２０　中間表現、３０　実行コード、４０　証明書、１００　ソフトウェア開発装置、１０２，２０２　プロセッサ、１０４，２０４　メインメモリ、１０６，２０６　入力部、１０８，２０８　ディスプレイ、１１０，２１０　ハードディスク、１１４　ソフトウェア開発プログラム、１２０，２２０　内部バス、１２２，２２２　通信インターフェイス、２００　検証サーバ、２１２　評価エンジン、２１４　証明書発行エンジン、２１６　評価ルール、３００　コントローラ。

Claims

　ユーザ操作に従ってソースコードを作成するステップと、
　前記ソースコードから中間表現を生成するステップと、
　前記中間表現が所定の規定あるいは規約を満たしているか否かを検証するステップと、
　前記中間表現が前記所定の規定あるいは規約を満たしている場合に、前記中間表現から生成される実行コードの実行を実現するステップとを備える、実行コード提供方法。
　前記実行コードの実行を実現するステップは、前記中間表現が前記所定の規定あるいは規約を満たしていることを条件として、前記中間表現から前記実行コードを生成するステップを含む、請求項１に記載の実行コード提供方法。
　前記実行コードの実行を実現するステップは、前記中間表現が前記所定の規定あるいは規約を満たしていることを条件として、前記中間表現から生成された前記実行コードの実行を許可するステップを含む、請求項１に記載の実行コード提供方法。
　前記検証するステップは、前記中間表現が前記所定の規定あるいは規約を満たしている場合に、前記中間表現に関連付けられる証明書を発行するステップを含み、
　前記中間表現から生成された前記実行コードの実行を許可するステップは、前記証明書に基づいて実行の可否を判断するステップを含む、請求項３に記載の実行コード提供方法。
　前記実行コードが実行されるコントローラの起動時に、当該実行コードを生成した中間表現に関連付けて発行された証明書に基づいて、当該実行コードの正当性を評価するステップをさらに備える、請求項３または４に記載の実行コード提供方法。
　前記検証するステップは、前記中間表現が前記所定の規定あるいは規約を満たしていない場合に、前記所定の規定あるいは規約を満たしていない内容をユーザに通知するステップを含む、請求項１～５のいずれか１項に記載の実行コード提供方法。
　ソフトウェア開発システムであって、
　ソースコードの作成を支援するソフトウェア開発装置と、
　前記ソフトウェア開発装置からアクセス可能な検証サーバとを備え、
　前記ソフトウェア開発装置は、前記ソースコードから中間表現を生成する手段を備え、
　前記検証サーバは、前記中間表現が所定の規定あるいは規約を満たしているか否かを検証する手段を備え、
　前記中間表現が前記所定の規定あるいは規約を満たしている場合に、前記中間表現から生成される実行コードの実行が実現される、ソフトウェア開発システム。