セキュリティモデルを構成する3つのコンセプト：Symbian OS開発の勘所（10）（3/4 ページ）

1．TCBケイパビリティ

　TCB（こっちは信頼のレベル）にのみ許されることを表現するための、TCBというケイパビリティが存在します。このケイパビリティを持っていると\sysおよび\resourceディレクトリへの書き込みアクセスが許可されます。その結果何ができるようになるかというと、セキュリティを保つうえでカギとなる実行ファイルの読み書きです。表1でファイルサーバ（F32）やインストーラ（SWInstaller）がカーネルと同じ信頼レベルに入っていた理由がこれです。ファイルサーバはプロセス生成の際に実行ファイルの読み出しを行いますし、インストーラはインストール時に実行ファイルを作成します。これらがTCBを持っていなければ必要な作業を行うことができません。

　以上のとおり、携帯電話上のセキュリティは、最終的にはTCBを持つプログラムが極めて限定されていることに依存しています。このケイパビリティは一般のソフトウェア開発者に与えられることはないと理解しておいてください。

2．システムケイパビリティ

　システムケイパビリティには以下のものがあります。

　これらはTCBおよびTCEに許されるケイパビリティです。プロセスがこれらのケイパビリティを持たずにリソースにアクセスしようとした場合、ユーザーに問い合わせが発生することなく失敗します。ユーザーに問い合わせ？ そう、システムケイパビリティが保護しようとしているものほど重要ではないリソースの場合、ユーザーが許しさえすればアクセスが許可されるものもあるのです。

3．ユーザケイパビリティ

　携帯電話全体のセキュリティに影響を与えない、ユーザーの判断でプログラムに対して権限を与えても構わないケイパビリティの集合をユーザケイパビリティといいます。

　これらのケイパビリティはSymbian Signedを受けることにより、プログラムに付与することができますが（4つの信頼レベルにおける「署名付きソフトウェア」）、署名されていない、まったく信頼されていないプログラムであってもユーザーの責任において権限を与えることが可能です。ユーザーがプログラムに権限を与える方法は2種類存在しています。

　逆に、ユーザーに不信感を抱かせないプログラムであろうとすれば、ユーザー認証が不要なようにSymbian Signedで認証を受けておく必要があります。このあたりVistaでAuthenticodeを必要とする理由と似ているようですが、良くも悪くもVistaではSingle shot grantによる毎回認証のようなことはありません。このあたりがケイパビリティに基づくSymbian OSならではの動作ということになります。