SMARTPHONE SATELLITEは、外出先や日常生活の中で森野詩葉と接するためのスマートフォン版Satellite HUBです。基準端末はiPhone 12 miniとし、会話、通知、状態確認、許可された操作をSHIHA COREへ仲介します。人格・長期記憶・LLM/APIキーはスマートフォンへ複製しません。
登録はMAIN HUBで強く、日常利用は端末内で安全に。
新しい端末を信頼する手続きと、登録済み端末を毎日使う手続きを分けます。
システム上の位置付け
| 構成 | 役割 |
|---|---|
| SHIHA CORE | Identity、Canonical Memory、State、Runtime、認証、権限判断の正本 |
| SMARTPHONE SATELLITE | 会話、通知、状態確認、端末センサー・入出力、許可された操作の窓口 |
| MAIN HUB / LABO-PC | 新規端末登録、OWNER認証、YubiKey / FIDO2、失効・Recovery管理 |
| SHIHA OPERATIONS CONSOLE | 登録端末、公開鍵、権限、Session、最終接続、失効状態の管理 |
基本方針
- スマートフォンは人格の保存先ではなく、SHIHA COREへ接続する薄いHUBとする。
- 新規登録は必ずLABO-PC等のMAIN HUBから開始する。
- 登録時はMAIN HUB側でOWNER認証＋YubiKey / FIDO2を要求する。
- iPhoneへYubiKeyを直接接続することを日常利用の前提にしない。
- 端末秘密鍵はSecure Enclave等の端末安全領域から外へ出さない。
- 通常接続はFace ID＋端末鍵、重大操作はOWNER Sessionと追加確認を要求する。
新規端末登録
- MAIN HUB / LABO-PCのOperations Consoleから新規端末登録を開始する。
- MAIN HUB側でOWNER認証＋YubiKey / FIDO2を実行する。
- SHIHA COREが短時間だけ有効なQRコード／登録Sessionを発行する。
- iPhone 12 miniでQRコードを読み取り、登録Sessionへ接続する。
- iPhone側で端末専用の公開鍵・秘密鍵ペアを生成する。
- 秘密鍵をSecure Enclave等の安全領域へ保持し、公開鍵だけをCOREへ登録する。
- 端末名、HUB種別、権限範囲、登録日時を確認し、短時間Sessionを終了する。
日常接続
登録済み端末では、毎回MAIN HUBやYubiKeyを必要としません。SHIHA COREが送るchallengeに対して、Face IDで利用者を確認し、Secure Enclave内の端末鍵で署名して認証します。PINはFace IDを利用できない場合の端末側保護として扱い、COREのOWNER認証そのものとは区別します。
| 段階 | 動作 |
|---|---|
| 起動 | 登録状態とCORE接続先を確認する |
| challenge | COREが短時間の認証要求を発行する |
| 端末認証 | Face ID＋Secure Enclave内の端末鍵で署名する |
| Session | COREが端末状態と権限に応じたSessionを発行する |
| 利用 | 会話、通知、状態確認、許可された操作を提供する |
| 終了・失効 | Sessionを破棄し、再利用できない状態にする |
USER / OWNERの分離
| 利用区分 | 認証・権限方針 |
|---|---|
| 通常利用 | Face ID＋端末鍵で、会話・通知等の許可されたUSER機能を利用する |
| OWNER機能 | Face ID＋端末鍵に加えて、有効なOWNER Sessionと操作権限を確認する |
| 重大操作 | 接続済みでも、影響に応じた再認証・承認・安全確認を要求する |
| Recovery | スマートフォン単独では完結させず、MAIN HUB＋OWNER＋YubiKeyを要求する |
MAIN HUBが必要な操作
- 新しいスマートフォンの登録
- 端末鍵の変更・再登録
- 紛失・交換・異常端末の失効
- Recoveryの開始と復旧後の整合性確認
- 端末権限の重大な変更
これらはスマートフォンのFace IDだけで実行せず、MAIN HUBで新しいOWNER認証とYubiKey / FIDO2を要求します。スマートフォンの盗難・乗っ取りだけで新しい信頼端末やRecovery経路を作れないようにします。
Microsoft Authenticatorの位置付け
Microsoft Authenticatorは、SMARTPHONE SATELLITEの主認証や端末鍵の代替にはしません。必要に応じた補助MFAまたはRecovery補助として扱い、MAIN HUB＋OWNER＋YubiKey / FIDO2という重要操作の基本経路を置き換えません。
スマートフォンへ保持しない情報
| 情報 | 扱い |
|---|---|
| Identity / Canonical Memory | SHIHA COREだけを正本とし、端末へ複製しない |
| LLM / APIキー | アプリ、設定、ログ、端末バックアップへ保存しない |
| 端末秘密鍵 | Secure Enclave等の安全領域から取り出さない |
| YubiKey / FIDO2秘密鍵 | MAIN HUB側のauthenticatorで扱い、スマートフォンへ移さない |
| Recovery情報 | 通常アプリと日常Sessionから分離する |
| 長期アクセストークン | 端末へ恒久保存しない構成を基本とする |
紛失・通信断・異常時
- 紛失時はOperations Consoleから端末登録と有効Sessionを失効させる。
- 通信断ではCOREのStateや権限を推測せず、オフラインまたは制限状態を明示する。
- 生体認証失敗、端末改変、鍵不整合、登録失効時は接続を拒否する。
- 再登録は既存端末だけで完結させず、MAIN HUBの登録手順へ戻す。
- 通知やログへ秘密値、Memory本文、認証応答を表示しない。
現在の開発状況
SMARTPHONE SATELLITEは現在DESIGNINGです。iPhone 12 miniを基準とし、MAIN HUBでのOWNER＋YubiKey / FIDO2登録、短時間QR Session、Secure Enclave内端末鍵、Face IDによる日常接続、OWNER Session、重大操作とRecoveryの分離を現行方針としています。正式なアプリUI、対応OS範囲、通信API、通知方式、端末センサー権限、バックグラウンド動作、配布・更新方式、実機接続試験は未確定または未完了です。
関連ページ