CN101953112A - 信息安全装置及信息安全系统 - Google Patents

信息安全装置及信息安全系统 Download PDF

Info

Publication number
CN101953112A
CN101953112A CN2009801062676A CN200980106267A CN101953112A CN 101953112 A CN101953112 A CN 101953112A CN 2009801062676 A CN2009801062676 A CN 2009801062676A CN 200980106267 A CN200980106267 A CN 200980106267A CN 101953112 A CN101953112 A CN 101953112A
Authority
CN
China
Prior art keywords
mentioned
terminal
cryptographic algorithm
private data
migration
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN2009801062676A
Other languages
English (en)
Inventor
松岛秀树
高山久
伊藤孝幸
芳贺智之
布田裕一
佐藤太一
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Holdings Corp
Original Assignee
Matsushita Electric Industrial Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co Ltd filed Critical Matsushita Electric Industrial Co Ltd
Publication of CN101953112A publication Critical patent/CN101953112A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/108—Transfer of content, software, digital rights or licenses
    • G06F21/1082—Backup or restore
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2137—Time limited access, e.g. to a computer or data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2145—Inheriting rights or properties, e.g., propagation of permissions or restrictions within a hierarchy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H04L2209/127—Trusted platform modules [TPM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution
    • H04L2209/603—Digital right managament [DRM]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Storage Device Security (AREA)

Abstract

提供一种能够在采用的加密算法及安全认证等级不同的设备间安全地迁移数据的迁移装置。从第四电子终端(2502)向MigrationAuthority(2501)进行将虚拟机向第五电子终端(2503)迁移的请求。MigrationAuthority(2501)当在第四电子终端(2502)中没有不正当时，向第五电子终端(2503)发送迁移请求。第五电子终端(2503)将数字签名与请求一起向MigrationAuthority(2501)发送。MigrationAuthority(2501)进行判断，在判断结果是OK的情况下，将OK向第五电子终端(2503)发送。第四电子终端(2502)将迁移包加密，将加密的迁移包向MigrationAuthority(2501)发送，将虚拟机向第五电子终端(2503)。

Description

信息安全装置及信息安全系统
技术领域
本发明涉及在安全终端间迁移保密的数据的技术。
背景技术
近年来，随着对信息安全的意识的提高，将数据安全地迁移(Migrate)的技术需求正在提高。
对于这样的需求，研究了称作可信计算组织(Trusted Computing Group(TCG))的标准。在TCG中，使用称作可信任平台模块(Trusted PlatformModule(TPM))的安全模块，公开了称作受保护存储区(Protected Storage)的将保密的数据安全地保存的技术。
在关于TCG标准的非专利文献1中，公开了通过Protected Storage的技术将应隐匿的数据安全地备份(Backup)的方法及向其他终端迁移(数据的移动)的技术。
主要以PC为目标的TPM规格已经制订并公开了v1.2，目前还为了应对适应时代的最新的加密算法及应用而继续进行着研究。在这样的研究的期间，加密算法也正在进步。
非专利文献1：Interoperability Specification for Backup and MigrationServices Version1.0，Revision1.0(TCG Published)
但是，在非专利文献1中公开的关于迁移的技术中，以在双方的设备中使用相同的加密算法、或在双方的设备中依据相同的标准并受到相同等级的安全认证为前提，所以在双方的设备中这些不同的情况下不能充分地应对。
因此，即使考虑新的加密算法及安全认证方法、开发能够使用这些技术更安全地处理数据的设备，也会发生不能将已有的设备保持的数据安全地迁移的问题。进而，迁移目的地的设备具备何种程度的安全功能，从外观上难以知道。因此，有可能将重要的数据从迁移源的设备迁移到安全等显低的设备中，这样的状况对于使用者而言是不利的。
发明内容
所以，本发明是解决以往的问题的，目的是提供一种在采用的加密算法或安全认证等级不同的设备间能够安全地迁移数据的迁移装置、迁移系统、迁移及安全终端。
为了解决上述问题，作为本发明的一技术方案的迁移装置，将在第一终端内被保护的数据移动到第二终端，其特征在于，具备：接收单元，从上述第一终端接收在上述第一终端内的安全模块中用第一加密算法保护的保密数据，从上述第二终端接收上述保密数据的下载请求；识别单元，根据从上述第一终端发送来的证书识别上述第一加密算法，根据从上述第二终端发送来的证书识别在上述第二终端内的安全模块中使用的第二加密算法；保持单元，保持将上述第一加密算法及上述第二加密算法建立了对应的安全策略表；控制单元，在从上述第二终端接受到上述下载请求时，按照上述安全策略表，将上述保密数据从上述第一加密算法改为用上述第二加密算法重新保护，发送给上述第二终端；上述控制单元在将从上述第一加密算法改为用第二加密算法重新保护的保密数据发送给上述第二终端之前，从上述第一终端接收上述第一终端要求的最低评价等级作为上述保密数据被发送的目的地的终端所具备的评价等级，从上述第二终端接收上述第二终端的评价等级，判断上述第二终端的评价等级是否是上述最低评价等级以上，在上述第二终端的评价等级是上述最低评价等级以上的情况下，将上述重新保护的保密数据发送给上述第二终端。
根据上述结构，上述控制单元使用第一终端对作为上述保密数据的目的地的设备要求的最低评价等级，判断上述第二终端是否适合作为上述保密数据的目的地。
可以考虑上述最低评价等级是由上述第一终端的使用者考虑上述保密数据的重要性等而决定的。因此，起到如下良好的效果：能够避免不小心将上述保密数据向不能确保上述第一终端的使用者想要的程度的安全性的设备迁移的事态发生。
进而，由于按照安全策略表重新保护保密数据，所以还起到如下效果：即使第一终端及第二终端各自采用的加密算法不同，也能够通过各个设备采用的加密算法安全地收发上述保密数据。
附图说明
图1是表示本发明的实施方式1的整体结构的图。
图2是表示本发明的实施方式1的第一电子终端的结构的图。
图3是表示本发明的实施方式1的信息管理证书211的结构的图。
图4是表示本发明的实施方式1的Conformance(一致性)证书212的结构的图。
图5是表示本发明的实施方式1的MigrationAuthority101的结构的图。
图6是表示本发明的实施方式1的迁移包(Migration Package)管理表601的结构的图。
图7是表示本发明的实施方式1的加密强度表701的结构的图。
图8是表示本发明的实施方式1的认证等级判断表801的结构的图。
图9是表示本发明的实施方式1的第1电子终端102对MigrationAuthority101上载保密数据的顺序的流程图。
图10是本发明的实施方式1的第二电子终端103从MigrationAuthority101下载保密数据的顺序的流程图。
图11是表示本发明的实施方式1的MigrationAuthority101的迁移可否判断单元504判断可否迁移的顺序的流程图。
图12是表示在想要下载本发明的实施方式1的迁移包时电子终端所发送的加密参数1201的结构的图。
图13是表示本发明的实施方式1的迁移包被赋予加密参数1302而再生成的结果的图。
图14是表示本发明的实施方式1的迁移包被赋予加密参数1402而再生成的结果的图。
图15是表示本发明的实施方式1的迁移包被赋予加密参数1502而再生成的结果的图。
图16是表示本发明的实施方式2的内容管理表1601及内容管理表1602的结构的图。
图17是表示本发明的实施方式2的DRM应用用于实现著作权保护及权利管理的结构的图。
图18是表示本发明的实施方式2的DRM应用在上载内容时生成迁移包的结果的图。
图19是表示本发明的实施方式2的第一电子终端102的DRM应用对MigrationAuthority101上载保密的数据时的动作顺序的图。
图20是表示本发明的实施方式3的整体结构的图。
图21是表示本发明的实施方式3的第三电子终端的结构的图。
图22是表示本发明的实施方式3的第三电子终端和第一存储装置的结构的图。
图23是表示本发明的实施方式3的第三电子终端2002从MigrationAuthority2001下载保密的数据的顺序的流程图。
图24是表示本发明的实施方式3的MigrationAuthority2001的迁移可否判断单元504判断可否迁移的顺序的流程图。
图25是表示本发明的实施方式4的整体结构的图。
图26是表示本发明的实施方式4的第四电子终端的结构的图。
图27是表示本发明的实施方式4的第四电子终端的执行环境的结构的图。
图28是表示从本发明的实施方式4的第四电子终端2502经由MigrationAuthority2501向第五电子终端2503进行执行环境及保密的数据的迁移的顺序的流程图。
图29是表示本发明的实施方式3的第三电子终端2002对MigrationAuthority2001上载安全存储器的保密的数据的顺序的流程图。
标号说明
101Migration Authority(迁移管理机构)
102第一电子终端
103第二电子终端
201TrustedPlatformModule(可信任平台模块)
202TCG SoftwareStack(TCG软件堆栈)
203Local Migration Services(本地迁移服务模块)
204ControllingApplication(控制应用模块)
205LocalApplication(本地应用模块)
206输入输出单元
207保存区域
210AIK证书
211信息管理证书
212Conformance证书
215保密数据
500数据接收单元
501证明处理单元
502证书解析单元
503迁移包登录单元
504迁移可否判断单元
505迁移包再生成单元
506数据发送单元
507保存区域
601迁移包管理表
701加密强度表
801认证等级判断表
1201加密参数
1301再生成例
1302加密参数
1401再生成例
1402加密参数
1501再生成例
1502加密参数
1601内容管理表
1602内容管理表
1701权利管理表
1702权利保护密钥表
1703时变密钥
1704权利管理表
1705权利保护密钥表
1706时变密钥
1801移动密钥
1802移动用权利保护密钥表
2001MigrationAuthority
2002第三电子终端
2004第一存储装置
2101StorageApplication(存储应用模块)
2103Storage证书
2200TrustedPeripheral(可信外围设备)
2202AdminSP
2204CryptoSP
2206存储区域
2501MigrationAuthority
2502第四电子终端
2503第五电子终端
2602管理程序(Hypervisor)
2603管理单元
2604虚拟机(VirtualMachine)
2605虚拟机
2610AIK证书
2611信息管理证书
2612Conformance证书
2615保密数据
2701机器迁移(MachineMigrate)控制单元
2703基础证书
具体实施方式
作为技术方案1所述的实施方式的迁移装置，将在第一终端内保护的数据移动到第二终端，其特征在于，具备：接收单元，从上述第一终端接收在上述第一终端内的安全模块中用第一加密算法保护的保密数据，从上述第二终端接收上述保密数据的下载请求；识别单元，根据从上述第一终端传送的证书，识别上述第一加密算法，根据从上述第二终端传送的证书，识别在上述第二终端内的安全模块中使用的第二加密算法；保持单元，保持将上述第一加密算法及上述第二加密算法建立了对应的安全策略表；以及控制单元，在从上述第二终端接收到上述下载请求时，按照上述安全策略表，代替上述第一加密算法而用上述第二加密算法重新保护上述保密数据，并发送给上述第二终端；上述控制单元在将从上述第一加密算法改为用上述第二加密算法重新保护的保密数据发送给上述第二终端之前，从上述第一终端接收上述第一终端请求的最低评价等级，作为被发送上述保密数据的目的地的终端所具备的评价等级，并从上述第二终端接收上述第二终端的评价等级，判断上述第二终端的评价等级是否为上述最低评价等级以上，在上述第二终端的评价等级是上述最低评价等级以上的情况下，将上述重新保护的保密数据发送给上述第二终端。
此外，在作为技术方案2所述的实施方式的迁移装置中，其特征在于，上述第一终端具备：执行单元，通过虚拟机实现进行使用了上述保密数据的处理的执行环境；以及移动单元，从实现上述执行环境的虚拟机中消除上述保密数据，将消除了上述保密数据的虚拟机用与上述保密数据不同的路径向上述第二终端移动。
这里，下述实施方式中的虚拟机2604、2605对应于上述虚拟机。虚拟机具体而言是CPU、存储器等的计算机的物理资源和将上述物理资源虚拟化而模拟为并列地存在多个平台、或在该计算机中实现本来不动作的应用能够动作的平台的程序组。
这样，在将包含保密数据的虚拟机整体移动的情况下，总数据尺寸相当大。而有关虚拟机的技术是公知的，认为上述程序组的大部分的隐匿必要性较低。因此，如果不包含保密数据，则即使通过不经由迁移装置的高速的其他移动方法移动虚拟机也没有问题。
根据上述结构，上述控制单元从虚拟机中消除上述保密数据，将消除了上述保密数据的虚拟机通过与上述保密数据不同的路径向上述第二终端移动。因此，能够同时实现仅将真正需要保护的保密数据安全地从第一终端向第二终端移动、以及将上述虚拟机中的保密数据以外的部分从第一终端向第二终端迅速地移动。
此外，在作为技术方案3所述的实施方式的迁移装置中，其特征在于，上述安全策略表所表示的上述第一加密算法及上述第二加密算法的对应关系包括上述第二加密算法的加密强度的等级比上述第一加密强度的等级低的情况。
此外，在作为技术方案4所述的实施方式的迁移装置中，其特征在于，设有第二安全策略表，该第二安全策略表保存有上述第一终端的第一安全认证等级和上述第二终端的第二安全认证等级；上述控制单元即使在按照上述安全策略表存在与上述第一加密算法对应的第二加密算法的情况下，在按照上述第二安全策略表、上述第二终端的第二安全认证等级与上述第一终端的第一安全认证等级的差为规定值以上的情况下，禁止将上述保密数据用上述第二加密算法重新保护。
此外，在作为技术方案5所述的实施方式的迁移装置中，其特征在于，设有第二安全策略表，该第二安全策略表保存有上述第一终端的第一安全认证等级和上述第二终端的第二安全认证等级；上述控制单元即使在按照上述安全策略表存在与上述第一加密算法对应的第二加密算法的情况下，在按照上述第二安全策略表、上述第二终端的第二安全认证等级与上述第一终端的第一安全认证等级的差为规定值以上的情况下，禁止将上述保密数据用上述第二加密算法重新保护并发送给上述第二终端。
此外，在作为技术方案6所述的实施方式的迁移装置中，其特征在于，用在上述第一加密算法中使用的密钥的长度表示上述第一加密算法的加密强度的等级，此外，用在上述第二加密算法中使用的密钥的长度表示上述第二加密算法的加密强度的等级。
此外，在作为技术方案7所述的实施方式的迁移装置中，其特征在于，上述识别单元识别上述第一加密算法的种类和密钥长度，并识别第二加密算法的种类；上述保持单元保持上述安全策略表，该安全策略表表示与对应于上述第一加密算法的加密算法种类及密钥长度成为相同加密强度等级的、对应于上述第二加密算法的加密算法种类的密钥长度；上述控制单元在按照上述安全策略表，代替上述第一加密算法而用上述第二加密算法重新保护上述保密数据时，使用与上述第一加密算法的密钥长度对应的上述第二加密算法的密钥长度重新保护。
此外，在作为技术方案8所述的实施方式的迁移装置中，其特征在于，上述识别单元识别上述第一加密算法的种类和密钥长度，识别第二加密算法的种类；上述保持单元保持下述安全策略表，该安全策略表将在多个加密算法之间成为相同加密强度等级的密钥长度建立了对应；上述控制单元在按照上述安全策略表，代替上述第一加密算法而用上述第二加密算法重新保护上述保密数据时，检索与对应于上述第一加密算法的加密算法种类及密钥长度成为相同加密强度等级的、对应于上述第二加密算法的加密算法种类的密钥长度，使用与上述第一加密算法的密钥长度相对应的上述第二加密算法的密钥长度重新保护。
此外，在作为技术方案9所述的实施方式的迁移装置中，其特征在于，上述安全策略表是从上述第一终端发送给上述迁移装置的表。
此外，在作为技术方案10所述的实施方式的迁移装置中，其特征在于，上述接收单元从上述第二终端接收主密钥、表示使用上述主密钥时的加密算法的信息以及表示使用上述主密钥来加密的范围的信息；上述控制单元使用接收到的上述主密钥及使用上述主密钥时的加密算法，基于表示使用上述主密钥来加密的范围的信息，仅保护上述保密数据的最上位的数据。
此外，在作为技术方案11所述的实施方式的迁移装置中，其特征在于，上述接收单元从上述第二终端接收主密钥及表示使用上述主密钥时的加密算法的信息；上述控制单元生成与接收到的上述主密钥不同的第二密钥，使用上述第二密钥及使用上述主密钥时的加密算法，保护上述保密数据。
此外，在作为技术方案12所述的实施方式的迁移装置中，其特征在于，上述控制单元在上述主密钥的下层生成与接收到的上述主密钥不同的第二密钥。
此外，在作为技术方案13所述的实施方式的迁移装置中，其特征在于，上述接收单元从上述第二终端接收公钥及表示使用上述公钥时的加密算法的信息；上述控制单元使用接收到的上述公钥及使用上述公钥时的加密算法，保护上述保密数据上述接收单元从上述第二终端接收上述公开密钥及表示使用上述公开密钥时的加密算法的信息；上述控制单元使用上述接收到的公开密钥及使用上述公开密钥时的加密算法，保护上述保密数据。
此外，在作为技术方案14所述的实施方式的迁移装置中，其特征在于，上述接收单元从上述第二终端接收私钥及表示使用上述私钥时的加密算法的信息：上述控制单元使用上述接收到的私钥及使用上述私钥时的加密算法，保护上述保密数据。
此外，在作为技术方案15所述的实施方式的迁移装置中，其特征在于，上述接收单元从上述第二终端接收主密钥；上述控制单元以与接收到的上述主密钥所表示的加密强度的等级相同的等级保护上述保密数据整体。
此外，在作为技术方案16所述的实施方式的迁移装置中，其特征在于，上述接收单元从上述第二终端接收表示加密强度的等级的信息；上述控制单元以与接收到的上述信息所表示的加密强度的等级相同的等级保护上述保密数据。
此外，在作为技术方案17所述的实施方式的迁移装置中，其特征在于，上述接收单元从上述第二终端接收下述信息，该信息是请求以与上述第一终端保护保密数据时的加密强度的等级相同的等级进行保护的信息；上述控制单元基于接收到的上述信息，以与上述第一终端保护保密数据时的加密强度的等级相同的等级，保护上述保密数据。
此外，在作为技术方案18所述的实施方式的迁移装置中，其特征在于，上述迁移装置包括迁移服务器。
此外，在作为技术方案19所述的实施方式的迁移装置中，其特征在于，上述迁移装置包括在上述第一终端的内部中。
此外，在作为技术方案22所述的实施方式的迁移系统中，其特征在于，经由迁移装置从第一终端装置向第二终端装置移动要隐匿的保密数据，其特征在于，上述第一终端具备：第一执行单元，通过虚拟机实现进行使用上述保密数据的处理的执行环境；发送单元，将上述保密数据安全地向上述迁移装置发送；移动单元，从实现上述执行环境的虚拟机消除上述保密数据，并将消除了上述保密数据的虚拟机通过与上述保密数据不同的路径向上述第二终端移动；上述迁移装置具备：接收单元，从上述第一终端安全地接收上述保密数据；判断单元，判断上述第二终端的有关安全的评价等级是否为取得上述保密数据的装置应具有的最低评价等级以上；发送单元，在上述评价等级是上述最低评价等级以上的情况下，将上述保密数据以适合于上述第二终端的方法向上述第二终端安全地发送；许可单元，在上述评价等级是上述最低评价等级以上的情况下，向上述第一终端许可上述移动；上述第二终端具备：接收单元，安全地接收上述保密数据；第二执行单元，从上述第一终端取得上述虚拟机，使用所取得的上述虚拟机实现进行使用接收到的上述保密数据的处理的执行环境。
(实施方式1)
以下，参照附图对本发明的实施方式1进行说明。
图1是表示本发明的实施方式1的系统的整体结构的图。
在图1中，MigrationAuthority(迁移管理机构)101经由网络进行与电子终端的通信，提供保密的数据的迁移服务。这里，MigrationAuthority101是管理电子终端间的保密数据的迁移的服务器。
第一电子终端102是由CPU或RAM等的结构要素构成的计算机系统。一般由PC、便携电话、PDA等实现，但并不限定于此。第一电子终端102具备以由TCG制定的称作可信任平台模块(Trusted Platform Module(TPM))的安全模块为中心的安全的平台。TPM支持称作ProtectedStorage的将保密的数据安全地保存的技术。在ProtectedStorage中，以树构造管理数据，将分配给树构造的叶的数据用从根到该叶为止的节点及分配给根的密钥分层地加密而保护。对于树构造的根，分配称作非对称SRK(StorageRootKey：存储根密钥)的公钥加密的密钥(根密钥)。
第二电子终端103是由CPU及RAM等结构要素构成的计算机系统。一般由PC、便携电话、PDA等实现，但并不限于此。第二电子终端103与第一电子终端102同样，具备以由TCG制定的称作可信任平台模块(TPM)的安全模块为中心的安全的平台。第二电子终端103也与第一电子终端102同样，支持ProtectedStorage技术，以树构造管理数据。但是，根密钥不是公钥加密的密钥，而是称作对称SRK的私钥加密的密钥。
接着，对第一电子终端102及第二电子终端103的结构的详细情况进行说明。
图2是表示第一电子终端102及第二电子终端103的结构的图。可信任平台模块201是由TCG制定的安全模块。具备加密引擎及非易失性存储器等。关于详细情况，在“TPM Main Part1、2、3Design Principles”中记载，所以省略说明。
另外，将第一电子终端102及第二电子终端103具备的安全模块设为可信任平台模块(TPM)，但在TCG Mobile PhoneWG中将同等的安全模块称作移动可信模块(Mobile Trusted Module)，叫法并不限定于此。此外，其安装方法一般由使用半导体的硬件实现，但也可以由软件实现。
TCGSoftwareStack(TCG软件堆栈)202是在具备可信任平台模块201的安全的平台上对各种应用提供服务的软件的库组。关于详细情况，在“TCG Software Stack(TS S)Specification Version 1.2Level 1ErrataA”中记载，所以省略说明。
LocalMigrationServices(本地迁移服务模块)203是用来实现数据的迁移服务的客户端侧的模块。关于详细情况，在非专利文献1中记载，所以省略说明。
ControllingApplication(控制应用模块)204是用来控制客户端内的迁移处理的客户端侧的模块。关于详细情况，在非专利文献1中记载，所以省略说明。
LocalApplication(本地应用模块)205是利用数据的迁移服务的一般的应用。作为例子，可以考虑进行音乐及影像等的数字内容的权利管理的数字权利管理(DigitalRightsManagement(DRM))应用、地址簿、信用结算等的应用，但并不限于此。
输入输出单元206与MigrationAuthority 101进行数据的收发。
保存区域207保存有AIK证书210及信息管理证书211等。一般由HDD、Flash存储器等实现，但只要是具有能够保存信息的功能的结构就可以，并不限定于此。
AIK证书210是称作身份证明密钥证书(Attestation Identity KeyCredential)的证书。在本实施方式中假设为由MigrationAuthority101发行的证书。AIK证书210用于确认TPM持有AIK(Attestation Identity Key)等情况。关于详细情况，在“TCG Specification Architecture Overview”中记载，所以省略说明。
信息管理证书211用于确认保密数据215的管理方法。在本实施方式中假设为由MigrationAuthority101发行的证书。关于详细情况，在“TCGSpecification Architecture Overview”中记载，所以省略说明。
Conformance证书212是证明基于TCG的评价基准的属性证书。一般由进行评价的机构发行。在本实施方式中，假设由MigrationAuthority101发行。
另外，将AIK证书210、信息管理证书211、Conformance证书212作为独立的证书进行了说明，但它们也可以集中构成一个证书。
保密数据215是使用SRK(StorageRootKey：存储根密钥)管理的保密数据的集合。AIK(Attestation Identift Key)也包含在其中。受由TCG制定的SRK保护的保密数据一般用树构造管理，关于详细情况，在“TCGSpecification Architecture Overview”中记载，所以省略说明。
另外，在保密数据中包含有密钥，但也可以包含表示该密钥的生成时间及生存期间那样的参数。
接着，对信息管理证书211的详细情况进行说明。
图3是表示信息管理证书211的结构的图。信息管理证书211具有包括4个数据的数据构造。第一个是SRK类型。它是表示在保密数据的管理方法中采用了使用公钥加密的方法、还是采用了使用秘钥加密的方法的数据型的数据。
第二个是密码类型。它是表示在保密数据的管理方法中使用的加密算法的数据型的数据。作为加密算法的例子，可以举出RSA(Rivest ShamirAdleman)加密、ECC(Elliptic Curve Cryptosystem)加密、AES(AdvancedEncryption Standard)加密等，但并不限定于这些。
第三个是密钥长度。它是表示在保密数据的管理方法中使用的加密密钥的密钥长度的数据型的数据。
第四个是数字签名。有将1～3的数据型的摘要(digest)值用MigrationAuthority101的私钥加密的数据。
另外，在信息管理证书211中，也可以包含表示是否具有密钥的更新功能的数据。
接着，对Conformance证书212的详细情况进行说明。
图4是表示Conformance证书212的结构的图。Conformance证书212具有包括9个数据的数据构造。第一个是表示评价等级的数据。用基于由ISO/IEC15408制定的安全的评价基准来认定的等级等表示。EAL是Evaluation Assurance Level的缩写，在后面附加的数字越大，则能够通过越高等级的保证条件。此外，由于还制订了“EAL4+”这样的等级，所以也可以将根据时代的变化而追加的数据作为在本领域处理的数据加以追加。此外，本领域并不一定是仅为了基于ISO/IEC15408认定的等级而使用的领域，而是通信承运者等作为MigrationAuthority101的厂商也可以任意地决定等级进行使用的领域。
第二个是用来确定在评价等级中使用的安全评价基准的标准的数据。由于在ISO/IEC15408中也有1999年制订的ISO/IEC15408：1999及2005年制订的ISO/IEC15408：2005等多个，所以参照本领域来确定评价基准的对象标准。
第三个以后的数据在“TCG Specification Architecture Overview”中记载，所以省略说明。
接着，对MigrationAuthority101的详细情况进行说明。
图5是表示MigrationAuthority101的结构的图。
数据接收单元500接收来自电子设备102及电子设备103的迁移包(MigrationPackage)的上载及下载请求、以及各种处理所需要的数据。
证明(Attestation)处理单元501当从电子终端向MigrationAuthority101有访问时进行证明处理。通过证明处理，如果在电子终端中有非法状况，则能够发现该非法状况。关于证明，在“TCG Specification ArchitectureOverview”中记载，所以省略说明。证明的结果通过数据发送单元506向电子终端发送。
证书解析单元502进行从作为迁移源的电子设备及作为迁移目的地的电子设备发送来的证书是否是合法的证书的解析。假设具备RSA加密运算功能、在RSA加密运算功能中使用的公钥与私钥的密钥对、SHA(SecureHash Algorithm：安全散列算法)1运算功能。
在证书的合法性的验证中，假设使用由Public Key Infrastructure(PKI)决定的公钥加密的验证的方法。关于使用PKI的验证是一般性的，所以省略说明。另外，只要是能够证明证书的合法性的方法就可以，并不限定于此。此外，根据证书的不同，有由MigrationAuthority101以外的机构发行的情况，但在本实施方式中假设所有的证书都是由MigrationAuthority101发行的，省略由MigrationAuthority101以外的机构发行的情况的说明。
将证书验证的结果通过数据发送单元506向电子终端发送。
迁移包登录单元503将从电子设备102及电子设备103发送来的保存有保密数据的迁移包登录到后述的迁移包管理表601中，保存至保存区域507。
迁移可否判断单元504根据从电子设备102及电子设备103发送来的迁移包发送请求，根据后述的迁移包ID、后述的加密的主密钥、后述的加密参数1201、Conformance证书212、信息管理证书211，判断可否迁移。在判断中，使用后述的加密强度表701、后述的认证等级判断表801、和后述的迁移包管理表601。在判断为能够迁移的情况下，向迁移包再生成单元505发出迁移包再生成请求。
另外，假设了迁移可否判断单元504基于迁移包管理表601进行判断，但也可以采用直接访问证书的信息来进行判断的方法。
迁移包再生成单元505如果从迁移可否判断单元504接收到迁移包再生成请求、以及迁移包ID、加密的主密钥、加密参数、Conformance证书212和信息管理证书211，则进行迁移包的加密变换，进行再生成。关于再生成的顺序的详细情况在后面叙述。将再生成后的迁移包向数据发送单元506发送。
数据发送单元506如果从迁移可否判断单元504接收到迁移包，则从保存区域507取出迁移包，向电子设备102及电子设备103发送。
接着，对迁移包管理表601的详细情况进行说明。
图6是表示迁移包管理表601的结构的图。表包括在MigrationAuthority101内确定迁移包的迁移包ID、保存有迁移包的保存区域507的全路径的文件名等的数据。另外，其他参数与信息管理证书211及Conformance证书212的评价等级是相同，所以省略说明。
接着，对加密强度表701的详细情况进行说明。
图7是表示加密强度表701的结构的图。表包括强度等级、私钥加密算法密钥长度、RSA算法密钥长度、ECC算法密钥长度这些参数。在图7中，例如示出：为了满足轻度等级1，使用私钥加密算法的情况下的密钥长度是80位、使用RSA算法的情况下的密钥长度是1024位、使用ECC算法的情况下的密钥长度是160位。
另外，加密强度表701以尚未在加密算法中发现脆弱性为前提。在由加密算法发现了脆弱性的情况下，需要额外的密钥长度，所以加密强度表701是随着时间变化的表。由此，加密强度表701也可以是由认证局那样的第三方机构适当更新的表。通过进行更新，能够实现最新的加密强度的评价、以及向加密算法的对应。
迁移可否判断单元504使用该加密强度表701，按照如下的判断算法进行判断，即：如果迁移目的地的电子设备的强度等级与迁移源相比是同等以上，则许可迁移。这是为了使强度不会因迁移而降低。
另外，作为判断算法，可以考虑如下判断算法，即：如果迁移目的地是低1个认证等级的等级以上则许可、或者如果不是高1个以上的认证等级则不许可等。
此外，也可以是如下结构：迁移源能够指定迁移可否判断单元504使用的判断算法。进而，也可以是如下结构：迁移源能够将在判断中使用的加密强度表701及认证等级判断表801向MigrationAuthority101发送并指定。
接着，对认证等级判断表801的详细情况进行说明。
图8是表示认证等级判断表801的结构的图。认证等级判断表表示关于MigrationAuthority何时许可迁移的安全策略。表包括迁移源认证等级、迁移目的地认证等级这些参数。在认证等级判断表801中示出，在迁移源认证等级是EAL1的情况下，迁移目的地认证等级是任何等级都可以(ANY)。此外，在EAL2的情况下，迁移目的地认证等级需要EAL1以上的认证等级，在EAL3的情况下，迁移目的地认证等级需要EAL2以上的认证等级，在EAL4的情况下，迁移目的地认证等级需要EAL3以上的认证等级。此外，在EAL5以上时，在迁移目的地中也需要同等的认证等级。如果是EAL1～7以外，则迁移目的地认证等级是任何等级都可以。
另外，这里如果迁移源是EAL2到EAL4，则迁移目的地低1个认证等级也可以，但也可以设为必须是同等以上。
接着，对本实施方式的进行保密数据的上载的动作进行说明。
图9是表示第1电子终端102对MigrationAuthority101上载保密数据时的顺序的图。以下，说明该动作顺序。
(S901)在第一电子终端102中进行保密数据的上载的准备。将作为进行上载的对象的一个或多个保密数据集成，生成称作迁移包的集中为一个的数据。关于迁移包的详细情况，在非专利文献1中记载，所以省略说明。
接着，第一电子终端102利用由TCG制定的称作完整性度量(IntegrityMeasurement)的功能，从可信任平台模块201内的称作平台偏执寄存器(Platform Configuration Registers(PCR))的寄存器中取出以构成第一电子终端102的引导加载器、OS、设备驱动器、应用等软件的全部或一部分为对象所计算出的摘要值。接着，利用包含在保密数据215中的AIK在可信任平台模块201内对该摘要值实施数字签名。
完整性度量在“TCG Specification Architecture Overview”中记载，所以省略详细的说明。
(S902)从第一电子终端102向MigrationAuthority101请求上载迁移包的请求。第一电子终端102将摘要值、数字签名和AIK证书210与请求一起向MigrationAuthority 101发送。
摘要值和数字签名的发送称作完整性报告(Integrity Reporting)。完整性报告记载“TCG Specification Architecture Overview”中在，所以省略详细的说明。
(S903)MigrationAuthority101从第一电子终端102接收迁移包的上载请求。此时，将同时接收到的摘要值、数字签名和AIK证书210向证明处理单元501发送。证明处理单元501通过证明处理的执行，验证第一电子终端102是否是非法的终端。所谓非法的终端，是由有恶意的用户或病毒等施加了篡改并进行没有预期到的动作的终端。
(S904)MigrationAuthority101根据(S903)的结果，进行以下的动作。
i)在验证了没有非法的情况下，将证明结果的OK和MigrationAuthority101的公钥(MApubKey)向第一电子终端102发送。
ii)在发现了有非法的情况下，将证明结果的NG向第一电子终端102发送。
(S905)第一电子终端102根据从MigrationAuthority101接收到的信息，进行以下的动作。
i)在从MigrationAuthority101接收到OK的情况下，用同时接收到的MApubKey将在(S901)中生成的迁移包加密。
ii)在从MigrationAuthority101接收到NG的情况下，结束处理。
另外，为了安全地处理迁移包而使用MApubKey进行迁移包的加密，但只要是安全地处理迁移包的方法就可以，并不特别限定于该方法。例如，也可以在由第一电子终端102和MigrationAuthority101相互认证后，相互持有临时使用的称作会话密钥的共有密钥，用该会话密钥进行加密通信。
(S906)第一电子终端102将在(S905)中加密的迁移包、Conformance证书212、信息管理证书211向MigrationAuthority101发送。
另外，将迁移包、Conformance证书212、信息管理证书211分别作为独立的数据进行了处理，但也可以采用各证书包含在迁移包中的结构。
(S907)MigrationAuthority101接收迁移包、Conformance证书212、信息管理证书211。数据接收单元500如果接收到这些数据，则向证书解析单元502发送。
证书解析单元502验证这些证书的合法性，并根据验证结果进行以下的动作。
i)在确认了各个证书的合法性的情况下，将它们向迁移包登录单元503发送。
ii)在某个证书中发现了非法的情况下，通过数据发送单元506返回NG。
迁移包登录单元503如果从证书解析单元502接收到迁移包、Conformance证书212、信息管理证书211，则生成在MigrationAuthority101中唯一确定迁移包的迁移包ID，将迁移包保存至保存区域507。此外，从保存目的地和各个证书中提取数据，登录到迁移包管理表中。
(S908)如果(S907)的登录处理完成，则MigrationAuthority101通过数据发送单元506，将结果OK和迁移包ID向第一电子终端102发送。
接着，对本实施方式的进行保密数据的下载的动作进行说明。
图10是表示第二电子终端103从MigrationAuthority101下载保密数据时的顺序的图。以下说明该动作顺序。
(S1001)在第二电子终端103中，进行迁移包的下载的准备。具体而言，第二电子终端103使用由TCG制定的称作完整性度量(IntegrityMeasurement)的功能，从可信任平台模块201内的称作平台配置寄存器(Platform Configuration Register(PCR))的寄存器取出以构成第二电子终端103的启动加载器、OS、设备驱动器、应用等软件的全部或一部分为对象计算出的摘要值。并且，使用包含在保密数据215中的AIK在可信任平台模块201内对该摘要值实施数字签名。
(S1002)从第二电子终端103向MigrationAuthority101请求下载迁移包(下载请求)。第一电子终端102将摘要值、数字签名和AIK证书210与请求一起向MigrationAuthority 101发送。
(S1003)MigrationAuthority101从第二电子终端103接收迁移包的下载请求。此时，将同时接收到的摘要值、数字签名、AIK证书210向证明处理单元501发送。证明处理单元501通过证明处理的执行，验证第二电子终端103是否是非法的终端。
(S1004)MigrationAuthority101根据(S1003)的结果，进行以下的动作。
i)在验证了没有非法的情况下，MigrationAuthority101将证明结果的OK和MigrationAuthority101的公钥(MApubKey)向第二电子终端103发送。
ii)在发现有非法的情况下，MigrationAuthority101将证明结果的NG向第二电子终端103发送。
(S1005)第二电子终端103根据从MigrationAuthority101接收到的信息，进行以下的动作。
i)在从MigrationAuthority101接收到OK的情况下，第二电子终端103将主密钥用同时接收到的MApubKey进行加密。主密钥是将在展开迁移包时形成的树构造中最上位的保的数据加密的密钥。
ii)在从MigrationAuthority101接收到NG的情况下，第二电子终端103结束处理。
另外，为了安全地处理主密钥，而使用MApubKey进行主密钥的加密，但只要是安全地处理主密钥的方法就可以，并不特别限定于该方法。例如，也可以由第二电子终端103和MigrationAuthority101相互认证后，相互持有临时使用的称作会话密钥的共有密钥，用该会话密钥进行加密通信。
(S1006)第二电子终端103将想要下载的迁移包的迁移包ID、在(S1005)中加密的主密钥、在迁移包的再生成时使用的加密参数、Conformance证书212、信息管理证书211向MigrationAuthority101发送。
(S1007)MigrationAuthority101接收迁移包ID、加密的主密钥、加密参数、Conformance证书212、信息管理证书211。数据接收单元500如果接收到这些数据，则向证书解析单元502发送。
证书解析单元502验证这些证书的合法性，根据验证结果进行以下的动作。
i)在确认了各个证书的合法性的情况下，证书解析单元502将迁移包ID、加密的主密钥、加密参数、Conformance证书212、信息管理证书211向迁移可否判断单元504发送。
ii)在某个证书中发现了非法的情况下，证书解析单元502通过数据发送单元506返回NG。
迁移可否判断单元504从证书解析单元接收迁移包ID、加密的主密钥、加密参数、Conformance证书212、信息管理证书211。关于迁移可否判断单元504的判断的动作，利用图11在后面叙述。根据该判断的结果，迁移可否判断单元504进行以下的动作。
i)如果是OK，则将迁移包再生成请求与迁移包ID、加密的主密钥、加密参数、Conformance证书212、信息管理证书211一起向迁移包再生成单元505发送。
ii)如果是NG，则通过数据发送单元506返回NG。
迁移包再生成单元505如果接收到迁移包再生成请求以及迁移包ID、加密的主密钥、加密参数、Conformance证书212、信息管理证书211，则进行由迁移包ID指定的迁移包的再生成。关于再生成的动作，使用图13在后面叙述。
(S1008)如果(S1007)的动作完成，则MigrationAuthority101通过数据发送单元506，将结果OK和迁移包向第二电子终端103发送。
另外，第二电子终端103也可以在接收到迁移包之后，将迁移包在可信任平台模块201之中解密，使用证书确认是否是合法的数据。在此情况下，在不是合法的数据的情况下，也可以进行向MigrationAuthority 101请求再发送迁移包的处理。
接着，对本实施方式的判断保密数据可否迁移的动作进行说明。
图11是表示MigrationAuthority101的迁移可否判断单元504的动作顺序的图。
在本实施方式中，假设指定的迁移ID为001、Conformance证书211的评价等级指定了EAL4、信息管理证书211的SRK类型指定了对称(symmetric)、密码类型指定了AES、密钥长度指定了128来进行说明。
(S1101)迁移可否判断单元504从迁移包管理表601取得由接收到的迁移ID001表示的条目信息。
(S1102)迁移可否判断单元504首先对评价等级进行比较和判断。在判断中使用认证等级判断表801。
在本实施方式中，Conformance证书211的评价等级的值是EAL4。由于由迁移ID001指定的评价等级的值是EAL4，所以各自的认证等级是相同的。根据认证等级判断表801，如果是EAL3以上则能够进行迁移，所以判断是OK。
(S1103)迁移可否判断单元504对加密强度进行比较和判断。
在本实施方式中，信息管理证书211的SRK类型是对称，密码类型是AES，密钥长度是128。由迁移ID001指定的SRK类型是非对称，密码类型是RSA，密钥长度是2048。这里，由于SRK类型、密码类型不同，所以通过仅密钥长度的比较不能进行强度等级的判断。因而，在强度等级的判断中使用加密强度表701。
根据加密强度表701，由迁移ID001指定的加密的强度等级为强度等级2。另一方面，根据加密强度表701，由信息管理证书211指定的加密的强度等级为强度等级3。在迁移可否判断单元504的判断算法中，如果迁移目的地的强度等级与迁移源相比是同等以上则许可迁移，所以判断是OK。
接着，对加密参数1201的结构的详细情况进行说明。
图12是表示当想要下载迁移包时电子终端发送的加密参数1201的结构的图。加密参数1201具有包括6个数据的构造。
第一个是(A)主密钥长度。它是表示在(S1006)中发送的主密钥的密钥长度的数据。
第二个是(B)主密钥算法。它是表示使用在(S1006)中发送的主密钥时的加密算法的数据。指定RSA、ECC、AES等。
第三个是(C)变更方法。它是表示在迁移包再生成单元505中进行怎样的迁移包的再生成的数据。可以指定以下的3个。
(1)参数0：仅将位于主密钥之下的层的数据用主密钥加密。
(2)参数1：将包含在迁移包中的保密数据的加密算法都统一为由主密钥算法指定的算法。
(3)参数2：将包含在迁移包中的保密数据的加密算法中的私钥方式的算法变更为由(D)指定私钥算法指定的算法。此外，将公钥方式的算法变更为由(E)指定公钥算法指定的算法。
第四个是(D)指定私钥算法。私钥算法被指定。它在(C)变更方法中指定了参数2时被参照。
第五个是(3)指定公钥算法。公钥算法被指定。它在(C)变更方法中指定了参数2时被参照。
第六个是(F)变更强度等级。它在(C)变更方法中指定了参数1或参数2时被参照。可以指定以下的3个。
(1)参数0：以与主密钥相同的强度等级进行迁移包的再生成。
(2)参数1：以与信息管理证书211相同的强度等级进行迁移包的再生成。
(3)参数3：以与当前的迁移包相同的强度等级进行迁移包的再生成。
接着，说明对迁移包再生成单元505赋予了某个加密参数1201时的再生成动作。
图13～图15分别是表示对MigrationAuthority101的迁移包再生成单元505赋予了某个加密参数1201时的再生成动作的例子的图。
图13是表示迁移数据包呈在再生成例1301的左侧表示的树构造时、被赋予了加密参数1302的情况下的再生成后的结果的图。
在该例中，由于在加密参数1302的(C)变更方法中指定了参数0，所以迁移包再生成单元505仅进行通过主密钥的加密。
由于在展开了迁移包时的处于最上位的数据表示加密算法RSA的2048位的公钥与私钥的对，所以迁移包再生成单元505将它们用与MigrationAuthority101的MApubKey对应的私钥解密。并且，用由(B)主密钥算法表示的AES、由(A)主密钥长度表示的128位的主密钥加密，从而在再次生成例1301的右侧表示的树构造的除了主密钥以外的虚线的部分被再生成为迁移数据包。
图14是表示迁移数据包呈在再生成例1401的左侧表示的树构造时、被赋予了加密参数1402的情况下的再生成后的结果的图。
在该例中，由于在加密参数1402的(C)变更方法中指定了参数1，所以迁移包再生成单元505进行整体的加密算法的变更。
以下按照步骤说明其顺序。
步骤1：
首先，由于在展开了迁移包时的处于最上位的数据表示加密算法RSA的2048位的公钥与私钥的对，所以迁移包再生成单元505将它们用与MigrationAuthority101的MApubKey对应的私钥解密。并且，利用该RSA2048位的私钥，将RSA1024位的密钥对和数据1解密。并且，利用RSA1024位的私钥将数据2解密。
步骤2：
由于(F)变更强度等级是参数2，所以迁移包再生出单元505以与当前的迁移包相同的强度等级进行再生成。对应于RSA1024位的秘密密钥算法的密钥长根据加密强度表701是80位。
但是，由于AES取的最小的密钥长是128位，所以生成128位的密钥，使用AES算法将数据2加密。进而，根据加密强度表701，与RSA2048位相对的私钥算法的密钥长度为112位。但是，由于AES采用的最小的密钥长度是128位，所以生成128位的密钥，使用AES算法将AES128位的密钥和数据1加密。最后，用由(B)主密钥算法表示的AES、由(A)主密钥长度表示的128位的主密钥加密，从而在再生成例1301的右侧表示的树构造的除了主密钥以外的虚线的部分被再生成为迁移包。
图15是表示迁移数据包呈在再生成例1501的左侧表示的树构造时、被赋予了加密参数1502的情况下的再生成后的结果的图。
在该例中，由于在加密参数1502中，在(C)变更方法中指定了参数2，在(D)指定私钥算法中指定了AES，在(E)指定公钥算法中指定了ECC，所以迁移包再生成单元505进行整体的私钥算法及公钥算法的变更。
以下，按照步骤说明其顺序。
步骤1：
首先，由于在展开了迁移包时的处于最上位的数据表示加密算法RSA的2048位的公钥与私钥的对，所以迁移包再生成单元505将它们用与MigrationAuthority101的MApubKey对应的私钥解密。并且，使用该RSA2048位的私钥，将DES(Data Encryption Standard)56位的密钥对和数据1解密。并且，使用DES56位的私钥将数据2解密。
步骤2：
由于在(F)变更强度等级中是参数0，所以以与当前的主密钥相同的强度等级进行再生成。由于DES是私钥加密，所以被变更为由(D)指定私钥算法指定的AES128位。由此，生成12位的密钥，使用AES算法将数据2加密。接着，由于RSA是公钥加密，所以在(E)指定公钥算法中被变更为ECC。根据加密强度表701，与作为主密钥的AES128位相当的ECC的密钥长度为256位。由此，生成256位的密钥，使用ECC算法将AES128位的密钥和数据2加密。最后，用由(B)主密钥算法表示的AES、由(A)主密钥长度表示的128位的主密钥加密，从而在再生成例1301的右侧表示的树构造的除了主密钥以外的虚线的部分被再生成为迁移包。
另外，假设了主密钥从下载迁移包的第二电子终端发送，但也可以是在MigrationAuthority101侧生成的结构。
以上，结束本发明的实施方式1的说明。
(实施方式2)
接着，参照附图对本发明的实施方式2进行说明。
在本实施方式2中，说明将在实施方式1中说明的保密数据的迁移方法适用于DRM(DigitalRightsManagement)应用中的例子。
假设LocalApplication205是DRM应用。DRM应用是处理音乐及运动图像等的数字内容的应用，实现它们的著作权保护。此外，是关于数字内容的利用而实现次数限制或期间限制、时间限制等细致的权利管理的应用。
图16是表示内容管理表1601及内容管理表1602的结构的图。内容管理表1601管理在DRM应用中处理的内容的保存目的地。有两个内容管理表意味着DRM应用管理一定数量以上的内容而超过了用1个内容管理表处理的内容数量的状态。
内容管理表1601由确定内容的内容ID、和用能够确定保存位置的全路径表示的文件名形成列表而构成。通过该内容管理表1601，能够根据内容ID确定保存在保存区域207中的内容的保存位置。关于内容管理表1602，也采用与内容管理表1601同样的结构。
图17是表示本发明的实施方式2的DRM应用用来实现著作权保护及权利管理的结构的图。
权利管理表1701是进行DRM应用所处理的内容的权利管理的表。分别是表示其状态的一例。各行的条目信息包括内容ID、内容密钥、权利信息等。各条目信息在内容权利信息的接收时或在电子终端中设定的定时登录到权利管理表中，但在本实施方式中关于该登录的顺序被省略。
内容ID是用来确定内容的识别信息。登录有与从解密请求发送单元112发送的内容ID一致的号码信息，能够将其作为关键字检索条目信息。
内容密钥是由内容ID表示的加密的内容的解密密钥。在内容被用AES加密的情况下，密钥长度是128位或192位等，但本实施方式并不限定于此。
权利信息是确定由内容ID表示的内容被以怎样的权利管理的信息。关于权利信息的详细情况省略说明。
移动标志是表示是否已将内容向MigrationAuthority101上载的标志。“0”表示没有上载的状态。“1”表示已上载的状态。在示出“1”的标志的状态的情况下，用户不能进行内容的再现及移动。
权利管理表1704采用与权利管理表1701同样的结构，对应于权利管理表1704。
权利保护密钥表1702是管理将权利管理表1701中的各条目信息加密的权利保护密钥的表。用权利保护密钥将条目信息的内容ID以外的信息加密而进行保护。
权利保护密钥表1705采用与权利保护密钥表1702同样的结构。
时变密钥1703是将权利保护密钥表1702加密的密钥。具有密钥的值随着时间的经过而变化的特征。使用这样的密钥的目的是为了在DRM应用的权利管理中防止如下这样的备份恢复攻击，即，有恶意的用户将权利用尽前的权利备份，在用尽了权利之后通过将已备份的权利用尽前的权利恢复，从而永久地不进行权利用尽。
时变密钥通过不能由用户篡改的安全的时刻信息及计数器等生成，但关于生成方法的详细情况省略说明。
时变密钥1706具有与时变密钥1703同样的特征，对应于权利保护密钥表1705。
图18是DRM应用以树构造管理时变密钥1703及时变密钥1706、权利保护密钥表1702及权利保护密钥表1705的图(左侧)、和由用户指定了内容的上载而生成的迁移包所具有的树构造的图(右侧)。
左侧的树的状态表示权利保护密钥表1702被用时变密钥1703加密、权利保护密钥表1705被用时变密钥1706加密的状态。表示在加密算法中使用AES、各个时变密钥的密钥长度是128位。进而，时变密钥1703、时变密钥1706被用与DRM应用对应的DRM密钥加密。表示在加密算法中使用RSA、DRM密钥的密钥长度是2048位。
右侧的树的状态表示生成了迁移包之后的结果。取出将与用户指定的内容的内容ID对应的权利管理表1701或权利管理表1704的条目信息加密的权利保护密钥，生成移动用权利保护密钥表1802，并生成128位的移动密钥1801，将移动用权利保护密钥表加密。在加密算法中使用AES。
图19是表示第一电子终端102的DRM应用对MigrationAuthority101上载保密数据时的动作顺序的图。
(S1901)当用户指定了由DRM应用管理的内容管理表1601的内容ID001和内容管理表1602的内容ID00a的上载时，在第一电子终端102中进行保密数据的上载的准备。
(a)如果DRM应用从用户接收到上载的指定，则从权利管理表1701或权利管理表1704取出与所指定的内容的内容ID对应的条目信息。
(b)DRM应用根据在(a)中取出的条目信息生成移动用权利管理表。
(c)DRM应用将加密后的内容的数据和在(b)中生成的移动用权利管理表向作为迁移目的地的第二电子终端103直接传送。
另外，内容的数据和移动用权利管理表向第二电子终端移交的方法也可以是通过记录介质的方法、或经由MigrationAuthority101那样的通过服务器的方法。
(d)DRM应用在可信任平台模块201之中使用时变密钥1703和时变密钥1706，将权利保护密钥表1702及权利保护密钥表1705解密。此外，将与所指定的内容的内容ID对应的权利保护密钥取出，生成移动用权利保护密钥表1802。
(e)DRM应用在可信任平台模块201之中生成128位的移动密钥1801，将移动用权利保护密钥表1801加密。在加密算法中使用AES。
(f)DRM应用利用移动密钥1801和加密后的移动用权利保护表1801，生成迁移包。关于迁移包的详细情况在非专利文献1中记载，所以省略说明。
生成了迁移包以后的处理与(S901)相同，所以省略说明。
(S1902)与(S902)相同，所以省略说明。
(S1903)与(S903)相同，所以省略说明。
(S1904)与(S904)相同，所以省略说明。
(S1905)与(S905)相同，所以省略说明。
(S1906)在第一电子终端102中，
(a)DRM应用在可信任平台模块201中使用时变密钥1703和时变密钥1706，将权利保护密钥表1702及权利保护密钥表1705解密，用指定的内容的内容ID取出对应的权利保护密钥。
(b)DRM应用使用在(a)中取出的权利保护密钥，将用户指定了上载的权利管理表1701的内容ID“001”和内容管理表1602的内容ID“00a”的条目信息解密。
(c)DRM应用将在(b)中解密后的条目信息的移动标志设为“1”。
(d)DRM应用使用在(a)中取出的权利保护密钥，再次将用户指定了上载的权利管理表1701的内容ID001和内容管理表1602的内容ID00a的条目信息加密。
(e)DRM应用将时变密钥1703及时变密钥1706更新，再次将权利保护密钥表1702及权利保护密钥表1705加密。
以后的处理与(S906)相同，所以省略说明。
(S1907)与(S907)相同，所以省略说明。
(S1908)与(S908)相同，所以省略说明。
以上，结束第一电子终端102的DRM应用对MigrationAuthority101上载保密数据时的动作顺序的说明。
在图19(S1906)中将移动标志设为了“1”的条目信息及内容由以下的某种方式控制。
(i)第二电子终端103将在图19中上载的迁移包下载之后，通知第一电子终端102，与内容对应的信息全部被删除。
(ii)在图19中上载的迁移包没有被第二电子终端103下载的情况下，将移动标志设回“0”，成为能够在第一电子终端102上再现的状态。另外，作为迁移包没有被第二电子终端103下载的情况的例子，可以考虑MigrationAuthority101中的迁移包的管理期限到期、该消息被通知给第一电子终端102的情况等。
另外，MigrationAuthority101为了掌握第二电子终端103将迁移包下载之后第一电子终端102将有关内容的信息全部删除的情况，也可以对表示删除了内容的信息实施由TCG制定的扩展(Extend)处理而生成摘要值，并进行证明处理。MigrationAuthority101在第二电子终端103的下载后，只要没有进行证明处理，就能够实施防止来自第一电子终端102的访问的处置
此外，根据DRM方式，导入了域(domain)的概念。所谓的域，是将多个终端作为同一个组掌握的概念，用于音乐及运动图像等的数字内容的共有。以上说明的保密数据的迁移也可以限定在域这样的框架内。在此情况下，MigrationAuthority101判断第一电子终端102和第二电子终端103是否是相同的域。
以上，结束本发明的实施方式2的说明。
(实施方式3)
接着，参照附图对本发明的实施方式3进行说明。
图20是表示本发明的实施方式3的系统的整体结构的图。
在图20中，MigrationAuthority2001经由网络进行与第三电子终端的通信，提供保密数据的迁移的服务。详细的结构与MigrationAuthority101相同，所以省略说明。
第三电子终端2002的基本结构与第一电子终端102及第二电子终端103相同，以树构造管理数据，将分配给树构造的叶的数据用从根到该叶为止的节点及分配给根的密钥分层地加密而保护。与第一电子终端102及第二电子终端103的不同点是与第一存储装置2004连接。
接着，对第三电子终端2002的结构的详细情况进行说明。
图21是表示第三电子终端2002的结构的图。关于StorageApplication2101及Storage证书2103以外的结构，与第一电子终端102及第二电子终端103相同，所以省略说明。
StorageApplication2101是进行第一存储装置2004的控制及与StorageApplication2101的通信的软件。在本实施方式中，StorageApplication2101满足规定主机与Storage设备间的安全的数据通信等的协议的“TCG StorageArchitecture Core Specification”或“TCG Storage Workgroup SecuritySubsystem Class：Optical”的主机应用(Host Application)标准。实现用SRK管理的保密数据215向第一存储装置2004的迁移。
Storage证书2103是从称作ORG Certificate的认证机构发行的证书。在本实施方式中，假设由MigrationAuthority101发行。在ORG Certificate中，记载有对第一存储装置2004的功能进行特征赋予的Template(模板)是什么。在模板中，记载有由第一存储装置2004支持的加密算法，所以在本实施方式中，将它作为表示在第一存储装置2004中支持的加密强度的信息来利用。在第一存储装置2004中，保持存储区域、准备向称作Method的外部提供功能的函数的软件称作ServiceProvider(模板提供者)。ServiceProvider功能由模板决定。
除此以外，作为ORG Certificate的内容，包括发行机构、支持的标准书的版本号、在签名中使用的算法、签名信息等，关于详细情况在“TCGStorage Workgroup Storage Certificate Profilel.0”中记载，所以省略说明。此外，模板在“TCG Storage Architecture Core Specification”及“TCG StorageWorkgroup Security Subsystem Class：Optical”中记载，所以省略说明。
并且，假设Storage证书2103被进一步扩展、追加了在Conformance证书212中说明的评价等级或用来确定安全评价基准的标准的数据。Storage证书2103被用作第一存储装置2004受到了何种程度的评价认定的信息。作为评价的指标，与Conformance证书212的评价等级相同，用基于由ISO/IEC15408制定的安全的评价基准认定的等级等表示。
此外，假设Storage证书2103是ORG Certificate，但只要是具有加密强度或评价等级等同等的信息的数据就可以，并不限定于此。
接着，对第一存储装置2004的结构的详细情况进行说明。
图22是表示第一存储装置2004的结构与第三电子终端的关系的图。
可信外围设备(TrustedPeripheral)2200管理第一存储装置2004的功能和存储在存储区域2206中的数据的数据构造。构建与第三电子终端2002的StorageApplication2101的安全的通信路径，实现向数据的访问控制。另外，关于详细情况，在“TCG Storage Architecture Core Specification”及“TCGStorage Workgroup Security Subsystem Class：Optical”中记载，所以省略说明。
AdminSP2202是在可信外围设备2200中一定存在的SecurityProvider。准备有Method，StorageApplication2101调用它。关于详细情况，在“TCGStorage Architecture Core Specification”及“TCG Storage Workgroup SecuritySubsystem Class：Optical”中记载，所以省略说明。
CryptoSP2204是提供将向存储区域2206存储的数据加密的Method的SecurityProvider。关于详细情况，在“TCG Storage Architecture CoreSpecification”及“TCG Storage Workgroup Security Subsystem Class：Optical”中记载，所以省略说明。
在存储区域2206中，通过可信外围设备2200的AdminSP2202及CryptoSP2204等存储数据。一般由HDD、Flash存储器、BD或DVD、CD等的光盘实现，但只要是具有能够保存信息的功能的结构就可以，并不限定于此。
接着，说明进行本实施方式的可信任平台模块201所保护的保密数据的迁移的动作，而向MigrationAuthority2001上载的方法在实施方式1中已经说明，所以省略。
以下，对从本实施方式中的MigrationAuthority2001下载保密数据、向第一存储装置2004记录的动作进行说明。
图23是表示第三电子终端2002从MigrationAuthority2001下载保密数据的顺序的图。以下说明该动作顺序。
(S2301)在第三电子终端2002中进行下载迁移包的准备。第三电子终端2002利用由TCG制定的称作完整性度量(IntegrityMeasurement)的功能，从可信任平台模块201内的称作平台配置寄存器(PlatformConfiguration Registers(PCR))的寄存器中取出以构成第三电子终端2002的启动加载器、OS、设备驱动器、应用等的软件的全部或一部分为对象的摘要值。并且，使用包含在保密数据215中的AIK在可信任平台模块201内对该摘要值实施数字签名。
(S2302)从第三电子终端2002向迁移MigrationAuthority2001请求下载迁移包(下载请求)。第三电子终端2002将摘要值、数字签名和AIK证书210与请求一起向MigrationAuthority2001发送。
(S2303)MigrationAuthority2001从第三电子终端2002接收迁移包的下载请求。此时，将同时接收到的摘要值和数字签名、AIK证书210向证明处理单元501发送。证明处理单元501通过证明处理的执行，验证第三电子终端2002是否是非法的终端。
(S2304)MigrationAuthority2001根据(S2303)的结果，进行以下的动作。
i)在验证出没有非法的情况下，将证明结果的OK和MigrationAuthority2001的公钥(MApubKey)向第三电子终端2002发送。
ii)在发现有非法的情况下，将证明结果NG向第三电子终端2002发送。
(S2305)第三电子终端2002根据从MigrationAuthority101接收到的信息进行以下的动作。
i)在从MigrationAuthority2001接收到OK的情况下，将主密钥用同时接收到的MApubKey加密。主密钥是将在展开了迁移包时形成的树构造中位于最上位的保密数据加密的密钥。
ii)在从MigrationAuthority2001接收到NG的情况下，结束处理。
另外，为了安全地处理主密钥，使用MApubKey进行主密钥的加密，但只要是将主密钥安全地处理的方法就可以，并不特别限定于该方法。例如，也可以是，在由第三电子终端2002和MigrationAuthority2001中相互认证后，相互持有临时使用的称作会话密钥的共有密钥，用该会话密钥进行加密通信。
(S2306)第三电子终端2002将想要下载的迁移包的迁移包ID、在(S2305)中加密的主密钥、在迁移包的再生成中使用的加密参数、Storage证书2103向MigrationAuthority2001发送。
(S2307)MigrationAuthority2001接收迁移包ID、加密的主密钥、加密参数、Storage证书2103。数据接收单元500如果接收到这些数据，则向证书解析单元502发送。
证书解析单元502验证Storage证书2103的合法性，根据验证结果进行以下的动作。
i)在确认了Storage证书2103的合法性的情况下，将迁移包ID、加密的主密钥、加密参数、Storage证书2103向迁移可否判断单元504发送。
ii)在Storage证书2103中发现了非法的情况下，通过数据发送单元506返回NG，结束处理。
在确认了上述i)的证书的合法性的情况下，迁移可否判断单元504从证书解析单元502接收迁移包ID、加密的主密钥、加密参数、Storage证书2103。
关于迁移可否判断单元504的判断动作，利用图24在后面叙述。
根据该判断结果，迁移可否判断单元504进行以下的动作。
i)如果是OK，则将迁移包再现请求与迁移包ID、加密的主密钥、加密参数、Storage证书2103一起向迁移包再生成单元505发送。
ii)如果是NG，则通过数据发送单元506返回NG，结束处理。
在上述i)的迁移可否判断单元504的判断结果是OK的情况下，迁移包再生成单元505如果接收到迁移包再生成请求以及迁移包ID、加密的主密钥、加密参数、Storage证书2103，则进行由迁移包ID指定的迁移包的再生成。
(S2308)如果(S2307)的动作完成，则MigrationAuthority2001通过数据发送单元506将结果OK和迁移包向第三电子终端2002发送，第三电子终端2002通过预先设定的方法，将迁移包向第一存储装置2004记录。
另外，第三电子终端2002也可以在接收到迁移包后，将迁移包在可信任平台模块201中解密，使用证书确认是否是合法的数据。在此情况下，在不是合法的数据的情况下，也可以进行向MigrationAuthority2001请求迁移包的再发送的处理。
接着，对本实施方式的判断保密数据可否迁移的动作进行说明。
图24是表示MigrationAuthority2001的迁移可否判断单元504的迁移判断的动作顺序的图。
在本实施方式中，假设迁移ID指定了001、Storage证书2103的评价等级指定了EAL4、密码类型指定了AES、密钥长度指定了128而进行说明。
(S2401)迁移可否判断单元504从迁移包管理表601取得由接收到的迁移ID001表示的条目信息。
(S2402)迁移可否判断单元504首先对评价等级进行比较和判断。在判断中使用认证等级判断表801。
假设Storage证书2103的评价等级是EAL4。由于由迁移ID001指定的评价等级是EAL4，所以各自的认证等级是相同的。根据认证等级判断表801，如果是EAL3以上则能够进行迁移，所以判断是OK。
(S2403)迁移可否判断单元504对加密强度进行比较和判断。
假设Storage证书2103的密码类型是AES、密钥长度是128。由迁移ID001指定的SRK类型是非对称、密码类型是RSA、密钥长度是2048。这里，SRK类型、密码类型不同，所以仅通过密钥长度的比较不能进行强度等级的判断。因而，在强度等级的判断中使用加密强度表701。
根据加密强度表701，由迁移ID001指定的加密的强度等级为强度等级2。另一方面，根据加密强度表701，由Storage证书2103指定的加密的强度等级为强度等级3。在迁移可否判断单元504的判断算法中，如果迁移目的地的强度等级与迁移源相比是同等以上则许可迁移，所以判断是OK。
另外，将StorageApplication(存储应用模块)2101作为管理在第三电子终端2002中安装的第一存储装置2004的主机侧应用来进行了记述，但也可以安装在与第三电子终端2002不同的电子终端中，经由MigrationAuthority2001进行数据的迁移。
此外，MigrationAuthority2001不需要是与第三电子终端2002不同的装置，也可以是作为应用而安装在第三电子终端2002中，一边在第三电子终端2002内与StorageApplication2101通信一边进行迁移的结构。
接着，说明进行本实施方式的第一存储装置2004所记录的保密数据的迁移的动作，但从MigrationAuthority2001的下载的方法在实施方式1中已经说明，所以省略。
以下，对本实施方式的向MigrationAuthority2001上载保密数据的动作进行说明。
图30是表示第三电子终端2002从MigrationAuthority2001上载保密数据时的动作顺序的图。以下，说明该动作顺序。
(S3001)在第三电子终端2002中进行第一存储装置2004的数据的迁移包的上载的准备。将作为进行上载的对象的一个或多个保密数据集成，生成称作迁移包的集中为一个的数据。
接着，第三电子终端2002利用由TCG制定的称作完整性度量的功能，从可信任平台模块201内的称作平台配置寄存器的寄存器中取出以构成第三电子终端2002的引导加载器、OS、设备驱动器、应用等软件的全部或一部分为对象计算出的摘要值。接着，利用包含在保密数据215中的AIK在可信任平台模块201内对该摘要值实施数字签名。
(S3002)从第三电子终端2002向MigrationAuthority2001请求上载迁移包的请求(上载请求)。第三电子终端2002将摘要值、数字签名和AIK证书210与请求一起向MigrationAuthority2001发送。
(S3003)MigrationAuthority2001从第三电子终端2002接收迁移包的上载请求。此时，将同时接收到的摘要值、数字签名和AIK证书210向证明处理单元501发送。证明处理单元501通过证明处理的执行，验证第三电子终端2002是否是非法的终端。
(S3004)MigrationAuthority2001根据(S3003)的结果，进行以下的动作。
i)在验证了没有非法的情况下，将证明结果的OK和MigrationAuthority2001的公钥(MApubKey)向第三电子终端2002发送。
ii)在发现了有非法的情况下，将证明结果NG向第三电子终端2002发送。
(S3005)第三电子终端2002根据从MigrationAuthority2001接收到的信息，进行以下的动作。
i)在从MigrationAuthority2001接收到OK的情况下，用同时接收到的MApubKey将在(S3001)中生成的迁移包加密。
ii)在从MigrationAuthority2001接收到NG的情况下，结束处理。
另外，为了安全地处理迁移包而使用MApubKey进行迁移包的加密，但只要是安全地处理迁移包的方法就可以，并不特别限定于该方法。例如，也可以在由第三电子终端2002和MigrationAuthority2001相互认证后，相互持有临时使用的称作会话密钥的共有密钥，用该会话密钥进行加密通信。
(S3006)第三电子终端2002将在(S3005)中加密的迁移包、Storage证书2103向MigrationAuthority2001发送。
另外，将迁移包和Storage证书2103分别作为不同的数据处理，但也可以采用各证书包含在迁移包中的结构。
(S3007)MigrationAuthority2001接收迁移包、Storage证书2103。数据接收单元500如果接收到这些数据，则向证书解析单元502发送。
证书解析单元502验证Storage证书2103的合法性，根据验证结果进行以下的动作。
i)在确认了Storage证书2103的合法性的情况下，将它们向迁移包登录单元503发送。
ii)在Storage证书2103中发现了非法的情况下，通过数据发送单元506返回NG，结束处理。
迁移包登录单元503如果从证书解析单元502接收到迁移包、Storage证书2103，则生成在MigrationAuthority 101中唯一确定迁移包的迁移包ID，将迁移包保存至保存区域507。此外，从保存目的地和各个证书中提取数据，登录到迁移包管理表中。
(S3008)如果(S3007)的动作完成，则MigrationAuthority101通过数据发送单元506，将结果OK和迁移包ID向第三电子终端2002发送。
以上，结束本发明的实施方式3的说明。
(实施方式4)
接着，参照附图对本发明的实施方式4进行说明。
图25是表示本发明的实施方式4的系统的整体结构的图。
在图25中，MigrationAuthority2501经由网络进行与第三电子终端的通信，提供电子终端中的虚拟环境及保密数据的迁移的服务。详细的结构与MigrationAuthority101相同，所以省略说明。
第四电子终端2502及第五电子终端2503的基本结构与第一电子终端102及第二电子终端103相同，但通过虚拟化技术的导入，能够实现多个OS的共存。关于详细情况，使用图26在后面说明。
图26是表示第四电子终端2502及第五电子终端2503的结构的图。
管理程序(Hypervisor)2602是实现将计算机中的资源抽象化的虚拟化技术的模块。作为代表性的例子，可以举出控制多个OS的XEN或VMWare、在应用的移植性方面发挥优势的Java(注册商标)虚拟机等。
管理(Management)单元2603与其他电子终端的管理单元2603协同，实现虚拟机的迁移。在实施方式1～3中，迁移的对象是保密数据，而在本实施方式中迁移虚拟机。所谓虚拟机的迁移，是指虚拟化技术中的从某个电子终端按照包括OS及应用的每个虚拟机向别的电子终端移动并执行的技术。
另外，关于虚拟机2604及虚拟机2605的详细情况，使用图27在后面叙述。
AIK证书2610是称作身份证明密钥证书(Attestation Identify KeyCredential)的证书。在本实施方式中，假设是由MigrationAuthority101发行。AIK证书210用于确认TPM持有AIK(Attestation Identift Key)等情况。关于详细情况，在“TCG Specification Architecture Overview”中记载，所以省略说明。
信息管理证书2611记载有由第四电子终端2502及第五电子终端2503支持的保密数据215的管理方法。在支持多个加密方式的情况下，也可以将多个信息管理证书2611记录在保存区域2607中。在本实施方式中假设由MigrationAuthority2501发行。关于详细情况，在“TCG SpecificationArchitecture Overview”中记载，所以省略说明。
Conformance证书2612是证明基于TCG的评价基准的属性证书。一般由进行评价的机构发行。在本实施方式中，假设由MigrationAuthority2501发行。
另外，假设AIK证书210、信息管理证书211、Conformance证书212为独立的证书进行了说明，但它们也可以集中构成一个证书。
接着，对虚拟机2604及虚拟机2605的结构的详细情况进行说明。
图27是表示虚拟机2604及虚拟机2605的结构的图。各虚拟机分别虚拟地实现1个装置主体。因此，各虚拟机构成与第一电子终端102及第二电子终端103同样的结构。关于机器迁移(MachineMigrate)控制单元2701及基础证书2703以外的结构，与第一电子终端102及第二电子终端103相同，所以省略说明。
机器迁移控制单元2701一边与管理单元2603及MigrationAuthority2501协同，一边进行虚拟机的迁移。
基础证书2703是称作Platform Credential的证书。在本实施方式中假设由MigrationAuthority2501发行，但也可以在第四电子终端2502或第五电子终端2503的内部生成。在“TCG Virtualized Platform WG”中，对以往的Platform Credential追加了记载作为虚拟机的迁移目的地的电子终端所需要的最低限度的等级的“最小信任等级(Minimum Trust Level)”。Minimum Trust Level的记载与Conformance证书212的评价等级、评价标准同样地进行。基础证书2703除此以外还记载有关于虚拟机的制造公司、及作为虚拟机的基础的类型的信息，但关于详细情况，在“TCG SpecificationArchitecture Overview”及“TCG Virtualized Platform WG”中记载，所以省略说明。
接着，对本实施方式的虚拟机的迁移进行说明，但关于在虚拟机的迁移后进行的保密数据的下载的方法已经进行了说明，所以省略。
在本实施方式中，在将虚拟机在终端间迁移的情况下，不是使虚拟机主体经由MigrationAuthority移动，而是将虚拟机所使用的保密数据经由MigrationAuthority移动。此外，虚拟机主体在去除了保密信息后另行移动。
图28是表示在从第四电子终端2502向第五电子终端2503迁移虚拟机时、第四电子终端2502对MigrationAuthority2501上载保密数据时的动作顺序的图。以下说明该动作顺序。
(S2801)在第四电子终端2502中进行虚拟机的迁移的准备。将作为向MigrationAuthority2501上载的对象的一个或多个保密的数据集成，生成称作迁移包的集中为一个的数据。关于迁移包的详细情况，在非专利文献1中记载，所以省略说明。利用由TCG制定的称作完整性度量的功能，从可信任平台模块201内的称作平台配置寄存器(PCR)的寄存器中取出以构成第四电子终端2502的引导加载器、管理程序2602等为了使虚拟机动作而所需要的软件的全部或一部分为对象计算出的摘要值。接着，利用包含在保密数据2615中的AIK在可信任平台模块201内对该摘要值实施数字签名。
完整性度量在“TCG Specification Architecture Overview”中记载，所以省略详细的说明。
(S2802)从第四电子终端2502向MigrationAuthority2501请求将虚拟机向第五电子终端2503迁移的请求。第四电子终端2502将摘要值、数字签名和AIK证书2610、基础证书2703与请求一起向MigrationAuthority2501发送。
摘要值和数字签名的发送称作完整性报告。完整性报告在“TCGSpecification Architecture Overview”中记载，所以省略详细的说明。
(S2803)MigrationAuthority2501从第四电子终端2502接收将虚拟机向第五电子终端2501迁移的请求。此时，将同时接收到的摘要值、数字签名和AIK证书2610向证明处理单元501发送。证明处理单元501通过证明处理的执行，验证第四电子终端2502是否是非法的终端。所谓非法的终端，是由有恶意的用户或病毒等施加了篡改并进行没有预期到的动作的终端。
(S2804)MigrationAuthority2501在(S2803)的结果是验证了在第四电子终端2502中没有非法的情况下，向第五电子终端2503发送来自第四电子终端2502的迁移请求。
(S2805)第五电子终端2503根据从MigrationAuthority2501接收到的请求，进行迁移的准备。利用由TCG制定的称作完整性度量的功能，从可信任平台模块201内的称作平台配置寄存器(PCR)的寄存器中取出以构成第五电子终端2502的引导加载器、管理程序2602等为了使虚拟机动作而所需要的软件的全部或一部分为对象计算出的摘要值。接着，利用包含在保密数据2615中的AIK在可信任平台模块201内对该摘要值实施数字签名。
完整性度量在“TCG Specification Architecture Overview”中记载，所以省略详细的说明。
(S2806)第五电子终端2503将摘要值、数字签名、AIK证书2610、Conformance证书2612与请求一起向MigrationAuthority2501发送。
摘要值和数字签名的发送称作完整性报告。完整性报告在“TCGSpecificationArchitecture Overview”中记载，所以省略详细的说明。
(S2807)MigrationAuthority2501将来自第五电子终端2503的摘要值、数字签名、AIK证书2610、Conformance证书2612向证明处理单元501发送。证明处理单元501通过证明处理的执行，验证第四电子终端2502是否是非法的终端。所谓非法的终端，是由有恶意的用户或病毒等施加了篡改并进行没有预期到的动作的终端。
此外，将在(S2803)中接收到的基础证书2703和Conformance证书2612向证书解析单元502发送。
证书解析单元502验证这些证书的合法性，根据验证结果进行以下的动作。
i)在确认了各个证书的合法性的情况下，将各个证书向迁移可否判断单元504发送。
ii)在某个证书中发现了非法的情况下，如(S2808)那样返回NG，结束处理。
在确认了上述i)的证书的合法性的情况下，迁移可否判断单元504从证书解析单元502接收基础证书2703和Conformance证书2612，将基础证书2703的“最小信任等级”与Conformance证书2612的“评价等级”比较，并进行以下的动作。
i)在“最小信任等级”≤“评价等级”的情况下，生成判断OK。
ii)在“最小信任等级”＞“评价等级”的情况下，生成判断NG。
如上所述，“最小信任等级”表示对迁移目的地要求的最低限度的等级。因此，在(S2807)中，如果作为迁移目的地的第五电子终端的评价等级比“最小信任等级”高，则判断为许可迁移。此外，如果评价等级比“最小信任等级”低，则第五电子终端不具有作为迁移目的地的足够等级，所以不许可迁移。
(S2808)MigrationAuthority2501根据(S2507)的结果，进行以下的动作。
i)在判断结果是OK的情况下，将结果OK向第五电子终端2503发送。此外，将迁移的OK和MigrationAuthority2501的公钥(MApubKey)向第四电子终端2502发送。
ii)在判断结果是NG的情况下，将结果NG向第五电子终端2503返回，将迁移的NG向第四电子终端2502返回，结束处理。
(S2809)第四电子终端2502根据从MigrationAuthority2501接收到的信息，进行以下的动作。
i)在从MigrationAuthority2501接收到OK的情况下，用同时接收到的MApubKey将在(S2801)中生成的迁移包加密。
ii)在从MigrationAuthority2501接收到NG的情况下，结束处理。
另外，为了安全地处理迁移包而使用MApubKey进行迁移包的加密，但只要是安全处理迁移包的方法就可以，并不特别限定于该方法。例如，也可以在由第四电子终端2502和MigrationAuthority2501相互认证后，相互持有临时使用的称作会话密钥的共有密钥，用该会话密钥进行加密通信。
(S2810)第四电子终端2502将在(S2809)中加密的迁移包、Conformance证书2612、信息管理证书2611向MigrationAuthority2501发送。
另外，将迁移包、Conformance证书2612、信息管理证书2611分别作为独立的数据处理，但也可以采用各证书包含在迁移包中的结构。
(S2811)MigrationAuthority2501接收迁移包、Conformance证书2612、信息管理证书2611。数据接收单元500如果接收到这些数据，则向证书解析单元502发送。
证书解析单元502验证这些证书的合法性，根据验证结果进行以下的动作。
i)在确认了各个证书的合法性的情况下，将它们向迁移包登录单元503发送。
ii)在某个证书中发现了非法的情况下，通过数据发送单元506返回NG。
迁移包登录单元503如果从证书解析单元502接收到迁移包、Conformance证书2612、信息管理证书2611，则生成在MigrationAuthority2501中唯一确定迁移包的迁移包ID，将迁移包保存至保存区域507。此外，从保存目的地和各个证书中提取数据，登录到迁移包管理表中。
(S2812)如果(S2811)的登录处理完成，则MigrationAuthority2501经由数据发送单元506将结果OK和迁移包ID向第四电子终端2502发送。
(S2813)第四电子终端2502如果在(S2812)中接收到上载结果OK和迁移包ID，则进行虚拟机向第五电子终端2503的移动。虚拟机在向第五电子终端2503移动之后，继续执行，进行从MigrationAuthority2501的保密数据的下载等。
另外，MigrationAuthority2501也可以是与第四电子终端2502不同的装置。例如，也可以是作为应用而安装到第四电子终端2502中、一边与第五电子终端2503通信一边进行迁移的结构。
此外，说明了管理单元2603是管理程序2602的结构，但也可以是处于管理程序2602的外部而在电子终端内实现相同的功能的结构。
以上，结束本发明的实施方式4的说明。
(总结)
如以上所述，在本发明中，由于MigrationAuthority101确认作为保密数据的迁移源的第一电子终端102和迁移目的地的第二电子终端103的安全认证等级，并基于规定的算法判断可否迁移，所以不会误将保密数据迁移到在认证等级方面显著地比迁移源差的迁移目的地，能够安全地处理保密数据。
此外，由于MigrationAuthority101确认作为保密数据的迁移源的第一电子终端102和迁移目的地的第二电子终端103的信息管理中的加密的强度等级，并基于规定的算法判断可否迁移，所以不会误将保密数据迁移到在认证等级方面显著地比迁移源差的迁移目的地，能够安全地处理保密数据。
此外，由于第二电子终端103能够在保密数据的下载时以希望的加密算法、加密强度再生成秘密数据的管理构造，所以能够在第二电子终端103中使用对应于该时代的最新的加密算法、加密强度管理保密数据。即，根据本发明，用户通过购入搭载有最新的加密算法的第二电子终端103，能够使用对应于该时代的高速且强度高的加密算法管理保密数据。
此外，由于MigrationAuthority2001确认作为保密数据的迁移源的第三电子终端2002和迁移目的地的第一存储装置2004的信息管理中的加密的强度等级，并基于规定的算法判断可否迁移，所以不会误将保密数据迁移到在认证等级方面显著地比迁移源差的迁移目的地，能够安全地处理保密数据。
此外，由于第三电子终端2002能够在下载保密数据、向第一存储装置2004进行写入时以希望的加密算法、加密强度再生成秘密数据的管理构造，所以能够在第二电子终端103中使用对应于该时代的最新的加密算法、加密强度管理保密数据。即，根据本发明，用户通过购入搭载有最新的加密算法的第一存储装置2004，能够使用对应于该时代的高速且强度高的加密算法管理保密数据。
此外，在MigrationAuthority2501从第四电子终端2502向第五电子终端2503迁移执行环境时，确认作为保密数据的迁移源的第四电子终端2502和迁移目的地的第五电子终端2503的信息管理中的加密的强度等级，并基于规定的算法判断可否迁移，所以不会误将保密数据迁移到在认证等级方面显著地比迁移源差的迁移目的地，能够安全地处理保密数据。
此外，由于第五电子终端2503能够在保密数据的下载时以希望的加密算法、加密强度再生成秘密数据的管理构造，所以能够在第五电子终端2503中使用对应于该时代的最新的加密算法、加密强度管理保密数据。即，根据本发明，用户通过购入搭载有最新的加密算法的第五电子终端2503，能够通过虚拟化技术的迁移技术容易地迁移到使用对应于该时代的高速且强度高的加密算法的保密数据管理。
(其他实施方式)
以下，对有关本发明的各种实施方式进行说明。
作为本发明的一实施方式的数据迁移系统的特征在于，上述第一终端上载用由安全模块保持的密钥保护的保密数据的一部分或全部，上述第二终端下载用由安全模块保持的密钥保护的保密数据的一部分或全部，上述服务器保持记述有安全策略的安全策略表，在从第二终端向第一终端的数据移动时，基于各个终端的属性信息和上述安全策略表判断其可否移动。
根据该结构，由于将第一终端的保密数据按照数据迁移系统中的安全策略迁移到第二终端，所以能够防止误向不适当的终端迁移。
此外，上述迁移服务器的特征在于，具备：接收单元，接收数据；发送单元，发送数据；验证单元，验证终端验证码，确认接入的终端是否被非法篡改；解析单元，解析从上述终端传送的证书是否是非法的；包管理表，管理在上述迁移服务器内管理的保密数据的包；包登录单元，将从上述迁移源终端上载的上述保密数据的包登录到包管理表中；迁移可否判断单元，当从迁移目的地的终端接收到上述包的下载请求时，同时发送来的上述终端的属性信息是证书的信息，基于上述证书的信息按照上述安全策略表判断可否迁移；以及包再生成单元，再生成包，以使得在上述迁移目的地的终端中能够使用上述包。
根据该结构，能够防止将保密数据迁移到被非法篡改的第二终端中。
此外，作为本发明的一实施方式的迁移服务器的特征在于，具备：包管理表，管理上述保密数据的包和上述迁移源的终端的安全认证等级：以及包登录单元，将上述迁移源的终端的安全认证等级和上载的上述保密数据登录到包管理表中；上述安全策略表是上述迁移源的终端具有的安全认证等级与上述迁移目的地的终端具有的安全认证等级的对应表。
根据该结构，能够防止将保密数据迁移到低于由安全策略决定的安全认证等级的第二终端。
此外，上述迁移服务器的特征在于，具备：包管理表，管理上述保密数据的包和上述迁移源的保密数据的管理方式、加密算法、密钥长度；以及包登录单元，将上述迁移源的终端的保密数据的管理方式、加密算法、密钥长度和下载的上述保密数据登录到包管理表中；上述安全策略表表现为表示加密强度的等级在各种加密算法的情况下通过多少密钥长度来实现的表。
根据该结构，能够防止将保密数据迁移到具有低于由安全策略决定的加密强度等级的管理方法的第二终端。
此外，上述迁移服务器的特征在于，具备包再生成单元，该包再生成单元通过从上述迁移目的地的终端要求的由加密算法及加密强度构成的加密参数，进行上述包的加密变换并再生成包。
根据该结构，能够根据第二终端的加密返还请求，迁移实施了加密变换的包。例如，在第二终端具备最新的加密算法的情况下，该用户能够得到最新的保密数据的管理方法。
此外，作为本发明的实施方式之一的第一终端的特征在于，具备：接收单元，接收数据；发送单元，发送数据；上述安全模块；终端认证码生成单元，以上述第一终端的模块为对象生成终端认证码；数据存储单元，保存有用在上述安全模块中保持的密钥进行保护的保密数据、对上述第二终端的终端认证码进行签名的密钥、对上述第二终端的终端认证码进行签名的密钥的证书、和记载有上述第二终端的与安全相关的信息的安全特征信息；包生成单元，将上述保密数据的一部分或全部打包；以及数字签名生成单元，用对上述终端认证码进行上述签名的密钥生成数字签名。
根据该结构，第一终端能够经由迁移服务器对迁移目的地的第二终端请求按照安全策略的保密数据的保护等级。
此外，上述第一终端的特征在于，上述安全特征信息是上述第一终端的安全认证等级。
根据该结构，能够防止将保密数据迁移到低于由安全策略决定的安全认证等级的第二终端。
此外，上述第一终端的特征在于，上述安全特征信息是上述迁移源的保密数据的管理方式、加密算法、密钥长度。
根据该结构，能够防止将保密数据迁移到具有低于由安全策略决定的加密强度等级的管理方法的第二终端。
此外，上述第一终端的特征在于，具备删除单元，该删除单元当由上述迁移服务器通知了上述包被下载的消息时将已下载的上述包删除。
根据该结构，能够在确认上述包已被迁移后将迁移源的第一终端的上述包删除。
此外，作为本发明的实施方式之一的第二终端的特征在于，具备：接收单元，接收数据；发送单元，发送数据；上述安全模块；包展开单元，将包含上述保密数据的包展开；终端认证码生成单元，以上述第二终端的模块为对象生成终端认证码；数据存储单元，保存对上述第二终端的终端认证码进行签名的密钥、对上述第二终端的终端认证码进行签名的密钥的证书、和记载有上述第二终端的与安全相关联的信息的安全特征信息；保密数据，用在上述安全模块保持的密钥进行保护；数字签名生成单元，用对上述终端认证码进行上述签名的密钥生成数字签名；通过将由上述加密算法及加密强度构成的加密参数向上述迁移服务器发送，向上述迁移服务器指定上述包的再生成方法。
根据该结构，第二终端能够指定希望的加密参数而下载上述包。
此外，上述第二终端的特征在于，上述安全特征信息是上述第一终端的安全认证等级。
根据该结构，能够防止将保密的数据迁移到低于由安全策略决定的安全认证等级的第二终端。
此外，上述第二终端的特征在于，上述安全特征信息是上述迁移目的地的保密数据的管理方式、加密方式、密钥长度。
根据该结构，能够防止将保密数据迁移到具有低于由安全策略决定的加密强度等级的管理方法的第二终端。
此外，上述第二终端的特征在于，具备将从上述迁移服务器接收到的包解密、使用证书确认是否是合法的数据的上述安全模块。
此外，作为本发明的一实施方式的保密数据的上载方法的特征在于，包括：包生成步骤，上述第一终端由保密数据的一部分或全部生成包；上述第一终端根据上述终端认证码使用进行上述签名的密钥生成上述数字签名的步骤；上述第一终端将上述终端认证码、上述数字签名和进行上述签名的密钥的证书向上述迁移服务器发送的步骤；上述迁移服务器基于从上述第一终端接收到的上述终端认证码、上述数字签名和进行上述签名的密钥的证书，验证上述第一终端的篡改的有无的步骤；上述迁移服务器采取i)在确认了在上述第一终端中没有篡改的情况下，向上述第一终端发送OK结果和公钥的步骤、ii)在上述第一终端中确认有篡改的情况下，向上述第一终端发送NG结果的步骤中的一个的步骤；上述第一终端采取i)在接收到OK结果的情况下用公钥将上述包加密的步骤、ii)在接收到NG结果的情况下结束处理的步骤中的一个的步骤；上述第一终端将上述加密的包和上述安全特征信息向上述迁移服务器发送的步骤；上述迁移服务器将从上述第一终端接收到的上述加密的包和上述安全特征信息登录到包管理表中的步骤；以及上述迁移服务器将在上述加密的包的登录时生成的包ID和OK结果向上述第一终端发送的步骤。
根据该结构，能够防止将保密的数据迁移到低于由安全策略决定的安全认证等级的第二终端。
此外，作为另一实施方式的保密数据的下载方法的特征在于，包括：包生成步骤，上述第二终端由保密数据的一部分或全部生成包；上述第二终端根据上述终端认证码使用进行上述签名的密钥生成上述数字签名的步骤；上述第二终端将上述终端认证码、上述数字签名和进行上述签名的密钥的证书向上述迁移服务器发送的步骤；上述迁移服务器基于从上述第二终端接收到的上述终端认证码、上述数字签名和进行上述签名的密钥的证书，验证上述第一终端的篡改的有无的步骤；上述迁移服务器采取i)在确认在上述第二终端中没有篡改的情况下，向上述第二终端发送OK结果和公钥的步骤、ii)在上述第二终端中确认有篡改的情况下，向上述第二终端发送NG结果的步骤中的一个的步骤；上述第二终端采取i)在接收到OK结果的情况下用公钥将用来加密上述包的终端密钥加密的步骤、ii)在接收到NG结果的情况下结束处理的步骤中的一个的步骤；上述第一终端将上述加密的终端密钥、在上述包的再生成时使用的上述加密参数、和上述安全特征信息向上述迁移服务器发送的步骤；上述迁移服务器基于从上述第一终端接收到的上述安全特征信息判断可否下载的步骤；上述迁移服务器根据下载可否判断的结果，采取i)如果是OK则基于加密参数及安全策略表进行上述包的再生成并向第二终端发送的步骤、ii)如果是NG则发送NG结果的步骤中的一个的步骤。
此外，作为另一实施方式的数据迁移装置的特征在于，具备：接收单元，接收数据；发送单元，发送数据；上述安全模块；验证单元，验证接入的终端是否有被非法篡改的终端认证码；解析单元，解析从上述终端传送的证书是否是合法的；包管理表，管理在上述迁移服务器内管理的保密数据的包；包生成单元，将上述保密数据的一部分或全部打包；数据存储单元，保存有对上述第一终端的终端认证码进行签名的密钥、对上述第一终端的终端认证码进行签名的密钥的证书、和用在上述安全模块中保持的密钥进行保护的保密数据及记载有与安全相关联的信息的安全特征信息；迁移可否判断单元，当从迁移目的地的终端接收到上述包的下载请求时，同时发送的上述终端的属性信息是证书的信息，基于上述安全特征信息和上述证书的信息按照上述安全策略表判断可否迁移；以及包再生成单元，再生成包，以使得能够在上述迁移目的地的终端中使用上述包。
根据该结构，能够防止将保密的数据迁移到被进行了非法篡改的第二终端。
此外，上述数据迁移装置的特征在于，具备包再生成单元，该包再生成单元通过从上述迁移目的地的终端请求的由加密算法及加密强度构成的加密参数，在上述安全模块内进行上述包的加密变换并再生成包。
根据该结构，能够根据第二终端的加密返还请求而迁移实施了加密变换的包。例如，在第二终端具备最新的加密算法的情况下，该用户能够得到最新的保密数据的管理方法。
此外，作为本发明的一实施方式的集成电路的特征在于，具备：加密单元，具有用来进行加密变换的两个以上的加密算法；以及存储单元，在上述包的加密变换时使用。
根据该结构，能够在没有非法接入的安全的环境中进行加密变换。
此外，另一实施方式是内容管理再现装置，其特征在于，具备：接收单元，接收数据；发送单元，发送数据；上述安全模块；终端认证码生成单元，以上述内容管理再现装置的模块为对象生成终端认证码；内容管理表，管理内容数据的记录目的地；内容权利管理表，管理内容的权利；权利保护密钥管理表，管理将上述内容的权利加密的权利保护密钥；数据存储单元，保存将上述权利保护密钥管理表加密的、与计数器的增加同步而值变化的事变密钥、用由上述安全模块保持的密钥进行保护的保密数据、对上述内容管理再现装置的终端认证码进行签名的密钥、对上述内容管理再现装置的终端认证码进行签名的密钥的证书、和记载有上述内容管理装置的与安全相关联的信息的安全特征信息；包生成单元，将上述保密数据的一部分或全部打包；包展开单元，将包含上述保密数据的上述包展开；以及数字签名生成单元，用对上述终端认证码进行上述签名的密钥生成数字签名。
根据该结构，能够在内容管理再现装置间实现经由迁移服务器的安全的著作保护内容的迁移。
此外，上述内容管理再现装置的特征在于，具备删除单元，该删除单元当被从上述迁移服务器通知了上述包已被下载的消息时，将已上载的上述包及包含在包中的与保密信息相关联的内容信息删除。
根据该结构，能够防止在著作权保护内容的迁移时权利重复。
此外，作为本发明的一个实施方式的数据迁移系统的特征在于，上述第一模块将用由安全模块保持的密钥进行保护的保密数据的一部分或全部上载，上述第二模块将上载到上述第一模块中的保密数据的一部分或全部下载，上述服务器保持有记述有安全策略的安全策略表，在从第二模块向第一模块的数据移动时基于各个模块的属性信息和上述安全策略表判断其可否移动。
根据该结构，第一模块的保密数据被按照数据迁移系统中的安全策略迁移到第二模块，所以能够防止误被向不适当的模块迁移。
此外，作为本发明的实施方式之一的数据迁移终端的特征在于，数据迁移终端具备：接收单元，与安全存储器连接，接收数据；发送单元，发送数据；上述安全模块；终端认证码生成单元，以上述数据迁移终端的1个以上的模块为对象生成终端认证码；用由上述安全模块保持的密钥进行保护的保密数据；对上述数据迁移终端的终端认证码进行签名的密钥；对上述数据迁移终端的终端认证码进行签名的密钥的证书；包生成单元，将上述保密数据的一部分或全部打包；数字签名生成单元，以对上述终端认证码进行上述签名的密钥生成数字签名；上述第二模块，将上述数据接收单元接收到的受保护的数据向上述安全存储器写入；以及数据存储单元，保存记载有上述数据迁移终端的与安全相关联的信息的第一安全特征信息、和记载有上述安全存储器的与安全相关联的信息的第二安全特征信息。
根据该结构，数据迁移终端能够经由迁移服务器对迁移目的地的安全存储器请求按照安全策略的保密数据的保护等级。
此外，上述数据迁移终端的特征在于，上述第一安全特征信息是上述数据迁移终端的安全认证等级。
根据该结构，能够防止保密数据被迁移到低于由安全策略决定的安全认证等级的安全存储器中。
此外，上述数据迁移终端的特征在于，上述第一安全特征信息是保密数据的管理方式、加密算法、密钥长度。
根据该结构，能够防止将保密数据迁移到具有低于由安全策略决定的加密强度的管理方法的安全存储器中。
此外，上述数据迁移终端的特征在于，上述第二安全特征信息是上述数据迁移终端的安全认证等级。
根据该结构，能够防止保密数据被迁移到低于由安全策略决定的安全认证等级的安全存储器中。
此外，上述数据迁移终端的特征在于，上述第二安全特征信息是加密算法、密钥长度。
根据该结构，能够防止将保密数据迁移到具有低于由安全策略决定的加密强度的管理方法的安全存储器中。
此外，作为本发明的实施方式之一的保密数据的下载方法的特征在于，包括：上述数据迁移终端根据上述终端认证码使用进行上述签名的密钥生成上述数字签名的步骤；上述数据迁移终端将上述终端认证码、上述数字签名和进行上述签名的密钥的证书向迁移服务器发送的步骤；上述迁移服务器基于从上述数据迁移终端接收到的上述终端认证码、上述数字签名和进行上述签名的密钥的证书，验证上述第一终端的篡改的有无的步骤；上述迁移服务器采取i)在确认在上述数据迁移终端中没有篡改的情况下，向上述迁移终端发送OK结果和公钥的步骤、ii)在确认上述数据迁移终端中有篡改的情况下，向上述数据迁移终端发送NG结果的步骤中的某一个的步骤；上述数据迁移终端采取i)在接收到OK结果的情况下用公钥将用来加密上述包的终端密钥加密的步骤、ii)在接收到NG结果的情况下结束处理的步骤中的某一个的步骤；上述数据迁移终端将上述加密的终端密钥、在上述包的再生成时使用的上述加密参数、和上述第二安全特征信息向上述迁移服务器发送的步骤；上述迁移服务器基于从上述数据迁移终端接收到的上述第一安全特征信息判断可否下载的步骤；上述迁移服务器根据下载可否判断的结果、采取i)如果是OK则基于加密参数及安全策略表进行上述包的再生成并向第二终端发送的步骤、ii)如果是NG则发送NG结果的步骤中的某一个的步骤。
根据该结构，能够防止保密数据被迁移到被进行了非法篡改的第二终端。
此外，上述数据迁移系统是经由迁移服务器向第五终端迁移的数据迁移系统，其特征在于，上述服务器保持记述有安全策略的安全策略表，在从第四终端向第五终端的数据移动时，基于各个终端的属性信息和上述安全策略表判断可否迁移。
此外，作为本发明的一个实施方式的第四终端的特征在于，控制上述安全模块、用由上述安全模块保持的密钥进行保护的保密数据、对上述第四终端的终端认证码进行签名的密钥、对上述第四终端的终端认证码进行签名的密钥的证书、记载有上述第四终端的与安全相关的信息的终端安全特征信息以及一个或其以上的执行环境的执行环境控制单元具备对迁移的执行进行控制的迁移控制单元；由上述执行环境控制单元控制的执行环境具备：接收单元，接收数据；发送单元，发送数据；上述安全模块；终端认证码生成单元，以上述执行环境的模块为对象生成终端认证码；用由上述安全模块保持的密钥进行保护的保密数据；对上述执行环境的终端认证码进行签名的密钥；对上述执行环境的终端认证码进行签名的密钥的证书；包生成单元，将上述保密数据的一部分或全部打包；数字签名生成单元，用对上述终端认证码进行上述签名的密钥生成数字签名；执行环境安全特征信息，记载有上述执行环境的与安全相关联的信息；以及安全等级信息，记载有作为迁移目的地的上述第五终端所需要的与安全相关联的信息。
根据该结构，第四终端能够经由迁移服务器对迁移目的地的第五终端请求按照安全策略的保密数据的保护等级。
此外，上述第四终端的特征在于，上述执行环境安全特征信息是上述第四终端的安全认证等级。
根据该结构，能够防止将保密数据迁移到低于由安全策略决定的安全认证等级的第五终端。
此外，在上述第四终端中，其特征在于，上述执行环境的安全特征信息是保密数据的管理方式、加密算法、密钥长度。
根据该结构，能够防止将保密数据迁移到具有低于由安全策略决定的加密强度等级的管理方法的第五终端。
此外，上述第四终端的特征在于，上述终端安全特征信息是上述第四终端的安全认证等级。
根据该结构，能够防止将保密数据迁移到低于由安全策略决定的安全认证等级的第五终端。
此外，上述第四终端的特征在于，上述终端安全特征信息是保密数据的管理方式、加密算法、密钥长度。
根据该结构，能够防止将保密数据迁移到具有低于由安全策略决定的加密强度等级的管理方法的第五终端。
此外，在上述第四终端中，上述安全等级信息是上述第四终端的安全认证等级。
此外，作为本发明的一个实施方式的保密数据的上载方法的特征在于，包括：包生成步骤，上述数据迁移终端根据保密数据的一部分或全部生成包；上述数据迁移终端根据上述终端认证码，使用进行上述签名的密钥生成上述数字签名的步骤；上述数据迁移终端将上述终端识别码、上述数字签名、进行上述签名的密钥的证书和上述执行环境安全特征信息向上述迁移服务器发送的步骤；上述迁移服务器基于从上述数据迁移终端接收到的上述终端认证码、上述数字签名和进行上述签名的密钥的证书，验证上述迁移终端的篡改的有无的步骤；上述迁移服务器采取i)在确认了在上述数据迁移终端中没有篡改的情况下，将来自上述第四终端的迁移请求向上述第五终端发送的步骤、ii)在上述数据迁移终端中确认了篡改的情况下向上述第四终端发送NG结果的步骤中的某一个的步骤；上述第五终端根据上述终端认证码，使用进行上述签名的密钥生成上述数字签名的步骤；上述第五终端将上述终端认证码、上述数字签名、进行上述签名的密钥的证书和上述安全等级信息向上述迁移服务器发送的步骤；上述迁移服务器基于从上述第五终端接收到的上述终端认证码、上述数字签名和进行上述签名的密钥的证书，验证上述第五终端的篡改的有无的步骤；上述迁移服务器采取i)在确认了在上述第五终端中没有篡改的情况下，基于从上述第四终端接收到的上述执行环境安全特征信息和上述安全等级信息，判断可否迁移的步骤；ii)在确认了上述第五终端中有篡改的情况下生成NG结果的步骤中的某一个的步骤；上述迁移服务器在i)在确认了在上述数据迁移终端中没有篡改、迁移可否的判断是OK的情况下，向上述第五终端发送OK结果，并向上述第四终端发送OK结果和公钥的步骤；ii)在确认了上述数据迁移终端中有篡改、或确认迁移可否的判断是NG的情况下，向上述第五终端和第四终端发送NG结果的步骤中的某一个的步骤；上述第四终端采取i)在接收到OK结果的情况下用公钥将用来加密上述包的终端密钥加密的步骤；ii)在接收到NG结果的情况下结束处理的步骤中的某一个的步骤；上述第四终端将上述加密后的包和上述执行环境安全特征信息向上述迁移服务器发送的步骤；上述迁移服务器将从上述第四终端接收到的上述加密的包和上述执行环境安全特征信息登录到包管理表中的步骤；上述迁移服务器将在上述加密的包的登录时生成的包ID和OK结果向上述第一终端发送的步骤；以及将执行环境从上述第四终端迁移到上述第五终端的步骤。
根据该结构，能够防止将保密数据迁移到低于由安全策略决定的安全认证等级的第二终端。
(其他变形例)
另外，基于上述实施方式说明了本发明，但本发明当然并不限定于上述实施方式。以下这样的情况也包含在本发明中。
(1)在上述实施方式中，MigrationAuthority101与第一电子终端102、第二电子终端103的数据的收发以因特网等网络为前提进行了记载，但也可以是使用可拆装的存储介质的结构。
(2)在上述实施方式中，将MigrationAuthority101和第一电子终端102作为独立的结构进行了记载，但也可以是第一电子终端102具备MigrationAuthority101的功能并受理第二电子终端103的迁移包的下载请求的结构。
(3)在上述实施方式中，假设迁移源的第一电子终端102具备非对称SRK、迁移目的地的第二电子终端103具备对称SRK，但也可以是第一电子终端102具备对称SRK、第二电子终端103具备非对称SRK的结构。
(4)在上述实施方式中，假设AIK证书210、信息管理证书211、Conformance证书212由MigrationAuthority101发行，但也可以是作为第三方的认证局(CertificateAuthority)发行的。此时，MigrationAuthority101使用从认证局发行的证书进行AIK证书210、信息管理证书211、Conformance证书212的验证。
(5)在上述实施方式中，记载为迁移所管理的保密数据的树整体，但也可以是用户有选择地迁移树构造的一部分。
(6)在上述实施方式中，假设由MigrationAuthority101一次将整个迁移包进行再生成，但在迁移包的数据尺寸较大的情况下，也可以将层级分为几个阶段进行再生成，并反复向第二电子终端103发送。
(7)在上述实施方式中，假设迁移可否判断单元504基于在加密强度表701及认证等级判断表801中包含的参数进行判断，但也可以根据第一电子终端及第二电子终端中的密钥更新的功能或密钥的生存期间等来进行判断。
(8)上述各装置具体而言是由微处理器、ROM、RAM、硬盘单元、显示器单元、键盘、鼠标等构成的计算机系统。在上述RAM或硬盘单元中记录有计算机程序。通过上述微处理器按照上述计算机程序动作，各装置实现其功能。这里，计算机程序是为了实现规定的功能而将表示对计算机发出的指令的命令代码组合多个而构成的。另外，各装置并不限于将微处理器、ROM、RAM、硬盘单元、显示器单元、键盘、鼠标等全部包含在内的计算机系统，也可以是由它们的一部分构成的计算机系统。
(9)构成上述各装置的结构要素的一部分或全部也可以由1个系统LSI(Large Scale Integration：大规模集成电路)构成。系统LSI是将多个结构部集成在1个芯片上而制造的超多功能LSI，具体而言，是包括微处理器、ROM、RAM等而构成的计算机系统。在上述RAM中记录有计算机程序。通过上述微处理器按照上述计算机程序动作，系统LSI实现其功能。
此外，构成上述各装置的结构要素的各部既可以单独地1芯片化，也可以包含一部分或全部而1芯片化。
此外，这里设为系统LSI，但根据集成度的差异，也有称作IC、LSI、超级LSI、超大规模LSI的情况。此外，集成电路化的方法并不限于LSI，也可以由专用电路或通用处理器实现。也可以采用在LSI制造后能够编程的FPGA(Field Programmable Gate Array：现场可编程门阵列)、或能够重构LSI内部的电路单元的连接及设定的可重构处理器。
进而，如果因半导体技术的进步或派生的其他技术而出现代替LSI的集成电路化的技术，则当然也可以使用该技术进行功能块的集成化。有可能是生物技术的应用等。
(10)构成上述各装置的结构要素的一部分或全部也可以由相对于各装置可拆装的IC卡或单体的模块构成。上述IC卡或上述模块是由微处理器、ROM、RAM等构成的计算机系统。上述IC卡或上述模块也可以包括上述超多功能LSI。通过微处理器按照计算机程序动作，上述IC卡或上述模块实现其功能。该IC卡或该模块也可以具有防篡改性。
(11)本发明也可以是上述所示的方法。此外，也可以是通过计算机实现这些方法的计算机程序，也可以是由上述计算机程序构成的数字信号。
此外，本发明也可以是将上述计算机程序或上述数字信号记录在计算机可读取的记录介质、例如软盘、硬盘、CD-ROM、MO、DVD、DVD-ROM、DVD-RAM、BD(Blu-ray Disc)、半导体存储器等中的产品。此外，也可以是记录在这些记录介质中的上述数字信号。
此外，本发明也可以是将上述计算机程序或上述数字信号经由电气通信线路、无线或有线通信线路、以因特网为代表的网络、数字广播等传送的系统。
此外，本发明也可以是具备微处理器和存储器的计算机系统，上述存储器记录有上述计算机程序，上述微处理器按照上述计算机程序动作。
此外，也可以通过将上述程序或上述数字信号记录在上述记录介质中进行移送，或者通过将上述程序或上述数字信号经由上述网络等进行移送，来由独立的其他计算机系统实施。
(12)也可以将上述实施方式及上述变形例分别组合。
工业实用性
如果使用有关本发明的电子终端和MigrationAuthority，则即使在存在具有不同的安全认证等级或强度等级的电子终端的状况下，也能够安心地在电子终端间进行保密数据的迁移。此外，如果用户得到了具备最新的加密算法的电子终端，则能够得到比以往的电子终端更高速且安全的数据管理。

Claims (22)

1.一种迁移装置，将在第一终端内保护的数据移动到第二终端，其特征在于，具备：
接收单元，从上述第一终端接收在上述第一终端内的安全模块中用第一加密算法保护的保密数据，从上述第二终端接收上述保密数据的下载请求；
识别单元，根据从上述第一终端传送的证书识别上述第一加密算法，根据从上述第二终端传送的证书识别在上述第二终端内的安全模块中使用的第二加密算法；
保持单元，保持将上述第一加密算法及上述第二加密算法建立了对应的安全策略表；以及
控制单元，在从上述第二终端接收到上述下载请求时，按照上述安全策略表，代替上述第一加密算法而用上述第二加密算法重新保护上述保密数据，并发送给上述第二终端；
上述控制单元在将从上述第一加密算法改为用上述第二加密算法重新保护的保密数据发送给上述第二终端之前，从上述第一终端接收上述第一终端要求的最低评价等级，作为被发送上述保密数据的目的地的终端所具备的评价等级，并从上述第二终端接收上述第二终端的评价等级，判断上述第二终端的评价等级是否为上述最低评价等级以上，在上述第二终端的评价等级是上述最低评价等级以上的情况下，将上述重新保护的保密数据发送给上述第二终端。
2.如权利要求1所述的迁移装置，其特征在于，
上述第一终端具备：
执行单元，通过虚拟机实现进行使用了上述保密数据的处理的执行环境；以及
移动单元，从实现上述执行环境的虚拟机中消除上述保密数据，将消除了上述保密数据的虚拟机用与上述保密数据不同的路径向上述第二终端移动。
3.如权利要求1所述的迁移装置，其特征在于，
上述安全策略表所表示的上述第一加密算法及上述第二加密算法的对应关系包括上述第二加密算法的加密强度的等级比上述第一加密强度的等级低的情况。
4.如权利要求3所述的迁移装置，其特征在于，
设有第二安全策略表，该第二安全策略表保存有上述第一终端的第一安全认证等级和上述第二终端的第二安全认证等级；
上述控制单元即使在按照上述安全策略表存在与上述第一加密算法对应的第二加密算法的情况下，在按照上述第二安全策略表、上述第二终端的第二安全认证等级与上述第一终端的第一安全认证等级的差为规定值以上的情况下，禁止将上述保密数据用上述第二加密算法重新保护。
5.如权利要求3所述的迁移装置，其特征在于，
设有第二安全策略表，该第二安全策略表保存有上述第一终端的第一安全认证等级和上述第二终端的第二安全认证等级；
上述控制单元即使在按照上述安全策略表存在与上述第一加密算法对应的第二加密算法的情况下，在按照上述第二安全策略表、上述第二终端的第二安全认证等级与上述第一终端的第一安全认证等级的差为规定值以上的情况下，禁止将上述保密数据用上述第二加密算法重新保护并发送给上述第二终端。
6.如权利要求3所述的迁移装置，其特征在于，
用在上述第一加密算法中使用的密钥的长度表示上述第一加密算法的加密强度的等级，此外，用在上述第二加密算法中使用的密钥的长度表示上述第二加密算法的加密强度的等级。
7.如权利要求1所述的迁移装置，其特征在于，
上述识别单元识别上述第一加密算法的种类和密钥长度，并识别第二加密算法的种类；
上述保持单元保持上述安全策略表，该安全策略表表示与对应于上述第一加密算法的加密算法种类及密钥长度成为相同加密强度等级的、对应于上述第二加密算法的加密算法种类的密钥长度；
上述控制单元在按照上述安全策略表，代替上述第一加密算法而用上述第二加密算法重新保护上述保密数据时，使用与上述第一加密算法的密钥长度对应的上述第二加密算法的密钥长度重新保护。
8.如权利要求1所述的迁移装置，其特征在于，
上述识别单元识别上述第一加密算法的种类和密钥长度，并识别第二加密算法的种类；
上述保持单元保持下述安全策略表，该安全策略表将在多个加密算法之间成为相同加密强度等级的密钥长度建立了对应；
上述控制单元在按照上述安全策略表，代替上述第一加密算法而用上述第二加密算法重新保护上述保密数据时，检索与对应于上述第一加密算法的加密算法种类及密钥长度成为相同加密强度等级的、对应于上述第二加密算法的加密算法种类的密钥长度，使用与上述第一加密算法的密钥长度相对应的上述第二加密算法的密钥长度重新保护。
9.如权利要求3所述的迁移装置，其特征在于，
上述安全策略表是从上述第一终端发送给上述迁移装置的表。
10.如权利要求3所述的迁移装置，其特征在于，
上述接收单元从上述第二终端接收主密钥、表示使用上述主密钥时的加密算法的信息以及表示使用上述主密钥来加密的范围的信息；
上述控制单元使用上述接收到的主密钥及使用上述主密钥时的加密算法，基于表示使用上述主密钥来加密的范围的信息，仅保护上述保密数据的最上位的数据。
11.如权利要求3所述的迁移装置，其特征在于，
上述接收单元从上述第二终端接收主密钥及表示使用上述主密钥时的加密算法的信息；
上述控制单元生成与接收到的上述主密钥不同的第二密钥，使用上述第二密钥及使用上述主密钥时的加密算法，保护上述保密数据。
12.如权利要求11所述的迁移装置，其特征在于，
上述控制单元在上述主密钥的下层生成与接收到的上述主密钥不同的第二密钥。
13.如权利要求3所述的迁移装置，其特征在于，
上述接收单元从上述第二终端接收公钥及表示使用上述公钥时的加密算法的信息；
上述控制单元使用接收到的上述公钥及使用上述公钥时的加密算法，保护上述保密数据。
14.如权利要求3所述的迁移装置，其特征在于，
上述接收单元从上述第二终端接收私钥及表示使用上述私钥时的加密算法的信息；
上述控制单元使用上述接收到的私钥及使用上述私钥时的加密算法，保护上述保密数据。
15.如权利要求3所述的迁移装置，其特征在于，
上述接收单元从上述第二终端接收主密钥；
上述控制单元以与接收到的上述主密钥所表示的加密强度的等级相同的等级保护上述保密数据整体。
16.如权利要求3所述的迁移装置，其特征在于，
上述接收单元从上述第二终端接收表示加密强度的等级的信息；
上述控制单元以与接收到的上述信息所表示的加密强度的等级相同的等级保护上述保密数据。
17.如权利要求3所述的迁移装置，其特征在于，
上述接收单元从上述第二终端接收下述信息，该信息是请求以与上述第一终端保护保密数据时的加密强度的等级相同的等级进行保护的信息；
上述控制单元基于接收到的上述信息，以与上述第一终端保护保密数据时的加密强度的等级相同的等级，保护上述保密数据。
18.如权利要求3所述的迁移装置，其特征在于，
上述迁移装置包括迁移服务器。
19.如权利要求3所述的迁移装置，其特征在于，
上述迁移装置包含在上述第一终端的内部中。
20.一种迁移方法，将在第一终端内保护的数据移动到第二终端中，其特征在于，包括：
接收步骤，从上述第一终端接收在上述第一终端内的安全模块中用第一加密算法保护的保密数据；
识别步骤，根据从上述第一终端传送的证书，识别上述第一加密算法；
保持步骤，保持将上述第一加密算法及在上述第二终端内的安全模块中使用的第二加密算法建立了对应的安全策略表；
接收步骤，从上述第二终端接收上述保密数据的下载请求；
识别步骤，根据从上述第二终端传送的证书，识别上述第二加密算法；
发送步骤，在从上述第二终端接收到上述下载请求时，按照上述安全策略表，代替上述第一加密算法而用上述第二加密算法重新保护上述保密数据，并发送给上述第二终端；
在上述发送步骤中，在将从上述第一加密算法改为用上述第二加密算法重新保护的保密数据发送给上述第二终端之前，从上述第一终端接收上述第一终端要求的最低评价等级作为被发送上述保密数据的目的地的终端所具备的评价等级，并从上述第二终端接收上述第二终端的评价等级，判断上述第二终端的评价等级是否为上述最低评价等级以上，在上述第二终端的评价等级是上述最低评价等级以上的情况下，将上述重新保护的保密数据发送给上述第二终端。
21.一种存储介质，保存有在迁移装置中能够读取的程序，该迁移装置将在第一终端内保护的数据移动到第二终端，上述存储介质的特征在于，
上述程序使上述迁移装置执行如下处理：
从上述第一终端接收在上述第一终端内的安全模块中用第一加密算法保护的保密数据的处理；
根据从上述第一终端传送的证书，识别上述第一加密算法的处理；
保持将上述第一加密算法及在上述第二终端内的安全模块中使用的第二加密算法建立了对应的安全策略表的处理；
从上述第二终端接收上述保密数据的下载请求的处理；
根据从上述第二终端传送的证书，识别上述第二加密算法的处理；以及
在从上述第二终端接收到上述下载请求时，按照上述安全策略表将上述保密数据从上述第一加密算法改为用上述第二加密算法重新保护，并发送给上述第二终端的处理；
并且，在将从上述第一加密算法改为用上述第二加密算法重新保护的保密数据发送给上述第二终端之前，执行下述处理，即：从上述第一终端接收上述第一终端要求的最低评价等级作为上述保密数据被发送的目的地的终端所具备的评价等级，并从上述第二终端接收上述第二终端的评价等级，判断上述第二终端的评价等级是否为上述最低评价等级以上，在上述第二终端的评价等级是上述最低评价等级以上的情况下，将上述重新保护的保密数据发送给上述第二终端。
22.一种迁移系统，经由迁移装置从第一终端装置向第二终端装置移动要隐匿的保密数据，其特征在于，
上述第一终端具备：
第一执行单元，通过虚拟机实现进行使用上述保密数据的处理的执行环境；
发送单元，将上述保密数据安全地向上述迁移装置发送；
移动单元，从实现上述执行环境的虚拟机消除上述保密数据，并将消除了上述保密数据的虚拟机通过与上述保密数据不同的路径向上述第二终端移动；
上述迁移装置具备：
接收单元，从上述第一终端安全地接收上述保密数据；
判断单元，判断上述第二终端的有关安全的评价等级是否为取得上述保密数据的装置应具有的最低评价等级以上；
发送单元，在上述评价等级是上述最低评价等级以上的情况下，将上述保密数据以适合于上述第二终端的方法向上述第二终端安全地发送；
许可单元，在上述评价等级是上述最低评价等级以上的情况下，向上述第一终端许可上述移动；
上述第二终端具备：
接收单元，安全地接收上述保密数据；
第二执行单元，从上述第一终端取得上述虚拟机，使用所取得的上述虚拟机实现进行使用接收到的上述保密数据的处理的执行环境。
CN2009801062676A 2008-02-25 2009-02-23 信息安全装置及信息安全系统 Pending CN101953112A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2008-043008 2008-02-25
JP2008043008 2008-02-25
PCT/JP2009/000761 WO2009107351A1 (ja) 2008-02-25 2009-02-23 情報セキュリティ装置および情報セキュリティシステム

Publications (1)

Publication Number Publication Date
CN101953112A true CN101953112A (zh) 2011-01-19

Family

ID=41015758

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2009801062676A Pending CN101953112A (zh) 2008-02-25 2009-02-23 信息安全装置及信息安全系统

Country Status (5)

Country Link
US (1) US8489873B2 (zh)
EP (1) EP2249511A1 (zh)
JP (1) JP5281074B2 (zh)
CN (1) CN101953112A (zh)
WO (1) WO2009107351A1 (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104112101A (zh) * 2013-04-19 2014-10-22 奥林巴斯映像株式会社 信息通信装置
CN104580160A (zh) * 2014-12-16 2015-04-29 上海天奕达电子科技有限公司 一种信息交互方法及系统
CN105230078A (zh) * 2013-04-19 2016-01-06 奥林巴斯株式会社 信息通信装置、信息通信方法以及信息通信程序
CN107566319A (zh) * 2016-06-30 2018-01-09 中央大学 虚拟机器即时转移方法
CN108076011A (zh) * 2016-11-10 2018-05-25 中国移动通信有限公司研究院 一种可信执行环境数据迁移方法及装置
CN115033899A (zh) * 2021-11-26 2022-09-09 荣耀终端有限公司 应用数据的迁移方法、终端设备以及存储介质

Families Citing this family (48)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8438256B2 (en) 2009-06-26 2013-05-07 Vmware, Inc. Migrating functionality in virtualized mobile devices
CN101937357B (zh) * 2009-07-01 2013-11-06 华为技术有限公司 一种虚拟机迁移决策方法、装置及系统
KR101580353B1 (ko) * 2010-03-02 2015-12-23 인터디지탈 패튼 홀딩스, 인크 신뢰성 있는 하드웨어 가입 모듈 간의 크리덴셜 및/또는 도메인의 마이그레이션
JP5467315B2 (ja) * 2010-04-13 2014-04-09 ソニー株式会社 情報処理装置、情報処理方法およびプログラム
MY150910A (en) * 2010-05-25 2014-03-14 Mimos Berhad System and method for virtual on-demand application
US9203618B2 (en) * 2010-06-16 2015-12-01 Nokia Technologies Oy Information theoretic security mechanisms using a time-varying key
US20110314561A1 (en) * 2010-06-21 2011-12-22 Roland Brill Server implemented method and system for securing data
WO2012023050A2 (en) 2010-08-20 2012-02-23 Overtis Group Limited Secure cloud computing system and method
CN201846343U (zh) * 2010-09-25 2011-05-25 北京天地融科技有限公司 以语音方式与手机通信的电子签名工具
GB201018836D0 (en) * 2010-11-08 2010-12-22 Hewlett Packard Development Co Data manager
JP5524355B2 (ja) * 2010-12-16 2014-06-18 株式会社日立製作所 仮想計算機管理方法、計算機システム及び計算機
US20120173874A1 (en) * 2011-01-04 2012-07-05 Qualcomm Incorporated Method And Apparatus For Protecting Against A Rogue Certificate
US9612855B2 (en) * 2011-01-10 2017-04-04 International Business Machines Corporation Virtual machine migration based on the consent by the second virtual machine running of the target host
CN102694672B (zh) * 2011-03-24 2015-07-22 华为技术有限公司 虚拟机参数迁移的方法、设备和虚拟机服务器
US9075811B2 (en) * 2011-09-30 2015-07-07 Symantec Corporation Cloud information migration systems and methods
US9054874B2 (en) * 2011-12-01 2015-06-09 Htc Corporation System and method for data authentication among processors
US20130152076A1 (en) * 2011-12-07 2013-06-13 Cisco Technology, Inc. Network Access Control Policy for Virtual Machine Migration
US9372985B2 (en) * 2012-01-25 2016-06-21 Sony Corporation Information processing device, information processing method, and computer program
US8904557B2 (en) 2012-02-15 2014-12-02 Sap Ag Solution for continuous control and protection of enterprise data based on authorization projection
US9177129B2 (en) * 2012-06-27 2015-11-03 Intel Corporation Devices, systems, and methods for monitoring and asserting trust level using persistent trust log
JP2014099752A (ja) * 2012-11-14 2014-05-29 Fujitsu Ltd 通信装置、通信システム、及び通信システムにおける暗号アルゴリズム実行方法
US9729517B2 (en) * 2013-01-22 2017-08-08 Amazon Technologies, Inc. Secure virtual machine migration
US10063380B2 (en) 2013-01-22 2018-08-28 Amazon Technologies, Inc. Secure interface for invoking privileged operations
US9325791B1 (en) * 2013-03-12 2016-04-26 Western Digital Technologies, Inc. Cloud storage brokering service
US9058503B2 (en) 2013-05-10 2015-06-16 Successfactors, Inc. Systems and methods for secure storage on a mobile device
US11310050B2 (en) 2018-09-17 2022-04-19 Microsoft Technology Licensing, Llc Verifying a computing device after transport
CN104462992B (zh) * 2013-09-17 2017-09-22 联想(北京)有限公司 一种信息处理方法及电子设备
CN103532987B (zh) * 2013-11-11 2016-06-29 国家电网公司 一种防止非认证计算机设备接入企业内网的保护方法及系统
TW201546649A (zh) * 2014-06-05 2015-12-16 Cavium Inc 用於基於硬體安全模組的基於雲端的ｗｅｂ服務安全管理的系統和方法
US10630686B2 (en) 2015-03-12 2020-04-21 Fornetix Llc Systems and methods for organizing devices in a policy hierarchy
US10965459B2 (en) * 2015-03-13 2021-03-30 Fornetix Llc Server-client key escrow for applied key management system and process
US9996377B2 (en) * 2015-06-30 2018-06-12 International Business Machines Corporation Virtual machine migration via a mobile device
US10880281B2 (en) 2016-02-26 2020-12-29 Fornetix Llc Structure of policies for evaluating key attributes of encryption keys
US10931653B2 (en) 2016-02-26 2021-02-23 Fornetix Llc System and method for hierarchy manipulation in an encryption key management system
US11063980B2 (en) 2016-02-26 2021-07-13 Fornetix Llc System and method for associating encryption key management policy with device activity
US10860086B2 (en) 2016-02-26 2020-12-08 Fornetix Llc Policy-enabled encryption keys having complex logical operations
US10917239B2 (en) 2016-02-26 2021-02-09 Fornetix Llc Policy-enabled encryption keys having ephemeral policies
US10171235B2 (en) * 2016-05-19 2019-01-01 Nxp B.V. User-initiated migration of encryption keys
US20200358603A1 (en) * 2017-11-20 2020-11-12 Telefonaktiebolaget Lm Ericsson (Publ) Deployment of Components of a Distributed Application to Runtime Environments
US10425401B1 (en) 2018-10-31 2019-09-24 ISARA Corporation Extensions for using a digital certificate with multiple cryptosystems
US11438381B2 (en) * 2019-01-22 2022-09-06 International Business Machines Corporation Identifying security profiles associated with access protocols of secondary storage
US11171995B2 (en) * 2019-01-25 2021-11-09 EMC IP Holding Company LLC Identifying and mitigating risks of cryptographic obsolescence
CN113544672A (zh) * 2019-04-01 2021-10-22 英特尔公司 隐私保护的自主证实
CN111835713B (zh) * 2020-06-01 2023-09-15 视联动力信息技术股份有限公司 一种安全认证方法、装置和存储介质
US12039356B2 (en) 2021-01-06 2024-07-16 Baidu Usa Llc Method for virtual machine migration with checkpoint authentication in virtualization environment
JP7290708B2 (ja) * 2021-01-06 2023-06-13 バイドゥ ユーエスエイ エルエルシー 仮想化環境内の人工知能アクセラレータ・ステータス確認を用いる仮想マシン移行のための方法
US11816499B2 (en) * 2021-04-23 2023-11-14 Transitional Data Services, Inc. Transition manager system
US20230024602A1 (en) * 2021-07-21 2023-01-26 Box, Inc. Identifying and resolving conflicts in access permissions during migration of data and user accounts

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6236727B1 (en) 1997-06-24 2001-05-22 International Business Machines Corporation Apparatus, method and computer program product for protecting copyright data within a computer system
US6886095B1 (en) * 1999-05-21 2005-04-26 International Business Machines Corporation Method and apparatus for efficiently initializing secure communications among wireless devices
US6757832B1 (en) * 2000-02-15 2004-06-29 Silverbrook Research Pty Ltd Unauthorized modification of values in flash memory
KR20010096814A (ko) 2000-04-14 2001-11-08 홍기융 전자서명 인증기반 파일시스템 해킹방지용 보안커널 방법
JP2002261748A (ja) * 2000-12-28 2002-09-13 Sony Corp データ送信装置及び方法並びにデータ記録装置及び方法
WO2004044694A2 (en) * 2002-11-07 2004-05-27 Flytecomm, Inc. Advanced travel management system
US7475241B2 (en) * 2002-11-22 2009-01-06 Cisco Technology, Inc. Methods and apparatus for dynamic session key generation and rekeying in mobile IP
JP4655452B2 (ja) * 2003-03-24 2011-03-23 富士ゼロックス株式会社 情報処理装置
KR20060132547A (ko) 2003-09-04 2006-12-21 마츠시타 덴끼 산교 가부시키가이샤 디지털 저작물 보호 시스템 및 디지털 저작물 보호 방법
JP4818596B2 (ja) * 2003-09-04 2011-11-16 パナソニック株式会社 デジタル著作物保護システム及びデジタル著作物保護方法
WO2006092840A1 (ja) * 2005-02-28 2006-09-08 Mitsubishi Denki Kabushiki Kaisha コンテンツ配信システム
US7577258B2 (en) * 2005-06-30 2009-08-18 Intel Corporation Apparatus and method for group session key and establishment using a certified migration key
US8108668B2 (en) * 2006-06-26 2012-01-31 Intel Corporation Associating a multi-context trusted platform module with distributed platforms
JP5196883B2 (ja) * 2007-06-25 2013-05-15 パナソニック株式会社 情報セキュリティ装置および情報セキュリティシステム
JP4995651B2 (ja) * 2007-06-25 2012-08-08 パナソニック株式会社 木構造を持つ鍵管理ソフトウエアにおける、鍵使用の高速化手段、及び装置

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104112101A (zh) * 2013-04-19 2014-10-22 奥林巴斯映像株式会社 信息通信装置
CN105230078A (zh) * 2013-04-19 2016-01-06 奥林巴斯株式会社 信息通信装置、信息通信方法以及信息通信程序
CN104112101B (zh) * 2013-04-19 2017-08-29 奥林巴斯株式会社 信息通信装置
CN105230078B (zh) * 2013-04-19 2018-10-23 奥林巴斯株式会社 信息通信装置、信息通信方法
CN104580160A (zh) * 2014-12-16 2015-04-29 上海天奕达电子科技有限公司 一种信息交互方法及系统
CN107566319A (zh) * 2016-06-30 2018-01-09 中央大学 虚拟机器即时转移方法
CN108076011A (zh) * 2016-11-10 2018-05-25 中国移动通信有限公司研究院 一种可信执行环境数据迁移方法及装置
CN115033899A (zh) * 2021-11-26 2022-09-09 荣耀终端有限公司 应用数据的迁移方法、终端设备以及存储介质
CN115033899B (zh) * 2021-11-26 2024-05-14 荣耀终端有限公司 应用数据的迁移方法、终端设备以及存储介质

Also Published As

Publication number Publication date
JPWO2009107351A1 (ja) 2011-06-30
JP5281074B2 (ja) 2013-09-04
EP2249511A1 (en) 2010-11-10
US20100332820A1 (en) 2010-12-30
US8489873B2 (en) 2013-07-16
WO2009107351A1 (ja) 2009-09-03

Similar Documents

Publication Publication Date Title
CN101953112A (zh) 信息安全装置及信息安全系统
CN101689240B (zh) 信息安全装置及信息安全系统
US9342701B1 (en) Digital rights management system and methods for provisioning content to an intelligent storage
US7320076B2 (en) Method and apparatus for a transaction-based secure storage file system
JP5314016B2 (ja) 情報処理装置、暗号鍵の管理方法、コンピュータプログラム及び集積回路
CN103731395B (zh) 文件的处理方法及系统
US20140380057A1 (en) Method, Server, Host, and System for Protecting Data Security
US20100005318A1 (en) Process for securing data in a storage unit
US20100037047A1 (en) Method for Controlling Access to File Systems, Related System, Sim Card and Computer Program Product for Use therein
KR20110055510A (ko) 보안 저장 장치에 저장된 디지털 컨텐츠의 백업
CN104980477A (zh) 云存储环境下的数据访问控制方法和系统
US8938073B2 (en) Information processing device, information processing method, and program
CN101262332A (zh) 用于在移动装置和主机装置之间相互认证的方法和系统
US9824231B2 (en) Retention management in a facility with multiple trust zones and encryption based secure deletion
CN1478223A (zh) 验证方法和数据传输系统
US20140059341A1 (en) Creating and accessing encrypted web based content in hybrid applications
CN103562924A (zh) 信息处理设备、信息处理方法以及程序
KR20130118951A (ko) 고유의 코드 서명 키들의 보안 관리 및 개인화
CN104054300A (zh) 信息存储装置、信息处理系统、信息处理方法和程序
US8745375B2 (en) Handling of the usage of software in a disconnected computing environment
EP3357188B1 (en) Code signing service
CN112995109B (zh) 数据加密系统、方法、数据处理方法、装置及电子设备
Piechotta et al. A secure dynamic collaboration environment in a cloud context
Sontakke et al. A Secure Multi-owner Multi-copy Facility with Privacy Preserving on Public Storage Cloud Dynamic Data
Jacob et al. Privacy Preserving and Auto Regeneration of Data in Cloud Servers Using Seed Block Algorithm

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
AD01 Patent right deemed abandoned

Effective date of abandoning: 20110119

C20 Patent right or utility model deemed to be abandoned or is abandoned