CN1898711A - 加密解密处理系统、装置以及方法 - Google Patents

Abstract

本发明的目的在于，提供一种能够抑制对计算机的运算处理的负荷的影响，且因加密生成法的推测极其困难故安全性极高，消除了密钥管理和密钥输入的复杂度的加密解密处理系统以及加密解密处理装置。在个人计算机11中可装卸地设置：以热噪声随机数产生器10e所产生的随机数为基础，进行加密和解密处理的安全钥匙10，在安装安全钥匙10时自动对由个人计算机11操作的数据11b进行加密或者解密。即，由于在计算机中，可装卸地设置采用热噪声随机数产生器的加密解密处理装置，因此能够像击键那样容易使用，且能够确保高安全性。

Description

加密解密处理系统、装置以及方法

技术领域

本发明，涉及一种安装在计算机中的、进行经由计算机处理的数据的加密以及解密的加密解密处理系统、加密解密处理装置以及加密解密处理方法。

背景技术

近年来，根据在采用计算机保存数据，或者经由网络等进行数据发送的情况下对该数据进行加密，另一方面在得到该数据内容的情况下进行解密的加密解密技术，确保安全性的技术在广泛进行。

作为这种加密解密技术，典型的是，如特开2001-308843号公报所公开的，一般公知公共密钥加密法和公开密钥加密法。所谓公共密钥加密法，是指自己和对方使用相同的加密密钥进行加密和解密的方法。另一方面，公开密钥加密法是指成为当前主流的加密方法。采用成为私人密钥和公开密钥这样的两个密钥对进行加密和解密，以任一方密钥进行加密后的数据，都具有若不采用另一方的密钥则无法解密的特征。

然而，在上述两个密钥加密法中，存在以下这样的问题。即，上述密钥加密法因计算机内存在的软件，根据一定的算术流程或函数的组合生成随机数，以该随机数为基础进行加密和解密。这样的随机数称作伪随机数，由于存在用于生成伪随机数的规则性，同时其周期是有限的，因此也不能说是真的随机数，故由该伪随机数生成的加密也可进行其生成法的推测，在容易产生破坏、秘密性的保持方面存在不足。

另外，关于软件的计算流程或函数的组合如果变得复杂化，那么安全性也能提高，但相反，软件的处理负荷显著增大，给计算机的运算处理带来障碍。

进而，该随机数生成用软件有的是市场上贩卖的，或者如果内置有随机数产生用软件的计算机本身被盗，则也会产生容易允许分析的问题。

此外，也存在需要对密钥进行管理，或者在进行数据的加密或解密时必须对密钥进行输入操作的麻烦。

发明内容

本发明就是鉴于上述问题而进行的，其目的在于提供一种抑制对计算机的运算处理的负荷的影响，且因加密生成法的推测极其困难，故安全性高，消除了密钥管理或密钥输入的复杂性的加密解密处理系统、加密解密处理装置以及加密解密处理方法。

为了解决上述问题，本发明是一种加密解密处理系统，其由计算机机器和外部硬件组成，该外部硬件相对于该机器可从外部进行装卸，同时在安装时处于向该计算机的外部突出的状态，且可与该计算机进行双向通信，其中上述外部硬件具备：第一USB连接器；第一USB接口电路，其经由该第一USB连接器，并依据USB规格执行双向通信；和硬件加密解密电路，其经由该USB接口电路可进行数据的输入输出，在请求加密处理时执行数据的加密处理，在请求解密处理时执行数据的解密处理；上述计算机具备：上述第二USB连接器；第二USB接口电路，其经由该第二USB连接器，依据USB规格执行双向通信；和加密解密控制机构，其在需要加密处理和解密处理时，向以USB规格连接的上述外部硬件的硬件加密解密处理电路收发数据，指示处理内容，同时执行加密以及解密处理。

根据如上所述构成的本发明，其特征在于，由于不是采用软件，而是采用外部硬件进行数据的加密处理和解密处理，因此能够降低计算机的处理负荷，同时能够使分析困难。进而，由于在突出到计算机外部的状态下被安装为可装卸，因此在计算机的非使用时，能够容易且可靠地取出，因此能够确保像击键(keystroke)那样被加密处理后的数据的安全性。

这样，由于在计算机中可装卸地设置采用热噪声随机数产生器的加密解密处理装置，因此能够像击键那样容易使用，且能够确保高安全性。

在本发明的另一形式中，是一种加密解密处理装置，其相对于计算机可从外部装卸，同时在安装时处于向该计算机外部突出的状态，且可与该计算机进行双向通信，其结构为具备：第一USB连接器；第一USB接口电路，其经由该第一USB连接器，并依据USB规格执行双向通信；和硬件加密解密电路，其经由该USB接口电路可进行数据的输入输出，在请求加密处理时，执行加密处理，并且在请求解密处理时，执行数据的解密处理。

根据如上所述构成的发明，由于不是采用软件而是采用硬件加密解密电路，进行数据的加密和解密，因此能够降低计算机的运算处理的负荷，同时能够使分析困难。进而，由于在突出到计算机外部的状态下可装卸地安装，因此在计算机的非使用时，能够容易且确切地取下，能够确保像击键那样被加密处理后的数据的安全性。

在本发明的另一形式中，采用以下结构：具有通过硬件处理产生随机数的物理随机数产生器，上述硬件加密解密电路，采用由该物理随机数产生器所产生的随机数，执行加密解密处理。

根据如上所述构成的发明，由于采用通过物理随机数产生器所产生的随机数，因此使分析比采用伪随机数时更难，能够确保高安全性。

在本发明的另一形式中，上述物理随机数产生器采用以下结构：通过内置于加密解密处理装置中的半导体元件或者电阻元件的热噪声，产生随机数。

根据如上所述构成的发明，通过利用热噪声，从而能够容易且确切地使分析困难，且能够确保高安全性。

在本发明的另一方式中，上述加密解密处理装置由：上述第一USB连接器，其通过外部可装卸地直接安装在计算机中，同时包含上述第一USB接口电路；和主体键，其被可装卸地安装在该第一USB连接器中，内含上述硬件加密解密电路组成；该主体键的结构为：无论计算机的启动状态或者计算机的操作系统的种类如何，在被安装在计算机中的第一USB连接器中都始终可装卸。

根据如上所述构成的发明，仅通过主体键的装卸，从而无论计算机的启动状态或者计算机的操作系统的种类如何，任何时候都能容易地进行装卸，能够简便地确保安全性。

在本发明的另一形式中，在计算机中设置加密解密控制机构，其对被安装的上述加密解密处理装置，在必要时收发数据，进行加密处理的请求、或者解密处理的请求；在将加密解密处理装置安装在计算机中时，采用该计算机处理的数据，通过检测到该安装的加密解密控制机构，强制性地经由加密解密处理装置进行收发，采用该计算机在计算机内或者经由计算机在计算机外保存的数据，因不需要其它操作而被自动加密处理后保存，另一方面，在已经被加密且被保存在计算机内、或者经由计算机保存在计算机外的数据的利用时，因不需要其它操作而被自动解密处理后利用。

根据如上所述构成的发明，仅通过将加密解密处理装置安装在计算机中，不需要进行任何其它操作仅通过进行一般的操作，在数据保存之际，便能够确保被自动进行加密的安全性，另一方面，在数据的利用之际自动进行解密，进行容易的数据利用。

在本发明的另一形式中，上述加密解密处理装置的结构为：仅在安装到计算机中时作为携带容易的安全钥匙(key)发挥功能，该安全钥匙对已经加密且在计算机内、或者经由计算机在计算机外保存的数据，可利用地进行解密。

根据如上所述构成的发明，得到能携带的安全钥匙，能够简便容易且确切地确保安全性。

在本发明的另一形式中，上述加密解密处理装置的结构为：具有与向所安装的计算机本身、或者经由该计算机向网络的访问对应的认证功能。

根据如上所述构成的本发明，能够容易且确切地确保向计算机本身、或者经由计算机向网络的访问的安全性。

在本发明的另一形式中，加密解密处理装置的上述认证功能的结构为：将预先赋予的按每个该加密解密处理装置不同的序列号数据、预先赋予的按每台计算机的CPU不同的序列号数据、或者预先赋予的按每个USB不同的序列号数据作为认证密钥进行登记，通过与所安装的计算机之间进行信号收发并对照，从而可使用计算机进行访问。

根据如上所述构成的发明，通过上述各序列号数据，从而能够容易且确切地确保安全性。

在本发明的另一形式中，加密解密处理装置的上述认证功能采用以下结构：具有以时刻信息为基础生成认证密钥的认证密钥生成机构，仅在计算机中安装该加密解密处理装置时，通过在与所安装的计算机之间对认证密钥生成机构所生成的认证密钥进行收发并对照，从而可使用计算机进行访问。

根据如上所述构成的发明，通过上述时刻信息，能够容易确保安全性。

在本发明的另一形式中，上述认证密钥生成机构所采用的时刻信息，通过访问内置安装上述加密解密处理装置的计算机的时钟、或者在连接该计算机的网络上存在的NTP服务器、或SNTP服务器而获得。

根据如上所述构成的发明，没有在加密解密处理装置本身中设置时钟，能够容易地确保安全性。

在本发明的另一形式中，上述加密解密处理装置采用以下结构：具有与该加密处理装置本身的使用对应的认证功能，仅进行基于该认证功能的认证的人，才可获得安装在计算机中的加密解密处理装置的功能。

根据如上所述构成的发明，通过认证功能，能够对加密解密处理装置本身的使用进行限制，能够确保更高的安全性。

在本发明的另一形式中，与上述加密解密处理装置本身的使用对应的认证功能是指纹对照功能，与事先登记的指纹进行对照，仅认证一致的人，才可获得安装在计算机中的加密解密处理装置的功能。

根据如上所述构成的发明，通过指纹对照，能够容易且确切地确保更高的安全性。

在本发明的另一形式中，安装了上述加密解密处理装置的计算机，通过网络与其它计算机或者周边机器连接，经由该网络在两者之间收发的数据，通过加密解密处理装置执行加密处理。

根据如上所述构成的发明，由于使用无线LAN对加密处理结束的数据进行收发，因此即使在对该无线LAN的收发数据进行监听的情况下，由于被加密，因此也能够确保高安全性。另外，这时的网络中，包含无线LAN、有限LAN等各种网络。

这样，并非通过软件，而是以硬件加密解密电路进行数据的加密和解密，故降低计算机的运算处理的负载，同时使分析困难的方法，并非一定限于有实体的装置，作为该方法发挥功能也容易理解。因此，一种加密解密处理装置中的加密解密处理方法，该加密解密处理装置具备：第一USB连接器；经由该第一USB连接器，依据USB规格执行双向通信的第一USB接口电路；和与该USB接口电路连接，可执行数据的加密处理或解密处理的硬件加密解密电路；其中，相对于计算机由外部使之装卸，在安装时处于向该计算机外部突出的状态，同时与该计算机进行双向通信，经由上述USB接口电路进行数据的输入输出，在请求加密处理时执行加密处理，并且在请求解密处理时执行数据的解密处理。

即，并非一定限于有实体的装置，作为该方法也是有效的。

附图说明

图1为说明本发明的实施例1的立体图。

图2为说明本发明的实施例1的立体图。

图3为说明本发明的实施例1以及实施例4的示意功能图。

图4为说明本发明的实施例2的示意功能图。

图5为说明本发明的实施例2的立体图。

图6为说明本发明的实施例3的示意正面图。

图7为说明本发明的实施例5的示意正面图。

具体实施方式

以下，对具体化了本发明的各实施例进行说明。

实施例1

如图1以及图2所示，在作为计算机的个人计算机11中，可装卸地安装有作为加密解密处理装置以及外部硬件的安全钥匙10。安全钥匙10，具有例如5×2×1cm左右大小的大约四角柱状的形状，成为与键等一起在日常生活中容易搬运的尺寸和形状。表面，例如被树脂制外壳覆盖，在内部配置着后述各电路等的构成部件。在大约四角柱状的该外壳的一端设置第一UDB连接器10a，在设置在个人计算机11主体中的第二USB连接器10b上装配，另一端侧从个人计算机11主体突出。根据安装时的该突出形状，对个人计算机11(安全钥匙10)的使用者，吸引(appeal)并使之意识到安全钥匙10在安装中，抑制在个人计算机11的使用结束时，或者临时从座位离开时等忘记卸下安全钥匙10，同时可容易地装卸。

如图3所示，安全钥匙10，在其内部内置后述的第一USB接口电路10c、硬件加密解密电路10d、以及作为物理随机数产生器的热噪声随机数产生器10e。另外，个人计算机11，具有第二USB接口电路10g，同时作为加密解密控制机构的驱动程序软件10f，通过例如CD-R等而被安装。

上述热噪声随机数产生器10e，在本实施例中，利用安全钥匙10内的半导体产生的热噪声而产生随机数，以该随机数为基础，将通过个人计算机11进行收发的数据11b，通过硬件加密解密电路10d进行加密以及解密。

上述第一USB接口电路10c以及第二USB接口电路10g，经由相互连接的上述第一USB连接器10a以及第二USB连接器10b，在个人计算机11和安全钥匙10之间根据USB规格进行数据的收发。

上述驱动程序软件10f，一旦检测到在个人计算机11中安装有安全钥匙11，就对上述两个USB接口电路10c、10g以及OS的文件驱动器11a进行控制，在安装之后进行控制，以便对由个人计算机11操作的数据文件11b通过上述两个USB连接器10a、10b，经由安全钥匙10完全强制性地进行收发。

同时，驱动程序软件10f，在进行以依据安全钥匙10的形式已经将所收发的数据11b进行加密的文件打开等利用的操作的情况下，对上述硬件加密解密电路10d进行控制，以热噪声随机数产生器10e产生的随机数为基础执行解密处理。另一方面，在所收发的数据11b未被加密的状态下，在进行保存或者向与个人计算机11以网络连接的其它个人计算机或周边机器发送的操作的情况下，对上述硬件加密解密电路10d进行控制，以热噪声随机数产生器10e产生的随机数为基础，执行加密处理。

即，上述安全钥匙10，如果除去事先将驱动程序软件10f向个人计算机11安装(install)的作业，则除与日常生活中的击键相当的对个人计算机11的装卸操作外，不需要任何特别的操作，便自动进行安装时数据10b的加密以及解密。

上述安全钥匙10，由于其结构为：如上所述相对于个人计算机11，经由上述两个USB连接器10a、10b根据USB规格进行装卸，因从计算机11主体通过USB总线功率供给电源，因此主体内不需要具有电池等电源，轻便且低成本。此外，由于具备USB规格中的即插即放(plug & play)功能，因此除一部分的OS以外，无论个人计算机11的启动状态如何，任何时候都可对个人计算机11进行装卸操作，像日常生活中使用的键一样，不需要对个人计算机11特别的顾虑，便能进行装卸操作。

以上，虽然以安全钥匙10的结构说明为中心作了说明，但以下，针对该安全钥匙10的实际使用时的功能动作进行说明。

例如，在个人计算机11上，在采用应用程序制作数据文件11b并保存的情况下，首先制作者将所持有的安全钥匙10安装在所使用的个人计算机11的第二USB连接器10b中。此时，个人计算机内的OS检测出该USB连接器10b已安装了安全钥匙10。驱动程序软件10f接受该检测，将以后操作的数据文件11b全部进行经由安全钥匙10的控制。然后，若操作者进行将数据文件11b向个人计算机11内保存的保存操作，则驱动程序软件10f对上述两个USB接口电路10c、10g以及OS的文件驱动器11a进行控制，经由上述两个USB10a、10b，向安全钥匙10b内的硬件加密解密电路10d发送数据11b，同时对该硬件加密解密电路10d进行加密的控制。接受该控制，硬件加密解密电路10d，以热噪声随机数产生器10e产生的随机数为基础，执行加密处理。驱动程序软件10f，再次对上述两个USB接口电路10a、10g以及OS的文件驱动器11a进行控制，经由上述两个USB连接器10a、10b，将加密后的数据11b返回给个人计算机11，并保存在个人计算机11内的硬盘等给定的存储装置内，结束处理。

另一方面，在个人计算机11上，在进行打开以依据安全钥匙10的形式进行加密并保存的数据文件11b的操作的情况下，操作者将所持有的安全钥匙10安装在所使用的个人计算机11的第二USB连接器10b中。此时，个人计算机11内的OS检测出该USB连接器10b中安装了安全钥匙10b。驱动程序软件10f接受该检测，并将以后操作的数据文件11b全部进行经由安全钥匙10b的控制。然后，若操作者进行读出加密后的数据文件11b的操作时，驱动程序软件10f对上述两个USB接口电路10c、10g以及OS的文件驱动器11a进行控制，经由上述两个USB连接器10a、10b，将数据11b发送给安全钥匙10b内的硬件加密解密电路10d，同时对该硬件加密解密电路10d，进行解密控制。接受该控制，硬件加密解密电路10d，以热噪声随机数产生器10e产生的随机数为基础，执行解密处理。驱动程序软件10f，再次对上述USB接口电路10c、10g以及OS文件驱动器11a进行控制，经由上述两个USB连接器10a、10b，将解密后的数据11b返回给个人计算机11后，执行一般的读入动作。

如以上所说明的，安全钥匙10，由于硬件加密解密电路10d采用热噪声随机数产生器10e产生的随机数，进行加密以及解密的处理，因此与以往的采用软件的伪随机数的加密、解密相比，分析极其困难，能够确保较高的安全性。

另外，安全钥匙10，由于其为可装卸在个人计算机11的外部的结构，因此与以往的在个人计算机内部内置加密、解密软件的情况不同，即使个人计算机11本身被盗窃，也能够使分析困难。

进而，由于安全钥匙10采用硬件，因此与在以往的个人计算机的内部内置加密、解密软件的情况相比，能够降低个人计算机11的运算处理的负荷。

进而，由于安全钥匙10，不仅是向个人计算机11外部突出的状态下可装卸的结构，而且是携带容易的小型轻便的结构，因此在个人计算机11的非使用时，能够容易且可靠地取下，能够确保像击键那样进行加密处理后的数据11b的安全性。

进而，仅通过将安全钥匙10安装在个人计算机11中，不需要进行任何其它操作仅通过进行一般的操作，便能够容易地进行数据11b的保存、读入等利用。

另外，本申请发明并非限定于本实施例的构成，关于以下列举的构成，可适当进行变更。

在本实施例中，虽然针对采用个人计算机而作为计算机的情况作了说明，但并非限定于此，也可以是个人计算机以外的其它计算机。例如，可以是服务器或办公用计算机、或PDA等便携式计算机等。主要是，能够应用于具有运算处理功能，在安全钥匙安装时可进行加密和解密的控制的所有机器。

在个人计算机的情况下，其形式也可以是台式或者笔记本型的。

在本实施例中，关于在安全钥匙安装时由个人计算机操作的所有数据文件，虽然是自动进行加密或解密的处理，但并非限定与此，也可以按所操作的各数据文件，按照操作者能够选择的方式控制是否进行加密或者解密。这种情况下，虽然操作性降低了，但能够进行适于数据文件的各个性质的选择操作。

或者，也可以事先设定执行加密或者解密处理的文件形式、种类。例如，列举仅在特定的文件扩展名、文件名、或者文件大小的情况下，才能设定执行加密或者解密的处理。

热噪声随机数产生器的热噪声产生源，也可以流用内置的半导体、电阻等。或者，也可以另外设置专用的元件。

驱动程序软件的安装，不仅应用CD-R，还可应用其它所有介质。进而，还可从经由互联网、或网络的其它计算机机器安装。

驱动程序软件的安装，并非限定于事先另外安装的结构，例如还可在安全钥匙内设置记录介质来保存驱动程序软件，在个人计算机中安装时进行安装。进而，还可以不需要该安装操作，在安装时自动安装。

在基于计算机的作业结束后，结束OS时，还可在个人计算机的画面上进行警告安全钥匙的忘拔出的显示。或者，也可以在安全钥匙主体上设置指示器，进行亮灯警告。或者也可以通过声音进行警告。

由个人计算机处理的数据，并非限定于被保存或者自己保存在个人计算机内的存储装置中的情况，例如也可以应用于被保存或者自动保存在被安装于个人计算机中的存储装置、或者介质中的情况。进而，还可以应用于被保存在或者自己保存在通过个人计算机，与网络连接的其它个人计算机、服务器、NAS(网络存储设备)等中的情况。

本实施例中的安全钥匙的形状、尺寸、外壳材料只不过是一例，并非限定于此。但是，在作为键的性质方面，优选容易搬运的形状、尺寸。例如，列举移动时折叠这样的结构。

此外，在安装安全钥匙的个人计算机为笔记本型的情况下，也可以使安全钥匙的形状为个人计算机安装时在个人计算机键盘和显示面板之间突出的形状。这种情况下，在结束个人计算机作业、关闭显示面板的情况下，由于突出的安全钥匙产生干涉，因此能够防止忘记拔出。或者，还可以按照用软线将安全钥匙主体与操作者连接的方式，防止忘记拔出。

○设置在安全钥匙中的USB连接器的配置位置，并非限定于端部，也可以设置在其它位置上。

○安全钥匙的表面，并非限定于本实施例这样的外壳结构，还可以采用例如进行树脂密封等其它结构。

○在经由互联网而邮件发送附件的情况下，也可以通过安全钥匙进行加密。这种情况下，即使在接收侧也拥有安全钥匙，进行解密。

○在安全钥匙中追加设置电池电源、和进行加密或者解密的数据无线收发功能，不是在个人计算机中安装安全钥匙，而仅由操作者手持，仅通过由个人计算机进行操作，便能自动进行本实施例的数据的加密或者解密。

○本实施例，并非仅作为加密解密处理装置(安全钥匙)，也可以作为加密解密处理系统而构成。针对以后的各实施例也同样。

实施例2

在本实施例中，是安装安全钥匙10的个人计算机11，经由无线LAN(局部·区域·网络)，而与其它个人计算机、服务器或者NAS等连接，对数据进行收发的情况的一例。

如图4以及图5所示，在个人计算机11上连接无线LAN装置12，与经由该无线LAN装置12网络连接的未图示的其它个人计算机、服务器、或者NAS等进行数据的收发。在个人计算机11中，以与上述实施例1同样的构成，可装卸地安装有安全钥匙10。

安装在个人计算机10内的驱动程序软件10f，若检测到安全钥匙10已被安装在个人计算机11中，则对上述两个USB接口电路10c、10g以及OS的文件驱动器11a、或者LAN驱动器11c进行控制，并在安装以后，包含经由无线LAN的数据，对由个人计算机11操作的数据文件11b，按照完全强制性地通过上述两个USB通过连接器10a、10b，经由安全钥匙10进行收发的方式进行控制。

同时，驱动程序软件10f，在进行将以依据安全钥匙10的形式已经加密但在未图示的其它个人计算机、服务器、或者NAS等中保存的数据文件经由无线LAN进行接收并打开等利用的操作的情况下，对上述硬件加密解密电路10d进行控制，对所接收的该数据文件11b，以热噪声随机数产生器10e产生的随机数为基础，执行解密处理。另一方面，数据11b成为未被加密的状态，在经由无线LAN向其它计算机、服务器或者NAS等进行发送、保存等操作的情况下，对上述硬件加密解密电路10d进行控制，以热噪声产生器10e产生的随机数为基础执行加密处理后，经由无线LAN机器12进行发送控制。

例如，在个人计算机11上，采用应用程序制作数据文件11b，保存在由无线LAN连接的服务器中的情况下，首先操作者将所持的安全钥匙10安装在所使用的个人计算机11的第二USB连接器10b中。此时，个人计算机11内的OS检测到该USB连接器10b中安装了安全钥匙10。驱动程序软件10f，接受该检测，将以后操作的数据文件11b全部进行经由安全钥匙10的控制。然后，若操作者进行数据文件11b向服务器的保存操作，则服务器软件10f，对上述两个USB接口电路10c、10g、以及OS的文件驱动器11a进行控制，经由上述两个USB连接器10a、10b，向安全钥匙10内的硬件加密解密电路10d发送数据11b，同时对该硬件加密解密电路10d进行加密控制。硬件加密解密电路10d，接受该控制，以热噪声随机数产生器10e产生的随机数为基础执行加密处理。驱动程序软件10f，再次对上述两个USB接口电路10c、10g以及OS的文件驱动器11a进行控制，经由上述两个USB连接器10a、10b，将加密后的数据11b返回给个人计算机11侧之后，对LAN驱动器11c进行控制，经由无线LAN机器12，向服务器发送，并保存，结束处理。

另一方面，在与个人计算机11经由无线LAN进行连接的服务器上，在进行将以依据安全钥匙10的形式加密并保存的数据文件打开的操作的情况下，操作者将所持的安全钥匙10安装在所使用的个人计算机11的第二USB连接器10b上。此时，个人计算机11内的OS检测到该USB连接器10b中安装有安全钥匙10。驱动程序软件10f，接受该检测，将以后操作的数据文件11b全部进行经由安全钥匙10的控制。然后，若操作者经由无线LAN进行在服务器上被加密后的数据文件的读出操作，则驱动程序文件10f，对上述两个USB接口电路10c、10g以及OS的文件驱动器11a进行控制，将通过OS的LAN驱动器11c的控制并经由无线LAN而接收的被加密后的数据文件11b，经由上述两个USB连接器10a、10b，发送给安全钥匙10内的硬件加密解密电路10d，同时对该硬件加密解密电路10d，进行解密的控制。硬件加密解密电路10d，接受该控制，以热噪声随机数产生器10e产生的随机数为基础，执行解密处理。驱动程序软件10f再次对上述两个USB接口电路10c、10d以及OS文件驱动器11a进行控制，经由上述两个USB连接器10a、10b，将解密后的数据11b返回给个人计算机11侧之后，执行一般的读入动作。

按照以上所说明的，如果采用安全钥匙10，则以依据安全钥匙10的形式能够对在经由无线LAN所连接的其它个人计算机、服务器或者NAS等机器之间收发的数据进行加密。基于无线LAN的数据收发，在其性质上，一般在有线情况以上有易监听的倾向，但如上述在本实施例中由于采用热噪声随机数产生器10e对通过无线收发的数据本身进行加密，因此即使例如对数据进行监听，也能够与实施例同样，其解读极其困难，能够确保较高的安全性。当然，也可以说能得到与实施例所述同样的各种作用效果。

另外，本申请发明并非限定于本实施例的结构，针对以下所述的构成，可适当进行变更。

由无线LAN所连接的计算机机器，并非限定于个人计算机、服务器、NAS，还可应用于经由无线LAN可进行数据的收发操作的其它各种计算机机器。

还可以在无线LAN装置本身中，另外单独追加数据的加密。

无线LAN装置，以在笔记本型个人计算机中采用的PC卡形式为首，与外置类型的形式等、其形式无关。

实施例1所述的并非限定的列举事项，关于本实施例也同样，省略描述。

实施例3

在本实施例中，与实施例的不同点在于，安全钥匙10的结构为：具备第一USB接口电路10c和第一USB连接器10a的连接部13a；可装卸地安装在该连接部13a上的、内置硬件加密解密电路10d以及热噪声随机数产生器10e的主体键13b的分割结构。

由于安全钥匙10以USB规格为依据，因此可即插即放，基本上不论安装的个人计算机11的启动状态如何，都可自由装卸，但因例如windows(注册商标)XP的特定种类，有些情况下OS在卸载时需要其它操作。在此，也不能完全说是进行像轻松的击键那样的操作

因此，在本实施例中，如图6所示，将安键10分离成连接部13a和作为硬件部分的主体键13b，该主体键13b，其结构为并非相对个人计算机11主体而是相对连接部13a装卸，仅该连接部13a仍然保留安装在个人计算机11中，不论个人计算机11的启动状态、或OS的种类，不需要其它操作都可仅自由地装卸主体键13b。

这样，主体键13b可以像轻松的击键那样相对个人计算机11(间接地)进行装卸。

另外，由于移动的仅是主体键13b，因此进一步实现小型轻便化。

进而，由于在主体键13b中没有USB连接器，因此外形上的制约少，自由度增加。例如，还可以使主体键13b的形状为信用卡这样的薄型形状，放进钱包能够携带容易。

另外，本申请发明，并非限定于本实施例的构成，针对实施例1所述的未被限定的列举事项，同样也可适当进行变更，省略说明。

实施例4

在实施例1中，虽然将安全钥匙10应用于由个人计算机11操作的数据的加密和解密，但本实施例中，也可同时将安全钥匙10应用于与向计算机、或者经由计算机连接的网络的访问对应的认证。

向个人计算机11的CPU、安全钥匙10或者USB本身分别赋予固定的序列号。因此，能够事先登记这些序列号中的任一个，在安装了安全钥匙10之际，在个人计算机11和安全钥匙11之间收发该序列号，通过对照，从而进行认证。

作为具体的控制，以访问个人计算机11的认证为例用图3进行说明。在个人计算机11中，通过驱动程序软件10f，设置访问限制。此外，在个人计算机11的驱动程序软件10f中，预先将上述各序列号中的某个，作为以依据安全钥匙10的规格的形式被加密的认证密钥11b登记保存。在操作者想要访问该状态的个人计算机11时，将安全钥匙10安装在个人计算机11的第二USB连接器10b中。于是，驱动程序软件10f，对两个USB接口电路10c、10g进行控制，经由两个USB连接器10a、10b将预先登记保存的加密后的认证密钥11b发送给安全钥匙10。然后，通过硬件加密解密电路10d，以热噪声随机数产生器10e产生的随机数为基础，进行解密处理之后，再次经由两个USB连接器10a、10b，返回给个人计算机11侧。驱动程序软件10f，将该被返回的解密结束的认证密钥11b，与预先登记保存的未被加密的序列号进行对照。其结果为，在两者一致时，许可访问，另一方面在两者不一致时，拒绝访问。

另外，驱动程序软件10f，在安全钥匙10的安装认证之后，始终对该安全钥匙10的装卸进行监视，在每次安全钥匙10被卸载时，再次进行访问限制，反复进行上述访问认证控制。

另外，虽然以访问个人计算机本身的认证为例作了说明，但也可同样进行向网络的访问认证。或者，还可同时实施上述实施例1～实施例3所说明的由个人计算机11所操作的数据的加密和解密相关的安全控制。

按照以上所说明的，根据本实施例，由于通过安全钥匙10进行向个人计算机11本身、或者经由个人计算机11向网络的访问认证，因此在本实施例中的向个人计算机11本身、或者经由个人计算机11向网络的访问认证，也能得到与实施例1所述的由个人计算机11操作的数据的加密和解密相关的优良的作用效果同样的作用效果，。

尤其，由于被加密后的认证密钥通过安全钥匙10进行解密后进行对照，因此与以往一般的简单的认证密钥的输入相比，能够确保更高的安全性。因此，通过将实施例1～实施例3所述的由个人计算机操作的数据的加密和解密相关的功能并用，从而通过一个安全钥匙10，便能够实现向个人计算机11、或者经由个人计算机11向网络的访问认证、和个人计算机11操作的数据的加密和解密、这样的双重高安全性的优良作用。

另外，本申请发明并非限于本实施例的构成，关于以下所列举的构成，也可适当进行变更。

在本实施例中，虽然以上述各序列号为基础决定认证密钥，但并非限定于此，也可以用其它方法决定认证密钥。例如，列举以时刻信息为基础生成认证密钥的方法。这种情况下，该时刻信息，可通过在安全钥匙本身设置时钟功能而得到，或者也可不在安全钥匙本身设置时钟功能，而是访问个人计算机本身、或者网络连接的NTP服务器或SNTP服务器而获得。此外，还可全部设定原始的固定键而获得。

在本实施例中，在个人计算机侧预先登记保存的认证密钥被加密，并将其用安全钥匙解密后进行对照，但并非限定于此，相反也可不将在个人计算机侧预先登记保存的认证密钥加密，而将其用安全钥匙解密后进行对照。

在本实施例中，在个人计算机侧预先登记保存的认证密钥被加密，将其用安全钥匙解密后进行对照，但并非限定与此，也可不进行加密或者解密处理，而是在安全钥匙侧设置存储装置，仅从认证密钥侧将该认证密钥发送给个人计算机侧，由驱动程序软件进行对照，并认证。这种情况下，由于没有伴随加密或者解密，因此安全性降低了一些，但不需要每次都输入认证密钥，因此同样得到能像击键那样容易进行认证操作等的其它作用效果。

将上述实施例1～实施例3所述的个人计算机所操作的数据的加密和解密相关的功能删除，也可仅单独设置本实施例的认证功能。

也可以在安全钥匙中追加设置电池电源和认证密钥数据的无线收发功能，不是将安全钥匙安装在个人计算机中，而是只有操作者手持，通过仅靠近个人计算机，或者仅罩上，便能进行本实施例的认证功能的、所谓的智能钥匙(smart key)的构成。

实施例1所述的未被限定的列举事项，对本实施例来说也同样，故省略记载。

实施例5

在本实施例中，在上述实施例1～实施例5所述的安全钥匙10本身中，作为与该使用对应的认证功能，设置指纹对照认证机构14。该指纹对照认证机构14组成为包含：存储器14a，其预先登记保存指纹；认证窗14b，其对所压接的手指的指纹进行扫描；认证控制装置14c，其将由该扫描得到的指纹和登记保存在存储器中的指纹进行对照，判断是否一致，仅在一致的情况下，认证为可使用安全钥匙的功能；以及电池电源14d。

即，在实施例1～实施5所述的形式中使用本安全钥匙10的情况下，在安装在个人计算机11中之前，如果没有将手指压接在上述指纹对照认证机构14的认证窗14b并接受认证，则无法使用。

针对实际的动作进行说明，操作者在实施例1～实施例5所述的形式中为了操作个人计算机11而使用安全钥匙10的情况下，首先，接通安全钥匙100的未图示的电源，用手指压接指纹对照认证机构14的认证窗14b。于是，指纹被扫描并被取入，认证控制装置14c，将登记保存在存储器14a中的指纹与被取入的指纹进行对照，判断是否一致。其结果为，当两者一致时，对安全钥匙10的使用进行认证，解除使用限制，同时在未图示的显示装置中显示认证。操作者接受该认证，将该安全钥匙10安装在个人计算机11中，以后进行实施例1～实施例5所述的使用。另一方面，当指纹对照不一致时，继续使用限制，同时在未图示的显示装置中显示认证拒绝。这种情况下，即使操作者在个人计算机11中安装安全钥匙10，也会限制一切功能。

另外，安全钥匙10，即使在指纹对照的结果为认证一致的情况下，在认证之后，至经过一定时间为止在个人计算机11中未安装使用的情况下，再次进入功能限制状态。这种情况下，要想使用，就必须再次进行指纹对照。这样，在对安全钥匙10进行指纹认证之后未在个人计算机11中安装使用的情况下，在此期间持续认证状态，若第三者获得该状态的安全钥匙10，则能够防止成为可使用状态。

进而，安全钥匙10，在指纹对照的结果为认证一致，且被安装在个人计算机11中之后，在自个人计算机11取下的情况下，再次进入功能限制状态。

如以上所说明的，在本实施例中，由于设置对安全钥匙10本身的使用进行认证的指纹对照认证机构14，因此按照只要没有对安全钥匙10事先接受认证，便不能执行上述实施例1～实施例5所述的功能的方式进行限制，能够进一步提高安全性。尤其，在安全钥匙10本身被盗的情况下，由于只要不接受认证，就无法获得功能，因此是有效的。

另外，本申请发明，并非限定于本实施例的构成，关于以下列举的构成，也可适当进行变更。

安全钥匙本身的使用的认证功能，并非限定于本实施例中的指纹对照认证功能，也可根据其它方法设置认证功能。例如，以对照虹膜的认证功能、对照手的血管图案的认证功能、对照身体的静电量或体脂肪率的认证功能等生物体认证功能为首，可应用能够对所登记的个人进行特定的其它各种方法。

也可兼具上述实施例1～实施例3所述的由个人计算机操作的数据的加密和解密相关的功能、或者上述实施例4所述的向个人计算机或者网络的认证功能，还可仅单独设置向本实施例的安全钥匙的认证功能。

实施例1～4所述的未被限定的列举事项，对于本实施例来说也是同样的，因此省略记载。

以下，除了“技术方案的范围”所述的以外，对根据以上所述的实施例能够掌握的发明(技术思想)进行描述。

(1)一种加密解密处理装置，其特征在于，上述加密解密处理装置为大致柱状形状，在一端设置USB连接器，在将该USB连接器安装在计算机中时，另一端从计算机主体突出，使人意识到处于安装中。

(2)一种加密解密处理装置，其特征在于，上述加密解密处理装置，利用USB总线功率从个人计算机主体接受供给。

(3)一种加密解密处理装置，其特征在于，用所述加密解密处理装置进行加密或者解密处理的数据，在所安装的计算机、和与该计算机通过有线或者无线网络连接的其它计算机、或者周边机器之间以被加密的状态进行收发。

(4)根据技术方案(3)所述的加密解密处理装置，其特征在于，上述周边机器，是NAS(网络存储设备)。

(5)一种加密解密处理装置，其特征在于，上述加密解密控制机构具有数据选择机构，其仅对特定的数据选择性地进行加密或者解密处理的控制。

(6)根据技术方案(5)所述的加密解密处理装置，其特征在于，上述数据选择机构的结构为：按安全钥匙安装时的由计算机进行的每个数据处理操作，进行是否进行加密、解密处理的输入。

(7)根据技术方案(5)所述的加密解密处理装置，其特征在于，上述数据选择机构的结构为：在计算机上，事先设定进行加密、解密处理的数据的种类。

(8)一种加密解密处理装置，其特征在于，上述加密解密控制机构，是安装在计算机中的驱动程序软件，从存储介质或者互联网安装。

(9)一种加密解密处理装置，其特征在于，上述加密解密控制机构是安装在计算机中的驱动程序软件，上述加密解密处理装置，在内部具有保存该驱动程序软件的存储装置，在向未被安装驱动程序软件的计算机安装加密解密处理装置时，从该存储装置向计算机自动安装驱动程序软件。

(10)一种加密解密处理装置，其特征在于，设置了忘记拔出警告机构，其在将上述加密解密处理装置安装在计算机中时，在执行了OS的结束操作之际，在计算机画面、加密解密处理装置的指示器的至少一方，进行对该加密解密处理装置的忘记拔出进行警告的警告显示。

(11)一种加密解密处理装置，其特征在于，在上述加密解密处理装置中设置与操作者连接的软线，实现防止忘记拔出。

(12)一种加密解密处理装置，其特征在于，由上述加密解密处理装置进行加密或者解密处理的数据，是经由互联网进行收发的电子邮件的附件。

(13)一种加密解密处理装置，其可与计算机进行双向通信，其特征在于，具备：与计算机进行无线双向通信的无线通信机构；电池电源；和硬件加密解密电路，其经由该无线通信机构可进行数据的输入输出，在请求加密处理时执行加密处理，并且在请求解密处理时执行数据的解密处理；不需要安装在个人计算机中，而仅位于个人计算机附近，在个人计算机和加密解密处理装置之间自动进行加密或者解密处理的数据的收发。

(14)一种加密解密处理装置，其特征在于，上述加密解密处理装置，其形状以及大小为信用卡状。

(15)一种加密解密处理装置，其特征在于，上述各序列号中的预先加密处理过的号码和未被加密的号码同时被登记保存在计算机内，在加密解密处理装置的安装时，某一方的序列号被发送给加密解密处理装置，在加密或者解密后被返回，通过与登记在计算机内的另一方序列号进行对照，从而可使用计算机并进行访问。

(16)一种可与计算机双向通信的加密解密处理装置，其特征在于，具备：无线通信机构，其与计算机可进行无线双向通信；电池电源；和硬件加密解密电路，其经由该无线通信机构可进行数据的输入输出，在请求加密处理时执行加密处理，并且在请求解密处理时执行数据的解密处理；不需要安装在个人计算机中，而仅位于个人计算机附近，在个人计算机和加密解密处理装置之间自动进行加密或者解密的数据的收发，对登记在计算机内的序列号进行对照，可使用计算机并进行访问。

(17)一种加密解密处理装置，其特征在于，与上述加密处理装置本身的使用对应的认证功能，利用虹膜、手的血管图案、身体的静电量、或者体脂肪率中的某一个。

Claims (15)

1、一种加密解密处理系统，其由计算机机器和外部硬件组成，该外部硬件相对该机器可从外部进行装卸，并且在安装时处于向该计算机的外部突出的状态，且可与该计算机进行双向通信，其中，

所述外部硬件具备：

第一USB连接器；

第一USB接口电路，其经由该第一USB连接器，依据USB规格执行双向通信；和

硬件加密解密电路，其经由该USB接口电路可进行数据的输入输出，在请求加密处理时执行数据的加密处理，在请求解密处理时执行数据的解密处理，

所述计算机具备：

所述第二USB连接器；

第二USB接口电路，其经由该第二USB连接器，依据USB规格执行双向通信；和

加密解密控制机构，其在需要加密处理和解密处理时，对以USB规格连接的所述外部硬件的硬件加密解密处理电路收发数据，指示处理内容，并且执行加密以及解密处理。

2、一种加密解密处理装置，其相对计算机可从外部进行装卸，并且在安装时处于向该计算机外部突出的状态，且可与该计算机进行双向通信，其中，具备：

第一USB连接器；

第一USB接口电路，其经由该第一USB连接器，依据USB规格执行双向通信；和

硬件加密解密电路，其经由该USB接口电路可进行数据的输入输出，在请求加密处理时执行加密处理，并且在请求解密处理时，执行数据的解密处理。

3、根据权利要求2所述的加密解密处理装置，其特征在于，

具有通过硬件处理产生随机数的物理随机数产生器，

所述硬件加密解密电路，采用由该物理随机数产生器产生的随机数，执行加密解密处理。

4、根据权利要求3所述的加密解密处理装置，其特征在于，

所述物理随机数产生器，根据内置于加密解密处理装置中的半导体元件或者电阻元件的热噪声，产生随机数。

5、根据权利要求2～4中任一项所述的加密解密处理装置，其特征在于，

所述加密解密处理装置由所述第一USB连接器和主体键组成，所述第一USB连接器从外部可装卸地直接安装在计算机中，并且内含所述第一USB接口电路；所述主体键被可装卸地安装在该第一USB连接器中，内含所述硬件加密解密电路，

该主体键，无论计算机的启动状态、或者计算机的操作系统的种类如何，在被安装在计算机中的第一USB连接器中始终都可装卸。

6、根据权利要求2～5中任一项所述的加密解密处理装置，其特征在于，

在计算机中设置加密解密控制机构，其对所安装的所述加密解密处理装置，在必要时对数据进行收发，进行加密处理的请求、或者解密处理的请求，

在将加密解密处理装置安装在计算机中时采用该计算机进行处理的数据，通过检测到该安装的加密解密控制机构，强制性地经由加密解密处理装置进行收发，

采用该计算机在计算机内或者经由计算机在计算机外保存的数据，不需要其它操作而被自动加密处理后保存，另一方面，在已经被加密且被保存在计算机内、或者经由计算机保存在计算机外的数据的利用时，不需要其它操作而被自动解密处理后利用。

7、根据权利要求2～6中任一项所述的加密解密处理装置，其特征在于，

所述加密解密处理装置，仅在计算机中安装时作为携带容易的安全钥匙发挥功能，该安全钥匙对已经加密且在计算机内、或者经由计算机在计算机外保存的数据可利用地进行解密。

8、根据权利要求2～7中任一项所述的加密解密处理装置，其特征在于，

所述加密解密处理装置具有：对向所安装的计算机本身、或者经由该计算机向网络的访问的认证功能。

9、根据权利要求8所述的加密解密处理装置，其特征在于，

加密解密处理装置的所述认证功能，将预先赋予的按每个该加密解密处理装置不同的序列号数据、预先赋予的按每台计算机的CPU不同的序列号数据、或者预先赋予的按每个USB不同的序列号数据作为认证密钥进行登记，通过与所安装的计算机之间进行收发并对照，从而可使用计算机进行访问。

10、根据权利要求8所述的加密解密处理装置，其特征在于，

加密解密处理装置的所述认证功能，具有以时刻信息为基础生成认证密钥的认证密钥生成机构，仅在将该加密解密处理装置安装到计算机时，通过在与所安装的计算机之间对由认证密钥生成机构生成的认证密钥进行收发并对照，从而可使用计算机进行访问。

11、根据权利要求10所述的加密解密处理装置，其特征在于，

所述认证密钥生成机构所采用的时刻信息，通过访问安装所述加密解密处理装置的计算机内置的时钟、或者在连接该计算机的网络上存在的NTP服务器、或SNTP服务器而获得。

12、根据权利要求2～11中任一项所述的加密解密处理装置，其特征在于，

所述加密解密处理装置具有与该加密处理装置本身的使用对应的认证功能，仅进行了基于该认证功能的认证的人，才可获得安装在计算机中的加密解密处理装置的功能。

13、根据权利要求12所述的加密解密处理装置，其特征在于，

与所述加密解密处理装置本身的使用对应的认证功能，是指纹对照功能，与事先登记的指纹进行对照，仅认证一致的人，才可获得安装在计算机中的加密解密处理装置的功能。

14、根据权利要求2～13中任一项所述的加密解密处理装置，其特征在于，

安装了所述加密解密处理装置的计算机，通过网络与其它计算机或者周边机器连接，经由该网络在两者之间收发的数据，通过加密解密处理装置执行加密处理。

15、一种加密解密处理方法，其是加密解密处理装置中的加密解密处理方法，其中该加密解密处理装置具备：第一USB连接器；经由该第一USB连接器，依据USB规格执行双向通信的第一USB接口电路；和与该USB接口电路连接，可执行数据的加密处理与解密处理的硬件加密解密电路，其中，

相对于计算机从外部使之装卸，在安装时处于向该计算机外部突出的状态，并且与该计算机进行双向通信，经由所述USB接口电路进行数据的输入输出，在请求加密处理时执行加密处理，并且在请求解密处理时执行数据的解密处理。

Images