JP2002526830A

JP2002526830A - コンパートメント化された信用コンピュータオペレーティングシステム

Info

Publication number: JP2002526830A
Application number: JP2000572763A
Authority: JP
Inventors: エー．マクナーブ，ポール，; エス．スレイヴィン，パヴェル，; ジェー．ハンソン，チャド，; ジェー．サンドーン，ランドール．
Original assignee: アーガスシステムズグループ，インク．
Priority date: 1998-09-28
Filing date: 1999-09-28
Publication date: 2002-08-20
Also published as: EP1119813A1; AU6401999A; WO2000019324A1; US6289462B1

Abstract

(57)【要約】コンピュータシステムセキュリティと、アクセス、制御、権利、特典が、コンピュータにアクセスするユーザまたは処理にではなく、個々のファイルメンバに指定されるオペレーティングシステム設計を提供する。ファイルレベルを拡張したセンシティビティラベル属性（２０２）を付加することによって、プロセスの実行へのアクセスを制御する信用サーバを提供するためのシステムおよび方法である。属性は、標準ファイル許可認可を使用することに加え、拡張された属性（２００）を比較することによって、要求されたプロセス（２５０）の実行を規制するために使用される。

Description

【発明の詳細な説明】

【０００１】本明細書は、本明細書中で援用している、１９９８年９月２８日付けで提出さ
れた同時係属米国仮出願番号第６０/１０２、０１９号の優先権に基いており、
これを主張するものである。

【０００２】

【発明の属する技術分野】

本発明は、コンピュータシステムセキュリティと、アクセス、制御、権利、特
権が、コンピュータにアクセスするユーザまたは処理にではなく、個々のファイ
ルメンバに指定されるオペレーティングシステム設計とに関するものである。本
システムは、サーバ上で実行されている処理のアクセスと制御に影響を与えるオ
ペレーティングシステム修正を備えている。

【０００３】

【従来の技術】

以下に示す例により、安全なネットワーキングプラットフォーム（例えば、イ
ンターネットのためのもの）の重要性が強調される。１９８８年１１月前半、Ｂ
ｅｒｋｅｌｅｙＵＮＩＸ（登録商標）のバージョンを実行しているＶＡＸおよびＳｕｎ−３コンピュータに侵入する自己複製プログラムがインターネット上に放たれた。このプログラムは、これらのコンピュータのリソースを不当に利用して、インターネットに接続している他のコンピュータを攻撃した。このプログラムは数時間で全米中に広がり、存在する６０，０００のインターネットホストの内６，０００のホストに感染した。この時、インターネットはまだ科学者どうしの間でのメール交換に独占的に使用されているだけであった。企業のインターネットサービスが静止したウェブページ、メールゲートウェイなどに限定されていた時、セキュリティ手段は主に、電子販売およびマーケティング情報を公共に確実に提供するために必要とされていた。このようなセキュリティがインターネットサーバを攻撃から保護することに失敗すると、企業では、インターネットを視認することが一時的に中断され、重要でないサービスしか受けられず、全体的であるが、致命的ではない管理上の問題が引き起こされる。

【０００４】今日では、膨大スケールの公共および企業サービスをインターネットに頼る人
や企業はますます増加する一方である。企業は、経費の削減と競合性の拡大を目
的として、公共インターネットサービス上で商用アプリケーションを急速に展開
している。これらの統合されたアプリケーションは、コストを削減し、視認性を
向上させながら、ビジネスプロセスにかけて、速くて便利なサービスと価値のあ
る顧客管理を提供する。

【０００５】

【発明が解決しようとする課題】

しかし、インターネットのためのトランザクション技術は発展したが、セキュ
リティの突破口から生じる潜在的なダメージは、企業が考慮するべき重大な要素
となった。データの盗難や破壊、ネットワークサービスの拒否は、企業の利益に
明確な打撃を与える。

【０００６】インターネット上で伝送されるミッションクリティカルなサービスへの増加す
る依存には、外部の人物が、重要な内部データへのパイプラインをインターネッ
トを介して開いてしまうという危険が付きまとう。ファイアウォールの後ろにあ
るアプリケーションおよびデータベース情報とのインタラクションが可能になっ
たウェブを採用する前に、ウェブサイトのコンテンツが攻撃の危機に晒されてし
まうかもしれず、今日では、トランザクショナルなインターネットアプリケーシ
ョンを実現するために必要な接続性が、これらの重大な企業リソースを攻撃し易
いものにしてしまう。現在インターネットサーバは、ミッションクリティカルな
サービスを企業に提供し、プライベートおよび公共のシステムとデータを接続す
る。例えば、この新規のビジネスモデルの下では、以前は最大でも公的に利用可
能な情報のみをインターネットに提供していたシステムが、現在では、世界のあ
らゆる場所から、銀行預金情報や、コンピュータハッカーのトランザクション記
録といった機密データへ続く潜在的なドアとなっている。

【０００７】全てのコンピュータシステム上で、特定のシステムプログラムまたはユーティ
リティに、通常はシステムによって強いられるセキュリティ制約をバイパスする
機能が付与される。例えば、システムディスク上の全てのファイルのバックアッ
プを作成するために、管理者は、通常はこうしたアクセスを許可されないにも関
わらず、ディスク上の全てのファイルを読み出せるバックアッププログラムを実
行できなければならない。これ以外の協力なプログラム、例えば、システムをシ
ャットダウンするプログラム、新規のユーザを作成するプログラム、損傷したフ
ァイルシステムを修正するプログラムも注意深く制御されるべきである。標準の
ＵＮＩＸシステム上では、ルートまたはスーパーユーザと呼ばれる１人のユーザ
ＩＤが全てのセキュリティ規制および制限をバイパスすることができるオペレー
ティングシステムが設計されてきた。Ｗｉｎｄｏｗｓ（登録商標）ＮＴシステムでも、「システム」アカウントと「管理者」アカウントを使用して、同様の脆弱性を示す。

【０００８】このため、あらゆる規制された機構を使用するために必要なユーティリティを
、ルートまたは管理者として実行しなければならない。これは例えば、システム
をシャットダウンするためにバックアッププログラムを利用することができ、新
規のユーザを作成するためにシャットダウンプログラムを利用することができ、
また、新規のユーザを作成できるプログラムを、システム上の全てのファイルを
読み出すために利用することができるということである。従って、任意の管理プ
ログラムが利用可能なバグを含んでいる場合には、システム上であらゆることを
実行するためにそのプログラムを使用することができる。

【０００９】限定された権利のみをプログラムに付与に対する標準ＵＮＩＸの不能さは、こ
のシステムの唯一の弱点ではない。ＵＮＩＸでは、１つのプログラムが別のプロ
グラムを開始する際に、ユーザＩＤと最初のプログラムの許可によって新規に作
成されたプログラムが実行される。これは、ルートプログラム内のバグを利用で
きる悪質なユーザが、インタラクティブなルートセッションを開始できてしまう
ということである。ユーザがルートを実行している場合、そのユーザが実行する
全てのファイルがシステム上で無制限の特権を持つ。ユーザはあらゆるファイル
の作成、修正、削除を行うことができる。ユーザは選択するあらゆるネットワー
クパケットを追加的に送受信することができ、またネットワーク上の全てのパケ
ットを妨害する機能を持つため、同じネットワーク上にある他者のあらゆる２つ
のホスト間のトラフィックを見ることができてしまう。

【００１０】ファイアウォール、侵入検出、暗号化、ユーザ認証は、ペリメータおよび通信
セキュリティの要素を提供するが、これらは１つだけでは、高度のセキュリティ
保証を必要とするインターネットベースのアプリケーションにとっては不十分で
ある。オンラインバンキング、オンライン株取引、センシティブなデータベース
へのアクセス、政府の税処理、電子商取引、ジャストインタイムの製造業のよう
なミッションクリティカルなプロセスは、自分を露出して危機に晒すことなく内
部サーバおよびデータベースへのアクセスを提供できるシステムを必要とする。
これらは、従来のセキュリティ手段では解決できないセキュリティ問題である。

【００１１】従来のセキュリティ手段は、システムへのアクセスを制限するが、システムへ
の、またはシステムからの動作を制限することはできない。これらの手段は、悪
意を持った認可されたユーザがアプリケーションまたはオペレーティングシステ
ムソフトウェアに存在する未発見のホールを発見し、これを利用してしまうとい
う状況においては役に立たない。

【００１２】一般に、これらの製品は、認可および認証されたユーザは信用できるユーザで
あるという誤った考えの上で動作する。例えば、有効な口座番号とＰＩＮを持っ
た悪質な銀行顧客がいるとする。従来のセキュリティ手段は、この人物を認可さ
れた合法なシステムユーザであると認識してしまう。インターネットサーバへの
アクセスを一旦許可されれば、この口座の所有者はサーバを攻撃し、これをバッ
クエンドデータベースおよび金融サーバへエントリするための橋頭堡として使用
することができるのである。

【００１３】数名の有名なコンピュータ産業アナリストが行った研究では、セキュリティマ
ネージャが恐れるシステムの完全性と安全性への最も顕著な脅威は、企業内の認
可された人物による悪質ないたずらと誤用であると示されている。これらの統計
は、有効なセキュリティソリューションが、システムの使用を許可された内部関
係者およびその他の人物から、また、熟達した知識豊富な攻撃者からの的確な攻
撃からシステムを保護する問題を検討したものでなければならないことを示して
いる。

【００１４】ファイアウォールは、ホストシステムおよびサービスへのアクセスを制限する
ことにより、攻撃に対する必要なペリメータディフェンスのラインを提供する。
しかし、ファイアウォールは、アクティブコンテンツを生成したり、トランザク
ション指向のサービスを実現するアプリケーションの危険を適切に減少させるこ
とはできない。この用語が意味するように、ファイアウォールは、対立的な環境
（インターネット）から友好的な環境（ローカルな企業ネットワーク）までの全
体的なアクセスを規制するものである。新しいトランザクションベースのインタ
ーネットサービスのパラダイムは、友好的環境と非友好的環境の間の境界線が明
確でない場合には、これらの「ペリメータ」ディフェンスの有効性を減少させて
しまう。

【００１５】ファイアウォールは、その「中」に入る全てのネットワークおよびリソースへ
の幅広いアクセスを制御する。ユーザからのパケットがファイアウォールをトラ
バースし、内部ネットワークへのエントリを認可されてしまえば、ファイアウォ
ールは、特定のリソース、または最悪の場合セキュリティデータ自体へのアクセ
スまたは修正を阻止することはできない。インターネットベースのトランザクシ
ョンシステムについては、セキュリティ機構が、個々のユーザのプロファイルに
基づいて、特定のウェブページ、アプリケーション、データベースへのアクセス
を提供または拒否できなければならない。

【００１６】セッションの暗号化と通信セキュリティは、情報が伝送中である場合に顧客の
プライバシーを保護することができるが、商用トランザクションサーバに常駐し
ているデータを保護することはできない。一旦伝送または解読されてしまった後
では、伝送途中では保護されていた同一の情報が、サーバ上に記憶されて攻撃の
危機に晒されてしまう。

【００１７】同様に、暗号化キーは、インターネットサーバ上に記憶されている間、開いた
ままの危険な状態に保たれる。暗号化キーがマシン生成された６４文字のストリ
ングであるシステムを考える。このような暗号を解読することは侵入への気力を
挫くタスクに思われるかもしれないが、ユーザがこれらのストリング（または、
これらを生成するために使用されるランダムナンバーのアルゴリズム）が常駐す
るシステム上のファイルにアクセスできれば、暗号化スキームは完全に失敗する
。

【００１８】ユーザ認証機構についても同様のことが言える。悪質なユーザがペリメータデ
ィフェンスを破ってしまえば、このユーザはキーを入手し、偽ＩＤを受諾するよ
う認証システムを騙すことができ、システムおよび全てのリソースが無防備な状
態にされてしまう。

【００１９】侵入検出はシステム上への攻撃に反応するツールである。これは、悪質な意図
に関連した動作の公知のパターンを検出するシステムの機能に依存したものであ
る。このような検出システムは新規のものには無効であることが明白である。例
えば、サーバ内のこれまで知られていないシステムバグを利用するために明らか
に無害のパケットを使用した攻撃には、恐らくこのシステムは気付かないであろ
う。侵入検出機構は純粋に受身であり、最初の侵害の発生を防止する上では全く
何もできない。セキュリティホールが使用されてしまうと、アプリケーションと
オペレーティングシステムファイルが開かれて破壊され、これにより、攻撃者は
他の、未検出のセキュリティホールを空けることができてしまう。さらに、シス
テム監査トレイルへの自由なアクセスを手に入れた攻撃者は、多くの場合、彼ら
の不法侵入のシステムトレースを消し去ることができ、攻撃が最も深刻である場
合は、侵入検出機構を事実上無効にすることができる。

【００２０】ほとんどのＩＳと企業マネージャは、既に毎日のシステムオペレーションを維
持するのに精一杯であり、新規技術と適切なシステムセキュリティを採用するた
めの顕著なバリアと直面している。そのため、システムのセキュリティのアップ
グレードを求めているマネージャは、セキュリティパフォーマンスについてのベ
ンダーからのクレームに依存するしかない場合が多い。新しいソフトウェアがリ
リースされ、既存のソフトウェアへアップグレードが不可避になると、通常、Ｉ
Ｓプロフェッショナルは、ベンダーが製品のセキュリティに力を注いだと推測す
る。セキュリティシステムの失敗の潜在的な実現を見れば、マネージャが、個別
に評価、テスト、証明を行ったセキュリティソリューションに注目することは非
常に重要である。

【００２１】信用オペレーションシステムは、全体的な設計の評価、ソースコードの統合性
と信頼性の証明、システマチックな独立したペネトレーション評価を受ける。最
も高く評価される評価ツールの１つに、国際的に認識された、ＩＴセキュリティ
製品を評価、テスト、証明するための標準セットである情報技術セキュリティ評
価基準（ＩＴＳＥＣ）がある。独立した本体によって実施されるＩＴＳＥＣ証明
は、製品のセキュリティ機能について受けたクレームが確かであるという自信を
エンドユーザに与える。さらに、この証明は、これらのクレームが、保証の所定
レベルに対してテスト済みであり、ベンダーが高い専門技術と、安全性への強い
責任を持っていること示す。

【００２２】従って、ネットワークサービス用の安全なプラットフォームを提供するために
これらのコンポーネントが完全に統合されており、ユーザがシステムをインスト
ールした直後に、そのセキュリティ機能を発揮し、アプリケーションとサーバを
保護されたパーティション内にインストールすることができるシステムを提供す
ることが望ましい。オペレーティングシステムの全て（その他のあらゆる従来の
信用オペレーティングシステム）を交換するために管理者を必要とするのではな
く、望ましいシステムの信用オペレーティングシステムは、システムのアップグ
レードとしてインストールされた拡張を有する。これにより、内在するオペレー
ティングシステムＡＰＩとの１００％の互換性を維持することができ、また、通
常このタイプのシステムに関連する、経費と時間のかかる統合作業を大幅に縮小
することができる。

【００２３】

【課題を解決するための手段】

本発明の目的は、アクセスが厳密に制御され、要求に反応する必要がある動作
のみを許可するべく処理が規制される、ファイアウォールまたは情報サーバ上で
使用するための安全オペレーティングシステムを提供することである。また本発
明の別の目的は、管理プロセスが制御され、ローカルマシンのみについて実行さ
れるため、ネットワークユーザが、ローカルネットワークの外からシステムの管
理機能へアクセスしたり、これを修正することができないサーバシステムを提供
することである。さらに、本発明の別の目的は、システムからデータを要求する
ためのユーザの認可が、要求を行っているユーザに確立されたロールと比較され
ることである。また、本発明の目的は、ユーザによる要求は、事前定義されたプ
ロセスしか開始することができず、プロセスを実行する認可が各プロセス段階に
おいて確認され、プロセスが権利または別の後続するプロセスへのパス権利を引
き継がないことである。本発明のさらに別の目的は、異なるユーザからの同じア
イテムへの要求は、ユーザが異なる場所へと誘導され、そこでそれぞれ異なる結
果を得られることである。本発明のまた別の目的は、ファイル許可が、拡張され
た属性が各ファイルおよび実行可能なプロセスに指定されるように修正され、シ
ステムによって要求を受信する度に、これらの属性が検査されることである。

【００２４】このオペレーティングシステムと協働するべく、保護部分をこの方法で動作す
るように修正したウェブサーバが採用されており、オペレーティングシステムの
非エンベッド部分と選択的にインターオペレートできればさらに望ましい。

【００２５】本発明の別の目的は、入力される通信のＩＰアドレスに基づいてセンシティビ
ティ層を指定することである。本発明のさらに別の目的は、リソースへのアクセ
スを許可する前に、センシティビティ層をチェックすることで、使用可能なプロ
セスおよびリソースへのアクセスを規制することである。本発明の別の目的は、
ウェブユーザに、要求されたプロセスと、受信した認可レベルとによってアクセ
スが制限される第２コンピューティングリソースから、保護されたリソースへの
アクセスを可能にすることである。

【００２６】本発明のさらに別の目的は、ファイアウォールや暗号化プロセスのような従来
のセキュリティコンポーネントが、商用サーバへの攻撃を確実に打破できるよう
に修正され、また、基本のセキュリティ層がオペレーティングシステムレベルに
下げられ、ファイルシステム、デバイス、プロセスへのアクセスについての決定
が行われ、効率性と柔軟性を以て動作している間にはセキュリティをバイパスす
ることができないようにすることである。

【００２７】本発明は、ファイアウォールや侵入検出ツールのような従来のセキュリティ機
構の代わりではなく、むしろ、全てのオペレーションレベルにおいてデータとア
プリケーションの統合性を確実にするためのセキュリティの追加層を提供する。
本発明は、信用サーバにおいて複数のコンピューティングデバイスからの要求を
処理する方法であり、入力されるデータオブジェクトの要求を受信する段階を有
し、入力されるデータオブジェクトの要求にセンシティビティラベルを指定する
段階をさらに有し、データオブジェクトに関連した第１記憶宛先において、拡張
された属性を読み出す段階をさらに有し、センシティビティラベルと拡張された
属性の組み合わせに基づいて、入力された要求をデータオブジェクトの第２記憶
宛先へ転送する段階をさらに有し、転送された要求に関連した動作を実行する段
階をさらに有する。

【００２８】さらに、信用サーバ上で実行する商用のソフトウェア製品のデータオブジェク
トに制御およびアクセス属性を指定する方法であり、ここで、商用ソフトウェア
製品へのアクセスは信用サーバによって規制的に管理され、信用サーバは、商用
ソフトウェア製品を構成モードで実行する段階と、構成モードにある際に、商用
ソフトウエア製品がアクセスする少なくとも１つのプロセスを決定する段階と、
データファイルおよびプロセスに指定する少なくとも１つのセンシティビティレ
ベルのための管理者による入力を受信する段階と、商用ソフトウェア製品のプロ
セスおよびデータファイルに付加する、拡張された属性を決定する段階と、受信
した管理者のセンシティビティレベルのための決定された拡張された属性を、商
用ソフトウェア製品のプロセスおよびデータコンポーネントに付加する段階と、
非構成モードで使用するために、拡張された属性を記憶する段階とを実行する方
法が提供される。

【００２９】構成モードに続いて、信用サーバ上で商用ソフトウェア製品を非構成モードで
実行する方法であり、さらに信用サーバにおいて、商用ソフトウェア製品に関す
る、要求名とアドレスの指示を備えた要求を受信する段階を有し、商用ソフトウ
ェア製品に関連した要求のアドレスの指示からセンシティビティレベルを指定す
る段階を有し、要求から、商用ソフトウェア製品のために実行するプロセスの第
１場所を決定する段階を有し、第１場所に記憶した、商用ソフトウェア製品のプ
ロセスに付加された属性を検索する段階を有し、付加された属性を、要求に指定
されたセンシティビティレベルと比較する段階を有し、検索されたプロセスを、
付加されたセンシティビティレベルと相関させる、要求されたプロセスを実行す
る段階を有する方法が提供される。

【００３０】オーナー、ワールドおよびグループアクセスに加えて、関連する読み出し、書
き込み、削除認可を使って第２のアクセスチェックを実行する、信用サーバのプ
ロセスへのアクセスを制御する方法であり、信用サーバの管理ユーザアカウント
の制御形態を区分して、１つの管理アカウントで全ての管理機能を実行できない
ようにする段階を有し、ファイルシステムの属性を、少なくとも１つのセンシテ
ィブレベル属性を含むように拡張する段階をさらに有し、ファイルシステム内の
記憶場所に記憶されたファイルおよびプロセスの各々に、センシティビティレベ
ル属性を指定する段階をさらに有し、システムのプロセスのテーブルを生成する
段階をさらに有し、テーブルは、プロセスの実行を許可されたユーザロールとの
関係を含んでおり、ユーザロールに関連したユーザ認可を定義する段階をさらに
有し、ユーザ要求に反応してシステムが実行するタスクに関連したプロセスの階
層を確立する段階をさらに有し、ユーザ要求に応じて、記憶場所からファイルお
よびプロセスが検索される別の宛先を定義する段階をさらに有し、入力される、
データオブジェクトの要求を受信する段階をさらに有し、入力されるデータオブ
ジェクトの要求にセンシティビティラベルを指定する段階をさらに有し、入力さ
れるデータオブジェクトの要求に関連した、第１宛先を決定する段階をさらに有
し、拡張された属性を、データオブジェクトに関連した第１宛先において読み出
す段階をさらに有し、入力される要求を、入力される要求のセンシティビティラ
ベルと拡張された属性の組み合わせに基づいて、別の宛先へ転送する段階をさら
に有する方法が提供される。この方法はさらに、同じ方法で処理されるか、要求
者に出力を送る別のプロセス要求を最終的に有する、要求された出力を生成する
。

【００３１】要求に応じて、プロセスの制御された実行を許可するための信用サーバコンピ
ューティングシステムであり、少なくとも１つのデータパーティション内の拡張
された属性を備えた複数のデータオブジェクトを記憶するための記憶装置を有し
、要求を受信し、ユーザ要求に応じてプロセスを実行するためのプロセッサ手段
をさらに有し、データオブジェクトの要求に関連したセンシティビティレベルを
指定するための指定手段をさらに有し、プロセスと拡張された属性を検索するべ
くプロセッサを誘導する第１宛先を決定するために、要求を翻訳するためのアッ
プグレード・ダウングレードエンフォーサ手段をさらに有し、アップグレード・
ダウングレードエンフォーサ手段は、属性を指定されたセンシティビティレベル
と比較し、有益に比較されたプロセスを、実行するべくプロセッサへ送り、保護
された記憶パーティションへのアクセスが必要なプロセスを識別し、センシティ
ブレベルを備えたこれらのプロセスをセキュリティゲート手段へ誘導するプロセ
ッサをさらに有し、センシティビティレベルを受信し、区分された記憶装置から
のデータを必要とするプロセスを翻訳するためのセキュリティゲート手段をさら
に有し、セキュリティゲート手段は、データセンシティビティレベルが受信した
センシティビティレベルと有益に比較される場合に、要求されたデータを検索す
ることを特徴とする信用サーバが提供される。

【００３２】

【実施例】

本発明は、安全なビジネス処理のための完全統合ソフトウェアファンデーショ
ンである。本発明は、シームレスで安全なシステムに様々なセキュリティ技術を
採用している。そのコンポーネントと修正形は、オペレーティングシステムセキ
ュリティ拡張、ネットワークパケット管理修正、アップグレード/ダウングレー
ドエンフォーサ（ＵＤＥ）、セキュリティゲート、信用管理ユーティリティ、拡
張されたセキュアシェル（拡張ＳＳＨ）、認証モジュール、セキュアＣＧＩモジ
ュール、ネットワーク層暗号化（ＶＰＮ）、セキュアソケット層暗号化（ＳＳＬ
）の使用を備えている。

【００３３】以下に示す用語は、本願明細書の好ましい実施例の説明と共に有益である。アドバンスド・セキュア・ネットワーキング（ＡＳＮ）：パケットが属するコ
ンパートメントまたはパーティションを表示するために、入力パケットの各々に
ラベルを指定するネットワークインタフェースに関連したセキュリティコンポー
ネントである。

【００３４】監査証跡：処理の文書証拠を総合的に提供する１組の記録である。監査証跡に
より、オリジナルのトランザクションから関連する記録やレポートへ送信された
、または逆に、記録やレポートからそのコンポーネントソース・トランザクショ
ンへ送信されたイベントの追跡が可能になる。

【００３５】認証：クレームされた識別の有効性を確立する。

【００３６】証明：特定のコンピュータシステムの設計と実装が特定の１組のセキュリティ
の条件に見合う範囲を確立するための、システムの障害を技術評価する承認/ア
クレディテーション処理。

【００３７】共通ゲートウェイインタフェース（ＣＧＩ）：ウェブサーバ上で実行されてい
るプログラムがウェブクライアントと通信する方法を指定するプロトコル。

【００３８】コンパートメント：アクセスを承認する前に、相関のために特定のアクセスコ
ードが必要なオペレーティングシステムによって制御されるシステムの部分であ
り、パーティションとも呼ばれる。

【００３９】データの統合性：計算されたデータがソースドキュメント内のものと同一であ
り、不慮の、または故意による変更または破壊に晒されていない状態のことであ
る。

【００４０】任意アクセス制御（ＤＡＣ）：属するサブジェクトおよびグループの識別に基
づいてオブジェクトへのアクセスを規制する手段である。特定のアクセス許可を
持ったサブジェクトは、その許可を（おそらく間接的に）別のサブジェクトへと
送ることができるため、（命令アクセス制御によって規制されていない限り）制
御は任意であると考えられる。

【００４１】ハイパーテキスト・マークアップ言語（ＨＴＭＬ）：テキストに構造を付加す
るための、ＳＧＭＬベースの標準である。ＨＴＭＬは、ウェブ上の大多数のドキ
ュメントで使用されているマークアップ方法である。

【００４２】インターネットプロトコル（ＩＰ）：デバイスを個々に識別し、相互に通信す
るための、インターネット上でのデバイスの接続方法を指定する標準である。

【００４３】ＩＴＳＥＣ（情報技術セキュリティ評価基準）：情報技術セキュリティ製品を
評価、テスト、証明するための、国際的に認識された標準セットである。

【００４４】最下位の特権：システム内の各サブジェクトに、認証されたタスクのパフォー
マンスに必要とされるよりも多くの特権（それ以上高いクリアランス）を与えて
はいけないという原則である。この原則を適用することで、事故、エラー、非認
証の使用により生じるダメージを制限することができる。

【００４５】命令アクセス制御（ＭＡＣ）：オブジェクト内に含まれる情報のセンシティビ
ティ（ラベルが示すもの）と、このようなセンシティビティの情報にアクセスす
るべく特定の要求に与えられた正規の認証（クリアランス）とに基づいて、オブ
ジェクトへのアクセスを規制する手段である。

【００４６】マルチレベルセキュア：知る必要があり、特定の正しいセキュリティクリアラ
ンスを有するユーザによる、異なるセンシティビティを持った様々な情報のセッ
トへのアクセスを許可するが、ユーザが認可を持っていない情報へのアクセスを
得ることは阻止するシステムのクラスである。

【００４７】パケットラベリング：要求処理の許可レベルに関連する情報を、入力または出
力データグラムに付加する処理である。

【００４８】セキュアソケット層（ＳＳＬ）：ウェブユーザにセッション層の暗号化を提供
する機構である。

【００４９】セキュリティゲート（ＳＧ）：個別のパーティション内で動作しているアプリ
ケーションまたはユーティリティ間の制限された、安全な通信を可能にするソフ
トウェアコンポーネントである。

【００５０】センシティビティラベル（ＳＬ）：要求のセキュリティレベルを示し、オブジ
ェクト内のデータのセンシティビティ（例えば、類別）を表記する情報である。
センシティビティラベルは、命令アクセス制御決定の基準として使用される。

【００５１】システムネットワーク・アーキテクチャ（ＳＮＡ）：特定のネットワークハー
ドウェア構成である。

【００５２】信用コンピュータシステム：サービスの拒否、データ盗難、または悪質な行為
による変造の心配をすることなく、センシティブ情報または類別された情報を処
理するために依存できる、適切なハードウェアとソフトウェアの統合性の基準を
採用したシステムである。

【００５３】ユニフォーム・リソース・ロケータ（ＵＲＬ）：所与のオブジェクトの位置と
、その検索に使用されるプロトコルを識別するためにウェブ上で使用されている
アドレス指定システムである。

【００５４】アップグレード／ダウングレードエンフォーサ（ＵＤＥ）：入力される要求の
各々を調べ、どのアプリケーション（ウェブサーバなど）でそれを扱うかを決定
する機能を果たす、本発明のコンポーネントである。

【００５５】図1に示す本発明の信用サーバは、キーコンポーネントの操作に影響を与える
ように、オペレーティングシステムに修正を加える必要がある。以下で説明する
信用オペレーティングシステムのキーコンポーネントには、１）プロセス、２）
ファイルシステムオブジェクト（デバイス、ディレクトリ、ファイルなどを含む
）、３）インタープロセス通信メッセージ（パケット、共用メモリなどを含む）
がある。標準システムではこれらの各々が様々なセキュリティ属性を持っており
、これらのセキュリティ属性はＯＳ自体によって作成、管理、使用される。プロ
セスがファイルシステムオブジェクトにアクセスしようとすると、ＯＳがそのプ
ロセスの様々な属性をオブジェクトの属性と比較し、アクセスを許可または拒否
する。プロセスが通信メッセージを送信または受信すると、ＯＳは、プロセスが
そのメッセージの送信および/または受信を認められていることを確認する。フ
ァイルの作成時またはメッセージの生成時のようにオブジェクトが作成される場
合、ＯＳは、新規のオブジェクトに適切な属性を付加するべく機能する。

【００５６】信用サーバシステムは、ＯＳコンポーネントの各々にセキュリティ属性をさら
に付加することにより、また、新規の属性を使用するべくセキュリティチェック
を拡張することにより、この標準機構を２つの方向に拡大している。３種全ての
コンポーネントに追加されたセキュリティ属性は、「センシティビティラベル」
２０２またはＳＬである。図２は、ファイルに付加された拡張された属性を示し
、図３は、システム上で処理されるプロセスまたはパケットに付加された属性を
示す。図３は、この構造の1部分である属性タイプを表に示したものである。図
４はこの構造の一部分である属性タイプを表に示したものである。標準のセキュ
リティ機構とは違い、ＳＬ２０２は命令として、つまり、ユーザの制御下にない
ものとして設計されている。つまり、ユーザはファイルを所有していても、その
ような情報を入手するべく事前に許可されていなければ、そのユーザがアクセス
可能なファイルや内容、またはコピーさえも作成することができない。ＳＬは、
次に示すいくつかの形で関連することができる。１）同一である、２）他方より
も「大きい」（優位である）、３）「ディスジョイント」である（つまり、どち
らも大きさが同じである）。単純な類推は、ＳＬの関係を説明する上で役に立つ
。多くの部門と管理レベルを持つ大企業では、管理者の階層構成がある場合があ
る。多くの場合、ある従業員は、この階層において別の従業員の「上」または「
下」として表すことができる。しかし、ある部門のスーパーバイザは別の部門の
従業員に対しては何の権限もないため、互いにタスクを与え合うことはできない
。実際、例えば経理部門のようなある部門の最下にある従業員が、別の部門の最
高幹部がアクセスを拒否される情報にアクセスできることがある。

【００５７】プロセスは実行プログラム、つまり、書き込まれ、ファイルに記憶され、シス
テムによって「実行可能」であると判断されるコンピュータプログラムの例であ
る。多くの場合、コンピュータプログラムは、例えば、ネットワークブラウザプ
ログラムがワードプロセッサプログラムまたはモデムソフトウェアパッケージの
実行を開始した際といった、ある段階において別のプログラムを「呼び出す」ま
たは「実行する」ように書かれている。プロセスがこの要求を行うと、プロセス
がそのプログラムを実行できるかどうか確認するために、ＯＳがそのプロセスの
属性を、プログラムが記憶されているファイルの属性と比較する。使用可能なプ
ログラムに対して制御を強化するために、ＯＳは、信用サーバシステムの追加の
セキュリティ属性を使用する。信用サーバシステムは、標準のユーザおよびグル
ープ識別子に加え、プロセスを実行しているユーザが、要求したプログラムにア
クセスまたは実行できるかどうかを調べるために用いる「認可データベース」を
ＯＳに追加した。

【００５８】あらゆるシステム上で、プログラムによっては、ある特定の作業を実行するた
めに、いくつかのセキュリティをバイパスする必要があるものもある。例えば管
理者は、たとえ普段は全てのファイルにアクセスできなくても、システムのバッ
クアップを作成する際には、全てのファイルを読み出し、その各々をテープまた
はディスクに書き込むべくあるプログラムを実行できる必要がある。このような
状況下で、プロセスに特定のセキュリティ機構をバイパスさせるために、プロセ
スの「特権」属性が使用される。特権はプログラムの実行可能ファイルに記憶さ
れるため、そのプログラムが実行されると、これを実行しているプロセスが必要
な特別の機能を持つ（本システムではこの特権を「特権」と呼ぶ。）。

【００５９】本発明の信用サーバシステムは、従来の認可および特権に加えて、開始特権セ
ット以外に、少なくとも１組の特権を、「特権認可セット」２２０と呼ばれる追
加の認可リストと共にプログラムファイルに付加する概念を追加した。プログラ
ムを実行すると、そのプログラムを実行しているユーザが1つまたはそれ以上の
特権認可を有する場合、プロセスに開始特権と「認可特権」が与えられる。これ
により、管理者は、ユーザが単にプログラムへのアクセスを許可または拒否され
るだけでなく、ユーザが特定のセキュリティ規制をバイパスするより広範な機能
を持ちながらプログラムを実行できるようにプログラムを設定することができる
。この機構は、プログラム自体にではなく、ディスクに記憶されたそのプログラ
ムファイルのコピーに適用されるため、ソースコードへのアクセスを持たない、
ソフトウェアの商用のバイナリコピーに加えることができる。

【００６０】信用サーバシステムの信用サーバは、各プロセスに最小２５４および最大クリ
アランス（ＳＬ）２５６を追加した。この追加の属性は、特定の特権を制限する
ために使用される。特権機構を使用し、ＳＬを提供する別のシステムでは、ＳＬ
チェックを無視する特権を特定の範囲に限定することはできない。そのため、複
数のＳＬを使用して特別のプログラムを実行する必要がある場合には、このプロ
グラムに、全てのＳＬチェックを無効にする旨をシステムに伝える特権が与えら
れる。クリアランス範囲２５４、２５６を提供することにより、また、ＳＬ無効
特権の範囲を制限するためのチェックを加えることにより、信用システムは、サ
イトに、特別な「マルチレベルオペレーション」を扱いながら、各々を別々に保
つ機能を持った多数の特別なプログラムを実行させることができる。

【００６１】プロセスが通信チャネルまたはネットワークを介して情報を伝送する場合、信
用サーバはＯＳを、プロセスのセキュリティ属性がパケットに付加されるように
変更する。同じマシン上の別のプロセスと通信する場合には、そのパケットへの
アクセスを宛先プロセスに与える前に、セキュリティ属性のチェックを行うこと
ができる。そのため、ＯＳは、ＳＬのような様々なセキュリティ属性に基づいて
、プロセス上のセキュリティを実行することができる。パケットがネットワーク
インタフェース上に送信されると、信用サーバは、セキュリティ情報をネットワ
ークパケット内に組み込むことができるため、受け側のシステムは、そのパケッ
トが到着した際にこれを正しく設定することができ、また、パケットへのアクセ
スをプロセスに許可する前に、セキュリティを正しくチェックすることができる
。セキュリティ情報を組み込まれていないパケットがネットワークから届いた場
合、または、組み込まれた情報を全てを無視するように信用サーバシステムが構
成されている場合には、システムが、システム管理者によって構成された内部テ
ーブルに基づいてデフォルトセキュリティ属性を追加する。従来技術では、デフ
ォルトセキュリティ属性のセットを決定するために、このようなテーブルが、パ
ケットのソースホストのＩＰアドレスと、パケットが届けられたネットワークイ
ンタフェースを使用した。信用サーバはこれに、インタフェース、ソースネット
ワーク/サブネット、ソースＩＰアドレスと共に、ポート番号（ＨＴＴＰ、ＦＴ
Ｐ、ｔｅｌｎｅｔなどの様々なネットワークサービスを特定する）および/また
はプロトコル（ＴＣＰまたはＵＤＰなど）を使用できる機能を追加した。さらに
、信用サーバでは、管理者は、システムから送信される、また、システム内に受
信されるパケットに個別の規則を設けることできる。これらの規則は、入ってく
る、ラベル付けされていないパケットにデフォルト情報を提供するためだけでな
く、パケットを特定のネットワークインタフェースに、または特定のホストまた
はネットワークに送受信を認可すべきかどうかを決定するために使用される。こ
のシステムのプロセスまたはコンポーネントは、ソフトウェアコンポーネントを
用いて実現することが、あるいは、プロセスを組み込んだマイクロプロセッサを
活用することができる。

【００６２】ＵＮＩＸ実装の好ましい実施例では、信用サーバシステムは、デフォルトiノ
ード構造情報に加えて、既に記憶されている、ファイルに関連した属性ラベル情
報を検索するためにリンクを設けた、本発明のカーネルプロセスを実行するコン
ピュータを備えている。別の実施例では、iノード構造を、記憶装置の別の部分
を（パーティション）に記憶されている別の情報を見ることなく、本発明のシス
テムの処理ルーチンがアクセスできるようにラベル情報を直接包含するべく修正
している。カーネルは、プロセスが記憶装置からファイルを呼び出す毎に、この
ラベル情報を検索するように適合される。ユーザの基本の権限と許可がファイル
の実行を許可し、システム内に拡張した属性がユーザにそのレベルの情報へのア
クセスを許可する場合には、このラベルにより、プロセッサは、その参照ロケー
ションに記憶されたファイルを直接検索することができる。システムは、プロセ
スと認可の関係を記憶するための記憶装置手段と、ローカルプロセッサまたは遠
隔地にいるユーザから受信した要求を翻訳するためのプロセッサ手段とを備えて
おり、このプロセッサ手段は、リソースへのアクセス可能性を決定するための、
また、ユーザのデータの要求を適切な場所へ誘導するためのアップグレード/ダ
ウングレードエンフォーサと、レガシーアプリケーションと要求プロセスの間の
適切な通信を規制およびチェックするためのセキュリティゲートとを装備してい
る。

【００６３】図１およびプロセス図を参照すると、パケットがネットワークインタフェース
１に到着すると、アドバンスト・セキュア・ネットワーキング（ＡＳＮ）コンポ
ーネントがこれに、属するコンパートメントを表示したラベルを指定する。コン
パートメントは、そのＩＰアドレスを介してアクセス可能なデータを示している
。ラベルはインターフェースまたはソースホストアドレスに基づき指定される。
ネットワーク層暗号化を用いてパケットが認証されない限り、ホストアドレスは
絶対に信用されない。アップグレード/ダウングレードエンフォーサ４は、指定
されたラベルを使用して、パケットの保護方法を確立し、適切な宛先を決定する
。

【００６４】ＵＤＥ４の役割は、入力される要求の各々を調べ、これを適切なサービスへ転
送することである。ＵＤＥは密接に統合された信用プログラムであり、他のプロ
セスやプログラムとは違って、異なるセキュリティパーティション間でパケット
を通過させることができる。ＵＤＥは決定をする上で次の３つの要素を調べる。
ＡＳＮが（ＩＰアドレスおよび/またはネットワークインタフェースに基づいて
）パケットに付加したラベル、要求されたＵＲＬ、ユーザ認証モジュールの認証
の試みが成功した結果現れたあらゆる「認証されたクッキー」。

【００６５】セキュリティゲート８（図1を参照）プログラムは、２プロセス間、またはプ
ロセスとネットワークインタフェース間の制限された通信を認める特別なプログ
ラムである。その構造ファイルは、宛先ＳＬとポートと共に、ソースＳＬとポー
トを指定する。一般的な構造では、ソースおよび宛先ＳＬはディスジョイントで
あり、つまり、両端は相互に作用することが決してできない。セキュリティゲー
トプログラムには、両方よりも大きなＳＬが与えられている。また、ＳＬセキュ
リティチェックを無視する特権と共に、両エンドポイントを含むＳＬ範囲も与え
られるが、その範囲内に含まれるＳＬのみに限定される。

【００６６】ＵＤＥ（アップグレード／ダウングレードエンフォーサ）プログラムは、セキ
ュリティゲートよりも複雑である。入ってくるパケット（システムに到達した際
に、セキュリティ属性を指定されている）を、そのＳＬを修正した形で別のポー
トへ送信することができる。ＵＤＥは、どのアクセスを許可するか決定するため
に、構造ファイルと「規則」のファイル使用する。ＵＤＥはＨＴＴＰトラフィッ
クまたはその他のプロトコルを通過させることができる。ＵＤＥは、ＨＴＴＰト
ラフィックが到着すると、１）ヘッダ内の「クッキー」の存在、２）指定された
ＵＲＬ経路、３）宛先ポート、４）パケットのＳＬ、についてパケットを調べる
ことができる。ＵＤＥは、この情報と規則データベースに基づいて、新規のＳＬ
と、新規のポート番号とネットワークアドレスをそのパケット用に選択すること
ができる。ＵＤＥの複数のコピーを1つのシステム上で実行することができる。
ＵＤＥは、これを流れるトラフィックのＳＬを変更できなければならないという
特権を持っている。

【００６７】さらに、ＴＣＢ２１８（信用計算ベース）機構というセキュリティ機構が信用
サーバによって提供される。信用サーバは、「マルチユーザ」または「単一ユー
ザ」モードであるという既存の概念をとり、これをＯＳ自体に拡張している。標
準のＵＮＩＸシステム上では、これらのモードの違いは、単にどのサービス（シ
ステムプロセス）が実行されているかということである。モード間の切り替えは
、単純にプロセスを停止または開始することで行う。信用サーバシステム上で、
標準のプライマリシステムプロセス（“ｉｎｉｔ”と呼ぶ）は、システムが実行
（安全）モードまたはメンテナンス（安全性の低い）モードのいずれかにあるこ
とを表示するために、内部ＯＳフラグ２１８を変更するべく修正されている。オ
ブジェクトを「ＴＣＢオブジェクト」であると考慮するために、各ファイルシス
テムオブジェクトのｉノードにフラグがさらに追加される。「ＴＣＢオブジェク
ト」であるとは、システムが実行モードにある場合、読み出しのためにこのオブ
ジェクトを修正または開くことができないということである。

【００６８】さらに、信用サーバシステムにより、システムモードによって、様々なセキュ
リティ機構（ＳＬ機構など）をオンまたはオフにすることができる。そのため、
システム管理者は、各モードにおいてどのセキュリティが有効であるかを定義す
るために選択を行うことができる。

【００６９】本発明の信用サーバは、ＵＮＩＸオペレーティングシステムに関連して説明さ
れる。その他のオペレーティングシステムでも、本発明のセキュリティ形態を利
用して、ワークステーション、メインフレーム、パーソナルコンピュータ、計算
可能な装置、無線通信装置のようなあらゆるタイプの計算装置に安全なオペレー
ションモードを提供することができる。本発明のオペレーションシステムは、シ
ステムが管理モードまたは安全オペレーションモードのいずれかにおいて実行さ
れ、ファイル記憶構造と実行されるプロセスがコンピュータシステム上の内容を
管理する安全性の高い方法を許容するべく修正されるＵＮＩＸオペレーティング
システムに基づいた基礎を有することが好ましい。

【００７０】データオブジェクトという用語は、プロセスが実行されるあらゆる内容を総称
的に表すために使用され、また、これをプロセスに追加的に適用し、実行するイ
ベントのパラメータが、そのプロセス段階の実行以前にチェックされるようにす
ることもできる。このシステムは、実行する各イベントが、上述したコンポーネ
ント（ＡＳＮ、ＵＤＥ、セキュリティゲート）の各々を備えた、あるいは、これ
らのコンポーネントの各々が、協働する形で個別に実行される1つの中央イベン
ト制御装置によって扱われる状況で実現することができる。本発明の信用オペレ
ーティングシステムは、ＳＬをサポートし、ユーザまたはプロセスが特定のオブ
ジェクトまたはリソースにアクセスできるかどうかを決定するためにこれらを使
用する。ユーザまたは特権を持たないプロセスがＳＬの修正を行うことはできな
いため、ユーザの服従に頼ることなく、システムのセキュリティポリシーが実施
される。システム施行ラベルを用いたこのアクセス制御は、命令アクセス制御（
ＭＡＣ）と呼ばれる。

【００７１】本発明のオペレーティングシステムの安全を保つべく実現される別の規制は、
ルートアカウントが、システム管理に関連した全てのプロセスを実行するべく許
可されないスーパーユーザ（ルート）特権のセグメンテーションを必要とする。
代わりに、この特権が多数の小型の特権に分割される。そのため、バックアップ
プログラムがあらゆるファイルを読み出すことができるが、この特権を、システ
ムのシャットダウン、ファイルの修正、ランダムネットワークパケットの送信に
使用することはできない。1つの強力な機構の代わりに多数の制限付き機能を使
用することは、従来技術では最下位特権の原則と呼ばれている。

【００７２】本発明の信用オペレーティングシステム上では、ユーザではなくプログラムに
特権が与えられる。バックアッププログラムには、ジョブを実行するのに必要な
特権のみが与えられ、これによって開始されるプログラムはバックアッププログ
ラムの特権を引き継ぐことはできない。特定のユーザは、ある特定のプログラム
を実行する権利を有することができるが、そのユーザのセッションは何らの特権
も持たない。特権を備えたプログラムはほとんどなく、その能力は限られ、注意
深く制御される。最下位特権を使用することで、標準オペレーティングシステム
で共通に報告されているほとんどのセキュリティ問題を排除することができる。
特定のスーパーユーザバグが修正されなくても、バグを使用するこの信用オペレ
ーティングシステム上では、悪質なユーザが全てのシステムセキュリティをバイ
パスすることは許可されない。

【００７３】この信用オペレーティングシステム上では、ラベリングとＭＡＣが、ファイル
およびプロセスレベルに加えて、ネットワークインタフェースレベルで適用され
る。例えば、ウェブブラウザのようなアプリケーションは、一般に、プログラム
が応答し、インターネットネットワーク接続を介して送信される情報を生成する
そのアプリケーションプログラムに定められたデータを識別するために、特定の
ネットワークインタフェースを聴取するように構成される。本発明では、信用サ
ーバは、アプリケーションをマシンのネットワークと直接接続させず、その代わ
りに、ＵＤＥがネットワークアダプタと相互動作し、アプリケーションのネット
ワークサービスのフロントエンドとして機能するべく直接インタフェースする。
この方法では、好ましい宛先経路、またはネットワークサービスコンポーネント
に通信をルーティングする前に、ラベル、特権、認可が決定および適用される。
例えば、インターネットから入力されるパケットについては、段階３１０で、段
階３００（図５）で要求されたホストＩＤ、段階３０４で要求されたプロトコル
、段階３０６で要求されたポート番号に基づいてラベルが決定される。受信した
組み合わせ用の通信セキュリティレベルがない場合には、ネットワークに、プロ
トコルの一致（段階３１４）とポートレンジ（段階３１６）が存在するかどうか
を決定するためにチェックが実行される。段階３１６に一致が見つかると、段階
３２２において、関連するセキュリティラベルがパケットに適用される。次に、
事前に付加されたラベルに基づいて、ＵＤＥの前にこのパケットが送信され、こ
のパケットが、聴取者が聴取するべく構成された関連の出力宛先へ送信される。
この時点で、このラベルを、より広範囲な規則のセットに従ってパケットを転送
するように、ＵＤＥにより修正してもよい。

【００７４】図８は、出力パケットをドロップするため、また、システムがホスト（段階４
００）、プロトコル（段階４０２）、ポートレンジ（段階４０４）、ＳＬ（段階
４１０）、ネットワークインタフェース（段階４１４）を認識している場合には
パケットの送信を許可するために、同様の確認段階を使用する出力パケットの処
理段階を示す図である。出力パケットは、これを作成したプロセスまたはデーモ
ンのラベルを有する。パケットのＳＬがインタフェースと遠隔ホストの両方に有
効でない場合には、入力あるいは出力パケットがドロップされる。さらに、ＳＬ
をパケットヘッダ内に挿入して、信用オペレーティングシステムがネットワーク
にかけてセキュリティ情報を共用できるようにすることも可能である。

【００７５】次に図６を参照すると、受信する通信のタイプに基づいて、ＵＲＬがインター
ネットベースの通信を要求し、ＬＡＮまたはＷＡＮネットワーク要求が処理され
る段階３５０においてＵＤＥモードが決定される。既知のユーザに、そのユーザ
の前回のアクセス中に記憶された情報を指定するクッキーが、段階３７０におい
て利用可能である場合には、段階３７４でクッキーの有効性がチェックされる。
クッキーが有効である場合、段階３９０で、ユーザ要求を適切な宛先アドレスに
と、アプリケーションの聴取者が聴取するように構成されたポートに送信するた
めに、センシティビティラベルが、データベースに記憶されたデータに従って変
更される。クッキーがない、または無効であった場合には、選択された供給宛先
とセンシティビティラベルＳＬがこの時点で決定され、また、クッキーが適切で
あった場合には、要求が段階３９０へ送信される。さらに適切でない場合には、
適した宛先がアレンジできている場合には、要求を別の場所へ送信するために、
段階３８６でＵＲＬがセンシティビティラベルとの組み合わせにおいて使用され
、そうでない場合には接続がドロップされる。ＵＲＬを使用しない通信は、段階
３５４で、ＳＬと共に要求された宛先と事前に定義した適切な組み合わせのテー
ブルとを比較して扱われ、適切な組み合わせが見つからない場合には段階３５６
においてドロップされる。要求がＳＬと正しく一致すると、次に、段階３６０に
おいて、ＳＬが、表示された改訂ラベルとポートアドレスに変更され、ここで、
データがアプリケーションを聴取できるようになる。

【００７６】図７は、ＵＤＥが、最初に付加されたラベルに基づいて、要求を別タイプのデ
ータに送信するために使用する構造ファイルの１例を示す。このファイルは、通
信が受信され、ユーザのコンピュータに記憶されたクッキーの内容に従って要求
を転送する、ポートへのリファレンスを含んでいる。

【００７７】上述したセキュリティゲート８（図1を参照）プログラムは、２つのプロセス
間、またはプロセスとネットワークインタフェース間の通信を制限する特別のプ
ログラムである。その構造ファイルは、あて先ＳＬとポートと共に、ソースＳＬ
とポートを指定する。例えば、ウェブサーバ５００で処理され、安全なパーティ
ション内にある別の情報へのアクセスが必要な要求が、セキュリティゲート５０
４（図９を参照）によって処理され、ここでは、オリジナルのＳＬにある要求５
０２が、より高いＳＬレベルで動作しているセキュリティゲート５０４によって
受信される。許可された要求は、バックエンド・データベースサーバ５１０の認
可されたＳＬと一致するように、そのＳＬをＳＬ１からＳＬ２へ修正されていて
もよい。上述したように、ＳＬはディスジョイントであり、つまり、両者はいか
なる形でも相互作用することができない。そのため、セキュリティゲート５０４
プログラムに、両者よりも大きなＳＬレンジが与えられる。さらに、両エンドポ
イントを含むＳＬレンジが、ＳＬセキュリティチェックを無視するが、そのレン
ジ内のＳＬに限定される特権と共に与えられる。この方法で、要求に反応してデ
ータを生成するために、システムの異なるパーティションまたはコンピュータか
らのデータが要求に従って結合される。ユーザへと戻る経路上で、セキュリティ
ゲートは、応答を要求側のウェブサーバ５００へ戻すために必要なラベル翻訳を
実行する。

【００７８】ＵＮＩＸオペレーティングシステム用のこのシステムの１例では、修正された
Ｉｎｉｔカーネルの代わりに、プログラム、ネットワークリソース、実行可能な
プロセスに関連したファイル属性が、改訂したロールベースの認可手順と動作す
るべく修正された標準オペレーティングシステムを使用している。従って、本発
明が提供する機能は、各プロセスがユーザのロールと比較される場合に通信を処
理するプロセスの確認と、プロセスに許可された特権を拡張するものである。

【００７９】図１０は、異なるコンパートメントまたはパーティションへのアクセスを許可
する、適用される様々な類別に関連したラベルを表示した、単純なセンシティビ
ティラベルのテーブルのサンプルである。例えば、セキュリティゲートがこのテ
ーブルを使用して、要求を、別のコンピュータや、同じコンピュータの別のパー
ティション内に位置するために直接アクセスできないデータへと送信されるよう
にすることができる。

【００８０】図１１（バイナリフロー）を参照すると、プロセスがファイルを実行する場合
、信用サーバが、実行前にプロセスとファイルの両方に質問をする。プロセスと
ファイルのセキュリティ属性は、図４に示すように既に確立されている。（図４
中の２００は、図１１中の６００と関連している。）

【００８１】段階６００で許可ビットがチェックされ、次に、プロセスＳＬ（２７２）がフ
ァイルＳＬ（２９２）と等しい、またはこれよりも大きいことを確定するために
、段階６０４でＳＬラベルが確認される。

【００８２】段階６０８で、アクセス認可セット（２８０）に挙げられたアクセスの少なく
とも１つを有するかどうかを決定するために、データベース内でプロセスユーザ
ＩＤ（ＵＩＤ）（２６２、図示せず）が調べられる。

【００８３】これまでの確認段階のいずれかが失敗していると、バイナリプログラムを実行
する許可が拒否される。

【００８４】段階６１２で、信用サーバが、プロセスＵＩＤ（２６２）に関連した認可を特
権認可セット（２８２）と比較する。プロセスＵＩＤ（２６２）が特権認可セッ
ト（２８２）に挙げられた認可の１つまたはそれ以上を有する場合には、段階６
２０で、信用システムが、ファイルの固有特権（２８６）と認可された特権に記
載された特権を持ったバイナリを実行する。プロセスＵＩＤ（２６２）が、特権
認可セット（２８２）に記載された認可のどれも持たない場合には、段階６１６
で、信用セットが、ファイルの固有特権（２８６）に記載されているが、特権認
可セット（２８２）には記載されていない特権を持ったバイナリを実行する。

【００８５】認可データベース内のＵＩＤ認可とファイルの特権セットの組み合わせは、プ
ロセスＡがファイルを実行する際に得られるプロセスＢを与えられる特権を決定
する。例えば、特定のプロセスＵＩＤ（２６２）に、認可データベース内のＭＡ
ＫＥＩＤＢ認可が与えられてもよい。（ＭＡＫＥＩＤＢ（２８０）値は、特定の
動作を実行するための認可を持ったプロセスを許可する、定義されたロールを参
照することができる。）プロセスＵＩＤ（２６２）がＭＡＫＥＩＤＢ認可（２８
０）を持っている場合には、プロセスが図４のファイルを実行した際に、ファイ
ルが実行する。プロセスＵＩＤがＤＥＢＵＧもＭＡＫＥＩＤＢも持っていない場
合には、そのプロセスは図４のファイルを実行することができない。

【００８６】さらなる例として、プロセスのＵＩＤがＡＵＤＩＴＳＹＳ認可を持つ場合には
、そのプロセスがテーブル４のファイルを実行した際に、結果として得られるプ
ロセスに、ファイルの認可された特権（２８４）、この場合はＰＶ＿ＰＶ＿ＦＩ
ＬＥが付与される。（ＰＶ＿ＰＶ＿ＦＩＬＥは、プロセスにファイルの特権を変
更させる。）そのため、ＡＵＤＩＴＳＩＳ認可を備えたＵＩＤを持つプロセスが
図４中のファイルを実行すると、その結果のプロセスは、ファイルの特権を変更
する特権を有することになる。しかし、ＵＩＤがＡＵＤＩＴＳＩＳもＢＯＯＴ認
可も持っていないプロセスが図４中のファイルを実行する場合には、その結果の
プロセスは、ファイルの特権を変更する特権を有さない。これらの例は、このシ
ステムによって提供された機能をデモンストレーションするために使用され、こ
の方法論の潜在的使用を抑制することを意図するものではない。

【００８７】本システムは、特権を持たないホストまたはインタフェースから入ってくるト
ラフィック用の「デフォルトウェブサイト」７を備えている（図１）。悪質なユ
ーザがウェブサイトを破壊または改悪することを阻止するために、ウェブページ
を読み出し専用パーティション内に個別に記憶することができる。これにより、
悪質なユーザが、ＣＧＩスクリプトのような、商用ウェブサーバまたはウェブア
プリケーション内のホールを使用して、サイトのウェブページにダメージを与え
ることを不可能にする。エクストラネットのウェブサーバでは、ＵＤＥ４とデフ
ォルトウェブサーバ７を別々のハードウェアプラットフォーム上に設け、安全ネ
ットワークサービスを用いてこれらを接続することができる。

【００８８】信用サーバシステムの認証モジュール９を、アクセスを許可する前に、ユーザ
にユーザＩＤの提示と、サイトが定義可能な認証応答（例えば、パスワード、バ
イオメトリックデバイス、スマートカード、またはアクセストークンチェック）
を要求するように構成することができる。ユーザが認証されると、ＵＤＥにより
、後続のウェブ要求が認証されたセッションの１部として識別され、別の規制さ
れたパーティションとの通信が許可される。

【００８９】ここで、図１６のアーキテクチャにおけるデータの流れを、エクストラネット
環境、バックエンド/レガシー・アプリケーションサポート、認証コンポーネン
トの使用の３つの例を用いて説明する。

【００９０】次に図１３を参照すると、本発明は、互いに隔絶された２つまたはそれ以上の
センシティブウェブサイトをホストするエクストラネットサーバとして構成する
ことができる。エクストラネットウェブサーバの仮想分離により、管理者はシス
テムを、同一のＵＲＬを用いてアクセスするユーザが、異なるウェブページを得
られるように構成することができるようになる。

【００９１】この構造の１例は、従業員、顧客、株主、その他の人達がアクセスできる企業
ウェブサーバである。情報のセンシティビティは各カテゴリによって異なるため
、データ保護が重要な問題となる。この場合、システム上で実行されている３つ
のウェブサーバ（エクストラネットＡ、エクストラネットＢ，エクストラネット
Ｃ）に安全なエクストラネット機能を提供するために、セキュアサーバが使用さ
れる。関連するコンポーネントは、ＳＫＩＰを介したＶＰＮ２０、アップグレー
ド/ダウングレードエンフォーサ４、信用サーバ２２である。

【００９２】段階１００で要求がシステムに入力されると、この要求はまず、段階１１０で
暗号化モジュール（ＶＰＮ）２０を通過する。暗号化モジュール２０は、段階１
１２において、要求のＩＰアドレスを認証する。次に、段階１３０において、Ｉ
Ｐアドレスに基づいてこの要求にセンシティビティラベルが指定されるか、また
は、要求のＩＰアドレスが、段階１２０でＡＳＮによって認識された特別なアド
レスでない場合には（つまり、そのＩＰアドレスへのエントリがホストレンジテ
ーブル内にない場合には）、デフォルトラベルが使用される。最終的な宛先を決
定するためにポートが使用され、また、図５を参照して既に説明したように、Ｓ
Ｌが指定される。

【００９３】次に、段階１４０にて、要求がアップグレード/ダウングレードエンフォーサ
（ＵＤＥ）４へ送られる。ＵＤＥ４は、その要求のセンシティビティラベルを検
索し、ラベル付けされたパケットを関連するウェブサーバへ送る。例えば、入力
された要求にセンシティビティラベル“ＥｘｔｒａｎｅｔＡ”が指定されている
場合、段階１４２で、ＵＤＥ４がこの要求をエクストラネットＡウェブサーバ２
４へ転送する。エクストラネットＡウェブサーバ２４は、“ＥｘｔｒａｎｅｔＡ
”とラベル付けされた接続のみを受け入れる。図６は、実際に実行される段階を
より詳細に示したものである。これ以外の要求は全て拒否され、インターネット
からこのウェブサーバへの直接接続が阻止される。

【００９４】別の例は、ＥｘｔｒａｎｅｔＡ２４とＥｘｔｒａｎｅｔＢ２６の２つのエクス
トラネット環境にアクセスできるＩＰアドレスからの要求である。まず、段階１
１０で、ＩＰアドレスが確認され、ネットワークパケットが暗号化される。次に
、ＡＳＮモジュールが、この要求に“ＥｘｔｒａｎｅｔＡ、ＥｘｔｒａｎｅｔＢ
”のセンシティビティラベルを指定する。段階１１２でＩＰアドレスが確認され
、段階１３０でＳＬが指定された後、段階１４０にて、要求がアップグレード/
ダウングレードエンフォーサ（ＵＤＥ）へ送られる。ＵＤＥ４はこのＵＲＬ要求
をパースし、どのウェブサーバがこれを受け入れるべきかを決定する。次に、Ｕ
ＤＥ４は、要求のＳＬを、宛先ウェブサーバのＳＬと一致するように変更し、次
に、許可、アクセス、認可がこの変更を許可すると、要求を適切なウェブサーバ
へ送信する（段階１４２または１４４にて）。

【００９５】このアプローチは、エクストラネットサーバに直接接続しようとするあらゆる
試みを無効にし、アクセスはＵＤＥ４を介してのみ認められる。サーバは隔離さ
れた環境で動作しているため、エクストラネットサーバソフトウェア内のバグを
利用しようとする試みがそのサーバ上の他のアプリケーションに悪影響を与える
ことはない。

【００９６】セキュリティゲートを用いて、このシステムを、ウェブインタフェースとバッ
クエンド・アプリケーション間に安全な接続性を提供するように構成することが
できる。ウェブサーバは、バックエンド・アプリケーションからのグラフィック
形式での情報を表示することのみを目的として機能し、公共または企業ネットワ
ークによってアクセス可能である。例えば、ある銀行が、全ての顧客にインター
ネットバンキング機能を利用してもらいたいと希望したとする。顧客の中に悪質
な人物がいるかもしれないという危機から、ウェブサーバとバックエンド・アプ
リケーションを別々の仮想環境内に分離することで、センシティブデータを保護
する必要がある。このシステムは、これらにアドレス指定をするための安全な方
法を提供する。セキュリティゲート８コンポーネントを用いれば、ウェブサーバ
とバックエンド・アプリケーション間に直接データが流れることはない。全ての
要求はセキュリティゲートを通過し、ここで、要求され、システムによって許可
されたデータにアクセスする必要がある際に、要求のセンシティビティラベルが
バックエンド・アプリケーションのレベルに上げられる。

【００９７】図１４は、統計的なウェブページを表示するため、また、バックエンド・アプ
リケーションへの接続性を提供するために使用されるウェブサーバを示している
。段階１６０にて、情報はセキュリティゲートを通過する。バックエンド・アプ
リケーション内のデータが独自のコンパートメント内に常駐し（独特のセンシテ
ィビティラベルを有する）、バックエンド・アプリケーションがセキュリティゲ
ート８を介してしかアクセスできないようにする。このアプローチを用いること
により、インターネットインタフェースから内部インタフェースへ、またはその
逆において、情報を直接送信しようとするあらゆる試みが無効とされる。

【００９８】特定のユーザが使用するＩＰアドレスをサーバが常に予想することは不可能で
ある。例えば、再び図１６の頂部を参照すると、ユーザは、ダイナミックＩＰア
ドレス指定を使用しているサービスプロバイダ（ＩＳＰ）と接続することができ
る。また、ユーザは、公共の「情報キオスク」から、またはどこか他の場所にあ
るマシンから接続することも可能である。このような場合には、ユーザに、規制
されたウェブサーバまたはアプリケーションへのアクセスを許可できることが重
要である。認証モジュールは、ユーザをシステムへ認証させ、後続するユーザの
セッション内にある全ての要求を適切な規制されたサービスへと送信する。段階
１１２でＩＰレベルの認証を使用できない場所から接続しているユーザは、段階
１２０でデフォルトウェブサーバへ送られる。デフォルトウェブサイトによって
、段階１２２での認証モジュールへのアクセスが可能になる。認証モジュールは
、個別のコンパートメント内で実行されている保護されたアプリケーションであ
り、セキュリティゲートを介してのみアクセスすることができる。

【００９９】好ましい実施例では、認証モジュールの相互作用は、全てのセッショントラフ
ィックを暗号化するためのＳＳＬを使って保護されている。ユーザが認証される
と、段階１２４で認証モジュールが秘密のマーカ（クッキー）を提供する。次に
、この秘密のマーカはが、本システムとの通信におけるユーザのブラウザによっ
て挿入される。さらに、認証モジュールは、段階１２８において、マーカのＵＤ
Ｅと、関連するセンシティビティラベルに通知を行う。ユーザが認証されると、
ＵＤＥがユーザの入力要求を、適切な規制されたウェブサーバへ転送する。ＵＤ
Ｅはマーカ上のタイムアウトを施行する。ＵＤＥが、タイムアウト時間よりも長
い時間においてマーカを見つけられなかった場合には、マーカは無効となる。接
続を復元するには、ユーザは、段階１２２で再び認証モジュールを使用しなけれ
ばならない。

【０１００】図１５は、最初にデフォルトウェブサーバを介して認証モジュールへと流れ、
その後、ＵＤＥによって規制されたエクストラネットへ転送されるトラフィック
を示す。

【０１０１】ネットワークを区分する機能は、クリティカルなネットワークおよびトランザ
クションサーバをサポートするのに必要なレベルの確実性を提供する上での、本
発明の信用オペレーティングシステムのキーコンポーネントである。次に図１２
を参照すると、同一のセンシティビティラベルを有するプロセス、ファイル、そ
の他のリソースは、同一のコンパートメントまたはパーティション１１内に存在
すると思われる。プログラム、データ、ネットアークインタフェースを、パーテ
ィション間のアクセスが規制された、別々の隔離されたパーティションに分ける
ことができる。例えば、特定の機能に関連したバックエンド・アプリケーション
を、相互に、また、一般人がアクセスできる、外的アクセス可能なコンパートメ
ント１１から隔離された別々のアプリケーションコンパートメント１２、１３に
記憶することができる。あるコンパートメントに関連したパケットは、別のパケ
ット内のアプリケーションまたはネットワークサービスが読み出しや妨害を行う
ことはできない。システムが、異なる部門からのユーザや、別のインタフェース
やホストと相互作用するネットワークデーモンのような異なるクラスのユーザお
よびジョブを扱う場合、区分は重要なセキュリティ機能である。

【０１０２】ユーザが信用サーバに接続する際、または、信用サーバを介してデータを要求
する際に、そのユーザが現在実行されているロールまたはセンシティビティレベ
ルと同格での実行を許可されたということで、プロセッサがユーザをプロセスの
テーブルと関連付ける。プロセスによっては、ユーザが公共のインターネットウ
ェブページにアクセスする時のように、アノニマスで実行できるものもある。信
用サーバはアノニマスなユーザをパーティションへ誘導し、ここで、ユーザ要求
に低レベルセンシティビティラベルが指定される。個別のパーティションが、実
行またはビューが可能である使用可能なプロセスまたはファイルを独占的に規制
する。プロセスはセキュリティ機構によってバインドされ、ここで、ｈｔｔｐの
ようなサービスが、コンピュータの構造の限られた部分へのアクセスを許可する
。

【０１０３】プロセステーブルは、ユーザを個々に、またはロールにおいて記述することが
できる、そのプロセスに関連した１組のユーザ認可特権を追加的に有することが
できる。制御されたリソースへアクセスを許可する前、また、要求されたプロセ
スを実行する前に、この第２の特権と認可情報をチェックするためにカーネルが
採用される。

【０１０４】好ましい実施例では、プロセステーブルは、信用サーバに記憶されている、暗
号化された読み出し専用データ構造のファイルである。このテーブルの管理と制
御は、システムのメンテナンスモードにおいてアクセスされることが好ましい。
管理機能は、許可されたユーザが、管理モードにある際にメンテナンスモードを
実行できるように、信用サーバの記憶装置内の個別のパーティションに記憶され
る。

【０１０５】認可は、信用オペレーティングシステムにおけるユーザアカウントの属性であ
り、ユーザにオペレーティングシステムアプリケーションおよびユーティリティ
のサブセットの実行を可能にさせるものである。特権は、アプリケーションに指
定された属性であり、アプリケーションに、プロセスまたはリソースへの異なる
等級のアクセスを提供する。この２組の属性を一緒に使用することで、プログラ
ムが、使用するユーザによって動作を変更することができるようになる。アプリ
ケーションを、ユーザに許可を与えるためにアプリケーションとオペレーション
プラットフォームを通信させる標準化されたプロトコルを提供することで、新規
の認可を定義およびチェックするべく拡張することもできる。さらに、管理デュ
ーティを、後に異なるユーザに指定される別々のロールに分割するために認可を
使用することもできる。

【０１０６】システムのユーザは、特定のロールからプロセスを実行することができ、次に
、このプロセスが、最初のユーザまたはシステム要求から許可されると、プロセ
ッサにより送信または受信された最初の要求を追跡するプロセスに、認可のセン
シティビティレベルを指定する。Ｏ/Ｓのカーネルは、特定のロールのセッショ
ン中にはユーザに最新のユーザＩＤ情報を変更させない。この方法では、要求さ
れたタスクを実行するのに必要なロールまたは特権レベルが、要求を受信する最
下位プロセスのみが、次の、要求またはプロセスにサポートされた最高レベルの
プロセスへの通過を許可されるように制限される。例えば、データベースアプリ
ケーションから印刷要求を開始するユーザが、まず、データベースの、ユーザの
ロールに基づいてビューを許可される部分のみへのアクセスを許可される。デー
タベーステーブルの各行は、その記録を見るために必要な認可レベルまたはロー
ルを反映する拡張された属性を有することができる。これは、その行へのデフォ
ルト許可が、その行を挿入したユーザのレベルに関連する行挿入ポイントにおい
て定義される。この方法では、検索される記録のレベルを決定するために、この
レポートがユーザのロールを決定する。次に、印刷プロセスはデータベース中の
そのロールのレベルに関連した行だけを印刷させられる。続いて印刷プロセスは
初期化され、その後、送信者のレベル、検索したデータのレベル、またはユーザ
が選択したプリンタデバイスのレベルで実行される。例えば、ユーザが、離れた
場所にあるために、プリンタへのルート上の内容を適切なレベルの安全性で保護
することができないプリンタを選択した場合、プリンタと選択されたルートがサ
ポートすることができるレベルのデータのみが最終的にプリンタへ送信される。
生成または実行された任意のコマンドは、最下レベルのプロセスのロールしか受
信しないため、印刷プロセスは、データストリームに隠されているかもしれない
、組み込まれた高レベルのプロセスコマンドを実行するその他のトランザクショ
ンを実行することは許されない。賢いユーザまたはハッカーが別のプロセス段階
にコマンドを組み込めたとしても、システムは、指定されたプロセスレベルを超
えるトランザクションを許可しない。これは、システムの主な管理機能は、シス
テムの記憶装置パーティションから、セキュアモードで実行または使用すること
ができないためである。従って、プリンタ処理段階は、推測されるロール内で、
このロール以外のプロセスを開始しないように指示される。

【０１０７】インターネットベースのウェブユーザがファイアウォールの後ろにあるリソー
スへのアクセスを要求する例では、システムはまず、元来指定されているレベル
から、要求の誘導方法と、開始するために許可するべきプロセスを決定する。ユ
ーザのレベルが認可されたものでない場合には、要求した情報は利用できない旨
のメッセージがユーザに提示される。ユーザは、要求されたデータが見つからな
いか、または、ユーザは追加のセキュリティアクセスプロセスを使って再度ログ
インすることができるというメッセージを受け取る。

【０１０８】ネットワーク層暗号化は、このアーキテクチャのオプションコンポーネントで
ある。ＨＴＴＰセッショントラフィックのみを暗号化するためにＳＳＬ（Ｎｅｔ
ｓｃａｐｅ、Ｍｉｃｒｏｓｏｆｔその他によりサポートされている）を使用する
ため、ネットワーク層暗号化コンポーネントの主な目的はＩＰアドレスを認証す
ることである。特定の機能（例えば、管理ツールや、規制されたエクストラネッ
トウェブサーバ）へのアクセスを、ユーザがどのホストから来ているかに基づい
て許可する場合には、ホスト認証が重要となる。このシステムではあらゆるネッ
トワーク層暗号化モジュール（ＶＰＮ）を使用することができるが、構造図では
ＳｕｎＭｉｃｒｏｓｙｓｔｅｍのＳＫＩＰを使用している。

【０１０９】ＳＳＬプロキシ３（図1を参照）も、やはり本発明のオプションコンポーネン
トである。ＳＳＬは、セッション層の暗号化を提供する。あらゆる特定のユーザ
セッションは、ウェブアプリケーションがどのように書かれ、構成されているか
によって、ＳＳＬと非暗号化ｈｔｔｐトラフィック間の切り替えを行うことがで
きる。例えば、ユーザは、デフォルトのウェブサーバからＨＴＭＬページを検索
する際に非暗号化チャネルを使用することができるが、ＳＳＬは、センシティブ
またはプライベートな情報や要求を扱うアプリケーションによって使用可能にさ
れる。ＳＳＬプロキシは、サーティフィケート、クッキーのような全ての要求情
報を保存する。この後のモジュール、例えばアップグレード/ダウングレードエ
ンフォーサ（ＵＤＥ）４やその他のウェブサーバがこの情報使用することができ
る。このシステムは一般的なＳＳＬプロキシを使用しており、市販されているこ
れ以外のＳＳＬ製品で代用することもできる。

【０１１０】パーティションに基づいた制御アクセス方法に加えて、特定のセンシティビテ
ィレベルでシステムにアクセスするユーザが、オブジェクトを要求することで、
異なるプロセスまたはデータファイルに誘導されるようにするために、プロセス
関係を定義するべくテーブルが提供される。この方式では、ソフトウェアアプリ
ケーションスイートに制御方法を付加することができ、これにより、ユーザは自
分のセンシティビティレベルにおいてオペレーションを行ったり、データを見る
ことが許可される。これによって、例えば、階層セキュリティシステムがソフト
ウェアアプリケーションスイートに外部的に付加されるように市販のソフトウェ
ア製品を実行することができ、ここで、ソフトウェアを実行する各ユーザには、
カストマイズまたはパーソナライズされたバージョンが供給される。あるユーザ
は１組の特権で接続することができ、またあるユーザは同じアプリケーションを
別の特権で実行することができる。例えば、各個人は、そのアイデンティティと
ロールに基づいて、通常の許可ビットを持ったプログラム上にアクセシビリティ
規制を定義または配置することなく、リソースまたはコンテンツへの異なるアク
セスレベルを許可するべく、本発明のサーバ上に保存されているワードプロセッ
サアプリケーションを使用することができる。これにより、システムは、ユーザ
が使用可能なコンテンツをダイナミックに修正できるようになるが、この機能は
、一般にはワードプロセシングプログラムの許可を介してユーザに提供されるこ
とはない。これによりこのシステムは、各アプリケーションソフトウェアプログ
ラムに特定のプロプリエタリー制御方法を用いて各アプリケーションを別々に構
成する代わりに、１組のセキュリティ制御アクセスをシステム上の全てのアプリ
ケーションに適用できるようになる。このタイプの構造をオペレーティングシス
テムレベルで確立することで、システム管理者は、各々のアプリケーションの認
可機構を全て知る必要がなくなり、代わりに、本発明のグローバル制御によって
データまたはプロセスを保護することができるようになる。この方法では、属性
および認可のワンタイムアプリケーションが、ソフトウェアの実行方法を形式的
に決定することができる。同様の方法で、アプリケーションプログラムのアーキ
テクチャ内のプロセスを認可する代わりに、このワンタイム属性定義を実行する
ことで、オペレーティングシステムにおいて、実行される実際のプロセスコール
を規制的に個別に制御することができる。好ましい実施例では、システムレベル
を、認可の部門ごとの管理レベルに従って分類または定義することができる。別
の実施例では、プロジェクトマイルストーン、タイムライン、伝送イベント、ま
たはその他のシステムイベントに関連してアクセシビリティを変更するために、
スケジュールを採用することができるワークフロー式の方法論に従ってレベルを
生成および適用することができる。例えば、特定のプロセス実行段階へのアクセ
スやデータアクセス機能を選択的にロックまたはフリーズするためにプロセス段
階を確立することができる。このプロセス段階では、ユーザは、プロセス内のあ
る時点において完全な特権を有することができるが、その後、この特権が全くな
くなるか、データまたはプロセスの実行上の読み出し専用機能だけを備える。

【０１１１】ユーザがアプリケーションを実行することによりデータ要求をトップシークレ
ットコンピュータシステムに転送する信用サーバ上でプロセスを実行した後にの
み、トップシークレットコンピュータへのアクセスが許可されるコンピュータシ
ステムに、信用サーバ２２によって提供された制御を適用することもできる。こ
のタイプの制御は、他のネットワークデバイスへのアクセスや、プロセスが他の
パーティションと制御された方法で通信するマシンのパーティションへのアクセ
スを提供するためにも使用される。

【０１１２】例えば、ＨＴＴＰデーモンや関連するＣＧＩスクリプトのようなネットワーク
サービスに、ファイル（例えば、クリティカルなウェブページやＣＧＩディレク
トリ）への読み出し専用アクセスを付与することができ、また、これらのネット
ワークサービスを他のリソース（例えば、内部ネットワークインタフェース、シ
ステムファイル、他のネットワークデーモン）から完全に隔離することができる
。この方法で構成されたネットワークサーバは、たとえ、市販のソフトウェア内
に、アクセスしたユーザがマシンインストラクションのあらゆるランダムシーケ
ンスを実行できるようにしてしまう有害なバグが存在している場合でさえも、そ
のウェブページとＣＧＩスクリプトを外部接続からの修正から保護することがで
きる。ネットワークサービスから別のネットワークインタフェースおよびホスト
へのアクセスも、容易に制限することができる。

【０１１３】本発明により、複数のウェブサーバを、それぞれ隔離したパーティション内で
実行することができる。エクストラネットの各サービスへのアクセスは、ＵＤＥ
４によって規制される。さらに、本発明の全ての仮想ウェブサイトにあるように
、個々のファイルを読み出し専用として保護することができるため、本発明のサ
ーバ上にインストールした市販のウェブサーバソフトウェアスイートに使用可能
なホールが見つかった場合でも、ウェブサイトへの悪質な改悪を阻止することが
できる。

【０１１４】読み出し専用ファイルおよびディレクトリは、隔離された複数のウェブサーバ
によって共用することが可能である。これにより、共通のウェブページおよびア
プリケーションのコピーを１つ使えば済むため、ファイルのコピーを省くことが
でき、管理オーバヘッドを減らすことができる。ＵＤＥとエクストラネットウェ
ブサーバを、同じ１つの物理マシン上に常駐させたり、ＡＳＮソフトウェアのネ
ットワークレベルの暗号化機能とセキュリティ機能を用いて接続した別のシステ
ム上でエクストラネットを実行することが可能である。

【０１１５】本発明は、ローカルおよび遠隔管理の両方に設けることができる。信用管理ユ
ーティリティへは、アクセスを許可されたアカウントを持つユーザが、認可され
たホストから来ている場合のみにアクセス可能である。ＵＤＥは、ＡＳＮモジュ
ールにより付加されたラベルを使用して、入力パケットを信用管理ウェブサーバ
パーティション６へ送信することができるかどうかを決定する。好ましい実施例
では、ＡＳＮモジュールは、イントラネット内のネットワークデバイスへの管理
機能を規制する。例えば、ＵＮＩＸベースのシステムにおいて、ユーザ管理、シ
ステムシャットダウン、特権およびラベルの修正に関連した管理機能へは、シス
テムの特定の管理者が実行するＩＮＩＴ手順を用いてシステムの内部を初期化し
た際のみにアクセスすることができる。

【０１１６】本発明の信用サーバの管理は、コンソールからの直接ログインを介して、また
はネットワーク接続を介して行うことができる。ネットワーク接続は、拡張した
ＳＳＨコンポーネントを用いて、または信用管理ユーティリティを用いて実施さ
れる。管理ウェブサーバ、管理ツールおよびユーティリティへのアクセスは、管
理パーティションへアクセスできるように構成されている特定のＩＰアドレスと
特定のネットワークインタフェースのみに限定される。ＩＰアドレスは、ネット
ワークレベルの暗号化コンポーネントを使って認証される。

【０１１７】このシステムはさらに、システム管理を簡単にするためのブラウザベースの管
理ツールを提供する。管理者はＵＮＩＸシステム管理や、その他のＵＮＩＸ管理
ソフトウェアについて詳細に知る必要はない。ブラウザベースのツールは、特定
のタスクにプロセスを構成する上で管理者をアシストする要求に応じて実行され
るプロセスのマップをグラフィカルに表示することができる。記述的な情報が提
供されるため、管理者は、実行されたプロセスの履歴を見るため、または、プロ
セスへのセンシティビティレベルの適用をテストするために実行されたプロセス
の１部分のために実行されたプロセスを追跡することが可能である。さらに本シ
ステムは、システムを実際に区分する前にプロセスがロールによってセグメント
されるパーティション定義においても補助を行う。この方法で、実現の前にシス
テムをテストすることができる。システムおよびパーティションへのアクセスは
、ユーザの地理的範囲をサポートするように実現することもできる。システム内
にシミュレーションソフトウェアを統合して、所望のプロセススループットを達
成するべくあらゆる処理ルーチンを繰り返せるようにすることにより、この時点
でパフォーマンスのチューニングを実行してもよい。実際の使用中に、このタイ
プのグラフィックユーティリティは、ユーザのプロセスインタラクションと要求
を表示する上で補助を提供することもできる。この表示では、オリジナルシステ
ム内に定義された所定の経路を逸脱する全てのプロセスについて、出力が、ｅ-
メールプロセスを使って管理者へ送信される。最終的に選択され、テストされた
グラフィック表示をフリーズして、他のプロセスが許可されないようにしてもよ
い。本システムのこのグラフィックモデルは、表またはリンクされたリストの形
式に修正され、プロセスアクティビティを制御するためにＵＤＥとセキュリティ
ゲート８によって使用される。各プロセスを分析するのと同じ方法で、全体的な
システムレベル分析を実行できる。この場合、全体のプロセスパフォーマンスの
制約を決定するために、各プロセスを起源のプロセスストリームにまで追跡する
ことができる。

【０１１８】全てのタイプのインターネットトランザクションのための、信頼性の高い安全
な基準として、本発明は、全タイプのデータベースゲートウェイシステム用のト
ップシェルフ・セキュリティソリューションである。例えば、患者の病歴や処方
箋の記録を、インターネットを介して地元または遠隔地のユーザに提供したいと
希望する医療機関は、患者のプライバシーを考慮しなければならない。このシス
テムは、インターネットユーザにアクセスを認可すると同時に、プライベートな
データをオペレーティングシステムレベルで攻撃から保護するためのセキュリテ
ィフレームワークである。

【０１１９】このシステムはＵＮＩＸバージョンの標準Ｓｏｌａｒｉｓアプリケーションと
の１００％の互換性を持っているため、Ｂｒｏａｄｖｉｓｉｏｎ、Ｎｅｔｓｃａ
ｐｅ、Ｏｒａｃｌｅ、ＥｒｇｏｎＩｎｆｏｒｍａｔｉｋ、ＮｅｔｌｉｆｅＧ
ｍｂＨ、Ｎｅｏｎ、ＢＥＡ、その他を含む、市販されているあらゆる既製のバン
キングおよび電子商取引アプリケーションのためのセキュアアプリケーションプ
ラットフォームとして使用することができる。

【０１２０】バンキングソリューションに加えて、本発明は、これ以外の多数のタイプの金
融システム、例えばオンラインの仲買業務や保険オペレーションに非常に適して
いる。ウェブベースのトランザクションを分割するための安全でコンパートメン
ト化されたフレームワークを提供することにより、本発明は、産業および医療の
供給チェーン管理システムにとってさらに理想的なソリューションとなる。外部
のサプライヤおよび他のユーザによる内部サービスへのアクセスを制限している
企業は、１つのシステムを多数の専用仮想システムにトランスペアレントに区分
するパーティションを作成する。

【０１２１】製造業環境では、個々の部品サプライヤが、カスタマイズされたエントリ画面
を含んだウェブサイトにアクセスすることができ、同時に、同じシステム上にお
いて、マネージャは、ベンダー間の価格比較を容易にするため、また、出荷変数
を調整するために、セキュアパーティション内でオーダーフルフィルメント・デ
ータベースインタフェースを実行することができる。適切な認可を持っていない
通常のユーザは、その企業や製品およびサービスについて知ることができる企業
の公開ウェブサイトへ回される。パケットラベリングにより、１つのパーティシ
ョンへのアクセスを認可されたユーザは、別のパーティションにおけるサービス
へのアクセスを得ることはできない。

【０１２２】医療環境では、患者の病歴を安全に記憶し、これをインターネットを介して病
院のブランチ間で送信できると同時に、別のウェブサービスでは、認可された薬
剤師に処方箋情報を送信することができる。認可されていないユーザは、アクセ
スを完全に拒否され、組織の公共ウェブサーバに運ばれる。ラベリング機構によ
り、処方箋情報パーティションの使用を認可された薬剤師は、患者の病歴パーテ
ィション内の情報やプログラムへアクセスすることはできない。

【０１２３】本発明を、公共のネットワークにかけてアクセス可能または読み出し可能であ
るが、無認可の外部からの改悪からは完全に保護されたウェブサイトの作成に使
用することができる。本発明を使用して、読み出しアクセスは許可されるが、書
き込みアクセスは拒否されるパーティション内にウェブページを記憶することが
できる。これなら、悪質なユーザが既存の情報を変更してウェブページを破壊し
たり、猥褻な画像をポスティングしたり、ウェブサイトコンテンツを変更したり
することができないので、管理者は安心である。このシステムを採用したウェブ
サイトは、ウェブサーバアプリケーション内のバグを利用した攻撃からも保護さ
れる。

【０１２４】指定される属性のタイプは、コンピュータ上の利用可能な記憶装置によっての
み、システム内で何らかの値または制御を提供するという範囲内で制限される。
システムの管理者は、利用可能なレベルを制限するために、レベルの実用性を採
用してもよい。さらに、例えば、ユーザが、特定レベルの認可、またはあるプロ
ジェクトに関連したアクセスを用いてアプリケーションを実行する特権を持ちな
がら、同時に、第２プロジェクト上ではその同じプロセスを実行する権利を持た
ないというマトリックスベースのアクセス方法を採用することもできる。これま
で、このタイプの制御は、マルチロールユーザをサポートするようにプログラム
された特定のソフトウェアアプリケーション内でのみ利用可能であった。

【０１２５】本発明の信用オペレーティングシステムはさらに、ユーザのログインに関連し
た、拡張されたアカウントセキュリティ機能を採用し、コンピュータがランダム
に付与したプロナウンス可能なパスワードのリストを提供し、その中からユーザ
が１つを選択できるようにした。この機能は、ユーザが共通の言葉や名称をパス
ワードに使用することを防止する。システムはさらに、最大長さがシステムによ
り定義可能な（つまり３１文字）長いパスワードをサポートする。信用オペレー
ティングシステムは、ダイナミックライブラリの置換を介して、デフォルトのパ
スワード暗号化アルゴリズムを別のアルゴリズムで置換するための機構を提供す
る。識別および認可ログインプロセスを、追加のシステム専用認可チェックを含
むように拡張することができる。この１例に、ログインするために、「特別な特
権」アカウントを、追加のアカウント名およびパスワードと共に強行し、セキュ
リティをさらに強化できるプログラムがある。これ以外の向上した手段、例えば
、バイオメトリック識別またはアクセストークンも、この特徴を使って搭載する
ことができる。

【０１２６】信用オペレーティングシステムは、アプリケーションが、標準のオペレーティ
ングシステムよりも幅広いセキュリティ関連のイベントを追跡することができる
、拡張した監査機構を採用している。これらのトランザクションに関する情報が
、任意のアクセス制御機構と命令アクセス制御機構の両方によって保護された隔
離されたパーティション内の監査トレイルに付加される。このアプローチにより
、侵入者がトラックをカバーし、ペネトレーションの痕跡を消すことを防止する
。監査記録を保護することで、訴訟や法の執行をサポートするのに十分な証拠が
保持される。

【０１２７】

【発明の効果】

内在するオペレーティングシステムＡＰＩとの１００％の互換性を維持するこ
とができ、また、経費と時間のかかる統合作業を大幅に縮小することができる。

【図面の簡単な説明】

【図１】本発明のシステムの構造の概略図である。

【図２】システムのファイルのサンプルiノード構造である。

【図３】信用サーバシステムのプロセスおよびパケットのサンプルiノー
ド構造である。

【図４】プロセスパケットおよびファイルのサンプルデータを備えたiノ
ード構造の表である。

【図５】入力されるパケットのフロー図である。

【図６】本発明のＵＤＥによる処理のフロー図である。

【図７】ＵＤＥによって使用されるサンプル構造ファイルである。

【図８】出力されるパケットのフロー図である。

【図９】セキュリティーガイドの流れを示す図である。

【図１０】ＳＬとコンパートメントのサンプル表である。

【図１１】バイナリデータを実行するための処理段階のフロー図である。

【図１２】本発明の高レベルのブロック図である。

【図１３】エクストラネットアクセス例における、インタラクトするコン
ポーネントの図である。

【図１４】レガシーアプリケーション／バックエンド環境の図である。

【図１５】認証モジュールデータのフロー図である。

【図１６】本発明の処理段階のデータフロー図である。

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ )，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者ハンソン，チャド，ジェー．アメリカ合衆国 61802 イリノイズ，アーバナ，イー．ユニヴァーシティナンバー８ 2320 (72)発明者サンドーン，ランドール．ジェー．アメリカ合衆国 61802 イリノイズ，アーバナ，カントリイロード 1550 エヌ． 1779 Ｆターム(参考） 5B076 FA04 FB01 FD08

Claims

【特許請求の範囲】

【請求項１】信用サーバにおいて複数のコンピューティングデバイスから
の要求を処理する方法であって、ａ）入力されるデータオブジェクトの要求を受信する段階と、ｂ）前記入力されるデータオブジェクトの要求にセンシティビティラベルを指
定する段階と、ｃ）前記データオブジェクトに関連した第１記憶宛先において、拡張された属
性を読み出す段階と、ｅ）前記センシティビティラベルと前記拡張された属性の組み合わせに基づい
て、前記入力される要求を該データオブジェクトの第２記憶宛先へ転送する段階
と、ｆ）前記転送された要求に関連した動作を実行する段階とを有する方法。
【請求項２】前記入力されるデータオブジェクトの要求に関連する前記第
１記憶宛先を決定する段階をさらに有する、請求項１に記載の方法。
【請求項３】前記拡張された属性は、前記データオブジェクトに付加され
たセンシティビティ属性を有する、請求項１に記載の方法。
【請求項４】前記データオブジェクトは実行されるプロセスである、請求
項１に記載の方法。
【請求項５】前記入力される要求は、前記要求のソースを識別する指示を
有する、請求項１に記載の方法。
【請求項６】前記指示は前記ユーザのＩＰアドレスを表す、請求項５に記
載の方法。
【請求項７】前記要求を解読する段階をさらに有する、請求項１に記載の
方法。
【請求項８】信用サーバ上で実行する商用ソフトウェア製品のデータオブ
ジェクトに制御およびアクセス属性を指定する方法であって、ここで、該商用ソ
フトウェア製品へのアクセスは前記信用サーバによって限定的に管理され、前記
信用サーバは、ａ）該商用ソフトウェア製品を構成モードで実行する段階と、ｂ）前記構成モードにある際に、前記商用ソフトウエア製品がアクセスする少
なくとも１つのプロセスを決定する段階と、ｃ）前記データファイルおよびプロセスに指定する少なくとも１つのセンシテ
ィビティレベルのための管理者による入力を受信する段階と、ｄ）該商用ソフトウェア製品の前記プロセスおよびデータファイルに付加する
、拡張された属性を決定する段階と、ｅ）前記受信した管理者のセンシティビティレベルのための前記決定された拡
張された属性を、該商用ソフトウェア製品のプロセスおよびデータコンポーネン
トに付加する段階と、ｆ）非構成モードで使用するために、前記拡張された属性を記憶する段階と、
を実行する方法。
【請求項９】請求項６の前記信用サーバ上で前記商用ソフトウェア製品を
非構成モードで実行する方法であって、さらに、ｇ）前記信用サーバにおいて、前記商用ソフトウェア製品に関する、要求名と
アドレスの指示を備えた要求を受信する段階と、ｈ）前記商用ソフトウェア製品に関連した前記要求の前記アドレスの指示から
センシティビティレベルを指定する段階と、ｉ）前記要求から、前記商用ソフトウェア製品のために実行するプロセスの第
１場所を決定する段階と、ｊ）前記第１場所に記憶した、前記商用ソフトウェア製品の前記プロセスに付
加された属性を検索する段階と、ｋ）前記付加された属性を、前記要求に指定された前記センシティビティレベ
ルと比較する段階と、ｌ）前記検索されたプロセスを、前記付加されたセンシティビティレベルと相
関させる、要求された前記プロセスを実行する段階とを有する方法。
【請求項１０】前記要求されたプロセスを実行する前記段階は、実行する
各々のプロセスの該拡張された属性を、前記付加されたセンシティビティレベル
と比較する、請求項９に記載の方法。
【請求項１１】前記プロセスは、前記構成モード中に構成された前記プロ
セスによって定義されたものに制限される、請求項９に記載の方法。
【請求項１２】前記ユーザのロールを決定するために、前記ユーザの指示
は、前記指定されたセンシティビティレベルと共に使用される許可情報を有する
、請求項９に記載の方法。
【請求項１３】前記商用ソフトウェア製品に関連した前記要求を解読する
段階をさらに有する、請求項９に記載の方法。
【請求項１４】オーナー、ワールドおよびグループアクセスに加えて、関
連する読み出し、書き込み、削除許可を使って第２のアクセスチェックを実行す
る、信用サーバのプロセスへのアクセスを制御する方法であって、ａ）前記信用サーバの管理ユーザアカウントの前記制御形態を区分して、１つ
の管理アカウントで全ての管理機能を実行できないようにする段階と、ｂ）前記ファイルシステムの属性を、少なくとも１つのセンシティブレベル属
性を含むように拡張する段階と、ｃ）前記ファイルシステム内の少なくとも１つの記憶場所に記憶されたファイ
ルおよびプロセスの各々に、前記センシティビティレベル属性を指定する段階と
、ｄ）前記システムのプロセスのテーブルを生成する段階であって、前記テーブ
ルは、該プロセスの実行を許可された該ロールとの関係を含む、該段階と、ｅ）前記ロールに関連した認可を定義する段階と、ｆ）要求に反応して前記システムが実行するタスクに関連したプロセスの階層
を確立する段階と、ｇ）前記要求に応じて、前記少なくとも１つの記憶場所からファイルおよびプ
ロセスが検索される別の宛先を定義する段階と、ｈ）入力される、実行するプロセスの要求を受信する段階と、ｉ）入力されるプロセスの要求にセンシティビティラベルを指定する段階と、ｊ）前記入力されるデータオブジェクトの要求に関連した、実行するプロセス
の第１宛先を決定する段階と、ｋ）拡張された属性を、前記プロセスに関連した前記第１宛先において読み出
す段階と、ｌ）前記入力される要求を、前記入力される要求のセンシティビティラベル
と前記拡張された属性の組み合わせに基づいて、前記プロセスの別の宛先へ転送
する段階とを有する方法。
【請求項１５】前記プロセスの結果を前記要求者へ送信する段階をさらに
有する、請求項１４に記載の方法。
【請求項１６】要求に応じて、プロセスの制御された実行を許可するため
の信用サーバコンピューティングシステムであって、ａ）少なくとも１つのデータパーティション内の拡張された属性を備えた複数
のデータオブジェクトを記憶するための記憶手段と、ｂ）要求を受信し、前記ユーザ要求に応じてプロセスを実行するためのプロセ
ッサ手段と、ｃ）データオブジェクトの要求に関連したセンシティビティレベルを指定する
ための指定手段と、ｄ）前記プロセスと拡張された属性を検索するべくプロセッサを誘導する第１
宛先を決定するために、前記要求を翻訳するためのアップグレード・ダウングレ
ードエンフォーサ手段であって、該アップグレード・ダウングレードエンフォー
サ手段は、前記属性を前記指定されたセンシティビティレベルと比較し、有益に
比較されたプロセスを、実行するべく前記プロセッサへ送る、該手段と、ｅ）保護された記憶パーティションへのアクセスが必要なプロセスを識別し、
センシティブレベルを備えたこれらのプロセスをセキュリティゲート手段へ誘導
するプロセッサと、ｆ）前記センシティビティレベルを受信し、区分された記憶装置からのデータ
を必要とするプロセスを翻訳するための前記セキュリティゲート手段であって、
該セキュリティゲート手段は、前記データセンシティビティレベルが前記受信し
たセンシティビティレベルと有益に比較される場合に、前記要求されたデータを
検索する、該手段とを有する信用サーバ。
【請求項１７】前記要求は、ユーザのコンピュータ上のネットワークされ
たユーザから受信される、請求項１５に記載の信用サーバ。
【請求項１８】前記要求は、前記信用サーバの前記プロセッサによって、
以前の要求の出力として生成される、請求項１５に記載の信用サーバ。
【請求項１９】システムコンポーネント間で前記要求を暗号化または解読
するための暗号化および解読手段をさらに有する、請求項１５に記載の信用サー
バ。