【０００１】
【発明の属する技術分野】
本発明は，肥大したデータファイルの圧縮と，データファイルの機密保持をファイルの暗号化を，ファイルの読み込み，書きこみ時に透過的に行うことで確保するセキュリティシステム，セキュリティ方式，セキュリティ処理プログラムに関する。ここで透過的とは、ファイル入出力要求がファイルシステムへたどり着く前に所定の処理（暗号化／復号、圧縮／解凍）を施すことを指す。
【０００２】
【従来の技術】
WindowsNT(登録商標)ファイルシステム（NTFS）は，ファイル単位，ディレクトリ単位，ボリューム単位での圧縮機能をサポートしており，このNTFS圧縮はファイル属性として設定することで，NTFSボリューム内でディスクの容量不足を避けることが可能となり，ユーザが圧縮されたファイルを意識することなく透過的にファイルの圧縮，及び解除を行うことができる。
【０００３】
また，NTFS2000以降に追加された機密データを保護する為の暗号化ファイルシステム（EFS）を用いることで，他のユーザがそのファイルにアクセスした場合に，読み取ることができないようファイルを暗号化し，ファイルは所有者のユーザアカウントを使用してログオンした場合にファイルの読み取りが可能となり，また，他のユーザがログオンしても暗号化されたファイルにはアクセスすることはできず，共有しているシステム上でファイルが保護される。
詳しくは「インサイドWindowsNT第２版 日経ＢＰソフトプレス発行 David.A.Solomon著 p428−p433，p465−p467」等に開示されている。
【特許文献１】特開2002-17520号公報
【０００４】
【発明が解決しようとする課題】
上述したNTFSボリュームでは，ディスク容量の軽減を図るNTFS圧縮とEFSを用いたファイルの暗号化は，NTFSボリュームに対して相互的に排他で使用され，NTFS圧縮を使用すればEFSによるファイルの暗号化機能を使用することができず，また，EFSを用いてファイルの暗号化機能を用いればNTFS圧縮機能を使用することができない欠点がある。
本発明の目的はかかる問題を解決し，ディスク容量の軽減を図るNTFS圧縮とファイルの機密データ保持を目的とするファイルの暗号化を同時に使用し，ファイルの読み込み，書きこみ時に透過的にファイルの暗号化，NTFS圧縮をしようできる方式を提供することにある。
【０００５】
【課題を解決するための手段】
本発明によれば前述した目的は，NTFSボリューム上でNTFS圧縮機能において，NTFS圧縮の設定及び解除を行うファイル入出力を判別する手段と，当該ファイルの暗号化をファイル入出力時に透過的に行う手段と，当該ファイルのメモリ上のキャッシュに存在するファイルデータを廃棄する手段と，NTFS圧縮の設定を明示的に発生させる手段とを備えることにより達成される。
本発明においては，前記NTFS圧縮の設定及び解除を行うファイル入出力を判別する手段と，当該ファイルの暗号化をファイル入出力時に透過的に行う手段と，当該ファイルのメモリ上のキャッシュに存在するファイルデータを廃棄する手段と，NTFS圧縮の設定を明示的に発生させる各手段が，カーネル空間で動作するフィルタドライバとして設けられていることが望ましい。
本発明は，カーネル空間上で動作するフィルタドライバにより，ファイルの入出力時にファイルの暗号化を行う領域の検知を行うことができ，前述のEFSを用いずにファイルの暗号化をファイル入出力時に透過的に行うことでNTFS圧縮とファイルの暗号化を相互的に使用することができる。
【０００６】
【発明の実施の形態】
本発明について図面を参照して説明する。
図1は本発明の一実施例の構成を示すブロック図であり，図2は本実施例の動作手順を示すフローチャート図である。
図1に示すように，ユーザ空間から要求されるNTFS圧縮機能と，機密データを保持する暗号化とを相互的に使用する方式は，ユーザ空間上で動作するアプリケーションプログラム1がボリューム13上のファイルに対して，NTFS圧縮機能をサポートするWin32レイヤ2と，カーネル空間でファイル入出力を管理するI/Oマネージャ3と，暗号化/復号対象判別手段4，圧縮属性判別手段5，圧縮属性設定要求判別手段6，暗号化/復号手段7，圧縮属性設定/解除手段8，キャッシュデータ廃棄手段9を備えたフィルタドライバ10と，フィルタドライバをバイパスしてファイル入出力要求を受信するNTFSファイルシステムドライバ12と，NTFSファイルシステムドライバ11と連携するキャッシュマネージャ11と，ファイル入出力対象が保存されているボリューム13とで構成されている。以下，各手段の機能について説明する。
【０００７】
フィルタドライバ10は，I/Oマネージャからファイル入出力要求を受信し，暗号化/復号対象判別手段4によってファイル入出力対象が暗号化/復号を行う対象であるかを判別し，ファイル入出力対象が暗号化/復号対象であれば暗号化/復号手段7によって暗号化/復号を行う。
暗号化/復号手段7は，ファイル入出力対象が暗号化/復号対象と判別されたファイルに対し，ファイルの読みこみ，書きこみ要求であれば透過的にファイルの読み込み時に復号化，ファイルの書きこみ時に暗号化を行う機能を有し，ファイルの読み込み，書きこみの種別によってメモリ上のキャッシュデータに対して暗号化/復号を行うか，ボリューム内のファイルに対して暗号化/復号を行うかを選択する機能を有している。
【０００８】
圧縮属性判別手段5は，暗号化/復号手段7によって暗号化/復号を行う際に，暗号化/復号対象ファイルがNTFS圧縮機能によって圧縮されているファイルであるかを判別する機能を有し，判別した結果を暗号化/復号手段7に通知することで，暗号化/復号処理方法を決定させる機能を有している。
圧縮属性設定要求判別手段6は，ユーザ空間領域から発行されたファイル入出力要求がNTFS圧縮の設定要求であるかを判別する機能を有している。
圧縮属性設定/解除手段8は，カーネル空間上でNTFS圧縮の設定，解除を行う機能を有し，ボリューム13内にあるファイルに対して，ファイルの圧縮を行うことが可能となる。
【０００９】
キャッシュデータ廃棄手段9は，キャッシュマネージャが行うファイルデータの先読みによって，蓄積されたファイルデータや，ファイル入出力の高速化を図る為に，ファイルの読みこみによって蓄積されたキャッシュ内のファイルデータを廃棄する機能を有している。
【００１０】
次に，図1の構成及び図2のフローチャート図を参照して，本実施例のNTFS圧縮とファイルの暗号処理動作について詳述する。
まず，既に暗号化されているファイルに対して，ユーザ空間側でNTFS圧縮の設定，または，解除を行う場合について説明する。
Win32レイヤ2からボリューム13内のファイルに対してNTFS圧縮機能の圧縮，または解除要求をカーネル空間側へ図2のステップA1に対応するファイル入出力要求を発行し，図2のステップA2においてファイル入出力要求がNTFS圧縮の圧縮属性の設定，または解除要求であるかを，フィルタドライバ10内の圧縮属性設定要求判別手段6によって判別し，圧縮属性の設定，または解除要求であれば図2のステップA3を実施する。ステップA2の判別で，ファイル入出力要求が圧縮属性の設定，または解除でない場合はフィルタドライバ10で行う処理を終了し，ファイル入出力要求をNTFSファイルシステムドライバ12へバイパスする。
【００１１】
次に，図2のステップA3のファイル入出力対象ファイルが，フィルタドライバ10の暗号化/復号対象判別手段4によって判別することで，暗号化/復号の対象であれば図2のステップA4を実施し，対象でない場合はフィルタドライバ10で行う処理を終了し，ファイル入出力要求をNTFSファイルシステムドライバ12へバイパスする。
ファイル入出力要求がNTFS圧縮の設定，または解除と判別され，また，ファイル入出力対象ファイルが暗号化/復号対象であれば，ステップA4のメモリ上のキャッシュに存在するファイル入出力対象のファイルデータを廃棄し，ステップA5によってファイル入出力要求をNTFSファイルシステムドライバへ送信し，NTFSボリュームが有している圧縮機能によりファイルを圧縮し，その後，ファイルの圧縮に伴ってキャッシュに蓄積されたファイルデータに対してステップA6を実施することで，再度，廃棄する。
【００１２】
次にNTFS圧縮により圧縮されたファイルに対して，暗号化を行う方法について図３のフローチャートを基に説明する。
図３のステップB1によって，NTFS圧縮により圧縮されたファイルに対しての書きこみ要求が実施された場合，ステップB2によって，書きこみ対象ファイルが暗号化/復号対象であるかを判別し，暗号化/復号対象であると判別されたならば，ステップB3の処理を行い，対象でない場合はNTFSファイルシステムドライバへファイル書きこみ要求をバイパスする。
ステップB3の判定で，書きこみ対象ファイルがNTFS圧縮によって圧縮されたファイルであるかを判別し，圧縮されたファイルであればステップB4へと処理を移行し，圧縮されたファイルでない場合はステップB8〜9の処理によって，図1の暗号化/復号手段7によって書きこむデータを暗号化する。
【００１３】
ファイル書きこみ対象が圧縮されたファイルであり，かつ，暗号化対象ファイルであるとステップB2，B3で判別されたファイルは，ステップB4によって書きこむデータを暗号化し，その暗号化したデータをキャッシュへと書きこみ，ステップB5を実施することで，キャッシュに存在する暗号化されたデータを図1のボリューム13に書きこむ。その後，ステップB6において，キャッシュに存在する暗号化されたファイルデータを廃棄することで，NTFS圧縮によるファイルの圧縮と，機密データのセキュリティ保持を保つファイルの暗号化が実現される。
【００１４】
NTFS圧縮によって圧縮されたファイルの移動についての処理を，図４を用いて説明する。
図４のステップC1において，NTFS圧縮によって圧縮されたファイルに対して，ファイル移動要求が，ユーザ空間側から発行された場合に，ステップC2において，移動対象のファイルが暗号化/復号対象であるかを判別し，その結果，暗号化/復号対象であると判別された場合はステップC3の処理を実施し，対象でない場合には，NTFSファイルシステムドライバへファイルの移動処理要求をバイパスする。
【００１５】
ステップC3において，移動対象ファイルの複製となるファイルを，ファイルの移動先に作成し，ステップC4によって，移動対象のファイルの属性に圧縮属性が存在することを判別し，その結果，ステップC5において，図1の圧縮属性設定/解除手段8によって移動先に作成したファイルに対して，NTFS圧縮を設定する。
ステップC6〜7によって，ファイルの暗号化/復号を行い，その後，移動対象のファイルを削除することで，NTFS圧縮されたファイルの移動時に，暗号化/復号を実施することが可能となる。
【００１６】
【発明の効果】
以上説明したように，本発明のNTFS圧縮とファイルの暗号化を行う方式によれば，NTFS圧縮と機密データの保持を行う為のファイルの暗号化が相互的に使用することが可能となる。
なお，本発明はファイルデータのセキュリティを保持する際に，ファイルの暗号化，復号をファイル入出力時に透過的に行い，また，肥大したデータファイルの軽減を行う為に暗号化したファイルをNTFS圧縮によってファイルデータの軽減を行うことにおいて，特に効果が発揮される。
【図面の簡単な説明】
【図１】本発明の一実施例の構成を示すブロック図。
【図２】本実施例の動作手順を示すフローチャート図。
【図３】NTFS圧縮により圧縮されたファイルに対して，暗号化を行う方法を説明するフローチャート図。
【図４】NTFS圧縮によって圧縮されたファイルの移動についての処理を説明するフローチャート図。
【符号の説明】
1・・・アプリケーションプログラム、2・・・Win32レイヤ、3・・・I/Oマネージャ、4・・・暗号化/復号対象判別手段、5・・・圧縮属性判別手段，6・・・圧縮属性設定要求判別手段，7・・・暗号化/復号手段，8・・・圧縮属性設定/解除手段，9・・・キャッシュデータ廃棄手段、10・・・フィルタドライバ，11・・・キャッシュマネージャ、12・・・NTFSファイルシステムドライバ、13・・・ボリューム[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a security system, a security method, and a security processing program for ensuring the compression of an enlarged data file and the security of the data file by performing file encryption transparently when reading and writing the file. Here, “transparent” means that predetermined processing (encryption / decryption, compression / decompression) is performed before the file input / output request reaches the file system.
[0002]
[Prior art]
The Windows NT (registered trademark) file system (NTFS) supports a compression function for each file, directory, or volume. By setting this NTFS compression as a file attribute, there is insufficient disk space in the NTFS volume. Can be avoided, and the user can transparently compress and decompress the file without being aware of the compressed file.
[0003]
In addition, by using the Encrypted File System (EFS) added to protect confidential data added after NTFS2000, if another user accesses the file, the file is encrypted so that it cannot be read. Will be able to read files when logged on using the owner's user account, and will not be able to access encrypted files when other users log on, and will not be able to access encrypted files. The file is protected above.
The details are disclosed in "Inside Windows NT 2nd Edition, published by Nikkei BP Soft Press, p.428-p433, p465-p467 by David.A. Solomon" and the like.
[Patent Document 1] Japanese Patent Application Laid-Open No. 2002-17520
[Problems to be solved by the invention]
In the above-mentioned NTFS volume, NTFS compression to reduce disk space and file encryption using EFS are mutually exclusive with NTFS volume, and if NTFS compression is used, file encryption by EFS is used. The function cannot be used, and if the file encryption function is used by using EFS, the NTFS compression function cannot be used.
The object of the present invention is to solve such a problem and simultaneously use NTFS compression for reducing disk space and file encryption for maintaining confidential data of a file. The aim is to provide a method that can use encryption and NTFS compression.
[0005]
[Means for Solving the Problems]
According to the present invention, the above-described object is to provide a means for determining a file input / output for setting and releasing NTFS compression in an NTFS compression function on an NTFS volume, and for encrypting the file transparently at the time of file input / output. This is achieved by providing means, means for discarding file data existing in the cache of the file in the memory, and means for explicitly generating the setting of NTFS compression.
According to the present invention, there is provided a means for judging a file input / output for setting and releasing the NTFS compression, a means for transparently encrypting the file at the time of file input / output, and a file cache in a memory. It is desirable that means for discarding file data and means for explicitly generating the setting of NTFS compression be provided as filter drivers operating in kernel space.
According to the present invention, a filter driver operating in the kernel space can detect an area for encrypting a file at the time of file input / output, and can perform file encryption at the time of file input / output without using the EFS described above. By doing so transparently, NTFS compression and file encryption can be used interchangeably.
[0006]
BEST MODE FOR CARRYING OUT THE INVENTION
The present invention will be described with reference to the drawings.
FIG. 1 is a block diagram showing a configuration of an embodiment of the present invention, and FIG. 2 is a flowchart showing an operation procedure of the embodiment.
As shown in Fig. 1, the method of mutually using the NTFS compression function required from the user space and the encryption for retaining confidential data is based on the fact that the application program 1 running on the user space For Win32 layer 2 which supports NTFS compression function, I / O manager 3 which manages file input / output in kernel space, encryption / decryption target determination means 4, compression attribute determination means 5, compression attribute setting request A filter driver 10 including a determination unit 6, an encryption / decryption unit 7, a compression attribute setting / release unit 8, and a cache data discarding unit 9, and an NTFS file system driver 12 that receives a file input / output request by bypassing the filter driver And a cache manager 11 that cooperates with the NTFS file system driver 11, and a volume 13 that stores file input / output targets. You. Hereinafter, the function of each means will be described.
[0007]
The filter driver 10 receives a file input / output request from the I / O manager, determines whether the file input / output target is a target to be encrypted / decrypted by the encryption / decryption target determination means 4, and outputs the file input / output target. If is a target for encryption / decryption, the encryption / decryption means 7 performs encryption / decryption.
The encryption / decryption means 7 transparently decrypts and writes the file when the file input / output target is determined to be the encryption / decryption request, when the file read / write request is transparently read. It has a function to perform encryption at the time of reading, and depending on the type of file reading and writing, whether to encrypt / decrypt the cache data in the memory or to encrypt / decrypt the file in the volume Has the function of selecting
[0008]
The compression attribute determining means 5 has a function of determining whether a file to be encrypted / decrypted is a file compressed by the NTFS compression function when performing encryption / decryption by the encryption / decryption means 7, It has a function of determining the encryption / decryption processing method by notifying the encryption / decryption means 7 of the determined result.
The compression attribute setting request determining means 6 has a function of determining whether a file input / output request issued from the user space area is a setting request for NTFS compression.
The compression attribute setting / release unit 8 has a function of setting and releasing NTFS compression in the kernel space, and can compress files in the volume 13.
[0009]
The cache data discarding means 9 discards the stored file data by the prefetching of the file data performed by the cache manager or the file data in the cache stored by reading the file in order to speed up the file input / output. It has the function to do.
[0010]
Next, with reference to the configuration of FIG. 1 and the flowchart of FIG. 2, the NTFS compression and file encryption processing operation of this embodiment will be described in detail.
First, the case where NTFS compression is set or released on the user space side for an already encrypted file will be described.
Win32 layer 2 issues a file I / O request corresponding to step A1 in Fig. 2 to the kernel space to issue a compression or decompression request of the NTFS compression function to the file in volume 13, and in step A2 in Fig. 2, Whether the output request is a request for setting or decompression of the compression attribute of NTFS compression is determined by the compression attribute setting request discriminating means 6 in the filter driver 10, and if the request is for setting or decompression of the compression attribute, the step in FIG. Implement A3. If it is determined in step A2 that the file input / output request does not set or release the compression attribute, the processing performed by the filter driver 10 is terminated, and the file input / output request is bypassed to the NTFS file system driver 12.
[0011]
Next, if the file input / output target file in step A3 in FIG. 2 is determined by the encryption / decryption target determination means 4 of the filter driver 10, if the file is to be encrypted / decrypted, step A4 in FIG. If not, the processing performed by the filter driver 10 is terminated, and the file input / output request is bypassed to the NTFS file system driver 12.
If the file input / output request is determined to be NTFS compression setting or release and if the file input / output target file is to be encrypted / decrypted, the file data of the file input / output target existing in the cache on the memory in step A4 Discards the file, sends a file I / O request to the NTFS file system driver in step A5, compresses the file using the compression function of the NTFS volume, and then stores the file data stored in the cache as the file is compressed. By performing step A6 for, it is discarded again.
[0012]
Next, a method of encrypting a file compressed by NTFS compression will be described with reference to the flowchart of FIG.
If a write request for a file compressed by NTFS compression is made in step B1 of FIG. 3, it is determined in step B2 whether the file to be written is to be encrypted / decrypted, and encryption is performed. If it is determined that the data is to be decrypted, the process of step B3 is performed, and if not, the file write request to the NTFS file system driver is bypassed.
In the determination in step B3, it is determined whether the file to be written is a file compressed by NTFS compression. If the file is a compressed file, the process proceeds to step B4. If not, the process proceeds to step B8. The data to be written is encrypted by the encryption / decryption means 7 in FIG.
[0013]
If the file to be written is a compressed file and the file is determined to be an encryption target file in steps B2 and B3, the data to be written is encrypted in step B4, and the encrypted data is stored in the cache. Then, by executing step B5, the encrypted data existing in the cache is written to the volume 13 in FIG. Thereafter, in step B6, the encrypted file data existing in the cache is discarded, thereby realizing the compression of the file by NTFS compression and the encryption of the file keeping the security of the confidential data.
[0014]
Processing for moving a file compressed by NTFS compression will be described with reference to FIG.
If a file move request is issued from the user space side for a file compressed by NTFS compression in step C1 in FIG. 4, whether the file to be moved is to be encrypted / decrypted in step C2 Is determined, and as a result, if it is determined that the file is to be encrypted / decrypted, the process of step C3 is performed, and if not, the file transfer request to the NTFS file system driver is bypassed.
[0015]
In step C3, a copy of the file to be moved is created in the destination of the file, and in step C4, it is determined that the attribute of the file to be moved has the compression attribute. As a result, in step C5, NTFS compression is set for the file created at the destination by the compression attribute setting / cancellation means 8 in FIG.
In Steps C6 and C7, the file is encrypted / decrypted, and then the file to be moved is deleted, so that the encryption / decryption can be performed when the NTFS-compressed file is moved.
[0016]
【The invention's effect】
As described above, according to the method of the present invention for performing NTFS compression and file encryption, it is possible to mutually use NTFS compression and file encryption for holding confidential data.
According to the present invention, in order to maintain the security of the file data, the encryption and decryption of the file are transparently performed at the time of inputting / outputting the file, and the encrypted file is compressed with NTFS in order to reduce an enlarged data file. This is particularly effective in reducing file data.
[Brief description of the drawings]
FIG. 1 is a block diagram showing the configuration of an embodiment of the present invention.
FIG. 2 is a flowchart illustrating an operation procedure of the embodiment.
FIG. 3 is a flowchart for explaining a method of encrypting a file compressed by NTFS compression.
FIG. 4 is a flowchart illustrating processing for moving a file compressed by NTFS compression.
[Explanation of symbols]
1 ・ ・ ・ Application program, 2 ・ ・ ・ Win32 layer, 3 ・ ・ ・ I / O manager, 4 ・ ・ ・ Encryption / decryption object discriminating means, 5 ・ ・ ・ Compression attribute discriminating means, 6 ・ ・ ・ Compression attribute Setting request determination means, 7: encryption / decryption means, 8: compression attribute setting / release means, 9: cache data discarding means, 10: filter driver, 11: cache manager, 12 ... NTFS file system driver, 13 ... volume
