JP2006059268A - ライトワンス記憶手段におけるデータ改竄防止方法 - Google Patents

Abstract

【課題】
ファイルライトワンス方式であれば、書込み中のファイルだけのセキュリティを考えればよいが、ボリュームライトワンス方式では、外部からの攻撃にさらされるデータ量と時間がファイルライトワンス方式に比べて多くなり、更新および削除を禁止するまでのセキュリティレベルをどのようにすれば確保できるかが課題となる。
【解決手段】
ボリュームライトワンス方式磁気ディスクを検索専用とし、データを保存し、更新および削除を禁止するまでは外部に公開しない方式とする。例えば、データをライトワンステープにバックアップしていき、ある一定サイズにデータが達した場合、ライトワンステープからボリュームライトワンス磁気ディスクへデータをリストアし、更新および削除を禁止にした後で、検索用としてそのボリュームを公開する。
【選択図】 図１

Description

本発明は、ライトワンスタイプの磁気ディスク、磁気テープ、および光ディスクなどのライトワンスストレージにおけるデータ改竄防止の技術に関する。

コンピュータシステムにおけるセキュリティ上の課題として、データ改竄および情報漏洩という問題があり、ＯＳやアプリケーション、ネットワークにおける様々な対策が実施されている。データストレージの分野でも、システムのセキュリティ上の最終関門として、それらのリスクに対処すべく、ライトワンスタイプの磁気ディスク、磁気テープ、および光ディスクなどが世に出回るようになった。

ライトワンスとは、一度書き込まれたデータは二度と更新および削除できないというデータの保存方式であり、ストレージでの実現方式を考える場合、物理的なローデバイス上でのライトワンスとファイルシステム上でのライトワンスとがある。

磁気テープや光ディスクの場合、一般にローデバイスのレベルでデータ書込みは追記方式で、既に書き込まれたエリアには上書きできない方式となり、ファイルシステムでライトワンスを実装する場合は、ドライバーレベルでファイル単位の更新および削除を制御する方式をとる。

磁気ディスクの場合、ファイルシステムでライトワンスを実装する場合は、磁気テープや光ディスクと同じ方式でドライバーレベルでファイル単位の更新および削除を制御するが、ローデバイスのレベルでライトワンスを実装する場合は、データを一定量書き込んだ後、書込み済みエリアの更新および削除を逐次、明示的に禁止していく、ボリュームライトワンス方式を採用している。

ライトワンスストレージにおいて、ファイルライトワンス方式では、ファイルシステムレベルのセキュリティ度は高いが、物理的なローデバイスレベルでは外部からの攻撃に弱く、ボリュームライトワンス方式では、物理的なローデバイスレベルのセキュリティ度は高いが、更新や削除を禁止するまでの間、ロックがかかっていないエリアの各ファイルは外部からの攻撃に対して無防備になってしまう。

磁気ディスクのライトワンスストレージで、ボリュームライトワンス方式をとる場合、一般にデータがある一定サイズになった時点で、ボリュームを更新および削除禁止にする。もしファイル単位で更新および削除を禁止すると、まだデータが書かれていないエリアについても更新を禁止にしてしまうため、ストレージ容量を有効に使うことができない。そこで、ボリュームが一杯になって削除および更新を禁止にするまでの間、外部からの攻撃に対しては無防備になってしまう。

ファイルライトワンス方式であれば、書込み中ファイルだけのセキュリティを考えればよいが、ボリュームライトワンス方式では、外部からの攻撃にさらされるデータ量と時間が、ファイルライトワンス方式に比べて多くなり、更新および削除を禁止するまでのセキュリティをどのようにすれば確保できるかが課題となる。

本発明は、上述の従来技術における問題点に鑑み、ボリュームライトワンス磁気ディスクに対し、ボリュームを更新および削除禁止にするまでのデータを外部からの攻撃にさらすことなく、セキュリティレベルが高く高速な検索用ストレージを実現することを目的とする。

上記目的を達成するために、本発明では、ボリュームライトワンス方式の記憶手段（例えば、磁気ディスクなど）を検索専用とし、データを保存し、更新および削除を禁止するまでは外部に公開しない方式とする。

一般のサーバで管理された確定データは、ライトワンスタイプの記憶手段（例えば、磁気テープなど）にバックアップをとり、その際に、ファイル単位にハッシュ値をライトワンスの記憶手段（例えば、光ディスクなど）に保存しておく。ファイルを読み出す場合、そのハッシュ値を利用して、読み出したデータの改竄チェックを行う。ここで、改竄を検知した場合、バックアップしておいたライトワンス記憶手段からデータを回復する。ある一定サイズにデータが達した場合、バックアップ用のライトワンス記憶手段からボリュームライトワンス方式の記憶手段へデータをリストアし、更新および削除を禁止にした後で、検索用としてそのボリュームを公開する。

本発明によれば、ボリュームライトワンス方式の記憶手段に対し、ボリュームを更新および削除禁止にするまでのデータを外部からの攻撃にさらすことなく、セキュリティレベルが高く高速な検索用ストレージを実現できる。特に、ボリュームライトワンス方式の記憶手段として磁気ディスク装置などを用いた場合、ボリュームライトワンス方式磁気ディスク装置では１ボリュームが大容量であるので、そのボリュームが一杯になって更新および削除禁止とするまでの期間のセキュリティが問題になる。本発明によれば、その期間は、いったんライトワンスタイプの磁気テープ装置などにファイルをバックアップし、読み出し要求があったときにはハッシュ値による改竄チェックを行うので、前記期間のセキュリティも保持できる。

以下、本発明を実施する場合の一形態を図面を参照して具体的に説明する。

図１は、本実施形態のシステムの基本構成を示す。サーバ１においては、文書管理ソフト１０２の配下でボリューム１０１にデータが格納されていく。サーバ１には、ＳＣＳＩまたはＦｉｂｅｒチャネル１０５でテープドライブ２が、ＳＣＳＩまたはＦｉｂｅｒチャネル１０４でボリュームライトワンスストレージとしてライトワンスアレイディスク３が、ＳＣＳＩまたはＦｉｂｅｒチャネル１０６で光ディスク単体ドライブ４が、それぞれ接続されている。テープドライブ２では、ライトワンスタイプ（ファイルライトワンス方式）の磁気テープ１２１，１２２，１２３が順次装着されていき、バックアップソフト１０３によってボリューム１０１のバックアップを採取する。ライトワンスアレイディスク３は、ボリューム１３１，１３２，１３３…で構成されている。ライトワンステープ１２１，１２２，…およびライトワンスアレイディスク３の各ボリューム１３１，１３２，…は、それぞれ同サイズであると運用が容易になる。以降では、そのケースを前提とする。また、光ディスク単体ドライブ４には、ハッシュ値保存用媒体としてライトワンス光ディスク１４０が装着されている。

図２および図３は、図１のシステムにおいて、データの登録要求を受けたときの動作手順を示すブロック図およびフローチャートである。データの登録要求２０１を受けたとき、文書管理ソフト１０２により、そのデータがボリューム１０１に書き込まれる（図２の２０２、ステップ３０１）。当該データ書き込みしたファイルが確定すると、そのファイルごとに、ライトワンステープ１２１へ当該データをバックアップソフト１０３によってバックアップする（図２の２０３、ステップ３０２）。その際に、ファイルごとにハッシュ値を作成し、ライトワンス光ディスク４０１に追記していく（図２の２０４）。

文書管理ソフト１０２は、この処理の過程で、ファイル管理テーブルに、各ファイルごとのファイルＩＤ、ボリューム１０１上のアクセスパス、バックアップしたライトワンステープのデバイスＩＤ、および、計算したハッシュ値を保存したライトワンス光ディスク１４０上のファイル名などを保存する。図４に、文書管理ソフト１０２が管理するファイル管理テーブルの各項目の詳細を示す。

ここでライトワンステープ１２１が満杯になったことを検出すると（ステップ３０３）、文書管理ソフト１０２は、一時的に上位からのＩ／Ｏを待ち状態にし（ステップ３０４）、バックアップソフト１０３を利用して、ライトワンステープ１２１からライトワンスアレイディスク３のボリューム１３１へデータをリストアする（図２の２０５、ステップ３０５）。ここで各ファイルごとに計算したハッシュ値とライトワンス光ディスク１４０に保存したハッシュ値とを比較し、問題がなければ、リストアしたボリューム１３１の更新および削除を禁止する（ステップ３０６）。そこで、ボリューム１０１上のバックアップした各ファイルは、一度削除して、リストアしたボリューム１３１上のパスを指し示すリンクファイルを元のファイル名と同じ名前で作り直す（ステップ３０７）。このとき、図４のファイル管理テーブルには、各ファイルごとにボリューム１３１上にある実体ファイル名も保存し、移行済みフラグを立てておく。この処理が終了した段階で、上位からのＩ／Ｏ待ち状態を解除することで、ボリューム１３１を公開する（ステップ３０８）。

なお、上記処理による待ち時間が長くなってしまう場合は、ライトワンステープ１２１からボリューム１３１へデータをリストアする処理を非同期で走らせ、ボリューム１０１からボリューム１３１へのリンクファイルを作成する処理だけ、上位からのＩ／Ｏを待ちにする方法や、さらにリンクファイル作成処理もファイル単位でロックをかけることで、待ち時間の短縮を図ることは可能である。

次に、図５および図６を参照して、ＲＥＡＤ要求があった場合について説明する。ＲＥＡＤ要求５０１があった場合、文書管理ソフト１０２は、図４のファイル管理テーブルの移行済みフラグを確認し（ステップ６０１）、当該データがライトワンスアレイディスク３上に移行済みか否かを判定する（ステップ６０２）。フラグが立っていなければ、当該ファイルはボリューム１０１に存在するということだから、ボリューム１０１から当該データを読み込みハッシュ値を計算する（図５の５０３、ステップ６０３）。計算したハッシュ値とライトワンス光ディスク４０１のハッシュ値とを比較し（図５の５０２、ステップ６０４）、問題がなければ（ステップ６０５でＹｅｓの場合）、そのデータをＲＥＡＤ要求元に返す（ステップ６０９）。しかし、改竄を検知した場合は（ステップ６０５でＮｏの場合）、バックアップソフト１０３を利用してライトワンステープ１２１からデータを戻し（図５の５０５、ステップ６０６）、ＲＥＡＤ要求元に返す（ステップ６０７）。なお、改竄を検知した場合は、その旨をＲＥＡＤ要求者もしくはシステム管理者などにメールなどで通知し、そのログも残しておく。ログの保存に関しては、ライトワンス光ディスク４０１を利用する方法も考えられる。

ステップ６０２でフラグが立っていたら、ライトワンスアレイディスク３上に移行済みということだから、ライトワンスアレイディスク３から読み込んだデータをそのままＲＥＡＤ要求元に返す（図５の矢印５０４から５０３、ステップ６０８）。

なお、ハッシュ値を保存したライトワンス光ディスク１４０上のファイル名、およびバックアップしてあるライトワンステープのデバイスＩＤは、図４のファイル管理テーブルから取得することができる。また、ファイル管理テーブルのアクセスパス名は、ボリューム１０１のリンクファイルが壊れた場合の復旧処理に利用するものである。

ここで、ファイルの実体がボリューム１３１に移されていても、ボリューム１０１から透過的にセキュリティ上安全かつ高速なボリューム１３１にアクセスし、改竄されていないデータを高速に上位に返すことができる。また、ボリューム１３１上に、ボリューム１０１の実体だけなく、パス名を保存しておくことで、図４に示したファイル管理テーブルが壊れた場合の復旧処理がより確実に行える。

同様にして、データの登録やＲＥＡＤ要求に対する処理を続けることができる。図７は、次のライトワンステープやボリュームに切り換えられたときの流れを示す。図７に示すように、データ登録要求７０１に対しては、サーバ１上で、引き続き当該データがボリューム１０１へ書き込まれ（７０３）、確定したデータをファイル単位にライトワンステープ１２２にバックアップする（７０４）。ライトワンステープ１２２が満杯になると、当該ライトワンステープ２０２から、ライトワンスアレイディスク３のボリューム１３２へデータをリストアし（７０５）、更新および削除を禁止する。ここで同じく、ボリューム１０１でバックアップしたファイルのアクセスパスはそのままにし、実体をボリューム１０１からボリューム１３２へ変更することで、ボリューム１３２を公開する。

アクセスパスはそのままで、ファイルの実領域をボリューム１０１からライトワンスアレイディスク３へ移すことにより、文書管理ソフト１０２がボリューム１０１の満杯エラーを考慮する必要も解消される。

上記実施形態において、単体ドライブ上のライトワンス光ディスク１４０は、例えば２３ＧＢ程度の容量を持っており、ハッシュ値だけを保存するのであれば、通常のファイルサーバの場合、容量的な問題はない。もし２３ＧＢを越えた場合は、新たに単体ドライブを１台接続するか、光ディスクライブラリを利用して、次のライトワンス光ディスクへハッシュ値を保存していく。

本発明の一実施の形態のシステム全体を示す概略構成図 データの登録要求があった場合のデータの流れ図 データの登録要求があった場合のフローチャート 文書管理ソフト１０２が管理するファイル管理テーブルを示す図 データのＲＥＡＤ要求があった場合のデータの流れ図 データのＲＥＡＤ要求があった場合のフローチャート データの登録およびＲＥＡＤ要求におけるデータの流れ図

符号の説明

１…サーバ、１０１…サーバ１上のボリューム、１０２…サーバ１上の文書管理ソフト、１０３…サーバ１上のバックアップソフト、１０４…サーバ１とテープドライブ装置２を接続するＳＣＳＩまたはＦｉｂｅｒインタフェース、１０５…サーバ１とライトワンスアレイディスク３を接続するＳＣＳＩまたはＦｉｂｅｒインタフェース、１０６…サーバ１と単体光ディスクドライブ４を接続するＳＣＳＩまたはＦｉｂｅｒインタフェース、２…テープドライブ装置、１２１〜１２３…ライトワンステープ、３…ライトワンスアレイディスク、１３１〜１３３…ライトワンスアレイディスクのボリューム、４…単体光ディスクドライブ、１４０…ライトワンス光ディスク。

Claims (7)

1. ライトワンス記憶手段におけるデータ改竄防止方法であって、
   コンピュータが備えるバックアップ手段が、通常の書き換え型ストレージに保存されたデータをライトワンス方式のバックアップ用記憶手段にバックアップするステップと、
   コンピュータが備える検出手段が、前記バックアップ用記憶手段に所定量のデータがバックアップされたことを検出するステップと、
   前記バックアップ用記憶手段に所定量のデータがバックアップされたとき、コンピュータが備える転送手段が、前記バックアップ用記憶手段にバックアップされた所定量のデータを所定のボリュームライトワンス方式の記憶手段へコピーするステップと、
   そのコピー後、コンピュータが備える公開手段が、前記ボリュームライトワンス方式の記憶手段を更新禁止にし、検索用として公開するステップと
   を備えることを特徴とするライトワンス記憶手段におけるデータ改竄防止方法。
2. 請求項１に記載のライトワンス記憶手段におけるデータ改竄防止方法において、
   前記バックアップ用記憶手段は、ファイルライトワンス方式の記憶手段であることを特徴とするライトワンス記憶手段におけるデータ改竄防止方法。
3. 請求項１に記載のライトワンス記憶手段におけるデータ改竄防止方法において、
   前記書き換え型ストレージに保存されたデータをバックアップ用記憶手段にバックアップする際、コンピュータが備えるハッシュ値計算手段が、当該バックアップするデータのハッシュ値を計算して、所定のライトワンスのハッシュ値記憶用記憶媒体へ保存するステップを、さらに備えることを特徴とするライトワンス記憶手段におけるデータ改竄防止方法。
4. 請求項３に記載のライトワンス記憶手段におけるデータ改竄防止方法において、
   データ読み出し時、そのデータが前記書き換え型ストレージに保存されている場合は、保存されている当該データのハッシュ値を計算し、前記ハッシュ値記憶用記憶媒体に保存してある当該データのハッシュ値と一致していることを確認することにより改竄チェックを行うことを特徴とするライトワンス記憶手段におけるデータ改竄防止方法。
5. 請求項４に記載のライトワンス記憶手段におけるデータ改竄防止方法において、
   前記改竄チェックで改竄されていると判定された場合、前記ライトワンスのバックアップ用記憶手段から当該データを復元することを特徴とするライトワンス記憶手段におけるデータ改竄防止方法。
6. 請求項１に記載のライトワンス記憶手段におけるデータ改竄防止方法において、
   前記バックアップ用記憶手段は、ファイルライトワンス方式の磁気テープ装置であり、
   前記ボリュームライトワンス方式の記憶手段は、ボリュームライトワンス方式磁気ディスク装置であることを特徴とするライトワンス記憶手段におけるデータ改竄防止方法。
7. 請求項６に記載のライトワンス記憶手段におけるデータ改竄防止方法において、
   前記磁気テープ装置の１本の記憶容量と前記ボリュームライトワンス方式磁気ディスク装置の１ボリュームの記憶容量とがほぼ同サイズであり、前記磁気テープ装置の１本分にデータがバックアップされたとき、当該１本分のデータを前記ボリュームライトワンス方式磁気ディスク装置の１ボリュームにコピーすることを特徴とするライトワンス記憶手段におけるデータ改竄防止方法。

Images