JP2006065710A - 追記型記憶媒体内書き換え禁止データのバックアップ管理システム - Google Patents

Abstract

【課題】
追記型磁気ディスクの書き換え禁止データを原本性を保証した形で長期間アーカイブできるバックアップ管理システムを提供することを目的とする。
【解決手段】
追記型磁気ディスクなどのデータを追記型磁気テープなどの追記型で可換型の記憶媒体にバックアップする際、バックアップ対象の当該磁気ディスク内データを特定するファイル名とバックアップ先磁気テープのシリアルナンバを共に登録した第１の管理情報を記憶し、さらに当該第１の管理情報の原本性を確認可能な認証値を生成し、その認証値を含む文書に電子署名を付加した第２の管理情報を記憶する。追記型磁気ディスクのデータ復旧の際には、前記第１と第２の管理情報によりバックアップ磁気テープのシリアルナンバーをチェックし、正しい磁気テープからリストアする。バックアップからリストアまでに発生しうる磁気テープのすり替えが検知可能となる。
【選択図】 図１

Description

本発明は、追記型磁気ディスク装置などの追記型記憶媒体における書き換え禁止制御されたデータのバックアップ管理技術に関する。

企業・医療機関・政府機関における電子データの管理に関する規制が厳しくなり、電子文書を消去・書き換えができない方法で長期間保管することが義務付けられる企業が増えている。このような進展する法制化に遵守したデータの保管を行うために、消去・書き換え不可能な追記型記憶メディアのニーズが高まっており、なかでも近年、高速アクセスの追記管理を実現する磁気ディスクの追記制御機能を備えたソフトウェア・ファームウェアの各種製品が発表されている。

従来において、磁気ディスクの追記管理によりデータの改竄がないことを証明するための改竄検知技術として、例えば、下記特許文献１や下記特許文献２に記載のものが知られている。

下記特許文献１は、第三者によるコンテンツの改竄行為を効果的に防止することが可能な公開コンテンツ改竄防止方法を提案する。これは、ハードディスクドライブの書込み禁止スイッチを操作することにより、第三者によるコンテンツファイルの改竄を禁止し、コンテンツを保護する技術である。

また、下記特許文献２は、特殊なハードウェアやデバイスを用いずにデータベースを安全に管理する方法を提案する。これは、データを上書きするのではなく、データに追記することにより修正情報を管理する際、追記したデータを記入したユーザの秘密鍵で署名を施し、さらにそれをデータベース・システムの秘密鍵により署名することで、追記データがどのユーザによるものかを署名により保証することにより、データを捏造する不正書き換えを防止するデータベースシステムである。
特開２００３−０７６６１０号公報 特開２００３−１３１９２２号公報

前記のような追記制御により磁気ディスクで管理されるデータの原本性を保証する一方で、現在、追記型磁気ディスクで管理される書き換え禁止データのバックアップについての改竄検知の仕組みは不十分である。そのため、バックアップメディアのすり替えによるデータの改竄や書き換え可能なバックアップメディアに対する改竄が生じる危険性があり、追記管理により原本性が保証されたデータもバックアップ時点からリストア時点の間に改竄される可能性が生じることから、ディスク障害時の復旧データに対する原本性を保証できないという問題が生じる。

本発明の目的は、追記型磁気ディスクの書き換え禁止データを原本性を保証した形で長期間アーカイブできるバックアップ管理システムを提供することにある。

上記の目的を達成するために、本発明は、追記型磁気ディスクなどの追記型記憶媒体の書き換え禁止データを追記型磁気テープなどの追記型で可換型（交換が可能な記憶メディア）の記憶媒体にバックアップ（アーカイブ）する際、バックアップ対象の当該追記型記憶媒体内の書き換え禁止データを特定するデータ識別情報（ファイル名など）と前記のバックアップ先追記型記憶媒体を特定するバックアップ記憶媒体識別情報（シリアルナンバーなど）を共に登録した第１の管理情報を記憶し、さらに当該第１の管理情報の原本性を認識可能な認証値を生成し、当該第１の管理情報の認証値を含む文書に電子署名を付加した第２の管理情報を記憶することを特徴とする。追記型記憶媒体のデータ復旧をする際には、前記第１と第２の管理情報により、そのバックアップ対象記憶媒体とリストア対象記憶媒体との同一性を証明し、バックアップ時点からリストア時点の間に発生しうる記憶媒体のすり替えを検知可能な状態にすることにより、より完全な原本性を保証できる。また、前記の第１の管理情報と第２の管理情報を耐久性の高い追記型光ディスク装置にアーカイブすることでより高い信頼度で原本性を保証できる。

本発明によれば、追記型記憶媒体内の書き換え禁止データのバックアップメディアとして追記型で可換型の磁気テープなどの記憶媒体を採用することで、追記型記憶媒体内データからバックアップデータにわたって書き換え禁止の状態を維持できるため、第三者のデータアクセスによる改竄は不可能となる。また、追記型記憶媒体の書き換え禁止データのバックアップの際、バックアップ先の記憶媒体のシリアルナンバーなどの識別情報を管理情報として保持するため、仮にバックアップ時点からリストア時点の間にバックアップメディアのすり替えが発生しても、記憶媒体の識別情報をキーに改竄検知が可能であるため、障害時においても高い信頼度で原本性の保証を維持できる。

以下、本発明を実施する場合の一形態を図面を参照して具体的に説明する。

図１は、本発明の実施の一形態に関わる追記型磁気ディスクのバックアップ管理システムを含む全体のシステム構成を示すブロック図である。１０１が本実施形態に関わるバックアップ管理システムを示す。バックアップ管理システム１０１は、原本性保証サーバ１０２を含む。１０４は、信頼のおける第三者機関であるTSA（Time Stamping Authority）を示す。原本性保証サーバ１０２は、インターネット１０３経由で、TSA１０４のタイムスタンプサーバ１０５に接続し、タイムスタンプ１０６を取得する。タイムスタンプ１０６をどのように利用するかについては、後に詳しく説明する。

図２は、本実施形態のバックアップ管理システム１０１の詳細な構成を示す。本バックアップ管理システムは、図２に示すように、原本保管サーバ２０１と、原本性保証サーバ２０３（図１の１０２）とを備える。また、ストレージ記憶装置として、原本保管サーバ２０１には、原本バックアップ保管装置（追記型磁気テープ装置）２０２が接続され、原本性保証サーバ２０３には、原本管理情報保管装置（追記型光ディスク装置）２０４が接続されている。原本保管サーバ２０１は、データの安全性と機密性を維持するために、追記型磁気ディスク装置２０５を採用し、追記型磁気ディスク装置２０５には、登録された原本データ２０１１を格納する。

原本バックアップ保管装置２０２は、原本となる電子文書のアーカイブを保管するための大容量かつアクセス頻度がディスク障害のデータ復旧時のみに限られる二次記憶装置であるため、比較的安価に大容量データの原本性を維持したまま保管できるライトワンス（Write Once）型の磁気テープ記憶装置を採用する。これは、バックアップするとき、またはリストアするときにのみ、装置に装着される可換型の媒体である。

また、原本管理情報保管装置２０４は、原本性管理情報のアーカイブを保管するための比較的小容量かつアクセス頻度がディスク障害のデータ復旧時のみに限られる二次記憶装置であるため、より高い信頼度で原本性を保証できるライトワンス型の光ディスク記憶装置を採用する。

原本性保証サーバ２０３には、バックアッププログラム２０３１が実装されている。本バックアッププログラム２０３１の制御により、原本保管サーバ２０１の追記型磁気ディスク装置２０５に格納される原本データ２０１１を原本バックアップ保管装置（追記型磁気テープ装置）２０２へアーカイブしたり、原本バックアップ保管装置（追記型磁気テープ装置）２０２にアーカイブされた原本データ２０２１を追記型磁気ディスク装置２０５へリストアする。また、バックアッププログラム２０３１の拡張機能として、原本管理情報自動生成エージェント２０３２をアドインし、原本データアーカイブ実行時にバックアップ管理情報２０３４を生成する。原本バックアップ管理情報２０３４とタイムスタンプトークン２０３５を含む原本性管理情報２０３３は、原本管理情報保管装置（追記型光ディスク装置）２０４にアーカイブする。

原本性保証サーバ２０３の機能としては、アーカイブされた原本データの改竄検知の他に、原本となる電子文書の改竄検知、アクセス制御、保管媒体へのアクセスログの取得などがあるが、本発明においてこれらの操作は、アーカイブされた原本データの原本性を失わない範囲で任意の方法で実施してよいので、これ以後はアーカイブされた原本データの改竄検知機能についてのみ詳細に説明する。改竄検知機能は、原本データのアーカイブ時に、原本データのアーカイブ先である磁気テープ媒体のシリアルNOを含んだバックアップ管理情報に電子署名とタイムスタンプを施したものを原本管理情報保管装置（追記型光ディスク装置）２０４に記録することにより実現される。

図３（a）は、原本性保証サーバ２０３が用いるアーカイブした原本データ２０２１のバックアップ管理情報２０３４の構成例を示したものである。このバックアップ管理情報２０３４の構成要素は、原本データファイル名３０１、原本データハッシュ値３０２、及びバックアップ先テープ媒体シリアルNO３０３からなる。原本データファイル名３０１は、原本バックアップ保管装置（追記型磁気テープ装置）２０２にアーカイブされた原本データ２０２１のファイル名であり、原本データハッシュ値３０２はその原本データ２０２１のハッシュ値を表している。バックアップ先テープ媒体シリアルNO３０３は、原本データ２０２１のアーカイブ先である追記型磁気テープ媒体のシリアルNO（製品出荷時、メーカーにより採番される各磁気テープ製品固有のナンバー）を表している。ここではシリアルNOを用いたが、磁気テープ媒体を特定できる識別情報であればよい。この他にもバックアップ管理情報２０３４の構成要素として、当該原本データの作成者、作成部署名、作成日時などを示す属性要素を加えてもよい。

図３（b）は、バックアップ管理情報２０３４の検証手段となるタイムスタンプトークンの構成例を示している。この例で示すタイムスタンプトークンは、バックアップ管理情報（図３（a）のバックアップ管理情報全体）のハッシュ値３０４、時刻情報３０５、及び電子署名３０６で構成されている。

図４は、図３（b）に示したタイムスタンプトークンの取得方式の例を示す図である。原本性保証サーバ４０１（図１の１０２、図２の２０３）は、利用者の指示に応じて、タイムスタンプの対象原本データ４０１１（すなわち、図３（a）に示したバックアップ管理情報２０３４）のハッシュ値４０１２（図３（b）の３０４）を含む決められたフォーマットのタイムスタンプ要求をTSA４０２（図１の１０４）に送付する。TSA４０２は、受信したハッシュ値４０２２と受付した時刻情報４０２３を含むタイムスタンプトークンの形式の文書に電子署名４０２４を付け、タイムスタンプトークン４０２１（図３（b））を作成して、原本性保証サーバ４０１に返送する。本方式では、電子署名のタイムスタンプの付いたデータは、TSAの公開鍵証明書の有効期限が切れた場合や署名アルゴリズムが弱体化した場合、タイムスタンプの信頼性が喪失するので、これらの事象が起こる前に、有効期限に余裕のあるTSAの公開鍵証明書で再度タイムスタンプを付け直したり、より強度のある署名アルゴリズムでタイムスタンプを付け直す必要があるが、本発明では、タイムスタンプが信頼性を失わない範囲で任意の方法で実施してよいので、長期署名検証のための再署名方式については限定しない。

図５は、図２に示した原本性保証サーバ２０３が行う原本データバックアップ時の処理をフローチャートで示した図である。図５に示すように、まず始めに原本保管サーバ２０１の追記型磁気ディスク装置２０５の原本データ２０１１をボリュームロックし、恒久的に書き換え禁止の状態にする（ステップ５０１）。次に、書き換え禁止制御された原本データ２０１１を原本バックアップ保管装置（追記型磁気テープ装置）２０２の磁気テープ媒体にアーカイブする（ステップ５０２）。磁気ディスクデータからバックアップデータにわたって書き換え禁止の状態を維持できるため、第三者のデータアクセスによる改竄は不可能となる。バックアップ制御には、原本性保証サーバのバックアッププログラム２０３１を使用する。

次に、原本性保証サーバ２０３の原本管理情報自動生成エージェント２０３２により、原本バックアップ保管装置（追記型磁気テープ装置）２０２にアーカイブした原本データ２０２１のバックアップ管理情報２０３４を生成する（ステップ５０３）。図３（a）に示したように、バックアップ管理情報２０３４は、バックアップ先テープ媒体シリアルNO３０３を構成要素として管理するのが特徴であり、このシリアルNO３０３は、バックアップ時点からリストア時点における磁気テープ媒体すり替えによる改ざん検知のために必要な管理情報である。また、バックアップ管理情報２０３４の真正性を保持する仕組みとして、例えば、当該バックアップ管理情報２０３４の生成直後、原本バックアップ保管装置（追記型テープ装置）２０２に格納される元データと比較してチェックを行い、一致しない場合は、再度バックアップ管理情報２０３４を生成し直すベリファイ機能を原本管理情報自動生成エージェント２０３２に実装するとよい。

次に、そのバックアップ管理情報２０３４のハッシュ値３０４と時刻情報３０５を含む文書に電子署名３０６を付け、タイムスタンプトークン２０３５を作成する（ステップ５０４）。この処理は、図４で説明した通りTSAを利用して行う。タイムスタンプトークン２０３５は、将来、元の文書のタイムスタンプトークン２０３５が必要になった時点で、タイムスタンプトークン２０３５をTSA４０２の公開鍵証明書を用いて検証することにより、時刻証明書が発行された時点において、元の文書が存在していたことを証明することができると同時に、タイムスタンプ２０３５の受付時刻以降、元の文書は改竄されていないことを証明することができる。

最後に、バックアップ管理情報２０３４とタイムスタンプトークン２０３５を原本管理情報保管装置（追記型光ディスク装置）２０４にアーカイブする（ステップ５０５）。図２の２０４１，２０４２がアーカイブされたこれらのデータである。耐久性の高い追記型光ディスク装置２０４にアーカイブすることで、より高い信頼度で原本性を保証できる。

図６（a）及び（b）は、図２に示した原本保管サーバ２０１の追記型磁気ディスク装置２０５に対するリストア処理のフローチャートを示す。この処理は、追記型磁気ディスク装置２０５がディスク障害を起こし、データ復旧が必要な場合に、原本バックアップ保管装置（追記型磁気テープ装置）２０２の原本データ（バックアップ）２０２１から磁気ディスク装置２０５にデータをリストアするものであり、原本性保証サーバ２０３が行うものである。

始めに、原本管理情報保管装置（追記型光ディスク装置）２０４からタイムスタンプトークン（バックアップ）２０４２を原本性保証サーバ２０３にリストアする（ステップ６０１）。次に、TSA（Time Stamping Authority）４０２の公開鍵証明書を用いて、そのタイムスタンプトークン２０４２に用いられた電子署名の公開鍵暗号を復号化する（ステップ６０２）。ここで、電子署名の公開鍵暗号が復号可能な場合、このタイムスタンプトークン２０４２は、信頼のおける第三者機関であるTSA（Time Stamping Authority）４０２より許可された暗号化アルゴリズムにより、保護された改竄の危険性のない有効なデータであることを証明できる。しかしながら、電子署名の公開鍵暗号が復号不可の場合、タイムスタンプトークン２０４２のデータは、破損しているか改竄後別の暗号化アルゴリズムにより暗号化されていると考えられる。よって、原本性維持のため別世代のバックアップからの復旧を再試行する必要がある。

次に、TSA（Time Stamping Authority）４０２の公開鍵証明書の有効期限が切れていないことを確認し、タイムスタンプトークン２０４２のハッシュ値３０４及び時刻情報３０５の信頼性が喪失していないかを確かめる（ステップ６０３）。有効期限内の場合、タイムスタンプトークン２０４２の原本管理情報のハッシュ値３０４及び時刻情報３０５の有効性が証明できる。しかしながら、有効期限を過ぎている場合、タイムスタンプトークン２０４２は、タイムスタンプの信頼性が喪失している。よって、原本性維持のため別世代のバックアップからの復旧を再試行する必要がある。

次に、原本管理情報保管装置（追記型光ディスク装置）２０４からバックアップ管理情報（バックアップ）２０４１を原本性保証サーバ２０３にリストアする（ステップ６０４）。次に、リストアしたバックアップ管理情報２０４１のハッシュ値を計算する（ステップ６０５）。次に、前記で計算したバックアップ管理情報２０４１のハッシュ値とタイムスタンプトークン２０４２の構成要素であるバックアップ管理情報２０４１のハッシュ値３０４とを比較する（ステップ６０６）。両者が一致した場合は、バックアップ管理情報２０４１が改竄されていないといえる。両者が一致しない場合、バックアップ管理情報２０４１が改竄されたことを意味する。よって、原本性維持のため別世代のバックアップからの復旧を再試行する必要がある。

次に、バックアップ管理情報２０４１の構成要素であるバックアップ先テープ媒体シリアルNO３０３の磁気テープ媒体が存在するか確認する（ステップ６０７）。磁気テープ媒体が存在する場合、指定された追記型磁気テープ媒体から原本データを原本保管サーバ２０１の追記型磁気ディスク装置２０５にリストアする（ステップ６０８）。このリストア制御には、原本性保証サーバ２０３のバックアッププログラム２０３１を使用する。磁気テープ媒体が存在しない場合、テープを紛失したかバックアップ時点からリストア時点の間にテープがすり替えられたと考えられる。よって、原本性維持のため別世代のバックアップからの復旧を再試行する必要がある。

次に、追記型磁気ディスク装置２０５上にリストアした原本データ２０２１のハッシュ値を計算する（ステップ６０９）。次に、その原本データ２０２１のハッシュ値とバックアップ管理情報２０４１の構成要素である原本データのハッシュ値３０２とを比較する（ステップ６１０）。両者が一致した場合は、原本データ２０２１が改竄されていないといえる。両者が一致しない場合、磁気テープ媒体のデータが破損したことを意味する。よって、原本性維持のため別世代のバックアップからの復旧を再試行する必要がある。最後に、原本保管サーバ２０１の追記型磁気ディスク装置２０５の原本データをボリュームロックし、恒久的に書き換え禁止の状態にする（ステップ６１１）。

なお、ステップ６０２で復号できなかった場合、ステップ６０３で有効期限が切れていた場合、ステップ６０６でハッシュ値が等しくなかった場合、ステップ６０７で媒体が存在しなかった場合、及び、ステップ６１０でハッシュ値が等しくなかった場合は、ここでは一世代前でバックアップで復旧することとしたが、例えば利用者にその旨を知らせるメッセージを表示し、利用者の指示を待つようにしてもよい。

本発明の実施の形態に関わる追記型磁気ディスクのバックアップ管理システムを含む全体構成を示すブロック図である。 本実施形態のバックアップ管理システムの構成を示すブロック図である。 アーカイブした原本データの原本性管理情報であるバックアップ管理情報、タイムスタンプの例を示す図である。 タイムスタンプトークン取得方式の例を示す図である。 原本データバックアップ時の処理を示すフローチャートである。 原本データリストア時の処理を示すフローチャート（その１）である。 原本データリストア時の処理を示すフローチャート（その２）である。

符号の説明

２０１…原本保管サーバ、２０２…原本バックアップ保管装置（追記型磁気テープ装置）、２０３…原本性保証サーバ、２０４…原本管理情報保管装置（追記型光ディスク装置）、２０５…追記型磁気ディスク装置、２０１１…原本データ、２０２１…原本データ（バックアップ）、２０３１…バックアッププログラム、２０３２…原本管理情報自動生成エージェント、２０３３…原本性管理情報、２０３４…バックアップ管理情報、２０３５…タイムスタンプトークン、２０４１…バックアップ管理情報（バックアップ）、２０４２…タイムスタンプトークン（バックアップ）。

Claims (6)

1. 追記型記憶媒体で管理される書き換え禁止データのバックアップを保管する記憶手段を備える追記型記憶媒体内書き換え禁止データのバックアップ管理システムであって、
   前記追記型記憶媒体内の書き換え禁止データを、追記型で可換型の記憶媒体に、バックアップする手段と、
   前記バックアップの際、バックアップした書き換え禁止データを特定するデータ識別情報と、その書き換え禁止データをバックアップした前記追記型で可換型の記憶媒体を特定するバックアップ記憶媒体識別情報とを、共に登録した第１の管理情報を記憶する手段と、
   前記第１の管理情報の原本性を確認可能な認証値を生成する手段と、
   前記第１の管理情報の認証値を含む文書に信頼できる第３者機関の電子署名を付加した第２の管理情報を生成する手段と、
   前記第２の管理情報を記憶する手段と
   を備えることを特徴とする追記型記憶媒体内書き換え禁止データのバックアップ管理システム。
2. 請求項１に記載の追記型記憶媒体内書き換え禁止データのバックアップ管理システムにおいて、
   前記追記型記憶媒体に障害が発生し、データ復旧が必要な場合、前記第２の管理情報の電子署名によりその第２の管理情報の原本性を認証する手段と、
   前記第１の管理情報を記憶する手段から第１の管理情報を読み出す手段と、
   読み出した第１の管理情報に対して、前記第２の管理情報中の第１の管理情報の認証値を用いて、その第１の管理情報の原本性を認証する手段と、
   認証された第１の管理情報中のバックアップ記憶媒体識別情報を取得する手段と、
   データ復旧のために前記追記型記憶媒体にリストアする書き換え禁止データを読み出す追記型で可換型の記憶媒体の識別情報が、前記取得したバックアップ記憶媒体識別情報に一致しているかをチェックし、一致している場合に、該記憶媒体から書き換え禁止データを読み出して前記追記型記憶媒体にリストアする手段と
   を備えることを特徴とする追記型記憶媒体内書き換え禁止データのバックアップ管理システム。
3. 請求項２に記載の追記型記憶媒体内書き換え禁止データのバックアップ管理システムにおいて、
   前記第２の管理情報は、タイムスタンプ情報を含むものであり、
   当該タイムスタンプ情報により、時刻証明書が発行された時点において、対象となる前記第１の管理情報が存在していたことを証明することができると同時に、タイムスタンプの受付時刻以降、対象となる前記第１の管理情報が改竄されていないことを証明する
   ことを特徴とする追記型記憶媒体内書き換え禁止データのバックアップ管理システム。
4. 請求項２に記載の追記型記憶媒体内書き換え禁止データのバックアップ管理システムにおいて、
   前記追記型記憶媒体は、追記型磁気ディスク装置であり、
   前記追記型で可換型の記憶媒体は、追記型磁気テープ装置であり、
   前記バックアップ記憶媒体識別情報は、前記追記型磁気テープ装置の各テープを特定するシリアルナンバである
   ことを特徴とする追記型記憶媒体内書き換え禁止データのバックアップ管理システム。
5. 請求項２に記載の追記型記憶媒体内書き換え禁止データのバックアップ管理システムにおいて、
   前記第１の管理情報は、バックアップした書き換え禁止データの原本性を確認可能な認証値を含み、
   前記データ復旧の際には、前記第１の管理情報内の書き換え禁止データの原本性を確認可能な認証値を用いて、リストアする書き換え禁止データの原本性を確認する
   ことを特徴とする追記型記憶媒体内書き換え禁止データのバックアップ管理システム。
6. 請求項２に記載の追記型記憶媒体内書き換え禁止データのバックアップ管理システムにおいて、
   前記第１の管理情報と第２の管理情報を、耐久性の高い追記型光ディスク装置に記憶することを特徴とする追記型記憶媒体内書き換え禁止データのバックアップ管理システム。

Images