JP2006293853A - 秘密情報保護システム、ダンプイメージ管理サーバ及び秘密情報保護方法 - Google Patents

Abstract

【課題】ダンプイメージを提供する際、ダンプイメージに含まれる秘密情報を保護し、かつ、コストを抑制しつつ、必要に応じて十分な情報を提供することを可能にする秘密情報保護システム、秘密情報保護システムと通信するダンプイメージ管理サーバ、及び、秘密情報保護方法を提供することを目的とする。
【解決手段】秘密情報入力監視部１０５が、記憶領域において、秘密情報が格納されたアドレスを取得する。秘密情報周辺領域特定部１４１が、アドレスに基づいて、秘密情報が格納された領域である秘密情報領域を含む秘密情報周辺領域を特定し、秘密情報秘匿部１４２が、秘密情報周辺領域に格納されている秘密情報周辺情報を秘匿する。一方、秘密情報領域特定部１５４が、アドレスと、記憶領域において秘密情報が伝播する伝播ルートとに基づいて、秘密情報領域を特定し、秘密情報秘匿部１５５が、秘密情報領域に格納されている秘密情報を秘匿する。
【選択図】図２

Description

本発明は、プログラムが利用する記憶領域の状態を示すダンプイメージに含まれる秘密情報を保護する秘密情報保護システム、秘密情報保護システムと通信するダンプイメージ管理サーバ及び秘密情報保護方法に関する。

稼働中の計算機に障害が発生した直後のメモリには、障害発生直前のプログラムの状態、入力データ、実行中の関数等、障害原因の解析に必要な情報が含まれている。このため、障害発生直後のプログラム実行コンテキスト、即ち、プログラムによって利用される記憶領域の状態を不揮発メモリに出力したダンプイメージが障害原因解析に広く用いられている。

このダンプイメージには、秘密情報が含まれる場合がある。例えば、パスワードの入力を促すプログラムや、コンテンツの暗号化を行うプログラムが実行される際には、入力されたパスワードや、暗号化前のコンテンツ等が、プログラムによって利用される記憶領域に展開される。このような秘密情報が、プログラムによって利用される記憶領域に展開されている際にダンプが行われた場合には、ダンプイメージには秘密情報が含まれることとなる。

このように、不揮発メモリに出力されたダンプイメージに含まれる秘密情報は漏洩する可能性がある。

従来、ダンプイメージに格納された秘密情報を保護するための技術が提案されている。例えば、ダンプイメージを出力する際に、各プログラムによって生成されたプロセスの内、秘密情報を扱うプロセスを選択し、選択されたプロセスよって使用されていた全てのメモリ領域に対応する領域に格納された情報を暗号化する技術が提案されている（例えば、特許文献１参照。）。

但し、上記従来技術のように、プロセスによって使用されるメモリ領域全体を対象として暗号化処理を行う場合には、秘密情報へのアクセス権限がある者しか、障害を解析し、プログラムのデバッグを行うことができない。このため、秘密情報が格納された領域をより詳細に特定し、秘密情報が格納された領域のみを対象として暗号化等によって保護する方法が考えられる。
特開２００３−１８６７４９号公報

しかしながら、秘密情報が格納された領域のみを過不足無く保護するためには、例えば、秘密情報が格納された変数の伝播規則を利用して、ダンプが行われた際の秘密情報の伝播先アドレスを特定する等の処理が必要となる。このため、秘密情報が格納された領域のみを過不足無く保護することにより、処理コストが増大する。

又、デバッグのためにダンプイメージの解析を行う際に必要とされる情報量は、既に取得されている障害報告の数や、その障害のデバッグの進捗等により異なる。例えば、既に多くの報告がなされ、デバッグも完了している障害については、プログラムを特定する情報と、プログラム異常動作時に実行されていた関数、環境変数、メモリに読み込まれていたライブラリの情報等が取得できれば、既に取得された障害報告から、同等の事例を検索することができる。このため、容易に対処方法を提示することが可能である。一方、障害報告の数が少なく、デバッグも初期の段階にある障害については、動的変数のメモリ領域やスタック領域等、プログラムのダンプイメージからできるだけ多くの情報を取得することが望ましい。

そこで、本発明は、以上の点に鑑みてなされたもので、ダンプイメージを提供する際、ダンプイメージに含まれる秘密情報を保護し、かつ、コストを抑制しつつ、必要に応じて十分な情報を提供することを可能にする秘密情報保護システム、秘密情報保護システムと通信するダンプイメージ管理サーバ、及び、秘密情報保護方法を提供することを目的とする。

本発明の第１の特徴は、プログラムが利用する記憶領域の状態を示すダンプイメージに含まれる秘密情報を保護する秘密情報保護システムであって、前記記憶領域に格納される情報を前記ダンプイメージとして出力する出力部と、前記ダンプイメージを保持するダンプイメージ保持部と、前記記憶領域に、前記秘密情報が入力されたことを検出し、前記秘密情報が格納された前記記憶領域におけるアドレスを取得する秘密情報検出部と、前記アドレスに基づいて、前記ダンプイメージの内、前記秘密情報が格納された領域である秘密情報領域を含む秘密情報周辺領域を特定する第１領域特定部と、前記秘密情報周辺領域に格納されている前記秘密情報周辺情報を秘匿する第１秘匿部と、前記アドレスと、前記記憶領域において前記秘密情報が伝播する伝播ルートとに基づいて、前記ダンプイメージの内、前記秘密情報領域を特定する第２領域特定部と、前記秘密情報領域に格納されている前記秘密情報を秘匿する第２秘匿部とを備えることを要旨とする。

第１の特徴にかかる秘密情報保護システムによれば、秘密情報検出部が、記憶領域に秘密情報が入力されたことを検出し、秘密情報が格納された記憶領域におけるアドレスを取得する。又、第１領域特定部が、アドレスに基づいて、ダンプイメージの内、秘密情報が格納された領域である秘密情報領域を含む秘密情報周辺領域を特定し、第１秘匿部が、秘密情報周辺領域に格納されている秘密情報周辺情報を秘匿する。一方、第２領域特定部が、アドレスと、記憶領域において秘密情報が伝播する伝播ルートとに基づいて、ダンプイメージの内、秘密情報領域を特定し、第２秘匿部が、秘密情報領域に格納されている秘密情報を秘匿する。

このため、ダンプイメージを提供する際、必要に応じて、第１秘匿部によって秘密情報周辺情報が秘匿されたダンプイメージか、又は、第２秘匿部によって秘密情報が秘匿されたダンプイメージを提供することが可能になる。従って、ダンプイメージを提供する際、ダンプイメージに含まれる秘密情報を保護し、かつ、コストを抑制しつつ、必要に応じて十分な情報を提供することが可能になる。

第１の特徴に係る秘密情報保護システムは、前記秘密情報検出部によって取得された前記アドレスを保持するアドレス保持部と、前記秘密情報の入力先である変数と、前記変数が格納される前記記憶領域におけるアドレスとの対応を示すアドレス変換規則を取得するアドレス変換規則取得部と、前記変数と、前記変数に入力された情報が伝播する他の変数との対応を示す伝播規則を取得する伝播規則取得部とを更に備え、前記秘密情報検出部は、前記記憶領域に、セキュリティ属性を有する情報が入力された場合に、前記秘密情報が入力されたことを検出し、前記第２領域特定部は、前記アドレス保持部によって保持されるアドレスと、前記アドレス変換規則及び前記伝播規則に基づいて特定される伝播ルートとに基づいて、前記秘密情報領域を特定するように構成されていてもよい。

第１の特徴に係る秘密情報保護システムは、前記第１秘匿部によって、前記秘密情報周辺情報が秘匿されたダンプイメージを送信する第１送信部と、前記第２秘匿部によって、前記秘密情報が秘匿されたダンプイメージの送信を要求する第２保護情報要求を受信する受信部と、前記第２保護情報要求の応答として前記第２秘匿部によって前記秘密情報が秘匿されたダンプイメージを送信する第２送信部とを更に備えてもよい。

第１の特徴に係る秘密情報保護システムにおいて、ダンプイメージ保持部は、前記ダンプイメージを識別する識別情報と、前記ダンプイメージとを関連づけて保持し、前記第１送信部は、前記秘密情報周辺情報が秘匿されたダンプイメージと、前記ダンプイメージを識別する前記識別情報とを関連づけて送信し、前記受信部は、前記識別情報を含む前記第２保護情報要求を受信し、前記第２送信部は、前記第２保護情報要求に含まれる前記識別情報によって識別される前記ダンプイメージに含まれる秘密情報が秘匿された情報を送信してもよい。

第１の特徴に係る秘密情報保護システムにおいて、前記第２保護情報要求は、前記アドレス変換規則と、前記伝播規則とを含み、前記アドレス変換規則取得部は、前記第２保護情報要求に含まれる前記アドレス変換規則を取得し、前記伝播規則取得部は、前記第２保護情報要求に含まれる前記伝播規則を取得するように構成されていてもよい。

本発明の第２の特徴は、プログラムが利用する記憶領域の状態を示すダンプイメージに含まれる秘密情報を保護する秘密情報保護システムと通信するダンプイメージ管理サーバであって、前記秘密情報保護システムから、前記秘密情報が格納された秘密情報領域を含む秘密情報周辺領域に格納された秘密情報周辺情報が秘匿された前記ダンプイメージを受信する第１保護情報受信部と、前記秘密情報保護システムに対して、前記秘密情報が秘匿された前記ダンプイメージの送信を要求する第２保護情報要求を送信する送信部と、前記第２保護情報要求の応答として、前記秘密情報が秘匿された前記ダンプイメージを受信する第２保護情報受信部とを備え、前記秘密情報周辺領域は、前記秘密情報保持装置によって、前記秘密情報が格納された前記記憶領域におけるアドレスに基づいて特定され、前記秘密情報領域は、前記秘密情報保持装置によって、前記秘密情報が格納された前記記憶領域におけるアドレスと、前記記憶領域において前記秘密情報が伝播する伝播ルートとに基づいて特定されることを要旨とする。

第２の特徴に係るダンプイメージ管理サーバは、前記秘密情報の入力先である変数と、前記変数が格納される前記記憶領域におけるアドレスとの対応を示すアドレス変換規則を保持するアドレス変換規則保持部と、前記変数と、前記変数に入力された情報が伝播する他の変数との対応を示す伝播規則を保持する伝播規則保持部とを更に備え、前記送信部は、前記アドレス変換規則保持部から取得されるアドレス変換規則と、前記伝播規則保持部から取得される伝播規則とを含む前記第２保護情報要求を送信するように構成されていてもよい。

第２の特徴に係るダンプイメージ管理サーバにおいて、前記第１保護情報受信部は、前記秘密情報周辺情報が秘匿されたダンプイメージと、前記ダンプイメージを識別する前記識別情報とを受信し、前記送信部は、前記第１保護情報受信部によって受信された前記識別情報を含む第２保護情報要求を送信してもよい。

本発明の第３の特徴は、プログラムが利用する記憶領域の状態を示すダンプイメージに含まれる秘密情報を保護する秘密情報保護方法であって、前記記憶領域に格納される情報を前記ダンプイメージとして出力するステップと、前記記憶領域に、前記秘密情報が入力されたことを検出し、前記秘密情報が格納された前記記憶領域におけるアドレスを取得するステップと、前記アドレスに基づいて、前記ダンプイメージの内、前記秘密情報が格納された領域である秘密情報領域を含む秘密情報周辺領域を特定するステップと、前記秘密情報周辺領域に格納されている前記秘密情報周辺情報を秘匿するステップと、前記アドレスと、前記記憶領域において前記秘密情報が伝播する伝播ルートとに基づいて、前記ダンプイメージの内、前記秘密情報領域を特定するステップと、前記秘密情報領域に格納されている前記秘密情報を秘匿するステップとを備えることを要旨とする。

以上説明したように、本発明によれば、ダンプイメージを提供する際、ダンプイメージに含まれる秘密情報を保護し、かつ、コストを抑制しつつ、必要に応じて十分な情報を提供することを可能にする秘密情報保護システム、秘密情報保護システムと通信するダンプイメージ管理サーバ、及び、秘密情報保護方法を提供することができる。

［第１の実施の形態］
（ダンプイメージ提供システム）
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には、同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。

図１は、本発明の実施の一形態に係るダンプイメージ提供システム１の構成例を示す概念図である。ダンプイメージ提供システム１においては、実行中のプログラム（プロセス）に障害が発生した場合、障害発生直後のプログラムによって利用されていたメモリをダンプし、ソフトウェアベンダに送信することによってベンダによる障害解析の効率化が図られる。これにより、プログラムの利用者は、障害原因が除去された更新版をより早く入手できる。

図１に示されるように、ダンプイメージ提供システム１には、秘密情報保護装置１００ａと、ベンダ管理システム２００と、ネットワーク５００とが備えられる。又、ベンダ管理システム２００には、プログラムパッケージング装置３００と、ダンプイメージ管理サーバ４００とが含まれる。

秘密情報保護装置１００ａと、ベンダ管理システム２００に含まれるプログラムパッケージング装置３００及びダンプイメージ管理サーバ４００とは、ネットワーク５００を介して互いに接続されている。ダンプイメージ管理サーバ４００は、秘密情報保護装置１００ａと通信する。

ネットワーク５００とは、例えばＬＡＮやインターネット等である。尚、ベンダ管理システム２００は、ソフトウェアベンダによって管理されるシステムである。

秘密情報保護装置１００ａは、ベンダ管理システム２００に含まれるプログラムパッケージング装置３００からプログラム６００を取得する。プログラム６００はネットワーク５００を介して取得されてもよいし、ソフトウェアベンダから提供されるＣＤ−ＲＯＭ等の媒体に記録された状態で取得されてもよい。秘密情報保護装置１００ａは、取得したプログラム６００を実行する。

秘密情報保護装置１００ａにおいて、プログラム６００が実行されている際に障害が発生した場合には、秘密情報保護装置１００ａは、ベンダ管理システム２００に含まれるダンプイメージ管理サーバ４００にネットワーク５００を介してダンプイメージ６１０ａを送信する。ダンプイメージ管理サーバ４００によって取得されたダンプイメージに基づいて、ソフトウェアベンダによって障害が解析され、プログラムのデバッグが行われる。尚、ダンプイメージとは、プログラムが利用する記憶領域の状態を示すダンプイメージ又は、ダンプイメージの一部が秘匿された情報である。

例えば、プログラム６００が実行されている際に障害が発生した場合、障害発生直後、プログラム６００によって利用される記憶領域には、利用者の秘密情報が含まれる場合がある。秘密情報保護装置１００ａは、ダンプイメージにおける秘密情報の格納領域を特定し、その領域に対して秘匿処理を行う機能を備える。この場合には、秘密情報が秘匿されたダンプイメージがダンプイメージ６１０ａとして提供される。

（秘密情報保護装置）
秘密情報保護装置１００ａは、プログラムが利用する記憶領域の状態を示すダンプイメージに含まれる秘密情報を保護する機能を備える。

図２に示されるように、秘密情報保護装置１００ａには、秘密情報入力監視部１０５と、入力先アドレス保持部１１０と、入力先アドレス取得部１１５と、ダンプ部１２０と、ダンプイメージ保持部１２５と、ダンプイメージ取得部１３０と、粗粒度保護部１４０と、細粒度保護部１５０と、第１送信部１６０と、追加情報要求受信部１６５と、第２送信部１７０とが備えられる。

秘密情報入力監視部１０５は、プログラム６００によって利用される記憶領域に秘密情報が入力されたことを検出し、秘密情報が格納された記憶領域におけるアドレスを取得する秘密情報検出部である。秘密情報入力監視部１０５は、記憶領域に、セキュリティ属性を有する情報が入力された場合に、前記秘密情報が入力されたことを検出する。

例えば、秘密情報入力監視部１０５は、プロセスがカーネルに対して発行するシステムコールを監視することにより、監視対象プロセスの記憶領域への秘密情報、即ち、セキュリティ属性を有する情報の入力を検出する。

又、本実施の形態における秘密情報入力監視部１０５は、アドレスと、秘密情報に対応付いているセキュリティ属性の値とを後述する入力先アドレス保持部１１０に格納する。

入力先アドレス保持部１１０は、秘密情報入力監視部１０５によって取得されたアドレスを保持するアドレス保持部である。又、本実施の形態における入力先アドレス保持部１１０は、秘密情報に対応付いているセキュリティ属性の値も保持する。

入力先アドレス取得部１１５は、入力先アドレス保持部１１０によって保持されるアドレス及びセキュリティ属性の値を取得する。

ダンプ部１２０は、プログラムが利用する記憶領域に格納される情報をダンプイメージとして後述するダンプイメージ保持部１２５に出力する出力部である。具体的には、ダンプ部１２０は、実行中のプログラムに障害が発生したことを契機として、障害発生直後にプログラムによって利用される記憶領域に格納されている情報、即ち、実行コンテキストを取得し、後述するダンプイメージ保持部１２５に格納する。ダンプ部１２０は、その際、ダンプイメージに識別情報を付与し、ダンプイメージを識別する識別情報をダンプイメージと関連づけてダンプイメージ保持部１２５に格納する。

ダンプイメージ保持部１２５は、ダンプ部１２０によって出力されたダンプイメージを保持する。又、本実施の形態におけるダンプイメージ保持部１２５は、ダンプイメージを識別する識別情報と、ダンプイメージとを関連づけて保持する。尚、本実施の形態におけるダンプイメージ保持部１２５は、不揮発メモリである。

ダンプイメージ取得部１３０は、ダンプイメージ保持部１２５によって保持されるダンプイメージを取得する。又、ダンプイメージ取得部１３０は、ダンプイメージ保持部１２５を監視し、新たなダンプイメージが格納された際に、ダンプ部１２０によってメモリがダンプされた旨を示すダンプ通知を秘密情報周辺領域特定部１４１に入力する。尚、ダンプ通知には、ダンプイメージを識別する識別情報が含まれる。

粗粒度保護部１４０は、ダンプイメージに秘密情報が格納されている領域を大まかに特定し、特定された領域に格納されている情報を秘匿する機能を備える。尚、後述する秘密情報周辺領域特定部１４１は、ダンプイメージ取得部１３０からダンプ通知を取得した際に秘密情報周辺領域を特定する。従って、粗粒度保護部１４０は、ダンプ部１２０によってメモリがダンプされたことを契機として処理を開始する。

粗粒度保護部１４０には、秘密情報周辺領域特定部１４１と、秘密情報秘匿部１４２とが含まれる。

秘密情報周辺領域特定部１４１は、入力先アドレス保持部１１０によって保持されるアドレスに基づいて、ダンプイメージの内、秘密情報が格納された領域である秘密情報領域を含む秘密情報周辺領域を特定する第１領域特定部である。

具体的には、秘密情報周辺領域特定部１４１は、ダンプ部１２０によってメモリがダンプされた旨の通知をダンプイメージ取得部１３０から取得する。秘密情報周辺領域特定部１４１は、メモリがダンプされた旨の通知を取得した際に、入力先アドレス取得部１１５を介して入力先アドレス保持部１１０を参照する。秘密情報周辺領域特定部１４１は、入力先アドレス保持部１１０によってアドレスが保持されている場合には、そのアドレスを含むセグメントを特定し、そのセグメントを示す情報を後述する秘密情報秘匿部１４２に入力する。又、その際、秘密情報周辺領域特定部１４１は、ダンプ通知に含まれる識別情報も秘密情報秘匿部１４２に入力する。

セグメントを示す情報とは、例えば、セグメントの先頭のアドレスと末尾のアドレスである。尚、プログラム（プロセス）によって利用される記憶領域がヒープ、スタックである場合には、セグメントを指定する情報は、セグメントの先頭のアドレスである。

又、秘密情報周辺領域特定部１４１は、セキュリティ属性の値に関わらず、セグメントを特定してもよいし、セキュリティ属性の値によって特定するセグメントを変化させてもよい。セキュリティ属性の値によって特定するセグメントを変化させる場合には、秘密情報周辺領域特定部１４１は、入力先アドレス取得部１１５を介して、入力先アドレス保持部１１０から、セキュリティ属性の値も取得する。

例えば、図３に示されるように、セキュリティ属性の値は複数のセキュリティレベルを示すことができる。セキュリティレベルＡは、セキュリティレベルが高いことを示し、セキュリティレベルＣは、セキュリティレベルが低いことを示す。秘密情報周辺領域特定部１４１が、異なるセキュリティ属性の値と関連づけられる複数のアドレスを取得した場合には、最も高いセキュリティレベルと関連づけられているアドレスを含むセグメントのみを特定してもよい。

秘密情報秘匿部１４２は、秘密情報周辺領域に格納されている秘密情報周辺情報を秘匿する第１秘匿部である。秘密情報秘匿部１４２は、ダンプイメージの複製の内、秘密情報周辺情報が秘匿された情報である粗粒度保護情報を生成する。具体的には、秘密情報秘匿部１４２は、秘密情報周辺領域特定部１４１からセグメントを指定する情報と、ダンプイメージを識別する識別情報とを取得する。秘密情報秘匿部１４２は、ダンプイメージ取得部１３０を介して、ダンプイメージ保持部１２５において、取得した識別情報と関連づけられているダンプイメージを取得する。秘密情報秘匿部１４２は、取得したダンプイメージの内、秘密情報周辺領域特定部１４１によって特定されたセグメントに含まれる情報を秘匿する。

秘密情報秘匿部１４２は、例えば、特定されたセグメントを意味の無いデータ列で上書きすることによってセグメントを秘匿化する。或いは、秘密情報秘匿部１４２は、特定されたセグメントに含まれる情報を暗号化することによってセグメントを秘匿化してもよい。

秘密情報秘匿部１４２は、生成した粗粒度保護情報と、ダンプイメージ取得部１３０から取得した識別情報とを関連づけて第１送信部１６０に入力する。

細粒度保護部１５０は、ダンプイメージに秘密情報が格納されている領域を詳細に特定し、特定された領域に格納されている情報を秘匿する機能を備える。

細粒度保護部１５０には、識別情報取得部１５１と、伝播規則取得部１５２と、変換規則取得部１５３と、秘密情報領域特定部１５４と、秘密情報秘匿部１５５とが含まれる。

識別情報取得部１５１は、後述する追加情報要求受信部１６５によって受信された追加情報要求に含まれる識別情報を取得する。尚、追加情報要求とは、細粒度保護部１５０に含まれる秘密情報秘匿部１５５によって、秘密情報が秘匿されたダンプイメージの送信を要求する第２保護情報要求であり、ダンプイメージを識別する識別情報と、アドレス変換規則と、伝播規則とを含む。

伝播規則取得部１５２は、変数に入力された情報が伝播する他の変数との対応を示す伝播規則を取得する。伝播規則は、後述する追加情報要求受信部１６５によって受信された追加情報要求に含まれる。

尚、伝播規則は、プログラム６００を提供するソフトウェアベンダによって生成される。例えば、ベンダ管理システム２００に含まれるプログラムパッケージング装置３００によって、生成される。伝播規則は、例えば図４左に示すような有向グラフで記述される。図４の伝播規則において、各ノードは、プログラム内で参照される各変数を表し、Ｘ_n（ｎ＝１，２，…）は、それらの変数を一位に識別する識別子である。識別子は、例えば、プログラムソース内における変数の登場順に自然数を割り当てる。各エッジは、エッジの先にある変数が、エッジの元にある変数から導出されることを表している。例えば、図３右に示すように、複数の変数からの四則演算結果や代入演算結果が、別の変数に代入される場合などが相当する（ここでは、説明の簡単のため、変数名ではなく識別子をプログラムソース内で使用している。）。

変換規則取得部１５３は、秘密情報の入力先である変数と、変数が格納される記憶領域におけるアドレスとの対応を示すアドレス変換規則を取得する。アドレス変換規則は、後述する追加情報要求受信部１６５によって受信された追加情報要求に含まれる。

尚、アドレス変換規則は、例えば図５に示されるようなテーブルで表現され、識別子、識別子に対応する変数のメモリ先頭アドレス、及びデータサイズが登録される。

秘密情報領域特定部１５４は、入力先アドレス取得部１１５を介して入力先アドレス保持部１１０から取得されたアドレスと、記憶領域において秘密情報が伝播する伝播ルートとに基づいて、ダンプイメージの内、秘密情報領域を特定する第２領域特定部である。秘密情報領域とは、秘密情報が格納されうるメモリ領域を変数単位で特定したものである。尚、秘密情報領域特定部１５４は、アドレス変換規則及び伝播規則に基づいて伝播ルートを特定する。

具体的には、秘密情報領域特定部１５４は、識別情報取得部１５１からダンプイメージの識別情報を取得し、伝播規則取得部１５２から伝播規則を取得し、変換規則取得部１５３から変換規則を取得し、入力先アドレス取得部１１５から、秘密情報が格納されているアドレスと、秘密情報に対応付いているセキュリティ属性の値とを取得する。秘密情報領域特定部１５４は、アドレスと、セキュリティ属性の値と、伝播規則と、アドレス変換規則とに基づいて、秘密情報が格納されうるメモリ領域を変数単位で特定する。尚、変数単位で特定されたメモリ領域は、秘密情報領域である。

秘密情報領域特定部１５４は、識別情報取得部１５１から取得した識別情報と、特定した秘密情報領域を示す情報を秘密情報秘匿部１５５に入力する。

秘密情報秘匿部１５５は、秘密情報領域に格納されている秘密情報を秘匿する第２秘匿部である。秘密情報秘匿部１５５は、ダンプイメージの複製の内、秘密情報が秘匿された情報である細粒度保護情報を生成する。

具体的には、秘密情報秘匿部１５５は、ダンプイメージ取得部１３０を介して、ダンプイメージ保持部１２５において、取得した識別情報と関連づけられているダンプイメージを取得する。又、秘密情報秘匿部１５５は、秘密情報領域特定部１５４によって特定された秘密情報領域を示す情報を取得する。秘密情報秘匿部１５５は、取得されたダンプイメージの内、秘密情報領域に含まれる情報を秘匿する。

秘密情報秘匿部１５５は、例えば、秘密情報領域に含まれる情報を意味の無いデータ列で上書きすることによって秘匿する。或いは、秘密情報秘匿部１５５は、特定された秘密情報領域に含まれる情報を暗号化することによって秘匿してもよい。

秘密情報秘匿部１５５は、生成した細粒度保護情報と、秘密情報領域特定部１５４から取得した識別情報とを関連づけて第２送信部１７０に入力する。

第１送信部１６０は、秘密情報秘匿部１４２から取得した粗粒度保護情報と、ダンプイメージを識別する識別情報とを関連づけて、ネットワーク５００を介してダンプイメージ管理サーバ４００に送信する。

追加情報要求受信部１６５は、細粒度保護情報を要求する追加情報要求を受信する受信部である。追加情報要求受信部１６５は、ダンプイメージを識別する識別情報を含む追加情報要求を受信する。具体的には、追加情報要求受信部１６５は、ネットワーク５００を介して、ダンプイメージ管理サーバ４００によって送信される追加情報を受信する。追加情報要求受信部１６５は、受信した追加情報要求を細粒度保護部１５０に入力する。

第２送信部１７０は、秘密情報秘匿部１５５から取得した細粒度保護情報と、ダンプイメージを識別する識別情報とを関連づけて、ネットワーク５００を介してダンプイメージ管理サーバ４００に送信する。尚、秘密情報秘匿部１５５において、追加情報に含まれる識別情報によって識別されるダンプイメージに含まれる秘密情報が秘匿され、細粒度保護情報が生成される。従って、第２送信部１７０は、追加情報要求に含まれる識別情報によって識別されるダンプイメージに含まれる秘密情報が秘匿された情報を送信する。

又、追加情報要求受信部１６５によって追加情報要求が受信された際に、細粒度保護部１５０に、秘密情報を秘匿するために必要な情報が入力され、細粒度保護部１５０に含まれる秘密情報秘匿部１５５によって細粒度保護情報が生成される。即ち、第２送信部１７０は、追加情報要求の応答として細粒度保護情報を送信する。

（ダンプイメージ管理サーバ）
図６に示されるように、ダンプイメージ管理サーバ４００には、受信部４１０と、変換規則保持部４２０と、伝播規則保持部４３０と、ダンプイメージ保持部４４０と、粗粒度保護情報取得部４５０と、追加情報要否判断部４６０と、追加情報要求生成部４７０と、送信部４８０と、細粒度保護情報取得部４９０とが備えられる。

受信部４１０は、秘密情報保護装置１００ａから、ネットワーク５００を介してデータを受信する。受信部４１０は、粗粒度保護情報とダンプイメージを識別する識別情報とを受信する第１保護情報受信部としての機能と、細粒度保護情報とダンプイメージを識別する識別情報とを受信する第２保護情報受信部としての機能とを備える。尚、細粒度保護情報は、後述する送信部４８０によって秘密情報保護装置１００ａに送信される追加情報要求の応答として送信される。

変換規則保持部４２０は、図５に示されるようなアドレス変換規則を保持する。アドレス変換規則は、ソフトウェアベンダによって生成される。例えば、プログラムのソースコードをコンパイルするコンパイラにが、アドレス変換規則を生成する。

伝播規則保持部４３０は、図４に示されるような伝播規則を保持する。伝播規則は、ソフトウェアベンダによって、例えば、プログラムのソースコードに基づいて生成される。

ダンプイメージ保持部４４０は、秘密情報保護装置１００ａによって送信され、ダンプイメージ管理サーバ４００によって受信されたダンプイメージを保持する。具体的には、ダンプイメージ保持部４４０は、後述する粗粒度保護情報取得部４５０によって取得された粗粒度保護情報と識別情報とを関連づけて保持し、後述する細粒度保護情報取得部４９０によって取得された細粒度保護情報と識別情報とを関連づけて保持する。

粗粒度保護情報取得部４５０は、受信部４１０によって秘密情報保護装置１００ａから受信された粗粒度保護情報と識別情報とを取得する。尚、粗粒度保護情報は、秘密情報保護装置１００ａにおいてダンプ処理がされた際、即ち、秘密情報保護装置１００ａにおいて実行中のプログラムに障害が発生したことを契機として送信される。

追加情報要否判断部４６０は、粗粒度保護情報において、秘匿されているセグメント内の情報が必要であるか否かを判断する。追加情報要否判断部４６０は、秘匿されているセグメント内の情報が必要であると判断した場合には、追加情報要求の生成を促す通知と、粗粒度保護情報取得部４５０から取得される識別情報とを後述する追加情報要求生成部４７０に入力する。

追加情報要否判断部４６０は、例えば、キーボード等の入力装置を介して、障害の解析を行う解析者の指示を取得し、指示に基づいて、秘匿されているセグメント内の情報が必要であるか否かを判断してもよい。或いは、ダンプイメージ管理サーバ４００内に、障害報告が保持されている場合には、追加情報要否判断部４６０は、粗粒度保護情報と、障害報告とに基づいて自動的に、秘匿されているセグメント内の情報が必要であるか否かを判断してもよい。

追加情報要求生成部４７０は、秘密情報保護装置１００ａに対して、細粒度保護情報の送信を要求する追加情報要求を生成する。具体的には、追加情報要求生成部４７０は、追加情報要否判断部４６０から、追加情報要求の生成を促す旨の通知を受けた際に、変換規則保持部４２０によって保持されるアドレス変換規則と、伝播規則保持部４３０によって保持される伝播規則とを取得する。追加情報要求生成部４７０は、追加情報要否判断部４６０から取得した識別情報と、アドレス変換規則と、伝播規則とを含む追加情報要求を生成する。

送信部４８０は、追加情報要求を、ネットワーク５００を介して、秘密情報保護装置１００ａに送信する。

細粒度保護情報取得部４９０は、受信部４１０によって秘密情報保護装置１００ａから受信された細粒度保護情報と識別情報とを取得する。

（秘密情報保護方法）
次に、ダンプイメージ提供システム１における、秘密情報保護方法を、図７を用いて説明する。

ステップＳ１０１において、秘密情報保護装置１００ａのダンプ部１２０が、ダンプ処理を行う。

ステップＳ１０２において、粗粒度保護部１４０が、ダンプイメージに秘密情報が格納されている領域を大まかに特定し、特定された領域に格納されている情報を秘匿することにより、粗粒度保護情報を生成する。

ステップＳ１０３において、秘密情報保護装置１００ａの第１送信部１６０が粗粒度保護情報を送信し、ダンプイメージ管理サーバ４００の受信部４１０が粗粒度保護情報を受信する。

ステップＳ１０４において、ダンプイメージ管理サーバ４００の追加情報要否判断部４６０が、追加情報が必要であるか否かを判断する。

ステップＳ１０４において、追加情報が必要であると判断された場合には、ステップＳ１０５において、ダンプイメージ管理サーバ４００の追加情報要求生成部４７０が追加情報要求を生成する。

ステップＳ１０６において、ダンプイメージ管理サーバ４００の送信部４８０が追加情報要求を送信し、秘密情報保護装置１００ａの追加情報要求受信部１６５が追加情報要求を受信する。

ステップＳ１０７において、細粒度保護部１５０が、ダンプイメージに秘密情報が格納されている領域を詳細に特定し、特定された領域に格納されている情報を秘匿することにより、細粒度保護情報を生成する。

ステップＳ１０８において、秘密情報保護装置１００ａの第２送信部１７０が、細粒度保護情報を送信し、ダンプイメージ管理サーバ４００の受信部４１０が細粒度保護情報を受信する。

一方、ステップＳ１０４において、追加情報が必要でないと判断された場合には、処理が終了する。

（効果）
本実施の形態に係る秘密情報保護装置１００ａによれば、秘密情報入力監視部１０５が、記憶領域に、秘密情報が入力されたことを検出し、秘密情報が格納された記憶領域におけるアドレスを取得する。又、秘密情報周辺領域特定部１４１が、アドレスに基づいて、ダンプイメージの内、秘密情報が格納された領域である秘密情報領域を含む秘密情報周辺領域を特定し、秘密情報秘匿部１４２が、秘密情報周辺領域に格納されている秘密情報周辺情報を秘匿する。一方、秘密情報領域特定部１５４が、アドレスと、記憶領域において秘密情報が伝播する伝播ルートとに基づいて、ダンプイメージの内、秘密情報領域を特定し、秘密情報秘匿部１５５が、秘密情報領域に格納されている秘密情報を秘匿する。

このため、ダンプイメージを提供する際、必要に応じて、第１秘匿部によって秘密情報周辺情報が秘匿されたダンプイメージ（粗粒度保護情報）か、又は、第２秘匿部によって秘密情報が秘匿されたダンプイメージ（細粒度保護情報）を提供することができる。従って、ダンプイメージを提供する際、ダンプイメージに含まれる秘密情報を保護し、かつ、コストを抑制しつつ、必要に応じて十分な情報を提供することが可能になる。

例えば、少ない情報で十分デバッグができるような場合には、秘密情報が格納された領域を大まかに特定して、特定された領域に含まれる情報を秘匿することによってコストを抑制することができる。一方、デバッグをする際にできるだけ多くの情報が必要な場合には、秘密情報が格納された領域を詳細に特定して、特定された領域に含まれる情報を秘匿することによって、デバッグに活用できる情報を多く取得することができる。このように、障害の解析に求められる情報量に応じて、秘密情報の保護粒度保護コストを調整することが可能となる。従って、効率的で安全なダンプイメージの収集が可能となる。

尚、このように、秘密情報保護装置１００ａは、単独で秘密情報保護システムとして機能する。

又、本実施の形態における秘密情報保護装置１００ａによれば、秘密情報入力監視部１０５によって取得され、入力先アドレス保持部１１０によって保持されるアドレスと、伝播規則取得部１５２によって取得された伝播規則と、変換規則取得部１５３によって取得されたアドレス変換規則とに基づいて、秘密情報領域特定部１５４が、秘密情報領域を特定する。このため、秘密情報領域特定部１５４は、秘密情報が格納された領域のみを過不足無く変数単位で特定することができる。

更に、本実施の形態における秘密情報保護装置１００ａによれば、ダンプ部１２０によってメモリがダンプされたことを契機として粗粒度保護部１４０が処理を開始し、第１送信部１６０が、粗粒度保護部１４０によって生成された粗粒度保護情報をダンプイメージ管理サーバ４００に送信する。又、追加情報要求受信部１６５が追加情報要求を受信したことを契機として細粒度保護部１５０が処理を開始し、第２送信部１７０が、細粒度保護部１５０によって生成された細粒度保護情報をダンプイメージ管理サーバ４００に送信する。

このため、簡易な処理により実現できる粗粒度の保護を適用したダンプイメージを、まず、ダンプイメージ管理サーバ４００に送信し、ダンプイメージ管理サーバ４００によって、若しくは、ダンプイメージ管理サーバ４００を操作する障害の解析者によって、より多くの情報が求められた場合にのみ、煩雑な処理を必要とする細粒度の保護を適用したダンプイメージをダンプイメージ管理サーバ４００に送信することができる。

これに対し、本実施の形態に係るダンプイメージ管理サーバ４００によれば、受信部４１０が秘密情報保護装置１００ａから粗粒度保護情報を受信し、送信部４８０が、細粒度保護情報を要求する追加情報要求を秘密情報保護装置１００ａに送信し、受信部４１０が、追加情報要求の応答として細粒度保護情報を受信する。

このため、障害の解析のために、粗粒度保護情報から取得できる情報では、情報が不足していると判断された場合に限り細粒度保護情報を要求することが可能となる。従って、より効率的に障害を解析することが可能となる。従って、ベンダ管理システム２００に含まれるダンプイメージ管理サーバ４００は、コストを抑制しつつ、効率的に秘密情報が保護されたダンプイメージを収集することができる。

又、本発明の実施の形態における秘密情報保護装置１００ａによれば、ダンプ部１２０が、ダンプイメージに識別情報を付与し、ダンプイメージ保持部１２５が、ダンプイメージを識別する識別情報と、ダンプイメージとを関連づけて保持し、第１送信部１６０が、粗粒度保護情報と識別情報とを関連づけてダンプイメージ管理サーバ４００に送信し、追加情報要求受信部１６５が、識別情報を含む追加情報要求を受信し、第２送信部１７０が、追加情報要求に含まれる識別情報によって識別されるダンプイメージに含まれる秘密情報が秘匿された情報である細粒度保護情報を送信する。

これに対し、本実施の形態に係るダンプイメージ管理サーバ４００によれば、受信部４１０は、粗粒度保護情報と識別情報とを受信し、送信部４８０は、識別情報を含む細粒度保護情報を送信する。

このため、秘密情報保護装置１００ａにおいて、複数回の障害が発生した場合のように、複数のダンプイメージがダンプイメージ管理サーバ４００に送信される場合であっても、障害の解析者が追加情報を要求するダンプイメージを指定することが容易になる。従って、複数の障害事象の解析を効率的に実施することが可能となる。

更に、本実施の形態における秘密情報保護装置１００ａによれば、追加情報要求が、アドレス変換規則と、前記伝播規則とを含み、伝播規則取得部１５２が、追加情報要求に含まれる伝播規則を取得し、変換規則取得部１５３が、追加情報要求に含まれるアドレス変換規則を取得する。又、細粒度保護部１５０が、このように取得されたアドレス変換規則と、伝播規則とに基づいて、細粒度保護情報を生成する。

これに対し、本実施の形態に係るダンプイメージ管理サーバ４００によれば、変換規則保持部４２０がアドレス変換規則を保持し、伝播規則保持部４３０が伝播規則を保持し、追加情報要求生成部４７０が、アドレス変換規則と伝播規則とを含む追加情報要求を生成し、送信部４８０が、追加情報要求を送信する。

このため、ダンプイメージ管理サーバ４００を管理するソフトウェアベンダは、粗粒度保護情報から取得できる情報では情報が不足していると判断した場合にのみ、秘密情報保護装置１００ａにアドレス変換規則と伝播規則とを送信すればよいため、アドレス変換規則及び伝播規則を送信するためのコストを抑制することが可能となる。

本実施の形態に係るダンプイメージ提供システム１によれば、ダンプイメージに含まれる秘密情報が確実に秘匿されるため、プログラムの利用者は、秘密情報の漏洩に対する懸念を軽減することができ、安心してダンプイメージをソフトウェアベンダによって管理されるベンダ管理システム２００に送信することができる。一方、ソフトウェアベンダ側は、必要に応じて十分な情報を取得することができ、障害の解析が効率的に行われる。

更に、ソフトウェアベンダ側によって追加情報が必要な場合にのみ細粒度保護情報が生成されるため、秘密情報保護装置１００ａにおける処理コストを抑制することができる。

［第２の実施の形態］
図２は本実施の一形態に係るダンプイメージ提供システム２の構成例を示す概念図である。ダンプイメージ提供システム２は、図１に示されるダンプイメージ提供システム１と類似の構成を備える。ダンプイメージ提供システム２は、図１に示される秘密情報保護装置１００ａに代えて、秘密情報保護装置１００ｂ及び秘密情報保護装置１００ｃを備える。又、ダンプイメージ提供システム２は、図１に示されるネットワーク５００に代えて、ＬＡＮ／ＷＡＮ５０１及びインターネット５０２を備える。尚、ＬＡＮ／ＷＡＮ５０１及びインターネット５０２は、ネットワーク５００の一例である。

ダンプイメージ提供システム２においては、秘密情報保護装置１００ｂとダンプイメージ管理サーバ４００とは、ＬＡＮ／ＷＡＮ５０１及びインターネット５０２を介して互いに接続され、秘密情報保護装置１００ｃとダンプイメージ管理サーバ４００とも、ＬＡＮ／ＷＡＮ５０１及びインターネット５０２を介して互いに接続される。

本実施の形態における秘密情報保護装置１００ｂと、秘密情報保護装置１００ｃとは、ＬＡＮ／ＷＡＮ５０１を介して接続される。例えば、秘密情報保護装置１００ｂと秘密情報保護装置１００ｃとは、複数の計算機上で業務用のアプリケーションプログラムを実行する業務システムに含まれる。秘密情報保護装置１００ｂは、業務用のアプリケーションプログラムを実行する複数の計算機の一つであり、秘密情報保護装置１００ｃは、業務システムの管理者によって管理され、運営されるサーバである。

秘密情報保護装置１００ｂは、ベンダ管理システム２００に含まれるプログラムパッケージング装置３００からプログラム６００を取得する。秘密情報保護装置１００ｂは、取得したプログラム６００を実行する。

秘密情報保護装置１００ｂにおいて、プログラム６００が実行されている際に障害が発生した場合には、秘密情報保護装置１００ｂは、ベンダ管理システム２００に含まれるダンプイメージ管理サーバ４００にＬＡＮ／ＷＡＮ５０１及びインターネット５０２を介してダンプイメージ６１０ｂを送信する。又、秘密情報保護装置１００ｂは、ＬＡＮ／ＷＡＮ５０１を介して秘密情報保護装置１００ｃにダンプイメージ６１０ｂを送信する。

秘密情報保護装置１００ｃは、ＬＡＮ／ＷＡＮ５０１及びインターネット５０２を介してダンプイメージ６１０ｃを送信する。尚、秘密情報保護装置１００ｃは、ダンプイメージ管理サーバ４００からの追加要求に応じて、ダンプイメージ６１０ｃを送信する。

尚、ダンプイメージ６１０ｂ，６１０ｃは、秘密情報が秘匿されたダンプイメージである。ダンプイメージ６１０ｂは、ダンプイメージに秘密情報が格納されている領域を大まかに特定し、特定された領域に格納されている情報を秘匿することによって得られる粗粒度保護情報であり、ダンプイメージ６１０ｃは、ダンプイメージに秘密情報が格納されている領域を詳細に特定し、特定された領域に格納されている情報を秘匿することによって得られる細粒度保護情報である。

以下、秘密情報保護装置１００ｂ，１００ｃについて詳細に説明する。

（秘密情報保護装置）
図９に示されるように、第１の実施の形態における秘密情報保護装置１００ａに備えられる構成要素は、秘密情報保護装置１００ｂと秘密情報保護装置１００ｃとに分けて備えられる。特に、秘密情報保護装置１００ａに備えられる粗粒度保護部１４０と細粒度保護部１５０とが、秘密情報保護装置１００ｂと秘密情報保護装置１００ｃとに分けて備えられる。このように、秘密情報保護装置１００ｂ，１００ｃは、共に、プログラムが利用する記憶領域の状態を示すダンプイメージに含まれる秘密情報を保護する機能を備える。又、秘密情報保護装置１００ｂと秘密情報保護装置１００ｃとが秘密情報保護システムとして機能する。

秘密情報保護装置１００ｂは、第１の実施の形態における秘密情報保護装置１００ａに備えられる秘密情報入力監視部１０５と、入力先アドレス保持部１１０と、入力先アドレス取得部１１５と、ダンプ部１２０と、ダンプイメージ保持部１２５と、ダンプイメージ取得部１３０と、粗粒度保護部１４０と、第１送信部１６０とを備える。各構成要素は、第１の実施の形態における各要素と同様の機能を備える。但し、ダンプイメージ取得部１３０は、ダンプイメージ保持部１２５に新たなダンプイメージが格納された際に、そのダンプイメージと、ダンプイメージを識別する識別情報とを後述する第３送信部１７５に入力する。

秘密情報保護装置１００ｂは、更に、第３送信部１７５を備える。第３送信部１７５は、秘密情報保護装置１００ｃに備えられる細粒度保護部１５０によって用いられる情報を取得し、ＬＡＮ／ＷＡＮ５０１を介して秘密情報保護装置１００ｃに送信する。

具体的には、第３送信部１７５は、入力先アドレス取得部１１５から取得したアドレスと、秘密情報に対応付いているセキュリティ属性の値とを取得する。又、第３送信部１７５は、ダンプイメージ取得部１３０からダンプイメージと識別情報とを取得する。

第３送信部１７５は、取得したアドレスと、セキュリティ属性の値及びダンプイメージと識別情報とを秘密情報保護装置１００ｃに送信する。

秘密情報保護装置１００ｃは、第１の実施の形態における秘密情報保護装置１００ａに備えられる細粒度保護部１５０と、追加情報要求受信部１６５と、第２送信部１７０とを備える。各構成要素は、第１の実施の形態における各要素と同様の機能を備える。但し、秘密情報領域特定部１５４は、第１の実施の形態における秘密情報領域特定部１５４のように、秘密情報が格納されているアドレスと、秘密情報に対応付いているセキュリティ属性の値とを入力先アドレス取得部１１５から取得するのでなく、後述する入力先データ受信部１８０から取得する。又、秘密情報秘匿部１５５は、第１の実施の形態における秘密情報秘匿部１５５と異なり、後述するダンプイメージ受信部１８５を介して、ダンプイメージ保持部１９０において、取得した識別情報と関連づけられているダンプイメージを取得する。

秘密情報保護装置１００ｃは、更に、入力先データ受信部１８０と、ダンプイメージ受信部１８５と、ダンプイメージ保持部１９０と、入力先アドレス保持部１９５とを備える。

入力先データ受信部１８０は、秘密情報保護装置１００ｂから、ＬＡＮ／ＷＡＮ５０１を介して、アドレスと、セキュリティ属性の値とを取得する。入力先データ受信部１８０は、取得したアドレスと、セキュリティ属性の値とを入力先アドレス保持部１９５に格納する。

ダンプイメージ受信部１８５は、秘密情報保護装置１００ｂから、ＬＡＮ／ＷＡＮ５０１を介して、ダンプイメージと識別情報とを取得する。ダンプイメージ受信部１８５は、取得したダンプイメージと識別情報とを関連づけてダンプイメージ保持部１９０に格納する。

ダンプイメージ保持部１９０は、ダンプイメージ受信部１８５によって格納されたダンプイメージと識別情報とを関連づけて保持する。

入力先アドレス保持部１９５は、入力先データ受信部１８０によって受信されたアドレス及びセキュリティ属性の値を保持する。

（効果）
本実施の形態に係る秘密情報保護装置１００ｂ及び秘密情報保護装置１００ｃによれば、プログラムが実行される秘密情報保護装置１００ｂに含まれる粗粒度保護部１４０において粗粒度保護情報が生成され、送信され、一方、秘密情報保護装置１００ｃに含まれる細粒度保護部１５０において細粒度保護情報が生成され、送信される。

このため、秘密情報保護装置１００ｂは、ダンプイメージにおいて秘密情報が保持されている領域を詳細に特定する必要がない。従って、プログラムが実行される秘密情報保護装置１００ｂにおける負荷を抑制することができる。

又、秘密情報保護装置１００ｂと秘密情報保護装置１００ｃとは、複数の計算機上で業務用のアプリケーションプログラムを実行する業務システムに含まれることが考えられる。このような業務システムには、業務用のアプリケーションプログラムを実行する複数の計算機と、業務システムの管理者によって管理され、運営されるサーバとが含まれることが考えられる。

この場合、粗粒度保護情報の生成と送信とを各計算機で行い、追加情報要求の受信及び処理と、細粒度保護情報の生成と送信とをサーバにおいて一括して行うことが可能となる。従って、このような業務システムに含まれる計算機の数が非常に大きくなる場合であっても、サーバにおいては全てのダンプイメージについて処理する必要がないため、サーバのスケーラビリティが損なわれない。又、業務の妨げとなり得る計算機の負荷も抑制される。

尚、このような業務システムでは、特に、企業秘密保護のためダンプイメージからの情報漏洩を防止する必要性が大きい。

（その他の実施の形態）
本発明は上記の実施の形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。

例えば、第２の実施の形態における第３送信部は、全てのダンプイメージを秘密情報保護装置１００ｃに送信することとしているが、秘密情報保護装置１００ｃによって追加情報要求が受信されたダンプイメージの送信を秘密情報保護装置１００ｂに要求し、秘密情報保護装置１００ｂが、要求の応答としてダンプイメージを秘密情報保護装置１００ｃに送信することといてもよい。

図１は、第１の実施の形態に係るダンプイメージ提供システムの概念図である。 図２は、第１の実施の形態に係る秘密情報保護装置の構成図である。 図３は、第１の実施の形態に係るセキュリティ属性について説明する図である。 図４は、第１の実施の形態に係る伝播規則を示す図である。 図５は、第１の実施の形態に係るアドレス変換規則を示す図である。 図６は、第１の実施の形態に係るダンプイメージ管理サーバの構成図である。 図７は、第１の実施の形態に係る秘密情報保護方法を示すシーケンス図である。 図８は、第２の実施の形態に係るダンプイメージ提供システムの概念図である。 図９は、第２の実施の形態に係る秘密情報保護装置の構成図である。

符号の説明

１…ダンプイメージ提供システム
２…ダンプイメージ提供システム
１００ａ〜１００ｃ…秘密情報保護装置
１０５…秘密情報入力監視部
１１０…入力先アドレス保持部
１１５…入力先アドレス取得部
１２０…ダンプ部
１２５…ダンプイメージ保持部
１３０…ダンプイメージ取得部
１４０…粗粒度保護部
１４１…秘密情報周辺領域特定部
１４２…秘密情報秘匿部
１５０…細粒度保護部
１５１…識別情報取得部
１５２…伝播規則取得部
１５３…変換規則取得部
１５４…秘密情報領域特定部
１５５…秘密情報秘匿部
１６０…第１送信部
１６５…追加情報要求受信部
１７０…第２送信部
１７５…第３送信部
１８０…入力先データ受信部
１８５…ダンプイメージ受信部
１９０…ダンプイメージ保持部
１９５…入力先アドレス保持部
２００…ベンダ管理システム
３００…プログラムパッケージング装置
４００…ダンプイメージ管理サーバ
４１０…受信部
４２０…変換規則保持部
４３０…伝播規則保持部
４４０…ダンプイメージ保持部
４５０…粗粒度保護情報取得部
４６０…追加情報要否判断部
４７０…追加情報要求生成部
４８０…送信部
４９０…細粒度保護情報取得部
５００…ネットワーク
５０１…ＷＡＮ
５０２…インターネット
６００…プログラム
６１０ａ〜６１０ｃ…ダンプイメージ

Claims (9)

1. プログラムが利用する記憶領域の状態を示すダンプイメージに含まれる秘密情報を保護する秘密情報保護システムであって、
   前記記憶領域に格納される情報を前記ダンプイメージとして出力する出力部と、
   前記ダンプイメージを保持するダンプイメージ保持部と、
   前記記憶領域に、前記秘密情報が入力されたことを検出し、前記秘密情報が格納された前記記憶領域におけるアドレスを取得する秘密情報検出部と、
   前記アドレスに基づいて、前記ダンプイメージの内、前記秘密情報が格納された領域である秘密情報領域を含む秘密情報周辺領域を特定する第１領域特定部と、
   前記秘密情報周辺領域に格納されている前記秘密情報周辺情報を秘匿する第１秘匿部と、
   前記アドレスと、前記記憶領域において前記秘密情報が伝播する伝播ルートとに基づいて、前記ダンプイメージの内、前記秘密情報領域を特定する第２領域特定部と、
   前記秘密情報領域に格納されている前記秘密情報を秘匿する第２秘匿部とを備えることを特徴とする秘密情報保護システム。
2. 前記秘密情報検出部によって取得された前記アドレスを保持するアドレス保持部と、
   前記秘密情報の入力先である変数と、前記変数が格納される前記記憶領域におけるアドレスとの対応を示すアドレス変換規則を取得するアドレス変換規則取得部と、
   前記変数と、前記変数に入力された情報が伝播する他の変数との対応を示す伝播規則を取得する伝播規則取得部とを更に備え、
   前記秘密情報検出部は、前記記憶領域に、セキュリティ属性を有する情報が入力された場合に、前記秘密情報が入力されたことを検出し、
   前記第２領域特定部は、前記アドレス保持部によって保持されるアドレスと、前記アドレス変換規則及び前記伝播規則に基づいて特定される伝播ルートとに基づいて、前記秘密情報領域を特定することを特徴とする請求項１に記載の秘密情報保護システム。
3. 前記第１秘匿部によって、前記秘密情報周辺情報が秘匿されたダンプイメージを送信する第１送信部と、
   前記第２秘匿部によって、前記秘密情報が秘匿されたダンプイメージの送信を要求する第２保護情報要求を受信する受信部と、
   前記第２保護情報要求の応答として前記第２秘匿部によって前記秘密情報が秘匿されたダンプイメージを送信する第２送信部とを更に備えることを特徴とする請求項１又は２に記載の秘密情報保護システム。
4. 前記ダンプイメージ保持部は、前記ダンプイメージを識別する識別情報と、前記ダンプイメージとを関連づけて保持し、
   前記第１送信部は、前記秘密情報周辺情報が秘匿されたダンプイメージと、前記ダンプイメージを識別する前記識別情報とを関連づけて送信し、
   前記受信部は、前記識別情報を含む前記第２保護情報要求を受信し、
   前記第２送信部は、前記第２保護情報要求に含まれる前記識別情報によって識別される前記ダンプイメージに含まれる秘密情報が秘匿された情報を送信することを特徴とする請求項３に記載の秘密情報保護システム。
5. 前記第２保護情報要求は、前記アドレス変換規則と、前記伝播規則とを含み、
   前記アドレス変換規則取得部は、前記第２保護情報要求に含まれる前記アドレス変換規則を取得し、
   前記伝播規則取得部は、前記第２保護情報要求に含まれる前記伝播規則を取得することを特徴とする請求項３又は４に記載の秘密情報保護システム。
6. プログラムが利用する記憶領域の状態を示すダンプイメージに含まれる秘密情報を保護する秘密情報保護システムと通信するダンプイメージ管理サーバであって、
   前記秘密情報保護システムから、前記秘密情報が格納された秘密情報領域を含む秘密情報周辺領域に格納された秘密情報周辺情報が秘匿された前記ダンプイメージを受信する第１保護情報受信部と、
   前記秘密情報保護システムに対して、前記秘密情報が秘匿された前記ダンプイメージの送信を要求する第２保護情報要求を送信する送信部と、
   前記第２保護情報要求の応答として、前記秘密情報が秘匿された前記ダンプイメージを受信する第２保護情報受信部とを備え、
   前記秘密情報周辺領域は、前記秘密情報保持装置によって、前記秘密情報が格納された前記記憶領域におけるアドレスに基づいて特定され、
   前記秘密情報領域は、前記秘密情報保持装置によって、前記秘密情報が格納された前記記憶領域におけるアドレスと、前記記憶領域において前記秘密情報が伝播する伝播ルートとに基づいて特定されることを特徴とするダンプイメージ管理サーバ。
7. 前記秘密情報の入力先である変数と、前記変数が格納される前記記憶領域におけるアドレスとの対応を示すアドレス変換規則を保持するアドレス変換規則保持部と、
   前記変数と、前記変数に入力された情報が伝播する他の変数との対応を示す伝播規則を保持する伝播規則保持部とを更に備え、
   前記送信部は、前記アドレス変換規則保持部から取得されるアドレス変換規則と、前記伝播規則保持部から取得される伝播規則とを含む前記第２保護情報要求を送信することを特徴とする請求項６に記載のダンプイメージ管理サーバ。
8. 前記第１保護情報受信部は、前記秘密情報周辺情報が秘匿されたダンプイメージと、前記ダンプイメージを識別する前記識別情報とを受信し、
   前記送信部は、前記第１保護情報受信部によって受信された前記識別情報を含む第２保護情報要求を送信することを特徴とする請求項６又は７に記載のダンプイメージ管理サーバ。
9. プログラムが利用する記憶領域の状態を示すダンプイメージに含まれる秘密情報を保護する秘密情報保護方法であって、
   前記記憶領域に格納される情報を前記ダンプイメージとして出力するステップと、
   前記記憶領域に、前記秘密情報が入力されたことを検出し、前記秘密情報が格納された前記記憶領域におけるアドレスを取得するステップと、
   前記アドレスに基づいて、前記ダンプイメージの内、前記秘密情報が格納された領域である秘密情報領域を含む秘密情報周辺領域を特定するステップと、
   前記秘密情報周辺領域に格納されている前記秘密情報周辺情報を秘匿するステップと、
   前記アドレスと、前記記憶領域において前記秘密情報が伝播する伝播ルートとに基づいて、前記ダンプイメージの内、前記秘密情報領域を特定するステップと、
   前記秘密情報領域に格納されている前記秘密情報を秘匿するステップとを備えることを特徴とする秘密情報保護方法。

Images