JP2007158489A - Digital forensic security apparatus - Google Patents
Digital forensic security apparatus Download PDFInfo
- Publication number
- JP2007158489A JP2007158489A JP2005347572A JP2005347572A JP2007158489A JP 2007158489 A JP2007158489 A JP 2007158489A JP 2005347572 A JP2005347572 A JP 2005347572A JP 2005347572 A JP2005347572 A JP 2005347572A JP 2007158489 A JP2007158489 A JP 2007158489A
- Authority
- JP
- Japan
- Prior art keywords
- hysteresis
- computing device
- signature information
- electronic computing
- information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Abstract
Description
この発明は、コンピュータやネットワーク等の資源および環境の不正使用、サービス妨害行為、データの破壊、意図しない情報の開示等への対応等を行うデジタルフォレンジックに関する。 The present invention relates to digital forensics for dealing with illegal use of resources and environments such as computers and networks, service disruption, data destruction, unintended disclosure of information, and the like.
インターネット社会の進展に伴い、ほとんどすべてのデータはデジタル化して扱われるようになり、これらのデジタルデータに証拠性を確保し、訴訟等に備えるための技術や社会的仕組みが要求されるようになってきた。これらはデジタル・フォレンジック(Digital Forensic、以下「DF」という。)と呼ばれるものであるが、DFとはインシデント・レスポンス(コンピュータやネットワーク等の資源および環境の不正使用、サービス妨害行為、データの破壊、意図しない情報の開示等、並びにそれらへ至るための行為等への対応等をいう。)や法的紛争・訴訟に対し、電磁的記録の証拠保全および調査・分析を行うとともに、電磁的記録の改竄・毀損等についての分析・情報収集等を行う一連の科学的調査手法・技術をいい、今後企業の説明責任の範囲が増大していくことから、財務会計情報など情報改竄等を行っていない証拠性を確保し、訴訟に持込まれてもよいようにしておくことが大切となる。 As the Internet society progresses, almost all data will be handled digitally, and technology and social mechanisms will be required to ensure evidence of these digital data and prepare for litigation. I came. These are called Digital Forensic (hereinafter referred to as “DF”). DF is an incident response (improper use of resources and environment such as computers and networks, denial of service, destruction of data, This refers to the disclosure of unintentional information, etc., and the actions to reach them, etc.) and the legal preservation and investigation / analysis of electromagnetic records for legal disputes and lawsuits. A series of scientific research methods and techniques for analyzing and collecting information on falsification and damage, etc., and since the scope of accountability of companies will increase in the future, information falsification such as financial accounting information is not performed It is important to ensure evidence and be able to be brought into lawsuits.
従来、デジタルデータの改竄を防止する技術としては、デジタル署名生成者は、署名対象となるデジタル化されたデータあるいはその特徴値(圧縮値であるハッシュ値に、自分自身が秘密裏に保持する秘密鍵を作用させることで、データMに対するデジタル署名Aを生成する。そして、データMに付されたデジタル署名Aを上記秘密鍵と対の公開鍵を作用させることで得た結果と、データMあるいはそのハッシュ値とを比較し、両者が一致しない場合には、デジタル署名Aが生成された後にデータMに何らかの改竄が加えられた可能性があるため、両者が一致する場合に限り、デジタル署名AがデータMに対してなされたものであることを認証できるという、いわゆるデジタル署名方式が使用されている。 Conventionally, as a technique for preventing falsification of digital data, a digital signature creator can use digital data to be signed or its characteristic value (a hash value that is a compressed value) The digital signature A for the data M is generated by applying the key, and the result obtained by applying the digital signature A attached to the data M to the public key paired with the private key and the data M or If the hash values are compared and the two do not match, there is a possibility that some alteration has been made to the data M after the digital signature A is generated. A so-called digital signature method is used in which it is possible to authenticate that the data is made on the data M.
また、デジタル署名生成者が、自分自身が生成したデータに特殊な情報を加えて、デジタル署名の不正な生成を行うことを防止するため、デジタル署名生成者は、署名対象となるデータMnあるいはそのハッシュ値と1つ前に生成したデジタル署名An−1の生成に関わる情報と時刻データに、自分自身が秘密裏に保持する秘密鍵を作用させることで、データMnに対するデジタル署名Anを生成し、デジタル署名Anの次に生成されるデジタル署名An+1には、1つ前に生成したデジタル署名Anの生成に関わる情報が反映されることにより、デジタル署名生成者が自分自身が生成した別のデータMnを加えて新たにデジタル署名Anを生成し、これらを元のデータMnおよびデジタル署名Anと置き換えるような不正な行為を行うと、デジタル署名An+1との間で整合が取れなくなりデータの改竄が防止されるという、いわゆるヒステリシス署名方式も採用されている。 Further, in order to prevent the digital signature generator from adding special information to the data generated by itself and illegally generating the digital signature, the digital signature generator can generate the data M n or the signature target. to the hash value and information and time data associated with generation of the digital signature a n-1 generated in the previous, themselves by the action of secret key held in secret, a digital signature a n for data M n It generates, the digital signature a n + 1 that is generated in the following digital signature a n, by the information relating to generation of the digital signature a n generated in the previous is reflected, the digital signature creator adding another data M n which is itself produced by newly generated digital signature a n, performs an illegal act, such as replacing them with the original data M n and the digital signature a n , That alteration of the data will not is consistent with the digital signature A n + 1 is prevented, so-called hysteresis signature scheme is also employed.
また、下記特許文献1には、生成したデジタル署名とデータを含むデジタル署名付きデータの配布に先立ち、当該デジタル署名付きデータのログデータをログリストに登録し、デジタル署名検証者がデジタル署名生成者からログリストを入手し、検証すべきデジタル署名付きデータのログデータが前記ログリストに登録されているか否かを調べることで、当該検証すべきデジタル署名付きデータが前記デジタル署名生成者により配布されたものであるか否かを検証する方法が示されている。
Prior to the distribution of data with a digital signature including the generated digital signature and data, the following
さらに、下記特許文献2には、デジタル署名に複数のログデータの情報を取り込んで、生成してログテーブルに登録し、ログテーブルにおけるログデータの連鎖を検証する際には、複数のログデータに登録されているリンク情報をもとに、破損していない他のログデータの整合性から検証するもので、利用者が他の利用者のログリストによる補間やサービス提供機関を利用することなく、一部のログデータが欠落しても、ログリストの連鎖構造を用いたログデータの検証が可能となるものが示されている。
しかしながら、上記のいわゆるデジタル署名方式では、データにデジタル署名生成者自身が何らかの改竄を加えて新たにデジタル署名を生成して、元のデータおよびデジタル署名と置き換えるような不正な行為を防止することができない。また、いわゆるヒステリシス署名方式ではログデータを登録したログリストの完全な保存が必須とされ、ログデータに欠落した部分があると、ログリストにあるログデータの連鎖を利用しているため、他の正当なログデータの検証に支障が生じることになる。また上記特許文献1に示された方式では、利用者間の手間、サービス提供機関の不在、検証時間が長くなるという問題がある。
However, in the so-called digital signature method, it is possible to prevent an illegal act in which a digital signature creator himself or herself makes some tampering with the data to generate a new digital signature and replace the original data and the digital signature. Can not. Also, with the so-called hysteresis signature method, it is essential to completely save the log list where the log data is registered, and if there is a missing part in the log data, it uses the chain of log data in the log list. This will hinder verification of valid log data. Further, the method disclosed in
また、上記特許文献2に記載された方法は、プログラムが複雑になり、またログデータの真正性を確かめるための検証時間が長くなるという問題があり、上述したいずれの従来方法を使用しても、(1)サーバやPC等のコンピュータを対象とし、(2)不正侵入などの攻撃を検知すれば、応急処置をすると共に証拠となり得る情報を保存し、(a)どのような被害を受けたか、(b)どこから侵入を受けたか、(c)誰が侵入者か等を分析し、(3)その後自分が行う訴訟等に備えるには不十分であった。
Further, the method described in
また、今後は、(1)サーバやPC等のコンピュータだけでなく、情報家電や携帯電話、ネットワーク等を対象といた証拠性の確保も重要な対象となる。(2)不正侵入の証拠だけでなく、(a)財務会計情報などの改竄や、(b)個人情報や機密情報などの漏洩、(c)詐欺等の不正行為がなかったかの証拠性も大切となり、企業の透明性を確保し、説明責任を問われるケースが多くなることが予想される。(3)自分が訴訟に持込む場合だけでなく、訴訟に持込まれても良いようにすることも大切になる。そして、訴訟に持込まれても良くするには、(a)処理をすれば記録が残るようにするとともに、(b)改竄していないことを証明できる簡単な装置の確保が不可欠となる。 In the future, (1) securing evidence not only for computers such as servers and PCs but also for information home appliances, mobile phones, networks, etc. will become an important subject. (2) Not only evidence of unauthorized intrusion, but also evidence of whether (a) falsification of financial accounting information, (b) leakage of personal information or confidential information, (c) fraud, etc. has occurred It is expected that there will be more cases where corporate transparency is required and accountability is required. (3) It is important not only to bring you into a lawsuit but also to be able to bring it into a lawsuit. And in order to be able to be brought into a lawsuit, it is indispensable to (a) keep a record if processing is performed, and (b) secure a simple device that can prove that it has not been tampered with.
本発明はこのような状況に鑑みてなされたものであり不正アクセス等の攻撃に対処し、デジタル情報の科学的証拠性を確保し、訴訟等に備えるたことのできる装置を提供することにある。 The present invention has been made in view of such circumstances, and it is an object of the present invention to provide an apparatus capable of dealing with attacks such as unauthorized access, ensuring scientific evidence of digital information, and preparing for litigation. .
上記の課題を解決する第1発明は、ログデータ(Di、i=1〜n)を生成し、ヒステリシス情報(Ri、i=1〜n)を演算する演算部と、前記ログデータとヒステリシス情報を記録するログファイルを格納した記憶部を有する第1電子計算デバイスと、ヒステリシス署名情報(Yi、i=1〜n)を演算する演算部と、該ヒステリシス署名情報の演算時に使用する秘密鍵(SK)と、前記ヒステリシス署名情報と前記秘密鍵とをその耐タンパー領域に保存・格納する記憶部とを有する第2電子計算デバイスとからなるデジタルフォレンジック保全装置であって、前記第1電子計算デバイスで生成された前記ログデータに基づく一連のヒステリシス情報(Ri、i=1〜n)を前記第1電子計算デバイスのログファイルに順次保存し、前記第2電子計算デバイスにおいて、前記第1電子計算デバイスから送付されたログファイルに保存された一連のデータに前記秘密鍵を適用して、順次前記ヒステリシス署名情報(Yi、i=1〜n)を演算し、前記記憶部の耐タンパー領域に保存すると共に、該ヒステリシス署名情報を前記第1電子計算デバイスに返送して前記ログファイルの対応する位置に保存し、検証時には、前記第1電子計算デバイスのログファイルに保存されている一連のヒステリシス署名情報(Yi、i=1〜n)と前記第2電子計算デバイスの記憶部に保存されているヒステリシス署名情報(Yi′、i=1〜n)とを対応する番号毎に順次、比較し、i=1からnまでの総ての対応するヒステリシス署名情報を比較して、前記第1電子計算デバイスの記憶部のログファイルに保存されているヒステリシス署名情報の総ての真偽が判断されることを特徴とするデジタルフォレンジック保全装置である。 A first invention for solving the above-described problem is to generate log data (D i , i = 1 to n) and calculate hysteresis information (R i , i = 1 to n), the log data, A first electronic computing device having a storage unit storing a log file for recording hysteresis information, a calculation unit for calculating hysteresis signature information (Y i , i = 1 to n), and used when calculating the hysteresis signature information A digital forensic security apparatus comprising a secret key (S K ), a second electronic computing device having a storage unit for storing and storing the hysteresis signature information and the secret key in a tamper-resistant region thereof, A series of hysteresis information (R i , i = 1 to n) based on the log data generated by one electronic computing device is sequentially stored in the log file of the first electronic computing device, In the second electronic computing device, the secret key is applied to a series of data stored in the log file sent from the first electronic computing device, and the hysteresis signature information (Y i , i = 1 to n) is sequentially applied. ) And is stored in the tamper-resistant area of the storage unit, and the hysteresis signature information is returned to the first electronic computing device and stored in a corresponding position in the log file. A series of hysteresis signature information (Y i , i = 1 to n) saved in the log file of the computing device and hysteresis signature information (Y i ′, i = saved in the storage unit of the second electronic computing device) 1 to n) are sequentially compared for each corresponding number, all corresponding hysteresis signature information from i = 1 to n is compared, and the storage unit of the first electronic computing device is compared. A digital forensic security device, characterized in that all the authenticity of hysteresis signature information stored in the log file is determined.
第2発明は、第1発明において、前記第2電子計算デバイスの記憶部の耐タンパー領域に保存されているヒステリシス署名情報(Yi′、i=1〜n)が、最終のヒステリシス署名情報(Yn′)のみであり、それより前のヒステリシス署名情報は、検証作業が開始された後に、前記第1電子計算デバイスから送付されてきたデータに基いて、前記第2電子計算デバイスの演算部で演算され、その演算されたヒステリシス署名情報(Yi、i=1〜(n-1))と、前記第1電子計算デバイスの対応する番号のヒステリシス署名情報(Yi′、i=1〜(n-1))とを比較するものであることを特徴とする請求項1に記載のデジタルフォレンジック保全装置である。
According to a second invention, in the first invention, the hysteresis signature information (Y i ′, i = 1 to n) stored in the tamper-resistant region of the storage unit of the second electronic computing device is the final hysteresis signature information ( Y n ′) only, and the hysteresis signature information before that is based on the data sent from the first electronic computing device after the verification work is started, and the computing unit of the second electronic computing device And the calculated hysteresis signature information (Y i , i = 1 to (n−1)) and the corresponding hysteresis signature information (Y i ′, i = 1 to 1) of the first electronic computing device. (N-1)) is compared with the digital forensic maintenance apparatus according to
第3の発明は、第1または第2発明において、前記第1電子計算デバイスと第2電子計算デバイスのうち少なくとも第2電子計算デバイスは、ヒステリシス署名情報の検証時を除き特定の操作者が占有するものであることを特徴とする請求項1または2に記載のデジタルフォレンジック保全装置である。
According to a third invention, in the first or second invention, at least a second electronic computing device of the first electronic computing device and the second electronic computing device is occupied by a specific operator except when verifying hysteresis signature information. The digital forensic maintenance device according to
第4の発明は、第1乃至第3の発明において、前記第1電子計算デバイスがパーソナルコンピュータであり、前記第2電子計算デバイスがUSBデバイスであり、該USBデバイスと該パーソナルコンピュータの接続部を相互に接続した場合に、該パーソナルコンピュータとUSBデバイスの操作および動作または検証作業が可能となることを特徴とする請求項1乃至3に記載のデジタルフォレンジック保全装置である。
According to a fourth invention, in the first to third inventions, the first electronic computing device is a personal computer, the second electronic computing device is a USB device, and a connection portion between the USB device and the personal computer is provided. 4. The digital forensic maintenance apparatus according to
第1発明は、ログデータ(Di、i=1〜n)を生成し、ヒステリシス情報(Ri、i=1〜n)を演算する演算部と、前記ログデータとヒステリシス情報を記録するログファイルを格納した記憶部を有する第1電子計算デバイスと、ヒステリシス署名情報(Yi、i=1〜n)を演算する演算部と、該ヒステリシス署名情報の演算時に使用する秘密鍵(SK)と、前記ヒステリシス署名情報と前記秘密鍵とをその耐タンパー領域に保存・格納する記憶部とを有する第2電子計算デバイスとからなるデジタルフォレンジック保全装置であって、前記第1電子計算デバイスで生成された前記ログデータに基づく一連のヒステリシス情報(Ri、i=1〜n)を前記第1電子計算デバイスのログファイルに順次保存し、前記第2電子計算デバイスにおいて、前記第1電子計算デバイスから送付されたログファイルに保存された一連のデータに前記秘密鍵を適用して、順次前記ヒステリシス署名情報(Yi、i=1〜n)を演算し、前記記憶部の耐タンパー領域に保存すると共に、該ヒステリシス署名情報を前記第1電子計算デバイスに返送して前記ログファイルの対応する位置に保存し、検証時には、前記第1電子計算デバイスのログファイルに保存されている一連のヒステリシス署名情報(Yi、i=1〜n)と前記第2電子計算デバイスの記憶部に保存されているヒステリシス署名情報(Yi′、i=1〜n)とを対応する番号毎に順次、比較し、i=1からnまでの総ての対応するヒステリシス署名情報を比較して、前記第1電子計算デバイスの記憶部のログファイルに保存されているヒステリシス署名情報の総ての真偽が判断されることを特徴とするデジタルフォレンジック保全装置であり、ヒステリシス署名方式が採用され、かつ秘密鍵とヒステリシス署名情報が格納・保存される領域は何人も侵入することのできない第2電子計算デバイスの耐タンパー領域であるから、捏造が不可能であり、改竄されないという効果がある。また従来のデジタル署名の場合は、1つの情報にしか署名ができないので、ログデータのように情報が次々と1つのファイルに追記される場合には、ログデータがファイルに追加されるたびに、デジタル署名を施す対象の全ファイルを読み込んで署名を行う必要があるが、本発明においては、ヒステリシス署名を適用しているので、その必要がなく、従来のデジタル署名と比較して効率がよい。またヒステリシス署名の構造は比較的単純であって、既存のライブラリーを組合わせて実現可能であり、導入コストも運用コストと低いという効果がある。さらに、ヒステリシス署名を適用しているので、検証者が、仮にUSBデバイスを手に入れたとしても、検証前に記録されているログデータを改竄することはできない。さらに検証時間も短かいという効果がある。 The first invention generates log data (D i , i = 1 to n) and calculates hysteresis information (R i , i = 1 to n), and a log for recording the log data and hysteresis information A first electronic computing device having a storage unit storing a file, a computing unit that computes hysteresis signature information (Y i , i = 1 to n), and a secret key (S K ) used when computing the hysteresis signature information And a second electronic computing device having a storage unit for storing and storing the hysteresis signature information and the secret key in a tamper-resistant area thereof, the digital forensic maintenance device generated by the first electronic computing device A series of hysteresis information (R i , i = 1 to n) based on the log data is sequentially stored in a log file of the first electronic computing device, and the second electronic computing device Applying the secret key to a series of data stored in the log file sent from the first electronic computing device, sequentially calculating the hysteresis signature information (Y i , i = 1 to n), In addition to storing the hysteresis signature information in the tamper-resistant area of the storage unit, the hysteresis signature information is returned to the first electronic computing device and stored in a corresponding position in the log file. At the time of verification, the log file of the first electronic computing device A series of hysteresis signature information (Y i , i = 1 to n) stored in the memory, and hysteresis signature information (Y i ′, i = 1 to n) stored in the storage unit of the second electronic computing device, Are sequentially compared for each corresponding number, and all corresponding hysteresis signature information from i = 1 to n is compared and stored in the log file of the storage unit of the first electronic computing device. The digital forensic maintenance device is characterized in that all of the hysteresis signature information is judged whether it is true or false. Since it is a tamper-resistant region of the second electronic computing device that cannot enter, there is an effect that it cannot be forged and cannot be tampered with. In the case of a conventional digital signature, only one piece of information can be signed. Therefore, when information is added to one file one after another like log data, each time log data is added to a file, Although it is necessary to read and sign all files to be digitally signed, in the present invention, since a hysteresis signature is applied, it is not necessary and is more efficient than a conventional digital signature. Moreover, the structure of the hysteresis signature is relatively simple and can be realized by combining existing libraries, and the introduction cost and the operation cost are low. Furthermore, since the hysteresis signature is applied, even if the verifier obtains the USB device, the log data recorded before the verification cannot be falsified. In addition, the verification time is short.
第2発明は、第1発明において、前記第2電子計算デバイスの記憶部の耐タンパー領域に保存されているヒステリシス署名情報(Yi′、i=1〜n)が、最終のヒステリシス署名情報(Yn′)のみであり、それより前のヒステリシス署名情報は、検証作業が開始された後に、前記第1電子計算デバイスから送付されてきたデータに基いて、前記第2電子計算デバイスの演算部で演算され、その演算されたヒステリシス署名情報(Yi′、i=1〜(n−1))と、前記第1電子計算デバイスの対応する番号のヒステリシス署名情報(Yi、i=1〜(n−1))とを比較するものであることを特徴とするデジタルフォレンジック保全装置であるから、第1の発明の効果に加えて、第2電子計算デバイスの記憶部の容量を小さくでき、デバイスの簡素化が可能となる。特に、第2電子計算デバイスをUSBデバイスとする場合に効果が大きい。 According to a second invention, in the first invention, the hysteresis signature information (Y i ′, i = 1 to n) stored in the tamper-resistant region of the storage unit of the second electronic computing device is the final hysteresis signature information ( Y n ′) only, and the hysteresis signature information before that is based on the data sent from the first electronic computing device after the verification work is started, and the computing unit of the second electronic computing device And the calculated hysteresis signature information (Y i ′, i = 1 to (n−1)) and the hysteresis signature information (Y i , i = 1 to 1) corresponding to the first electronic computing device. (N-1)) is a digital forensic maintenance device characterized in that, in addition to the effect of the first invention, the capacity of the storage unit of the second electronic computing device can be reduced, Deba Simplification of the scan is possible. This is particularly effective when the second electronic computing device is a USB device.
第3の発明は、第1または第2発明において、前記第1電子計算デバイスと第2電子計算デバイスのうち少なくとも第2電子計算デバイスは、ヒステリシス署名情報の検証時を除き特定の操作者が占有するものであることを特徴とするデジタルフォレンジック保全装置であり、第4の発明は、第1乃至第3の発明において、前記第1電子計算デバイスがパーソナルコンピュータであり、前記第2電子計算デバイスがUSBデバイスであり、該USBデバイスと該パーソナルコンピュータの接続部を相互に接続した場合に、該パーソナルコンピュータとUSBデバイスの操作および動作または検証作業が可能となることを特徴とするデジタルフォレンジック保全装置であるから、第1または第2の発明の効果に加えて、操作者が、第2電子計算デバイスまたはUSBデバイスを適正に管理する限り、第3者はPCを操作することができないので、第3者によって、ログデータの窃取および改竄がされることがなく、操作者の管理上の負担、第3者によって、改竄されるかもしれないという精神的負担が軽減される。特に操作者の暗号番号を併用する場合はなりすましに対してより充分な効果を有する。 According to a third invention, in the first or second invention, at least a second electronic computing device of the first electronic computing device and the second electronic computing device is occupied by a specific operator except when verifying hysteresis signature information. A fourth aspect of the present invention is the digital forensic maintenance apparatus, wherein the first electronic computing device is a personal computer in the first to third inventions, and the second electronic computing device is A digital forensic maintenance apparatus, which is a USB device, and that enables operation and operation or verification work of the personal computer and the USB device when the connection part of the USB device and the personal computer is mutually connected. Therefore, in addition to the effects of the first or second invention, the operator can perform the second electronic calculation. As long as the device or USB device is properly managed, the third party cannot operate the PC, so that the log data is not stolen or falsified by the third party. The mental burden of being tampered with by a third party is reduced. In particular, when the operator's encryption number is used together, it has a more sufficient effect against impersonation.
また、第4の発明の場合は、既存のハードウエアの活用であるから、装置の購入費、さらには運用コストが小さくなり導入が容易となるという効果がある。 In the case of the fourth invention, since the existing hardware is utilized, there is an effect that the purchase cost of the apparatus and the operation cost are reduced and the introduction is facilitated.
以下、本発明の実施の形態を図面に基づいて説明する。 Hereinafter, embodiments of the present invention will be described with reference to the drawings.
図1は本発明の実施の形態に係るDF保全装置の構成の概要の説明図である。
図1において、10は操作者、20はパーソナルコンピュータ(以下「PC」という。)、30はUSBデバイスであり、操作者10はUSBデバイス30を占有する。
FIG. 1 is an explanatory diagram outlining the configuration of a DF maintenance apparatus according to an embodiment of the present invention.
In FIG. 1, 10 is an operator, 20 is a personal computer (hereinafter referred to as “PC”), 30 is a USB device, and the operator 10 occupies the
PC 20には、演算部(ヒステリシスロガー等)21、記憶部22を有し、記憶部22にはログファイル221、ログプログラム222、テンポラリーファイル223が格納されている。操作者がPC 20を操作すると、演算部(ヒステリシスロガー等)21でログデータ(Di、i=1〜n)が作成され、ログデータはテンポラリファイルに223に記録される。演算部21はさらにテンポラリーファイルに記録されたログデータを使用し、ログプログラム222を引出して、ログデータDiのハッシュ値H(Di)、ヒステリシス情報Riを生成しログファイル221に順次記録・保存する。なお、演算部21はOSのログイン情報を記録する監査プログラムや、キーボードの入力情報を出力するキーロガーでもよい。
The PC 20 includes a calculation unit (such as a hysteresis logger) 21 and a
USBデバイス30は演算部31と記憶部32を有し、記憶部32には秘密鍵(Sk)321と更新された最終ヒステリシス情報(Yn′、i=n)322とプログラム323が格納されている。演算部31は、プログラム323を引出しPC 20から送付されてきたデータに対してヒステリシス署名(Yi)を行う。
The
記憶部32のプログラム323の格納された領域はアクセス可能領域(Z)であるが、秘密鍵(SK)321と更新された最終のヒステリシス署名情報(Yn′)322とが格納されている領域は、物理的に守られた操作者10でもアクセスできない耐タンパー領域(X)である。
The area where the
USBデバイス20を占有している操作者10は、PC 10を操作する時に、PC 10にUSBデバイスを差込んで操作し、操作が終了した後にUSBデバイスを抜く。USBデバイスが挿入されていない時には、機械的またはプログラムによりPCの操作ができない。なお、本実施の形態においては、(a)USBデバイス内の耐タンパー領域内の更新された最終のヒステリシス署名情報は抽出及び改竄が不可能であり、(b)PC上で動作するログプログラムは改竄されていないことを前提とする。
When operating the PC 10, the operator 10 occupying the
図2は本発明の実施の形態に係るDF保全装置におけるヒステリシス署名情報等の演算・保存処理のフォローの説明図であり、図3は図2における各種データの生成、保存の詳細説明図である。図2、3に基いて、ヒステリシス署名の処理のフォローを説明する。
(作業1)操作者10はPC 10とUSBデバイス30を準備してヒステリシス署名の作業をスタートする。
(作業2)操作者10がUSBデバイス30をPC 20に差込む。ヒステリシス署名の作業は、操作者10自身が占有しているUSBデバイス30をPC 20に差込むことが前提となり、USBデバイス30がPC 10に差込む前は、PC 20はロックされており何人も操作することができない。 (作業3)操作者10がキーボード24を操作することにより、PC 20内の演算部(ヒステリシスロガー等)21でログデータDiが生成されテンポラリーファイル223に記録される。(図2(作業4))
(作業5)操作者10は、ログデータDiがテンポラリーファイル223に記録されたら、キーボードを操作して演算ウインドーに切替える。
(作業6)演算部21でログデータDiのハッシュ値H(Di)と、ログファイルの中から1つ前(i-1番目)のデータRi-1、H(Di-1)、Yi-1を使用してヒステリシス情報Ri=H(Ri-1、H(Di-1)、Yi-1)が演算される。
(作業7)Ri、H(Di)がUSBデバイス30に送付される。
(作業8)同時に、Di、Ri、H(Di)がログファイル221に保存される。
(作業9)USBデバイス30の演算部31に、プログラム323と秘密鍵(SK)321が読込まれ、PC 20から送付されたRiとH(Di)を使用してヒステリシス署名情報Yi=SK(Ri、H(Di)が演算される。この場合、さらに機密性を高めるために、Ri、H(Di)のハッシュ値を使用して、Yi=SK(H(Ri、H(Di))としてもよい。
(作業10)ヒステリシス署名情報(Yi)は1つ前のヒステリシス署名情報(Yi-1)に上書きされ最終ヒステリシス署名情報(Yn′)となる。
(作業11)また、ヒステリシス署名情報(Yi)はPC 20に送付され、ログファイル221に追記・保存される。
(作業12)ログデータの署名処理が総て終了したか(即ち、i=nとなったか)確認される。
(作業13)ログデータの署名作業が終了していない場合には、処理番号を1つ繰り上げてi番をi+1番として(作業6)以降の作業を繰返す。上記フローがUSBデバイスが差込まれている間続けられる。
(作業14)ログデータの署名処理が総て終了したとき、操作者10がUSBデバイス30を抜くとPC 10の動作は終了する。
FIG. 2 is an explanatory diagram of the follow-up of the calculation / storage processing of hysteresis signature information and the like in the DF maintenance apparatus according to the embodiment of the present invention, and FIG. 3 is a detailed explanatory diagram of generation and storage of various data in FIG. . The follow-up of the hysteresis signature process will be described with reference to FIGS.
(Work 1) The operator 10 prepares the PC 10 and the
(Operation 2) The operator 10 inserts the
(Task 5) operator 10, once the log data D i is recorded in the
(Operation 6) The hash value H (D i ) of the log data D i and the previous (i−1) th data R i−1 , H (D i−1 ) from the log file in the
(Operation 7) R i and H (D i ) are sent to the
(Operation 8) At the same time, D i, R i , and H (D i ) are saved in the
(Operation 9) The
(Operation 10) The hysteresis signature information (Y i ) is overwritten on the previous hysteresis signature information (Y i-1 ) to become the final hysteresis signature information (Y n ′).
(Operation 11) In addition, the hysteresis signature information (Y i ) is sent to the
(Operation 12) It is confirmed whether or not the log data signature processing is completed (i.e., i = n).
(Operation 13) If the log data signing operation has not been completed, the processing number is incremented by one, i-th is set to i + 1, and (operation 6) and subsequent operations are repeated. The above flow is continued while the USB device is inserted.
(Operation 14) When the signature processing of the log data is completed, when the operator 10 removes the
次に、ログファイル221に記録されたヒステリシス署名情報の検証処理について説明する。
Next, the verification process of the hysteresis signature information recorded in the
図4は本発明の実施の形態に係るDF保全装置におけるのヒステリシス署名情報の検証のフォローの説明図であり、図5は図4における各種データの検証に係る演算・比較の詳細説明図である。図2、3に基き、また図1を参照しながら、ヒステリシス署名の検証処理のフォローを説明する。
(作業1)検証者50はPC 20と操作者10の占有するUSBデバイスを受取り、PC 20を検証モードに切換えて検証作業をスタートする。
(作業2)検証者50はUSBデバイスをPC 20に差込む。この場合、PC 20から検証しようとする情報のみをフロッピー(登録商標)、CD等にコピーして、他のPCを使用して検証するようにしてもよい。
(作業3)PC 20からログファイル221に保存されている最終のヒステリシス署名情報YnがUSBデバイ30に送付される。
(作業4)USBデバイス30の演算部31において、PC 20から送られてきた最終のヒステリシス署名情報Ynと耐タンパー領域に格納されている最終のヒステリシス署名情報(Yn′)とを比較する。
(作業5)作業4の結果、YnとYn′とが不一致(Yn≠Yn′)の場合は、USBデバイスはヒステリシス署名情報(Yn)に不正の可能性があると判断して、PC 10に対して偽の表示を返す。
(作業6)YnとYn′とが一致(Yn=Yn′)する場合は、Rn-2とH(Dn-2)とYn-2を使用して、PC 10の演算部でRn-1=H(Rn-2、H(Dn-2)、Yn-2)が演算され、これに加えてH(Dn-1)がPC 20からUSBデバイスに送付される。
(作業7)USBデバイス30の演算部において、PC 20から送られてきたRn-1とH(Dn-1)に秘密鍵SKを使用して、Yn-1′=SK(Rn-1、H(Dn-1))を演算される。
(作業8)PC 20からヒステリシス署名情報Yn-1がUSBデバイスに送付される。
(作業9)PC 20から送られてきたヒステリシス署名情報Yn-1と作業7において演算したYn-1′とを比較する。
FIG. 4 is an explanatory diagram for explaining the verification of hysteresis signature information in the DF maintenance apparatus according to the embodiment of the present invention, and FIG. 5 is a detailed explanatory diagram for calculation / comparison relating to verification of various data in FIG. . The follow-up of the hysteresis signature verification process will be described based on FIGS.
(Operation 1) The verifier 50 receives the USB device occupied by the
(Operation 2) The verifier 50 inserts the USB device into the
(Operation 3) The final hysteresis signature information Y n stored in the
(Operation 4) The
(Operation 5) If Y n and Y n ′ do not match (Y n ≠ Y n ′) as a result of operation 4, the USB device determines that the hysteresis signature information (Y n ) may be invalid. Returns a false indication to the PC 10.
(Operation 6) When Y n and Y n ′ match (Y n = Y n ′), R n−2 , H (D n−2 ), and Y n−2 are used. R n−1 = H (R n−2, H (D n−2 ), Y n−2 ) is calculated in the calculation unit, and in addition to this, H (D n−1 ) is transferred from the
(Operation 7) In the arithmetic unit of the
(Operation 8) The hysteresis signature information Y n-1 is sent from the
(Operation 9) The hysteresis signature information Y n−1 sent from the
作業9の結果、Yn-1とYn-1′とが不一致(Yn-1≠Yn-1′)の場合はUSBデバイス30はヒステリシス署名情報Yn-1は不正の可能性があると判断し、PC 10に対して偽の表示を返す。(作業5)。
(作業10)Yn-1とYn-1′とが一致(Yn-i=Yn-i′、i=1)する場合は、総ての検証が終了したか(n−i=1か)を確認する。
(作業11)すべての作業が終わっていない場合には、さらに1つ前に戻り(i→i+1)、作業6以降の作業を繰返す。
(作業12)総てのヒステリシス署名情報(Yn〜Y1)が一致した場合、即ち最初に記録したログファイルまで検証が真と判断されたときに、PC 20の全ヒステリシス署名情報は加筆、修正、削除等の改竄されていないことになる。
(作業13)総てのヒステリシス署名情報の検証がなされ、真または偽の判断がなされたところで作業は終了し、検証者50がPC 20からUSBデバイス30を抜くことによりPC 10の動作は終了する。
If the result of operation 9 is that Y n-1 and Y n-1 ′ do not match (Y n-1 ≠ Y n-1 ′), the
(Operation 10) If Y n−1 and Y n−1 ′ match (Y n−i = Y n−i ′, i = 1), have all the verifications been completed (n−i = 1).
(Operation 11) If all the operations are not completed, the operation returns to the previous one (i → i + 1), and the operations after the
(Operation 12) When all the hysteresis signature information (Y n to Y 1 ) matches, that is, when the verification is true up to the first recorded log file, all hysteresis signature information of the
(Operation 13) When all the hysteresis signature information is verified and the determination is true or false, the operation ends. When the verifier 50 removes the
上述の通り、本実施の形態により、(1)記録された情報が加筆、修正、削除等の改竄が行われていないことが第3者によって検証できる。
(2)また、総ての操作記録が残り、操作に関する総て情報を収集できるので、例えば、PCの操作記録をファイルアクセスのみに限定しても、それが故意によるものなのか、プログラムによるものなのか、PCの操作記録を可能な限り収集し、操作者の意図を知ることができる。
(3)使い易くなければ、操作者の負担がかかるため、運用者は継続してシステムを利用しようとは考えなくなるが、本実施の形態に係るシステムを導入することにより、操作者のパーフォーマンスが大幅に低下したり、操作範囲に制約が生じることはない。評価環境として、CPU:Pentium(登録商標) IV3.2GHz、RAM:1GB、OS:Windows(登録商標) 2000、USBメモリ:株式会社バッファロー(型番PUF-C128M/U2)、容量 128MB、鍵長1024ビットで検証した結果、1回分のヒステリシス署名に要する時間は、平均して0.2秒除弱であり、検証者に大きな負担が掛かることはなかった。
(4)従来のソリューションと異なり、導入・運用コストが低く、資金に余裕のない中小の企業でも実施できる。
As described above, according to the present embodiment, (1) it can be verified by a third party that the recorded information has not been altered, such as added, corrected, or deleted.
(2) Since all operation records remain and all information related to operations can be collected, for example, even if the PC operation record is limited to file access only, whether it is intentional or programmatic Somehow, it is possible to collect the operation records of the PC as much as possible and know the operator's intention.
(3) If it is not easy to use, the operator will be burdened, so the operator will not consider using the system continuously. However, by introducing the system according to this embodiment, the operator's performance will be reduced. Will not be significantly reduced or the operating range will not be restricted. As an evaluation environment, CPU: Pentium (registered trademark) IV3.2GHz, RAM: 1 GB, OS: Windows (registered trademark) 2000, USB memory: Buffalo Co., Ltd. (model number PUF-C128M / U2), capacity 128 MB, key length 1024 bits As a result of the verification, the time required for one hysteresis signature is an average of less than 0.2 seconds, so that a large burden is not imposed on the verifier.
(4) Unlike conventional solutions, implementation and operation costs are low, and it can be implemented even by small and medium-sized companies with insufficient funds.
なお、本実施の形態においては、USBデバイス30には最終のヒステリシス署名情報(Yn′)のみを保存することにしているが、ヒステリシス署名情報の総て(Y1′〜Yn′)を保存し、これらと、PC 10のログファイル221に保存されているヒステリシス署名情報(Y1〜Yn)を比較検証するようにしてもよい。
In the present embodiment, 'but it is to store only, all of the hysteresis signature information (Y 1 final hysteresis signature information (Y n)' to the USB device 30 to Y n ') Save these and may be compared and verified the hysteresis signature information stored in the
100・・DF保全装置
10・・操作者
20・・PC(第1電子計算デバイス)
21・・演算部(ヒステリシスロガー等)
22・・記憶部
221・・ログファイル
222・・ログプログラム
223・・テンポラリーファイル
30・・USBデバイス
31・・演算部
32・・記憶部
321・・秘密鍵(SK)
322・・更新された最終ヒステリシス情報(Yn′)
323・・プログラム
X・・耐タンパー領域
Z・・アクセス領域
50・・検証者
Di・・i番目の署名対象の文章データ(ログデータ)
Ri・・i番目のヒステリシス情報
H(x)・・xのハッシュ値
Yi・・i番目のヒステリシス署名情報(PCのログファイルに保存)
100..DF maintenance device 10..
21. ・ Calculation unit (hysteresis logger, etc.)
22. Storage unit
221 ... Log file
222 · Log program
223 ··
321 ... Secret key ( SK )
322 .. Updated final hysteresis information (Y n ′)
323 ・ ・ Program X ・ ・ Tamper resistant area Z ・ ・ Access area 50 ・ ・ Verifier D i・ ・ Text data (log data) for i-th signature
R i ··· i-th hysteresis information H (x) · · hash value of x Y i · · · i-th hysteresis signature information (stored in PC log file)
Claims (4)
前記ログデータとヒステリシス情報を記録するログファイルを格納した記憶部を有する第1電子計算デバイスと、
ヒステリシス署名情報(Yi、i=1〜n)を演算する演算部と、
該ヒステリシス署名情報の演算時に使用する秘密鍵(SK)と、
前記ヒステリシス署名情報と前記秘密鍵とをその耐タンパー領域に保存・格納する記憶部とを有する第2電子計算デバイスとからなるデジタルフォレンジック保全装置であって、
前記第1電子計算デバイスで生成された前記ログデータに基づく一連のヒステリシス情報(Ri、i=1〜n)を前記第1電子計算デバイスのログファイルに順次保存し、
前記第2電子計算デバイスにおいて、前記第1電子計算デバイスから送付されたログファイルに保存された一連のデータに前記秘密鍵を適用して、順次前記ヒステリシス署名情報(Yi、i=1〜n)を演算し、前記記憶部の耐タンパー領域に保存すると共に、
該ヒステリシス署名情報を前記第1電子計算デバイスに返送して前記ログファイルの対応する位置に保存し、
検証時には、前記第1電子計算デバイスのログファイルに保存されている一連のヒステリシス署名情報(Yi、i=1〜n)と前記第2電子計算デバイスの記憶部に保存されているヒステリシス署名情報(Yi′、i=1〜n)とを対応する番号毎に番号の大きい方から小さい方へ順次比較し、i=1からnまでの総ての対応するヒステリシス署名情報を比較して、前記第1電子計算デバイスの記憶部のログファイルに保存されているヒステリシス署名情報の総ての真偽が判断されることを特徴とするデジタルフォレンジック保全装置。 A calculation unit that generates log data (D i , i = 1 to n) and calculates hysteresis information (R i , i = 1 to n);
A first electronic computing device having a storage unit storing a log file for recording the log data and hysteresis information;
A calculation unit for calculating hysteresis signature information (Y i , i = 1 to n);
A secret key (S K ) used when calculating the hysteresis signature information;
A digital forensic maintenance device comprising a second electronic computing device having a storage unit for storing and storing the hysteresis signature information and the secret key in a tamper-resistant region thereof,
A series of hysteresis information (R i , i = 1 to n) based on the log data generated by the first electronic computing device is sequentially stored in the log file of the first electronic computing device,
In the second electronic computing device, the secret key is applied to a series of data stored in a log file sent from the first electronic computing device, and the hysteresis signature information (Y i , i = 1 to n) is sequentially applied. ) And save it in the tamper resistant area of the storage unit,
Returning the hysteresis signature information to the first electronic computing device and storing it in a corresponding location in the log file;
At the time of verification, a series of hysteresis signature information (Y i , i = 1 to n) stored in the log file of the first electronic computing device and hysteresis signature information stored in the storage unit of the second electronic computing device (Y i ′, i = 1 to n) are sequentially compared for each corresponding number from the larger number to the smaller number, and all corresponding hysteresis signature information from i = 1 to n is compared, The digital forensic maintenance apparatus according to claim 1, wherein the authenticity of all hysteresis signature information stored in the log file of the storage unit of the first electronic computing device is determined.
When the first electronic computing device is a personal computer, the second electronic computing device is a USB device, and the USB device and the personal computer are connected to each other, the personal computer and the USB device are operated. 4. The digital forensic maintenance apparatus according to claim 1, wherein operation or verification work is possible.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005347572A JP4512697B2 (en) | 2005-12-01 | 2005-12-01 | Digital forensic maintenance equipment |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005347572A JP4512697B2 (en) | 2005-12-01 | 2005-12-01 | Digital forensic maintenance equipment |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2007158489A true JP2007158489A (en) | 2007-06-21 |
JP4512697B2 JP4512697B2 (en) | 2010-07-28 |
Family
ID=38242312
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2005347572A Expired - Fee Related JP4512697B2 (en) | 2005-12-01 | 2005-12-01 | Digital forensic maintenance equipment |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP4512697B2 (en) |
Cited By (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2009099009A (en) * | 2007-10-18 | 2009-05-07 | Kddi Corp | Information processing system |
JP2011155542A (en) * | 2010-01-28 | 2011-08-11 | Kddi Corp | System and method for preserving evidence of shot photograph, and program |
JP2013511099A (en) * | 2009-11-20 | 2013-03-28 | エムピーエイ ネットワークス,インコーポレイテッド | Method and apparatus for maintaining high data integrity and providing confidential audits for fraud prevention and detection |
JPWO2013054701A1 (en) * | 2011-10-14 | 2015-03-30 | 株式会社日立製作所 | Data authenticity guarantee method, management computer and storage medium |
-
2005
- 2005-12-01 JP JP2005347572A patent/JP4512697B2/en not_active Expired - Fee Related
Cited By (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2009099009A (en) * | 2007-10-18 | 2009-05-07 | Kddi Corp | Information processing system |
JP2013511099A (en) * | 2009-11-20 | 2013-03-28 | エムピーエイ ネットワークス,インコーポレイテッド | Method and apparatus for maintaining high data integrity and providing confidential audits for fraud prevention and detection |
JP2011155542A (en) * | 2010-01-28 | 2011-08-11 | Kddi Corp | System and method for preserving evidence of shot photograph, and program |
JPWO2013054701A1 (en) * | 2011-10-14 | 2015-03-30 | 株式会社日立製作所 | Data authenticity guarantee method, management computer and storage medium |
Also Published As
Publication number | Publication date |
---|---|
JP4512697B2 (en) | 2010-07-28 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
Ma et al. | A new approach to secure logging | |
Schneier et al. | Secure audit logs to support computer forensics | |
Hasan et al. | Introducing secure provenance: problems and challenges | |
Schneier | Cryptographic design vulnerabilities | |
US7779478B2 (en) | System and method for distributed module authentication | |
Zhang et al. | Blockchain-based secure data provenance for cloud storage | |
CN1842757B (en) | Method and apparatus for incremental code signing | |
US20040054901A1 (en) | Creating and verifying a sequence of consecutive data | |
Trèek | An integral framework for information systems security management | |
US20030074567A1 (en) | Mehod and system for detecting a secure state of a computer system | |
US20040003248A1 (en) | Protection of web pages using digital signatures | |
JP2001117823A (en) | Data storage device with access qualification authenticating function | |
US20090287942A1 (en) | Clock roll forward detection | |
Mahrous et al. | An enhanced blockchain-based IoT digital forensics architecture using fuzzy hash | |
CN100414540C (en) | System and method for analyzing and abstracting data evidence | |
CN110837634B (en) | Electronic signature method based on hardware encryption machine | |
Shekhtman et al. | EngraveChain: Tamper-proof distributed log system | |
JP4512697B2 (en) | Digital forensic maintenance equipment | |
KR102013415B1 (en) | System and method for verifying integrity of personal information | |
Kuntze et al. | On the creation of reliable digital evidence | |
CN104751042A (en) | Credibility detection method based on password hash and biometric feature recognition | |
JPWO2004068350A1 (en) | Data alteration detection method, data alteration detection device, and data alteration detection program | |
Accorsi et al. | Delegating secure logging in pervasive computing systems | |
JP2004140715A (en) | System and method for managing electronic document | |
US20110208969A1 (en) | Method and apparatus for providing authenticity and integrity to stored data |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20081121 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20090707 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090714 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090807 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20100309 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20100315 |
|
R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130521 Year of fee payment: 3 |
|
S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130521 Year of fee payment: 3 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140521 Year of fee payment: 4 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
LAPS | Cancellation because of no payment of annual fees |