JP2007503652A - 分散ファイルシステム・ネットワーク・セキュリティ拡張 - Google Patents

Abstract

【課題】 分散ファイルシステム上の機密ファイルに対してアクセスが要求された場合に、高いマウント・セキュリティを動的に実装する方法、システム、およびデータ処理システムを提供する。
【解決手段】 ネットワーク・ファイルシステム上の機密ファイルに対してアクセスが要求された場合に、ファイルシステムの高いマウント・セキュリティを動的に実装するセキュリティ・プロトコル。クライアント・システムのユーザが、特別にタグを付けた機密ファイルにアクセスしようとすると、ファイルシステムをホストするサーバが、現在のマウントを終了させるソフトウエア・コードを実行し、サーバ・ポートを再構成して、よりセキュアなポートを介してクライアントからの再マウントを受け入れるようにする。サーバが再構成したサーバ・ポートに、クライアントのＩＰアドレスが与えられ、再マウント動作中にこのＩＰアドレスを照合する。セキュアなマウントへの切り替えはシームレスに完了するので、コストの高い暗号化および他のリソースを消費するセキュリティ機構によってサーバに負担をかけることなく、許可ユーザは機密ファイルに対するアクセスを許される。ユーザによって著しい遅延は経験されず、同時に、機密ファイルは、クライアント・システムへの送信中に不正な捕捉から保護される。
【選択図】 図６

Description

本発明は、一般にネットワーク・システムに関し、具体的には、分散ファイルシステムに関する。更に具体的には、本発明は、分散ファイルシステムにアクセスするためのセキュリティ機構に関する。

Ｕｎｉｘオペレーティング・システム（ＯＳ）のバージョンをサポートするもの等の汎用コンピューティング・システムにおいて、アプリケーションは、ファイルシステムを含む１組のオペレーティング・システム・サービスによって、ディスク・ドライブ上に格納されたデータにアクセスすることができる（Ｕｎｉｘは、The Open Groupによって独占的にライセンスされる登録商標である）。ファイルシステムは、コンピュータ・システムによって用いられて、大きなファイル集合を個々のファイルまたはファイルのディレクトリへと組織化し、それらのファイルをディスク等のストレージ・デバイスにマッピングすることができる。ファイルシステムは、２つの主なコンポーネントを含む。すなわち、ファイルの物理的表現を制御するプログラム、および、ディスク上に格納されるファイル自体である。

分散型コンピューティング環境においては、多数のコンピューティング・システムが、通信ネットワークまたは他の結合設備を介して相互接続されることができ、分散ファイルシステムによってファイルを共有することができる。ファイルシステムのエクスポータは、通常、サーバ・ノード（ファイルシステム・データを含むディスクに対するアクセスを制御するコンピューティング・システム）上で実行され、一方、ファイルシステムのインポータは、通常、クライアント・ノード（ディスク上のファイルにアクセスするために用いられる他のコンピューティング・システム）上で実行される。クライアント・ノード上でユーザによって行われる共有ファイルに対するアクセスを、「リモート」アクセスと呼ぶ。サーバ・ノード上でユーザによって行われる共有ファイルに対するアクセスを、「ローカル」アクセスと呼ぶ。

ネットワーク・ファイルシステムは、ネットワークのサーバまたはノード上に格納され、サーバまたはノードは、通常はリモートでネットワークにリンクされているクライアント端末（すなわちユーザ・コンピュータ）からアクセス可能である。実際のリンクは、標準的なイーサネットに基づいたローカル・エリア・ネットワーク（ＬＡＮ）におけるような有線リンク、または、ブルートゥース仮想プライベート・ネットワーク（ＶＰＮ）等の無線リンクとすることができる。クライアント端末によってファイルシステムにアクセスするプロセスを、「ファイルシステムのマウント」と呼ぶ。ファイルシステムをマウントする場合、ファイルシステムの制御プログラムは、ファイルシステム・オブジェクトのレイアウトに関する特定の情報をディスクから読み取る。この情報から、ファイルシステムは、「仮想ファイルシステム」またはＶｆｓとして知られるデータ構造を構築する。ファイルを開くたびに、またはファイルがアクセス可能となるたびに、ファイルシステムは、「ｖノード」と呼ばれるデータ構造を作成する。これは、ｖｆｓにチェーンされている。

各ｖノードは、所与のファイルに関する情報を含み、物理的なファイル・システム・データ構造に対する参照を含む。物理的なファイル・システム・データ構造は、ファイルの所有者、ファイルのサイズ、ファイル作成の日時、およびディスク上のファイルのブロックの位置等の情報を含む。ファイルシステムは、ファイルを管理するため、メタデータと呼ばれる内部データを含む。メタデータは、ファイルの各データ・ブロックが格納されている場所、ファイルのメモリ変更バージョンが格納されている場所、ならびにファイルの許可および所有者を示すデータを含むことができる。

ますます多くの企業が、リモート／ネットワーク−アクセス可能分散ファイルシステムを用いて、機密情報を有するものを含むファイル／文書を電子的手段によって格納し、後でそれを検索するようになっているので、分散ファイルシステムのセキュリティがいっそう重要になっている。標準のＩＰセキュリティ（ＩＰＳｅｃ）スイートが導入されて、２つの主なセキュリティ機構を提供している。すなわち認証および暗号化である。換言すると、ＩＰＳｅｃは、送信側および受信側の機械が本当にそれら自身が主張する通りであるかを保証し、更に、ＩＰＳｅｃは、実行中にデータをスクランブルすることを可能とし、データは傍受された場合に理解不可能となるようになっている。

このため、ほとんどのシステムでは、最初のマウントの間にユーザを認証する必要があり、これは通常、ユーザ・パスワードの検証等を含む。しかしながら、パスワードの保護および同様のセキュリティ対策は、クラッキングに対して無防備であることが知られており、容易に危険にさらされる恐れがある。いったんファイルシステムに対する一般的なアクセスが得られると、パスワードで保護されたシステムでは、機密ファイルに対して極めてわずかな保護しか与えられないことが、この業界において認められている。

また、更に高度なハッカーは、認証されたマウントの間に送信に侵入し、データがファイルシステムからクライアント・システムに送信されている際にそのデータを単にコピーすることによって、ファイルシステム上に格納されたファイルに対するアクセスを得る。これが発生する理由は、ほとんどのパスワード保護による分散ファイルシステムでは、いったんセキュリティ・ログインのいくつかのレベル（パスワード認証等）が完了すると、ファイルシステムからのファイルの実際の送信が平文で行われるからである。このため、極めて機密性の高いデータが送信に含まれる場合は、追加のセキュリティ対策を取って、単に送信中にファイルをコピーすることでは平文データが利用可能にならないことを確実にする必要がある。

この後者の方法によって、機密情報のセキュリティを危険にさらすことがどのくらい容易であるかは、ある程度、認証されたユーザがファイルシステムのマウント／アクセスを行うために用いる媒体に依存する。例えば、無線アクセス／送信は通常、有線ネットワーク媒体よりも盗聴およびクラッキングの可能性が高い。しかしながら、標準的なイーサネットでさえ、検出されることなく容易に破ることができる。このため、標準的なイーサネットは、機密データをルーティングするための選択肢としては安全でない。

上述のように、この業界では、ファイルシステムのマウント中に全ての送信データに厳しい暗号化を課すことによって、送信媒体上のセキュリティに対する必要性の高まりに応えている。現在、いくつかの暗号化アルゴリズムおよび規格（例えば無線トランスポート・レイヤ・セキュリティ）が、クライアント・システム／ノードと、ファイルシステムをホストするサーバとの間の送信にセキュリティを提供するように設計されている。厳しい暗号化を利用すると、全てのトラヒックについて、クライアント・システムおよびサーバに厳しい処理の負担がかかることは避けられない。システムの全体的な性能は低下し、ファイルシステムへのアクセスのためにシステム全体の暗号化を実施したい企業では著しいコストがかかる。暗号化は、通信機構に組み込まれ、クライアント・システムとサーバとの間の全てのトラヒックに適用されるが、トラヒックの大部分はそのレベルのセキュリティを必要としない場合がある（例えば機密でない情報／ファイル）。

移動中であり、ネットワークにリモートで接続したいことがあるユーザに対して企業がリモート・アクセスを提供するために、無線システムを利用したファイルシステムへのアクセスが増えている。しかしながら、無線接続は、有線接続よりもクラッキングを受けやすい。一部の無線ユーザはＷＴＬＳを用いるが、このセキュリティ機構は、セキュリティ・レベルが比較的弱いことが知られている。１つの解決策では、クライアントの大部分がトークン・リングによってファイルシステムにアクセスしている場合であっても、機密データにアクセスするために仮想プライベート・ネットワーク（ＶＰＮ）データ・カプセル化／暗号化を必要とする。更に、このＶＰＮデータ・カプセル化では、サーバが全てのデータを暗号化し復号するので、サーバの速度にマイナスの影響を与える恐れがある。

また、ＶＰＮまたはＶＰＮ上のサーバが、ＩＰアドレスまたはサブネットを認識し、ある特定のサブネット上でのみ暗号化を要求するように、それらを構成することも可能である。この解決策に伴う１つの問題は、分散ファイルシステム・サーバの管理者が、ネットワーク内に存在しない全ての無線ノードについて知らなければならないことである。無線ネットワークが部門内のある組織によって設置された場合、その無線ネットワークについてサーバ管理者に認識させて、サブネットをＩＰアドレスのＶＰＮリストに追加することができるようにする必要がある。

Keith Brownによる、「Web Security: Putting
Secure Front End on your COM+ Distributed Applications」（ＭＳＤＮマガジン、２０００年６月）は、ＨＴＴＰＳプロトコルの使用を要求するためにＩＩＳメタベースを用いることを開示する。ＩＩＳメタベースを用いて、クライアントがＨＴＴＰＳプロトコルを用いることを命令する。

前述のことに鑑み、本発明は、分散ファイルシステム上の機密ファイルに対してアクセスが要求された場合に、高いマウント・セキュリティを動的に実装する方法、システム、およびデータ処理システムを有すると望ましいということを認識している。進行中のセッションの間に機密ファイル／データがアクセスされようとした場合にはいつでもセキュアなマウントを自動的に提供する方法およびシステムは、歓迎される改善であろう。更に、セキュアなマウントがシームレスに完了して、認証されたユーザが切断および再マウント認証プロセスを経験することなく機密ファイルに対するアクセスを受けながら、いっそうセキュアなマウントを介して機密ファイルをルーティングすることによって不正な捕捉から機密ファイルを保護すれば、望ましいであろう。

開示されるのは、ネットワーク・ファイルシステム上の機密ファイルに対してアクセスが要求された場合に、ファイルシステムの高いマウント・セキュリティを動的に実装する方法、システム、およびコンピュータ・プログラム・プロダクトである。クライアント・システムは、ファイルシステムのファイルに対するアクセスのために、標準的なマウントおよび認証プロセスを開始する。クライアント・システムのユーザが、特別にタグを付けた機密ファイルにアクセスしようとすると、サーバは、現在のマウントを終了させるソフトウエア・コードを実行する。サーバは、クライアントに関連したＩＰアドレスからサーバを再マウントしようとするいかなる試みも、セキュアなポートにルーティングするように再構成される。サーバによってセッションが終了すると、クライアント・システムは、サーバを再マウントする試みを自動的に行うようにプログラムされる。サーバは、再マウント動作の間にクライアントのＩＰアドレスを認識し、クライアントをセキュアなポートにルーティングする。

このため、標準的なマウントで開始された進行中のセッションの間に機密ファイル／データがアクセスされようとした場合はいつでも、セキュアなマウントを自動的に提供する。次いで、セキュアなマウントを介したルーティングがシームレスに完了し、許可ユーザは機密ファイルに対するアクセスを受け、著しい遅延は経験されず、ユーザが開始する再マウントおよび認証プロセスを必要とする明らかな切断も経験されない。その間、確立されたよりセキュアなマウントを介して機密ファイルをルーティングすることによって、機密ファイルは不正な捕捉から保護されている。

これより、本発明について、添付図面を参照して、一例としてのみ説明する。

ここで図面、特に図１を参照すると、コンピュータ・システムのブロック図が示されている。これは、分散ファイルシステムをホストするサーバまたは分散ファイルシステムをホストするサーバをマウントするために用いられるクライアント・システムのいずれかとして利用可能である。コンピュータ・システム１００は、システム・バス／相互接続１１０を介して接続されたプロセッサ１０２およびメモリ１０４を含む。また、コンピュータ・システム１００は、相互接続１１０に結合された入力／出力（Ｉ／Ｏ）チャネル・コントローラ（ＣＣ）１０９も含む。Ｉ／Ｏ ＣＣ１０９は、冗長ディスク・アレイ（ＲＡＩＤ）１１４を含めて、Ｉ／Ｏデバイス１０６に対する接続を提供する。ＲＡＩＤ１１４は、プロセッサによって実行されているアプリケーションの必要に応じてメモリにロードされる命令およびデータを格納する。例示的な実施形態によれば、ＲＡＩＤ１１４は、ファイルシステム１１２を構成する複数のファイルのためのストレージ媒体を提供する。

更に、コンピュータ・システム１００は、ネットワーク接続デバイス１０８を含む。これは、とりわけ、ワイヤライン・モデム、イーサネット・カードを含むことができる。Ｉ／Ｏデバイス１０６およびネットワーク接続デバイス１０８とのアクセスは、Ｉ／Ｏチャネル・コントローラ（Ｉ／Ｏ ＣＣ）１０９を介してルーティングされる。Ｉ／Ｏ ＣＣ１０９は、必要な場合に「セキュアな」経路／チャネル／ポートを介してコンピュータ・システム１００へのマウントおよびシステム１００からのマウントの自動的な再確立を完了するための論理を含む。これについては以下で更に説明する。

コンピュータ・システム１００は、オペレーティング・システム（ＯＳ）１２２、ファイルシステム・ソフトウエア・アプリケーション１２４、マウント・コード１２５、および分散ファイルシステム・ネットワーク・セキュリティ拡張（ＤＦＮＳＥ）１２６を含む。ファイルシステム・ソフトウエア・アプリケーション１２４は、コンピュータ・システム１００がファイルシステム１１２をホストするために利用されている場合に、ファイルシステム１１２の基本的なアクセス、維持、および更新を提供する。

クライアント・システム内にある場合、ファイルシステム・ソフトウエア・アプリケーション１２４は、ファイルシステムをホストするサーバのマウントおよび自動的な再マウントを完了するためのマウント・コード１２５のクライアント・バージョンを含む。例示的な実施形態では、クライアントがサーバのアンマウントを完了することなく、サーバによる確立されたマウントが分断された／失われた場合はいつでも、クライアント・システムによって自動的な再マウント・プロセスが実施される。記載する実施形態では、サーバは、ＦＹＮコマンドを発行して現在のマウントを終了させ、これによって、クライアントにサーバの再マウントを開始させることができる。ＦＹＮコマンドは、特別なセキュリティ保護を必要とする特定のファイルに対するアクセスに応じて発行される。これについては以下で更に詳細に説明する。

図１およびファイルシステム・ソフトウエア・アプリケーション１２４の説明に戻ると、サーバ内で実行された場合、ファイルシステム・ソフトウエア・アプリケーション１２４は、様々なユーザおよびクライアント・システムの資格証明情報の受信、維持、および検証のためのコード、ファイルシステム１１２を維持するためのコード、ならびに、セキュリティ・ソフトウエアおよび関連する応答を選択的に開始するためのコードを含み、これを分散ファイルシステム・ネットワーク・セキュリティ拡張（ＤＦＮＳＥ）１２６と呼ぶ。ＤＥＮＳＥ１２６は、本発明の特徴の根幹を提供する。以下に、図４乃至図７を参照して、サーバ上でのＤＦＮＳＥ１２６の実行について説明する。基本的なレベルでは、ＤＦＮＳＥ１２６は、ファイルシステム１１２の特定のファイルについてどのレベルのセキュリティ・アクセスを許可するか、および、本発明の高いセキュリティ対策をいつ開始するかを決定する。

ここで図３を参照すると、多数の相互接続コンピュータ・システムを含む例示的なネットワークが示されている。このコンピュータ・システムは、図１のコンピュータ・システム１００と同様に構成することができ、分散ファイルシステムをホストするかまたはそれにアクセスするためのサーバもしくはクライアントのいずれかの機能を与えるように、好都合に用いられる。ネットワーク２００は、３つ（またはそれ以上）の相互接続されたサーバ２０３上でホストされる分散ファイルシステム２０２を含む。また、ネットワーク２００は、ネットワーク・バックボーン２１０を介して分散ファイルシステム２０２に接続された複数のクライアント・システム２０１を含む。ネットワーク・バックボーン２１０は、１つ以上のネットワーク接続システム（またはサブネットワーク）を含み、これは、イーサネットまたはトークンリング等のネットワーク・プロトコルに従って構成することができる。これらのサブネットワークは、例えば、有線もしくは無線のローカル・エリア・ネットワーク（ＬＡＮ）、またはインターネット等のワイド・エリア・ネットワーク（ＷＡＮ）とすることができる。更に、サブネットワークは、光ファイバ・ネットワークも含むことができる。

分散ファイルシステム２０２は、サーバ２０３の少なくとも１つでの１つ以上のポート（図示せず）を介して、ネットワーク・バックボーン２１０に直接結合されている。クライアント・システム２０１は、ネットワーク・バックボーンに直接結合する（有線）か、または、無線アンテナ２０７等の無線媒体を介した通信によって接続することができる。クライアント・システム２０１は、クラッキングの受けやすさがそれぞれ異なっている様々なネットワーク構成の１つを利用した様々な利用可能媒体の１つを介して、分散ファイルシステム２０２にアクセスする。このため、クライアント・システム２０１は、セキュアでない無線ネットワーク２２７を介してファイルシステム２０２にアクセスし、これをマウントする場合がある。また、クライアント・システム２０１は、セキュアな光ファイバ・ネットワーク２２５を用いてファイルシステム２０２をマウントする場合がある。本発明の説明を簡略にするため、無線ネットワーク２２７は、暗号化を行っていない標準的なセキュアでないネットワークであると想定し、一方、光ファイバ・ネットワーク２２５は、暗号化を行う特別でセキュアな接続であると想定する。各接続は、ファイルシステム２０２のマウントがサポートされるサーバ２０３に利用可能なポートの異なる１つを介してルーティングされる。

図２は、ファイルシステム２０２のブロック図であり、ファイルシステム２０２を構成するファイルの更なる詳細を示す。図示のように、ファイルシステム２０２は、制御ブロック１３１および複数のファイル１３２ａ〜ｎを含む。ファイル１３２ａ〜ｎの各々は、ヘッダ／識別子フィールド３３４およびセキュリティ・フィールド３３６を有するメタデータ・タグ１１２を含む。ヘッダ／ＩＤフィールド３３４は、ファイルＩＤおよびファイルに対するアクセスを有するユーザに関する情報を含む。セキュリティ・フィールドは、単一ビット・フィールドであり、当該ファイルに適用可能なセキュリティ・レベル、すなわち許可されたユーザ・アクセスのタイプを示す。例示的な実施形態によれば、最も高いレベルのセキュリティを必要とし、セキュアなマウントでのみアクセスされるように制限されるいくつかのファイル（例えばファイル１および３）は、各メタデータのセキュリティ・フィールド３３６において、「１」のタグが付いている。このタグが付いていない（すなわち０のタグが付いている）他のファイルは、通常（例えばファイル２）であり、特別なセキュアなマウントを行わずに、いかなる許可ユーザによってもアクセスすることができる。

上述のように、本発明は、強化したセキュリティ機構を導入する。例示的な実施形態では、これをＤＦＮＳＥ（分散ファイルシステム・ネットワーク・セキュリティ拡張）と呼ぶ。ＤＦＮＳＥによって、ファイルシステム・サーバは、特定のユーザによるファイルへのアクセスを提供する場合に必要なネットワーク・セキュリティのレベルを、ファイルまたはディレクトリに関連したファイル許可から推論することができる。ＤＦＮＳＥは、サーバレベルでファイルシステムのセキュリティを強化するアプリケーションまたは手順である。従って、ＤＦＮＳＥを用いた場合、サーバが用いているネットワーク接続またはアダプタを知る必要があるのは、サーバだけである。

ＤＦＮＳＥを実装するために、ファイルシステムへのマウントを与えることができる各サーバ内には、特定のハードウエア、論理、およびソフトウエア・コンポーネントが設けられる。図７は、これらのコンポーネントのいくつかを示すブロック図である。図７に示すように、サーバ２０３は、２つのイーサネット・ネットワーク・アダプタ（またはポート）、すなわち、セキュアなｅｎ０ ４０３およびセキュアでないｅｎ１ ４０５を備えることができる。一実施形態では、これらのアダプタの背後にあるネットワーク・トポロジは一貫性がある。すなわち、選択されたサブネットワーク自体がセキュリティを提供し、サーバは、必要なセキュリティ・レベルに基づいて、サブネットワークの中から動的に選択することができる。別の実施形態では、セキュアなアダプタｅｎ０ ４０３によって、追加の暗号化または他のセキュリティ機構が与えられる。

ｅｎ０ ４０３は、全ての機密データをルーティングするために利用されるファイバ・ネットワーク２２５に接続し、ｅｎ１ ４０５は、標準的なイーサネットに基づいた有線ネットワーク２２１に接続し、他の全ての（機密でない）データ通信をルーティングするために利用される。ｅｎ１ ４０５は、ファイルシステムのサーバをマウントするためのデフォルト・ポートである。例示的な実施形態では、標準的なイーサネットは、検出されることなく容易に破ることができるために、機密データをルーティングするための選択肢としてイーサネットは安全でないことが想定される。ファイルシステムのマウントの間に、各ファイルごとにファイル許可３３４およびセキュリティ・レベル３３６を詳しく知っているサーバは、ユーザ・アクセスを追跡し、アクセスされるファイルについて所定位置にあるファイル許可に基づいて、いつクライアントを安全なネットワークに切り替えさせるかを決定する。例示的な実施形態によれば、ネットワーク・トポロジは、セキュアなルートおよびセキュアでないルートの双方について一貫性があるので、セキュアでないサブネットワークからセキュアなサブネットワークに切り替えるときに、異なるトポロジを考慮した、ハードウエアまたはルーティング・プロトコルの追加の更新は不要である。

図７のサーバ２０３は、マウント・コントローラ４０７も含む。これは、ファイルシステム２０２のための従来のマウント・サポートおよびアンマウント動作、ならびに本発明の特徴に従う再マウント構成を実行する。マウント・コントローラ４０７は、ＤＦＮＳＥ１２６を含み、好ましくは、サーバ２０３上で実行するソフトウエア・コードとして具現化される。ＤＦＮＳＥ１２６は、マウント・コントローラ４０７をトリガするように動作して、標準的なポートＥｎ１ ４０５またはセキュアなポートＥＮ０ ４０３のいずれかを介して、マウントの要求をルーティングする。また、サーバ２０３は、セキュアなポート上で暗号化を実施する場合に、ＤＦＮＳＥ１２６およびＥｎ０ ４０３と関連付けて用いられる暗号化モジュール４０９を含む。

ファイルシステム・アクセスの間、サーバ２０３において機密動作に対するアクセスの要求が受信されると、マウント・コントローラ４０７は、クライアントのＩＰアドレスを、機密データへのアクセスを必要とするものとしてマークする。次いで、サーバ２０３は、現在の接続を切断する（すなわち、サーバはクライアントにＦＹＮを送信する）。クライアントは、自動的に再接続しようとし、マウント・コントローラ４０７は、再マウントの間にクライアントのＩＰアドレスを認識する。そして、クライアントのセッションは、セキュアなＳＳＬポートへ向けられる。このように、主なアクセスは標準的なポートを介して与えられるが、機密データ／ファイルに対するアクセスが必要な場合には、アクセスはセキュアなＳＳＬポートに動的に切り替えられる。

ここで図５に移ると、ファイルシステムをホストするサーバの上述のハードウエア／論理構成内でソフトウエアによるＤＦＮＳＥセキュリティ機構を実装するプロセスのフローチャートが示されている。このプロセスは、ブロック３２１に示すように、サーバの標準的なポートにおいて、クライアントからの標準的なマウント要求を受信することから始まる。ブロック３２３に示すように、ユーザに認証データ（パスワード等）を要求し、データ・パケットからクライアント・システムのＩＰアドレスを検索する。ブロック３２５に示すように、標準的なポート上でセッションを開き、ＩＰアドレスおよびユーザの認証データの双方を、この特定のセッションにリンクされたパラメータ・ファイル内に格納する。ブロック３２７に示すように、いったんセッションを確立すると、アクセス許可等に関連付けられたサーバ論理が、ユーザのインタラクションを監視し、ブロック３２９において、ユーザが機密ファイルに対するアクセスを要求しているか否かを判定する。

ファイルに対するクライアントの要求を満足させているサーバには、リモート・クライアント上のユーザの認証／資格証明およびアクセスされているファイルの許可がプログラムされている。アクセスされているファイルが機密でない場合、ブロック３３１に示すように、標準的なポート上でユーザに通常のアクセスを提供する。しかしながら、クライアントが要求しているファイルが、アクセスを許可する前にもっとセキュアなチャネルを必要とする機密ファイルである場合、次に、ブロック３３３において、ユーザがファイルにアクセスするための適正なアクセス許可を有するか否かを判定する。ユーザが適正なアクセス許可を有しない場合、ブロック３３５において、要求を拒絶する。しかしながら、ユーザの資格証明によって、ユーザがその特定のファイルにアクセスする許可を有することが示された場合、ブロック３３７において、ＤＦＮＳＥセキュリティ・プロトコルを活性化する。ＤＦＮＳＥの活性化によって、サーバは、クライアントにＦＹＮを発行することによりクライアントのアンマウントを強制的に行い、同時に、よりセキュアなポートを構成して、セッション・パラメータと共に保管したＩＰアドレスを有するクライアントからの再マウントを受容する。次いで、ブロック３３９に示すように、サーバは、セキュアなポートを介して、ファイルに対するセキュアなアクセスを提供する。

図４は、主にユーザ／クライアント・システムの観点からの、本発明の実施に伴うプロセスのフローチャートである。このプロセスが開始するのは、ブロック３０２に示すように、ユーザが（クライアント・システムを介して）、まず、ファイルシステムをホストするサーバをマウントし、ブロック３０４に示すように、ファイルシステムに対するアクセスを要求した場合である。クライアントが最初にＮＦＳファイルシステムをマウントする場合、マウントはデフォルトにより標準的なＴＣＰ接続上で完了する。例えば、接続は、周知のＮＦＳポート２０４８に対して行うことができる。サーバは、このポートに結合されたリスニング・ソケットを有し、標準的な（セキュアでない）プロトコルに従って動作する。留意すべきことは、例示的な実施形態において、機密ファイルに対するアクセスが要求された場合に実施されるＤＦＮＳＥプロトコルによって標準的なプロトコルが強化されていることである。

クライアントから接続が要求されると、サーバのリスニング・ソケットは、基本的にそれ自体を複写し、接続をリモート・クライアントに制限する。そして、リスニング・ソケットは、他の接続要求を処理するためにオープンの状態を維持する。ブロック３０６に示すように、クライアントの認証を開始し、ブロック３０８において、クライアントの認証が成功したか否かを判定する。クライアント／ユーザの認証プロセスが成功でない場合、ブロック３１０に示すように、ファイルシステムに対するアクセスを拒絶し、マウントを切断する。次いで、ブロック３１１に示すように、プロセスは終了する。さもなければ、ブロック３０９に示すように、セッションを開き、ファイルシステムに対するアクセスをユーザに与える。

ブロック３１２に示すように、クライアント・システムは、切断がないかどうか接続を監視し、ブロック３１４に示すように、接続が反応しなくなったか、またはサーバ側で早まって切断されたかを判定する（すなわち、理想的には、サーバ発行のＦＹＮが受信された時である）。接続が無反応または切断された場合、ブロック３１６に示すように、クライアントは再マウントを開始し、これはサーバが示すポートにルーティングされる。

留意すべきことは、サーバによるマウント中止に応答した再接続は、サーバにおけるセキュアなポート上に向けられるが、クライアント・システムは実際のポートを知らなくてもよいことである。ＤＦＮＳＥのセキュリティ・プロトコルを利用して、更に、どのポートがセキュアであるかの知識、および、セッションがセキュアなポートを必要とするか否かに基づいて、サーバは、クライアントがセキュアなポート上で再マウントすることを要求することができる。例えば、クライアントは、セキュア・ソケット・レイヤを実行しているポートを利用して再マウントさせることができる。留意すべきことは、再マウントおよびポート切り替え手順を完了させるために、ユーザ・アクションは必要ないということである。サーバ側のアンマウントおよび以降の再マウントのための監視は、全て、クライアント・システムにおける背景プロセスとして行われ、ユーザ（クライアント）には、よりセキュアなポートへの切り替えは認識されない。

図６のフローチャートによって、サーバ側でよりセキュアなポートを介した再ルーティングを行うために必要な内部処理の詳細を例示する。このプロセスは、ブロック３５１において、機密ファイルに対するアクセスがＤＦＮＳＥによって識別された場合に開始する。ブロック３５２において、サーバは、現在のポートのセキュリティを調べる。ブロック３５４において、現在のポートのセキュリティが、要求されたファイルにアクセスするために充分であるか否かを判定する（どのくらいファイルの機密性が高いかに依存し、例示的な実施形態では、ファイルのセキュリティ・ビットを読み取ることによって推定される）。現在のポートのセキュリティが、要求されたファイルにアクセスするために充分である場合、ブロック３５６に示すように、アクセスを与える。

１つの代替的な実施形態では、再マウント機能は選択的に自動化することができ、プロセスは、次に、自動再マウントのための機能がイネーブルされているか否かを判定する必要がある。この代替的な実施形態では、自動再マウント機能がイネーブルされていない場合、ユーザは実際に、セキュアなマウントを介して再マウントするよう指示される。

図６の例示的な実施形態に戻ると、ポートのセキュリティが不十分である場合、ブロック３５８に示すように、サーバはこれに応答して、このセッションのためによりセキュアなポート（例えばＥｎ０）を選択する。ブロック３６０に示すように、サーバは、クライアントのＩＰアドレスを含む、セッションの認証およびマウント・パラメータのスナップショットを取得し、これらのパラメータをよりセキュアなポートの制御論理に転送する。転送は、極めてわずかなレイテンシで行われ、従って、よりセキュアなポートは、そのクライアントから再マウントを受信し、進行中のセッションをサポートし続けるように自動的に構成される。セキュアなポートを構成した後に、対応するポート番号が、クライアントのＩＰアドレスと共に、マウント・コントローラに与えられる。ブロック３６２に示すように、サーバは、第１の標準的なポート上のマウントを終了させ、クライアントから再マウントを受信した場合、よりセキュアなポートを介したセッションを再確立する。

留意すべきことは、サーバが最初のマウントを終了させたことに応答して、クライアントが再マウントを開始し、これはユーザによって第２のセキュアなリンクに向けられることである。これによって、クライアントの最初のセッションが再確立されるが、これは第２のポートを介している。接続の再確立は、クライアントのＩＰアドレスをチェックし、そのＩＰアドレスからの接続を受信するようにセットアップされたポートとそのＩＰアドレスを照合することを伴う。プロセス全体は背景において行われ、このため、ユーザの観点からは、ポートのシームレスな切り替えが完了する。

１つの代替的な実施形態では、特定のファイルに適用されるセキュリティ・レベルは、その特定のファイルに対するアクセスを与えられたユーザ（または選択されたクライアント・システム）によって決定される。従って、ファイル・アクセス許可がファイルシステムの管理者のみに限定されているならば、セキュリティ・レベルは高く、一方、ファイル・アクセス許可が一般の従業員に与えられていることは、必要なセキュリティ・レベルが比較的低いことを示す。ファイルのセキュリティ・レベルの決定は、ユーザが最初にファイルを作成し、そのファイルにアクセス許可を割り当てた場合に完了する。いったんファイルがファイルシステム内に置かれると、ファイルは適切なネットワーク・セキュリティ保護を自動的に承継する。この実施によって、ファイルシステム内のファイル上の既存のファイル許可（例えばユーザ、グループ、その他のためのＵＮＩＸ−ｒｗｘ、ｒｗｘ、ｒｗｘ）は、拡張的なシステム管理および構成を必要とすることなく、本明細書において与えられるセキュリティ・モデルに組み込まれる。このため、本発明では、ファイルごとに既存のファイルシステムを再構成する必要がない。本発明によって、機密ファイルをセキュアなサーバへと移動させる必要もなくなる。

本発明の特徴を実施可能なデータ処理システムのブロック図である。 本発明の一実施形態に従った、図１のファイルシステム内のファイルのブロック図であり、必要なレベルのセキュリティを示すセキュリティ・タグを有する。 本発明の一実施形態に従った、本発明の特徴を実施可能な分散ネットワークのブロック図である。 本発明の一実施形態に従った、標準的なマウントを介したアクセス中にクライアントに機密ファイルへのアクセスを与えるプロセスのフローチャートである。 本発明の一実施形態に従った、サーバがクライアントによる機密ファイルへのアクセス要求を監視して、それらのファイルへのアクセスがセキュアなチャネルを介してルーティングされることを保証するプロセスのフローチャートである。 本発明の一実施形態に従った、サーバがクライアントによる機密ファイルへのアクセス要求を監視して、それらのファイルへのアクセスがセキュアなチャネルを介してルーティングされることを保証するプロセスのフローチャートである。 本発明の一実施形態に従った、単一の継続セッションの間に標準的なセキュアでないチャネルからセキュアなチャネルへとファイルシステム上のクライアント・セッションの切り替えをシームレスに完了するための論理コンポーネントを示すブロック図である。

Claims (20)

1. 少なくとも第１のファイルの送信のためのセキュリティを与える方法であって、データ処理システムにおいて用いられ、前記データ処理システムが、（１）予め設定されたアクセス許可を有する前記少なくとも第１のファイルが格納されたストレージ媒体、（２）前記データ処理システムを外部のクライアント・システムに接続するための少なくとも第１の標準的なポートおよび第２のセキュアなポート、ならびに（３）前記第１のポートおよび前記第２のポートを介して前記少なくとも１つのファイルの送信を選択的にルーティングするための論理を含み、前記方法が、
   前記外部のクライアント・システムによる前記第１のファイルに対するアクセスの要求に応答して、前記第１のファイルの前記予め設定されたアクセス許可をチェックするステップと、
   前記第１のファイルの前記予め設定されたアクセス許可が、前記第１のファイルにセキュアなアクセスが必要であることを示す場合、前記第１のファイルの送信を前記第２のポートを介して外部のクライアント・システムへと動的にルーティングするステップと、
   を含む、方法。
2. 前記予め設定されたアクセス許可が、通常のアクセスで充分であることを示す場合、前記第１のファイルの前記送信を前記第１の標準的なポートを介してルーティングするステップを更に含む、請求項１に記載の方法。
3. 前記第１の標準的なポートを介して前記データ処理システムの第１のマウントをイネーブルするステップと、
   前記第１のファイルがセキュアなアクセスを必要とする場合にのみ、前記第２のセキュアなポートを介して前記データ処理システムの第２のマウントをイネーブルするステップと、
   を更に含む、請求項１に記載の方法。
4. 前記データ処理システムが、更に、前記第２のセキュアなポートに関連付けた暗号化モジュールを含み、前記動的にルーティングするステップが、前記暗号化モジュールを用いて最初に前記第１のファイルを暗号化するステップを含む、請求項１に記載の方法。
5. 前記データ処理システムが、前記クライアント・システムによるマウントをサポートするための前記第１の標準的なポートおよび前記第２のセキュアなポートを構成するための再構成論理を更に含み、前記動的にルーティングするステップが、
   最初に、前記クライアント・システムから受信した再マウント動作をサポートするように前記第２のセキュアなポートを構成するステップと、
   前記クライアント・システムによる前記第１の標準的なポート上での現在のマウントを終了させるステップと、
   前記第２のセキュアなポート上での前記セッションのシームレスな継続を可能とするために前記現在のマウントのセッション・パラメータを格納するステップと、
   を含む、請求項１に記載の方法。
6. 前記構成および格納するステップが、
   前記クライアント・システムのＩＰアドレスを検索するステップと、
   前記クライアント・システムからの再マウント動作を自動的に認識し、前記クライアント・システムとの前記セッションを再確立する前記第２のセキュアなポートの構成に前記ＩＰアドレスを配置するステップと、
   を含む、請求項５に記載の方法。
7. 前記予め設定されたアクセス許可が、前記第１のファイルにリンクされたメタデータ内のビットであり、前記方法が、前記ビットの値を読み取って前記第１のファイルがセキュアなアクセスを必要とするか否かを評価するステップを更に含む、請求項１に記載の方法。
8. 前記予め設定されたアクセス許可が、どの特定のユーザがセキュアなアクセスを介して前記第１のファイルにアクセスを許可されているかの識別を含み、前記方法が、
   前記クライアント・システムのユーザと、前記ファイルにアクセスする許可を有する前記特定のユーザとを比較するステップと、
   前記ユーザが前記特定のユーザの一人である場合、前記第２のセキュアなポートを介した前記第１のファイルの送信の再ルーティングを自動的に開始するステップと、
   を更に含む、請求項１に記載の方法。
9. 前記第１の標準的なポートが、第１のセキュアでないネットワークを介して前記クライアント・システムに接続し、前記第２のセキュアなポートが、第２のセキュアなネットワークを介して前記クライアント・システムに接続する、請求項１に記載の方法。
10. 前記データ処理システムが、前記第１の標準的なポートを前記クライアント・システムに接続する第１のサブネットおよび前記第２のセキュアなポートを前記クライアント・システムに接続する第２のサブネットを有するネットワーク内のサーバであり、
    前記第１のファイルがファイルシステム内に格納され、
    前記チェックするステップが、前記ファイルシステムにアクセスし前記第１のファイルを位置付けるステップを含み、
    前記ルーティングするステップが、前記ファイルがセキュアなアクセスを必要とする場合に前記第２のサブネットを介して前記ファイルを送信するステップ、および、前記第１のファイルがセキュアなアクセスを必要としない場合に前記第１のサブネットを介して前記第１のファイルを送信するステップを含む、請求項１に記載の方法。
11. 少なくとも第１のファイルの送信のためのセキュリティを与えるシステムであって、データ処理システムにおいて用いられ、前記データ処理システムが、（１）予め設定されたアクセス許可を有する前記少なくとも第１のファイルが格納されたストレージ媒体、（２）前記データ処理システムを外部のクライアント・システムに接続するための少なくとも第１の標準的なポートおよび第２のセキュアなポート、ならびに（３）前記第１のポートおよび前記第２のポートを介して前記少なくとも１つのファイルの送信を選択的にルーティングするための論理を含み、前記システムが、
    前記外部のクライアント・システムによる前記第１のファイルに対するアクセスの要求に応答して、前記第１のファイルの前記予め設定されたアクセス許可をチェックするための論理と、
    前記第１のファイルの前記予め設定されたアクセス許可が、前記第１のファイルにセキュアなアクセスが必要であることを示す場合、前記第１のファイルの送信を前記第２のポートを介して外部のクライアント・システムへと動的にルーティングするための論理と、
    を含む、システム。
12. 前記予め設定されたアクセス許可が、通常のアクセスで充分であることを示す場合、前記第１のファイルの前記送信を前記第１の標準的なポートを介してルーティングするための論理を更に含む、請求項１１に記載のシステム。
13. 前記第１の標準的なポートを介して前記データ処理システムの第１のマウントをイネーブルするための論理と、
    前記第１のファイルがセキュアなアクセスを必要とする場合にのみ、前記第２のセキュアなポートを介して前記データ処理システムの第２のマウントをイネーブルするための論理と、
    を更に含む、請求項１１に記載のシステム。
14. 前記データ処理システムが、更に、前記第２のセキュアなポートに関連付けた暗号化モジュールを含み、前記動的にルーティングするための論理が、前記暗号化モジュールを用いて最初に前記第１のファイルを暗号化するための論理を含む、請求項１１に記載のシステム。
15. 前記データ処理システムが、前記クライアント・システムによるマウントをサポートするための前記第１の標準的なポートおよび前記第２のセキュアなポートを構成するための再構成論理を更に含み、前記動的にルーティングするための論理が、
    最初に、前記クライアント・システムから受信した再マウント動作をサポートするように前記第２のセキュアなポートを構成するための論理と、
    前記クライアント・システムによる前記第１の標準的なポート上での現在のマウントを終了させるための論理と、
    前記第２のセキュアなポート上での前記セッションのシームレスな継続を可能とするために前記現在のマウントのセッション・パラメータを格納するための論理と、
    を含む、請求項１１に記載のシステム。
16. 前記構成および格納するための論理が、
    前記クライアント・システムのＩＰアドレスを検索するための論理と、
    前記クライアント・システムからの再マウント動作を自動的に認識し、前記クライアント・システムとの前記セッションを再確立する前記第２のセキュアなポートの構成に前記ＩＰアドレスを配置するための論理と、
    を含む、請求項１５に記載のシステム。
17. 前記予め設定されたアクセス許可が、前記第１のファイルにリンクされたメタデータ内のビットであり、前記システムが、前記ビットの値を読み取って前記第１のファイルがセキュアなアクセスを必要とするか否かを評価することを更に含む、請求項１１に記載のシステム。
18. 前記予め設定されたアクセス許可が、どの特定のユーザがセキュアなアクセスを介して前記第１のファイルにアクセスを許可されているかの識別を含み、前記システムが、
    前記クライアント・システムのユーザと、前記ファイルにアクセスする許可を有する前記特定のユーザとを比較するための論理と、
    前記ユーザが前記特定のユーザの一人である場合、前記第２のセキュアなポートを介した前記第１のファイルの送信の再ルーティングを自動的に開始するための論理と、
    を更に含む、請求項１１に記載のシステム。
19. 前記第１の標準的なポートが、第１のセキュアでないネットワークを介して前記クライアント・システムに接続し、前記第２のセキュアなポートが、第２のセキュアなネットワークを介して前記クライアント・システムに接続する、請求項１１に記載のシステム。
20. 前記データ処理システムが、前記第１の標準的なポートを前記クライアント・システムに接続する第１のサブネットおよび前記第２のセキュアなポートを前記クライアント・システムに接続する第２のサブネットを有するネットワーク内のサーバであり、
    前記第１のファイルがファイルシステム内に格納され、
    前記チェックするための論理が、前記ファイルシステムにアクセスし前記第１のファイルを位置付けるための手段を含み、
    前記ルーティングするための論理が、前記ファイルがセキュアなアクセスを必要とする場合に前記第２のサブネットを介して前記ファイルを送信し、前記第１のファイルがセキュアなアクセスを必要としない場合に前記第１のサブネットを介して前記第１のファイルを送信するための手段を含む、請求項１１に記載のシステム。

Images