JP2008210373A - データ記憶装置へのアクセス制御方法および装置 - Google Patents

Abstract

【課題】データ記憶装置内に格納されているデータにアクセスすることを認証されているユーザに対しても、アクセス時間を予め設定しその指定された時間間隔のみデータ記憶装置内のデータへのアクセスを認証することにより、より一層のセキュリティー強化を図る。
【解決手段】データ記憶装置内の記憶媒体上にセキュリティー・パーティションを用意し、そこにユーザがデータへのアクセスを認証される時間間隔をテーブル形式で用意する。セッション管理者はユーザからのアクセス要求が有った際に、信頼されるクロック発生源からのクロック時間と前記予め定められた時間間隔とを比較してそのユーザからのアクセス要求を認証するか否かを決定し、実際のクロック時間が指定された時間間隔内の場合、暗号解読鍵を渡すことでデータへのアクセスを認証する。
【選択図】図３

Description

本発明はデータ記憶装置に関わり、更に詳細にはデータ記憶装置内に格納されたデータへのアクセスを制御するための方法および装置に関する。

ディスク・ドライブのようなデータ記憶装置上に格納された機密情報は、認証されていないアクセスから保護されなければならない。特に１つのセキュリティー問題は、確立されているセキュリティー・ポリシーが許す運用時間以外にデータ記憶装置へのアクセスを禁止することである。その職務の一部としてデータへのアクセスが与えられている従業員が、実際は認められていない目的でデータへアクセスを行おうとの意志を有する場合、発見の可能性が低くなる通常勤務時間外にある種の攻撃を行うことが可能である。アクセス権を得た権限の無い人間が、これらの攻撃をオフ・ピーク時間中にも実行する可能性がある。有効なセキュリティー鍵またはパスワードを有する者へのアクセスを制限するシステムにおいても、これらのユーザに或る種の条件下でのアクセスを更に制限することが望ましい。就業時間外にたまたまマシンの電源が投入されログインされているのが見られることは一般的であり、また従業員がそのパスワードを書き残して発見されやすい場所に置いているのを見ることも一般的である。

認証されたユーザが認証された時間内に、データ記憶装置内のデータへのアクセスを制限することのできる方法および装置が必要である。

本発明は、データ記憶装置とこのデータ記憶装置内に格納されているデータへのユーザのアクセスを認証する時間を定義する情報を含む、データ記憶装置内のセキュリティー・パーティションを含む装置を提供する。

別の特徴において、本発明は記憶装置内の記憶媒体が、ユーザがデータ記憶装置内に格納されているデータへのアクセスを認証される時間を定める情報を含むセキュリティー・パーティションを含むように構成し、その定義された時間の間、データ記憶装置内に格納されているデータの全てまたは一部にユーザのアクセスを許可する、ことを含む方法を提供する。

更に別の特徴において、本発明はセキュリティー・パーティションを含む記憶媒体、ユーザのアクセス要求を認証しセキュリティー・パーティションで指定された時間の間、記憶媒体上に格納されているデータに対するユーザのアクセスを許すためのファームウェアを含む装置を提供する。

図１は本発明の１つの実施例を含む、ディスク・ドライブ１００の形式のデータ記憶装置を有するシステムの透視図である。データ記憶装置１００は例えば、従来型磁気ディスク・ドライブ、光磁気ディスク・ドライブ、光ディスク・ドライブ、プローブ記憶素子、またはフラッシュ・メモリとして構成することが可能である。ディスク・ドライブ１００は基板１０２を具備した格納容器と上部カバー（図示せず）を含む。ディスク・ドライブ１００は更にディスク・パック１０６を含み、これはディスク・クランプ１０８によってスピンドル・モータ（図示せず）上に装着されている。ディスク・パック１０６は複数の個別ディスク１０７を含み、これらは中心軸１０９の周りに一緒に回転するように装着されている。各々のディスク表面は関連するスライダー１１０を有し、これはディスク・ドライブ１００に装着されディスク表面と通信するための読み取り／書き込みヘッドを搬送している。

図１に示す例に於いて、スライダー１１０はサスペンション１１２により支持され、これは順にアクチュエータ１１６のトラック・アクセス・アーム１１４に取り付けられている。図１に示すアクチュエータは回転可動コイルアクチュエータとして知られている型式であり、全体として１１８で示されているボイス・コイル・モータ（ＶＣＭ）を含む。ボイス・コイル・モータ１１８はアクチュエータ１１６をそれに装着されているスライダー１１０と一緒にピボット軸１２０の周りに回転させ、スライダー１１０をディスク内径１２４とディスク外径１２６の間の経路１２２に沿って所望のデータ・トラックの上に位置決めする。ボイス・コイル・モータ１１８は内部回路１２８の制御により動作する。他の型式のアクチュエータ、例えば線形アクチュエータも使用できる。

これ以降、用語「記憶装置」と「ディスク・ドライブ」は特に断らない限り互換的に使用され、ネットワーク経由でアクセス可能、またはコンピュータ・システム内にインストール可能または接続可能な全ての記憶装置を含む。記憶装置は物理的なディスクを含む必要は無いが、データを格納するためのデータ記憶素子を組み込む必要は有り、此処でデータ記憶操作はファームウェアで管理されている。

此処で使用されるように、「コンピュータ・システム」という言い回しは、単独で使用されるかまたは、プライベートまたは公衆ネットワークに直接または間接的に接続することの可能な記憶装置を有する全ての装置を指している。例えば、コンピュータ・システムはこれに限定するわけではないが、デスクトップ・コンピュータ・システム、ラップトップ・コンピュータ・システム、ネットワーク・コンピュータ・システム、セルラ電話およびＰＤＡの様な無線システム、内蔵型ウェブカメラを含むデジタルカメラ、そして／またはこれらのシステムおよび装置の妥当な組み合わせを含む。

図２は本発明の１つの実施例に基づくセキュリティー・パーティション（ＳＰ）を含むシステム２００の簡略化されたブロック図を示す。図示されるようにシステム２００はネットワーク２０４と通信するサブシステム２０２を有する。ネットワーク２０４はローカルエリア・ネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、インターネット、アドホック無線ネットワーク、公衆交換ネットワークなどを含む、任意の型式が可能である。

サブシステム２０２はホスト・オペレーティング・システム２０６を含み、これは少なくとも一部、記憶装置２０８から得られるソフトウェアならびにデータに依存している。通常は、記憶装置２０８はファームウェア２１０を含み、これは記憶装置２０８のデータ記憶媒体２１２との間でデータの読み取りおよび書き込みを行う。

図２の例において、記憶媒体２１２は隠しパーティション２１４を含み、これは隠しパーティションそして／または記憶装置２０８のデータ記憶媒体２１２上に記憶されたデータにアクセスするために必要な１つまたは複数のセキュリティー・パーティション（ＳＰ）またはＳＰの要素を含む。特に、このＳＰは記憶装置２０８によって、全体として記憶装置２０８へのアクセス、およびデータ記憶媒体２１２へのアクセスを制御するために使用される。１つのＳＰは１つまたは複数の記憶ボリュームに関する、１つまたは複数の鍵を管理するために使用される。ＳＰ内の、複数の鍵を含むデータは、オプションとして異なる鍵を用いて暗号化できる。セキュリティー・パーティション米国特許第７，０３６，０２０号に記載されており、その開示は此処に参照として組み込まれている。

一般的に、これらのパーティションは記憶媒体２１２内の複数ブロックの１組である。これらのパーティションは隠しパーティションであって、これらはホスト・オペレーティング・システム２０６から認識はされないが、それは隠しパーティション・ブロックはホストからの読み取り／書き込み命令ではアドレス指定されないからである。言葉を変えると、隠しパーティションが隠されているのは、ホスト・オペレーティング・システム２０６がセキュリティー機能に特化された命令を通す以外、その存在を承知しないためである。隠しスペースは全てのボリューム暗号化から保護されることが可能であるが、それはユーザ命令はこのスペースに書き込み（または読み取り）することが出来ないからである。隠しパーティション２１４はブート処理中にホストのオペレーティング・システム２０６に認知されない。

「パーティション」という用語はこの例では、記憶装置の低レベルのフォーマット中に割り当てられる複数バイトの１つのグループ化を意味する。ある実施例では、１つのパーティションは、各々ほぼ５１２バイトのメモリ・ブロックの１つのグループ化を言う。特定セキュリティー・パーティション、並びにその構造およびこれらのセキュリティー・パーティションを支援する処理プロセスをコンピュータ・システム内に含めることは可能である。更に、本発明の動作はホスト・オペレーティング・システムにはほとんど依存しない。

一般的に、セキュリティー・パーティション（ＳＰ）用の永続データは記憶媒体２１２内のブロックの組の中に格納される。１つの実施例において、記憶媒体２１２内の少なくとも１つの組の複数ブロックが隠しパーティションを構成する。永続データには典型的に、名称、パスコード、およびＳＰ用およびそのＳＰの認証ユーザ用の公開／秘密鍵が含まれる。換言すると、ＳＰはその名称およびそのパスコード（すなわち、ＳＰが自身を認証するためのパスコード）、並びにその公開／秘密鍵、同様にその許可されたユーザの名称、パスコードおよび公開鍵を格納している。永続データは権限テーブルの中に格納できる。権限レコードは単独ユーザに対する権限テーブル内の１つの登録である。このユーザは実際の人間、他のＳＰ、個別装置、または適切な信任状を提供することが可能な全ての他の実体である。

おおむね、１つのＳＰはそれ自身のアクセス制御を管理する完全な内蔵型ユニットである。ＳＰはまたＳＰ内の要素へのアクセスを制御するかまたはファームウェア経由でＳＰによってアクセス可能である。アクセスに必要とされる証明書は、１つの例において、名称、パスコード、およびアイデンティティー提供能力（例えば、デジタル的署名および受取人のみとの直接情報交換）を含む。ＳＰへのアクセス制御を確立する際に、創作者はＳＰの名称、パスコード、そして／または公開および秘密鍵の知識に基づいて、アクセス許可を選択できる。

図３を参照すると、信頼されるドライブ機能を含む簡略化されたブロック図としてシステム２００が示されている。図示されるように、システム２００はネットワーク２０４と通信するサブシステム２０２を有する。サブシステム２０２はホスト・オペレーティング・システム２０６を含み、これは少なくとも一部、記憶装置２０８から得られるソフトウェアならびにデータに依存する。通常は、記憶装置２０８はファームウェア２１０を含み、これは記憶媒体２１２との間でデータの読み取りおよび書き込みを制御する。記憶媒体２１２はデータ部分２１３および隠し部分（例えば隠しパーティション）２１４に分割されている。この実施例において、信頼されたドライブ機能２２０はファームウェア２１０内の制御装置に組み込まれている。

隠しパーティション２１４内に、１つまたは複数の権限レコード２１８およびベースクラス２１６が格納されている。権限レコード２１８はＳＰまたはＳＰの要素へアクセスするために使用され、隠しパーティションそして／または記憶装置２０８の記憶部分２１２上に格納されているデータへアクセスする際に要求される。１つの例において、全ての権限レコード２１８は単一のマスタ権限レコードで管理できる。ホストＯＳ２０６は信頼されたドライブ機能２２０を通す場合を除き、隠しパーティション２１４内に格納されたＳＰデータへのアクセスを許されていない。このＳＰデータのホストＯＳ２０６からの独立性は従来型セキュリティー方法およびシステムに対して重要な利点を提供しており、すなわち隠しパーティションは秘密情報を効果的に隠すことが可能な、コンピュータ・システム上の場所を表している。

記憶装置２０８の隠しパーティション２１４はベースクラス２１６を有し、これはベースＳＰ２２２を指定するために使用可能であり、そこから全てのＳＰクラスが最終的に導かれる。ベースクラス２１６は「ルートクラス」と呼ばれる場合もあり、ベースＳＰはＳＰのクラスの階層内の「サブクラス」である。一般的にベースクラス２１６はＯＥＭまたは製造者がベースＳＰ２２２を指定することを可能とし、そこから各ＳＰオブジェクトのインスタンスを作成可能であり、またそこから全ての他のＳＰクラスが導出される。ＳＰベースクラス２１６はインスタンスを作成されたＳＰに対してデフォルトとなる方法を提供する。例えば、ＳＰベースクラス２１６はデフォルト・レコード・データ管理方法およびデフォルト管理鍵を提供することが可能であり、これは管理ＳＰ２２４にログインするため、およびアクセス制御を構築するために使用可能であって、これはデフォルト構成に優先することが出来る。換言すると、管理ＳＰ２２４はデフォルト鍵を用いたアクセスを否認するようにアクセス管理を構築したり、また更には管理ＳＰ２２４に対するアクセス許可を変更するために使用できる。

ベースクラス２１６はまた、全ＳＰおよびＳＰの一部の安全確実なインポートおよびエキスポート、および記憶制御装置内のトリガに基づき、記憶制御装置内の全ＳＰのローカルな複製を行うデフォルト方法を提供する。

製造過程において、信頼されたドライブは管理ＳＰ２２４および制御装置ＳＰオブジェクト、これは本実施例では信頼されたドライブ機能２２０により初期化される。管理ＳＰ２２４は他のＳＰオブジェクトの作成、変更および削除に関するアクセス制御を提供する。

ひとたび管理ＳＰ２２４が初期化されると、それはログインされてその制御装置ＳＰオブジェクトが自身のアクセス制御によって初期化される。従って、管理ＳＰ２２４が制御装置ＳＰを更に変更したり破壊する権利を否定することが可能である。

図３に示されるように、ベースＳＰ２２２および管理ＳＰ２２４に加えて、その他のＳＰオブジェクトのインスタンスをベースＳＰ２２２を用いて作成できて、これらは公開鍵保管場所２２６、ログＳＰ２２８、レジストリーＳＰ２３０、公開鍵取り消し保管場所２３２、クロック時間ＳＰ２３４、診断ＳＰ２３６、テストＳＰ２３８、および外部コードＳＰ２４０を含む。その他のＳＰの中には、管理ＳＰ２２４へのアクセスが要求されるものもある。

公開鍵保管場所２２６は新たなＳＰのインスタンスの作成要求を、暗号的に認証するために使用される。例えば、１つの実施例において、記憶装置製造者からのＳＰオブジェクトは、新たなＳＰインスタンス作成要求を認証するために、その記憶装置製造者に関連するデジタル署名を必要とする。

図３の実施例において、信頼されたドライブ２０８はまたログＳＰ２２８を含み、これは他のＳＰの活動を、このその他のＳＰがデータへのアクセスまたはデータ操作に成功したかまたは失敗したかに基づいて、追跡し記録に残すことが可能である。ログＳＰ２２８は汎用アクセス制御を通して可能な、周期的ログおよびその他の機能の提供を組み込むことが可能である。

レジストリーＳＰ２３０の型式は標準ＳＰハンドル（例えば、仮想識別名称）を与えることが可能であり、これを通して１つのＳＰオブジェクトの任意の個数の物理的コピーを配置し管理することが可能である。レジストリーＳＰ２３０はマスタＳＰ（ローカルおよび非ローカルの両方）を識別して管理することが可能であり、１つのＳＰ内の特定マスタ・データを識別して管理することが可能であり、従って「マスタ・レコード」または「マスタ値」が存在する。

鍵およびパスコード取り消し保管場所２３２は、認証公開鍵、パスコードおよびその他の取り消し用認証要素をチェックする。クロック時間ＳＰ２３４は他のＳＰおよびホストの両方に対してクロックの確定発生源または経過時間を提供可能である。

診断ＳＰ２３６は記憶装置制御装置診断に対する確定的アクセス制御を提供するように適合されている。テストＳＰ２３８は必要に応じて記憶装置制御装置テストに対する制御を強化するために具備されている。加えて、外部コードＳＰ２４０は、記憶装置制御装置上で動作する顧客提供ソフトウェアへのアクセス制御を起用化するために具備されている。

上述の各構成要素は単一の信頼されたドライブ・システム２００（図３に示すように）内で実現されている。これに代わって、種々のＳＰ要素２２６−２４０を必要に応じて選択的に含む場合もある。ベースクラス２１６は各々のベースＳＰ２２２を作成するために使用され、このベースＳＰ２２２は強固なセキュリティー用のＳＰオブジェクトを作成するために使用される。一般的にベースＳＰ２２２および種々のＳＰオブジェクト２２４−２４０の格納場所はさまざまである。特に、ＳＰオブジェクト２２２−２４０は全て、隠しパーティションの外側に格納される場合がある。しかしながら、これらのオブジェクトが隠しパーティションの外側に格納された場合、システムユーザからのアクセスを防止するために暗号化されなければならない。

有効セキュリティー鍵を有するユーザのアクセスを制限することにより、ファイルのセキュリティーを改善することが可能である。この鍵は通常は、セキュリティー・パーティション内の信頼されたディスク・ドライブの保護された領域内に格納される。ファイル自身はディスク・ドライブの保護された領域内に格納されるかまたは暗号化されるかのいずれかである。

信頼されたディスク・ドライブ上に格納されている、スマートカードに類似の構造物が、セキュリティー鍵へのアクセスを有する少数のユーザにアクセスを限定するために、暗号化されたファイルと一緒に使用される場合がある。スマートカードはデータの保護を可能とする、集積チップ・セキュリティー素子である。スマートカード命令とデータ構造を使用するインタフェースを用いて、スマートカード機能をデータ記憶装置内に具備することが可能である。その様な命令およびデータ構造はスマートカード標準、例えば国際規格ＩＳＯ−７８１６に準拠するものである。従来型スマートカードの機能とのインタフェースを使用することにより、結果として仮想スマートカードが実現される。従って仮想スマートカードはファームウェアであり、ＳＰ内のスマートカードの記憶装置実施例である。

仮想スマートカードは無謬性、信頼およびディスク・ドライブ上の種々の情報へのアクセスを行うための証明書を確立するために使用できる。更に詳細には、仮想スマートカードは無謬性、信頼、および記憶装置内の暗号化機能を可能化したり不能化するために使用される証明書を確立するために使用される。仮想スマートカードはまた、データ記憶装置内の種々のセキュリティー操作を提供するために使用される、鍵およびその他の秘密も提供できる。多元セキュリティー・パーティションを、各セキュリティー・パーティションに１つのスマートカードに関連する仮想インタフェースを含んで、単一記憶装置上に具備することが可能である。

本発明はデータ記憶装置へのアクセスを、情報への有効アクセス用の時間ウィンドウ（または時間間隔）を含むことにより制御する方法を提供する。この時間ウィンドウは一度または複数回生じたり、または例えば１日の特定時間に繰り返し生じるウィンドウが考えられる。

データ中央管理者が、信頼されたディスク・ドライブ上のファイルまたはファイルの組に対してユーザの活動が許される時間間隔を定める、時間ウィンドウを設定する。この１つまたは複数の時間ウィンドウは記憶装置内に格納されたテーブルのセル内に格納できる。

この方法は管理の監視および制御を簡単にするが、それはアクセスが許可されていない時間の間であっても個々の鍵をシステム上に残すことが可能であり、この鍵は所望の多数回、繰り返し時間ウィンドウの間、アクセスを認可できるからである。本発明は全ての信頼されたディスク・ドライブに含むことが可能である。これは様々なＳＰとドライブで信頼された機能を使用できるようにする。これに代わる実施例において、時間ウィンドウは仮想スマートカード・パーティション内に格納される。

図４は本発明の１つの実施例に基づき構築され運用されるシステムのブロック図を示す。信頼されたドライブセッション管理者２５０はドライブ側の上で実行され、全てのセキュリティー・セッション活動の管理に責任を持つ。

ユーザがアドレス指定可能なスペースは全体として取り扱われるかまたは時間指定アクセス用に分割して取り扱われる。１つの実施例において、分割区域は論理ブロック・アドレスの範囲である。別の実施例において、分割区域はＩＤ番号でアドレス指定された論理オブジェクトおよびそのオブジェクト内のバイト・オフセットである。更に、これらの分割区域内のデータは装置によって単にアクセスを阻止するかまたはデータの暗号化によって保護されており、暗号化の場合、暗号化鍵が挿入されなければならないかまたはデータへのアクセスを得るために導出されなければならない。更に、各分割区域は読み取りまたは書き込み、またはその両方に対して個別にロックまたは阻止されている。セキュリティー・パーティション内において、１つのテーブルが許可された開始および終了時刻を保持し、また装置内のファームウェアがクロック時間を、このテーブル内にプログラムされた範囲に対してチェックする。従って、装置は自身を保護する。１つの実施例において、テーブルはこの様に見える：

分割区域ＩＤ１に関して、システム管理者権限はこの分割区域の読み取りおよび書き込みを、平日の午前８時から午後５時の間ロックを解除し、記憶装置のこのセクションは暗号化と同様ロックすることにより保護されている。分割区域ＩＤ２に関して、ユーザはこま分割区域のロックを任意の時間解除し、またこの分割区域は暗号化によって保護されていない。分割区域ＩＤ３に関して、ユーザがこのセクションを平日の午前８時から午後５時の間、読み取りおよび書き込みに関してロックの解除を行う。分割区域ＩＤ４に関して、システム管理者権限はこのセクションを読み取りのみに対して、平日の午前９時から午前１１時の間、および午後１時から午後５時の間ロックを解除する。

１つの分割区域を読み取りまたは書き込みに対してロック解除を行うユーザまたはシステム管理者は、ホストにログインしている権限と同一である必要は無いことに注意されたい。例えば、システム管理者権限は分割区域ＩＤ１の読み取りおよび書き込みを現在ログインしているユーザに可能化することも不能化することも可能である。

時間ロック・テーブル内の値を変更することは、適切な認証の対象となる。例えば、分割区域設定、時間、権限設定、暗号化設定、およびロック設定を変更する権限を与えられている唯一の権限である、システム管理者権限が存在するはずである。

記憶装置はそれ自身の信頼されたクロック時間発生源を有するか、またはそれを、インタフェースを介して信頼された発生源から受け取らなければならない。装置がそれ自身の信頼されたクロック時間発生源を有する場合、この時間が比較対象時間となる。装置が信頼された時間を受け取らなければならない場合、時間設定は他の何処かで記述されるように適切に認証されなければならない。

ユーザ２５２セッション要求をセッション管理者２５０に提出し、これはそのセッション要求を認証してファームウェア・タスク管理者待ち行列内のコルーチン・タスク２５４を開始する。このセッション管理者はドライブ・ファームウェア内に実装されており、様々なセキュリティー・セッション各々の中の全ての活動を管理する責任を負う。セッション管理者２５０はそのセッション要求を認証してファームウェア・タスク管理者待ち行列（図示せず）内のコルーチン・タスク２５４を開始する。他の実施例では唯一のセッションを有する場合もある。セッション要求は、セッションが開かれた時点でホストとセッション管理者の間で交換される鍵を通して認証される。コルーチンは異なるタスク・スレッド上で実行し、それら全ての間でＣＰＵ時間を共有するための公正性ポリシー（ｆａｉｒｎｅｓｓ ｐｏｌｉｃｙ）を利用する。

タスクが一度優先順位を獲得すると、セッション・タスク・モジュール２５６は、信頼セッション機能内の各パケットに関する命令ペイロードの構文解析を完了しなければならない。ＴＣＧで定義されたコンテンツを有する特別データ・ペイロード、信頼されたコンピューティング・グループはホストからドライブへ搬送命令を介して送られ、ここで命令コードはＴＣＧＴ１０またはＴ１３標準本文で定義される。このペイロード内は「超パケット」であって、１つまたは複数の「パケット」から成り、各パケットにより１つまたは複数の「超パケット（Ｓｕｐｅｒｐａｃｋｅｔ）」を構成する。このペイロード超パケットのフォーマットはＴＣＧで定義される。セッション管理者２５０は超パケットの構文解析を行い、個々のパケットを抽出する。各々のパケットは単一の「信頼セッション」に関係する。各パケットは１つのバイト・ストリーム・バッファ内にあって、これは個々のセッション・タスク２５６により制御され、これは個別のスレッド上で動作する。

このパケット内の各超パケットに対して、ＲＰＣコールを含む超パケットの構文解析を完了させるのは、遠隔手続き呼び出し（ＲＰＣ：Ｒｅｍｏｔｅ Ｐｒｏｃｅｄｕｒｅ Ｃａｌｌ）の責任である。これはストリーム・ユーティリティー・モジュール２６０内の機能と組み合わされた、ＧｅｔＴｏｋｅｎ機能を経由して実施される。ひとたび個別データ値の構文解析が完了すると、個々のユーザ要求が許可されるか否かが決定できる。次にパケットは個々のセッション・タスク２５６内で構文解析されてサブパケットが抽出される。各サブパケットはＲＰＣ命令またはデータ・トークンのいずれかを含む。ＲＰＣはサブパケット内にホストによって設置され、ドライブ上の１つの関数内のこの最終結果は、個々に認証された後でインボウク（ｉｎｖｏｋｅ）される。データ・トークンはストリームからＧｅｔＴｏｋｅｎ機能を用いて抽出される。構文解析はデータ・ストリームを個別の命令およびデータ構成要素に「分解する」ために要求される。

ドライブはクロックＳＰ２６２を有し、これはクロック設定、クロック読み取り、クロック更新およびその他の機能の様な、ドライブ上の全ての信頼されたクロック活動を処理する。実際の時刻は信頼された発信源（例えばホスト）からやって来る。典型的な実施例において、ドライブ上には追加のクロック・ハードウェアは不要である。ファームウェアは単に既存クロック上のティックを計数し時間進行に追従するだけである。

データ中央管理者はユーザＳＰ２６４を信頼されたドライブ上に作成し、これは時間間隔と特定ユーザ用に定義されたアクセス鍵を含む。この動作は１つまたは複数の時間ウィンドウを確立し、その期間中信頼されたディスク・ドライブ上のファイルまたはファイルの組に対してユーザ活動が許される。

日時情報はホスト・コンピュータから、信頼されたディスク・ドライブ上の絶対時間精度を保持するのに十分な周期間隔で、ファームウェアのみを使用して確立される。この手法が用いられる場合、信頼のレベルが時間更新を送信するホストとその時間更新を受け入れるドライブとの間で確立されなければならない。

これに代わって、信頼されたディスク・ドライブのハードウェアを絶対実時間を長期間保持するよう設計することが可能であり、これによりホスト・コンピュータから頻繁な時間更新の必要性を最小とし、信頼されたドライブが攻撃から無防備となるのを助ける。別の実施例では更に正確な時間計測のために、ハードウェア・クロックを追加している。

１つの実施例において、ホスト・コンピュータはユーザ・アクセスの認証操作を、実際のクロック時間とユーザＳＰ内に設定された時間ウィンドウとの比較に基づいて処理することを信頼されている。このシナリオにおいて、ホストのアプリケーションは時間間隔をユーザＳＰからフェッチする。これは実際のクロック時間を読み取り、ユーザが暗号化されたファイルのコンテンツのロックを解除する鍵へのアクセスを与えられるべきか否かを決定するための比較を行う。その時刻が指定された時間間隔内の場合、ホストのアプリケーションは信頼されたドライブに対して、アクセス鍵をフェッチし所望のデータをそれにより解読するように要求する。この処理過程はホストが信頼された実時間発信源を持つ場合、更に確実なものとできる。ドライブはホストを、ＴＣＧで確立された認証処理過程を通して正確な時間発信源として信頼する。ホストは一次時間発生源であるかまたは、絶対時間を他の信頼された発信源から導出しなければならない。別の実施例では、ホスト・コンピュータは時間比較を行うものとしては信頼されていない。この場合、１つのスクリプトがホスト・アプリケーションから信頼されたドライブへ送られる。ホストはまた実際のクロック時間を読み取り、信頼されたドライブが内部的に絶対実クロック時間を維持するためのハードウェアを持たない場合、それをドライブへ送信する。ドライブ内部で、許可された時間間隔がユーザＳＰからフェッチされる。ドライブのファームウェアはこの時間ウィンドウを実際のクロック時間と比較し、そのユーザに対して暗号化されたファイルのコンテンツへのアクセスが与えられるべきか否かを決定する。この時刻が指定された間隔内の場合、信頼されたドライブはアクセス鍵をフェッチし、所望のデータをそれで解読し、それをユーザに送る。

権限を付与された期間は、その間保護されたデータにアクセス可能な、各営業日（または他の間隔）の繰り返し時間ウィンドウとして実現されたり、または１日または数日に渡りアクセスの機会を持つ単一ウィンドウとして実現されることも可能である。

特定ユーザに、他の全てのユーザに対するアクセス時間ウィンドウとは独立したアクセス時間ウィンドウが認められる場合がある。公認および非公認アクセス試行の、ログＳＰ２６６内での記録には絶対日時情報が含まれる。

本発明をいくつかの実施例に関して説明してきたが、当業者には明らかなように、種々の変更を記述された実施例に対して、本発明の範囲並びに添付の特許請求の範囲から逸脱することなく行うことが可能である。

図１は本発明の１つの実施例を含む、ディスク・ドライブの等角図。 図２は本発明の１つの実施例を含む、コンピュータ・システムのブロック図。 図３は本発明の１つの実施例を含む、コンピュータ・システムの更に詳細なブロック図。 図４は本発明の１つの実施例に基づき構築され運転されるシステムのブロック図。

符号の説明

１００ データ記憶装置
１０２ 基板
１０６ ディスク・パック
１０７ 個別ディスク
１０８ ディスク・クランプ
１１０ スライダー
１１４ トラック・アクセス・アーム
１１６ アクチュエータ
１１８ ボイス・コイル・モータ
１２０ ピボット軸
１２４ ディスク内径
１２６ ディスク外径
１２８ 内部回路
２０４ ネットワーク
２０６ ホスト・オペレーティング・システム
２０８ 記憶装置
２１０ ファームウェア
２１２ 記憶媒体
２１４ 隠しパーティション
２１６ ベースクラス
２１８ 権限レコード
２２０ 信頼されたドライブ機能
２２２ ベースＳＰ
２２４ 管理ＳＰ
２２６ 公開鍵保管場所
２２８ ログＳＰ
２３０ レジストリーＳＰ
２３２ 公開鍵取り消し保管場所
２３４ クロック時間ＳＰ
２３６ 診断ＳＰ
２３８ テストＳＰ
２４０ 外部コードＳＰ
２５０ 信頼されたドライブセッション管理者
２５２ ユーザ
２５４ コルーチン・タスク
２５６ セッション・タスク・モジュール

Claims (20)

1. １つの装置であって：
   データ記憶装置；および
   ユーザがデータ前記記憶装置内に格納されているデータへのアクセス権限を付与されている時間間隔を定義する情報を含む、前記データ記憶装置内のセキュリティー・パーティション；
   を含む、前記装置。
2. 請求項１記載の装置において、ユーザが前記データ記憶装置内に格納されているデータへのアクセス権限を付与されている時間間隔を定義する情報が前記セキュリティー・パーティション内のテーブルに格納されている前記装置。
3. 請求項１記載の装置において、前記時間間隔が繰り返し時間間隔である、前記装置。
4. 請求項１記載の装置が更に：
   データ記憶装置内に格納され、ユーザがデータ記憶装置内に格納されているデータへのアクセス権限を付与されている時間間隔の間のみアクセス可能な鍵を含む、前記装置。
5. 請求項１記載の装置において、前記セキュリティー・ユーザ・パーティションが仮想スマートカードを含む、前記装置。
6. 請求項１記載の装置が更に：
   前記データ記憶装置内にクロック・セキュリティー・パーティションを含む、前記装置。
7. 請求項１記載の装置が更に：
   前記データ記憶装置内にクロックを含む、前記装置。
8. １つの方法であって：
   ユーザがデータ記憶装置内に格納されているデータへのアクセス権限を付与されている時間間隔を定義する情報を含むセキュリティー・パーティションを含むように、記憶媒体をデータ記憶装置内に構成し；
   定義された時間間隔の間、ユーザがデータ記憶装置内に格納されているデータへアクセスすることを許可することを含む、前記方法。
9. 請求項８記載の方法において、ユーザが前記データ記憶装置内に格納されているデータへのアクセス権限を付与されている時間間隔を定義する情報が前記セキュリティー・パーティション内のテーブルに格納されている前記方法。
10. 請求項８記載の方法において、前記時間間隔が繰り返し時間間隔である、前記方法。
11. 請求項８記載の方法において、鍵が前記データ記憶装置内に格納され、ユーザが前記データ記憶装置内に格納されているデータへのアクセス権限を付与されている前記時間間隔の間のみアクセス可能である、前記方法。
12. 請求項８記載の方法において、前記セキュリティー・ユーザ・パーティションが仮想スマートカードを含む、前記方法。
13. 請求項８記載の方法が更に：
    前記データ記憶装置内にクロックを含む、前記方法。
14. 請求項８記載の方法が更に：
    前記データ記憶装置内にクロックを含む、前記方法。
15. 請求項８記載の方法において、ユーザのアクセスがデータ読み取りおよびデータ書き込みの１つまたは両方に制限されている、前記方法。
16. 請求項８記載の方法において、セッション管理者がユーザからのセッション要求を認証する、前記方法。
17. 請求項１６記載の方法において、セッション要求がセッション管理者とホストとの間の鍵交換を通して認証される、前記方法。
18. 請求項８記載の方法において、ホストがユーザのアクセスを、実際のクロック時間と定義された時間間隔の比較に基づいて検証する、前記方法。
19. １つの装置であって：
    セキュリティー・パーティションを含む記憶媒体；
    ユーザのアクセス要求を認証し、セキュリティー・パーティション内で指定された時間間隔の間、記憶媒体上に格納されたデータへのユーザのアクセスを許可するファームウェアを含む、前記装置。
20. 請求項１９記載の装置において、ユーザのアクセスを認証する前にファームウェアがクロック時間を前記セキュリティー・パーティション内で指定された前記時間間隔に対してチェックする、前記方法。

Images