JP2011519088A - 分散データ記憶装置 - Google Patents

Abstract

本発明は、記憶手段（１５）およびアクセスコントローラ（１４）をそれぞれが含む複数の記憶ユニット（２）と、記憶手段（１１）および検証装置（４７）を含む認証装置（９）と、実行コントローラモジュール（１３）およびアクセス検証装置（６）を含む実行コントローラ（４）と、を含む分散データ記憶装置（１）であって、実行コントローラ（４）が、記憶ユニット（２）および認証装置（９）と通信する分散データ記憶装置（１）に関する。少なくとも１つの明白な電子暗号（１２）が、認証装置（９）の記憶手段（１１）に記憶され、アクセス検証装置（６）が、アクセスコントローラモジュール（７）および記憶ユニット（８）を含む。認証装置（９）の記憶された暗号（１２）に対応する第１の明白な暗号（１０）が、記憶ユニット（２）に記憶され、割り当て表（２６）が、記憶ユニット（８）の記憶手段（１８）に記憶される。本発明はまた、分散データ記憶装置（１）を動作させるための方法に関する。

Description

本発明は、記憶手段およびアクセスコントローラをそれぞれが備えた複数の記憶ユニットと、記憶手段および検証装置を備えた認証装置と、シーケンス制御モジュールおよびアクセス監視装置を備えたシーケンスコントローラと、を含む分散データ記憶装置であって、シーケンスコントローラが、記憶ユニットおよび認証装置に通信可能に接続された分散データ記憶装置に関する。

データ処理装置の分野では、データまたは情報を記憶するための、およびその情報に後でアクセスできるようにするための多くの異なる装置が知られている。いわゆる「単一サイト」システムの場合には、データ記憶ユニットおよびアクセスコントローラが、通常、互いに統合され、これによって、ほとんどの場合に、ユーザまたはシーケンスコントローラは、記憶データに直接アクセスすることが可能になる。しかしながら、管理されるデータ量に対しての需要が増加する場合、および／または多数のユーザが、記憶データにほぼ同時にアクセスしそうな場合には、単一データ記憶ユニットは、通常、これらの増加する需要を満たすことも、適切な性能または処理速度を提供することもできない。したがって、通常、複数のデータ記憶ユニットが設置され、記憶または管理される情報は、個別記憶ユニットの間で分割される。この場合には、中央アクセスコントローラが、個別記憶ユニットへのアクセスを調整、監視、および制御する仕事を引き継ぎ、したがって、構造が分散されていることにユーザが気づかないままであることを保証する。

管理されるデータユニットを、いくつかの記憶ユニットにわたって分割することができるので、記憶ユニット間の関係を表現および管理するための手段を取らなければならない。例えば、特許文献１は、この目的のために、分散データベースシステムを開示するが、この分散データベースシステムは、複数の相互接続されたコンピュータユニットを含み、これらのコンピュータユニットが、データベースシステムの個別データベースを管理する。各データベースにはレコードが含まれ、コンピュータユニットの全体的構造の関係が、これらのレコードに記憶される。さらに、個別データユニットがファイルされる情報を、ローカル割り当て規則がローカルコンピュータユニットに記憶する。

したがって、データ記憶ユニットの全体的構造は、全体的情報ユニットによって決定され、個別記憶ユニットの構造は、ローカル情報ユニットによって決定される。

分散データ記憶装置において極めて重要なのは、不正アクセスに対する記憶情報のセキュリティの問題である。なぜなら、特に、この情報が分散システムに記憶され、ある場合には、これらのシステムがまた、異なる物理的場所に存在し得るからである。したがって、記憶情報へのアクセスが、適切な認証の後にだけ可能であることを保証しなければならない。

この目的のために、例えば、特許文献２は、非対称暗号化システム用いて、分散情報システムにおけるアクセス権を制御および監視するためのシステムおよび方法を開示する。ネットワークには少なくとも１つのサーバが含まれるが、このサーバは、記憶ユニットに接続され、かつアクセス制限された文書の記憶用に設計されている。この目的を達成するために、ランダムな文書キーが生成され、このキーが、サーバの公開鍵によって暗号化され、データコンテナにメタ情報として記憶される。アクセス制御装置が認証された後で、文書キーは、アクセス制御装置の公開鍵で暗号化され、これによって、アクセス制御装置だけが、キーを削除でき、かつ内容にアクセスできることが保証される。次に、文書の解読された内容が、クライアント上のユーザに表示される。

また、特許文献３は、情報を保護するための、または分散システムにおいて情報を交換するためのシステムを開示する。このシステムには、データ記憶装置および安全な情報管理装置が含まれる。情報ユニットは、暗号化することができ、それらが認証されたクライアントに送信される前に、ディジタル署名することができる。

特許文献４は、データネットワークにおける通信を保護するための方法を開示する。分散して記憶されたセキュリティポリシーのそれぞれが、セキュリティグループを特徴づけ、これらのセキュリティグループのそれぞれには、少なくとも１つのローカルデータノードおよび少なくとも１つのリモートデータノードが含まれる。新しいセキュリティグループがシステムに加えられることになる場合には、ローカル認証サイトが、新しいセキュリティグループにおけるローカルノードを識別および認証する目的で、一連のリクエストを発行する。その後、セキュリティ認証サイトは、セキュリティ情報を交換することによって、ローカルノードおよびリモートノード間の通信を保護することができる。

先行技術から周知の装置および方法は、分散ネットワークにおいてデータへのアクセスを保護するように、および例えば、認証されたセキュリティグループを定義することによって、ネットワークにおける分散ノード間のデータ交換を管理するように設計されている。周知の装置および方法の場合には、主な注目点は、個別ネットワークノード間の通信のセキュリティ、および／またはネットワークノードへのアクセスのセキュリティに関する。高セキュリティデータ記憶設備用に、特に金融業界の要件を満たすことが意図されている場合には、通信ルートを保護するだけでなく、特にデータ自体の保護の向上を提供すること必要である。各個別記憶ユニットの保護は、特に、分散データ記憶ユニットの場合には極めて重要である。なぜなら、分散データ記憶ユニットは、ある場合にはまた、冗長性または負荷分散の理由でいくつかの物理的場所に分散される可能性があるからである。たとえ誰かが１つのデータ記憶ユニットの内容の知識を有していても、その者が、どんな他のデータ記憶ユニットの内容にアクセスすることも、その内容を取り出すこともできないように確認することが極めて重要である。

国際公開第９５／２２１１１号パンフレット 米国特許第６，０９８，０５６ Ａ号明細書 米国特許出願公開第２００７／０２８９０２６ Ａ１号明細書 国際公開第２００８／０２１０７５ Ａ２号パンフレット

本発明の目的は、複数の分散記憶ユニットにデータユニットを記憶するデータ記憶装置であって、記憶ユニットへのデータレコードの割り当てが、記憶ユニットへのアクセスの制御とは別個に記憶され、これが、アクセスモジュールの一意の認証後にのみデータユニットへのアクセスが可能になることを意味するデータ記憶装置を見つけることである。本発明の目的はまた、アクセスモジュールの一意に識別されたグループだけが記憶ユニットにアクセスできるような方法で、データ記憶装置を設計することである。

本発明の目的は、少なくとも１つのユニーク電子キーが、認証装置の記憶手段に記憶される点で部分的に達成される。この設計によって、認証装置は、全ての可能な許可された電子キーの中心管理者の役割を負うことが可能になる。高データセキュリティに関して、この特徴は、次の非常に特別な利点を提供する。すなわち、認証装置および特に認証装置の記憶手段を高セキュリティ環境に設置することができ、これは、極めて高いレベルの保護が、記憶された電子キーのために提供されることを意味するという利点である。さらに、認証装置は、記憶された電子キーが、どんな後続する改定またはアップデートに委ねられることも不可能なように設計することができ、これは、セキュリティの追加的な著しい向上を表す。いずれにせよ、認証装置は、記憶手段へのアクセスが、正確に定義された通信ルートを介してのみ可能なように設計され、この通信ルートは、特に、認証装置によって監視および制御される。

本発明の目的の達成に寄与する別の特徴として、アクセス監視装置には、アクセス制御モジュールおよび記憶手段が含まれ、その結果として、ここでもまた、次のことが保証される。すなわち、たとえシーケンスコントローラのシーケンス制御モジュールでさえ記憶手段に直接アクセスすることができず、したがって、全てのアクセスが、アクセス制御モジュールを介して進み、かつ／またはそれによって処理されることが保証される。「アクセス制御モジュール」は、本明細書では、通信リンクを通じて着信リクエストを受信し、そのリクエストを適切に処理し、かつ記憶手段から関連情報ユニットを取り出すために必要なステップを実行する技術的装置であると理解することができる。次に、情報ユニットは、必要に応じて処理され、リクエストモジュールに返送される。

本発明の目的はまた、機能、すなわち、それに従って、認証装置に記憶されたキーに対応する一意の第１のキーが記憶装置に記憶される機能によって達成される。これによって、次のことが保証される。すなわち、記憶ユニットおよび認証装置が、より重要なことに一意の機能である共通の特徴的機能を含み、これによって、一意の関係が、記憶ユニットと認証装置との間で確立されることが保証される。認証装置が、その中に電子キーを記憶しているので、記憶されたキーに対応するキーを備えた記憶ユニットだけが、認証装置との関係を確立することができる。

ここおよび下記において、「キー」は、２つの別個のシステムが、共通の機能によって互いへ一意に割り当てられることを可能にする電子キーの任意の周知の設計であると考えられる。例えば、キーは、両方のモジュールに記憶することができ、その結果として、一意の割り当ての基本要件がカバーされる。しかし、非対称キーシステムもまた可能であり、これは、暗号化タスク用に同時に用いることもまたできるという利点を提供する。

分散データ記憶設備において、後で分散データユニットへのアクセスを認めることができるように、個別データユニット間の関係を管理することが必要である。周知のデータ記憶装置の場合には、割り当ては、常に、ペイロードデータと一緒に記憶ユニットに記憶される。このアプローチは、認証なしに記憶ユニットがうまくアクセスされた場合には、他の記憶ユニットにアクセスするために使用できる情報もまた常にアクセス可能であるという不都合に悩まされる。したがって、特に重要なのは、割り当て表が、アクセス監視装置の記憶手段に記憶される機能である。なぜなら、この手段によって、データユニットは、データユニット間の関係から分離されるからである。記憶データを保護するために、次のことが極めて重要である。すなわち、一記憶ユニットにおけるデータユニットの内容をたとえ知っていても、他の記憶ユニットのデータユニットにアクセスすることが不可能であること、および特に、他のデータユニットの内容を推測することが不可能であることが、極めて重要である。この発明的機能は、本発明の分散データ記憶装置の記憶ユニットが、個別機能ユニットとして設計可能であり、かつまた、異なる物理的位置に恐らく設置できるということを、非常に有利な方法で保証する。

本発明のデータ記憶装置の非常に本質的な利点はまた、個別コンポーネント間の通信を効果的に制御または定義できるという事実に見出すことができる。シーケンスコントローラが、記憶ユニットおよび認証装置と通信できるので、したがって、個別記憶ユニット間の直接通信リンクは存在せず、ある記憶ユニットから別の記憶ユニットへの直接アクセスは、可能な最大限まで防止される。したがって、特に、通信が、本質的にシーケンスコントローラを介して生じるので、アクセスを効果的に制御することがまた可能であり、これは、必要に応じて、全てのアクセスを認証装置に追加的に認証させることができる。したがって、アクセス規則は、シーケンスコントローラに記憶することができるが、しかしまた、認証装置が、アクセスを制御および／または監視する仕事を引き継ぐことが可能である。

例えば、追加監視装置が存在できるが、この追加監視装置は、各アクセスを監視し、かつ許可されたアクセスの試みからの逸脱が発生すると、例えば現在走行しているアクセスをすぐに終了させ始める。このタイプの監視装置はまた、それが不正操作のどんな試みも検出できるように、個別モジュールの完全性を監視することができる。

アクセス監視装置が追加記憶ユニットを含み、追加記憶ユニットの記憶手段に実行ステートメントが記憶される精巧化は、同じ方向を目指している。この精巧化は、データユニット、関係構造、ならびにアクセスおよび実行制御間の可能で最も完全な分離を達成する。したがって、特に、本発明のデータ記憶装置の各個別コンポーネントを別々に設計することが可能であり、その結果として、データユニットへの不正アクセスに対する最大限の保護が達成される。したがって、潜在的な攻撃者は、自分にとって関心のあるデータユニットおよび／または悪用できる可能性があるデータユニットに到着できる前に、複数の個別に保護されたコンポーネントに対する制御を得なければならないであろう。

本発明の分散データ記憶装置の構造および動作にとって、記憶ユニットおよびシーケンスコントローラが、第１の通信リンクによって、互いに通信可能に接続される精巧化が有利である。この第１の通信リンクは、イントラネットまたはインターネットによってなど、任意の所望の技術的データ通信ネットワークによって形成することができる。特に、通信リンクは、二地点間接続によって形成することができるが、二地点間接続は、通信ルートに存在する中間ノードまたは転送ノードが、送信された情報またはデータに不正な方法でアクセスできないという特別の利点を提供する。しかしながら、特に、この設計は、記憶ユニットの動作状態をチェックできるという利点を提供し、これは、データ記憶装置の信頼性に関して特に重要である。二地点間接続は、例えば、ハードワイヤード通信ルートまたはいわゆるＶＰＮ接続によって形成することが可能である。

記憶ユニットとシーケンスコントローラとの間の通信のセキュリティに関して、記憶ユニットおよびシーケンスコントローラが暗号化モジュールを含む精巧化が有利である。この暗号化モジュールは、記憶ユニットとシーケンスコントローラとの間の通信リンクを確立するために、保護されていない通信接続を用いることが原則として可能なように、記憶ユニットとシーケンスコントローラとの間の通信を保護するように設計される。暗号化モジュールは、例えば公開鍵システムに基づいて機能することができ、その結果として、キーパートナ間の通信は、単純な方式で可能であるが、しかし同時に、送信された情報に対する不正な盗聴が、可能な最大限まで防止される。もちろん、他の周知の暗号化方法を、主張される暗号化モジュールによって用いることができる。特に、暗号化は、各通信リンクが、個別暗号化システムによって保護されるように設計することができる。周知の暗号化方法は、通常、疑似ランダム符号に基づくが、これは、ある場合には、攻撃者によって傍受される可能性があり、その結果として、攻撃者は、送信された情報へのアクセスを得ることができる。精巧化が、例えば、多段暗号化方法が用いられることに存し得る。第１のステップにおいて、疑似ランダム符号によって保護されたリンクが確立される。次に、非対称符号によって保護されることによって、終端間暗号化を実行するために用いられるキーは、このリンクを通じて交換される。したがって、潜在的な攻撃者が不正アクセスを得るどんな機会も得ることができる前に、潜在的な攻撃者は、チャネルの第１の暗号化を処理しなければならないだけでなく、キーの交換に関係する同期機構を不正操作しなければならないであろう。この多段セキュリティシステムの結果として、情報が有意義なままである期間内に、現在周知の解読方法に基づいて攻撃を開始することは、極めて複雑になるか、または不可能である。

本発明によれば、記憶ユニットに記憶されたユニークキーに基づく個別記憶ユニットと、アクセス監視装置に記憶された割り当て表との間で関係が確立される。認証装置に記憶されたキーに対応する第２のユニーク電子キーがまた記憶ユニットに記憶される、主張される精巧化によって、記憶ユニットのお互いの関係に加えて、記憶ユニットと認証装置との関係がまた確立されることが、有利な方式で保証される。特に、いわゆる「逆チェック」が可能である。すなわち、アクセスコントローラは、例えばシーケンスコントローラの信憑性をチェックすることができる。

これらの発明的に用いられる電子キーは、特に重要である。なぜなら、それらが一意の割り当てを可能にしなければならず、したがって、各キーまたは各キーの組み合わせは、完全に一意でなければならず、その結果として、無許可の人は、それらを推測することができないからである。したがって、認証装置が、電子キーを生成するためのモジュールを含むことは、非常に有利である。本発明によれば、少なくとも１つのユニーク電子キーが、認証装置の記憶手段に記憶されるので、主張される精巧化は、次のような特別の利点を提供する。すなわち、電子キーの生成およびそれらの続く記憶が、どんな外部装置（その存在は、例えば、別のセキュリティ上の短所を意味するであろう）の必要もなしに、認証装置において完全に行うことができるという利点を提供する。したがって、ユニーク電子キーの生成および管理は、１つの中心装置によって扱うことができる。

本発明の分散データ記憶装置において、複数のキーが、データ記憶装置における個別モジュール間の一意の関係を確立するために用いられる。キーは、記憶ユニットのキーなどの全てのモジュールキーに対して、対応するキーがキーメモリに常に存在するような方法で、設計されるのが好ましい。この対応関係は、特に、キー自体によって関係が確立されることを意味する。一実施形態において、各モジュールキーは、いわゆる「参照」キーと一致することができる。しかしながら、キーメモリにおけるいわゆる参照キーから複数のモジュールキーを取り出すことがまた可能であり、チェックが実行される場合には、次に、これらのモジュールキーによって、参照キーとの関係を確立することが可能になる。モジュールキーを参照キーに一意に割り当てることができるが、しかし参照キーを推定することが不可能な実施形態が好ましい。したがって、攻撃者は、不正アクセスを達成するために使用可能な偽造モジュールキーを生成することができない。

また、複数の参照キー、すなわち、そこから必要に応じてモジュールキーを生成できる複数の参照キーは、キーメモリに記憶することがまた可能である。これは、メモリへのアクセスを変更することを防ぐような方法で、キーメモリを非常に効果的に保護できるという利点を提供する。

また、記憶ユニットの記憶手段がデータベースシステムによって形成される精巧化が有利である。なぜなら、かかるデータベースシステムは、多数のデータユニットを保持および管理するように非常に効果的に設計されているからである。かかる記憶手段はまた、次のような追加的利点を有する。すなわち、これらの記憶手段が、記憶データ用の非常に高レベルの記憶セキュリティ、および特にまた非常に高レベルのアクセスセキュリティを提供するように始めから設計されているという追加的利点を有する。データユニットを記憶するための記憶手段は、多量の情報ユニットへの可能な最大数の同時アクセスを扱うように設計するのが好ましい。割り当て表または実行ステートメントを記憶するための記憶手段は、好ましくは、可能な最速の応答速度を提供すべきである。なぜなら、他の記憶ユニットへの全ての追加アクセスが、それに決定的に依存しているからである。したがって、通常、非常に高い処理速度を提供するデータ管理システムを、これらの記憶ユニット用の記憶手段として用いることができる。

物理的な記憶媒体が強磁性記憶媒体によって、特にいわゆる「ハードディスク」によって形成可能であり、この媒体がデータの暗号化を備えて設計されるということにまた、精巧化が存することができる。このタイプの暗号化の場合には、データは、暗号化された形態で記憶媒体上に記憶され、そこでは暗号化−解読システムは、アクセスコントローラに常駐している。したがって、攻撃者は、記憶ユニット全体を盗まなければならないであろう。なぜなら、有益な情報は、暗号化された記憶媒体だけから取り出すことができないからである。たとえ攻撃者が、記憶媒体の暗号を解読しても、このように得られるデータ利得は非常に小さい。なぜなら、情報ユニットの分散記憶の結果として、他の情報ユニットへのアクセスが、可能な最大限まで防止されるからである。特に、攻撃者は、記憶ユニット間の関係に関する情報を欠いている。このデータ暗号化システムはまた、例えば、進行中の動作中にだけ記憶データが正当にアクセス可能だという機能を含むことによって拡張することができ、これは、攻撃者が、システムの進行中の動作を中断せずに、記憶媒体を盗まなければならないであろうことを意味する。

特に、「記憶手段」は、情報ユニットを記憶するのに適しているとして当業者に周知の装置のいずれかであると理解される。ここで例として、半導体メモリおよび表形式データファイルを挙げることができる。

主張される精巧化に従って、第１および／または第２のユニークキーが、割り当て表の記憶ユニットまたは実行ステートメントの記憶ユニットに記憶される。このキーは、認証装置に記憶されたキーに対応する。この精巧化の利点は、既に上記で説明した。特に、記憶ユニットおよびシーケンスコントローラ両方の信憑性をチェックすることが可能である。

アクセス制御モジュールおよび記憶ユニットが第２の通信リンクによってそれぞれに通信可能に接続されるような方法で、アクセス監視装置を設計することによって、特に有利な精巧化が得られる。シーケンスコントローラ、およびアクセス監視装置の記憶ユニットは、技術的セキュリティ手段、およびデータユニットの記憶ユニット用のアクセス保護の不可欠なコンポーネントを表す。したがって、これらのユニットは、閉じた設備に設置するのが好ましく、そこでは不正アクセスに対するセキュリティに高い価値が置かれる。アクセス監視装置の記憶ユニットとアクセス制御モジュールとの間の通信接続は、第２の通信リンク上を行われるが、第２の通信リンクは、この実施形態に従って不正アクセスに対して特に保護される二地点間接続によって形成されるのが好ましい。どんな技術的データ通信ネットワークも、第２の通信リンクを確立するための通信媒体として使用できるが、しかしながら、このネットワークは、第２の通信リンクのセキュリティに関する特別の要件を満たさなければならない。

この精巧化によって、追加的なアクセスセキュリティ手段を実行することが可能になる。なぜならここで、問い合わせ命令またはトランザクション用の通信ルートを定義することがまた可能であるからである。したがって、不正アクセスの試みを直ちに検出できる別の方法は、リクエストが不許可通信ルートを通じてコンポーネントに到着することに基づいている。

周知のデータ記憶装置において、シーケンスコントローラは、ひとたび認証が完了したかまたはアクセス権がチェックされたならば、通常、記憶ユニットおよび特に記憶データユニットに直接アクセスする。不正使用に対して高レベルのデータ保護を提供することに関して、このアクセスモードは、潜在的な攻撃者が認証手段を回避できる場合に、攻撃者が記憶データユニットへの直接アクセスを得ることが可能だという不都合に悩まされる。複数の階層的に構造化されたシーケンスがシーケンス制御モジュールに記憶される、主張される精巧化において、かかる直接アクセスは防止される。なぜなら、記憶ユニットへのアクセスは、記憶されたシーケンスの使用によってのみ可能であり、特に、記憶ユニットへの直接アクセスはブロックされるからである。

記憶ユニットへの階層的シーケンスの連関が割り当て表に記憶される精巧化はまた、記憶データを保護する役目をする。なぜなら、このようにして、別のセキュリティレベルが生成されるからである。したがって、主張される精巧化を用いれば、階層的シーケンスが記憶される場所は、それらが実行される場所から完全に分離することができ、これは、どんな潜在的な攻撃者にとっても、さらに別のセキュリティハードルの生成に帰着する。

主張される精巧化、すなわち、それらに従って、認証装置、シーケンスコントローラおよび記憶ユニットが、第１のセキュリティゾーンを形成し、かつ／またはシーケンスコントローラ、割り当て表および実行ステートメントが、第２のセキュリティゾーンを形成する、主張される精巧化が、特に重要である。これらのセキュリティゾーンは、本発明の分散データ記憶装置の非常に本質的な概念である。なぜなら、それらは、潜在的な攻撃者が、単一のコンポーネントを不正操作することによってシステム全体へのアクセスを得るのを防止するからである。これらのセキュリティゾーンのそれぞれは、無許可プロセスを直ちに検出できるように、例えば装置を監視およびチェックすることによって、連続的に監視することができる。特に、潜在的な攻撃者は、常に、セキュリティゾーンの少なくとも２つのコンポーネントを同時に不正操作しなければならないであろうし、かつ特に、潜在的な攻撃者はまた、不正アクセスの試みを隠すために、それらを同期して不正操作しなければならないであろう。また、アクセスシーケンスが、本発明のデータ記憶装置の非常に本質的な部分であるので、潜在的な攻撃者は、どんな成功のチャンスでも得るためには、内部関係の極めて正確な詳細を有して、いくつかのコンポーネントに対し、目標とする同期した攻撃を開始できるようにしなければならないであろう。

アクセスの監視または制御によって、主張される精巧化はまた、例えば、第１の保護ゾーンのモジュールによる、第２の保護ゾーンのモジュールまたは他のあるモジュールへの直接アクセスが、可能な最大限までブロックされることを保証する。アクセスが、正確に定義された通信ルートを通じ、かつ固定されたシーケンスの維持の下でのみ可能なので、これらのルートまたはシーケンスから逸脱するどんなアクセスの試みも、潜在的攻撃として直ちに検出し、適切な対抗策によってブロックすることができる。特に、正確な通信ルートの定義はまた、周期的な期間で変更することができる。例えば、アルゴリズムが、前のアクセスの関数として、および／または時間関数に基づいて、任意のある時間に有効な通信ルートを決定することができる。これは、攻撃者に対するさらに別のハードルを表す。なぜなら、無効な通信ルートを通じて到着するリクエストは、不正操作の試みとして検出されることになるからである。

精巧化において、追加的な保護ゾーンを導入することができ、その結果として、例えば、記憶ユニットなどの個別の技術ユニットは、それら自身の保護ゾーンへ組み合わせることができる。攻撃者に対して、克服すべきハードルを、このようにさらに高くすることができる。なぜなら、複数の異なるセキュリティシステムが破られなければならなくなるが、しかしながら、これらの全てが、適切な関数依存性によって相互接続され、これが、個別攻撃を防ぎ、かつ／またはかかる攻撃の検出を非常に容易にするからである。

本発明の目的はまた、分散データ記憶装置を動作させるための方法によって達成される。方法の第１のステップにおいて、ユニーク電子キーが生成されるが、このキーはまた、キーペアによって、または一意に関連するキーセットによって形成することができる。この点に関し、当業者は、他のキーシステムに精通しているであろう。このキーまたは部分キーは、記憶ユニットおよび認証装置の両方に記憶され、したがって、記憶ユニットが一意に認証されることを可能にする。追加ステップにおいて、割り当て表および実行命令が、アクセス監視装置に記憶される。

本発明の方法のステップによって、次のことが保証される。すなわち、記憶ユニットに記憶されたデータユニットが、データユニットの構造またはそれらの間の依存性に関する情報とは別個に保持されること、およびさらにデータユニットへの直接アクセスが防止されることが保証される。

攻撃者は、例えば、他の記憶ユニットへのアクセスを得る目的で、記憶ユニットを不正操作しようと試みることがあり得る。これを防ぐために、精巧化に従って、キーは、記憶ユニットの記憶手段に記憶されたデータユニットへのアクセスの前に、認証装置によってチェックされる。記憶されたキーが、認証装置に記憶されたキーと一致する場合にのみ、現在アクセスされている記憶ユニットがまた、本来認証された記憶ユニットに対応することが保証される。

記憶ユニットへの直接アクセスが防止されることを保証する精巧化は、アクセスリクエストがなされる場合に割り当て表が問い合わせられることに存する。いくつかの記憶ユニットにわたるデータユニットの分散ゆえに、個別データユニット間の関係は、データユニット間の、および／または特に記憶ユニット間の連関を割り当て表から読み出すことによってのみ確立することができる。

ユーザまたはデータ処理装置がアクセスリクエストをする場合に実行ステートメントが問い合わせられる精巧化はまた、記憶ユニットに記憶されたデータへの不正アクセスを防止する目的を有する。この実施形態は、不正ユーザが、記憶ユニットにおけるレコードに直接アクセスできるのを防止する追加機能を表す。適切な実行ステートメントによってのみ（同様に実行ステートメントは、アクセス監視装置によってのみ読み出すことができるが）、記憶ユニットにおけるデータユニットへのアクセスを得ることが可能である。

有利な精巧化によれば、電子キーは、記憶ユニットの記憶手段に記憶された割り当て表へのアクセスの前に、認証装置によってチェックされる。この実施形態は、ここで割り当て表の信憑性もまたチェックできるので、別のセキュリティ機能を表す。例えば、データユニット間の関係が、この表に基づいて確立されるので、割り当て表の内容が本物であることは、特に重要である。

同じことは、精巧化、すなわち、それに従って、電子キーが、記憶ユニットの記憶手段に記憶された実行ステートメントへのアクセスの前に、認証装置によってチェックされる精巧化にもまた当てはまる。したがって、実行ステートメントの信憑性を一意に保証することが可能である。

前述のように、アクセス命令に記憶されたキーが、認証装置によってチェックされる精巧化は、正確なキーを備えたアクセス命令だけが認証装置によって受け入れられ、その結果、記憶ユニットへのアクセスが可能になるという利点を提供する。

再び一意のアクセスセキュリティを提供するために、シーケンスコントローラが、正確な記憶されたキーにより、認証装置に対して認証される精巧化が有利である。この精巧化の結果として、記憶ユニットへのアクセスの実行が、正確に識別および認証されたシーケンスコントローラによってのみ行われ得ることがまた保証される。これによってまた、潜在的な攻撃者が、シーケンスコントローラを不正操作することによって、記憶ユニットへのアクセスを得ることが不可能になる。

提示されたキーが記憶されたキーに対してチェックされたときに、不一致が検出された場合には、クレームに従って警報メッセージが送信され、その結果として、間違った認証に対して直ちに応答を行うができる。現在走行しているアクセスは停止するのが好ましく、警報メッセージにつながった理由の詳細な検査が行われる。ここの本質的なポイントは、データユニットにアクセスできる前に、恐らくいくつかのキーがチェックされ、これらのキーの全てが成功裡にチェックされた後でのみ、データユニットへのアクセスが認められるということである。潜在的な攻撃者が、分散データ記憶装置のコンポーネントの１つを不正操作した場合には、キーは、もはや記憶されたキーと一致せず、その結果として、警報が作動され、さらなるアクセスが防止される。

シーケンスコントローラからリクエストを受信するか、または認証装置が、記憶された第２の電子キーをチェックすると、記憶ユニットのアクセスコントローラが、第２の記憶された電子キーをシーケンスコントローラのキーと比較する場合に、追加の有利な実施形態が得られる。これらの実施形態によって、いわゆる「逆チェック」が可能になり、その結果として、記憶ユニットはまた、それ自体、リクエストしているシーケンスコントローラが、実際に、元々認証されたシーケンスコントローラであるかどうかを知るためにチェックすることができる。潜在的な攻撃者は、記憶ユニットへのアクセスを得る方法としてシーケンスコントローラを不正操作しようと試みることが可能だが、しかしこれは、主張される精巧化によって防止される。

精巧化、すなわち、それに従って、アクセスコントローラが、送信された実行ステートメントによりデータユニットにアクセスする精巧化が、とくに重要である。なぜなら、これによって、データユニットへの直接アクセスが防止されるかまたは不可能にされることが保証されるからである。周知のデータ記憶装置は、通常、データユニットへの直接アクセスを可能にする。したがって、潜在的な攻撃者は、実行装置を不正操作することによって、データユニットへのアクセスを得ることが可能である。主張される精巧化は、ここで追加的なセキュリティバリアを導入するが、それは、攻撃者が、データユニットへのアクセスを取得し得る前に、ここでまた、実行ステートメントを取得しければならなくなることを意味する。

本発明をより明白に理解できるように、次の図に基づいて、本発明を以下でより詳細に説明する。

簡略化された、非常に概略的な方式で図を説明する。

本発明のデータ記憶装置の基本概略図を示す。 データユニットにアクセスする可能な方法のシーケンス図を示す。 本発明のデータ記憶装置のセキュリティ概念例の図を示す。

導入として、次のことに留意されたい。すなわち、下記の様々な実施形態において、同じ部分が、同じ参照符号またはコンポーネント名によって識別され、説明のどこかに含まれる開示が、同じ参照符号またはコンポーネント名を持つ同じ部分へ類推によって引き継がれ得ることに留意されたい。さらに、上部、底部、側部など、説明において用いられる位置の指示は、そのときにその場で説明および図示されている図に関連し、位置に変更がある場合には、それらはまた、類推によって新しい位置へ引き継ぐことができる。本明細書において図示および説明される様々な例示的な実施形態から得られる個別の特徴または特徴の組み合わせはまた、本発明に従って、それら自体で、独立した発明的解決法（単数または複数）を表すことができる。

具体的な説明における値域に関するデータの全ては、それらが、ありとあらゆる部分範囲を含むように理解されたい。例えば、表現「１〜１０」は、１の下限から上へ、および１０の上限から下へ進む全ての部分範囲もまた含まれるように、すなわち、全ての部分範囲が、１以上の下限で始まり、１０以下の上限で終了する（例えば、１〜１．７または３．２〜８．１または５．５〜１０）ように理解されたい。

図１は、分散データ記憶装置１の基本概略図を示すが、この装置１では、データまたは情報５０は、複数の記憶ユニット２に記憶される。記憶ユニット２は、通信ネットワーク３によってシーケンスコントローラ４に接続される。シーケンスコントローラ４は、ユーザ５からのリクエストを処理するように、および対応する情報を記憶ユニット２から呼び出して、それをユーザまたはユーザの端末５に送信するように設計されている。ある場合には、記憶ユニット２が分散方式で配置可能なので、特にそれらが異なる物理的場所に存在し得るので、情報ユニット５０は、次のような方法で、個別記憶ユニット２にわたって分割される。すなわち、たとえ、１つの記憶ユニット全体の内容、およびそこに記憶された情報ユニットの一部を知っていても、別の記憶ユニットの内容にアクセスすることが不可能であるか、かつ／または完全で使用可能なデータレコードを問い合わせることが不可能であるような方法で分割される。したがって、シーケンスコントローラ４には、アクセス監視装置６が含まれ、このアクセス監視装置６は、少なくとも１つのアクセス制御モジュール７および少なくとも１つの記憶ユニット８によって形成される。割り当て表２６および／または実行ステートメント２７が、アクセス監視装置６の記憶ユニット８、４９に記憶されることが、ここで極めて重要である。この分散配置によって、データユニット５０間の関係が、記憶ユニット２に全く記憶されないことが保証される。さらに、シーケンスコントローラ４が認証装置９に接続されることが、記憶データのセキュリティに関して特に重要である。認証装置９は、もっともらしさに対して、記憶ユニット２または記憶ユニット８への各アクセスをチェックするように、およびしたがって、実行され得るアクセスだけが適切なセキュリティ機能を有するアクセスであることを保証するように、特に設計されている。

不正アクセスを防ぐことができるような方法で、記憶ユニット２、８、４９とシーケンスコントローラ４との間の関係をここで確立できるように、第１のユニーク電子キー１０が、記憶ユニット２、８、４９のそれぞれに記憶される。記憶された電子キー１０に対応するキー１２が、キーメモリ１１に記憶され、その結果、第１の電子キー１０と記憶された電子キー１２との間に一意の関係が常に存在する。ここで、例えば、記憶ユニット２がアクセスされることになると、記憶ユニット２の第１の電子キー１０が、シーケンスコントローラ４によって、特にアクセス制御モジュール７によって読み出され、かつ認証装置９によってチェックされる。一致が見出された場合には、記憶ユニットへのアクセスが認められ、プロセスの残りのステップが、記憶された階層的シーケンス４８によって行われる。認証が失敗した場合には、認証装置９によってかまたはシーケンスコントローラ４によって、警報を作動させることができ、その結果として、セキュリティ手段が活性化され、かつ恐らく物理的な保護手段が、データ記憶装置用に活性化される。第１のキー１０および第２のキー２４の両方は、互いから独立しているのが好ましいが、しかし各キーは、記憶されたキー１２に対応する。

各記憶ユニット２には、アクセスコントローラ１４および記憶手段１５が含まれ、アクセスコントローラ１４は、通信リンク１６を通じて到着するリクエストが、記憶手段１５への直接アクセスを取得しないように設計されている。記憶ユニット８にもまた、アクセスコントローラ１７および記憶手段１８を含むのが好ましく、その結果、ここでもまた、記憶手段１８への直接アクセスが防止される。

キーメモリ１１に記憶された電子キー１２にもまた、一意性に関しての高い要求が課される。特に、記憶手段に記憶された電子キー１０、２４と、参照キー１２との間に一意の関係を確立することが可能でなければならないが、この関係は、モジュールキー１０、２４から参照キー１２を導き出すことが不可能であるような方法で設定することができる。特に有利な精巧化において、認証装置９には、ユニーク電子キーを生成するためのモジュール１９が含まれる。このモジュール１９を用いれば、認証装置９が、どんな外部装置または認証サイトの必要もなしに、それ自体でユニーク電子キーを生成することが可能になる。この実施形態の結果として、有利なことに、電子キー１２が、定義された周知のセキュリティ環境で生成されること、およびしたがって外部の影響またはキーの偽造の危険が、可能な最大限まで防止されることが、保証される。電子キーのセキュリティは、通常、計算または解くことが極めて難しい数学的方法、特に連立方程式に基づいている。特に、本質的な特徴は、連立方程式を解くために要求される必要な計算労力および時間量が、非常に正確に推定できるということである。したがって、電子キーは、キーを回避するために必要とされる時間が、不正に取得される情報の妥当性より大きいように設計することができる。認証装置９は、例えば、データ処理装置によって形成することができるが、しかし通信接続部２０を介してのみ問い合わせられ得る、かつまた認証プロセスの結果を提供するモジュールとしての設計がまた可能である。

効率およびセキュリティの理由で、本発明の分散データ記憶装置１はまた、空間において物理的に分散することができ、その場合には、通信ネットワーク３は、記憶ユニット２、８、４９、認証装置９、およびシーケンスコントローラ４などの個別モジュール間に設置される。原則として、この通信ネットワークは、安全でないネットワークと考えなければならない。それは、例えば、公に利用可能でアクセス可能なインターネットの可能性があり、その結果、通信リンク１６、２１への不正アクセスの危険は、現実であると考えなければならない。有利な精巧化において、通信リンクの端点のそれぞれに暗号化モジュール２３を設置することによって、各通信リンクを保護することが可能である。この暗号化モジュールは、記憶ユニット２とシーケンスコントローラ４の間などの端点間の通信リンク１６が、いわゆる「終端間」暗号化に基づいて保護されることを保証する。たとえ通信リンク１６への不正アクセスの場合でさえ、送信データへのアクセスは、最大限まで不可能である。

第１の電子キー１０を記憶することによって、記憶ユニット２、８、４９間の関係を確立することが可能になる。したがって、シーケンスコントローラ４は、特に認証装置９を用いることによって、各場合に正確な記憶ユニットがアクセスされることを保証することができる。特に、潜在的な攻撃者が、分散データユニットへのアクセスを得る方法として、記憶ユニットを不正操作された記憶ユニットと取り替えることができないことが保証される。一意の通信ルートおよびアクセスシナリオの確立の結果として、不正操作された記憶ユニットが、どんな他の記憶ユニットまたは他のあるモジュールへの直接アクセスを得ることも不可能になる。不正アクセスの試みは、１つの記憶ユニットに制限されたままである。なぜなら、確立された通信ルートの結果として、シーケンスコントローラを除いた他のモジュールは、不正操作された記憶ユニットには見えないからである。精巧化において、第２の電子キー２４が、また、記憶ユニットに記憶される。これらの第２のキーは、シーケンスコントローラ４のキー２５、および／または認証装置９における記憶されたキー１２に対応する。この精巧化を通して、例えば、アクセスコントローラ１４、１７は、シーケンスコントローラ４、特にアクセス制御モジュール７からのリクエストの正当性をチェックすることができる。リクエストが受信されると、割り当てられたキー２５が、例えば、シーケンスコントローラからアクセスコントローラ１４、１７に送信され、かつ／またはアクセスコントローラ１４、１７によって問い合わせされる。アクセスコントローラは、このとき、キー２５を認証装置９にチェックさせることができ、かつ／またはアクセスコントローラは、記憶された第２のキー２４に基づいて、それ自体でチェックを実行することができる。この精巧化によって、各記憶ユニットは、着信問い合わせリクエストが、正当な、特に認可されたシーケンスコントローラ４から生じているかどうかを、それ自体でチェックできることが保証される。このように設計された分散データ記憶装置１における記憶データユニットへの不正アクセスを得るためには、潜在的な攻撃者は、複数の電子キー、および認証装置を同時に不正操作しなければならないことになろう。認証装置９、および恐らくまたシーケンスコントローラ４は、特に保護された環境で動作するのが好ましい。特に、これらの装置は、通常、データセンタまたは金融機関の高セキュリティエリアに収容され、その結果として、これらのモジュールへの個人アクセスおよびリモートアクセスの両方とも、とてもありそうにもない。しかしながら、これらのモジュールが、本発明の分散データ記憶ユニットのコアコンポーネントであるので、かつ特に、これらのモジュールが、ジョブ認証および監視を引き継ぐので、したがって、記憶ユニットに記憶されたデータユニットの保護がまた、可能な最大限まで保証される。分散配置（恐らくまた空間において物理的に分散できる）の結果として、不正アクセスが非常に困難になることが保証される。なぜなら、かかるアクセスは、警報を直ちに作動させないように、およびしたがって不正アクセスの試みをブロックしないように、時間および場所の両方に関して正確に連係された方法で行われなければならないことになるからである。

本発明のデータ記憶装置における別の本質的な特徴は、ペイロードデータが、ペイロードデータ間の関係とは別個にファイルされること、およびペイロードデータへの直接アクセスが不可能なことある。例えば、割り当て表２６は記憶ユニット８に記憶されるが、記憶ユニットのデータユニット間の有効リンクは、この割り当て表によってのみ確立することができる。周知の分散データ記憶装置では、このタイプの割り当て表は、データレコードと一緒に記憶ユニットに記憶される。したがって、潜在的な攻撃者は、分散記憶ユニットからデータレコードを読み出すために必要な全ての情報を自分が利用できるようにする。

本発明の分散データ記憶装置において、データユニット用の記憶ユニット２、割り当て表２６用の記憶ユニット８、および実行ステートメント２７用の記憶ユニット４９は、全て、アクセス用にデータを解放するために、認証装置９に正確に識別されなければならない。また、記憶ユニット２の記憶手段１５への直接アクセスをシーケンスコントローラ４に認めることは、周知のデータ記憶装置では標準的技法である。対照的に、本発明によるデータ記憶装置では、追加セキュリティゾーンが導入され、このゾーンでは、記憶手段１５への直接アクセスは不可能である。なぜなら、記憶手段１５へのアクセスは、所定の、チェックされた、かつ認証された実行ステートメント２７を介してのみ得ることができるからである。

特に有利な精巧化は、データ記憶装置内にセキュリティゾーン６０、６１が形成されることに存するが、かかるセキュリティゾーンは、いくつかのモジュールを含み、これらのモジュールは、恐らくまた、分散方式で配置することができる。これらのセキュリティゾーンは、関係情報からペイロードデータを分離することに加えて、第２のセキュリティ層を表す。セキュリティゾーンが重複するので、現在走行しているトランザクションおよびリクエストは、両側から制御または監視することができる。例えば、監視モジュール６２は、セキュリティゾーンにおけるシーケンスを監視し、かつ何かの不整合が見つかった場合には、トランザクションを直ちに停止して恐らく警報メッセージを送信するが、シーケンスコントローラに接続することが可能である。これらのセキュリティゾーンによって、認証なしにアクセスを試みることは極めて困難になる。なぜなら、結果として、攻撃者は、極めて高度の正確さで準備された攻撃を開始することを強いられることになるからである。正確に定義されたシーケンスで、いくつかのモジュールを不正操作しなければならなくなり、これは、内部構造および手順の非常に正確な知識なしに行うには、極めて困難であろう。段階的攻撃もまた、目的には至らないであろう。なぜなら、それが検出されないでいることは不可能だからである。したがって、アクセスのかかる試みには多量の労力が必要とされ、これは、失敗の高い確率と組み合わさって、非常に強い抑止力として働く。

精巧化において、外部監視装置がまた存在可能であり、この外部監視装置はまた、現在走行しているトランザクションのもっともらしさをチェックする。したがって、例えば、どんな逸脱も検出できるように、実際に進行しているシーケンスを、記憶されたシーケンスと比較することが可能である。また、トランザクションを検証することが可能である。すなわち、モジュールから来るリクエストが、元々送信されたリクエストと一致するかどうか、およびリクエストが、通信ルートに沿って移動したときに、何らかの方法で不正操作されたかどうかを確認するために、トランザクションをチェックすることができる。

これらの有利な精巧化は、データ記憶装置の個別モジュールを設置するために必要な労力の著しい増加に帰着することなく、分散データ記憶装置における記憶データユニットのセキュリティのかなりの向上をもたらす。特に、いくつかのコンポーネントを高セキュリティ環境に設置する必要があるだけである。なぜなら、潜在的攻撃者は、たとえ彼らが記憶ユニットの完全な知識を有していても、アクセスされたデータユニットからどんな使用可能な情報を取り出すこともできないからである。したがって、本発明のデータ記憶装置のモジュールは、セキュリティのどんな損失に帰着することもなく、オペレーティングシステムにおける性能要件に関して可能な最良の方法で設置することができる。

有利な実施形態において、例えば、アクセスコントローラ１４、１７は、それら自体が認証プロセスの一部を実行できるように設計することが可能である。例えば、部分的暗号化の結果を、シーケンスコントローラおよび／または認証装置によってアクセスコントローラに送信することができ、次に、アクセスコントローラが、記憶されたキー１０、２４を用いて同じ部分的暗号化を実行し、得られた結果をチェックする。送信された結果が、生成された結果と一致する場合には、アクセスが認められる。そうでなければ、恐らく警報が作動される。この精巧化は、記憶されたキーを通信リンクを通じて送信する必要がないという決定的な利点を提供するが、これは、本発明のデータ記憶装置のさらに別の重要なセキュリティ機能を表す。

図２は、分散データ記憶装置においてデータユニットへのアクセスがどのように達成されるかの可能なシーケンス図を示す。制御命令などのプロセスを介した動作の間に、ユーザまたはデータ処理装置２８が、データリクエストプロセス２９を開始する。このデータリクエストプロセスは、シーケンスコントローラ３０に送信され、シーケンスコントローラ３０によって適切なサブタスクに拡張される３１。１つのかかるサブタスクは、例えば、複数のデータレコードまたは情報を記憶ユニット３２から呼び出すことに存し得る。対応するデータレコードにアクセスできるために、シーケンスコントローラは、正確な記憶ユニットにアクセスできるようにデータユニット間の対応関係を決定しなければならない。ここで、本発明のデータ記憶装置の本質的なセキュリティ概念は、各個別コンポーネントが、現在開始されたプロセス用にそのコンポーネントが認可されるかどうかを決定するために、チェックされ得るという事実に見出される。この目的のために、第１のステップにおいて、記憶されたユニークキーが、シーケンスコントローラ３０によって、割り当て表３３から読み出される３４。精巧化に従って、キーベースのセキュリティシステムはまた、次のように設計することが可能である。すなわち、読み出されるのはキー自体ではなく、代わりに、キーの結果が生成され、それが、シーケンスコントローラ３０によって参照キーと比較され得るように設計することが可能である。読み出されたキーまたは部分的結果は、必要に応じて処理され３５、認証装置３６に送信される。ここで、認証装置３６は、提示されたキーの信憑性をチェックするために、記憶されたキーとの比較チェックを３７で実行する。チェックが成功であった場合には、割り当て表３３の信憑性が確立され、次に、シーケンスコントローラ３０は、読み出しリクエストを発行し、必要な関係を割り当て表３３から読み出すことができる３８。

本発明の分散データ記憶装置の別のセキュリティ機能が、記憶ユニット３２への直接アクセスを得るのが不可能なことに存するので、シーケンスコントローラ３０は、次のステップでアクセス制御命令を読み出さなければならない。この目的のために、第１のステップにおいて、動作命令３９のユニークキーが読み出され４０、恐らく処理されて、チェックのために認証装置３６に返送される４１。チェックが成功だった場合には、対応するリクエストが生成され、次に、動作命令が読み出される４２。記憶ユニットへの不正直接アクセスは、確実には排除することができない。したがって、たとえかかる直接アクセスの場合であっても、攻撃者が、かなり有益などんな情報も得られないのは、非常に有利である。特に、情報ユニットは、不連続な形態で存在しており、かつまた恐らく暗号化されている。

これらの方法ステップの後で、データユニットとアクセス命令との間の関係が本物であることが保証される。これらのデータレコードを用いれば、シーケンスコントローラ３０は、対応する記憶リクエスト４３を生成することが可能であり、その結果として、次に、記憶ユニット（単数または複数）３２へのアクセスを認めることができ、対応する、リクエストされたデータを読み出すことができる４４。読み出されたデータレコードは、必要に応じて、シーケンスコントローラ３０によって処理され４５、ユーザまたはデータ処理装置２８に返送され、そこにおいて、これらのデータレコードは、必要に応じて、さらなる処理を受けるか、拡張されるか、またはユーザ４６に表示される。

本発明の方法はまた、例えば、ある問い合わせシナリオを固守しなければならないという点で、さらに別のセキュリティ機能を提供することができる。記憶ユニットへのアクセスの場合、またはチェックを実行するための、認証装置へのリクエストの場合に、第１のステップにおいて、不完全なリクエストまたは明らかに間違ったキーを送信して、その後、正確にフォーマットされたリクエストを送信することが可能であろう。攻撃者は、この第１の不正確なリクエストを無視し、正確にフォーマットされたリクエストを直ちに送信することになり、その結果として、不正アクセスの試みが検出されることになろう。

しかしながら、精巧化において、タイムスタンプをリクエストと一緒に送信することがまた可能であり、この場合には、正確な問い合わせシナリオは、リクエストの特定の時間的順序によって特徴づけられる。これらの時間関係の知識なしには、攻撃者は、自分のリクエストを時間の経過順に調整せずに送信することになり、その結果として、再び、不正操作の試みは、検出することができる。時間差にはまた、疑似ランダムな依存性を含むことが可能であり、その結果として、後続のリクエストは、予想されるタイムスタンプに対応するタイムスタンプを備えて到着しなければならない。この文脈におけるタイムスタンプは、絶対的時間値として理解すべきではない。なぜなら、推定できない時間遅延が、通信ルート上の異なる移動時間の結果として生じる可能性があるからである。これらのタイムスタンプによって、時間的な依存性が象徴的に確立され、これは、トランザクションの正確な実行を可能にするために守られなければならない。例えば、送信モジュールは、リクエストが送信される時間系列を決定することができる。次に、受信モジュールは、着信リクエストのシーケンスが、元々決定されたシーケンスと一致するかどうかを、タイムスタンプに基づいて決定することができる。

したがって、潜在的な攻撃者は、多数のハードルに直面するが、これらのハードルは、不正操作の試みを隠すためには、正確に同期された方法で克服されなければならない。

図は、本発明の分散データ記憶装置においてデータレコードへのアクセスを可能にするための方法の１つの可能な実施形態を示す。個別モジュールまたは装置間の通信を暗号化するための追加セキュリティステップは、この図には示されていない。

有利な精巧化によれば、また、第２の電子キーを記憶手段に記憶することができ、その結果として、割り当て表のアクセスコントローラまたは実行ステートメントのアクセスコントローラが、シーケンスコントローラの信憑性をチェックすることが可能である。したがって、二重の信憑性チェックの可能性の利点が得られ、これは、潜在的な攻撃者が、費やさなければならないであろう労力を著しく増加させ、かつしたがって、セキュリティの程度および特にデータ完全性におけるかなりの向上を保証する。

周知のデータ記憶装置とは対照的に、本発明の実施形態は、ペイロードデータの構造に関する情報が、実際のペイロードデータから分離され、かつ特に、分散記憶ユニットに記憶されるという非常に重要な利点を提供する。恐らくまた物理的および場所的分離からなり得る、この分離の結果として、記憶データへの不正アクセスは、潜在的な攻撃者が複数の装置を同時に不正操作することを強いられることになるので、極めて困難にすることができ、これは、かかる多量の不正操作をシステム管理者または自動セキュリティ機構から隠すことがほとんど不可能なので、とても起こりそうもない。特に、個別モジュールはまた、金融機関のコンピュータセンタなどの高度に保護された部屋に収容することができ、これによって、アクセスを得ることが非常に困難になる。特に、分散データ記憶装置の発明的設計の結果として、潜在的な攻撃者が、たとえ記憶ユニットの完全な知識を備えていても、記憶ユニットからどんな利益も引き出せないことが保証される。なぜなら、潜在的な攻撃者は、他の記憶ユニット、および対応するアクセス命令に対する関係の知識を有していないからである。

図３は、本発明の分散データ記憶装置のセキュリティゾーン６０、６１の概念を例として示す。全てのアクセスの認証と組み合わせて、監視およびアクセス情報からの、ペイロードデータユニットの本発明の分離は、潜在的な攻撃者にとっての複数のハードルに帰着する。実例用に、図は、ドア、キーおよびロックを備えた象徴的な図によって、このアクセス保護の性質を説明する。

コンポーネントの不正操作によって、例えば、攻撃者５１が、キー５２を入手し、かくしてドア５３を開けることができる。このドアは、例えば、割り当て表であり得る。この不正操作の結果として、攻撃者は、ｎキー５４を入手し、ｍドアを備えた部屋に入る。さらに進むために、攻撃者は、別のドアを開けることができるように、利用可能なキー５４から正確なキー５６を選択しなければならない。ここで、本質的な点は、攻撃者がまた、正確なドア５７を知らなければならないということである。なぜなら、例えば、攻撃者が、複数のドアを開けようとして失敗すると、不正操作は、直ちに検出されるであろうからである。攻撃者が、ドア５７を開けることに実際に成功した場合、すなわち、例えば、攻撃者が実行ステートメントにアクセスできた場合には、攻撃者は、別のキー５８を入手し、今度はキー５８が、可能なドア５５のうちの１つを開ける。さらに進んで関連データユニット５９へのアクセスを得るために、攻撃者は、再び、多くの可能なドアから１つの特定のドアを開けなければならない。

間違ったドアにアクセスしようと試みて不正確なキーを使用することによって、不正操作の試みは直ちに検出可能になり、その結果として、適切な応答を行うことができる。特に、試行錯誤法による多数のテスト攻撃が、排除される。なぜなら、単一の無効アクセスの試みそれ自体が、警報を作動させるのに十分であり得るからである。

例示的な実施形態は、分散データ記憶装置の可能な具体的変形を示すが、この時点で、次のことに留意されたい。すなわち、本発明が、本明細書で特に示される具体的な実施形態に限定されないことと、それどころか、個別の具体的な変形における互いとの様々な組み合わせがまた可能であり、具体的発明を介した技術的活動に関する教示に基づいた変形のこの可能性が、この技術的分野に積極的に関与する者の能力内にあることと、に留意されたい。したがって、図示し説明した具体的変形の個別的詳細の組み合わせを介して可能な全ての考えられる具体的な変形は、保護の範囲によってカバーされる。

図２は、分散データ記憶装置の別の、恐らく独立した実施形態を示すが、図２では、繰り返すと、前の図におけるものと同じ参照符号またはコンポーネント名が、同じ部分のために用いられている。不必要な繰り返しを避けるために、前の図１の詳細な記述が参照される。

形式上、結論として次のことを指摘すべきである。すなわち、本発明の理解をより容易にするために、データ記憶装置またはそのコンポーネントは、場合によっては、一定の尺度では示されてなく、サイズを拡大または縮小して示されていることである。

独立した本発明の解決法が基づいている目的は、説明から導き出すことができる。

とりわけ、図に示されている個別実施形態は、独立した本発明の解決法の目的を形成することができる。この点における本発明の目的および解決法は、これらの図の詳細な説明から導き出すことができる。

１ 分散データ記憶装置
２ 記憶ユニット
３ 通信ネットワーク
４ シーケンスコントローラ
５ ユーザ
６ アクセス監視装置
７ アクセス制御モジュール
８ 記憶ユニット
９ 認証装置
１０ 第１の電子キー
１１ キーメモリ
１２ 電子キー
１３ シーケンス制御モジュール
１４ アクセスコントローラ
１５ 記憶手段
１６ 通信リンク
１７ アクセスコントローラ
１８ 記憶手段
１９ キー生成モジュール
２０ 通信接続部
２１ 通信リンク
２２ 通信リンク
２３ 暗号化モジュール
２４ 第２の電子キー
２５ キー
２６ 割り当て表
２７ 実行ステートメント
２８ ユーザ、データ処理装置
２９ データ問い合わせプロセス
３０ シーケンスコントローラ
３１ リクエストの処理
３２ 記憶ユニット
３３ 割り当て表
３４ キーの読み出し
３５ 処理
３６ 認証装置
３７ 信憑性のチェック
３８ 関係の読み出し
３９ 動作命令
４０ キーの読み出し
４１ 信憑性のチェック
４２ 命令の読み出し
４３ 記憶リクエスト
４４ データの読み出し
４５ データ処理
４６ 表示、さらなる処理、拡張
４７ 検証装置
４８ 階層的シーケンス
４９ 記憶ユニット
５０ データユニット
５１ 攻撃者
５２ キー
５３ ドア
５４ キー
５５ ドア
５６ キー
５７ ドア
５８ キー
５９ データユニット
６０ 第１のセキュリティゾーン
６１ 第２のセキュリティゾーン
６２ 監視モジュール

Claims (25)

1. -- それぞれが記憶手段（１５）およびアクセスコントローラ（１４）を備えた複数の記憶ユニット（２）と、
   -- 記憶手段（１１）および検証装置（４７）を備えた認証装置（９）と、
   -- シーケンス制御モジュール（１３）およびアクセス監視装置（６）を備えたシーケンスコントローラ（４）と、
   を備えて構成される、分散データ記憶装置（１）であって、
   -- 前記シーケンスコントローラ（４）が、前記記憶ユニット（２）および前記認証装置（９）に通信可能に接続された分散データ記憶装置（１）において、
   -- 前記認証装置（９）の前記記憶手段（１１）に、少なくとも１つのユニーク電子キー（１２）が記憶されること、
   -- 前記アクセス監視装置（６）が、アクセス制御モジュール（７）および記憶ユニット（８）を有すること、
   -- 前記記憶ユニット（２）に、前記認証装置（９）の記憶されたキー（１２）に対応する第１のユニークな第１のキー（１０）が記憶されること、および
   -- 前記記憶ユニット（８）の前記記憶手段（１８）に、割り当て表（２６）が、記憶されること、
   を特徴とする分散データ記憶装置（１）。
2. 前記アクセス監視装置（６）が追加記憶ユニット（４９）を有し、この追加記憶ユニット（４９）の記憶手段（１８）に実行ステートメント（２７）が記憶されることを特徴とする、請求項１に記載の分散データ記憶装置。
3. 前記記憶ユニット（２）および前記シーケンスコントローラ（４）が、通信リンク（１６）によって互いに通信可能に接続されていることを特徴とする、請求項１または請求項２に記載の分散データ記憶装置。
4. 前記記憶ユニット（２）の前記アクセスコントローラ（１４）、および前記シーケンスコントローラ（４）が、暗号化モジュール（２３）を有することを特徴とする、請求項１〜３のいずれか一項に記載の分散データ記憶装置。
5. 前記記憶ユニット（２）に第２のユニーク電子キー（２４）が記憶され、この第２のユニーク電子キー（２４）が、前記認証装置（９）における前記記憶されたキー（１２）の１つに対応することを特徴とする、請求項１〜４のいずれか一項に記載の分散データ記憶装置。
6. 前記認証装置（９）が、電子キー（１０、１２、２４、２５）を生成するためのモジュール（１９）を有することを特徴とする、請求項１〜５のいずれか一項に記載の分散データ記憶装置。
7. 前記記憶ユニット（２）の前記記憶手段（１５）、および／または前記記憶ユニット（８、４９）の前記記憶手段（１８）が、データベースシステムによって形成されていることを特徴とする、請求項１〜６のいずれか一項に記載の分散データ記憶装置。
8. 前記記憶ユニット（８）の前記記憶手段（１８）に第１（１０）および／または第２（２４）のユニークキーが記憶され、この第１（１０）および／または第２（２４）のユニークキーが、前記認証装置（９）に記憶されたキー（１２）に対応することを特徴とする、請求項１〜７のいずれか一項に記載の分散データ記憶装置。
9. 前記記憶ユニット（４９）の前記記憶手段（１８）に第１（１０）および／または第２（２４）のユニークキーが記憶され、この第１（１０）および／または第２（２４）のユニークキーが、前記認証装置（９）に記憶されたキー（１２）に対応することを特徴とする、請求項２〜８のいずれか一項に記載の分散データ記憶装置。
10. アクセス制御モジュール（７）ならびに前記記憶ユニット（８）および／または前記記憶ユニット（４９）が、第２の通信リンク（２１）によって互いに通信可能に接続されていることを特徴とする、請求項１〜９のいずれか一項に記載の分散データ記憶装置。
11. 複数の階層的に構造化されたシーケンス（４８）が、前記シーケンス制御モジュール（１３）に記憶されることを特徴とする、請求項１〜１０のいずれか一項に記載の分散データ記憶装置。
12. 階層的シーケンス（４８）と記憶ユニット（２）との間のリンクが、前記割り当て表（２６）に記憶されることを特徴とする、請求項１〜１１のいずれか一項に記載の分散データ記憶装置。
13. 前記認証装置（９）、前記シーケンスコントローラ（４）および前記記憶ユニット（２）が、第１のセキュリティゾーン（６０）を形成することを特徴とする、請求項１〜１２のいずれか一項に記載の分散データ記憶装置。
14. 前記シーケンスコントローラ（４）、前記割り当て表（２６）および前記実行ステートメント（２７）が、第２のセキュリティゾーン（６１）を形成することを特徴とする、請求項１〜１３のいずれか一項に記載の分散データ記憶装置。
15. 分散データ記憶装置、特に請求項１〜１４のいずれか一項に記載のデータ記憶装置におけるデータの安全な記憶のための方法であって、前記データ記憶装置（１）が少なくとも１つの記憶ユニット（２）を有し、
    -- ユニーク電子キー（１２）を生成するステップと、
    -- 前記記憶ユニット（２）および認証装置（９）に前記キー（１０、１２）を記憶するステップと、
    -- 割り当て表（２６）を記憶ユニット（８）に記憶するステップと、
    -- 実行ステートメント（２７）を記憶ユニット（４９）に記憶するステップと、
    を含む方法。
16. 前記記憶ユニット（２）の前記記憶手段（１５）に記憶されたデータユニット（５０）へのアクセスの前に、前記キー（１０）が、前記認証装置（９）によってチェックされることを特徴とする、請求項１５に記載の方法。
17. ユーザまたはデータ処理装置（５）がアクセスをリクエストする場合に、前記割り当て表（２６）が問い合わせられることを特徴とする、請求項１５または請求項１６に記載の方法。
18. ユーザまたはデータ処理装置（５）がアクセスをリクエストする場合に、前記実行ステートメント（２７）が問い合わせられることを特徴とする、請求項１５〜１７のいずれか一項に記載の方法。
19. 前記記憶ユニット（８）の前記記憶手段（１８）に記憶された前記割り当て表（２６）へのアクセスの前に、前記電子キー（１０）が、前記認証装置（９）によってチェックされることを特徴とする、請求項１５〜１８のいずれか一項に記載の方法。
20. 前記記憶ユニット（４９）の前記記憶手段（１８）に記憶された前記実行ステートメント（２７）へのアクセスの前に、前記電子キー（１０）が、前記認証装置（９）によってチェックされることを特徴とする、請求項１５〜１９のいずれか一項に記載の方法。
21. シーケンスコントローラ（４）が、正確な記憶されたキー（２５）を用いて、自身を前記認証装置（９）に対して認証することを特徴とする、請求項１５〜２０のいずれか一項に記載の方法。
22. 前記認証が失敗した場合、特に、前記認証が無効キーの結果として失敗した場合には、警報メッセージが送信されることを特徴とする、請求項１５〜２１のいずれか一項に記載の方法。
23. リクエストを前記シーケンスコントローラ（４）から受信した場合には、前記記憶ユニット（２、８、４９）のアクセスコントローラ（１４、１７）が、記憶された第２の電子キー（２４）を前記シーケンスコントローラのキー（２５）と比較することを特徴とする、請求項１５〜２２のいずれか一項に記載の方法。
24. リクエストを前記シーケンスコントローラ（４）から受信した場合には、前記記憶ユニット（２、８、４９）のアクセスコントローラ（１４、１７）、記憶された第２の電子キー（２４）が、前記認証装置（９）によってチェックされることを特徴とする、請求項１５〜２３のいずれか一項に記載の方法。
25. 前記アクセスコントローラ（１４）が、送信された実行ステートメントを用いて、前記データユニット（５０）にアクセスすることを特徴とする、請求項１５〜２４のいずれか一項に記載の方法。

Images