JP2012531687A - ソリッドステートメモリにおけるデータセキュリティ - Google Patents

Abstract

本発明は、ソリッドステートメモリにおけるデータセキュリティに関する。ソリッドステートメモリ（２）は、秘匿情報を記憶するために充てられた少なくとも１つの特定の領域（４）を含む。本発明は、ソリッドステートメモリ（２）内のセキュリティ関連データを操作して、そのデータを権限のないアクセスから保護するためのものである。本発明によれば、ソリッドステートメモリ（２）は、スタートアップ時に特定のメモリ領域（４）を削除するためのセキュリティ要素（６）を含む。

Description

本発明は、例えば不揮発性ランダムアクセスメモリなどのソリッドステートメモリにおけるデータセキュリティに関する。

今日のコンピュータシステムでは、データをプロセッサまたは専用コンピューティング手段に提供するために、ソリッドステートメモリが使用される。コンピュータがシャットダウンした場合、ランダムアクセスメモリへの電力供給は、オフに切り換えられ、ランダムアクセスメモリは、動作中に記憶していたすべてのデータを短時間のうちに解放する。電源投入後、すべての必要なデータは、ランダムアクセスメモリに再びロードしなければならない。こうした特性があるため、動作中にユーザによってシステムに入力されたすべてのセキュリティ関連データは、コンピュータが手順に従ってシャットダウンされたか、または、例えば電源異常によって手順に従わずシャットダウンされたかには関係なく、シャットダウン後、一定の時間のうちに失われる。

不揮発性ソリッドステートランダムアクセスメモリ（ＮＶ−ＲＡＭ）は、キャッシュメモリ、メインメモリ、および仮想メモリなど、今日使用されている異なる種類のコンピュータストレージのすべてに将来的には取って代わることが期待されるほどの多用途性をもっている。

不揮発性メモリは、システムが、オフに切り換えられた時とまったく同じ状態に戻ることを可能にする。したがって、「ブート」プロセスを実行する必要がない。電源オンに再び切り換えられた後、システムは、オフに切り換えられる前に有していたのと同じ状態にあり、直ちに利用可能である。この特徴を言い表す当技術分野における技術用語は、「瞬時オン」である。こうした特徴があるため、例えば、パスワード、銀行口座またはクレジットカード情報、インターネット証明書、およびハードディスク暗号解除コードなどの、セキュリティ関連データに対しては、特別な配慮が必要である。データが悪者の手に渡ることを防止するメカニズムが必要である。したがって、システムがオフに切り換えられた場合はいつでも、セキュリティコードを含むすべてのデータがまだメモリ内にある間は、データが悪用できないように保証しなければならない。すべての極めて重要なアクセスコードに対するアクセス可能性は、そのようなアクセスコードが権限のないユーザによって再構成されないように管理されなければならない。

いくつかの異なるＮＶ−ＲＡＭ技術は、現在使用されているＳＤＲＡＭ、ＤＲＡＭ、ＮＡＮＤフラッシュおよびＮＯＲフラッシュ、光ディスクおよびハードディスクベースのストレージの後継になるための有望な結果を示している。それにもかかわらず、セキュリティ問題は、これらの技術のすべてに付いて回る。

揮発性ランダムアクセスメモリであっても、同様の問題が生じる。一見すると、揮発性ランダムアクセスメモリは、電力が失われると直ちに消去されるように思えるが、揮発性ランダムアクセスメモリの内容が失われるまでに要する時間は、メモリによっては室温であっても多くの秒数になることがあり得る。メモリがマザーボードから取り外された場合も、これと同様である。一時的にオフに切り換えられたメモリのランダムアクセスメモリ内容にアクセスして、これを回復するための技法を開示している文献が存在する（例えば、非特許文献１参照）。このことは、ラップトップコンピュータなどが動作中またはサスペンドモード中に盗難にあった場合に特に問題となる。その場合、すべてのセキュリティ関連情報は、短い時間のうちであれば、高い成功率で、盗まれたコンピュータから取り外されたメモリから読み出すことができる。

ここに述べたセキュリティ上の課題に対処するために、きめ細かなプログラムが書かれており、もちろん将来もそうあるべきであり、そうなるであろう。しかし、ハードウェア自体が、ソフトウェアまたは論理手段から実際に完全に独立した何らかのセキュリティメカニズムを実施すれば、紛れもなくデータセキュリティの明らかな改善となる。

セキュリティ関連情報は、メモリ上に分散して、ランダムアクセスメモリ内のどこかに記憶される。その結果、セキュリティ関連情報を含むいくつかのメモリ領域が存在することが知られている。これらの領域のアドレス、いわゆるメモリ内のロケーションは、通常は知られていない。セキュリティ関連情報は、ブートプロセスに応じて、またログイン後、例えばインターネット証明書などの情報が最初にユーザによって使用された時刻、およびユーザがその前に実行したオペレーションに応じて、適宜分散が行われる。同様の問題は、他のソリッドステートメモリでも生じる。

J. Alex Halderman et. al., "Lest We Remember: Cold Boot Attacks on Encryption Keys", Proc. of 2008 USENIX Security Symposium, p. 45-50

本発明の目的は、ソリッドステートメモリ内のセキュリティ関連データを操作して、そのようなデータを権限のないアクセスから保護することである。

本発明によれば、ソリッドステートメモリは、特定のアドレスに、秘匿情報を保存するための少なくとも１つの特定の領域を有する。ソリッドステートメモリは、スタートアップ時に特定のメモリ領域を削除するためのセキュリティ要素を含む。セキュリティ要素は、例えば、電源に直接的に接続されるピンとして実現される。好ましくは、チップ全体の電力供給を切断せずに、または、チップを物理的に破壊せずに、セキュリティ要素の電力接続が切断しないように、ピンはチップ上で電源ピンに接続される。電源がオンになった瞬間に、活動化電圧がピンに印加され、消去プロセスが開始される。別のソリューションでは、専用回路は、電源投入を検出して秘匿情報を記憶するための特定の領域を消去するソリッドステートメモリ内に実装される。第３のソリューションは、特定のメモリ領域を削除するためのソフトウェアを使用する。この場合、ソフトウェアは、外部から操作できないよう保証されなければならない。特定のメモリ領域を削除することは、例えば、リセット値またはランダム値をメモリに書き込むことにより実現される。この技術分野で知られている各データ消去プロセスは使用可能である。スタートアップ時に特定のメモリ領域から秘匿情報を削除することは、秘匿情報が記憶されうるメモリ領域が、その領域がユーザにアクセス可能になる前に、消去されるという利点がある。このプロセスはまた、不適正なシステムシャットダウンをした場合、例えば、電力供給が中断するために、高いセキュリティを提供する。コンピュータが手順に従ったシャットダウンをした場合に、秘匿情報を削除することにより、このセキュリティの影響を及ぼす範囲を提供しないが、それは、システムは手順に従わずにオフに切り換わることがあり、その場合はシャットダウンプロセスが適正に完了せず、したがって関連データを削除することができないから、または、メモリが動作中にコンピュータから取り外される場合だからである。コンピュータがサスペンドモード中に盗難にあった場合は特に、権限のない人物がメモリにアクセスする前に、秘匿データが消去されることが保証される。代替的または追加的に、削除プロセスは、電源オフ時に前もって実行される。したがって、セキュリティ要素は、ソリッドステートメモリの特定のメモリ領域の削除を実行する。メモリが手順に従わずにシャットダウンされた場合、または、動作中にマザーボードから取り外された場合、少なくとも削除プロセスを実行するだけの電源は、確保されなければならない。これは、例えば、容量性エネルギー蓄積または他の任意のエネルギー蓄積により実現され、そのようなエネルギー蓄積は、メモリチップ上に実現され、メモリを破壊せずに、遮断されること、またはメモリから取り外すことはできない。

ソリッドステートメモリの特定のメモリ領域が、セキュリティ関連データを記憶するためのものであると有利である。セキュリティ関連データは、例えば、パスワード、銀行口座またはクレジットカード情報、インターネット証明書、ハードディスク暗号解除コード、およびユーザの何らかのプライバシーに係わるすべての情報である。そのようなデータには、データセキュリティが特に重要である。

好ましくは、セキュリティ関連データは、さらなるセキュリティ関連データが記憶されたメモリアドレスを指し示す。したがって、セキュリティ関連データを記憶するための特定の領域に、メモリアドレスが記憶される。そのため、これらのメモリアドレスは、記憶媒体を操作するためのデータであり、ユーザのプライバシーデータではない。これらのメモリアドレスは、ユーザの本当のセキュリティ関連データが記憶されたメモリの領域を識別する。そのため、メモリアドレスを削除することにより、セキュリティ関連ユーザデータを識別することがもはやできなくなる。その場合、セキュリティ関連データは、実際にはメモリ内のどこかに分散されているが、特定のロケーションがメモリ内のどこであるかについてのヒントを入手することはできない。これにより、これらのデータのセキュリティが向上する。さらなる改良では、最初に、アドレスによって識別されたメモリ領域が削除され、その後、セキュリティ関連データを記憶するための特定のメモリ領域内に記憶されたアドレス自体が削除される。これにより、メモリ全体をスキャンしたとしても、セキュリティ関連データを読み出すことはできなくなり、加えて、これらのデータが過去に記憶されていたロケーションはメモリ全体に分散するので、セキュリティレベルがさらに向上する。以前に消去されたデータを読み出すための技法は、不利になる。

セキュリティ要素は、スタートアップ時に特定のメモリ領域内にデータが記憶されているかどうかをチェックするためのものであると有利である。スタートアップ時にセキュリティ関連データが検出された場合、データが削除される。これは、セキュリティ関連データが記憶されたメモリ領域へのリンクを削除することにより、もしくはデータ自体を削除することにより、または、その両方により行われる。これは、メモリ領域内に実際にセキュリティ関連データが記憶されている場合にこれらの領域を削除しさえすればよいという利点を有し、削除とは、実際にはこれらの領域に何らかのランダムな数を再書き込みすることを意味する。これらの領域がどのような情報も含んでおらず、未使用であるか、またはランダムな数を含むような場合には、削除ステップは、実行する必要がない。これにより、処理時間が節約され、また不必要な削除または再書き込みプロセスによりメモリを消耗させることがない。

好ましくは、スタートアップ時に特定のメモリ領域を削除するための特定のオンボード回路が、ソリッドステートメモリ内に含まれる。これは、メモリとオンボード回路として実現される削除手段とが物理的に結合されるという利点を有する。電源オン前に削除回路をメモリから分離することは可能でなく、したがって、そのような方法でセキュリティメカニズムをバイパスすることは可能でない。

削除プロセスが完了する前に特定のメモリ領域にアクセスすることを抑制するための動作を装置が実行すると有利である。これにより、セキュリティレベルがさらに向上する。削除プロセスでは、メモリ領域が完全に削除される前に、少なくともいくらかのセキュリティ関連データが読み出されることがあるが、そのような削除プロセスと並行する、セキュリティデータを含むメモリ領域への権限のないアクセスが、したがって抑制される。

メモリが不揮発性ソリッドステートメモリであると有利である。上で説明した問題は、長時間にわたってメモリに電力が供給されない場合でもメモリが記憶内容を失わない場合に特に発生する。これらの種類のメモリは、例えば、不揮発性ソリッドステートメモリである。したがって、そのようなメモリにおいて上で説明したセキュリティ要素を実装すると有利である。しかし、上で説明したように、電源オフ後も一定の時間のうちは内容が記憶される揮発性メモリも、同じ問題を抱えており、権限のない人物による秘匿データの読み出しが可能である。

本発明によれば、上で説明したソリッドステートメモリを含み、そのソリッドステートメモリを動作させるためのそれぞれの方法を実行する、コンピュータシステムが提案される。

より良い理解のため、今から本発明を、以下の説明において図面を参照しながらより詳細に説明する。本発明がこれらの例示的な実施形態に限定されないこと、また本発明の範囲から逸脱することなく、指定された特徴は適宜組み合わせること、および／または変更することもできることが理解されよう。

本発明による、データセキュリティが向上したソリッドステートメモリを示す図である。 本発明による、データセキュリティが向上したソリッドステートメモリを動作させるための方法示す図である。

図１は、アドレス空間Ａｄｒ１、Ａｄｒ２、Ａｄｒ３、Ａｄｒ４、Ａｄｒ５に、データＤａｔａ１、Ｄａｔａ２、Ｄａｔａ３、Ｄａｔａ４、Ｄａｔａ５を記憶するためのレジスタを含むソリッドステートメモリ２を示している。メモリのレジスタへのアクセスは、ＩＯポート１６を介して可能である。ソリッドステートメモリ２は、メモリ２のスタートアップ時に自動的に活動化するセキュリティ要素６を含む。この活動化は、セキュリティ要素６をメモリの電源ピン１２に電気的に接続することにより実行される。セキュリティ要素６は、メモリを破壊せずに、上記要素と電源との接続を阻止することができないように、メモリの電力供給用のピン１２に接続される。セキュリティ要素６は、スタートアップ時に特定のメモリ領域４内にデータＤａｔａ１、Ｄａｔａ２、Ｄａｔａ３が記憶されているかどうかをチェックするためのものである。これらの特定のメモリ領域４は、セキュリティ関連情報を記憶するためのものであり、アドレス空間内のアドレスＡｄｒ１、Ａｄｒ２、Ａｄｒ３により定義される。セキュリティ関連情報は、例えば、パスワード、銀行口座またはクレジットカード情報、インターネット証明書、ハードディスク暗号解除コード、および、ユーザの何らかのプライバシーに関するすべての情報である。セキュリティ関連情報はまた、アドレスポインタＤａｔａ２、Ｄａｔａ３でもあり、それらのアドレスポインタは、この種類の情報Ｄａｔａ４、Ｄａｔａ５が記憶される他のメモリアドレスＡｄｒ４、Ａｄｒ５を指し示している。スタートアップ時に、これらの領域４内にデータＤａｔａ１、Ｄａｔａ２、Ｄａｔａ３が記憶されている場合、特定のオンボード回路は通知される。オンボード回路８は、特定のメモリ領域４を削除する。データＤａｔａ２、Ｄａｔａ３が、メモリ内のアドレスＡｄｒ４、Ａｄｒ５を指し示している場合、ここではセキュリティ関連データＤａｔａ４、Ｄａｔａ５が記憶されており、オンボード回路８はまた、これらのデータＤａｔａ４、Ｄａｔａ５も削除する。抑制手段１０は、オンボード回路８によって活動化され、削除プロセスが終了するまで、ＩＯポート１６のピン１４を介してアクセスされることからメモリを保護する。これは、割り込みライン１８により実現され、割り込みライン１８は、抑制手段１０に直接的に接続され、メモリを破壊せずに、物理的に切断できない。例えば、このラインは、アクティブ時には、ピン１４を介してデータを転送できない低い抵抗を適用し、非アクティブ時には、ピン１４がソリッドステートメモリ２から通常通りＩＯポート１６を介してデータを転送するように、高い抵抗を適用する。ソリッドステートメモリ２は、電源オフ時にセキュリティ関連データを削除するのに十分な電源を提供するためのエネルギー蓄積３２を任意選択的に含む。例えば、動作中にソリッドステートメモリ２をマザーボードから取り外すことにより生じる突然の電源切断の場合に、エネルギー蓄積３２は、セキュリティ関連情報の削除プロセスのための電力供給を確保する。したがって、セキュリティ要素６は、電源オフ時にも任意選択的に活動化され、セキュリティ関連データの削除プロセスは、エネルギー蓄積３２の電力を使用して、高い信頼性で実現される。エネルギー蓄積は、メモリ全体を破壊せずに外せない態様で、メモリストレージ２上で実現される。

図２によれば、セキュリティが向上したソリッドステートメモリ２を動作させるための方法が説明される。ステップ２０において、ソリッドステートメモリ２の供給電圧がオンにされた瞬間に、セキュリティ要素６は通知される。ステップ２２において、抑制手段１０は、セキュリティ関連データを記憶するための特定のメモリ領域４へのアクセス可能性を抑制する。あるいは、ステップ２２において、メモリ２全体へのアクセス可能性が抑制される。次に、ステップ２４において、データＤａｔａ１、Ｄａｔａ２、Ｄａｔａ３が特定のメモリ領域４内に記憶されているかどうかがチェックされる。データＤａｔａ１、Ｄａｔａ２、Ｄａｔａ３がこれらのメモリ領域４内に検出された場合、ステップ２６において、データＤａｔａ１、Ｄａｔａ２、Ｄａｔａ３が削除される。検出されたデータＤａｔａ２、Ｄａｔａ３がアドレスデータＡｄｒ４、Ａｄｒ５である場合、これらのアドレスＡｄｒ４、Ａｄｒ５に記憶されたデータＤａｔａ４、Ｄａｔａ５も削除される。データＤａｔａ１、Ｄａｔａ２、Ｄａｔａ３を削除することは、メモリをその初期状態に設定し直すこと、または、ランダムな、それゆえ役に立たないデータをメモリに少なくとも１回書き込むことを意味する。ランダムなデータをメモリに複数回連続して書き込むことにより、セキュリティレベルがさらに向上する。データＤａｔａ１、Ｄａｔａ２、Ｄａｔａ３が削除された後、ステップ２８において、ＩＯポート１６を介したメモリへのアクセスが許可される。特定のメモリ領域４内でデータが識別されない場合、ステップ２８において、ＩＯポート１６を介したメモリへのアクセスが許可される。

Claims (13)

1. 秘匿情報（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３、Ｄａｔａ４、Ｄａｔａ５）を記憶するための少なくとも１つの領域を有するソリッドステートメモリ（２）であって、前記秘匿情報（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３）は、前記ソリッドステートメモリ（２）の特定のアドレス（Ａｄｒ１、Ａｄｒ２、Ａｄｒ３、Ａｄｒ４、Ａｄｒ５）にある特定の領域（４）内に記憶され、前記ソリッドステートメモリ（２）は、スタートアップ時および／または電源オフ時に前記特定のメモリ領域（４）の内容を削除するためのセキュリティ要素（６）を含むことを特徴とするソリッドステートメモリ（２）。
2. 前記特定のメモリ領域（４）は、セキュリティ関連データ（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３）を記憶するためのメモリ領域であることを特徴とする請求項１に記載のソリッドステートメモリ（２）。
3. 前記セキュリティ関連データ（Ｄａｔａ２、Ｄａｔａ３）は、さらなるセキュリティ関連データ（Ｄａｔａ４、Ｄａｔａ５）が記憶されたメモリアドレス（Ａｄｒ４、Ａｄｒ５）を指し示すことを特徴とする請求項２に記載のソリッドステートメモリ（２）。
4. 前記セキュリティ要素（６）は、スタートアップ時にデータ（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３）が前記特定のメモリ領域（４）内に記憶されているかどうかのチェック（１６）を実行し、前記チェックが肯定的である場合、前記データ（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３）を削除（１８）するために提供されることを特徴とする請求項１から３の一項に記載のソリッドステートメモリ（２）。
5. 前記ソリッドステートメモリ（２）は、スタートアップ時に前記特定のメモリ領域（４）の前記内容（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３）を削除（１８）するための特定のオンボード回路（８）を含むことを特徴とする請求項１から４の一項に記載のソリッドステートメモリ（２）。
6. 前記ソリッドステートメモリ（２）は、前記削除（１８）プロセスが完了する前に、前記特定のメモリ領域（４）へのアクセス可能性を抑制するための抑制手段（１０）をさらに含むことを特徴とする請求項１から５の一項に記載のソリッドステートメモリ（２）。
7. 前記メモリ（２）は、不揮発性ソリッドステートメモリであることを特徴とする請求項１から６の一項に記載のソリッドステートメモリ（２）。
8. ソリッドステートメモリ（２）を動作させるための方法であって、前記ソリッドステートメモリ（２）は、秘匿情報（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３）を記憶するための特定の領域（４）を有し、前記方法が、
   スタートアップ時に前記特定のメモリ領域（４）の前記内容を削除（１８）するステップ
   を含むことを特徴とする方法。
9. 前記特定のメモリ領域（４）は、セキュリティ関連データ（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３）を記憶するためのメモリ領域であることを特徴とする請求項８に記載の方法。
10. 前記セキュリティ関連データ（Ｄａｔａ２、Ｄａｔａ３）は、さらなるセキュリティ関連データ（Ｄａｔａ４、Ｄａｔａ５）が記憶されたメモリアドレス（Ａｄｒ４、Ａｄｒ５）を指し示すことを特徴とする請求項９に記載の方法。
11. スタートアップ時にデータ（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３）が前記特定のメモリ領域（４）内に記憶されているかどうかをチェックするステップ（１６）と、
    前記チェックステップ（１６）が肯定的結果を有する場合、前記データ（Ｄａｔａ１、Ｄａｔａ２、Ｄａｔａ３）を削除（１８）するステップと、
    前記削除プロセス（１６）が完了するまで、前記特定のメモリ領域へのアクセス可能性を抑制するステップ（１４）と
    をさらに含むことを特徴とする請求項８から１０の一項に記載の方法。
12. 前記削除ステップが、
    前記特定のメモリアドレス（Ａｄｒ２、Ａｄｒ３）内の前記識別されたデータ（Ｄａｔａ２、Ｄａｔａ３）が、セキュリティ関連データ（Ｄａｔａ４、Ｄａｔａ５）が記憶されたメモリアドレス（Ａｄｒ４、Ａｄｒ５）を指し示すアドレスデータである場合、前記メモリアドレス（Ａｄｒ４、Ａｄｒ５）に記憶された前記データ（Ｄａｔａ４、Ｄａｔａ５）を削除するステップ（１６）
    をさらに含むことを特徴とする請求項１１に記載の方法。
13. 請求項１から７の一項によるソリッドステートメモリ（２）を含む、または、請求項８から１２の一項による方法を実行することを特徴とするコンピュータシステム。

Images