JP2016513840A - データセキュリティを保護するための方法、サーバ、ホスト、およびシステム - Google Patents

Abstract

本発明は、データセキュリティを保護するための方法、サーバ、ホスト、およびシステムを開示する。サーバは、サーバに一意に対応するクラウド特徴値を生成し、ホストにより必要とされるデータ暗号化キーをバインドしてデータ暗号化キー暗号文を生成し、次いで、データ暗号化キー暗号文およびクラウド特徴値をホストに送信する。ホストは、クラウド特徴値を使用することにより暗号文を復号してユーザに割り当てられるデータ暗号化キーを取得する。したがって、ユーザデータへのセキュリティ保護が、クラウド特徴値に基づいて実施され、それにより、データセキュリティを改善する。

Description

本発明は、データ処理の分野に関し、詳細には、データセキュリティを保護するための方法、サーバ、ホスト、およびシステムに関する。

クラウドコンピューティングは、コンピューティングモデルにおける重要なイノベーションである。様々な相互接続されたコンピューティングリソースを効率的に一体化すること、ならびにマルチレイヤ化した仮想化および抽象化を実装することにより、クラウドコンピューティングは、ユーザに大規模コンピューティングリソースを、信頼性が高いサービスの形で効率的に提供し、それにより、複雑な底層ハードウェアロジックのユーザ、ソフトウェアスタック、およびネットワークプロトコルを救済する。

データをクラウド環境にホスティングした後、クラウドユーザは、クラウド環境に配置されたデータに、実際の制御権を有さない。したがって、クラウド暗号化プロバイダは、クラウド環境でデータセキュリティを保護する必要がある。いくつかのクラウド暗号化プロバイダは、Webプロキシサーバを使用してデータ送信の経路上のデータを暗号化する。いくつかのクラウド暗号化プロバイダは、プラットフォーム上で実行されるアプリケーションプログラムを暗号化する。また、いくつかの他のクラウド暗号化プロバイダは、暗号化されたクラウドメモリまたは暗号化サービス中のデータに焦点を当てる。

データセキュリティ保護を実装するプロセスでは、セキュリティ保護は、通常、キーの使用により、データに実施される。いくつかのクラウド暗号化プロバイダは、データのものと同じクラウド環境にキーを保存する。いくつかのクラウド暗号化プロバイダは、サードパーティにキーを外部委託する。またいくつかの他のクラウド暗号化プロバイダは、クラウドユーザにクラウドユーザ自体がキーを管理するように依頼する。

しかし、従来技術は、少なくとも以下の問題を有する。すなわち、クラウドユーザのためにクラウド暗号化プロバイダにより提供されるキーのセキュリティは、確保することができない。したがって、暗号化のためにキーに依拠するクラウド環境中のデータは、送信および使用のプロセス期間に、復号され漏洩される可能性がある。

本発明の実施形態は、クラウド環境でデータの安全な送信を確保するように、データセキュリティを保護するための方法、サーバ、ホスト、およびシステムを提供する。

上記の目的を達成するため、本発明の実施形態は、以下の技術的解決策を採択する。

第1の態様では、本発明の実施形態は、
クラウド特徴値を生成するように構成されるハードウェアパスワードモジュールであって、クラウド特徴値がサーバに一意に対応し、クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得するハードウェアパスワードモジュールと、
ハードウェアパスワードモジュールを制御してクラウド特徴値を生成するように構成されるクラウド特徴値管理モジュールと、
サーバにより管理されるすべてのホストにクラウド特徴値を移動するように構成されるクラウド特徴値移動モジュールと、
各ホストによりサービスされるユーザにデータ暗号化キーを割り当て、対応するホストにデータ暗号化キー暗号文を送信するように構成されるキー管理モジュールと
を含むサーバを提供する。

第1の態様を参照して、第1の可能な実装様式では、キー管理モジュールは、さらに、データ暗号化キー暗号文を対応するユーザ機器に送信するように構成される、
または、データ暗号化キー暗号文を磁気ディスク暗号化プロキシデバイスに送信するように構成される。

第1の態様または第1の態様の第1の可能な実装様式を参照して、第2の可能な実装様式では、ハードウェアパスワードモジュールは、信頼できるプラットフォームモジュール(trusted platform module)TPM、または信頼できる暗号化モジュール(trusted cryptography module)TCMである。

第2の態様では、本発明の実施形態は、
クラウド特徴値を取得するように構成されるクラウド特徴値移動モジュールであって、クラウド特徴値がホストを管理するサーバに一意に対応する、クラウド特徴値移動モジュールと、
データ暗号化キー暗号文を取得し、クラウド特徴値に従ってデータ暗号化キー暗号文をアンバインドしてデータ暗号化キーを取得するように構成されるハードウェアパスワードモジュールであって、データ暗号化キーは、ホストによりサービスされるユーザにサーバによって割り当てられるデータ暗号化キーである、ハードウェアパスワードモジュールと、
データ暗号化キーに従って、ホストにより管理されるユーザデータを暗号化および復号するように構成されるデータ暗号化および復号モジュールと
を含むホストを提供する。

第2の態様を参照して、第1の可能な実装様式では、ハードウェアパスワードモジュールは、クラウド特徴値およびデータ暗号化キー暗号文を記憶するようにさらに構成される。

第2の態様の第1の可能な実装様式を参照して、第2の可能な実装様式では、ハードウェアパスワードモジュールは、具体的に、ホストを管理するサーバからデータ暗号化キー暗号文を直接取得するように構成される、
または、ユーザ機器により送信されるデータ暗号化キー暗号文を受信するように構成される、
または、磁気ディスク暗号化プロキシデバイスにより送信されるデータ暗号化キー暗号文を受信するように構成される。

第2の態様の第2の可能な実装様式を参照して、第3の可能な実装様式では、ハードウェアパスワードモジュールは、信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMである。

第3の態様では、本発明の実施形態は、
サーバによって、クラウド特徴値を生成して、サーバによって管理されるすべてのホストにクラウド特徴値を移動するステップであって、クラウド特徴値がサーバに一意に対応する、ステップと、
サーバによって、各ホストによりサービスされるユーザにデータ暗号化キーを割り当てるステップと、
サーバによって、クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得し、データ暗号化キー暗号文を対応するホストに送信するステップと
を含む、データセキュリティを保護するための方法を提供する。

第3の態様を参照して、第1の可能な実装様式では、対応するホストにデータ暗号化キー暗号文を送信するステップが、
対応するホストにデータ暗号化キー暗号文を直接送信するステップ、
または、対応するユーザ機器にデータ暗号化キー暗号文を直接送信し、次いで、ユーザ機器を使用することにより、ユーザ機器をサービスするホストにデータ暗号化キー暗号文を送信するステップ、
または、磁気ディスク暗号化プロキシデバイスにデータ暗号化キー暗号文を送信し、次いで、磁気ディスク暗号化プロキシデバイスを使用することにより、ホストにデータ暗号化キー暗号文を送信するステップ
を含む。

第3の態様の第2の可能な実装様式を参照して、第3の可能な実装様式では、サーバによって、クラウド特徴値を生成するステップが、
サーバによって、サーバ内部のハードウェアパスワードモジュール中に記憶されるストレージルートキーに従ってクラウド特徴値を生成するステップであって、ハードウェアパスワードモジュールが信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMであるステップ
を含む。

第3の態様を参照して、第4の可能な実装様式では、サーバによって、クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得するステップが、
サーバによって、サーバのプラットフォーム構成情報であるクラウド特徴値を設定するステップと、
サーバによって、プラットフォーム構成情報に従って各データ暗号化キーを暗号化し、データ暗号化キー暗号文を取得するステップと
を含む。

第3の態様または第3の態様の上記の4つの可能な実装様式を参照して、クラウド特徴値は、移動可能なキーである。

第4の態様では、本発明の実施形態は、
ホストによって、クラウド特徴値およびデータ暗号化キー暗号文を取得するステップであって、クラウド特徴値がホストを管理するサーバに一意に対応する、ステップと、
ホストによって、クラウド特徴値に従ってデータ暗号化キー暗号文をアンバインドしてデータ暗号化キーを取得するステップであって、データ暗号化キーがホストによりサービスされるユーザにサーバによって割り当てられるデータ暗号化キーである、ステップと、
ホストによって、データ暗号化キーに従って、ホストにより管理されるユーザデータを暗号化および復号するステップと
を含む、データセキュリティを保護するための方法を提供する。

第4の態様を参照して、第1の可能な実装様式では、ホストによってクラウド特徴値を取得するステップは、
ホストによって、ホストを管理するサーバによりホストに移動されたクラウド特徴値を受信するステップ
を含む。

第4の態様を参照して、第2の可能な実装様式では、ホストによってデータ暗号化キー暗号文を取得するステップは、
ホストを管理するサーバからデータ暗号化キー暗号文を直接取得するステップ、
または、ユーザ機器により送信されるデータ暗号化キー暗号文を受信するステップ、
または、磁気ディスク暗号化プロキシデバイスにより送信されるデータ暗号化キー暗号文を受信するステップ
を含む。

第4の態様または第4の態様の上記の2つの可能な実装様式を参照して、第3の可能な実装様式では、ホストによって、クラウド特徴値に従ってデータ暗号化キー暗号文をアンバインドするステップが、
ホストのプラットフォーム構成情報であるクラウド特徴値を設定するステップと、
プラットフォーム構成情報に従って、データ暗号化キー暗号文を復号するステップと
を含む。

第4の態様または第4の態様の上記の3つの可能な実装様式を参照して、第3の可能な実装様式では、ホストによって、クラウド特徴値およびデータ暗号化キー暗号文を取得するステップの後に、方法が
クラウド特徴値およびデータ暗号化キー暗号文をホスト内部のハードウェアパスワードモジュール中に記憶するステップであって、ハードウェアパスワードモジュールが信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMであるステップ
をさらに含む。

第5の態様では、本発明の実施形態は、
クラウド特徴値を生成し、サーバにより管理されるすべてのホストにクラウド特徴値を移動するように構成されるサーバであって、クラウド特徴値がサーバに一意に対応し、各ホストによりサービスされるユーザにデータ暗号化キーを割り当て、クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得し、対応するホストにデータ暗号化キー暗号文を送信する、サーバと、
クラウド特徴値およびデータ暗号化キー暗号文を取得するように構成されるホストであって、クラウド特徴値に従ってデータ暗号化キー暗号文をアンバインドしてデータ暗号化キーを取得し、データ暗号化キーに従って、ホストにより管理されるユーザデータを暗号化および復号する、ホストと
を含む、データセキュリティを保護するためのシステムを提供する。

本発明の実施形態により提供されるデータセキュリティを保護するための方法、サーバ、ホスト、およびシステムによれば、サーバは、サーバに一意に対応するクラウド特徴値を生成し、ホストにより必要とされるデータ暗号化キーを一緒にバインドしてデータ暗号化キー暗号文を生成し、次いで、データ暗号化キー暗号文およびクラウド特徴値をホストに送信する。ホストは、クラウド特徴値を使用することにより暗号文を復号してユーザに割り当てられるデータ暗号化キーを取得する。したがって、ユーザデータへのセキュリティ保護が、クラウド特徴値に基づいて実施される。暗号化されたデータが別のデータ環境に漏洩される場合、対応するクラウド特徴値が存在しないので、データ暗号化キーは、実際のデータを取得するため復号することができず、それによって、データセキュリティを著しく改善する。

本発明の実施形態、または従来技術の技術的な解決策をより明瞭に記載するため、以下では、実施形態または従来技術を記載するために必要な添付図面を簡潔に導入する。明らかに、以降で記載される添付図面は、本発明の、単にいくつかの実施形態である。

本発明の実施形態で提供されるデータセキュリティを保護するための方法のフローチャートである。 本発明の実施形態で提供されるデータ暗号化キーをバインドするための方法のフローチャートである。 本発明の実施形態で提供されるデータセキュリティを保護するための別の方法のフローチャートである。 本発明の実施形態で提供されるデータセキュリティを保護するための別の方法のフローチャートである。 本発明の実施形態で提供されるデータセキュリティを保護するためのシステムの構成物ブロック図である。 本発明の実施形態で提供されるサーバの構成物ブロック図である。 本発明の実施形態で提供されるホストの構成物ブロック図である。 本発明の実施形態で提供される別のサーバの構成物ブロック図である。 本発明の実施形態で提供される別のホストの構成物ブロック図である。

以下は、本発明の実施形態の添付図面を参照して、本発明の実施形態の技術的解決策を明瞭に、完全に記載する。明らかに、記載される実施形態は、本発明の実施形態のすべてではなく、単に部分である。

本発明の実施形態は、クラウドサービスシステムに適用することができる、データセキュリティを保護するための方法を提供する。クラウドサービスシステムは、ユーザデータの記憶および送信を管理するように構成され、サーバおよびいくつかのホストを主に含み、複数のバーチャルマシンが各ホスト上で同時に実行されて、できるだけ多くのユーザにサービスを提供することができる。

図1を参照すると、サーバ側により実装される方法は、以下を含む。

101:クラウド特徴値を生成し、サーバにより管理されるすべてのホストにクラウド特徴値を移動する。

クラウド特徴値は、サーバに一意に対応する。クラウド特徴値を生成するための様式は、サーバ内部のハードウェアパスワードモジュール中に記憶されるストレージルートキーに従ってクラウド特徴値を生成することができ、ハードウェアパスワードモジュールは、信頼できるプラットフォームモジュール(Trusted Platform Module、略してTPM)、または信頼できる暗号化モジュール(Trusted Cryptography Module、略してTCM)である。

ストレージルートキー(Storage Root Key、略してSRK)は、ハードウェアパスワードモジュール内部のパラメータであり、パラメータは、一意であって、ハードウェアパスワードモジュール外部の人またはデバイスにより取得することができないことに留意されたい。プライマリキー(マスタキーとも呼ばれる)として、ストレージルートキーがセキュリティゾーン中に記憶され、セカンダリキーを生成するためのセカンダリキー情報を暗号化するために使用される。このようにして、ルートノードとしてSRKを有する階層型キーツリー構造が形成され、このツリー構造中で、親ノードが子ノードを暗号化および保護する。階層型キーツリー中で、葉ノードは様々なデータ暗号化キーおよびデータ署名を実装するキーである。クラウド特徴値は、SRKを除く、階層型キーツリー中のキーから選択される移動可能キーであり、選択方法は、所定のルールに従って選択する、またはランダムに選択することができる。

実際の実装では、所定の機械操作命令を使用することにより、サーバのオペレータは、TPMまたはTCMなどのハードウェアパスワードモジュールを制御して、キーを生成することができ、この手順は、信頼できるコンピューティンググループ(Trusted Computing Group、略してTCG)の標準化された仕様に従う。

この実施形態では、クラウド特徴値を生成する具体的なステップは、TCGの標準化された仕様に基づき、ハードウェアパスワードモジュールがTPMである例を使用することにより記載され、具体的なステップは、
TPMドライバにより、TPMにTPM_OSAPコマンドを送信するステップであって、コマンドがストレージルートキーの許可情報を運び、TPMにストレージルートキーの使用許可を許可するように要求するため使用されるステップと、TPM許可が許可された後、TPMにTPM_CreateWrapKeyコマンドを送信して移動されるべき新しいキーの作成を要求し、階層型キーツリーから1つの親キーを指定するステップであって、親キーは、移動されるべき新しいキーをカプセル化するために使用されるステップと、この場合に、TPMのRSAエンジンにより、1つの新しいRSAキーを作成し、新しいキーに許可情報を設定し、親キーを使用することにより新しいキーを暗号化するステップと
を含む。この場合、新しく作成されたRSAキーが、クラウド特徴値である。

この実施形態では、クラウド特徴値を移動する具体的なステップは、TCGの標準化された仕様に基づき、ハードウェアパスワードモジュールがTPMである例を使用することにより記載され、具体的なステップは、
サーバのTPMオーナにより、ホストのTPMの移動保護キー公開キーを許可して、許可ブロックを生成するステップであって、許可ブロックは、クラウド特徴値をホストのTPMに移動して移動保護キー公開キーを親キーとして使用することをサーバのTPMが許されることを示すステップと、サーバのTPMユーザにより、許可ブロックを使用することにより移動ブロックを作成するステップであって、移動ブロックが、移動保護キー公開キーを使用することにより暗号化される、移動されるべきキーデータブロックを含むステップと、ホストのTPMにより、移動ブロックを受信して、移動ブロックをホストのTPMにより保護される暗号化ブロックに変換し、キーロードコマンドTPM_Load_Keyを使用することにより移動されたクラウド特徴値をロードするステップと
を含む。

102:データ暗号化キーを各ホストによりサービスされるユーザに割り当てる。

データ暗号化キーを割り当てるための方法は、ユーザの提携情報に従って具体的に設定することができる。たとえば、ただ1つのデータ暗号化キーを、同じ団体と提携したユーザに割り当てることができ、すなわち、同じ団体中のユーザは、同じデータ暗号化キーを使用してデータのアクセスおよび送信をすることができ、これが、データ共有の効果を改善することができる。異なる団体中のユーザについては、情報分離を実装するために異なるデータ暗号化キーを設定することが必要となる。

103:クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得し、データ暗号化キー暗号文を対応するホストに送信する。

バインド方法について、図2に図示される方法手順へ参照をすることができ、方法は、以下を含む。

1031:サーバのプラットフォーム構成情報であるクラウド特徴値を設定する。

本発明は、クラウド環境を他のデータ環境から分離するように、同じサーバにより管理されるクラウド環境としてクラウド特徴値を使用すること、TPMまたはTCMのバインド様式がプラットフォーム構成情報を必要であるとすると、クラウド特徴値がプラットフォーム構成情報として使用され、クラウド環境の識別情報が他のデータ環境の識別情報と異なることを示すことを意図することに留意されたい。

1032:プラットフォーム構成情報に従って各データ暗号化キーを暗号化し、データ暗号化キー暗号文を取得する。

方法手順は、サーバのハードウェアパスワードモジュール中に実装される必要があることに留意されたい。その具体的な暗号化アルゴリズムは、ハードウェアパスワードモジュールの実装様式で変化し、実装様式は、たとえば、TPMを使用することによる実装、またはTCMを使用することによる実装である。しかし、全体的な手順は、TCGにより指示される標準手順を参照して実装することができ、プラットフォーム構成情報は、手順における必須パラメータである。

データ暗号化キー暗号文を対応するホストに送信するステップを実装するための方法は、以下の3つの実装様式における実際の要件に従って実装することができ、3つの実装様式としては、以下が挙げられる。

第1の実装様式:データ暗号化キー暗号文を対応するホストに直接送信する。

この場合、ホストは、データ暗号化キー暗号文を直接記憶する必要がある。

第2の実装様式:データ暗号化キー暗号文を対応するユーザ機器に送信し、ユーザ機器を使用することにより、ユーザ機器をサービスするホストにデータ暗号化キー暗号文を送信する。

ユーザ機器は、USB Keyなどの、暗号化および許可のために使用されるデバイスであってよい。

第3の実装様式:磁気ディスク暗号化プロキシデバイスにデータ暗号化キー暗号文を送信し、磁気ディスク暗号化プロキシデバイスを使用することにより、ホストにデータ暗号化キー暗号文を送信する。

磁気ディスク暗号化プロキシデバイスは、一般的に、サーバ、ホスト、およびユーザ機器を除く、サードパーティ暗号化デバイスであり、特定のデバイスのデータを暗号化するように具体的に構成される。

この実施形態では、サーバに一意に対応するクラウド特徴値はサーバで生成され、ユーザに割り当てられるデータ暗号化キーは、クラウド特徴値を使用することにより暗号化される。したがって、セキュリティ保護は、クラウド特徴値に基づいてすべてのユーザデータに実施される。暗号化されたデータが別のデータ環境に漏洩される場合、対応するクラウド特徴値が存在しないので、データ暗号化キーは、実際のデータを取得するため復号することができず、それによって、データセキュリティを著しく改善する。

図3を参照すると、ホスト側により実装される方法は以下を含む。

201:クラウド特徴値およびデータ暗号化キー暗号文を取得する。

クラウド特徴値がホストを管理するサーバに一意に対応し、具体的な記載については、ステップ101中の関連する記載への参照をすることができる。

この実施形態では、データ暗号化キー暗号文は、一般的に、クラウド特徴値に従うサーバによって、サーバ内部のハードウェアパスワードモジュール中で、ユーザに割り当てられるデータ暗号化キーを暗号化すること(すなわち、バインドすること)の暗号結果である。

ホスト側のクラウド特徴値のセキュリティを確保するため、取得されるクラウド特徴値は、一般的に、ホストのハードウェアパスワードモジュール中に記憶される必要があり、ハードウェアパスワードモジュールが、TPMまたはTCMなどのハードウェアデバイスを含むことに留意されたい。データ暗号化キー暗号文は、ホストのハードウェアパスワードモジュール中またはハードディスク中に記憶することができる。

さらに、ホストによりデータ暗号化キー暗号文を取得するための方法は、実際の要件で変化する場合があることに留意されたい。本発明の実施形態は、以下の3つの様式を提供し、3つの様式としては、以下が挙げられる。

第1の様式:ホストを管理するサーバからデータ暗号化キー暗号文を直接取得する。

この場合、ホストは、データ暗号化キー暗号文を直接記憶する必要がある。

第2の様式:ユーザ機器により送信されるデータ暗号化キー暗号文を受信する。

ユーザ機器は、USB Keyなどの、暗号化および許可のために使用されるデバイスであってよい。

第3の様式:磁気ディスク暗号化プロキシデバイスにより送信されるデータ暗号化キー暗号文を受信する。

磁気ディスク暗号化プロキシデバイスは、一般的に、サーバ、ホスト、およびユーザ機器を除く、サードパーティ暗号化デバイスであり、特定のデバイスのデータを暗号化するように具体的に構成される。

202:クラウド特徴値に従ってデータ暗号化キー暗号文をアンバインドしてデータ暗号化キーを取得する。

ステップ202におけるアンバインドする手順は、ステップ103におけるバインドする手順に対応し、その具体的な実装様式は、ステップ103に記載されるステップを参照して反対の操作を実施することにより実装することができる。具体的には、ステップ202は、ホストのプラットフォーム構成情報であるクラウド特徴値を設定するステップと、プラットフォーム構成情報に従ってデータ暗号化キー暗号文を復号するステップとを含む。

203:データ暗号化キーに従って、ホストにより管理されるユーザデータを暗号化および復号する。

本発明の実施形態では、暗号化される必要があるユーザデータとしては、物理的なハードディスク中に記憶されるユーザデータ、ホスト中の異なるバーチャルマシン間で送信されるユーザデータ、異なるホストの異なるバーチャルマシン間で送信されるユーザデータが挙げられ、復号される必要のあるデータとしては、ホスト内部での使用のためユーザに提供される必要のあるデータが挙げられることに留意されたい。

この実施形態では、サーバに一意に対応し、サーバで生成されるクラウド特徴値、およびデータ暗号化および復号のためのキー暗号文が取得される。暗号文は、クラウド特徴値を使用することにより復号されて、ユーザに割り当てられるデータ暗号化キーを取得する。したがって、セキュリティ保護は、クラウド特徴値に基づいてすべてのユーザデータに実施される。暗号化されたデータが別のデータ環境に漏洩される場合、対応するクラウド特徴値が存在しないので、データ暗号化キーは、実際のデータを取得するため復号することができず、それによって、データセキュリティを著しく改善する。

本発明により提供される技術的な解決策を実装するプロセスの際に、この実施形態がクラウド環境に適用することができる。この場合、サーバは、クラウドサーバとして設定することができる。クラウド環境では、上記の手順の具体的な実装方法について、図4への参照をすることができ、具体的な実装方法は以下を含む。

301:クラウド管理者がクラウドサーバ中のハードウェアパスワードモジュールを制御する操作を実施してクラウド特徴値を初期化し、生成されるクラウド特徴値をクラウド管理サーバに保存する。

クラウド管理者は、周期的にクラウド特徴値をリフレッシュして、データセキュリティを改善することができる。

302:クラウド管理者は、クラウドサーバ中のキー管理モジュールを制御する操作を実施して、データ暗号化キーを生成する。

303:クラウドサーバは、ハードウェアパスワードモジュールおよびクラウド特徴値を使用することによりデータ暗号化キーをバインドし、データ暗号化キー暗号文を生成する。

この場合、ハードウェアパスワードモジュールが利用可能であり、クラウド特徴値が取得されるときにのみ、何らかのデバイスが、データ暗号化キー暗号文をアンバインドして、使用するためのデータ暗号化キーを取得することができる。クラウドコンピューティングインフラストラクチャの据付けおよび配置ステージにおいて、クラウド管理者は、データ暗号化キーを生成する操作を実施し、クラウド特徴値を使用することによりキーを暗号化および保護する。ここで、生成されるキーは、クラウド管理サーバに保存される。データ暗号化キーを、周期的にリフレッシュして、データセキュリティを改善することができる。

新しいホストがクラウドインフラストラクチャに追加されると、クラウド管理サーバは、自動的に、保存されたクラウド特徴値をホストに移動する。移動プロセスのセキュリティを確保するために、TCG標準に指定されたネゴシエーションメカニズムを移動プロセスで使用することができる。

304:クラウドサーバは、共通のキー管理手順に従って、データ暗号化キー暗号文を分配する。

たとえば、サーバは、ユーザのUSB Keyの中にデータ暗号化キー暗号文を分配し、またはホスト内部のバーチャルマシンの磁気ディスク暗号化プロキシの中にデータ暗号化キー暗号文を分配する。

305:ホストは、クラウド特徴値およびデータ暗号化キー暗号文を受信し、クラウド特徴値を使用することによりキーをアンバインドし、次いで、キーを使用することにより、バーチャルマシン中でデータを暗号化および復号する。

データ暗号化機能は、バーチャルマシン中の、磁気ディスク暗号化プロキシまたはファイル暗号化プロキシにより提供することができ、バーチャルマシンマネージャ中の透過的暗号化および復号機能により提供することもできる。透過的暗号化および復号機能がバーチャルマシンマネージャで提供される場合、メモリ中に保存された、またはネットワークに送られたデータはすべて暗号文であり、バーチャルマシンユーザにより使用されるとき、メモリ中のデータはすべてプレーンテキストであることを実装することができる。

実施形態では、サーバは、サーバに一意に対応するクラウド特徴値を生成し、クラウド特徴値を使用することにより、ホストにより必要とされるデータ暗号化キーを一緒にバインドしてデータ暗号化キー暗号文を生成し、次いで、データ暗号化キー暗号文およびクラウド特徴値をホストに送信する。ホストは、クラウド特徴値を使用することにより暗号文を復号してユーザに割り当てられるデータ暗号化キーを取得する。したがって、ユーザデータへのセキュリティ保護が、クラウド特徴値に基づいて実施される。暗号化されたデータが別のデータ環境に漏洩される場合、対応するクラウド特徴値が存在しないので、データ暗号化キーは、実際のデータを取得するため復号することができず、それによって、データセキュリティを著しく改善する。

本発明の別の実施形態は、データセキュリティを保護するためのシステムを提供し、システムは、図5に示されるように、サーバ41および少なくとも1つのホスト42を含む。データセキュリティを保護するためのシステムは、図1から図4に図示されるように、サーバ側およびホスト側にすべての方法手順を実装するように構成することができる。

図6を参照すると、この実施形態で提供されるサーバは、ハードウェアパスワードモジュール411、クラウド特徴値管理モジュール412、クラウド特徴値移動モジュール413、およびキー管理モジュール414を含む。

ハードウェアパスワードモジュール411はクラウド特徴値を生成するように構成され、クラウド特徴値はサーバに一意に対応し、クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得する。

クラウド特徴値管理モジュール412は、ハードウェアパスワードモジュール411を制御してクラウド特徴値を生成するように構成される。

クラウド特徴値移動モジュール413は、サーバにより管理されるすべてのホストにクラウド特徴値を移動するように構成される。

キー管理モジュール414は、各ホストによりサービスされるユーザにデータ暗号化キーを割り当て、対応するホストにデータ暗号化キー暗号文を送信するように構成される。

キー管理モジュール414は、さらに、データ暗号化キー暗号文を対応するユーザ機器に送信するように構成される、または、データ暗号化キー暗号文を磁気ディスク暗号化プロキシデバイスに送信するように構成される。

ハードウェアパスワードモジュール411の機能は、信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMにより実装することができる。

図7を参照すると、この実施形態で提供されるホストは、クラウド特徴値移動モジュール421、ハードウェアパスワードモジュール422、データ暗号化および復号モジュール423を含む。

クラウド特徴値移動モジュール421は、クラウド特徴値を取得するように構成され、クラウド特徴値は、ホストを管理するサーバに一意に対応する。

ハードウェアパスワードモジュール422は、データ暗号化キー暗号文を取得し、クラウド特徴値に従ってデータ暗号化キー暗号文をアンバインドしてデータ暗号化キーを取得するように構成され、データ暗号化キーは、ホストによりサービスされるユーザにサーバによって割り当てられるデータ暗号化キーである。

データ暗号化および復号モジュール423は、データ暗号化キーに従って、ホストにより管理されるユーザデータを暗号化および復号するように構成される。

ハードウェアパスワードモジュール422は、クラウド特徴値およびデータ暗号化キー暗号文を記憶するようにさらに構成される。

ハードウェアパスワードモジュール422は、具体的に、ホストを管理するサーバからデータ暗号化キー暗号文を直接取得するように構成される、または、ユーザ機器により送信されるデータ暗号化キー暗号文を受信するように構成される、または、磁気ディスク暗号化プロキシデバイスにより送信されるデータ暗号化キー暗号文を受信するように構成される。

ハードウェアパスワードモジュール422は、信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMであってよい。

実施形態では、サーバは、サーバに一意に対応するクラウド特徴値を生成し、クラウド特徴値を使用することにより、ホストにより必要とされるデータ暗号化キーを一緒にバインドしてデータ暗号化キー暗号文を生成し、次いで、データ暗号化キー暗号文およびクラウド特徴値をホストに送信する。ホストは、クラウド特徴値を使用することにより暗号文を復号してユーザに割り当てられるデータ暗号化キーを取得する。したがって、ユーザデータへのセキュリティ保護が、クラウド特徴値に基づいて実施される。暗号化されたデータが別のデータ環境に漏洩される場合、対応するクラウド特徴値が存在しないので、データ暗号化キーは、実際のデータを取得するため復号することができず、それによって、データセキュリティを著しく改善する。

本発明の別の実施形態はサーバを提供し、図8に示されるように、サーバは、少なくとも1つの中央処理装置51、メモリ52、およびハードウェアパスワードモジュール53を含む。メモリ52はコードで構成され、中央処理装置51は、メモリ52中のコードを呼び出して、ハードウェアパスワードモジュール53と通信することにより、図1から図5に図示されるように、サーバ側で方法手順を実装することができる。サーバ中のすべてのユニットは、バスを使用することにより通信することができる。

ハードウェアパスワードモジュール53はクラウド特徴値を生成するように構成され、クラウド特徴値はサーバに一意に対応し、クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得する。

中央処理装置51は、ハードウェアパスワードモジュール53を制御してクラウド特徴値を生成し、サーバにより管理されるすべてのホストにクラウド特徴値を移動し、各ホストによりサービスされるユーザにデータ暗号化キーを割り当て、対応するホストにデータ暗号化キー暗号文を送信するように構成される。

メモリ52は、データ暗号化キー暗号文を記憶するようにさらに構成される。

中央処理装置51は、さらに、データ暗号化キー暗号文を対応するユーザ機器に送信するように構成される、または、データ暗号化キー暗号文を磁気ディスク暗号化プロキシデバイスに送信するように構成される。

ハードウェアパスワードモジュール53の機能は、信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMにより実装することができる。

本発明の実施形態はホストをさらに提供し、図9に示されるように、ホストは、少なくとも1つの中央処理装置61、メモリ62、およびハードウェアパスワードモジュール63を含む。メモリ62はコードで構成され、中央処理装置61は、メモリ62中のコードを呼び出して、ハードウェアパスワードモジュール63と通信することにより、図1から図5に図示されるように、ホスト側で方法手順を実装することができる。ホスト中のすべてのユニットは、バスを使用することにより通信することができる。

中央処理装置61は、クラウド特徴値を取得するように構成され、クラウド特徴値は、ホストを管理するサーバに一意に対応し、データ暗号化キーに従って、ホストにより管理されるユーザデータを暗号化および復号する。

ハードウェアパスワードモジュール63は、データ暗号化キー暗号文を取得し、クラウド特徴値に従ってデータ暗号化キー暗号文をアンバインドしてデータ暗号化キーを取得するように構成され、データ暗号化キーは、ホストによりサービスされるユーザにサーバによって割り当てられるデータ暗号化キーである。

ハードウェアパスワードモジュール63は、クラウド特徴値およびデータ暗号化キー暗号文を記憶するようにさらに構成される。

ハードウェアパスワードモジュール63は、具体的に、ホストを管理するサーバからデータ暗号化キー暗号文を直接取得するように構成される、または、ユーザ機器により送信されるデータ暗号化キー暗号文を受信するように構成される、または、磁気ディスク暗号化プロキシデバイスにより送信されるデータ暗号化キー暗号文を受信するように構成される。

実施形態では、サーバは、サーバに一意に対応するクラウド特徴値を生成し、クラウド特徴値を使用することにより、ホストにより必要とされるデータ暗号化キーを一緒にバインドしてデータ暗号化キー暗号文を生成し、次いで、データ暗号化キー暗号文およびクラウド特徴値をホストに送信する。ホストは、クラウド特徴値を使用することにより暗号文を復号してユーザに割り当てられるデータ暗号化キーを取得する。したがって、ユーザデータへのセキュリティ保護が、クラウド特徴値に基づいて実施される。暗号化されたデータが別のデータ環境に漏洩される場合、対応するクラウド特徴値が存在しないので、データ暗号化キーは、実際のデータを取得するため復号することができず、それによって、データセキュリティを著しく改善する。

実装様式の上記の記載によれば、当業者は、本発明が必要な汎用ハードウェアと一緒にソフトウェアを使用することにより実装できることを明確に理解することができる。もちろん、本発明は、ハードウェアを使用することにより実装することもできるが、多くの場合、前者がより良好な実装様式である。そのような理解に基づいて、本質的な本発明の技術的な解決策、または従来技術に対して寄与する部分は、ソフトウェア製品の形で実装することができる。ソフトウェア製品は、コンピュータのフロッピー(登録商標)ディスク、ハードディスク、または光学ディスクなどの可読記憶媒体中に記憶され、本発明の実施形態に記載される方法を実施するため、(パーソナルコンピュータ、サーバ、またはネットワークデバイスであってよい)コンピュータデバイスに命令するためのいくつかの命令を含む。

上記の記載は、単に、本発明の特定の実施形態であるが、本発明の保護範囲を制限する意図はない。本発明に開示される技術的な範囲内の、当業者により容易に理解される変形形態または代替形態は、本発明の保護範囲内に入るものとする。したがって、本発明の保護範囲は、請求項の保護範囲に従うものとする。

41 サーバ
42 ホスト
51 中央処理装置
52 メモリ
53 ハードウェアパスワードモジュール
61 中央処理装置
62 メモリ
63 ハードウェアパスワードモジュール
411 ハードウェアパスワードモジュール
412 クラウド特徴値管理モジュール
413 クラウド特徴値移動モジュール
414 キー管理モジュール
421 クラウド特徴値移動モジュール
422 ハードウェアパスワードモジュール
423 データ暗号化および復号モジュール

第1の態様または第1の態様の第1の可能な実装様式を参照して、第2の可能な実装様式では、ハードウェアパスワードモジュールは、信頼できるプラットフォームモジュール(trusted platform module)(TPM)、または信頼できる暗号化モジュール(trusted cryptography module)(TCM)である。

第2の態様の第2の可能な実装様式を参照して、第3の可能な実装様式では、ハードウェアパスワードモジュールは、信頼できるプラットフォームモジュール(TPM)、または信頼できる暗号化モジュール(TCM)である。

第3の態様の第2の可能な実装様式を参照して、第3の可能な実装様式では、サーバによって、クラウド特徴値を生成するステップが、
サーバによって、サーバ内部のハードウェアパスワードモジュール中に記憶されるストレージルートキーに従ってクラウド特徴値を生成するステップであって、ハードウェアパスワードモジュールが信頼できるプラットフォームモジュール(TPM)、または信頼できる暗号化モジュール(TCM)であるステップ
を含む。

第4の態様または第4の態様の上記の3つの可能な実装様式を参照して、第4の可能な実装様式では、ホストによって、クラウド特徴値およびデータ暗号化キー暗号文を取得するステップの後に、方法が
クラウド特徴値およびデータ暗号化キー暗号文をホスト内部のハードウェアパスワードモジュール中に記憶するステップであって、ハードウェアパスワードモジュールが信頼できるプラットフォームモジュール(TPM)、または信頼できる暗号化モジュール(TCM)であるステップ
をさらに含む。

Claims (18)

1. クラウド特徴値を生成するように構成されるハードウェアパスワードモジュールであって、前記クラウド特徴値がサーバに一意に対応し、前記クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得するハードウェアパスワードモジュールと、
   前記ハードウェアパスワードモジュールを制御して前記クラウド特徴値を生成するように構成されるクラウド特徴値管理モジュールと、
   前記サーバにより管理されるすべてのホストに前記クラウド特徴値を移動するように構成されるクラウド特徴値移動モジュールと、
   各ホストによりサービスされるユーザにデータ暗号化キーを割り当て、対応するホストに前記データ暗号化キー暗号文を送信するように構成されるキー管理モジュールと
   を備える、サーバ。
2. 前記キー管理モジュールが、さらに、前記データ暗号化キー暗号文を対応するユーザ機器に送信するように構成される、
   または、前記データ暗号化キー暗号文を磁気ディスク暗号化プロキシデバイスに送信するように構成される
   請求項1に記載のサーバ。
3. 前記ハードウェアパスワードモジュールが信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMである、請求項1または2に記載のサーバ。
4. クラウド特徴値を取得するように構成されるクラウド特徴値移動モジュールであって、前記クラウド特徴値がホストを管理するサーバに一意に対応する、クラウド特徴値移動モジュールと、
   データ暗号化キー暗号文を取得し、前記クラウド特徴値に従って前記データ暗号化キー暗号文をアンバインドしてデータ暗号化キーを取得するように構成されるハードウェアパスワードモジュールであって、前記データ暗号化キーが、前記ホストによりサービスされるユーザに前記サーバによって割り当てられるデータ暗号化キーである、ハードウェアパスワードモジュールと、
   前記データ暗号化キーに従って、前記ホストにより管理されるユーザデータを暗号化および復号するように構成されるデータ暗号化および復号モジュールと
   を備える、ホスト。
5. 前記ハードウェアパスワードモジュールが、前記クラウド特徴値および前記データ暗号化キー暗号文を記憶するようにさらに構成される、請求項4に記載のホスト。
6. 前記ハードウェアパスワードモジュールが、具体的に、前記ホストを管理する前記サーバから前記データ暗号化キー暗号文を直接取得するように構成される、
   または、ユーザ機器により送信される前記データ暗号化キー暗号文を受信するように構成される、
   または、磁気ディスク暗号化プロキシデバイスにより送信される前記データ暗号化キー暗号文を受信するように構成される
   請求項4に記載のホスト。
7. 前記ハードウェアパスワードモジュールが信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMである、請求項4から6のいずれか一項に記載のホスト。
8. データセキュリティを保護するための方法であって、
   サーバによって、クラウド特徴値を生成して、前記サーバによって管理されるすべてのホストに前記クラウド特徴値を移動するステップであって、前記クラウド特徴値が前記サーバに一意に対応する、ステップと、
   前記サーバによって、前記ホストによりサービスされるユーザにデータ暗号化キーを割り当てるステップと、
   前記サーバによって、前記クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得し、前記データ暗号化キー暗号文を対応するホストに送信するステップと
   を含む、方法。
9. 対応するホストに前記データ暗号化キー暗号文を送信する前記ステップが、
   前記対応するホストに前記データ暗号化キー暗号文を直接送信するステップ、
   または、対応するユーザ機器に前記データ暗号化キー暗号文を送信し、次いで、前記ユーザ機器を使用することにより、前記ユーザ機器をサービスするホストに前記データ暗号化キー暗号文を送信するステップ、
   または、磁気ディスク暗号化プロキシデバイスに前記データ暗号化キー暗号文を送信し、次いで、前記磁気ディスク暗号化プロキシデバイスを使用することにより、前記ホストに前記データ暗号化キー暗号文を送信するステップ
   を含む、請求項8に記載の方法。
10. サーバによって、クラウド特徴値を生成する前記ステップが、
    前記サーバによって、前記サーバ内部のハードウェアパスワードモジュール中に記憶されるストレージルートキーに従って前記クラウド特徴値を生成するステップであって、前記ハードウェアパスワードモジュールが信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMであるステップ
    を含む、請求項8に記載の方法。
11. 前記サーバによって、前記クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得する前記ステップが、
    前記サーバによって、前記サーバのプラットフォーム構成情報である前記クラウド特徴値を設定するステップと、
    前記サーバによって、前記プラットフォーム構成情報に従って各データ暗号化キーを暗号化し、前記データ暗号化キー暗号文を取得するステップと
    を含む、請求項8に記載の方法。
12. 前記クラウド特徴値が移動可能なキーである、請求項8から11のいずれか一項に記載の方法。
13. データセキュリティを保護するための方法であって、
    ホストによって、クラウド特徴値およびデータ暗号化キー暗号文を取得するステップであって、前記クラウド特徴値が前記ホストを管理するサーバに一意に対応する、ステップと、
    前記ホストによって、前記クラウド特徴値に従って前記データ暗号化キー暗号文をアンバインドしてデータ暗号化キーを取得するステップであって、前記データ暗号化キーが、前記ホストによりサービスされるユーザに前記サーバによって割り当てられるデータ暗号化キーである、ステップと、
    前記データ暗号化キーに従って前記ホストによって、前記ホストにより管理されるユーザデータを暗号化および復号するステップと
    を含む、方法。
14. ホストによって、クラウド特徴値を取得する前記ステップが、
    前記ホストによって、前記ホストを管理する前記サーバにより前記ホストに移動された前記クラウド特徴値を受信するステップ
    を含む、請求項13に記載の方法。
15. ホストによって、データ暗号化キー暗号文を取得する前記ステップが、
    前記ホストを管理する前記サーバから前記データ暗号化キー暗号文を直接取得するステップ、
    または、ユーザ機器により送信される前記データ暗号化キー暗号文を受信するステップ、
    または、磁気ディスク暗号化プロキシデバイスにより送信される前記データ暗号化キー暗号文を受信するステップ
    を含む、請求項13に記載の方法。
16. 前記ホストによって、前記クラウド特徴値に従って前記データ暗号化キー暗号文をアンバインドする前記ステップが、
    前記ホストのプラットフォーム構成情報である前記クラウド特徴値を設定するステップと、
    前記プラットフォーム構成情報に従って、前記データ暗号化キー暗号文を復号するステップと
    を含む、請求項13から15のいずれか一項に記載の方法。
17. 前記ホストによって、前記クラウド特徴値を取得する前記ステップの後に、
    前記クラウド特徴値を前記ホスト内部のハードウェアパスワードモジュール中に記憶するステップであって、前記ハードウェアパスワードモジュールが信頼できるプラットフォームモジュールTPM、または信頼できる暗号化モジュールTCMであるステップ
    を含む、請求項16に記載の方法。
18. クラウド特徴値を生成し、サーバにより管理されるすべてのホストに前記クラウド特徴値を移動するように構成されるサーバであって、前記クラウド特徴値が前記サーバに一意に対応し、各ホストによりサービスされるユーザにデータ暗号化キーを割り当て、前記クラウド特徴値に従って各データ暗号化キーをバインドしてデータ暗号化キー暗号文を取得し、対応するホストに前記データ暗号化キー暗号文を送信する、サーバと、
    前記クラウド特徴値および前記データ暗号化キー暗号文を取得するように構成されるホストであって、前記クラウド特徴値に従って前記データ暗号化キー暗号文をアンバインドしてデータ暗号化キーを取得し、前記データ暗号化キーに従って、前記ホストにより管理されるユーザデータを暗号化および復号する、ホストと
    を備える、データセキュリティを保護するためのシステム。

Images