JP2022048601A - ストレージ装置及び鍵配送方法 - Google Patents

ストレージ装置及び鍵配送方法 Download PDF

Info

Publication number
JP2022048601A
JP2022048601A JP2020154498A JP2020154498A JP2022048601A JP 2022048601 A JP2022048601 A JP 2022048601A JP 2020154498 A JP2020154498 A JP 2020154498A JP 2020154498 A JP2020154498 A JP 2020154498A JP 2022048601 A JP2022048601 A JP 2022048601A
Authority
JP
Japan
Prior art keywords
key
host
kis
storage device
storage
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2020154498A
Other languages
English (en)
Inventor
雅博 日下
Masahiro Kusaka
兼一 沼田
Kenichi Numata
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Kioxia Corp
Original Assignee
Kioxia Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Kioxia Corp filed Critical Kioxia Corp
Priority to JP2020154498A priority Critical patent/JP2022048601A/ja
Priority to US17/349,492 priority patent/US11956356B2/en
Publication of JP2022048601A publication Critical patent/JP2022048601A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Abstract

【課題】セキュリティ強度の高いストレージ装置及び鍵配送方法を提供する。【解決手段】ストレージシステムにおいて、ホストから供給されるデータを第１の鍵を用いて暗号化して格納する第１のストレージと、第１の鍵の生成に必要な情報を記憶する鍵管理部を具備し、第１のストレージと鍵管理部は、単一のインターフェースを介してホストと接続され、ホストの公開鍵を保存し、ホストのユーザの署名検証を行い、ホストから入力されるユーザの識別情報を用いて生成された第２の鍵と、鍵管理部で管理される第３の鍵と、ホストから供給される第４の鍵から第１の鍵を生成する。【選択図】図１

Description

本発明の実施形態は、ストレージ装置及び鍵配送方法に関する。
ストレージ装置のセキュリティ機能の一例として、データの暗号化がある。暗号化の態様は、ストレージ装置の外でデータを暗号化してストレージ装置に供給する態様と、ストレージ装置自身がデータを暗号化する態様がある。後者の態様のストレージ装置は、自己暗号化ストレージ装置（Ｓｅｌｆ Ｅｎｃｒｙｐｔｉｎｇ Ｄｅｖｉｃｅ、以下、ＳＥＤ装置と称する）として知られている。自己暗号化ストレージ装置に関する規格の一例として、ＴＣＧ（Ｔｒｕｓｔｅｄ Ｃｏｍｐｕｔｉｎｇ Ｇｒｏｕｐ）により策定されたＯｐａｌがある。
ＳＥＤ装置は、暗号化の鍵を格納しているので、装置自身が盗難された場合、鍵も盗み出され、暗号化データが復号されてしまい、セキュリティ強度の点で問題がある。
米国特許出願公開第２０１９／０２６６１０３号明細書 特表２０１３－５０４８２０号公報 特表２０１０－５２４４１０号公報
本発明の目的は、セキュリティ強度の高いストレージ装置及び鍵配送方法を提供することである。
実施形態によれば、ストレージ装置は、ストレージと鍵管理部を具備する。ストレージは、鍵を用いてデータを暗号化して記憶する。鍵管理部は、鍵の生成に必要な情報を記憶する。
第１実施形態によるストレージ装置の一例を示すブロック図。 第１実施形態による鍵配送方法の一例を示すシーケンス図。 第１実施形態による鍵配送方法の他の例を示すシーケンス図。 ＫＭＳＳ装置にホストの公開鍵を持たせる手法の一例を示すシーケンス図。 ＫＭＳＳ装置にホストの公開鍵を持たせる手法の他の例を示すシーケンス図。 ＫＭＳＳ装置からＫＩＳ装置への鍵配信の一例を示すブロック図。 ＫＭＳＳ装置の動作の一例を示す図。 ＫＭＳＳ装置の鍵配信の一例を示すシーケンス図。 ＫＭＳＳ装置の鍵配信の他の例を示すシーケンス図。 ＫＭＳＳ装置からＫＩＳ装置への鍵通信の他の例を示すブロック図。 ＫＭＳＳ装置の動作の一例を示す図。 ＫＭＳＳ装置の鍵配信の一例を示すシーケンス図。 ＫＭＳＳ装置の鍵配信の他の例を示すシーケンス図。 第２実施形態によるストレージ装置の一例を示すブロック図。 第２実施形態による鍵配送方法の一例を示すシーケンス図。 第２実施形態による改ざん検知の一例を示すシーケンス図。 第２実施形態による改ざん防止の一例を示すシーケンス図。
以下、図面を参照して、実施形態を説明する。以下の説明は、実施形態の技術的思想を具体化するための装置や方法を例示するものであって、実施形態の技術的思想は、以下に説明する構成要素の構造、形状、配置、材質等に限定されるものではない。当業者が容易に想到し得る変形は、当然に開示の範囲に含まれる。説明をより明確にするため、図面において、各要素のサイズ、厚み、平面寸法又は形状等を実際の実施態様に対して変更して模式的に表す場合もある。複数の図面において、互いの寸法の関係や比率が異なる要素が含まれることもある。複数の図面において、対応する要素には同じ参照数字を付して重複する説明を省略する場合もある。いくつかの要素に複数の呼称を付す場合があるが、これら呼称の例はあくまで例示であり、これらの要素に他の呼称を付すことを否定するものではない。また、複数の呼称が付されていない要素についても、他の呼称を付すことを否定するものではない。なお、以下の説明において、「接続」は直接接続のみならず、他の要素を介して接続されることも意味する。
以下、図面を参照しながら本実施の形態について詳細に説明する。
［概要］
先ず、ＳＥＤ装置の概要を説明する。ＳＥＤ装置は、ホストに接続される。ホストは、ＳＥＤ装置にデータを書き込み、ＳＥＤ装置からデータを読み出す。ＳＥＤ装置は、ホストから供給されたユーザデータを、Ｍｅｄｉａ Ｅｎｃｒｙｐｔｉｏｎ Ｋｅｙ（以下、ＭＥＫ鍵と称する）を用いて暗号化する。
ＭＥＫ鍵は、ＳＥＤ装置の正当なユーザのＰｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ（以下、ＰＩＮと称する）から導出される。そのため、ホストがＳＥＤ装置からデータを読み出す際、ホストはユーザへＰＩＮを入力することを要求する。正当なユーザのＰＩＮが入力されると、ＳＥＤ装置はＭＥＫ鍵を導出し、ユーザデータを復号し、ホストはユーザデータを読み出すことができる。しかし、正当なユーザのＰＩＮが入力されないと、ＳＥＤ装置はＭＥＫ鍵を導出できず、ホストはユーザデータを読み出すことができない。
ＭＥＫ鍵はレンジ（ｒａｎｇｅ）毎の鍵である。レンジとはＴＣＧ規格で定義されるデータ領域である。レンジがユーザにより消去されると、ＭＥＫ鍵の値は更新される。
ＳＥＤ装置はＭＥＫ鍵を導出することができるので、ＳＥＤ装置自体が盗難され、正当なユーザのＰＩＮも盗み出されると、ユーザデータが復号され、読み出されてしまう。
この問題は、ＳＥＤ装置がＰＩＮのみからＭＥＫ鍵を導出できないように、外部の鍵管理システムからＳＥＤ装置にＭＥＫ鍵の導出に必要な情報を供給することにより解決できる。ＭＥＫ鍵の導出に必要な情報は、ＭＥＫ鍵の一部であると見做せるので、以下の明細書ではＭＥＫ鍵の一部と称する。外部の鍵管理システムからＭＥＫ鍵の一部が挿入可能なＳＥＤ装置を、Ｋｅｙ Ｉｎｓｅｒｔａｂｌｅ Ｓｔｏｒａｇｅ装置（以下、ＫＩＳ装置と称する）と称する。
ＫＩＳ装置は、データを暗号化するＭＥＫ鍵（以下、ＫＩＳ＿ＭＥＫ鍵と称する）の一部を鍵管理システムに預け、鍵管理システムからＫＩＳ＿ＭＥＫ鍵の一部を貰ってＫＩＳ＿ＭＥＫ鍵を導出する。鍵管理システムにアクセス制限をかけることにより、ＫＩＳ装置が盗難されても、データの読み出しを防ぐことが可能である。
詳しく説明すると、ＰＩＮから導出される鍵をＫＩＳ＿ＭＥＫ１鍵とし、鍵管理システムに預けられる鍵をＫＩＳ＿ＭＥＫ２鍵とする。ＫＩＳ装置は、ＫＩＳ＿ＭＥＫ１鍵およびＫＩＳ＿ＭＥＫ２鍵が装置内部に揃った場合のみ、ＫＩＳ＿ＭＥＫ鍵を導出できる。鍵管理システムへアクセス可能なホストを、クライアント証明書や公開鍵認証などを用いて制限することにより、多要素認証が実現できる。すなわち、鍵管理システムへアクセス可能なホストは、正しいＰＩＮが入力された場合のみ、ＫＩＳ装置に対してデータの読み書きが可能となる。
もし、ＫＩＳ装置が盗難されたとしても、正当なユーザは、鍵管理システム上のＫＩＳ＿ＭＥＫ２鍵を廃棄すれば、ＫＩＳ装置は、ＫＩＳ＿ＭＥＫ鍵を導出することができず、データを実質的に消去でき、データの漏洩を防ぐことができる。ＫＩＳ＿ＭＥＫ２鍵を廃棄することは、ユーザデータの読み出し手段を放棄することと同義である。
ただし、鍵管理システムからＫＩＳ装置へＫＩＳ＿ＭＥＫ２鍵が挿入される過程でＫＩＳ＿ＭＥＫ２鍵が盗聴されてしまうと、多要素認証は実現できない。したがって、ＫＩＳ装置は、鍵監理システムに預けるＫＩＳ＿ＭＥＫ２鍵をさらに別のＫｅｙ Ｅｎｃｒｙｐｔｉｏｎ Ｋｅｙ（以下、ＫＥＫ鍵と称する）で暗号化する。ＫＥＫ鍵は、ＫＩＳ装置毎の鍵である。
ＫＥＫ鍵は、鍵管理システムとＫＩＳ装置の２者で共有される必要がある。ＫＥＫ鍵の信頼性は、ＫＩＳ装置の信頼性の基礎であり、ＫＥＫ鍵が偽造される可能性は排除しなければならない。
このようにＫＩＳ装置は、非ＫＩＳ装置（ＫＩＳ装置以外のＳＥＤ装置）よりセキュリティ強度の向上が期待できる。その理由は、鍵管理システムからＫＩＳ装置へのＭＥＫ鍵の挿入経路を制限することにより、多要素認証が実現できるからである。
ＫＩＳ装置に要求される事項を纏めると、次のようになる。
先ず、ＫＥＫ鍵の安全な共有が必要であることである。ＭＥＫ鍵をＫＥＫ鍵で暗号化して外部の鍵管理システムに預ける場合、鍵管理システムとＫＩＳ装置の間でＫＥＫ鍵の確実な共有が図れない可能性がある。ＫＥＫ鍵を共有するためにさらに別の秘密情報を用いても、この可能性を０にはできない。また、秘密情報を用いない手段として、例えば公開鍵暗号の鍵交換プロトコルを用いる方法があるが、この方法は中間者攻撃に対し脆弱である可能性がある。
次に、信用できる鍵管理システムが必要であることである。ＭＥＫ鍵をＫＩＳ装置外で管理する方式にはいくつか利点があるが、実現するためには、ＫＩＳ装置の他に、鍵管理機能を提供する設備や回線が必要である。ＭＥＫ鍵をＫＩＳ装置外で管理する方式では、外部の鍵管理システムからＭＥＫ鍵の暗号鍵であるＫＥＫ鍵が漏洩しないことが前提である。もし、鍵管理を第三者に委託する場合、その相手の信頼性を信用しなければならない。ＫＩＳ装置のユーザ自身が鍵管理システムを用意すれば、この課題は解決するが、設置費用や運用費用がかかってしまう。
これらの懸念を解消するストレージ装置の実施形態を説明する。
［第１実施形態］
図１は、第１実施形態によるストレージ装置を含むストレージシステム１０の一例を示す。
ストレージシステム１０は、ホスト２０と複数のＫＩＳ装置２４－０、２４－１、…２４－Ｎを備える。複数のＫＩＳ装置２４－０～２４－Ｎの中の少なくとも１つのＫＩＳ装置、ここではＫＩＳ装置２４－０は、鍵管理サーバとしてのＫｅｙ Ｍａｎａｇｅｍｅｎｔ Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ Ｐｒｏｔｏｃｏｌに準拠するサーバ（以下、ＫＭＩＰ準拠サーバと称する）とともに、Ｋｅｙ Ｍａｇｅｇｅｍｅｎｔ Ｓｅｒｖｉｃｅ Ｓｔｏｒａｇｅ装置（以下、ＫＭＳＳ装置と称する）２８を構成する。ＫＩＳ装置２４－０とＫＭＩＰ準拠サーバ２６が別々のチップで構成されている場合、ＫＩＳ装置２４－０とＫＭＩＰ準拠サーバ２６は、同一のパッケージ内に実装されてもよいし、別々のパッケージとして基板に実装されてもよい。ＫＩＳ装置２４－０とＫＭＩＰ準拠サーバ２６は、単一のチップで構成されてもよい。ＫＭＳＳ装置２８とＫＩＳ装置２４－１～２４－Ｎは、所定のインターフェースに従った通信路、例えばＰＣＩｅ（ＴＭ（トレードマーク））バス２２を介してホスト２０に接続される。
ＫＭＩＰ準拠サーバ２６は、ＫＩＳ装置２４－０～２４－Ｎに対する暗号鍵の導出、保存、配信を行う。また、ＫＭＩＰ準拠サーバ２６は、ホスト２０から受け取った署名の検証も行う。ＫＭＩＰ準拠サーバ２６は、ＫＩＳ装置２４－０に対しては、ＫＩＳ装置２４－０固有のＫＥＫ鍵をＰＣＩｅバス２２を介さずに直接送信する。ＫＭＩＰ準拠サーバ２６は、ＫＩＳ装置２４－１～２４－Ｎ固有のＫＥＫ鍵をＰＣＩｅバス２２を介してＫＩＳ装置２４－１～２４－Ｎへ送信する。このように、ＫＭＳＳ装置２８は、同じホスト２０に接続されている他のＫＩＳ装置２４－１～２４－Ｎに対して鍵管理システムとして機能する。ＫＭＳＳ装置２８とＫＩＳ装置２４－１～２４－Ｎは、ストレージシステム１０内のＰＣＩｅバス２２を介して接続され、外部ネットワークを介しては接続されていない。そのため、ＫＥＫ鍵は、ＫＭＳＳ装置２８からＫＩＳ装置２４－１～２４－Ｎに安全に供給できる。
ＫＭＳＳ装置２８とＫＩＳ装置２４－１～２４－Ｎが同一ベンダ品である場合、あるいはマルチベンダ品であってもベンダ間でＫＥＫ鍵が共有できる場合、セキュアな製造工程でＫＥＫ鍵がＫＭＳＳ装置２８とＫＩＳ装置２４－１～２４－Ｎに設定可能である。
さらに、ホスト２０がＫＭＳＳ装置２８内のＫＩＳ装置２４－０で用いるＭＥＫ鍵を管理すれば、ＫＭＳＳ装置２８の秘密分散を担保することができる。秘密分散とは、暗号理論における秘密鍵を分散配置することである。分散配置された秘密鍵が流出しても、その鍵単体では復号できないため、情報漏洩を防ぐことができる。
ＫＭＳＳ装置２８におけるＭＥＫ鍵の分散を説明する。
ＫＭＳＳ装置２８のＭＥＫ鍵をＫＭＳＳ＿ＭＥＫ鍵と表記する。説明の簡略化のため、ストレージシステム１０は、１台のＫＭＳＳ装置２８と１台のＫＩＳ装置２４－１からなるとする。
ＫＩＳ装置２４－１では、ＫＩＳ＿ＭＥＫ鍵が、第１のＫＩＳ＿ＭＥＫ１鍵と第２のＫＩＳ＿ＭＥＫ２鍵に分割される。第１のＫＩＳ＿ＭＥＫ１鍵は、ＰＩＮに基づいて導出される鍵である。第２のＫＩＳ＿ＭＥＫ２鍵はＫＭＳＳ装置２８に預けられ、ＫＭＳＳ装置２８により管理される。ユーザは、多要素認証に成功しない限り、ＫＩＳ＿ＭＥＫ鍵を導出できないので、セキュリティ強度の向上が期待できる。
ＫＭＳＳ装置２８では、ＫＭＳＳ＿ＭＥＫ鍵がＫＭＳＳ装置２８自身とホスト２０に分割・配置されることにより、セキュリティ強度の向上が期待できる。このとき、ＫＭＳＳ装置２８とホスト２０でＫＭＳＳ＿ＭＥＫ鍵を分割・配置する手法は２通り考えられる。
図２は、ＫＭＳＳ＿ＭＥＫ鍵の分割・配置の手法の一例のシーケンス図である。この例では、ＫＭＳＳ＿ＭＥＫ鍵は、第１のＫＭＳＳ＿ＭＥＫ１鍵と、第２のＫＭＳＳ＿ＭＥＫ２鍵と，第３のＫＭＳＳ＿ＭＥＫ３鍵に分割される。図２は、ＫＭＳＳ＿ＭＥＫ３鍵の管理がホスト２０に委託される例を示す。
第１のＫＭＳＳ＿ＭＥＫ１鍵は、ユーザのＰＩＮから導出される鍵である。第２のＫＭＳＳ＿ＭＥＫ２鍵は、ＫＭＳＳ装置２８内のＫＭＩＰ準拠サーバ２６に預けられ、ＫＭＩＰ準拠サーバ２６により管理される。第３のＫＭＳＳ＿ＭＥＫ３鍵は、ホスト２０のＴｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ（以下、ＴＰＭと称する）で生成・管理される。ＴＰＭは、ＴＣＧのセキュリティの基準に準拠したセキュリティ強度が高いチップである。ＫＭＳＳ装置２８は、ホスト２０のユーザを認証し、認証に成功した場合のみ、ホスト２０から第３のＫＭＳＳ＿ＭＥＫ３鍵を受け取る。
具体的には、図２に示すように、ホスト２０は、ＫＭＩＰ準拠サーバ２６にデジタル署名の認証を要求する（1.1）。
ＫＭＩＰ準拠サーバ２６で認証が成功すると、ホスト２０は、ホスト２０に入力されたＰＩＮをＫＩＳ装置２４－０へ送る（1.2）。ＫＩＳ装置２４－０は、ＰＩＮから第１のＫＭＳＳ＿ＭＥＫ１鍵を導出する（1.2.1）。ＫＩＳ装置２４－０は、ＫＭＩＰ準拠サーバ２６に対して第２のＫＭＳＳ＿ＭＥＫ２鍵を要求し（1.2.2）、ＫＭＩＰ準拠サーバ２６から第２のＫＭＳＳ＿ＭＥＫ２鍵を受け取る。
ＫＩＳ装置２４－０は、ホスト２０に対して第３のＫＭＳＳ＿ＭＥＫ３鍵を要求する（1.2.3）。ホスト２０は、ＴＰＭから第３のＫＭＳＳ＿ＭＥＫ３鍵を得て（1.2.3.1）、第３のＫＭＳＳ＿ＭＥＫ３鍵をＫＩＳ装置２４－０へ送る。
ＫＩＳ装置２４－０は、第１のＫＭＳＳ＿ＭＥＫ１鍵と、第２のＫＭＳＳ＿ＭＥＫ２鍵と、第３のＫＭＳＳ＿ＭＥＫ３鍵からＫＭＳＳ＿ＭＥＫ鍵を導出する（1.2.4）。
ホスト２０は、ホスト２０に入力されたＰＩＮをＫＩＳ装置２４－１へ送る（1.3）。ＫＩＳ装置２４－１は、ＰＩＮから第１のＫＩＳ＿ＭＥＫ１鍵を導出する（1.3.1）。ＫＩＳ装置２４－１は、ホスト２０に対して第２のＫＩＳ＿ＭＥＫ２鍵を要求する（1.3.2）。
ホスト２０は、ＫＭＩＰ準拠サーバ２６に対して第２のＫＩＳ＿ＭＥＫ２鍵を要求する（1.3.2.1）。ＫＭＩＰ準拠サーバ２６は、ＫＩＳ装置２４－０から第２のＫＩＳ＿ＭＥＫ２鍵を得て（1.3.2.1.1）、第２のＫＩＳ＿ＭＥＫ２鍵をホスト２０へ送る。ホスト２０は、第２のＫＩＳ＿ＭＥＫ２鍵をＫＩＳ装置２４－１へ送る。
ＫＩＳ装置２４－１は、第１のＫＩＳ＿ＭＥＫ１鍵と、第２のＫＩＳ＿ＭＥＫ２鍵からＫＩＳ＿ＭＥＫ鍵を導出する（1.3.3）。
ホスト２０は、リードコマンド又はライトコマンドをＫＩＳ装置２４－０へ送る（1.4）。ＫＩＳ装置２４－０は、ＫＭＳＳ＿ＭＥＫ鍵を用いてデータリード又はデータライトを行う（1.4.1）。ＫＩＳ装置２４－０は、データリード又はデータライトのレスポンスをホスト２０へ送る。
ホスト２０は、リードコマンド又はライトコマンドをＫＩＳ装置２４－１へ送る（1.5）。ＫＩＳ装置２４－１は、ＫＩＳ＿ＭＥＫ鍵を用いてデータリード又はデータライトを行う（1.5.1）。ＫＩＳ装置２４－１は、データリード又はデータライトのレスポンスをホスト２０へ送る。
以上の動作はストレージシステム１０がシャットダウンするまで続く。ストレージシステム１０がシャットダウンすると、全てのＫＩＳ＿ＭＥＫ鍵情報と全てのＫＳＭＭ＿ＭＥＫ鍵情報は破棄される。
図３は、ＫＭＳＳ＿ＭＫＥ鍵の分割・配置の手法の他の例のシーケンス図である。図３は、ＫＭＳＳ装置２８のＰＩＮ認証がホスト２０に委託される例を示す。この例では、ＫＭＳＳ＿ＭＥＫ鍵は、第１のＫＭＳＳ＿ＭＥＫ１鍵と、第２のＫＭＳＳ＿ＭＥＫ２鍵に分割される。
ホスト２０は、ＫＭＳＳ装置２８のＰＩＮ認証及び第１のＫＭＳＳ＿ＭＥＫ１鍵の導出を行う。ホスト２０は、第１のＫＭＳＳ＿ＭＥＫ１鍵にデジタル署名を付加し、ＫＭＳＳ装置２８へ渡す。ＫＭＳＳ装置２８は、受け取った署名を検証し、第１のＫＭＳＳ＿ＭＥＫ１鍵の正当性を確認する。正当性が確認できた場合、ＫＭＳＳ装置２８は、第１のＫＭＳＳ＿ＭＥＫ１鍵と、内部に持つ第２のＫＭＳＳ＿ＭＥＫ２鍵と組み合わせてＫＭＳＳ＿ＭＥＫ鍵を導出する。
具体的には、図３に示すように、ホスト２０にＰＩＮが入力される（1.1）と、ホスト２０は、ＰＩＮから第１のＫＭＳＳ＿ＭＥＫ１鍵を導出する（1.1.1）。ホスト２０は、デジタル署名の認証をＫＭＩＰ準拠サーバ２６に要求するとともに、第１のＫＭＳＳ＿ＭＥＫ１鍵をＫＭＩＰ準拠サーバ２６へ送る（1.2）。
ＫＭＩＰ準拠サーバ２６で認証が成功すると（1.2.1）、ＫＭＩＰ準拠サーバ２６は、第１のＫＭＳＳ＿ＭＥＫ１鍵と第２のＫＭＳＳ＿ＭＥＫ２鍵をＫＩＳ装置２４－０へ送る（1.2.2）。ＫＩＳ装置２４－０は、第１のＫＭＳＳ＿ＭＥＫ１鍵と第２のＫＭＳＳ＿ＭＥＫ２鍵からＫＭＳＳ＿ＭＥＫ鍵を導出する（1.2.2.1）。
ホスト２０は、ホスト２０に入力されたＰＩＮをＫＩＳ装置２４－１へ送る（1.3）。ＫＩＳ装置２４－１は、ＰＩＮから第１のＫＩＳ＿ＭＥＫ１鍵を導出する（1.3.1）。ＫＩＳ装置２４－１は、ホスト２０に対して第２のＫＩＳ＿ＭＥＫ２鍵を要求する（1.3.2）。ホスト２０は、ＫＭＩＰ準拠サーバ２６に対して第２のＫＩＳ＿ＭＥＫ２鍵を要求する（1.3.2.1）。
ＫＭＩＰ準拠サーバ２６は、ＫＩＳ装置２４－０から第２のＫＩＳ＿ＭＥＫ２鍵を得て（1.3.2.1.1）、第２のＫＩＳ＿ＭＥＫ２鍵をホスト２０へ送る。ホスト２０は、第２のＫＩＳ＿ＭＥＫ２鍵をＫＩＳ装置２４－１へ送る。ＫＩＳ装置２４－１は、第１のＫＩＳ＿ＭＥＫ１鍵と第２のＫＩＳ＿ＭＥＫ２鍵からＫＩＳ＿ＭＥＫ鍵を導出する（1.3.3）。
ホスト２０は、リードコマンド又はライトコマンドをＫＩＳ装置２４－０へ送る（1.4）。ＫＩＳ装置２４－０は、ＫＭＳＳ＿ＭＥＫ鍵を用いてデータリード又はデータライトを行う（1.4.1）。ＫＩＳ装置２４－０は、データリード又はデータライトのレスポンスをホスト２０へ送る。
ホスト２０は、リードコマンド又はライトコマンドをＫＩＳ装置２４－１へ送る（1.5）。ＫＩＳ装置２４－１は、ＫＩＳ＿ＭＥＫ鍵を用いてデータリード又はデータライトを行う（1.5.1）。ＫＩＳ装置２４－１は、データリード又はデータライトのレスポンスをホスト２０へ送る。
以上の動作はストレージシステム１０がシャットダウンするまで続く。ストレージシステム１０がシャットダウンすると、全てのＫＩＳ＿ＭＥＫ鍵情報と全てのＫＳＭＭ＿ＭＥＫ鍵情報は破棄される。
図２、図３の例では、第１のＫＭＳＳ＿ＭＥＫ１鍵の署名を検証するＫＭＩＰ準拠サーバ２６は、正当なホスト２０の公開鍵を事前に保持している必要がある。ＫＭＳＳ装置２８（ＫＭＩＰ準拠サーバ２６）に正当なホストの公開鍵を保持させるには、２つの手法が考えられる。
図４は、ＫＭＳＳ装置２８に正当なホストの公開鍵を保持させる第１の手法の例を示すシーケンス図である。第１の手法では、ＫＭＳＳ装置２８の初回の起動は、正当なユーザが起動すると仮定する。ＫＭＳＳ装置２８は、初回起動時に接続されているホストを正当なユーザのホストであると信頼し、ホストから公開鍵を受け取る。
具体的には、図４に示すように、ホスト２０は、公開鍵（又は秘密鍵）を生成する（1.1）。ホスト２０は、ＫＭＩＰ準拠サーバ２６が初回の起動（2）した後に、ホスト２０の公開鍵をＫＭＩＰ準拠サーバ２６へ送る（1.2）。ＫＭＩＰ準拠サーバ２６は、ホスト２０からの公開鍵を図示しない内部のメモリに登録する（1.2.1）。
図５は、ＫＭＳＳ装置２８に正当なホストの公開鍵を保持させる第２の手法の例を示すシーケンス図である。第２の手法では、ＫＭＳＳ装置２８又はホスト２０のベンダが出荷前に、ホスト２０の公開鍵をＫＭＳＳ装置２８へ登録する。
具体的には、図５に示すように、ホスト（又はＫＭＳＳ装置）のベンダ１８は、公開鍵（又は秘密鍵）を生成する（1）。ベンダ１８は、ベンダの公開鍵（又は秘密鍵）をホスト２０へ送る（2）。ホスト２０は、図示しない内部のメモリにベンダの公開鍵（又は秘密鍵）を登録する（2.1）。
ベンダ１８は、ホストの公開鍵をＫＭＩＰ準拠サーバ２６へ送る（3）。ＫＭＩＰ準拠サーバ２６は、ホスト２０からの公開鍵を図示しない内部のメモリに登録する（3.1）。
次に、ＫＭＳＳ装置２８が鍵をＫＩＳ装置２４－１～２４－Ｎやホスト２０へ配信する手法の例を説明する。
図６は、ＫＭＳＳ装置２８がホスト２０と通信する複数のポート（端子とも称する）、ここでは２個のポート３２、３４を備える場合のハードウェア構成例を示す。図７は、ＫＭＳＳ装置２８の動作例を示す。
ＫＩＳ装置２４－１（ＫＩＳ装置２４－２～２４－Ｎも同様）は、不揮発性メモリ５４とコントローラ５２を備える。
コントローラ５２は、不揮発性メモリ５４の読み書きを制御する。コントローラ５２は、ホスト回路Ｉ／Ｆ６２と、メモリ回路Ｉ／Ｆ６４と、ＣＰＵ６６と、ＲＡＭ６８と、暗号化回路７０を備える。ホスト回路Ｉ／Ｆ６２は第１のポート３２を介して所定のインターフェースに従った通信路、例えばＰＣＩｅバス２２に接続される。メモリ回路Ｉ／Ｆ６４は、不揮発性メモリ５４に接続される。不揮発性メモリ５４は、例えばＮＡＮＤ型フラッシュメモリからなる。ＲＡＭ６８は、不揮発性メモリ５４に書き込むデータや不揮発性メモリ５４から読み出してデータや、不揮発性メモリ５４の管理データ、例えば論理アドレス／物理アドレス変換テーブルを一時的に格納する。暗号化回路７０は、不揮発性メモリ５４に書き込むデータを暗号化し、不揮発性メモリ５４から読み出した暗号化データを復号する。
ＫＭＩＰ準拠サーバ２６は、ＦＥ ＣＰＵ４２と、暗号鍵４６を記憶するメモリを有する。メモリは、揮発性のメモリである。
ＦＥ ＣＰＵ４２は、第２のポート３４を介してＰＣＩｅバス２２に接続される。ＫＭＩＰ準拠サーバ２６とＫＩＳ装置２４－０の間、例えばＦＥ ＣＰＵ４２とホスト回路Ｉ／Ｆ６２の間は、破線で示す通信路を介して接続されている。ＦＥ ＣＰＵ４２は、ホスト回路Ｉ／Ｆ６２から送られてくるコマンドを受け付ける。
ＦＥ ＣＰＵ４２は、コマンドに応じて、ＫＩＳ装置２４－０～２４－Ｎに対する暗号鍵の導出、保存、配信を行う。また、ＦＥ ＣＰＵ４２は、ホスト２０から受け取った署名の検証も行う。セキィリティＣＰＵ４４はＦＥ ＣＰＵ４２とだけ接続され、定形のコマンドしか受け付けない。このため、非定形な不正コマンドを受け付けることがなく、ＫＭＩＰ準拠サーバ２６は、装置外からの不正な操作による暗号鍵の改ざんや盗聴を防止できる。このように、外部からＫＭＩＰ準拠サーバ２６へのアクセス経路をＦＥ ＣＰＵ４２に限定し、鍵管理を直接行える主体をＦＥ ＣＰＵ４２に限定することで、ＫＭＩＰ準拠サーバ２６内の暗号鍵の流出と改ざんのリスクを下げることができる。
ＫＭＩＰ準拠サーバ２６は、ＰＣＩｅバス２２以外の通信路４８を介してホスト２０に対して暗号鍵４６を通信する。
ＫＩＳ装置２４－１は、第１のポート３２に接続される。第１のポート３２は、ＰＣＩｅバス２２を介してホスト２０に接続される。ＫＭＩＰ準拠サーバ２６は、第２のポート３４に接続される。第２のポート３４は、ＰＣＩｅバス２２を介してホスト２０に接続される。
ＫＭＳＳ装置２８では、ＫＭＩＰ準拠サーバ２６は、第１のポート３２とＰＣＩｅバス２２と第２のポート３４を介して、ＫＩＳ装置２４－０に接続される。あるいは、ＫＭＩＰ準拠サーバ２６（ＦＥ ＣＰＵ４２）は、図示破線のように、第１のポート３２とＰＣＩｅバス２２と第２のポート３４を介さずに、ＫＩＳ装置２４－１（ホスト回路Ｉ／Ｆ６２）に接続されてもよい。
第１のポート３２を介してホスト２０に接続されるＫＭＳＳ装置２８（ＫＩＳ装置２４－０）は、ホスト２０に対してＫＩＳ装置の一つとして機能する（図７（ａ）参照）。
第２のポート３４を介してホスト２０に接続されるＫＭＳＳ装置２８（ＫＭＩＰ準拠サーバ２６）は、ＫＩＳ装置２４－１～２４－Ｎに対して鍵管理システムとして機能する（図７（ｂ）参照）。
鍵管理システムとしてのＫＭＩＰ準拠サーバ２６は、ホスト２０のユーザを認証する。認証に成功した場合、ＫＭＩＰ準拠サーバ２６は、第２のＫＩＳ＿ＭＥＫ２鍵４６を第２の通信路４８を介してホスト２０へ送る（図７（ｃ）参照）。第２の通信路４８は、ＫＭＩＰ準拠サーバ２６とホスト２０とを直接に接続する通信路であるので、第２のＫＩＳ＿ＭＥＫ２鍵の盗聴を防ぐことができる。
ホスト２０は、第２のＫＩＳ＿ＭＥＫ２鍵４６をＰＣＩｅバス２２を介してＫＩＳ装置２４－１に配送する（図７（ｄ）参照）。このとき、配送される第２のＫＩＳ＿ＭＥＫ２鍵４６は、ホスト２０とＫＩＳ装置２４－１間のＰＣＩｅバス２２以外の経路（例えばネットワーク回線）を経由しないため、第２のＫＩＳ＿ＭＥＫ２鍵４６の盗聴を防ぐことができる。
配送される第２のＫＩＳ＿ＭＥＫ２鍵４６がホスト２０を経由する際、ホスト２０のＣＰＵや主記憶装置を介してもよいし、介さなくてもよい。
なお、第１のポート３２と第２のポート３４が同じインターフェースに従った通信路、ここではＰＣＩｅバス２２を介してホスト２０に接続されているが、第１のポート３２と第２のポート３４が異なるインターフェースに従った通信路を介してホスト２０に接続されていてもよい。例えば、第１のポート３２がＰＣＩｅバス２２を介してホスト２０に接続され、第２のポート３４がイーサネット（Ethernet）（ＴＭ（トレードマーク））ケーブルを介してホスト２０に接続されてもよい。すなわち、ＫＭＳＳ装置２８は、ＰＣＩｅバス２２経由でホスト２０に接続される場合、ＫＩＳ装置２４－０として機能し、イーサネットケーブル経由でホスト２０に接続される場合、ＫＭＩＰ準拠サーバ２６として機能する。
図８は、図６の構成におけるＫＩＳ＿ＭＥＫ鍵の分割・配置の一例のシーケンス図である。
ホスト２０は、第２のポート３４を介してＫＭＩＰ準拠サーバ２６にデジタル署名の認証を要求する（1.1と1.1.1）。
ＫＭＩＰ準拠サーバ２６において認証が成功すると、ＫＩＳ装置２４－０は、第１のポート３２を介してホスト２０へ第２のＫＩＳ＿ＭＥＫ２鍵を要求する（2と2.1）。ホスト２０は、第２のポート３４を介してＫＭＩＰ準拠サーバ２６へ第２のＫＩＳ＿ＭＥＫ２鍵を要求する（2.2.1と2.1.1.1）。
ＫＭＩＰ準拠サーバ２６は、自身が管理する第２のＫＩＳ＿ＭＥＫ２鍵を第２のポート３４を介してホスト２０へ送る。ホスト２０は、第１のポート３２を介して第２のＫＩＳ＿ＭＥＫ２鍵をＫＩＳ装置２４－０へ送る。
図８では、ＫＭＩＰ準拠サーバ２６からＫＩＳ装置２４－０への第２のＫＩＳ＿ＭＥＫ２鍵４６の配送にホスト２０が関与する例を説明したが、この鍵の配送にホスト２０が関与しなくてもよい。例えば、ＫＭＩＰ準拠サーバ２６は、ＰＣＩｅバス２２を介するが、ホスト２０を介さずに、第２のＫＩＳ＿ＭＥＫ２鍵４６をＫＩＳ装置２４－０へ配送してもよい。さらに、ＰＣＩｅバス２２を介さずに、第２のＫＩＳ＿ＭＥＫ２鍵４６をＫＭＩＰ準拠サーバ２６のＦＥ ＣＰＵ４２からＫＩＳ装置２４－１のホスト回路Ｉ／Ｆ６２へ図６の破線で示す通信路を介して供給してもよい。
図９は、図６の構成におけるＫＩＳ＿ＭＥＫ鍵の分割・配置においてホスト２０が関与しない例のシーケンス図である。
ホスト２０は、第２のポート３４を介してＫＭＩＰ準拠サーバ２６にデジタル署名の認証を要求する（1.1と1.1.1）。
ＫＭＩＰ準拠サーバ２６において認証が成功すると、ＫＩＳ装置２４－０は、第１のポート３２を介してホスト２０へ第２のＫＩＳ＿ＭＥＫ２鍵を要求する（2と2.1）。ホスト２０は、第２のポート３４を介して第２のＫＩＳ＿ＭＥＫ２鍵をＫＭＩＰ準拠サーバ２６へ要求する（2.2.1と2.1.1.1）。
ＫＭＩＰ準拠サーバ２６は、第２のＫＩＳ＿ＭＥＫ２鍵をＫＩＳ装置２４－０へ送る（2.1.1.1.1）。
図１０は、ＫＭＳＳ装置２８がホスト２０と通信する単一のポート３６を備える場合のハードウェア構成例を示す。図１１は、ＫＭＳＳ装置２８の動作例を示す。
ＫＭＳＳ装置２８を構成するＫＭＩＰ準拠サーバ２６とＫＩＳ装置２４－０の構成は、図６の構成と同じである。図６と異なるのは、ＫＭＩＰ準拠サーバ２６とＫＩＳ装置２４－０が、ともにポート３６に接続される点である。ポート３６は、ＰＣＩｅバス２２を介してホスト２０に接続される。
ＫＭＳＳ装置２８は、ホスト２０に対してＫＩＳ装置の一つ（ＫＩＳ装置２４－０）として機能する（図１１（ａ）参照）。
ＫＭＳＳ装置２８は、ＫＩＳ装置２４－１～２４－Ｎに対して鍵管理サーバ（ＫＭＩＰ準拠サーバ２６）として機能する（図１１（ｂ）参照）。
ＫＭＩＰ準拠サーバ２６は、ホスト２０のユーザを認証する。認証に成功した場合、ＫＭＩＰ準拠サーバ２６は、第２のＫＩＳ＿ＭＥＫ２鍵４６をポート３６、ＰＣＩｅバス２２を介してホスト２０へ送る（図１１（ｃ）参照）。
ホスト２０は、第２のＫＩＳ＿ＭＥＫ２鍵４６をＰＣＩｅバス２２を介してＫＩＳ装置２４－１に配送する（図１１（ｄ）参照）。このとき、配送される第２のＫＩＳ＿ＭＥＫ２鍵４６は、ホスト２０とＫＩＳ装置２４－１間のＰＣＩｅバス２２以外の経路（例えばネットワーク回線）を経由しないため、第２のＫＩＳ＿ＭＥＫ２鍵の盗聴を防ぐことができる。
また、ＫＭＳＳ装置２８を構成するＫＩＳ装置２４－０とＫＭＩＰ準拠サーバ２６は、物理的に一体として形成されているので、信用できる鍵管理システムを最小限の要素で構成できる。
配送される第２のＫＩＳ＿ＭＥＫ２鍵４６がホスト２０を経由する際、ホスト２０のＣＰＵや主記憶装置を介してもよいし、介さなくてもよい。
図１２は、図１０の構成におけるＫＩＳ＿ＭＥＫ鍵の分割・配置の一例のシーケンス図である。
ホスト２０は、ポート３６を介してＫＭＩＰ準拠サーバ２６にデジタル署名の認証を要求する（1.1と1.1.1）。
ＫＭＩＰ準拠サーバ２６において認証が成功すると、ＫＩＳ装置２４－０は、ポート３６を介してホスト２０へ第２のＫＩＳ＿ＭＥＫ２鍵を要求する（2と2.1）。ホスト２０は、ポート３６を介してＫＭＩＰ準拠サーバ２６へ第２のＫＩＳ＿ＭＥＫ２鍵を要求する（2.2.1と2.1.1.1）。
ＫＭＩＰ準拠サーバ２６は、ポート３６を介して第２のＫＩＳ＿ＭＥＫ２鍵をホスト２０へ送る。ホスト２０は、ポート３６を介して第２のＫＩＳ＿ＭＥＫ２鍵をＫＩＳ装置２４－０へ送る。
図１２では、ＫＭＩＰ準拠サーバ２６からＫＩＳ装置２４－０への第２のＫＩＳ＿ＭＥＫ２鍵４６の配送にホスト２０が関与する例を説明したが、この鍵の配送にホスト２０が関与しなくてもよい。例えば、ＫＭＩＰ準拠サーバ２６は、ＰＣＩｅバス２２を介するが、ホスト２０を介さずに、第２のＫＩＳ＿ＭＥＫ２鍵４６をＫＩＳ装置２４－０へ配送してもよい。さらに、ＰＣＩｅバス２２を介さずに、第２のＫＩＳ＿ＭＥＫ２鍵４６をＫＭＩＰ準拠サーバ２６のＦＥ ＣＰＵ４２からＫＩＳ装置２４－１のホスト回路Ｉ／Ｆ６２へ図１０の破線で示す通信路を介して供給してもよい。
図１３は、図１０の構成におけるＫＩＳ＿ＭＥＫ鍵の分割・配置においてホスト２０が関与しない例のシーケンス図である。
ホスト２０は、ポート３６を介してＫＭＩＰ準拠サーバ２６にデジタル署名の認証を要求する（1.1と1.1.1）。
ＫＭＩＰ準拠サーバ２６において認証が成功すると、ＫＩＳ装置２４－０は、ポート３６を介してホスト２０へ第２のＫＩＳ＿ＭＥＫ２鍵を要求する（2と2.1）。ホスト２０は、ポート３６を介してＫＭＩＰ準拠サーバ２６へ第２のＫＩＳ＿ＭＥＫ２鍵を要求する（2.2.1と2.1.1.1）。
ＫＭＩＰ準拠サーバ２６は、第２のＫＩＳ＿ＭＥＫ２鍵をＫＩＳ装置２４－０へ送る（2.1.1.1.1）。
以上説明したように、第１実施形態によれば、ＫＭＩＰ準拠サーバ２６は、ＫＩＳ装置２４－０に対しては、ＫＩＳ装置２４－０固有のＫＥＫ鍵をＰＣＩｅバス２２を介さずに直接送信する。ＫＭＩＰ準拠サーバ２６は、ＫＩＳ装置２４－１～２４－Ｎ固有のＫＥＫ鍵をＰＣＩｅバス２２を介してＫＩＳ装置２４－１～２４－Ｎへ送信する。ＫＭＳＳ装置２８とＫＩＳ装置２４－１～２４－Ｎは、ストレージシステム１０内のＰＣＩｅバス２２を介して接続され、外部ネットワークを介しては接続されていない。そのため、ＫＥＫ鍵は、ＫＭＳＳ装置２８からＫＩＳ装置２４－１～２４－Ｎに安全に供給できる。
また、ＫＭＳＳ装置２８を構成するＫＩＳ装置２４－０とＫＭＩＰ準拠サーバ２６は、物理的に一体として形成されているので、信用できる鍵管理システムを最小限の要素で構成することができる。
［第２実施形態］
図１４は、第２実施形態によるストレージ装置を含むストレージシステムの一例を示す。
ストレージシステムは、ホスト２０と複数のＫＩＳ装置２４－０、２４－１、…２４－Ｎを備える。複数のＫＩＳ装置２４－０～２４－Ｎの中の少なくとも１つのＫＩＳ装置、ここではＫＩＳ装置２４－０は、鍵管理サーバとしてのＫＭＩＰ準拠サーバ８２とともに、Ｔａｍｐｅｒ－ｒｅｓｉｓｔａｎｔ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｓｅｒｖｉｃｅ Ｓｔｏｒａｇｅ（以下、ＴＫＭＳＳ装置と称する）８０を構成する。ＫＩＳ装置２４－０とＫＭＩＰ準拠サーバ８２は物理的に一体としてＴＫＭＳＳ装置８０を構成する。
ＴＫＭＳＳ装置８０と、ＫＩＳ装置２４－１～２４－ＮがＰＣＩｅバス２２を介してホスト２０に接続される。ＫＭＩＰ準拠サーバ８２とＫＩＳ装置２４－０は単一のポート３８を介してＰＣＩｅバス２２に接続される。しかし、図６と同様に、ＫＭＩＰ準拠サーバ８２とＫＩＳ装置２４－０がそれぞれ別々のポートを介してＰＣＩｅバス２２に接続されてもよい。
ＫＭＩＰ準拠サーバ８２は、ＦＥ ＣＰＵ８４と、セキュリティＣＰＵ８６と、ＲＯＭ８８と、不揮発性メモリ９０を備える。ＫＭＩＰ準拠サーバ８２は、ＫＩＳ装置２４－０～２４－Ｎに対する暗号鍵の導出、保存、配信を行う。また、ＫＭＩＰ準拠サーバ８２は、ホスト２０から受け取った署名の検証も行う。ＲＯＭ８８は、例えばマスクＲＯＭ、ｅｆｕｓｅ等の書き換え不能な不揮発性メモリからなる。ＲＯＭ８８は、イニシャルプログラムローダ（Ｉｎｉｉａｌ Ｐｒｏｇｒａｍ Ｌｏａｄｅｒ：以下、ＩＰＬと称する）９２とファームウェア認証鍵（以下、ＦＷ認証キーと称する）９４を格納する。ＦＷ認証キー９４は、秘密鍵、ルート鍵とも称される。なお、ＦＷ認証キー９４をＲＯＭ８８に予め格納しておく代わりにＰｈｙｓｉｃａｌｌｙ Ｕｎｃｌｏｎａｂｌｅ Ｆｕｎｃｔｉｏｎ（ＰＵＦ）等の装置固有の値を生成する関数を用いて生成してもよい。ＲＯＭ８８に格納されたＦＷ認証キー又は関数により生成したＦＷ認証キーは、セキュリティＣＰＵ８６のみが参照できるよう、ハードウェア構成で制限されている。不揮発性メモリ９０は、書き換え可能な不揮発性メモリ、例えばＮＡＮＤ型フラッシュメモリからなる。不揮発性メモリ９０は、ＫＩＳ＿ＭＥＫ２鍵９６と、セキュリティＣＰＵ８６のメインファームウェア（以下、単にＦＷと称する）９８を格納する。
ＦＥ ＣＰＵ８４は、ホスト２０から受け取った署名の検証も行う。セキュリティＣＰＵ８６はＦＥ ＣＰＵ８４とだけ接続され、定形のコマンドしか受け付けない。このため、非定形な不正コマンドを受け付けることがなく、ＫＭＩＰ準拠サーバ２６は、装置外からの不正な操作による暗号鍵の改ざんや盗聴を防止できる。このように、外部からＫＭＩＰ準拠サーバ２６へのアクセス経路をＦＥ ＣＰＵ８４に限定し、セキュリティＣＰＵ８６へコマンドを伝達する経路をＦＥ ＣＰＵ８４に限定し、鍵管理を直接行える主体をセキュリティＣＰＵ８６に限定することで、ＫＭＩＰ準拠サーバ２６内の暗号鍵の流出と改ざんのリスクを下げることができる。
ＫＩＳ装置２４－０とＫＭＩＰ準拠サーバ８２が別々のチップで構成されている場合、ＫＩＳ装置２４－０とＫＭＩＰ準拠サーバ８２は、同一のパッケージ内に実装されてもよいし、別々のパッケージとして基板に実装されてもよい。ＫＩＳ装置２４－０とＫＭＩＰ準拠サーバ８２は、単一のチップで構成されてもよい。
図１５は、第２実施形態によるストレージシステムの動作の一例を示すシーケンス図である。
ホスト２０は、デジタル署名をＦＥ ＣＰＵ８４へ送る（1.1）。ＦＥ ＣＰＵ８４はセキュリティＣＰＵ８６へ認証を要求する（1.1.1）。セキュリティＣＰＵ８６は、ＦＷ認証キー９４を用いてデジタル署名の認証を行う（1.1.1.1）。
セキュリティＣＰＵ８６において認証が成功すると、ＦＥ ＣＰＵ８４はセキュリティＣＰＵ８６へアンロックを要求する（1.1.2）。セキュリティＣＰＵ８６は不揮発性メモリ９０内の第２のＫＩＳ＿ＭＥＫ２鍵９６へのアクセスをアンロックする（1.1.2.1）。ＦＥ ＣＰＵ８４はアンロックの成功又は失敗を示すレスポンスをホスト２０へ送る。
ホスト２０は、ホスト２０に入力されたＰＩＮをＫＩＳ装置２４－１へ送る（1.2）。ＫＩＳ装置２４－１は、ＰＩＮから第１のＫＩＳ＿ＭＥＫ１鍵を導出する（1.2.1）。ＫＩＳ装置２４－１は、ホスト２０に対して第２のＫＩＳ＿ＭＥＫ２鍵を要求する（1.2.2）。
ホスト２０は、ＦＥ ＣＰＵ８４に対して第２のＫＩＳ＿ＭＥＫ２鍵を要求する（1.2.2.1）。ＦＥ ＣＰＵ８４は、セキュリティＣＰＵ８６に対して第２のＫＩＳ＿ＭＥＫ２鍵を要求する（1.2.2.1.1）。セキュリティＣＰＵ８６は、不揮発性メモリ９０から第２のＫＩＳ＿ＭＥＫ２鍵９６を得て、第２のＫＩＳ＿ＭＥＫ２鍵をホスト２０へ送る。ホスト２０は、第２のＫＩＳ＿ＭＥＫ２鍵をＫＩＳ装置２４－１へ送る。
ＫＩＳ装置２４－１は、第１のＫＩＳ＿ＭＥＫ１鍵と、第２のＫＩＳ＿ＭＥＫ２鍵からＫＩＳ＿ＭＥＫ鍵を導出する（1.2.3）。
ホスト２０は、リードコマンド又はライトコマンドをＫＩＳ装置２４－１へ送る（1.3）。ＫＩＳ装置２４－１は、ＫＩＳ＿ＭＥＫ鍵を用いてデータリード又はデータライトを行う（1.3.1）。ＫＩＳ装置２４－１は、データリード又はデータライトのレスポンスをホスト２０へ送る。
このように、外部からＫＭＩＰ準拠サーバ８２へのアクセス経路をＦＥ ＣＰＵ８４に限定し、セキュリティＣＰＵ８６へコマンドを伝達する経路をＦＥ ＣＰＵ８４に限定し、鍵管理を直接おこなえる主体をセキュリティＣＰＵ８６に限定したので、ＫＭＩＰ準拠サーバ８２内の暗号鍵の流出、改ざんのリスクが低下する。
次に、ＴＫＭＳＳ装置８０のＦＷの改ざんを検知する処理を説明する。図１６は、ＴＫＭＳＳ装置８０の起動シーケンスの一例を示す。
ＴＫＭＳＳ装置８０は、最初に、セキュリティＣＰＵ８６から起動させる。セキュリティＣＰＵ８６は、起動時、ＲＯＭ８８に格納されたＩＰＬ９２を読み出す（1）。ＩＰＬ９２は、セキュリティＣＰＵ８６のＦＷ９８を不揮発性メモリ９０から読み出す（1.1）。なお、オプションで、ＩＰＬ９２は、Ｆ／Ｅ ＣＰＵ８４のＦＷを読み出してもよい。セキュリティＣＰＵ８０は、読み出したＦＷに付与されているデジタル署名又はメッセージ認証符号をＦＷ認証キー９４を用いて検証し、完全性を確認する（1.2）。
検証に成功した場合は、セキュリティＣＰＵ８６は、読みだしたＦＷをＦＥ ＣＰＵ８４にロードし、実行する（1.3）。検証に失敗した場合は、そのＦＷは改ざんされている恐れがあるので、ロードせず、実行しない。このため、改ざんされたＦＷがＴＫＭＳＳ装置８０にロードされ、暗号鍵が流出し、第３者によりデータが読み出されてしまうことが防止される。
なお、セキュリティＣＰＵ８６のＦＷ９８（及びＦＥ ＣＰＵ８４のＦＷ）を不揮発性メモリ９０ではなく、マスクＲＯＭ等の書き換え不能なメモリに書き込んでもよい。または、装置の製造時にＦＷ９８を書き込んだ不揮発性メモリの領域を書き換え禁止領域に設定してもよい。これらのいずれかの対策により、悪意あるユーザが用意した不正なＦＷの書き込み（改ざん）を防止する。
次に、他のＫＩＳ装置２４－１～２４－Ｎのデータの保護（盗聴防止）について説明する。ＴＫＭＳＳ装置８０は、接続されるＫＩＳ装置２４－１～２４－Ｎ毎のＫＥＫ鍵を保有し、ＫＥＫ鍵をＫＩＳ装置２４－１～２４－Ｎと共有する。例えば、ＴＫＭＳＳ装置８０と２台のＫＩＳ装置２４－１、２４－２がホスト２０に接続されているとする。ＫＩＳ装置２４－１、２４－２はそれぞれＭＥＫ２－１鍵、ＭＥＫ２－２鍵をＴＫＭＳＳ装置８０に預ける。このとき、ＴＫＭＳＳ装置８０は、ＫＥＫ－１鍵を生成し、ＫＩＳ装置２４－１と共有する。同様に、ＴＫＭＳＳ装置８０は、ＫＥＫ－２鍵を生成し、ＫＩＳ装置２４－２と共有する。セキュリティＣＰＵ８６は、ＭＥＫ２－１鍵をＫＥＫ－１鍵で暗号化してからＫＩＳ装置２４－１へ配送する。これにより、セキュリティＣＰＵ８６は、ＭＥＫ２－１鍵をＦＥ ＣＰＵ８４、ホスト２０、ＫＩＳ装置２４－２に対し秘匿したまま、ＫＩＳ装置２４－１へ渡すことができる。
図１７は、ＴＫＭＳＳ装置８０のＭＥＫ鍵の配送の一例を示すシーケンス図である。ＫＩＳ装置２４－１はホスト２０にＭＥＫ２－１鍵を要求する（2）。ホスト２０は、ＦＥ ＣＰＵ８４にＭＥＫ－１鍵を要求する（2.1）。ＦＥ ＣＰＵ８４は、セキュリティＣＰＵ８６にＭＥＫ－１鍵を要求する（2.1.1）。セキュリティＣＰＵ８６は、ＭＥＫ－１鍵をＫＥＫ－１鍵を用いて暗号化する（2.1.1.1）。セキュリティＣＰＵ８６は、暗号化されたＭＥＫ－１鍵をＦＥ ＣＰＵ８６へ送る。ＦＥ ＣＰＵ８６は、暗号化されたＭＥＫ－１鍵をホスト２０へ送る。ホスト２０は、暗号化されたＭＥＫ－１鍵をＫＩＳ装置２４－１へ送る。ＫＩＳ装置２４－１は、暗号化されたＭＥＫ－１鍵をＫＥＫ－１鍵を用いて復号する（3）。
第２実施形態も、第１実施形態と同じ効果を奏する。第２実施形態は、さらに、ＦＷの改ざん検知・防止、他のＫＩＳ装置のデータの保護も図ることができる。
なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を生成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
２０…ホスト、２２…ＰＣＩｅバス。２４－０～２４－Ｎ…ＫＩＳ装置、２６…ＫＭＩＰ準拠サーバ２６、２８…ＫＭＳＳ装置、８０…ＴＫＭＳＳ装置

Claims (17)

  1. ホストから供給されるデータを第１の鍵を用いて暗号化して格納する第１のストレージと、
    前記第１の鍵の生成に必要な情報を記憶する鍵管理部を具備するストレージ装置。
  2. 前記第１のストレージと前記鍵管理部は単一のインターフェースを介して前記ホストと接続される、請求項１記載のストレージ装置。
  3. 前記第１のストレージは第１のインターフェースを介して前記ホストと接続され、
    前記鍵管理部は第２のインターフェースを介して前記ホストと接続される、請求項１記載のストレージ装置。
  4. 前記ホストの公開鍵を保存し、前記ホストのユーザの署名検証をおこなう、請求項１記載のストレージ装置。
  5. 前記ホストから入力されるユーザの識別情報を用いて前記第１の鍵を生成する、請求項１記載のストレージ装置。
  6. 前記ホストから入力されるユーザの識別情報を用いて生成された第２の鍵と、前記鍵管理部で管理される第３の鍵と、前記ホストから供給される第４の鍵から前記第１の鍵を生成する、請求項１記載のストレージ装置。
  7. 前記鍵管理部で管理される第５の鍵と、前記ホストから供給される第６の鍵から前記第１の鍵を生成する、請求項１記載のストレージ装置。
  8. 前記第１の鍵を第７の鍵で暗号化し、
    前記第７の鍵は、前記第１のストレージと前記鍵管理部に記憶される、請求項１記載のストレージ装置。
  9. 前記ストレージ装置は、前記第１のストレージと等価である第２のストレージに接続され、
    前記ストレージ装置は、前記第１の鍵を前記第２のストレージに供給する、請求項１記載のストレージ装置。
  10. 前記ホストから入力されるユーザの識別情報を用いて前記第１の鍵を生成する、請求項６記載のストレージ装置。
  11. 前記ストレージ装置は、前記第１のストレージと等価である第２のストレージに接続され、
    前記第１のストレージは、前記ホストに接続され、
    前記ストレージ装置は、前記第１の鍵を前記第２のストレージに供給する、請求項６記載のストレージ装置。
  12. 前記第１の鍵の改ざんを防止する機能を備えた、請求項１乃至請求項１１のいずれか一項記載のストレージ装置。
  13. 前記鍵管理部は、複数のプロセッサで構成される、請求項１２記載のストレージ装置。
  14. 前記複数のプロセッサは、データ記録を行う第１のプロセッサと鍵管理を行う第２のプロセッサを含み、
    前記第２のプロセッサへの通信経路を制限し、
    前記第２のプロセッサが実行可能な命令を制限する、請求項１３記載のストレージ装置。
  15. 前記第２のプロセッサのファームウェアを格納する書き換え不可能なメモリを具備する、請求項１４記載のストレージ装置。
  16. 前記第２のプロセッサのファームウェア格納領域を書き込み禁止領域に設定可能である、請求項１４記載のストレージ装置。
  17. ホストから供給されるデータを第１の鍵を用いて暗号化して格納する第１のストレージと、前記第１の鍵の生成に必要な情報を記憶する鍵管理部と、を具備し、前記第１のストレージと前記鍵管理部が一体として形成されているストレージ装置と、
    前記第１のストレージと等価である第２のストレージと、
    前記ストレージ装置に接続されるホストと、を具備するストレージシステムにおける鍵配送方法であって、
    前記ストレージ装置は、前記第１の鍵を前記第２のストレージに送る、鍵配送方法。
JP2020154498A 2020-09-15 2020-09-15 ストレージ装置及び鍵配送方法 Pending JP2022048601A (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2020154498A JP2022048601A (ja) 2020-09-15 2020-09-15 ストレージ装置及び鍵配送方法
US17/349,492 US11956356B2 (en) 2020-09-15 2021-06-16 Key management device and storage system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2020154498A JP2022048601A (ja) 2020-09-15 2020-09-15 ストレージ装置及び鍵配送方法

Publications (1)

Publication Number Publication Date
JP2022048601A true JP2022048601A (ja) 2022-03-28

Family

ID=80627307

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2020154498A Pending JP2022048601A (ja) 2020-09-15 2020-09-15 ストレージ装置及び鍵配送方法

Country Status (2)

Country Link
US (1) US11956356B2 (ja)
JP (1) JP2022048601A (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220123921A1 (en) * 2020-10-20 2022-04-21 Samsung Electronics Co., Ltd. Method of performing key exchange for security operation in storage device and method of performing authority transfer in storage device using the same

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230130457A1 (en) * 2021-10-25 2023-04-27 Salesforce.Com, Inc. Key management providing high availability without key replication
CN117786729A (zh) * 2024-02-26 2024-03-29 芯能量集成电路(上海)有限公司 一种芯片密钥管理方法及系统

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101646994B (zh) 2006-12-06 2016-06-15 才智知识产权控股公司(2) 利用内存库交错管理固态存储器的命令的装置、系统及方法
EP2140593A1 (en) 2007-04-12 2010-01-06 NCipher Corporation Limited Method and system for identifying and managing encryption keys
WO2011031903A2 (en) 2009-09-09 2011-03-17 Fusion-Io, Inc. Apparatus, system, and method for allocating storage
US10069625B2 (en) * 2015-09-22 2018-09-04 Quanta Computer Inc. System and method for automatic key generation for self-encrypting drives
US10855451B1 (en) * 2017-08-02 2020-12-01 Seagate Technology Llc Removable circuit for unlocking self-encrypting data storage devices
US11070375B2 (en) * 2018-02-08 2021-07-20 Micron Technology, Inc. Key encryption handling
US11599479B2 (en) * 2018-05-09 2023-03-07 Intel Corporation Technology for fine-grain encryption and secure key injection on self-encrypting drives
US11368299B2 (en) * 2018-12-10 2022-06-21 Marvell Asia Pte, Ltd. Self-encryption drive (SED)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220123921A1 (en) * 2020-10-20 2022-04-21 Samsung Electronics Co., Ltd. Method of performing key exchange for security operation in storage device and method of performing authority transfer in storage device using the same
US11863664B2 (en) * 2020-10-20 2024-01-02 Samsung Electronics Co., Ltd. Method of performing key exchange for security operation in storage device and method of performing authority transfer in storage device using the same

Also Published As

Publication number Publication date
US11956356B2 (en) 2024-04-09
US20220085997A1 (en) 2022-03-17

Similar Documents

Publication Publication Date Title
US8670568B2 (en) Methods and systems for utilizing cryptographic functions of a cryptographic co-processor
TWI391864B (zh) 臨界保全參數之產生及用於智慧卡記憶體模組的交換系統與方法
US9118467B2 (en) Generating keys using secure hardware
CN107004083B (zh) 设备密钥保护
TWI676116B (zh) 安全儲存系統以及用於安全儲存的方法
US7155616B1 (en) Computer network comprising network authentication facilities implemented in a disk drive
US9268971B2 (en) Secure processor supporting multiple security functions
US9323950B2 (en) Generating signatures using a secure device
US7644278B2 (en) Method for securely creating an endorsement certificate in an insecure environment
US20050166051A1 (en) System and method for certification of a secure platform
US11956356B2 (en) Key management device and storage system
KR20170095163A (ko) 하드웨어 디바이스 및 그 인증 방법
US20050283826A1 (en) Systems and methods for performing secure communications between an authorized computing platform and a hardware component
US8495361B2 (en) Securely creating an endorsement certificate in an insecure environment
US20210012008A1 (en) Method of initializing device and method of updating firmware of device having enhanced security function
US20050283601A1 (en) Systems and methods for securing a computer boot
US20100268942A1 (en) Systems and Methods for Using Cryptographic Keys
JP2004508619A (ja) トラステッド・デバイス
BR112019013584A2 (pt) Endereçamento de um ambiente de execução confiável usando a chave de assinatura
KR20180031584A (ko) 메모리 시스템 및 그것과 호스트 사이의 바인딩 방법
JP7256862B2 (ja) 保護されたコンテナ間のセキュア通信方法およびそのシステム
JP2001148697A (ja) 低信頼性のチャネルを介して情報を通信する方法
US20140143896A1 (en) Digital Certificate Based Theft Control for Computers
WO2022052665A1 (zh) 无线终端及无线终端在Uboot模式下的接口访问鉴权方法
CN116566613A (zh) 使用平台密钥保护与安全处理器的通信