JP2022511357A

JP2022511357A - データ暗号化に基づく目的に固有のアクセス制御方法、および装置

Info

Publication number: JP2022511357A
Application number: JP2021517016A
Authority: JP
Inventors: ナドラー、シマ
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2018-11-15
Filing date: 2019-11-07
Publication date: 2022-01-31
Anticipated expiration: 2039-11-07
Also published as: DE112019003808B4; DE112019003808T5; US20200159942A1; US11132452B2; JP7465043B2; WO2020099996A1; GB202108158D0; GB2593642A

Abstract

データ暗号化に基づく目的に固有のアクセス制御のための方法、装置であって、前記方法は、目的のためのデータの使用に対する承認が提供される対象のデータを有し、暗号鍵を使用して暗号化された情報を復号するために復号鍵が必要とされる前記目的に関連付けられた暗号鍵を取得し、データを使用できる目的を使用してエンコードされた目的に基づく暗号化データを取得する前記暗号鍵を使用してデータを暗号化し、前記目的のために認証されたデータ・コンシューマが使用できる復号鍵を使用して前記目的に基づく暗号化データを復号することによってデータに対するアクセス権限が取得可能になる１つまたは複数のデータ・コンシューマに対して前記目的に基づく暗号化データへのアクセスを有効化することを含む。

Description

本開示は、一般に、データ保護に関連しており、特に、許可された使用目的に従うデータ・アクセスの制御および管理に関連している。

無数の実用的アプリケーションおよび日常生活の状況において、部外秘の情報が収集、格納、転送、および使用されることがあり、したがって、さまざまなデータ保護またはプライバシーの問題を引き起こす。部外秘の情報は、例えば、データの対象が秘密にすることを望む、医療データまたは金融データなどの、それ自体で、または他の情報と一緒になって、文脈において単一の人または個人を識別または特定することを可能にする個人情報、あるいはその他の機密情報であることがある。いわゆる情報ハイウェイ、ならびにモノのインターネット（ＩｏＴ：Internet-of-Things）、ウェアラブル・センサ・システム、および同様のネットワーク接続対応のデバイスなどの、技術の遍在の出現とともに、プライベート・データがある場所で生成されて、処理するため、またはさらに使用するために別の場所に転送されること、または異なる実体に転送されることさえ、ますます頻繁な事例になっていることがある。例えば、ブドウ糖モニタは、監視および介護のために、患者の血糖値を追跡し、測定された値を医療センターに送信することができ、または車載コンピュータは、経路計画およびドライバの安全性を改善するために、遠隔測定信号を遠隔交通管理システムに中継することができる。したがって、許可されていないサードパーティなどによって、プライベート・データに対して不正使用が発生する可能性があるという問題およびリスクが大きくなっており、または宣言された目的のためにデータに対する許可されたアクセス権限を獲得できる実体と同じ実体でさえ、不正な目的のために、データを無関係な他の目的に利用する可能性がある。

開示される対象の１つの実施形態例は、対象のデータを有することと、目的に関連付けられた暗号鍵を取得することと、暗号鍵を使用してデータを暗号化することと、１つまたは複数のデータ・コンシューマに対して、目的に基づく暗号化データへのアクセスを有効化することとを含む方法である。

開示される対象の別の実施形態例は、データを暗号化する目的に基づく暗号化データを取得することと、目的に関連付けられた復号鍵を使用して目的に基づく暗号化データを復号することと、データ・コンシューマによってデータを使用することとを含む方法である。

開示される対象のさらに別の実施形態例は、プロセッサおよび結合されたメモリを含むコンピュータ化された装置であり、このプロセッサは、対象のデータを有することであって、目的のためのデータの使用に対する承認が提供される、有することと、目的に関連付けられた暗号鍵を取得することであって、暗号鍵を使用して暗号化された情報を復号するために、復号鍵が必要とされる、取得することと、暗号鍵を使用してデータを暗号化することであって、それによって、データを使用できる目的を使用してエンコードされた目的に基づく暗号化データを取得する、暗号化することと、１つまたは複数のデータ・コンシューマに対して、目的に基づく暗号化データへのアクセスを有効化することであって、それによって、目的のために認証されたデータ・コンシューマが使用できる復号鍵を使用して目的に基づく暗号化データを復号することによって、データに対するアクセス権限が取得可能になる、有効化することとを実行するように適合されている。

開示される本対象は、図面を併用して行われる以下の詳細な説明から、さらに完全に理解されるであろう。図面において、対応する数字または文字あるいは類似する数字または文字は、対応するコンポーネントまたは類似するコンポーネントを示す。特に示されない限り、図面は、本開示の例示的な実施形態または態様を提供し、本開示の範囲を制限しない。

開示される対象の一部の実施形態例に従って、開示される対象が利用され得る例示的な環境およびアーキテクチャの概略図を示す図である。開示される対象の一部の実施形態例に従って、開示される対象が利用され得る例示的な環境およびアーキテクチャの概略図を示す図である。開示される対象の一部の実施形態例に従って、開示される対象が利用され得る例示的な環境およびアーキテクチャの概略図を示す図である。開示される対象の一部の実施形態例に従って、方法のフローチャート図を示す図である。開示される対象の一部の実施形態例に従って、方法のフローチャート図を示す図である。

開示される対象によって対処される１つの技術的問題は、不正なアクセスまたは使用からデータを保護することである。データの対象または法律もしくは企業の方針は、（１）何の目的のためにデータの使用が許可されるか、（２）どの実体（データ・コンシューマ）がデータの使用を許可されるか、または（３）データが、目的と実体（データ・コンシューマ）のどの組み合わせに使用され得るか、を指定することがある。不正な目的での許可されていない実体または使用によるアクセスが、防がれるべきである。例えば、患者は、インスリン製品の購入を目的にする宣伝などの商業目的ではなく、医療目的（例えば、糖尿病の治療）で、ブドウ糖モニタによって取得されたデータの使用を許可することがある。同様に、携帯電話ユーザは、保険契約の監視、法律の執行などのために、地理的位置データが収集され、広告サービスではなくナビゲーション・サービスによって使用されることに同意することがある。同様に、データ使用方針または法律が、個人データが何の目的に使用され得るかを決定することがある。

追加的または代替的に、データ・コンシューマのプライバシーに関する適合性、データ・コンシューマの地理的位置などにおける信頼度に、さらに制限が関連付けられることがある。

さらに別の技術的問題は、信頼できないマシン上で実行されている信頼できるソフトウェアによるデータ・アクセス、または信頼できないサードパーティ・ソフトウェアを使用するデータ・アクセスを、可能にすることである。

開示される対象によって対処されるさらに別の技術的問題は、データ保護および許可された使用方針の実施に関わる計算リソースおよびストレージ・リソースを節約することである。

１つの技術的解決策は、目的に基づくデータの暗号化および復号を採用し、許可された使用目的に従っていると推定される当事者のみによってデータが復号され得るように、暗号化された形態で、許可された目的のためのデータへのアクセスを提供することである。

別の技術的解決策は、組み合わせられた目的および実体ＩＤ（データ・コンシューマ）に基づくデータの暗号化および復号を採用し、特定の目的のみのために、データへのアクセスを特定のデータ・コンシューマに提供することである。

一部の実施形態例では、目的に基づく暗号鍵および復号鍵の配布に加えて、適切な目的の分類および登録の確立および管理が、ＰＣＡモジュールを利用できる特殊な規制者（本明細書では、目的認証機関（ＰＣＡ：Purpose Certification Authority）と呼ばれる）によって実行され得る。例えば、認識されたデータ使用目的ごとに、ＰＣＡモジュールは、タプル（Ｐｕｒｐｏｓｅ＿ＩＤ、Ｐｕｒｐｏｓｅ＿Ｅｎｃ＿Ｋｅｙ、Ｐｕｒｐｏｓｅ＿Ｄｅｃ＿Ｋｅｙ）を生成して維持することができ、Ｐｕｒｐｏｓｅ＿ＩＤは目的（例えば、割り当てられたシリアル番号またはコード）を一意に識別し、Ｐｕｒｐｏｓｅ＿Ｅｎｃ＿Ｋｅｙは、使用がその目的のみに制限されるよう意図されている情報を暗号化するのに役立ち、Ｐｕｒｐｏｓｅ＿Ｄｅｃ＿Ｋｅｙは、Ｐｕｒｐｏｓｅ＿Ｅｎｃ＿Ｋｅｙを使用して暗号化された情報を復号するのに役立つ。特に、Ｐｕｒｐｏｓｅ＿Ｄｅｃ＿Ｋｅｙを保有している実体のみが、Ｐｕｒｐｏｓｅ＿Ｅｎｃ＿Ｋｅｙを使用して暗号化された暗号化情報を復号することができ得る。

一部の実施形態例では、目的に基づく暗号鍵および復号鍵（Ｐｕｒｐｏｓｅ＿Ｅｎｃ＿ＫｅｙおよびＰｕｒｐｏｓｅ＿Ｄｅｃ＿Ｋｅｙ）は、ＲＳＡ、ＥｌＧａｍａｌなどの公開鍵暗号化スキームなどの、非対称暗号化システムにおける公開鍵と秘密鍵の対であってよい。本開示との関連において、暗号鍵は、交換可能なように公開鍵と呼ばれてもよく、同様に復号鍵は、交換可能なように秘密鍵と呼ばれてもよい。

一部の実施形態例では、ＰＣＡは、データ使用方針への当事者の適合性を認証および監視し得る。ＰＣＡは、複数の登録された実体を管理してよく、実体のうちの１つまたは複数がデータ・プロバイダであり、他の実体がデータ・プロセッサである。ＰＣＡモジュールは、許可された目的ごとに公開鍵および秘密鍵を維持し得る。ＰＣＡモジュールは、データ・プロバイダが目的の公開鍵を使用して目的に固有の情報を暗号化することができるように、目的に関連付けられた公開鍵をデータ・プロバイダに配布してよく、指定された目的のために情報を復号するための鍵（すなわち、目的の秘密鍵）をデータ・プロセッサに付与してよく、ＰＣＡモジュールは、秘密鍵を付与されたデータ・プロセッサが復号された情報を指定された目的のみに使用することを、保証することができる。ＰＣＡによるデータ・プロセッサの目的適合性の認証および実施は、２０１６年９月２７日に出願された米国特許出願第１５／２７６８１５号「Digital certificate for verifying application purpose of data usage」または２０１７年１月４日に出願された米国特許出願第１５／３９７，７５３号「Purpose-Based Control of Data Used by Computer Software Applications」あるいはその両方に記載されているのと同様に実行され得る。

一部の実施形態例では、各データ・プロセッサに、データ・プロセッサ自体の個別の公開鍵と秘密鍵の対が提供されてよく、そのデータ・プロセッサのみが情報を復号できるように情報を暗号化することを可能にする。ＰＣＡモジュールは、許可されていない実体による秘密鍵の不正流用を防ぐために、データ・プロセッサ自体の公開鍵を使用して、付与された目的の秘密鍵を暗号化し得る。ＰＣＡモジュールは、個別の鍵、目的の鍵などの生成、配布、および管理の責任を負ってよい。ＰＣＡモジュールは、例えば、処理している実体が違反しているということが検出された場合に、鍵の失効および新しい鍵の配布を管理してもよく、このようにして、特定の目的のための個人データの使用を防ぐ。

一部の実施形態例では、特定の目的のためのデータの使用の許可は、追加の結合する制限と共に付与され得る。例えば、この許可は、データが特定の目的に使用されるという要件に加えて、特定のデータ・コンシューマに制限され得る。そのような制限を実施するために、データ・プロセッサ自体の公開鍵および目的の公開鍵の両方から成る複合鍵が、この使用のデータ・プロセッサを対象にする情報を暗号化するために使用され得る。それに依って、「箱の中の箱」の暗号化方法が適用されてよく、この方法では、最初に情報が、目的の公開鍵を使用して暗号化され、次に、データ・プロセッサ自体の公開鍵を使用して再び暗号化され得る。特定のデータ・コンシューマの許可に加えて、または特定のデータ・コンシューマの許可の代わりに、追加の結合する制限が利用され得る。例えば、結合する制限は、最小しきい値を超えるスコアを使用してデータ・コンシューマがランク付けされている制限であってよい。各データ・コンシューマは、データ・コンシューマがどの程度良くプライバシー要件に適合しているか、またはデータ・コンシューマのプライバシーに関する方針がどの程度プライバシーを守っているか、などに従って、ランク付けされ得る。例えば、ＰＣＡによって、各データ・コンシューマに、０～１の範囲内のスコアが与えられ得る。データの使用は、少なくとも０．６のスコアを有しているデータ・コンシューマに制限され得る。目的に基づく鍵に基づき、かつ０．６の最小しきい値に関連付けられた暗号鍵に基づく複合鍵が、データの暗号化に使用され得る。０．６以上のスコアを有しているデータ・コンシューマは、０．６の最小しきい値に関連付けられた復号鍵にアクセスすることができてよく、この復号鍵が許可された目的のために認証されている場合、この復号鍵を使用してデータを復号し得る。さらに別の例として、結合する制限は、データが使用されている地理的位置での制限であってよい。ユーザは、中国内の実体がユーザのプライベート・データに対するアクセス権限を獲得するのを防ぐことを望むことがある。別の例として、組織の方針が、プライベート・データの使用を、米国に排他的に制限することがある。そのような制限は、目的に基づく鍵および地理的位置に基づく鍵に基づいている複合鍵を利用することによって、表され得る。復号中に、ＰＣＡは、ＧＰＳモジュールを使用すること、ＩＰアドレスの地理的位置を決定することなどを実行して、データ・コンシューマの地理的位置を決定し、適切な復号鍵へのアクセスをデータ・コンシューマに提供するかどうかを判定し得る。場合によっては、データ・プロバイダの地理的位置は、データ利用プロセスを実行しているマシンの物理的位置（例えば、データを処理しているデータ・コンシューマのサーバの位置）であってよい。追加的または代替的に、この地理的位置は、データ利用プロセスを操作している実体の法的位置に基づいてよい。例えば、中国の会社が米国内にあるサーバを使用している場合でも、この中国の会社が米国の排他的なデータに対するアクセス権限を獲得することが制限され得る。

一部の実施形態例では、ＰＣＡモジュールは、データの対象に関連するプライバシーの選好を受信して管理するように構成されたプライバシー・ポータルに結合されるか、またはそのようなプライバシー・ポータルと通信し得る。一部の実施形態例では、プライバシー・ポータルは、データの対象がプライバシーの選好を示し、自らの意思でプライバシーの選好を更新することができるようにし得る。データの対象は、プライバシー・ポータルを介して、データが何の目的に使用され得るか、および任意選択的に、どの特定のデータ・プロセッサがデータを指定された目的に使用することを許可されているかを、示し得る。追加的または代替的に、プライバシー・ポータルは、データの監視者、データの対象がメンバーになっている組織の管理者などの、データの対象と異なる他の当事者によって使用され得る。一部の実施形態例では、プライバシー・ポータルにおいて方針が定義されてよく、そのような方針がユーザのセットに適用されてよく、これらのユーザが、それら自身の方針を選択的に更新し得る。場合によっては、ユーザは、方針を緩和するのではなく、方針をさらに制限するためにのみ、方針を更新し得る。追加的または代替的に、ユーザによって定義された方針が、この方針がデータの対象の組織をデータを見ることから除外するのを防ぐといった、方針ガイドラインによって制限され得る。プライバシー・ポータルは、プライバシーの選好を格納し、これらの選好を、データ・プロバイダなどの参加している実体に提供し、データの使用が許可される目的の追加または削除などの、十分な許可を有しているデータの対象またはその他の当事者による選好の変更を可能にするように、構成され得る。プライバシー・ポータルは、データの対象からの入力が取得されるべきであるかどうかを含む（ただし、これに限定されない）、個人データがどのように使用され得るかを示す法律および企業の方針を管理してもよい。

別の技術的解決策は、目的に基づく鍵を使用してデータ自体を暗号化することであってよい。そのような暗号化によって、データ漏洩などを介して、許可されていない関係者にデータに対するアクセス権限が付与されている場合でも、そのような関係者によるデータの使用を防ぐ。目的に対応する鍵を使用して、データが暗号化され得る。場合によっては、結合する制限が適用されるときに、目的に対応する鍵、および追加の１つまたは複数の結合する制限に対応する追加の鍵に基づいて、複合鍵が作成され得る。一部の実施形態例では、分離的制限（disjunctive restrictions）が適用される場合、異なる鍵を使用して同じデータが暗号化される。例えば、鍵Ａを目的Ａに使用し、それとは別に、鍵Ｂを目的Ｂに使用する。

一部の実施形態例では、目的に基づく制限を含む、適用された制限をエンコードした方法で、データが暗号化され得る。場合によっては、許可された目的、許可された最小スコア、許可されたデータ・コンシューマ、許可された地理的位置などを示すなど、制限をリスト表示するために、データのヘッダーが使用され得る。このヘッダーは、特定のデータ・コンシューマがデータを特定の目的に使用することができるかどうかを判定するために使用され得る。

さらに別の技術的解決策は、保護されたメモリ領域を有することなどの、保護されたプロセスを採用することであってよい。場合によっては、エンクレーブを保護されたプロセスに割り当てるために、インテル（ＴＭ）によるソフトウェア・ガード・エクステンションズ（ＳＧＸ：Software Guard Extensions）が採用されてよく、これによって、ハイパーバイザ、オペレーティング・システム、およびその他の許可されていないサードパーティが、保護されたプロセスを実行しているマシンに対する無制限のアクセス権限を持っている場合でも、そのような関係者からのアクセスを防ぐ。追加的または代替的に、信頼できるメモリ・ゾーンを割り当てるために、ＡＲＭ（ＴＭ）によるＴｒｕｓｔｅｄＺｏｎｅが採用されてよく、このメモリ・ゾーンへのアクセスは、保護されたプロセスに制限される。ＴｒｕｓｔｅｄＺｏｎｅは、マシンレベルの許可に関わらず、サードパーティから信頼できるメモリ・ゾーンへのアクセスを防ぐことができる。

一部の実施形態例では、保護されたプロセスは、（例えば、動作の目的、認証、およびデータの許可された目的に依って）望ましい動作を実行するための暗号化データへのアクセス権限がデータ・コンシューマに与えられている場合に、暗号化データのヘッダーを解析し、復号鍵を提供するために使用され得る。場合によっては、復号鍵は、暗号化データに一意に使用される一意の鍵である。一意の復号鍵は、許可された目的の復号鍵、結合する制限の復号鍵、およびデータを作成したデータ・プロデューサの鍵などの追加の鍵に基づいて生成され得る。そのような場合、復号鍵が暗号化データの復号に使用される保護されたプロセスの外部で、復号鍵が使用可能であるということは、アクセス制御に悪影響を与えない。特に、同じ復号鍵を他のデータ項目に使用することはできない。

一部の実施形態例では、保護されたプロセスは、データ・コンシューマのデータ処理全体を実行する責任を負ってよく、これによって、許可されていない関係者へのプライベート・データの漏洩を防ぐ。

開示される対象を利用することの１つの技術的効果は、データ自体に付随する不正使用に対するデータ保護を提供することであり、これによって、許可されていない関係者がデータに対するアクセス権限を獲得している場合でも、それらの関係者によってデータが使用されるのを防ぐ。配布されたデータ自体が暗号化され、正しい目的のためにＰＣＡによって許可されていないどの関係者によっても使用され得ない（かつ、場合によっては、追加の結合する制限に従う）。

開示される対象を利用することの別の技術的効果は、処理の大部分を実行するために集中型サーバを必要としない非集中型システムを提供することである。同意および方針の実施用の集中型システムは、性能ボトルネックを有していることがあり、中央データ・ストアにおける信用または信頼性を必要とすることがある。そのような解決策は、単一の企業にとっては合理的で適切であることがあるが、ＩｏＴにおいてウェアラブル・デバイスでしばしば発生する問題などのように、異なる実体にわたってデータを共有する場合に問題になることがある。開示される対象は、非集中型システムを提供し、制限が中心の位置に格納されず、中央処理のボトルネックが存在しない。代わりに、非常に重い暗号化動作／復号動作の処理が、システムのエージェント（新しいデータを作成し、目的に基づくアクセス制限を設定する場合は、データ・プロデューサ、および目的に基づく制限されたデータにアクセスする場合は、データ・コンシューマ）自体で実行され得る。そのような非集中化は、システムの全体的スループットを増やすことができ、潜在的なボトルネックを緩和することができる。

開示される対象は、すべての既存の手法、および当技術分野においてすでに日常的または慣習になっているすべての手法を上回る、１つまたは複数の技術的改良を提供することができる。本開示を考慮して、追加の技術的問題、解決策、および効果が、当業者にとって明らかに構成され得る。

ここで、開示される対象の一部の実施形態例に従って環境およびアーキテクチャの概略図を示している図１Ａを参照する。

環境１００は、開示される対象に従って、データを保持するデータ・ホルダ１０１を含んでよい。データ・ホルダ１０１は、ストレージ・サーバ、ネットワークに関連付けられたストレージ・デバイス、データ・センター、データベースなどであってよい。

環境１００は、許可された使用目的への適合性を認証および実施するように構成された目的認証機関（ＰＣＡ）モジュール１１０と、許可された目的または実体あるいはその両方の定義および更新を受信するように構成されたプライバシー・ポータル１２０とを含んでよい。ＰＣＡモジュール１１０は、定義された分類、ならびに登録された目的に対して指定された各公開鍵および秘密鍵の対の暗号システムに従って、目的の登録を管理し得る。目的の分類は、ＰＣＡモジュール１１０とプライバシー・ポータル１２０の間の全体的一貫性および互換性を保証するために、ＰＣＡモジュール１１０によって、プライバシー・ポータル１２０と共有され得る。プライバシー・ポータル１２０は、データ１０９の対象または対象の代わりの別のユーザから、あるいはプライバシーに関する方針から、使用許可を受信し、プライバシー設定１２５において保持し得る。

データ・プロデューサ１３０は、データの対象に関するデータを生成する実体であってよい。一部の実施形態例では、データ・プロデューサ１３０は、ユーザに関連する情報を追跡するアプリケーションであってよい。追加的または代替的に、データ・プロデューサ１３０は、データの対象に関連する情報を監視する、ＩｏＴに基づくデバイスであってよい。本開示を考慮して、データ・プロデューサの追加の例が、当業者にとって明らかになるであろう。データ１３１（図１Ａに示されていない）は、プライベート・データの加工されていないバージョンであってよい。データ・プロデューサ１３０は、データの１つまたは複数の暗号化されたバージョンを提供するように構成されてよく、これらの各々は、少なくとも１つの目的に関連する暗号鍵を使用して暗号化されている。一例として、データ１３１が、目的Ａおよび目的Ｃに使用可能にされている場合、データ・プロデューサ１３０は、データ_Ａ１３２およびデータ_Ｃ１３８を提供し得る。データ_Ａ１３２は、目的Ａに関連付けられた目的に基づく暗号鍵によって暗号化され得る。データ_Ａ１３２は、データ・コンシューマ１１１、１１３、１１５などの、目的Ａに対して認証されていて、対応する秘密鍵（ＰｒＫ_Ａ１４２）にアクセスできるデータ・コンシューマによって復号可能であってよい。追加的または代替的に、データ_Ｃ１３８は、目的Ｃに関連付けられた目的に基づく暗号鍵を使用して暗号化され、データ・コンシューマ１１３、１１７などの、ＰｒＫ_Ｃ１４６にアクセスできるデータ・コンシューマが使用することができる。

一部の実施形態例では、データ・プロデューサ１３０は、データ・コンシューマの特定の識別情報に対する制限、情報を使用しているデータ・コンシューマのスコアに対する制限、データ・コンシューマの地理的位置に対する制限などの、ただしこれらに限定されない、追加の結合する制限を伴うデータを提供し得る。一部の実施形態例では、このスコアは、一般的なプライバシーの規制または標準へのデータ・コンシューマの適合性を示すスコアであってよい。追加的または代替的に、このスコアは、データ・コンシューマによるデータの使用に関する調査に基づいて、ＰＣＡによって与えられるスコアであってよい。例えば、フェイスブック（ＴＭ）は、（プライバシーに関する方針および利用規約に従って）政府と情報を共有するために、相対的に低いスコアを受信することができ、一方、テレグラム（ＴＭ）は、すべてのサードパーティと情報を共有するのを防ぐことに起因して、相対的に高いスコアを受信することができる。例えば、追加の制限要件Ｂが提供された場合、制限要件に対応する鍵を単独で使用して（データ_Ｂ１３４）、または制限要件の鍵と共に目的に基づく鍵を使用して（データ_ＡＢ１３６）、データが暗号化され得る。

環境１００は、データ・コンシューマ１１１、１１３、１１５、および１１７などの、データ１３１を使用することに関心があることがある１つまたは複数の実体を含んでよい。データ・コンシューマ１１１、１１３、１１５、１１７は、サービスを提供するためにデータを利用して処理することがあるため、サービス・プロバイダと呼ばれてもよい。ＰＣＡは、１つまたは複数の目的に対してデータ・コンシューマ１１１、１１３、１１５、１１７の各々を認証し、それに応じて、認証された目的および他の制限要件（目的Ａの場合はＰｒＫ_Ａ１４２、および目的Ｃの場合はＰｒＫ_Ｃ１４６など）の順守に従って、ＰＣＡモジュール１１０によって、各秘密鍵の各々をデータ・コンシューマに提供し得る。示されている例では、データ・コンシューマ１１１が目的Ａに対して認証され、ＰｒＫ_Ａ１４２を付与されてよく、データ・コンシューマ１１３が目的Ａおよび目的Ｃの両方に対して認証され、ＰｒＫ_Ａ１４２およびＰｒＫ_Ｃ１４６を付与されてよく、データ・コンシューマ１１５が目的Ａに対して認証されてよく、制限要件Ｂに従い、ＰｒＫ_Ａ１４２およびＰｒＫ_Ｂ１４４を付与されてよく、データ・コンシューマ１１７が目的Ｃに対して認証され、ＰｒＫ_Ｃ１４６を付与され得る。

データ・コンシューマ１１１、１１３、１１５、１１７は、データ・ホルダ１０１に対するアクセス権限を付与されてよく、またはその他の方法で、データの暗号化されたバージョン（例えば、データ_Ａ１３２、データ_Ｂ１３４、データ_Ｃ１３６、データ_Ｄ１３８）に対するアクセス権限を与えられ得る。

一部の実施形態例では、データを暗号化するために使用される公開鍵は、ＰＣＡモジュール１１０を介してアクセスできるなどのように、一般に使用可能であってよく、インターネットなどで公開されているデータ・ホルダ１０１上に保持され得る。一例として、データが暗号化される場合、データ・プロデューサ１３０は、ＰＣＡモジュール１１０に対して関連する公開鍵を要求し得る。要求された鍵は、データの対象、データ・プロデューサ１３０などに関連付けられたプライバシー設定１２５に基づいてよい。

プライバシー・ポータル１２０は、プライバシー設定１２５で指定されるように、データの使用が許可される目的の指示を提供し得る。プライバシー設定１２５に従って使用されるデータを提供することに関心があるデータ・プロデューサ１３０は、特定の使用目的または結合する制限あるいはその両方を示す関連する鍵を使用してデータを暗号化し得る。

データ・コンシューマがデータを利用することを望む場合、データ・コンシューマはデータを取得しようとしてよい。例えば、目的Ａに対して認証されているデータ・コンシューマ１１１は、ＰｒＫ_Ａ１４２にアクセスすることができる。データ・コンシューマ１１１は、ＰｒＫ_Ａ１４２を利用してデータ_Ａ１３２を復号し、データに対するアクセス権限を獲得し得る。しかし、データ_ＡＢ１３６またはデータ_Ｃ１３８のみが使用可能である場合などの、データ_Ａ１３２が使用不可能である場合には、データ・コンシューマ１１１は、データに対するアクセス権限を獲得できなくてよい。一部の実施形態例では、データにアクセスするためにどの鍵が必要とされるかに関する情報（例えば、目的、結合する制限など）が、データのヘッダー内で、暗号化されていない形態で提供され得る。そのような情報を提供することによって、関連する鍵が使用可能でない場合、復号を試みる必要がなくてよいため、計算リソースを使わないようにすることができる。

ここで、開示される対象の一部の実施形態例に従って環境およびアーキテクチャの概略図を示している図１Ｂを参照する。

データ・プロデューサ１３０は、加工されていないデータ１３１を生成するように構成される。プライバシー・プロキシ１３５は、目的に基づく許可のアクセス制御が埋め込まれているデータ１３１のコピーを作成するように構成され得る。異なるアクセス許可のために、同じデータが複数回複製され得る。示されている例では、データ１３１が、目的Ａのみに対して許可されるように提供される（データ_Ａ１３２）。プライバシー・プロキシ１３５は、プライバシー・ポータル１２０を介して提供されて定義されたプライバシー設定１２５に基づいて、データのどの複製を作成するかを決定し得る。追加的または代替的に、インターネットを経由して一般に公開されている位置、ＰＣＡモジュール１１０によって公開されている位置などの、集中的な位置から、関連する暗号鍵がプライバシー・プロキシ１３５に提供され得る。

一部の実施形態例では、プライバシー・プロキシ１３５が、データを生成してデータ・プロデューサ１３０を実行するマシン上で実装され得る。一部の実施形態例では、同じコンピュータが、データ・プロデューサ１３０を実行して加工されていないデータ（１３１）を生成することに加えて、プライバシー・プロキシ１３５を実行してそのアクセス制限されたバージョン（１３２）を生成し得る。一部の実施形態例では、プライバシー・プロキシ１３５が、オペレーティング・システムによって呼び出されるドライバ内で実装されるなどの、コンピュータの送信通信モジュールの一部として実装され得る。プライバシー・プロキシ１３５は、データがコンピュータから外部コンピュータに送信されるときにデータを暗号化するために呼び出されてよく、他の関係者が、適切に許可されない限り、データに対するアクセス権限を獲得しないことを保証する。追加的または代替的に、データ・プロデューサ１３０が加工されていない形態（１３１）でデータを使用するときに、データを使用することを許可するために、プライバシー・プロキシ１３５が、データがサードパーティに送信されるゲートウェイなどの異なるマシン上で実装されてよく、正しく許可されない限り、サードパーティがデータを使用することが制限されることを保証する。

図１Ａの１１１、１１３、１１５、１１７などのデータ・コンシューマ１４０は、処理の目的などでデータ１３１を使用することを望んでいるサービス１４６として実装され得る。データ・コンシューマ１４０は、保護された形態でデータ（例えば、データ_Ａ１３２）を受信し得る。復号器１４２は、データ（データ_Ａ１３２）を復号するように構成されてよく、復号器１４２は、データ_Ａ１３２のヘッダーを含む目的エンクレーブ（Purpose Enclave）１４４を提供し得る。目的エンクレーブ１４４は、データ・コンシューマが復号鍵を取得することが許可されている場合に、ＰＣＡモジュール１１０から復号鍵を取得するように構成され得る。目的エンクレーブ１４４は、鍵を復号器１４２に返してよく、その後、復号器１４２はデータ_Ａ１３２を復号してデータ１３１を取得し得る。次に、データ１３１がサービス１４６によって使用され、処理され得る。

一部の実施形態例では、目的エンクレーブ１４４は、ＳＧＸまたは信頼できるメモリ・ゾーンを使用するエンクレーブを使用して実装されたプロセスなどの、保護されたプロセスによって実行され得る。目的エンクレーブ１４４は暗号化データ（データ_Ａ１３２）のヘッダーを解析するため、データ・コンシューマ１４０が複数の目的に対して許可されている場合でも、データ・コンシューマ１４０が、データをサービス１４６に提供するためにデータ・コンシューマ１４０上で実行されている他のサービス（図示されていない）の許可の鍵を使用してプライバシーを侵害しないことを保証するために、目的エンクレーブ１４４が使用され得る。例えば、データ・コンシューマ１４０が、目的Ｂに関連付けられたサービス１４６および目的Ａに関連付けられた別のサービス（図示されていない）という２つのサービスを実装する場合について考える。他のサービスが目的Ａに対して認証されているため、データ・コンシューマ１４０はデータ_Ａ１３２を復号することができる。しかし、そのような復号は、データがサービス１４６ではなく他のサービスに提供される場合のみに限られるべきである。保護されたサービスを実行することによって、データのヘッダーが鍵を本当に必要としている場合にのみ、許可されたサービスのみのために鍵が返されることを保証することができる。

ここで、開示される対象の一部の実施形態例に従って代替のアーキテクチャを示している図１Ｃを参照する。

データ・コンシューマ１４０は、サービス１４６が保護されたプロセス（例えば、目的エンクレーブ１４４）として実行されるような方法で実装される。そのような実装は、データ１３１がサービス１４６のみに閲覧可能および使用可能であり、データ・コンシューマ１４０によって実行される他のプロセスには閲覧可能および使用可能でないことを保証する。データ１３１は、カーネル・プロセス、データ・コンシューマ１４０のオペレーティング・システム、ハイパーバイザなどでも使用不可能である。そのような解決策は、サービス１４６がサードパーティによって所有されて運用されているハードウェア上で実行されている場合でも、データ１３１が漏洩しないことを保証することもできる。

ここで、開示される対象の一部の実施形態例に従って方法のフローチャート図を示している図２を参照する。

ステップ２００で、データが取得される。このデータは、対象に関するデータであってよい。このデータは、データの対象を監視すること、データの対象に関連する情報を解析すること、などから取得され得る。一部の実施形態例では、このデータは、データの対象によって身に着けられているウェアラブル・デバイス、データの対象によって運ばれているか、または使用されているユーザ・デバイス、データの対象またはデータの対象の環境を監視しているＩｏＴデバイスなどから取得され得る。このデータは、いくつかの目的のために取得されてよく、使用可能であることが好ましい。

ステップ２１０で、許可された目的のセットが取得され得る。一部の実施形態例では、許可された目的は、プライバシー・ポータルから取得され得る。許可された目的は、データの種類、データの発生源、データの対象などに基づいて設定され得る。一部の実施形態例では、複数の許可された目的が存在し得る。ステップ２１０～２５０で、各目的が個別に処理され得る。

ステップ２２０で、目的の暗号鍵が取得され得る。暗号鍵は、公開されている目的の公開鍵であってよい。追加的または代替的に、暗号鍵は、図１Ａの１１０などのＰＣＡモジュールから取得され得る。

ステップ２３０で、データの使用に適用される１つまたは複数の結合する制限に関連付けられた暗号鍵などの、追加の暗号鍵が取得され得る。前記データの使用に適用される結合する制限は、図１Ａの１２５などのプライバシー設定に基づいて決定され得る。

ステップ２４０で、ステップ２２０～２３０で取得された鍵を使用してデータが暗号化され得る。一部の実施形態例では、複数の鍵を使用して複合鍵が作成され、単一の動作でデータを暗号化するために使用され得る。追加的または代替的に、第１の鍵を使用してデータが暗号化されてよく、その後、その結果が第２の鍵を使用して暗号化され得る、などとなる。追加的または代替的に、データが、目的に基づく鍵を使用して暗号化され、その後、結合する制限に関連付けられた１つまたは複数の鍵を使用して暗号化され得る。

一部の実施形態例では、ステップ２２０～２４０が反復的に実行されてよく、（例えば、ステップ２２０または２３０で）１つの鍵が取得されて（例えば、ステップ２４０で）暗号化に使用され、その後、（例えば、ステップ２２０または２３０で）別の鍵が取得されて（例えば、ステップ２４０で）さらに暗号化に使用される、などとなる。

ステップ２５０で、暗号化データが他の関係者に送信されてよく、またはその他の方法で他の関係者が使用できるようにされ得る。暗号化データ自体がサードパーティに送信されてよく、関連する目的に対して認証されていること、結合する制限に従う特性を有していることなどを考慮して、関連する復号鍵にアクセスできるデータ・コンシューマでの加工されていないデータの使用を可能にする。

ここで、開示される対象の一部の実施形態例に従って方法のフローチャート図を示している図３を参照する。

ステップ３００で、保護されたデータが取得され得る。目的に基づく鍵または結合する制限に関連付けられた鍵あるいはその両方を使用して、保護されたデータが暗号化され得る。図１Ａの１３２などの保護されたデータは、保護されたデータの許可された目的または保護されたデータに適用される結合する制限あるいはその両方を示す、暗号化されていないヘッダーを含んでよい。

ステップ３１０で、データに対するアクセス許可が決定され得る。アクセス許可は、データのヘッダーに基づいて決定され得る。追加的または代替的に、アクセス許可は、図３の方法を実行しているデータ・コンシューマが使用できる鍵を使用して、保護されたデータを復号しようとすることによって、暗黙的に決定され得る。

ステップ３２０で、データ・コンシューマの特性が決定され得る。これらの特性は、実行中に決定されてよく、または先験的に決定され得る。これらの特性は、可能性のある結合する制限に関連し得る。追加的または代替的に、結合する制限がデータに関連する場合にのみ、関連する特性が決定され得る。一部の実施形態例では、この特性は、データ・コンシューマの識別情報、データ・コンシューマの地理的位置、プライバシーのスコアなどを示し得る。サブステップ３２２で、データ・コンシューマのスコアが計算され得る。場合によっては、このスコアは手動で提供され得る。追加的または代替的に、このスコアは、一般的なプライバシーに関する方針への監視された適合性などに基づいて自動的に計算され得る（一般的なプライバシーに関する方針は、図３のステップを実行しているデータ・コンシューマの方針よりも厳しいことがある）。サブステップ３２４で、ＧＰＳ測定値、データ・コンシューマによって使用されているＩＰアドレスの地理的位置などに基づいて、データ・コンシューマの地理的位置が決定され得る。追加的または代替的に、この地理的位置は、データ・コンシューマを運用している実体の法人設立文書などの法的文書に基づいて決定され得る。

ステップ３３０で、１つまたは複数の復号鍵が取得され得る。これらの復号鍵は、図１の１１０などのＰＣＡモジュールから取得され得る。これらの復号鍵は、データ・コンシューマによってＰＣＡモジュールから最初に取得され、ローカルに保持され得る。追加的または代替的に、これらの復号鍵は、使用する必要があるときに、要求に応じて取得され得る。取得された復号鍵は、認証された目的、認証されたスコア、認証された識別情報、認証された地理的位置などの、データのアクセス許可に関連付けられた鍵であってよい。

ステップ３４０で、暗号化データが復号されて、データを取得し得る。

ステップ３５０で、図１Ｂのサービス１４６などによって、データが処理され得る。このデータは、許可された目的に関連する処理に使用され得る。一部の実施形態例では、ＰＣＡは、コードを調べ、特定の目的を提示しながらデータにアクセスするコードが、それ自身をその特定の目的のためのみにデータを利用することに本当に制限しているということを保証することによって、サービス・プロバイダを認証し得る。

一部の実施形態例では、図１Ｃに例示されているような保護されたプロセスによって、ステップ３１０～３５０が実行され得る。追加的または代替的に、図１Ｂに例示されているような保護されたプロセスによって、ステップ３１０～３３０が実行され得る。

本発明は、システム、方法、またはコンピュータ・プログラム製品、あるいはその組み合わせであってよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を含むコンピュータ可読ストレージ媒体を含んでよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および格納できる有形のデバイスであることができる。コンピュータ可読ストレージ媒体は、例えば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、またはこれらの任意の適切な組み合わせであってよいが、これらに限定されない。コンピュータ可読ストレージ媒体のさらに具体的な例の非網羅的リストは、ポータブル・フロッピー（Ｒ）・ディスク、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ：random access memory）、読み取り専用メモリ（ＲＯＭ：read-onlymemory）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ：erasableprogrammable read-only memoryまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：static random access memory）、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ－ＲＯＭ：compact disc read-only memory）、デジタルバーサタイルディスク（ＤＶＤ：digital versatile disk）、メモリ・スティック、フロッピー（Ｒ）・ディスク、パンチカードまたは命令が記録されている溝の中の隆起構造などの機械的にエンコードされるデバイス、およびこれらの任意の適切な組み合わせを含む。本明細書において使用されるとき、コンピュータ可読ストレージ媒体は、それ自体が、電波またはその他の自由に伝搬する電磁波、導波管またはその他の送信媒体を伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、あるいはワイヤを介して送信される電気信号などの一過性の信号であると解釈されるべきではない。

本明細書に記載されたコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体から各コンピューティング・デバイス／処理デバイスへ、またはネットワーク（例えば、インターネット、ローカル・エリア・ネットワーク、広域ネットワーク、または無線ネットワーク、あるいはその組み合わせ）を介して外部コンピュータまたは外部ストレージ・デバイスへダウンロードされ得る。このネットワークは、銅伝送ケーブル、光伝送ファイバ、無線送信、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組み合わせを備え得る。各コンピューティング・デバイス／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェイスは、コンピュータ可読プログラム命令をネットワークから受信し、それらのコンピュータ可読プログラム命令を各コンピューティング・デバイス／処理デバイス内のコンピュータ可読ストレージ媒体に格納するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：instruction-set-architecture）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、あるいは、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同様のプログラミング言語などの従来の手続き型プログラミング言語を含む１つまたは複数のプログラミング言語の任意の組み合わせで記述されたソース・コードまたはオブジェクト・コードであってよい。コンピュータ可読プログラム命令は、ユーザのコンピュータ上で全体的に実行すること、ユーザのコンピュータ上でスタンドアロン・ソフトウェア・パッケージとして部分的に実行すること、ユーザのコンピュータ上およびリモート・コンピュータ上でそれぞれ部分的に実行すること、あるいはリモート・コンピュータ上またはサーバ上で全体的に実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ：local area network）または広域ネットワーク（ＷＡＮ：wide areanetwork）を含む任意の種類のネットワークを介してユーザのコンピュータに接続されてよく、または接続は、（例えば、インターネット・サービス・プロバイダを使用してインターネットを介して）外部コンピュータに対して行われ得る。一部の実施形態では、本発明の態様を実行するために、例えばプログラマブルロジック回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ：field-programmable gate arrays）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：programmable logic arrays）を含む電子回路は、コンピュータ可読プログラム命令の状態情報を利用することによって、電子回路をカスタマイズするためのコンピュータ可読プログラム命令を実行し得る。

本発明の態様は、本明細書において、本発明の実施形態に従って、方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して説明される。フローチャート図またはブロック図あるいはその両方の各ブロック、ならびにフローチャート図またはブロック図あるいはその両方に含まれるブロックの組み合わせが、コンピュータ可読プログラム命令によって実装され得るということが理解されるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたはその他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックに指定される機能／動作を実施する手段を作り出すべく、汎用コンピュータ、専用コンピュータ、または他のプログラム可能なデータ処理装置のプロセッサに提供されてマシンを作り出すものであってよい。これらのコンピュータ可読プログラム命令は、命令が格納されたコンピュータ可読ストレージ媒体がフローチャートまたはブロック図あるいはその両方のブロックに指定される機能／動作の態様を実施する命令を含む製品を備えるように、コンピュータ可読ストレージ媒体に格納され、コンピュータ、プログラム可能なデータ処理装置、または他のデバイス、あるいはその組み合わせに特定の方式で機能するように指示できるものであってもよい。

コンピュータ可読プログラム命令は、コンピュータ上、その他のプログラム可能な装置上、またはその他のデバイス上で実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックに指定される機能／動作を実施するように、コンピュータ、その他のプログラム可能なデータ処理装置、またはその他のデバイスに読み込まれてもよく、それによって、一連の動作可能なステップを、コンピュータ上、その他のプログラム可能な装置上、またはコンピュータ実装プロセスを生成するその他のデバイス上で実行させる。

図内のフローチャートおよびブロック図は、本発明のさまざまな実施形態に従って、システム、方法、およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能、および動作を示す。これに関連して、フローチャートまたはブロック図内の各ブロックは、規定された論理機能を実装するための１つまたは複数の実行可能な命令を備える、命令のモジュール、セグメント、または部分を表し得る。一部の代替の実装では、ブロックに示された機能は、図に示された順序とは異なる順序で発生し得る。例えば、連続して示された２つのブロックは、実際には、含まれている機能に依って、実質的に同時に実行されるか、または場合によっては逆の順序で実行され得る。ブロック図またはフローチャート図あるいはその両方の各ブロック、ならびにブロック図またはフローチャート図あるいはその両方に含まれるブロックの組み合わせは、規定された機能または動作を実行するか、または専用ハードウェアとコンピュータ命令の組み合わせを実行する専用ハードウェアベースのシステムによって実装され得るということにも注意する。

本明細書で使用される用語は、特定の実施形態を説明することのみを目的としており、本発明を制限することを意図していない。本明細書で使用される単数形「ａ」、「ａｎ」、および「ｔｈｅ」は、特に明示的に示されない限り、複数形も含むことが意図されている。「備える（ｃｏｍｐｒｉｓｅ）」または「備えている（ｃｏｍｐｒｉｓｉｎｇ）」あるいはその両方の用語は、本明細書で使用される場合、記載された機能、整数、ステップ、動作、要素、またはコンポーネント、あるいはその組み合わせの存在を示すが、１つまたは複数のその他の機能、整数、ステップ、動作、要素、コンポーネント、またはこれらのグループ、あるいはその組み合わせの存在または追加を除外していないということが、さらに理解されるであろう。

下の特許請求の範囲内のすべての手段またはステップおよび機能要素の対応する構造、材料、動作、および等価なものは、具体的に請求されるその他の請求された要素と組み合わせて機能を実行するための任意の構造、材料、または動作を含むことが意図されている。本発明の説明は、例示および説明の目的で提示されているが、網羅的であることは意図されておらず、開示された形態での発明に限られない。本発明の範囲および思想を逸脱することなく多くの変更および変形が可能であることは、当業者にとって明らかである。本発明の原理および実際的な適用を最も適切に説明するため、およびその他の当業者が、企図されている特定の用途に適しているような種々の変更を伴う多様な実施形態に関して、本発明を理解できるようにするために、実施形態が選択されて説明された。

一部の実施形態例では、特定の目的のためのデータの使用の許可は、追加の結合する制限と共に付与され得る。例えば、この許可は、データが特定の目的に使用されるという要件に加えて、特定のデータ・コンシューマに制限され得る。そのような制限を実施するために、データ・プロセッサ自体の公開鍵および目的の公開鍵の両方から成る複合鍵が、この使用のデータ・プロセッサを対象にする情報を暗号化するために使用され得る。それに依って、「箱の中の箱」の暗号化方法が適用されてよく、この方法では、最初に情報が、目的の公開鍵を使用して暗号化され、次に、データ・プロセッサ自体の公開鍵を使用して再び暗号化され得る。特定のデータ・コンシューマの許可に加えて、または特定のデータ・コンシューマの許可の代わりに、追加の結合する制限が利用され得る。例えば、結合する制限は、最小しきい値を超えるスコアを使用してデータ・コンシューマがランク付けされている制限であってよい。各データ・コンシューマは、データ・コンシューマがどの程度良くプライバシー要件に適合しているか、またはデータ・コンシューマのプライバシーに関する方針がどの程度プライバシーを守っているか、などに従って、ランク付けされ得る。例えば、ＰＣＡによって、各データ・コンシューマに、０～１の範囲内のスコアが与えられ得る。データの使用は、少なくとも０．６のスコアを有しているデータ・コンシューマに制限され得る。目的に基づく鍵に基づき、かつ０．６の最小しきい値に関連付けられた暗号鍵に基づく複合鍵が、データの暗号化に使用され得る。０．６以上のスコアを有しているデータ・コンシューマは、０．６の最小しきい値に関連付けられた復号鍵にアクセスすることができてよく、この復号鍵が許可された目的のために認証されている場合、この復号鍵を使用してデータを復号し得る。さらに別の例として、結合する制限は、データが使用されている地理的位置での制限であってよい。ユーザは、ユーザのプライベート・データに対するアクセス権限を獲得するのを防ぐことを望むことがある。別の例として、組織の方針が、プライベート・データの使用を、地理的、排他的に制限することがある。そのような制限は、目的に基づく鍵および地理的位置に基づく鍵に基づいている複合鍵を利用することによって、表され得る。復号中に、ＰＣＡは、ＧＰＳモジュールを使用すること、ＩＰアドレスの地理的位置を決定することなどを実行して、データ・コンシューマの地理的位置を決定し、適切な復号鍵へのアクセスをデータ・コンシューマに提供するかどうかを判定し得る。場合によっては、データ・プロバイダの地理的位置は、データ利用プロセスを実行しているマシンの物理的位置（例えば、データを処理しているデータ・コンシューマのサーバの位置）であってよい。追加的または代替的に、この地理的位置は、データ利用プロセスを操作している実体の法的位置に基づくようにしてもよい。例えば、Ａ国の会社がＢ国にあるサーバを使用している場合でも、このＡ国の会社がＢ国の排他的なデータに対するアクセス権限を獲得することが制限され得る。

Claims

方法であって、
対象のデータを有することであって、目的のための前記データの使用に対する承認が提供される、前記有することと、
前記目的に関連付けられた暗号鍵を取得することであって、前記暗号鍵を使用して暗号化された情報を復号するために、復号鍵が必要とされる、前記取得することと、
前記暗号鍵を使用して前記データを暗号化することであって、それによって、前記データを使用できる前記目的を使用してエンコードされた目的に基づく暗号化データを取得する、前記暗号化することと、
１つまたは複数のデータ・コンシューマに対して、前記目的に基づく暗号化データへのアクセスを有効化することであって、それによって、前記目的のために認証されたデータ・コンシューマが使用できる前記復号鍵を使用して前記目的に基づく暗号化データを復号することによって、前記データに対するアクセス権限が取得可能になる、前記有効化することとを含む、方法。
第２の目的のための前記データの使用に対する承認が提供され、前記方法が、
前記第２の目的に関連付けられた第２の暗号鍵を取得することであって、前記第２の暗号鍵を使用して暗号化された情報を復号するために、第２の復号鍵が必要とされる、前記取得することと、
前記第２の暗号鍵を使用して前記データを暗号化することであって、それによって、前記データを使用できる前記第２の目的を使用してエンコードされた第２の目的に基づく暗号化データを取得する、前記暗号化することと、
前記１つまたは複数のデータ・コンシューマに対して、前記第２の目的に基づく暗号化データへのアクセスを有効化することであって、それによって、前記目的のために認証されたデータ・コンシューマが使用できる前記復号鍵を使用して前記目的に基づく暗号化データを復号することによって、または前記第２の目的のために認証されたデータ・コンシューマが使用できる前記第２の復号鍵を使用して前記第２の目的に基づく暗号化データを復号することによって、前記データに対するアクセス権限が取得可能になる、前記有効化することとをさらに含む、請求項１に記載の方法。
前記目的のための前記データの使用に対する前記承認が、結合する制限によって制限され、
前記データを前記暗号化することが、
前記暗号鍵を使用して前記データを暗号化して、中間データを取得することと、
前記結合する制限に関連付けられた第２の暗号鍵を使用して前記中間データを暗号化することとを含み、それによって、前記目的に基づく暗号化データを取得し、前記第２の暗号鍵を使用して暗号化された情報を復号するために、第２の復号鍵が必要とされ、前記第２の復号鍵が、前記結合する制限に従う前記データ・コンシューマによって制限的に使用可能であり、
それによって、前記目的のために認証されたデータ・コンシューマが使用できる前記復号鍵を、前記結合する制限に従うサービス・プロバイダが使用できる前記第２の復号鍵と共に使用して前記目的に基づく暗号化データを復号することによって、前記データに対するアクセス権限が取得可能になる、請求項１に記載の方法。
前記結合する制限が、許可されたサービス・プロバイダの識別情報であり、それによって、前記許可されたサービス・プロバイダのみが、前記データを前記目的に使用するためのみに、前記データにアクセスすることができる、請求項３に記載の方法。
前記結合する制限が、
前記データを使用しているサービス・プロバイダの最小しきい値スコアに対する制限、および
前記データを使用しているサービス・プロバイダの地理的位置に対する制限のうちの１つである、請求項３に記載の方法。
前記有効化することが、
前記目的に基づく暗号化データを、前記１つまたは複数のデータ・コンシューマがアクセスできるデータ・ストレージ上に保持することと、
前記目的に基づく暗号化データを、前記１つまたは複数のデータ・コンシューマに送信することとのうちの少なくとも１つを含む、請求項１に記載の方法。
１つまたは複数のデータ・コンシューマへの前記復号鍵の配布が、目的認証機関（ＰＣＡ）モジュールによって実行され、データを前記目的に使用するために前記ＰＣＡによって認証されているデータ・コンシューマに制限される、請求項１に記載の方法。
第１の目的のための前記データの使用に対する前記承認が、前記対象によって、または方針に従って提供される、請求項１に記載の方法。
前記暗号化することが、
前記目的に基づく暗号化データのヘッダー内で、前記目的の識別子をエンコードすることをさらに含み、それによって、意図された使用目的に基づいてデータ・コンシューマが前記データを利用することが許可されるかどうかを前記データ・コンシューマが判定できるようにする、請求項１に記載の方法。
方法であって、
データを暗号化する目的に基づく暗号化データを取得することであって、目的に関連付けられた暗号鍵を使用して前記目的に基づく暗号化データが暗号化され、前記目的のための前記データの使用に対する承認が提供される、前記取得することと、
前記目的に関連付けられた復号鍵を使用して前記目的に基づく暗号化データを復号することであって、前記暗号鍵を使用して暗号化された情報を復号するために前記復号鍵が使用可能であり、それによって前記データを取得する、前記復号することと、
データ・コンシューマによって前記データを使用することとを含む、方法。
前記復号することが保護されたプロセス内で実行され、他のプロセスからの前記保護されたプロセスのメモリ領域へのアクセスが制限され、それによって、他のプロセスに対して前記復号鍵へのアクセスを防ぐ、請求項１０に記載の方法。
前記データを前記使用することが前記保護されたプロセス内で実行される、請求項１１に記載の方法。
前記復号することが、
前記目的に基づく暗号化データのヘッダーを前記保護されたプロセスに提供することであって、前記ヘッダーが、前記目的、データ・コンシューマ、および結合する制限のうちの少なくとも１つの指示を含む、前記提供することと、
前記復号鍵を前記保護されたプロセスから受信することとを含み、
前記データを前記使用することが、前記保護されたプロセスの外部から実行される、請求項１１に記載の方法。
プロセッサおよび結合されたメモリを含んでいるコンピュータ化された装置であって、前記プロセッサが、
対象のデータを有することであって、目的のための前記データの使用に対する承認が提供される、前記有することと、
前記目的に関連付けられた暗号鍵を取得することであって、前記暗号鍵を使用して暗号化された情報を復号するために、復号鍵が必要とされる、前記取得することと、
前記暗号鍵を使用して前記データを暗号化することであって、それによって、前記データを使用できる前記目的を使用してエンコードされた目的に基づく暗号化データを取得する、前記暗号化することと、
１つまたは複数のデータ・コンシューマに対して、前記目的に基づく暗号化データへのアクセスを有効化することであって、それによって、前記目的のために認証されたデータ・コンシューマが使用できる前記復号鍵を使用して前記目的に基づく暗号化データを復号することによって、前記データに対するアクセス権限が取得可能になる、前記有効化することとを実行するように適合されている、コンピュータ化された装置。
第２の目的のための前記データの使用に対する承認が提供され、プログラム命令が、前記プロセッサに、
前記第２の目的に関連付けられた第２の暗号鍵を取得することであって、前記第２の暗号鍵を使用して暗号化された情報を復号するために、第２の復号鍵が必要とされる、前記取得することと、
前記第２の暗号鍵を使用して前記データを暗号化することであって、それによって、前記データを使用できる前記第２の目的を使用してエンコードされた第２の目的に基づく暗号化データを取得する、前記暗号化することと、
前記１つまたは複数のデータ・コンシューマに対して、前記第２の目的に基づく暗号化データへのアクセスを有効化することであって、それによって、前記目的のために認証されたデータ・コンシューマが使用できる前記復号鍵を使用して前記目的に基づく暗号化データを復号することによって、または前記第２の目的のために認証されたデータ・コンシューマが使用できる前記第２の復号鍵を使用して前記第２の目的に基づく暗号化データを復号することによって、前記データに対するアクセス権限が取得可能になる、前記有効化することとをさらに実行させる、請求項１４に記載のコンピュータ化された装置。
前記目的のための前記データの使用に対する前記承認が、結合する制限によって制限され、
前記データを前記暗号化することが、
前記暗号鍵を使用して前記データを暗号化して、中間データを取得することと、
前記結合する制限に関連付けられた第２の暗号鍵を使用して前記中間データを暗号化することとを含み、それによって、前記目的に基づく暗号化データを取得し、前記第２の暗号鍵を使用して暗号化された情報を復号するために、第２の復号鍵が必要とされ、前記第２の復号鍵が、前記結合する制限に従う前記データ・コンシューマによって制限的に使用可能であり、
それによって、前記目的のために認証されたデータ・コンシューマが使用できる前記復号鍵を、前記結合する制限に従うサービス・プロバイダが使用できる前記第２の復号鍵と共に使用して前記目的に基づく暗号化データを復号することによって、前記データに対するアクセス権限が取得可能になる、請求項１４に記載のコンピュータ化された装置。
前記結合する制限が、
許可されたサービス・プロバイダの識別情報、
前記データを使用しているサービス・プロバイダの最小しきい値スコアに対する制限、および
前記データを使用しているサービス・プロバイダの地理的位置に対する制限のうちの１つである、請求項１６に記載のコンピュータ化された装置。
前記有効化することが、
前記目的に基づく暗号化データを、前記１つまたは複数のデータ・コンシューマがアクセスできるデータ・ストレージ上に保持することと、
前記目的に基づく暗号化データを、前記１つまたは複数のデータ・コンシューマに送信することとのうちの少なくとも１つを含む、請求項１４に記載のコンピュータ化された装置。
１つまたは複数のデータ・コンシューマへの前記復号鍵の配布が、目的認証機関（ＰＣＡ）モジュールによって実行され、データを前記目的に使用するために前記ＰＣＡによって認証されているデータ・コンシューマに制限される、請求項１４に記載のコンピュータ化された装置。
前記暗号化することが、
前記目的に基づく暗号化データのヘッダー内で、前記目的の識別子をエンコードすることをさらに含み、それによって、意図された使用目的に基づいてデータ・コンシューマが前記データを利用することが許可されるかどうかを前記データ・コンシューマが判定できるようにする、請求項１４に記載のコンピュータ化された装置。