JP2023531695A - セキュアな秘密回復 - Google Patents

Abstract

秘密が、多数の暗号化済みスライスへとスライス化される。暗号化済みスライスは、グループのメンバ間で分配されることが可能である。暗号化済みスライスは、秘密の回復を可能にするが、復号にはグループ権限鍵が必要である。したがって、多数のスライスが必要であるが、なお秘密を回復するには十分でない。

Description

本発明は一般に、データ処理システムにおけるセキュアな秘密回復に関する。

多種多様なコンピュータシステム全体にわたって、秘密およびアクセス制御が利用されている。秘密は、暗号化鍵などの機密データを含むことがある。秘密は、様々な方法で保護されるが、より知名度の高い方法のうちの２つは、ハッシングおよび暗号化である。これらの両方は、秘密を本質的に判読できない「暗号文」に変換することを含むが、ハッシングは通常一方向（ハッシュ化された秘密は実行可能に回復させることはできないが、別のハッシュ化された秘密との比較は可能）である一方で、暗号化は通常可逆的である（暗号化された秘密は「復号」できるが、ただし通常は特定の「鍵」を使用した場合のみに限られ、暗号化鍵を有するユーザによる秘密の回復を可能にする）。したがって、これらの方法は、異なるユースケースを有する。例えば、パスワードシステムは通常、ハッシングを使用し（ハッシュ化されたパスワードを記憶したウェブサイトは、ユーザが自らの正しいパスワードを入力したかどうかをチェックすることはできるが、ウェブサイトはユーザの「実際の」パスワードを判定することはできない）、その一方で、繰り返し利用されることが必要な場合があるデータは、通常暗号化を利用する（通信、データストレージなど）。

多数の異なる暗号化アルゴリズムが存在しているが、それらの間の全般的な共通点は、１つまたは複数の「鍵」を使用することである。暗号化鍵は、暗号化関数への入力として使用される一意のデータストリングであり、秘密を暗号化するために、この秘密が一意の鍵とともに暗号化関数に入力されて、暗号文から構成された暗号化出力がもたらされる。この暗号文は、本質的にはランダムに見えるが、暗号文と、同じ暗号化鍵（「対称鍵」暗号化システムの場合）または異なる「復号鍵」（「非対称鍵」暗号化の場合）とを、（秘密を暗号化するために利用された暗号化関数に直接関係した）復号関数に入力することによって、復号されることが可能である。どの暗号化関数が使用されたかの知識は、外部ユーザによって経験的に判定可能であることが多く、したがって暗号化鍵の保護は、秘密を保護するために最も重要である。いくつかのシステムにおいては、多くの場合異なる暗号化関数（および異なる暗号化鍵）を利用して、暗号化鍵自体を暗号化することができる。暗号化の一部の形態は、事前決定された多数の鍵のうちのいずれかを使用して秘密を復号することが可能である。これは、異なる鍵によりそれぞれ暗号化された、同じ秘密の複数のコピーを記憶することにより可能にすることができる。

暗号化鍵などの秘密は、それらの悪用を防止するために概してセキュアに記憶される。しかし、これは多くの場合、耐障害性の低下とのトレードオフを伴う。単一のドライブに秘密がセキュアに記憶された場合、そのドライブの障害により、秘密は回復不可能になるおそれがある。秘密がストレージ暗号化鍵（ストレージシステムに記憶されたデータの暗号化を制御する）である場合、鍵を失うと、データを失うことになり得るか、またはデータへのアクセスを失うことになり得る（これは、鍵のない状態では、データ自体を失うことと機能的に同じであってよい）。多数のシステムは、これを軽減するための試みとして、秘密のバックアップを有しているが、単純なバックアップは、それ自体のトレードオフを有している。それらがさらなる攻撃ベクトルとしての役割を果たしてしまうのである。例えば、実際の秘密の代わりに、バックアップ自体が攻撃者によって不正アクセスされるおそれがある。

本発明の一態様による方法は、第１の鍵ユニットから第１の暗号化済みスライスを、第２の鍵ユニットから第２の暗号化済みスライスを受信する段階を含む。方法はまた、グループ権限からグループ権限鍵を受信する段階を備える。方法はまた、第１の暗号化済みスライスおよび第２の暗号化済みスライスを、グループ権限鍵を使用して復号する段階を備える。方法はまた、第１の復号済みスライスおよび第２の復号済みスライスに基づき、秘密を再構築する段階を備える。方法は、有利には、複数の鍵ユニットからの複数のスライスとグループ権限からの鍵との両方を必要として、秘密をセキュアに回復することを可能にする。

本発明の実施形態において、方法は、暗号化済み第１のスライスの第１のフィンガープリント、および前記暗号化済み第２のスライスの第２のフィンガープリントを生成する段階と、前記第１のフィンガープリントおよび前記第２のフィンガープリントを前記グループ権限に発信する段階であって、前記グループ権限鍵を受信する前記段階が、前記第１のフィンガープリントおよび前記第２のフィンガープリントを前記グループ権限が検証したことに応答して行われる、段階とをさらに備える。これは、有利には、（グループ権限に対してスライス自体を露出することなく）グループ権限がフィンガープリントを介してスライスを検証することを必要とすることにより、セキュアな秘密回復プロセスにさらなるセキュリティおよび検証を提供する。

本発明の実施形態において、方法は、前記再構築された秘密を、第１の新スライスおよび第２の新スライスへとスライス化する段階と、前記第１の新スライスおよび前記第２の新スライスを暗号化する段階と、前記暗号化済み第１の新スライスを前記第１の鍵ユニットに送信する段階と、前記暗号化済み第２の新スライスを前記第２の鍵ユニットに送信する段階とをさらに備える。これにより、有利には、再構築された秘密の新スライスを鍵ユニット間で分配できるようになり、さらなるセキュリティが提供される（例えばコンポーネントに障害が生じた場合。この場合、他の状況においては、再構築された秘密が失われるおそれがある）。さらに、分配されたスライスは、再び暗号化されて、技術に対してセキュリティがさらに改善される。

本発明の実施形態において、方法は、秘密を取得する段階と、グループ権限からグループ権限鍵を受信する段階と、グループ権限鍵に基づき、秘密の複数の暗号化済みスライスを生成する段階とを備える。これにより、有利には、セキュアに記憶された秘密を再構築できるシステムを設定することが可能になる。

本発明の別の態様は、コンピュータ可読ストレージ媒体を備えるコンピュータプログラム製品であって、前記コンピュータ可読ストレージ媒体が、それにより具現化されるプログラム命令を有し、前記プログラム命令が、コンピュータに、上で考察した方法および以下で特許請求される方法のいずれかを実行させるように、コンピュータによって実行可能である、コンピュータプログラム製品を提供する。これにより、有利には、複数の鍵ユニットからの複数のスライスとグループ権限からの鍵との両方を必要として、秘密をセキュアに回復できるようになる。

本発明の別の態様は、メモリと中央処理装置（ＣＰＵ）とを備えたシステムを提供する。ＣＰＵは、上で考察した方法および以下で特許請求される方法のいずれかを実行するための命令を実行するように構成されている。これにより、有利には、複数の鍵ユニットからの複数のスライスとグループ権限からの鍵との両方を必要として、秘密をセキュアに回復できるようになる。

上の概要は、本開示のそれぞれ示された実施形態または全ての実装形態を記載することを意図していない。

本願に含まれる図面は、本明細書に組み込まれており、その一部を形成している。それらは、本開示の実施形態を例示しており、記載内容とともに、本開示の原理を説明する役割を果たす。図面は、特定の実施形態を単に例示するものであり、本開示を限定するものではない。特許請求される主題の様々な実施形態の特徴および利点は、以下の発明を実施するための形態を読み進み、図面を参照するとき、明らかになるであろう。図面では、同様の数字は同様の部分を示している。

本開示のいくつかの実施形態と一致した、セキュアな秘密再構築システムを示すブロック図である。

本開示のいくつかの実施形態と一致した、「スライス化してから暗号化（ｓｌｉｃｅ－ｔｈｅｎ－ｅｎｃｒｙｐｔ）」手法を使用する高レベルのセキュアな秘密鍵再構築方法を示す図である。

本開示のいくつかの実施形態と一致した、グループ権限の観点から見た例示的なセキュアな秘密鍵再構築方法を示す図である。

本開示のいくつかの実施形態と一致した、置換鍵ユニットの観点から見た例示的なセキュアな秘密鍵再構築方法を示す図である。

本開示のいくつかの実施形態と一致した、高レベルのセキュアな秘密鍵動作方法を示す図である。

本開示のいくつかの実施形態と一致した、複数の鍵アクセス制御ユニットおよびストレージ鍵を含め、さらに詳細な例示的鍵ユニットを含むシステムを示すブロック図である。

本開示のいくつかの実施形態と一致した、「暗号化してからスライス化（ｅｎｃｒｙｐｔ－ｔｈｅｎ－ｓｌｉｃｅ）」手法を使用する高レベルのセキュアな秘密鍵再構築方法を示す図である。

本開示の実施形態によるクラウドコンピューティング環境を示す図である。

本開示の実施形態による抽象化モデル層を示す図である。

本開示の実施形態を実装する際に使用されてよい例示的なコンピュータシステムの高レベルのブロック図である。

本発明は様々な修正形態および代替形態を受け入れることができる一方で、その具体例が例として図面に示されており、詳細に記載される。しかし、その意図は、記載された特定の実施形態に本発明を限定することではないことが理解されるべきである。それとは対照的に、本発明は、本発明の範囲に含まれる全ての修正形態、等価物、および代替形態を網羅することを意図している。

本開示の態様は、秘密鍵をセキュアに回復するためのシステムおよび方法に関する。より詳細な態様は、秘密鍵を含む鍵ユニットに障害が生じていることを判定し、他の鍵ユニットに記憶されたコンポーネントを使用して秘密鍵をリビルドし、リビルドされた秘密鍵を置換鍵ユニットが復号できるようにするためのシステムに関する。

本開示と一致するシステムおよび方法は、有利には耐故障性を改善しながら、その一方でセキュリティコストを最小限に抑える。本質的に、秘密は暗号化状態で記憶されてよく、秘密のバックアップをそのまま利用するのではなく、秘密が複数の「スライス」（部分または破片）へと「スライス化され」（分割または細分化され）、そのそれぞれが、別個の「鍵ユニット」によって暗号化および記憶される。暗号化済みスライスは、様々な鍵ユニットを監督するグループ権限によって提供された鍵がなければ、（実行可能に）復号することができない。このように、秘密を記憶している鍵ユニットに障害が生じた場合に、セキュリティリスクが最小の状態で秘密を回復することができる。これによりいくつかの利点が提供される。例えば、ストレージ暗号化鍵を記憶している鍵ユニットに障害が生じた場合、ストレージシステムをバックアップから完全にリビルドすること（より大規模なストレージシステムについては数週間またはそれより長期間を要することがあるプロセス）は必要なくてよく、その代わりに、本開示と一致したシステムは、「失った」ストレージ暗号化鍵をリビルドし、ストレージシステムおよびそのデータの有用な制御を取り戻すことができる。さらに、この全ては、ストレージ鍵を他の鍵ユニットにまたはグループ権限にすら晒すリスクを負わずに行うことができ、したがって再構築された際にストレージ鍵を（即座に）変更する必要がなくてよい。

本開示全体にわたって、「ストレージ鍵」、「グループ権限鍵」、および「ユーザ鍵」などの「鍵」について言及する。これらの呼称は、単に例示を目的として使用されており、当業者には理解されるように、鍵は他の目的に使用されてもよい。特に、「ストレージ鍵」は、本開示によりセキュアに回復可能にされる「セキュアに記憶された秘密」の単なる一例として使用される。他の可能な例は、通信鍵、機密データなどを含む。同様に、「鍵ユニット」という用語は、説明的な例として使用されているが、同じ概念がより大まかに単に「ユニット」と呼ばれてよい。

本開示全体にわたって、「スライス」について言及する。特に、秘密（ストレージ鍵など）のスライスは、暗号化され、グループの複数のユニット間で分配されてよい。ユニットに「記憶される」と記載されるスライスは、暗号化状態で、そのユニットのスライスストレージ内に記憶される。スライスは、最初のスライス化を実行したユニットによって暗号化される。スライスは、グループ権限によって提供された特別な暗号化鍵を利用して暗号化される。

本開示のほとんどの例は、秘密の単一の暗号化済みスライスを記憶するそれぞれのユニットについて言及する一方で、いくつかの実施形態において、ユニットは複数のスライスを記憶してよい。例えば、４つのユニットからなるグループにおいて、第１のユニットの秘密Ｓが、スライスｓ１、ｓ２、およびｓ３へとスライス化されてよい。いくつかの実施形態において、第２のユニットはスライスｓ１を記憶してよく、第３のユニットはスライスｓ２を記憶してよく、第４のユニットはｓ３を記憶してよく、それにより第１のユニットに障害が生じた場合、置換ユニットは、依然として全てのスライスを受信することができ、ひいては（以下に記載する他の条件が満たされたと仮定すると）秘密Ｓを回復することができる。しかし、いくつかの実施形態においては、第２のユニットがスライスｓ１およびｓ２を記憶してよく、第３のユニットがｓ２およびｓ３を記憶してよく、第４のユニットがｓ３およびｓ１を記憶してよい。このように、それぞれのスライスが少なくとも２つのユニットに記憶され、したがって例えば第１のユニットと第２のユニットの両方に障害が生じた場合に、全てのスライスを依然として回復することができ、ひいては秘密Ｓを依然として再構築することができる。これにより冗長性が提供され、さらに有利には、いくつかのシステムにおいて耐故障性を改善できる。さらにこれにより、スライスを比較して、単一のユニットのスライスが、他のユニットに記憶されたこれらのスライスの「コピー」と異なるかどうかを判定できることから、ユニットが悪意のある行為者により不正アクセスされたかどうか、または他の場合には破損しているかどうかの判定ができるようになる。

どのユニットに障害が生じたかに関わらず（または場合により、実施形態に応じて複数のユニットに障害が生じた場合でも）秘密を再構築できるようにするため、秘密のスライスは、ユニット間で分配されてよい。
いくつかの実施形態において、記憶されたスライスの検証を可能にするため、ユニットは、パリティデータも記憶してよい。

秘密は最初、システムのオペレータ（例えば、鍵ユニットをインストールした技術者）、ハードウェア（例えば、ランダムに生成されてよい）などから取得されてよい。いくつかの実施形態において、秘密は、グループ権限からの情報から導出されてよい。秘密を再構築する必要があるとき、新ユニットがグループに追加されてよい（多くの場合、本明細書において「置換鍵ユニット」と呼ばれる）。新ユニットを追加するとき、グループ権限は（例えば証明書の交換／チェックにより）その識別情報を検証してよい。この新ユニットは、その識別情報をグループ権限に証明すると、残りのユニットから秘密のスライスを受信できる。スライスを記憶しているユニット以外のユニットによってそのスライスが暗号化されたので（かつグループ権限によって制御される鍵を利用しているので）、スライスを記憶しているユニットは、それらを復号することができないことがある。

いくつかの実施形態において、鍵ユニットは「グループ」に編成されてよく、それぞれのグループは、ｎ個の鍵ユニットのセット（ここでｎ＞＝１）を含む。例えば、グループ権限は、システムの動作前にｎ個の鍵ユニットのグループを作成してよい。それぞれのグループは、例えば図１のＧＡ１１０などの異なるグループ権限によって管理されてよいが、いくつかの実施形態においては、グループ権限が１つより多くのグループを管理してよい。しかし、説明を容易にするために、本明細書では、鍵ユニットの単一のグループのみを詳細に記載する。システムのコンポーネントの識別情報を認証しやすくするために、ＧＡがＰＫＩ認証機関であることが有益であってよい。ＧＡは、どの鍵ユニットのセットが特定のグループに属するかを決定してよく、グループメンバシップの証明書を作成することによりこれを容易にしてよい。次いで鍵ユニットは、グループに加入してよい。セキュアな秘密回復の要件に従って鍵ユニットが適切に挙動することを証明されることが、鍵ユニットにとって有益である。これは、シリアル番号、証明書、署名付き符号などを使用して製造者によって行われてよい。これは、悪意のある行為者が（「ならず者」の鍵ユニットを介して）グループに加入することを防止するのに役立つことがある。例えば、いくつかの実施形態において、ＧＡは、鍵ユニットを識別する（場合によりブロックチェーンとして）マニフェストを備えることが可能であり、鍵ユニットがマニフェストに一致することをチェックすることができる。いくつかの実施形態において、１つより多いグループ権限が、グループの制御を共有してよい。

本開示全体にわたって、ユニット、ユーザ、グループ権限など、例えば鍵ユニットにグループ権限鍵を発信するグループ権限の間の、もしくはそれら同士間の、またはその両方の通信について言及される。メッセージのセキュリティを改善するために、当業者によく知られた方法で、そのような通信にトランスポート暗号化が使用されてよい。

図１は、本開示のいくつかの実施形態と一致した、例示的な回復可能なセキュアな秘密システム１００の高レベルのブロック図を示す。システム１００は、グループ権限（ＧＡ）１１０と、鍵ユニットＵ１ １２１、鍵ユニットＵ２ １２２、および鍵ユニットＵ３ １２３（集合的に「鍵ユニット１２１～１２３」）を含む鍵ユニットと、ストレージユニット１０７、ストレージユニット１０８、およびストレージユニット１０９（集合的に「ストレージユニット１０７～１０９」）を含むストレージユニットとを含む。ＧＡ１１０は、全体的なシステムの構成を判定する責任を負う。ＧＡ１１０は、鍵ユニットにおいて情報を保護するために使用されるＧＡ鍵１０１、１０２、および１０３のセットを含む（以下でさらに詳細に記載）。ＧＡ１１０は、フィンガープリントストレージ１１４も含む。

ストレージユニット１０７～１０９は、ユーザ１０４～１０６およびＧＡ１１０には秘密にされている鍵を使用して暗号化データを記憶する。ストレージ暗号化鍵１４１、１４２、および１４３（集合的に「ストレージ暗号化鍵１４１～１４３」または「ストレージ鍵１４１～１４３」）は、鍵ユニット１２１～１２３に記憶される。特定のストレージ暗号化鍵は、複数の鍵ユニットのうちの１つのみに記憶されてよい。さらに、鍵ユニット１２１～１２３は、鍵ユニット１２１～１２３からストレージ暗号化鍵１４１～１４３が抽出不可能になるように構築されてよい（例えば、所与のストレージ暗号化鍵は、それを記憶している鍵ユニット以外のいかなるエンティティによっても読み出すことができない）。ストレージ暗号化鍵１４１～１４３は、鍵アクセス制御ユニット１３１～１３３内に暗号化状態で記憶される。

ストレージ鍵１４１～１４３は、異なるユーザ鍵で暗号化されてよく、それにより単一のユーザ鍵（図１に示さず）は、１つのストレージ鍵のみを復号可能であってよい。例えば、ストレージ鍵１４１は第１のユーザ鍵によって暗号化され、鍵アクセス制御ユニット１３１内に記憶されてよく、ストレージ鍵１４２は第２のユーザ鍵によって暗号化され、鍵アクセス制御ユニット１３２内に記憶されてよく、ストレージ鍵１４３は第３のユーザ鍵によって暗号化され、鍵アクセスユニット制御１３３内に記憶されてよいなどである。

いくつかの実施形態において、システム１００のそれぞれのユーザには、特定のストレージ鍵を復号するように構成された１つまたは複数の「ユーザ鍵」が提供され、これについては図５および図６を参照しながら以下でさらに詳細に記載する。

示してあるように、鍵ユニット１２１～１２３はそれぞれ、鍵アクセス制御ユニット１３１～１３３のうちの１つを記憶している。しかし、図１に示していないいくつかの実施形態においては、いくつかの鍵ユニットが、ストレージ鍵をそれぞれ記憶した複数の鍵アクセス制御ユニットを含んでよい。特定のストレージ鍵へのより粒度の高いアクセスを特定のユーザに提供するために、これは特に有利であってよい。これについては、図５および図６を参照しながら以下でさらに詳細に記載する。

鍵ユニット１２１～１２３は、他の鍵ユニットからのストレージ鍵のスライスを鍵ユニットが記憶できるようにする鍵スライスストレージ１６１～１６３も含んでいる。例えば、鍵スライスストレージ１６１は、ストレージ鍵１４２のスライス１７２およびストレージ鍵１４３のスライス１８３を、鍵ユニット１２１が記憶できるようにする。同様に、鍵ストレージ１６２は、ストレージ鍵１４３のスライス１７３およびストレージ鍵１４１のスライス１８１を、鍵ユニットＵ２が記憶できるようにし、その一方で、鍵ストレージ１６３は、ストレージ鍵１４２のスライス１８２およびストレージ鍵１４１のスライス１７１を、鍵ユニット１２３が記憶できるようにする。ストレージ鍵（例えばストレージ鍵１４１）を有する鍵ユニット（例えば鍵ユニット１２１）を作成するプロセス中に、鍵ユニットは、スライス化／再構築関数によりストレージ鍵を２つまたはそれ以上のスライス（例えばスライス１７１および１８１）へとスライス化してよい。次いで鍵ユニットは、１つまたは複数のグループ権限鍵（例えばＧＡ鍵１０１～１０３）を利用して、このスライスを暗号化してよい。いくつかの実施形態において、それぞれのスライスは、異なるＧＡ鍵で暗号化される。スライスが暗号化されると、鍵ユニットは、暗号化済みスライスに対してフィンガープリントを生成してよい。次いで鍵ユニットは、フィンガープリントをフィンガープリントストレージ１１４に記憶されるようにグループ権限に発信してよい。

いくつかの実施形態において、鍵ユニットが、鍵スライスをストレージユニットに記憶してよい。例えば、鍵ユニット１２１は、鍵スライス１７２および１８３を、ストレージ１０７に記憶してよい。鍵スライスを記憶するとき、鍵ユニットは、鍵ユニットが保持しているストレージ鍵を使用してそれらを暗号化してよい（例えば、鍵ユニット１２１は、ストレージ鍵１４１を使用して鍵スライス１７２および１８３を暗号化してよく、それらをストレージ１０７に記憶してよい）。

ストレージ鍵は、再構築関数が鍵をｍ個のスライスへとスライス化し、ここでｍ＜ｎ（およびｎ＝グループ内のユニットの個数）であり、スライスを暗号化し、暗号化済みスライスを異なる鍵ユニットに発信することにより、（例えば障害の生じた鍵ユニットから）回復可能にされる。スライスは、ＧＡ１１０によって提供される１つまたは複数のＧＡ鍵（例えばＧＡ鍵１０１～１０３）を使用して暗号化されてよい。例えば、いくつかの実施形態において、それぞれの鍵ユニットは、そのストレージ鍵をｍ個のスライスへとスライス化し、それぞれのスライスを暗号化し、１つのスライスをそれぞれの他の鍵ユニットに発信する。したがって、それぞれの鍵ユニットは、ｍ個の暗号化済みスライスを受信してよい（それぞれのスライスは、異なる鍵のスライスである）。いくつかの実施形態において、鍵ユニットは、１つより多くのストレージ鍵を含んでよく、ひいてはそれぞれのストレージ鍵に対してｍ個のスライスを発信してよい（したがって、いくつかの鍵ユニットはｍ個より多くのスライスを受信してよい）。

いくつかの実施形態において、それぞれの鍵ユニットに発信されるＧＡ鍵は異なっている。ＧＡ鍵の使用は、ｍ個のスライスを所有することが必要であるが、秘密鍵を回復するには十分でないことを意味している。このことは、「鍵ユニット障害」の状況は別として、悪意のある行為者が鍵ユニットに不正アクセスし、自然に鍵を回復するリスクを軽減することにより、先行技術（定足数のみを必要とするシャミールの秘密共有など）に対してシステム１００のセキュリティを有利に改善する。鍵ユニットが鍵のｍ個のスライスを取得できた場合でも、ＧＡからの正しいＧＡ鍵がなければ鍵ユニットはスライスを復号できない（ひいては鍵を回復できない）。したがって、行為者が１つのＧＡ鍵（不正アクセスされた鍵ユニットが、それ自体のスライスを暗号化するために以前に使用したＧＡ鍵など）にアクセスできる場合でも、残りのＧＡ鍵がなければ、依然として鍵を再構築することができない。

いくつかの実施形態において、ＧＡ１１０は、それぞれのスライスに異なるＧＡ鍵を提供する。例えば、ｍ＝２の場合、ＧＡ１１０は、鍵１０１を第１のスライス１７１に提供し、鍵１０２を第２のスライス１８１に提供してよい。スライスの個数ｍは、グループ内の鍵ユニットｎの個数、およびスライスを保護するために使用される消去符号または誤り訂正符号の特性に依存してよい。いくつかの実施形態において、スライスの完全性を実証するために、パリティが含まれてよい。

例えば、鍵グループはｎ＝５の鍵ユニットを含んでよく、ストレージ鍵ｗは、欠損した鍵ユニットがさらにあれば回復可能である（例えば、５つの鍵ユニットのうちの１つに障害が生じている可能性がある）。したがって、ｎ－１個の要素とともに符号を作り出すために、符号はｍ＝３のスライスと、これらのスライスから計算された１つのパリティとを有してよい。スライスは、残りの鍵ユニットのセットには利用不可能な、ＧＡ１１０からの鍵で暗号化されているので、権限を与えられたユニット（障害の生じた鍵ユニットを置換するために追加される置換鍵ユニットなど）以外による、ｍ個のスライスの所有から、秘密は保護される。さらに、ＧＡ１１０からの鍵が、秘密鍵を回復するために必要である。

例として、鍵ユニット１２１の新秘密鍵１４１の符号化の際に、グループ権限ＧＡ１１０は、ＧＡ鍵１０１～１０３を鍵ユニット１２１に配信してよい。鍵ユニット１２１の再構築関数１１６は、ストレージ鍵１４１をスライス化し、それぞれのスライスをＧＡ鍵１０１～１０３のうちの異なる１つで暗号化し、次いでそのような暗号化済みスライスそれぞれについてフィンガープリントを計算してよい。これらのフィンガープリントは、ＧＡ１１０に戻され、フィンガープリントストレージ１１４に保存されてよい。次いで暗号化済みスライスは、他の鍵ユニット１２２および１２３に発信されてよい。例えば、鍵ユニット１２２は、暗号化済みスライス１７１を受信してよく、その一方で、鍵ユニット１２３は、暗号化済みスライス１８１を受信してよい。また鍵ユニットは、消去符号化／誤り訂正符号化およびスライス分配を実行するために再構築関数を利用してよい。

回復動作中（例えば、鍵ユニット１２１に障害が生じ、それによりストレージ鍵１４１が失われた場合）、ＧＡ１１０は、スライスを復号するのに必要なＧＡ鍵を発信する前に、ストレージ鍵１４１をリビルドするのに必要な鍵スライスを置換鍵ユニット（図１には示さず）が全て有していると証明することを、必要としてよい。これは置換鍵ユニットが、鍵ユニット１２２および１２３からそれぞれ暗号化済み鍵スライス１７１および１８１を受信することにより、実行されてよい。次いで置換鍵ユニットは、（ＧＡ１１０がフィンガープリントストレージ１１４と比較するフィンガープリントにより）スライスを検証してよく、次いでＧＡ１１０は、スライス１７１および１８１を復号するのに必要なＧＡ鍵を置換鍵ユニットに発信してよい。鍵を受信すると、置換鍵ユニットは、スライスを復号し、秘密鍵１４１を再構築してよい。

いくつかの実施形態においては、鍵をスライス化して次いでスライスを暗号化するのではなく、スライス化される前に鍵が暗号化（およびフィンガープリント付け）されてよい。例えば、いくつかの実施形態において、鍵ユニット１２１はＧＡ鍵１０１を受信し、ＧＡ鍵１０１でストレージ鍵１４１を暗号化し、暗号化済み鍵のフィンガープリントを（例えばハッシュ関数により）生成し、フィンガープリントをＧＡ１１０に発信してよい。ＧＡ１１０は、暗号化済み鍵のフィンガープリントを記憶してよく、次いで鍵ユニット１２１は、暗号化済み鍵をスライス１７１および１８１へとスライス化して、それらを鍵ユニット１２３および１２２にそれぞれ分配してよい。鍵を再構築するとき、置換鍵ユニットは暗号化済みスライスを受信し、それらを再度集めて暗号化済み鍵にし、暗号化済み鍵の検証フィンガープリントを生成し、フィンガープリントをＧＡ１１０に発信してよい。ＧＡ１１０は、フィンガープリントを検証し、適切なＧＡ鍵１０１を返送して、置換鍵ユニットが鍵を復号および回復できるようにしてよい。これにより、システム１００の複雑さが低減され、ストレージオーバーヘッドが低減されてよい（なぜならＧＡ１１０は、それぞれの暗号化済みスライスのフィンガープリントではなく、暗号化済み鍵全体の１つのフィンガープリントのみを記憶すればよいからである）。

図２は、本開示のいくつかの実施形態と一致した、「スライス化してから暗号化」手法を使用する高レベルのセキュアな秘密鍵再構築方法２００である。方法２００は、セキュアな秘密再構築を可能にするように構成された、例えば図１のシステム１００などのシステムによって実行されてよい。方法２００は、鍵ユニットに障害が生じたこと、監査が開始されることなどに応答して、実行されてよい。方法２００は、動作２０２において、鍵の暗号化済みスライスを受信する段階を含む。動作２０２は、例えば置換鍵ユニットによって実行されてよい。動作２０２は、秘密鍵の暗号化済みスライスをシステム内の他の鍵ユニットから受信する段階を含んでよい。いくつかの実施形態において、動作２０２は、システム内の鍵ユニットから１つまたは複数のパリティ鍵を受信する段階も含んでよい。いくつかの実施形態において、動作２０２は、秘密鍵のそれぞれのスライスのうちの１つを受信する段階を含んでよい。いくつかの実施形態において、動作２０２は、秘密鍵のスライスのうちの１つを除く全てのスライスを、パリティ鍵とともに受信して、欠損したスライスの再構築を可能にする段階を含んでよい。

方法２００は、動作２０４において、スライスを検証する段階をさらに含む。動作２０４は、例えば暗号化済みスライスのフィンガープリントを生成し、このフィンガープリントと記憶されたフィンガープリントとを比較する段階を含んでよい。例えば、鍵ユニットは、セキュアハッシュアルゴリズム（ＳＨＡ）－２５６などのハッシュ関数を利用してもよいし、またはチェックサムを生成してもよい。鍵ユニットは、フィンガープリントを生成し、フィンガープリントをグループ権限に発信してよい。いくつかの実施形態において、グループ権限は、受信したフィンガープリントと記憶されたフィンガープリントとを比較して、暗号化済みスライスが有効かどうかを判定してよい。本開示は、フィンガープリント実証の使用に焦点を当てている一方で、「ゼロ知識」証明を含め、秘密の所有を証明するための他の技術も使用されてよい。

方法２００は、動作２０６においてスライスを復号する段階をさらに含む。動作２０６は、例えば１つまたは複数のグループ権限鍵を利用して、スライスを復号する段階を含んでよい。暗号化済みスライスのフィンガープリントが有効であることをグループ権限が（例えば動作２０４の後に）確認すると、グループ権限によってグループ権限鍵が鍵ユニットに発信されてよい。グループ権限鍵が受信されると、鍵ユニットはこのグループ権限鍵を使用して、スライスを復号する。いくつかの実施形態において、それぞれのスライスに異なるグループ権限鍵が使用されてよい。いくつかの実施形態において、単一のグループ権限鍵が、複数の（またはさらには全ての）スライスに使用されてよい。

方法２００は、動作２０８において、鍵を再構築する段階をさらに含む。動作２０８は、置換鍵ユニットによって実行されてよい。置換鍵ユニットは、ストレージ鍵の復号済みスライスを再構築関数に入力し、その代わりにストレージ鍵を受信してよい。暗号化されていないストレージ鍵は、ストレージ鍵を再構築した鍵ユニットの外部のエンティティには出力／返送されないか、またはそれらのエンティティからはアクセスできないことに留意されたい。

動作２０８が完了すると、ストレージ鍵が再構築されており、ストレージユニットをリビルドする必要なしに、ストレージ動作において使用される準備が完了していてよい。これにより有利には、鍵ユニットの障害により普通なら生じていたダウンタイムを短縮することができる。動作２１０および２１２は、その後の回復（例えば、置換ユニット自体にその後障害が生じた場合）に備えて、システムが準備することを可能にする。とりわけ、ストレージ鍵のこの再構築により、ストレージユニットに記憶された情報が、ストレージ鍵で暗号化されている間に保護されることが可能になる。したがって、再構築されたデータはストレージ鍵で暗号化され、したがってセキュアに保たれる。他の手段によりデータをリビルドするには、暗号化されていないデータにアクセスできる保護（例えばＲＡＩＤ）を必要とし、これは概してそれほどセキュアではない。

方法２００は、動作２１０において、新たに再構築されたストレージ鍵の新スライスを分配する段階をさらに含む。動作２１０は、置換鍵ユニットによって実行されてよい。動作２１０は、例えばストレージ鍵を複数のスライスへとスライス化する段階を含んでよい。スライスの個数（ｍ）は、グループ内の鍵ユニットの個数（ｎ）に基づいてよい。例えばいくつかの実施形態において、ｍ＝ｎ－１である。しかし、いくつかの実施形態において、鍵はより少ないスライスへとスライス化されてよく、この場合スライスは、１つより多くの鍵ユニットに発信される（有利には、冗長性が向上する）。グループ権限は、新しいグループ権限鍵のセットを生成し、この新ＧＡ鍵を置換鍵ユニットに発信してよい。次いで鍵ユニットは、新ＧＡ鍵を利用して、新スライスを暗号化してよい。いくつかの実施形態において、それぞれのスライスは、異なるＧＡ鍵を使用して暗号化されてよい。いくつかの実施形態において、ＧＡ鍵は、１つより多くのスライスに利用されてよい。全てのスライスが暗号化されると、置換鍵ユニットは、暗号化済みスライスをグループの他の鍵ユニットに送信してよい。新暗号化済みスライスは、他の鍵ユニットのスライスストレージに記憶されて、動作２０２において受信したスライスと置換されてよい。

方法２００は、動作２１２において、新スライスに基づきフィンガープリントを更新する段階をさらに含む。動作２１２は、例えば、鍵ユニットが、新しく暗号化されたスライスのフィンガープリントを生成する段階を含んでよい。動作２１２は、フィンガープリントをグループ権限に発信する段階をさらに含む。グループ権限は、新フィンガープリントをフィンガープリントストレージユニットに記憶して、動作２０４においてチェックされた、以前に記憶したフィンガープリントを置換してよい。

いくつかの実施形態において、動作２０４～２０８の順序は異なってよい。例えば、図２に示してある順序は、「スライス化してから暗号化」方式で利用されてよい。しかし、いくつかの実施形態において、鍵はスライス化される前に暗号化されてよい（「暗号化してからスライス化」の実施形態と呼ぶ）。そのような実施形態では、検証フィンガープリントは、それぞれ個々のスライスに基づくのではなく、暗号化済み鍵全体に基づき生成されてよい。例えば、いくつかの実施形態において、動作２０２において暗号化済みスライスを受信した後、スライスを集めて（依然として暗号化された）鍵にしてよく、暗号化済み鍵のフィンガープリントが生成および検証されてよく、グループ権限鍵を使用して鍵が復号されてよい。そのような実施形態において、動作２１０は、回復された鍵を新ＧＡ鍵で暗号化し、次いで新しく暗号化された鍵をスライス化し、スライスを分配する段階を含んでよい。高レベルの例示的な、暗号化してからスライス化の実施形態は、図７を参照して以下に記載する。図２は、セキュアな秘密鍵再構築動作のシステムレベルのフローチャートを示す。図３および図４は、それぞれグループ権限および置換鍵ユニットによって実行される動作のより詳細なフローチャートを示す。

図３は、本開示のいくつかの実施形態と一致した、グループ権限の観点から見た例示的なセキュアな秘密鍵再構築方法３００である。方法３００は、例えば図１のＧＡ１１０などのグループ権限によって実行されてよい。方法３００は、動作３０２において、障害の生じた鍵ユニットを検出する段階を含む。動作３０２は、例えば、鍵ユニットがもはや応答可能でないことを判定する段階、鍵ユニットに障害が生じているというインジケータを受信する段階などを含んでよい。鍵ユニットは互いに通信し、心拍検出のような技術を使用して、他のユニットが応答可能な状態に保たれているかどうかを確認することができる。一時的な停電が生じる場合が多く、これらは真の障害と区別されるべきである。わずかな一部のユニット（おそらくＧＡおよび任意のユーザを含む）が、いくらかの持続時間にわたって鍵ユニットに到達できないと判定することを、コンセンサスは意味する。いくつかの実施形態においては、問題が鍵ユニットにあるか、どこか他の箇所にあるのかを実証するよう、オペレータに通知されてよい。いくつかの実施形態において、グループ権限は、残りのユニットが合意すれば、「障害の生じた」ユニットのみを考慮してよい。

方法３００は、動作３０４において、鍵再構築を開始する段階をさらに含む。動作３０４は、例えば、置換鍵ユニットを識別し、置換鍵ユニットが障害の生じた鍵ユニットを再構築する予定であることを示す信号を、鍵ユニットグループに送信する段階を含んでよい。いくつかの実施形態において、置換鍵ユニットは、例えば技術者によって手動でインストールされてよい。いくつかの実施形態において、鍵ユニットグループは、「休止状態」または「バックアップ」の置換鍵ユニットを含んでよく、この場合、動作３０４は、バックアップ置換鍵ユニットを立ち上げるか、または他の方法でアクティブ化する段階を含んでよい。動作３０４の開始により、置換鍵ユニットは、暗号化済み鍵スライスを他のアクティブな鍵ユニットに要求し、それを受信することができ、これについては図４の方法４００を参照しながら以下でさらに詳細に考察する。

方法３００は、動作３０６において、暗号化済み鍵スライスのフィンガープリントを受信する段階をさらに含む。これらのフィンガープリントは、例えば置換鍵ユニットから受信されてよい。いくつかの実施形態において、動作３０６は、再構築すべき鍵の全ての暗号化済みスライスのフィンガープリントを受信する段階を含む。いくつかの実施形態において、スライスは、復号の前に組み合わされてよく、動作３０６は、暗号化済み鍵の単一のフィンガープリントを受信する段階を含む。

方法３００は、動作３０８において、受信したフィンガープリントが、グループ権限の記憶されたフィンガープリントと一致するかどうかを判定する段階をさらに含む。例えば、グループ権限は、検証フィンガープリントのセットをフィンガープリントストレージ（例えば図１のフィンガープリントストレージ１１４など）に維持していてよい。動作３０８において、フィンガープリントが一致するかどうかを判定することにより、全てのスライスを置換鍵ユニットが取得しているかどうか、ならびに何らかの期限切れのまたはその他の場合には破損したスライスを置換鍵ユニットが有しているかどうかを、グループ権限が判定できるようになってよい。これは、鍵再構築を求める詐欺的な要求を検出するのに有用であってよい。

方法３００を実行するグループ権限は、複数のフィンガープリントを記憶してよい。例えば、いくつかの実施形態において、グループ権限のフィンガープリントストレージは、グループ内の全てのストレージ鍵の全てのスライスのフィンガープリントを含んでよい。当業者には理解されるように、フィンガープリントストレージは、どのフィンガープリントがどの鍵のどのスライスに対応するかをマッピングするためのデータ構造または他の手段をさらに含んでよい。

動作３０６において受信したフィンガープリントが、記憶されたフィンガープリントと一致しない場合（３０８の「いいえ」）、方法３００を実行しているグループ権限は、動作３１０においてエラーを返してよい。いくつかの実施形態において、動作３１０は、動作３１０は、アラート信号を生成する段階、またはスライスフィンガープリントの不一致に起因して再構築の試みが失敗したことを他の方法で示す段階をさらに含んでよい。

動作３０６において受信したフィンガープリントがＧＡの記憶されたフィンガープリントに一致する場合（３０８の「はい」）、方法３００は、動作３１２において、グループ権限鍵を置換鍵ユニットに送信する段階をさらに含む。動作３１２は、暗号化済みスライスを復号するために必要な（グループ権限によって記憶された）ＧＡ鍵を識別するか他の方法で選択する段階を含んでよい。例えば、いくつかの実施形態において、それぞれのスライスは、異なるＧＡ鍵でのみ暗号化されていてよい。適切な鍵を送信することにより、置換鍵ユニットはスライスを復号でき、したがって、障害の生じた鍵ユニットのストレージ鍵を再構築することができる。とりわけ、ストレージ鍵は、いかなる他のエンティティ（例えばグループ権限、ユーザ、別の鍵ユニットなど）もトレージ鍵にアクセスを有することなく、置換鍵保持者によって再構築される。さらに、鍵は、他の鍵ユニットからのスライスとグループ権限からの鍵との両方がなければ再構築できず、有利にはセキュリティが増大する。

方法３００は、動作３１４において、新ＧＡ鍵を生成する段階をさらに含む。動作３１４は、ストレージ鍵の新たに生成されたスライスの暗号化を可能にして、新しい一意の暗号化済みスライスを作り出してよい（このスライスを次いで置換鍵ユニットが他の鍵ユニットに分配してよい）。前の鍵と同様に、グループ権限は、それぞれのスライスに対し新ＧＡ鍵を生成してよい。方法３００は、動作３１６において、新ＧＡ鍵を置換鍵ユニットに送信する段階をさらに含む。

置換鍵ユニットは、新ＧＡ鍵を受信すると、新スライスを暗号化することができ、ひいてはこの新暗号化済みスライスの新フィンガープリントを生成することができる。方法３００は、動作３１８において、新暗号化済み鍵スライスのフィンガープリントを受信および記憶する段階をさらに含んでよい。動作３１８は、置換鍵ユニットからフィンガープリントを受信する段階と、フィンガープリントをグループ権限のフィンガープリントストレージに記憶する段階とを含んでよい。いくつかの実施形態において、グループ権限は、置換鍵ユニットによって再構築されたストレージ鍵に関連付けられていた既存のフィンガープリントを上書きしてよい。

図４は、本開示のいくつかの実施形態と一致した、置換鍵ユニットの観点から見た例示的なセキュアな秘密鍵再構築方法４００である。方法４００は、図４に示してあるように、「スライス化してから暗号化」体制の例であってよいが、「暗号化してからスライス化」の実施形態を可能にするようにも修正されてよい。方法４００は、鍵ユニットのグループに含まれるかまたはそれに追加された置換鍵ユニットによって実行されてよい。置換鍵ユニットは、図１の鍵ユニット１２１～１２３のうちの１つに類似していてよく、既存の鍵ユニットに障害が生じた際に追加されるか、または他の方法でアクティブ化されてよい。方法４００は、動作４０２において、鍵を再構築する命令をグループ権限（例えば図１のＧＡ１１０など）から受信する段階を含む。ＧＡは、（図５を参照して考察するように）グループの鍵ユニットに障害が生じていることを検出したことに応答して、これらの命令を発信してよい。

方法４００は、動作４０４において、セキュアな秘密鍵の暗号化済みスライスを、他の鍵ユニットから受信する段階をさらに含む。動作４０４は、例えば（障害の生じた鍵ユニットの）失った鍵に対応するスライスを、グループ内の残りの鍵ユニットのそれぞれに要求する段階を含んでよい。例えば、図１のユニット１２２に障害が生じた場合（ストレージ鍵１４２へのアクセスを失った場合）、（図１に示していない）置換鍵ユニットは、鍵１４２のスライスをユニット１２１および１２３に要求してよい。次いで置換鍵ユニットは、暗号化済み鍵スライス１７２を鍵ユニット１２１から受信し、暗号化済み鍵スライス１８２を鍵ユニット１２３から受信してよい。いくつかの実施形態において、動作４０４は、１つまたは複数のパリティ鍵を受信する段階をさらに含んでよく、これにより置換鍵ユニットは、欠損した暗号化済み鍵スライスを生成可能になってよい。

方法４００は、動作４０６において、暗号化済み鍵スライスのフィンガープリントをグループ権限に送信する段階をさらに含む。動作４０６は、例えば動作４０４において受信した鍵スライスのフィンガープリントを生成する段階を含んでよい。フィンガープリントは、（図１の再構築関数１１６、１１８、１２０に類似した）置換鍵ユニットの再構築関数を使用して生成されてよい。生成されると、フィンガープリントは、ＧＡ１１０などのグループ権限に送信されてよい。これにより、グループ権限は、置換鍵ユニットが適切なスライスを有していることを検証するために、フィンガープリントを、記憶されたフィンガープリントと比較できるようになる。

方法４００は、動作４０８において、１つまたは複数のグループ権限鍵をグループ権限から受信する段階をさらに含んでよい。いくつかの実施形態において、置換鍵ユニットは、それぞれのスライスのためのＧＡ鍵を受信してよい。いくつかの実施形態において、ＧＡ鍵は、１つより多くのスライスのために受信されてよい。動作４０６において発信されたフィンガープリントが、ＧＡのフィンガープリントストアのフィンガープリントと一致しない場合、ＧＡは、ＧＡ鍵の送信を拒否してよく、再構築は失敗してよい。実施形態に応じて、ドライブは、従来の方法を使用してなおリビルドされてよい。しかし、これには、暗号化されていないデータに対して保護／バックアップシステム（例えばＲＡＩＤ）が計算されている必要があってよく、概してそれほどセキュアではないとみなされる。

方法４００は、動作４１０において、グループ権限鍵でスライスを復号し、ストレージ鍵を再構築する段階をさらに含んでよい。動作４１０は、置換鍵ユニットの再構築関数によって実行されてよい。グループ権限は、どのＧＡ鍵をどの暗号化済みスライスで使用すべきかを指定してよい。スライスが復号されると、それらは再度集められて元のストレージ鍵にされてよい。ストレージ鍵が再構築されると、ストレージ鍵に関連付けられたストレージユニットへのアクセスが行われてよく、正常動作が再開されてよい。しかし動作４１２～４２０により、システムはさらに、新しいスライスおよびフィンガープリントを設定することで置換鍵ユニットの潜在的な将来の障害から回復できるようになる。

方法４００は、動作４１２においてＧＡから置換ＧＡ鍵を受信する段階をさらに含む。ストレージ鍵が再構築されると、ＧＡは、ストレージ鍵のスライスを新しい方法で暗号化するのに使用される新暗号化鍵を生成してよい。次いでこれらの新ＧＡ鍵は、置換鍵ユニットに発信される。

方法４００は、動作４１４において、再構築された鍵の新スライスを生成する段階をさらに含む。動作４１４は、置換鍵ユニットの再構築関数によって実行されてよい。

置換ＧＡ鍵が受信され（動作４１２）、新スライスが生成されると（動作４１４）、方法４００は、動作４１６において、置換ＧＡ鍵を使用して新スライスを暗号化する段階をさらに含む。新ＧＡ鍵により、置換鍵ユニットは、以前のスライス（すなわち動作４０４で受信したスライス）とは異なる態様でスライスを暗号化できるようになってよい。また動作４１６は、置換鍵ユニットの再構築関数によって実行されてもよい。

方法４００は、動作４１８において、新（暗号化済み）スライスのフィンガープリントをグループ権限に送信する段階をさらに含む。動作４１８は、例えば、置換鍵ユニットの再構築関数を使用して、暗号化済みスライスのフィンガープリントを生成し、そのフィンガープリントをグループ権限に送信する段階を含んでよい。ＧＡは、以前に記憶したフィンガープリントを、新しく生成したフィンガープリントで置換してよい。

方法４００は、動作４２０において、新暗号化済みスライスを他の鍵ユニットに送信する段階をさらに含む。スライスよりも多くの他の鍵ユニットが存在する場合、動作４２０は、スライスを発信する鍵ユニットを選択する段階をさらに含んでよい。いくつかの実施形態において、動作４２０は、（動作４０４において）置換鍵ユニットが受信した以前のスライスの送信元である鍵ユニットに、スライスを送信する段階を含んでよい。これにより、有利には、鍵スライスの分配を比較的変化の少ない状態に保つことが可能になってよい。

とりわけ、障害の生じた鍵ユニットは、他の鍵ユニットに記憶された他の鍵のスライスを含んでいた可能性がある。したがって、障害の生じた鍵が置換鍵ユニットによって回復されると、（システムが「スライス化してから暗号化」手法を実装しているか「暗号化してからスライス化」手法を実装しているかに応じていずれかの順序で）他の鍵ユニットの鍵が再スライス化および再暗号化されてよく、暗号化済みスライスが再分配されてよい。いくつかの実施形態において、グループの全鍵ユニットにわたる記憶された全スライスが、このように置換されてよい。いくつかの実施形態においては、障害の生じた鍵ユニットによって記憶されていたスライスのみが再生成されて、置換鍵ユニットに発信されてよい。これを達成するために、グループの鍵ユニットは、同じスライス化配置（「対称配置」）を利用してよい。したがって、第２のユニットに障害が生じたことを第１のユニットが通知された場合、第１のユニットは、その鍵スライスのうちのどれが第２のユニットに記憶されていたかを判定可能であってよい。対称でない配置では、グループ権限が、代わりにこの情報を追跡してよい。

いくつかの実施形態において、新暗号化済みスライスを送信する前に、鍵ユニットは、それぞれのスライスの周期的冗長検査（ＣＲＣ）を計算し、それをスライス自体と一緒に送信してよい。スライスを受信すると、スライスが破損したかどうかを検出するために、ＣＲＣが再計算およびチェックされてよい。

いくつかの実施形態において、鍵ユニットが新スライスを生成する（動作４１４）のではなく（または生成することに加えて）、鍵ユニットは、タイムスタンプ、シーケンス番号、またはノンスなど、何らかの他の情報を「旧」スライス（すなわち、動作４１０において復号されたスライス）に追加してよい。暗号化およびフィンガープリント付けされると（動作４１６および４１８）、追加情報により、フィンガープリントを異なるものになる。これは、経時的に旧スライスを「収集」しようと試み、最終的に鍵の再構築を可能にする攻撃者に対するセキュリティを提供することができる（なぜなら、付加情報のおかげで、旧スライスはなお異なるフィンガープリントを有することになるからである）。これにより、さらなるセキュリティを提供することができ、システムは、回復時に新しいスライスを生成するのではなく、旧スライスをセキュアに再使用することができる。

いくつかの実施形態において、方法４００のいくつかの動作は、異なる順序で実行されてよい。例えば、鍵をスライス化し、次いでスライスを暗号化する（動作４１４～４１６など）のではなく、システムは、鍵を暗号化し、次いで暗号化済み鍵をスライス化してよい。

図５は、本開示のいくつかの実施形態と一致した、高レベルのセキュアな秘密鍵動作方法５００を示す図である。方法５００は、図１のシステム１００などのシステムの全体的な動作について記載する。方法５００は、ユーザおよびストレージデバイスもしくはシステムと通信する鍵ユニットによって実行されてよい。例えば、方法５００は、（ユーザおよびストレージシステム１０７と通信する）鍵ユニット１２１によって実行されてよい。

方法５００は、動作５０２において、要求およびユーザ鍵を、ユーザから受信する段階を含む。方法５００は、ストレージシステムからのデータの読み出しについて記載している一方で、当業者には理解されるように、方法５００は、ストレージへのデータの書き込みを可能にするように修正されてよい。動作５０２は、例えば、ストレージシステムに記憶されたデータに関する読み出し要求を受信する段階を含んでよい。鍵ユニットは、鍵ユニット内に（暗号化状態で）記憶されたストレージ鍵を復号するためのユーザ鍵も受信する。動作５０２は、（多くの場合セキュアな通信リンクを確立することの一部として）認証手順を実行する段階も含んでよい。

方法５００は、動作５０４において、鍵ユニットによる鍵の使用にユーザ鍵が（ストレージ鍵の復号などにより）アクセスできるかどうかを判定する段階をさらに含む。ユーザ鍵がストレージ鍵を復号しない場合、ユーザは、ストレージ鍵にアクセスできないことがあり（５０４の「いいえ」）、動作５０６において結果的に要求が却下されることになる。動作５０６は、エラーメッセージを要求元のユーザに返す段階を含んでよい。エラーメッセージは、ユーザがストレージシステムまたはストレージ鍵にアクセスできないことを示してよい。

ユーザ鍵がストレージ鍵を復号できる場合（５０４の「はい」）、方法５００は、動作５０８において、要求された（暗号化状態の）データをストレージから検索する段階をさらに含む。次いでストレージ鍵は、動作５１０においてユーザ鍵によって復号され、復号済みストレージ鍵は、動作５１２において検索されたデータを復号するために使用される。方法５００は、動作５１４において、要求に応答して、要求されたデータをユーザに送信する段階をさらに含む。

いくつかの実施形態において、試験データチャンクを生成し、それを（修正された方法５００により）ストレージに記憶させ、ストレージ鍵により（またはグループ権限により記憶された実証鍵を使用してストレージ鍵を暗号化することによって生成された試験鍵により、もしくは試験対象のストレージ鍵を保持する鍵ユニットにより）それを暗号化させることにより、グループ権限は、ストレージ鍵を実証してよい。データのフィンガープリントは、グループ権限のフィンガープリントストレージに記憶されることが可能である。後の時点で、グループ権限は、鍵ユニットにデータを復号させ、新フィンガープリントを生成させ、新フィンガープリントをグループ権限に送信させることができる。フィンガープリントが一致しない場合、ストレージ鍵は変更されている可能性がある。これは、再構築が成功したかどうかを実証するのに特に有利であってよい。

図６は、本開示のいくつかの実施形態と一致した、複数の鍵アクセス制御ユニット６３１、６３２、６３３、６３４、および６３５、ならびにストレージ鍵６４１および６４２を含め、さらに詳細な例示的鍵ユニット６２１を含むシステム６００を示すブロック図である。鍵ユニット６２１は、鍵ユニットのより大きいグループ（図６には示さず）の一部であってよい。図６は、（ユーザ鍵６１１を有する）ユーザ６０１、（ユーザ鍵６１２を有する）ユーザ６０２、および（ユーザ鍵６１３を有する）ユーザ６０３も示している。本質的に、複数のユーザが同じストレージ鍵にアクセスできるようにするため、鍵ユニット６２１は、異なる鍵を使用してそれぞれ暗号化された、ストレージ鍵の複数のコピーを含んでよい。このように、（自らのユーザ鍵をそれぞれ有する）複数のユーザは、鍵がどのように記憶されているかに関わらず、セキュリティを損なうことなく同じ鍵にアクセス可能にされてよい。

ユーザがストレージ６０８にアクセスすることを望む場合、ユーザはユーザ鍵を鍵ユニット６２１にサブミットする。次いでユーザ鍵は、鍵アクセス制御ユニットのうちの１つのユニットの暗号化／復号関数（南京錠６５１、６５２、６５３として表してある）にサブミットされる。例えば、鍵アクセス制御ユニット６３１の暗号化／復号関数６５１は、ユーザ鍵６１１で復号されてよく、その一方で、鍵アクセス制御ユニット６３２の暗号化／復号関数６５２は、ユーザ鍵６１２で復号されてよい。とりわけ、鍵アクセス制御ユニット６３１と鍵アクセス制御ユニット６３２の両方は、同じストレージ鍵６４１の暗号化済みコピーを記憶している。（ユーザ鍵６１１は南京錠６５１しか復号できないので）例えばユーザ鍵６１１が、鍵アクセス制御ユニット６３２にアクセスすることができないように、コピーは、単に異なる態様で暗号化されている。

さらに、鍵アクセス制御ユニット６３３は、異なるストレージ鍵６４２を含んでよいが、それをユーザ鍵６１１が復号できないように暗号化（南京錠６５１）されている。同様に、鍵アクセス制御ユニット６３４は、暗号化６５２によるストレージ鍵６４２の第２の暗号化済みコピーを含んでよく、鍵アクセス制御ユニット６３５は、ユーザ鍵６１３により復号可能な、暗号化６５３によるストレージ鍵６４２の第３の暗号化済みコピーを含んでよい。これは、例えば２人のユーザが、ストレージ鍵６４１にアクセス可能であってよく、その一方で、３人のユーザがストレージ鍵６４２にアクセス可能であってよいことを意味してよい。

鍵ユニット６２１は、異なる鍵の複数のスライス６６１、６６２、６６３、および６６４（集合的に「スライス６６１～６６４」）を含めるための、図６に示すスライスストレージ６６０も含む。スライス６６１～６６４は、同じグループ内の他の鍵ユニットからセキュアに記憶された異なる鍵のスライスに対応してよい。スライス６６１～６６４は、暗号化状態で記憶され、グループ権限からの要求時に、置換鍵ユニットに発信されてよい。

鍵ユニット６２１は、１つまたは複数のストレージデバイスを含むストレージシステム６０８に接続されている。ストレージシステム６０８に発信されストレージシステムから受信されるデータは、ストレージ鍵６４１または６４２のうちの１つにより暗号化／復号されてよい。

鍵ユニット６２１が最初に初期化されると、ストレージ鍵６４１および６４２は、再構築関数によりスライス化される。次いでスライスは、グループ権限（図６には示さず）から受信した１つまたは複数のグループ権限鍵を使用して暗号化され、セキュアなストレージのためにグループ（図６には示さず）内の他の鍵ユニットの間で分配されてよい。

図７は、本開示のいくつかの実施形態と一致した、「暗号化してからスライス化」手法を使用する高レベルのセキュアな秘密鍵再構築方法７００を示す図である。方法７００は、例えば図１のシステム１００など、セキュアな秘密再構築を可能にするように構成されたシステムによって実行されてよい。方法７００は、鍵ユニットに障害が生じたこと、監査が開始されることなどに応答して実行されてよい。方法７００は、動作７０２において、鍵の暗号化済みスライスを受信する段階を含む。動作７０２は、例えば置換鍵ユニットによって実行されてよい。動作７０２は、秘密鍵の暗号化済みスライスを、鍵グループ内またはシステム内の他の鍵ユニットから受信する段階を含んでよい。いくつかの実施形態において、動作７０２は、システム内の鍵ユニットから１つまたは複数のパリティ鍵を受信する段階も含んでよい。いくつかの実施形態において、動作７０２は、秘密鍵のそれぞれのスライスのうちの１つを受信する段階を含んでよい。いくつかの実施形態において、動作７０２は、秘密鍵のスライスのうちの１つを除く全てのスライスを、パリティ鍵とともに受信して、欠損したスライスの再構築を可能にする段階を含んでよい。

方法７００は、動作７０４において、暗号化済みスライスを集めて暗号化済み鍵にする段階をさらに含む。動作７０４は、スライスを集めて暗号化済み鍵にするようにそれらを配置する適切な順番を判定するために、例えばそれぞれのスライスの１つまたは複数のタグを読み出す段階を含んでよい。とりわけ、鍵ユニットは暗号化済み鍵を集めることが可能であってよいが、その一方で、適切なグループ権限鍵がなければ、鍵を復号（ひいては回復）することはできない。グループ権限は、鍵ユニットが集めた暗号化済み鍵が正しい鍵であることを証明するよう鍵ユニットに要求してよい。

方法７００は、動作７０６において、暗号化済み鍵のフィンガープリントを検証する段階をさらに含む。動作７０６は、例えば暗号化済み鍵のフィンガープリントを生成し、このフィンガープリントと記憶されたフィンガープリントとを比較する段階を含んでよい。例えば、鍵ユニットは、セキュアハッシュアルゴリズム（ＳＨＡ）－２５６などのハッシュ関数を利用してもよいし、またはチェックサムを生成してもよい。鍵ユニットは、フィンガープリントを生成し、フィンガープリントをグループ権限に発信してよい。いくつかの実施形態において、グループ権限は、受信したフィンガープリントと記憶されたフィンガープリントとを比較して、暗号化済み鍵が有効かどうかを判定してよい（例えば、再度集められた暗号化済み鍵が、再構築中の、以前にスライス化された暗号化済み鍵と同一かどうかを確認してよい）。とりわけ、暗号化済み鍵自体は、グループ権限に発信されなくてよい。その代わりに暗号化済み鍵のハッシュを受信するだけでよい。このように、グループ権限ですら鍵を取得することができない。

方法７００は、動作７０８において鍵を復号する段階をさらに含む。動作７０８は、例えばグループ権限鍵を利用して、集められた暗号化済み鍵を復号する段階を含んでよい。暗号化済み鍵のフィンガープリントが有効であることをグループ権限が（例えば動作７０６の後に）確認すると、グループ権限によってグループ権限鍵が鍵ユニットに発信されてよい。グループ権限鍵が受信されると、鍵ユニットはこのグループ権限鍵を使用して、鍵を復号する。とりわけ、グループ権限は、複数の異なるグループ権限鍵を含んでよい（またはそれを生成／取得することが可能であってよい）。鍵ユニットは、適切な鍵でのみ鍵を復号することができる。例えばフィンガープリント比較の結果（記憶されたフィンガープリントが、グループ鍵のアレイについてのインデックスとして利用されてよい）、特定の要求（鍵ユニットは、特定のストレージ鍵の再構築を試みていることを明示的に申告してもよいし、または特定のグループ権限鍵を要求してもよい）などに基づき、グループ権限は、どの鍵を鍵ユニットに発信すべきかを判定してよい。

いくつかの実施形態において、本開示全体にわたって考察された暗号化済みスライスは、スライスの第２のセットを作成するために、誤り訂正符号（消去符号など）へと符号化されてよい。利用される符号は、複数のパリティを有する符号を含め、任意の種類の誤り訂正符号（例えば、３＋Ｐ、トルネード符号、リードソロモン符号など）であってよい。

いくつかの実施形態において、「暗号化してからスライス化」手法においてでも、それぞれの暗号化済みスライスについてフィンガープリントが生成され、グループ権限に発信されてよい。これにより、鍵ユニットがスライスを変更したかどうか（これは悪意のある攻撃者または破損の証拠になり得る）を、グループ権限が検出可能になってよい。誤り訂正符号も、そのような変更を（最大でその符号の累乗（ａ ｐｏｗｅｒ ｏｆ ｔｈｅ ｃｏｄｅ）まで）検出および訂正することができる。

本開示はクラウドコンピューティングについての詳細な記載を含むが、本明細書に述べる教示の実装形態はクラウドコンピューティング環境に限定されないことが理解される。むしろ、本発明の実施形態は、現在知られているか、または今後開発される任意の他の種類のコンピューティング環境と併せて実装されることが可能である。

クラウドコンピューティングは、構成可能なコンピューティングリソース（例えば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共有プールへの簡便なオンデマンドのネットワークアクセスを可能にするためのサービス配信モデルであり、これらのコンピューティングリソースは、管理労力またはサービスのプロバイダとの対話を最小限に抑えながら迅速にプロビジョニングおよびリリースされることが可能である。このクラウドモデルは、少なくとも５つの特性と、少なくとも３つのサービスモデルと、少なくとも４つの展開モデルとを含んでよい。

特性は以下の通りである。

オンデマンドセルフサービス：クラウド消費者は、サービスプロバイダとの人的対話を必要とすることなく必要に応じて自動的に、サーバ時間およびネットワークストレージなどのコンピューティング機能を一方的にプロビジョニングすることができる。

幅広いネットワークアクセス：ネットワーク経由で機能を利用可能であり、異種のシンクライアントプラットフォームまたはシッククライアントプラットフォーム（例えば、携帯電話、ラップトップ、およびＰＤＡ）による使用を促進する標準メカニズムを通じて機能にアクセスする。

リソースのプール化：プロバイダのコンピューティングリソースをプール化して、マルチテナントモデルを使用する複数の消費者にサービス提供する。複数の異なる物理リソースおよび仮想リソースが需要に従って動的に割り当ておよび再割り当てされる。消費者は概して提供されたリソースの正確なロケーションに対して制御または知識を有していないが、より高いレベルの抽象化（例えば、国、州、またはデータセンタ）においてロケーションを指定することが可能である場合があるという点で、ロケーションの独立性がある。

迅速な順応性：機能を迅速かつ順応的に、場合によっては自動的にプロビジョニングして素早くスケールアウトし、迅速にリリースして素早くスケールインすることができる。消費者にとっては、多くの場合、プロビジョニングに利用可能な機能が無制限にあるように見え、いつでもどんな量でも購入可能である。

測定サービス：クラウドシステムは、サービスの種類（例えばストレージ、処理、帯域幅、およびアクティブなユーザアカウント）に適したある程度の抽象化レベルで計測機能を活用することにより、リソース使用を自動的に制御および最適化する。リソース使用が、監視、制御、および報告されて、利用されるサービスのプロバイダと消費者の両方に透明性を提供することができる。

サービスモデルは以下の通りである。

ソフトウェア・アズ・ア・サービス（ＳａａＳ）：消費者に提供される機能は、クラウドインフラストラクチャ上で実行されるプロバイダのアプリケーションを使用することである。このアプリケーションは、ウェブブラウザ（例えば、ウェブベースの電子メール）などのシンクライアントインタフェースを通じて、様々なクライアントデバイスからアクセス可能である。消費者は、ネットワーク、サーバ、オペレーティングシステム、ストレージ、または個々のアプリケーション機能さえも含む基礎をなすクラウドインフラストラクチャを管理することも、制御することもない。ただし、限定的なユーザ固有のアプリケーション構成設定は例外となる場合がある。

プラットフォームアズアサービス（ＰａａＳ）：消費者に提供される機能は、プロバイダによってサポートされるプログラミング言語およびツールを使用して作成された、消費者が作成または取得したアプリケーションを、クラウドインフラストラクチャ上に展開することである。消費者は、ネットワーク、サーバ、オペレーティングシステム、またはストレージを含め、基礎をなすクラウドインフラストラクチャの管理も制御も行わないが、展開されたアプリケーションと、場合によってはアプリケーションホスティング環境の構成とを制御する。

サービスとしてのインフラストラクチャ（ＩａａＳ）：消費者に提供される機能は、処理、ストレージ、ネットワーク、および他の基本的なコンピューティングリソースをプロビジョニングすることであり、消費者は、オペレーティングシステムおよびアプリケーションを含むことが可能な任意のソフトウェアを展開および実行することができる。消費者は、基礎をなすクラウドインフラストラクチャの管理も制御も行わないが、オペレーティングシステム、ストレージ、展開されたアプリケーションを制御するとともに、場合によっては選択されたネットワーク形成コンポーネント（例えば、ホストファイアウォール）を限定的に制御する。

展開モデルは以下の通りである。

プライベートクラウド：クラウドインフラストラクチャが、１つの組織のためだけに運用される。それは、組織またはサードパーティによって管理されてよく、オンプレミスまたはオフプレミスに存在してよい。

コミュニティクラウド：クラウドインフラストラクチャが、いくつかの組織により共有されており、共通の関心事（例えばミッション、セキュリティ要件、ポリシー、および法令遵守に関わる考慮事項）を有する特定のコミュニティをサポートする。それは、組織またはサードパーティによって管理されてよく、オンプレミスまたはオフプレミスに存在してよい。

パブリッククラウド：クラウドインフラストラクチャが、一般大衆または大規模な業界団体に対して利用可能にされており、クラウドサービスを販売する組織により所有されている。

ハイブリッドクラウド：クラウドインフラストラクチャは、独自のエンティティのままであるが、データおよびアプリケーションの移植性（例えば、クラウド間の負荷分散のためのクラウドバースト）を可能にする標準技術または独自技術によって互いに結び付けられた２つまたはそれより多くのクラウド（プライベート、コミュニティ、またはパブリック）の合成である。

クラウドコンピューティング環境は、ステートレス性、低結合性、モジュール性、および意味相互運用性に焦点を当てたサービス指向型である。クラウドコンピューティングの中核は、相互接続されたノードからなるネットワークを含むインフラストラクチャである。

ここで、図８を参照すると、例示的なクラウドコンピューティング環境８００が示してある。示してあるように、クラウドコンピューティング環境８００は、クラウド消費者により使用されるローカルコンピューティングデバイス、例えば、パーソナルデジタルアシスタント（ＰＤＡ）、またはセルラー電話８４０Ａ、デスクトップコンピュータ８４０Ｂ、ラップトップコンピュータ８４０Ｃ、もしくは自動車用コンピュータシステム８４０Ｎ、またはそれらの組み合わせなどが、それにより通信できる１つまたは複数のクラウドコンピューティングノード８１０を含む。ノード８１０は、互いに通信してよい。それらは、上に記載のプライベートクラウド、コミュニティクラウド、パブリッククラウド、もしくはハイブリッドクラウド、またはこれらの組み合わせなどの１つまたは複数のネットワークにおいて、物理的または仮想的にグループ化されてよい（図示せず）。これにより、クラウドコンピューティング環境８００は、ローカルコンピューティングデバイス上にクラウド消費者がリソースを維持する必要のないサービスとして、インフラストラクチャ、プラットフォーム、もしくはソフトウェア、またはそれらの組み合わせを提供することが可能になる。図８に示されたコンピューティングデバイス８４０Ａから８４０Ｎの種類は例示のみを意図しており、コンピューティングノード８１０およびクラウドコンピューティング環境８００は、任意の種類のネットワークもしくはネットワークアドレス指定可能な接続またはその両方を介して（例えば、ウェブブラウザを使用して）、任意の種類のコンピュータ化デバイスと通信できることを理解されたい。

ここで、図９を参照すると、クラウドコンピューティング環境８００（図８）によって提供された機能抽象化層のセットが示してある。図９に示してあるコンポーネント、層、および機能は、例示のみを意図したものであり、本発明の実施形態はこれらに限定されないことが事前に理解されるべきである。示してあるように、以下の層および対応する機能が提供される。

ハードウェアおよびソフトウェア層９６０は、ハードウェアコンポーネントおよびソフトウェアコンポーネントを含む。ハードウェアコンポーネントの例は、メインフレーム９６１、ＲＩＳＣ（縮小命令セットコンピュータ）アーキテクチャベースのサーバ９６２、サーバ９６３、ブレードサーバ９６４、ストレージデバイス９６５、ならびにネットワークおよびネットワーク形成コンポーネント９６６を含む。いくつかの実施形態において、ソフトウェアコンポーネントは、ネットワークアプリケーションサーバソフトウェア９６７およびデータベースソフトウェア９６８を含む。

仮想化層９７０は抽象化層を提供し、この抽象化層から、仮想エンティティの以下の例が提供されてよい：仮想サーバ９７１、仮想ストレージ９７２、仮想プライベートネットワークを含む仮想ネットワーク９７３、仮想アプリケーションおよびオペレーティングシステム９７４、ならびに仮想クライアント９７５。

一例において、管理層９８０は、以下に記載の機能を提供してよい。リソースプロビジョニング９８１は、クラウドコンピューティング環境内でタスクを実行するために利用されるコンピューティングリソースおよび他のリソースの動的調達を提供する。計測および価格設定９８２は、クラウドコンピューティング環境内でリソースが利用される際のコスト追跡と、これらのリソースの消費に対する請求書作成または請求書送付とを提供する。一例において、これらのリソースは、アプリケーションソフトウェアライセンスを含んでよい。セキュリティは、クラウド消費者およびタスクの識別情報実証、ならびにデータおよび他のリソースの保護を提供する。ユーザポータル９８３は、消費者およびシステム管理者にクラウドコンピューティング環境へのアクセスを提供する。サービスレベル管理９８４は、必要なサービスレベルが満たされるように、クラウドコンピューティングリソースの割り当ておよび管理を提供する。サービスレベル合意（ＳＬＡ）の計画および履行９８５は、ＳＬＡに従って、将来の要件が予想されるクラウドコンピューティングリソースに関する事前準備およびその調達を提供する。

ワークロード層９９０は、クラウドコンピューティング環境を利用できる機能の例を提供する。この層から提供されてよいワークロードおよび機能の例は、マッピングおよびナビゲーション９９１、ソフトウェア開発およびライフサイクル管理９９２、仮想教室教育配信９９３、データ解析処理９９４、トランザクション処理９９５、およびセキュアな秘密回復９９６を含む。

ここで図１０を参照すると、例えば方法２００、３００、４００、５００、もしくは７００、またはそれらの組み合わせを含む本開示の様々な態様を実行するように構成されていてよい、例示的なコンピュータシステム１０００の高レベルのブロック図が示してある。例示的なコンピュータシステム１０００は、本開示の実施形態による、（例えば、コンピュータの１つまたは複数のプロセッサ回路またはコンピュータプロセッサを使用する）本明細書に記載の方法もしくはモジュール、および任意の関連する機能もしくは動作のうちの１つまたは複数を実装する際に使用されてよい。いくつかの実施形態において、コンピュータシステム１０００の主要コンポーネントは、１つまたは複数のＣＰＵ１００２、メモリサブシステム１００８、端末インタフェース１０１６、ストレージインタフェース１０１８、Ｉ／Ｏ（入力／出力）デバイスインタフェース１０２０、およびネットワークインタフェース１０２２を含んでよく、これら全ては、メモリバス１００６、Ｉ／Ｏバス１０１４、およびＩ／Ｏバスインタフェースユニット１０１２を介したコンポーネント間通信のために、直接的または間接的に通信可能に結合されてよい。

コンピュータシステム１０００は、１つまたは複数の汎用プログラマブル中央処理装置（ＣＰＵ）１００２を含んでよく、その一部または全部は、本明細書においてＣＰＵ１００２と総称する１つまたは複数のコア１００４Ａ、１００４Ｂ、１００４Ｃ、および１００４Ｄを含んでよい。いくつかの実施形態において、コンピュータシステム１０００は、比較的大規模なシステムに典型的な複数のプロセッサを含んでよい。しかし、他の実施形態において、コンピュータシステム１０００は、代替的に単一のＣＰＵシステムであってよい。それぞれのＣＰＵ１００２は、ＣＰＵコア１００４上のメモリサブシステム１００８に記憶された命令を実行してよく、１つまたは複数のレベルのオンボードキャッシュを含んでよい。

いくつかの実施形態において、メモリサブシステム１００８は、データおよびプログラムを記憶するためのランダムアクセス半導体メモリ、ストレージデバイス、またはストレージ媒体（揮発性または不揮発性のいずれか）を含んでよい。いくつかの実施形態において、メモリサブシステム１００８は、コンピュータシステム１０００の仮想メモリ全体を表してよく、コンピュータシステム１０００に結合されているか、またはネットワークを介して接続されている他のコンピュータシステムの仮想メモリも含んでよい。メモリサブシステム１００８は、概念的には単一のモノリシックエンティティであってよいが、いくつかの実施形態において、メモリサブシステム１００８は、キャッシュおよび他のメモリデバイスの階層など、より複雑な配置であってよい。例えば、メモリは複数レベルのキャッシュに存在してよく、これらのキャッシュは機能によってさらに分割されてよく、それにより、あるキャッシュは命令を保持し、その一方で別のキャッシュは１つまたは複数のプロセッサによって使用される非命令データを保持する。様々ないわゆる不均一メモリアクセス（ＮＵＭＡ）コンピュータアーキテクチャのいずれかにおいて知られているように、メモリは異なるＣＰＵまたはＣＰＵのセットにさらに分散され、関連付けられてよい。いくつかの実施形態において、メインメモリまたはメモリサブシステム８０４は、ＣＰＵ１００２によって使用されるメモリの制御およびフローのための要素を含んでよい。これは、メモリコントローラ１０１０を含んでよい。

メモリバス１００６は、ＣＰＵ１００２、メモリサブシステム１００８、およびＩ／Ｏバスインタフェース１０１２の間の直接通信パスを提供する単一のバス構造として図１０に示されているが、メモリバス１００６は、いくつかの実施形態において、階層構成、スター構成、またはウェブ構成のポイントツーポイントリンク、複数の階層バス、並列および冗長パス、または任意の他の適切な種類の構成など、様々な形態のいずれかに配置されることが可能な複数の異なるバスまたは通信パスを含んでよい。さらに、Ｉ／Ｏバスインタフェース１０１２およびＩ／Ｏバス１０１４は、単一のそれぞれのユニットとして示されている一方で、コンピュータシステム１０００は、いくつかの実施形態において、複数のＩ／Ｏバスインタフェースユニット１０１２、複数のＩ／Ｏバス１０１４、またはその両方を含んでよい。さらに、様々なＩ／Ｏデバイスに向かう様々な通信パスからＩ／Ｏバス１０１４を分離する複数のＩ／Ｏインタフェースユニットが示してある一方で、他の実施形態においては、Ｉ／Ｏデバイスの一部または全部が、１つまたは複数のシステムＩ／Ｏバスに直接接続されてよい。

いくつかの実施形態において、コンピュータシステム１０００は、マルチユーザメインフレームコンピュータシステム、シングルユーザシステム、または直接的なユーザインタフェースをほとんどまたは全く有していないが、他のコンピュータシステム（クライアント）からの要求を受信するサーバコンピュータまたは同様のデバイスであってよい。さらに、いくつかの実施形態において、コンピュータシステム１０００は、デスクトップコンピュータ、ポータブルコンピュータ、ラップトップまたはノートブックコンピュータ、タブレットコンピュータ、ポケットコンピュータ、電話、スマートフォン、モバイルデバイス、または任意の他の適切な種類の電子デバイスとして実装されてよい。

図１０は、例示的なコンピュータシステム１０００の代表的な主要コンポーネントを示すことを意図していることが付記される。しかし、いくつかの実施形態において、個々のコンポーネントは、図１０に表すよりも多いまたは少ない複雑性を有していてよく、図１０に示すもの以外のまたはそれに加えてコンポーネントが存在してよく、そのようなコンポーネントの数、種類、および構成は、変化してよい。

本発明は、任意の可能な集積の技術的詳細レベルにおけるシステム、方法、もしくはコンピュータプログラム製品、またはそれらの組み合わせであってよい。コンピュータプログラム製品は、本発明の態様をプロセッサに実施させるためのコンピュータ可読プログラム命令を有するコンピュータ可読ストレージ媒体を含んでよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによる使用のための命令を保持および記憶することができる有形デバイスとすることができる。コンピュータ可読ストレージ媒体は、例えば電子ストレージデバイス、磁気ストレージデバイス、光学ストレージデバイス、電磁ストレージデバイス、半導体ストレージデバイス、またはこれらの任意の好適な組み合わせであってよいが、これらに限定されない。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的なリストは、ポータブルコンピュータディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、リードオンリメモリ（ＲＯＭ）、消去可能プログラマブルリードオンリメモリ（ＥＰＲＯＭまたはフラッシュメモリ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、ポータブルコンパクトディスクリードオンリメモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリスティック、フロッピディスク、パンチカードまたは命令が記録されている溝内の隆起構造などの機械的に符号化されたデバイス、およびこれらの任意の好適な組み合わせを含む。コンピュータ可読ストレージ媒体は、本明細書において使用されるとき、電波または他の自由に伝播する電磁波、導波路または他の伝送媒体を介して伝播する電磁波（例えば、光ファイバケーブルを通過する光パルス）、またはワイヤを介して送信される電気信号など、それ自体が一時的な信号であると解釈されるべきではない。

本明細書に記載のコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピューティングデバイス／処理デバイスにダウンロードされてもよいし、またはネットワーク、例えばインターネット、ローカルエリアネットワーク、ワイドエリアネットワーク、もしくは無線ネットワーク、またはそれらの組み合わせを介して、外部コンピュータまたは外部ストレージデバイスにダウンロードされてもよい。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイコンピュータ、もしくはエッジサーバ、またはそれらの組み合わせを備えてよい。それぞれのコンピューティングデバイス／処理デバイスのネットワークアダプタカードまたはネットワークインタフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、そのコンピュータ可読プログラム命令を、それぞれのコンピューティングデバイス／処理デバイス内のコンピュータ可読ストレージ媒体に記憶するために転送する。

本発明の動作を実施するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路用の構成データ、またはＳｍａｌｌｔａｌｋ（登録商標）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語もしくは同様のプログラミング言語などの手続き型プログラミング言語を含む１つもしくは複数のプログラミング言語の任意の組み合わせで書かれたソースコードもしくはオブジェクトコードのいずれかであってよい。コンピュータ可読プログラム命令は、スタンドアロンのソフトウェアパッケージとして完全にユーザのコンピュータ上で実行されてもよいし、部分的にユーザのコンピュータ上で実行されてもよいし、部分的にユーザのコンピュータ上でかつ部分的にリモートコンピュータ上で実行されてもよいし、または完全にリモートコンピュータもしくはサーバ上で実行されてもよい。後者の状況では、リモートコンピュータは、ローカルエリアネットワーク（ＬＡＮ）もしくはワイドエリアネットワーク（ＷＡＮ）を含む任意の種類のネットワークを介して、ユーザのコンピュータに接続されてもよいし、または（例えばインターネットサービスプロバイダを使用してインターネットを介して）外部コンピュータへの接続が行われてもよい。いくつかの実施形態において、例えばプログラマブル論理回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、またはプログラマブル論理アレイ（ＰＬＡ）を含む電子回路は、本発明の態様を実行するために、コンピュータ可読プログラム命令の状態情報を利用して電子回路をパーソナライズすることにより、コンピュータ可読プログラム命令を実行してよい。

本発明の態様は、本発明の実施形態による方法、装置（システム）、およびコンピュータプログラム製品のフローチャート図もしくはブロック図またはその両方を参照しながら、本明細書に記載されている。フローチャート図もしくはブロック図またはその両方のそれぞれのブロック、およびフローチャート図もしくはブロック図またはその両方のブロックの組み合わせは、コンピュータ可読プログラム命令によって実装可能であることが理解されよう。

これらのコンピュータ可読プログラム命令は、コンピュータのプロセッサまたは他のプログラマブルデータ処理装置に提供されて機械を作り出してよく、それによりコンピュータのプロセッサまたは他のプログラマブルデータ処理装置によって実行される命令は、フローチャートもしくはブロック図またはその両方のブロックに指定された機能／動作を実装するための手段を作成する。また、これらのコンピュータ可読プログラム命令は、コンピュータ、プログラマブルデータ処理装置、もしくは他のデバイス、またはそれらの組み合わせを特定の態様で機能するように導くことができるコンピュータ可読ストレージ媒体に記憶されてもよく、それにより、内部に命令が記憶されたコンピュータ可読ストレージ媒体は、フローチャートもしくはブロック図またはその両方のブロックに指定された機能／動作の態様を実装する命令を含む製造物品を備える。

また、コンピュータ可読プログラム命令は、コンピュータ、他のプログラマブルデータ処理装置、または他のデバイスにロードされて、このコンピュータ、他のプログラマブル装置、または他のデバイス上で、一連の動作段階を実行させて、コンピュータ実装プロセスを作り出してよく、それにより、このコンピュータ、他のプログラマブル装置、または他のデバイス上で実行される命令は、フローチャートもしくはブロック図またはその両方のブロックに指定された機能／動作を実装する。

図中のフローチャートおよびブロック図は、本発明の様々な実施形態によるシステム、方法、およびコンピュータプログラム製品の可能な実装形態のアーキテクチャ、機能、および動作を示している。これに関して、フローチャートまたはブロック図のそれぞれのブロックは、指定された論理機能を実装するための１つまたは複数の実行可能命令を含む命令のモジュール、セグメント、または一部分を表してよい。いくつかの代替的な実装形態において、ブロックに付記された機能は、図に付記された順序通りではない順序で行われてよい。例えば、連続して示してある２つのブロックは、実際には１つの段階として実現されてよく、同時に実行されても、実質的に同時に実行されても、一部もしくは全部が時間的に重複する態様で実行されてもよいし、またはブロックは、含まれる機能に応じて場合により逆の順序で実行されてもよい。また、ブロック図もしくはフローチャート図またはその両方のそれぞれのブロック、およびブロック図もしくはフローチャート図またはその両方のブロックの組み合わせは、明示された機能もしくは動作を実行する専用ハードウェアベースのシステムによって実装されてもよいし、または専用ハードウェアとコンピュータ命令との組み合わせを実施してもよいことも付記される。

本開示の様々な実施形態の記載内容は、例示の目的で提示されてきたが、網羅的であることも開示する実施形態への限定も意図していない。記載された実施形態の範囲から逸脱することなく、多くの修正形態および変形形態が、当業者には明らかであろう。本明細書で使用される用語は、実施形態の原理、実際の用途、または市場で見られる技術に優る技術的改善を説明するため、または本明細書に開示する実施形態を他の当業者が理解できるようにするために選択されたものである。

Claims (25)

1. 第１の鍵ユニットにより秘密を再構築する方法であって、
   第２の鍵ユニットから第１の暗号化済みスライスを、第３の鍵ユニットから第２の暗号化済みスライスを受信する段階と、
   グループ権限から１つまたは複数のグループ権限鍵を受信する段階と、
   前記第１の暗号化済みスライスおよび前記第２の暗号化済みスライスを、前記１つまたは複数のグループ権限鍵を使用して復号する段階と、
   第１の復号済みスライスおよび第２の復号済みスライスに基づき、前記秘密を再構築する段階と
   を備える方法。
2. 前記第１の暗号化済みスライスの第１のフィンガープリント、および前記第２の暗号化済みスライスの第２のフィンガープリントを生成する段階と、
   前記第１のフィンガープリントおよび前記第２のフィンガープリントを前記グループ権限に発信する段階であって、前記１つまたは複数のグループ権限鍵を受信する前記段階が、前記第１のフィンガープリントおよび前記第２のフィンガープリントを前記グループ権限が検証したことに応答して行われる、段階と
   をさらに備える、請求項１に記載の方法。
3. 前記再構築された秘密を、第１の新スライスおよび第２の新スライスへとスライス化する段階と、
   前記第１の新スライスおよび前記第２の新スライスを暗号化する段階と、
   前記暗号化済み第１の新スライスを前記第２の鍵ユニットに送信する段階と、
   前記暗号化済み第２の新スライスを前記第３の鍵ユニットに送信する段階と
   をさらに備える、請求項１または２に記載の方法。
4. 前記グループ権限から１つまたは複数の新グループ権限鍵を受信する段階であって、前記第１の新スライスおよび前記第２の新スライスを暗号化する前記段階が、前記１つまたは複数の新グループ権限鍵を使用して実行される、段階をさらに備える、請求項３に記載の方法。
5. 前記暗号化済み第１の新スライスの第１の新フィンガープリントを生成する段階と、
   前記暗号化済み第２の新スライスの第２の新フィンガープリントを生成する段階と、
   前記第１の新フィンガープリントおよび前記第２の新フィンガープリントを前記グループ権限に送信する段階と
   をさらに備える、請求項３または４に記載の方法。
6. 前記第２の鍵ユニットから第３の暗号化済みスライスを受信する段階と、
   前記第３の鍵ユニットから第４の暗号化済みスライスを受信する段階と、
   前記第３の暗号化済みスライスおよび前記第４の暗号化済みスライスを、スライスストレージに記憶する段階と
   をさらに備える、請求項３から５のいずれか１項に記載の方法。
7. 前記第３の鍵ユニットに障害が生じていることを判定する段階と、
   前記第４の暗号化済みスライスを第４の鍵ユニットに送信するよう求める要求を、前記グループ権限から受信する段階と、
   前記第４の暗号化済みスライスを前記第４の鍵ユニットに送信する段階と
   をさらに備える、請求項６に記載の方法。
8. 前記再構築された秘密を暗号化する段階と、
   前記再構築された秘密を、秘密アクセス制御ユニットに記憶する段階と、
   ユーザ鍵を含む要求をユーザから受信する段階と、
   前記再構築された秘密を、前記ユーザ鍵を使用して復号する段階と、
   前記再構築された秘密を使用して、前記要求に応答する段階と
   をさらに備える、請求項１から７のいずれか１項に記載の方法。
9. 前記秘密がストレージ暗号化鍵である、請求項１から８のいずれか１項に記載の方法。
10. 前記グループ権限が認証機関である、請求項１から９のいずれか１項に記載の方法。
11. システムであって、
    メモリと、
    前記メモリに結合された中央処理装置（ＣＰＵ）であって、前記ＣＰＵが、
    秘密を記憶している鍵ユニットに障害が生じていることを判定することであって、前記鍵ユニットがグループに含まれている、判定することを行うための命令と、
    暗号化済み鍵スライスのフィンガープリントを、置換鍵ユニットから受信するための命令と、
    前記受信したフィンガープリントを検証することであって、前記検証することが、前記受信したフィンガープリントと、フィンガープリントストレージに記憶された記憶済みフィンガープリントとを比較することを含む、検証することを行うための命令と、
    前記検証に応答して、１つまたは複数の記憶済みグループ権限鍵を前記置換鍵ユニットに送信するための命令と
    を実行するように構成された、ＣＰＵと
    を備えるシステム。
12. 前記ＣＰＵが、
    前記置換鍵ユニットを前記グループに追加し、
    前記置換鍵ユニットの識別情報を検証するように、さらに構成されている、請求項１１に記載のシステム。
13. 前記ＣＰＵが、
    １つまたは複数の新グループ権限鍵を生成し、
    前記１つまたは複数の新グループ権限鍵を、前記置換鍵ユニットに送信するように、さらに構成されている、請求項１１または１２に記載のシステム。
14. 前記ＣＰＵが、
    前記置換鍵ユニットから新フィンガープリントを受信し、
    前記新フィンガープリントをフィンガープリントストアに記憶するように、さらに構成されている、請求項１２に記載のシステム。
15. グループ権限が認証機関である、請求項１１から１４のいずれか１項に記載のシステム。
16. 前記秘密がストレージ暗号化鍵である、請求項１１から１５のいずれか１項に記載のシステム。
17. コンピュータに、
    秘密を取得する手順と、
    １つまたは複数のグループ権限鍵をグループ権限から受信する手順と、
    前記１つまたは複数のグループ権限鍵に基づき、前記秘密の複数の暗号化済みスライスを生成する手順と
    実行させるためのコンピュータプログラム。
18. 前記コンピュータに
    秘密鍵に基づき１つまたは複数のフィンガープリントを生成する手順と、
    前記１つまたは複数のフィンガープリントを前記グループ権限に送信する手順と
    をさらに実行させる、請求項１７に記載のコンピュータプログラム。
19. 前記１つまたは複数のグループ権限鍵が、単一のグループ権限鍵から成り、
    前記複数の暗号化済みスライスを前記生成する手順が、
    前記単一のグループ権限鍵を使用して前記秘密を暗号化する手順と、
    前記暗号化済み秘密をスライス化する手順と
    を含む、請求項１７または１８に記載のコンピュータプログラム。
20. 前記複数の暗号化済みスライスを前記生成する手順が、
    前記秘密を複数のスライスへとスライス化する手順と、
    前記１つまたは複数のグループ権限鍵を使用して、前記複数のスライスを暗号化する手順と
    を含む、請求項１７から１９のいずれか１項に記載のコンピュータプログラム。
21. 前記コンピュータに、前記複数の暗号化済みスライスを複数の鍵ユニットに送信する手順をさらに実行させる、請求項１７から２０のいずれか１項に記載のコンピュータプログラム。
22. 前記コンピュータに、
    前記複数の暗号化済みスライスおよび誤り訂正符号に基づき、第２の複数のスライスを生成する手順と、
    前記第２の複数のスライスを複数の鍵ユニットに送信する手順と
    をさらに実行させる、請求項１７から２１のいずれか１項に記載のコンピュータプログラム。
23. 前記コンピュータに、
    第１の鍵ユニットから第１の暗号化済みスライスを、第２の鍵ユニットから第２の暗号化済みスライスを受信する手順と、
    前記第１の暗号化済みスライスおよび前記第２の暗号化済みスライスを記憶する手順と、
    前記第２の暗号化済みスライスを置換鍵ユニットに送信するよう求める要求を、前記グループ権限から受信する手順と、
    前記要求に応答して、前記第２の暗号化済みスライスを前記置換鍵ユニットに送信する手順と
    をさらに実行させる、請求項１７から２２のいずれか１項に記載のコンピュータプログラム。
24. 前記コンピュータに、
    前記置換鍵ユニットから置換スライスを受信する手順と、
    前記第１の暗号化済みスライスを前記置換スライスで置換する手順と
    をさらに実行させる、請求項２３に記載のコンピュータプログラム。
25. 前記コンピュータに、
    前記グループ権限から１つまたは複数の新グループ権限鍵を受信する手順と、
    前記１つまたは複数のグループ権限鍵に基づき、前記秘密の１つまたは複数の新暗号化済みスライスを生成する手順と、
    前記１つまたは複数の新暗号化済みスライスのうちの少なくとも１つを、前記置換鍵ユニットに送信する手順と
    をさらに実行させる、請求項２４に記載のコンピュータプログラム。

Images