JP2024501168A - セキュアなメモリ共有方法 - Google Patents

Abstract

コンピュータ実装方法が、ソース・ノードによって、ソース・ノードによって制御される共有メモリの領域に記憶されたデータを求める要求を宛先ノードから受信することを含む。データは、ソース・ノードのローカル鍵で暗号化されている。方法は、ソース・ノードによって、ローカル鍵を使用してローカルで暗号化されたデータを復号することと、ソース・ノードによって、第１の暗号化データを生成するために第１の鍵を使用して、復号データを暗号化することとを含む。方法はさらに、ソース・ノードによって、第２の暗号化データを生成するために第２の鍵を使用して第１の暗号化データを暗号化することと、ソース・ノードによって、第２の暗号化データを宛先ノードに送信することとを含む。

Description

本発明は、一般には、ストレージ・システムを使用するセキュアなメモリ共有に関し、より詳細には、クラウド・ストレージ・システムおよびネットワークにおけるメモリ共有をセキュアにするためのセキュア・トランスコーダに関する。

様々なコンピュータ・ノード間での共有メモリに記憶されたデータをセキュアに共有することが望ましい。セキュアなデータ転送は、記憶データの近くに計算機能を備えるために特に有利である。たとえば、各ノードが特定の計算機能（たとえばデータベース、推論エンジンなど）を有し得る。データの共有を制限するために従来技術の手法ではアクセス制御が通例、使用されている。アクセス制御は絶対に安全というわけではなく、データ漏洩につながる可能性がある。たとえば、権限がエスカレーション（昇格）されることがある、制御が誤って設定されることがあるなどである。

他の従来技術の手法では、ソース・ノードが記憶データを暗号化する。別の手法では、ソース・ノードがデータを復号し、そのデータを共有のためにセキュアなリンクを介して送信することができる。さらに別の手法では、ソース・ノードがデータを復号し、ソース・ノードがソース・ノードの復号鍵を宛先ノードと共有することができる。これらの適用例では多くのデータ漏洩機会がある。適用例によっては、データへのセキュアなアクセスを提供するためにホモモルフィック暗号化を使用することができるが、ホモモルフィック暗号化は宛先がデータの平文にアクセスすることができない状態でデータに対する計算を行うことが可能とされる状況に限定される。ホモモルフィック暗号化の有用性はその低速なパフォーマンスによって制限される。

これらの様々な従来技術の手法は、宛先ノードにおける高度な信頼性を必要とする傾向がある。また、これらの従来の手法は機能の置換の柔軟性がない。当技術分野では、特に宛先ノードが不正を行った場合に共有を停止する機能を含む、共有データの高度なセキュリティを提供しながら、共有メモリ内のデータをセキュアに共有し、動作（たとえばストレージの近くでの計算など）を可能にする必要が依然として存在する。

一態様によるコンピュータ実装方法は、ソース・ノードによって、宛先ノードからソース・ノードによって制御される共有メモリの領域に記憶されたデータを求める要求を受信することを含む。データは、ソース・ノードのローカル鍵を使用して暗号化されている。方法は、ソース・ノードによって、ローカル鍵を使用してローカルで暗号化されたデータを復号することと、ソース・ノードによって、第１の暗号化データを生成するために第１の鍵を使用して復号データを暗号化することとを含む。方法はさらに、ソース・ノードによって、第２の暗号化データを生成するために第２の鍵を使用して第１の暗号化データを暗号化することと、ソース・ノードによって、第２の暗号化データを宛先ノードに送信することとを含む。この態様は、ローカル・メモリ内のメモリ範囲の共有と処理を可能にするので有利である。

任意による態様によるコンピュータ実装方法は、共有メモリの領域が複数の宛先ノードによって要求されることを含む。宛先ノードのうちの少なくとも２つの宛先ノードのそれぞれに異なる第２の鍵が関連付けられる。この任意による態様は、宛先ノードごとの別個の共有ポリシーという利点をもたらし、ソース・ノードが宛先ノードごとにアクセスを独立して制御することを可能にする。

一態様によるコンピュータ・プログラム製品は、１つまたは複数のコンピュータ可読記憶媒体と、その１つまたは複数のコンピュータ可読記憶媒体にまとめて記憶されたプログラム命令とを含む。プログラム命令は、上記の方法を実行するプログラム命令を含む。

別の態様によるコンピュータ実装方法は、宛先ノードによって、第２の暗号化データを受信することを含む。第２の暗号化データは、第１の暗号化データを作成するために第１の鍵で暗号化され、次に第２の暗号化データを作成するために第２の鍵で暗号化されたデータである。方法は、宛先ノードによって第２の鍵を受信することと、宛先ノードによって第１の鍵を受信することとを含む。方法はさらに、宛先ノードによって、第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号することと、宛先ノードによって、データを得るために第１の鍵を使用して第１の暗号化データを復号することとを含む。この態様は、ソース・ノードと宛先ノードとの間でメモリ内のデータへのアクセスを共有する機能を提供するようにメモリのロード／ストア・モデルを適応させるので有利である。

任意による一態様によるコンピュータ実装方法は、第１の鍵が鍵マネージャから受信されることを含む。この任意による態様は、宛先ノードとソース・ノードとの共有ポリシーを実装する鍵マネージャという利点をもたらす。

別の態様によるコンピュータ実装方法は、宛先ノードによって、第２の暗号化データを受信することを含む。第２の暗号化データは、第１の暗号化データを作成するために第１の鍵で暗号化され、次に、第２の暗号化データを作成するために第２の鍵で暗号化されたデータである。第１の鍵はソース・ノードによって制御されるメモリの領域に関連付けられている。第２の鍵は宛先ノードに関連付けられている。方法は、宛先ノードによって第２の鍵を受信することと、宛先ノードによって第１の鍵を受信することとを含む。方法はさらに、宛先ノードによって、第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号することと、宛先ノードによって、データを得るために第１の鍵を使用して第１の暗号化データを復号することとを含む。この態様は、データ漏洩に対するセキュリティを追加することと、ソース・ノードにアクセス制御を与えることとによって、宛先ノードとソース・ノードとの間の共有を容易にするので有利である。

任意による一態様によるコンピュータ実装方法は、第２の鍵がソース・ノードから受信されることを含む。この任意による態様は、ソース・ノードが宛先ノードとソース・ノードとの共有に対する最終的な制御を維持することを可能にするという利点をもたらす。

別の態様によるコンピュータ実装方法は、トランスコーダによって第２の暗号化データを受信することを含む。第２の暗号化データは、ソース・ノードによって制御される共有メモリの領域に記憶されているデータである。データは、第１の暗号化データを作成するために第１の鍵で暗号化され、次に第２の暗号化データを作成するために第２の鍵で暗号化されている。方法は、トランスコーダによって第２の鍵を受信することと、トランスコーダによって、第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号することとを含む。方法はさらに、トランスコーダによって、第３の暗号化データを作成するために第３の鍵を使用して第１の暗号化データを暗号化することと、トランスコーダによって、第３の鍵を宛先ノードに送信することと、トランスコーダによって、第３の暗号化データを宛先ノードに送信することとを含む。この態様は、ソース・ノードとトランスコーダとの間で確立された共有ポリシーに従ってトランスコーダが宛先ノードにそうすることを許可する限り、宛先ノードがデータにアクセスし、復号することを可能にするので有利である。

任意による一態様によるコンピュータ実装方法は、第３の鍵がトランスコーダ・マネージャから受信されることを含む。この任意による態様は、鍵の生成など、トランスコーダのために比較的重い機能をセキュア・トランスコーダ・マネージャが実行することができるようにするという利点をもたらし、比較的軽い機能をセキュア・トランスコーダを介してメモリに結合された状態に維持する。

本発明のその他の態様および手法は、図面とともに読めば本発明の原理を例として示す以下の詳細な説明から明らかになるであろう。

本発明の一態様によるクラウド・コンピューティング環境を示す図である。 本発明の一態様による抽象化モデル層を示す図である。 本発明の一態様による概略アーキテクチャを示す図である。 本発明の一態様による概略アーキテクチャを示す図である。 本発明の一態様による概略アーキテクチャを示す図である。 本発明の一態様による概略アーキテクチャを示す図である。 本発明の一態様による概略アーキテクチャを示す図である。 本発明の一態様による概略アーキテクチャを示す図である。 本発明の一態様による方法を示すフローチャートである。 本発明の一態様による方法を示すフローチャートである。 本発明の一態様による方法を示すフローチャートである。 本発明の一態様による方法を示すフローチャートである。

以下の説明は、本発明の一般原理を示すことを目的として説明するものであり、本明細書で特許請求されている本発明の概念を限定することを意図していない。また、本明細書に記載の特定の特徴は、考えられる様々な組合せおよび置換のそれぞれで他の記載されている特徴と組み合わせて使用することができる。

本明細書で特に定義されていない限り、すべての用語は、本明細書から含意される意味と、当業者によって理解されているか、または辞書、論文などで定義されているか、あるいはその両方である意味を含む、その用語の最も広義の可能な解釈が与えられるべきものである。

また、本明細書および添付の特許請求の範囲で使用されている単数形の「ａ」、「ａｎ」および「ｔｈｅ」は、特に明記されていない限り複数指示概念を含むことに留意されたい。また「含む」または「含んでいる」あるいはその両方の用語は、本明細書で使用されている場合、記載されている特徴、整数、ステップ、動作、要素またはコンポーネントあるいはこれらの組合せの存在を規定しているが、１つまたは複数の他の特徴、整数、ステップ、動作、要素、コンポーネント、またはこれらのグループあるいはこれらの組合せの存在または追加を排除しないことも理解されたい。

以下の説明は、メモリを復号するためのソース秘密鍵へのアクセスなしに宛先ノードにメモリへのアクセスを与えるために好ましくはトランスコーダを使用して、ソース・ノードによって制御されるメモリへのアクセスを１つまたは複数の宛先ノードに共有させるいくつかの態様を開示する。

一般的な一態様では、コンピュータ実装方法が、ソース・ノードによって、ソース・ノードによって制御される共有メモリの領域に記憶されたデータを求める宛先ノードからの要求を受信することを含む。データは、ソース・ノードのローカル鍵で暗号化されている。方法は、ソース・ノードによって、ローカルで暗号化されたデータをローカル鍵を使用して復号することと、ソース・ノードによって、第１の暗号化データを生成するために第１の鍵を使用して復号データを暗号化することとを含む。方法はさらに、ソース・ノードによって、第２の暗号化データを生成するために第２の鍵を使用して第１の暗号化データを暗号化することと、ソース・ノードによって、第２の暗号化データを宛先ノードに送信することとを含む。

別の一般的な態様では、コンピュータ・プログラムが、１つまたは複数のコンピュータ可読記憶媒体と、その１つまたは複数のコンピュータ可読記憶媒体にまとめて記憶されたプログラム命令とを含む。プログラム命令は、上記の方法を実行するプログラム命令を含む。

別の一般的な態様では、コンピュータ実装方法が、宛先ノードによって第２の暗号化データを受信することを含む。第２の暗号化データは、第１の暗号化データを作成するために第１の鍵で暗号化され、次に第２の暗号化データを作成するために第２の鍵で暗号化されたデータである。方法は、宛先ノードによって第２の鍵を受信することと、宛先ノードによって第１の鍵を受信することとを含む。方法はさらに、宛先ノードによって、第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号することと、宛先ノードによって、データを得るために第１の鍵を使用して第１の暗号化データを復号することとを含む。

別の一般的な態様では、コンピュータ実装方法が、宛先ノードによって第２の暗号化データを受信することを含む。第２の暗号化データは、第１の暗号化データを作成するために第１の鍵で暗号化され、次に、第２の暗号化データを作成するために第２の鍵で暗号化されたデータである。第１の鍵はソース・ノードによって制御されるメモリの領域に関連付けられている。第２の鍵は宛先ノードに関連付けられている。方法は、宛先ノードによって第２の鍵を受信することと、宛先ノードによって第１の鍵を受信することとを含む。方法はさらに、宛先ノードによって、第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号することと、宛先ノードによって、データを得るために第１の鍵を使用して第１の暗号化データを復号することとを含む。

別の一般的な態様では、コンピュータ実装方法が、トランスコーダによって第２の暗号化データを受信することを含む。第２の暗号化データは、ソース・ノードによって制御される共有メモリの領域に記憶されたデータである。データは、第１の暗号化データを作成するために第１の鍵で暗号化され、第１の暗号化データは次に第２の暗号化データを作成するために第２の鍵で暗号化される。方法は、トランスコーダによって第２の鍵を受信することと、トランスコーダによって、第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号することとを含む。方法はさらに、トランスコーダによって、第３の暗号化データを作成するために第３の鍵を使用して第１の暗号化データを暗号化することと、トランスコーダによって、第３の鍵を宛先ノードに送信することと、トランスコーダによって、第３の暗号化データを宛先ノードに送信することとを含む。

本開示はクラウド・コンピューティングに関する詳細な説明を含むが、本明細書に記載されている教示の実装はクラウド・コンピューティング環境には限定されないことを理解されたい。逆に、本発明の態様は、現在知られているか、または今後開発される任意の他の種類のコンピューティング環境とともに実装することができる。

クラウド・コンピューティングは、最小限の管理労力またはサービス・プロバイダとの相互連絡で迅速にプロビジョニングすることができ、解放することができる、構成可能コンピューティング資源（たとえば、ネットワーク、ネットワーク回線容量、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共用プールへの便利なオンデマンドのネットワーク・アクセスを可能にするためのサービス配布のモデルである。このクラウド・モデルは、少なくとも５つの特徴と、少なくとも３つのサービス・モデルと、少なくとも４つの配備モデルとを含み得る。

特徴は以下の通りである。

オンデマンド・セルフサービス：クラウド消費者は、サービスのプロバイダとの間で人間の介在を必要とせずに一方的に、必要に応じて自動的に、サーバ時間およびネットワーク・ストレージなどのコンピューティング機能をプロビジョニングすることができる。

広いネットワーク・アクセス：機能は、ネットワークを介して利用可能であり、異種のシン・クライアントまたはシック・クライアント・プラットフォーム（たとえば携帯電話、ラップトップ、およびＰＤＡ）による使用を容易にする標準機構を介してアクセスすることができる。

資源プール：マルチテナント・モデルを使用して複数の消費者に対応するために、プロバイダのコンピューティング資源がプールされ、需要に応じて、異なる物理資源および仮想資源が動的に割り当てられ、再割り当てされる。消費者は一般に、提供される資源の厳密な場所について管理することができないかまたは知らないが、より高い抽象レベルの場所（たとえば、国、州、またはデータセンター）を指定することが可能な場合があるという点で、場所独立感がある。

迅速な伸縮性：迅速かつ伸縮性をもって、場合によっては自動的に、機能をプロビジョニングして、迅速にスケールアウトすることができ、また、迅速に機能を解放して迅速にスケールインすることができる。消費者にとっては、プロビジョニングのために利用可能な機能はしばしば無限であるように見え、いつでも好きなだけ購入することができる。

従量制サービス：クラウド・システムが、サービスの種類（たとえば、ストレージ、処理、帯域幅、およびアクティブ・ユーザ・アカウント）に依って適切な何らかの抽象化レベルの計量機能を利用することによって、資源利用を自動的に制御し、最適化する。資源使用量を監視、制御および報告することができ、利用されたサービスのプロバイダと消費者の両方に透明性を与えることができる。

サービス・モデルは以下の通りである。

ソフトウェア・アズ・ア・サービス（ＳａａＳ：Software as aService）：消費者に提供される機能は、クラウド・インフラストラクチャ上で稼働するプロバイダのアプリケーションを使用することである。アプリケーションには、ウェブ・ブラウザなどのシン・クライアント・インターフェースを介して様々なクライアント・デバイスからアクセス可能である（たとえばウェブ・ベースのＥメール）。消費者は、限られたユーザ固有アプリケーション構成設定の考えられる例外を除き、ネットワーク、サーバ、オペレーティング・システム、ストレージ、または個別のアプリケーション機能まで含めて、基礎にあるクラウド・インフラストラクチャを管理も制御もしない。

プラットフォーム・アズ・ア・サービス（ＰａａＳ：Platform as aService）：消費者に提供される機能は、クラウド・インフラストラクチャ上に、プロバイダによってサポートされるプログラミング言語およびツールを使用して作成された、消費者作成または取得アプリケーションを配備することである。消費者は、ネットワーク、サーバ、オペレーティング・システム、またはストレージを含む、基礎にあるクラウド・インフラストラクチャを管理も制御もしないが、配備されたアプリケーションと、場合によってはアプリケーション・ホスティング環境構成とを制御することができる。

インフラストラクチャ・アズ・ア・サービス（ＩａａＳ：Infrastructureas a Service）：消費者に提供される機能は、処理、ストレージ、ネットワークおよびその他の基本的コンピューティング資源をプロビジョニングすることであり、その際、消費者は、オペレーティング・システムとアプリケーションとを含み得る任意のソフトウェアを配備し、稼働させることができる。消費者は、基礎にあるクラウド・インフラストラクチャを管理も制御もしないが、オペレーティング・システムと、ストレージと、配備されたアプリケーションとを制御することができ、場合によっては選択されたネットワーク・コンポーネント（たとえばホスト・ファイアウォール）の限定的な制御を行うことができる。

配備モデルは以下の通りである。

プライベート・クラウド：このクラウド・インフラストラクチャは、組織のためにのみ運用される。組織または第三者によって管理可能であり、オンプレミスまたはオフプレミスに存在可能である。

コミュニティ・クラウド：このクラウド・インフラストラクチャは、いくつかの組織によって共用され、共通の関心事（たとえば、任務、セキュリティ要件、ポリシー、およびコンプライアンス事項）を有する特定のコミュニティをサポートする。組織または第三者が管理することができ、オンプレミスまたはオフプレミスに存在可能である。

パブリック・クラウド：このクラウド・インフラストラクチャは、公衆または大規模業界団体が利用することができ、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：このクラウド・インフラストラクチャは、独自の実体のままであるが、データおよびアプリケーション可搬性を可能にする標準化技術または専有技術（たとえば、クラウド間のロード・バランシングのためのクラウド・バースティング）によって結合された、２つ以上のクラウド（プライベート、コミュニティまたはパブリック）の複合体である。

クラウド・コンピューティング環境は、ステートレス性、疎結合性、モジュール性、および意味的相互運用性に焦点を合わせたサービス指向型である。クラウド・コンピューティングの核心にあるのは、相互接続されたノードのネットワークを含むインフラストラクチャである。

次に図１を参照すると、例示のクラウド・コンピューティング環境５０が図示されている。図のように、クラウド・コンピューティング環境５０は、たとえばパーソナル・デジタル・アシスタント（ＰＤＡ）または携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車コンピュータ・システム５４Ｎあるいはこれらの組合せなど、クラウド消費者によって使用されるローカル・コンピューティング・デバイスが通信することができる、１つまたは複数のクラウド・コンピューティング・ノード１０を含む。ノード１０は互いに通信することができる。ノード１０は、上述のプライベート・クラウド、コミュニティ・クラウド、パブリック・クラウドまたはハイブリッド・クラウドあるいはこれらの組合せなどの１つまたは複数のネットワークにおいて物理的または仮想的にグループ化（図示せず）されてもよい。これによって、クラウド・コンピューティング環境５０は、インフラストラクチャ、プラットフォーム、またはソフトウェアあるいはこれらの組合せを、クラウド消費者がそのためにローカル・コンピューティング・デバイス上で資源を維持する必要がないサービスとして提供することができる。なお、図１に示すコンピューティング・デバイス５４Ａ～５４Ｎの種類は、例示を意図したものに過ぎず、コンピューティング・ノード１０およびクラウド・コンピューティング環境５０は、（たとえばウェブ・ブラウザを使用して）任意の種類のネットワーク接続またはネットワーク・アドレス指定可能接続あるいはその組合せを介して、任意の種類のコンピュータ化デバイスと通信することができるものと理解される。

次に、図２を参照すると、クラウド・コンピューティング環境５０（図１）によって提供される１組の機能抽象化層が示されている。図２に示すコンポーネント、層および機能は、例示を意図したに過ぎず、本発明の態様はこれらには限定されないことを前もって理解されたい。図のように、以下の層および対応する機能が提供される。

ハードウェアおよびソフトウェア層６０は、ハードウェア・コンポーネントとソフトウェア・コンポーネントとを含む。ハードウェア・コンポーネントの例としては、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ）アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５、ならびにネットワークおよびネットワーキング・コンポーネント６６がある。態様によっては、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６７とデータベース・ソフトウェア６８とを含む。

仮想化層７０は、以下のような仮想実体の例を与えることができる抽象化層を提供する。すなわち、仮想サーバ７１と、仮想ストレージ７２と、仮想プライベート・ネットワークを含む仮想ネットワーク７３と、仮想アプリケーションおよびオペレーティング・システム７４と、仮想クライアント７５である。

一実施例では、管理層８０は、以下に記載の機能を提供することができる。資源プロビジョニング８１は、クラウド・コンピューティング環境内でタスクを実行するために利用されるコンピューティング資源およびその他の資源の動的調達を行う。メータリングおよびプライシング８２は、クラウド・コンピューティング環境内で資源が利用されるときのコスト追跡と、これらの資源の消費に対する対価の請求またはインボイス処理を行う。一実施例ではこれらの資源にはアプリケーション・ソフトウェア・ライセンスが含まれてもよい。セキュリティは、クラウド消費者およびタスクのための本人検証と、データおよびその他の資源の保護とを行う。ユーザ・ポータル８３は、消費者とシステム管理者にクラウド・コンピューティング環境へのアクセスを提供する。サービス・レベル管理８４は、必要なサービス・レベルが満たされるようにクラウド・コンピューティング資源割り当ておよび管理を行う。サービス・レベル・アグリーメント（ＳＬＡ：Service Level Agreement）計画および履行８５は、ＳＬＡに従って将来の要求が予想されるクラウド・コンピューティング資源のための事前取り決めおよび調達を行う。

ワークロード層９０は、クラウド・コンピューティング環境を利用することができる機能の例を提供する。この層から提供することができるワークロードおよび機能の例には、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想教室教育配信９３、データ分析処理９４、トランザクション処理９５、およびセキュアなメモリ共有９６が含まれる。

本発明の様々な態様は、ソース・ノードと宛先ノードとの間でメモリ内のデータへのアクセスを共有することを含む。好ましい態様では、ソース・ノードは、ローカル・メモリに記憶されたデータを暗号化するためにローカル鍵を使用する。メモリの共有のために、データはローカル鍵から復号され、次に、ソース・ノードによって第１のソース鍵を使用して暗号化され、その暗号化データ（たとえば第１の暗号化データ）が、二重に暗号化されたデータ（たとえば第２の暗号化データ）を作成するためにソース・ノードによって第２のソース鍵を使用してさらに暗号化される。

本発明の少なくとも一部の態様は、記憶データを復号するためのソース秘密鍵へのアクセスなしに宛先ノードにデータへのアクセスを与えるためにセキュア・トランスコーダを使用して、ソース・ノードと宛先ノードとの間でメモリ内のデータへのアクセスを共有することを含む。好ましい態様では、記憶データは、ソース・ノードによって第１のソース鍵を使用して暗号化され、その暗号化データ（たとえば第１の暗号化データ）が、二重に暗号化されたデータ（たとえば第２の暗号化データ）を作成するためにソース・ノードによって第２のソース鍵を使用してさらに暗号化される。第１のソース鍵は宛先ノードと共有され、第２のソース鍵はセキュア・トランスコーダと共有される。トランスコーダは、第３の鍵を提供し、第３の鍵を宛先ノードと共有する。トランスコーダは、二重に暗号化されたデータを第２の鍵を使用して復号し、第３の鍵を使用して二重に暗号化されたデータ（たとえば第３の暗号化データ）を作成するために、一重に暗号化されたデータとなったそのデータを第３の鍵で再暗号化する。宛先ノードは、二重に暗号化された（たとえば第１の鍵で暗号化され、第３の鍵でさらに暗号化された）データに、トランスコーダを介してアクセスし、宛先ノードは第１の鍵と第３の鍵とを使用して非暗号化データにアクセスすることができる。

本発明の態様のうちの少なくとも一部の態様は、ソース・ノードと宛先ノードとの間でメモリ内のデータへのアクセスを共有する機能を提供するようにメモリのロード／ストア・モデルを適応させる。たとえば、本明細書で開示されている様々な動作は、ローカル・メモリの共有、複数の宛先によるメモリ範囲の処理、メモリ・コントローラのトランスコーディングなどに対処する。

本発明の少なくとも一部の態様は、（たとえばソース・ノードとトランスコーダとの間で確立された共有ポリシーに従って）トランスコーダが宛先ノードにそれを許す限り、宛先ノードがデータにアクセスし、復号することを可能にするので有利である。また、共有ポリシーが変更された後は、トランスコーダは平文データに決してアクセスすることができず、宛先ノードはそのデータへの後続のアクセスが阻止される。

本明細書に記載の態様の少なくとも一部は、対称暗号化技術とともに有利に使用可能であり、その結果、システムにおいてノード間でデータを転送する相対的により低速の公開鍵暗号化方法と比較して、相対的により高いパフォーマンスをもたらす。

図３に、様々な構成による概略アーキテクチャを示す。アーキテクチャ３００は、様々な構成において、図１～図２および図４～図９に示す環境のいずれかなどにおいて、本発明により実装可能である。当然ながら、本説明を読めば当業者にはわかるように、図３に具体的に記載されている要素より多いかまたは少ない要素がアーキテクチャ３００に含まれてもよい。

アーキテクチャ３００は、ソース・ノード３０２と、ソース・ノード・ローカル・メモリ３０４と、宛先ノード３０６とを含む概略アーキテクチャを含む。様々な手法において、ソース・ノード・ローカル・メモリ３０４の一範囲がソース・ノード３０２と宛先ノード３０６とで共有される。ソース・ノード３０２は、ソース・ノード計算機能３０８とソース・ノード・メモリ・コントローラ３１０とを含む。ソース・ノード計算機能３０８は、ソース・ノード・ローカル・メモリ３０４上のデータを暗号化し、復号するためにソース・ノード・ローカル鍵暗号化／復号機能３１４とともに使用されるソース・ノード・ローカル・メモリ暗号鍵３１２（たとえばローカル鍵）を含む。本開示を読めば当業者にはわかるように、本明細書に記載のいずれの暗号化／復号機能も、適切な鍵と任意の知られている暗号化技術とを使用してデータの暗号化または復号あるいはその両方を行うように構成可能である。好ましい態様では、ソース・ノード・ローカル・メモリ暗号鍵３１２は共有可能ではない（たとえば、ソース・ノード・ローカル・メモリ暗号鍵３１２は、ソース・ノード・ローカル鍵暗号化／復号機能３１４によって使用可能なようにセキュアに記憶されるが、ソース・ノード・ローカル・メモリ暗号鍵３１２は抽出可能ではない）。いずれのローカル鍵（たとえばローカル暗号鍵）も、メモリ（ローカルまたはリモート）の電源供給停止によりローカル鍵、メモリに記憶されたデータなどが破棄またはその他により抹消されるという点で一時的である。

ソース・ノード３０２は、ソース・ノード共有管理機能３１６と、共有ポリシー３１８と、第１の鍵３２２と、鍵生成器３２０と、第２の鍵３２４とを含む。ソース・ノード３０２は、ソース・ノード第１の鍵暗号化／復号機能３２６とソース・ノード第２の鍵暗号化／復号機能３２８とを含む。様々な手法において、鍵生成器３２０は第２の鍵３２４を生成する。第２の鍵３２４は、一部の手法ではソース・ノード３０２によって生成されてもよい。他の手法では、第２の鍵３２４は、宛先ノード３０６によって生成されてもよい。好ましい態様では、第２の鍵３２４は、弱鍵への暴露、鍵の再使用などを回避するように鍵生成器３２０またはソース・ノード３０２によって生成される。さらに他の手法では、本開示を読めば当業者には明らかになるように、本明細書に記載のいずれの鍵も、当技術分野で知られている鍵生成器または鍵マネージャ（鍵マネージャ３３８など）あるいはその両方による生成または管理あるいはその両方が可能である。

宛先ノード３０６は、宛先ノード・ローカル・メモリ３３０と、宛先ノード計算機能３３２と、宛先ノード・メモリ・コントローラ３３４と、宛先ノード共有管理機能３３６とを含む。

アーキテクチャ３００の例示の実装形態について図３の矢印を参照しながら説明する。好ましくは、ソース・ノード・ローカル・メモリ３０４の範囲を共有する前に、ソース・ノード３０２が共有ポリシー３１８を作成する。共有ポリシー３１８は、共有するメモリ範囲、共有先の宛先ノード、存続期間を含むメモリの許可されたアクセス、許可された読み出し／書き込み動作、許可された動作の数、またはこれらの組合せなどの情報を含み得る。様々な手法において、ポリシー３１８は、共有メモリのどのような領域がどの実体間で共有可能であるか、任意の実体間での共有期間の長さ、任意の実体間での共有期間に関連付けられた動作の数、任意の実体間の共有期間に関連付けられた動作の種類、任意の実体間での共有期間当たりに共有可能なデータの量などを含んでもよい。様々な手法において、ポリシー３１８は、宛先ノード３０６がデータを共有するために行うことができるアクセスの種類（たとえば読み出し、書き込み、読み出し／書き込みなど）を決定してもよい。ポリシー３１８と矛盾する（たとえば不正な）共有データへのアクセスの試行は、本開示を読めば当業者には明らかになるはずの方式で拒否される。たとえば、要求された範囲に関連付けられた鍵がない場合、または要求された範囲がポリシーの範囲外である場合、鍵マネージャは後述するようにその要求に対して第１の鍵を返さない。別の実施例では、メモリの同一領域または異なる領域を要求する複数の宛先ノードの中で、１つの宛先ノードが（そのノードの共有ポリシーに従って）読み出し専用アクセスを行うことができ、別個の宛先ノードが（そのノードの共有ポリシーに従って）書き込み専用アクセスを行うことができ、第３の宛先ノードが（そのノードの共有ポリシーに従って）読み出し／書き込みアクセスを行うことができてもよい。各宛先ノードが、各宛先ノードが行うことを許可されている要求の数とは独立していてもよい別個の共有ポリシーを有してもよい。一部の手法では、共有ポリシーはアクセスの種類とは独立しているか、または許可されている種類の要求の数に限定されるか、あるいはその両方であってもよい。

本明細書に記載の様々な態様は、データの要求が許可されている（たとえば有効である）ことを前提としている。好ましくは、ソース・ノード・ローカル・メモリ３０４の範囲を共有する前に、ソース・ノード３０２と宛先ノード３０６とが互いのアイデンティティを検証するために互いを認証する。一手法では、ソース・ノード共有管理機能３１６と宛先ノード共有管理機能３３６とが、互いのアイデンティティ（たとえば、ソース・ノード３０２のアイデンティティと宛先ノード３０６のアイデンティティ）を検証するために互いを認証する。様々な手法において、アーキテクチャ３００内の各構成要素のアイデンティティは、当技術分野で知られているプロトコルに従って認証されてもよい。一部の手法では、認証は当事者間のセキュアな通信接続の設定の一部であってもよい。好ましい態様では、すべての通信リンクがセキュアである（たとえば暗号化されている）。

ソース・ノード３０２が、１組の第１の鍵３４０の作成と維持を行う鍵マネージャ３３８に、第１の鍵３２２を要求する。鍵生成器３２０は第２の鍵３２４を作成する。第２の鍵３２４は好ましくは一時的な鍵である（たとえば、第２の鍵３２４は、宛先ノード３０６との共有ポリシーの終了に応答して第２のノード３０２によって破棄されてもよい）。ソース・ノード３０２は、鍵マネージャ３３８に、ポリシー３１８に従って宛先ノード３０６に第１の鍵３２２へのアクセスを許可するように通知する。少なくとも一部の手法では、ポリシー３１８は鍵マネージャ３３８にあってもよい。別の手法では、ポリシー３１８は、ソース・ノード３０２の外部のポリシー・マネージャ（図示せず）にあってもよい。動作３４２で、宛先ノード３０６が鍵マネージャ３３８に第１の鍵３２２を要求する。宛先ノード３０６は第１の鍵３２２を第１の鍵ストレージ３４４に記憶する。動作３４６で、ソース・ノード３０２が第２の鍵３２４のコピーを宛先ノード３０６に送信する。宛先ノード３０６は、第２の鍵３２４を第２の鍵ストレージ３４８に記憶する。鍵に関連付けられたメモリ範囲も、当業者には明らかになるはずの方式で鍵マネージャ３３８に記憶されてもよい。たとえば、１組の第１の鍵３４０内の各第１の鍵３２２がソース・ノード・ローカル・メモリ３０４の範囲に関連付けられてもよい。宛先ノード３０６からのソース・ノード・ローカル・メモリ３０４に記憶されているデータの要求の受信に応答して、鍵マネージャ３３８はその要求に関連付けられたデータの範囲のための適切な第１の鍵３２２を送信する。

好ましい実装形態では、宛先ノード３０６が共有メモリ（たとえばソース・ノード・ローカル・メモリ３０４）の領域からの読み出しを行う場合、ソース・ノード・ローカル鍵暗号化／復号機能３１４がソース・ノード・ローカル・メモリ暗号鍵３１２を使用してデータを復号する。ソース・ノード第１の鍵暗号化／復号機能３２６が、暗号化データ（たとえば第１の鍵３２２で暗号化されたデータ）を得るために第１の鍵３２２を使用してその非暗号化データを暗号化する。第１の暗号化データは、次に、第２の暗号化データ（たとえば、第１の鍵３２２で暗号化され、次に第２の鍵３２４で暗号化されたデータ）を得るために、ソース・ノード第２の鍵暗号化／復号機能３２８によって第２の鍵３２４を使用して暗号化される。この二重に暗号化されたデータ（たとえば第２の暗号化データ）は動作３５０で宛先ノード３０６に送信される。

宛先ノード３０６は、宛先ノード第２の鍵暗号化／復号機能３５２と宛先ノード第１の鍵暗号化／復号機能３５４とを含む。様々な手法において、宛先ノードは、宛先ノード・ローカル鍵暗号化／復号機能３５８とともに使用するための宛先ノード・ローカル・メモリ暗号鍵３５６を含む。宛先ノード第２の鍵暗号化／復号機能３５２は、第１の暗号化データ（たとえば第１の鍵３２２でのみ暗号化されたデータ）を得るために第２の鍵ストレージ３４８に記憶されている第２の鍵３２４を使用して第２の暗号化データを復号する。宛先ノード第１の鍵暗号化／復号機能３５４は、非暗号化データを得るために第１の鍵ストレージ３４４に記憶されている第１の鍵３２２を使用して第１の暗号化データを復号する。様々な手法において、平文データが宛先ノード・メモリ・コントローラ３３４に出力される。宛先ノード・ローカル鍵暗号化／復号機能３５８は、宛先ノード・ローカル・メモリ暗号鍵３５６を使用して平文データを暗号化してもよい。この、宛先ノード・ローカル・メモリ暗号鍵３５６で暗号化されたデータは、宛先ノード・ローカル・メモリ３３０に記憶されてもよい。別の手法では、復号データ（たとえばどの鍵でも暗号化されていない平文データ）は、そのデータに対して動作を行うために、本開示を読めば当業者には明らかになるはずの方式で、宛先ノード計算機能３３２に送信されてもよい。

ソース・ノード３０２は、随時、宛先ノード３０６に与えた共有許可を取り消すことができる。一部の手法では、ソース・ノード３０２は宛先ノード３０６に、共有が終了したことを通知する。共有の終了に応答して、宛先ノードは好ましくは第１の鍵３２２と第２の鍵３２４の記憶されているコピーを削除する。共有ポリシーは、ソース・ノード３０２から宛先ノード３０６、鍵マネージャ３３８、任意のその他の構成要素など、またはこれらの組合せへのコマンドなど、本開示を読めば当業者には明らかになるはずの任意の方式で終了させることができる。他の手法では、共有ポリシーは、宛先ノード３０６からソース・ノード３０２への要求によって終了させてもよい。

他の手法では、ソース・ノード３０２は、当技術分野で知られている方式で第２の鍵３２４を破棄する（たとえば削除またはその他により抹消する）ことによって共有許可を取り消してもよい。第２の鍵３２４の破棄は、宛先ノード３０６がポリシー３１８を迂回する手段を見つけた場合であっても、宛先ノード３０６がソース・ノード・ローカル・メモリ３０４の平文のいかなる今後のアクセスもできないようにする。したがって、ポリシー３１８に従って共有ポリシーが終了させられた後、宛先ノード３０６が第１の鍵ストレージ３４４と第２の鍵ストレージ３４８にそれぞれ記憶された第１の鍵３２２と第２の鍵３２４を保持することによって不正を行ったとしても秘密が保護される。

鍵マネージャ３３８によって配布された第１の鍵３２２とソース・ノード３０２によって配布された第２の鍵とを有することによって、ソース・ノード３０２は共有に対する最終的な制御を維持することができるので有利である。鍵マネージャ３３８にとって第２の鍵３２４が入手可能でない場合、鍵マネージャ３３８は宛先ノード３０６に共有メモリの領域内のデータへのアクセスを許可するのに十分な情報を持たない。他の手法では、追加的セキュリティおよびアクセス制御のために、１組の第１の鍵３４０はソース・ノード３０２に記憶されてもよい。

図４に、様々な構成による概略アーキテクチャを示す。アーキテクチャ４００は、様々な構成において、図１～図３および図５Ａ～図９に示す環境のいずれかなどにおいて、本発明により実装可能である。当然ながら、本説明を読めば当業者にはわかるように、図４に具体的に記載されている要素より多いかまたは少ない要素がアーキテクチャ４００に含まれてもよい。

図４は、ソース・ノードのローカル・メモリの複数の範囲を複数の宛先ノードと共有するための簡略化された態様である。図３に記載されているような第１の鍵と第２の鍵の使用は、データ漏洩に対するセキュリティとソース・ノードへのアクセス制御を追加することにより、このような共有を容易にするので有利である。

アーキテクチャ４００は、ソース・ノード４０２と、ソース・ノード・ローカル・メモリ４０４と、複数の宛先ノードとを含む概略アーキテクチャを含む。宛先ノードは、宛先ノード１ ４０６と、宛先ノード２ ４０８と、宛先ノード３ ４１０と、宛先ノード４ ４１２とを含む。ソース・ノード４０２は、ソース・ノード・ローカル・メモリ４０４の３つの領域を、４つの宛先ノードと共有する。ソース・ノード・ローカル・メモリ４０４の第１の領域が、宛先ノード１ ４０６および宛先ノード４ ４１２と共有される。ソース・ノード・ローカル・メモリ４０４の第２の領域が、宛先ノード２ ４０８と共有される。ソース・ノード・ローカル・メモリ４０４の第３の領域が、宛先ノード３ ４１０と共有される。

ソース・ノード４０２が、鍵マネージャ４２０に、ソース・ノード・ローカル・メモリ４０４の各領域について第１の鍵を１つずつ、３つの第１の鍵（第１の鍵ｋ１ ４１４、第１の鍵ｋ２ ４１６、第１の鍵ｋ３ ４１８）を要求する。具体的には、第１の鍵ｋ１ ４１４がソース・ノード・ローカル・メモリ４０４のメモリの第１の領域に対応し、第１の鍵ｋ２ ４１６がソース・ノード・ローカル・メモリ４０４のメモリの第２の領域に対応し、第１の鍵ｋ３ ４１８がソース・ノード・ローカル・メモリ４０４のメモリの第３の領域に対応してもよい。ソース・ノード４０２は、各宛先ノードに１つずつ、４つの第２の鍵（第２の鍵ｋ１ ４２２、第２の鍵ｋ２ ４２４、 第２の鍵ｋ３ ４２６、第２の鍵ｋ４ ４２８）を作成する。具体的には、第２の鍵ｋ１ ４２２が宛先ノード１ ４０６に対応し、第２の鍵ｋ２ ４２４が宛先ノード２ ４０８ に対応し、第２の鍵ｋ３ ４２６が宛先ノード３ ４１０に対応し、第２の鍵ｋ４ ４２８が宛先ノード４ ４１２に対応してもよい。ソース・ノード４０２は、本開示を読めば当業者には明らかになるはずの方式で、第２の鍵のそれぞれを、関連付けられた宛先ノードに送信してもよい。

第１の鍵が共有領域ごとに明確に異なり、第２の鍵が宛先ノードごとに明確に異なることは有利である。明確に異なる第１の鍵は、データ領域を暗号的に分離した状態に維持する。明確に異なる第２の鍵は、共有ポリシーを宛先ごとに別々に制御可能にする。たとえば、好ましい態様では、第１の鍵を破棄することで領域の共有を終了させ、第２の鍵を破棄することで宛先ノードの共有（たとえば、ソース・ノード４０２と破棄された第２の鍵に関連付けられた宛先ノードとの共有期間）を終了させる。このようにして、宛先ノードごとおよびメモリ内の領域ごとのソース・ノード・ローカル・メモリ４０４上のデータへのアクセスが独立して制御される。

別の態様では、ソース・ノード４０２は、宛先ノードをグループ化してもよい。宛先ノードの各グループにメモリの同じ範囲へのアクセスが同じ期間にわたり与えられてもよい。上記の態様の実装形態の一例は、Ａ社がＢ社と情報を共有し、宛先ノードがＡ社内の個人に相当する、クラウド環境において使用されてもよい。どちらかの会社が連携を終了する場合、Ａ社は連携に関連付けられた第２の鍵を破棄する。連携に基づいて情報にアクセスしていたＡ社のすべての当事者が、アクセスを失う。

好ましくは、共有の前に、動作４３０で、宛先ノード１ ４０６が鍵マネージャ４２０に第１の鍵ｋ１ ４１４を要求し、動作４３２で宛先４ ４１２が鍵マネージャ４２０に第１の鍵ｋ１ ４１４を要求する。動作４３４で、宛先ノード２ ４０８が鍵マネージャ４２０に第１の鍵ｋ２ ４１６を要求する。動作４３６で、宛先ノード３ ４１０が鍵マネージャ４２０に第１の鍵ｋ３ ４１８を要求する。

本実装形態では、ソース・ノード第１の鍵暗号化／復号機能４３８が、本開示を読めば当業者には明らかになるはずの方式で、ソース・ノード・ローカル・メモリ４０４に記憶されているデータの適切な領域を暗号化するために、第１の暗号鍵（たとえば第１の鍵ｋ１ ４１４、第１の鍵ｋ２ ４１６、第１の鍵ｋ３ ４１８）のいずれかを使用してもよい。他の手法では、ソース・ノード第２の鍵暗号化／復号機能（図示せず）が、本開示を読めば当業者には明らかになるはずの方式で、適切な宛先ノードのためのデータを暗号化するために、第２の暗号鍵（第２の鍵ｋ１ ４２２、第２の鍵ｋ２ ４２４、第２の鍵ｋ３ ４２６、第２の鍵ｋ４ ４２８）のうちのいずれかを使用してもよい。

宛先ノード１ ４０６と共有されるデータについて、ソース・ノード第１の鍵暗号化／復号機能４３８が第１の鍵ｋ１ ４１４を使用して第１の領域内のデータを暗号化する。次に、ソース・ノード第２の鍵ｋ１暗号化／復号機能４４０が、第２の暗号化データを得るために第２の鍵ｋ１ ４２２を使用して第１の領域内のデータを暗号化する。第２の暗号化データ（たとえば、第１の鍵ｋ１ ４１４で暗号化され、次に第２の鍵ｋ１ ４２２で暗号化されたデータ）は、動作４４２で宛先ノード１ ４０６に送信される。

宛先ノード２ ４０８と共有されるデータについて、ソース・ノード第１の鍵暗号化／復号機能４３８が、第１の鍵ｋ２ ４１６で第２の領域内のデータを暗号化する。次に、ソース・ノード第２の鍵ｋ２暗号化／復号機能４４４が、第２の暗号化データを得るために第２の鍵ｋ２ ４２４で第２の領域内のデータを暗号化する。第２の暗号化データ（たとえば、第１の鍵ｋ２ ４１６で暗号化され、次に第２の鍵ｋ２ ４２４で暗号化されたデータ）は、動作４４６で宛先ノード２ ４０８に送信される。

宛先ノード３ ４１０と共有されるデータについて、ソース・ノード第１の鍵暗号化／復号機能４３８が第１の鍵ｋ３ ４１８で第３の領域内のデータを暗号化する。次に、ソース・ノード第２の鍵ｋ３暗号化／復号機能４４８が、第２の暗号化データを得るために第２の鍵ｋ３ ４２６で第３の領域内のデータを暗号化する。第２の暗号化データ（たとえば、第１の鍵ｋ３ ４１８で暗号化され、次に第２の鍵ｋ３ ４２６で暗号化されたデータ）は、動作４５０で宛先ノード３ ４１０に送信される。

宛先ノード４ ４１２と共有されるデータについて、ソース・ノード第１の鍵暗号化／復号機能４３８が第１の鍵ｋ１ ４１４で第１の領域内のデータを暗号化する。次に、ソース・ノードの第２の鍵ｋ４暗号化／復号機能４５２が、第２の暗号化データを得るために第２の鍵ｋ４ ４２８で第１の領域内のデータを暗号化する。第２の暗号化データ（たとえば、第１の鍵ｋ１ ４１４で暗号化され、次に第２の鍵ｋ４ ４２８で暗号化されたデータ）は、動作４５４で宛先ノード４ ４１２に送信される。

宛先ノード１ ４０６は、宛先ノード１第２の鍵暗号化／復号機能４５６と宛先ノード１第１の鍵暗号化／復号機能４５８とを含む。第２の暗号化データ（たとえば、第１の鍵ｋ１ ４１４で暗号化され、次に第２の鍵ｋ１ ４２２で暗号化されたデータ）の受信に応答して、宛先ノード１第２の鍵暗号化／復号機能４５６が、第１の暗号化データ（たとえば第１の鍵ｋ１ ４１４で暗号化されたデータ）を得るために第２の鍵ｋ１ ４２２を使用して第２の暗号化データを復号してもよい。次に、宛先ノード１第１の鍵暗号化／復号機能４５８が、暗号化されていないデータを得るために第１の鍵ｋ１ ４１４を使用して第１の暗号化データを復号してもよい。

宛先ノード２ ４０８は、宛先ノード２第２の鍵暗号化／復号機能４６０と宛先ノード２第１の鍵暗号化／復号機能４６２とを含む。第２の暗号化データ（たとえば、第１の鍵ｋ２ ４１６で暗号化され、次に第２の鍵ｋ２ ４２４で暗号化されたデータ）の受信に応答して、宛先ノード２第２の鍵暗号化／復号機能４６０が、第１の暗号化データ（たとえば、第１の鍵ｋ２ ４１６で暗号化されたデータ）を得るために第２の鍵ｋ２ ４２４を使用して第２の暗号化データを復号してもよい。次に、宛先ノード２第１の鍵暗号化／復号機能４６２が、暗号化されていないデータを得るために第１の鍵ｋ２ ４１６を使用して第１の暗号化データを復号してもよい。

宛先ノード３ ４１０は、宛先ノード３第２の鍵暗号化／復号機能４６４と宛先ノード３第１の鍵暗号化／復号機能４６６とを含む。第２の暗号化データ（たとえば、第１の鍵ｋ３ ４１８で暗号化され、次に第２の鍵ｋ３ ４２６で暗号化されたデータ）の受信に応答して、宛先ノード３第２の鍵暗号化／復号機能４６４が第１の暗号化データ（たとえば第１の鍵ｋ３ ４１８で暗号化されたデータ）を得るために第２の鍵ｋ３ ４２６を使用して第２の暗号化データを復号してもよい。次に、宛先ノード３第１の鍵暗号化／復号機能４６６が、暗号化されていないデータを得るために第１の鍵ｋ３ ４１８を使用して第１の暗号化データを復号してもよい。

宛先ノード４ ４１２は、宛先ノード４第２の鍵暗号化／復号機能４６８と宛先ノード４第１の鍵暗号化／復号機能４７０とを含む。第２の暗号化データ（たとえば、第１の鍵ｋ１ ４１４で暗号化され、次に第２の鍵ｋ４ ４２８で暗号化されたデータ）の受信に応答して、宛先ノード４第２の鍵暗号化／復号機能４６８が、第１の暗号化データ（たとえば第１の鍵ｋ１ ４１４で暗号化されたデータ）を得るために第２の鍵ｋ４ ４２８を使用して第２の暗号化データを復号してもよい。次に、宛先ノード４第１の鍵暗号化／復号機能４７０が、暗号化されていないデータを得るために第１の鍵ｋ１ ４１４を使用して第１の暗号化データを復号してもよい。

明確に異なる第２の鍵、たとえば第２の鍵ｋ１ ４２２と第２の鍵ｋ４ ４２８の使用は、ソース・ノード４０２がソース・ノード・ローカル・メモリ４０４の共通の共有領域へのアクセスを個別に制御することを可能にする。たとえば、宛先ノード１ ４０６との共有を、ソース・ノード４０２によって第２の鍵ｋ１ ４２２を破棄することにより終了させることができる。宛先ノード１ ４０６は、第２の鍵（第２の鍵ｋ１ ４２２）のそれ自体のコピーと第１の鍵（第１の鍵ｋ１ ４１４）を保持していても、共有領域のデータを復号することができない。ソース・ノード・ローカル・メモリ４０４の領域へのアクセスを共有していた宛先ノード４ ４１２は、第１の鍵ｋ１ ４１４とそれ自体の第２の鍵（第２の鍵ｋ４ ４２８）とを使用して共有領域へのアクセスを継続することができる。

図５Ａ～図５Ｄに、様々な構成による概略アーキテクチャを示す。アーキテクチャ５００は、様々な構成で、図１～図４および図６～図９に示す環境のいずれかにおいて本発明により実装可能である。当然ながら、本説明を読めば当業者にはわかるように、図５Ａ～図５Ｄに具体的に記載されている要素より多いかまたは少ない要素がアーキテクチャ５００に含まれてもよい。

図５Ａ～図５Ｄは、セキュア・トランスコーダ機能を使用してソース・ノードによって制御されるリモート・メモリの領域を共有するための概略アーキテクチャの変形を示す。したがって、本開示を読めば当業者には明らかになるように、共通の特徴は共通の番号付けがされている。

図５Ａのアーキテクチャ５００は、ソース・ノード５０２と宛先ノード５０４とを含む。ソース・ノード５０２は、ソース・ノード計算リソース５０６とソース・ノード共有マネージャ機能５０８とを含む。ソース・ノード５０２は、ソース・ノード第１の鍵暗号化／復号機能５１０とソース・ノード第２の鍵暗号化／復号機能５１２とを含む。ソース・ノード５０２は、ソース・ノード・ローカル・メモリ暗号鍵５１８を使用するソース・ノード・ローカル・メモリ暗号化／復号機能５１６を有するソース・ノード・ローカル・メモリ・コントローラ５１４を含む。ソース・ノードは、好ましくは鍵マネージャ５２０とソース・ノード・ローカル・メモリ５２２とに結合されている。鍵マネージャ５２０が、１組の第１の鍵５２４と１組の第２の鍵５２６とを記憶し、管理する。一部の手法では、アーキテクチャ５００は鍵マネージャ５２０を含まず、ソース・ノード５０２が１組の第１の鍵５２４と１組の第２の鍵５２６とを維持する。

様々な手法において、ソース・ノード５０２は、鍵マネージャ５２０に１組の第１の鍵５２４のうちの第１の鍵５２８を要求する。ソース・ノードは、鍵マネージャ５２０に１組の第２の鍵５２６のうちの第２の鍵５３０も要求する。第１の鍵５２８と第２の鍵５３０の両方は、宛先ノード５０４とメモリ内に記憶されたデータの範囲を共有するためにソース・ノード５０２によって使用可能である。

ソース・ノード計算リソース５０６が、ソース・ノード・ローカル・メモリ・コントローラ５１４を使用してソース・ノード・ローカル・メモリ５２２にデータを記憶する。データは、経路５３２を介して作成された状態のまま記憶されてもよい。好ましい態様では、ソース・ノード・ローカル・メモリ・コントローラ５１４の一部とすることが可能なソース・ノード・ローカル・メモリ暗号化／復号機能５１６とともに使用されるソース・ノード・ローカル・メモリ暗号鍵５１８によって、データのセキュアな暗号化が提供されてもよい。ソース・ノード・ローカル・メモリ暗号鍵５１８は、好ましくは一時的な鍵である。

ソース・ノード計算リソース５０６は、リモート・メモリ５３４にもデータを記憶してもよい。ソース・ノード５０２は、セキュア・トランスコーダ５３６とセキュア・トランスコーダ・マネージャ５３８とに結合されてもよい。セキュア・トランスコーダ５３６は、第２の鍵５３０のための第２の鍵ストレージ５４０と、セキュア・トランスコーダ・メモリ・コントローラ５４２と、セキュア・トランスコーダ第２の鍵暗号化／復号機能５４４と、ポリシー管理機能５４６とを含む。セキュア・トランスコーダ５３６のポリシー管理機能５４６は、セキュア・トランスコーダ５３６がセキュア・トランスコーダ・マネージャ５３８と結合されなくなった場合でも、セキュア・トランスコーダ５３６を使用してソース・ノード５０２と宛先ノード５０４との共有が継続することを可能にするという利点をもたらす（たとえばそれによってシステムをよりフォールト・トレラントにする）。好ましい態様では、第２の鍵５３０のための第２の鍵ストレージ５４０は、記憶されている第２の鍵５３０のアクセスをセキュア・トランスコーダ第２の鍵暗号化／復号機能５４４に制限する。セキュア・トランスコーダ・マネージャ５３８は、様々な手法において、複数のトランスコーダ（図示せず）に結合されてもよい。セキュア・トランスコーダ・マネージャ５３８は、トランスコーダのために比較的重い機能を実行し、比較的軽い機能をセキュア・トランスコーダを介してメモリに結合された状態にしておくので有利である。

リモート・メモリを共有する場合、ソース・ノード５０２とリモート・メモリ５３４に独立して障害が起こった場合に第１の鍵と第２の鍵が存続し続けることが好ましい。鍵マネージャ５２０は鍵を存続させるための１つの手法である。

リモート・メモリ５３４の領域が、ソース・ノード５０２と宛先ノード５０４とで共有可能である。セキュア・トランスコーダ５３６上のポリシー管理機能５４６が、図３およびその他の図で説明したように共有ポリシー情報の記憶、提供、実施などを行う。（たとえばセキュア・トランスコーダ・マネージャ機能５４８を使用して）セキュア・トランスコーダ・マネージャ５３８と（たとえばポリシー管理機能５４６を使用して）セキュア・トランスコーダ５３６を認証した後、ソース・ノード５０２はポリシー管理機能５４６に範囲所有権情報を送信する。好ましい態様では、ソース・ノード５０２は動作５５２でセキュア・トランスコーダ５３６に第２の鍵５３０をセキュアに送信し、セキュア・トランスコーダ５３６は第２の鍵５３０を第２の鍵ストレージ５４０に記憶する。ポリシーを確定し、宛先ノード・マネージャ機能５５０を使用して宛先ノード５０４を認証するのに応答して、ソース・ノード５０２は動作５５４で宛先ノード５０４に第１の鍵５２８を送信し、宛先ノード５０４は第１の鍵５２８を第１の鍵ストレージ５５６に記憶する。セキュア・トランスコーダ・マネージャ５３８上の鍵生成器５５８が第３の鍵５６０を生成し、動作５６２で第３の鍵５６０をセキュア・トランスコーダ５３６に送信する。他の手法では、セキュア・トランスコーダ５３６はセキュア・トランスコーダ・マネージャ５３８なしに第３の鍵５６０の管理または生成あるいはその両方を行う。セキュア・トランスコーダ５３６は、好ましくは第３の鍵５６０をセキュア・トランスコーダ第３の鍵ストレージ５６４に記憶する。

ソース・ノード５０２がリモート・メモリ５３４にデータを書き込む場合、データは、まず、第１の暗号化データ（たとえば第１の鍵５２８で暗号化されたデータ）を得るためにソース・ノード第１の鍵暗号化／復号機能５１０によって第１の鍵５２８を使用して暗号化される。第１の暗号化データは次に、第２の暗号化データ（たとえば、第１の鍵５２８で暗号化され、次に第２の鍵５３０で暗号化されたデータ）を得るためにソース・ノード第２の鍵暗号化／復号機能５１２によって第２の鍵５３０を使用して暗号化される。第２の暗号化データは、動作５６６でセキュア・トランスコーダ５３６に送信される。セキュア・トランスコーダ５３６は、第２の暗号化データをリモート・メモリ５３４に記憶することができる。

宛先ノード５０４がリモート・メモリ５３４の共有領域からの読み出しを行う場合、セキュア・トランスコーダ第２の鍵暗号化／復号機能５４４が第１の暗号化データ（たとえば第１の鍵５２８で暗号化されたデータ）を得るために第２の鍵５３０を使用して第２の暗号化データを復号する。セキュア・トランスコーダ５３６が第１の鍵５２８を持たない場合、セキュア・トランスコーダ５３６は暗号化されていないデータにアクセスすることができない。セキュア・トランスコーダ５３６は、第３の暗号化データ（たとえば第１の鍵５２８で暗号化され、次に第３の鍵５６０で暗号化されたデータ）を得るためにセキュア・トランスコーダ第３の鍵暗号化／復号機能５６８を使用して第３の鍵５６０で第１の暗号化データを暗号化する。第３の暗号化データは動作５７０で宛先ノード５０４に送信される。

宛先ノード５０４は動作５７２でセキュア・トランスコーダ・マネージャ５３８から第３の鍵５６０を受信し、第３の鍵５６０を宛先ノード第３の鍵ストレージ５７４に記憶する。宛先ノード５０４は、第１の暗号化データ（たとえば第１の鍵５２８で暗号化されたデータ）を得るために宛先ノード第３の鍵暗号化／復号機能５７６を使用し、第３の鍵５６０を使用して第３の暗号化データ（たとえば第１の鍵５２８で暗号化され、次に第３の鍵５６０で暗号化されたデータ）を復号する。宛先ノード５０４は、暗号化されていないデータを得るために、宛先ノード第１の鍵の暗号化機能５７８を使用し、第１の鍵５２８を使用して第１の暗号化データを復号する。

一部の手法では、平文データ（たとえば暗号化されていないデータ）は、宛先ノード・メモリ・コントローラ５８０に出力されてもよい。宛先ノード・ローカル・メモリ暗号化／復号機能５８２が、宛先ノード・ローカル・メモリ暗号鍵５８４を使用して平文データを暗号化してもよい。ローカルで暗号化されたデータは宛先ノード・ローカル・メモリ５８６に記憶されてもよい。他の手法では、平文データは、本開示を読めば当業者には明らかになるはずの方式で、宛先ノード計算リソース５８７によって直接アクセス可能とすることができる。

図５Ｂは、図５Ａの変形であり、共通の特徴は共通の番号付けがされている。図５Ｂは、鍵マネージャ５８８および５８９を有する概略アーキテクチャ５００を示す。鍵マネージャ５８８は、１組の第１の鍵５２４の記憶、管理、維持などのためのマネージャとすることができる。同様に、鍵マネージャ５８９は、１組の第２の鍵の記憶、管理、維持などのためのマネージャとすることができる。鍵マネージャ５８８は、第１の鍵５２８をソース・ノード５０２に送信してもよく、鍵マネージャ５８９は、第２の鍵５３０をソース・ノード５０２に送信してもよい。分割された鍵マネージャを有することによって、各構成要素が個別に各鍵マネージャを認証し、それによって認証プロセスを補完する追加のセキュリティをシステムにもたらす。

図５Ｃは、図５Ａの変形であり、共通の特徴は共通の番号付けがされている。図５Ｃは、鍵マネージャ５２０が、動作５９０で、第２の鍵ストレージ５４０への記憶のためにセキュア・トランスコーダ５３６に直接、第２の鍵５３０を提供する概略アーキテクチャ５００を示す。この態様では、上述のように、第２の暗号化データ（たとえば、ソース・ノード第１の鍵暗号化／復号機能５１０を使用して第１の鍵５２８で暗号化され、次にソース・ノード第２の鍵暗号化／復号機能５１２を使用して第２の鍵５３０で暗号化されたデータ）を得るために、鍵マネージャ５２０は、ソース・ノード第２の鍵暗号化／復号機能５１２を使用して第１の暗号化データの暗号化を行うためにソース・ノード５０２に第２の鍵５３０のコピーをさらに提供する。

図５Ｄは、図５Ａの変形であり、共通の特徴は共通の番号付けがされている。図５Ｄは、宛先１ノード５９１、宛先２ノード５９２、宛先３ノード５９３を含む概略アーキテクチャ５００を示す。図のように、複数の宛先を有する態様において、鍵マネージャ５２０が、１組の第１の鍵内の異なる第１の鍵を維持してもよく、各第１の鍵は関連付けられた宛先ノードとともに使用可能である。鍵マネージャ５２０は、第１の鍵（第１の鍵ｋ１ ５９４、第１の鍵ｋ２ ５９５、第３の鍵ｋ３ ５９６）のそれぞれをソース・ノード５０２に送信してもよい。ソース・ノード５０２は、本開示を読めば当業者には明らかになるはずの方式で各第１の鍵をそれぞれの宛先ノードに送信してもよい。たとえば、第１の鍵ｋ１ ５９４がソース・ノード５０２から宛先ノード１ ５９１に送信されてもよく、第１の鍵ｋ２ ５９５がソース・ノード５０２から宛先ノード２ ５９２に送信されてもよく、第１の鍵ｋ３ ５９６がソース・ノード５０２から宛先ノード３ ５９３に送信されてもよい。セキュア・トランスコーダ５３６が、上述のように第３の鍵５６０のコピーを宛先ノードのそれぞれに送信してもよい。

一部の態様では、各宛先ノードに同様に１組の第２の鍵５２６のうちの異なる第２の鍵５３０が関連付けられてもよい。さらに他の態様では、リモート・メモリ５３４の各領域が異なる第１の鍵で暗号化されてもよく、またはリモート・メモリ５３４の各領域が同じ第１の鍵で暗号化されてもよい。

様々な態様において、ソース・ノードは、第２の暗号化データを得るために、本明細書に記載の手法のうちの少なくとも一部により、ソース・ノード第１の鍵暗号化／復号機能５１０を使用し、次に、ソース・ノード第２の鍵暗号化／復号機能５１２を使用して、データを二重に暗号化する。好ましい手法では、ソース・ノード第１の鍵暗号化／復号機能５１０は、暗号化／復号を行うために、１組の第１の鍵５２４（第１の鍵ｋ１ ５９４、第１の鍵ｋ２ ５９５、第１の鍵ｋ３ ５９６）のいずれかを使用してもよい。同様に、ソース・ノード第２の鍵暗号化／復号機能５１２は、暗号化／復号を行うために、（各宛先に異なる第２の鍵が関連付けられる態様において）１組の第２の鍵のいずれかを使用してもよい。他の手法では、異なる各第１の鍵または異なる各第２の鍵あるいはその両方が、それ自体の暗号化／復号機能を有してもよい。

セキュア・トランスコーダ５３６は、第２の暗号化データを受信してもよい。各宛先に異なる第２の鍵が関連付けられる態様では、セキュア・トランスコーダは、動作５５２で異なる第２の鍵の各コピーも受信する。セキュア・トランスコーダ第２の鍵暗号化／復号機能５４４が、第１の暗号化データ（たとえば、適切な第１の鍵で暗号化されたデータ）を得るために、第２の鍵５３０を使用して第２の暗号化データを復号してもよい。セキュア・トランスコーダ第３の鍵暗号化／復号機能５６８が、上述のように、第３の暗号化データを得るために第３の鍵５６０を使用して第１の暗号化データを暗号化する。

好ましい態様では、セキュア・トランスコーダ５３６は、本開示を読めば当業者には明らかになるはずの方式で、第３の暗号化データを適切な宛先ノードに送信する。たとえば、第３の暗号化データ（たとえば、第１の鍵ｋ１ ５９４で暗号化され、次に第３の鍵５６０で暗号化されたデータ）が、第１の鍵ｋ１ ５９４を含む宛先ノード１ ５９１に送信され、第３の暗号化データ（たとえば、第１の鍵ｋ２ ５９５で暗号化され、次に第３の鍵５６０で暗号化されたデータ）が、第１の鍵ｋ２ ５９５を含む宛先ノード２ ５９２に送信され、第３の暗号化データ（たとえば、第１の鍵ｋ３ ５９６で暗号化され、次に第３の鍵５６０で暗号化されたデータ）が、第１の鍵ｋ３ ５９６を含む宛先ノード３ ５９３に送信される。

各宛先ノードは、上述の様々な態様により、それぞれの鍵を使用して、第１の暗号化データを得るために第３の暗号化データを復号し、次に、暗号化されていないデータを得るために第１の暗号化データを復号してもよい。

宛先ノード１ ５９１は、宛先ノード第３の鍵暗号化／復号機能５７６を使用して第３の鍵５６０で第３の暗号化データを復号して第１の暗号化データを得る。宛先ノード１ ５９１は、次に、宛先ノード１第１の鍵ｋ１暗号化／復号機能５９７を使用して第１の鍵ｋ１ ５９４で第１の暗号化データを復号して暗号化されていないデータを得る。

宛先ノード２ ５９２は、宛先ノード第３の鍵暗号化／復号機能５７６を使用して第３の鍵５６０で第３の暗号化データを復号して第１の暗号化データを得る。宛先ノード２ ５９２は、次に、宛先ノード２第１の鍵ｋ２暗号化／復号機能５９８を使用して第１の鍵ｋ２ ５９５で第１の暗号化データを復号して暗号化されていないデータを得る。

宛先ノード３ ５９３は、宛先ノード第３の鍵暗号化／復号機能５７６を使用して第３の鍵５６０で第３の暗号化データを復号して第１の暗号化データを得る。宛先ノード３ ５９３は、次に、宛先ノード３第１の鍵ｋ３暗号化／復号機能５９９を使用して第１の鍵ｋ２ ５９６で第１の暗号化データを復号して暗号化されていないデータを得る。

様々な態様において、複数のソース・ノードまたは複数の宛先ノードあるいはその両方が存在してもよい。他の態様では、宛先ノードが別の宛先ノードのためのソース・ノードであってもよい。ソース・ノードと宛先ノードとでメモリを共有するために、ネットワークに任意の構成要素に結合された任意の数のリモート・メモリが存在してもよい。

好ましい態様では、図３～図５Ｄに示すすべての矢印または接続線あるいはその両方と、本明細書に記載の構成要素間のいずれの通信も、本技術分野で知られている通信暗号化用の追加のプロトコルを含み得る。たとえば、本開示を読めば当業者には明らかになるように、ソース・ノードと宛先ノードとの間、ソース・ノードとセキュア・トランスコーダとの間、およびセキュア・トランスコーダと宛先ノードとの間などで鍵を転送するために、セキュア・ソケット・レイヤ（ＳＳＬ）、トランスポート層セキュリティ（ＴＬＳ）などのプロトコルを含む通信暗号化プロトコルを使用することができる。

次に図６を参照すると、一態様による方法６００のフローチャートが示されている。方法６００は、様々な態様において、図１～図５Ｄおよび図７～図９に示す環境のいずれかなどにおいて本発明により実行可能である。当然ながら、本説明を読めば当業者にはわかるように、図６に具体的に記載されている動作より多いかまたは少ない動作が方法６００に含まれてもよい。

方法６００の各ステップは、動作環境の任意の適切な構成要素によって実行可能である。たとえば、様々な態様において、方法６００は、コンピュータ、または１つもしくは複数のプロセッサを中に有する任意の他のデバイスによって、部分的にまたは全体が実行されてもよい。プロセッサ、たとえばハードウェアまたはソフトウェアあるいはその両方で実装され、好ましくは少なくとも１つハードウェア・コンポーネントを有する処理回路、チップ、またはモジュールあるいはこれらの組合せが、方法６００の１つまたは複数のステップを実行するように任意のデバイスで使用可能である。プロセッサの例には、中央処理装置（ＣＰＵ）、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）など、これらの組合せ、または当技術分野で知られている任意のその他の適切なコンピューティング・デバイスが含まれるが、これらには限定されない。

図６に示すように、方法６００は動作６０２を含む。動作６０２は、ソース・ノードによって、宛先ノードからソース・ノードの共有メモリの領域内に記憶されているデータを求める要求を受信することを含む。宛先ノードからの要求は、当業界で知られている方式で受信可能である。一部の手法では、要求は、ソース・ノードのローカル・メモリにあるソース・ノードの共有メモリの領域を求める要求である。他の手法では、要求は、ソース・ノードのリモート・メモリにあり、ソース・ノードによって制御される、ソース・ノードの共有メモリの領域を求める要求である。本開示全体を通じて、共有メモリの領域の要求は、本開示を読めば当業者に明らかになるように、共有メモリの領域（たとえば範囲）に関連付けられたデータの要求を互換的に指す。

様々な手法において、データはソース・ノードのローカル鍵で暗号化される。ソース・ノードはローカル鍵を含む。ローカル鍵は抽出可能ではなく（たとえば共有可能ではなく）、好ましくはソース・ノードにおいてセキュアに記憶される。好ましい態様では、ソース・ノードはローカル・メモリ（たとえばローカルで暗号化されたメモリ）に記憶されているデータを暗号化するためにローカル鍵を使用する。

動作６０４は、ソース・ノードによって、ローカルで暗号化されたデータをローカル鍵を使用して復号することを含む。ローカルで暗号化されたデータは、暗号化されていないデータを得るために復号される。好ましい態様では、ソース・ノードは、暗号化されていないデータを得るべく、ローカルで暗号化されたデータを復号するためにソース・ノード暗号化／復号機能を使用する。

動作６０６は、ソース・ノードによって、第１の暗号化データを生成するために第１の鍵を使用して復号データを暗号化することを含む。第１の暗号化データとは、第１の鍵で暗号化されたデータを指す。好ましい態様では、第１の暗号化データを得るために第１の鍵を使用する復号データの暗号化は、ソース・ノードにおいて行われる。ソース・ノードは第１の鍵を含む。

動作６０８は、ソース・ノードによって、第２の暗号化データを生成するために第２の鍵を使用して第１の暗号化データを暗号化することを含む。第２の暗号化データとは、まず第１の鍵で暗号化され、次に第２の鍵で暗号化されたデータを指す。本開示全体を通じて使用されている第２の暗号化データは、別に明記されていない限り二重に暗号化されたデータと互換的に使用されている場合がある。好ましい態様では、データの第１の暗号化データへの暗号化と、次の第１の暗号化データの第２の暗号化データへの暗号化は、ソース・ノードにおいて行われる。ソース・ノードは第１の鍵と第２の鍵とを含む。

動作６１０は、ソース・ノードによって、第２の暗号化データを宛先ノードに送信することを含む。第２の暗号化データは、当技術分野で知られている方式で送信可能である。様々な手法において、宛先ノードは、宛先ノードにおける暗号化／復号機能を使用して第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号するように構成される。宛先ノードは、宛先ノードにおける暗号化／復号機能（第１の暗号化データを得るために第２の暗号化データを復号する暗号化／復号機能と同じであっても異なっていてもよい）を使用してデータを得るために、第１の鍵を使用して第１の暗号化データを復号するように構成される。データは、宛先ノードによって要求されたソース・ノードの共有メモリの領域に関連付けられた、暗号化されていないデータ、非暗号化データ、平文データ、別の鍵暗号化形態のデータなどであってもよい。

一部の手法では、方法６００は、ソース・ノードによって、第２の鍵を宛先ノードに送信することを含む。ソース・ノードは、第２の鍵を宛先ノードに送信してもよく、宛先ノードは、第１の暗号化データ（たとえば第１の鍵で暗号化されたデータ）を得るために、第２の鍵を使用して第２の暗号化データ（たとえば、第１の鍵で暗号化され、次に第２の鍵で暗号化されたデータ）を復号する。他の手法では、宛先ノードは、本開示を読めば当業者には明らかになるように、鍵マネージャから第２の鍵を受信してもよい。

一部の手法では、宛先ノードは鍵マネージャから第１の鍵を受信する。鍵マネージャは、ソース・ノードと宛先ノードとの間でメモリを共有するための鍵の提供、生成、管理などを行うために、ソース・ノード、宛先ノード、またはネットワークにおける任意のその他の構成要素あるいはこれらの組合せに結合されてもよい。好ましい態様では、鍵マネージャがソース・ノードに第１の鍵を提供し、ソース・ノードは動作６０６に記載されているように第１の暗号化データを生成するために第１の鍵を使用する。他の好ましい態様では、鍵マネージャは、宛先ノードにも第１の鍵を提供し、宛先ノードは、暗号化されていないデータを得るために第１の鍵を使用して第１の暗号化データ（前は第２の暗号化データ）を復号する。他の手法では、本開示を読めば当業者には明らかになるように、第１の鍵はソース・ノードから直接、宛先ノードによって受信されてもよい。

少なくとも一部の手法では、共有メモリの領域は複数の宛先ノードによって要求されてもよい。好ましい態様では、宛先ノードのうちの少なくとも２つの宛先ノードにそれぞれ、異なる第２の鍵が関連付けられる。たとえば、ソース・ノードが、第１の暗号化データを得るために２つの宛先ノードのそれぞれのために同じ第１の鍵で共有メモリの領域（たとえばそれに関連付けられたデータ）を暗号化してもよい。ソース・ノードは、第１の宛先ノードに送信する第２の暗号化データを得るために、第１の暗号化データを１つの第２の鍵（ｋ１）で暗号化してもよい。ソース・ノードは、第２の宛先ノードに送信する第２の暗号化データ（第１の宛先ノードに送信される第２の暗号化データとは異なって見える）を得るために異なる第２の鍵（ｋ２）で第１の暗号化データを暗号化してもよい。

次に図７を参照すると、一態様による方法７００のフローチャートが示されている。方法７００は、様々な態様において、図１～図６および図８～図９に示す環境のいずれかなどにおいて本発明により実行可能である。当然ながら、本説明を読めば当業者にはわかるように、図７に具体的に記載されている動作より多いかまたは少ない動作が方法７００に含まれてもよい。

方法７００のステップの各ステップは、動作環境の任意の適切な構成要素によって実行可能である。たとえば、様々な態様において、方法７００は、コンピュータ、または１つもしくは複数のプロセッサを中に有する任意の他のデバイスによって部分的にまたは全体が実行されてもよい。プロセッサ、たとえばハードウェアまたはソフトウェアあるいはその両方で実装され、好ましくは少なくとも１つハードウェア・コンポーネントを有する処理回路、チップ、またはモジュールあるいはこれらの組合せが、方法７００の１つまたは複数のステップを実行するように任意のデバイスで使用可能である。プロセッサの例には、中央処理装置（ＣＰＵ）、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）など、これらの組合せ、または当技術分野で知られている任意のその他の適切なコンピューティング・デバイスが含まれるが、これらには限定されない。

図７に示すように、方法７００は動作７０２を含む。動作７２０は、宛先ノードによって、第２の暗号化データを受信することを含む。第２の暗号化データは、第１の暗号化データを作成するために第１の鍵で暗号化され、次に第２の暗号化データを作成するために第２の鍵で暗号化されたデータである。好ましい態様では、データの第１の暗号化データへの暗号化と、次の第１の暗号化データの第２の暗号化データへの暗号化は、ソース・ノードにおいて行われる。

好ましい態様では、ソース・ノードは第１の鍵と第２の鍵とを含む。関連付けられた、第１の暗号化データを作成するためのデータの暗号化と、次の第２の暗号化データを作成するための第１の暗号化データの暗号化は、一部の手法では、ソース・ノード上の少なくとも１つの暗号化／復号機能によって実行されてもよい。他の手法では、本開示に照らせば当業者にはわかるように、各鍵がソース・ノード上にある別個の暗号化／復号機能に関連付けられてもよい。

様々な手法において、第２の暗号化データは、ソース・ノードの共有メモリの領域に記憶されているデータを求める宛先ノードからソース・ノードへの要求に少なくとも部分的に基づいて受信される。一部の手法では、第２の暗号化データは共有メモリの領域に記憶されているデータに対応する。共有メモリの領域に記憶されているデータは、ローカル暗号鍵で暗号化可能とされ、ローカル・メモリに記憶されてもよい。共有メモリの領域に記憶されているデータの要求に応答して、ソース・ノードは、方法６００の動作６０４に記載されているように、ローカル暗号鍵を使用して共有メモリの領域に記憶されているデータを復号してもよい。他の手法では、共有メモリの領域に記憶されているデータはローカル暗号鍵で暗号化されていない。

少なくとも一部の手法では、共有メモリの領域は、本開示を読めば当業者に明らかになるはずの方式で、複数の宛先ノードによって要求されてもよい。

動作７０４は、宛先ノードによって第２の鍵を受信することを含む。様々な手法において、ソース・ノードが第２の鍵のコピーを宛先ノードに送信し、宛先ノードはそのコピーをソース・ノードと宛先ノードとの間で確立された共有ポリシー情報によって定義されている一定時間、一定動作数などにわたってセキュアに記憶する。少なくとも一部の態様では、（たとえば、共有ポリシーによって決められているか、ソース・ノードによって要求されるなどの）共有期間の終了に応答して、宛先ノードは、本開示を読めば当業者には明らかになるはずの方式で、第２の鍵を破棄するか、または第２の鍵をダミー鍵に置き換えるか、あるいはその両方を行ってもよい。ダミー鍵は、当技術分野で知られている任意の種類のものとすることができる。

動作７０６は、宛先ノードによって第１の鍵を受信することを含む。一部の手法では、宛先ノードは鍵マネージャから第１の鍵を受信する。鍵マネージャは、ソース・ノードと宛先ノードとの間でメモリを共有するための鍵の提供、生成、管理などを行うために、ソース・ノード、宛先ノード、またはネットワーク内の任意のその他の構成要素あるいはこれらの組合せに結合可能である。他の手法では、第１の鍵は、本開示を読めば当業者には明らかになるように、ソース・ノードから直接、宛先ノードによって受信されてもよい。

動作７０８は、宛先ノードによって、第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号することを含む。第２の暗号化データは、上述のように、第１の暗号化データを作成するために第１の鍵で暗号化され、次に第２の暗号化データを作成するために第２の鍵で暗号化されたデータである。

動作７１０は、宛先ノードによって、データを得るために第１の鍵を使用して第１の暗号化データを復号することを含む。宛先ノードは、第１の暗号化データを得るために、暗号化／復号機能と（一部の手法ではソース・ノードによって送信された）第２の鍵とを使用してもよい。宛先ノードは、データを得るために暗号化／復号機能と（一部の手法では鍵マネージャによって送信された）第１の鍵とを使用してもよい。上述のように、データは、暗号化されていないデータ、非暗号化データ、平文データ、別の鍵暗号化形態のデータなどとすることができる。

次に図８を参照すると、一態様による方法８００のフローチャートが示されている。方法８００は、様々な態様で、特に図１から図７および図９に示す環境のいずれかで、本発明により実行可能である。当然ながら、本説明を読めば当業者にはわかるように、図８に具体的に記載されている動作よりも多いかまたは少ない動作が方法８００に含まれてもよい。

方法８００のステップのそれぞれは、動作環境の任意の適切なコンポーネントによって実行可能である。たとえば、様々な態様で、方法８００は、コンピュータ、または、内部に１つもしくは複数のプロセッサを有する他の任意のデバイスによって、一部または全体が実行されてもよい。方法８００の１つまたは複数のステップを実行するために、プロセッサ、たとえば、処理回路、チップ、または、ハードウェアまたはソフトウェアあるいはその両方で実装され、好ましくは少なくとも１つのハードウェア・コンポーネントを有するモジュール、あるいはこれらの組合せを、任意のデバイスで使用してもよい。例示のプロセッサには、中央演算処理装置（ＣＰＵ）、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）など、これらの組合せ、または当技術分野で知られている任意のその他の適合するコンピューティング・デバイスが含まれるが、これらには限定されない。

図８に示すように、方法８００は動作８０２を含む。動作８０２は、宛先ノードによって、第２の暗号化データを受信することを含む。第２の暗号化データは、第１の暗号化データを作成するために第１の鍵で暗号化され、次に第２の暗号化データを作成するために第２の鍵で暗号化されたデータである。好ましい態様では、データの第１の暗号化データへの暗号化と、次の第１の暗号化データの第２の暗号化データへの暗号化とは、ソース・ノードにおいて行われる。

様々な態様において、第１の鍵はソース・ノードによって制御されるメモリの領域に関連付けられ、第２の鍵は宛先ノードに関連付けられる。たとえば、メモリの領域は、その宛先ノード、またはその宛先ノードを含む複数の宛先ノードによって要求されてもよい。各宛先ノードに同じ第１の鍵が関連付けられてもよい。好ましい態様では、宛先ノードのうちの少なくとも２つの宛先ノードのそれぞれに異なる第２の鍵が関連付けられる。たとえば、ソース・ノードが、第１の暗号化データを得るために２つの宛先ノードのそれぞれについて同じ第１の鍵で共有メモリの領域（たとえばそれに関連付けられたデータ）を暗号化してもよい。ソース・ノードは、第１の宛先ノードに送信する第２の暗号化データを得るために、１つの第２の鍵（ｋ１）で第１の暗号化データを暗号化してもよい。ソース・ノードは、第２の宛先ノードに送信する第２の暗号化データ（第１の宛先ノードに送信される第２の暗号化データとは異なって見える）を得るために、異なる第２の鍵（ｋ２）で第１の暗号化データを暗号化してもよい。

別の態様では、各宛先ノードに異なる第１の鍵が関連付けられてもよい。この態様では、ソース・ノードは、宛先ノードのうちのそれぞれの宛先ノードとメモリの異なる領域を共有してもよい。メモリの各領域は、異なる第１の鍵によって保護されてもよい。他の態様では、ソース・ノードが複数の外部メモリ領域を有する場合に各宛先ノードに異なる第１の鍵が関連付けられてもよい。各外部メモリ領域には異なる第１の鍵または異なる第２の鍵あるいはその両方が関連付けられてもよい。

他の手法では、各宛先ノードに異なる第１の鍵と、同じ第２の鍵とが関連付けられてもよい。好ましい態様では、宛先ノードのうちの少なくとも２つの宛先ノードにそれぞれ異なる第１の鍵が関連付けられる。たとえば、２つの異なる第１の暗号化データ・セットを得るように、ソース・ノードが第１の宛先ノードのために第１の鍵で共有メモリの領域（たとえばそれに関連付けられたデータ）を暗号化し、第２の宛先ノードのために異なる第１の鍵で共有メモリの同じ領域または異なる領域を暗号化してもよい。２つの異なる第２の暗号化データ・セットを得るように第１の暗号化データの各セットが同じ第２の鍵によって暗号化されてもよい。ソース・ノードは、本開示を読めば当業者に明らかになるはずの方式で、各第２の暗号化データをそれぞれの宛先ノードに送信してもよい

様々な態様において、第２の暗号化データは、好ましくは、ソース・ノードによって制御される共有メモリの領域に対応する。たとえば、第２の暗号化データは、ソース・ノードに結合された共有メモリの領域に記憶されたデータとすることができる。他の態様では、第２の暗号化データは、ソース・ノードによって制御される共有メモリの領域に対応し、共有メモリはソース・ノードに対してリモートにある。

好ましい態様では、ソース・ノードは第１の鍵と第２の鍵とを含む。一部の手法では、関連付けられた、第１の暗号化データを作成するためのデータの暗号化と、次の第２の暗号化データを作成するための第１の暗号化データの暗号化とは、ソース・ノード上の少なくとも１つの暗号化／復号機能によって行われてもよい。他の手法では、本開示に照らせば当業者にはわかるように、各鍵がソース・ノード上にある別個の暗号化／復号機能に関連付けられてもよい。

様々な手法において、ソース・ノードの共有メモリに記憶されているデータは、ソース・ノードのローカル鍵で暗号化されている。ソース・ノードはローカル鍵を含む。ローカル鍵は抽出可能ではなく（たとえば共有可能ではない）、好ましくはソース・ノードにおいてセキュアに記憶される。好ましい態様では、ソース・ノードは、ローカル・メモリ（ローカルで暗号化されているメモリ）に記憶されているデータを暗号化するためにローカル鍵を使用する。ローカルで暗号化されたメモリのローカルで暗号化されたデータは、方法６００の少なくとも一部の態様で説明したように、第１の暗号化データを得るために第１の鍵で暗号化される前に、ソース・ノードによってローカル鍵を使用して復号可能である。

動作８０４は、宛先ノードによって、第２の鍵を受信することを含む。様々な手法において、ソース・ノードは宛先ノードに第２の鍵のコピーを送信し、宛先ノードはそのコピーをソース・ノードと宛先ノードとの間で確立された共有ポリシー情報による定義に従って、一定時間、一定動作数などにわたってセキュアに記憶する。少なくとも一部の態様では、（たとえば、共有ポリシーによって決められているか、ソース・ノードによって要求されるなどの）共有期間の終了に応答して、宛先ノードは、本開示を読めば当業者に明らかになる方式で、第２の鍵を破棄するか、第２の鍵をダミー鍵に置き換えるか、あるいはその両方を行ってもよい。ダミー鍵は、当技術分野で知られている任意の種類のものとすることができる。

動作８０６は、宛先ノードによって第１の鍵を受信することを含む。一部の手法では、宛先ノードは鍵マネージャから第１の鍵を受信する。鍵マネージャは、ソース・ノードと宛先ノードとの間でメモリを共有するための鍵の提供、生成、管理などを行うために、ソース・ノード、宛先ノードまたはネットワークにおける任意のその他の構成要素あるいはこれらの組合せに結合されてもよい。他の手法では、本開示を読めば当業者には明らかになるように、第１の鍵は宛先ノードによってソース・ノードから直接、受信されてもよい。

動作８０８は、宛先ノードによって、第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号することを含む。第２の暗号化データは、上述のように、第１の暗号化データを作成するために第１の鍵で暗号化され、次に第２の暗号化データを作成するために第２の鍵で暗号化されたデータである。宛先ノードは、第１の暗号化データを得るために、暗号化／復号機能と（一部の手法ではソース・ノードから送信された）第２の鍵とを使用してもよい。

動作８１０は、宛先ノードによって、データを得るために第１の鍵を使用して第１の暗号化データを復号することを含む。宛先ノードは、第１の暗号化データを得るために暗号化／復号機能と、（一部の手法ではソース・ノードによって送信された）第２の鍵とを使用してもよい。宛先ノードは、データを得るために、暗号化／復号機能と（一部の手法では鍵マネージャによって送信された）第１の鍵を使用してもよい。データは、上述のように、暗号化されていないデータ、非暗号化データ、平文データ、別の鍵暗号化形態のデータなどとすることができる。

次に図９を参照すると、一態様による方法９００のフローチャートが示されている。方法９００は、様々な態様において、図１～図８に示されている環境のいずれかなどにおいて本発明により実行可能である。当然ながら、本説明を読めば当業者にはわかるように、図９に具体的に記載されている動作より多いかまたは少ない動作が方法９００に含まれてもよい。

方法９００のステップのそれぞれは、動作環境の任意の適切な構成要素によって実行可能である。たとえば、様々な態様において、方法９００は、コンピュータ、または１つもしくは複数のプロセッサを中に有する任意の他のデバイスによって部分的にまたは全体が実行されてもよい。プロセッサ、たとえばハードウェアまたはソフトウェアあるいはその両方で実装され、好ましくは少なくとも１つハードウェア・コンポーネントを有する処理回路、チップ、またはモジュールあるいはこれらの組合せが、方法９００の１つまたは複数のステップを実行するために任意のデバイスで使用可能である。プロセッサの例には、中央処理装置（ＣＰＵ）、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）など、これらの組合せ、または当技術分野で知られている任意のその他の適切なコンピューティング・デバイスが含まれるが、これらには限定されない。

図９に示すように、方法９００は動作９０２を含む。動作９０２は、トランスコーダによって第２の暗号化データを受信することを含む。第２の暗号化データは、第１の暗号化データを作成するために第１の鍵で暗号化され、次に第２の暗号化データを作成するために第２の鍵で暗号化された、ソース・ノードによって制御される共有メモリの領域に記憶されたデータである。好ましい態様では、データの第１の暗号化データへの暗号化と、次の第１の暗号化データの第２の暗号化データへの暗号化は、ソース・ノードにおいて行われる。ソース・ノードは第１の鍵と第２の鍵とを含む。

別の手法では、第２の暗号化データは、トランスコーダからソース・ノードへのデータ要求に少なくとも部分的に基づいて受信される。宛先ノードからのデータの要求の受信に応答して、トランスコーダがソース・ノードにデータ要求を送信してもよい。

様々な態様において、第２の暗号化データは、少なくとも１つの宛先ノードからのデータ要求に基づいて、共有メモリ、ソース・ノードなどからトランスコーダにおいて受信される。トランスコーダを介してソース・ノードによって制御される共有メモリの領域のデータを要求する任意の数の宛先ノードが存在し得る。一部の手法では、トランスコーダは、ソース・ノード、宛先ノード、トランスコーダなどの間の共有ポリシー情報に従って、宛先ノードからのデータ要求に応答して第２の暗号化データを受信してもよい。共有ポリシー情報は、共有するメモリ範囲、共有先の宛先ノード、存続期間を含むメモリの許可されたアクセス、許可された読み出し／書き込み動作、許可された動作の数、共有メモリのどのような領域がどの実体間で共有可能であるか、任意の実体間の共有期間の長さ、任意の実体間の共有期間に関連付けられた動作の数、任意の実体間の共有期間に関連付けられた動作の種類、任意の実体間で共有期間当たり共有可能なデータの量などを含むことができる。様々な手法において、共有ポリシー情報によって、共有期間を終了する時点が決まる。様々な態様において、共有期間はポリシーに従って、または少なくとも１つの鍵の破棄に応答して、またはソース・ノードによる共有期間終了要求、宛先ノードによる共有期間終了要求、電源オフ・イベント、任意のその他のトリガ・イベントなどに応答して、あるいはこれらの組合せによって終了してもよい。

様々な態様において、第１の鍵はソース・ノードによって制御されるメモリの領域に関連付けられ、第２の鍵は宛先ノードに関連付けられる。たとえば、メモリの領域は、その宛先ノード、またはその宛先ノードを含む複数の宛先ノードによって要求されてもよい。各宛先ノードに同じ第１の鍵が関連付けられてもよい。好ましい態様では、宛先ノードのうちの少なくとも２つの宛先ノードのそれぞれに異なる第２の鍵または異なる第１の鍵あるいはその両方が関連付けられる。

一部の手法では、共有されるメモリがソース・ノードにおいてローカルで暗号化される（たとえばローカル暗号鍵で暗号化される）場合、各宛先ノードに異なる第１の鍵が関連付けられてもよい。共有されるメモリがソース・ノードによって制御される同じリモート・メモリ領域である場合、第１の鍵は各宛先ノードについて同じであってもよい。共有されるメモリがソース・ノードによって制御されるリモート・メモリの異なる領域を含む場合、第１の鍵は宛先ノードごとに異なってもよい。

様々な態様において、第２の暗号化データは好ましくはソース・ノードの共有メモリの領域に対応する。たとえば、第２の暗号化データは、ソース・ノードに結合された共有メモリの領域に記憶されたデータとすることができる。他の態様では、第２の暗号化データは、ソース・ノードによって制御される共有メモリの領域に対応し、共有メモリはソース・ノードに対してリモートにある。

好ましい態様では、ソース・ノードは第１の鍵と第２の鍵を含む。一部の手法では、関連付けられた、第１の暗号化データを作成するためのデータの暗号化と、次の第２の暗号化データを作成するための第１の暗号化データの暗号化とは、ソース・ノード上の少なくとも１つの暗号化／復号機能によって行われてもよい。他の手法では、本開示に照らせば当業者にはわかるように、各鍵がソース・ノード上にある別個の暗号化／復号機能に関連付けられてもよい。

様々な手法において、ソース・ノードの共有メモリに記憶されているデータは、ソース・ノードのローカル鍵で暗号化されている。ソース・ノードはローカル鍵を含む。ローカル鍵は抽出可能ではなく（たとえば共有可能ではない）、好ましくはソース・ノードにおいてセキュアに記憶される。好ましい態様では、ソース・ノードは、ローカル・メモリ（ローカルで暗号化されているメモリ）に記憶されているデータを暗号化するためにローカル鍵を使用する。ローカルで暗号化されたメモリ内のローカルで暗号化されたデータは、方法６００の少なくとも一部の態様で説明したように、第１の暗号化データを得るために第１の鍵で暗号化される前に、ソース・ノードによってローカル鍵を使用して暗号化可能である。

動作９０４は、トランスコーダによって第２の鍵を受信することを含む。第２の鍵はソース・ノードから送信可能である。様々な手法において、ソース・ノードはトランスコーダに第２の鍵のコピーを送信し、トランスコーダはそのコピーを共有ポリシー情報による定義に従って、一定時間、一定動作数などにわたってセキュアに記憶する。少なくとも一部の態様では、（たとえば、共有ポリシーによって決められているか、ソース・ノードによって要求されるなどの）共有期間の終了に応答して、トランスコーダは、本開示を読めば当業者に明らかになる方式で、第２の鍵を破棄するか、第２の鍵をダミー鍵に置き換えるか、あるいはその両方を行ってもよい。ダミー鍵は、当技術分野で知られている任意の種類のものとすることができる。

動作９０６は、トランスコーダによって、第１の暗号化データを得るために第２の鍵を使用して第２の暗号化データを復号することを含む。第２の暗号化データは、上述のように、第１の暗号化データを作成するために第１の鍵で暗号化され、次に第２の暗号化データを作成するために第２の鍵で暗号化された、メモリの共有領域に記憶されているデータである。動作９０６によると、トランスコーダは、第１の暗号化データを得るためにトランスコーダにおける暗号化／復号機能と（ソース・ノードによって送信された）第２の鍵とを使用してもよい。トランスコーダは好ましくは、（たとえばデータを得るために第１の暗号化データを復号するために）第１の鍵にアクセスすることができない場合に、暗号化されていないデータ（または別の鍵暗号化形態の元のデータ）を決して得ることがない。

動作９０８は、トランスコーダによって、第３の暗号化データを作成するために第３の鍵を使用して第１の暗号化データを暗号化することを含む。（たとえば第１の鍵のみで暗号化された）第１の暗号化データは、トランスコーダにおける暗号化／復号機能によって第３の暗号化データを作成するために、新たな、第３の鍵で暗号化されてもよい。暗号化／復号機能は、動作９０６の暗号化／復号機能と同じであっても異なっていてもよい（たとえば、第３の鍵とは別個であるか、第３の鍵のみとともに使用されるなど）。好ましい手法では、第３の鍵はトランスコーダにおいてトランスコーダ・マネージャから受信される。他の手法では、トランスコーダ・マネージャは第３の鍵をトランスコーダと宛先ノードとに送信する。トランスコーダ・マネージャは、第３の鍵を生成し、本開示を読めば当業者には明らかになるはずの方式で第３の鍵をトランスコーダまたは宛先ノードあるいはその両方に送信してもよい。少なくとも一部の手法において、第３の鍵はトランスコーダによって、トランスコーダ上の鍵生成器により生成されてもよい。他の手法では、ソース・ノード、トランスコーダ、宛先ノードなどに結合された鍵マネージャまたは鍵生成器あるいはその両方によっていずれの鍵の生成または管理あるいはその両方も行われてもよい。

動作９１０は、トランスコーダによって、第３の鍵を宛先ノードに送信することを含む。好ましい手法では、第３の鍵を受信する宛先ノードは、データの要求を発信した宛先ノードである。様々な手法において、トランスコーダは宛先ノードに第３の鍵のコピーを送信し、宛先ノードはそのコピーを、共有ポリシー情報による定義に従って、または本開示を読めば当業者には明らかになるはずの方式で、あるいはその両方により、一定時間、一定動作数などにわたってセキュアに記憶する。好ましい態様では、（共有ポリシーによって決められているか、またはソース・ノードによって要求されるなどの）共有期間の終了に応答して、トランスコーダは、本開示を読めば当業者には明らかになるはずの方式で、ソース・ノードと宛先ノードとのデータ共有を終了するために第３の鍵を破棄するか、ダミー鍵に置き換えるか、あるいはその両方を行う。ダミー鍵は当技術分野で知られている任意の種類のものとすることができる。

動作９１２は、トランスコーダによって第３の暗号化データを宛先ノードに送信することを含む。第３の暗号化データは、上述のように、第３の暗号化データを作成するために、第１の暗号化データ（たとえば第１の鍵を使用して暗号化されたデータ）が第３の鍵を使用して暗号化されたデータである。宛先ノードは、様々な手法においてソース・ノードから直接、第１の鍵を受信する。宛先ノードは、様々な手法において、第１の暗号化データを得るために、宛先ノード上の暗号化／復号機能を使用し、第３の鍵を使用して第３の暗号化データを復号するように構成される。宛先ノードは、データを得るために、宛先ノード上の暗号化／復号機能（第１の暗号化データを得るために第３の暗号化データを復号する暗号化／復号機能と同じであっても異なっていてもよい）を使用し、第１の鍵を使用して第１の暗号化データを復号するように構成される。データは、上述のように、暗号化されていないデータ、非暗号化データ、平文データ、別の鍵暗号化形態のデータなどとすることができる。

本発明は、任意の可能な統合の技術的詳細度のシステム、方法、またはコンピュータ・プログラム製品あるいはこれらの組合せとすることができる。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実施させるためのコンピュータ可読プログラム命令が記憶されたコンピュータ可読記憶媒体（または複数の媒体）を含み得る。

コンピュータ可読記憶媒体は、命令実行デバイスによって使用される命令を保持し、記憶することができる有形デバイスとすることができる。コンピュータ可読記憶媒体は、たとえば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光学式ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、またはこれらの任意の適合する組合せであってよいが、これらには限定されない。コンピュータ可読記憶媒体のより具体的な例の非網羅的なリストには以下のものも含まれる。すなわち、可搬コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、可搬コンパクト・ディスク読み取り専用メモリ（ＣＤ－ＲＯＭ）、デジタル・バーサタイル・ディスク（ＤＶＤ）、メモリ・スティック、フロッピィ（Ｒ）・ディスク、パンチカードまたは命令が記録された溝内の隆起構造などの機械的に符号化されたデバイス、およびこれらの任意の適合する組合せが含まれる。本明細書で使用されるコンピュータ可読記憶媒体とは、電波もしくはその他の自由に伝播する電磁波、導波路もしくはその他の伝送媒体を伝播する電磁波（たとえば光ファイバ・ケーブルを通る光パルス）、または配線を介して伝送される電気信号などの、一過性の信号自体であると解釈すべきではない。

本明細書に記載のコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体からそれぞれのコンピューティング／処理デバイスに、または、ネットワーク、たとえばインターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、または無線ネットワークあるいはこれらの組合せを介して外部コンピュータまたは外部記憶デバイスにダウンロードすることができる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、交換機、ゲートウェイ・コンピュータ、またはエッジ・サーバあるいはこれらの組合せを含み得る。各コンピューティング／処理デバイスにおけるネットワーク・アダプタ・カードまたはネットワーク・インターフェースが、ネットワークからコンピュータ可読プログラム命令を受信し、それらのコンピュータ可読プログラム命令を、それぞれのコンピューティング／処理デバイス内のコンピュータ可読記憶媒体への記憶のために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、インストラクション・セット・アーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、または、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語、または同様のプログラム言語などの手続き型プログラミング言語を含む、１つまたは複数のプログラミング言語の任意の組合せで書かれた、ソース・コードもしくはオブジェクト・コードであってもよい。コンピュータ可読プログラム命令は、スタンドアロン・ソフトウェア・パッケージとして全体がユーザのコンピュータ上でもしくは一部がユーザのコンピュータ上で、または一部がユーザのコンピュータ上で一部がリモート・コンピュータ上で、または全体がリモート・コンピュータもしくはサーバ上で実行されてもよい。後者の場合、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）またはワイド・エリア・ネットワーク（ＷＡＮ）を含む、任意の種類のネットワークを介してユーザのコンピュータに接続することができ、または接続は（たとえば、インターネット・サービス・プロバイダを使用してインターネットを介して）外部コンピュータに対して行ってもよい。実施形態によっては、本発明の態様を実行するために、たとえばプログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路が、コンピュータ可読プログラム命令の状態情報を使用して電子回路をパーソナライズすることにより、コンピュータ可読プログラム命令を実行することができる。

本発明の態様について、本明細書では本発明の実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品を示すフローチャート図またはブロック図あるいはその両方を参照しながら説明している。フローチャート図またはブロック図あるいはその両方の図の各ブロックおよび、フローチャート図またはブロック図あるいはその両方の図のブロックの組合せは、コンピュータ可読プログラム命令によって実装可能であることはわかるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたはその他のプログラマブル・データ処理装置のプロセッサにより実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックで規定されている機能／動作を実装する手段を形成するように、コンピュータまたはその他のプログラマブル・データ処理装置のプロセッサに供給されて、マシンを実現するものであってよい。これらのコンピュータ可読プログラム命令は、命令が記憶されたコンピュータ可読記憶媒体が、フローチャートまたはブロック図あるいはその両方のブロックで規定されている機能／動作の態様を実装する命令を含む製造品を含むように、コンピュータ可読記憶媒体に記憶され、コンピュータ、プログラマブル・データ処理装置、またはその他の装置あるいはこれらの組合せに対して特定の方式で機能するように指示することができるものであってもよい。

コンピュータ可読プログラム命令は、コンピュータ、その他のプログラマブル装置またはその他のデバイス上で実行される命令がフローチャートまたはブロック図あるいはその両方のブロックで規定されている機能／動作を実装するように、コンピュータ実装プロセスを実現すべく、コンピュータ、その他のプログラマブル・データ処理装置、またはその他のデバイスにロードされ、コンピュータ、その他のプログラマブル装置、またはその他のデバイス上で一連の動作ステップを実行させるものであってもよい。

図面中のフローチャートおよびブロック図は、本発明の様々な実施形態によるシステム、方法およびコンピュータ・プログラム製品の可能な実装形態のアーキテクチャ、機能および動作を示す。これに関連して、フローチャートまたはブロック図の各ブロックは、規定されている論理機能を実装するための１つまたは複数の実行可能命令を含む、命令のモジュール、セグメント、または部分を表すことがある。ある別の実装形態では、ブロックに記載されている機能は、図に記載されている順序とは異なる順序で行われてもよい。たとえば、連続して示されている２つのブロックは、関与する機能に応じて、実際には１つのステップで完遂されてもよく、並行して実行されてもよく、実質的に並行して実行されてもよく、部分的にもしくは全体が時間的に重なって実行されてもよく、またはそれらのブロックは場合によっては逆の順序で実行されてもよい。また、ブロック図またはフローチャート図あるいはその両方の図の各ブロック、およびブロック図またはフローチャート図あるいはその両方の図のブロックの組合せは、規定されている機能または動作を実行する専用ハードウェア・ベースのシステムによって実装可能であるか、または専用ハードウェアとコンピュータ命令との組合せとして機能するかまたは実施することができることもわかるであろう。

さらに、様々な実施形態によるシステムは、プロセッサと、プロセッサと一体化されるかまたはプロセッサによって実行可能なロジックとを含んでもよく、ロジックは、本明細書に記載のプロセス・ステップのうちの１つまたは複数のプロセス・ステップを実行するように構成される。一体化されるとは、特定用途向け集積回路（ＡＳＩＣ）、ＦＰＧＡなど、ハードウェア・ロジックとして埋め込まれたロジックをプロセッサが有することを意味する。プロセッサによって実行可能とは、ロジックが、プロセッサによってアクセス可能であって、プロセッサによって実行されるとプロセッサに何らかの機能を実行させるように構成された、ハードウェア・ロジック、ファームウェアなどのソフトウェア・ロジック、オペレーティング・システムの一部、アプリケーション・プログラムの一部などであるか、またはハードウェア・ロジックとソフトウェア・ロジックとの何らかの組合せであることを意味する。ソフトウェア・ロジックは、当技術分野で知られているどのようなメモリの種類のローカルまたはリモートあるいはその両方のメモリにでも記憶することができる。ソフトウェア・プロセッサ・モジュールまたは、ＡＳＩＣ、ＦＰＧＡ、中央演算処理装置（ＣＰＵ）、集積回路（ＩＣ）、グラフィックス・プロセッシング・ユニット（ＧＰＵ）などのハードウェア・プロセッサ、あるいはその両方など、当技術分野で知られているどのようなプロセッサでも使用することができる。

上記のシステムまたは方法あるいはその両方の様々な特徴は、任意の方式で組み合わせてもよく、それによって上記の説明から複数の組合せを作成することができることが明らかであろう。

また、本発明の実施形態は、サービスをオンデマンドで提供するために顧客に代わって配備されるサービスの形態で提供されてもよいこともわかるであろう。

本発明の様々な実施形態の説明を例示のために示したが、これらは網羅的であること、または開示されている実施形態に限定することを意図したものではない。記載されている実施形態の範囲から逸脱することなく、多くの変更および変形が当業者には明らかであろう。本明細書で使用されている用語は、実施形態の原理、実際の適用、もしくは市場に見られる技術に対する技術的改良を最もよく説明するために、または当業者が本明細書で開示されている実施形態を理解することができるように選定されている。

Claims (22)

1. コンピュータ実装方法であって、
   ソース・ノードによって、前記ソース・ノードによって制御される共有メモリの領域に記憶された、前記ソース・ノードのローカル鍵で暗号化されているデータを求める要求を宛先ノードから受信することと、
   前記ソース・ノードによって、ローカルで暗号化された前記データを前記ローカル鍵を使用して復号することと、
   前記ソース・ノードによって、第１の暗号化データを生成するために第１の鍵を使用して前記復号データを暗号化することと、
   前記ソース・ノードによって、第２の暗号化データを生成するために第２の鍵を使用して前記第１の暗号化データを暗号化することと、
   前記ソース・ノードによって、前記第２の暗号化データを前記宛先ノードに送信することとを含む、コンピュータ実装方法。
2. 前記宛先ノードが前記第１の鍵を鍵マネージャから受信する、請求項１に記載のコンピュータ実装方法。
3. 前記ソース・ノードによって前記第２の鍵を前記宛先ノードに送信することを含む、請求項１または２に記載のコンピュータ実装方法。
4. 共有メモリの前記領域が複数の宛先ノードによって要求され、前記宛先ノードのうちの少なくとも２つの宛先ノードのそれぞれに異なる第２の鍵が関連付けられている、請求項１ないし３のいずれかに記載のコンピュータ実装方法。
5. 前記宛先ノードが、前記第１の暗号化データを得るために前記第２の鍵を使用して前記第２の暗号化データを復号するように構成され、前記宛先ノードが前記データを得るために前記第１の鍵を使用して前記第１の暗号化データを復号するように構成される、請求項１ないし４のいずれかに記載のコンピュータ実装方法。
6. コンピュータ実装方法であって、
   宛先ノードによって第２の暗号化データを受信することであって、前記第２の暗号化データが、第１の暗号化データを作成するために第１の鍵で暗号化され、次に前記第２の暗号化データを作成するために第２の鍵で暗号化されたデータである、前記第２の暗号化データを受信することと、
   前記宛先ノードによって前記第２の鍵を受信することと、
   前記宛先ノードによって前記第１の鍵を受信することと、
   前記宛先ノードによって、前記第１の暗号化データを得るために前記第２の鍵を使用して前記第２の暗号化データを復号することと、
   前記宛先ノードによって、前記データを得るために前記第１の鍵を使用して前記第１の暗号化データを復号することとを含む、コンピュータ実装方法。
7. 前記第２の暗号化データが、前記ソース・ノードによって制御される共有メモリの領域に記憶されたデータに対応する、請求項６に記載のコンピュータ実装方法。
8. 共有メモリの前記領域が前記宛先ノードによって要求される、請求項７に記載のコンピュータ実装方法。
9. 共有メモリの前記領域が複数の宛先ノードによって要求される、請求項７に記載のコンピュータ実装方法。
10. 前記第２の鍵が前記ソース・ノードから受信される、請求項７に記載のコンピュータ実装方法。
11. 前記第１の鍵が鍵マネージャから受信される、請求項６ないし１０のいずれかに記載のコンピュータ実装方法。
12. 前記第１の鍵がソース・ノードによって制御されるメモリの領域に関連付けられ、前記第２の鍵が前記宛先ノードに関連付けられている、請求項６ないし１１のいずれかに記載のコンピュータ実装方法。
13. 前記ソース・ノードによって制御される共有メモリの前記領域が、前記宛先ノードによって要求される、請求項１２に記載のコンピュータ実装方法。
14. 前記ソース・ノードによって制御される共有メモリの前記領域が複数の宛先ノードによって要求され、各宛先ノードに同じ第１の鍵が関連付けられ、前記宛先ノードのうちの少なくとも２つの宛先ノードにそれぞれ異なる第２の鍵が関連付けられている、請求項１２に記載のコンピュータ実装方法。
15. コンピュータ実装方法であって、
    トランスコーダによって第２の暗号化データを受信することであって、前記第２の暗号化データが、ソース・ノードによって制御される共有メモリの領域に記憶されたデータであって、前記データが第１の暗号化データを作成するために第１の鍵で暗号化され、次に前記第２の暗号化データを作成するために第２の鍵で暗号化されている、前記第２の暗号化データを受信することと、
    前記トランスコーダによって前記第２の鍵を受信することと、
    前記トランスコーダによって、前記第１の暗号化データを得るために前記第２の鍵を使用して前記第２の暗号化データを復号することと、
    前記トランスコーダによって、第３の暗号化データを作成するために第３の鍵を使用して前記第１の暗号化データを暗号化することと、
    前記トランスコーダによって前記第３の鍵を宛先ノードに送信することと、
    前記トランスコーダによって前記第３の暗号化データを前記宛先ノードに送信することとを含む、コンピュータ実装方法。
16. 前記第２の鍵が前記ソース・ノードから受信される、請求項１５に記載のコンピュータ実装方法。
17. 前記第３の鍵がトランスコーダ・マネージャから受信される、請求項１５または１６に記載のコンピュータ実装方法。
18. 前記第２の暗号化データが前記ソース・ノードによって制御されるメモリの前記領域に対応する、請求項１５ないし１７のいずれかに記載のコンピュータ実装方法。
19. 前記ソース・ノードによって制御されるメモリの前記領域が前記宛先ノードによって要求される、請求項１５ないし１８のいずれかに記載のコンピュータ実装方法。
20. 前記ソース・ノードによって制御されるメモリの前記領域が複数の宛先ノードによって要求され、各宛先ノードに同じ第１の鍵が関連付けられ、前記宛先ノードのうちの少なくとも２つの宛先ノードのそれぞれに異なる第２の鍵が関連付けられている、請求項１５ないし１９のいずれかに記載のコンピュータ実装方法。
21. 前記宛先ノードが、前記第１の暗号化データを得るために前記第３の鍵を使用して前記第３の暗号化データを復号するように構成され、前記宛先ノードが、前記データを得るために前記第１の鍵を使用して前記第１の暗号化データを復号するように構成される、請求項１５ないし２０のいずれかに記載のコンピュータ実装方法。
22. １つまたは複数のコンピュータ可読記憶媒体と、前記１つまたは複数のコンピュータ可読記憶媒体にまとめて記憶されたプログラム命令とを含むコンピュータ・プログラム製品であって、前記プログラム命令が、請求項１ないし２１のいずれかに記載の方法を行うようにプロセッサによって実行可能な、コンピュータ・プログラム製品。