JP3654795B2 - ファイル暗号化バックアップ方法及びシステム装置 - Google Patents
ファイル暗号化バックアップ方法及びシステム装置 Download PDFInfo
- Publication number
- JP3654795B2 JP3654795B2 JP20191199A JP20191199A JP3654795B2 JP 3654795 B2 JP3654795 B2 JP 3654795B2 JP 20191199 A JP20191199 A JP 20191199A JP 20191199 A JP20191199 A JP 20191199A JP 3654795 B2 JP3654795 B2 JP 3654795B2
- Authority
- JP
- Japan
- Prior art keywords
- file
- card
- encryption
- data
- client machine
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Landscapes
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Storage Device Security (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ファイル暗号化バックアップ方法及びシステム装置に関し、詳しくは、クライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ方法、及びその実施に直接使用するファイル暗号化バックアップシステム装置に係わる。
【０００２】
【従来の技術】
従来、クライアント機に導入されたアプリケーション・ソフトウェア（以下、単に「アプリケーション」とも）上で更新されるファイルを、ネットワーク上のファイル・サーバにバックアップする手法としては、クライアント機のハードディスク情報をファイル・サーバ上にミラーリングするものが最も一般的であるが、昨今では、第三者によるデータの「覗き見」（データ漏洩）の問題に対処するため、クライアント機からファイル・サーバへのファイルのバックアップを平文のままでは行わずに、当該ファイルに暗号化を施して行う傾向にある。
【０００３】
以上のファイル暗号化の手法としては、例えば、クライアント機とファイル・サーバとの間で授受されるファイル・データを、ネットワーク上のゲートウェイ領域に配置した暗号化装置を用いて暗号化するもの（伝送路上の暗号化）や、或いは、ファイル・サーバのＯＳ（オペレーティング・システム）がサポートする暗号化機能を用いて、バックアップすべきファイル・データに直接暗号化を施すもの（バックアップ・ファイルの暗号化）などが知られている。
【０００４】
【発明が解決しようとする課題】
ここで、ファイル・サーバに保存されたファイル・データを覗き見されないようにするには、言うまでもなく、前者のような伝送路上の暗号化はさほど重要ではなく、後者のバックアップ・ファイルの暗号化に主眼をおくべきである。
【０００５】
しかし、以上のファイル・サーバにおけるバックアップ・ファイルの暗号化では、クライアント機の利用者が、他人のバックアップ・ファイルの内容を覗き見て内容を解読することなどは、事実上不可能であるものの、そのクライアント機の利用者以外の特別の授権者、例えば、システム管理に関して特権を与えられているアドミニストレータ（administrator ）などにより、その内容を解読される可能性が充分存在する。
【０００６】
ここにおいて、本発明の解決すべき主要な目的は次のとおりである。
【０００７】
即ち、本発明の第１の目的は、ファイル・サーバに保存されたバックアップ・ファイルをクライアント機の真正な利用者以外の第三者に覗き見されても、その内容を一切解読されることのないファイル暗号化バックアップ方法及びシステム装置を提供することにある。
【０００８】
本発明の第２の目的は、ファイル・サーバに対する所要のファイル暗号化バックアップを、クライアント機の利用者による特別な操作を何ら必要とせずに自動的に行うことの可能なファイル暗号化バックアップ方法及びシステム装置を提供することにある。
【０００９】
本発明の第３の目的は、ファイル・サーバに対する所要のファイル暗号化バックアップを、クライアント機に対するファイル・データの保存タイミングと並行してリアルタイムで行うことの可能なファイル暗号化バックアップ方法及びシステム装置を提供することにある。
【００１０】
本発明の他の目的は、明細書、図面、特に特許請求の範囲の各請求項の記載から自ずと明らかとなろう。
【００１１】
【課題を解決するための手段】
本発明方法は、上記課題の解決にあたり、クライアント機に導入されたアプリケーションにおいて、ファイルの更新処理に伴いファイル・データが生成された際に、当該ファイル・データに関し、クライアント機の利用者が保有するＩＣカードに固有に設定された暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を実行し、この結果生成される暗号化ファイル・データを、ネットワークを経由してファイル・サーバに書き込む、という特徴を有する。
【００１２】
一方、本発明システム装置は、クライアント機に導入されたアプリケーションから、ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、ディスク書込処理手段に蓄積されているファイル・データを読み出す書込モニタ手段と、ディスク書込処理手段から読み出されるファイル・データに関し、ＩＣカードに固有に設定された暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を、クライアント機又はＩＣカードにおいて実行する暗号処理手段と、この暗号処理手段により生成される暗号化ファイル・データを、ネットワークを経由してファイル・サーバに書き込むサーバ書込処理手段とを有する、という特徴を有する。
【００１３】
さらに、具体的詳細に述べると、当該課題の解決では、本発明が次に列挙する新規な特徴的構成手法及び手段を採用することにより、前記目的を達成するよう為される。
【００１４】
即ち、本発明方法の第１の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、自己の当該ＩＣカードをクライアント機にセット結合して個々の差別化した作業環境を立ち上げることで、当該クライアント機の共同利用を可能とするのを前提に、当該クライアント機のアプリケーション・ソフトウェア上でのファイルの更新処理に伴うファイル・データを、その保存と同時並行して、前記ＩＣカードにおいてこれに固有の前記カード識別子に対応するように予め設定記憶された暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を通し、暗号化し、生成された当該暗号化ファイル・データを、前記ＩＣカードから事前に取得した前記カード識別子と共に、逐次ネットワークを介してファイル・サーバに送信し、当該ファイル・サーバが、受信した前記暗号化ファイル・データを、前記カード識別子ごとに対応して設定された複数の暗号化データ記憶手段のうちの、受信した前記カード識別子と対応するものに振り分けて書き込んでなるファイル暗号化バックアップ方法の構成採用にある。
【００１５】
本発明方法の第２の特徴は、前記本発明方法の第１の特徴における前記暗号化が、前記クライアント機又はＩＣカードのいずれかで行ってなるファイル暗号化バックアップ方法の構成採用にある。
【００１６】
本発明方法の第３の特徴は、前記本発明方法の第１又は第２の特徴における前記保存との同時並行が、前記ネットワーク送信とのタイミング同期をとって保存実行してなるファイル暗号化バックアップ方法の構成採用にある。
【００１７】
本発明方法の第４の特徴は、前記本発明方法の第１、第２又は第３の特徴における前記ファイル・データの暗号化が、前記アプリケーション・ソフトウェアからの当該ファイル・データの保存に関する指示の検出を契機として分岐並行処理してなるファイル暗号化バックアップ方法の構成採用にある。
【００１８】
本発明方法の第５の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ方法であって、ＩＣカード読取装置を介しつつ前記クライアント機に対しデータ供与を行うことの可能な前記ＩＣカードごとに、それぞれに固有の前記カード識別子に対応する暗号鍵を設定記憶する一方、前記クライアント機に、当該暗号鍵をパラメータとして暗号化の演算処理を実行するための共通鍵暗号化関数を定義し、前記ＩＣカードを、前記クライアント機へのデータ供与が可能となるよう前記ＩＣカード読取装置に結合して、当該ＩＣカードに固有の前記カード識別子及び前記暗号鍵を前記クライアント機に事前に取り込み、前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのに伴い、前記クライアント機のデータ記憶ディスクに転送される当該ファイル・データを分岐的に順次取得し、この取得された当該ファイル・データに関し、前記ＩＣカードから取り込まれた前記暗号鍵をパラメータとした前記共通鍵暗号化関数の演算処理を順次実行し、この演算処理により生成される暗号化ファイル・データを、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して、前記ファイル・サーバに順次受信させ、さらに、受信された前記暗号化ファイル・データを、前記ファイル・サーバにおいて前記カード識別子ごとに対応するように設定された複数の暗号化データ記憶手段のうちの、受信された前記カード識別子と対応するものに振り分けて書き込んでなるファイル暗号化バックアップ方法の構成採用にある。
【００１９】
本発明方法の第６の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ方法であって、ＩＣカード読取／書込装置を介しつつ前記クライアント機との間でデータ授受を行うことの可能な前記ＩＣカードごとに、それぞれに固有の前記カード識別子に対応する暗号鍵を設定記憶すると共に、当該暗号鍵をパラメータとして暗号化の演算処理を実行するための共通鍵暗号化関数を定義し、前記ＩＣカードを、前記クライアント機とのデータ授受が可能となるよう前記ＩＣカード読取／書込装置に結合し、前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのに伴い、前記クライアント機のデータ記憶ディスクに転送される当該ファイル・データを分岐的に順次取得し、この取得された当該ファイル・データを前記ＩＣカードに転送し、さらにその転送された当該ファイル・データに関して、当該ＩＣカードに存在する前記暗号鍵をパラメータとした前記共通鍵暗号化関数の演算処理を順次実行し、この演算処理により生成される暗号化ファイル・データを前記クライアント機に取り込み、さらにその取り込まれた当該暗号化ファイル・データを、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して、前記ファイル・サーバに順次受信させ、さらに、受信された前記暗号化ファイル・データを、前記ファイル・サーバにおいて前記カード識別子ごとに対応するように設定された複数の暗号化データ記憶手段のうちの、受信された前記カード識別子と対応するものに振り分けて書き込んでなるファイル暗号化バックアップ方法の構成採用にある。
【００２０】
本発明方法の第７の特徴は、前記本発明方法の第５又は第６の特徴における前記クライアント機の前記データ記憶ディスクに転送される前記ファイル・データを、その転送過程における分岐取得によって前記暗号化ファイル・データへの暗号化処理が完了したものから、順次、前記データ記憶ディスクに書き込んでなるファイル暗号化バックアップ方法の構成採用にある。
【００２１】
一方、本発明システム装置の第１の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ・システム装置であって、当該装置が、前記ファイル・サーバ及び前記クライアント機に加え、ＩＣカード読取装置を介しつつ前記クライアント機に対しデータ供与を行うことの可能な前記複数のＩＣカードを有してシステム構成され、当該ＩＣカードが、これに固有の前記カード識別子に対応して設定された暗号鍵を記憶する暗号鍵記憶手段を有し、前記ファイル・サーバが、前記ＩＣカードから前記クライアント機を介して取得した前記カード識別子を参照することにより、暗号化済みファイルを対応する利用者ごとに振り分けてバックアップするために、前記カード識別子ごとに対応して設定された複数の暗号化データ記憶手段を有し、前記クライアント機が、前記ファイルの更新処理に伴って前記アプリケーション・ソフトウェアで生成されるファイル・データを記憶するデータ記憶ディスクと、当該ファイル・データの当該データ記憶ディスクへの書込みに先立って一時的に蓄積するディスク書込処理手段と、当該ディスク書込処理手段に蓄積された前記ファイル・データの前記データ記憶ディスクへの書込みを制御するデータ書込制御手段と、前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、前記ディスク書込処理手段に蓄積されている前記ファイル・データを分岐的に読み出す書込モニタ手段と、前記ＩＣカード読取装置に結合した状態とされた前記ＩＣカードの前記暗号鍵記憶手段から、当該ＩＣカードに固有の前記暗号鍵を読み出して前記クライアント機に取り込むＩＣカード入出力手段と、前記書込モニタ手段により前記ディスク書込処理手段から分岐的に読み出される前記ファイル・データを順次取得し、この取得に係る当該ファイル・データに関し、前記ＩＣカード入力手段を通じて取り込まれた前記暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を順次実行する暗号処理手段と、当該暗号処理手段により生成される暗号化ファイル・データを、前記ファイル・サーバにおいて対応する前記暗号化データ記憶手段への振分書込保存のため、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して前記ファイル・サーバに順次送信するサーバ書込処理手段とを有してなるファイル暗号化バックアップ方法の構成採用にある。
【００２２】
本発明システム装置の第２の特徴は、前記本発明システム装置の第１の特徴における前記サーバ書込処理手段が、前記暗号処理手段から前記暗号化ファイル・データが与えられるごとに、当該暗号化ファイル・データの暗号化前における対応する前記ファイル・データが、順次、前記ディスク書込処理手段から読み出されて前記データ記憶ディスクに書き込まれるよう、前記データ書込制御手段を外的に制御する機能を併せて具備してなるファイル暗号化バックアップ・システム装置の構成採用にある。
【００２３】
本発明システム装置の第３の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ・システム装置であって、当該装置が、前記ファイル・サーバ及び前記クライアント機に加え、ＩＣカード読取／書込装置を介しつつ前記クライアント機との間でデータ授受を行うことの可能な前記複数のＩＣカードを利用自在にシステム構成され、当該ＩＣカードが、これに固有の前記カード識別子に対応して設定された暗号鍵を記憶する暗号鍵記憶手段と、当該暗号鍵記憶手段から当該暗号鍵を取得し、当該暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を順次実行する暗号処理手段とを有し、前記ファイル・サーバが、前記ＩＣカードから前記クライアント機を介して取得した前記カード識別子を参照することにより、暗号化済みファイルを対応する利用者ごとに振り分けてバックアップするために、前記カード識別子ごとに対応して設定された複数の暗号化データ記憶手段を有し、前記クライアント機が、前記ファイルの更新処理に伴って前記アプリケーション・ソフトウェアで生成されるファイル・データを記憶するデータ記憶ディスクと、当該ファイル・データの当該データ記憶ディスクへの書込みに先立って一時的に蓄積するディスク書込処理手段と、当該ディスク書込処理手段に蓄積された前記ファイル・データの前記データ記憶ディスクへの書込みを制御するデータ書込制御手段と、前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、前記ディスク書込処理手段に蓄積されている前記ファイル・データを分岐的に読み出す書込モニタ手段と、当該書込モニタ手段により前記ディスク書込処理手段から分岐的に読み出される前記ファイル・データを順次取得し、この取得に係る当該ファイル・データに関する暗号化の演算処理を前記ＩＣカードに実行させるため、前記ＩＣカード読取／書込装置に結合した状態とされた前記ＩＣカードの前記暗号処理手段に、前記書込モニタ手段から取得される前記ファイル・データを転送すると共に、当該暗号処理手段で生成される暗号化ファイル・データを前記クライアント機に取り込むＩＣカード入出力手段と、当該ＩＣカード入出力手段に取り込まれた前記暗号化ファイル・データを、前記ファイル・サーバにおいて対応する前記暗号化データ記憶手段への振分書込保存のため、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して前記ファイル・サーバに順次送信するサーバ書込処理手段とを有してなるファイル暗号化バックアップ・システム装置の構成採用にある。
【００２４】
本発明システム装置の第４の特徴は、前記本発明システム装置の第３の特徴における前記サーバ書込処理手段が、前記ＩＣカードの前記暗号処理手段から前記ＩＣカード入出力手段を介して前記暗号化ファイル・データが与えられるごとに、当該暗号化ファイル・データの暗号化前における対応する前記ファイル・データが、順次、前記ディスク書込処理手段から読み出されて前記データ記憶ディスクに書き込まれるよう、前記データ書込制御手段を外的に制御する機能を併せて具備してなるファイル暗号化バックアップ・システム装置の構成採用にある。
【００２５】
本発明システム装置の第５の特徴は、前記本発明システム装置の第１、第２、第３又は第４の特徴における前記クライアント機が、汎用のパーソナル・コンピュータであるファイル暗号化バックアップ・システム装置の構成採用にある。
【００２６】
【発明の実施の形態】
以下、添付図面を参照しつつ、本発明の実施の形態を、暗号処理手段をクライアント機に設けた場合の第１装置例、及び当該手段をＩＣカードに設けた場合の第２装置例、並びにこれら各装置例に対応する第１及び第２方法例につき詳細に説明する。
【００２７】
なお、本実施形態においては、クライアント機として、汎用のパーソナル・コンピュータ（以下「パソコン」と略記）を、ネットワークとして、ＬＡＮ（ローカル・エリア・ネットワーク）を例に挙げるものとする。
【００２８】
（第１装置例）
図１は、本発明の第１装置例に係るファイル暗号化バックアップ・システム装置の全体構成を示すブロック図である。
【００２９】
同図に示すように、本装置例に係るファイル暗号化バックアップ・システム装置αでは、パソコン１に導入された、例えば、ワードプロセッサ、辞書、ブラウザ、電子メールなどの種々のアプリケーション・ソフト１１上で更新されるファイルを、その暗号化を図りつつ、ＬＡＮ２上のファイル・サーバ３にバックアップするために、ＩＣカード読取／書込装置（ＩＣ：集積回路．以下「ＩＣカードＲ／Ｗ」と略記）４を介しつつ、パソコン１に対しデータ供与を行うことが可能であり、かつ、自己に固有の認証情報（以下「ＩＤ」と略記）に対応して設定された秘密の暗号鍵Ｘｉを記憶する暗号鍵記憶手段（図示されず）を具備してなるＩＣカード５を利用する。
【００３０】
なお、ＩＣカード５は、パソコン１の使用を許可された利用者が排他的に保有するものである。また、ＩＣカード５に記憶された暗号鍵Ｘｉのサフィックスｉは、ＩＣカード５ごとに固有（即ち、ＩＣカード５の保有者ごとに固有）に設定された上述のＩＤに対する「カード識別子」であり、従って、暗号鍵ＸｉもＩＣカード５ごとに固有である。
【００３１】
ここで、本装置例におけるパソコン１は、ディスク書込処理手段を成すハード・ディスク書込処理部（以下「ＨＤ書込処理部」と略記）１２と、データ書込制御手段を成すハードディスク・コントローラ（以下「ＨＤコントローラ」と略記）１３と、データ記憶ディスクを成すハードディスク（以下「ＨＤ」と略記）１４と、書込モニタ部１５と、ＩＣカード入力手段を成すＩＣカード入出力部１６と、暗号処理部１７と、サーバ書込処理部１８とを具備して構成される。
【００３２】
ＨＤ書込処理部１２は、ファイルの更新処理に伴ってアプリケーション１１で生成されるファイル・データＤｎ（ｎ：任意の自然数で、対象ファイルごとに固有に付与）、及びこれに付随するファイル名、存在ディレクトリ、日付等のプロパティなど、ファイルの実体（Ｄｎ）以外の情報を表すファイル情報Ｆｎ（ファイル名：filename -ｎ）を、パソコン１に内蔵又は外部接続されたＨＤ１４への書込みに先立ち、バッファ１２ａにより一時的に蓄積するものである。
【００３３】
ＨＤコントローラ１３は、ＨＤ書込処理部１２に蓄積されたファイル・データＤｎ及びファイル情報ＦｎのＨＤ１４への書込みを制御するものであり、さらに、そのＨＤ１４には、実際のファイル・データＤｎを対象ファイル（１，・・，ｎ，・・）ごとに保存するための領域（Ｄ１，・・，Ｄｎ，・・）が確保されている。
【００３４】
なお、パソコン１のデータ記憶ディスクとして、例示のＨＤ１４以外のもの（例えば、光磁気ディスクなど）を使用することも可能で、この場合には、データ書込制御手段を成すＨＤコントローラ１３を、使用するデータ記憶ディスクの種別に対応したもの（光磁気ディスク・コントローラ）へ変更すればよい。
【００３５】
書込モニタ部１５は、アプリケーション１１から、ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、ＨＤ書込処理部１２に蓄積されているファイル・データＤｎ及びファイル情報Ｆｎを読み出すものである。
【００３６】
ＩＣカード入出力部１６は、ＩＣカードＲ／Ｗ４に任意の手段（有線／無線の別は問わず）により結合した状態（少なくとも、ＩＣカード５からのデータ供与が可能な状態）とされたＩＣカード５の暗号鍵記憶手段から、当該ＩＣカード５に固有の暗号鍵Ｘｉを読み出してパソコン１に取り込む入出力インタフェースである。なお、ＩＣカード入出力部１６は、ＩＣカード５がＩＣカードＲ／Ｗ４を介してパソコン１と結合しているとき、当該ＩＣカード５に固有のカード識別子ｉを事前に取り込む。
【００３７】
なお、本発明にいうＩＣカード入力手段は、その構成上からは、ＩＣカード５からパソコン１にデータ（暗号鍵Ｘｉ）を取り込む機能（入力機能）さえ具備していれば足りるが、実際には、パソコン１からＩＣカード５に送出される制御信号等が存在するため、本装置例では、出力機能を具備したＩＣカード入出力部１６を採用している。また、同様な理由により、本装置例では、本発明にいうＩＣカード読取装置として、所要のデータの読取り及び書込みの双方の機能を具備するＩＣカードＲ／Ｗ４を採用している。
【００３８】
暗号処理部１７は、書込モニタ部１５によりＨＤ書込処理部１２から読み出されるファイル・データＤｎ及びファイル情報Ｆｎを順次取得し、この取得に係るファイル・データＤｎに関し、ＩＣカード入出力部１６を通じて取り込まれた暗号鍵Ｘｉをパラメータとした共通鍵暗号化関数ｆ（ｆ：「ＦＥＡＬ」や「ＤＥＳ」のような公開された暗号化アルゴリズム又は独自のアルゴリズム）の演算処理、即ち、ｆを暗号化アルゴリズム、Ｘｉを暗号鍵、Ｄｎを平文データとした暗号化処理（以下、この処理を［ｆＸｉ（Ｄｎ）］と記述）を順次実行するものである。
【００３９】
サーバ書込処理部１８は、暗号処理部１７により生成される暗号化ファイル・データＰｉｎ（Ｐｉｎ＝ｆＸｉ（Ｄｎ））を、対応するファイル・サーバ３の暗号化データ記憶部３１への書込保存のため、暗号処理部１７からそのままの形態で出力されるファイル情報Ｆｎ及びカード識別子ｉと共に、ＬＡＮ２を経由して当該ファイル・サーバ３に順次送信するものである。
【００４０】
なお、このサーバ書込処理部１８に対しては、以上の機能の他、暗号処理部１７から暗号化ファイル・データＰｉｎが与えられるごとに、当該暗号化ファイル・データＰｉｎの暗号化前における対応するファイル・データＤｎが、順次、ＨＤ書込処理部１２から読み出されてＨＤ１４に書き込まれるよう、ＨＤコントローラ１３を、図示の点線矢印で示すように外的に制御する機能を併せて具備させてもよい（詳細は方法例において説明）。
【００４１】
また、上述のファイル・サーバ３の暗号化データ記憶部３１は、パソコン１によって認識されるＩＣカード５のＩＤに対応して、当該ＩＣカード５を保有する利用者ごとに個別に設定された記憶領域（ユーザ１，・・，ユーザｉ，・・）であり、さらに、これら各暗号化データ記憶部３１には、実際の暗号化ファイル・データＰｉｎを対象ファイル（１，・・，ｎ，・・）ごとに保存するための領域（Ｐｉ１，・・，Ｐｉｎ，・・）が確保されている。
【００４２】
（第１方法例）
次に、以上のように構成された第１装置例に係るファイル暗号化バックアップ・システム装置αに適用される第１方法例の実施手順を説明する。
【００４３】
本方法例においては、まず、自己に固有のＩＤに対応する暗号鍵Ｘｉが設定されたＩＣカード５を、パソコン１へのデータ供与が可能となるようＩＣカードＲ／Ｗ４に結合して、個々の差別化した作業環境を立ち上げるように、そのＩＣカード５に固有のカード識別子ｉ及び暗号鍵Ｘｉを、パソコン１の暗号処理部１７に事前に取り込んでおく。
【００４４】
この状態において、パソコン１に導入されているＯＳ（図示せず）のファンクション・コントロール等により、アプリケーション１１から、ファイルの更新処理に伴うファイル・データＤｎ及びファイル情報Ｆｎの保存に関する指示がＨＤ書込処理部１２に対して発せられると、書込モニタ部１５は、定常モニタによってその指示を検出した直後に、データ書込みのためＨＤ１４に転送されるファイル・データＤｎ及びファイル情報Ｆｎ（これらと同一のファイル・データＤｎ及びファイル情報Ｆｎ）を、ＨＤ書込処理部１２のバッファ１２ａから分岐的に順次取得し、これら取得されたファイル・データＤｎ及びファイル情報Ｆｎを、次段の暗号処理部１７へそのまま順次転送する。
【００４５】
次に、ファイル・データＤｎ及びファイル情報Ｆｎの転送を受けた暗号処理部１７は、これらのうちのファイル・データＤｎに関し、ＩＣカード５から取り込まれた暗号鍵Ｘｉをパラメータとした共通鍵暗号化関数ｆの演算処理［ｆＸｉ（Ｄｎ）］を順次実行し、この結果生成される暗号化ファイル・データＰｉｎと、書込モニタ部１５からそのまま転送されたファイル情報Ｆｎと、事前に取り込んだカード識別子ｉとを、次段のサーバ書込処理部１８へ順次受け渡す。
【００４６】
次に、暗号化ファイル・データＰｉｎ及びファイル情報Ｆｎを受け取ったサーバ書込処理部１８は、その直後に、これら暗号化ファイル・データＰｉｎ及びファイル情報Ｆｎを、カード識別子ｉと共に、ＬＡＮ２を経由してファイル・サーバ３に順次送信する。
【００４７】
そして、ファイル・サーバ３は、ＬＡＮ２を経由して受信した暗号化ファイル・データＰｉｎ及びファイル情報Ｆｎを、同時に受信したカード識別子ｉを対象ファイルのキー（例えば、ｉ＝２の場合のファイル名：filename -２）としながら、これにより特定される所定の暗号化データ記憶部３１に順次書き込む。
【００４８】
この結果、本方法例及び対応装置例によれば、ファイル・サーバ３に対する所要のファイル暗号化バックアップが、パソコン１の利用者による特別な操作を何ら必要とせずに自動的に行われるようになる。しかも、ファイル暗号化に際しては、パソコン１を現在使用している利用者のみが保有しうるＩＣカード５に記憶された暗号鍵Ｘｉを適用しているので、そのＩＣカード５を盗難されない限り、第三者がファイル・サーバ３上の暗号化ファイル・データＰｉｎを復号化する（解読する）ことは不可能なため、極めて安全に所要のファイル暗号化バックアップを行うことができる。
【００４９】
なお、一般的なＨＤ１４の書込速度と、暗号処理部１７における共通鍵暗号化関数ｆの演算速度とを比較した場合、後者の方が低速であるため、以上の方法例では、ＨＤ１４へのファイル・データＤｎ及びファイル情報Ｆｎの書込みが完了しても、所定の時間に亙って、ファイル・サーバ３に対する所要のファイル暗号化バックアップが完了しないという現象が生じる。
【００５０】
このような現象は、パソコン１の継続使用中には何ら問題を生じないが、例えば、ファイルの最終的な保存を行って使用中のアプリケーションを終了し、パソコン１をシャットダウンする場合などには、ファイル暗号化バックアップの完了が見込まれる時間だけ、利用者は待機していなければならない。
【００５１】
こうした不都合を避けるため、図示の点線矢印で示すように、サーバ書込処理部１８からＨＤコントローラ１３を外的に制御して、パソコン１のＨＤ１４に転送されるファイル・データＤｎ及びファイル情報Ｆｎを、暗号処理部１７における暗号化ファイル・データＰｉｎへの暗号化処理が完了したものから、順次、ＨＤ１４に書込むようにすれば、ＨＤ１４へのファイル・データＤｎの書込みと、ファイル・サーバ３への暗号化ファイル・データＰｉｎの書込みとが、ほぼ同時に完了するようになる。
【００５２】
この結果、本方法例及び対応装置例によれば、ファイル・サーバ３に対する所要のファイル暗号化バックアップが、パソコン１に対するファイル・データＤｎの保存タイミングと並行してリアルタイムで行われるようになる。
【００５３】
（第２装置例）
続いて、図２は、本発明の第２装置例に係るファイル暗号バックアップ・システム装置の全体構成を示すブロック図である。
【００５４】
なお、本図に示される各構成要素のうち、既に図１に示したそれらと構成及び機能が同一又は同等なものについて、同一の符号を付してある。
【００５５】
同図に示すように、本装置例に係るファイル暗号化バックアップ・システム装置βは、第１装置例に係るそれと同様、パソコン１、ＬＡＮ２、ファイル・サーバ３、ＩＣカードＲ／Ｗ４、及びＩＣカード５を基本に構成される。
【００５６】
ここで、パソコン１は、ＨＤ書込処理部１２、ＨＤコントローラ１３、ＨＤ１４、書込モニタ部１５、ＩＣカード入出力部１６、及びサーバ書込処理部１８を具備して構成され、ＩＣカード５は、ＩＣカードＲ／Ｗ４を介しつつ、パソコン１との間でデータ授受を行うことが可能であり、かつ、その内部の暗号鍵記憶手段から暗号鍵Ｘｉを取得して、当該暗号鍵Ｘｉをパラメータとした共通鍵暗号化関数ｆの演算処理を順次実行する暗号処理部５１を具備している。
【００５７】
ここで、パソコン１の各構成要素のうち、第１装置例に係るシステム装置αと機能が相違するものは、本発明にいうＩＣカード入出力手段を成すＩＣカード入出力部１６であり、当該ＩＣカード入出力部１６は、書込モニタ部１５によりＨＤ書込処理部１２から読み出されるファイル・データＤｎ及びファイル情報Ｆｎを順次取得し、この取得に係る当該ファイル・データＤｎに関する暗号化の演算処理をＩＣカード５に実行させるため、ＩＣカードＲ／Ｗ４に結合した状態とされたＩＣカード５の暗号処理部５１に、書込モニタ部１５から取得されるファイル・データＤｎを転送すると共に、当該暗号処理部５１で生成される暗号化ファイル・データＰｉｎをパソコン１に取り込むよう機能する。
【００５８】
また、ＩＣカード入出力部１６は、書込モニタ部１５から取得したファイル情報Ｆｎに関しては、これをＩＣカード５には転送せず、ＩＣカード５の暗号処理部５１で生成される暗号化ファイル・データＰｉｎと併せ、カード識別子ｉと共に次段のサーバ書込処理部１８に与えるよう機能する。
【００５９】
なお、第１装置例と同様、サーバ書込処理部１８に対しては、ＩＣカード５の暗号処理部５１からＩＣカード入出力部１６を介して暗号化ファイル・データＰｉｎが与えられるごとに、当該暗号化ファイル・データＰｉｎの暗号化前における対応するファイル・データＤｎが、順次、ＨＤ書込処理部１２から読み出されてＨＤ１４に書き込まれるよう、ＨＤコントローラ１３を、図示の点線矢印で示すように外的に制御する機能を併せて具備させてもよい。
【００６０】
（第２方法例）
次に、以上のように構成された第２装置例に係るファイル暗号化バックアップ・システム装置βに適用される第２方法例の実施手順を説明する。
【００６１】
本方法例においては、まず、自己に固有のＩＤに対応する暗号鍵Ｘｉが設定されたＩＣカード５を、パソコン１とのデータ授受が可能となるようＩＣカードＲ／Ｗ４に結合しておく。
【００６２】
この状態において、アプリケーション１１からファイル・データＤｎ及びファイル情報Ｆｎの保存に関する指示がＨＤ書込処理部１２に対して発せられると、書込モニタ部１５は、その指示を検出した直後に、データ書込みのためＨＤ１４に転送されるファイル・データＤｎ及びファイル情報Ｆｎを、ＨＤ書込処理部１２のバッファ１２ａから分岐的に順次取得し、これらのうちファイル・データＤｎのみを、ＩＣカード入出力部１６及びＩＣカードＲ／Ｗ４を介してＩＣカード５に順次転送する。
【００６３】
次に、ファイル・データＤｎの転送を受けたＩＣカード５は、内部の暗号処理部５１において、そのファイル・データＤｎに関し、暗号鍵Ｘｉをパラメータとした共通鍵暗号化関数ｆの演算処理［ｆＸｉ（Ｄｎ）］を順次実行し、この結果生成される暗号化ファイル・データＰｉｎを、ＩＣカードＲ／Ｗ４を介して、パソコン１のＩＣカード入出力部１６に順次取り込み、これを次段のサーバ書込処理部１８へ順次受け渡す。
【００６４】
次に、暗号化ファイル・データＰｉｎを受け取ったサーバ書込処理部１８は、その直後に、当該暗号化ファイル・データＰｉｎを、ファイル情報Ｆｎ及びカード識別子ｉと共に、ＬＡＮ２を経由してファイル・サーバ３に順次送信する。
【００６５】
そして、ファイル・サーバ３は、ＬＡＮ２を経由して受信した暗号化ファイル・データＰｉｎ及びファイル情報Ｆｎを、同時に受信したカード識別子ｉを対象ファイルのキーとしながら、これにより特定される所定の暗号化データ記憶部３１に順次書き込む。
【００６６】
この結果、本方法例及び対応装置例によれば、前述の場合と同様、ファイル・サーバ３に対する所要のファイル暗号化バックアップが、パソコン１の利用者による特別な操作を何ら必要とせずに自動的に行われ、さらに、ＨＤ１４の書込速度と、ＩＣカード５の暗号処理部５１における共通鍵暗号化関数ｆの演算速度の差異に起因する問題に対処することで、当該ファイル暗号化バックアップが、パソコン１に対するファイル・データＤｎの保存タイミングと並行してリアルタイムで行われるようになる。
【００６７】
以上、本発明の実施の形態を、第１及び第２装置例並びにこれらに対応する第１及び第２方法例につき説明したが、本発明は、必ずしも上述の手段及び手法にのみ限定されるものではなく、本発明にいう目的を達成し、後述の効果を有する範囲内において、適宜、変更実施することが可能なものである。
【００６８】
例えば、本実施形態で例示したパソコン１及びＬＡＮ２は、それぞれ他の形態を成す任意のクライアント機及びネットワークに置き換えることが可能であり、この置換えにより、後述する発明の効果が損なわれることなどはない。
【００６９】
【発明の効果】
以上、詳細に説明したように、本発明によれば、ファイル暗号化に際し、クライアント機を現在使用している利用者のみが保有しうるＩＣカードに記憶された秘密の暗号鍵を適用したことから、そのＩＣカードを盗難されない限り、当該クライアント機の真正な利用者以外の第三者が、ファイル・サーバ上の暗号化ファイル・データを復号化してこれを解読することは事実上不可能であり、この結果、極めて安全に所要のファイル暗号化バックアップを行えるようになる。
【００７０】
また、本発明によれば、データ記憶ディスクの書込速度と、暗号処理手段における共通鍵暗号化関数の演算速度の差異に起因する問題にも対処したことから、ファイル・サーバに対する所要のファイル暗号化バックアップが、クライアント機に対するファイル・データの保存タイミングと並行しながらリアルタイムで行われるようになる。
【図面の簡単な説明】
【図１】本発明の第１装置例に係るファイル暗号化バックアップ・システム装置の全体構成を示すブロック図である。
【図２】本発明の第２装置例に係るファイル暗号化バックアップ・システム装置の全体構成を示すブロック図である。
【符号の説明】
α，β…ファイル暗号化バックアップ・システム装置
１…パソコン
１１…アプリケーション（アプリケーション・ソフトウェア）
１２…ＨＤ書込処理部（ハードディスク書込処理部）
１２ａ…バッファ
１３…ＨＤコントローラ（ハードディスク・コントローラ）
１４…ＨＤ（ハードディスク）
１５…書込モニタ部
１６…ＩＣカード入出力部
１７…暗号処理部
１８…サーバ書込処理部
２…ＬＡＮ
３…ファイル・サーバ
３１…暗号化データ記憶部
４…ＩＣカードＲ／Ｗ（ＩＣカード読取／書込装置）
５…ＩＣカード
５１…暗号処理部
【発明の属する技術分野】
本発明は、ファイル暗号化バックアップ方法及びシステム装置に関し、詳しくは、クライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ方法、及びその実施に直接使用するファイル暗号化バックアップシステム装置に係わる。
【０００２】
【従来の技術】
従来、クライアント機に導入されたアプリケーション・ソフトウェア（以下、単に「アプリケーション」とも）上で更新されるファイルを、ネットワーク上のファイル・サーバにバックアップする手法としては、クライアント機のハードディスク情報をファイル・サーバ上にミラーリングするものが最も一般的であるが、昨今では、第三者によるデータの「覗き見」（データ漏洩）の問題に対処するため、クライアント機からファイル・サーバへのファイルのバックアップを平文のままでは行わずに、当該ファイルに暗号化を施して行う傾向にある。
【０００３】
以上のファイル暗号化の手法としては、例えば、クライアント機とファイル・サーバとの間で授受されるファイル・データを、ネットワーク上のゲートウェイ領域に配置した暗号化装置を用いて暗号化するもの（伝送路上の暗号化）や、或いは、ファイル・サーバのＯＳ（オペレーティング・システム）がサポートする暗号化機能を用いて、バックアップすべきファイル・データに直接暗号化を施すもの（バックアップ・ファイルの暗号化）などが知られている。
【０００４】
【発明が解決しようとする課題】
ここで、ファイル・サーバに保存されたファイル・データを覗き見されないようにするには、言うまでもなく、前者のような伝送路上の暗号化はさほど重要ではなく、後者のバックアップ・ファイルの暗号化に主眼をおくべきである。
【０００５】
しかし、以上のファイル・サーバにおけるバックアップ・ファイルの暗号化では、クライアント機の利用者が、他人のバックアップ・ファイルの内容を覗き見て内容を解読することなどは、事実上不可能であるものの、そのクライアント機の利用者以外の特別の授権者、例えば、システム管理に関して特権を与えられているアドミニストレータ（administrator ）などにより、その内容を解読される可能性が充分存在する。
【０００６】
ここにおいて、本発明の解決すべき主要な目的は次のとおりである。
【０００７】
即ち、本発明の第１の目的は、ファイル・サーバに保存されたバックアップ・ファイルをクライアント機の真正な利用者以外の第三者に覗き見されても、その内容を一切解読されることのないファイル暗号化バックアップ方法及びシステム装置を提供することにある。
【０００８】
本発明の第２の目的は、ファイル・サーバに対する所要のファイル暗号化バックアップを、クライアント機の利用者による特別な操作を何ら必要とせずに自動的に行うことの可能なファイル暗号化バックアップ方法及びシステム装置を提供することにある。
【０００９】
本発明の第３の目的は、ファイル・サーバに対する所要のファイル暗号化バックアップを、クライアント機に対するファイル・データの保存タイミングと並行してリアルタイムで行うことの可能なファイル暗号化バックアップ方法及びシステム装置を提供することにある。
【００１０】
本発明の他の目的は、明細書、図面、特に特許請求の範囲の各請求項の記載から自ずと明らかとなろう。
【００１１】
【課題を解決するための手段】
本発明方法は、上記課題の解決にあたり、クライアント機に導入されたアプリケーションにおいて、ファイルの更新処理に伴いファイル・データが生成された際に、当該ファイル・データに関し、クライアント機の利用者が保有するＩＣカードに固有に設定された暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を実行し、この結果生成される暗号化ファイル・データを、ネットワークを経由してファイル・サーバに書き込む、という特徴を有する。
【００１２】
一方、本発明システム装置は、クライアント機に導入されたアプリケーションから、ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、ディスク書込処理手段に蓄積されているファイル・データを読み出す書込モニタ手段と、ディスク書込処理手段から読み出されるファイル・データに関し、ＩＣカードに固有に設定された暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を、クライアント機又はＩＣカードにおいて実行する暗号処理手段と、この暗号処理手段により生成される暗号化ファイル・データを、ネットワークを経由してファイル・サーバに書き込むサーバ書込処理手段とを有する、という特徴を有する。
【００１３】
さらに、具体的詳細に述べると、当該課題の解決では、本発明が次に列挙する新規な特徴的構成手法及び手段を採用することにより、前記目的を達成するよう為される。
【００１４】
即ち、本発明方法の第１の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、自己の当該ＩＣカードをクライアント機にセット結合して個々の差別化した作業環境を立ち上げることで、当該クライアント機の共同利用を可能とするのを前提に、当該クライアント機のアプリケーション・ソフトウェア上でのファイルの更新処理に伴うファイル・データを、その保存と同時並行して、前記ＩＣカードにおいてこれに固有の前記カード識別子に対応するように予め設定記憶された暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を通し、暗号化し、生成された当該暗号化ファイル・データを、前記ＩＣカードから事前に取得した前記カード識別子と共に、逐次ネットワークを介してファイル・サーバに送信し、当該ファイル・サーバが、受信した前記暗号化ファイル・データを、前記カード識別子ごとに対応して設定された複数の暗号化データ記憶手段のうちの、受信した前記カード識別子と対応するものに振り分けて書き込んでなるファイル暗号化バックアップ方法の構成採用にある。
【００１５】
本発明方法の第２の特徴は、前記本発明方法の第１の特徴における前記暗号化が、前記クライアント機又はＩＣカードのいずれかで行ってなるファイル暗号化バックアップ方法の構成採用にある。
【００１６】
本発明方法の第３の特徴は、前記本発明方法の第１又は第２の特徴における前記保存との同時並行が、前記ネットワーク送信とのタイミング同期をとって保存実行してなるファイル暗号化バックアップ方法の構成採用にある。
【００１７】
本発明方法の第４の特徴は、前記本発明方法の第１、第２又は第３の特徴における前記ファイル・データの暗号化が、前記アプリケーション・ソフトウェアからの当該ファイル・データの保存に関する指示の検出を契機として分岐並行処理してなるファイル暗号化バックアップ方法の構成採用にある。
【００１８】
本発明方法の第５の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ方法であって、ＩＣカード読取装置を介しつつ前記クライアント機に対しデータ供与を行うことの可能な前記ＩＣカードごとに、それぞれに固有の前記カード識別子に対応する暗号鍵を設定記憶する一方、前記クライアント機に、当該暗号鍵をパラメータとして暗号化の演算処理を実行するための共通鍵暗号化関数を定義し、前記ＩＣカードを、前記クライアント機へのデータ供与が可能となるよう前記ＩＣカード読取装置に結合して、当該ＩＣカードに固有の前記カード識別子及び前記暗号鍵を前記クライアント機に事前に取り込み、前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのに伴い、前記クライアント機のデータ記憶ディスクに転送される当該ファイル・データを分岐的に順次取得し、この取得された当該ファイル・データに関し、前記ＩＣカードから取り込まれた前記暗号鍵をパラメータとした前記共通鍵暗号化関数の演算処理を順次実行し、この演算処理により生成される暗号化ファイル・データを、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して、前記ファイル・サーバに順次受信させ、さらに、受信された前記暗号化ファイル・データを、前記ファイル・サーバにおいて前記カード識別子ごとに対応するように設定された複数の暗号化データ記憶手段のうちの、受信された前記カード識別子と対応するものに振り分けて書き込んでなるファイル暗号化バックアップ方法の構成採用にある。
【００１９】
本発明方法の第６の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ方法であって、ＩＣカード読取／書込装置を介しつつ前記クライアント機との間でデータ授受を行うことの可能な前記ＩＣカードごとに、それぞれに固有の前記カード識別子に対応する暗号鍵を設定記憶すると共に、当該暗号鍵をパラメータとして暗号化の演算処理を実行するための共通鍵暗号化関数を定義し、前記ＩＣカードを、前記クライアント機とのデータ授受が可能となるよう前記ＩＣカード読取／書込装置に結合し、前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのに伴い、前記クライアント機のデータ記憶ディスクに転送される当該ファイル・データを分岐的に順次取得し、この取得された当該ファイル・データを前記ＩＣカードに転送し、さらにその転送された当該ファイル・データに関して、当該ＩＣカードに存在する前記暗号鍵をパラメータとした前記共通鍵暗号化関数の演算処理を順次実行し、この演算処理により生成される暗号化ファイル・データを前記クライアント機に取り込み、さらにその取り込まれた当該暗号化ファイル・データを、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して、前記ファイル・サーバに順次受信させ、さらに、受信された前記暗号化ファイル・データを、前記ファイル・サーバにおいて前記カード識別子ごとに対応するように設定された複数の暗号化データ記憶手段のうちの、受信された前記カード識別子と対応するものに振り分けて書き込んでなるファイル暗号化バックアップ方法の構成採用にある。
【００２０】
本発明方法の第７の特徴は、前記本発明方法の第５又は第６の特徴における前記クライアント機の前記データ記憶ディスクに転送される前記ファイル・データを、その転送過程における分岐取得によって前記暗号化ファイル・データへの暗号化処理が完了したものから、順次、前記データ記憶ディスクに書き込んでなるファイル暗号化バックアップ方法の構成採用にある。
【００２１】
一方、本発明システム装置の第１の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ・システム装置であって、当該装置が、前記ファイル・サーバ及び前記クライアント機に加え、ＩＣカード読取装置を介しつつ前記クライアント機に対しデータ供与を行うことの可能な前記複数のＩＣカードを有してシステム構成され、当該ＩＣカードが、これに固有の前記カード識別子に対応して設定された暗号鍵を記憶する暗号鍵記憶手段を有し、前記ファイル・サーバが、前記ＩＣカードから前記クライアント機を介して取得した前記カード識別子を参照することにより、暗号化済みファイルを対応する利用者ごとに振り分けてバックアップするために、前記カード識別子ごとに対応して設定された複数の暗号化データ記憶手段を有し、前記クライアント機が、前記ファイルの更新処理に伴って前記アプリケーション・ソフトウェアで生成されるファイル・データを記憶するデータ記憶ディスクと、当該ファイル・データの当該データ記憶ディスクへの書込みに先立って一時的に蓄積するディスク書込処理手段と、当該ディスク書込処理手段に蓄積された前記ファイル・データの前記データ記憶ディスクへの書込みを制御するデータ書込制御手段と、前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、前記ディスク書込処理手段に蓄積されている前記ファイル・データを分岐的に読み出す書込モニタ手段と、前記ＩＣカード読取装置に結合した状態とされた前記ＩＣカードの前記暗号鍵記憶手段から、当該ＩＣカードに固有の前記暗号鍵を読み出して前記クライアント機に取り込むＩＣカード入出力手段と、前記書込モニタ手段により前記ディスク書込処理手段から分岐的に読み出される前記ファイル・データを順次取得し、この取得に係る当該ファイル・データに関し、前記ＩＣカード入力手段を通じて取り込まれた前記暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を順次実行する暗号処理手段と、当該暗号処理手段により生成される暗号化ファイル・データを、前記ファイル・サーバにおいて対応する前記暗号化データ記憶手段への振分書込保存のため、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して前記ファイル・サーバに順次送信するサーバ書込処理手段とを有してなるファイル暗号化バックアップ方法の構成採用にある。
【００２２】
本発明システム装置の第２の特徴は、前記本発明システム装置の第１の特徴における前記サーバ書込処理手段が、前記暗号処理手段から前記暗号化ファイル・データが与えられるごとに、当該暗号化ファイル・データの暗号化前における対応する前記ファイル・データが、順次、前記ディスク書込処理手段から読み出されて前記データ記憶ディスクに書き込まれるよう、前記データ書込制御手段を外的に制御する機能を併せて具備してなるファイル暗号化バックアップ・システム装置の構成採用にある。
【００２３】
本発明システム装置の第３の特徴は、互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ・システム装置であって、当該装置が、前記ファイル・サーバ及び前記クライアント機に加え、ＩＣカード読取／書込装置を介しつつ前記クライアント機との間でデータ授受を行うことの可能な前記複数のＩＣカードを利用自在にシステム構成され、当該ＩＣカードが、これに固有の前記カード識別子に対応して設定された暗号鍵を記憶する暗号鍵記憶手段と、当該暗号鍵記憶手段から当該暗号鍵を取得し、当該暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を順次実行する暗号処理手段とを有し、前記ファイル・サーバが、前記ＩＣカードから前記クライアント機を介して取得した前記カード識別子を参照することにより、暗号化済みファイルを対応する利用者ごとに振り分けてバックアップするために、前記カード識別子ごとに対応して設定された複数の暗号化データ記憶手段を有し、前記クライアント機が、前記ファイルの更新処理に伴って前記アプリケーション・ソフトウェアで生成されるファイル・データを記憶するデータ記憶ディスクと、当該ファイル・データの当該データ記憶ディスクへの書込みに先立って一時的に蓄積するディスク書込処理手段と、当該ディスク書込処理手段に蓄積された前記ファイル・データの前記データ記憶ディスクへの書込みを制御するデータ書込制御手段と、前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、前記ディスク書込処理手段に蓄積されている前記ファイル・データを分岐的に読み出す書込モニタ手段と、当該書込モニタ手段により前記ディスク書込処理手段から分岐的に読み出される前記ファイル・データを順次取得し、この取得に係る当該ファイル・データに関する暗号化の演算処理を前記ＩＣカードに実行させるため、前記ＩＣカード読取／書込装置に結合した状態とされた前記ＩＣカードの前記暗号処理手段に、前記書込モニタ手段から取得される前記ファイル・データを転送すると共に、当該暗号処理手段で生成される暗号化ファイル・データを前記クライアント機に取り込むＩＣカード入出力手段と、当該ＩＣカード入出力手段に取り込まれた前記暗号化ファイル・データを、前記ファイル・サーバにおいて対応する前記暗号化データ記憶手段への振分書込保存のため、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して前記ファイル・サーバに順次送信するサーバ書込処理手段とを有してなるファイル暗号化バックアップ・システム装置の構成採用にある。
【００２４】
本発明システム装置の第４の特徴は、前記本発明システム装置の第３の特徴における前記サーバ書込処理手段が、前記ＩＣカードの前記暗号処理手段から前記ＩＣカード入出力手段を介して前記暗号化ファイル・データが与えられるごとに、当該暗号化ファイル・データの暗号化前における対応する前記ファイル・データが、順次、前記ディスク書込処理手段から読み出されて前記データ記憶ディスクに書き込まれるよう、前記データ書込制御手段を外的に制御する機能を併せて具備してなるファイル暗号化バックアップ・システム装置の構成採用にある。
【００２５】
本発明システム装置の第５の特徴は、前記本発明システム装置の第１、第２、第３又は第４の特徴における前記クライアント機が、汎用のパーソナル・コンピュータであるファイル暗号化バックアップ・システム装置の構成採用にある。
【００２６】
【発明の実施の形態】
以下、添付図面を参照しつつ、本発明の実施の形態を、暗号処理手段をクライアント機に設けた場合の第１装置例、及び当該手段をＩＣカードに設けた場合の第２装置例、並びにこれら各装置例に対応する第１及び第２方法例につき詳細に説明する。
【００２７】
なお、本実施形態においては、クライアント機として、汎用のパーソナル・コンピュータ（以下「パソコン」と略記）を、ネットワークとして、ＬＡＮ（ローカル・エリア・ネットワーク）を例に挙げるものとする。
【００２８】
（第１装置例）
図１は、本発明の第１装置例に係るファイル暗号化バックアップ・システム装置の全体構成を示すブロック図である。
【００２９】
同図に示すように、本装置例に係るファイル暗号化バックアップ・システム装置αでは、パソコン１に導入された、例えば、ワードプロセッサ、辞書、ブラウザ、電子メールなどの種々のアプリケーション・ソフト１１上で更新されるファイルを、その暗号化を図りつつ、ＬＡＮ２上のファイル・サーバ３にバックアップするために、ＩＣカード読取／書込装置（ＩＣ：集積回路．以下「ＩＣカードＲ／Ｗ」と略記）４を介しつつ、パソコン１に対しデータ供与を行うことが可能であり、かつ、自己に固有の認証情報（以下「ＩＤ」と略記）に対応して設定された秘密の暗号鍵Ｘｉを記憶する暗号鍵記憶手段（図示されず）を具備してなるＩＣカード５を利用する。
【００３０】
なお、ＩＣカード５は、パソコン１の使用を許可された利用者が排他的に保有するものである。また、ＩＣカード５に記憶された暗号鍵Ｘｉのサフィックスｉは、ＩＣカード５ごとに固有（即ち、ＩＣカード５の保有者ごとに固有）に設定された上述のＩＤに対する「カード識別子」であり、従って、暗号鍵ＸｉもＩＣカード５ごとに固有である。
【００３１】
ここで、本装置例におけるパソコン１は、ディスク書込処理手段を成すハード・ディスク書込処理部（以下「ＨＤ書込処理部」と略記）１２と、データ書込制御手段を成すハードディスク・コントローラ（以下「ＨＤコントローラ」と略記）１３と、データ記憶ディスクを成すハードディスク（以下「ＨＤ」と略記）１４と、書込モニタ部１５と、ＩＣカード入力手段を成すＩＣカード入出力部１６と、暗号処理部１７と、サーバ書込処理部１８とを具備して構成される。
【００３２】
ＨＤ書込処理部１２は、ファイルの更新処理に伴ってアプリケーション１１で生成されるファイル・データＤｎ（ｎ：任意の自然数で、対象ファイルごとに固有に付与）、及びこれに付随するファイル名、存在ディレクトリ、日付等のプロパティなど、ファイルの実体（Ｄｎ）以外の情報を表すファイル情報Ｆｎ（ファイル名：filename -ｎ）を、パソコン１に内蔵又は外部接続されたＨＤ１４への書込みに先立ち、バッファ１２ａにより一時的に蓄積するものである。
【００３３】
ＨＤコントローラ１３は、ＨＤ書込処理部１２に蓄積されたファイル・データＤｎ及びファイル情報ＦｎのＨＤ１４への書込みを制御するものであり、さらに、そのＨＤ１４には、実際のファイル・データＤｎを対象ファイル（１，・・，ｎ，・・）ごとに保存するための領域（Ｄ１，・・，Ｄｎ，・・）が確保されている。
【００３４】
なお、パソコン１のデータ記憶ディスクとして、例示のＨＤ１４以外のもの（例えば、光磁気ディスクなど）を使用することも可能で、この場合には、データ書込制御手段を成すＨＤコントローラ１３を、使用するデータ記憶ディスクの種別に対応したもの（光磁気ディスク・コントローラ）へ変更すればよい。
【００３５】
書込モニタ部１５は、アプリケーション１１から、ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、ＨＤ書込処理部１２に蓄積されているファイル・データＤｎ及びファイル情報Ｆｎを読み出すものである。
【００３６】
ＩＣカード入出力部１６は、ＩＣカードＲ／Ｗ４に任意の手段（有線／無線の別は問わず）により結合した状態（少なくとも、ＩＣカード５からのデータ供与が可能な状態）とされたＩＣカード５の暗号鍵記憶手段から、当該ＩＣカード５に固有の暗号鍵Ｘｉを読み出してパソコン１に取り込む入出力インタフェースである。なお、ＩＣカード入出力部１６は、ＩＣカード５がＩＣカードＲ／Ｗ４を介してパソコン１と結合しているとき、当該ＩＣカード５に固有のカード識別子ｉを事前に取り込む。
【００３７】
なお、本発明にいうＩＣカード入力手段は、その構成上からは、ＩＣカード５からパソコン１にデータ（暗号鍵Ｘｉ）を取り込む機能（入力機能）さえ具備していれば足りるが、実際には、パソコン１からＩＣカード５に送出される制御信号等が存在するため、本装置例では、出力機能を具備したＩＣカード入出力部１６を採用している。また、同様な理由により、本装置例では、本発明にいうＩＣカード読取装置として、所要のデータの読取り及び書込みの双方の機能を具備するＩＣカードＲ／Ｗ４を採用している。
【００３８】
暗号処理部１７は、書込モニタ部１５によりＨＤ書込処理部１２から読み出されるファイル・データＤｎ及びファイル情報Ｆｎを順次取得し、この取得に係るファイル・データＤｎに関し、ＩＣカード入出力部１６を通じて取り込まれた暗号鍵Ｘｉをパラメータとした共通鍵暗号化関数ｆ（ｆ：「ＦＥＡＬ」や「ＤＥＳ」のような公開された暗号化アルゴリズム又は独自のアルゴリズム）の演算処理、即ち、ｆを暗号化アルゴリズム、Ｘｉを暗号鍵、Ｄｎを平文データとした暗号化処理（以下、この処理を［ｆＸｉ（Ｄｎ）］と記述）を順次実行するものである。
【００３９】
サーバ書込処理部１８は、暗号処理部１７により生成される暗号化ファイル・データＰｉｎ（Ｐｉｎ＝ｆＸｉ（Ｄｎ））を、対応するファイル・サーバ３の暗号化データ記憶部３１への書込保存のため、暗号処理部１７からそのままの形態で出力されるファイル情報Ｆｎ及びカード識別子ｉと共に、ＬＡＮ２を経由して当該ファイル・サーバ３に順次送信するものである。
【００４０】
なお、このサーバ書込処理部１８に対しては、以上の機能の他、暗号処理部１７から暗号化ファイル・データＰｉｎが与えられるごとに、当該暗号化ファイル・データＰｉｎの暗号化前における対応するファイル・データＤｎが、順次、ＨＤ書込処理部１２から読み出されてＨＤ１４に書き込まれるよう、ＨＤコントローラ１３を、図示の点線矢印で示すように外的に制御する機能を併せて具備させてもよい（詳細は方法例において説明）。
【００４１】
また、上述のファイル・サーバ３の暗号化データ記憶部３１は、パソコン１によって認識されるＩＣカード５のＩＤに対応して、当該ＩＣカード５を保有する利用者ごとに個別に設定された記憶領域（ユーザ１，・・，ユーザｉ，・・）であり、さらに、これら各暗号化データ記憶部３１には、実際の暗号化ファイル・データＰｉｎを対象ファイル（１，・・，ｎ，・・）ごとに保存するための領域（Ｐｉ１，・・，Ｐｉｎ，・・）が確保されている。
【００４２】
（第１方法例）
次に、以上のように構成された第１装置例に係るファイル暗号化バックアップ・システム装置αに適用される第１方法例の実施手順を説明する。
【００４３】
本方法例においては、まず、自己に固有のＩＤに対応する暗号鍵Ｘｉが設定されたＩＣカード５を、パソコン１へのデータ供与が可能となるようＩＣカードＲ／Ｗ４に結合して、個々の差別化した作業環境を立ち上げるように、そのＩＣカード５に固有のカード識別子ｉ及び暗号鍵Ｘｉを、パソコン１の暗号処理部１７に事前に取り込んでおく。
【００４４】
この状態において、パソコン１に導入されているＯＳ（図示せず）のファンクション・コントロール等により、アプリケーション１１から、ファイルの更新処理に伴うファイル・データＤｎ及びファイル情報Ｆｎの保存に関する指示がＨＤ書込処理部１２に対して発せられると、書込モニタ部１５は、定常モニタによってその指示を検出した直後に、データ書込みのためＨＤ１４に転送されるファイル・データＤｎ及びファイル情報Ｆｎ（これらと同一のファイル・データＤｎ及びファイル情報Ｆｎ）を、ＨＤ書込処理部１２のバッファ１２ａから分岐的に順次取得し、これら取得されたファイル・データＤｎ及びファイル情報Ｆｎを、次段の暗号処理部１７へそのまま順次転送する。
【００４５】
次に、ファイル・データＤｎ及びファイル情報Ｆｎの転送を受けた暗号処理部１７は、これらのうちのファイル・データＤｎに関し、ＩＣカード５から取り込まれた暗号鍵Ｘｉをパラメータとした共通鍵暗号化関数ｆの演算処理［ｆＸｉ（Ｄｎ）］を順次実行し、この結果生成される暗号化ファイル・データＰｉｎと、書込モニタ部１５からそのまま転送されたファイル情報Ｆｎと、事前に取り込んだカード識別子ｉとを、次段のサーバ書込処理部１８へ順次受け渡す。
【００４６】
次に、暗号化ファイル・データＰｉｎ及びファイル情報Ｆｎを受け取ったサーバ書込処理部１８は、その直後に、これら暗号化ファイル・データＰｉｎ及びファイル情報Ｆｎを、カード識別子ｉと共に、ＬＡＮ２を経由してファイル・サーバ３に順次送信する。
【００４７】
そして、ファイル・サーバ３は、ＬＡＮ２を経由して受信した暗号化ファイル・データＰｉｎ及びファイル情報Ｆｎを、同時に受信したカード識別子ｉを対象ファイルのキー（例えば、ｉ＝２の場合のファイル名：filename -２）としながら、これにより特定される所定の暗号化データ記憶部３１に順次書き込む。
【００４８】
この結果、本方法例及び対応装置例によれば、ファイル・サーバ３に対する所要のファイル暗号化バックアップが、パソコン１の利用者による特別な操作を何ら必要とせずに自動的に行われるようになる。しかも、ファイル暗号化に際しては、パソコン１を現在使用している利用者のみが保有しうるＩＣカード５に記憶された暗号鍵Ｘｉを適用しているので、そのＩＣカード５を盗難されない限り、第三者がファイル・サーバ３上の暗号化ファイル・データＰｉｎを復号化する（解読する）ことは不可能なため、極めて安全に所要のファイル暗号化バックアップを行うことができる。
【００４９】
なお、一般的なＨＤ１４の書込速度と、暗号処理部１７における共通鍵暗号化関数ｆの演算速度とを比較した場合、後者の方が低速であるため、以上の方法例では、ＨＤ１４へのファイル・データＤｎ及びファイル情報Ｆｎの書込みが完了しても、所定の時間に亙って、ファイル・サーバ３に対する所要のファイル暗号化バックアップが完了しないという現象が生じる。
【００５０】
このような現象は、パソコン１の継続使用中には何ら問題を生じないが、例えば、ファイルの最終的な保存を行って使用中のアプリケーションを終了し、パソコン１をシャットダウンする場合などには、ファイル暗号化バックアップの完了が見込まれる時間だけ、利用者は待機していなければならない。
【００５１】
こうした不都合を避けるため、図示の点線矢印で示すように、サーバ書込処理部１８からＨＤコントローラ１３を外的に制御して、パソコン１のＨＤ１４に転送されるファイル・データＤｎ及びファイル情報Ｆｎを、暗号処理部１７における暗号化ファイル・データＰｉｎへの暗号化処理が完了したものから、順次、ＨＤ１４に書込むようにすれば、ＨＤ１４へのファイル・データＤｎの書込みと、ファイル・サーバ３への暗号化ファイル・データＰｉｎの書込みとが、ほぼ同時に完了するようになる。
【００５２】
この結果、本方法例及び対応装置例によれば、ファイル・サーバ３に対する所要のファイル暗号化バックアップが、パソコン１に対するファイル・データＤｎの保存タイミングと並行してリアルタイムで行われるようになる。
【００５３】
（第２装置例）
続いて、図２は、本発明の第２装置例に係るファイル暗号バックアップ・システム装置の全体構成を示すブロック図である。
【００５４】
なお、本図に示される各構成要素のうち、既に図１に示したそれらと構成及び機能が同一又は同等なものについて、同一の符号を付してある。
【００５５】
同図に示すように、本装置例に係るファイル暗号化バックアップ・システム装置βは、第１装置例に係るそれと同様、パソコン１、ＬＡＮ２、ファイル・サーバ３、ＩＣカードＲ／Ｗ４、及びＩＣカード５を基本に構成される。
【００５６】
ここで、パソコン１は、ＨＤ書込処理部１２、ＨＤコントローラ１３、ＨＤ１４、書込モニタ部１５、ＩＣカード入出力部１６、及びサーバ書込処理部１８を具備して構成され、ＩＣカード５は、ＩＣカードＲ／Ｗ４を介しつつ、パソコン１との間でデータ授受を行うことが可能であり、かつ、その内部の暗号鍵記憶手段から暗号鍵Ｘｉを取得して、当該暗号鍵Ｘｉをパラメータとした共通鍵暗号化関数ｆの演算処理を順次実行する暗号処理部５１を具備している。
【００５７】
ここで、パソコン１の各構成要素のうち、第１装置例に係るシステム装置αと機能が相違するものは、本発明にいうＩＣカード入出力手段を成すＩＣカード入出力部１６であり、当該ＩＣカード入出力部１６は、書込モニタ部１５によりＨＤ書込処理部１２から読み出されるファイル・データＤｎ及びファイル情報Ｆｎを順次取得し、この取得に係る当該ファイル・データＤｎに関する暗号化の演算処理をＩＣカード５に実行させるため、ＩＣカードＲ／Ｗ４に結合した状態とされたＩＣカード５の暗号処理部５１に、書込モニタ部１５から取得されるファイル・データＤｎを転送すると共に、当該暗号処理部５１で生成される暗号化ファイル・データＰｉｎをパソコン１に取り込むよう機能する。
【００５８】
また、ＩＣカード入出力部１６は、書込モニタ部１５から取得したファイル情報Ｆｎに関しては、これをＩＣカード５には転送せず、ＩＣカード５の暗号処理部５１で生成される暗号化ファイル・データＰｉｎと併せ、カード識別子ｉと共に次段のサーバ書込処理部１８に与えるよう機能する。
【００５９】
なお、第１装置例と同様、サーバ書込処理部１８に対しては、ＩＣカード５の暗号処理部５１からＩＣカード入出力部１６を介して暗号化ファイル・データＰｉｎが与えられるごとに、当該暗号化ファイル・データＰｉｎの暗号化前における対応するファイル・データＤｎが、順次、ＨＤ書込処理部１２から読み出されてＨＤ１４に書き込まれるよう、ＨＤコントローラ１３を、図示の点線矢印で示すように外的に制御する機能を併せて具備させてもよい。
【００６０】
（第２方法例）
次に、以上のように構成された第２装置例に係るファイル暗号化バックアップ・システム装置βに適用される第２方法例の実施手順を説明する。
【００６１】
本方法例においては、まず、自己に固有のＩＤに対応する暗号鍵Ｘｉが設定されたＩＣカード５を、パソコン１とのデータ授受が可能となるようＩＣカードＲ／Ｗ４に結合しておく。
【００６２】
この状態において、アプリケーション１１からファイル・データＤｎ及びファイル情報Ｆｎの保存に関する指示がＨＤ書込処理部１２に対して発せられると、書込モニタ部１５は、その指示を検出した直後に、データ書込みのためＨＤ１４に転送されるファイル・データＤｎ及びファイル情報Ｆｎを、ＨＤ書込処理部１２のバッファ１２ａから分岐的に順次取得し、これらのうちファイル・データＤｎのみを、ＩＣカード入出力部１６及びＩＣカードＲ／Ｗ４を介してＩＣカード５に順次転送する。
【００６３】
次に、ファイル・データＤｎの転送を受けたＩＣカード５は、内部の暗号処理部５１において、そのファイル・データＤｎに関し、暗号鍵Ｘｉをパラメータとした共通鍵暗号化関数ｆの演算処理［ｆＸｉ（Ｄｎ）］を順次実行し、この結果生成される暗号化ファイル・データＰｉｎを、ＩＣカードＲ／Ｗ４を介して、パソコン１のＩＣカード入出力部１６に順次取り込み、これを次段のサーバ書込処理部１８へ順次受け渡す。
【００６４】
次に、暗号化ファイル・データＰｉｎを受け取ったサーバ書込処理部１８は、その直後に、当該暗号化ファイル・データＰｉｎを、ファイル情報Ｆｎ及びカード識別子ｉと共に、ＬＡＮ２を経由してファイル・サーバ３に順次送信する。
【００６５】
そして、ファイル・サーバ３は、ＬＡＮ２を経由して受信した暗号化ファイル・データＰｉｎ及びファイル情報Ｆｎを、同時に受信したカード識別子ｉを対象ファイルのキーとしながら、これにより特定される所定の暗号化データ記憶部３１に順次書き込む。
【００６６】
この結果、本方法例及び対応装置例によれば、前述の場合と同様、ファイル・サーバ３に対する所要のファイル暗号化バックアップが、パソコン１の利用者による特別な操作を何ら必要とせずに自動的に行われ、さらに、ＨＤ１４の書込速度と、ＩＣカード５の暗号処理部５１における共通鍵暗号化関数ｆの演算速度の差異に起因する問題に対処することで、当該ファイル暗号化バックアップが、パソコン１に対するファイル・データＤｎの保存タイミングと並行してリアルタイムで行われるようになる。
【００６７】
以上、本発明の実施の形態を、第１及び第２装置例並びにこれらに対応する第１及び第２方法例につき説明したが、本発明は、必ずしも上述の手段及び手法にのみ限定されるものではなく、本発明にいう目的を達成し、後述の効果を有する範囲内において、適宜、変更実施することが可能なものである。
【００６８】
例えば、本実施形態で例示したパソコン１及びＬＡＮ２は、それぞれ他の形態を成す任意のクライアント機及びネットワークに置き換えることが可能であり、この置換えにより、後述する発明の効果が損なわれることなどはない。
【００６９】
【発明の効果】
以上、詳細に説明したように、本発明によれば、ファイル暗号化に際し、クライアント機を現在使用している利用者のみが保有しうるＩＣカードに記憶された秘密の暗号鍵を適用したことから、そのＩＣカードを盗難されない限り、当該クライアント機の真正な利用者以外の第三者が、ファイル・サーバ上の暗号化ファイル・データを復号化してこれを解読することは事実上不可能であり、この結果、極めて安全に所要のファイル暗号化バックアップを行えるようになる。
【００７０】
また、本発明によれば、データ記憶ディスクの書込速度と、暗号処理手段における共通鍵暗号化関数の演算速度の差異に起因する問題にも対処したことから、ファイル・サーバに対する所要のファイル暗号化バックアップが、クライアント機に対するファイル・データの保存タイミングと並行しながらリアルタイムで行われるようになる。
【図面の簡単な説明】
【図１】本発明の第１装置例に係るファイル暗号化バックアップ・システム装置の全体構成を示すブロック図である。
【図２】本発明の第２装置例に係るファイル暗号化バックアップ・システム装置の全体構成を示すブロック図である。
【符号の説明】
α，β…ファイル暗号化バックアップ・システム装置
１…パソコン
１１…アプリケーション（アプリケーション・ソフトウェア）
１２…ＨＤ書込処理部（ハードディスク書込処理部）
１２ａ…バッファ
１３…ＨＤコントローラ（ハードディスク・コントローラ）
１４…ＨＤ（ハードディスク）
１５…書込モニタ部
１６…ＩＣカード入出力部
１７…暗号処理部
１８…サーバ書込処理部
２…ＬＡＮ
３…ファイル・サーバ
３１…暗号化データ記憶部
４…ＩＣカードＲ／Ｗ（ＩＣカード読取／書込装置）
５…ＩＣカード
５１…暗号処理部
Claims (12)
- 互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、自己の当該ＩＣカードをクライアント機にセット結合して個々の差別化した作業環境を立ち上げることで、当該クライアント機の共同利用を可能とするのを前提に、
当該クライアント機のアプリケーション・ソフトウェア上でのファイルの更新処理に伴うファイル・データを、その保存と同時並行して、前記ＩＣカードにおいてこれに固有の前記カード識別子に対応するように予め設定記憶された暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を通し、暗号化し、
生成された当該暗号化ファイル・データを、前記ＩＣカードから事前に取得した前記カード識別子と共に、逐次ネットワークを介してファイル・サーバに送信し、
当該ファイル・サーバが、受信した前記暗号化ファイル・データを、前記カード識別子ごとに対応して設定された複数の暗号化データ記憶手段のうちの、受信した前記カード識別子と対応するものに振り分けて書き込む、
ことを特徴とするファイル暗号化バックアップ方法。 - 前記暗号化は、
前記クライアント機又はＩＣカードのいずれかで行う、
ことを特徴とする請求項１に記載のファイル暗号化バックアップ方法。 - 前記保存との同時並行は、
前記ネットワーク送信とのタイミング同期をとって保存実行する、
ことを特徴とする請求項１又は２に記載のファイル暗号化バックアップ方法。 - 前記ファイル・データの暗号化は、
前記アプリケーション・ソフトウェアからの当該ファイル・データの保存に関する指示の検出を契機として分岐並行処理する、
ことを特徴とする請求項１、２又は３に記載のファイル暗号化バックアップ方法。 - 互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ方法であって、
ＩＣカード読取装置を介しつつ前記クライアント機に対しデータ供与を行うことの可能な前記ＩＣカードごとに、それぞれに固有の前記カード識別子に対応する暗号鍵を設定記憶する一方、前記クライアント機に、当該暗号鍵をパラメータとして暗号化の演算処理を実行するための共通鍵暗号化関数を定義し、
前記ＩＣカードを、前記クライアント機へのデータ供与が可能となるよう前記ＩＣカード読取装置に結合して、当該ＩＣカードに固有の前記カード識別子及び前記暗号鍵を前記クライアント機に事前に取り込み、
前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのに伴い、前記クライアント機のデータ記憶ディスクに転送される当該ファイル・データを分岐的に順次取得し、
この取得された当該ファイル・データに関し、前記ＩＣカードから取り込まれた前記暗号鍵をパラメータとした前記共通鍵暗号化関数の演算処理を順次実行し、
この演算処理により生成される暗号化ファイル・データを、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して、前記ファイル・サーバに順次受信させ、
さらに、受信された前記暗号化ファイル・データを、前記ファイル・サーバにおいて前記カード識別子ごとに対応するように設定された複数の暗号化データ記憶手段のうちの、受信された前記カード識別子と対応するものに振り分けて書き込む、
ことを特徴とするファイル暗号化バックアップ方法。 - 互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ方法であって、
ＩＣカード読取／書込装置を介しつつ前記クライアント機との間でデータ授受を行うことの可能な前記ＩＣカードごとに、それぞれに固有の前記カード識別子に対応する暗号鍵を設定記憶すると共に、当該暗号鍵をパラメータとして暗号化の演算処理を実行するための共通鍵暗号化関数を定義し、
前記ＩＣカードを、前記クライアント機とのデータ授受が可能となるよう前記ＩＣカード読取／書込装置に結合し、
前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのに伴い、前記クライアント機のデータ記憶ディスクに転送される当該ファイル・データを分岐的に順次取得し、
この取得された当該ファイル・データを前記ＩＣカードに転送し、さらにその転送された当該ファイル・データに関して、当該ＩＣカードに存在する前記暗号鍵をパラメータとした前記共通鍵暗号化関数の演算処理を順次実行し、
この演算処理により生成される暗号化ファイル・データを前記クライアント機に取り込み、さらにその取り込まれた当該暗号化ファイル・データを、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して、前記ファイル・サーバに順次受信させ、
さらに、受信された前記暗号化ファイル・データを、前記ファイル・サーバにおいて前記カード識別子ごとに対応するように設定された複数の暗号化データ記憶手段のうちの、受信された前記カード識別子と対応するものに振り分けて書き込む、
ことを特徴とするファイル暗号化バックアップ方法。 - 前記クライアント機の前記データ記憶ディスクに転送される前記ファイル・データは、
前記暗号化ファイル・データへの暗号化処理が完了したものから、順次、前記データ記憶ディスクに書き込む、
ことを特徴とする請求項５又は６に記載のファイル暗号化バックアップ方法。 - 互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ・システム装置であって、
当該装置は、
前記ファイル・サーバ及び前記クライアント機に加え、ＩＣカード読取装置を介しつつ前記クライアント機に対しデータ供与を行うことの可能な前記複数のＩＣカードを有してシステム構成され、
当該ＩＣカードは、
これに固有の前記カード識別子に対応して設定された暗号鍵を記憶する暗号鍵記憶手段を有し、
前記ファイル・サーバは、
前記ＩＣカードから前記クライアント機を介して取得した前記カード識別子を参照することにより、暗号化済みファイルを対応する利用者ごとに振り分けてバックアップするために、前記カード識別子ごとに対応して設定された複数の暗号化データ記憶手段を有し、
前記クライアント機は、
前記ファイルの更新処理に伴って前記アプリケーション・ソフトウェアで生成されるファイル・データを記憶するデータ記憶ディスクと、
当該ファイル・データの当該データ記憶ディスクへの書込みに先立って一時的に蓄積するディスク書込処理手段と、
当該ディスク書込処理手段に蓄積された前記ファイル・データの前記データ記憶ディスクへの書込みを制御するデータ書込制御手段と、
前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、前記ディスク書込処理手段に蓄積されている前記ファイル・データを分岐的に読み出す書込モニタ手段と、
前記ＩＣカード読取装置に結合した状態とされた前記ＩＣカードの前記暗号鍵記憶手段から、当該ＩＣカードに固有の前記暗号鍵を読み出して前記クライアント機に取り込むＩＣカード入出力手段と、
前記書込モニタ手段により前記ディスク書込処理手段から分岐的に読み出される前記ファイル・データを順次取得し、この取得に係る当該ファイル・データに関し、前記ＩＣカード入力手段を通じて取り込まれた前記暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を順次実行する暗号処理手段と、
当該暗号処理手段により生成される暗号化ファイル・データを、前記ファイル・サーバにおいて対応する前記暗号化データ記憶手段への振分書込保存のため、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して前記ファイル・サーバに順次送信するサーバ書込処理手段とを有する、
ことを特徴とするファイル暗号化バックアップ・システム装置。 - 前記サーバ書込処理手段は、
前記暗号処理手段から前記暗号化ファイル・データが与えられるごとに、当該暗号化ファイル・データの暗号化前における対応する前記ファイル・データが、順次、前記ディスク書込処理手段から読み出されて前記データ記憶ディスクに書き込まれるよう、前記データ書込制御手段を外的に制御する機能を併せて具備する、
ことを特徴とする請求項８に記載のファイル暗号化バックアップ・システム装置。 - 互いに異なるカード識別子が設定記憶された複数のＩＣカードをそれぞれ排他的に保有する複数の利用者が、個々の差別化した作業環境を立ち上げることで共同利用可能となるクライアント機に導入されたアプリケーション・ソフトウェア上で更新されるファイルを、その暗号化を図りつつ、ネットワーク上のファイル・サーバにバックアップするためのファイル暗号化バックアップ・システム装置であって、
当該装置は、
前記ファイル・サーバ及び前記クライアント機に加え、ＩＣカード読取／書込装置を介しつつ前記クライアント機との間でデータ授受を行うことの可能な前記複数のＩＣカードを利用自在にシステム構成され、
当該ＩＣカードは、
これに固有の前記カード識別子に対応して設定された暗号鍵を記憶する暗号鍵記憶手段と、
当該暗号鍵記憶手段から当該暗号鍵を取得し、当該暗号鍵をパラメータとした共通鍵暗号化関数の演算処理を順次実行する暗号処理手段とを有し、
前記ファイル・サーバは、
前記ＩＣカードから前記クライアント機を介して取得した前記カード識別子を参照することにより、暗号化済みファイルを対応する利用者ごとに振り分けてバックアップするために、前記カード識別子ごとに対応して設定された複数の暗号化データ記憶手段を有し、
前記クライアント機は、
前記ファイルの更新処理に伴って前記アプリケーション・ソフトウェアで生成されるファイル・データを記憶するデータ記憶ディスクと、
当該ファイル・データの当該データ記憶ディスクへの書込みに先立って一時的に蓄積するディスク書込処理手段と、
当該ディスク書込処理手段に蓄積された前記ファイル・データの前記データ記憶ディスクへの書込みを制御するデータ書込制御手段と、
前記アプリケーション・ソフトウェアから、前記ファイルの更新処理に伴うファイル・データの保存に関する指示が発せられるのを定常的にモニタし、当該指示が発せられたときに、前記ディスク書込処理手段に蓄積されている前記ファイル・データを分岐的に読み出す書込モニタ手段と、
当該書込モニタ手段により前記ディスク書込処理手段から分岐的に読み出される前記ファイル・データを順次取得し、この取得に係る当該ファイル・データに関する暗号化の演算処理を前記ＩＣカードに実行させるため、前記ＩＣカード読取／書込装置に結合した状態とされた前記ＩＣカードの前記暗号処理手段に、前記書込モニタ手段から取得される前記ファイル・データを転送すると共に、当該暗号処理手段で生成される暗号化ファイル・データを前記クライアント機に取り込むＩＣカード入出力手段と、
当該ＩＣカード入出力手段に取り込まれた前記暗号化ファイル・データを、前記ファイル・サーバにおいて対応する前記暗号化データ記憶手段への振分書込保存のため、前記ＩＣカードから事前に取得した前記カード識別子と共に、前記ネットワークを経由して前記ファイル・サーバに順次送信するサーバ書込処理手段とを有する、
ことを特徴とするファイル暗号化バックアップ・システム装置。 - 前記サーバ書込処理手段は、
前記ＩＣカードの前記暗号処理手段から前記ＩＣカード入出力手段を介して前記暗号化ファイル・データが与えられるごとに、当該暗号化ファイル・データの暗号化前における対応する前記ファイル・データが、順次、前記ディスク書込処理手段から読み出されて前記データ記憶ディスクに書き込まれるよう、前記データ書込制御手段を外的に制御する機能を併せて具備する、
ことを特徴とする請求項１０に記載のファイル暗号化バックアップ・システム装置。 - 前記クライアント機は、
汎用のパーソナル・コンピュータである、
ことを特徴とする請求項８、９、１０又は１１に記載のファイル暗号化バックアップ・システム装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP20191199A JP3654795B2 (ja) | 1999-07-15 | 1999-07-15 | ファイル暗号化バックアップ方法及びシステム装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP20191199A JP3654795B2 (ja) | 1999-07-15 | 1999-07-15 | ファイル暗号化バックアップ方法及びシステム装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2001027963A JP2001027963A (ja) | 2001-01-30 |
| JP3654795B2 true JP3654795B2 (ja) | 2005-06-02 |
Family
ID=16448864
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP20191199A Expired - Lifetime JP3654795B2 (ja) | 1999-07-15 | 1999-07-15 | ファイル暗号化バックアップ方法及びシステム装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3654795B2 (ja) |
Families Citing this family (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7596703B2 (en) * | 2003-03-21 | 2009-09-29 | Hitachi, Ltd. | Hidden data backup and retrieval for a secure device |
| JP4217148B2 (ja) * | 2003-12-01 | 2009-01-28 | 日本電信電話株式会社 | 共同利用コンピュータおよび共同利用コンピュータ制御プログラム |
| JP2005165493A (ja) * | 2003-12-01 | 2005-06-23 | Nippon Telegr & Teleph Corp <Ntt> | シェアードコンピュータ、その制御プログラム、および記録媒体 |
| JP2005165494A (ja) * | 2003-12-01 | 2005-06-23 | Nippon Telegr & Teleph Corp <Ntt> | 簡易環境下共同利用コンピュータ、共同利用コンピュータ用サーバ、これらの制御プログラム、および記録媒体 |
| JP4907059B2 (ja) * | 2004-01-26 | 2012-03-28 | 大日本印刷株式会社 | コンピュータシステムおよびそのデータの自動バックアップ方法 |
| JP2005301464A (ja) * | 2004-04-08 | 2005-10-27 | Hitachi Ltd | バックアップ方法ならびにバックアップシステム |
| KR100636223B1 (ko) | 2005-02-07 | 2006-10-19 | 삼성전자주식회사 | Ｒｆｉｄ를 이용한 콘텐츠 백업 장치 및 방법 |
| JP2008537191A (ja) * | 2005-11-16 | 2008-09-11 | マークエニー・インコーポレイテッド | デジタル情報格納システム、デジタル情報保安システム、デジタル情報格納及び提供方法 |
-
1999
- 1999-07-15 JP JP20191199A patent/JP3654795B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2001027963A (ja) | 2001-01-30 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8571221B2 (en) | On-chip storage, creation, and manipulation of an encryption key | |
| US10025597B2 (en) | System and method for wiping encrypted data on a device having file-level content protection | |
| US7873168B2 (en) | Secret information management apparatus and secret information management system | |
| US6249866B1 (en) | Encrypting file system and method | |
| US8412934B2 (en) | System and method for backing up and restoring files encrypted with file-level content protection | |
| US8589680B2 (en) | System and method for synchronizing encrypted data on a device having file-level content protection | |
| JP4242819B2 (ja) | オフライン作業可能な端末を有する計算機システム | |
| US8352751B2 (en) | Encryption program operation management system and program | |
| US20110252232A1 (en) | System and method for wiping encrypted data on a device having file-level content protection | |
| US20110078462A1 (en) | Method for managing external storage devices | |
| US20060005049A1 (en) | Method and system for securing data utilizing redundant secure key storage | |
| GB2512667B (en) | Managing shared data using a virtual machine | |
| JP2006222944A (ja) | ファイルの暗号化と復号化のための複数のキーを管理するシステムと方法 | |
| WO2007056579A1 (en) | System and method for encrypting data without regard to application | |
| US20040064485A1 (en) | File management apparatus and method | |
| JP2010517448A (ja) | セキュアファイル暗号化 | |
| JP3654795B2 (ja) | ファイル暗号化バックアップ方法及びシステム装置 | |
| US20020172363A1 (en) | Data security on a mobile device | |
| CN108229190A (zh) | 透明加解密的控制方法、装置、程序、存储介质和电子设备 | |
| JP2007108833A (ja) | 複数パスワード記憶装置及びパスワード管理方法 | |
| US8332658B2 (en) | Computer system, management terminal, storage system and encryption management method | |
| JP2003110548A (ja) | 電子機器、暗号鍵掛け替え方法およびプログラム | |
| JP2005196582A (ja) | データバックアップシステムおよびデータバックアップ方法 | |
| US9002012B2 (en) | Apparatus and method for securing data in computer storage | |
| WO2012056538A1 (ja) | ブレード、管理プログラム、および管理方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20041214 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050127 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050301 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050301 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 3654795 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080311 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090311 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090311 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100311 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110311 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110311 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120311 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130311 Year of fee payment: 8 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |