JP4321780B2 - 情報通信システム - Google Patents

Description

本発明は、情報通信システムに関し、特に、コンピュータウイルスやスパイウエアー等の危険なデータの受信や暗号システムに対する攻撃に耐えうる情報通信システムに関する。

従来、コンピュータウイルスやスパイウエアーなどが計算機に侵入することを防ぐために、それらが含まれているファイルの特徴を利用して、当該コンピュータウイルス等を駆除する、いわゆるセキュリティーソフトウエアーが用いられている（非特許文献１）。また、ファイアーウォールを設けることによって、計算機をコンピュータウイルス等から保護することもある。

ところで、インターネット上の電子メール（以下、「ｅメール」と称する。）自体及びそれに添付されるデータは、ＢＡＳＥ６４変換によってテキストデータに変換されている。これらは、計算機などの情報処理装置に取り込んだだけではテキストデータのままであるため不活性である。したがって、受信したｅメールにコンピュータウイルスが含まれていても、ｅメールを受信した計算機は、不正侵入の障害は起きない。換言すると、これらをＢＡＳＥ６４逆変換すると当該データは活性化するので、計算機への不正侵入の障害が起きる可能性がある。

一方、ウェブコンテンツ等のデータは、ＢＡＳＥ６４変換されていない。したがって、計算機は、コンピュータウイルスを含むウェブコンテンツ等のデータを受信すると、ウイルス感染してしまう。

http//www.symantech.com/index.htm

しかし、従来の技術では、セキュリティーソフトウエアーは、その販売後に作成されたウイルス、スパイウエアー等に対応するものではないため、当該コンピュータウイルス等を駆除することができない。したがって、このようなコンピュータウイルス等を駆除しようとする場合には、これらを除去できるセキュリティーソフトウエアーを新たに個別に開発しなければならなかった。しかも、一般的には、新たなセキュリティーソフトウエアーを個別に開発するためには、開発コストなどとの兼ね合いから、そのコンピュータウイルス等が、大量に被害をもたらす可能性がなければならない。
また、通常、計算機は、暗号文が送信されてきても、復号しなければ一切の情報を得ることができない。同様に、ファイアーウォールも、暗号文から不正なアクセスを検出、遮断することができない。このため、データの暗号復号システムが、ネットワークに対して、ファイアーウォールの外側に設置されている。

しかし、これでは、ファイアーウォールによって暗号復号システムを護ることが出来ないので、暗号復号システムは、ネットワーク側からの攻撃と、暗号復号時にデータ自体による破壊的行動とに、それ自身で耐えなければならない。しかし、ネットワーク側からの攻撃に耐えられると言うことは考えにくく、したがって、暗号復号システムから復号後の平文または復号鍵が流出する可能性がある。

そこで、本発明は、セキュリティーソフトウエアーまたはファイアーウォールを用いることなく、不正なデータの受信に耐えうる情報通信システムを実現することを課題とする。

上記課題を解決するために、本発明の情報通信システムは、
外部ネットワークから送信されてくるデータを通過させる一方で、情報通信システム本体側からのデータを当該外部ネットワークに対して通過させない一方通行チャネルと、
前記一方通行チャネルを通過したデータのスクランブル／暗号化処理を行う処理手段と、
前記処理手段によって処理されたデータを複数の入出力ポートを持ち、少なくとも１つは読み出し専用ポートで、少なくとも１つは読み／書きポートである記憶装置に読み書きポートを通じて記憶する第１情報処理装置と、
前記記憶装置に記憶されたデータを読み出し専用ポートを通じて読み出して復号する第２情報処理装置とを備える。

換言すると、本発明の情報通信システムは、外部ネットワークのから不活性化されたデータのみが進入でき、且つ、またはデータの侵入のみ許可して不活性化するスクランブルまたは暗号化機能を後端に備えた一方通行チャネルと、
前記チャネルを通して不活性化されたデータを受信して、不活性化されたままで複数 の入出力ポートを持つ外部記憶装置に書き込む第１データ処理装置と、
複数の入出力ポートを持ち、少なくとも一つは読み出し専用ポートである前記外部記憶装置と、
前記外部記憶装置に書き込まれた不活性化されている外部ネットワーク由来のデータを前記読み出し専用ポートから読み出し、ネットワーク接続を持たない第２データ処理装置とを持ち、第２データ処理装置は不活性化された外部ネットワーク由来のデータを活性化して実行あるいは開き、あるいは所定の方法で処理して結果を得るシステムである。

なお、前記外部ネットワークと前記一方通行チャネルとの間に接続されている第３情報処理装置を備えてもよい。

また、前記暗号データの送信元から予め取得された所定の合い言葉が格納されているリストと、
前記第２情報処理手段で復号されたデータに合い言葉が含まれていることを条件に当該合い言葉と当該合い言葉が含まれるデータの識別子とを第１情報処理装置に伝える伝達手段と、
前記伝達手段によって伝えられた合い言葉と前記合い言葉リストとを照合してこれらが一致しなければ当該合い言葉とともに伝えられた識別子に対応するデータを消去する手段とを備えてもよい。

本発明において、第３情報処理装置によって外部ネットワークからｅメールやウェブサイトのコンテンツが受信され、接続された一方通行チャネルを通して第１情報処理装置へデータを送る。一方通行チャネルは
１．第１情報処理装置から第３情報処理装置へ一切のデータを伝えない。
２．ＢＡＳＥ６４形式のデータを通過させ、スクランブルまたは暗号化することも出来る。
３．その他の形式のデータを通す時はスクランブルまたは暗号化する。

とするので、第１情報処理装置が外部ネットワーク由来のデータを一方通行チャネルを通して受け取った時、それらは全て第１情報処理装置にとって不活性になっているから安全に取り扱うことが出来る。

第１情報処理装置がアンスクランブル鍵または復号鍵を知る事、あるいは第３情報処理装置が前もってスクランブルまたは暗号化を打ち消すような“逆スクランブル”または“逆暗号化”加工を行うのを避けるためにスクランブル鍵または暗号化鍵はスクランブルまたは暗号化装置内に封じ込めておくのが良い。

第１情報処理装置は一方通行チャネルから不活性の形になっている外部ネットワーク由来のデータを取り込み、複数の入出力ポートを持つ外部記憶装置に読み出し／書き込みポートから書き込み、保存する。

第１情報処理装置はアンスクランブルまたは復号鍵を知る事が出来なければ、そしてＢＡＳＥ６４形式のデータもスクランブルまたは暗号化してあれば、誤操作によって不活性なデータを活性化する恐れもないので不正侵入を受けずに、複数の入出力ポートを持つ外部記憶装置にデータを書き込んだり削除したりすることが出来る。

複数の入出力ポートを持つ外部記憶装置はハードディスクのようにデータの書き込み／読み出しが可能な記憶装置であり、且つ入出力ポートを２つ以上持っていて、各々が独立に動作し、少なくとも１つは書き込み／読み出しポートで、第１情報処理装置に接続して不活性化された外部ネットワーク由来のデータを書き込まれたり削除されたりし、少なくとも１つは読み出し専用ポートで、第２情報処理装置に接続して書き込まれている不活性化された外部ネットワーク由来のデータを読み出させる。

第２情報処理装置は不活性化された情報の活性化手段を持つ。第２情報処理装置は複数の入出力ポートを持つ外部記憶装置の読み出し専用ポートから、不活性化された外部ネットワーク由来のデータを読み出して復元し、これらのデータを解釈して所定の動作を行う。

これらが悪意のデータであれば、第２の情報処理装置は攻撃されて正しく動作しなくなるが、しかし複数の入出力ポートを持つ外部記憶装置や第１情報処理装置及び一方通行チャネルに対しては隔離されているので、その影響は第２の情報処理装置のメモリーから外へ出ることは不可能であり、動作させてその振る舞いを観察しても他に影響を及ぼすことは不可能である。

スパイウエアーの場合、第２情報処理装置の情報は獲得できるが、外へ送信する方法がないし、踏み台攻撃をするウイルスであっても、外部ネットワーク上の計算機にアクセスする方法がないからである。

そして第２情報処理装置を再起動すると、不正なコードを実行した後であっても何の痕跡も残ることがない。この様にして、第２情報処理装置で不正なコードを実行し、その振る舞いを観察しても、全く安全である。

以下、本発明を実施するための形態について、図面を参照して説明する。

図１は、本発明の実施形態の情報通信システム１００及びその周辺装置などを含む模式的な構成を示すブロック図である。

図１に示す第３情報処理装置１０は、アナログ電話、ＩＳＤＮ電話、ＤＳＬ、ＣＡＴＶ、光ファイバ、ether-Net、10BASE-T、100BASE-T、赤外線、無線などの回線を通じてインターネットなど外部ネットワーク２００と、一方通行チャネル２０の入り口との双方に接続されている。第３情報処理装置１０は、主として、外部ネットワーク２００に接続される他の情報処理装置（図示せず）からデータを受信するものである。ただし、送信用装置６０から出力されたデータを、外部ネットワーク２００を通じて他の情報処理装置へ送信することもできる。

一方通行チャネル２０は、第３情報処理装置１０から外部ネットワーク２００由来の情報を受け入れて第１情報処理装置３０に送り込む、一方、第１情報処理装置３０側のデータを第３情報処理装置１０に出力されないようにするものである。

換言すると、一方通行チャネル２０は、外部ネットワーク２００側からのデータを通すが、第１情報処理装置３０側からのデータを通さないものである。一方通行チャネル２０として、ＬＡＮにおけるタッピングデバイス、または双方向通信機能を持たない（ＵＳＢ方式の）プリンターバッファーなどを用いることができる。

また、一方通行チャネル２０は、文字データのみ、またはＢＡＳＥ６４形式のデータのみ一方通行させるなどといった、所定の種類のデータのみ限定して通過させられるものとしてもよい。

一方通行チャネル２０は、一方通行性、所定種類のデータの限定的通過性、後述するスクランブルまたは暗号化機能を、維持する必要がある。このため、ハッカーによって、乗っ取られることがないように、電子回路自身の性質や書き換えに特別な物理的操作を要するファームウエアー等で作成されているとよい。

本実施形態の情報通信システム１００は、一方通行チャネル２０を備えているので、第１情報処理装置３０側のシステム情報あるいは、これに接続され得るイントラネットの情報が、外部ネットワーク２００を通じて漏洩することを防止している。

一方通行チャネル２０出口には、データのスクランブルまたは暗号化装置２２を付加する。暗号化装置等２２は、一方通行チャネル２０に内蔵されていてもよいし、外付けされていてもよい。スクランブルまたは暗号化方式はアンスクランブルまたは復号可能な方式を採る。外部ネットワーク２００由来のデータは、スクランブルまたは暗号化装置２２によって不規則に改変され、不活性状態となる。

ここで、暗号化装置等２２で用いられる暗号鍵等は、一方通行チャネル２０の存在により第３情報処理装置１０に流出しない。暗号鍵等は、スクランブルまたは暗号化装置２２内部で保持し、第３情報処理装置１０、第１情報処理装置３０には知らせないようにしている。これは、第１情報処理装置３０でデータをアンスクランブルまたは復号しないことが安全上重要であるためである。

なお、データがＢＡＳＥ６４形式であれば不活性であるので、必ずしもスクランブルまたは暗号化しなくてもよい。

第１情報処理装置３０は、一方通行チャネル２０出口から送り出される外部ネットワーク２００由来のデータを、外部記憶装置４０に読み／書きポート４２から書き込む。また、外部ネットワーク由来のデータは、第１情報処理装置３０を攻撃するようなデータとなること現実的は不可能である。よって、第１情報処理装置３０は、通常のコンピューターを用いる事が出来る。

第１情報処理装置３０がコンピュータウイルス等に攻撃されることがないし、第１情報処理装置３０が暗号を復号することがないので、外部記憶装置４０は、保存対象のデータにコンピュータウイルス等が含まれていても、コンピュータウイルスによって攻撃されることもない。

なお、ＢＡＳＥ６４形式のデータは一語６ビット以下なので、通常のＣＰＵの命令セットを構成し得ない。したがって、第１情報処理装置３０内部で動作するコードを作ることは不可能である。このため、一方通行チャネル２０をＢＡＳＥ６４形式のデータのみ通過させるチャネルとすれば、スクランブルまたは暗号化・アンスクランブルまたは復号の仕組みは省いても良い。

第１情報処理装置３０には、外部記憶装置４０が接続される。外部記憶装置４０は、ハードディスクのようにデータの書き込み／読み出しが可能な記憶装置である。ただし、本実施形態に係る外部記憶装置４０は、入出力ポートを２つ以上持っていてことが必須である。これらの入出力ポートは、各々が独立に動作する。そのうち、少なくとも１つは、読み／書きポート４２で、残りの少なくとも一つは、読み出し専用ポート４４である。

第１情報処理装置３０には、読み／書きポート４２が接続される。外部記憶装置４０は、不活性化された外部ネットワーク２００由来のデータが書き込まれたり削除されたりする。

読み出し専用ポート４４は、第２情報処理装置５０に接続される。第２情報処理装置５０は、外部記憶装置４０に書き込まれている不活性化された外部ネットワーク２００由来のデータを読み出すことができる。

このポートの読み出し専用の性質は、ハッカーが乗っ取れない方法で保証されているべきであり、「電子回路や書き換えに特別な物理的操作を要するファームウエアー等を搭載することで読み出し専用の性質を実現している２ポート制御装置」を介したハードディスク、メカニカルに独立したヘッドを持つハードディスク等が適している。ハードディスクの代わりにＤＶＤ−ＲＡＭ、ホログラムメモリー、フラッシュメモリー、シリコンディスク等の読み書き可能なその他の記憶媒体を用いても良い。

なお、図１に示す情報通信システム１００は、第２情報処理装置５０によって書き込むことが可能な外部記憶装置を持たない点に留意されたい。

また、第１情報処理装置３０には、選択的に、送信用装置６０が接続される。送信用装置６０は、外部記憶装置４０と同様のハードウエア構成の外部記憶装置６６を備える。送信用装置６０は、図示するように、読み／書きポート６２が第１情報処理装置３０に接続され、読み出し専用ポート６４が第３情報処理装置１０に接続される。送信用装置６０を備えると、外部記憶装置４０に記憶されているデータを、第１情報処理装置３０で読み出し、送信装置および第３情報処理装置１０を通じて、外部ネットワーク２００へ送信することができる。

第２情報処理装置５０は、読み出し専用ポート４４を通じて外部記憶装置４０に接続されている。第２情報処理装置５０は、不活性化された情報の活性化手段を持つ。第２情報処理装置５０は、外部記憶装置４０の読み出し専用ポート４４から、不活性化された外部ネットワーク２００由来のデータを読み出すことができる。しかし第２情報処理装置５０は、外部記憶装置４０に記憶されているデータを、変えることは出来ない。したがって、たとえば、第２情報処理装置５０が、この外部記憶装置内のデータを改竄しあるいは活性化してから、第１情報処理装置３０に読ませて不正な動作を行わせようとすることは出来ない。なお、第２情報処理装置５０は、外部ネットワーク２００に直接接続されていない。

第２情報処理装置５０は、既述のように、書き込み可能な外部記憶装置を備えない様態で使用する。第２情報処理装置５０には、外部記憶装置４０の読み出し専用ポート４４やＣＤ−ＲＯＭなど読み出し専用装置が接続される。第２情報処理装置５０の起動は、当該専用装置等から行い、使用するソフトもここから読み出すこととしている。

第２情報処理装置５０は、このデータがＢＡＳＥ６４ 変換されたデータであれば、ＢＡＳＥ６４逆変換する。さらに、読み出したデータがスクランブルまたは暗号化装置２２でスクランブルまたは暗号化されている場合には、第２情報処理装置５０によって、アンスクランブルまたは復号される。

この際、当該データにウイルスが含まれていれば、第２情報処理装置５０で実行されるソフトウエアーは何らかの改変がなされる場合があるし、第２情報処理装置５０がのっとりされる場合もある。また、この段階でのっとりされていなくても、情報通信システム１００のユーザが「ファイルを開く」などの指示を入力し、第２情報処理装置５０がこれに従って当該処理を実行することで、のっとり等されることがある。

しかし、第２情報処理装置５０は、読み出し専用ポート４４を通じて外部記憶装置４０に接続されている。また、第２情報処理装置５０は、外部記憶装置４０、第１情報処理装置３０及び一方通行チャネル２０に対して遮断されている。したがって、第２情報処理装置５０が正しく動作しなくなっても、悪意のデータが外部記憶装置４０等へ出ることは不可能である。結局、第２情報処理装置５０は、悪意のデータを読み出しても、その影響は第２情報処理装置５０内部メモリーの破壊に留まり、外部記憶装置４０に悪影響が及ぶことがない。

外部ネットワーク２００由来のデータが不正であることが判明すれば、この旨を後述する一方通行合い言葉フィルター７０を通じて第１情報処理装置３０に報知し、第１情報処理装置３０によって不正データを削除し、かつ、第２情報処理装置５０のオペレーティングシステムを再起動することで、乗っ取りや第２情報処理装置５０自体のソフトウエアーの改変から復旧すればよい。

特別に安全を期するなら、外部ネットワーク２００由来のデータは、いわゆる“時限爆弾”式のコンピュータウイルスである可能性もあるため、情報通信処理システムのユーザによって一通りの安全が確認されても、繰り返して閲覧するときも、常に第２情報処理装置５０を用いると良い。

外部ネットワーク２００由来のデータがスパイウエアーである場合、第２情報処理装置５０が感染する。しかし、第２情報処理装置５０から外部記憶装置４０へアクセスすることはできないため、外部記憶装置４０に記憶されている情報が、外部へ発信されることはない。更に、このようなスパイウエアーを書き込む記憶装置が第２情報処理装置５０には備えられていないので、当該スパイウエアーは、第２情報処理装置５０の電源断、第２情報処理装置５０で使用されているオペレーティングシステムの再起動で消滅する。

外部ネットワーク２００由来のデータがウイルスである場合、第２情報処理装置５０を攻撃するが、第２情報処理装置５０はネットワーク接続されていないので、第２情報処理装置５０が、情報通信システム１００外部に対して悪影響を及ぼすことはない。

したがって、たとえば、以下のような典型的効果が得られる。すなわち、外部ネットワーク２００由来のデータが暗号文の場合、通常、第２情報処理装置５０において、活性化を行い、かつ、その後に復号を行う。前記データが悪意であった場合には、第２情報処理装置５０において、復号が出来ない場合がある。しかも、当該データが復号ソフトを攻撃し、例えば復号鍵の奪取を試みる場合もある。ところが、当該データは、たとえ復号鍵を奪取できたとしても、この復号鍵を、第２情報処理装置５０の外部へ持ち出すことができない。

このように、本発明によると、情報通信システム１００のユーザが、外部ネットワーク２００由来のいかなるデータを閲覧等しようとも、情報通信システム１００内外に、悪影響を及ぼすことがない。換言すると、第２情報処理装置５０では暗号の復号が安全に出来る。

また、予めデータ送信者とデータ受信者との間で、衝突を無視できる合い言葉を取り決めておけば、この情報通信システム１００へのデータ送信者が、“合い言葉”を含ませたデータを暗号して送信すると、そのデータ受信者である情報通信システム１００のユーザは、“合い言葉”の適否を確認することで、データ送信者を認証することが出来る。

即ち、第２情報処理装置５０によって復元された “合い言葉”を、ディスプレイ（図示しない）に表示したり、プリンター（図示しない）によって印字したり、スピーカ（図示しない）から出力すると、ユーザが目視等によって、その合い言葉の適否を確認することができる。

合い言葉が正しいということは、暗号文の送信者が正当であり、なおかつデータ送信者とデータ受信者との経路が正常であるということを意味する。

第２情報処理装置５０には出力経路を設けないのが原則であるが、“合い言葉”と当該合い言葉が含まれるファイルの識別子（ファイル名など）とを第１情報処理装置３０に伝える手段を備えてもよい。この場合、さらに、取り決め済みの合い言葉リストと、伝えられた合い言葉と合い言葉リストとを照合してこれらが一致しなければそのファイル名のファイルを外部記憶装置４０から消去する手段とを備えていれば、外部記憶装置４０に記憶された不正な合い言葉が含まれているデータを削除することができる。

つまり、“合い言葉”が一致しなければ当該データを外部記憶装置４０から削除する。“合い言葉”が一致した場合は当該データをアンスクランブルまたは復号しても安全であり、第１情報処理装置３０が何らかの方法でアンスクランブルまたは復号鍵を入手すればこのデータを第１情報処理装置３０で利用することも出来る。

“合い言葉”フィルターは、例えば文字データのみを通過させる一方通行のプリンターバッファーを充当することが出来る。“合い言葉”フィルターは、“合い言葉”と当該合い言葉が含まれるファイルの識別子とが、数字だけで構成されている場合には、数字だけを通過させる。

この“合い言葉”フィルターは、その一方通行の性質と文字等を通過させる性質を、ハッカーが乗っ取れない方法で保証されているべきであり、電子回路自身の性質や書き換えに特別な物理的操作を要するファームウエアー等を用いるのが適している。

第１情報処理装置３０などに、一方通行合い言葉フィルター７０からの信号が不正な暗号データの処理を伝えてきた時に、第２情報処理装置５０で動作しているオペレーティングシステムを再起動する手段を持つと、暗号通信文の連続自動復号が可能になる。受信された外部ネットワーク２００由来のデータを到着順に復元・復号処理するソフトウエアーが、乗っ取られたまま動作するのを避けることができるからである。

本発明は、主として、通信業に利用することが可能である。

本発明の実施形態の情報通信システム１００及びその周辺装置などを含む模式的な構成を示すブロック図である。

符号の説明

１０ 第３情報処理装置
２０ 一方通行チャネル
２２ 暗号化装置
３０ 第１情報処理装置
４０ 外部記憶装置
４２ 読み／書きポート
４４ 読み出し専用ポート
５０ 第２情報処理装置
６０ 送信用装置
７０ 一方通行合い言葉フィルター

Claims (2)

1. 外部ネットワークから送信されてくるデータを通過させる一方で、情報通信システム本体側からのデータを当該外部ネットワークに対して通過させない一方通行チャネルと、
   前記一方通行チャネルを通過したデータのスクランブル／暗号化処理を行う処理手段と、
   前記処理手段によって処理されたデータを、複数の入出力ポートを持ち、少なくとも１つは読み出し専用ポートで、少なくとも１つは読み／書きポートである記憶装置に読み書きポートを通じて記憶する第１情報処理装置と、
   前記記憶装置に記憶されたデータを読み出し専用ポートを通じて読み出して復号する第２情報処理装置と、
   を備える、情報通信システム。
2. 前記外部ネットワークと前記一方通行チャネルとの間に接続されている第３情報処理装置を備えることを特徴とする、請求項１記載の情報通信システム。

Images