JP4392241B2 - 付属記憶装置を採用したコンピュータ・システム内の安全保護を促進するための方法ならびにシステム - Google Patents

Description

（発明の背景）
本発明は一般的にコンピュータ・システムの安全保護方法およびシステムに関する。本発明は更に詳細にコンピュータ・システム内の情報の安全性を確保するための方法並びに装置に関し、此処でこのコンピュータ・システムはネットワーク環境に接続されている場合もある。

（従来技術の説明）
インターネットの出現および広範囲におよび展開に伴い、従来型コンピュータ・システムでは不完全であることが分かってきた。インターネットの欠点はこれが従来型コンピュータ・システムの周囲防衛システムに対して多くの侵入方法を許すことである。例えば、有害なウィルス・プログラムをファイアウォールを通してコンピュータ・システムの中に注入することが可能である。これはデータおよびコンピュータ・プログラム、従ってそれから派生する機能、例えばディジタル式権利管理などを危うくする可能性がある。

このコンピュータ・システム周囲防衛の欠陥は、ローカル・コンピュータ・システム内に安全保護防衛システムを設置する必要性を創り出している。その様な局所化されたコンピュータ・システム安全保護の従来例にはウィルス検出ソフトウェアがある。しかしながらウィルス検出ソフトウェアは、これらに限定する訳ではないが、「スプーフィング（spoofing）」または「ラッピング（Wrapping）」戦略を含む多くの搾取行為に対して影響を受けやすい。その結果、ウィルス検出ソフトウェアはそれが適正に動作していない時に、動作していることが明らかになるように作られる。

おそらく従来型コンピュータ安全保護システムの最大の基本的な問題は、それらの動作がそのオペレーティング・システム環境において共通であることである。更に、多くのコンピュータ・システム用のオペレーティング・システム環境もまた、インターネット環境、例えばまたは他のネットワーク通信媒体において共通である。環境が共通であるために、コンピュータ・システムに対する多くの攻撃手段が、単にコンピュータ・コードをインターネットからコンピュータ・オペレーティング・システムに移すだけで可能となる。

コンピュータ保護の従来の方法には、そのコンピュータ・システムのＢＩＯＳに組み込まれた特定目的安全保護ハードウェアまたはファームウェアを含むものもある。これらの方法はコンピュータ・システムの動作に対して内部的には第２防御線を構築することが出来るが、外部的には複雑で誤動作を引き起こしかねないオペレーティング・システム環境となる。しかしながら、これらの方法は、コンピュータ・システムに対して大容量データおよびコードの格納を提供する付属記憶装置内の、書き込み不能ファームウェアで実現できるはずの、より良好な防衛戦を認識出来ない場合がある。

その他の従来型コンピュータ安全保護システムは、ＳＣＳＩバスに接続された安全保護装置を含むものも有り、これはそのバス上の記憶装置を保護する。この型式の安全保護システムは、その記憶装置がオペレーティング・システムに共通な環境で動作していないので、より安全であると認識している。しかしながらこのシステムのＳＣＳＩバスはその記憶装置を含むバス上の全ての装置をアクセス可能なように公開しているため、内部的に秘密なオペレーティング・システム環境を必要とする。付属記憶ファームウェアおよびデータ記憶装置内に安全保護手段を取り込むことは、この技術に対する改善となろう。この同じ解決策はまたＳＣＳＩ環境およびＡＴＡ記憶装置環境のようなその他の環境にも適用されるであろう。

更に他のコンピュータ安全保護システムは、共有の秘密鍵に基づく制御装置レベルで記憶装置を保護することの利点を認めている。共有秘密鍵は公開秘密鍵暗号化の安全保護および隠匿要素に較べて提供する安全保護性能が弱いことが知られているが、それは認証鍵が共有されていて、単独の装置に固有では無いからである。この型式のシステムはまた、コンピュータ・オペレーティング・システムのファイル管理システムの修正変更をも対象としており、従って先にＳＣＳＩ安全保護に関して述べたオペレーティング・システムに依存するものと同じ問題を有する。改善されたコンピュータ安全保護システムとは、安全保護の分離可能な制御を特別な安全保護インタフェースを通して付属記憶装置に対して維持しながら、オペレーティング・システム・ファイル管理はそのまま無傷で存続させるものである。

別の型式のコンピュータ安全保護システムでは、安全保護境界線は内蔵ソフトウェアで構成され、これは外部アクセス用に簡単な記憶装置インタフェースのみをエクスポートし、各々の命令の完全性をその命令が処理される前に検証している。それと対照的に、ほとんどのファイル・サーバおよびクライアント・マシンは多数のサービスを実行するので攻撃されやすい。この自己安全保護記憶装置は単機能装置であるので、その安全保護を行う仕事はより容易に行える。しかしながら、このシステムの目的は従前の安全保護記憶装置機構に依存する、既知の良好な状態への自動復元を提供することである。この型式のシステムはまた、オペレーティング・システムの修正変更を必要とする。これは複雑さ、従って脆弱性を増すことになり、オペレーティング・システムに近づくことで例えばトロイの木馬をシステム内に導入する機会を許すことになる。更に、この型式のシステムは隠蔽された安全保護公開秘密鍵動作を隠蔽し安全保護を行うための記憶装置を用いて提供される改善された安全保護を認識しない。

ＡＴＡホスト保護領域安全保護プロトコル（Host Protected Area security protocol）によりコンピュータ・システムに提供される安全保護は、コンピュータ・システムのブート段階中の記憶装置立ち上げに関連して用いられる方法で提供される。この方法では、記憶装置はオペレーティング・システムで実際に使用可能な記憶装置より少ない記憶領域を有するかのように、オペレーティング・システムに対して宣言される得る。特別ＢＩＯＳファームウェアまたはその他の特別コードが、記憶領域の非宣言部分に排他的にアクセスできる。更なる安全保護対策として、ＡＴＡホスト保護領域はこの記憶領域の追加部分に対してパスコード（Passcode）を用いたアクセスを要求することができる。ＡＴＡホスト保護領域は、元々は強化オペレーティング・システムの形式での安全保護保証およびアプリケーション・クラッシュ復元効率を提供するように設計された。既知の良好なシステム・バージョンまたはアプリケーション・ソフトウェアをオペレーティング・システムのアドレス指定可能範囲外の場所にキャッシュすることが可能である。実際には、これは主装置ファームウェア内またはオペレーティング・システム環境内のいずれかで動作しているコンピュータ・プログラムが記憶装置の或る部分にアクセスすることを制限する。

ＡＴＡホスト保護領域プロトコルに係わる１つの問題は、これでも未だ重要な情報を含む記憶装置との通信に割り込むことが可能なことである。記憶装置の隠しＡＴＡホスト保護領域パーティションを暴露することが、例えば同一ディスク・ドライブをホスト保護領域を予約していない別のコンピュータ内に設置することにより可能である。パスコードが使用される場合は、これは電源を切ってから入れるまでの間は保持されない。実際の所、ＡＴＡホスト保護領域はローカルなバックアップ・コードやデータをウィルス様の感染から保護するのには満足できる場所であるが、データを隠す意味では最適な場所ではない。更に、ＡＴＡホスト保護領域で要求される唯一の認証は、「早い者勝ち、勝者総取り」方式の装置認証である。安全データ記憶装置の部分に適用される公開秘密鍵技術は、この種の安全保護に改善をもたらすであろう。

従って、当業分野で先に述べた欠点を解決するコンピュータ安全保護方法およびシステムが必要とされている。認証されていないアクセスおよびコンピュータ・プログラムおよびデータの使用への対抗を提供する方法およびシステム提案が、記憶装置環境内で必要とされている。コンピュータ・システム内のファイル・システムまたはオペレーティング・システムが、管理され暗号で守られた条件以外では読み書き動作出来ないデータを、記憶装置の一部に格納することを可能とする方法およびシステムが必要とされている。その様な管理された条件は、コンピュータ・システムのオペレーティング・システムに対して外部から実行される、安全保護されたデータ・セットの装置認証および使用者認証を含むべきである。データのアクセス、格納および読み出しに対する制御を具備したファームウェアおよび記憶装置を提供する方法およびシステムもまた必要とされている。これらの制御はコンピュータ・システムで利用可能ないずれのプロセスからも書き込みが可能ではなく、付属記憶装置内に限定されるべきである。

本方法およびシステムはコンピュータ・システム内での安全保護を促進するための、単純であるが効果的な手段を使用している。これらの方法およびシステムの１実施例において、１つの簡単なファイル・システムがコンピュータ・システム内に隠蔽されており、記憶装置上で動作するプロセッサおよび簡単な書き込み不能コードとで管理されている。設計を簡単にすることにより、記憶装置上のデータの安全を保護するための手段を具備した本コンピュータ安全保護方法およびシステムが提供される。

方法に関する１実施例において、コンピュータ・システムには少なくとも１つの記憶装置と関連して動作するオペレーティング・システムが具備されており、此処でこの記憶装置はその記憶装置上に格納されているデータを処理するためのファームウェアとプロセッサとを含む。この方法は少なくとも１つの安全保護パーティションを生成し、その記憶装置の少なくとも一部分に対してオペレーティング・システムによるアクセスを制限することを含む。この方法はまた、少なくとも１つの安全保護パーティションを記憶装置内に生成することを含む。この方法はまた、少なくとも１つの権限所有者登録とその権限登録に関連するデータを、記憶装置内に用意することを含む。

此処に説明されている方法の実施例に基づき構成された、システムおよびコンピュータで読み取り可能な媒体の実施例も用意されている。

（詳細な説明）
（概要）
此処で使用されるように、「コンピュータ・システム」はこれに限定するわけではないが、デスクトップ・コンピュータ・システム、ラップトップ・コンピュータ・システム、ネットワーク接続コンピュータ・システム、携帯電話およびＰＤＡの様な無線システム、内蔵型ウェブ・カメラを含むディジタル・カメラ、そして／またはこれらのシステムおよび装置の適切な組み合わせを含む。

此処で使用されるように、用語「記憶装置」および「ディスク・ドライブ」または「ディスク」は、特に断らない限り置き換え可能であり、此処で説明するコンピュータ安全保護方法およびシステムに基づくコンピュータ・システム内でデータを記憶するための全ての装置を含む。用語「ディスク」を使用しているにも拘わらず、記憶装置は物理的な「ディスク」を組み込んでいる必要はなく、ファームウェアを具備した制御装置で管理されている記憶場所を好適に有していればよい。

用語「パーティション」はいくつかの実施例の中で、記憶装置の低レベル・フォーマットで配分された５１２バイト・ブロックの連続したグループを意味するように用いられていることは理解されよう。

これらの安全保護パーティションを支援する特別な安全保護パーティションおよび構造および処理過程が、本コンピュータ安全保護方法およびシステムに含まれている。本方法およびシステムの第１の目的は実質的にオペレーティング・システムに依存しないコンピュータ安全保護システムを提供することである。

図１を参照すると、後ほど説明する方法およびシステムに整合するネットワーク接続装置のアーキテクチャが示されている。インターネットまたはその他のネットワーク通信媒体であるネットワーク２が、無線または有線（図示せず）接続４によって使用者のコンピュータ・システム６に接続されている。コンピュータ・システム６の内部にはオペレーティング・システム１０が存在し、これは少なくとも部分的に記憶装置１２から得られたソフトウェアおよびデータに依存している。

次に図１および図２を参照すると、図２には記憶装置１２の更に詳細な図が示されている。記憶装置１２はファームウェア１４を含み、これは記憶装置１２のデータ格納部分１６からデータの読み書きを行う。記憶装置ファームウェア１４の少なくとも一部分がオペレーティング・システム１０内で実行されるソフトウェアで再書き込み出来ることは理解されよう。書き込み可能な記憶装置ファームウェア１４のこの部分は、書き込み可能ファームウェア（”ＷＦ”writable firmware）と考えられる。これと比較して、記憶装置ファームウェア１４の少なくとも一部には、このファームウェアがオペレーティング・システム１０から書き込まれるのを阻止する複数の従来型ハードウェア手段のひとつまたはいくつかを用いて書き込まれる。書き込み不能な記憶装置ファームウェア１４のこの部分は、書き込み不能（”ＮＷＦ”non-writeable firmware）と考えて構わない。１つの実施例において、記憶装置１２はまた別の中央処理ユニット１８（”ＣＰＵ”）を含み、ファームウェア１４に対して記憶装置１２内のデータ格納部分１６内のデータにアクセスさせたり、データの処理を行わせるように命令することが可能である。ＮＷＦまたはＮＦの実行に関連する場合を除いて、記憶装置１２のデータ格納部分１６との間でいかなるデータ転送も出来ないようにすることを要求仕様とすることが出来る。

図示を目的として、ＮＷＦおよびＷＦファームウェアのいくつかの例をＡＴＡおよびＳＣＳＩディスク制御装置プロトコルと関連して導き出すことが出来る。これらのプロトコルの少なくとも一部は、コンピュータ・システムのオペレーティング・システムとデータ記憶構成部品との間の接続性に関係する。例えばＡＴＡプロトコルは命令、例えば制御装置命令の、使用者によるカスタマイズ化を可能とする。１つの実施例において、本コンピュータ安全保護方法およびシステムは、ＡＴＡ／ＡＴＡＰＩ−５ ＡＮＳＩ仕様、ＮＣＩＴＳ３４０−２０００に対する付加仕様を提供する。しかしながら、これに類似、相似の付加を此処に示す方法およびシステムによって、ＳＣＳＩ仕様および、例えば製造供給元特定または標準仕様の拡張を可能とするその他の好適なディスク制御装置仕様に対して行うことが出来ることは理解されよう。また此処に説明する方法およびシステムが新たなディスク制御装置仕様の構成部品の基本を形成できることは理解されよう。

此処に出願されるように、データ記憶装置がＡＴＡまたはＳＣＳＩの様な従来型ディスク制御装置プロトコルに関連して提供できる。特に、ＡＴＡに対して利用可能な安全保護プロトコルの１つの形式は、ＡＴＡホスト保護領域として当業者には知られている。此処で出願されているように、マップ外記憶領域は、不良セクタを示すためにＮＷＦおよびＷＦ内のテーブルでマップ外とされている記憶空間である。その他のデータを、記憶装置用のディスク制御装置で書き込み可能な記憶領域のマップ外と出来ることは理解されよう。

次に図３を参照すると、本コンピュータ安全保護方法およびシステムは、既存のＡＴＡおよびＳＣＳＩプロトコルを、例えば単純で効果的な拡張安全保護プロトコルで増強することが可能である。この方法およびシステムは安全保護対象パーティション（”ＳＰ”security partition）データ３２および安全保護対象パーティション・データ３２に関連する、権限所有者登録３４の様な少なくとも１つの権限所有者登録を有する、記憶装置３０を含む。これらの安全保護対象パーティション・データ３２および権限所有者登録３４，３６，３８は、記憶装置３０の安全保護対象パーティションの中に含まれている。本方法およびシステムは記憶装置３０の低レベルなフォーマッティング上に配置されている比較的簡単なファイル・システムを提供する。記憶装置３０に追加されるデータの増加は図３に示されるように、上から下へ進み記憶装置３０内容量への問い合わせに対して、使用可能なデータ記憶領域の残量が容易に分かるようにしている。

権限所有者登録３４，３６，３８を含む動作は、記憶装置３０のファームウェアで管理されている。１つの実施例において、全ての権限所有者登録３４，３６，３８は単一のマスタ権限所有者登録４０で統御できる。図示されるように、オペレーティング・システム（”ＯＳ”）ファイル・システム４２は記憶装置３０内に含まれる安全保護対象パーティション・データ３２にアクセスする事は許されていない。安全保護対象パーティション・データ３２のＯＳファイル・システム４２からの独立性は本安全保護方法およびシステムの重要な利点を提供する：秘密の様な情報を効果的に隠蔽出来る領域をコンピュータ・システム上に生成する。

次に図４を参照すると、権限所有者登録５２の模式図が図３の権限所有者登録３４，３６，３８と関連して提示されている。権限所有者登録５２は、データ、コンピュータ・プログラムおよびその他の同様な情報および権限所有者登録５２に対応するＳＰデータ５４に関連する機能を含むことが出来る。権限所有者登録５２およびＳＰデータ５４（５６から８４までの構成要素）の内容は、隠匿性が望まれる情報、そして／またはコンピュータ・システム内で安全保護データ処理を促進する機能に関連する。ＳＰデータ５４内に格納できる情報の型式およびＳＰデータ５４に関連して権限所有者登録５２で実行される安全保護処理機能の型式、構成要素５６から８４までで示されるように、が以下に例として提示されている。

此処に説明されているように、閉鎖型、非拡張記憶装置および認証システムには多くの特長が見られる。記憶装置はディスク上の或るデータに対して、認証の構造および容易に査察し検査することの出来る認証を定義できる。認証および認証機能が閉鎖型システムに具備されていない場合、コンピュータ・システムは一般的に攻撃および侵入に対して更に脆弱なものとなろう。６３個の使用者定義可能権限所有者登録と１つのマスタ登録があれば、本安全保護方法およびシステムのほとんどの実際的なアプリケーションを満足させることが理解されよう。これらの方法およびシステムは記憶装置に特化した安全保護防衛線であるので、１つの権限所有者はオペレーティング・システム環境内のグループ権限所有者または全ドメイン権限所有者に変換することが可能である。これらの権限所有者は必要に応じて使用者が生成したり削除したりできるので、マスタ権限所有者登録がこれらの使用者の修正変更を管理できることを理解することにより、本方法およびシステムはコンピュータ・システムに対して適切な防衛線を提供する。

以下の例は本安全保護方法およびシステム実施例の考えられる実現例を図示することを意図している。これらの例は図示することを第１の目的としていることを理解されたい。此処に説明される方法およびシステムの実施例の、如何なる個別の特徴も本発明の範囲を制限するものではない。例えば、本コンピュータ安全保護方法およびシステムで実行される安全保護対象パーティション命令に対する用語の個々の選択も、図示が目的であり本発明の範囲を制限するものでないことを理解されたい。

図５から図８は本コンピュータ安全保護方法およびシステムに関する、データ内容および構造、基本処理手順、およびエラー・コードの概要を図示する。

図５は単一権限所有者登録のフィールドと続いて権限所有者登録に関連するデータを示す。１つの権限所有者登録は１つの権限（例えば、使用者、グループ、ドメインまたはその他のエージェント）並びに、権限所有者登録がアクセス保護を管理する対象のデータ・セットを定義する。

図６はマスタ権限所有者登録とそのデータと含むパーティションに対するヘッダを示し、これはその記憶装置に関する他の全ての権限所有者登録を含む。このヘッダはコンピュータ・システムが安全保護対象パーティション、権限所有者登録およびそれらに関連するＳＰデータを効率的に使用するための情報を提供する。

図７は本コンピュータ安全保護方法およびシステムに関連する、基本記憶装置処理手順を示す。これらの基本処理手順は、新規権限所有者登録設定、データ削除そして／または従前権限所有者登録の修正変更方法を含む。また１つまたは複数の使用者アプリケーションの中に組み込まれた安全保護機能を使用する手順も示されている。

図８は図７で説明されている種々の手順のアプリケーションの結果として生じる可能性のあるエラー・コードの例を示す。

本コンピュータ安全保護方法およびシステムに適用されるように、安全保護対象データ・パーティションでのデータの読み書きは、従来型読み取り／書き込み機構およびプロトコルが使用できる。１つの機能として、安全保護対象パーティションの読み取りまたは書き込みが試みられると、その安全保護対象パーティションは、安全保護対象パーティション・オープン・コール、例えばSPOpen命令を用いてオープンできる。一度オープンされると、その安全保護対象パーティションは、クローズされるか（例えばSPClose命令を用いて）または予め定められた時間が経過するまで、オープンのまま保持される。SPOpen命令は多くの方法で読み取りおよび書き込みアクセスを制限することが可能であり、これは記憶装置に必要な安全保護機能に対して重要である。別の実施例において、特別ＳＰ、固定長および登録優先、読み取りおよび書き込み動作が許されており、これはグローバルSPOpen命令が許している、機会のウィンドウをオープンにしたまま残すことは無い。

いくつかの実施例では、SPOpenおよびSPClose命令は安全保護または効率を考慮した結果利用できず、または読み取りおよび書き込み動作は利用可能なSPProtReadおよびSPPROTWrite命令を通して実施される。SPProtReadおよびSPPROTWrite命令の使用することで、内部的な、隠蔽された、SPOpen機能と等価な動作を機密データを使用者との対話に曝すことなく実行できる。

或る実施例では、本コンピュータ安全保護方法およびシステムは、例えばＡＮＳＩＸ．５０９証明（certificate）を使用することが可能であり、これは例えば認証用の良く知られているＲＳＡアルゴリズムの様なトラップドア暗号アルゴリズムを採用することが可能である。各々の権限所有者登録は、対象としている安全保護対象パーティションに源を有する認証データに対する一対の公開秘密鍵を含む。第２の公開秘密鍵対が提供されており、データが特定の安全保護対象パーティションにのみ送られて記憶装置の他の部分には送られないように保証している。これら複数の対となった鍵はX.509Cert-In（すなわちデータが希望するパーティションにのみ送信される）およびX.509Cert-Out（データが署名され、これにより希望するパーティションからのみ来るように認証される）とに関連付けられている。対称鍵をＳＳＬおよびその他の等価的な安全保護ストリーミング・プロトコルとほぼ類似の方法で使用してデータに暗号を掛けることが可能である。この実施例において、公開秘密鍵は第一義的に認証に関連するハッシュを行うために使用されているが、秘密鍵はある権限所有者に向けられたパスコードを復号する事が可能である。

本安全保護方法およびシステムは、先に説明した暗号操作が記憶装置のファームウェアまたは物理層の中に組み込まれているように要求することも可能である。暗号化コードは装置のＮＷＦ内の原初保証（root assurance）で認証される。この様にすることで、ＳＰ保護対象データの読み取りまたは書き込みアクセスは、記憶装置を物理的に修正変更しない限り攻撃を許すことは無くなる。ＳＰシステムはまた、データ・パーティション内でのデータの暗号化も提供する。暗号化には対称鍵を使用する。暗号化が止められると、記憶場所の中でデータのやり取りを行う際に対称暗号化が採用されていないとしても、記憶装置内のデータは平文となる。暗号化が使用されると、記憶場所の中でデータのやり取りを行う際に対称暗号化が採用されていない場合でも、記憶装置内のデータは暗号化される。

ＳＰデータが暗号化されており権限所有者源が外部の場合、外部のエージェントのみが暗号解読可能なように、記憶装置上のデータに暗号を掛ける１つの方法およびシステムを提供できる。SP DataEncrypt命令は、１つの鍵が外部資源から獲得されて適用されるようにＳＰデータに暗号を掛ける。

この実施例において、その記憶装置内で利用可能な情報に基づいて記憶装置内からのデータの暗号解読をするための、利用できる方法は存在しない。この方法およびシステムは公開鍵と対称鍵とを安全に送信することを含む。データの暗号化または暗号解読するために対称鍵を使用する必要がある場合に、対称鍵の暗号解読を行うために秘密鍵が具備される。この公開鍵／対称鍵／秘密鍵の処置はファイル暗号化を行うための従来手法である。本安全保護方法およびシステムはこの従来手法の改善を、安全保護方法およびシステムをオペレーティング・システムまたはファイル・システムの一部としてではなく、記憶装置内にのみ含むようにすることで行っている。

安全保護対象パーティション内のデータの読み取りおよび書き込みを制御する権限所有者登録の別の特徴は、権限所有者登録の或るフィールドを隠すことが出来ることである。「隠す」とは典型的に、これらのフィールド内の値が外部プロセスで読み取ることが出来ないことを意味する、すなわちそれらの値はファームウェアへのコールでも、記憶装置の内容を直接調べることでも読み取ることが出来ない。記憶装置を保護出来る既知のハードウェア技術が複数存在している：例えば、ＮＷＦ以外のその様な記憶装置のアドレス空間をマップ外に出すことである。権限所有者登録のパスコード・フィールドに関連して適用可能な別の技術は、コードのハッシュのみを記憶することである。この技術は利用可能であるが、それはプレーン・テキスト・パスコードを読み取る要求が無いからである。更に、別の技術は対称鍵をその鍵を権限所有者の公開鍵により、その隠された秘密鍵のみがそれを復号できるように隠すことである。

本コンピュータ安全保護方法およびシステムでは実際に、外部権限所有者源と内部権限所有者源との間の区別を付けることが可能である。安全保護対象パーティションが内部権限所有者源の場合、公開鍵対と対称鍵が内部的に記憶装置のＮＷＦとＷＦにより生成される。安全保護対象パーティションが外部権限所有者源の場合、公開鍵対と対称鍵とは安全な送信方法で（例えばSPCSet命令で定義されるように）記憶装置に送ることが出来る。これはある種のデータ、例えば秘密鍵が書き込み可能（例えばSPCSetまたは内部鍵発生器により）である一方、そのデータは隠すように定義されているため、如何なる外部プロセスからも読まれることはない。これは同じ「書き込み可能、読み取り不能」機能が、「書き込み可能、（外部）読み取り不能」パーティションである全ての安全保護対象パーティション内にデータを生成できる点で重要である。従って、記憶装置外の使用者アプリケーションは、情報を隠し暗号化操作を比較的高い安全性のもとに秘密裏に実行できる信頼の置ける場所として、その記憶装置を採用することができる。

本コンピュータ安全保護方法およびシステムの１つの実施例は、ＳＰデータをライトワンス（write once）と宣言することを提供する。この実施例の１つの使用例はＰＫＩ（公開鍵インフラストラクチャ）であるが、此処には個別の権限所有者に対する公開鍵の確認の問題が存在する。本方法およびシステムによる安全保護対象パーティションは、公開鍵の源を動的に認証することが可能である。これはＰＫＩの中で鍵取り消しとして知られている基本的な問題の１つを解決する。本方法およびシステムでは、比較的高い保証レベルで公開鍵を現状状態に動的に保持する安全な手段を有することが可能である。ライトワンス実施例の別のアプリケーションが、ソフトウェアをシステムまたはディスクへロックして、認証無しでは取り消しまたはアクセスが出来ないログを生成するように適用されている。この実施例において、記憶装置は例えばクレジット・カード購入情報の様なログを読み取るために採用されている。

本コンピュータ安全保護実施例は典型的に、各々の権限所有者登録および関連するデータ・セットに関連する固定量の領域を使用している。更に１つのマスタ権限所有者登録は全ての他の安全保護対象パーティション用の権限所有者登録を含むことが可能である。例えば、各権限所有者登録は６ブロック（３０７２バイト）領域の２６３３バイト使用可能であり、６４個の権限所有者登録が可能で、全ての安全保護対象パーティション用の権限所有者登録を含む安全保護対象パーティション内に全部で１９６，６０８バイト使用する。この図示されたシステムでは、６３個の使用者定義可能安全保護対象パーティションのみが存在する。この実施例では、秘密／公開／対称鍵の外部源で定義される場合を除き、外部権限所有者はアクセスを許されていない。これは記憶装置上で定義された権限所有者登録のみが、他の権限所有者登録そして／またはデータ・セットの読み取りまたは書き込みが許された権限所有者に成りうることを意味している。公に読み取り可能で、典型的に工場で設定される権限所有者登録ヘッダを拡張または縮小して、この閉鎖システムの権限所有者を全部で６４個の権限所有者登録より多くまたは少なくすることが可能なことは理解されよう。

有限個数の権限所有者登録をマスタ権限所有者登録用に固定領域と共に維持する、本コンピュータ安全保護システムの実施例では、ＳＰ可能化記憶装置を有することによる性能上不利な条件が調整できる。一般的に記憶装置上での全ての読み取りまたは書き込み操作は、低レベル記憶アドレス（例えばシリンダ、ヘッド、セクタ、ブロックなど）が安全保護対象パーティションで保護されているか否かを判断するためにチェックする。

別の実施例において、安全保護対象パーティション領域はＡＴＡホスト保護区域領域の様にモデル化されている。マスタ権限所有者登録およびその他の権限所有者登録を含むパーティションは、既知の固定サイズを有し、ＡＴＡホスト保護領域からのコールからさえも隠されている記憶装置を使用する。マスタ権限所有者登録の下にある全てのパーティションは、ＡＴＡホスト保護領域空間の先頭部分を使用できる。ＡＴＡホスト保護領域空間内の書き込みおよび読み取り操作は、典型的にまれであるのでＳＰ保護領域をチェックする機能を付加することは効果的である。

本方法およびシステムの別の機能では、SPAuthHeaderコールは保護されたディスク・アドレス領域のリストを戻す。記憶装置の固定領域をＳＰデータが存在する領域として指定することにより、許された書き込み操作をチェックするための機能が実行できる。SPAuthHeaderコールは、合成され拡張された権限所有者パーティション・ヘッダ内に記憶された値を戻す。ＳＰ保護された記憶装置の連続した領域を報告することは、このコールに対して有用である。このようにして、使用者ソフトウェアに対して適切なSPOpenコール外の領域にアドレス指定を試みないように警告できる。SPAuthHeaderコールは、そこに対して使用者がアクセスを有していないディスク・アドレスを報告することは無い。

使用者定義ＳＰデータ・パーティションは、ＮＷＦおよびＷＦで許される場合、記憶装置の全記憶容量を消費することが可能である。これはマスタ権限所有者登録への読み取りおよび書き込みする権限を、予め定められた使用者のみに制限する１つの理由である。本システムはこれらの予め定められた使用者の認証を提供し、権限所有者登録に対する管理レベル制御を有する使用者の数を最小化できる。

SPAuthHeaderコールの重要な機能は、マスタ権限所有者登録に通信するための公開鍵を戻すことである。この機能は重要であり、それはマスタ権限所有者登録にアクセスするために必要なパスコード用の、公開鍵暗号化をマスタ権限所有者登録が必要とするからである。工場から流通される記憶装置は、マスタ権限所有者の初期化を試みるソフトウェアがそのパスコードを知らなければならないように構造化されているパスコードを持つ可能性がある。このパスコードはまた伝送途中で「嗅ぎ出し」またはその他の方法で査察出来ないように構造化されているが、それはパスコードがマスタ権限所有者登録の公開鍵によって暗号化されているからである。

パスコードを暗号化するための公開鍵の発行では、再攻撃に敏感な公開鍵を利用出来ることが知られている。その様な攻撃に抵抗するために、本安全保護方法およびシステムの１つの実施例は、SPNonce（"ナンス（nonce）"を含む）と権限所有者登録内のSPAuthNonceフィールドおよび権限所有者ヘッダとを含む。ナンス（nonce）は一度限りの使用を前提とした、最大長２５６バイトの乱数である。１つの実施例においてこのナンス（nonce）はパスコードの一部として公開鍵で暗号化されている。これによりパスコードの送り手がそのパスコードを知っていることが保証される。このナンス（nonce）は権限所有者登録の一部として作られるので、このナンス（nonce）はＮＷＦおよびＷＦへ送ることが出来る。これにより遠隔地の記憶装置が、使用者権限所有者登録の中に隠されて含まれているパスコードを通して、権限所有者を獲得するためにナンス（nonce）を使用することが可能となる。

鍵およびナンス（nonce）を生成するために、乱数発生器をＮＷＦおよびＷＦに具備することが可能である。例えばハードディスクの様なある種の記憶装置は、乱数の元として計算可能なランダムな機械的または電子的誤差を測定する機会を提供する。本コンピュータ安全保護方法およびシステムはこの連続した乱数を、例えば安全保護記憶装置から記憶装置への転送に際してワンタイム・パッド（one-time pad）を生成するために使用することが出来る。ワンタイム・パッドは完全な暗号化／暗号解読技術として良く知られている。

権限所有者登録は開始時刻、終了時刻そして／または予め定められた時刻でのＳＰデータ削除または転送命令を有するＳＰデータを持つことが出来るので、信頼性の高いクロック時間発生源が必要であることは理解されよう。外部クロックと安全な認証済み通信を通して同期できるクロックを記憶装置内部に持つことで利点が得られる。これは別の権限所有者登録セットを有する追加コールを必要とするか、またはマスタ権限所有者登録を使用する必要がある。期間を減らすことによりナンス（nonce）は有効と判断され、送信されたクロック時間の誤差は限界値以内と出来る。

安全保護対象パーティションの一般的な使用は、別の装置上の、別の安全保護対象パーティションの公開鍵を格納することである。この実施例において、記憶装置の安全保護ネットワークが実現できるが、それは別の装置上の、別の権限所有者登録へのアクセスを許すパスコードが、それ自体記憶装置内部で暗号化されているからである。例えば、複数の別の記憶装置上の複数の安全保護対象パーティションを安全に管理できる、１つまたは複数のマスタ・レジストリを生成することが可能である。

本コンピュータ安全保護実施例は、オペレーティング・システム環境内のコードおよびデータの安全を保護するために、コール認証を取り扱うべきであることが理解されよう。コール認証には２つの一般的なケースがある。１つのケースは、コンピュータ・プログラム、例えばコールされるものが正しいコンピュータ・プログラムであると認証する必要がある。もう一方のケースは、コンピュータ・プログラムをコールするプログラムまたは処理ルーチンが正しいプログラムまたは処理ルーチンであると認証する必要がある。

コール認証はオペレーティング・システム内で動作しているコードと、記憶装置権限所有者との間の安全な通信の基本を提供する。オペレーティング・システムに対する一般的ケースは、複数のローダ／リンカを持つことである。これらは記憶装置からコード読み取り；シンボリック、仮想および物理アドレス割り当て；値の初期化；実行メモリ内へのコードのロード；を行うオペレーティング・システム・プログラムであり、またコード実行を開始する。

従来の手順は、コード認証をローダ／リンカ内にプットすることである。しかしながら、ひとたび正規コードが認証されロードされてリンクされると、割込コードがその正規コードを実行中に修正変更することが出来る。割込コードを持ち込むことは、リンクされロードされたそのコードが記憶装置からデータを読み取ってそのデータをプログラム・コードとして解釈出来る場合、容易に実行できる。多くのプログラムはこの様にして割り込みコードを偶発的に取り込む可能性がある。しかしながら、この可能性が無い場合でも、認証済みコードを割込コードで置き換えるような、従来からあるバッファ・オーバフロー搾取（buffer-overflow exploit）の様な技法が存在する。

それにも拘わらず、コード認証はローダ／リンカのレベルで有用である。コードとして機能するデータの全ての読み取りが認証済み読み取りの場合、コード認証の利点のほとんどが実現できる。バッファ・オーバフローまたは同様な搾取行為が優れたプログラミングを行うことで取り除かれると、コード認証は有効な技術と成りうる。しかしながら、オープン・オペレーティング・システム環境で動作しているコードは、安全性を保ちながらの実行に失敗することがしばしばあることが良く知られている。

本コンピュータ安全保護方法およびシステムは、コンピュータに対してコード認証を提供できる。１つの実施例において、１つまたは複数の権限所有者登録を１つまたは複数のリンカ／ローダで採用して、公開鍵をデータとして格納しロードされたコードを認証するために検査する事が可能である。従ってローダ／リンカは公開鍵、ハッシュ値、およびそのコードが認証されたものと確信することが出来る。ローダ／リンカのコードを１つの権限所有者登録内の書き込み不能空間の中に格納して、その基本コードが影響されないように保証することが可能である。

コード認証はコール認証の問題を、全てのコールが適切に認証されたコードで作られている場合に限り解決することができる。コールを不正コード・セグメントとしてしまう、割込データが紛れ込む可能性は残る。通信がメッセージ・パッシングまたは類似のオブジェクト指向手法によって定義されているようなオペレーティング・システムでは、コールは名称またはニックネームで行われる。権限所有者登録は「ライトワンス・ノーデリート（write-once-no-delete）」を用いて、コード・セグメント間の認証済みコールを登録することが出来る。全てのコード・セグメントが認証されると、それらは典型的に適切な境界検査基準としてコード化される。この場合コール・パスが認証されて、機密保護侵犯を受け難くなる。

コール認証を提供する別の方法は、良く知られているコード・セグメント・ラッピング原理を含む。この方法では、コード・セグメントはコード・コンパイラまたはローダ／リンカのいずれかで導入された別のコード・セグメントのメモリ空間内で実行される。この１例は従来型コンパイラ内のデバッグ機能である。別の例はインタプリタ型バイト・コード・システムの中にある。ラッピング・コードが被保護ディスク権限所有者空間から直接利用できる場合、コード・モジュールによる完全コール認証動作を提供することが可能である。この方法は外部からのコードへのコールは、元々認証済みのシンボリック、仮想、または物理アドレスへのコールであると確認する。例えば、コード・セットがインターネットへのポートをオープンすべきで無い場合、ラッパーはそのようなポートをオープンする試みがなされた際には警報を発する。ラッパー内で許されるコールを記録するデータは、好適に安全保護された、書き込み不能権限所有者登録内に格納されている。

本コンピュータ安全保護方法およびシステム内のコール認証の一般的解決方法では、認証データを格納し；認証計算を実行し；そしてオペレーティング・システム環境内での信頼の源を確立することの出来る特別なコード・セグメントを格納する、記憶装置を採用している。一般的に、鍵リンカ／ローダおよびコード・インタプリタがあれば、オペレーティング・システム環境内で動作する個別のコードに対する信頼を確立するのに充分である。これはファイル・システムを頻繁に変更したり、通常完全な安全保障が出来ない環境の場合に、全オペレーティング・システム環境の安全保護を提案するような、その他の手法に比較して改善されている点である。本コンピュータ安全保護実施例は、オペレーティング・システム環境内で安全にコードを実行させるために採用出来る鍵となる手段、従ってコール認証問題に対する拡張性のある解決方法を提供する。

此処に説明した方法およびシステムは、コンピュータ・システム安全保護を促進する特筆すべき改善点および特長を提供し、これは以下の利点をを含む：
・プログラムおよびデータ用のローカルまたは遠隔記憶装置を使用するコンピュータ・システムに対して内部安全保護を提供する。この記憶装置は単一コンピュータ・システム内に存在できる１つまたは複数の記憶装置とすることが出来る。コンピュータ・システムは１つのバスまたはネットワークに接続されることが出来る。
・コンピュータ・システムが記憶装置に依存している場合に、コンピュータ・システムをネットワークからの攻撃からの保護。
・データおよびコンピュータ・プログラムの非認証使用およびコンピュータ装置そして／またはシステム内でのコピーの保護。
・記憶装置に対して秘密鍵そしてまたメッセージの署名とチェックの安全保護および隠匿を隠されたそして認証された方法で許可する。
・ローカルな領域または広範な企業領域内の、電子的または電気光学データおよびコンピュータ・プログラムに依存する、既存のコンピュータ安全保護システムの更新。
・コンピュータ・システム内でのデータそして／またはコンピュータ・プログラムの安全で正確な機能が実現されるように、データおよびコンピュータ・プログラムを記憶装置に対して広帯域そして／または狭帯域非交換そして／または交換網を通して送信すること。
・公開鍵インフラに対する公開鍵を送信、格納および管理すること；および暗号化使用のための秘密鍵を送信、格納および管理すること。
・ローカル領域および広域の両方に渡る、マルチメディア・オーディオおよびビデオコンテンツの完全性および権利を管理すること。
・通常使用時の記憶装置の性能を妨げることの無い、記憶装置安全保護を提供すること。
・ANSI ATA-4およびATA-5ホスト保護領域の使用を改善すること。
・複数のネットワーク接続コンピュータ・システムにまたがるオペレーティング・システムの動作保証と完全性；コンピュータ・システム内でのアプリケーション・システム；複数のネットワーク接続コンピュータ・システムにまたがるアプリケーション・システム；コンピュータ・システム内の予備および復元システム；そして、複数のネットワーク化されたコンピュータ化システムにまたがる予備および復元システム、を提供すること。
・複数の記憶装置そして／またはコンピュータ・システム相互間そして／またはそれぞれ内部でのワンタイム・パッド暗号化の生成および使用を許可すること。

本発明の特定の実施例を此処に説明してきたが、これらは本発明の図示が目的であり、それを制限することを目的としたものではなく、当業者には詳細項目、材料および構成部品の配列などに関する種々の変更を、添付の特許請求項に記載されている本発明の原理および範囲から逸脱することなく行いうることは理解されよう。

図１はコンピュータ安全保護を促進するための方法およびシステムに基づき構成されたシステムを示す図である。 図２は図１の記憶装置の詳細を示す図式図である。 図３は、コンピュータ安全保護を促進するための方法およびシステムに基づくコンピュータ・システムの記憶装置とオペレーティング・システム・ファイル・システムとの間の相互接続を図示する図式図である。 図４は図３に示す権限所有者登録と安全保護対象パーティション・データの詳細を示す図式図である。 図５は、本コンピュータ安全保護方法およびシステムに基づき提供される権限所有者登録の一部を示す表である。 図６は、本コンピュータ安全保護方法およびシステムに基づき提供されるパーティション・ヘッダを示す表である。 図７は、本コンピュータ安全保護方法およびシステムに基づき提供される基本的記憶装置手順を示す表である。 図８は、本コンピュータ安全保護方法およびシステムに基づき生成されるエラー・コードの表である。

Claims (14)

1. コンピュータシステムにおける機密保護を高めるための記憶装置であって：
   データを格納するための記憶媒体と、
   前記記憶媒体からデータを読み出し、またデータを前記記憶媒体に書き込むためのファームウエアと、
   前記記憶媒体上に設定されたパーティションであって、前記記憶媒体をデータパーティションと保護データパーティションとに区分けし、該保護データパーティションが保護データと一つ以上の権限登録を格納するものである、前記パーティションとを含み、
   前記一つ以上の権限登録は、前記保護データパーティションと前記保護データとに係わるアクセス許可を設定していて、
   前記保護データパーティションはマスタ権限登録を含み、
   前記マスタ権限登録に従って、アクセス許可を持っているユーザの要求により、前記一つ以上の権限登録を生成あるいは削除をすることができ、
   一つのファームウエアだけが前記保護データと前記一つ以上の権限登録にアクセスが許される前記記憶装置。
2. 請求項１に記載の記憶装置において、前記記憶装置は、オペレーテイングシステムを有するコンピュータシステムと通信を行う前記記憶装置。
3. 請求項２に記載の記憶装置において、前記保護データパーティションに格納されている前記保護データは、前記オペレーティングシステムからは認識できない、前記記憶装置。
4. 請求項１に記載の記憶装置において、前記一つ以上の権限登録は、前記保護データパーティションから生じる認証データのための秘密鍵と公開鍵の一組を含む、前記記憶装置。
5. 請求項１に記載の記憶装置において、前記記憶装置の前記ファームウェアはその中に、前記保護データを暗号化する暗号化処理手段をさらに有する、前記記憶装置。
6. 請求項５に記載の記憶装置において、暗号化されたコードが、前記記憶装置のファームウエアのルート保証によって認証され、前記ファームウエアが書込み不可である、前記記憶装置。
7. オペーレーティングシステムを備え記憶装置と連携して動作するコンピュータシステムにおける機密保護を高めるための方法であって、前記記憶装置は、前記記憶装置に格納されたデータを処理するためのプロセッサとファームウエアとを有し、前記方法は：
   前記記憶装置の記憶媒体上をデータパーティションと保護データパーティションとに区分けし、前記データパーティションがユーザによりアクセス可能であり、前記保護データパーティションがユーザからは認識できず、前記保護データパーティションは保護データと一つ以上の権限登録を格納し、前記保護データは暗号化され、暗号化したコードが前記ファームウエアに埋め込まれており、
   前記保護データパーティションへのアクセスを制限して、前記ファームウエアのみが前記保護データと一つ以上の権限登録へアクセスできるようにし、
   前記暗号化したコードを前記記憶装置の中の原初保証（Ｒｏｏｔ Ａｓｓｕｒａｎｃｅ）により認証が行われる
   ステップを有する前記方法。
8. 請求項７に記載の方法において、さらに、前記コンピュータシステムのオペレーティングシステムからの前記保護データパーティションへのアクセスを禁止するステップをさらに有する前記方法。
9. 請求項８に記載の方法において、前記ファームウエアの一部が書き込み不可能である前記方法。
10. 請求項７に記載の方法において、さらに、
    前記記憶装置のファームウエアの一部を実行することにより、前記保護データパーティションにデータを書き込むステップと、
    前記データを前記一つ以上の権限登録の特定の登録と関連付けるステップと
    を有する前記方法。
11. 請求項１に記載の記憶装置において、前記ファームウエアにより、前記記憶装置の内部にあってユーザには隠されている保護パーティション・オープン・コールを用いて前記保護データにアクセスする前記装置。
12. 記憶装置であって、
    一つ以上の権限登録と、前記一つ以上の権限登録のそれぞれと関連付けされた少なくとも一つのデータセットとを含む保護パーティションを有する記憶媒体と、
    前記記録媒体内にあり、前記一つ以上の権限登録に基づいて、前記保護パーティションへのアクセスを制限するように構成された手段とを有し、
    前記手段は、前記記憶装置内に配置されたプロセッサと、ファームウエアとを有し、該プロセッサはコンピュータシステムのオペレーティングシステムにより前記保護パーティションへのアクセスを制限し、前記ファームウエアは、コンピュータシステムのオペレーティングシステムからの前記保護パーティションへのアクセスを制限するように構成されている前記記憶装置。
13. 請求項１２に記載の記憶装置であって、前記一つ以上の権限登録は、マスタ権限登録を有し、該マスタ権限登録は前記記憶装置内の前記一つ以上の権限登録を管理するための指示を含んでいる前記記憶装置。
14. 請求項１２に記載の記憶装置であって、前記一つ以上の権限登録の各々は、複数のフィールドを有し、該複数のフィールドの第１のフィールドが前記少なくとも一つのデータセットへのアクセスを管理するためのアクセス権を含んでいる前記記憶装置。

Images