JP4612112B1 - デジタル機器がリムーバブルメディアに記録されたファイルを削除する方法及びプログラム - Google Patents

Abstract

【課題】リムーバブルメディアに記録したファイルを他の人に提供したとき、リムーバブルメディアの削除したファイルが、ファイル復元ツールで復元されて漏洩することを防止する。
【解決手段】リムーバブルメディアに記録するファイルのデータ本体を共通鍵暗号方式で暗号化して、暗号化したデータ本体と、データ本体の暗号化に用いた共通鍵暗号方式の暗号鍵とを、暗号化したデータ本体に暗号鍵を対応させて当該リムーバブルメディアに記録する。ファイルを削除するときは、当該リムーバブルメディアに記録された暗号化したデータ本体を残したまま、暗号化したデータ本体を復号可能な共通鍵暗号方式の暗号鍵を消去する。
【選択図】図１

Description

本発明は、パーソナルコンピュータ等のデジタル機器に装着したリムーバブルメディアにファイルを記録する方法及びリムーバブルメディアに記録されたファイルを削除する方法、並びにそのプログラムに関する。

リムーバブルメディアについて

リムーバブルメディアとは、パーソナルコンピュータ（以下、ＰＣと記載する）、携帯電話、デジタルカメラ等のデジタル機器に用いられるフレキシブルディスクやＭＯ（光磁気ディスク）等の着脱自在でコンピュータ読み取り可能な記録媒体である。その中でも、フラッシュメモリを内蔵したＵＳＢメモリやメモリカードが、近年急速に普及している。
リムーバブルメディアは、小型で着脱自在、持ち運びに便利である。また、形状やインターフェイスが規格化されているため、デジタル機器間のデータの中継、また、比較的小さい容量のデータの保存をするのに使用されることが多い。

ファイルの削除について

記録されたファイルを削除する処理は、秘密保護のためにファイル全体をゼロクリアするのが望ましい。しかし、ファイルの大部分を占めるデータ本体の部分をゼロクリアする処理には時間がかかることから、通常の削除の処理は、ファイル名等の情報を記録したディレクトリ・エントリ領域のファイル情報の一部を書き換えることでＯＳ(Operating System)からファイルが参照できないようにしているだけである。

特許文献１には、削除すべきファイルの領域に無意味な値を書き込むファイル領域ゼロクリア処理手段を備えることで機密保護をして、かつ、処理時間が長いという問題を解決するため、削除するファイルにアクセスする権限を利用者からファイル領域ゼロクリア手段に変更する方式が提案されている。

ファイル復元ツールについて

その一方、削除したファイルのデータ本体の部分をゼロクリアせず残したままにすることで、誤って削除したファイルでもデータ本体を復元することができるという利用もされている。その一例は、ディレクトリ・エントリ領域に残っている削除したファイルに関する情報を無理に読み出して、データ本体の記録されている場所を求め、データ本体を読み出し、復元したファイルとして別の媒体に記録（コピー）するのである。ファイルを削除した後に他のファイルで上書きされていないならば、このような方法で簡単に復元が可能である。また、ディレクトリ・エントリ領域のファイル情報が上書きされてもデータ本体を記録する領域全体をスキャンして読み取れる部分を復元することも可能である。このような、削除したファイルを復元するための種々の機能を提供するソフトウェアが、ファイル復元ツール(ファイル復元ソフトウェアとも言う）である。

ハードディスクに記録したデータの完全な消去について

ハードディスクに記録したデータの秘密保護は、社会的にも重要な課題となっている。たとえば会社で使用していたＰＣを廃棄するときハードディスクをフォーマットしたとしても、それだけでは不完全である。なぜならば、通常のフォーマットの処理は、ディレクトリ・エントリ領域やファイル割り当てテーブルに対して初期化をするだけであり、データ本体の内容は記録されたままであるためファイル復元ツールを使用すればフォーマットしたハードディスクからデータ本体を復元することができる。

特許文献２には、ディスクへの書込データを自動的に暗号化し、ディスクに記録されているデータを復号鍵メモリに記憶されている復号鍵によって自動的に復号化してから読み出し、廃棄又はリユースしようとするときには、復号鍵メモリをＩＣソケットから抜去するハードディスク装置が提案されている。これによれば、復号鍵メモリを抜去することでハードディスクに記録したデータが解読不可能になる。つまり、暗号化を用いることで短時間で実質的なデータの完全な消去が可能となる。

リムーバブルメディアに記録したデータを他の人に提供するときの問題について

削除したデータの秘密保護は、上記のようなＰＣを廃棄する場合だけではなく通常の運用でも問題となる。たとえば、誰か他の人にデータを提供するときリムーバブルメディアに記録して渡すことがある。しかし、リムーバブルメディアの削除したファイルは、ファイル復元ツールで復元できるのである。
リムーバブルメディアの削除したファイルとは、一度、リムーバブルメディアに記録して、後に、不要になって削除したファイルである。他の人にリムーバブルメディアを渡したならば削除したファイルをすべて読み出される可能性がある。

具体的な例で説明をする。
例えば、アリスとボブとキャロルの３人の人間の間でデータを渡す状況を想定する。

アリスがボブにデータを渡すとき、まず、アリスは、自身の所有するＰＣでリムーバブルメディアにデータのファイルを記録してボブに手渡す。

ボブは、自身の所有するＰＣでリムーバブルメディアに記録されているファイルを読み出してハードディスク等に記録（コピー）する。そして、リムーバブルメディアをアリスに返却する。

アリスは、リムーバブルメディアの不要になったファイル（ボブに提供したファイル）を削除する。

つぎに、アリスは、先ほど使用したリムーバブルメディアにキャロルに渡すデータのファイルを記録して手渡す。

もし、キャロルが所有するＰＣでファイル復元ツールが使えるならば、キャロルは、リムーバブルメディアの削除したファイルを復元することでアリスがボブに渡したデータを読み出すことができるのである。アリスとボブの間でやり取りしたデータが、キャロルに漏洩するのである。

特にフラッシュメモリを内蔵したＵＳＢメモリやメモリカードでは、酸化膜の劣化による寿命を延長するため、書き換えが集中する部分を作らないようウェアレベリングが行われる。そのため、相当量のファイルが記録されるまで削除したファイルのデータ本体は残されたままである。

情報秘匿のための暗号化について

リムーバブルメディアに記録するファイルを暗号化しておくと上記のようなデータの漏洩を防止することができる。削除した暗号化ファイルをファイル復元ツールで復元してもパスワード（暗号鍵の基になる情報）を知らないと復号化ができないため秘密が守られる。このような、ファイルの暗号化や復号化の度にパスワードを要求することで読み出せるユーザーを限定する暗号化を以降は「情報秘匿のための暗号化」と記載する。

透過的な暗号化について

上記、情報秘匿のための暗号化では、暗号化や復号化の度にパスワードを入力しなければならない。これは面倒な作業である。

そこで、実際のファイルの暗号化では、限られたユーザーだけがアクセスできる暗号化証明書を用いてパスワードを入力する手間を省いた暗号化が使われることが多い。その詳細を図５と図６を参照しながら説明する。

図５は、透過的な暗号化の説明図である。

平文５００は、暗号化する前のデータである。
共通鍵暗号方式の暗号鍵５０１は、暗号化するファイルごとに生成したランダムな値の暗号鍵である。共通鍵暗号方式の暗号鍵５０１を用いて平文５００を共通鍵暗号方式の暗号化手段５０２で暗号化すると暗号文５０７が得られる。

暗号化証明書５０３は、公開鍵暗号方式の公開鍵と秘密鍵のペアを含むデータであり、暗号化するユーザーのアカウントからのみアクセス可能である。

共通鍵暗号方式の暗号鍵５０１を暗号化証明書５０３の公開鍵５０４を用いて公開鍵暗号方式の暗号化手段５０６で暗号化すると暗号化した暗号鍵５０８が得られる。

そして、暗号文５０７の先頭に暗号化した暗号鍵５０８を付けたデータを暗号化後のデータ５０９としてファイルに記録する。

図６は、透過的な暗号化の復号化の説明図である。

暗号化後のデータ５０９をファイルから読み出して、先頭にある暗号化した暗号鍵５０８を暗号化証明書５０３の秘密鍵５０５を用いて公開鍵暗号方式の復号化手段６００で復号化すると共通鍵暗号方式の暗号鍵５０１が得られる。

暗号文５０７を共通鍵暗号方式の暗号鍵５０１を用いて共通鍵暗号方式の復号化手段６０１で復号化すると元の平文５００が得られる。

このように暗号化証明書を用いると、ファイルの暗号化や復号化のたびにパスワードを入力しなくてもよくなる。つまり、暗号化のために特別な操作をしなくても自動的に暗号化及び復号化される透過的な暗号化ができる。

上記のような、そのファイルを復号化できるユーザーアカウントを限定するために使用され、暗号化証明書を用いることで暗号化の操作を自動化した情報秘匿のための暗号化について以降は「透過的な暗号化」と記載する。

特開平０２−０９３９６１号公報 特開２００３−２７１４６０号公報

リムーバブルメディアは小型で着脱自在であるため物理的に手渡すことが容易である。しかし、リムーバブルメディアを手渡してしまうとファイル復元ツールで削除したファイルを復元される可能性がある。

特許文献１で提案されたように、ファイルのデータ本体の領域をゼロクリアすることは上記の問題を解決するが、ゼロクリアをする間、削除するファイルにアクセスする権限をファイル領域ゼロクリア手段に変更する方式では、ゼロクリアの処理が終了するまで媒体の取り外しを待つ必要があり、リムーバブルメディアでデータやプログラムを他の人に提供する場合には不向きである。

特許文献２で提案されたように、データを暗号化して記録すれば、復号鍵メモリをＩＣソケットから抜去することで、データ本体の部分をごく短時間で解読不可能にすることができる。しかし、ファイル単位の処理に対応していない。よって、リムーバブルメディアに記録して他の人にデータを提供するとき、必要なファイルのみを記録し、また、不要になったファイルを削除するという場合には不向きである。

情報秘匿のための暗号化を用いるとデータの漏洩を防止することができる。リムーバブルメディアに記録するファイルをすべて暗号化しておき、誰か他の人にデータやプログラムを提供するときには、提供したいデータやプログラムのファイルのみ復号化すればよい。

しかし、情報秘匿の暗号化を利用するとき別の問題が発生する。それは、リムーバブルメディアに記録したファイルを暗号化する処理を行うと、暗号化する前のファイルのデータ本体が削除した状態で残ってしまう問題である。

図７から図９を参照しながら、この問題を詳細に説明する。なお、暗号鍵の扱いについては説明を省略する。また、この問題の説明においては、「情報秘匿のための暗号化」を、簡単に「暗号化」と記載する。

図７は、ファイル割り当てテーブル（File Allocation Table：以下、ＦＡＴと記載する）を用いてリムーバブルメディア上のファイルを管理するファイルシステムの例において、暗号化をする前のリムーバブルメディアの状態を示す図である。

図７のリムーバブルメディア１００には、記憶域１０１があり、記憶域１０１には、ブート領域１０２、ＦＡＴ１０３、ディレクトリ・エントリ領域１０４、及び、データ本体領域１０５がある。
ディレクトリ・エントリ領域１０４の暗号化前のファイル情報１２０には、ファイル名、属性、開始クラスタ等の情報が記録されている。暗号化前のファイル情報１２０の開始クラスタの値でＦＡＴ１０３を参照すると、データ本体領域１０５に記録されている暗号化前のデータ本体１３０が使用しているクラスタの番号を得ることができる。

図８は暗号化処理中のリムーバブルメディアの状態を示す図である。

暗号化後のファイル情報１２１をディレクトリ・エントリ領域１０４に記録する。ただし、暗号化前と暗号化後のファイル名が重複するのを避けるため、暗号化前のファイル情報１２０のファイル名を一時的な仮の名前に変更して、暗号化前のファイル情報１２０が使用していたファイル名を暗号化後のファイル情報１２１のファイル名に使用する。
暗号化処理は、暗号化前のデータ本体１３０を読み出し、暗号化して暗号化後のデータ本体１３１に記録する。暗号化処理中にエラーや利用者の意識的な中断があったとき元の状態に戻せるように暗号化前のデータ本体１３０は、一時的なファイル（テンポラリーファイル）として暗号化処理が終了するまで保持される。

図９は、暗号化処理が終了したリムーバブルメディアの状態を示す図である。

暗号化前のファイル情報１２０と暗号化前のデータ本体１３０は、不要になったので削除する。

上記の説明で明らかなように、ファイルの暗号化の処理を行うと暗号化前のデータ本体１３０は、削除したファイルとして残っている。よって、ファイル復元ツールで復元することが可能である。しかも、暗号化する前の状態で残されている。

以上、情報秘匿のための暗号化の問題の説明をした。これをアリスとボブとキャロルの例にあてはめてみると以下のようになる。

アリスは、リムーバブルメディアに記録するファイルすべてに情報秘匿のための暗号化を使用していた。誰かに削除したファイルを復元されても復号化できないので安心である。

アリスは、自身の所有するＰＣで渡したいデータのファイルだけ復号化してリムーバブルメディアをボブに渡した。

ボブは、自身の所有するＰＣでリムーバブルメディアに記録されているファイルを読み出してハードディスク等に記録（コピー）する。そして、リムーバブルメディアをアリスに返却する。

アリスは、ボブに提供したファイル（復号化したファイル）に再び情報秘匿のための暗号化をする。しかし、上記の説明のとおり、復号化したファイルのデータ本体が削除した状態で残ってしまう。ボブに提供したファイルを削除しても削除したファイルが残るため問題は解決しない。つまり、キャロルがファイル復元ツールを使えるならば、データが漏洩するのを防止する効果は無かったのである。

この問題は、透過的な暗号化においても同様である。また、一般的に利用されている表計算やワードプロセッサ等のアプリケーションソフトウェアにおいてもテンポラリーファイルを作業用に使用するため同様の問題がある。つまり、意識的にファイルを削除したときだけではなく、暗号化していないファイルを暗号化したり、テンポラリーファイルを使用するアプリケーションソフトウェアを使用したときなど、様々な状況で利用者の知らぬ間に、利用者が知らないファイル名でデータ本体が削除した状態で残されるのである。

上記の問題の最も重要なことは、ファイル復元ツールで読み出し可能な削除したファイルのデータ本体が存在するにもかかわらずＯＳのファイルの一覧表示では、それが表示されないことにある。ファイルの一覧表示に表示されないファイルは読み出し不可能または読み出しても利用できない無意味なものでなくてはならないのである。

本発明が解決しようとする課題は、上記の問題点を解決することにある。

簡潔には、リムーバブルメディアにファイルを記録して他の人に渡したとき、削除したファイルをファイル復元ツールで復元されて情報が漏洩する問題を解決するため、ファイル単位の削除において、削除したファイルのデータ本体を無意味な内容にすること。さらに、短時間で処理できるようにすることにある。

本発明に係るファイルを記録する方法は、リムーバブルメディアにファイルを記録する方法であって、ファイルのデータ本体を暗号化及び復号化するための共通鍵暗号方式の暗号鍵を生成するステップと、生成するステップで生成した暗号鍵を用いてデータ本体を共通鍵暗号方式で暗号化するステップと、暗号化するステップで暗号化したデータ本体と暗号鍵とを、暗号化したデータ本体に暗号鍵を対応させてリムーバブルメディアに記録するステップと、を有することを特徴とする。

本発明に係るファイルを削除する方法は、デジタル機器が、リムーバブルメディアに記録されたファイルを削除する方法であって、デジタル機器が、操作部を用いた指示を受けて、リムーバブルメディアに記録された削除の対象のファイルを復元不可能に削除すべきか否かを示す情報を読み出した後に、ファイルを復元不可能に削除すべきか否かを読み出した情報を元に判定するステップと、判定の結果が、復元不可能に削除すべきであるならば、デジタル機器が、ファイルの暗号化したデータ本体を残したまま、ファイルを記録するときに暗号化したデータ本体に対応させてリムーバブルメディアの記憶域に記録された、暗号化したデータ本体の復号化が可能なファイル毎に固有の共通鍵暗号方式の暗号鍵の内容を無意味な値に書き換えるステップと、デジタル機器が、ファイルのファイル情報のファイル名の先頭１文字を無効なコードに書き換えてファイルを削除するステップと、を有し、書き換えるステップで暗号鍵の内容を無意味な値に書き換えると当該ファイルをファイル復元ツールで復元しても暗号化したデータ本体の復号化が不可能であることを特徴とする。

本発明に係るファイルを記録する方法をコンピュータに実行させることを特徴とするプログラムは、上記ファイルを記録する方法をコンピュータに実行させることを特徴としている。

本発明に係るファイルを削除する方法をコンピュータに実行させることを特徴とするプログラムは、上記ファイルを削除する方法をコンピュータに実行させることを特徴としている。

本発明に係るリムーバブルメディアにファイルを記録する方法、及び、記録されたファイルを削除する方法、並びにそのプログラムを適用すると、以下のような効果を奏する。

リムーバブルメディアのファイル単位でのデータ本体の無意味化が可能となる。また、ファイル容量の殆どを占めるデータ本体の部分を消去しないため処理がごく短時間で終了する。結果的に、ファイルの一覧表示に表示されない削除したファイルのデータ本体は無意味なデータのみとなることから知らぬ間にデータが漏洩するというリムーバブルメディアの問題を解決し、安心して利用できるようになる。

本発明を適用したリムーバブルメディアの状態を示した図である。 ディレクトリ・エントリ領域に記録したファイル情報の例を示す図である。 ファイル情報に記録した属性の例を示す図である。 ＦＡＴに記録したデータの例を示す図である。 透過的な暗号化の説明図である。 透過的な暗号化の復号化の説明図である。 情報秘匿のための暗号化をする前のリムーバブルメディアの状態を示す図である。 情報秘匿のための暗号化処理中のリムーバブルメディアの状態を示す図である。 情報秘匿のための暗号化処理が終了したリムーバブルメディアの状態を示す図である。 本発明を適用したパーソナルコンピュータの一例のブロック図である。 本発明の実施例のファイルを記録する方法のフローチャートである。 本発明の実施例のファイルを読み出す方法のフローチャートである。 本発明の実施例のファイルを削除する方法のフローチャートである。 本発明の実施例のファイルのデータ本体を変更する方法のフローチャートである。

図１から図４を参照して本発明の実施の形態を説明する。

図１は、ＦＡＴを用いてファイルを管理するファイルシステムで本発明を適用したリムーバブルメディアの状態を示した図である。

図１のリムーバブルメディア１００には記憶域１０１があり、記憶域１０１には、ブート領域１０２、ＦＡＴ１０３、ディレクトリ・エントリ領域１０４、及び、データ本体領域１０５がある。
ディレクトリ・エントリ領域１０４のファイル情報１１０には、ファイル名、属性、開始クラスタ等の情報を記録する。ファイル情報１１０の開始クラスタの値でＦＡＴ１０３を参照するとデータ本体領域１０５に記録された暗号化したデータ本体１１２が使用しているクラスタの番号を得ることができる。

図２は、ディレクトリ・エントリ領域１０４に記録したファイル情報１１０の例を示す図である。
ファイル情報１１０には、データ本体領域１０５に記録された暗号化したデータ本体１１２のファイル名、属性、予約領域、作成日時、更新日時、開始クラスタ、及び、ファイルサイズを記録する。
従来のファイルの削除は、ファイル名の先頭１文字を無効な文字コードに書き換える方法が使われる。ＯＳは無効な文字コードで始まるファイル名は削除したファイルとして扱うが、ファイル復元ツールはファイル名の先頭を適当な文字に置き換えてファイルを復元する。

図３は、ファイル情報１１０に記録した属性の例を示す図である。
属性には、読み取り専用、隠しファイル、システムファイル、アーカイブ、復元不可能、及び、暗号化があり、それぞれ、ビットのＯＮ・ＯＦＦで状態を示すフラグである。
復元不可能が、セット（ＯＮ）されていると本発明を適用して記録したファイルであり、そのファイルを削除すると復元不可能になることを示している。
暗号化が、セット（ＯＮ）されていると透過的な暗号化で記録したファイルであることを示している。

図４は、ＦＡＴ１０３に記録したデータの例を示す図である。
クラスタは、ＯＳが記録媒体にデータを書き込むときの最小単位であり、クラスタ番号はデータ本体領域１０５の何番目のクラスタであるかを示し、使用状況は、そのクラスタが、未使用か使用しているか、使用しているならば次にチェーンするクラスタは何番であるか、あるいはファイルの最終クラスタであるかを示している。
図４の例では、未使用ならば「００００」、使用しているならば次にチェーンするクラスタの番号、最終クラスタならば「ＦＦＦＦ」という形で表現している。
たとえば、開始クラスタ「００００」のファイルは、「００００」から「０００３」、「０００６」、「０００７」とチェーンして「０００８」で終了する。「０００４」、「０００５」、及び、「０００９」は、未使用であり、新たなファイルを記録するときに使用される。

図１の暗号化したデータ本体１１２の先頭には暗号鍵１１１を記録する。
暗号鍵１１１は、リムーバブルメディア１００に記録するファイルのデータ本体を暗号化及び復号化するための共通鍵暗号方式（例えば、ＡＥＳ(Advanced Encryption Standard)方式がある）の暗号鍵である。
暗号鍵１１１は、ファイル毎に固有の暗号鍵であり、たとえば、ファイルを記録する毎に発生させた乱数に基づいて生成する。

暗号化したデータ本体１１２には、暗号鍵１１１を用いて共通鍵暗号方式で暗号化したデータ本体を記録する。
暗号化には、公開鍵暗号方式ではなく、あえて共通鍵暗号方式を採用した。これは、ファイルの容量の殆どを占めるデータ本体を暗号化するのに必要な処理速度を得るためである。
なお、図示を省略するが、従来のファイルを記録する形態では、暗号化したデータ本体１１２は暗号化していない通常のデータ本体である。また、暗号鍵１１１は、記録されない。この点が従来のファイルの記録と相違している。

暗号鍵１１１は、透過的な暗号化とは異なり暗号化をしていない平文のデータである。よって、通常の方法で読み出せるため、当該リムーバブルメディアを受け取った人が共通のパスワード等を知らなくても暗号化したデータ本体１１２の復号化が可能である。
なお、透過的な暗号化の形態（暗号鍵１１１が暗号化証明書の公開鍵で暗号化されている共通鍵暗号方式の暗号鍵）であっても、暗号化証明書の秘密鍵を読み出し可能に当該リムーバブルメディアに記録すれば、同様の機能（パスワード等が無くても復号化可能）を得られる。

ファイルを削除するときには、先に説明した従来の削除に加えて暗号鍵１１１を消去する。
暗号鍵１１１の消去とは、暗号鍵１１１の内容を、たとえば、ゼロクリアやオール１にセットするように無意味な値に書き換えることである。
暗号鍵１１１を消去すると、暗号化したデータ本体１１２をファイル復元ツールで復元しても復号化ができないため、その内容を知ることができない。

特許文献１においては、データ本体のゼロクリアをしているが、本発明に係る方法とプログラムでは、ファイル容量の殆どを占めるデータ本体を残したままにすることで、削除の処理をごく短時間で終了させることができる。その点で相違する。

データを暗号化して記録し、そして、暗号鍵を消去することでデータを解読不可能にすることは、特許文献２に記載されている技術と同様である。相違するのは、特許文献２においては、ハードディスク装置の廃棄やリユースをするとき復号鍵メモリを抜去することで記録しているデータを全て解読不可能にすることに対して、本発明に係る方法とプログラムは、リムーバブルメディアでデータを他の人に渡すときに削除したファイルが復元される危険性についてファイル単位の処理をするため、記録するファイル毎に暗号鍵１１１を生成して記憶域１０１に読み出し可能に記録している点がある。

ところで、データ本体を共通鍵暗号方式で暗号化しておいて、その暗号化したデータ本体を復号可能な暗号鍵１１１を当該リムーバブルメディアに読み出し可能な状態で記録することは、共通鍵暗号方式では暗号鍵を秘密にするという暗号化技術の常識に反している。あたかも、重要な書類を金庫に保管して、その金庫の鍵を金庫の前に置いておくようなものである。

なぜ、暗号化技術の常識に反した方法が使えるのか。それは、リムーバブルメディアであるから、暗号鍵１１１が読み出せても暗号化の必要性があり、暗号鍵１１１が読み出せてもデータが安全だからである。

暗号鍵１１１が読み出せる暗号化の必要性は、暗号鍵１１１を消去することで暗号化したデータ本体１１２を解読不可能にすることにある。
情報秘匿のための暗号化や透過的な暗号化は、ファイルの内容を秘匿して他の人に見せないために用いられるが、本発明の実施の形態では他の人にファイルを提供するために暗号鍵１１１を読み出し可能に記録しておき、ファイルを削除するときに暗号鍵１１１を消去することでデータ本体を無意味なものにしている。いわば、「情報消去のための暗号化」である。

暗号鍵１１１が読み出せてもデータが安全かどうかは、暗号鍵１１１を読み出しておいて、暗号化したデータ本体１１２の解読に役立つかどうかということである。ところが、リムーバブルメディアにファイルを記録して誰か他の人にデータを提供するならば、その時点でデータを渡してしまうのである。暗号鍵１１１を読み出して保存しておいたとしても意味はない。暗号鍵１１１は、記録するファイル毎に生成するため他のファイルのデータ本体の復号化には使えない。また、暗号鍵１１１を他の人に提供したならば、それが漏洩して、リムーバブルメディアを手にした全く別の人によってリムーバブルメディアに残っている暗号化したデータ本体１１２が復号化されるのではないかと感じるかもしれない。しかし、それは、データを受け取った他の人が、そのデータを漏洩しないかというリスクと同じであり、結局、データを提供する相手が信用できるのかという従来からあるリスクと変わりはない。よって、本発明の実施の形態では、暗号鍵１１１が読み出せても安全には影響しないのである。

ただし、リムーバブルメディアに記録したファイルの内容を変更して再び記録するときには注意が必要である。
例えば、他の人にリムーバブルメディアを渡して、それが返却されたとき、そのリムーバブルメディアに記録しているファイルのデータ本体１１２の内容を変更して、そのままの暗号鍵１１１でデータ本体を暗号化して記録したならば、他の人が保存（コピー）しているかもしれない暗号鍵１１１で復号化できる状態が続いてしまう。そのファイルを再び提供するならば問題ないが、提供したくなくて削除したとき、暗号化したデータ本体１１２をファイル復元ツールで復元して復号化できる可能性がある。
そこで、ファイルの内容を変更したならば、新たに暗号鍵を生成してデータ本体を暗号化しなおして記録する必要がある。
なお、本発明の実施の形態のファイルを、背景技術で説明した透過的な暗号化に変更するとき、つまり、暗号鍵１１１を暗号化証明書の公開鍵で暗号化して更新するときも、同様に、いったん復号化したデータ本体を新たに生成した暗号鍵で暗号化して再び記録する必要がある。

基本的に、本発明の実施の形態のファイルに変更を加えたときは、新たに暗号鍵を生成してファイルを記録しなおすのである。そうすれば、ファイルの安全が保たれる。

以下に説明する方法及びプログラムは、通常、ＰＣでは、ＯＳに組み込まれるデバイスドライバの一部として、デジタルカメラや携帯電話等では、内臓した不揮発性半導体メモリに記録して、ＣＰＵに実行させるファームウェアの一部として提供される。

なお、リムーバブルメディアであっても本発明に係る方法を適用することが困難なメディアがある。
ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、及び、ゲーム機でよく使われるＲＯＭを内臓したメモリカード等、読み出し専用のメディアは、適用が不可能であることは自明である。
また、ＣＤ−Ｒ、ＣＤ-ＲＷ、及び、ＤＶＤ−Ｒ等は、データを記録する方法が特殊である（記録したデータの一部のみを書き換える方法が無い）ため適用が困難である。
よって、本発明を適用可能なリムーバブルメディアは、記録したデータの一部のみを書き換え可能なリムーバブルメディアである。

図１０は、本発明を適用したＰＣの一例のブロック図である。ＣＰＵ１００１と、表示部１００２と、キーボードやポインディングデバイスである操作部１００３と、メインメモリ１００４と、ハードディスク１００５と、リムーバブルメディアを着脱可能なリムーバブルメディアドライブ１００６と、リムーバブルメディアドライブ１００６に装着したリムーバブルメディア１００で構成している。そして、ハードディスク１００５には、ＯＳやリムーバブルメディアドライブ１００６を制御するデバイスドライバ等、ＣＰＵ１００１に実行させるプログラムの集まりであるプログラム１０１０と、リムーバブルメディア１００に記録するファイル１０１１が記録されている。
なお、リムーバブルメディアドライブ１００６に装着したリムーバブルメディア１００は、予めフォーマットをしている。

次に、図１１から図１４を参照して本実施例の動作について詳細に説明する。

［ファイルを記録する方法］

図１１は、ハードディスク１００５に記録したプログラム１０１０がメインメモリ１００４に読み込まれてＣＰＵ１００１が実行する、リムーバブルメディア１００にファイルを記録する方法のフローチャートである。

暗号鍵を生成するステップＳ１は、リムーバブルメディアに記録するファイルのデータ本体を暗号化及び復号化するための共通鍵暗号方式の暗号鍵を生成する。具体的には、ファイル毎に発生させた乱数に基づいて暗号鍵を生成する。

ファイルを読み出すステップＳ２は、ハードディスク１００５に記録しているファイル１０１１をメインメモリ１００４に読み出す。

データ本体を暗号化するステップＳ３は、ステップＳ１で生成した暗号鍵を用いてステップＳ２で読み出したファイル１０１１のデータ本体を共通鍵暗号方式で暗号化する。

ファイルを記録するステップＳ４は、データ本体を暗号化するステップＳ３で暗号化したデータ本体と暗号鍵を生成するステップＳ１で生成した暗号鍵とを、暗号化したデータ本体に暗号鍵を対応させてリムーバブルメディアのデータ本体領域１０５に記録する。また、ファイル名などのファイル情報１１０をファイル１０１１の情報を基にして記録し、さらに、ＦＡＴ１０３のクラスタ使用状況を更新する。なお、ファイル情報１１０の復元不可能の属性はセット（ＯＮ）して記録する。そうすることで、ファイルの読み出し、削除、変更のとき本発明を適用して記録されていることが判定できる。

なお、この実施例において、暗号鍵１１１は、暗号化したデータ本体１１２の先頭に記録することで暗号化したデータ本体１１２の暗号化に用いた暗号鍵であると対応させている。他にも、例えば、暗号鍵１１１をディレクトリ・エントリ領域１０４のファイル情報１１０の予約領域に記録することもできる。この場合は、暗号化したデータ本体１１２とファイル情報１１０との関係から対応させている。
つまり、暗号鍵１１１は暗号化したデータ本体１１２に対応させて当該リムーバブルメディア１００の記憶域１０１に記録すればよい。

［ファイルを読み出す方法］

図１２は、ハードディスク１００５に記録したプログラム１０１０がメインメモリ１００４に読み込まれてＣＰＵ１００１が実行する、リムーバブルメディアに記録したファイルを読み出す方法のフローチャートである。

ファイル情報を読み出すステップＳ１１は、表示部１００２と操作部１００３を用いて指示された読み出すファイルのファイル情報１１０をメインメモリ１００４に読み出す。

復元不可能であるか判定するステップＳ１２は、読み出したファイル情報１１０の復元不可能の属性が、セットされているならば復元不可能（ＹＥＳ）と、セットされていないならば復元可能（ＮＯ）と判定する。

判定の結果が復元可能、ならば、データ本体を読み出すステップＳ１６を実行する。

データ本体を読み出すステップＳ１６は、ファイル情報１１０の開始クラスタからＦＡＴ１０３を参照して、データ本体領域１０５に記録しているデータ本体をメインメモリ１００４に読み出して終了する。

判定の結果が復元不可能、ならば、暗号鍵を読み出すステップＳ１３を実行する。

暗号鍵を読み出すステップＳ１３は、ファイル情報１１０の開始クラスタからＦＡＴ１０３を参照して、データ本体領域１０５に記録している暗号鍵１１１をメインメモリ１００４に読み出す。

暗号化したデータ本体を読み出すステップＳ１４は、暗号鍵１１１の後ろに記録している暗号化したデータ本体１１２をメインメモリ１００４に読み出す。

暗号化したデータ本体を復号化するステップＳ１５は、メインメモリ１００４に読み出した暗号鍵１１１を用いて共通鍵暗号方式で暗号化したデータ本体１１２を復号化して終了する。

［ファイルを削除する方法］

図１３は、ハードディスク１００５に記録したプログラム１０１０がメインメモリ１００４に読み込まれてＣＰＵ１００１が実行する、リムーバブルメディアに記録されたファイルを削除する方法のフローチャートである。

ファイル情報を読み出すステップＳ２１は、表示部１００２と操作部１００３を用いて指示された削除の対象のファイルのファイル情報１１０をメインメモリ１００４に読み出す。

リムーバブルメディアの削除の対象のファイルを復元不可能に削除すべきか否かを判定するステップＳ２２は、ステップＳ２１で読み出したファイル情報１１０の復元不可能の属性が、セットされているならば復元不可能に削除すべき（ＹＥＳ）と、セットされていないならば復元可能に削除すべき（ＮＯ）と判定する。

判定の結果が復元可能に削除すべきであるならば、従来のファイル削除のステップＳ２４を実行する。

判定の結果が復元不可能に削除すべきであるならば、ファイルの暗号化したデータ本体を残したまま、暗号鍵を消去するステップＳ２３を実行する。

暗号鍵を消去するステップＳ２３は、暗号化したデータ本体に対応させてリムーバブルメディアに記録された、暗号化したデータ本体を復号可能な共通鍵暗号方式の暗号鍵を消去する。具体的には、削除の対象のファイルのファイル情報１１０の開始クラスタからＦＡＴ１０３を参照して、データ本体領域１０５に記録された、削除の対象のファイルの暗号鍵１１１を消去する。

従来のファイル削除のステップＳ２４は、削除の対象のファイルのファイル情報１１０のファイル名の先頭１文字を無効なコードに書き換えて終了する。

なお、ファイル情報１１０の復元不可能の属性が、セットされていて（復元不可能に削除すべき）、かつ、暗号化の属性が、セットされている（透過的な暗号化）ならば、暗号鍵１１１は、暗号化証明書の公開鍵で暗号化されているので、それを消去する。

［ファイルのデータ本体を変更する方法］

図１４は、ハードディスク１００５に記録したプログラム１０１０がメインメモリ１００４に読み込まれてＣＰＵ１００１が実行する、リムーバブルメディアに記録されたファイルのデータ本体を変更する方法のフローチャートである。

ファイル情報を読み出すステップＳ４０１は、表示部１００２と操作部１００３を用いて指示された変更するファイルのファイル情報１１０をメインメモリ１００４に読み出す。

復元不可能であるか判定するステップＳ４０２は、読み出したファイル情報１１０の復元不可能の属性が、セットされているならば復元不可能（ＹＥＳ）と、セットされていないならば復元可能（ＮＯ）と判定する。

判定の結果が復元可能、ならば、データ本体を読み出すステップＳ４１５を実行する。

データ本体を読み出すステップＳ４１５は、ファイルを読み出す方法のデータ本体を読み出すステップＳ１６と同様である。そして、データ本体を編集するステップＳ４０６を実行する。

判定の結果が復元不可能、ならば、暗号鍵を読み出すステップＳ４０３を実行する。

暗号鍵を読み出すステップＳ４０３は、ファイルを読み出す方法の暗号鍵を読み出すステップＳ１３と同様である。

暗号化したデータ本体を読み出すステップＳ４０４は、ファイルを読み出す方法の暗号化したデータ本体を読み出すステップＳ１４と同様である。

暗号化したデータ本体を復号化するステップＳ４０５は、暗号鍵を読み出すステップＳ４０３で読み出した暗号鍵を用いて、共通鍵暗号方式で、暗号化したデータ本体を読み出すステップＳ４０４で読み出した暗号化したデータ本体を復号化する。そして、データ本体を編集するステップＳ４０６を実行する。

データ本体を編集するステップＳ４０６は、表示部１００２と操作部１００３を用いた指示によりメインメモリ１００４の復号化されたデータ本体の内容を編集（変更）する。

変更ありか否かを判定するステップＳ４０７は、データ本体を編集するステップＳ４０６を実行した結果、データ本体の内容に変更が生じたか否かを判定する。
判定の結果、変更が生じていない（ＮＯ）ならば、終了する。
変更が生じた（ＹＥＳ）ならば、旧ファイルのファイル名を変更するステップＳ４０８を実行する。

旧ファイルのファイル名を変更するステップＳ４０８は、リムーバブルメディアに記録している変更前のファイルのファイル情報１１０のファイル名を適当な仮のファイル名に変更する。

復元不可能であるか判定するステップＳ４０９は、読み出したファイル情報１１０の復元不可能の属性が、セットされているならば復元不可能（ＹＥＳ）と、セットされていないならば復元可能（ＮＯ）と判定する。

判定の結果が復元可能、ならば、従来の方法でファイルを記録するステップＳ４１６を実行する。

従来の方法でファイルを記録するステップＳ４１６は、メインメモリ１００４の変更後のデータ本体を従来の方法でリムーバブルメディアに新たなファイルとして記録する。そして、旧ファイルを従来の方法で削除するステップＳ４１４を実行する。

判定の結果が復元不可能、ならば、暗号鍵を生成するステップＳ４１０を実行する。

暗号鍵を生成するステップＳ４１０は、ファイルを記録する方法の暗号鍵を生成するステップＳ１と同様である。

データ本体を暗号化するステップＳ４１１は、ステップＳ４１０で生成した暗号鍵を用いてメインメモリ１００４の変更後のデータ本体を共通鍵暗号方式で暗号化する。

ファイルを記録するステップＳ４１２は、データ本体を暗号化するステップＳ４１１で暗号化したデータ本体と暗号鍵を生成するステップＳ４１０で生成した暗号鍵とを、新たなファイルとして暗号化したデータ本体に暗号鍵を対応させてリムーバブルメディア１００のデータ本体領域１０５に記録する。なお、ファイル情報やＦＡＴの記録は、ファイルを記録する方法と同様である。

旧ファイルの暗号鍵を消去するステップＳ４１３は、ファイルを削除する方法の暗号鍵を消去するステップＳ２３と同様の方法でデータ本体を変更する前の旧ファイルの暗号鍵を消去する。

旧ファイルを従来の方法で削除するステップＳ４１４は、ファイルを削除する方法の従来のファイル削除のステップＳ２４と同様の方法でデータ本体を変更する前の旧ファイルを削除して終了する。

なお、説明を省略するが、本発明の実施の形態のファイルを、背景技術で説明した透過的な暗号化のファイルの形態に変更するときは、上記と同様に、読み出したデータ本体を、いったん復号化して、新たに生成した暗号鍵で暗号化しなおし、また、生成した暗号鍵を暗号化証明書の公開鍵を用いて暗号化して、ファイルを記録する。これにより、透過的な暗号化の形態に変更する前の暗号鍵を保存していても、透過的な暗号化のファイルのデータ本体の復号化は不可能となる。

以上のように本発明に係る方法を適用してリムーバブルメディアに記録したファイルは、データ本体を暗号化していても、暗号鍵を当該リムーバブルメディアに読み出し可能に記録しているため、パスワードや暗号化証明書が無くてもファイルを読み出して復号化することが可能である。そして、ファイルを削除するときには、従来の削除のステップに加えて暗号鍵の消去をする。これにより、削除したファイルをファイル復元ツールで復元してもデータ本体の復号化が不可能となる。

なお、本実施例では、復元不可能に削除するか否かをファイル情報の復元不可能という属性を使用して、ファイル個々に示したが、当該リムーバブルメディアに記録するファイルを全て復元不可能な方法で記録することも可能である。例えば、ファイルのフォーマットの形式であるファイルフォーマットタイプに新たな形式を設定してフォーマットし、リムーバブルメディアを装着したときの認識において新たな形式であるか否かを判定する。ファイルの記録、読み出し、及び、削除等において、そのファイルフォーマットタイプによって復元不可能にするか否かを判定すればよい。

本発明は、ＰＣ、携帯電話、及び、デジタルカメラ等、リムーバブルメディアを装着可能なデジタル機器に採用が可能であって、リムーバブルメディアを物理的に渡すことでリムーバブルメディアの削除したファイルがファイル復元ツールによって復元され、そのデータが漏洩するというセキュリティ上の問題を解決するものであって、産業上の利用の可能性は多岐にわたる。

１００ リムーバブルメディア
１０１ 記憶域
１０２ ブート領域
１０３ ＦＡＴ
１０４ ディレクトリ・エントリ領域
１０５ データ本体領域
１１０ ファイル情報
１１１ 暗号鍵
１１２ 暗号化したデータ本体
１２０ 暗号化前のファイル情報
１２１ 暗号化後のファイル情報
１３０ 暗号化前のデータ本体
１３１ 暗号化後のデータ本体
５００ 平文
５０１ 共通鍵暗号方式の暗号鍵
５０２ 共通鍵暗号方式の暗号化手段
５０３ 暗号化証明書
５０４ 公開鍵
５０５ 秘密鍵
５０６ 公開鍵暗号方式の暗号化手段
５０７ 暗号文
５０８ 暗号化した暗号鍵
５０９ 暗号化後のデータ
６００ 公開鍵暗号方式の復号化手段
６０１ 共通鍵暗号方式の復号化手段
１００１ ＣＰＵ
１００２ 表示部
１００３ 操作部
１００４ メインメモリ
１００５ ハードディスク
１００６ リムーバブルメディアドライブ
１０１０ プログラム
１０１１ リムーバブルメディアに記録するファイル

Claims (2)

1. デジタル機器が、リムーバブルメディアに記録されたファイルを削除する方法であって、
   デジタル機器が、操作部を用いた指示を受けて、前記リムーバブルメディアに記録された削除の対象のファイルを復元不可能に削除すべきか否かを示す情報を読み出した後に、前記ファイルを復元不可能に削除すべきか否かを前記読み出した情報を元に判定するステップと、
   前記判定の結果が、復元不可能に削除すべきであるならば、
   デジタル機器が、前記ファイルの暗号化したデータ本体を残したまま、前記ファイルを記録するときに前記暗号化したデータ本体に対応させて前記リムーバブルメディアの記憶域に記録された、前記暗号化したデータ本体の復号化が可能な前記ファイル毎に固有の共通鍵暗号方式の暗号鍵の内容を無意味な値に書き換えるステップと、
   デジタル機器が、前記ファイルのファイル情報のファイル名の先頭１文字を無効なコードに書き換えて前記ファイルを削除するステップと、
   を有し、前記書き換えるステップで前記暗号鍵の内容を無意味な値に書き換えると当該ファイルをファイル復元ツールで復元しても前記暗号化したデータ本体の復号化が不可能であることを特徴とするファイルを削除する方法。
2. 請求項１に記載のファイルを削除する方法をコンピュータに実行させることを特徴とするプログラム。

Images