JP4648239B2 - 論理的役割による制御を保証しながらデータ格納のセキュリティを確保するための方法および装置 - Google Patents

Description

本発明は、強化されたセキュリティ機能を提供する格納サブシステムに関し、特に、格納サブシステムのセキュアデータ領域へのアクセスを制御するためのシステムおよび手法に関するものである。

通常、フラッシュメモリ素子および脱着式格納装置を含むディスクドライブおよび他の格納サブシステムは、それらの組み込み電子回路の中に、（しばしば、マイクロプロセッサと称される）プロセッサを有している。プロセッサは、格納されたデータのほかに、計算処理を隠すために用いられる。多くのセキュリティ関連のアプリケーション、および、アプリケーション提供者が、アプリケーションあるいはコンテンツの不正使用に対して防護を求める多くのアプリケーションでは、秘密の方法で、何がしかの計算処理を行なうことが好ましいものとなる。この秘密の方法には、暗号証明あるいは共有鍵に関する単純な知識により資源を解除するために用いられる秘密鍵がある。また、秘密の方法で計算機処理を行なうものとしては、格納装置の外部のソフトウェアあるいはコンテンツに所定の動作をさせるために用いられる何がしかの計算処理を隠すものもある。

一般的に、強化されたセキュリティ機能を提供する格納サブシステムを提供する装置は、権限のないアクセスからデータを保護するために、様々な手段を用いている。この手法には、様々な認証方法を用いて、表データ領域を保護するものがある。

セキュリティを守るべきデータ領域に関する潜在的な問題の一つとして、セキュリティを守るべきデータ領域へのユーザアクセスにまつわる問題がある。特に、その領域に対しては、アクセスが認可されたユーザと、アクセスが禁止されたユーザが存在する。いくつかの場合において、このアクセスの問題は、望ましくない結果をもたらす恐れがあり、特に、機密となっているデータ領域が、例えば、悪意のある者、あるいは許可されていない者によって、認証がなされる場合である。

汎用セキュリティデータ領域の目的の一つに、第三者のソフトウェアベンダが、ディスクドライブあるいは他の格納サブシステム上の隠されたセキュリティ区画（ＳＰ）に対して、制御する権限を許可することがある。一旦、ソフトウェアベンダが制御する権限を取得した後は、任意の方法で、その区画内のデータに対してアクセス制御を行なうことが可能となる。不幸にも、ソフトウェアベンダがセキュリティ区画内のデータにアクセスする格納サブシステムのオーナーを拒絶することもあり得る。第三者のソフトウェアベンダが、データに対するオーナーのアクセス権限を拒絶することが通例となっている一方で、そのオーナーは、常に、関連するソフトウェアを明示的にインストールし、さらに、そのソフトウェアを削除するという選択権が与えらるのが一般的とされる。装置のオーナーあるいは装置のユーザの許可なしに、セキュリティ区画を生成できる権限がアプリケーションに与えられている場合、そのユーザも装置の製造者のいずれもがアクセスできないようなセキュリティ区画を格納サブシステム上に生成することが可能となる。すなわち、データは、ユーザ、装置のオーナーあるいは製造者から隠された存在となり、このことは、悪意あることであるが、データへはアクセスできない状態が続く。
したがって、データ格納において、セキュリティ区画の発行と利用を制御および管理するシステムおよび方法が必要とされる。本発明の実施例は、これらおよびその他の問題に対する解決策を提供し、従来技術にない利点を奏する。

強化されたセキュリティ機能を有する格納装置は、格納媒体と、インターフェースとコントローラを含んでいる。インターフェースは、格納装置とホストシステムとを通信可能となるように接続するよう構成されている。コントローラは、格納装置の内部に設けられ、情報を格納媒体から読取り、格納媒体に書込むように構成されている。コントローラは、セキュリティ区画の生成コマンドをインターフェースを介して受信する前に、格納装置の製造者から、セキュリティ区画認証を求めるように構成されている。

本発明の一実施例は、格納装置の格納媒体上にセキュリティ区画を生成するための管理方法を示すものである。セキュリティ区画要求は、格納装置内に設けられたコントローラによって取得される。セキュリティ区画要求は、インターフェース接続により格納媒体に接続されたホストシステムから受信されるものである。セキュア接続は、認証サーバがコントローラを用いて確立するものとなっている。セキュア接続は、コントローラと認証サーバとの間のセキュアな接続を提供するものであり、この接続を介して、コントローラは、要求されたセキュリティ区画を生成するために、セキュリティ区画の承認を要求する。セキュリティ区画認証を受けて、コントローラは、セキュリティ区画を実際に格納媒体上に生成する。

本発明の他の実施例では、格納装置は、ホストシステムに接続されている。格納装置は、格納媒体、読取り／書込み機構およびコントローラを有している。読取り／書込み機構は、情報を格納媒体から読取り、格納媒体に書込むために、格納媒体に接続されている。コントローラは、格納装置の内部に設けられ、読取り／書込み機構に接続されている。コントローラは、格納媒体への情報の読取りと書込みを制御するように構成されている。コントローラは、セキュリティ区画の生成要求をホストシステムから受取り、受取った要求に応じたセキュリティ区画の生成に先立ち、認証サーバからのセキュリティ区画認証を要求するように構成されている。

本発明の実施例の特徴となる他の特性と効果は、以下の詳細な説明と添付図面によって説明される。

図１は、本発明の一実施例が有用となるようなディスクドライブ１００の斜視図である。ディスクドライブ１００は、ベース１０２と（不図示の）トップカバーをもつハウジングを含んでいる。さらに、ディスクドライブ１００は、ディスクパック１０６を含んでおり、ディスクパックは、ディスククランプ１０８により（不図示の）スピンドルモータ上に取り付けられている。ディスクパック１０６は、複数のディスクを含んでおり、これらのディスクは、中心軸１０９の回りに共に回転するように取り付けられている。各ディスクの表面には、対応するディスクヘッドスライダ１１０が設けられ、個々のスライダは、ディスク表面と通信可能となるようにディスクドライブ１００に取り付けられている。

図１に示した実施例では、スライダ１１０は、アクチュエータ１１６のトラックアクセスアーム１１４に順に取り付けられたサスペンション１１２により支持されている。図１に示したアクチュエータは、回転式ムービングコイル型アクチュエータとして知られている種類のものであり、要素１１８で示したボイスコイルモータ（ＶＣＭ）を含んでいる。ボイスコイルモータ１１８は、ピボット軸１２０を中心にして、スライダ１１０に取り付けられたヘッドとともにアクチュエータ１１６を回転させ、ディスク内径１２４とディスク外径１２６の間の弓形の軌跡１２２に沿って、スライダ１１０上のヘッドを動かし、所定のデータトラック上に位置決めする。ボイスコイルモータ１１８は、スライダ１１０上に取り付けられたヘッドと、インターフェース１０３を介したホストシステム１０１により生成された信号にもとづき、サーボ系電子回路１３０により駆動される。最近では、電子回路１３０は、通常、少なくとも一つのマイクロプロセッサあるいはコントローラ、およびファームウェアを含んでいる。

当業者であれば、本発明が、例えば、図１に示されるような格納サブシステムに用いることを意図したものであることは容易に理解できるものとなっている。さらに、本発明は、フラッシュメモリドライブ、ＭＲＡＭ、ＥＥＰＲＯＭなどの格納装置、あるいはセキュア領域を生成し保持できる任意の格納手段をもつ格納装置やシステムで用いることが可能となっている。ここで用いる用語「セキュア」とは、対象となる要素、位置、セクタあるいはこれらに相当するものへのアクセスが限定されることを指している。通常は、セキュアデータ領域は、許可されたユーザあるいは装置のみによりアクセス可能となっている。

一般的に、本発明は、４つの論理的要素（あるいは論理的役割）から構成されている。すなわち、格納装置の製造者あるいはその製造者の代理人（製造者）、格納装置の装置オーナーあるいはその代理人、セキュリティ区画への排他的なアクセス権を所有することが可能なソフトウェアのアプリケーション・オーナー、そして、ソフトウェア・アプリケーションのユーザの４者である。これらの論理的役割は、格納装置上のセキュリティ区画（ＳＰ）へのアクセスを制御するために、格納システム内のコントローラにより用いられる。用語「セキュリティ区画」とは、アクセスが厳密に管理された、格納媒体上の論理的領域を指すものである。いくつかの例では、セキュリティ区画は、ホストのオペレーティング・システムからは隠れた存在となっていて、これは、ホストのオペレーティング・システムは、格納媒体のその領域が存在することを認識していないことを意味している。用語「コントローラ」は、格納媒体上に格納された情報にアクセスするためのデータアクセス許可に関する制限を行なうように構成された回路および／あるいはソフトウェアを指している。コントローラは、ファームウェアを含むものであってもよい。

このようなセキュリティ区画に関する潜在的な問題の一つとして、装置オーナーがアクセスしないセキュリティ区画の生成についての問題がある。このようなセキュリティ区画が、悪用を目的として生成されたり、そのコンテンツに悪意のあるスクリプトやプログラムが含まれる場合、セキュリティ区画は、ドライブ上の他のデータに損害を与えるように用いられる可能性がある。従って、格納装置上のセキュリティ区画の生成を管理するためのシステムおよび方法を提供することが望まれる。

当業者は、複数アプリケーション・スマートカードとして知られるスマートカードの類は、ここで用いられるような格納装置であると考えるかもしれないが、本発明の実装と、スマートカードの実装には根本的な違いがある。複数アプリケーション・スマートカードの場合、格納媒体自身は、論理的役割に応じて区画が分けられることはない。スマートカードは、スマートカード内で実行される、異なるソフトウェア・アプリケーションを、異なるソフトウェアベンダに割り当てるものとなっている。

本発明では、格納装置は、異なるＳＰを、異なるソフトウェアベンダに対して排他的に割り当てるものとなっている。これらのＳＰは、同一のアプリケーションを共有することが可能となったり、共有することが不可能となるものであるが、不揮発性メモリの区画に対し、格納装置が排他的に利用できる権限を有することが、本発明の特徴となっている。

論理的役割は、これらの排他的な区画の割当て、管理、および配置の手順の各段階を通して、これらの区画を制御することに適用される。これにより、単一の複数アプリケーション・スマートカードではなく、多数の複数アプリケーション・スマートカードによって格納装置が構成できるという効果が得られる。論理的役割に対する制御は、個々の単数アプリケーション・スマートカードの各々に対して依存するものとはならず、一貫したものとなる。各ＳＰに対しては、異なるベンダあるいは異なるユーザが存在する可能性があるが、格納装置のオーナーおよび装置の製造者は、論理的な権利と義務も有している。製造者は、セキュリティ区画が単一のベンダのみに排他的に設けられることを保証しなければならない。装置のオーナーは、装置を削除あるいは一時的に使用停止できる権利を有する必要があるが、ユーザが権利を有しているような、そのコンテンツを検査する権利については、必ずしも権利を有する必要はない。

図２は、本発明の実施例における、ＳＰ発行管理システム２００を示すものである。システム２００は、認証サーバ２０２とホストシステム２０４を含み、装置オーナーにより所有されている。認証サーバ２０２は、装置製造者により、製造者の代理人により、あるいは、製造者のライセンス取得者により管理されるかライセンス供与されたサーバである。好ましくは、格納ドライブの製造者は、認証サーバ２０２の管理において、能動的な役割を担っている。通常は、ホストシステム２０４は、オペレーティング・システム２０５と、（アプリケーション・オーナーにより生成され所有される）一つあるいはそれ以上の数のソフトウェア・アプリケーションを有しており、これらは、情報を処理するためにユーザにより利用される。

ホストシステム２０４は、ネットワーク２０６を介して、認証サーバ２０２に接続されている。ネットワーク２０６は、ローカル・エリア・ネットワーク、広域エリアネットワーク、（例えば、古くからある単純な電話回線やＰＯＴＳなどの）公衆交換回線ネットワーク、デジタルネットワーク、携帯電話ネットワーク、あるいは、サーバとクライアントの間で電子信号を伝送することが可能な任意の通信媒体である。特に、ネットワーク２０６は、認証サーバ２０２とホストシステム２０４との間の通信リンクを担うことが可能となっている。

ホストシステム２０４は、通常、インターフェース２０９を介して格納装置２０７に接続されている。格納装置２０７は、セキュリティ区画２１０を有する格納媒体２０８と、格納媒体２０８へのアクセスを制御し（特に、既存のセキュリティ区画２１０へのアクセスを制御し、製造者２０２の承認がなければ新たなセキュリティ区画２１０の生成を禁止する）コントローラ２３０と、コントローラ２３０のファームウェア２３２とを含んでいる。ホストシステム２０４は、パソコン、メモリを搭載した無線電話、あるいは、セキュリティ区画を設けることが望まれるメモリを搭載したその他の装置であってよい。格納装置２０７は、ランダムアクセスメモリ（ＲＡＭ）、ＭＲＡＭ、ＥＥＰＲＯＭ格納装置、フラッシュメモリドライブ、ハードディスク、フロッピディスクあるいは脱着式ディスク、あるいは、インターフェース２０９を介してホストシステム２０４が接続された他の種類の格納装置である。格納装置２０７が、ホストシステム２０４に内蔵されている場合には、ＡＴＡあるいはＳＣＳＩインターフェースなどのインターフェース２０９により、格納装置２０７がホストシステム２０４のプロセッサに接続されている。また、格納媒体２０８は、ネットワーク２０６を介してアクセス可能な、独立型の格納装置を含むものであってもよい。

通常、セキュリティ区画２１０は、格納媒体２０８上のデータ領域であり、そこへのアクセスは、コントローラ２３０とそのファームウェア２３２により制限されている。一実施例においては、セキュリティ区画２１０は、格納媒体２０８上の隠されたデータ領域である。特に、隠れたセキュリティ区画２１０は、ホストシステム２０４のオペレーティング・システムがその存在を認識していないデータ領域である。

本発明の一実施例によれば、セキュリティ区画２１０は、ソフトウェア・アプリケーションによって利用するために生成され、ソフトウェア・アプリケーションは、ユーザがアクセスできないデータを、セキュリティ区画２１０に格納する。上述したように、ホストシステム２０４のオーナーあるいはユーザの許可なしに、アプリケーションのオーナーが、悪意をもって意図的に、あるいは偶発的に、セキュリティ区画２１０を生成した場合には、特定の問題が発生する。

従って、本発明は、格納装置のコントローラ２３０と認証サーバ２０２との間を結ぶ、セキュリティが確保されたネットワーク接続を介して、格納装置２０７上へのセキュリティ区画の生成を制御することを目的としている。ホストシステム２０４は、ネットワーク２０６を介して、認証サーバ２０２からのＳＰ生成のための要求をトリガする。認証サーバ２０２は、ホストシステム２０４による、格納媒体２０８上へのセキュリティ区画２１０の生成を承認し、ホストシステム２０４のオペレーティング・システム２０５をバイパスし、直接、格納装置２０７のコントローラ２３０を介して、格納媒体２０８へトンネル接続する。この承認に従い、コントローラ２３０は、格納装置２０７の格納媒体２０８上に、セキュリティ区画２１０を生成する。このようにして、製造者は、新しいセキュリティ区画が正しく承認されたことを確認できる。これにより、ホストシステム２０４のオペレーティング・システム２０５を信頼する必要なしに、コントローラ２３０を直接承認して、セキュリティ区画２１０の生成を承認することにより、製造者は、格納装置２０７の格納媒体２０８上へのセキュリティ区画２１０の生成を制御することができる。

一般的に、用語「トンネル接続する」あるいは「トンネル接続された」とは、セキュリティを確保してホストに伝送される通信のことを指している。本実施例では、セキュアソケット層プロトコルを用いて、認証サーバ２０２とホストシステム２０４との間の接続を確立し、更に、（ＩＰセキュリティプロトコルやカスタムセキュリティプロトコルなど）第二の「軽量」プロトコルを用いて、セキュアソケット層リンク内を通る情報を暗号化し、認証サーバ２０２と、格納装置２０７のコントローラ２０３との間を、セキュリティを確保して直接接続することが可能となる。

本実施例は、ホストシステム２０４のユーザは、ソフトウェア・アプリケーションを、アプリケーションサーバ２１４からダウンロードすることを要求するものである。通常、この要求処理には、セキュリティを確保したトランザクションが含まれ、このトランザクションは、アプリケーションサーバ２１４とホストシステム２０４とを接続するネットワーク上の、セキュアソケット層（ＳＳＬ）リンクあるいはセキュリティが確保された支払いプロトコル接続を介して実行される。要求されたアプリケーションは、セキュリティ区画を必要とするため、アプリケーションサーバ２４１は、アプリケーションサーバと認証サーバ２０２との間でセキュアリンクあるいはトンネル接続２１８を確立し、ホストシステム２０４にＳＰの生成を要求する。

アプリケーションサーバ２１４（あるいは要求するアプリケーション）が信頼されたならば、認証サーバ２０２は、ネットワーク２０６上で、認証サーバ２０２と格納媒体２０８との間のトンネル接続２２０を確立する。本発明では、用語「信頼された（ｔｒｕｓｔｅｄ）」とは、二つの構成要素間の「信頼（Ｔｒｕｓｔ）」関係を確立するための「信頼された（Ｔｒｕｓｔｅｄ）ドライブ」プロトコルを指す。一方、用語「信頼された（Ｔｒｕｓｔｅｄ）」とは、契約あるいは実施許諾契約により確立された関係を指す。次に、認証サーバ２０２は、格納装置２０７のコントローラ２３０による、格納媒体２０８上へのＳＰの生成を承認し、インストールが行なうことが可能となる。このようにして、認証サーバ２０２は、ホストシステム２０４が、格納媒体２０８上にセキュリティ区画２１０を生成することに対する厳格な制御を実現する。この制御の実現により、システム２００は、信頼されたアプリケーションのために全てのセキュリティ区画２１０が生成され、悪意のあるアプリケーションに対しては生成されないことを保証する。さらに、一つあるいはそれ以上の数のセキュリティ区画２１０の生成には、アクセス制御を初期化する処理も含まれ、この処理により、（製造者、アプリケーション・オーナー、装置オーナー、装置ユーザなどの）様々な役割の各々に対し、各セキュリティ区画２１０へのアクセス権限が確立される。セキュリティ区画の生成時に、認証サーバ２０２がアクセス権限を初期化することにより、生成されたセキュリティ区画２１０に対するアクセス権限について何がしかのレベルを所定の役割が持つことが保証される。特に、製造者および装置オーナーに対して、一旦生成されたセキュリティ区画２１０を削除できる権限が与えられるという理由があれば、これらの役割は、セキュリティ区画２１０に対するアクセス権限について、何がしかのレベル有することとなる。従って、セキュリティ区画２１０の生成処理には、格納媒体２０８上にコントローラ２３０がセキュリティ区画２１０を生成するか初期化する処理と、セキュリティ区画２１０に関するアクセス制御を初期化する処理とが含まれることとなる。本実施例では、アクセス制御の初期化には、セキュリティ区画内に格納された認証テーブルあるいはアクセス制御リストの作成を含んでおり、この認証テーブルは、論理的役割に応じて、セキュリティ区画へのアクセスが許可されたユーザ（あるいは装置）を定義したものである。認証テーブルには、各々の役割に対応した（読込み／書込み共に可能、読込みのみ可能、削除可能などの）アクセス権限が含まれている。好ましくは、コントローラ２３０は、セキュリティ区画２１０に対するアクセス制御の初期化処理を実行するものとなっている。特に、コントローラ２３０は、セキュリティ区画２１０にアクセス可能な構成要素の役割を含めて、アクセス制御を初期化することが好ましい。

通常、ホストシステム２０４の装置オーナーには、セキュリティ区画２１０の削除あるいは一時的な使用停止を行なうための許可が与えられている。この装置オーナーへ与えられた許可は、アプリケーション・オーナー、ユーザ、更に、製造者に対して与えられたあらゆる並列の許可を上書きする。これにより、装置オーナーが、何らかの理由により、セキュリティ区画２１０を削除しようと思った場合には、装置オーナーは、その区画を一時的に使用停止とするか削除するかを選択できる。もし、装置オーナーがユーザとしての役割も担っている場合には、ユーザは、その区画を一時的に使用停止とするか削除するかを選択できる。同様に、装置オーナーは、アプリケーションとそれに対応したセキュリティ区画２１０を有するか有しないかを選択できる。この場合、装置オーナーは、他のソフトウェア・アプリケーションと同様にセキュリティ区画を取扱い、その区画を単純に削除することも可能である。

本実施例では、サーバ２０２とホストシステム２０４は、セキュリティ確保の要求が発行された場合に、ネットワーク２０６を介して接続される。しかし、装置オーナーが、セキュリティ区画を一時的に使用停止したり削除しようと決めた際には、ホストシステム２０４は、サーバ２０２に接続される必要はない。

サーバ２０２を介してネットワーク２０６を経て、セキュリティ確保の要求の発行の管理を行なうことにより、製造者認証がなければ、発行処理（セキュリティ区画の発行処理）は行なわれないこととなり、これにより、セキュリティ区画２１０が悪意をもって生成され維持されることがないことを保証するレベルが確立される。さらに、コントローラ２３０とサーバ２０２との間で、ホスト２０４を介してセキュリティを確保した通信を確立することにより、サーバ２０２は、ホスト２０４を信頼する必要なしに、セキュリティ区画の生成のための承認を行なうことが可能となる。

好ましくは、製造の段階で、格納装置２０７の製造者が、コントローラ２３０を構成あるいは調整し、認証サーバ２０２からの承認がなければ、セキュリティ区画の生成を禁止するようにすることもできる。格納装置２０７へのセキュリティ区画２１０の生成に対する要求は、インターフェース２０９を介してホスト２０４からコマンドとして受信する。もう一つの方法としては、その要求を、インターフェース２０９を介して、直接、ホスト２０４によってセキュリティ区画２１０を生成しようとしたり、あるいは、ホスト２０４のオペレーティング・システム２０５で実行するアプリケーションによって生成しようとする試みとして受信することも可能である。好ましくは、セキュリティ区画の生成に先立ち、セキュリティ区画２１０を生成しようという試みに割り込みをかけたり、認証サーバ２０２との間のセキュリティを確保された通信によって承認を求めるように、コントローラ２３０が構成されている。認証サーバ２０２が、認証要求を拒絶した場合は、コントローラ２３０は、セキュリティ区画の生成コマンドを終了させ、その生成の試みの途上で行なわれた変更を元に戻す処理を行なう。

図３は、本発明の一実施例による、ユーザ要求に基づく、セキュリティ区画の生成あるいは承認の処理フローを示すものである。説明を簡略化するため、多くの分岐処理は省略してある。さらに、本手法のセキュリティ確保の水準や有効性を犠牲にすることなく、処理ステップの順序を変更できるものとなっていることは、当業者であれば容易に類推できるものとなっている。このように、図３は、処理ステップの一つを例示したものにすぎず、これに限られるものではない。

装置は、アプリケーションのためのセキュリティ区画の生成を、認証サーバから要求する（ステップ３００）。認証サーバは、要求している装置が、承認されているかどうかを判定する（ステップ３０２）。もし、装置が承認されない場合には、セキュリティ区画の認証要求は無視される（ステップ３０４）。もし、装置が承認された場合は、認証サーバは、アプリケーションが信頼されているかどうかを判定する（ステップ３０６）。もし、アプリケーションが信頼されない場合、認証サーバは、インターフェース・メッセージ・ユーティリティに対してエラーを発行し（ステップ３０８）、その入力バッファからセキュリティ区画生成要求を削除する（ステップ３１０）。もし、アプリケーションが信頼された場合、認証サーバは、（一つあるいはそれ以上の数のセキュリティ区画に対する）セキュリティ区画生成の認証を発行し（ステップ３１２）、要求している装置からその格納媒体に対してトンネル接続し、ＳＰを生成する（ステップ３１４）。認証サーバは、セキュリティ区画がすでに存在しているかどうかを判定する（ステップ３１６）。すなわち、認証サーバは、要求が、セキュリティ区画へのアクセスを承認しようとするものであるのか、セキュリティ区画を生成しようとするものであるのかを判定する。もし、セキュリティ区画がまだ存在しない場合には、認証サーバは、要求されたセキュリティ区画を生成する（ステップ３１８）。もし、ＳＰがすでに存在するか、認証サーバが要求されたセキュリティ区画をすでに生成していたならば、認証サーバは、アプリケーション・オーナーによるセキュリティ区画の利用を承認する（さらに製造者および装置オーナーに対するアクセス権限を確立する）（ステップ３２０）。

ここで、セキュリティ区画を利用するとは、一般的には、セキュリティ区画に格納されたデータにアクセスすることを指すものであることは、当業者にとっては自明なことである。また、利用とは、セキュリティ区画に格納されたクラスや他のオブジェクトへアクセスすることを指している。オペレーティング・システムによって扱われるアプリケーションと、オペレーティング・システムのレベルより下位のセキュリティサービスとは、ともに、格納媒体上のセキュリティ区画にアクセスし、一つ以上のセキュリティ区画が、任意の格納媒体上に存在している。どのソフトウェア・アプリケーションも全てセキュリティ区画を利用しているというわけではない。しかし、セキュリティ区画を利用している個々のアプリケーションであれば、各々は、固有のセキュリティ区画を有している。さらに、ここまでの説明では、もっぱら、単一のセキュリティ区画についてのみ扱ってきたが、特定の実装条件に応じて、認証要求およびセキュリティ区画の生成は、複数のセキュリティ区画について行なうものであってもよい。

本実施例では、多くの異なる手段によって、様々な論理的な代理人を生成することが可能となっている。図４は、一実施例における、論理的役割と、それらに対応した生成の方法をまとめた簡単な表を示したものである。オリジナルの装置製造者は、「装置製造者」に対して、製造者役割あるいは、代理人役割を生成する。アプリケーション・オーナーは、セキュリティ区画を利用するソフトウェア・アプリケーションを生成し、「アプリケーション・オーナー」という論理的役割を有する代理人を表すものであってもよい。ユーザは、ソフトウェア・アプリケーションを利用する、アプリケーションあるいは装置のユーザであり、利用者役割は、彼あるいは彼女自身、あるいは、ソフトウェア・アプリケーションの利用によって生成される。「装置オーナー」は、装置によって許可されたアクセス制御の秘密に関する知識によって生成される。この秘密は、製造者によって与えられたデフォルトの秘密であるが、装置オーナーによって変更可能となっている（格納装置のステッカに記載された初期化キーなどで、格納装置自身には見つけることができない秘密である）。この秘密と、セキュリティ区画を削除したり一時的に使用停止する承認は、アプリケーション・オーナーあるいは製造者によっては上書きすることは不可能である。

上記で用いたものとして、用語「秘密」は、秘密に保たれ、外部に漏れていないオブジェクトあるいはビットストリングを指す。一実施例では、この秘密は、ホストマシンの信憑性を検証するために用いられるパスワードである。他の実施例では、この秘密は、クライアントとサーバに知られていて、クライアントとサーバの間で伝送されるデータの正当性の検証を行なったり、暗号化を行なうときに用いられるストリングである。秘密は、暗号鍵であり、それは、暗号化／復号化の鍵を解除するための親鍵として用いられる。他の実施例では、（鍵、ＵＳＢソケット、スマートＩＤカードや、装置への物理的なアクセスのための他の物理的な装置などの）物理的なスイッチは、セキュリティ区画を削除したり一時的に使用停止するための明確な能力を置き換えたり拡張することもできる。

図５は、本発明の一実施例による、セキュリティ区画を発行する処理の簡単なフローチャートである。簡単化のため、いくつかの要素は省略してある。例えば、製造者と、アプリケーション・オーナーもしくはホストシステムとの間で、セキュリティが確保されたトンネル接続あるいは接続を確立することに失敗した場合は、失敗とすることなどは省略してある（この条件については、フローチャートから除外してある）。さらに、本手法のセキュリティ確保の水準や有効性を犠牲にすることなく、処理ステップに様々な修正を加えることが可能となっていることは、当業者であれば容易に類推できるものとなっている。

ユーザは、アプリケーション・オーナーのネット上での位置を訪問し、アプリケーションのダウンロードを要求する（ステップ５００）。ソフトウェア・アプリケーション・オーナーとクライアント・システムは、ソフトウェア・アプリケーションを購入するために、そのダウンロード対象に対して、セキュリティが確保された接続を確立する（ステップ５０２）。ユーザは、ソフトウェア・アプリケーションをダウンロードする（ステップ５０４）。ユーザは、ソフトウェア・アプリケーションをインストールし、そのインストール処理の間に、インストーラーは、クライアント・システムの格納媒体上へのセキュリティ区画の生成を試みる（ステップ５０６）。格納媒体のコントローラは、クライアント・システムに対し、セキュリティ区画を生成するための承認を、認証サーバから要求するように指示する（ステップ５０８）。

もし、アプリケーション、あるいはアプリケーション・オーナーが、信頼されていない場合は（ステップ５１０）、セキュリティ区画の生成要求は拒絶され（ステップ５１２）、失敗したセキュリティ区画の生成要求は、セキュリティ区画ログに記録される（ステップ５１４）。さらに、要求の拒絶通知が、要求元のクライアント・システムに対して送られ（ステップ５１６）、アプリケーションのインストールは失敗する（ステップ５１８）。通常は、証明書と装置のセキュリティが備われば、製造者からの正しい承認が受信されない限りは、セキュリティ区分が発行されないことを保証するには充分であると判断される。本実施例では、セキュリティ区画の生成に対する要求に割り込みをかけ、セキュリティ区画の生成あるいは個別設定に先立って認証サーバによる承認を要求するように、格納媒体のコントローラが構成されている。

アプリケーションあるいはアプリケーション・オーナーが信頼された場合には、認証サーバは、クライアント・システムを通して、格納装置に到る、セキュリティが確保されたトンネル接続を確立する（ステップ５２０）。認証サーバは、要求されたセキュリティ区画の発行のための特定の承認に署名し、署名された承認を、クライアント・システムのコントローラに送る（ステップ５２２）。これにより、要求されたとおりのセキュリティ区画が、クライアント・システムの格納媒体上に生成される（ステップ５２４）。

セキュリティを確保して、承認されたセキュリティ区画の発行を行なうために、様々な代替方法が存在することは、自明なことである。一実施例としては、製造者と装置が公開鍵暗号を用いて、製造者が装置に対して自分自身を承認し、装置が製造者に対して装置自身を承認するものがある。認証処理が対話的である限り、相互の存在を保証し、再生や、承認なしにセキュリティ区画の発行を試みようとする他の中間者に対抗することを保証して、相互に承認しあうことは、（再生攻撃を検知するためによく用いられる、通信プロトコル交換で送信される乱数である）ノンス（ｎｏｎｃｅｄ ｃｈａｌｌｅｎｇｅ）を用いて可能となる。さらに、承認とセキュリティを確保した承認を可能とする方法には、他にも多くの既存の方法がある。

一実施例において、マスタセキュリティ区画は、格納装置の販売に先立ち、装置製造者によって格納装置上に設定される。マスターセキュリティ区画は、アクセス権限を有するように設定され、セキュリティ区画には装置製造者の公開鍵がインストールされ、格納媒体上のセキュリティ区画を生成するために、製造者のサーバ（あるいは認証サーバ）に対して、格納媒体での権限を得る手段を提供するものとなっている。コントローラは、承認された鍵なしに格納媒体上にセキュリティ区画を生成することを禁止するように構成されており、これは、秘密の区画にあらかじめロードされた鍵との照合が可能となっている。最大６４，３８４件までの（あらかじめ生成された）公開鍵のテーブルを用いて、鍵のテーブルを作成する。セキュリティ区画の生成のためには、特定の鍵が必要となり、これらの鍵を利用することによって、セキュリティ区画の中で鍵が「使用済み」あるいは「不良」としてマーク付けされる。これにより、鍵が盗まれて再利用されることが防止できる。装置のセキュリティが損われた場合であっても、公開鍵のみを用いることにより、公開鍵だけは発見することが可能となる。

図６は、セキュリティ区画の発行のための承認の発行処理のフローチャートである。クライアント・システムは、格納媒体上にセキュリティ区画を生成するための承認を要求する（ステップ６００）。認証サーバは、クライアント・システムへのセキュリティが確保された接続を確立した後、クライアント装置の認定を試みる（ステップ６０２）。

クライアント・システムは、この試みに応じて、証明を与える（ステップ６０４）。もし、セキュリティ区画の認定が受諾されなかった場合（ステップ６０６）、認証サーバは、セキュリティ区画の生成要求を拒絶する（ステップ６０８）。

認証サーバは、セキュリティ区画を要求するアプリケーションが信頼できるものかどうかを判定する（ステップ６１０）。もし、アプリケーションが信頼できないならば、認証サーバは、セキュリティ区画要求を拒絶し（ステップ６１２）、失敗したセキュリティ区画要求としてセキュリティ区画ログに記録し（ステップ６１４）、セキュリティ区画要求バッファをクリアする（ステップ６１６）。もし、アプリケーションが信頼できるものであれば、認証サーバは、クライアント装置の格納媒体上に、直接（ネットワークを介して遠隔から）セキュリティ区画を生成し設定する（ステップ６１８）。

図７は、企業規模でインストールする場合の、セキュリティ区画を生成するための認証発行の処理のフローチャートである。この場合の承認は、「順次発行」と呼ばれる。例えば、企業が、ソフトウェア・アプリケーションをアプリケーション・オーナーから購入し、企業規模でインストールしようとする場合には、アプリケーション・オーナーが、アプリケーション・オーナーの証書とともに、企業から製造者へ送るシリアル番号（装置ＩＤ番号）のリストを検索できることが望ましい。これにより、製造者は、リストに含まれる装置上のセキュリティ区画のインストールを承認するチケットを発行することが可能となる。

アプリケーション・オーナーは、製造者から与えられる署名された承認チケットを要求する（ステップ７００）。製造者は、アプリケーション・オーナーとの信頼関係を検証する（ステップ７０２）。通常、この検証処理には、この承認についてアプリケーション・オーナーを信頼するべきかどうかを、製造者の経営者によって意思決定することが含まれている。もし、アプリケーション・オーナーが信頼されれば、製造者は、署名されたチケットをアプリケーション・オーナーに送る（ステップ７０４）。ソフトウェア・アプリケーションのインストールの間に、アプリケーション・オーナーは、署名されたチケットを、セキュリティ区画の生成を承認するクライアント・システムに送る（ステップ７０６）。

セキュリティ区画の発行をオンラインで行なう要求も、順次発行、あるいはセキュリティ区画発行によるセキュリティ区画のための要求である。セキュリティ区画発行によって設定されたセキュリティ区画は、すでにセキュリティ区画について承認を受けたアプリケーションが、追加のセキュリティ区画の生成することを要求している状況に相当する。いずれの場合も、製造者は、セキュリティ区画の発行を承認する。これにより、アプリケーション・オーナーではなく、製造者がセキュリティ区画発行についての制御を維持することが保証される。

一実施例では、大量の発行のための方法は、セキュリティ区画の発行を承認するのに十分なチケットあるいは証書を提示することが含まれている。製造中や、オンラインでセキュリティを確保する処理では、装置には、公開鍵・秘密鍵の組や対称鍵などの暗号化された秘密が与えられる。製造者あるいはその代理人は、この暗号化された秘密の記録を保持し、装置の識別情報と対応づけておかなければならない。こうして、製造者は、特定の装置（あるいは複数の装置）に対応し、それによって判別可能となっているセキュリティ区画の発行のための特定の承認に対して署名する。これに代えて、あるいは更に、製造者は、チケットを用いて装置への発行回数を制限するような特定の装置には対応していないセキュリティ区画の発行のための特定の承認に対して署名することもある。このような例では、セキュリティ区画の発行は、同一の装置では同一のチケットを二度は使えないことを保証するための、チケットの内部に組み込まれたデータを利用して、セキュリティ区画の発行を承認するチケットにより一度だけ行われる。このように、企業内では、企業内の各装置に対して同一のチケットを一度だけ利用して、複数のチケットを発行せずに大量の承認を行うことができる。

さらに、セキュリティを向上させるために、チケットには、特定の承認を含むだけでなく、オプションとして、アプリケーションのためのＳＰの全てのプログラムの設定情報を含ませることも可能である。もしアプリケーション・オーナーが、ＳＰ発行がアプリケーションに対してのみであることを保証するために必要な情報に基づいて、チケットを構成しており、さらに、製造者が暗号によって署名するか、チケットの承認を行う場合に限り、このようなことが可能となる。

ある状況では、（チケットを表す）特定の承認は、例えば、シリアル番号証明によって、装置の範囲あるいはリストを表している。シリアル番号証明には、製造者が署名する。一実施例では、認証処理の多くは、公開鍵暗号化に関するＩＳＯｘ．５０９規格の証明を用いて行われる。さらに、他の様々な公開鍵と秘密鍵を利用することにより、信頼を維持して装置の承認を行う様々な論理的な代理人によって求められるような、関係者の間でセキュリティを確保しながら移動できる証明書や他のデータを実現することが可能となる。

通常、セキュリティ区画の内部には、製造者、アプリケーション・オーナー、装置オーナーおよびユーザーの論理的役割に対するアクセス権限が、権限テーブルに保存されていることが普通である。さらに、権限テーブルへのアクセスは、例えば、製造者とアプリケーション・オーナーに限定されている。また、装置オーナーには、セキュリティ区画に対する読取り／書込みアクセス権限が与えられていないのが一般的となっているが、装置オーナーの権限は、装置オーナーがセキュリティ区画を削除したりアンインストールできるような他の権限レベルを取得することも可能である。

一実施例では、格納装置上のセキュリティ区画の各設定は、（製造者などの）認証サーバによって承認される。しかし、認証サーバは、アプリケーション・オーナーとクライアント・システムの両方を承認できるように構成された任意の第三者のサーバであってもよい。通常、認証サーバは、（クライアント・システムが信頼関係を結んでいる）信頼された構成要素に設けられている。ここで、用語「信頼された」とは、二つの機械が確実に所望の動作をしているような所定のレベルにあることを保証する条件を、二つの機械が検証できるような尺度あるいは他の証明の集合体を指している。セキュリティが確保された通信リンクあるいはトンネル接続、および相互の証明によって、信頼関係が確立されると、認証サーバは、クライアント・システムを同定し、クライアント・システム（あるいは格納サブシステム）上のセキュリティ区画の生成を承認することが可能となる。

図８は、本発明の一実施例における、格納装置の格納媒体上へのセキュリティ区画を生成することを制御するためのシステム８００のブロック図である。システム８００は、承認装置８０２および格納装置８０４を含み、これらは、（ネットワーク接続、ＵＳＢ接続、あるいはモデム接続を含む他の通信リンクなどの）通信リンクによって接続されている。一実施例では、このリンクは、セキュリティが確保されたリンクであり、リンクを介して送られる情報は、許可されていないアクセスを防ぐために暗号化されている。

通常、格納装置８０４は、格納装置インターフェース８０６、コントローラ８０８、承認検証ブロック（あるいは暗号チップ）８１０、格納媒体８１２、ならびにオプションとしてセキュリティ区画ベースクラス８１４およびセキュリティ区画８１６を含んでいる。一般的に、格納装置インターフェース８０６は、認証装置から送られるセキュリティ区画の承認を受信できるように構成された回路あるいはトランシーバブロックである。セキュリティ区画の承認とは、特定の装置や装置の範囲のためのチケットあるいは証明を指しており、格納装置８０４上のセキュリティ区画の生成を承認するものである。

通常、コントローラ８０８は、認証装置８０２からのセキュリティ区画承認証明がなければ、格納媒体８１２上へのセキュリティ区画の生成ができないように構成されている。コントローラ８０８は、この証明を受け取ると、ソフトウェアあるいはハードウェアとして構成されている承認検証ブロック（あるいは暗号チップ）８１０によって、セキュリティ区画の承認を認証する。セキュリティ区画の承認が有効であるものと見なすと、コントローラ８０８は、格納媒体８１２上にセキュリティ区画８１６を生成する。

一実施例では、製造の過程で、製造者あるいは認証装置は、格納装置８０４の格納媒体８１２上にマスターセキュリティ区画を生成する。マスターセキュリティ区画は、格納媒体８１２上の隠れた領域であり、ホストのオペレーティング・システムからはアクセスできない。本実施例では、セキュリティ区画ベースクラス８１４は、マスターセキュリティ区画に格納され、そこから、他のセキュリティ区画を設定することが可能となっている。マスターセキュリティ区画は、セキュリティ区画に納められた権限テーブルを用いて、厳格に制御され、承認されたユーザのみがマスタセキュリティ区画にアクセスし、ベースクラス８１４を介して格納媒体上に新しいセキュリティ区画を生成できるようになっている。一方、セキュリティ区画承認は、格納媒体上へのセキュリティ区画の生成に必要な、セキュリティ区画を用いるソフトアプリケーションの全てのプログラム設定情報を含む、全ての情報を含んでいる。

本発明の様々な構成と機能を詳細に述べながら、本発明の様々な実施例の特徴と効果について説明してきたが、ここで開示した内容は例示的なものであり、特に、特許請求の範囲を表現するための用語の一般的な意味に基づき示された本発明の原理の範囲内で、部分の構造と配置について詳細に修正することが可能である。例えば、本発明の範囲と主旨を逸脱しない限り、実質的に同一の機能性を維持しながら、セキュリティ区画管理システムのための特定のアプリケーションに依存して、特定の構成要素を変更することが可能である。さらに、以上で説明した好適な実施例は、格納装置上のセキュリティ区画の生成を管理するためのシステムと方法に対するものであるが、本発明の範囲と主旨を逸脱しない限り、本発明の教示するものは、ユーザがソフトウェア・アプリケーションをインストールする権限を有する対象となるメモリを搭載した任意の装置に適用できることは、当業者であれば容易に理解できるものである。

ディスクドライブの斜視図。 本発明の一実施例における、セキュリティ区画の発行とアクセスを管理し制御するためのシステムの簡略なブロック図。 本発明の一実施例における、構成要素によるセキュリティ区画の発行を制御する方法の簡略なフローチャート。 本発明の一実施例における、論理規則とそれに対応した生成方法の簡略な表。 本発明の一実施例における、セキュリティ区画に固有なアプリケーションを生成する方法の簡略なフローチャート。 本発明の一実施例における、追加のアプリケーションステップを含むアプリケーション固有のセキュリティ区画生成手順の簡略なフローチャート。 セキュリティ区画を用いて、プログラムを大規模インストールするために、企業規模でチケットを発行する方法の簡略なフローチャート。 本発明の一実施例における、システム構成の簡略なブロック図。

符号の説明

１００ ディスクドライブ
１０２ ベース
１０６ ディスクパック
１０８ ディスククランプ
１０９ 中心軸
１１０ ディスクヘッドスライダ
１１２ サスペンション
１１４ アクセスアーム
１１６ アクチュエータ
１１８ ボイスコイルモータ
１２０ ピボット軸
１３０ 電子回路
２０２ サーバ
２０４ ホストシステム
２０７ 格納装置
２０８ 格納媒体
２０９ インターフェース
２１０ セキュリティ区画
２３０ コントローラ

Claims (18)

1. 強化されたセキュリティ機能を有する格納装置であって、
   格納媒体と、
   格納装置とホストシステムとを通信可能となるように接続するよう構成されているインターフェースとを備え、前記ホストシステムは、ソフトウェアアプリケーションを扱うためのオペレーティングシステムを有し、前記格納装置の製造者が管理する認証サーバとネットワークを介して接続されており、
   前記格納装置の内部に設けられ、前記格納媒体に情報を書込み、前記格納媒体から情報を読取るコントローラであって、前記ホストシステムから前記インターフェースを介して受信した前記ソフトウェアアプリケーションのためのセキュリティ区画の生成コマンドを実行する前に、前記格納装置の製造者が管理する前記認証サーバからのセキュリティ区画認証を要求するように構成されている前記コントローラと、
   を含み、
   前記コントローラは、前記ホストシステムを通して前記ネットワーク上で前記認証サーバとセキュリティが確保されたトンネル接続することにより、前記認証サーバから前記セキュリティ区画認証を受信する、
   前記格納装置。
2. 請求項１記載の格納装置は、さらに、一つあるいはそれ以上の数のセキュリティ区画ベースクラスを有する、前記格納媒体上のセキュリティ区画を含み、前記コントローラは、
   前記一つあるいはそれ以上の数のベースクラスの実行によってのみ、前記格納媒体上のセキュリティ区画の生成を許可するように構成され、前記格納装置の製造者からの前記セキュリティ区画認証は、前記格納媒体上にセキュリティ区画を生成するために、一つあるいはそれ以上の数のセキュリティ区画ベースクラスへのアクセスを許可する、前記格納装置。
3. 請求項１記載の格納装置において、前記コントローラは、新たに生成された各セキュリティ区画内に該セキュリティ区画へのアクセス権限を示す論理的役割を設定するように構成され、前記論理的役割は、前記格納装置に関連付けられた構成要素に対応している、前記格納装置。
4. 請求項３記載の格納装置において、前記論理的役割は、前記格納装置の製造者に関連付けられた製造者役割を含む、前記格納装置。
5. 請求項３記載の格納装置において、前記論理的役割は、前記セキュリティ区画に関連付けられたソフトアプリケーションのオーナーに関連付けられたオーナー役割を含む、前記格納装置。
6. 請求項３記載の格納装置において、前記論理的役割は、前記格納装置のオーナーに関連付けられた装置オーナー役割を含み、該装置オーナー役割は、前記セキュリティ区画を削除できる権限が与えられている、前記格納装置。
7. ホストシステムに接続された格納装置の格納媒体上へのソフトウェアアプリケーションのためのセキュリティ区画の生成を管理する方法であって、
   前記ホストシステムは、前記ソフトウェアアプリケーションを扱うためのオペレーティングシステムを有し、前記格納装置の製造者が管理する認証サーバとネットワークを介して接続されており、
   前記格納装置内のコントローラによって、セキュリティ区画要求を取得するステップであって前記セキュリティ区画要求は、インターフェース接続により前記格納媒体に接続された前記ホストシステムから受信する前記ステップと、
   前記ホストシステムと前記コントローラを用いて、セキュリティが確保された前記ネットワーク上のリンクを前記認証サーバとの間に確立するステップであって、前記セキュリティが確保されたリンクは、前記コントローラが、セキュリティ区画認証に対して、要求された前記セキュリティ区画を生成するように要求することができるよう、セキュリティが確保された通信トンネル接続を前記ホストシステムを通して前記コントローラと前記認証サーバとの間に提供する前記ステップと、
   前記セキュリティ区画認証の受信に応じて、前記コントローラを用いて、前記格納媒体上に各々のセキュリティ区画を設定する前記ステップと、
   を含み、
   前記コントローラは、前記通信トンネル接続により、前記認証サーバから前記セキュリティ区画認証を受信する、前記方法。
8. 請求項７記載の方法は、さらに、
   前記認証サーバが前記コントローラに対する承認を拒絶した場合には、セキュリティ区画生成要求を終了させるステップと、
   前記格納媒体上の情報に対する任意の変更を解除し、要求前の状態に復旧するステップと、
   を含む、前記方法。
9. 請求項７記載の方法において、セキュリティ区画認証は、デジタル署名された証明を含む、前記方法。
10. 請求項７記載の方法において、前記認証サーバは、前記格納装置との間で信頼関係を有する第三者のサーバを含む、前記方法。
11. 請求項７記載の方法において、前記設定するステップは、
    前記格納媒体上にセキュリティ区画を生成するステップと、
    前記セキュリティ区画認証に基づき、前記セキュリティ区画へのアクセス制御を初期化するステップと、
    を含む、前記方法。
12. 請求項７記載の方法は、さらに、
    前記セキュリティ区画内のアプリケーションに関する完全なプログラム設定情報をインストールするステップを含む、前記方法。
13. 請求項７記載の方法において、前記セキュリティ区画認証は、前記セキュリティ区画を生成するための認証に関する前記要求に対応したソフトウェアプログラムに関する全プログラム設定情報を含む、前記方法。
14. ホストシステムに接続された格納装置であって、前記ホストシステムは、アプリケーションソフトウェアを扱うためのオペレーティングシステムを有し、前記格納装置の製造者が管理する認証サーバとネットワークを介して接続されており、
    前記格納装置は、
    格納媒体と、
    該格納媒体に接続され、該格納媒体から情報を読取り、該格納媒体に情報を書込む、読取り／書込み機構と、
    前記格納装置に内蔵され、前記読取り／書込み機構に接続され、前記格納媒体の情報の読取りと書込みを制御するコントローラであって、該コントローラは、前記ホストシステムから受信した前記アプリケーションソフトウェアのためのセキュリティ区画生成に対する要求を取得し、取得した該要求に応じて各々のセキュリティ区画の生成の前に、前記認証サーバからセキュリティ区画認証を要求するように構成されたコントローラと、
    を含み、
    前記コントローラは、前記ホストシステムを通して前記ネットワーク上で前記認証サーバとセキュリティが確保されたトンネル接続することにより、前記認証サーバから前記セキュリティ区画認証を受信する、前記格納装置。
15. 請求項１４記載の格納装置において、前記コントローラは、前記セキュリティ区画を生成し、前記セキュリティ区画へのアクセス制御を初期化し、該アクセス制御は、役割に基づく前記セキュリティ区画へのアクセス権限を含む、前記格納装置。
16. 請求項１４記載の格納装置において、前記セキュリティ区画認証は、前記セキュリティ区画を設定するために、前記格納装置のコントローラを承認するコマンドを含む、前記格納装置。
17. 請求項１６記載の格納装置において、前記セキュリティ区画認証は、さらに、ソフトウェア・アプリケーションの前記セキュリティ区画に関する全プログラム設定情報を含む、
    前記格納装置。
18. 請求項１７記載の格納装置において、前記セキュリティ区画は、前記格納媒体に格納されたベースセキュリティ区画クラスに基づき設定される、前記格納装置。

Images