JP4828551B2 - 分割通信システム - Google Patents

Description

発明の分野

本発明は一般に通信の分野に関し、より具体的にはセキュリティ保証された環境における情報通信に関する。

背景

機密の分類およびアクセスポリシーを用いて情報システムのセキュリティが促進されてきた。機密とは通常、情報への不正アクセスの防止として定義される。一般に、セキュリティ用に設計されたシステムは、機微情報の無許可アクセスおよび改竄を防止するアクセス規則の組に従う。

米国コンピュータ・セキュリティ・センター（ＮＣＳＣ）は、国家安全保障局（ＮＳＡ）内の米国政府組織であり、分類済みその他の機微な資料を扱う施設が高信頼コンピュータ・システムおよび機器を用いることを保証すべく、高セキュリティ・アプリケーション用の情報システムを評価する。ＮＣＳＣの評価プログラムは、高信頼性製品評価プログラム（ＴＰＥＰ）と呼ばれる別のＮＳＡ組織により実行され、総合的なセキュリティ関連基準に基づいて商品をテストする。ＮＣＳＣは１９８３年８月に、国防総省（ＤｏＤ）高信頼性コンピュータ・システム評価基準（ＴＣＳＥＣ）の第１版を発行した。より一般的には「オレンジブック」と呼ばれる本文書は、１９８５にＤｏＤ標準として再発行され、機微な資料を扱う際のセキュリティ関連標準を提供する目標宣言を含んでいる。

しかし、各国（例：米国、カナダおよび欧州）における情報セキュリティの開発プロセスを通じて、セキュリティ機能および評価に対する保証を標準化する柔軟なアプローチに向けた共通基準（ＣＣ）を作成すべくリソース、経験、および知恵が蓄積されてきた。一般に、ＣＣは妥当性が既知である要件の組を定め、これを用いて将来的な製品およびシステムのセキュリティ要件を確立することができる。消費者その他の関係者はＣＣを利用して、標準保護プロファイル（ＰＰ）の観点から製品のセキュリティ機能を指定して、評価保証レベル（ＥＡＬ）を独自に選択することができる。より具体的には、ＰＰはセキュリティに対する類似のニーズを満たす製品またはシステムのカテゴリに対して、セキュリティ要件および目的の「実装から独立した」組を規定する。現在、ＰＰは、ファイアウォール、関係データベースその他のシステム要素向けに、７種の追補途上のＥＡＬすなわちＥＡＬ１〜ＥＡＬ７の定義された組からの各種のレーティングとの互換性を可能にすべく開発されてきた。

通常、ＰＰは、情報へのアクセスを試みるプロセス（主体としても知られる）および試みられたアクセスの対象であるプロセス（対象として知られる）の間の相互作用を統制する規則を含んでいる。これらのプロセス間のやり取りは通常、データの機微度合を反映するセキュリティ識別子により分類される。このような識別子は「機密レベル」と呼ばれる。例えば、「最高機密」情報は、最高レベルの機密を有する者しかアクセス権を持たない最高機密レベルを備えていてよい。所与の機密レベルにある情報はまた、アクセスに関して更に規制すべく「分類」することができる。各々の機密カテゴリへのアクセスは、機密レベルに対する必要な権限、例えば「最高機密」だけでなく、特定の機密カテゴリに対する権限、例えば「知る必要」を有している者に限定することができる。機密レベルと機密カテゴリの組合せは「機密クラス」として知られている。情報へのアクセスを調停する際に、セキュリティ保証システムは、主体の機密クラスを対象の機密クラスと比較して、主体が対象にアクセスすることが許可できるか否かを決定する。

システムのセキュリティは、「公開」または「隠れ」チャネルの存在により特徴付けることができる。公開チャネルは、セキュリティ・ポリシーに準拠するシステムの一部であることを意図した通信経路である。一方、隠れチャネルは、システムのセキュリティ・ポリシーに違反して共有システムリソースを用いる不正な経路である。例えば、システム内で不正に動作すべく設計された「トロイの木馬」等の悪質なプロセスが、価値の高いデータへのアクセス権を得て、共有リソースを公開チャネルとして用いて、本来はアクセス権を持たない「スパイエージェント」に情報を不正に送信できるようにする恐れがある。隠れチャネルのいくつかの例が、「トラフィック解析を防止する送信スケジュール」（Ｂ．Ｒ．ベンカトラマン（Ｖｅｎｋａｔｒａｍａｎ）、Ｒ．Ｅ．ニューマン−ウルフ（Ｎｅｗｍａｎ−Ｗｏｌｆｅ）、第９回コンピュータ・セキュリティおよびアプリケーション年次会議、１９９３年、フロリダ州オーランド）に記載されている。

２種類の隠れチャネル、すなわち隠れタイミング・チャネルおよび隠れ記憶チャネルがある。隠れタイミング・チャネルは、特定期間中に特定のシステムリソースが使用可能か使用不能かの結果として生じる。「キャッシュ・タイプ」および「スケジューラ・タイプ」隠れチャネルが隠れタイミング・チャネルの二つの例である。「スケジューラ・タイプ」隠れチャネルは、各種プロセスにＣＰＵ時間をリソースとして割り当てるスケジューラ機能のタイミングを不正に利用する。「キャッシュ・タイプ」隠れチャネルは、高速キャッシュ記憶を用いてキャッシュ動作の完了に要する時間を調整することにより、情報を不正に送信する。隠れ記憶チャネルは通常、一つのプロセス（隠れメッセージの送信側）による記憶メモリの直接または間接的変更、および別のプロセス（隠れメッセージの受信側）によるメモリ位置の直接または間接的読取りを含んでいる。

ＥＡＬレーティングを高めるための要件の一つは、隠れチャネルの全部でないにせよ、大多数を閉鎖することである。ＥＡＬレーティングを下げるには、情報を転送可能な速度、すなわち隠れチャネルの帯域幅を減らす必要がある。キャッシュ・タイプ隠れチャネルを閉鎖する一つの手段は、ＣＰＵの制御があるプロセスから別のプロセスへ転送される際に、キャッシュ記憶をクリアすることである。スケジューラ・タイプ隠れチャネルは、各々の実行中のプロセスに固定されたＣＰＵ時間を割り当てて、実行中のプロセスがＣＰＵを使用しない場合、残りの割り当てられた時間を全てアイドル状態にすることにより閉鎖することができる。しかし、隠れチャネルを閉鎖するこれらの方法は、システム性能を低下させる重い性能ペナルティを課す恐れがあることが知られている。また、リソース共有を避けることで隠れチャネルを排除できることも認識されているが、その実装は多くの場合、非現実的である。

米国特許第５，９２３，８４９号明細書に、通信システムの公開および隠れ通信トラフィックを監査および制御する方法が開示されている。本方法は、システム通信を特徴付けるべく、所与のノード対間の通信量、所与のノード対間の通信頻度、ノード組間の通信順序、所与のノード対間の通信の（外部）特性、および送信の長さ（または持続時間）を含む特定のパラメータを識別して用いる。本方法はこれらのパラメータの１個または組合せを用いて、「基本」システム条件を決定して、公開および隠れ通信活動の挙動および動作を監査して「基本から外れた」トラフィック・パターンを検出する。

分離の概念もまた、セキュリティ保証システムの構築、分析、および評価のために用いられる。分離は物理的または論理的なものであってよい。論理的分離は通常、ソフトウエア・プログラムやプロセス等の論理的エンティティ含んでいる。２個の論理的エンティティが真に分離されている場合、一方が他方の動作に影響を及ぼすことはできず、その逆も同様である。１個のエンティティの動作がシステムのセキュリティにとって重要な場合、２個を互いに分離することにより、一方がどのようにシステムのセキュリティに対応しているかを評価する際に、他方の動作を無視することができる。しかし、２個の論理的エンティティが分離されてない場合、各々がどのようにシステムのセキュリティに対応しているか否かを評価する際に両方を考慮する必要がある。両方のエンティティを評価する必要のため、セキュリティ評価の困難さおよびコストが上昇し、多くの場合セキュリティ保証の低下を招く。

米国特許第６，７７２，４１６号明細書に、処理要素間での高度な分離に対応しているコンピュータ・システムが開示されている。コンピュータ実装されたシステムは、カーネルを有するオペレーティング・システムを実行し、且つ複数のセルを含んでいる。各セルは１個以上の処理要素、実行のドメイン、および「ストランド」またはタスクの集合を有し、各々のストランドまたはタスクは、オペレーティング・システムのカーネルにより実行可能なプログラム可能な機械命令のストリームである。分離仕様は、処理要素間の通信を統制し、分離仕様に従い処理要素間の通信を管理して、ある処理要素が別の処理要素の動作に対して当該分離仕様の規定通りにしか影響を及ぼさないようにできる。

ＮＳＡはまた、「高い堅牢性を必要とする環境における分離カーネルに対する米国政府保護プロファイル」（ＳＫＰＰ）と名付けられたＰＰを発行しており、本明細書に引用している。ＳＫＰＰは、分離カーネル（ＳＫ）のクラスのセキュリティ機能および保証要件を指定する。セキュリティ保証オペレーティング・システム用の全ての高信頼機能を実行する従来のセキュリティカーネルとは異なり、ＳＫの主な機能は、ポリシーに基づく等価なクラスにリソースを分割または別途分離して、ＳＫの設定データに従い当該区画に割り当てられた主体とリソースとの間の情報フローを制御することである。

システムにおける物理的分離は、分離された導線により相互接続された、物理的に分離された装置、ノード、またはネットワーク要素の組により実装される。例えば、対応して分離されたセキュリティ分類に割り当てられている、物理的に分離されたネットワークを備えることが知られている。例えば、１個のネットワークを「最高機密」の分類に対応すべく割り当てる一方、別のネットワークを「未分類」という分類に対応すべく割り当てることができる。しかし、この構成は高価な冗長性をもたらし、調達、運用、および保守が扱い難くなる恐れがある。

従って、高いセキュリティ保証レベルを実現するのに簡単で有効な通信システムに対するニーズが存在する。

発明の概要

本発明の一態様によれば、任意の２個のノード間でデータ通信を行なうシステムおよび方法は、各ノード上の複数の分離された区画を規定して、１個以上の主体を複数の分離された区画の少なくとも１個に割り当てる。各ノード内の主体は、１個以上のチャネルを介して相互にデータ通信を行なう。本発明は、データを伝送するために、あるチャネルを介したデータ通信を他のチャネルから分離する。より具体的には、各ノードはＳＫ設定データに従いノードを分割する分離カーネル（ＳＫ）の制御下で動作する。分割通信システム（ＰＣＳ）は、ＰＣＳ設定データに従いデータ通信を行なうべく当該チャネルを他のチャネルから分離する。

本発明の当該態様のいくつかのより詳細な特徴によれば、ＰＣＳ設定データはチャネル毎に、割り当てられた通信スループット、割り当てられた帯域幅、割り当てられたデータ速度、あるいは利用可能な帯域幅の比例的共有を規定する。ＰＣＳは不正な情報フローを排除すべく、データの量、データのタイミング、データの持続時間、データの通信頻度、データのサイズ、データの宛先、およびＰＣＳ設定データに従うデータのコンテンツのうち１個以上を変更する。

本発明の別の態様によれば、ノードはデータを１個以上のチャネルを介して他のノードと通信する。ノードは、設定可能な複数の区画を生成する分離カーネルおよび１個以上のチャネルを介して複数の区画の少なくとも１個とデータをやり取りする設定可能なノード間通信を制御する通信コントローラを含んでいる。一実施形態において、当該通信コントローラは、複数のチャネル間を分離する分割通信システム（ＰＣＳ）を含んでいる。

本発明の当該態様のより詳細な特徴のいくつかによれば、ＰＣＳは、情報フローポリシー違反を防止すべく、１個以上のチャネルの少なくとも１個を介して露出した通信特性を隠蔽する情報フローポリシーに従うノード間通信を制御する。一例証的な実施形態において、情報フロー制御ポリシーは、暗号理論または暗号化によるノード間通信の秘匿を要求する。ＰＣＳはまた、１個以上のチャネルを介した主体の通信に制限を規定するアクセス制御ポリシーを実装する。

好適には、データ通信を行なうためチャネルが用いる１個以上のリソースがこれらの区画に割り当てられる。本実施形態によれば、ＰＣＳは１個以上リソースを共有するリソース管理ポリシーを実装しており、リソース管理ポリシーはまた１個以上のチャネルが相互にどのように影響を及ぼすかを規定する。別の例証的な実施形態において、リソース管理ポリシーは、１個以上リソースを共有する配分を規定する。

本発明の更に別の詳述された特徴によれば、ＰＣＳは、各々のリソースが使用された後で、１個以上のリソースからの残りの情報をクリアして不正に再生されたデータの配信または利用を防止する。

発明の詳細な説明

本発明は、高度な堅牢性が要求される分散コンピューティング環境における情報セキュリティ要件を満たす通信コントローラに関する。本発明の通信コントローラは以下で分割通信システム（ＰＣＳ）と呼ばれる。一例証的な実施形態ではＰＣＳを用いて、共有通信リソースを介して少なくとも２個の分離されたノード間での高度なセキュリティ保証通信を提供する。例証的なＰＣＳは、本明細書に引用する共通基準（ＣＣ）Ｖ２．２［ｃｃｖ２２］で定める通り、評価保証レベル７（ＥＡＬ７）と同等のセキュリティ要件に準拠すべく設計されている。

一般に、ＰＣＳは、１個以上のチャネルを介して別のノードとデータ通信を行なうノード内に通信コントローラを含んでいる。通信コントローラは、ハードウェアおよび／またはソフトウェアの組合せを配置しており、これが分離カーネル（ＳＫ）の制御の下で稼動ノード同士でノード間通信を可能にする。ＰＣＳと合わせて利用できるＳＫの一例証的なクラスが上述のＳＫＰＰに記載されている。ＳＫは、自身に常駐させているソフトウエア・プログラムに対し、改竄防止且つ迂回不可能である、高度保証分割および情報フロー制御特性を提供する。これらの能力は、特定のアプリケーション・レベル（対カーネルレベル）のセキュリティ・ポリシーの施行をその上で実現可能な高信頼基盤を提供する。これらのソフトウエア・プログラムの例として、多レベルのセキュリティ保証参照モニタ、ガード、デバイス・ドライバ、ファイル・マネージャ、およびメッセージ受け渡しサービス、並びにオペレーティング・システム、ミドルウェア、および仮想マシン・モニター抽象化を実行するものを含んでいる。

より詳細に述べるように、ＳＫは各ノードを分割して、ＳＫ設定データに従い主体およびリソースを規定する。ノードが適切に分割されたならば、ＰＣＳは以下に詳述するように、共有通信リソースを用いるノード同士のノード間通信に設定可能なセキュリティ・ポリシーを施行する。このように、ＰＣＳは１個以上のチャネルを介して複数の区画の少なくとも１個とデータをやり取りするノード間通信を設定可能な仕方で制御する。その結果、ＰＣＳは分散処理システムにおいてポリシーで拘束されたノード間通信を可能にする。一例証的な実施形態において、ＰＣＳは、多くのより高水準の技術が層になっているセキュリティ保証分散通信を可能にする多レベルセキュリティ保証（ＭＬＳ）システムに対応している。このように、信頼に足る分散処理システムを実装する構築用ブロックとしてＰＣＳを用いることができる。

システムの概要
図１に、ＰＣＳを適切に用いた例証的なシステムのブロック図を示す。本システムは、ネットワーク横断的にノード２と通信するノード１を含んでいる。ネットワークを介した通信は、任意の標準または特許権を有する通信プロトコルに対応する層（例：物理層、リンク層、ネットワーク層、またはトランスポート層）の任意の適切な組合せも用いてよい。本発明のシステム横断的なデータ伝送に適したトランスポート・プロトコルの例として、任意のリアルタイムまたは非リアルタイム・プロトコルが含まれる。トランスポート層はまた、ＡＴＭやＴＣＰ／ＩＰ等のサービス品質（ＱｏＳ）を備えたまたは備えていない伝送技術に対応していてよい。ネットワーク横断的にノード１、２を接続するリンクは、例えばＩＥＥＥ８０２．３で規定されたような有線リンク、あるいはＩＥＥＥ８０２．１１ｘで規定されたような無線リンクであってよい。本発明のシステムが用いる物理層の例として、ツイスト・ペア、同軸ケーブル、光ケーブル、その他任意の公知の適切な有線または無線技術が含まれる。

図１は本発明の「疎結合」ネットワーク実装を表わすが、ＰＣＳを用いる分散処理システムはまた、ノードが密に一体化された仕方で、例えばＶＭＥバックプレーン横断的に、相互に通信する任意の種類の埋め込みシステムを含んでいてよい点に注意されたい。一実施形態において、各ノードは、予測可能な最悪ケース限度（リアルタイム）プロセッサ・スケジューリングに対応するオペレーティング・システムの管理下で動作する。

図１の各ノード１、２は、コード、プログラムおよび／またはアプリケーションを実行するためのプロセッサ・ハードウェア基盤（図示せず）、例えば、１個以上のＣＰＵ、マイクロプロセッサ、組込みコントローラ、デジタル信号プロセッサ等を含んでいる。ノード１、２の各々は、コンピュータ・ノード、有線または無線ノード、クライアント・ステーション、サーバ・ステーション、ルータ、ハブ、アクセス・ポイント、その他共有通信リソースを用いて他の装置と通信する任意の公知の装置の一つまたは組合せであってよい。ノード１、２に加え、ネットワークは他のノード、インターネット等、（公共および／また専用）ネットワークの任意の集合体を介して相互に接続された、例えばサーバ・ステーション、クライアント・ステーション、ホストまたは中央ステーションを含んでいてよい。

各ノードはロード・プロシージャを用いて、ノードのソフトウェア実装および／または設定データを使用可能な形式に変換する。初期ロード機能は、実装または設定情報の適当な媒体（例：ＣＤ、ＲＯＭまたはフラッシュメモリ）への搭載、または実装の一部としての設定データの編集を含む、異なる形式を取り得る。好適には、信頼できる個人またはＩＴ機構が、例えば電源投入スイッチその他のＩＴ環境にアクセス可能な機構を介して、ノードを起動して初期化する機能を開始する。初期化には、例えば、ディスク、ＲＯＭ、またはフラッシュメモリから、ノード機能およびデータに割り当てられたメモリ空間へ読み込むことにより、各ノードの実装コードおよびデータを実行ドメインへ導入するブート機能が含まれる。初期化機能はまた、ノード内のコードの完全性および設定データの検証を含んでいる。非埋め込み環境において、信頼できる個人は、更に評価されたプロシージャを用いることが必要な場合があり、その後またはその最中に初期化機能はセキュリティ保証初期状態へのノードの変換を完了し、その時点で当該ノードは一貫したセキュリティ関連データを有し、伝搬されたセキュリティ・ポリシー（ＳＰ）を正しく施行することができる。

分離カーネル
ＳＫは、ノード用に複数の区画を生成することを主要機能とするハードウェアおよび／またはソフトウェア機構を含んでいる。区画とは、ＳＰの全てまたは一部を実装する設定データに従い、自身の制御下にあるリソースからのＳＫにより実装される抽象概念である。各ＳＫ区画は、少なくとも１個の主体および／またはリソースを含んでいる。主体とは、機能、例えばノード間通信機能、を実行するノードの制御範囲内にある任意の稼動エンティティである。リソースは、各ノード内で実行、利用、生成、保護、あるいはエクスポートされる任意のハードウェア、ファームウェア、データおよび／またはソフトウェアを含んでいる。リソースは、主体により個別または同時に使用されて、主体がリソース内の情報にアクセスできるようにする。リソースはまた、伝送、ネットワーク接続、通信バス、Ｉ／Ｏバス、メモリバス、ハードウェアまたはソフトウェア暗号化装置、ソケット・ライブラリ、プロトコル・スタック、デバイス・ドライバ等のリソースを含んでいてよい。

リソースは、ＳＫインターフェースを介して外部で利用可能か否かに応じてエクスポート用または内部用かに分類される。ＳＫインターフェースは、ＳＫがリソースまたは主体にアクセス可能にするプログラムまたは設定インターフェースを参照する。リソースを用いてセキュリティ機能を実装する場合、ＳＫインターフェースを介してアクセスできないため、それは内部リソースである。しかし、リソースがどのセキュリティ機能も実装していない場合、ＳＫインターフェースからアクセスできるため、エクスポート用リソースとなる。既定値として全ての区画からアクセスできるリソースは仮想化されてエクスポートされる。区画はそれ自身が稼動エンティティではない点に注意されたい。むしろ、各区画は、ＳＫ設定データにより規定されたように、同一ポリシーに基づいて等価である主体の組およびリソースの組を含んでいる。各ノードはＳＫ設定データを用いて、ＣＰＵ、メモリ等を含む主体およびリソースを分割または別途分離して隔離する。

ＳＫは、主体同士を異なる区画に隔離して、完全に各々の区画に属するように見えるリソースの組を各区画が含むようにする。これは仮想化として知られる。例えば、ＣＰＵのように一度に１個の主体からしかアクセスされないリソースの仮想化を実現すべく、ＳＫは、異なる区画からの時間的使用パターンが互いにわからないことを保証する。メモリ等の他のリソースは、異なる区画から同時にアクセスできる一方、例えば区画にリソースの異なる非対話的部分が割り当てられていることをＳＫが保証する場合、理想化された隔離を維持する。更に、自身の内部リソースのＳＫ利用もまた、所望の隔離特性を維持しなければならない。ＳＫはまた、例えばセキュリティ障害、システム障害、またはセキュリティ違反の企図等、障害を検出する監査サービスを提供する。

ＳＫの設定
ＳＫは設定データの組を用いて、区画の定義および区画へのリソースの配分を行なう。ＳＫ設定データは、初期化を行なう間にノードが用いる制御情報を提供して、セキュリティ保証初期状態および実行中の状態の挙動を規定する。ＳＫ設定データは、そのような区画を規定する目的で各々のエクスポートされたリソースを単一の区画に割り当てる（結合する）。全ての主体はまた、区画を規定する目的でＳＫ設定データにより単一の区画に割り当てられる。ＳＫ設定データは、ＳＫフローのポリシー設定データおよび対応ポリシー設定データで構成され、区画間および区画内で通信を行なうための情報フロー制御および区画フロー制御ポリシーを規定する。ＳＫ非フローポリシー設定データは、監査設定パラメータ、暗号設定パラメータ、クロック設定および自己テストの実行期間等、他の全ての設定可能なＳＫ必須データを規定する。ＳＫ設定データの内容およびフォーマットは、施行される情報フロー制御および区画フロー制御ポリシーの範囲および粒度並びにシステム設計の他の要因に応じて、異なる形式を取り得る。

ノードの分割
図２に、ＳＫの制御下で動作するノードの例証的な実施形態を示す。当該ノードは例えば無許可データ転送またはデータの無許可モニタリングに起因してＳＰに違反する情報フローから保護する役割を果たす。一実施形態において、ノードは、単一のＳＫを実行する任意のハードウェア・リソースを含んでおり、ＳＫはＳＫ設定データに従いノードの複数の区画間および／または内で情報フローを制御する。特に、各ノードは、当該ノードに一意なリソースを保護する自身のＳＫを実行する。上述のように、ＳＫは自身の制御下にある全てのリソースを区画に分割して、１個の区画内の主体等の稼動エンティティの動作が、当該通信に対する明確な手段がＳＫ設定データにより確立されていない限り、他の区画の稼動エンティティから分離されて、他の稼動エンティティによる検出も、更にはこれらとの通信も不可能にする。このように、ある区画の主体が他の区画の主体と通信することをＳＫ設定データが明示的に許可しない限り、通信は許可されない。

図２に、主体１〜３およびリソース４〜１０を用いて３個の区画Ａ〜Ｃに分割されているノードを示す。図に示すように、区画Ａは、主体１、２、およびリソース４〜５を含み、区画Ｂは主体３およびリソース６〜７を含み、区画Ｃはリソース９、１０を含んでいるが主体は含んでいない。矢印は、ＳＫ設定データにより実装されるノードのＳＫフローポリシーを示す。またシステムは、ＰＣＳの制御範囲外で動作するエージェントを含んでいてよい。

通信システムの分割
ＰＣＳが提供する主要な抽象概念がチャネルである。チャネルとは、単一のソース主体から同一または異なるノードに存在する１個以上の宛先主体への接続であり、接続をもたらした任意の物理的または論理的要素を含んでいる。一例証的な実施形態において、ＰＣＳは、２種類のセキュリティ・ポリシーに従いチャネルを介した主体の相互作用、すなわちチャネル接続性ポリシーおよびリソース管理ポリシーを調停する。

チャネル接続性ポリシーは、主体間の許容可能な接続を記述する。基本的に、当該ポリシーは、ＰＣＳにより提供されるチャネルを介して直接通信できる主体を制限するアクセス制御ポリシーである。リソース管理ポリシーは、チャネルの実装に用いる共有通信リソースがチャネル間でどのように割り当てられるか、および共有リソースの使用を通じてチャネルが互いに影響を及ぼす（協力的にまたは偶然）度合いを記述する。リソースポリシーが、異なるチャネルが互いに影響を及ぼすのを許さない場合、主体によるチャネル利用は、第１のチャネルから分離するよう指定された他の任意のチャネルに対して実行された動作の結果を調べている主体またはエージェントからは一切見えない。

ＰＣＳおよびＳＫを用いて構築可能な要素の例として、セキュリティ保証ミドルウェア（ＣＯＲＢＡ、ＤＤＳ、ウェブ・サービス、ＳＱＬまたはクライアント／サーバデータベース）、電子メール、インスタント・メッセージング、分散型高信頼ダウングレーダー、およびガードを含んでいる。ＳＫにより施行されるセキュリティ・ポリシーの「端末間」バージョンを可能にすることにより、ＰＣＳはセキュリティ保証分散処理システムの構築を容易にする。ＰＣＳが用いられるシステムは、遠隔操作プロシージャ呼出し（ＲＰＣ）機能またはインターフェース定義言語（ＩＤＬ）等の特徴に対応しているミドルウェアを含んでいてよい。

ＰＣＳの設定
図３に、ＰＣＳ設定データにて説明したように、チャネル接続性ポリシーおよびリソース管理ポリシーを含むＰＣＳセキュリティ・ポリシー（ＳＰ）に関する例証的な実施形態を示す。グラフの全ての矢印は、単一のソース主体から１個以上の宛先主体への論理的一方向チャネルを表わす。図に示すように、セキュリティ・ポリシーＳＰにより、主体がリソースグループ１内の一方向のＰＣＳチャネルを介して主体ＡおよびＢと通信することを許す。同様に、セキュリティ・ポリシーにより主体Ａは、リソースグループ２内の一方向ＰＣＳチャネルを介して主体Ｃおよび主体Ｄと通信することができる。しかし、主体は、ＳＰに違反することなくそれらのリソースグループ外の他の主体と通信することはできないかもしれない。当業者によって理解されるであろうが、本図がＳＰの簡単な実施形態を示す点、および異なる制約、主体の数、およびリソースの数を有する他の異なるリソースポリシーを用いてもよい点に注意されたい。リソースグループの利用により、通信リソースは異なるグループに属しているチャネルから完全に分離される。ＰＣＳ設定データはまた、リソースグループ内の相互作用を制約する場合がある。グループ内のリソースに基づく相互作用の程度が、ＰＣＳ設定データにより指定され、より詳細なポリシーがグループ内での相互作用に対して更なる制約を課す場合がある。ＰＣＳ設定データはまた、主体レベルまたは区画レベルの制御粒度を規定する。

チャネル接続性およびリソース管理ポリシーを含む、ＰＣＳ設定データの表現形式は、明示または導出されたかのいずれにせよ任意の適切な形状の仕様であってよい。好適には、ＰＣＳ設定データ仕様は一義的であって、人間の審査官（恐らくはツールの支援を受けて）が、ポリシーにより何らかの所定の可能な接続が許可されて、全てのリソース配分規則がポリシーにより指定されているか否かを判定できるようにする。

ＰＣＳの動作
ＰＣＳはＳＫに依存しているため、ＳＫが自身をロードし、全てのクライアント区画（ＣＰ）、ＰＣＳ区画、デバイス・ドライバ区画等を含む区画をロードするまで、自身の初期化を開始することができない。次いで、ＳＫはＰＣＳ区画の実行を開始する。ＳＫはＰＣＳのコードおよびデータを正しい区画（群）に正確にロードして、回復不能なエラーが正しいロードを阻害する場合にはＰＣＳに通知する。

図４に、本発明による２個のノード１、２の間にノード間通信を提供するシステムの例証的な実装を示す。各ノードは、メモリ割り当て、コードのローディング、通信リソースの割り当て、Ｉ／Ｏ取扱い等を提供する対応ＳＫｌ、ＳＫ２を実行する。図に示すように、ＳＫｌ、ＳＫ２の各々は、対応ＰＣＳｌ、ＰＣＳ２をノード１、２にロードしてノードを分割する。ＳＫｌはノード１をＣＰｌおよびＣＰ２に分割し、これらはＰＣＳ１からアクセスすべく設定され、ＳＫ２はノード２をＣＰ３およびＣＰ４に分割し、これらはＰＣＳ２からアクセスすべく設定される。

ＳＫが初期化されたならば、ＰＣＳ制御区画は、チャネル接続性ポリシー、リソース管理ポリシー、およびネットワーク記述を含むＰＣＳ設定データをロードする。ＰＣＳは、検出可能な失敗に起因するチャネル接続性ポリシーまたはリソース管理ポリシーの違反が生じないことを保証する。

図５に、図４のシステムのより詳細な実施形態を示す。破線で示すように、ＰＣＳは、信頼できない主体やエージェントにより自身および自身のリソースが外部から改竄されたり無許可に開示されたりしないよう保護すべく自身の実行ドメインを維持する。ＰＣＳドメインは、チャネル端点（ＣＥ）区画または主体を介した接続性を実装する多くの区画を含んでいる。ＰＣＳ設定コードおよびデータ区画は、設定データおよびバインディングを管理する責任を負う。ＰＣＳ設定データは、基盤であるＳＫの対応に従い、主体または分割レベルのいずれかにおいてＣＥへのバインディングを規定する。

分離されたノード上の主体間でデータ通信を行なう前に、ＰＣＳは通信に関与するノードが一貫した設定データを有することを保証する。ＰＣＳ設定データの全てを各ノードに保存する必要が無い点に留意されたい。各ノードで必要とされるのは、当該ノードが通信する権限を与えられている他のノードの設定と自身の設定が整合しているものと判定するに足るＰＣＳ設定データの部分集合だけである。複数の部分的なＰＣＳ設定は、ノードがそれらを利用した結果、当該部分的ポリシーが部分集合をなす完全なポリシーに違反しない場合、整合性がある。ノード間通信を実行する前に、全てのノードが互換な設定データを有することを検証することにより、ＰＣＳ設定データに対する不注意または悪意による変更が防止される。

ネットワークがアクセスするハードウェア／ソフトウェア、暗号ハードウェア／ソフトウェア等、全ての共有リソースに対して、ＰＣＳはそれらのリソースを初期化してテストする。全てのチャネルに対して、送信ＣＥは全ての受信ＣＥとの相互認証を実行して、それらの端点との共有機密鍵を確立する。一実施形態において、ＳＫ初期化を行なう間にチャネル用のタイムスライスおよびＲＡＭ空間等の計算リソースの割り当てが完了されて、ブート時にはＰＣＳによる明示的な取扱いを必要としない。共有リソースおよびチャネルの初期化が完了したならば、チャネルがデータ通信の準備を完了している旨がＣＰ内の主体に通知される。一例証的な実施形態において、主体はＳＫのＲＰＣ経由でチャネルを介したデータ通信を開始する。

一例証的な実施形態において、基盤であるＳＫの設定により、あるノード内の主体が、ＰＣＳを起動することなく、分離されたノード内の主体とデータ通信することが防止される。ＳＫはまた、自身の制御下のリソースを主体が利用可能になる時点の制御をＰＣＳに行なわせることにより、ＰＣＳが許可を与えるまで当該リソースへのアクセス権を保持することができる。ＳＫは、ＰＣＳ区画に存在するデータについて当該ＰＣＳに属する主体以外の主体による変更を一切許可しないことにより、区画を相互に保護する。好適には、ＰＣＳを用いるシステムは、ネットワークの物理層における基盤である通信機構の可用性に対する脅威に対処する特徴を含んでいて、その特徴はＰＣＳを迂回する機構を介した通信リソースへのアクセス権を有する。

セキュリティに対する脅威
エージェントは、データ通信に対するセキュリティ脅威を及ぼす稼動エンティティを表わす。エージェントは、故意または意図しないＳＰ違反を試みる悪意または不具合を有するソフトウェアまたはハードウェア・エンティティであってよい。エージェントは、ノードが通信する情報を不正に生成およびモニタする、ノードの不具合を有する要素であっても、あるいはノード内部または外部の悪意を有する装置であってもよい。

セキュリティ違反を防止すべく、ＰＣＳはＳＫが提供するインターフェースを提供すると共に依存もする。ＳＫが信頼するに足ると保証されたサービスを提供するインターフェースを除いて、ＰＣＳはこれらのインターフェースの使用または可用性からの脅威に対して自身を保護しなければならない。一方、悪意のあるエージェントがＳＰに違反してＳＫインターフェースを用いる恐れがある。これらのインターフェースは、ＰＣＳの認証、完全性、または秘匿要件を満たす保証をＳＫが提供できない点が独特である。結果的に、ＰＣＳは、ノード間通信インターフェースを介して潜在的に敵対的なソースから到来する全ての受信データを扱う。

以下は、ＰＣＳが対処するセキュリティ脅威のいくつかの例である。悪意のあるエージェントは、自身がノード間で送信される間に、主体またはデータを損傷しようと試みる場合がある。エージェントは、ノード間通信チャネルを介して送信されるメッセージの有無を観察することにより情報を不正に取得しようと試みる場合がある。悪意または不具合を有する主体は、意図的でない通信経路を用いて別の主体と通信することにより、ＳＰに違反しようと試みる場合がある。悪意または不具合を有する主体は、共有通信リソースを使い果たすかまたは独占することにより、他の主体の通信を阻害または遅延させようと試みる場合がある。エージェントは、直接ネットワーク・データを読むことにより、ＳＰに違反して主体データを見ようと試みる場合がある。悪意または不具合を有する主体は、使用の準備ができていないリソースを調べることにより、主体データへの不正アクセスを試みる場合がある。悪意または不具合を有する主体は、データがＰＣＳ区画内に存在する間にこれを修正して、別の主体へ送られるデータの変更を試みる場合がある。悪意または不具合を有する主体またはエージェントは、構文的または意味論的に無効な要求をＰＣＳに渡すことにより、ＰＣＳに自身または自身の制御下にある主体データを損傷しようと試みる場合がある。悪意または不具合を有する主体またはエージェントは、無効なデータをＰＣＳインターフェースに提示することにより別の主体になりすまして、主体データを脅威にさらそうと試みる場合がある。悪意または不具合を有する主体は、ＰＣＳにＳＰの施行を失敗させて、システム・セキュリティおよび主体データの両方を脅威にさらすことにより、ＰＣＳ設定データまたは他の内部データ構造を変更しようと試みる場合がある。悪意または不具合を有する主体は、不適当にクリアされたか不完全に初期化された共有リソースから不正な情報を得ようと試みる場合がある。悪意または不具合を有する主体は、自身が通信する許可を与えられていない情報を主体またはエージェントへ送ろうと試みる場合がある。

隠れチャネル
ＰＣＳは、分離されたノードにある２個の主体間の通信の有無を、ノード間通信を調べる能力を有するエージェントが認識可能になることを防止する。ＰＣＳは、通信に関与しない主体またはエージェントが通信チャネルの使用を観察できないことを保証する。また、ＰＣＳは、チャネルがＳＰにより分離されることを要求された場合に、あるチャネルを使用したことで別のチャネルの認識可能な挙動に影響を及ぼすことを防止する。ＰＣＳは、ＰＣＳ設定データに記述されている情報フローポリシーにより明示的に承認された情報しか流すことを許可しない。一実施形態においてＰＣＳは、結果的に不正な情報フローを生じるエージェントにより、トラフィック分析に対する保護を提供する。ＰＣＳは、この種の不正情報フローを排除または制限する仕方で通信リソースの露出した特徴を隠蔽またはマスキングすることにより、トラフィック分析の脅威に対処する。ＰＣＳは、露出した特徴を意図された受取人以外の全てのエンティティから隠蔽する。しかしＰＣＳは、意図した受取人に対してこれらの特性を隠蔽しない。ＰＣＳは、１個以上のチャネルを介してデータ通信を行なう際に、あるノードの主体と別のノードの１個以上の主体とを分離することにより、エージェントから特性を隠蔽する。ＰＣＳ設定データは、異なるノード上の主体を分離するパラメータを設定する。

より具体的には、ＰＣＳは、ノード間の１個以上のメッセージの通信が、ＣＥ間または１個以上の通信リソース間で露出した通信特性から独立した、既定の通信基準を満たすようにノード間通信を制御する。露出した通信特性は、１個以上のメッセージのタイミング、１個以上のメッセージの持続時間、１個以上のメッセージの通信頻度、１個以上のメッセージのサイズ、１個以上のメッセージの発信元、１個以上のメッセージの宛先、および１個以上のメッセージの内容に関係していてよい。既定の通信基準はまた、割り当てられた通信スループット、割り当てられた帯域幅、割り当てられたデータレート、またはシステムの動作モードを満たすことに関係していてよい。通信基準に全ての割り当てられた帯域幅を取り入れている実施形態の場合、利用可能な帯域幅の部分的共有または利用可能な帯域幅の比例的共有のいずれかが、利用可能な帯域幅の部分的共有または利用可能な帯域幅の比例的共有を用いてもよい。

一実施形態において、ＰＣＳは、異なるノードの主体間で通信されるデータをパディングすることにより、チャネルを介したエージェントからの露出した通信特性を隠蔽する。この構成において、ＣＥはＣＰにおいて送るべきデータがなくなるかまたは上限に達するまで、ＳＫのＩＰＣ機構を用いてＣＰからデータを読む。この例の場合、上限がＰＣＳ設定データにより規定された定数であると仮定する。上限の例は、１ミリ秒のタイムスライス毎に３０キロバイトである。ＣＰが上限を満たすのに十分なデータを提供しない場合、送信側ＣＥはデータをパディングして当該データの長さを上限に等しくする。例えば、上限が３０ＫＢ／ミリ秒であってＣＰが１０ＫＢを提供する場合、送信側ＣＥはデータを２０ＫＢでパディングする。あるいは、送信側ＣＥはまた、追加的なメッセージを含んでいてもよい。送信側ＣＰは、掲示するステップを繰り返しながら次のタイムスライスの開始を待つ。タイムスライスを満たす以外に、ＣＥはまた、隠れチャネルおよび不正情報フローを隠蔽するかまたは排除すべく、既定の通信基準に従い通信されるメッセージの量、頻度、サイズを変更することができる。

受信側チャネル端点が実行する動作は基本的に、送信側チャネル端点が実行するものの逆である。受信側チャネル端点は、送られてきたものからデータを取り出して、解読し、パディングを排除して、最後にクライアント区画へ渡す。受信側チャネル端点が実行するレート制限は無い。

送信の秘匿
送信側ＣＥもまた、以前に確立された共有機密を用いて、パディングされたデータを暗号化する。この暗号化は、ＣＥによりソフトウェアを用いて実行することも、あるいはハードウェア暗号化装置へ受け渡されてもよい。

好適には、エージェントによるメッセージ内容の盗聴に起因して、情報フロー制御ポリシーは、不正情報フローを排除する暗号理論または暗号化によるノード間送信の秘匿を必要とする。秘匿および認証の保証を与えるべく、ＰＣＳは信頼できる共有機密を確立して相互認証を実行する。この仕組みはしばしばシステムの「信頼アンカー」と呼ばれる。暗号理論的に強い完全性検証は（ＣＲＣの類のより弱い方法とは異なり）、悪意のあるエージェントが存在する状況で主体によりノード間で通信されるデータの完全性の検証に対応するために必要である。信頼アンカーを提供する例証的な仕組みは、静的共有機密、信頼の分散ウェブ（ＰＧＰモデル）、集中化された公開鍵インフラ（ＰＫＩ）（現在使用されている最も安全な電子メールおよびウェブ識別スキームのモデル）を含んでいる。

データの完全性
ＰＣＳは、主体によりノード間でデータ通信が行なわれる際に、ＳＰ施行のために完全性が必要な全てのユーザーデータおよび全てのセキュリティに関連したデータの完全性を検証する。ＰＣＳは、ＰＣＳ設定データに保存されているチャネルの接続性およびリソース管理ポリシー属性に基づいて、システムの物理的に分離された部分間で送信される際にデータを分離する。ＰＣＳは、送信されたデータに何らかの変更が無いかを調べるため、システムの物理的に分離された部分間で送信されるユーザーデータをモニタする。ＰＣＳは、送信の完全性を実現すべく、ユーザーデータ送信後にその変更を防止する。ＰＣＳは、各々の通信要求を検証して、変更のため送信されたユーザーデータをモニタする。ＰＣＳはシステムの分離された部分間で送信されたデータについて、データの変更、データの置換、データの削除を検出する。

リソースの共有
主体間におけるメモリバッファ等の通信リソースの共有は、これらのリソースがある主体から切り離されて別の主体へ割り当てられる際に、不正情報フローの可能性が生じる。ＰＣＳは、全ての主体からリソースが割り当てまたは切り離された場合に、過去のリソース情報が一切利用できなくなることを保証する。一実施形態において、ＰＣＳは、共有リソース、メモリ、レジスタ等の内容から、過去の利用から持ち越された関連残り情報をクリアする。

メッセージの再生
ＰＣＳは、再生されたメッセージのノード間通信が成功しないようにする。例えば、ＰＣＳが元のメッセージを、不具合または悪意のあるエージェントから送られた元のメッセージの再生と区別できない場合、当該エージェントは再生されたメッセージを用いて不正な情報フローを生成することができる。ＰＣＳは、再生が検出された場合にメッセージを廃棄して潜在的に記録することにより、データの配信または使用を防止する。

自己証明
不具合のある主体またはエージェントが別のエンティティになりすますことができる場合、不正な情報フローが生じる恐れがある。一実施形態において、ＰＣＳは各主体に対し、当該主体に代わって他のいずれかのＰＣＳが調停した動作を許可する前に、自己証明するよう要求する。その結果、主体の自己証明が検証されて情報フローがチャネル接続およびリソース管理ポリシーに準拠するならば、情報フローポリシーは被制御主体と被制御情報との間での被制御動作を介した情報フローを許可する。ＰＣＳは何らかのポリシーを適用する前に、主体またはノードの自己証明を検証するが、これは主体またはノードの自己証明に応じて条件付である。

配分
ＰＣＳは、主体がリソースを独占するのを防止することにより、当該リソースを他の主体に利用することを禁止する。共有リソースの使用から生じるサービスの拒否を防止すべく、ＰＣＳは共有リソースの使用を調停して、あるチャネルの実装に用いるリソースが別のチャネルの実装に用いるリソースに影響を及ぼすことを防止する。ＰＣＳは、ＰＣＳ設定データに指定されている使用配分を施行する。より具体的には、ＰＣＳは、チャネルおよび主体が同時に使用可能な共有可能通信リソースの最大配分を施行する。ＰＣＳはまた、チャネルおよび主体が同時に使用できるように利用可能な通信リソースの各々の比例的共有の最小量の供給を保証する。

意味論的検証
ＰＣＳは、全ての要求を検証して、要求が意味論的に妥当であって、ＳＰを損傷したり違反したりしていないことを保証する。

監査
ＰＣＳは、障害に続くロギング要素により保存する監査情報を生成することにより、損害評価機能を提供する。ＰＣＳは、検出した全てのセキュリティに関連した事象を記載する監査データを選択的に生成する。これらの事象には、ＰＣＳの初期化、システムの設定データの成功または失敗した検証、他のノードへの／からの接続、およびシステムセキュリティ機能を破るかまたは迂回する明らかな試みが含まれるが、これらに限定されない。

結論
上記内容からＰＣＳが、通信に対して設定可能な分離セキュリティ・ポリシーを施行しながら、分離されたノードの隔離された区画で実行されている主体の間でノード間通信を提供するハードウェアおよび／またはソフトウェアの任意の適当な組合せを含んでいることが理解されよう。その結果ＰＣＳは、分散処理システムにおいて分離されたノードで実行されている主体の間でのポリシー準拠の通信を可能にする。このようにして、ＰＣＳは、区画間でのノード間通信に起因するデータの秘匿または完全性に対する新たな脅威をもたらす恐れ無しに、ノードの分割の再設定を可能にし、通信のセキュリティに関して本質的に位置透過な仕方でノード間通信を保護する。

より具体的には、ＰＣＳは、明示的に承認された情報フローしか生じさせないことにより、チャネルの利用が不正な主体またはエージェントに可視的なリソースに影響を及ぼす仕方で共有通信リソースに影響を及ぼすことを防止する。とりわけ、ＰＣＳもまた、データ秘匿保護およびトラフィック分析からの保護を提供する。ＰＣＳは、共有通信リソースを管理してチャネル分離および使用配分を行なう。ＰＣＳは、ノードおよび主体を認証して、データの完全性を検証する。

本発明について、例証的な実施形態に関して詳細に述べてきたが、本発明のより広い態様のから逸脱することなく、変更及び改良を行ない得ること、および請求項に記載の本発明は従って、そのような変更および改良が本発明の真の精神に含まれるよう意図していることがここで上記の当業者にとって明らかになる。

本発明によるＰＣＳを用いるシステムの簡単なブロック図である。 図１のシステムで用いるノードの論理ブロック図である。 例証的なＰＣＳ構成を示す論理ブロック図である。 ＰＣＳを用いて２個のノード間でデータ通信を行なうシステムの論理ブロック図である。 図４のシステムのより詳細な論理ブロック図である。

Claims (32)

1. 複数のノードと、
   通信コントローラと
   を備える通信システムであって、
   前記複数のノードの各々が、対応するノード上で少なくとも１個の区画を規定する分離カーネルを実行するものであり、あるノード上の少なくとも１個の区画が、別のノード上の１個以上の区画と１個以上の通信チャネルを介してデータ通信を行ない、前記１個以上の通信チャネルを介した前記ノード上の前記少なくとも１個の区画とのデータ通信が、少なくとも１個の露出した通信特性を示し、
   前記通信コントローラが、前記ノード上の前記少なくとも１個の区画から別のノード上の区画への不正な情報フローを防止すべく、前記少なくとも１個の露出した通信特性を隠蔽する、通信システム。
2. 前記通信コントローラが、前記少なくとも１個の露出した通信特性から独立した通信基準に従い、前記少なくとも１個の露出した通信特性を隠蔽する、請求項１に記載の通信システム。
3. 前記通信基準が、割り当てられた通信スループット、割り当てられた帯域幅、割り当てられたデータレートおよび利用可能な帯域幅の比例的共有のうち少なくとも一つに関係する、請求項２に記載の通信システム。
4. 前記分離カーネルが区画に対し、前記データ通信を行なうべく１個以上の主体を割り当て、前記１個以上のチャネルを生成すべく１個以上のリソースを割り当てる、請求項１に記載の通信システム。
5. 前記１個以上のリソースが、通信バスリソース、プロトコル・スタックリソース、暗号化リソース、実行タイムスライスおよび実行頻度のうち少なくとも一つを含む、請求項４に記載の通信システム。
6. 前記少なくとも１個の露出した通信特性の隠蔽が、タイムスライスを満たすための、通信データのパディングおよび追加メッセージの包含のうち少なくとも一つを含む、請求項１に記載の通信システム。
7. ノード上で分離カーネルを実行して少なくとも１個の区画を規定するステップと、
   前記ノード上の前記少なくとも１個の区画と別のノード上の１個以上の区画との間で、１個以上の通信チャネルを介してデータ通信を行なうステップであって、前記１個以上の通信チャネルを介した前記ノード上の前記少なくとも１個の区画とのデータ通信が、少なくとも１個の露出した通信特性を示すものとなっている、ステップと、
   前記ノード上の前記少なくとも１個の区画から別のノード上の区画への不正な情報フローを防止すべく、前記少なくとも１個の露出した通信特性を隠蔽するステップと
   を含むデータ通信方法。
8. 前記通信コントローラが、前記少なくとも１個の露出した通信特性から独立した通信基準に従い、前記少なくとも１個の露出した通信特性を隠蔽する、請求項７に記載のデータ通信方法。
9. 前記通信基準が、割り当てられた通信スループット、割り当てられた帯域幅、割り当てられたデータレートおよび利用可能な帯域幅の比例的共有のうち少なくとも一つに関係する、請求項８に記載のデータ通信方法。
10. 前記分離カーネルが区画に対し、前記データ通信を行なうべく１個以上の主体を割り当て、前記１個以上のチャネルを生成すべく１個以上のリソースを割り当てる、請求項７に記載のデータ通信方法。
11. 前記１個以上のリソースが、通信バスリソース、プロトコル・スタックリソース、暗号化リソース、実行タイムスライスおよび実行頻度のうち少なくとも一つを含む、請求項１０に記載のデータ通信方法。
12. 前記少なくとも１個の露出した通信特性の隠蔽が、タイムスライスを満たすための通信データのパディングおよび追加メッセージの包含のうち少なくとも一つを含む、請求項７に記載のデータ通信方法。
13. 分離カーネルと、
    通信コントローラと
    を備えるノードであって、
    前記分離カーネルが、当該ノード上で少なくとも１個の区画を規定するものであり、前記ノード上の前記少なくとも１個の区画が、別のノード上の１個以上の区画と１個以上の通信チャネルを介してデータ通信を行ない、前記１個以上の通信チャネルを介した前記ノード上の前記少なくとも１個の区画とのデータ通信が、少なくとも１個の露出した通信特性を示し、
    前記通信コントローラが、前記ノード上の前記少なくとも１個の区画から別のノード上の区画への不正な情報フローを防止すべく、前記少なくとも１個の露出した通信特性を隠蔽する、ノード。
14. 前記通信コントローラが、前記少なくとも１個の露出した通信特性から独立した通信基準に従い、前記少なくとも１個の露出した通信特性を隠蔽する、請求項１３に記載のノード。
15. 前記通信基準が、割り当てられた通信スループット、割り当てられた帯域幅、割り当てられたデータレートおよび利用可能な帯域幅の比例的共有のうち少なくとも一つに関係する、請求項１４に記載のノード。
16. 前記分離カーネルが区画に対し、前記データ通信を行なうべく１個以上の主体を割り当て、前記１個以上のチャネルを生成すべく１個以上のリソースを割り当てる、請求項１３に記載のノード。
17. 前記１個以上のリソースが、通信バスリソース、プロトコル・スタックリソース、暗号化リソース、実行タイムスライスおよび実行頻度のうち少なくとも一つを含む、請求項１６に記載のノード。
18. 前記少なくとも１個の露出した通信特性の隠蔽が、タイムスライスを満たすための通信データのパディングおよび追加メッセージの包含のうち少なくとも一つを含む、請求項１３に記載のノード。
19. 複数のノードと、
    通信コントローラと
    を備える通信システムであって、
    前記複数のノードの各々が、対応するノード上で少なくとも１個の区画を規定する分離カーネルを実行するものであり、あるノード上の少なくとも１個の区画が、別のノード上の１個以上の区画とデータ通信を行ない、前記ノード上の前記少なくとも１個の区画とのデータ通信が、データの量、データのタイミング、データの持続時間、データの頻度、またはデータのサイズのうち少なくとも一つに関係する少なくとも１個の露出した通信特性を示し、
    前記通信コントローラが、隠れチャネルを少なくとも制限または排除すべく、前記少なくとも１個の露出した通信特性を変更する、通信システム。
20. 前記少なくとも１個の露出した通信特性の変更が、タイムスライスを満たすための通信データのパディングおよび追加メッセージの包含のうち少なくとも一つを含む、請求項１９に記載の通信システム。
21. 前記分離カーネルが区画に対し、前記データ通信を行なうべく１個以上の主体を割り当て、前記１個以上のチャネルを生成すべく１個以上のリソースを割り当てる、請求項１９に記載の通信システム。
22. 前記１個以上のリソースが、通信バスリソース、プロトコル・スタックリソース、暗号化リソース、実行タイムスライスおよび実行頻度のうち少なくとも一つを含む、請求項２１に記載の通信システム。
23. ノード上で分離カーネルを実行して少なくとも１個の区画を規定するステップと、
    前記ノード上の前記少なくとも１個の区画と別のノード上の１個以上の区画との間で、１個以上の通信チャネルを介してデータ通信を行なうステップであって、前記１個以上の通信チャネルを介した前記ノード上の前記少なくとも１個の区画とのデータ通信が、データの量、データのタイミング、データの持続時間、データの頻度、またはデータのサイズのうち少なくとも一つに関係する少なくとも１個の露出した通信特性を示すステップと、
    隠れチャネルを少なくとも制限または排除すべく、前記少なくとも１個の露出した通信特性を変更するステップと
    を含むデータ通信方法。
24. 前記少なくとも１個の露出した通信特性の変更が、タイムスライスを満たすための通信データのパディングおよび追加メッセージの包含のうち少なくとも一つを含む、請求項２３に記載のデータ通信方法。
25. 前記分離カーネルが区画に対し、前記データ通信を行なうべく１個以上の主体を割り当て、前記１個以上のチャネルを生成すべく１個以上のリソースを割り当てる、請求項２３に記載の方法。
26. 前記１個以上のリソースが、通信バスリソース、プロトコル・スタックリソース、暗号化リソース、実行タイムスライスおよび実行頻度のうち少なくとも一つを含む、請求項２５に記載の方法。
27. 前記通信コントローラが、前記１個以上のリソースを共有するためのリソース管理ポリシーを実装する、請求項２５に記載の方法。
28. 分離カーネルと、
    通信コントローラと
    を備えるノードであって、
    前記分離カーネルが、当該ノード上で少なくとも１個の区画を規定するものであり、前記ノード上の前記少なくとも１個の区画が、別のノード上の１個以上の区画と１個以上の通信チャネルを介してデータ通信を行ない、前記１個以上の通信チャネルを介した前記ノード上の前記少なくとも１個の区画とのデータ通信が、データの量、データのタイミング、データの持続時間、データの頻度、またはデータのサイズのうち少なくとも一つに関係する少なくとも１個の露出した通信特性を示し、
    前記通信コントローラが、隠れチャネルを少なくとも制限または排除すべく、前記少なくとも１個の露出した通信特性を変更する、ノード。
29. 前記少なくとも１個の露出した通信特性の変更が、タイムスライスを満たすための通信データのパディングおよび追加メッセージの包含のうち少なくとも一つを含む、請求項２８に記載のノード。
30. 前記分離カーネルが区画に対し、前記データ通信を行なうべく１個以上の主体を割り当て、前記１個以上のチャネルを生成すべく１個以上のリソースを割り当てる、請求項２８に記載のノード。
31. 前記１個以上のリソースが、通信バスリソース、プロトコル・スタックリソース、暗号化リソース、実行タイムスライスおよび実行頻度のうち少なくとも一つを含む、請求項３０に記載のノード。
32. 前記通信コントローラが、前記１個以上のリソースを共有するためのリソース管理ポリシーを実装する、請求項３０に記載のノード。

Images