JP4896400B2 - セキュアなファイルシステムサーバーのアーキテクチャ及び方法 - Google Patents

セキュアなファイルシステムサーバーのアーキテクチャ及び方法 Download PDF

Info

Publication number
JP4896400B2
JP4896400B2 JP2004544792A JP2004544792A JP4896400B2 JP 4896400 B2 JP4896400 B2 JP 4896400B2 JP 2004544792 A JP2004544792 A JP 2004544792A JP 2004544792 A JP2004544792 A JP 2004544792A JP 4896400 B2 JP4896400 B2 JP 4896400B2
Authority
JP
Japan
Prior art keywords
file
security
data
processor
file data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2004544792A
Other languages
English (en)
Other versions
JP2006503369A (ja
Inventor
ミンチェン ロー
ティエン ニューイエン
デューク ファム
ピュー ザン
Original Assignee
ヴォーメトリック インコーポレイテッド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ヴォーメトリック インコーポレイテッド filed Critical ヴォーメトリック インコーポレイテッド
Publication of JP2006503369A publication Critical patent/JP2006503369A/ja
Application granted granted Critical
Publication of JP4896400B2 publication Critical patent/JP4896400B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database

Description

本発明は、一般的には、永続的格納データを、許可されないアクセス及び変更から保護するシステム及び方法に関するものであり、特に、アプリケーション又はデータベースサービスプロバイダのプラットフォームの役割として動作するファイルシステムサーバーによって管理される永続的データを、確実にセキュリティ保護するシステム及び方法に関するものである。
永続的格納データ上の強固かつ検証可能なセキュリティを維持することは、商業、政治、及び実質的に他の全てのコンピューティング環境の動作における第一の要件でなければならず、かつ、それであり続ける。しかしながら、望ましい高レベルのセキュリティを実現することは、様々な理由のため、一般的には達成されていない。特にインターネット構造基盤のペースの速い開発で、ネットワークアーキテクチャ、構造基盤デバイス、及びコンピュータプロトコルの多様性が、急速に増大した。従って、ある定められたドメイン内で少なくとも最低限の一定レベルのセキュリティを協調して確立されなければならないコンピュータシステム及びネットワーク構成要素の数、種類、及び複雑さが、それに応じて増大した。様々なシステム及び構成要素の協調管理の実際的な問題もまた、システムの既知及び未認識の両方のセキュリティ攻撃の侵入からの保護の失敗と同様に、セキュリティ侵害に対するシステム及びネットワークの脆弱性に寄与するものである。
従来、所定のドメインのセキュリティ保護は、対応する個々のコンピュータシステム及びネットワーク構成要素の動作性に依って、階層化及び特化される。典型的には、これらのセキュリティ保護は、パスワード呼びかけ、及び、コンピュータシステム又はネットワーク構成要素の中核機能の上に階層化されるデータ及び接続フィルタ、のように様々に実装される。コンピュータシステム及びネットワーク構成要素のソフトウェアのセキュリティ機能の従来の実装は、強固なセキュリティ機構を確立することの本来の複雑さ、及び、未認識の脆弱性及び新たに出現した脆弱性の両方をふさぐために頻繁にパッチをあてるという非常に実際的な必要性、を暗黙的に認識する。
攻撃、及び、最終的には永続的格納データ上のセキュリティの損失に対する、様々なセキュリティ機構の脆弱性を最小化するために、様々なアーキテクチャ手法が探索された。1991年4月9日にCumminsに発行された米国特許第5,007,082号は、ファイルデータ転送に利用可能な初期のデータセキュリティシステムを説明している。セキュリティ、使用の透過性、及び互換性の必要性のバランスを取って、Cumminsは、基本I/Oシステム(BIOS)レベルでプラットフォームオペレーティングシステムと相互運用する、ハードウェア固有のソフトウェアベースの暗号化制御システムを説明している。BIOSによって提供されるファイルデータ転送動作は、ファイルレベルのデータに対して暗号化及び復号化機能を実装する互換性のあるルーチンに、選択的に再び向けられる。説明した機能は、ファイルレベルの暗号化及び復号化を実行する。それゆえ、完全なファイルの読み取り/書き込みは、アプリケーションプログラムの読み取り/書き込みサポートをサポートすることを要求される。互換性はさらに、アプリケーションを実行することによって誘導される動的な読み取り/書き込み動作をサポートするように、関連するファイルデータのメモリバッファを暗号化されていない状態で維持しなければならないことを、要求する。
1996年12月10日にHsuに発行された米国特許第5,584,023号は、同様であるが、より高度なソフトウェアベースのファイルデータ暗号化システムを説明している。オペレーティングシステムカーネルモードドライバーは、システムコールインターフェースレベルで、ファイルデータに関連する選択されたオペレーティングシステムコールを再び向けるために使用される。下位のオペレーティングシステム提供のファイル指向システムコールは、ブロックレベルの暗号化及び復号化サービスをサポートするようにラップされ、このとき、ブロックサイズは、オペレーティングシステムの定格動作で定められる。暗号化されたファイルから検索されたファイルブロックは、カーネル空間のバッファキャッシュ内でオペレーティングシステムにより管理される間、一般的には、暗号化された状態で維持される。暗号化及び復号化アルゴリズムは、パスワード鍵を利用して、ユーザー関連プロセスに対して定められ、かつ最初のユーザープロセスの呼び出しで初期化される暗号化コードテーブルを選択する。個々のディスクファイルに追加されたデータから読み込まれる別個のファイル属性テーブルは、アクティブにアクセスされる個々のファイルの暗号化属性を定める。様々なコード及び属性テーブルは、動的に割り当てられ、かつポインタ参照を制限して、データ構造、及びカーネルモードドライバーの対応する動作を追跡する難しさを増大させる。
より複雑であるが同様な暗号化システムが、2001年6月19日にBrundrett他に発行された米国特許第6,249,866号で説明されている。ファイル及びファイルシステムの両方の暗号化機能を、下位ファイルシステム空間の論理的統一表示に一体化するように、オペレーティングシステムの広範な変更が説明されている。コールが、暗号化ファイルシステムのディレクトリ又はファイルに向けられているかどうかを定めるために、データを読み取り及び書き込むためのオペレーティングシステムコールが、傍受時に評価される。暗号化フラグされたディレクトリ又はファイルに関係のある、転送されたシステムコールのファイルデータは、NTファイルシステム(NTFS)のような従来のファイルシステム上に階層化されたカーネルモードドライバーを利用して対象のディレクトリ又はファイルと関連付けられた鍵を利用して、暗号化又は復号化される。暗号鍵及び暗号化ドライバー管理システムは、オペレーティングシステムカーネル機能とユーザーモード鍵管理アプリケーションとの組合せとして、実装される。
これら従来のセキュリティシステムが、永続的格納データ上のかなりの程度のセキュリティを提供する一方で、その各々は、広範なセキュリティシステムを確立することに失敗している。これらのシステムの各々は、特に、パスワード及び暗号鍵を獲得するための基本トロイ攻撃を受けやすいままであり、それにより、セキュリティシステムの完全変換が永続的格納データへの不適正なアクセス及び変更をサポートすることを可能にする。さらに、これらのシステムは、オペレーティングシステムの無制限のルート又は管理者制御を獲得するために、オペレーティングシステムの脆弱性を利用し得るユーザーモードプログラムの実行からの保護を全く提供しない。次に、侵入者は、カーネルのパスワード及び暗号化機構を直接回避するか、パスワード及び鍵を獲得するために、パスワード及び暗号鍵の管理システムのセキュリティを破るか、のいずれかができる。どちらの場合も、侵入者は、オペレーティングシステム自身によって提供される典型的に限定されたセキュリティ保護を利用するよりも殆ど難しくなく、暗号化ベースの高められたセキュリティ機能により表向きセキュリティ保護された永続的格納データへの妨害されないアクセスを、再び獲得する。
結局、Cummins、Hsu、及びBrundrett他で説明するセキュリティシステムは、ローカルオペレーティングシステムの基本セキュリティサブシステムに依存して、下位の暗号化機構に対する攻撃を防ぐ。拡張されたセキュリティドメインの一部であるシステムで利用されるとき、要求されたパスワード及び暗号鍵管理システムの協調構成において、如何なる協調管理システムが実施されようとも、これら及び同様なシステムはまた、本質的に依存している。セキュリティドメインを保護するセキュリティ機構の一貫した包括的管理における意図されないエラー、おそらくより典型的には過失は、セキュリティドメインに進入し、永続的格納データへのアクセスを不適切に可能にするために利用され得るオペレーティングシステムの脆弱性の利用可能性を増大させるだけである。
それゆえ、最終的に信頼性が高くかつ協調して管理しやすい、永続的データをセキュリティ保護するための機構の、明らかな必要性が存在する。
(本発明の要約)
従って、本発明の一般的な目的は、著しくセキュリティドメイン内の協調管理及び制御下におく手法で、永続的データを確実にセキュリティ保護するための効率的かつ効果的な機構を提供することである。
これは、データサーバープラットフォーム上で、プラットフォームのオペレーティングシステムカーネルとファイルシステムとの間に置かれたセキュリティファイルシステム層を提供することにより、本発明において実現される。セキュアなファイルシステム層は、永続的データストアについて、ファイルシステムによってファイルデータを転送するためのアプリケーションプログラムにより、オペレーティングシステムカーネルによって起動されるデータ転送動作を、選択的に制約するファイルアクセス制御機能を実装するように、構成される。オペレーティングシステムカーネルとは独立して実装されたファイルアクセスコントローラーは、セキュリティファイルシステム層に繋がれ、許可されたファイルシステムによるファイルデータ転送を定めることによって、ファイルアクセス制御機能をサポートする。
本発明の利点は、ファイルアクセスコントローラーの管理はデータサーバープラットフォームから分離しているということである。これは、特にオペレーティングシステムカーネルを含むプラットフォームの如何なるセキュリティ侵害も、独立して管理されるファイルアクセスコントローラーでサポートされるようなセキュリティファイルシステム層の必須機能を損なうことはない、かつ、損なうことはできないことを、確実にする。
本発明のもう1つの利点は、セキュリティファイルシステム層が、ファイルアクセスの許可を定めるための根拠として、広範囲のセキュリティ情報をファイルアクセスコントローラーによって収集及び処理することを可能にすることである。認証、許可、及び信憑性の情報の収集は、セキュリティファイルシステム層で、又はセキュリティファイルシステム層により、効率的に実行することができる。収集された情報の独立してセキュアな評価は、ファイルデータのアクセス及び変更を選択的に可能にすることにおいて、セキュリティファイルシステム層のセキュア機能を確実にする。
本発明の更なる利点は、永続的プラットフォームアクセス可能データのセキュリティを確実にするために、最低限のプラットフォーム変更しか要求されないということである。セキュリティファイルシステム層の実装は、仮想ファイルシステムサポートをサポートする従来のオペレーティングシステムのアーキテクチャモデルと整合性がある。
本発明のさらにもう1つの利点は、ファイルアクセスコントローラーと組合せて、セキュアなファイルシステム層が、保護されたコンピュータープラットフォームによってアクセス可能な永続的格納データに関する包括的なセキュリティエンベロープを提供するということである。セキュリティエンベロープは、定められたポリシー許可の管理下にある適切に識別されたユーザーのみが、認定されたアプリケーションによって永続的格納データにアクセスすることができることを確実にするために、本人認証、アクセス許可、及びアプリケーション信憑性を含む。永続的格納データの整合性が、動的な改竄検出を条件とするデータ暗号化によって、さらに維持される。
これら、及び、本発明の他の利点及び特徴は、添付図面と組合せて考慮される時、以下の発明の詳細な説明の考察に基づいて、よりよく理解されるようになり、この添付図面のおいて、同じ参照番号は、その図面全体にわたって同じ部分を表している。
(発明の詳細な説明)
本発明は、セキュアなネットワークファイルシステム装置の動作を利用し、拡張して、様々なコンピューターシステムプラットフォームによりアクセス可能な永続的格納データを保護するセキュリティエンベロープを確立する。例示のサーバープラットフォームの保護環境10を、図1に示す。セキュアなネットワークファイルアクセス装置12は、直接取り付けられたストレージ18のような保護された永続的ストレージリソース16に関係する一又はそれ以上のコンピューターサーバープラットフォーム14、14'のセキュアな動作をサポートするように、環境10内に実装されることが好ましい。本発明の好ましい実施形態の目的のため、コンピューターシステムプラットフォーム14、14'は、ローカル及びリモートのクライアントシステム及びユーザー20をサポートするデータベース及びアプリケーションサーバープラットフォームである。直接取り付けられたストレージ18に関係するデータがそれを通って転送される、オペレーティングシステムカーネル24とファイルシステム26との間に確立されたセキュリティ介在層22によって、セキュアなネットワークファイルシステム装置は、コンピューターシステムプラットフォーム14と一体化される。
セキュリティ介在層22は、オペレーティングシステムカーネル24とファイルシステム26との間のファイル指向データ転送を、セキュアなネットワークファイルアクセス装置12によって選択的に送って、そのセキュアなネットワークファイルアクセス装置12内に実装されたアクセスポリシーの支配下にある保護された永続的ストレージリソース16に格納されたファイルデータを暗号化及び復号化する。本発明により、ファイルデータ暗号化は、データのファイル指向論理構造を維持し、従って、永続的ストレージリソース16に透過である。さらに、セキュアなネットワークファイルアクセス装置12は、IPファイアウォール機能を実装して、コンピューターサーバープラットフォーム14、14'からのセキュアなネットワークファイルシステム装置のセキュリティに対する潜在的な攻撃を制限することができる。
クライアント及びユーザー20は、セキュアなネットワークファイルアクセス装置12のセキュリティサポート及び暗号化機能によって影響されず、さらに、暗号化されたコンテンツの許可されないアクセスからセキュリティ保護される。アクティブに使用されるファイルデータ暗号鍵は、コンピューターサーバープラットフォーム14から本質的に独立しているセキュアなネットワークファイルアクセス装置12内で保持及び管理されることが好ましい。論理的に、かつ好ましくは物理的にも別個のプライベートネットワークインターフェース28は、中央セキュリティ管理システムによりセキュアなネットワークファイルアクセス装置12の一点セキュア管理を効果的に制御するように、セキュアなネットワークファイルアクセス装置12でサポートされる。従って、コンピューターシステムプラットフォーム14、直接取り付けられたストレージ18、又はクライアントユーザー20のセキュリティ侵害の結果として、セキュアなネットワークファイルアクセス装置12で利用される暗号鍵は、使用可能な形ではアクセス不可能である。
読み取り、書き込み、及び関連ファイルアクセスの各要求のアクセス権に権限を与えることにおいて、セキュアなネットワークファイルアクセス装置12が、全体として、ワイヤスピードで、かつ最小限の待ち時間で、ファイルデータの読み取り及び書き込み要求を処理して、転送されたファイルデータを選択的に暗号化及び復号化し、さらに、その転送されたファイルデータを選択的に圧縮及び復元することが好ましい。ファイルデータの往復暗号化は、直接取り付けられたストレージ18を含む永続的ストレージリソース16で格納される全ての保護されたデータが、転送される時、及び、静的に格納される間、の両方においてセキュアであることを確実にする。特に、その転送が、繰り返される大量アーカイブバックアップのためである場合、往復圧縮は、必要なファイルデータ転送の帯域幅を実質的に減らすことができる。
コンピューターシステムプラットフォーム14の好ましい構造40が、図2に示されている。プラットフォーム14は、ユーザーモード実行空間において、データベース管理システム(DBMS)44及び他のサーバーアプリケーション46のようなアプリケーションの実行をサポートするオペレーティングシステムカーネル42を、従来含んでいる。オペレーティングシステムカーネル42はまた、カーネルモード実行空間内で、完全にとまではいかないが実質的に、認証エージェントプログラム48の実行をサポートするのが好ましい。仮想ファイルシステムスイッチ(VFS)50は、従来の直接取り付けられたストレージ18、及び、例えばストレージ領域ネットワーク56によってアクセス可能なストレージデバイス54にアクセスする必要があれば、任意の数の異なる従来ファイルシステム(xFS)52との従来のインターフェースを提供する。
本発明の第一の好ましい実施形態では、セキュリティ介在層22が、セキュアなネットワークファイルシステム(SNFS)58、及び従来のネットワークファイルシステム(NFS)のクライアントファイルシステムデーモン(NFSd)62を利用して実装される。セキュアなネットワークファイルシステム58は、セキュアなネットワークファイルアクセス装置12によってネットワークファイル転送要求及びデータを送るのに使用される従来のネットワークファイルシステム(NFS)実装に基づくのが好ましい。セキュアなネットワークファイルシステム58は、特定のネットワークファイル転送要求について、オペレーティングシステムカーネル42とのインターフェース60によるユーザー、プロセス、及びセッション情報の収集を可能にするような変更、及び、対応するネットワークファイル転送が進行することを許可するかどうかを定めるためのベースとして、セキュアなネットワークファイルアクセス装置12にこの情報を提供するような変更を含む。
透過的に暗号化及び圧縮された如何なる関連データも含む、セキュアなネットワークファイルアクセス装置12で許可されるネットワークファイルデータ転送は、永続的ストレージリソース16に関するデータを転送する必要に応じて、NFSデーモン62によって、及び、適切なファイルシステム52で、処理される。そのかわりに、セキュアなネットワークファイルアクセス装置12が、一般的にルーター64で表現されるようなネットワーク構造基盤によって、ネットワークファイル要求及びデータを、ネットワークファイルシステムのクライアントとして動作する従来のネットワーク取り付けストレージ66に送ることを定めることもできる。セキュアなネットワークファイルアクセス装置12と少なくともNFSクライアントデーモン62との間での、従来のNFSプロトコルの利用は、直接取り付けられたストレージ18、ストレージ領域ネットワーク56、及びネットワーク取り付けストレージ66を使用することにおける実質的な柔軟性を可能にする。
本発明の第二の好ましい実施形態では、NFSプロトコル遵守を維持するのに不可避な複雑さ、及び、NFSクライアントデーモン62の実行のオーバーヘッドを、セキュリティ介在層22とセキュアなネットワークファイルアクセス装置12との間にRPCベースの通信プロトコルを実装することにより、避けることができる。機能的にNFSプロトコルと同様なRPCベースのメッセージを使用する間、正式なNFS互換性の必要をなくし、サーバー及びクライアントの両方の通信機能を、単一の、簡潔に定められたセキュアな仮想ファイルシステム層(SVFS)にまとめることができる。この実施形態では、セキュリティ介在層22が再び、オペレーティングシステムカーネル42とのインターフェース60を実装し、従来のファイルシステム52、セキュリティ介在層22の内部コンポーネントとして実装されるが一般的にはファイルシステム52と等価な固定ファイルシステムとのオーバーレイインターフェースと、セキュアなネットワークファイルアクセス装置12の一部として外部に実装されたファイルシステムをサポートする直接取り付けられたストレージ18とのダイレクトインターフェースとの如何なる組合せもサポートする。
コンピューターシステムプラットフォーム14のアクセスポリシー制御に付加的なものだが、本質的には独立している、セキュアなネットワークファイルアクセス装置12における包括的なアクセスポリシー制御の実装は、セキュアなファイルデータアクセスの集中管理を可能にする。複数のコンピューターシステムプラットフォーム14、14'、及び場合によっては永続的ストレージリソース16を実装する他のネットワーク構成要素で実装されるアクセス許可、及びその他の制御は、様々なストレージデバイス18、54、64の付加及び再構成によってグローバルに維持するのが困難である。セキュアなネットワークファイルアクセス装置12で提供されるアクセスポリシー制御は、コンピューターシステムプラットフォーム14、14'でサポートされる従来のアクセス許可よりも、著しく包括的で、柔軟、かつ管理上均一である。
認証制御はまた、アクセスポリシー制御を補完するものとして、セキュアなネットワークアクセス装置12でサポートされる。本発明の好ましい実施形態では、セキュリティ介在層22が、コンピューターシステムプラットフォーム14、14'にインストールされ、かつそこで実行される認証エージェントプログラム48と相互運用して、ユーザーセッション及びプロセスの認証を含むユーザー及びクライアントの認証を可能にする。特に、セキュリティ介在層22は、従来のオペレーティングシステムカーネル24で実装される仮想ファイルシステムスイッチ50と互換性のある、変更されたファイルシステムインターフェースをサポートして、保護された永続的ストレージリソース16に向けられたファイルシステム要求の選択的な認証処理を提供する。本発明の好ましい実施形態では、ファイルシステムスイッチインターフェースのセキュリティ介在層22が、ファイルシステムスイッチ50によって、保護された永続的ストレージリソース16を表すディレクトリノードに対して実装される。カーネル空間で実行するのが好ましいエージェントプログラム48で提供される認証ロジックは、セキュリティ介在層22に対して向けられたファイルシステム動作に応じて、オペレーティングシステムカーネル42によって呼び出される。オペレーティングシステムカーネル42によって、エージェントプログラム48は、ユーザー、クライアントプロセス、アプリケーション、及びセッション情報へのアクセスを有する。有人ユーザー認証が要求される場合、エージェントプログラム48は、ユーザー20に認証ダイアログを表明するように、オペレーティングシステムカーネル42により相互運用するのが好ましい。次に、LDAP及び他のネットワークで利用可能な認証サーバー(示されていない)のような標準認証制御を使って、ユーザー応答情報を認証することができる。そのかわりに、又はそれと組合せて、セキュリティ認定のために、ユーザー認証応答情報をセキュアなネットワークファイルアクセス装置12に伝送することができる。
オペレーティングシステムカーネル42でサポートされるアプリケーション実行空間内で実行されるユーザーアプリケーション44、46の認証は、エージェントプログラム48によって、自律的に実施される。ユーザー20のアプリケーションによる第一のファイルシステム動作に応じて、セキュリティ介在層22で受け取られるとき、又はオペレーティングシステム42からのユーザーアプリケーションの起動の通知時、エージェントプログラム48が、ユーザーアプリケーションのロードされたバイナリイメージのセキュアなハッシュ識別情報を生成することが好ましい。次に、このハッシュ識別情報、及びアプリケーションファイルの属性が、検証のため、セキュアなネットワークファイルアクセス装置12に伝送される。検証状態を提供するエージェントプログラムに、認証応答が返される。検証失敗、又はセキュアなネットワークファイルアクセス装置12で示される他の例外は、要求されたファイルシステムの動作の拒否という結果になることが好ましい。
プラットフォーム14の起動時のような、コンピューターシステムプラットフォーム14によるアプリケーションの無人実行もまた、アプリケーション認証機構によってサポートされることができる。アプリケーション起動プログラムユーティリティが、起動時に実行されるようにスクリプト作成されるのが好ましい。ユーティリティのアプリケーション認証により、有人ユーザー認証派生情報の欠如は、セキュアなネットワークファイルアクセス装置12で例外として扱われない。次に、アプリケーション起動プログラムユーティリティは、指定されたアプリケーションを起動することを可能にされる。
ユーザー及びアプリケーション認証の状態は、ユーザーセッション及び関連プロセス識別子と組合せて、エージェントプログラム48で、又はセキュリティ介在層22内で保持されるのが好ましい。本発明の好ましい実施形態では、この認証情報及びエージェントプログラム48のデジタル署名が組み合わされ、介在層22で受け取られた各ファイルシステム要求と共に、暗号化されてセキュアなネットワークファイルアクセス装置12に送られる。セキュリティ介在層22とセキュアなネットワークファイルアクセス装置12との間で、NFS通信プロトコルが利用される場合、NFSパケットは、ファイルシステム要求と共にユーザー及びエージェントの認証情報を含むように、変更される。好ましい実施形態では、NFSパケットのヘッダーフィールドが、好ましくは既存フィールドの再定義により、ユーザー及びエージェント認証情報を格納及び転送するように拡張される。さらに、周期的、又はハートビート状態のリモートプロシージャコール(RPC)のパケットが、エージェントプログラム48により、ユーザー及びエージェントの認証情報の現在の状態を反映するセキュアなネットワークファイルアクセス装置12に送られる。それにより、特にプロセス及びユーザーセッションの終了を含む、認証に関連したコンピューターシステムプラットフォーム14の変更は、迅速にセキュアなネットワークファイルアクセス装置12に通知される。
本発明の好ましい固定規模のハードウェアプラットフォーム70が図3に示されている。プラットフォーム70は、Intel（登録商標） E7500 チップセット72、2.2GHz Intel（登録商標） XenonTM デュアルプロセッサ74(カリフォルニア州、サンタクララ、インテル社、www,intel.com)、及び1Gbyte 200MHz ダブルデータレート(DDR)方式メインメモリアレイ76をサポートするマザーボード上に実装されるのが好ましい。チップセット72は、個々に8Gbpsスループット及び少なくとも24Gbpsの総スループットを超える能力のある6つのPCI-Xバス78をサポートする。入口及び出口ネットワーク接続をサポートする2つの1Gbpsネットワークインターフェースコントローラ80、及び、管理ネットワーク接続28をサポートする1つの10/100Mbpsネットワークインターフェースコントローラ80の基本構成は、PCI-Xバス78に接続される。3つのHiFnTM 7851 セキュリティプロセッサ82(カリフォルニア州、ロスガトスHiFn社、www.hifn.com)の基本構成は、プロセッサ74の一般的なデータ処理及び制御機能に、ハードウェア加速暗号化及び圧縮のサポートを提供する。セキュリティプロセッサは、チップにつき400Mbpsを超えるスループットでの3-DESを含むプログラム可能長ブロック対称暗号化アルゴリズム、及び、80Mbpsを超えるスループットでのLZSを含むプログラム可能長ブロック圧縮アルゴリズムをサポートする。
BIOSプログラム及び起動ハードディスクドライブを含む他の周辺装置84は、ハードウェアプラットフォーム70の基本動作を可能にするように、チップセット72によってサポートされる。ハードウェアプラットフォーム70は、Red HatTM Linux(ノースカロライナ州、ローリー、Red Hat社、www.redhat.com)の商用配布に基づくLinuxTMベースのオペレーティングシステムを起動及び走らせることが好ましい。セキュアなネットワークファイルアクセス装置12の、ソフトウェアベースの認証及びアクセス機能は、Linuxカーネル空間でロード及び実行するのが好ましい。管理及びサポートユーティリティは、ユーザーモードアプリケーション及びデーモンとして実装されるのが好ましい。
本発明の好ましい実施形態におけるハードウェアプラットフォーム70上で実行される制御プログラムに実装された論理制御及びプロトコル処理機能が、図4に示されている。受信ファイル要求は、ネットワークファイルシステム(NFS)、汎用インターネットファイルシステム(CIFS)、又はプロトコルがセキュリティ介在層22で実装される如何なるセキュアな仮想ファイルシステム(SVFS)のようなネットワーク分散ファイルシステムで実装された様々なネットワークファイルシステムメッセージを含むネットワークデータパケットとして、受け取られる。これらのネットワークデータパケットは、各受信データパケットのプロトコル層に収容された制御情報114、及び、検査及び処理のためのパケットペイロードデータ116を公開するように処理される。
さらに、コンピューターシステムプラットフォーム14、14'に接続された専用ネットワークポートでリッスンするエージェント監視プロセス118で、アプリケーション及びステータス情報が収集される。ハートビートネットワークパケットから得られたクライアントステータス情報は、認証及びアクセス制御処理120に中継される。クライアントハートビートの連続は、クライアント認証セッションを維持するために使用される。エージェントプログラム48で調停されるユーザー認証シーケンスが正常終了したことを最低限反映するユーザー認証セッション情報もまた、ハートビートデータパケットの範囲内で認証及びアクセス制御処理120に提供される。チェックポイント間隔でのユーザー認証セッション情報の伝送は、許可されないアプリケーションの実行における如何なるクライアントプロセスの変換からも保護する役割を果たす。認証及びアクセス制御プロセス120が、認証サーバーとして直接動作する場合、エージェントプログラム48で獲得されたユーザー及びクライアントの識別子及びユーザーパスワードは、エージェント監視プロセス118によって中継される。その認証及びアクセス制御処理120で保持されるユーザー及びクライアント認証ポリシー情報に基づく認証及びアクセス制御処理120によって、認証応答が生成され、返される。
図5Aは、セキュアな仮想ファイルシステム132がセキュアなネットワークファイルシステム58及びネットワークファイルシステムデーモン62の機能を効果的に組合せる、セキュリティ介在層22の第二の好ましい実施形態を用いるコンピューターシステムプラットフォーム14の構成130を示している。セキュアな仮想ファイルシステム132がまた、ネットワークファイルアクセス装置12を用いてファイル転送要求及びデータを転送するためにNFSプロトコルを使用することができる一方で、コンピューターシステムプラットフォーム14とネットワークファイルアクセス装置12との間で転送される情報を包み隠すために、非標準準拠のRPCベースのメッセージ転送プロトコルを実装することが好ましい。セキュアな仮想ファイルシステム132がスイッチ50に通常のファイルシステムのように見えるように、仮想ファイルシステムスイッチ50との従来のインターフェースはサポートされる。セキュアな仮想ファイルシステム132は、認証エージェントプログラム48の動作をサポートするように、拡張オペレーティングシステムカーネル42のインターフェース60を実装する。セキュアな仮想ファイルシステム132はまた、従来のファイルシステムオーバーレイインターフェース134を実装し、従来のファイルシステム52の機能的な取り込み及び利用を可能にする。また、専用又は所有ファイルシステム136をセキュアな仮想ファイルシステム132に密接につなぐことができる。
コンピューターシステムプラットフォーム14の構成40、130の両方において、ユーザー認証の実施は、新しいユーザープロセス138の初期化に関してエージェントプログラム48にコールを要求することにより、可能になる。図5Bに示すように、新しいユーザープロセス151の初期化に続いて、ネットワークファイルアクセス装置12は、セキュアな仮想ファイルシステム132により、エージェントプログラム48を、クライアントプロセス138と関連付けられるユーザー20にセッションログイン152を与えるようにさせる。ユーザー認証は、LDAPのような従来の認証サービスにより、エージェントプログラム48のユーザーモードコンポーネントによって直接、ユーザーログイン及びパスワードと対照して実行される。そのかわりに、DCE/OSF-RFC86.0と一般的に適合するプラグ可能認証モジュール(プラグ可能認証モジュール(PAM)を用いた統一ログイン; www.opengroup.org/tech/rfc/rfc86.0.html)によって、ユーザー認証を直接的にすることもできる。ユーザー20の認証時、エージェントプログラム48は、オペレーティングシステムカーネル42で確立され、かつそこから収集されたログインプロセス識別子(LPID)、ユーザー識別子(UID)、及びグループ識別子(GID)と共に、認証されたユーザーの識別情報を送信することにより、認証されたユーザーセッション153を初期化する。このセッション識別情報は、セキュアな仮想ファイルシステム132を通って、ネットワークファイルアクセス装置12に送られる154。次に、認証されたクライアントプロセス138から起動される次のファイルシステム要求に関して使用するために、セキュアなセッション鍵をエージェントプログラム48に返す155。
認証されたユーザープロセス138は、オペレーティングシステムカーネル42にファイル要求を発行し、次にそれは、セキュアな仮想ファイルシステム132に送られる。セキュアな仮想ファイルシステム132と連係して動作するエージェントプログラム48のカーネルモード部分は、各ファイル要求140について、オペレーティングシステムカーネル42でそれが受け取られるとき、従来のオペレーティングシステムカーネル42の構造にアクセスすることにより、ソースプロセス識別子142を定める。エージェントプログラム48で保持され、定められたプロセス識別子で特定される認証されたユーザーセッション情報は、ネットワークファイルアクセス装置12によって処理されるファイル転送要求に含めるために、次にセキュアな仮想ファイルシステム132に与えられる。
認証されたプロセス138から生成されたクライアントプロセス144は、親の認証されたユーザーセッションの一部が残っている。親プロセスの識別子の連鎖は、エージェントプログラム48によって追跡されて142、子プロセス144からのファイル要求146を、対応する認証されたユーザーセッションと関連付ける。個々のプロセスレベルでアクセス管理をサポートするために、セキュアなネットワークファイルアクセス装置12に転送されたファイル要求に対応するセッション及びプロセスに含めるため、認証されたユーザーログインの親プロセスの識別子(LPID)と、現在のプロセス識別子(PID)の両方が、変更されたネットワーク層に与えられるのが好ましい。
本発明の好ましい実施形態では、エージェントプログラム48で生成されたセッション識別子を含む認証されたユーザーセッション情報が、エージェント監視プロセス118とのセキュアな鍵交換によって獲得されるセッション鍵を使って暗号化される。従って、結果として生じる拡張NFS要求は、少なくともセッション識別子、ユーザー識別子、グループ識別子、及びプロセス識別子を含むセッション制御情報を、セキュアなネットワークファイルアクセス装置12にセキュアに伝送する。
さらに、エージェントプログラム48は、認証されたユーザーセッションプロセス138、144で実行するためにロードされるとき、特にログインシェルアプリケーションを含むユーザーアプリケーション44、46の認証をサポートするのが好ましい。実行のためロードされたデジタル署名アプリケーションは、高信頼PKIベース、LDAP、又は他の認証サーバーから獲得されたデジタル証明書と対照して、エージェントプログラム48により従来検証されることができる。認証サーバー及び証明書の識別情報のようなアプリケーション認証情報は、独立して検証されるアプリケーションの監査をサポートするように対応するファイル要求を与えられたセッション情報とともに、セキュアな仮想ファイルシステム132で場合によっては含まれ得る。
エージェントプログラム48による自律的なアプリケーション認証もまた、セキュアなネットワークファイルアクセス装置12によってサポートされる。プロセス138、144での実行のためのアプリケーションのロード時、オペレーティングシステムカーネル42によって、エージェントプログラム48が呼び出され、エージェントプログラム48は、アプリケーションのバイナリイメージを特定し148、アプリケーションファイル名、パス、許可、及びファイルサイズを含むアプリケーションファイル属性を検索するように動作する。セキュアなハッシュ署名が、アプリケーションバイナリについて生成される。本発明の好ましい実施形態では、SHA-1アルゴリズムを使って、20バイトのハッシュ署名が生成される。次に、ハッシュ署名、ファイル属性、及びセキュアなアプリケーショントークンを含むアプリケーション認証要求が、エージェント監視プロセス118に向けられたRPCで、セキュアなネットワークファイルアクセス装置12に送られる。セキュアなアプリケーショントークンは、セキュアなネットワークファイルアクセス装置12又は高信頼サードパーティ認証サーバーで格納された公開/秘密鍵のペアの公開鍵、アプリケーション名、及び、公開鍵で暗号化されたアプリケーションバイナリイメージ及びアプリケーションファイル属性のセキュアなハッシュ署名を含む構造、を含むことが好ましい。トークンは、セキュアなネットワークファイルアクセス装置12又は他の高信頼アプリケーション認証により、管理上定められた真正なアプリケーションにくらべて管理上優先的に生成される。認証されたアプリケーションのためのトークンは、コンピューターシステムプラットフォーム14、14'に格納される、又はさもなければ、それらにアクセス可能にされる。ロードされたバイナリイメージについて特定されたアプリケーションファイル名はさらに、エージェントプログラム48によって対応するトークンを特定するためにも使用される。
アプリケーション認証要求が生じたとき、セキュアなネットワークファイルアクセス装置12は、トークン内で提供された公開鍵を、セキュアなネットワークファイルアクセス装置12に管理上先に登録された既知の有効な公開鍵と比較する。復号化されたトークンハッシュ署名、及びファイル属性は、エージェントプログラム48により要求内で別々に与えられるハッシュ署名及びファイル属性と対照して検証され、戻りRPCは、検証状況をエージェントプログラム48に伝達する。ロードされたアプリケーションが認証に失敗した場合、対応するアプリケーションプロセス138、144を終了させることができる。そのかわり、許可されないアプリケーションから引き続き受け取られたネットワークファイルシステム要求140、146は、セキュアな仮想ファイルシステム132により無視される、又は拒否されることができる。
エージェントプログラム48は、ユーザーセッション及びアプリケーション認証要求を、セキュアなネットワークファイルアクセス装置12に、周期的に再生成及び再送信することができる156。そのかわり、又はさらに、セキュアなネットワークファイルアクセス装置12は、エージェントプログラム48を、特定のユーザーセッションについてのアプリケーション認証情報を再生成及び再送信する157ように導くことができる。従って、他の方法で認証されたユーザーセッション内では、本発明のアプリケーション認証提供は、認証されたアプリケーションの良く定められたセットに対するユーザープロセス実行について、排他的かつ機能的な制限を実施することができる。
再び図4を参照すると、パケット処理112により公開され、かつエージェント監視プロセス118から受け取られるパケット制御情報114及びアプリケーション情報122が、セキュアなネットワークファイルアクセス装置12で受け取られた各ネットワークファイルデータパケットについて、認証及びアクセス制御処理120に提供される。認証及びアクセス制御処理120は、セキュアなネットワークファイルアクセス装置12の管理上定められ、機能的にサポートされた動作を表すポリシーストアを含むことが好ましい。ポリシーは、認証及びアクセス制御処理120に与えられる情報114、122と照らし合わせるポリシー検索を可能にする高性能ハッシュテーブルに格納されることが好ましい。エラーログ、及び拒否された動作のログと同様に、ファイル要求の監査ログも、認証及びアクセス制御処理120によって作成される。
受信ネットワークファイルパケットに適用可能なポリシーセットは、パケット制御情報114で与えられるいずれかのデータに基づいて、累進的に識別されることができる。特に、IP層のデータは、送信元及び送信先のIPを提供して、個々に、又はサブネットによって定められたクライアントに対して特定のアクセス制約を定めることを可能にする。標準NFS/CIFS層のデータは、一般的にはマウントポイント、ファイルシステムパス、及び利用可能なファイル名を含む、完全に認定されたファイル又はディレクトリの参照と同様に、要求側のユーザーのUID及びGIDを提供する。アプリケーション情報122の層は、ユーザーセッションを識別し、実行及び親プロセス識別子を提供する。アプリケーション情報122の層はまた、利用されるとき、アプリケーション名及び署名を提供する。提供された情報114、122と照らし合わせたポリシーセットの識別の成功は、永続的なストレージリソース16に関して伝送されるネットワークファイルパケットの処理を可能にし、かつ認定する。
様々な予想される形式のポリシーセットの識別失敗の処理を、ポリシーセットで定めることが好ましい。識別失敗は、典型的には、ユーザー認証の失敗、及び許可されないアプリケーション実行の試行、許可されない送信元IPアドレス、及び、参照ファイルが利用具可能であること、又は適切なユーザー、グループ、又はファイル許可の欠如による不適切なファイル参照、を含む。失敗の性質に依って、ポリシーセットで定められる識別失敗の処理は、詳細な監査及びエラーログのエントリの作成、及び、場合によってはeメール及び音声メッセージの自動生成を含む管理警告の瞬時発行を導く。ポリシーセットの識別失敗処理は、さらに、NFS/CIFS状態マシン124で生成され、コンピューターシステムプラットフォーム14、14'に返される如何なるNFS/CIFSネットワークファイルエラーデータパケットの形式及び中身も定めることが好ましい。
本発明により、ポリシーセットの累進的識別はまた、パケットペイロードデータ116に対する暗号化及び圧縮のアクティブなアプリケーションを定める。コンピューターシステムプラットフォーム14、14'からの受信ネットワークファイルデータパケットについて、制御情報114、122で与えられるデータの如何なる組合せも、そのパケットペイロードデータが特定の暗号鍵に照らして暗号化されるものであるかどうか、及び特定の圧縮アルゴリズムを使って圧縮されるものであるかどうかを識別する署名として利用することができる。好ましい基本ポリシーセットは、マウントポイント、更には特にファイル作成のために使用されるデフォルト暗号鍵によるアクセスを許可された送信元IP、ユーザー識別子、及びグループ識別子の組合せを本質的に定める。送信元IP、ユーザー識別子、及びグループ識別子の指定を異にして、又は、要求内で特定されたネットワークファイルのパス指定、及びファイル形式拡張子のような付加制御情報の指定の違いがあって、複数のポリシーセットを、同じマウントポイントに適用可能である。ポリシーセットは、管理上、与えられた制御情報の一意の組合せが別個のポリシーセットに変形することを確実にするようにされる。他の賢いマッチングポリシーセットの範囲を確立するためにパス指定情報が利用されるとき、パス指定、ファイル名、及びファイル拡張子の最適な適合が、データ暗号化及び圧縮のデフォルトの適用範囲を識別するために使用されることが好ましい。
永続的なストレージリソース16から返されるデータは同様に処理されて112、パケット制御情報114を公開し、添付のパケットペイロードデータが復元及び復号を要求するかどうか定めるとき、データの組合せを考慮することを可能にする。本発明により、永続的なストレージリソース16から返される暗号化されたネットワークデータパケットをセキュアと推定することができる間、認証及びアクセス処理120による制御情報114の検査は、返されるネットワークファイルパケットの送信元及びシーケンスの適切な認証を可能にする。
セキュアなネットワークファイルアクセス装置12に与えられ、暗号化又は圧縮されるように定められたパケットペイロードデータは、暗号化及び圧縮処理126によって、論理アクセスブロック(LAB)のシーケンスに処理されることが好ましい。暗号化及び圧縮処理126の一部として、本発明の好ましい一実施形態による各論理アクセスブロックは、少なくとも、利用可能な暗号鍵及び圧縮アルゴリズムの間接識別子でマークされる。従って、送信ネットワークパケットの復元及び復号状態が、送信元ディレクトリ指定によって示唆されることができる間、利用可能な暗号鍵及び圧縮アルゴリズムが、論理アクセスブロックと関連付けられる暗号化及び圧縮識別子に基づいて定められる。それゆえ、論理アクセスブロックの復号及び復元は、ディレクトリ指定、又はネットワークファイルの他の独立して可変な性質に、本質的には依存しない。
本発明の好ましい実施形態により、利用可能なポリシーセットの識別は、様々な永続的ストレージリソース16における複数の受信仮想マウントポイントのセキュアなネットワークファイルアクセス装置12によるサポートによって拡張される。図6に示すように、コンピューターシステムプラットフォーム14、14'で実行されるアプリケーション162、164のために、セキュアなネットワークファイルアクセス装置12の構成内に、管理上、複数の仮想化されたマウントポイント/dev/hd_a、/dev/hd_b、/dev/hd_c、及び/dev/td_dをあらかじめ定めることができる。これらの仮想マウントポイントは、エイリアスによるのと同様に、それ自身との定められたマッピングによって、独立して関連付けられる、又は、様々な実際のストレージリソース166、168によってサポートされる実際の別々のマウントポイントである。コンピューターシステムプラットフォーム14の、ストレージリソース166、168を表す仮想マウントポイントのいずれかをマウントする要求は、最低でも、仮想マウントポイントの存在を実証する働きをするポリシーセットによって、限定及び制約され得る。
本発明により、仮想マウントポイントは、コンピューターシステムプラットフォーム14で実行される様々なアプリケーション162、164に利用可能なアクセスポリシーセットを識別する能力をさらに拡大する。セキュアなネットワークファイルアクセス装置12に向けられた各ファイル要求を与えられた制御情報114は、ファイル要求に対応する対象のマウントポイントを特定する。本発明の好ましい実施形態により、認証及びアクセス制御処理120は、特定された仮想マウントポイントに基づいて、利用可能なポリシーセットを論理的に選択する。選択されたポリシーセットで表現される更なる制約は、同時に、どのようにネットワークファイルデータパケットを処理すべきかを定めるために使用される。例えば、別の方法で許可された、/dev/hd_a仮想マウントポイントによってストレージリソース166にアクセスするアプリケーション162、164は、読み取り専用ファイルデータトランザクションに制約され得る。/dev/hd_b仮想マウントポイントと関連付けられる別々のポリシーセットは、UIDのよく定められたセットのみにより読み取り-書き込みアクセスをサポートし、さらに、定められたサブネットワークから生じるファイルデータ要求に制約され得る。
もう1つの例のように、管理上、バックアップサービスの提供に限定される、アプリケーション164によるストレージリソース166の読み取り-書き込みアクセスは、仮想マウントポイント/dev/hd_cによって特別にサポートされることができる。マウントポイント/dev/hd_cと関連付けられるポリシーセットは、既存の暗号化されたファイルの復号化を特別に拒否することによって、ストレージリソース166への読み取り-書き込みアクセスを可能にすることが好ましい。仮想マウントポイント/dev/td_dのポリシーセットは、補完的なやり方で、アーカイブストレージリソース168への書き込みのために、ストレージリソース166から読み取られた暗号化されていないファイルの暗号化及び圧縮に備えるものである。/dev/td_dのポリシーセットは、アーカイブストレージリソース168から読み取られたファイルの、バックアップアプリケーションで暗号化されたファイルへの復号化を、対称的に限定する。従って、限定されたバックアップアクセス権を持つユーザーは、前に暗号化されたファイルのセキュアなストレージを侵害することなく、ファイルのバックアップ及び復元を完全に管理することができる。従って、仮想化されたマウントポイントに基づいてポリシーセットを区別することは、クライアント及びユーザー20のコミュニティの代わりに実行されるアプリケーション162、164のアクセス権を管理することにおいて、多大な柔軟性を提供する。
図4に示すように、認証及びアクセス制御処理120の動作により許可又は拒否されたネットワークファイルパケットは、NFS/CIFS状態マシン124に信号で送られる。本発明により、特にNFS/CIFSトランザクションを含む選択ファイルデータトランザクションを表すネットワークファイルパケットのシーケンスは、NFS/CIFS状態マシン124により追跡されて、NFS/CIFSネットワークパケット転送ファイルデータの選択的な暗号化及び圧縮をサポートし、永続的ストレージリソース16で格納されるようなネットワークファイルのサイズ及び構造の付随変更を管理する。マウント及びマウント解除要求のRPCは、本質的に、コンピューターシステムプラットフォーム14、14'とセキュアなネットワークファイルアクセス装置12との間の原子動作である。マウント要求の受信時、アクセスは、利用可能なポリシーセット、及び、対応する実際のマウントポイントで識別される下位のネットワークストレージリソース16が利用可能であることの決定に基づいて、認証及びアクセスシ魚処理120で任意で定められる。次に、マウント又はマウント解除要求の成功又は失敗を確認するRPC応答が返される。
NFS/CIFS状態マシン124は、セキュアなネットワークファイルアクセス装置12によって処理される各NFS/CIFSトランザクションの状態を追跡する。追跡される主なNFS/CIFSトランザクションは、読み取り、書き込み、及び作成を含む。全ての他のNFS/CIFSで定められたトランザクション(一般的には、要求)もまた、NFS/CIFS状態マシン124によって追跡される。オフセット及びレンジで定められたファイルデータの受信読み取り要求から続く読み取りトランザクションは、暗号化及び圧縮ブロック境界に調整し戻された読み取りオフセット、及び、ブロック境界の終端までのファイルデータの暗号化及び圧縮に備えるように調整されたレンジに対応する読み取り要求を構築することを含む。次の状態は、読み取り要求を永続的ストレージリソース16に発行し、一連の応答のネットワーク読み取りファイルデータパケットを受け取り、かつ、必要に応じて、受信パケットペイロードデータを復号化及び復元するように処理することを含む。読み取りトランザクションの最終状態は、当初要求されたオフセット及びレンジにおいて読み取りファイルデータを抽出し、読み取りファイルデータで一又はそれ以上のネットワークファイルデータパケットを構築し、返すことを含む。
NFS/CIFS書き込みトランザクションは、既存の格納されたファイルデータを暗号化又は圧縮する読み取り/変更/書き込み動作を要求する。書き込みトランザクションは、書き込み要求を受け取り、暗号化及び圧縮ブロック境界に調整し戻された書き込みロックオフセット、及び、ブロック境界の終端までのファイルデータの暗号化及び圧縮に備えるように調整されたレンジでロック要求を構築することを含む。次のトランザクションの状態は、調整された書き込みオフセット及びレンジの境界を含む最初及び最後の部分の全てのファイルデータページの読み取り要求を発行し、クライアントから受け取られたファイル書き込みデータの対応する部分を含むように、読み取りデータページを復号化、復元、及び変更し、ファイル書き込みデータを暗号化、及び適当に圧縮し、かつ、ストレージリソース166に対応する書き込み要求を構築、及び発行することを含む。書き込みの最終状態は、ロック解除要求を構築し、ストレージリソース166へ送り、かつ、書き込み要求の応答を構築し、クライアントに送ることを含む。
属性の取得及びセット、アクセス許可の取得、及びディレクトリの作成のようなNFS/CIFS要求は、一般的には、セキュアなネットワークファイルアクセス装置12によって、ストレージリソース166との構造基盤互換性をサポートするようにされた原子トランザクションである。要求トランザクションは、クライアント要求を受け取り、対応する要求を構築し、ストレージリソース166に送ることを含む。ストレージリソース166から要求の応答を受け取った時、そのトランザクションに含まれる特定の要求に依って、ストレージリソース166に格納されたネットワークファイルの通知ファイルサイズ及び他の属性について、調整がなされる。次に、対応する要求の応答が構成され、クライアントに送られる。
NFS/CIFS作成トランザクションは、ファイル作成要求を受け取り、新規ファイルのファイル管理ヘッダーを構成し、対応する要求を構築し、ストレージリソース166に送ることを含む。ストレージリソース166から要求の応答を受け取った時、対応する要求の応答が再び構成され、クライアントに送られる。
図7は、本発明の好ましい実施形態で利用されるソフトウェアアーキテクチャ170のブロック図及びフロー表示を提供する。その好ましい実施形態が、コンピューターシステムプラットフォーム14、14'との別々の入口及び出口ネットワークインターフェースを利用する間、双方向のファイル転送帯域幅の合計がアダプタの容量の範囲内であれば、この2つのインターフェースは、単一のネットワークインターフェースアダプタを共有することができる。どちらの場合も、受信ネットワーク通信は、第一のネットワークインターフェース172によって処理される。アプリケーション44、46から生じるファイル転送要求を表すネットワークファイルデータパケットは、認証処理176のためのネットワーク制御情報114を公開し、配信するように、処理される174。対応するエージェントアプリケーション48から収集されたアプリケーション制御情報122が、認証処理176をサポートするエージェントインターフェース178によって提供される。
ポリシーパーザー180との相互作用に基づいて、ネットワーク及びアプリケーション制御情報114、122の選択された要素は、ポリシーデータストア182で保持される認証パラメータと比較される。ポリシーパーザー180は、決定木論理を実装して、受信ネットワークファイルデータパケットで表されるネットワークファイル要求の処理に求められる認証レベルを定め、その認証レベルが合っているかどうかを定めるのが好ましい。
ネットワーク及びアプリケーション制御情報114、122はまた、許可されたユーザーが対応する永続的ストレージリソース16へのアクセスを許されるかどうかを定めるように処理される184。ポリシープロセッサ180、及びポリシーデータストア182は、ネットワークファイル要求で与えられたアクセス属性が、そのネットワークファイル要求で識別される特定の永続的ストレージリソース16へのアクセスを可能にするのに適切かどうかを定めるように動作する。
論理的に別々の動作である限り、認証及びアクセス処理176、184は、同時に実行されることが好ましい。本発明の好ましい実施形態では、基本決定木論理のシーケンスが、要求されたネットワークファイル動作、仮想マウントポイント、対象ディレクトリ及びファイル指定、ユーザーのUID及びGID、及び、クライアント/ユーザーセッション及びプロセス識別子の論理的な組合せを考える。ネットワークファイル要求で与えられ、かつエージェントプログラム48、及びエージェントインターフェース178によって周期的に通知されるようなクライアントセッションの連続状態によって先に提供されるようなアプリケーション認証データも、また考えられる。ネットワークファイルアクセス要求の性質、タイミング、及び頻度に関して蓄積された更なる状態のデータも、考ええられる。この状態のデータは、セキュアなネットワークファイルアクセス装置12によって処理されるファイルアクセス動作の動的なトラフィック形成と同様に、静的なタイムスケジューリング、及びファイルアクセス要求の割り当て制御をサポートするように、セキュアなファイルアクセス装置12によって蓄積される。この蓄積された状態のデータはまた、侵入試行、又は管理警告の発行を保証する他の状況のように、スレッショルドが制限するファイルアクセス要求内のパターンの動的検出を可能にする。決定木の評価は、ファイルアクセス要求の前のシーケンスを考え、それにより、現在のネットワークファイルアクセス要求の許可されるサポートを限定する。
ポリシーデータは、仮想マウントポイントのセット、及び仮想マウントポイントの実際のマウントポイントへのマッピングを定めるように、管理上、確立される。ポリシーデータはまた、アプリケーション認証が、セキュアなネットワークファイルアクセス装置12によるセッション実行又は動作応答の前提条件、実行又は応答可能のアプリケーションの認証されたデジタル署名の許可された限定セットとして実施されるべきかどうか、ユーザーセッション認証が、生成されたプロセス又は異なるUID又はGIDを持つプロセス、及び、ポリシーパーザー180の動作において制御情報114、122と一致するか、さもなければ区別するために使用され得る他のデータに及ぶかどうか、を様々に定めることができる。この管理上確立されたポリシーデータは、ネットワーク及びアプリケーション制御情報114、122の評価において、ポリシーパーザー180によってポリシーストア182から論理的にアクセスされる。本発明の好ましい実施形態では、決定木論理及びポリシーデータは、ネットワーク及びアプリケーション制御情報114、122の迅速な評価を可能にするハッシュテーブルに格納される。
許可及びアクセス処理176、184の割り出された結果と同様に、ネットワーク及びアプリケーション制御情報114、122は、NFS/CIFS状態マシン処理186への制御入力である。読み取り、書き込み、及び作成のNFS/CIFSトランザクションシーケンスに含まれる様々なNFS/CIFS要求及び応答メッセージを含む非ファイルデータメッセージが準備され、状態マシン処理186から、受信ネットワークインターフェース172及び送信ネットワークインターフェース192へ直接転送される188、190。仮想マウントポイントから実際のマウントポイントへのマッピングデータのような、ネットワークファイル要求及び応答データパケットの生成をサポートする必要のあるポリシーデータは、必要に応じて、ポリシーデータストア182からアクセスされる。
ファイルデータが、アプリケーション44、46からの受信ネットワークファイルデータパケットに含まれるとき、そのネットワークファイルデータパケットが暗号化又は圧縮のためにアクセス処理184によって制限されるならば、パケットペイロードデータ116は、論理アクセスブロック(LAB)のシーケンスに処理される194。制限されないネットワークファイルデータパケットのパケットペイロードデータ116は、セキュリティ介在22による永続的ストレージリソース16への伝送のために、変更無くネットワークデータパケットに処理され194、ネットワークインターフェース192に提供される。
図8Aに示すように、ネットワークファイルデータパケットのパケットペイロードデータは、ファイルシステム26で認識されるファイル220の読み取り及び書き込み部分に対応する。一般的に図8Bに示すような個々のパケットペイロードデータ222は、図8Cに示すように、各々がパケットペイロードデータ222の対応する部分を含む論理アクセスブロックのシーケンス2241-Nに処理される194のが好ましい。本発明の最初の実施形態では、実際のマウントポイントと関連付けられ、ポリシーストア182で保持されるポリシーデータの一部として効果的にハードウェアプラットフォーム70で局所的に格納される全てのファイルについて、ファイル管理ヘッダー226が仮想化される。利用可能なファイル管理ヘッダーは、要求された仮想マウントポイントに利用可能なポリシーセットの一部として検索される。本発明の好ましい実施形態は、ファイル作成NFS/CIFSトランザクション各々について、ファイル管理ヘッダー226の作成に備える。一実施形態では、ファイル管理ヘッダー226が作成され、永続的ストレージリソース16でのファイル220の作成の一部として、第一のファイルデータブロックとして、効果的に永続的ストレージリソース16に書き込まれる。その後、一又はそれ以上の論理アクセスブロック224が、永続的ストレージリソース16で作成されるファイルに追加され、続いて、ランダムな順番で読み取り及び書き込まれることができる。そのかわりに、ストレージ、及び永続的ストレージリソース16に関するデータの検索を最適化するために、論理アクセスブロック224の個々又はサブセット、及びファイル管理ヘッダー226は、同じ又は異なるファイル空間及びストレージデバイス内の別々のI/Oページに書き込まれることができる。どちらの場合も、本発明により、永続的ストレージリソース16に向けられた、制限されたファイルデータの読み取り及び書き込みは、クライアントネットワークファイルデータ要求のオフセットおよびレンジを含む、論理アクセスブロックに揃えられた別々の転送として実施される。
ファイル管理ヘッダー226、及び論理アクセスブロック224は、永続的ストレージリソース16への伝送のために、ファイルデータの異なる通常のブロックとして、ネットワークファイルデータパケットに再パッケージされる。従って、セキュアなネットワークファイルアクセス装置12によるネットワークファイルデータの暗号化及び/又は圧縮は、本発明の動作による永続的ストレージリソース16に関連する読み取り及び書き込みに対して、完全に透過である。
ファイル管理ヘッダー226の好ましい構造が図8Dに示されており、さらに、以下の表1で詳細に示される。ファイル管理ヘッダー226は、一意のファイルGUID228、セキュリティパラメータ指標(SPI)230、及びセキュリティ署名232を含むのが好ましい。ファイルGUID228は、ユーザーUID、及びファイル作成時間のようなファイルに関連するデータのSHA-1ベースのセキュアなハッシュであって、そのファイルに160bitの一意のランダムな識別子を提供することが好ましい。セキュリティパラメーター指標230は、暗号鍵識別子(Key)234、セキュリティオプションアレイ(Idx)236、及びファイル関連情報(Info)238を含むセキュリティ情報の合成であることが好ましい。
暗号鍵識別子234は、ファイル220の論理アクセスブロック内に含まれるファイルデータを暗号化するのに利用される暗号鍵名の暗号化された表現であることが好ましい。暗号鍵名/鍵の値のペアは、セキュアなネットワークファイルアクセス装置12で利用され、管理上定められ、ポリシーデータストア182に格納される。アクセス処理184の結果として、暗号鍵が新規ファイルと関連付けられた時、対応する暗号鍵名は、好ましくは再びSHA-1アルゴリズムを使ってセキュアにダイジェストされ、ファイル管理ヘッダー226の鍵識別子フィールド234に格納される。
セキュリティパラメータ指標230はまた、任意で、ファイル220の暗号鍵値を格納する連結リストを、暗号化された形で含むこともできる。連結リスト内の各エントリーは、公開鍵、暗号鍵値のタプルを含む。公開鍵は、高信頼暗号鍵エージェントサーバーに対応し、暗号鍵値は、エージェントの公開鍵で暗号化される。異なるセキュアなネットワークファイルアクセス装置12'によるネットワークファイルデータの検索時、公開鍵識別エージェントサーバーを使用して、暗号鍵値を回復させることができる。複数の独立したエージェントサーバーのサポートを提供することは、暗号鍵値を常に回復できることを確実にする。











Figure 0004896400
セキュリティオプションアレイ236は、ファイル管理ヘッダー226と関連付けられる論理アクセスブロック224に利用されるセキュリティ機能の索引付きリストを提供する。これらのオプションは、暗号化が使用されるかどうか及び利用可能な暗号化アルゴリズムであるかどうか、圧縮が使用されるかどうか及び利用可能な圧縮アルゴリズムであるかどうか、暗号鍵名索引がユーザー又はグループベースであるべきかどうか、エージェント暗号鍵リストが存在するかどうか、及び、デジタル署名検査によって改竄検出を実施すべきかどうか、の識別子を含むことが好ましい。ファイル関連情報238のフィールドは、ファイル作成者に対応するGUIDのような様々な他の情報のストレージを提供する。
最後に、セキュリティ署名232は、巡回冗長検査(CRC)の値、及びデジタル署名のストレージを提供する。CRC値は、ファイル管理ヘッダー226の直前部分のバイナリ値によって計算されて、ブロック整合性検査を可能にすることが好ましい。デジタル署名は、CRCフィールドを含むファイル管理ヘッダー226の直線部分について計算されて、ファイル管理ヘッダー226の如何なる部分での改竄の検出も可能にする。
論理アクセスブロック224の好ましい帯域内構造もまた、図8Dに示す。論理アクセスブロック224の主要フィールドは、LABデータフィールド240、LAB署名フィールド242、及びオプションのLAB圧縮ヘッダー244を含む。LABデータフィールド240は、パケットペイロードデータ222の暗号化された部分、及び/又は圧縮された部分を含む。LABデータフィールド240のサイズは、ファイルシステム26で認識される固有の又は都合の良いブロックサイズの倍数に通常セットされ、さらに、ブロック暗号化アルゴリズムの効率のために選択される。
本発明により、パケットペイロードデータ222の論理アクセスブロック224へのセグメント化は、ファイルデータの適当なサイズのブロックを、原子単位として暗号化及び圧縮することを可能にする。永続的ストレージリソース16内のランダムアクセスデバイスで格納されるファイル220に向けられた、かなり効率の良いランダムな読み取り/書き込み動作を獲得するためには、より小さいセグメントサイズが好ましい。より低い処理オーバーヘッド、より高い暗号化及び圧縮効率のためには、より大きいセグメントサイズが好ましく、このとき、ネットワークストレンジリソース16内の対象のデバイスは、従来のテープドライブのようなストリーミングアクセスデバイスである。パケットペイロードデータ222のセグメントサイズは、ランダムアクセスデバイスにおいて、最小サイズが512バイト、通常の好ましいサイズが1024バイトである8バイトのブロックモジューロを持つことが好ましい。ストリーミングアクセスデバイスでは、約8096バイトのより大きいブロックサイズが好ましいとすることができる。
パケットペイロードデータ222の最終セグメントが、通常の好ましいセグメントサイズより小さい場合、より小さいブロックサイズを用いる。このより小さいブロックサイズは、最終セグメントのサイズと同じ又はそれより小さい最大モジューロの8バイトブロックサイズとなるように選択される。次に、最終セグメントの全て、といっても最大でも7バイトが、ブロック暗号化される。次に、残りのすべてのセグメントバイトが、8バイト長のゼロ値ストリングの暗号化により生成されたマスク値との排他的論理和がとられ、次に、最終セグメントのブロック暗号化部分の後ろに追加される。
論理アクセスブロック224で保持されるパケットペイロードセグメントが圧縮される場合のみ含まれることが好ましいLAB圧縮ヘッダー244は、LABデータフィールド240内に含まれるファイルデータのオフセット及びレンジを指定するフィールドを含む。下にあるデータ値、及び適用されるストリーム圧縮アルゴリズムに依って、LABデータフィールド240内に格納されるパケットペイロードデータ222のセグメント長又はレンジは可変である。セグメント長は、好ましいLABデータフィールドサイズに非常に近い圧縮データを獲得するように操作される。パッディングは、モジュ―ロ8バイト暗号化ブロックに適合するサイズとなるように与えられる。最低でも、レンジ値は、完全論理アクセスブロック224で伝送される実際の圧縮データを識別する。
LAB署名242は、LAB圧縮ヘッダー244が存在するとき、LABデータフィールド240のセキュアなダイジェストとして計算されるのが好ましい。本発明の好ましい実施形態では、SHA-1アルゴリズムを使用して、LAB署名242を作成する。セキュアなネットワークファイルアクセス装置12に対して検索される時、各論理アクセスブロック224のセキュリティは、任意のLAB圧縮ヘッダー244を含むLABデータフィールド240のセキュアなダイジェストを再計算し、LAB署名242と照らして比較することにより、改竄に対して保証されることができる。本発明の好ましい変形では、ネットワークファイルデータは、暗号化されていない、圧縮されていないLABデータ240及びLAB署名242のみを含む論理アクセスブロック224として、格納される。ネットワークファイルデータについてランダムアクセスの効率が維持される一方で、それにもかかわらず、場合によってはネットワークファイルの中身での不適切な改竄による変更が、個々の論理アクセスブロック224レベルで検出可能である。改竄を検出するためにセキュアなダイジェストを計算するためにネットワークファイル全体を読み取る従来の必要性は、要求されない。
本発明の代替の実施形態では、エラー訂正トレーラー246が、LABデータフィールド240、任意のLAB圧縮ヘッダー244、及びLAB署名242について計算されたECC値を格納するように提供される。ECC値は、論理アクセスブロック224の作成時に計算される。論理アクセスブロック224の検索時、ECC値は、論理アクセスブロック224の拡張ネットワーク構造基盤伝送の結果として生じ得るビットエラーを訂正するために使用される。特に、TCP層及びそれ以上で動作するネットワークルーターで、ビットエラーが発生し得る。このような構造基盤誘導ビットエラーは、別の方法で、LAB署名242から検出されるが、データ改竄とは区別不可能である。エラー訂正フィールド246の使用は、論理アクセスブロック224の整合性を独立して保護する役割をする。
一般的に図8Dに示すように、ファイル管理ヘッダー226、及び、論理アクセスブロック2224のヘッダー244、及びトレーラー242、246は、永続的ストレージリソース16で最終的に格納されるファイル220の一部として、帯域内又はファイル内に含まれることができる。また、論理アクセスブロックのデータ240へのアクセスを最適化するために、様々な帯域内レイアウトを使用することもできる。ファイル管理ヘッダー226、デジタル署名242、及び圧縮ヘッダー244は、一又はそれ以上の帯域内上位ブロックに集約されることができる。これらの上位ブロックのサイズ、及び残りの論理アクセスブロックデータ240のサイズは、永続的ストレージリソース16のI/O性能を最適化するようなサイズにすることができる。
そのかわりに、論理アクセスブロックのデータ240のみを、ネットワークファイル220として帯域内の永続的ストレージリソース16で格納することが、場合によっては好ましい。ネットワークファイル220に対応する、管理ヘッダー226、及びヘッダー244、及びトレーラー242、246を含むファイルのメタデータは、別々のメタデータ又は陰のファイルに格納される。陰のファイルと帯域内ネットワークファイル220との間の関係を維持する如何なる並列ストレージ構造も、使用することができる。陰のファイルのネットワークファイル220との並列な関連付けが維持されるのであれば、陰のファイルは、作成されて、ネットワークファイル220と同じストレージ空間内、場合によってはネットワークファイル220から物理的に離れている異なるストレージ空間内、又はプラットフォーム70上のネットワークリソース16に格納することができる。例えば、陰のファイルは、ネットワークファイル220の対応部と同じディレクトリに格納することができ、ネットワークファイル220のファイル名の定められた置換であるファイル名で識別することができる。そのかわりに、陰のファイルを、定められたルート、又は永続的ストレージリソース16の相対ルートノードから分岐する並列ディレクトリ構造に格納することもできる。どちらの場合も、陰のファイルと対応するネットワークファイル220との間の定められた関係が決定され、セキュアなネットワークファイルアクセス装置12に知られ、これは、ネットワークファイル220の対応する読み取り及び書き込みで、陰のファイルの並列読み取り及び書き込みを確実にすることができる。
再び図7を参照すると、要求されるように、パケットからLABへの処理194が、ハードウェア加速器162を利用して、パケットペイロードデータ222のセグメントについて暗号化196、及び圧縮198を実行することが好ましい。次に、ネットワークファイルデータパケットのパケットペイロードデータ222をともに含む論理アクセスブロック2241-Nは、新しいネットワークファイルデータパケットに集約され、ネットワークストレージリソース16への伝送のためにネットワークインターフェース192に送られる。
ネットワークインターフェース192によって受け取られたネットワークファイルデータパケットは、認証及びアクセス処理176、184、及びパケットペイロードデータ内に含まれる論理アクセスブロック2241-Nのためのネットワーク制御情報114を公開し、論理アクセスブロックからパケットデータへの処理202に配信するように、同じように処理される200。認証及びアクセス処理176、184のための準備は、場合によってはクライアントベースの分散ネットワークストレージデバイスさえも、他の永続的ストレージリソース16のように等しくセキュアかつアクセス可能にすることを可能にする。本発明の好ましい実施形態では、専用の永続的ストレージリソース16から受け取られたネットワークファイルパケットについて、最低限の認証及びアクセス処理176、184を実行する。
エラー訂正フィールド246が存在し、LAB圧縮ヘッダー244が存在する場合にはそれを含むLABデータフィールド240の整合性をデジタル署名242の値に照らして確認するとき、パケットペイロードデータで受け取られる論理アクセスブロック2241-Nは、エラー訂正を適用するように処理される202。ファイル管理ヘッダー226を、典型的には前もってNFS/CIFS状態マシン処理186により読み取って、フィールド234から暗号鍵識別子を、及び、オプション指標フィールド236から利用可能である場合には圧縮アルゴリズム識別情報を獲得する。次に、LABデータフィールド240は、利用可能である場合には、復元され204、復号化される206。NFS/CIFS状態マシン処理186は、保留状態の受信ファイルデータ読み取り要求トランザクションに基づいて、クライアント読み取り要求データを表す連結論理アクセスブロック2241-Nのオフセット及びレンジ選択の部分を識別する。次に、選択されたデータは、ネットワークファイルデータパケットに組み入れられ、トランザクション識別アプリケーション44、46への伝送のために、ネットワークインターフェース172に提供される。
本発明の好ましい実施形態では、管理インターフェース208は、ポリシーパーザー180及びポリシーデータストア182へのアクセス、及びそれらの構成を提供する。ネットワーク通信インターフェース210は、受信及び送信ネットワークインターフェース172、192から独立した管理インターフェース208へのアクセスを提供する。
ソフトウェアアーキテクチャ170は、図9に示すように、更なるセキュリティ装置指向機能を提供するように拡張されるのが好ましい。拡張アーキテクチャ250は、ネットワークインターフェース172、192を通して作られるネットワーク接続についてファイアウォール形式のフィルタリングを実装するIPフィルタ層252、254を含む。フィルタルールストア256は、IPフィルタ層252、254によってネットワークパケットを送ることを許可されたIPアドレス、ネットワークプロトコル、及びインターネットポートを定めるIPテーブル形式の仕様を保持することが好ましい。IPフィルタ層252、254、特に受信IPフィルタ層252は、NFS、CIFS、RPC、及びマウントプロトコルを含むネットワークファイルアクセス動作に関係する接続以外の全ての接続を拒否するようにセットされることが好ましい。IPフィルタ層252、254で送られるこれらのネットワークファイルデータパケットは、ソフトウェアアーキテクチャ170で実行されるパケット/LAB処理258に向けられる。従って、許可されない接続試行、及び適切なポリシーベースの許可のないアクセス要求は、ソフトウェアアーキテクチャ170によって、優先的に受信、検出、及び検査される。
特に、制御情報114、122の完全なセットへのアクセスに基づく認証及びアクセス制御176、184、及びポリシーパーザー180の柔軟な解析能力は、場合によっては誤用パターンのより洗練された識別、及び、特定の送信元IPを動的にブロックすること、詳細情報のログをとること、及びリアルタイムの管理警告を発行することを含むより広範な補強動作を可能にする。ファイアウォールフィルタ252、254のセキュリティ及び報告の強度は、セキュアなネットワークファイルアクセス装置12の主な機能と関係のない接続試行を処理するのに適当である。ファイアウォールフィルタ252、254はまた、場合によってはネットワークファイルデータパケットを含む選択されたネットワークデータパケットを、バイパスルート260を利用して、セキュアなネットワークファイル装置12によってプロキシするのに利用することもできる。VPN42及びネットワークファイルアクセス装置12'の場合、指定された送信元IPアドレス及びプロトコルを識別し、適切にバイパスする260ことができる。
固定された規模では、ハードウェアプラットフォーム70、ファイアウォールフィルタ252、254は。メインプロセッサ54によるオペレーティングシステムのIPテーブルモジュールのカーネル実行によって、実装されるのが好ましい。拡大縮小できるハードウェアプラットフォーム70で、ファイアウォールフィルタ層252、254が、入口及び出口プロセッサ86、88に実装され、バイパス転送されたネットワークパケットが、入口プロセッサ86と出口プロセッサ88の間で直接送られることが好ましい。フィルタルールストア256で保持されるフィルタルールは、管理インターフェース208によって管理される。
本発明の好ましい実施形態により構成されたNFS/CIFS読み取りトランザクション270を、図10Aにグラフィカルに示す。ファイル管理ヘッダー226、及び論理アクセスブロックの連続2241-Nから成る読み取り対象ファイルは、永続的なストレージリソース16に存在する。一般的には、受信読み取り要求は、読み取る272べきデータのオフセット及びレンジを特定する。送信読み取り要求は、ファイル管理ヘッダー226、及び取り囲みの論理アクセスブロック224A-Xのブロック配列の連続を読み取る274、276ように発行される。読み取り要求276は、一連の一又はそれ以上のネットワークファイルデータパケット内の要求された論理アクセスブロック224A-Xを検索し、次にこれは、読み取り要求データ272を含む一又はそれ以上のネットワークファイルデータパケットを戻すころにより、受信読み取り要求を完了するように処理される。
NFS/CIFS読み取りトランザクション270と関連付けられる特定の処理280を、図10Bに示す。ファイアウォールフィルタされたファイルデータ読み取り要求を受け取った時、セキュアなネットワークファイルアクセス装置12は、ネットワーク制御情報114を公開し282、ポリシールール及びデータ182、184と照らしてパーズする284。ポリシー遵守の失敗は、NFS/CIFSの適切な応答ネットワークデータパケットの戻し発行により、報告される286。
読み取り要求が定められたポリシー要求に従う場合、ファイル関連アクセス制御情報が、永続的ストレージリソース16から任意で読み取られて288、ファイルの存在を確認し、利用可能な読み取りデータの許可を評価する。許可検査が実行され、失敗した場合、永続的ストレージリソース16にファイル読み取り要求を発行することなく、ファイルの不存在、又は不適切な許可が報告される286。ファイル管理ヘッダー226を含む、要求の対象ファイルのファイルのメタデータもまた、ネットワークストレージリソース16から読み取られる288。ブロック配列論理アクセスブロックのオフセット290及びレンジ292が定められ、永続的ストレージリソース16に向けられた送信読み取り要求を作成し、発行するために、使用される。データ読み取りオフセットは、ファイルの最初で格納されるファイル管理ヘッダー226のサイズを占めるように調整される。論理アクセスブロック224A-Xが圧縮データを含む場合、LAB圧縮ヘッダー244のファイルデータ読み取りが、データ読み取りオフセットと、取り囲みの読み取り要求レンジの両方に対する調整を決定するために、要求され得る。
要求された論理アクセスブロック224A-Xが受け取られた時294、LAB ECCフィールド246が存在するかどうかに依って、エラー訂正が適用され296、ファイル管理ヘッダー226の鍵識別子フィールド234から割り出される鍵名と関連付けられる鍵を利用して復号化され298、及び、ファイル管理ヘッダー226が圧縮オプションを含み、対応するアルゴリズムを特定するかどうかに依って、復元される300。検索されたファイルデータの整合性を検査するために、LABデジタル署名242を使用する。如何なる論理アクセスブロック224A-Xについての整合性検査の失敗も、幾つか又は全ての論理アクセスブロック224A-Xの再読み取りという結果となって、ソフトエラーから保護することができ、永続的エラーが、NFS/CIFSの適切なエラーネットワークデータパケットの戻し発行により、最終的に報告される。ソフトエラー及び永続的エラーの両方とも、セキュアなネットワークファイルアクセス装置12でログが取られることが好ましい。受信読み取り要求のNFS/CIFS状態マシン処理186の動作によって認識される永続的エラーが、評価のためにポリシーパーザー180に反してアサートされ、続いて、改竄警告メッセージとして、管理インターフェース208を通して発行される302のが、さらに好ましい。最後に、ファイルデータが受信され、送信読み取り要求に応じて処理されたとき、受信読み取り要求で識別されたファイルデータが、一又はそれ以上の応答ネットワークファイルデータパケットに組み立てられ304、返される。
図11Aでグラフィカルに示すようなNFS/CIFSのファイル作成トランザクション310は、新しいファイル管理ヘッダー226を含む新規ファイルを作成するように動作することが好ましい。図11Bでさらに詳細に示すように、ファイル作成要求処理320は、最初に、ネットワーク制御情報114を公開し322、パーズ324して、如何なるポリシー遵守の失敗も、NFS/CIFSの適切な応答ネットワークデータパケットの戻し発行という結果になる。ファイル作成要求が、定められたポリシー要求に従うならば、ディレクトリ情報を永続的ストレージリソース16から任意で読み取って328、対象ファイル作成許可を獲得する。許可検査が実行され、失敗したとき、ファイル作成要求を永続的ストレージリソース16に対してアサートすることなく、対象ディレクトリの不存在、及び不適切な許可が報告される326。
次に、ファイル管理ヘッダー226が作成される330。NFS/CIFS状態マシン処理186の動作によって、ポリシーデータストア182から提供される格納値に基づいて、ポリシーパーザー180が、セキュリティパラメータ指標230に必須の値を生成し、提供する。特に、ポリシーパーザー180が、マウントポイントを含むディレクトリ仕様に照らして、暗号鍵、及び圧縮選択を関連付けることが好ましい。従って、作成されるファイルの対象の位置は、暗号化及び圧縮を適用すべきかどうか、及び、実装のために利用可能な鍵及びアルゴリズムを定めるために利用される。鍵名及び圧縮に基づくセキュアな識別子、及び、圧縮アルゴリズム識別子が計算され、計算されたCRC及び署名の値とともに、新しいファイル管理ヘッダー226に格納される。
次に、NFS/CIFS状態マシン186は、受信ファイル作成要求で与えられたディレクトリ仕様を利用して、永続的ストレージリソース16へのNFS/CIFSファイル作成要求の作成及び発行332に備える。次に、ファイル管理ヘッダー226の帯域内ストレージにおいて、ファイル管理ヘッダー226を含むNFS/CIFSファイル書き込み要求が作成され、永続的ストレージリソース16に発行される334。陰のメタデータファイルが使用のために指定されたとき、NFS/CIFSファイル作成要求、及び最後にファイル管理ヘッダー226を含むNFS/CIFSファイル書き込み要求が作成され、永続的ストレージリソース16に発行されて334、陰のファイルを作成する。最後に、NFS/CIFSの適切なファイル作成応答ネットワークデータパケットが、クライアントに返される。
本発明の好ましい実施形態によって構成されたNFS/CIFS書き込みトランザクション340を、図12Aにグラフィカルに示す。永続的ストレージリソース16内の既存ファイルへのファイルデータの書き込みは、読み取り、変更、書き込みプロシージャ―を使用する。受信データ書き込み要求は、一又はそれ以上のネットワークファイルデータパケットのトランザクションのシーケンスで与えられるデータ書き込み342のオフセット及びレンジを指定する。殆どの場合、書き込み要求データは、格納ファイルに存在する論理アクセスブロック2241-Nに合わせて並べられない。ファイル管理ヘッダー226、及び、いくらか部分的に重なっている論理アクセスブロック224A、224Xが、優先的に読み取られ344、346、348、重なっている論理アクセスブロック224A、224Xを、要求通りに復号化及び復元することを可能にする。次に、受信データ書き込み342のブロック配列データ読み取りとの重ね合わせが実行される。次に、結果として生じたブロック配列データ書き込みが、論理アクセスブロック224A-Xに処理され、一又はそれ以上のネットワークファイルデータパケットの書き込みトランザクションのシーケンスで、永続的ストレージリソース16に書き込まれる350。
NFS/CIFS書き込み要求トランザクションの好ましい処理360を、図12Bに示す。受信ファイルデータ書き込み要求が受け取られ、ネットワーク制御情報114を公開するように処理される362。次に、この情報が、確立されたポリシー180、182と照らしてパーズされ364、如何なる遵守失敗も報告される386。次に、ネットワーク制御情報114が、永続的ストレージリソース16で格納された対象ファイルを識別し、ファイル管理ヘッダー226を含むファイルのメタデータを獲得するような要求を作成及び発行するように、さらに処理される368。次に、論理アクセスブロックのオフセット及びレンジが、ファイル管理ヘッダー226、及び論理アクセスブロック224に収容されたデータの圧縮の存在の必要に応じて調整して、定められる370、372。レンジの論理アクセスブロック224A-Xに対して、ファイルロックがアサートされる。最初及び終端の論理アクセスブロック224A、224xが、必要に応じて、永続的ストレージリソース16から読み取られ374、LAB ECCフィールド246が存在する場合には訂正され376、復号化され378、復元380される。整合性失敗のエラーが報告される382。終端論理アクセスブロック224A、224Xからのデータが、書き込みデータ342と一体化され384、その組合せられたデータは再セグメント化され386、適宜圧縮され388、暗号化される390。利用可能な限り、LAB ECC値が計算され、組み立てられた394一連の論理アクセスブロック224A-Xに追加される392。論理アクセスブロック224A-Xが組み立てられた時、一又はそれ以上のネットワークファイルデータ書き込みパケットが構成され、永続的なストレージリソース16に送られる。論理アクセスブロック224A-Xの書き込みが完了すると、ファイルロックが解除される。
従って、ファイルシステムサーバーによってアクセス可能な永続的格納データを効率的かつ高信頼にセキュリティ保護する、セキュアなファイルシステムサーバー及び方法を説明した。本発明の好ましい実施形態の上述の説明を考慮して、開示された実施形態の多くの変更及び変形が、当業者に容易にわかるであろう。それゆえ、本特許請求の範囲の技術的範囲内で、上で具体的に説明したのとは別のやり方で、本発明を実施することもできることを理解すべきである。
本発明の好ましい実施形態の意図する動作環境を示す最上位のブロック図である。 本発明の好ましい実装の詳細なアーキテクチャのブロック図である。 本発明の好ましい固定規模の装置の実施形態のアーキテクチャのブロック図である。 ネットワークストレージリソースに向けられたクライアントのファイル指向ネットワーク要求の認証及びアクセス認定をサポートするために、本発明によって提供された深いパケット解析処理を示す処理の流れ図である。 プラットフォームコンピューターシステムで実行される、プラットフォーム処理のセキュアなファイルシステム層との相互運用を示す処理の相互作用の図を提供する。 本発明の好ましい実施形態による、本発明の好ましい実施形態のログイン及び実行処理の動作への処理の流れの統合を示す。 下位のファイルデータの複数の適した見方を提供するように本発明の好ましい実施形態で提供された、ネットワークストレージリソースの好ましい呈示を示す処理の相互作用の図を提供する。 本発明の好ましい実施形態によりネットワークパケットプロトコル処理を実装する好ましい構成要素、を示すソフトウェアブロック図である。 本発明の好ましい実施形態によって実装されたネットワークパケットプロトコル処理による、ファイルデータの好ましい分解を示している。 本発明の好ましい実施形態によって実装されたネットワークパケットプロトコル処理による、ファイルデータの好ましい分解を示している。 本発明の好ましい実施形態によって実装されたネットワークパケットプロトコル処理による、ファイルデータの好ましい分解を示している。 本発明の好ましい実施形態によって実装されたネットワークパケットプロトコル処理による、ファイルデータの好ましい分解を示している。 本発明の好ましい実施形態によるファイアウォール処理を含む拡張されたネットワークパケットプロトコル処理を示すソフトウェアブロック図である。 本発明の好ましい実施形態により実行されるファイルシステムの読み取り要求及び応答の処理の流れを示している。 本発明の好ましい実施形態により実行されるファイルシステムの読み取り要求及び応答の処理の流れを示している。 本発明の好ましい実施形態により実行されるファイルシステムのファイル作成要求の処理の流れを示している。 本発明の好ましい実施形態により実行されるファイルシステムのファイル作成要求の処理の流れを示している。 本発明の好ましい実施形態により実行されるファイルシステムの書き込み要求及び応答の処理の流れを示している。 本発明の好ましい実施形態により実行されるファイルシステムの書き込み要求及び応答の処理の流れを示している。

Claims (16)

  1. ａ）所定のファイルのストレージをサポートする永続的データストア、
    ｂ）ユーザーに関連したアプリケーションプログラムの実行をサポートするオペレーティングシステムカーネルと、前記アプリケーションプログラムに関連した前記オペレーティングシステムカーネルにより処理された所定のデータ転送動作に応答して、前記永続的データストアに関連したファイルデータを転送する第１のファイルシステム層と、前記オペレーティングシステムカーネルと前記第１のファイルシステム層との間に配置され、前記所定のデータ転送動作を選択的に制約するファイルアクセス制御機能を確立する、第２のファイルシステム層と、を含むコンピューターサーバーシステム、及び、
    ｃ）前記ファイルアクセス制御機能をサポートするように、前記第２のファイルシステム層に繋がれたファイルアクセスコントローラー、
    を具備し、
    前記ファイルアクセスコントローラーが、前記所定のデータ転送動作のうちの許可される動作を決定する、前記ユーザーと前記所定のファイルとの間の所定の対応関係を確立するアクセスポリシーリストを実装し、
    前記アクセスポリシーリストが、前記コンピューターサーバーシステムとは独立して前記ファイルアクセスコントローラー内に保持され、
    前記第２のファイルシステム層が、前記ユーザーに関連した許可情報及び前記アプリケーションプログラムに関連したセッション情報の収集を可能にするように前記オペレーティングシステムカーネルに繋がれたオペレーティングシステムインターフェースを含み、 前記ファイルアクセス制御機能が、前記所定のデータ転送動作に応答して、前記許可情報及び前記セッション情報を前記ファイルアクセスコントローラーに選択的に提供し、
    前記許可情報が前記ユーザーのセキュアな識別情報を含み、
    前記セッション情報が、前記オペレーティングシステムカーネルによって確立されるセッションであって該セッション内において前記アプリケーションプログラムが実行するセッション、を識別するセッション鍵を含む、
    ことを特徴とする、永続的データへの保護されたアクセスを提供するセキュアなサーバープラットフォーム。
  2. 永続的ストレージデバイスに格納される永続的格納ファイルデータであって、プロセッサと、第１のファイルシステムインターフェースを提供するオペレーティングシステムカーネル及び前記永続的ストレージデバイスに対する第２のファイルシステムインターフェースを含む、前記プロセッサにより実行可能なオペレーティングシステムと、を含むコンピューターサーバーシステムによってアクセス可能である永続的格納ファイルデータ、をセキュリティ保護する方法であって、
    ａ）永続的ファイルデータの透過な暗号化及び復号化をサポートする、独立して動作する暗号化プロセッササーバーシステムを、定められた通信チャネルによって、前記コンピューターサーバーシステムに繋ぐ段階と、
    ｂ）前記オペレーティングシステムカーネルによって獲得されたセッション情報を、所定の永続的ファイルデータを識別する所定の永続的ファイルデータ転送要求に関連付ける段階と、
    ｃ）前記所定の永続的ファイルデータ転送要求及び前記セッション情報を、前記定められた通信チャネルによって、前記独立して動作する暗号化プロセッササーバーシステムに提供する段階と、
    ｄ）前記第１のファイルシステムインターフェースと前記第２のファイルシステムインターフェースとの間で前記独立して動作する暗号化プロセッササーバーシステムによって転送されるように、前記所定の永続的ファイルデータをルーティングする段階と、
    ｅ）前記所定の永続的ファイルデータ転送要求と関連付けられる暗号鍵を、前記コンピューターサーバーシステムから前記定められた通信チャネルによって前記独立して動作する暗号化プロセッササーバーシステムによりアクセス不可能に維持する段階と、
    ｆ）前記独立して動作する暗号化プロセッササーバーシステムにより、前記所定の永続的ファイルデータ転送要求から前記暗号鍵を決定する段階であって、前記独立して動作する暗号化プロセッササーバーシステムで保持される前記セッション情報及びアクセスポリシーストアについて、前記所定の永続的ファイルデータ転送要求のアクセス許可を前もって定める段階と、
    を含むことを特徴とする方法。
  3. 前記維持するステップが、前記アクセスポリシーストアを、前記コンピューターサーバーシステムから前記定められた伝送チャネルによって前記独立して動作する暗号化プロセッササーバーシステムによりアクセス不可能にさらに維持する
    ことを特徴とする請求項２に記載の方法。
  4. 前記アクセス不可能に維持するステップが、前記コンピューターサーバーシステムのセキュリティ侵害から独立して、前記定められた伝送チャネルによる前記暗号鍵及び前記アクセスポリシーへのアクセスを妨げる
    ことを特徴とする請求項３に記載の方法。
  5. ファイルデータに対するセキュアな認証及びアクセス制御を実施するサーバーアーキテクチャを実装するコンピューターシステムであって、
    ａ）サーバーメモリ領域、及び、前記サーバーメモリ内でのオペレーティングシステムの実行に備えるサーバープロセッサを含む、前記永続的ファイルデータストアに繋がれた第１のプロセッサシステム、
    を具備し、
    前記オペレーティングシステムはオペレーティングシステムカーネルを含み、該オペレーティングシステムカーネルは、該オペレーティングシステムカーネルから提供されるファイルデータ要求の転送をサポートするカーネルデータアクセスインターフェース、ファイルシステムスイッチ、及び、前記カーネルデータアクセスインターフェース及び前記ファイルシステムスイッチに繋がれたセキュリティ介在層を有し、前記セキュリティ介在層は、前記オペレーティングシステムカーネルから獲得されたセッション情報を前記ファイルデータ要求に関連付けるように、受信ファイルデータ要求に応答し、さらに、
    ｂ）前記第１のプロセッサシステムとは独立しており、ネットワーク通信チャネルによって前記セキュリティ介在層に繋がれ、前記ファイルデータ要求に応答して、ファイルデータの転送に関連した前記ファイルデータ要求を選択的に可能にするように、前記ファイルデータ要求に関連付けられた前記セッション情報に応答する、第２のプロセッサシステム
    を具備し、
    前記第２のプロセッサシステムは、アクセスポリシーリストを実装する制御プログラムの実行に備えるセキュリティプロセッサを含み、該アクセスポリシーリストは、前記セキュリティプロセッサが前記セッション情報に基づいて前記ファイルデータ要求のうちの許可される要求を識別することを可能にするものであり、
    前記第２のプロセッサシステムは、前記ファイルデータ要求のうちの許可される要求を可能にするように、前記セキュリティ介在層と相互作用し、
    前記制御プログラムが、許可制御リストをさらに実装し、
    前記第２のプロセッサシステムが、前記サーバーメモリ領域内での前記サーバープロセッサによる所定のアプリケーションプログラムの実行を可能にするように、前記セキュリティ介在層と相互作用する、
    ことを特徴とするコンピューターシステム。
  6. 前記セキュリティ介在層は、前記ファイルシステムスイッチにファイルシステムインターフェースを与え、かつ、所定のファイルデータ要求の排他的転送経路として、前記ファイルシステムスイッチに繋がれる
    ことを特徴とする請求項５に記載のコンピューターシステム。
  7. 前記セキュリティ介在層が、前記ファイルシステムスイッチで受け取られた前記ファイルデータ要求の排他的転送経路として、前記ファイルシステムスイッチに繋がれる
    ことを特徴とする請求項６に記載のコンピューターシステム。
  8. 前記セキュリティ介在層が、RPCプロトコルを利用して、前記第２のプロセッサシステムと通信する
    ことを特徴とする請求項５に記載のコンピューターシステム。
  9. 前記セキュリティ介在層が、NFSプロトコルを利用して、前記第２のプロセッサシステムと通信する
    ことを特徴とする請求項８に記載のコンピューターシステム。
  10. ファイルデータに対するセキュアな認証及びアクセス制御を実施するサーバーアーキテクチャを実装するコンピューターシステムであって、
    ａ）サーバーメモリ領域、及び、該サーバーメモリ内でのオペレーティングシステムの実行に備えるサーバープロセッサを含む、永続的ファイルデータストアに繋がれた第１のプロセッサシステム、
    を具備し、
    前記オペレーティングシステムはオペレーティングシステムカーネルを含み、該オペレーティングシステムカーネルは、該オペレーティングシステムカーネルから提供されるファイルデータ要求のルーティングをサポートするカーネルデータアクセスインターフェース、ファイルシステムスイッチ、及び、前記カーネルデータアクセスインターフェース及び前記ファイルシステムスイッチに繋がれたセキュリティ介在層を有し、
    前記セキュリティ介在層は、前記オペレーティングシステムカーネルから獲得されたセッション情報を前記ファイルデータ要求に関連付けるように、受信ファイルデータ要求に応答し、さらに、
    ｂ）前記第１のプロセッサシステムとは独立しており、ネットワーク通信チャネルによって前記セキュリティ介在層に繋がれ、前記ファイルデータ要求に応答して、ファイルデータの転送に関連した前記ファイルデータ要求を選択的に可能にするように、前記ファイルデータ要求に関連付けられた前記セッション情報に応答する、第２のプロセッサシステム
    を具備し、
    前記セキュリティ介在層が、前記第２のプロセッサシステムによるファイルデータの転送経路選択に備え、前記第２のプロセッサシステムが、該第２のプロセッサシステムによって転送されるファイルデータを復号化するように動作するセキュリティプロセッサを含み、
    ファイルデータが、前記セキュリティ介在層と前記第２のプロセッサシステムとの間で双方向に転送され、
    前記第２のプロセッサシステムが、ファイルデータの復号化において前記セキュリティプロセッサで使用される前記暗号鍵を格納し、前記セキュリティ介在層が、前記セッション情報から定められる暗号鍵への参照を前記第２のプロセッサシステムに提供し、かつ、前記第２のプロセッサシステムが、前記暗号鍵を前記セキュリティ介在層から独立に維持する、
    ことを特徴とするコンピューターシステム。
  11. 前記セキュリティプロセッサが、該セキュリティプロセッサが前記セッション情報に基づいて前記ファイルデータ要求のうちの許可される要求を識別することを可能にするアクセスポリシーリストを実装する制御プログラムの実行に備え、前記第２のプロセッサシステムが、前記ファイルデータ要求のうちの許可される要求を可能にするように、前記セキュリティ介在層と相互作用する
    ことを特徴とする請求項１０に記載のコンピューターシステム。
  12. 前記制御プログラムが、許可制御リストをさらに実装し、前記第２のプロセッサシステムが、前記サーバーメモリ領域内での前記サーバープロセッサによる所定のアプリケーションプログラムの実行を可能にするように、前記セキュリティ介在層と相互作用する
    ことを特徴とする請求項１１に記載のコンピューターシステム。
  13. 前記セキュリティ介在層が、前記ファイルシステムスイッチにファイルシステムインターフェースを提供し、かつ、所定のファイルデータ要求の排他的転送経路として前記ファイルシステムスイッチに繋がれる
    ことを特徴とする請求項１２に記載のコンピューターシステム。
  14. 前記セキュリティ介在層が、前記ファイルシステムスイッチで受け取られる前記ファイルデータ要求の排他的転送経路として、前記ファイルシステムスイッチに繋がれる
    ことを特徴とする請求項１３に記載のコンピューターシステム。
  15. 前記セキュリティ介在層が、RPCプロトコルを利用して、前記第２のプロセッサシステムと通信する
    ことを特徴とする請求項１４に記載のコンピューターシステム。
  16. 前記セキュリティ介在層が、NFSプロトコルを利用して、前記第２のプロセッサシステムと通信する
    ことを特徴とする請求項１５に記載のコンピューターシステム。
JP2004544792A 2002-10-16 2003-10-01 セキュアなファイルシステムサーバーのアーキテクチャ及び方法 Expired - Fee Related JP4896400B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US10/271,050 US7143288B2 (en) 2002-10-16 2002-10-16 Secure file system server architecture and methods
US10/271,050 2002-10-16
PCT/US2003/031261 WO2004036350A2 (en) 2002-10-16 2003-10-01 Secure file system server architecture and methods

Publications (2)

Publication Number Publication Date
JP2006503369A JP2006503369A (ja) 2006-01-26
JP4896400B2 true JP4896400B2 (ja) 2012-03-14

Family

ID=32092474

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2004544792A Expired - Fee Related JP4896400B2 (ja) 2002-10-16 2003-10-01 セキュアなファイルシステムサーバーのアーキテクチャ及び方法

Country Status (5)

Country Link
US (2) US7143288B2 (ja)
EP (1) EP1552643A4 (ja)
JP (1) JP4896400B2 (ja)
AU (1) AU2003279767A1 (ja)
WO (1) WO2004036350A2 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7209293B2 (ja) 2019-05-17 2023-01-20 三菱重工機械システム株式会社 加速空洞

Families Citing this family (217)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7526795B2 (en) * 2001-03-27 2009-04-28 Micron Technology, Inc. Data security for digital data storage
NZ531200A (en) * 2001-08-13 2006-03-31 Qualcomm Inc Application level access privilege to a storage area on a computer device
US20040162994A1 (en) * 2002-05-13 2004-08-19 Sandia National Laboratories Method and apparatus for configurable communication network defenses
US7620956B2 (en) * 2003-06-11 2009-11-17 Symantec Corporation Portable memory storage devices with application layers
US8843903B1 (en) * 2003-06-11 2014-09-23 Symantec Corporation Process tracking application layered system
US7437766B2 (en) * 2002-10-03 2008-10-14 Sandia National Laboratories Method and apparatus providing deception and/or altered operation in an information system operating system
US7664991B1 (en) * 2002-12-17 2010-02-16 Symantec Operating Corporation System and method for distributed file system I/O recovery
US7318163B2 (en) * 2003-01-07 2008-01-08 International Business Machines Corporation System and method for real-time detection of computer system files intrusion
US8201256B2 (en) * 2003-03-28 2012-06-12 Trustwave Holdings, Inc. Methods and systems for assessing and advising on electronic compliance
US7325002B2 (en) * 2003-04-04 2008-01-29 Juniper Networks, Inc. Detection of network security breaches based on analysis of network record logs
US7917751B2 (en) * 2003-05-22 2011-03-29 International Business Machines Corporation Distributed filesystem network security extension
CA2527501A1 (en) 2003-05-28 2004-12-09 Caymas Systems, Inc. Multilayer access control security system
JP4329412B2 (ja) * 2003-06-02 2009-09-09 株式会社日立製作所 ファイルサーバシステム
US7373520B1 (en) * 2003-06-18 2008-05-13 Symantec Operating Corporation Method for computing data signatures
US20050010752A1 (en) * 2003-06-23 2005-01-13 Nokia, Inc. Method and system for operating system anti-tampering
US8181022B2 (en) * 2003-06-24 2012-05-15 Realnetworks, Inc. Method and apparatus for controlling access restrictions for media playback
US7460672B2 (en) * 2003-07-18 2008-12-02 Sanrad, Ltd. Method for securing data storage in a storage area network
US7565690B2 (en) * 2003-08-04 2009-07-21 At&T Intellectual Property I, L.P. Intrusion detection
US7529775B2 (en) * 2003-08-20 2009-05-05 Microsoft Corporation Method and system for collecting information about applications on a computer system
US8238696B2 (en) 2003-08-21 2012-08-07 Microsoft Corporation Systems and methods for the implementation of a digital images schema for organizing units of information manageable by a hardware/software interface system
US7401104B2 (en) 2003-08-21 2008-07-15 Microsoft Corporation Systems and methods for synchronizing computer systems through an intermediary file system share or device
US8131739B2 (en) * 2003-08-21 2012-03-06 Microsoft Corporation Systems and methods for interfacing application programs with an item-based storage platform
US7590643B2 (en) 2003-08-21 2009-09-15 Microsoft Corporation Systems and methods for extensions and inheritance for units of information manageable by a hardware/software interface system
US8166101B2 (en) 2003-08-21 2012-04-24 Microsoft Corporation Systems and methods for the implementation of a synchronization schemas for units of information manageable by a hardware/software interface system
CN100499451C (zh) * 2003-08-26 2009-06-10 中兴通讯股份有限公司 网络通信安全处理器及其数据处理方法
US7809843B1 (en) * 2003-09-18 2010-10-05 Intel Corporation Globally unique identification in communications protocols and databases
US7930757B2 (en) * 2003-10-31 2011-04-19 Adobe Systems Incorporated Offline access in a document control system
US8627489B2 (en) 2003-10-31 2014-01-07 Adobe Systems Incorporated Distributed document version control
US7673062B2 (en) * 2003-11-18 2010-03-02 Yahoo! Inc. Method and apparatus for assisting with playback of remotely stored media files
US7643467B2 (en) * 2003-12-23 2010-01-05 Nortel Networks Limited Source-implemented constraint based routing with source routed protocol data units
US20050138350A1 (en) * 2003-12-23 2005-06-23 Hariharan Ravi S. Configurable secure FTP
US7761527B2 (en) * 2004-02-10 2010-07-20 Emc Corporation Method and apparatus for discovering network based distributed applications
US7680822B1 (en) * 2004-02-11 2010-03-16 Novell, Inc. Method and system for automatically creating and updating access controls lists
US8402269B2 (en) * 2004-02-24 2013-03-19 Softcamp Co., Ltd. System and method for controlling exit of saved data from security zone
KR100596135B1 (ko) * 2004-02-24 2006-07-03 소프트캠프(주) 가상 디스크를 이용한 응용 프로그램 별 접근통제시스템과 그 통제방법
US20050210525A1 (en) * 2004-03-22 2005-09-22 Microsoft Corporation Method and apparatus for maintaining state information
US7571232B2 (en) * 2004-03-22 2009-08-04 Microsoft Corporation Method and apparatus for managing channel information
US9934388B2 (en) * 2004-06-01 2018-04-03 Ben-Gurion University Of The Negev Research And Development Authority Method and system for database encryption
US7549171B2 (en) * 2004-06-10 2009-06-16 Hitachi, Ltd. Method and apparatus for validation of application data on a storage system
WO2006021943A1 (en) * 2004-08-09 2006-03-02 Nice Systems Ltd. Apparatus and method for multimedia content based
US7831642B1 (en) * 2004-09-30 2010-11-09 Symantec Operating Corporation Page cache management for a shared file
US7991783B2 (en) * 2004-10-05 2011-08-02 International Business Machines Corporation Apparatus, system, and method for supporting storage functions using an embedded database management system
US7805422B2 (en) 2005-02-28 2010-09-28 Microsoft Corporation Change notification query multiplexing
US7849512B2 (en) * 2005-03-21 2010-12-07 Fortressware, Inc. Method and system to create secure virtual project room
JP4684714B2 (ja) * 2005-03-31 2011-05-18 エヌ・ティ・ティ・ソフトウェア株式会社 ファイル管理システム、及びプログラム
US7519809B2 (en) * 2005-04-07 2009-04-14 International Business Machines Corporation Operating system-wide sandboxing via switchable user skins
US8627071B1 (en) * 2005-04-29 2014-01-07 Netapp, Inc. Insuring integrity of remote procedure calls used in a client and server storage system
US8516211B2 (en) 2005-06-17 2013-08-20 Flexera Software Llc Secure storage management system and method
US20070022091A1 (en) * 2005-07-20 2007-01-25 Scriptlogic Corporation Access based file system directory enumeration
US8832047B2 (en) 2005-07-27 2014-09-09 Adobe Systems Incorporated Distributed document version control
US8166547B2 (en) 2005-09-06 2012-04-24 Fortinet, Inc. Method, apparatus, signals, and medium for managing a transfer of data in a data network
US20070061870A1 (en) * 2005-09-15 2007-03-15 Annsheng Ting Method and system to provide secure data connection between creation points and use points
US8149866B2 (en) * 2005-10-14 2012-04-03 Dell Products L.P. System and method for filtering communications at a network interface controller
CN101341490B (zh) 2005-10-18 2011-08-10 意大利电信股份公司 控制文件系统存取的方法、相关的系统、sim卡以及在其中使用的计算机程序产品
US7694134B2 (en) * 2005-11-11 2010-04-06 Computer Associates Think, Inc. System and method for encrypting data without regard to application
US20080276302A1 (en) 2005-12-13 2008-11-06 Yoggie Security Systems Ltd. System and Method for Providing Data and Device Security Between External and Host Devices
US8869270B2 (en) 2008-03-26 2014-10-21 Cupp Computing As System and method for implementing content and network security inside a chip
US8381297B2 (en) 2005-12-13 2013-02-19 Yoggie Security Systems Ltd. System and method for providing network security to mobile devices
JP4661574B2 (ja) * 2005-12-14 2011-03-30 セイコーエプソン株式会社 組込機器、電子機器、組込機器の制御方法、制御プログラムおよび記録媒体
US7916750B2 (en) * 2005-12-28 2011-03-29 Intel Corporation Transaction layer packet compression
US8627490B2 (en) * 2005-12-29 2014-01-07 Nextlabs, Inc. Enforcing document control in an information management system
US9942271B2 (en) * 2005-12-29 2018-04-10 Nextlabs, Inc. Information management system with two or more interactive enforcement points
US8621549B2 (en) 2005-12-29 2013-12-31 Nextlabs, Inc. Enforcing control policies in an information management system
US8677499B2 (en) * 2005-12-29 2014-03-18 Nextlabs, Inc. Enforcing access control policies on servers in an information management system
US20070174571A1 (en) * 2006-01-25 2007-07-26 Safenet, Inc. Binding a protected application program to shell code
US8386768B2 (en) * 2006-02-08 2013-02-26 Safenet, Inc. High performance data encryption server and method for transparently encrypting/decrypting data
US8825728B2 (en) * 2006-06-15 2014-09-02 Microsoft Corporation Entering confidential information on an untrusted machine
US8694684B2 (en) * 2006-08-21 2014-04-08 Citrix Systems, Inc. Systems and methods of symmetric transport control protocol compression
US8130959B2 (en) 2006-09-07 2012-03-06 International Business Machines Corporation Rekeying encryption for removable storage media
US7962608B2 (en) * 2006-11-02 2011-06-14 Honeywell International Inc. Monitoring systems and methods that incorporate instant messaging
EP1956491B1 (en) 2006-11-07 2012-03-14 Hitachi Solutions, Ltd. Data processing control method, information processor, and data processing control system
US8321667B2 (en) * 2007-02-28 2012-11-27 Microsoft Corporation Security model for common multiplexed transactional logs
US8880889B1 (en) * 2007-03-02 2014-11-04 Citigroup Global Markets, Inc. Systems and methods for remote authorization of financial transactions using public key infrastructure (PKI)
US7818302B2 (en) * 2007-03-09 2010-10-19 Emc Corporation System and method for performing file system checks on an active file system
US8218761B2 (en) * 2007-04-06 2012-07-10 Oracle International Corporation Method and apparatus for generating random data-encryption keys
US8145903B2 (en) * 2007-05-25 2012-03-27 Red Hat, Inc. Method and system for a kernel lock validator
US8365272B2 (en) 2007-05-30 2013-01-29 Yoggie Security Systems Ltd. System and method for providing network and computer firewall protection with dynamic address isolation to a device
US8984620B2 (en) * 2007-07-06 2015-03-17 Cyberoam Technologies Pvt. Ltd. Identity and policy-based network security and management system and method
US10783232B2 (en) 2007-09-27 2020-09-22 Clevx, Llc Management system for self-encrypting managed devices with embedded wireless user authentication
US10778417B2 (en) 2007-09-27 2020-09-15 Clevx, Llc Self-encrypting module with embedded wireless user authentication
US10181055B2 (en) * 2007-09-27 2019-01-15 Clevx, Llc Data security system with encryption
US11190936B2 (en) * 2007-09-27 2021-11-30 Clevx, Llc Wireless authentication system
US8621605B2 (en) * 2007-10-09 2013-12-31 International Business Machines Corporation Method for reducing the time to diagnose the cause of unexpected changes to system files
US9195700B1 (en) 2007-10-10 2015-11-24 United Services Automobile Association (Usaa) Systems and methods for storing time-series data
US11226947B1 (en) 2007-10-10 2022-01-18 United Services Automobile Association (Usaa) Systems and methods for storing time-series data
US20090144545A1 (en) * 2007-11-29 2009-06-04 International Business Machines Corporation Computer system security using file system access pattern heuristics
SG154348A1 (en) * 2008-01-09 2009-08-28 Dallab S Pte Ltd Limiting access to file and folder on a storage device
US20090214044A1 (en) * 2008-02-21 2009-08-27 Hitachi, Ltd. Data archiving technique for encrypted data
US8261254B2 (en) 2008-03-31 2012-09-04 Symantec Corporation Dynamic insertion and removal of virtual software sub-layers
US8078577B2 (en) 2008-04-07 2011-12-13 Installfree, Inc. Method of bi-directional synchronization of user data
US8694798B2 (en) * 2008-05-22 2014-04-08 Red Hat, Inc. Generating and securing multiple archive keys
US8175268B2 (en) * 2008-05-22 2012-05-08 Red Hat, Inc. Generating and securing archive keys
US9100246B1 (en) * 2008-06-19 2015-08-04 Symantec Corporation Distributed application virtualization
US8387152B2 (en) * 2008-06-27 2013-02-26 Microsoft Corporation Attested content protection
US8631488B2 (en) 2008-08-04 2014-01-14 Cupp Computing As Systems and methods for providing security services during power management mode
US8108907B2 (en) * 2008-08-12 2012-01-31 International Business Machines Corporation Authentication of user database access
US8510352B2 (en) 2008-10-24 2013-08-13 Microsoft Corporation Virtualized boot block with discovery volume
US8789202B2 (en) 2008-11-19 2014-07-22 Cupp Computing As Systems and methods for providing real time access monitoring of a removable media device
US8819450B2 (en) 2008-11-25 2014-08-26 Dell Products L.P. System and method for providing data integrity
US8166067B2 (en) * 2008-12-26 2012-04-24 Sandisk Il Ltd. Method and apparatus for providing access to files based on user identity
US8239395B2 (en) * 2008-12-26 2012-08-07 Sandisk Il Ltd. Storage device presenting to hosts only files compatible with a defined host capability
US8943409B2 (en) * 2008-12-26 2015-01-27 Sandisk Il Ltd. Storage device managing playable content
US20100169395A1 (en) * 2008-12-26 2010-07-01 Sandisk Il Ltd. Device and method for filtering a file system
US8869289B2 (en) 2009-01-28 2014-10-21 Microsoft Corporation Software application verification
US8417969B2 (en) * 2009-02-19 2013-04-09 Microsoft Corporation Storage volume protection supporting legacy systems
US8073886B2 (en) 2009-02-20 2011-12-06 Microsoft Corporation Non-privileged access to data independent of filesystem implementation
US8521821B2 (en) * 2009-03-17 2013-08-27 Brigham Young University Encrypted email based upon trusted overlays
US8887242B2 (en) * 2009-04-14 2014-11-11 Fisher-Rosemount Systems, Inc. Methods and apparatus to provide layered security for interface access control
US9397981B2 (en) * 2009-04-20 2016-07-19 International Business Machines Corporation Method and system for secure document exchange
EP2425341B1 (en) 2009-05-01 2018-07-11 Citrix Systems, Inc. Systems and methods for establishing a cloud bridge between virtual storage resources
US8285682B2 (en) * 2009-05-11 2012-10-09 Novell, Inc Techniques for establishing a file system that exposes a virtual file system for backup operations
US9588803B2 (en) 2009-05-11 2017-03-07 Microsoft Technology Licensing, Llc Executing native-code applications in a browser
US8819399B1 (en) 2009-07-31 2014-08-26 Google Inc. Predicated control flow and store instructions for native code module security
US9369524B2 (en) * 2009-10-26 2016-06-14 Netapp, Inc. Simplified and unified management for network-attached storage
US20110126186A1 (en) * 2009-11-23 2011-05-26 Srinivasan Kattiganehalli Y Appliance maintenance in computing system environment
WO2011070571A1 (en) 2009-12-08 2011-06-16 Safend Ltd. System and method for secured backup of data
US8434095B2 (en) * 2009-12-22 2013-04-30 International Business Machines Corporation Microblogging based dynamic transaction tracking for composite application flow
US8601056B2 (en) * 2010-03-09 2013-12-03 Avistar Communications Corporation Scalable high-performance interactive real-time media architectures for virtual desktop environments
US8874526B2 (en) 2010-03-31 2014-10-28 Cloudera, Inc. Dynamically processing an event using an extensible data model
US9082127B2 (en) 2010-03-31 2015-07-14 Cloudera, Inc. Collecting and aggregating datasets for analysis
US9317572B2 (en) 2010-03-31 2016-04-19 Cloudera, Inc. Configuring a system to collect and aggregate datasets
US9081888B2 (en) 2010-03-31 2015-07-14 Cloudera, Inc. Collecting and aggregating log data with fault tolerance
CN101853363B (zh) * 2010-05-07 2012-08-08 飞天诚信科技股份有限公司 一种文件保护方法及系统
US8856534B2 (en) * 2010-05-21 2014-10-07 Intel Corporation Method and apparatus for secure scan of data storage device from remote server
US9110907B2 (en) * 2010-09-29 2015-08-18 International Business Machines Corporation Framework for extremely large complex objects (XLCOs)
CN101997912A (zh) * 2010-10-27 2011-03-30 苏州凌霄科技有限公司 基于Android平台的强制访问控制装置及控制方法
US8549113B2 (en) * 2011-01-27 2013-10-01 International Business Machines Corporation Transactional independent persister cloning system
US8667267B1 (en) 2011-01-31 2014-03-04 Gazzang, Inc. System and method for communicating with a key management system
US9116725B1 (en) 2011-03-15 2015-08-25 Symantec Corporation Systems and methods for using virtualization of operating-system-level components to facilitate software testing
US8880592B2 (en) 2011-03-31 2014-11-04 Cloudera, Inc. User interface implementation for partial display update
US11620719B2 (en) 2011-09-12 2023-04-04 Microsoft Technology Licensing, Llc Identifying unseen content of interest
US8862941B2 (en) 2011-09-16 2014-10-14 Tripwire, Inc. Methods and apparatus for remediation execution
US8819491B2 (en) 2011-09-16 2014-08-26 Tripwire, Inc. Methods and apparatus for remediation workflow
US20130073704A1 (en) * 2011-09-16 2013-03-21 Tripwire, Inc. Methods and apparatus for remediating policy test failures, including promoting changes for compliance review
US9256758B2 (en) * 2011-11-29 2016-02-09 Dell Products L.P. Mode sensitive encryption
US9122887B2 (en) 2012-01-06 2015-09-01 Mobile Iron, Inc. User interface for secure virtual document management system
US8863297B2 (en) * 2012-01-06 2014-10-14 Mobile Iron, Inc. Secure virtual file management system
US9128949B2 (en) 2012-01-18 2015-09-08 Cloudera, Inc. Memory allocation buffer for reduction of heap fragmentation
US9172608B2 (en) 2012-02-07 2015-10-27 Cloudera, Inc. Centralized configuration and monitoring of a distributed computing cluster
WO2013129987A1 (en) * 2012-03-02 2013-09-06 Business Security Ol Ab Electronic encryption device and method
US9405692B2 (en) 2012-03-21 2016-08-02 Cloudera, Inc. Data processing performance enhancement in a distributed file system
US9338008B1 (en) 2012-04-02 2016-05-10 Cloudera, Inc. System and method for secure release of secret information over a network
US9842126B2 (en) 2012-04-20 2017-12-12 Cloudera, Inc. Automatic repair of corrupt HBases
US9171178B1 (en) * 2012-05-14 2015-10-27 Symantec Corporation Systems and methods for optimizing security controls for virtual data centers
US9659183B2 (en) * 2012-06-18 2017-05-23 Honeywell International Inc. Pattern for secure store
US8707454B1 (en) 2012-07-16 2014-04-22 Wickr Inc. Multi party messaging
US9449178B2 (en) * 2012-07-24 2016-09-20 ID Insight System, method and computer product for fast and secure data searching
US9753954B2 (en) 2012-09-14 2017-09-05 Cloudera, Inc. Data node fencing in a distributed file system
US9973501B2 (en) 2012-10-09 2018-05-15 Cupp Computing As Transaction security systems and methods
US9881177B2 (en) 2013-02-13 2018-01-30 Security First Corp. Systems and methods for a cryptographic file system layer
EP2788891B1 (en) 2013-02-21 2017-09-27 Fastly Inc. Dynamic secure packet block sizing
US9342557B2 (en) 2013-03-13 2016-05-17 Cloudera, Inc. Low latency query engine for Apache Hadoop
US10567349B2 (en) 2013-06-25 2020-02-18 Wickr Inc. Secure time-to-live
US9866591B1 (en) 2013-06-25 2018-01-09 Wickr Inc. Enterprise messaging platform
US10129260B1 (en) 2013-06-25 2018-11-13 Wickr Inc. Mutual privacy management
US9830089B1 (en) 2013-06-25 2017-11-28 Wickr Inc. Digital data sanitization
KR20150000986A (ko) * 2013-06-26 2015-01-06 한국전자통신연구원 가상화 환경에서 실행 파일을 재구성하는 장치 및 그 방법
GB2515736A (en) * 2013-07-01 2015-01-07 Ibm Controlling access to one or more datasets of an operating system in use
US11157976B2 (en) 2013-07-08 2021-10-26 Cupp Computing As Systems and methods for providing digital content marketplace security
US9819436B2 (en) 2013-08-26 2017-11-14 Coriant Operations, Inc. Intranodal ROADM fiber management apparatuses, systems, and methods
US9185099B2 (en) 2013-09-23 2015-11-10 Airwatch Llc Securely authorizing access to remote resources
US9477731B2 (en) 2013-10-01 2016-10-25 Cloudera, Inc. Background format optimization for enhanced SQL-like queries in Hadoop
KR102133251B1 (ko) * 2013-10-23 2020-07-21 삼성전자주식회사 애플리케이션 프로그램 보호 방법 및 장치
US9934382B2 (en) 2013-10-28 2018-04-03 Cloudera, Inc. Virtual machine image encryption
US9690671B2 (en) 2013-11-01 2017-06-27 Cloudera, Inc. Manifest-based snapshots in distributed computing environments
US10515231B2 (en) * 2013-11-08 2019-12-24 Symcor Inc. Method of obfuscating relationships between data in database tables
US10070315B2 (en) 2013-11-26 2018-09-04 At&T Intellectual Property I, L.P. Security management on a mobile device
US10171635B2 (en) 2013-12-04 2019-01-01 Cloudera, Inc. Ensuring properly ordered events in a distributed computing environment
US9740870B1 (en) * 2013-12-05 2017-08-22 Amazon Technologies, Inc. Access control
US9762614B2 (en) 2014-02-13 2017-09-12 Cupp Computing As Systems and methods for providing network security using a secure digital device
US9698976B1 (en) 2014-02-24 2017-07-04 Wickr Inc. Key management and dynamic perfect forward secrecy
US9223966B1 (en) 2014-05-04 2015-12-29 Symantec Corporation Systems and methods for replicating computing system environments
JP5711840B1 (ja) * 2014-06-06 2015-05-07 豊田通商株式会社 リレーショナルデータベースを内在するカーネルプログラム、方法及び装置
US9584530B1 (en) 2014-06-27 2017-02-28 Wickr Inc. In-band identity verification and man-in-the-middle defense
US9628279B2 (en) * 2014-09-30 2017-04-18 Microsoft Technology Licensing, Llc Protecting application secrets from operating system attacks
US9747333B2 (en) 2014-10-08 2017-08-29 Cloudera, Inc. Querying operating system state on multiple machines declaratively
US9654288B1 (en) 2014-12-11 2017-05-16 Wickr Inc. Securing group communications
US10120904B2 (en) 2014-12-31 2018-11-06 Cloudera, Inc. Resource management in a distributed computing environment
EP3248360B1 (en) 2015-01-19 2020-05-06 Inauth, Inc. Systems and methods for trusted path secure communication
JP6529304B2 (ja) 2015-03-25 2019-06-12 株式会社日立ソリューションズ アクセス制御システム及びアクセス制御方法
US10892889B2 (en) * 2015-04-07 2021-01-12 Coleridge Enterprises Llc Systems and methods for an enhanced XOR cipher through extensions
US9875359B2 (en) * 2015-10-14 2018-01-23 Quanta Computer Inc. Security management for rack server system
US9584493B1 (en) 2015-12-18 2017-02-28 Wickr Inc. Decentralized authoritative messaging
US10291607B1 (en) 2016-02-02 2019-05-14 Wickr Inc. Providing real-time events to applications
WO2017156417A1 (en) * 2016-03-11 2017-09-14 Feng Youlin Systems and methods for data encryption and decryption
US9596079B1 (en) 2016-04-14 2017-03-14 Wickr Inc. Secure telecommunications
US9602477B1 (en) 2016-04-14 2017-03-21 Wickr Inc. Secure file transfer
CN105791316A (zh) * 2016-04-26 2016-07-20 浪潮电子信息产业股份有限公司 一种基于强制访问控制的Windows系统文件防护方法
KR102107277B1 (ko) * 2016-08-08 2020-05-06 (주)나무소프트 피싱 또는 랜섬웨어 공격을 차단하는 방법 및 시스템
US10079810B1 (en) * 2016-09-30 2018-09-18 EMC IP Holding Company LLC Decryption and analysis of network traffic using key material collected from endpoint devices of a computer network
US10372114B2 (en) * 2016-10-21 2019-08-06 Kla-Tencor Corporation Quantifying and reducing total measurement uncertainty
US20180137291A1 (en) * 2016-11-14 2018-05-17 Linkedin Corporation Securing files at rest in remote storage systems
US10558818B2 (en) * 2017-02-22 2020-02-11 Red Hat, Inc. Supporting security access controls in an overlay filesystem
KR102263357B1 (ko) * 2017-04-19 2021-06-11 한국전자통신연구원 분산 파일시스템 환경에서 사용자 수준 dma i/o를 지원하는 시스템 및 그 방법
CN107247907A (zh) * 2017-04-28 2017-10-13 国电南瑞科技股份有限公司 一种电动汽车互联互通信息安全防护系统
US10834081B2 (en) 2017-10-19 2020-11-10 International Business Machines Corporation Secure access management for tools within a secure environment
US10664619B1 (en) 2017-10-31 2020-05-26 EMC IP Holding Company LLC Automated agent for data copies verification
US10659483B1 (en) * 2017-10-31 2020-05-19 EMC IP Holding Company LLC Automated agent for data copies verification
EP3699787B1 (en) 2017-11-27 2022-02-16 Huawei Technologies Co., Ltd. Method for multi-terminal cooperative and secure working, and device
CN112398812A (zh) * 2017-11-27 2021-02-23 华为技术有限公司 多终端协同安全工作的方法和装置
US11301428B2 (en) * 2018-06-22 2022-04-12 Red Hat, Inc. Filesystem pass-through on lightweight virtual machine containers
EP3794444A4 (en) 2019-01-04 2022-01-12 Baidu.com Times Technology (Beijing) Co., Ltd. METHOD AND SYSTEM FOR THE PROTECTION OF DATA PROCESSED BY DATA PROCESSING ACCELERATORS
EP3811272B1 (en) 2019-01-04 2023-10-04 Baidu.com Times Technology (Beijing) Co., Ltd. Method and system for managing memory of data processing accelerators
US11233652B2 (en) 2019-01-04 2022-01-25 Baidu Usa Llc Method and system to derive a session key to secure an information exchange channel between a host system and a data processing accelerator
WO2020140257A1 (en) * 2019-01-04 2020-07-09 Baidu.Com Times Technology (Beijing) Co., Ltd. Method and system for validating kernel objects to be executed by a data processing accelerator of a host system
WO2020140267A1 (en) 2019-01-04 2020-07-09 Baidu.Com Times Technology (Beijing) Co., Ltd. A data processing accelerator having a local time unit to generate timestamps
JP6991431B2 (ja) 2019-01-04 2022-01-12 バイドゥドットコム タイムズ テクノロジー （ベイジン） カンパニー リミテッド ホストシステムとデータ処理アクセラレータの間の通信を保護するための方法およびシステム
WO2020140258A1 (en) 2019-01-04 2020-07-09 Baidu.Com Times Technology (Beijing) Co., Ltd. An attestation protocol between a host system and a data processing accelerator
US11616651B2 (en) 2019-01-04 2023-03-28 Baidu Usa Llc Method for establishing a secure information exchange channel between a host system and a data processing accelerator
US11374734B2 (en) * 2019-01-04 2022-06-28 Baidu Usa Llc Method and system for key distribution and exchange for data processing accelerators
EP3794772A4 (en) 2019-01-04 2021-12-29 Baidu.com Times Technology (Beijing) Co., Ltd. Data processing accelerator having security unit to provide root trust services
US11386207B2 (en) 2019-01-30 2022-07-12 EMC IP Holding Company LLC Metadata-based floating code signature generation for endpoint devices of a computer network
US11804955B1 (en) 2019-09-13 2023-10-31 Chol, Inc. Method and system for modulated waveform encryption
CN111310231A (zh) * 2020-02-17 2020-06-19 北京英赛虎信息技术有限责任公司 一种基于linux系统的文件安全应用管理方法及系统
US20220150241A1 (en) * 2020-11-11 2022-05-12 Hewlett Packard Enterprise Development Lp Permissions for backup-related operations
US20230351010A1 (en) * 2022-04-19 2023-11-02 Fort Robotics, Inc. Method for safety responses to security policy violations
CN115186300B (zh) * 2022-09-08 2023-01-06 粤港澳大湾区数字经济研究院(福田) 文件安全处理系统及文件安全处理方法

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1999014652A1 (en) * 1997-09-16 1999-03-25 Microsoft Corporation Encrypting file system and method
JPH11149414A (ja) * 1997-09-12 1999-06-02 Hitachi Software Eng Co Ltd データの保存方法およびシステム並びにデータ保存処理用記録媒体
JP2001337864A (ja) * 2000-03-22 2001-12-07 Hitachi Ltd アクセス制御システム
JP2002132730A (ja) * 2000-10-20 2002-05-10 Hitachi Ltd 個人情報の信頼度および開示度による認証またはアクセス管理システム、および管理方法
JP2002149494A (ja) * 2000-11-06 2002-05-24 Nippon Telegr & Teleph Corp <Ntt> アクセス制御方法およびアクセス制御装置および記録媒体
JP2002251326A (ja) * 2001-02-22 2002-09-06 Hitachi Ltd 耐タンパ計算機システム
JP2002251323A (ja) * 2001-02-21 2002-09-06 Hitachi Software Eng Co Ltd アクセス管理プログラム

Family Cites Families (133)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4423287A (en) 1981-06-26 1983-12-27 Visa U.S.A., Inc. End-to-end encryption system and method of operation
US4503287A (en) 1981-11-23 1985-03-05 Analytics, Inc. Two-tiered communication security employing asymmetric session keys
US4588991A (en) 1983-03-07 1986-05-13 Atalla Corporation File access security method and means
US4649233A (en) 1985-04-11 1987-03-10 International Business Machines Corporation Method for establishing user authenication with composite session keys among cryptographically communicating nodes
US5007082A (en) 1988-08-03 1991-04-09 Kelly Services, Inc. Computer software encryption apparatus
US5065429A (en) 1989-04-03 1991-11-12 Lang Gerald S Method and apparatus for protecting material on storage media
US5187790A (en) 1989-06-29 1993-02-16 Digital Equipment Corporation Server impersonation of client processes in an object based computer operating system
JP3143108B2 (ja) 1990-03-13 2001-03-07 株式会社日立製作所 ファイル暗号化方法およびファイル暗号システム
IL99923A0 (en) 1991-10-31 1992-08-18 Ibm Israel Method of operating a computer in a network
US5150407A (en) 1991-12-16 1992-09-22 Chan Steve S C Secured data storage devices
US5412717A (en) 1992-05-15 1995-05-02 Fischer; Addison M. Computer system security method and apparatus having program authorization information data structures
US5596718A (en) * 1992-07-10 1997-01-21 Secure Computing Corporation Secure computer network using trusted path subsystem which encrypts/decrypts and communicates with user through local workstation user I/O devices without utilizing workstation processor
US5235642A (en) 1992-07-21 1993-08-10 Digital Equipment Corporation Access control subsystem and method for distributed computer system using locally cached authentication credentials
JP2519390B2 (ja) 1992-09-11 1996-07-31 インターナショナル・ビジネス・マシーンズ・コーポレイション デ―タ通信方法及び装置
US5349642A (en) 1992-11-03 1994-09-20 Novell, Inc. Method and apparatus for authentication of client server communication
US5586260A (en) 1993-02-12 1996-12-17 Digital Equipment Corporation Method and apparatus for authenticating a client to a server in computer systems which support different security mechanisms
US5649099A (en) 1993-06-04 1997-07-15 Xerox Corporation Method for delegating access rights through executable access control program without delegating access rights not in a specification to any intermediary nor comprising server security
US5440635A (en) 1993-08-23 1995-08-08 At&T Corp. Cryptographic protocol for remote authentication
ES2149794T3 (es) 1993-09-24 2000-11-16 Siemens Ag Procedimiento para compensar la carga en un sistema multiprocesador.
US5584023A (en) * 1993-12-27 1996-12-10 Hsu; Mike S. C. Computer system including a transparent and secure file transform mechanism
US5453979A (en) 1994-01-27 1995-09-26 Dsc Communications Corporation Method and apparatus for generating route information for asynchronous transfer mode cell processing
US5495533A (en) * 1994-04-29 1996-02-27 International Business Machines Corporation Personal key archive
US5526414A (en) 1994-10-26 1996-06-11 Northern Telecom Limited Dynamically controlled routing using virtual nodes
US5701343A (en) 1994-12-01 1997-12-23 Nippon Telegraph & Telephone Corporation Method and system for digital information protection
US5550984A (en) 1994-12-07 1996-08-27 Matsushita Electric Corporation Of America Security system for preventing unauthorized communications between networks by translating communications received in ip protocol to non-ip protocol to remove address and routing services information
US5566170A (en) 1994-12-29 1996-10-15 Storage Technology Corporation Method and apparatus for accelerated packet forwarding
US5682478A (en) 1995-01-19 1997-10-28 Microsoft Corporation Method and apparatus for supporting multiple, simultaneous services over multiple, simultaneous connections between a client and network server
DE69637733D1 (de) 1995-02-13 2008-12-11 Intertrust Tech Corp Systeme und verfahren für ein sicheres übertragung
US5564106A (en) 1995-03-09 1996-10-08 Motorola, Inc. Method for providing blind access to an encryption key
JP2746189B2 (ja) * 1995-03-31 1998-04-28 日本電気株式会社 ファイルアクセス制御システム
US5774668A (en) 1995-06-07 1998-06-30 Microsoft Corporation System for on-line service in which gateway computer uses service map which includes loading condition of servers broadcasted by application servers for load balancing
US5956342A (en) 1995-07-19 1999-09-21 Fujitsu Network Communications, Inc. Priority arbitration for point-to-point and multipoint transmission
US6173306B1 (en) 1995-07-21 2001-01-09 Emc Corporation Dynamic load balancing
US5941947A (en) 1995-08-18 1999-08-24 Microsoft Corporation System and method for controlling access to data entities in a computer network
US5657390A (en) 1995-08-25 1997-08-12 Netscape Communications Corporation Secure socket layer application program apparatus and method
US5790800A (en) 1995-10-13 1998-08-04 Digital Equipment Corporation Client application program mobilizer
US5638448A (en) 1995-10-24 1997-06-10 Nguyen; Minhtam C. Network with secure communications sessions
US5680461A (en) 1995-10-26 1997-10-21 Sun Microsystems, Inc. Secure network protocol system and method
US6157649A (en) 1995-11-17 2000-12-05 3 Com Corporation Method and system for coordination and control of data streams that terminate at different termination units using virtual tunneling
US5720034A (en) 1995-12-07 1998-02-17 Case; Jeffrey D. Method for secure key production
US5602918A (en) 1995-12-22 1997-02-11 Virtual Open Network Environment Corp. Application level security system and method
US5819045A (en) 1995-12-29 1998-10-06 Intel Corporation Method for determining a networking capability index for each of a plurality of networked computers and load balancing the computer network using the networking capability indices
JPH09190236A (ja) 1996-01-10 1997-07-22 Canon Inc 情報処理方法及び装置及びシステム
US5862348A (en) 1996-02-09 1999-01-19 Citrix Systems, Inc. Method and apparatus for connecting a client node to a server node based on load levels
US5754791A (en) 1996-03-25 1998-05-19 I-Cube, Inc. Hierarchical address translation system for a network switch
US6282652B1 (en) 1998-02-26 2001-08-28 Sun Microsystems, Inc. System for separately designating security requirements for methods invoked on a computer
US5850446A (en) * 1996-06-17 1998-12-15 Verifone, Inc. System, method and article of manufacture for virtual point of sale processing utilizing an extensible, flexible architecture
US5822531A (en) 1996-07-22 1998-10-13 International Business Machines Corporation Method and system for dynamically reconfiguring a cluster of computer systems
US5872783A (en) 1996-07-24 1999-02-16 Cisco Systems, Inc. Arrangement for rendering forwarding decisions for packets transferred among network switches
US6061650A (en) 1996-09-10 2000-05-09 Nortel Networks Corporation Method and apparatus for transparently providing mobile network functionality
US5784463A (en) 1996-12-04 1998-07-21 V-One Corporation Token distribution, registration, and dynamic configuration of user entitlement for an application level security system and method
US5905725A (en) 1996-12-16 1999-05-18 Juniper Networks High speed switching device
US6078943A (en) 1997-02-07 2000-06-20 International Business Machines Corporation Method and apparatus for dynamic interval-based load balancing
US5940507A (en) 1997-02-11 1999-08-17 Connected Corporation Secure file archive through encryption key management
US6470389B1 (en) 1997-03-14 2002-10-22 Lucent Technologies Inc. Hosting a network service on a cluster of servers using a single-address image
US6104716A (en) 1997-03-28 2000-08-15 International Business Machines Corporation Method and apparatus for lightweight secure communication tunneling over the internet
WO1998050843A1 (en) * 1997-05-02 1998-11-12 Network Associates, Inc. Process-level data security system
US6351775B1 (en) 1997-05-30 2002-02-26 International Business Machines Corporation Loading balancing across servers in a computer network
US5974463A (en) 1997-06-09 1999-10-26 Compaq Computer Corporation Scaleable network system for remote access of a local network
US6292827B1 (en) * 1997-06-20 2001-09-18 Shore Technologies (1999) Inc. Information transfer systems and method with dynamic distribution of data, control and management of information
US6175924B1 (en) 1997-06-20 2001-01-16 International Business Machines Corp. Method and apparatus for protecting application data in secure storage areas
CA2295150A1 (en) * 1997-06-26 1999-01-07 Michael John Kenning Data communications
US6389535B1 (en) * 1997-06-30 2002-05-14 Microsoft Corporation Cryptographic protection of core data secrets
US5918074A (en) 1997-07-25 1999-06-29 Neonet Llc System architecture for and method of dual path data processing and management of packets and/or cells and the like
US6061796A (en) 1997-08-26 2000-05-09 V-One Corporation Multi-access virtual private network
US6038668A (en) 1997-09-08 2000-03-14 Science Applications International Corporation System, method, and medium for retrieving, organizing, and utilizing networked data
US6405315B1 (en) * 1997-09-11 2002-06-11 International Business Machines Corporation Decentralized remotely encrypted file system
US5931947A (en) 1997-09-11 1999-08-03 International Business Machines Corporation Secure array of remotely encrypted storage devices
US6252878B1 (en) 1997-10-30 2001-06-26 Cisco Technology, Inc. Switched architecture access server
US6052785A (en) 1997-11-21 2000-04-18 International Business Machines Corporation Multiple remote data access security mechanism for multitiered internet computer networks
US6246771B1 (en) 1997-11-26 2001-06-12 V-One Corporation Session key recovery system and method
US6202157B1 (en) 1997-12-08 2001-03-13 Entrust Technologies Limited Computer network security system and method having unilateral enforceable security policy provision
US6259699B1 (en) 1997-12-30 2001-07-10 Nexabit Networks, Llc System architecture for and method of processing packets and/or cells in a common switch
US6084969A (en) 1997-12-31 2000-07-04 V-One Corporation Key encryption system and method, pager unit, and pager proxy for a two-way alphanumeric pager network
US6226750B1 (en) 1998-01-20 2001-05-01 Proact Technologies Corp. Secure session tracking method and system for client-server environment
US6378072B1 (en) * 1998-02-03 2002-04-23 Compaq Computer Corporation Cryptographic system
CA2228687A1 (en) 1998-02-04 1999-08-04 Brett Howard Secured virtual private networks
FI980291A (fi) 1998-02-09 1999-08-10 Nokia Mobile Phones Ltd Liikkuva internetpääsy
US6160819A (en) 1998-02-19 2000-12-12 Gte Internetworking Incorporated Method and apparatus for multiplexing bytes over parallel communications links using data slices
US6457130B2 (en) * 1998-03-03 2002-09-24 Network Appliance, Inc. File access control in a multi-protocol file server
US6697846B1 (en) * 1998-03-20 2004-02-24 Dataplow, Inc. Shared file system
US6260155B1 (en) 1998-05-01 2001-07-10 Quad Research Network information server
US6493318B1 (en) 1998-05-04 2002-12-10 Hewlett-Packard Company Cost propagation switch protocols
US6185681B1 (en) * 1998-05-07 2001-02-06 Stephen Zizzi Method of transparent encryption and decryption for an electronic document management system
US6505300B2 (en) 1998-06-12 2003-01-07 Microsoft Corporation Method and system for secure running of untrusted content
US6157955A (en) 1998-06-15 2000-12-05 Intel Corporation Packet processing system including a policy engine having a classification unit
US6219790B1 (en) 1998-06-19 2001-04-17 Lucent Technologies Inc. Centralized authentication, authorization and accounting server with support for multiple transport protocols and multiple client types
US6253321B1 (en) 1998-06-19 2001-06-26 Ssh Communications Security Ltd. Method and arrangement for implementing IPSEC policy management using filter code
US6377577B1 (en) * 1998-06-30 2002-04-23 Cisco Technology, Inc. Access control list processing in hardware
US6195705B1 (en) 1998-06-30 2001-02-27 Cisco Technology, Inc. Mobile IP mobility agent standby protocol
US6263445B1 (en) * 1998-06-30 2001-07-17 Emc Corporation Method and apparatus for authenticating connections to a storage system coupled to a network
US6078960A (en) 1998-07-03 2000-06-20 Acceleration Software International Corporation Client-side load-balancing in client server network
CA2244626A1 (en) * 1998-07-31 2000-01-31 Kom Inc. A hardware and software system
US6304973B1 (en) * 1998-08-06 2001-10-16 Cryptek Secure Communications, Llc Multi-level security network system
US6185684B1 (en) 1998-08-28 2001-02-06 Adobe Systems, Inc. Secured document access control using recipient lists
US6327622B1 (en) 1998-09-03 2001-12-04 Sun Microsystems, Inc. Load balancing in a network environment
US6502192B1 (en) 1998-09-03 2002-12-31 Cisco Technology, Inc. Security between client and server in a computer network
US6438612B1 (en) 1998-09-11 2002-08-20 Ssh Communications Security, Ltd. Method and arrangement for secure tunneling of data between virtual routers
US6266705B1 (en) 1998-09-29 2001-07-24 Cisco Systems, Inc. Look up mechanism and associated hash table for a network switch
US6438652B1 (en) 1998-10-09 2002-08-20 International Business Machines Corporation Load balancing cooperating cache servers by shifting forwarded request
US6330677B1 (en) * 1998-10-27 2001-12-11 Sprint Communications Company, L. P. Object-based security system
US6519636B2 (en) 1998-10-28 2003-02-11 International Business Machines Corporation Efficient classification, manipulation, and control of network transmissions by associating network flows with rule based functions
US6424621B1 (en) 1998-11-17 2002-07-23 Sun Microsystems, Inc. Software interface between switching module and operating system of a data packet switching and load balancing system
US6272522B1 (en) 1998-11-17 2001-08-07 Sun Microsystems, Incorporated Computer data packet switching and load balancing system using a general-purpose multiprocessor architecture
US6006259A (en) 1998-11-20 1999-12-21 Network Alchemy, Inc. Method and apparatus for an internet protocol (IP) network clustering system
US6199077B1 (en) 1998-12-08 2001-03-06 Yodlee.Com, Inc. Server-side web summary generation and presentation
US6499110B1 (en) 1998-12-23 2002-12-24 Entrust Technologies Limited Method and apparatus for facilitating information security policy control on a per security engine user basis
US6442608B1 (en) 1999-01-14 2002-08-27 Cisco Technology, Inc. Distributed database system with authoritative node
US6542992B1 (en) 1999-01-26 2003-04-01 3Com Corporation Control and coordination of encryption and compression between network entities
US6560217B1 (en) 1999-02-25 2003-05-06 3Com Corporation Virtual home agent service using software-replicated home agents
US6480861B1 (en) 1999-02-26 2002-11-12 Merrill Lynch, Co., Inc Distributed adaptive computing
US6505254B1 (en) 1999-04-19 2003-01-07 Cisco Technology, Inc. Methods and apparatus for routing requests in a network
US6529950B1 (en) 1999-06-17 2003-03-04 International Business Machines Corporation Policy-based multivariate application-level QoS negotiation for multimedia services
US6845395B1 (en) * 1999-06-30 2005-01-18 Emc Corporation Method and apparatus for identifying network devices on a storage network
US6584508B1 (en) 1999-07-13 2003-06-24 Networks Associates Technology, Inc. Advanced data guard having independently wrapped components
US6286104B1 (en) * 1999-08-04 2001-09-04 Oracle Corporation Authentication and authorization in a multi-tier relational database management system
US6647400B1 (en) * 1999-08-30 2003-11-11 Symantec Corporation System and method for analyzing filesystems to detect intrusions
US6665666B1 (en) * 1999-10-26 2003-12-16 International Business Machines Corporation System, method and program product for answering questions using a search engine
KR100319256B1 (ko) * 1999-12-30 2002-01-05 서평원 통신 프로토콜 운용 방법
US6493341B1 (en) 1999-12-31 2002-12-10 Ragula Systems Combining routers to increase concurrency and redundancy in external network access
US6539483B1 (en) 2000-01-12 2003-03-25 International Business Machines Corporation System and method for generation VPN network policies
US6564228B1 (en) * 2000-01-14 2003-05-13 Sun Microsystems, Inc. Method of enabling heterogeneous platforms to utilize a universal file system in a storage area network
US6662228B1 (en) * 2000-02-01 2003-12-09 Sun Microsystems, Inc. Internet server authentication client
US6354886B1 (en) 2000-09-08 2002-03-12 Advanced Connecteck Inc. Electrical connector
US7103915B2 (en) * 2000-11-13 2006-09-05 Digital Doors, Inc. Data security system and method
US7660902B2 (en) * 2000-11-20 2010-02-09 Rsa Security, Inc. Dynamic file access control and management
US6671773B2 (en) * 2000-12-07 2003-12-30 Spinnaker Networks, Llc Method and system for responding to file system requests
US7437429B2 (en) * 2001-02-13 2008-10-14 Microsoft Corporation System and method for providing transparent access to distributed authoring and versioning files including encrypted files
US6910041B2 (en) * 2001-08-23 2005-06-21 International Business Machines Corporation Authorization model for administration
US7167982B2 (en) * 2001-09-14 2007-01-23 Lenovo (Singapore) Pte Ltd. Securing decrypted files in a shared environment
US20030112977A1 (en) * 2001-12-18 2003-06-19 Dipankar Ray Communicating data securely within a mobile communications network
US7614077B2 (en) * 2002-04-10 2009-11-03 International Business Machines Corporation Persistent access control of protected content
US6678828B1 (en) * 2002-07-22 2004-01-13 Vormetric, Inc. Secure network file access control system

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11149414A (ja) * 1997-09-12 1999-06-02 Hitachi Software Eng Co Ltd データの保存方法およびシステム並びにデータ保存処理用記録媒体
WO1999014652A1 (en) * 1997-09-16 1999-03-25 Microsoft Corporation Encrypting file system and method
JP2001337864A (ja) * 2000-03-22 2001-12-07 Hitachi Ltd アクセス制御システム
JP2002132730A (ja) * 2000-10-20 2002-05-10 Hitachi Ltd 個人情報の信頼度および開示度による認証またはアクセス管理システム、および管理方法
JP2002149494A (ja) * 2000-11-06 2002-05-24 Nippon Telegr & Teleph Corp <Ntt> アクセス制御方法およびアクセス制御装置および記録媒体
JP2002251323A (ja) * 2001-02-21 2002-09-06 Hitachi Software Eng Co Ltd アクセス管理プログラム
JP2002251326A (ja) * 2001-02-22 2002-09-06 Hitachi Ltd 耐タンパ計算機システム

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7209293B2 (ja) 2019-05-17 2023-01-20 三菱重工機械システム株式会社 加速空洞

Also Published As

Publication number Publication date
EP1552643A2 (en) 2005-07-13
EP1552643A4 (en) 2010-12-01
US7565532B2 (en) 2009-07-21
WO2004036350A3 (en) 2004-06-17
AU2003279767A8 (en) 2004-05-04
AU2003279767A1 (en) 2004-05-04
US20040078568A1 (en) 2004-04-22
WO2004036350A2 (en) 2004-04-29
JP2006503369A (ja) 2006-01-26
US20070050620A1 (en) 2007-03-01
US7143288B2 (en) 2006-11-28

Similar Documents

Publication Publication Date Title
JP4896400B2 (ja) セキュアなファイルシステムサーバーのアーキテクチャ及び方法
JP5067771B2 (ja) セキュアネットワークファイルアクセス制御システム
US6931530B2 (en) Secure network file access controller implementing access control and auditing
US20040015724A1 (en) Logical access block processing protocol for transparent secure file storage
US8335915B2 (en) Encryption based security system for network storage
US9619632B2 (en) System for providing session-based network privacy, private, persistent storage, and discretionary access control for sharing private data
JP6118778B2 (ja) 移動中のデータをセキュア化するためのシステムおよび方法
US8601498B2 (en) Accelerator system for use with secure data storage
CA2807972A1 (en) Systems and methods for secure multi-tenant data storage
CA2808488A1 (en) Systems and methods for securing virtual machine computing environments
CA2922200A1 (en) Secure data parser method and system
WO2002093314A2 (en) Encryption based security system for network storage
WO2002095545A2 (en) System and method for secure and private communication
AU2014271233B2 (en) Method and apparatus for securely storing and retrieving data
Lin A firewall approach to personal knowledge system

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20061002

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20100412

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20100712

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20100720

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20101012

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110425

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20110725

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20110801

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20111025

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20111121

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20111221

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20150106

Year of fee payment: 3

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

LAPS Cancellation because of no payment of annual fees