JP4975779B2 - ユーザアクセスマネージャとのインターフェースを行う機構 - Google Patents

Description

本発明は、コンピュータシステムのユーザアクセスを管理する方法および機構に関し、特に、ユーザアクセスマネージャとのインターフェースを行う機構に関する。

従来、コンピュータシステムのセキュリティ問題は、異なるユーザが同じシステムを通常使用する場合に、システムの様々な部分への当該異なるユーザによるアクセスを管理する課題まで拡大している。たとえば、小規模のビジネス設定において、システムのある部分についてサポートスタッフへのアクセスを禁止し、所有者のみがアクセスできるようにしなければいけないこともある。

かかる課題は、オペレーティングシステムレベル、たとえば、小規模のビジネスサーバを使用する場合について長い間取り組まれてきた。ビジネスに関わる各個人はユーザ名とパスワードを有し、それによって１つ以上の所定のユーザ名によりシステムの多くの部分へさらにアクセスすることが可能になる。しかしながら、単一のマシン（たとえば、サーバなどの外部エンティティへの接続に関わらず単一のデスクトップやラップトップコンピュータ）のレベルでそのようなアクセスを管理することは長い間実現していなかった。

最近、しかしながら、インテルが、マシンで動作するオペレーティングシステムに関わらず、ユーザ毎にマシンのアクセスを制御するように構成されている「ＤＡＮＢＵＲＹ」アーキテクチャを開発した。このアクセスはＢＩＯＳレベルで制御され、したがって本質的にマシンに配線（Ｈａｒｄ−Ｗｉｒｅｄ）によって組み込まれている。

このアーキテクチャの１つの利点として、現在理解しているところでは、従来のｆｕｌｌ ｄｉｓｋ ｅｎｃｒｙｐｔｉｏｎ（ＦＤＥ）を超える特長のレベルにある。特に、従来のＦＤＥは単にディスク上で動作するものであったので、ディスク（たとえば、ケーブルを介して）へ送るデータが暗号化されていないこともあるが、「ＤＡＮＢＵＲＹ」はコンピュータマザーボード上に暗号化エンジンを配置するので、ディスクへ送るデータは既に暗号化されている。

Ａ Ｍｅｔｈｏｄ ｏｆ Ｓｅｃｕｒｅ Ｍａｎａｇｅｄ Ｓｅｃｕｒｅ Ｃｌｉｅｎｔ ＰＣ、」ＩＰ．ｃｏｍ Ｐｒｉｏｒ Ａｒｔ Ｄａｔａｂａｓｅ（ｗｗｗ．ｉｐ．ｃｏｍ）、ＩＰ．ｃｏｍ ｎｕｍｂｅｒ ＩＰＣＯＭ０００１３８２４８Ｄ

また、テキストベースのパスワードをユーザが入力することで、そのアーキテクチャが、（表面上は所定の基準や設定に基づいて）各ユーザのアクセス対象を制御することができるようになる。しかしながら、そのアーキテクチャは、テキストベースのアクセスのみを許可するようにかなり限定されているように思われる。

これは、テキストベースのアクセスが必ずしも、システムへの唯一の所望のアクセスモードを表すものでない場合に問題になる。これはまた、たとえば、本質的にユーザアクセスを制御するように構成されたアーキテクチャ（「ＤＡＮＢＵＲＹ」または他のアーキテクチャ）ならどれでも、それに直面したときに更に大きな問題になるものであり、システムは、そのようなアクセスの影響について厳しく限定され得る。たとえば、システムをテキストベースのアクセスのみに制限することで、設計されていたはずの自由度と汎用性をシステムから大きく奪うことになっている。

したがって、そのような課題に取り組むことに関して、強い必要性が認識される。

本発明の少なくとも現在の好ましい一実施形態によると、広く検討しているのは、テキストベースのアクセス以外のアクセスで「ＤＡＮＢＵＲＹ」などのアーキテクチャを使用することができる機構である。特に本明細書で検討しているのは、バイオメトリック識別子などの代わりのユーザ識別子を、たとえば「ＤＡＮＢＵＲＹ」などのユーザ記述アーキテクチャで使用できるようにする機構である。

特に広い意味で、本明細書で検討しているのは、ユーザ識別子を受け付けて、次いで中間のユーザ記述アーキテクチャ（すなわち、特定ユーザについて、暗号化されたデータやコンピュータの部分へのアクセスを許可するように構成されたアーキテクチャ）に連絡し、ユーザ記述アーキテクチャが、それがどういうアーキテクチャであれ、データやコンピュータの部分をロック解除するタスクを実行できるようにする機構である。したがって、ユーザ記述アーキテクチャは、本発明の少なくとも１つの実施形態による機構が、適切に仲介して「ブラックボックス（Ｂｌａｃｋ Ｂｏｘ）」にその所定の動作を実行させるように構成された「ブラックボックス」と考えることができる。本発明の現在の少なくとも１つの好ましい実施形態によれば、「ブラックボックス」を適切に起動させるための１つ以上の好適なクレデンシャルが提供される。

要するに、本発明の一態様は、ユーザ識別入力を受け付けるステップと、ユーザ識別入力を受け付けた場合に、復号鍵を開放するステップと、前記復号鍵を、ユーザのシステムアクセスを管理するアーキテクチャに入力するためのクレデンシャルに変換するステップと、を備える方法である。

本発明の他の態様は、主メモリと、当該主メモリにアクセス可能に構成されており、ユーザ識別入力を受け付け、ユーザ識別入力に応じて復号鍵を開放するＢＩＯＳと、前記復号鍵を、ユーザのシステムアクセスを管理するアーキテクチャに入力するためのクレデンシャルに変換するコンバータと、を備える装置である。

本発明のさらに他の態様は、コンピュータが実行可能なプログラムであって、ユーザ識別入力を受け付けるステップと、ユーザ識別入力を受け付けた場合に、復号鍵を開放するステップと、前記復号鍵を、ユーザのシステムアクセスを管理するアーキテクチャに入力するためのクレデンシャルに変換するステップと、をコンピュータに実行させるプログラムである。

追加要素を備えたコンピュータシステムを示す概略図である。 ユーザログインを受け付け、それにより「ブラックボックス」アーキテクチャを動作させる３つの機構を示す概略図である。

本発明を他の更なる特長や利点とともによりよく理解するために、添付の図面と併せて以下の説明を参照することとする。

本発明の構成要素は、本明細書の図面に一般に示してあるが、様々な構成で広く多様に配置し設計してもよいことは容易に理解できる。したがって、本発明の装置、システムおよび方法の実施形態についての以下のより詳細な説明は、図１および図２に示すように、特許請求の範囲に示す本発明の範囲を限定するものではなく、単に本発明の選択した実施形態を示すものである。

本明細書を通じて「１つの実施形態」や「一実施形態」（など）との言及は、その実施形態と併せて説明する特定の特長、構成または特徴が、本発明の少なくとも１つの実施形態に含まれることを意味するものである。したがって、本明細書の様々な箇所に現れる「１つの実施形態において」や「一実施形態において」の句は必ずしも全てが同じ実施形態を示すものではない。

さらに、説明する特長、構成または特徴は１つ以上の実施形態において適切に組み合わせることができる。以下の説明では、本発明の実施形態を完全に理解してもらうために、たとえば、プログラミング、ソフトウェアモジュール、ユーザ選択、ネットワークトランザクション、データベースクエリ、データベース構造、ハードウェアモジュール、ハードウェア回路、ハードウェアチップ等、多くの特定の細目を挙げている。しかしながら、当業者は、特定の細目の１つ以上が無くても、または他の方法、部品、材料でも本発明を実現できることは理解できる。他の例では、周知の構造、材料または動作を詳細に示さず、本発明の態様を曖昧にすることを避けている。

本発明の図示した実施形態は、図面を参照することによりよく理解できる。また、全体を通して、同じ箇所には同じ参照番号または符号を用いて示している。以下の説明は例に過ぎず、本明細書の特許請求の範囲に示す本発明と矛盾無く装置、システムおよび方法についての選択した実施形態を単に示すものである。

図１は、コンピュータシステム１２を説明する一実施形態のブロック図を示す。図１に示した実施形態は、たとえば、ノースキャロライナ州モリスビルのＬｅｎｏｖｏ（アメリカ合衆国）が販売しているパーソナルコンピュータのＴｈｉｎｋＰａｄ（登録商標）の１つなど、ノートブック型のコンピュータシステムとすることもできる。しかしながら、以下の説明より明らかであるが、本発明はどのデータ処理システムにも適用することができる。本明細書においてノートブック型コンピュータを、代わりに、「ノートブック」、「ラップトップ」、「ラップトップコンピュータ」または「モバイルコンピュータ」と呼ぶが、これらの用語は基本的に互換性があるものであると理解すべきである。

図１に示すように、コンピュータシステム１２は、少なくとも１つのシステムプロセッサ４２を備え、システムプロセッサ４２には、ＲＯＭ（リードオンリーメモリ）４０とシステムメモリ４６がプロセッサバス４４を介して接続されている。システムプロセッサ４２は、ＡＭＤ Ｃｏｒｐｏｒａｔｉｏｎが製造するＡＭＤ（登録商標）プロセッサやＩｎｔｅｌ Ｃｏｒｐｏｒａｔｉｏｎが製造するプロセッサの１つを備えることができ、電源を入れるとＲＯＭ４０に保存されているブートコード４１を実行し、その後システムメモリ４６に保存されているオペレーティングシステムやアプリケーションソフトウェアに基づきデータを処理する汎用のプロセッサである。システムプロセッサ４２は、プロセッサバス４４とホストブリッジ４８を介してＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）ローカルバス５０に接続されている。

ＰＣＩローカルバス５０は、アダプタやブリッジを含む複数のデバイスの接続をサポートするためのものである。これらのデバイスにおいて、ネットワークアダプタ６６はコンピュータシステム１２をＬＡＮに接続させるものであり、グラフィックアダプタ６８はコンピュータシステム１２をディスプレイ６９に接続させるためのものである。ＰＣＩローカルバス５０上の通信は、ローカルＰＣＩコントローラ５２が制御しており、このローカルＰＣＩコントローラ５２は、不揮発性ランダムアクセスメモリ（ＮＶＲＡＭ）５６にメモリバス５４を介して接続されている。ローカルＰＣＩコントローラ５２は第２のホストブリッジ６０を介して更なるバスやデバイスに接続することができる。

コンピュータシステム１２には、さらに、ＩＳＡ（業界標準アーキテクチャ）バス６２が含まれ、ＩＳＡバス６２は、ＩＳＡブリッジ６４を介してＰＣＩローカルバスに接続されている。ＩＳＡバス６２には、入出力（Ｉ／Ｏ）コントローラ７０が接続されており、入出力（Ｉ／Ｏ）コントローラ７０は、コンピュータシステム１２と付属の周辺デバイス、たとえばキーボードやマウスなどとの間の通信を制御している。さらに、Ｉ／Ｏコントローラ７０は、シリアルポート、そしてパラレルポートを介してコンピュータシステム１２の外部通信もサポートしている。ディスクコントローラ７２は、ディスクドライブ２００と通信している。もちろん、システム１２は様々なチップセットや別のバス構造、他のあらゆる適切や代替部品を備えて、上述と同程度または類似の機能を提供できるものでもよいことを理解されたい。

符号８６は、ＢＩＯＳ（ベーシック入出力システム）を示しており、本発明の現在の好ましい実施形態の少なくとも１つのＢＩＯＳ８６の機能は、以下の説明からよりよく理解される。

従来公知のように、ＢＩＯＳ８６に関連付けられるのは、メモリ８６ａ（たとえば、フラッシュメモリ）であり、本発明の少なくとも１つの好ましい実施形態において、さらに、ログインマネージャ８６ｂという態様のソフトウェア論理アーキテクチャである。ログインマネージャ８６ｂは、好ましくは、１つ以上のタイプのユーザログインを処理するものであり、その詳細は後述でより理解される。また、好ましくは、ＢＩＯＳ８６は、バイオメトリック入力８６ｃという媒体の態様のソフトウェア論理アーキテクチャが関連付けられる。バイオメトリック入力８６ｃもまた後述でより理解されるが、それには、説明のための非限定的な例として、指紋読取装置を含めることができる（指紋読取装置自体は、たとえば、取り付けられた別の部品によって、またはマシンの包括システム１２との動作や機能上の通信によって読取装置８６ｃに提供された指紋画像を処理するソフトウェアである）。同じく図示しているのが、「ブラックボックス」同期ボールト（”ＢＬＡＣＫ ＢＯＸ”ＳＹＮＣ ＶＡＵＬＴ）９２である。「ブラックボックス」同期ボールト９２は「ＤＡＮＢＵＲＹ」などのユーザ記述アーキテクチャとのインターフェースを行うために構成され、同期ボールトの説明は後述でより理解される。好ましくは、同期ボールト９２は、直接、機能的にＢＩＯＳ８６に組み込まれており、たとえば、ＢＩＯＳメモリ８６ａにあるか、ＢＩＯＳメモリ８６ａに機能的に連結されている。

上述のとおり、本発明の現在の少なくとも１つの実施形態において、広く本明細書で検討されているのが、テキストベースのアクセス以外に「ＤＡＮＢＵＲＹ」などのアーキテクチャを使用できるようにするための機構である。特に、本明細書で検討しているのは、「ＤＡＮＢＵＲＹ」などのユーザ記述アーキテクチャにおいて、バイオメトリック識別子などの別のユーザ識別子の使用を可能にする機構である。

特に広い意味において、本明細書で検討しているのは、ユーザの識別子を受け付け、次いで中間ユーザ記述アーキテクチャ（すなわち、特定ユーザについて、暗号化されたデータやコンピュータの部分へのアクセスを許可するように構成されたアーキテクチャ）に連絡し、ユーザ記述アーキテクチャが、それがどういうアーキテクチャであれ、データやコンピュータの部分をロック解除するタスクを実行できるようにするための仕組みである。したがって、ユーザ記述アーキテクチャは、本発明における少なくとも１つの実施形態による機構が、「ブラックボックス」を起動してその所定の動作を実行するように適切にインターフェィスを行うように構成された「ブラックボックス」と考えることができる。本発明の現在の少なくとも１つの好ましい実施形態によると、「ブラックボックス」を適切に動作させる１つ以上の適当なクレデンシャル（ｃｒｅｄｅｎｔｉａｌ：証明）が提供される。

現在検討しているように、「ブラックボックス」をロック解除するための機構を少なくとも３つ使用することができる。第１の機構では、バイオメトリックまたは他の非テキストベースのユーザ識別子が入力となり、結果として、「ブラックボックス」を起動して、該当のユーザにとって所定の基準に応じてコンピュータ部分やデータを復号化するようにクレデンシャルが「ブラックボックス」に提供される。第２の機構では、以下詳述する方法でＣＭＰパスワード（ｃｅｎｔｒａｌｉｚｅｄ ｍａｎａｇｅｄ ｐａｓｓｗｏｒｄ）を使用する。最後に、第３の機構では、ユーザが、従来のパスワード入力の方法と表面的に同じように（少なくともユーザに見えるように）実際にパスワードを入力するが、以下でより理解されるように、直接「同期ボールト（ｓｙｎｃ Ｖａｕｌｔ）」に入力され、ユーザ記述アーキテクチャ「ブラックボックス」を起動させるようにする。ここで提示したこれら３つの機構は、説明のための非限定的な例であり、個々にまたは組み合わせてシステムで実現することができる。

図２は、例示を目的として、上記３つの機構を全て備えた構成を概略的に示す図である。２つの異なるブラックボックス同期ボールト、すなわち、指紋同期ボールト９２ａとＣＭＰ同期ボールト９２ｂが示されている。同期ボールト９２ａ、９２ｂはそれぞれ、システムへのユーザアクセスとブラックボックス（たとえば、「ＤＡＮＢＵＲＹ」）との間の中間リンクとして機能するものであり、ユーザのデータやシステムの他の箇所へのアクセス管理するように構成されている。例として、ＣＭＰ同期ボールト９２ｂは、ユーザパスワード入力２０５ａまたはＣＭＰ入力２０５ｂの両方または何れかを（両方ともログインマネージャ８６ｂを介して）受け付けるために構成されているように示されている。しかし、いずれの入力モードも独立してそれぞれ専用の同期ボールトに入力することにしてもよい。さらに、システムは、ブラックボックスインターフェースのための同期ボールト（たとえば、指紋、ユーザパスワード、またはＣＭＰ同期ボールト）を含むことができ、または、２つ以上の同期ボールトを含むことができ、それぞれが１つ以上のユーザ入力（たとえば、指紋、ユーザパスワード、またはＣＭＰ同期ボールト）を処理するように構成することができることを理解すべきである。さらに、指紋を処理するための機構として、代わりに他のタイプのユーザベースのバイオメトリック入力（たとえば、虹彩読取装置、音声認識、顔認識）を処理するように構成することができることを理解すべきである。スマートカードリーダを使用してユーザを認証することもできる。したがって、本明細書で広く検討しているのは、本発明の少なくとも１つの実施形態に基づいて、非常に多様に考えられる生体または非生体的なユーザ入力方法であり、本明細書で具体的に取り組んでいるものに限定されるものではないことを理解すべきである。

図２の左側を参照して、バイオメトリック（生体）ユーザ入力に関して最初に説明する。再び、指紋認証を説明のために限定的に非説明的な例として使用するが、無論、本質的にはどの適切なバイオメトリック入力も使用可能であることを理解すべきである。

指紋読取装置８６ｃ（図１のバイオメトリック入力８６ｃの例）は、好ましくは、ユーザの指紋画像に関連するデータを受け付ける。モジュール２０２（好ましくは、ＢＩＯＳ８６と連結される。図１参照）は、好ましくは、次に、指紋画像とユーザを照合し（一致するユーザがいると仮定する）、ブラックボックス同期ボールト９２ａをロック解除するための「最初のクレデンシャル」（ｉｎｉｔｉａｌ ｃｒｅｄｅｎｔｉａｌ）を示す「ロック解除指紋鍵」を解放する。特に、所定のユーザに解放されたその鍵は、ユーザに所定のレベルまたは程度のシステムへのアクセスを与えるためのクレデンシャルとなる。このクレデンシャルは、ブラックボックスアーキテクチャ（たとえば、「ＤＡＮＢＵＲＹ」）が最終的にシステムアクセスを与えるための実際のタスクを実行することができるように同期ボールト９２ａで処理される。このクレデンシャルは、ユーザがアクセスをあらかじめ許可されたシステムの部分を復号化する最終目的を果たす復号鍵と考えることができる一方、同期ボールト９２ｂは、本質的に、所定のタスクを実行するブラックボックスアーキテクチャを起動するインターフェースつまり「ｇｏ−ｂｅｔｗｅｅｎ」となり、それ以外の場合、ブラックボックスアーキテクチャに関連する専用のテキストベースのパスワードでのみ達成できることになる。換言すると、そのクレデンシャルが示すその復号鍵は実際に、ユーザが同期ボールト９２ａを復号化するのに使用され、次いで、ブラックボックスアーキテクチャを起動して専用の復号化タスクを実行することができるようにする。本発明の実施形態によると非常に広範囲の指紋読取装置を使用することができるが、図示した例では、カリフォルニア州エメリーヴィルのＵＰＥＫ．Ｉｎｃ．製造の指紋読取装置を含むものとすることができる（ｗｗｗ．ｔｏｕｃｈｃｈｉｐ．ｃｏｍ参照）。

図２は、好ましくは同期ボールト９２ａが、ユーザの指紋鍵を受け付け、ついでこれらを使用して所定のユーザに関する好適な最終クレデンシャルを解放するためのルックアップスキームを備える例を概略的に示す。この最終的なクレデンシャルは、ブラックボックスアーキテクチャに、対象となるユーザのため、復号化されたシステムの領域を通知する役割を果たす。より端的に言えば、その最終クレデンシャルは、本質的にはブラックボックスアーキテクチャが通常使用するパスワード（または他のユーザ識別）スキームならどれでも同等であるとしてブラックボックスアーキテクチャにより受け付けられる。言い換えれば、同期ボールト９２ａは、本質的に対象となるシステム特有のユーザ固有識別の１つのタイプを受け付け、それを、それ自体ユーザにシステムの所定の箇所へのアクセスを許可する「門番」であるブラックボックスアーキテクチャ特有のユーザ固有識別の他のタイプに変換する変換モジュールとして機能する。

図２の左側の例に示すように、好ましくは同期ボールト９２ａのルックアップスキームが、以下（示されているように）の動作を行うようにする。
−ユーザ１、２、…Ｎの指紋インジケータ（識別子）を受け付け、
−ブラックボックスアーキテクチャに関連付けられた予め設定されたユーザＩＤを参照し、
−共通フラグを出力し、
−「ロック解除鍵Ｂｌｏｂ」を出力する。
本質的に、所定のユーザに対するロック解除鍵Ｂｌｏｂは、ブラックボックスアーキテクチャがその専用のタスクを適切にユーザのために実行するのに十分な「最終クレデンシャル」となる。また、この「最終クレデンシャル」は本質的には、パスワードまたは通常ブラックボックスアーキテクチャが使用する他のユーザ識別子と同等と考えることができる。

好ましくは、共有フラグを、たとえば２人以上のユーザ（または、１人のユーザの２本以上の指）をボールト９２ａへの共通入力として予定している場合にはインジケータとして使用することもできる。したがって、好ましくは、その共有フラグは、ＢＩＯＳ８６にそれ自体をシステムへのユニバーサルな共通の入力（または、鍵）として使用するように警告してもよい。

図２の右側の図については、（上述の通り）ＣＭＰログインとユーザパスワードベースのログイン（それぞれ、２０５ｂおよび２０５ａ）を伝達する。それらはいずれかが、または組み合わせて少なくともログインマネージャ８６ｂの一部をなすことができる。図から分かるように、好ましくはこれらは、実質的に指紋（または他のバイオメトリック）ログイン／識別機構と同様に機能する。図示するように、ユーザパスワードログイン２０５ａは、通常システムにアクセスするのに十分であるが、ＣＭＰログイン２０５ｂを最初にユーザが使用することにしてもよい。後者については、ユーザは、「中央位置（ｃｅｎｔｒａｌｉｚｅｄ ｌｏｃａｔｉｏｎ）」からパスワードや鍵を解放するのに最終的な効果を有する自分用のユニバーサルパスワードを入力することができ、そのパスワードや鍵は、ユーザが特定のシステムやシステムの一部にアクセスすることができるように適したものとすることができる。換言すれば、システムや異なるシステムの一部へアクセスするためのパスワードや鍵を多数使用するよりも、ＣＭＰでは、ユーザにとってのユニバーサルパスワードと考え得るものを使用することができ、このユニバーサルパスワードによってロック解除、暗号化、またはユーザがアクセスを試みている特定のシステム、またはシステムの一部へのアクセスを許可するのに必要とされる、パスワード、鍵、または他の復号化要素等を解放することができる。上記「中央位置」はサーバとすることができ、ローカル位置（ユーザがログインした場所）はサーバのクライアントとすることができる。したがって、ＣＰＭによってサーバは、サーバのクライアントへのアクセスを制御することができるようになり、たとえば、（必要に応じて）クライアントへのアクセスを無効にすることも簡単になる。ＣＭＰログインについて有用な背景情報は文献｛「Ａ Ｍｅｔｈｏｄ ｏｆ Ｓｅｃｕｒｅ Ｍａｎａｇｅｄ Ｓｅｃｕｒｅ Ｃｌｉｅｎｔ ＰＣ、」ＩＰ．ｃｏｍ Ｐｒｉｏｒ Ａｒｔ Ｄａｔａｂａｓｅ（ｗｗｗ．ｉｐ．ｃｏｍ）、ＩＰ．ｃｏｍ ｎｕｍｂｅｒ ＩＰＣＯＭ０００１３８２４８Ｄ｝で知ることができる。この文献は、その全てが参照により本明細書に組み込みこまれる（援用される）。

ユーザパスワードベースのログイン２０５ａについては、好ましくは、共通の方法について（異なるユーザ間で）ローカルにブラックボックスの復号鍵を解放させることができるものであり、好ましくは、また他のＢＩＯＳに関連するパスワードの解放を許可することもできる。ＣＭＰログイン機構（２０５ａ）との比較として、ユーザパスワードベースのログイン２０５ａは、本質的には完全にローカルまたは「クライアント」レベルで動作するのに対して、ＣＭＰログイン２０５ｂは、中央または「サーバ」位置と協働してローカルまたは「クライアント」位置で動作するものであると理解されるべきである。

指紋／バイオメトリックのケースと同様に、好ましくはモジュール２０６（好ましくはＢＩＯＳ８６と関連付けられており、図１参照）は、次いで、ユーザのパスワードまたはＣＭＰをユーザと照合し（一致するユーザがいると仮定して）、ユーザロック解除鍵またはシステムロック解除鍵をそれぞれ解放する。ユーザロック解除鍵またはシステムロック解除鍵は、ＣＭＰブラックボックス同期ボールト９２ｂを解除するための「最初のクレデンシャル」を表す（ユーザパスワードの入力とＣＰＭの使用を、共通により大きなＣＭＰモジュールで管理することができ、したがって、同じブラックボックスの同期ボールトを使用することができる程度）。これらの鍵は上述の「ロック解除指紋鍵」と同じであり、同様に機能する。したがって、「ロック解除指紋鍵」に関する先の説明が基本的に、ここでも同様に関連することになる。

指紋同期ボールト９２ａとともに、好ましくは、ＣＭＰ同期ボールト９２ｂはまた、復号鍵（モジュール２０６からのシステムまたはユーザロック解除鍵）を受け付けて、次いで、これらを使用して好適な最終クレデンシャルを所定のユーザに関連して開放するようにするためのルックアップスキームを備えることができる。これにより、（再び）、最終クレデンシャルは、ブラックボックスアーキテクチャに、対象となるユーザのため、復号化できるシステムの領域を通知する役割を果たす。ここでは、次いで、好ましくは同期ボールト９２ｂのルックアップスキームが以下（示されているように）の動作を行うようにする。
−ユーザ１、…Ｎの「ＣＭＰログイン識別子」（すなわち、特定のユーザパスワードまたはユーザの「ユニバーサル」ＣＭＰパスワード）を受け付け、
−ブラックボックスアーキテクチャに関連付けられた予め設定されたユーザＩＤをルックアップし、
−「暗号鍵Ｂｌｏｂ」を出力する。
ここで、所定のユーザに対する暗号鍵Ｂｌｏｂは、ブラックボックスアーキテクチャがその専用のタスクを適切にユーザのために実行するのに十分な「最終クレデンシャル」となる。また、この「最終クレデンシャル」は本質的には、パスワードまたは通常ブラックボックスアーキテクチャが使用する他のユーザ識別子と同等と考えることができる。

本発明の現在の少なくとも１つの好ましい実施形態にしたがって、さらなる説明と解明によって、「ユーザログイン」と「ＣＭＰログイン」は本質的に、ＣＭＰモジュールが提供することができる２つの異なる方法と考えられる。本質的に、ＣＭＰは、サーバレベルでパスワードを生成し、起動前にこれらのパスワードを解除するための異なるログイン方法を提供する総合アーキテクチャと考えることができる。しかしながら、（指紋／バイオメトリックアクセスのように）「ユーザログイン」がローカルレベルで行われる一方、「ＣＭＰログイン」は実際にローカルでリモートサーバへログインする。ＣＭＰログインは、また、ユーザが、実際にブラックボックスシステムへのアクセスに使用されるクレデンシャルを知ることなくシステムを利用することができるようにする。このことは、必要に応じてそのようなユーザのアクセス権を無効にすることが簡単であり、そして、そのようなユーザは、ＣＭＰログインの外側のそのシステムにアクセスする方法を知る状況にはなく、それ故、そのシステムから望ましくないまたは権限が与えられていないユーザを締め出すことが非常に簡単になる。ＣＭＰ側では、また「スマートカード」のユーザアクセスをサポートすることができ、これにより、スマートカードは、それ自体が「ブラックボックス」クレデンシャルをロック解除する鍵を解放できる、パスワードまたは他の復号化要素を解放するのに使用される。

本発明は、現在の少なくとも１つの好ましい実施形態において、適当なソフトウェアプログラムを実行する少なくとも１つの汎用コンピュータにおいて実現することができる部品を含むことを理解されたい。また、これらは少なくとも１つの集積回路または少なくとも１つの集積回路の一部で実現することができるものである。したがって、本発明はハードウェア、ソフトウェア、またはその組み合わせにおいて実現できることを理解されたい。

本明細書で述べる例外を除いて、本明細書で言及し引用した全ての特許、特許出願、特許公報および他の文献（ウェブ上に公開された文献を含めて）は、完全に本明細書で説明したものとして、参照により全てが本明細書に組み込まれる（援用される）。

本発明の具体的な実施形態を本明細書にて添付の図面を参照して説明してきたが、本発明はこれに限られず、本発明の範囲または精神を逸脱することなく当業者が様々な他の変形や修正を行うことができることを理解されたい。

１２ コンピュータシステム
４０ リードオンリーメモリ
４１ ブートコード
４２ システムプロセッサ
４４ プロセッサバス
４６ システムメモリ
４８、６０ ホストブリッジ
５０ ＰＣＩローカルバス
５２ ローカルＰＣＩコントローラ
５４ メモリバス
５６ ＮＶＲＡＭ（不揮発性ランダムアクセスメモリ）
６２ ＩＳＡバス
６４ ＩＳＡブリッジ
６６ ネットワークアダプタ
６８ グラフィックアダプタ
６９ ディスプレイ
７０ 入出力（Ｉ／Ｏ）コントローラ
７２ ディスクコントローラ
８６ ＢＩＯＳ（ベーシック入出力システム）
８６ａ メモリ
８６ｂ ログインマネージャ
８６ｃ バイオメトリック入力
９２ 「ブラックボックス」同期ボールト（”BLACK BOX” SYNC VAULT）
９２ａ 指紋同期ボールト（FINGERPRINT Black Box Sync Vault）
９２ｂ ＣＭＰ同期ボールト（CMP Black Box Sync Vault）
２００ ディスクドライブ
２０２、２０６ モジュール
２０５ａ ユーザパスワード
２０６ｂ ＣＭＰ入力

Claims (22)

1. データ処理システムで実行される方法であって、
   ユーザ入力デバイスが、ユーザベースのアクセスを管理するユーザ記述アーキテクチャによって使用される形式とは異なる形式のユーザ識別入力を受け付けるステップと、
   前記ユーザ識別入力を受け付けると、前記受け付けたユーザ識別入力に対応する最初のクレデンシャルを解放するステップと、
   前記ユーザ記述アーキテクチャから分離して構成されたコンバータが、前記最初のクレデンシャルを、前記ユーザ記述アーキテクチャによって使用される形式と同じ形式の最終クレデンシャルに変換するステップと、
   前記コンバータが、前記最終クレデンシャルを前記ユーザ記述アーキテクチャに提供するステップと、
   を含み、
   前記ユーザ記述アーキテクチャは、前記最終クレデンシャルを受け付けると、前記データ処理システムの少なくとも１つの部分へのアクセスを許可することを特徴とする方法。
2. 前記解放するステップは、ユーザ固有の復号鍵を解放するステップを含む、請求項１に記載の方法。
3. 前記変換するステップは、前記最初のクレデンシャルに基づいてルックアップを実行して前記最終クレデンシャルを生成するステップを含む、請求項１又は請求項２に記載の方法。
4. 前記最終クレデンシャルは、前記ユーザ記述アーキテクチャによって使用される形式と同じ形式のパスワードを含む、請求項１〜請求項３のいずれか１つに記載の方法。
5. 前記受け付けるステップは、バイオメトリックユーザ識別入力を受け付けるステップを含む、請求項１〜請求項４のいずれか１つに記載の方法。
6. 前記受け付けるステップは、ユーザの指紋入力を受け付けるステップを含む、請求項５に記載の方法。
7. 前記受け付けるステップは、リモートログインのための、ユーザのパスワード入力を受け付けるステップを含む、請求項１〜請求項４のいずれか１つに記載の方法。
8. 前記受け付けるステップは、ローカルパスワード入力を受け付けるステップを含み、前記ローカルパスワード入力は、リモートサーバから解放されるユーザ関連のクレデンシャルを含む、請求項７に記載の方法。
9. 前記ユーザ記述アーキテクチャは、前記最終クレデンシャルを受け付けると、アクセス許可タスクを実行するステップを含む、請求項１〜請求項８のいずれか１つに記載の方法。
10. 前記ユーザ記述アーキテクチャは、前記最終クレデンシャルを受け付けると、少なくともデータ処理システムの少なくとも一部についてユーザベースの復号化をトリガーするステップを含む、請求項９に記載の方法。
11. 前記ユーザ記述アーキテクチャは、ＢＩＯＳレベルでユーザベースのアクセスを管理する、請求項１０に記載の方法。
12. 主メモリと、
    前記主メモリにアクセス可能に構成されており、ユーザ入力デバイスで受け付けたユーザ識別入力を受け付けると、前記ユーザ識別入力に対応する最初のクレデンシャルを解放するＢＩＯＳと、
    前記ユーザ識別入力は、ユーザベースのアクセスを管理するユーザ記述アーキテクチャによって使用される形式とは異なる形式であり、
    前記ユーザ記述アーキテクチャから分離して構成されており、前記最初のクレデンシャルを、前記ユーザ記述アーキテクチャによって使用される形式と同じ形式の最終クレデンシャルに変換するコンバータと、
    前記最終クレデンシャルの受け付けると、前記データ処理システムの少なくとも一部についてアクセスを許可する前記ユーザ記述アーキテクチャと、
    を備えたことを特徴とする装置。
13. 前記ＢＩＯＳは、ユーザ固有の復号鍵を解放する、請求項１２に記載の装置。
14. 前記コンバータは、前記最初のクレデンシャルに基づいてルックアップを実行して、前記最終クレデンシャルを生成する、請求項１２又は請求項１３に記載の装置。
15. 前記最初のクレデンシャルは、前記ユーザ記述アーキテクチャが認識可能なパスワードを含む、請求項１２〜請求項１４のいずれか１つに記載の装置。
16. 前記ＢＩＯＳは、ユーザの指紋に関する入力を受け付ける、請求項１２に記載の装置。
17. 前記ＢＩＯＳは、ユーザのパスワード入力を受け付ける、請求項１２に記載の装置。
18. 前記ＢＩＯＳは、ローカルパスワード入力を受け付け、前記ローカルパスワード入力は、リモートサーバから解放されるユーザ関連のパスワードを含む、請求項１７に記載の装置。
19. 前記ユーザ記述アーキテクチャは、前記最終クレデンシャルの受け取ると、アクセス許可タスクを実行する、請求項１２〜請求項１８のいずれか１つに記載の装置。
20. 前記ユーザ記述アーキテクチャは、前記最終クレデンシャルを受け付けると、少なくとも前記データ処理システムの一部についてユーザベースの復号化をトリガーするステップを含む、請求項１９に記載の装置。
21. 前記ユーザ記述アーキテクチャは、ＢＩＯＳレベルでユーザのシステムアクセスを管理する、請求項２０に記載の装置。
22. データ処理システムで実行されるプログラムであって、
    ユーザ入力デバイスが、ユーザベースのアクセスを管理するユーザ記述アーキテクチャによって使用される形式とは異なる形式のユーザ識別入力を受け付けるステップと、
    前記ユーザ識別入力を受け付けると、前記受け付けたユーザ識別入力に対応する最初のクレデンシャルを解放するステップと、
    前記ユーザ記述アーキテクチャから分離して構成されたコンバータが、前記最初のクレデンシャルを、前記ユーザ記述アーキテクチャによって使用される形式と同じ形式の最終クレデンシャルに変換するステップと、
    前記コンバータが、前記最終クレデンシャルを前記ユーザ記述アーキテクチャに提供するステップと、
    をコンピュータに実行させ、
    前記ユーザ記述アーキテクチャは、前記最終クレデンシャルを受け付けると、前記データ処理システムの少なくとも１つの部分へのアクセスを許可することを特徴とするコンピュータが実行可能なプログラム。

Images