JP5019869B2 - コンピュータ装置の暗号化データへのアクセスを提供する方法 - Google Patents

Description

本発明は概してコンピュータセキュリティに関し、さらに詳細には、コンピュータ装置の状態評価に基づいてコンピュータ装置内のデータへのアクセスを制限する方法および装置に関する。

企業が扱う機密の顧客データには、例えば健康診断の記録、銀行口座番号、政府の識別子、そして金融関係の記録などがあり、その量は増大しつつある。このデータが不慮によりあるいは悪意により流失すると、企業は評判を落としたり、訴訟事件になったり、行政的な刑罰を科せられたりしうる。不幸にも、多くの従業員は、情報技術やセキュリティ問題に関しトレーニングを受けておらず、しばしば過ちを犯し、個人的な顧客データを流出してしまう。たとえば、２００６年には金融サービス会社Ｆｉｄｅｌｉｔｙからノート型パソコンが盗まれ、およそ２０万人のヒューレットパッカード社従業員の暗号化されていない個人情報が危険にさらされた。他のトラブルの例としては、暗号化されていない大量の情報を、共有についてあまり知識のないユーザがファイル共有プログラムを介して誤って共有化してしまうこともある。

この問題に取り組むため、多くの企業は、透過的に機密データを保護し、誤りによる、あるいは不用意な盗難による情報流出の危険を最小限に抑えるツールの開発を行ってきた。例えば、仮想プライベートネットワーク（ＶＰＮ：Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋｉｎｇ）空間では、企業がクライアント機器の状態評価（ＰＡ：ｐｏｓｔｕｒｅ ａｓｓｅｓｓｍｅｎｔ）に基づいてクライアント装置のＶＰＮへのアクセスを制限するシステムを開発している（この技術はまたネットワークアドミッションコントロール（ＮＡＣ：Ｎｅｔｗｏｒｋ Ａｄｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ）、デバイス認証（ＤＶ：ｄｅｖｉｃｅ ｖｅｒｉｆｉｃａｔｉｏｎ）、そしてＴＮＣ（ｔｒｕｓｔｅｄ ｎｅｔｗｏｒｋ ｃｏｎｎｅｃｔ）と称する）。

ＰＡ技術は一般に次のように行われる。クライアント装置にネットワークへの接続（ＶＰＮあるいは直接接続を介する）を許可する前に、クライアント装置の状態を評価して、ネットワークへの脅威を与えないかどうか判定する。脅威になり得る場合には、クライアント装置はＶＰＮへの接続を拒否され、あるいは隔離されたネットワークへの接続を許可され、そこでＶＰＮにフルアクセス権でアクセスすることができるようにパッチを当てられる。既存のＰＡ実装では各エンドポイントで評価する対象が異なり、それはクライアント装置が現在ファイアウォールや最新のアンチウイルス・ソフトウェアを起動させているかを単に判定するものから、クライアント装置のサービスパックのレベルや、ソフトウェアの更新を検出したり、機器にインストールされているソフトウェアの全てのヴァーションを細かくチェックしたりするものもある。

既存のＰＡやＮＡＣ技術でも権限のないアクセスからネットワークを保護することはできるが、ネットワークから読み出した後に機密データを保護するように機能するものはない。クライアント装置のセキュリティ状態の変化はクライアント装置内の機密情報を危険にさらしうる。たとえば、ウィルスなどの悪質なコードが不注意にもクライアント装置にダウンロードされてしまい、その悪質なコードが機密情報にアクセスすることがある。この問題を解決するには、機密データがクライアント装置に格納保存されていないこと、常に安全なサーバからアクセスしなければならないことを確実にしなければならない。しかしながら、このためには、クライアント装置が機密情報にアクセスしなければならないときにはいつでもネットワークに接続しなければならないが、それではノート型パソコンや他の携帯型コンピュータ装置には実用的ではなく、信頼性の低いネットワーク接続を行うクライアント装置にも実用的ではない。

したがって、クライアント機器の機密データを保護する方法および装置が必要である。

本発明の一態様は、コンピュータ装置のセキュリティ状態に基づいてコンピュータ装置内の暗号化データへのアクセスを容易にするシステムを提供する。動作中、該システムは、暗号化データが保存されているコンピュータ装置のセキュリティ状態を評価する。評価されたセキュリティ状態が特定の基準を満たしていれば、システムがコンピュータ装置に、暗号化データへのアクセスを可能にするキーを提供する。

この態様の変形例として、コンピュータ装置のセキュリティ状態の評価には、以下の一つ以上を判定することが含まれる。すなわち、認証されていない実行コードがコンピュータ装置にロード（読み込み）されたか否か、認証されていないファイルがコンピュータ装置にロードされたか否か、ウイルススキャンが最近コンピュータ装置で行われたか否か、コンピュータ装置用のウイルススキャナが最近更新されたか否か、コンピュータ装置のオペレーティングシステムに最新のパッチがあてられたか否か、コンピュータ装置で最新のファイアウォールが作動しているか否か、またはコンピュータ装置が安全性の低いネットワークへ接続している、あるいはしていたか否か、である。

この態様の変形例として、コンピュータ装置のセキュリティ評価には、コンピュータ装置と相互作用（対話）する状態評価サーバを使用してコンピュータ装置のセキュリティ状態を評価することが含まれる。

この態様の変形例として、コンピュータ装置へのキーの提供には、コンピュータ装置と相互作用するキー管理サーバを使用してキーを提供することが含まれる。

更なる変形例として、システムがキーをコンピュータ装置にローカルにキャッシュすることにより、コンピュータ装置がキー管理サーバと通信不可能な場合でも暗号化データにアクセスすることができる。キーをキャッシュした後、システムがコンピュータ装置の動作を監視する。その動作によりコンピュータ装置のセキュリティ状態がもはや特定の基準を満たさなくなった場合、システムはローカルキャッシュしたキーのコピーを消去し、コンピュータ装置はキー管理サーバと再度通信しなければ暗号化データにアクセスできない状態になる。

更なる変形例として、キーが特定の暗号化データアイテムに特有のものであり、別の暗号化データアイテムにアクセスする場合、コンピュータ装置は再度キー管理サーバに通信しなければならない。

この態様の変形例として、コンピュータ装置へのキーの提供には、そのキーを信頼できるキー格納装置から得ることが含まれる。

この態様の変形例として、特定の基準が、コンピュータ装置の特定のセキュリティ状態に基づいて特定の暗号化データアイテムへの選択的アクセスを可能とするポリシーとして表される。

本発明の一実施形態が提供するのは、状態に基づくデータ保護（ＰＢＤＰ：Ｐｏｓｔｕｒｅ−Ｂａｓｅｄ Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ）と称する新たな技術であり、ノート型パソコンや他のモバイル装置などのコンピュータ装置に格納された機密データを自動的に暗号化する技術である。ＰＢＤＰでは、暗号化された文書へのアクセスがその装置が既知の良好な状態であるときに限定され、安全性を脅かす出来事（未許可のソフトウェアのインストールなど）が起こると終了することが保証されている。

上述の通り、既存のＶＰＮやＮＡＣ技術ではネットワークやネットワークサービスを未許可のアクセスから保護し、それにより認証された装置の許可されたユーザだけがネットワークやネットワークサービスの「信頼領域（トラストドメイン）」にアクセスすることができるようにするものである。ＰＢＤＰの考えは、この考えをさらに一歩進め、この「信頼領域」を装置自身にまで拡張させたものである。すなわち、状態評価が良好のときのみ装置自身のデータにアクセスできるようにすることである。

図１および２に二つの手法の比較を示す。図１に示す既存のＰＡシステムでは、ネットワークや関連するネットワークサービスへのアクセスを可能にする前にＰＡサーバ１０２がコンピュータおよびネットワーク装置１０６を検疫・認証する。このシステムでは、ＰＡサーバ１０２により、検疫・認証したコンピュータおよびネットワーク装置だけがネットワークサービス（点線内）の「信頼領域（ドメイン）」１０５にアクセスできることが保証される。

これに対し、図２に示すシステムは、やはりＰＡサーバ２０２を使用して本発明の一実施形態によりクライアント機器のデータを保護するものである。図２のシステムは同様にＰＡサーバ２０２を使用してコンピュータおよびネットワーク装置２０６を検疫・認証してから、コンピュータおよびネットワーク装置に信頼領域２０５内の要素（エンティティ）へのアクセスを許可する。しかし、システムはさらにＰＢＤＰサーバ２０８も備えており、それはコンピュータおよびネットワーク装置２０６にローカルに（それ自身に）保存された制限されたデータへのアクセスを選択的に許可するものである。本発明の一実施形態では、ＰＢＤＰサーバ２０８はキー管理サーバとして実装されており、コンピュータおよびネットワーク装置２０６に保存された暗号化データアイテムにアクセスする際に使用することができるキーを管理している。このプロセスを以下に、図３−８を参照してより詳細に説明する。

ＰＢＤＰが実際にどのように動作するかを示すために以下の使用例について検討する。経理担当者のアリスには会社のノート型パソコンが支給されており、彼女はそれを勤務中にわたって使用している。通常の勤務時間の終わりに、アリスは会社の顧客についてのデータ処理が完了していないことに気づく。彼女は必要なデータを彼女のノート型パソコンにコピーし、家に持ち帰る。

家でアリスは顧客データの処理を続け、Ｅｘｃｅｌ（登録商標）スプレッドシートを開いたり、Ｗｏｒｄ（登録商標）文書からデータをコピーしたりした。しばらくして、アリスはインターネットに接続してＷｉｎｎｙをインストールし、有名な映画をダウンロードしようと決めた。アリスは、イーサネット（登録商標）ジャックにプラグインし、自身のローカルネットワークに接続すると（あるいは、無線カードによる接続を試みると）、ノート型パソコンの画面にダイアログボックスが表示され、次の二つ、すなわち、（１）自身のホームネットワークに接続し、会社のファイルへのアクセスを解除する、または（２）職場のネットワークにログインし、会社のファイルへのアクセスを維持する、のいずれかを選択するように警告される。

アリスが（１）を選択したとする。彼女のノート型パソコンはローカルエリアネットワークに接続する。アリスは、もはや作業していたファイルを編集したり保存したりすることができないこと、そして他の会社のファイルも開くことができないことに気づく。アリスはしかしながらウェブをブラウズしたり、（会社の方針にもよるが）Ｗｉｎｎｙのようなプログラムをダウンロードしたりインストールしたりすることもできる。それにもかかわらず、会社のデータが保存されているパーティションは完全に読み取りができなくなっているため、これらの新たにインストールしたプログラムは会社のデータにアクセスすることはできない。さらに、彼女のノート型パソコンはいまや「ｕｎｓａｆｅ（安全でない）」とされており、次の日に仕事に戻るときに（あるいは家から職場への接続を試みるときに）彼女のシステムは、許可されていないソフトウェアの存在により良好な状態評価を得られない。該パーティションの会社のデータは、管理者が原因となっているソフトウェアを削除し、ノート型パソコンが良好な状態評価となるまで読み取りができないままである。

アリスが（２）を選択したとする。ホームネットワークに接続した直後に彼女のノート型パソコンは職場へのＶＰＮ接続を確立し、状態評価を進める。Ｗｉｎｎｙや他の好ましくないソフトウェアのインストールは、会社のネットワークにより、進行中の状態評価検疫を通じて出来ないようになる。システムが職場への接続を続けている間、あるいはネットワーク接続を完全に断った場合、アリスは会社のファイルを読んだり、編集したり、書き込みしたりすることができる。

本発明の様々な実施形態によるＰＢＤＰの四つの変形例を説明する。第一の変形例は、ＰＢＤＰの「ローカルキャッシュ」形態であり、サーバからファイルを得る際に復号化キーを要求することによって保存されているファイルを保護するものであり、状態評価をパスした場合のみアクセスすることができる。この変形例では、キーをローカルにキャッシュすることにより性能を改良している。第二の変形例は、「サーバ補助」形態であり、ローカルにキーをキャッシュすることはできず、復号化をサーバを使用してのみ行うことができるようにする。第三の変形例は、「閾値」形態であり、復号化を信頼できるキー格納装置（スマートカード等）とサーバ（あるいは、そこからキャッシュされたキー情報）の協働により可能とする。最後に第四の変形例は、「閾値サーバ補助」形態であり、復号化を信頼できるキー格納装置（スマートカード等）とサーバ（キー情報をキャッシュすることは許可されない）の協働により可能とする。これらの例を、以下に図３〜８を参照してより詳細に説明する。

図３は本発明の一実施形態によるＰＢＤＰのローカルキャッシュ形態の変形例に関連するＰＡシステムの実装を示す図である。この実装には、クライアントコンピュータ装置３００が含まれる。クライアント装置３００は一般にネットワークのいずれかのノードを含み、計算能力と、該ネットワークを通じて通信するメカニズムを含む。さらに詳しくは、クライアント装置３００には、マイクロプロセッサに基づくコンピュータシステム、メインフレーム・コンピュータ、デジタル信号プロセッサ、携帯コンピュータ、自己管理手帳、デバイスコントローラ、機器内の計算エンジンが含まれるが、これらに限定されない。

クライアント装置３００には、アプリケーション３０２が含まれており、それにより復号化エージェント３０４を通じて暗号化データストア３０６内のデータにアクセスできる。このプロセスの間、復号化エージェント３０４は、アプリケーション３０２が暗号化データストア３０６のデータを読み出したり、書き込んだりするのに必要な復号化および／または暗号化を実行する。復号化エージェント３０４は、クライアント装置３００内のキー管理クライアント３１０から必要な復号化および／または暗号化キーを入手する。暗号化エージェント３０４にキーを渡す前に、キー管理クライアント３１０は、同じくクライアント装置３００内に位置する状態評価（ＰＡ）クライアント３０８との対話により、クライアント装置３００がキーを得るのに必須のセキュリティ状態にあることを確かめる。

キー管理クライアント３１０はリモート（遠隔）サーバに位置するキー管理サーバ３１４と今度は通信する。同様に、ＰＡクライアント３０８は、同じくリモートサーバに位置するＰＡサーバ３１２と対話する。本発明の一実施形態において、キー管理サーバ３１４とＰＡサーバ３１２は一つのリモートサーバに組み込まれている。

図４は、本発明の一実施形態によるＰＡプロセスのローカルキャッシュ変形例を示すフローチャートである。このプロセスでは、まず、アプリケーション３０２が暗号化データストア３０６内のファイルを開いたり／読んだりしようとすることで始まる（ステップ４０２）。この要求は、復号化エージェント３０４が途中で受け取る（インターセプトする）（ステップ４０４）。

次に、復号化エージェント３０４はそのファイルについてのメタデータを暗号化データストア３０６に要求する（ステップ４０６）。暗号化データストア３０６は次いで本文メタデータを添えて応答するが、それにはキー識別子（ID）、暗号化ヘッダと暗号化された内容（暗号化本文）が含まれる（ステップ４０８）。しかしながら暗号化本文はステップ４３４まで変換される必要はないものである。

次に、復号化エージェント３０４がキー識別子と暗号化ヘッダをキー管理クライアント３１０に転送する（ステップ４１０）。キー管理クライアント３１０は次いで、ＰＡクライアント３０８にＰＡトークンを要求する（ステップ４１２）。

この要求に対して、ＰＡクライアント３０８は最近ＰＡトークンを入手したか否かチェックする。入手していない場合、ＰＡサーバ３１２とＰＡプロトコル（Ｐ）（規約）で接続してこのトークンを得る（ステップ４１４）。（プロトコル（Ｐ）はステップ４１４前のプロセス中どの時点でも場所で登場しうることに注意されたい。）最後のプロトコル（Ｐ）が実行されてから状態修正イベントが起こった場合には、ＰＡクライアント３０８がそのＰＡトークンを消去し、プロトコル（Ｐ）を介して新たなトークンの入手を試みる。ＰＡクライアント３０８が最近入手したＰＡトークンを所有している場合、キー管理クライアント３１０にＰＡトークンを添えて応答する。そうでなければ、プロトコルを中断するエラーを返信する。

この時点で、キー管理クライアント３１０はキー識別子に対応するキー（「対応キー」と称す）を既に有しているかどうかチェックする（ステップ４１６）。有している場合、プロセスはステップ４３０にジャンプする。そうでない場合、キー管理クライアント３１０がＰＡトークンとキー識別子をキー管理サーバ３１４に送る（ステップ４１８）。

次に、キー管理サーバ３１４はＰＡサーバ３１２とプロトコルで接続してＰＡトークンの信頼性を認証する（ステップ４２０）。このステップは、キー管理サーバ３１４がＰＡトークンの認証を独立して行うことが可能ならば省略することができる。

次いで、ＰＡトークンおよびキー識別子に基づいて、キー管理サーバ３１４は、復号化要求が許可されているかどうか判定する（ステップ４２２および４２４）。許可されたものでない場合、キー管理クライアント３１０にエラーを返信する（ステップ４２６）。許可されている場合には、キー識別子の対応キーをキー管理クライアント３１０に送る（ステップ４２８）。

この時点で、キー管理クライアント３１０が対応キーを所有しており、それにより暗号化ヘッダを復号化し、復号化ヘッダを得、復号化エージェント３０４に送る（ステップ４３０）。

次に、復号化エージェント３０４が本文復号化キーを復号化ヘッダから抽出する（ステップ４３２）。ここで先に述べたように、復号化エージェント３０４は既に、ステップ４０８で入手した要求に関連する暗号化本文を有している（あるいはここで入手する）。したがって、復号化エージェント３０４は本文復号化キーを使用して復号化本文を抽出し、それをアプリケーション３０２に送る（ステップ４３４）。

図５は、本発明の一実施形態によるＰＡプロセスのサーバ補助形態の変形例を示すフローチャートである。ここで、図３に示すシステムがこのサーバ補助形態の変形例にも当てはまることに注意されたい。このサーバ補助変形形態ははじめに、図４に示すフローチャートのステップ４０２−４１４を繰り返す。次いで、ステップ４１６に移動する代わりに、サーバ補助変形形態ではステップ５１８に移動する。以下そのステップについて説明する。

ステップ５１８では、キー管理クライアント３１０がＰＡトークン、キー識別子および暗号化されたヘッダをキー管理サーバ３１４に送る。

次に、キー管理サーバ３１４はＰＡサーバ３１２とプロトコルで接続し、ＰＡトークンの信頼性を認証する（ステップ５２０）。このステップは、キー管理サーバ３１４がＰＡトークンの認証を独立して行うことが可能ならば省略することができる。

次いで、ＰＡトークン、キー識別子ならびに暗号化ヘッダに基づいて、キー管理サーバ３１４は、復号化要求が許可されているかどうか判定する（ステップ５２２ならびに５２４）。許可されてない場合、キー管理クライアント３１０にエラーを返す（ステップ５２６）。許可されている場合、対応キーを使用して暗号化ヘッダを復号化し、復号化ヘッダをキー管理クライアント３１０に返す（ステップ５２８）。

この時点で、キー管理クライアント３１０は復号化ヘッダを復号化エージェント３０４に送る（ステップ５３０）。

次に、復号化エージェント３０４が復号化ヘッダから本文暗号化キーを抽出する（ステップ５３２）。ここで先に述べたように、復号化エージェント３０４は既に、ステップ４０８で入手した要求に関連する暗号化本文を有している（あるいはここで入手する）。したがって、復号化エージェント３０４は本文復号化キーを使用して復号化本文を抽出し、それをアプリケーション３０２に送る（ステップ５３４）。

図６は、本発明の一実施形態によるＰＢＤＰの閾値形態の変形例に関連するＰＡシステムの実装を示す図である。この実装は図３に示す実装とほぼ同じであるが、信頼できるキー格納装置６１６（スマートカードなど）がシステムに追加され安全にキーを格納できるようにしている点が異なる。この信頼できるキー格納装置が、復号化プロセスの間キー管理クライアント３１０と通信することに注意されたい。

図７は本発明の一実施形態によるＰＡプロセスの閾値形態の変形例を示すフローチャートである。閾値形態ではまず、図４に示すフローチャートの４０２−４１４を繰り返す。次いで、ステップ４１６に移動するかわりにステップ７１６に移動する。このステップについて以下で説明する。

ステップ７１６では、キー管理クライアント３１０が、キー識別子に対する部分キーを既に有しているか否かチェックする（ステップ７１６）。有している場合、プロセスはステップ７３０にスキップする。そうでない場合、キー管理クライアント３１０は、ＰＡトークンとキー識別子をキー管理サーバ３１４に送る（ステップ７１８）。

次に、キー管理サーバ３１４はＰＡサーバ３１２とプロトコルで接続し、ＰＡトークンの信頼性を認証する（ステップ７２０）。このステップは、キー管理サーバ３１４がＰＡトークンの認証を独立して行うことが可能ならば省略することができる。

次いで、ＰＡトークンならびにキー識別子に基づいて、キー管理サーバ３１４は、復号化要求が許可されているかどうか判定する（ステップ７２２ならびに７２４）。許可されてない場合、キー管理クライアント３１０にエラーを返す（ステップ７２６）。そうでなければ、そのキー識別子についての部分キーをキー管理クライアント３１０に送る（ステップ７２８）。

この時点で、キー管理クライアント３１０は部分キー所持しており、それを使用して暗号化ヘッダを復号化し、部分的に復号化されたヘッダを得る（ステップ７３０）。

キー管理クライアント３１０は次いでキー識別子と部分的に復号化されたヘッダを信頼できるキー格納装置６１６に送る（ステップ７３２）。信頼できるキー格納装置６１６は別の部分キー（信頼できるキー格納装置６１６にのみローカル保存されたキー）を使用して、部分的に復号化されているヘッダを復号化し、復号化ヘッダを作成する（ステップ７３３）。信頼できるキー格納装置６１６は次いで復号化されたヘッダをキー管理クライアント装置に戻す（ステップ７３４）。

この時点で、キー管理クライアント３１０は復号化ヘッダを復号化エージェント３０４に送る（ステップ７３６）。

次に、復号化エージェント３０４が復号化ヘッダから本文復号化キーを抽出する（ステップ７３８）。上述のように、復号化エージェント３０４は、ステップ４０８で取得する（あるいは今取得する）この要求に関連する暗号化された本文を既に有している。したがって、復号化エージェント３０４は本文復号化キーを使用して復号化した本文を抽出し、アプリケーション３０２に送る（ステップ７４０）。

図８は、本発明の一実施形態によるＰＡプロセスの閾値サーバ補助形態の変形例を示すフローチャートである。ここで、図６に示すシステムがまたこの閾値サーバ補助形態の変形例に用いられることに注意されたい。この閾値サーバ補助形態の変形例のプロセスステップは、図５に示すサーバ補助形態とほぼ同じであるが、図５におけるステップ５２４のＹＥＳ分岐の後、ステップ５２８に移動するのではなく、閾値サーバ補助形態の変形例ではステップ８２８に移行する。このステップについて以下に説明する。

ステップ８２８では、キー管理サーバ３１４がキー識別子に関連付けされた部分キーを用いて、暗号化ヘッダを復号化し、部分的に復号化されたヘッダを作成する（ステップ８２８）。次に、キー管理サーバ３１４はこの部分的に復号化されたヘッダをキー管理クライアント３１０に戻す。

キー管理クライアント３１０は次いでキー識別子と部分的に復号化されたヘッダを信頼できるキー格納装置６１６に送る（ステップ８３２）。信頼できるキー格納装置６１６は別の部分キーを（信頼できるキー格納装置６１６にのみローカル保存されたキー）を使用して、部分的に復号化されているヘッダを復号化し、復号化ヘッダを作成する（ステップ８３３）。信頼できるキー格納装置６１６は次いで復号化されたヘッダをキー管理クライアント装置に戻す（ステップ８３４）。

この時点で、キー管理クライアント３１０は復号化ヘッダを復号化エージェント３０４に送る（ステップ８３６）。

次に、復号化エージェント３０４が復号化ヘッダから本文復号化キーを抽出する（ステップ８３８）。上述のように、復号化エージェント３０４は、ステップ４０８で取得した（あるいは今取得する）この要求に関連する暗号化された本文を既に有している。したがって、復号化エージェント３０４は本文復号化キーを使用して復号化された本文を抽出し、アプリケーション３０２に送る（ステップ８４０）。

クライアント機器で状態評価動作を実行するＰＡサーバを含むシステムを示す図である。 本発明の一実施形態によるクライアント機器のデータを保護するために状態評価使用するシステムを示す図である。 本発明の一実施形態によるＰＡシステムの実装を示す図である。 本発明の一実施形態によるＰＡプロセスの第一変形例を示すフローチャートである。 本発明の一実施形態によるＰＡプロセスの第二変形例を示すフローチャートである。 本発明の一実施形態によるＰＡシステムの他の実装を示す図である。 本発明の一実施形態によるＰＡプロセスの第三変形例を示すフローチャートである。 本発明の一実施形態によるＰＡプロセスの第四変形例を示すフローチャートである。

符号の説明

２０２ 状態評価（ＰＡ）サーバ
２０５ 信頼領域
２０６ コンピュータ或いはネットワーク装置
３０２ アプリケーション
３０４ 複合化エージェント
３０６ 暗号化データストア（格納領域）
３０８ 状態評価クライアント
３１０ キー管理クライアント
３１２ 状態評価サーバ
３１４ キー管理サーバ

Claims (12)

1. コンピュータ装置のセキュリティ状態に基づいて前記コンピュータ装置内の暗号化データへのアクセスを提供するための方法であって、
   前記コンピュータ装置には状態評価（ＰＡ）クライアントとキー管理クライアントとを含むコンピュータシステムが実装されており、
   前記ＰＡクライアントが、暗号化データが格納されている前記コンピュータ装置のセキュリティ状態を評価するステップと、
   前記キー管理クライアントが、評価されたセキュリティ状態が特定の基準を満たしているとき、キーを提供するために前記コンピュータ装置と相互作用するキー管理サーバを使用して、前記コンピュータ装置に暗号化データへのアクセスを可能にするキーを提供し、前記コンピュータ装置に前記キーをローカルにキャッシュさせるステップと、
   前記ＰＡクライアントが、前記コンピュータ装置における動作を監視するステップと、
   前記ＰＡクライアントが、前記動作により、前記コンピュータ装置のセキュリティ状態が前記特定の基準を満たさなくなった場合、前記コンピュータ装置が前記キー管理サーバと再度相互作用しなければ前記暗号化データにアクセスできない状態となるよう、前記ローカルにキャッシュされた前記キーを消去するステップと、
   を含む方法。
2. 前記コンピュータ装置のセキュリティ状態を評価するステップは、
   認証されていない実行コードが前記コンピュータ装置にロードされたか、
   認証されていないファイルが前記コンピュータ装置にロードされたか、
   ウイルススキャンが最近前記コンピュータ装置で行われたか、
   前記コンピュータ装置用のウイルススキャナが最近更新されたか、
   前記コンピュータ装置のオペレーティングシステムに最新のパッチが適用されたか、
   前記コンピュータ装置で最新のファイアウォールが作動しているか、
   前記コンピュータ装置が安全性の低いネットワークへ接続している、あるいはしていたか、
   の一つ以上を判定することを含む、請求項１に記載の方法。
3. 前記コンピュータ装置のセキュリティ状態を評価するステップは、コンピュータ装置と相互作用する状態評価サーバを使用してコンピュータ装置のセキュリティ状態を評価することを含む、請求項１に記載の方法。
4. 前記キーは、特定の暗号化データアイテムに特有のものであり、別の暗号化データアイテムにアクセスする場合、コンピュータ装置は再度キー管理サーバに通信しなければならない、請求項１記載の方法。
5. 前記コンピュータ装置に前記キーを提供することは、前記キーを信頼できるキー格納装置から得ることが含まれる、請求項１記載の方法。
6. 前記特定の基準が、前記コンピュータ装置の特定のセキュリティ状態に基づいて特定の暗号化データアイテムへの選択的アクセスを可能とするポリシーとして表される、請求項１記載の方法。
7. コンピュータ装置のセキュリティ状態に基づいて前記コンピュータ装置内の暗号化データへのアクセスを提供するための、前記コンピュータ装置に実装されるコンピュータシステムであって、
   暗号化データが格納されている前記コンピュータ装置のセキュリティ状態を評価するように構成される評価メカニズムと、
   評価されたセキュリティ状態が特定の基準を満たしているとき、キーを提供するために前記コンピュータ装置と相互作用するキー管理サーバを使用して、前記コンピュータ装置に暗号化データへのアクセスを可能にするキーを提供し、前記コンピュータ装置に前記キーをローカルにキャッシュさせるように構成されるアクセスメカニズムと、
   前記コンピュータ装置における動作を監視するように構成される監視メカニズムと、を含み、
   前記動作により、前記コンピュータ装置のセキュリティ状態が前記特定の基準を満たさなくなった場合、前記監視メカニズムは、前記コンピュータ装置が前記キー管理サーバと再度相互作用しなければ前記暗号化データにアクセスできない状態となるよう、前記ローカルにキャッシュされた前記キーを消去するように構成される、コンピュータシステム。
8. 前記評価メカニズムは、前記コンピュータ装置のセキュリティ状態を評価するとき、
   認証されていない実行コードが前記コンピュータ装置にロードされたか、
   認証されていないファイルが前記コンピュータ装置にロードされたか、
   ウイルススキャンが最近前記コンピュータ装置で行われたか、
   前記コンピュータ装置用のウイルススキャナが最近更新されたか、
   前記コンピュータ装置のオペレーティングシステムに最新のパッチが適用されたか、
   前記コンピュータ装置で最新のファイアウォールが作動しているか、
   前記コンピュータ装置が安全性の低いネットワークへ接続している、あるいはしていたか、
   の一つ以上を判定するように構成される、請求項７に記載のコンピュータシステム。
9. 前記評価メカニズムは、前記コンピュータ装置のセキュリティ状態を評価するために前記コンピュータ装置と相互作用する状態評価サーバを含む、請求項７に記載のコンピュータシステム。
10. 前記キーは、特定の暗号化データアイテムに特有のものであり、別の暗号化データアイテムにアクセスする場合、コンピュータ装置は再度キー管理サーバに通信しなければならない、請求項７記載のコンピュータシステム。
11. 前記コンピュータシステムは、前記コンピュータ装置に前記キーを提供するとき、前記キーを信頼できるキー格納装置から得るように構成される、請求項７記載のコンピュータシステム。
12. 前記特定の基準が、前記コンピュータ装置の特定のセキュリティ状態に基づいて特定の暗号化データアイテムへの選択的アクセスを可能とするポリシーとして表される、請求項７記載のコンピュータシステム。

Images