JP5067771B2 - セキュアネットワークファイルアクセス制御システム - Google Patents
セキュアネットワークファイルアクセス制御システム Download PDFInfo
- Publication number
- JP5067771B2 JP5067771B2 JP2004523025A JP2004523025A JP5067771B2 JP 5067771 B2 JP5067771 B2 JP 5067771B2 JP 2004523025 A JP2004523025 A JP 2004523025A JP 2004523025 A JP2004523025 A JP 2004523025A JP 5067771 B2 JP5067771 B2 JP 5067771B2
- Authority
- JP
- Japan
- Prior art keywords
- network
- file
- data
- access
- file data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
- G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
- G06F3/0601—Interfaces specially adapted for storage systems
- G06F3/0628—Interfaces specially adapted for storage systems making use of a particular technique
- G06F3/0638—Organizing or formatting or addressing of data
- G06F3/0643—Management of files
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
- G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
- G06F3/0601—Interfaces specially adapted for storage systems
- G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
- G06F3/062—Securing storage systems
- G06F3/0622—Securing storage systems in relation to access
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
- G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
- G06F3/0601—Interfaces specially adapted for storage systems
- G06F3/0668—Interfaces specially adapted for storage systems adopting a particular infrastructure
- G06F3/067—Distributed or networked storage systems, e.g. storage area networks [SAN], network attached storage [NAS]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
- H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
Description
本発明は、一般的に、リモート側で記憶されたデータへのネットワークアクセスをサポートするネットワークインフラストラクチャー装置に関し、特に、リモートファイルデータストアに亘って認証、アクセス、圧縮、及び暗号化の制御を提供するためにインフラストラクチャーアプライアンスを利用するセキュアネットワークシステムに関する。
ネットワーク情報システムの使用とそれに伴う進化は、かなりのペースで進み続けている。あらゆる規模の組織は、特により大きな一般的に法人の環境で、そのような組織によって実施される基本的なビジネス処理の一部として益々増加する速度で情報を作り出して移動させている。金融、科学、及び製造業界の多くの部分で遭遇するような典型的なシナリオでは、トランザクションを詳述する様々なファイルが定期的に作成され、個別及び集合処理のために中央に記憶される。次に、この同じ情報は、専属顧客サービス代表者やえり抜きの構成部品及びサービス供給業者による対話式使用のため、及び、多くの場合に一般的にウェブベースのネットワークインタフェースを通じた限られたエンドユーザアクセスのために定期的に移動される。数十から数百テラバイトの範囲の大きさになるファイルストアは珍しくない。
最初の問題として、情報の広範囲なアクセス可能性のボリュームと必要性の増大は、ネットワーク接続ストレージ（ＮＡＳ）及びストレージエリアネットワーク（ＳＡＮ）における増加する関心に反映されている。これらの技術は、記憶されたデータにアクセスしてそれを処理するために使用される様々なクライアント、アプリケーション、及びネットワークサーバシステム間、及び大型データストレージシステムの拡張、設定、及び管理間の基本的独立性を可能にするネットワークベースのストレージアーキテクチャをサポートする。ネットワークベースのストレージアーキテクチャによって提供される他の基本的な機能は、データストアを地理的に分配して、更にこれを複製する能力を含み、これは、一般的にビジネス及びリアルタイムトランザクション処理ストレージシステムのリモートデータバックアップ及びホットフェイルオーバーを可能にする。
ネットワークベースのストレージアーキテクチャの多くの使用可能化機能は、かなりの価値があるが、記憶されたデータに亘る認証、アクセス制御、及びセキュリティの問題は残っている。勿論、ネットワークベースのストレージアーキテクチャによって本来提供されるユビキタスデータアクセス可能性は、認証、アクセス、及びセキュリティ制御を保証するという問題を大いに悪化させるものと一般的に考えられている。リモート側で記憶されたデータを配信してアクセスすることに伴うネットワーク移送コストも、重要な問題として認識されている。
専用のローカル側に取り付けられたストレージアレイを備えたアプリケーション及びネットワークサーバを伴う従来の直接接続ストレージ（ＤＡＳ）アーキテクチャは、記憶データを保護するために様々な形態の認証、アクセス、及びセキュリティ制御を進化させてきた。これらの制御は、スマートカード及び物理的アクセスバリアに対して、基本オペレーティングシステムからパスワード認証及びアクセス許可属性を実行する。これらの制御の連続的階層化を使用して、基本となる直接接続ストレージを次第に堅牢にしていくことができる。
従来の保護制御のいくつかは、依然としてネットワークベースのストレージアーキテクチャに一般的に応用することができるが、その多くは、実際問題として効果がない。ネットワークベースのストレージアーキテクチャでは、ストレージにアクセスするアプリケーションサーバは、一般的にリモート側に分散され、これは、一般的に、許可、アクセス、及びセキュリティ制御が故意に又はうっかりと逃れられないといういかなる保証も排除する。ネットワークストレージが共用されたネットワークへのアクセスを許可されたリモート側に分散したクライアントコンピュータシステムに対しては、保証は更に小さくなる。
従来のネットワークベースのストレージアーキテクチャの脆弱性が理解され、その結果、ＮＡＳ及びＳＡＮ技術の迅速な採用を大いに制限している。仮想私設ネットワーキング（ＶＰＮ）のような他の技術は、ネットワークベースのストレージアーキテクチャの制限のいくつかを克服するのに有用である。ＶＰＮは、ＶＰＮセッション内のエンドポイントシステム間の移送におけるデータの堅牢な暗号化をサポートする。従って、従来のＶＰＮは、様々なクライアントコンピュータシステム、アプリケーションサーバ、及びネットワークストレージシステム間で移送されるデータに亘って２地点間セキュリティを提供するのに使用することができる。
しかし、ＶＰＮ及び類似の技術は、どのような意味のあるアクセス制御もサポートできず、又は、ＶＰＮエンドポイントシステムに配信されるとデータの継続的なセキュリティを保証できない。基本となるプロトコルは、ストレージ型アクセス制御を提供したり実施するようには全く設計されていない。ＶＰＮデータは、移送中に暗号化されて安全であるが、ホストによって実施されるアクセス制御のみに従ってＶＰＮホストエンドポイントに配信される。データはまた、暗号化されないまま配信され、従って、同じくホストによって提供されるセキュリティ制御のみを受ける。
ＶＰＮ及び類似の技術のセキュア移送機能の上に一般的なアクセス及びセキュリティ制御を階層化するために、場合によっては他の技術を用いることができる。ケルベロスプロトコル（ｗｅｂ．ｍｉｔ．ｅｄｕ／ｋｅｒｂｅｒｏｓ／ｗｗｗ／）及び「軽量ディレクトリアクセスプロトコル」（ＬＤＡＰ；ｗｗｗ．ｏｐｅｎｌｄａｐ．ｏｒｇ）のような様々な標準プロトコルをセキュア認証、ディレクトリサービス、及びアクセス制御を提供するために異なる程度で利用することができる。ファイルシステムの暗号化を使用して、ファイルデータが記憶される時に保護することができる。これらの技術は、共にネットワークベースのストレージアーキテクチャ内のデータの十分に強化されたストレージを提供することができる。しかし、異種のクライアントコンピュータシステム及びアプリケーションサーバに亘るこれらの技術層に要求される別々の管理を考えると、データが認証、アクセス、及びセキュリティの厳密に実施された制御を適正に受けるという保証を現実的に不可能にする。
従って、ネットワークベースの記憶データへの適正に保護されたアクセスのみを保証することと、ビジネス処理要件の達成におけるデータの適切な広範囲のアクセスを可能にすることとの間に基本的な未解決の緊張状態が依然として残っている。
従って、本発明の一般的な目的は、ネットワーク接続データストレージに転送されるデータの認証、アクセス、暗号化、及び圧縮に亘る協調制御のための、クライアントコンピュータシステム及びネットワークストレージ間の管理ポータルとしてワイヤー速度インフラストラクチャーアプライアンスを用いる効率の良いネットワークベースのストレージアーキテクチャを提供することである。
これは、クライアントコンピュータシステムのファイルシステム及びネットワークデータストア間のデータのセキュアアクセス及び転送をサポートするためにネットワークインフラストラクチャーにセキュアネットワークファイルアクセスアプライアンスを提供することにより本発明で達成される。クライアントコンピュータシステム上に設けられ、セキュアネットワークファイルアクセスアプライアンスによってモニタされるエージェントは、ネットワークデータストアに対して出されたファイルシステム要求に関してクライアントコンピュータシステムの認証を保証する。セキュアネットワークファイルアクセスアプライアンスが、クライアントコンピュータシステム及びネットワークデータストア間でネットワークインフラストラクチャーに設けられ、適格なアクセスポリシーを適用してファイルシステム要求まで選択的に通過させる。セキュアネットワークファイルアクセスアプライアンスは、暗号鍵ストアを維持し、暗号鍵を対応するファイルシステムのファイルに関連付け、セキュアネットワークファイルアクセスアプライアンスを通してネットワークデータストアに転送されかつそれから読み取る時にファイルデータを暗号化及び暗号解読する。
本発明の利点は、セキュアネットワークファイルアクセスアプライアンスが、包括的な許可、アクセス、及びセキュリティサービスをユーザレベルから物理的なファイルストレージレベルまで拡張することである。クライアントシステムに対する許可プロトコルの準拠は、セキュアネットワークファイルアクセスアプライアンスによって提供されるセキュリティサービスを受けるファイルアクセスに対する前提条件として積極的に実施される。許可されたセッション及び処理内で実行された許可されたアプリケーションから発せられる許可されたファイルアクセス要求は、セキュアネットワークファイルアクセスアプライアンスへの送信時にエージェントによって署名される。複数のアクセスポリシーが、受信したファイルアクセス要求を区別して限定するために確立され、これは、要求の信憑性を確立するためにエージェントの署名を検証する段階、及びファイルアクセス権を確立するためにユーザ及びグループ許可を評価する段階を含む。更に、アクセスポリシーは、セキュアネットワークファイルアクセスアプライアンス及びネットワークストレージ間で送信されるファイルデータに適用される暗号化及び圧縮サービスを定義する。ネットワークストレージシステムによる暗号化ファイルデータの透過ストレージを含むネットワークファイルデータの暗号化は、ネットワークファイルデータの保全性を保証し、同時にそれはセキュアネットワークファイルアクセスアプライアンスの管理範囲内にある。認証、アクセスポリシー、及び暗号化及び圧縮サービスの例外は、侵入及び不正変更イベントとして認識され、これは、適用可能なアクセスポリシーに従って記録され、管理警報として発行され、クライアントネットワークアドレスからの全てのファイルアクセス要求を阻止するなどの自律的な保護アクティビティーの基準として使用することができる。
本発明の別の利点は、セキュアネットワークファイルアクセスアプライアンスが、セキュリティ暗号鍵のセキュアストアを保持し、適用可能な暗号鍵を暗号化ファイルデータにそれがネットワークファイルストアから検索された時に関連付けるように自律的に作動することである。暗号化ファイルデータに関連して自動的に記憶されて検索されるメタデータは、ファイルデータの正しい暗号鍵を識別するのに使用される永続的な暗号鍵識別子を提供する。
本発明の更に別の利点は、セキュアネットワークファイルアクセスアプライアンスによって実行される許可、アクセス、及びセキュリティサービスがワイヤー速度で行なわれ、セキュアネットワークファイルアクセスアプライアンスの全機能がクライアントシステムとネットワークストレージシステムの両方の通常の作動に対して透明（トランスペアレント）であることを可能にすることである。データファイルは、セキュアネットワークファイルアクセスアプライアンスによって暗号化された時に、ネットワークストレージシステムへ従来のデータファイルとして呈示される。ネットワークデータファイルの暗号化は、従って、ネットワークストレージシステムに対して透明（トランスペアレント）であり、ネットワークデータファイルをバックアップ及び復元ユーティリティーを含む既存の管理ツールを使用して従来通りに操作することを可能にし、しかもデータファイルコンテントのセキュリティを危険に曝らさない。
本発明の更に別の利点は、セキュアネットワークファイルアクセスアプライアンスが、記憶された時の保護ファイルデータの大きさと同様に、セキュアファイル転送の帯域幅要件を最小にするために暗号化と共にデータ圧縮を実施することができることである。ホットバックアップを維持するのに必要な接続スループット、及びプログレッシブ保存ファイルバックアップに必要なストレージスペースは低減される。ファイルデータ圧縮は、セキュアネットワークファイルアクセスアプライアンスのワイヤー速度作動における最小の低下で達成される。
本発明の更に別の利点は、セキュアネットワークファイルアクセスアプライアンスが、インフラストラクチャー構成要素として実施され、既存並びに新しいネットワークシステムにおける容易な統合を可能にすることである。セキュアネットワークファイルアクセスアプライアンスは、特に、地理的に分散したネットワークストレージシステムへのリモートアクセスをサポートする。アクセスセキュリティ制御の付加的な層は、ネットワーク接続のファイアウォールフィルタリングの統合的実施を通して提供され、これによって外部アクセス攻撃並びに不適切な内部アクセス攻撃に対する中央で管理された設定可能な保護をサポートする。
本発明の上記及び他の利点と特徴は、添付図面に関連して説明される本発明の以下の詳細説明を考察するとより理解されるであろう。添付図面において、同じ参照番号は、図面を通して同じ部分を示している。
本発明により実施されるセキュアネットワークファイルアクセスアプライアンスは、様々なネットワークインフラストラクチャー構成に有効に用いることができる。例示的なインフラストラクチャー環境１０は、図１に示されている。セキュアネットワークファイルアクセスアプライアンス１２は、ＳＡＮ１８及びネットワーク接続ストレージデバイス２０のような保護されたネットワークストレージリソース１６とクライアントコンピュータシステム２２及び２４との間の通信チャンネルとして作動するために、イントラネットインフラストラクチャー１４内の環境１０で実施されるのが好ましい。セキュアネットワークファイルアクセスアプライアンス１２は、セキュアネットワークファイルアクセスアプライアンス１２内で実行されるアクセスポリシーによって判断された時に、ネットワークストレージリソース１６に記憶されたファイルデータを選択的に暗号化する。本発明によると、ファイルデータ暗号化は、データの論理的なファイル指向構造を維持し、従って、ネットワークストレージリソース１６に対して透明（トランスペアレント）である。更に、セキュアネットワークファイルアクセスアプライアンス１２は、ＩＰファイアウォールのような作動をサポートするのが好ましく、セキュアネットワークファイルアクセスアプライアンス１２にイントラネットインフラストラクチャー１４からの排他的なインフラストラクチャー経路として機能させることができる。
セキュアネットワークファイルアクセスアプライアンス１２とネットワークストレージリソース１６又はＮＡＳリソース１６及び２６の一部としてのストレージリソースとの間でインフラストラクチャー１４の一部として実施されるネットワーク及び他のサーバ２６は、セキュアネットワークファイルアクセスアプライアンス１２の暗号化機能によって影響を受けないが、暗号化されたコンテントの許可されないアクセスに対しては保護される。アクティブに使用されたファイルデータ暗号鍵は、セキュアネットワークファイルアクセスアプライアンス１２内でだけ保持されて管理されるのが好ましい。従来のセキュア鍵保存サービスをセキュアネットワークファイルアクセスアプライアンス１２に提供するネットワークアクセス可能なトラステッドエージェントシステムは、長期間のストレージを提供し、鍵のオンデマンド検索をサポートする際に頼りにすることができる。暗号鍵は、ネットワーク接続ストレージデバイス２０又はネットワークサーバ２６に記憶されず、又はそれらから使用可能な形態で直接アクセスできない。
セキュアネットワークファイルアクセスアプライアンス１２は、ワイヤー速度で、かつ各読取、書込、及び関連するファイルアクセス要求のアクセス特権を限定する場合に最小の待ち時間で、まとめてファイルデータの読取及び書込要求を処理し、転送されたファイルデータを選択的に暗号化及び暗号解読し、更に転送されたファイルデータを選択的に圧縮及び解凍するのが好ましい。ファイルデータの往復暗号化は、インターネットを含む保護されていないネットワーク上のリモートネットワークストレージリソース１６への転送が実質的に保護されたままであることを保証する。往復圧縮は、特に転送が繰り返される大量の保存バックアップのためである場合に必要なファイルデータ転送帯域幅を大幅に低減する。
セキュアネットワークファイルアクセスアプライアンス１２での包括的なアクセスポリシー制御の実施は、ネットワークストレージリソース１６とファイルサーバ２６のそれに追加されるが基本的には独立しており、ファイルデータの集中化したアクセス管理を可能にする。ネットワークストレージリソース１６及びファイルサーバ２６によって実行されるアクセス許可及び他の制御は、ネットワークストレージリソース１６とファイルサーバ２６の一般的にリモート側で分散した性質のために、ネットワーク接続ストレージデバイス２０の追加及び再設定によってグローバルに維持するのが困難である。セキュアネットワークファイルアクセスアプライアンス１２によって提供されるアクセスポリシー制御は、様々なネットワークストレージリソース１６によって実行される従来のアクセス許可よりも極めて包括的であり、柔軟であり、かつ管理上均一である。
認証制御は、アクセスポリシー制御への補足的なものとしてセキュアネットワークファイルアクセスアプライアンス１２によってサポートされる。本発明の好ましい実施形態では、認証エージェントコードは、インストールされ、クライアント２２及び２４で実行され、ユーザセッション及び処理での認証を含むユーザ及びクライアント認証が可能になる。クライアント２２では、ユーザ２８は、ネットワークファイル、ウェブ、又はアプリケーションサーバとしてクライアント２２を利用する個々の又はリモート側に接続されたコンピュータシステムを提示することができ、従来のネットワーク対応オペレーティングシステム３２によってサポートされる従来のユーザアプリケーション３０を実行する。
修正されたファイルシステム３４は、ネットワークサーバ２６からの要求を含むネットワークストレージリソース１６に向けられたファイルシステム要求の選択的な認証処理を提供する。本発明の好ましい実施形態では、ファイルシステム３４は、ネットワークストレージリソース１６を表すディレクトリノードに対してオペレーティングシステム３２によってサポートされるファイルシステムスイッチ機能によってマウントされる。カーネルスペースで排他的でない場合に主として実行するエージェントプログラム３６によって提供される認証論理は、ファイルシステム３４に対して向けられたファイルシステム作動に応じて呼び出される。オペレーティングシステム３２を通じて、エージェントプログラム３６は、ユーザ、クライアント、処理、アプリケーション、及びセッション情報へのアクセスを有する。在席ユーザ認証が要求される場合、エージェントプログラム３６は、オペレーティングシステム３２を通じて相互運用され、ユーザ３０の認証ダイアログをアサートにするのが好ましい。次に、ユーザ応答情報は、ＬＤＡＰ及び他のネットワーク使用可能認証サーバ（図示せず）のような標準認証制御を使用して認証することができる。代替的に又は組み合わせて、ユーザ認証応答情報を、セキュリティ限定のためのセキュアネットワークファイルアクセスアプライアンス１２に送信することができる。
ユーザアプリケーション３０の認証は、エージェントプログラム３６を通じて自律的に行なわれる。ファイルシステム３４によって受信したユーザアプリケーション３０による第１ファイルシステム作動に応じて、又はユーザアプリケーション３０の起動の通知をオペレーティングシステム３２から受けてから、エージェントプログラム３６は、ユーザアプリケーション３０のロードされた２値画像のセキュアハッシュ識別を生成するのが好ましい。このハッシュ識別子及びアプリケーションファイル属性は、次に、検証のためのセキュアネットワークファイルアクセスアプライアンス１２に送信される。認証応答は、検証ステータスを供給するエージェントプログラム３６に戻される。セキュアネットワークファイルアクセスアプライアンス１２によって示された検証失敗又は他の異常は、要求されたファイルシステム作動の却下を結果としてもたらすのが好ましい。
クライアント２２のブート時のようなクライアント２２によるアプリケーションの不在実行は、アプリケーション認証装置によってサポートすることができる。アプリケーション起動プログラムユーティリティーは、ブート時に実行するようにスクリプトされるのが好ましい。ユーティリティーのアプリケーション認証により、在席ユーザ認証から得られる情報の欠如は、セキュアネットワークファイルアクセスアプライアンス１２によって例外として見なされない。アプリケーション起動プログラムユーティリティーは、次に、指定されたアプリケーション３０を起動させることができる。
ユーザ及びアプリケーション認証の状態は、ユーザセッション及び関連する処理識別子と共にエージェントプログラム３６によって維持されるのが好ましい。本発明の好ましい実施形態では、この認証情報及びエージェントプログラム３６のデジタル署名が組み合わされ、修正されたファイルシステム３４によって渡された各ファイルシステム要求と共にセキュアネットワークファイルアクセスアプライアンス１２に暗号化して送られる。ファイルシステム要求と共にユーザ及びエージェント認証情報を含むように修正された、ＮＦＳ／ＣＩＦＳネットワークファイルシステム層を含むネットワーク層３８は、セキュアネットワークファイルアクセスアプライアンス１２と通信するために使用される。好ましい実施形態では、ＮＦＳパケットヘッダフィールドは、ユーザ及びエージェント認証情報を記憶して転送するために既存のフィールドの再定義によって拡張されるのが好ましい。更に、定期的又はハートビートステータスリモート手続き呼出し（ＲＰＣ）パケットは、ユーザ及びエージェントの認証情報の現在の状態を反映するセキュアネットワークファイルアクセスアプライアンス１２にエージェントプログラム３６によって送られる。処理及びユーザセッションの特定の終了を含む認証に関連したクライアントの変更は、これによってセキュアネットワークファイルアクセスアプライアンス１２に迅速に通知される。
セキュアネットワークファイルアクセスアプライアンス１２間のファイルデータの移送は、一般的に、クライアント２２のようなクライアントが、ローカルインフラストラクチャー１４の一部である場合は安全である。移送がクライアント２４のようなリモートクライアントまで拡大する場合は、インターネット４０のような安全でないネットワークでは、従来の移送セキュリティプロトコルを透明（トランスペアレント）に用いることができる。図のように、仮想私設ネットワーク４２は、本発明によりユーザ３０の認証を仲介することなく用いることができる。代替的に又はそれに加えて、セキュアネットワークファイルアクセスアプライアンス１２’は、リモートクライアント２４に対してローカル側に配置することができ、これによってリモートクライアント２４及びネットワークストレージリソース１６間のファイルデータの移送を効率良く保護する。
本発明のための好ましい固定スケールのハードウエアプラットフォーム５０が図２に示されている。プラットフォーム５０は、「インテル（登録商標）Ｅ７５００」チップセット５２、デュアル２．２ＧＨｚ「インテル（登録商標）ゼオン（登録商標）」プロセッサ５４（インテル・コーポレーション、米国カリフォルニア州サンタクララ所在、ｗｗｗ．ｉｎｔｅｌ．ｃｏｍ）、及び「１−Ｇｂｙｔｅ ２００ＭＨｚダブルデータレート（ＤＤＲ）」メインメモリアレイ５６をサポートするマザーボード上に実装されるのが好ましい。チップセット５２は、６つの「ＰＣＩ−Ｘ」バス５８をサポートし、その各々は、８−Ｇｂｐｓのスループット及び少なくとも２４−Ｇｂｐｓのアセンブリスループットを超える能力を有する。入口及び出口ネットワーク接続をサポートする２つの１−Ｇｂｐｓネットワークインタフェースコントローラの基本構成、及び管理ネットワーク接続をサポートする１つの１０／１００Ｍｂｐｓネットワークインタフェースコントローラは、「ＰＣＩ−Ｘ」バス５８に接続される。３つの「ＨｉＦｎ（登録商標）７８５１」セキュリティプロセッサ６２の基本構成（Ｈｉｆｎ・インコーポレーテッド、米国カリフォルニア州ロスガトス所在、ｗｗｗ．ｈｉｆｎ．ｃｏｍ）は、プロセッサ５４の一般的なデータ処理及び制御機能にハードウエア加速式暗号化及び圧縮サポートを供給する。セキュリティプロセッサは、１チップにつき４００−Ｍｂｐｓを超えるスループットで「３−ＤＥＳ」を含む対称プログラム可能長ブロック暗号化アルゴリズムと、８０Ｍｂｐｓを超えるスループットで「ＬＺＳ」を含むプログラム可能長ブロック圧縮アルゴリズムをサポートする。
ＢＩＯＳプログラムとブートハードディスクドライブを含む他の周辺装置７０は、プラットフォーム５０の基本作動を可能にするために、チップセット５２を通じてサポートされる。プラットフォーム５０は、市販の「Ｒｅｄ Ｈａｔ（登録商標）」リナックス（レッド・ハット・インコーポレーテッド、米国ノースカロライナ州レイリー所在、ｗｗｗ．ｒｅｄｈａｔ．ｃｏｍ）に基づいてリナックスベースのオペレーティングシステムを起動して実行するのが好ましい。セキュアネットワークファイルアクセスアプライアンス１２のソフトウエアベースの認証及びアクセス機能は、リナックスカーネルスペースでロードして実行するのが好ましい。管理及びサポートユーティリティーは、ユーザモードのアプリケーション及びデーモンとして実施されるのが好ましい。
セキュアネットワークファイルアクセスアプライアンス１２のための代替の高スループット拡張可能ハードウエアプラットフォーム８０が図３に示されている。この拡張可能アーキテクチャは、一般的に、本明細書において引用により組み込まれている、Ｐｈａｍ他に付与された「セキュアストレージのためのネットワーク媒体暗号化アーキテクチャ及び方法」という名称の２００１年１２月３日申請の米国特許出願出願番号第１０／０１６、８９７号に開示されたアーキテクチャと一致する。簡単には、複数のブレードベースのアクセスプロセッサ８２1-Nの各々は、組込み型リナックスオペレーティングシステムのインスタンスを実行する中央プロセッサを実装するのが好ましい。１つ又はそれ以上の暗号化及び圧縮セキュリティプロセッサは、ハードウエア加速エンジンとして各ブレードに供給される。直接ネットワークインタフェース接続６２の代わりに、高速スイッチ構造８４を通じたパケット接続は、１０Ｇｂｐｓ又はそれよりも速いスループットネットワークインフラストラクチャー接続９０及び９２へのパケットルータとして働く入口プロセッサ８６と出口プロセッサ８８へのデータ経路を提供する。
制御プロセッサブレード９４は、他のブレード８２1-N、８８、９０を管理してモニタする。制御プロセッサブレード９４は、ブレード８２1-N、８８、９０上の組込み型オペレーティングシステムインスタンスのブートをサポートし、アクセスプロセッサブレード８２1-N間の共通暗号化及び圧縮構成と制御情報の共用を調整する。別々の管理ネットワークインタフェースコントローラ９６が、管理ネットワーク９８から制御プロセッサ９４への独立アクセスを可能にするために供給される。
本発明の好ましい実施形態のためのプラットフォーム５０上で実行される制御プログラムに実装される論理制御及びプロトコル処理機能が図４に示されている。インバウンドファイル要求は、ネットワークファイルシステム（ＮＦＳ）及び共通インターネットファイルシステム（ＣＩＦＳ）のようなネットワーク分散型ファイルシステムによって実行される様々なネットワークファイルシステムメッセージを包含するネットワークデータパケットとして受信される。これらのネットワークデータパケットは、試験及び処理のための各受信したデータパケットのプロトコル層及びパケットペイロードデータ１１６に包含される制御情報１１４を明らかにするように処理される。
更に、アプリケーション及びステータス情報は、ネットワーク接続クライアント２２及び２４から専用ネットワークポートで受信するエージェントモニタリング処理１１８によって集められる。ハートビートネットワークパケットから取得されたクライアントステータス情報は、認証及びアクセス制御処理１２０へ中継される。クライアントハートビートの連続性は、クライアント許可セッションを維持するために使用される。エージェントプログラム３６によって仲介されたユーザ認証シーケンスが正常に終了したことを最小限反映するユーザ認証セッション情報は、ハートビートデータパケット内の認証及びアクセス制御処理１２０に供給することができる。チェックポイント間隔におけるユーザ認証セッション情報の送信は、許可されなかったアプリケーションの実行に対してどのクライアント処理も変換されないように保護する働きをする。認証及びアクセス制御処理１２０は、認証サーバ、ユーザ及びクライアント識別子として直接作動し、エージェントプログラム３６によって取得されたユーザパスワードは、エージェントモニタ処理１１８を通じて中継される。許可応答は、認証及びアクセス制御処理１２０によって維持されたユーザ及びクライアント認証ポリシー情報に基づいて、認証及びアクセス制御処理１２０によって作成されて戻される。
図５に関して、認証実施は、新規ユーザ処理１３２の初期確立と関連するエージェントプログラム３６への呼出しを要求することによって可能になる。ユーザ認証は、ユーザログイン及びパスワードに対して、ＬＤＡＰのような従来の認証サービスを通じてエージェントプログラム３６のユーザモード構成要素により直接行なわれる。代替的に、ユーザ認証は、「ＤＣＥ／ＯＳＦ−ＲＦＣ ８６．０」（プラグ可能認証モジュール（ＰＡＭ）による統合ログイン、ｗｗｗ．ｏｐｅｎｇｒｏｕｐ．ｏｒｇ／ｔｅｃｈ／ｒｆｃ／ｒｆｃ８６．０．ｈｔｍｌ）と一般的に一致するプラグ可能認証モジュールを直接経由することができる。どちらの場合も、ユーザの認証におけるエージェントプログラム３６は、オペレーティングシステム３２によって確立され、オペレーティングシステム３２から取得されるログイン処理識別子（ＬＰＩＤ）、ユーザ識別子（ＵＩＤ）、及びグループ識別子（ＧＩＤ）によって定義された認証されたユーザセッションを確立する。
認証修正ファイルシステム３４は、ユーザ処理１３２によって出されたファイル要求１３４を受け取る。認証修正ファイルシステム３４と共に作動するエージェントプログラム３６のカーネルモード部分は、オペレーティングシステム３２構造にアクセスすることにより、各ファイル要求１３４について送信元処理識別子を判断する。エージェントプログラム３６によって維持され、判断された処理識別子によって配置される認証ユーザセッション情報は、次に、ネットワーク層３８を通じて処理されるネットワークファイルシステム要求１３４に内包するために修正されたネットワーク層３８に供給される。
認証された処理１３２から発生したクライアント処理１３６は、依然として親認証ユーザセッションの一部である。親処理識別子の連鎖は、対応する認証ユーザセッションと共に子処理１３６からファイル要求１３８を関連させるためにエージェントプログラム３６によって辿られる。個々の処理のレベルでアクセス管理をサポートするために、認証ユーザログイン親処理識別子（ＬＰＩＤ）と現在の処理識別子（ＰＩＤ）の両方は、セキュアネットワークファイルアクセスアプライアンス１２に送られるファイル要求に対応するセッション及び処理に内包するために、修正されたネットワーク層に供給されるのが好ましい。
本発明の好ましい実施形態では、エージェントプログラム３６によって生成されたセッション識別子を含む認証ユーザセッション情報は、エージェントモニタリング処理１１８と共にセキュア鍵交換によって取得されたセッション鍵を使用して暗号化される。従って、結果生じた拡張ＮＦＳ要求は、少なくともセッション識別子、要求ソースＩＰ、ユーザ識別子、グループ識別子、及び処理識別子を含むセッション制御情報をセキュアネットワークファイルアクセスアプライアンス１２に安全に移送する。
エージェントプログラム３６は、認証ユーザセッション処理１３２及び１３６での実行のためにロードされるユーザアプリケーション３０の認証をサポートするのが好ましい。実行のためにロードされたデジタル署名されたアプリケーションは、トラステッドＰＫＩ、ＬＤＡＰ、又は他の認証サーバから取得されるデジタル証明に対してエージェントプログラム３６によって従来通りに検証することができる。認証サーバのアイデンティティ及び証明書のようなアプリケーション認証情報は、独立して検証されるアプリケーションの監査をサポートするために対応するファイル要求と共に提供されるセッション情報を有する修正されたネットワーク層３８によって潜在的に含むことができる。
エージェントプログラム３６による自律的なアプリケーション認証は、セキュアネットワークファイルアクセスアプライアンス１２を通じてサポートされる。処理１３２及び１３６で実行するためのアプリケーションのロードにおいては、エージェントプログラム３６が呼び出され、アプリケーション２値画像を発見し（１４２）、アプリケーションファイルネーム、経路、許可、及びファイルサイズを含むアプリケーションファイル属性を検索するために、オペレーティングシステム３２を通じて実行される。セキュアハッシュ署名が、アプリケーションバイナリのために作成される。本発明の好ましい実施形態では、２０バイトハッシュ署名が、「ＳＨＡ−１」アルゴリズムを使用して作成される。ハッシュ署名、ファイル属性、及びセキュアアプリケーショントークンを包含するアプリケーション認証要求は、次に、エージェントモニタリング処理１１８に向けられたＲＰＣでセキュアネットワークファイルアクセスアプライアンス１２に渡される。セキュアアプリケーショントークンは、セキュアネットワークファイルアクセスアプライアンス１２又はトラステッド第三者認証サーバによって記憶された公開／秘密鍵対のうちの公開鍵、アプリケーションネーム、及びアプリケーション２値画像のセキュアハッシュ署名と公開鍵で暗号化されたアプリケーションファイル属性を包含する構造を含むのが好ましい。トークンは、管理上判断された認証アプリケーションに対してセキュアネットワークファイルアクセスアプライアンス１２又は他のトラステッドアプリケーション認証子を通じて管理上優先して作成される。認証されたアプリケーションのトークンは、クライアント２２及び２４に記憶されるか、又はそうでなければ、クライアント２２及び２４にアクセス可能にされる。ロードされた２値画像に設けられたアプリケーションファイルネームは、エージェントプログラム３６によって対応するトークンを更に見つけるのに使用される。
アプリケーション認証要求の提示において、セキュアネットワークファイルアクセスアプライアンス１２は、トークン内に供給された公開鍵をセキュアネットワークファイルアクセスアプライアンス１２と共に管理上優先して登録された既知の有効な公開鍵と比較する。暗号解読されたトークンハッシュ署名とファイル属性は、エージェントプログラム３６によって要求に別々に供給されたハッシュ署名とファイル属性に対して検証され、戻りＲＰＣは、エージェントプログラム３６に検証ステータスを伝える。ロードされたアプリケーションが認証に失敗した場合、対応するアプリケーション処理１３２及び１３６を終了することができる。代替的に、許可されなかったアプリケーションから引き続き受信したネットワークファイルシステム要求１３４及び１３８は、修正されたファイルシステム３４によって無視するか又は拒否することができる。従って、それ以外の認証されたユーザセッション内では、本発明のアプリケーション認証規定は、認証されたアプリケーションの完全に定義されたセットに対して、ユーザ処理実行上の明確かつ機能的な限定を実施することができる。
再び図４を参照すると、パケット処理１１２によって明らかにされ、エージェントモニタリング処理１１８から受信されるようなパケット制御情報１１４及びアプリケーション情報１２２は、セキュアネットワークファイルアクセスアプライアンス１２によって受信した各ネットワークファイルデータパケットのための認証及びアクセス制御処理１２０に供給される。認証及びアクセス制御処理１２０は、セキュアネットワークファイルアクセスアプライアンス１２の管理上判断されて機能的にサポートされる作動を表すポリシーストアを含むのが好ましい。このポリシーは、認証及びアクセス制御処理１２０に示されている情報１１４及び１２２に対してポリシールックアップを可能にする高性能ハッシュテーブルに記憶されるのが好ましい。ファイル要求の監査ログ、並びにエラーログ及び拒否された作動のログは、認証及びアクセス制御処理１２０によって作成される。
受信したネットワークファイルパケットに適用可能なポリシーセットは、パケット制御情報１１４で供給されるデータのどれに基づいてもプログレッシブに区別することができる。特に、ＩＰ層データは、個別に又はサブネットによって定義されたクライアントに対して定義される特定のアクセス制約条件を許可する送信元及び宛先ＩＰを供給する。標準ＮＦＳ／ＣＩＦＳ層データは、要求するユーザＵＩＤ及びＧＩＤ、並びにマウントポイント、ファイルシステム経路、及び適用可能なファイルネームを一般的に含む完全に限定されたファイル又はディレクトリ基準を供給する。アプリケーション情報１２２層は、ユーザセッションを識別し、実行及び親処理識別子を供給する。アプリケーション情報１２２層は、利用される場合、アプリケーションネーム及び署名を提供する。提供された情報１１４及び１２２に対するポリシーセットの正常な区別は、ネットワークストレージリソース１６に対して移送されたネットワークファイルパケットの処理を可能にして限定する。
ポリシーセット区別失敗の様々な考えられ得るタイプの取扱いは、ポリシーセットによって定義されるのが好ましい。区別失敗は、一般的に、ユーザ許可の失敗及び許可されなかったアプリケーションの実行の試み、許可されなかったソースＩＰアドレス、及び参考ファイルが使用できないこと、又は適切なユーザ、グループ、又はファイル許可の不足による不適切なファイル基準を含むことになる。失敗の性質に応じて、ポリシーセットによって定義された区別失敗取扱いは、詳細な監査の作成、エラーログ入力、及び電子メール及び音声メッセージの自動作成を潜在的に含む管理警報の即座の発行を指示することになる。ポリシーセット区別失敗取扱いは、ＮＦＳ／ＣＩＦＳ状態機械１２４によって生成され、クライアント２２及び２４に戻されるどのＮＦＳ／ＣＩＦＳネットワークファイルエラーデータパケットのタイプ及びコンテントも更に定義されるのが好ましい。
本発明によると、ポリシーセットのプログレッシブな区別は、パケットペイロードデータ１１６への暗号化及び圧縮のアクティブアプリケーションを判断する。クライアント２２及び２４からのインバウンドネットワークファイルデータパケットでは、制御情報１１４及び１２２に供給されるデータのどの組合せも、パケットペイロードデータが特定の暗号鍵に対して暗号化され、特定の圧縮アルゴリズムを使用して圧縮されるか否かを識別する署名として利用することができる。好ましい基本ポリシーセットは、マウントポイント、更に、特にファイル作成のために使用されるデフォルト暗号鍵を通じてアクセスを許可されたソースＩＰ、ユーザ識別子、及びグループ識別子の組合せを基本的に定義する。複数のポリシーセットは、ソースＩＰ、ユーザ識別子、及びグループ識別子の異なる仕様を有し、同じマウントポイントに応用することができるか、又は要求で識別されたネットワークファイルのための経路仕様及びファイルタイプ拡張のような付加的な制御情報の仕様によって応用することができる。ポリシーセットは、供給された制御情報の固有の組合せが別々のポリシーセットに確実に分解するように管理上処理される。経路仕様情報がそれ以外の適合するポリシーセットの範囲を確立するのに利用される場合、経路仕様、ファイルネーム、及びファイル拡張の最良適合は、データ暗号化及び圧縮のデフォルト適用性を見分けるのに使用されるのが好ましい。
ネットワークストレージリソース１６から戻されたネットワークファイルパケットは、同様に処理され（１１２）、パケット制御情報１１４を明らかにし、付随するパケットペイロードデータが解凍及び暗号解読を必要とするか否かを判断する場合にデータの組合せが考慮されるようにする。また、本発明によると、ネットワークストレージリソース１６から戻された暗号化されたネットワークデータパケットは、送信元の適切な認証及び戻されたネットワークファイルパケットのシーケンスを可能にする認証及びアクセス処理１２０により、制御情報１１４の試験を保証するものとされる。
セキュアネットワークファイルアクセスアプライアンス１２に呈示され、暗号化又は圧縮化を判断されたパケットペイロードデータは、暗号化及び圧縮処理１２６を通じて論理アクセスブロック（ＬＡＢ）のシーケンスに処理されるのが好ましい。暗号化及び圧縮処理１２６の一部として、本発明の好ましい一実施形態によると、各論理アクセスブロックは、適用可能な暗号鍵及び圧縮アルゴリズムの少なくとも１つの間接的な識別子でマーク付けされる。従って、アウトバウンドネットワークデータパケットの解凍及び暗号解読ステータスがソースディレクトリ仕様によって提案することができる場合は、適用可能な暗号鍵及び圧縮アルゴリズムは、論理アクセスブロックに関連する暗号化及び圧縮識別子に基づいて判断される。論理アクセスブロックの暗号解読及び解凍は、従って、ディレクトリ仕様又は他の独自に変更することができるネットワークファイルの態様に本質的に依存しない。
適用可能なポリシーセットの区別は、本発明の好ましい実施形態によると、様々なネットワークストレージリソース１６の複数のインバウンド仮想マウントポイントのセキュアネットワークファイルアクセスアプライアンス１２によるサポートによって拡張される。図６に示すように、複数の仮想されたマウントポイント／ｄｅｖ／ｈｄ＿ａ、／ｄｅｖ／ｈｄ＿ｂ、／ｄｅｖ／ｈｄ＿ｃ、及び／ｄｅｖ／ｔｄ＿ｄは、セキュアネットワークファイルアクセスアプライアンス１２の構成に管理上定義することができる。これらの仮想マウントポイントは、別名によって同じものとの定義されたマッピング、又は様々なネットワークストレージリソース１５６及び１５８によってサポートされる別の現実のマウントポイントによって独自に関連付けられる。仮想マウントポイントを示されたネットワークファイルシステムのどれをマウントするためのクライアント１５２及び１５４ファイル要求も、仮想マウントポイントの存在を有効にする役目を最小限果たし、任意的に、更に許可されたマウント要求ソースＩＰを区別するポリシーセットによって限定して拘束することができる。
本発明によると、仮想マウントポイントは、クライアント１５２及び１５４ＮＦＳ／ＣＩＦＳネットワークファイルトランザクションの適用可能なアクセスポリシーセットを区別する機能を更に拡張する。セキュアネットワークファイルアクセスアプライアンス１２に向けられた各ネットワークファイルパケットと共に供給された制御情報１１４は、目標マウントポイントを識別する。本発明の好ましい実施形態によると、認証及びアクセス制御処理１２０は、識別された仮想マウントポイントに基づいて適用可能なポリシーセットを論理的に選択する。選択されたポリシーセットによって示された更に別の制約は、ネットワークファイルデータパケットが処理される方法を判断するのに同時に使用される。例えば、／ｄｅｖ／ｈｄ＿ａ仮想マウントポイントを通じてネットワークリソース１５６にアクセスするそれ以外の許可されたクライアント１５２及び１５４は、読取専用ＮＦＳ／ＣＩＦＳトランザクションに限定することができる。／ｄｅｖ／ｈｄ＿ｂ仮想マウントポイントに関連する別のポリシーセットは、定義されたサブネットワークから発するＮＦＳ／ＣＩＦＳ要求に更に限定される明確に定義されたＵＩＤのセットのみにより、読み／書きアクセスをサポートすることができる。
別の実施例として、管理上バックアップサービスを提供するのに限定される、クライアント１５４によるネットワークストレージリソース１５６の読み書きアクセスは、仮想マウントポイント／ｄｅｖ／ｈｄ＿ｃを通じて広くサポートすることができる。マウントポイント／ｄｅｖ／ｈｄ＿ｃに関連するポリシーセットは、前に暗号化されたファイルの暗号解読を無効にすると同時にネットワークストレージリソース１５６への読み書きアクセスを可能にするのが好ましい。仮想マウントポイント／ｄｅｖ／ｔｄ＿ｄのポリシーセットは、保存ネットワークストレージリソース１５８への書込中に前に暗号化されなかったファイルの暗号化及び圧縮を供給し、読み取り中に暗号解読及び解凍をもたらすのが好ましい。その結果、限定されたバックアップアクセス権を有するユーザは、前に暗号化されたファイルのセキュアストレージを侵すことなくファイルのバックアップ及び解凍を完全に管理することができる。従って、仮想されたマウントポイントに基づいてポリシーセットを区別することは、クライアント１５２及び１５４間のアクセス権を管理する場合の広範な柔軟性をもたらす。
認証及びアクセス制御処理１２０の作動によって許可又は無効にされたネットワークファイルパケットは、図４に示すようにＮＦＳ／ＣＩＦＳ状態機械１２４に信号で伝えられる。特に、ＮＦＳ／ＣＩＦＳトランザクションを含む選択ファイルデータトランザクションを表すネットワークファイルパケットのシーケンスは、本発明によりＮＦＳ／ＣＩＦＳ状態機械１２４によって追跡され、ＮＦＳ／ＣＩＦＳネットワークパケット移送ファイルデータの選択的な暗号化及び圧縮をサポートし、ネットワークストレージリソース１６によって記憶されたネットワークファイルのサイズ及び構造における付随的な変更を管理する。マウント及び非マウント要求ＲＰＣは、基本的に、クライアント１５２及び１５４とセキュアネットワークファイルアクセスアプライアンス１２との間のアトミック演算である。マウント要求の受け取りに応じて、適用可能なポリシーセット及び対応する現実のマウントポイントで識別された基本となるネットワークストレージリソース１６を使用することができるという判断に基づいて、アクセスは、認証及びアクセス制御処理１２０によって任意的に判断される。次に、マウント又は非マウント要求の成功又は失敗を通知するＲＰＣ応答が戻される。
ＮＦＳ／ＣＩＦＳ状態機械１２４は、セキュアネットワークファイルアクセスアプライアンス１２を通じて処理された各ＮＦＳ／ＣＩＦＳトランザクションの状態を追跡する。追跡される原理ＮＦＳ／ＣＩＦＳトランザクションは、「読取」、「書込」、及び「作成」を含む。全ての他のＮＦＳ／ＣＩＦＳ定義トランザクション（一般的に要求）も、ＮＦＳ／ＣＩＦＳ状態機械１２４によって追跡される。オフセット及び範囲によって定義されたファイルデータのインバウンド読取要求から続く読取トランザクションは、読取要求を構築する段階を伴い、読取オフセットは、暗号化及び圧縮ブロック境界に調整して戻され、その範囲は、ブロック境界の端までファイルデータの暗号化及び圧縮を可能にするように調整される。次の状態は、ネットワークストレージリソース１６に読取要求を出す段階と、応答の連続するネットワーク読取ファイルデータパケットを受信する段階と、受信されたパケットペイロードデータの暗号解読及び解凍が必要な場合に処理する段階とを含む。最後の読取トランザクション状態は、初期要求されたオフセット及び範囲の読取ファイルデータを抽出する段階と、読取ファイルデータと共に１つ又はそれ以上のネットワークファイルデータパケットを構築し戻す段階とを含む。
ＮＦＳ／ＣＩＦＳ書込トランザクションは、既存の記憶されたファイルデータが暗号化又は圧縮される場合に読取／修正／書込作動を要求する。書込トランザクションは、書込要求を受け取る段階と、暗号化及び圧縮ブロック境界に調整して戻された書込ロックオフセットと、ブロック境界の端までファイルデータの暗号化及び圧縮を可能にするように調整された範囲とを有するロック要求を構築する段階とを含む。次のトランザクション状態は、調整された書込オフセット及び範囲終端を含むどの初期及び最終部分ファイルデータページの読取要求をも発する段階と、クライアントから受信されたファイル書込データの対応する部分を含むように読取データページを暗号解読し、解凍し、更に修正する段階と、ファイル書込データを暗号化し、適切な場合に圧縮する段階と、対応する書込要求を構築し、ネットワークストレージリソース１５６に発する段階とを含む。最後の書込状態は、非ロック要求を構築してネットワークストレージリソース１５６に送る段階と、書込要求回答を構築してクライアントに送る段階とを含む。
属性を獲得して確立し、アクセス許可を獲得し、ディレクトリを作るようなＮＦＳ／ＣＩＦＳ要求は、一般的に、セキュアネットワークファイルアクセスアプライアンス１２によって管理されるアトミックトランザクションであり、ネットワークストレージリソース１５６とのインフラストラクチャー互換性をサポートする。要求トランザクションは、クライアント要求を受け取る段階と、対応する要求を構築しネットワークストレージリソース１５６に送る段階とを伴う。ネットワークストレージリソース１５６からの要求応答の受け取りに応じて、トランザクションに包含された特定の要求により、ネットワークストレージリソース１５６に記憶されたネットワークファイルの報告されたファイルサイズ及び他の属性に対して調整が行なわれる。次に、対応する要求応答が構成されてクライアントに送られる。
ＮＦＳ／ＣＩＦＳ作成トランザクションは、ファイル作成要求を受け取る段階と、新しいファイルのためのファイル管理ヘッダを構成する段階と、対応する要求を構築してネットワークストレージリソース１５６に送る段階とを伴う。ネットワークストレージリソース１５６からの要求応答の受け取りに応じて、対応する要求応答が再び構成されてクライアントに送られる。
図７は、本発明の好ましい実施形態に使用されるソフトウエアアーキテクチャ１７０のブロック図及び流れ図を示す。インバウンドネットワーク通信は、第１ネットワークインタフェース１７２を通じて処理される。クライアント２２及び２４から受信したネットワークファイルデータパケットは、認証処理１７６のためのネットワーク制御情報１１４を露出して配信するために処理される（１７４）。対応するエージェントアプリケーション２８から収集されたアプリケーション制御情報１２２は、認証処理１７６のサポートのためにエージェントインタフェース１７８を通じて提供される。
ポリシーパーサ１８０との対話に基づいて、ネットワーク及びアプリケーション制御情報１１４及び１２２の選択された構成要素は、ポリシーデータストレージ１８２に維持される認証パラメータと比較される。ポリシーパーサ１８０は、判断ツリー論理を実行し、受信したネットワークファイルデータパケットによって表されるネットワークファイル要求を処理するために必要な認証のレベル、及びその認証レベルが満たされたか否かを判断するのが好ましい。
ネットワーク及びアプリケーション制御情報１１４及び１２２は、許可されたユーザが対応するネットワークストレージリソース１６へのアクセスを許されるかを判断するために処理される（１８４）。ポリシープロセッサ１８０及びポリシーデータストア１８２は、ネットワークファイル要求と共に供給されたアクセス属性が、ネットワークファイル要求によって識別された特定のネットワークストレージリソース１６へのアクセスを可能にするのに適切か否かを判断するように作動する。
論理的に別々の作動の間、認証及びアクセス処理１７６及び１８４は、同時に行なわれるのが好ましい。本発明の好ましい実施形態では、基本判断ツリー論理シーケンスは、要求されるネットワークファイル作動、仮想マウントポイント、目標ディレクトリ及びファイル仕様、クライアントＩＰ、ユーザＵＩＤ及びＧＩＤ、それにクライアントセッション及び処理識別子の論理的な組合せを考慮する。ネットワークファイル要求と共に供給され、以前にエージェントプログラム３６によって供給されたアプリケーション認証データと、エージェントインタフェース１７８によって定期的に報告されるクライアントセッションの連続性状態も考慮される。ネットワークファイルアクセス要求の性質、タイミング、及び周波数に関して蓄積された付加的な状態データが考慮される。この状態データは、セキュアネットワークファイルアクセスアプライアンス１２によって蓄積され、ネットワークファイルアクセス要求、並びにセキュアネットワークファイルアクセスアプライアンス１２を通じて処理されるネットワークファイルアクセス作動の動的トラフィック形成に対して、静的時間スケジューリング及びクォータ制御をサポートする。また、蓄積された状態データは、管理警報の発令を正当化する侵入の試み又は他の状況として閾値が限定するファイルアクセス要求におけるパターンの動的検出を可能にする。判断ツリー評価は、ファイルアクセス要求の以前のシーケンスを考慮し、これによって現在のネットワークファイルアクセス要求の許可されるサポートを限定する。
ポリシーデータは、仮想マウントポイントのセットと、現実のマウントポイントへの仮想マウントポイントのマッピングとを定義するために管理上確立される。また、ポリシーデータは、アプリケーション認証がセキュアネットワークファイルアクセスアプライアンス１２によるクライアント実行又は作動的応答に対して前提条件として実施されるか否かによらず、許可されるクライアントソースＩＰ範囲と、ユーザセッション認証が大量に生じる処理又は異なるＵＩＤ又はＧＩＤを有する処理に広げられるか否かによらず、実行又は応答可能アプリケーションの認証されたデジタル署名の限定されて許可されたセットと、制御情報１１４及び１２２に対してポリシーパーサ１８０の作動で適合させるか又はそうでなければ区別するのに使用することができる他のデータとを様々に定義することができる。この管理上確立されたポリシーデータは、ネットワーク及びアプリケーション制御情報１１４及び１２２の評価において、ポリシーパーサ１８０によってポリシーストア１８２から論理的にアクセスされる。本発明の好ましい実施形態では、判断ツリー論理及びポリシーデータは、ネットワーク及びアプリケーション制御情報１１４及び１２２の迅速な評価を可能にするハッシュテーブルに記憶される。
ネットワーク及びアプリケーション制御情報１１４及び１２２、並びに許可及びアクセス処理１７６及び１８４の判断された結果は、ＮＦＳ／ＣＩＦＳ状態機械処理１８６への制御入力である。読取、書込、及び作成ＮＦＳ／ＣＩＦＳトランザクションシーケンスに包含された様々なＮＦＳ／ＣＩＦＳ要求及び回答メッセージを含む非ファイルデータメッセージは、準備されて（１８８）、状態機械処理１８６からインバウンドネットワークインタフェース１７２及びアウトバウンドネットワークインタフェース１９２へ直接転送される（１９０）。仮想から現実へのマウントポイントマッピングデータのようなネットワークファイル要求及び回答データパケットの作成をサポートするのに必要なポリシーデータは、必要な時にポリシーデータストレージ１８２からアクセスされる。
通常のネットワークファイルデータが、クライアント２２及び２４からインバウンドされたネットワークファイルデータパケットに含まれる場合は、パケットペイロードデータ１１６が論理アクセスブロック（ＬＡＢ）のシーケンスで処理され（１９４）、供給されたネットワークファイルデータパケットは、暗号化又は圧縮のためのアクセス処理１８４を通じて限定される。限定されなかったネットワークファイルデータパケットのパケットペイロードデータ１１６は、ネットワークデータパケットにそのまま処理され（１９４）、ネットワークストレージリソース１６への送信のためにネットワークインタフェース１９２に供給される。
図８Ａに表されるように、ネットワークファイルデータパケットのパケットペイロードデータは、ファイルシステム３６によって認識されるファイル２２０の読み取られ、かつ書き込まれた部分に相当する。一般的に、図８Ｂに示すような個々のパケットペイロードデータ２２２は、パケットペイロードデータ２２２の対応する部分を含む各論理アクセスブロックを有する図８Ｃに示すような論理アクセスブロック２２４1-Nのシーケンスに処理される（１９４）ことが好ましい。本発明の第１の実施形態では、ファイル管理ヘッダ２２６は、現実マウントポイントに関連する全てのファイルについて仮想化され、ポリシーストア１８２によって保持されたポリシーデータの一部として効率的にプラットフォーム５０によってローカル側に記憶される。適用可能なファイル管理ヘッダは、要求された仮想マウントポイントに適用可能なポリシーセットの一部として検索される。本発明の好ましい実施形態は、各作成ファイルＮＦＳ／ＣＩＦＳトランザクションと関連するファイル管理ヘッダ２２６の作成を提供する。一実施形態では、ファイル管理ヘッダ２２６が作成され、ネットワークストレージリソース１６上のファイル２２０の作成の一部としての第１ファイルデータブロックとして効率良くネットワークストレージリソース１６に書き込まれる。１つ又はそれ以上の論理アクセスブロック２２４は、ネットワークストレージリソース１６で作成されたものとしてこれ以降ファイルに追加することができ、引き続きランダムな順序で読取及び書込を行うことができる。代替的に、ネットワークストレージリソース１６に関してデータの記憶及び検索を最適化するために、個々の論理アクセスブロック２２４及びファイル管理ヘッダ２２６又はその部分集合を、同じ又は異なるファイルスペース及びストア内の別々のＩ／Ｏページに書き込むことができる。どちらの場合も、本発明によると、ネットワークストレージリソース１６に向けられた限定されたファイルデータ読取及び書込は、クライアントネットワークファイルデータ要求のオフセット及び範囲を伴う個別の論理アクセスのブロック整列した移送として行なわれる。
ファイル管理ヘッダ２２６及び論理アクセスブロック２２４は、ネットワークストレージリソース１６へ移送するためのファイルデータの通常のブロックでない場合は、ネットワークファイルデータパケットに再パッケージ化される。セキュアネットワークファイルアクセスアプライアンス１２によるネットワークファイルデータの暗号化及び／又は圧縮は、従って、本発明の作動によるネットワークストレージリソース１６に対する読取及び書込には全く透明（トランスペアレント）である。
ファイル管理ヘッダ２２６の好ましい構造は図８Ｄに示され、以下の表１に更に詳しく示されている。ファイル管理ヘッダ２２６は、固有のファイルＧＵＩＤ２２８、セキュリティパラメータインデックス（ＳＰＩ）２３０、及びセキュリティ署名２３２を含むのが好ましい。ファイルＧＵＩＤ２２８は、ファイルに１６０ビットの固有のランダム識別子を供給するために、クライアントＩＰ、ユーザＵＩＤ、及びファイル作成時間のようなファイルに関するデータの「ＳＨＡ−１」ベースのセキュアハッシュであるのが好ましい。セキュリティパラメータインデックス２３０は、暗号鍵識別子（Ｋｅｙ）２３４、セキュリティオプションアレイ（Ｉｄｘ）２３６、及びファイル関連情報（Ｉｎｆｏ）２３８を含むセキュリティ情報の複合物であるのが好ましい。
暗号鍵識別子２３４は、ファイル２２０の論理アクセスブロックに包含されたファイルデータを暗号化するのに用いられる暗号鍵のネームの暗号化された呈示であるのが好ましい。暗号鍵のネーム／鍵値の対は、セキュアネットワークファイルアクセスアプライアンス１２によって利用され、ポリシーデータストレージ１８２で管理上定義されて記憶される。アクセス処理１８４の結果、暗号鍵が新しいファイルに関連付けられる場合、対応する暗号鍵のネームは、可能な場合は再度「ＳＨＡ−１」アルゴリズムを使用して安全に要約され、ファイル管理ヘッダ２２６の鍵識別子フィールド２３４に記憶される。
また、セキュリティパラメータインデックス２３０は、任意的に、暗号化された形態でのリンクリストストレージとファイル２２０の暗号鍵値とを含むことができる。リンクリストでの各入力は、公開鍵及び暗号鍵値の組を含む。公開鍵は、サーバに対するトラステッド暗号鍵に相当し、暗号鍵値はエージェントの公開鍵で暗号化される。異なるセキュアネットワークファイルアクセスアプライアンス１２’によるネットワークファイルデータの検索では、公開鍵で識別されたエージェントサーバを暗号化された鍵値を回復するために使用することができる。複数の独立したエージェントサーバにサポートを提供することにより、暗号化された鍵値を常に回復することができる。
セキュリティオプションアレイ２３６は、ファイル管理ヘッダ２２６に関連する論理アクセスブロック２２４に適用されるセキュリティ機能のインデックスリストを供給する。これらのオプションは、暗号化が使用されるか否か及び適用可能な暗号化アルゴリズム、圧縮が使用されるか否か及び適用可能な圧縮アルゴリズム、暗号鍵の名前のルックアップがユーザ又はグループベースであるべきか、エージェント暗号鍵リストが存在するか否か、及びデジタル署名検査による不正変更検出が実施されるか否かに関する識別子を含むのが好ましい。ファイル関連情報２３８フィールドは、ファイル作成者に対応するＧＵＩＤのような様々な他の情報のストレージを提供する。
最後に、セキュリティ署名２３２は、巡回冗長検査（ＣＲＣ）値及びデジタル署名のためのストレージを提供する。ＣＲＣ値は、ブロック保全性検査を可能にするために、ファイル管理ヘッダ２２６の先行する部分の２進値を計算するのが好ましい。デジタル署名は、ファイル管理ヘッダ２２６のどの部分でも不正変更の検出を可能にするために、ＣＲＣフィールドを含むファイル管理ヘッダ２２６の先行する部分について計算される。
論理アクセスブロック２２４の好ましいインバンド構造は、図８Ｄに示されている。論理アクセスブロック２２４の一次フィールドは、ＬＡＢデータフィールド２４０、ＬＡＢ署名フィールド２４２、及び任意的なＬＡＢ圧縮ヘッダ２４４を含む。ＬＡＢデータフィールド２４０は、パケットペイロードデータ２２２の暗号化及び／又は圧縮された部分を伴う。ＬＡＢデータフィールド２４０のサイズは、ファイルシステム３６によって認識される自然又は手頃なブロックサイズの倍数として名目上設定され、更に、ブロック暗号化アルゴリズム効率のために選択される。
本発明によると、パケットペイロードデータ２２２の論理アクセスブロック２２４へのセグメンテーションにより、ファイルデータのかなりの大きさのブロックをアトミックユニットとして暗号化して圧縮することができる。より小さなセグメントサイズは、ネットワークストレージリソース１６内のランダムアクセス装置によって記憶されたファイル２２０に向けられた比較的効率的なランダム読取／書込作動を得るために好ましい。より大きなセグメントサイズは、より低い処理オーバーヘッド、より高い暗号化及び圧縮効率、更に、ネットワークストレージリソース１６内の目標装置が従来のテープドライブのようなストリーミングアクセス装置である場合に好ましい。パケットペイロードデータ２２２セグメントサイズは、５１２バイトの最小サイズを有する８バイトのブロックモジュロ、及びランダムアクセス装置では１０２４バイトの公称上好ましいサイズを有するのが好ましい。ストリーミングアクセス装置では、８０９６バイト程度のより大きなブロックサイズが好ましい場合がある。
パケットペイロードデータ２２２の最後のセグメントが公称上好ましいセグメントサイズよりも小さい場合は、より小さなブロックサイズが使用される。このより小さなブロックサイズは、最後のセグメントのサイズと同じか又はそれよりも小さな最も大きなモジュロ８バイトブロックサイズになるよう選択される。高々７バイトの最後のセグメント以外の全ては、次に、ブロック暗号化される。次に、どの残りのセグメントバイトも、８バイト長の暗号化及びゼロ値ストリングによって生成されたマスク値で排他的論理和演算され、最後のセグメントのブロック暗号化部分に追加される。
論理アクセスブロック２２４によって保持されるパケットペイロードセグメントが圧縮される時にのみ含まれるのが好ましいＬＡＢ圧縮ヘッダ２４２は、ＬＡＢデータフィールド２４０内に包含されるファイルデータのオフセット及び範囲を指定するフィールドを含む。適用される基本となるデータ値及びストリーム圧縮アルゴリズムに従って、ＬＡＢデータフィールド２４０に記憶されたパケットペイロードデータ２２２のセグメント長又は範囲は可変である。セグメント長は、好ましいＬＡＢデータフィールドサイズに非常に近づく圧縮されたデータを得るために操作される。モジュロ８バイト暗号化ブロック互換性サイズに達するために、埋め込みがもたらされる。少なくとも、範囲値は、終了した論理アクセスブロック２２４に担持された実際の圧縮データを識別する。
ＬＡＢ署名２４４は、ＬＡＢデータフィールド２４０のセキュアダイジェストとして、更に、存在する場合はＬＡＢ圧縮ヘッダ２４２として計算されるのが好ましい。本発明の好ましい実施形態では、「ＳＨＡ−１」アルゴリズムがＬＡＢ署名２４４を作成するために使用される。各論理アクセスブロック２４４のセキュリティは、セキュアネットワークファイルアクセスアプライアンス１２に戻される場合、どのＬＡＢ圧縮ヘッダ２４２も含み、更に、ＬＡＢ署名２４４と比較するＬＡＢデータフィールド２４０のセキュアダイジェストを再計算することによって不正変更のないように保証することができる。本発明の好ましい変形では、ネットワークファイルデータは、暗号化も圧縮もされていないＬＡＢデータ２４０とＬＡＢ署名２４４のみを伴う論理アクセスブロック２２４として記憶される。ネットワークファイルデータのランダムアクセスの効率が維持される場合、潜在的にネットワークファイルのコンテントへの不適切な不正変更による修正は、個々の論理アクセスブロック２２４レベルでそれでもなお検出することができる。不正変更を検出するためにセキュアダイジェストを計算するための全ネットワークファイル読取の従来の必要性は要求されない。
本発明の他の実施形態では、エラー修正トレーラー２４６は、ＬＡＢデータフィールド２４０、全てのＬＡＢ圧縮ヘッダ２４２、及びＬＡＢ署名２４４について計算されたＥＣＣ値を記憶するために設けられる。ＥＣＣ値は、論理アクセスブロック２４４の作成時に計算される。論理アクセスブロック２４４の検索時に、ＥＣＣ値は、論理アクセスブロック２４４の拡張ネットワークインフラストラクチャー移送の結果として起こる可能性のあるビットエラーを修正するために使用される。特に、ビットエラーは、ＴＣＰ層、及びそれよりも上の層で作動するネットワークルータによってもたらされることがある。このようなインフラストラクチャーによって誘導されるビットエラーは、それ以外はＬＡＢ署名２４４から検出されるが、そうするとデータ不正変更からは区別できない。エラー修正フィールド２４６の使用は、論理アクセスブロック２４４の保全性を単独で保護する役目を果たす。
論理アクセスブロック２４４のファイル管理ヘッダ２２６、ヘッダ２４４、及びトレーラー２４２及び２４６は、一般的に図８Ｄに示すように、ネットワークストレージリソース１６によって最終的に記憶される時のファイル２２０の一部としてインバンドに又はインファイルに含むことができる。異なるインバンドレイアウトは、論理アクセスブロックデータ２４０へのアクセスを最適化するために使用することができる。ファイル管理ヘッダ２２６、デジタル署名２４２、及び圧縮ヘッダ２４４は、１つ又はそれ以上のインバンドスーパーブロックに集めることができる。これらのスーパーブロック及び残りの論理アクセスブロックデータ２４０のサイズは、ネットワークストレージリソース１６のＩ／Ｏ性能を最適化するようにサイズを判断することができる。
代替的に、潜在的に好ましくは、論理アクセスブロックデータ２４０のみがネットワークファイル２２０としてインバンドにネットワークストレージリソース１６によって記憶されるのが好ましい。管理ヘッダ２２６、ヘッダ２４４、及びトレーラー２４２及び２４６を含む、ネットワークファイル２２０に相当するファイルメタデータは、別のメタデータ又はシャドーファイルに記憶される。シャドーファイルとインバンドネットワークファイル２２０との間の関係を維持するどのような並列ストレージ構造も使用することができる。シャドーファイルは、ネットワークファイル２２０と同じストレージスペース内か、又はネットワークファイル２２０とは潜在的に物理的に離れた異なるストレージスペース内のネットワークリソース１６上に、又はシャドーファイルとネットワークファイル２２０の並列関係が維持される供給されたプラットフォーム５０上に作成して記憶することができる。例えば、シャドーファイルは、ネットワークファイル２２０の複製と同じディレクトリに記憶することができ、ネットワークファイル２２０のファイルネームの定義された順列であるファイルネームによって識別することができる。代替的に、シャドーファイルは、ネットワークストレージリソース１６の定義されたルート又は相対ルートノードから広がる並列ディレクトリ構造に記憶することができる。どちらの場合も、シャドーファイルと対応するネットワークファイル２２０との間の定義された関係が判断され、ネットワークファイル２２０の相当する読取及び書込と共にシャドーファイルの並列読取及び書込を保証することができるセキュアネットワークファイルアクセスアプライアンス１２に既知である。
再び図７を参照すると、ＬＡＢへのパケット処理１９４は、パケットペイロードデータ２２２のセグメントの暗号化１９６及び圧縮１９８を行うために、必要に応じてハードウエアアクセラレータ６２を用いるのが好ましい。ネットワークファイルデータパケットのパケットペイロードデータ２２２を共に含む論理アクセスブロック２２４1-Nは、次に、新しいネットワークファイルデータパケットに集められ、ネットワークストレージリソース１６への移送のためにネットワークインタフェース１９２に渡される。
ネットワークインタフェース１９２を通じて受信したネットワークファイルデータパケットは、認証及びアクセス処理１７６及び１８４と、論理アクセスブロック及びパケットデータへの処理２０２のためのパケットペイロードデータに包含された論理アクセスブロック２２４1-Nとに対するネットワーク制御情報１１４を露出して配信するよう同様に処理される（２００）。認証及びアクセス処理１７６及び１８４の提供は、均等に分配された潜在的にクライアントベースのネットワークストレージが、他のネットワークストレージリソース１６のように等しく保護されてアクセス可能にされることを可能にする。本発明の好ましい実施形態では、最少の認証及びアクセス処理１７６及び１８４が、専用ネットワークストレージリソース１６から受信したネットワークファイルデータパケットに対して行なわれる。
パケットペイロードデータで受信した論理アクセスブロック２２４1-Nは、エラー修正フィールド２４６が存在する場合にエラー修正を適用し、デジタル署名２４２値に対して、ＬＡＢ圧縮ヘッダ２４４が存在する場合はこれを含むＬＡＢデータフィールド２４０の保全性を確認するために処理される（２０２）。ファイル管理ヘッダ２２６は、オプションインデックスフィールド２３６から適用可能な場合は、フィールド２３４からの暗号鍵識別子及び圧縮アルゴリズムアイデンティティを得るためにＮＦＳ／ＣＩＦＳ状態機械処理１８６により一般的に予め読み取られる。次に、ＬＡＢデータフィールド２４０は、適用可能な場合は、解凍されて（２０４）暗号解読される（２０６）。待ち状態のインバウンドファイルデータ読取要求トランザクションに基づくＮＦＳ／ＣＩＦＳ状態機械処理１８６は、クライアント読取要求データを表す結合された論理アクセスブロック２２４1-Nデータのオフセット及び範囲選択部分を識別する。選択されたデータは、次に、ネットワークファイルデータパケットに組み込まれ、トランザクション識別クライアント２２及び２４へ移送するためにネットワークインタフェース１７２に供給される。
本発明の好ましい実施形態では、管理インタフェース２０８は、ポリシーパーサ１８０及びポリシーデータストレージ１８２へのアクセス及びその構成を提供する。ネットワーク通信インタフェース２１０は、インバウンド及びアウトバウンドネットワークインタフェース１７２及び１９２と無関係に管理インタフェース２０８へのアクセスを提供する。
ソフトウエアアーキテクチャ１７０は、付加的なセキュリティアプライアンス指向の特徴をもたらすために、図９に示すように拡張されるのが好ましい。拡張されたアーキテクチャ２５０は、ネットワークインタフェース１７２及び１９２を通じて行なわれるネットワーク接続のためのファイアウォール型フィルタリングを実行するＩＰフィルタ層２５２及び２５４を含む。フィルタ規則ストア２５６は、ＩＰフィルタ層２５２及び２５４を通じてネットワークパケットを渡すことを許可されるＩＰアドレス、ネットワークプロトコル、及びインターネットポートを定義するＩＰテーブル型仕様を維持するのが好ましい。ＩＰフィルタ層２５２及び２５４、及び特にインバウンドＩＰフィルタ層２５２は、ＮＦＳ、ＣＩＦＳ、ＲＰＣ、及びマウントプロトコルを含むネットワークファイルアクセス作動に属するもの以外の全ての接続を拒否するように確立されるのが好ましい。ＩＰフィルタ層２５２及び２５４によって渡されるこれらのネットワークファイルデータパケットは、ソフトウエアアーキテクチャ１７０によって行なわれるパケット／ＬＡＢ処理２５８の方に誘導される。従って、許可されなかった接続の試み及び適切なポリシーベースの許可のないアクセス要求は、ソフトウエアアーキテクチャ１７０によって優先的に受信され、検出され、更に監査される。
特に制御情報１１４及び１２２の完全なセットへのアクセスに基づく認証及びアクセス制御１７６及び１８４、及びポリシーパーサ１８０の柔軟な分析機能は、特定のソースＩＰを動的にブロックする段階と、詳細な情報を記録する段階と、リアルタイムの管理警報を発する段階とを含む、潜在的な悪用パターンのより洗練された識別と様々な救済アクションとを可能にする。ファイアウォールフィルタ２５２及び２５４のセキュリティ及びレポーティング強度は、セキュアネットワークファイルアクセスアプライアンス１２の一次機能とは無関係の接続の試みを処理するのに適する。また、ファイアウォールフィルタ２５２及び２５４は、バイパスルート２６０を利用するセキュアネットワークファイルアクセスアプライアンス１２を通じて、潜在的にネットワークファイルデータパケットを含む選択されたネットワークデータパケットをプロキシーするのに利用することができる。ＶＰＮ４２及びネットワークファイルアクセスアプライアンス１２’の場合、指定されたソースＩＰアドレス及びプロトコルは、識別されて適切にバイパスされる（２６０）。
固定スケールのハードウエアプラットフォーム５０の場合、ファイアウォールフィルタ２５２及び２５４は、メインプロセッサ５４によるオペレーティングシステムＩＰテーブルモジュールのカーネル実行によって実施されるのが好ましい。拡張可能ハードウエアプラットフォーム８０では、ファイアウォールフィルタ層２５２及び２５４は、入口及び出口プロセッサ８６及び８８間で直接渡されるバイパスルートネットワークパケットと共に、入口及び出口プロセッサ８６及び８８上に実装されるのが好ましい。フィルタ規則ストア２５６に保持されるフィルタ規則は、管理インタフェース２０８によって管理される。
本発明の好ましい実施形態に従って構成されたＮＦＳ／ＣＩＦＳ読取トランザクション２７０は、図１０Ａに図式的に示されている。ファイル管理ヘッダ２２６及び論理アクセスブロックのシーケンス２２４1-Nから成る読取ターゲットファイルは、ネットワークストレージリソース１６上に存在する。一般的に、インバウンド読取要求は、読み取るデータのオフセット及び範囲を識別する（２７２）。アウトバウンド読取要求は、ファイル管理ヘッダ２２６、及び取り囲む論理アクセスブロックのブロック整列したシーケンス２２４A-Xを読み取るために出される（２７４及び２７６）。読取要求２７６は、一続きの１つ又はそれ以上のネットワークファイルデータパケットで要求された論理アクセスブロック２２４A-Xを検索し、論理アクセスブロック２２４A-Xは、次に、読取要求データ２７２を伴う１つ又はそれ以上のネットワークファイルデータパケットを戻すことによってインバウンド読取要求を終了するように処理される。
ＮＦＳ／ＣＩＦＳ読取トランザクション２７０に関連する特定の処理２８０が図１０Ｂに示されている。セキュアネットワークファイルアクセスアプライアンス１２は、ファイアウォールフィルタリングされたファイルデータ読取要求を受け取ると、ポリシー規則及びデータ１８２及び１８４に対してネットワーク制御情報１１４を露出し（２８２）、構文解析する（２８４）。ポリシー準拠失敗は、ＮＦＳ／ＣＩＦＳ適切応答ネットワークデータパケットの戻し発行によって報告される（２８６）。
読取要求が定義されたポリシー要件に従う場合、ファイル関連のアクセス制御情報は、ファイルの存在を確認して適用可能な読取データ許可を評価するためにネットワークストレージリソース１６から任意的に読み取られる（２８８）。許可検査が行なわれて失敗した場合、ファイルの不在又は不適切な許可は、ネットワークストレージリソース１６に読取ファイル要求を発することなく報告される（２８６）。要求ターゲットファイルのファイル管理ヘッダ２２６を含むファイルメタデータも、ネットワークストレージリソース１６から読み取られる（２８８）。ブロック整列した論理アクセスブロックオフセット２９０と範囲２９２は、ネットワークストレージリソース１６へ向けられたアウトバウンド読取要求を作成して発行するために判断されて使用される。読取データオフセットは、ファイルの最初に記憶されたファイル管理ヘッダ２２６のサイズを占めるように調整される。論理アクセスブロック２２４A-Xが圧縮されたデータを伴う場合、読取データオフセット及び取り囲む読取要求範囲の両方への調整を判断するために、ＬＡＢ圧縮ヘッダ２４４のファイルデータ読取を要求することができる。
要求された論理アクセスブロック２２４A-Xを受信した場合（２９４）、エラー修正が「ＬＡＢ ＥＣＣ」フィールド２４６が存在するか否かに応じて加えられ（２９６）、ファイル管理ヘッダ２２６の鍵識別子フィールド２３４から判断された鍵ネームに関連する鍵を利用して暗号解読され（２９８）、ファイル管理ヘッダ２２６が圧縮オプションを含み、対応するアルゴリズムを限定するか否かに応じて解凍される（３００）。ＬＡＢデジタル署名２４２は、検索されたファイルデータの保全性を検査するために使用される。論理アクセスブロック２２４A-Xのどの保全性検査の失敗も、ＮＦＳ／ＣＩＦＳ適正エラーネットワークデータパケットの戻し発行によって最終的に報告される頑固なエラーを有するソフトエラーから保護するために、論理アクセスブロック２２４A-Xのいくつか又は全ての再読取をもたらすことになる。ソフトなエラー及び頑固なエラーの両方が、セキュアネットワークファイルアクセスアプライアンス１２によって記録されるのが好ましい。インバウンド読取要求のＮＦＳ／ＣＩＦＳ状態機械処理１８６の作動によって認識された頑固なエラーは、評価のためのポリシーパーサ１８０に対してアサートにされ、管理インタフェース２０８を通じて不正変更警報メッセージとして引き続き発行される３０２ことが更に好ましい。最後に、ファイルデータが受信されてアウトバウンド読取要求に応じて処理される時、インバウンド読取要求で識別されたファイルデータは、１つ又はそれ以上の応答ネットワークファイルデータパケットに組み立てられて（３０４）戻される。
図１１Ａに示すように、ＮＦＳ／ＣＩＦＳ作成ファイルトランザクション３１０は、新しいファイル管理ヘッダ２２６を伴う新しいファイルを作成するために作動するのが好ましい。図１１Ｂに更に詳しく示すように、作成ファイル要求処理３２０は、最初に、ＮＦＳ／ＣＩＦＳ適正応答ネットワークデータパケットの戻し発行がもたらすどのようなポリシー準拠失敗も有するネットワーク制御情報１１４を露出して（３２２）これを構文解析する（３２４）。ファイル作成要求が定義されたポリシー要件に準拠するとすれば、ディレクトリ情報は、ターゲットファイル作成許可を得るために、ネットワークストレージリソース１６から任意的に読み取られる（３２８）。許可検査が行なわれて失敗すると、目標ディレクトリの不在及び不適切な許可は、ネットワークストレージリソース１６への作成ファイル要求をアサートすることなく報告される（３２６）。
次に、ファイル管理ヘッダ２２６が作成される（３３０）。ＮＦＳ／ＣＩＦＳ状態機械処理１８６の作動により、ポリシーデータストレージ１８２から供給された記憶された値に基づくポリシーパーサ１８０は、セキュリティパラメータインデックス２３０の必要な値を生成して提供する。特に、ポリシーパーサ１８０は、マウントポイントを含むディレクトリ仕様に暗号鍵及び圧縮選択を関連付けるのが好ましい。従って、作成されるファイルの目標位置は、暗号化及び圧縮が適用されるか否かと、実施のための適用可能な鍵及びアルゴリズムとを判断するために用いられる。鍵名称に基づくセキュア識別子と圧縮及び圧縮アルゴリズム識別子とが計算され、計算されたＣＲＣ及び署名値と共に新しいファイル管理ヘッダ２２６に記憶される。
次に、ＮＦＳ／ＣＩＦＳ状態機械１８６は、インバウンド作成ファイル要求によって供給されたディレクトリ仕様を利用するネットワークストレージリソース１６へのＮＦＳ／ＣＩＦＳ作成ファイル要求の作成及び発行３３２を提供する。ファイル管理ヘッダ２２６のインバンドストレージでは、次に、ファイル管理ヘッダ２２６を伴うＮＦＳ／ＣＩＦＳファイル書込要求が作成され、ネットワークストレージリソース１６に発行される（３３４）。シャドーメタデータファイルが使用を指示されると、ＮＦＳ／ＣＩＦＳファイル作成及び書込要求（後者はファイル管理ヘッダ２２６を伴う）は、シャドーファイルを作成するために作成され、ネットワークストレージリソース１６に発行される（３３４）。最後に、ＮＦＳ／ＣＩＦＳ適正作成ファイル回答ネットワークデータパケットがクライアントに戻される。
本発明の好ましい実施形態に従って構成されたＮＦＳ／ＣＩＦＳ書込トランザクション３４０は、図１２Ａに示されている。ネットワークストレージリソース１６の既存のファイルへのファイルデータの書込は、読取、修正、書込手順を使用する。インバウンド書込データ要求は、１つ又はそれ以上のネットワークファイルデータパケットのトランザクションシーケンスで供給される書込データのオフセット及び範囲を指定する（３４２）。殆どの場合、書込要求データは、記憶されたファイルに存在する論理アクセスブロック２２４1-Nに整列しないことになる。ファイル管理ヘッダ２２６及び部分的に重なったどの論理アクセスブロック２２４A及び２２４Xも、プリエンプティブに読み取られ（３４４、３４６、３４８）、重なった論理アクセスブロック２２４A及び２２４Xが要求される時に暗号解読されて解凍されるのを可能にする。次に、ブロック整列した読取データを有するインバウンド書込データ３４２のオーバレイが行なわれる。結果生じたブロック整列した書込データは、次に、処理されて論理アクセスブロック２２４A-Xになり、ネットワークストレージリソース１６への１つ又はそれ以上のネットワークファイルデータパケットの書込トランザクションシーケンスに書き込まれる（３５０）。
ＮＦＳ／ＣＩＦＳ書込要求トランザクションを行う好ましい処理３６０は、図１２Ｂに示されている。受信書込ファイルデータ要求が受信され、ネットワーク制御情報１１４を露出するように処理される（３６２）。次に、この情報は、報告されている（３８６）いかなる準拠失敗とも一緒に、確立されたポリシー１８０及び１８２に対して構文解析される（３６４）。次に、ネットワーク制御情報１１４は、ネットワークストレージリソース１６によって記憶されたターゲットファイルを識別し、ファイル管理ヘッダ２２６を含むファイルメタデータを取得するために、読取要求を作成して発行するように更に処理される（３６８）。論理アクセスブロックのオフセット及び範囲は、次に、ファイル管理ヘッダ２２６の存在及び論理アクセスブロック２２４包含データの圧縮に対して必要に応じて調整して判断される（３７０及び３７２）。ファイルロックが、範囲論理アクセスブロック２２４A-Xに対してアサートにされる。最初と終端の論理アクセスブロック２２４A及び２２４Xは、ネットワークストレージリソース１６から読み取られ（３７４）、「ＬＡＢ ＥＣＣ」フィールド２４６が存在する場合は修正され（３７６）、暗号解読され（３７８）、必要に応じて解凍される（３８０）。保全性失敗エラーが報告される（３８２）。終端の論理アクセスブロック２２４A及び２２４Xからのデータは、書込データ３４２に合併され（３８４）、結合されたデータは、再セグメント化され（３８６）、適切であれば圧縮され（３８８）、暗号化される（３９０）。適用可能な場合に、「ＬＡＢ ＥＣＣ」値が計算され、組み立てられた（３９４）一連の論理アクセスブロック２２４A-Xに加えられる（３９２）。論理アクセスブロック２２４A-Xが組み立てられる時、１つ又はそれ以上の書込ネットワークファイルデータパケットが構成され、ネットワークストレージリソース１６に送られる。論理アクセスブロック２２４A-Xの書込が終了すると、ファイルロックが解除される。
すなわち、分散コンピュータシステムのユーザとネットワークベースのストレージシステムとの間のセキュアネットワークファイルアクセスを確立するためのシステム及び方法について説明した。本発明の好ましい実施形態の以上の説明に鑑みて、開示された実施形態の多くの修正及び変形が当業者には容易に認められるであろう。従って、特許請求の範囲内で本発明が上述の具体的に説明したもの以外の形で実施することができることは理解されるものとする。
１０ インフラストラクチャー環境
１２ セキュアネットワークファイルアクセスアプライアンス
１６ ネットワークデータストア
２２ クライアントコンピュータシステム
３４ ファイルシステム
３６ エージェント
１２ セキュアネットワークファイルアクセスアプライアンス
１６ ネットワークデータストア
２２ クライアントコンピュータシステム
３４ ファイルシステム
３６ エージェント
Claims (10)
- クライアントコンピュータシステム及びネットワークデータストア間のデータのセキュアアクセス及び転送をサポートするネットワークストレージコンピュータシステムであって、
ａ）所定のネットワークファイルに対する第１ファイルデータ要求の発行を含むアプリケーションプログラムの実行をサポートするクライアントコンピュータシステム上に設けられ、該アプリケーションプログラムに対する認証データを作成するエージェント(agent)と、
ｂ）前記所定のネットワークファイルを記憶することが可能なネットワークデータストアと、
ｃ）前記第１ファイルデータ要求を受け取るために前記クライアントコンピュータシステムに第１ネットワークを通じて連結可能であり、第２読取要求を供給するために前記ネットワークデータストアに第２ネットワークを通じて連結可能なネットワークアプライアンス(network appliance)とを含み、
前記ネットワークアプライアンスは、前記認証データを受け取って確認するために前記エージェントと相互運用され、前記第１ファイルデータ要求に対応する第２ファイルデータ要求の生成を可能し、
前記ネットワークアプライアンスはまた、前記ネットワークデータストアに前記第２ファイルデータ要求を送信するように作動することを特徴とするコンピュータシステム。 - 前記認証データは、前記アプリケーションプログラムの実行に関するセッションを定義し、
前記認証データはまた、前記第１ファイルデータ要求と共に前記ネットワークアプライアンスに供給されることを特徴とする請求項１に記載のネットワークストレージコンピュータシステム。 - 前記ネットワークアプライアンスは、暗号化ユニットを含み、
前記ネットワークアプライアンスはまた、前記第２ファイルデータ要求と共に転送されるファイルデータの暗号化が可能なことを特徴とする請求項２に記載のネットワークストレージコンピュータシステム。 - 前記ネットワークアプライアンスは、前記所定のネットワークファイルに対応して暗号鍵識別子を含むメタデータを記憶することが可能であり、
前記ネットワークアプライアンスはまた、前記第１ファイルデータ要求と共に前記メタデータの検索を選択的に提供することを特徴とする請求項３に記載のネットワークストレージコンピュータシステム。 - 前記ネットワークアプライアンスは、暗号鍵ストアを含み、
前記暗号鍵識別子は、前記第２ファイルデータ要求と共に前記暗号化ユニットに供給された暗号鍵を選択することを特徴とする請求項４に記載のネットワークストレージコンピュータシステム。 - 前記認証データは、前記クライアントコンピュータシステム上で実行される時の前記アプリケーションプログラムに対応する処理識別子、検証されたユーザ識別子、及びグループ識別子を含み、
前記ネットワークアプライアンスは、複数の所定のアクセスポリシーを記憶するアクセスポリシーストアを更に含み、
前記ネットワークアプライアンスはまた、前記処理識別子、検証されたユーザ識別子、及びグループ識別子に関して前記アクセスポリシーストアにより記憶された前記複数の所定のアクセスポリシーに反する前記ファイルデータ要求を制限するように作動することを特徴とする請求項５に記載のネットワークストレージコンピュータシステム。 - ネットワークを通じてクライアントにアクセス可能なネットワークストレージ装置上のファイルデータを保護するシステムで実行される方法であって、
前記システムが、
ａ）所定のクライアントシステムとネットワークファイルデータストアとの間でルーティングされるネットワークを介したファイルアクセスを通じてネットワークポータル(network portal)を確立する段階と、
ｂ）前記ネットワークファイルデータストアに関し、前記所定のクライアントシステム上で実行されるアプリケーションは、前記ネットワークポータルにサポートされることによってネットワークアクセスを認証する段階と、
ｃ）前記ネットワークファイルデータストアによって記憶された所定のネットワークデータファイルに対して前記所定のクライアントによって供給された第１ネットワークファイル要求を前記ネットワークポータルによってフィルタリングする段階であって、前記所定のクライアントシステム上で実行されるエージェントが前記アプリケーションに関する認証データを作成すると、前記ネットワークファイルデータストアに第２ネットワークファイル要求の提供を制限するための基準として前記第１ネットワークファイル要求によりもたらされる前記認証データを評価する当該フィルタリングする段階と、
ｄ）前記第１ネットワークファイルデータを保護するために、前記第１ネットワークファイル要求によって識別された第１ネットワークファイルデータを前記ネットワークポータルによって処理し、前記所定のクライアント及び前記ネットワークファイルデータストア間の移送のための第２ネットワークファイルデータとする段階を実行することを特徴とする方法。 - 前記システムは、前記処理する段階において、複数の論理ブロックを用いて前記第２ネットワークファイルデータを自律的に暗号化及び暗号解読し、
前記第２ネットワークファイルデータの暗号化は、前記ネットワークファイルデータストアによる該第２ネットワークファイルデータのストレージに対して透明（トランスペアレント）であることを特徴とする請求項７に記載の方法。 - 前記システムは、前記処理する段階において、前記所定のネットワークデータファイルに関連して記憶された暗号鍵識別子の検索を含みながら、前記第２ネットワークファイルデータを自律的に暗号化及び暗号解読し、
前記第２ネットワークファイルデータの暗号化は、前記ネットワークファイルデータストアによる該第２ネットワークファイルデータのストレージに対して透明（トランスペアレント）であり、
前記システムは、更に、前記第２ネットワークファイルデータの暗号化及び暗号解読を可能にするために、前記暗号鍵識別子に対応する暗号鍵の検索を提供することを特徴とする請求項８に記載の方法。 - 前記システムは、前記ネットワークファイルデータストアに関して透明（トランスペアレント）にネットワークファイルデータと共に暗号鍵識別子を選択的に記憶し、さらに、
前記処理する段階において、前記所定のネットワークファイルデータを自律的に暗号化及び暗号解読する段階を可能にするために、前記暗号鍵識別子を前記暗号鍵と関連付けることを特徴とする請求項８に記載の方法。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US10/201,406 US6678828B1 (en) | 2002-07-22 | 2002-07-22 | Secure network file access control system |
| US10/201,406 | 2002-07-22 | ||
| PCT/US2003/020020 WO2004010304A1 (en) | 2002-07-22 | 2003-06-24 | Secure network file access control system |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2005534104A JP2005534104A (ja) | 2005-11-10 |
| JP2005534104A5 JP2005534104A5 (ja) | 2006-08-10 |
| JP5067771B2 true JP5067771B2 (ja) | 2012-11-07 |
Family
ID=29780249
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2004523025A Expired - Fee Related JP5067771B2 (ja) | 2002-07-22 | 2003-06-24 | セキュアネットワークファイルアクセス制御システム |
Country Status (5)
| Country | Link |
|---|---|
| US (2) | US6678828B1 (ja) |
| EP (1) | EP1540481A4 (ja) |
| JP (1) | JP5067771B2 (ja) |
| AU (1) | AU2003243780A1 (ja) |
| WO (1) | WO2004010304A1 (ja) |
Families Citing this family (283)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6192408B1 (en) * | 1997-09-26 | 2001-02-20 | Emc Corporation | Network file server sharing local caches of file access information in data processors assigned to respective file systems |
| US6560217B1 (en) * | 1999-02-25 | 2003-05-06 | 3Com Corporation | Virtual home agent service using software-replicated home agents |
| US7103574B1 (en) * | 1999-03-27 | 2006-09-05 | Microsoft Corporation | Enforcement architecture and method for digital rights management |
| DE19929049A1 (de) * | 1999-06-25 | 2000-12-28 | Ibm | Vorrichtung und Verfahren zum benutzerdefinierten Laden und Ausführen von Anwendungen mittels eines Tokens |
| AU1966601A (en) | 1999-10-18 | 2001-04-30 | Stamps.Com | Method and apparatus for on-line value-bearing item system |
| US7490065B1 (en) * | 1999-10-18 | 2009-02-10 | Stamps.Com | Cryptographic module for secure processing of value-bearing items |
| WO2001061652A2 (en) * | 2000-02-16 | 2001-08-23 | Stamps.Com | Secure on-line ticketing |
| US7134137B2 (en) * | 2000-07-10 | 2006-11-07 | Oracle International Corporation | Providing data to applications from an access system |
| US9038170B2 (en) | 2000-07-10 | 2015-05-19 | Oracle International Corporation | Logging access system events |
| US8661539B2 (en) * | 2000-07-10 | 2014-02-25 | Oracle International Corporation | Intrusion threat detection |
| US7249369B2 (en) * | 2000-07-10 | 2007-07-24 | Oracle International Corporation | Post data processing |
| US7080077B2 (en) * | 2000-07-10 | 2006-07-18 | Oracle International Corporation | Localized access |
| US7124203B2 (en) * | 2000-07-10 | 2006-10-17 | Oracle International Corporation | Selective cache flushing in identity and access management systems |
| US7194764B2 (en) * | 2000-07-10 | 2007-03-20 | Oracle International Corporation | User authentication |
| US7035274B2 (en) * | 2000-12-20 | 2006-04-25 | Intel Corporation | Techniques for storing data on message queuing middleware servers without registration of the sending application |
| US7395430B2 (en) * | 2001-08-28 | 2008-07-01 | International Business Machines Corporation | Secure authentication using digital certificates |
| US7185364B2 (en) * | 2001-03-21 | 2007-02-27 | Oracle International Corporation | Access system interface |
| GB2379146A (en) * | 2001-08-23 | 2003-02-26 | Inventec Corp | Transmission of encrypted and digitally signed files over the internet |
| US20030051135A1 (en) * | 2001-08-31 | 2003-03-13 | Michael Gill | Protecting data in a network attached storage device |
| US7225256B2 (en) | 2001-11-30 | 2007-05-29 | Oracle International Corporation | Impersonation in an access system |
| US20030167316A1 (en) * | 2002-03-01 | 2003-09-04 | Bramnick Arnold H. | Data storage service for users of data communication networks |
| US8910241B2 (en) * | 2002-04-25 | 2014-12-09 | Citrix Systems, Inc. | Computer security system |
| US7356711B1 (en) | 2002-05-30 | 2008-04-08 | Microsoft Corporation | Secure registration |
| US8103715B1 (en) | 2002-06-11 | 2012-01-24 | Cisco Technology, Inc. | Approach for managing mobile agents in networks |
| US7493911B2 (en) * | 2002-08-09 | 2009-02-24 | The Boeing Company | Shrouded valve apparatus and related methods |
| FR2844415B1 (fr) * | 2002-09-05 | 2005-02-11 | At & T Corp | Systeme pare-feu pour interconnecter deux reseaux ip geres par deux entites administratives differentes |
| US7143288B2 (en) * | 2002-10-16 | 2006-11-28 | Vormetric, Inc. | Secure file system server architecture and methods |
| US8176186B2 (en) | 2002-10-30 | 2012-05-08 | Riverbed Technology, Inc. | Transaction accelerator for client-server communications systems |
| US7650416B2 (en) * | 2003-08-12 | 2010-01-19 | Riverbed Technology | Content delivery for client-server protocols with user affinities using connection end-point proxies |
| US7120666B2 (en) * | 2002-10-30 | 2006-10-10 | Riverbed Technology, Inc. | Transaction accelerator for client-server communication systems |
| US8364815B2 (en) | 2005-03-18 | 2013-01-29 | Riverbed Technology, Inc. | Reliability and availability of distributed servers |
| US6667700B1 (en) * | 2002-10-30 | 2003-12-23 | Nbt Technology, Inc. | Content-based segmentation scheme for data compression in storage and transmission including hierarchical segment representation |
| US7318100B2 (en) * | 2003-04-14 | 2008-01-08 | Riverbed Technology, Inc. | Cooperative proxy auto-discovery and connection interception |
| US7650638B1 (en) * | 2002-12-02 | 2010-01-19 | Arcsight, Inc. | Network security monitoring system employing bi-directional communication |
| US7334013B1 (en) | 2002-12-20 | 2008-02-19 | Microsoft Corporation | Shared services management |
| US7421500B2 (en) * | 2003-01-10 | 2008-09-02 | Hewlett-Packard Development Company, L.P. | Grid computing control system |
| US7383586B2 (en) | 2003-01-17 | 2008-06-03 | Microsoft Corporation | File system operation and digital rights management (DRM) |
| US9372870B1 (en) * | 2003-01-21 | 2016-06-21 | Peer Fusion, Inc. | Peer to peer code generator and decoder for digital systems and cluster storage system |
| US7685631B1 (en) * | 2003-02-05 | 2010-03-23 | Microsoft Corporation | Authentication of a server by a client to prevent fraudulent user interfaces |
| US7370212B2 (en) * | 2003-02-25 | 2008-05-06 | Microsoft Corporation | Issuing a publisher use license off-line in a digital rights management (DRM) system |
| JP4320195B2 (ja) | 2003-03-19 | 2009-08-26 | 株式会社日立製作所 | ファイルストレージサービスシステム、ファイル管理装置、ファイル管理方法、ｉｄ指定型ｎａｓサーバ、および、ファイル読出方法 |
| US7596703B2 (en) * | 2003-03-21 | 2009-09-29 | Hitachi, Ltd. | Hidden data backup and retrieval for a secure device |
| US9003048B2 (en) * | 2003-04-01 | 2015-04-07 | Microsoft Technology Licensing, Llc | Network zones |
| JP4365612B2 (ja) * | 2003-04-15 | 2009-11-18 | 白光株式会社 | 電気部品着脱装置 |
| US7426745B2 (en) * | 2003-04-24 | 2008-09-16 | International Business Machines Corporation | Methods and systems for transparent data encryption and decryption |
| US7917751B2 (en) * | 2003-05-22 | 2011-03-29 | International Business Machines Corporation | Distributed filesystem network security extension |
| CA2527501A1 (en) * | 2003-05-28 | 2004-12-09 | Caymas Systems, Inc. | Multilayer access control security system |
| US7480798B2 (en) * | 2003-06-05 | 2009-01-20 | International Business Machines Corporation | System and method for representing multiple security groups as a single data object |
| US8181022B2 (en) * | 2003-06-24 | 2012-05-15 | Realnetworks, Inc. | Method and apparatus for controlling access restrictions for media playback |
| US7412602B2 (en) * | 2003-09-30 | 2008-08-12 | Toshiba Corporation | Method and system for storing document images in a network file system |
| US7882132B2 (en) * | 2003-10-09 | 2011-02-01 | Oracle International Corporation | Support for RDBMS in LDAP system |
| US7904487B2 (en) * | 2003-10-09 | 2011-03-08 | Oracle International Corporation | Translating data access requests |
| US20050108303A1 (en) * | 2003-10-31 | 2005-05-19 | Carter Richard D. | Remote backup and restore technique |
| US7631344B2 (en) * | 2003-11-04 | 2009-12-08 | Alcatel Lucent | Distributed authentication framework stack |
| US8244903B2 (en) * | 2003-12-22 | 2012-08-14 | Emc Corporation | Data streaming and backup systems having multiple concurrent read threads for improved small file performance |
| US20050171961A1 (en) * | 2004-01-30 | 2005-08-04 | Microsoft Corporation | Fingerprinting software applications |
| US10375023B2 (en) * | 2004-02-20 | 2019-08-06 | Nokia Technologies Oy | System, method and computer program product for accessing at least one virtual private network |
| US7496500B2 (en) * | 2004-03-01 | 2009-02-24 | Microsoft Corporation | Systems and methods that determine intent of data and respond to the data based on the intent |
| US7636941B2 (en) * | 2004-03-10 | 2009-12-22 | Microsoft Corporation | Cross-domain authentication |
| US7437551B2 (en) * | 2004-04-02 | 2008-10-14 | Microsoft Corporation | Public key infrastructure scalability certificate revocation status validation |
| US20060190643A1 (en) * | 2004-04-26 | 2006-08-24 | Storewiz, Inc. | Method and system for compression of data for block mode access storage |
| WO2005103878A2 (en) * | 2004-04-26 | 2005-11-03 | Storewiz, Inc. | Method and system for compression of files for storage and operation on compressed files |
| US7424482B2 (en) * | 2004-04-26 | 2008-09-09 | Storwize Inc. | Method and system for compression of data for block mode access storage |
| US20060230014A1 (en) * | 2004-04-26 | 2006-10-12 | Storewiz Inc. | Method and system for compression of files for storage and operation on compressed files |
| US20060242406A1 (en) | 2005-04-22 | 2006-10-26 | Microsoft Corporation | Protected computing environment |
| US7549171B2 (en) * | 2004-06-10 | 2009-06-16 | Hitachi, Ltd. | Method and apparatus for validation of application data on a storage system |
| US8036221B2 (en) * | 2004-06-14 | 2011-10-11 | Cisco Technology, Inc. | Method and system for dynamic secured group communication |
| US7509491B1 (en) | 2004-06-14 | 2009-03-24 | Cisco Technology, Inc. | System and method for dynamic secured group communication |
| JP4574287B2 (ja) * | 2004-09-01 | 2010-11-04 | キヤノン株式会社 | ファイル管理装置 |
| JP4566668B2 (ja) * | 2004-09-21 | 2010-10-20 | 株式会社日立製作所 | 記憶階層を有する計算機システムにおける暗号復号管理方法 |
| JP2008515085A (ja) * | 2004-09-30 | 2008-05-08 | サイトリックス システムズ， インコーポレイテッド | ネットワークコンテンツファイルへのアクセス提供におけるアクセス制御レベルを割り当てる方法および装置 |
| US7428642B2 (en) * | 2004-10-15 | 2008-09-23 | Hitachi, Ltd. | Method and apparatus for data storage |
| US8347078B2 (en) * | 2004-10-18 | 2013-01-01 | Microsoft Corporation | Device certificate individualization |
| EP1650646A3 (en) * | 2004-10-22 | 2008-11-19 | Quantum Corporation | Data storage system for storing data in different types of data storage media |
| US20060089917A1 (en) * | 2004-10-22 | 2006-04-27 | Microsoft Corporation | License synchronization |
| US20060106838A1 (en) * | 2004-10-26 | 2006-05-18 | Ayediran Abiola O | Apparatus, system, and method for validating files |
| CN100407202C (zh) * | 2004-10-27 | 2008-07-30 | 株式会社理光 | 文件管理服务或验证服务的器件和方法 |
| US8336085B2 (en) | 2004-11-15 | 2012-12-18 | Microsoft Corporation | Tuning product policy using observed evidence of customer behavior |
| US8176564B2 (en) | 2004-11-15 | 2012-05-08 | Microsoft Corporation | Special PC mode entered upon detection of undesired state |
| US7526793B2 (en) * | 2004-12-14 | 2009-04-28 | International Business Machines Corporation | Method for authenticating database connections in a multi-tier environment |
| US20060156021A1 (en) * | 2005-01-10 | 2006-07-13 | Microsoft Corporation | Method and apparatus for providing permission information in a security authorization mechanism |
| US8191115B2 (en) * | 2005-01-10 | 2012-05-29 | Microsoft Corporation | Method and apparatus for extensible security authorization grouping |
| US20060156008A1 (en) * | 2005-01-12 | 2006-07-13 | Microsoft Corporation | Last line of defense ensuring and enforcing sufficiently valid/current code |
| US7584209B2 (en) * | 2005-02-04 | 2009-09-01 | Microsoft Corporation | Flexible file format for updating an address book |
| US8108691B2 (en) * | 2005-02-07 | 2012-01-31 | Sandisk Technologies Inc. | Methods used in a secure memory card with life cycle phases |
| US8321686B2 (en) * | 2005-02-07 | 2012-11-27 | Sandisk Technologies Inc. | Secure memory card with life cycle phases |
| US8423788B2 (en) * | 2005-02-07 | 2013-04-16 | Sandisk Technologies Inc. | Secure memory card with life cycle phases |
| US20060248194A1 (en) | 2005-03-18 | 2006-11-02 | Riverbed Technology, Inc. | Connection forwarding |
| US8438645B2 (en) | 2005-04-27 | 2013-05-07 | Microsoft Corporation | Secure clock with grace periods |
| US7490079B2 (en) * | 2005-04-14 | 2009-02-10 | Microsoft Corporation | Client side indexing of offline address book files |
| US8725646B2 (en) * | 2005-04-15 | 2014-05-13 | Microsoft Corporation | Output protection levels |
| US8438633B1 (en) | 2005-04-21 | 2013-05-07 | Seven Networks, Inc. | Flexible real-time inbox access |
| US8327050B2 (en) * | 2005-04-21 | 2012-12-04 | International Business Machines Corporation | Systems and methods for compressing files for storage and operation on compressed files |
| US9363481B2 (en) | 2005-04-22 | 2016-06-07 | Microsoft Technology Licensing, Llc | Protected media pipeline |
| US9436804B2 (en) * | 2005-04-22 | 2016-09-06 | Microsoft Technology Licensing, Llc | Establishing a unique session key using a hardware functionality scan |
| KR100714691B1 (ko) * | 2005-05-04 | 2007-05-04 | 삼성전자주식회사 | 파일 시스템에 추가 정보를 저장하고 관리하는 장치 및방법 |
| US20060265758A1 (en) * | 2005-05-20 | 2006-11-23 | Microsoft Corporation | Extensible media rights |
| US8353046B2 (en) * | 2005-06-08 | 2013-01-08 | Microsoft Corporation | System and method for delivery of a modular operating system |
| US7743409B2 (en) * | 2005-07-08 | 2010-06-22 | Sandisk Corporation | Methods used in a mass storage device with automated credentials loading |
| US8166547B2 (en) | 2005-09-06 | 2012-04-24 | Fortinet, Inc. | Method, apparatus, signals, and medium for managing a transfer of data in a data network |
| US7730327B2 (en) * | 2005-09-09 | 2010-06-01 | Netapp, Inc. | Managing the encryption of data |
| US7536540B2 (en) * | 2005-09-14 | 2009-05-19 | Sandisk Corporation | Method of hardware driver integrity check of memory card controller firmware |
| US20070061597A1 (en) * | 2005-09-14 | 2007-03-15 | Micky Holtzman | Secure yet flexible system architecture for secure devices with flash mass storage memory |
| US20070079364A1 (en) * | 2005-09-30 | 2007-04-05 | Timothy Abels | Directory-secured packages for authentication of software installation |
| WO2007045257A1 (en) | 2005-10-18 | 2007-04-26 | Telecom Italia S.P.A. | A method for controlling access to file systems, related system, sim card and computer program product for use therein |
| CN101346883A (zh) * | 2005-10-26 | 2009-01-14 | 斯多维兹有限公司 | 用于块模式访问存储的数据压缩的方法和系统 |
| US8077699B2 (en) * | 2005-11-07 | 2011-12-13 | Microsoft Corporation | Independent message stores and message transport agents |
| US7987509B2 (en) * | 2005-11-10 | 2011-07-26 | International Business Machines Corporation | Generation of unique significant key from URL get/post content |
| US8606939B1 (en) * | 2005-11-14 | 2013-12-10 | Cisco Technology, Inc. | Method of configuring an on-demand secure connection between a control site and a client network |
| US7921165B2 (en) * | 2005-11-30 | 2011-04-05 | Microsoft Corporation | Retaining mail for availability after relay |
| US7734754B2 (en) * | 2005-12-28 | 2010-06-08 | Microsoft Corporation | Reviewing effectiveness of communication rules system |
| US7810160B2 (en) * | 2005-12-28 | 2010-10-05 | Microsoft Corporation | Combining communication policies into common rules store |
| US8688813B2 (en) | 2006-01-11 | 2014-04-01 | Oracle International Corporation | Using identity/resource profile and directory enablers to support identity management |
| US20070220014A1 (en) * | 2006-02-03 | 2007-09-20 | Zywave, Inc. | Data processing system and method |
| JP4256397B2 (ja) * | 2006-02-17 | 2009-04-22 | 誠 後藤 | ファイル格納装置 |
| US20070226519A1 (en) * | 2006-03-22 | 2007-09-27 | Lower Level Software Llc | System, method, and computer-readable medium for controlling data flow in a network |
| WO2007117582A2 (en) | 2006-04-06 | 2007-10-18 | Smobile Systems Inc. | Malware detection system and method for mobile platforms |
| US8151323B2 (en) | 2006-04-12 | 2012-04-03 | Citrix Systems, Inc. | Systems and methods for providing levels of access and action control via an SSL VPN appliance |
| US7752676B2 (en) * | 2006-04-18 | 2010-07-06 | International Business Machines Corporation | Encryption of data in storage systems |
| WO2008005629A2 (en) * | 2006-05-26 | 2008-01-10 | Riverbed Technology, Inc. | Throttling of predictive acks in an accelerated network communication system |
| US7769834B2 (en) | 2006-05-30 | 2010-08-03 | Riverbed Technology, Inc. | System for selecting a proxy pair based on configurations of autodiscovered proxies on a network |
| US8028026B2 (en) * | 2006-05-31 | 2011-09-27 | Microsoft Corporation | Perimeter message filtering with extracted user-specific preferences |
| US8549295B2 (en) | 2006-05-31 | 2013-10-01 | Microsoft Corporation | Establishing secure, mutually authenticated communication credentials |
| US8726020B2 (en) * | 2006-05-31 | 2014-05-13 | Microsoft Corporation | Updating configuration information to a perimeter network |
| US8016192B2 (en) * | 2006-06-06 | 2011-09-13 | Motorola Mobility, Inc. | User-configurable priority list for mobile device electronic payment applications |
| US7792301B2 (en) * | 2006-06-29 | 2010-09-07 | Microsoft Corporation | Access control and encryption in multi-user systems |
| US8416954B1 (en) * | 2008-09-30 | 2013-04-09 | Emc Corporation | Systems and methods for accessing storage or network based replicas of encrypted volumes with no additional key management |
| US8166113B2 (en) * | 2006-08-02 | 2012-04-24 | Microsoft Corporation | Access limited EMM distribution lists |
| US8869262B2 (en) * | 2006-08-03 | 2014-10-21 | Citrix Systems, Inc. | Systems and methods for application based interception of SSL/VPN traffic |
| US8495181B2 (en) * | 2006-08-03 | 2013-07-23 | Citrix Systems, Inc | Systems and methods for application based interception SSI/VPN traffic |
| US7843912B2 (en) * | 2006-08-03 | 2010-11-30 | Citrix Systems, Inc. | Systems and methods of fine grained interception of network communications on a virtual private network |
| US8566925B2 (en) | 2006-08-03 | 2013-10-22 | Citrix Systems, Inc. | Systems and methods for policy based triggering of client-authentication at directory level granularity |
| US8694684B2 (en) * | 2006-08-21 | 2014-04-08 | Citrix Systems, Inc. | Systems and methods of symmetric transport control protocol compression |
| US20080052524A1 (en) * | 2006-08-24 | 2008-02-28 | Yoram Cedar | Reader for one time password generating device |
| US20080072058A1 (en) * | 2006-08-24 | 2008-03-20 | Yoram Cedar | Methods in a reader for one time password generating device |
| US20080066192A1 (en) * | 2006-09-07 | 2008-03-13 | International Business Machines Corporation | Keyless copy of encrypted data |
| US8245050B1 (en) | 2006-09-29 | 2012-08-14 | Netapp, Inc. | System and method for initial key establishment using a split knowledge protocol |
| US7856657B2 (en) * | 2006-10-30 | 2010-12-21 | Hewlett-Packard Development Company, L.P. | Secure access of resources at shared appliances |
| US8677091B2 (en) | 2006-12-18 | 2014-03-18 | Commvault Systems, Inc. | Writing data and storage system specific metadata to network attached storage device |
| US8423794B2 (en) * | 2006-12-28 | 2013-04-16 | Sandisk Technologies Inc. | Method and apparatus for upgrading a memory card that has security mechanisms for preventing copying of secure content and applications |
| JP2010517448A (ja) * | 2007-01-26 | 2010-05-20 | セーフネット インコーポレイテッド | セキュアファイル暗号化 |
| US8191162B1 (en) * | 2007-04-10 | 2012-05-29 | Zafesoft Inc. | System and method for securing and tracking files |
| US8611542B1 (en) | 2007-04-26 | 2013-12-17 | Netapp, Inc. | Peer to peer key synchronization |
| US8824686B1 (en) | 2007-04-27 | 2014-09-02 | Netapp, Inc. | Cluster key synchronization |
| WO2008138008A1 (en) * | 2007-05-08 | 2008-11-13 | Riverbed Technology, Inc | A hybrid segment-oriented file server and wan accelerator |
| US7720995B2 (en) * | 2007-06-08 | 2010-05-18 | Cisco Technology, Inc. | Conditional BGP advertising for dynamic group VPN (DGVPN) clients |
| US20100185852A1 (en) * | 2007-07-05 | 2010-07-22 | Hitachi Software Engineering Co., Ltd. | Encryption and decryption method for shared encrypted file |
| WO2009007985A2 (en) * | 2007-07-06 | 2009-01-15 | Elitecore Technologies Limited | Identity and policy-based network security and management system and method |
| US8196182B2 (en) | 2007-08-24 | 2012-06-05 | Netapp, Inc. | Distributed management of crypto module white lists |
| US9774445B1 (en) | 2007-09-04 | 2017-09-26 | Netapp, Inc. | Host based rekeying |
| US8713310B2 (en) * | 2007-09-06 | 2014-04-29 | Siemens Enterprise Communications Gmbh & Co. Kg | Method and device for authenticating transmitted user data |
| US11841970B1 (en) * | 2007-09-26 | 2023-12-12 | Trend Micro Incorporated | Systems and methods for preventing information leakage |
| AT504798B1 (de) * | 2007-10-24 | 2008-08-15 | Data Noah Gmbh | Verfahren und vorrichtung zur selbsttätigen erstellung von sicherungskopien |
| US8516539B2 (en) * | 2007-11-09 | 2013-08-20 | Citrix Systems, Inc | System and method for inferring access policies from access event records |
| US8990910B2 (en) * | 2007-11-13 | 2015-03-24 | Citrix Systems, Inc. | System and method using globally unique identities |
| US8051491B1 (en) * | 2007-12-10 | 2011-11-01 | Amazon Technologies, Inc. | Controlling use of computing-related resources by multiple independent parties |
| US8495357B2 (en) * | 2007-12-19 | 2013-07-23 | International Business Machines Corporation | Data security policy enforcement |
| US8176562B1 (en) * | 2007-12-21 | 2012-05-08 | Symantec Corporation | Privacy protection during remote administration |
| US9240945B2 (en) * | 2008-03-19 | 2016-01-19 | Citrix Systems, Inc. | Access, priority and bandwidth management based on application identity |
| US20090265353A1 (en) * | 2008-04-16 | 2009-10-22 | Murali Vaddagiri | Method and system for extending role based access control across network file systems |
| US9395929B2 (en) * | 2008-04-25 | 2016-07-19 | Netapp, Inc. | Network storage server with integrated encryption, compression and deduplication capability |
| US20090319772A1 (en) * | 2008-04-25 | 2009-12-24 | Netapp, Inc. | In-line content based security for data at rest in a network storage system |
| US8589697B2 (en) | 2008-04-30 | 2013-11-19 | Netapp, Inc. | Discarding sensitive data from persistent point-in-time image |
| US8943575B2 (en) | 2008-04-30 | 2015-01-27 | Citrix Systems, Inc. | Method and system for policy simulation |
| US8117464B1 (en) | 2008-04-30 | 2012-02-14 | Netapp, Inc. | Sub-volume level security for deduplicated data |
| US8613045B1 (en) * | 2008-05-01 | 2013-12-17 | F5 Networks, Inc. | Generating secure roaming user profiles over a network |
| US7886187B2 (en) * | 2008-05-21 | 2011-02-08 | International Business Machines Corporation | System for repeated unmount attempts of distributed file systems |
| US8495030B2 (en) * | 2011-01-06 | 2013-07-23 | International Business Machines Corporation | Records declaration filesystem monitoring |
| US8880879B2 (en) * | 2008-09-04 | 2014-11-04 | Intel Corporation | Accelerated cryptography with an encryption attribute |
| US9240883B2 (en) | 2008-09-04 | 2016-01-19 | Intel Corporation | Multi-key cryptography for encrypting file system acceleration |
| US8411863B2 (en) * | 2008-10-03 | 2013-04-02 | Microsoft Corporation | Full volume encryption in a clustered environment |
| US8320569B2 (en) * | 2008-10-07 | 2012-11-27 | Wideman Roderick B | Generating unique aliases for keys used with tape libraries |
| EP2180401A1 (en) | 2008-10-24 | 2010-04-28 | Thomson Telecom Belgium | A method at a gateway for selecting and managing a default disk |
| US8990573B2 (en) * | 2008-11-10 | 2015-03-24 | Citrix Systems, Inc. | System and method for using variable security tag location in network communications |
| US20100146592A1 (en) * | 2008-12-04 | 2010-06-10 | Dell Products L. P. | Systems and methods for providing session continuity across a chassis management controller failover |
| US8380989B2 (en) | 2009-03-05 | 2013-02-19 | Sybase, Inc. | System and method for second factor authentication |
| US8364984B2 (en) * | 2009-03-13 | 2013-01-29 | Microsoft Corporation | Portable secure data files |
| US9426179B2 (en) * | 2009-03-17 | 2016-08-23 | Sophos Limited | Protecting sensitive information from a secure data store |
| US9654285B2 (en) * | 2009-04-27 | 2017-05-16 | International Business Machines Corporation | Defining access rights to content |
| US8578076B2 (en) * | 2009-05-01 | 2013-11-05 | Citrix Systems, Inc. | Systems and methods for establishing a cloud bridge between virtual storage resources |
| US8589698B2 (en) * | 2009-05-15 | 2013-11-19 | International Business Machines Corporation | Integrity service using regenerated trust integrity gather program |
| US8230478B2 (en) * | 2009-08-27 | 2012-07-24 | International Business Machines Corporation | Flexibly assigning security configurations to applications |
| US8560855B2 (en) | 2009-08-27 | 2013-10-15 | Cleversafe, Inc. | Verification of dispersed storage network access control information |
| WO2011027352A1 (en) * | 2009-09-03 | 2011-03-10 | Mcafee, Inc. | Network access control |
| US9369524B2 (en) * | 2009-10-26 | 2016-06-14 | Netapp, Inc. | Simplified and unified management for network-attached storage |
| US11301592B2 (en) * | 2010-01-28 | 2022-04-12 | Pure Storage, Inc. | Distributed storage with data obfuscation and method for use therewith |
| US20110225074A1 (en) * | 2010-03-12 | 2011-09-15 | Microsoft Corporation | System and method for providing information as a service via web services |
| US9082127B2 (en) | 2010-03-31 | 2015-07-14 | Cloudera, Inc. | Collecting and aggregating datasets for analysis |
| US9081888B2 (en) | 2010-03-31 | 2015-07-14 | Cloudera, Inc. | Collecting and aggregating log data with fault tolerance |
| US8874526B2 (en) | 2010-03-31 | 2014-10-28 | Cloudera, Inc. | Dynamically processing an event using an extensible data model |
| US9317572B2 (en) | 2010-03-31 | 2016-04-19 | Cloudera, Inc. | Configuring a system to collect and aggregate datasets |
| KR101643273B1 (ko) | 2010-04-09 | 2016-08-01 | 삼성전자주식회사 | 저장 매체에 데이터를 저장하는 방법, 그를 이용한 데이터 저장 장치, 및 그것을 포함한 시스템 |
| US8601263B1 (en) * | 2010-05-18 | 2013-12-03 | Google Inc. | Storing encrypted objects |
| US9202049B1 (en) | 2010-06-21 | 2015-12-01 | Pulse Secure, Llc | Detecting malware on mobile devices |
| US9141808B1 (en) * | 2010-10-29 | 2015-09-22 | Symantec Corporation | Data loss prevention |
| US9058497B2 (en) | 2010-12-23 | 2015-06-16 | Microsoft Technology Licensing, Llc | Cryptographic key management |
| CN102065148A (zh) * | 2011-01-12 | 2011-05-18 | 无锡网芯科技有限公司 | 基于通信网络的存储系统访问授权方法 |
| US8788815B1 (en) * | 2011-01-31 | 2014-07-22 | Gazzang, Inc. | System and method for controlling access to decrypted data |
| US8880592B2 (en) | 2011-03-31 | 2014-11-04 | Cloudera, Inc. | User interface implementation for partial display update |
| US8862871B2 (en) * | 2011-04-15 | 2014-10-14 | Architecture Technology, Inc. | Network with protocol, privacy preserving source attribution and admission control and method |
| CA2836387C (en) * | 2011-05-20 | 2018-09-11 | Bae Systems Plc | Supervised data transfer |
| US9280377B2 (en) | 2013-03-29 | 2016-03-08 | Citrix Systems, Inc. | Application with multiple operation modes |
| US9143529B2 (en) | 2011-10-11 | 2015-09-22 | Citrix Systems, Inc. | Modifying pre-existing mobile applications to implement enterprise security policies |
| US8935804B1 (en) | 2011-12-15 | 2015-01-13 | United Services Automobile Association (Usaa) | Rules-based data access systems and methods |
| US9128949B2 (en) | 2012-01-18 | 2015-09-08 | Cloudera, Inc. | Memory allocation buffer for reduction of heap fragmentation |
| US8726338B2 (en) | 2012-02-02 | 2014-05-13 | Juniper Networks, Inc. | Dynamic threat protection in mobile networks |
| US9172608B2 (en) | 2012-02-07 | 2015-10-27 | Cloudera, Inc. | Centralized configuration and monitoring of a distributed computing cluster |
| US9177169B2 (en) | 2012-02-13 | 2015-11-03 | Wwpass Corporation | Secure digital storage |
| US9405692B2 (en) | 2012-03-21 | 2016-08-02 | Cloudera, Inc. | Data processing performance enhancement in a distributed file system |
| US9338008B1 (en) | 2012-04-02 | 2016-05-10 | Cloudera, Inc. | System and method for secure release of secret information over a network |
| US9842126B2 (en) | 2012-04-20 | 2017-12-12 | Cloudera, Inc. | Automatic repair of corrupt HBases |
| US20140047236A1 (en) | 2012-08-07 | 2014-02-13 | International Business Machines Corporation | Authenticated file handles for network file systems |
| US9753954B2 (en) | 2012-09-14 | 2017-09-05 | Cloudera, Inc. | Data node fencing in a distributed file system |
| US8910239B2 (en) | 2012-10-15 | 2014-12-09 | Citrix Systems, Inc. | Providing virtualized private network tunnels |
| US9971585B2 (en) | 2012-10-16 | 2018-05-15 | Citrix Systems, Inc. | Wrapping unmanaged applications on a mobile device |
| CN104854561B (zh) | 2012-10-16 | 2018-05-11 | 思杰系统有限公司 | 用于应用程序管理框架的应用程序封装 |
| US9003550B2 (en) * | 2012-12-31 | 2015-04-07 | SmartBridge, LLC | Systems and methods for crisis management and situational awareness |
| US9342557B2 (en) | 2013-03-13 | 2016-05-17 | Cloudera, Inc. | Low latency query engine for Apache Hadoop |
| US9860223B2 (en) * | 2013-03-27 | 2018-01-02 | International Business Machines Corporation | Mapping the network file system (NFS) protocol to secure web-based applications |
| US10284627B2 (en) | 2013-03-29 | 2019-05-07 | Citrix Systems, Inc. | Data management for an application with multiple operation modes |
| US9985850B2 (en) | 2013-03-29 | 2018-05-29 | Citrix Systems, Inc. | Providing mobile device management functionalities |
| US9355223B2 (en) | 2013-03-29 | 2016-05-31 | Citrix Systems, Inc. | Providing a managed browser |
| US10073987B2 (en) * | 2013-04-02 | 2018-09-11 | Western Digital Technologies, Inc. | Methods and systems for privileged execution support for file system commands on a storage device |
| US9202077B2 (en) | 2013-04-26 | 2015-12-01 | Vormetric, Inc. | Encryption solution for protecting file systems in multi-host clusters |
| US9819436B2 (en) | 2013-08-26 | 2017-11-14 | Coriant Operations, Inc. | Intranodal ROADM fiber management apparatuses, systems, and methods |
| US9477731B2 (en) | 2013-10-01 | 2016-10-25 | Cloudera, Inc. | Background format optimization for enhanced SQL-like queries in Hadoop |
| US9531678B1 (en) | 2013-10-15 | 2016-12-27 | Progress Software Corporation | On-premises data access and firewall tunneling |
| US9473506B1 (en) * | 2013-10-15 | 2016-10-18 | Progress Software Corporation | Secure file transfer and notification server |
| US9934382B2 (en) | 2013-10-28 | 2018-04-03 | Cloudera, Inc. | Virtual machine image encryption |
| US9690671B2 (en) | 2013-11-01 | 2017-06-27 | Cloudera, Inc. | Manifest-based snapshots in distributed computing environments |
| CN103631873B (zh) * | 2013-11-07 | 2017-12-12 | 华为技术有限公司 | 一种数据压缩方法及存储系统 |
| US9397990B1 (en) * | 2013-11-08 | 2016-07-19 | Google Inc. | Methods and systems of generating and using authentication credentials for decentralized authorization in the cloud |
| US10171635B2 (en) | 2013-12-04 | 2019-01-01 | Cloudera, Inc. | Ensuring properly ordered events in a distributed computing environment |
| RU2573785C2 (ru) * | 2013-12-05 | 2016-01-27 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ применения правил доступа к файлам при их передаче между компьютерами |
| US9213653B2 (en) | 2013-12-05 | 2015-12-15 | Intel Corporation | Memory integrity |
| US9990502B2 (en) | 2014-04-28 | 2018-06-05 | Topia Technology, Inc. | Systems and methods for security hardening of data in transit and at rest via segmentation, shuffling and multi-key encryption |
| US9766981B2 (en) * | 2014-06-10 | 2017-09-19 | Institute For Information Industry | Synchronization apparatus, method, and non-transitory computer readable storage medium |
| US9747333B2 (en) | 2014-10-08 | 2017-08-29 | Cloudera, Inc. | Querying operating system state on multiple machines declaratively |
| US10120904B2 (en) | 2014-12-31 | 2018-11-06 | Cloudera, Inc. | Resource management in a distributed computing environment |
| US9350556B1 (en) | 2015-04-20 | 2016-05-24 | Google Inc. | Security model for identification and authentication in encrypted communications using delegate certificate chain bound to third party key |
| US10044718B2 (en) | 2015-05-27 | 2018-08-07 | Google Llc | Authorization in a distributed system using access control lists and groups |
| US10235262B2 (en) | 2015-06-11 | 2019-03-19 | Instana, Inc. | Recognition of operational elements by fingerprint in an application performance management system |
| US10353762B2 (en) * | 2015-06-11 | 2019-07-16 | Instana, Inc. | Hierarchical fault determination in an application performance management system |
| KR102071365B1 (ko) * | 2015-08-04 | 2020-01-30 | 한국전자통신연구원 | 리던던트 시스템에서의 프로세스 인증 장치 및 방법 |
| US10466914B2 (en) * | 2015-08-31 | 2019-11-05 | Pure Storage, Inc. | Verifying authorized access in a dispersed storage network |
| US10594491B2 (en) * | 2015-12-24 | 2020-03-17 | Intel Corporation | Cryptographic system memory management |
| US9990249B2 (en) * | 2015-12-24 | 2018-06-05 | Intel Corporation | Memory integrity with error detection and correction |
| EP3345370B1 (en) | 2016-01-29 | 2019-03-13 | Google LLC | Device access revocation |
| US9954958B2 (en) * | 2016-01-29 | 2018-04-24 | Red Hat, Inc. | Shared resource management |
| US10164955B1 (en) | 2016-05-25 | 2018-12-25 | Google Llc | Volatile encryption keys |
| US10089028B2 (en) * | 2016-05-27 | 2018-10-02 | Dell Products L.P. | Remote secure drive discovery and access |
| US9983988B1 (en) * | 2016-06-23 | 2018-05-29 | Amazon Technologies, Inc. | Resuming testing after a destructive event |
| US10417094B1 (en) | 2016-07-13 | 2019-09-17 | Peer Fusion, Inc. | Hyper storage cluster |
| KR102107277B1 (ko) * | 2016-08-08 | 2020-05-06 | (주)나무소프트 | 피싱 또는 랜섬웨어 공격을 차단하는 방법 및 시스템 |
| US10346318B2 (en) | 2016-09-13 | 2019-07-09 | Intel Corporation | Multi-stage memory integrity method and apparatus |
| US10866945B2 (en) | 2016-10-10 | 2020-12-15 | AlphaPoint | User account management via a distributed ledger |
| US10891370B2 (en) * | 2016-11-23 | 2021-01-12 | Blackberry Limited | Path-based access control for message-based operating systems |
| US10361997B2 (en) | 2016-12-29 | 2019-07-23 | Riverbed Technology, Inc. | Auto discovery between proxies in an IPv6 network |
| US10558818B2 (en) * | 2017-02-22 | 2020-02-11 | Red Hat, Inc. | Supporting security access controls in an overlay filesystem |
| US10491635B2 (en) * | 2017-06-30 | 2019-11-26 | BlueTalon, Inc. | Access policies based on HDFS extended attributes |
| US10540198B2 (en) | 2017-07-01 | 2020-01-21 | Intel Corporation | Technologies for memory replay prevention using compressive encryption |
| EP3669295B1 (en) | 2017-08-16 | 2024-03-13 | Hewlett-Packard Development Company, L.P. | Storage monitoring |
| US10616182B1 (en) | 2017-11-30 | 2020-04-07 | Progress Software Corporation | Data access and firewall tunneling using a custom socket factory |
| US11294860B2 (en) * | 2018-06-07 | 2022-04-05 | Sap Se | Secure decompression |
| US11115490B2 (en) * | 2018-07-31 | 2021-09-07 | EMC IP Holding Company LLC | Host based read cache for san supporting NVMEF with E2E validation |
| WO2020051500A1 (en) | 2018-09-06 | 2020-03-12 | Coffing Daniel L | System for providing dialogue guidance |
| EP3850781A4 (en) * | 2018-09-14 | 2022-05-04 | Coffing, Daniel L. | FACT MANAGEMENT SYSTEM |
| US11863588B2 (en) * | 2019-08-07 | 2024-01-02 | Cisco Technology, Inc. | Dynamically tailored trust for secure application-service networking in an enterprise |
| US11308243B2 (en) | 2019-09-11 | 2022-04-19 | International Business Machines Corporation | Maintenance of access for security enablement in a storage device |
| US11201749B2 (en) | 2019-09-11 | 2021-12-14 | International Business Machines Corporation | Establishing a security association and authentication to secure communication between an initiator and a responder |
| US11354455B2 (en) | 2019-09-11 | 2022-06-07 | International Business Machines Corporation | Maintenance of access for security enablement on a host system |
| US11188659B2 (en) | 2019-09-11 | 2021-11-30 | International Business Machines Corporation | Concurrent enablement of encryption on an operational path at a host port |
| US11188658B2 (en) | 2019-09-11 | 2021-11-30 | International Business Machines Corporation | Concurrent enablement of encryption on an operational path at a storage port |
| US11206144B2 (en) | 2019-09-11 | 2021-12-21 | International Business Machines Corporation | Establishing a security association and authentication to secure communication between an initiator and a responder |
| US11303441B2 (en) | 2019-09-25 | 2022-04-12 | International Business Machines Corporation | Reverting from a new security association to a previous security association in response to an error during a rekey operation |
| US11245521B2 (en) | 2019-09-25 | 2022-02-08 | International Business Machines Corporation | Reverting from a new security association to a previous security association in response to an error during a rekey operation |
| US11477725B2 (en) | 2020-06-30 | 2022-10-18 | Amazon Technologies, Inc. | Multiple access points for data containers |
| JP2022074807A (ja) * | 2020-11-05 | 2022-05-18 | 株式会社日立製作所 | ファイルストレージ及びコンピュータシステム |
| US20220150241A1 (en) * | 2020-11-11 | 2022-05-12 | Hewlett Packard Enterprise Development Lp | Permissions for backup-related operations |
| US11240309B1 (en) * | 2020-12-04 | 2022-02-01 | Cloudflare, Inc. | State management and storage with policy enforcement in a distributed cloud computing network |
| CN113438234A (zh) * | 2021-06-24 | 2021-09-24 | 字极(上海)网络科技有限公司 | 一种网络数据安全防护加密方法 |
| CN113836577A (zh) * | 2021-09-09 | 2021-12-24 | 武汉市风奥科技股份有限公司 | 一种涉密计算机的内外网访问控制方法及访问控制系统 |
| CN114978806A (zh) * | 2022-05-05 | 2022-08-30 | 上海联虹技术有限公司 | 基于硬件加速的数据传输方法及其装置、处理器 |
Family Cites Families (104)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4503287A (en) * | 1981-11-23 | 1985-03-05 | Analytics, Inc. | Two-tiered communication security employing asymmetric session keys |
| US4588991A (en) * | 1983-03-07 | 1986-05-13 | Atalla Corporation | File access security method and means |
| US4649233A (en) * | 1985-04-11 | 1987-03-10 | International Business Machines Corporation | Method for establishing user authenication with composite session keys among cryptographically communicating nodes |
| US5007082A (en) * | 1988-08-03 | 1991-04-09 | Kelly Services, Inc. | Computer software encryption apparatus |
| US5187790A (en) * | 1989-06-29 | 1993-02-16 | Digital Equipment Corporation | Server impersonation of client processes in an object based computer operating system |
| JP3143108B2 (ja) * | 1990-03-13 | 2001-03-07 | 株式会社日立製作所 | ファイル暗号化方法およびファイル暗号システム |
| IL99923A0 (en) * | 1991-10-31 | 1992-08-18 | Ibm Israel | Method of operating a computer in a network |
| US5150407A (en) * | 1991-12-16 | 1992-09-22 | Chan Steve S C | Secured data storage devices |
| US5412717A (en) * | 1992-05-15 | 1995-05-02 | Fischer; Addison M. | Computer system security method and apparatus having program authorization information data structures |
| US5235642A (en) * | 1992-07-21 | 1993-08-10 | Digital Equipment Corporation | Access control subsystem and method for distributed computer system using locally cached authentication credentials |
| JP2519390B2 (ja) * | 1992-09-11 | 1996-07-31 | インターナショナル・ビジネス・マシーンズ・コーポレイション | デ―タ通信方法及び装置 |
| US5349642A (en) * | 1992-11-03 | 1994-09-20 | Novell, Inc. | Method and apparatus for authentication of client server communication |
| US5548724A (en) * | 1993-03-22 | 1996-08-20 | Hitachi, Ltd. | File server system and file access control method of the same |
| US5463772A (en) * | 1993-04-23 | 1995-10-31 | Hewlett-Packard Company | Transparent peripheral file systems with on-board compression, decompression, and space management |
| US5649099A (en) * | 1993-06-04 | 1997-07-15 | Xerox Corporation | Method for delegating access rights through executable access control program without delegating access rights not in a specification to any intermediary nor comprising server security |
| US5440635A (en) * | 1993-08-23 | 1995-08-08 | At&T Corp. | Cryptographic protocol for remote authentication |
| ES2149794T3 (es) * | 1993-09-24 | 2000-11-16 | Siemens Ag | Procedimiento para compensar la carga en un sistema multiprocesador. |
| US5453979A (en) * | 1994-01-27 | 1995-09-26 | Dsc Communications Corporation | Method and apparatus for generating route information for asynchronous transfer mode cell processing |
| US5526414A (en) * | 1994-10-26 | 1996-06-11 | Northern Telecom Limited | Dynamically controlled routing using virtual nodes |
| US5550984A (en) * | 1994-12-07 | 1996-08-27 | Matsushita Electric Corporation Of America | Security system for preventing unauthorized communications between networks by translating communications received in ip protocol to non-ip protocol to remove address and routing services information |
| US5566170A (en) * | 1994-12-29 | 1996-10-15 | Storage Technology Corporation | Method and apparatus for accelerated packet forwarding |
| CN100452071C (zh) * | 1995-02-13 | 2009-01-14 | 英特特拉斯特技术公司 | 用于安全交易管理和电子权利保护的系统和方法 |
| US5564106A (en) * | 1995-03-09 | 1996-10-08 | Motorola, Inc. | Method for providing blind access to an encryption key |
| US5774668A (en) * | 1995-06-07 | 1998-06-30 | Microsoft Corporation | System for on-line service in which gateway computer uses service map which includes loading condition of servers broadcasted by application servers for load balancing |
| US6173306B1 (en) * | 1995-07-21 | 2001-01-09 | Emc Corporation | Dynamic load balancing |
| US5742759A (en) * | 1995-08-18 | 1998-04-21 | Sun Microsystems, Inc. | Method and system for facilitating access control to system resources in a distributed computer system |
| US5941947A (en) * | 1995-08-18 | 1999-08-24 | Microsoft Corporation | System and method for controlling access to data entities in a computer network |
| US5657390A (en) * | 1995-08-25 | 1997-08-12 | Netscape Communications Corporation | Secure socket layer application program apparatus and method |
| US5790800A (en) * | 1995-10-13 | 1998-08-04 | Digital Equipment Corporation | Client application program mobilizer |
| US5787175A (en) * | 1995-10-23 | 1998-07-28 | Novell, Inc. | Method and apparatus for collaborative document control |
| US5638448A (en) * | 1995-10-24 | 1997-06-10 | Nguyen; Minhtam C. | Network with secure communications sessions |
| US5680461A (en) * | 1995-10-26 | 1997-10-21 | Sun Microsystems, Inc. | Secure network protocol system and method |
| US5720034A (en) * | 1995-12-07 | 1998-02-17 | Case; Jeffrey D. | Method for secure key production |
| US5602918A (en) * | 1995-12-22 | 1997-02-11 | Virtual Open Network Environment Corp. | Application level security system and method |
| JPH09190236A (ja) * | 1996-01-10 | 1997-07-22 | Canon Inc | 情報処理方法及び装置及びシステム |
| US5862348A (en) * | 1996-02-09 | 1999-01-19 | Citrix Systems, Inc. | Method and apparatus for connecting a client node to a server node based on load levels |
| US5754791A (en) * | 1996-03-25 | 1998-05-19 | I-Cube, Inc. | Hierarchical address translation system for a network switch |
| US6282652B1 (en) * | 1998-02-26 | 2001-08-28 | Sun Microsystems, Inc. | System for separately designating security requirements for methods invoked on a computer |
| US5872783A (en) * | 1996-07-24 | 1999-02-16 | Cisco Systems, Inc. | Arrangement for rendering forwarding decisions for packets transferred among network switches |
| US6061650A (en) * | 1996-09-10 | 2000-05-09 | Nortel Networks Corporation | Method and apparatus for transparently providing mobile network functionality |
| US5784463A (en) * | 1996-12-04 | 1998-07-21 | V-One Corporation | Token distribution, registration, and dynamic configuration of user entitlement for an application level security system and method |
| US5905725A (en) * | 1996-12-16 | 1999-05-18 | Juniper Networks | High speed switching device |
| US6078943A (en) * | 1997-02-07 | 2000-06-20 | International Business Machines Corporation | Method and apparatus for dynamic interval-based load balancing |
| US5940507A (en) * | 1997-02-11 | 1999-08-17 | Connected Corporation | Secure file archive through encryption key management |
| US6104716A (en) * | 1997-03-28 | 2000-08-15 | International Business Machines Corporation | Method and apparatus for lightweight secure communication tunneling over the internet |
| US6351775B1 (en) * | 1997-05-30 | 2002-02-26 | International Business Machines Corporation | Loading balancing across servers in a computer network |
| US6292827B1 (en) * | 1997-06-20 | 2001-09-18 | Shore Technologies (1999) Inc. | Information transfer systems and method with dynamic distribution of data, control and management of information |
| US6175924B1 (en) * | 1997-06-20 | 2001-01-16 | International Business Machines Corp. | Method and apparatus for protecting application data in secure storage areas |
| US5918074A (en) * | 1997-07-25 | 1999-06-29 | Neonet Llc | System architecture for and method of dual path data processing and management of packets and/or cells and the like |
| US6061796A (en) * | 1997-08-26 | 2000-05-09 | V-One Corporation | Multi-access virtual private network |
| US6038668A (en) * | 1997-09-08 | 2000-03-14 | Science Applications International Corporation | System, method, and medium for retrieving, organizing, and utilizing networked data |
| US6405315B1 (en) * | 1997-09-11 | 2002-06-11 | International Business Machines Corporation | Decentralized remotely encrypted file system |
| US5931947A (en) * | 1997-09-11 | 1999-08-03 | International Business Machines Corporation | Secure array of remotely encrypted storage devices |
| US6249866B1 (en) * | 1997-09-16 | 2001-06-19 | Microsoft Corporation | Encrypting file system and method |
| US6252878B1 (en) * | 1997-10-30 | 2001-06-26 | Cisco Technology, Inc. | Switched architecture access server |
| US6052785A (en) * | 1997-11-21 | 2000-04-18 | International Business Machines Corporation | Multiple remote data access security mechanism for multitiered internet computer networks |
| US6246771B1 (en) * | 1997-11-26 | 2001-06-12 | V-One Corporation | Session key recovery system and method |
| US6202157B1 (en) * | 1997-12-08 | 2001-03-13 | Entrust Technologies Limited | Computer network security system and method having unilateral enforceable security policy provision |
| US6374336B1 (en) * | 1997-12-24 | 2002-04-16 | Avid Technology, Inc. | Computer system and process for transferring multiple high bandwidth streams of data between multiple storage units and multiple applications in a scalable and reliable manner |
| US6259699B1 (en) * | 1997-12-30 | 2001-07-10 | Nexabit Networks, Llc | System architecture for and method of processing packets and/or cells in a common switch |
| US6084969A (en) * | 1997-12-31 | 2000-07-04 | V-One Corporation | Key encryption system and method, pager unit, and pager proxy for a two-way alphanumeric pager network |
| US6378072B1 (en) * | 1998-02-03 | 2002-04-23 | Compaq Computer Corporation | Cryptographic system |
| FI980291A (fi) * | 1998-02-09 | 1999-08-10 | Nokia Mobile Phones Ltd | Liikkuva internetpääsy |
| US6260155B1 (en) * | 1998-05-01 | 2001-07-10 | Quad Research | Network information server |
| US6185681B1 (en) * | 1998-05-07 | 2001-02-06 | Stephen Zizzi | Method of transparent encryption and decryption for an electronic document management system |
| US6505300B2 (en) * | 1998-06-12 | 2003-01-07 | Microsoft Corporation | Method and system for secure running of untrusted content |
| US6253321B1 (en) * | 1998-06-19 | 2001-06-26 | Ssh Communications Security Ltd. | Method and arrangement for implementing IPSEC policy management using filter code |
| US6219790B1 (en) * | 1998-06-19 | 2001-04-17 | Lucent Technologies Inc. | Centralized authentication, authorization and accounting server with support for multiple transport protocols and multiple client types |
| US6263445B1 (en) * | 1998-06-30 | 2001-07-17 | Emc Corporation | Method and apparatus for authenticating connections to a storage system coupled to a network |
| US6377577B1 (en) * | 1998-06-30 | 2002-04-23 | Cisco Technology, Inc. | Access control list processing in hardware |
| US6078960A (en) * | 1998-07-03 | 2000-06-20 | Acceleration Software International Corporation | Client-side load-balancing in client server network |
| US6185684B1 (en) * | 1998-08-28 | 2001-02-06 | Adobe Systems, Inc. | Secured document access control using recipient lists |
| US6438612B1 (en) * | 1998-09-11 | 2002-08-20 | Ssh Communications Security, Ltd. | Method and arrangement for secure tunneling of data between virtual routers |
| US6266705B1 (en) * | 1998-09-29 | 2001-07-24 | Cisco Systems, Inc. | Look up mechanism and associated hash table for a network switch |
| US6438652B1 (en) * | 1998-10-09 | 2002-08-20 | International Business Machines Corporation | Load balancing cooperating cache servers by shifting forwarded request |
| US6330677B1 (en) * | 1998-10-27 | 2001-12-11 | Sprint Communications Company, L. P. | Object-based security system |
| US6158010A (en) * | 1998-10-28 | 2000-12-05 | Crosslogix, Inc. | System and method for maintaining security in a distributed computer network |
| US6519636B2 (en) * | 1998-10-28 | 2003-02-11 | International Business Machines Corporation | Efficient classification, manipulation, and control of network transmissions by associating network flows with rule based functions |
| US6424621B1 (en) * | 1998-11-17 | 2002-07-23 | Sun Microsystems, Inc. | Software interface between switching module and operating system of a data packet switching and load balancing system |
| US6272522B1 (en) * | 1998-11-17 | 2001-08-07 | Sun Microsystems, Incorporated | Computer data packet switching and load balancing system using a general-purpose multiprocessor architecture |
| US6199077B1 (en) * | 1998-12-08 | 2001-03-06 | Yodlee.Com, Inc. | Server-side web summary generation and presentation |
| US6442608B1 (en) * | 1999-01-14 | 2002-08-27 | Cisco Technology, Inc. | Distributed database system with authoritative node |
| US6542992B1 (en) * | 1999-01-26 | 2003-04-01 | 3Com Corporation | Control and coordination of encryption and compression between network entities |
| US6560217B1 (en) * | 1999-02-25 | 2003-05-06 | 3Com Corporation | Virtual home agent service using software-replicated home agents |
| US6324581B1 (en) * | 1999-03-03 | 2001-11-27 | Emc Corporation | File server system using file system storage, data movers, and an exchange of meta data among data movers for file locking and direct access to shared file systems |
| US6505254B1 (en) * | 1999-04-19 | 2003-01-07 | Cisco Technology, Inc. | Methods and apparatus for routing requests in a network |
| US6529950B1 (en) * | 1999-06-17 | 2003-03-04 | International Business Machines Corporation | Policy-based multivariate application-level QoS negotiation for multimedia services |
| US6845395B1 (en) * | 1999-06-30 | 2005-01-18 | Emc Corporation | Method and apparatus for identifying network devices on a storage network |
| US6584508B1 (en) * | 1999-07-13 | 2003-06-24 | Networks Associates Technology, Inc. | Advanced data guard having independently wrapped components |
| US6286104B1 (en) * | 1999-08-04 | 2001-09-04 | Oracle Corporation | Authentication and authorization in a multi-tier relational database management system |
| KR100319256B1 (ko) * | 1999-12-30 | 2002-01-05 | 서평원 | 통신 프로토콜 운용 방법 |
| US6539483B1 (en) * | 2000-01-12 | 2003-03-25 | International Business Machines Corporation | System and method for generation VPN network policies |
| US6901403B1 (en) * | 2000-03-02 | 2005-05-31 | Quovadx, Inc. | XML presentation of general-purpose data sources |
| US7587368B2 (en) * | 2000-07-06 | 2009-09-08 | David Paul Felsher | Information record infrastructure, system and method |
| US6354886B1 (en) * | 2000-09-08 | 2002-03-12 | Advanced Connecteck Inc. | Electrical connector |
| US7103915B2 (en) * | 2000-11-13 | 2006-09-05 | Digital Doors, Inc. | Data security system and method |
| US6671773B2 (en) * | 2000-12-07 | 2003-12-30 | Spinnaker Networks, Llc | Method and system for responding to file system requests |
| US7437429B2 (en) * | 2001-02-13 | 2008-10-14 | Microsoft Corporation | System and method for providing transparent access to distributed authoring and versioning files including encrypted files |
| US20030074355A1 (en) * | 2001-03-23 | 2003-04-17 | Restaurant Services, Inc. ("RSI"). | System, method and computer program product for a secure supply chain management framework |
| US7167982B2 (en) * | 2001-09-14 | 2007-01-23 | Lenovo (Singapore) Pte Ltd. | Securing decrypted files in a shared environment |
| MXPA04004982A (es) * | 2001-11-27 | 2004-08-11 | Hoffmann La Roche | Derivados de benzotiazol. |
| US6850446B1 (en) * | 2001-12-06 | 2005-02-01 | Virage Logic Corporation | Memory cell sensing with low noise generation |
| US20030112977A1 (en) * | 2001-12-18 | 2003-06-19 | Dipankar Ray | Communicating data securely within a mobile communications network |
| US6584023B1 (en) * | 2002-01-09 | 2003-06-24 | International Business Machines Corporation | System for implementing a column redundancy scheme for arrays with controls that span multiple data bits |
-
2002
- 2002-07-22 US US10/201,406 patent/US6678828B1/en not_active Expired - Lifetime
-
2003
- 2003-06-24 JP JP2004523025A patent/JP5067771B2/ja not_active Expired - Fee Related
- 2003-06-24 EP EP03765467A patent/EP1540481A4/en not_active Withdrawn
- 2003-06-24 AU AU2003243780A patent/AU2003243780A1/en not_active Abandoned
- 2003-06-24 WO PCT/US2003/020020 patent/WO2004010304A1/en active Application Filing
- 2003-11-12 US US10/712,474 patent/US20040107342A1/en not_active Abandoned
Also Published As
| Publication number | Publication date |
|---|---|
| EP1540481A4 (en) | 2010-08-11 |
| US20040107342A1 (en) | 2004-06-03 |
| AU2003243780A1 (en) | 2004-02-09 |
| EP1540481A1 (en) | 2005-06-15 |
| WO2004010304A1 (en) | 2004-01-29 |
| JP2005534104A (ja) | 2005-11-10 |
| US6678828B1 (en) | 2004-01-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5067771B2 (ja) | セキュアネットワークファイルアクセス制御システム | |
| US7334124B2 (en) | Logical access block processing protocol for transparent secure file storage | |
| US6931530B2 (en) | Secure network file access controller implementing access control and auditing | |
| JP4896400B2 (ja) | セキュアなファイルシステムサーバーのアーキテクチャ及び方法 | |
| US8335915B2 (en) | Encryption based security system for network storage | |
| US9781114B2 (en) | Computer security system | |
| US8528047B2 (en) | Multilayer access control security system | |
| US8042163B1 (en) | Secure storage access using third party capability tokens | |
| US10726137B2 (en) | Copy protection for secured files | |
| US8601498B2 (en) | Accelerator system for use with secure data storage | |
| US9043589B2 (en) | System and method for safeguarding and processing confidential information | |
| WO2002093314A2 (en) | Encryption based security system for network storage | |
| Lin | A firewall approach to personal knowledge system | |
| Stahnke | The OpenSSH Server |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060621 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060621 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090907 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20091204 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20091211 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20100308 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20101227 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20110328 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20110404 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20110627 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20110801 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20111101 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20111109 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20120201 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20120220 |
|
| A045 | Written measure of dismissal of application [lapsed due to lack of payment] |
Free format text: JAPANESE INTERMEDIATE CODE: A045 Effective date: 20120625 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120621 |
|
| AA91 | Notification that invitation to amend document was cancelled |
Free format text: JAPANESE INTERMEDIATE CODE: A971091 Effective date: 20120703 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120808 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150824 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150824 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150824 Year of fee payment: 3 |
|
| LAPS | Cancellation because of no payment of annual fees |