JP5194204B2 - Ｕｓｂ保護記憶装置 - Google Patents

Description

本発明は、メディア記憶装置（media storage device）に保護領域(secure area)を提供する装置および方法に関し、より詳しくは、保護領域（secure section）を有しており、その保護領域内のデータにアクセスするためにカスタムドライバーまたは特別なソフトウェアパッケージを必要としない記憶装置を提供する装置および方法に関する。

関連技術の説明

従来の技術は、保護記憶領域を備えているものの、いくつかの欠点を有している。ある技術では、共有領域（public partition）と暗号化領域(encrypted partition)の2つの領域を作り出すのにソフトウェアパッケージを用いる。ここで言う共有領域は、誰でもアクセスできる領域であり、暗号化領域は、この暗号化された領域内のファイルにアクセスするために特別なドライバーとソフトウェアのインストールを必要とする領域である。例えばCypress Semiconductor Corporationによって提供されるUSB MSCドライバー内で実施されているような別の技術では、カスタムドライバーおよびソフトウェアアプリケーションを用いてハードドライブのATAセキュリティ機能（ATA Security Feature）を実行し、ハードドライブ自身に格納されているパスワードを用いて、デバイス全体へのアクセスを保護している。

残念ながら、これらの従来の方法には、それぞれ欠点がある。例えば、領域の一つが暗号化されている複数の領域を備えている技術では、その暗号化領域内のファイルにアクセスするために特別なソフトウェアおよびドライバーがインストールされていることが必要となる。さらに、保護データ（secure data）は、それらのファイルへアクセスするために、その特別なソフトウェアおよびドライバーを使用して暗号化および複合化される必要がある。さらに、権限のないユーザー(unauthorized users)が、低いレベルのディスクアクセス(セクターの読み書き)を用いることで、暗号化領域内にある実際のデータにアクセスできてしまう可能性があり、それにより彼らにドライブ内のデータの複合化を試みる機会を与えてしまう。

ハードウェアを介してディスク全体を保護することを可能にする技術にも欠点がある。例えば、この技術でも、ディスクへのアクセスの保護を解除するために特別なソフトウェアおよびドライバーがインストールされていることが必要となる。さらに、この技術は、分割された共有領域および保護領域を有していないディスク内のファイルにアクセスすることから、全か無か（all or nothing）のアプローチしか提供しない。さらに、ハードドライブは、この方法を実施するためにATAセキュリティ機能をサポートせねばならない。そのため、この技術は、通常のフラッシュメモリやATAPIデバイスとは互換性がない。その上、ひとたびハードドライブが保護解除されると、オペレーティングシステム（OS）ファイルシステムにメディアを再マウントさせてドライブ内のコンテンツにアクセスさせるのに非標準的な機構が必要となる。

本発明の好ましい実施形態では、ユニバーサル・シリアル・バス（USB）メディアデバイスの一部を保護することを可能にするとともに、保護されない部分を作ったり、作らなかったりすることを可能する方法が提供される。この好ましい実施形態では、このメディアの保護領域にアクセスするために、何らかのカスタムドライバーかソフトウェアパッケージがインストールされていることを必要とせず、元から備わっている（existing native）USB マスストレージクラス（MSC）ドライバーを利用することができる。

本発明に係る好ましい装置は、USB記憶装置内に特別なファームウェアを格納するように構成されるのが好ましい。また、好ましくは、標準的なヒューマン・インターフェイス・デバイス（HID）を介して、USB記憶装置ファームウェアと直接通信するために、簡単な独立型（standalone）のセキュリティアプリケーションが設けられる。セキュリティリクエストは、HIDインターフェイスを介して実行されるのが好ましい。

保護メディアに対するアクセスの有効化と無効化は、それぞれ、メディアの挿入および取り外しをエミュレートすることによってファームウェア内で行われるのが好ましい。そのため、保護メディアのロックおよびロック解除のようなセキュリティ機能は、簡単な独立型（standalone）のセキュリティアプリケーションを介して起動されるのが好ましい。このセキュリティアプリケーションは、HIDインターフェイスを介してUSB記憶装置に有効化命令または無効化命令を送信するのが好ましい。したがって、この実施形態では、保護メディア領域内に保存されているデータへのアクセスを可能にするために、カスタムドライバーまたはソフトウェアパッケージをインストールする必要はない。

本発明の前述した特徴、利点およびそれら以外の特徴、利点は、添付図面と関連して記載された本発明の好ましい実施形態の以下の詳細な説明から明らかとなるであろう。

好ましい実施形態の詳細な説明

以下、本発明の好ましい実施形態と関連して本発明の本質についてより詳しく説明する。しかし、これらの実施形態は、特許請求の範囲を限定するためではなく、例として与えられたものであり、ここで開示される実施形態は、本発明の本質および範囲から逸脱することなくその構成と詳細において変更してもよいということに注意されたし。

前に説明したように、図１は、本発明の好ましい実施形態に係るストレージメディア領域（storage media area）110内に非保護領域（nonsecure section）115と保護領域（secure section）120の両方を備えるUSB保護記憶装置(USB secure storage device)100の概略的なブロック図である。図１に関して、USB保護記憶装置100は、USBデバイスファームウェア130を備えている。ホストOS 200は、USB HID（ヒューマン・インターフェイス・デバイス）クラスドライバー205およびUSB MSC（マスストレージクラス）ドライバー210を備えているのが好ましい。ホストUSB MSCドライバー210は、USB記憶装置100のファームウェア130のUSB MSCインターフェイス140と通信するのが好ましい。一方、ホストUSB HIDクラスドライバー205は、USB記憶装置100のファームウェア130のHIDインターフェイス135と通信する（やりとりする）のが好ましい。また、ホストOS 200は、ホストOS 200とUSB記憶装置100間での通信を容易にするために、USBスタック215およびファイルシステム220を備えているのが好ましい。

説明したように、USBデバイスファームウェア130は、HIDインターフェイス135およびMSCインターフェイス140を有しているのが好ましい。MSCインターフェイス140は、保護領域120と非保護領域115と別々に通信するために複数の論理ユニット（LUN）141、142を利用する機能を備えていることが好ましい。非保護領域115および保護領域120のサイズは、物理メディア110の記憶領域を、それぞれ保護領域120と非保護領域115に対応する仮想LUNへマッピングすることによって、ユーザーが設定するのが最も好ましい。

より詳しくは、第一の物理記憶領域は、セクター0−xを有しており、好ましくは、共有もしくは非保護領域115に対応する第一の仮想LUN(仮想LUN1)へマッピングされる。第二の物理記憶領域は、セクターx+1−yを有しており、好ましくは、保護領域120に対応する第二の仮想LUN(仮想LUN2)へマッピングされる。このようにして、標準的なUSB記憶LUN機構は、ホストデバイスに非保護（共有）記憶領域115および保護領域120を提供するために用いることができる。

初使用時の使い方、すなわちセキュリティが有効にされていない状態での操作（First Time Use or Operation Without Security Enabled）
USB保護記憶装置100の初使用時の使い方、すなわちセキュリティ機能が有効にされていない状態での操作（operation）は、従来のUSB大容量記憶装置(USB mass storage devices)の使い方と同様であるのが好ましい。特に、USB記憶装置100は、USB大容量記憶クラス（USB Mass Storage Class: MSC）規格に準拠しているのが好ましい。そうすれば、上述した構成では、ホストオペレーティングシステム（OS）USB MSCドライバー210は、USB記憶装置100との通信を可能にする。USB記憶装置100は、ストレージメディア110を一つの論理ユニット（LUN）として扱って、そのストレージメディアへのアクセスを提供するのが好ましい。このUSB MSCドライバー210はこの構成では、従来のやり方で、メディア110をマウントし、それと通信する。

保護記憶機能（The Secure Storage Feature）
USB保護記憶装置100と従来のUSB MSC装置の間の主要な違いは、保護記憶装置100は、さらにUSB HIDクラスインターフェイス135を提供することである。ホストOSによって提供されるUSB HIDクラスドライバー205は、記憶装置100のHIDインターフェイス135と適合する（マッチする）。図１−４と関連して以下で説明するように、保護領域120は、USB HIDインターフェイスを利用して、権限のないアクセス(unauthorized access)から保護される。

図２−４は、フローチャートを介して、図１の保護記憶装置100を構成して使用する好ましいやり方を示している。図２は、USB保護記憶装置100をセットアップして、この装置を保護領域と非保護領域へ分割する方法を示している。図３は、USB保護記憶装置100の保護領域にアクセスする方法を示している。そして、図４は、USB保護記憶装置100の保護領域へのアクセスを防ぐ方法を示している。

保護記憶装置の有効化および設定（Enabling and Configuring the Secure Storage Device）
特に図１および図２に関して、保護記憶領域120の初期設定(first time setup)は、エンドユーザーによって始められるのが好ましい。より詳しくは、カスタム保護記憶設定アプリケーションが、エンドユーザーによって起動されるか、USB記憶装置100から自動的に起動され、保護記憶領域120を作成するのが好ましい。このアプリケーションは、USB HIDドライバー205を介してUSB記憶装置100と通信するのが好ましい。このアプリケーションは、USB HIDドライバー205およびUSB記憶装置100のUSB HIDインターフェイス135を使用して、装置のセキュリティを設定するためのコマンドを送る。ここで言う設定には、メディア110の共有領域115および保護領域120のサイズの設定と同様に、セキュリティパスワードの設定も含まれる。このセキュリティパスワードは、例えば、NV-RAMや、EEPROMや、他のフラッシュメモリなどの不揮発性メモリ内に格納されてもよいし、または、例えば、メディア110の保護領域120内に保存されてもよい（設定されてもよい）。

上述したように、共有領域115および保護領域120の設定は、それらを複数の仮想LUNに設定することでなされるのが好ましい。共有領域115は、第一の物理記憶領域（例えば、セクター0−x）を第一の仮想LUN（仮想LUN 1）へマッピングすることで規定されるのが好ましい。同様に、保護領域120は、第二の物理記憶領域（例えば、セクターx+1−y）を第二の仮想LUN（仮想LUN 2）へマッピングすることで、規定されるのが好ましい。このように、標準的なUSBストレージLUN機構は、非保護（共有）領域115および保護記憶領域120を、以下でより詳しく説明するやり方でホストデバイスに提供するのに用いることができる。

また、後で、HIDインターフェイス135を使用して、保護記憶領域120を再設定できるようにすることも好ましい。ここで行う設定には、例えば、ユーザーが保護メディアオプションを有効または無効にできるようにすることや、ユーザーが共有メディア領域115および保護メディア領域120のサイズを規定したり、変更したりできるようにすることや、ユーザーが保護メディアのパスワードを変更できるようにすることなどが含まれてもよい。また、パスワードを忘れた場合に、ユーザーが装置100を再設定することを許可してもよいが、これは、保護領域120に完全な物理(ファームウェア)フォーマットを実施した（complete low-level wipe）後にのみ許可されるのが好ましい。

保護メディアへのアクセス（Accessing the Secured Media）
図１−３に関して、保護領域120をセットアップした後も、保護をかけられたUSB記憶装置100は、依然としてUSB MSC準拠である。従って、ホストOS USB MSCドライバー210は、保護USB記憶装置100と適合する（マッチする）。USB MSCドライバー210は、保護をかけられたUSB記憶装置100に問い合わせを行う（interrogate）。USB保護記憶装置100は、USB MSCドライバー210に、該USB保護記憶装置100は、複数のリムーバブルメディアドライブ（非保護領域115と保護領域120を意味する）を有していると折り返し報告する。USB MSCドライバー210は、非保護メディア領域115を従来のやり方でマウントする。

繰り返すが、USB保護記憶装置100と従来のUSB MSC装置の間の主要な違いは、保護記憶装置100がUSB HIDクラスインターフェイス135を備えていることである。ホストOS 200によって提供されるUSB HIDクラスドライバー205は、記憶装置100のHIDインターフェイス135と適合する。パスワードダイアログ250が自動的に起動されるか、エンドユーザー(end-user)によって起動されると、このパスワードアプリケーション250は、USB HIDドライバー205を介してUSB保護記憶装置100と通信する。好ましくは、このダイアログは、USB HIDドライバー205およびUSB記憶装置100のUSB HIDインターフェイス135を使用して、保護されている「ドライブ」領域120のロックを解除するためのパスワードを送信する。

そのため、USB保護記憶装置100は、保護領域120へのアクセスを許可するためにパスワードダイアログを提供するソフトウェアアプリケーションを備えているのが好ましい。このソフトウェアアプリケーションは、自動ローディング（auto-loading）のソフトウェアアプリケーション、もしくはそうでなければ簡単にアクセス可能なソフトウェアアプリケーションである。例えば、ある実施形態では、パスワードダイアログアプリケーション250は、記憶装置100をホスト200に挿入したら非保護領域115から自動起動されるように構成される。これによって、ホストコンピュータにソフトウェアをあらかじめインストールしておくことなく、保護メディア領域120のロックを解除する方法を提供する。

パスワードアプリケーションが起動され、適切なパスワードが入力されるまでは、USB MSCドライバー210が保護リムーバルメディアドライブ（secured removable media drive）100にポーリングしても、この記憶装置100は、保護ドライブ領域120は利用可能でないと応答する。USB MSCドライバー210が、アクセス可能なメディアについて保護記憶装置100にポーリングし続けても、記憶装置100は、保護メディア領域120がパスワード保護されている限り、利用可能なメディアはないと応答し続ける。

ファームウェア130は、メディアに対するアクセスを制御するゲートキーパー（gatekeeper）として動作する。保護領域120がファームウェア130によってロックされている場合、ファームウェア130は、あたかも保護ドライブが物理的に取り外されているかのようにアクセスリクエストに応答することで、保護領域120へのアクセスをブロックする。正しいパスワードが送られ、認証（照合）されると、保護領域120はロックを解除される。次にUSB MSCドライバー210が、アクセス可能なメディアについて保護記憶装置100にポーリングしたときには、装置100は、保護メディア領域120は現在利用可能であると応答する。この結果、USB MSCドライバー210は、従来のやり方で保護メディア領域120をマウントすることができる。再び、ファームウェア130は、ゲートキーパーとして動作する。ひとたび正しいパスワードが受信され、保護メディア領域120のロックが解除されると、ファームウェア130は、ホストのリクエストが装置100の保護領域120へたどり着くこと（pass through to）を許可する。例えば、ホスト200は、保護領域120をリムーバブルメディアとして扱って、それにクエリーを行う。一度ロック解除されたら、ホスト200は、保護領域120からの応答を受信し、その後保護領域120をマウントすることができる。こうして、保護領域120をロックおよびロック解除している間、ファームウェア130は、ホスト200からの命令に対するメディアの応答、もしくはメディア自体に変更を加えない。むしろ、ファームウェア130は、リクエストを通過させずにそれらのリクエストを送り返すことでロックされたメディアに対するアクセスをブロックするか、もしくは、「ゲート」を開放してクエリーがロックを解除されたメディアにたどり着く（pass through to）ことを許可するのが好ましい。

保護メディアへのアクセスのブロックBlocking Access to Secured Media
ここで、保護メディア領域120へのアクセスをブロックする好ましい方法を、図１−４と関連してより詳しく説明する。ホストOSファイルシステム220が保護メディア領域120を有する記憶装置100をイジェクトする場合（すなわち他のロッキングイベントに応じる場合）、USBデバイスファームウェア130は、保護メディア領域120をロックするのが好ましい。その後、保護メディア領域120は、それを再びロック解除するためにセキュリティアプリケーションが用いられるまでロックされたままとなる。ファームウェア130に、保護メディア領域120へのアクセスをロックさせるイベントには、例えば、記憶装置100を初使用時に起動させることや、ホスト200からイジェクトコマンドを受け取ることや、HIDインターフェイス135を介してセキュリティアプリケーションからロックコマンドを受け取ることや、他の選択されたイベントが含まれる。ユーザーがパスワードを忘れた場合は、まずファームウェア130が保護メディア領域120内の保護データの物理フォーマットを完了させ、その後パスワードを再設定し、メディアを再び利用可能な状態にする。

本発明は、従来の保護記憶システムを上回る多数の利点を提供する。本発明の様々な態様の主な利点の一つには、一旦ロック解除された保護データへアクセスするために既存の（existing）USBマスストレージクラスおよび現在のオペレーティングシステムのファイルシステムドライバーを依然として使用する一方で、ハードウェアレベルの保護されたアクセスを提供することが含まれる。そのため、保護ファイルにアクセスするために、特別なソフトウェアまたはドライバーは必要とならない。さらに、このファームウェアを備えているセキュリティインターフェイスに、標準的なUSB HIDインターフェイスを用いることができる。そのため、このセキュリティ機能を起動するインターフェイスをサポートするために、カスタムドライバーは必要とならない。

本発明の他の態様では、共有メディア領域と保護メディア領域を区別するために複数のLUNを用いることができる。複数のLUNデバイスの特性を利用することで、正しいパスワードが入力されるまで、保護領域へのアクセスを防ぐことができる。また、保護メディア領域へのアクセスを「オンザフライ（on-the-fly）」で有効化および無効化するのに、リムーバブルーメディアマスストレージ技術を利用することができる。したがって、保護メディア領域へのアクセスのロックを解除するのに必要となるのは、簡単な独立型のセキュリティアプリケーションのみである。また、このメディアを保護するのには、暗号化および複合化は必要とならない。その上、保護メディア領域内のデータに権限が与えられてない者からの低レベルアクセスが行われるリスクはない。このデータは、USBデバイス自身のファームウェアによって保護メディアへのアクセスのロックが解除されるまでは利用不可能のままである。

本発明の多数の好ましい態様および実施形態を前述した。本発明の本質は、その好ましい実施形態に関して、示し、説明したが、当業者ならば、本発明は、その本質から逸脱することなくその構成と詳細において変更してもよいということが理解できるであろう。したがって、本発明は、添付の請求項の精神および範囲から生じるすべての変化を網羅していると解釈されたし。

本発明の好ましい実施形態に係る保護領域と非保護領域の両方を提供するUSB保護記憶装置の略ブロック図である。 図１のUSB保護記憶装置をセットアップして、この装置を本発明の別の態様に係る保護領域と非保護領域へ分割する方法を示しているフローチャートである。 本発明のさらに別の態様に係る図１のUSB保護記憶装置の保護領域にアクセスする方法を示しているフローチャートである。 本発明のまた別の態様に係る図１のUSB保護記憶装置の保護領域へのアクセスを防ぐ方法を示しているフローチャートである。

Claims (17)

1. USBマスストレージクラス（MSC）インターフェイスと、
   USBヒューマン・インターフェイス・デバイス（HID）インターフェイスと、
   前記USB MSCインターフェイスを介してアクセス可能な保護領域および共有領域を含むストレージメディアと、を有するユニバーサル・シリアル・バス（USB）記憶装置であって、
   前記USB HIDインターフェイスは、前記ストレージメディアの第１の領域を前記共有領域として設定し、前記ストレージメディアの第２の領域を前記保護領域として設定するコマンドを受信するよう構成され、
   前記USB HIDインターフェイスは、前記ストレージメディアの少なくとも一部のロックを解除するために用いられ、
   前記ユニバーサル・シリアル・バス（USB）記憶装置は、前記保護領域がロックされている場合、前記ストレージメディアの前記第２の領域がホストデバイスから外れていると示すよう構成されている
   ことを特徴とする前記ユニバーサル・シリアル・バス（USB）記憶装置。
2. 前記ストレージメディアが、複数の仮想論理ユニット（LUN）としての前記共有領域と前記保護領域に分けて構成されている請求項１に記載のUSB記憶装置。
3. 前記ストレージメディアの少なくとも一部は、前記保護領域である請求項１に記載のUSB記憶装置。
4. さらに、前記USB記憶装置の取り外しに応じて前記保護領域をロックするように構成されているファームウェアを備えている請求項１に記載のUSB記憶装置。
5. さらに、前記共有領域に格納されるパスワードダイアログアプリケーションを備えている請求項１に記載のUSB記憶装置。
6. 前記パスワードダイアログアプリケーションが、前記USB記憶装置の挿入に応じて自動起動するように構成されている請求項５に記載のUSB記憶装置。
7. 前記パスワードダイアログアプリケーションが、前記USB HIDインターフェイスと通信するホストのUSB HIDドライバーを用いて、パスワードを認証し、前記保護領域のロックを解除するように構成されている請求項５に記載のUSB記憶装置。
8. 前記USB記憶装置が、ホストUSBマスストレージクラス（MSC）ドライバーからの問い合わせに対して、該USB記憶装置は複数のドライブを有していると応答するように構成されている請求項１に記載のUSB記憶装置。
9. 前記USB記憶装置が、ホストUSB MSCのポーリングに対して、ロックされた前記保護領域に対応する前記ドライブは利用不可能であると応答するように構成されている請求項８に記載のUSB記憶装置。
10. 保護記憶装置を構成する方法であって、
    USBヒューマン・インターフェイス・デバイス（HID）インターフェイスを用いてコマンドを受信するステップと、
    前記受信したコマンドに従って、前記保護記憶装置のストレージメディア内に保護領域および非保護領域を設けるステップと、
    前記保護記憶装置の前記保護領域にアクセスするためのパスワードを、当該保護記憶装置の前記USB HIDインターフェイスを用いて設定するステップと、
    前記保護領域がロックされている場合、当該保護領域がホストから外れていると示すように前記保護記憶装置を構成するステップと
    を含む前記方法。
11. 前記保護領域および前記非保護領域を設けるステップは、該保護領域および該非保護領域のそれぞれに対応した仮想LUNを構成するステップを含む請求項１０に記載の方法。
12. 前記保護領域へのアクセスが、前記保護記憶装置の前記USB HIDインターフェイスおよびホストUSB HIDドライバーを利用することで、得られるようになっている請求項１０に記載の方法。
13. パスワードダイアログアプリケーションが、前記保護記憶装置の前記非保護領域内に格納されている請求項１０に記載の方法。
14. 保護記憶装置にアクセスする方法であって、
    記憶装置の保護領域がロックされている場合、当該保護領域がホストデバイスから外れていると前記ホストデバイスに示すステップと、
    前記保護記憶装置のストレージメディア内に備えられたUSB ヒューマン・インターフェイス・デバイス（HID）インターフェイスおよびホストUSB HIDドライバーを使用して、パスワードを認証するステップと、
    正しいパスワードの入力の認証に応じて、デバイスファームウェアを用いて前記保護記憶装置の保護領域のロックを解除するステップとを含み、
    前記ストレージメディアは、非保護領域および前記保護領域を含み、
    前記USB HIDインターフェイスは、前記ストレージメディアの第１の領域を前記非保護領域として設定し、前記ストレージメディアの第２の領域を前記保護領域として設定するコマンドを受信することを特徴とする前記方法。
15. さらに、前記保護領域のロックが解除された後は、ホストUSB MSCドライバーのポーリングに対して、該保護領域はアクセス可能であると応答するステップを含む請求項１４に記載の方法。
16. さらに、前記ホストUSB MSCドライバーおよび前記保護記憶装置のUSB MSCインターフェイスを用いて、前記保護領域内のデータにアクセスするステップを含む請求項１５に記載の方法。
17. さらに、前記保護領域がロックされている場合、ホストUSB MSCドライバーのポーリングに対して、該保護領域はアクセス不可能であると応答するステップを含む請求項１４に記載の方法。

Images