JP5211716B2 - ファイルアクセス制御方法、ファイルアクセス制御プログラム、およびファイルアクセス制御装置 - Google Patents

Description

本開示は、電子情報機器に搭載される記憶デバイスおよび記憶メディア内のデータをファイルレベルで操作するためのファイルアクセス方法およびファイルシステムに関する。特に、本システムは、パーソナルコンピュータ、パーソナルデータアシスタント（PDA）、携帯電話の電子情報機器に適用される。

一般的な電子情報機器には、オペレーティングシステム（OS）が搭載されている。OSは、ハードウェアを抽象化し、アプリケーションソフトウェアにハードウェアに依存しないインターフェイスを提供する基本ソフトウェアである。

OSは、記憶デバイスを含む電子情報機器の周辺機器を抽象化して制御するためのデバイスドライバと、記憶デバイスに蓄積されたデータをファイルレベルで操作するためのファイルシステムなどから構成される。

OSでは、アプリケーションソフトウェアなどのプログラムは、ファイルシステム内のファイルとして、管理される。

一般的なウィルスプログラムは、ファイルシステム内のプログラムファイルに追加される形で感染する。ウィルスプログラムが感染したプログラムファイルが実行されると、プログラムファイル内のウィルスプログラム部分も実行されるため、ウィルスプログラムが活動を開始する。

現在、ウィルスプログラムがファイルシステム内のプログラムファイルに感染しているかどうかを検出するため、ウィルス検出ソフトウェアが多数開発され、一般に販売されている。ウィルス検出ソフトウェアは、ファイルシステム内のすべてのファイルの中身を検査し、ウィルスプログラムがファイルに感染しているかどうか確認し、もしウィルスプログラムがファイルに感染している場合は、ファイルからウィルスプログラムを取り除く。

ウィルス検出ソフトウェアの課題は、ウィルスプログラムがファイルに感染したことを検出し、感染ファイルからウィルスプログラムを取り除くことしかできないことにある。また、ウィルス検出ソフトウェアは、ウィルスプログラムがファイルに感染する行為を防ぐことは不可能であり、ウィルスプログラムが検出されない限り、ウィルスプログラムの活動を停止させることはできない。ウィルス検出ソフトウェアは、ファイルにウィルスプログラムが感染したあとの事後対策となる。ウィルス検出ソフトウェアにより、ウィルスプログラムが検出されて、取り除かれるまで、ウィルスプログラムの活動を許す機会を与えてしまう可能性があり、ウィルスプログラムの活動により、機密データ漏洩につながる可能性もある。

機密ファイルを保護するために、ファイルへのアクセスを制限する一般的な手段として、パスワードによってファイルを保護する手段を備えるシステムがある。

具体的には、パスワードを予めOS内に登録しておき、プログラムからファイルへのアクセスが発生したときに、ユーザに対しパスワード入力を要求し、ユーザが入力したパスワードと、OSに既に登録されているパスワードが一致しない限り、ファイルへのアクセスを許可せず、パスワードが一致した場合は、プログラムからのファイルアクセスを許可する。この方式では、ファイルアクセスが発生するたびに、ユーザによるパスワード入力が必要となるため、操作が煩雑になるという問題がある。

一般的に、OSは、アプリケーションなどのプログラムがファイルにアクセスする際に用いるプログラミングインターフェイスとして、高レベルなファイルシステムインターフェイスと、低レベルなIOコントロールインターフェイスとを、備える。

パスワードによる保護手段がファイルシステムインターフェイスに対してのみ有効な場合、ウィルスプログラムはパスワードによる保護手段を経由しないで、IOコントロールインターフェイスを用い、直接的にファイルにアクセスする可能性があり、パスワードによる保護だけでは、ウィルスプログラムからのファイルへのアクセスを防止することはできない。したがって、ウィルスプログラムによりファイルが漏洩するという脅威に対する対策として、ファイルを暗号化しておく必要がある。

次に、パスワードとファイル暗号化を組み合わせて、ファイルを保護する一般的な方式について述べる。

一般的なファイル暗号化方式として、ファイルごとに設定されるパスワードに基づいて暗号鍵を生成し、生成した暗号鍵でファイルを暗号化する機能を備えるファイルシステムについて述べる。

プログラムが電子情報機器に搭載される記憶装置にファイルを保存する場合、本開示は、ファイルごとに設定するパスワードをユーザに要求する。次にファイルシステムは、入力されたパスワードに基づいて暗号鍵を生成し、生成した暗号鍵でファイルを暗号化して、記憶装置に暗号化したファイルを保存する。

また、プログラムが記憶装置に保存された暗号ファイルを読み出す場合、ファイルシステムはユーザにパスワードを要求する。次にファイルシステムは、入力されたパスワードに基づいて暗号鍵を生成し、生成した暗号鍵で暗号ファイルを復号し、復号した平文データをプログラムに受け渡す。

本開示では、パスワードが解読されない限り、ウィルスプログラムにより暗号ファイルを解読することはできない。ただし、暗号ファイルを解読する際に、ユーザによるパスワード入力が必要となるため、操作が煩雑になるという問題がある。

電子情報機器にウィルスプログラムが感染、またはユーザに知らされぬままに暗黙的にマルウェアがインストールされた場合、ウィルスプログラムまたはマルウェアにより、パーソナルコンピュータ、パーソナルデータアシスタント（PDA）、携帯電話などの電子情報機器内のデータが外部に漏洩する可能性があり、このような電子情報機器からのデータ漏洩を防止する。

従来のシステムでは、アクセスを許可するプログラムリストに基づきアクセス制御を行っている。このようなシステムでは、プログラムリストに存在するプログラムファイルにウィルスプログラムが感染した場合、ウィルスプログラムからのアクセスを、プログラムリストに存在するプログラムからのアクセスとして誤認してしまう（特許文献１）。

また、別の従来システムでは、アクセスを許可するユーザリストをファイルごとに備え、ユーザリストに基づきアクセス制御を行っている（特許文献２）。
特開２００７−３１６７８０号公報 特開平１０−２６０９０３号公報

従来のシステムでは、ウィルスプログラムからのアクセスを許可してしまうという課題がある。また、別の従来のシステムでは、ユーザリストをファイルごとに指定する必要があるため、操作が煩雑であるという課題がある。

本発明では、プログラムリストが不要で、かつ、ウィルスプログラムが感染したプログラムからのアクセスを禁止するファイルシステムを提供する。

また、本発明では、操作が煩雑となるパスワード入力を必要としないファイルシステムを提供する。

本発明は、ファイルにアクセスしようとするプログラムを、プログラムファイルに付与されたディジタル署名により、信頼できるプログラムと信頼できないプログラムとに分類する。

ファイルにアクセスを行おうとするプログラムに応じて、次のようなアクセス制御を行う。信頼できるプログラムに対してはアクセスを許可し、信頼できないプログラムに対してはアクセスを禁止する。本アクセスポリシーは全ファイルで共通とする。

また、ファイルの暗号化を行なう。暗号化されたファイルの解読は、ファイルの暗号化を行なった特定の電子情報機器からしか解読できないものとする。

具体的には、電子情報機器の固有識別子に基づいて暗号鍵を生成し、生成した暗号鍵でファイルの暗号化を行ない、記憶装置に暗号ファイルを保存する。

また、記憶装置から暗号ファイルを読み出す際には、電子情報機器の固有識別子に基づいて暗号鍵を再生成し、暗号鍵で暗号ファイルを復号し、暗号ファイルを解読する。

本開示では、ウィルスおよびマルウェアからのファイルへのアクセスが不可能となり、ウィルスおよびマルウェアによるデータ漏洩を防止することが可能となる。

本開示では、プログラムファイルに付与されたディジタル署名に基づくアクセスポリシーとなるため、アクセスを許可するプログラムリストやユーザリスト等を備える必要がないので、アクセスを許可するプログラムリストやユーザリストなどを記憶する領域は必要なく、全プログラム共通で、プログラムファイルに付与されたディジタル署名を証明するためのデータを記憶する領域が必要となるだけで、データ記憶サイズを節約することができる。

本開示では、プログラムファイルが改竄された場合は、プログラムファイルに付与されたディジタル署名が検証されるため、プログラムファイルが改竄されたかどうかを確認することができ、もしプログラムファイルが改竄されている場合には、プログラムからのアクセスは許可されない。

また、プログラムファイルに付与されたディジタル署名に基づきアクセス制御を行うため、パスワード入力は要求されない。したがって、ファイルにアクセスする際の操作の煩雑さはなくなる。

さらに、プログラムにアクセス許可を与えるには、プログラムファイルへの署名が必要となるが、秘密鍵の漏洩がないように厳密に管理しておけば、プログラムファイルへの署名を施すことだけで、比較的簡単にプログラムからのアクセスをコントロールすることができる。

本開示は、図１のブロック図に示すように、OS内のファイルシステムとして実現される。

本開示へのアクセス要求は、次の各ステップにより、ファイルシステム内で処理され、ファイルへのアクセスが行われる。プログラムからファイルへの書き込み要求が発行された場合のフローチャートを図２に示す。

また、図４には、信頼できるアプリケーションと信頼できないアプリケーションとの分類を表したテーブルである。

図１のアプリケーション３がファイルへの書き込み要求を発行する（図２ステップＳ１１）。ファイルシステム１はアプリケーション認証１１を行なう（図２ステップＳ１２）。

アプリケーション認証１１では、ファイルにアクセスしようとするアプリケーションを、図４のテーブルに基づいて、信頼できるアプリケーションと信頼できないアプリケーションとに分類する。

信頼できるアプリケーションの場合は、ファイルへのアクセスが許可され、ファイルデータの暗号化が行なわれる（図２ステップＳ１４）。次に暗号化されたファイルが記憶デバイスに書き込まれる（図２ステップＳ１６）。

信頼できないアプリケーションの場合は、アクセス要求の結果として、アクセス拒否エラーがプログラムに返却される（図２ステップＳ１５）。

また、プログラムからファイル読み出し要求が発行された場合のフローチャートを図３に示す。

次にアプリケーション認証ステップの詳細について述べる。図７は、プログラムファイルに付与されたディジタル署名を検証するための構成を示すブロック図を示す。図８は、プログラムファイルに付与されたディジタル署名検証の動作を示すフローチャートを示す。

まず、図８のステップＳ１２１では、どのアプリケーションからのアクセスかを判別するため、ＯＳが提供するサービスなどを利用して、ファイルアクセス要求を発行したアプリケーションの識別子を得る。次に、ステップＳ１２１では、アプリケーション識別子に対応するプログラムファイル名を得る。

プログラムファイルにディジタル署名が付与されているかどうか確認する（図８ステップＳ１２２）。ディジタル署名が付与されていない場合は、信頼できないアプリケーションと判断する（図８ステップＳ１２８）。

プログラムファイルに対しハッシュ演算を実施し、ハッシュ値（１１７9を得る（図８ステップＳ１２３）。ハッシュ演算アルゴリズムとしては、ＭＤ５またはＳＨＡ１を用いる。

証明書データベース（２）からアクセス許可証明書（２１）を取り出し、証明書内から公開鍵１１３を取り出す（図８ステップＳ１２４）。

プログラムファイルからディジタル署名（１１５）を取り出し、ディジタル署名復号手段（１１９）により、ディジタル署名（１１５9を公開鍵（１１３）で復号し、ハッシュ値２（１２０）を得る（図８ステップＳ１２５）。署名暗号アルゴリズムとしては、ＲＳＡなどの非対称暗号アルゴリズムを用いる。

ハッシュ値（１１７）とハッシュ値２（１２０）が一致した場合は、信頼できるアプリケーションであると判断し（図８ステップＳ１２７）、一致しなかった場合は、信頼できないアプリケーションであると判断する（図８ステップＳ１２８）。

次に、秘密鍵および公開鍵生成について述べる。図５は、秘密鍵および公開鍵を生成するための構成を示すブロック図である。

ファイルへのアクセスを許可させたいプログラムファイルにディジタル署名を付与するためには、まず、非対称暗号の鍵生成手段（１１１）を用いて、秘密鍵（１１２）と公開鍵（１１３）のペアを生成する必要がある（図５）。秘密鍵（１１２）はプログラムファイルに署名を行なう際に用いる（図６）。秘密鍵（１１２）は漏洩しないように厳密に管理する必要がある。公開鍵（１１３）はプログラムファイルの署名検証の際に必要になるため、公開鍵（１１３）が格納されたアクセス許可証明書（２１）を証明書データベース（２）に予め格納しておく必要がある。

次に、プログラムファイルへの署名プロセスについて述べる。図６は、に署名プロセスのブロック図を示す。

まず、ハッシュ演算手段（１１６）を用いて、プログラムファイルに対しハッシュ演算を実施し、ハッシュ値（１１７）を得る。

ディジタル署名暗号化手段（１１８）により、ハッシュ値（１１７）を秘密鍵（１１２）で暗号化し、ディジタル署名（１１５）を得る。

プログラムファイル（１１４）にディジタル署名（１１５）を付加し、署名済みプログラムファイルを形成する。

次に、ファイル暗号化プロセスについて述べる。ブロック図を図１に、フローチャートを図１１に示す。

ファイル書き込み要求が信頼できるアプリケーションから発行されたものであると確認されたら、ファイルシステム（１）は機器固有の識別子(IMEIなど)をプロセッサ（４）から呼び出す（図１１ステップＳ５２）。

鍵生成手段（１４）により、機器固有の識別子に基づき暗号鍵を生成する（図１１ステップＳ５３）。

生成した暗号鍵でファイルを暗号化する（図１１ステップＳ５４）。

暗号化されたファイルを記憶装置に保存する（図１１ステップＳ５５）。

次に暗号ファイルを復号するステップについて述べる。フローチャートを図１２に示す。

ファイル読み出し要求が信頼できるアプリケーションから発行されたものであると確認されたら、ファイルシステム（１）は機器固有の識別子(IMEIなど)をプロセッサ（４）から読み出す（図１２ステップＳ６２）。

鍵生成手段（１４）により、機器固有の識別子に基づき暗号鍵を生成する（図１２ステップＳ６３）。

記憶装置から暗号ファイルを読み出す（図１２ステップＳ６４）。

生成した暗号鍵で暗号ファイルを復号する（図１２ステップＳ６５）。

暗号ファイルから解読された平文データをプログラムに渡す（図１２ステップＳ６６）。

なお、機器固有の識別子から生成した暗号鍵でファイルの暗号化を行なうことにより、特定の機器でのみ、暗号ファイルの解読を可能とする。

本開示では、ファイルシステム運用の利便性から、ファイルシステムの領域を保護と非保護（通常）に分割して、ファイルを管理するものとする。分割する単位はフォルダ単位とする。

具体的には、保護するファイルを保存するための専用フォルダとして、ファイルシステム上に保護フォルダを設ける。保護フォルダ内へのアクセスは信頼できるアプリケーションにのみ許可し、信頼できないアプリケーションには許可しないものとする。また、保護フォルダ内に保存されるファイルは暗号化される。信頼できるアプリケーションから保護フォルダ内暗号ファイルに読み出し要求が発行された場合、ファイルシステムは暗号ファイルを復号してから、プログラムに渡す。

したがって、ファイルシステムに保護フォルダの概念を追加したことにより、保護フォルダ作成機能が必要になってくる。

次に、保護フォルダ作成機能について、低コストで実現できる実施例を示す。図９は、低コストで保護フォルダ作成機能を実現するための構成を示すブロック図である。図１０は、低コスト保護フォルダ作成機能の動作を示すフローチャートである。

ユーザの操作に応じて、代替保護フォルダ作成アプリ(既存ファイルビューアなど)（６）はフォルダ作成要求（７）を発行する（図１０ステップＳ３１）。

ファイルシステム（１）は、アプリケーション認証手段（１１）により、フォルダ作成要求の発行元アプリケーションが、信頼できるアプリケーションか、信頼できないアプリケーションかどうかを判別する（図１０ステップＳ１２）。

フォルダ作成要求の発行元アプリケーションが、信頼できないアプリケーションであった場合は、フォルダ作成要求の結果として、アクセス拒否エラーをプログラムに返却する（図１０ステップＳ３５）。

フォルダ作成要求の発行元アプリケーションが所定アプリケーションであるかどうかを識別する（図１０ステップＳ３２）。所定アプリケーションとしては、ユーザが操作して、ファイルシステム上にフォルダを作成するために用いるアプリケーションが望ましい。具体的には既存のファイルビューアなどが望ましい。

フォルダ作成要求の発行元アプリケーションが所定アプリケーションでない場合は、通常のフォルダ作成要求として処理する（図１０ステップＳ３６）。

フォルダ作成要求の発行元アプリケーションが所定アプリケーションの場合には、保護フォルダ作成要求として処理する（図１０ステップＳ３３およびＳ３４）。

上記のように、ファイルシステム内に保護フォルダ作成要求を処理する部分を追加することにより、既存アプリケーションが既存ファイルシステムインターフェイスを通じて、保護フォルダを作成することができる。これにより、保護フォルダを作成するための専用インターフェイスを用意する必要がなく、また、保護フォルダを作成するためのアプリを新規開発する必要がないため、ソフト開発コストを削減することができる。また、保護フォルダを作成するためのアプリケーションを機器に追加する必要がないため、アプリケーション格納領域の必要量を削減することができる。

上記説明した構成及び動作を複数組み合わされて適用されても良い。

（付記）
付記1)
プログラムの識別に関する情報を格納するプログラムファイルに、あるファイルへのアクセス許可を示す認証情報が付与されているかを判断するステップと、
該認証情報が付与されていたと判断したら、該プログラムが機密ファイルへのアクセスが許可するステップとを有するファイルアクセス方法。
付記２)
プログラムの識別に関する情報を格納するプログラムファイルに、あるファイルへのアクセス許可を示す認証情報が付与されているかを判断し、該認証情報が付与されていると判断したら、前記ファイルへのアクセスを許可するアクセス制御部を備えてことを特徴とするファイルシステム。
付記３)
前記ファイルへのアクセスが許可されたプログラムに対し、ファイルシステム内のフォルダおよびファイルのリストを公開することを許可し、機密ファイルへのアクセスが禁止されているプログラムにはファイルシステム内のフォルダおよびファイルのリストを公開しないということを特徴とする付記１記載のファイルシステム。

付記４)
ファイルを格納するためのフォルダを備え、プログラムの識別に関する情報を格納するプログラムファイルに、該ファイルへのアクセス許可を示す認証情報が付与されているかを判断し、付与されていたなら、該ファイルへのアクセスが許可されたプログラムによって、フォルダ内に書き込まれたデータに対し暗号化処理が実施され、又は専用フォルダ内から読み出されたデータに対し復号処理が実施するファイルシステムにおいて、
前記フォルダを作成する要求が前記許可されたプログラムからの要求であると判断されたら、前記フォルダを専用フォルダとすることを特徴とするファイルシステム。

本発明の実施例によるシステム構成を示すブロック図である。 ファイル書き込み時の動作を示すフローチャートである。 ファイル読み出し時の動作を示すフローチャートである。 信頼できるアプリケーションと信頼できないアプリケーションとの分類を表したテーブルである。 秘密鍵および公開鍵を生成するための構成を示すブロック図である。 プログラムファイルにディジタル署名を施すための構成を示すブロック図である。 プログラムファイルに付与されたディジタル署名を検証するための構成を示すブロック図である。 プログラムファイルに付与されたディジタル署名検証の動作を示すフローチャートである。 低コストで保護フォルダ作成機能を実現するための構成を示すブロック図である。 低コスト保護フォルダ作成機能の動作を示すフローチャートである。 ファイル暗号化の動作を示すフローチャートである。 ファイル復号プロセスの動作を示すフローチャートである。

符号の説明

１ ファイルシステム
２ 証明書データベース
３ アプリケーション
４ プロセッサ
５ 記憶装置
６ 代替保護フォルダ作成アプリケーション
７ ファイルシステムインターフェイス（フォルダ作成要求）
１１ アプリケーション認証手段
１２ アクセス制御手段
１３ 暗号化および復号手段
１４ 鍵生成手段
１５ 通常フォルダ作成手段
１６ 所定アプリケーション識別手段
１７ 保護フォルダ作成手段
２１ アクセス許可証明書
５１ 暗号ファイル
５２ 通常フォルダ
５３ 保護フォルダ
１１１ 非対称暗号の鍵生成手段
１１２ 秘密鍵
１１３ 公開鍵
１１４ プログラムファイル
１１５ ディジタル署名
１１６ ハッシュ演算手段
１１７ ハッシュ値
１１８ ディジタル署名暗号化手段
１１９ ディジタル署名復号手段
１２０ ハッシュ値２

Claims (6)

1. コンピュータに、
   あるプログラムに基づく処理によるファイルアクセス要求を受けた場合に、復号化されると、前記あるプログラムのプログラムファイルに所定の演算を行なうことにより得られる情報と合致することでアクセス許可を示す、認証情報が、前記プログラムファイルに付与されているか否かの判断を行ない、
   前記判断の結果、前記認証情報が付与されていたと判断したら、前記ファイルアクセス要求に基づき、前記コンピュータ固有の暗号鍵を用いた暗号化処理及び復号化処理のいずれかを伴なって行なわれるアクセス処理を許可する、
   ことを実行させることを特徴とするファイルアクセス制御方法。
2. 前記コンピュータに、さらに、
   前記判断の結果、付与されていない場合には、前記アクセス処理を抑制する、
   処理を実行させることを特徴とする請求項１に記載のファイルアクセス制御方法。
3. 前記コンピュータに、さらに、
   前記アクセス処理が許可されると、アクセス許可対象のフォルダ及びファイルの少なくとも一方のパスを含むリストへのアクセスを許可する、
   ことを実行させることを特徴とする請求項１又は請求項２に記載のファイルアクセス制御方法。
4. 前記コンピュータに、さらに、
   前記アクセス処理が抑制される場合に、前記リストへのアクセスを抑制する、
   ことを実行させることを特徴とする請求項３に記載のファイルアクセス制御方法。
5. コンピュータに、
   あるプログラムに基づく処理によるファイルアクセス要求を受けた場合に、復号化されると、前記あるプログラムのプログラムファイルに所定の演算を行なうことにより得られる情報と合致することでアクセス許可を示す、認証情報が、前記プログラムファイルに付与されているか否かの判断を行ない、
   前記判断の結果、前記認証情報が付与されていたと判断したら、前記ファイルアクセス要求に基づき、前記コンピュータ固有の暗号鍵を用いた暗号化処理及び復号化処理のいずれかを伴なって行なわれるアクセス処理を許可する、
   処理を実行させることを特徴とするファイルアクセス制御プログラム。
6. ファイルを記憶する記憶部と、
   あるプログラムに基づく処理により前記記憶部に記憶された暗号化ファイルへのアクセス要求を受けた場合に、復号化されると、前記あるプログラムのプログラムファイルに所定の演算を行なうことにより得られる情報と合致することでアクセス許可を示す、認証情報が、前記プログラムファイルに付与されているか否かの判断を行なう判断部と、
   前記判断の結果、前記認証情報が付与されていたと判断したら、前記アクセス要求に基づき、自装置固有の暗号鍵を用いた暗号化処理及び復号化処理のいずれかを伴なって行なわれるアクセス処理を許可する制御部と、
   を含むことを特徴とするファイルアクセス制御装置。