JP6106050B2 - 記憶装置、記憶システム、記憶方法およびプログラム - Google Patents

Description

本発明は、アクセスパターンの保護に適した記憶装置、記憶システム、記憶方法およびプログラムに関する。

近年、暗号に対するサイドチャネル攻撃と呼ばれる攻撃が大きな問題となっている。ソフトウェアに対するサイドチャネル攻撃としては、メモリアクセスを解析し秘密情報を復元する攻撃がある。こうした攻撃に対応して、メモリアクセスを攻撃者から保護するためにＯｂｌｉｖｉｏｕｓ ＲＡＭが注目を集めている（例えば、非特許文献１および非特許文献２参照。）。

Ｏｄｅｄ Ｇｏｌｄｒｅｉｃｈ ａｎｄ Ｒａｆａｉｌ Ｏｓｔｒｏｖｓｋｙ, "Ｓｏｆｔｗａｒｅ ｐｒｏｔｅｃｔｉｏｎ ａｎｄ ｓｉｍｕｌａｔｉｏｎ ｏｎ ｏｂｌｉｖｉｏｕｓ ＲＡＭＳ," Ｊ. ＡＣＭ, ４３（３）：４３１−４７３, １９９６. Ｊｏａｎ Ｄａｅｍｅｎ, Ｖｉｎｃｅｎｔ Ｒｉｊｍｅｎ， "Ｔｈｅ ｄｅｓｉｇｎ ｏｆ Ｒｉｊｎｄａｅｌ ＡＥＳ Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ"， Ｓｐｒｉｎｇｅｒ， ２００２．

ところが、非特許文献１などで検討されているＯｂｌｉｖｉｏｕｓ ＲＡＭ（ＯＲＡＭ）によるメモリの保護は、安全な暗号方式によってデータは保護されているとの前提のもとに、アクセスのパターンを保護することでメモリへのアクセスを保護している。ＯＲＡＭによってデータにアクセスを行う場合、それがデータの変化を伴わない読み出し処理であっても、読み出し処理であったという事実を保護するためにデータをメモリに戻す際にデータが別の値に変化している必要がある。これを実現する最もシンプルな方法は、データごとに異なる鍵を予め用意し、アクセスのたびに鍵の更新と新しい鍵での再暗号化を行う方式である。しかし、この方式では、データの分だけ鍵を用意し、それを安全に保管しておく必要があるため、現実的ではない。また、単に鍵をプログラムに埋め込んだ場合には、それ以降の処理の安全性が保証されず、また実行時に同じ鍵を使うことは漏えいリスクと高める要因となる。

そこで、本発明は、上述の課題に鑑みてなされたものであり、アクセスパターンの保護に適した記憶装置、記憶システム、記憶方法およびプログラムを提供することを目的とする。

本発明は、上記の課題を解決するために、以下の事項を提案している。

（１）本発明は、メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備え、前記非アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データをアクセス領域に移動させた後に、データを復号し、前記データｘを用いた処理が完了し、データを非アクセス領域に移動させる際に、鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、元の前記非アクセス領域に格納する記憶装置であって、動作プログラムの起動時に生成された乱数の一部を使って選択関数を構成する選択関数生成手段と、該生成した選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する鍵生成手段と、所定の間隔ごとに、新たな鍵を生成させて、鍵を更新する鍵更新手段と、を備えたことを特徴とする記憶装置を提案している。

（２）本発明は、（１）の記憶装置について、前記動作プログラムの終了時に、前記秘密情報を別の秘密情報に上書きする上書き手段を備えたことを特徴とする記憶装置を提案している。

（３）本発明は、（１）の記憶装置について、前記鍵生成手段が、少なくとも１つの秘密情報により、鍵長分の長さのビットを選択して鍵を生成することを特徴とする記憶装置を提案している。

（４）本発明は、（１）の記憶装置について、前記選択関数生成手段が、起動時に生成された（ａ＋ｂ＋ｃ）ビットの乱数のうち、ａビットの乱数を使って、ａビット入力、ｋビット出力の選択関数を２^ｂ＋ｍ（ｍは、並列度を保証する固定値）個生成し、前記鍵生成手段が、該生成された２^ｂ＋ｍ（ｍは、並列度を保証する固定値）個の選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する処理を各選択関数について、２^ｃ＋ｎ（ｎは、実行回数を保証する固定値）回実行し、それぞれの前記選択関数から出力されるｋビットの値から、暗号化のためのｋビットの鍵を生成することを特徴とする記憶装置を提案している。

（５）本発明は、（４）の記憶装置について、前記鍵生成手段が、それぞれの前記選択関数から出力されるｋビットの値の排他的論理和演算を行い、暗号化のためのｋビットの鍵を生成することを特徴とする記憶装置を提案している。

（６）本発明は、メモリをデータのアクセス領域と履歴データを記憶する記憶領域とを備えた記憶装置と、リモートストレージとからなる記憶システムであり、前記リモートストレージに格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データをアクセス領域に移動させた後に、データを復号し、前記データｘを用いた処理が完了し、データをリモートストレージに移動させる際に、鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、元の前記リモートストレージに格納する記憶システムであって、前記記憶装置が、動作プログラムの起動時に生成された乱数の一部を使って選択関数を生成する選択関数生成手段と、該生成した選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する鍵生成手段と、所定の間隔ごとに、新たな鍵を生成させて、鍵を更新する鍵更新手段と、を備えたことを特徴とする記憶システムを提案している。

（７）本発明は、（１）から（５）のいずれかの記憶装置について、前記アクセスパターンの保護方法が、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域および前記履歴領域に存在せず、前記非アクセス領域に存在し、前記履歴領域に保存されたデータがある場合に、前記アクセスを行うデータと前記履歴領域に保存された任意のデータとを前記２つのデータとして選択して、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、を備えたことを特徴とする記憶装置を提案している。

（８）本発明は、（１）から（５）のいずれかの記憶装置について、前記アクセスパターンの保護方法が、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記履歴領域に保存されている場合に、前記履歴領域に保存されていないデータをランダムに選択し、前記アクセスを行うデータと前記ランダムに選択したデータとを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、を備えたことを特徴とする記憶装置を提案している。

（９）本発明は、（１）から（５）のいずれかの記憶装置について、前記アクセスパターンの保護方法が、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域に保存されている場合に、前記非アクセス領域と前記履歴領域とからランダムに選択したデータを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記非アクセス領域に移動し、これらのデータを前記履歴領域に保存する第３のステップと、アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、を備えたことを特徴とする記憶装置を提案している。

（１０）本発明は、（６）の記憶システムについて、前記アクセスパターンの保護方法が、初期状態において、１度だけ、前記リモートストレージ内のデータをランダムに並び替える第１のステップと、前記リモートストレージ内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域とリモートストレージとの間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域とリモートストレージとの間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域および前記履歴領域に存在せず、前記リモートストレージに存在し、前記履歴領域に保存されたデータがある場合に、前記アクセスを行うデータと前記履歴領域に保存された任意のデータとを前記２つのデータとして選択して、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、を備えたことを特徴とする記憶システムを提案している。

（１１）本発明は、（６）の記憶システムについて、前記アクセスパターンの保護方法が、初期状態において、１度だけ、前記リモートストレージ内のデータをランダムに並び替える第１のステップと、前記リモートストレージ内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域とリモートストレージとの間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域とリモートストレージとの間でデータ交換を行うとともに、アクセスを行うデータが前記履歴領域に保存されている場合に、前記履歴領域に保存されていないデータをランダムに選択し、前記アクセスを行うデータと前記ランダムに選択したデータとを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、を備えたことを特徴とする請求項６に記載の記憶システムを提案している。

（１２）本発明は、（６）の記憶システムについて、前記アクセスパターンの保護方法が、初期状態において、１度だけ、前記リモートストレージ内のデータをランダムに並び替える第１のステップと、前記リモートストレージ内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域とリモートストレージとの間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域とリモートストレージとの間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域に保存されている場合に、前記リモートストレージと前記履歴領域とからランダムに選択したデータを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記リモートストレージに移動し、これらのデータを前記履歴領域に保存する第３のステップと、アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、を備えたことを特徴とする請求項６に記載の記憶システムを提案している。

（１３）本発明は、メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備え、前記非アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データをアクセス領域に移動させた後に、データを復号し、前記データｘを用いた処理が完了し、データを非アクセス領域に移動させる際に、鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、元の前記非アクセス領域に格納する記憶装置における記憶方法であって、動作プログラムの起動時に生成された乱数の一部を使って選択関数を生成する第１のステップと、該生成した選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する第２のステップと、所定の間隔ごとに、新たな鍵を生成させて、鍵を更新する第３のステップと、を備えたことを特徴とする記憶方法を提案している。

（１４）本発明は、メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備え、前記非アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データをアクセス領域に移動させた後に、データを復号し、前記データｘを用いた処理が完了し、データを非アクセス領域に移動させる際に、鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、元の前記非アクセス領域に格納する記憶装置における記憶方法をコンピュータに実行させるためのプログラムであって、動作プログラムの起動時に生成された乱数の一部を使って選択関数を生成する第１のステップと、該生成した選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する第２のステップと、所定の間隔ごとに、新たな鍵を生成させて、鍵を更新する第３のステップと、をコンピュータに実行させるためのプログラムを提案している。

本発明によれば、アクセスパターン保護向けの鍵の安全な更新が可能となる。アクセスパターン保護と組み合わせて利用することで、リモートストレージに対するアクセスの安全性を高めることができるという効果がある。

本発明に係る記憶装置の構成を示す図である。 本発明に係る記憶装置の処理の概略を示す図である。 本発明に係る記憶装置における暗号化の概略を示す図である。 本発明に係る記憶装置における鍵部の構成を示す図である。 本発明に係る記憶装置における鍵生成部の構成を示す図である。 本発明の第１の実施形態に係るアクセスパターン保護部の構成を示す図である。 本発明の第１の実施形態に係るアクセスパターン保護部の処理を示す図である。 本発明の第２の実施形態に係る記憶装置におけるアクセスパターン保護部の構成を示す図である。 本発明の第２の実施形態に係る記憶装置におけるアクセスパターン保護部の処理を示す図である。 本発明の第３の実施形態に係る記憶装置におけるアクセスパターン保護部の構成を示す図である。 本発明の第３の実施形態に係る記憶装置におけるアクセスパターン保護部の処理を示す図である。 本発明の実施例に係るアクセス時の記憶領域内のデータの遷移を示す図である。 本発明の実施例に係るアクセスパターン保護部の処理を示す図である。 本発明の実施例に係るアクセスパターン保護部の処理を示す図である。

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜記憶装置の構成＞
図１から図５を用いて、本発明の記憶装置の構成について説明する。
本発明の記憶装置は、図１に示すように、アクセスパターン保護部１００と、記憶領域２００と、鍵部３００と、データ移動部１０と、復号化部３０と、保管部４０と、暗号化部５０とから構成されている。なお、アクセスパターン保護部１００および鍵部３００の詳細については、後述する。

記憶領域２００は、データのアクセス領域と非アクセス領域と履歴領域とに分割されている。なお、アクセス領域、非アクセス領域、履歴領域は、ＤＲＡＭ、ＳＲＡＭ等の書き換え可能なメモリで構成される。また、アクセス領域を耐タンパ性を備えたＤＲＡＭ、ＳＲＡＭ等の書き換え可能なメモリで構成してもよい。なお、本発明の記憶装置は、例えば、ＲＡＭ等の一般的な記憶装置ばかりでなく、ＳＩＭやＩＣカード等の記憶媒体も含むものである。

データ移動部１０は、記憶領域２００内の非アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、暗号化データをアクセス領域に移動させる。なお、アクセスパターンの保護方法については、その例を後述する。

復号化部３０は、アクセス領域に移動された暗号化データを復号する。保管部４０は、復号したデータｘとデータｘに対して何度アクセスを行ったかを記録したシーケンス番号とを保管する。なお、暗号化処理を行う前には、すべてのシーケンス番号を保管するが、暗号化処理後は、後述する暗号化方法のうち、データｘとシーケンス番号とを演算した情報に対して、暗号化した場合にのみ、シーケンス番号を保管する。

暗号化部５０は、データｘにシーケンス番号を付加した情報あるいはデータｘとシーケンス番号とを演算した情報に対して、生成した鍵を用いて暗号化した情報Ｅ（ｘ）´を生成する。

つまり、図２に示すように、データＥ（ｘ）に対して、アクセスする場合には、このデータをまず、安全な領域であるアクセス領域に移動し、ここで、復号化してデータｘを取り出す。データｘに対して処理が終了すると、暗号化部５０において、図３に例示するように、データｘにシーケンス番号ｃを付加した情報あるいはデータｘとシーケンス番号ｃとを演算した情報に対して、鍵部３００が生成した鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、これを非アクセス領域に戻す。なお、データＥ（ｘ）の暗号化も上述の情報Ｅ（ｘ）´の暗号化と同様の手法で行われる。したがって、アクセスデータに対する処理の前後において、異なった情報が非アクセス領域に戻されるため、例えば、不正な攻撃者にアクセスパターンが漏洩することを防止することができる。

＜鍵部の構成＞
図４および図５を用いて、本発明の鍵部３００の構成について説明する。図４に示すように、本発明の鍵部３００は、選択関数生成部３１０と、鍵生成部３２０と、鍵更新部３３０とから構成されている。

選択関数生成部３１０は、起動時に生成された乱数の一部を使って選択関数を構成する。鍵生成部３２０は、生成した選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する。鍵更新部３３０は、所定の間隔ごとに、新たな鍵を生成させて、鍵を更新する。

具体的には、選択関数生成部３１０は、起動時に生成された（ａ＋ｂ＋ｃ）ビットの乱数のうち、ａビットの乱数を使って、ａビット入力、ｋビット出力の選択関数を２^ｂ＋ｍ（ｍは、並列度を保証する固定値）個生成する。鍵生成部３２０は、生成された２^ｂ＋ｍ（ｍは、並列度を保証する固定値）個の選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する処理を各選択関数について、２^ｃ＋ｎ（ｎは、実行回数を保証する固定値）回実行し、それぞれの選択関数から出力されるｋビットの値から、暗号化のためのｋビットの鍵を生成する。

なお、ｋビットの鍵は、それぞれの選択関数から出力されるｋビットの値について、排他的論理和演算を行って求めてもよい。上記のような計算手法、計算回数自体に乱数性を持たせることにより、攻撃者による解析をより困難にすることができる。

また、用いる秘密情報は、１つに限らず複数であってもよい。さらに、並列に処理される各行ごとに、異なる秘密情報を用いてもよい。

また、選択関数としては、秘密情報が埋め込まれたＮＬＦＳＲ（非線形フィードバックシフトレジスタ）などが例示できる。例えば、図５のような構成を１つの単位とし、並列度に従って実行する数を増やす。なお、図５において、ｆは、非線形置換器である。

また、秘密情報は、難読化等の手法によりプログラムの中に安全に埋め込まれるが、さらにプログラム終了時にこの秘密情報を自ら書き換えることにより、鍵の漏えいリスクを最小化する。なお、新たに埋め込む秘密情報は、上述した関数の最終出力を利用する。

なお、上記においては、記憶装置が単独でその機能を果たす例について説明したが、上記の記憶装置における非アクセス領域に代えて、リモートストレージを設けたシステムとしてもよい。このようなシステムにすることにより、クラウドコンピューティングにも対応することが可能となる。

＜第１の実施形態＞
図６から図７を用いて、本発明の実施形態について説明する。

＜アクセスパターン保護部の構成＞
本実施形態に係るアクセスパターン保護部１００は、図６に示すように、並べ替え部１１０と、移動部１２０と、制御部１３０と、書き出し部１４０と、保存部１５０とから構成されている。

並べ替え部１１０は、初期状態において、１度だけ、非アクセス領域内のデータをランダムに並び替える。移動部１２０は、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる。

制御部１３０は、１つのデータにアクセスが生じたときに、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行う。

例えば、アクセスを行うデータがアクセス領域および履歴領域に存在せず、非アクセス領域に存在し、履歴領域に保存されたデータがある場合に、アクセスを行うデータと履歴領域に保存された任意のデータとを２つのデータとして選択して、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存する。

なお、制御部１３０は、他のプロセス、あるいは、他の時刻で使用されるデータを対象としてランダムにデータを選択する。これにより、有効に、アクセスパターンを保護することができる。

書き出し部１４０は、アクセスすべきデータへのアクセス処理が終了したときに、アクセス領域内の必要なデータを書き出す。保存部１５０は、アクセス領域から非アクセス領域に移動したデータを履歴領域に履歴データとして保存する。

＜アクセスパターン保護部の処理＞
図７を用いて、本実施形態に係るアクセスパターン保護部の処理について説明する。

まず、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替え（ステップＳ１００）、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる（ステップＳ２００）。

次に、１つのデータにアクセスが生じたときに、２つのデータを選択し、アクセス領域と非アクセス領域との間でデータ交換を行う際に、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータがアクセス領域および履歴領域に存在せず、非アクセス領域に存在し、履歴領域に保存されたデータがある場合に、アクセスを行うデータと履歴領域に保存された任意のデータとを２つのデータとして選択して、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存する（ステップＳ３００）。

そして、アクセスすべきデータへのアクセス処理が終了したときに、アクセス領域内の必要なデータを書き出す（ステップＳ４００）。

以上、説明したように、本実施形態によれば、非アクセス領域内のデータの並べ替えを１度しか行わないため、所定のタイミングで、何度もデータの並べ替えを行うＯｂｌｉｖｉｏｕｓ ＲＡＭのように、オーバーヘッドが大きくなることを防止することができる。また、アクセスを行うデータがアクセス領域および履歴領域に存在せず、非アクセス領域に存在し、履歴領域に保存されたデータがある場合に、アクセスを行うデータと履歴領域に保存された任意のデータとを２つのデータとして選択して、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存することから、有効に、アクセスパターンを保護することができる。

＜第２の実施形態＞
図８から図９を用いて、本発明の実施形態について説明する。

＜アクセスパターン保護部の構成＞
本実施形態に係るアクセスパターン保護部は、図８に示すように、並べ替え部１１０と、移動部１２０と、制御部１３１と、書き出し部１４０と、保存部１５０とから構成されている。なお、第１の実施形態と同一の符号を付す構成要素については、同様の機能を有することから、その詳細な説明は省略する。

制御部１３１は、１つのデータにアクセスが生じたときに、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行う。

例えば、アクセスを行うデータが履歴領域に保存されている場合に、履歴領域に保存されていないデータをランダムに選択し、アクセスを行うデータとランダムに選択したデータとを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存する。

なお、制御部１３１は、他のプロセス、あるいは、他の時刻で使用されるデータを対象としてランダムにデータを選択する。これにより、ランダムなデータの付加を不要とすることができる。

＜アクセスパターン保護部の処理＞
図９を用いて、本実施形態に係るアクセスパターン保護部の処理について説明する。

まず、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替え（ステップＳ１１０）、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる（ステップＳ２１０）。

次に、１つのデータにアクセスが生じたときに、２つのデータを選択し、アクセス領域と非アクセス領域との間でデータ交換を行う際に、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが履歴領域に保存されている場合に、履歴領域に保存されていないデータをランダムに選択し、アクセスを行うデータとランダムに選択したデータとを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存する（ステップＳ３１０）。

そして、アクセスすべきデータへのアクセス処理が終了したときに、アクセス領域内の必要なデータを書き出す（ステップＳ４１０）。

以上、説明したように、本実施形態によれば、非アクセス領域内のデータの並べ替えを１度しか行わないため、所定のタイミングで、何度もデータの並べ替えを行うＯｂｌｉｖｉｏｕｓ ＲＡＭのように、オーバーヘッドが大きくなることを防止することができる。また、アクセスを行うデータが履歴領域に保存されている場合に、履歴領域に保存されていないデータをランダムに選択し、アクセスを行うデータとランダムに選択したデータとを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存することから、有効に、アクセスパターンを保護することができる。

＜第３の実施形態＞
図１０から図１１を用いて、本発明の実施形態について説明する。

＜アクセスパターン保護部の構成＞
本実施形態に係るアクセスパターン保護部は、図１０に示すように、並べ替え部１１０と、移動部１２０と、制御部１３２と、書き出し部１４０と、保存部１５０とから構成されている。なお、第１の実施形態と同一の符号を付す構成要素については、同様の機能を有することから、その詳細な説明は省略する。

制御部１３２は、１つのデータにアクセスが生じたときに、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行う。

例えば、アクセスを行うデータがアクセス領域に保存されている場合に、非アクセス領域と履歴領域とからランダムに選択したデータを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを非アクセス領域に移動し、これらのデータを履歴領域に保存する。

なお、制御部１３２は、他のプロセス、あるいは、他の時刻で使用されるデータを対象としてランダムにデータを選択する。これにより、ランダムなデータの付加を不要とすることができる。

＜アクセスパターン保護部の処理＞
図１１を用いて、本実施形態に係るアクセスパターン保護部の処理について説明する。

まず、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替え（ステップＳ１２０）、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる（ステップＳ２２０）。

次に、１つのデータにアクセスが生じたときに、２つのデータを選択し、アクセス領域と非アクセス領域との間でデータ交換を行う際に、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータがアクセス領域に保存されている場合に、非アクセス領域と履歴領域とからランダムに選択したデータを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを非アクセス領域に移動し、これらのデータを履歴領域に保存する（ステップＳ３２０）。

そして、アクセスすべきデータへのアクセス処理が終了したときに、アクセス領域内の必要なデータを書き出す（ステップＳ４２０）。

以上、説明したように、本実施形態によれば、非アクセス領域内のデータの並べ替えを１度しか行わないため、所定のタイミングで、何度もデータの並べ替えを行うＯｂｌｉｖｉｏｕｓ ＲＡＭのように、オーバーヘッドが大きくなることを防止することができる。また、アクセスを行うデータがアクセス領域に保存されている場合に、非アクセス領域と履歴領域からランダムに選択したデータを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存することから、有効に、アクセスパターンを保護することができる。

＜実施例＞
図１２から図１４を用いて、本発明の実施例について説明する。

図１２は、１、２、・・・、９、Ａ、Ｂ、・・・、Ｆをメモリに保存されているデータとしたときに、プログラムが、５→Ｄ→８→５→Ａの順にデータにアクセスする場合のメモリの遷移を示したものである。以下、図１２、図１３を用いて、この処理を例示とし、説明する。なお、図１２の例にかかわらず、非アクセス領域をさらに複数に分割してもよい。

まず、初期状態において、１度だけ、非アクセス領域内のデータをランダムに並び替え（ステップＳ１１００）、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる（ステップＳ１２００）。

そして、まず、５にアクセスする場合には、５はアクセス領域に含まれないため、５ともう一つランダムに選択されたデータ(図１２では、２)をアクセス領域に移動し、例えば、これにより、アクセス領域から移動する４とＢとを履歴領域に保存して、５にアクセスする。このとき、アクセス領域内の他のデータ（図１２では、２、３、８）に対してもアクセスを行う（ステップＳ１３００）。

次に、Ｄにアクセスする場合には、Ｄはアクセス領域に含まれないため、Ｄをアクセス領域に移動し、もう一つのデータは、履歴領域から選択する（例えば、図１２では、Ｂ)。これにより、アクセス領域から移動する５と８とを履歴領域に保存して、Ｄにアクセスする。このとき、アクセス領域内の他のデータ（図１２では、３、Ｂ、２）に対してもアクセスを行う（ステップＳ１４００）。

さらに、８にアクセスする場合には、８は履歴領域に含まれているため、もう一つのデータは履歴領域に含まれないデータをランダムに選択し(図１２では、Ａ)、アクセス領域に移動する。これにより、アクセス領域から移動する３とＢとを履歴領域に保存して、８にアクセスする。このとき、アクセス領域内の他のデータ（図１２では、Ａ、Ｄ、２）に対してもアクセスを行う（ステップＳ１５００）。

さらに、５にアクセスする場合、５は履歴領域に含まれているため、もう一つのデータは履歴領域に含まれないデータをランダムに選択し(図１２では、６)、アクセス領域に移動する。これにより、アクセス領域から移動する２と８とを履歴領域に保存して、５にアクセスする。また、アクセス領域内の他のデータ（図１２では、Ａ、Ｄ、６）に対してもアクセスを行う（ステップＳ１６００）。

最後に、Ａにアクセスする場合、Ａはアクセス領域に含まれているため、アクセス領域に含まれないランダムに選択したデータと履歴領域に保存されているデータとを(図１２では、３、Ｆ)、アクセス領域に移動する。これにより、アクセス領域から移動する６とＤとが非アクセス領域に書き出され、Ａにアクセスする。また、アクセス領域内の他のデータ（図１２では、５、Ｆ、３）に対してもアクセスを行う（ステップＳ１７００）。

そして、すべての処理が完了するとアクセス領域内の必要なデータを書き出して、終了する（ステップＳ１８００）。

したがって、本実施例によれば、非アクセス領域内のデータの並べ替えを１度しか行わないため、所定のタイミングで、何度もデータの並べ替えを行うＯｂｌｉｖｉｏｕｓ ＲＡＭのように、オーバーヘッドが大きくなることを防止することができるという効果がある。また、１つのデータにアクセスが生じたときに、アクセス領域と非アクセス領域との間でデータ交換を行うことから、データのアクセスパターンを保護することができるという効果がある。さらに、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行うため、さらに、データのアクセスパターンを保護することができる。また、プログラムによってアクセスされるデータに対して、ランダムに選択したデータを取り込むことによって、安全性を保ちつつ、アクセスパターンの保護において、必要な保存領域を削減することができる。

なお、記憶装置および記憶システムの処理をコンピュータシステムが読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを記憶装置および記憶システムに読み込ませ、実行することによって本発明の記憶装置および記憶システムを実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１０；データ移動部
３０；復号化部
４０；保管部
５０；暗号化部
１００；アクセスパターン保護部
１１０；並べ替え部
１２０；移動部
１３０；制御部
１３１；制御部
１３２；制御部
１４０；書き出し部
１５０；保存部
２００；記憶領域
３００；鍵部
３１０；選択関数生成部
３２０；鍵生成部
３３０；鍵更新部

Claims (14)

1. メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備え、前記非アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データをアクセス領域に移動させた後に、データを復号し、前記データｘを用いた処理が完了し、データを非アクセス領域に移動させる際に、鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、元の前記非アクセス領域に格納する記憶装置であって、
   動作プログラムの起動時に生成された乱数の一部を使って選択関数を生成する選択関数生成手段と、
   該生成した選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する鍵生成手段と、
   所定の間隔ごとに、新たな鍵を生成させて、鍵を更新する鍵更新手段と、
   を備えたことを特徴とする記憶装置。
2. 前記動作プログラムの終了時に、前記秘密情報を別の秘密情報に上書きする上書き手段を備えたことを特徴とする請求項１に記載の記憶装置。
3. 前記鍵生成手段が、少なくとも１つの秘密情報により、鍵長分の長さのビットを選択して鍵を生成することを特徴とする請求項１に記載の記憶装置。
4. 前記選択関数生成手段が、起動時に生成された（ａ＋ｂ＋ｃ）ビットの乱数のうち、ａビットの乱数を使って、ａビット入力、ｋビット出力の選択関数を２^ｂ＋ｍ（ｍは、並列度を保証する固定値）個生成し、
   前記鍵生成手段が、該生成された２^ｂ＋ｍ（ｍは、並列度を保証する固定値）個の選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する処理を各選択関数について、２^ｃ＋ｎ（ｎは、実行回数を保証する固定値）回実行し、それぞれの前記選択関数から出力されるｋビットの値から、暗号化のためのｋビットの鍵を生成することを特徴とする請求項１に記載の記憶装置。
5. 前記鍵生成手段が、それぞれの前記選択関数から出力されるｋビットの値の排他的論理和演算を行い、暗号化のためのｋビットの鍵を生成することを特徴とする請求項４に記載の記憶装置。
6. メモリをデータのアクセス領域と履歴データを記憶する記憶領域とを備えた記憶装置と、リモートストレージとからなる記憶システムであり、前記リモートストレージに格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データをアクセス領域に移動させた後に、データを復号し、前記データｘを用いた処理が完了し、データをリモートストレージに移動させる際に、鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、元の前記リモートストレージに格納する記憶システムであって、
   前記記憶装置が、
   動作プログラムの起動時に生成された乱数の一部を使って選択関数を生成する選択関数生成手段と、
   該生成した選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する鍵生成手段と、
   所定の間隔ごとに、新たな鍵を生成させて、鍵を更新する鍵更新手段と、
   を備えたことを特徴とする記憶システム。
7. 前記アクセスパターンの保護方法が、
   初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、
   前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、
   １つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域および前記履歴領域に存在せず、前記非アクセス領域に存在し、前記履歴領域に保存されたデータがある場合に、前記アクセスを行うデータと前記履歴領域に保存された任意のデータとを前記２つのデータとして選択して、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、
   アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、
   を備えたことを特徴とする請求項１から請求項５のいずれかに記載の記憶装置。
8. 前記アクセスパターンの保護方法が、
   初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、
   前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、
   １つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記履歴領域に保存されている場合に、前記履歴領域に保存されていないデータをランダムに選択し、前記アクセスを行うデータと前記ランダムに選択したデータとを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、
   アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、
   を備えたことを特徴とする請求項１から請求項５のいずれかに記載の記憶装置。
9. 前記アクセスパターンの保護方法が、
   初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、
   前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、
   １つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域に保存されている場合に、前記非アクセス領域と前記履歴領域とからランダムに選択したデータを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記非アクセス領域に移動し、これらのデータを前記履歴領域に保存する第３のステップと、
   アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、
   を備えたことを特徴とする請求項１から請求項５のいずれかに記載の記憶装置。
10. 前記アクセスパターンの保護方法が、
    初期状態において、１度だけ、前記リモートストレージ内のデータをランダムに並び替える第１のステップと、
    前記リモートストレージ内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、
    １つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域とリモートストレージとの間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域とリモートストレージとの間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域および前記履歴領域に存在せず、前記リモートストレージに存在し、前記履歴領域に保存されたデータがある場合に、前記アクセスを行うデータと前記履歴領域に保存された任意のデータとを前記２つのデータとして選択して、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、
    アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、
    を備えたことを特徴とする請求項６に記載の記憶システム。
11. 前記アクセスパターンの保護方法が、
    初期状態において、１度だけ、前記リモートストレージ内のデータをランダムに並び替える第１のステップと、
    前記リモートストレージ内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、
    １つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域とリモートストレージとの間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域とリモートストレージとの間でデータ交換を行うとともに、アクセスを行うデータが前記履歴領域に保存されている場合に、前記履歴領域に保存されていないデータをランダムに選択し、前記アクセスを行うデータと前記ランダムに選択したデータとを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、
    アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、
    を備えたことを特徴とする請求項６に記載の記憶システム。
12. 前記アクセスパターンの保護方法が、
    初期状態において、１度だけ、前記リモートストレージ内のデータをランダムに並び替える第１のステップと、
    前記リモートストレージ内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、
    １つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域とリモートストレージとの間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域とリモートストレージとの間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域に保存されている場合に、前記リモートストレージと前記履歴領域とからランダムに選択したデータを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記リモートストレージに移動し、これらのデータを前記履歴領域に保存する第３のステップと、
    アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、
    を備えたことを特徴とする請求項６に記載の記憶システム。
13. メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備え、前記非アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データをアクセス領域に移動させた後に、データを復号し、前記データｘを用いた処理が完了し、データを非アクセス領域に移動させる際に、鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、元の前記非アクセス領域に格納する記憶装置における記憶方法であって、
    動作プログラムの起動時に生成された乱数の一部を使って選択関数を生成する第１のステップと、
    該生成した選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する第２のステップと、
    所定の間隔ごとに、新たな鍵を生成させて、鍵を更新する第３のステップと、
    を備えたことを特徴とする記憶方法。
14. メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備え、前記非アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データをアクセス領域に移動させた後に、データを復号し、前記データｘを用いた処理が完了し、データを非アクセス領域に移動させる際に、鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、元の前記非アクセス領域に格納する記憶装置における記憶方法をコンピュータに実行させるためのプログラムであって、
    動作プログラムの起動時に生成された乱数の一部を使って選択関数を生成する第１のステップと、
    該生成した選択関数を用いて、乱数と秘密情報とにより、鍵長分の長さのビットを選択して鍵を生成する第２のステップと、
    所定の間隔ごとに、新たな鍵を生成させて、鍵を更新する第３のステップと、
    をコンピュータに実行させるためのプログラム。

Images