JP6590807B2 - プライバシー機密情報の交換を制御するための方法およびシステム - Google Patents

Description

本発明は、概してプライバシー機密情報の交換に関し、より詳細には分散コンピューティング環境でのそのような交換に関する。

情報通信技術（ＩＣＴ：Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｔｅｃｈｎｏｌｏｇｙ）領域は、益々、通常はデータ、コンテンツ、およびアプリケーションが、クラウドで管理、格納、アクセスされる分散コンピューティングパラダイムに向かって進化を続けている。仮想デスクトップ、および他のタイプの遠隔管理仮想化ＩＴアプライアンスの使用が増え、また継続的接続性に依存し、大量の他のオンラインサービスやデータソースと相互作用できる、分散コンピューティングパラダイムに従って設計されたアプリケーションの使用が増えている。

クライアント装置上で実行されるローカルサービスおよびアプリケーションと、遠隔位置から提供されているそれらとの間の仕切りは、どんどん曖昧になってきており、またウェブベースの技術の台頭、および、ウェブベースのアプリケーションの設計と概念的な「ローカル」のそれとの視覚的類似性は、混同の可能性を高め、時にユーザを、彼または彼女のしている動作が、実際にローカルに起こっているのか、またはすべて「ウェブ上」もしくは「クラウドで」起こっているのかどうか、と頭を悩ませる状態にする場合がある。

この新規のコンピューティング領域は、新しくより共同的なコンピューティングシナリオを可能にし、同時に、特にローカルと分散コンピューティングとの間の境界がぼやけて混乱が生じている場合はいつでも、ユーザのプライバシーに対する脅威を与える可能性がある。例えば、電子メールアクセスクレデンシャル（例えば、ユーザ名、パスワード）などの機密情報が、ローカルコンピューティング装置に配信されているのか、またはユーザに代わってこのような情報を使用する何らかのオンラインサードパーティのサービスに配信されているのかどうかを見分けることがますます難しくなってきている。

そのため、新たに台頭したコンピューティング領域では、アクセスクレデンシャルやパスワードなどのユーザのプライバシーおよびプライバシー機密情報だけではなく、ユーザが、彼または彼女自身の装置のプライベートな状況で集めて使用するのに慣れているプライバシーセンティブ情報の全セットも保護するように設計された、信頼された、信頼できる機構が望まれる。

一例によれば、データネットワークにおいて、装置上で、または装置用に実行するアプリケーションと、サービングノードとの間での、クライアント装置に関連するプライベートデータの交換を制御するための方法が提供され、この方法は、リクエストを、プライベートデータの使用を要求するサービスへのアクセス用のアプリケーションから、サービングノードへ送信することと、サービングノードからのチャレンジデータをアプリケーションで受信することと、チャレンジデータに基づいて、クライアント装置のセキュアユーザインタフェースを使用して、プライベートデータの使用に対する認可を、信頼された情報マネージャに要求することと、アプリケーションがプライベートデータの知識を得ることができないように、認可に基づいて、サービスで使用するプライベートデータの難読化バージョンを、信頼された情報マネージャからアプリケーションに送信することと、を含む。

チャレンジデータは、暗号学的に安全な乱数、または公開鍵、またはシーケンス番号を含むことができる。プライベートデータの難読化バージョンは、プライベートデータの暗号ハッシュまたは暗号化バージョンを含むことができる。プライベートデータの難読化バージョンは、暗号学的に安全な乱数、または公開鍵、またはシーケンス番号との組合せで生成され得る。信頼された情報マネージャは、アプリケーションから動作上隔離されてよい。チャレンジデータは、サービスに対する識別子、ならびに／または、サービスおよび／もしくはアプリケーション上で実行される意図された動作との組合せで、アプリケーションから信頼された情報マネージャに送信され得る。

一例によれば、装置上で、または装置用にプログラムが実行するアプリケーションによる、クライアント装置に関連するプライベートデータへの直接のアクセスを防ぐための方法が提供され、方法は、リモートサービスからのリクエストに基づき、また、アプリケーションとリモートサービスとの間で使用するために、装置の信頼された情報マネージャを使用して、プライベートデータの難読化バージョンを、アプリケーションに提供すること、を含む。

装置と信頼された情報マネージャとの各相互作用では、ユーザ認可を要求することができる。

一例によれば、プライベートデータの使用を要求するサービスへのアクセス用のアプリケーションからリクエストを受信するように、かつチャレンジデータをアプリケーションに送信するように、動作可能なデータネットワークにおいて、装置上で、または装置用に実行するアプリケーションと、サービングノードとの間での、クライアント装置に関連するプライベートデータの交換を制御するためのシステムが提供され、このシステムは、チャレンジデータに基づき、プライベートデータの使用に対する認証のリクエストを受信するための、クライアント装置のセキュアユーザインタフェースと、認可に基づき、サービスで使用するプライベートデータの難読化バージョンを、アプリケーションに送信するための、信頼された情報マネージャと、を備える。信頼された情報マネージャは、アプリケーションから動作上隔離されてよい。信頼された情報マネージャは、サービスに対する識別子、ならびに／または、サービスおよび／もしくはアプリケーション上で実行される意図された動作との組合せでアプリケーションから送信されたチャレンジデータを受信することができる。

一例によれば、プライベートデータの使用のために、リモートサービスから信頼されていないアプリケーションに送信されたリクエストに基づいて、プライベートデータが関連付けられる装置上で、または装置用にプログラムが実行する信頼されていないアプリケーションに、プライベートデータの難読化バージョンを送信するための、信頼された情報マネージャが提供され、難読化バージョンは、信頼されていないアプリケーションとリモートサービスとの間で使用するためのもので、それによって、信頼されていないアプリケーションは、プライベートデータの知識を得ることができない。

一例によれば、コンピュータプログラム製品が提供され、このコンピュータプログラム製品は、それに組み込まれたコンピュータ可読プログラムコードを有するコンピュータ使用可能媒体を備え、前記コンピュータ可読プログラムコードは、上記のデータネットワークにおいて、装置上で、または装置用に実行するアプリケーションと、サービングノードとの間での、クライアント装置に関連するプライベートデータの交換を制御するための方法を実施するために、実行されるように構成される。

次に実施形態が、単なる例示として、以下の添付図面を参照して説明される。

一例による、データネットワークにおいて、装置上で、または装置用に実行するアプリケーションと、サービングノードとの間での、クライアント装置に関連するプライベートデータの交換を制御するための方法の概略図である。 一例による、データネットワークにおいて、装置上で、または装置用に実行するアプリケーションと、サービングノードとの間での、クライアント装置に関連するプライベートデータの交換を制御するための方法のさらなる概略図である。

当業者が、本明細書に記載されているシステムおよびプロセスを具体化し実施できるように、以下に例示的実施形態が十分詳細に説明される。実施形態は、多くの代替え形式で提供されてよく、本明細書で示される例に限定されるものと解釈されるべきではないことを理解することが重要である。

従って、実施形態は様々に変更可能であり、様々な代替え形式をとることができ、またそのうちの特定の実施形態は、例として以下に図面で示され、詳細に説明される。開示された具体的な形式に限定することを意図したものではない。むしろ、添付の特許請求の範囲内でのあらゆる変更、等価物、代替えが含まれるべきである。例示的実施形態の要素は、必要に応じて、図面および発明を実施するための形態の全体を通して、一貫して同じ参照番号で示される。

実施形態を説明するために本明細書で使用される専門用語は、範囲を限定するよう意図されたものではない。冠詞「ａ」、「ａｎ」、および「ｔｈｅ」は単数形であって単数の対象を有するが、本明細書における単数形の使用は、１つよりも多い対象の存在を排除するものではない。すなわち、文脈が別途明確に示していない限り、単数形で示される要素は、１つまたは複数を数に含むことができる。用語「備える（ｃｏｍｐｒｉｓｅｓ）」、「備えている（ｃｏｍｐｒｉｓｉｎｇ）」、「含む（ｉｎｃｌｕｄｅｓ）」、および／または「含んでいる（ｉｎｃｌｕｄｉｎｇ）」は、本明細書で使用される場合、述べられた特徴、項目、ステップ、動作、要素、および／またはコンポーネントの存在を明示するが、１つまたは複数の他の特徴、項目、ステップ、動作、要素、コンポーネント、および／またはそれらのグループの存在または追加を排除するものではないことをさらに理解されたい。

別段の規定がない限り、本明細書で使用されるすべての用語（技術用語および科学用語を含む）は、当技術分野における慣用的な意味で解釈されるべきである。一般的に使用される用語もまた、関連技術分野における慣用的な意味で解釈されるべきであり、本明細書でそのように明確に規定されない限り、理想化されたまたは過度に形式的な意味合いで解釈されるべきではないことをさらに理解されたい。

クライアント装置上で、またはクライアント装置用にプログラムが実行する例えばブラウザまたは電子メールクライアントなどのアプリケーションは、通常、ユーザが正しくリモートサービスにアクセスできるようにするものと信頼されている。しかしながら、同時にそれは、自発的に／悪意をもって（例えば、スパイロジックを組み込んだ無料アプリケーション）、または非自発的に（例えば、マルウェアに感染しただけのシステム）、プライバシー機密情報をリモートパーティに開示する可能性がある。

一例によれば、信頼されたエンティティは、セキュアチャネルをクライアントＧＵＩに提供し、また、アプリケーションが情報そのものをクリアテキストで見ることができないように、要求するサービスにプライバシー機密情報を、アプリケーションを介して、提供するために使用される。

一例によれば、信頼された情報マネージャは、アクセスクレデンシャル、クレジットカード番号、電話およびアドレス帳登録などを含むユーザのプライバシー機密情報を、そのような情報を要求するアプリケーションに、それがレギュラーローカルアプリケーションであっても、または例えばクラウド内のリモートサーバにおいて実行されるものなどのリモートアプリケーションであっても、開示することなく管理する。

ユーザは、ローカルアプリケーション（または、それは、例えばローカルＧＵＩコンポーネントを備えた、ユーザの近くのリモートアプリケーションとすることができる）を介して、リモートサービスと相互作用することができる。アプリケーションは、通常リモートサービスと相互作用することでは、ユーザから信用されるが、同時にユーザのプライバシーの確保に関する事柄については、ユーザから見れば信用できない場合がある。すなわち、信頼されていないアプリケーションは、（非明示的に認可された）リモート（意図されない、および／または信頼されていない）サービスに、それがユーザに代わって取り扱っているプライベート情報（例えば、電子メールアクセスクレデンシャル、電話番号、住所、および電子メールアドレスなど）を、ユーザがその開示を気づくまたは検出することもなければ、その開示を承認または同意する可能性もなく、開示し得る。

信頼された情報マネージャ（ＴＩＭ：ｔｒｕｓｔｅｄ ｉｎｆｏｒｍａｔｉｏｎ ｍａｎａｇｅｒ）は、ユーザに代わってリモート（信頼された）サービスと相互作用している場合、ローカル装置上で実行している他の信頼されていないと考えられるコンポーネントやアプリケーションによって実行されるセキュアＰＳＩ交換プロトコルのコンテキストで、プライバシー機密情報を管理し、必要であればそれを提供することをその責任とする、信頼されたコンポーネントである。

図１は、一例による、データネットワークにおいて、装置上で、または装置用に実行するアプリケーションと、サービングノードとの間での、クライアント装置に関連するプライベートデータの交換を制御するための方法の概略図である。

ユーザ１０１は、その後意図された（信頼された）リモート／クラウドサービス１０５と交信する、ローカルアプリケーション（アプリ）１０３を開始する。リモートサービス１０５は、ユーザの装置１００とリモートサービス自体との間でやり取りされる情報のセキュア転送のために使用されるチャレンジデータ１０７を、固有素材の形式で、アプリ１０３に送信する。例えば、これは、悪意があると考えられるアタッカーによる反射攻撃を防ぐために使用される暗号学的に安全なランダムに生成された数とすることができ、または、さらなる鍵（複数可）もしくは機密情報の直接の秘密交換に使用される、公開鍵（もしくは、同等の公開鍵証明書）とすることができる。

アプリ１０３は、受信された素材１０７を、意図された使用のための機密情報／データ（の特定の部分）を使用するためにユーザ認可を要求し、また意図されたリモートサービスと相互作用する、ＴＩＭ１０９に転送する。一例では、ユーザ１０１は、セキュアＵＩまたはＧＵＩ１１１を通して、ＴＩＭと相互作用し、情報をチェックして、全プロセスを承認するかまたは停止する。

ＴＩＭ１０９は、ローカル（信頼されていないと考えられる）アプリ１０３に、意図された最終的な受信者によってのみ使用されるための、そのプライバシーおよび機密性を保持する要求された機密情報の処理済みバージョン１１３を戻す。例えば、簡単なパスワードの場合、ＴＩＭは、パスワードを開示せず、むしろ追加の素材（乱数／ノンス、セッションＩＤ、例えばリモートサービスによって提供される標準ＰＫＩを通して鍵検証が必要とされる場合の暗号鍵など）を使用して処理されたそのバージョンを提供する。処理済みバージョンは、サービスで使用される難読化プライベートデータであり、ユーザのプライベートデータの使用の認可へのリクエストに応じて、装置のユーザによって提供される認可に基づいて、信頼された情報マネージャからアプリケーションに送信される。

アプリ１０３は、ＴＩＭからの情報１１３を、必要に応じて追加の必要な情報といっしょに、リモートサーバ１０５に転送するが、アプリ１０３は、概してＴＩＭ１０９とリモートサービス１０５との間で交換されているプライバシー機密情報／データ１１３の知識を得ることができない、ということに留意されたい。

ユーザ１０１は、例えばローカルアプリ１０３ユーザインタフェースを通して、リモートサービス１０５を使用し、ＰＳＩデータに対して特別な動作を行うことが必要となる場合はいつでもセキュアＵＩ１１１に戻る可能性があり、例えば、リモートサービスパスワードの変更／更新の場合には、このようなユーザのＴＩＭ１０９との直接相互作用を必要とし、アドレス帳登録の表示、変更、更新の場合は、セキュアＵＩ１１１を通したこのような相互作用が必要となる、などである。

図１に関連して説明されたプロトコルに参加する様々なパーティによって行われる機能は、一例による、データネットワークにおいて、装置上で、または装置用に実行するアプリケーションと、サービングノードとの間での、クライアント装置に関連するプライベートデータの交換を制御するための方法のさらなる概略図である図２において、また明らかにされる。

図２に関して、ユーザ２０１は、例えばインターネットまたはクラウドベースネットワークなどのデータネットワーク（図示せず）の一部としてのサービングノード上で、またはサービングノードとして実行するリモートサービス２０５を利用するアプリケーション２０３を使用するために、クライアント装置２００と相互作用する。アプリケーション２０３は、メモリや処理ユニットなどの、それの典型的なコンポーネントを使用して、クライアント装置２０１上で実行され得るか、または、ユーザ２０１が、アプリケーション２０３との使用に関連する、もしくはそれ向けの装置２００上のインタフェースを使用して、アプリケーション２０３と相互作用するように、クライアント装置に対して遠隔で実行され得る。例えば、アプリケーション２０３は、装置２００から遠隔であるサーバ上で実行されてよく、この装置は、ユーザ２０１がアプリケーション２０３と相互作用することを可能にするユーザインタフェースを含むことができる。

信頼された情報マネージャ２０７は、装置２００用に、またはそれの一部として提供される。例えば、マネージャ２０７は、システムのその他から、具体的にはアプリケーション２０３から隔離される装置２００内のハードウェアまたはソフトウェアモジュールとすることができる。それは、ソフトウェアのみ、標準的ＯＳレベル保護隔離から、信頼されたブート隔離などのハードウェア補助式隔離などにわたる多くの技術を使用して隔離され得る。信頼された情報マネージャ２０７は、リモートサービス２０５からのリクエストに基づき、またアプリケーションとリモートサービスとの間での使用のために、プライベートデータ２０９の難読化バージョンを、アプリケーション２０３に提供することによって、装置２００上で、または装置２００用にプログラムが実行するアプリケーション２０３による、クライアント装置２００に関連する（また、場合によってはユーザ２０１との関連による）プライベートデータへの直接のアクセスを防ぐ。このため、アプリケーション２０３にリンクされ得る意図されないリモートサービス２１１は、プライベートデータ２０９を使用することができなくなる。

信頼された情報マネージャ２０７とユーザ２０１との間のセキュアユーザインタフェース２１３は、意図されたリモートサービングノード２０５用のアプリケーション２０３を用いた、プライベートデータ２０９を使用できるようにするための認可に対するユーザ２０１へのリクエスト用に使用される。セキュアＵＩ２１３は、ユーザ２０１が、間違って信頼されていない相互作用を信頼された相互作用と見なし得ないように、ユーザの装置２００の設計に組み入れられてよい。

ステップ１で、ユーザ２０１は、アプリケーション２０３またはサービス２０５を開始する。ステップ２で、アプリケーション２０３は、サービス２０５へのアクセスを要求する。ステップ２’で、装置２００および／またはユーザ２０１に関連するユーザＩＤを含むことができる乱数２１５が生成される。ステップ３で、この乱数２１５は、アプリケーション２０３に送られる。アプリケーション２０３は、このデータをサービス２０５ＩＤで増強し、組み合わせられたものは、ステップ４でＴＩＭ２０７に送られる。ステップ５で、プライベートデータ２０９を使用するために、ＵＩ２１３を使用して、ユーザ２０１に認可が要求される。暗証番号、パスワード、または、例えば生体認可を含む何らかの他の形式による適切な認可が提供され得る。

ステップ５’で、データ２０９のハッシュ化または暗号化バージョンが生成され、ステップ６で、これはアプリケーション２０３に送られる。ステップ６’で、データ２０９のハッシュ化または暗号化バージョンは、アプリケーション２０３からサービス２０５に送られ（ステップ７）、ステップ７’で、その真正性を決定するために、データがサービス２０５によってチェックされる。データが改ざんされている場合、または別の理由で予想と違う場合、プロセスを終了することができる。それ以外の場合、ステップ８で、サービス２０５は、アプリケーションによる使用のために、サービスコンテンツデータを、アプリケーション２０３に送信し、ステップ８’で、ユーザ２０１、装置２００、およびアプリケーション２０３に、またそれらから送信される。

プライバシー機密データのセキュリティと機密性を危うくする可能性のあるローカルアプリケーションとのユーザの直接の相互作用のない方法が提供される。

ＴＩＭとの各相互作用では、信頼されたＧＵＩ要素を使用した、一例によるユーザ認可を必要とするため、信頼されていないと考えられるコンポーネント／アプリケーションが、例えばユーザとして、正当なユーザのリモートサービスに対する認可を望んで、ＴＩＭの機能を使用することによって、リモート信頼されていないリモートサービスとの間のゲートウェイとして振る舞おうとするアタックは不可能になることに留意されたい。実際には、ユーザは、彼等がリモートサービスを使用していない時に、ＰＳＩの使用を認可するよう求められていれば、直ちにそれを検出するであろう。

一例では、ＴＩＭは、同じ装置上で実行している他の信頼されていないアプリケーションから隔離される。これは、最も単純な場合は、典型的なＯＳレベル保護隔離手段を使用して、最もプライバシーを必要とする場合は信頼されたハードウェアを使用して、実現され得る。

一例によれば、記載されたシステムは、モバイルプラットフォームＯＳ内で使用可能にされる、アプリケーション開発者用のソフトウェアコンポーネントおよびＡＰＩのセットとして実現され得る。例えば、ＴＩＭは、ＯＳ内のコンポーネントとして実現され得る。モバイルプラットフォームにおけるセキュアＵＩのユーザとの相互作用は、プラットフォーム内に、ＧＵＩサブシステムの不可欠な部分としてＴＩＭを備えることによって、また、例えばその間はＴＩＭなどの信頼されたＧＵＩ要素の視覚化のみが許可されるような信頼された相互作用が起こっていることを示す、装置の特別な「信頼された」ボタンを押す、または装置上の特別な「信頼された」ＬＥＤを点灯させる、などのユーザとの特別な相互作用を有することによって、提供され得る。例えば、特定のオンラインサービス用の特定のパスワードの使用に対してユーザ認可を要求すること、および／またはユーザに、パスワードデータベースを復号するために必要とされるＰＩＮもしくはパスワードもしくはパスフレーズを提供するよう求めること、などである。相互作用と物理設計は、悪意あるコンポーネント／アプリケーションが、ＴＩＭの信頼された相互作用および信頼されたＧＵＩをエミュレートできないようにするものにできる。このような相互作用は、例えば、オンラインサービス用のパスワードを変更するようユーザを促すかもしれないが、ユーザは、新しいパスワードを、ＴＩＭではなく悪意あるコンポーネントに配信するだろう。しかしながら、ＴＩＭと何らかの信頼された相互作用モデルとの結合は、この種のアタックを防ぐのに十分とすることができる。セキュアユーザインタフェースは、例えばグローバルプラットフォームからの信頼された実行環境（ＴＥＥ：Ｔｒｕｓｔｅｄ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ）規格を使用して実装することができる。

信頼された情報マネージャは、システムのその他、具体的にはプライバシー機密情報を要求するアプリケーションから隔離される。ソフトウェアのみ 標準的ＯＳレベル保護隔離から、信頼されたブートや上記ＴＥＥ仕様などのハードウェア補助式隔離にわたるこのような隔離を実現するために、多くの技術が活用され得る。

従って、一例によれば、データネットワークにおいて、装置上で、または装置用に実行するアプリケーションと、サービングノードとの間での、クライアント装置に関連するプライベートデータの交換を制御するための方法およびシステムが提供される。すなわち、（ローカルまたはリモートいずれかの）サービス用のユーザのプライバシー機密情報を、ＰＳＩデータ（パスワード、電話帳登録など）の知識を、信頼されたコンポーネント、すなわちＴＩＭの境界内に閉じ込めるやり方で、管理するための方法およびシステムが提供される。これは、要求されたデータ交換プロトコルのコンテキスト内で必要とされるＰＳＩデータを処理することができるので、ＰＳＩデータは、ローカル装置に追加でインストールされた悪意があると見られるソフトウェアアプリケーションまたはコンポーネントと、ユーザによって正当な／意図されたリモートサービスと相互作用するために使用される主要なアプリケーションそのものとの両方を含む、外部の世界に決して開示されない。これによって、悪意あるサードパーティエンティティが、機密データのコピーを取得することや、その後の相互作用で、ユーザ認可なしにそのコピーを使用することが確実に不可能になる。例えば、提案された機構は、リモート電子メールへのアクセスのために、アプリケーションが装置内でローカルに使用または実行されるか否かに関わらず、オンライン電子メールシステムへのアクセスに使用される＜ユーザ名、パスワード＞ペアがローカル装置のみに知られていて、信頼されていないサードパーティには決して送信されないことを確実にするために、使用され得る（すなわち、例では、電子メールクライアントは、パスワードをクリアテキストで決して見ることはできない）。

本発明は、他の特定の装置および／または方法で具体化されてよい。前述の実施形態は、あらゆる点で、例示的であって限定的ではないと考えられるものである。より詳細には、本発明の範囲は、本明細書の記述および図面によってではなく、むしろ添付の特許請求の範囲によって示される。特許請求の範囲と均等な趣旨および範囲に属する変更は、すべて本発明の範囲内に包含されるものである。

Claims (15)

1. データネットワークにおいて、装置（１００；２００）上で、または装置（１００；２００）用に実行するアプリケーション（１０３；２０３）とサービングノードとの間での、クライアント装置（１００；２００）に関連するプライベートデータの交換を制御するための方法であって、
   プライベートデータの使用を要求するサービス（１０５；２０５）へのアクセスのためのリクエストを、アプリケーション（１０３；２０３）から、サービングノードに送信するステップ（１）と、
   サービングノードからのチャレンジデータ（１０７）を、アプリケーション（１０３；２０３）で受信するステップ（３）と、
   チャレンジデータ（１０７）に基づき、クライアント装置（１００；２００）のセキュアユーザインタフェース（１１１；２１３）を使用して、信頼された情報マネージャ（１０９；２０７）に、プライベートデータの使用に対する認可を要求するステップ（５）と、
   アプリケーション（１０３；２０３）が、プライベートデータの知識を得ることができないように、認可に基づいて、サービス（１０５；２０５）で使用されるプライベートデータの難読化バージョン（１１３）を、信頼された情報マネージャ（１０９；２０７）からアプリケーション（１０３；２０３）を介して、サービングノードに送信するステップ（６）と
   を含む、方法。
2. チャレンジデータ（１０７）が、暗号学的に安全な乱数、または公開鍵、またはシーケンス番号を含む、請求項１に記載の方法。
3. プライベートデータの難読化バージョン（１１３）が、プライベートデータの暗号学的ハッシュまたは暗号化バージョンを含む、請求項１または２に記載の方法。
4. プライベートデータの難読化バージョン（１１３）が、チャレンジデータ（１０７）と組み合わせて生成される、請求項３に記載の方法。
5. 信頼された情報マネージャ（１０９；２０７）が、アプリケーション（１０３；２０３）から動作上隔離される、請求項１から４のいずれか一項に記載の方法。
6. チャレンジデータが、サービス（１０５；２０５）に対する識別子、ならびに／または、サービス（１０５；２０５）および／もしくはアプリケーション（１０３；２０３）上で実行される意図された動作との組合せで、アプリケーション（１０３；２０３）から、信頼された情報マネージャ（１０９；２０７）に送信される、請求項１から５のいずれか一項に記載の方法。
7. 装置（１００；２００）上で、または装置（１００；２００）用にプログラムが実行する信頼されていないアプリケーション（１０３；２０３）による、クライアント装置（１００；２００）に関連するプライベートデータへの直接のアクセスを防ぐための方法であって、
   信頼されていないアプリケーション（１０３；２０３）がプライベートデータの知識を得ることができないように、リモートサービス（１０５；２０５）からのリクエストに基づき、また信頼されていないアプリケーション（１０３；２０３）とリモートサービス（１０５；２０５）との間で使用するために、プライベートデータの難読化バージョン（１１３）を、信頼されていないアプリケーション（１０３；２０３）に送信するための、装置の信頼された情報マネージャ（１０９；２０７）を使用するステップ
   を含む、方法。
8. 装置（１００；２００）と信頼された情報マネージャ（１０９；２０７）との各相互作用が、ユーザ認可を要求する、請求項１から７のいずれか一項に記載の方法。
9. 装置（１００；２００）上で、または装置（１００；２００）用に実行するアプリケーション（１０３；２０３）と、アプリケーション（１０３；２０３）から、プライベートデータの使用を要求するサービス（１０５；２０５）へのアクセスのためのリクエスト（２）を受信するように、かつチャレンジデータ（１０７）をアプリケーション（１０３；２０３）に送信する（３）ように動作可能な、データネットワークにおけるサービングノードとの間での、クライアント装置（１００；２００）に関連するプライベートデータの交換を制御するためのシステムであって、
   チャレンジデータ（１０７）に基づいて、プライベートデータの使用に対する認可のリクエストを受信する（５）ための、クライアント装置（１００；２００）のセキュアユーザインタフェース（１１１；２１３）と、
   アプリケーション（１０３；２０３）が、プライベートデータの知識を得ることができないように、認可に基づいて、サービス（１０５；２０５）で使用されるプライベートデータの難読化バージョン（１１３）を、アプリケーション（１０３；２０３）を介して、サービングノードに送信するための、信頼された情報マネージャ（１０９；２０７）と
   を備える、システム。
10. 信頼された情報マネージャ（１０９；２０７）が、アプリケーションから動作上隔離される、請求項９に記載のシステム。
11. 信頼された情報マネージャ（１０９；２０７）が、サービス（１０５；２０５）に対する識別子、ならびに／または、サービス（１０５；２０５）および／もしくはアプリケーション（１０３；２０３）上で実行される意図された動作との組合せで、アプリケーション（１０３；２０３）から送信された（４）チャレンジデータ（１０７）を受信する、請求項９または１０に記載のシステム。
12. プライベートデータの使用のために、リモートサービス（１０５；２０５）から、信頼されていないアプリケーション（１０３；２０３）に送信されたリクエストに基づき、プライベートデータが関連付けられる装置（１００；２００）上で、または装置（１００；２００）用にプログラムが実行する信頼されていないアプリケーション（１０３；２０３）に、プライベートデータの難読化バージョン（１１３）を送信する信頼された情報マネージャ（１０９；２０７）であって、難読化バージョン（１１３）が、信頼されていないアプリケーション（１０３；２０３）とリモートサービス（１０５；２０５）との間で使用されるものであり、それによって、信頼されていないアプリケーション（１０３；２０３）は、プライベートデータの知識を得ることができない、信頼された情報マネージャ（１０９；２０７）。
13. プライベートデータの暗号学的ハッシュまたは暗号化バージョンを生成することによって、プライベートデータを難読化する（６）ように動作可能な、請求項１２に記載の信頼された情報マネージャ。
14. アプリケーション（１０３；２０３）から動作上隔離される、請求項１２または１３に記載の信頼された情報マネージャ。
15. コンピュータ可読プログラムコードを備えたコンピュータプログラムであって、前記コンピュータ可読プログラムコードが、請求項１から８のいずれか一項に記載されるように、データネットワークにおいて、装置（１００；２００）上で、または装置（１００；２００）用に実行するアプリケーションとサービングノードとの間での、クライアント装置（１００；２００）に関連するプライベートデータの交換を制御するための方法を実施するために、実行されるように構成される、コンピュータプログラム。
    

Images