JP6885095B2 - 復号分類方法、復号分類装置および復号分類プログラム - Google Patents

Description

本発明は、復号分類方法、復号分類装置および復号分類プログラムに関する。

内部不正行為や標的型攻撃等による情報漏洩に関する事件や事故が増加している。ファイルの暗号化による情報漏洩対策の実施は、より重要になることが予想される。

一般的にセキュリティ対策が実施されると、業務効率が下がることが多い。セキュリティ対策における利用者にかかる負担や利用者にとっての利便性は、セキュリティ対策が実施される上で考慮が求められる重要な要素である。

上記の情報漏洩対策であるファイルの暗号化の具体例を説明する。ファイル暗号化製品で暗号化された暗号化ファイルは、任意のアプリケーションで利用可能なファイルであることが多い。任意のアプリケーションで利用可能なファイルである場合、暗号化ファイルは、利用者に普段利用されているアプリケーションでもそのまま利用される。

すなわち、利用者は、普段利用しているアプリケーションを操作することによって暗号化ファイルを扱うことができるため、暗号化ファイルを扱うために新たなアプリケーションを導入しなくてよい。

任意のアプリケーションで利用可能な暗号化ファイルを生成するファイル暗号化製品の特長は、上述したように利用者にとっての暗号化ファイルの操作方法を学習するためのコストが低く、利便性が高いことである。すなわち、利用者にとってのファイル暗号化製品の導入時の負担は軽い。

多くのファイル暗号化製品は、アプリケーションの「ファイルを開く」処理に介入し、暗号化ファイルを復号する。次いで、ファイル暗号化製品は、復号されたファイルをアプリケーションに渡す。すなわち、ファイル暗号化製品は、任意のアプリケーションで暗号化ファイルが利用されることを実現するために、アプリケーションによる暗号化ファイルの利用を仲介している。

任意のアプリケーションに対応するため、ファイル暗号化製品は、各アプリケーションの個別処理にではなく、より汎用的な「ファイルを開く」処理に介入する。例えば、ファイル暗号化製品は、Windows（登録商標） API(Application Programming Interface)による汎用的な「ファイルを開く」処理に、APIフック等で介入する。なお、APIフックは、プログラムが特定のAPIを呼び出す際に割り込む処理を意味する。

特開２００７−３２４７２６号公報

「ファイルを開く」処理を実行する際、アプリケーションは通常、利用者が開かれることを想定したファイルだけでなく、設定ファイル等も内部処理で開く。また、アプリケーションは、利用者が明示的に開くように指示をしていないファイルを「ファイルを開く」処理の実行と並列して開く場合もある。

ファイル暗号化製品には、アプリケーションが開くファイルそれぞれに対して、復号するか否かを決定することが求められる。しかし、アプリケーションが各ファイルを開く処理は、いずれも汎用的な「ファイルを開く」処理に該当する。

上記の場合、汎用的な「ファイルを開く」処理に介入するファイル暗号化製品は、介入する処理の目的を判別することが困難である。よって、ファイル暗号化製品は、アプリケーションのファイルオープン処理の対象の暗号化ファイルを一律に復号するという動作、または一律に復号しないという動作のいずれかをとらざるを得ない。

例えば、電子メールの作成、送受信、保存、および管理を行うソフトウェアであるメーラで暗号化ファイルが利用される場合を考える。メーラの利用者は、受信メールに添付された暗号化ファイルを、メーラのプレビュー機能で参照することを想定する。また、利用者は、送信メールに添付された暗号化ファイルを暗号化された状態のまま送信することを想定する。

メーラで暗号化ファイルが利用される場合、利用者は、メーラによる暗号化ファイルに対する「ファイルを開く」処理に介入するようにファイル暗号化製品を設定する。上記の設定により、利用者は、受信メールの暗号化された添付ファイルをメーラのプレビュー機能で参照できる。

しかし、利用者が暗号化されたファイルを送信メールに添付した際にも、アプリケーション（メーラ）が内部処理でファイルを開く可能性がある。メーラが内部処理でファイルを開く場合、上記のように設定されていると利用者の意図に反して、添付ファイルが復号された状態で送信されてしまう恐れがある。

上記の例において、汎用的な「ファイルを開く」処理は、例えばWindows APIのCreateFile等のレイヤの低いAPIで行われる。メーラにおいてプレビューのためにファイルを開く処理は、低レイヤではCreateFile APIで行われる。また、メールにファイルを添付するためにファイルを開く処理も、低レイヤではCreateFile APIで行われる。すなわち、CreateFileの処理が参照されるだけでは、処理の目的がプレビューかメール添付かが判別されない。

上記の動作は、標的型攻撃や利用者の意図しない情報漏洩から情報を保護する目的で提供されているファイル暗号化製品がとると想定されていない動作である。

特許文献１には、プリントスプールオープン応答メッセージのパケットを確認し、暗号化されたメッセージの復号処理を行うファイル共有サーバ装置が記載されている。しかし、特許文献１に記載されているファイル共有サーバ装置では、オープン応答メッセージの種類に応じてメッセージを復号するか否かを決定することは想定されていない。

［発明の目的］
そこで、本発明は、上述した課題を解決する、アプリケーションによる処理の目的に基づいて利用者が意図しない暗号化ファイルの復号を防止できる復号分類方法、復号分類装置および復号分類プログラムを提供することを目的とする。

本発明による復号分類方法は、復号分類装置において実行される復号分類方法であって、復号分類装置が、アプリケーションによる暗号化ファイルを開く処理に関する情報である処理情報とその暗号化ファイルを復号させるか否かの指示を示す復号情報とを含む分類情報を記憶部に記憶させ、検知されたアプリケーションによる暗号化ファイルを開く処理の処理情報を取得し、記憶部に記憶されている分類情報のうち取得された処理情報を含む分類情報に含まれている復号情報を、検知された処理における暗号化ファイルをその復号情報が示す指示に基づいて復号する復号手段に通知し、処理情報には、アプリケーションによる暗号化ファイルを開く処理に関するスタックトレースが含まれることを特徴とする。

本発明による復号分類装置は、アプリケーションによる暗号化ファイルを開く処理に関する情報である処理情報とその暗号化ファイルを復号させるか否かの指示を示す復号情報とを含む分類情報を記憶する記憶部と、検知されたアプリケーションによる暗号化ファイルを開く処理の処理情報を取得する取得部と、記憶部に記憶されている分類情報のうち取得された処理情報を含む分類情報に含まれている復号情報を、検知された処理における暗号化ファイルをその復号情報が示す指示に基づいて復号する復号手段に通知する通知部とを備え、処理情報には、アプリケーションによる暗号化ファイルを開く処理に関するスタックトレースが含まれることを特徴とする。

本発明による復号分類プログラムは、コンピュータに、アプリケーションによる暗号化ファイルを開く処理に関する情報である処理情報とその暗号化ファイルを復号させるか否かの指示を示す復号情報とを含む分類情報を記憶部に記憶させる記憶処理、検知されたアプリケーションによる暗号化ファイルを開く処理の処理情報を取得する取得処理、および記憶部に記憶されている分類情報のうち取得された処理情報を含む分類情報に含まれている復号情報を、検知された処理における暗号化ファイルをその復号情報が示す指示に基づいて復号する復号手段に通知する通知処理を実行させるための復号分類プログラムであって、処理情報には、アプリケーションによる暗号化ファイルを開く処理に関するスタックトレースが含まれることを特徴とする。

本発明によれば、アプリケーションによる処理の目的に基づいて利用者が意図しない暗号化ファイルの復号を防止できる。

本発明による復号分類装置の第１の実施形態の構成例を示すブロック図である。 第１の実施形態の復号分類装置２０による分類処理の動作を示すフローチャートである。 本発明による復号分類装置の第２の実施形態の構成例を示すブロック図である。 アプリケーション動作分類部１００の第２の実施形態の構成例を示すブロック図である。 分類ルール記憶部２００に格納されている分類ルールの例を示す説明図である。 確認画面表示部１０５が表示する確認画面の例を示す説明図である。 第２の実施形態のアプリケーション動作分類部１００による分類結果通知処理の動作を示すフローチャートである。

実施形態１．
以下、本発明の実施形態を、図面を参照して説明する。図１は、本発明による復号分類装置の第１の実施形態の構成例を示すブロック図である。本発明による復号分類装置２０は、アプリケーションによる暗号化ファイルを開く処理に関する情報である処理情報と暗号化ファイルを復号させるか否かの指示を示す復号情報とを含む分類情報を記憶する記憶部２１（例えば、分類ルール記憶部２００）と、検知されたアプリケーションによる暗号化ファイルを開く処理の処理情報を取得する取得部２２（例えば、アプリケーション情報取得部１０２）と、記憶部２１に記憶されている分類情報のうち取得された処理情報を含む分類情報に含まれている復号情報を検知された処理における暗号化ファイルが復号の対象である復号手段に通知する通知部２３（例えば、分類結果通知部１０７）とを備える。

以下、復号分類装置２０による分類処理を説明する。図２は、第１の実施形態の復号分類装置２０による分類処理の動作を示すフローチャートである。

取得部２２は、検知されたアプリケーションによる暗号化ファイルを開く処理に関する情報である処理情報を取得する（ステップS11）。

次いで、通知部２３は、記憶部２１に記憶されている分類情報のうち取得された処理情報を含む分類情報を抽出する（ステップS12）。

次いで、通知部２３は、抽出された分類情報に含まれている暗号化ファイルを復号させるか否かの指示を示す復号情報を検知された処理における暗号化ファイルが復号の対象である復号手段に通知する（ステップS13）。通知した後、復号分類装置２０は、分類処理を終了する。

そのような構成により、復号分類装置は、アプリケーションによる処理の目的に基づいて利用者が意図しない暗号化ファイルの復号を防止できる。

また、通知部２３は、取得された処理情報を含む分類情報が記憶部２１に記憶されていない検知された処理における暗号化ファイルを復号させない指示を示す情報を復号手段に通知してもよい。

そのような構成により、復号分類装置は、利用者に予め指定されていない暗号化ファイルの復号を防止できる。

また、通知部２３は、取得された処理情報を含む分類情報が記憶部２１に記憶されていない検知された処理における暗号化ファイルを復号させるか否かの指示を示す情報が入力される入力手段（例えば、確認画面）を提示し、提示された入力手段を介して入力された情報を復号手段に通知してもよい。

そのような構成により、復号分類装置は、利用者に予め指定されていない暗号化ファイルを復号させるか否かを利用者に確認できる。

また、記憶部２１は、提示された入力手段を介して入力された情報が復号情報として含まれる分類情報を記憶してもよい。

そのような構成により、復号分類装置は、利用者に予め指定されていない暗号化ファイルに関する新たな分類情報を登録できる。

また、復号分類装置２０は、アプリケーションによる暗号化ファイルを開く処理を検知する検知部（例えば、ファイルアクセス検知部１０１）を備えてもよい。

そのような構成により、復号分類装置は、アプリケーションによる暗号化ファイルを開く処理を検知できる。

また、処理情報には、アプリケーションによる暗号化ファイルを開く処理に関するスタックトレースが含まれてもよい。

そのような構成により、復号分類装置は、暗号化ファイルの復号が許可されているアプリケーションによる暗号化ファイルを開く処理の条件をより細かく設定できる。

また、処理情報には、アプリケーションによる暗号化ファイルを開く処理におけるアプリケーションに関する情報（例えば、アプリケーションが格納されているパス）や、暗号化ファイルに関する情報（例えば、暗号化ファイルの拡張子）が含まれてもよい。

実施形態２．
［構成の説明］
次に、本発明の第２の実施形態を、図面を参照して説明する。図３は、本発明による復号分類装置の第２の実施形態の構成例を示すブロック図である。

本実施形態の復号分類装置は、任意のアプリケーションに利用者に指定された復号処理だけを実行させ、利用者に指定されていない復号処理の実行を抑制させることによって、ファイルの安全性と利便性を両立させる暗号化ファイルの復号分類装置である。

図３に示すように、復号分類装置１０は、アプリケーション動作分類部１００と、分類ルール記憶部２００と、アプリケーション３００（以下、AP３００という。）と、オペレーティングシステム４００（以下、OS４００という。）と、ハードディスク駆動装置５００（以下、HDD５００という。）とを備える。

アプリケーション動作分類部１００は、暗号化ファイルを扱う任意のアプリケーションの動作を、暗号化ファイルが復号されたファイルを処理するアプリケーション動作と、暗号化ファイルを暗号化された状態のまま処理するアプリケーション動作のいずれかに分類する機能を有する。

アプリケーション動作分類部１００は、任意のアプリケーションの「ファイルを開く」処理に介入するファイル暗号化製品（図示せず）と連携して動作する。

分類ルール記憶部２００は、アプリケーション動作分類部１００がアプリケーションの動作を分類する際に使用する分類ルールを記憶する機能を有する。なお、分類ルールは、例えばハードディスクである分類ルール記憶部２００にファイルとして格納される。また、分類ルール記憶部２００は、データベースでもよい。

図３に示すように、分類ルールは、「APパス」と、「拡張子」と、「スタックトレース」と、「復号動作」とで構成されている。「APパス」は、任意のアプリケーションが格納されているパスである。「拡張子」は、任意のアプリケーションが開く暗号化ファイルの拡張子である。

「スタックトレース」は、任意のアプリケーションの暗号化ファイルを開く処理で実行されていた関数やメソッド等の履歴を示す。「復号動作」は、分類ルールに記載されている内容に該当するアプリケーションが暗号化ファイルを開く処理における暗号化ファイルを復号させるか否かの指示を示す。

AP３００は、任意のアプリケーションである。図３に示す例では、AP３００は「Mail.exe」というメーラであると想定されている。

OS４００は、復号分類装置１０のオペレーティングシステム(Operating System)である。OS４００は、例えばWindowsである。また、HDD５００は、復号分類装置１０が備えるハードディスク駆動装置(Hard Disk Drive)である。

以下、本実施形態の復号分類装置１０の復号対象の暗号化ファイルを分類する動作を図３を参照して説明する。図３に示すように、アプリケーション動作分類部１００は、AP３００の暗号化ファイルへのアクセスを検知する（ステップS1）。

次いで、アプリケーション動作分類部１００は、暗号化ファイルにアクセスしたAP３００が格納されているパスと、AP３００のアクセスに関するスタックトレースとを取得する（ステップS2）。

次いで、アプリケーション動作分類部１００は、分類ルール記憶部２００から分類ルールを取得する（ステップS3）。アプリケーション動作分類部１００は、取得された分類ルールの中に、ステップS2で取得された情報と同じ情報を含む分類ルールが存在するか否かを確認する（ステップS4）。

同じ情報を含む分類ルールが存在しない場合（ステップS5における「存在しない場合」）、アプリケーション動作分類部１００は、暗号化ファイルを復号しないと決定する。または、アプリケーション動作分類部１００は、暗号化ファイルを復号するか否かを利用者に確認する。

また、利用者に分類ルールを新たに指定された場合、アプリケーション動作分類部１００は、指定された分類ルールを分類ルール記憶部２００に保存する。暗号化ファイルを復号するか否かを決定した後、復号分類装置１０は、復号分類処理を終了する。

同じ情報を含む分類ルールが存在する場合（ステップS5における「存在する場合」）、アプリケーション動作分類部１００は、対象の分類ルールに含まれる「復号動作」が示す内容に従って、暗号化ファイルを復号するか否かを決定する。暗号化ファイルを復号するか否かを決定した後、復号分類装置１０は、復号分類処理を終了する。

次に、アプリケーション動作分類部１００の構成を、図面を参照して説明する。図４は、アプリケーション動作分類部１００の第２の実施形態の構成例を示すブロック図である。

図４に示すように、アプリケーション動作分類部１００は、ファイルアクセス検知部１０１と、アプリケーション情報取得部１０２と、分類ルール取得部１０３と、分類ルール確認部１０４と、確認画面表示部１０５と、分類ルール保存部１０６と、分類結果通知部１０７と、確認画面表示切替部１０８とを含む。

本実施形態のアプリケーション動作分類部１００は、暗号化ファイルを開くアプリケーションの動作が、暗号化ファイルの復号が許可されたアプリケーション動作であるか、または暗号化ファイルの復号が許可されていないアプリケーション動作であるかを分類ルールに従って決定する。

ファイルアクセス検知部１０１は、任意のアプリケーションの「ファイルを開く」処理に介入したファイル暗号化製品と連携し、「ファイルを開く」処理が行われたことを検知する機能を有する。ファイルアクセス検知部１０１による検知を契機に、復号分類装置１０は、復号分類処理を開始する。

アプリケーション情報取得部１０２は、分類ルールの検索に使用される情報を取得する機能を有する。図３に示すように、アプリケーション情報取得部１０２が取得する情報は、例えば「ファイルを開く」処理を実行しているアプリケーションが格納されているパスや、処理の対象のファイルの拡張子である。

また、図３に示すように、アプリケーション情報取得部１０２が取得する情報には、暗号化ファイルを開くアプリケーションの処理に関するスタックトレースも含まれる。情報を取得した後、アプリケーション情報取得部１０２は、分類ルール取得部１０３に対して分類ルールを取得するように命令する。

なお、アプリケーション情報取得部１０２は、例えば、ファイル暗号化製品と同様にアプリケーションの処理にAPIフック等で介入する。介入することによって、アプリケーション情報取得部１０２は、アプリケーションが格納されているパス、処理の対象のファイルの拡張子、および暗号化ファイルを開くアプリケーションの処理に関するスタックトレースを取得する。

復号分類装置１０が低レイヤのCreateFileの処理に介入する場合、汎用的なアプリケーションに対応できるため、介入対象の処理が削減される。しかし、低レイヤの処理が参照されるだけでは、操作の目的が判別されない。よって、本実施形態のアプリケーション情報取得部１０２は、スタックトレースを利用する。

スタックトレースは、コールスタックとも呼ばれる。コールスタック(Call Stack)は、プログラムの実行中にサブルーチンに関する情報を格納するスタックである。スタックトレースは、スタックに格納されている情報が部分的に写しとられたデータである。

スタックトレースが利用されると、復号分類装置１０は、CreateFileが呼び出されるまでの処理過程を確認できる。すなわち、復号分類装置１０は、汎用性を維持しつつ、アプリケーションの各動作の差異にも対応できる。

分類ルール取得部１０３は、アプリケーション情報取得部１０２で取得された情報を含む分類ルールを分類ルール記憶部２００に格納されている分類ルールから取得する機能を有する。図５は、分類ルール記憶部２００に格納されている分類ルールの例を示す説明図である。

図５に示す分類ルールの形態は、図３に示す分類ルールの形態と同様である。すなわち、分類ルールは、図５に示すように「APパス」と、「拡張子」と、「スタックトレース」と、「復号動作」とで構成されている。

なお、分類ルールを取得する際、分類ルール取得部１０３は、アプリケーション情報取得部１０２で取得された情報と完全に一致する情報を含む分類ルールを取得してもよい。また、分類ルール取得部１０３は、アプリケーション情報取得部１０２で取得された情報と部分的に一致する情報を含む分類ルールを取得してもよい。

分類ルールを取得する処理を実行した後、分類ルール取得部１０３は、分類ルール確認部１０４に対して処理結果を確認するように命令する。

分類ルール確認部１０４は、分類ルール取得部１０３の処理結果を確認する。確認した結果分類ルールが取得されていた場合、分類ルール確認部１０４は、取得された分類ルールに従って復号動作を決定する。分類ルール確認部１０４は、分類結果通知部１０７に対して決定された復号動作を通知するように命令する。

確認した結果分類ルールが取得されていない場合、分類ルール確認部１０４は、利用者への復号動作の確認が行われるように設定されているか否かを確認する。利用者への復号動作の確認が行われるように設定されている場合、分類ルール確認部１０４は、確認画面表示部１０５に対して確認画面を表示するように命令する。

利用者への復号動作の確認が行われるように設定されていない場合、分類ルール確認部１０４は、分類結果通知部１０７に対して復号しないことを通知するように命令する。

確認画面表示部１０５は、利用者に対して暗号化ファイルの復号要否の入力を求める確認画面を表示する機能を有する。図６は、確認画面表示部１０５が表示する確認画面の例を示す説明図である。確認画面表示部１０５は、図６に示す確認画面を用いて利用者に暗号化ファイルの復号要否を確認する。

図６に示すように、確認画面には、復号を要求しているアプリケーションと、復号が要求されているファイルと、復号要否を確認する旨とが表示されている。暗号化ファイルの復号を許可する場合、利用者は、「復号する」ボタンをクリックする。また、暗号化ファイルの復号を許可しない場合、利用者は、「復号しない」ボタンをクリックする。

利用者から入力された情報を基に、確認画面表示部１０５は、分類結果通知部１０７に対して入力された情報が示す復号動作を通知するように命令する。

なお、利用者が確認画面に表示されている内容を分類ルールとして保存することを選択した場合、確認画面表示部１０５は、利用者から入力された情報を受け取った後、分類ルール保存部１０６に対して新たな分類ルールを保存するように命令する。

利用者が確認画面に表示されている内容を分類ルールとして保存することを選択する場合は、例えば、図６に示す「次回からは確認しない。」のチェックボックスにチェックが入力された場合である。

すなわち、分類ルール記憶部２００に該当する分類ルールが存在しない場合、確認画面表示部１０５は、利用者に暗号化ファイルの復号要否を確認することによって新たに分類ルールを生成する。新たに分類ルールを生成する場合、確認画面表示部１０５は、同様のケースに関して最初の確認以降、利用者に復号要否を再度確認せずに済む。生成された分類ルールに従って、ファイル暗号化製品、およびアプリケーションは動作する。

また、分類ルール記憶部２００に該当する分類ルールが存在しない場合、確認画面表示部１０５は、利用者に暗号化ファイルの復号要否を確認せずに、復号を実行しないことがファイル暗号化製品、およびアプリケーションに通知されるように動作してもよい。利用者は、確認画面表示部１０５がとる動作をいつでも変更できる。

分類ルール保存部１０６は、アプリケーション情報取得部１０２で取得された情報および確認画面表示部１０５に利用者から入力された情報を基に生成された新たな分類ルールを、分類ルール記憶部２００に保存する機能を有する。保存が完了した後、分類ルール保存部１０６は、分類結果通知部１０７に対して保存された分類ルールが示す復号動作を通知するように命令する。

分類結果通知部１０７は、復号分類装置１０と連携するファイル暗号化製品に対して、暗号化ファイルの復号動作を通知する機能を有する。通知対象の復号動作の情報は、分類ルール確認部１０４、確認画面表示部１０５、または分類ルール保存部１０６のいずれかから分類結果通知部１０７に入力される。

ファイル暗号化製品に対して「復号しない」という復号動作が通知された場合、アプリケーションは、暗号化された状態のファイルを開くことを試みる。メーラの場合、ファイルが暗号化された状態のまま送信メールに添付される。

確認画面表示切替部１０８は、分類ルール記憶部２００に分類ルールが存在しない場合に表示する確認画面を切り替える機能を有する。利用者は、任意のタイミングで確認画面表示切替部１０８に表示する確認画面を切り替えさせることができる。

一般的に、アプリケーションが内部処理で開くファイルの数よりも、利用者が開くファイルの数の方が少ないと考えられる。その理由は、アプリケーションが内部処理で開くファイルには、設定ファイル、ログファイル、およびdll(dynamic link library)等多くのファイルが含まれるためである。

確認画面表示切替部１０８は、利用者が開くことを想定した暗号化ファイル以外、利用者への確認を行わないように分類ルール確認部１０４に指示できる。すなわち、確認画面表示切替部１０８が設けられると表示される確認画面が限定されるため、利用者にとっての利便性が向上する。

［動作の説明］
以下、本実施形態のアプリケーション動作分類部１００の分類結果を通知する動作を図７を参照して説明する。図７は、第２の実施形態のアプリケーション動作分類部１００による分類結果通知処理の動作を示すフローチャートである。

最初に、ファイルアクセス検知部１０１は、任意のアプリケーションの「ファイルを開く」処理に介入したファイル暗号化製品と連携して、「ファイルを開く」処理が行われたことを検知する（ステップS101）。

次いで、アプリケーション情報取得部１０２は、「ファイルを開く」処理を行ったアプリケーションに関する情報を取得する（ステップS102）。アプリケーション情報取得部１０２は、例えば「ファイルを開く」処理を行ったアプリケーションが格納されているパス、処理の対象のファイルの拡張子、暗号化ファイルを開くアプリケーションの処理に関するスタックトレースを取得する。

次いで、分類ルール取得部１０３は、分類ルール記憶部２００に格納されている分類ルールのうち、ステップS102で取得された情報を含む分類ルールを取得する（ステップS103）。なお、取得される分類ルールには、ステップS102で取得された情報と完全に一致する情報が含まれていてもよいし、ステップS102で取得された情報と部分的に一致する情報が含まれていてもよい。

次いで、分類ルール確認部１０４は、ステップS103で分類ルールが取得されたか否かを確認する（ステップS104）。分類ルールが取得された場合（ステップS104におけるYes）、分類ルール確認部１０４は、取得された分類ルールの内容を確認する（ステップS105）。確認した後、アプリケーション動作分類部１００は、ステップS110の処理を行う。

分類ルールが取得されなかった場合（ステップS104におけるNo）、分類ルール確認部１０４は、対象の暗号化ファイルが利用者への復号動作の確認が行われるように設定されているか否かを確認画面表示切替部１０８に問い合わせて確認する（ステップS106）。

対象の暗号化ファイルが利用者への復号動作の確認が行われるように設定されていない場合（ステップS106におけるNo）、アプリケーション動作分類部１００は、ステップS110の処理を行う。

対象の暗号化ファイルが利用者への復号動作の確認が行われるように設定されている場合（ステップS106におけるYes）、確認画面表示部１０５は、利用者に対して暗号化ファイルの復号要否の入力を求める確認画面を表示する（ステップS107）。

確認画面表示部１０５は、利用者からの確認画面への入力を待機する。確認画面に利用者から復号要否が入力された後、確認画面表示部１０５は、ステップS108の処理を行う。

次いで、確認画面表示部１０５は、利用者が確認画面に表示されている内容を分類ルールとして保存することを選択しているか否かを確認する（ステップS108）。分類ルールとして保存することが選択されていない場合（ステップS108におけるNo）、アプリケーション動作分類部１００は、ステップS110の処理を行う。

分類ルールとして保存することが選択されている場合（ステップS108におけるYes）、分類ルール保存部１０６は、確認画面表示部１０５によって生成された分類ルールを分類ルール記憶部２００に保存する（ステップS109）。

例えば、確認画面表示部１０５は、「ファイルを開く」処理を実行しているアプリケーションが格納されているパス、処理の対象のファイルの拡張子、暗号化ファイルを開くアプリケーションの処理に関するスタックトレースを、生成される分類ルールに含める。

次いで、確認画面表示部１０５は、暗号化ファイルを復号させるか否かの指示を示す復号動作の情報を生成される分類ルールに追加する。分類ルール保存部１０６は、生成された分類ルールを分類ルール記憶部２００に保存する。

次いで、分類結果通知部１０７は、分類ルールから取得した情報または利用者から入力された情報を基に、復号分類装置１０が連携するファイル暗号化製品に対して分類結果を通知する（ステップS110）。

具体的には、分類結果通知部１０７は、「ファイルを開く」処理の対象の暗号化ファイルを復号させるか否かの指示を示す復号動作の情報をファイル暗号化製品に通知する。通知した後、アプリケーション動作分類部１００は、分類結果通知処理を終了する。

［効果の説明］
本実施形態の復号分類装置は、任意のアプリケーションに対応できる。復号分類装置は、アプリケーションが行う「ファイルを開く」処理を目的ごとに分類することによって、利用者が開かれることを想定したファイルのみをファイル暗号化製品に復号させる。すなわち、利用者が開かれることを想定しないファイルの復号が防止されるため、復号分類装置は、セキュリティレベルの向上と利便性の向上を両立させることができる。

ファイル暗号化製品で暗号化された暗号化ファイルは、任意のアプリケーションで利用可能なファイルであることが多い。任意のアプリケーションで利用可能な暗号化ファイルを生成するファイル暗号化製品の特長は、利用者にとっての暗号化ファイルの操作方法を学習するためのコストが低く、利便性が高いことである。すなわち、利用者にとってのファイル暗号化製品の導入時の負担は軽い。

任意のアプリケーションに対応するため、ファイル暗号化製品は、各アプリケーションの個別処理にではなく、Windows APIの処理のようなより汎用的な「ファイルを開く」処理に介入する。しかし、汎用的な「ファイルを開く」処理に介入するファイル暗号化製品は、介入する処理の目的を判別することが困難である。

ファイルオープン処理の目的を判別することが困難であるため、ファイル暗号化製品は、利用者が開かれることを想定したファイルだけを復号し、他のファイルを復号しないような処理を実行できない。標的型攻撃や利用者の意図しない情報漏洩から情報を保護するため、ファイル暗号化製品には、利用者が開かれることを想定したファイルだけを復号することが求められている。

本実施形態の復号分類装置は、任意のアプリケーションに対応できる。また、本実施形態の復号分類装置は、アプリケーションの「ファイルを開く」処理を目的ごとに分類することによって、利用者が開かれることを想定したファイルのみを復号し、利用者が開かれることを想定していないファイルの復号を防止する。

本実施形態の復号分類装置は、DRM（Digital Rights Management：デジタル著作権管理）、コンテンツセキュリティの向上、およびファイル暗号化によるセキュリティの向上のために利用されることが考えられる。

なお、各実施形態の復号分類装置１０、および復号分類装置２０は、例えば、非一時的な記憶媒体に格納されているプログラムに従って処理を実行するCPU(Central Processing Unit)によって実現される。すなわち取得部２２、通知部２３、ファイルアクセス検知部１０１、アプリケーション情報取得部１０２、分類ルール取得部１０３、分類ルール確認部１０４、確認画面表示部１０５、分類ルール保存部１０６、分類結果通知部１０７、確認画面表示切替部１０８、AP３００、およびOS４００は、例えば、プログラム制御に従って処理を実行するCPUによって実現される。

また、記憶部２１は、例えばRAM(Random Access Memory)で実現される。また、分類ルール記憶部２００がRAMで実現されてもよい。

また、各実施形態の復号分類装置１０における各部、および復号分類装置２０における各部は、ハードウェア回路によって実現されてもよい。一例として、記憶部２１、取得部２２、通知部２３、ファイルアクセス検知部１０１、アプリケーション情報取得部１０２、分類ルール取得部１０３、分類ルール確認部１０４、確認画面表示部１０５、分類ルール保存部１０６、分類結果通知部１０７、確認画面表示切替部１０８、分類ルール記憶部２００、AP３００、OS４００、およびHDD５００が、それぞれLSI(Large Scale Integration)で実現される。また、それらが１つのLSIで実現されていてもよい。

１０、２０ 復号分類装置
２１ 記憶部
２２ 取得部
２３ 通知部
１００ アプリケーション動作分類部
１０１ ファイルアクセス検知部
１０２ アプリケーション情報取得部
１０３ 分類ルール取得部
１０４ 分類ルール確認部
１０５ 確認画面表示部
１０６ 分類ルール保存部
１０７ 分類結果通知部
１０８ 確認画面表示切替部
２００ 分類ルール記憶部
３００ アプリケーション
４００ オペレーティングシステム
５００ ハードディスク駆動装置

Claims (10)

1. 復号分類装置において実行される復号分類方法であって、
   前記復号分類装置が、
   アプリケーションによる暗号化ファイルを開く処理に関する情報である処理情報と当該暗号化ファイルを復号させるか否かの指示を示す復号情報とを含む分類情報を記憶部に記憶させ、
   検知されたアプリケーションによる暗号化ファイルを開く処理の処理情報を取得し、
   前記記憶部に記憶されている分類情報のうち取得された処理情報を含む分類情報に含まれている復号情報を、検知された処理における暗号化ファイルを当該復号情報が示す指示に基づいて復号する復号手段に通知し、
   処理情報には、アプリケーションによる暗号化ファイルを開く処理に関するスタックトレースが含まれる
   ことを特徴とする復号分類方法。
2. 復号分類装置が、
   取得された処理情報を含む分類情報が記憶部に記憶されていない場合、前記処理情報が示す処理における暗号化ファイルを復号させない指示を示す情報を復号手段に通知する
   請求項１記載の復号分類方法。
3. 復号分類装置が、
   取得された処理情報を含む分類情報が記憶部に記憶されていない場合、前記処理情報が示す処理における暗号化ファイルを復号させるか否かの指示を示す情報が入力される入力手段を提示し、
   提示された前記入力手段を介して入力された情報を復号手段に通知する
   請求項１記載の復号分類方法。
4. 復号分類装置が、
   提示された入力手段を介して入力された情報が復号情報として含まれる分類情報を記憶部に記憶させる
   請求項３記載の復号分類方法。
5. 復号分類装置が、
   アプリケーションによる暗号化ファイルを開く処理を検知する
   請求項１から請求項４のうちのいずれか１項に記載の復号分類方法。
6. アプリケーションによる暗号化ファイルを開く処理に関する情報である処理情報と当該暗号化ファイルを復号させるか否かの指示を示す復号情報とを含む分類情報を記憶する記憶部と、
   検知されたアプリケーションによる暗号化ファイルを開く処理の処理情報を取得する取得部と、
   前記記憶部に記憶されている分類情報のうち取得された処理情報を含む分類情報に含まれている復号情報を、検知された処理における暗号化ファイルを当該復号情報が示す指示に基づいて復号する復号手段に通知する通知部とを備え、
   処理情報には、アプリケーションによる暗号化ファイルを開く処理に関するスタックトレースが含まれる
   ことを特徴とする復号分類装置。
7. 通知部は、取得された処理情報を含む分類情報が記憶部に記憶されていない場合、前記処理情報が示す処理における暗号化ファイルを復号させない指示を示す情報を復号手段に通知する
   請求項６記載の復号分類装置。
8. 通知部は、
   取得された処理情報を含む分類情報が記憶部に記憶されていない場合、前記処理情報が示す処理における暗号化ファイルを復号させるか否かの指示を示す情報が入力される入力手段を提示し、
   提示された前記入力手段を介して入力された情報を復号手段に通知する
   請求項６記載の復号分類装置。
9. コンピュータに、
   アプリケーションによる暗号化ファイルを開く処理に関する情報である処理情報と当該暗号化ファイルを復号させるか否かの指示を示す復号情報とを含む分類情報を記憶部に記憶させる記憶処理、
   検知されたアプリケーションによる暗号化ファイルを開く処理の処理情報を取得する取得処理、および
   前記記憶部に記憶されている分類情報のうち取得された処理情報を含む分類情報に含まれている復号情報を、検知された処理における暗号化ファイルを当該復号情報が示す指示に基づいて復号する復号手段に通知する通知処理を実行させるための復号分類プログラムであって、
   処理情報には、アプリケーションによる暗号化ファイルを開く処理に関するスタックトレースが含まれる
   復号分類プログラム。
10. コンピュータに、
    取得された処理情報を含む分類情報が記憶部に記憶されていない場合、前記処理情報が示す処理における暗号化ファイルを復号させない指示を示す情報を復号手段に通知する通知処理を実行させる
    請求項９記載の復号分類プログラム。

Images