JP2012118571A - 情報共有システム、方法、バーチャルマシン管理サーバ及びそのプログラム - Google Patents

Abstract

【課題】ファイル自体を二次流出させることなく、そのファイルを他の者と共有する技術を提供する。
【解決手段】ファイルを閲覧、又は、閲覧及び編集可能なバーチャルマシンが動くバーチャルマシン管理サーバ２と、バーチャルマシンを操作可能であり、バーチャルマシンの画面情報を取得する受信装置３と、を含む。受信装置３は、ファイル自体ではなく、そのファイルを閲覧可能なバーチャルマシンの画面情報を取得する。したがって、ファイル自体が二次流出することはない。
【選択図】図１

Description

この発明は、ネットワークを介して、情報を共有するための技術に関する。

ＡがＢと電子データであるファイルを共有するには、ＡがＵＳＢメモリ、ＣＤ及びＤＶＤ等の可搬記録媒体にファイルを格納してＢにその可搬記録媒体を手渡すか、電子メール等によりネットワークを介してＡがファイルをＢに送信する方法がある（例えば、非特許文献１及び非特許文献２参照。）。

小田哲，小林鉄太郎，関良明，「ストレージに対する暗号化の一考察」，ＳＣＩＳ ２００９ 関良明，小田哲，小林鉄太郎，「ストレージの暗号化による仮想プライベートデバイスの提案」，ＦＩＴ ２００９

しかしながら、上記の方法によりＡがＢにファイル自体を渡してしまうと、Ｂがそのファイルを第三者であるＣに渡す可能性がある。すなわち、そのファイルがＡの意に反して二次流出する可能性があった。

この発明の課題は、ファイル自体を二次流出させることなく、そのファイルを他の者と共有することである

この発明の１つの観点による情報共有システムは、ファイルを閲覧、又は、閲覧及び編集可能なバーチャルマシンが動くバーチャルマシン管理サーバと、バーチャルマシンを操作可能であり、バーチャルマシンの画面情報を取得する受信装置と、を含む。

受信装置は、ファイル自体ではなく、そのファイルを閲覧可能なバーチャルマシンの画面情報を取得する。したがって、ファイル自体が二次流出することはない。

情報共有システムの構成を説明するためのブロック図。 第一実施形態から第三実施形態の情報共有方法の処理を説明するためのフローチャート。 第四実施形態の情報共有方法の処理を説明するためのフローチャート。 ブラウザを使ったバーチャルマシン管理サーバ２へのアクセスを説明するための図。

以下、図面を参照してこの発明の一実施形態を説明する。

［第一実施形態］
第一実施形態の情報共有システムは、図１に示すように、送信装置１、バーチャルマシン管理サーバ２、受信装置３及びファイルサーバ５を例えば含む。バーチャルマシン管理サーバ２は、認証部２１、バーチャルマシン生成部２２を例えば含む。ファイルサーバ５は、記憶部４を例えば含む。

第一実施形態の情報共有方法は、図２の各処理を行う。

送信装置１は、バーチャルマシン管理サーバ２の認証部２１に対して認証を行う（ステップＳ１）。例えば、送信装置１は、ブラウザを介してバーチャルマシン管理サーバ２にアクセスして、ユーザにより入力されたＩＤ及びパスワードをバーチャルマシン管理サーバ２に送信する。バーチャルマシン管理サーバ２の認証部２１は、受信したＩＤ及びパスワードが正しいかどうかを、予め有しているＩＤ及びパスワードについての情報に基づいて検証する。このようにＩＤ及びパスワードにより認証が行われてもよいし、他の方法により認証が行われてもよい。例えば、証明書を用いた認証が行われてもよい。この場合、バーチャルマシン管理サーバ２は証明書を発行した認証局を信頼するという前提のもとで認証が行われる。

送信装置１は、認証に成功した後に、バーチャルマシン管理サーバ２にバーチャルマシンの生成の依頼を行う（ステップＳ２）。この生成の依頼は、例えば、送信装置１がバーチャルマシン生成依頼情報をバーチャルマシン管理サーバ２に送信することにより行われる。バーチャルマシンのことを、Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅの頭文字を取ってＶＭと表記することがある。

バーチャルマシン管理サーバ２のバーチャルマシン生成部２２は、バーチャルマシン管理サーバ２上にバーチャルマシンを生成する（ステップＳ３）。この実施形態では、バーチャルマシン生成部２２は、後述するファイルを閲覧可能なバーチャルマシンを生成する。

バーチャルマシンが生成された後に、バーチャルマシン管理サーバ２は、バーチャルマシンの生成が完了した旨を示すＶＭ生成完了通知を送信装置１に送信する（ステップＳ４）。このＶＭ生成完了通知の中には、ＩＰアドレス等のログインするために必要な情報が含まれていてもよい。

ＶＭ生成完了通知を受けた後に、送信装置１は、生成されたバーチャルマシンにログインする（ステップＳ５）。バーチャルマシンへのログイン及び操作は、ＶＮＣ（Ｖｉｒｔｕａｌ Ｎｅｔｗｏｒｋ Ｃｏｍｐｕｔｉｎｇ）等のリモートデスクトップソフトや、ブラウザを介して行われる。ログインした後は、送信装置１は、バーチャルマシンに対して所定の操作が可能となる。

送信装置１は、バーチャルマシンを操作して、情報共有の対象となるファイルを記憶部４に記憶する（ステップＳ６）。ファイルは、例えば送信装置１からバーチャルマシンに送信されたものである。もちろん、ファイルは、バーチャルマシン管理サーバ２が作成したものや、バーチャルマシン上で作成されたものであってもよい。この実施形態では、記憶部４はファイルサーバ５に設けられているが、記憶部４は、ファイルサーバ５以外の場所、例えばバーチャルマシン管理サーバ２に設けられていてもよい。また、記憶部４は、仮想ストレージやＵＳＢ等の記憶媒体であってもよい。

受信装置３は、バーチャルマシン管理サーバ２の認証部２１に対して認証を行う（ステップＳ７）。例えば、上述の送信装置１及びバーチャルマシン管理サーバ２の認証と同様に、受信装置３及びバーチャルマシン管理サーバ２の認証は、ＩＤ及びパスワードを用いて行われる。

受信装置３は、認証に成功した後に、バーチャルマシン管理サーバ２にバーチャルマシンの生成の依頼を行う（ステップＳ８）。この生成の依頼は、例えば、送信装置１がバーチャルマシン生成依頼情報をバーチャルマシン管理サーバ２に送信することにより行われる。

バーチャルマシン管理サーバ２のバーチャルマシン生成部２２は、バーチャルマシン管理サーバ２上にバーチャルマシンを生成する（ステップＳ９）。この実施形態では、バーチャルマシン生成部２２は、後述するファイルを閲覧可能なバーチャルマシンを生成する。

バーチャルマシンが生成された後に、バーチャルマシン管理サーバ２は、バーチャルマシンの生成が完了した旨を示すＶＭ生成完了通知を受信装置３に送信する（ステップＳ１０）。このＶＭ生成完了通知の中には、ＩＰアドレス等のログインするために必要な情報が含まれていてもよい。

ＶＭ生成完了通知を受けた後に、受信装置３は、生成されたバーチャルマシンにログインする（ステップＳ１１）。バーチャルマシンへのログイン及び操作は、ＶＮＣ（Ｖｉｒｔｕａｌ Ｎｅｔｗｏｒｋ Ｃｏｍｐｕｔｉｎｇ）等のリモートデスクトップソフトや、ブラウザを介して行われる。ログインした後は、受信装置３は、バーチャルマシンに対して所定の操作が可能となる。

受信装置３は、バーチャルマシンを操作して、情報共有の対象となるファイルを記憶部４からバーチャルマシンに読み込む（ステップＳ１２）。バーチャルマシンは、バーチャルマシン管理サーバ２で立ち上げられているため、ファイルはバーチャルマシン管理サーバ２に読み込まれているともいえる。

受信装置３は、バーチャルマシンを操作して読み込まれたファイルを閲覧する（ステップＳ１３）。この閲覧により、受信装置３は、ファイルを閲覧しているバーチャルマシンの画面情報を取得する。このようにして、受信装置３は、ファイルについての情報を共有することになる。

受信装置３は、ファイル自体を取得することはないため、ファイル自体が二次流出することはない。

［第二実施形態］
第一実施形態のバーチャルマシンはファイルを閲覧可能であったが、バーチャルマシンはファイルを更に編集可能であってもよい。第二実施形態のバーチャルマシンがファイルを更に編集可能である部分で、第一実施形態と第二実施形態は異なる。他の部分は、第一実施形態と第二実施形態は同様であるため、重複説明を省略する。

バーチャルマシンがファイルを編集可能である場合には、図２の例えばステップＳ１２又はステップＳ１３の後に、受信装置３は、バーチャルマシンを操作してファイルを編集してもよい。また、受信装置３は、バーチャルマシンを操作して、編集したファイルを記憶部４に記憶させることができてもよい。

［第三実施形態］
第三実施形態は、記憶部４に記憶されたファイルが暗号鍵で暗号化されている部分で第一実施形態と異なる。以下、第一実施形態と異なる部分を中心に説明をし、第一実施形態と同様の部分については重複説明を省略する。

第三実施形態のバーチャルマシンは、ファイルを暗号化可能である。送信装置１は、ステップＳ５の後に、すなわちバーチャルマシンにログインした後に、バーチャルマシン上で暗号鍵を用いてファイルを暗号化する（ステップＳ５１、図２参照）。暗号化されたファイルはステップＳ６において、記憶部４に記憶される。

送信装置１ではなく、バーチャルマシン上でファイルを暗号化できるようにすると、送信装置１に暗号化のための特別なソフトウェアを用意する必要がなくなるというメリットがある。

また、受信装置３は、バーチャルマシンを操作して、バーチャルマシン上で、ステップＳ１２で暗号化されたファイルを読み込み、暗号化されたファイルを復号鍵を用いて復号化して、ファイルを生成する（ステップＳ１２１）。

バーチャルマシンが、暗号化に用いる暗号鍵及び復号に用いる復号鍵は、情報共有システムが採用する暗号形式に依存する。これらの暗号鍵及び復号鍵は、必要に応じて、バーチャルマシン管理サーバ２に設けられた鍵生成部６により生成される。

情報共有システムが、Ｃａｍｅｌｌｉａ等の共通鍵暗号方式を採用する場合には、暗号鍵と復号鍵とは一致する。この場合、ファイルごとに鍵を変える必要があるため、鍵生成部６は、ファイルと鍵の対応関係を管理する必要がある。

また、情報共有システムが、楕円曲線暗号、ＩＤベース暗号等の公開鍵暗号方式を採用する場合には、公開鍵が暗号鍵となり、秘密鍵が復号鍵となる。ＩＤベース暗号を採用する場合には、予め暗号鍵及び復号鍵を作成しておく必要はなく、指定された条件（ＩＤ）に応じて暗号鍵及び復号鍵を作成すればよい。ＩＤベース暗号については、参考文献１及から参考文献３を参照のこと。

〔参考文献１〕岡本，白石，河岡，「単一管理情報による安全なユーザ認証方式」，信学技報，IN83-92，pp.43-48，1984．
〔参考文献２〕小林，山本，鈴木，平田，「IDベース暗号の応用とキーワード検索暗号」，NTT 技術ジャーナル，22(2)，pp.17-20，2010．
〔参考文献３〕CRYPTREC ID ベース暗号調査WG，ID ベース暗号に関する調査報告書，CRYPTREC 報告書．2009．，［online］，［平成２２年１１月１８日検索］，インターネット＜URL：http://www.cryptrec.go.jp/report/c08 idb2008.pdf＞
さらに、情報共有システムは、他の暗号方式、例えばいわゆるハイブリッド暗号、述語暗号、関数暗号等の暗号方式を採用することができる。

ハイブリッド暗号方式を採用する場合には、例えば生成された乱数である鍵を用いてファイルを暗号化する。そして、その鍵を公開鍵暗号方式における公開鍵で暗号化して、暗号化されたファイル及び暗号化された鍵を記憶部４に記憶する。そして、記憶部４から読み込んだ暗号化された鍵を上記の公開鍵に対応する秘密鍵で復号して鍵を生成し、その鍵を用いて暗号化されたファイルを復号してファイルを生成する。

また、例えば参考文献４に記載されているＳｈａｍｉｒの秘密分散法等の秘密分散法により鍵を分散してもよい。

〔参考文献４〕山本博資，「秘密分散法とそのバリエーション」，数理解析研究所講究録1361 巻，pp.19-31，2004 年．
述語暗号により条件のＡＮＤ，ＯＲを復号鍵の条件として取り入れることが可能となり、関数暗号により条件のＡＮＤ，ＯＲに加えてＮＯＴの条件を復号鍵の条件として取り入れることが可能となるので、複雑な条件式を復号条件とすることが可能となる。述語暗号、関数暗号については、それぞれ参考文献５及び参考文献６を参照のこと。

〔参考文献５〕T. Okamoto, K. Takashima,“ Hierarchical Predicate Encryption for Inner-Products ”,ASIACRYPT 2009, Tokyo, Jap an, pp.213-231, 2009-12-06/10.
〔参考文献６〕T. Okamoto, K. Takashima, "Fully Secure Functional Encryption
with General Relations from the Decisional Linear Assumption" ,CRYPTO 2010, SantaBarbara, California, USA, pp.191-208, 2010-8-15/19.
上記の例では、バーチャルマシン上でファイルを暗号化したが、送信装置がファイルを暗号化して、ステップＳ６で、その暗号化されたファイルをバーチャルマシンを介して記憶部４に記憶してもよい。

［第四実施形態］
第四実施形態においては、バーチャルマシンを生成するためのバーチャルマシンイメージファイルの中に情報共有の対象となるファイルが含まれている。他の部分については、第一実施形態と同様である。以下では第一実施形態と異なる部分を中心に説明をして、同様の部分について重複説明を省略する。

第四実施形態のバーチャルマシン管理サーバ２は、図１に破線で示すバーチャルマシンイメージファイル生成部２３を含む。

第四実施形態のバーチャルマシン管理サーバ２は、図３の各処理を行う。

ステップＳ１において認証に成功した後に、送信装置１は、バーチャルマシン管理サーバ２に、ファイルを含むバーチャルマシンイメージファイルの生成を依頼する（ステップＳ１１’、図３）。

バーチャルマシンイメージファイル生成部２３は、ファイルを用いてバーチャルマシンイメージファイルを生成する（ステップＳ１２’）。このファイルは、第一実施形態と同様に、例えば送信装置１からバーチャルマシンに送信されたものである。もちろん、ファイルは、バーチャルマシン管理サーバ２が作成したものであってもよい。また、このファイルは第三実施形態と同様にして、所定の暗号鍵で暗号化されたものであってもよい。

バーチャルマシン管理サーバ２は、生成されたバーチャルマシンイメージファイルを記憶部４に記憶する（ステップＳ１３’）。

バーチャルマシン生成部２２は、ステップＳ８において受信装置３からバーチャルマシンの生成依頼を受けた後に、記憶部４からバーチャルマシンイメージファイルを読み込み（ステップＳ８１）、読み込んだバーチャルマシンイメージファイルに基づいてバーチャルマシンを生成する（ステップＳ９）。

生成されたバーチャルマシンには、ファイルが含まれている。例えば、バーチャルマシンの所定のフォルダにファイルは格納されている。したがって、受信装置３は、バーチャルマシンへのログイン後に、記憶部４を参照することなく、直ちに情報の対象となるファイルを閲覧することができる。

ファイルが暗号化されている場合には、受信装置３はバーチャルマシンを操作して、第三実施形態と同様にして所定の復号鍵を用いて暗号化されたファイルを復号して（ステップＳ１２１）、情報の対象となるファイルを生成する。

もちろん、このバーチャルマシンは、第二実施形態と同様にしてファイルを更に編集可能であってもよい。

［他の変形例］
多くのコンピュータにブラウザは予めインストールされていることを考慮すると、バーチャルマシン管理サーバへの認証、バーチャルマシンへのログイン及び後述するバーチャルマシンの操作を、図４に例示するようにブラウザを介して行うことができるようにした場合には、送信装置１及び受信装置３に特別な装置やソフトウェアがなくても情報共有が可能となるというメリットがある。

この場合、図４に例示するように、バーチャルマシン管理サーバ２にはＣＧＩ（Common Gateway Interface）が実装されており、ブラウザとの間で送受信されるデータに基づいて、動的にファイルやバーチャルマシンイメージファイルを生成することができる。図４は、第四実施形態のステップＳ１及びステップＳ１１’の処理を、ブラウザを介して行う場合のイメージ図である。

送信装置１は、受信装置３のファイルへのアクセス権限を設定可能であってもよい。例えば、送信装置１は、共有する対象となるファイルを許可する受信装置やユーザや、その受信装置やユーザがそのファイルに対して行うことができる操作（例えば、閲覧のみ、閲覧だけではなく編集も可能）を指定可能である。バーチャルマシン管理サーバ２のバーチャルマシン生成部２２は、この指定に基づいて、この指定を遵守するバーチャルマシンを生成する。このバーチャルマシンは、受信装置３のファイルへのアクセス権限で許された操作のみを受信装置３に許可する。

なお、バーチャルマシンにインストールしておきたいソフトウェアを設定して、この設定を反映する形でバーチャルマシンイメージファイルを作成することが可能である。あとは、このバーチャルマシンイメージファイルに基づいてバーチャルマシンで立ち上げるとカスタマイズされたOS（バーチャルマシン）がそこにできる。特定のコマンド（操作）のみを実行できるようにすることが可能なので、例えばファイルをダウンロードするコマンドを使用不可にすれば、ダウンロードができなくなる。

この受信装置３のファイルへのアクセス権限の設定は、バーチャルマシン管理サーバ２が、ファイルに関する共有情報に基づいて自動的に行ってもよい。この共有情報は、例えば、送信装置１についての情報（例えば、個人か組織かについての情報）、受信装置３についての情報（例えば、個人か組織かについての情報）、ファイルについての情報（例えば、ファイルについての重要度、機密度）の少なくとも１つである。

共有情報を受付けたバーチャルマシン管理サーバ２は、予め記憶しているアクセス制御ルール（誰（個人や組織など）が、どのような情報（機密度、重要度など）に、どんなアクセス（閲覧、編集、他者との共有などの少なくとも１以上）を許可するためのルール）と共有情報から、ファイルに対して行うことができる操作を指定する。

バーチャルマシンは予め生成済みであってもよい。例えば、閲覧及び復号のみ可能、閲覧、復号及び復号可能等の複数のパターンのバーチャルマシンのそれぞれを必要な数だけ事前に生成しておいて、送信装置１及び受信装置３がアクセスする度に、これらの生成済みのバーチャルマシンを適宜割り当ててもよい。また、これらのバーチャルマシンは、必要に応じて再利用することができてもよい。また、バーチャルマシン内にユーザ固有の情報を含める場合には、バーチャルマシン管理サーバ２は、送信装置１及び受信装置３がアクセスする度に生成して、送信装置１及び受信装置３の利用が終わる度に破棄してもよい。

また、例えばステップＳ１，Ｓ５，Ｓ７，Ｓ１１で説明した認証やログインは、必ずしも必須ではない。

バーチャルマシン管理サーバ２をコンピュータによって実現する場合、バーチャルマシン管理サーバ２の各部の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、バーチャルマシン管理サーバ２の各部の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

この発明は上記の実施形態及び変形例に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上記の実施形態及び変形例を互いに組み合わせてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

１ 送信装置
２ バーチャルマシン管理サーバ
２１ 認証部
２２ バーチャルマシン生成部
２３ バーチャルマシンイメージファイル生成部
３ 受信装置
４ 記憶部
５ ファイルサーバ
６ 鍵生成部

Claims (10)

1. ファイルを閲覧、又は、閲覧及び編集可能なバーチャルマシンが動くバーチャルマシン管理サーバと、
   上記バーチャルマシンを操作可能であり、上記バーチャルマシンの画面情報を取得する受信装置と、を含む、
   情報共有システム。
2. 請求項１に記載の情報共有システムにおいて、
   上記受信装置は、ブラウザを介して上記バーチャルマシンを操作可能である、
   情報共有システム。
3. 請求項１又は２に記載の情報共有システムにおいて、
   上記ファイルは、暗号鍵で暗号化されており、
   上記バーチャルマシンは、上記ファイルを上記暗号鍵に対応する復号鍵で復号可能である、
   情報共有システム。
4. 請求項１から３の何れかに記載の情報共有システムにおいて、
   上記ファイルは、バーチャルマシンを生成するためのバーチャルマシンイメージファイルに含まれている、
   情報共有システム。
5. 請求項１から３の何れかに記載の情報共有システムにおいて、
   上記ファイルが記憶される記憶部を更に含み、
   上記バーチャルマシンは、更に上記記憶部にファイルを記憶可能であり、
   上記バーチャルマシンを操作可能であり、上記ファイルを上記記憶部に記憶させる送信装置を更に含む、
   情報共有システム。
6. 請求項５に記載の情報共有システムにおいて、
   上記送信装置は、上記受信装置の上記ファイルへのアクセス権限を設定可能であり、
   上記バーチャルマシン管理サーバは、上記受信装置の上記ファイルへのアクセス権限で許された操作のみを上記受信装置に許可する、
   情報共有システム。
7. 請求項５に記載の情報共有システムにおいて、
   上記送信装置は、上記ファイルに関する共有情報を上記バーチャルマシンに送信し、
   上記バーチャルマシン管理サーバは、上記共有情報に基づいて上記受信装置の上記ファイルへのアクセス権限を設定する、
   を含む情報共有システム。
8. バーチャルマシン管理サーバが、ファイルを閲覧、又は、閲覧及び編集可能なバーチャルマシンを動かすステップと、
   受信装置が、上記バーチャルマシンを操作して、上記バーチャルマシンの画面情報を取得するステップと、を含む、
   情報共有方法。
9. ファイルを閲覧、又は、閲覧及び編集可能なバーチャルマシンが動き、上記バーチャルマシンは、受信装置が操作可能であり、上記バーチャルマシンの画面情報を上記受信装置に送信するバーチャルマシン管理サーバ。
10. 請求項９に記載のバーチャルマシン管理サーバとしてコンピュータを機能させるためのプログラム。

Images