JP2012203699A - 可搬記憶媒体 - Google Patents
可搬記憶媒体 Download PDFInfo
- Publication number
- JP2012203699A JP2012203699A JP2011068371A JP2011068371A JP2012203699A JP 2012203699 A JP2012203699 A JP 2012203699A JP 2011068371 A JP2011068371 A JP 2011068371A JP 2011068371 A JP2011068371 A JP 2011068371A JP 2012203699 A JP2012203699 A JP 2012203699A
- Authority
- JP
- Japan
- Prior art keywords
- information storage
- storage area
- user
- information
- user authentication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Storage Device Security (AREA)
Abstract
【解決手段】利用者認証部112とアクセス制御部113の各機能は、ホストコンピュータ12のCPUが情報記憶部114に記憶されている利用者認証プログラムとアクセス制御プログラムを実行することによって実現される。利用者認証部112は、ホストコンピュータ12を利用している利用者の利用権限の有無を認証する。アクセス制御部113は、情報記憶部114に格納されている情報格納領域指定情報に基づいて情報記憶部114内の各利用者に割り当てられた情報格納領域のみをホストコンピュータ12にファイルシステムとして認識させ、情報記憶部114に格納されている暗号/復号鍵を用いて情報を暗号化/復号化しながら書き込み/読み出しを行う。
【選択図】図1
Description
特許文献1は、IC(Integrated Circuit)カード内の記憶領域を分割する方法を開示する。この方法を用いることにより、ICカード内に格納する情報を利用者毎に決められた領域に記憶することで、複数の利用者がお互いの情報を参照出来なくなる。しかし、ICカードは高価である上に記憶容量が小さいため、大容量の情報を扱う場合には適さない。
特許文献2は、データの読出しのみ可能なUSBメモリのROM領域にPINコードと利用者認証アプリケーションを格納することでICカードのような利用者認証手段を提供する方法を開示する。この方法により、広く利用されているUSBメモリにおいて、ICカードと同等の高度なアクセス制御を実現可能である。しかし、PINコード等を利用者毎に保有してそれぞれの利用者に記録領域を割り当てることは出来ないため、複数の利用者でUSBメモリを共有した場合には、パスワードを共有する等の運用が必要となる。
CPUとメモリを有するホスト装置に着脱可能な可搬記憶媒体であって、
複数の領域に分割された情報格納領域と、
複数の利用者について利用者毎に利用権限を認証するための認証情報と当該各利用者がアクセス可能な前記分割された情報格納領域を指定する1以上の情報格納領域指定情報と当該各情報格納領域指定情報に対応する第1の暗号/復号鍵とが格納されている利用者認証情報格納領域と、
当該可搬記憶媒体が前記ホスト装置に接続されると活性化され、前記ホスト装置のメモリに読み込まれて前記ホスト装置のCPUにより実行され、前記ホスト装置を、前記ホスト装置を利用している利用者により入力された認証情報と、前記利用者認証情報格納領域に格納されている認証情報とを照合し、前記利用者の利用権限の有無を認証する利用者認証手段として機能させる利用者認証プログラムが格納された利用者認証プログラム格納領域と、
前記利用者認証手段によって利用権限有りと認証されたことに応答して活性化され、前記ホスト装置のメモリに読み込まれて前記ホスト装置のCPUにより実行され、前記ホスト装置を、前記利用者認証情報格納領域に格納されている情報格納領域指定情報に基づいて前記利用者がアクセス可能な前記各分割された情報格納領域を特定し、当該特定された情報格納領域を前記ホスト装置にファイルシステムとして認識させ、前記利用者認証情報格納領域に格納されている第1の暗号/復号鍵を用いて前記ホスト装置から情報を暗号化しながら前記各分割された情報格納領域に書き込み、前記各分割された情報格納領域から情報を読み出しながら復号化するアクセス制御手段として機能させるアクセス制御プログラムが格納されたアクセス制御プログラム格納領域と、
を有する情報記憶部を備える。
前記利用者認証情報格納領域に格納されている暗号/復号鍵は、前記各分割された情報格納領域にアクセスするための暗号/復号鍵を、前記利用者により入力された認証情報と前記情報記憶部の利用者認証情報格納領域に格納されている情報格納領域指定情報とを用いて作成された第2の暗号/復号鍵を用いて暗号化したものであり、
前記アクセス制御手段は、前記利用者により入力された認証情報と前記利用者認証情報格納領域に格納されている情報格納領域指定情報とを用いて前記第2の暗号/復号鍵を作成し、前記利用者認証情報格納領域に格納されている第1の暗号/復号鍵を、前記第2の暗号/復号鍵を用いて復号化し、復号化された前記第1の暗号/復号鍵を用いて、前記ホスト装置から情報を暗号化しながら前記各分割された情報格納領域に書き込み、前記各分割された情報格納領域から情報を読み出しながら復号化する。
可搬記憶媒体(USBメモリ)11は、USBインタフェース111と、情報記憶部114とを有する。
USBインタフェース111は、ホストコンピュータ12との通信を司り、ホストコンピュータ12のUSBインタフェース122との間でデータ(情報)を送受信する。
情報記憶部114は、例えばフラッシュメモリで構成される記憶装置である。後述するように、情報記憶部114は、利用者認証プログラム及びアクセス制御プログラムを記憶している。
ホストコンピュータ12は、CPU(Central Processing Unit)と、RAM(Random Access Memory)等で構成されたメモリと、可搬記憶媒体(USBメモリ)11との通信をするためのUSBコントローラ121と、USBインタフェース122とを有する。
可搬記憶媒体(USBメモリ)11の情報記憶部114からメモリに利用者認証プログラム及びアクセス制御プログラムを読み込み、CPUがそれらのプログラムを実行することにより、利用者認証部112及びアクセス制御部113の各機能が実現される。
利用者認証部112は、可搬記憶媒体(USBメモリ)11を利用しようとする利用者が正当な利用権限を有するか否かを認証する。アクセス制御部113は、利用者認証部112によって認証された利用者が利用権限を有する情報記憶部114内の領域にのみホストコンピュータ12からデータを読み書きすることができるように制御する。
なお、情報記憶部114はさまざまな構成を取ることができる。情報記憶部114は、例えば1個のフラッシュメモリで構成されており、論理的に利用者認証プログラム格納領域21、利用者認証情報格納領域22、アクセス制御プログラム格納領域23、及び情報格納領域24に分割されているものであってよい。また、情報記憶部114は、例えば1個のROM(Read Only Memory)と1個のフラッシュメモリで構成されており、ROMが論理的に利用者認証プログラム格納領域21とアクセス制御プログラム格納領域23に分割されており、フラッシュメモリが論理的に利用者認証情報格納領域22と情報格納領域24に分割されているものであってもよい。
利用者認証情報格納領域22は、利用者ID、PINコード等の利用者の認証情報が格納される領域であり、この領域はホストコンピュータ12からはファイルシステムとして認識されないが、利用者認証部112は参照することができる。
アクセス制御プログラム格納領域23は、アクセス制御プログラムが格納される領域であり、利用者認証後に活性化されて利用可能となる。この領域も不正な書き換えを防止するため、ISO9660ファイルシステム等を使用した読み込み専用ファイルシステムとしてホストコンピュータ12に提供される。
情報格納領域24は、利用者認証後に利用可能となり、ホストコンピュータ12によるデータの読み込み及び書き込みは、この領域に対して行われる。情報格納領域24へのアクセスは、アクセス制御部113を介して行われる。
利用者ID31には、利用者を一意に識別するためのID(利用者識別情報)を格納する。PINコード32には、利用者のパスワードとして使用されるPINコードを格納する。利用可能領域33には、その利用者がアクセス可能な分割された情報格納領域を指定する1以上の情報格納領域指定情報を格納する。アクセス鍵(暗号)34には、それぞれの情報格納領域24にアクセスするための暗号化された暗号/復号鍵が格納される。
また、アクセス鍵(暗号)34は、利用可能領域33と対になる暗号/復号鍵であり、利用者ID31、PINコード32及び利用可能領域33を用いて暗号/復号鍵を作成し、その暗号/復号鍵を用いてそれぞれの情報格納領域24にアクセスするためのアクセス鍵(平文)を暗号化して保存したものである。異なる利用者が同一の分割された情報格納領域24にアクセスする場合、同一の暗号/復号鍵が必要となる。アクセス鍵(暗号)34は、このような場合に、それぞれの情報格納領域24にアクセスするためのアクセス鍵(平文)を利用者固有の情報で暗号化することで利用者ごとに別々に定義可能としたものである。
なお、利用者ID31、PINコード32及び利用可能領域33に加えて、例えば媒体内部の所定の領域に保存されている所定の固有値を用いて暗号/復号鍵を作成することにより、さらにセキュリティ性を向上させることができる。
これにより、論理的に分割された情報格納領域24毎に一意となるアクセス鍵(暗号/復号鍵)を、平文で保有することを不要とし、かつ分割された情報格納領域24毎のアクセス鍵と利用者認証時に入力するPINコードを分離することが可能となる。
アクセス制御部113は、利用者認証部112による利用者認証後、ホストコンピュータ12に利用可能な情報格納領域にのみアクセスさせるために、利用者ID31、PINコード32及び利用可能領域33を用いて作成された暗号/復号鍵によりアクセス鍵(暗号)34を復号してアクセス鍵(平文)41を生成する。そして、アクセス制御部113は、アクセス鍵(平文)41を用いて情報格納領域24にデータを暗号化しながら書き込み、情報格納領域24からデータを復号化しながら読み出す。
ホストコンピュータ12に接続された可搬記憶媒体(USBメモリ)11は、接続と同時に媒体内の利用者認証プログラム格納領域21のみを活性化させる(S51)。この時点でホストコンピュータ12からアクセス出来るのは利用者認証プログラム格納領域21のみであり、情報格納領域24には一切アクセスできない。
利用者認証プログラム格納領域21の活性化後、ホストコンピュータ12のCPUは、可搬記憶媒体(USBメモリ)11の利用者認証プログラム格納領域21からメモリに利用者認証プログラムを読み込んで実行し、利用者認証部112を起動する(S52)。そして、ホストコンピュータ12のCPUは利用者に利用者IDとPINコードの入力を促す。この際、利用者とのユーザインタフェースにはホストコンピュータ12が用いられる。
利用者認証に失敗した場合、再度利用者IDとPINコードの入力を促し、利用者認証に成功した場合、次の処理に移る(S54)。
利用者認証完了後、ホストコンピュータ12のCPUは、可搬記憶媒体(USBメモリ)11のアクセス制御プログラム格納領域23からメモリにアクセス制御プログラムを読み込んで実行し、アクセス制御部113を起動する。アクセス制御部113は、情報格納領域24を利用するための準備として、その利用者がアクセス可能な情報格納領域24とアクセスに必要なアクセス鍵(暗号)34の一覧を取得し、展開する(S55)。そして、アクセス制御部113は、アクセス可能な情報格納領域24をホストコンピュータ12にファイルシステムとして認識させ、ホストコンピュータ12にその情報格納領域24を読み込み及び書き込み可能な領域として割り当てる(S56)。
ステップS54により利用者認証に成功した後、その利用者ID31に関連付けられた利用可能領域33及びアクセス鍵(暗号)34を取得する(S61)。利用可能領域33及びアクセス鍵(暗号)34の取得後、ステップS53で使用した入力されたPINコードを取得する(S62)。
この後、利用者ID31、ステップS62で取得したPINコード及びステップS61で取得した利用可能領域33を用いて暗号/復号鍵を作成し、その暗号/復号鍵を用いてステップS61で取得したアクセス鍵(暗号)34を復号し、アクセス鍵(平文)41を生成する(S63)。利用者がアクセス可能な情報格納領域24が複数存在する場合は、全ての情報格納領域24に対して処理を繰り返す(S64)。以上の処理にて情報格納領域24にアクセスするための暗号/復号鍵であるアクセス鍵(平文)41を生成する。
アクセス制御部113は、情報格納領域暗号/復号部71、仮想USBメモリ構築部72、仮想USBハブ構築部73で構成される。
情報格納領域暗号/復号部71は、ホストコンピュータ12から情報格納領域24にデータ(情報)を読み込み又は書き込みする際に暗号化又は復号化を行う。
仮想USBメモリ構築部72は、情報格納領域24を仮想的なUSBメモリとして認識させる。
仮想USBハブ構築部73は、仮想USBメモリ構築部72で認識させた複数の仮想USBメモリをホストコンピュータ12に認識させるための仮想ハブ機能を提供する。仮想USBハブ構築部73は、利用者認証が完了した後に、図3の利用者ID31と利用可能領域33を参照し、認証された利用者がアクセス可能な情報格納領域24のみをホストコンピュータ12に1つ以上のUSBメモリ(ファイルシステム)として認識させる。
いずれも、利用者認証後に情報格納領域24をホストコンピュータ12に認識させる時点で動作する。
仮想USBハブ81を介して、仮想USBメモリA831、仮想USBメモリB832、及び仮想USBメモリC833は、独立した可搬記憶媒体としてホストコンピュータ12に認識される。また、利用者認証プログラム格納領域21も独立した仮想CD−ROM82として認識される。
それぞれの利用者についてホストコンピュータ12がE、F、Gドライブとして認識するのが、本実施形態に係る可搬記憶媒体(USBメモリ)11である。媒体接続後にCD−ROMドライブ1つが認識され、利用者認証完了後には1つ以上のリムーバブルディスクドライブが認識される。
なお、ホストコンピュータ12が図中の全ての利用者について認識するCドライブ、及びDドライブは、ホストコンピュータ12のハードディスク、及びホストコンピュータのDVD−ROMドライブを示しており、本発明の対象外である。
一方、Fドライブ、及びGドライブとして認識されているのは、可搬記憶媒体(USBメモリ)11の利用可能な情報格納領域24であり、分割された情報格納領域24毎に仮想的なリムーバブルディスクとして認識される。情報格納領域24の割り当ては図中の実線の矢印92で示す。ここで、認識される情報格納領域24は、利用者毎に異なり、利用者認証情報格納領域22でアクセス可能と定義されている情報格納領域24のみが認識される。利用者とアクセス可能な情報格納領域24の組み合わせによっては同一の情報格納領域24を複数の利用者で共有することも可能である。利用者がアクセスできない報格納領域24はホストコンピュータ12から認識されないので、不正アクセス防止を図ることが出来る。
加えて、可搬記憶媒体内で論理的に分割された情報格納領域のうち、認証された利用者がアクセス可能な領域のみを仮想的な記憶媒体(ファイルシステム)としてホスト装置に認識させることにより、可搬記憶媒体に格納されている情報のうちアクセス権のない情報に関する情報(情報の一覧など)が秘匿化される。これにより、より一層のセキュリティ性の向上を図ることが出来る。
Claims (2)
- CPUとメモリを有するホスト装置に着脱可能な可搬記憶媒体であって、
複数の領域に分割された情報格納領域と、
複数の利用者について利用者毎に利用権限を認証するための認証情報と当該各利用者がアクセス可能な前記分割された情報格納領域を指定する1以上の情報格納領域指定情報と当該各情報格納領域指定情報に対応する第1の暗号/復号鍵とが格納されている利用者認証情報格納領域と、
当該可搬記憶媒体が前記ホスト装置に接続されると活性化され、前記ホスト装置のメモリに読み込まれて前記ホスト装置のCPUにより実行され、前記ホスト装置を、前記ホスト装置を利用している利用者により入力された認証情報と、前記利用者認証情報格納領域に格納されている認証情報とを照合し、前記利用者の利用権限の有無を認証する利用者認証手段として機能させる利用者認証プログラムが格納された利用者認証プログラム格納領域と、
前記利用者認証手段によって利用権限有りと認証されたことに応答して活性化され、前記ホスト装置のメモリに読み込まれて前記ホスト装置のCPUにより実行され、前記ホスト装置を、前記利用者認証情報格納領域に格納されている情報格納領域指定情報に基づいて前記利用者がアクセス可能な前記各分割された情報格納領域を特定し、当該特定された情報格納領域を前記ホスト装置にファイルシステムとして認識させ、前記利用者認証情報格納領域に格納されている第1の暗号/復号鍵を用いて前記ホスト装置から情報を暗号化しながら前記各分割された情報格納領域に書き込み、前記各分割された情報格納領域から情報を読み出しながら復号化するアクセス制御手段として機能させるアクセス制御プログラムが格納されたアクセス制御プログラム格納領域と、
を有する情報記憶部を備えることを特徴とする可搬記憶媒体。 - 前記利用者認証情報格納領域に格納されている暗号/復号鍵は、前記各分割された情報格納領域にアクセスするための暗号/復号鍵を、前記利用者により入力された認証情報と前記情報記憶部の利用者認証情報格納領域に格納されている情報格納領域指定情報とを用いて作成された第2の暗号/復号鍵を用いて暗号化したものであり、
前記アクセス制御手段は、前記利用者により入力された認証情報と前記利用者認証情報格納領域に格納されている情報格納領域指定情報とを用いて前記第2の暗号/復号鍵を作成し、前記利用者認証情報格納領域に格納されている第1の暗号/復号鍵を、前記第2の暗号/復号鍵を用いて復号化し、復号化された前記第1の暗号/復号鍵を用いて、前記ホスト装置から情報を暗号化しながら前記各分割された情報格納領域に書き込み、前記各分割された情報格納領域から情報を読み出しながら復号化する、
ことを特徴とする請求項1に記載の可搬記憶媒体。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2011068371A JP5537477B2 (ja) | 2011-03-25 | 2011-03-25 | 可搬記憶媒体 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2011068371A JP5537477B2 (ja) | 2011-03-25 | 2011-03-25 | 可搬記憶媒体 |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2012203699A true JP2012203699A (ja) | 2012-10-22 |
JP5537477B2 JP5537477B2 (ja) | 2014-07-02 |
Family
ID=47184634
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2011068371A Expired - Fee Related JP5537477B2 (ja) | 2011-03-25 | 2011-03-25 | 可搬記憶媒体 |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP5537477B2 (ja) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10452860B2 (en) | 2015-11-09 | 2019-10-22 | Toshiba Client Solutions CO., LTD. | System, electronic apparatus and method |
Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2004362516A (ja) * | 2003-05-30 | 2004-12-24 | Hagiwara Sys-Com:Kk | Usb暗号化装置及びプログラム |
JP2007241562A (ja) * | 2006-03-07 | 2007-09-20 | Fujitsu Ltd | デバイスドライバプログラムを記録したコンピュータ読取可能な記録媒体、記憶装置アクセス方法および記憶装置アクセスシステム |
JP2009087124A (ja) * | 2007-10-01 | 2009-04-23 | Buffalo Inc | 記憶デバイス及び記憶デバイスアクセス制御方法 |
JP2009098889A (ja) * | 2007-10-16 | 2009-05-07 | Buffalo Inc | データ管理装置、データ管理方法およびデータ管理プログラム |
JP2010267089A (ja) * | 2009-05-14 | 2010-11-25 | Canon Electronics Inc | 情報処理装置、制御方法、コンピュータプログラム及び記憶媒体 |
-
2011
- 2011-03-25 JP JP2011068371A patent/JP5537477B2/ja not_active Expired - Fee Related
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2004362516A (ja) * | 2003-05-30 | 2004-12-24 | Hagiwara Sys-Com:Kk | Usb暗号化装置及びプログラム |
JP2007241562A (ja) * | 2006-03-07 | 2007-09-20 | Fujitsu Ltd | デバイスドライバプログラムを記録したコンピュータ読取可能な記録媒体、記憶装置アクセス方法および記憶装置アクセスシステム |
JP2009087124A (ja) * | 2007-10-01 | 2009-04-23 | Buffalo Inc | 記憶デバイス及び記憶デバイスアクセス制御方法 |
JP2009098889A (ja) * | 2007-10-16 | 2009-05-07 | Buffalo Inc | データ管理装置、データ管理方法およびデータ管理プログラム |
JP2010267089A (ja) * | 2009-05-14 | 2010-11-25 | Canon Electronics Inc | 情報処理装置、制御方法、コンピュータプログラム及び記憶媒体 |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10452860B2 (en) | 2015-11-09 | 2019-10-22 | Toshiba Client Solutions CO., LTD. | System, electronic apparatus and method |
Also Published As
Publication number | Publication date |
---|---|
JP5537477B2 (ja) | 2014-07-02 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US20170277898A1 (en) | Key management for secure memory address spaces | |
JP6096186B2 (ja) | 不揮発性記憶装置の利用方法及び装置 | |
JP4982825B2 (ja) | コンピュータおよび共有パスワードの管理方法 | |
JP4610557B2 (ja) | データ管理方法、そのプログラム及びプログラムの記録媒体 | |
JP6591495B2 (ja) | 内蔵型アクセス・コントロール機能を有するモバイル機器 | |
JP6622275B2 (ja) | アクセス制御機能を有するモバイルデータ記憶デバイス | |
EP2264640B1 (en) | Feature specific keys for executable code | |
CN102884535A (zh) | 受保护装置管理 | |
US8750519B2 (en) | Data protection system, data protection method, and memory card | |
KR20140051350A (ko) | 디지털 서명 권한자 의존형 플랫폼 기밀 생성 기법 | |
TW202036347A (zh) | 資料儲存、驗證方法及裝置 | |
US10515022B2 (en) | Data center with data encryption and method for operating data center | |
CN103020537A (zh) | 数据加密方法和装置、数据解密方法和装置 | |
US8307181B2 (en) | Apparatus and method for password protection of secure hidden memory | |
TW201530344A (zh) | 應用程式存取保護方法及應用程式存取保護裝置 | |
CN110188555A (zh) | 一种磁盘数据保护方法、***及相关组件 | |
JP4724107B2 (ja) | リムーバブル・デバイスを用いたユーザの認証方法およびコンピュータ | |
US20100138916A1 (en) | Apparatus and Method for Secure Administrator Access to Networked Machines | |
KR101203804B1 (ko) | 보안 이동형 저장장치 및 그 제어 방법 | |
JP5537477B2 (ja) | 可搬記憶媒体 | |
US11283600B2 (en) | Symmetrically encrypt a master passphrase key | |
KR101886176B1 (ko) | 소유자만 기록 가능한 부트영역을 포함하는 저장장치 | |
Lee et al. | The study on the security solutions of USB memory | |
JP4799239B2 (ja) | 情報漏洩防止方法及びリムーバブルメディア | |
JP5928190B2 (ja) | 認証システム及び認証方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20130729 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20140314 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20140422 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20140425 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 5537477 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
LAPS | Cancellation because of no payment of annual fees |