JP2013516676A - データ保護装置 - Google Patents

Abstract

【課題】装置が紛失又は盗まれたとき、個人及び／又は企業の極秘データのようなデータは、漏洩する可能性があるか、又は権限のない者によりアクセスされる可能性があり、個人及び／又は企業にとって不要な損害に繋がる場合がある。
【解決手段】コンピュータを使用してイベントの条件がチェックされ、イベントの条件に従って、通常のデータ保護に関してコンピュータのデータコンテンツを更に保護される。イベントの条件は、あるポリシーに従って、コンピュータによりリモートコマンドを検出すること及び／又は状態を検出することを含む。
【選択図】図１

Description

本発明は、データプロテクションに関する。
本出願は、2009年12月31日に提出された“DATA PROTECTING DEVICE”と題される米国特許仮出願第12/651269号の優先権を主張するものである。

現在、例えば個人及び／又は企業の極秘データといったデータを記憶するため、計算装置（コンピュータ）、特にUSBメモリスティックのような小型の携帯又は移動型計算装置が広く使用されている。ユーザがこれらの種類の装置と共にあちこち移動するとき、ラップトップと比較して、これらの種類の装置は、紛失するか又は盗まれるのが容易である。装置を紛失したか又は盗まれたとき、個人及び／又は企業の極秘データのようなデータは、漏洩する可能性があるか、又は権限のない者によりアクセスされる可能性があり、これは、個人及び／又は個人が働いている企業にとって不必要な損害に繋がる場合がある。

本発明の実施の形態によれば、権限のないユーザからデータを保護する計算装置（以下、装置とも呼ばれる）で実装可能であるか、或いは実現又は実行可能な方法、装置及び／又はコンピュータ読み取り可能な媒体が記載される。実施の形態の態様によれば、計算装置上のデータは、（例えば、装置を紛失したか又は盗まれたと報告されるといった）所定の条件に合致した後に、破壊されるか（例えばデータ消去、メモリ破壊）及び／又はアクセス不可能にされる（例えば暗号化）。任意に、検証可能な状態の報告が記録のためにサーバに送出される。

例示的な実施の形態は、（紛失又は盗まれる、或いはサーバにより要求される、或いはそれらの組み合わせといった）所定の条件が合致している間、（USBメモリスティックのような）携帯計算装置がそのデータの内容を破壊するのを可能にする。実施の形態の別の態様によれば、大部分の場合において、装置は権限のあるユーザの手の届かないところにある場合があり、破壊の手順は、自動的に行われる必要がある。本発明の実施の形態の例となる利点は、所定の記載される方法は、データが破壊されるのを防止するといった、データの保護を防止することが攻撃する者にとって困難にする。従って、潜在的なデータの漏洩が実質的に回避される。他の記載される方法は、データ保護のジョブを自動的に行うため、非常に低い要件を有する。

上述された一般的な記載及び以下の詳細な記載の両者は例示的なものであって、特許請求の範囲に記載される本発明を制限するものではない。

本発明の実施の形態に係る計算装置の機能ブロック図である。 本発明の実施の形態に係る計算装置のブロック図である。 本発明の実施の形態に係る計算装置のブロック図である。 本発明の実施の形態に係る計算装置の機能ブロック図である。 本発明の実施の形態に係る、データアクセスの保護のシナリオに関する表である。 本発明の実施の形態に係る、コンピュータシステムにおけるデータアクセスの保護のシナリオに関するフローダイアグラムである。 本発明の実施の形態に係る、データアクセスの保護のシナリオ及び計算装置の機能に関する表である。 本発明の実施の形態に係るコンピュータシステムのデータフローダイアグラムである。 本発明の実施の形態に係るコンピュータシステムのデータフローダイアグラムである。 本発明の実施の形態に係るコンピュータシステムのデータフローダイアグラムである。 本発明の実施の形態に係るコンピュータシステムのデータフローダイアグラムである。 本発明の実施の形態のコンピュータの機能ブロック図である。

本発明の実施の形態によれば、権限のないユーザからデータを保護するために計算装置（以下、装置とも呼ばれる）において実装可能であるか、或いは実現又は実行される方法、装置及び／又はコンピュータ読み取り可能な媒体が記載される。実施の形態の態様によれば、データは、個人情報、あるポリシーに従う制約のあるデータ、又はそれらの組み合わせのような極秘データ（sensitive data）である。実施の形態の態様によれば、例えば１以上のイベントの条件の発生に依存又は従って、権限のないアクセスから保護されるか又は権限のあるアクセスに制限されるといった、データへのアクセスが制御される。実施の形態の態様によれば、計算装置上のデータは、データプロテクション又はデータアクセスのポリシーに適合するように（例えば装置を紛失したか又は盗まれたと報告されるといった）所定の条件に合致した後に、破壊されるか（例えばデータの消去、メモリの破壊）及び）アクセス不可能にされる（例えば暗号化）。データプロテクション又はデータアクセスのポリシーは、たとえば企業（ルール又は規制）、又は政府（例えば法律、ルール／規制）といったエンティティにより設定することができる。

実施の形態によれば、（トリガとなるイベントの発生といった）イベントの条件に従うデータアクセスのプロテクションをもつ計算装置として、USBメモリスティックのような携帯型のUSB（Universal Serial Bus）装置が記載されるが、本発明は、USBメモリスティックに限定されるものではなく、任意の計算装置が本発明の実施の形態を実施することができる。例えば、携帯電話又は他の携帯／移動／ハンドヘルド装置を計算装置とすることができる。（例えばUSBメモリスティックといった）装置の内部で、破壊コンポーネント（ハードウェア又はソフトウェア）が実装される。コンポーネントの機能は、装置上のコンテンツを破壊することである。

図１は、本発明の実施の形態に係る、計算装置の機能ブロック図である。図１では、例えばデータ破壊によりそのデータコンテンツが保護されることとなるターゲットとなるコンピュータ／装置１００が示される。例えば、破壊可能な装置としてUSB装置１００は、USBインタフェース及び／又は無線インタフェースのような１以上のデバイスインタフェースにより、パーソナルコンピュータ（PC）１０２のような別の計算装置に通信可能に接続され、ターゲット装置１００に関して遠隔又は外部にある装置とも呼ばれるサーバ１０４に通信可能に接続される。実施の形態の態様によれば、破壊可能な装置は、バーチャルマシン（VM）を実行するように構成される。

実施の形態によれば、データへのアクセスは、コンピュータを使用したイベントの条件のチェックによるコンピュータ上の通常のアクセス制御に加えて、イベントの条件に従うコンピュータ上の通常のデータ保護に関してデータコンテンツを更に保護することで制御される。例えば、図１では、装置１００は、参照符号１で、データへのアクセスを（高水準で）更に制御するポリシーに従って自己判断ロジックを実行し、及び／又は参照符号２で、バイパスロジック２としてUSBインタフェース及び／又は無線インタフェースのような１以上のデバイスインタフェースを介してデータアクセス制御（データ保護）コマンドを検出する。装置１００は、参照符号３で、参照符号１及び２での判断に従って１以上の更なるアクセス制御のアクションを取ることができ、例えば参照符号３（ａ）で、データを破壊し、及び／又は参照符号３（ｂ）で、可能性のある権限のないアクセスからデータを保護するために更なる制御アクションを取る。

さらに、装置１００は、参照符号４で、データが破壊されていることの報告のような、データプロテクションの状態を通知することでデバイスインタフェースを介して報告することができる。報告は、遠隔にある装置１０２及び／又は１０４、及び／又は装置１００のユーザに送出される。装置１００は、アプリケーションの基準／ポリシーに従ってデータコンテンツをバックアップするバックアップ機能５、及び／又はデータへの更なるアクセス制御から回復する回復機能６を含む。装置１００は、例えば更なるデータ保護を次々にトリガする装置１００のハードウェア及び／又はソフトウェアコンポーネントによる権限のない不正使用の検出に応じて、イベントの条件をトリガする不正使用防止機能７を含む。

図２Ａ及び図２Ｂは、本発明の実施の形態に係る計算装置のブロック図である。図２Ａでは、装置１００は、対称暗号化機能、消去機能又は物理的な破壊機能のような１以上の機能を含む。機能は、ハードウェア及び／ソフトウェアコンポーネントとすることができる。機能は、ソフトウェアで実現されるか及び／又はソフトウェアにより制御可能であり、フラッシュメモリ２０２のようなコンピュータ読み取り可能な記録媒体で記憶することができる。装置１００は、メインバッテリ２０４、及びセキュリティポリシーロジックを実行するコンピュータプロセッサ２０６又は類似の処理機能を含む。セキュティポリシーロジックは、データコンテンツの更なる保護が必要とされるかを判定するため、判断ロジック１及び／又はバイパスロジック２とすることができる。セキュリティポリシーロジックは、１以上の認証ロジック２０８、セキュリティロジックトランシーバ２１０及び／又はセキュリティポリシーストレージ２１２（例えばBIOS, ROM等）を更に含む。認証ロジック２０８は、装置１００の外部から装置１００の遠隔的な認証のためのロジックとすることができ、この認証の失敗は、更なるデータ保護のアクションをトリガするイベントの条件となる。セキュリティロジックトランシーバ２１０は、どの更なるデータ保護のアクションがトリガされるかに従うセキュリティポリシーに関連する情報を送信及び受信することができる。更に、セキュリティポリシーストレージ２１２は、不正使用防止であるフラッシュメモリ２０２以外の、例えばROM、BIOS等にセキュリティポリシーに関連する情報を記憶することもできる。しかし、セキュリティポリシーは、フラッシュメモリ２０２に記憶することができるか、例えばアプリケーションの基準又はセキュリティポリシーに従って許可されるごとにアクセス可能とすることができる。装置１００は、情報を表示するディスプレイを有する。

また、装置１００は、暗号化プロセッサ２２０、カウンタ２２２、キーストレージ２２４及び／又はランダム数発生器（RNG）２２６のうちの１以上を含むTPM（Trusted Platform Module）１５１４を含む。また、装置１００は、リアルタイムクロック（RTC）２２８及び／又は（場合によっては）RTC用のバッテリ２２９を含む。

図２Ｂは、バイパスロジック２が省略されるように、判断ロジック１のみが設けられる装置１００’のブロック図である。図２Ｂでは、他の省略されるコンポーネントとして、メインバッテリ２０４、TMP１５１４、認証ロジック２０８及びトランシーバ２１０を省略することができる。メインバッテリ２０４の代わりに、例えばRTC及び関連するタイマロジック（以下に記載される）のみに電力を供給する別の第二のバッテリ２２８を設けることができる。実施の形態の態様によれば、USB仕様に従う電力は、例えばターゲットとなるUSB装置１００が遠隔の装置１０２及び／又は１０４に接続されるとき、利用可能であるとして使用される。

コンピュータ上の通常のデータ保護に関してデータコンテンツの保護を更にトリガするイベントの条件のシナリオ又は例が記載される。

たとえば、バイパスロジック２として、無線モジュールが装置１００（例えばセルラーモジュール）に実装される。無線モジュールは、（例えば継続的に、又はランダムに、又は固定された時間間隔で、或いはそれらの組み合わせで）絶え間なくサーバ１０４に通信することができる。ひとたび装置１００が破壊コマンドを受信すると、装置１００の破壊コンポーネントをオンにする。

破壊によるデータ保護の場合、破壊可能な装置１００を含むコンピュータシステムにおける破壊コンポーネントの幾つかの例は、以下の通りである。
ハードウェア：例えば、コンテンツを記憶するターゲット装置１００における自己破壊可能なチップに信号を送出する、例えばPC１０２及び／又はサーバ１０４といったコンポーネント。
ハードウェア：例えば化学物質といった物質であり、ひとたび化学物質が解放されるとターゲット装置１００を破壊する物質を保持するコンポーネント。
ソフトウェア、ひとたび起動されると装置上の全てのコンテンツを削除するプログラムの一部。

実施の形態によれば、大部分の場合、装置１００は権限のある人物の手が届かないところに既にあるとき（紛失されたか又は盗まれたか、或いは遠隔的な通信ではない）、装置１００の破壊コンポーネントをオンにするメカニズムが提供される。

可能性のある問題は、装置１００が一定の通信をサポートするため多くのバッテリ電力を必要とすることである。装置１００は、高価なセルラーネットワークが使用される場合には無線通信時間を必要とし、攻撃する者がバッテリ２０４を除き又は無線ネットワークを利用不可能となる位置において装置１０から装置を隠す場合があるので信頼することができない。これらの状況では、装置１００は、破壊コマンドを正しく受信せず、破壊コンポーネントはオンされない。

１つの更なる改善は、装置１００において、RTC２２９から２値のメッセージにタイムスタンプをマップする機能を提供するものであり、予め定義されている。PC１０２及び／又はサーバ１０４のようなリモートコンピュータは、この機能を認識する。係る機能の１つの例は、SHA1ハッシュ機能である。常にオンである代わりに、無線モジュール２１０を介してチェックインするか又はチェックを待つセキュリティチェックポイントは、所定の時間周期（ランダム及び／又は予め決定された時間間隔）に１回作動される。任意に、２つの連続する作動時間の間の待ち時間は、攻撃する者が次の作動時間が何時であるかを想像できないように、ランダムとなる。実施の形態によれば、装置１００におけるセキュリティチェックポイントのランダムな作動は、遠隔の装置１０２及び／又は１０４と同期させることができる。作動時間の間、セキュリティポリシーロジック２０６は、遠隔にある装置からのメッセージを待つ。遠隔にある装置からのメッセージは、例えば対応する公開鍵が装置１００にとって既知である場合に、リモートサーバの秘密鍵により暗号化される。メッセージは、装置１００、現在の時間、現在の時間を使用した予め定義された関数の出力、及びデータ保護機能（例えばコマンド、フラグ状態、警告等）、例えばデータの破壊といった更なるデータ保護を作動するYes/Noフラグに関する固有のIDを含み、ひとたび装置１００がメッセージを受信すると、装置１００は、既知の公開鍵を使用してメッセージを復号し、固有のIDをチェックし（固有のIDが装置に関するものではない場合、メッセージを無視するか及び／又は他のデータ保護に関するアクションをとる）、そのうちの１以上がリモートデータアクセスの制御コマンドと同様に遠隔にある装置の認証としての役割を果たす予め定義された機能の２値の出力をチェックする。装置１００が作動することができない場合、又は、装置１００が制限時間内に遠隔にある装置からメッセージを受信することができない場合、又は、装置１００がメッセージを復号することができない場合、又は、装置１００がタイムスタンプから２値のメッセージを検証することができない場合、或いはこれらの組み合わせに基づいて、例えば１つのNGとしてカウントされる。例えば、データ保護の形式としてデータ破壊の場合、後続する１以上の条件下で、破壊のコンポーネントがオンにされ、１）サーバは、破壊のためにYESフラグを設定するか、２）装置は連続するn個のNGを有するか（ｎは予め定義される）。実施の形態の態様によれば、ひとたび破壊コンポーネントがオンにされ、そのジョブを実行すると、１以上の１）バッテリ２０４及び／又は２２８が使い尽くされるか、又は２）肯定応答メッセージが遠隔にある装置から受信されるまで、装置１００は、「破壊された」メッセージを遠隔にある装置に連続して送出する。

図３は、本発明の実施の形態に係る計算装置の機能ブロック図である。例えば、図３は、例示的な制御フローである。図３では、参照符号３０１で、活動する時間（time to wake）を管理するセキュリティタイマ３１０は、セキュリティポリシーロジック２０６により実行のために作動される。参照符号３０２で、RTC２２９に従って活動時間に到達する。参照符号３０３で、タイマ３１０は、（場合によっては）バッテリをオンにし、レジストリを更新する。参照符号３０４で、セキュリティポリシーロジック２０６は、例えばメインバッテリ２０４からの電力を受けることで作動される。ステップ３０５で、セキュリティポリシーロジック２０６は、レジストリの状態を検証し、例えばターゲットとなるデータの消去といったデータ保護を開始する。

レジストリの状態は、経過時間、リモートデータ保護の制御メッセージの受信、ユーザ認証の失敗、装置１００の認証の失敗、又はこれらの組み合わせを含む、１以上のイベントの条件に従うことができる。さらに、イベントの条件の発生は、あるポリシーに従って１以上の判定により設定可能であるか、或いは、動的及び／又はリアルタイムで設定可能であるか、或いはこれらの組み合わせにより設定可能である。

実施の形態によれば、たとえばUSB装置１００がコンピュータのプラグから抜かれたことの検出に応じて、装置１００が別の遠隔にあるコンピュータと通信できないとき、RTC２２９を使用したUSB装置１００におけるカウンタ３１０は、ある期間についてカウントダウンされるか、活動時間を待ち、その期間の満了又は活動時間の到来に応じて、USB装置１００において更なるデータ保護が作動される。

実施の形態によれば、装置１００及び／又は装置１００のターゲットとなるデータは、遠隔にあるコンピュータとのチェックインとは独立に、RTC２２９を使用して装置１００（例えばUSB装置１００）におけるカウンタ３１０を作動することによる寿命を有する。カウンタ３１０は、ある期間についてカウントダウンするか又は活動時間をまち、その期間の満了又は活動時間の到来に応じて、USB装置１００において更なるデータ保護が作動される。ユーザインタフェースによる更なる認証を提供すること及び／又は遠隔にあるコンピュータとの通信により寿命が延長される。

図４は、本発明の実施の形態に係る、データアクセス保護のシナリオに関する表である。図４では、表４００は、データアクセス保護のトリガ、トリガ及び可能性のある報告に対応するアクションに関する例を与える。トリガは、装置１００の動作の時間を含む。又は、装置が１００が遠隔にある装置１０２及び／又は１０４とセキュリティのチェック（security check-in）を実行することなしに動作することができる時間を超えているかに係らず、例えば、装置１００がサーバ１０４とチェックすることなしにサーバオフラインである時間に依存するイベントの条件である、サーバ１０４からオフライン（通信が不通である）間にターゲットとするデータにアクセスすることで機能する時間を超えているか。ターゲットの装置１００は、複数の遠隔にある装置とセキュリティのチェックを行うことができる。別のトリガは、権限のない遠隔にある装置への接続の回数、又はユーザ認証に失敗した装置１００の数（例えば連続する失敗）を含む。実施の形態は、コンピュータ１００及び／又は遠隔にあるコンピュータ１０２，１０４で仮想マシンを動作し、トリガとしての権限のあるコンピュータ１００及び／又は遠隔にある装置１０２及び／又は１０４の検証のためにコンピュータ（すなわち自己判断）及び／又は遠隔にあるコンピュータの仮想マシンを測定することを含む。別の装置１００のセキュリティ状態の自己判断は、マシンについて証明書における失敗（無効、期限切れ、存在しない等）が存在するかである（マシン、秘密鍵／公開鍵、文書等を検証することができる情報）。

測定は、任意の長さの入力データ系列の固定長のデジタル表現を示す。測定は、例えば、動作環境の全体及び／又は一部のデジタル表現（例えばOS、コンピュータ読み取り可能な媒体（メモリ、ハードディスク等）におけるデータ、設定可能な周辺機器／装置に関するデータ）、及び／又は、ターゲットとなるマシンのファイル（例えばソフトウェアアプリケーションのファイル、データファイル）、或いはVMの場合、VMハードディスク及び／又はメモリイメージを含む入力仮想マシン（VM）イメージ、及び／又はターゲットとなる計算装置のVMのファイル（例えばソフトウェアアプリケーションのファイル、データファイル）とすることができ、例えばターゲットとなるマシン及び／又はターゲットとなるマシンにおけるターゲットとなるVMにおける変化を検出するために別の測定と比較することで、ターゲットとなるマシン及び／又はターゲットとなるVMの「信頼状態」として、ターゲットとなるマシン及びターゲットとなるマシンのターゲットとなるVMを検証するために使用される。

別のトリガは、データ破壊コマンドのようなデータ保護を受ける装置１００である。別のトリガは、装置１００がそのセキュリティ状態を遠隔にある装置１０２及び／又は１０４に報告することができないとき、及び／又は装置１００の物理的な不正使用を検出したことである。

図４において、トリガされたイベントの条件に対応する例示的なデータ保護のアクションは、装置１００に装置１００のデータにアクセスするために使用される暗号化鍵を無効にさせ、これにより装置１００がデータにアクセスするのを防止することである。実施の形態によれば、暗号化鍵は、鍵を生成するパラメータの上書き、消去／削除又は変更により無効にされる。

図５は、本発明の実施の形態に係る、コンピュータシステムにおけるデータアクセスの保護のシナリオに関するフローダイアグラムである。図５は、更なるデータ保護についてトリガの例を含む表４００のシナリオのフローである。実施の形態の態様によれば、１以上の更なるデータ保護のトリガの任意の組み合わせ及び任意のシーケンス（又は順序）が提供される。例えば、参照符号５００で、データコンテンツ（例えば文書、データベース等）は、サーバ１０４からターゲットとなる装置１００にダウンロードされる場合がある。参照符号５０２で、ポリシーは、例えば３時間といった所定の期間についてサーバ１０４からのオフラインの作業が可能／許可されるように設定することができる。別のポリシーアイテムは、ターゲットとなる装置１００が、１以上の権限のある遠隔にある装置として携帯用パーソナルコンピュータ１０２といった１以上の他の遠隔の装置と対にされる必要があることである。従って、ポリシーは、１以上のセキュリティポリシーのアイテムの組み合わせとすることができる。参照符号５０４で、ユーザは、例えばペアにされた権限のある遠隔にある装置１０２といった、ダウンロードされたデータコンテンツのオフラインと作業（例えば編集、更新等）することができる。

参照符号５０６で、装置１００は、イベントの条件として更なるデータ保護のトリガをモニタする。例えば、装置１００は、オフラインの制限時間を超えたかをモニタし、この場合、設定された期間について、USBアクセス制御及び／又はデータ暗号化といった通常のセキュリティ対策により文書が保護され、設定された期間の経過に応じて、装置１００は、例えばデータをアクセス不可能にすることで、例えばデータコンテンツを破壊することで、更なるデータコンテンツの保護の対策を作動し、及び／又は、遠隔にある装置１０２及び／又は１０４及び／又はユーザとセキュリティチェックするのを要求することでオフラインアクセスを延長する。セキュリティのチェックは、データコンテンツがアクセス可能であるか、装置が、遠隔にある装置１０２及び／又は１０４と通信することができるか否か、ユーザを認証することができるか、又は新たなデータ暗号化を取得及び／又は適用されるか、或いはこれらの任意の組み合わせ、を検証することである。

さらに、参照符号５０６で、装置１００は、セキュリティのイベントの条件として権限のない遠隔にある装置１０２及び／又は１０４への接続が存在するかをモニタする。参照符号５０６で、ユーザ認証の失敗は、セキュリティのイベントの条件とすることができる。参照符号５０６で、装置１００は、遠隔にある装置から更なるデータ保護のコマンド（例えばデータ破壊コマンド）を受ける。参照符号５０６で、装置１００は、装置１００による（遠隔にある装置１０２及び／又は１０４を介して、遠隔にある装置１０２及び／１０４に又は遠隔にある装置１０２及び／１０４から）セキュリティ状態の報告／受信が可能であるか又は失敗したかをモニタすることができる。参照符号５０６で、装置１００は、例えばTPM１５１４の不正使用といった、装置１００の物理的な不正使用が存在するかをモニタすることができる。実施の形態の態様によれば、セキュリティに関連する失敗は、更なるデータの保護を作動するための条件が繰り返されるまで履歴に蓄積される。

参照符号５０６で、装置１００は、ポリシーンに従ってセキュリティのイベントの条件をモニタし、セキュリティのイベントの条件に従って、装置１００での通常のデータ保護に関連して、装置１００のデータを更に保護する。ステップ５０８で、装置１００は、サーバ１０４との同期のような通常の動作を実行し、例えば、オフライン作業の設定された期間を延長及び／又は保持されるか、オフラインで（例えば編集された）作業された文書をアップロードするか、或いはこれらの組み合わせを行う。

図６は、本発明の実施の形態に係る、データアクセスの保護のシナリオ及び計算装置の機能に関する表である。図６では、表６００は、トリガ、アクション及び報告を実現するために装置１００の例示的なコンポーネントを列挙する。

図７〜図１０は、本発明の実施の形態に係る、コンピュータシステムのデータフローダイアグラムである。

実施の形態によれば、装置１００は、遠隔にある装置１０２及び／又は１０４に、それぞれの時間窓ｔ_Wの開始でメッセージを送出する。また、例えばマシンの証明書における失敗により（マシンを検証することができる情報、秘密／公開鍵、文書等）及び／又はマシンに繋がれる仮想マシンの測定の検証により判定される権限のないマシンに装置１００は繋がれるため、例えば装置１００が時間により関連しない破壊の呼び出しをトリガするとき、装置１００は遠隔にある装置に非同期のメッセージを送出することもできる。

それぞれのONの時間窓の開始でメッセージを送出することで、装置１００がメッセージを受信する準備があるときを遠隔にある装置１０２及び／又は１０４が知っているとき、遠隔にある装置１０２及び／又は１０４と装置１００との間の厳密な同期は必要とされない。しかし、遠隔にある装置１０２及び／又は１０４が特定の時間経過で装置１００からメッセージを期待し、これらのメッセージがタイムリーに受信されない場合に対処する。

図７は、例えばUSB装置であるターゲットとなる装置と、USB装置１００にとって遠隔にある装置としてのサーバ１０４との間のデータフローダイアグラムである。図７では、通常の機能において、それぞれの時間窓ｔ_Wで、サーバ１０４は、暗号化されたメッセージKをUSB装置１００に送出する。暗号化されたメッセージプロトコルを使用することができる。さらに、USB装置は、鍵を含む暗号化を管理するTPM１５１４を含む。公開／秘密鍵を使用する場合、USB装置１００は、メッセージKを復号するためにサーバ１０４の公開鍵にアクセスする。さらに、同期のため、サーバからのそれぞれのメッセージは、ランダム数（ｎは任意の数）を含む。ランダム数は、シーケンスを維持するためのポリシーに従って変化され、USB装置１００及びサーバ１０４の両者により検証される。図７では、参照符号７００で、サーバ１０４は、時間窓ｔ_Wで、更なるデータ保護機能の情報及びRN1を含むメッセージKを送出する。参照符号７００で、データ保護機能は、更なるデータ保護が作動されないか又は無効であることを示すNoコマンドである。参照符号７０２で、USB装置１００は、サーバ１０４からメッセージK（No，RN1）を受信し、サーバ１０４の公開鍵を使用してメッセージを復号し、肯定応答メッセージK（OK，RN1+1）をサーバ１０４に送出する。USB装置１００のメッセージは、参照符号７０２で、USB装置１００のセキュリティの状態が正常であることを示すコマンド“OK”を含む。次いで、RN1+1は、サーバ１０４により期待されるランダム数RN1の後の次の数である。

図７において、サーバのメッセージ及びUSB装置のリターンメッセージは、ランダム数における１以上のシーケンスにおいて中段が存在しなくなるまで、或いは装置１０２及び／又は１０４の何れかによるメッセージの受信における中断が存在しなくなるまで、連続して交換される。実施の形態によれば、装置の一方又は両方は、時間窓における失敗の数のカウントを保持して失敗の履歴を蓄積することができ、セキュリティのイベントの条件は、失敗の数が条件に到達したときにトリガされる。利点は、１以上の時間窓においてメッセージK（例えば時間窓の外で受信／送信されたメッセージ、メッセージの送信又は受信の失敗等）を交換するための幾つかの失敗を、セキュリティのイベントの条件をトリガするために許容することができることである。さらに、ユーザ入力によるか又は遠隔にある装置のコマンドによるか、或いはこれらの組み合わせにより、例えば所定数の成功したメッセージKをやり取りした後に、失敗のカウントをリセットするメカニズムを設けることができる。

実施の形態の態様によれば、時間窓は、装置１００及び遠隔にある装置１０２及び／又は１０４がメッセージを送受信するのを期待する時間の窓（期間）である。時間窓は、それぞれの装置がセキュリティに関連するトランザクションを行うためのある期間について動作していることを示す。時間窓の期間は、あるポリシーに従って調節可能であり、時間窓が長くなると、装置間でのより重要性の低いメッセージの同期となり、より多くの電力の使用となる。時間窓が短くなると、装置間でのより重要なメッセージの同期となり、これはメッセージの受信の失敗に基づくトリガの感度を増加し、より低い電力の使用となる。

図８において、参照符号８００で、サーバ１０４は、“YES”に設定される更なるデータ保護コマンドをもつメッセージKをUSB装置１００に送出することで、例えばデータ破壊を作動するといった更なるデータ保護を作動する。参照符号８０２で、USB装置１００は、例えばUSB装置１００のターゲットとなるデータを破壊するといった更なるデータ保護を実行し、「破壊」の通知をもつメッセージKを送信する。参照符号８０４で、サーバ１０４は、USB装置１００に破壊された肯定応答（Destroyed Acknoledgement）の通知を送出する。

図９において、更なるデータ保護が作動されない（無効にされたこと）ことを示すメッセージKは、USB装置１００と同期される時間窓の間にサーバ１０４によりUSB装置１００に送出されるが、例えば参照符号９００で、USB装置１００により受信されない。従って、参照符号９０２で、USB装置１００は、メッセージKが時間窓の間にサーバ１０４から受信されないことを検出し、従ってUSB装置１００は、サーバ１０４に“Not Ok”をもつメッセージKを送信する。実施の形態によれば、USB装置１００は、サーバ１０４から時間窓の間に通常のセキュリティ状態のメッセージを受信していない履歴を保持し、履歴に基づいて条件に到達するまで更なるデータ保護を作動しない。例えば、装置１００は、それぞれの時間窓の３つの連続する時間の間にメッセージKをサーバ１０４から受信しない後、参照符号９０４で、装置１００は、参照符号９０６で装置１００が「破壊された肯定応答（DACK）」の通知をサーバ１０４から受信するまで、例えば装置１００のターゲットとなるデータの破壊をトリガし、「破壊」の通知をもつメッセージKをサーバ１０４に送出するといった、更なるデータ保護を自身で作動する。

図１０では、更なるデータ保護を示すメッセージKは作動されない（無効にされた）ことを示すメッセージKは、USB装置１００と同期される時間窓の間にUSB装置１００にサーバ１０４により送出されるが、USB装置１００がサーバのメッセージを受信している間、例えば参照符号１０００で、サーバ１０４への装置１００の肯定応答メッセージは、サーバ１０４により受信されない。サーバ１０４は、USB装置１００から時間窓の間に通常のセキュリティ状態のメッセージを受信していない履歴を保持し、履歴に基づいて状態に到達するまで更なるデータ保護を作動しない。例えばそれぞれの時間窓の３つの連続する時間の間に正常のセキュリティを示すメッセージKを装置１００から受信しない後に、参照符号１００２で、サーバ１０４は、例えば“Yes”に設定された更なるデータ保護コマンドをもつメッセージKを装置１００に送出することで装置１００のターゲットとなるデータの破壊をトリガするといった、更なるデータ保護を装置１００において作動する。サーバ１０４は、参照符号１００４でサーバ１０４が装置１００から「破壊された」通知を受信するまで、装置１００に更なるデータ保護コマンドを送出し続ける。参照符号１００６で、サーバ１０４は、「破壊された肯定応答（DACK）」の通知をもつメッセージKを装置１００に送出する。

セキュリティの要件が低い幾つかの場合、遠隔的な破壊の代替的なメカニズムが記載される。装置１００がPC１０２に繋がれるたび、PCのネットワークを通してサーバ１０４に問合せが送出される。サーバ１０４が破壊のためにYESをリターンしたとき、装置１００の破壊コンポーネントはオンにされ、破壊の手順が終了した後に報告がサーバ１０４に送出される。サーバ１０４がNOをリターンした場合、ユーザは装置１００を使用し始め、又は（幾つかの場合に）サーバ１０４が到達し得ない場合（例えばホストPCのネットワークの機能が無効にされる）、装置１００の動作が停止され、そのコンテンツを解放しない。

別の代替的な方法は、装置のクライアント１００と、PC１０２及び／又はサーバ１０４のような遠隔にある装置との間の通信を必要とせず、装置１００をユーザに伝える前に、自己破壊のための時間が設定され、装置１００に記憶される。装置１００の内部において、クロック２２９が存在する。事前の設定された自己破壊の時間に到達したとき、装置１００の破壊コンポーネントがオンにされる。任意に、自己破壊の時間は、装置１００がその破壊の前に更新された自己破壊の時間に関して遠隔にある装置１０２，１０４からメッセージを受信すたときに変更することができる。

装置１００と遠隔にある装置１０２，１０４との間の通信を必要としない他の方法が存在し、ユーザに伝える前に、あるポリシーが定義され、装置１００に記憶される。装置１００に関連してユーザが行った任意のセキュリティに関連する誤り（違反及び／又は試みられた違反）には、所定のポイントが割り当てられる。例えば、ユーザが２つの連続する場合に自身を検証することができないとき、１ポイントとし、ユーザが権限のないプラットフォームで装置１００を使用することを試みるとき、２ポイントとする等である。ポイントは、蓄積され、装置１００において記録される。全体のポイントが予め定義された閾値に到達したとき、装置１００の破壊コンポーネントはオンにされる。

アプリケーションに基づいて、これらの方法は、特定用途向けの遠隔地のルールに結合される。例となる利点は、データの漏洩を防止するだけでなく、コーポレートコンプライアンスのポリシーに従って厳密な説明責任を保証して、企業の秘密の内部又は顧客データのような秘密データを安全に伝送及び使用することである。例えば、USB装置の場合、２つの条件が合致するように設定される。１）USB装置を紛失したか又は盗まれた場合、データは暗号化されているだけでなく、自動的に削除される。２）秘密データは、指定されたUSB装置又はサーバを除いて複製されることから防止される。

図１１は、本発明の実施の形態のコンピュータの機能ブロック図であり、すなわちコンピュータ１５００は、破壊可能な装置１００の例である。さらに、コンピュータ１５００は、パーソナルコンピュータ１０２又はサーバ１０４の例とすることができる。図１５では、コンピュータは、計算装置とすることができる。典型的に、コンピュータは、ユーザインタフェース又は出力情報又は示唆を表示するディスプレイ又はダイオードのような出力装置１５０２を含む。コンピュータコントローラ１５０４（例えばハードウェア中央処理装置）は、動作を行うために装置を制御する命令（例えばコンピュータプログラム又はソフトウェア）を実行する。典型的に、メモリ１５０６は、コントローラ１５０４による実行のための命令を記憶する。TPM（Trusted Platform Module）１５１４を提供することができる。実施の形態の態様によれば、装置は、例えばコンピュータ読み取り可能な記録媒体１５１０及び／又は通信電装媒体のインタフェース１５１２から、コンピュータ読み取り可能な媒体のデータを読取り／書込み／処理する。ユーザ認証手段１５１６は、フィンガープリント／パームセンサ、又は、ユーザを認証するための他のソフトウェア／計算ハードウェアとすることができる。ディスプレイ１５０２、CPU１５０４（例えば命令、すなわちソフトウェアを処理するハードウェアロジック回路に基づくコンピュータプロセッサ）、メモリ１５０６、コンピュータ読み取り可能な記録媒体１５１０、通信伝送媒体インタフェース１５１２、TPM１５１４及びユーザ認証手段１５１６は、データバス１５０８により接続される。得られる結果は、計算ハードウェアのディスプレイに表示される。

従って、本発明の実施の形態の態様によれば、記載される特徴、機能、動作及び／又は利点の１以上の組み合わせを提供することができる。ある組み合わせは、１つのみを含むか又は２以上を含む場合がある。実施の形態は、データを記憶、検索、処理及び／又は出力し、及び／又は他のコンピュータと通信（ネットワーク）することができる（限定されるものではない例において）コンピュータのような計算ハードウェア（例えば計算装置）を含む装置（マシン）として実現することができる。さらに、装置は、互いにコンピュータネットワーク通信における１以上の装置を含むか、又は他の装置を含む。さらに、コンピュータプロセッサは、１以上の装置において１以上のコンピュータプロセッサを含むか、１以上のコンピュータプロセッサ及び／又は装置の組み合わせを含むことができる。実施の形態の態様は、１以上の装置及び／又はコンピュータプロセッサに記載された動作を実行させるものである。得られる結果は、ディスプレイで表示される。

実施の形態を実現するプログラム／ソフトウェアは、コンピュータ読み取り可能な記録媒体で記録される。コンピュータ読み取り可能な記録媒体の例は、磁気記録装置、光ディスク、光磁気ディスク、及び／又は、揮発性及び／又は不揮発性半導体メモリ（例えばRAM，ROM等）を含む。磁気記録装置の例は、ハードディスク装置（HDD）、フレキシブルディスク（FD）、及び磁気テープ（MT）を含む。光ディスクの例は、DVD（Digital
Versatile Disc）、DVD-ROM、DVD-RAM（DVD-Random Access Memory）、BD（Blue-Ray Disc）、CD-ROM（Compact Disc-Read Only Memory）及びCD-R（Recordable）／RWを含む。

実施の形態を実現するプログラム／ソフトウェアは、データ信号として含まれるか／エンコードされ、伝送通信媒体を通して伝送される。データ信号は、例えば搬送波に盛り込まれることで、有線ネットワーク又は無線ネットワークのような伝送通信媒体を移動する。また、データ信号は、いわゆるベースバンド信号により転送される場合もある。搬送波は、電気的、磁気的又は電磁気的な形態、或いは光、音響又は他の形態で伝送される。

本明細書で記載された全ての例及び条件付き言語は、当該技術分野を促進するために本発明者により寄与される本発明及び概念の理解において読者を支援することが意図され、係る特に示された例及び条件に限定されることがないものとして解釈されるべきであり、明細書における係る例の編成は、本発明の優劣を示すことに関連するものではない。本発明の実施の形態が詳細に記載されたが、本発明の精神及び範囲から逸脱することなしに、様々な変形、置換及び代替が行われることを理解されたい。

以下、特発明の特徴を附記として記載する。
＜附記１＞
コンピュータを使用して、イベントの条件をチェックするステップと、
前記イベントの条件に従って、前記コンピュータの通常のデータ保護に関して前記コンピュータのターゲットとなるデータを更に保護するステップと、
を含むことを特徴とする方法。
＜附記２＞
前記イベントの条件をチェックするステップは、前記コンピュータによりリモートコマンドを検出するステップ、及び／又は前記コンピュータの状態を検出するステップを含む、
附記１記載の方法。
＜附記３＞
前記リモートコマンドを検出するステップは、
前記コンピュータで、ランダムな時間間隔で、データ通信インタフェースを介して遠隔にあるコンピュータからセキュリティチェックを作動するステップと、
前記遠隔にあるコンピュータから前記イベントの条件を取得するステップと、
を含む附記２記載の方法。
＜附記４＞
前記遠隔にあるコンピュータから取得されたイベントの条件は、コンピュータの識別子（ID）、現在の時間を使用した関数の出力、及び前記コンピュータの前記ターゲットとなるデータを更に保護するデータ保護機能のうちの１以上を含み、
前記ターゲットとなるデータを更に保護することをトリガする前記コンピュータの検出された状態は、前記遠隔にあるコンピュータから前記イベントの条件を取得することの失敗、前記コンピュータのID及び／又は前記関数の出力の検証、或いはこれらの組み合わせのうちの１以上に従う、
附記１記載の方法。
＜附記５＞
前記遠隔にあるコンピュータから取得されたイベントの条件は、データ保護の機能及びランダム数を含む暗号化されたメッセージを含み、
前記セキュリティチェックを作動するステップは、ランダムな時間間間隔で、ある時間窓の間に暗号化されたメッセージ、及び前記遠隔にあるコンピュータと同期されるランダム数を受信するステップを含む、
附記３記載の方法。
＜附記６＞
前記ターゲットとなるデータを更に保護することをトリガする前記コンピュータの検出された状態は、前記遠隔にあるコンピュータからの前記イベントの条件を取得することの失敗、前記暗号化されたメッセージを検証することの失敗、又は順序通りにランダム数を受信することの失敗に従う、
附記５記載の方法。
＜附記７＞
前記ターゲットとなるデータを更に保護することをトリガする条件に到達するまで、１以上の時間窓の間に前記イベントの条件を取得することの失敗の履歴を蓄積するステップを更に含む、
附記６記載の方法。
＜附記８＞
前記時間窓の期間は、前記コンピュータと前記遠隔にあるコンピュータとの間の同期の程度を高めるポリシー又は低くするポリシーに従って設定可能である、
附記７記載の方法。
＜附記９＞
前記コンピュータの状態は、ユーザの認証に基づく失敗、前記コンピュータの検証、前記遠隔にあるコンピュータの検証、前記コンピュータの物理的な不正使用、又はこれらの組み合わせの１以上を含む、
附記２記載の方法。
＜附記１０＞
前記コンピュータ及び／又は前記遠隔にあるコンピュータで、仮想マシンを動作させるステップ、及び検証のために前記コンピュータ及び／又は前記遠隔にあるコンピュータの仮想マシンを測定するステップを更に含む、
附記９記載の方法。
＜附記１１＞
前記ターゲットとなるデータの保護は、前記ターゲットとなるデータを消去することで前記ターゲットとなるデータの内容を破壊すること、前記ターゲットとなるデータに対する暗号化鍵を無効にすること、及び／又は物理的な破壊を含む、
附記１記載の方法。
＜附記１２＞
前記イベントの条件をチェックするステップは、
前記コンピュータで、ランダムな時間間隔で、データ通信インタフェースを介して前記遠隔にあるコンピュータからセキュリティチェックを作動し、前記遠隔にあるコンピュータから前記イベントの条件を取得することにより、前記コンピュータによりリモートコマンドを検出するステップと、
あるポリシーに従って、ユーザの認証の失敗、前記コンピュータの検証、前記遠隔にあるコンピュータの検証、前記コンピュータの物理的な不正使用、又はこれらの組み合わせに基づいて、前記コンピュータの状態を検出するステップと、
を含む附記１記載の方法。
＜附記１３＞
前記イベントの条件は、ある期間であり、
前記ある期間の満了に応じて、前記ターゲットとなるデータを更に保護することは、前記コンピュータの前記ターゲットとなるデータをアクセス不可能にすることを含む、
附記１記載の方法。
＜附記１４＞
前記イベントの条件は、前記コンピュータと別のコンピュータとの間の通信を不通にすることを含み、
前記ターゲットとなるデータを更に保護することは、前記通信の不通からの所定の時間後に前記コンピュータの前記ターゲットとなるデータをアクセス不可能にすることを含む、
附記１記載の方法。
＜附記１５＞
遠隔にあるコンピュータに接続可能な計算装置であって、
イベントの条件をチェックし、前記イベントの条件に従って、通常のデータ保護に関して携帯装置のターゲットとなるデータを更に保護するコンピュータプロセッサを備える、
ことを特徴とする計算装置。
＜附記１６＞
前記イベントの条件をチェックすることは、
ランダムな時間間隔で、データ通信インタフェースを介して前記遠隔にあるコンピュータからセキュリティチェックを作動し、
前記遠隔にあるコンピュータから前記イベントの条件を取得し、及び／又は、あるポリシーに従い、ユーザ認証の失敗、前記携帯装置の検証、前記遠隔にあるコンピュータの検証、前記携帯装置の物理的な不正使用、又はこれらの組み合わせに基づいて、前記携帯装置の状態を検出することで、リモートコマンドを検出することを含む、
附記１５記載の装置。
＜附記１７＞
前記イベントの条件は、ある期間であり、
前記ターゲットとなるデータを更に保護することは、前記ある期間の満了に応じて、前記携帯装置のターゲットとなるデータをアクセス不可能にすることを含む、
附記１５記載の装置。
＜附記１８＞
前記イベントの条件は、前記遠隔にあるコンピュータとの通信を不通にすることを含み、
前記ターゲットとなるデータを更に保護することは、前記遠隔にあるコンピュータとの前の通信からある期間後に、前記コンピュータの前記ターゲットとなるデータをアクセス不可能にすることを含む、
附記１５記載の装置。
＜附記１９＞
前記セキュリティチェックを作動することは、ランダムな時間間隔で、ある時間窓の間にメッセージを受信し、前記遠隔にあるコンピュータと同期されるランダム数を受信することを含み、
前記ターゲットとなるデータを更に保護することをトリガする前記コンピュータの検出された状態は、前記遠隔にあるコンピュータからの前記イベントの条件を取得することの失敗、前記メッセージを検証することの失敗、又は順序通りランダム数を受信することの失敗に従う、
附記１５記載の装置
＜附記２０＞
サーバコンピュータと、
前記サーバコンピュータに接続される携帯装置であって、前記サーバコンピュータから及び／又は前記携帯装置の状態からイベントの条件をチェックし、前記イベントの条件に従って、通常のデータ保護に関して前記携帯装置のターゲットとなるデータを更に保護するコンピュータプロセッサを含む携帯装置と、
を備えるコンピュータシステム。

１００：コンピュータ／装置
１０２：PC
１０４：サーバ
１５００：コンピュータ
１５０２：ディスプレイ／出力
１５０４：CPU
１５０６：メモリ
１５０８：データバス
１５１０：コンピュータ読み取り可能な記録媒体
１５１２：通信伝送媒体
１５１４：TPM
１５１６：ユーザ認証手段

Claims (10)

1. コンピュータを使用して、イベントの条件をチェックするステップと、
   前記イベントの条件に従って、前記コンピュータの通常のデータ保護に関して前記コンピュータのターゲットとなるデータを更に保護するステップと、
   を含むことを特徴とする方法。
2. 前記イベントの条件をチェックするステップは、前記コンピュータによりリモートコマンドを検出するステップ、及び／又は前記コンピュータの状態を検出するステップを含む、
   請求項１記載の方法。
3. 前記リモートコマンドを検出するステップは、
   前記コンピュータで、ランダムな時間間隔で、データ通信インタフェースを介して遠隔にあるコンピュータからセキュリティチェックを作動するステップと、
   前記遠隔にあるコンピュータから前記イベントの条件を取得するステップと、
   を含む請求項２記載の方法。
4. 前記遠隔にあるコンピュータから取得されたイベントの条件は、コンピュータの識別子（ID）、現在の時間を使用した関数の出力、及び前記コンピュータの前記ターゲットとなるデータを更に保護するデータ保護機能のうちの１以上を含み、
   前記ターゲットとなるデータを更に保護することをトリガする前記コンピュータの検出された状態は、前記遠隔にあるコンピュータから前記イベントの条件を取得することの失敗、前記コンピュータのID及び／又は前記関数の出力の検証、或いはこれらの組み合わせのうちの１以上に従う、
   請求項１記載の方法。
5. 前記遠隔にあるコンピュータから取得されたイベントの条件は、データ保護の機能及びランダム数を含む暗号化されたメッセージを含み、
   前記セキュリティチェックを作動するステップは、ランダムな時間間間隔で、ある時間窓の間に暗号化されたメッセージ、及び前記遠隔にあるコンピュータと同期されるランダム数を受信するステップを含む、
   請求項３記載の方法。
6. 前記ターゲットとなるデータを更に保護することをトリガする前記コンピュータの検出された状態は、前記遠隔にあるコンピュータからの前記イベントの条件を取得することの失敗、前記暗号化されたメッセージを検証することの失敗、又は順序通りにランダム数を受信することの失敗に従う、
   請求項５記載の方法。
7. 前記イベントの条件をチェックするステップは、
   前記コンピュータで、ランダムな時間間隔で、データ通信インタフェースを介して前記遠隔にあるコンピュータからセキュリティチェックを作動し、前記遠隔にあるコンピュータから前記イベントの条件を取得することにより、前記コンピュータによりリモートコマンドを検出するステップと、
   あるポリシーに従って、ユーザの認証の失敗、前記コンピュータの検証、前記遠隔にあるコンピュータの検証、前記コンピュータの物理的な不正使用、又はこれらの組み合わせに基づいて、前記コンピュータの状態を検出するステップと、
   を含む請求項１記載の方法。
8. 前記イベントの条件は、前記コンピュータと別のコンピュータとの間の通信を不通にすることを含み、
   前記ターゲットとなるデータを更に保護することは、前記通信の不通からの所定の時間後に前記コンピュータの前記ターゲットとなるデータをアクセス不可能にすることを含む、
   請求項１記載の方法。
9. 遠隔にあるコンピュータに接続可能な計算装置であって、
   イベントの条件をチェックし、前記イベントの条件に従って、通常のデータ保護に関して携帯装置のターゲットとなるデータを更に保護するコンピュータプロセッサを備える、
   ことを特徴とする計算装置。
10. サーバコンピュータと、
    前記サーバコンピュータに接続される携帯装置であって、前記サーバコンピュータから及び／又は前記携帯装置の状態からイベントの条件をチェックし、前記イベントの条件に従って、通常のデータ保護に関して前記携帯装置のターゲットとなるデータを更に保護するコンピュータプロセッサを含む携帯装置と、
    を備えるコンピュータシステム。
    

Images