JP5049216B2 - データ管理方法及びシステム、並びにデータ記憶システム - Google Patents

Description

本発明は、暗号化されたファイルを管理するデータ管理技術に関する。

電子データは、秘匿性を要したり、著作権保護の観点で複写や再生に制限を設ける必要から、暗号化を施して記録・管理する場合がある。特に脱着式の記憶装置を使用する場合は、暗号鍵を特定のホスト装置等に関連付けて管理すると、その記憶装置を持ち出し先では利用できなくなるという問題に直面する。しかし記憶装置そのものに暗号鍵を保存するにしても、その情報を容易に他の記憶装置へコピーできるようではデータ保護の役目を為さない。このような問題を解決するために、暗号鍵やそれに付帯する情報をアクセス制限のある特殊なエリアへ保存するように考えられたシステムあるいは記憶装置が多数提案されている。たとえば特許文献１にはそのような記憶装置とホスト装置の記述がある。

記憶装置内の電子データを暗号化する際、記憶装置全体を一つの暗号鍵で暗号化する場合，一つ一つのファイルやフォルダ単位に鍵を割り当てて暗号化する場合などが考えられるが、中には同一のファイルでありながら適当な個所で幾つかに分割し、それぞれを異なる暗号鍵あるいは暗号鍵の取り扱い条件を変えてファイルを管理する場合もある。非特許文献１には、デジタル放送のコンテンツをある再生時間単位よりも短い長さで区切り、それぞれの区切り領域を異なる暗号鍵で暗号化する方法の記述がある。この際に問題となるのは、暗号鍵を変える区切り部分を明確に記録し、またその区切り部分に対応する暗号鍵を誤りなく対応付けることである。そのための技術の一つとして、名前付きストリームという概念を有するファイルシステムが実用化されている。その一例として非特許文献２に名前付きストリームを定義したファイルシステム規格の記述がある。

特開２００７−９６８１７号公報 SAFIA（Security Architecture for Intelligent Attachment）Recording and Playback Device for iVDR-TV Recording Specification Version １２０ http://www.safia-lb.com/doc/spec/SAFIA_RPD_TV_V１２０_20080221.pdf 2008 OSTA（Optical Storage Technology Association） Universal Disk Format Specification Revision 2.00 http://www.osta.org/specs/pdf/udf200.pdf １９９８

暗号化データと暗号鍵とを分離して、時には異なる記憶装置や異なる装置に保存する必要がある。同じ記憶装置内で暗号化データと暗号鍵の関連付けを行うには名前付きストリームに関連情報を記述するのが便利であり、特に同一ファイルとしての暗号化データの途中で暗号鍵が変わるよう場合は、このような暗号化データに密接に結び付けられて扱われる管理データを用いなければ相互の関連付けを記録するために複雑なデータ管理が生じてしまう。しかし、異なる記憶装置内に暗号鍵を保存する場合、名前付きストリームの中で他の記憶装置の格納場所を誤りなく指し示すのは困難である。解決しようとする問題点は、このように別々に保存されていた暗号化データと暗号鍵をその相互関連付けを誤りなく復帰したり、相互関連付けを将来確実に復帰できるように管理しながら暗号化データと暗号鍵とを別々の記憶装置に分離することである。

本発明の態様の一つは、データ管理方法であり、暗号化されたデータブロック、この暗号化されたデータブロックを復号するための鍵データ及びデータブロックの利用条件を含む所定の情報、並びに所定の情報の格納アドレスを含むデータブロックの管理情報を格納した記憶装置と、この記憶装置と異なる他の記憶装置とを接続したホスト装置によるデータ管理方法であって、ホスト装置は、所定の情報を記憶装置から他の記憶装置へ転送し、転送した所定の情報の、他の記憶装置における他の格納アドレスを含む他の管理情報を、他の記憶装置に格納し、記憶装置に格納されている管理情報に含まれる、所定の情報の記憶装置における格納アドレスを消去する。

本発明のデータ管理方法の望ましい他の態様は、暗号化されたデータブロックは、保護対象のデータが複数の区画に分割され、分割されたデータを鍵データで暗号化したものであり、ホスト装置は、管理情報と前記他の管理情報との対応を識別する識別子を他の管理情報に含んで他の記憶装置に格納し、記憶装置に格納されている管理情報に含まれる、所定の情報の記憶装置における格納アドレスに識別子を上書きすることにより、所定の情報の記憶装置における格納アドレスを消去する。

本発明の他の態様は、データ管理方法であり、暗号化されたデータブロック及び暗号化されたデータブロックの管理情報を格納した記憶装置と、暗号化されたデータブロックを復号するための鍵データ及びデータブロックの利用条件を含む所定の情報、並びに所定の情報の第１の格納アドレスを暗号化されたデータブロックに対応付けた他の管理情報を格納した、他の記憶装置とを接続したホスト装置によるデータ管理方法であって、ホスト装置は、他の記憶装置から前記記憶装置への所定の情報の第１の転送、および第１の転送により転送された所定の情報の記憶装置における第２格納アドレスの管理情報への格納の第１の処理と、暗号化されたデータブロック及び管理情報の記憶装置から他の記憶装置への第２の転送、および所定の情報の前記第１の格納アドレスの、第２の転送により転送された管理情報への格納の第２の処理とのいずれか一方の処理を実行し、実行した処理における第１及び第２のいずれか一方の転送の転送元である、記憶装置に格納された暗号化されたデータブロック及び管理情報と他の記憶装置に格納された所定の情報及び他の管理情報とのいずれか一方を消去する。

本発明のさらに他の態様は、データ管理システムであり、暗号化されたデータブロック、暗号化されたデータブロックを復号するための鍵データ及びデータブロックの利用条件を含む所定の情報、並びに所定の情報の格納アドレスを含む暗号化されたデータブロックの管理情報を格納した記憶装置と、前記記憶装置と異なる他の記憶装置と、記憶装置および他の記憶装置に接続し、所定の情報を記憶装置から他の記憶装置へ転送する転送手段、転送手段により転送した所定の情報の、他の記憶装置における他の格納アドレスを含む他の管理情報を、他の記憶装置に格納する格納手段、及び記憶装置に格納されている管理情報に含まれる、所定の情報の記憶装置における格納アドレスを消去する消去手段を有するホスト装置とを設ける。

本発明のさらに他の態様は、データ記憶システムであり、暗号化されたデータブロックを格納する領域、及び暗号化されたデータブロックの管理情報を格納する領域を有する記憶装置と、暗号化されたデータブロックを復号するための鍵データ及びデータブロックの利用条件を含む所定の情報を格納する領域、並びに所定の情報を格納する領域のアドレス情報を含む、管理情報と対応付けした他の管理情報を格納する領域を有する他の記憶装置とを設ける。

本発明によれば、暗号化データと暗号鍵とを異なる記憶装置に分離して管理することができる。

保護対象の暗号化データと、対応する暗号鍵情報とを別々の記憶装置に分離して管理する実施形態を説明する。

図１は、実施例1の情報処理システムの構成図である。情報処理システムにおけるホスト装置１０１は、コンピュータなどの情報処理端末、或いはデジタルテレビのような情報家電など、情報処理機能を持つ装置である。１１３，１２１は脱着可能な同種の記憶装置である。ホスト装置１０１は、記憶装置１１３，１２１とそれぞれインタフェース１１５，１２２を介して接続する。ホスト装置１０１は、主要制御をおこなう中央処理装置（CPU）１０２、中央処理装置１０２の処理に必要なデータや実行プログラムを一時的に格納する主記憶装置１０３を有する。ホスト装置１０１は、中央処理装置１０１の起動プログラムなど書換えを要しない実行プログラムやデータを格納する不揮発性メモリ１０４、セキュリティマネージャ１０５を有する。ホストセキュリティマネージャ１０５は、耐タンパ構造をした記録モジュール１０６とコンテンツ暗復号部１０９を持ち、さらに記録モジュール１０６はLicense転送ユニット１０７とLicense管理部１０８を持っている。ホスト装置１０１は、対記憶装置インタフェース部１１１，１１２を持ち、これらは，記憶装置１１３，１２１とのインタフェース１１５，１２２を制御する。これら中央処理装置１０２、主記憶装置１０３、不揮発性メモリ１０４、ホストセキュリティマネージャ１０５、及びインタフェース部１１１，１１２は、それぞれバス１１０で相互接続されている。

記憶装置１１３は、ホスト装置１０１とのインタフェース１１５を制御するインタフェース部１１４と、耐タンパ構造をした記録モジュール１１６、開放記憶部１２０を持っている。さらに記録モジュール１１６はLicense転送ユニット１１７と制限記憶コントローラ１１８、制限記憶部１１９を持っている。開放記憶部１２０は、データの書き込み読出しに特に制限のない記憶部であり、ホスト装置１０１からインタフェース１１５を介して格納場所を指定することにより、データの書き込みや読み出しが自由に行える部分である。それに対し制限記憶部１１９は、Licenseと呼ばれる所定の管理情報を格納するための領域であり、License転送ユニット１１７が他の装置のLicense転送ユニット，たとえばホスト装置１０１内のLicense転送ユニット１０７と予め決められた認証，転送手順を踏んだ上でLicenseを暗号化して、暗号化したLicenseを格納する。したがって制限記憶部１１９は、開放記憶部１２０のようにデータの自由な書き込み、読み出しは行えない。制限記憶コントローラ１１８は、制限記憶部１１９に対するLicenseの書き込み、読み出しや、License転送ユニット１１７の動作を管理する制御装置である。

記憶装置１２１の構成及び動作も、記憶装置１１３と同様であるので、説明を省略する。

対応するホスト装置１０１内の記録モジュール１０６は、License転送ユニット１０７でLicenseの転送に係る取扱い制限や、転送履歴の書換えなどLicenseをデータとして管理するためのLicense管理部１０８を持っている。なお、ホストセキュリティマネージャ１０５は記憶を目的とした部分では無いため、制限記憶部１１９のような記憶領域は必要としない。

ホスト装置１０１において、暗号化で保護して記憶装置１１３に保存する必要のあるデータがある場合，保護対象のデータは一旦コンテンツ暗復号部１０９にて暗号化し、その暗号化データを開放記憶部１２０に記録する。この暗号化の際に使用する暗号鍵および初期ベクトルなどの情報はLicense管理部１０８にて新規に作られるLicense情報の中に埋め込まれる。License情報には、この他にLicense自体を特定するLicenseID，License自体の複写禁止や回数制限などの利用条件が記述される。Licenseは、ホスト装置１０１と記憶装置１１３それぞれのLicense転送ユニット１０７，１１７間で盗聴や偽造，改竄を防止した安全な通信によって制限記憶部１１９に記録される。

保護対象のデータの暗号化において、データを複数の部分に分けて、その各部分をそれぞれ異なる暗号鍵，異なる利用条件で管理する場合がある。後の説明を分かり易くするために、保護対象のデータと対応する暗号鍵情報とを一つの記憶装置に保持する場合のデータ管理方法を図７，図８を用いて説明する。

図８において、保護対象のデータをDATAストリーム２０１と呼ぶ。DATAストリーム２０１を複数の部分に分けた各データブロックBlock#1(２０６)，Block#2(２０７)，．．．，およびBlock#x(２０８)は、それぞれ暗号鍵であるコンテンツ鍵#1(２３７)，コンテンツ鍵#2(２３９)，．．．，およびコンテンツ鍵#x(241)で暗号化されている。これらの暗号鍵は、それぞれの利用条件とともにLicense#1(236)，License#2(238)，．．．，License#x(240)の中に記述されており，これらのLicenseは記憶装置１１３内の制限記憶部１１９に記録されている。

DATAストリーム２０１の各データブロックBlock#1(２０６)，Block#2(２０７)，．．．とLicense#1(236)，License#2(238)，．．．との各々の対応関係を管理するための管理情報として、Block_Informationストリーム(以下Block_Info)２０２とLicense_Informationストリーム(以下Lic_Info)８０３とを設けている。Block_Info２０２は、DATAストリーム２０１のブロック分けと、対応するLicenseとの関連を記述したデータである。Block_Info２０２はエントリ毎に分割された定型データの集合であり、エントリ#1(２０９)の区画にはDATAストリーム２０１のBlock#1(２０６)部分の先頭位置、終端位置、そして対応するLicenseを特定する識別子であるLicense ID(２１０)が記述されている。同様にDATAストリーム２０１の他のブロックに対しても、Block_Info２０２のエントリ#2(２１１)〜エントリ#x(２１３)を参照することによってDATAストリーム２０１のブロック分割位置（先頭位置、終端位置）、各ブロックに対応するLicenseの識別ができる。Block_Info２０２は、License情報そのものの識別子であるLicenseIDによってLicenseを特定しているため、それぞれのLicenseが制限記憶部１１９の何処に記録されているかという情報を持っていない。それぞれのLicenseの制限記憶部１１９内における格納アドレス（格納場所）と、このLicenseIDとの対応を記述しているのがLic_Info８０３である。Lic_Info８０３は定型単位のLicロケーション情報毎に分割されており、さらに其々のLicロケーション情報（Licロケーション#1(８１５)，．．．）はLicenseIDを記述するためのLicenseIDフィールド（８１６，．．．）と，制限記憶部１１９内でLicenseが記録されているアドレスを記述するためのアドレスフィールド（アドレス#1(８１７)，．．．）とを持っている。したがって、DATAストリーム２０１のBlock#2(２０７)に対応するLicenseは、Block_Info２０２のエントリ#2(211)より対応LicenseID２１２を得、Lic_Info８０３のLicロケーション情報#2(８１８)からその制限記憶部１１９内の格納場所であるアドレス#2(８２０)を得ることができきる。

図７は、記憶装置１１３内の情報記録配置を説明した図である。開放記憶部１２０において、ルートディレクトリRoot３０１に対し前記保護対象の情報を格納するサブディレクトリをDATA３０２とすると、それぞれのDATAストリームは、DATA0123.dat(３０３)，DATA4567.dat(３０６)等のファイル名で表わされるメインストリームとして記録する。それぞれのファイル名に対して、メインストリームの他に名前付きストリームを作成し、その一つとしてBlock_Info或いはLic_Infoを記録する。すなわち図８のDATAストリーム２０１をDATA0123.dat(３０３)というファイル名で記録する場合、このファイルに付随するBlock_Information３０４という名前付きストリームが、このデータストリーム２０１に対応するBlock_Info２０２である。同様にLic_Information７０１という名前付きストリームが、このデータストリーム２０１に対応するLic_Info８０３である。

次に保護対象のデータと対応する暗号鍵情報とを別の記憶装置に分離して保持する場合の静的な管理方法を、図２に示す複数の記憶装置に記録した情報の相互関係を用いて説明する。図２は、記憶装置１１３の開放記憶部１２０と制限記憶部１１９、記憶装置１２１の開放記憶部１３０と制限記憶部１２９の記録内容を示した図である。保護対象のデータであるDATAストリーム２０１が記憶装置１１３側に記録され、対応する暗号鍵情報が記憶装置１２１に記録されている。開放記憶部１２０に記録されている情報に関し、ＤＡＴＡストリーム２０１とBlock_Info２０２については図８と同じである。図８のLic_Info８０３に対応する情報として、図２にはLicense_Information_Tagストリーム(以下Lic_Info_Tag)２０３が記述されている。Lic_Info_Tag２０３は、Lic_Info８０３と同じ形式の情報であるが、Lic_Info８０３ではアドレスを記述していたアドレスフィールド８１７，８２０，８２３に相当する枠に，新たに導入したTAG番号（識別子）を記録する（２１７，２２０，２２３）。制限記憶部１１９にはDATAストリーム２０１に関するLicenseを保持しない。記憶装置１２１は制限記憶部１２９にDATAストリーム２０１のLicense２３６，２３８，２４０が記録されている。開放記憶部１３０にはLic_Info８０３の代わりに管理情報としてLicense_Information_Ptrストリーム（以下、Lic_Info_Ptr）２０５を記録する。Lic_Info_Ptr２０５は、必ずしもLic_Info８０３と同形式でなくても良い。Lic_Info_Ptr２０５も各Block２０６，２０７，２０８に対応したLicロケーション情報#1（２２４），Licロケーション情報#2（２２８），．．．，Licロケーション情報#x（２３２）に分かれており、そのそれぞれがLicenseID，TAG番号，Licenseの格納先アドレスを記録するためのフィールドを持つ。TAG番号のフィールドには、開放記憶部１２０内Lic_Info_Tag２０３の対応個所に記述されたTAG番号と同じ値が入る。即ち破線矢印で指し示したようにフィールド２１７と２２６には同じTAG#1が，フィールド２２０と２３０には同じTAG#2が，．．．，フィールド２２３と２３４には同じTAG#ｘが記述される。アドレスフィールドはLic_Info803と同様に、実際に対応するLicenseが記録されている制限記憶部１２９内のアドレスが記録されている。開放記憶部１３０内のDATAストリーム２０４は、ファイルが定義されているものの情報としての実体のないNullストリームである。

図３は、記憶装置１１３および記憶装置１２１内の情報記録配置を説明した図である。開放記憶部１２０において、ルートディレクトリRoot３０１に対し前記保護対象の情報を格納するサブディレクトリをDATA３０２とすると、それぞれのDATAストリームはDATA0123.dat(３０３)或いはDATA4567.dat(３０６)等のファイル名で表わされるメインストリームとして記録する。それぞれのファイル名に対して、メインストリームの他に名前付きストリームを作成し、その一つとしてBlock_Info或いはLic_Infoを記録する。但し対応するLicenseを他の記憶装置１１３内に記録している場合はLic_Infoの代わりにLic_Info_Tag３０５を持つ。

すなわち図２のDATAストリーム２０１をDATA0123.dat(３０３)というファイル名で記録する場合、このファイルに付随するBlock_Information３０４という名前付きストリームが、このデータストリーム２０１に対応するBlock_Info２０２である。同様にLic_Information_Tag３０５という名前付きストリームが、このデータストリーム２０１に対応するLic_Info_Tag２１５である。また、開放記憶部１３０内の空のDATAストリーム２０４は図３においてDATA0123.dum３１１のように、元の実体データが入ったDATAストリーム３０３と対応付けた名前で記録されている。このファイルに付随するLic_Information_Ptr３１２という名前付きストリームは、図２のLic_Info_Ptr２０５相当する。

次に保護対象のデータと対応する暗号鍵情報とが同一の記憶装置に記録されている状態から、保護対象データを元の記憶装置に残したままLicenseを別の記憶装置に移して分離保存する場合の処理を、図４に示すフローチャートを用いて説明する。この処理は、図７および図８で表わされる状態から図２および図３で表わされる状態へと変える処理に他ならない。本処理を開始４０１すると、License転送先となる記憶装置１２１の開放記憶部１３０に、空のデータファイル２０４を作成する（４０２）。空データファイル２０４には名前付きストリームLic_Info_Ptr２０５を随時データ追加可能なモードで作成しておく。次に変数iに初期値１を代入し（４０３）、記憶装置１１３から記憶装置１２１へ関連Licenseを移動する（４０５）。記憶装置を跨るLicenseの移動や複写、読出し、書込みは、License転送ユニット１０７，１１７等により実行される。１つのLicense転送を行う度にLic_Info_Ptr２０５にLicロケーション情報の一枠を追加し、転送したLicenseの制限記憶部１２９内の格納アドレスを、その追加Licロケーション情報のアドレスフィールドに記録する（４０６）。Lic_Info８０３のLicロケーション情報#i からLicenseIDを読込むとともに、i を元にユニークなTAG#i を作成してアドレスフィールドに書き込む（４０７）。この際、アドレスフィールドに元々記録されていたアドレス（たとえば、アドレス#1（817））は、Licenseの移動により意味を無くしているため、TAG#i（たとえば、TAG#1（217））で上書きされて構わない。Lic_Info_Ptr２０５のLicロケーション情報#i について、Tagフィールドには同一のTAG#iを書込むとともに、読込んだLicenseIDをLicenseIDフィールドへ書込む（４０８）。ｉの値を１加算して、一連のLicenseを転送し終わるまで処理４０４〜４０９を繰り返す。License#x２４０転送に付随した処理を終えたのち、開放記憶部１２０のLic_Info８０３の名前をLic_Info_Tag２０３と変えて（４１０）処理を終了する（４１１）。

保護対象のデータと対応する暗号鍵情報とを別の記憶装置に分離して保持した状態から、保護対象データの入った記憶装置にLicenseを移して同一の記憶装置に纏める場合の処理について、図５に示すフローチャートを用いて説明する。この処理は、図２および図３で表わされる状態から図７および図８で表わされる状態へと変える処理に他ならない。本処理を開始５０１して、変数iに初期値１を代入し（５０２）、Lic_Info_Ptr２０５のLicロケーション情報#i からLicenseの格納アドレスとTAG#iとを読込む（５０４）。読み込んだLicense格納アドレスを元に記憶装置１２１から記憶装置１１３へ関連Licenseを移動する（５０５）。Lic_Info_Tag２０３のLicロケーション情報#iアドレスフィールドに記録されているTag値を読込んで、先の処理５０４で読込んだTAG#iと同一であることを確認したうえで、移動したLicenseを格納した制限記憶部１１９内のアドレスを、そのアドレスフィールドに上書きする（５０６）。ここまでの処理に成功したうえで、Lic_Info_Ptr２０５のLicロケーション情報#iを消去し（５０７）、ｉ の値を１加算して一連のLicenseを転送し終わるまで処理５０３〜５０８を繰り返す。License #x２４０転送に付随した処理を終えたのち、開放記憶部１２０のLic_Info_Tag２０３の名前をLic_Info８０３に変える（５０９）。最後に開放記憶部１３０のLic_Info_Ptr２０５を含む空DATAストリーム２０４を消去して（５１０）一連の処理を終了する（５１１）。

保護対象のデータと対応する暗号鍵情報とを別の記憶装置に分離して保持した状態から、Licenseの入った記憶装置に保護対象データを移して同一の記憶装置に纏める場合の他の処理について、図６に示すフローチャートを用いて説明する。この状態変化は、図２および図３で表わされる状態から図７および図８で表わされる状態へと変える処理の一つに他ならない。処理を開始６０１して、暗号化されたDATAストリーム２０１を開放記憶部１２０から開放記憶部１３０に移動する（６０２）。この際に、付帯する名前付きストリームBlock_Info２０２とLic_Info_Tag２０３も開放記憶部１３０に移動する。このとき、開放記憶部１３０に移動したDATAストリーム２０１と対応する空のDATAストリーム２０４およびLic_Info_Ptr２０５が見つかるのでこれらの情報との統合処理を開始する。変数iに初期値１を代入する（６０３）。Lic_Info_Ptr２０５のLicロケーション情報#i からLicenseの格納アドレスとTAG#iとを読込む（６０５）。Lic_Info_Tag２０３のLicロケーション情報#iアドレスフィールドに記録されているTag値を読込んで、直前の処理６０５で読込んだTAG#iと同一であることを確認したうえで、同じく６０５の処理で読込んだLicenseの格納アドレスを、そのアドレスフィールドに上書きする（６０６）。ここまでの処理に成功したうえで、Lic_Info_Ptr２０５のLicロケーション情報#iを消去し（６０７）、ｉ の値を１加算（６０８）して一連のLicenseを転送し終わるまで処理６０４〜６０８を繰り返す。License #x２４０転送に付随した処理を終えたのち、開放記憶部１３０に移っていたLic_Info_Tag２０３の名前をLic_Info８０３に変える（６０９）。最後に開放記憶部１３０のLic_Info_Ptr２０５を含む空DATAストリーム２０４を消去して（６１０）一連の処理を終了する（６１１）。

本実施例によれば、暗号化データと暗号鍵とを別々の記憶装置に分離して管理することができる。

また本実施例によれば、暗号化データに付帯する管理情報と、暗号鍵の格納場所を取りまとめる管理情報との間で、相互に照会可能なタグデータを付加することで、暗号化データと暗号鍵の相互関連を乱すことなくそれら格納場所を分離したり集めたりできる。

実施例２について説明する。実施例１では、異なる記憶装置１１３と１２１とにそれぞれ記録されたLic_Info_Tag２１５と、Lic_Info_Ptr２０５とで、それぞれに含まれるLicロケーション情報を照合する識別子として、同一のTAG #i を記録している。しかし、DATAストリームと対応Licenseの記録先を分離する過程あるいはこれらを統合する過程で、必ずDATAの先頭から順に辿って処理を進めることを約束事項とすれば、必ずしもTAG #i の記録を必要としない。したがって、実施例２は、図８においてLic_Info_Tag２０３のアドレスフィールドにTAGデータを入れずに空欄とし、Lic_Info_Ptr２０５からはTAGフィールドを無くすという実施形態である。

本実施例によれば、TAGデータに係る処理が不要になるので、DATAストリームと対応Licenseの記録先を分離/統合する処理が簡単になる。

実施例３について説明する。実施例３は、図１に描いた記憶装置１１３、１２１のうち何れか、または両方を、ネットワークを介した遠隔接続とする。図１においてインタフェース１１５，１２２はATAやSCSI，あるいはその発展形であるSATAやFibre Channel，SASなどストレージデバイスの標準インタフェースであることが一般的であるが、例えばインタフェース１２２の両端にネットワークインタフェース等を置いて、上記ストレージデバイス向けインタフェースのコマンド，プロトコルをカプセル化した状態でネットワークを通す。このようにして、記憶装置１２１を遠く離れたインターネット上の配信サーバ内に実現し、保護対象の暗号化データとその暗号鍵とを別々に配信する形態とする。

本実施例によれば、ネットワークを介して記憶装置をホスト装置と接続できるので、記憶装置は必ずしも脱着式でなく、遠隔接続されていれば良いので、使用する記憶装置の選択の自由度が高くなる。

以上説明した実施形態によれば、暗号化データと暗号鍵とを異なる記憶装置に分離して管理することができる。複数の暗号鍵あるいは暗復号条件で一つのデータを分割暗号化する場合であっても、暗号個所と対応する暗復号鍵との関連付けを乱すことなく、暗号化ファイルと暗復号鍵を離して扱うことができるため、同一の記憶装置内に纏めて管理することに比べて下記のような利点がある。

第一に、秘匿ファイルを暗号化データと暗復号鍵とで別々のルート，別々の時間に分けて配布することが容易になることである。配布先限定の文書ファイルなどはこのような使い方をすることが多い。

第二に、映像や音楽など著作権などの知財を守る必要のある電子コンテンツを配布，販売する場合、暗号化データのみをあらかじめインターネットや着脱媒体で配布しておき、その暗号化データを再生するのに必要な暗号鍵を後から適当な対価を持って販売するような、いわゆる超流通サービスモデルを実現できることである。

さらに、暗号化ファイルだけを単独にいくつかの記憶装置に複写して、バックアップしておくことや、逆に暗号鍵のみを複数の記憶装置に複写しておくなど、データの安全性を高める使い方に選択肢が増えるという利点もある。

さらに、複写規制などの保護が必要な電子情報において、情報自体を暗号化した暗号化データと、その暗復号鍵に関する鍵を別々に流通させられるので、秘匿データや著作データの取り扱いに自由度を増し、企業内の情報セキュリティ管理や、消費者向けのデータ配信ビジネス等に利用することができる。

実施例１の情報処理システムの構成図である。 複数の記憶装置に記録した情報の相互関係を示した説明図である。 複数の記憶装置に記録した情報の記録配置を示した説明図である。 記憶装置に記録した暗号化情報とその利用条件とを、異なる記憶装置へ分離保存する処理のフローチャートである。 暗号化情報を記録した記憶装置に、他の記憶装置に記録した利用条件を移動して統合管理する処理のフローチャートである。 記憶装置に記録した暗号化情報を、その利用条件を記録した他の記憶装置に移動して統合管理する処理のフローチャートである。 一つの記憶装置に記録した情報の記録配置を示した説明図である。 一つの記憶装置に記録した情報の相互関係を示した説明図である。

符号の説明

１０１：ホスト装置、１０２：ＣＰＵ、１０３：ＲＡＭ、１０４：ＲＯＭ、１０５：ホストセキュリティマネージャ、１０６：記録モジュール、１０７：License転送ユニット、１０８：License管理部、１０９：コンテンツ暗復号部、１１３，１２１：記憶装置、１１６：記録モジュール、１１７：License転送ユニット、１１８：制限記憶コントローラ、１１９，１２９：制限記憶部、１２０，１３０：開放記憶部、２０１：DATAストリーム、２０２：Block Informationストリーム、２０３：License Information Tagストリーム、２０５：License Information Ptrストリーム、８０３：License Informationストリーム、２１０，２１２，２１４，２１６，２１９，２２２，２２５，２２９，２３３：ライセンスIDフィールド、２１７，２２０，２２３，２２７，２３１，２３５：アドレスフィ−ルド、２２６，２３０，２３４：Ｔａｇフィールド、２３６，２３８，２４０：ライセンス、２３７，２３９，２４１：コンテンツ暗号鍵。

Claims (13)

1. 暗号化されたデータブロック、前記暗号化されたデータブロックを復号するための鍵データ及び前記データブロックの利用条件を含む所定の情報、並びに前記所定の情報の格納アドレスを含む前記暗号化されたデータブロックの管理情報を格納した記憶装置と、前記記憶装置と異なる他の記憶装置とを接続したホスト装置によるデータ管理方法であって、
   前記ホスト装置は、前記所定の情報を前記記憶装置から前記他の記憶装置へ転送し、
   転送した前記所定の情報の、前記他の記憶装置における他の格納アドレスを含む他の管理情報を、前記他の記憶装置に格納し、
   前記記憶装置に格納されている前記管理情報に含まれる、前記所定の情報の前記記憶装置における前記格納アドレスを消去することを特徴とするデータ管理方法。
2. 前記暗号化されたデータブロックは、保護対象のデータが複数の区画に分割され、前記分割されたデータを前記鍵データで暗号化したものであり、前記ホスト装置は、前記管理情報と前記他の管理情報との対応を識別する識別子を前記他の管理情報に含んで前記他の記憶装置に格納し、前記記憶装置に格納されている前記管理情報に含まれる、前記所定の情報の前記記憶装置における前記格納アドレスに前記識別子を上書きすることにより、前記所定の情報の前記記憶装置における前記格納アドレスを消去することを特徴とする請求項１記載のデータ管理方法。
3. 前記記憶装置と前記他の記憶装置との少なくとも一方が、前記ホスト装置とネットワークを介して接続していることを特徴とする請求項２記載のデータ管理方法。
4. 暗号化されたデータブロック及び前記暗号化されたデータブロックの管理情報を格納した記憶装置と、前記暗号化されたデータブロックを復号するための鍵データ及び前記データブロックの利用条件を含む所定の情報、並びに前記所定の情報の第1の格納アドレスを前記暗号化されたデータブロックに対応付けた他の管理情報を格納した、前記記憶装置と異なる他の記憶装置とを接続したホスト装置によるデータ管理方法であって、
   前記ホスト装置は、前記他の記憶装置から前記記憶装置への前記所定の情報の第１の転送、および前記第１の転送により転送された前記所定の情報の前記記憶装置における第2の格納アドレスの前記管理情報への格納の第１の処理と、
   前記暗号化されたデータブロック及び前記管理情報の前記記憶装置から前記他の記憶装置への第２の転送、および前記所定の情報の前記第1の格納アドレスの、前記第２の転送により転送された前記管理情報）への格納の第２の処理とのいずれか一方の処理を実行し、
   前記実行した処理における前記第１及び第２のいずれか一方の転送の転送元である、前記記憶装置に格納された前記暗号化されたデータブロック及び前記管理情報と前記他の記憶装置に格納された前記所定の情報及び前記他の管理情報とのいずれか一方を消去することを特徴とするデータ管理方法。
5. 前記暗号化されたデータブロックは、保護対象のデータが複数の区画に分割され、前記分割されたデータを前記鍵データで暗号化したものであり、前記ホスト装置は、前記管理情報と前記他の管理情報との対応を識別する識別子を参照して、前記暗号化されたデータブロックと前記所定の情報を対応付けることを特徴とする請求項４記載のデータ管理方法。
6. 前記記憶装置と前記他の記憶装置との少なくとも一方が、前記ホスト装置とネットワークを介して接続していることを特徴とする請求項５記載のデータ管理方法。
7. 暗号化されたデータブロック、前記暗号化されたデータブロックを復号するための鍵データ及び前記データブロックの利用条件を含む所定の情報、並びに前記所定の情報の格納アドレスを含む前記暗号化されたデータブロックの管理情報を格納した記憶装置と、
   前記記憶装置と異なる他の記憶装置と、
   前記記憶装置および前記他の記憶装置に接続し、前記所定の情報を前記記憶装置から前記他の記憶装置へ転送する転送手段、前記転送手段により転送した前記所定の情報の、前記他の記憶装置における他の格納アドレスを含む他の管理情報を、前記他の記憶装置に格納する格納手段、及び前記記憶装置に格納されている前記管理情報に含まれる、前記所定の情報の前記記憶装置における前記格納アドレスを消去する消去手段を有するホスト装置とを設けたことを特徴とするデータ管理システム。
8. 前記暗号化されたデータブロックは、保護対象のデータが複数の区画に分割され、前記分割されたデータを前記鍵データで暗号化したものであり、前記格納手段は、前記管理情報と前記他の管理情報との対応を識別する識別子を前記他の管理情報に含んで前記他の記憶装置に格納し、前記消去手段は前記記憶装置に格納されている管理情報に含まれる、前記所定の情報の前記記憶装置における前記格納アドレスに前記識別子を上書きすることにより、前記所定の情報の前記記憶装置における前記格納アドレスを消去することを特徴とする請求項７記載のデータ管理システム。
9. 前記記憶装置と前記他の記憶装置との少なくとも一方が、前記ホスト装置とネットワークを介して接続していることを特徴とする請求項８記載のデータ管理システム。
10. 暗号化されたデータブロックを格納する領域、及び前記暗号化されたデータブロックの管理情報を格納する領域を有する記憶装置と、
    前記暗号化されたデータブロックを復号するための鍵データ及び前記データブロックの利用条件を含む所定の情報を格納する領域、並びに前記所定の情報を格納する領域のアドレス情報を含む、前記管理情報と対応付けした他の管理情報を格納する領域を有する、前記記憶装置と異なる他の記憶装置とを設けたことを特徴とするデータ記憶システム。
11. 前記暗号化されたデータブロックは、保護対象のデータが複数の区画に分割され、前記分割されたデータを前記鍵データで暗号化したものであることを特徴とする請求項10記載のデータ記憶システム。
12. 前記管理情報を格納する領域は、前記データブロックの先頭位置、終端位置、および前記所定の情報を識別する第１の識別子を格納する領域と前記第１の識別子および前記他の管理情報との対応を識別する第２の識別子を格納する領域とを含み、
    前記他の管理情報を格納する領域は、前記第１の識別子および前記第２の識別子を格納する領域を含むことを特徴とする請求項11記載のデータ記憶システム。
13. 前記所定の情報を格納する領域は、該領域への前記所定の情報の書き込み及び読み出しが、特定の制御装置によって制御されることを特徴とする請求項12記載のデータ記憶システム。

Images