JPH10222365A - ネットワーク上における機密情報伝送システムおよび方法 - Google Patents
ネットワーク上における機密情報伝送システムおよび方法Info
- Publication number
- JPH10222365A JPH10222365A JP9345199A JP34519997A JPH10222365A JP H10222365 A JPH10222365 A JP H10222365A JP 9345199 A JP9345199 A JP 9345199A JP 34519997 A JP34519997 A JP 34519997A JP H10222365 A JPH10222365 A JP H10222365A
- Authority
- JP
- Japan
- Prior art keywords
- code
- information
- node
- management node
- update information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/562—Static detection
- G06F21/565—Static detection by checking file integrity
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/572—Secure firmware programming, e.g. of basic input output system [BIOS]
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F8/00—Arrangements for software engineering
- G06F8/60—Software deployment
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Signal Processing (AREA)
- Computer Networks & Wireless Communication (AREA)
- Computing Systems (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Small-Scale Networks (AREA)
- Storage Device Security (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
報を安全に提供する。 【解決手段】 コード・プロバイダ105が、伝送すべ
きコード情報にサインして該サイン済みコード情報をネ
ットワーク上に伝送する。ネットワークの管理ノード1
10は、受信したコード情報の妥当性検査を行い、サイ
ンし、パッケージ化し、コード情報が管理ノードだけに
宛てられたものか、他の非管理ノード115へも宛てら
れたものであるかを判定する。コード情報が非管理ノー
ドも対象としている場合、パッケージ化されたコード情
報は管理ノードから非管理ノードへ伝送され、そこで妥
当性検査を実行する。その後、コード情報の対象である
ノードは、機密状態に入り再度妥当性検査を行い、認証
した場合にのみ、メモリに画像情報を格納する。非認証
の場合は、コード情報がタンパ・ソース120、12
5、コード感染源130、135によって変更されたも
のとして情報を破棄する。
Description
ュータ・ネットワーク・システム上における情報伝送技
法に関する。特に、本発明は、例えば、基本入出力シス
テム(BIOS:Basic-Input-Output-System)の画像
情報のような符号情報を、ネットワーク構成内に配置さ
れているプロセッサ・ノードに、その外部に位置するソ
ースから安全に伝送するための方法およびシステムに関
するものである。
びゼロ・ダウン・タイムは、今日の高性能スケーラブル
・コンピュータ・ネットワーク(high-performance scal
able computer network)に対する、最も要求度が高い設
計目標である。これらのコンピュータ・ネットワーク
は、例えば、マルチメディア、データ格納(data wareho
using)、フル・モーション・ビデオ、インターネットお
よびイントラネット、ならびに判断支援のように、処
理、格納、または通信帯域に対する要求が膨大であるこ
とを特徴としているアプリケーションを処理するため
に、最適化されたものである。更に、高度にスケーラブ
ルなシステムにおける信頼性を高めるために、パラレル
・アーキテクチャでは通常、障害保護のための多数の経
路即ち冗長経路を備えることにより、構成する処理ユニ
ット数を何倍にも増やすようにしている。
れらの高度スケーラブル・システムは、データの転化(d
ata corruption)があってはならない。完全な自己チェ
ックおよび障害分離によって、絶対的なデータ保全性を
保証しなければならない。データの数ビットの欠落また
は転化は、音響や画像ファイルを伝送する用途では容認
可能な場合もあるが、電子取引、トランザクション処
理、およびコード更新伝送では容認できるものではな
い。例えば、ネットワークに配置されている1つ以上の
プロセッサ・ノードに関連する基本入出力システム
(「BIOS」)コード画像の一部を更新する必要があ
る場合、ネットワーク上で提供されるソフトウエアによ
ってこれを行うことは非常に効率的でありしかも価格効
率が高いことは、当業者には明らかであろう。この場
合、(1) ネットワークを通じた伝送がタンパ(改
竄)に対する対応策を有していること、および(2)ソ
フトウエアの保全性が保証可能であること、が条件とな
る。明らかに、プロセッサ・ノードの各々においてリー
ド・オンリ・メモリ(「ROM」)を基本とするBIO
S画像を物理的に交換する従来の手段は、単に時間を浪
費するだけでなく、全体的なシステム・ダウン・タイム
を大幅に追加することになる。
OSを交換する必要なく、プロセッサに関連するBIO
S画像を更新する解決策は既にある。例えば、米国特許
第5,388,267号は、BIOSの保全性を維持し
つつBIOS機能の更新および再現を行う方法および装
置を開示する。この場合、コンピュータには、BIOS
の冗長なコピーを収容するUV−EPROMに加えて、
BIOS用フラッシュEPROMが備えられている。コ
ンピュータに備えられている物理的なスイッチによって
選択されることにより、冗長なBIOSをBIOSアド
レス空間上にオーバーレイすることができる。
OSコード更新情報は、例えば、コード・ベンダ(code
vendor)または製造者によって供給される、可撓性ディ
スクのような記憶媒体を通じて提供可能であることは、
知られていることである。しかしながら、かかる解決策
は、通常、多数の人手による介入を必要とするため、コ
スト上昇を招くことになる。
ク上において機密伝送の可能性(capability)を達するこ
と、およびダウン・タイムのコスト高または人手の介入
を廃し、例えば、かかるネットワークを構成する複数の
プロセッサ・ノードに関連するBIOS画像情報のよう
なコード情報を更新する信頼性の高い技法を提供するこ
とは、明らかに関係がある。ネットワーク上でBIOS
画像情報を含む情報を安全に提供する必要性は、上述の
ような高度にスケーラブルなシステムの出現により、す
さまじい勢いで高まりつつあるが、本明細書に開示する
本発明の利点および新規な特徴を全て有する従来技術の
解決策は、未だ知られていない。
プロセッサ・ノードを含むネットワークに配されている
少なくとも1つのプロセッサ・ノードにコード情報を安
全に伝送する方法およびシステムを提供することによっ
て、先に記載した問題のみならず、既存の技術のその他
の欠点や欠陥をも克服することを、その目的とするもの
である。本発明の代表的な好適実施例では、かかるコー
ド情報は、ネットワーク内の1つ以上のプロセッサ・ノ
ードによって使用されるBIOS画像更新情報から成
る。
ンダから、少なくとも一つの管理ノードと非管理ノード
とを有するネットワークにコード情報を安全に伝送する
方法を対象とする。この方法では、前記ノードの内少な
くとも1つは、前記コード情報を安全に受信する対象ノ
ードであり、a)前記コード・ベンダによって前記コー
ド情報にサインするステップと、b)前記コード・ベン
ダから前記管理ノードに前記コード情報を伝送するステ
ップと、c)前記管理ノードによって前記コード情報の
認証(妥当性検査)を行うステップと、d)前記管理ノ
ードによって前記コード情報にサインするステップと、
e)前記管理ノードから前記非管理ノードに前記コード
情報を伝送するステップと、f)前記非管理ノードによ
って前記コード情報の妥当性検査を行うステップと、
g)前記非管理ノードが機密状態に入るステップと、
h)前記非管理ノードによって、前記コード情報の妥当
性検査を再度行うステップとから成る。非管理ノード
は、コード情報を利用して、そのBIOS画像を更新す
ることができ、更に任意に、適当なメモリが使用可能で
あれば、以前のBIOS画像をセーブすることも可能で
ある。
当該コード情報に関連する情報保全性コードを生成する
ステップと、この情報保全性コードを暗号化するステッ
プと、暗号化した情報保全性コードをコード情報に添付
するステップとから成る。また、該好適実施例では、コ
ード情報の妥当性検査又は再度の妥当性検査は、受信し
たコード情報に第2の情報保全性コードを生成するステ
ップと、対象のプロセッサ・ノードによって受信され
る、暗号化した情報保全性コードを解読するステップ
と、解読した保全性コードを第2のソフトウエア情報保
全性コードと比較するステップとから成る。
イダによって供給される更新情報を用いて、プロセッサ
・ノードの基本入出力システム(BIOS)コードの少
なくとも一部を安全に更新するシステムを対象とする。
前記プロセッサ・ノードはネットワークに配置され、該
ネットワークは少なくとも1つの管理ノードを含み、前
記システムは、前記コード・プロバイダから前記管理ノ
ードに前記更新情報を安全に伝送する第1安全伝送手段
と、前記管理ノードから前記プロセッサ・ノードに前記
更新情報を安全に供給する第2安全伝送手段と、前記更
新情報を用いて、BIOSコードの前記一部を変更す
る、前記プロセッサ・ノード内の手段とから成る。更
に、前記第1安全伝送手段は、前記更新情報にサインす
る前記コード・プロバイダ内の構造と、前記更新情報が
前記コード・ベンダから発信されたものであることの妥
当性検査を行う前記管理ノード内の構造とを備えている
ことが好ましい。
手段は、前記更新情報にサインする前記管理ノード内の
構造と、前記更新情報が前記管理ノードによって送出さ
れたこと、および前記更新情報が前記コード・ベンダに
よって発信されたことの妥当性検査を行う前記プロセッ
サ・ノード内の構造と、前記プロセッサ・ノードのため
に機密状態を有効化する構造とを備えている。ここで
は、前述の構造は、ソフトウエア、ハードウエア、ファ
ームウエア、または組み合わせタイプの要素として実施
可能であることが考えられる。
の要素または類似した要素には異なる図面においても同
一の参照番号を付してある。また、種々の要素は必ずし
も同じ拡縮率で描かれている訳ではない。図1には、コ
ード・プロバイダ105から複数のノード、例えば、ノ
ード110,115への情報の流れ、およびコード転化
モードの例が、ブロック図で示されている。公知のよう
に、ノード110,115は、記憶装置に結合すること
ができる少なくとも1つの演算装置を備えていることが
好ましい。ここでは、複数のノードは、いずれかの公知
の構造的(topological)アーキテクチャ、例えば、メッ
シュ、リング、トーラス(torus)、スター(あるいは、
ハブおよびスポーク)、ツリー、フラクタヘドロン(fra
ctahedron)、またはハイパーキューブ(hypercube)アー
キテクチャに構成する場合があることを想定している。
更に、複数のノードは、いずれかの公知のスケーラブル
処理環境、例えば、共有メモリ、クラスタ・タイプ、共
有装置、無共有環境(shared nothing environment)、ま
たはServerNetTMのようなシステム・エリア・ネットワ
ーク(SAM)環境に配置してもよいことは、当業者に
は理解されよう。
ドをネットワークに配置する際、1つ以上のノードは、
「ネットワーク認識(network-aware)」または「クラス
タ認識」機能を備えていることが好ましい。本明細書で
は、このようなノードを管理ノードと呼ぶことにする。
例えば、SAN環境では、管理ノードは一般にSANマ
ネージャとして知られているものを備えている。これ
は、起動時にネットワークのシステムおよび資源コンフ
ィギュレーションを初期化するソフトウエア構造であ
る。また、SANがスター形状に構成されている場合、
典型的にハブ・ノードが管理ノードとして設けられ、放
射状スポークを通じてこれに接続されている他の非管理
ノードに対して、「ルータ」として作用する。
バイダ105から、好ましくはネットワーク構成に配置
することができる1つ以上のノードにコード情報を伝送
する場合、通常は経路106を通じて管理ノード110
によって最初に受信される。ここでは、経路106は、
フロッピ・ディスク、コンパクト・ディスク(「C
D」)等のような、任意の公知の媒体上に記憶されてい
るコード情報の人手による転送、あるいはコード・プロ
バイダ105が所有または制御する遠隔地からのネット
ワーク通信による自動的な転送のいずれかを表すものと
することができる。コード情報の自動転送は、例えば、
コード・プロバイダ105からのファイル転送プロトコ
ル(「ftp」)のダウン・ロードを含むことができ
る。
イダ105から伝送されるコード情報は、好ましくは、
1つ以上のノード、例えば、ノード110およびノード
115に関連する基本入出力システム(「BIOS」)
画像(イメージ)の少なくとも一部を更新するための更
新情報を含むことができる。かかるBIOS更新情報
は、一般的に当技術では、BIOS「フラッシュ(flas
h)」と呼ばれている。コード・プロバイダ105から伝
送されるコード情報は、タンパ・ソース(改竄源)12
0,125や、一般的に「ソフトウエア・ウイルス」と
して知られているもののようなコード感染源130,1
35からの危険に晒される可能性があり、コード情報が
BIOS画像更新情報を含む場合には、その保全性は至
上の重要性を有するものであることは、当業者には明ら
かであろう。
代表的な相互接続されたスター構成ネットワーク205
A,205Bに配置されている複数のノード200の概
略図が示されている。ここには2系統の代表的なネット
ワークを示すのみであるが、2系統以上のネットワーク
でも相互接続可能であることは理解されよう。各ネット
ワーク、例えば、ネットワーク205Aは、複数の下位
ノード、例えば、ノード215Aから成り、これらの各
々は、双方向経路、例えば、スポーク220Aを通じ
て、ハブ(または、相互交換可能に、ルータとも呼ぶ)
210Aに接続されている。更に、代表的なネットワー
ク205Aおよびネットワーク205Bは、共通のハブ
220を通じて、互いに相互接続されている。
ク、例えば、ネットワーク205Aに関連するノード
は、いずれもネットワーク認識機能を備えているものと
することができ、したがって管理ノードとなることがで
きる。しかしながら、当技術では公知のように、中央ハ
ブ、例えば、ハブ210Aに、この機能を設けることが
好ましい。コード情報をコード・プロバイダ105(図
1に示す)から伝送する際、好ましくは、代表的実施例
ではハブ210Aまたはハブ210Bとすることができ
る、管理ノードによって生成されるコード要求に応答し
て、相互接続されているネットワークのいずれかにおけ
る1つ以上のノードまたは1つ以上のハブに宛てて送る
ことができる。例えば、コード情報をハブ210Aのみ
を宛先とする場合、相互接続されているネットワーク内
の他のノードには送出即ち配送(route)されない。一
方、コード情報がハブ210Aに接続されているノード
群を対象とすることを意図する場合、かかる情報は、本
発明の教示にしたがって、安全な態様で最終的にこれら
全てに配送されることになる。これについては、以下で
更に詳しく説明する。
ことができる、ネットワーク300の代表的な好適実施
例のブロック図が示されている。ネットワーク300
は、いずれかの既存タイプのローカル・エリア・ネット
ワーク(「LAN」)または入出力(「I/O」)バス
の直接的な交換ではなく、複数のプロセッサおよびI/
Oノードに共通のハードウエアおよびソフトウエア・サ
ービスを提供するSANとして具体化された新たな相互
接続レイヤ(interconnection layer)であることは、当
業者には明らかであろう。
なノード、ノード215Aおよびノード215Bが詳細
に図示されている。例えば、ノード215Aは、プロセ
ッサ(「CPU」と呼ぶ)310A、これに結合されて
いるメモリ315A、およびフォールト・トレランス冗
長アーキテクチャを支援するポート325A,326B
を有するデュアル・ポート・ネットワーク・インターフ
ェース320Aから成る。ルータ210Aと呼ぶ、代表
的なハブの一方は、プロセッサ・インターフェース・ポ
ート、例えば、ポート325A,326Bの一方を通じ
て、ノード215A,215Bの各々にインターフェー
スされている。ポート325A,326Bはそれぞれの
ノードに内蔵されている。並列経路ルータ210Bも、
他のネットワーク・インターフェース・ポート326
A,326Bを通じて、ノード215A,215Bにイ
ンターフェースされ、冗長性を支援する。
タ213Aおよびルータ213Bへの各接続部212
A,212Bのようなルータ間接続部に加えて、好まし
くは、他のノードへのリンク、例えば、リンク211A
およびリング211Bを備えることが好適である。更
に、ネットワーク300は、好ましくは、追加の記憶、
通信、およびルータの拡張のために、複数のI/Oコン
トローラ・スロット、例えば、IOC360に接続され
ている、ルータ214Aまたは214Bのようなルータ
を含むことが好適である。
ース、例えば、バス・インターフェース330Aおよび
バス・インターフェース330Bを、それぞれ、I/O
ルータ213A,213Bに接続することによって、ネ
ットワーク300においてI/Oの拡張が行われてい
る。一方、バス・インターフェースの各々、例えば、バ
ス・インターフェース330Aは、I/Oバス340A
と通信する。I/Oインターフェース、例えば、小型コ
ンピュータ・システム・インターフェース(「SCS
I:Small Computer System Interface」)335Aを
含ませ、ディスク記憶装置、例えば、ディスク350に
アクセス可能とすることが好ましい。
コード・プロバイダ105(図1に示す)から少なくと
も1つのノードに安全にコード情報を渡す処理のフロー
・チャート例が示されている。ここでは、ノードは、先
に述べたタイプのSANに配置可能であることが好まし
い。ステップ405に示すように、まずコード・プロバ
イダがコード情報にサインする。ステップ410におい
て、CTで示す、サインされたコード情報は、好ましく
は管理ノードからのコード更新要求に応答して、管理ノ
ードに伝送される。管理ノードはCTを妥当性検査(認
証)を行い(ステップ415)、続いてこのコード情報
にサインし、パッケージ化する(ステップ420)。続
いて、判断ブロック425において、このサインされパ
ッケージ化されたコード情報は、管理ノードのみが使用
することを意図したものか、あるいはネットワーク上の
他の非管理ノードも同様に使用することを意図したもの
かについて、判定を行う。コード情報がネットワーク上
の非管理ノードを意図したものである場合、サインされ
パッケージ化されたコード情報は、ステップ430に示
すように、非管理ノードに伝送される。
が、意図した非管理ノードによって受信されると、まず
当該ノードによって妥当性検査が行われ、受信した情報
が管理ノードから送出されたこと、およびコード・ベン
ダが元のコード情報を作成したことを確認する。この妥
当性検査プロセスをステップ435として示す。続い
て、対象のノードは、ステップ440に示すように、機
密状態(secure state)に入る。この場合、対象のノード
とは、管理ノード自体、1つ以上の目標とされた非管理
ノード、またはそれらのいずれかの組み合わせとなる場
合がある。このプロセスは、後に図8を参照しながら更
に詳しく説明する。機密状態に入った後、対象のノード
は、図4のステップ445に示すように、コード情報の
妥当性検査を再度行う。当業者には明らかであろうが、
対象のノードが既知の機密状態に入った後に、コード情
報が再度妥当性検査されない場合、受信したコード情報
の保全性には疑問があるため、それ以上の処理は行わず
に破棄される場合がある。再妥当性検査ステップ445
が成功であった場合、コード情報の保全性が保証され、
対象ノードによって適切な態様で使用することが可能と
なる。例えば、コード情報がBIOS画像情報である場
合、対象のノードはコード情報にしたがってそのBIO
S画像を更新し、適当なメモリが使用可能であれば、以
前のBIOS画像部分をセーブすることができる(ステ
ップ450)。
たがってコード情報にデジタル的にサインする処理フロ
ーの一例が示されている。このフロー・チャートは、関
連する数学的「チェックサム」の生成を最初に伴うこと
が好ましい(ステップ501)。ここでは、本発明の教
示による「チェックサム」は、情報の偶発的変化を検出
するのに適していることが知られている通常のチェック
サムや巡回冗長チェック(「CRC:cyclic redundanc
y checks」)だけでなく、「暗号チェックサム(crytogr
aphic checksum)」、「暗号ハッシュ(cryptographic ha
shes)」、「防犯ハッシュ・アルゴリズム(secure hash
algorithms)」、および「メッセージ・ダイジェスト(me
ssage digests)」としても当技術では知られている、変
化検出コード(「MDC:modification detection cod
es」)のような、故意のデータ転化を特定して検出する
ために設計された量(quantities)も含むことを想定して
いる。以降、情報保全性コード(「IIC:informatio
n-integrity-code」)という表現を用いて、これらの用
語を一括して表すこととし、更に「チェックサム」と相
互交換可能に同義語として用いることにする。
数学的な「チェックサム」を生成した後、ステップ50
2に示すように、いずれかの公知の暗号化方式を用い
て、これを暗号化する。暗号化方式は、データ暗号化規
格(「DES:Data Encryption Standard」)のよう
な、従来からの対称暗号化方式(symmetric encryption
scheme)とすればよい。しかしながら、代表的な本好適
実施例では、IICを暗号化する目的のために、2キー
非対称暗号化方式(two-key asymmetric encryptionsche
me)を用いる。例えば、IICは、コード・ベンダ10
5(図1に示す)のみによって保持されている個人キー
を用いて暗号化することができる。この場合、コード・
ベンダの個人キーに対応する公衆キー(public key)を、
受信したコード情報の認証を行う必要があるノードに使
用可能とする。公知のRivest-Shamier-Adelman(「RS
A」)アルゴリズムは、かかる二キー暗号化方式の有用
な例である。適切にIICを暗号化した後、ステップ5
03において、ネットワーク内に配された管理ノードに
伝送すべきコード情報に、暗号化されたIICを添付す
る。
ドによって受信されたコード情報を認証すなわち妥当性
検査を行う処理のフロー・チャートである。ステップ6
01に示すように、受信データ上の第2の「チェックサ
ム」を最初に作成する。続いて、暗号化形態の受信II
Cを、ノードによって復号化する(ステップ602)。
当業者はは明らかであろうが、受信したIICが最初に
二キー・システムにおける個人キーによって暗号化され
た場合、解読(復号化)ステップ602は対応する公衆
(パブリック)キーを必要とする。ステップ603に示
すように、生成されたIIC(ステップ601におい
て)は、次に、コード・ベンダによって伝送されてい
る、解読されたIICと比較される。これら2つの値が
一致した場合、妥当性検査は成功であり、受信したコー
ド情報には転化が生じなかったことになる。
ードが機密状態に入る際に行われる、処理フローの一例
が示されている。ステップ701における非機密状態か
ら開始して、ノードは、少なくとも2通りの別個の経路
709A,709Bによって機密状態に入ることができ
る。経路709Aでは、起動状態のよう既知状態からの
開始時に、給電(パワー)サイクルによって、「信用ピ
ラミッド(trust pyramid)」を構築する。機密遮断タス
ク(ステップ703)を開始し、続いて機密状態エクゼ
キュータブル(secure state executable)を実行し(ス
テップ704)、既知の機密状態を初期化する。ノード
を機密状態にするための準備を行うこの方法およびその
他の方法は、"Method and Apparatus for Assessing In
tegrityof Computer System Software"と題する米国特
許第5,421,006号に詳細に記載されている。
割り込み(「SMI:System Management Interrupt)」
の生成を経由する第2経路、即ち、経路709Bを用い
て、ノードを機密状態にするための準備を行うことも可
能である。SMIをトリガすることによって、ノードを
システム管理モード(ステップ705,706)に設定
し、当該ノードに関連するメモリの安全な部分に配置さ
れているハンドラを要求する。SMMにおいてSMIハ
ンドラを実行することによって、ノードを既知の機密状
態に設定可能であることは、認めることができよう。
からネットワーク、例えば、SANに配置されている1
つ以上のコンピュータ・ノードに情報を安全に伝送する
費用効率性の高い方法を提供することを、当業者は理解
できよう。伝送情報がBIOS画像である場合、かかる
情報は、ユーザの介入を最小に抑えて、コード・ベンダ
からBIOS画像の更新を必要とする1つ以上のノード
に安全に伝送することができる。
コード伝送のために、ロバスト性が高くしかもタンパ
(改竄)に強い通信チャネルを提供することができる。
例えば、管理ノードがビールスに感染してしまうことが
可能性の1つとして考えられる。この場合、管理ノード
はまず、経路途上での変化(en route modification)は
なかったと仮定して、コード・ベンダからのコード情報
の妥当性検査を行う。コード情報がビールスに感染して
いても、管理ノードは、下流側にある対象の非管理ノー
ドに伝送するために、感染した情報にサインをする。感
染した情報を受信する際、対象のノードは送出元の妥当
性検査を行う。即ち、コードが実際に管理ノードによっ
て伝送されたものであることを確認する。続いて、対象
のノードは、コードがコード・ベンダによって最初に発
信されたことを認証しようとする。解読されたIICは
生成したIICと一致しないので、この妥当性検査の第
2ステップは失敗となる。したがって、対象のノードは
受信した情報を破棄する。好ましくはエラー信号を出力
するとよい。
スに感染することが考えられる。この場合、対象のノー
ドは、コード情報の受信時に、まず非機密状態におい
て、送出元(即ち、管理ノード)および発信元(即ち、
コード・ベンダ)の妥当性検査を行う。もちろん、この
状態は、コード・ベンダおよび管理ノード間、または管
理ノードおよび対象のノード間のいずれにも経路上での
変化はなかったものと予め想定している。しかしなが
ら、この場合も、解読化したIICおよび生成したII
Cが一致しないので、機密状態に入った後の感染したノ
ードによる再妥当性検査は失敗となる。
面に示し、これまでの詳細な説明に記載したが、本発明
は開示された実施例に限定されるものではなく、特許請
求の範囲に記載され定義されている本発明の精神から逸
脱することなく、多数の再構成、変更、および交換が可
能であることは理解されよう。例えば、上述の説明では
デジタル・サインおよび認証に関連してRSA公衆キー
暗号化システムを提示したが、本発明は、ElGamal方式
やナップサック・システム(knapsack system)のような
他の暗号化方式を用いても実用可能である。
の流れ、およびコード転化のモード例を示す概略ブロッ
ク図である。
びハブまたはルータを備えた2系統のコンピュータ・ネ
ットワーク例の概略図である。
クの代表的な好適実施例のブロック図である。
も1つのノードに安全に渡すことにより、好ましくはそ
の中に含まれる情報画像を更新する、本発明の好適実施
例の方法を示すフロー・チャートである。
タル的にサインする処理例を示すフロー・チャートであ
る。
報を認証する処理例を示すフロー・チャートである。
にする方法論の一例を示す図である。
Claims (12)
- 【請求項1】 コード・ベンダから、管理ノードと非管
理ノードとを有するネットワークにコード情報を安全に
伝送する伝送方法であって、前記ノードの内少なくとも
一方は、前記コード情報を安全に受信する対象ノードで
あり、該伝送方法は、 a)前記コード・ベンダによって前記コード情報にサイ
ンするステップと、 b)前記コード・ベンダから前記管理ノードに前記コー
ド情報を伝送するステップと、 c)前記管理ノードによって前記コード情報の妥当性検
査を行うステップと、 d)前記管理ノードによって前記コード情報にサイン
し、これをパッケージ化するステップと、 e)前記コード情報が前記非管理ノードを対象とする場
合、前記管理ノードから前記非管理ノードに前記コード
情報を伝送するステップと、 f)前記コード情報の受信時に、前記非管理ノードによ
って前記コード情報の妥当性検査を行うステップと、 g)前記対象ノードが機密状態に入るステップと、 h)前記対象ノードによって、前記コード情報の妥当性
検査を再度行うステップとから成ることを特徴とする伝
送方法。 - 【請求項2】 請求項1記載の伝送方法において、前記
ステップ(b)は、前記管理ノードが生成するコード更
新要求に応答して実行されることを特徴とする伝送方
法。 - 【請求項3】 請求項1記載の伝送方法において、前記
ステップ(a)および前記ステップ(d)の各々は、更
に、 前記コード情報に関連する情報保全性コードを生成する
ステップと、 前記情報保全性コードを暗号化するステップと、 前記暗号化した情報保全性コードをコード情報に添付す
るステップとを含むことを特徴とする伝送方法。 - 【請求項4】 請求項3記載の伝送方法において、前記
ステップ(c)、前記ステップ(e)、および前記ステ
ップ(h)の各々は、更に、 情報保全性コードを受信データ上で作成するステップ
と、 前記暗号化した情報保全性コードを解読するステップ
と、 前記作成した情報保全コードを前記解読した情報保全コ
ードと比較するステップとを含むことを特徴とする伝送
方法。 - 【請求項5】 請求項1記載の伝送方法において、前記
ステップ(g)は更に、電力サイクルを実行することに
よって、信用状態に入るステップを含むことを特徴とす
る伝送方法。 - 【請求項6】 請求項1記載の伝送方法において、前記
ステップ(g)は更に、システム管理割り込みをトリガ
するステップを含むことを特徴とする伝送方法。 - 【請求項7】 コード・プロバイダによって供給される
更新情報を用いて、プロセッサ・ノードの基本入出力シ
ステム(BIOS)コードの少なくとも一部を安全に更
新する更新方法であって、前記プロセッサ・ノードはネ
ットワークに配置され、該ネットワークは少なくとも1
つの管理ノードを含んでおり、該更新方法は、 (a)前記コード・プロバイダから前記管理ノードに前
記更新情報を安全に伝送するステップと、 (b)前記管理ノードから前記プロセッサ・ノードに前
記更新情報を安全に供給するステップと、 (c)前記更新情報を用いて、BIOSコードの前記一
部を変更するステップとから成ることを特徴とする更新
方法。 - 【請求項8】 請求項7記載の方法において、前記ステ
ップ(a)は更に、 (a1)前記コード・プロバイダによって前記更新情報
にサインするステップと、 (a2)前記サインを添付した前記更新情報を前記管理
ノードに供給するステップと、 (a3)前記管理ノードによって、前記更新情報が前記
コード・ベンダから発信されたものであることの妥当性
検査を行うステップとを含むことを特徴とする更新方
法。 - 【請求項9】 請求項8記載の方法において、前記ステ
ップ(b)は更に、 (b1)前記管理ノードによって、前記更新情報にサイ
ンし、これをパッケージ化するステップと、 (b2)前記更新情報を前記サインと共に、前記プロセ
ッサ・ノードに伝達するステップと、 (b3)前記プロセッサ・ノードによって、前記更新情
報が前記管理ノードによって送出されたこと、および前
記更新情報が前記コード・ベンダによって発信されたこ
との妥当性検査を行うステップと、 (b4)前記プロセッサ・ノードによって、機密状態に
入るステップと、 (b5)前記プロセッサ・ノードによって、前記更新情
報の妥当性検査を再度行うステップとを含むことを特徴
とする伝送方法。 - 【請求項10】 コード・プロバイダによって供給され
る更新情報を用いて、プロセッサ・ノードの基本入出力
システム(BIOS)コードの少なくとも一部を安全に
更新するシステムであって、前記プロセッサ・ノードは
ネットワークに配置され、該ネットワークは少なくとも
1つの管理ノードを含んでおり、該システムは、 前記コード・プロバイダから前記管理ノードに前記更新
情報を安全に伝送する第1安全伝送手段と、 前記管理ノードから前記プロセッサ・ノードに前記更新
情報を安全に供給する第2安全伝送手段と、 前記更新情報を用いて、BIOSコードの前記一部を変
更する、前記プロセッサ・ノード内の手段とから成るこ
とを特徴とするシステム。 - 【請求項11】 請求項10記載のシステムにおいて、
前記第1安全伝送手段は更に、 前記コード・プロバイダ内に設けられ、前記更新情報に
サインする構造と、 前記管理ノード内に設けられ、前記更新情報が前記コー
ド・ベンダから発信されたものであることの妥当性検査
を行う構造とを備えていることを特徴とするシステム。 - 【請求項12】 請求項11記載のシステムにおいて、
前記第2安全伝送手段は更に、 前記管理ノード内に設けられ、前記更新情報にサインす
る構造と、 前記プロセッサ・ノード内に設けられ、前記更新情報が
前記管理ノードによって送出されたこと、および前記更
新情報が前記コード・ベンダによって発信されたことの
妥当性検査を行う構造と、 前記プロセッサ・ノードのために機密状態を有効化する
構造とを備えていることを特徴とするシステム。
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US764177 | 1991-09-23 | ||
US08/764,177 US5974250A (en) | 1996-12-13 | 1996-12-13 | System and method for secure information transmission over a network |
Publications (1)
Publication Number | Publication Date |
---|---|
JPH10222365A true JPH10222365A (ja) | 1998-08-21 |
Family
ID=25069896
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP9345199A Pending JPH10222365A (ja) | 1996-12-13 | 1997-12-15 | ネットワーク上における機密情報伝送システムおよび方法 |
Country Status (4)
Country | Link |
---|---|
US (1) | US5974250A (ja) |
EP (1) | EP0848316B1 (ja) |
JP (1) | JPH10222365A (ja) |
DE (1) | DE69712448T2 (ja) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2001075828A (ja) * | 1999-07-27 | 2001-03-23 | Compaq Computer Corp | コンピュータ・システム |
Families Citing this family (46)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6918038B1 (en) | 1996-08-13 | 2005-07-12 | Angel Secure Networks, Inc. | System and method for installing an auditable secure network |
US6532543B1 (en) * | 1996-08-13 | 2003-03-11 | Angel Secure Networks, Inc. | System and method for installing an auditable secure network |
US6182132B1 (en) * | 1997-03-17 | 2001-01-30 | Mallikarjuna Gupta Bilakanti | Process for determining in service status |
US6456502B1 (en) | 1998-09-21 | 2002-09-24 | Compaq Computer Corporation | Integrated circuit device/circuit board connection apparatus |
FI106495B (fi) * | 1999-04-12 | 2001-02-15 | Nokia Mobile Phones Ltd | Verkkoelementti |
EP1126655A1 (de) * | 2000-02-15 | 2001-08-22 | Siemens Aktiengesellschaft | Verfahren zur Authentizitätssicherung von Hard- und Software in einem vernetzten System |
US6625730B1 (en) | 2000-03-31 | 2003-09-23 | Hewlett-Packard Development Company, L.P. | System for validating a bios program and memory coupled therewith by using a boot block program having a validation routine |
US7073064B1 (en) | 2000-03-31 | 2006-07-04 | Hewlett-Packard Development Company, L.P. | Method and apparatus to provide enhanced computer protection |
US6625729B1 (en) | 2000-03-31 | 2003-09-23 | Hewlett-Packard Company, L.P. | Computer system having security features for authenticating different components |
GB2364404B (en) * | 2000-07-01 | 2002-10-02 | Marconi Comm Ltd | Method of detecting malicious code |
US6701332B1 (en) | 2000-07-31 | 2004-03-02 | Hewlett-Packard Development Company, L.P. | Cluster file system multi-volume root support |
DE10038779A1 (de) * | 2000-08-09 | 2002-03-07 | Schneider Automation Gmbh | Verfahren zur Übertragung von Daten in ein oder aus einem Steuerungsgerät wie speicherprogrammierbare Steuerung sowie Steuerungsgerät |
US8479189B2 (en) | 2000-11-17 | 2013-07-02 | Hewlett-Packard Development Company, L.P. | Pattern detection preprocessor in an electronic device update generation system |
US7409685B2 (en) | 2002-04-12 | 2008-08-05 | Hewlett-Packard Development Company, L.P. | Initialization and update of software and/or firmware in electronic devices |
US20020138757A1 (en) * | 2001-03-23 | 2002-09-26 | Motorola, Inc. | Method for securely distributing software components on a computer network |
US7398301B2 (en) | 2001-08-04 | 2008-07-08 | Kontiki, Inc. | Method and apparatus for facilitating distributed delivery of content across a computer network |
US20030037244A1 (en) * | 2001-08-16 | 2003-02-20 | International Business Machines Corporation | System management interrupt generation upon completion of cryptographic operation |
US7484105B2 (en) * | 2001-08-16 | 2009-01-27 | Lenovo (Singapore) Ptd. Ltd. | Flash update using a trusted platform module |
WO2003027903A1 (en) * | 2001-09-21 | 2003-04-03 | Polyserve, Inc. | A system and method for a multi-node environment with shared storage |
US7318149B2 (en) * | 2001-09-28 | 2008-01-08 | Hewlett-Packard Development Company, L.P. | Semi-persistent relocatable ram-based virtual floppy disk method |
US7093124B2 (en) * | 2001-10-30 | 2006-08-15 | Intel Corporation | Mechanism to improve authentication for remote management of a computer system |
JP3916468B2 (ja) * | 2002-01-11 | 2007-05-16 | 東京エレクトロン株式会社 | 基板処理装置および基板処理方法 |
US6938188B1 (en) | 2002-01-29 | 2005-08-30 | Advanced Digital Information Corporation | Method for verifying functional integrity of computer hardware, particularly data storage devices |
AU2003269893A1 (en) * | 2002-06-20 | 2004-01-06 | Angel Secure Networks, Inc. | Secure detection network system |
US7555750B1 (en) * | 2002-08-22 | 2009-06-30 | Hewlett-Packard Development Company, L.P. | Update package generator employing partial predictive mapping techniques for generating update packages for mobile handsets |
US7275244B1 (en) * | 2003-03-18 | 2007-09-25 | Microsoft Corporation | System and method for incrementally saving web files to a web server using file hash values |
US7240201B2 (en) * | 2003-08-01 | 2007-07-03 | Hewlett-Packard Development Company, L.P. | Method and apparatus to provide secure communication between systems |
US7228432B2 (en) * | 2003-09-11 | 2007-06-05 | Angelo Michael F | Method and apparatus for providing security for a computer system |
US8555273B1 (en) | 2003-09-17 | 2013-10-08 | Palm. Inc. | Network for updating electronic devices |
US7930503B2 (en) * | 2004-01-26 | 2011-04-19 | Hewlett-Packard Development Company, L.P. | Method and apparatus for operating multiple security modules |
US7382880B2 (en) * | 2004-01-26 | 2008-06-03 | Hewlett-Packard Development Company, L.P. | Method and apparatus for initializing multiple security modules |
US7904895B1 (en) | 2004-04-21 | 2011-03-08 | Hewlett-Packard Develpment Company, L.P. | Firmware update in electronic devices employing update agent in a flash memory card |
US8526940B1 (en) | 2004-08-17 | 2013-09-03 | Palm, Inc. | Centralized rules repository for smart phone customer care |
US7770168B1 (en) * | 2005-05-25 | 2010-08-03 | Landesk Software Limited | Systems and methods for distributing software using nodes within a network group |
US8209676B2 (en) | 2006-06-08 | 2012-06-26 | Hewlett-Packard Development Company, L.P. | Device management in a network |
EP2047420A4 (en) | 2006-07-27 | 2009-11-18 | Hewlett Packard Development Co | USER EXPERIENCE AND DEPENDENCE MANAGEMENT IN A MOBILE DEVICE |
US8776041B2 (en) * | 2007-02-05 | 2014-07-08 | Microsoft Corporation | Updating a virtual machine monitor from a guest partition |
KR101569942B1 (ko) | 2007-04-23 | 2015-11-17 | 톰슨 라이센싱 | 네트워크에서 소프트웨어 다운로드하기 위한 방법 및 장치 |
US8219595B2 (en) | 2008-02-14 | 2012-07-10 | Hewlett-Packard Development Company, L.P. | System and method for efficient remote data access for server management |
JP5440009B2 (ja) * | 2009-07-31 | 2014-03-12 | 富士通株式会社 | マルチクラスタシステムのプログラム更新方法及びマルチクラスタシステム |
TWI416373B (zh) * | 2010-03-25 | 2013-11-21 | Wistron Corp | 鍵盤定義更新方法及電腦系統 |
US9058482B2 (en) | 2011-03-01 | 2015-06-16 | Angel Secure Networks, Inc. | Controlling user access to electronic resources without password |
US8930717B2 (en) | 2011-03-01 | 2015-01-06 | Angel Secure Networks, Inc. | Secure processing module and method for making the same |
US9355228B2 (en) | 2012-07-13 | 2016-05-31 | Angel Secure Networks, Inc. | System and method for policy driven protection of remote computing environments |
US9390280B2 (en) | 2012-09-16 | 2016-07-12 | Angel Secure Networks, Inc. | System and method for obtaining keys to access protected information |
US9270660B2 (en) | 2012-11-25 | 2016-02-23 | Angel Secure Networks, Inc. | System and method for using a separate device to facilitate authentication |
Family Cites Families (11)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5321840A (en) * | 1988-05-05 | 1994-06-14 | Transaction Technology, Inc. | Distributed-intelligence computer system including remotely reconfigurable, telephone-type user terminal |
US5230052A (en) * | 1990-10-01 | 1993-07-20 | International Business Machines Corp. | Apparatus and method for loading bios into a computer system from a remote storage location |
US5388267A (en) * | 1991-05-29 | 1995-02-07 | Dell Usa, L.P. | Method and apparatus for updating and restoring system BIOS functions while maintaining BIOS integrity |
US5421006A (en) * | 1992-05-07 | 1995-05-30 | Compaq Computer Corp. | Method and apparatus for assessing integrity of computer system software |
US5432939A (en) * | 1992-05-27 | 1995-07-11 | International Business Machines Corp. | Trusted personal computer system with management control over initial program loading |
US5623604A (en) * | 1992-11-18 | 1997-04-22 | Canon Information Systems, Inc. | Method and apparatus for remotely altering programmable firmware stored in an interactive network board coupled to a network peripheral |
US5519843A (en) * | 1993-03-15 | 1996-05-21 | M-Systems | Flash memory system providing both BIOS and user storage capability |
GB2290890B (en) * | 1994-06-29 | 1999-03-24 | Mitsubishi Electric Corp | Information processing system |
US5557748A (en) * | 1995-02-03 | 1996-09-17 | Intel Corporation | Dynamic network configuration |
US5802592A (en) * | 1996-05-31 | 1998-09-01 | International Business Machines Corporation | System and method for protecting integrity of alterable ROM using digital signatures |
US5752042A (en) * | 1996-06-07 | 1998-05-12 | International Business Machines Corporation | Server computer for selecting program updates for a client computer based on results of recognizer program(s) furnished to the client computer |
-
1996
- 1996-12-13 US US08/764,177 patent/US5974250A/en not_active Expired - Lifetime
-
1997
- 1997-12-11 DE DE69712448T patent/DE69712448T2/de not_active Expired - Lifetime
- 1997-12-11 EP EP97310024A patent/EP0848316B1/en not_active Expired - Lifetime
- 1997-12-15 JP JP9345199A patent/JPH10222365A/ja active Pending
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2001075828A (ja) * | 1999-07-27 | 2001-03-23 | Compaq Computer Corp | コンピュータ・システム |
Also Published As
Publication number | Publication date |
---|---|
EP0848316B1 (en) | 2002-05-08 |
DE69712448D1 (de) | 2002-06-13 |
EP0848316A3 (en) | 1999-04-28 |
DE69712448T2 (de) | 2002-11-14 |
EP0848316A2 (en) | 1998-06-17 |
US5974250A (en) | 1999-10-26 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JPH10222365A (ja) | ネットワーク上における機密情報伝送システムおよび方法 | |
JP4579969B2 (ja) | ネットワーク・ドメインのネットワークエンドポイントにおける組込みエージェントの間で暗号化キーを共有するための方法、装置及びコンピュータプログラム製品 | |
US8332625B2 (en) | Method and apparatus to provide failover capability of cached secure sessions | |
US8239917B2 (en) | Systems and methods for enterprise security with collaborative peer to peer architecture | |
US5859911A (en) | Method for the secure remote flashing of the BIOS of a computer | |
RU2352986C2 (ru) | Динамическая подстановка данных usb для оперативного шифрования/расшифровки | |
US6327660B1 (en) | Method for securing communications in a pre-boot environment | |
US7143288B2 (en) | Secure file system server architecture and methods | |
US8335915B2 (en) | Encryption based security system for network storage | |
US6678828B1 (en) | Secure network file access control system | |
US7085385B2 (en) | Method and apparatus for initiating strong encryption using existing SSL connection for secure key exchange | |
US6633978B1 (en) | Method and apparatus for restoring computer resources | |
CN113785548B (zh) | 用于实施数据中心中的有效载荷安全性策略的证明服务 | |
JP2009219162A (ja) | データセンタへのプラットフォームの内包検証 | |
JP2008524886A (ja) | スマート・キー・デバイスとしてコンパクト・ディスクを使用するための方法およびシステム | |
AU712879B2 (en) | Virtual authentication network for secure processors | |
US11368288B2 (en) | Apparatus and method of lightweight communication protocols between multiple blockchains | |
JP2022523217A (ja) | 投票集計を伴うトポロジードリブンビザンチンフォールトトレラント合意プロトコル | |
JP5141056B2 (ja) | 情報処理装置と情報処理装置のデータ転送方法 | |
CN116260625A (zh) | 自组织网络环境多结点条件下用户的统一认证方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20041112 |
|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20041112 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070726 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071003 |
|
A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20071025 |