JP2018518090A - クラウドベースの暗号化マシン鍵インジェクションの方法、装置、及びシステム - Google Patents

Abstract

クラウドベースの暗号化マシン鍵インジェクションシステムは、鍵生成デバイスと、鍵生成デバイスと接続された量子鍵配送デバイスとを含む少なくとも１つの鍵インジェクションサブシステムと、仮想暗号化デバイスを保持する暗号化マシンと、暗号化マシンと接続された量子鍵配送デバイスとを含むクラウドベースの暗号化マシンホスティングサブシステムとを含む。鍵インジェクションサブシステム及び暗号化マシンホスティングサブシステムは、それらのそれぞれの量子鍵配送デバイスを通して互いに接続される。鍵生成デバイスは、仮想暗号化デバイスのルート鍵コンポーネントを生成し、暗号化マシンにルート鍵コンポーネントを送ることができる。暗号化マシンは、１つ又は複数の鍵生成デバイスからルート鍵コンポーネントを受信し、受信されたルート鍵コンポーネントに従って仮想暗号化デバイスのルート鍵を合成することができる。

Description

関連出願の相互参照
本出願は、２０１５年４月２２日に出願された中国特許出願公開第２０１５１０１９５０６２．７号に対する優先権の利益を主張するものであり、その全内容が参照により本明細書に援用される。

技術分野
本出願は、クラウドベースの暗号化マシン鍵インジェクションの方法、装置、及びシステムに関する。

背景
暗号化マシンは、多くの場合、特に銀行業界においてデータ機密性を保護するために使用される。その主な機能の１つは、鍵の保存である。銀行業界の標準的な鍵システムは、異なるレベルでの鍵の使用を厳格に制限する３層鍵システムのansi x9.17である。第１の層は、暗号化マシンマスター鍵（ルート鍵とも呼ばれる）であり、第２の層は、銀行マスター鍵（ユーザマスター鍵とも呼ばれる）であり、第３の層は、ユーザワーク鍵又はユーザデータ鍵とも呼ばれるワーク鍵である。

３つのコンポーネントを含むルート鍵は、ハードウェア暗号化マシンに保存され、暗号化マシン外に保存された様々な鍵及び重要データの暗号化鍵を保護するために使用することができる。ユーザマスター鍵の役割は、通信回線上で送られるワーク鍵を暗号化することである。ユーザマスター鍵は、一般的に、ルート鍵の暗号化の保護下にあり、又はハードウェア暗号化マシンに直接保存される。ユーザワーク鍵の役割は、データ機密性、情報認証及びデジタル署名などの機能を実施するための様々な異なるデータを暗号化することであり、ユーザワーク鍵は、ユーザマスター鍵の暗号化の保護下にあり、又はハードウェア暗号化マシンに直接保存される。

使用に先立ち、暗号化マシンにルート鍵をインジェクトする必要がある。暗号化マシンは、通常、ＩＣカードの組（Ａカード、Ｂカード及びＣカードを含む）を保持し、起動前に管理スタッフがＡカードを暗号化マシンの対応スロットに挿入し、暗号化マシンパネルメニュー又はメーカによって提供された管理プログラムを用いて、ルート鍵の３つのコンポーネント（各コンポーネントは１６進数の３２である）をインジェクトする。その後、ルート鍵は、Ａカード及びＢカードに保存され、次にユーザマスター鍵がインジェクトされ、関連する動作の完了後にユーザマスター鍵がＣカードに保存される。上記の鍵インジェクションプロセスは、異なる暗号化マシン毎に異なってもよいが、手動でカードを挿入する動作を実行することによってのみ完了することができる。

加えて、クラウドコンピューティングの急速な発展に伴い、データストレージ、データ計算及びデータアプリケーションがますますクラウド対応となり、クラウドユーザの極秘データ及び重要アプリケーションのセキュリティを保証する方法がパブリッククラウドにとって重大な課題である。以前に導入された暗号化マシンは、データ機密性を保護する方法の１つである。クラウド対応の暗号化マシンが多くの場合に望まれる。例えば、ユーザは、対応するクラウド上のユーザのプライベートなビジネスデータを保護するために、クラウドプロバイダの暗号化マシンをホスティングすることができる。

カードを手動で挿入することによって鍵をインジェクトする従来の方法は、暗号化マシンデバイスが比較的少なく、暗号化マシンがクライアントと共にある状況において実現可能である。しかしながら、パブリッククラウドでは、暗号化マシンは、通常、ホスティングを行う顧客のビルから離れた場所に位置し、暗号化マシンデバイスの数が大きく増加するため、従来の方法は、多くの不都合を有する：一方では、クラウドユーザは、鍵をインジェクトするためのカードを挿入するためにクラウドプロバイダへと長距離を移動する必要があり、動作ステップは面倒であり且つ時間及びエネルギーを無駄にし、他方では、様々なクラウドユーザがクラウドプロバイダに出入りするため、クラウドプロバイダの管理効率が低く、潜在的な安全上の問題があり、従って、クラウドプロバイダの暗号化マシンのホスティングに関するクラウドユーザの信用を低下させる。

概要
本開示のある態様は、クラウドベースの暗号化マシン鍵インジェクションシステムに向けられる。鍵インジェクションシステムは、鍵生成デバイスと、鍵生成デバイスと接続された量子鍵配送デバイスとを含む少なくとも１つの鍵インジェクションサブシステムと、仮想暗号化デバイスを保持する暗号化マシンと、暗号化マシンと接続された量子鍵配送デバイスとを含むクラウドベースの暗号化マシンホスティングサブシステムとを含む。鍵インジェクションサブシステム及び暗号化マシンホスティングサブシステムは、それらのそれぞれの量子鍵配送デバイスを通して互いに接続される。鍵生成デバイスは、ルート鍵コンポーネントを生成し、量子鍵配送デバイスを介して暗号化マシンにルート鍵コンポーネントを送信してもよい。暗号化マシンは、１つ又は複数の鍵生成デバイスからルート鍵コンポーネントを受信し、受信されたルート鍵コンポーネントに従って仮想暗号化デバイスのルート鍵を合成してもよい。

一部の実施形態によれば、量子鍵配送デバイスは、鍵生成デバイスと暗号化マシンとの間の共有鍵ペアを取り決めてもよく、少なくとも１つの鍵インジェクションサブシステムの量子鍵配送デバイスは、取り決められた共有鍵を用いて、暗号化マシンに対するルート鍵コンポーネントの暗号化送信を行ってもよい。

一部の実施形態によれば、少なくとも１つの鍵インジェクションサブシステムは、１つの鍵インジェクションサブシステムを含み、鍵インジェクションサブシステムの鍵生成デバイスは、仮想暗号化デバイスの幾つかのルート鍵コンポーネントを生成し、量子鍵配送デバイスを介して暗号化マシンにルート鍵コンポーネントを送信してもよい。一部の他の実施形態では、暗号化マシンは、仮想暗号化デバイスの１つのルート鍵コンポーネントを生成し、少なくとも１つの鍵インジェクションサブシステムからの受信されたルート鍵コンポーネントと、暗号化マシンからのルート鍵コンポーネントとに従って仮想暗号化デバイスのルート鍵を合成してもよい。

一部の他の実施形態では、少なくとも１つの鍵インジェクションサブシステムは、クラウドベースの管理サブシステムと、クライアント端末に位置するユーザサブシステムとを含み、管理サブシステムは、量子鍵配送デバイスと、鍵生成デバイスを含む管理デバイスとを含み、ユーザサブシステムは、量子鍵配送デバイスと、鍵生成デバイスを含む端末デバイスとを含む。

一部の他の実施形態では、暗号化マシンは、閾値秘密共有メカニズムに基づく秘密復元アルゴリズムを用いることにより、受信されたルート鍵コンポーネントに従って仮想暗号化デバイスのルート鍵を合成してもよい。

本開示の別の態様は、クラウドベースの暗号化マシン鍵インジェクションシステムによって実施される、暗号化マシンのための鍵インジェクション方法に向けられる。本方法は、暗号化マシンにより、少なくとも１つの鍵インジェクションサブシステムからルート鍵コンポーネントを受信することと、暗号化マシンにより、少なくとも１つの鍵インジェクションサブシステムからの受信されたルート鍵コンポーネントに従ってルート鍵を合成することとを含む。暗号化マシンは、仮想暗号化デバイスを含んでもよく、ルート鍵は、仮想暗号化デバイスのためのものである。各ルート鍵コンポーネントは、少なくとも１つの鍵インジェクションサブシステムの鍵生成デバイスによって生成されてもよい。暗号化マシンは、量子鍵配送デバイスに接続されてもよく、少なくとも１つの鍵インジェクションサブシステムの各々は、量子鍵配送デバイスを含む。ルート鍵コンポーネントは、量子鍵配送デバイスを介して少なくとも１つの鍵インジェクションサブシステムから暗号化マシンに送られてもよい。暗号化マシンは、閾値秘密共有メカニズムに基づく秘密復元アルゴリズムを用いることにより、受信されたルート鍵コンポーネントに従ってルート鍵を合成してもよい。

一部の実施形態によれば、鍵インジェクション方法は、暗号化マシンにより、ルート鍵コンポーネントを生成することをさらに含んでもよい。暗号化マシンは、少なくとも１つの鍵インジェクションサブシステムからの受信されたルート鍵コンポーネントと、暗号化マシンによって生成されたルート鍵コンポーネントとに従ってルート鍵を合成する。

一部の他の実施形態によれば、鍵インジェクション方法は、暗号化マシンにより、少なくとも１つの鍵インジェクションサブシステムの各々と共有鍵ペアを取り決めることをさらに含んでもよい。少なくとも１つの鍵インジェクションサブシステムからのルート鍵コンポーネントは、共有鍵ペアの鍵を用いて暗号化される。

少なくとも１つの鍵インジェクションサブシステムは、クラウドベースの管理サブシステムと、クライアント端末に位置するユーザサブシステムとを含んでもよく、クラウドベースの管理サブシステムは、鍵生成デバイスを含み、ユーザサブシステムは、鍵生成デバイスを含む。

本開示の別の態様は、暗号化マシンのための鍵インジェクション装置に向けられ、本装置は、クラウドベースの暗号化マシン鍵インジェクションシステムにおいて配置される。本装置は、少なくとも１つの鍵インジェクションサブシステムと共有鍵ペアを取り決める共有鍵ペア取り決めユニットと、暗号化マシン上の仮想暗号化デバイスのルート鍵コンポーネントを生成するルート鍵コンポーネント生成ユニットと、ルート鍵コンポーネント生成ユニットによって生成されたルート鍵コンポーネントと、少なくとも１つの鍵インジェクションサブシステムから受信されたルート鍵コンポーネントとに従ってルート鍵を合成するルート鍵合成ユニットとを含む。一部の実施形態によれば、少なくとも１つの鍵インジェクションサブシステム及び暗号化マシンは、量子鍵配送デバイスを含むか、又は量子鍵配送デバイスに接続されてもよく、ルート鍵コンポーネントは、それぞれ量子鍵配送デバイスを介して暗号化マシンに送られてもよい。

本開示の別の態様は、クラウドベースの暗号化マシンをホスティングする方法に向けられる。本方法は、クラウドユーザにより、端末デバイスを通して、クラウドに位置する管理デバイスに対して暗号化マシンホスティング要求を送信することと、管理デバイスにより、受信された要求に従って、クラウドでホスティングされる仮想暗号化デバイスをクラウドユーザに割り当てることであって、仮想暗号化デバイスは、暗号化マシンによって保持される、割り当てることと、仮想暗号化デバイスのルート鍵を暗号化マシンにインジェクトすることとを含む。仮想暗号化デバイスのルート鍵を暗号化マシンにインジェクトすることは、管理デバイス及びクラウドユーザにより、仮想暗号化デバイスのルート鍵コンポーネントを生成することと、ルート鍵コンポーネントを暗号化マシンに送信することと、暗号化マシンにより、受信されたルート鍵コンポーネントに従って仮想暗号化デバイスのルート鍵を合成することとを含んでもよい。

本開示の追加の特徴及び利点は、一部には以下の詳細な説明に記載され、一部にはその説明から自明となり、又は本開示の実践から学ぶことができる。本開示の特徴及び利点は、添付の特許請求の範囲に具体的に挙げられた要素及び組み合わせによって実現及び達成されるであろう。

上記の概要及び以下の詳細な説明は、例示的及び説明のためのものに過ぎず、特許請求される本発明を限定するものではないことが理解される。

図面の簡単な説明
本明細書の一部を構成する添付の図面は、幾つかの実施形態を図示し、本明細書と共に開示される原理の説明に役立つ。

例示的実施形態によるクラウドベースの暗号化マシン鍵インジェクションシステムを示すグラフィック描写である。 例示的実施形態によるクラウドベースの暗号化マシン鍵インジェクションシステムを示すブロック図である。 例示的実施形態による鍵インジェクション方法を示すフロー図である。 別の例示的実施形態による鍵インジェクション装置を示すブロック図である。 例示的実施形態による、クラウドベースの暗号化マシンをホスティングする方法を示すフロー図である。 別の例示的実施形態による、クラウドベースの暗号化マシンをホスティングする装置を示すブロック図である。

詳細な説明
これより、添付の図面に例が示される例示的実施形態に詳細に言及する。以下の説明は、異なる図面の同一の番号が、別段の表示がなければ同一又は類似の要素を示す添付の図面を参照する。本発明に従った例示的実施形態の以下の説明に記載される実装形態は、本発明に従った全ての実装形態を示すわけではない。代わりに、それらは、添付の特許請求の範囲に記載される本発明に関連する態様に従ったシステム及び方法の例に過ぎない。

本出願では、以下に説明されるクラウドベースの暗号化マシン鍵インジェクションシステム、暗号化マシンのための鍵インジェクション方法及び対応する装置、並びにクラウドで暗号化マシンをホスティングする方法及び対応する装置が提供される。

本例において提供されるクラウドベースの暗号化マシン鍵インジェクションシステムは、少なくとも１つの鍵インジェクションサブシステムと、クラウドに位置する暗号化マシンホスティングサブシステムとを含む。鍵インジェクションサブシステムは、鍵生成デバイスと、鍵生成デバイスと接続された量子鍵配送デバイスとを含み、暗号化マシンホスティングサブシステムは、クラウドユーザによってホスティングされる仮想暗号化デバイスとしての暗号化マシンと、暗号化マシンと接続された量子鍵配送デバイスとを含む。鍵インジェクションサブシステム及び暗号化マシンホスティングサブシステムは、それらのそれぞれの量子鍵配送デバイスを通して互いに接続される。

一部の実施形態では、クラウドユーザによってクラウドでホスティングされる暗号化マシンは、物理的な暗号化マシンでもよく、また、暗号化マシンが保持する仮想暗号化デバイスでもよい。複数のクラウドユーザが１つの暗号化マシンを共有してもよく、同じ暗号化マシンを共有する各クラウドユーザは、別個の仮想暗号化デバイスを所有する。以下のように理解することもできる：１つの暗号化マシンが一人のクラウドユーザのみに割り当てられる場合、クラウドユーザによってクラウドでホスティングされる仮想暗号化デバイスは、暗号化マシンである。上記２つのホスティングの方法の差は、本出願の技術的解決法の実施に影響を与えないことから、説明を容易にするために、本明細書の例において上記２つの状況は区別されず、クラウドユーザによってクラウドで仮想暗号化デバイスを使用する説明が以下の例で使用される。

一部の実施形態では、上述のシステム構造に基づいて、システムが１つの鍵インジェクションサブシステムのみを含む場合、鍵インジェクションサブシステム及び暗号化マシンホスティングサブシステムにおける量子鍵配送デバイスは、量子鍵配送プロトコル（例えば、ＢＢ８４プロトコル）を用いて、接続された鍵生成デバイスと、仮想暗号化デバイスとしての暗号化マシンとの間の共有鍵ペアを取り決めてもよい。鍵生成デバイスは、予め設定されたルート鍵コンポーネント（ルート鍵構成要素とも呼ばれる）の数に従って仮想暗号化デバイスのルート鍵コンポーネントを生成し、取り決められた共有鍵を用いて、仮想暗号化デバイスとしての暗号化マシンへのルート鍵コンポーネントの暗号化送信を行ってもよく、暗号化マシンは、取り決められた共有鍵を用いて、受信されたルート鍵コンポーネントを復号し、仮想暗号化デバイスのルート鍵を、復号されたルート鍵コンポーネントと合成し、ルート鍵を保存してもよい。一部の実施形態では、鍵インジェクションサブシステムは、クラウドベースの管理サブシステムでもよく、また、クライアント端末に位置するユーザサブシステムでもよい。

クラウドユーザは、もはや、手動でカードを挿入する動作を実行するために暗号化マシンホスティング領域に向かう必要がなくなり、仮想暗号化デバイスのルート鍵のリモートインジェクションが実施される。量子鍵は、量子力学と暗号学との異種間生成物として機能するため、そのセキュリティは、量子力学の基本原理に基づいて保証され、攻撃者の演算能力及び記憶容量とは無関係であり、従って、リモート鍵インジェクションプロセスのセキュリティは十分に保証される。

一部の実施形態では、仮想暗号化デバイスのルート鍵のセキュリティをさらに保証し、クラウドプロバイダに対するクラウドユーザの信用も考慮に入れるために、鍵インジェクションサブシステムの数は、予め設定されたルート鍵コンポーネントの数の最大整数よりも少なくてよい。各鍵インジェクションサブシステムにおける鍵生成デバイスは、仮想暗号化デバイスの１つのルート鍵コンポーネントを生成してもよい。暗号化マシンは、仮想暗号化デバイスの１つのルート鍵コンポーネントの生成と、各鍵インジェクションサブシステムから受信されたルート鍵コンポーネント及び暗号化マシンによって生成されたルート鍵コンポーネントに従った仮想暗号化デバイスのルート鍵の合成とに関与する。

上述のシステム実施方法は、比較的よく知られたアプリケーションを用いた従来の暗号化マシン鍵システム、例えば、金融暗号化マシン鍵システムと組み合わせて以下に詳細に説明される。従来の暗号化マシン鍵システムは、３層：ルート鍵、ユーザマスター鍵及びユーザワーク鍵からなり、ルート鍵は、３つのコンポーネントから構成される。システムは、２つの鍵インジェクションサブシステム：クラウドベースの管理サブシステム及びクライアント端末に位置するユーザサブシステム（クラウドユーザとも呼ばれる）を含む。管理サブシステムは、量子鍵配送デバイス及び鍵生成デバイスの機能を行う管理デバイスを含む。ユーザサブシステムは、量子鍵配送デバイス及び鍵生成デバイスの機能を行う端末デバイスを含む。

図１Ａ及び１Ｂは、クラウドベースの暗号化マシン鍵インジェクションシステム１００のブロック図を異なる見方で示す。このシステムは、そのうちの幾つかは任意選択的である多数のコンポーネント及びサブコンポーネントを含む。

システム１００は、ネットワーク１０５によって全て接続される、管理サブシステム１０１、暗号化マシンホスティングサブシステム１０２、第１のクラウドユーザ１０３、及び第２のクラウドユーザ１０４を含んでもよい。一部の実施形態では、管理サブシステム１０１は、クラウドプロバイダの暗号化マシンホスティングプラットフォーム管理センターとも呼ばれる場合がある。管理サブシステム１０１は、第１の管理デバイス１１１及び第２の管理デバイス１２１を含んでもよい。管理デバイス１１１及び１２１は、暗号化マシンのセキュリティモニタリング、識別、承認ホスティング、監査などに関与することができる。管理デバイス１１１及び１２１は、ルート鍵コンポーネントを生成する鍵生成デバイスを含み、ルート鍵コンポーネントを暗号化マシンにリモートでインジェクトすることにより、仮想暗号化デバイス用のルート鍵を作ることができる。管理サブシステム１０１は、上述の管理デバイス１１１及び１２１にそれぞれ接続された第１の量子鍵配送デバイス１３１及び第２の量子鍵配送デバイス１４１をさらに含む。暗号化マシンホスティングサブシステム１０２は、各々が仮想暗号化デバイスを保持する第１の暗号化マシン１１２及び第２の暗号化マシン１２２を含み、暗号化マシンホスティング領域とも呼ばれる場合がある。暗号化マシンホスティングサブシステム１０２は、第１及び第２の暗号化マシン１１２及び１２２にそれぞれ接続された第３の量子鍵配送デバイス１３２及び第４の量子鍵配送デバイス１４２を含んでもよい。図１Ａに示されるように、第３の量子鍵配送デバイス１３２及び第４の量子鍵配送デバイス１４２も第１及び第２の量子鍵配送デバイス１３１及び１４１に接続される。暗号化マシンホスティングサブシステム１０２は、ネットワーク１０５を介してクラウドユーザの量子鍵配送デバイスに接続される第５の量子鍵配送デバイス１５２及び第６の量子鍵配送デバイス１６２をさらに含んでもよい。

第１のクラウドユーザ１０３は、第１の端末デバイス１１３及び第７の量子鍵配送デバイス１２３を含む。第２のクラウドユーザ１０４は、第２の端末デバイス１１４及び第８の量子鍵配送デバイス１２４を含む。第１及び第２の端末デバイス１１３及び１１４は、ルート鍵コンポーネントを生成する鍵生成デバイスを含んでもよい。図１Ａに示されるように、第７の量子鍵配送デバイス１２３及び第８の量子鍵配送デバイス１２４は、ネットワーク１０５を介して第５の量子鍵配送デバイス１５２及び第６の量子鍵配送デバイス１６２にそれぞれ接続されてもよい。第１及び第２のクラウドユーザは各々、クラウドサービスに基づいて個人によって使用されるデバイスグループでもよく、また、クラウドサービスに基づいて企業によって使用されてもよい。

ある例では、第１の暗号化マシン１１２は、ルート鍵がインジェクトされ、クラウドで第１のクラウドユーザによってホスティングされる仮想暗号化デバイスを保持する。管理サブシステム１０１の第１の管理デバイス１１１は、１つのルート鍵コンポーネントを仮想暗号化デバイスにインジェクトすることに関与する。第１及び第３の量子鍵配送デバイス１３１及び１３２は、管理サブシステム１０１の第１の管理デバイス１１１と、暗号化マシンホスティングサブシステム１０２の第１の暗号化マシン１１２との間で共有鍵ペアを取り決めてもよい。第１の管理デバイス１１１は、クラウドプロバイダの管理者の操作により、又はインストールされた鍵生成及び管理プログラムにより、仮想暗号化デバイスの第１のルート鍵コンポーネントを生成し、取り決められた共有鍵を用いて、第１の暗号化マシン１１２に対する第１のルート鍵コンポーネントの暗号化送信を行ってもよい。第１の暗号化マシン１１２は、管理サブシステム１０１によってインジェクトされた第１のルート鍵コンポーネントを取得するため、同じ取り決められた共有鍵を使用して復号を行う。

第５及び第７の量子鍵配送デバイス１５２及び１２３は、第１のクラウドユーザ１０３の第１の端末デバイス１１３と、第１の暗号化マシン１１２との間の共有鍵ペアを取り決めてもよい。第１のクラウドユーザ１０３の端末デバイス１１３は、第１のクラウドユーザ１０３の操作により、又はインストールされた鍵生成及び管理プログラムにより、仮想暗号化デバイスの第２のルート鍵コンポーネントを生成し、取り決められた共有鍵を用いて、第１の暗号化マシン１１２に対する第２のルート鍵コンポーネントの暗号化送信を行ってもよい。第１の暗号化マシン１１２は、ユーザサブシステム１０１によってインジェクトされた第２のルート鍵コンポーネントを取得するため、同じ取り決められた共有鍵を使用して復号を行う。

第１の暗号化マシン１１２は、鍵生成モジュール又は第１の暗号化マシン１１２が保持するツールにより、仮想暗号化デバイスの第３のルート鍵コンポーネントをランダムに生成してもよい。第１の暗号化マシン１１２は、１つ又は複数の鍵生成デバイスからルート鍵コンポーネントを受信し、管理サブシステム１０１及び第１のクラウドユーザ１０３によってインジェクトされた第１のルート鍵コンポーネント及び第２のルート鍵コンポーネントと、第１の暗号化マシン１１２によって生成された第３のルート鍵コンポーネントとに従って仮想暗号化デバイスのルート鍵を合成してもよい。第１の暗号化マシン１１２は、異なるアルゴリズムを用いてルート鍵を合成してもよい。例えば、ルート鍵は、２を法とする加算の方法又はビット排他的論理和の方法で、又は例えばルート鍵が閾値秘密共有メカニズムに基づく秘密復元アルゴリズムを用いることによって合成されるというより複雑な方法で、３つのルート鍵コンポーネントを使用することによって合成されてもよい。

上記の通り、クラウドプロバイダ管理サブシステム、クラウドユーザ、及び暗号化マシンは、それぞれルート鍵を生成するためのコンポーネントを提供する。このメカニズムは、ルート鍵コンポーネントを生成する権利を分散化する。３つのサイドの何れかがルート鍵コンポーネントを漏洩したとしても、ルート鍵のセキュリティ、従ってクラウドにおけるクラウドユーザのサービス及びデータが危険にさらされることがなく、従って、クラウドプロバイダに対するクラウドユーザの信用が高められる。

従来の暗号化マシン鍵システムは、通常、ユーザマスター鍵を含み得る。ユーザマスター鍵を暗号化マシンに保存することは実現可能である。ユーザサブシステムの端末デバイス（例えば、端末デバイス１１３）は、クラウドユーザの操作により、又はインストールされた鍵生成及び管理プログラムにより、ユーザマスター鍵を生成し、取り決められた共有鍵を用いて、暗号化マシンに対するユーザマスター鍵の暗号化送信を行ってもよい。それに応じて、暗号化マシンは、仮想暗号化デバイスのユーザマスター鍵として、受信されたユーザマスター鍵を保存してもよい。

従来の暗号化マシン鍵システムは、ユーザワーク鍵をさらに含んでもよい。ユーザワーク鍵を暗号化マシンに保存することも実現可能である。ユーザサブシステムの端末デバイス（例えば、端末デバイス１１３）は、クラウドユーザの操作により、又はインストールされた鍵生成及び管理プログラムにより、ユーザワーク鍵を生成し、取り決められた共有鍵を用いて、仮想暗号化デバイスとしての暗号化マシンに対するユーザワーク鍵の暗号化送信を行ってもよい。それに応じて、暗号化マシンは、仮想暗号化デバイスのユーザワーク鍵として、受信されたユーザワーク鍵を保存してもよい。

一部の実施形態では、上記のような鍵生成又は鍵コンポーネント生成は、管理デバイス（例えば、第１の管理デバイス１１１）及びユーザの端末デバイス（例えば、端末デバイス１１３）に含まれる鍵生成デバイスによって実施することができる。鍵生成デバイスは、暗号化マシンに対する鍵コンポーネント又は鍵の暗号化送信も行ってよい。例えば、一部の実施形態では、量子鍵配送デバイスがデータ暗号化及び復号機能を有さない場合、鍵生成デバイスは、量子鍵配送デバイスによって提供された取り決められた量子鍵に従ってルート鍵コンポーネント又は他の鍵を暗号化し、その後、鍵生成デバイスと暗号化マシンとの間の従来のチャネルを介してルート鍵コンポーネント又は他の鍵を暗号化マシンに送る。暗号化マシンは、復号動作を実行することにより、ルート鍵コンポーネント又は他の鍵を取得する。量子鍵配送デバイスがデータ暗号化及び復号機能を有する、すなわち、量子鍵配送デバイスが量子暗号化マシンである場合、鍵生成デバイスは、接続された量子鍵配送デバイスに対してルート鍵コンポーネント又は他の鍵を送信することができ、量子鍵配送デバイスは、取り決められた量子鍵を暗号化に使用し、従来のチャネルを介して暗号化マシン側の量子鍵配送デバイスに、暗号化されたルート鍵コンポーネント又は他の鍵を送る。量子鍵配送デバイスは、復号動作を実行し、復号されたルート鍵コンポーネント又は他の鍵を暗号化マシンに送信する。

ユーザサブシステムは、それ自体の量子鍵配送デバイスを所有するか、又はクラウドの量子鍵配送デバイスを借りてもよい。ユーザサブシステムの量子鍵配送デバイスの物理的位置は、クライアント端末側ではなく、クラウドに位置してもよい。この場合、端末デバイスは、例えばＶＰＮを介して量子鍵配送デバイスにログインすることにより、例えば、取り決められた共有鍵を取得すること、又はインジェクトされるルート鍵コンポーネント若しくはユーザマスター鍵などを暗号化マシンに関連付けられた量子鍵配送デバイスに送信することを含む上記の動作を実施してもよい。

図１Ａ及び１Ｂは、単に、本出願の実施形態に基づく暗号化マシン鍵インジェクションシステムの概略的なシステム構造図を示す。当業者であれば、ユーザの要望に基づいて多くの変更形態がなされ得ることを理解するはずである。例えば、管理サブシステムにおける管理デバイスの数、及び暗号化マシンホスティングサブシステムにおける暗号化マシンの数は、特定の要求に応じて構成することができ、管理サブシステム及び暗号化マシンホスティングサブシステムがクラウドの同じネットワークドメインに位置してもよく、また、異なるネットワークドメインに位置してもよく、及びそれらの量子鍵配送デバイスが、量子鍵中継機能を有するルーティングデバイスによって互いに接続することができる。別の例として、量子鍵配送デバイスは省かれてもよく、この例では、管理デバイス及び端末デバイスが暗号化マシンと共に共有鍵ペアを取り決めてもよい。さらなる例に関して、完全なシステムとしてメンテナンスサブシステムも含まれ得、メンテナンスサブシステムは、暗号化マシンデバイスメーカによって保持される暗号化マシン上の仮想暗号化デバイスへの初期承認を行うことができる。メンテナンスサブシステムは、暗号化マシンに対して故障監視及びメンテナンスを行うこともできる。

この例で提供されるクラウドベースの暗号化マシン鍵インジェクションシステムは、量子鍵技術をクラウド対応の暗号化マシン技術と有機的に組み合わせる。このようなインジェクションシステムは、カードを手動で挿入することによってルート鍵をインジェクトする従来の方法を変更し、暗号化マシンルート鍵のリモートインジェクションを実現し、及び量子暗号学によるリモートインジェクションプロセスのセキュリティを保証する。従って、インジェクションシステムは、クラウドユーザがホスティング領域に行って手動でカードを挿入する必要性を免除し、鍵インジェクションの動作プロセスを単純化し、クラウドプロバイダがホスティング領域を管理することを容易にし、且つクラウドで暗号化マシンによって生成された鍵のセキュリティを高める。具体的には、例えば、２つ以上の鍵インジェクションサブシステム及び暗号化マシンがルート鍵コンポーネントの生成プロセスに一緒に参加する場合、ルート鍵のセキュリティを実質的に向上させることができ、クラウドプロバイダに対するクラウドユーザの信用をさらに高めることができる。

本出願は、暗号化マシンのための鍵インジェクション方法をさらに提供し、この方法は、上述のクラウドベースの暗号化マシン鍵インジェクションシステムにおいて実施される。

一部の実施形態では、ルート鍵がインジェクトされる、暗号化マシンによって保持される仮想暗号化デバイスに関して、そのルート鍵の安全なリモートインジェクションを実現するために、本方法は、以下のステップを含む：
１）鍵インジェクションサブシステムの鍵生成デバイス及び暗号化マシンホスティングサブシステムの暗号化マシンにより、それらのそれぞれの量子鍵配送デバイスを通して共有鍵ペアを取り決めるステップであって、暗号化マシンは、クラウドでクラウドユーザによってホスティングされる、ルート鍵がインジェクトされる仮想暗号化デバイスを保持する、ステップ；
２）鍵生成デバイスにより、仮想暗号化デバイスのルート鍵コンポーネントを生成し、取り決められた共有鍵を用いて、暗号化マシンに対するルート鍵コンポーネントの暗号化送信を行うステップ；及び
３）暗号化マシンにより、受信されたルート鍵コンポーネントに従って仮想暗号化デバイスのルート鍵を合成し、ルート鍵を保存するステップ。

一部の実施形態では、鍵インジェクションサブシステム（例えば、クラウドベースの管理サブシステム又はクライアント端末に位置するユーザサブシステム）が、必要とされ得る予め設定されたルート鍵コンポーネントの数に従って仮想暗号化デバイスの全てのルート鍵コンポーネントを生成し、取り決められた共有鍵を用いて、暗号化マシン上の仮想暗号化デバイスに対して全てのルート鍵コンポーネントの暗号化送信を行い、暗号化マシンが全てのルート鍵コンポーネントを復号し、受信された全てのコンポーネントに従って仮想暗号化デバイスのルート鍵を合成及び保存することが実現可能である。

一部の実施形態では、２つ以上の鍵インジェクションサブシステム及び暗号化マシンがルート鍵コンポーネントの生成に一緒に参加することも実現可能であり、この場合、暗号化マシンは、異なる鍵インジェクションサブシステムから受信されたルート鍵コンポーネント及び暗号化マシンによって生成されたルート鍵コンポーネントに従ってルート鍵を合成する。

ルート鍵のセキュリティ及びクラウドプロバイダに対するクラウドユーザの信用を高めるために、この例は、後者の実装形態の記載に重点を置く。この実装形態では、鍵インジェクションサブシステムの数は、必要とされる予め設定されたルート鍵コンポーネントの数の最大整数よりも少ない。一部の実施形態では、ルート鍵コンポーネントの生成に関与する鍵生成デバイスは、鍵インジェクションサブシステムに組み入れられてもよい。鍵生成デバイスは、暗号化マシンとの量子鍵合意を完了することができる。各鍵インジェクションサブシステムの鍵生成デバイスは、ルート鍵コンポーネントを生成することができ、暗号化マシンに対するルート鍵コンポーネントの暗号化送信を行う。暗号化マシンは、ルート鍵コンポーネントを生成することもできる。その後、暗号化マシンは、上述のルート鍵コンポーネントに従って仮想暗号化デバイスのルート鍵を合成する。

図２は、本出願による暗号化マシンのための鍵インジェクション方法２００の一例のフロー図である。既に提供されたクラウドベースの暗号化マシン鍵インジェクションシステムの例の内容と同じ本例の内容は、繰り返されず、以下ではそれらの差異に重点を置く。本出願による、暗号化マシンのための鍵インジェクション方法は、以下を含む。

ステップ２０１：管理デバイス（例えば、図１Ｂの第１の管理デバイス１１１）及び暗号化マシン（例えば、図１Ｂの第１の暗号化マシン１１２）は、それらのそれぞれの量子鍵配送デバイスを通して共有鍵ペアを取り決める。暗号化マシンは、クラウドでクラウドユーザによってホスティングされる、ルート鍵がインジェクトされる仮想暗号化デバイスを含む。

一部の実施形態では、鍵合意プロセス及び後続のルート鍵コンポーネントインジェクションプロセスのセキュリティを保証するために、量子鍵合意の実行前に、管理デバイス及び暗号化マシンは、まず相互アイデンティティ認証を行ってもよい。管理デバイスは、暗号化マシンにアイデンティティ認証要求を送信することができ、この要求は、管理デバイスの秘密鍵署名アイデンティティ証明書を保持する。暗号化マシンは、アイデンティティ認証要求の受信後、管理デバイスに対応する公開鍵を用いて秘密鍵署名アイデンティティ証明書を復号し、復号が成功すれば管理デバイスのアイデンティティが有効であることを示す。同じ理由から、暗号化マシンは、暗号化マシンが保持する仮想暗号化デバイスの秘密鍵署名アイデンティティ証明書を管理デバイスに送ってもよく、管理デバイスは、同じ方法を用いて仮想暗号化デバイスのアイデンティティを検証する。上記の相互アイデンティティ認証プロセスでは、何れかのサイドのアイデンティティ認証が失敗すれば本方法の実行が終了される。

上記は、公開／秘密鍵ペアに基づくアイデンティティ認証方法を提供する。一方、他の実装形態では、アイデンティティ認証を他の方法で行うことも実現可能である。例えば、暗号化マシンは、仮想暗号化デバイスのデバイス識別子（例えば、デバイスメーカによって予め設定されたシーケンス番号）を管理デバイスに送信することができ、管理デバイスは、デバイス識別子を用いて仮想暗号化デバイスに対してアイデンティティ認証を行う。管理デバイス及び仮想暗号化デバイスの公開／秘密鍵ペア及びアイデンティティ証明書、デバイス識別子、並びに他の情報が管理デバイス及び仮想暗号化デバイスに予め設定されてもよい。

一部の実施形態では、管理デバイス及び仮想暗号化デバイスが共に他方のアイデンティティ認証にパスすると、管理デバイス及び暗号化マシンは、それらのそれぞれの量子鍵配送デバイスを通して量子鍵配送プロトコル（例えば、ＢＢ８４プロトコル）に従って共有鍵ペアを取り決めることができる。

ステップ２０２：管理デバイスは、仮想暗号化デバイスの第１のルート鍵コンポーネントを生成し、取り決められた共有鍵を用いて、暗号化マシンに対する第１のルート鍵コンポーネントの暗号化送信を行う。

一部の実施形態では、管理デバイスは、クラウドプロバイダの管理者の操作により、又はインストールされた鍵生成及び管理プログラムにより、仮想暗号化デバイスの第１のルート鍵コンポーネントを生成し、ステップ２０１で取り決められた共有鍵を用いて、暗号化マシンに対する第１のルート鍵コンポーネントの暗号化送信を行ってもよい。データ暗号化及び復号機能は、対応する管理デバイス又は暗号化マシンによって完了されてもよく、また、量子鍵配送デバイスによって完了されてもよい。上記で提供されたクラウドベースの暗号化マシン鍵インジェクションシステムの例における関連する記載を参照することができる。

ステップ２０３：端末デバイス及び暗号化マシンは、それらのそれぞれの量子鍵配送デバイスを通して共有鍵ペアを取り決める。

一部の実施形態では、このステップの量子鍵合意の実行前に、端末デバイス及び暗号化マシンは、まず端末デバイスと仮想暗号化デバイスとの間の相互アイデンティティ認証を行ってもよく、管理デバイス及び暗号化マシンに関するその具体的な処理フローに関しては、ステップ２０１における記載を参照することができる。端末デバイス及び仮想暗号化デバイスが共に他方のアイデンティティ認証にパスすると、端末デバイス及び暗号化マシンは、それらのそれぞれの量子鍵配送デバイスを通して量子鍵配送プロトコル（例えば、ＢＢ８４プロトコル）に従って共有鍵ペアを取り決めることができる。

ステップ２０４：端末デバイスは、仮想暗号化デバイスの第２のルート鍵コンポーネントを生成し、取り決められた共有鍵を用いて、暗号化マシンに対する第２のルート鍵コンポーネントの暗号化送信を行う。

一部の実施形態では、端末デバイスは、クラウドユーザの操作により、又はインストールされた鍵生成及び管理プログラムにより、仮想暗号化デバイスの第２のルート鍵コンポーネントを生成し、ステップ２０３で取り決められた共有鍵を用いて、暗号化マシンに対する第２のルート鍵コンポーネントの暗号化送信を行ってもよく、データ暗号化及び復号機能は、対応する端末デバイス又は暗号化マシンによって完了されてもよく、また、量子鍵配送デバイスによって完了されてもよい。上記で提供されたクラウドベースの暗号化マシン鍵インジェクションシステムの例における関連する記載を参照することができる。

ステップ２０５：暗号化マシンは、仮想暗号化デバイスの第３のルート鍵コンポーネントを生成する。

一部の実施形態では、暗号化マシンは、鍵生成モジュール又は暗号化マシンが保持するツールにより、仮想暗号化デバイスの第３のルート鍵コンポーネントをランダムに生成することができる。

ステップ２０６：暗号化マシンは、管理デバイスからの第１のルート鍵コンポーネントと、ユーザ端末デバイスからの第２のルート鍵コンポーネントと、暗号化マシンによって生成された第３のルート鍵コンポーネントとに従って仮想暗号化デバイスのルート鍵を合成し、そのルート鍵を保存する。

一部の実施形態では、暗号化マシンは、予め設定されたアルゴリズムを用いて、このステップのルート鍵を合成する動作を完了し、暗号化マシンが保持する仮想暗号化デバイスのルート鍵として、合成されたルート鍵を保存することができる。合成アルゴリズムに関する記載については、上記で提供されたクラウドベースの暗号化マシン鍵インジェクションシステムの例における関連する記載を参照することができる。

一部の実施形態では、ルート鍵のリモートインジェクションが上述のステップ２０１〜２０６によって達成される。さらに、本方法は、ユーザマスター鍵及びユーザワーク鍵のリモートインジェクションも達成することができる。このステップ後、以下の動作をさらに実行することができる：
１）端末デバイスは、ユーザマスター鍵を生成し、取り決められた共有鍵を用いて、暗号化マシンに対するユーザマスター鍵の暗号化送信を行い、暗号化マシンは、仮想暗号化デバイスのユーザマスター鍵として、受信されたユーザマスター鍵を保存する。
２）端末デバイスは、ユーザワーク鍵を生成し、取り決められた共有鍵を用いて、暗号化マシンに対するユーザワーク鍵の暗号化送信を行い、暗号化マシンは、仮想暗号化デバイスのユーザワーク鍵として受信されたユーザワーク鍵を保存する。

鍵インジェクションサブシステムの鍵生成デバイスは、仮想暗号化デバイスのルート鍵コンポーネントを生成し、量子鍵配送デバイスによって取り決められた共有鍵を用いて、暗号化マシンに対するルート鍵コンポーネントの暗号化送信を行い、暗号化マシンは、ルート鍵の安全なリモートインジェクションを実現し、クラウドユーザがホスティング領域に行って手動でカードを挿入する必要性を免除し、鍵インジェクションの動作プロセスを単純化するために、仮想暗号化デバイスのルート鍵を合成する。具体的には、例えば、２つ以上の鍵インジェクションサブシステム及び暗号化マシンがルート鍵コンポーネントの生成プロセスに一緒に参加する場合、ルート鍵のセキュリティを向上することができるだけでなく、クラウドプロバイダに対するクラウドユーザの信用をさらに高めることができる。

上記の例では、暗号化マシンのための鍵インジェクション方法が提供され、それに対応して、本出願は、暗号化マシンのための鍵インジェクション装置をさらに提供する。

図３は、本出願による暗号化マシンのための鍵インジェクション装置３００の一例のブロック図である。この装置例は、基本的に方法例と類似するため、その説明は比較的簡易であり、関連する内容については、方法例の対応する記載を参照することができる。以下に記載される装置例は単なる概略である。

この例の暗号化マシンのための鍵インジェクション装置は、管理デバイス及び暗号化マシンにより、それらのそれぞれの量子鍵配送デバイスを通して共有鍵ペアを取り決める第１の共有鍵ペア取り決めユニット３０１と、管理デバイスにより、仮想暗号化デバイスの第１のルート鍵コンポーネントを生成し、取り決められた共有鍵を用いて、暗号化マシンに対する第１のルート鍵コンポーネントの暗号化送信を行う第１のコンポーネント生成及び送信ユニット３０２と、端末デバイス及び暗号化マシンにより、それらのそれぞれの量子鍵配送デバイスを通して共有鍵ペアを取り決める第２の共有鍵ペア取り決めユニット３０３と、端末デバイスにより、仮想暗号化デバイスの第２のルート鍵コンポーネントを生成し、取り決められた共有鍵を用いて、暗号化マシンに対する第２のルート鍵コンポーネントの暗号化送信を行う第２のコンポーネント生成及び送信ユニット３０４と、暗号化マシンにより、仮想暗号化デバイスの第３のルート鍵コンポーネントを生成する暗号化マシンコンポーネント生成ユニット３０５と、暗号化マシンにより、各コンポーネント生成及び送信ユニットから受信されたルート鍵コンポーネントと、暗号化マシンコンポーネント生成ユニットによって生成されたルート鍵コンポーネントとに従って仮想暗号化デバイスのルート鍵を合成し、そのルート鍵を保存するルート鍵合成ユニット３０６とを含む。

一部の実施形態では、本装置は、以下をさらに含んでもよい：
端末デバイスによってユーザマスター鍵を生成し、取り決められた共有鍵を用いて、暗号化マシンに対するユーザマスター鍵の暗号化送信を行うユーザマスター鍵生成及び送信ユニット；及び
暗号化マシンにより、仮想暗号化デバイスのユーザマスター鍵として受信されたユーザマスター鍵を保存するユーザマスター鍵保存ユニット。

一部の実施形態では、本装置は、以下をさらに含んでもよい：
端末デバイスによってユーザワーク鍵を生成し、取り決められた共有鍵を用いて、暗号化マシンに対するユーザワーク鍵の暗号化送信を行うユーザワーク鍵生成及び送信ユニット；及び
暗号化マシンにより、仮想暗号化デバイスのユーザワーク鍵として受信されたユーザワーク鍵を保存するユーザワーク鍵保存ユニット。

一部の実施形態では、本装置は、以下をさらに含んでもよい：
第１の共有鍵ペア取り決めユニットが機能するようにトリガされる前に、管理デバイスと、暗号化マシンが保持する仮想暗号化デバイスとの間の相互アイデンティティ認証を行い、何れかのサイドのアイデンティティ認証が失敗すれば本装置の動作を終了させる第１のアイデンティティ認証ユニット。

一部の実施形態では、本装置は、以下をさらに含んでもよい：
第２の共有鍵ペア取り決めユニットが機能するようにトリガされる前に、端末デバイスと、暗号化マシンが保持する仮想暗号化デバイスとの間の相互アイデンティティ認証を行い、何れかのサイドのアイデンティティ認証が失敗すれば本装置の動作を終了させる第２のアイデンティティ認証ユニット。

第１のアイデンティティ認証ユニット及び第２のアイデンティティ認証ユニットは、以下の方法でアイデンティティ認証を行ってもよい：
要求オーセンティケータデバイス（例えば、第１のアイデンティティ認証ユニット及び第２のアイデンティティ認証ユニットの一方）がアイデンティティ認証要求をピアデバイス（例えば、第１のアイデンティティ認証ユニット及び第２のアイデンティティ認証ユニットの他方）に送信し、この要求は、要求オーセンティケータデバイスの秘密鍵署名アイデンティティ証明書を保持し、ピアデバイスは、アイデンティティ認証要求の受信後、要求オーセンティケータデバイスに対応する公開鍵を用いて秘密鍵署名アイデンティティ証明書を復号し、復号が成功すれば要求オーセンティケータデバイスがアイデンティティ認証にパスする。

一部の実施形態では、任意選択的に、ルート鍵合成ユニットは、閾値秘密共有メカニズムに基づく秘密復元アルゴリズムを用いることにより、暗号化マシンによって仮想暗号化デバイスのルート鍵を合成し、そのルート鍵を保存してもよい。

クラウドベースの暗号化マシン鍵インジェクションシステム及び暗号化マシンのための鍵インジェクション方法は、上記の例において提供され、これを基に、本出願は、クラウドで暗号化マシンをホスティングする方法をさらに提供する。

図４は、本出願による、クラウドで暗号化マシンをホスティングする方法４００の一例のフロー図であり、上記の例の内容と同じ本例の内容は、繰り返されず、以下ではそれらの差異に重点を置く。本出願によるクラウドで暗号化マシンをホスティングする方法は、以下を含む。

ステップ４０１：クラウドユーザは、端末デバイスを用いて、クラウドに位置する管理デバイスに対して暗号化マシンホスティング要求を送信する。

クラウドへのクラウドユーザのデータ及びビジネスの移行に伴い、クラウドユーザは、通常、クラウドにユーザ自身の暗号化デバイスを所有し、暗号化マシンに保存された鍵を用いて、暗号化／復号鍵又はクラウドに保存されたビジネスデータに対する確実な保護を提供することを望む。上記の要求の背景として、クラウドプロバイダがクラウドで暗号化マシンホスティングサービスを提供でき、クラウドユーザが、要件に従って、端末デバイスを用いてクラウドに位置する管理デバイスに暗号化マシンホスティング要求を送信できる。

後続の動作プロセスにおいてアイデンティティ認証に関連するセキュリティ動作を実行することを便利にするために、クラウドユーザが、端末デバイスを用いて、クラウドに位置する管理デバイスに暗号化マシンホスティング要求を送信する前に、以下のシステム初期化動作を実行することができる：
クラウドプロバイダ管理者により、アイデンティティ認証のための公開／秘密鍵ペア、及び管理デバイス用のアイデンティティ証明書を予め設定することと、クラウドユーザ（クラウドサービスを使用する企業の管理者を含む）により、アイデンティティ認証のための公開／秘密鍵ペア、及びその端末デバイス用のアイデンティティ証明書を予め設定することと、暗号化マシンデバイスメーカにより、アイデンティティ認証のための公開／秘密鍵ペア、アイデンティティ証明書及び暗号化マシンに保持される仮想暗号化デバイスのためのデバイス識別子を予め設定すること。上記の公開鍵は公開され、秘密鍵はアイデンティティ証明書に署名してもよい。アイデンティティ認証に関連する上記の予め設定された情報は、対応するデバイスの排他的暗号化マシンに保存することができ、また別の方法で保存することもでき、後続のステップが実行されると、上記のアイデンティティ認証情報を用いて、動作に参加するデバイスのアイデンティティを検証することができる（ステップ４０３を参照されたい）。

ステップ４０２：管理デバイスは、受信された要求に従って、クラウドでホスティングされる仮想暗号化デバイスをクラウドユーザに割り当て、仮想暗号化デバイスは、暗号化マシンによって保持される。

一部の実施形態では、管理デバイスは、受信された暗号化マシンホスティング要求に従って、クラウドユーザに対応する暗号化マシンを割り当てる。管理デバイスがクラウドユーザに割り当てる暗号化マシンは、別個の物理的空間を所有する暗号化マシンでもよく、また、暗号化マシンによって保持される仮想暗号化デバイスでもよく、すなわち、複数のクラウドユーザが１つの暗号化マシンを共有してもよく、同じ暗号化マシンを共有する各クラウドユーザは、別個の仮想暗号化デバイスを所有する。一部の実施形態では、上記の２つの割り当て方法は、技術的解決法の実施に影響を与えないことから、説明を容易にするために、仮想暗号化デバイスがこの例で使用される。

上記の割り当て動作の完了後、管理デバイスは、割り当てが完了したことを示す通知を端末デバイスに送信し、同時に、クラウドユーザが自らに割り当てられた仮想暗号化デバイスの使用及びセキュリティ状況を随時モニタリングすることを容易にするために、仮想暗号化デバイスのデバイス識別子を端末デバイスに送信することができる。仮想暗号化デバイスのデバイス識別子は、システム初期化段階において割り当てに利用可能な仮想暗号化デバイス毎に暗号化マシンデバイスメーカによって予め設定された、仮想暗号化デバイスを一意的に識別する識別情報（例えば、シーケンス番号）を指す。

デバイス識別子情報の受信後、端末デバイスは、暗号化マシンデバイスメーカと共に仮想暗号化デバイスの有効性を検証することができる。２つの検証方法例が使用され得る：端末デバイスは、対応する暗号化マシンデバイスメーカに検証要求を送信し、検証されるデバイス識別子を保持し、暗号化マシンデバイスメーカは、検証動作を実行した後、検証結果を端末デバイスにフィードバックする；暗号化マシンデバイスメーカによって提供されるデバイス認証用のウェブサイトに端末デバイスによってアクセスし、デバイス識別子に従ってクエリーが実行される。暗号化マシンデバイスメーカによってフィードバックされた検証結果又はクエリー結果が、仮想暗号化デバイスが有効性検証にパスしたことを示す場合、仮想暗号化デバイスのルート鍵を暗号化マシンにインジェクトする後続のステップ４０３を実行することができ、そうでなければ、端末は、仮想暗号化デバイスが有効性検証にパスしなかったことを管理デバイスに通知することができ、ルート鍵をインジェクトする後続のステップの実行が継続されない。

一部の実施形態では、デバイス識別子情報のセキュリティを保証するために、管理デバイスは、デバイス識別子を端末デバイスに送信する前に、それらのそれぞれの量子鍵配送デバイスを通して端末デバイスと共有鍵ペアを取り決めることができ、その後、管理デバイスは、取り決められた共有鍵を用いてデバイス識別子を暗号化し、暗号化されたデバイス識別子を端末デバイスに送信する。それに応じて、端末デバイスは、取り決められた共有鍵を用いて、受信されたデバイス識別子を復号し、復号されたデバイス識別子を用いて検証動作を実行する。

ステップ４０３：仮想暗号化デバイスのルート鍵は、暗号化マシンにリモートでインジェクトされる。

このステップでは、本出願において提供される暗号化マシンのための鍵インジェクション方法を用いて、ルート鍵をインジェクトする動作を完了し、本明細書において繰り返されないその具体的な説明に関しては、対応する例の記載を参照することができる。

一部の実施形態では、ステップ４０２において、クラウドユーザの要求に従って、２つ以上の仮想暗号化デバイスがクラウドユーザに割り当てられる場合、このステップでは、リモートインジェクションの方法で各仮想暗号化デバイスに順次ルート鍵をインジェクトすることが実現可能である。

クラウドユーザは、端末デバイスを用いてクラウドの管理デバイスに暗号化マシンホスティング要求を送信し、そして、クラウドで仮想暗号化デバイスをホスティングし、リモートインジェクションの方法でルート鍵をインジェクトする動作を実施することが実現可能である。本方法は、クラウドユーザがクラウドで仮想暗号化デバイスをホスティングすることを容易にするだけでなく、クラウドユーザがホスティング領域に行って手動でカードを挿入する必要性を免除し、鍵インジェクションの動作プロセスを単純化し、クラウドプロバイダがホスティング領域を管理することを容易にし、クラウドで暗号化マシンをホスティングすることに対するクラウドユーザの信用を高める、クラウド対応暗号化マシンの新しい考えを提供することが分かる。

上記の例では、クラウドで暗号化マシンをホスティングする方法が提供される。本出願は、クラウドで暗号化マシンをホスティングする装置をさらに提供する。

図５は、本出願による、クラウドで暗号化マシンをホスティングする装置５００の一例のブロック図である。この装置例は、基本的に方法例と類似するため、その説明は比較的簡易であり、関連する内容については、方法例の対応する記載を参照することができる。以下に記載される装置例は単なる概略である。

この例のクラウドで暗号化マシンをホスティングする装置は、クラウドユーザにより、端末デバイスを用いて、クラウドに位置する管理デバイスに対して暗号化マシンホスティング要求を送信するホスティング要求送信ユニット５０１と、管理デバイスにより、受信された要求に従って、クラウドでホスティングされる仮想暗号化デバイスをクラウドユーザに割り当てるホスティングデバイス割り当てユニット５０２と（仮想暗号化デバイスは、暗号化マシンによって保持される）、上述の暗号化マシンのための鍵インジェクション装置を用いて、仮想暗号化デバイスのルート鍵を暗号化マシンにリモートでインジェクトするルート鍵インジェクションユニット５０３とを含む。

一部の実施形態では、本装置は、ホスティング要求送信ユニットが機能するようにトリガされる前に、初期化動作を実行する初期化ユニットを含んでもよく、このユニットは、以下を含む：
対応する管理者により、アイデンティティ認証のための公開／秘密鍵ペアと、管理デバイス及び端末デバイス用のアイデンティティ証明書とを予め設定する管理及び端末デバイス初期化サブユニット；及び
暗号化マシンデバイスメーカにより、アイデンティティ認証のための公開／秘密鍵ペア、アイデンティティ証明書及び暗号化マシンに保持される仮想暗号化デバイスのデバイス識別子を予め設定する仮想暗号化デバイス初期化サブユニット。

一部の実施形態では、本装置は、以下をさらに含んでもよい：
ホスティングデバイス割り当てユニットが仮想暗号化デバイスを割り当てる動作を完了した後、管理デバイスにより、端末デバイスに対して仮想暗号化デバイスのデバイス識別子を送信するデバイス識別子送信ユニット；及び
端末デバイスにより、受信されたデバイス識別子を用いて、暗号化マシンデバイスメーカに対する仮想暗号化デバイスの有効性を検証し、仮想暗号化デバイスが有効性検証にパスした場合、ルート鍵インジェクションユニットを機能させるデバイス有効性検証ユニット。

一部の実施形態では、本装置は、以下をさらに含んでもよい：
ホスティングデバイス割り当てユニットが仮想暗号化デバイスを割り当てる動作を完了した後、管理デバイス及び端末デバイスにより、それらのそれぞれの量子鍵配送デバイスを通して共有鍵ペアを取り決める共有鍵合意ユニット；
それに応じて、管理デバイスにより、取り決められた共有鍵を用いてデバイス識別子を暗号化し、暗号化されたデバイス識別子を端末デバイスに送信するデバイス識別子送信ユニット；及び
端末デバイスにより、取り決められた共有鍵を用いて、受信されたデバイス識別子を復号し、復号されたデバイス識別子を用いて検証動作を実行するデバイス有効性検証ユニット。

本明細書では、暗号化マシン鍵インジェクションのための方法、装置、及びシステムを記載している。例示されたステップは、示された例示的実施形態を説明するために提示されたものであり、現在進行中の技術的発展は、特定の機能が行われる方法を変えるであろうことが当然予想される。従って、これらの例は、本明細書において説明目的のために示されるものであり、限定ではない。例えば、本明細書に開示されたステップ又はプロセスは、記載の順序で行われることに限定されず、どのような順序で行われてもよく、開示の実施形態に従った一部のステップは省かれてもよい。さらに、機能構成ブロックの境界線は、説明の便宜上、本明細書において任意に定義されている。特定の機能及びそれらの関係性が適切に行われる限り、別の境界線を定義することができる。代替形態（本明細書に記載されたものの均等物、拡張形態、変形形態、逸脱形態等を含む）は、本明細書に含有される教示に基づき、関連する技術分野の当業者に明白となるであろう。このような代替形態は、開示の実施形態の範囲及び趣旨の範囲内に入る。

開示の原理の例及び特徴が本明細書に記載されるが、開示の実施形態の趣旨及び範囲から逸脱することなく、変更形態、適応形態、及び他の実装形態が可能である。また、「含む」、「有する」、「含有する」、及び「包含する」という語及び他の類似の形態は、意味的に均等であること、及びこれらの語の何れか１つに続く１つ又は複数のアイテムがそのような１つ又は複数のアイテムの完全なリストであること、又はリストされた１つ又は複数のアイテムにのみ限定されることを目的としたものではない点でオープンエンド形式であることが意図される。本明細書において及び添付の特許請求の範囲において使用される場合、単数形の「１つの（a）」、「１つの（an）」、及び「その（the）」は、文脈が明らかにそうでないことを決定付けない限り、複数参照を含むことも留意される必要がある。

さらに、本開示に従った実施形態を実施する際に１つ又は複数のコンピュータ可読記憶媒体が利用されてもよい。コンピュータ可読記憶媒体は、プロセッサによる読み出しが可能な情報又はデータを保存することができる各種の物理メモリを指す。従って、コンピュータ可読記憶媒体は、１つ又は複数のプロセッサによって実行される命令（１つ又は複数のプロセッサに、本明細書に記載される実施形態に従ったステップ又は段階を行わせる命令を含む）を保存してもよい。「コンピュータ可読記憶媒体」という用語は、有形アイテムを含み、並びに搬送波及び過渡信号を除外する、すなわち、非一時的であると理解されるものである。例には、ＲＡＭ、ＲＯＭ、揮発性メモリ、不揮発性メモリ、ハードドライブ、ＣＤ−ＲＯＭ、ＤＶＤ、フラッシュドライブ、ディスク、及びその他の既知の物理記憶媒体が含まれる。上記のユニット、システム、及びデバイスは、ソフトウェア、ハードウェア、ファームウェア、又はソフトウェア、ハードウェア、及びファームウェアの任意の組み合わせの形態で実施されてもよい。例えば、ユニット、システム、サブシステム、及びデバイスは、コンピュータ可読メモリに保存されたソフトウェア命令を実行するプロセッサを含むか、又はそのプロセッサによって実施されてもよい。

本発明は、上記で説明され且つ添付の図面に図示された正確な構造に限定されず、及びその範囲から逸脱することなく様々な変更形態及び改変形態がなされ得ることが認識されるであろう。本発明の範囲は、添付の特許請求の範囲によってのみ限定されるべきであることが意図される。

Claims (25)

1. 鍵生成デバイスと、前記鍵生成デバイスと接続された量子鍵配送デバイスとを含む少なくとも１つの鍵インジェクションサブシステムと、
   仮想暗号化デバイスを保持する暗号化マシンと、前記暗号化マシンと接続された量子鍵配送デバイスとを含むクラウドベースの暗号化マシンホスティングサブシステムと
   を含む、クラウドベースの暗号化マシン鍵インジェクションシステムであって、
   前記鍵インジェクションサブシステム及び前記暗号化マシンホスティングサブシステムは、それらのそれぞれの量子鍵配送デバイスを通して互いに接続され、
   前記鍵生成デバイスは、ルート鍵コンポーネントを生成し、前記量子鍵配送デバイスを介して前記暗号化マシンに前記ルート鍵コンポーネントを送信し、及び
   前記暗号化マシンは、１つ又は複数の鍵生成デバイスからルート鍵コンポーネントを受信し、前記受信されたルート鍵コンポーネントに従って前記仮想暗号化デバイスのルート鍵を合成する、クラウドベースの暗号化マシン鍵インジェクションシステム。
2. 前記量子鍵配送デバイスは、前記鍵生成デバイスと前記暗号化マシンとの間の共有鍵ペアを取り決め、及び
   前記少なくとも１つの鍵インジェクションサブシステムの前記量子鍵配送デバイスは、取り決められた共有鍵を用いて、前記暗号化マシンに対する前記ルート鍵コンポーネントの暗号化送信を行う、請求項１に記載のクラウドベースの暗号化マシン鍵インジェクションシステム。
3. 前記少なくとも１つの鍵インジェクションサブシステムは、１つの鍵インジェクションサブシステムを含み、及び
   前記鍵インジェクションサブシステムの前記鍵生成デバイスは、前記仮想暗号化デバイスの幾つかのルート鍵コンポーネントを生成し、前記量子鍵配送デバイスを介して前記暗号化マシンに前記ルート鍵コンポーネントを送信する、請求項１に記載のクラウドベースの暗号化マシン鍵インジェクションシステム。
4. 前記暗号化マシンは、前記仮想暗号化デバイスの１つのルート鍵コンポーネントをさらに生成し、前記少なくとも１つの鍵インジェクションサブシステムと、前記暗号化マシンからの前記受信されたルート鍵コンポーネントとに従って前記仮想暗号化デバイスの前記ルート鍵を合成する、請求項１に記載のクラウドベースの暗号化マシン鍵インジェクションシステム。
5. 前記少なくとも１つの鍵インジェクションサブシステムは、クラウドベースの管理サブシステムと、クライアント端末に位置するユーザサブシステムとを含み、
   前記管理サブシステムは、量子鍵配送デバイスと、前記鍵生成デバイスを含む管理デバイスとを含み、及び
   前記ユーザサブシステムは、量子鍵配送デバイスと、前記鍵生成デバイスを含む端末デバイスとを含む、請求項４に記載のクラウドベースの暗号化マシン鍵インジェクションシステム。
6. 前記ユーザサブシステムの前記端末デバイスは、ユーザマスター鍵をさらに生成し、前記ユーザマスター鍵を前記暗号化マシンに送る、請求項５に記載のクラウドベースの暗号化マシン鍵インジェクションシステム。
7. 前記ユーザサブシステムの前記端末デバイスは、ユーザワーク鍵をさらに生成し、前記ユーザワーク鍵を前記暗号化マシンに送る、請求項６に記載のクラウドベースの暗号化マシン鍵インジェクションシステム。
8. 前記量子鍵配送デバイスは、データ暗号化及び復号機能を有する量子暗号化マシンを含む、請求項１に記載のクラウドベースの暗号化マシン鍵インジェクションシステム。
9. 前記暗号化マシンは、閾値秘密共有メカニズムに基づく秘密復元アルゴリズムを用いることにより、前記受信されたルート鍵コンポーネントに従って前記仮想暗号化デバイスのルート鍵を合成する、請求項１に記載のクラウドベースの暗号化マシン鍵インジェクションシステム。
10. 暗号化マシンのための鍵インジェクション方法であって、
    前記暗号化マシンにより、少なくとも１つの鍵インジェクションサブシステムからルート鍵コンポーネントを受信することと、
    前記暗号化マシンにより、前記少なくとも１つの鍵インジェクションサブシステムからの前記受信されたルート鍵コンポーネントに従ってルート鍵を合成することと
    を含む、鍵インジェクション方法。
11. 前記暗号化マシンは、仮想暗号化デバイスを含み、
    前記ルート鍵は、前記仮想暗号化デバイスのためのものである、請求項１０に記載の鍵インジェクション方法。
12. 各ルート鍵コンポーネントは、前記少なくとも１つの鍵インジェクションサブシステムの鍵生成デバイスによって生成される、請求項１０に記載の鍵インジェクション方法。
13. 前記暗号化マシンにより、ルート鍵コンポーネントを生成することをさらに含み、
    前記暗号化マシンにより、前記少なくとも１つの鍵インジェクションサブシステムからの前記受信されたルート鍵コンポーネントに従って前記ルート鍵を合成することは、前記暗号化マシンにより、前記少なくとも１つの鍵インジェクションサブシステムからの前記受信されたルート鍵コンポーネントと、前記暗号化マシンによって生成された前記ルート鍵コンポーネントとに従ってルート鍵を合成することを含む、請求項１０に記載の鍵インジェクション方法。
14. 前記暗号化マシンにより、前記少なくとも１つの鍵インジェクションサブシステムの各々と共有鍵ペアを取り決めることをさらに含み、前記少なくとも１つの鍵インジェクションサブシステムからの前記ルート鍵コンポーネントは、前記共有鍵ペアの鍵を用いて暗号化される、請求項１０に記載の鍵インジェクション方法。
15. 前記暗号化マシンは、量子鍵配送デバイスに接続され、
    前記少なくとも１つの鍵インジェクションサブシステムの各々は、量子鍵配送デバイスを含み、
    暗号化マシンにより、前記少なくとも１つの鍵インジェクションサブシステムからルート鍵コンポーネントを受信することは、暗号化マシンにより、前記量子鍵配送デバイスを介して前記少なくとも１つの鍵インジェクションサブシステムからルート鍵コンポーネントを受信することを含む、請求項１０に記載の鍵インジェクション方法。
16. 前記少なくとも１つの鍵インジェクションサブシステムは、クラウドベースの管理サブシステムと、クライアント端末に位置するユーザサブシステムとを含み、前記クラウドベースの管理サブシステムは、鍵生成デバイスを含み、前記ユーザサブシステムは、鍵生成デバイスを含む、請求項１０に記載の鍵インジェクション方法。
17. 前記ユーザサブシステムによって生成されたユーザマスター鍵を前記ユーザサブシステムから受信することをさらに含む、請求項１６に記載の鍵インジェクション方法。
18. 前記ユーザサブシステムによって生成されたユーザワーク鍵を前記ユーザサブシステムから受信することをさらに含む、請求項１６に記載の鍵インジェクション方法。
19. 前記少なくとも１つの鍵インジェクションサブシステムのアイデンティティを検証することをさらに含む、請求項１０に記載の鍵インジェクション方法。
20. 前記暗号化マシンにより、前記少なくとも１つの鍵インジェクションサブシステムからの前記受信されたルート鍵コンポーネントに従って前記ルート鍵を合成することは、前記暗号化マシンにより、閾値秘密共有メカニズムに基づく秘密復元アルゴリズムを用いることにより、前記少なくとも１つの鍵インジェクションサブシステムからの前記受信されたルート鍵コンポーネントに従ってルート鍵を合成することを含む、請求項１０に記載の鍵インジェクション方法。
21. 暗号化マシンのための鍵インジェクション装置であって、
    少なくとも１つの鍵インジェクションサブシステムと共有鍵ペアを取り決める共有鍵ペア取り決めユニットと、
    前記暗号化マシン上の仮想暗号化デバイスのルート鍵コンポーネントを生成するルート鍵コンポーネント生成ユニットと、
    前記ルート鍵コンポーネント生成ユニットによって生成された前記ルート鍵コンポーネントと、前記少なくとも１つの鍵インジェクションサブシステムから受信されたルート鍵コンポーネントとに従ってルート鍵を合成するルート鍵合成ユニットと
    を含む、鍵インジェクション装置。
22. 前記少なくとも１つの鍵インジェクションサブシステムから受信された前記ルート鍵コンポーネントは、前記少なくとも１つの鍵インジェクションサブシステムと、前記暗号化マシンとにそれぞれ接続された量子鍵配送デバイスを通して受信される、請求項２１に記載の鍵インジェクション装置。
23. 前記少なくとも１つの鍵インジェクションサブシステムから受信された前記ルート鍵コンポーネントは、前記共有鍵ペアの鍵を用いて暗号化される、請求項２１に記載の鍵インジェクション装置。
24. 前記少なくとも１つの鍵インジェクションサブシステムは、鍵生成デバイスを含むクラウドベースの管理サブシステムと、クライアント端末に位置する鍵生成デバイスを含むユーザサブシステムとを含む、請求項２１に記載の鍵インジェクション装置。
25. 前記ルート鍵合成ユニットは、閾値秘密共有メカニズムに基づく秘密復元アルゴリズムを用いることにより、前記ルート鍵を合成する、請求項２１に記載の鍵インジェクション装置。