JP4765812B2 - 情報処理システム、クライアント装置、プログラム、及びファイルアクセス制御方法 - Google Patents

Description

本発明は情報処理システム、クライアント装置、プログラム、及びファイルアクセス制御方法に関し、特に、管理サーバからクライアント装置に拡散した機密文書の漏洩を、動的に配信されるセキュリティ仮想マシンを利用して防止する情報処理システム、クライアント装置、プログラム、及びファイルアクセス制御方法に関する。

現在、殆どの企業が企業内での情報共有を目的に、イントラネットと呼ばれる情報処理インフラストラクチャを整備している。イントラネットはそれぞれの任意の数のサーバとクライアントの集合であり、どちらもコンピュータシステムである。各企業では、企業活動に有用な機密文書ファイルをサーバに保存し、単一ないし複数のクライアントから単一のファイルに対して、編集や閲覧を行っている。

企業内の人間がクライアント装置を用いてファイルを編集する際、サーバへアクセスする手間を省く目的で独自にファイルを複製し、クライアント装置内の記憶装置に保管しておく場合が多い。このようにして、機密文書ファイルがサーバから拡散し、次第にイントラネット内に偏在する結果となり、情報漏洩を誘発する要因となる。また、２００５年４月に施行された個人情報保護法により、個人情報の漏洩対策に注目が集まっている。

この様なクライアント装置内の秘密情報の漏洩を防ぐという課題を解決する技術として、ユーザコンピュータで、プログラムからのシステムコールや通信路に流れるデータを監視し、監視対象となるデータのアクセス指令（コール）が行われ、指令元のプロセスＩＤや送信元アドレスがステータス情報として登録されてない場合に、アクセスや送信を禁止するデータ監視方法が開示されている（特許文献１参照）。

また、前記課題を解決する別の技術として、文書クライアント装置から入力して、文書管理サーバのデータベースに保存する文書を、当該文書の作成者が指定する機密レベルに応じて、文書管理クライアント装置、あるいは文書管理サーバで暗号化、及び復号化する技術が開示されている（特許文献２参照）。

この技術では、文書管理クライアント装置で入力手段が登録すべき文書を得ると、文書の作成者および機密レベルを取得し、取得した機密レベルに対応した暗号化鍵がユーザごとの鍵管理テーブルに登録されていれば、文書を暗号化して文書管理サーバに送信する。暗号化鍵が鍵管理テーブルに登録されていなければ、暗号化せず文書管理サーバに送信し、文書管理サーバが文書を受信後に、暗号化フラグがＯＦＦであれば暗号化しデータベースに保存する。

特開２００５−２７５６６９号公報 特開２００２−２８８１６１号公報

しかしながら、上記特許文献１の技術では、監視のために必要なプログラムを事前にクライアント装置が備えておく必要があるという第１の課題がある。また、プログラムが監視されているか否かを表示装置で確認できる仕組みがないので、装置により行なわれる処理内容をクライアント装置のユーザ（操作者）が把握しづらいという第２の課題がある。

また、上記特許文献２の技術では、機密レベルにある文書を文書管理サーバに送信する際に、無条件で一律に暗号化しておらず、秘密情報が通信路上で漏洩する可能性も残っているという第３の課題がある。

また、クライアント装置内の秘密情報の漏洩を防ぐにあたり、機密文書を閲覧・編集するプログラムを漏洩防止環境に特化した専用のプログラム、或いはブラウザのインタプリタが解釈し実行出来る特定言語で記述されたプログラムで対処するのでは、文書を閲覧・編集する既存のプログラムが使用できないばかりでなく、別途、専用の閲覧・編集プログラムを用意しなければならないという別の課題が生じる。

本発明の目的は、前記課題を解決すると共に上記別の課題を回避した情報処理システム、クライアント装置、プログラム、及びファイルアクセス制御方法を提供することにある。

本発明の第１の情報処理システムは、クライアント装置とウェブサーバ装置が通信網で接続された情報処理システムであって、前記ウェブサーバ装置は、プログラムが行うファイルアクセスに関するシステムコール内容をセキュアな内容に改変するセキュリティ仮想マシンモジュールとこれを展開するモジュールとを対応付けてセキュリティモジュールとして記憶部に保持し、前記セキュリティモジュールを要求に応じ配信する手段を備え、前記クライアント装置が、前記セキュリティモジュールをロードする手段と、前記展開するモジュールを解釈し、セキュリティ仮想マシンモジュールを自装置にインストールしてセキュリティ仮想マシンを生成し、当該セキュリティ仮想マシンを起動する展開手段を備え、前記セキュリティ仮想マシンが、通信網を通じたファイルアクセスをするプログラムが起動されると該プログラムとオペレーティングシステムの間に自身を介在させ、介在を受けたプログラムが起動する任意のプログラムについても同様に自身を介在させる手段と、前記プログラムが発行するファイルアクセスに関するシステムコールの内容をセキュアな内容に改変しオペレーティングシステムに渡す手段を有する。

本発明の第２の情報処理システムは、前記第１の情報処理システムであって、更に、前記セキュリティ仮想マシンが、前記プログラムが発行する表示のシステムコールの内容を、セキュリティ仮想マシン上で動作しているプログラムであることを示すシンボルが追加された表示のシステムコールに改変する手段を有する。

本発明の第３の情報処理システムは、前記第２の情報処理システムであって、前記セキュリティモジュールには、一組以上の暗号化及び復号モジュールを含み、これらのモジュールも展開対象とし、前記クライアント装置の展開手段がセキュリティ仮想マシンモジュールと前記暗号化及び復号モジュールを自装置にインストールし起動する様にし、前記通信網上の情報にアクセスする際に発行されるシステムコールを、情報を通信路に出入力する際に前記暗号化及び復号モジュールにより暗号化及び復号して扱うシステムコールに改変する手段を有する。

本発明の第４の情報処理システムは、前記第３の情報処理システムであって、前記セキュリティ仮想マシンが、前記プログラムがファイルの記憶装置への格納を指示するシステムコールを発行すると、前記システムコールの内容を、格納ファイルの情報を前記一組以上の暗号化及び復号モジュールの内の一つのモジュールを使用して暗号化し、一時ファイルとして格納するシステムコールに改変する手段を有する。

本発明の第５の情報処理システムは、前記第３、または第４の情報処理システムであって、前記情報処理システムには、前記クライアント装置に前記通信網で接続され、機密ファイルを格納するサーバ装置を含み、前記サーバ装置が、前記暗号化及び復号モジュールと同じ、或いはこれに対応した暗号化及び復号モジュールと、前記クライアント装置からのアクセスの要求指定情報を復号し、前記要求指定情報が秘密ファイルの取得であれば、秘密ファイルを前記暗号化及び復号モジュールで暗号化し返信する手段を有する。

本発明の第６の情報処理システムは、前記第５の情報処理システムであって、前記情報処理システムには、前記クライアント装置に前記通信網で接続され、前記秘密ファイルを扱う上でのポリシを定義したポリシ定義情報を一つ以上格納するサーバ装置を含み、前記サーバ装置が、前記暗号化及び復号モジュールと同じ、或いはこれに対応した暗号化及び復号モジュールと、前記クライアント装置からのアクセスの要求指定情報を復号し、前記要求指定情報がポリシ定義ファイル取得であれば、ポリシ定義情報を前記暗号化及び復号モジュールで暗号化し返信する手段とを有し、前記セキュリティ仮想マシンが、オペレーティングシステムに対し、セキュアな方法による、即ち、前記暗号化及び復号モジュールを使用した通信による、ポリシ定義情報取得を指示する手段と、取得したポリシ定義情報の内容に従って、前記システムコールの改変を行う手段を有する。

本発明の第７の情報処理システムは、前記第６の情報処理システムであって、前記情報処理システムには、前記クライアント装置に前記通信網で接続され、前記秘密ファイルのユーザについて各ユーザの識別情報とパスワードとそのユーザに適用される前記ポリシ定義情報の識別情報を含む認証データベースを格納するサーバ装置を含み、前記クライアント装置が、前記機密ファイルやポリシ定義情報にアクセスする際に、要求指定の他にユーザ識別とパスワードを送信する手段を有し、前記機密ファイルを格納するサーバ装置が、前記クライアント装置からのアクセスを受けると前記ユーザ識別とパスワードを伴って、前記認証データベースを格納するサーバ装置に認証要求する手段と、認証結果に応じて要求を処理する手段とを有し、前記ポリシ定義情報を格納するサーバ装置が、前記クライアント装置からのアクセスを受けると前記ユーザ識別とパスワードを伴って、前記認証データベースを格納するサーバ装置に認証要求する手段と、認証されれば、指定されたポリシ定義情報を読み出し、暗号化して返信する手段を有し、前記認証データベースを格納するサーバ装置は、前記認証要求を受け、受信したユーザ識別とパスワードの組が認証データベースに登録されているかを確認し、認証結果を返信し、前記ポリシ定義情報を格納するサーバ装置からの問い合わせであれば、認証した場合にはポリシ定義情報の指定情報も返信する手段を有する。

本発明の第１のクライアント装置は、通信網で接続されたウェブサーバ装置にアクセスし、ファイルアクセスに関するシステムコール内容をセキュアな内容に改変するセキュリティ仮想マシンモジュールと展開モジュールを対応付けたセキュリティモジュールをロードする手段と、前記展開モジュールを解釈し、セキュリティ仮想マシンモジュールを自装置にインストールしてセキュリティ仮想マシンを生成し、当該セキュリティ仮想マシンを起動する展開手段を備え、前記セキュリティ仮想マシンが、通信網を通じたファイルアクセスをするプログラムが起動されると該プログラムとオペレーティングシステムの間に自身を介在させ、介在を受けたプログラムが起動する任意のプログラムについても同様に自身を介在させる手段と、前記プログラムが発行するファイルアクセスに関するシステムコールの内容をセキュアな内容に改変しオペレーティングシステムに渡す手段を有する。

本発明の第２のクライアント装置は、前記第１のクライアント装置であって、更に、前記セキュリティ仮想マシンが、前記プログラムが発行する表示のシステムコールの内容を、セキュリティ仮想マシン上で動作しているプログラムであることを示すシンボルが追加された表示のシステムコールに改変する手段を有する。

本発明の第３のクライアント装置は、前記第２のクライアント装置であって、前記セキュリティモジュールには、一組以上の暗号化及び復号モジュールを含み、前記展開手段がセキュリティ仮想マシンモジュールと前記暗号化及び復号モジュールを自装置にインストールし起動する様にし、前記セキュリティ仮想マシンが、通信網を通じたファイルアクセスをする際に発行されるシステムコールを、情報を通信路に出入力する際に前記暗号化及び復号モジュールにより暗号化及び復号して扱うシステムコールに改変する手段を有する。

本発明の第４のクライアント装置は、前記第３のクライアント装置であって、前記セキュリティ仮想マシンが、前記プログラムがファイルの記憶装置への格納を指示するシステムコールを発行すると、前記システムコールの内容を、ファイルの情報を前記一組以上の暗号化及び復号モジュールの内の一つのモジュールを使用して暗号化し、一時ファイルとして格納するシステムコールに改変する手段を有する。

本発明の第５のクライアント装置は、前記第３、または第４のクライアント装置であって、前記セキュリティ仮想マシンが、起動されると、オペレーティングシステムに対し、前記暗号化及び復号モジュールを使用した通信により、通信網を通じアクセスするファイルの扱いを定義したポリシ定義情報の取得を指示する手段と、取得したポリシ定義情報の内容に従って、前記システムコールの改変を制御する手段を有する。

本発明の第１のプログラムは、通信網を通じたファイルアクセスをするプログラムが起動されると前記プログラムとオペレーティングシステムの間に自身を介在させ、更に介在されたプログラムが起動する任意のプログラムについても、同様に自身を介在させる手順と、前記プログラムが発行する表示のシステムコールの内容を、セキュリティ仮想マシン上で動作しているプログラムであることを示すシンボルが追加された表示のシステムコールに改変する手順と、前記プログラムが発行するファイルアクセスに関するシステムコールの内容をセキュアな内容に改変しオペレーティングシステムに渡す手順とをコンピュータに実行させる。

本発明の第２のプログラムは、前記第１のプログラムであって、前記ファイルアクセスに関するシステムコールの改変を行う手順として、通信網を通じたファイルアクセスをする際に発行されるシステムコールを、情報を通信路に出入力する際に暗号化及び復号して扱うシステムコールに改変する手順をコンピュータに実行させる。

本発明の第３のプログラムは、前記第２のプログラムであって、前記ファイルアクセスに関するシステムコールの改変を行う手順として、更に、ファイルの記憶装置への格納を指示するシステムコールをファイルの情報を暗号化し、一時ファイルとして格納するシステムコールに改変する手順をコンピュータに実行させる。

本発明の第４のプログラムは、前記第２、または第３のプログラムであって、起動されると、通信網で接続されたサーバ装置から、暗号化通信を用い、通信網を通じアクセスするファイルの扱いを定義したポリシ定義情報を取得する様指示する手順と、取得したポリシ定義情報の内容に従って、前記ファイルアクセスに関するシステムコールの改変を制御する手順とをコンピュータに実行させる。

本発明の第１のファイルアクセス制御方法は、クライアント装置のファイルアクセスを制御する方法であって、通信網で接続されたウェブサーバ装置にアクセスし、ファイルアクセスに関するシステムコール内容をセキュアな内容に改変するセキュリティ仮想マシンモジュールと展開モジュールを対応付けたセキュリティモジュールをロードする手順と、前記展開モジュールを解釈し、セキュリティ仮想マシンモジュールを自装置にインストールしてセキュリティ仮想マシンを生成し、当該セキュリティ仮想マシンを起動する展開手順と、前記セキュリティ仮想マシンの制御により、通信網を通じたファイルアクセスをするプログラムが起動されると前記プログラムとオペレーティングシステムの間にセキュリティ仮想マシンを介在させ、更に介在されたプログラムが起動する任意のプログラムについても、同様にセキュリティ仮想マシンを介在させる手順と、前記プログラムが発行する表示のシステムコールの内容を、セキュリティ仮想マシン上で動作しているプログラムであることを示すシンボルが追加された表示のシステムコールに改変する手順と、前記プログラムが発行するファイルアクセスに関するシステムコールの内容をセキュアな内容に改変しオペレーティングシステムに渡す手順を有する。

本発明の第２のファイルアクセス制御方法は、前記第１のファイルアクセス制御方法であって、前記セキュリティモジュールには、一組以上の暗号化及び復号モジュールを含み、前記展開手順がセキュリティ仮想マシンモジュールと前記暗号化及び復号モジュールを自装置にインストールする様にし、前記ファイルアクセスに関するシステムコールの改変を行う手順として、通信網を通じたファイルアクセスをする際に発行されるシステムコールを、情報を通信路に出入力する際に暗号化及び復号して扱うシステムコールに改変する手順を有する。

本発明の第３のファイルアクセス制御方法は、前記第２のファイルアクセス制御方法であって、前記ファイルアクセスに関するシステムコールの改変を行う手順として、更に、ファイルの記憶装置への格納を指示するシステムコールをファイルの情報を暗号化し、一時ファイルとして格納するシステムコールに改変する手順を有する。

本発明の第４のファイルアクセス制御方法は、前記第２、または第３のファイルアクセス制御方法であって、前記セキュリティ仮想マシンの制御により、通信網で接続された装置から、暗号化通信を用いポリシ定義情報を取得する様指示する手順と、取得したポリシ定義情報の内容に従って、前記ファイルアクセスに関するシステムコールの改変を制御する手順とを有する。

本発明によれば、クライアント装置が通信網を通じたファイルアクセスをする場合や、ファイルを記憶装置に格納する場合のセキュリティを向上させるセキュリティ仮想マシンが通信網を通じ配信され、そのセキュリティ仮想マシンが、通信網を通じたファイルアクセスをするプログラムを自身の上で動作させ、そのプログラムが呼び出すプログラムも自身の上で動作させ、これらプログラムが発行するシステムコールが、通信網を通じ行うファイルアクセスやその後の記憶装置への通常の格納に対応する場合には、その内容を改変するので、クライアント装置が独自にセキュリティ向上のためのプログラムやツールを備えておく必要がなく、さらにファイルを扱うプログラムを限定せずに、ファイルの漏洩や拡散を防止できる効果を有している。

次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。図１は本発明の情報処理システムの全体構成を示したブロックである。図１を参照すると、本発明の情報処理システムは、クライアント装置１０１、機密文書サーバ３０１、ポリシ配信サーバ４０１、ＶＭ配信サーバ５０１、認証サーバ６０１、及びこれらを相互に通信接続する通信網２０１から構成されている。

尚、クライアント装置１０１の台数に限らず、前記各サーバについても複数台含む構成であってもよい。通信網２０１は、インターネットやイントラネットなどの通信網である。

クライアント装置１０１は、ワークステーションやパーソナルコンピュータ等のプログラム制御で動作する装置であり、内部にハードディスク等の記憶装置１０６、と図示しないＣＰＵとメインメモリを備えている。

メモリにはオペレーティングシステム１１０とその上で稼動するプログラム１０２、ＷＷＷブラウザ１０９（World Wide Webブラウザ）が展開されている。

クライアント装置１０１には、キーボード等の入力装置１１２とディスプレイなどの表示装置１１１とが信号線で接続されており、オペレーティングシステム１１０を通じて、それぞれデータの入出力が可能である。また、通信網２０１とも、ＩＥＥＥ８０２．３で標準化されているイーサネット（登録商標）カード（図示せず）を通じて接続している。

プログラム１０２は、文書の作成および編集が可能なプログラムであり、これら機能を備えた既存のプログラムを含む。記憶装置１０６には任意数の一時ファイル１０７および通常ファイル１０８が存在する。

記憶装置１０６上のファイルにアクセスできるかどうかは、ＶＭ１０４（セキュリティ仮想マシン）上で動作するプログラムかどうかを判断基準として、図４により決定する。また、ＶＭ１０４はその上で動作するプログラムがデータを通常ファイル１０８として書き込む場合、暗号化・復号手段（Ａ）１０３により、書込内容の暗号化を実施し、一時ファイル１０７として書き込む。前記プログラムが一時ファイルの読み出しを行なう場合、暗号化・復号手段（Ａ）１０３により、読出した内容の復号を実施する。

ＶＭ１０４はその上で動作するプログラムが通信網２０１を介した通信を行う場合、その内容を暗号化・復号手段（Ｂ）１０５により、ＩＰＳｅｃ（Security Architecture for Internet Protocol）やＳＳＬ（Security Socket Layer）などの規格に基づく、暗号化および復号を実施する。

次に機密文書サーバ３０１、ポリシ配信サーバ４０１、ＶＭ配信サーバ５０１、認証サーバ６０１の各サーバについて説明する。これらのサーバは、図示しないＣＰＵとメインメモリを備えプログラム制御で動作する情報処理装置である。

機密文書サーバ３０１には、機密情報を含む機密文書ファイル３０４がハードデイスク等の記憶装置３０３に任意数格納されている。機密文書ファイル３０４の例としては、ワープロ文書、表計算文書などが挙げられる。

ポリシ配信サーバ４０１には、ハードデイスク等の記憶装置４０３に１個以上のポリシ定義ファイル４０４が格納されている。これらは、機密文書ファイル３０４の扱いについてセキュリティ方針を定義したファイルであり、クライアント装置１０１を操作するユーザごとに、それぞれ適したものを使い分ける。各ユーザが使用するポリシ定義ファイルの名称（指定情報）は認証ＤＢ６０３（認証データベース）内のテーブルに事前準備する。

機密文書サーバ３０１、ポリシ配信サーバ４０１の両サーバは、それぞれクライアント装置１０１と同規格のイーサネット（登録商標）カードを備え、通信網２０１を介した通信が可能である。通信にあたってはクライアント装置１０１と同様に、暗号化・復号手段（Ｃ）３０２や暗号化・復号手段（Ｄ）４０２により、送信情報の暗号化および受信情報の復号を実施する。

ＶＭ配信サーバ５０１は、ＷＷＷサーバ等により構築し、ハードデイスク等の記憶装置５０２にＶＭファイル５０３を備える。このサーバは任意の時刻にＷＷＷブラウザ１０９を介してアクセス可能であり、ＶＭファイル５０３をダウンロードできる。

ＶＭファイル５０３は、ＶＭ１０４と暗号化・復号手段（Ａ）１０３と暗号化・復号手段（Ｂ）１０５及びこれらをクライアント装置１０１に展開する機能を持つプログラムとを単一のパッケージとして固めたものである。

前記プログラムはＡｃｔｉｖｅＸ（マイクロソフト社の登録商標）などのＷＷＷブラウザと密に連携するプログラムとして構成する。

クライアント装置１０１に展開したＶＭ１０４は自身の上でプログラム１０２を作動させることができるが、プログラム１０２がオペレーティングシステム１１０に発行するシステムコールを、ポリシ定義ファイル４０４の内容に従って改変する機能を有している。

認証サーバ６０１はリレーショナルデータベースサーバ等で構築され、認証ＤＢ６０３を備える。図５は認証ＤＢ６０３の内容例を示した図である。認証ＤＢ６０３には単一の表が存在し、表はユーザ数に対応して任意数の行を含む。行の内容はユーザのＩＤ、パスワードおよびそのユーザが使用するポリシ定義ファイルの名称を含む。

認証サーバ６０１は、機密文書サーバ３０１およびポリシ配信サーバ４０１からのアクセスを常時受け付ける。両サーバが、ＳＱＬ（Structured Query Language)で記述したクエリを用いて、認証ＤＢ６０３に特定の内容が含まれるかどうかを訊ねると、検索した結果を返す。

また、本情報処理システムの管理者はＷＷＷブラウザ１０９を用いて、認証ＤＢ６０３の任意の行の改変が可能である。

次に、各構成要素の動作を説明する。ユーザの操作指示を受けＷＷＷブラウザ１０９はＶＭ配信サーバ５０１へアクセスし、通信網２０１を通じて、ＶＭファイル５０３をダウンロードする。ＶＭファイル５０３がダウンロードされると、ＷＷＷブラウザ１０９は前記展開する機能を持つプログラムを解釈し暗号化・復号手段（Ａ）１０３と暗号化・復号手段（Ｂ）１０５とＶＭ１０４とをクライアント装置１０１に展開する（インストールする）。さらにＶＭ１０４を起動する。

次にＶＭ１０４内の初期化関数がオペレーティングシステム１１０上で走行し、ポリシ配信サーバ４０１へアクセスし、ポリシ定義ファイル４０４を取得する。取得の際に使用する通信路においては、認証情報（例えば、クライアントを操作するユーザのＩＤとパスワード）を鍵として、暗号化・復号手段（Ｂ）１０５および暗号化・復号手段（Ｄ）４０２で取得要求情報や応答するポリシ定義ファイル４０４の暗号化・復号を実施する。

また、ポリシ配信サーバ４０１は、認証サーバ６０１を用いて正規のユーザが操作するクライアントからの取得動作であることを確認する。確認のクエリを受けた認証サーバ６０１は、認証ＤＢ６０３（認証データベース）に格納された認証情報のうち、ユーザのＩＤ（識別）とパスワードの組が送信されたものと一致するかを判定し結果を返す。

ＶＭ１０４は、ポリシ定義ファイル４０４の取得完了を契機として、オペレーティングシステム１１０にＷＷＷブラウザの起動を要求する。或いは、メッセージを表示しユーザに起動を促す。ここで、ＷＷＷブラウザは通信網を通じたファイルアクセスをするプログラムの代表例である。

オペレーティングシステム１１０はＷＷＷブラウザ１０９が既に起動されていれば、プログラム１０２としてＷＷＷブラウザ（＃２）即ち、ＷＷＷブラウザインスタンス＃２とこれがローカルに専用使用するシステムコールプログラムを準備する。

ＶＭ１０４は、前記システムコールプログラムがコールする先をＶＭ１０４に変更する。或いはオペレーティングシステム１１０に依頼し、コール先を変更する。また、システムコールのパラメータも中継するようにしてもよい。

これにより、プログラム１０２（ＷＷＷブラウザ（＃２））はＶＭ１０４にシステムコールを発行する。以降前記プログラム１０２からプログラム１０２’を起動する（呼び出す）場合、起動要求のシステムコールをＶＭ１０４が中継しているので同様にプログラム１０２’に対応した専用のシステムコールプログラムのコール先もＶＭ１０４に変更する。従って、ＶＭ１０４がプログラム１０２’とオペレーティングシステム１１０の間にも自身を介在させる。

従って、図２に示す様にＶＭ１０４が起動された後に起動されたプログラム１０２だけでなく、ＶＭ１０４に介在された状態で動作している（ＶＭ１０４上で動作している）プログラム１０２から起動された他のプログラム１０２’も、同様にＶＭ１０４が介在する（ＶＭ１０４上で動作する）。以降、プログラム１０２’およびその子孫から起動するプログラムはすべて、これらプログラムとオペレーティングシステム１１０の間にＶＭ１０４が介在する。

プログラム１０２が送信するシステムコールをＶＭ１０４が一旦検査し、ファイルアクセスやプログラム画面表示のシステムコールでなければ改変せずにオペレーティングシステム１１０に送信する。

ファイルアクセスに関するシステムコールであればポリシ定義ファイル４０４に従ってシステムコールの内容をセキュアな（安全な）内容に改変したのちにオペレーティングシステム１１０に送信する。

ポリシ定義ファイル４０４の適用条件に該当しない関連システムコールはそのままオペレーティングシステム１１０に送信する。

プログラム１０２（ＷＷＷブラウザ（＃２））やプログラム１０２’はＶＭ１０４を介さなければ、オペレーティングシステム１１０にシステムコールを送信することができない。

システムコールには、記憶装置１０６および表示装置１１１への入出力を含む。ＶＭ１０４上で動作するプログラムが発行したシステムコールごとに、その改変方式を説明する。

システムコールが記憶装置１０６への入出力であれば、図４に示す様に、プログラム１０２がＶＭ１０４上で動作しているか否かで、ファイルへのアクセス制御を実施する。プログラム１０２がアクセスできない領域へ入出力を実施するシステムコールは無条件に失敗する。同時に、記憶装置への入出力のうち、一時ファイルを対象とするものの場合、暗号化・復号手段（Ａ）１０３による、暗号化・復号処理を伴う。

システムコールが表示装置１１１への出力であれば、本来の表示装置への出力に加え、ＶＭ１０４上で動作していることをユーザが同表示装置を用いて目視で判断できるようなシンボルの出力も同時に行う。例えば、図３に示す様に、ＶＭ１０４上で動作しているプログラムの表示７０１は、ＶＭ１０４上で動作していないプログラムの表示７０２に比べて、シンボル７０３を追加している。

システムコールが通信網２０１への入出力であれば、プログラム１０２がＶＭ１０４上で動作している場合、ポリシ定義ファイル４０４を基にアクセス制御を実施する。同ポリシ定義ファイルで許可したサーバ以外への入出力は失敗する。また、許可したサーバへの通信であっても、通信路上での盗聴を防ぐため、暗号化・復号手段（Ｂ）１０５で通信内容の暗号化を実施する。このときの鍵として、認証情報を用いる。

他にも、印刷装置および他のプログラムへの入出力などもシステムコールにあたるため、適切に制御する。

次に、機密文書サーバ３０１の説明を補足しておく。同サーバはＶＭ１０４上で動作するプログラム１０２からの通信を受理する際、暗号化・復号手段（Ｃ）３０２で通信内容を復号する。機密文書サーバ３０１は各クライアント装置１０１から通信要求があるたび、認証サーバ６０１から鍵、つまり、認証情報を問い合わせ、以降の通信内容を復号する。復号に成功した場合のみ、機密文書ファイル３０４へのアクセスを許可する。復号に失敗した場合、アクセスを拒否する。

次に、ポリシ配信サーバ４０１説明を補足しておく。機密文書サーバ３０１と同様の手順により、暗号化・復号手段（Ｄ）４０２を用いた通信路の復号を実施する。ユーザのＩＤごとにアクセスできるポリシ定義ファイルが異なり、どのファイルを用いるかは認証サーバ６０１内の認証ＤＢ６０３に事前設定する。

次に、本発明を実施するための最良の形態の動作について図面を参照して説明する。第１の動作例として、表計算ソフトウェアをＶＭ１０４上で動作させて、機密文書ファイル３０４を閲覧・編集する場合について、図６及び図７のシーケンスチャートを参照し説明する。

あるクライアント装置１０１で、任意の時刻にユーザ指示を受け、ＷＷＷブラウザ１０９がＶＭ配信サーバ５０１にダウンロード要求する（ステップＳ１）。ＶＭ配信サーバ５０１がＶＭファイル５０３を返信する（ステップＳ２）。

ＷＷＷブラウザ１０９がダウンロード後暗号化・復号手段（Ａ）１０３、ＶＭ１０４および暗号化・復号手段（Ｂ）１０５をクライアント装置１０１上へ展開する（ステップＳ３）。

ＶＭ１０４が起動され、これがポリシ配信サーバ４０１からポリシ定義ファイル４０４を取得する。取得に先立ち必要な認証情報は表示装置１１１を用いてユーザに尋ね、ＩＤとパスワードを入力させ、ポリシ定義ファイル要求とともに送信する（ステップＳ４）。

認証情報を受け取ったポリシ配信サーバ４０１はそれが真正なものであるかどうか、認証サーバ６０１に尋ねる（ステップＳ５）。認証サーバ６０１は認証ＤＢ６０３を調べ、認証ＤＢ６０３に格納している表の任意の行に、ユーザの入力したＩＤとパスワードの両方が一致する行が存在するか否かを返す。一致する行がある場合のみ、認証が成功したとみなし、前記行に記載されたポリシ定義ファイル名も返す（ステップＳ６）。

認証が成功すると認証情報を鍵として、暗号化・復号手段（Ｄ）４０２で受信内容を復号し（ステップＳ７）、ポリシ定義ファイル要求に対し、前記受信したファイル名のポリシ定義ファイルを読み出し、これを暗号化・復号手段（Ｄ）４０２で暗号化し返信する（ステップＳ８）。尚、認証が成功しなかった場合、ポリシ定義ファイル４０４は取得できず、以降の処理を続行できない。受信したポリシ定義ファイルが暗号化・復号手段（Ｂ）１０５で復号される（ステップＳ９）。

次に、ＶＭ１０４がプログラム１０２（ＷＷＷブラウザ（＃２））をＶＭ１０４上で動作するプログラムとして起動する（ステップＳ１０）。それぞれのＷＷＷブラウザは互いに疎であり、保持する情報が混在しないものとする。

また、ＶＭ１０４上で動作しているプログラム１０２には、ＶＭ１０４によるシステムコールの改変により、図３に示すシンボル７０３（例えば、アイコン、テキスト、旗、ウォーターマークなど）を追加して表示する（ステップＳ１１）。これにより、ユーザがプログラム１０２（ＷＷＷブラウザ（＃２））がセキュアモードで動作していることを確認できる。

ユーザからの指示を受けプログラム１０２は、機密文書サーバ３０１の機密文書ファイル３０４の取得を要求する（ステップＳ１２）。このとき、ＶＭ１０４はシステムコールの改変を行い、機密文書サーバ３０１に到達するまでの通信路に流す要求内容を、認証情報を用いて暗号化・復号手段（Ｂ）１０５で暗号化する（ステップＳ１３）。機密文書サーバ３０１は、受信した認証情報が登録されているかを認証サーバ６０１に訊ね（ステップＳ１４）、結果を受け（ステップＳ１５）、認証成功であれば要求情報を復号する（ステップＳ１６）。

要求された機密文書ファイル３０４も同様に認証情報を用いて暗号化し送信する（ステップＳ１７）。クライアント装置１０１で返信された情報が暗号化・復号手段（Ｂ）１０５で復号される（ステップＳ１８）。

プログラム１０２は取得した機密文書ファイル３０４を一時ファイル１０７として、記憶装置１０６に格納する。このとき、ＶＭ１０４は図４に従い、システムコールのパラメータを改変することで、暗号化・復号手段（Ａ）１０３によって、一時ファイル１０７の暗号化を実施する（ステップＳ１９）。

同時に、プログラム１０２は機密文書ファイル３０４に対応する、閲覧・編集プログラムを起動する。図２に示す様に、プログラム１０２から起動した閲覧・編集プログラムもまた、ＶＭ１０４上で作動する（ステップＳ２０）。

ユーザは起動した閲覧・編集プログラムを用いて、機密文書ファイル３０４を取り扱う。ユーザが通常ファイル１０８として保存しようと試みても、閲覧・編集プログラムがＶＭ１０４上で動作しているため、図４に従い暗号化して一時ファイル１０７として保存する。即ち、ＶＭ１０４上で動作している場合のファイル書込は、「暗号化して一時ファイルとして書き込み」しか定義（許可）されてないのでその様にする（ステップＳ２１）。

また、通信網２０１を通じてポリシ定義ファイル４０４により許可されたサーバへ機密文書ファイル３０４の内容を送出すると、暗号化・復号手段（Ｂ）１０５により暗号化する（ステップＳ２２）。従ってこれに対応した、暗号化・復号手段（Ｃ）３０２もしくは暗号化・復号手段（Ｄ）４０２を所有する、機密文書サーバ３０１もしくはポリシ配信サーバ４０１以外では送出した内容を復号できない。また、一時ファイル１０７は、ＶＭ１０４上動作するプログラムが全て終了し無くなった段階では削除されている。このようにして、秘密文書の漏洩を防止する。

第２の動作例として、ＶＭ１０４上で動作していないプログラムが、機密文書サーバ３０１にアクセスしても機密文書ファイル３０４が取得できない例を挙げる。

ＶＭ１０４上で動作していないプログラムは、暗号化・復号手段（Ｂ）１０５を利用できないため、通信路に流れるデータは平文である。平文を機密文書サーバ３０１上の暗号化・復号手段（Ｃ）３０２で復号を試みた場合、同サーバが解釈できないデータとなる。解釈できない要求を処理できないため、結果として、プログラムは機密文書ファイル３０４を要求できない。このようにして、第２の動作例においても秘密文書の漏洩を防止する。

以上、本発明の実施形態の説明では、本情報処理システムには、ＶＭ配信サーバ５０１、機密文書サーバ３０１、ポリシ配信サーバ４０１、認証サーバ６０１の各サーバがそれぞれ専用のサーバ装置にて構成する例で説明したが、１〜２台のサーバ装置に、上記４つのサーバ（サービス処理機能）を備える構成であってもよい。

また、クライアント装置１０１にポリシ配信サーバ４０１が通信接続されている形態を説明したが、機密文書サーバ３０１のユーザごとに方針を決めない場合には、ＶＭファイル５０３に共通の定義を含める等により、ポリシ配信サーバ４０１を本情報処理システムに含めないようにしてもよい。

更に、認証ＤＢ６０３の内容をユーザＩＤとパスワードとし、機密文書サーバ３０１に持たせるようにし、認証サーバ６０１を本情報処理システムに含めないようにしてもよい。

以上説明したように本発明によれば、ＶＭ１０４上で動作するプログラムがリモートファイルアクセスを行なう場合、通信路に送出する情報の暗号化および受信情報の復号の実施するシステムコールに改変するので、通信路での漏洩が抑止される。

また、ＶＭ１０４上で動作するプログラムがファイル情報の記憶装置に対する格納を行った場合、ファイル情報を暗号化し且つ通常ファイルとしてではなく、一時ファイルとして、保管するので機密文書ファイルの拡散（残留）や漏洩が抑止される。

更に、ＶＭ１０４上で動作するプログラムであることを示すシンボルの追加表示を行うので、ユーザ（操作者）が処理内容（セキュリティレベル）を把握できる。

本発明の情報処理システムの全体構成を示したブロックである。 本発明において、ＶＭ１０４上で動作するプログラム（ＶＭ１０４に介在されるプログラム）が派生する様子を示した図である。 本発明において、（１）はＶＭ１０４上で動作していないプログラムの表示を示した図で、（２）はＶＭ１０４上で動作しているプログラムの表示例を示した図である。 本発明のプログラム動作環境別のファイルアクセス動作の種類と形態を示した図である。 本発明の認証ＤＢ６０３の内容例を示した図である。 本発明の情報処理システムの第１の動作例を示したシーケンスチャートである。 本発明の情報処理システムの第１の動作例を示したシーケンスチャートである。

符号の説明

１０１ クライアント装置
１０２、１０２’ プログラム
１０３ 暗号化・復号手段（Ａ）
１０４ ＶＭ
１０５ 暗号化・復号手段（Ｂ）
１０６ 記憶装置
１０７ 一時ファイル
１０８ 通常ファイル
１０９ ＷＷＷブラウザ
１１０ オペレーティングシステム
１１１ 表示装置
１１２ 入力装置
２０１ 通信網
３０１ 機密文書サーバ
３０２ 暗号化・復号手段（Ｃ）
３０３ 記憶装置
３０４ 機密文書ファイル
４０１ ポリシ配信サーバ
４０２ 暗号化・復号手段（Ｄ）
４０３ 記憶装置
４０４ ポリシ定義ファイル
５０１ ＶＭ配信サーバ
５０２ 記憶装置
５０３ ＶＭファイル
６０１ 認証サーバ
６０３ 認証ＤＢ

Claims (18)

1. クライアント装置とウェブサーバ装置が通信網で接続された情報処理システムであって、
   前記ウェブサーバ装置は、プログラムが行うファイルアクセスに関するシステムコール内容をセキュアな内容に改変するセキュリティ仮想マシンモジュールとこれを展開するモジュールとを対応付けてセキュリティモジュールとして記憶部に保持し、前記セキュリティモジュールを要求に応じ配信する手段を備え、
   前記クライアント装置が、前記セキュリティモジュールをロードする手段と、
   前記展開するモジュールを解釈し、セキュリティ仮想マシンモジュールを自装置にインストールしてセキュリティ仮想マシンを生成し、当該セキュリティ仮想マシンを起動する展開手段を備え、
   前記セキュリティ仮想マシンが、通信網を通じたファイルアクセスをするプログラムが起動されると該プログラムとオペレーティングシステムの間に自身を介在させ、介在を受けたプログラムが起動する任意のプログラムについても同様に自身を介在させる手段と、
   前記プログラムが発行するファイルアクセスに関するシステムコールの内容をセキュアな内容に改変しオペレーティングシステムに渡す手段と、
   前記プログラムが発行する表示のシステムコールの内容を、セキュリティ仮想マシン上で動作しているプログラムであることを示すシンボルが追加された表示のシステムコールに改変する手段と、
   を有することを特徴とする情報処理システム。
2. 前記セキュリティモジュールには、一組以上の暗号化及び復号モジュールを含み、これらのモジュールも展開対象とし、前記クライアント装置の展開手段がセキュリティ仮想マシンモジュールと前記暗号化及び復号モジュールを自装置にインストールし起動する様にし、
   前記通信網上の情報にアクセスする際に発行されるシステムコールを、情報を通信路に出入力する際に前記暗号化及び復号モジュールにより暗号化及び復号して扱うシステムコールに改変する手段を有することを特徴とする請求項１記載の情報処理システム。
3. 前記セキュリティ仮想マシンが、前記プログラムがファイルの記憶装置への格納を指示するシステムコールを発行すると、前記システムコールの内容を、格納ファイルの情報を前記一組以上の暗号化及び復号モジュールの内の一つのモジュールを使用して暗号化し、一時ファイルとして格納するシステムコールに改変する手段を有することを特徴とする請求項２に記載の情報処理システム。
4. 前記情報処理システムには、前記クライアント装置に前記通信網で接続され、機密ファイルを格納するサーバ装置を含み、
   前記サーバ装置が、前記暗号化及び復号モジュールと同じ、或いはこれに対応した暗号化及び復号モジュールと、前記クライアント装置からのアクセスの要求指定情報を復号し、前記要求指定情報が秘密ファイルの取得であれば、秘密ファイルを前記暗号化及び復号モジュールで暗号化し返信する手段を有することを特徴とする請求項２、または３に記載の情報処理システム。
5. 前記情報処理システムには、前記クライアント装置に前記通信網で接続され、前記秘密ファイルを扱う上でのポリシを定義したポリシ定義情報を一つ以上格納するサーバ装置を含み、
   前記サーバ装置が、前記暗号化及び復号モジュールと同じ、或いはこれに対応した暗号化及び復号モジュールと、前記クライアント装置からのアクセスの要求指定情報を復号し、前記要求指定情報がポリシ定義ファイル取得であれば、ポリシ定義情報を前記暗号化及び復号モジュールで暗号化し返信する手段とを有し、
   前記セキュリティ仮想マシンが、オペレーティングシステムに対し、セキュアな方法による、即ち、前記暗号化及び復号モジュールを使用した通信による、ポリシ定義情報取得を指示する手段と、取得したポリシ定義情報の内容に従って、前記システムコールの改変を行う手段を有することを特徴とする請求項４に記載の情報処理システム。
6. 前記情報処理システムには、前記クライアント装置に前記通信網で接続され、前記秘密ファイルのユーザについて各ユーザの識別情報とパスワードとそのユーザに適用される前記ポリシ定義情報の識別情報を含む認証データベースを格納するサーバ装置を含み、
   前記クライアント装置が、前記機密ファイルやポリシ定義情報にアクセスする際に、要求指定の他にユーザ識別とパスワードを送信する手段を有し、
   前記機密ファイルを格納するサーバ装置が、前記クライアント装置からのアクセスを受けると前記ユーザ識別とパスワードを伴って、前記認証データベースを格納するサーバ装置に認証要求する手段と、認証結果に応じて要求を処理する手段とを有し、
   前記ポリシ定義情報を格納するサーバ装置が、前記クライアント装置からのアクセスを受けると前記ユーザ識別とパスワードを伴って、前記認証データベースを格納するサーバ装置に認証要求する手段と、認証されれば、指定されたポリシ定義情報を読み出し、暗号化して返信する手段を有し、
   前記認証データベースを格納するサーバ装置は、前記認証要求を受け、受信したユーザ識別とパスワードの組が認証データベースに登録されているかを確認し、認証結果を返信し、前記ポリシ定義情報を格納するサーバ装置からの問い合わせであれば、認証した場合にはポリシ定義情報の指定情報も返信する手段を有することを特徴とする請求項５に記載の情報処理システム。
7. 通信網で接続されたウェブサーバ装置にアクセスし、ファイルアクセスに関するシステムコール内容をセキュアな内容に改変するセキュリティ仮想マシンモジュールと展開モジュールを対応付けたセキュリティモジュールをロードする手段と、
   前記展開モジュールを解釈し、セキュリティ仮想マシンモジュールを自装置にインストールしてセキュリティ仮想マシンを生成し、当該セキュリティ仮想マシンを起動する展開手段を備え、
   前記セキュリティ仮想マシンが、通信網を通じたファイルアクセスをするプログラムが起動されると該プログラムとオペレーティングシステムの間に自身を介在させ、介在を受けたプログラムが起動する任意のプログラムについても同様に自身を介在させる手段と、
   前記プログラムが発行するファイルアクセスに関するシステムコールの内容をセキュアな内容に改変しオペレーティングシステムに渡す手段と、
   前記プログラムが発行する表示のシステムコールの内容を、セキュリティ仮想マシン上で動作しているプログラムであることを示すシンボルが追加された表示のシステムコールに改変する手段と、
   を有することを特徴とするクライアント装置。
8. 前記セキュリティモジュールには、一組以上の暗号化及び復号モジュールを含み、前記展開手段がセキュリティ仮想マシンモジュールと前記暗号化及び復号モジュールを自装置にインストールし起動する様にし、
   前記セキュリティ仮想マシンが、通信網を通じたファイルアクセスをする際に発行されるシステムコールを、情報を通信路に出入力する際に前記暗号化及び復号モジュールにより暗号化及び復号して扱うシステムコールに改変する手段を有することを特徴とする請求項７記載のクライアント装置。
9. 前記セキュリティ仮想マシンが、前記プログラムがファイルの記憶装置への格納を指示するシステムコールを発行すると、前記システムコールの内容を、ファイルの情報を前記一組以上の暗号化及び復号モジュールの内の一つのモジュールを使用して暗号化し、一時ファイルとして格納するシステムコールに改変する手段を有することを特徴とする請求項８に記載のクライアント装置。
10. 前記セキュリティ仮想マシンが、起動されると、オペレーティングシステムに対し、前記暗号化及び復号モジュールを使用した通信により、通信網を通じアクセスするファイルの扱いを定義したポリシ定義情報の取得を指示する手段と、取得したポリシ定義情報の内容に従って、前記システムコールの改変を制御する手段を有することを特徴とする請求項８、または９に記載のクライアント装置。
11. 通信網を通じたファイルアクセスをするプログラムが起動されると前記プログラムとオペレーティングシステムの間に自身を介在させ、更に介在されたプログラムが起動する任意のプログラムについても、同様に自身を介在させる手順と、
    前記プログラムが発行する表示のシステムコールの内容を、セキュリティ仮想マシン上で動作しているプログラムであることを示すシンボルが追加された表示のシステムコールに改変する手順と、
    前記プログラムが発行するファイルアクセスに関するシステムコールの内容をセキュアな内容に改変しオペレーティングシステムに渡す手順とをコンピュータに実行させるためのプログラム。
12. 請求項１１記載のプログラムであって、
    前記ファイルアクセスに関するシステムコールの改変を行う手順として、通信網を通じたファイルアクセスをする際に発行されるシステムコールを、情報を通信路に出入力する際に暗号化及び復号して扱うシステムコールに改変する手順をコンピュータに実行させるためのプログラム。
13. 請求項１２記載のプログラムであって、
    前記ファイルアクセスに関するシステムコールの改変を行う手順として、更に、ファイルの記憶装置への格納を指示するシステムコールをファイルの情報を暗号化し、一時ファイルとして格納するシステムコールに改変する手順をコンピュータに実行させるためのプログラム。
14. 請求項１２、または１３に記載のプログラムであって、
    起動されると、通信網で接続されたサーバ装置から、暗号化通信を用い、通信網を通じアクセスするファイルの扱いを定義したポリシ定義情報を取得する様指示する手順と、取得したポリシ定義情報の内容に従って、前記ファイルアクセスに関するシステムコールの改変を制御する手順とをコンピュータに実行させるためのプログラム。
15. クライアント装置のファイルアクセスを制御する方法であって、通信網で接続されたウェブサーバ装置にアクセスし、ファイルアクセスに関するシステムコール内容をセキュアな内容に改変するセキュリティ仮想マシンモジュールと展開モジュールを対応付けたセキュリティモジュールをロードする手順と、
    前記展開モジュールを解釈し、セキュリティ仮想マシンモジュールを自装置にインストールしてセキュリティ仮想マシンを生成し、当該セキュリティ仮想マシンを起動する展開手順と、
    前記セキュリティ仮想マシンの制御により、通信網を通じたファイルアクセスをするプログラムが起動されると前記プログラムとオペレーティングシステムの間にセキュリティ仮想マシンを介在させ、更に介在されたプログラムが起動する任意のプログラムについても、同様にセキュリティ仮想マシンを介在させる手順と、
    前記プログラムが発行する表示のシステムコールの内容を、セキュリティ仮想マシン上で動作しているプログラムであることを示すシンボルが追加された表示のシステムコールに改変する手順と、
    前記プログラムが発行するファイルアクセスに関するシステムコールの内容をセキュアな内容に改変しオペレーティングシステムに渡す手順を有することを特徴とするファイルアクセス制御方法。
16. 前記セキュリティモジュールには、一組以上の暗号化及び復号モジュールを含み、前記展開手順がセキュリティ仮想マシンモジュールと前記暗号化及び復号モジュールを自装置にインストールする様にし、
    前記ファイルアクセスに関するシステムコールの改変を行う手順として、通信網を通じたファイルアクセスをする際に発行されるシステムコールを、情報を通信路に出入力する際に暗号化及び復号して扱うシステムコールに改変する手順を有することを特徴とする請求項１５に記載のファイルアクセス制御方法。
17. 前記ファイルアクセスに関するシステムコールの改変を行う手順として、更に、ファイルの記憶装置への格納を指示するシステムコールをファイルの情報を暗号化し、一時ファイルとして格納するシステムコールに改変する手順を有することを特徴とする請求項１６に記載のファイルアクセス制御方法。
18. 前記セキュリティ仮想マシンの制御により、通信網で接続された装置から、暗号化通信を用いポリシ定義情報を取得する様指示する手順と、取得したポリシ定義情報の内容に従って、前記ファイルアクセスに関するシステムコールの改変を制御する手順とを有することを特徴とする請求項１６、または１７に記載のファイルアクセス制御方法。

Images