(57)【要約】  ノード内に保存されたデータを保護するための方法およびシステムが開示される。リザイディングノードにおいてセキュリティを危険にさらす試みが検出されると、データは、リザイディングノードから、信用できる仲介ノードであるエスクローノードに移転させることができる。データは、エスクローノードへの送信に先立って、暗号化されてもよい。データのステークホルダは、アクションを取ることができるように、そのような移転について通知されることができる。セキュリティ侵害の試みは、リザイディングノードを自動的に危殆状態に置くことができ、その状態において、所有者は、危殆状態を解消するために、リザイディングノードをセキュリティ局に提出することができる。リザイディングノードの所有者またはユーザが信用できるものでない場合、エスクローノードは、データをオフサイトノードに転送することができる。リザイディングノードは、セキュリティ侵害に関する通知としてメッセージを仲介ノードに送信することができ、仲介ノードによって発行された新しい暗号化鍵を用いてデータを暗号化する。
2009519546.tif 000002
【特許請求の範囲】
【請求項１】
データを保護するための方法であって、
前記方法は、
リザイディングノードに保存されたデータのセキュリティを危険にさらす試みと、前記リザイディングノードに保存された前記データの実際のセキュリティ侵害との少なくとも一方を検出するステップと、
セキュリティを危険にさらす前記試みと、前記実際のセキュリティ侵害との少なくとも一方の検出時に、前記データを前記リザイディングノードからエスクローノードに移転させるステップであって、前記エスクローノードは、信用できる仲介ノードであるステップと
を含むことを特徴とする方法。
【請求項２】
前記エスクローノードの信用は、トラステッドコンピューティンググループのトラステッドネットワークコネクト（ＴＮＣ）の使用を通して達成されることを特徴とする請求項１に記載の方法。
【請求項３】
前記保存データの前記実際のセキュリティ侵害は、プログラム及びコンフィギュレーションデータのハッシュ値を基準値と比較することによって検出されることを特徴とする請求項２に記載の方法。
【請求項４】
前記保存データの前記実際のセキュリティ侵害は、マルウェアの検出によって決定されることを特徴とする請求項２に記載の方法。
【請求項５】
前記データは、前記エスクローノードへの送信のために暗号化されることを特徴とする請求項１に記載の方法。
【請求項６】
前記データは、デジタル著作権管理（ＤＲＭ）超流通を使用して、前記エスクローノードに送信されることを特徴とする請求項１に記載の方法。
【請求項７】
前記データは、対称鍵を安全に転送するための前記トラステッドコンピューティンググループの移行可能鍵機能を使用して、前記エスクローノードに送信されることを特徴とする請求項２に記載の方法。
【請求項８】
前記データのセキュリティを危険にさらす前記試みと、前記データの前記実際のセキュリティ侵害とは、評価手順を通して前記リザイディングノードの挙動メトリックを評価することによって検出されることを特徴とする請求項１に記載の方法。
【請求項９】
前記挙動メトリックは、マルウェアが前記リザイディングノードにおいて検出されたこと、前記リザイディングノードのアンチウイルスソフトウェアが期限切れであること、前記リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのデジタル署名が検証できないこと、前記リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのハッシュコードが検証できないこと、前記リザイディングノードの物理的セキュリティを突破する試みが検出されたこと、前記リザイディングノードが、ある確率で危険にさらされている他のノードにアクセスしたこと、前記リザイディングノードが、ある確率で危険にさらされている他のノードによってアクセスされたこと、ならびに前記リザイディングノードが、ある物理的ロケーションから取り外されたこと、またはある物理的ロケーションに置かれたこと、のうちの少なくとも１つを示すことを特徴とする請求項８に記載の方法。
【請求項１０】
前記評価手順は、１組の順序付けられた規則を含み、各規則について、ある条件が成立しているならば、１組のアクションが取られることを特徴とする請求項８に記載の方法。
【請求項１１】
前記評価手順は、閾値を伴った加重和の形式を取り、各閾値は、異なるセキュリティレベルに関連付けられることを特徴とする請求項８に記載の方法。
【請求項１２】
前記評価手順は、複雑なｉｆ−ｔｈｅｎステートメントの形式を取ることを特徴とする請求項８に記載の方法。
【請求項１３】
前記挙動メトリックも、前記エスクローノードに送信されることを特徴とする請求項８に記載の方法。
【請求項１４】
メッセージを前記データのステークホルダのすべてに送信するステップであって、前記メッセージは、前記データが今は前記エスクローノードに存在することを通知し、それによって、前記ステークホルダが前記セキュリティ侵害を解決するアクションを取るステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項１５】
前記ステークホルダは、前記リザイディングノードの所有者と、前記リザイディングノードのユーザと、前記データの所有者と、を含むことを特徴とする請求項１４に記載の方法。
【請求項１６】
セキュリティ局が、前記リザイディングノードを危殆装置リストに追加することを特徴とする請求項１に記載の方法。
【請求項１７】
前記リザイディングノードの所有者が、前記リザイディングノードを前記セキュリティ局に提出するステップと、
前記セキュリティ局が、前記リザイディングノードを検査するステップと、
前記検査に合格した場合、前記セキュリティ局が、前記リザイディングノードの危殆状態を解消するステップと
をさらに含むことを特徴とする請求項１６に記載の方法。
【請求項１８】
前記セキュリティ局が、前記リザイディングノードにおいて物理的タンパリングが発生したかどうかを決定するステップと、
物理的タンパリングが発生した場合、前記セキュリティ局が、前記エスクローノードに前記物理的タンパリングについて通知するステップと、
前記エスクローノードが、前記データをオフサイトノードに移転させるステップと
をさらに含むことを特徴とする請求項１７に記載の方法。
【請求項１９】
前記セキュリティ局が、前記危殆状態を解消するために、セキュリティ局用に確保されたパスワードを使用することを特徴とする請求項１７に記載の方法。
【請求項２０】
前記リザイディングノードが前記検査に合格した場合、前記セキュリティ局が、前記リザイディングノードを前記危殆装置リストから取り除くステップをさらに含むことを特徴とする請求項１７に記載の方法。
【請求項２１】
前記リザイディングノードが前記検査に合格した場合、前記セキュリティ局が、最初の問題、解決及び前記リザイディングノードの現在の状態を記述した証明書を発行するステップをさらに含むことを特徴とする請求項１７に記載の方法。
【請求項２２】
前記証明書は、前記リザイディングノード内に埋め込まれることを特徴とする請求項２１に記載の方法。
【請求項２３】
前記リザイディングノードの危殆状態は、セキュリティを危険にさらす前記試み及び前記実際のセキュリティ侵害の一方の検出時に自動的に通知されることを特徴とする請求項１に記載の方法。
【請求項２４】
前記危殆状態は、保護メモリにおいて一定のビットを設定することによって通知されることを特徴とする請求項２３に記載の方法。
【請求項２５】
前記エスクローノードが、前記データを前記リザイディングノードの所有者によって指定された代替ノードに移転させるステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項２６】
前記エスクローノードが、装置固有表示を前記代替ノードに適用可能な値で置き換えるために、セキュリティポリシを変換することを特徴とする請求項２５に記載の方法。
【請求項２７】
前記エスクローノードが、デジタル著作権管理（ＤＲＭ）プロトコルを使用して、前記データを前記代替ノードに転送することを特徴とする請求項２５に記載の方法。
【請求項２８】
前記データの所有者が前記データを再請求しない場合、一定の期間の後、前記エスクローノードが、前記データを削除するステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項２９】
前記リザイディングノードの所有者またはユーザは信用できないと前記エスクローノードによって決定された場合、前記エスクローノードが、前記データをオフサイトノードに転送するステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項３０】
前記オフサイトノードは、前記リザイディングノードの前記所有者または前記ユーザが物理的にアクセスできない独立のノードであることを特徴とする請求項２９に記載の方法。
【請求項３１】
前記リザイディングノードの前記所有者またはユーザは、前記データへの制限されたアクセスを与えられることを特徴とする請求項２９に記載の方法。
【請求項３２】
前記制限されたアクセスは、デジタル著作権管理（ＤＲＭ）を使用することによって与えられることを特徴とする請求項３１に記載の方法。
【請求項３３】
前記データが前記リザイディングノード上のどこかにまだ存在しているかどうかを決定するために探索を行うステップであって、それによって前記データが保護または削除されるステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項３４】
データを保護する方法であって、
前記方法は、
リザイディングノードに保存されたデータのセキュリティを危険にさらす試みを検出するステップと、
前記データに関連する使用権を拒否するステップと
を含むことを特徴とする方法。
【請求項３５】
リザイディングノードに保存されたデータを保護する方法であって、
前記方法は、
リザイディングノードに保存されたデータのセキュリティを危険にさらす試みを検出するステップと、
前記データのジェネレーターに前記保存データのセキュリティを危険にさらす前記検出された試みを通知するために、メッセージを前記ジェネレーターに送信するステップであって、それによって、前記ジェネレーターが前記保存データを保護するためのアクションを取るステップと
を含むことを特徴とする方法。
【請求項３６】
前記メッセージは、前記保存データのセキュリティを危険にさらす前記検出された試みについての警告を含むことを特徴とする請求項３５に記載の方法。
【請求項３７】
前記メッセージは、前記保存データのセキュリティを危険にさらす前記検出された試みについての特別な情報をさらに含むことを特徴とする請求項３５に記載の方法。
【請求項３８】
前記データは、前記データが生成されたときに前記データに割り当てられたユニバーサル一意識別子（ＵＵＩＤ）を用いて識別されることを特徴とする請求項３５に記載の方法。
【請求項３９】
データを保護する方法であって、
前記方法は、
リザイディングノードに保存されたデータのセキュリティを危険にさらす試みを検出するステップと、
前記リザイディングノードが、前記保存データのセキュリティを危険にさらす前記検出された試みに関する通知としてメッセージを仲介ノードに送信するステップと、
前記仲介ノードが、前記リザイディングノードに対して新しい暗号化鍵を発行するステップと、
前記リザイディングノードが、前記新しい暗号化鍵を用いて前記データを暗号化するステップと
を含むことを特徴とする方法。
【請求項４０】
暗号化が継続的に実行されるように、前記保存データのセキュリティを危険にさらす前記試みの検出に先立って、前記仲介ノードが、暗号化鍵を提供することを特徴とする請求項３９に記載の方法。
【請求項４１】
前記暗号化鍵は、対称鍵であることを特徴とする請求項３９に記載の方法。
【請求項４２】
前記仲介ノードが、データのバックグラウンド暗号化のために使用される対称鍵を定期的に発行することを特徴とする請求項４１に記載の方法。
【請求項４３】
新しい対称鍵が前記仲介ノードによって発行されるたびに、前記リザイディングノードが、新しい対称鍵を用いて古い対称鍵を暗号化し、前記古い対称鍵を削除することを特徴とする請求項４２に記載の方法。
【請求項４４】
前記対称鍵は、仲介ノードの暗号化鍵によって暗号化されることを特徴とする請求項４２に記載の方法。
【請求項４５】
前記仲介ノードの暗号化鍵は、前記仲介ノードによって知られているだけであることを特徴とする請求項４４に記載の方法。
【請求項４６】
前記仲介ノードによって送信される各対称鍵は、コードを伴い、前記リザイディングノードが、このコードを前記それぞれの対称鍵が暗号化するデータに関連付けることを特徴とする請求項４２に記載の方法。
【請求項４７】
データを保護するためのシステムであって、
リザイディングノードであって、
データを保存するためのユーザデータモジュールと、
前記リザイディングノードにおける前記保存データのセキュリティを危険にさらす試みと、前記保存データの実際のセキュリティ侵害との少なくとも一方を検出するためのセキュリティモジュールと
を含むリザイディングノードと、
前記保存データのセキュリティを危険にさらす前記試みと、前記保存データの前記実際のセキュリティ侵害との少なくとも一方の検出時に、前記データを前記リザイディングノードから移転させるための、信用できる仲介ノードであるエスクローノードと
を含むことを特徴とするシステム。
【請求項４８】
前記エスクローノードの信用は、トラステッドコンピューティンググループのトラステッドネットワークコネクト（ＴＮＣ）の使用を通して達成されることを特徴とする請求項４７に記載のシステム。
【請求項４９】
前記データの前記実際のセキュリティ侵害は、プログラム及びコンフィギュレーションデータのハッシュ値を基準値と比較することによって検出されことを特徴とする請求項４８に記載のシステム。
【請求項５０】
前記データの前記実際のセキュリティ侵害は、マルウェアの検出によって決定されることを特徴とする請求項４８に記載のシステム。
【請求項５１】
前記リザイディングノードが、前記エスクローノードへの送信のために前記データを暗号化することを特徴とする請求項４７に記載のシステム。
【請求項５２】
前記データは、デジタル著作権管理（ＤＲＭ）超流通を使用して、前記エスクローノードに送信されることを特徴とする請求項４７に記載のシステム。
【請求項５３】
前記データは、対称鍵を安全に転送するための前記トラステッドコンピューティンググループの移行可能鍵機能を使用して、前記エスクローノードに送信されることを特徴とする請求項４８に記載のシステム。
【請求項５４】
前記データのセキュリティを危険にさらす前記試みと、前記データの前記実際のセキュリティ侵害とは、評価手順を通して前記リザイディングノードの挙動メトリックを評価することによって検出されることを特徴とする請求項４７に記載のシステム。
【請求項５５】
前記挙動メトリックは、マルウェアが前記リザイディングノードにおいて検出されたこと、前記リザイディングノードのアンチウイルスソフトウェアが期限切れであること、前記リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのデジタル署名が検証できないこと、前記リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのハッシュコードが検証できないこと、前記リザイディングノードの物理的セキュリティを突破する試みが検出されたこと、前記リザイディングノードが、ある確率で危険にさらされている他のノードにアクセスしたこと、前記リザイディングノードが、ある確率で危険にさらされている他のノードによってアクセスされたこと、ならびに前記リザイディングノードが、ある物理的ロケーションから取り外されたこと、またはある物理的ロケーションに置かれたこと、のうちの少なくとも１つを示すことを特徴とする請求項５３に記載のシステム。
【請求項５６】
前記評価手順は、１組の順序付けられた規則を含み、各規則について、ある条件が成立しているならば、１組のアクションが取られることを特徴とする請求項５４に記載のシステム。
【請求項５７】
前記評価手順は、閾値を伴った加重和の形式を取り、各閾値は、異なるセキュリティレベルに関連付けられることを特徴とする請求項５４に記載のシステム。
【請求項５８】
前記評価手順は、複雑なｉｆ−ｔｈｅｎステートメントの形式を取ることを特徴とする請求項５４に記載のシステム。
【請求項５９】
前記挙動メトリックは、前記エスクローノードに送信されることを特徴とする請求項５４に記載のシステム。
【請求項６０】
前記リザイディングノードが、メッセージを前記データのステークホルダのすべてに送信し、前記メッセージは、前記データが今は前記エスクローノードに存在することを通知し、それによって、前記ステークホルダが前記セキュリティ侵害を解決するアクションを取ることを特徴とする請求項４７に記載のシステム。
【請求項６１】
前記ステークホルダは、前記リザイディングノードの所有者と、前記リザイディングノードのユーザと、前記データの所有者と、を含むことを特徴とする請求項６０に記載のシステム。
【請求項６２】
前記リザイディングノードを危殆装置リストに追加するように構成されるセキュリティ局をさらに含むことを特徴とする請求項４７に記載のシステム。
【請求項６３】
前記リザイディングノードの所有者が、前記リザイディングノードを前記セキュリティ局に提出し、前記セキュリティ局が、前記リザイディングノードを検査し、前記検査に合格した場合、前記リザイディングノードの前記危殆状態を解消することを特徴とする請求項６２に記載のシステム。
【請求項６４】
前記セキュリティ局が、前記リザイディングノードにおいて物理的タンパリングが発生したかどうかを決定し、物理的タンパリングが発生した場合、前記エスクローノードに前記物理的タンパリングについて通知し、前記エスクローノードが、前記データをオフサイトノードに移転させることを特徴とする請求項６３に記載のシステム。
【請求項６５】
前記セキュリティ局が、前記危殆状態を解消するために、セキュリティ局用に確保されたパスワードを使用することを特徴とする請求項６３に記載のシステム。
【請求項６６】
前記リザイディングノードが前記検査に合格した場合、前記セキュリティ局が、前記リザイディングノードを前記危殆装置リストから取り除くことを特徴とする請求項６３に記載のシステム。
【請求項６７】
前記リザイディングノードが前記検査に合格した場合、前記セキュリティ局が、最初の問題、解決及び前記リザイディングノードの現在の状態を記述した証明書を発行することを特徴とする請求項６３に記載のシステム。
【請求項６８】
前記証明書は、前記リザイディングノード内に埋め込まれることを特徴とする請求項６７に記載のシステム。
【請求項６９】
前記リザイディングノードの危殆状態は、前記試み及び前記セキュリティ侵害の一方の検出時に自動的に通知されることを特徴とする請求項４７に記載のシステム。
【請求項７０】
前記危殆状態は、保護メモリにおいて一定のビットを設定することによって通知されることを特徴とする請求項６９に記載のシステム。
【請求項７１】
前記エスクローノードが、前記データを前記リザイディングノードの所有者によって指定された代替ノードに移転させることを特徴とする請求項４７に記載のシステム。
【請求項７２】
前記エスクローノードが、装置固有表示を前記代替ノードに適用可能な値で置き換えるために、セキュリティポリシを変換することを特徴とする請求項７１に記載のシステム。
【請求項７３】
前記エスクローノードが、デジタル著作権管理（ＤＲＭ）プロトコルを使用して、前記データを前記代替ノードに転送することを特徴とする請求項７１に記載のシステム。
【請求項７４】
前記データの所有者がデータを再請求しない場合、一定の期間の後、前記エスクローノードが、前記データを削除することを特徴とする請求項４７に記載のシステム。
【請求項７５】
前記リザイディングノードの所有者またはユーザは信用できないと前記エスクローノードによって決定された場合、前記エスクローノードが、前記データをオフサイトノードに転送することを特徴とする請求項４７に記載のシステム。
【請求項７６】
前記オフサイトノードは、前記リザイディングノードの前記所有者または前記ユーザが物理的にアクセスできない独立のノードであることを特徴とする請求項７５に記載のシステム。
【請求項７７】
前記リザイディングノードの前記所有者または前記ユーザは、前記データへの制限されたアクセスを与えられることを特徴とする請求項７５に記載のシステム。
【請求項７８】
前記制限されたアクセスは、デジタル著作権管理（ＤＲＭ）を使用することによって与えられることを特徴とする請求項７７に記載のシステム。
【請求項７９】
前記データが前記システム内のどこかにまだ存在しているかどうかを決定するために、前記リザイディングノード及び前記エスクローノードが探索を行い、それによって前記データが保護または削除されることを特徴とする請求項４７に記載のシステム。
【請求項８０】
データを保護するためのノードであって、
データを保存するためのユーザデータモジュールと、
前記ノード内の前記保存データのセキュリティを危険にさらす試みを検出し、前記保存データに関連する使用権を拒否するためのセキュリティモジュールと
を含むことを特徴とするノード。
【請求項８１】
データを保護するためのシステムであって、
データのジェネレーターと、
リザイディングノードであって、
データを保存するためのユーザデータモジュールと、
前記保存データのセキュリティを危険にさらす試みを検出し、前記保存データのセキュリティを危険にさらす前記試みを前記データの前記ジェネレーターに通知するために、メッセージを前記ジェネレーターに送信し、それによって、前記ジェネレーターが前記保存データを保護するためのアクションを取るためのセキュリティモジュールと
を含むリザイディングノードと
を含むことを特徴とするシステム。
【請求項８２】
前記メッセージは、前記保存データのセキュリティを危険にさらす前記検出された試みについての警告を含むことを特徴とする請求項８１に記載のシステム。
【請求項８３】
前記メッセージは、前記保存データのセキュリティを危険にさらす前記検出された試みについての特別な情報をさらに含むことを特徴とする請求項８１に記載のシステム。
【請求項８４】
前記データは、前記データが生成されたときに前記データに割り当てられたユニバーサル一意識別子（ＵＵＩＤ）を用いて識別されることを特徴とする請求項８１に記載のシステム。
【請求項８５】
データを保護するためのシステムであって、
仲介ノードと、
リザイディングノードであって、
データを保存するためのユーザデータモジュールと、
前記保存データのセキュリティを危険にさらす試みを検出するためのセキュリティモジュールと
を含むリザイディングノードと
を含み、
前記リザイディングノードは、前記保存データのセキュリティを危険にさらす前記試みに関する通知としてメッセージを前記仲介ノードに送信し、前記仲介ノードは、前記リザイディングノードに対して新しい暗号化鍵を発行し、前記リザイディングノードは、前記新しい暗号化鍵を用いて前記保存データを暗号化することを特徴とするシステム。
【請求項８６】
暗号化が継続的に実行されるように、前記保存データのセキュリティを危険にさらす前記試みの検出に先立って、前記仲介ノードが、暗号化鍵を提供することを特徴とする請求項８５に記載のシステム。
【請求項８７】
前記暗号化鍵は、対称鍵であることを特徴とする請求項８６に記載のシステム。
【請求項８８】
前記仲介ノードが、データのバックグラウンド暗号化のために使用される対称鍵を定期的に発行することを特徴とする請求項８５に記載のシステム。
【請求項８９】
新しい対称鍵が前記仲介ノードによって発行されるたびに、前記リザイディングノードが、新しい対称鍵を用いて古い対称鍵を暗号化し、前記古い対称鍵を削除することを特徴とする請求項８８に記載のシステム。
【請求項９０】
前記対称鍵は、仲介ノードの暗号化鍵によって暗号化されることを特徴とする請求項８８に記載のシステム。
【請求項９１】
前記仲介ノードの暗号化鍵は、前記仲介ノードによって知られているだけであることを特徴とする請求項９０に記載のシステム。
【請求項９２】
前記仲介ノードによって送信される各対称鍵は、コードを伴い、前記リザイディングノードが、このコードを前記それぞれの対称鍵が暗号化するデータに関連付けることを特徴とする請求項８８に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データセキュリティに関する。より詳細には、本発明は、ノード内に保存されたデータを保護するための方法及びシステムに関する。
【背景技術】
【０００２】
今日のデジタル世界において、コンピュータセキュリティソフトウェアは、いたる所に存在する。ユーザが利用可能なセキュリティソフトウェア製品の１つは、Ｔｈｅ  ＣｙｂｅｒＡｎｇｅｌ（登録商標）として知られている。Ｔｈｅ  ＣｙｂｅｒＡｎｇｅｌは、コンピュータへの無許可アクセス、またはコンピュータの窃盗の可能性を検出し、数分以内にユーザに警報を発する。Ｔｈｅ  ＣｙｂｅｒＡｎｇｅｌは、無許可アクセスまたは窃盗の可能性が検出されると、通信ポート、マウス及びキーボードをロックし、データ送信を妨げることもできる。こうすることで、侵入者は、どのファイルに対してもアクセス、コピー、ダウンロード、または印刷が行えなくなる。Ｔｈｅ  ＣｙｂｅｒＡｎｇｅｌは、正規ユーザが、自発的パスワードを提供することを要求する。自発的パスワードの入力がないどのような使用も、セキュリティ侵害の試みと見なされる。
【０００３】
別のセキュリティソフトウェア製品は、ＣｏｍｐｕｔｒａｃｅＰｌｕｓとして知られており、盗まれたコンピュータ上のデータは、ＣｏｍｐｕｔｒａｃｅＰｌｕｓによって削除することができる。コンピュータ上のデータを保護するため、ＣｏｍｐｕｔｒａｃｅＰｌｕｓの顧客は、コンピュータが盗まれたときにコンピュータから貴重なデータを削除するデータ削除サービスに申し込むかどうかを選択する。このデータ削除サービスは、窃盗者が、データにアクセスし、データを危険にさらすことを防止する。データ削除サービスは、バックグラウンドで動作して、コンピュータからデータを消去し、コンピュータのオペレーティングシステムを含むように、または除外するように構成することができる。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ノードに存在するセキュリティの状態は、時間とともに変化することがある。一時点で非常に安全であると見なされたノードが、安全でなくなることもある。安全だったときにユーザデータが置かれたノードは、そのセキュリティレベルを継続的（または定期的）に監視し、ノードのセキュリティレベルが低下した場合は、ノード上に存在するデータを保護するためのアクションを取る必要がある。従来のシステムは、ユーザデータに対して一定の操作が実行されたときに監査メッセージを単に送信すること以外に、この問題に対処していない。
【課題を解決するための手段】
【０００５】
本発明は、ノード内に保存されたデータを保護するための方法及びシステムに関する。リザイディングノード（residing  node）においてセキュリティを危険にさらす試みが検出されると、データは、リザイディングノードから、信用できる仲介ノードであるエスクローノード（escrow  node）に移転させることができる。データは、エスクローノードへの送信に先立って、暗号化されてもよい。データのステークホルダ（stakeholder）は、自らがアクションを取ることができるように、そのような移転について通知されることができる。セキュリティ侵害の試みは、リザイディングノードを自動的に危殆状態（compromised  state）に置くことができ、その状態において、所有者は、危殆状態を解消するために、リザイディングノードをセキュリティ局（security  bureau）に提出することができる。リザイディングノードの所有者またはユーザが信用できるものでない場合、エスクローノードは、データをオフサイトノード（off-site  node）に転送することができる。または、データに関連する使用権が、拒否されてもよい。一代替実施形態では、データのジェネレーターにセキュリティ侵害の試みまたは成功を通知するために、メッセージをジェネレーターに送信でき、それによって、ジェネレーターは、データを保護するためのアクションを取る。また別の代替実施形態では、リザイディングノードは、セキュリティ侵害に関する通知としてメッセージを仲介ノードに送信することができ、仲介ノードによって発行された新しい暗号化鍵を用いてデータを暗号化する。
【発明を実施するための最良の形態】
【０００６】
本発明の特徴は、集積回路（ＩＣ）内に組み込まれることができ、または多数の相互接続コンポーネントを含む回路内に構成されることができる。
【０００７】
図１は、本発明に従って構成されたノード１００のブロック図である。ノード１００は、ユーザデータモジュール１１０と、セキュリティモジュール１２０とを含む。ユーザデータモジュール１１０は、データを保存するためのデータストレージ１１２を含む。セキュリティモジュール１２０は、必要なときに即座に保護アクションが取れるように、挙動メトリック（behavior metrics）を生成および収集し、定期的または継続的に、セキュリティポリシに基づいて、ノード１００のセキュリティレベルの評価を行う。
【０００８】
挙動メトリックは、マルウェア（malware）が検出されたこと、アンチウイルスソフトウェアが期限切れであること、ソフトウェア、ファームウェア及びコンフィギュレーションデータのデジタル署名またはハッシュコードが検証できないこと、ノードの物理的セキュリティを突破する試みが検出されたこと、ノードが、ある確率で危険にさらされている他のノードにアクセスしたこと、またはそのような他のノードによってアクセスされたこと、並びにノードが、ある物理的ロケーションから取り外されたこと、またはある物理的ロケーションに置かれたことを示すことができる。
【０００９】
評価手順は、挙動メトリックが入力として使用される任意の論理式を含む。例えば、評価手順は、１組の順序付けられた規則とすることができ、各規則について、条件の組み合わせが成立しているならば、１組のアクションが取られる。評価手順は、各々が異なるセキュリティレベルに関連付けられた閾値もしくは１組の閾値を伴った加重和の形式を取ってもよく、またはより複雑なｉｆ−ｔｈｅｎステートメントを含んでもよい。セキュリティモジュール１２０が、ノード１００のセキュリティを危険にさらす試みを検出した場合、ノード１００は、以下で詳細に説明される本発明によるセキュリティ機構を実施する。
【００１０】
データは、使用権及びセキュリティポリシに関連付けられる。使用権は、データを表示する権利、編集する権利、変更する権利、または配布する権利を含む。セキュリティポリシは、ノード１００のセキュリティレベル、及びノード１００における特定のセキュリティ局面を評価する指針を与える。特定の権利はノード１００に存在するセキュリティの具体的な局面に基づくことがあるので、セキュリティレベルは使用権に関係する。ノードのセキュリティレベルの決定は、関連データを印刷、コピー、または配布する能力を妨げるなど、使用権を制限するために使用することができる。これらの権利を封じることで、データはかなりな程度アクセス不可能になる。しかし、攻撃下のノードでは、暗号解除鍵を取り出す方法、または関連使用権に固有のアクセス命令に従うプログラミングコードの抜け道を見つける方法が存在することがある。本発明は、エントゥームメント（entombment）及びエスクローイング（escrowing）の使用を通して、システムに対する攻撃にデータが傷つかないようにする。
【００１１】
データを使用権に関連付けるために、デジタル著作権管理（ＤＲＭ：digital rights management）が使用される。使用権は、権利表現言語（ＲＥＬ：rights expression language）を用いて指定される。ＲＥＬは、コンテンツに対する権利、それらの権利を確保するのに必要な料金またはその他の考慮要件、それらの権利を取得する資格を有するユーザのタイプ、及びコンテンツ権利の取引を可能にするのに必要なその他の関連情報を指定するための言語である。ＲＥＬは、ハードコード化されたアルゴリズム手法よりも柔軟性のある、セキュリティ侵害に関する入力をデータ保護を制御するための出力に関連付けるための手法を提供する。セキュリティ侵害と保護アクションの例示的な関連付けが、表１に示されている。
【００１２】
【表１】
2009519546.tif 000003
【００１３】
ＤＲＭは、ＲＥＬの拡張を使用するセキュリティポリシによって指定されたデータ所有者の選好に基づいて、制御機構が開始できるように拡張することができる。データ所有者によって指定されるセキュリティポリシに加えて、ノード１００の所有者またはユーザも、ノード１００がセキュリティ関連局面をどのように扱うべきかに関するセキュリティポリシを指定することができる。例えば、他のノードへのデータの許可された転送を指定することによってデータを保護するために、ＲＥＬのセキュリティ拡張が使用できる。セキュリティポリシは、便宜性のため、及びノード１００の所有者またはユーザによって所有されるノード１００上のデータのためのセーフティネットとして望まれることがあり、ノード１００上に存在する他人のデータを保護するためにノード１００の所有者またはユーザが負う道徳的または法的義務に基づくことができる。セキュリティポリシは、ＲＥＬの拡張を使用して表現することができる。セキュリティポリシは、オープンモバイルアライアンス（ＯＭＡ：open mobile alliance）または権利オブジェクト取得プロトコル（ＲＯＡＰ：rights object acquisition protocol）などの、プロトコルのフィールド内の非常に柔軟性の高いコンテンツとして伝達される。
【００１４】
セキュリティポリシとともにＲＥＬを拡張するのに加えて、一般的だが柔軟性の低いセキュリティポリシは、メッセージを追加することによって、または既存メッセージにフィールドを追加することによって、プロトコル内にハードコードすることができる。セキュリティ関連データをプロトコル内に直接置くことで、メッセージのより効率的な流れが可能になることがある。
【００１５】
セキュリティポリシは、どの状況下でどのデータを「エスクロー（escrow）」もしくは「埋葬（entomb）」すべきか、データを暗号化してもしくは暗号化せずにどこに送信すべきか、またはデータを破壊するかどうか、するならいつ破壊するかなどについて述べ、それらはこれ以降で詳細に説明される。セキュリティポリシ内で表現されるデータの許可された使用は、あるセキュリティ状態を所有するノードに左右されることもある。
【００１６】
ノードにおいて危殆セキュリティ状態が検出された場合、保護機構（受動的または能動的）が実施される。本発明によれば、攻撃が成功する前に、セキュリティを危険にさらす試みが検出されると、受動的保護機構として、使用権が拒否されてよい。能動的保護機構は、これ以降で説明される。
【００１７】
図２は、本発明の一実施形態に係る、データを保護するためのシステム２００のブロック図である。システム２００は、リザイディングノード２１０と、少なくとも１つのジェネレーター２２０とを含む。データは、現在はリザイディングノード２１０に保存されている。リザイディングノード２１０の挙動メトリックが、継続的または定期的に生成され、データの評価ポリシに従って評価される。リザイディングノード２１０においてセキュリティを危険にさらす試みが検出されると、ジェネレーター２２０がデータを保護するためのアクションを取れるように、メッセージがデータのジェネレーター２２０（すなわちデータの所有者）に送信される。メッセージは、汎用的な警告、または試みについての具体的な情報を含むことができる。データは、データが生成されたときにデータに割り当てられたユニバーサル一意識別子（ＵＵＩＤ：universal unique identifier）を用いて識別することができる。
【００１８】
データが形成されて現在の状態になる過程に多くの当事者が関与していることがある。データに関する変更履歴が維持でき、データをジェネレーター２２０に送信するために、データを生成する際に辿った経路が遡行される。データに関連付けられたセキュリティポリシは、データが部分的に遡行されさえすればよいことを示すこともある。
【００１９】
図３は、本発明の別の実施形態に係る、データを保護するためのシステム３００のブロック図である。システム３００は、リザイディングノード３１０と、仲介ノード３２０とを含む。データは、現在はリザイディングノード３１０に保存されている。リザイディングノード３１０の挙動メトリックが、継続的または定期的に生成され、データのセキュリティポリシに従って評価される。リザイディングノード３１０においてセキュリティを危険にさらす試みが検出されると、通信チャネルが機能していると仮定するならば、仲介ノード３２０は、リザイディングノードによって、試みについて通知される。仲介ノード３２０は、リザイディングノード３１０に対して、暗号化鍵（例えば公開鍵）を発行する。リザイディングノード３１０は、暗号化鍵を使用して、データの全部または一部を暗号化する。データを暗号化した後、データの非暗号化バージョンは削除される。暗号解除鍵（例えば秘密鍵）は仲介ノード３２０に知られているだけなので、リザイディングノード３１０またはその他のノードは、もはや独力ではデータにアクセスすることができない（すなわち、データは「埋葬状態」になる）。
【００２０】
公開鍵を用いて大量のデータを暗号化することは、時間を浪費する手順となり得るので、仲介ノード３２０は、暗号化がバックグラウンドで継続的に実行できるように、事前に公開鍵を提供してもよい。この場合のエントゥームメントは、平文データを削除することを意味する。対称鍵は非対称鍵よりもはるかに高速であるので、仲介ノード３２０は、データのバックグラウンド暗号化のために使用される対称鍵を定期的に発行することができる。仲介ノード３２０によって新しい対称鍵が発行されるたびに、リザイディングノード３１０は、仲介ノード３２０によって発行された公開鍵を用いて、古い対称鍵を暗号化し、古い対称鍵を削除する。暗号化された対称鍵は、データの対応する部分に依然として関連付けられている。エントゥームメントの必要が生じた場合、データの大部分はすでに埋葬されており、リザイディングノード３１０は、最後に受け取った対称鍵を用いて、残された平文を暗号化し、その後、対称鍵を削除しさえすればよい。
【００２１】
対称鍵は、対称鍵が最初に受信されたときに、仲介ノードの公開鍵によって暗号化することができる。実際、対称鍵がリザイディングノード３１０によって受信されたとき、対称鍵は、仲介ノードの公開鍵を用いて、または仲介ノード３２０に知られているだけの対称鍵をすら用いてすでに暗号化されている対称鍵を伴うことができる。または、仲介ノード３２０によって送信された各対称鍵は、仲介ノード３２０が対称鍵を検索するのに使用できるコードを伴ってもよい。リザイディングノード３１０は、このコードを対応する対称鍵が暗号化したデータに関連付ける。ノードがセキュリティ侵害の試みを経験しない限り決して使用されることのない、暗号化形式でハードドライブ上に保存されるデータのコピーを有することは、高コストであると考えられる。この同じデータは、データの作業用コピーが誤って消去された場合には、バックアップと見なすことができる。この事前埋葬データが別個の物理ディスクドライブ上に保持される場合、データのこの余分なコピーは、ディスクドライブ障害用の保護として役立つことがある。
【００２２】
図４は、本発明のまた別の実施形態に係る、データを保護するためのシステム４００のブロック図である。システム４００は、リザイディングノード４１０と、エスクローノード４２０と、代替リザイディングノード４３０（随意選択）と、オフサイトノード４４０（随意選択）と、データのステークホルダ４５０と、セキュリティ局４６０（随意選択）とを含む。データは、現在はリザイディングノード４１０に保存されている。リザイディングノード４１０の挙動メトリックが、継続的または定期的に生成され、データのセキュリティポリシに従って評価される。リザイディングノード４１０においてセキュリティを危険にさらす試みが検出されると、データは、リザイディングノード４１０からエスクローノード４２０に移転される。
【００２３】
エスクローノード４２０は、信用できる仲介者である。この信用は、例えば、トラステッドコンピューティンググループ（ＴＣＧ：Trusted Computing Group）のトラステッドネットワークコネクト（ＴＮＣ：Trusted Network Connect）の使用を通して達成することができる。ＴＣＧは、多数のプラットフォーム、周辺機器及び装置にわたる、ハードウェア構築ブロック及びソフトウェアインタフェースを含む、ハードウェア対応可能なトラステッドコンピューティング技術及びセキュリティ技術のためのオープンスタンダードを開発し、定義し、促進するために形成された非営利組織である。ＴＣＧ仕様は、機能インテグリティ、プライバシ、または個人の権利を危険にさらすことのない、より安全なコンピューティング環境を可能にすることを目指している。主な目的は、ユーザが、外部ソフトウェア攻撃または物理的窃盗に起因する危険から情報資産（例えば、データ、パスワード、または鍵など）を保護することを助けることである。ＴＣＧは、ノードがネットワークに参加することを許可されるのに先立って、ノードがセキュリティレベルについて評価されることを可能にする。この入場制御の目的の１つは、ネットワーク上に存在するデータの保護である。
【００２４】
ＴＮＣは、ネットワーク事業者が、ネットワーク接続時または接続後に、エンドポイントインテグリティ（endpoint integrity）に関するポリシを実施することを可能にする。ＴＮＣは、多種多様なエンドポイント、ネットワーク技術及びポリシにわたって、マルチベンダインターオペラビリティ（multi-vendor  interoperability）を保証する。一般に、ＴＣＧは、プログラム及びコンフィギュレーションデータのハッシュ値が基準値と比較される立証のプロセスを通して信用を確立する。本発明によれば、これらの値の相違は、セキュリティ侵害が生じていること、または生じたことの表示として使用される。ウイルスを含むマルウェアの検出も、セキュリティ侵害の表示として使用されてよい。
【００２５】
エスクローノード４２０に転送されるデータは、暗号化することができる。超流通（super-distribution）というＤＲＭアプローチが、この転送のために使用されてよい。または、暗号化データ（すなわち、暗号解除鍵が削除されたリザイディングノード上で最初に暗号化されたデータ）を暗号解除するために使用できる鍵が安全に転送でき、エスクローノード上に保存することができ、平文データがエスクローノードにおいてアクセスできるように、ＴＣＧの移行可能鍵（migratable key）機能が、対称鍵を安全に転送するために使用されてもよい。
【００２６】
データは、リザイディングノード４１０におけるセキュリティ状況が解決されるまで、一時的にエスクローノード４２０に保存される。データをエスクローするとの決定をもたらした挙動メトリックも、セキュリティ問題の適切な解決が図られるように、エスクローノード４２０または別の仲介ノードに送信されてよい。
【００２７】
データがエスクローノード４２０に移転されてから一定の期間の後、エスクローノード４２０は、ユーザが適切なやり方でデータを再請求しない場合、データを削除することができる。管理者は、エスクローされたデータを期間を延長して保存することを申し出ることができ、またはユーザは、削除を差し控えるよう要求することもできる。
【００２８】
データのユーザは、セキュリティ侵害時にデータを受信する代替リザイディングノード４３０を指定してもよい。これが使用権によって許可されており、セキュリティ侵害がユーザに原因を帰し得るものではない場合、エスクローノード４２０は、代替リザイディングノード４３０にデータを送信することができる。
【００２９】
エスクローノード４２０は、装置固有表示（例えば装置ＩＤ）を代替リザイディングノード４３０に適用可能な値で置き換えるために、データに関連するセキュリティポリシを変換することができる。例えば、関連セキュリティポリシ下でデータがリザイディングノード４１０のＩＤに結び付けられている場合、エスクローノード４２０は、代替リザイディングノード４３０に一致するように装置ＩＤを変換する。エスクローノード４２０は、各ＤＲＭ転送制限が満たされるように、バルク転送ではなくＤＲＭ転送プロトコルを使用して、コンテンツ及び／または権利を代替リザイディングノード４３０に転送することができる。
【００３０】
リザイディングノード４１０の所有者またはユーザは信用できない（例えば、リザイディングノード４１０が物理的に攻撃された、またはデータに再アクセスすることを希望して、所有者がエスクローノードの管理者の指示に従って、リザイディングノード４１０をセキュリティ局４６０に送った後または持ち込んだ後、セキュリティ局４６０によって決められたいくつかのＩＣの金属配線層（metal interconnect layer）上に所有者の指紋が見出された）とエスクローノード４２０によって決定された場合、データは、エスクローノード４２０からオフサイトノード４４０に転送されることができる。オフサイトノード４４０は、リザイディングノード４１０の所有者またはユーザが物理的にアクセスできない独立のノードである。リザイディングノード４１０の所有者またはユーザは、（例えば、データが何らかの不可欠な機能のために必要とされる場合など）依然としてデータのいくつかにアクセスする必要があることがある。そのような場合、データへのアクセスは、制限された方法で許可されてよい。制限は、データがどのように編集、表示、および配布できるかに関して、ＤＲＭを使用することによって課すことができる。
【００３１】
データがエスクローノード４２０に移転された後、データのステークホルダ４５０のすべては、ステークホルダ４５０が状況を解決できるように、データが今はエスクローノード４２０に存在することを通知されることができる。ステークホルダ４５０は、リザイディングノード４１０の所有者と、リザイディングノード４１０のユーザと、データの所有者とを含むが、それらに限定されない。これらの役割は、同じエンティティによって共有されてもよい。
【００３２】
いくつかのデータは、様々な当事者によって所有されるデータの集約を含む、様々な変形を経ていることがある。このことは、データをデータの所有者に送信し戻すことを難しくする。データに関する変更履歴が維持でき、データを所有者に送信するために、データを生成する際に辿った経路が遡行される。データに関連付けられたセキュリティポリシは、データが部分的に遡行されさえすればよいことを示すこともある。
【００３３】
セキュリティ侵害は、取り除けないウイルス感染がある場合などに存在し得る永続的な危殆状態にリザイディングノード４１０を置くことがある。この危殆状態は、保護メモリにおいて一定のビットを設定し、説明情報を保存することによって、リザイディングノード４１０上で自動的に通知することができる。リザイディングノード４１０と通信することを望む別のノードは、リザイディングノード４１０が危殆状態にあるかどうかを決定するために、この情報を問い合わせることができる。セキュリティ局４６０は、危殆装置リストに危殆ノードのＩＤを列挙することができる。このＩＤは、ノードの通信アドレスとすることができる。
【００３４】
セキュリティ局４６０は、様々な形態を取ることができる。セキュリティ局４６０は、（公的、準公的、または私設のいずれにせよ郵便サービス同様に）公衆を相手にするために開設された多くの支部を有する単一の大規模組織でもよく、各メンバ会社が共通の倫理基準及び技術的方法に従うよう法的に拘束されたより小規模な会社の連合でもよい。
【００３５】
リザイディングノード４１０が危殆状態を解消し、危殆装置リストから除外されるために、リザイディングノード４１０の所有者またはユーザは、リザイディングノード４１０をセキュリティ局４６０に提出することができる。セキュリティ局４６０は、リザイディングノード４１０を物理的構成に対する損傷について検査し、リザイディングノード４１０からコンフィギュレーションベース及びソフトウェアベースの損傷を除去する。リザイディングノード４１０が検査に合格した場合、セキュリティ局４６０は、例えばセキュリティ局４６０用に確保された特別なパスワードを使用することによって、リザイディングノード４１０の危殆状態を解消する。セキュリティ局４６０は、ノードが危殆状態にあるかどうかを示す保護レジスタへの書き込みアクセスを許可するパスワードを委託されてよい。パスワードの使用は、自動化され、ノードとの呼掛け−応答プロトコルを含むことができ、セキュリティ局４６０で働く職員がパスワードにアクセスすることをより困難にする。
【００３６】
セキュリティ局４６０はまた、リザイディングノード４１０を危殆装置リストから取り除く。セキュリティ局４６０は、最初の問題、解決及びリザイディングノード４１０の現在状態を記述したデジタル署名された証明書を発行することもできる。この証明書は、リザイディングノード４１０内に埋め込まれ、点検用に利用可能とすることができる。エスクローノード４２０にアップロードされたデータは、リザイディングノード４１０に置き戻すことができる。
【００３７】
データのためのセキュリティ機構が本発明に従って実施された後、ノード上に残る平文でのデータの残余が存在することがある。これは、ノード上の必ずしもすべてのデータが保護されなかった場合に生じる可能性が最も高い。したがって、データ保護プロセスの一部として、データがノード上のどこかにまだ存在しているかどうかを調べるために、探索が行われる。残余は、保護されてもよく、または削除されてもよい。この探索は、データが暗号化され、かつ／またはノードから転送される前に、最初にデータを評価して、ノードの残余を探索するための待ち行列にそれを理由にデータが置かれる相対的一意性の態様をデータの部分が有するかどうかを決定することによって、実行することができる。マッチ（match）は、データの保護または削除（消去）をもたらす。データの独立部分は、エスクローまたは埋葬された保護データと情報的局面を共有できるので、この削除は危険なこともある。したがって、保護データに関連するＲＥＬの一部として、まもなくリザイディングノード４１０になるノードは、データを受け入れることによって、データの自動削除の意図しない結果を受け入れることに同意する。代替または補足アプローチでは、削除のためのデータの選択が決定論的に実行され得るように、保護データの部分のコピーの記録が保持される。ディスクドライブ上に保存された保護データのコピーは、たとえ一時的であるにせよ、ここで説明された手順を実行するために、ディスク上のそのロケーションが消去されることを必要とする。
【００３８】
実施形態
１．データを保護するための方法。
【００３９】
２．リザイディングノードに保存されたデータのセキュリティを危険にさらす試みと、リザイディングノードに保存されたデータの実際のセキュリティ侵害との少なくとも一方を検出するステップを含むことを特徴とする実施形態１の方法。
【００４０】
３．セキュリティを危険にさらす試みと、実際のセキュリティ侵害との少なくとも一方の検出時に、データをリザイディングノードからエスクローノードに移転させるステップであって、エスクローノードは、信用できる仲介ノードであるステップを含むことを特徴とする実施形態２の方法。
【００４１】
４．エスクローノードの信用は、トラステッドコンピューティンググループのＴＮＣの使用を通して達成されることを特徴とする実施形態３の方法。
【００４２】
５．保存データの実際のセキュリティ侵害は、プログラム及びコンフィギュレーションデータのハッシュ値を基準値と比較することによって検出されることを特徴とする実施形態２〜４のいずれかの方法。
【００４３】
６．保存データの実際のセキュリティ侵害は、マルウェアの検出によって決定されることを特徴とする実施形態２〜５のいずれかの方法。
【００４４】
７．データは、エスクローノードへの送信のために暗号化されることを特徴とする実施形態３〜６のいずれかの方法。
【００４５】
８．データは、ＤＲＭ超流通を使用して、エスクローノードに送信されることを特徴とする実施形態３〜７のいずれかの方法。
【００４６】
９．データは、対称鍵を安全に転送するためのトラステッドコンピューティンググループの移行可能鍵機能を使用して、エスクローノードに送信されることを特徴とする実施形態３〜８のいずれかの方法。
【００４７】
１０．データのセキュリティを危険にさらす試みと、データの実際のセキュリティ侵害とは、評価手順を通してリザイディングノードの挙動メトリックを評価することによって検出されることを特徴とする実施形態２〜９のいずれかの方法。
【００４８】
１１．挙動メトリックは、マルウェアがリザイディングノードにおいて検出されたことを示すことを特徴とする実施形態１０の方法。
【００４９】
１２．挙動メトリックは、リザイディングノードのアンチウイルスソフトウェアが期限切れであることを示すことを特徴とする実施形態１０〜１１のいずれかの方法。
【００５０】
１３．挙動メトリックは、リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのデジタル署名が検証できないことを示すことを特徴とする実施形態１０〜１２のいずれかの方法。
【００５１】
１４．挙動メトリックは、リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのハッシュコードが検証できないことを示すことを特徴とする実施形態１０〜１３のいずれかの方法。
【００５２】
１５．挙動メトリックは、リザイディングノードの物理的セキュリティを突破する試みが検出されたことを示すことを特徴とする実施形態１０〜１４のいずれかの方法。
【００５３】
１６．挙動メトリックは、リザイディングノードが、ある確率で危険にさらされている他のノードにアクセスしたことを示すことを特徴とする実施形態１０〜１５のいずれかの方法。
【００５４】
１７．挙動メトリックは、リザイディングノードが、ある確率で危険にさらされている他のノードによってアクセスされたことを示すことを特徴とする実施形態１０〜１６のいずれかの方法。
【００５５】
１８．挙動メトリックは、リザイディングノードが、ある物理的ロケーションから取り外されたこと、またはある物理的ロケーションに置かれたことを示すことを特徴とする実施形態１０〜１７のいずれかの方法。
【００５６】
１９．評価手順は、１組の順序付けられた規則を含み、各規則について、ある条件が成立しているならば、１組のアクションが取られることを特徴とする実施形態１０〜１８のいずれかの方法。
【００５７】
２０．評価手順は、閾値を伴った加重和の形式を取り、各閾値は、異なるセキュリティレベルに関連付けられることを特徴とする実施形態１０〜１９のいずれかの方法。
【００５８】
２１．評価手順は、複雑なｉｆ−ｔｈｅｎステートメントの形式を取ることを特徴とする実施形態１０〜１９のいずれかの方法。
【００５９】
２２．挙動メトリックも、エスクローノードに送信されることを特徴とする実施形態１０〜２１のいずれかの方法。
【００６０】
２３．メッセージをデータのステークホルダのすべてに送信するステップであって、メッセージは、データが今はエスクローノードに存在することを通知し、それによって、ステークホルダがセキュリティ侵害を解決するアクションを取るステップをさらに含むことを特徴とする実施形態３〜２２のいずれかの方法。
【００６１】
２４．ステークホルダは、リザイディングノードの所有者と、リザイディングノードのユーザと、データの所有者とを含むことを特徴とする実施形態２３の方法。
【００６２】
２５．セキュリティ局が、リザイディングノードを危殆装置リストに追加するステップをさらに含むことを特徴とする実施形態３〜２４のいずれかの方法。
【００６３】
２６．リザイディングノードの所有者が、リザイディングノードをセキュリティ局に提出するステップをさらに含むことを特徴とする実施形態２５の方法。
【００６４】
２７．セキュリティ局が、リザイディングノードを検査するステップをさらに含むことを特徴とする実施形態２６の方法。
【００６５】
２８．検査に合格した場合、セキュリティ局が、リザイディングノードの危殆状態を解消するステップをさらに含むことを特徴とする実施形態２７の方法。
【００６６】
２９．セキュリティ局が、リザイディングノードにおいて物理的タンパリング（physical tampering）が発生したかどうかを決定するステップをさらに含むことを特徴とする実施形態２６〜２８のいずれかの方法。
【００６７】
３０．物理的タンパリングが発生した場合、セキュリティ局が、エスクローノードに物理的タンパリングについて通知するステップを含むことを特徴とする実施形態２９の方法。
【００６８】
３１．エスクローノードが、データをオフサイトノードに移転させるステップを含むことを特徴とする実施形態２７〜３０のいずれかの方法。
【００６９】
３２．セキュリティ局が、危殆状態を解消するために、セキュリティ局用に確保されたパスワードを使用することを特徴とする実施形態２８〜３１のいずれかの方法。
【００７０】
３３．リザイディングノードが検査に合格した場合、セキュリティ局が、リザイディングノードを危殆装置リストから取り除くステップをさらに含むことを特徴とする実施形態２６〜３２のいずれかの方法。
【００７１】
３４．リザイディングノードが検査に合格した場合、セキュリティ局が、最初の問題、解決及びリザイディングノードの現在の状態を記述した証明書を発行するステップをさらに含むことを特徴とする実施形態２７〜３３のいずれかの方法。
【００７２】
３５．証明書は、リザイディングノード内に埋め込まれることを特徴とする実施形態３４の方法。
【００７３】
３６．リザイディングノードの危殆状態は、セキュリティを危険にさらす試み及び実際のセキュリティ侵害の一方の検出時に自動的に通知されることを特徴とする実施形態２〜３５のいずれかの方法。
【００７４】
３７．危殆状態は、保護メモリにおいて一定のビットを設定することによって通知されることを特徴とする実施形態３６の方法。
【００７５】
３８．エスクローノードが、データをリザイディングノードの所有者によって指定された代替ノードに移転させるステップをさらに含むことを特徴とする実施形態３〜３７のいずれかの方法。
【００７６】
３９．エスクローノードが、装置固有表示を代替ノードに適用可能な値で置き換えるために、セキュリティポリシを変換することを特徴とする実施形態３８の方法。
【００７７】
４０．エスクローノードが、ＤＲＭプロトコルを使用して、データを代替ノードに転送することを特徴とする実施形態３８〜３９のいずれかの方法。
【００７８】
４１．データの所有者がデータを再請求しない場合、一定の期間の後、エスクローノードが、データを削除するステップをさらに含むことを特徴とする実施形態３〜４０のいずれかの方法。
【００７９】
４２．リザイディングノードの所有者またはユーザは信用できないとエスクローノードによって決定された場合、エスクローノードが、データをオフサイトノードに転送するステップをさらに含むことを特徴とする実施形態３〜４１のいずれかの方法。
【００８０】
４３．オフサイトノードは、リザイディングノードの所有者またはユーザが物理的にアクセスできない独立のノードであることを特徴とする実施形態４２の方法。
【００８１】
４４．リザイディングノードの所有者またはユーザは、データへの制限されたアクセスを与えられることを特徴とする実施形態４２〜４３のいずれかの方法。
【００８２】
４５．制限されたアクセスは、ＤＲＭを使用することによって与えられることを特徴とする実施形態４４の方法。
【００８３】
４６．データがリザイディングノード上のどこかにまだ存在しているかどうかを決定するために探索を行うステップであって、それによってデータが保護または削除されるステップをさらに含むことを特徴とする実施形態３〜４５のいずれかの方法。
【００８４】
４７．リザイディングノードに保存されたデータのセキュリティを危険にさらす試みを検出するステップを含むことを特徴とする実施形態１の方法。
【００８５】
４８．データに関連する使用権を拒否するステップを含むことを特徴とする実施形態４７の方法。
【００８６】
４９．リザイディングノードに保存されたデータのセキュリティを危険にさらす試みを検出するステップを含むことを特徴とするリザイディングノードに保存されたデータを保護する方法。
【００８７】
５０．データのジェネレーターに保存データのセキュリティを危険にさらす検出された試みを通知するために、メッセージをジェネレーターに送信するステップであって、それによって、ジェネレーターが保存データを保護するためのアクションを取るステップを含むことを特徴とする実施形態４９の方法。
【００８８】
５１．メッセージは、保存データのセキュリティを危険にさらす検出された試みについての警告を含むことを特徴とする実施形態５０の方法。
【００８９】
５２．メッセージは、保存データのセキュリティを危険にさらす検出された試みについての特別な情報をさらに含むことを特徴とする実施形態５０〜５１のいずれかの方法。
【００９０】
５３．データは、データが生成されたときにデータに割り当てられたＵＵＩＤを用いて識別されることを特徴とする実施形態５０〜５２のいずれかの方法。
【００９１】
５４．リザイディングノードに保存されたデータのセキュリティを危険にさらす試みを検出するステップを含むことを特徴とするデータを保護する方法。
【００９２】
５５．リザイディングノードが、保存データのセキュリティを危険にさらす検出された試みに関する通知としてメッセージを仲介ノードに送信するステップを含むことを特徴とする実施形態５４の方法。
【００９３】
５６．仲介ノードが、リザイディングノードに対して新しい暗号化鍵を発行するステップを含むことを特徴とする実施形態５５の方法。
【００９４】
５７．リザイディングノードが、新しい暗号化鍵を用いてデータを暗号化するステップを含むことを特徴とする実施形態５６の方法。
【００９５】
５８．暗号化が継続的に実行されるように、保存データのセキュリティを危険にさらす試みの検出に先立って、仲介ノードが、暗号化鍵を提供することを特徴とする実施形態５５〜５７のいずれかの方法。
【００９６】
５９．暗号化鍵は、対称鍵であることを特徴とする実施形態５８の方法。
【００９７】
６０．仲介ノードが、データのバックグラウンド暗号化のために使用される対称鍵を定期的に発行することを特徴とする実施形態５５〜５９のいずれかの方法。
【００９８】
６１．新しい対称鍵が仲介ノードによって発行されるたびに、リザイディングノードが、新しい対称鍵を用いて古い対称鍵を暗号化し、古い対称鍵を削除することを特徴とする実施形態６０の方法。
【００９９】
６２．対称鍵は、仲介ノードの暗号化鍵によって暗号化されることを特徴とする実施形態６０〜６１のいずれかの方法。
【０１００】
６３．仲介ノードの暗号化鍵は、仲介ノードによって知られているだけであることを特徴とする実施形態６２の方法。
【０１０１】
６４．仲介ノードによって送信される各対称鍵は、コードを伴い、リザイディングノードが、このコードをそれぞれの対称鍵が暗号化するデータに関連付けることを特徴とする実施形態６０〜６３のいずれかの方法。
【０１０２】
６５．リザイディングノードにおいてデータを保護するためのシステム。
【０１０３】
６６．リザイディングノードが、データを保存するためのユーザデータモジュールを含むことを特徴とする実施形態６５のシステム。
【０１０４】
６７．リザイディングノードが、リザイディングノードにおける保存データのセキュリティを危険にさらす試みと、保存データの実際のセキュリティ侵害との少なくとも一方を検出するためのセキュリティモジュールを含むことを特徴とする実施形態６６のシステム。
【０１０５】
６８．保存データのセキュリティを危険にさらす試みと、保存データの実際のセキュリティ侵害との少なくとも一方の検出時に、データをリザイディングノードから移転させるための、信用できる仲介ノードであるエスクローノードを含むことを特徴とする実施形態６６〜６７のいずれかのシステム。
【０１０６】
６９．エスクローノードの信用は、トラステッドコンピューティンググループのＴＮＣの使用を通して達成されることを特徴とする実施形態６８のシステム。
【０１０７】
７０．データの実際のセキュリティ侵害は、プログラム及びコンフィギュレーションデータのハッシュ値を基準値と比較することによって検出されることを特徴とする実施形態６７〜６９のいずれかのシステム。
【０１０８】
７１．データの実際のセキュリティ侵害は、マルウェアの検出によって決定されることを特徴とする実施形態６７〜７０のいずれかのシステム。
【０１０９】
７２．リザイディングノードが、エスクローノードへの送信のためにデータを暗号化することを特徴とする実施形態６８〜７１のいずれかのシステム。
【０１１０】
７３．データは、ＤＲＭ超流通を使用して、エスクローノードに送信されることを特徴とする実施形態６８〜７２のいずれかのシステム。
【０１１１】
７４．データは、対称鍵を安全に転送するためのトラステッドコンピューティンググループの移行可能鍵機能を使用して、エスクローノードに送信されることを特徴とする実施形態６８〜７３のいずれかのシステム。
【０１１２】
７５．データのセキュリティを危険にさらす試みと、データの実際のセキュリティ侵害とは、評価手順を通してリザイディングノードの挙動メトリックを評価することによって検出されることを特徴とする実施形態６８〜７４のいずれかのシステム。
【０１１３】
７６．挙動メトリックは、マルウェアがリザイディングノードにおいて検出されたことを示すことを特徴とする実施形態７５のシステム。
【０１１４】
７７．挙動メトリックは、リザイディングノードのアンチウイルスソフトウェアが期限切れであることを示すことを特徴とする実施形態７５〜７６のいずれかのシステム。
【０１１５】
７８．挙動メトリックは、リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのデジタル署名が検証できないことを示すことを特徴とする実施形態７５〜７７のいずれかのシステム。
【０１１６】
７９．挙動メトリックは、リザイディングノードのソフトウェア、ファームウェア、及びコンフィギュレーションデータのハッシュコードが検証できないことを示すことを特徴とする実施形態７５〜７８のいずれかのシステム。
【０１１７】
８０．挙動メトリックは、リザイディングノードの物理的セキュリティを突破する試みが検出されたことを示すことを特徴とする実施形態７５〜７９のいずれかのシステム。
【０１１８】
８１．挙動メトリックは、リザイディングノードが、ある確率で危険にさらされている他のノードにアクセスしたことを示すことを特徴とする実施形態７５〜８０のいずれかのシステム。
【０１１９】
８２．挙動メトリックは、リザイディングノードが、ある確率で危険にさらされている他のノードによってアクセスされたことを示すことを特徴とする実施形態７５〜８１のいずれかのシステム。
【０１２０】
８３．挙動メトリックは、リザイディングノードが、ある物理的ロケーションから取り外されたこと、またはある物理的ロケーションに置かれたことを示すことを特徴とする実施形態７５〜８２のいずれかのシステム。
【０１２１】
８４．評価手順は、１組の順序付けられた規則を含み、各規則について、ある条件が成立しているならば、１組のアクションが取られることを特徴とする実施形態７４〜８３のいずれかのシステム。
【０１２２】
８５．評価手順は、閾値を伴った加重和の形式を取り、各閾値は、異なるセキュリティレベルに関連付けられることを特徴とする実施形態７４〜８４のいずれかのシステム。
【０１２３】
８６．評価手順は、複雑なｉｆ−ｔｈｅｎステートメントの形式を取ることを特徴とする実施形態７４〜８５のいずれかのシステム。
【０１２４】
８７．挙動メトリックは、エスクローノードに送信されることを特徴とする実施形態７４〜８６のいずれかのシステム。
【０１２５】
８８．リザイディングノードが、メッセージをデータのステークホルダのすべてに送信し、メッセージは、データが今はエスクローノードに存在することを通知し、それによって、ステークホルダがセキュリティ侵害を解決するアクションを取ることを特徴とする実施形態６８〜８７のいずれかのシステム。
【０１２６】
８９．ステークホルダは、リザイディングノードの所有者と、リザイディングノードのユーザと、データの所有者とを含むことを特徴とする実施形態８８のシステム。
【０１２７】
９０．リザイディングノードを危殆装置リストに追加するように構成されるセキュリティ局をさらに含むことを特徴とする実施形態６８〜８９のいずれかのシステム。
【０１２８】
９１．リザイディングノードの所有者が、リザイディングノードをセキュリティ局に提出し、セキュリティ局が、リザイディングノードを検査し、検査に合格した場合、リザイディングノードの危殆状態を解消することを特徴とする実施形態９０のシステム。
【０１２９】
９２．セキュリティ局が、リザイディングノードにおいて物理的タンパリングが発生したかどうかを決定し、物理的タンパリングが発生した場合、エスクローノードに物理的タンパリングについて通知し、エスクローノードが、データをオフサイトノードに移転させることを特徴とする実施形態９１のシステム。
【０１３０】
９３．セキュリティ局が、危殆状態を解消するために、セキュリティ局用に確保されたパスワードを使用することを特徴とする実施形態９１〜９２のいずれかのシステム。
【０１３１】
９４．リザイディングノードが検査に合格した場合、セキュリティ局が、リザイディングノードを危殆装置リストから取り除くことを特徴とする実施形態９１〜９３のいずれかのシステム。
【０１３２】
９５．リザイディングノードが検査に合格した場合、セキュリティ局が、最初の問題、解決及びリザイディングノードの現在の状態を記述した証明書を発行することを特徴とする実施形態９４のシステム。
【０１３３】
９６．証明書は、リザイディングノード内に埋め込まれることを特徴とする実施形態９５のシステム。
【０１３４】
９７．リザイディングノードの危殆状態は、データのセキュリティを危険にさらす試み及びセキュリティ侵害の一方の検出時に自動的に通知されることを特徴とする実施形態６８〜９６のいずれかのシステム。
【０１３５】
９８．危殆状態は、保護メモリにおいて一定のビットを設定することによって通知されることを特徴とする実施形態９７のシステム。
【０１３６】
９９．エスクローノードが、データをリザイディングノードの所有者によって指定された代替ノードに移転させることを特徴とする実施形態６８〜９８のいずれかのシステム。
【０１３７】
１００．エスクローノードが、装置固有表示を代替ノードに適用可能な値で置き換えるために、セキュリティポリシを変換することを特徴とする実施形態９９のシステム。
【０１３８】
１０１．エスクローノードが、ＤＲＭプロトコルを使用して、データを代替ノードに転送することを特徴とする実施形態９９〜１００のいずれかのシステム。
【０１３９】
１０２．データの所有者がデータを再請求しない場合、一定の期間の後、エスクローノードが、データを削除することを特徴とする実施形態６８〜１０１のいずれかのシステム。
【０１４０】
１０３．リザイディングノードの所有者またはユーザは信用できないとエスクローノードによって決定された場合、エスクローノードが、データをオフサイトノードに転送することを特徴とする実施形態６８〜１０２のいずれかの方法。
【０１４１】
１０４．オフサイトノードは、リザイディングノードの所有者またはユーザが物理的にアクセスできない独立のノードであることを特徴とする実施形態１０３のシステム。
【０１４２】
１０５．リザイディングノードの所有者またはユーザは、データへの制限されたアクセスを与えられることを特徴とする実施形態１０３〜１０４のいずれかのシステム。
【０１４３】
１０６．制限されたアクセスは、ＤＲＭを使用することによって与えられることを特徴とする実施形態１０５のシステム。
【０１４４】
１０７．データがシステム内のどこかにまだ存在しているかどうかを決定するために、リザイディングノード及びエスクローノードが探索を行い、それによってデータが保護または削除されることを特徴とする実施形態６８〜１０６のいずれかのシステム。
【０１４５】
１０８．データを保存するためのユーザデータモジュールを含むことを特徴とするデータを保護するためのノード。
【０１４６】
１０９．ノード内の保存データのセキュリティを危険にさらす試みを検出し、保存データに関連する使用権を拒否するためのセキュリティモジュールを含むことを特徴とする実施形態１０８のノード。
【０１４７】
１１０．データのジェネレーターを含むことを特徴とするデータを保護するためのシステム。
【０１４８】
１１１．リザイディングノードが、データを保存するためのユーザデータモジュールを含むことを特徴とする実施形態１１０のシステム。
【０１４９】
１１２．リザイディングノードが、保存データのセキュリティを危険にさらす試みを検出し、保存データのセキュリティを危険にさらす試みをデータのジェネレーターに通知するために、メッセージをジェネレーターに送信し、それによって、ジェネレーターが保存データを保護するためのアクションを取るためのセキュリティモジュールを含むことを特徴とする実施形態１１１のシステム。
【０１５０】
１１３．メッセージは、保存データのセキュリティを危険にさらす検出された試みについての警告を含むことを特徴とする実施形態１１２のシステム。
【０１５１】
１１４．メッセージは、保存データのセキュリティを危険にさらす検出された試みについての特別な情報をさらに含むことを特徴とする実施形態１１２〜１１３のいずれかのシステム。
【０１５２】
１１５．データは、データが生成されたときにデータに割り当てられたＵＵＩＤを用いて識別されることを特徴とする実施形態１１２〜１１４のいずれかのシステム。
【０１５３】
１１６．仲介ノードを含むことを特徴とするデータを保護するためのシステム。
【０１５４】
１１７．データを保存するためのユーザデータモジュールを含むリザイディングノードを含むことを特徴とする実施形態１１６のシステム。
【０１５５】
１１８．リザイディングノードが、保存データのセキュリティを危険にさらす試みを検出するためのセキュリティモジュールを含み、リザイディングノードは、保存データのセキュリティを危険にさらす試みに関する通知としてメッセージを仲介ノードに送信し、仲介ノードは、リザイディングノードに対して新しい暗号化鍵を発行し、リザイディングノードは、新しい暗号化鍵を用いて保存データを暗号化することを特徴とする実施形態１１７のシステム。
【０１５６】
１１９．暗号化が継続的に実行されるように、保存データのセキュリティを危険にさらす試みの検出に先立って、仲介ノードが、暗号化鍵を提供することを特徴とする実施形態１１６〜１１８のいずれかのシステム。
【０１５７】
１２０．暗号化鍵は、対称鍵であることを特徴とする実施形態１１９のシステム。
【０１５８】
１２１．仲介ノードが、データのバックグラウンド暗号化のために使用される対称鍵を定期的に発行することを特徴とする実施形態１１９〜１２０のいずれかのシステム。
【０１５９】
１２２．新しい対称鍵が仲介ノードによって発行されるたびに、リザイディングノードが、新しい対称鍵を用いて古い対称鍵を暗号化し、古い対称鍵を削除することを特徴とする実施形態１２１のシステム。
【０１６０】
１２３．対称鍵は、仲介ノードの暗号化鍵によって暗号化されることを特徴とする実施形態１２１〜１２２のいずれかのシステム。
【０１６１】
１２４．仲介ノードの暗号化鍵は、仲介ノードによって知られているだけであることを特徴とする実施形態１２３のシステム。
【０１６２】
１２５．仲介ノードによって送信される各対称鍵は、コードを伴い、リザイディングノードが、このコードをそれぞれの対称鍵が暗号化するデータに関連付けることを特徴とする実施形態１２１〜１２４のいずれかのシステム。
【０１６３】
本発明の特徴及び要素が、具体的な組み合わせで、好ましい実施形態において説明されたが、各特徴または要素は、好ましい実施形態のその他の特徴及び要素を伴わずに単独で、または本発明のその他の特徴及び要素を伴うもしくは伴わない様々な組み合わせで使用することができる。本発明の方法は、汎用コンピュータまたはプロセッサによる実行のために、コンピュータ可読記憶媒体において有形に具現される、コンピュータプログラム、ソフトウェア、またはファームウェアで実施することができる。コンピュータ可読記憶媒体の例は、読み取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、レジスタ、キャッシュメモリ、半導体メモリ装置、内蔵ハードディスク及び着脱可能ディスクなどの磁気媒体、光磁気媒体、ならびにＣＤ−ＲＯＭディスク及びデジタル多用途ディスク（ＤＶＤ）などの光媒体を含む。
【０１６４】
適切なプロセッサは、例として挙げれば、汎用プロセッサ、専用プロセッサ、従来のプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、複数のマイクロプロセッサ、ＤＳＰコアと連携する１つまたは複数のマイクロプロセッサ、コントローラ、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）回路、任意の集積回路、及び／または状態マシンを含む。
【０１６５】
ソフトウェアと連携するプロセッサは、無線送受信ユニット（ＷＴＲＵ）、ユーザ機器、端末、基地局、無線ネットワークコントローラ、または任意のホストコンピュータで使用するための無線周波トランシーバを実施するために使用することができる。ＷＴＲＵは、カメラ、ビデオカメラモジュール、ビデオフォン、スピーカフォン、振動装置、スピーカ、マイクロフォン、テレビトランシーバ、ハンズフリーハンドセット、キーボード、Ｂｌｕｅｔｏｏｔｈモジュール、周波数変調（ＦＭ）ラジオユニット、液晶ディスプレイ（ＬＣＤ）表示ユニット、有機発光ダイオード（ＯＬＥＤ）表示ユニット、デジタル音楽プレーヤ、メディアプレーヤ、ビデオゲームプレーヤモジュール、インターネットブラウザ、及び／または任意の無線ローカルエリアネットワーク（ＷＬＡＮ）モジュールなど、ハードウェア及び／またはソフトウェアで実施されるモジュールとともに使用することができる。
【図面の簡単な説明】
【０１６６】
【図１】本発明に従って構成されたノードのブロック図である。
【図２】本発明の一実施形態に係る、データを保護するためのシステムのブロック図である。
【図３】本発明の別の実施形態に係る、データを保護するためのシステムのブロック図である。
【図４】本発明のまた別の実施形態に係る、データを保護するためのシステムのブロック図である。
【図１】
2009519546.tif 000004
【図２】
2009519546.tif 000005
【図３】
2009519546.tif 000006
【図４】
2009519546.tif 000007
【手続補正書】
【提出日】平成20年8月12日(2008.8.12)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
データを保護するための方法であって、
前記方法は、
リザイディングノードに保存されたデータのセキュリティを危険にさらす試みと、前記リザイディングノードに保存された前記データの実際のセキュリティ侵害との少なくとも一方を検出するステップと、
セキュリティを危険にさらす前記試みと、前記実際のセキュリティ侵害との少なくとも一方の検出時に、前記データを前記リザイディングノードからエスクローノードに移転させるステップであって、前記エスクローノードは、信用できる仲介ノードであるステップと
を含むことを特徴とする方法。
【請求項２】
前記エスクローノードの信用は、トラステッドコンピューティンググループのトラステッドネットワークコネクト（ＴＮＣ）の使用を通して達成されることを特徴とする請求項１に記載の方法。
【請求項３】
前記保存データの前記実際のセキュリティ侵害は、プログラム及びコンフィギュレーションデータのハッシュ値を基準値と比較することによって検出されることを特徴とする請求項２に記載の方法。
【請求項４】
前記保存データの前記実際のセキュリティ侵害は、マルウェアの検出によって決定されることを特徴とする請求項２に記載の方法。
【請求項５】
前記データは、前記エスクローノードへの送信のために暗号化されることを特徴とする請求項１に記載の方法。
【請求項６】
前記データは、デジタル著作権管理（ＤＲＭ）超流通を使用して、前記エスクローノードに送信されることを特徴とする請求項１に記載の方法。
【請求項７】
前記データは、対称鍵を安全に転送するための前記トラステッドコンピューティンググループの移行可能鍵機能を使用して、前記エスクローノードに送信されることを特徴とする請求項２に記載の方法。
【請求項８】
前記データのセキュリティを危険にさらす前記試みと、前記データの前記実際のセキュリティ侵害とは、評価手順を通して前記リザイディングノードの挙動メトリックを評価することによって検出されることを特徴とする請求項１に記載の方法。
【請求項９】
前記挙動メトリックは、マルウェアが前記リザイディングノードにおいて検出されたこと、前記リザイディングノードのアンチウイルスソフトウェアが期限切れであること、前記リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのデジタル署名が検証できないこと、前記リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのハッシュコードが検証できないこと、前記リザイディングノードの物理的セキュリティを突破する試みが検出されたこと、前記リザイディングノードが、ある確率で危険にさらされている他のノードにアクセスしたこと、前記リザイディングノードが、ある確率で危険にさらされている他のノードによってアクセスされたこと、ならびに前記リザイディングノードが、ある物理的ロケーションから取り外されたこと、またはある物理的ロケーションに置かれたこと、のうちの少なくとも１つを示すことを特徴とする請求項８に記載の方法。
【請求項１０】
前記評価手順は、１組の順序付けられた規則を含み、各規則について、ある条件が成立しているならば、１組のアクションが取られることを特徴とする請求項８に記載の方法。
【請求項１１】
前記評価手順は、閾値の１つを伴った加重和の形式を取り、各閾値は、異なるセキュリティレベルに関連付けられることを特徴とする請求項８に記載の方法。
【請求項１２】
前記評価手順は、複雑なｉｆ−ｔｈｅｎステートメントの形式を取ることを特徴とする請求項８に記載の方法。
【請求項１３】
前記挙動メトリックも、前記エスクローノードに送信されることを特徴とする請求項８に記載の方法。
【請求項１４】
メッセージを前記データのステークホルダのすべてに送信するステップであって、前記メッセージは、前記データが今は前記エスクローノードに存在することを通知するステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項１５】
データを保護するための方法であって、
前記方法は、
エスクローノードが、セキュリティを危険にさらす試み及び実際のセキュリティ侵害の少なくとも一方の検出時にデータをリザイディングノードから受信するステップであって、前記エスクローノードは、信用できる仲介ノードであるステップと、
前記エスクローノードが、前記データを前記リザイディングノードの所有者によって指定された代替ノードに移転させるステップと
を含むことを特徴とする方法。
【請求項１６】
前記エスクローノードが、装置固有表示を前記代替ノードに適用可能な値で置き換えるために、セキュリティポリシを変換することを特徴とする請求項１５に記載の方法。
【請求項１７】
前記エスクローノードが、デジタル著作権管理（ＤＲＭ）プロトコルを使用して、前記データを前記代替ノードに転送することを特徴とする請求項１５に記載の方法。
【請求項１８】
前記データの所有者が前記データを再請求しない場合、一定の期間の後、前記エスクローノードが、前記データを削除するステップをさらに含むことを特徴とする請求項１５に記載の方法。
【請求項１９】
前記リザイディングノードの所有者またはユーザは信用できないと前記エスクローノードによって決定された場合、前記エスクローノードが、前記データをオフサイトノードに転送するステップをさらに含むことを特徴とする請求項１５に記載の方法。
【請求項２０】
前記オフサイトノードは、前記リザイディングノードの前記所有者または前記ユーザが物理的にアクセスできない独立のノードであることを特徴とする請求項１９に記載の方法。
【請求項２１】
前記リザイディングノードの前記所有者または前記ユーザは、前記データへの制限されたアクセスを与えられることを特徴とする請求項１９に記載の方法。
【請求項２２】
前記制限されたアクセスは、デジタル著作権管理（ＤＲＭ）を使用することによって与えられることを特徴とする請求項２１に記載の方法。
【請求項２３】
前記データが前記リザイディングノード上のどこかにまだ存在しているかどうかを決定するために探索を行うステップであって、それによって前記データが保護または削除されるステップをさらに含むことを特徴とする請求項１５に記載の方法。
【請求項２４】
データを保護する方法であって、
前記方法は、
リザイディングノードに保存されたデータのセキュリティを危険にさらす試みを検出するステップと、
前記保存データのセキュリティを危険にさらす前記検出された試みに関する通知としてメッセージを仲介ノードに送信するステップと、
新しい暗号化鍵を前記仲介ノードから受信するステップと、
前記新しい暗号化鍵を用いて前記保存データを暗号化するステップと
を含むことを特徴とする方法。
【請求項２５】
暗号化が継続的に実行されるように、前記保存データのセキュリティを危険にさらす前記試みの検出に先立って、暗号化鍵が受信されることを特徴とする請求項２４に記載の方法。
【請求項２６】
前記暗号化鍵は、対称鍵であることを特徴とする請求項２４に記載の方法。
【請求項２７】
対称鍵は、データのバックグラウンド暗号化のために使用されるように、定期的に受信されることを特徴とする請求項２６に記載の方法。
【請求項２８】
新しい対称鍵が受け取られるたびに、前記リザイディングノードが、新しい対称鍵を用いて古い対称鍵を暗号化し、前記古い対称鍵を削除することを特徴とする請求項２７に記載の方法。
【請求項２９】
前記対称鍵は、仲介ノードの暗号化鍵によって暗号化されることを特徴とする請求項２７に記載の方法。
【請求項３０】
前記仲介ノードによって送信される各対称鍵は、コードを伴い、前記リザイディングノードが、このコードを前記それぞれの対称鍵が暗号化するデータに関連付けることを特徴とする請求項２７に記載の方法。
【請求項３１】
データを保護するためのノードであって、
データを保存するためのユーザデータモジュールと、
前記リザイディングノードにおける前記保存データのセキュリティを危険にさらす試みと、前記保存データの実際のセキュリティ侵害との少なくとも一方を検出し、前記保存データのセキュリティを危険にさらす前記試みと、前記保存データの前記実際のセキュリティ侵害との少なくとも一方の検出時に、前記保存データを信用できる仲介ノードであるエスクローノードに移転させるためのセキュリティモジュールと
を含むことを特徴とするノード。
【請求項３２】
前記エスクローノードの信用は、トラステッドコンピューティンググループのトラステッドネットワークコネクト（ＴＮＣ）の使用を通して達成されることを特徴とする請求項３１に記載のノード。
【請求項３３】
前記データの前記実際のセキュリティ侵害は、プログラム及びコンフィギュレーションデータのハッシュ値を基準値と比較することによって検出されことを特徴とする請求項３２に記載のノード。
【請求項３４】
前記データの前記実際のセキュリティ侵害は、マルウェアの検出によって決定されることを特徴とする請求項３２に記載のノード。
【請求項３５】
前記リザイディングノードが、前記エスクローノードへの送信のために前記データを暗号化することを特徴とする請求項３１に記載のノード。
【請求項３６】
前記データは、デジタル著作権管理（ＤＲＭ）超流通を使用して、前記エスクローノードに送信されることを特徴とする請求項３１に記載のノード。
【請求項３７】
前記データは、対称鍵を安全に転送するための前記トラステッドコンピューティンググループの移行可能鍵機能を使用して、前記エスクローノードに送信されることを特徴とする請求項３２に記載のノード。
【請求項３８】
前記データのセキュリティを危険にさらす前記試みと、前記データの前記実際のセキュリティ侵害とは、評価手順を通して前記リザイディングノードの挙動メトリックを評価することによって検出されることを特徴とする請求項３１に記載のノード。
【請求項３９】
前記挙動メトリックは、マルウェアが前記リザイディングノードにおいて検出されたこと、前記リザイディングノードのアンチウイルスソフトウェアが期限切れであること、前記リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのデジタル署名が検証できないこと、前記リザイディングノードのソフトウェア、ファームウェア及びコンフィギュレーションデータのハッシュコードが検証できないこと、前記リザイディングノードの物理的セキュリティを突破する試みが検出されたこと、前記リザイディングノードが、ある確率で危険にさらされている他のノードにアクセスしたこと、前記リザイディングノードが、ある確率で危険にさらされている他のノードによってアクセスされたこと、ならびに前記リザイディングノードが、ある物理的ロケーションから取り外されたこと、またはある物理的ロケーションに置かれたこと、のうちの少なくとも１つを示すことを特徴とする請求項３７に記載のノード。
【請求項４０】
前記評価手順は、１組の順序付けられた規則を含み、各規則について、ある条件が成立しているならば、１組のアクションが取られることを特徴とする請求項３８に記載のノード。
【請求項４１】
前記評価手順は、閾値の１つを伴った加重和の形式を取り、各閾値は、異なるセキュリティレベルに関連付けられることを特徴とする請求項３８に記載のノード。
【請求項４２】
前記評価手順は、複雑なｉｆ−ｔｈｅｎステートメントの形式を取ることを特徴とする請求項３８に記載のノード。
【請求項４３】
前記挙動メトリックは、前記エスクローノードに送信されることを特徴とする請求項３８に記載のノード。
【請求項４４】
前記リザイディングノードが、メッセージを前記データのステークホルダのすべてに送信し、前記メッセージは、前記データが今は前記エスクローノードに存在することを通知することを特徴とする請求項３１に記載のノード。
【請求項４５】
データを保護するための信用できる仲介エスクローノードであって、
リザイディングノードにおけるセキュリティを危険にさらす試み及び実際のセキュリティ侵害の少なくとも一方の検出時に、前記リザイディングノードから受信したデータを保存するためのストレージモジュールと、
前記データを前記リザイディングノードの所有者によって指定された代替ノードに移転させるセキュリティモジュールと
を含むことを特徴とする仲介エスクローノード。
【請求項４６】
前記セキュリティモジュールが、装置固有表示を前記代替ノードに適用可能な値で置き換えるために、セキュリティポリシを変換することを特徴とする請求項４５に記載のエスクローノード。
【請求項４７】
前記セキュリティモジュールが、デジタル著作権管理（ＤＲＭ）プロトコルを使用して、前記データを前記代替ノードに転送することを特徴とする請求項４５に記載のエスクローノード。
【請求項４８】
前記データの所有者がデータを再請求しない場合、一定の期間の後、前記セキュリティモジュールが、前記データを削除することを特徴とする請求項４５に記載のエスクローノード。
【請求項４９】
前記リザイディングノードの所有者またはユーザは信用できないと前記エスクローノードによって決定された場合、前記セキュリティモジュールが、前記データをオフサイトノードに転送することを特徴とする請求項４５に記載のエスクローノード。
【請求項５０】
前記オフサイトノードは、前記リザイディングノードの前記所有者または前記ユーザが物理的にアクセスできない独立のノードであることを特徴とする請求項４９に記載のエスクローノード。
【請求項５１】
前記リザイディングノードの前記所有者または前記ユーザは、前記データへの制限されたアクセスを与えられることを特徴とする請求項４９に記載のエスクローノード。
【請求項５２】
前記制限されたアクセスは、デジタル著作権管理（ＤＲＭ）を使用することによって与えられることを特徴とする請求項５１に記載のエスクローノード。
【請求項５３】
前記データが前記リザイディングノード内のどこかにまだ存在しているかどうかを決定するために、前記エスクローノードが探索を行い、それによって前記データが保護または削除されることを特徴とする請求項４５に記載のエスクローノード。
【請求項５４】
データを保護するためのノードであって、
データを保存するためのユーザデータモジュールと、
前記保存データのセキュリティを危険にさらす試みを検出し、前記保存データのセキュリティを危険にさらす前記試みに関する通知としてメッセージを仲介ノードに送信し、前記仲介ノードから受信した新しい暗号化鍵を用いて前記保存データを暗号化するためのセキュリティモジュールと
を含むことを特徴とするノード。
【請求項５５】
暗号化が継続的に実行されるように、前記保存データのセキュリティを危険にさらす前記試みの検出に先立って、前記セキュリティモジュールが、暗号化鍵を受け取ることを特徴とする請求項５４に記載のノード。
【請求項５６】
前記暗号化鍵は、対称鍵であることを特徴とする請求項５５に記載のノード。
【請求項５７】
前記セキュリティモジュールが、データのバックグラウンド暗号化のために使用される対称鍵を定期的に受け取ることを特徴とする請求項５４に記載のノード。
【請求項５８】
新しい対称鍵が前記仲介ノードから受け取られるたびに、前記リザイディングノードが、新しい対称鍵を用いて古い対称鍵を暗号化し、前記古い対称鍵を削除することを特徴とする請求項５７に記載のノード。
【請求項５９】
前記対称鍵は、仲介ノードの暗号化鍵によって暗号化されることを特徴とする請求項５７に記載のノード。
【請求項６０】
前記仲介ノードによって送信される各対称鍵は、コードを伴い、前記リザイディングノードが、このコードを前記それぞれの対称鍵が暗号化するデータに関連付けることを特徴とする請求項５７に記載のノード。
【国際調査報告】
2009519546.tif 000008
2009519546.tif 000009
2009519546.tif 000010
2009519546.tif 000011
2009519546.tif 000012