(57)【要約】【課題】データを暗号化・分割化処理により保護し、さらに危険を分散したうえで保管するネットワーク上のデータ保護・保管方法を提供する。【解決手段】保管するデータは、データ暗号化モジュール１３およびデータ分割モジュール１４によって暗号化されてから分割される。分割されたデータは、ネットワーク４を介して、複数の分割データ保管サーバ２１〜２ｎに分散して保管する。あるいは、分割されたデータの一部は、保管対象のデータの所有者端末３に、残りを複数の分割データ保管サーバ２１〜２ｎに分散して保管する。分割されたデータがどの分割データ保管サーバ２１〜２ｎのどのトラックに保管されているかは、インデックス保管部１７に記録されており、これに基づいて、データ結合モジュール１５とデータ復号化モジュール１６がデータを復元し、データ所有者端末３に送信する。【選択図】  図１
2004171207.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上でデータを保護・保管する方法において、
保管対象のデータを暗号化して分割するステップと、
分割データを、前記ネットワークに接続する複数の分割データ保管サーバに分散して保管させるステップを有することを特徴とする方法。
【請求項２】
前記保管対象のデータを識別する識別子と、前記分割データの保管されている前記分割データ保管サーバ名と、該分割データ保管サーバ内の保管トラックとを関連づけるインデックスを作成するステップと、
該インデックスをもとに、前記分割データを前記分割データ保管サーバから前記ネットワークを介して取り出し、該分割データを結合して復号化し、前記保管対象のデータを復元するステップをさらに有する、請求項１に記載の方法。
【請求項３】
前記ネットワークに接続する端末から、該端末が所有するデータの保管を要求された場合、該端末に、前記所有するデータと該所有するデータを識別する識別子を要求するステップと、
前記端末から、該端末が所有していたデータの復元と送信を要求された場合、該端末に、復元対象のデータを識別する識別子を要求するステップと、
復元されたデータを前記端末に送信するステップをさらに有する、請求項２に記載の方法。
【請求項４】
ネットワーク上でデータを保護・保管する方法において、
前記ネットワークに接続する端末から保管を要求された保管対象のデータを暗号化して分割するステップと、
分割データを、前記端末と前記ネットワークに接続する複数の分割データ保管サーバとに、分散して保管させるステップを有することを特徴とする方法。
【請求項５】
前記端末から、該端末が所有するデータの保管を要求された場合、該端末に、前記所有するデータと、該所有するデータを識別する識別子を要求するステップと、
該識別子と、前記分割データの保管されている前記分割データ保管サーバ名と、該分割データ保管サーバ内の保管トラックとを関連づけるインデックスを作成するステップと、
前記端末から、該端末が所有していたデータの復元と送信を要求された場合、該端末に、復元対象のデータを識別する識別子と、前記端末が保管していた前記分割データを要求するステップと、
前記インデックスをもとに、前記分割データを前記分割データ保管サーバから前記ネットワークを介して取り出し、前記端末から受信した前記分割データとあわせて、前記分割データを結合して復号化し、データを復元するステップと、
復元されたデータを前記端末に送信するステップをさらに有する、請求項４に記載の方法。
【請求項６】
保管対象のデータを暗号化して分割する前記ステップは、暗号化の際、ＤＥＳまたはＲＣ２を用いる、請求項１から５のいずれか１項に記載の方法。
【請求項７】
保管対象のデータを暗号化して分割する前記ステップは、データの分割の際、データの列番号を分割数で割ったときの剰余にもとづいて分割を行う、請求項１から６のいずれか１項に記載の方法。
【請求項８】
ネットワーク上でデータを保護・保管するサーバにおいて、
保管対象のデータを暗号化して分割する手段と、
分割データを、前記ネットワークに接続する複数の分割データ保管サーバに分散して保管させる手段を有することを特徴とするサーバ。
【請求項９】
前記保管対象のデータを識別する識別子と、前記分割データの保管されている前記分割データ保管サーバ名と、該分割データ保管サーバ内の保管トラックとを関連づけるインデックスを作成する手段と、
該インデックスを保管する手段と、
該インデックスをもとに、前記分割データを前記分割データ保管サーバから前記ネットワークを介して取り出し、該分割データを結合して復号化し、前記保管対象のデータを復元する手段をさらに有する、請求項８に記載のサーバ。
【請求項１０】
前記ネットワークに接続する端末から、該端末が所有するデータの保管を要求された場合、該端末に、前記所有するデータと該所有するデータを識別する識別子を要求する手段と、
前記端末から、該端末が所有していたデータの復元と送信を要求された場合、該端末に、復元対象のデータを識別する識別子を要求する手段と、
復元されたデータを前記端末に送信する手段をさらに有する、請求項９に記載のサーバ。
【請求項１１】
ネットワーク上でデータを保護・保管するサーバにおいて、
前記ネットワークに接続する端末から保管を要求された保管対象のデータを暗号化して分割する手段と、
分割データを、前記端末と前記ネットワークに接続する複数の分割データ保管サーバとに、分散して保管させる手段を有することを特徴とするサーバ。
【請求項１２】
前記端末から、該端末が所有するデータの保管を要求された場合、該端末に、前記所有するデータと、該所有するデータを識別する識別子を要求する手段と、
該識別子と、前記分割データの保管されている前記分割データ保管サーバ名と、該分割データ保管サーバ内の保管トラックとを関連づけるインデックスを作成する手段と、
該インデックスを保管する手段と、
前記端末から、該端末が所有していたデータの復元と送信を要求された場合、該端末に、復元対象のデータを識別する識別子と、前記端末が保管していた前記分割データを要求する手段と、
前記インデックスをもとに、前記分割データを前記分割データ保管サーバから前記ネットワークを介して取り出し、前記端末から受信した前記分割データとあわせて、前記分割データを結合して復号化し、データを復元する手段と、
復元されたデータを前記端末に送信する手段をさらに有する、請求項１１に記載のサーバ。
【請求項１３】
保管対象のデータを暗号化して分割する前記手段は、暗号化の際、ＤＥＳまたはＲＣ２を用いる、請求項８から１２のいずれか１項に記載のサーバ。
【請求項１４】
保管対象のデータを暗号化して分割する前記手段は、データの分割の際、データの列番号を分割数で割ったときの剰余にもとづいて分割を行う、請求項８から１３のいずれか１項に記載のサーバ。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク上のデータ保護・保管方法に関する。
【０００２】
【従来の技術】
パスワードやクレジットカード番号などの機密性の高いデータをネットワーク上のサーバに保管する場合、保管するデータを暗号化すること、ファイアウォールで第三者のサーバへの侵入を防ぐことなどによってデータを保護していた。
【０００３】
暗号化および／または分割化によりデータを保護することは、固定装置（例えば、特許文献１参照）またはデータ通信（例えば、特許文献２参照）において提案されている。
【０００４】
【特許文献１】
特開平１１−３０６６７６号公報
【特許文献２】
特開２００２−７７１３９号公報
【０００５】
【発明が解決しようとする課題】
しかしながら、従来のネットワーク上のデータ保管方法では、サーバがクラックされると直ちに情報漏洩に結びついていた。特に、複数の顧客のデータを１つのサーバに集中保管している場合、顧客の情報が一度に大量に流出することになり、その被害は大きい。
【０００６】
また、従来の保管方法では、サーバサイトが全面的に信用できるものであることを前提としている。仮にサーバ管理者が背信的悪意を持っていた場合、サーバに保管されたデータは、第三者がサーバをクラックせずとも漏洩することになる。
【０００７】
このように、オープンな環境にあるネットワーク上のデータ保管においては、特許文献１または２とは違って、データ自体に精巧な保護を施すだけでは足りず、データ漏洩の危険をいかにして分散するかという視点が重要である。
【０００８】
そこで本発明の目的は、データを暗号化・分割化処理により保護し、さらに危険を分散したうえで保管するデータ保護・保管方法を提供することにある。
【０００９】
【課題を解決するための手段】
上記目的を達成するために、本発明は、データを暗号化して分割し、分割されたデータを、ネットワークを介して、複数の分割データ保管サーバに送り、分散して保管するようにする。
【００１０】
あるいは、データを暗号化して分割し、ネットワークを介して、分割されたデータの一部を保管対象のデータの所有者の端末に、残りを複数の分割データ保管サーバに送り、分散して保管するようにする。
【００１１】
【発明の実施の形態】
次に、本発明の実施の形態について、図面を参照して説明する。
【００１２】
図１を参照すると、本発明の第１の実施形態のデータ保護・保管システムは、データ保護のための暗号化・分割化、および、保護を解くための結合化・復号化などの処理を行うデータ保護・保管サーバ１と、データ保護・保管サーバ１により暗号化され分割されたデータを保管する分割データ保管サーバ２１〜２ｎと、保管対象のデータの所有者が保有するデータ所有者端末３が、ネットワーク４を介して相互接続して構成される。
【００１３】
データ保護・保管サーバ１は、データおよび識別子が入出力される入出力部１１と、各モジュールの制御を行う制御モジュール１２と、保管対象となるデータを受け取り、暗号化を行うデータ暗号化モジュール１３と、暗号化されたデータをｎ個（ｎは２以上の整数）に分割するデータ分割モジュール１４と、分割されたデータを受け取り、結合するデータ結合モジュール１５と、結合されたデータを復号化するデータ復号化モジュール１６と、どの分割データ保管サーバ２１〜２ｎにどの分割データを保管したのか記録するインデックス保管部１７から構成される。
【００１４】
インデックス保管部１７には、保管対象となるデータに付された識別子と、これに対応する分割データが保管される分割データ保管サーバ名と、その中のレコード番号が関連づけられて保管されている。
【００１５】
表１を参照すると、インデックス保管部１７に保管されている情報の例が示されている。例えば、データ所有者端末ａの１０１番目のデータにａ１０１という識別子が付され、このデータを暗号化し分割したデータは、分割データ保管サーバｄｂ０００１のレコード番号４５９８と、分割データ保管サーバｄｂ０００２のレコード番号８７１６に保存されていることが示されている。なお、データが保管される媒体はメモリでもハードディスクでも構わない。
【００１６】
【表１】
2004171207.tif 000003
分割データ保管サーバ２１〜２ｎは、分割後のｎ個のデータをそれぞれ１個ずつ保管するものとする。分割データ保管サーバ２１〜２ｎを、ネットワークを介して設置する場合には、各分割データ保管サーバ２１〜２ｎは、それぞれ異なるサイト内に設置されたサーバであることが好ましい。各分割データ保管サーバ８１〜８ｎをファイアウォールなどで不正アクセスから防御しておくことで、安全性をさらに高めることができる。
【００１７】
次に、本実施形態のデータ保護・保管システムの処理について説明する。
【００１８】
最初に、制御モジュール１２が、ネットワーク４および入出力部１１を介して、データ所有者端末３から保管対象のデータとそれに付された識別子を受信する。制御モジュール１２は、この保管対象のデータをデータ暗号化モジュール１３に送信する。
【００１９】
次に、データ暗号化モジュール１３が、このデータを暗号化する。暗号化には、暗号化後のデータの一部が欠落すると復号化できない方式のものを用いる。これは本発明の必須要件である。ＤＥＳ、ＲＣ２などがこれにあたる。暗号化後のデータの一部を入手しても復号できる暗号方式（例えば、単字変換：ａ→ｂ、ｂ→ｃ、ｃ→ｄ、・・・・・・に置き換える方式）を使用した場合、暗号化後のデータの一部から元のデータの一部が復号でき、それによって全体を類推することが可能になるからである。
【００２０】
例えば、保管対象データが“ａｂｃｄｅｆｇ”の場合、その文字列を暗号化して“ｚｐＷＥｃｄｅ＄ｅＰ％３１ｃｎｈＯ９？”となる。データ暗号化モジュール１３は、暗号化したデータを制御モジュール１２に返す。
【００２１】
次に、制御モジュール１２は、データ分割モジュール１４に暗号化された後のデータを送信する。データ分割モジュール１４は、それをｎ個（ｎは２以上の整数）以上に分割する。分割方法は、分割後の全てのデータの長さが０より大きくなることが保障されるものであれば何でも良い。
【００２２】
分割方法としては、例えば、剰余数を用いる方法がある。これは、分割後のデータが第三者に入手された場合であっても、その復元をどのように行うのか類推するのを困難にするためである。ｎ個に分割するとき、文字列の中で対象の文字が先頭からｘ番目であったとして、この文字は（ｘ％ｎ）＋１のグループに仕分ける（ｘ％ｎは、ｘをｎで割ったときの剰余数を示す）。
【００２３】
例えば、２個に分割するとき、暗号化データが“ｚｐＷＥｃｄｅ＄ｅＰ％３１ｃｎｈＯ９？”の場合は、第１グループは“ｚＷｃｅｅ％１ｎ０？”、第２グループは“ｐＥｄ＄Ｐ３ｃｈ９”に分割される。データ分割モジュール１４は、分割されたデータを制御モジュール１２に返す。
【００２４】
次に、制御モジュール１２は、暗号化され分割された後のｎ個のデータを、入出力部１１およびネットワーク４を介して、それぞれｎ個の分割データ保管サーバ２１〜２ｎの特定のトラックに保管する。同時に、制御モジュール１２は、インデックス保管部１７に、当該保管データの識別子と、分割したデータを保管する分割データ保管サーバ名と、この分割データ保管サーバ内で分割データが保存されるトラック番号を書き込む（表１参照）。
【００２５】
以上により、仮に１箇所の分割データ保管サーバが不正にアクセスされ、保管している分割データが盗まれた場合でも、このデータからは暗号キーを適用しても数学的に復号することができないため、保管データ全体が漏洩することはありえない。
【００２６】
次に、本実施形態のデータ保護・保管システムからデータを復元する処理について説明する。
【００２７】
制御モジュール１２は、データ所有者端末３から、ネットワーク４および入出力部１１を介して、取り出したいデータの識別子を受信する。制御モジュール１２は、この識別子により、インデックス保管部１７を参照して、分割されているデータが、分割データ保管サーバ２１〜２ｎの何番目のレコードにあるのかを検索する。これに基づき、入出力部１１およびネットワーク４を介して、分割データ保管サーバ２１〜２ｎに分割されたデータを要求する。
【００２８】
例えば、表１の場合において、識別子ａ１０１のデータに対応する分割データを分割データ保管サーバ２１〜２ｎから取り出すとする。インデックス保管部１７から、分割データは、分割データ保管サーバ２１では４５９８レコードにあり、分割データ保管サーバ２２では８７１６レコードにあることが導き出され、分割データ保管サーバ２１と２２からそれぞれ、”ｚＷｃｅｅ％１ｎ０？”と”ｐＥｄ＄Ｐ３ｃｈ９”が取り出される。分割データ保管サーバ２１〜２ｎから取り出された分割データは、制御モジュール１２からデータ結合モジュール１５に送られる。
【００２９】
次に、データ結合モジュール１５は、この分割データを分割時の逆手順で結合する。ここでは、第１グループの１番目の文字、第２グループの１番目の文字、第１グループの２番目の文字、第２グループの２番目の文字・・・・・・という手順で結合する。分割データ保管サーバ２１と２２からそれぞれ取り出された”ｚＷｃｅｅ％１ｎ０？”と”ｐＥｄ＄Ｐ３ｃｈ９”のデータは、”ｚｐＷＥｃｄｅ＄ｅＰ％３１ｃｎｈＯ９？”という文字列に結合される。このデータは制御モジュール１２に返される。
【００３０】
次に、制御モジュール１２は、データ復号化モジュール１６に、この結合したデータを送信する。データ復号化モジュール１６は、暗号化した方式での復号化処理によって復号化する。ここでは、”ｚｐＷＥｃｄｅ＄ｅＰ％３１ｃｎｈＯ９？”という文字列から”ａｂｃｄｅｆｇ”という文字列が得られる。この復号化されたデータは制御モジュール１２に返される。
【００３１】
最後に、制御モジュール１２は、入出力部１１およびネットワーク４を介して、保管のための保護処理を取り除いたデータをデータ所有者端末３に送信する。
【００３２】
次に、本発明の第２の実施形態のデータ保護・保管システムについて説明する。
【００３３】
本実施形態では、暗号化し分割したｎ個のデータのすべてを分割データ保管サーバ２１〜２ｎに保管するのではなく、１つをデータ所有者端末３自身に保管させ、ｎ−１個を分割データ保管サーバ２１〜２ｎに保管させる点が、第１の実施形態と異なる。
【００３４】
データ所有者端末３が、Ｍｉｃｒｏｓｏｆｔ  Ｉｎｔｅｒｎｅｔ  ＥｘｐｌｏｒｅｒなどのＷｅｂブラウザから保管データとその識別子を入力した場合には、ＷｅｂブラウザのＣｏｏｋｉｅに保管することが可能である。
【００３５】
ここで、データ所有者端末３に保管する分割データについては、インデックス保管部１７にその情報が格納されず、データ所有者端末３にしかわからないことに注意されたい。
【００３６】
保管データを取り出す際は、制御モジュール１２は、データ所有者端末３に対して、識別子と保管している分割データを要求する。
【００３７】
次に、制御モジュール１２は、この識別子に基づいて、インデックス保管部１７から、残りのデータが分割データ保管サーバ２１〜２ｎのどのレコードに格納されているかを検索し、分割データ保管サーバ２１〜２ｎから目的のデータを取り出す。以下の復元過程は第１の実施形態と全く同じである。
【００３８】
【発明の効果】
以上説明したように、本発明によれば、保管するデータを暗号化して複数に分割し、複数の分割データ保管サーバに分散して保管することにより、データ保管の安全性が高まる。第三者が不正にデータを取得しようとする場合、分割された暗号化データを保管する全ての分割データ保管サーバを何らかの方法で見つけ、全ての保管サーバのセキュリティシステムをやぶり、なおかつ、暗号キーを見つける必要がある。
【００３９】
さらに、第２の実施形態のように、分割した暗号データの一部をデータ所有者の個々の端末に保存することにより、第三者が不正にデータを取得しようとする場合、さらに当該所有者の端末を何らかの方法で見つけ、セキュリティシステムをやぶる必要がある。
【００４０】
このように、データの不正取得には通常以上の手間がかかるため、不正アクセスに対する抑止力が働く。
【００４１】
また、１個の分割データ保管サーバには暗号化した後のデータの一部分しか存在しないため、分割データ保管サーバ管理者に背信的悪意がある場合でも、データは完全な形式で漏洩しない。仮に１個の分割データ保管サーバからデータを取得して暗号キーがわかり、分割後の暗号データの一部分に暗号キーを適用しても、数学的に暗号を解除できないため、元データの一部分も流出することはない。
【００４２】
また、第２の実施形態のように、分割した暗号データの一部をデータ所有者の個々の端末に保存する場合は、その分だけ分割データ保管サーバの負担を減らすことができる。通常、データ所有者端末の数は、分割データ保管サーバの数に比べ圧倒的に多いので、分割データ保管サーバの負担は大きく軽減できる。
【図面の簡単な説明】
【図１】本発明のデータ保護・保管システムの構成を示す図である。
【符号の説明】
１    データ保護・保管サーバ
２    分割データ保管サーバ
３    データ所有者端末
４    ネットワーク
１１  入出力部
１２  制御モジュール
１３  データ暗号化モジュール
１４  データ分割モジュール
１５  データ結合モジュール
１６  データ復号化モジュール
１７  インデックス保管部
【図１】
2004171207.tif 000004