(57)【要約】【課題】ファイルの暗号化／復号を行う時にファイル入出力対象のファイルシステムがNTFSであり，かつ，ファイル入出力対象が前記NTFSのメタデータであれば，前記ファイル入出力対象に対して，ファイルの暗号化／復号を行うとコンピュータシステムのシステムデータを破壊することになり，コンピュータシステムのシステムクラッシュを発生させる恐れがある。【解決手段】ファイル入出力時に透過的にファイルデータの暗号化／復号を行う場合に，ファイル入出力対象のファイルシステムがNTFSであり，かつ，前記ファイル入出力対象が暗号化対象であるとしても，メタデータを示しているものであれば，ファイルの暗号化／復号を行わないことでコンピュータシステムのシステムデータを破壊せずに，ファイルのユーザデータのみを暗号化／復号する。【選択図】図１
2004199316.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータシステム上でストレージデバイスへのファイル入出力要求に対して，ファイルの読み込み／書きこみ時に透過的にファイルデータの暗号化／復号を行う場合において，ファイル入出力対象のストレージデバイスが使用しているファイルを管理するファイルシステムの種別が，予め付与されたストレージデバイスを論理的にあらわしている情報に書きこまれ，ファイルのアクセス要求に対して，前記ファイルシステム種別を参照してNTファイルシステム（NTFS）か否かが判断され，NTFSと判断されたならば，ファイルのアクセス要求対象のファイル種別を判定することを特徴とするセキュリティシステム。
【請求項２】
請求項1において，前記ファイルシステムがNTFSであり，かつ，前記ファイル種別がメタデータファイルであれば，ファイル入出力対象がファイルデータの暗号化／復号を行う暗号化対象であると判別されたとしても，ファイルデータの暗号化／復号を行わないことを特徴とするセキュリティシステム。
【請求項３】
ファイルの暗号化／復号を行う対象領域を設定するユーザ空間上で動作する実行ファイルを有し，前記実行ファイルから暗号化／復号対象領域を設定する場合において，前記ファイルの暗号化／復号対象領域の前記ファイルを管理するファイルシステムの種別を判別する手段と，その判別された前記ファイルシステム種別を，前記ストレージデバイスを論理的に表している情報に付与する手段と，を有することを特徴とするセキュリティシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は，コンピュータシステム上でデータファイルのセキュリティを確保する為にファイルの暗号化を行うセキュリティシステム，セキュリティ方式及びセキュリティ処理プログラムに関する。
【０００２】
【従来の技術】
ストレージデバイスに蓄積されるデータファイルに対して，機密データ保護等のセキュリティ確保を要求される為，データファイルの暗号化を行うセキュリティ技術の重要性が増し，ストレージデバイスからファイルの読みこみ／書きこみ時に透過的に暗号化／復号を行う方式がある。
【０００３】
前記ファイルの読み込み／書きこみ時に透過的に暗号化/復号を行う方式は，ファイル入出力要求において，ストレージデバイスからの前記ファイルの読み込み／書きこみ要求かを判別し，ファイルの読み込みと判定されたならば読みこむデータを復号し，ファイルの書き込みと判定されたならば書き込むデータを暗号化する。
公知文献としては、「インサイドWindowsNT第２版  日経ＢＰソフトプレス発行  David.A.Solomon著  p412−p419」、「NTドライバプログラミング  ソフトバンクパブリッシング発行  Peter  G．Viscarola  、W.Anthony  Mason著  p164−p167」等がある。
【０００４】
【発明が解決しようとする課題】
この従来技術において，ファイルの暗号化／復号を行う時にファイル入出力対象のファイルシステムがNTFSであり，かつ，ファイル入出力対象が前記NTFSのメタデータであれば，前記ファイル入出力対象に対して，ファイルの暗号化／復号を行うとコンピュータシステムのシステムデータを破壊することになり，コンピュータシステムのシステムクラッシュを発生させる恐れがある。
【０００５】
本発明は，上記問題点に鑑みてなされたものであり，その主たる目的はファイル入出力時に透過的にファイルデータの暗号化／復号を行う場合に，ファイル入出力対象のファイルシステムがNTFSであり，かつ，前記ファイル入出力対象が暗号化対象であるとしても，メタデータを示しているものであれば，ファイルの暗号化／復号を行わないことでコンピュータシステムのシステムデータを破壊せずに，ファイルのユーザデータのみを暗号化／復号するセキュリティシステム，セキュリティ方式及びセキュリティプログラムを提供することにある。
【０００６】
【課題を解決するための手段】
上記目的を達成する為に，本発明の方式はユーザがファイルの暗号化／復号を行いたい領域を設定後，前記暗号化／復号対象領域のファイルシステム種別を判別し，判別した結果をストレージデバイスを論理的に表している情報に付与した後，ファイルアクセス要求時に前記予め付与されているファイルシステム種別を参照し，参照した結果に対してファイルシステム種別がNTFSであれば，ファイルアクセス要求対象のファイル種別を判定し，前記ファイル種別がメタデータファイルであればファイルの暗号化／復号を行わずに，ファイルアクセス要求を下位レイヤへバイパスし，メタデータファイルでない場合は，ファイルアクセス要求が暗号化／復号対象であることを判別し，暗号化／復号対象ファイルであればファイルの暗号化／復号を行い，暗号化／復号対象でないと判定されたならばファイルアクセス要求を下位レイヤへバイパスする。
【０００７】
また，前記ファイルシステム種別がNTFSではない場合は，ファイルアクセス要求対象が暗号化／復号対象であればファイルの暗号化／復号を行い，暗号化／復号対象ファイルでない場合は，下位レイヤへバイパスする。
【０００８】
本発明においては，前記ファイルシステム判別手段と，ファイル種別判別手段と，ファイルシステム種別登録手段と，ファイルの暗号化／復号を行う手段と，ファイルアクセス要求を下位レイヤへバイパスする各手段と，がカーネル空間で動作するフィルタドライバに設けられていることが望ましい。
【０００９】
【発明の実施の形態】
本発明について図面を参照して説明する。
図1は本発明の一実施例を示す機能ブロック図であり，図2は本実施例の動作手順を示すフローチャート図である。
【００１０】
図1に示すように，本実施例に係わるNTFSのメタデータファイル判別において，ユーザ空間で動作するアプリケーションプログラム1と，フィルタドライバを管理しているフィルタドライバ管理プログラム2と，ユーザ空間からのファイル入出力要求を処理するオペレーティングシステム3と，ファイルシステム種別判別手段4，ファイル種別判別手段5，ファイルシステム種別登録手段6，暗号化／復号対象判別手段7，暗号化／復号手段8，バイパス手段9を備えたフィルタドライバ10と，フィルタドライバ10をバイパスしてファイルシステム等を含む，ファイル入出力要求を処理する下位レイヤ11と，で構成され，以下，各手段の機能について説明する。
【００１１】
フィルタドライバ10のファイルシステム種別判別手段4は，ユーザ空間上で動作するアプリケーションプログラム1からのファイルアクセス要求がオペレーティングシステム3を介してファイル入出力要求を受信した際に，ファイルアクセス対象のファイルシステム種別を，予めストレージデバイスを論理的に表している情報に登録されているファイルシステム種別を参照することで，前記ファイルアクセス対象のファイルシステム種別を判別する。
【００１２】
ファイル種別判別手段5は，ファイルシステム種別判別手段3によってファイルアクセス対象のファイルステムがNTFSと判定された場合に，前記ファイルアクセス要求対象のファイル番号をクエリーし，ファイル番号が0から15の範囲内であればメタデータと判定する。
【００１３】
ファイルシステム種別登録手段6は，フィルタドライバ管理プログラム2によってユーザが設定した暗号化／復号対象領域の設定を行う際に，前記暗号化／復号対象領域のファイルシステム種別をファイルシステム種別判別手段4によって判別し，判別した結果を前記ストレージデバイスを論理的に表している情報に書き込む。
【００１４】
暗号化／復号対象判別手段7は，ファイルアクセス要求対象が暗号化／復号対象であるか否かを判定し，判定された結果，暗号化／復号対象であればファイルアクセス要求対象のファイルデータを暗号化／復号を行い，その後，バイパス手段9によって下位レイヤへバイパスする。また，暗号化／復号対象でない場合には，バイパス手段9によってファイルアクセス要求が直ちに下位レイヤへとバイパスされる。
【００１５】
次に，図1の構成及び図2のフローチャート図を参照して，本実施例のNTFSにおけるファイル識別方式について詳述する。
まず，図2のステップA1によってフィルタドライバ管理プログラム2を用いてユーザが暗号化／復号対象領域を設定すると，ステップA2によってフィルタドライバ10内でストレージデバイスを論理的に表している情報にファイルシステム種別が登録されているかを判別し，ファイルシステム種別が登録されていなければ，ステップA3で設定する暗号化／復号対象領域を元にしてファイルシステム種別を判別し，その後，ステップA4で判別したファイルシステム種別を前記ストレージデバイスを論理的に表している情報に書き込む。
【００１６】
ステップB1のアプリケーションプログラム1からファイルアクセス要求が発生した場合，ステップB2のファイルアクセス要求の対象がNTFSであるか否かを，予め登録されているストレージデバイスを論理的に表している情報のファイルシステム種別を参照することで判定する。判定された結果，ファイルシステム種別がNTFSであればファイルアクセス対象のファイル種別をステップB3で判定し，前記ファイルシステム種別がNTFSでない場合には，ステップB4でファイルアクセス要求対象が暗号化／復号対象であるか否かを判別する。
【００１７】
ステップB3において，ファイルアクセス要求対象のファイル番号をクエリーし，その結果，ファイル番号が0から15番の範囲であるならば，そのファイルアクセス要求対象はメタデータと判定される。ステップB3でメタデータと判定されたならば，ファイルアクセス要求対象が暗号化／復号対象であるとしても，ステップB6によってファイルアクセス要求を下位レイヤへバイパスして処理を終わらせる。
【００１８】
ステップB4では，ファイルアクセス要求対象が暗号化／復号対象ファイルであるか否かを判定し，暗号化／復号対象であればステップB5によって，ファイルのデータを暗号化／復号を行い，その後，ファイルアクセス要求をステップB6によって下位レイヤへバイパスして処理を終わらせる。
【００１９】
【発明の効果】
以上説明したように，本発明のNTFSにおけるファイル識別方式によれば，ファイルアクセス要求時にメタデータファイルの判定を行うことでコンピュータシステムが管理しているメタデータを暗号化／復号することなく，ファイルのユーザデータのみをファイル入出力時に透過的に暗号化／復号を行うことが可能となり，セキュリティを保持したい機密データの保護を行うことにおいて，本発明の効果が発揮される。
【図面の簡単な説明】
【図１】本発明の一実施例を示す機能ブロック図
【図２】本実施例の動作手順を示すフローチャート図
【符号の説明】
1・・・アプリケーションプログラム，2・・・フィルタドライバ管理プログラム，3・・・オペレーティングシステム，4・・・ファイルシステム種別判別手段，5・・・ファイル種別判別手段，6・・・ファイルシステム種別登録手段，7・・・暗号化／復号対象判別手段，8・・・暗号化／復号手段，9・・・バイパス手段、10・・・フィルタドライバ，11・・・下位レイヤ
【図１】
2004199316.tif 000003
【図２】
2004199316.tif 000004