(57)【要約】      （修正有）【課題】デバイス等の証拠保全物の複製の同一性の証明等に使用するハッシュ値の測定方法に関し、特にセクタ不良などの問題が存在する記録媒体からの証拠保全においても原本と同一であることを証明する手法を提供する。【解決手段】デバイス１のハッシュ値を測定するハッシュ値測定方法であって、デバイス１上で読み取り不可領域ｂを検知した際、読み取り不可領域ｂの直前までのハッシュ値及び読み取り可能領域ａの位置情報を記録する第１の記録処理と、読み取り不可領域ｂを検出した後、デバイス１の次の読み取り可能領域ａを検出する検出処理と、デバイス１の次の読み取り可能領域ａを検出した際、読み取り可能領域ａの最初からハッシュ値の測定を開始し、その後デバイス１上の読み取り不可領域ｂを検知した場合、読み取り不可領域ｂの直前までの読み取り可能領域ａのハッシュ値及び読み取り可能領域ａの位置情報を記録する第２の記録処理と、を行う。【選択図】図１
2017143346.tif 000002
【特許請求の範囲】
【請求項１】
デバイスのハッシュ値を測定するハッシュ値測定方法であって、
前記デバイス上で読み取り不可領域を検知した際、該読み取り不可領域の直前までのハッシュ値及び読み取り可能領域の位置情報を記録する第１の記録処理と、
前記読み取り不可領域を検出した後、前記デバイスの次の読み取り可能領域を検出する検出処理と、
前記デバイスの次の読み取り可能領域を検出した際、該読み取り可能領域の最初からハッシュ値の測定を開始し、その後前記デバイス上の読み取り不可領域を検知した場合、該読み取り不可領域の直前までの前記読み取り可能領域のハッシュ値及び前記読み取り可能領域の位置情報を記録する第２の記録処理と、
を行うことを特徴とするハッシュ値測定方法。
【請求項２】
前記第１の記録処理、前記検出処理、前記第２の記録処理を順次繰り返すことを特徴とする請求項１に記載のハッシュ値測定方法。
【請求項３】
デバイスのハッシュ値を測定するハッシュ値測定方法であって、
前記デバイス上で読み取り不可領域の位置情報を検知し、該読み取り不可領域の位置情報を記録する処理と、
該読み取り不可領域の位置情報に基づいて、前記デバイス上の前記読み取り不可領域以外の読み取り可能領域のハッシュ値を記録する第３の記録処理と、
を行うことを特徴とするハッシュ値測定方法。
【請求項４】
デバイスのハッシュ値を測定するハッシュ値測定方法であって、
前記デバイス上で読み取り可能領域の位置情報を検知し、該読み取り可能領域の位置情報を記録する処理と、
該読み取り可能領域の位置情報に基づいて、前記デバイス上の前記読み取り可能領域のハッシュ値を記録する第４の記録処理と、
を行うことを特徴とするハッシュ値測定方法。
【請求項５】
ファイルに含まれる位置情報やファイルシステム上における位置情報を前記デバイス上の位置情報に変換する処理と、
前記変換処理結果の位置情報と前記第１、第２の記録処理によって取得した位置情報を比較する処理と、
該比較結果に基づいて、前記ファイル又はファイルシステムが原本デバイスと同一であることを証明する処理と、
を行うことを特徴とする請求項１、又は２に記載のハッシュ値測定方法を使用した証明方法。
【請求項６】
前記第１、第２の記録処理によって取得した位置情報をファイルに含まれる位置情報やファイルシステム上における位置情報に変換する処理と、
前記変換結果の位置情報と、前記ファイルに含まれる位置情報やファイルシステム上における位置情報と比較する処理と、
該比較結果に基づいて、前記ファイル又はファイルシステムが前記原本デバイスと同一であることを証明する処理と、
を行うことを特徴とする請求項１、又は２に記載のハッシュ値測定方法を使用した証明方法。
【請求項７】
ファイルに含まれる位置情報やファイルシステム上における位置情報を前記デバイス上の位置情報に変換する処理と、
前記変換処理結果の位置情報と前記第３又は第４の記録処理によって取得した位置情報を比較する処理と、
該比較結果に基づいて、前記ファイル又はファイルシステムが前記原本デバイスと同一であることを証明する処理と、
を行うことを特徴とする請求項３、又は４に記載のハッシュ値測定方法を使用した証明方法。
【請求項８】
前記第３又は第４の記録処理によって取得した位置情報をファイルに含まれる位置情報やファイルシステム上における位置情報に変換する処理と、
前記変換結果の位置情報と、前記ファイルに含まれる位置情報やファイルシステム上における位置情報と比較する処理と、
該比較結果に基づいて、前記ファイル又はファイルシステムが前記原本デバイスと同一であることを証明する処理と、
を行うことを特徴とする請求項３、又は４に記載のハッシュ値測定方法を使用した証明方法。
【請求項９】
前記ファイルシステム上に含まれる不良領域の位置情報が前記デバイス上のハッシュ値が取得されなかった領域の全てを包括することを示すことによって、前記ファイルシステム上で使用されているデータは全て原本と同一であることを証明することを特徴とする請求項１、２、３、４、５、６、７、又は８に記載のハッシュ値測定方法を使用したハッシュ値測定方法。
【請求項１０】
デバイスのハッシュ値を測定するハッシュ値測定プログラムであって、
前記デバイス上で読み取り不可領域を検知した際、該読み取り不可領域の直前までのハッシュ値及び読み取り可能領域の位置情報を記録する第１の記録処理と、
前記読み取り不可領域を検出した後、前記デバイスの次の読み取り可能領域を検出する検出処理と、
前記デバイスの次の読み取り可能領域を検出した際、該読み取り可能領域の最初からハッシュ値の測定を開始し、その後前記デバイス上の読み取り不可領域を検知した場合、該読み取り不可領域の直前までの前記読み取り可能領域のハッシュ値及び前記読み取り可能領域の位置情報を記録する第２の記録処理と、
をコンピュータに実行させることを特徴とするハッシュ値測定プログラム。
【請求項１１】
デバイスのハッシュ値を測定するハッシュ値測定プログラムであって、
前記デバイス上で読み取り不可領域の位置情報を検知し、該読み取り不可領域の位置情報を記録する処理と、
該読み取り不可領域の位置情報に基づいて、前記デバイス上の前記読み取り不可領域以外の読み取り可能領域のハッシュ値を記録する第３の記録処理と、
をコンピュータに実行させることを特徴とするハッシュ値測定プログラム。
【請求項１２】
デバイスのハッシュ値を測定するハッシュ値測定プログラムであって、
前記デバイス上で読み取り可能領域の位置情報を検知し、該読み取り可能領域の位置情報を記録する処理と、
該読み取り可能領域の位置情報に基づいて、前記デバイス上の前記読み取り可能領域のハッシュ値を記録する第４の記録処理と、
をコンピュータに実行させることを特徴とするハッシュ値測定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はフォレンジック分野において、デバイス等の証拠保全物の複製の同一性の証明に使用するハッシュ値の測定方法に関する。
【背景技術】
【０００２】
近年、不正アクセスや機密情報の漏洩等のコンピュータに関する犯罪や法的紛争が生じた場合、原因究明や捜索に必要な機器やデータの電子的記録を収集、分析し、その法的な証拠性を明らかにするデジタルフォレンジック技術が注目されている。
【０００３】
パーソナルコンピュータや、サーバ、ネットワーク機器、情報家電等の機器がこの技術の対象となり、例えば調査対象となる機器に保存されているデータの証拠保全等を行うため、データの改変を行わずに複製の作成を実施する。
【０００４】
その際、複製データが証拠能力を持つデータであることを示すため、調査対象の原本である記録データと同一であることを証明する必要がある。この証明には、原本データと複製データのそれぞれから、デバイス全体としてのハッシュ値を取得し、比較をすることで同一性を示す方法が一般的に行われている。
尚、特許文献１はハッシュ値を使用して通信ファイルの同一性を判断する管理装置の発明を開示する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−１５８５９６
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記従来の方法では、原本となるデバイスに問題が存在する場合（例えば、セクタ不良等が存在する場合）、データの一部を取得することができず、原本デバイスと複製デバイスとで生成されたハッシュ値が異なる結果となってしまうケースが存在する。この場合、仮にデータの殆どが取得できていたとしても、複製の同一性を証明することができない。
【０００７】
そこで、本発明は上記従来の課題に鑑み、セクタ不良などの問題が存在する記録媒体からの証拠保全においても原本と同一であることを証明する方法を開示する
【課題を解決するための手段】
【０００８】
上記課題は第１の発明によれば、デバイスのハッシュ値を測定するハッシュ値測定方法であって、上記デバイス上で読み取り不可領域を検知した際、該読み取り不可領域の直前までのハッシュ値及び読み取り可能領域の位置情報を記録する第１の記録処理と、上記読み取り不可領域を検出した後、前記デバイスの次の読み取り可能領域を検出する検出処理と、上記デバイスの次の読み取り可能領域を検出した際、該読み取り可能領域の最初からハッシュ値の測定を開始し、その後デバイス上の読み取り不可領域を検知した場合、該読み取り不可領域の直前までの前記読み取り可能領域のハッシュ値及び前記読み取り可能領域の位置情報を記録する第２の記録処理と、を行うハッシュ値測定方法を提供することによって達成できる。
【０００９】
また、上記課題は第２の発明によれば、デバイスのハッシュ値を測定するハッシュ値測定方法であって、上記デバイス上で読み取り不可領域の位置情報を検知し、該読み取り不可領域の位置情報を記録する処理と、該読み取り不可領域の位置情報に基づいて、上記デバイス上の前記読み取り不可領域以外の読み取り可能領域のハッシュ値を記録する第３の記録処理と、を行うハッシュ値測定方法を提供することによって達成できる。
【００１０】
さらに、上記課題は第３の発明によれば、デバイスのハッシュ値を測定するハッシュ値測定方法であって、上記デバイス上で読み取り可能領域の位置情報を検知し、該読み取り可能領域の位置情報を記録する処理と、該読み取り可能領域の位置情報に基づいて、デバイス上の前記読み取り可能領域のハッシュ値を記録する第４の記録処理と、を行うハッシュ値測定方法を提供することによって達成できる。
【図面の簡単な説明】
【００１１】
【図１】本実施形態の説明で使用するデバイスのメモリ構成を示す図である。
【図２】第１の実施形態を説明するフローチャートである。
【図３】第２の実施形態を説明するフローチャートである。
【図４】第３の実施形態の説明で使用するデバイス及びファイルシステムのメモリ構成を示す図である。
【図５】第３の実施形態を説明するフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本発明の実施形態について、図面を参照しながら説明する。
（第１の実施形態）
図１は本実施形態のハッシュ値測定方法を説明する図であり、本方法で使用するデバイスのメモリ構成を示す図である。尚、このデバイス１は、例えば事件の関係先から押収したパーソナルコンピュータや、サーバ、ネットワーク機器、情報家電等の記憶装置であり、証拠物として蓄積されたデータを含む。同図において、斜線で示す領域ａ１、ａ２、ａ３はデバイス１上の読み取り可能領域を示し、白地で示す領域ｂ１、ｂ２は読み取り不可領域を示す。
【００１３】
図２は、上記構成のデバイス１を使用して本例のハッシュ値測定方法を説明するフローチャートである。先ず、デバイス１からデータの読み出し、ハッシュ値の計測処理を開始する（ステップ（以下、Ｓで示す）１）。具体的にはデバイス１のセクタ番号“１”（“0,000,001”）に記憶された位置から読み取りを開始し、同時にハッシュ値の計測を行う。尚、ハッシュ値の計測には所定のハッシュ関数を使用する。
【００１４】
次に、セクタ番号“２”（“0,000,002”）、“３”（“0,000,003”） 、・・・の順に読み取りを行い、ハッシュ値を計測する。この間、デバイス１内の読み取り不可領域が検知されたか判断する（Ｓ２）。
【００１５】
その後、上記読み取り処理及びハッシュ値の計測処理を繰り返し、読み取り不可領域を検知すると（Ｓ２がＹＥＳ）、以後の読み取り処理を停止し（Ｓ３）、読み取り不可領域を検知する直前までの読み取り可能領域のハッシュ値を出力する（Ｓ４）。例えば、図１に示す最初の読み取り可能領域の最後のセクタ番号を“1,000,000”とすれば、デバイス１のセクタ番号“1,000,001”のデータの読み出し処理の際、読み取り不可領域を検知する。
【００１６】
したがって、セクタ番号““1,000,001”以後のデータの読み取り処理を停止し（Ｓ３）、セクタ番号“１”（“0,000,001”）〜“1,000,000”までの読み取り可能領域のハッシュ値を出力する（Ｓ４）。このハッシュ値のデータは不図示の記録装置に記録される。また、同時に読み取り不可領域の最初の位置情報（セクタ番号“1,000,001”）も記録する。
【００１７】
その後、デバイス１の読み取り可能領域を検索し、次の読み取り可能領域を検知すると（Ｓ５）、読み取り処理及びハッシュ値の計測処理を再開する（Ｓ６）。例えば、図１に示す次の読み取り可能領域の最初のセクタ番号を“1,200,001”とすれば、デバイス１のセクタ番号““1,200,001”が次の読み取り可能領域の最初のセクタとなる。
【００１８】
したがって、セクタ番号““1,200,001”以後について読み出し処理及びハッシュ値の計測処理を再開する（Ｓ６）。尚、この場合、読み取り不可領域の最後の位置情報はセクタ番号“1,200,000”となり、この位置情報も前述の記録装置に記録される。したがって、以後セクタ番号“1,200,001”、“1,200,002”、・・の順に読み取り処理を再開し、順次ハッシュ値を計測する。また、同時にデバイス１内の読み取り不可領域の検知も継続する（Ｓ２）。
【００１９】
その後、前述と同様、読み取り処理及びハッシュ値の計測処理を繰り返し、再度読み取り不可領域を検知すると（Ｓ２がＹＥＳ）、以後読み取り処理を停止し（Ｓ３）、読み取り不可領域を検知する直前までの読み取り可能領域のハッシュ値を出力する（Ｓ４）。
【００２０】
この場合、例えば図１に示す次の読み取り可能領域の最後のセクタ番号が“3,000,000”とすれば、デバイス１のセクタ番号“3,000,001”のデータの読み出し処理の際、読み取り不可領域を検知する。
【００２１】
したがって、セクタ番号“3,000,001”以後の読み取り処理を停止し（Ｓ３）、セクタ番号““1,200,001”〜“3,000,000”までの読み取り可能領域のハッシュ値を出力する（Ｓ４）。
【００２２】
その後、次にデバイス１の読み取り可能領域を検索し、次の読み取り可能領域を検知すると（Ｓ５）、読み取り処理及びハッシュ値の計測処理を再開する（Ｓ６）。例えば、図１に示す次の読み取り可能領域の最初のセクタ番号を“3,200,001”とすれば、デバイス１のセクタ番号“3,200,001”が次の読み取り可能領域の最初のセクタとなる。
【００２３】
以後同様の処理を繰り返し（Ｓ２がＹＥＳ、Ｓ３〜Ｓ６）、読み取り不可領域が検知されると、直前までの読み取り可能領域のハッシュ値を記録装置に記録し、更に次の読み取り可能領域を検知すると、この間の読み取り不可領域の位置情報を記録装置に記録する。この処理を繰り返し、その後読み取り不可領域が検知されず（Ｓ２がＮＯ）、デバイス１の記録領域が終了すると（Ｓ７）、読み取り可能領域の位置情報、及び対応する読み取り可能領域のハッシュ値の全てを記録装置に記録し、処理を終了する（Ｓ８、Ｓ９）。
【００２４】
以上のように処理することによって、記録装置にはデバイス１の読み取り不可領域の位置情報と、この読み取り不可領域の位置情報に対応するハッシュ値の情報が記録され、以後この情報を使用することによって原本であるデバイス１の複製の同一性の証明に使用することができる。特に本実施形態を使用すれば、セクタ不良などの問題が存在する記録媒体からの証拠保全においても原本と同一であることを証明することができる。
【００２５】
（第２の実施形態）
次に本発明の第２の実施形態例について説明する。
本例は上記第１の実施形態と異なり、最初に読み取り不可領域の位置情報を取得し、その後読み取り不可領域の位置情報に基づいて読み取り可能領域のハッシュ値を計測するものである。以下、具体的に説明する。
【００２６】
図３は本例のハッシュ値測定方法を説明するフローチャートである。尚、本例の説明においても前述の図１に示すメモリ構成のデバイス１を使用して説明する。
先ず、デバイス１の読み取り可能領域の位置情報を取得する（ステップ（以下、ＳＴで示す）１）。具体的にはデバイス１のセクタ番号“１”から開始し、読み取り不可領域を検索する。図１に示すメモリ構成の場合、上記処理によって、先ずセクタ番号““1,000,001”の読み取り処理の際、読み取り不可領域を検知し、更にセクタ番号““1,200,001”において読み取り可能領域の最初の位置を検知する。したがって、読み取り不可領域の位置情報として、セクタ番号“1,000,001”〜“1,200,000”の情報を取得する。
【００２７】
同様にして検索処理を継続し、例えば図１に示す次の読み取り不可領域として、例えばセクタ番号“3,000,001”〜“3,200,000”の情報を取得する。以後同様にして処理を継続し、デバイス１の読み取り不可領域の位置情報の全てを取得する。
【００２８】
次に、上記処理によって取得した読み取り不可領域を除外し、連続した読み取り可能領域に限定してハッシュ値を測定する（ＳＴ２）。すなわち、セクタ番号“１”（“0,000,001”）〜“1,000,000”のハッシュ値を計測し、次にセクタ番号““1,200,001”〜“3,000,000”のハッシュ値を計測し、以後読み取り可能領域のハッシュ値を計測する。
【００２９】
次に、上記処理によって測定したハッシュ値の情報と読み取り可能領域の位置情報を出力し、不図示の記録装置に記録し（ＳＴ３）、処理を終了する（ＳＴ４）。
【００３０】
以上のように処理することによって、記録装置にはデバイス１の読み取り可能領の位置情報と、この読み取り可能領域の位置情報に対応するハッシュ値の情報が記録され、以後この情報を使用することによって複製の同一性の証明に使用することができる。特に本実施形態を使用すれば、セクタ不良などの問題が存在する記録媒体からの証拠保全においても原本と同一であることを証明することができる。
【００３１】
尚、上記実施形態の説明では読み取り不可領域の位置情報を取得し、この読み取り不可領域の位置情報を使用して読み取り可能領域の位置情報を得たが、始めから読み取り可能領域の位置情報を取得して当該領域のハッシュ値を計測するようにしてもよい。
【００３２】
（第３の実施形態）
次に本発明の第３の実施形態について説明する。
本例は上記第１、第２の実施形態において取得した読み取り可能領域の位置情報と当該領域のハッシュ値の情報を使用して複製データの同一性を証明するものである。以下、具体的に説明する。
【００３３】
図４は本例の処理を説明する図であり、同図の左側のメモリ構成は前述の図１と同じデバイス１の構成を示す。一方、同図の右側のメモリ構成は調査対象となるファイルシステム２のクラスタの位置情報を示し、先頭から何番目のクラスタにファイルシステム上のデータが記述されているかを記録する。
【００３４】
図５は本例の証明方法を説明するフローチャートであり、前述の第１、第２の実施形態において取得した読み取り可能領域の位置情報及び当該領域のハッシュ値の情報からファイルの同一性を証明する。
【００３５】
先ず、上記ファイルシステム上におけるファイル等のデータの位置情報（アロケーション情報）を取得する（ステップ（以下、ＳＴＰで示す）１）。上記のようにファイルシステム上には先頭から何番目のクラスタにデータが記述されているかが記録されており、対象となるファイルのデータを取得する。
【００３６】
次に、上記データをデバイス１上の位置情報に変換する（ＳＴＰ２）。例えば、上記ファイルシステム上には１クラスタのセクタ数の情報が記録されており、先頭からのクラスタ番号で記録されている情報をセクタ番号に変換する。
【００３７】
次に、上記処理によって変換された位置情報に基づいて、原本と同一部分のハッシュ値を持つデバイス１上の位置情報を取得する（ＳＴＰ３）。そして、両位置情報のデータに基づいて、調査対象とするファイルが位置情報に全て含まれるか判断する（ＳＴＰ４）。
【００３８】
例えば、図４に示す例の場合、１クラスタのセクタ数が「１６」であるとする情報がファイルシステム上に記録されていれば、調査対象であるファイルの記録位置が計算でき、デバイス１上のセクタ番号に変換され、対応するセクタ番号の位置情報から当該ファイルがデバイス１上の読み取り可能領域に全て含まれているか判断できる。
【００３９】
ここで、調査対象とするファイルがデバイス１上の読み取り可能領域に全て含まれていれば（ＳＴＰ４がＹＥＳ）、当該ファイルは原本と同一であると判断する（ＳＴＰ５）。一方、調査対象とするファイルがデバイス１上の読み取り可能領域に全て含まれていなければ（ＳＴＰ４がＮＯ）、当該ファイルは原本と同一ではない可能性があると判断する（ＳＴＰ６）。
【００４０】
以上のように処理することによって、前述の第１、第２の実施形態において取得した読み取り可能領域の位置情報と当該領域のハッシュ値の情報を使用して、ファイルシステム上のファイルが原本と同一であるか否かの判断を行うことができる。特に本実施形態を使用すれば、セクタ不良などの問題が存在する記録媒体からの証拠保全においても原本と同一であることを証明することができる。
【００４１】
尚、上記ファイルの原本性について判断する際、デバイス１上の位置情報のデータは読み取り可能領域の位置情報を使用しても、又は読み取り不可領域の位置情報を使用してもよい。
【００４２】
また、上記第１乃至第３の実施形態において説明したデバイス１のメモリ構成において、読み取り可能領域をセクタ番号“１”（“0,000,001”）〜“1,000,000”、“1,200,001”〜“3,000,000”等とし、読み取り不可領域を“1,000,001”“1,200,000”等として説明したが、上記セクタ番号は一例であり、上記セクタ番号に限定されないことは勿論である。
【符号の説明】
【００４３】
１・・・デバイス
２・・・ファイルシステム
ａ１、ａ２、ａ３・・読み取り可能領域
ｂ１、ｂ２・・読み取り不可領域
【図１】
2017143346.tif 000003
【図２】
2017143346.tif 000004
【図３】
2017143346.tif 000005
【図４】
2017143346.tif 000006
【図５】
2017143346.tif 000007