(57)【要約】      （修正有）【課題】非セキュア環境内、又は、信頼することができないソフトウェアを使用した場合においても、機密情報を安全に処理するための方法及びシステムを提供する。【解決手段】装置が、機密情報の安全な処理を実行するように構成される。装置は、ロック可能容器内に配置され、機密情報を記憶するように構成されるセキュアディスクと、ロック可能容器内に配置され、機密情報を処理するように構成されるプロセッサと、ロック可能容器の外部に配置される非セキュアネットワークと、任意の一時点においてプロセッサをセキュアディスクのみ、又は代替的に非セキュアネットワークのみに接続し、セキュアディスク及び非セキュアネットワークの両方に同時に接続しない手段とを備える。【選択図】図１
2009176292.tif 000002
【特許請求の範囲】
【請求項１】
機密情報の安全な処理を実行する装置であって、
ロック可能容器内に配置される、機密情報を記憶するように構成されるセキュアディスクと、
前記ロック可能容器内に配置される、前記機密情報を処理するように構成されるプロセッサと、
前記ロック可能容器の外部に配置される非セキュアネットワークと、
任意の一時点において、前記プロセッサを、前記セキュアディスクのみに、あるいは代替的に、前記非セキュアネットワークのみに接続する手段であって、該セキュアディスク及び該非セキュアネットワークの両方に同時には接続しない、接続する手段と、
を備える装置。
【請求項２】
前記プロセッサはマザーボード上に配置され、
前記装置は、
前記マザーボード上に配置され、前記プロセッサを前記セキュアディスクに接続するための第１のポートと、
前記マザーボード上に配置され、前記プロセッサを前記非セキュアネットワークに接続するための第２のポートと、
前記セキュアディスクを前記第１のポートに接続するための第１のコネクタ及びケーブルと、
前記非セキュアネットワークを前記第２のポートに接続するための第２のコネクタ及びケーブルと
をさらに備え、
前記接続する手段は、前記第１のコネクタ及びケーブル並びに前記第２のコネクタ及びケーブルに物理的に接続される、剛性ロッドを備え、
前記剛性ロッドの、前記第１のコネクタと前記第２のコネクタとの間の部分の長さは、前記第１のポートと前記第２のポートとの間の距離と異なる、請求項１に記載の装置。
【請求項３】
前記接続する手段は、複数の位置を有する順次切り替え・除外スイッチであり、前記複数の位置は、
電源オフの第1の位置と、
電源オン、前記非セキュアネットワーク及び前記セキュアディスクへの接続なしの第２の位置と、
電源オン、非セキュアネットワーク接続の第３の位置と、
電源オン、前記非セキュアネットワーク及び前記セキュアディスクへの接続なしの第４の位置と、
電源オン、非セキュアディスク書き込み保護の第５の位置と、
電源オン、非セキュアディスク書き込み保護、セキュアディスク接続の第６の位置と、
非セキュアディスク書き込み保護、セキュアディスク接続切断の第７の位置と、
を含み、
前記装置は、順方向順でのみ前記複数の位置を順序切り替える手段をさらに備える、請求項１に記載の装置。
【請求項４】
前記順次切り替え・除外スイッチは、ラチェットを備える多位置多回路機械スイッチである、請求項３に記載の装置。
【請求項５】
前記順次切り替え・除外スイッチは、該スイッチを動作させるためのハンドルに接続され、該ハンドルは、前記ロック可能容器の外側に配置される、請求項３に記載の装置。
【請求項６】
前記順次切り替え・除外スイッチは回転スイッチである、請求項３に記載の装置。
【請求項７】
前記順次切り替え・除外スイッチは、揮発性データの消去を確実にするために、電源オフと電源オンとの間に遅延を課す、請求項３に記載の装置。
【請求項８】
前記順次切り替え・除外スイッチは電気中継器を含む、請求項３に記載の装置。
【請求項９】
非セキュアディスクと、
前記セキュアディスクが前記プロセッサに接続されるとき、前記非セキュアディスクを書き込み保護する手段と
をさらに備える、請求項１に記載の装置。
【請求項１０】
前記順次切り替え・除外スイッチの前記複数の位置を表示する手段をさらに備える、請求項３に記載の装置。
【請求項１１】
前記マザーボード上に配置され、前記プロセッサを複数のＩ／Ｏ装置に接続するための複数のＩ／Ｏポートと、
前記プロセッサを前記Ｉ／Ｏ装置に選択的に接続するためのＩ／Ｏスイッチと
をさらに備える、請求項１に記載の装置。
【請求項１２】
前記ロック可能容器の外部に配置されるセキュアネットワークと、
前記非セキュアネットワークが前記プロセッサから接続切断されているときにのみ、前記プロセッサを前記セキュアネットワークに接続する手段と
をさらに備える、請求項１に記載の装置。
【請求項１３】
前記ロック可能容器の内部に配置される熱交換器をさらに備える、請求項１に記載の装置。
【請求項１４】
前記接続する手段は、前記ロック可能容器がロックされているとき、該ロック可能容器の外部から操作可能である、請求項１に記載の装置。
【請求項１５】
前記プロセッサは前記マザーボード上に配置され、
前記装置は、
前記マザーボード上に配置される、前記プロセッサを前記セキュアディスクに接続するための第１のポートと、
前記マザーボード上に配置される、前記プロセッサを前記非セキュアネットワークに接続するための第２のポートと、
前記セキュアディスクを前記第１のポートに接続するための第１のコネクタ及びケーブルと、
前記非セキュアネットワークを前記第２のポートに接続するための第２のコネクタ及びケーブルと
をさらに備え、
前記接続する手段は、前記２つのコネクタを両方とも両ポートに同時に接続することが不可能なように、該２つのコネクタを保持する剛性部材をさらに備える、請求項１に記載の装置。
【請求項１６】
前記剛性部材は、前記２つのコネクタが異なる向きを有するような角度を付けられている、請求項１５に記載の装置。
【請求項１７】
前記剛性部材はロッドであって、該剛性ロッドの、前記第１のコネクタと前記第２のコネクタとの間の部分の長さが、前記第１のポートと前記第２のポートとの間の距離と異なるようなロッドである、請求項１５に記載の装置。
【請求項１８】
前記ロック可能容器の内部に配置される非セキュアディスクをさらに備え、
厳密に順次的且つ循環的な順序で発生しなければならない４つの状態が存在し、該４つの状態は、
電源がオフである第１の状態と、
前記電源がオンであり、且つ、前記プロセッサが前記非セキュアディスク及び前記非セキュアネットワークに接続されると共に、前記セキュアディスクが前記プロセッサから接続切断されている第２の状態と、
前記電源がオンであり、且つ、前記セキュアディスクが前記プロセッサに接続される前に、前記非セキュアネットワークが接続切断されると共に、前記非セキュアディスクが書き込み保護される第３の状態と、
前記電源がオンであり、且つ、前記非セキュアネットワークが接続切断され、前記非セキュアディスクが書き込み保護されると共に、前記セキュアディスクが接続される第４の状態と
を含む、請求項１に記載の装置。
【請求項１９】
機密情報の安全な処理を実行する方法であって、
ロック可能容器の内部に配置されるセキュアディスクに機密情報を記憶するステップと、
前記ロック可能容器の内部に配置されるプロセッサによって前記機密情報を処理するステップと、
任意の一時点において、前記プロセッサを前記セキュアディスクのみ、あるいは代替的に、非セキュアネットワークのみに接続するステップであって、該セキュアディスク及び該非セキュアネットワークの両方に同時には接続しない、接続するステップと
を含む方法。
【請求項２０】
前記ロック可能容器の内部に配置される非セキュアディスクを配置するステップをさらに含み、
厳密に順次的且つ循環的な順序で発生しなければならない４つの状態が存在し、該４つの状態は、
電源がオフである第１の状態と、
前記電源がオンであり、且つ前記プロセッサが前記非セキュアディスク及び前記非セキュアネットワークに接続されると共に、前記セキュアディスクが前記プロセッサから接続切断されている第２の状態と、
前記電源がオンであり、且つ前記セキュアディスクが前記プロセッサに接続される前に、前記非セキュアネットワークが接続切断されると共に、前記非セキュアディスクが書き込み保護される第３の状態と、
前記電源がオンであり、且つ前記非セキュアネットワークが接続切断され、前記非セキュアディスクが書き込み保護されると共に、前記セキュアディスクが接続される第４の状態と
を含む、請求項１９に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的にはセキュアコンピューティングに関し、より詳細には、ユーザが非セキュア環境内で信頼することができないソフトウェアを使用して機密情報に安全にアクセスすることができるようにすることに関する。
【背景技術】
【０００２】
コンピューティングにおけるセキュリティの問題は、１９６０年代半ばから懸念されてきた。コンピュータセキュリティの必要性は、「オレンジブック」としても知られている米国国防総省の「Trusted Computer System Evaluation Criteria（高信頼性コンピュータシステム評価基準）」に記載されている。オレンジブックは、正式にはＩＳＯ／ＩＥＣ１５４０８規格であるコモンクライテリアに取って代わられたが、ＩＳＯ文書よりも理解しやすいため、依然として一般に使用されている。
【０００３】
しかし、オレンジブック及びコモンクライテリアは両方とも、複数のタスクを行っている複数のユーザが共通のプロセッサ及びデータ記憶システムを共有し、保護がハードウェアによって支援されるマルチユーザシステムのニーズに基づいている。これは、Ｍｕｌｔｉｃｓプロジェクト、Elliot Organick著「The Multics System: An Examination of its Structure（Ｍｕｌｔｉｃｓシステム：その構造の検討）」（ISBN 0-262-15012-3, 1972）において極端に行きすぎてしまった。Ｍｕｌｔｉｃｓシステムでは、システム内の各データの所有権が認められ、読み取り専用であるか又は読み出し／書き込み等であるかに関わりなく、許容可能なアクセス者のアクセス制御リスト（ＡＣＬ）が生成される。そして、ハードウェアが、データへの不正アクセスの阻止を支援する。不都合なことに、ＡＣＬの適宜メンテナンスは問題であり続けている。ＡＣＬメンテナンスを改良する研究が、Bonnesによる米国特許第７，１７８，１６４号に記載されている。
【０００４】
コンピュータ自体の物理的なセキュリティがもう１つの問題である。Anderson等は、米国特許第４，６００，２４９号において、最初にキャビネットを開いてボルトヘッド及びナットの両方に手を入れなければキャビネットを取り外せないようにする経年加工ナット（distressed-thread nut）と、リムーバブルコンピュータ可読媒体の盗難を許さずに当該リムーバブルコンピュータ可読媒体にアクセスすることができるようにするいくつかの手段とを有した、ロック可能なキャビネットの形態の物理的なセキュリティの一方法を記載している。
【０００５】
別のコンピュータセキュリティ技法は、オリジナルの３６０モデル６７においてＩＢＭによって１９６０年代後半に開拓され、ＣＰ−６７、ＶＭ−３７０、そして現在のＩＢＭの販売品であるＺシリーズのようなＩＢＭ製品において拡張された「仮想マシン（Virtual Machine）」技法である。そのセキュリティ方法では、各ユーザに「仮想マシン」が与えられ、システムハードウェアが、任意のユーザのユーザデータへの、他のあらゆるユーザによるアクセスを阻止する。ユーザ間データ転送の許可は、適切なシステム管理証明書を有するユーザによるオーバーライドでない限り、ハードウェアによって自動的に阻止される。
【０００６】
しかし、コンピューティングの状況は変化している。Ｚシリーズコンピュータのような高性能メインフレームシステムを必要としない用途では、最も一般的なコンピュータは、Ｗｉｎｄｏｗｓ（登録商標）、ＭａｃＯＳ、又はＬｉｎｕｘのようなオペレーティングシステムを使用するＰＣである。最初の２つのケースでは、システムは本質的にシングルユーザであり、第３のケースでは、マルチユーザモードがサーバ用途に対してサポートされる。
【０００７】
これらのＰＣシステムのコストは、取って代わられたメインフレームシステムのコストの何分の一かであり、一度に１人のみのユーザに対してであるが、同レベルの性能を提供する。これらのシステムのコストは、大量生産の経済性及び非常に低いコストで数百万のプロセッサチップを製造する能力に起因して、下がり続けている。
【０００８】
この状況変化の欠点は、通常、メインフレームシステムが、メンテナンス及びセキュリティ更新を提供するために多人数の常勤スタッフを有するのに対して、シングルユーザのパーソナルコンピュータは、そのユーザしか有せず、当該ユーザは、システム管理及びシステムセキュリティに関して熟練していない場合がある。したがって、システム全体のメンテナンス及びセキュリティ更新の適用は、いくつかの機能を失うことを恐れて、迅速ではない場合があり、又は全く行われない場合さえある。
【０００９】
多くの機能を有するオペレーティングシステム及びユーティリティを有したいという望みは、好ましいウェブサイトにユーザを導くことによって収益を最大化したいというソフトウェア企業の望みと併せて、非セキュアなシステムの蔓延をもたらした。最新のセキュリティパッチのダウンロードに要する時間は、ウィルスがシステムに感染する平均時間よりもはるかに長い。したがって、このようなシステムを安全に保つことは、最良の場合でも問題を孕む。
【００１０】
最高レベルの国家安全保障に携わるユーザのような幾人かのユーザは、セキュアコンピュータをインターネットから完全に切り離すことを要求する。例えば、特定の政府機密情報を処理中のコンピュータは、時に「レッド」ネットワークと呼ばれる非セキュアなネットワークへのネットワーク接続を有してはならない。機密情報又は実行可能プログラムのいずれかを含む媒体を有するコンピュータを、無人の状態にして、それから離れることも禁止され得る。通常、こういったコンピュータは、ユーザが物理的に存在するときにのみ電源投入され、ユーザが離れるときには、コンピュータは電源が落とされ、コンピュータ可読媒体は取り外され、ロックされた金庫内に配置される。このようなコンピュータはネットワーク接続されることもあり、又は、されないこともあるが、接続されるとしても、「ブルー」ネットワークと呼ばれるセキュアな非公衆アクセス可能ネットワークに対してのみである。なお、レッド（非セキュア）ネットワークと、ブルー（セキュア）ネットワークとは、いかなる相互接続も強く禁止される。極端な場合、建物全体が「レッド」又は「ブルー」のいずれかに指定され、当該指定に対応する種類のネットワークのみが、その建物内で稼働することが許される。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
こういったセキュアコンピューティングシステムの欠点は、プログラムの完了に２作業日以上がかかる場合、プログラムを後に再開することができるように、中間時点でそのプログラムに対して「チェックポイント処理」をしなければならない。１日２４時間実行される国家安全保障処理タスク用のサーバのようなシステムも、常時有人でなければならない。このような状況は極めて高価であり、１９９６年の医療保険の携行性と責任に関する法律（Health Insurance Portability & Accountability Act of 1996）、（ＨＩＰＰＡタイトルＩＩ）のように法律によって「ハッキング」に対してセキュア化することが要求されることが多い、医療、雇用、給料、金融、及び法的な情報のような商業的及び非国家安全保障機密データにとっては、経済的ではない。
【課題を解決するための手段】
【００１２】
本発明の実施形態は、非セキュア環境内、又は、信頼することができないソフトウェアを使用した場合においても、機密情報を安全に処理するための方法及びシステムを提供する。特に、本発明は、ユーザがいない状態でもコンピュータの処理を継続可能にしながら、認可されたユーザが準セキュアな環境内でのみ機密情報にアクセスすることができるようにする。さらに、本発明は、悪意のあるソフトウェアを有する可能性があるネットワークを介してセキュアシステムを更新し、それでもなお所望のセキュアコンピューティング特性を保持することができるようにする。
【発明を実施するための最良の形態】
【００１３】
本発明の実施形態は、物理的セキュリティ及び機械的インターロックの組み合わせによるセキュアコンピュータシステム及び処理方法を提供する。物理的にセキュアな環境、即ち、“金庫”（のような状態）が、不正人物による機密情報への物理的なアクセスを阻止する。非リターン機構（non-return mechanism）を有するマルチポールスイッチ（multi-pole switch）のような機械的インターロック又はディスタンシングロッド（distancing rod）が使用されて、非セキュアネットワーク及び機密情報を記憶しているセキュアコンピュータ可読媒体への同時接続を物理的に阻止する。
【００１４】
本発明の目的は、機密情報のセキュリティを決して損なうことなく、非セキュアネットワークを使用するセキュアコンピュータシステムの使用も可能にし、更新をソフトウェアにロードし、プログラムをダウンロードすることである。
【００１５】
本発明の別の目的は、常時監督の必要なく、信頼することができないプログラムの長期間プログラム実行を可能にすることである。コンピュータシステムは、ユーザが作業フローを中断せずに席を空けるときにセキュア化することができる。コンピュータシステムが電子的及び物理的にセキュアな状態にある間、処理は、ほぼゼロのオーバヘッドで、また、オプションとして、実行の中断なしで完了するのに数日またはさらに数週間かかり得るプログラムを使用して、再開することができる。
【００１６】
このために、ユーザが、「システムがネットワークに接続されている」と「システムが機密情報に接続されている」とを、誤って両方を同時に接続する可能性はなく、容易に選択することができるようにする機械的インターロックを提供する。
【００１７】
セキュアコンピュータシステム
図２は、本発明のセキュアコンピュータシステムの基本構成要素を示す。ユニバーサルシリアルバス（以下、ＵＳＢとする）コネクタ２３５が、ＵＳＢケーブル２３０を介して機密情報（ＣＩ）を記憶しているセキュアディスク２１０を、コンピュータの従来のマザーボード２２０にインタフェースするために使用される。通常、マザーボードはプロセッサ２９０を含む。
【００１８】
ネットワークケーブル２４０が、非セキュアインターネット２５０への取り付けのために使用される。エンドコネクタ２４５を有するネットワークケーブル２４０の端部、及び、ＵＳＢコネクタ２３５を有する機密情報ＵＳＢデータケーブル２３０の端部は、剛性部材、例えばロッド２６０に取り付けられる。
【００１９】
ロッドの長さによって、両ケーブルをコンピュータシステムのマザーボード２２０上の（第１の）ディスクポート２８０及び（第２の）ネットワークポート２７０に同時に接続することができない。なお、これらのポートは、イーサネット（登録商標）か、ＵＳＢ、あるいは、マザーボードやプロセッサを他の装置やネットワークに接続するためにＰＣにおいて通常使用される他のポートから構成できることを理解されたい。また、接続は、ディスクコントローラ、ネットワークコントローラ、及び、コンピュータバス等の中間構成要素を含み得ることが理解される。
【００２０】
換言すれば、ロッド２６０におけるコネクタ２３５及び２４５が取り付けられている（間の）部分の長さＬは、ポート２７０と２８０との間の距離Ｄと異なる。
【００２１】
この構成は、通常、ポートが互いに数ｃｍ以内にある、一般に利用可能な商業的なマザーボード上で特に上手く機能する。この場合、各端部がわずか１ｃｍ又は２ｃｍの弛みしか有さないケーブル２３０，２４０が取り付けられた１０ｃｍ長のロッド２６０は、セキュアディスク２１０が接続されてアクセス可能なときに、非セキュアネットワーク２５０が接続されない（接続切断される）と共にアクセス不可能になること（及び、その逆も同様）を、機械的に保証するのに十分である。
【００２２】
ロッド長さＬが、マザーボードのポートの距離ＤにＵＳＢデータケーブル２３０の弛みとネットワークケーブル２４０の弛みとを加算したものよりも長い限り、あるいは、マザーボードのポートの距離Ｄの長さが、ロッド長さＬにＵＳＢデータケーブル２３０の弛みとネットワークケーブル２４０の弛みとを加算したものよりも長い場合、この機械的な分離は保証される。代替的に、剛性角度部材又はブラケット２６５を、当該長さに代えて、使用することができる（挿入図参照のこと）。一度に１つのコネクタのみをマザーボードのポートにプラグインすることができるような向きにＵＳＢコネクタ２３５及びエンドコネクタ２４５を保持するブラケットも、機械的分離要件を満たす。
【００２３】
この構成は用途によっては適切であるが、実際には、コンピュータで実行中のソフトウェアが、セキュアディスク２１０上のデータが、システムディスクの一時ディレクトリ又はページングファイルのような、接続されている他のいかなるディスクにもコピーされないことに「信頼がおける」（ソフトウェアである）場合にのみ安全である。
【００２４】
例えば、信頼することができないソフトウェアはテキストエディタである。編集中の情報の一時的な作業コピーが、時にページングファイルに自動的に書き込まれると共に、バックアップコピー及びリカバリコピーが他のディレクトリに書き込まれる。機密であり得る情報もレジストリに記憶され得る。通常、これらの一時的なコピーは、システムがクラッシュした場合、完全には、又は、全く「クリーンアップ」されない。したがって、ネットワークが将来の或る時点で再接続されたとき、不正人物が、ネットワーク接続を介してシステムディスク上のページングファイル又は一時ディレクトリから情報にアクセスするおそれがある。文書を「開いた」ままにし、システムＲＡＭ内においたままにすることによって、ロッド及びケーブルの構成を「機密情報」から「ネットワークアクセス可能」に切り替えられるときに情報が漏れるおそれさえある。
【００２５】
この種の不正アクセスを防止するために、信頼することができないソフトウェアに対してであっても、セキュアディスク２１０にアクセスする機会を決して与えないことを保証する。当該セキュアディスクは、オペレーティングシステムが記憶されている（非セキュア）ハードドライブと、システムＲＡＭと、ビデオＲＡＭとを含むため、マザーボードのポート２８０を介してセキュアディスク２１０をプロセッサ２９０に接続する前に、これらのすべての構成要素を、例えば電源をオフにしてから再びオンにすることによって全データを強制的にクリアするか、又は、例えば書き込み保護ワイヤ（write-protect wire）を使用して書き込み不可能にしなければならない。
【００２６】
図１は、本発明のセキュアコンピュータシステムの一実施形態を示す。従来のＣＰＵマザーボード２２０は、ロック可能容器１０２、例えば金庫内に配置される。本発明では、ロッド・２ケーブル構成を、順次切り替え・除外スイッチ（sequencing and exclusion switch）と呼ばれる多位置多回路機械スイッチ１０４で置き換える。この順次切り替え・除外スイッチはラチェット１０６を含み、それによって一連の位置を通じて、しかし所定の順序のみで、動かすことができる。ラチェットは、金庫の戸１０５を通じて延在することができる、ハンドル１０８に接続するためのクラッチ機構を含むことができる。ハンドル１０８は、金庫の外側に配置される。
【００２７】
ハンドルは、ハンドル１０８の各動きと共にスイッチを順方向に１ステップのみ移動させることができる。回転スイッチの場合、セキュアな順次切り替え要件を満たすスイッチ１０４の位置セットは、
１．電源オフ
２．電源オン、非セキュアネットワーク及びセキュアディスクへの接続なし
３．電源オン、非セキュアネットワーク接続
４．電源オン、非セキュアネットワーク及びセキュアディスクへの接続なし
５．電源オン、非セキュアディスク書き込み保護
６．電源オン、非セキュアディス書き込み保護、セキュアディスク接続
７．電源オン、非セキュアディスク書き込み保護、セキュアディスク接続切断
８．位置１に戻り、繰り返す
である。
【００２８】
ラチェット１０６は、スイッチの逆方向の動作を阻止する。ハンドルは、順番にスイッチを順方向に１ステップのみ移動させることができる。この構成に対する１つの改良として、２つ以上の電源オフ位置を追加して、電源１１０に接続してオンにするために、ハンドル１０８を繰り返し動作させなければならず、それによって、電源キャパシタが完全にドレーンされるのに適切な時間遅延が課され、そして電源が再接続される前に揮発性データが消去されることを保証することによって、電源がオフ（非接続及びメモリクリア状態）であることを保証する。
【００２９】
スイッチ１０４は、マルチポール回転スイッチとして、機械的構成によって動作するスイッチセットとして、又は回路を開閉するか、若しくは適切な配線上の信号を強制的に論理０若しくは論理１にして、オン及びオフ若しくは非接続及び接続を示す、電気機械式若しくは電子式中継器のセットとしてさえも実施することができる。この場合、ハンドルは必要とされない場合がある。いずれの場合でも、スイッチは、金庫の外側から操作可能である。
【００３０】
通常、コンピュータは、電源１１０が接続され、非セキュア（レッド）ネットワーク２５０が接続されるように、ハンドル１０８を位置２又は３に操作することによって「ブート」される。この状態では、ソフトウェアをダウンロードし、システム更新を実行することができるように、システムはネットワーク接続を有する状態で電源投入される。この状態では、非セキュアプログラムが非セキュアネットワークにアクセスし得る。信頼することができないソフトウェア、例えば、ウィルスに対する保護はない。しかしながら、機密情報ディスク２１０が接続されないため、機密情報へのアクセスの危険性はない。
【００３１】
次に、機密情報にアクセスするために、ハンドル１０８を作動させる。位置４に作動させることによって、非セキュアネットワーク２５０が接続切断される。位置５に作動させることによって、ハードウェア書き込み保護ワイヤ１１６をアサートすることによって非セキュアディスク１１４、例えばシステムハードドライブが書き込み保護され、これは、信頼することができないソフトウェアが実行中の場合であっても、いかなる機密データも非セキュアディスク１１４に書き込むことができないことを意味する。
【００３２】
位置６に作動させることによって、セキュアディスク２１０に接続され、コンピュータユーザは、この時点で、機密情報及び任意の必要な一時ファイルの記憶の両方に関してセキュアディスク２１０を使用して所望のあらゆる作業を実行することができるが、一時ファイルの記憶はセキュアディスク２１０に対してのみである。
【００３３】
スイッチ１０４を位置７に作動させることによって、セキュアディスク２１０が接続切断され、最後の１つの作動によって、位置１へと戻ってサイクルが完了し、電源１１０が接続切断される。最後の電源オフ状態は、いかなるアクセス可能な機密情報も、電源オフ中に確実に消去されるシステムＲＡＭ又はビデオＲＡＭのようないずれの揮発性メモリにも残らないことを保証するために必要である。
【００３４】
これは、機密情報に対処するセキュアシステム及び方法を保証する。スイッチ２０４は、コンピュータが信頼することができない状態で実行中であっても、又は意図的な悪意のあるプログラムに曝されている場合であっても、機密情報の誤った解放を阻止する。
【００３５】
上記ステップは、明確にするために、単一ステップとして列挙された。しかし、ステップのうちのいくつかを結合してもよい。例えば、位置２及び３（電源１１０の接続、及びネットワーク２５０が接続された状態での電源１１０の接続）を結合してもよい。同様に、位置４及び５（非セキュアネットワーク２５０なし且つセキュアディスク２１０なし、及び非セキュアディスク書き込み保護１１６起動）を結合してもよい。
【００３６】
図４に示すように、セキュリティを保証するために、４つの状態が必要である。これらの状態は、厳密に順次的且つ循環的な順序で発生しなければならない。
【００３７】
状態１電源オフ４０１：システムは電源オフであり、いかなる処理又はＩＯアクションも起こり得ない。
【００３８】
状態２非セキュア４０２：システムは電源投入され、非セキュアディスクが読み書きアクセスのために接続され、非セキュアネットワークが接続されるが、セキュアＣＩディスクがプロセッサから接続切断される。
【００３９】
状態３遷移４０３：電源はオンのままであるが、セキュアＣＩディスクが接続される前に、非セキュアネットワークが接続切断され、非セキュアディスクが書き込み保護される。これは、ネットワーク接続が許されず、非セキュアディスクが書き込み保護され、ＣＩデータディスクへの接続が許されない安定状態によって、あるいは、電気接点の１セットを、他の電気接点に接続する前に、機械的に接続切断する「ブレークビフォアメーク（break before make）」スイッチの使用によって生成される遷移状態によって、実現することができる。ブレークビフォアメークスイッチは、制御ハンドルを部分的に移動させて、非セキュアネットワーク及びセキュアＣＩディスクへの同時アクセスを可能にするか、又は、非セキュアディスク及びセキュアＣＩディスクへの同時書き込みアクセスを可能にする、方法がないことを保証する。
【００４０】
状態４セキュア４０４：システムは電源がオンであり、非セキュアネットワークは接続切断され、非セキュアディスクは書き込み保護され、セキュアＣＩディスクが接続され、アクセス可能である。
【００４１】
セキュア状態後の次の状態は、再びオフ状態に戻る。この４状態の最小セットがセキュリティを保証する。
【００４２】
ユーザがコンピュータシステムの現在のセキュリティ状態を認識するのを助けるために、スイッチの現在位置を、回転ディスク又はドラムのような機械式インジケータ又はデジタルディスプレイに表示することができる。
【００４３】
第２の問題は、ユーザが存在しない間に、不正人物がディスプレイ装置、キーボード、マウス、及び、ＵＳＢジャックのようなローカルＩ／Ｏ装置１２０を通じて許可なくコンピュータを使用しようとする場合に、コンピュータの物理的なローカルセキュリティを維持することである。
【００４４】
ローカルＩ／Ｏ装置をセキュア化された構成に設定することができることが望ましい。したがって、本発明では、Ｉ／Ｏ装置とマザーボード２２０との間の接続を制御するための第２の「Ｉ／Ｏ」スイッチ１２２が提供される。
【００４５】
Ｉ／Ｏスイッチ１２２の第１の位置では、マザーボードはマウス/キーボード（標準ＰＳ／２コネクタを通じて又はＵＳＢキーボード及びマウスを使用して）及びディスプレイ装置の両方に接続される。第２の位置では、キーボード及びマウスは接続切断されるが、ディスプレイ装置は接続されたままであるため、コンピュータは、前に開始されたプログラムが生成した情報のみを表示することができる。このスイッチ位置では、現在実行中のプログラムを開始又は停止すること、又は、すでに実行されているプログラムの実行を変更することは可能ではない。第３の位置では、ディスプレイ装置も接続切断され、マザーボードは「単独で実行中」であり、キーボード、マウス、又は、ディスプレイから制御又は監視することができない。
【００４６】
Ｉ／Ｏスイッチ１２２も同様にハンドル１２８及びラチェット１２６によって作動するため、スリップクラッチ及びラチェット１２６を介してハンドル１２８によって金庫の外側からスイッチを「全接続」位置から「ディスプレイのみ」接続位置に、そして、「接続なし」位置に移動させることができる。
【００４７】
しかし、セキュアスイッチ１０４と異なり、このスイッチは、さらに作動させることによって第１の位置にリセットすることができない。「接続なし」位置に達した後にスイッチを繰り返し作動させても、スイッチは「接続なし」位置のままである。その代わりに、スイッチを安全度の低い位置にリセットするには、金庫を開き（又は等価の組み合わせ、パスコード、又はキーロックを作動させ）、内部のハンドル１２４を使用する必要がある。このセキュア構成へのリセットは、「電源オフ」（＃１）位置を通じてスイッチ１０４を操作することによってトリガすることもできる。スイッチ１０４が「Ｉ／Ｏ」スイッチをリセットすることを可能にされている場合、不正人物はキーボード及びディスプレイ装置を使用して、機密情報を見ることができるが、情報にアクセスすることはできない。「Ｉ／Ｏ」スイッチ１２２がラチェットスイッチによってリセットされない場合、不正人物が何をしようとも、機密データは安全なままである。
【００４８】
セキュアシステムの別の実施形態を図３に示す。この実施形態では、順次切り替え・除外スイッチ１０４は第２のネットワークポート３２０にも接続される。この第２のネットワークポート３２０は、当該コンピュータのスイッチ１０４を通じて以外、いかなるコンピュータへのいかなる接続も有しないセキュアネットワーク３２２へのアクセスを提供する。第２のネットワークポート３２０は、セキュアディスク２１０が接続される位置と同じスイッチ位置でのみセキュアネットワーク３２２に接続される。
【００４９】
ロック可能容器１０２、ラチェット１０６、ハンドル１０８、ハードウェア書き込み保護ワイヤ１１６、ディスク３１２、セキュアディスク２１０、電源１１０及び非セキュアネットワーク２５０への接続は、前と同様である。セキュアネットワーク３２２は、ＣＩ情報を記憶するサーバを含むことができ、保護された個々のコンピュータは、ローカルＣＩディスクを必要としないが、セキュアネットワーク上のネットワークファイルプロトコルを介してネットワーク接続ＣＩディスクを使用することができる。
【００５０】
セキュアネットワーク３２２が常に非セキュアネットワーク２５０から分離されることをさらに保証するために、本発明では、セキュアネットワーク３２２で非標準コネクタ又は標準コネクタのピン変更（re-pin）を使用することができる。例えば、標準ＲＪ４５イーサネットケーブルの８本のピンのうちの４本は使用されず、多くの場合には接続されず、セキュアネットワークがこれらのピン（のみ）を使用する場合、セキュアネットワーク（機密情報を記憶する）は、非セキュアネットワークに誤って接続することはあり得ない。よりよいセキュリティのために、Ｍｏｌｅｘコネクタのような完全に異なる種類のコネクタを、標準ＲＪ４５ネットワークコネクタに代えて使用することができる。Ｍｏｌｅｘコネクタは、ディスクドライブの接続に頻繁に使用される２個片「ピン及びソケット」相互接続である。
【００５１】
コンピュータシステムに物理的なアクセスを有する人物が信頼することができ、現場の物理的なセキュリティが適切である状況では、スイッチ１０４が、不注意なユーザ又は欠陥のあるアプリケーションプログラムによる機密データの誤った伝送を阻止するため、スイッチ１０４だけでもなお有用であることに留意されたい。
【００５２】
いくつかのシステムがデフォルトで「ページング」ファイル又は「スワップ」ファイルを使用することにも留意されたい。これらがオンになっており（デフォルトで通常オンになっている）、且つ非セキュアディスクにある（通常そうであるように）場合、セキュアディスクが位置５において書き込み保護されているとき、オペレーティングシステムのスワップ機能又はページング機能は失敗する。これは、ＣＩデータが損なわれることには繋がらないため、セキュリティは保たれるが、スイッチ１０４が、システムディスクが書き込み保護されることになる任意の位置にあるときに、システムハングを発生させ得る。これは、システム構成セットアップユーティリティを使用してページング及びスワップを「オフ」にすることによって修正することができる。
【００５３】
ロックされた金庫内でシステムを長期間にわたって動作させることの１つの問題は、金庫が通常、非常に不良な熱伝導特性を有し、何であれいかなる通気も有しないことである。通気又は他の冷却なしでは、金庫内の温度は、システムが故障するか、又は過熱センサが過熱シャットダウンを強制するまで増大し得る。さらに、ディスクを高温で動作させると、これらの構成要素の寿命が短くなる。
【００５４】
このため、本発明の一実施形態は、金庫内に配置される能動的水冷システムを備える。この作業のためには、市販の「水冷ＣＰＵ及びビデオチップ」システムは、ＣＰＵ及びビデオチップのみを冷却するため不適である。システム内の他の大きな発熱チップ並びにメモリ、ハードドライブ、及び、電源は冷却されず、金庫内の温度を上昇させる。
【００５５】
したがって、好ましい一実施形態では、金庫内熱交換器２７０が提供される。
【００５６】
セキュアコンピュータは、プログラムをロードするため、バックアップを実行するため、及び認可されたユーザに対してコンピュータ可読出力を生成するためにＣＤ／ＤＶＤドライブも必要とし得る。このため、一実施形態は、金庫内にＣＤ／ＤＶＤディスク２９０を含む。ＣＤ／ＤＶＤドライブのセキュリティは、上述したように確実にすることができる。
【００５７】
本発明を好ましい実施形態の例として説明したが、本発明の精神及び範囲内で他の様々な適合及び変形を行うことができることを理解されたい。したがって、添付の特許請求の目的は、本発明の真の精神及び範囲内にあるすべてのこのような変形及び変更を包含することである。
【図面の簡単な説明】
【００５８】
【図１】本発明の一実施形態によるセキュアコンピュータのブロック図である。
【図２】図１のセキュアコンピュータへの接続の概略図である。
【図３】本発明の別の実施形態によるセキュアコンピュータシステムのブロック図である。
【図４】本発明の一実施形態によるセキュアコンピュータの状態図である。
【図１】
2009176292.tif 000003
【図２】
2009176292.tif 000004
【図３】
2009176292.tif 000005
【図４】
2009176292.tif 000006
【外国語明細書】
2009176292.tif 000007
2009176292.tif 000008
2009176292.tif 000009
2009176292.tif 000010
2009176292.tif 000011
2009176292.tif 000012
2009176292.tif 000013
2009176292.tif 000014
2009176292.tif 000015
2009176292.tif 000016
2009176292.tif 000017
2009176292.tif 000018
2009176292.tif 000019
2009176292.tif 000020
2009176292.tif 000021
2009176292.tif 000022
2009176292.tif 000023
2009176292.tif 000024
2009176292.tif 000025
2009176292.tif 000026
2009176292.tif 000027
2009176292.tif 000028
2009176292.tif 000029
2009176292.tif 000030
2009176292.tif 000031
2009176292.tif 000032
2009176292.tif 000033
2009176292.tif 000034