情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

機密情報共有に有用な情報フロー制御モデルの提案
荒 井 正 人†1

田

中

英

彦†2

知的財産や製造ノウハウといった企業の機密情報を取り扱うコンピュータシステム
では，情報漏洩の問題が深刻になっている．原因としては，情報の紛失や盗難，ワー
ム・ウイルスなどが大半を占める．対策として，可搬記録媒体やインターネットを介した情報共有を禁止することは有効ではあるが，公開可能な一般情報の取扱いにも制限を与えることになる．また，ワーム・ウイルスに感染しやすい環境から機密情報を隔離する技術としてサンドボックスモデルがあるが，機密情報であっても電子メールに添付して配布したり，可搬記録媒体に格納して持ち出したりすることが業務上必要な場合に適さない．本論文では，公開可能な一般情報と，社外に開示してはならない
機密情報とが混在するコンピュータシステムにおいて，機密情報の共有と保護を両立させる情報フロー制御モデルを提案する．提案モデルでは，インターネットを利用するためのプログラムの実行環境と，機密情報を扱うプログラムの実行環境を，サンドボックスのような既存技術を用いて分離することで，ワーム・ウイルスに感染しやすい環境から機密情報を保護しつつ，自動ファイル暗号化機能と暗号ファイルのアクセス制御機能を組み合わせることで，必要に応じて可搬記録媒体やインターネットを介して機密情報を暗号文として安全に伝達可能とする．

A Proposal for an Eﬀective Information Flow
Control Model for Sharing Sensitive Information
Masato Arai†1 and Hidehiko Tanaka†2
Information leakage has become a serious problem for computer systems that
handle a company’s sensitive information, such as intellectual properties andmanufacturing know-how. The majority of the causes can be attributed to loss
or theft of information or worms and viruses. As a countermeasure, forbidding
the sharing of information through removable media or the Internet is eﬀective,
but it also places restriction on the handling of general information that canbe made public. Also, the sandbox model can be used to segregate sensitive
information from environments that can easily be infected by worms or viruses;
however, even sensitive information is sent as email attachments to various locations, and this model cannot be applied to business cases where informationmust be stored and carried out on removable media. In this article, we propose

635

an information ﬂow control model that is suitable for both sharing and protecting sensitive information on computer systems in which general informationthat can be made public and sensitive information that cannot be exposed outside the company are mixed. In the proposed model, sensitive information areprotected from environments that can be easily infected by worms or viruses bysegregating the environment for programs that use the Internet and the environment in which programs handling sensitive information are executed, using
existing techniques such as the sandbox model. At the same time, by combining
automatic ﬁle encryption and encrypted ﬁle access control, sensitive information can be safely transmitted as encrypted text through removable media or
the Internet as the need arises.

1. は じ め に
e-コマースや電子政府といった社会インフラとして，IT システムやインターネットの利用が拡大する一方で，社内機密情報や個人情報の漏洩といった問題が深刻化している．日本
ネットワークセキュリティ協会の調査レポート1) によると，個人情報漏洩のインシデント
は，新聞やインターネットニュースで報道された件数だけで年間 1,000 件近くにのぼり，その原因としては下記のようなものが大半を占めている．

• 組織または個人の管理ミスによる紛失・置忘れ• 第三者による PC や記録媒体の盗難• 宛先違いによる電子メールなどの誤送信• ワーム・ウイルスの感染による情報流出
つまり，内部の人間に悪意がなくても多発しているのが現状である．これは個人情報に限った話ではなく，企業が所有する機密情報全般についても同様と考えられる．このことか
ら，情報の持出しや電子メールへの添付を厳しく制限している組織が増えてきている．しかし，一般の従業員や職員が操作するクライアント PC には，インターネットアクセスから機
密情報の閲覧・編集まで多目的に利用するものであれば，社内の機密情報だけでなく，イン
ターネットからダウンロードした公開情報も存在する．また，機密情報であっても業務上特定の取引先の企業と共有しなければならない情報もある．したがって，情報の持出しや電子†1 株式会社日立製作所
Hitachi Ltd.
†2 情報セキュリティ大学院大学
Institute of Information Securityc 2010 Information Processing Society of Japan

636

機密情報共有に有用な情報フロー制御モデルの提案

メールへの添付を一律禁止することは，公開情報の利用や業務を妨げることにもなりうる．

隔離するだけでなく電子メールに添付して組織内の各拠点（異なるドメイン）や組織外の関従来技術として，万が一ファイルが外部に流出しても第三者からの閲覧を不可とするため係者に配布しなければならない場合もある．また，可搬記録媒体に格納して持出すことも業に，保護すべきファイルをすべて暗号化するシステム

2)も実用化されているが，ワーム・ウ

イルスがファイル作成者の権限でファイルを読み出してインターネットに流出する問題や，公開可能なファイルとの区別については言及していない．
公開情報の利用を制限しないものとしては，機密情報を含むファイルについて電子メール
3)

務上必要なケースがある．
外部からイントラネットを安全に利用可能とする方式12) も，機密ファイルの持出しが不要となる点で有効であるが，組織外拠点をまたがったファイル共有や組織外の関係者への配布については言及していない．

がある．これは，あらかじめ指定さ以上のように従来方式では，機密情報をリスト化する手間を要するほか，機密情報の保護れた機密ファイルのシグニチャを算出してリスト化し，ユーザがアクセスするファイルのシが機密情報を読み出したプログラムに依拠する部分が大きいといった問題がある．また，イグニチャとマッチングさせてその類似度から機密ファイルを検出するものである．ファイル

ンターネットや可搬記録媒体を介した情報共有が制限され，業務に支障をきたす恐れもあの内容が多少改変されても検出可能であるが，事前の機密ファイルの指定に漏れがあると，る．さらに，情報の共有と保護の両立を考えると，保護ポリシが機密情報やプログラムの種正しく検出できなくなるという問題がある．

類によって変わりうるため，設定が面倒といった問題がある．

への添付や可搬記録媒体へのコピーを検知する技術

4)では，コンテンツを暗号化しておき，それを復号して閲覧

そこで本論文では，不特定多数に公開可能な一般情報と，社外に開示してはならない機密可能なプログラムを専用プログラムに限定することでコンテンツを保護している．しかし，情報とが混在する企業のコンピュータシステムでの利用を想定し，従来方式では困難であっ専用プログラムに限定することは，保護可能なコンテンツのデータ形式も限定されるなど，た機密情報の共有と保護の両立を可能とする情報フロー制御モデルを提案する．さらに，提利便性の点で問題がある．

案モデルの実現の一形態について，既存のクライアント PC からの移行を考慮しながら説デジタル著作権管理システム

専用プログラムに限定しない方法として，機密情報を読み出したプログラムがそのデータ明する．なお，ここでの情報共有とは，社内の複数の拠点間や社外の関係者との間で，たとをどう利用し，どこに出力するかを追跡・制御する手法も提案されている5) ．この手法では，

えば可搬記録媒体のほか，電子メールなどインターネットを介して行われるファイルの受渡読み出したデータに関して，どのデバイスへの出力を認め，どのデバイスへの出力を禁止すしを意味している．

るかといった出力先デバイスの可否情報を保護ポリシとして決めておき，保護すべきデー

以下，2 章で情報漏洩の対策方針について述べ，3 章では本論文の主たる提案である情報

タとつねに対応付けて保存するものとしている．しかし，ワープロソフトのように機密情フロー制御モデルについて述べる．さらに 4 章でその実現の一形態を示し，5 章で利用イ

報を閲覧・編集するためのプログラムであればネットワークへの出力を禁止してもよいが，メージを述べる．そして，最後に提案モデルの有用性の検討結果を 6 章で述べる．

電子メールソフトにも同様な保護ポリシを適用すると他拠点へのメール送信が業務上必要な場合に問題が生じる．このように情報の共有を考えると，保護ポリシというのはプログラ

紛失・置忘れ，盗難，誤送信，ワーム・ウイルスなどによって起こりうる情報漏洩のリスムの用途によっても変わりうる．
たとえばインターネットを利用するためのプログラムと，機密情報を閲覧・編集するためのプログラムのように，用途の異なるプログラムとその実行環境を分離し，実行環境に応じて機密情報やネットワークのアクセス権（保護ポリシ）を切替え可能なものとして，強制アクセス制御機構6) を備えたセキュア OS 7)–9) のほか，WindowBox 10) や SVFS（Secure
11)

Virtual File System） のようなサンドボックスモデルがある．いずれの方式も，インター
ネットを利用して公開情報の送受信を可能としながら，そのようなワーム・ウイルスに感染しやすい環境から機密情報を隔離できる点で有効といえる．しかし，機密情報であっても，情報処理学会論文誌

Vol. 51

No. 2

2. 情報漏洩問題の対策方針

635–647 (Feb. 2010)

クを，業務上必要な情報共有を阻害することなく低減するために，具体的には，以下の方針を満たす情報フロー制御モデルを提案する．

• 公開可能な一般情報と，関係者以外に開示してはならない機密情報とを区別可能である
こと．

• 一般情報の利用はいっさい制限せず，機密情報については専用アプリケーションプログ
ラムを用いなくても利用ならびに保護が可能であること．

• 機密情報であっても，必要に応じて可搬記録媒体やインターネットを利用しながら関係

c 2010 Information Processing Society of Japan

637

機密情報共有に有用な情報フロー制御モデルの提案者間で安全に共有可能であること．

• 上記，機密情報の共有と保護を両立させるためのアクセス権（保護ポリシ）の設定が容易であることまずは情報を公開可能な一般情報と，非公開な機密情報との 2 つに大別する．機密情報については，関係者間で共有する鍵で情報をつねに暗号化しておき，権限のあるユーザであれば可搬記録媒体やインターネットを介して共有し，復号して閲覧・編集可能とする．そしてその閲覧・編集には，デジタル著作権管理システム4) のような専用アプリケーションプ
ログラムは不要とする．ただし，プログラムの振舞い（ファイルアクセスやネットワークア
クセスなど）を監視・制御する方法5) では，制御のためのアクセス権設定が容易ではない．
そこで，プログラムに対して個別にアクセス権を付与するのではなく，情報の種別（機密図 1 格納ファイルの保存形式
Fig. 1 The format of the stored files.

と一般）に応じてプログラムの実行環境を構築・分離し，その実行環境に対して付与する．
これは，実行環境が同じプログラムには共通のアクセス権を与えることを意味する．また，(1) 復号された機密情報を平文のまま一般ファイルに保存して持ち出す

プログラム実行環境の分離は，ワーム・ウイルスが侵入しやすい環境から機密情報を保護す(2) 復号された機密情報を平文のままインターネットへ送信する
これらは，ユーザに悪意がなくても起こりうる．特に，(2) はアンチウイルスソフトで検るためにも有効と考える．

3. 情報フロー制御モデルの提案知できない新種のワーム・ウイルスによって発生する恐れもある．そこで本情報フロー制御

2 章で述べた対策方針を満たす情報フロー制御モデルを，機密情報の暗号化と，機密情報よって分離し，ファイルアクセスやネットワークアクセスを制限することにした．

を取り扱うプログラムの実行環境の分離，そしてファイルアクセス制御とネットワークアクセス制御機構の組合せにより構成する．

3.1 機密情報の暗号化モデルでは，機密情報が平文のまま流出しないように，プログラムの実行環境を利用目的に

3.2 プログラム実行環境の分離提案モデルでは，タイプ A とタイプ B の 2 種類のプログラム実行環境を分離する．

• タイプ A：機密ファイルを閲覧・編集するプログラムや，社内イントラネットを利用し

図 1 に示すように，提案の情報フロー制御モデルでは，機密情報が持ち出されても，共有フォルダに格納されても関係者以外に対して隠蔽できるように，機密情報を含むファイル（以下，機密ファイル）はすべて暗号化して保存し，機密情報を含まない一般ファイルは平文で保存する．これはファイルの格納先がいかなる種類の記録媒体でも共通とする．機密ファイルの参照や編集を行う前にはユーザ認証を行い，機密情報の取扱い資格を持つユーザであれば，ファイルの暗号化・復号に必要な鍵の利用を許可する．また，過失により関係者てファイル共有サーバなどにアクセスするプログラムの実行環境．本環境で生成するファイルはすべて機密ファイルと見なす．

• タイプ B：インターネットを利用して社内の各拠点に電子メールを配信するプログラム
や，社外から情報をオンラインで入手するプログラムの実行環境
また，これら実行環境をまたがったデータ転送を制御することで，ワーム・ウイルスや誤操作により機密情報が平文のまま流出することを防止する．

以外の手に渡った機密情報を保護するために，復号鍵は取扱い資格を持つユーザのみが共有

3.2.1 ユーザの操作をともなうデータ転送可能な鍵管理方式を提供する．

ユーザの操作をともなうデータ転送には，ドラッグ&ドロップによるものと，クリップ

ただし，上記ファイル暗号化が果たす役割は，あくまでも取扱い資格（鍵）を持たない

ボードを経由したものがある．ドラッグ&ドロップ操作は，同一画面に表示されている複数

ユーザに対して機密情報を隠蔽することであり，取扱い資格（鍵）を持つユーザによる下記のアプリケーションプログラム間でのデータ転送に使える．したがって，上記タイプ A との行為により機密情報が平文のまま流出するという問題は残る．

タイプ B のプログラムが同一画面にあると，タイプ A のプログラムにより表示されている

情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

c 2010 Information Processing Society of Japan

638

機密情報共有に有用な情報フロー制御モデルの提案
表 1 ファイルアクセス権
Table 1 File access control list.

図 2 マルチシェル画面のイメージ
Fig. 2 An image of multi-shell screen.

機密情報を，タイプ B のプログラムに転送され，機密情報が平文のまま流出する危険がある．その対策として，本情報フロー制御モデルでは，各アプリケーションプログラムのユー
ザインタフェースを表示するシェル（デスクトップ）を，上記タイプ A 用とタイプ B 用に

3.3 ファイルアクセス制御

それぞれ生成し，タイプの異なるプログラムのユーザインタフェースが同時に画面表示され機密情報を取り扱うためのプログラム（タイプ A）と，インターネットや一般情報を取り扱ないようにする．これによりユーザは，扱う情報のレベルに応じて，機密用のシェルと一般

うためのプログラム（タイプ B）に，それぞれ表 1 に示すようなファイル読み出し（Read）

用のシェルを切り替えながら利用することになる．図 2 は，その画面イメージを示したもと書き込み（Write）権限を与える．

のである．機密用と一般用の各シェルの画面には，シェル切替え用のアイコンを表示しておこれは，機密ファイルを復号する権限を与えられたタイプ A のプログラムには，一般ファき，ユーザが当該アイコンを押下して切替えメニューを選択することで，機密用と一般用のイルへの書き込み権限を与えないことを意味している．また，タイプ A のプログラムによ

シェルを適宜切替え可能とする．一方，クリップボードとは，ユーザが指定した文字列デーる新規ファイルへの書き込みデータは，3.1 節で述べたように，書き込み先の媒体の種類にタや画像データなどを一時的に保持し，他のプログラムのデータ領域へ複写するために使わかかわらず強制的に暗号化して書き込み，機密ファイルとして保存する．これにより，タイれる共有データエリアのことである．クリップボードを悪用すると，タイプ A のプログラ

プ A のプログラムの誤操作により，機密情報が平文のままファイルに保存されるといったムからタイプ B のプログラムへ機密情報が平文のまま転送できてしまう．そこで本情報フ問題を解決できる．一方，タイプ B のプログラムには機密ファイルを復号する権限を与え

ロー制御モデルでは，同一タイプのプログラム間ではクリップボードの共有を許可するが，ないことで，ウイルス感染やユーザの誤操作によって機密情報が平文で流出するリスクを低タイプの異なるプログラム間では機密情報が平文で伝達されないよう制御する．

減させることができる．また，タイプ B のプログラムに，機密ファイルの（暗号文のまま）

3.2.2 プロセス間通信を利用したデータ転送

読み出しを許可する理由は，3.4 節で述べるように，機密ファイルを暗号文のままインター

ここでのプロセス間通信とは，たとえば名前付きパイプなどを利用して，プロセスどうしネットなどを介して転送可能とするためである．なお，上記ファイルアクセス制御により制が行うデータ転送を指す．3.2.1 項のデータ転送と異なり，ユーザの操作は介入しない．この

限されないアクセスについては，OS が提供する任意アクセス制御によってアクセス可否をようなプロセス間通信がタイプの異なるプログラム間で実行されると，タイプ A のプログ

設定することができる．

ラムからタイプ B のプログラムを経由して機密情報が平文のまま流出する恐れがある．そこで本情報フロー制御モデルでは，同一タイプのプログラム間ではプロセス間通信を許可するが，タイプの異なるプログラム間では機密情報が平文で伝達されないよう制御する．

情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

3.4 ネットワークアクセス制御
仮に，機密ファイルを復号して読み出す権限を持つ上記タイプ A のプログラムが通信機能を備えていると，インターネットを通じて平文のまま機密情報が送信されるという問題がc 2010 Information Processing Society of Japan

639

機密情報共有に有用な情報フロー制御モデルの提案
表 2 ネットワークアクセス権
Table 2 Network access control list.

を平文で読み出すことはできない．Bell-LaPadula モデルの 2 つ特性のうちシンプル・セ
キュリティ特性と比較すると，「主体は，対象が同じまたは下位の階層にあり，かつ対象に対して任意読み出しアクセス権を持つならば，対象を読み出すことができる」という点は共通であるが，提案モデルではさらに，「主体は，対象が上位の階層にあり，かつ対象に対して任意読み出しアクセス権を持つならば，対象を暗号文のまま読み出すことができる」も特性に加わることになる．このような特性を持つモデルにより，機密情報を上位の主体どうしの直接的な交換だけでなく，下位の主体を仲介役とした間接的なデータ交換も，暗号化により安全に行えるようになる．つまり，これまで情報漏洩の主な経路であったインターネッ
ト，可搬記録媒体，紙（印刷物）を用いても機密情報を上位の主体（タイプ A のプログラム）間で安全に伝達できるようになる．もう 1 つの「主体は，対象が同じまたは上位の階層にあり，かつ対象に対して書き込みアクセス権を持つならば，対象に書き込むことができる」という ∗（スター）特性に対して，提案モデルは「主体は，対象が同じ階層にあり，かつ対象に対して書き込みアクセス権を持つならば，対象に書き込むことができる」という特性を持つ．これと類似した特性を持つものとして Biba モデル16) があるが，これは下位の主体が上位の対象を不正に変更できないよう，完全性を保つための特性であり，ワーム・ウ

図 3 従来モデルとの比較
Fig. 3 Comparison with the conventional model.

生じる．このとき，送信データを暗号化する方法も考えられるが，いったん復号して読み出した機密ファイルを，再度暗号化して送信するのでは効率が悪い．そこで提案モデルでは，

イルスなどから機密情報の破壊を防止する意味がある．

4. 実現の一形態
上記情報フロー制御モデルを実現するうえでの機能要件とその実現の一形態を示し，提案
モデルの実現可能性を述べる．

表 2 のようにインターネットの利用をタイプ B のプログラムのみに許可することで，この4.1 機能要件と実現方針

問題を解決する．たとえば，電子メールソフトをタイプ B と定義しておけば，表 1 に示し提案モデルを実現する際に満たすべき機能要件を示す．

たように機密ファイルを暗号データとして読み出すことができるため，そのまま添付すれば• 要件 1：プログラムの実行環境を目的別に複数作成する機能

暗号データの送信となる．これにより，機密情報のネットワーク流出問題と，再暗号化処理• 要件 2：実行環境をまたがったプロセス間通信とクリップボード経由のデータ転送を制のオーバヘッド問題を解決できる．

御する機能

3.5 従来モデルとの比較• 要件 3：実行環境に応じてネットワークアクセスを表 2 の保護ポリシに従い制御する

従来から機密性を重視したセキュリティポリシモデルとして，High-Water Mark 13) モデ

機能ルや Bell-LaPadula 14) モデルのような階層型のほか，Chinese Wall 15) のような区分型や• 要件 4：実行環境に応じてファイルアクセスを表 1 の保護ポリシに従い制御する機能

束型などがある．提案モデルは階層型に最も近いが，図 3 に示すように，階層間の情報フ• 要件 5：ファイルを復号する鍵を，関係者以外から不正に取得できないよう管理する

ローが双方向である点が従来型と大きく異なる．
ただし，下位の主体が上位の対象から読み出すデータは暗号化した状態であり，機密情報情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

機能以下，上記要件をどのような手段を用いて満たすかを記す．要件 1 については，4.3 節でc 2010 Information Processing Society of Japan


640

機密情報共有に有用な情報フロー制御モデルの提案

述べる WindowBox 10) と同様に，Windows ,1 OS をベースにプログラム実行環境をデスR

クトップ単位で複数構築する方式を採用する．要件 2 のうち，デスクトップをまたがるプ
ロセス間通信の制御については WindowBox 10) と同様の方式を採用するが，クリップボー
ド経由のデータ転送制御については WindowBox 10) で示されていないため，4.3.2 項において新たに制御方法を示す．また，要件 3 については WindowBox 10) と同等の方式で実現
し，要件 4 については，4.3.1 項で述べるファイルアクセス制御モジュールとファイル暗号モジュールにより実現する．要件 5 については 4.2 節で述べるように，グループ暗号システム17),18) を採用するが，社内だけでなく社外も含めて関係者（共有メンバ）のみが機密情報の復号に必要なグループ鍵を取得可能とする鍵配布方式については 4.2.3 項において新たに示す．

4.2 機密情報の暗号化
紛失・置忘れ，盗難，誤送信，ワーム・ウイルスの問題に備え，提案モデルでは機密情報

図 4 グループ暗号システムの概要
Fig. 4 Outline of group cipher system.

をつねに暗号化して保存する．そしてその復号用の鍵は，機密情報の取扱い資格を有するメ
ンバで安全に共有する必要がある．そのような鍵の共有は，たとえばグループ暗号システム17),18)により実現できる．

表 3 ユーザの ID 情報
Table 3 User ID information.

4.2.1 グループ暗号システムの概要
グループ暗号システム17),18) では，図 4 に示すように，宛先リストとシステム固有のマ
スタ鍵とから生成したグループ鍵を用いて情報を暗号化する．
宛先リストとは，情報の開示先となるユーザ名およびグループ名のリストであり，所属や役職などを組み合わせて柔軟に指定できる．グループ鍵生成に用いた宛先リストは，暗号化した情報のヘッダに付加する．復号処理時には，鍵生成装置で権限チェックプログラムが暗号化情報のヘッダから宛先リストを取り出し，復号を試みるユーザの ID 情報が宛先リストに含まれるか否かを確認する．このとき，含まれていればグループ鍵生成プログラムがグ
ループ鍵を生成し，含まれなければ生成しない．復号処理時に生成するグループ鍵は，暗号能となる．グループ鍵の生成に用いる宛先リストは，ID 情報に含まれる各カテゴリを条件化に用いたグループ鍵と同一である．

4.2.2 機密ファイルの宛先リスト式で連結した形で表現する．たとえば，役職（行番号 6 の Category の値）が主任（Codeの値が 9）以上全員で共有したい場合には，宛先リストを 6C >= 9（C は Code の頭文字で，グループ暗号システムのユーザには，認証に用いるユーザ識別子とパスワードを発行する

行番号 6 の Category の Code の値が 9 より大きいか等しい）と指定する．

とともに，ユーザ識別子には，表 3 に示すような ID 情報を関連付けて管理する．ユーザ識

提案モデルの実現においては，機密ファイルを社外秘情報と見なせば，組織内の全員で共別子とパスワードを用いて，鍵生成装置に対する認証が成立すると，グループ鍵を生成可

有可能なグループ鍵が必要となる．そのような鍵は，すべての役職に対して 1 以上のいずれかのコードを割り当てておき，宛先リストを 6C > 0 と指定することで生成できる．

1 Windows は，米国 Microsoft Corporation の，米国およびその他の国における登録商標または商標です．

情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

さらに本論文では，グループ鍵を社外関係者と共有するために，上記宛先リストを社内のc 2010 Information Processing Society of Japan

641

機密情報共有に有用な情報フロー制御モデルの提案

ID 情報だけでなく社外関係者の ID 情報も組み合わせて指定する方法を新たに提案する．社
外関係者の ID 情報は，所属組織名と氏名とメールアドレスから構成し，社外関係者を氏名で選択すると，メールアドレスを宛先リストに含めることとした．たとえば，組織内の全員と社外関係者である情報次郎（メールアドレスは joho.jiro@iisec.com）さんとで共有する」でつなげた宛先リストか
グループ鍵は，前記 6C > 0 と joho.jiro@iisec.com をカンマ「，ら生成する．ここで，社外関係者の識別情報としてメールアドレスを用いる理由は，所属する組織にかかわらず大多数の人が所有する一意な識別情報であり，利用頻度が高く，かつ更新頻度が低いことにある．また，宛先リストに含まれるメールアドレスは，機密情報の復号に必要なグループ鍵の配布にも利用する．なお，所属組織名と氏名は，社外関係者のメールアドレスを一覧から選択しやすくするために用いる情報であり，宛先リストには含めない．

4.2.3 グループ鍵生成サーバの設置
図 5 グループ鍵配布の処理シーケンス
Fig. 5 Process sequence of group key distribution.

ファイル暗号製品には，本人確認用のパスワードとファイル復号用の鍵を兼用しているものが多いが，一般にパスワードは人間が覚えやすい（忘れにくい）ものを用いる傾向があり，そのため推測されやすいともいえる．これに対してグループ鍵は，前述のように宛先リストとマスタ鍵とから生成するものであり，ユーザ認証（本人確認）に用いるパスワードとは明
2 ファイル共有サーバの処理：上記 URL へのアクセスに対して，ユーザ ID とワンタイム

確に区別している．つまり，パスワードに比べてグループ鍵は推測しにくいという利点があり，社外の第三者にパスワードを盗まれてもグループ鍵を渡さなければ情報漏洩リスクを低パスワードを入力するページを表示する．

3 社外関係者による操作：上記ページにおいて，ユーザ ID として自身のメールアドレス

減させることができる．そのための，グループ鍵の配布方法について説明する．グループ暗を，ワンタイムパスワードとして任意の文字列を入力する．

17)

18)

と


4 グループ鍵生成サーバの処理：上記ページから入力したユーザ ID（メールアドレス）が，があるが，パスワードの推測によって不当に開示されるという問題を考えた場合，情報と同

上記 URL の暗号ファイルの宛先リストに含まれるか否かをチェックし，含まれていればグ

じく紛失・置忘れ，盗難の可能性のある IC カードでは対策できないケースもある．そこで，提案モデルの実現においてはサーバ方式を採用し，パスワード推測によるグループ鍵の不正ループ鍵を生成する．

5 ファイル共有サーバの処理：上記暗号ファイルの宛先に含まれていれば，暗号ファイル

取得を防止する．具体的には，社内のみで機密情報を共有する場合，グループ鍵生成サーバのダウンロードを許可する．含まれていなければ社外関係者にエラーを返して処理を終了

を社外（関係者以外）からはアクセスできない領域（例：イントラネット）に設置することする．

で，グループ鍵の不正取得を防止する．また，社外関係者と機密情報を共有する場合，社外
6 ファイル共有サーバの処理：上記ダウンロードに続く処理として，生成したグループ鍵関係者がインターネット経由でアクセス可能な領域にもグループ鍵生成サーバを設置する．

を上記ワンタイムパスワードで暗号化し，上記ユーザ ID であるメールアドレスに送信する．

そして，社外関係者へのグループ鍵配布は，ユーザ識別と権限チェックの後に，宛先リスト


7 社外関係者による操作：メールで受信したグループ鍵とワンタイムパスワードを用いて，に含まれるメールアドレス宛に送付する．これにより，関係者以外によるグループ鍵の不正

先にダウンロードした暗号ファイルを復号する．なお，ファイル復号用のプログラムは，ファ取得を防止する．ユーザ識別からグループ鍵配布までの処理シーケンスを図 5 に示す．

1 暗号ファイル登録者による操作：社外関係者と共有する機密情報を暗号ファイルとしてイル共有サーバからダウンロード可能とする．

登録し，その URL を社外関係者にメールなどで通知する．

配布先は宛先リストに含まれるメールアドレスとすることで，関係者以外にグループ鍵を配号システムには，グループ鍵を IC カードで生成する方式

情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)とサーバで生成する方式

以上述べたグループ鍵配布の処理は，社外関係者の認証処理を含まないが，グループ鍵のc 2010 Information Processing Society of Japan

642

機密情報共有に有用な情報フロー制御モデルの提案

スクトップ（シェル）を生成し，たとえば機密情報を扱うプログラムの実行環境と，インターネットを利用するプログラムの実行環境とを，デスクトップ単位で構築して分離するものである．一方の SVFS 11) は，VMM（Virtual Machine Monitor）の上に複数のゲスト

OS （WindowsR OS など）を実行し，複数のプログラム実行環境をゲスト OS 単位で構築し分離するものである．既存のクライアント PC への導入を考えると，SVFS は OS から再
インストールする必要があるのに対して，WindowBox は，すでに導入済みの OS に，新たな（機密用または一般用の）デスクトップを起動するモジュールや，ファイルアクセス制御
モジュールなどをインストールするだけでよく，OS の再インストール作業に比べて容易である．そこで提案モデルの実現手段としては，WindowBox のようにデスクトップ単位でプ
ログラム実行環境の分離を行う方式を選択する．
図 6 サンドボックスの概念図
Fig. 6 Conceptual diagram of sandbox.

次に，上記サンドボックスのアクセス制御ポリシに着目すると，ネットワークアクセス制
御については提案モデルと共通である．しかしファイルアクセス制御については，先に述べた Bell-LaPadula モデルと同様にタイプ B のプログラムから機密情報を読み出すことを信することはない．また，グループ鍵をワンタイムパスワードで暗号化して送信することでいっさい禁止（図 6 参照）しているため，提案モデルの実現においては，4.3.1 項に示すよ

メールの盗聴にも対処できる．任意のワンタイムパスワードを用いることは，あらかじめパ

うなファイルアクセス制御機構に置き換える必要がある．また，WindowBox 10) は，1 つスワードを登録・管理する手間が省けるという利点にもつながる．そのほか，ファイル共有の汎用 OS 上に複数のデスクトップを生成してプログラムの実行環境を分離するものである

サーバにて，各暗号ファイルに対するグループ鍵配布の回数や期限を管理して，それらを越ため，デスクトップをまたがってクリップボードを共有可能な OS の場合，タイプ A からえたアクセスを拒否することも有効である．

タイプ B のプログラムに不正なデータ転送が発生する可能性があるが，その制御について

4.3 プログラム実行環境の分離は記述されていない．この制御機構については 4.3.2 項で新たに述べる．

機密情報を扱うプログラムと，一般情報やインターネットを利用するプログラムの実行環7)–9)4.3.1 ファイルアクセス制御のほかに，

図 7 に示すファイルアクセス制御モジュールにより，ファイルシステムを経由するファ

WindowBox 10) や SVFS 11) のようなサンドボックスと呼ばれる技術がある．クライアント

イルアクセスをすべて監視する．このとき，アクセス要求元となるプログラムのタイプ（A

境を分離することで機密情報を保護するものとして，たとえばセキュア OS

PC での実装方式として，筆者らは上記セキュア OS 7)–9) がベースとする Linux 1 よりもまたは B）と，アクセス対象となるファイルの種別（機密ファイルまたは一般ファイル）をシェアの高い Windows OS で実現可能なサンドボックスを選択した．その種類は様々あ

判別し，表 1 のファイルアクセス権に従い制御する．プログラムのタイプの判別は，そのるが，ここでのサンドボックスとは，プログラムの実行環境を複数作成する機能と，実行環

プログラムが，いずれのデスクトップから起動したものかを確認することで可能となる．具

境に応じてプログラムからのファイルアクセスやネットワークアクセスを制限する機能と，体的には，そのプログラムに割り当てられたユーザ ID（権限）から判別してもよいし，あ実行環境をまたがってプログラム間で行われるデータ転送を制限する機能とを備えたものとるいはプログラムの起動のたびに，いずれのデスクトップからの起動であったかを記憶する

定義する．図 6 は，サンドボックスの概念を示したものである．

テーブルを設けて参照する方法もある．また，プログラムの中には OS の起動と同時に実行

R

サンドボックスモデルの 1 つである WindowBox

10)

R


は，Windows OS の上に複数のデを開始し，いずれのデスクトップにも属さないものもある．Windowsでは，OS 権限を持R

つ Service と呼ばれるプログラムがそれに該当する．ファイルアクセス制御では，それらの
1 Linux は，Linus Torvalds 氏の米国およびその他の国における登録商標あるいは商標です．

情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

Service をすべてタイプ B と同等に扱うこととし，表 1 のファイルアクセス権に従い，機密

c 2010 Information Processing Society of Japan

643

機密情報共有に有用な情報フロー制御モデルの提案

図 7 ファイルアクセス制御
Fig. 7 File access control.

ファイルに対する write や復号をともなう read を禁止する．これは，Administrator 権限を持つプログラムに対しても同様とする．一方，アクセス対象となるファイルの種別につい

図 8 クリップボード経由のデータ転送制御
Fig. 8 Data transfer control through clipboard.

ては，暗号化された機密ファイルの先頭部分に特定のコードを埋めておき，当該コードの有
無から機密ファイルか一般ファイルかを判別する．また，上記ファイルアクセス権に従い，一般的な OS が備えるファイルアクセス制御とは異質なものであるが，たとえばフィルタド

正当と判定されたファイルアクセスが暗号化または復号をともなう書き込みや読み出しでライバ19) を用いてファイルシステムの機能を追加する形で実現可能と考える．

あれば，ファイルアクセス制御モジュールからファイル暗号モジュールを呼び出す．ファイ

4.3.2 クリップボード経由のデータ転送制御

ル暗号モジュールは，グループ鍵生成サーバから権限に応じて配布されるグループ鍵を用

デスクトップをまたがったクリップボードの共有を防止するクリップボード制御モジュー

いて機密ファイルの暗号化・復号処理を実行する．ただし暗号化の対象はファイルの内容のルについて述べる．クリップボード制御モジュールは，OS が起動した直後に実行開始し，

みとし，ファイル名やフォルダ名は平文とする．これは，機密用と一般用のどちらのデスク

OS が終了するまで常駐するプログラムとして実装する．本プログラムにより，ユーザのロトップからも同じファイル名として見えるようにするためである．これにより，機微な情報

グインによってデスクトップを生成するたびに，クリップボード内のデータを一時的に保持をファイル名に付けてしまうと一般環境からも見えてしまうという問題があるが，これにつするための記憶領域をメモリ上に作成する．そして，ユーザによるデスクトップの切替えのいては，特定の事物もしくは人物を指すような機微な情報にはコードネームを割り当ててタイミングで，クリップボード内のデータを上記記憶領域に移動し，切替え先のデスクトッ

ユーザに使用させるといったガイドラインの作成や教育により対処できる．あるいは，ガイプで使用していたデータと入れ替える（図 8）．これは，同一デスクトップ内でのクリップ

ドラインを参照しながらファイル名に含まれる機微な情報を自動的に所定のコードネームにボードの利用を制限するものではない．なお，上記メモリ上で一時的に保持している平文の機密データを，タイプ B のプログラムから不正に参照されないよう保護するのはサンド変換する機能を備えてもよい．
以上のようなファイルアクセス制御モジュールやファイル暗号モジュールは，当然ながら情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

ボックスの役割であり，その強度は利用するサンドボックスの仕様に依存する．

c 2010 Information Processing Society of Japan

644

機密情報共有に有用な情報フロー制御モデルの提案

上記のようにタイプ A とタイプ B をまたがったクリップボードの共有を禁止したり，

WindowBox のようにプロセス間通信を禁止したりする以外に，それらのデータ転送を許可しながらも機密情報の流出を防止する方法もある．たとえば，クリップボードへのアクセスやプロセス間通信をつねに監視するソフトウェアモジュールにより，タイプ A のプログラ
ムからの書き込みデータや通信データをグループ鍵で強制的に暗号化することもその 1 つである．そして，これらのデータを受け取るタイプ B のプログラムには，機密ファイルに対する read 権限（表 1 参照）と同様に，暗号文のまま読み出すことを許可する．これにより，機密情報が平文のまま流出することを防ぎつつ，インターネット（タイプ B のプログラム）を介してタイプ A のプログラムどうしが機密情報を交換可能となる．

5. 適用システムの構成と利用イメージ
提案の情報フロー制御モデルを適用した情報システムの構成例とその利用イメージを説明する．

5.1 システム構成例
提案システム特有のコンポーネントは，グループ鍵生成サーバと，サンドボックス技術10)によりプログラム実行環境を二分したクライアント PC であり，これらを一般的な企業情報システム（イントラネット）に設置する．複数の拠点を有する企業の場合，拠点ごとに社内用のグループ鍵生成サーバを設置してもよい．ただし，マスタ鍵は共通とする．社外

図 9 機密ファイルの送受信
Fig. 9 Transmission and receipt of sensitive files.

用のグループ鍵生成サーバについては，図 5 に示したファイル共有サーバや公開 Web サー
バ，メール中継サーバなどとともに DMZ（De-Militarized Zone）に設置する．また，クラグループ暗号システム17),18) では手動によるファイル暗号化だけでなく，宛先リストが設定

イアント PC が備える 2 種類のプログラム実行環境のうち，機密用のプログラム実行環境

されたフォルダにコピーするだけで自動的に暗号化する機能も提案している．以上により，（タイプ A）には，機密情報の閲覧や編集に用いるプログラムのほか，社内のグループ鍵生

クライアント PC（モバイル用も含む）を紛失したり置き忘れたり，第三者により盗難され成サーバやファイル共有サーバにアクセスするためのプログラムをインストールして利用すたりしても，機密情報はつねに暗号ファイルとして格納されており，機密情報が関係者以外

る．また，インターネットを利用するためのプログラム実行環境（タイプ B）には，ブラウ（宛先リストに含まれない人物）に開示されるリスクを低減させることができる．

ザや電子メールソフトをインストールして利用する．また，情報共有に先立ち，不特定の5.2 機密ファイルの送受信

人がインターネットを通じてダウンロード可能なファイルを除いて，業務に用いる情報を含

機密ファイルの編集とその送信から受信までの流れを図 9 に示す．機密ファイルの編集

むファイルはすべて機密ファイルと見なし，暗号化してファイル共有サーバやクライアント

は，機密用のプログラム実行環境（タイプ A）で行い，暗号化して保存する．機密ファイル

PC に格納する．このとき，社内で共有する機密ファイルの宛先リストは，4.2.2 項で述べを電子メールに添付して社内の各拠点で共有する際には，一般用のプログラム実行環境から（すべての役職で共有可能）を既定値とするが，情報の機密レベルに応たように「6C > 0」

も任意アクセス可能な共有フォルダに保存する．その後，一般用のプログラム実行環境（タじて共有範囲をさらに限定することも可能である．一方，社外関係者と共有する機密ファイ

イプ B）に切り替えてから電子メールソフトを用いて，送信先メールアドレス，件名，本文ルについては，当該社外関係者のメールアドレスを宛先リストに含めて暗号化する．なお，を入力するとともに，先に保存した機密ファイルを添付して送信する．このとき添付した機情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

c 2010 Information Processing Society of Japan

645

機密情報共有に有用な情報フロー制御モデルの提案

密ファイルは，暗号文のまま読み出され送信される．電子メールの受信側は，タイプ B の自動的に暗号化して保存することになる．一方，タイプ B のプログラム実行環境から機密プログラム実行環境で電子メールソフトを利用して受信し，添付された機密ファイルを，機ファイルを可搬記録媒体にコピーする場合も，表 1 のファイルアクセス権によれば，機密密用のプログラム実行環境からも参照可能な共有フォルダに保存する．このとき，受信したファイルを暗号文のまま read し，新規ファイルに暗号文のまま write することになるため，

機密ファイルは暗号化されているため，暗号ファイルとして保存される．暗号ファイルを復

コピー先のファイルも暗号ファイルとなる．つまり，可搬記録媒体に保存する機密ファイル

号して閲覧するときは，タイプ A のプログラム実行環境に切り替え，閲覧用のプログラム

は，プログラム実行環境に依存せずつねに暗号ファイルとなる．これにより，可搬記録媒体を起動して暗号ファイルを開くと，図 7 で示したファイル暗号モジュールが，暗号ファイを紛失したり置き忘れたり，第三者により盗難されたりしても，機密情報の漏洩リスクを低ルに付加された宛先リストを社内用グループ鍵生成サーバに送付し，復号に用いるグループ

減させることができる．

鍵を要求する．社内用グループ鍵生成サーバは，ユーザの認証（本人確認）と権限チェック

機密ファイルの受け取り側は，可搬記録媒体から直接ファイルを開いて参照する場合と，を実行し，宛先リストに含まれる場合に限りグループ鍵を生成して返信する．これにより，クライアント PC にコピーしたファイルを参照する場合とがある．いずれにしても，権限宛先リストに含まれる（権限のある）ユーザだけが受信ファイルを復号して情報共有が可能のある（宛先リストに含まれる）ユーザが，タイプ A のプログラム実行環境から開いた場となり，仮に誤って機密ファイルを社外に送信した場合でも情報漏洩リスクを低減させるこ合に限り，復号して read 可能となる．また，可搬記録媒体からクライアント PC への機密ファイルのコピーは，タイプ A，B いずれの環境からも可能であり，コピー先のファイルはとができる．
社外関係者と機密ファイルを共有する場合は，図 5 に示したように，社外関係者のメー

つねに暗号ファイルとなる．厳密にいえば，タイプ A のプログラムを用いて機密ファイル

ルアドレスを含む宛先リストから生成したグループ鍵で機密ファイルを暗号化してからファをコピーすると，read で復号処理が実行され，write 時に再暗号化によって暗号ファイルがイル共有サーバに格納する．このとき，ワークフローシステムなどを利用して，宛先リスト

生成されることになるが，タイプ B のプログラムを用いれば再暗号化処理は発生せず，暗や機密ファイルの指定に誤りがないことを上長により確認する．仮に，ファイル共有サーバ

号ファイルのままコピーされるという違いがある．

に格納して社外関係者に URL を通知した後に誤りが発覚した場合は，速やかに暗号ファイ
ルを削除するか，グループ鍵を無効にして被害を最小限にとどめる．暗号ファイルの URL

6. 有用性の検討を受信した社外関係者は，社外用グループ鍵生成サーバからグループ鍵を取得して機密情報以上述べた情報フロー制御モデルによれば，業務で作成したファイルはすべて機密ファイを復号する．ただし，社外関係者が利用するクライアント PC では，サンドボックス技術にルと見なして保護するため，フィンガープリント技術3) のように，機密情報のシグニチャをよるプログラム実行環境の分離はなくてもよい．なお，社外関係者による二次的な情報流出

算出してリスト化する手間は不要となる．機密情報の読み出しについては，デジタル著作権を防ぐためには，既存の DRM（Digital Rights Management）製品の機能を用いて，ファ管理システム4) に比べてアプリケーションプログラムに依拠しない仕組みとなっている．まイルの複製や印刷を防止することが有効である．

た，機密情報をグループ鍵で自動的に暗号化することで，事前に関係者全員に鍵を配布しな

5.3 可搬記録媒体によるファイルコピー

くても，インターネットや可搬記録媒体を用いて安全に情報共有が可能となり，暗号化を忘前節で述べたオンラインによるファイル共有手段は，社内および社外関係者との共有に利れる心配もない．さらに，表 1 と表 2 に示したように，アクセス権（保護ポリシ）はプログ

用できるが，社内においては，PC 間のファイルコピーや簡易なバックアップ手段として可ラム実行環境ごとに固定であり，アプリケーションプログラムごとに変更する必要はない．

搬記録媒体を利用する場面はある．そこで本節では，社内での利用を想定して可搬記録媒体
によるファイルコピーについて説明する．

日常業務における使い勝手の点でいうと，これまでインターネット用と内部ネットワーク
用とで PC を使い分けてきたオフィスであれば，それが 1 台でまかなえるため，利便性は大提案モデルでは，タイプ A のプログラム実行環境から保存するファイルは，その格納先きく向上すると考える．これに対して 1 台の PC を多目的に利用してきたオフィスの場合，媒体の種別を問わずつねに暗号化して保存される．したがって，USB メモリなどの可搬記使用するプログラムによってデスクトップの切替え操作をユーザに要求することになるが，録媒体に機密ファイルを格納した場合でも，図 7 で示したファイル暗号モジュールにより

たとえばワンクリック操作で切替え可能とすることで負荷を軽減できる．また，機密ファイ

情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

c 2010 Information Processing Society of Japan

646

機密情報共有に有用な情報フロー制御モデルの提案

ルの暗号化については，たとえば社外秘（宛先リスト「6C > 0」）を規定値として自動暗号ではない．一方，カーネルモードのプログラムを不正にインストールする攻撃や (c) のよう化することで，ユーザによる特別な操作は不要となる．つまり，デスクトップ切替え操作はな攻撃への耐性は持たないことから，OS やアプリケーションプログラムの改ざん検知機能必要となるが，手動によるファイル暗号化操作を強いるよりも使い勝手は向上するものとと組み合わせる必要がある．そのような機能の例として，最新の Windows OS が備える考える．実現方式については，情報を機密と一般の 2 つに区分することを前提に素案を示

UAC（User Account Control）のような，OS の重要な設定変更を検出してユーザに通知・した．社内で共有する機密情報を，極秘と秘のようにさらにレベル分けする場合でも，一ブロックする機能のほか，TPM（Trusted Platform Module）21) を利用した PC 構成情報

般も含めてレベルの数だけデスクトップを作成し，グループ鍵もレベルごとに宛先リストの改ざん検知がある．そのほか，完全性や可用性を侵害する攻撃として，たとえばタイプ Aを変えて使い分ければ，3 つ以上の区分にも対応可能と考える．ただし，社外関係者と共有側のプログラムがウイルスに感染して機密ファイルを破壊するという問題や，グループ鍵生

Rする情報については，対象のファイルやフォルダごとに適切な宛先リストを指定する手間が成サーバへの DoS（Denial of Service）攻撃などが考えられる．これらについては，情報かかる．また，機密ファイルから機微な情報を削除したものを，一般ファイルとして平文で漏洩対策を目的とした提案モデルとはまったく別の対策手段を講じる必要がある．グルー

社外に発信する際の例外機構については記述していない．これについては，たとえばファイ

プ暗号システム特有のセキュリティ問題としては，特に社外用グループ鍵生成サーバにおけルの格下げの申請と承認のプロセスをワークフローシステムにより構築し，上長の承認をるマスタ鍵への攻撃があげられるが，この問題には，Hardware Security Module（HSM）

得たファイルを，平文ファイルとして申請者の一般用デスクトップから受信可能とする機構を用いたマスタ鍵の保管とグループ鍵生成により対策できる．

が別途必要である．機密ファイルの印刷についても同様に，原則は印刷禁止としつつ，上長の承認を得たものに限り印刷を許可する機構を設けてもよい．あるいは紙の暗号化技術20)
や，印刷先のプリンタを制限する機構との組合せも考えて，業務への影響が少ない手段を選べるようにしたい．

7. お わ り に
本論文では，社外関係者も含めた機密情報の安全な共有を可能とする情報フロー制御モデ
ルを提案し，従来モデルとの差異とその効果について述べるとともに，実現の一形態と利用

セキュリティ面で考えられる問題点としては，インターネットを利用するためのプログライメージを示しながら有用性と問題点について述べた．提案モデルによれば，可搬記録媒体

ムが受信した不審なファイルを，機密情報を扱うためのプログラムが読み出したときにワーやモバイル PC を紛失したり置き忘れたり，第三者により盗難されたりしても，機密情報がム・ウイルスに感染する可能性が考えられる．提案モデルに基づくアクセス制御が機能する

関係者以外（宛先リストに含まれない人物）に開示されるリスクを低減させることができ

限りは情報漏洩につながらないが，そのような悪意のあるプログラムがファイルアクセス制

る．同様に，電子メールの誤送信やワーム・ウイルスにより，機密ファイルが関係者以外の御モジュールに対して仕掛ける攻撃として，手に渡るという問題に対しても有効である．

(a) ファイルアクセス制御モジュールの強制終了またはアンインストールによる保護機能の今後は，アクセス制御モジュールに対する攻撃への耐性も含めて，提案モデルの実現方式

無効化の詳細を策定する予定である．また，社外関係者との機密情報共有において，送信だけでな(b) 悪意のあるプログラムのインストールによりタイプ A 側で復号された機密情報の横取り

く受信する機密情報の保護にも有用なファイル共有システムについても検討していく．

(c) ファイルやネットワークのアクセス権を改ざんし，機密情報を平文で読み出す権限とイ
ンターネットを利用する権限を同時に取得が考えられる．(a) については，強制終了時やアンインストール時に Administrator 権限やパスワード入力を要求することで対策できる．(b) については，ユーザモードで実行するプ
ログラムと，カーネルモードで実行するプログラムとで対策が異なる．ユーザモードで実行するプログラムであれば，タイプ A 側で機密情報を読み取られても，タイプ A のプログラ
ムにはインターネットを利用する権限を与えていないため，直接情報漏洩につながるわけ

情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)

参

考

文

献

1) JNSA セキュリティ被害調査ワーキンググループ：2007 年度情報セキュリティイン
シデントに関する調査報告書 Ver.1.6，NPO 日本ネットワークセキュリティ協会（オンライン）．入手先 http://www.jnsa.org/result/2007/pol/incident/index.html (参照2009-11-11)
2) 田 村 卓 ，神 田 昌 彦：NEC グ ル ー プ に お け る IT に よ る 情 報 漏 え い 防 止 の 取
り 組 み—情 報 漏 え い 防 御 シ ス テ ム ARGUS，NEC 技 報（ オ ン ラ イ ン ）．入 手 先

c 2010 Information Processing Society of Japan

647

機密情報共有に有用な情報フロー制御モデルの提案

http://www.nec.co.jp/techrep/ja/journal/g07/n01/070110.html (参照 2009-11-11)
3) Brin, S., Davis, J. and Molina, G.H.: Copy detection mechanisms for digital documents, Proc. ACM SIGMOD international conference on Management of data,
pp.398–409 (1995).
4) Ku, W. and Chi, C.H.: Survey on the Technological Aspects of Digital Rights Management, Proc. International Conference on Information Security (ISC ), Vol.3225,
pp.391–403 (2004).
5) 栗田弘之，塩谷亮太，入江英嗣ほか：動的なインフォメーションフロー制御による情報漏洩防止手法，情報処理学会報告 2007-ARC-172（HOKKE2007），Vol.2007, No.17,
pp.227–232 (2007).
6) DoD 5200.28-STD, TCSEC: Department of Defense Trusted Computer System
Evaluation Criteria, National Computer Security Center (Dec. 1985).
7) Loscocco, P. and Smalley, S.: Integrating Flexible Support for Security Policies
into the Linux Operating System, Proc. FREENIX Track: 2001 USENIX Annual
Technical Conference (2001).
8) Bauer, M.: Paranoid Penguin: An Introduction to Novell AppArmor, Linux Journal, Vol.2006, No.148, p.13 (2006).
9) Hallyn, S. and Kearns, P.: Domain Type Enforcement for Linux, Proc. 4th Annual
Linux Showcase and Conference (2000).
10) Balfanz, D. and Simon, D.: WindowBox: A Simple Security Model for the Connected Desktop, Proc. 4th USENIX Windows Systems Symposium (Aug. 2000).
11) Zhao, X., Borders, K. and Prakash, A.: Towards protecting sensitive files in acompromised system, Proc. 3rd IEEE International Security in Storage Workshop(SISW’05), pp.21–28 (2005).
12) 三輪吉和，宮田 仁：持ち出し禁止データを外部から安全に利用する一方法，第 1 回
インターネットと運用技術シンポジウム IOTS2008 (Dec. 2008).
13) Weissman, C.: Security Controls in the ADEPT-50 Time Sharing System, Proc.
AFIPS Conference, Vol.35, pp.119–133 (1969).
14) Bell, D.E. and LaPadula, L.J.: Secure Computer Systems: Mathematical Foundations, Technical Report MTR-2547, MITRE Corporation (1973).
15) Brewer, D. and Nash, M.: The Chinese Wall Security Policy, Proc. IEEE Symposium on Security and Privacy, pp.206–214 (1989).
16) Biba, K.J.: Integrity Considerations for Secure Computer System, Technical Report MTR-3153, MITRE Corporation (1975).
17) Ito, H., Susaki, S., Arai, M., et al.: Group Cipher System for Intranet Security,
Trans. IEICE, Vol.E81-A, No.1, pp.28–34 (1998).
18) 荒井正人，鍛 忠司，伊藤浩道ほか：企業情報向けグループ暗号システム，情報処理学会論文誌，Vol.40, No.12, pp.4378–4387 (1999).

情報処理学会論文誌

Vol. 51

No. 2

635–647 (Feb. 2010)19) Microsoft Corporation: Filter Driver Development Guide Version 1.0a, Microsoft(online). available from http://download.microsoft.com/download/e/b/a/eba1050fa31d-436b-9281-92cdfeae4b45/FilterDriverDeveloperGuide.doc (accessed 2009-1111)
20) 富士通：印刷後に復号可能な，世界初の「紙の暗号化技術」，富士通ジャーナル（オンライン）．入手先 http://jp.fujitsu.com/about/journal/technology/20081104/ (参照2009-11-11)21) 中村智久，東川淳紀：解説 PC 搭載セキュリティチップ（TPM）の概要と最新動向，
情報処理学会誌，Vol.47, No.5 (2006).
(平成 21 年 1 月 30 日受付)
(平成 21 年 11 月 6 日採録)
荒井 正人（正会員）

1992 年日本大学大学院理工学研究科博士前期課程修了．同年（株）日立製作所入社．システム開発研究所にてネットワークシステム，セキュリ
ティ技術等の研究開発に従事し，製品化に貢献．現在，研究開発本部研究
戦略統括センタ所属．2009 年情報セキュリティ大学院大学情報セキュリ
ティ研究科博士後期課程修了．博士（情報学）．
田中 英彦（正会員）

1970 年東京大学大学院工学系研究科電気工学専門課程修了，工学博士．
東京大学にて計算機アーキテクチャ，並列処理，人工知能，自然言語処理，
分散処理，メディア処理等の教育・研究に従事．東京大学工学部教授，同大学院情報理工学系研究科長を経て，2004 年情報セキュリティ大学院大学情報セキュリティ研究科長・教授．情報処理学会名誉員，人工知能学会
論文賞，ACM SIGGRAPH’99 Impact Paper Award，人工知能学会功績賞，東京都科学技術功労者表彰，経済産業大臣表彰等受賞．情報・システム研究機構教育研究評議会評議員，日本学術会議会員，IEEE Fellow，東京大学名誉教授．

c 2010 Information Processing Society of Japan