JP2004509398A

JP2004509398A - ネットワークにわたって配布されるオブジェクトの保護のために監査証跡を確立するためのシステム

Info

Publication number: JP2004509398A
Application number: JP2002527117A
Authority: JP
Inventors: ローデマン，デイビッド・エイ; ロビンソン，ダニエル・ジェイ; シャイベ，ポール・オゥ
Original assignee: プロビックス・インコーポレイテッド
Priority date: 2000-09-14
Filing date: 2001-09-14
Publication date: 2004-03-25
Also published as: EP1320957A1; US20020046350A1; KR20030036787A; AU2001290848A1; WO2002023797A1

Abstract

監査証跡を作成するのに用いられ得るログファイルを確立するためのシステムおよび方法が提示される。セキュリティサーバ（１８）は、要求側（１０）およびセキュリティサーバ（１８）により行なわれるアクションであって、保護されたオブジェクト（１６）に関するものについてのログファイルを維持する。要求側装置（１０）上でオブジェクト（１６）についてインスタンス化されるオブジェクト制御は、アクションの暗号化された記述子をセキュリティサーバ（１８）に送信し、もしセキュリティサーバ（１８）との安全な接続がなければ、要求側装置（１０）のいかなるアクション（閲覧、編集、印刷など）も防ぎ得る。セキュリティサーバ（１８）は、要求側装置（１０）から受信した情報を他のデータとともにログファイルに記録し、さらに、オブジェクト（１６）の保護に関係するセキュリティサーバ（１８）の行なうアクションのいずれについての記述子も記録することになる。

Description

【０００１】
【技術分野】
この発明は、監査証跡を確立することによって、ネットワークにわたって配布されるコード、文書および画像などのオブジェクトを保護することに関する。
【０００２】
【発明の背景】
現在インターネットは、業務の過程で情報を探したり、協力者、将来の業務提携先および顧客の間でコード、文書および画像などをやり取りするために広く用いられている。インターネット上で行なわれる業務の増加に伴い、インターネット上で記憶または通信される情報を「ハッカー」から保護することへの関心も増加している。ハッカーとは、情報に対する無認可のアクセスを獲得し、これを用いて彼ら自身の利益を追求したり、この情報またはそれが記憶されているシステムに損害を与えたりする恐れのある者である。インターネット上で行なわれる膨大な業務の量、およびそれに対応するこの業務の価値を鑑みると、記憶されやり取りされるオブジェクト（これにはコード、文書および画像など、デジタル形式で表現されるものすべてが含まれる）、およびこれらオブジェクトに含まれる知的財産権が安全（ｓｅｃｕｒｅ）であることが至上命題である。すなわち、オブジェクトはこれに対する権利を有さない個人または企業にとってアクセス不可能であり、許可がない限り印刷不可能であり、権利が所有者によって授与される場合を除き編集不可能でなければならない。
【０００３】
オブジェクトおよびオブジェクトのやり取りの保護はいくつかの構成要素を有し得る。その１つである認証とは、情報を要求または送信する者の身元を検証するプロセスである。これは一般にパスワードを用いて達成される。この手法の欠点は、パスワードは紛失、漏洩または盗難の恐れがあることである。
【０００４】
より厳しい認証プロセスでは、認証局により認可されるデジタル証明書が用いられる。デジタル証明書は、所有者の名前と、通し番号と、使用期限と、発行局のデジタル署名（すなわち、公開鍵暗号（下記を参照されたい）を用いて、送信側およびメッセージデータを識別および認証する、メッセージに付加されたデータ）とを含む。証明書はさらに証明書所有者の公開鍵を含む。認証手続きで広く用いられている公開鍵暗号法では、個人は公開鍵および秘密鍵を有し、これらは認証局によって、ＲＳＡなどのアルゴリズムを用い同時に作成される。公開鍵は、証明書を含む１つ以上のディレクトリ内で公開される。秘密鍵は秘密のままである。メッセージは、ディレクトリ内で送信側が獲得する受信側の公開鍵を用いて暗号化され、受信側の秘密鍵を用いて復号される。メッセージを認証するには、送信側は自分の秘密鍵を用いてメッセージを暗号化できる。受信側は、送信側の公開鍵で署名を復号することによって、送信側の身元を検証できる。
【０００５】
認証では、ユーザがリソースに関して特権（閲覧および変更など）を有しているかどうかが判断される。たとえばシステム管理者は、どのユーザがシステムに対するアクセスを有しているのか、および各ユーザがこのシステム内でどのような特権（すなわち或るファイルに対するアクセスや記憶空間の量など）を有しているのかを判断できる。認可は通常認証の後に行なわれる。換言すると、ユーザがオブジェクトに対するアクセスを要求すると、システムはまずユーザの身元を検証および認証し、次に、このユーザがそのオブジェクトに対するアクセス権を有しているかどうか、およびこのユーザがどのようにオブジェクトを使用できるのかを判断する。
【０００６】
暗号化もまたオブジェクトの保護に用いられ得る。暗号化とは、メッセージの平文を暗号文に変換することである。暗号化されたオブジェクトを表示するためには、受信側もまた正しい復号鍵を入手しなければならない（たとえば上記の公開鍵基盤および公開鍵暗号法の議論を参照されたい）。オブジェクトを暗号化するのに用いられる暗号を「破る」ことはしばしば可能ではあるが、一般に暗号化が複雑であるほど、復号鍵なしに暗号を破ることは困難となる。「強固な（ｓｔｒｏｎｇ）」暗号システムは広範囲の考えられ得る鍵を有し、こうして考えられ得るすべての鍵を試して暗号を破ることはほとんど不可能となっている。強固な暗号システムはさらに、コードを破る方法であって以前から知られていたものに対しても免疫があり、あらゆる標準的な統計学的試験にとって、あたかもランダムであるかのように現われる。
【０００７】
コンピュータシステム全体を保護するためには、その他の種類の、コンピュータのところでの安全保護を採用することもある。たとえば多くの会社ではファイアウォールを設置して、無認可のユーザが会社のデータまたはプログラムにアクセスすることを防ごうとしている。しかしファイアウォールは危険に晒されることがあり、またコンピュータシステムが攻撃から無事でいられることを保証してくれるものではない。ファイアウォールでの別の問題として、ファイアウォールの背後にいる敵対的なユーザによる脅威からは、システムまたはシステムのリソースが保護されない。
【０００８】
メッセージの伝送もまた安全にされ得る。サーバとクライアントとの間の暗号化による通信を提供するためには、トランスポート・レイヤー・セキュリティ（ＴＬＳ）およびセキュア・ソケット・レイヤー（ＳＳＬ）プロトコルが一般に用いられる。これらプロトコルは両方とも、ほとんどのウェブブラウザおよびサーバに組込まれている。
【０００９】
監査証跡もまた、責任追及の徹底により、すなわち、オブジェクトに関係したユーザのアクティビティ（たとえばオブジェクトに対する要求）または実際にオブジェクトに対して行なわれたアクティビティ（閲覧、編集、印刷など）の追跡により保護を提供する。監査証跡は無認可の変更から安全でなければならない。たとえば無認可のユーザは、自分のアクティビティの証拠を監査ログから削除することを許されない。要求およびアクションを監査することによって大量の情報が生成される。したがって、監査証跡を生成するシステムはいずれも、情報を記憶しこれを効率的に処理するための能力を有する必要がある。
【００１０】
上述の安全保護手段は、別個で用いられることも、またはより一般的には或る組合せで用いられることもある。これら一般的な手段に加え、先行技術では安全保護についてその他の手法がある。
【００１１】
インタートラスト・テクノロジーズ・コーポレーション（ＩｎｔｅｒＴｒｕｓｔＴｅｃｈｎｏｌｏｇｉｅｓＣｏｒｐｏｒａｔｉｏｎ）は、そのデジタル権利管理技術に関していくつかの特許を取得している。インタートラストのデジボックス（Ｄｉｇｉｂｏｘ）コンテナ技術は、コンテンツと、このコンテンツへのアクセスに関する規定とを含む情報を、デジボックスコンテナ、本質的にはソフトウェアコンテナ内で暗号化および記憶することを可能にする。コンテナは暗号鍵とともに、仮想配信環境（ＶｉｒｔｕａｌＤｉｓｔｒｉｂｕｔｉｏｎＥｎｖｉｒｏｎｍｅｎｔ：ＶＤＥ）内でノード間を渡される。ＶＤＥは、専用のハードウェアもしくはソフトウェア、またはこれらの組合せからなる。コンテナ内の情報は、適当なインタートラストのソフトウェアを実行するＶＤＥ内に組込まれた装置によってのみ閲覧され得る。監査証跡はＶＤＥ内で生成、記憶および閲覧され得る。
【００１２】
インターネット上で入手可能なコード、文書、画像、およびソフトウェアプログラムを含むオブジェクト（基本的には、デジタル形式で表現され得るものすべて）を保護する発明であって、認可された要求側が、保護された情報にアクセスするためにそのコンピュータ上に特別のソフトウェアを実行させる必要がない発明が必要とされている。さらに、責任追及および否認防止を確実にするための安全な監査証跡が望まれている。さらに、監査証跡の記憶を含む保護義務を第三者へ渡すことによって、安全保護を提供する処理上およびハードウェアの負担（大量の監査証跡を記憶するのに十分な記憶域を有することを含む）からオブジェクトサーバを解放することが望まれている。最後に、情報、たとえば要求、認証、認可、要求されたオブジェクトの直列化した情報、要求されたオブジェクトの１回限りの情報、要求されたオブジェクトのセキュリティポリシー、および監査証跡内の保護されたオブジェクトの記述などを記憶することによって、包括的な保護を提供し、監査証跡の完全性および否認不可能性を立証することが望まれている。
【００１３】
インターネット上で入手可能なコード、文書、画像、およびソフトウェアプログラムを含むオブジェクト（基本的には、デジタル形式で表現され得るものすべて）を保護する発明であって、認可された要求側が、保護された情報にアクセスするためにそのコンピュータ上に特別のソフトウェアを実行させる必要がない発明が必要とされている。（たとえば学生の予算はしばしば限られており、仮に彼らが自分のコンピュータを持っていたとしても、学校が正規のユーザに対してインターネット経由で利用可能にしつつある講義ノートや日程などの情報を彼らがダウンロードできるようにする特別のソフトウェアを、彼らが購入すると期待することは妥当ではない。）デジタル権利管理システムで望まれているさらなる特徴は、保護「義務」のほとんどを第三者に渡して、安全保護を提供する処理負担からオブジェクトサーバを解放すること、および暗号化されたデータを有する暗号鍵を渡す代わりに、要求側と「セキュリティサーバ」との間で安全に渡される１回だけの暗号鍵を提供することを含む。さらに、オブジェクトが要求側へ送られた後でもオブジェクトに対する保護を提供するデジタル権利管理システムが望まれている。
【００１４】
【発明の概要】
この発明は、ネットワークにわたって配布されるオブジェクト（デジタル形式で表現されるものすべて、すなわちコード、文書、画像、ソフトウェアプログラムなど）を保護するための方法およびシステムを提供する。保護とは、或る受信側によるオブジェクトに対する或る動作（すなわち閲覧、印刷、編集、コピー）を制限することを意味する。
【００１５】
保護されたオブジェクトと保護されていないオブジェクトとの両方を含むオブジェクトサーバには、或るオブジェクトが保護されるべきかどうかを指定し、さらにもしそうであればセキュリティポリシー（オブジェクトが受けるべき保護の種類および程度）はどのようなものであるかを指定するソフトウェアが設けられる。セキュリティポリシーは、誰がこのオブジェクトを閲覧できるかについての制限、オブジェクトの存続期間、およびオブジェクトが閲覧され得る回数を含み、さらにオブジェクトに対して印刷や編集などが行なわれ得るかどうかなどのアクションに関するアクションポリシーを含み得る。オブジェクト制御は、セキュリティポリシーを実現するメカニズムである。
【００１６】
オブジェクトサーバがオブジェクトに対する要求を受取ると、ソフトウェアは、要求されたオブジェクトが保護されているかどうかを調べる。オブジェクトが保護されていなければ、サーバはオブジェクトを要求側に送る。オブジェクトが保護されていればソフトウェアは新たなオブジェクトを作成するが、この新たなオブジェクトは、認証と元の要求の時間とを含み、さらに直列化（ｓｅｒｉａｌｉｚａｔｉｏｎ）した情報、１回限り（ｎｏｎｃｅ）の情報、セキュリティポリシー、および要求されたオブジェクトの記述を含む。これらはすべて暗号化される。新たなオブジェクトは、要求側ブラウザを「セキュリティサーバ」へ指し示すリダイレクトコマンドとともに、要求側ブラウザへ返信の中で送り返される。
【００１７】
保護サービスを提供するためのソフトウェアが設けられたセキュリティサーバは、リダイレクトされた要求を受信および認証すると、この要求されたオブジェクトをそれ自身のキャッシュから、またはオブジェクトを含むサーバから安全な伝送経由で入手する。次にセキュリティサーバは、（強固で頑硬（ｎｏｎ−ｍａｌｌｅａｂｌｅ）な暗号化を用いて）要求されたオブジェクトを暗号化し、これを移動コード（すなわちソフトウェアであって、遠隔システムから送信され、ネットワーク経由で転送され、受信側による明示的なインストールまたは実行なしにローカルシステム上でダウンロードおよび実行されるもの）、セキュリティポリシー、およびオブジェクト制御と組合せる。結果としてのパッケージは、リダイレクトされた要求への返信として要求側のコンピュータに送り返される。
【００１８】
次に要求側のコンピュータは、要求したオブジェクトを表示するために移動コードを実行しようとする。移動コードは、オブジェクト制御の正しいインストールを確実にするための試験を実行する。これら制御が正しくインスタンス化されると、要求側は復号鍵を要求でき、これは要求の満足できる認証後に安全な伝送を介して要求側へ送られる。復号鍵は１回だけの鍵であり、問題となっている特定のオブジェクトを復号するためにのみ用いられ得る。移動コードの実行が成功し、復号鍵が入手されると、要求されたオブジェクトは、セキュリティポリシーおよびオブジェクト制御の制約のもとで表示される。
【００１９】
オブジェクトに関する要求側のアクティビティおよびセキュリティサーバに関わるあらゆるアクションの記述子がログファイルに記録され、このログファイルは認可された個人、たとえばセキュリティサーバのシステム管理者およびコンテンツの所有者などが見直しをするために利用可能である。このログファイルを用いて、監査証跡であって、誰がどのオブジェクトを要求したか、オブジェクトが配信されたかどうか、これらオブジェクトの各々についてどの種類のセキュリティポリシーがあるか、および要求側がオブジェクトに対して行なったあらゆるアクションを詳述し、さらに、オブジェクトがアクセスされた時間、オブジェクトがアクセスされた回数などの派生情報を詳述する、監査証跡を構築することができる。
【００２０】
要求されたオブジェクトを保護および配信することに関連したアクティビティのほとんどは、セキュリティサーバを用いて実行される。したがってオブジェクトサーバは、安全保護の問題に処理リソースを消費しておらず、情報への要求に対処することに専念する。加えて、セキュリティサーバについてのすべてのセットアップ時間および維持管理にはこのサーバのシステム管理者が対処し、この結果オブジェクトサーバの所有者にとってはさらに負担が軽くなる。
【００２１】
このシステムおよび方法は、要求と、要求されたオブジェクトの提供とに関わるコンピュータすべてに共通のソフトウェアをインストールする必要がないという点で、他のオブジェクト保護方法およびシステムと異なる。加えて、オブジェクトを暗号化／復号するのに用いる鍵は１回だけの鍵であり、暗号化されたオブジェクトとともに渡されない。
【００２２】
【発明の実施のベストモード】
図１を参照すると、要求側装置１０（この実施例でこの装置はコンピュータであるが、この装置は、クライアント／サーバ関係でのクライアントとして動作できるものすべてを含む）と、オブジェクト１６およびオブジェクトが保護されるべきかどうかを指定する保護ソフトウェア１４を含むオブジェクトサーバ１２と、保護サービスを提供するためのソフトウェア９４を含むセキュリティサーバ１８とのすべてが、この実施例ではインターネット２０であるネットワークに接続される。オブジェクト１６は、コード、文書、画像およびソフトウェアプログラムなど、デジタル形式で表現され得るものすべてを含む。敵対側２２、すなわち保護されたオブジェクトに対し無認可のアクセスを得るのに用いられ得るコンピュータまたは記録装置などの装置または人もまた存在し得る。ここでは単一の要求側装置１０、オブジェクトサーバ１２およびセキュリティサーバ１８について論じるが、この方法およびシステムは、複数の要求側装置１０、オブジェクトサーバ１２およびセキュリティサーバ１８を勘案することが企図されている。
【００２３】
この実施例では、オブジェクトサーバ１２およびセキュリティサーバ１８は、ハイパーテキスト・トランスファ・プロトコル（ｈｔｔｐ）サーバである。要求側装置１０は、ワールド・ワイド・ウェブブラウザ２４として動作するソフトウェアプログラムを実行し得る。要求側装置１０からのオブジェクト１６に対する要求は、ブラウザ２４によってｈｔｔｐ要求を介してオブジェクトサーバ１２へ中継される。同様に、要求に対する返信もまたｈｔｔｐプロトコルに従う。
【００２４】
上述のように、オブジェクトサーバ１２は保護ソフトウェア１４を実行するが、これはこの実施例ではｈｔｔｐサーバソフトウェアの拡張である。この保護ソフトウェア１４は、オブジェクト１６のうちどれが保護されておらず、どれが保護されているのかを指定するために、認可されたシステム管理者によって使用される。オブジェクト１６が保護されていると指定されていれば、保護ソフトウェア１４はさらに、管理者がオブジェクト１６についての保護の種類および程度（すなわちセキュリティポリシー）を特定できるようにする。セキュリティポリシーは、誰がオブジェクトを閲覧できるかについての制限、オブジェクトの存続期間（すなわち一時的制限）、およびオブジェクトが閲覧され得る回数（すなわち基数による制限）を含み、さらに、オブジェクトに対して印刷や編集などが行なわれ得るかどうかに関するアクションポリシーを含み得る。要求側がオブジェクトに対して行ない得るアクションは、要求側の身元に依存して異なり得る。オブジェクト制御は、セキュリティポリシーを実現するメカニズムである。
【００２５】
セキュリティサーバ１８はさらに、ｈｔｔｐサーバソフトウェアの拡張であるソフトウェア９４を実行する。このソフトウェア９４は、オブジェクトのための保護サービスを提供する。
【００２６】
図２で、要求側がオブジェクトを要求する（ステップ２６）。要求されたオブジェクトを記憶しているオブジェクトサーバが要求を受信する（ステップ２８）。オブジェクトサーバが独立の認証ポリシーを有していれば、オブジェクトサーバはこのポリシーを実行し、受信時に要求を認証する。保護ソフトウェアはｈｔｔｐ要求を調べ、この要求が、保護されたオブジェクトについてのものであるかどうかを判断する（ステップ３０）。要求されたオブジェクトが保護されていなければ、要求されたオブジェクトは要求側へ送信される（ステップ３２）。
【００２７】
しかしオブジェクトが保護されていれば（ステップ３０）、保護ソフトウェアは強化された（ｅｎｈａｎｃｅｄ）要求を作成し（ステップ３４）、これは要求への返信内に含められ、この後セキュリティサーバへリダイレクトされる（ステップ３６）。強化された要求は、暗号化されたデータを含むオブジェクトであり、この暗号化されたデータには、認証および元の要求の時間が含まれ、さらに直列化した情報（オブジェクトのうち認可された１バージョンのみが利用可能となることを確実にする）、１回限りの情報、セキュリティポリシー、および要求されたオブジェクトの記述が含まれる。（認証に関する情報は、オブジェクトサーバが独立の認証ポリシーを有するかどうかに依存する。認証ポリシーがあれば、強化された要求は認証の結果を含む。認証ポリシーがなければ、この情報もまた強化された要求内に含められる。）
暗号化はさまざまなサービスを提供する。暗号化はファイルの完全性を保護（すなわち無認可の変更を防止）し、要求の認証および認可を支援することができる。ここでの暗号化の使用により、要求側の機密もまた保護され得る。暗号化のその他の用途には、否認防止および変更の検出が含まれる。強固で頑硬な暗号化をサポートするプロトコルが用いられる。（プロトコルは使用される暗号化の種類を判断し、さらに、暗号化が行なわれる前に要求側とセキュリティサーバとの間のやり取りが必要であるかどうかについて判断する（たとえば、サーバで暗号化されたオブジェクトを受信側が復号できるように鍵をやり取りしなければならないことがあるだろう）。）
強化された要求は、要求をセキュリティサーバにリダイレクトするためのコマンドとともに要求側への返信内に含められる。このリダイレクションは、要求側にとって透過的であるべきである。
【００２８】
セキュリティサーバソフトウェアは、強化された要求を復号する（ステップ３８）。強化された要求を暗号化／復号するための共有鍵が、オブジェクトサーバおよびセキュリティサーバに存在する。この鍵は、ソフトウェアがオブジェクトサーバ上でインストールされると生成される。
【００２９】
次にセキュリティサーバソフトウェアは、強化された要求が適格な（ｗｅｌｌ−ｆｏｒｍｅｄ）要求についての要件を満たすかどうかを調べる（ステップ４０）。適格な要求についての要件が満たされなければ、セキュリティサーバは無効の要求を示すメッセージをオブジェクトサーバへ送り返す（ステップ４２）。（次にオブジェクトサーバは、無効の要求についてのメッセージを要求側へ送信し得る。オブジェクトサーバのシステム管理者が、これらメッセージを送るかどうか判断する。）
要求が有効であれば、次にセキュリティサーバソフトウェアは要求を認証する（ステップ４４）。セキュリティサーバソフトウェアは、リダイレクトされた要求のヘッディングにある時間および認証を、強化された要求内に含まれるものと比較する。セキュリティサーバソフトウェアが要求を認証できない場合（たとえばこれら２つの要求の時間が異なり再現攻撃が示されている、またはリダイレクトされた要求における要求側の身元が、強化された要求にある要求側の身元と異なる）、認証が不十分であることを示すメッセージがオブジェクトサーバへ送り返される（ステップ４６）。要求が認証されれば、セキュリティサーバソフトウェアは要求を復号し、要求されたオブジェクトを、セキュリティサーバのキャッシュまたはオブジェクトサーバから入手する（ステップ４８）。（要求の際、保護ソフトウェアはオブジェクトをセキュリティサーバに渡す。）セキュリティサーバがオブジェクトサーバからオブジェクトを入手しなければならない場合、オブジェクトは安全な伝送経由で渡される。
【００３０】
一旦セキュリティサーバが要求されたオブジェクトを有すると、セキュリティサーバソフトウェアは強固な暗号化および頑硬な暗号化についてのプロトコルを用いてこのオブジェクトを暗号化し、移動コード（すなわちソフトウェアであって、遠隔システムから送信され、ネットワーク経由で転送され、受信側の明示的なインストールまたは実行なしにローカルシステム上でダウンロードおよび実行されるもの）と、強化された要求内に含まれる認証を伴うセキュリティポリシーと、オブジェクト制御とに、このオブジェクトを組合せる（ステップ５０）。要求されている保護されたオブジェクトの暗号化は、完全性、機密性、認証（適当であれば）、および認可を確実にすることにより、さらに否認防止（すなわちトランザクションの当事者はこのトランザクションでの関与を虚偽に否定できない）のための手段となり、変更を検出することによって、オブジェクト、その要求側およびプロバイダを保護する役割を担う。結果としてのパッケージは次に要求側へ送信される（ステップ５２、図２ｂのステップＢを参照されたい）。
【００３１】
図２ｂで、要求側は返信を受取り、移動コードを実行しようと試みる（ステップ５４）。移動コードが実行されると、要求されたオブジェクトについてのオブジェクト制御およびセキュリティポリシーは、要求側のコンピュータ上でインスタンス化される（ステップ５４）。移動コードは、オブジェクト制御が正しくインスタンス化されたかどうかを判断するための試験を実行する。もしそうであれば、要求側は復号鍵を必要とし（ステップ５６）、要求側はこれをセキュリティサーバから要求し得る（ステップ５８）。セキュリティサーバソフトウェアは要求を認証する（ステップ６０）。もしこれが要求を認証できなければ、その旨のメッセージがオブジェクトサーバへ送られる（ステップ６２）。しかしメッセージが認証されれば、セキュリティサーバソフトウェアは要求された鍵を安全な伝送によって要求側へ送り返し（ステップ６４）、要求されたオブジェクトが復号される（ステップ６６）。セキュリティサーバがオブジェクトを暗号化／復号するために用いる鍵は１回だけの鍵である。この１回だけの鍵は、セキュリティサーバのソフトウェアのインストールで決定される鍵をランダムに生成するための「シード（ｓｅｅｄ）」によって、または先行技術で公知の他の手段、たとえばその最も一般的なものである証明書によってもたらされる。
【００３２】
移動コードが一旦実行されると、要求側は、セキュリティポリシーまたはオブジェクト制御によりオブジェクトに対して課されている制約のもとでオブジェクトを閲覧し得る（ステップ６８）。
【００３３】
図３ａで示すように、要求側がオブジェクトに対して行なったアクションのログファイル（および図３ｂで示すようにセキュリティサーバが行なったアクション）は、監査証跡を確立する目的のために維持される。このログファイルは、セキュリティサーバのシステム管理者が見直しを行なうために利用可能である。ログファイルは、誰がどのオブジェクトを要求したか、オブジェクトが配信されたかどうか、およびこれらオブジェクトの各々につきどの種類のセキュリティポリシーがあるのかを詳述する監査証跡を構築するのに用いられ得る。
【００３４】
要求側がオブジェクトに関するいずれのアクション（すなわちオブジェクトの表示、印刷、編集など）を試みても（ステップ８０）、オブジェクト制御は、ネットワークとの確立された接続があるかどうかを判断する（ステップ８２）。オープンした接続があれば、アクションの暗号化された記述子がセキュリティサーバへ送信され、これはログファイルで或る他のデータとともにこの記述子を記録する（ステップ８８）。ログファイルに記録される他の資料は、「ローカルデータ」すなわちローカル時間およびサーバの身元を含むサーバにあるデータと、時間と、要求側のネットワークＩＰアドレスとを含む。一旦情報がセキュリティサーバへ送信され、証明が要求側へ送信されると（ステップ９４）、オブジェクトに対するアクションが許される（ステップ９０）。たとえば、先に論じたように、移動コードのインスタンス化が成功し、かつ復号鍵がセキュリティサーバから受信されている場合にのみ、要求側は要求したオブジェクトを閲覧することができる。オブジェクトが最初に要求側のコンピュータにおいて閲覧されると、このイベントすなわちオブジェクトの閲覧の記述子がセキュリティサーバに送られる。検証が要求側に送信されなければ（ステップ９４）、オブジェクトに対して或るアクションを行なう要求側の要求は拒絶される（ステップ９２）。
【００３５】
セキュリティサーバとの安全な確立された接続がなければ、オブジェクト制御はセキュリティサーバとのこのような接続を確立しようと試みる（ステップ８４）。接続が確立されると（ステップ８６）、アクションの暗号化された記述子がセキュリティサーバに送信され、これは記述子および既に論じた他のデータをログファイルに記録する（ステップ８８）。次にオブジェクトに対するアクションが許される（ステップ９０）。しかし接続を確立できなければ（ステップ８６）、オブジェクトに対して或るアクションを行なう要求側の要求は拒絶される（ステップ９２）。
【００３６】
図３ｂで示すように、セキュリティサーバはさらに、保護されたオブジェクトに関して自分が行なうあらゆるアクションの記述子をログファイルに記録する。これらアクションは、オブジェクトに対する要求への応答、要求側へのオブジェクトの送信、復号鍵に対する要求の受信、および要求側への復号鍵の送信を含む。セキュリティサーバが或るアクションを行なうと（ステップ７４）、システムソフトウェアは、このアクションが、保護されたオブジェクトの転送に関するのか、または復号鍵に対する要求に関するのかを判断する（ステップ７６）。アクションが保護されたオブジェクトの転送または復号鍵に対する要求に関するのでなければ、ログファイルには何も記録されない（ステップ８０）。しかし、アクションが保護さたオブジェクトまたは復号鍵に関すれば、このアクションの記述子が、時間、ローカルデータ、および要求側のネットワークＩＰアドレスとともにログファイルに記録される（ステップ７８）。たとえばセキュリティサーバが、保護されたオブジェクトに対する強化された要求を受信すると、セキュリティサーバは強化された要求をログファイルに保存する。少なくとも時間、ローカルデータ、および要求側のネットワークＩＰアドレスが、強化された要求とともに保存される。セキュリティサーバが、移動コードと組合されたオブジェクトを含むパッケージを要求側に送信すると、このアクションの記録がログファイルに書込まれる。
【００３７】
別の実施例では、要求側は「解き放たれている（ｕｎｔｅｔｈｅｒｅｄ）」（すなわちセキュリティサーバに接続されていない）間に、オブジェクトに対してアクションを行ない得る。解き放たれたアクティビティをセキュリティポリシーが許す場合には、要求側のアクションは要求側装置に記録され、次に、要求側によるセキュリティサーバへの接続の確立時にセキュリティサーバへ送られる。或る設定時間枠内にネットワークとの接続が確立されなければオブジェクトへのアクセスが制限されるように、制御を設定することができる。
【００３８】
別の実施例では、セキュリティサーバのアクションの記述子は、暗号化されてからログファイルに書込まれ得る。この実施例は、システム管理者以外の人がログファイルへのアクセスを許されるときに用いられ得る。
【図面の簡単な説明】
【図１】この発明に従うオブジェクト保護システムの構成要素を示すブロック図である。
【図２ａ】この発明に従ってオブジェクトがどのように保護されるかを示すフローチャートである。
【図２ｂ】この発明に従ってオブジェクトがどのように保護されるかを示すフローチャートである。
【図３ａ】この発明に従って、保護されたオブジェクトに対する要求側のアクティビティのログファイルがどのように作成されるかを示すフローチャートである。
【図３ｂ】この発明に従って、セキュリティサーバのアクティビティのログファイルがどのように作成されるかを示すフローチャートである。

Claims

通信ネットワークにおいて、ネットワークにわたって配布されるオブジェクトに対する要求されたアクションおよび行なわれたアクションのログファイルを提供することによって、オブジェクトを保護するためのシステムであって、前記システムは、
ａ）　オブジェクトを含むオブジェクトサーバを備え、前記オブジェクトサーバはソフトウェアプログラムを実行し、前記ソフトウェアプログラムは、どのオブジェクトが保護されるべきかを指定し、さらに保護されたオブジェクトについてのセキュリティポリシーを指定し、前記オブジェクトサーバはネットワークに接続され、前記システムはさらに、
ｂ）　オブジェクトサーバからオブジェクトを要求する要求側装置を備え、前記装置はネットワークに接続され、前記システムはさらに、
ｃ）　保護されているとしてソフトウェアプログラムにより指定されたオブジェクトに保護サービスを提供する別のソフトウェアプログラムを実行するセキュリティサーバを備え、前記セキュリティサーバはネットワークに接続され、前記ソフトウェアは以下の保護サービスを提供し、前記保護サービスは、
ｉ）　要求されたオブジェクトに対するリダイレクトされた強化された要求を要求側装置から受信するための手段を含み、前記強化された要求は、要求側装置の元の要求に対応し、かつオブジェクトサーバによって作成され、前記強化された要求は、認証および元の要求の時間、ならびに直列化した情報、１回限りの情報、セキュリティポリシー、および要求されたオブジェクトの記述に関する、暗号化されたデータを含むオブジェクトであり、前記保護サービスはさらに、
ｉｉ）　前記要求されている保護されたオブジェクトが記憶されているオブジェクトサーバまたはキャッシュから、前記要求されている保護されたオブジェクトを入手するための手段と、
ｉｉｉ）　前記要求されている保護されたオブジェクトを暗号化するための手段と、
ｉｖ）　要求されている保護されたオブジェクトを、移動コード、セキュリティポリシーおよびオブジェクト制御と組合せるための手段と、
ｖ）　結果としてのファイルを要求側装置に送信するための手段とを含み、前記要求側装置は、要求したオブジェクトを要求側装置で表示するためには移動コードを実行しなければならず、要求側装置のユーザは、移動コードの実行時に要求側装置に設けられるオブジェクト制御およびセキュリティポリシーのもとでオブジェクトを使用および閲覧しなければならず、前記保護サービスはさらに、
ｖｉ）　オブジェクト制御の正しいインスタンス化を検証するための手段と、
ｖｉｉ）　復号鍵に対する要求の満足できる認証時に要求側装置へ前記復号鍵を提供するための手段と、
ｖｉｉｉ）　イベントについての情報をログファイルに記録するための手段とを含み、前記ログファイルはセキュリティサービスに記憶され、前記イベントは、
Ａ）　要求側装置により開始される、要求されている保護されたオブジェクトに対するアクションへの要求と、
Ｂ）　要求側装置にある、要求されている保護されたオブジェクトに対して行なわれるアクションと、
Ｃ）　セキュリティサーバによって行なわれ、要求されている保護されたオブジェクトの保護に関するアクションとからなる群に属する、システム。
ログファイルは、監査証跡を作成するために用いられる、請求項１に記載のシステム。
記録される情報はイベントの時間である、請求項１に記載のシステム。
記録される情報はローカルデータである、請求項１に記載のシステム。
記録される情報は、イベントを開始する要求側装置のネットワークＩＰアドレスである、請求項１に記載のシステム。
ログファイルに記録される情報は、イベントの記述子を含む、請求項１に記載のシステム。
ログファイルに記録される情報は、セキュリティサーバに送信される要求を含む、請求項１に記載のシステム。
要求側装置によりセキュリティサーバに送信される情報は、プロトコルに従い暗号化される、請求項１に記載のシステム。
情報の暗号化を含むプロトコルは強固な暗号化を提供する、請求項８に記載のシステム。
情報の暗号化を含むプロトコルは頑硬な暗号化を提供する、請求項８に記載のシステム。
要求側装置で開始されるアクションに対する要求についての情報を記録するために、要求側装置とセキュリティサーバとの間の接続を確立するための手段をさらに含み、前記接続は、前記要求側装置と前記セキュリティサーバとの間に接続が存在しなければ確立されなければならない、請求項１に記載のシステム。
要求側装置とセキュリティサーバとの間の接続が確立され得ない場合に、保護されたオブジェクトに対する要求されたアクションを拒絶するための手段をさらに含む、請求項１１に記載のシステム。
解き放たれている要求側装置が、要求されている保護されたオブジェクトに対するあらゆるアクションを要求側装置上のファイルに記録し、さらに、要求側装置がセキュリティサーバへのネットワーク接続を確立すると、前記解き放たれている要求側装置がセキュリティサーバへファイルを送信するための手段をさらに含む、請求項１に記載のシステム。