改竄証拠保持装置及び改竄証拠保持方法
【課題】悪意のあるユーザによって機器内の情報が改竄された際に、改竄の証拠を、ユーザによって削除されることなく、保持することができる改竄証拠保持装置を提供すること。
【解決手段】記憶制御部１０３を介して、記憶装置１０４に記憶されているデータを、所定の単位で読み出す情報読出部１０５と、情報読出部１０５が記憶装置１０４から読み出したデータの正当性を検証する情報検証部１０８と、情報検証部１０８が、対象のデータが改竄されたと判断した場合に、改竄されたデータを、読み出したのと別の領域へ複製する情報複製部と、改竄されたデータが記憶されていた元の領域を、不良領域として設定する不良領域設定部１１１を備える。
【解決手段】記憶制御部１０３を介して、記憶装置１０４に記憶されているデータを、所定の単位で読み出す情報読出部１０５と、情報読出部１０５が記憶装置１０４から読み出したデータの正当性を検証する情報検証部１０８と、情報検証部１０８が、対象のデータが改竄されたと判断した場合に、改竄されたデータを、読み出したのと別の領域へ複製する情報複製部と、改竄されたデータが記憶されていた元の領域を、不良領域として設定する不良領域設定部１１１を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置に記録されたデータが改竄された際に、情報処理装置内に改竄の証拠を保持することができる改竄証拠保持装置に関するものである。
【背景技術】
【０００２】
従来、情報処理装置内に記憶されているデータを、悪意のあるユーザによる改竄から保護するための技術として、改竄されたデータを検知し、そのデータの使用を制限するものがあった（例えば、特許文献１参照）。前記特許文献１には、記憶装置内のデータが改竄されているかいないかを検証し、改竄されていなければ、そのデータを使用するという技術が開示されている。
【０００３】
また、データの改竄を検出するための技術として、記録装置へのデータ書き込み時に、書き込んだユーザ情報、更新日時を記録し、その記録した情報を用いて、データの改竄の有無を検出するものがあった（例えば、特許文献２参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−１３２４５６号公報
【特許文献２】特開平１０−２８３２６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、前記従来の構成では、悪意のあるユーザによって、改竄されたデータをクリアされるなど、改竄された証拠を消去することが可能であった。つまり、悪意のあるユーザがデータを改竄したことによって、情報処理機器を故障させた場合など、悪意のあるユーザが、データを改竄した証拠を消去することで、故障の原因を特定することが困難となるという問題があった。
【０００６】
本発明は、前記従来の課題を解決するもので、情報処理装置においてデータの改竄を検出した際に、改竄されたデータを別領域に複製し、複製元データが書き込まれている領域を不良領域に設定することで、データ改竄の証拠を保持する改竄証拠保持装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
前記従来の課題を解決するために、本発明の改竄証拠保持装置は、記憶装置に記憶されている情報を読み出し可能な情報処理装置において、前記記憶装置の所定の領域に記憶されている情報を読み出す情報読出手段と、前記情報読出手段が読み出した前記情報の正当性を検証する情報検証手段と、前記情報検証手段が、前記情報を正当でないと判断した場合、前記情報を、前記記憶装置の前記所定の領域とは別の領域に複製する情報複製手段と、前記情報を読み出した前記所定の領域を、不良領域として設定する不良領域設定手段を備えたことを特徴とする。
【０００８】
本構成によって、悪意のあるユーザによって情報機器内の情報が改竄された際に、データ改竄の証拠を、ユーザによって削除されることなく、保持することができる。
【発明の効果】
【０００９】
本発明の改竄証拠保持装置によれば、悪意のあるユーザによって情報が改竄された際に、データ改竄の証拠を、ユーザによって削除されることなく、保持することができる。
【図面の簡単な説明】
【００１０】
【図１】本発明の実施の形態における改竄証拠保持装置を備えた情報処理装置の構成を示す図
【図２】本発明の実施の形態における改竄証拠保持装置の構成の一例を示すブロック図
【図３】本発明の実施の形態における改竄証拠保持装置を備えた情報処理装置の動作の一例を示すフロー図
【図４】本発明の実施の形態における不正情報発見時の概要を示した図
【発明を実施するための形態】
【００１１】
以下本発明の実施の形態について、図面を参照しながら説明する。
【００１２】
（実施の形態１）
図１は、本発明の実施の形態における改竄証拠保持装置を備えた情報処理装置のハードウェア構成を示す図である。この情報処理装置１０００は、それ自体としてユーザの使用に供することもできるが、様々な電気機器に組み込まれてもよい。情報処理装置１０００の一例は、代表的にはＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ；パーソナルコンピュータあるいはパソコン）等の汎用のコンピュータである。また、情報処理装置１０００は、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）あるいは携帯電話機等の通信端末、ＡＶ機器でもよい。
【００１３】
情報処理装置１０００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ；中央演算処理部）１０、メモリ装置２０、通信装置３０、入力装置４０、表示装置４５、タイマ回路５１及び割り込みコントローラ５５を備えている。これらの装置は、バスライン５０を通じて互いに接続されている。また、必要に応じて、バスライン５０には、ハードディスク装置２５及び読み取り装置３２を接続することが可能となっている。ハードディスク装置２５、読み取り装置３２、入力装置４０及び表示装置４５は、それぞれ、インタフェース２６、３５、４１及び４６を通じてバスライン５０に接続される。
【００１４】
ＣＰＵ１０は、単一のＣＰＵで構成されてもよく、複数のＣＰＵで構成されてもよい。図１の情報処理装置１０００は、単一のＣＰＵ１０を有する例を示している。
【００１５】
メモリ装置２０は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２１及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２２を備えている。ＲＯＭ２１は、ＣＰＵ１０の動作を規定するコンピュータプログラム及びデータを記憶している。コンピュータプログラム及びデータは、ハードディスク装置２５に記憶させることもできる。ＣＰＵ１０は、ＲＯＭ２１又はハードディスク装置２５が格納するコンピュータプログラム及びデータを、必要に応じてＲＡＭ２２に書き込みつつ、コンピュータプログラムが規定する処理を実行する。ＲＡＭ２２は、ＣＰＵ１０が処理を実行するのに伴って発生するデータを一時的に記憶する媒体としても機能する。メモリ装置２０は、フラッシュメモリなど、書き込みが可能で、電源を切っても記憶内容を保持できる不揮発性のメモリと記憶媒体を含んでいる。
【００１６】
ハードディスク装置２５は、内蔵する不図示のハードディスクへ、コンピュータプログラム、あるいはデータを書き込み及び読み出す装置である。
【００１７】
読み取り装置３２は、記録媒体３１（例えばＣＤ、ＤＶＤ、メモリカードなど）に記録されたコンピュータプログラム、あるいはデータを読み取る装置である。
【００１８】
通信装置３０は、電話回線、ネットワーク線、無線、赤外線通信等の通信回線３３を通じて、外部と自身との間で、コンピュータプログラム、あるいはデータを交換する装置である。
【００１９】
入力装置４０は、ユーザの操作によりデータ等を入力する装置であり、例えば、ＰＤＡに配列されたキーボード、携帯電話機に配列された入力ボタン、あるいは着脱自在のマウス、キーボードである。
【００２０】
表示装置４５は、データ、画像等を画面に表示したり、データ等を音声で出力したりする装置であり、例えばＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ；液晶表示器）、ブラウン管、スピーカである。
【００２１】
タイマ回路５１は、一定の周期でタイマ割り込み信号を出力する装置である。割り込みコントローラ５５は、タイマ回路５１、入力装置４０、ＣＰＵ１０、ネットワークデバイスである通信装置３０、ハードディスク装置２５、読み取り装置３２等から送られる割り込み要求信号を、ＣＰＵ１０へ中継する装置である。各装置からの割り込み要求には優先度が付けられている。割り込みコントローラ５５は、同時に複数の装置から割り込みが発生した場合には、それらの要求を優先度に応じて調停する機能を有している。
【００２２】
以上のように、情報処理装置１０００は、コンピュータとして構成されている。上記コンピュータプログラムは、ＲＯＭ２１、ハードディスク装置２５、不図示のフレキシブルディスク、ＣＤ−ＲＯＭ等の記録媒体３１を通じて供給することも、電気通信回線３３等の伝送媒体を通じて供給することも可能である。例えば、記録媒体３１（ＣＤ−ＲＯＭ）に記録されたコンピュータプログラムは、読み取り装置３２を情報処理装置１０００へ接続することで、読み出すことができる。また、読み出したコンピュータプログラムを、ＲＡＭ２２あるいはハードディスク装置２５に格納することができる。
【００２３】
プログラム記録媒体としてＲＯＭ２１からコンピュータプログラムが供給される場合には、当該ＲＯＭ２１を情報処理装置１０００に搭載することにより、ＣＰＵ１０は上記コンピュータプログラムに従った処理を実行可能となる。電気通信回線３３等の伝送媒体を通じて供給されるコンピュータプログラムは、通信装置３０を通じて受信され、例えば、ＲＡＭ２２あるいはハードディスク装置２５に格納される。伝送媒体は、有線の伝送媒体に限られず、無線の伝送媒体であってもよい。また、伝送媒体は通信線路のみでなく、通信線路を中継する中継装置、例えばルータをも含む。
【００２４】
図２は、改竄証拠保持装置を備えた情報処理装置の構成を示すブロック図である。改竄証拠保持装置は、図１に示すＣＰＵ１０で動作するプログラムであり、記憶装置１０４は、図１に示すメモリ装置２０、ＨＤＤ２５、あるいは記録媒体３１などである。
【００２５】
改竄証拠保持装置を備えた情報処理装置１０１は、情報制御部１０２、記憶制御部１０３、並びに記憶装置１０４を備えている。
【００２６】
情報制御部１０２は、ファイルシステムを示し、記憶装置１０４内に記録されているデータを管理する。ファイルシステムとしては、例えば、ＪＦＦＳ２（Ｊｏｕｒｎａｌｉｎｇ Ｆｌａｓｈ Ｆｉｌｅ Ｓｙｓｔｅｍ ２）などがある。
【００２７】
記憶制御部１０３は、例えばＭＴＤ（Ｍｅｍｏｒｙ Ｔｅｃｈｎｏｌｏｇｙ Ｄｅｖｉｃｅ）を示し、情報制御部１０２が記憶装置１０４を利用できるように、記憶装置に対する設定を行う。
【００２８】
記憶装置１０４は、前述した通り、図１に示すメモリ装置２０、ＨＤＤ２５、あるいは記録媒体３１を示す。
【００２９】
情報制御部１０２は、情報読出部１０５、情報書込部１０６、情報演算部１０７、情報検証部１０８、情報複製部１０９を備えている。
【００３０】
情報読出部１０５は、記憶制御部１０３を介して、記憶装置１０４に記憶されているデータを、所定の単位で読み出す。所定の単位とは、例えば、ブロック、セクタ、ページなどを用いることができる。
【００３１】
情報演算部１０７は、情報読出部１０５から読み出したデータを受け取り、読み出したデータの正当性を検証するための値を計算する。正当性を検証するための値として、例えば、ハッシュ値などデータのダイジェスト値や、チェックサムなどを用いることが可能である。また、データ全体をデータの正当性検証に用いてもよい。
【００３２】
情報検証部１０８は、情報演算部１０７が計算した値を用いて、情報読出部１０５が記憶装置１０４から読み出したデータの正当性を検証する。検証した結果、対象のデータが正当でない場合、そのデータは改竄されたものと判断する。
【００３３】
情報複製部１０９は、情報検証部１０８が、対象のデータが改竄されたと判断した場合に、改竄されたデータを、読み出したとの別の領域へ複製する処理を行う。具体的には、情報複製部１０９は、記憶装置１０４上の別領域（複製先領域）を指定して、情報書込部１０６へ改竄証拠（改竄されたデータ）の書き込みを要求する。また、情報複製部１０９は、改竄データを読み出した領域（複製元領域）を、不良領域として設定する要求を行う。なお、情報複製部１０９は、改竄証拠の書き込みの要求と、不良領域として設定する要求を、別々の要求で情報書込部１０６に通知してもよいし、一つの要求で情報書込部１０６に通知してもよい。
【００３４】
情報書込部１０６は、記憶制御部１０３を介して、記憶装置１０４の複製先領域へ、改竄証拠の書き込みを行う。また、情報書込部１０６は、記憶制御部１０３を介して、記憶装置１０４の複製元領域を、不良領域として設定する。不良領域として設定することで、対象の領域へのデータの書き込み及び読み出しを防止する。
【００３５】
記憶制御部１０３は、記憶領域診断部１１０と、不良領域設定部１１１を備えている。
【００３６】
記憶領域診断部１１０は、記憶領域１０４からデータを読み出す際に、読み出し対象領域が不良であるか否かを検証し、不良領域でない場合にデータを読み出す。具体的には、記憶領域診断部１１０は、読み出し対象領域が、不良領域として設定されているか否かを判断する。
【００３７】
不良領域設定部１１１は、記憶装置１０４の指定された領域へデータの書き込みを行うと共に、記憶装置１０４の特定の領域を不良領域として設定する。具体的には、不良領域設定部１１１は、記憶装置１０４の複製先領域に改竄証拠を書き込み、複製元領域を不良領域として設定する。
【００３８】
以上により、改竄証拠保持装置は、読み出したデータが改竄されていると判断した場合に、改竄データを改竄証拠として、読み出した領域とは別の領域に複製して保持し、読み出した領域を不良領域として設定することができる。これにより、悪意のあるユーザによって情報機器内の情報が改竄された際に、データ改竄の証拠を、別領域に複製することで、ユーザによって削除されることなく、保持することができる。
【００３９】
図３は、本発明の実施の形態における改竄証拠保持装置を備えた情報処理装置の動作の一例を示したフロー図である。図３では、情報処理装置が、記憶装置１０４からデータを読み出す際の動作について示している。まず、情報制御部１０２の情報読出部１０５が、記憶装置１０４に記憶されているデータの読み出しの要求を受け取り、処理を開始する。
【００４０】
情報制御部１０２の情報読出部１０５は、記憶制御部１０３に、記憶装置１０４から、所定の単位でデータの読み出しを要求する（ステップＳ２０１）。なお、所定の単位は、例えば、ブロックである。また、所定の単位として、セクタ、ページなど別の単位を用いてもよい。
【００４１】
記憶制御部１０３の記憶領域診断部１１０は、情報制御部１０２から読み出しの要求を受け、読み出し対象領域が不良領域であるか否かを検証する（ステップＳ２０２）。
【００４２】
読み出し対象領域が不良領域と判断した場合（ステップＳ２０２がＹｅｓ）、記憶領域診断部１１０は、情報制御部１０２に読み出しエラーを通知する。読み出し対象領域が不良領域である場合、記憶されているデータを読み出すことができないためである。情報制御部１０２の情報読出部１０５は、記憶制御部１０３から、読み出しエラーを受け取り、ステップＳ２０８に遷移する。
【００４３】
読み出し対象領域が不良領域でないと判断した場合（ステップＳ２０２がＮｏ）、記憶領域診断部１１０は、対象領域に記憶されているデータを読み出し、読み出したデータを情報制御部１０２に通知する。情報制御部１０２の情報読出部１０５は、記憶制御部１０３から、読み出したデータを受け取る（ステップＳ２０３）。
【００４４】
情報演算部１０７は、情報読出部１０５から、読み出したデータを受け取り、読み出したデータの正当性を検証するための値を計算する（ステップＳ２０４）。
【００４５】
情報検証部１０８は、情報演算部１０７が計算した値を用いて、読み出したデータの正当性を検証する（ステップＳ２０５）。検証した結果、対象のデータが正当でない場合、そのデータは改竄されたものと判断する。読み出したデータが不正なデータでなければ（ステップＳ２０５がＹｅｓ）、ステップＳ２０８に遷移する。
【００４６】
読み出したデータが不正なデータであれば（ステップＳ２０５がＮｏ）、情報検証部１０８は、情報複製部１０９に通知する。情報複製部１０９は、通知を受け、読み出した領域（複製元領域）とは別の領域（複製先領域）を指定して、情報書込部１０６へ、不正なデータ（改竄証拠）の書き込みを要求する。情報書込部１０６は、記憶制御部１０３を介して、要求された複製先領域に、不正なデータの書き込みを行う（ステップＳ２０６）。
【００４７】
記憶制御部１０３の不良領域設定部１１０は、不正データを読み出した領域（複製元領域）を不良領域として設定する（ステップＳ２０７）。
【００４８】
最後に、情報制御部１０２の情報読出部１０５は、読み出し対象の領域が、まだあるか否かを判断する（ステップＳ２０８）。読み出す領域がある場合（ステップＳ２０８がＹｅｓ）、情報読出部１０５は、ステップＳ２０１に遷移して、処理を繰り返す。一方、読み出す領域がない場合（ステップＳ２０８がＮｏ）、処理を終了する。
【００４９】
図４は、本発明の実施の形態における不正情報発見時の概要を示した図である。
【００５０】
図４において、記憶装置１０４に記憶されているデータに対し、情報制御部１０２の情報検証部１０７が、正当性を検証した場合について示している。対象のデータは、前述した所定の単位で読み出して検証する。ここでは、領域Ａ２０１、領域Ｂ２０２、領域Ｃ２０３に記憶されているデータを順に処理するものとする。情報検証部１０７は、前述した通り、検証対象のデータから得られるハッシュ値などのダイジェスト値を用いて正当性を検証する。図４は、検証の結果、領域Ｂ２０２に記憶されているデータが正当でないとして、情報複製部１０９が、領域Ｂ２０２（複製元領域）に記憶されている不正データ２００（改竄証拠）を、別の領域である複製先領域２０４へ複製処理Ｓ１０１している。なお、複製処理Ｓ１０１前の複製先領域２０４は、データが書き込まれていない、もしくはデータを上書きしても問題のない領域である。
【００５１】
複製処理Ｓ１０１後、領域Ｂ２０２（複製元領域）を不良領域２０５として設定するために、不良領域設定処理Ｓ１０２を実施する。不良領域設定処理Ｓ１０２とは、領域Ｂ２０２（複製元領域）内に、不良領域設定情報２０６を設定することである。不良領域設定情報２０６を設定することで、当該領域は、ユーザがアクセスできない不良領域２０５となる。また、データ読み出し時には、不良領域設定情報２０６を確認することで、読み出し可能かどうか判断することが可能となる。
【００５２】
なお、本実施の形態において、ひとつのデータが複数の領域をまたがって構成されていてもよい。
【００５３】
次に、ファイルシステムとしてＪＦＦＳ２（Ｊｏｕｒｎａｌｉｎｇ Ｆｉｌｅ Ｓｙｓｔｅｍ ２）を用いた情報処理装置に、本実施の形態における改竄証拠保持装置を実装した場合について、説明する。
【００５４】
記憶装置１０４は、フラッシュメモリなどの不揮発性記憶装置であり、読み出す所定の単位は、Ｅｒａｃｅｂｌｏｃｋ単位となる。つまり、情報読出部１０５は、フラッシュメモリからＥｒａｃｅｂｌｏｃｋ単位でデータを読み出す。また、記憶領域診断部１１０は、Ｅｒａｃｅｂｌｏｃｋ単位で、読み出し先のブロックが不良なブロックであるか否か検証を行う。
【００５５】
情報演算部１０７は、読み出したデータから正当性を検証するための値として、ハッシュ値などデータのダイジェスト値を計算する。なお、本実施の形態において、正当性検証にハッシュ値などのダイジェスト値を用いたが、チェックサムなどデータを代表する別の値やデータ全体をデータの正当性検証に用いてもよい。そして情報検証部１０８が、読み出したＥｒａｃｅｂｌｏｃｋ単位のデータが、不正なデータであるかハッシュ値を用いてデータの正当性チェックを行う。
【００５６】
読み出したＥｒａｃｅｂｌｏｃｋ単位のデータが不正なデータでなければ、情報読出部１０５はフラッシュメモリから次のブロックのデータを読み出す。一方、読み出したデータが不正なデータであれば、情報複製部１０９が、読み出したブロックに書き込まれていたデータ（改竄証拠）を複製し、情報書込部１０６が複製したデータ（改竄証拠）を別のブロックに書き込む。
【００５７】
その後、フラッシュメモリ内に読み出すブロックがまだ残っているならば、情報読出部１０５は、フラッシュメモリから読み出しを継続し、読み出しブロックがなければ、処理を終了する。
【００５８】
かかる構成によれば、情報処理装置においてデータの改竄を検出した際に、改竄されたデータを別領域に複製し、複製元データが書き込まれている領域を不良領域に設定することで、データ改竄の証拠を保持することが可能となる。
【産業上の利用可能性】
【００５９】
本発明にかかる改竄証拠保持装置は、データ改竄の証拠を保持する機能を有し、ＰＣ等の情報処理装置として有用である。また、ＰＤＡや携帯電話などの通信端末、ＡＶ機器などの用途にも応用できる。
【符号の説明】
【００６０】
１０ ＣＰＵ
２０ メモリ装置
２１ ＲＯＭ
２２ ＲＡＭ
２５ ハードディスク装置
２６，３５，４１，４６ インタフェース
３０ 通信装置
３１ 記録媒体
３２ 読取装置
３３ 電気通信回線
４０ 入力装置
４５ 表示装置
５０ バスライン
５１ タイマ回路
５５ 割込コントローラ
１０１ 情報処理装置
１０２ 情報制御部
１０３ 記憶制御部
１０４ 記憶装置
１０５ 情報読出部
１０６ 情報書込部
１０７ 情報演算部
１０８ 情報検証部
１０９ 情報複製部
１１０ 記憶領域診断部
１１１ 不良領域設定部
【技術分野】
【０００１】
本発明は、情報処理装置に記録されたデータが改竄された際に、情報処理装置内に改竄の証拠を保持することができる改竄証拠保持装置に関するものである。
【背景技術】
【０００２】
従来、情報処理装置内に記憶されているデータを、悪意のあるユーザによる改竄から保護するための技術として、改竄されたデータを検知し、そのデータの使用を制限するものがあった（例えば、特許文献１参照）。前記特許文献１には、記憶装置内のデータが改竄されているかいないかを検証し、改竄されていなければ、そのデータを使用するという技術が開示されている。
【０００３】
また、データの改竄を検出するための技術として、記録装置へのデータ書き込み時に、書き込んだユーザ情報、更新日時を記録し、その記録した情報を用いて、データの改竄の有無を検出するものがあった（例えば、特許文献２参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−１３２４５６号公報
【特許文献２】特開平１０−２８３２６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、前記従来の構成では、悪意のあるユーザによって、改竄されたデータをクリアされるなど、改竄された証拠を消去することが可能であった。つまり、悪意のあるユーザがデータを改竄したことによって、情報処理機器を故障させた場合など、悪意のあるユーザが、データを改竄した証拠を消去することで、故障の原因を特定することが困難となるという問題があった。
【０００６】
本発明は、前記従来の課題を解決するもので、情報処理装置においてデータの改竄を検出した際に、改竄されたデータを別領域に複製し、複製元データが書き込まれている領域を不良領域に設定することで、データ改竄の証拠を保持する改竄証拠保持装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
前記従来の課題を解決するために、本発明の改竄証拠保持装置は、記憶装置に記憶されている情報を読み出し可能な情報処理装置において、前記記憶装置の所定の領域に記憶されている情報を読み出す情報読出手段と、前記情報読出手段が読み出した前記情報の正当性を検証する情報検証手段と、前記情報検証手段が、前記情報を正当でないと判断した場合、前記情報を、前記記憶装置の前記所定の領域とは別の領域に複製する情報複製手段と、前記情報を読み出した前記所定の領域を、不良領域として設定する不良領域設定手段を備えたことを特徴とする。
【０００８】
本構成によって、悪意のあるユーザによって情報機器内の情報が改竄された際に、データ改竄の証拠を、ユーザによって削除されることなく、保持することができる。
【発明の効果】
【０００９】
本発明の改竄証拠保持装置によれば、悪意のあるユーザによって情報が改竄された際に、データ改竄の証拠を、ユーザによって削除されることなく、保持することができる。
【図面の簡単な説明】
【００１０】
【図１】本発明の実施の形態における改竄証拠保持装置を備えた情報処理装置の構成を示す図
【図２】本発明の実施の形態における改竄証拠保持装置の構成の一例を示すブロック図
【図３】本発明の実施の形態における改竄証拠保持装置を備えた情報処理装置の動作の一例を示すフロー図
【図４】本発明の実施の形態における不正情報発見時の概要を示した図
【発明を実施するための形態】
【００１１】
以下本発明の実施の形態について、図面を参照しながら説明する。
【００１２】
（実施の形態１）
図１は、本発明の実施の形態における改竄証拠保持装置を備えた情報処理装置のハードウェア構成を示す図である。この情報処理装置１０００は、それ自体としてユーザの使用に供することもできるが、様々な電気機器に組み込まれてもよい。情報処理装置１０００の一例は、代表的にはＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ；パーソナルコンピュータあるいはパソコン）等の汎用のコンピュータである。また、情報処理装置１０００は、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）あるいは携帯電話機等の通信端末、ＡＶ機器でもよい。
【００１３】
情報処理装置１０００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ；中央演算処理部）１０、メモリ装置２０、通信装置３０、入力装置４０、表示装置４５、タイマ回路５１及び割り込みコントローラ５５を備えている。これらの装置は、バスライン５０を通じて互いに接続されている。また、必要に応じて、バスライン５０には、ハードディスク装置２５及び読み取り装置３２を接続することが可能となっている。ハードディスク装置２５、読み取り装置３２、入力装置４０及び表示装置４５は、それぞれ、インタフェース２６、３５、４１及び４６を通じてバスライン５０に接続される。
【００１４】
ＣＰＵ１０は、単一のＣＰＵで構成されてもよく、複数のＣＰＵで構成されてもよい。図１の情報処理装置１０００は、単一のＣＰＵ１０を有する例を示している。
【００１５】
メモリ装置２０は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２１及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２２を備えている。ＲＯＭ２１は、ＣＰＵ１０の動作を規定するコンピュータプログラム及びデータを記憶している。コンピュータプログラム及びデータは、ハードディスク装置２５に記憶させることもできる。ＣＰＵ１０は、ＲＯＭ２１又はハードディスク装置２５が格納するコンピュータプログラム及びデータを、必要に応じてＲＡＭ２２に書き込みつつ、コンピュータプログラムが規定する処理を実行する。ＲＡＭ２２は、ＣＰＵ１０が処理を実行するのに伴って発生するデータを一時的に記憶する媒体としても機能する。メモリ装置２０は、フラッシュメモリなど、書き込みが可能で、電源を切っても記憶内容を保持できる不揮発性のメモリと記憶媒体を含んでいる。
【００１６】
ハードディスク装置２５は、内蔵する不図示のハードディスクへ、コンピュータプログラム、あるいはデータを書き込み及び読み出す装置である。
【００１７】
読み取り装置３２は、記録媒体３１（例えばＣＤ、ＤＶＤ、メモリカードなど）に記録されたコンピュータプログラム、あるいはデータを読み取る装置である。
【００１８】
通信装置３０は、電話回線、ネットワーク線、無線、赤外線通信等の通信回線３３を通じて、外部と自身との間で、コンピュータプログラム、あるいはデータを交換する装置である。
【００１９】
入力装置４０は、ユーザの操作によりデータ等を入力する装置であり、例えば、ＰＤＡに配列されたキーボード、携帯電話機に配列された入力ボタン、あるいは着脱自在のマウス、キーボードである。
【００２０】
表示装置４５は、データ、画像等を画面に表示したり、データ等を音声で出力したりする装置であり、例えばＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ；液晶表示器）、ブラウン管、スピーカである。
【００２１】
タイマ回路５１は、一定の周期でタイマ割り込み信号を出力する装置である。割り込みコントローラ５５は、タイマ回路５１、入力装置４０、ＣＰＵ１０、ネットワークデバイスである通信装置３０、ハードディスク装置２５、読み取り装置３２等から送られる割り込み要求信号を、ＣＰＵ１０へ中継する装置である。各装置からの割り込み要求には優先度が付けられている。割り込みコントローラ５５は、同時に複数の装置から割り込みが発生した場合には、それらの要求を優先度に応じて調停する機能を有している。
【００２２】
以上のように、情報処理装置１０００は、コンピュータとして構成されている。上記コンピュータプログラムは、ＲＯＭ２１、ハードディスク装置２５、不図示のフレキシブルディスク、ＣＤ−ＲＯＭ等の記録媒体３１を通じて供給することも、電気通信回線３３等の伝送媒体を通じて供給することも可能である。例えば、記録媒体３１（ＣＤ−ＲＯＭ）に記録されたコンピュータプログラムは、読み取り装置３２を情報処理装置１０００へ接続することで、読み出すことができる。また、読み出したコンピュータプログラムを、ＲＡＭ２２あるいはハードディスク装置２５に格納することができる。
【００２３】
プログラム記録媒体としてＲＯＭ２１からコンピュータプログラムが供給される場合には、当該ＲＯＭ２１を情報処理装置１０００に搭載することにより、ＣＰＵ１０は上記コンピュータプログラムに従った処理を実行可能となる。電気通信回線３３等の伝送媒体を通じて供給されるコンピュータプログラムは、通信装置３０を通じて受信され、例えば、ＲＡＭ２２あるいはハードディスク装置２５に格納される。伝送媒体は、有線の伝送媒体に限られず、無線の伝送媒体であってもよい。また、伝送媒体は通信線路のみでなく、通信線路を中継する中継装置、例えばルータをも含む。
【００２４】
図２は、改竄証拠保持装置を備えた情報処理装置の構成を示すブロック図である。改竄証拠保持装置は、図１に示すＣＰＵ１０で動作するプログラムであり、記憶装置１０４は、図１に示すメモリ装置２０、ＨＤＤ２５、あるいは記録媒体３１などである。
【００２５】
改竄証拠保持装置を備えた情報処理装置１０１は、情報制御部１０２、記憶制御部１０３、並びに記憶装置１０４を備えている。
【００２６】
情報制御部１０２は、ファイルシステムを示し、記憶装置１０４内に記録されているデータを管理する。ファイルシステムとしては、例えば、ＪＦＦＳ２（Ｊｏｕｒｎａｌｉｎｇ Ｆｌａｓｈ Ｆｉｌｅ Ｓｙｓｔｅｍ ２）などがある。
【００２７】
記憶制御部１０３は、例えばＭＴＤ（Ｍｅｍｏｒｙ Ｔｅｃｈｎｏｌｏｇｙ Ｄｅｖｉｃｅ）を示し、情報制御部１０２が記憶装置１０４を利用できるように、記憶装置に対する設定を行う。
【００２８】
記憶装置１０４は、前述した通り、図１に示すメモリ装置２０、ＨＤＤ２５、あるいは記録媒体３１を示す。
【００２９】
情報制御部１０２は、情報読出部１０５、情報書込部１０６、情報演算部１０７、情報検証部１０８、情報複製部１０９を備えている。
【００３０】
情報読出部１０５は、記憶制御部１０３を介して、記憶装置１０４に記憶されているデータを、所定の単位で読み出す。所定の単位とは、例えば、ブロック、セクタ、ページなどを用いることができる。
【００３１】
情報演算部１０７は、情報読出部１０５から読み出したデータを受け取り、読み出したデータの正当性を検証するための値を計算する。正当性を検証するための値として、例えば、ハッシュ値などデータのダイジェスト値や、チェックサムなどを用いることが可能である。また、データ全体をデータの正当性検証に用いてもよい。
【００３２】
情報検証部１０８は、情報演算部１０７が計算した値を用いて、情報読出部１０５が記憶装置１０４から読み出したデータの正当性を検証する。検証した結果、対象のデータが正当でない場合、そのデータは改竄されたものと判断する。
【００３３】
情報複製部１０９は、情報検証部１０８が、対象のデータが改竄されたと判断した場合に、改竄されたデータを、読み出したとの別の領域へ複製する処理を行う。具体的には、情報複製部１０９は、記憶装置１０４上の別領域（複製先領域）を指定して、情報書込部１０６へ改竄証拠（改竄されたデータ）の書き込みを要求する。また、情報複製部１０９は、改竄データを読み出した領域（複製元領域）を、不良領域として設定する要求を行う。なお、情報複製部１０９は、改竄証拠の書き込みの要求と、不良領域として設定する要求を、別々の要求で情報書込部１０６に通知してもよいし、一つの要求で情報書込部１０６に通知してもよい。
【００３４】
情報書込部１０６は、記憶制御部１０３を介して、記憶装置１０４の複製先領域へ、改竄証拠の書き込みを行う。また、情報書込部１０６は、記憶制御部１０３を介して、記憶装置１０４の複製元領域を、不良領域として設定する。不良領域として設定することで、対象の領域へのデータの書き込み及び読み出しを防止する。
【００３５】
記憶制御部１０３は、記憶領域診断部１１０と、不良領域設定部１１１を備えている。
【００３６】
記憶領域診断部１１０は、記憶領域１０４からデータを読み出す際に、読み出し対象領域が不良であるか否かを検証し、不良領域でない場合にデータを読み出す。具体的には、記憶領域診断部１１０は、読み出し対象領域が、不良領域として設定されているか否かを判断する。
【００３７】
不良領域設定部１１１は、記憶装置１０４の指定された領域へデータの書き込みを行うと共に、記憶装置１０４の特定の領域を不良領域として設定する。具体的には、不良領域設定部１１１は、記憶装置１０４の複製先領域に改竄証拠を書き込み、複製元領域を不良領域として設定する。
【００３８】
以上により、改竄証拠保持装置は、読み出したデータが改竄されていると判断した場合に、改竄データを改竄証拠として、読み出した領域とは別の領域に複製して保持し、読み出した領域を不良領域として設定することができる。これにより、悪意のあるユーザによって情報機器内の情報が改竄された際に、データ改竄の証拠を、別領域に複製することで、ユーザによって削除されることなく、保持することができる。
【００３９】
図３は、本発明の実施の形態における改竄証拠保持装置を備えた情報処理装置の動作の一例を示したフロー図である。図３では、情報処理装置が、記憶装置１０４からデータを読み出す際の動作について示している。まず、情報制御部１０２の情報読出部１０５が、記憶装置１０４に記憶されているデータの読み出しの要求を受け取り、処理を開始する。
【００４０】
情報制御部１０２の情報読出部１０５は、記憶制御部１０３に、記憶装置１０４から、所定の単位でデータの読み出しを要求する（ステップＳ２０１）。なお、所定の単位は、例えば、ブロックである。また、所定の単位として、セクタ、ページなど別の単位を用いてもよい。
【００４１】
記憶制御部１０３の記憶領域診断部１１０は、情報制御部１０２から読み出しの要求を受け、読み出し対象領域が不良領域であるか否かを検証する（ステップＳ２０２）。
【００４２】
読み出し対象領域が不良領域と判断した場合（ステップＳ２０２がＹｅｓ）、記憶領域診断部１１０は、情報制御部１０２に読み出しエラーを通知する。読み出し対象領域が不良領域である場合、記憶されているデータを読み出すことができないためである。情報制御部１０２の情報読出部１０５は、記憶制御部１０３から、読み出しエラーを受け取り、ステップＳ２０８に遷移する。
【００４３】
読み出し対象領域が不良領域でないと判断した場合（ステップＳ２０２がＮｏ）、記憶領域診断部１１０は、対象領域に記憶されているデータを読み出し、読み出したデータを情報制御部１０２に通知する。情報制御部１０２の情報読出部１０５は、記憶制御部１０３から、読み出したデータを受け取る（ステップＳ２０３）。
【００４４】
情報演算部１０７は、情報読出部１０５から、読み出したデータを受け取り、読み出したデータの正当性を検証するための値を計算する（ステップＳ２０４）。
【００４５】
情報検証部１０８は、情報演算部１０７が計算した値を用いて、読み出したデータの正当性を検証する（ステップＳ２０５）。検証した結果、対象のデータが正当でない場合、そのデータは改竄されたものと判断する。読み出したデータが不正なデータでなければ（ステップＳ２０５がＹｅｓ）、ステップＳ２０８に遷移する。
【００４６】
読み出したデータが不正なデータであれば（ステップＳ２０５がＮｏ）、情報検証部１０８は、情報複製部１０９に通知する。情報複製部１０９は、通知を受け、読み出した領域（複製元領域）とは別の領域（複製先領域）を指定して、情報書込部１０６へ、不正なデータ（改竄証拠）の書き込みを要求する。情報書込部１０６は、記憶制御部１０３を介して、要求された複製先領域に、不正なデータの書き込みを行う（ステップＳ２０６）。
【００４７】
記憶制御部１０３の不良領域設定部１１０は、不正データを読み出した領域（複製元領域）を不良領域として設定する（ステップＳ２０７）。
【００４８】
最後に、情報制御部１０２の情報読出部１０５は、読み出し対象の領域が、まだあるか否かを判断する（ステップＳ２０８）。読み出す領域がある場合（ステップＳ２０８がＹｅｓ）、情報読出部１０５は、ステップＳ２０１に遷移して、処理を繰り返す。一方、読み出す領域がない場合（ステップＳ２０８がＮｏ）、処理を終了する。
【００４９】
図４は、本発明の実施の形態における不正情報発見時の概要を示した図である。
【００５０】
図４において、記憶装置１０４に記憶されているデータに対し、情報制御部１０２の情報検証部１０７が、正当性を検証した場合について示している。対象のデータは、前述した所定の単位で読み出して検証する。ここでは、領域Ａ２０１、領域Ｂ２０２、領域Ｃ２０３に記憶されているデータを順に処理するものとする。情報検証部１０７は、前述した通り、検証対象のデータから得られるハッシュ値などのダイジェスト値を用いて正当性を検証する。図４は、検証の結果、領域Ｂ２０２に記憶されているデータが正当でないとして、情報複製部１０９が、領域Ｂ２０２（複製元領域）に記憶されている不正データ２００（改竄証拠）を、別の領域である複製先領域２０４へ複製処理Ｓ１０１している。なお、複製処理Ｓ１０１前の複製先領域２０４は、データが書き込まれていない、もしくはデータを上書きしても問題のない領域である。
【００５１】
複製処理Ｓ１０１後、領域Ｂ２０２（複製元領域）を不良領域２０５として設定するために、不良領域設定処理Ｓ１０２を実施する。不良領域設定処理Ｓ１０２とは、領域Ｂ２０２（複製元領域）内に、不良領域設定情報２０６を設定することである。不良領域設定情報２０６を設定することで、当該領域は、ユーザがアクセスできない不良領域２０５となる。また、データ読み出し時には、不良領域設定情報２０６を確認することで、読み出し可能かどうか判断することが可能となる。
【００５２】
なお、本実施の形態において、ひとつのデータが複数の領域をまたがって構成されていてもよい。
【００５３】
次に、ファイルシステムとしてＪＦＦＳ２（Ｊｏｕｒｎａｌｉｎｇ Ｆｉｌｅ Ｓｙｓｔｅｍ ２）を用いた情報処理装置に、本実施の形態における改竄証拠保持装置を実装した場合について、説明する。
【００５４】
記憶装置１０４は、フラッシュメモリなどの不揮発性記憶装置であり、読み出す所定の単位は、Ｅｒａｃｅｂｌｏｃｋ単位となる。つまり、情報読出部１０５は、フラッシュメモリからＥｒａｃｅｂｌｏｃｋ単位でデータを読み出す。また、記憶領域診断部１１０は、Ｅｒａｃｅｂｌｏｃｋ単位で、読み出し先のブロックが不良なブロックであるか否か検証を行う。
【００５５】
情報演算部１０７は、読み出したデータから正当性を検証するための値として、ハッシュ値などデータのダイジェスト値を計算する。なお、本実施の形態において、正当性検証にハッシュ値などのダイジェスト値を用いたが、チェックサムなどデータを代表する別の値やデータ全体をデータの正当性検証に用いてもよい。そして情報検証部１０８が、読み出したＥｒａｃｅｂｌｏｃｋ単位のデータが、不正なデータであるかハッシュ値を用いてデータの正当性チェックを行う。
【００５６】
読み出したＥｒａｃｅｂｌｏｃｋ単位のデータが不正なデータでなければ、情報読出部１０５はフラッシュメモリから次のブロックのデータを読み出す。一方、読み出したデータが不正なデータであれば、情報複製部１０９が、読み出したブロックに書き込まれていたデータ（改竄証拠）を複製し、情報書込部１０６が複製したデータ（改竄証拠）を別のブロックに書き込む。
【００５７】
その後、フラッシュメモリ内に読み出すブロックがまだ残っているならば、情報読出部１０５は、フラッシュメモリから読み出しを継続し、読み出しブロックがなければ、処理を終了する。
【００５８】
かかる構成によれば、情報処理装置においてデータの改竄を検出した際に、改竄されたデータを別領域に複製し、複製元データが書き込まれている領域を不良領域に設定することで、データ改竄の証拠を保持することが可能となる。
【産業上の利用可能性】
【００５９】
本発明にかかる改竄証拠保持装置は、データ改竄の証拠を保持する機能を有し、ＰＣ等の情報処理装置として有用である。また、ＰＤＡや携帯電話などの通信端末、ＡＶ機器などの用途にも応用できる。
【符号の説明】
【００６０】
１０ ＣＰＵ
２０ メモリ装置
２１ ＲＯＭ
２２ ＲＡＭ
２５ ハードディスク装置
２６，３５，４１，４６ インタフェース
３０ 通信装置
３１ 記録媒体
３２ 読取装置
３３ 電気通信回線
４０ 入力装置
４５ 表示装置
５０ バスライン
５１ タイマ回路
５５ 割込コントローラ
１０１ 情報処理装置
１０２ 情報制御部
１０３ 記憶制御部
１０４ 記憶装置
１０５ 情報読出部
１０６ 情報書込部
１０７ 情報演算部
１０８ 情報検証部
１０９ 情報複製部
１１０ 記憶領域診断部
１１１ 不良領域設定部
【特許請求の範囲】
【請求項１】
記憶装置に記憶されている情報を読み出し可能な情報処理装置において、
前記記憶装置の所定の領域に記憶されている情報を読み出す情報読出手段と、
前記情報読出手段が読み出した前記情報の正当性を検証する情報検証手段と、
前記情報検証手段が、前記情報を正当でないと判断した場合、前記情報を、前記記憶装置の前記所定の領域とは別の領域に複製する情報複製手段と、
前記情報を読み出した前記所定の領域を、不良領域として設定する不良領域設定手段を備えたことを特徴とする改竄証拠保持装置。
【請求項２】
前記記憶装置に記憶されているデータは、ファイルシステムにより管理されており、
前記情報読出手段が前記情報を読み出す前に、読み出し対象である前記所定の領域が不良領域であるか否かを検証する記憶領域診断手段を備え、
前記情報読出手段は、前記記憶領域診断手段が不良領域でないと判断した場合に、前記情報を読み出すことを特徴とする請求項１に記載の改竄証拠保持装置。
【請求項３】
前記記憶装置は不揮発性記憶装置であって、前記記憶装置に記憶されているデータは、ＪＦＦＳ２により管理されており、
前記情報読出手段は、Ｅｒａｃｅｂｌｏｃｋ単位で、前記記憶装置から情報を読み出し、
前記情報検証手段は、Ｅｒａｃｅｂｌｏｃｋ単位で、前記情報の正当性を検証することを特徴とする請求項２に記載の改竄証拠保持装置。
【請求項４】
記憶装置の所定の領域に記憶されている情報を読み出す情報読み出しステップと、
前記記憶装置から読み出した前記情報の正当性を検証する情報検証ステップと、
前記情報検証ステップにおいて、前記情報が正当でないと判断された場合、前記情報を、前記記憶装置の前記所定の領域とは別の領域に複製する情報複製ステップと、
前記情報を読み出した前記所定の領域を、不良領域として設定する不良領域設定ステップとを備えたことを特徴とする改竄証拠保持方法。
【請求項１】
記憶装置に記憶されている情報を読み出し可能な情報処理装置において、
前記記憶装置の所定の領域に記憶されている情報を読み出す情報読出手段と、
前記情報読出手段が読み出した前記情報の正当性を検証する情報検証手段と、
前記情報検証手段が、前記情報を正当でないと判断した場合、前記情報を、前記記憶装置の前記所定の領域とは別の領域に複製する情報複製手段と、
前記情報を読み出した前記所定の領域を、不良領域として設定する不良領域設定手段を備えたことを特徴とする改竄証拠保持装置。
【請求項２】
前記記憶装置に記憶されているデータは、ファイルシステムにより管理されており、
前記情報読出手段が前記情報を読み出す前に、読み出し対象である前記所定の領域が不良領域であるか否かを検証する記憶領域診断手段を備え、
前記情報読出手段は、前記記憶領域診断手段が不良領域でないと判断した場合に、前記情報を読み出すことを特徴とする請求項１に記載の改竄証拠保持装置。
【請求項３】
前記記憶装置は不揮発性記憶装置であって、前記記憶装置に記憶されているデータは、ＪＦＦＳ２により管理されており、
前記情報読出手段は、Ｅｒａｃｅｂｌｏｃｋ単位で、前記記憶装置から情報を読み出し、
前記情報検証手段は、Ｅｒａｃｅｂｌｏｃｋ単位で、前記情報の正当性を検証することを特徴とする請求項２に記載の改竄証拠保持装置。
【請求項４】
記憶装置の所定の領域に記憶されている情報を読み出す情報読み出しステップと、
前記記憶装置から読み出した前記情報の正当性を検証する情報検証ステップと、
前記情報検証ステップにおいて、前記情報が正当でないと判断された場合、前記情報を、前記記憶装置の前記所定の領域とは別の領域に複製する情報複製ステップと、
前記情報を読み出した前記所定の領域を、不良領域として設定する不良領域設定ステップとを備えたことを特徴とする改竄証拠保持方法。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１１−８４７５（Ｐ２０１１−８４７５Ａ）
【公開日】平成２３年１月１３日（２０１１．１．１３）
【国際特許分類】
【出願番号】特願２００９−１５０６２０（Ｐ２００９−１５０６２０）
【出願日】平成２１年６月２５日（２００９．６．２５）
【出願人】（０００００５８２１）パナソニック株式会社 (73,050)
【Ｆターム（参考）】
【公開日】平成２３年１月１３日（２０１１．１．１３）
【国際特許分類】
【出願日】平成２１年６月２５日（２００９．６．２５）
【出願人】（０００００５８２１）パナソニック株式会社 (73,050)
【Ｆターム（参考）】
[ Back to top ]