ホーム > 特許ランキング > ＫｎｅｃｔＩＱ Ｉｎｃ．
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2022-04-21
(54)【発明の名称】安全な電子データ転送のためのシステムと方法
(51)【国際特許分類】
H04L 9/08 20060101AFI20220414BHJP
G06F 21/60 20130101ALI20220414BHJP
G06F 21/64 20130101ALI20220414BHJP
【ＦＩ】
H04L9/08 C
H04L9/08 F
G06F21/60 360
G06F21/64
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2021543532
(86)(22)【出願日】2020-01-28
(85)【翻訳文提出日】2021-09-24
(86)【国際出願番号】 US2020015448
(87)【国際公開番号】W WO2020219136
(87)【国際公開日】2020-10-29
(31)【優先権主張番号】62/797,439
(32)【優先日】2019-01-28
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
(71)【出願人】
【識別番号】521330264
【氏名又は名称】コネクトアイキュー・インコーポレイテッド
【氏名又は名称原語表記】ＫｎｅｃｔＩＱ Ｉｎｃ．
(74)【代理人】
【識別番号】100145403
【弁理士】
【氏名又は名称】山尾 憲人
(74)【代理人】
【識別番号】100135703
【弁理士】
【氏名又は名称】岡部 英隆
(72)【発明者】
【氏名】ジャイン，シャイレンドラ
(72)【発明者】
【氏名】ランスタッド，アンドリュー
(72)【発明者】
【氏名】モリス，ケネス
(57)【要約】
安全な電子データ転送のためのシステムおよび方法は、データの暗号化および復号のために一時的な鍵を利用する。
【特許請求の範囲】
【請求項1】
送信クライアント装置と受信クライアント装置との間の安全な電子データ転送を可能とする方法であって、前記送信クライアント装置および前記受信クライアント装置はそれぞれコンピュータ装置を備え、前記方法は、前記送信クライアント装置が鍵ＤＮＡおよびモニカを受信することと、
前記鍵ＤＮＡおよび前記モニカをブローカ装置に格納することと、
前記送信クライアント装置が前記鍵ＤＮＡに基づいて鍵を生成することと、
前記送信クライアント装置に格納されたデータを、前記鍵を用いて暗号化し、暗号化されたデータを生成することと、
前記暗号化されたデータおよび前記モニカを前記送信クライアント装置から前記受信クライアント装置に電子的に転送することと、
前記受信クライアント装置が、前記モニカを前記ブローカ装置に送ることと、
前記受信クライアント装置が、前記鍵ＤＮＡを前記ブローカ装置から受信することと、
前記受信クライアント装置が、前記鍵ＤＮＡに基づいて前記鍵を生成することと、
前記受信クライアント装置が、前記暗号化されたデータを、前記鍵を用いて復号することと、
を含む、方法。
【請求項2】
データを暗号化するステップの後、前記送信クライアント装置から前記鍵を除去すること、をさらに含む、請求項１に記載の方法。
【請求項3】
前記暗号化されたデータを復号するステップの後、前記受信クライアント装置から前記鍵を除去すること、をさらに含む、請求項２に記載の方法。
【請求項4】
前記送信装置が鍵ＤＮＡおよびモニカをブローカ装置から受信するステップの前に、前記方法は、鍵ＤＮＡを求める要求を前記送信クライアント装置から前記ブローカ装置へと送ることと、
前記ブローカ装置を動作させ、前記鍵ＤＮＡを求める前記要求を承認または拒否することと、
をさらに含む、請求項１から請求項３のいずれか一項に記載の方法。
【請求項5】
前記ブローカ装置を動作させ、前記要求を承認または拒否するステップの後、前記方法は、前記送信クライアント装置から前記受信クライアント装置へのデータの対象の転送の確認を求める要求を、前記ブローカ装置からインタセプタ装置へ送ることと、
前記インタセプタ装置を動作させ、確認を求める前記要求を承認または拒否することと、
をさらに含む、請求項４に記載の方法。
【請求項6】
前記暗号化されたデータおよび前記モニカを前記送信クライアント装置から第２受信クライアント装置へ電子的に転送することと、前記第２受信クライアント装置が、前記モニカを前記ブローカ装置へ送ることと、
前記第２受信クライアント装置が、前記鍵ＤＮＡを前記ブローカ装置から受信することと、
前記第２受信クライアント装置が、前記鍵ＤＮＡに基づいて前記鍵を生成することと、
前記第２受信クライアント装置が、前記暗号化されたデータを、前記鍵を用いて復号することと、
をさらに含む、請求項１から請求項５のいずれか一項に記載の方法。
【請求項7】
所定の規則に基づいて前記ブローカ装置から前記鍵ＤＮＡおよび前記モニカを削除すること、をさらに含む、請求項６に記載の方法。
【請求項8】
前記送信クライアント装置または前記受信クライアント装置から前記鍵ＤＮＡを求める要求を受信した前記ブローカ装置を示す情報を前記ブローカ装置に記録すること、をさらに含む、請求項１から請求項７のいずれか一項に記載の方法。
【請求項9】
前記鍵ＤＮＡおよび前記モニカは前記ブローカ装置によって作成される、請求項１から請求項８のいずれか一項に記載の方法。
【請求項10】
前記モニカは、前記送信クライアント装置によって作成される、請求項１から請求項９のいずれか一項に記載の方法。
【請求項11】
前記鍵ＤＮＡの少なくとも一部は、前記送信クライアント装置によって作成される、請求項１から請求項１０のいずれか一項に記載の方法。
【請求項12】
前記鍵ＤＮＡの一部は、前記送信装置によって作成され、前記暗号化されたデータおよび前記モニカを前記送信クライアント装置から前記受信クライアント装置に電子的に転送するステップは、前記鍵ＤＮＡの前記一部を前記送信クライアント装置から前記受信クライアント装置に電子的に転送すること、をさらに含む、請求項１から請求項１１のいずれか一項に記載の方法。
【請求項13】
前記電子データ転送は、前記送信クライアント装置から前記受信クライアント装置へのストリーミング通信の一部であり、前記鍵ＤＮＡは、第１鍵ＤＮＡであり、前記鍵は、第１鍵であり、データは、前記ストリーミング通信のデータの第１パケットであり、前記暗号化されたデータは前記ストリーミング通信の暗号化されたデータの第１パケットであり、前記暗号化されたデータの第１パケットおよび前記モニカを前記送信クライアント装置から前記受信クライアント装置に電子的に転送するステップの後、前記方法は、前記送信クライアント装置が第２鍵ＤＮＡを受信することであって、前記第２鍵ＤＮＡは前記第１鍵ＤＮＡと異なる、第２鍵ＤＮＡを受信することと、
前記送信クライアント装置が、前記第２鍵ＤＮＡに基づいて第２鍵を生成することと、
前記ストリーミング通信のデータの第２パケットを、前記第２鍵を用いて暗号化し、暗号化されたデータの第２パケットを生成することと、
前記暗号化されたデータの第２パケットを前記送信クライアント装置から前記受信クライアント装置に電子的に転送することと、
前記受信クライアント装置が、前記第２鍵ＤＮＡを前記ブローカ装置から受信することと、
前記受信クライアント装置が、前記第２鍵ＤＮＡに基づいて前記第２鍵を生成することと、
前記受信クライアント装置が、前記暗号化されたデータの第２パケットを、前記第２鍵を用いて復号することと、
を含む、請求項１から請求項１２のいずれか一項に記載の方法。
【請求項14】
前記ストリーミング通信の進行中の前記第１鍵ＤＮＡから前記第２鍵ＤＮＡへの変更のタイミングは、前記送信クライアント装置に鍵交代規則として格納される、請求項１３に記載の方法。
【請求項15】
前記ブローカ装置と前記送信クライアント装置および前記受信クライアント装置のそれぞれとの間の通信は、安全である、請求項１から請求項１４のいずれか一項に記載の方法。
【請求項16】
前記ブローカ装置を動作させ、非対称暗号化アルゴリズムを用いて第１秘密／公開鍵対および第２秘密／公開鍵対を生成することと、前記第１公開鍵を前記送信クライアント装置に送ることと、
前記第２公開鍵を前記受信クライアント装置に送ることと、
前記送信クライアント装置を動作させ、対称鍵を生成することと、
前記送信クライアント装置を動作させ、前記対称鍵を、前記第１公開鍵を用いて暗号化することと、
前記送信クライアント装置を動作させ、前記ブローカ装置への通信を、前記対称鍵を用いて暗号化することと、
前記暗号化された対称鍵および前記暗号化された通信を前記送信クライアント装置から前記ブローカ装置に送ることと、
前記ブローカ装置を動作させ、前記暗号化された対称鍵を、前記公開鍵を用いて復号することと、
前記ブローカ装置を動作させ、前記暗号化された通信を、前記復号された対称鍵を用いて復号することと、
をさらに含む、請求項１５に記載の方法。
【請求項17】
前記送信クライアント装置および前記受信クライアント装置に少なくとも第１暗号化アルゴリズムおよび第２暗号化アルゴリズム並びに対応する第１指示記号および第２指示記号を定めることと、前記ブローカ装置に前記第１指示記号および第２指示記号を定めることと、
をさらに含み、
前記送信クライアント装置が鍵ＤＮＡを受信するステップは、前記第１指示記号および前記第２指示記号の一つを受信することをさらに含み、
前記送信クライアント装置が鍵を生成するステップは、前記第１指示記号および前記第２指示記号の前記受信された一つに関連している前記第１暗号化アルゴリズムまたは前記第２暗号化アルゴリズムにさらに基づき、
前記受信クライアント装置が前記鍵ＤＮＡを受信するステップは、前記ブローカ装置から前記第１指示記号および前記第２指示記号の前記一つを受信することをさらに含み、
前記受信クライアント装置が前記鍵を生成するステップは、前記第１指示記号および前記第２指示記号の前記受信された一つに関連している前記第１暗号化アルゴリズムまたは前記第２暗号化アルゴリズムにさらに基づく、
請求項１から請求項１６のいずれか一項に記載の方法。
【請求項18】
前記ブローカ装置は、前記送信クライアント装置および前記受信クライアント装置を含む信頼環境での動作を管理する第１ブローカ装置であり、前記信頼環境は、前記信頼環境での動作を管理する第２ブローカ装置をさらに含み、前記方法は、前記第１ブローカ装置から前記第２ブローカ装置へ前記送信クライアント装置の管理を引き継ぐこと、
をさらに含む、請求項１から請求項１７のいずれか一項に記載の方法。
【請求項19】
前記送信クライアント装置および前記ブローカ装置は、前記送信クライアント装置からの通信が前記ブローカ装置によって管理される信頼環境で動作し、前記方法は、リーシュ装置を前記送信クライアント装置に電子的に関連付けることと、
前記送信クライアント装置が、前記リーシュ装置からトークンを受信することと、
前記リーシュ装置を動作させ、前記トークンの暗号化ハッシュを前記ブローカ装置に送信することと、
前記ブローカ装置が通信を受信することであって、前記通信は、前記送信クライアント装置から送信されかつトークンを含む可能性がある、通信を受信することと、
前記受信された通信に応じて、前記ブローカ装置を動作させ、前記受信されたトークンから暗号化ハッシュを算出することと、
前記ブローカ装置を動作させ、前記算出された暗号化ハッシュを前記リーシュ装置から受信された前記暗号化ハッシュと比較することと、
前記ブローカ装置が、前記受信された通信が前記送信クライアント装置から送られたかどうかを前記比較に基づいて決定することと、
をさらに含む、請求項１から請求項１８のいずれか一項に記載の方法。
【請求項20】
前記送信クライアント装置は、第１ノードに設定され、前記受信クライアント装置は、第２ノードに設定され、前記第１ノードおよび前記第２ノードは、前記ブローカ装置で仮想的に定められ、さらに前記第１ノードおよび前記第２ノードは、前記ブローカ装置で定められたプールによって関連付けられる、請求項１から請求項１９のいずれか一項に記載の方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、安全な電子データ転送を対象とする。より具体的には、一時的な鍵を使用してデータを暗号化および復号するためのシステムおよび方法に関する。
【背景技術】
【0002】
サイバーセキュリティ、より具体的には個人情報およびコンピュータ装置情報の保護は、個人および国の懸念事項になっている。データおよびハードウェアの侵害は増え続けている。個人情報の窃盗、ランサムウェア、医療機器への侵入、サイバーカージャック、エネルギグリッドへのサイバー攻撃、金融サービスおよび銀行へのハッキング、並びに医療と健康に関する情報の窃盗は、個人、民間企業の従業員および政府の間に重大な懸念をもたらす。
【0003】
コード化されたデータの安全な転送を提供することは、公開鍵と秘密鍵の使用、信頼できる証明書技術、および／またはトークン化を含む。これらの技術の使用は、データのセキュリティを強化するために使用される場合には効果的であるが、基本的なデータの柔軟性および最適ではない使用がトレードオフになる。このバランスの問題の解決策は、データ使用の柔軟性の向上を優先することに傾き、個人情報やコンピュータ装置の識別情報の保護の脆弱化につながることがよくある。
【0004】
暗号化は、機密情報の電子転送でよく使用される。これにより、送信される情報、メッセージ、データパッケージなどは、許可された関係者のみがアクセスできるように暗号化またはコード化される。暗号化方式は通常、疑似ランダム鍵を使用して対象の情報を暗号化／復号する。暗号化自体は、許可されていない受信者がメッセージまたは暗号化された情報を傍受するのを防止しない。ただし、許可された閲覧者のみが、暗号化された情報を復号するために必要な鍵にアクセスでき、鍵がないと、権限のないユーザは情報を簡単には復号できない。
【0005】
電子データ転送の安全な暗号化では、対称方式（秘密鍵／秘密鍵）または非対称方式（公開鍵／秘密鍵）を使用できる。これらの（および他の）鍵ベースの暗号化アーキテクチャでは、対象の鍵はランダムに生成されるが、少なくとも秘密鍵は比較的長期間保存されることがよくある。保存された鍵は、攻撃（サイバー攻撃など）の対象になる。許可されていないユーザが秘密鍵にアクセスすると、傍受された暗号化された情報は安全ではなくなる。暗号化鍵への攻撃を防ぐために、暗号化鍵管理システムが開発されてきた。例えば、特定の組織によって維持されている秘密鍵の電子リポジトリ（または鍵管理サーバ）を暗号化でき、電子データベースにアクセスするために必要な鍵またはその他の情報を別の場所に保存できる。この追加されたセキュリティ層も攻撃の対象となり、実装が複雑になり、維持にコストがかかり得る。さらに、または代わりに、組織は、全ての保存されている鍵を定期的に非アクティブ化（または無効化）して、新しい鍵に置き換えることを要求する場合がある。このアプローチも同様に費用がかかり、非効率的である。
【発明の概要】
【0006】
本開示の発明者は、上記の問題の１つまたは複数に対処する必要性を認識した。
【0007】
本開示のいくつかの態様は、安全な電子データ転送のためのシステムに関する。本開示のいくつかの態様は、安全な電子データ転送のための方法に関する。
【図面の簡単な説明】
【0008】
【発明を実施するための形態】
【0009】
本開示のいくつかの態様は、データの安全な電子転送のためのシステムおよび方法を対象とする。本開示の原理による、および本開示の方法を実行できるシステム１０の一例が図１に示されている。システム１０は、ブローカ装置２０と、第１クライアント装置２２および第２クライアント装置２４などの２つ以上のクライアント装置と、選択的なインタセプタ装置２６とを含む。ブローカ装置２０は、少なくともプロセッサおよびメモリを有するコンピュータまたはコンピュータ装置であり得るか、またはそれに類似し得る。ブローカ装置２０は、いくつかの非限定的な実施形態では、当技術分野で知られているコンピュータサーバ（例えば、一般的なサーバクラスのオペレーションシステム（例えば、リナックス（登録商標）（Ｌｉｎｕｘ（登録商標）））を実行する、一つまたは複数の専用の市販の（例えば、マルチコアプロセッサ、ＲＡＭ、ネットワークインタフェースアダプタ、ハードドライブを有する）ハードウェアサーバ）である。他の実施形態では、ブローカ装置２０は、複数のそのようなサーバ、ソリッドステートドライブ、および／または他の適用可能な高性能ハードウェアを含む拡張可能なインフラストラクチャ全体に実装できる。クライアント装置２２、２４および（提供される場合）インタセプタ装置２６は、当技術分野で知られているデスクトップコンピュータ、ラップトップコンピュータ、スマートフォン、チップセット、システムオンチップ、ＡＳＩＣ等の、少なくともプロセッサおよびメモリを有するコンピュータまたはコンピュータ装置であり得るか、またはそれらに類似し得る。装置２０、２２、２４、２６は、当技術分野で知られているように、無線通信システム、有線通信システムなどのように、様々な方法で互いに電子的に通信するように構成される。
【0010】
参考として、本開示のシステムおよび方法は、鍵を用いてデータが暗号化および復号される暗号化アーキテクチャを使用して、例えば、信頼環境内での安全なデータ転送を容易にする。本開示の安全な通信のための鍵の作成および配布の調整は、いくつかの実施形態では、「デバイスアクセスセキュリティブローカ」または「ＤＡＳＢ」と呼ばれ得る。以下でより詳細に説明するように、適切なプログラミング（すなわち、コンピュータプログラム、ソフトウェア、ハードウェア、ファームウェアなど）は、ブローカ装置２０、クライアント装置２２、２４、および（提供される場合）インタセプタ２６のそれぞれに組み込まれまたは提供され、本開示の方法を実行するために調整された方法で動作する。
【0011】
例えば、ソフトウェアまたはモジュール３０（「ＤＡＳＢブローカソフトウェア」）は、ブローカ装置２０に組み込まれ、またはブローカ装置２０によって操作される。ＤＡＳＢブローカソフトウェア３０は、以下に説明するように、事前鍵データ（または「鍵ＤＮＡ」）の生成を実装するプログラミングを含む。鍵ＤＮＡは、暗号化鍵（例えば対称鍵）の後続の作成を可能にする（または「シード」として機能できる）完全なまたは部分的なデータに関連する。ＤＡＳＢブローカソフトウェア３０は、以下に説明するように、完全なまたは部分的なモニカ（Moniker）の生成を実装するプログラミングをさらに含むことができる。モニカは、対応する鍵ＤＮＡの短縮識別子（例えば文字列）に関連する。いくつかの非限定的な実施形態では、ＤＡＳＢブローカソフトウェア３０は、後述するように、システム１０内の２つの装置間、例えば、第１クライアント装置２２および第２クライアント装置２４の間で、要求されたデータ転送を許可または拒否するルールエンジンまたはモジュール３２を動作させる。本開示を通じて使用されるように、ＤＡＳＢブローカソフトウェアが読み込まれた（または当該ソフトウェアを操作する）ブローカ装置は、「ブローカ」と呼ばれる。したがって、例えば、図１のブローカ装置２０は、システム１０のブローカとも呼ばれ得る。
【0012】
ソフトウェアまたはモジュール４０（「ＤＡＳＢクライアントソフトウェア」）は、第１クライアント装置２２に組み込まれる。ＤＡＳＢクライアントソフトウェア４０は、ＤＡＳＢブローカソフトウェア３０と相互作用して、受信した鍵ＤＮＡに基づいて暗号化鍵（例えば、対称鍵）を生成し、第１クライアント装置２２によって実行される１つまたは複数のアプリケーションと相互作用するようにプログラムされる。例えば、そのようなアプリケーション４２の１つは、図１の第１クライアント装置２２について一般的に識別されている。アプリケーション４２は、一般に、第１クライアント装置２２に格納されていると反映されるが、他の実施形態では、対象のアプリケーションは、第１クライアント装置２２に格納されず、代わりに、例えば、第１クライアント装置２２と通信する同じローカルネットワーク（ＬＡＮ）内の別のコンピュータ装置で動作する。アプリケーション４２は、データベースプログラム、デジタル文書プログラム（例えば、ＰＤＦ）、ワードプロセッサ、スプレッドシート、メッセージプログラム（例えば、電子メール）、ＣＡＤ等のエンドユーザのために設計または作成された任意のプログラム、またはグループまたは複数のプログラムであり得る。ＤＡＳＢクライアントソフトウェア４０とアプリケーション４２との間の相互作用は、以下でより詳細に説明される。より一般的には、アプリケーション４２は、第１クライアント装置２２に組み込まれたときＤＡＳＢクライアントソフトウェア４０と相互作用するように記述またはコード化され得、ソフトウェアパッチまたはプラグインは、アプリケーション４２とＤＡＳＢクライアントソフトウェア４０との間の相互作用を容易にするアプリケーション４２にコード化されまたは組み込まれ得、または他の既知のコンピュータプログラミング技術が使用され得る。
【0013】
ＤＡＳＢクライアントソフトウェア５０はまた、第２クライアント装置２４に組み込まれ得る。第２クライアント装置２４上のＤＡＳＢクライアントソフトウェア５０は、いくつかの実施形態では、第１クライアント装置２２に組み込まれたＤＡＳＢクライアントソフトウェア４０と同一であり得る。これを念頭に置いて、ＤＡＳＢクライアントソフトウェア５０は、第２クライアント装置２４に格納され、当該装置２４によって実行される１つまたは複数のアプリケーションと相互作用し、そのうちの１つは、図１の５２で一般的に識別される。第２クライアント装置２４に関連付けられたアプリケーション５２は、第１クライアント装置２２のアプリケーション４２に関する上記された任意の形態を有することができる。図１の破線で示されるように、第１クライアント装置２２に関連付けられたアプリケーション４２および第２クライアント装置２４に関連付けられたアプリケーション５２は、コンピュータ制御されたネットワークの一部など公知の技術および手法を用いて互いに電子的に通信できる。
【0014】
インタセプタ２６が提供される選択的な実施形態では、制御ソフトウェア６０（「インタセプタソフトウェア」）がインタセプタ２６に組み込まれ得る。制御ソフトウェア６０は、以下により詳細に説明されるように、ＤＡＳＢブローカソフトウェア３０と相互作用するようにプログラムされ、ＤＡＳＢブローカソフトウェア３０からの承認要求の受信およびＤＡＳＢブローカソフトウェア３０へのそのような要求に対する決定の伝達を含む。これに関して、インタセプタ２６のフォーマットと連携する制御ソフトウェア６０は、承認要求情報を人間のユーザに選択的に提供（例えば、視覚的に表示）し、および／または特定の承認要求への人間のユーザの決定の伝達を容易にできる。他の実施形態では、システム１０は、いくつかの電子送信要求がインタセプタ２６を通過するように要求されるが、他の送信要求はそうではないように設定され得る（例えば、第１クライアント装置２２のアプリケーションから第２クライアント装置２４のアプリケーションにデータを転送する要求は、承認のためにインタセプタ２６を通過しなければならないが、第２クライアント装置２４のアプリケーションから第１クライアント装置２２のアプリケーションにデータを転送する要求は、承認のためにインタセプタ２６を通過する必要はない）。他の実施形態では、インタセプタ２６（したがって、制御ソフトウェア６０）は省略され得る。
【0015】
図２Ａから図２Ｃおよび図３から図１１のフローチャートおよびブロック図は、本開示の様々な構成要素の機能および動作とともに、本開示のいくつかの方法および構成を示している。これに関して、フローチャートのブロックのいくつかは、特定の論理機能を実装または実行するための１つまたは複数の実行可能命令を含む、本開示のプログラムのモジュールセグメントまたはコードの一部を表すことができる。他の実施形態では、様々なブロックに記載されている機能は、示されている順序とは異なる順序で生じてもよい。
【0016】
【0017】
第１クライアント装置２２のＤＡＳＢクライアントソフトウェア４０は、ステップ１００でＤＡＳＢブローカソフトウェア３０に設定される（例えば、ＤＡＳＢクライアントソフトウェア４０が第１クライアント装置２２に読み込まれまたは格納される場合、第１クライアント装置２２は、ステップ１００で、ＤＡＳＢブローカソフトウェア３０で、または当該ソフトウェア３０によって、設定されると考えられ得る。第１クライアント装置２２が別個のポータルを通じてＤＡＳＢクライアントソフトウェア４０を動作する場合、ステップ１００の設定は、ＤＡＳＢクライアントソフトウェア４０単独を設定すると考えられ得る）。第２クライアント装置２４のＤＡＳＢ第２クライアントソフトウェア５０は、同様に、ステップ１０２でＤＡＳＢブローカソフトウェア３０で設定される。設定は、さまざまなフォーマットを想定でき、後述されるように、ＤＡＳＢブローカソフトウェア３０、第１クライアント装置２２のＤＡＳＢクライアントソフトウェア４０、および第２クライアント装置２４のＤＡＳＢクライアントソフトウェア５０の１つまたは複数でさまざまな情報の生成を含み得る。いくつかの実施形態では、ステップ１００での設定は、第１クライアント装置２２のＤＡＳＢクライアントソフトウェア４０のための固有のクライアントＩＤ（または「第１クライアントＩＤ」）を定めることと、ＤＡＳＢブローカソフトウェア３０を備えるブローカ装置２０および第１クライアント装置２２のＤＡＳＢクライアントソフトウェア４０に第１クライアントＩＤを格納することとを含む。第１クライアントＩＤは、第１クライアント装置２２によって操作されるように、ＤＡＳＢ第１クライアントソフトウェア４０に固有である。同様に、ステップ１０２での設定は、第２クライアント装置２４のＤＡＳＢクライアントソフトウェア５０のための固有のクライアントＩＤ（または「第２クライアントＩＤ」）を定めることと、ＤＡＳＢブローカソフトウェア３０を備えるブローカ装置２０および第２クライアント装置２４のＤＡＳＢクライアントソフトウェア５０に第２クライアントＩＤを格納することとを含む。第２クライアントＩＤは、第２クライアント装置２４によって操作されるように、ＤＡＳＢ第２クライアントソフトウェア５０に固有である。
【0018】
本開示全体で使用されるように、割り当てられたＤＡＳＢクライアントソフトウェア（またはクライアント装置上に実装できる後述される機能の他のセット）を読み込んだまたは操作する、ＤＡＳＢブローカソフトウェア５０（またはより簡単にブローカ）によって設定された、任意の種類の「クライアント装置」は、「ＤＡＳＢクライアント」と呼ばれる。本開示の信頼環境では、ＤＡＳＢクライアントはブローカとおよび相互に通信する。この用語をさらに確認するために、第１クライアント装置２２は、ステップ１００の後、ＤＡＳＢクライアントとみなされるか、または呼ばれ得、ステップ１０２の後、第２クライアント装置２４も同様にされ得る。したがって、例えば、図１の信頼環境では、第１および第２クライアント装置２２、２４は、第１および第２ＤＡＳＢクライアント２２、２４とも呼ばれ得る。
【0019】
図２Ａから図２Ｃに関係する残りの方法は、送信者から受信者への対象のデータ転送を参照することで、より簡単に理解され得る。説明を容易にするために、１つの非限定的な例は、第１ＤＡＳＢクライアント２２のアプリケーション４２から第２ＤＡＳＢクライアント２４のアプリケーション５２への対象のデータ転送の状況にある。これに対応するが、限定的ではない一例として、以下の説明では、それぞれ、第１ＤＡＳＢクライアント２２は、ＤＡＳＢクライアントソフトウェア４０とともに、「送信ＤＡＳＢクライアント」として機能し、言い換え可能に呼ばれ、第１ＤＡＳＢクライアント２２に関連付けられたアプリケーション４２は、「送信ＤＡＳＢクライアントソフトウェア」および「送信アプリケーション」と言い換え可能に呼ばれる。それぞれ、第２ＤＡＳＢ装置２４は、ＤＡＳＢクライアントソフトウェア５０とともに、「受信ＤＡＳＢクライアント」として機能し、言い換え可能に呼ばれ、アプリケーション５２は、「受信ＤＡＳＢクライアントソフトウェア」および「受信アプリケーション」と言い換え可能に呼ばれる。
【0020】
いくつかの選択的な実施形態では、ステップ１０４で、プールがＤＡＳＢブローカソフトウェア３０上に作成され、これは一般に、送信ＤＡＳＢクライアント２２が割り当てられたプール識別子の下で受信ＤＡＳＢクライアント２４に情報を送信することを可能にする。プール識別子は、人間が読み取り可能な識別子を備えた、システム１０の２つの設定されたクライアント装置間の仮想関係として機能する。この１つの例では、定められたプールは２つのクライアント装置（つまり、送信ＤＡＳＢクライアント２２と受信ＤＡＳＢクライアント２４）のみを含むが、他の状況では、特定のプールは３つまたはそれ以上のＤＡＳＢクライアント（たとえば、第１ＤＡＳＢクライアントを許可するプール）を含み得る（例えば、第１ＤＡＳＢクライアント２２がＤＡＳＢクライアントのグループ（例えば、技術グループ、販売グループなどの組織の特定のサブセットに関連付けられたＤＡＳＢクライアントのグループ）に情報を送信することを可能にするプール）。プールは、様々な方法で作成または生成され得、いくつかの実施形態では、ＤＡＳＢブローカソフトウェア３０を介してプールおよび対応するプール識別子を手動で入力または登録するブローカ２０の許可された管理者を含むことができる。規則（ルール）は、例えば、暗号化および／または復号（または他のトランザクション）を求める要求の承認がインタセプタ２６を介して遮断されなければならないかどうか、特定の受信装置アプリケーションが受信データを復号するために必要な時間の長さなどが、特定のプールに選択的に含まれ得る。いくつかの任意選択の実施形態では、プールおよびプール識別子（および特定のプールに関連する任意の規則）は、ルールエンジン３２に保存される。
【0021】
そのように作成されたプールに割り当てられたプール識別子は、例えば、送信ＤＡＳＢクライアント２２に関連する１つまたは複数のアプリケーション（例えば、送信ＤＡＳＢクライアント２２に関連付けられた送信アプリケーション４２）に、またはそれによって、例えば、対象のアプリケーションの作成者、特定のプールの作成者（たとえば、許可された管理者）などによって、格納される。特定のクライアントデバイスに関連付けられた（またはそれによって使用されている）異なるアプリケーションが、同じプールのセットを使用してもよいし、使用しなくてもよい。プールは完全に分離されているか、同じであるか、またはいくらか重複していてもよい。さらなる他の実施形態では、特定のクライアント装置に関連付けられた（またはそれによって使用されている）アプリケーションは、プール識別子のリストを提供する「ディレクトリサービス」にアクセスできる。
【0022】
図１は、千鳥状の破線の矢印「プールＡＢ」によって、例示的な例のプールを概略的に示している（千鳥状の破線の矢印プールＡＢは、明確なデータ経路を反映することを意図していないことが理解される）。参考として、ステップ１０４で作成されたプールは、代わりに、（第１ＤＡＳＢクライアント２２のみが第２ＤＡＳＢクライアント２４への送信を許可されるのとは対照的に）第１ＤＡＳＢクライアント２２および第２ＤＡＳＢクライアント２４が互いに情報を送信することを概して許可されるように指定できる。これらの状況下では、割り当てられたプール識別子は、第２ＤＡＳＢクライアント２４に関連付けられた１つまたは複数の対象のアプリケーション（例えば、アプリケーション５２）に、またはアプリケーションによって格納されるであろう。ブローカ２０に格納される割り当てられたプール識別子に関連付けられたプーリング規則は、もしあれば、時間の経過とともに（例えば、許可された管理者によって）変更または修正され得る。さらなる他の実施形態では、本開示の方法は、データの暗号化、転送、および復号の一部として定められたプールへの実装またはアクセスを含まず、ステップ１０４（およびプールに関して後述される他のステップ）は省略され得る。
【0023】
ステップ１０６において、送信アプリケーション４２は、受信アプリケーション５２に送信するために送信アプリケーション４２のデータ（「データＸ」）を暗号化するように送信ＤＡＳＢクライアントソフトウェア４０に要求するように動作される（そうでなければ、受信クライアント装置２４上で動作する）。上述されているように、送信アプリケーション４２が記述されるか、またはソフトウェアプラグインまたはパッチがインストールされ、それによって、送信アプリケーション４２は、（例えば、暗号化のユーザ指示の要求または同様の安全な送信要求に応答して）暗号化動作のために送信ＤＡＳＢクライアントソフトウェア４０と自動的に相互作用する。
【0024】
ステップ１０８において、およびステップ１０６での要求に応答して、送信ＤＡＳＢクライアント２２は、ブローカ２０に鍵ＤＮＡを求める要求（「要求Ｘ」）を通信する。ステップ１０８での要求の一部として、送信ＤＡＳＢクライアント２２は、ブローカ２０に第１クライアントＩＤおよび要求プール識別子を提供する。要求プール識別子は、上記のプール識別子に対応する形式であり、転送されるデータの意図された受信先を示す。したがって、この一例では、要求Ｘは、送信ＤＡＳＢクライアント２２のアプリケーションから受信ＤＡＳＢクライアント２４のアプリケーションに情報を転送する意図を示す要求プール識別子を含むであろう。参考として、送信ＤＡＳＢクライアント２２からブローカ２０への鍵ＤＮＡの次の要求には、同じ第１クライアントＩＤが含まれる。しかし、これらの次の要求で提供される要求プール識別子は、対象の受信先の機能と異なってもよい。
【0025】
いくつかの選択的な実施形態では、ステップ１１０において、ブローカ２０は、格納されたプールを確認して、要求Ｘを許可または拒否する。例えば、ＤＡＳＢブローカソフトウェア３０は、要求プール識別子（要求Ｘで提供される）を格納されたプール識別子と比較するように動作できる。一致するものが見つからない場合、要求Ｘは拒否される（つまり、ブローカ２０が、送信ＤＡＳＢクライアント２２が受信ＤＡＳＢクライアント２４にデータを転送することを許可することは関係ない）。さらに、ブローカ２０は、一致したプール識別子に関連付けられた規則があれば規則を確認するように動作して、例えば、要求Ｘが規則を満たしているかどうか、他の動作が必要かどうかなどを決定できる（例えば、要求Ｘが午後１０時に受信され、一致したプール識別子に関連付けられた規則が午前８時から午後５時までの暗号化を許可する場合、規則は満たされず、要求Ｘは拒否される）。さらなる他の選択的な実施形態では、本開示のシステムおよび方法は、（例えば、特定のクライアント装置からクライアント装置への情報の転送のためにプールが作成または利用されない状況下で）ステップ１１０を省略できる。
【0026】
ステップ１１０において、ブローカ２０が要求Ｘを拒否した場合（「ＮＯ」）、ブローカ２０は、送信ＤＡＳＢクライアント２２に鍵ＤＮＡを提供せず、データＸは暗号化され得ない（ステップ１１２）。ステップ１１０において、ブローカ２０が要求Ｘを受け入れる場合（「ＹＥＳ」）、ＤＡＳＢブローカソフトウェア３０は、ステップ１１４において、鍵ＤＮＡ（「鍵ＤＮＡ Ｘ」）および一致するモニカ（「モニカＸ」）を生成する。下記でより詳細に記載されるいくつかの選択的な実施形態では、１つまたは複数のさらなるステップが、ステップ１１０とステップ１１４との間に発生してもよい（例えば、インタセプタ２６は、要求Ｘを承認または拒否するように指示され得る）。ステップ１１６において、鍵ＤＮＡ ＸおよびモニカＸは、鍵の値の対としてブローカ２０に格納される。鍵ＤＮＡ ＸおよびモニカＸは、ステップ１１８で送信ＤＡＳＢクライアント２２に送られる。
【0027】
ステップ１２０において、送信ＤＡＳＢクライアントソフトウェア４０は、供給された鍵ＤＮＡ Ｘに少なくとも部分的に基づいて対称鍵（「鍵Ｘ」）を生成する。送信ＤＡＳＢクライアントソフトウェア４０は、インストールされた鍵ソフトウェアプログラミング、例えば高度暗号化標準（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ：ＡＥＳ）などの既知の暗号化アルゴリズム、を含むかまたは利用する。生成された鍵Ｘは鍵ＤＮＡ Ｘ（および選択的には他の場所で生成されたビット）に基づいているが、鍵Ｘは鍵ＤＮＡ Ｘと同一ではない。
【0028】
ステップ１２２において、送信ＤＡＳＢクライアントソフトウェア４０は、例えば既知の暗号化技術を介して、鍵Ｘを使用してデータＸを暗号化し、暗号化されたデータＸをもたらす。暗号化されたデータＸおよびモニカＸは、ステップ１２３において送信ＤＡＳＢクライアントソフトウェア４０によって送信アプリケーション４２に通信される。暗号化されたデータＸが完了すると、送信ＤＡＳＢクライアントソフトウェア４０は、ステップ１２４において鍵Ｘを除去するか、または永久に削除するように動作する。言い換えれば、ステップ１２４の後は、鍵Ｘは保存されず、送信ＤＡＳＢクライアント２２上に存在しない。
【0029】
送信ＤＡＳＢクライアント２２は、ステップ１２６において、暗号化されたデータＸおよびモニカＸを受信ＤＡＳＢクライアント２４に電子的に送信する。例えば、送信アプリケーション４２は、暗号化されたデータＸおよびモニカＸを受信アプリケーション５２に電子的に送信するように動作する。参考として、送信アプリケーション４２は、対応する送信ＤＡＳＢクライアントソフトウェア４０を使用して暗号化処理を完了した後、どのように暗号化されたデータＸを配信するか選択できる。ＳＭＴＰ（電子メール）、ＦＴＰ、ドロップボックス（ＤｒｏｐＢｏｘ）またはその他のコンテンツ共有サービスを介して、携帯用媒体などに保存される。より一般的には、クライアントアプリケーションは、対応するＤＡＳＢクライアントソフトウェアを暗号化されるデータとともに呼び出すと、割り当てられたモニカと暗号化されたデータペイロードが返される（例えば、上記のステップ１２３）。本開示の基礎構造を使用するように記述されたアプリケーションは、暗号化されたデータを別のクライアント装置／アプリケーションに電子的に送信するときに、割り当てられたモニカおよび暗号化されたペイロードを提供する必要があることを「知る」だろう。いくつかの実施形態では、モニカを暗号化されたデータペイロードから区別することは、クライアント装置が公開するＡＰＩの一部である。ペイロードのハッシュを計算することによってモニカを導出できる場合、ペイロードの前にモニカを付けるなど、他のバリエーションも受け入れられる。
【0030】
ステップ１２８において、受信アプリケーション５２は、暗号化されたデータＸを暗号化されたものとして識別し、受信ＤＡＳＢクライアントソフトウェア５０に復号を要求するように動作される（または自動的に動作する）。この例に関して、送信アプリケーション４２および受信アプリケーション５２は同じタイプであると想定される（例えば、両方ともワードプロセッサである）。参考として、受信アプリケーション５２の自動呼び出しは、オペレーティングシステム（ＯＳ）レベルの機能にできる。これは、さまざまな環境でさまざまに機能する便利な機能であり、特定のアプリケーションがコンテンツをどのようにパッケージ化したかによって決まり得る。ほとんどのＯＳでは、アプリケーションの自動起動は、受信したデータのファイル拡張子によって起動される。非限定的な実装の１つでは、受信したモニカ（モニカＸ）、暗号化されたペイロード（暗号化されたデータＸ）、および場合によっては他のメタデータは、拡張子「．ｄｏｃｓｅｃｒｅｔ」（または同様の拡張子）を付けて受信クライアントアプリケーションに配信するために、ファイルにまとめられる。この拡張機能を探すようにＯＳに登録されたアプリケーションは、モニカと暗号化されたペイロードのファイルを解析する方法を認識し、ステップ１２８での復号要求の一部としてこれらのビットをＤＡＳＢクライアントソフトウェア５０に供給するようにプログラムされる。より一般的には、受信アプリケーションは、様々な方法で対応するＤＡＳＢクライアントソフトウェアと相互作用できる。ＤＡＳＢクライアントソフトウェアは、復号操作を実行するために自動的にまたは意図的に呼び出すことができ、当業者に明らかであるような、多くの様々な方法のいずれかで暗号化されたデータの存在を知らされ得る。
【0031】
ステップ１３０において、およびステップ１２８での要求に応答して、受信ＤＡＳＢクライアント２４は、鍵ＤＮＡを求める要求をブローカ２０に通信する。ステップ１３０での要求の一部として、受信ＤＡＳＢクライアント２４は、ブローカ２０に（要求が鍵ＤＮＡ Ｘに有効に固有であるように）モニカＸおよび割り当てられたクライアントＩＤ（すなわち、説明された例では、第２クライアントＩＤ）を提供する。
【0032】
後述されるいくつかの選択的な実施形態では、ブローカ２０が動作して受信ＤＡＳＢクライアント２４に鍵ＤＮＡ Ｘを提供する前に、承認動作が実行される。例えば、インタセプタ２６が提供される実施形態では、鍵ＤＮＡ Ｘを受信ＤＡＳＢクライアント２４に転送する要求は、承認のために最初にインタセプタ２６を通過しなければならないことが要求され得る。この要件は、システム１０の普遍的な規則であり得、または第１ＤＡＳＢクライアント２２から第２ＤＡＳＢクライアント２４への転送に固有の規則であり得る。ブローカ２０は、復号するための鍵ＤＮＡを求める要求で提供されたモニカ（すなわち、例ではモニカＸ）に基づいて関連情報（例えば、インタセプタ２６の使用、プール識別子またはプーリング規則、システム１０におけるクライアント装置構成員など）を決定または検索できる。
【0033】
ステップ１３２において、ブローカ２０は、供給されたモニカに対応する鍵ＤＮＡを検索する（すなわち、ＤＡＳＢブローカソフトウェア３０は、モニカＸの格納された鍵の値の対を確認して、鍵ＤＮＡ Ｘを見つける）。ブローカ２０は、ステップ１３４において、検索された鍵ＤＮＡ Ｘを受信ＤＡＳＢクライアント２４に配信し、または配信するよう指示する。ステップ１３６において、ＤＡＳＢブローカソフトウェア３０は、（例えば、後述されているような別のイベントの発生に応じて、すぐに）鍵ＤＮＡ ＸおよびモニカＸをブローカ２０から削除するように動作する。
【0034】
ステップ１３８において、受信ＤＡＳＢクライアントソフトウェア５０は、少なくとも部分的に、供給された鍵ＤＮＡ Ｘに基づいて対称鍵を生成する。受信ＤＡＳＢクライアント２４は、送信ＤＡＳＢクライアント２２と同じインストールされた鍵ソフトウェアプログラミングを含むかまたは利用するため、鍵ＤＮＡ Ｘを使用して受信ＤＡＳＢクライアントソフトウェア５０によって生成される対称鍵は、ステップ１２０で送信ＤＡＳＢクライアントソフトウェア４０によって生成される対称鍵と同一である（すなわち、受信ＤＡＳＢクライアントソフトウェア５０は同じ鍵Ｘを生成する）。受信ＤＡＳＢクライアントソフトウェア５０は、ステップ１４０において、暗号化されたデータＸを復号して、データＸを得る（すなわち、ステップ１４０の後は、データＸは、受信アプリケーション５２で有用になる）。最後に、ステップ１４２において、受信ＤＡＳＢクライアントソフトウェア５０は、鍵Ｘを除去または永久に削除するように動作する。言い換えると、ステップ１４２の後は、鍵Ｘは格納されず、第２ＤＡＳＢクライアント２４上に存在しない。
【0035】
上記の方法では、電子的に転送されたデータを暗号化および復号するために利用される対称鍵は一時的なものであり、決してブローカ２０に存在しないまたは格納されない。従来の鍵ベースの暗号化システムおよび方法とは異なり、対称鍵はブローカ２０から不正に取得され得ず、複雑な鍵管理プロトコルは必要ない。さらに、一時的な対称鍵は、送信クライアント装置でデータを暗号化するために使用されると、その装置からすぐに削除される。同様に、一時的な対称鍵は、受信クライアント装置でデータを復号するために使用されると、その装置からすぐに削除される。
【0036】
いくつかの選択的な実施形態では、本開示のシステムおよび方法は、システム１０のＤＡＳＢクライアント（および特にＤＡＳＢクライアントによって動作されるストリーミングタイプのアプリケーション）間の安全なストリーミングタイプの通信を促進する。一般的に、モニカでデータのストリーミングを開始するためにユーザが作動させた動作の後、鍵の変更が強制的に発生する。鍵の変更の間、例えば、図１および図３を参照すると、ストリーミングアプリケーションは、送信ＤＡＳＢクライアント２２のアプリケーション１５０によって開始され、受信ＤＡＳＢクライアント２４のアプリケーション１５２に通信され得る。送信アプリケーション１５０は、送信ＤＡＳＢクライアント装置２２が鍵ＤＮＡを求める要求（図３の「鍵生成」）をブローカ２０に通信する「暗号化ストリーム」動作を開く。上記に応じて、鍵ＤＮＡ（および選択的にモニカ）がブローカ２０によって生成され（第１のそのような要求のための「鍵ＤＮＡ１」）、送信ＤＡＳＢクライアント２２に返される。送信ＤＡＳＢクライアントソフトウェア４０は、少なくとも部分的に、供給された鍵ＤＮＡに基づいて鍵を生成する（例えば、第１の例では、送信ＤＡＳＢクライアント２２は、鍵ＤＮＡ１に基づいて鍵１を生成する）。供給された鍵ＤＮＡおよび／または生成された鍵は、送信ＤＡＳＢクライアント２２によって「現在の鍵ＤＮＡ」および／または「現在の鍵」としてメモリに保存される（例えば、第１の例では、鍵ＤＮＡ１は現在の鍵ＤＮＡとして保存され、および／または生成された鍵１は現在の鍵として保存される）。送信ＤＡＳＢクライアントソフトウェア４０は、鍵を使用して、送信アプリケーション１５０でストリームのデータブロックまたはパケットを暗号化する。送信ＤＡＳＢクライアント２２は、ストリームの暗号化されたデータブロックまたはパケットを受信ＤＡＳＢクライアント２４に送信する。受信アプリケーション１５２は、ストリームの初期データブロックまたはパケットを受信すると、受信ＤＡＳＢクライアントが鍵ＤＮＡ１を求める要求（図３の「インデックス用の鍵を取得」）をブローカ２０に通信する「復号ストリーム」動作を開く。上記に応じて、ブローカ２０は鍵ＤＮＡ１を検索し、受信ＤＡＳＢクライアント２４に配信する。受信ＤＡＳＢクライアント２４は、鍵ＤＮＡ１に基づいて鍵１を生成する。受信ＤＡＳＢクライアント２４は、受信アプリケーション１５２による動作のために暗号化されたデータブロックまたはパケットを復号し、鍵ＤＮＡ１または鍵１の一方または両方を現在の鍵ＤＮＡまたは現在の鍵として保存する。
【0037】
送信アプリケーション１５０は、暗号化されているときに、または単一のデータブロックまたはパケットとしてすべて一緒に、暗号化されたデータを受信アプリケーション１５２に送信できる。とにかく、上記の処理は、ストリーミング通信中に継続し、データブロックまたはパケットは連続して暗号化される。連続するデータブロックまたはパケットごとに、送信アプリケーション１５０は、暗号化を求める要求を送信ＤＡＳＢクライアントソフトウェア４０に送信する（図３の「多くの暗号化ストリーム呼び出し」）。いずれの場合も、送信ＤＡＳＢクライアントソフトウェア４０は、ストリーミング通信鍵交代規則を参照して、現在の鍵または現在の鍵ＤＮＡが暗号化に利用され得るどうか、または新しい鍵が生成される必要があるかどうかを決定する。例えば、ストリーミング通信鍵交代規則は、特定の数のデータブロックが現在の鍵を使用して暗号化された後、および／または特定の時間の後に、鍵の交代または変更が必要であることを指示できる。ストリーミング通信鍵交代規則が現在の鍵の変更を要求しない限り、送信ＤＡＳＢクライアント２２に保存された現在の鍵（または現在の鍵ＤＮＡ）は、暗号化が要求されたデータブロックまたはパケットを暗号化するために利用される。同様に、連続して受信されるデータブロックまたはパケットごとに、受信アプリケーション１５２は、受信ＤＡＳＢクライアントソフトウェア５０に復号を求める要求を送信する（図３の「多くの復号ストリーム呼び出し」）。いずれの場合も、受信ＤＡＳＢクライアントソフトウェア５０は、送信ＤＡＳＢクライアントソフトウェア４０で利用されるのと同じストリーミング通信鍵交代規則を参照して、現在の鍵または現在の鍵ＤＮＡが復号に利用され得るかどうか、または新しい鍵が生成される必要があるかどうかを決定する。ストリーミング通信鍵交代規則が現在の鍵の変更を要求しない限り、受信ＤＡＳＢクライアント２４に保存された現在の鍵（または現在の鍵ＤＮＡ）は、復号が要求されたデータブロックまたはパケットを復号するために利用される。
【0038】
現在の鍵（または現在の鍵ＤＮＡ）を交代させる時間が近づくと、送信ＤＡＳＢクライアント２２は、ブローカ２０から新しい鍵ＤＮＡを取得するように指示または操作され（図３の「インデックス用の鍵を作成」）、受信ＤＡＳＢクライアント２４は、ブローカ２０から同じ新しい鍵ＤＮＡを取得するように指示または操作される（図３の「インデックス用の鍵を取得」）。上記の例を続けると、送信ＤＡＳＢクライアント２２と受信ＤＡＳＢクライアント２４の間のストリーミングタイプの通信の開始時に、鍵ＤＮＡ１が暗号化／復号に使用される鍵の基礎になる。ある時点で、送信ＤＡＳＢクライアント２２は、新しい鍵ＤＮＡ（鍵ＤＮＡ２）を要求しブローカ２０から受信し、新しい鍵（鍵２）の基礎として新しい鍵ＤＮＡを使用する。対応する要求が受信ＤＡＳＢクライアント２４から受信されると、ブローカ２０は、同じ新しい鍵ＤＮＡ２を受信ＤＡＳＢクライアント２４に配信する。ストリーミング通信鍵交代規則によって、鍵２は次の連続するデータブロックまたはパケットを暗号化／復号するために使用され、鍵２（および／または鍵ＤＮＡ２）は、ストリーミング通信鍵交代規則が新しい鍵を要求し、処理が繰り返されるまでの後続の暗号化／復号動作のために、送信ＤＡＳＢクライアント２２および受信ＤＡＳＢクライアント２４に現在の鍵（または現在の鍵ＤＮＡ）として保存される。他の実施形態では、新しい鍵ＤＮＡを求める要求は、ストリーミング通信鍵交代規則が鍵の交代を要求する正確な時点で行われ得るが、これは性能上の問題となる可能性がある。
【0039】
上記の選択的なストリーミングタイプの通信方法は、送信ＤＡＳＢクライアントが２つ以上の受信ＤＡＳＢクライアントにストリーミングすること（例えば、グループビデオ）によって実装され得る。このような状況では、送信ＤＡＳＢクライアントは、選択された受信クライアント装置の新しい鍵ＤＮＡへのアクセスを拒否することにより、受信ＤＡＳＢクライアントの１つ以上をストリーミング通信から効果的に切り離すように操作され得る。鍵交代の後、選択された受信クライアント装置は、受信した暗号化されたデータブロックまたはパケットを復号できなくなる。
【0040】
上記されているように、本開示のシステムおよび方法は、送信ＤＡＳＢクライアントが暗号化されたデータを単一の受信ＤＡＳＢクライアントに送信することに限定されない。送信ＤＡＳＢクライアント用の特定のプールが複数の受信ＤＡＳＢクライアントを指定する場合、送信ＤＡＳＢクライアントは、上述のように、要求された暗号化動作用の鍵ＤＮＡとモニカをブローカ２０から受信（または生成）し、対象のデータを暗号化して、送信側アプリケーションに提供する。送信アプリケーションは、暗号化されたデータおよびモニカ情報を、対象となる複数のＤＡＳＢクライアントのそれぞれに送信するように動作する。それぞれの個々の受信ＤＡＳＢクライアントは、上記のように動作する（例えば、受信アプリケーションは対応する受信ＤＡＳＢクライアントソフトウェアに暗号化されたデータを復号するように要求し、受信ＤＡＳＢクライアントはブローカ２０に対応する鍵ＤＮＡを要求する）。これらおよび関連する実施形態では、ブローカ２０は、（例えば、ブローカ２０は、指定されたプールの全てのクライアント装置が復号を要求するまで鍵ＤＮＡおよび対応するモニカを削除しない、ブローカ２０は、設定された期間の後に鍵ＤＮＡと対応するモニカを削除する、など）受信した復号要求に基づいてブローカ２０からの鍵ＤＮＡの削除を管理する規則でプログラムされ得る。
【0041】
本開示の方法により、ＤＡＳＢクライアント装置は、２つ（またはそれ以上）の信頼環境で動作でき、特定の信頼環境のブローカと相互作用するように設定され得る。例えば、第１ＤＡＳＢクライアント２２は、上記のようにシステム１０のブローカ２０と相互作用するように、および本開示の別個の信頼環境／システムの完全に異なるブローカと相互作用するように設定され得る。
【0042】
初期設定では、システム１０の１つのＤＡＳＢクライアントは、所定の信頼環境の制御下で別のＤＡＳＢクライアントとの信頼関係を確立する（特に、各ＤＡＳＢクライアントのＤＡＳＢクライアントソフトウェアは、同じブローカによって検証および制御される）。例えば、図１および図４を参照すると、第１ＤＡＳＢクライアント（「ＤＡＳＢクライアントＡ」）は、第１ブローカ（「ブローカＡ」）を有する第１信頼環境（「信頼環境Ａ」）によって制御される。第２ＤＡＳＢクライアント（「ＤＡＳＢクライアントＢ」）は、第２ブローカ（「ブローカＢ」）を有する第２信頼環境（「信頼環境Ｂ」）によって制御される。安全な調整を使用して、本開示のいくつかの非限定的な実施形態では、信頼環境ＡおよびＢは、ＤＡＳＢクライアントＡで生成されたペイロード（例えば、暗号化データ）が、それぞれの信頼環境Ａ、Ｂで見ることができる全ての適切な記録（ログ）等でＤＡＳＢクライアントＢによって首尾よく処理されることが可能なように構成され得る。例えば、ブローカＡによって生成され、暗号化鍵を生成するためにＤＡＳＢクライアントＡに提供される鍵ＤＮＡは、ＤＡＳＢクライアントＢに配信するためにブローカＢに提供され得る。
【0043】
別の例では、ＤＡＳＢクライアントは、最初の「所有」環境が制御や検証などを引き継いで１つの信頼環境から新しい環境に信頼関係を移行できる。例えば、ＤＡＳＢクライアントＡは、調整されて制御がブローカＡからブローカＢへと引き継がれるように、ブローカＡとブローカＢが相互に通信し、ＤＡＳＢクライアントＡと調整することにより、信頼環境Ａから信頼環境Ｂに転送できる。引き継ぎが完了すると、ＤＡＳＢクライアントＡは、信頼環境Ｂ内の別のＤＡＳＢクライアントとの信頼関係（例えば、ＤＡＳＢクライアントＢとの信頼関係）を自由に確立できる。参考として、「新しい」信頼環境は、いくつかの例では、対象の、間もなく転送されるＤＡＳＢクライアントのプレースホルダを作成し、転送するＤＡＳＢクライアントがさらなる構成を必要とせずにすぐに割り当てることができる。
【0044】
別の例では、信頼環境は複数の地域にまたがっている（つまり、さまざまなブローカが地理的に異なるデータセンタで実行されているが、それでも集合的に定義するか、単一の全体的な信頼環境の一部である）。システム／信頼環境の組織または所有者は、ＤＡＳＢクライアントの一部（例えば、対象のＤＡＳＢクライアントおよびブローカの１つ以上で定められたプログラムまたはその他の機能）を、特定の地域のブローカに「ピン止め」または制約されていることを示してもよい。しかし、他のＤＡＳＢクライアント（例えばスマートフォン）は、ローミングを許可されてもよい。どのブローカが選択されるかは、地理的ＩＰ規則によって決定される可能性があるが、期間や明示的な指示などの規則によって管理されてもよい。ローミングＤＡＳＢクライアントが地理的に異なるブローカに近づくと、その制御情報は前のブローカから自動的に転送される。つまり、全てのＤＡＳＢクライアントは１つの信頼環境の一部であるが、ＤＡＳＢクライアントのブローカ実装管理は、パフォーマンスを向上させるために地理的に近い場所に委任される。
【0045】
上記されているように、いくつかの選択的な実施形態では、本開示のシステムおよび方法は、インタセプタ２６の使用または動作を伴うことができる。例えば、いくつかの実施形態では、鍵ＤＮＡを求める要求がブローカ２０で受信された（すなわち、ステップ１１０）後、かつ要求に応答して鍵ＤＮＡが生成され、配信される（すなわち、ステップ１１４）前に、本発明の方法は、開示は、図５に示されるように、インタセプタ２６と相互作用することを含むことができる。例えば、図１および図５を参照すると、ステップ１１０の後、方法は、インタセプタ２６（および具体的には制御ソフトウェア６０）に鍵ＤＮＡのための受信された要求を、ステップ２００において、通知するブローカ２０を含むことができる。上記の例を続けると、インタセプタ２６は、要求Ｘについて通知される（そうでなければ、送信者ＤＡＳＢクライアント２２から受信者ＤＡＳＢクライアント２４に情報を転送する意図を示す要求プール識別子を含む）。いくつかの実施形態では、一般的な情報は、ステップ２００においてインタセプタ２６に提供される。他の実施形態では、文脈情報は、ステップ２００においてインタセプタ２６に提供される（すなわち、例えば、送信および受信クライアント装置、要求時間などの暗号化のための特定の要求に関するいくつかのレベルの情報をインタセプタ２６に提供する）。
【0046】
ステップ２０２において、インタセプタ２６は、要求Ｘの承認または拒否を促進するように動作される。例えば、インタセプタ２６は、要求Ｘに関連する情報を、許可された人間の管理者に提示（例えば、表示）でき、管理者は、要求を承認または拒否する。要求Ｘを承認または拒否する決定は、ステップ２０４でインタセプタ２６からブローカ２０に通信される。いくつかの選択的な実施形態では、ブローカ２０は、所定の時間（例えば、１分）後にインタセプタ２６から応答を受信しない場合、ブローカ２０は、ステップ２０６のように、要求Ｘの承認ステータスが保留中であることを送信ＤＡＳＢクライアント２２に通知する（このメッセージは、送信ＤＡＳＢクライアント２２のユーザに伝達され得る）。さらにステータスの更新が定期的に提供され得る。ステップ２０４において、要求Ｘが承認されたこと（「ＹＥＳ」）がブローカ２０に通知された場合、ブローカ２０は、上記のように鍵ＤＮＡ ＸおよびモニカＸを生成する（すなわち、方法は図２Ａのステップ１１４に続く）。ステップ２０４において、要求Ｘが拒否されたこと（「ＮＯ」）がブローカ２０に通知された場合、ブローカ２０は、送信ＤＡＳＢクライアント２２に鍵ＤＮＡを提供せず、データＸは暗号化され得ない（ステップ２０８）。他の選択的な実施形態では、システム１０は、インタセプタ２６が所定の期間後に承認の要求に応答しない状況下で、ブローカ２０が鍵ＤＮＡおよびモニカを生成して送信ＤＡＳＢクライアントに配信し、送信ＤＡＳＢクライアントは、受信した鍵ＤＮＡに基づいて鍵を生成し、そのように生成された鍵を使用して対象のデータを暗号化し、送信アプリケーションは、暗号化されたデータおよびモニカをインタセプタ２６に、暗号化されたデータおよびモニカを受信アプリケーションに送信できるか否かを決定するために、送信するように、構成されまたはプログラムされ得る。
【0047】
他の実施形態では、モニカＸを含む鍵ＤＮＡ Ｘを求める要求がブローカ２０で受信された（すなわち、ステップ１３０）後、かつ要求に応答して鍵ＤＮＡ Ｘが生成され配信される（すなわち、ステップ１３２）前に、本開示は、図６に示されるように、インタセプタ２６と相互作用することを含むことができる。例えば、図１および図６を参照すると、ステップ１３０の後、方法は、復号の目的のための鍵ＤＮＡ Ｘのための受信された要求を、ステップ２５０において、インタセプタ２６（および具体的には制御ソフトウェア６０）に通知するブローカ２０を含むことができる。いくつかの実施形態では、一般的な情報は、ステップ２５０でインタセプタ２６に提供される。他の実施形態では、文脈情報は、ステップ２５０でインタセプタ２６に提供される（すなわち、例えば、送信および受信クライアント装置、要求時間などの暗号化のための特定の要求に関するいくつかのレベルの情報をインタセプタ２６に提供し、そうでなければブローカ２０がプール、クライアント装置、インタセプタ規則等を検索できる割り当てられたモニカの情報を介してブローカ２０が利用でき、カスタマイズされたメッセージがインタセプタ２６に提供され得る）。
【0048】
ステップ２５２において、インタセプタ２６は、鍵ＤＮＡ Ｘを求める要求の承認または拒否を促進するように動作される。例えば、インタセプタ２６は、要求を許可された人間の管理者に提示（例えば、表示）でき、管理者は、要求を承認または拒否する。鍵ＤＮＡ Ｘを求める要求を承認または拒否する決定は、ステップ２５４で、インタセプタ２６からブローカ２０に通信される。いくつかの選択的な実施形態では、ブローカ２０は、所定の時間（例えば、１分）後にインタセプタ２６から応答を受信しない場合、ブローカ２０は、ステップ２５６のように、要求の承認ステータスが保留中であることを受信ＤＡＳＢクライアント２４に通知する（このメッセージは、受信ＤＡＳＢクライアント２４のユーザに伝達され得る）。さらにステータスの更新が定期的に提供され得る。ステップ２５４において、鍵ＤＮＡ Ｘを求める要求が承認されたこと（「ＹＥＳ」）がブローカ２０に通知された場合、ブローカ２０は上記のように鍵ＤＮＡ Ｘを検索する（すなわち、方法は図２Ｂのステップ１３２に続く）。ステップ２５４において、鍵ＤＮＡ Ｘを求める要求が拒否されたこと（「ＮＯ」）がブローカ２０に通知された場合、ブローカ２０は受信ＤＡＳＢクライアント２４に鍵ＤＮＡ Ｘを提供せず、暗号化データＸは復号され得ない（ステップ２５８）。
【0049】
上記されているように、本開示のいくつかの方法では、システム１０で利用される各ＤＡＳＢクライアントおよび対応するＤＡＳＢクライアントソフトウェアは、ブローカ２０との許可された安全な相互作用のために設定される（例えば、図２Ａのステップ１００および１０２）。ＤＡＳＢクライアントの設定は、様々な方法で達成され得、いくつかの実施形態では、特定のクライアント装置にインストールされたＤＡＳＢクライアントソフトウェアとブローカ２０との間の確認された安全な通信を容易にする。本開示の原理による設定のための方法の１つの非限定的な例が、図７に提供されている。参考として、ＤＡＳＢクライアントの設定動作を開始する前に、ＤＡＳＢクライアントソフトウェアがクライアント装置にインストールされ、ブローカ２０で動作するＤＡＳＢポータルに管理者アカウントが確立されている。
【0050】
ステップ３００において、管理者アカウント（「管理者」）を使用することを許可された人間のユーザは、ＤＡＳＢポータルに対して認証し、ＤＡＳＢクライアント設定処理を開始する。管理者はまた、ステップ３０２において、対象のクライアント装置上のＤＡＳＢクライアントソフトウェアに（ブラウザを介してまたはアプリケーション固有の表示を通じて）接続する。ステップ３０４において、ブローカ２０は、ＤＡＳＢポータルで管理者に提供されるコード（例えば、時間制限されたワンタイムコード）を生成する。ステップ３０６において、管理者は、対象のクライアント装置で（したがって、対応するＤＡＳＢクライアントソフトウェアに対して）コードを繰り返すか、または入力する。対象のクライアント装置のＤＡＳＢクライアントソフトウェアは、入力されたコードを使用して、ステップ３０８でブローカ２０と通信する。入力されたコードを受信すると、ブローカ２０は、ステップ３１０でＤＡＳＢクライアントＩＤおよびＤＡＳＢクライアント公開鍵を生成し、ステップ３１２において、これらは対象のクライアント装置のＤＡＳＢクライアントソフトウェアに通信される。管理者（または他の人間のユーザ）は、ステップ３１４において、ブローカ２０と対象のＤＡＳＢクライアントとの間の通信を検証し、対象のＤＡＳＢクライアントソフトウェアを設定されているものとして指定する。いくつかの実施形態では、ブローカ２０とそのように設定されたＤＡＳＢクライアントとの間の通信は、信頼できるまたは安全であると考えられる。ステップ３１６において、管理者が、ブローカ２０と対象のクライアント装置が安全に通信していないと判断した場合、対象のクライアント装置はブローカ２０から削除され、設定処理が再開される必要がある。例えば、偽造ＤＡＳＢクライアント装置が設定処理中にブローカ２０との通信を開始した場合（つまり、偽造ＤＡＳＢクライアント装置が認証情報を傍受した場合）、この通信により、管理者のクライアント装置がブローカ２０と通信できなくなる。管理者は、自分の装置が通信していないことに気付くため、偽の装置が接続されたことを認識する。
【0051】
本開示のいくつかの方法では、システム１０（または信頼環境）内のブローカ２０と任意のＤＡＳＢクライアントとの間の安全な通信は、当業者によって理解される鍵暗号化技術（例えば、対称鍵暗号化）を使用することによって提供される。これを念頭に置いて、本開示のいくつかの選択的な方法は、ブローカ－ＤＡＳＢクライアント通信に使用される鍵を交代させることによって、システム１０の各クライアント装置とブローカ２０との間の安全な通信を促進および確認する。例えば、図８を参照すると、本開示のいくつかの選択的な方法は、特定のクライアント装置の設定とともに、ステップ３５０において、ＤＡＳＢクライアントが固有のＤＡＳＢクライアント秘密鍵を定め、格納すること、および対象のＤＡＳＢクライアント（および選択的にブローカ）に格納されるＤＡＳＢクライアント公開鍵を定めることを含むことができる。ステップ３５２において、対象のブローカおよびＤＡＳＢクライアントは、ＤＡＳＢクライアント公開鍵に基づいて通信のための対称鍵を協議する。この協議された対称鍵は、安全な通信のための最初の「現在の」対称鍵として機能する。ステップ３５４において、対象のＤＡＳＢクライアントとブローカとの間の確認された安全な通信のための新しい対称鍵は、対象のＤＡＳＢクライアントによって定期的に（例えば、ランダムな間隔で）生成されるか、または対象のブローカとＤＡＳＢクライアントとの間で協議される。新しい対称鍵は、ステップ３５６において、現在の対称鍵と割り当てられたＤＡＳＢクライアント公開鍵を使用して暗号化され、対象のブローカまたはＤＡＳＢクライアントに転送される。ステップ３５８において、暗号化された新しい対称鍵は、（例えば、割り当てられたＤＡＳＢ秘密鍵によって）復号され、対象のブローカとＤＡＳＢクライアント間のその後の通信のために保存される（格納されている現在の対称鍵を新しい対称鍵に置き換える。言い換えれば、新しい対称鍵が現在の対称鍵になる）。
【0052】
ステップ３６０において、対象のＤＡＳＢクライアントのための新しいＤＡＳＢクライアント公開鍵は、ブローカによって定期的に（例えば、ランダムな間隔で）生成される。ブローカは、現在の対称鍵を使用して新しいＤＡＳＢクライアント公開鍵を暗号化し、ステップ３６２で対象のＤＡＳＢクライアントに転送する。ステップ３６４において、対象のＤＡＳＢクライアントは、暗号化された新しいＤＡＳＢクライアント公開鍵を復号し、ブローカとのその後の通信のために新しいＤＡＳＢクライアント公開鍵を保存するように動作される。
【0053】
上記により含意されているように、本開示のシステムおよび方法は、ＤＡＳＢクライアントとブローカ２０との間の通信を伴うセッション管理機能を提供する。例えば、ＤＡＳＢクライアントは、データペイロードを保護するために自身のセッションを管理することによってブローカ２０と通信できる（すなわち、ＤＡＳＢクライアントとブローカ２０との間の通信（コマンド、関連するデータペイロードなど）は、セキュリティプロトコルに従う）。本開示の鍵ＤＮＡ方法は、ＤＡＳＢクライアント間の安全な通信を容易にするが、セッション管理は、ブローカとＤＡＳＢクライアントとの間の安全な通信を提供する。図１および図９を参照すると、ブローカ２０とＤＡＳＢクライアント２２との間の本開示のセッション管理方法論の１つの非限定的な例は、ステップ４００において、ブローカ２０が、秘密／公開鍵の対を生成するために非対称暗号化アルゴリズム（例えば、ＲＳＡ）を利用することを含むことができる。ＤＡＳＢクライアント２２からの要求に応答して、ブローカ２０は、ステップ４０２において、そのように生成された公開鍵をＤＡＳＢクライアントに配信する。ＤＡＳＢクライアント２２は、ステップ４０４において、公開鍵を使用して、対称鍵を生成し、そのように生成された対称鍵を暗号化する。ステップ４０６において、ＤＡＳＢクライアント２２は、対称鍵を利用して、ブローカ２０に送信されるデータ（コマンド、ペイロードなど）を暗号化する。暗号化されたデータは、ステップ４０８でブローカ２０に配信される。ブローカは、ステップ４１０において、対称鍵を使用して、受信した暗号化されたデータを復号する。ステップ４１２において、ブローカ２０は、必要に応じて、受信した（そして現在は復号された）データに基づいて行動する。任意の応答通信、データ、コマンドなどは、ステップ４１４において、同じ対称鍵を使用して暗号化され、ＤＡＳＢクライアント２２に返される。特定の信頼環境内の各ＤＡＳＢクライアントはブローカ２０と安全に対話するためにこの同じセッション管理アプローチを使用できるが、独自の公開／秘密鍵／対称鍵のセットを持つことが理解される（例えば、第１ＤＡＳＢクライアント２２とブローカ２０との間の安全な通信のために使用される対称鍵は、第２ＤＡＳＢクライアント２４とブローカ２０との間の安全な通信に使用される対称鍵とは異なる）。いくつかの関連する非限定的な例では、各ＤＡＳＢクライアントは異なる非対称暗号化アルゴリズムを使用できる。
【0054】
いくつかの実施形態では、本開示のセッション管理機能またはモードは、選択的に、ランダムな間隔（例えば、１～１５分の間）で対称鍵を交代させることをさらに含むことができ、対象のＤＡＳＢクライアントによって制御され得る。秘密／公開鍵の対も交代され得るが、いくつかの実施形態ではより粗い間隔で交代され得る。これに関して、セッション管理機能またはモードは、例えば、システム１０の所有者または操作者の選好に基づいて、秘密鍵／公開鍵の対を交代するときに、異なる非対称暗号化アルゴリズムを選択することを含むことができる。非限定的な例として、システム１０の所有者または操作者は、セッション管理動作モードにおいて、システム１０が利用可能な暗号化アルゴリズムの群からランダムに選択するようにシステム１０を構成できる。ブローカは、特定の構成（プログラム）または特定の構成がない場合の所定の初期設定のいずれかを使用して、公開鍵／秘密鍵の対を生成するための適切な暗号化アルゴリズムを選択し、変更が必要な時間を監視する。ブローカは、ＤＡＳＢクライアントにセッション関連の対称鍵交代の時間間隔も提供する。ＤＡＳＢクライアントは、対称鍵交代期間ごとに１から指定された値までのランダムな時間間隔を選択するようにプログラムされている。新しいアルゴリズムが展開されると、各ＤＡＳＢクライアントの所有者は、対応するＤＡＳＢクライアントソフトウェアを更新して、これらの新しいアルゴリズムを利用できる。一例では、新しいアルゴリズムは、クライアント装置全体を更新することなく、既存の（および設定された）ＤＡＳＢクライアントへのパッチとしてクライアント装置ユーザが利用できるようにできる。
【0055】
いくつかの非限定的な実施形態では、本開示のシステムおよび方法は、ＤＡＳＢクライアント間でカスタマイズされた暗号化アルゴリズム（「ペイロード管理」とも呼ばれる）の実装を可能にする。例えば、システム１０の選択されたＤＡＳＢクライアント装置に提供されるＤＡＳＢクライアントソフトウェアは、システム１０の所有者または操作者が、ＤＡＳＢクライアントが（上述のようにブローカ２０から提供される鍵ＤＮＡを利用して）鍵を生成するカスタマイズされた暗号化アルゴリズムを入力できるようにする。例として、信頼関係にある２つのＤＡＳＢクライアント（例えば、ＤＡＳＢクライアントＡとＤＡＳＢクライアントＢ）は、カスタマイズされた暗号化アルゴリズムの同じ群を持っている必要がある。信頼環境の所有者または操作者は、これらのカスタマイズされた暗号化アルゴリズムを、指示記号（インジケータ）（例えば、テキスト文字列、数列など）とともにＤＡＳＢクライアントＡおよびＤＡＳＢクライアントＢのそれぞれにインストールする。所有者／操作者はさらに、どのＤＡＳＢクライアントがカスタマイズされたアルゴリズムを持っているかをブローカで指定し、そのように指定されたカスタマイズされた暗号化アルゴリズムを表す対応する指示記号を提供する。したがって、指示記号のみがブローカで存続する。ＤＡＳＢクライアントＡが送信側で、ＤＡＳＢクライアントＢが受信側である状況では、ＤＡＳＢクライアントＡから新しい鍵ＤＮＡを求める要求を受信すると、ブローカは上記のように鍵ＤＮＡを生成し、カスタマイズされた暗号化アルゴリズムをランダムに選択できる。ブローカは、鍵ＤＮＡ、および選択されたカスタマイズされた暗号化アルゴリズムに対応する指示記号をＤＡＳＢクライアントＡに送信する。ＤＡＳＢクライアントＡは、指示記号を確認すると、対応する暗号化アルゴリズムを使用して対象のデータ／ペイロードを暗号化し、ＤＡＳＢクライアントＢに送信する。したがって、指示記号を、鍵の生成を可能にする鍵ＤＮＡの「一部」であると見なすことができる。暗号化されたデータ／ペイロードを受信すると、ＤＡＳＢクライアントＢは、上記のように鍵ＤＮＡを求める要求をブローカに送信する。ブローカは、ＤＡＳＢクライアントＢに鍵ＤＮＡと、ＤＡＳＢクライアントＡに提供されたものと同じ指示記号を送信する。ＤＡＳＢクライアントＢは同じ指示記号を有するため、同じカスタマイズされた暗号化アルゴリズムが復号のために選択される。指示記号に対応するアルゴリズムがＤＡＳＢクライアントＢにインストールされていない場合、操作はエラーになる。代替的にまたは付加的に、システム１０内の２つ以上のＤＡＳＢクライアントは、既知の信頼関係を有するように構成または設定され得（すなわち、２つ以上のＤＡＳＢクライアントは信頼関係に関与することが知られている）、少しの（またはそれ以上の）選択された対称暗号化アルゴリズム（例えば、ＡＥＳ、Ｓａｌｓａ２０等）が予めインストールされ得る。ペイロード管理は、選択的に、ブローカが顧客の構成に基づいて特定の暗号化されたデータの転送に使用する暗号化アルゴリズムを選択する（例えば、ランダムに選択する）ことを含むことができる。これらは関連する実施形態であり、システム１０の操作者または所有者は、ＤＡＳＢクライアントをフィールド更新して（そうでなければ信頼関係で）、そうでなければブローカに知られていない１つまたは複数のカスタム暗号化アルゴリズムを使用でき、またはプリインストールされた暗号化アルゴリズムを使用する。これらのカスタム暗号化アルゴリズムは、システム１０の操作者または所有者によって構成されたようなシステム提供のアルゴリズムの代わりに、または一緒に使用できる。
【0056】
本開示のシステムおよび方法は、選択的に、１つまたは複数の付加的な機能または動作を含むことができる。例えば、いくつかの実施形態では、本開示のシステムおよび方法は、設定されたＤＡＳＢクライアントとブローカ２０との間の指定されたトランザクション（すべてのトランザクションを含む）が追跡または記録され、かつ（例えば、ブローカ２０で）保存される記録機能を組み込む。いくつかの実施形態では、暗号化を求める要求に関連する鍵ＤＮＡのためのすべての要求が追跡され、関連する実施形態では、復号を求める要求に関連する鍵ＤＮＡのためのすべての要求が保存される。記録または追跡される情報は、例えば、暗号化または復号を求める要求が受信された時間（例えば、日、時間等）、特定の要求に関連付けられたクライアントＩＤ等を含むことができる。記録された情報は、作成後に変更できないように、暗号化署名を使用して保護され得る。いくつかの実装では、記録を保護する方法は、分散型台帳またはブロックチェーンを介して実現され得る。
【0057】
いくつかの実施形態では、選択的な記録動作は、監査可能な安全性をさらに提供でき、特定のデータ転送が安全であったかどうかについて高レベルの信頼性で知ることができるようにする。転送記録は不変であり、各データ転送に関連付けられた暗号化は固有であるため、特定の鍵ＤＮＡに誰またはどの装置がアクセスしたかを確実に「知る」ことができる。既存の記録を使用して、ユーザは、本開示の原理によって、さまざまな方法で特定のデータ転送の安全性を検証できる。例えば、ユーザは、指定されたメッセージまたはストリームのすべての利用履歴（アクティビティ）を要求できる（例えば、対応するモニカによって識別される）。利用履歴の報告または記録を確認して、対象の送信ＤＡＳＢクライアントによってすべての暗号化が行われたことを確認できる。暗号化のリストは、ブローカ２０に保存されている送信ＤＡＳＢクライアントの暗号化の記録と関連付けられ得る。同様に、利用履歴の報告または記録を確認して、対象の受信ＤＡＳＢクライアントによってすべての復号が行われたことを確認できる。復号のリストは、ブローカ２０に保存されている受信ＤＡＳＢクライアントの復号の記録と関連付けられ得る。代替的にまたは付加的に、指定されたデータ転送に関連付けられた鍵へのアクセスの不正な試みが記録され得る。これは侵害を示すものではないが、侵害の試みを示し、攻撃者が暗号化されたテキスト／暗号化されたデータにアクセスしたことを示す。参考までに、「不正な試み」は、（システム１０の一部ではない）未知の当事者によるアクセスの試み、（システム１０の）既知の当事者によるアクセスの試みではあるが、暗号化されたデータまたはメッセージが符号化されていない試み、対象の受信クライアント装置によるアクセスの試みではあるが、装置が許可された回数よりも多い回数のアクセスの試み（例えば、システム１０は、復号するための１回の試みのみを許可するように構成され得るが、Ｎ回の復号の試みが許可されていたとしても、対象の受信ＤＡＳＢクライアントは、Ｎ＋１回の復号を試みることができ、この場合はエラーを生成する）等、さまざまな形をとることができる。
【0058】
上記の方法は、ブローカ２０が、暗号化を求める要求に応答してＤＡＳＢクライアントに配信するための鍵ＤＮＡを生成することと、復号を求める要求に応答してＤＡＳＢクライアントにその後に配信するための鍵ＤＮＡを格納することとを含むが、他の技術が採用され得る。例えば、いくつかの代替の実施形態では、ＤＡＳＢクライアントソフトウェアは、特定の暗号化トランザクションに利用される鍵ＤＮＡの一部またはすべてを生成し、鍵ＤＮＡを（送信アプリケーションを介して）ブローカ２０に送信するようにプログラムされ得る。他の実施形態では、ＤＡＳＢクライアントソフトウェアは、鍵ＤＮＡの一部を生成し、（送信アプリケーションを介して）部分的な鍵ＤＮＡ情報を（受信アプリケーションを介して）受信ＤＡＳＢクライアントに送信するようにプログラムされ、したがってブローカ２０を迂回する。これらおよび関連する実施形態では、ブローカ２０は、復号動作を要求するＤＡＳＢクライアントに配信される鍵ＤＮＡの残りを生成するようにプログラムできる。受信ＤＡＳＢクライアントは、送信アプリケーションおよびブローカ２０によって提供される部分的な鍵ＤＮＡから完全な鍵ＤＮＡを生成するようにプログラムされる。
【0059】
同様に、上記の方法は、ブローカ２０が暗号化を求める要求に応答してモニカを生成することを含むが、他の技術が採用され得る。例えば、いくつかの代替の実施形態では、ＤＡＳＢクライアントソフトウェアは、（送信アプリケーションを介して）ブローカ２０への要求に含まれるモニカを生成するようにプログラムされている。ブローカ２０は、要求しているＤＡＳＢクライアントに配信するためにモニカを格納でき、またはモニカは、送信アプリケーションを介して受信アプリケーションに配信され得る。
【0060】
いくつかの非限定的な実施形態では、本開示のシステムおよび方法は、選択的に、ＤＡＳＢクライアント装置からのＤＡＳＢクライアントソフトウェアの無許可のコピー（およびコピーされたＤＡＳＢクライアントソフトウェアを使用して、設定または許可されたＤＡＳＢクライアントになりすますこと）のおそれを最小化するように動作できる。例えば、本開示のシステムおよび方法は、ブローカとＤＡＳＢクライアントとの間の制御仲介者として機能する単独で動作する「リーシュ」または「リーシュ所有者」装置（または仲介装置）を実施または実装できる。この関係の１つの表現は、図１０で提供され、ＤＡＳＢクライアント２２がブローカ２０で設定され、リーシュ装置５００（例えば、他の方法でプログラムされた、または対応するリーシュソフトウェア５０２を操作するコンピュータまたはコンピュータのような装置）と電子的に関連付けられる。リーシュ装置５００、ＤＡＳＢクライアント２２、およびブローカ２０の間の持続的な通信は、ＤＡＳＢクライアント２２が偽装されるのを防ぐのに役立つ。この配置を容易にできる１つの特徴は、リーシュ装置５００がＤＡＳＢクライアント２２と同じサブネット（図１０の破線で表される）上に構成され、このサブネットの外部から到達できないことである。しかしながら、リーシュ装置５００は、ブローカ２０への外向きの「呼び出し」を行うことができる。
【0061】
一例の構成では、システムの所有者または操作者は、ＤＡＳＢクライアント２２とリーシュ装置５００との間の所望の通信頻度でブローカ２０を構成し（例えば、プログラムまたは指示し）、トークン信頼性規則を構成する。ＤＡＳＢクライアント２２は、例えば、常に起動時におよびその後に所定の間隔で、リーシュ装置５００に接続し、リーシュ装置５００からトークンを受信する。この相互作用の一部として、リーシュ装置５００は、ブローカ２０と通信し、トークンの暗号化ハッシュを提供する。ＤＡＳＢクライアント２２がブローカ２０と通信するとき、ＤＡＳＢクライアント２２はブローカ２０にトークンを提供する。ブローカ２０は、受信したトークンから暗号化ハッシュを計算し、この計算されたハッシュを、リーシュ装置５００から以前に受信した暗号化ハッシュと比較する。値が一致する場合、ブローカ２０によって受信された通信は、ＤＡＳＢクライアント２２から配信されたと見なされ、つまり別の考え方をすれば安全につながれている。ブローカ２０はまた、ＤＡＳＢクライアント２２からの通信の頻度を追跡できる。ＤＡＳＢクライアント２２が指定された期間内での通信に失敗した場合、ＤＡＳＢクライアント２２は、ブローカ２０によって機能していないとして印を付けられ得る。これらの状況下では、処理の手動リセットを開始でき、顧客／システム操作者にＤＡＳＢクライアント２２の所在を検証させることができる。
【0062】
上記の説明では、暗号化アルゴリズムが参照されている。いくつかの実施形態では、（例えば、セッション管理、鍵ＤＮＡ生成などのための）すべての暗号化アルゴリズムは、暗号論的に安全な疑似乱数生成器（ＣＳＰＲＮＧ）の使用を必要とする。いくつかの実施形態では、本開示のシステムおよび方法は、これらの数を生成するための道具を提供されたオペレーティングシステム（ＯＳ）を利用する。しかし、ユーザまたはシステム所有者は、独自にカスタムした暗号論的に安全な乱数生成器を使用して乱数を生成する呼び出し可能な処理を提供できる。当該生成器は、ＲＥＳＴ、ｇＲＰＣなどの呼び出しプロトコルを使用して、対象の信頼環境にアクセスできるように作成され得る。ブローカ２０間のアクセスを保護するために、さまざまな展開手法が使用され得る。ユーザまたはシステム所有者は、どのＤＡＳＢクライアントデバイス／プールがどの生成器を使用するかを構成でき、さまざまな目的でさまざまな乱数生成器を容易に使用できるようにする。当該選択的な手法の結果、システム１０がそれ自体を使用して、ブローカ２０への乱数の配信を保護することができる。例えば、特定のＤＡＳＢクライアントは、システムが提供する乱数生成器を使用するように構成され得、乱数を安全に作成および配信するように生成器によって使用される。ブローカ２０は、番号を復号するための適合装置を持っている。ブローカ２０は、それらを使用するように構成されたＤＡＳＢクライアントのためにこれらの乱数を使用できる。
【0063】
高可用性または配置の大規模化（負荷バランシングとも呼ばれる）を促進するために、バックアップまたは複数の動作するハードウェア装置を用意することが一般的に使用される手法である。高可用性／負荷分散を可能にするために、本開示のいくつかの非限定的な実施形態は、複数のＤＡＳＢクライアントで構成されている「ノード」と呼ばれる論理ユニットとして、信頼できる通信の端末の抽象概念（すなわち、プールの一端）を作成できる。例えば、図１１を参照すると、ＤＡＳＢクライアントＡ、ＤＡＳＢクライアントＢ、ＤＡＳＢクライアントＣ、およびＤＡＳＢクライアントＤはすべて、ブローカ２０によって管理される信頼環境の暫定のＤＡＳＢクライアント装置である。さらに、ＤＡＳＢクライアントＡおよびＤＡＳＢクライアントＢは、ノード「配置１」の構成ＤＡＳＢクライアントとして独立して設定され、一方、ＤＡＳＢクライアントＣおよびＤＡＳＢクライアントＤは、ノード「配置２」の構成ＤＡＳＢクライアントとして独立して設定される。ノード配置１およびノード配置２は、仮想的にブローカ２０に存在する。独立して設定および管理されている一方、プール（プール－配置１２）は、ブローカ２０で２つのノード配置１、配置２の間に確立される。この配置では、ノード配置１を備える任意のＤＡＳＢクライアント（つまり、ＤＡＳＢクライアントＡとＤＡＳＢクライアントＢ）は、ノード配置１のＤＡＳＢクライアントとして機能できる。同様に、ノード配置２を備える任意のＤＡＳＢクライアント（つまり、ＤＡＳＢクライアントＣとＤＡＳＢクライアントＤ）は、ノード配置２のＤＡＳＢクライアントとして機能できる。システムの所有者または操作者は、ブローカ２０内でこれらの論理ユニットを定め、必要なＤＡＳＢクライアントをこれらの論理ユニットに割り当てることができる。信頼関係は、これら２つの論理ユニットを接続するプールを定めることによって確立される。
【0064】
本開示は好ましい実施形態を参照して記載されてきたが、当業者は、本開示の精神および範囲から逸脱することなく、形態および詳細において変更を行うことができることを認識するであろう。
【図1】
【図2A】
【図2B】
【図2C】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【国際調査報告】